V-Lans zuhause einrichten.

Ja da sind wir halt unterschiedlicher Meinung, der Sinn von einem Gäste Netz ist aus meiner Sicht einem Freund,Bekannten,Nachbarn usw. schnell und unkompliziert Zugriff zu geben. Ich würd dafür nix konfigurieren wollen auch wenns "schnell" geht. in meiner alten wohnung hatte ich dafür einen qr code hängen den man einfach nur einscannt und man ist verbunden. In meiner neuen Wohnung hab ich das Gäste Netz komplett eingestampft weils auch so geht (ich weiß schon dass es anders ist wenn man ein Haus mit mehr Familienmitglieder und Gästen hat)

edit:

Zitat

Bei Enterprise Switches gibt's dafür Port Isolation, um die L2 Kommunikation der Clients untereinander zu unterbinden und sämtliche Pakete über den Gateway zu schleifen.

das wär natürlich ideal. für die die sowieso einen großen managed switch haben, wegen Haus usw. würd ich das auf jedenfall checken...

Zitat

Wenn nur WLan Clients drin hängen reicht in dem Fall aber eh AP Isolation, damit diese nicht untereinander kommunizieren können, und man muss nicht auf unterschiedliche VLans zurückgreifen.

auch bei mischbetrieb? also bei dem fall von kurzfx: "sieht" der angesteckte schullaptop dann nicht ein wlan gerät im selben netz?

Zitat aus einem Post von nexus_VI

Man kann seine Zeit insgesamt sinnvoller investieren denke ich, mir wärs wurscht.

this.

ich mein manche leute basteln in der garage vogelhäuser, manche pflanzen tomaten am balkon, manche erstellen vlans.

Das Hakerl für die Gäste sowieso, da sehe ich auch den unmittelbaren Gewinn für alle. Bei den IoT Geräten ists so eine Sache, in irgendeiner Form will ich mit denen möglicherweise ohne WAN kommunizieren bzw ohne dass eine Herstellercloud beteiligt ist, ob die sich untereinander erreichen können spielt wiederum für mich eine untergeordnete Rolle. Ich gebe zu privat und beruflich den Zustand gehalten zu haben, wo mir die klassische DMZ in Kombination mit dem Gästenetz eigentlich zusätzlich zur LAN Zone alles abdeckt. Hier und dort noch bissl nftables auf den Hosts selbst dazukonfiguriert.

Wenn irgendwie möglich mag ich laufend gar nicht basteln und nur Firmwareupgrades einspielen

Danke für die zahlreichen Inputs!

Zitat aus einem Post von nexus_VI

"Client Isolation" ist das gesuchte Setting.

Client Isolation hab ich jetzt auf allen APs und allen SSIDs bis aufs Management SSID eingeschalten, ist ein Häkchen im OpenWRT.

Zitat aus einem Post von Viper780

Sorry ich hab total drauf vergessen.
Heute Abend oder morgen am Feiertag kann ich dir das raus suchen

@KruzFX
Du musst bei der Firewall auch die Richtung noch berücksichtigen.
Bei mir darf zB IoT nirgends hin. Aber mein Client LAN darf drauf zugreifen.
Ist halt die Frage ob ihr ein NAS habt wo ihr gemeinsam hin müsst.

Stell mal eine Matrix auf mit den einzelnen Geräten (inkl Internet) und dann schau

Gefährlichste bei Viren ist nach wie vor der USB Stick oder die Speicherkarte von der Kamera wo man schnell mal eine powerpoint mit austauscht.

Danke für den Input. Habs grundsätzlich Gott sei Dank nach tagelangem Rumprobieren und Tutorials lesen und schauen auf Youtube genau so aufgebaut. Die Tutorials von OneMarcFifty sind hier sehr zu empfehlen https://www.youtube.com/@OneMarcFifty.

USB Sticks hab ich meiner Frau eh schon kategorisch verboten.

Zitat aus einem Post von erlgrey

this.

ich mein manche leute basteln in der garage vogelhäuser, manche pflanzen tomaten am balkon, manche erstellen vlans.

made my day...
Nachdem über Teamviewer unsere IT auf den Arbeitslaptop kommt, der im Homeoffice natürlich im Heimnetzwerk hängt, bin ich da eher auf Zerotrust Ebene unterwegs. Ich brauch ja nur exakt einen IT-Mitarbeiter, der nen Vogel hat und in meinem Heimnetzwerk zu schnüffeln beginnt, dass es unlustig wird. Und der andere Punkt ist natürlich der Schullaptop meiner Frau, der wahrscheinlich mit genügend Viren in Kontakt kommt, die ich auch nicht zu Hause im Netz haben will.

Zitat aus einem Post von schizo

Bei Enterprise Switches gibt's dafür Port Isolation, um die L2 Kommunikation der Clients untereinander zu unterbinden und sämtliche Pakete über den Gateway zu schleifen.

Im Prosumer Bereich müssten aber wie ursprünglich erwähnt eben /30er Subnetze konfiguriert werden.

Sehe das jetzt allerdings nicht als besonders großen Aufwand, so ein VLan ist ja schnell angelegt, insbesondere wenn gleich ein paar auf einmal konfiguriert werden.
Im Gegensatz dazu ist der Aufwand der Bereinigung bei einer 0day wesentlich größer.

Hab mal kurz geschaut, obs für OpenWRT Port Isolation gibt, bin aber nicht wirklich fündig geworden. Wird anscheinend meistens einfach über VLANs gelöst.

Edit:
Und schon eingerichtet. Nachdem 3 von 4 WLAN-Router baugleich sind und alle mit OpenWRT betrieben werden, hab ichs einmal auf einem eingerichtet, Backup gezogen und die anderen 2 mit dem Backup geflasht. Hostname angepasst, Static IP ausgebessert und fertig. Somit hab ich das OpenWRT Upgrade auch gleich mitgenommen. Ein WLAN Router fehlt jetzt noch, da werd ichs dann händisch nachziehen und die Einstellungen per SSH Zugriff kopieren.