Heute möchte ich mich dem Thema widmen wie man sein Gastnetz sauber vom eigenen Netz trennt. Mein Setup besteht aus einer FRITZ!Box 6430 Cable einem Netgear JGS516PE Switch sowie einem UniFi AP AC PRO und einem UniFi AC Mesh AP. Natürlich lässt sich das Ganze auch mit einem etwas anderen Setup aufbauen. Der Router muss nur das Gastnetz auf einem seiner Netzwerk Ports unterstützen und alle anderen Komponenten müsste mit VLAN nach dem Standard IEEE 802.1Q zurechtkommen.
Einstellungen FRITZ!Box
Das WLAN der FRITZ!Box sollte deaktiviert werden, da dies durch die UniFi Access Points bereitgestellt wird und diese im Gegensatz zur FRITZ!Box ein ordentliches Handover ermöglichen. Jeder der schon mal mit mehreren voneinander unabhängigen APs gearbeitet hat kennt bestimmt die Eigenart dieses Setups. Jeder AP versucht das WLAN Gerät so lange wie möglich zu versorgen und erst, wenn gar kein Empfang mehr möglich ist wird die Verbindung gekappt, sodass ein anderer AP übernehmen kann. Bei professionelleren Lösungen wie z.B. den APs von UniFi wird sichergestellt, dass der jeweils beste AP die Verbindung übernimmt, aber dies nur am Rande.
Wichtig für unser Setup ist, dass man unter Heimnetz -> Netzwerkübersicht -> Netzwerkeinstellungen den Gastzugang für LAN 4 aktivieren. Falls gewollt kann hier auch noch die Zustimmung zu den Nutzungsbedingungen erzwungen werden, was ich jedoch nicht benötige. Das wärs dann auch schon. Diese Funktion sollte in allen aktuellen FRITZ!Boxen vorhanden sein. Bei mir ist aktuell die FRITZ!OS: 06.83 installiert.
Einstellungen Switch
Die Einstellungen sind bei meinem JGS516PE über die Weboberfläche unter VLAN -> 802.1Q -> Advanced erreichbar. Wie ihr seht habe ich 2 VLAN IDs eingerichtet. ID 01 ist mein Heimnetz und 10 steht für mein Gastnetz.
Mein Heimnetz ist Standardmäßig auf allen Ports im Modus untagged mit Ausnahme von Port 14, da dieser mit dem LAN Port 4 meiner FRITZ!Box verbunden ist auf der das Gastnetz anliegt. Untagged bedeutet, dass alle Netzwerkpakete ohne Tag, also ohne Marker, dem vom Switch dem VLAN 1 zugeordnet werden. Umgekehrt bedeutet es auch, dass ausgehende Pakete aus VLAN 1 nicht mit einem Tag versehen werden. Dies ist wichtig, da nicht jedes Gerät mit getaggten Paketen umgehen kann. Ein normaler PC sollte beispielsweise keine getaggten Pakete erhalten.
Das VLAN 10 ist untagged auf Port 14, an dem das Gastntz der FRITZ!Box angeschlossen ist und tagged als 2. Netz auf den Ports 3 und 5. Die hier angeschlossenen Kabel transportieren nun beide Netze. Hier sind dann auch meine APs angeschlossen die mit Hilfe des Tags die Pakete dem passenden WLAN zuordnen können.
Nun fehlt nur noch eine Einstellung und zwar die PVID. Hierüber wird gesteuert welchem VLAN das Switch eingehende Netzwerkpakete ohne Tag zuordnet. Hier muss in meinem Fall also überall die 1 stehen mit Ausnahme von Port 14 für das Gastnetz.
Möchtet ihr zusätzlich noch ein Kabelgebundenes Gastnetz etablieren muss der Port der dafür vorgesehen ist auch die PVID 10 bekommen und der Port muss auch im Bereich Membership dem VLAN 10 (untagged) zugeordnet werden und bei 01 gelöscht werden. Solltet Ihr mehrere Switches im Haus verteilt haben können beide Netz auch hier über ein Kabel transportiert werden. Die Einstellungen sind dann analog zu Port 3 bzw. 5 in meinem Beispiel auf beiden Switches vorzunehmen.
Einstellungen Access Points
Die Einstellungen erfolgen bei mir über den UniFi Controller in der Version 5.4.16 unter Einstellungen -> Drahtlose-Netzwerke.
Mein Heimnetz ist dabei keinem VLAN zugeordnet, es ist also untagged. Setzt man hier den Haken für VLAN und gibt ID 01 mit funktioniert das Setup nicht mehr!
Für das Gastnetz ist die VLAN Zuordnung mit der ID 10 aktiv. Auf die weiteren Einstellmöglichkeiten möchte ich hier nicht näher eingehen und somit ist die Trennung der Netzwerke abgeschlossen.
Nun sollte man das ganze einmal testen. Am einfachsten sieht man ob es geklappt hat indem man sich einfach mit jedem WLAN einmal verbindet und schaut welche IP-Adresse man bekommt. Bei der Fritz box sind die Standard IPs für das Heimnetz im Bereich 192.168.178.xxx und für das Gastnetz 192.168.179.xxx.
Stolperfallen bei der Einrichtung
- Wenn man nicht aufpasst, sperrt man sich währen der Einrichtung selbst aus. Rutscht der PC an dem man arbeitet versehentlich ins Gastnetz kann man sein Switch natürlich nicht mehr erreichen. Das ist zwar gewollt aber im Rahmen der Einrichtung unpraktisch.
- Das VLAN 01 sollte nicht gelöscht werden.
- Auf den Ports die mehrere Netzwerke transportieren sollte immer genau ein Netz untagged sein. Hat man hier auch das Netz 01 als tagged eingestellt klappt es nicht, auch wenn die Einstellung für das WLAN entsprechend vorgenommen wurde.