UDM Pro Neuling sucht dringend Hilfe und Rat bei VLANs

Es gibt 18 Antworten in diesem Thema, welches 2.335 mal aufgerufen wurde. Der letzte Beitrag () ist von Shoggy.

    Hallo liebe Community,


    ich bin nicht nur neu hier im Forum, sondern auch Neuling was die UDM Pro und VLAN betrifft. Ich habe das Forum durchsucht, aber irgendwie keine Antwort auf meine "Denkweise" erhalten und hoffe auf diesem Wege, Ratschläge und evtl. auch die ein oder andere Erläuterung/Anleitung zu bekommen.


    Leider oder zum Glück werden es auch in privaten Haushalten immer mehr netzwerkfähige Geräte, was mich aber zum Gedanken Sicherheit bringt.


    Ausgangslage:


    - Ca. 32 WLAN fähige Geräte (iPhones, Galaxys, Homepods, Apple TV, Tablet, Notebooks, IoT Geräte - Waschmaschine, Kühlschrank, Kaffemaschine, etc)

    - 5 Drucker

    - Einen Server mit 5 VMs (2x Serv2019, 2x Serv2022, Ubuntu)

    - 6 PC Systeme

    - 2 NAS

    - LAN Fernseher, PS5, PS4, Xbox etc.

    und ich habe bestimmt noch was vergessen.


    Glasfaser - FB7590 - Sophos - UDM Pro - Switches unmanged und Endgeräte


    Nun möchte ich wie ihr euch bestimmt vorstellen könnt, mit den VLANs der UDM ein wenig Ordnung ins Chaos bringen und möchte auch nicht, dass IoT Geräte mit einigen anderen Geräten kommunizieren, andere sollen es aber schon.


    Vorstellung:


    VLAN 10 - Server und PC Systeme - NAS - Apple TV - Notebook WLAN

    VLAN 20 - WLAN Geräte

    VLAN 30 - Drucker

    VLAN 40 - IoT

    VLAN 50 - Mac Studio (LAN) und Macbook (WLAN)

    VLAN 60 - Kinder PCs

    VLAN 70 - Konsolen und Fernseher


    In meiner naiven Denkweise sollen diese Geräte perse über VLANs getrennt werden. Die Einrichtung der VLANs welche nicht untereinander kommunizieren sollen ist noch ok, aber passt meine Vorstellung zur technnischen Umsetzung? Denn alle IoT Geräte VL40 werden über z.B. mein iPhone gesteuert, dieses soll aber im WLAN Netz VL20 sein und zugleich aber auch per Airdrop auf meinen Mac Studio VL50 übertragen können.


    Nehmen wir z.B. eine NAS. Diese muss aus VLAN 10 voll / und aus VL 20 VL50 eingeschränkt erreichbar sein.

    Das iPhone befindet sich im VL 20 und muss auch auf VL30 / VL40 und VL50 zugreifen können.


    Alle VL, außer VL 40 und VL 70 sollen auf VL30 zugreifen können. Hinzu kommt die Frage, ob man der UDM sagen kann, dass unter einer VLAN WLAN und LAN Geräte hängen?


    Meine Frage an die Pros da draußen, kann man das so umsetzen? Wenn ja wie? Macht es aus eurer Sicht Sinn? - lassen wir die Sinn Frage mal weg, hier kommen zu viele unterschiedliche Meinungen :face_with_tongue:

    Ich habe gegoogelt, mich hier im Forum umgesehen und auf Youtube gesucht, aber keine vernünftige Beschreibung für mein Problem gefunden. Ich bräuchte zum einen einfach nur die Info, kann die UDM das, kann man es technisch umsetzen? - Falls ja, bitte ich euch mir zu erklären wie es funktioniert. Denn ich komme einfach nicht weiter.


    Und falls ihr euch fragen solltet, ey der hat nen Server mit VMs und ne Sophos Firewall und kann sich die Frage nicht beantworten? Jap, mit der Thematik habe ich mich bisher nie beschäftigt. Alles andere bringe ich mir immer Stück für Stück selbst bei, aber bei der Frage UDM und VLANs stecke ich echt fest.


    Vielen Dank für eure hoffentlich weisen Worte :smiling_face:

    [Externes Medium: https://youtu.be/kxHMjmqHeoQ?si=4wllyIjrDqxhlJnp]


    wird auch eine Grundeinrichtung (ob udr oder udm,.. ist von der oberfläche ja egal) mit mehreren Firewalls gezeigt. Achtung, das Video ist paar Monate alt, im Detail könnten einzelne Punkte etwas anders aussehen

    Guten Morgen,


    vielen Dank für den schnellen Support - da hab ich im Forum wohl an der falschen Stelle gesucht :confused_face: Sorry dafür!
    Die Anleitung von Defcon ist schon recht plausibel - mal sehen ob ich während der Erstellung der Regeln mehr Fragezeichen als "aha - Momente" bekommen werde :smiling_face:

    anton Danke fürs Video. Kennst du das, wenn du Menschen zuhörst deren Stimme nicht zu deinem Gehör passt? :winking_face: Aber ich werde es mir trotzdem versuchen bis zum Ende anzuschauen... also Vielen Dank!

