Jan 18, 2023

6637

Aufbau VLAN-Umgebung mit FritzBox als Router (nicht im Modem-Betrieb)

Hallo liebe Forumsmitglieder,

da ich mich auf der Arbeit (selbstständig, also für mich) und zu Hause mit einfachen Consumer-Netzwerken beschäftige und hier schon öfter mal bei Recherchen gelandet bin, habe ich mich für mein aktuelles Projekt direkt angemeldet und freue mich über den Austausch mit Gleichgesinnten.

Jetzt zu meinen "Problemen". Ich möchte mein privates Netzwerk segmentieren, was leider durch mein derzeitiges Setup nicht umsetzbar is. Bevor ich jetzt neue Teile kaufe, würde ich gern wissen, ob ich überhaupt den richtigen Ansatz verfolge.

Setup:
-FritzBox 6490 Cable als Mesh-Master und 2 FritzBoxen als AP über LAN
-Netgear GS116E L2 Switch (wegen IGMP-Snooping angeschafft)
-PoE IP-Kameras
-Produktiv- und Backup-NAS
-Multifunktionsgerät
-diverse Clients über LAN und WLAN (PCs, Smartgeräte)
-Gastnetzwerk wird über die FritzBox bereitgestellt

Es sind SIP Clients eingerichtet, MultiCast über FritzBox und SAToverIP, Bonjour-Dienst, Airplay usw.

Für die Segmentierung und Erweiterung habe ich mir gedacht:
VLAN 1: Management
VLAN 777: Default VLAN
VLAN 10: Produktiv-Netz / FritzBox Master und beide APs, PCs und Smartgeräte, beide NAS, Drucker
VLAN 20: IP-Kameras (ohne Internetzugang, LAN-Verbindung zu NAS und zu FritzFon wegen LiveBild)
VLAN 30: Testumgebung für einen Server (Internet-, aber keine Netzwerk-Verbindung)
VLAN 40: Homeoffice (mit Zugang zum Drucker und Internet)
VLAN 50: IoT (vom Produktivnetz getrennt)

Da die FritzBox kein VLAN unterstützt, würde VLAN 10 komplett portbasiert sein.
Für das Routen habe ich mir den Layer 3 Switch Cisco CBS250-24 rausgesucht (ehemals SG250).
DHCP Server kann mein NAS sein und der Cisco unterstützt DHCP-Relay.
Jetzt fehlt mir allerdings für einen sauberen Aufbau die Trennung des Internetzugang, da ich kein Modem in einem seperaten VLAN habe, z.B. VLAN 2. Abschalten aller Zusatzfunktionen auf der FritzBox ist aber nicht möglich und nicht gewollt, da nur durch diese einfache Bedienung (von Gast-Wlan, FritzFon, Doorline Türsprechanlage mit LiveBild, TV-Programm an Smartphone, Tablet und Smart-TV) der Hausfrieden bewahrt wird ;).

Problem 1:
Wenn ich jetzt zum Beispiel VLAN 30 auf die Master-Fritzbox in VLAN 10 route, baue ich mir doch einen ungewollten Kurzschluss ein, oder?
Mir würde noch einfallen, den LAN4 Port an der Master-FritzBox als Gast-Wlan zu aktivieren und diesen am L3 Switch als VLAN 2 (nur Internet) zuzuweisen. Gibt es da nicht eine elegantere Lösung?

Problem 2:
Kann ich überhaupt von VLAN 20 nur eine Verbindung zum NAS im VLAN10 herstellen? Und zusätzlich die Master-Fritzbox die IP-Adresse einer Kamera im VLAN20 abrufen lassen? Oder baue ich dadurch für VLAN20 einen Kurzschluss ins Internet ein, weil das Modem in der Master-Fritzbox aktiv ist?

Ich würde am liebsten experimentieren. Aber teure Hardware kaufen und am Ende ist der Ansatz völliger Mist, würde ich mir gerne ersparen.

Please also mark the comments that contributed to the solution of the article

Content-Key: 5451330356

Url: https://administrator.de/contentid/5451330356

Printed on: May 1, 2024 at 20:05 o'clock

38 Comments

Latest comment

Das Layer 3 VLAN Tutorial hast du gelesen zu der Thematik??
Verständnissproblem Routing mit SG300-28

Dort ist eigentlich alles erklärt was du zur einfachen und schnellen Umsetzung deines Vorhabens brauchst:
Zu deinen "Problemen"...
1.)
Das kommt drauf an. Wenn du damit eine VLAN Translation meinst dann geht das.
Was aber keinesfalls geht ist eine Strippe in VLAN 30 auf der einen Seite und VLAN 10 auf der anderen zu stecken. Damit hast du dann zwei getrennte Layer 2 Broadcast Domains direkt verbunden was ein nicht supportetes VLAN Design ist. Das ist so als wenn du mit 2 getrennten IP Netzen auf einem gemeinsamen Draht fährst. Ein absolutes NoGo !! Vergiss das also schnell wieder.

Jetzt fehlt mir allerdings für einen sauberen Aufbau die Trennung des Internetzugang

Das o.a. Tutorial beschreibt das im Detail! Lesen und verstehen...!

2.)

Kann ich überhaupt von VLAN 20 nur eine Verbindung zum NAS im VLAN10 herstellen?

Natürlich! Warum sollte es deiner Meining nach denn nicht gehen? Der Cisco routet doch zwischen deinen VLAN Segmenten! Die Frage ist irgendwie sinnfrei oder missverständlich?!
Idealerweise bindest du zur Bandbreitenerhöhing dein NAS mit einem LACP LAG, Link Aggregation an. Sofern dein NAS 2 Ethernet RJ-45 Ports hat?!

Aber teure Hardware kaufen

Dein "Problem" (was gar keins ist) würde auch ein Mikrotik! mit links lösen. Der Cisco allemal.

Erstmal Danke für die Antwort. Das ging ja unglaublich schnell.

Das Layer 3 VLAN Tutorial hast du gelesen zu der Thematik??
Verständnissproblem Routing mit SG300-28

Ja, da bin ich häufiger gelandet

Nur kann ich den idealen Aufbau nicht nachstellen, was ja das Problem ist. Mein Internet ist im Produktivnetz, wovor ja gewarnt wird.

Zu deinen "Problemen"...
1.)
Das kommt drauf an. Wenn du damit eine VLAN Translation meinst dann geht das.
Was aber keinesfalls geht ist eine Strippe in VLAN 30 auf der einen Seite und VLAN 10 auf der anderen zu stecken. Damit hast du dann zwei getrennte Layer 2 Broadcast Domains direkt verbunden was ein nicht supportetes VLAN Design ist. Das ist so als wenn du mit 2 getrennten IP Netzen auf einem gemeinsamen Draht fährst. Ein absolutes NoGo !! Vergiss das also schnell wieder.

Eigentlich meinte ich, dass das VLAN 30 ja getrennt von VLAN 10 ist. VLAN 30 braucht aber Internet, daher eine statische Route zu VLAN 10 einrichten. Jetzt bekommt VLAN 30 aber Internet und Zugang zu allen Clients, was nicht gewünscht ist und durch Internet im Produktivnetz hervorgerufen wird. Umgehen könnte man das, in dem man an LAN4 der Fritzbox ein GastWLAN erzeugt und dieses per Kabel auf den L3 Switch legt und es zum Beispiel VLAN 2 nennt und mittels statischer Route dem VLAN 30 nur Internet gibt. Ist aber ein unschöner Umweg.

2.)

Kann ich überhaupt von VLAN 20 nur eine Verbindung zum NAS im VLAN10 herstellen?

Natürlich! Warum sollte es deiner Meining nach denn nicht gehen? Der Cisco routet doch zwischen deinen VLAN Segmenten! Die Frage ist irgendwie sinnfrei oder missverständlich?!

Sorry, missverständlich ausgedrückt. In VLAN 20 sind IP-Kameras, die keinen Zugang zum Internet und ins Produktivnetz haben sollen, damit man draußen nicht einfach die Kamera absteckt und Zugang hat. Steuerung und Speicherung der Kameras läuft via NAS in VLAN 10. Durch statisches Routing in VLAN 10 ist wieder alles verbunden. Mit ACL kann man das einschränken, aber nicht die IP des Routers verbieten, da dieser sich von der IP-Kamera das LiveBild holen muss, aber gleichzeitig auch Internet-Gateway ist. Wahrscheinlich kann man auch Ports beschränken und ich muss mich da mal reinlesen. Oder einfach kaufen und ausprobieren.

Idealerweise bindest du zur Bandbreitenerhöhing dein NAS mit einem LACP LAG, Link Aggregation an. Sofern dein NAS 2 Ethernet RJ-45 Ports hat?!

Ja, das Produktiv-NAS hat zwei und hatte ich auch überlegt, da sogar mein Netgear L2 Switch LAG kann. Doch ich wollte ein Netz in VLAN 20 zu den Kameras legen. Nur dann würde der Router in VLAN 10 auch wieder nicht an die IP-Kamera in VLAN 20 kommen, ohne eine statische Route anzulegen.

Dein "Problem" (was gar keins ist) würde auch ein Mikrotik! mit links lösen. Der Cisco allemal.

