Router Kaskade

[Mark (Gast)]

Hallo zusammen,

ich möchte mein Netzwerk trennen.
Für das Gäste WLan soll es ein extra VLan geben welches dann auf einem 
Router hinter dem eigentlichen ISP Router rauskommt.
Kein Problem, das wird sicherlich so funktionieren. Die Gäste sollen nur 
in Internet, nichts anderes.

Aber.. Das eigentliche Problem sind Versuchsaufbauten im Heimischen LAN. 
Automatisierungsgeräte welche über Netzwerk kommunizieren und 
erheblichen Broadcast Verkehr erzeugen (was die Switche schon teilweise 
anmeckern) und auch noch hoch priorisiert sind.
Die Geräte sollen auch in einem eigenen VLan landen mit eigenem Router 
hinter dem ISP Router.
Das Netz 192.168.3.0/24 soll aus dem Netz 192.168.1.0 erreichbar sein.

Der ISP Router lässt sich allerdings nicht konfigurieren, sodass ich 
diesem nicht sagen kann das hinter dem "Router Automatisierung" (welcher 
ja ein client vom ISP Router wäre) das Netz 192.168.3.0 zu finden ist.

Den ISP Router tauschen ist leider nicht drin (Wirklich nicht.)

Gibt es andere Lösungsmöglichkeiten? Ziel soll es sein (vor allem) die 
Broadcasts auf die Automatisierungsclients zu beschränken, und ein (für 
dieses Netz) eigener DHCP wäre auch nicht verkehrt.

[Raute (Gast)]

Mark schrieb:
> Das Netz 192.168.3.0/24 soll aus dem Netz 192.168.1.0 erreichbar sein.

Was ist denn das Ziel davon? Sind noch Geräte in diesem Netz vorhanden, 
oder geht es um eine Portfreigabe? Eine Portfreigabe müsste sich durch 
beide Router durchschleifen lassen.

[Peter II (Gast)]

Mark schrieb:
> Gibt es andere Lösungsmöglichkeiten?

setze hinter dem ISP-Router einen Router mit 4 Netzwerkanschlüssen ( 
oder VLAN).

Dann im ISP-Router das NAT ausschalten und alles an den neuen Router 
weiterleiten - schon kann du alles machen was du willst.

Aber bedenke das es viele Software und Geräte gibt die nicht über 
Netzwerkgrenzen kommunizieren können (nicht weil es technisch nicht geht 
sondern weil sie es nicht bedacht haben)

[Klaus P. (Gast)]

Mark schrieb:
> Gibt es andere Lösungsmöglichkeiten?

Du kannst eine mehrstufige Kaskade bauen:

ISP-Router--+--Router 192.168.2.x für Gäste
            |
            +--Router 192.168.3.x 
                  |
                  +-- Automatisierungs-Clients
                  |
                  +-- Router 192.168.4.x für Home-Netz

Benutzen wir auch, um PCs und Server einzurichten, die vom übrigen Netz 
getrennt bleiben sollen. Natürlich kostet jeder Router etwas 
Performance. Bei Spielen evtl. problematisch, für übrigen 
Internet-Zugriff jedoch nicht.

[TestX (Gast)]

VLAN fähigen switch kaufen, dazu eine pfsense firewall (zB pcenfine 
apu2/3 hardware).

Die kiste kümmert sich dann um alles...tiefere netzwerkkenntisse 
erforderlich...

[(prx) A. K. (prx)]

Peter II schrieb:
> Dann im ISP-Router das NAT ausschalten

Könnte schwierig werden.

Da müsste er nicht so sehr NAT abschalten, als vielmehr das Routing. Ihn 
also zum Modem degradieren.

[Karl (Gast)]

TestX schrieb:
> Die kiste kümmert sich dann um alles...tiefere netzwerkkenntisse
> erforderlich...

Was nun kümmert sich die Kiste oder sind Kenntnisse erforderlich?

[(prx) A. K. (prx)]

Mark schrieb:
> Der ISP Router lässt sich allerdings nicht konfigurieren, sodass ich
> diesem nicht sagen kann das hinter dem "Router Automatisierung" (welcher
> ja ein client vom ISP Router wäre) das Netz 192.168.3.0 zu finden ist.

Der Router für das Netz 192.168.3 müsste in dieser Konfiguration 
seinerseits auch mit NAT arbeiten, evtl. inklusive NATing nicht 
trivialer Protokolle wie FTP. Also mit mindestens rudimentärer 
Firewall-Funktion. Geräte in diesem Netz wären dann nur über 
Port-Forwarding aus 192.168.1 erreichbar.

> Gibt es andere Lösungsmöglichkeiten?

Einen Multiport-Router/Firewall ins Netz 192.168.1 hängen. An dem hängen 
dazu noch alle Sekundärnetze. Die werden in Richtung 192.168.1 mit NAT 
maskiert, zwischen den Sekundärnetzen sind aber Querverbindungen ohne 
NAT möglich.

Geräte im Netz 192.168.1 sehen sich gegenseitig und sind aus den 
Sekundärnetzen (per NAT im Router) ansprechbar, haben aber selbst keinen 
Zugriff auf die Sekundärnetze. Das könnten Geräte sein, die nur Internet 
benötigen, z.B. Gäste. Alles was mehr als Internet braucht landet in den 
Sekundärnetzen.

Man kann für den Multiport-Router auch einen RasPi einsetzen (max 100Mb 
Summenrate), mit mehreren virtuellen Ports über VLANs, um die diversen 
Netze über einen VLAN-fähigen Switch aufzutrennen. Der RasPi hängt dann 
an einem Trunk-Port mit allen VLANs, die übrigen Ports werden 
individuell jeweils genau einem Netz zugeordnet.

[Stefan (Gast)]

ISP wird Gäste , Gäste kommt hinter Automatisierung und macht LAN.
Stefan