Beratung, UDM-SE + Netzwerk

Servus an alle,

ich habe euer Forum mittels Internetsuche gefunden und dachte ich Frage hier mal nach, ob das alles so möglich ist (ohne viel Aufwand).

Vorgeschichte:

Ich habe mir einen Geekom IT12 i5 gekauft um dort einige Anwendungen für mein wachsendes Heimnetzwerk zu installieren.

Auf dem läuft derzeit Proxmox VE mit Jellyfin, Adguard, NGINX, OpenVPN (Nordvpn) und ein paar anderen Anwendungen.

In meinem "Server" Schrank, eher sehr klein ist ein unmanaged switch und dort sind alle meine LAN Kabel angestöpselt und auch der IT12 hat dort Platz.

Momentan ist das alles 1 Subnetzwerk ohne Trennung.

Ich habe vor den Jellyfin Server und noch andere Dienste über NGINX von außen erreichbar zu machen (duckdns + nginx würde jetzt schon funktionieren). Jedoch habe ich keine wirkliche Firewall (die von meinem ISP-Router gelieferte zähle ich mal nicht) die den eingehenden, ausgehenden und lokalen Traffic überwacht.

Zuhause lag ein alter PC und ich habe dort angefangen OPNsense zu konfigurieren, aber ich bin einfach zu viel eingespannt (Familie, Kinder usw.) das ich Abends kaum Zeit finde mich da richtig reinzuknien. Ich würde das schon zu laufen bekommen, aber die Wartung etc. wäre schon recht viel. Außerdem weiß ich dann nicht wie sicher das ganze dann ist.

Da ich von Unifi 2 APs habe und diese echt super funktionieren, bin ich auf die Idee gekommen mir die Dream Machine SE zu kaufen und einen Unifi Switch um das ganze zu managen.

Ist mein Gedankengang so in etwa richtig und kann das auch so umgesetzt werden:
Dream Machine hat 2x SFP+ Ports. An einen kann ich mein Synology NAS hängen und an den zweiten kommt der Unifi Switch. An diesen Switch hänge ich die Access Points, meinen Computer und die anderen Netzwerkgeräte wie auch den Server mit Proxmox.

Auf dem Proxmox hoste ich dann Adguard, NGINX usw. was ich ja jetzt auch schon mache. Wenn also mein Computer oder ein Handy/Tablet etc. auf eine Webseite geht, dann geht die Anfrage zuerst an die Dream Machine, diese leitet dann die Anfrage an Nordvpn weiter auf meinem Proxmox Server und der schickt das dann über die Nordvpn Server nach außen. Die DNS-Anfragen von der Website werden dann von Adguard empfangen und gefiltert bevor sie auf die Dream Machine treffen und diese dann weiterleitet an meinen PC oder Handy etc.?

Übersehe ich da jetzt was?

Wichtig ist mir bei meinem Setup einfach, dass der Jellyfin-Server und andere Anwendungen in einem separaten VLAN sind und somit abgeschirmt sind von meinem restlichen Netzwerk.

Außerdem würde ich eben gerne den Traffic etwas im Auge behalten.

Da in nächster Zukunft ein Umzug in ein größeres Haus bevorsteht, ist natürlich dann auch geplant diverse Kameras etc. zu installieren und auch Home Assistant Tools auf dem Proxmox zu haben.

Hoffe ihr könnt mir hier weiterhelfen.

LG
Steven

Zitat von Networker

Hallo Steven0 und herzlich willkommen!

Hardwareseitig sehe ich kein Problem, wird so klappen, wie Du es vorhast.

So richtig verstehe ich nicht die Idee, sich für NordVPN einen Server aufzusetzen (kann aber auch an mir liegen). Wenn Du zu jeder Zeit jeglichen Traffic über NordVPN schicken willst, sollte nach meinem Verständnis eher Dein Router diesen Tunnel etablieren. Wozu ein zusätzlicher Hop?

Das geht mit Unifi. In wieweit Dir die Statistiken und Möglichkeiten ausreichen, kannst natürlich nur Du selbst entscheiden. OPNsense ist ohne Frage das deutlich mächtigere Werkzeug und "im Vorbeigehen" richtet man Unifi auch nicht ein, wenn man neu in diesem Universum ist. Was nicht heißt, dass ich Dir von der Idee mit der UDM SE abraten möchte.

Alles anzeigen

Also bei meinem ISP-Router habe ich eigentlich alles abgeschalten (das Teil ist nur noch das Modem für mich). Die unifi AP sind das WLAN schon seit Jahren und wurden letztens durch neuere ersetzt (WiFi 6/6e). Durch die Erneuerungen habe ich mehr umgebaut und auch nebenbei alle alten DVDs, blurays und anderes digitalisiert. Nordvpn war auf allen Geräten, aber zentral auf einem Gerät ist das natürlich besser. Das ich alles auf dem it12 ausgelagert habe, ist dass es halt momentan so noch eingerichtet ist. Nordvpn kann ja auch direkt auf der dream machine laufen. Vom Management und der Komplexität ist doch unifi wesentlich schneller eingerichtet als ein opnsense Server oder?

Zitat von Networker

OPNsense Server? OPNsense ist ein Betriebssystem für Router/Firewalls, oder was meinst Du jetzt genau?

Deine Frage kann doch niemand pauschal beantworten. Nur eine Internetverbindung aufbauen und Geräte dahinter zu versorgen sollte Dich auch bei OPNsense nicht viel Zeit kosten. Es kommt dann u.a. darauf an, was und wie feingliedrig Du alles einstellen willst.

Vorteil bei Unifi ist, dass man VLANs zentral und nur einmal anlegen muss, was mindestens in der Ersteinrichtung einiges vereinfacht.

Ja das meinte ich. Habe opnsense auf einem eigenen kleinen pc installiert gehabt als Betriebssystem. Das meinte ich mit "server". Da war halt opnsense drauf und sonst nichts. Da ich aber gerne noch einige extras haben wollte z.b. gesamter traffic über nordvpn (das hab ich auch geschafft) + rowdsec und adguard plugin installieren. Das letztere ging total in die Hose. Diverse Einstellungen haben mich haufenweise nerven und Zeit gekostet. Der Plan wäre eigentlich: Eigenes VLAN für den Proxmox mit dem Jellyfin und anderen Anwendungen die ich extern betreiben will. 1 VLAN für mein Heimnetzwerk und ein extra WLAN in einem eigenen VLAN. Das wäre mal der Anfang, remote access mit nginx und duckdns wo ich die ports 80 und 443 freigebe. Ausgehender traffic durch nordvpn verschlüsseln und adguard für werbung filter. Eingehender Traffic auf den nginx vielleicht noch crowdsec vorschalten oder ist das eher Blödsinn. Will halt einigermaßen sicher sein wenn ich die ports im Internet freigebe. Ich krieg das schon mit opnsense hin, aber die einstellmöglichkeiten sind für mich unübersichtlich und es macht halt auch wenig Sinn wenn ich in opnsense in der Firewall regeln baue, wenn ich nicht zu 100% sicher bin ob das gut oder schlecht ist. Habe da eben überall gelesen das die Drwam Machine und unifi da eine "einfachere" Lösung ist. Bin kein IT-Experte und hab mir die letzten Monate stundenlang Guides reingezogen, dass frisst mir zuviel Zeit.

Es ist benutzerfreundlicher oder?