Ich bräuchte schon die Gigabit Variante davon, allerdings sehe ich nicht, wie der Mikrotik das Problem löst. Auch in dem Tutorial ist am Ether 1 die Fritzbox und reines Modem. Bei mir verteilt die Fritzbox aber IP-TV, ist WLAN-AP, hat am a/b Anschluss die Türsprechanlage hängen und holt sich ein lokal ein LiveBild von der IP-Kamera an der Tür.
Wie schon gesagt, ich glaube ich muss probieren und nicht so viel überlegen.

Nur kann ich den idealen Aufbau nicht nachstellen, was ja das Problem ist.

Gibt es einen triftigen Grund warum du das nicht kannst??

Mein Internet ist im Produktivnetz, wovor ja gewarnt wird.

Rembrandt, Ägypten?? Du sprichst in Rätseln...

Eigentlich meinte ich, dass das VLAN 30 ja getrennt von VLAN 10 ist.

Das ist es in einer klassischen Switch Konfig ja auch!

und Zugang zu allen Clients, was nicht gewünscht ist

Das löst man auf einem L3 Switch immer mit IP Accesslisten und NICHT durch Fricklei mit VLANs.
Fazit:

Switch hat eine Default Route auf die FritzBox
FritzBox hat einen Summary Route auf die VLANs oder statische Einzelrouten.

Wenn du willst das ein VLAN Segment keinerlei Internet Zugang hat lässt du schlicht und einfach die statische Route in das VLAN auf der FritzBox weg und gut iss.
Damit kann dieses VLAN dann nicht mehr ins Internet und gut iss.
Du denkst vermutlich viel zu kompliziert?!
Wenn du zum Gürtel noch den Hosenträger willst verpasst du diesem VLAN on Top noch eine Accessliste.
Lokal werden alle VLANs ja auf dem L3 Switch geroutet. Logisch, denn der ist der lokale Router für alle deine lokalen IP Netze / VLANs.

Wie man das Gastnetz der FritzBox in ein VLAN konfiguriert erklärt dir dieses Tutorial.

Doch ich wollte ein Netz in VLAN 20 zu den Kameras legen.

Kann man machen ist aber etwas unsauberes Design. Besser ist die LAG Lösung und eine Accessliste was den Zugriff für die Geräte ausschliesst die du da nicht haben willst.

damit man draußen nicht einfach die Kamera absteckt und Zugang hat.

Wie gesagt: Einfach die FB Route für das VLAN weglassen, dann ists aus mit dem Internet von dort bei bleibender lokaler Connectivity.
Besser: Definiere über Port Security auf dem Switch die Mac Adresse der Kamera. Damit kann nur mit dieser Mac Adresse den Port benutzen. Ja, Macs kann man klonen aber der Aufwand ist größer und Laien sind in der Regel damit überfordert.

aber nicht die IP des Routers verbieten

Das wäre auch Quatsch. Die Mac Adresse des Routers ist irrelevant für das lokale Routing der VLANs. Dort zählt nur die Mac des Switch VLAN Interfaces. Mac ist immer ausschliesslich nur Layer 2!!

Ich bräuchte schon die Gigabit Variante davon

War auch eher etwas ironisch gemeint. Du hast ja den Cisco der alles für dich erledigt. Da musst natürlich nix Neues kaufen!

Auch in dem Tutorial ist am Ether 1 die Fritzbox und reines Modem.

Das ist Quatsch! Ein reines Modem kann ja wohl schwerlich routen. Bitte das Tutorial einmal wirklich genau lesen und verstehen!! Der MT VLAN Switch arbeitet mit der FritzBox als Router!!

ich glaube ich muss probieren

In der IT keine wirklich intelligente Taktik. Weisst du auch selber...

Ich halte Dein geplantes Setup für unglücklich. Für jemanden, der noch an den Grundfragen herumkaut und das offenbar zum ersten Mal macht, finde ich den Aufbau mit Layer 2+ Switch und DHCP-Relay kaum sinnvoll. Ich kann Deinen Gedankengang vielleicht nachvollziehen, er kommt mir jedenfalls bekannt vor

. Anfangs scheut man den Sprung zu einem anderen Router. Rückblickend ist das in der Anwendung jedoch klarer, finde ich.

Wenn die Fritzbox mit ihren Sonderfunktionen bleiben soll, hieße das:
Internet -> Modem -> VLAN-Router -> Fritzbox (im gewünschten VLAN).

Abschalten aller Zusatzfunktionen auf der FritzBox ist aber nicht möglich und nicht gewollt, da nur durch diese einfache Bedienung (von Gast-Wlan, FritzFon, Doorline Türsprechanlage mit LiveBild, TV-Programm an Smartphone, Tablet und Smart-TV) der Hausfrieden bewahrt wird ;).

Das sollte auch mit einer Fritzbox gehen, die nicht direkt am Internet hängt.

Als Modem kannst Du natürlich auch eine zweite Fritzbox nehmen, vielleicht eine 6430? Da kenne ich mich nicht aus. Ein echtes Modem ist aber weniger umständlich, wenn Portfreigaben o.ä. erforderlich sind.. Routing geht mit kleinem Investment für ein kleines Netz recht ordentlich mit einem Mikrotik hAP oder hEX im Bereich von 60-80 EUR (ganz schön teuer geworden...). Für den Anfang tun es auch die lite-Modelle oder ein mAP (nicht lite). Vorteil: Hier gibt es die vorzüglichen Tutorials des Kollegen @aqui dazu. Sonst geht auch jeder andere VLAN-fähige Router natürlich, nur meist deutlich teurer. Gerade zum Lernen und Experimentieren ist der Mikrotik unschlagbar, weil er einem das Denken nicht abzunehmen versucht.

Der Cisco ist prima. Wenn Du mehr als 8 Ports brauchst, kommst Du mit einem Mikrotik CSS326 wahrscheinlich günstiger und bleibst im Ökosystem, wenn 5 Ports reichen (oder prima zum Lernen) reicht ein RB 260GS für den Anfang. Wenn Geld knapp ist, reicht für den Hausgebrauch als Switch auch ein VLAN-fähiger TP-Link (nicht so toll, aber billig).

Problem 1:
Wenn ich jetzt zum Beispiel VLAN 30 auf die Master-Fritzbox in VLAN 10 route, baue ich mir doch einen ungewollten Kurzschluss ein, oder?

Nein. Bitte Grundlagen des Routing erarbeiten.

Problem 2:
Kann ich überhaupt von VLAN 20 nur eine Verbindung zum NAS im VLAN10 herstellen? Und zusätzlich die Master-Fritzbox die IP-Adresse einer Kamera im VLAN20 abrufen lassen?

Ja, Routing. Wie vor.

Oder baue ich dadurch für VLAN20 einen Kurzschluss ins Internet ein, weil das Modem in der Master-Fritzbox aktiv ist?

Klar, das Internet bricht weltweit zusammen :-O. Im Ernst: Nein.

Empfohlenes Vorgehen:
1. Grundlagen erlernen:
- Youtube: https://www.youtube.com/@SebastianPhilippiTV
- WWW: https://www.elektronik-kompendium.de/
- Buch: https://www.rheinwerk-verlag.de/it-handbuch-fuer-fachinformatiker-der-au ... (antiquarisch reicht völlig)

2. Netzwerkplan machen

3. erforderliche und einzusetzende Geräte planen

4. Bei Fragen, Plan und Geräteliste als Konzept hier vorstellen und fragen

5. Spaß haben. Zeit nehmen. Wenn zu schwierig/aufwendig: Fritzbox lassen oder Techniker rufen.

Viele Grüße, commodity

Nur kann ich den idealen Aufbau nicht nachstellen, was ja das Problem ist.

Gibt es einen triftigen Grund warum du das nicht kannst??

Bis jetzt hänge ich anscheinend zu sehr am Konzept, dass die FritzBox alles regelt und steuert. Mit Komforteinbußen muss ich mich wohl davon lösen.

Mein Internet ist im Produktivnetz, wovor ja gewarnt wird.

Rembrandt, Ägypten?? Du sprichst in Rätseln...

Router mit Modem ist im selben VLAN wie alle Clients meines Produktivnetzes. Im Tutorial ist Router mit Modem separiert und das Produktivnetz im separaten VLAN, also Clients und ein MSSID fähiger WLAN-AP. Ich habe einfach die falsche Hardware für eine saubere Lösung und muss mich wohl oder übel von dem Komfort meines aktuellen Setups trennen, wenn ich die VLANs richtig aufbauen will.

Eigentlich meinte ich, dass das VLAN 30 ja getrennt von VLAN 10 ist.

Das ist es in einer klassischen Switch Konfig ja auch!

und Zugang zu allen Clients, was nicht gewünscht ist

Das löst man auf einem L3 Switch immer mit IP Accesslisten und NICHT durch Fricklei mit VLANs.
Du denkst vermutlich viel zu kompliziert?!

Genau, weil ich meine aktuelle Netzwerkkonfiguration nicht aufgeben wollte, mache ich es mir mit der VLAN Segmentierung unnötig kompliziert. Entweder auf etwas Komfort verzichten und nach Tutorial aufbauen oder frickeln bzw. es sein lassen.

damit man draußen nicht einfach die Kamera absteckt und Zugang hat.

Wie gesagt: Einfach die FB Route für das VLAN weglassen, dann ists aus mit dem Internet von dort bei bleibender lokaler Connectivity.

