Beiträge von senderversteller

  • Netzwerk sinnvoll segmentieren

    Zitat von djiwondee

    Schon klar, dass Du die FritzBox raushaben willst...

    Würde sagen, dass ich ambitionierter Netzwerkbastler bin 😆 Aber viel mehr Ahnung habe ich davon auch nicht - und staune immer wieder was so Leute wie Dennis Schröder und Co. alles machen. Aber ich hab sowas auch nie wirklich gelernt.

    Ich werde, wenn ich mich durchgerungen habe auf den großen "Bestellen"-Knopf für die UniFi Hardware zu klicken (ca. 1000 EUR), erstmal klein mit einem VLAN anfangen - und dann nach und nach das Ausbauen/Segmentieren. Nur um nicht sofort alles zu wollen und dann nur gefrustet zu sein, weil gar nix mehr geht.

    Thema Pi-Hole/Unbound: Ich betreibe Unbound nicht als Resolver, sondern gleich im Hyperlocal Mode. Dazu wird die Root-Zone Datei einmal täglich neu auf Unbound geladen und er tut so, als wäre er ein DNS Root-Server. Es werden also im ersten Hop auch nicht die Root-Server befragt, sondern gleich die TLD-DNS-Server (Root-Zone liegt ja lokal vor). Ich möchte damit möglichst alle DNS-Leaks vermeiden und niemandem (Google, CloudFlare, Telekom, ...) irgendwelche Spuren geben, wo wir wann rumsurfen. Das ist etwas paranoid, aber ich hab Spaß dran :saint:

    Zitat von djiwondee

    Meine Antwort wird Dir nicht wirklich weiter helfen. Zumindest beim WireGuard VPN kann ich direkt die IP des pi-holes Raspis eintragen und der wird auch genutzt:

    Das mit WireGuard als iPhone - WireGuard (VPN) - UDM-SE - Pi-Hole wird schon funktionieren, da habe ich keine Bedenken.

    Ich hab mir nur überlegt wie man das Pi-Hole, das auf der selben Hardware (selber LAN Port) läuft wie z.B. Home Assistant, isolieren kann und jedem VLAN zur Verfügung stellen kann - während HA nicht von jedem beliebigen Gerät erreichbar sein muss... wobei: HA so zentral ist, dass es eigentlich auch von überall erreichbar sein muss.

    Ich sag ja, die Grenzen sind schwimmend - und ich möchte nicht am Ende nur noch am Regeln verwalten sein.

  • Netzwerk sinnvoll segmentieren

    Das Video ist schon sehr gut, Danke. Habe mir von Jan Pörtner schon viele Videos zu UniFi Hardware angesehen - aber ausgerechnet dieses nicht 🫣

    Die Einstellmöglichkeiten sind schon sehr gut, so dass ich vermutlich auch die Site-to-Site IPSec VPN Verbindungen mit den FRTIZ!Boxen bei meinen Eltern und Schwiegereltern gut herstellen und mit Zugriffsregeln gut ausgestalten kann.

    Ich würde gerne bei Pi-Hole und Unbound als netzwerkweiten DNS für alle VLANs bleiben (anstatt auf die Filter von UniFi zu setzen). Pi-Hole läuft bei mir unter Proxmox auf einem Mini-PC als LXC, d.h. der LAN-Port an dem der Mini-PC hängt, muss aus jedem VLAN erreichbar bleiben... und damit sind auch alle anderen Services, die auf dem Proxmox Server laufen für jedes VLAN erreichbar. Wie könnte man das isoliert lösen?

  • Netzwerk sinnvoll segmentieren

    Hallo zusammen,

    da ich mich, dank einem anderen Thread, intensiv mit der Anschaffung von UniFi Hardware beschäftige, u.a. mit dem Ziel mehr Kontrolle und Einsicht in das eigene Netzwerk zu bekommen, spielt das Thema Netzsegmentierung auch immer mit rein.

