Ein Rechenzentrum im Kleinen — das Heimnetz neu geplant

Zu Hause hängt bisher alles an einer FRITZ!Box: ein Netz, ein WLAN, die Box als Router, DHCP und Telefonanlage. Eine Verbindung zum Rechenzentrum gibt es noch nicht. Das funktioniert, passt aber nicht mehr zu dem, wie ich die Umgebung im Rechenzentrum betreibe. Dort trennt eine OPNsense jedes Netz, alles hat ein VLAN, und jede Regel steht in der Firewall. Am 20. Oktober 2026 habe ich das Heimnetz nach demselben Muster geplant und die Hardware für den ersten Schritt bestellt.

Das Ziel

• Eine eigene Firewall mit OPNsense auf einer Protectli VP6670. Sie routet und filtert alle Netze. Die FRITZ!Box bleibt nur noch Telefonanlage, mit DECT und SIP wie bisher.
• Switching und WLAN mit TP-Link Omada, verwaltet über einen eigenen Hardware-Controller. Omada macht nur Layer 2, das Routing bleibt auf der Firewall.
• Ein eigenes Netz für jede Aufgabe, nach derselben Regel wie im Rechenzentrum: Dort ist die VLAN-ID 1000 plus das dritte Oktett, zu Hause 2000 plus das dritte Oktett. Das Netz 10.200.4.0/24 ist also VLAN 2004.
• WireGuard von Firewall zu Firewall zwischen der neuen Firewall und der OPNsense im Rechenzentrum. Heimnetz und Rechenzentrum sehen sich über den Tunnel, was durch darf, regeln beide Seiten.
• Ein Modem statt eines Routers am Anschluss und ein 5G-Modem als zweiter Weg ins Internet, falls die Leitung ausfällt.

Der Kern-Switch gehört in die Mitte

Viele Homelab-Aufbauten setzen den großen Access-Switch mit 48 Ports in die Mitte, die Firewall hängt mit einem Kupferkabel daran, ein 10G-Switch darunter. Ich habe es umgekehrt gebaut:

• Die Firewall hat zwei SFP+-Ports. Ein 10G-Trunk führt alle VLANs getaggt zum Kern-Switch, einem lüfterlosen SX3008F mit acht SFP+-Ports.
• Am Kern hängen sternförmig, je mit einem 10G-DAC, der Access-Switch für die Dosen, der PoE-Switch für die Access Points und später der Lab-Switch.
• Verkehr zwischen zwei Netzen geht damit immer Switch → Kern → Firewall → Kern → Switch, durchgehend mit 10G. Mit dem Access-Switch in der Mitte wäre das Kabel zur Firewall der Engpass gewesen – und für einen Stern mit 10G fehlen ihm die Ports: Er hat nur vier SFP+.

Bewusst ohne LACP: Jede Strecke ist ein einzelner DAC. Fällt einer aus, fällt das Gerät dahinter aus, bis der Ersatz-DAC steckt. Für ein Heimnetz ist das ein fairer Tausch gegen weniger Ports und weniger Konfiguration.

Verwaltung ohne VLAN 1

Alle Netzwerkgeräte werden in einem eigenen MGMT-VLAN verwaltet, VLAN 1 bleibt an jedem Port leer. Jedes Gerät im Werkszustand spricht VLAN 1, und wer dort verwaltet, verwaltet in dem Netz, in dem auch jedes versehentlich eingesteckte Gerät landet.

Zwei Kniffe machen das alltagstauglich:

• MGMT als natives VLAN auf allen Uplinks zwischen Switches. Ein neuer oder zurückgesetzter Switch landet damit sofort im richtigen Netz, bekommt eine Adresse und wird vom Controller gefunden.
• Ein eigenes Kupferkabel für MGMT von der Firewall zum Access-Switch, getrennt vom 10G-Trunk. Hängt der Trunk, bleiben Switches, Controller und später die Server erreichbar. Dazu ein Rettungsport an der Firewall nur für den Laptop.

Die Reihenfolge der Inbetriebnahme folgt daraus: zuerst die Firewall über Bildschirm oder serielle Konsole, dann holt sich der Controller eine Adresse aus MGMT, danach werden die Switches einzeln in einem Rutsch umgestellt. Der Switch, an dem der Controller hängt, kommt zuletzt.

Die Zonen

Das WLAN hat vier Namen. Einer davon trägt Namen und Passwort des alten FRITZ!Box-WLANs und landet im Client-Netz. Am Tag der Umstellung bucht sich so jedes Gerät im Haushalt von selbst um, ohne dass jemand etwas eingeben muss.

In drei Schritten

Die Konfiguration zieht beim Umzug unverändert mit: Die Adressen hängen nicht am Ort, nur die DNS-Zone wechselt. Die Netze für Storage und Corosync bleiben später auf ihrem Switch und bekommen keine Adresse auf der Firewall.

Was beim Planen aufgefallen ist

Intel-Karten sind wählerisch. Firewall und Mini-PCs haben Intel-X710-Netzwerkkarten. Die prüfen per Firmware, von wem ein SFP+-Modul oder DAC stammt, und das lässt sich unter OPNsense nicht abschalten. An diese Ports kommen deshalb nur Intel-codierte DACs. Zwischen den TP-Link-Switches gibt es keine solche Prüfung, dort reichen günstige.

Eine Kassette ist 80 Zentimeter lang. Im Rack ersetzt ein Patchbox-Rahmen alle Patchkabel: Jede Verbindung ist eine Kassette mit einem Kabel, das sich selbst einzieht. Das 5G-Modem sollte ursprünglich ans Fenster. Mit einer 80-Zentimeter-Kassette wird das nichts, also steht es vorerst oben auf dem Gestell, direkt über dem Rahmen. Aufgefallen ist das erst beim Zeichnen des Patchplans, in dem jeder Port mit seinem Kabel steht.

Das kleinere Gestell wäre fast zu klein gewesen. Für den ersten Schritt reichen 12 Höheneinheiten, ein Platz bliebe frei. Die USV ist aber erst für Schritt 3 geplant, und ohne sie gehen Firewall, Switches und Home Assistant bei jedem Stromausfall hart aus. Im 15-HE-Gestell kann sie bei Bedarf früher einziehen, für 45 Euro Aufpreis.

Ein Gateway von Omada hätte gereicht, aber nicht gepasst. Ein Omada-Router wäre billiger und alles liefe in einer Oberfläche. Er hat aber nur Gigabit-Ports, und es fehlen die Dinge, die die Umgebung im Rechenzentrum ausmachen: lokale DNS-Zonen in Unbound, das Konfigurationsbackup ins Git, NUT für die USV und Firewall-Regeln in der Feinheit, die ich dort gewohnt bin.

Was noch kommt

• Aufbau und Umstellung des ersten Schritts, mit einem Rückweg zur FRITZ!Box für den Fall, dass am Abend der Umstellung etwas hakt.
• Die Firewall zu Hause unter dieselbe Überwachung wie die im Rechenzentrum.
• Die Raumplanung für die eigene Wohnung: Dosen, Access Points, Übergabepunkte.

Was ich daraus mitnehme

Die meiste Zeit ging nicht in die Frage, welches Gerät, sondern in die Frage, was wo hängt. Eine Liste mit jedem Kabel, jedem Port und jedem Etikett klingt nach Bürokratie für ein Heimnetz. Sie hat vor der ersten Lieferung einen Planungsfehler gezeigt, der sonst erst beim Einbau aufgefallen wäre.