Eine der Kameras braucht aber die FB-Route, da von einer das Bild in der Fritzbox verarbeitet wird und an die FritzFon-Telefone übertragen wird. FB-Route weg, Bild auf dem Telefon weg und ich seh nicht mehr wer klingelt.

Besser: Definiere über Port Security auf dem Switch die Mac Adresse der Kamera. Damit kann nur mit dieser Mac Adresse den Port benutzen. Ja, Macs kann man klonen aber der Aufwand ist größer und Laien sind in der Regel damit überfordert.

Also ich habe schon eine MAC Filterliste und Ports beschränkt, allerdings höre ich von Freunden die in der IT-Branche sind, dass das keine Sicherheit wäre. Hmm, da sind wir wieder bei unnötig kompliziert machen.

Ich bräuchte schon die Gigabit Variante davon

War auch eher etwas ironisch gemeint. Du hast ja den Cisco der alles für dich erledigt. Da musst natürlich nix Neues kaufen!

Ne, ich habe den Netgear GS116E Layer 2 Switch. Wegen Routing und da 16 Ports nicht mehr reichen, würde ich gern einen Cisco CBS250-24 kaufen und da der nicht günstig ist und ich meine Überlegungen nicht testen kann, habe ich hier im Forum um Rate gefragt

Da ich hier auch oft gelesen habe, dass Netgear "Mist" ist und bei Cisco vieles anders heißt oder funktioniert, war mein Gedanke als Laie, einen großen Switch kaufen und alles nur in einer Variante lernen, um nicht total verwirrt zu werden

Auch in dem Tutorial ist am Ether 1 die Fritzbox und reines Modem.

Das ist Quatsch! Ein reines Modem kann ja wohl schwerlich routen. Bitte das Tutorial einmal wirklich genau lesen und verstehen!! Der MT VLAN Switch arbeitet mit der FritzBox als Router!!

Sorry, ich meinte, als Router im reinen Modembetrieb. Deaktiviertes WLAN, SIP, DECT, Smarthome usw.

ich glaube ich muss probieren

In der IT keine wirklich intelligente Taktik. Weisst du auch selber...

Oha, meinte auch hier was anderes. Ich muss einen Layer 3 Router/Switch kaufen, an meinen Gastzugang anschließen und eine Testumgebung erzeugen und da die Routing-Funktionen, ACLs, Portfreigaben usw. austesten, ohne mein gesamtes Netzwerk lahm zu legen oder für die Welt freizugeben

. Anfangs scheut man den Sprung zu einem anderen Router. Rückblickend ist das in der Anwendung jedoch klarer, finde ich.

Hallo, Danke für deine Rückmeldung. Also mein Gedanke war, mein bestehendes und funktionierendes LAN in ein VLAN zu stecken und durch weitere VLANs einige Geräte einzuschränken. Aber wenn man den Internetzugang, WLAN-AP und alles in einem VLAN hat, macht die Abgrenzung mittels VLAN wenig Sinn. Sprich, ich muss mir was überlegen, wie ich ohne zu große Komforteinbußen mit professioneller Hardware umstruktiere.

Wenn die Fritzbox mit ihren Sonderfunktionen bleiben soll, hieße das:
Internet -> Modem -> VLAN-Router -> Fritzbox (im gewünschten VLAN).

Wir haben hier öfter mal Fremdstörer im Glasfasernetz. Damit meine Frau schnell sehen kann, ob wir kein Netz haben oder der Client Probleme macht, kann sie auf dem FritzFon die Verbindungsdaten sehen, was bei deinem Aufbau wegfallen würde, da die Master-FritzBox dann ein IP-Client wäre. Da grübel ich gerade, ob ich mittels myFritzApp über das Internet Zugriff auf die Daten der 1. FritzBox komme. IP-TV kann man zum Beispiel mit dem Cisco CBS250 am Multicast Router Port weiterleiten. Sowas wie PIM, denke ich. Das kannte ich zum Beispiel bis jetzt nicht.

Als Modem kannst Du natürlich auch eine zweite Fritzbox nehmen, vielleicht eine 6430?

Genau, es muss sogar eine FritzBox-Cable sein, damit IP-TV ins LAN übertragen wird

Routing geht mit kleinem Investment für ein kleines Netz recht ordentlich mit einem Mikrotik hAP oder hEX >im Bereich von 60-80 EUR (ganz schön teuer geworden...). Für den Anfang tun es auch die lite-Modelle >oder ein mAP (nicht lite). Vorteil: Hier gibt es die vorzüglichen Tutorials des Kollegen @aqui dazu.
Sonst geht auch jeder andere VLAN-fähige Router natürlich, nur meist deutlich teurer. Gerade zum Lernen >und Experimentieren ist der Mikrotik unschlagbar, weil er einem das Denken nicht abzunehmen versucht.

Ah, Danke, guter Tipp, jetzt ist das für mich überschaubarer, welches Modell ich bei Mikrotik bräuchte.

Problem 1:
Wenn ich jetzt zum Beispiel VLAN 30 auf die Master-Fritzbox in VLAN 10 route, baue ich mir doch einen ungewollten Kurzschluss ein, oder?

Nein. Bitte Grundlagen des Routing erarbeiten.

Also keinen Kurzschluss im technischen Sinne. In VLAN 10 ist der Internet-Router und ein Client. Route ich VLAN 30 in 10, dann haben die Clients in VLAN 30 auch Internetzugang, obwohl ich die Route nur für zum Beispiel den Netzwerkdrucker haben wollte. Aber da hab ich nicht an ACL gedacht.

Problem 2:
Oder baue ich dadurch für VLAN20 einen Kurzschluss ins Internet ein, weil das Modem in der Master-Fritzbox aktiv ist?

Klar, das Internet bricht weltweit zusammen :-O. Im Ernst: Nein.

Auch hier wieder, kein Kurzschluss im technischen Sinne

Mein Problem ist, dass ich nicht mit Hardware testen kann, im Tutorial ein anderer Aufbau ist und ich überlege, wie ich es passend bekomme.

Empfohlenes Vorgehen:
1. Grundlagen erlernen:
- Youtube: https://www.youtube.com/@SebastianPhilippiTV
- WWW: https://www.elektronik-kompendium.de/
- Buch: https://www.rheinwerk-verlag.de/it-handbuch-fuer-fachinformatiker-der-au ... (antiquarisch reicht völlig)

2. Netzwerkplan machen

3. erforderliche und einzusetzende Geräte planen

4. Bei Fragen, Plan und Geräteliste als Konzept hier vorstellen und fragen

5. Spaß haben. Zeit nehmen. Wenn zu schwierig/aufwendig: Fritzbox lassen oder Techniker rufen.

Viele Grüße, commodity

Vielen Dank, die Tipps nehme ich mit und arbeite weiter an einer sauberen Lösung ohne vor die Tür gesetzt zu werden. Und ne ne, Spaß haben und Zeit nehmen ist der richtige Weg

Router mit Modem ist im selben VLAN wie alle Clients meines Produktivnetzes.

Das ist es ja gar nicht!! Du richtest immer ein separates Transfer VLAN ein (hier 99) was den Router von den Produktiv VLANs trennt.
Entweder hast du dir das Schaubild dazu gar nicht angesehen oder du hast es nicht verstanden.
Du hast weder die falsche Hardware noch sonstwas...

Mit deinem geplanten Cisco oder auch einem Mikrotik wärst du doch perfekt ausgerüstet.

Wenn dir der Cisco zu teuer ist nimmst du halt einen Mikrotik L3 Switch wenn der besser in dein Budget passt und dir 230 Euronen nicht auch zu teuer sind?!:
https://www.varia-store.com/de/produkt/394539-crs326-24g-2s-in-cloud-rou ...
oder die Rackmount version mit 19"
https://www.varia-store.com/de/produkt/395933-crs326-24g-2s-rm-cloud-rou ...
Mit dieser HW hast du das in max. 1 Stunde alles am laufen wie DU es dir vorstellst und was ja auch gar nicht falsch ist. Damit kannst du ALLES umsetzen mit Kameras, Telefon usw. usw. und alle deinen bestehenden Komponenten behalten.

Wenn dir der CRS236 zuviele Ports hast oder auch noch dein Budget überstrapazieren sollte oder du lieber alles auf deinem bestehenden NetGear terminieren möchtest, dann reicht dir auch ein einfacher 65 Euro Mikrotik hEX. Das ist der 326 in klein.
https://www.varia-store.com/de/produkt/97589-rb750gr3-routerboard-hex-mi ...
Der macht dann das L3 VLAN Geschäft und reicht die VLANs an deinen NetGear weiter:

Die 65 Euronen musst du schon mindestens investieren für eine vernünftige Lösung nach deinen Vorstellungen. Dadrunter wirds schwer. An dem Betrag sollte es ja nun wirklich nicht scheitern.
Im Mittelfeld gäbe es noch den CRS112 mit 12 Ports:
https://www.varia-store.com/de/produkt/395829-crs112-8g-4s-in-400-mhz-12 ...
Alles wären geeignete Switches dafür. Eigentlich doch alles ganz easy und du machst dir vielzuviel Gedanken und stehst dir selbst im Weg! 😉
Wo ist also dein "wirkliches" Problem??