    Zitat von Shoggy

    anton Danke fürs Video. Kennst du das, wenn du Menschen zuhörst deren Stimme nicht zu deinem Gehör passt? :winking_face: Aber ich werde es mir trotzdem versuchen bis zum Ende anzuschauen... also Vielen Dank!

    hehe. Englisch ein Problem?

    Ich empfehle das Video deswegen gerne, weil es wirklich am Anfang anfängt, und genau auf das thema Vlans und Firewall regeln dazu eingeht. Ich hab mit genau dem Video angefangen, wie ich meine erste UI Konsole (damals UDR) gekauft hatte. Und er schritt für Schritt durch geht

    Zitat von Naichbindas

    Dieses "VLAN 70 - Konsolen und Fernseher" könntest du auch weglassen. Diese Geräte gehören auch ins IOT Netz.

    seh ich auch so

    Ich würd das wie folgt machen(bzw habs so gemacht). Bis auf das Kinder Vlan, mein Hund braucht kein eigenes :grinning_squinting_face:
    Zwischen Wlan und Lan hab ich nicht getrennt, das passende Wlan ist dem selben Vlan zugeordnet. Das "eigene Clients" Wlan kann bei mir nur 5 GHZ, das IOT Wlan nur 2,4 GHZ (ist bei IOT Devices Problemloser)


    Vlan 1 - Server, evetuell Drucker, je nach Anzahl kann man auch diese trennen
    Vlan 2 - eigene Client Geräte
    Vlan 3 - IOT inkl TV, Konsole, Apple TV, Homepod,...

    Vlan 4 - Kinder

    Vlan 5 - Gäste (mit Voucher)

    Ob es Sicherheitstechnisch den Aufwand wert ist hab ich meine Zweifel. Der Pflegaufwand ist schon hoch. Für die Sicherheit ist “einfach” oft besser. Aber für mich ist es aber ein Hobby geworden :smiling_face:


    Ja die UDM-P kann das und ich nutze sie ähnlich.


    Ursprünglich hab ich mit vlans für Personen angefangen bin aber auf den Zug nach devices und device Klassen aufgesprungen. Etwa wie Du es schon beschrieben hast.


    zum Beispiel PlayStations in ein eigenes vlan. Die laufen unabhängig und sind selber schon recht sicher.


    Ich nutze Vlans /24 mit hex Nummerierung

    1,16,32 ect

    Damut kann ich firewallregeln und Traffic rules groupiert erstellen /23 /22

    Die udm-p und die Sophos haben bei mir jeweils ein /19

    Zitat von swag

    zum Beispiel PlayStations in ein eigenes vlan. Die laufen unabhängig und sind selber schon recht sicher

    erst letzten herbst wurde ne recht große Lücke gefunden(PS4 und 5), wo hacker recht viel anstellen konnten.

    anton

    Zitat von anton

    hehe. Englisch ein Problem?

    Sagen wir mal so, mein Englisch ist ein wenig eingerostet :grinning_face_with_smiling_eyes:


    Zitat von anton

    Zwischen Wlan und Lan hab ich nicht getrennt, das passende Wlan ist dem selben Vlan zugeordnet. Das "eigene Clients" Wlan kann bei mir nur 5 GHZ, das IOT Wlan nur 2,4 GHZ (ist bei IOT Devices Problemloser)

    Nennt mich paranoid, aber ich möchte irgendwie nicht, dass jedes WLAN Mobile Device (Android) auf das restliche Netz zugreifen kann. Gerne auf die IoT Sachen. Deswegen sollen manche WLAN Geräte mit ins VL10 und manche nur ins VL20. Ja das mit 5 GHz und 2,4 GHz ist auch noch so ein Problem, hm wobei auch wieder nicht, denn eigentlich sind es nur die ganzen IoT Geräte die 2,4 GHz benötigen und die haben eh nen eigenes VL.


    Zitat von swag

    Ob es Sicherheitstechnisch den Aufwand wert ist hab ich meine Zweifel. Der Pflegaufwand ist schon hoch. Für die Sicherheit ist “einfach” oft besser. Aber für mich ist es aber ein Hobby geworden :smiling_face:

    Wahrscheinlich nicht :winking_face: Aber alleine als Practice kann es ja nicht schaden. Evtl. kommt auch in der Firma mal der Tag an dem darüber gesprochen wird und ich mitreden kann :smiling_face:


    Zitat von anton

    erst letzten herbst wurde ne recht große Lücke gefunden(PS4 und 5), wo hacker recht viel anstellen konnten.

