Umstellung auf Ubiquiti-Produkte, Projektvorstellung und Fragen

Es gibt 14 Antworten in diesem Thema, welches 2.572 mal aufgerufen wurde. Der letzte Beitrag () ist von Tomcat.

    Hallo zusammen,


    möchte mich zunächst kurz vorstellen, da dies mein erster Beitrag ist. Ich bin Jahrgang 81, Informatiker von Beruf, lebe im schönen Münsterland und bin, seit dem ich denken kann, technikinteressiert. Dies ist sicherlich auch der Grund, warum ich aktuell plane, einen Großteil meiner vorhandenen Netzwerkkomponenten durch Unifi-Komponenten zu ersetzen. Einerseits möchte ich mein vorhandenes Netzwerk, zu dem ich gleich im Detail komme, weiter segmentieren und bspw. eigene VLANs für IoT-Geräte, Gäste und so weiter haben. Des Weiteren bin ich recht angetan vom Unifi-Universum und könnte mir auch vorstellen, in Zukunft weitere Komponenten zu ersetzen (zum Beispiel Kameras). Mein aktuelles Netzwerk und deren Komponenten sehen aktuell wie folgt aus.

    • Internetanschluss Deutsche Glasfaser, 400/200 MBit
    • Fritzbox 7590 als Router und für DECT-Telefonie, Fritzbox soll weiter für Telefonie genutzt werden
    • 2 Access Points 1750E als LAN-Brücken betrieben
    • 19"-Netzwerkschrank im Keller:
      • 2 Netgear Switche
      • Synology NAS
      • in Zukunft vermutlich ein Heimserver auf Basis von Proxmox oder Unraid

    Auf eine Möglichkeit, per Internet Zugang in mein Heimnetzwerk zu bekommen, lege ich aktuell keinen Wert. Dies ist wohl auch nicht so einfach umzusetzen bei der Deutschen Glasfaser, Stichwort Carrier-Grade NAT.
    Generell bräuchte ich auch keine Möglichkeit, meine Ubiquiti-Komponenten von "außen" zu konfigurieren oder generell den Zugriff aus dem Internet.


    Das Netzwerk befindet sich in einem Einfamilienhaus, etwa 150 m² Wohnfläche inkl. Keller und einer etwa 50 Meter entfernten Garage, getrennt durch den Garten. Im Haus wurden nachträglich in jedem relevanten Raum Datendoppeldosen nachgerüstet.

    Meine bisherigen Planungen basieren auf den Komponenten in der folgenden Liste.

    • Ubiquiti UniFi Dream Machine SE, soll ans Modem der Deutsche Glasfaser angeschlossen werden
    • Ubiquiti UniFi Pro Max Rackmount Gigabit Smart Switch, 24x RJ-45, 2x SFP+
    • 2 Ubiquiti UniFi 6 Pro, evtl. noch weitere
    • Ubiquiti UniFi UACC 10G 0.5m LAN-DAC, Twinax, SFP+
    • Ubiquiti UniFi Etherlighting Patch Cable, Cat6, RJ-45/RJ-45, 0.15m, weiß, 24er-Pack
    • diverse PoE-Injektoren von Ubiquiti, da ich davor zurückschrecke, Strom über die Netzwerkleitungen im Haus zu schicken

    Hier auch schon die erste Frage: Passen die Komponenten zusammen, insbesondere das DAC-Kabel für die Verbindung von der Dream Machine SE zum Switch? Den Pro Max-Switch würde ich gerne aufgrund der 2.5 GB Ports haben mit denen ich plane, u.a. meinen PC und das NAS anzuschließen.


    In der Garage liegt bereits ein Netzwerkkabel. Dort soll nun ein Switch angeschlossen werden. Hier besteht allerdings die Herausforderung, dass über diesen Switch ein WLAN-Accesspoint angeschlossen werden soll, der ein IoT- oder Gäste-Netzwerk für eine Wallbox in der Garage ausstrahlt. Zusätzlich soll eine vorhandene Kamera per Netzwerkkabel angeschlossen werden. Diese soll sich in einem anderen Netzwerk befinden als die Wallbox und auch isoliert vom "Haupt"-Netzwerk sein, möglicherweise ein eigenes Netz für die Kameras, die mit dem NAS kommunizieren können müssen. Nun bin ich mir nicht sicher, ob hier der Switch "Ubiquiti UniFiSwitch Flex Outdoor Gigabit Managed Switch" geeignet ist, da eben nur ein Kabel von der Garage zum Serverschrank liegt und ich ja praktisch an diesem Switch in der Garage 2 verschiedene VLANs an 2 Ports benötige. Benötige ich dazu nicht "tagged VLANS" und der genannte Switch Flex Outdoor kann nur "untagged VLANS"? Welcher Switch wäre dann ggf. die richtige Wahl?
    Des Weiteren ist mir ein Rätsel, warum es für diesen Switch noch das "Switch Flex Utility" gibt, wenn der Switch an sich doch schon wetterfest ist. Oder bezieht sich das Gehäuse auf die Kombination mit einem Netzteil und einem Access Point?