Router mit Modem ist im selben VLAN wie alle Clients meines Produktivnetzes.

Mit deinem geplanten Cisco oder auch einem Mikrotik wärst du doch perfekt ausgerüstet.

Mein Internet-Router (FritzBox) im Koppel VLAN 99 ist aber mein WLAN-AP, also sind alle WLAN-Clients im VLAN 99. Auch mein Multifunktionsgerät mit Bonjour Dienst. Auch mein IP-TV vom Kabelanbieter, aber das kann man mit PIM weiterleiten. Meine IP-Kameras kommunizieren auch mit der FritzBox in VLAN 99, weil die FritzBox das Bild auf die FritzFon Telefone weiterleitet. So wie ich es jetzt habe, kann ich es nicht lassen, das weiß ich jetzt auch.

Wenn dir der Cisco zu teuer ist nimmst du halt einen Mikrotik L3 Switch wenn der besser in dein Budget passt und dir 230 Euronen nicht auch zu teuer sind?!:
https://www.varia-store.com/de/produkt/394539-crs326-24g-2s-in-cloud-rou ...
oder die Rackmount version mit 19"
https://www.varia-store.com/de/produkt/395933-crs326-24g-2s-rm-cloud-rou ...

Mir geht es nicht um zu teuer. Mir geht es darum nicht was zu kaufen, was nachher nicht so funktioniert, wie ich es mir vorstelle. Wie ich gelernt habe, muss ich umdenken und neu aufbauen. Ich kann aber definitiv nicht mehr alle Komfortfunktionen der FritzBox nutzen und muss mich damit arrangieren bzw. meiner Frau klar machen, warum das nicht mehr so einfach geht wie vorher.

Wenn dir der CRS236 zuviele Ports hast oder auch noch dein Budget überstrapazieren sollte oder du lieber alles auf deinem bestehenden NetGear terminieren möchtest, dann reicht dir auch ein einfacher 65 Euro Mikrotik hEX. Das ist der 326 in klein.
https://www.varia-store.com/de/produkt/97589-rb750gr3-routerboard-hex-mi ...
Der macht dann das L3 VLAN Geschäft und reicht die VLANs an deinen NetGear weiter:

Die 65 Euronen musst du schon mindestens investieren für eine vernünftige Lösung nach deinen Vorstellungen. Dadrunter wirds schwer. An dem Betrag sollte es ja nun wirklich nicht scheitern.

Wie gesagt, liegt nicht am Geld. Nur wollte ich vermeiden einen L3 Router zu kaufen und auf einmal sagt man mir, geht nicht, mach das lieber mit pfsense. Erstmal wollte ich wissen, ob die Reise in die richtige Richtung geht.

Ist doch alles ganz easy und du machst dir vielzuviel Gedanken und stehst dir selbst im Weg! 😉
Wo ist also dein "wirkliches" Problem??

An die Funktionen von Consumer-Hardware gewöhnt. Da wahrscheinlich keiner die hier in dem Umfang nutzt, muss ich probieren, welche Funktionen danach noch gehen und hinnehmen, wenn welche nicht mehr gehen. Und wenn ich Glück habe, zu viel Gedanken gemacht und alles geht

Und... Bitte nicht immer ALLES zitieren!!

Wir wissen doch alles was wir geschrieben haben!

ist aber mein WLAN-AP

Das geht dann nicht. Ist bei einer Segmentierung ja auch nicht sinnvoll. Zumal der Router oft im Keller steht und das WLAN dann so oder so mies ist.
Schalte das auf dem Router also ab und investieren in eine schicken separaten MSSID AP wie z.B. hier.

Mir geht es nicht um zu teuer.

Na dann erst Recht mit externem AP. Die sind eh besser als die in der FB integrierten.

Ich kann aber definitiv nicht mehr alle Komfortfunktionen der FritzBox nutzen

Doch! Warum meinst du sollte das nicht gehen? Alles was NICHT WLAN ist kannst du weiter vollumfänglich nutzen. Unverständlich warum du meinst das dem nicht so wäre.

aber das kann man mit PIM weiterleiten.

Zum Beispiel. Sieher [=362413&token=462#comment-1259332 testen] willst.
Wie oben bereits gesagt: Für kleine 25 Euronen musst du das auch nicht deiner Madame beichten sondern kannst das vom eigenen Taschengeld mal heimlich alles ganz in Ruhe vorab wasserdicht mit all deinen Komponenten inklusive WLAN testen ohne das Madame etwas davon merkt. Die 25 Euro kannst du sicher vor ihr verbergen beim nächsten Supermarkt Einkauf. Wenn alles sauber rennt zapfst du dann das große Budget bei der Chefin an! Salami Taktik... 😉
Was du dann dabei netzwerktechnisch alles lernst ist eh unbezahlbar.

An die Funktionen von Consumer-Hardware gewöhnt.

Du kannst ja auch einen anderen VLAN fähigen Router mit IP-TV nehmen wenns nicht am Geld scheitert.
Mit dem Marktführer machst du sicher nichts falsch. Es gibt auch noch andere die so denken wie du:
https://www.heise.de/ratgeber/Erfahrungsbericht-Warum-eine-Alternative-z ...

Und wenn ich Glück habe, zu viel Gedanken gemacht und alles geht

Oha...das klingt ja so als ob Netzwerken mit dem viele Admins hier ihre Brötchen verdienen für dich sowas wie ne bunte Lotterie ist. Für jemanden der das Netzwerken schon im Nickname in einem Administrator Forum trägt ist das aber kein besonders gutes Aushängeschild.

Den Ausführungen des Kollegen @aqui ist nichts hinzuzufügen. Deine verbliebenen Vorbehalte hängen mit Kardinalfehler Nr. 1 in der IT zusammen: Ungenügende Bereitschaft gründlich zu lesen und sich darauf beruhend Verständnis zu verschaffen. Sorry. Ohne Lesen fällt Dir jedes anspruchsvollere IT-Projekt auf die Füße. Bitte erst lesen, versuchen zu verstehen und dann wieder posten. Sonst wird es unnötig redundant.

Eine kleine Ergänzung: Ich kauf die Mikrotiks direkt in Lettland, das spart noch ein bisschen.

Ich kann aber definitiv nicht mehr alle Komfortfunktionen der FritzBox nutzen und muss mich damit arrangieren bzw. meiner Frau klar machen, warum das nicht mehr so einfach geht wie vorher.

Das halte ich für falsch. Klar, alles, was direkte Anbindung der Fritzbox ans Internet voraussetzt (z.B. VPN) lässt sich über die nachgeschaltete Fritzbox nicht mehr realisieren. Bonjour funktioniert nicht ohne Weiteres über VLAN-Grenzen, aber das tut es ja derzeit auch nicht

Es gibt für alles eine Lösung. Das, was Du oben beschreibst:

einfache Bedienung (von Gast-Wlan, FritzFon, Doorline Türsprechanlage mit LiveBild, TV-Programm an Smartphone, Tablet und Smart-TV)

sollte auch im VLAN-Setup realisierbar sein. Für's Durchreichen des Kabel-TV kann ich das allerdings nicht beurteilen, sehe aber nicht, wo da ein Problem liegen sollte, wenn es am Ende Netzwerk ist.

Mein Internet-Router (FritzBox) im Koppel VLAN 99 ist aber mein WLAN-AP...

Daran festzuhalten würde dem Sinn der Neustrukturierung ja eher widersprechen. Bei dem von mir vorgeschlagenen Setup hast Du ja im produktiven VLAN dann auch wieder eine Fritzbox mit WLAN. Dass WLAN über die Fritzbox an sich schon kaum sinnhaft ist, wird Dir dann später klar werden. Gehen wird es natürlich. Und wenn die WLAN-Geräte nicht auf das Netzwerk (sondern nur auf das Internet zugreifen, kann die "Modem-"Fritze ja auch erstmal AP bleiben).

Da Du als noch-Laie ja kaum gleich noch nen Radius aufsetzen wollen wirst, wirst Du aber ohne MSSID-fähigen WLAN-AP sehr schnell an die ersten Grenzen stoßen, fürchte ich.

Noch einmal abschließend zur Klarstellung: Bei einem Netzwerkumbau macht man nicht alles auf einen Schwung. Man arbeitet sich Schritt für Schritt durch. Mach Dir einen ordentlichen Plan und dann fang mit dem an, was Du Dir zutraust. Wenn die Ehe davon abhängt, kauf Dir etwas zusätzliche Hardware und teste damit, bevor Du "produktiv" gehst. Da Du offenbar Zweifel hast, dass das Bisherige mit der Fritzbox weiter geht, kauf eine Zweite und setze das Konzept
Internet => Fritzbox1 => VLAN-Router => Fritzbox2 als erstes um. Wenn was nicht klappt, kannst Du schnell wieder die Fritzbox2 als Hauptbox ranhängen, im Produktivnetz hast Du ja nichts verändert.

Wenn Du das Schrittweise und überlegt machst, wird die größte Belastung Deiner Ehe die viele Zeit sein, die Du mit Netzwerken verbringst... Viele Ehepartner neigen dazu, derartige Umbauten von vornherein als sinnfrei anzusehen, solange alles funktoniert.

