Fritzbox 5530 - Gäste-Lan Lösung

[lukass2000]

Hab mal eine ganz simple Skizze erstellt, wie ich mir das vorstelle.
VLAN100 und VLAN200 haben beide voll Zugriff auf Internet und auf die Fritzbox (Fritzbox ist ja aber mit Passwort entsprechend gesichert).
VLAN200 ist so konfiguriert, das es eben Zugriff auf die Fritzbox/Internet hat, aber keinerlei Zugriff auf das VLAN100. Damit kommt der Gast ja nicht in mein LAN.
Wlan nutze alle über die 1750er Repeater, dadurch hat der Gast keinen Zugriff über WLAN auf sein LAN, aber das ist okay.

Glaub das sollte so doch alles klappen, oder gibt es Einsprüche von Profiseite hier ?

 

[NDiIPP]

VLAN200 ist so konfiguriert, das es eben Zugriff auf die Fritzbox/Internet hat, aber keinerlei Zugriff auf das VLAN100. Damit kommt der Gast ja nicht in mein LAN.

Aber auf deine Geräte im WLAN der 5530.

 

[lukass2000]

Aber auf deine Geräte im WLAN der 5530.

Nein, der Gast hat ja nur das "rote" Gast-Wlan der Fritzbox zur Verfügung, damit kommt er nicht auf meine "Geräte"
Das ist ja aktuell auch nicht anders.

 

[NDiIPP]

Das hast du falsch verstanden. Der Gast hat über das "Gast-LAN" (nicht Gast-WLAN) Zugriff auf deine WLAN-Geräte.

 

[lukass2000]

Das hast du falsch verstanden. Der Gast hat über das "Gast-LAN" (nicht Gast-WLAN) Zugriff auf deine WLAN-Geräte.

Bin grad etwas verwirrt was du meinst?

Über das Gast-WLan kann man nicht auf die Fritzbox 5530 zugreifen (wäre mir neu, habs eben nochmal versucht, klappt zumindest bei mir nicht).
Der Gast bekommt natürlich nur Zugang über das Gast-WLan und nciht mein eigenes WLan
Über das Gast-LAN bzw VLAN200 kann man auf die Fritzbox zugreifen, die Fritzbox ist ja aber per Passwort geschützt, so also kein Zugriff möglich. Ansonsten hängen an der Fritzbox keinerlei Geräte, die hängen ja alle am Switch hinter dem VLAN100. Von VLAN200 gibt es auch keine Zugroffsmöglichkeit auf VLAN100.

So sehe ich hier eigentlich keine Möglichkeit das der gast irgendwo auf meine "Geräte" käme?
LG

 

[B612]

Über das Gast-LAN bzw VLAN200 kann man auf die Fritzbox zugreifen,

Genau und damit auf die Geräte im Home-WLAN.

 

[lukass2000]

Vielleicht bin ich es zu doof, aber das verstehe ich nicht.

Die Fritzbox liefert 2 WLANs
ein WLAN mit SSID EIGEN und z.B. Passwort "123456789"
ein Gast-WLan mit SSID GAST und z.B. Passwort "abcdefghi"

Der Gast bekommt nun natürlich nur WLan Zugangsdaten für das WLan GAST.
Wie soll der nun auf mein Netzwerk kommen?

Wenn dem so wäre, dann wäre es jetzt mit der Fritzbox 5490 ohne VLANs doch genauso, das wäre doch sinnfrei???
Im vergleich von der 5530 und der 5490 hat sich ja nur geändert, das die 5530 kein Gast-LAN mehr hat und dies über die zwei VLANs ersetzt wird. Auf der Seite des WLAN hat sich zwischen 5490 und 5530 ja überhaupt nichts geändert?
LG

 

[NDiIPP]

Der Gast bekommt nun natürlich nur WLan Zugangsdaten für das WLan GAST.
Wie soll der nun auf mein Netzwerk kommen?