    Wie man hier und da liest, werden verschiedene VLANs aufgespannt eben um Hardware und Netze zu segmentieren. Unabhängig von der Verbindungsart (LAN/WLAN) liest man auch immer wieder IoT Geräte vom Heimnetz zu trennen, dazu noch ein Gäste-WLAN, ein Kameranetzwerk, und was einem noch so einfällt.

    Die Fragen die ich mir stelle:
    - Was ist der grundlegende Gedanke dahinter? Sicherheit? Überblick? ...?
    - Wie sieht eine sinnvolle Segmentierung in einem typischen Smarthome Haushalt (wie ihn hier viele betreiben) aus? Also z.B. wenn IoT Netzwerk, was kommt da rein... wo zieht man die Grenze? Ist ein Server oder ein NAS der z.B. unter anderem HA hostet noch Heimnetz oder schon IoT?
    - Wenn man ein Kameranetz hat, das muss ja seine Daten auch dem IoT Netzwerk bereitstellen.
    - Speziell auf die UniFi Hardware, aber trotzdem eher allgemein: Wie steuert man sinnvoll den gegenseitigen Zugriff der unterschiedlichen VLANs untereinander? Dinge aus dem Bereich IoT müssen ja nicht nur aufs Internet zugreifen, sondern ggf. auch auf Geräte im Heimnetz. Einen gegenseitigen Vollzugriff wird man ja nicht machen, sonst würde auch die Segmentierung weniger Sinn machen.

    Für mich verschwimmen die Grenzen da ziemlich schnell. Aktuell kenne ich nur FRITZ!Box mit seinem Netzwerk und dem Gast-(W)LAN und den bekannten Einschränkungen. Ich möchte erstmal die Basis hinter so einer Taktik verstehen. Kann da bitte jemand bisschen Licht ins Dunkel bringen, wie er es gelöst hat und warum genau so?

  • Wo deine iCloud wirklich wohnt – Das Geheimnis der Giganten

    Das geht alles mit der kostenfreien Version von iMazing.

    Auf die Idee das mit einer Windows VM auf dem Proxmox zu machen bin ich noch garnicht gekommen 👍️ Aber ich denke, Windows 11 dauerhaft "unbeaufsichtigt" laufen zu lassen ist keine gute Idee bzw. macht mir kein gutes Gefühl... aber mit macOS müsste es doch unter x86 noch gehen? Du wirst nicht mehr das neuste OS drauf haben, aber auch die alten Versionen erhalten noch Sicherheitspatches, nur eben keine neuen Features mehr.

    Für mich wäre es unpraktisch, weil ich dann entweder die Geräte der Schwieger-/Eltern per USB-Kabel an den Mini-Proxmox-PC im Serverschrank anstöppeln muss, oder die Geräte in mein WLAN lassen muss. Möchte ich beides nicht.

  • Wo deine iCloud wirklich wohnt – Das Geheimnis der Giganten

    Ergänzung: du musst iMazing so einstellen, dass es das automatische Backup von selbst antriggert. Du kannst auch einen Zeitraum wann und eine Frequenz wie häufig es passiert festlegen.

    Der Inhalt kann nicht angezeigt werden, da du keine Berechtigung hast, diesen Inhalt zu sehen.

    Für genau diesen Zweck "Nebenherlaufen" gibt es ein Unterprogramm (iMazing Mini) das nur in der Menüleiste angezeigt wird. Ist aber optimal für regelmäßige/tägliche Backups.

  • Wo deine iCloud wirklich wohnt – Das Geheimnis der Giganten

    Zitat von carsten_h

    Wie hast Du das mit dem Backup geregelt? Wird der wirklich automatisch ausgeführt? Man muß doch dämlicherweise auf jedem iOS/iPadOS Gerät den PIN zur Bestätigung des Vertrauens immer wieder eingeben. Bei meinen eigenen Geräten klappt das auch, da ich die bei der Sicherung bei mir habe, aber wenn ich die anderen Geräte per WLAN sichern möchte, dann muß der Besitzer immer die PIN eingeben und merkt es meist nicht.

