Neue Struktur fürs Heimnetzwerk

Moin zusammen,

ich bin neu hier und auch in diesem Thema, habe aber beschlossen, meine Netzwerkkenntnisse zu verbessern. Lasst mich zunächst meine Konfiguration erklären:

Mein Internetanbieter ist Vodafone, und sie stellen eine Kabelverbindung mit 1000 Mbit/s Download und 50 Mbit/s Upload bereit (EURO Docsis 3.1), die vollständig synchronisiert ist (Empfang: 1126,4 Mbit/s, 32 Kanäle; Senden: 52,5 Mbit/s, 5 Kanäle). Ich erhalte sowohl IPv4- als auch IPv6-Adressen mit einer Präfixdelegation von /59. Ich verwende eine AVM Fritzbox 6690 als Kabelmodem.

Ich möchte men Heimnetzwerk professioneller gestalten, also habe ich mich entschieden, UniFi-Geräte zu verwenden. Ich verwende eine Dream Machine SE als meinen Hauptrouter, mit drei U6-IW-Acesspoints. Die Anzahl der LAN-Anschlüsse an der UDM ist ausreichend.

Nun zu den Clients:

Mehrere Mobiltelefone, Tablets, Laptops, einige Fernseher, viele IoT-Geräte für die Smart-Home-Nutzung und ein kleiner Server, der Home Assistant, Cloud-/Backup-Speicher, Pi-hole und andere Dienste hostet.

Um doppeltes NAT zu verhindern, habe ich die Fritzbox in den Bridge-Modus versetzt und meine UDM über eine 2,5-G-Ethernet-Verbindung angeschlossen. Es funktioniert einwandfrei - meine UDM erhält eine IPv4- und IPv6-Adresse von meinem Internetanbieter.

Nun möchte ich mein Heimnetzwerk sicherer machen, indem ich VLANs und dedizierte SSIDs verwende. Hier ist mein Subnetzplan:

Management ist für alle UniFi-Geräte, Server für meine Server (derzeit nur einer, aber mit mehreren Docker-Containern), Main für all meine Hauptgeräte und vertrauenswürdigen Geräte (Laptops, Handys, Tablets, PCs), IoT für all meine Smart-Home-IoT-Geräte und Streaming-Geräte (nur Amazon-Geräte, Fire TV, Echo, usw.), Gast für ein Gästenetzwerk und Work für die Arbeitsgeräte meiner Frau.

Ich habe IPv6 für alle VLANs aktiviert, bin mir aber nicht sicher, wie ich innerhalb meines Netzwerks in Bezug auf IPv6-Adressen subnetten soll. Es funktioniert jedoch vorerst, und alle meine Geräte erhalten IPv6-Adressen. Ich habe den DHCP-Bereich für ipv4 von 100 aufwärts eingestellt, damit ich statische IPs unterhalb von 100 zuweisen kann.

Nun zum WLAN:

Ich lebe in einer stark überlasteten WLAN-Gegend. Ich gehe davon aus, dass die Zuweisung individueller SSIDs an alle meine VLANs zu einer schlechten WLAN-Performance führen wird. Hier ist also mein Plan:

Allgemein

IoT

Beide mit 2,4 GHz und 5 GHz Wi-Fi aktiviert. Ich werde einen RADIUS-Server verwenden, um Geräte in die richtigen VLANs zu verschieben.

Ich setze auf ein dediziertes IoT-WLAN, weil die meisten IoT-Geräte keine 802.1x-Authentifizierung unterstützen, sodass ich RADIUS nicht für sie verwenden kann. Alle anderen Geräte werden sich mit dem Allgemeinen WLAN verbinden, und basierend auf ihrer MAC-Adresse werden sie in das zugewiesene VLAN verschoben. Wenn es keinen RADIUS-Benutzer gibt, werden sie in das Gast-VLAN verschoben.

Das ist mein Plan.

Habt ihr irgendwelche Vorschläge oder Verbesserungen?

Sollte ich mit private psk arbeiten und die Geräte anhand dessen in das richtige VLAN schicken? Dann könnte ich mir gar die zweite SSID auch noch sparen.

Der Grund für die Idee mit weniger SSID's ist ein Geschwindigkeitstest gewesen:

Alter AP (FritzRepeater3000) mit einer aktiven SSID (2,4+5ghz) -> 780 Mbit/s

Neuer AP (U6-IW) an gleicher Stelle mit vier aktiven SSID (2,4+5ghz) -> 320 Mbit/s

Weniger als halbsolangsam. Dachte daher, der Overhead insgesamt sei schuld, also reifte die Idee, die Anzahl der SSID's zu verringern. Damit ich die Geräte aber trotzdem ins passende VLAN schieben kann, kam mir die Idee mit Radius oder eben per p-psk.

Das Management VLAN auf dem Default zu lassen, habe ich schon an mehreren Stellen gelesen. Ich werde diesen Tipp beherzigen.

Gleicher Kanal, gleiche Kanalbreite, gleiche Verschlüsselung, Gleiches Testgerät. Geschwindigkeitstest jeweils immer im 5 GHZ-Netz.

TX-Power Auto und High getestet.

Ergebnis konstant, wie oben beschrieben.

Übrigens auch Rückwärts. Bei Installation des AVM-Repeaters werden wieder 780 Mbit/s erreicht.

Das hab ich auch schon festgestellt. Es wird übrigens hochgezählt in der Reihenfolge, wie das jeweilige VLAN erstellt wurde.

Der nächste Test ist halt ganz klar: Nur noch eine SSID und dann mit dem U6-IW testen. Sollte die Geschwindigkeit dann auf Fritz-Niveau sein, liegt es wohl an zuvielen SSID's die hier durch die Gegend schwirren. Wenn nicht, hab ich ein anderes Problem

Nein, das war nur ein Testaufbau. Am U6 hing sonst selbst nichts, außer dem Test-Device (S23Ultra). Test ganz einfach mit WifiMan. Der interne Geschwindigkeitstest über die UDM-SE ergibt 1050 MBit/s down, was dem Limit der Internetleitung entspricht.