Mit welchem Hersteller Du das realisierst ist völlig egal. Ganz nach Portemonnaie und Vorlieben. Mikrotik empfehle (und verwende - ich verkaufe selbst keine Hardware) ich deshalb, weil das System in Sachen Preis/Leistung für KMU oder privat schier unschlagbar ist und sehr gut supportet wird (auch hier und im Mikrotik-Forum), Videos etc. und weil gerade der ambitionierte Laie damit ganz viel lernen kann.

Viele Grüße, commodity

Also ich habe übers Wochenende ein wenig gegrübelt und muss mich von bestimmten "Routen" befreien. Danke für die Unterstützung und eure Nerven.

Mein aktuelles Netzwerk war geplant und funktioniert für mich auch ohne VLAN. Jetzt kommt eine Etage dazu und der Grundgedanke war, ok, L2 Switch gegen L3 Router mit mehr Ports austauschen und schon kann ich mich mit VLANs beglücken und alles sicherer machen. Aber so einfach ist das leider nicht. Will ich VLAN sinnvoll nutzen, muss ich, wie ihr gesagt habt, einiges ändern und kann es nicht zurechtbiegen, wie ich es gehofft habe.
So, jetzt habe ich mir einen hAP AX3 zum Testen bestellt. Damit kann ich hinter der Internet-FB testen, ob ich SIP und IPTV geroutet bekomme. Zusätzlich kann ich testen, ob die WLAN Reichweite größer ist, als von der 7530 im EG. Falls ja, brauche ich im Keller auch kein aktives WLAN mehr, damit der Raum dadrüber normales und der Vorgarten für IoT Gast-Internet hat. Dann wäre das Problem gelöst. Und durch Wegfall anderer APs zum Bsp. in der Garage usw. bräuchte ich auch keinen neuen Switch. Ich würde den hAP als L3 Router nutzen und tagged mit dem L2-Switch verbinden.
So spare ich mir den Kauf weiterer Fritzboxen (für Keller und Dach) und komme weg vom Markenzwang. Eine AP-Fritzbox würde ich als DECT Basisstation mittig im Haus platzieren und per LAN direkt ohne L3-Router an die Keller-Internet-Fritzbox anschließen. Da sie kein WLAN-AP mehr ist, sollte das keine Probleme geben und ich spare mir etwas Einstellarbeit.
Auch kann ich das GästeWLAN dauerhaft anlassen und muss es nicht über FritzFon steuern.
Einen zweiten hAP AX2 oder AX3 würde ich bei positivem Ergebnis dann als AP im DG installieren. Da spare ich auch Kabel, weil der VLAN kann und ich nicht für alles extra Kabel brauche, um die Sachen portbasiert im Keller anzustecken

So langsam sehe ich auch weitere Vorteile von VLANs... Genau wie MSSID und die Zuteilung zu mehr als zwei VLANs.

Und ich hab dann nichts gekauft, was nachher in ner Schublade landet

Jetzt warte ich erstmal auf den Mikrotik und melde mich dann wieder.

und kann es nicht zurechtbiegen, wie ich es gehofft habe.

Na ja...das kann man schon.
Man lässt einfach das Altnetz als VLAN so wie es ist weiterlaufen und richtet dann parallel dazu die neuen VLANs dazu ein.
Dann kann man sukzessive Client für Client im laufenden Betrieb in die neuen VLAN Segmente migrieren. Klappt mal was aus irgendeinem Grund nicht steckt man erstmal wieder zurück.
Das geht also alles komplett stressfrei und im laufenden Betrieb ohne das man andere stört.
Ein bisschen "zurechtbiegen" geht also schon wenn man es richtig macht!

So, jetzt habe ich mir einen hAP AX3 zum Testen bestellt.

Schon mal ein richiger Schritt...und so kannst du in der Tat alles in aller Ruhe parallel testen.

So spare ich mir den Kauf weiterer Fritzboxen (für Keller und Dach)

So einen Blödsinn macht man so oder niemals wenn es nur darum geht dort WLAN hinzubringen. Dazu verbrät man keinen vollständigen Router wenn es ein kleiner AP (oder deine AXe) auch tut. Um ne Kiste Bier zu holen braucht man nicht immer einen LKW...

und melde mich dann wieder.

Wir sind gespannt...!

Der Plan klingt für mich gut. hAPs verbaue ich auch gern. Beim AX3 werd ich glatt neidisch

Viel Spaß - und nicht vergessen: Zeit nehmen. Safe Mode nutzen und Konfigurationsstände wegspeichern. Oder noch einen Woobm kaufen

Ich habe mich bei den ersten Gehversuchen x-Mal ausgesperrt

Wahrscheinlich immer dann, wenn ich von @aquis Tutorials abgewichen bin...

Viele Grüße, commodity

Wenn es das denn nun war bitte nicht vergessen deinen Thread hier dann auch als erledigt zu schliessen!

Dazu verbrät man keinen vollständigen Router wenn es ein kleiner AP (oder deine AXe) auch tut.

Nutze die Hubs, die a/b Wandler, an zweien DECT und SIP. Hätte die dann gegen performantere/neuere Fritzboxen ausgetauscht und die alten als AP recycelt. Also halb so schlimm

Um ne Kiste Bier zu holen braucht man nicht immer einen LKW...

Wieso? Fahren doch auch immer mehr mit nem SUV Brötchen holen

Beim AX3 werd ich glatt neidisch

Hmm, irgendwie bin ich von der Wlan Reichweite etwas enttäuscht. Verglichen mit der 7530 mit Platinenantennen hat der AX3 mit externen Antennen etwas weniger Reichweite. Im direkten Umfeld ohne Wände dazwischen hat der AX3 durch 11ax deutlich mehr Durchsatz. Am iPhone 150Mbit anstatt 100MBit Downloadrate. Aber der RSSI Wert hinkt im 2,4GHz und 5GHz Netz so um die 3-9 Punkte hinterher. Durch die Stahlbetondecke kommt der AX3 im Gegensatz zur 7530 nicht. Liegt wahrscheinlich an den omnidirektionalen Antennen der Fritzbox, warum die ins OG strahlt. Warum aber auch in der Ebene keine Reichweitensteigerung stattfindet?! Antennen sind parallel nach oben ausgerichtet. FB und AX3 nebeneinander, fixe Kanäle, einer 6 und 1 und umgekehrt zum Testen. Nachbar ist auf 11 unterwegs. Nur 20Mhz Kanalbreite, beide WPA3 CCMP, Group Key Update auf 1h.
Der AX3 ist auf 7.7 aktualisiert, danach im Routerboard-Menü noch aktualisiert und neugestartet. Alles nach Tutorial eingerichtet. Na gut, fast. VLANs sind zwar eingerichtet, aber Wifi hab ich auf den Koppel-Ether-Port mit einer zweiten Bridge darauf gebrückt und nutze das Wifi als IP-Client der FB zum Testen, bevor ich Geräte ins VLAN schiebe. Und Ether1 und 5 habe ich getauscht, da Ether1 ein 2,5GbE Port ist und ich bei einem Switch-Wechsel dann den tagged-Uplink beschleunigen könnte...in der Zukunft mal. LAG geht nicht, da ich im EG nur 2 LAN Kabel hinter die Dose gelegt habe. Aber erstmal reicht mir 1GbE.
Da der Mikrotik auch langsamer in der Wifi-Anzeige auf dem iPhone und Mac gefunden wird, als meine FritzBox und der Fritz Repeater 3000 meines Nachbarn, kam mir der Gedanke mit dem aktiven .11b Netz (bei der Fritzbox ist das deaktiviert). Jedoch finde ich bei RouterOS 7.7 keine Möglichkeit das abzustellen bzw. vermute, dass das nicht aktiv ist, da ich es auch nicht auswählen kann (nur g, n und ax).
So langsam vermute ich, dass die minimal unterschiedliche Reichweite physikalisch bei der zweiten Wand keine große Rolle mehr spielt. Ich muss wohl doch pro Etage auf einen AP zurückgreifen, damit ich ein homogenes Netz bekomme. Ich hatte ja die Hoffnung mit zwei gut positionierten AX3 4 Etagen abzudecken

Jetzt überlege ich noch 3 gebrauchte Cisco Air Cap zu holen, damit ich mich endlich weiter mit dem einrichten der VLANs befassen kann.

