10 Gedanken zu „Konzept Smarthome-WLAN 2023“

1. Wenn noch IEEE 802.11b zum Einsatz kommt, sollte man einen größeren Kanalabstand als 20 MHz wählen, weil IEEE 802.11b Signale rund 22 MHz belegen. Wenn man Unterstützung für IEEE 802.11b abgeschaltet hat, was ratsam ist, falls man keine alten Geräte mehr hat, kann man im 2,4 GHz Band im Prinzip mit den Kanälen 1, 5, 9 und 13 in der EU leben, weil alles nach IEEE 802.11b auf OFDM basiert und nur rund 17 MHz (IEEE 802.11n) bis ca. 19 MHz (ab IEEE 802.11ax) belegt.

   Trotzdem sollte man sich auch in der EU auf die Kanäle 1, 6 und 11 beschränken, weil Bluetooth Low Energy (BLE) die Bereiche zwischen diesen WLAN-Kanälen als Advertisement Kanäle verwendet. BLE macht erst mal kein Frequency Hopping. Daher ist man auch in der EU gut beraten, im 2,4 GHz Band sich letztlich auf die WLAN-Kanäle 1, 6 und 11 zu beschränken.

   Weil jedes Jahr ca. eine Milliarde mehr Bluetooth als WLAN Geräte verkauft werden, ist BLE eigentlich überall. Man kann BLE nicht entkommen. Einfache BLE-Scan Apps auf dem Smartphone werden vielen, viele BLE Geräte nahezu überall wo Menschen sind aufdecken. Daher ist es besser, sich im 2,4 GHz Band auf die Kanäle 1, 6 und 11 zu beschränken.

   Antworten
   • Danke für Deine wirklich hervorragenden Ergänzungen! Ich war die letzten Wochen im Urlaub und hatte dort in einem AirBNB immer wieder Verbindungsabbrüche. Da mich das aber nicht weiter störte, habe ich mich nicht darum gekümmert. Als ich meine In-Ears und die Gear 360 verbinden wollte, musste ich durch eine lange, lange Liste mit BT-Geräten scrollen. Jetzt ergibt das einen Sinn. Danke noch einmal. Ich werde es bei Gelegenheit ergänzen.
2. Hallo Hessi,

   da ich im Impressum und auch sonst nirgends eine Mailadresse finde (vmtl. grade wegen der Umgestaltung der Seite) versuche ich’s mal hier, paßt thematisch am ehesten.
   Ich w e i s s, Du machst keine Beratung und keinen Support. Trotzdem bräuchte ich mal einen Denkanstoß, oder sagen wir mal ein Konzept. Das wäre mir auch finanziell was wert, wenn Du es machen möchtest.

   Erstmal der „Use-case“ wie man neudeutsch sagt:
   Ich habe eine Wallbox, genauer eine OpenWB. Die ist nicht online (Cloud oder so), hängt aber am LAN. Innendrin werkelt ein raspi, darauf läuft ein Webserver, und auf der Oberfläche gibt es einen Startknopf um den Ladevorgang zu starten. (Es hätte auch die Möglichkeit gegeben, ein Display an der Wallbox zu haben, zur Bedienung. Habe ich aber nicht bestellt) Das funktioniert einwandfrei. Ich habe auch eine PV Anlage, und die OpenWB kann PV-Laden. Ich habe nur kein e-Auto, die Nachbarn aber schon. Wohin also mit dem ganzen Strom, wenn die Sonne scheint? Die Idee ist: Die Nachbarn kommen per – getrenntem – WLAN auf die Wallbox, um sie selber einzuschalten, wenn sie laden möchten. Sie sollen aber keinen Zugriff auf mein internes Netz haben.

   Ich denke jetzt in Richtung eines VLANs. Ich würde also 2 VLANs machen wollen, eins in dem die Wallbox und ein WLAN-AP (z. B. ne alte Fritte oder eins von Deinen schicken Teilen) drin ist, und eins in dem alle anderen Geräte drin sind. Vielleicht auch ein 3. für die Smart Home Geräte, hauptsächlich Shellys und Tasmota Geräte.
   Mein Billig D-Link Switch kann auch VLAN – aber, soweit ich das verstanden habe ist es kein m a n a g e d L3 Switch, sondern nur ein „Smart (Billig) managed Switch. Und wenn ich es richtig verstanden habe, dann kann er eben kein selektives Routing zwischen den VLANs. Und eben jenes bräuchte ich ja m. E., damit ich aus meinem privaten Netz auch auf die Wallbox komme.
   Jetzt wäre die Frage, die zumindest ich mir stelle: Wäre es besser auf einen echten managed L3 Switch aufzurüsten, oder sollte ich ein zusätzliches Gateway (z. B. ein raspi) einrichten ? Oder denke ich vielleicht völlig in die falsche Richtung ?

