LAN&WLAN unterteilen (iot, Gäste, Drucker,.)

Werner D. schrieb:
> Fall das irgend wann mal brauchbar funktioniert, soll die Trennung auch
> auf Layer 2 mit VLANs weitergehen.

Mit dem passenden Router funktioniert das schon seit Jahren einwandfrei.

Anhand der MAC das Netz zuzuordnen wäre mir zu aufwändig, pflegeintensiv 
und schlecht nachvollziehbar.

So hab ich's laufen: OpenWRT-fähigen oder anderen guten Router nehmen. 
Für jedes Subnetz ein VLAN einrichten. Für jedes VLAN ein eigenes WLAN 
einrichten und diese jeweils miteinander verbrücken. Jedes WLAN Gerät 
bekommt die Zugangsdaten für das Netz wo es drin sein soll. Firewall 
entsprechend einrichten, dass nur zulässige Netze miteinander reden 
dürfen, bzw. raus in's Internetz/VPN.

PS: VLAN muss natürlich nur, wenn mehrere APs oder verkabelte 
Komponenten vorhanden. Was bei mir mir 3 APs der Fall ist.

Werner D. schrieb:
> Gäste
> Smartphones und Tablets
> Drucker/Scanner
> iot mit Internet Zugang
> iot ohne Internet Zugang
> Notebook

Soll das zu Hause oder in der Firma sein?

Ich würde das nicht so zerpflücken. Wieso sollen die Drucker ein eigenes 
Netz bekommen? Dann kann man sie erstmal gar nicht erreichen. Also muss 
man zwischen den Netzen bridgen oder sogar routen.
Wieviel Drucker erwartest du denn zu haben?

So habe ich das bei mir:

1. IOT (mit Internet, unerwünschte Geräte im Router blocken)
2. Smartphones, Tablets Notebooks (mit Internet)
3. Gäste (per Freifunk)

Alles in einem jeweiligen eigenen VLAN.
Ein Raspberry mit dnsmasq serviert dem IOT-VLAN einen DHCP-Bereich und 
ist Gateway für die IOT-Geräte.

Werner D. schrieb:
> Hi,
> sagt mal, wie habt ihr euer lokales Netzwerk (logisch) unterteilt?
>
> Ich bin bis jetzt auf 6 Subnetze gekommen
> [code]
> Gäste
sowieso
> Smartphones und Tablets
alle Klienten von allen mir bekannten natürlichen Personen sind im 
selben vLAN (inkl Desktops & Laptops, “Fernseher” etc)

> Drucker/Scanner
kann man, muss man nicht, die sollten im obigen Netz stehen.

> iot mit Internet Zugang
für die DMZ, ein vLan.

> iot ohne Internet Zugang
sowieso

> Notebook
s.o.

alles was in der DMZ steht, ist natürlich im eigenem vLan.


> Ist die unterteilt schon zu kleinteilig?
IMHO etwas zu viel Aufwand


> WLAN Clients anhand der MAC Nummer in vorher definierte VLANs durchreichen
Das geht auch auf andere Weise, z.B. dass der Klient das Password für 
das WLan in das er nicht soll nicht kennt. Alle sehen die SSids aber 
kommen halt nicht rein.

OpenWRT ist nicht meine Baustelle.