Ach so, @aqui, Danke für den Mikrotik-Rat, die Einstellmöglichkeiten sind der Wahnsinn. Und Danke für die Tutorials, ohne die wäre das echt eine Nummer zu groß für mich gewesen

Edit: Hier noch meine config (VLAN habe ich noch nicht geprüft, geht mir erstmal um die WIFI-Einstellungen)

# feb/03/2023 16:47:43 by RouterOS 7.7
# software id = SFGA-7CLR
#
# model = C53UiG+5HPaxD2HPaxD

/interface bridge
add name=vlan-bridge
add arp-timeout=5m mtu=1500 name=wifi-ether5-bridge
/interface vlan
add interface=vlan-bridge name=vlan1 vlan-id=1
add interface=vlan-bridge name=vlan10 vlan-id=10
add interface=vlan-bridge name=vlan20 vlan-id=20
add interface=vlan-bridge name=vlan30 vlan-id=30
add interface=vlan-bridge name=vlan40 vlan-id=40
add interface=vlan-bridge name=vlan50 vlan-id=50
/interface wifiwave2 channel
add band=2ghz-ax frequency=2462 name=channel11 secondary-frequency=disabled skip-dfs-channels=disabled width=20mhz
add band=5ghz-ax frequency=5180 name=channel36 secondary-frequency=disabled skip-dfs-channels=disabled width=20/40mhz
add band=2ghz-ax frequency=2412 name=channel1 secondary-frequency=disabled skip-dfs-channels=disabled width=20mhz
add band=2ghz-ax frequency=2437 name=channel6 secondary-frequency=disabled skip-dfs-channels=disabled width=20mhz
add band=5ghz-ax frequency=5200 name=channel40 secondary-frequency=disabled skip-dfs-channels=disabled width=20/40mhz
add band=5ghz-ax frequency=5220 name=channel44 secondary-frequency=disabled skip-dfs-channels=disabled width=20/40mhz
add band=5ghz-ax frequency=5240 name=channel48 secondary-frequency=disabled skip-dfs-channels=disabled width=20/40mhz
/interface wifiwave2 security
add authentication-types=wpa2-psk,wpa3-psk disable-pmkid=no encryption=ccmp group-encryption=ccmp group-key-update=5m management-encryption=cmac management-protection=required name=default wps=\
    disable
/interface wifiwave2
set [ find default-name=wifi1 ] channel=channel40 channel.band=5ghz-ax .secondary-frequency=disabled .skip-dfs-channels=disabled .width=20/40mhz configuration.country=Germany .hide-ssid=no .mode=ap \
    .ssid=UP5 disabled=no security=default security.authentication-types=wpa2-psk,wpa3-psk .encryption=ccmp .group-encryption=ccmp .group-key-update=1h .wps=disable
set [ find default-name=wifi2 ] channel=channel6 channel.band=2ghz-ax .secondary-frequency=disabled .skip-dfs-channels=disabled .width=20mhz configuration.country=Germany .hide-ssid=no .mode=ap \
    .ssid=UP2 disabled=no security=default security.authentication-types=wpa2-psk,wpa3-psk .encryption=ccmp .group-encryption=ccmp .group-key-update=1h .wps=disable
/ip pool
add name=dhcp_pool1 ranges=192.168.1.100-192.168.1.150
add name=dhcp_pool10 ranges=192.168.10.100-192.168.10.150
add name=dhcp_pool20 ranges=192.168.20.100-192.168.20.150
add name=dhcp_pool30 ranges=192.168.30.100-192.168.30.150
add name=dhcp_pool40 ranges=192.168.40.100-192.168.40.150
add name=dhcp_pool50 ranges=192.168.50.100-192.168.50.150
/ip dhcp-server
add address-pool=dhcp_pool1 interface=vlan1 lease-script="# DNS TTL to set for DNS entries\r\  
…
    \n} " name=dhcp1  
add address-pool=dhcp_pool10 interface=vlan10 lease-script="# DNS TTL to set for DNS entries\r\  
…
    \n} " name=dhcp10  
add address-pool=dhcp_pool20 interface=vlan20 lease-script="# DNS TTL to set for DNS entries\r\  
…
    \n} " name=dhcp20  
add address-pool=dhcp_pool30 interface=vlan30 lease-script="# DNS TTL to set for DNS entries\r\  
…
    \n} " name=dhcp30  
add address-pool=dhcp_pool40 interface=vlan40 lease-script="# DNS TTL to set for DNS entries\r\  
…
    \n} " name=dhcp40  
add address-pool=dhcp_pool50 interface=vlan50 lease-script="# DNS TTL to set for DNS entries\r\  
… 
    \n} " name=dhcp50  
/interface bridge port
add bridge=vlan-bridge ingress-filtering=no interface=ether1
add bridge=vlan-bridge frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=no interface=ether4
add bridge=vlan-bridge frame-types=admit-only-untagged-and-priority-tagged interface=ether3 pvid=10
add bridge=vlan-bridge frame-types=admit-only-untagged-and-priority-tagged interface=ether2 pvid=20
add bridge=wifi-ether5-bridge interface=ether5
add bridge=wifi-ether5-bridge interface=wifi1
add bridge=wifi-ether5-bridge interface=wifi2
/interface bridge vlan
add bridge=vlan-bridge tagged=vlan-bridge vlan-ids=1
add bridge=vlan-bridge tagged=vlan-bridge,ether1 vlan-ids=10
add bridge=vlan-bridge tagged=vlan-bridge,ether1 vlan-ids=20
add bridge=vlan-bridge tagged=vlan-bridge,ether1 vlan-ids=30
add bridge=vlan-bridge tagged=vlan-bridge,ether1 vlan-ids=40
add bridge=vlan-bridge tagged=vlan-bridge,ether1 vlan-ids=50
/ip address
add address=192.168.0.254/24 interface=ether5 network=192.168.0.0
add address=192.168.1.1/24 interface=vlan1 network=192.168.1.0
add address=192.168.10.1/24 interface=vlan10 network=192.168.10.0
add address=192.168.20.1/24 interface=vlan20 network=192.168.20.0
add address=192.168.30.1/24 interface=vlan30 network=192.168.30.0
add address=192.168.40.1/24 interface=vlan40 network=192.168.40.0
add address=192.168.50.1/24 interface=vlan50 network=192.168.50.0
/ip dhcp-server network
add address=192.168.1.0/24 dns-server=192.168.0.254 gateway=192.168.1.1
add address=192.168.10.0/24 dns-server=192.168.0.254 gateway=192.168.10.1
add address=192.168.20.0/24 dns-server=192.168.0.254 gateway=192.168.20.1
add address=192.168.30.0/24 dns-server=192.168.0.254 gateway=192.168.30.1
add address=192.168.40.0/24 dns-server=192.168.0.254 gateway=192.168.40.1
add address=192.168.50.0/24 dns-server=192.168.0.254 gateway=192.168.50.1
/ip dns
set allow-remote-requests=yes servers=9.9.9.9
/ip route
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.0.1 pref-src="" routing-table=main scope=30 suppress-hw-offload=no target-scope=10  
/system clock
set time-zone-name=Europe/Berlin

Und Danke für die Tutorials

Immer gerne! 🙂
Ein paar zusätzliche gute Tips erhält man auch hier:
https://www.youtube.com/watch?v=JRbAqie1_AM

Schönes Video und es gab auch zwei Sachen, die ich noch nicht kannte.
TX-rates und antenna-gain. Im Handbuch habe ich jedoch festgestellt, dass diese Werte beim wifiwave2 Profil nur read-only sind. Die kann ich beim AX3 also nicht verstellen. WMM soll ab 11n per default an und nur bei b und g manuell einstellbar sein.
Der Fehler mit den 20MHz/40MHz Kanälen im 5GHz Netz ist mir noch aufgefallen, sowie pmkid. Was aber nichts mit der 2,4GHz Reichweite zu tun hat. Also bleibt nur die Erkenntnis, dass der AX3 weniger Reichweite hat, als die FB7530 (EDIT: Sorry, natürlich auf meine Ausrichtung und Räumlichkeiten bezogen!).

Jetzt muss ich nur gut überlegen, ob die Ciscos nicht wieder der LKW sind und evtl. ein paar gezielte CAPs lite sinnvoller sind. Ist zwar alte Technik und langsamer als mein Internetzugang, aber fürs reine Streamen reichen die ja dicke und sehen sehr dezent aus.

Gut sind auch die CapsMan Setup Tips ab 43:00, hattest du aber ja auch schon angemerkt.

ob die Ciscos nicht wieder der LKW sind

Nein, ganz sicher nicht wenn an sie richtig konfiguriert:
Cisco WLAN Access Points 1142N, 2702, 3702 für den Heimgebrauch umrüsten

Man, ich wollte VLANs und beschäftige mich jetzt mit WLAN

Nur zur Aufklärung meiner "Reichweiten" Probleme.

1. Ich bin auf den Werbespruch "11ax -> mehr Reichweite" reingefallen bzw. Erwartungen zu hoch geschraubt.
2. Meine Fritzbox verbindet sich mit den am Rande liegenden IoT Geräten mit 1 MBit und der AX3 verbindet sich nur zwischen 7,3 MBit/s bis 573,5 MBit/s im 2,4 GHz Netz. Also weniger Reichweite für mehr Stabilität und Durchsatz. Würde ich auf einen niedrigeren Standard schalten, hätte ich wohl wieder die 1 MBit Verbindungen in der Liste, die jedoch immer wieder abreissen, logisch.
3. Ich habe meine Router immer an die Wand geschraubt. Jetzt habe ich gelesen, dass im 2,4 GHz Bereich die 6cm langen externen Antennen ca. 6cm entfernt von der Wand und voneinander montiert sein sollten. Mit der beiliegenden Wandhalterung sind es knapp 2 cm zur Wand. Ob das für den Raum in dem der Router steht relevant ist, weiß ich aber nicht. Werde aber noch einen 4cm Abstandhalter basteln. Bei Geräten mit kleinen internen Antennen gibt's diese Problematik ja nicht.
4. 7530 und AX3 haben 2x2 Antennen. Meine 6490 die vorher im Wohnzimmer stand und eine bessere Reichweite hatte, hat 3x3 Antennen. Ich gehe also davon aus, dass mehr Antennen sich positiv auf die Reichweite auswirken (nicht nur Durchsatz).