    Ja das ist exakt so wie du es beschreibst. Mein Mac läuft quasi dauerhaft und man muss 1x täglich die PIN für ein Backup eingeben, um dem "Computer zu vertrauen" - also meinem Mac und iMazing. Aber das wissen meine Frau und mein Sohn (der andere Sohn ist noch zu klein und hat kein eigenes iPhone) und machen es automatisch.

    Um zu vermeiden, dass jemand anderes Zugriff aufs iPhone bekommt loggen wir uns grundsätzlich nicht mehr in fremde WLAN Netze ein, sondern es läuft alles über mobile Daten (Datenvolumen mehr als ausreichend auch für einen ausgedehnten Urlaub). Das wissen alle wie die Sicherheitsregeln sind. Nur für den Fall, dass man in einem anderen WLAN diese Aufforderung bekommt und es aus Routine eingibt. Dazu bräuchte man aber dann immer noch das Kennwort des Backup, da die iTunes Backups grundsätzlich verschlüsselt sind.

    Die iPhones der Eltern und Schwiegereltern (also außerhalb des eigenen Haushalt) stecke ich regelmäßig per USB-Kabel an, wenn Sie mal da sind und es passt und ziehe ein Backup (also kein WLAN Backup).

    Zitat von carsten_h

    Geht das vollautomatisch? Die Foto-Lösung von QNAP habe ich mir noch nie wirklich angesehen, aber da hätte ich auch den Platz für die Fotos nicht, daher eben Immich oder Ente.

    Das geht automatisch im Hintergrund, so lange die "Photos Mobile" von Synology im Hintergrund läuft und nicht beendet wird. Der Service "Synology Photos" läuft auf meiner DS mit Reverse Proxy unter einer Subdomain (z.B. photo.meinedomain.de) sowie gültigem SSL Zertifikat und wird strikt über Port 443 geführt. Die Firewall lässt nur Verbindungen aus Deutschland zu. So syncen also auch meine Eltern und Schwiegereltern Ihre Fotos sowie Termine und Kontakte - also Personen außerhalb des eigenen Haushalts/Netzwerk.

    Die Geräte in meinem eigenen Haushalt (also meine Frau und die Kinder) sind außerhalb des eigenen WLAN sowieso dauerhaft mit WireGuard VPN verbunden - und nutzen wie oben beschrieben keine fremden WLAN Netze. Damit kann man noch ganz andere Dinge realisieren, z.B. Vaultwarden Server nicht von extern über das Internet erreichbar, Pihole, etc. pp.

  • Wo deine iCloud wirklich wohnt – Das Geheimnis der Giganten

    Ich versuche öffentliche Clouds soweit es geht und praktikabel ist zum Umschiffen. In meiner Familie hat jeder einen Useraccount auf der Synology DS720+:

    • Fotos/Videos werden je User automatisch mit Synology Photos mit der DS720+ zwischen den persönlichen Geräten synchronisiert
    • Kontakte / Kalender per CardDAV / CalDAV ebenfalls sync mit der DS720+
    • Dateien werden mit Synology Drive ebenfalls über die DS synchronisiert
    • Komplette Backups der ganzen iPhones/iPads täglich mit iMazing (auf meinem Macbook) auf ein Netzlaufwerk auf der DS720+
    • Ansonsten noch diverse selbstgehostete Lösungen in Containern auf der DS720+ (z.B. Vaultwarden, MailArchiver, etc.)
    • Auf der DS laufen noch andere Backups auf, z.B. TimeMachine, Proxmox Backups, etc.

    Einmal sauber eingerichtet läuft das ebenso unauffällig und wartungsarm wie die iCloud. Will nicht sagen, dass es kostenlos ist - weil die DS ja auch Strom braucht, aber ich habe die Datenhoheit. Eine gute Backup Strategie ist natürlich Voraussetzung, dafür ist man selbst verantwortlich.

