45 lines
2.5 KiB
Markdown
45 lines
2.5 KiB
Markdown
# BF — VLAN- & Adressplan (final, 2026-06-06)
|
||
|
||
## VLAN-Modell
|
||
| VLAN | Name | Subnetz (Ziel) | Interim | Zweck |
|
||
|---|---|---|---|---|
|
||
| 10 | **MAIN** | 10.40.10.0/24 | **vorerst 10.40.41.0/24** | Trusted-Clients + Media (Sonos/AppleTV/TV/SAT/Drucker) |
|
||
| 20 | **INFRA** | 10.40.20.0/24 | **vorerst vorhandene 172.x** | Server, VMs, Docker, NAS-Workloads, HA |
|
||
| 30 | **IOT** | 10.40.30.0/24 | — | Smart-Home (HA-managed) |
|
||
| 40 | **UNTRUSTED** | 10.40.40.0/24 | — | Spielekonsole & Low-Trust-Internet |
|
||
| 90 | **GUEST** | 10.40.90.0/24 | — | nur Internet (abgesetzt; 50–89 frei für künftige VLANs) |
|
||
| 99 | **MGMT** | 10.40.99.0/24 | Switch vorerst 10.40.41.239 | Switch/AP/Hypervisor-Mgmt-Interfaces |
|
||
| 100 | **WAN** | (FB-Transfer) | — | zur Fritzbox |
|
||
|
||
**Konventionen:** Gateway je VLAN = `.1` (hAP#1). Switch-Mgmt = `10.40.99.2`. 3. Oktet = VLAN-ID (Mnemonik). Alles RFC1918 (10/8).
|
||
|
||
## Firewall — Least-Privilege (nicht „Main→alle")
|
||
- Default **deny** inter-VLAN, dann gezielt erlauben.
|
||
- **Main → Infra:** nur Whitelist-Dienste (NAS-Shares, HA-UI, Proxmox-UI auf definierten Ports). Kein Vollzugriff.
|
||
- **Infra → Main:** grundsätzlich deny (Ausnahmen: Backups/Notifications gezielt).
|
||
- **IoT / Guest / Untrusted → intern:** deny — nur Internet.
|
||
- **Mgmt (99):** aus Main nicht erreichbar; nur dedizierter Admin-Zugang.
|
||
|
||
## Discovery / Usability (Sonos & Co.)
|
||
- mDNS/SSDP queren VLANs **nicht** von allein → discovery-abhängige Media-Geräte (Sonos, AppleTV, AirPrint, TV/SAT)
|
||
liegen bewusst **auf MAIN** mit den steuernden Handys → funktioniert ohne Reflector.
|
||
- Nicht-Discovery-Zugriff (NAS-UI, HA-Web) aus Main: per Firewall-Regel + DNS/Hostname, kein mDNS nötig.
|
||
- Most-IoT-Steuerung läuft eh **Handy → HA → IoT** → IoT (30) kann hart dichtgemacht werden.
|
||
|
||
## Geräte-Einordnung
|
||
| Gerät | VLAN |
|
||
|---|---|
|
||
| Handy, Laptop (du) | 10 MAIN |
|
||
| Sonos, AppleTV, Smart-TV, SAT-Receiver, Drucker | 10 MAIN (Discovery) |
|
||
| Sensoren/Plugs/Kameras/Smart-Home | 30 IOT |
|
||
| Spielekonsole | 40 UNTRUSTED |
|
||
| NAS, Proxmox-VMs, Docker, HA | 20 INFRA |
|
||
| Netz-Mgmt (sw1, hAPs, Hypervisor-Mgmt) | 99 MGMT |
|
||
|
||
## Migrations-Notizen
|
||
- **MAIN-Re-IP** 10.40.41 → 10.40.10: groß (DHCP/Statics/Referenzen) → später, geplant.
|
||
- **INFRA**: erst vorhandene 172er weiterfahren, dann behutsam auf 10.40.20.0/24.
|
||
- **NAS .10**: bleibt vorerst auf 10.40.41.10/MAIN; Umzug nach INFRA später.
|
||
- **VPNchristoph**: muss von `.1` weg (wird Gateway); IP egal.
|
||
- **Switch-Mgmt**: heute 10.40.41.239; nach Cutover → vlan99 / 10.40.99.2 (`management-vlan vlan 99` + `ip address`).
|