    Genau das ist der Grund, warum die Konsolen ein eigenes VL bekommen sollen.



    Über Sinn und Unsinn kann man sich immer streiten, ich sehe den Umfang als Übung an und um zu lernen und zu verstehen, wie die UDM arbeitet.


    Noch eine Frage in die Expertenrunde... gibt es im Hinblick auf die FB und die UDM etwas das man unbedingt beachten sollte, und/oder an der FB ein - oder ausschalten sollte?


    Und noch eine Frage, ich habe ja auch eine Sophos, welche mal irgendwann eingerichtet wurde und auch recht gut läuft... würdet ihr diese im Setup lassen oder reicht die UDM als Firewall Lösung aus? - Soweit ich das bisher beurteilen kann ist der Umfang in dieser Hinsicht bei der UDM zur Sophos doch recht "übersichtlich". Oder gibt es von Ubiquiti etwas vergleichbares?


    Entschuldigt die dummen Fragen, aber das Universum ist neu für mich, habe aber recht viel Gutes über die Produkte gelesen, weswegen ich mit dem Gedanken spiele das gesamte Setup auf Ubiquiti umzustellen. Gibt es von euch in diesem Zusammenhang auch eine Switch Empfehlung, welche man für die VLANs taggen kann?

    Ach, und vielleicht in diesem Zusammenhang noch eine Kaufempfehlung für Access Points / Range Extender von Ubiquiti. Bisher arbeite ich nur mit den AVM Produkten, welche mich doch ein wenig nerven... vor allem die MESH Funktion empfinde ich noch als unausgereift, der Wechsel auf den nächsten Point findet meiner Meinung nach nicht schnell und logisch genug ab, anstatt auf den nächsten (Entfernung) zu wechseln geht er über auf den Übernächsten, macht keinen Sinn - Noob Meinung :winking_face:

    Zitat von Shoggy

    Kaufempfehlung für Access Points

    Die U6 Pro sind Preis/Leistung sehr gut. können per Kabel und Mesh angebunden werden. Natürlich Wifi 6. Wifi 6E ist aktuell noch deutlich teurer (ist der U6 Enterprise) , und ob man es wirklich nutzen kann? Naja. Auch wenn ich mir einen daheim hingebaut hab :grinning_squinting_face:

    Die U6 LR sind keine Empfehlung. Denn das Problem am "Long Range" ist, dass die Regularien hierzulande die dazu nötigen höhere Sendeleistung nicht erlauben, und deswegen gesperrt ist.

    Wenn du einen AP mit kleinem Switch suchst (zb fürs Büro, oder hinter dem TV) ist der U6 In Wall einen Blick wert

    Zitat von Shoggy

    Und noch eine Frage, ich habe ja auch eine Sophos, welche mal irgendwann eingerichtet wurde und auch recht gut läuft... würdet ihr diese im Setup lassen oder reicht die UDM als Firewall Lösung aus? - Soweit ich das bisher beurteilen kann ist der Umfang in dieser Hinsicht bei der UDM zur Sophos doch recht "übersichtlich". Oder gibt es von Ubiquiti etwas vergleichbares?


    2 parallele Firewalls sind vom prinzip erstmal unsicher als eine da jede auch Sicherheitsrisiken z.B. durch falsche konfiguration mitsicher bringt und diese sich aufaddieren. Wenn Du Dir dies bewußt bist sehe ich aber darin kein Problem. Die UDM ist für mich schon recht gut und vermutlich ausreichen andere können aber mehr. Jede Firewall ist ist halt ein Hobby für sich. Ich selber hab eine alte Sophos SG die UDM-P und neuerdings auch eine openSense. Sophos ist so eine Thema für sich da Sophos scheinbar richtung Cloud Lösung geht. Die SG Serie fand ich super ist aber Jahre alt und läuft 2024 komplet aus. An der XG hab ich keinen Gefallen gefunden. Neue Firewall Projecte sind openSense oder pfSense die viele Neuerungen mitbringen.


    P.S. Ich finde die "alten" SG 330 / 430 19" Hardware klasse und auch für neuere Verwendung geeignet.

    Zitat von swag

    2 parallele Firewalls sind vom prinzip erstmal unsicher als eine da jede auch Sicherheitsrisiken z.B. durch falsche konfiguration mitsicher bringt und diese sich aufaddieren. Wenn Du Dir dies bewußt bist sehe ich aber darin kein Problem. Die UDM ist für mich schon recht gut und vermutlich ausreichen andere können aber mehr. Jede Firewall ist ist halt ein Hobby für sich. Ich selber hab eine alte Sophos SG die UDM-P und neuerdings auch eine openSense. Sophos ist so eine Thema für sich da Sophos scheinbar richtung Cloud Lösung geht. Die SG Serie fand ich super ist aber Jahre alt und läuft 2024 komplet aus. An der XG hab ich keinen Gefallen gefunden. Neue Firewall Projecte sind openSense oder pfSense die viele Neuerungen mitbringen.