    Zwar habe ich das ganz kleine iCloud+ Abo (50 GB für 0,99 EUR) mit der Familie geteilt, aber nur um die ganzen iMessages sauber zwischen den jeweiligen Geräten sauber zu synchronisieren. Da sind die 5GB je Apple Account irgendwann voll. Hier gibt es sonst keine nahtlose Lösung außerhalb des Apple Ökosystem.

  • Umstieg Fritz!Box zu Uniquiti - Überlegungen & Planung

    Ich hab gestern Nacht mal WLAN Planung mit dem Design Center von UniFi gemacht und unseren Grundriss eingefügt und nachgezeichnet… Interessantes Tool.

    Da bei uns alle Wände mit Poroton gemauert sind (bis auf eine Ständerwand unter der Treppe), habe ich (vielleicht etwas konservativ) eine Dämpfung von 12dB für die Innen- und Außenwände angenommen.

    Dem Designtool nach brauche ich 3, eher 4 APs (je Etage 2 Stück) um den Hausinnenbereich mit 2,4 und 5 GHz grün (sehr gutes WLAN) auszuleuchten. Für 2,4 GHz braucht es logischerweise nicht ganz so viel.

    Dabei macht es keinen Unterschied welchen AP in Ufoform (also U6 Pro, U7 Lite, Pro, … etc.) ich wähle. Deswegen bin ich bei der Wahl der AP unschlüssig, da es so viele gibt - und die verbrauchen auch noch unterschiedlich viel Strom (z.B U7 Pro 21W in der Spitze).

    Mit meinem aktuellen FRITZ!Box 7590AX (EG) und Mesh mit Repeater 1750E (OG; WLAN Brücke nicht verkabelt) hab ich aktuell keine Empfangsprobleme. So genau vermessen wurde das aber auch noch nie.

    Verschlechtern will ich mein WLAN auf keinen Fall zum Status quo - und das ganze Setup sollte die Grundlast nicht signifikant erhöhen.

    Das verunsichert mich gerade etwas. Plan: Fange mal mit zwei an und werde sehen was die Praxis spricht. Kann man ja noch aufrüsten. Aber was nehmen?

  • Umstieg Fritz!Box zu Uniquiti - Überlegungen & Planung

    So schaut das übrigens aktuell bei mir aus.

    Netzwerkschrank - hier fliegt der Telekom ONT raus, samt der ganzen Platte mit 4HE. Dann wird Platz für die UDM-SE. Die ganzen HmIP und Hue Bridge baue ich wo anders hin oder lege sie hinten in den Schrank um sie weiterhin USV zu versorgen. Außerdem fliegt der alte Netgear Switch raus und wird durch den Unify Switch ersetzt.

    Der Inhalt kann nicht angezeigt werden, da du keine Berechtigung hast, diesen Inhalt zu sehen.

    FRITZ!Box aktuell im Abstellraum unter der Holztreppe ins OG, direkt mittig im Haus/Flur.

    Der Inhalt kann nicht angezeigt werden, da du keine Berechtigung hast, diesen Inhalt zu sehen.

    So schaut aktuell mein Gf-AP, wir haben den Anschluss seit 2017. Dieser muss von der Telekom umgebaut werden und es wird eine aktuelle Gf-AP Dose mit LC-Buchse gesetzt, damit ich ein Glasfaserkabel mit SC/APC-Stecker anstecken kann). Der ganze Anschluss wird auf das GBGS (Gigabit Geschäftssystem) migriert, dass er in den Rediscovermodus versetzt werden kann um ein anderes GPON SFP Modul mit dessen Identifikation anzulernen.

    Der Inhalt kann nicht angezeigt werden, da du keine Berechtigung hast, diesen Inhalt zu sehen.

