Best Practice Projekt Setup

Es gibt 4 Antworten in diesem Thema, welches 365 mal aufgerufen wurde. Der letzte Beitrag () ist von tischers.

    Hallo liebes Forum,


    möchte nochmal betonen, was für ein tolles, hilfsbereites Forum das ist - kenne ich leider auch von anderen Tech-Foren anders :smiling_face:


    Kurz zum Setup:

    - EFH mit ca. 170qm & 900qm Grundstück

    - SmartHome über KNX (BUS Kabel) + einzelne Zigbee-Sensoren (Luftfeuchte + ein paar Stecker)

    - 5x IP Kameras von Instar (alle per LAN verkabelt)

    - Netzwerk Setup über Unifi (UDM-SE, 2x Ultra Switch 60W, 1x Flex Switch, 1x 24 USW Switch, USV Eaton)

    - Wlan (2x AP UI 7 Pro + 1x AP UI 7 Outdoor)

    - SmartHome läuft auf einem HPE Microserver Gen10 v2+ mit Home Assistant (Kamera via RTSP und Frigate, Zigbee via USB SkyConnect)

    - Alarmanlage läuft auf Home Assistant mit den KNX Sensoren (Präsenz, Fenster etc.) + Zigbee (Lautsprecher etc.)


    Nun habe ich erst einmal alles in den Standardeinstellungen und möchte mich an die Config machen.


    Plan ist aktuell:

    - 6 Netzwerke (Core, SmartHome, IoT, Camera, Guest & Testing)

    - Netzwerke werden über 10.10.x.x/24 aufgebaut

    - Core: Alle Geräte, welche normal im Netzwerk funken (iPads, Handys, Apple TV etc.)

    - SmartHome: HomeAssistant + Server (HPE) + Zigbee über Home Assistant

    - IoT: Alle Wlan Sensoren die vorhanden sind

    - Camera: Alle LAN Kameras

    - Guests & Testing: selbsterklärend


    Fragen:

    - Wie gestaltet ihr den externen Zugriff? Aktuell läuft auf verschiedenen Geräten (Server + Handy) Tailscale mit freigebenen Subnets. Würdet ihr auf Teleport switchen? Kann ich via Teleport auch auf andere Subnets zugreifen?

    - Die Kameras müssen an eine Cloud funken ABER auch via RTSP (URL) an HomeAssistant. Macht es Sinn, SmartHome + Camera zu trennen?

    - Wenn ich Camera + SmartHome trenne, müsste SmartHome Camera lesen dürfen, aber nicht andersherum. Gleiches gilt für IoT - SmartHome darf IoT lesen aber nicht andersherum.

    - Guest darf nur Internet, mehr nicht.


    Ist das korrekt oder macht das aus eurer Sicht keinen Sinn/hab ich einen Denkfehler? :smiling_face:

    Zitat von tischers

    möchte nochmal betonen, was für ein tolles, hilfsbereites Forum das ist - kenne ich leider auch von anderen Tech-Foren anders

    Sehe ich auch so und finde es prima, dass Du es speziell nochmal erwähnst. Freut sicherlich alle, die sich hier Mühe geben, anderen zu helfen.


    Dein Setup wirkt auf mich gut durchdacht, kann man sicherlich alles so machen. Du könntest darüber nachdenken, alle Netzwerkkomponenten in ein Management-VLAN zu packen, sodass auch aus Deinem Core-Netz kein Gerät ohne spezielle Erlaubnis (Firewall-Regel) z.B. die UDM-SE ansprechen darf.

    Im Privatbereich ist das alles natürlich nicht so dramatisch zu sehen und Du wirst ja grundsätzlich wissen/kontrollieren, welche Geräte sich überhaupt mit Deinen Netzen verbinden.


    Zitat von tischers

    - Wie gestaltet ihr den externen Zugriff? Aktuell läuft auf verschiedenen Geräten (Server + Handy) Tailscale mit freigebenen Subnets. Würdet ihr auf Teleport switchen? Kann ich via Teleport auch auf andere Subnets zugreifen?