   Würde mich freuen von Dir zu lesen.
   Gerd

   Antworten
   • Hallo Gerd,

     ja, das neue Theme zeigte plötzlich keine einzelnen Seiten (Artikel schon) und auch keine CSS-Änderungen mehr an. Habe eben gelesen, dass andere diese Probleme auch haben. Es gibt es viel Mist da draußen.

     Ich habe IP-Fire am Start.
     https://hessburg.de/diy-firewall-fuer-35-euro/
     Das ist die billigste und übersichtlichste Lösung. Vor allem auch nicht-proprietär. Ein Backup erstelle ich auch immer, so dass ich bei einem Hard- oder Softwareversagen nicht wieder von vorn anfangen muss.

     Meine Netzwerke sehen so aus:
     https://hessburg.de/wp-content/uploads/2022/03/Netzwerk-neu-2022-1.jpg.webp

     IPs sind in gewissen Ranges fest vergeben, andere, für neue Geräte, die ich testen muss, sind aber immer noch dynamisch.

     Ich habe mir ein Sheet mit den Geräten erstellt:
     Netzwerkname Stream DHCP Privat Feste IP MAC Smart Feste IP MAC
     SSID Stream Privat Smart
     IP-Bereich 192.168.140.0/24 192.168.141.0/24 192.168.142.0/24
3. Ja … ich habe gesehen, Du hast viele Artikel, die meine Fragestellung vmtl. irgendwie beantworten.
   Aber Du weißt ja – Textverständnis ist so eine Sache :-)

   Aber kurz gesagt: Deine Firewall macht auch das Routing, sehe ich das richtig ?
   Also wenn Du jetzt z. B. von Deinem Smartphone auf ein Shelly zugreifen willst ?

   Daher brauchst Du keinen managed Switch – so einer könnte zwar routen, aber immer noch nicht firewallen ?

   Antworten
   • Ganz simpel: Aus Deinem privatem, „grünen“ Netzwerk hast Du Zugriff auf alle Geräte in den anderen Netzwerken – umgekehrt aber nicht!
     Ja, das verhält sich wie mit dem Router, der Dich in das Internet bringt: Du hast Zugriff auf das Internet, aber das Internet hat keinen Zugriff auf Deine Geräte im LAN.

     Nachteil: musst wissen, welche IP die Geräte haben. Denn auch Du hast dann beispielsweise mit einem Netzwerkscanner keinen Zugriff auf die Hostnamen und die MAC-Adressen der Geräte in den untergeordneten Netzwerken.

     Das ist aber nicht schlimm, denn Du hast immer Vollzugriff auf Deinen IP-Fire und dort siehst Du jedes Gerät in allen Details.

     De facto ist das alles kein Nachteil, denn die Geräte in den untergeordneten Netzwerken sind in der Regel in der Cloud oder werden von einer Smarthome-Zentrale in dem betreffendem Netzwerk gesteuert, denn irgendwie müssen die ja steuerbar sein.

     Alles mit Cloudzugang ist bei uns in separaten physikalischen Netzwerken (LANs in denen WLAN-APs hängen). Man muss keine VLANs konfigurieren, denn wenn man noch eine Netzwerkkarte in die Firewall steckt, hat man eben noch ein physikalisch getrenntes Netzwerk.

     Ich will das so, weil ich mal einen (nicht billigen!) Switch hatte, der einfach so seine VLAN-Konfiguration verlor. Folge: alle(!) Geräte waren plötzlich im Heimnetzwerk! Ganz übel! Deswegen nur noch physikalisch getrennte Netzwerke. Spinnt etwas in der Firewall, sind diese Netzwerke im Default eben plötzlich NICHT miteinander verbunden.

     Neben der Firewall benötigt man dann natürlich noch für jedes LAN einen eigenen Switch und einen AP. Aber dafür muss man ja keine Unsummen ausgeben. 5er Switch kostet nen Zehner und ein AP auch nicht die Welt. Vor allem, weil man im Smarthome-WLAN mit WLAN5 ohnehin nichts anfangen kann.

     Nenne mich altmodisch, aber für mich sind physikalisch getrennte Netzwerke einfach eine saubere Sache.
4. Tja, die Vorteile Deines Konzeptes gegenüber VLANs überzeugen mich schon. Sauber getrennte Netze. Aber meine bisherige Verkabelung sieht das so nicht vor. Und ich brauche extra Hardware für die Firewall, andere Switches und muss den Kram vor allem irgendwo verstauen.