Na ganz einfach, über LAN (aka "VLAN200", also nicht per WLAN), was du ihm ja offensichtlich auch zur Verfügung stellst.

Wenn dem so wäre, dann wäre es jetzt mit der Fritzbox 5490 ohne VLANs doch genauso, das wäre doch sinnfrei?

Nein, die 5490 stellt dir ja ein separates Gast-Netz per LAN (LAN-Port 4) zur Verfügung. Das kann der Ethernet-Switch aber nicht leisten oder ersetzen.

 

[lukass2000]

Mal ein Beispiel:
Ich hab eine NAS hinter dem "Switch EIGEN" im (grünen) VLAN100 angeschlossen.
Wie soll der Gast nun über den "Switch GAST" im roten VLAN200 nun darauf zugreifen?
Das sollte die VLAN-Lösung doch genau verhindern?
Wofür sond ein VLAN?
Irgendwas verstehe ich da gerade ganz und gar nicht?

 

[NDiIPP]

Ich hab eine NAS hinter dem "Switch EIGEN" im (grünen) VLAN100 angeschlossen.
Wie soll der Gast nun über den "Switch GAST" im roten VLAN200 nun darauf zugreifen?

Du stellst die falsche Frage. Der NAS hinter dem Switch "EIGEN" ist ja schließlich kein Gerät im (privaten) WLAN der 5530.

Das sollte die VLAN-Lösung doch genau verhindern?

Jein. VLAN wäre nur ein Teil der Lösung dazu.

Wofür sond ein VLAN?

Zum (virtuellen) separieren von Netzen, das erfordert dann aber auch separate "Zugänge" bzw. Netze, die die 5530 per LAN nicht liefern kann. Das in #53 erwähnte ist keine richtige Trennung sondern nur so eine Art "Pseudo-Trennung". Denn dieser Ethernet-Switch kann nun mal nicht routen, sondern nur trennen. Aber eine Trennung erfordert auch getrennte Netze, die bspw. die 5530 liefern müsste.

 

[lukass2000]

@NDiIPP Kannst du mir bitte mal für "dumme wie mich" erklären, wie ich vom VLAN200 ohne meinem WLan Passwort in mein privates "grünes" WLAN komme?
Glaub da ist der Punkt, der ich so nicht verstehe?

 

[christian1297]

Ich bin immer noch der Meinung dass das ganze so allgemein nicht funktioniert. Du hast zwar zwei eigentlich getrennte VLANs aber dadurch dass du beide gemeinsam auf LAN 1 der FRITZ!Box laufen lässt erfolgt dort wieder die Verbindung zwischen den beiden. Damit das so funktioniert müsste die FRITZ!Box ebenfalls mit VLAN umgehen können und ebenfalls eine Trennung vornehmen. Dies ist aber nicht der Fall weshalb die FRITZ!Box intern alles zusammenmischt.

 

[NDiIPP]

@lukass2000
Ganz einfach, es gibt keine Trennung zwischen dem privaten LAN und WLAN bei der Fritzbox. Bist du im (privaten) LAN der Fritzbox kannst du auch auf die Geräte im (privaten) WLAN der Fritzbox zugreifen, ist ja schließlich auch nur ein Netz.

Oder anders, der Switch trennt nur ab dem Switch, aber nicht davor. Und davor liegen in diesem Netz eben auch noch die Geräte im WLAN der 5530.

 

[christian1297]

der Switch trennt nur ab dem Switch

Praktisch gesehen trennt man so aber gar nichts. Das einzige was man erreicht ist, dass Pakete von Switch Gast nicht schon vom Netgear GS105E an den Switch Eigen geleitet werden, sondern die Pakete den Umweg über die FRITZ!Box nehmen und dann wieder zurückgeleitet werden.