    Am sinnvollsten ist eigentlich Wireguard. Sehr gute Performance und leicht einzurichten. Teleport (basiert auf Wireguard) war nur eine ganz kurze Episode bei Unifi, als das "echte" Wireguard noch nicht fertig implementiert war.

    Über einen Wireguard-VPN-Zugang kannst Du auf alle Subnetze zugreifen, wenn Du es so einstellst.


    Zitat von tischers

    - Die Kameras müssen an eine Cloud funken ABER auch via RTSP (URL) an HomeAssistant. Macht es Sinn, SmartHome + Camera zu trennen?

    Kommt auf die Kameras an, würde ich sagen. Anständig konzipierte Geräte stören sich nicht daran, wenn sie mit Gegenstellen in anderen VLANs kommunizieren sollen. Es gibt aber immer wieder Anbieter (hallo Sonos...), die einfach zu dumm sind und davon ausgehen, dass ihre Geräte ausschließlich in flachen Netzwerken ohne jegliche Segmentierung benutzt werden.

    Da gibt's dann Probleme.



    Zitat von tischers

    - Wenn ich Camera + SmartHome trenne, müsste SmartHome Camera lesen dürfen, aber nicht andersherum. Gleiches gilt für IoT - SmartHome darf IoT lesen aber nicht andersherum.

    Ist kein Problem, erstelle eine Firewall-Regel die Zugriff VLAN1 auf VLAN2 erlaubt, fertig. Natürlich braucht es noch die universelle Established/Related-Regel, damit das angesprochene Gerät aus VLAN2 auch dem Anfraagenden aus VLAN1 antworten darf.


    Zitat von tischers

    - Guest darf nur Internet, mehr nicht.

    Ebenso kein Problem.

    Lieber Networker,


    danke dir sehr für deine schnelle Rückmeldung und das Feedback sowie die Tipps.


    Ich werde heute erstmal die ganze VLan Segmentierung machen und dann die Regeln sukzessive nachziehen wenn was nicht funktioniert. Das mit universelle Established/Related Regel muss ich mir noch einmal in Ruhe anschauen, da bin ich noch nicht so tief drin - aber das lese ich mir jetzt an.


    Eine kurze Frage noch - bevor sicher am Abend noch die ein oder andere kommt :grinning_squinting_face:


    Die Kameras habe ich aktuell "manuell" konfiguriert, dass heißt sie beziehen die Adressen nicht über DHCP sondern ich trage es händisch ein. Das würde ich auf DHCP umstellen und ALLES in Unifi festlegen, sodass ich es nicht umständlich an 2 Ecken machen muss.

    Ist das auch aus deiner Sicht das richtige Vorgehen?


    Liebe Grüße und danke dir für die Zeit :smiling_face:

    Zitat von tischers

    Ist das auch aus deiner Sicht das richtige Vorgehen?

    Ja, absolut. Für die allermeisten Geräte ist es sinnvoll, sie per DHCP zu versorgen. Statische, also gleichbleibende Adressen löst man über DHCP-Reservierungen.

    Auf diese Weise muss man jedenfalls nicht jedes Endgerät einzeln umkonfigurieren, wenn sich mal netzwerkseitig etwas ändert. Und mit IPv6 wird die händische Vergabe von Adressen dann sowieso unpraktikabel.

    Super, danke dir - hat nun alles geklappt und ist umgestellt :smiling_face:


    Eine Frage noch (bevor ich am We alle Rules einstelle und teste und vlt. noch die ein oder andere Frage habe), bin ich gerade darüber gestolpert:


    Habe für ehemals Default Network, jetzt Management für NUR Unifi Geräte, die IPs statisch vergeben und auch das Gateway als DNS eingetragen.


    WENN nun DNS Shield mal mit NextDNS Profilen kommt (aktuell CLI), hat das Auswirkungen oder heißt das Preferred DNS mit der Gateway Adresse auch immer das zieht, was man global für DNS Shield einstellt?