Ein Internetanschluss - Trennung Geschäftsbereich von Privatbereich

[S1lentSt0rm]

Hallo zusammen,

in einem alten Gebäude sind im unteren Stock Bürogebäude und im oberen Stock ein Privatbereich.
Der untere Stock hat jetzt vom Elektriker eine LAN-Verkabelung mit Netzwerkdosen und Patchpanel im 19" Schrank bekommen. Im 19" Schrank ist außerdem eine AGFEO-Telefonanlage und eine Fritz!Box 3370 für den DSL-Zugang untergebracht.

Nun soll sowohl der Geschäftsbereich, als auch der Privatbereich über den selben Internetzugang online gehen. Dabei soll aber der Privatbereich vom geschäftlichen abgetrennt sein. Dabei bekommt der obere Stock den LAN-Zugang höchst wahrscheinlich über dLAN-Adapter oder WLAN.

Wie so häufig soll das jetzt möglichst kostengünstig, aber dennoch "zukunftstauglich" (soll heißen variabel) realisiert werden.


Meine Idee war:
Auf die FritzBox 3370 installier ich Freetz mit aktiviertem VLAN-Support. Dazu kaufe ich ein managebaren Switch, ebenfalls mit VLAN-Support. Die Privat-WLAN-SSID stecke ich zusammen mit einem LAN-Port (untagged) des Switches in ein VLAN und den LAN-Port führe ich per dLAN dann in den oberen Stock. Der Geschäftsbereich bekommt eine eigene SSID und wird genauso in ein VLAN gesteckt. Um eventuell aus dem Privatbereich dennoch auf die Netzwerkdrucker im unteren Stock zugreifen zu können, werden diese in ein eigenes VLAN gesteckt.
Die FritzBox wird dann an einen tagged-port des Switches gehängt und routet das ganze.


Ist das ganze so realisierbar und eine gute Idee? Oder gibt es andere Vorschläge wie man das gewünschte realisieren kann? Ich bin für alles offen, würde mich aber gerne an allgemein gültige "Standards" halten.

Ich freue mich auf euer Feedback,
S1lentSt0rm

 

[Hans Juergen]

Soll die Trennung in beide Richtungen gehen? Wenn nein, dann ist an den aktuellen FBs der LAN4 Anschluss als Gastzugang schaltbar. Damit ist ein Zugriff auf Internet möglich, aber nicht auf die anderen LAN-Buchsen.

 

[S1lentSt0rm]

Soll die Trennung in beide Richtungen gehen? Wenn nein, dann ist an den aktuellen FBs der LAN4 Anschluss als Gastzugang schaltbar. Damit ist ein Zugriff auf Internet möglich, aber nicht auf die anderen LAN-Buchsen.

Das mit LAN-Anschluss 4 hab ich auch schon gelesen, erschien mir aber etwas unflexibel. Trennung in beide Richtungen wäre wünschenswert bzw. der Zugang zum privaten Netz soll nur von einem Teil der Geschäftscomputer möglich sein.

Ist mein vorhaben ansonsten so in Ordnung? Falls ja könnte ich noch Hardwareempfehlungen bezüglich des Switches gebrauchen.

Anforderungen: Gigabit mit (mindestens) 8 Ports und Möglichkeit zum Einbau in Rack.

 

[informerex]

... erschien mir aber etwas unflexibel.

wieso das? was spricht sonst dagegen?
deine Alternativ scheint ein bißchen oversized

Trennung in beide Richtungen wäre wünschenswert bzw. der Zugang zum privaten Netz soll nur von einem Teil der Geschäftscomputer möglich sein.

hast du die dir Gastfunktion mal angeschaut bzw. testweise freigeschalten?
man könnte es ja auch in die andere Richtung realisieren, sprich Privat = Vollzugriff Box und über LAN4 = Büro
Alternativ einfach an LAN4 eine weitere Box

 

[S1lentSt0rm]

hast du die dir Gastfunktion mal angeschaut bzw. testweise freigeschalten?
man könnte es ja auch in die andere Richtung realisieren, sprich Privat = Vollzugriff Box und über LAN4 = Büro
Alternativ einfach an LAN4 eine weitere Box

Ich hab im Moment leider keine Möglichkeit, die Gastfunktion zu testen.
Können die "Gäste" denn aufeinander zugreifen? Ich dachte die wären jew. komplett abgeschottet.
Wenn Gastzugang auf LAN 4 gelegt ist, habe ich dann trotzdem noch eine eigene SSID für das selbe Gast-Netz, das auch auf LAN 4 liegt?