    Würde mich sehr über Antworten und angeregte Diskussionen freuen.


    Viele Grüße

    Einmal editiert, zuletzt von whocares81 ()

    Zitat von whocares81

    diverse PoE-Injektoren von Ubiquiti, da ich davor zurückschrecke, Strom über die Netzwerkleitungen im Haus zu schicken

    Brauchst nicht schrecken. Du schickst nur dort strom durch, wo auch ein gerät dran hängt dass es will. Also deine U6 Pro.

    Hallo whocares81 , willkommen in der Community und viele Grüße aus der Regionshauptstadt. :winking_face:


    Grundsätzlich bist Du schon auf dem richtigen Weg mit Deinem Vorhaben. Ein bisschen zusätzlicher Input:


    Zitat von whocares81

    2 Ubiquiti UniFi 6 Pro, evtl. noch weitere

    Hier würde ich überlegen, direkt auf die neueren, WiFi-7-fähigen Modelle zu setzen. Der Preisunterschied sollte nicht dramatisch sein.

    Selbst wenn man derzeit noch keine Endgeräte hat, die daraus einen Vorteil ziehen, diese wird es ja mittelfristig geben. Zusätzlich bekommt man sehr wahrscheinlich ab Kaufdatum betrachtet länger Firmwareupdates für die neueren Modelle.


    Zitat von whocares81

    Ubiquiti UniFi UACC 10G 0.5m LAN-DAC, Twinax, SFP+

    Ja klar, das passt als Verbindung zwischen Router und Switch. Zumindest, solange die Ports nicht weiter als 50cm auseinander sind. :winking_face:



    Zitat von whocares81

    diverse PoE-Injektoren von Ubiquiti, da ich davor zurückschrecke, Strom über die Netzwerkleitungen im Haus zu schicken

    Wie anton schon schrieb, das ist eine unbegründete Angst. Die Kabel in Deinem Haus sind dafür spezifiziert, dass Strom hindurch geleitet werden kann. PoE ist kein exotisches Szenario, sondern absoluter Standard, selbst im Privatbereich.

    Es spricht technisch nichts stark dagegen, Injektoren zu nutzen. Du verlierst aber z.B. die Möglichkeit, APs und Kameras bequem über den Unifi-Controller neu zu starten. Außerdem hat man bei mehreren Injektoren einfach viel Gebamsel und braucht natürlich auch entsprechend viele Steckdosen - mich würde das nerven.

    Auf der anderen Seite müsstest Du natürlich einen nicht ganz unerheblichen Aufpreis für einen PoE-Switch zahlen - oder Du nutzt die PoE-Ports der DreamMachine SE. Diese sind zwar nur 1Gbit/s, für alle Kameras reicht es aber dicke und je nach AP-Modell haben diese ja auch keinen schnelleren Port.


    Zitat von whocares81

    Hier besteht allerdings die Herausforderung, dass über diesen Switch ein WLAN-Accesspoint angeschlossen werden soll, der ein IoT- oder Gäste-Netzwerk für eine Wallbox in der Garage ausstrahlt. Zusätzlich soll eine vorhandene Kamera per Netzwerkkabel angeschlossen werden. Diese soll sich in einem anderen Netzwerk befinden als die Wallbox und auch isoliert vom "Haupt"-Netzwerk sein, möglicherweise ein eigenes Netz für die Kameras, die mit dem NAS kommunizieren können müssen.

    Grundsätzliche eine gute Idee, das Netzwerk zu segmentieren und genau dies geht mit Unifi auch tatsächlich sehr einfach.



    Zitat von whocares81

    Benötige ich dazu nicht "tagged VLANS" und der genannte Switch Flex Outdoor kann nur "untagged VLANS"?

    Wenn ein Switch nur "untagged VLANs" könnte, könnte er gar keine VLANs (im gebräuchlichen Sinne). :winking_face:

    Ich frage mich auch, wo Du diese Info her hast? Der Switch kann durchaus alles, was Du damit vorhast.


