Als WLAN-Accesspoint kann jede FritzBox eingesetzt werden. Eine Sache der Konfiguration, wie auch die Netztrennung. NDiIPP weist korrekt darauf hin:
AVM bietet das nicht als VLAN (auf Layer 2,5). Mit (alten) FritzBoxen kannst du Netztrennung nur sauber auf Layer 3 (und temporär verbinden) - das Stichwort: kaskadierte Router.
Ob VLAN-fähige Geräte für dich das Richtige sind oder ob du eine saubere OSI/ISO-Netztrennung mit Routing anstrebst, ist m.E. eine Glaubensfrage. Solange es deine passive Netzstruktur als Sternverkabelung hergibt, geht beides. Am einfachsten ist das was man kann (woran man glauben möchte). Du hast schon entschieden?
Ich möchte gerne 3 VLAN‘s haben.
- Familien-WLAN
- Gast-WLAN
- Smarthome-WLAN
350 devices in einem Familien-LAN/WLAN. Wie viele Menschen sind ungefähr hinter den Geräten? Kannst du die Anzahl auf die drei Zweck-/Vertrauensstufen verteilen.
Welcher Unterschied besteht auf der
Vertrauensebene (menschlich und technisch) zwischen der Familie und den temporären Gästen und deren Geräten? Anders gefragt: Warum lasse ich einen Gast in meine Wohnung, aber er soll nichts in der Wohnung anfassen oder ansehen dürfen und die Toilette darf er keinesfalls benutzen? Antwort: Ich habe Angst mich mit seiner schlummernden Erkältung anzustecken, ich vertraue nicht auf meine eigenen Abwehrkräfte.
Im Vertrauen ist der Unterschied zw. Familie und Gästen doch eher gering. Manche Gäste sind zeitlich länger im Haus als manche Familie. Erheblicher ist der Vertrauensabstand von beiden Gruppen zu wirklich fremden Personen, die man i.d.R. an der Haustür (Firewall als Brandmauer oder Grenze) abfertigt.
Schlussfragen:
Rechtfertigt der Verwandschaftsgrad eine Unterscheidung im Vertrauensstatus? Lohnt sich der Komplexitätszuwachs / Administrationswaufwand für diesen marginalen Unterschied?
Vertrauens- und sicherheitstechnisch kommst du objektiv, denke ich, zu drei Stufen:
| 1. Smarthome/Infrastruktur im Haus | "secured LAN/WLAN" (Nachhause telefonieren?) |
| 2. Familie und regelmäßige Gäste | "trusted LAN/WLAN" |
| 3. Fremde Dritte, Gelegenheitsbesucher | haben meist eine mobil-flatrate |
Was letzten Endes zu zwei Netzen, evtl. mit unterschiedlichen Sicherheitsanforderungen führt. Im "trusted LAN/WLAN" kannst du auch über zwei Benutzergruppen biologisch unterscheiden, wenn du gerne administrierst. Ohne Identitätskontrolle oder ohne Zugriffskontrolle begibst du dich als Privatperson (Anschlussinhaber) rechtlich immer auf's Glatteis.
IAM (Identity und Access Management) erfordert kein Gäste-W/LAN. Technische Client Isolation alleine ist kein IAM. IAM im MFH ist ein Link in meiner Signatur.