    Da hier eine Unify Freaks unterwegs sind, bin ich für Anregungen oder Hinweise offen 😃

    Zitat von BenSisko

    Da du den großen Switch im Rack nimmst, nehme ich mal an du hast Netzwerkdosen im Haus verteilt?

    Ja wir haben im ganzen Haus LAN-Doppeldose eingebaut, siehst du an dem großen Patchfeld in meinem Netzwerkschrank.

  • Umstieg Fritz!Box zu Uniquiti - Überlegungen & Planung

    Unify eskaliert langsam bei mir *habenwill* 😇

    Ich habe das Thema Glasfaseranschluss an Router bei der Telekom im Telekom Hilft Forum mal angetriggert, den ersten Erkenntnissen nach denke ich mein Anschluss kann auf eigenes SFP-Modul (siehe oben) umgebaut werden. Kommt als Router entweder UCG Fiber oder UDM-SE in Frage. Da ich eh schon viel Geld in die Hand nehme, bin ich aktuell eher bei UDM-SE, weil sie sich auch schön ins Rack einbauen lässt (Mehrpreis ca. 200 EUR).

    Also hab ich jetzt mal ne erste Liste zusammen gestellt.

    Der Inhalt kann nicht angezeigt werden, da du keine Berechtigung hast, diesen Inhalt zu sehen.

    Kein Pappenstil.

    Da ich bei der Kernhardware viel Geld ausgeben werde (Dream Machine SE und Standard 24-Port Switch mit PoE), machen gute Access Points das Kraut nicht mehr fett. Trotzdem bin ich da etwas verwirrt, denn es gibt ja wirklich sehr sehr viele APs bei Unify. Ich kenne mich im WiFi Thema nicht so ganz gut aus, aber da will ich jetzt nicht wegen 50 EUR rauf/runter am AP sparen. Da brauche ich Hilfe. Was meint ihr sollte man im Einfamilienhaus nehmen?

    Unser Haus (massive Bauweise, Poroton Hohllochziegel, Innenwände 24cm) ist ca. 11x10m in der Fläche mit einem EG und einem OG (110qm/Etage). Die FRITZ!Box 7590AX ist aktuell genau mittig im EG und versorgt das EG ganz gut. Im OG direkt darüber (armierte Betondecke) habe ich direkt einen Repeater 1750E in der Steckdose (W-LAN Brücke), damit oben alles gut ist. Garten habe ich teilweise mehr oder weniger WLAN, aber das ist jetzt nicht meine Prio - wenn gleich ich im Außenbereich 3 Reolink WLAN Kameras betreibe. Das funzt aktuell stabil.

    Die Frage ist, ob mir ein AP reicht - das werde ich sehen. Erweitert werden kann ja immer. Aber welches Gerät sollte man nehmen?

  • Umstieg Fritz!Box zu Uniquiti - Überlegungen & Planung

    Zitat von djiwondee

    Sowas ist wegen der Modem-ID und dem Provider-Gejammer, dass Du dann den Support verlierst immer abzuwägen. Ich habe mich daher erst mal entschieden, den ONT meines Anbieters zu nutzen...Auch musst Du für die UDM zwingend einen echten DualStack vom Provider haben (auch mit Provider ONT, weil PPPoE-Einwahl macht immer noch der Router!). DS-Lite kann die UDM nicht bzw. nur rudimentär. Ich weiss nicht, ob für den Cloud Gateway auch so ist.

    Mein Anschluss hat echtes Dual Stack. Bei meiner Recherche bin ich auf dieses Video gestoßen: Das Thema Telekom/Glasfaser/Unify scheint kein Problem mehr zu sein 🥳 ChatGPT erzählt halt auch viel Schmarrn.

    Das passende SFP Modul der Telekom kann man bei Amazon kaufen… in den Rezessionen berichten viele, dass es mit ihrer Unify Hardware funktioniert. Vielleicht auch für Dich interessant Andy denn ich meine du hast auch Telekom Glasfaser.