# BF — VLAN- & Adressplan (final, 2026-06-06)

## VLAN-Modell
| VLAN | Name | Subnetz (Ziel) | Interim | Zweck |
|---|---|---|---|---|
| 10 | **MAIN** | 10.40.10.0/24 | **vorerst 10.40.41.0/24** | Trusted-Clients + Media (Sonos/AppleTV/TV/SAT/Drucker) |
| 20 | **INFRA** | 10.40.20.0/24 | **vorerst vorhandene 172.x** | Server, VMs, Docker, NAS-Workloads, HA |
| 30 | **IOT** | 10.40.30.0/24 | — | Smart-Home (HA-managed) |
| 40 | **UNTRUSTED** | 10.40.40.0/24 | — | Spielekonsole & Low-Trust-Internet |
| 90 | **GUEST** | 10.40.90.0/24 | — | nur Internet (abgesetzt; 50–89 frei für künftige VLANs) |
| 99 | **MGMT** | 10.40.99.0/24 | Switch vorerst 10.40.41.239 | Switch/AP/Hypervisor-Mgmt-Interfaces |
| 100 | **WAN** | (FB-Transfer) | — | zur Fritzbox |

**Konventionen:** Gateway je VLAN = `.1` (hAP#1). Switch-Mgmt = `10.40.99.2`. 3. Oktet = VLAN-ID (Mnemonik). Alles RFC1918 (10/8).

## Firewall — Least-Privilege (nicht „Main→alle")
- Default **deny** inter-VLAN, dann gezielt erlauben.
- **Main → Infra:** nur Whitelist-Dienste (NAS-Shares, HA-UI, Proxmox-UI auf definierten Ports). Kein Vollzugriff.
- **Infra → Main:** grundsätzlich deny (Ausnahmen: Backups/Notifications gezielt).
- **IoT / Guest / Untrusted → intern:** deny — nur Internet.
- **Mgmt (99):** aus Main nicht erreichbar; nur dedizierter Admin-Zugang.

## Discovery / Usability (Sonos & Co.)
- mDNS/SSDP queren VLANs **nicht** von allein → discovery-abhängige Media-Geräte (Sonos, AppleTV, AirPrint, TV/SAT)
  liegen bewusst **auf MAIN** mit den steuernden Handys → funktioniert ohne Reflector.
- Nicht-Discovery-Zugriff (NAS-UI, HA-Web) aus Main: per Firewall-Regel + DNS/Hostname, kein mDNS nötig.
- Most-IoT-Steuerung läuft eh **Handy → HA → IoT** → IoT (30) kann hart dichtgemacht werden.

## Geräte-Einordnung
| Gerät | VLAN |
|---|---|
| Handy, Laptop (du) | 10 MAIN |
| Sonos, AppleTV, Smart-TV, SAT-Receiver, Drucker | 10 MAIN (Discovery) |
| Sensoren/Plugs/Kameras/Smart-Home | 30 IOT |
| Spielekonsole | 40 UNTRUSTED |
| NAS, Proxmox-VMs, Docker, HA | 20 INFRA |
| Netz-Mgmt (sw1, hAPs, Hypervisor-Mgmt) | 99 MGMT |

## Migrations-Notizen
- **MAIN-Re-IP** 10.40.41 → 10.40.10: groß (DHCP/Statics/Referenzen) → später, geplant.
- **INFRA**: erst vorhandene 172er weiterfahren, dann behutsam auf 10.40.20.0/24.
- **NAS .10**: bleibt vorerst auf 10.40.41.10/MAIN; Umzug nach INFRA später.
- **VPNchristoph**: muss von `.1` weg (wird Gateway); IP egal.
- **Switch-Mgmt**: heute 10.40.41.239; nach Cutover → vlan99 / 10.40.99.2 (`management-vlan vlan 99` + `ip address`).