Heimnetz
Das Netz zu Hause folgt den Regeln des Rechenzentrums: eine OPNsense trennt die Zonen als VLANs, jede mit eigenem Regelwerk, und Aliase und Regeln heißen auf beiden Firewalls gleich. Ein reines Modem nimmt DSL an, die Firewall wählt sich selbst ein. Ein lüfterloser Kern-Switch verbindet die übrigen Switches sternförmig mit 10G, ein Wi-Fi-7-Access-Point funkt vier WLANs in vier Zonen. Alles steht in einem offenen Gestell mit 15 Höheneinheiten, jedes Kabel mit Etikett an beiden Enden. Ein WireGuard-Tunnel koppelt das Heimnetz ans Rechenzentrum, ein zweiter bringt meine Geräte unterwegs nach Hause.
Wie es dazu kam, steht in den Notizen zur Planung, zur Umstellung, zu zwei Firewalls mit einem Schema und zum Feinschliff. Wählen Sie ein Gerät oder eine Zone aus, um Details zu sehen.
Übersicht
Eine Firewall, zehn Zonen
Jedes Gerät hängt in genau einer Zone, und was es darf, entscheidet allein die Firewall.
Das Gestell
Gestell
Offenes Gestell, 15 Höheneinheiten
Oben verteilen, unten Strom: Patchbox und Switches oben, Firewall und Kern in der Mitte, PDU und USV unten.
Zonen und Kabel
Zonen
| VLAN | Zone | Wer | Darf |
|---|---|---|---|
| VLAN 2010 | ADMIN | macbook, iphone, ipad, pc | Verwaltung, alle Zonen, Sprungserver und Mail im RZ, Internet ohne Filter |
| VLAN 2001 | CLIENT | familie, drucker | nur Internet mit Filter |
| VLAN 2003 | MEDIA | fernseher, tv-box | Internet mit Filter, Medienserver im RZ |
| VLAN 2004 | IOT | pi00 | nur Internet mit Filter |
| VLAN 2005 | VOICE | pbx00 | nur SIP und RTP |
| VLAN 2006 | GUEST | gäste, laptop arbeit | nur Internet mit Filter, untereinander isoliert |
| VLAN 2007 | LAB | — | Internet, Puppet und Paketspiegel im RZ (Phase 3) |
| VLAN 2002 | MGMT | fw00, cs00, s00, s01, s02, ap00, ctrl00 | nur Updates und Zeit; erreichbar nur aus ADMIN |
| TUNNEL | WG_HEIM | macbook, iphone, ipad, laptop arbeit | wie ADMIN, mit Filter |
| PORT | RESCUE | notfall-laptop | nur die Firewall und die Verwaltung der Geräte |
Verbindungen
| Etikett | Von | Nach | Art | Zweck |
|---|---|---|---|---|
| D2 | cs00 2 | s00 49 | DAC 10G | Kern zum Access-Switch |
| D3 | cs00 3 | s01 9 | DAC 10G | Kern zum PoE-Switch |
| D1 | cs00 1 | fw00 SFP+ | DAC 10G | geplant: Trunk der VP6670 direkt an den Kern |
| K15 | fw00 igc3 | s00 47 | Kassette, grau | Trunk aller Zonen (Übergang, 1G) |
| K12 | fw00 igc2 | s00 48 | Kassette, rot | Verwaltungsnetz, eigenes Kabel |
| K13 | ctrl00 | s00 40 | Kassette, rot | Omada-Controller |
| K16 | pbx00 | s00 41 | Kassette, gelb | Telefonanlage |
| L2 | s01 1 | ap00 | Cat6a, PoE+ | Access Point, Strom und 2,5G |
| L1 | s00 1 | s02 | Cat6a, 15 m | Tisch-Switch am Schreibtisch |
| L4 | s00 9 | pi00 | Cat6a, 15 m | Home Assistant |
| L6 | vigor LAN | fw00 igc0 | Cat6a, 10 m | Einwahl per PPPoE |
| L5 | TAE | vigor DSL | TAE auf RJ11 | DSL |