Wenn es mit der 4040 WLAN Probleme gab und die Konfiguration schwer fällt würde ich einfach mal einen 1750E an das Gast-WLAN der 5530 anbinden und entsprechend den Gast-SWITCH über diesen speisen. Vielleicht läuft das dann zufriedenstellend stabil.

 

[NDiIPP]

Praktisch gesehen trennt man so aber gar nichts. [...]

Richtig, ich wollte es nur möglichst einfach beschreiben, da er offensichtlich Probleme hat es zu verstehen. Daher schrieb ich oben auch von einer "Pseudo-Trennung."

 

[Benares]

Na ja, eine gewisse Trennung hat man schon, aber ganz sauber ist es halt nicht.

@lukass2000, überleg mal. Normalerweise müsste es im Bild von #81 2 LAN-Verbindungen zwischen Fritzbox und Netgear-Switch geben, eine z.B. zu LAN1 (normales LAN, VLAN100) und eine zu LAN4 (Gast-LAN, VLAN200). Dann wäre eine komplette Trennung gegeben. In deinem Fall ist der Knackpunkt die gemeinsame Strippe zwischen Switch und Fritzbox. So könnte sich z.B. ein Client im Gast-LAN eine Host-Route über die Fritzbox zu einem Client im LAN setzen und käme dann vermutlich sogar hin. Ok, der Rückweg ist dann noch offen.

 

[kleinkariert]

Die Bedenken sind nur zum Teil berechtigt, aber der GS105E macht tatsächlich das asymmetrische VLAN-Schema, das man bei aktuellen Switches meist nicht mehr bekommt.
So kommen die Gäste selbstverständlich noch an die Fritzbox und dann an alle im 5530-"nomal"-WLAN befindlichen Geräte und vice versa. Dieser Zustand würde mir definitiv Bauchschmerzen bereiten.

 

[lukass2000]

Okay, jetzt hat es klick gemacht, erstmal SORRY SORRY für meine doofheit (hoffe das wird aber Schritt für Schritt besser)
Ich war da immer in der falschen WLan "Richtung".

Der Gast aus dem VLAN200 könnte somit z.B. auf meinen Sonos Play zugreifen in meinem Privaten WLan zugreifen.
Ist zwar das einzige WLan Gerät derzeit in meinem privaten WLan was einen Zugriff überhaut zulässt, aber soll so wirklich nicht sein
Somit wird das VLAN thema wohl sterben

Ich reset jetzt mal den 4040 komplett und konfigurier den mal neu mittels IP-Client im Gäste-WLan der 5530 und schau mal, ob ich dann Geräte hinter der 4040 in der Mesh-Übersicht der 5530 angezeigt bekomme.....

@Olaf Ligor Du scheint den GS105 zu kennen. Wäre das Verhalten mit einem Netgear GS724Tv3 anders? Dieser wurde bei uns in der Firma durch einen größeren Switch ersatzt, müsste mal mit dem Chef reden, der wäre aber vermutlich für kleines Geld zu haben
Ich schätze aber, das sich auch damit die WLan Problematik nicht löst bzw nur identisch verhalten wird?
LG

 

[B612]

Der Gast aus dem VLAN200 könnte somit z.B. auf meinen Sonos Play zugreifen in meinem Privaten WLan zugreifen.

Genau. Du könntest aber ins VLAN100 einen AP hängen dann wäre der Sonos wieder geschützt.

 

[kleinkariert]

Man kann das alles über den GS105E nachlesen und der bietet sich an für Probleme, die man genau damit lösen kann, also z.B. LAN-Drucker teilen zwischen LAN und Gast-LAN.

Meine Lösung würde eher darin bestehen, ein passendes Glasfaser-Modem zu kaufen und dahinter eine unkastrierte Fritzbox als Mesh-Master einzurichten. Für die Ferienwohnungen wäre dann vermutlich eine gebrauchte 7560 mein Gast-LAN-Switch und Gast-WLAN-Repeater sein oder auch nicht.