    Zitat von whocares81

    Des Weiteren ist mir ein Rätsel, warum es für diesen Switch noch das "Switch Flex Utility" gibt, wenn der Switch an sich doch schon wetterfest ist.


    Der Switch ansich ist nicht wetterfest, er ist für "outdoor use" geeignet. Das bedeutet vor allem, dass er in einem breiteren Temperaturbereich betrieben werden kann, als herkömmliche Modelle.

    Wenn es in Deine Gerage nicht reinregnet, brauchst Du das Utility nicht.

    Falls Du diesen Switch übrigens auch mit einem PoE-Injektor betreiben willst, ist dieser Hinweis dringend zu beachten.


    Ich hoffe, das alles hilft Dir schon mal grundsätzlich weiter.

    Super, vielen Dank für Deine Hinweise und Tipps. Das hilft tatsächlich sehr weiter.


    Bei dem Switch für die Garage habe ich mich wohl vertan und den Switch mit dem "Flex Mini" verwechselt. Der wäre für mein konkretes Vorhaben wohl nicht brauchbar.


    Die Sache mit der Stromversorgung per PoE muss ich wohl nochmal mit einem Elektriker in Detail und vor Ort besprechen. Teils läuft die Gasleitung neben den Netzwerkkabeln (natürlich nicht direkt, sondern im Kabelkanal).


    Die 7er WLAN APs hatte ich auch zunächst ins Auge gefasst, insbesondere auch wegen des Aspektes der Zukunftssicherheit. Ich meine aber gelesen zu haben, das diese APs praktisch langsamer sind als die 6er APs für den Fall, dass sie nicht mit WiFi 7 kompatiblen Endgeräten genutzt werden.

    Zitat von whocares81

    Teils läuft die Gasleitung neben den Netzwerkkabeln (natürlich nicht direkt, sondern im Kabelkanal).

    Und? Die ist zu 100% Dicht. Und ne POE Leitung macht keine Funken.

    Zitat von whocares81

    Super, vielen Dank für Deine Hinweise und Tipps. Das hilft tatsächlich sehr weiter.

    Freut mich, danke auch für die Rückmeldung.


    Zitat von whocares81

    Der wäre für mein konkretes Vorhaben wohl nicht brauchbar.

    Doch, auch der Flex Mini wäre für Dich nutzbar, er ist wie all seine großen Brüder managebar und natürlich VLAN-fähig. Einzige Einschränkung dabei ist, dass man keine VLAN-Gruppen auf den Ports konfigurieren kann. Dies ist aber auch im Privatbereich so gut wie nie nötig.


    Zitat von whocares81

    Ich meine aber gelesen zu haben, das diese APs praktisch langsamer sind als die 6er APs für den Fall, dass sie nicht mit WiFi 7 kompatiblen Endgeräten genutzt werden.

    Nein das stimmt nicht, jedenfalls nicht als Pauschalaussage. Der 7 Pro unterstützt gegenüber dem 6 Pro im 5 Ghz-Band nur 2 (statt 4) Spatial Streams, was schade ist. Das wird aber erst dann wirklich relevant, sobald mehrere Geräte gleichzeitig viel Datenverkehr mit hohen Geschwindigkeiten verursachen.

    Dafür hat der 7 Pro 2,5 GbE statt nur 1 GbE und offenbar auch einen leistungsfähigeren Prozessor (jedenfalls ist hier nun eine aktive Kühlung eingebaut).


    Ich bin selbst noch nicht 100%ig vom LineUp der 7er-APs überzeugt, aber es sprechen durchaus Gründe für den Kauf.

    Zitat von Networker

    Doch, auch der Flex Mini wäre für Dich nutzbar, er ist wie all seine großen Brüder managebar und natürlich VLAN-fähig. Einzige Einschränkung dabei ist, dass man keine VLAN-Gruppen auf den Ports konfigurieren kann. Dies ist aber auch im Privatbereich so gut wie nie nötig.

    Dann hatte ich das wohl falsch verstanden. Meine Auffassung war, dass es für meine Konstellation in der Garage nicht klappt. Dort kommt nur ein Kabel an, welches dann mit einem Switch in der Garage verbunden werden soll, bspw. einem Flex Mini. Dieser Switch soll dann aber per Kabel jeweils mit einer Wallbox und einer Kamera verbunden werden, Wallbox und Kamera je ein eigenes VLAN. Hintergrund ist: falls (sehr unwahrscheinlich) sich jemand Zugang zur Garage und zum Switch verschafft, würde er sich per Netzwerkkabel im schlimmste Falle mit den VLANs der Kamera oder der Wallbox verbinden können. Nicht aber mit dem Hauptnetz. So zumindest mein Plan.

