498fa06472
- ALL-SG8316M auf FW 2.2.1.2956 geflasht; VLAN-DB 10/20/30/40/100 via Telnet-CLI (non-disruptiv) - CLI-Tooling: run-cli.exp + .cli-Files + CLI-REFERENCE (FW 2.2.1, IOS-artig) - Kanonisches Inventar: bf.csv/md + build.py (Doku-Motor), Core-Port-Map - Finaler VLAN-/Adressplan (10.40.<vlanid>.0/24), Firmware-Runbooks, Recovery-Assets - Secrets/Firmware/State/DS_Store via .gitignore ausgeschlossen Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2.5 KiB
2.5 KiB
BF — VLAN- & Adressplan (final, 2026-06-06)
VLAN-Modell
| VLAN | Name | Subnetz (Ziel) | Interim | Zweck |
|---|---|---|---|---|
| 10 | MAIN | 10.40.10.0/24 | vorerst 10.40.41.0/24 | Trusted-Clients + Media (Sonos/AppleTV/TV/SAT/Drucker) |
| 20 | INFRA | 10.40.20.0/24 | vorerst vorhandene 172.x | Server, VMs, Docker, NAS-Workloads, HA |
| 30 | IOT | 10.40.30.0/24 | — | Smart-Home (HA-managed) |
| 40 | UNTRUSTED | 10.40.40.0/24 | — | Spielekonsole & Low-Trust-Internet |
| 90 | GUEST | 10.40.90.0/24 | — | nur Internet (abgesetzt; 50–89 frei für künftige VLANs) |
| 99 | MGMT | 10.40.99.0/24 | Switch vorerst 10.40.41.239 | Switch/AP/Hypervisor-Mgmt-Interfaces |
| 100 | WAN | (FB-Transfer) | — | zur Fritzbox |
Konventionen: Gateway je VLAN = .1 (hAP#1). Switch-Mgmt = 10.40.99.2. 3. Oktet = VLAN-ID (Mnemonik). Alles RFC1918 (10/8).
Firewall — Least-Privilege (nicht „Main→alle")
- Default deny inter-VLAN, dann gezielt erlauben.
- Main → Infra: nur Whitelist-Dienste (NAS-Shares, HA-UI, Proxmox-UI auf definierten Ports). Kein Vollzugriff.
- Infra → Main: grundsätzlich deny (Ausnahmen: Backups/Notifications gezielt).
- IoT / Guest / Untrusted → intern: deny — nur Internet.
- Mgmt (99): aus Main nicht erreichbar; nur dedizierter Admin-Zugang.
Discovery / Usability (Sonos & Co.)
- mDNS/SSDP queren VLANs nicht von allein → discovery-abhängige Media-Geräte (Sonos, AppleTV, AirPrint, TV/SAT) liegen bewusst auf MAIN mit den steuernden Handys → funktioniert ohne Reflector.
- Nicht-Discovery-Zugriff (NAS-UI, HA-Web) aus Main: per Firewall-Regel + DNS/Hostname, kein mDNS nötig.
- Most-IoT-Steuerung läuft eh Handy → HA → IoT → IoT (30) kann hart dichtgemacht werden.
Geräte-Einordnung
| Gerät | VLAN |
|---|---|
| Handy, Laptop (du) | 10 MAIN |
| Sonos, AppleTV, Smart-TV, SAT-Receiver, Drucker | 10 MAIN (Discovery) |
| Sensoren/Plugs/Kameras/Smart-Home | 30 IOT |
| Spielekonsole | 40 UNTRUSTED |
| NAS, Proxmox-VMs, Docker, HA | 20 INFRA |
| Netz-Mgmt (sw1, hAPs, Hypervisor-Mgmt) | 99 MGMT |
Migrations-Notizen
- MAIN-Re-IP 10.40.41 → 10.40.10: groß (DHCP/Statics/Referenzen) → später, geplant.
- INFRA: erst vorhandene 172er weiterfahren, dann behutsam auf 10.40.20.0/24.
- NAS .10: bleibt vorerst auf 10.40.41.10/MAIN; Umzug nach INFRA später.
- VPNchristoph: muss von
.1weg (wird Gateway); IP egal. - Switch-Mgmt: heute 10.40.41.239; nach Cutover → vlan99 / 10.40.99.2 (
management-vlan vlan 99+ip address).