Adviezen gezocht

[André PE1PQX]

Niet (direct) Synology gerelateerd, en ik hoop dat het in het goede forum-deel staat...

Er zit een reële kans ik dat ik binnen kort voor het eerst een huis ga kopen. Erg spannend allemaal.
Dit zette mij ook aan het denken hoe mijn LAN er daar uit zou moeten gaan zien, althans volgens het 'dit is ideaal' idee.
Het liefst voor zover het mogelijk is alle netwerk spullen centraal in een (meter)kast, en de ISRA-punt (geen glas in deze buurt) ook in die kast en daarvandaan enkele aansluitpunten op de juiste plekken in het huisje. Mooiste zou zijn alles keurig in een patch-kast(je)

Op dit moment draait er een Netgear GS724Tv4 switch als 'spin' in het lan-web, maar sta ook open voor alternatieven van andere merken.

Situatie hier nu:

WAN: Fritz!Box 7581 (XS4ALL abbo, inc VoiP en GEEN TV) -> Netgear GS724Tv4 -> de rest van mijn lan
In mijn lan zijn verder de volgende zaken aangesloten:
- 1 'hoofd-PC',
- 3x Synology NAS-sen (DS918+, DS218+ en een DS110j),
- een Canon kleuren laser netwerk-printer,
- een Foscam IP-camera om mijn antenne-mast vanaf de bank in de gaten te kunnen houden bij stormen
- Samsung TV (met LAN aansluiting voor DLNA stoeien, 'slechts' 100Mbit/sec)
- Samsung Blue-ray speler (met LAN aansluiting, omdat het gewoon kan met DLNA, 'slechts' 100Mbit/sec)
- een hobby-kamer-PC (voor amateur-radio-doeleinden),
- Nog een 16-poorts Gbit switch in mijn hobbykamertje voor het geval er een computer-reparatieklusje ter tafel komt.
- Via WiFI 1 laptop en 2 smartfoons (en zodra we familie/vrienden op bezoek krijgen melden hun telefoons ook aan op WiFi)
- 2 RaspberryPi's voor 'klooi maar lekker aan met whatever'.

Grootste nadeel van Fritz!Box is dat deze niet volledig in Bridged mode gezet kan worden.

Nu is mijn vraag: wat zou een goede suggestie zijn om de bezoekers via WiFi op een 'gast' netwerk los te laten, de 'klus-computers' ook op een gast-LAN zodat in geval van een ernstige virus-besmetting de rest van mijn LAN (privé zijde) geen besmettingsgevaar oploopt.

Op mijn huidige (huur) adres wil ik nu nog niets uithalen, omdat de kans reëel dat ik hier toch weg ga.
A.s. donderdag hebben we de eerste bezichtiging van onze 1e keus huisje.

Samengevat: Een privé lan voor minimaal 14 apparaten (UTP en WiFi) en daarnaast ook een GAST-LAN/WiFi toegang voor gasten/reparatie spul
VoiP laat ik gewoon door de Fritz!Box afhandelen, ga ik voor alsnog niet eens mee lopen klieren.
Het idee is wel dat mijn hobbykamertje minimaal 2 UTP kabels krijgt uit voorzorg. Alle UTP kabels moeten minimaal in CAT6 uitgevoerd worden.
De Netgear managed switch mag vervangen worden door andere hardware (Unifi, TP-link....?)

Let wel: ik heb verder nog geen enkele keuze gemaakt, maar wil nu al ideeën opdoen voor het geval ik wel ga verhuizen naar die ene koopwoning. Het is geenszins zeker dat deze ideeën ook werkelijk uitgevoerd gaan worden. (e.e.a. ook afhankelijk van financiën)

Alvast bedankt voor jullie suggesties!

Grt, André

NB.: Ik heb deze vraag ook gesteld in het Unifi forum, ik lees n.l. veel goeds over dit merk hardware.

[Ben(V)]

Ook al ben ik geen fan van Netgear spullen zie ik toch geen enkele reden waarom je die Netgear switch zou willen vervangen.
Andere switches kunnen niets meer.

Waarom het een nadeel zou zijn dat een Fritzbox niet in bridge mode gezet kan worden zie ik ook niet.
Het is een prima router en je zult moeite hebben een router te vinden die meer kan en/of beter is zonder in professionele spullen te komen.