Also ist der Cisco AP 2602/2702 mit 3x4 Antennen in der Tat sehr interessant und werde ich mal ausprobieren.

@aqui
In deinem Tutorial funktioniert der Link zur Standalone Firmware leider nicht mehr und bei Cisco habe ich es nur geschafft, eine alte 2018er Firmware ohne Service-Vertrag zu laden. Gibt es da evtl. einen neuen Link?

So, kurzer Zwischenstand. Der 2702i AP ist erfolgreich geflasht und eingestellt

Am Mac trotz integriertem TFTP Server gescheitert, aber mit Win, Putty & Co klappte es beim dritten Anlauf. Jetzt habe ich den Ländercode für beide Wlan-Interfaces per Konsole hinzugefügt, da das leider nicht über das Web-GUI ging.
Jetzt ist mir noch eine Sache aufgefallen.
.11b kann ich nicht direkt im Web-GUI ausschließen. Ist das dann über die Durchsatz-Optimierung gegeben, weil die niedrigen TX-Raten rausfallen? In der Muster-config konnte ich keinen extra Eintrag außer ODFM-Optimierung erkennen. Ich frage, weil es ja bei den Mikrotiks für einen schnelleren AP-Wechsel empfohlen wird.
Was die Reichweite angeht, Wahnsinn. Ich hab nur meinen .3af Switch von den IP-Cams und da wird nur auf 3x3 gedrosselt ausgesendet und trotzdem hab ich mehr Reichweite an der selben Stelle wie mit dem Mikrotik AX3 oder der FB 7530 und 6490

Vielen Dank für den Tipp und die Anleitung, aqui!!! Sonst hätte ich mir niemals so einen AP angeschafft

Und wenn ich schon dabei bin. Ich habe rausgefunden, dass zum Beispiel der Ruckus Rx00 als Standalone das Bonjour Gateway aktivieren kann. Der Cisco ja leider nur mit WLC. In einem Video wurde gezeigt, dass man den Ruckus einfach per Web-GUI flasht. Als würde man ein normales Firmware-Update einspielen. Kann man die Rx00-Reihe wirklich so simpel zu einem Solo AP machen?

.11b kann ich nicht direkt im Web-GUI ausschließen.

Das machst du im CLI mit dem Kommando speed only-ofdm auf dem 2,4 Ghz Radio Interface. Siehe dazu auch HIER.

Was die Reichweite angeht, Wahnsinn.

Predigen wir hier ja täglich und bei den Preisen ist es ja immer einen Versuch wert der, wie auch bei dir, immer zum Erfolg führt und dir den technischen Unterschied zu solchen APs zeigt! 😉

der Ruckus Rx00 als Standalone das Bonjour Gateway aktivieren kann.

Ja das ist richtig, der hat sowas onboard. Siehe hier (GUI Ausschnitt):

dass man den Ruckus einfach per Web-GUI flasht.

Auch das ist richtig. Du hast die freie Wahl als Nutzer ob du die Standalone Firmware (Unleasehed) oder die Controller Firmware auf den AP flashst. Zudem ist die Firmware frei verfügbar.

Kann man die Rx00-Reihe wirklich so simpel zu einem Solo AP machen?

Ja!

In der Muster-config konnte ich keinen extra Eintrag außer ODFM-Optimierung erkennen.

im CLI mit dem Kommando speed only-ofdm auf dem 2,4 Ghz Radio Interface

Okay, ich hatte Beiträge zur Modulation gefunden, jedoch fehlte der für mich entscheidende Hinweis, den ich in einem anderen Bericht gefunden habe. ODFM ist mit .11n eingeführt worden, alte Standards erkennen die Modulation nicht und fallen somit raus

Zum Ruckus Rx00 Bonjour Gateway

Der R300 und R700 haben kein Unleashed Update bekommen (nur R500 und R600), was mir vor dem Kauf des R300 bewusst war. Ist jetzt auch wunderbar einfach zum Solo-AP umgewandelt worden und schön klein. Leider habe ich die Anleitung falsch verstanden. Da steht zwar, dass man auch den R300 als Standalone AP zum Bonjour Gateway machen kann. Leider muss man diesen Service erstmal von einem ZoneDirector auf den AP übertragen und danach kann er das Gateway anbieten. Ich habe mir jetzt einen R500 mit Unleashed-Firmware bestellt und damit sollte es dann endlich out-of-the-box klappen

Zum Cisco AP: Predigen wir hier ja täglich...

Oh je, der 2702i gefällt tatsächlich meiner Frau und der darf sogar sichtbar an die Wand, weil der schön weiß ist und gar nicht nach "hässlichem Internetzeug" aussieht

Jetzt habe ich noch einen 1832i bestellt (der sollte trotzt mobility express wohl ähnlich konfigurierbar sein) und der darf im DG an die Decke. Jetzt wird geschlitzt, gespachtelt und gestrichen...Mist, größere Baustelle geworden als geplant. @aqui, ich hoffe, dass du dann nicht in Rente bist und ich hilflos bei der VLAN-Einrichtung dastehe

Dann hätte ich noch eine Verständnisfrage zum Thema VLAN-Aufbau.

Ich nutze den Mikrotik als externen Inter-VLAN-Router. Dahinter kommt ein Netgear-L2-Switch.
So, jetzt stecken meine 4 APs in einem D-Link-POE-L2-Switch.
Stecke ich den D-Link-Switch (mit den APs) in den den Netgear-Switch, wie es hier schon gepostet wurde?

Oder stecke ich den D-Link-Switch jetzt an den Mikrotik-Router und mache ihn zum Core-Switch?

Beim Core-Switch Beispiel würde das Durchleiten durch den Netgear-Switch wegfallen (z.B. wenn die WLAN-Clients nur ins Internet wollen).
Gibt es Nachteile bei der Core-Switch-Variante?

er sollte trotzt mobility express wohl ähnlich konfigurierbar sein

Nein, leider nicht. Mobility Express bei Cisco ist das was Unleashed bei Ruckus ist. Die Firmware ist unterschiedlich. Deutlich besser wäre dann ein 2702 oder ein 3702 gewesen.... Musst ihn dann halt als Einzel AP konfigurieren.

Stecke ich den D-Link-Switch (mit den APs) in den den Netgear-Switch, wie es hier schon gepostet wurde?

Du also Netzwerk Profi weisst das man niemals Kaskaden schaffen sollte mit Switches. BaseT Ethernet ist bekanntlich immer sternförmig!! Stecke den also besser direkt in den VLAN L3 Core Switch.
Nur wenn es gar nicht anders geht machst du eine Kaskade. Dann definiere aber immer den RSTP Prozess im MT mit einer höheren RSTP Priority!

Oder stecke ich den D-Link-Switch jetzt an den Mikrotik-Router und mache ihn zum Core-Switch?

Wenn der L3 kann. Im Core werkelt logischerweise immer das L3 Device! Solche Design Banalitäten sollte man als Netzwerker aber schon kennen...?!

Musst ihn dann halt als Einzel AP konfigurieren.

Da bin ich von ausgegangen, da es bei 4 APs von drei unterschiedlichen Herstellern wohl kaum Erleichterung gebracht hätte, wenn 2 APs gemeinsam verwaltet werden können. Ok, sollte Mobility Express zu kompliziert für mich werden, kann ich immer noch zu einem 2702i zurückgreifen und einfach die selbe config draufbügeln. Ah, okay, jetzt verstehe ich so nebenbei, warum es sinnvoll sein kann, IP Adressen im DHCP-Router festzutackern. Wahrscheinlichkeit der Doppelbelegung wird kleiner.

Wenn der L3 kann. Im Core werkelt logischerweise immer das L3 Device! Solche Design Banalitäten sollte man als Netzwerker aber schon kennen...?! face-wink

Als Netzwerker sollte ich mich klarer ausdrücken. Mikrotik CoreSwitch, Netgear und D-Link Access Switch. Frage war, Access-Switches in Reihe oder Stern.

BaseT Ethernet ist bekanntlich immer sternförmig!!

Stern soll es werden

Dann definiere aber immer den RSTP Prozess im MT mit einer höheren RSTP Priority!

Hmm, STP hätte ich egal ob Reihe oder Stern nicht aktiviert, da die L2 Switches Loop-Erkennungen haben und ich keine Redundanz im Netzwerk habe. Auch keine LAN/WLAN Brücke a la Sonos. Oder sollte ich als Netzwerker iA (in Ausbildung oder Esel, je nach Situation) immer auf den schlimmsten Fall vorbereitet sein und Spanning Tree eingerichtet haben, falls doch mal was ungewollt gebrückt wird?! Ich befürchte, JA.

wohl kaum Erleichterung gebracht hätte, wenn 2 APs gemeinsam verwaltet werden können.

Da hast du zweifelsohne Recht. Hält einen auch immer etwas in Übung! 😉

sollte Mobility Express zu kompliziert für mich werden

Nöö, von der Konfig eher einfacher. So wie Unleashed mit KlickiBunti Interface...

STP hätte ich egal ob Reihe oder Stern nicht aktiviert,

Die Mikrotiks haben es IMMER an. Folglich solltest du um konsitent damit zu sein es in den Switches auch immer aktivieren. RSTP mit Default Priority und den zentralen Core Mikrotik auf RSTP Priority von 0x8000 (32768) auf 0x3000 (12288) setzen in der Bridge. Niedriger Wert = höhere Priority.

