[Frage] Netzwerke - Zugänge beschränken

[dolfi56]

Hallo,
ich habe ein Netzwerk, wo eine Fritzbox 7490 den Internetzugang regelt. Daran angeschlossen sind weitere Switsche und Endgeräte. Soweit ist das bislang auch alles in Ordnung gewesen. Nur jetzt kommt Folgendes: Bei uns sollen 5 E-Ladestationen eingebaut werden und über ein Netzwerk miteinander kommunizieren. Die Bedienung der Ladestationen aus dem bisherigen Netzwerk soll möglich sein. Die Wallboxen sollen für Updates auch Internet haben. Aber vom Teilbereich mit den Ladestationen soll kein Zugriff auf das interne Netzwerk und das generelle Internet möglich sein.

Folgendes Szenario ist denkbar: Mieter 1 authentifiziert sich mit seinem Handy über den Browser und PIN (Eingabe im Browser) für den Ladevorgang. Mieter 1 soll aber nicht auf andere private Geräte zugreifen können.
Weiteres Szenario: Vermieter sitzt in seinem privaten Wohnzimmer und will eben über den privaten Teil des Netzwerkes auf die Ladestationen zugreifen, um die aktuelle Last abzulesen.

Die Fritzbox übernimmmt ein Port-Forwarding für IPv4, IPv6 ist abgeschaltet, priorisiert die Internetgeschwindigkeit für einzelne Geräte und ist gleichzeitig Telefonzentrale.

Wie löst man das? Die Fritzbox soll eigentlich erhalten bleiben

 

[sonyKatze]

Das sind Dinge, die man auf der Router-Ebene festlegt. Folglich: Bye-bye FRITZ!Box. Hol Dir bitte einen Lancom 1781VA mit All-IP, Lancom 884 oder Lancom 1784VA über eBay. Die kosten keine 80€ und Du hast was Du willst. Ansonsten ein reines DSL-Modem holen und einen Software-basierten Router aufsetzen.

Mieter 1 authentifiziert sich mit seinem Handy über den Browser und PIN (Eingabe im Browser) für den Ladevorgang. Mieter 1 soll aber nicht auf andere private Geräte zugreifen können.

Völlig unklar, wie das gehen wird. Wird dieser Web-Dienst intern bei Euch im Netz gehostet. Nehmen wir das mal an. Entweder hat jede Lade-Station ihren eigenen Web-Dienst. Oder Du hast einen Web-Dienst, der dann auf die jeweilige Lade-Station verteilt.

Weiteres Szenario: Vermieter sitzt in seinem privaten Wohnzimmer und will eben über den privaten Teil des Netzwerkes auf die Ladestationen zugreifen, um die aktuelle Last abzulesen.

Dafür würde ich kein eigenes Szenario aufmachen, also das über den selben öffentlichen Web-Dienst laufen lassen.

 

[dolfi56]

Fritzbox kann nicht abgeschafft werden, da Telefon genutzt wird und insbesondere auch die Mesh-Funktion. Ansonsten sehe ich da momentan nur Router-hinter-Router-Kaskadierung???

 

[sonyKatze]

da Telefon genutzt wird

Die genannten Lancoms können auch Telefonie. Ansonsten (wenn bereits zuviele FRITZ!Fons vorhanden) die FRITZ!Box im Modus IP-Client dahinter hängen.

insbesondere auch die Mesh-Funktion

WLAN oder Telefonie? Das lässt sich alles ersetzen. Einfach sagen, dann helfen wir bei dem Umrüstung.

 

[frank_m24]

Ansonsten sehe ich da momentan nur Router-hinter-Router-Kaskadierung???

Das wird nicht helfen. Dann kannst du aus deinem Netz nicht auf die Ladesäulen zugreifen, aber alle aus dem Netz der Ladesäulen auf deins. Oder du müsstest die Ladesäulen topologisch "vor" deine private Fritzbox setzen, mit allen Nachteilen für Telefonie, Doppel-NAT etc.

 

[dg2drf]

@dolfi56 : In der Fritzbox kann man ein GAST-LAN einrichten . An diesem könnte man die Ladestationen hängen. Frage ist nur, wegen der DNS auflösung wegen den Updates. Zumindest wäre damit sichergestellt, das die Ladeboxen sich unterhalten können.
Über statische Routen müsste man das hinbekommen, das man über das interne netz bzw GAST-WLAN die Ladestationen erreichen.
Je nach Switsh, kann dieser auch routen und damit auch zugriffe erlauben bzw. verbieten.

 

[Benares]

Ich hatte zuerst auch erst spontan an das Gast-LAN gedacht. Dagegen spricht, dass bestimmte Clients auf "ihre" Ladestation Zugriff haben sollen. Das ginge dann nicht.
Ich frag mich auch, wie @dolfi56 die verschiedenen "Mieter" untereinander getrennt hat, wenn es nur eine Fritzbox gibt

 

[dg2drf]

@Benares : Deswegen die Idee mit den Statischen Routen. Wenn der IP-Bereich des Gast-WLAN auf das Gast-Lan geroutet wird, dann müssten die Ladestationen vom Gast-WLAN erreichbar sein. Alternativ könnte auch ein bisschen intelligenterer Router (einer der auch access Rules beherrscht), das LAN und Gast-Lan verbinden, und man kann dann die nicht benötigten ports (alles ausser HTTP(S) ) sperren.

 

[HabNeFritzbox]

Im gemanagten Switch kann man ja festlegen welcher Port mit welchem kommunizieren darf. Zusätzlich könnte man ja noch ACL Regeln festlegen. Man könnte Ladesäulen auch anderes VLAN zuweisen.

Für mich macht Anliegen auch nur bedingt Sinn, entweder man möchte die vom Netzwerk trennen oder eben nicht.

 

[dg2drf]

@HabNeFritzbox : Mit einem Level 3 Switch kann man dann noch zusätzlich Routen und Nat . Dann hat man alle varianten auf.

 

[HabNeFritzbox]

Genau, und die könnten auch DHCP machen usw., also quasi integrierter Router.