   Vielleicht muss ich auch einfach noch länger darüber nachdenken….

   Ich hab jetzt gesehen, ich könnte den LAN4 Anschluß der Fritte ins WLAN-Gastnetz nehmen. Ich müßte dann vmtl. nur die OpenWB ans LAN4 anschließen, dann wäre mein Problem u. U. gelöst. Das scheitert aber auch daran, dass von der Fritte zum Switch nur ein LAN Kabel führt.

   Eine blöde Anfängerfrage noch: Bei Deinem Konzept ist ja die FW in der Fritte aus, soweit ich es verstehe. Abgesehen davon, dass die Fritten-FW eine proprietäre ist, warum glaubst Du, dass IP-Fire besser firewallt als die Fritte ?

   Antworten
5. Hallo Hessi,

   ich bin bei der Sache mit dem Gast WLAN / VLAN nicht wirklich weitergekommen, das liegt aber an mir, nicht an Deinen Tips.

   Da ich demnächst Glasfaser bekomme muss ich aber gezwungnermaßen an mein Netzwerk ran. Da ergeben sich 2 Fragen (ich w e i s s, Du machst keine Beratung und keinen Support):

   Erstmal was einfaches: Ich hab eine Reolink Kamera. Die wird über POE versorgt. Da mein Switch (eine Fritte) das nicht kann ist zwischen Kamera und Fritte ein POE Injektor. Läuft auch, aber langsam, m. E. kein Gigabit. Weißt Du ob so ein POE Injektor von den 4 Adernpaaren einfach 2 für die Spannungsversorgung nutzt, und die dann für die Daten verloren sind, so dass ich von Gigabit auf 100 MBit zurückfalle ?
   Oder werden die Daten auf die Gleichspannungsversorgung drauf moduliert, so daß ich bei Gigabit bleibe? Gut, gibt wahrscheinlich verschiedene POE Injektoren – was wäre für ein 15 € was IEEE802.3af kann zu erwarten ? Oder Alternativfrage: wie könnte ich die Bandbreite zur Reolink Kamera testen ? Was ist, wenn ich statt der Kamera einen PC für einen Speedtest anschließe – schießt dem der POE Injektor den Netzwerkanschluß kaputt ?

   Zweite Frage: Kann man einen OpenWRT Router, der als „dummer“ AP konfiguriert ist (hast Du ja beschrieben) ein zweites WLAN, nämlich ein Gast WLAN aufspannen lassen ? Und dann für alle WLAN Clients in diesem Gast WLAN eine Route zu genau einem (oder mehreren) internen Clients definieren ? Das würde m. E. mein VLAN Problem lösen.

   Grüße, Gerd

   Antworten
6. Die Antwort auf Frage 2 lautet kurz: Ja.

   Ausführlicher: Wie man ein (zusätzliches) Gast WLAN (mit eigenem IP Adressbereich und DHCP Server und Firewallregeln) auf einem (bereits als WLAN-AP konfigurierten) OpenWRT konfiguriert ist wirklich gut nachvollziehbar hier erklärt:

   https://openwrt.org/docs/guide-user/network/wifi/guestwifi/guestwifi_dumbap

   Den Zugriff auf genau einen Client im internen Netz erlaubt man mit einer weiteren Firewall-Regel (keiner Route), das ist z. B. hier erörtert:

   https://forum.openwrt.org/t/help-with-routing-guest-to-printer/159486/10

   Übrigens dachte ich beim Testen des Gast WLAN zuerst, ich hätte was verbockt, weil immer noch Zugriff auf das interne Netz möglich war. Dabei war nur mein VPN aktiv …

   Antworten
   • Ich war unterwegs und konnte nicht schneller antworten. Gut, Du hast das meiste ja selbst herausgefunden. Ich hatte mal Experimente mit meinem PoE-Switch, einem PoE-Spannungswandler und den GLInet-APs gemacht, was auch gut funktioniert hatte. nur ist der Adapter so groß, dass der Platzvorteil dieses Mini-AP damit hinfällig wurde. :-) Da wir nur 100 MBit Internet haben, seinerzeit GB PoE-Switche entweder in 10″ nicht verfügbar oder wenn, sehr teuer waren, habe ich selbst die Kameras an einen 100er PoE-Switch. Das reicht auch vollkommen. Die meisten Websites leiden eh unter Latenz und nicht unter geringer Bandbreite. Wenn ich über einen OCH „Daten“ in großen Mengen schnell laden wollte, würde ich dazu ohnehin nicht das WLAN nutzen. BTW: WLAN5 hat eh so eine geringe Reichweite, dass wir es bei uns eh nicht nutzen können.