Hält einen auch immer etwas in Übung! 😉

Ich finde auch, dass es dadurch einen größeren Lerneffekt gibt, weil man das Gleiche auf unterschiedlichen Wegen erlernt. Für Komfort hab ich in der Zukunft noch Zeit

Folglich solltest du um konsitent damit zu sein es in den Switches auch immer aktivieren.

Oh oh, der Netgear GS116Ev2 kann nur Loop-Control aktivieren, ohne genaue Norm 802.1d oder w. Bei der Broadcast-Storm-Control kann ich am Port einstellen, ab welcher Broadcast-Bitrate der Port dicht macht.
Klingt nach Spanning Tree, aber wenn nicht alles normkonform ist, dann funktioniert der Kram auch nicht richtig, lese ich hier im Forum immer. Sollte ich daher lieber Loop-Detection und Storm-Control deaktivieren, damit das Netz im Fehlerfall zusammenbricht und ich dann weiß, Netgear rausschmeissen?

Oder kann man evtl. mit Wireshark sehen, ob die 4 Bit (Spanning Tree Prio) übertragen werden... Aber ob es STP, RSTP oder was Proprietäres ist, kann man wahrscheinlich nicht daraus schließen, oder?

mit Wireshark sehen, ob die 4 Bit (Spanning Tree Prio) übertragen werden...

Ja, kann man. In den BPDU Frames wird die Bridge ID mitgesendet die enthält auch die Priority.
Die Loop Detection ist proprietär und klappt nur mit anderen NG Switches. Wenn man nur einen hat ist es besser das zu deaktivieren.

Die Loop Detection ist proprietär

Und LACP und DSCP kann der Switch auch nicht (nur static LAG und 802.1p), womit ich auch noch hantieren möchte. Also besser noch mehr Hardware tauschen, um Frust und Notlösungen zu vermeiden.

Zum Thema Ruckus R500

Habe die Standalone-Firmware aufgespielt und habe endlich das Bonjour-Gateway an Bord

Nachdem ich mich durch drei Reiter (Wireless, AP und Admin) geklickt habe, um alle WLAN Einstellungen zu finden, habe ich den R500 mal spaßeshalber bzgl. Reichweite getestet, obwohl er in den Keller soll. Ich bin aus den Latschen gekippt. Noch mehr Reichweite als der 2702i und sogar im Keller, wo ich keinen Empfang habe, hat der stabile RSSI Werte von -78 bis -73dBm. Weder die FritzBox die 3 Kellerräume weiter steht, noch die Fritzbox dadrüber (neben der der R500 hängt) kommt da an (Betonkeller). Der 2702i wurde mal angezeigt, mal nicht und hatte -99dBm. Lustigerweise hat das Automatikprogramm auch Kanal 6 und 20MHz gewählt, was ich für alle anderen APs manuell eingestellt hatte. Die bessere Reichweite liegt also nicht an einem anderen Kanal. Ich bin auf jeden Fall erstaunt über das kleine Ding.

Und LACP und DSCP kann der Switch auch nicht

Das ist schwach, das können andere deutlich besser.

noch mehr Hardware tauschen, um Frust und Notlösungen zu vermeiden.

Besser iss das würde Werner sagen...

Ich bin aus den Latschen gekippt.

Willkommen im Club! 😉
Grund dafür ist deren Beamflex Technologie. Quasi eine dynamische Richtantenne pro WLAN Client.
https://www.youtube.com/watch?v=K2ZhXLuJMfg (ab 16:50)

Grund dafür ist deren Beamflex Technologie.

Danke, sehr interessante Erklärung im Video, was ich vorher dummerweise in einer Produktbeschreibung überflogen und als Werbemärchen verbucht hatte.
Im Prinzip spart man sich damit den zweiten Mann, der den Router zentimeterweise verschiebt, während man in der anderen Ecke auf ein Signal hofft

Da sich allerdings mein R300 im 2,4GHz-Netz nicht so genial wie der R500 verhält (beide 2x2:2), vermute ich, dass die Erweiterung PD-MRC das i-Tüpfelchen der Beamflex-Technologie ist (fehlt beim R300/R310/R320).
Zitat:

Adaptive Polarisationsdiversität (PD-MRC)
Dynamische ausgewählte dual polarisierte Antennen bieten einen besseren Empfang für schwer erreichbare Clients und eine bessere Leistung bei Clients, die ständig ihre Orientierung ändern.

Auf jeden Fall ist Ruckus jetzt mein AP-Favorit!

Das ist schwach, das können andere deutlich besser.

Mist, der D-Link DGS1100-08P Router hat die selben Einschränkungen wie der Netgear. Puh, so langsam verstehe ich, warum man hier immer so scharf gegen solche Hardware schießt. Managed ist nicht gleich managed, auch wenn es für Fritzbox-User erstmal so klingt

Ist wie bei gutem Werkzeug…spart Zeit und Nerven und manches geht nicht ohne es.
Ich habe mir jetzt einen Cisco SG500-28P bestellt, da ich ja eh neu-/umverkabele. Der löst dann zwei Mikrotik, einen Netgear, einen D-Link und zwei unmanaged TP-Link Switches ab.

Übrigens, ich hab mir einen RB951G zum Testen/Spielen besorgt und war positiv erschrocken, was alles einstellbar ist und wie verständlich die Tutorials dann sind. Es war für mich am Anfang relativ frustrierend, dass man viele Einstellungen nicht gefunden hat und es länger als 5 min gedauert hat. Fehlender CAPsMAN Eintrag. CAPsMAN kann AX Geräte (wifiwave2) nicht steuern. TX-Modi, WMM, B-Rates, Multicast-Helper und und und
Es werden bestimmt bald immer mehr AX Lite, AX2, AX3 Neulinge im Forum aufschlagen, die dann diese Einträge suchen

Hier mal der Vergleich der Wifi-Einstellungen bei gleichem ROS 7.8:

RB951G (Mix aus hAP und RB2011)

C53UiG (hAP AX3)

Es werden bestimmt bald immer mehr AX Lite, AX2, AX3 Neulinge im Forum aufschlagen, die dann diese Einträge suchen

Du meinst diejenigen, die die Doku nicht lesen/finden?

https://help.mikrotik.com/docs/display/ROS/WifiWave2#WifiWave2-WifiWave2 ...

Betrifft auch nur den Wireless-Bereich. Den Rest sollte man weiterhin "finden".

CAPsMAN unter wifiwave2 läuft bei mir aber auch noch nicht. Obgleich das Changelog ab ROS 7.7 das suggeriert.

Viele Grüße, commodity

dass man viele Einstellungen nicht gefunden hat und es länger als 5 min gedauert hat.

Da hilft ein gutes Video um die üblichen Fehler gleich von vorn herein zu vermeiden!!
https://www.youtube.com/watch?v=JRbAqie1_AM

Das ist ein gutes Video, aber wifiwave2 behandelt es noch nicht. Gabs seinerzeit imo nicht.

Viele Grüße, commodity

Ergänzung: https://www.youtube.com/watch?v=EYORYehRwG0
lt. diesem macht wifiwave2 auch Beamforming (falls das dem Beamflex entspricht). Leistung à la Ruckus ist da aber wohl kaum zu erwarten. Muss aber in dem Segment auch nicht sein, finde ich.

Du meinst diejenigen, die die Doku nicht lesen/finden?

Die habe ich gelesen, siehe meinen Eintrag vom 05.02.

("Im Handbuch habe ich jedoch festgestellt, dass diese Werte beim wifiwave2 Profil nur read-only sind. Die kann ich beim AX3 also nicht verstellen.")

Betrifft auch nur den Wireless-Bereich

Genau, und um den geht es doch meistens…
DAU: Hilfe, mein Mikrotik AP hat langsamere Downloadraten als meine FritzBox.
GURU: WLAN Einstellungen optimieren, steht alles in den Tutorials.

Also war meine Anregung, in den Tutorials vielleicht zu erwähnen, dass es bei wifiwave2 anders aussieht, wo anders zu finden ist und manches nicht einstellbar ist, bevor man ewig das Netz durchforstet und sich am Ende Ubiquiti holt

(falls das dem Beamflex entspricht)

Nein, die Beamflex Technologie ist nochmal ne ganz andere Nummer weil dort mehrere aktive Antennen Arrays zusammenkommen. Beim Einfachen Beamforming des Standards sind die Effekte nur minimal und immer davon abhängig welche Antennen die Hersteller im Produkt verwenden. Bei Platinenantennen oder einfachen Gummipimmeln sind die Effekte nicht merkbar und liegen meist deutlich unter 1dbm.

DAU: Hilfe, mein Mikrotik AP hat...

Das ist schon ein Widerspruch in sich!!

falls das dem Beamflex entspricht

Ich hatte das so verstanden, dass Beamforming durch mehrere Antennen und durch Signalveränderung einzelner Antennen das Muster beeinflussen und Beamflex bei jeder Antenne hardwareseitig das Muster verändern kann, also für noch mehr Variabilität sorgt.

Das ist schon ein Widerspruch in sich!! face-wink

Wenn man nach einem kurzen MT-Ausflug aber wieder bei AVM landet, dann schon