    Zitat von whocares81

    Hintergrund ist: falls (sehr unwahrscheinlich) sich jemand Zugang zur Garage und zum Switch verschafft, würde er sich per Netzwerkkabel im schlimmste Falle mit den VLANs der Kamera oder der Wallbox verbinden können.

    Und was glaubst du, wieviele Einbrecher bringen ein Notebook zum Einbruch mit und haben dann noch das technische Verständnis und gar die Zeit, sich in ein Netzwerk rein zu hacken ?


    Ich würde mir lieber darum Gedanken machen, wie ich verhindere, das er überhaupt in die Garage kommt.

    Liest man immer wieder mal: Einbrecher macht es sich in Garage gemütlich und Streamt über Movie2k erstmal Serien.

    Mein Vorschlag: Bierkasten und eine Decke bereitlegen…


    Ganz ehrlich, diese ewigen Sorgen es könnte sich jemand an den LAN Port hängen um ins Netzwerk zu gelangen. Was wenn er das tut? Da sollten nirgendwo Daten ungeschützt liegen, ein eventuell vorhandenes NAS geschützt sein.

    Zitat von M4v0460

    Ganz ehrlich, diese ewigen Sorgen es könnte sich jemand an den LAN Port hängen um ins Netzwerk zu gelangen. Was wenn er das tut? Da sollten nirgendwo Daten ungeschützt liegen, ein eventuell vorhandenes NAS geschützt sein.

    Und wie sagte es doch der Kripo-Beamte zu meinem Bekannte, wo schon zweimal versucht wurde, einzubrechen: "Kameras und Alarmanlagen ziehen Einbrecher magisch an"

    Sein bester Einbruchschutz hat 4 Pfoten und wieder über 40kg und das in doppelter Ausführung, die haben beide Mal den Einbruch verhindert - die Videoaufnahmen davon sind aber sehr unterhaltsam.

    Zitat von M4v0460

    Ganz ehrlich, diese ewigen Sorgen es könnte sich jemand an den LAN Port hängen um ins Netzwerk zu gelangen. Was wenn er das tut? Da sollten nirgendwo Daten ungeschützt liegen, ein eventuell vorhandenes NAS geschützt sein.

    Das stimmt nur teilweise. Natürlich sollte keine Ressource in einem Netzwerk vollkommen ohne Authentifizierung erreichbar sein. Schon bei Druckern fängt es aber an, dass man höchstens den Zugriff auf die Konfiguration schützen kann (nicht mal das geht bei allen Geräten), nicht aber die Nutzung des Druckers.


    Außerdem ist ein IT-Security-Konzept, welches Schwachstellen mitigiert, immer schlechter als eines, welches Schwachstellen gar nicht erst produziert.



    whocares81 : Du machst das schon genau richtig, wenn Du Sicherheit schon konzeptionell von Anfang an mitdenkst und mit einplanst. Gerade dort, wo erhöhte Sicherheit quasi nichts kostet, weil sie sich schlicht durch eine bessere Geräteonfiguration erzeugen lässt, wäre es dumm, dieses Potential zu verschenken.


    Zitat von whocares81

    Hintergrund ist: falls (sehr unwahrscheinlich) sich jemand Zugang zur Garage und zum Switch verschafft, würde er sich per Netzwerkkabel im schlimmste Falle mit den VLANs der Kamera oder der Wallbox verbinden können. Nicht aber mit dem Hauptnetz. So zumindest mein Plan.

    In diesem Fall hast Du dann doch Recht, dass zumindest der USW-Flex-Mini nicht funktioniert. Er kann pro Port entweder ein VLAN oder alle VLANs ansprechen. Dein Switch muss auf seinem Uplink dann ja in der Lage sein, zwei ausgewählte VLANs zu taggen - alle anderen Unifi-Switches beherrschen dies aber, so weit ich weiß.

    Kurze Korrektur: die Wallbox in der Garage hat leider keinen Netzwerkanschluss, lediglich WLAN. In die Garage müsste also ein weiterer Access Point, mit dem sich die Wallbox verbindet. Der Access Point sollte trotzdem in einem eigenen Netz, getrennt vom Hauptnetz, sein. Dann könnte sich im unwahrscheinlichen Fall auch niemand Unbefugtes über diesen Port mit dem Hauptnetz verbinden. Wäre dies möglich? Der Access Point müsste ja praktisch ein WLAN in einem IoT-Netz oder ähnlichem aufspannen.