Heimnetzwerk mit IoT-Geräten besser absicher

Du hast da ja schon mal eine etwas größere Netzwerkstruktur. :wink:

Nur das Internet ausknipsen kann die FRITZ!Box auch. Nennt sich was von Kindersicherung.

Wenn es von außen nicht steuerbar ist, dürfen sich Auswirkungen auf das Netzwerk auch eher nicht ergeben.

Die größte Gefahr bei IoT sind einfache Geräte, mit quick & dirty Software, die niemals Updates erhalten. Diese werden dann gerne für BotNetze usw. missbraucht.
Ohne Zugang zum Internet, können diese Lücken schwerlich angesprochen werden.

Ob man möchte, dass diese und andere Geräte dann auch die privaten Geräte sehen können, ist die nächste Frage. Und da kommt dann VLAN ins Spiel. Ursprünglich hat VLAN aber nichts mit IoT zu tun, sondern wird eher im Business Bereich verwendet, um Abteilungen und Kunden Bereiche zu trennen. (Also unter anderem…)

Wenn Du also trotzdem VLANs möchtest, kannst Du dies auch schrittweise ausrollen. Router hinter die FRITZ!Box und es geht schon ne Menge.

Je nach Anspruch wirst Du also nicht direkt die gesamte Infrastruktur austauschen müssen.

Wie sprichst du denn ein IoT-Gerät aus dem privaten Netzwerk von außen an, welches Zugriff zum Internet hat, ohne eine Weiterleitung im Router auf dieses Gerät eingerichtet zu haben?

Home Assistant kann z.B. mit einem Shelly direkt sprechen oder über MQTT. Das läuft im lokalen Netz. Home Assistant hängt am Internet und kann über den Hersteller Cloud-Service von den Entwicklern hinter Home Assistant (Nabu Casa) über den Browser angesprochen werden. Nur ganz selten muss ich im gleichen Netz sein (wenn aufgrund eines Fehler sonst nichts mehr geht - sehr selten). Wenn mehr Wissen vorhanden ist, könnte über ein Ansprechen aus dem Arbeitszimmernetz nachgedacht werden - ist vermutlich aber noch nachrangig.

Die normalen IoT Geräte sprechen nur mit dem Home Assistant (lokal).
Dauernd Netz brauchen: Home Assitant, die PV Anlagen, Fernseher und Sonos-Musik

Irgendwo habe ich schonmal drauf hingewiesen, aber wer nutzt schon die Suchfunktion :wink:

Also, die Fritzbox ist ein wirklicher Allrounder, aber die kann kein VLAN. Allerdings bedeutet das nicht, dass die VLAN ignoriert!
Die akzeptiert VLAN-Datenpakete mal, mal nicht und das gibt nach kurzer Zeit ein herrliches Durcheinander.
Tipp: Der Switch-Port an dem die Fritze hängt darf nur EIN VLAN ohne Tagging bekommen.

Und noch was zur Sache: Ich habe IOT-Netz und Verbraucher in unterschiedliche VLANs gepackt. Ein Raspberry dient als Gateway und DHCP-Server für das IOT-Netz. Hintergrund: Zu meiner Anfangszeit war die damalige Fritzbox nicht in der Lage, viele (>30) Geräte gleichzeitig zu bedienen.

1 „Gefällt mir“

Ich tendiere stark zu den TP Link Omada Geräten.

Wenn ich es richtig verstehe benötige ich für unser Haus:

  • Controller OC200 Kann ich auch alles vom PC aus über Win11 oder
    Linux Mint konfigurieren? Lohnt sich der OC200?
  • Router ER605
    oder einen ER7212PC (statt OC200 & ER605)
  • Switch Keller 16 Ports (SG2016P oder einen TL-SG2218 ohne P)
  • Switch 1.OG 8 Ports (oder mehr) (z.B. SG2008P)
  • Access Points für 1Keller; Erdgeschoss 1; 1. Etage 1-2* Die EAP6er Serie
    So wie ich es verstehe beherrschen z.B. EAP245/EAP225 kein WPA3

Die Access Points sind wahre Monster von der Größe her (im Vergleich zu
meinen von AVM)

Kann auch alles vom Winn11 oder Linux Mint PC per Software konfiguriert werden oder benötige ich wirklich einen OC200?