Zugriff auf die Box soll von Privatnetz aus nicht möglich sein.

Edit: Zwei Router hintereinanderschalten halte ich für keine gute Lösung. Oder wie wolltest du die zweite Box verwenden?

 

[Tieflieger]

Die zweite Box bekommt über Lan 1 den Internetzugang von der 1 Box (Lan 4 Gastzugang) Diese liese sich im privaten Bereich auch für eine Ausleuchtung des Wlan´s optimal Plazieren und würde alles für den privaten Bereich abdecken.

 

[informerex]

wieso kannst die nicht testen bzw. dir in der F!B anschauen? auch hier gibt es eine alternative: AVM Wissendatenbank - 3370 Gastzugang
neben herkömmlicher "Name des WLAN-Funknetzes (SSID)" steht im Bereich Gastzugang ua. "Name des Gastfunknetzes (SSID)"

und bzgl. 2 Boxen.
die Frage ist ja schlussendlich in der Konfig. - manche User möchten bspw. 2 Netze haben, aber einfach vom handling.
bei der LAN4 Variante (BoxA) = wie separater "Internet-Anschluss/Dose" (dh logischerweise dass Firewall/Kindersicherung nicht greift)
diesen Komfort kann man jedoch "wiederherstellen", in der Form dass man eine 2te Box hierfür einsetzt. [BoxA LAN4 > BoxB LAN1]

 

[S1lentSt0rm]

Die zweite Box bekommt über Lan 1 den Internetzugang von der 1 Box (Lan 4 Gastzugang) Diese liese sich im privaten Bereich auch für eine Ausleuchtung des Wlan´s optimal Plazieren und würde alles für den privaten Bereich abdecken.

Müsste ich die Box dann zwingend als Router betreiben, um die Privaten PCs alle im selben Netz zu haben? Also die gleiche Frage wie vorher: Sind die einzelnen "Gäste" voneinander abgeschottet?

Denn wozu noch einen zweiten Router betreiben, ein WLAN-AccessPoint würde ja vollkommen ausreichen.

 

[S1lentSt0rm]

wieso kannst die nicht testen bzw. dir in der F!B anschauen?

Ich bin zur Zeit nicht vor Ort, werde am Wochenende aber mal in das Büro fahren und die Fritz!Box holen und dann zu Hause testen.

 

[andilao]

Sind die einzelnen "Gäste" voneinander abgeschottet?

WLAN-Gäste haben nur Internetzugriff und sind komplett voneinander abgeschottet, was auf LAN4 natürlich unmöglich ist.

 

[S1lentSt0rm]

WLAN-Gäste haben nur Internetzugriff und sind komplett voneinander abgeschottet

Und das lässt sich vermutlich auch nicht ändern, oder doch?

 

[Hans Juergen]

Daher ja die Idee, an LAN 4 eine weitere FB anzuschließen, die für die daran angeschlossenen Geräte alle Verbindungen bereitstellen kann. Dafür reicht eine einfache FB mit WLAN (je nach Anspruch an des WLAN-Band)

 

[Deleted member 193577]

Hi,
Hans Juergens Vorschlag klingt echt gut. Ich mach das so. Ich verwende einen managed Switch, schalte bestimmte LAN-Dosen auf ein Port-based VLAN und patche den Uplink dieses VLANs an eth2 eines miniITX PC. Darauf läuft das kostenlose ClearOS, Router, Firewall, Gateway, Asterisk, LDAP, Groupeware etc. in einem. In IP Tabels schreibt man dann noch eine Regel so dass eth2 nicht mit eth1 sprechen kann und gut ist's; die LAN-Segmente sind getrennt.

iptables -I FORWARD -i eth2 -o eth1 -j DROP

VG R.