Voor wifi zou ik gewoon een paar unifi accesspoints kopen.
Optimaal is een op elke verdieping, maar
Hoeveel en waar je ze wilt/kunt plaatsen is afhankelijk van de layout van je huis en gebruikte materialen.
Als je bijvoorbeeld op de eerste verdieping laminaat legt en als ondervloer bijvoorbeeld zo'n aluminium noppenfolie gebruikt, komt er geen spatje wifi meer door die vloer heen.
ls je apparatuur hebt dat alleen op de 2,4 band werkt is de invloed van buren die wifi gebruiken ook sterk van belang.

Persoonlijk zie ik het nut van een gastnetwerk niet zo, maar die Fritzboxen hebben dat standaard aan boord.
Security moet je niet van je netwerk afhankelijk laten zijn

Hebben drie Nassen nut?
Waarschijnlijk een gegroeide situatie maar bij nieuw aanschaf zou ik altijd voor een vier bay Nas gaan.

Patchkasten zijn meestal alleen zinvol als je allemaal 19 inch apparatuur hebt maar in jouw geval is dat alleen de switch en een eventueel patchpaneel.
En patchkasten zijn meestal veel te diep voor een meterkast en als je alles er eenmaal inhebt is het een hels karwei om weer iets te veranderen.
Patchkasten moeten aan de voor en aan de achterkant bereikbaar zijn willen ze nut hebben en dat lukt in een meterkast nooit.
Zelf heb ik twee van die schap rails tegen de achterkant geschroefd en wat planken op maat gezaagd om het een en ander op kwijt te kunnen.

[Robert Koopman]

Ik heb een 10” patchkastje in mijn meterkast en dat past prima.
Ok, is niet de centrale spil in het netwerk maar voor de internet aansluitingen werkt dat goed.

[André PE1PQX]

@Ben(V) Ik heb nu eenmaal 3 nassen, ten eerste om een nas zelf niet als 'alles-kunner-draaimolen' te laten werken en ten 2e omdat het zo ook gegroeid is (DS110j) 1x een 4-bay, 1x een 2-bay en 1x een single-bay... (zie signature onder mijn posts)

Die netgear's zijn beiden een 19" switch (heb er 2, waarvan 1 managed) en het instellen van die managed switch is niet bijster eenvoudig als je van overzicht houd (maar dat kan ook mijn gebrek aan kennis op dit vlak zijn). Het schijnt dat de spullen van Unifi stukken eenvoudiger te beheren zijn.

Ook een gast (WiFi) netwerk kan wenselijk zijn om privé data ook echt privé te houden van het bezoek dat je over de vloer krijgt. Nu kun je ze toegang weigeren, maar ik krijg elders ook wel eens toegang via hun (gast) netwerk. Stukje gastvriendelijkheid zeg maar. (nog niet iedereen heeft een data-abbo op zijn smartfoon)
Ook wil ik in geval van een eventuele PC reparatie klusje ook dit geheel onafhankelijk van de rest houden (los van privé-lan en GAST-lan!) zodat eventuele besmettingsgevaar (virussen, mal- en ad-ware enz.) naar 'schone' apparaten uitgesloten is. In deze situatie heb je dus 3 separate netwerken nodig, en daar komt de Fritz!box al te kort. De Fritz ondersteund extern (naar je lan toe) ook geen VLAN. Alleen intern naar je VoiP aansluiting.

Nadeel van het niet kunnen bridgen van je fritz is dat je niet je WAN-IP adres in je eigen aangeschafte router krijgen kunt om zo veel meer instel mogelijkheden te krijgen. In een fritz kun je slechts poorten doorsturen naar een achterliggend apparaat, of je kunt één IP adres in je lan volledig open zetten (vergelijkbaar met DMZ). Verder ben ik totaal geen fan van 2 routers achter elkaar in een netwerk.

Maar nogmaals, ik heb nog geen concrete plannen gemaakt of een wensen/aanschaflijstje klaar, dit kan eigenlijk pas als de verhuizing een feit is. Ben slechts aan het oriënteren naar wat anderen denken en aan ideeën hebben.
Uiteraard wel dank voor je uiteenzetting

[Ben(V)]

Wat zou je met een eigen router dan meer kunnen dan met die Fritzbox?

Twee routers zijn bijna altijd volkomen overbodig, maar op zich geen enkele reden om dat niet te hebben.
Je hebt ook managed switches en die hebben ook L2 functionaliteit als je bijvoorbeeld vlan's gaat maken.
Als je zoals je wilt een gast netwerk maakt heb je weer een routering nodig.

Het configureren van een managed switch is altijd moeilijker dan een gewone switch juist omdat hij meer kan dat is bij een unifil niet anders.
Als je meer wilt, moet je ook meer begrijpen en uit de doos bieden al die switches zonder enige eigen configuratie te doen allemaal standaard switch functionaliteit.

Waarom zou je bij prive of andere data kunnen als je enkel op jouw wifi netwerk zit.
Als de enige bescherming daarvan je netwerk laag is moet je daar wat aan doen.

[André PE1PQX]

Nogmaals @Ben(V) : Ik wil niet alles van mijn fritz!box laten afhangen, met spullen van Unifi (als ik het goed begrepen heb) heb je veel meer instel mogelijkheden dan de fritz alleen. Mijn huidige netgear vind in best lastig in te stellen, en de manuals zijn behoorlijk summier.
 
3 separate LAN-segementen (Privé, Guest en Trouble als ik het zo mag benoemen) die zowel via UTP als WiFi bereikbaar zijn. Dat gaat je met één enkele Fritz!Box en un-managed switches en AP's niet redden.

[Briolet]

Lang niet alle apparaten op je eigen netwerk kun je beschermen. Als je een slimme meter krijgt of een mediabox etc, zijn het doorgaans volkomen gesloten systemen. Als ik het kon voorkomen zou ik ook zorgen dat gasten dit niet te zien krijgen.

[Pippin]

Kijk ook eens naar pfSense aan de voordeur...

[Ben(V)]

Nogmaals wat is het nut van een eigen router als je niet weet wat je daar meer mee zou kunnen doen dan met een Fritzbox.
Het is een soort hype geworden dat iedereen een eigen router wil hebben maar zelden is dat ergens goed voor.
Zeker zo'n Frizbox is een prima router met alle mogelijkheden die je zou wensen volgens mij.

En zoals ik al zei heeft een Fritzbox zelf al mogelijkheden voor een gastnetwerk, daar heb je dus geen eigen router voor nodig.
En als je dat anders zou willen zet je zelf met je managed switch een vlan op met een acceeesspoint daarin om dat te realiseren.

En als je mensen toelaat op je wifi netwerk mag je er toch vanuit gaan dat ze niet je omgeving gaan hacken?
Als ze dat hier zouden proberen komen ze echt nooit meer de deur in.

Een slimme meter hangt helemaal niet aan je netwerk en als je dat via de p1 poort doet gaat dat via een device dat je zelf onder controle hebt.

Dingen die geen enkel security hebben komen er hier gewoon niet in, met name al die zooi die via een app kunt beheren zijn zo lek als een zeef en veel gevaarlijker dan een gast op je wifi netwerk.

En wat ik vind en doe is niet zaligmakend maar mijn mening.

[André PE1PQX]

Ik heb nergens genoemd dat ik zelf een 2e router wil inzetten, net als jij @Ben(V) zie ik die nut er ook niet van in. Wat de Fritz!box doet, is voor mij voorlopig voldoende.

Het gaat mij er om het achterliggende deel (de LAN) te segmenteren in 3 stukken; "Prive", "Guest" en "Trouble", als ik dat met de Unifi accesspoints en switches veel eenvoudiger kan realiseren zonder per segment een eigen accesspoint te moeten aanschaffen, scheelt dat in bekabeling in investering. Mijn Netgear kan dat niet zo 'eenvoudig', dan moet ik per segment een eigen accesspoint inzetten.

Maar niets is nog zeker in dit verhaal, voor het zelfde geld laat ik het voor wat het is.

[Ben(V)]

Je schrijft dat je als nadeel vande Fritzbox vind dat je hem niet in bridge mode kan zetten.
Dat is alleen een nadeel als je een eigen router hebt.

[André PE1PQX]

Het is alleen een nadeel als je features mist die de Fritz niet aan boord heeft (VLAN capable router om iets te noemen, of een 3e separate LAN segment...)

Maar deze discussie was niet waar ik om vroeg....

[Plerry]

Ik heb
* een Fritz!Box (FB)
* daarachter een VLAN capable switch
* twee Unifi access points

* in de FB het guest-network aangezet op de LAN4 poort
* een Ethernet kabel van LAN2 naar poort 1 op de L2 switch (met het op de FB ingestelde subnet en DHCP range)
* een Ethernet kabel van LAN4 naar een poort 17 op de L2 switch (met het FB guest subnet en DHCP range)

* Alles in het "veilige" thuisnetwerk verbindt via switch poort 1 naar de LAN2 poort op de FB.
* Sommige bedraad op de switch aangesloten IOT-zooi wordt door de switch naar switch poort 17 gestuurd en dus naar de LAN4 poort op de FB (guest netwerk) en zo gescheiden gehouden van mijn "veilge" netwerk.

De Unifi's hebben beide drie SSIDs
* Een SSID dat onderdeel uitmaakt van het "veilige" thuisnetwerk en (bedraad) verbindt met de switch via VLAN untagged verkeer.
Via de switch wordt dit verkeer (mede) verbonden met de FB LAN2 poort.
* Een SSID voor IOT-zooi die wel ook onderling moet kunnen communiceren (bijv. Chromecast en Smartphone), maar die ik niet in mijn "veilge" network wil hebben. Dit is voor Unifi geconfigureerd als een "gewoon" SSID maar wel met de switch verbonden als VLAN tagged (en wordt dus verbonden met het FB guest-network).
* Een SSID voor IOT-zooi die uitsluitend naar buiten moet kunnen, maar niet onderling hoeft te kunnen communiceren.
Dit SSID is voor Unifi geconfigureerd als een guest-SSID dat niet onderling kan/mag communiceren en met de switch verbonden als VLAN tagged (en dus is verbonden met het FB guest-network).

Effectief heb ik drie netwerken:
* een "veilig" gesloten netwerk (bedraad en via WiFi)
* een guest-netwerk  (bedraad en via WiFi) dat wel onderling kan communiceren
* een guets-netwerk (bedraad en via WiFi) dat uitsluitend naar buiten kan, maar niet onderling kan communiceren
Zo zie je: voor het goed scheiden van verkeer heb je niet perse een VLAN capable router nodig, maar slechts een switch met port mapping/isolation en VLAN capability en een router die (mede) een gasten-netwerk ondersteunt.

Zoals BenV al herhaald schreef is er dus geen noodzaak achter de FB een eigen router te zetten om een en ander veilig in te richten middels VLANs.
Maar uiteraard kan het wel. Tot een jaar geleden had ik een FB (XS4All) en een Ziggo modem met daarachter een Cisco dual WAN router voor load-shedding en failover.
Op de FB stond de WAN2-poort van de Cisco als DMZ; alle binnenkomend verkeer werd daarheen doorgestuurd. 

[André PE1PQX]

@Plerry bedankt voor deze uiteenzetting. Om mezelf eens te herhalen: ik ben geenszins van plan een 2e router achter de fritzbox te hangen, is vragen om instelmoeilijkheden.

Ik zal me eens in deze setup verdiepen, het kan dus nog zijn dat ik enkele van de unifi accesspoints aanschaf en (veel) later pas een unifi managed switch.
De Netgear GS724Tv4 die ik nu in gebruik heb moet het nog maar even volhouden.

[Robert Koopman]

Die switch zal het inderdaad nog wel even volhouden!

Ik zit met zo’n zelfde probleem 
Mijn TP-Link 24-poort managed switch van een jaar of 5-8 oud doet het ook nog prima.
Wil deze vervangen voor een UniFi switch maar ja, ding is nog prima.
Vervangen is eigenlijk zonde.
Wil er een 48-poort switch voor terug.
Waarom? Vanwege 2x 10GBit sfp+ aansluitingen.
Waarom? Omdat het kan! 
(Nieuwe nas krijgt ook 10GBit aansluiting maar is ook nog toekomstmuziek)