Nachtrag: Danke djeeens für die Berichtigung :wink:

1 „Gefällt mir“

Exzess :rofl::rofl::rofl: …. Sorry
access points

2 „Gefällt mir“

Was passiert, wenn man in einem TP-Link-Omada-Vlan-Netz hinter einen klugen gemanagten Switch einen dummen Switch hängt? Haben dann alle Geräte, die an dem dummen Switch hängen den gleichen Vlan-TAG?

Dann sollte aus dem Port vom TP-Link aber genau EIN Vlan ungetaggt rausgeleitet werden.

1 „Gefällt mir“

Ist euch bekannt, welche Unterschiede es beim TP-Link OC200 und ER405 zwischen den unterschiedlichen Hardwareversionen gibt?

Der ER605 (kenne keinen 405) V2 hat USB für ein 3G / 4G Modem als Fallback. Und er kann 1500.000 statt 25.000 gleichzeitige Verbindungen.
Und noch ein paar Kleinigkeiten, die vermutlich nicht relevant sind.

Beim OC200 hat der V2 andere Chipsätze, wegen dem Mangel 2020 - 2023, aber keine Unterschiede in der Leistung.

Die Unterschiede zu tippen hat länger gedauert als danach zu suchen. :wink:

Natürlich. Das kannst / musst Du auch beim OC200.

Der OC200 sorgt für ein SDN also Software Designed Network. Alternativ kannst Du auch die Control Software auf einem Rechner oder Server installieren. Es gibt auch die Cloud Lösung, die (ab X Geräten?) Geld kostet, von welcher ich stark abraten würde.

Ohne Controller (Software) musst Du Dinge auf den Geräten einzeln einstellen. Mit Controller machst Du alles zentral und die Geräte werden darüber gemeinsam verwaltet.

Ich habe mir damals den OC200 gebraucht geholt, weil ich keine Lust hatte es aus dem NAS laufen zu lassen.

1 „Gefällt mir“

Warum zwingend Mesh, wenn du genug freie Ports an den Switchen hast?

Danke. Ich hatte wohl bei der Suche unglücklich gewählte Begriffe :frowning:

Ich hatte der Hotline eine Frage zum ER7212PC gestellt und erfahren, dass das zentralisierte Management des ER7212PC nur bis zu 2 Omada Switches und 10 Omada Access Points verwalten kann.
Wegen der Begrenzung auf 2 Switches kommt er für mich nicht in Frage.

1 „Gefällt mir“

Mit Wlan-Mesh meine ich das Wlan-Netz welches ein Gerät im Wlan weiterreicht, wenn das Gerät sich durch das Haus bewegt.
Oder habe ich luxtra falsch verstanden?

Wenn deine APs alle einen Kabelanschluss haben, dann brauchst du keine Mesh-Ap´s, Die brauchst du nur, wenn du APs hast, die nicht per Kabel angebunden sind.

Nutzt hier jemand einen Omada-Router hinter einer Fritzbox und kann mir bei der Grundkonfiguration helfen?

Wie oben beschrieben nutze ich eine Fritzbox 5530 Fiber, die auch für die vorhandene Telefone weiterhin genutzt werden muss. Nun möchte ich einen TP-Link Router ER605 oder ER707-M2 so konfigurieren, dass ich Omada-Geräte über den TP-Link Router betreiben kann.

Das sind dann zwei Router hintereinander. Wie müssen sie richtig konfiguriert werden?
Ob da etwas mit PPPoE-Passthrough geht kann ich nicht beurteilen (und auch kein Wissen ob es sinnvoll ist) und habe auch keine Kenntnis, ob dies mein Internetanbieter anbietet (Osnatel (EWE)).

Ich habe diese Kombination in Ermangelung eines anderen Modems genutzt. Habe dafür meinen Anbieter angeschrieben, die FRITZ!Box als in den Bridge Mode versetzen lassen und diese nur als Modem genutzt.

In dem Fall hast Du ein Doppel-NAT. Hier würde ich durch die FRITZ!Box alles als DMZ direkt an Deinen Router durchreichen lassen und ebenfalls auf der Box nichts tun.

Ist halt die Frage ob die FRITZ!Box in dem Fall sinnvoll ist oder einfacher ausgetauscht werden könnte. Für DSL gibt es entsprechende Modems, für Glasfaser würde ich ohnehin keine FRITZ!Box verwenden, wenn dahinter etwas besseres hängt.