    P.S. Ich finde die "alten" SG 330 / 430 19" Hardware klasse und auch für neuere Verwendung geeignet.


    Das stimmt wohl, dass jede Firewall ein Hobby für sich ist. Habe auch noch eine SG und die ist super. Allerdings ist es auch schon ne Weile her, wo ich mich damit beschäftigt habe und in der Zeit "vergisst" man dann auch wieder einiges. Das sie ausläuft macht die Hardware ja nicht schlecht - aber pfSense soll ja auch wunderbar darauf laufen.


    Coud ist zwar eine nette Sache und für einige Dinge auch sehr nützlich, aber alles möchte ich nicht aus der Hand geben und bleibe bei so vielen Dingen wie möglich bei On-Premise Lösungen.

    Zitat von anton

    Die U6 Pro sind Preis/Leistung sehr gut. können per Kabel und Mesh angebunden werden. Natürlich Wifi 6. Wifi 6E ist aktuell noch deutlich teurer (ist der U6 Enterprise) , und ob man es wirklich nutzen kann? Naja. Auch wenn ich mir einen daheim hingebaut hab :grinning_squinting_face:

    Danke für den Tip....


    Zitat von Shoggy

    Noch eine Frage in die Expertenrunde... gibt es im Hinblick auf die FB und die UDM etwas das man unbedingt beachten sollte, und/oder an der FB ein - oder ausschalten sollte?



    Entschuldigt die dummen Fragen, aber das Universum ist neu für mich, habe aber recht viel Gutes über die Produkte gelesen, weswegen ich mit dem Gedanken spiele das gesamte Setup auf Ubiquiti umzustellen. Gibt es von euch in diesem Zusammenhang auch eine Switch Empfehlung, welche man für die VLANs taggen kann?

    Hast du / Habt ihr hierzu zufällig auch Ratschläge und Empfehlungen?

    Ich hab openSense auf der SG 430 installiert (die gabs für 100,- bei ebay), super easy, gibt sogar ein Plugin für's Display.



    Ich nutze meine Fritten beide ganz normal (doppeltes NAT) funktiniert für mich prima und Nachteile im Durchsatz sind mir nicht aufgefallen. Ping web.de ca 13ms. Wiregurad VPN Server läuft auf der UDM-P und der open sense und ist über udp port Freigabe IPv4 bzw IPv6 Freigabe erreichbar. (Solange es keine Provider NAT IP's sind) Andere schwören aber auf den Bridge Mode.



    Klar auch eine Playstation ist angreifbar daher würde ich sie nicht exposed ins Netz stellen. Und ich hab ihnen ein eigenes Netz gegeben. Aber IPS wird diese Angriffe halt auch nicht verhindern da sie schon sehr speziell sind.



    Grundsätzlich können alle Unifi switch VLAN. Achtung beim Mini der ist speziell weil der kann nur alle oder ein ausgewähles VLAN pro Port. Untertschide gibt es aber bei der Spanning Tree, Radius, SFP+ oder POE Unterstützung. Und der Switch in der UDM-P ist auch nicht so pralle.

    Finde die U6+ (für ca 105,-) auch eine günstige Alternative. Haben aber halt nur 2x2.


    PS. der U6-LR hat neben dem HD 4x4 im 2,4GHz. Die Pro /Enterprise nicht. Obs jemand braucht ??


    Im 2,4GHz Bereich macht oft Reichweiter mehr Sinn als der Spitzendurchsatz (20 Mhz statt 40Mhz Bandbreite)



    Ich nutze ein 2,4GHz WLAN, eins für 2,4GHz und 5GHz und eins für 5GHz. Die Zuordnung der Geräte zu den VLans mache ich dann über einen Radius server. Nutze dazu allerdings nicht den integrierten sondern einen FreeRadius um unbekannten Geräten ein default VLan zuzuweisen. Macht mir die Verwaltung wesentlich einfacher,

    Zitat von swag

    Obs jemand braucht ??

    Für die geräte, die in erster Linie 2,4 nutzen, nö. Nicht mal n Tesla kann mehr als 2x2, zumindest die ich gesehen hab.


    In 5 ghz bringen halt die 4x4 wirklich Bandbreite, und die wird oft auch genutzt

    Ich sage an der Stelle einmal vielen lieben Dank für eure schnelle und vor allem freundliche Hilfe und die Ratschläge. Ist leider nicht in jedem Forum so. Also ihr seid Top!


    Wünsche allen einen schönen sonnigen Sontag. :smiling_face_with_sunglasses: