VLANs, IoT en NAS

[madvisionz]

Goedemorgen,
ik ben eindelijk met VLANs begonnen en heb nu een IoT en Guest netwerk aangemaakt naast de LAN. In de LAN blijven/komen al mijn eigen vertrouwde devices (Unifi, pc's, Syno's, telefoon, etc.) en in IoT wil ik mijn smart devices (Google Hub, mini, HUE, Toon, TV, Harmony, Xiaomi, Nintendo's, etc.) en zo ook o.a. mijn ShieldTV waar ik KODI en ook IPTV op draai. Doel Guest netwerk lijkt me logisch en sluit ik uit van alles, alleen internet toegang met beperkte snelheid. Had deze eerst met inlogportal draaien, maar hier stap ik maar vanaf denk. Geeft soms toch ook onduidelijkheid bij andere.

LAN Corporate 10.10.1.0/24
VLAN 20 Corporate IoT 10.10.20.0/24
VLAN 30 Guest 10.10.30.0/24

Alle netwerken ook hun eigen WIFI en IoT ga ik uiteindelijk hidden maken als alle devices zijn geconnect.

Ik vroeg mij nu eigenlijk af hoe jullie dit hebben gedaan of zouden doen. Ik heb via een CrossTalk filmpje een eerste set firewall rules aangemaakt mbt IoT VLAN en afschermen van je eigen LAN en dit werkt eigenlijk wel prima echter kan ik dan met KODI niet meer mn shares op LAN benaderen. Dit lijkt weer te werken met een LAN LOCAL en een LAN IN TCP/UDP regel boven de drop regels waar ik als Source het IoT netwerk toegang geef tot destination IP group (met IP van m'n NAS) en een Port group met de NFS porten (111,892,2049).

Mn ShieldTV ga ik komende dagen eens verder testen in het IoT netwerk.

Nu heb ik wel een paar vraagjes:
1. Is dit de manier met deze FW regels? Wellicht knijp ik dit nog wat dicht door ipv het hele IoT netwerk alleen de desbetreffende IoT devices te allowen.
2. Ik lees ook dat een apart VLAN IPTV met aparte settings mbt IPTV wellicht een goede optie is. Ik heb nu nog alles nog in LAN draaien en ervaar soms wel haperingen met IPTV wat op deze manier wellicht beter te finetunen is.Ik zou dan een aparte VLAN kunnen maken voor alleen mn 3 IPTV devices.IoT word straks natuurlijk meer belast met andere smart devices al vraag ik mij af of deze belasting nou zo veel wordt, maar hoe minder devices hoe beter wellicht voor IPTV.
3. Nu heb ik toevallig ook nog een oudere NAS staan. Is het misschien beter om deze in hetzelfde netwerk te hangen als m'n ShieldTV's met alleen streaming content en verder eigenlijk niks? Op m'n huidige NAS draait namelijk nog veel meer wat ik wel wil afschermen van de andere VLANs. Of is dat wel veilig genoeg als ik alleen NFS toe sta naar bepaalde shares.
4. Ik heb ook 2 camera's op mn NAS staan, die zouden dan eventueel ook op die NAS kunnen of voor cam's ook weer een apart VLAN maken?

Momenteel draai ik nog met een USG, maar er ligt al een UDM (geen Pro) onder de boom die ik dan meteen goed wil inrichten.

Afijn, heel verhaal maar ik hoop dat iemand de moeite neemt om te reageren.
Heel erg bedankt alvast voor de input.

 

[Eddie the Eagle]

Ik heb dezelfde instructies gevolgd, die setup werkt prima. Als je de Shield TV in IoT zet en de NAS in Main LAN, dan kan de Shield inderdaad niet meer bij je NAS tenzij je daar weer een aparte 'accept' regel voor maakt en die voor de 'drop' regel zet.

 

[Eddie the Eagle]

Houdt er in het algemeen rekening mee dat verkeer dat plaatsvind tussen verschillende (V)LAN`s niet meer door je switch afgehandeld kan worden (aangenomen dat je geen Layer 3 switch hebt). Dat is dus bij jou het geval met verkeer tussen Shield & NAS. Dat gaat door je USG/UDM heen.

 

[Eddie the Eagle]

Als je dat met veel apparaten doet, bv ook met camera`s etc; dan kan die verbinding tussen je switch & USG/UDM een flessenhals gaan vormen.

 

[madvisionz]

Thnx! Voor wat betreft mn Unifi setup: Ik heb op de USG een US-8-150W aangesloten met een AP-Pro voor WIFI beneden en nog een switch, US-8, op zolder met een AP-Pro voor WIFI boven.

Heb al een Accept regel ingesteld op LAN IN en LOCAL LOCAL en die werkt voor mn ene Shieldtv, maar vreemdgenoeg werkt de andere weer niet die ook in het IoT netwerk staat merk ik net. Alles is wel geprovisioned en die Shield heeft ook IP van IoT.

 

[Eddie the Eagle]

Thnx! Voor wat betreft mn Unifi setup: Ik heb op de USG een US-8-150W aangesloten met een AP-Pro voor WIFI beneden en nog een switch, US-8, op zolder met een AP-Pro voor WIFI boven.

Dat zijn Layer 2 switches, daar geldt mijn opmerking dus voor mbt inter-VLAN verkeer. Dat verkeer wordt afgehandeld door de CPU van je router dus moet daar ook heen.

 

[madvisionz]

Thnx! Dan hoop ik dat ik met de UDM daar minder problemen mee ga krijgen. Die Pro modellen zijn me ff te groot en hoop ik even niet nodig te hebben.

 

[madvisionz]

ShieldTV in IoT en NAS in Main LAN is dus wel in orde? Voor TiviMate (IPTV) hoef niet perse een aparte VLAN bijv. voor IGMP Snooping wat hier en daar wordt geadviseerd om in te schakelen? Dit staat op mn IoT uit.

 

[Eddie the Eagle]

ShieldTV in IoT en NAS in Main LAN is dus wel in orde? Voor TiviMate (IPTV) hoef niet perse een aparte VLAN bijv. voor IGMP Snooping wat hier en daar wordt geadviseerd om in te schakelen? Dit staat op mn IoT uit.

Ik houd ze om die reden beide in Main LAN, dan blijft het verkeer bij mijn switches. Je moet het zo zien dat als je met 5 Shield TV`s tegelijk een 4K film vanaf je NAS aan het kijken bent, het wel eens een probleem zou kunnen zijn als dat allemaal via je router moet. Het is dus allemaal geen probleem tenzij je problemen ervaart. Datzelfde geldt voor IGMP snooping......ik zou het uitlaten tenzij je haperingen ervaart bij je IPTV door multicast flooding. Als je geen problemen hebt, kun je het net zo goed uit laten, is alleen maar extra overhead. Die TiviMate is trouwens toch gewoon een App op je Shield TV ? Dat is dan ook geen broadcast/multicast die door je hele LAN gaat (dacht ik). Er valt dus niks te snoopen.

 

[madvisionz]

Mmm daar heb je een punt. Is idd een app die streamt vanuit de Shields en de Mi Box. Dan hapert IPTV soms, misschien wel voornamelijk wanneer alle devices tegelijk streamen, en dacht ik mede met een aparte vlan dit misschien ook wat te ontlasten echter heeft dit dan misschien geen zin en moet ik dit wellicht ergens anders in zoeken. Maar dat neemt niet weg dat ik aparte VLANs wil, zaken wil gaan scheiden en de security binnen het netwerk wat wil opschalen.. Mediaspelers dan misschien ook maar in Main LAN houden.

Gooi ik alle andere smart devices en game consoles die eigenlijk alleen internet nodig hebben in IoT. Misschien m'n Sonos spul uiteindelijk ook wel, maar lees daar lastige verhalen hierover. Meer iets voor later en pak ik wel als laatste.

Met als derde VLAN voor de Guest.Dit moet de UDM toch wel trekken?

 

[Eddie the Eagle]

Mmm daar heb je een punt. Is idd een app die streamt vanuit de Shields en de Mi Box. Dan hapert IPTV soms, misschien wel voornamelijk wanneer alle devices tegelijk streamen, en dacht ik mede met een aparte vlan dit misschien ook wat te ontlasten echter heeft dit dan misschien geen zin en moet ik dit wellicht ergens anders in zoeken.

Je kunt het zeker proberen met een apart VLAN, is allemaal snel weer teruggedraaid als je issues krijgt met de NAS in het Main LAN en daarmee dus een uplink naar je router creeert. Mijn gedachte was alleen dat IGMP snooping in dit geval niets toe te voegen heeft.

 

[Eddie the Eagle]

Gooi ik alle andere smart devices en game consoles die eigenlijk alleen internet nodig hebben in IoT. Misschien m'n Sonos spul uiteindelijk ook wel, maar lees daar lastige verhalen hierover. Meer iets voor later en pak ik wel als laatste.

Inderdaad, al die rommel het IoT in. Ik heb ook de camera`s in het IoT met aparte firewall regels om die juist van het internet af te houden. In CrossTalk wordt daar een apart NoT VLAN voor gemaakt, heb ik dus niet gedaan. Mijn IoT is eigenlijk een NIoT .

Sonos ben ik nooit aan begonnen, die zit in Main LAN; daar lees ik alleen maar ellende over.

 

[Eddie the Eagle]

Met als derde VLAN voor de Guest.Dit moet de UDM toch wel trekken?

Tuurlijk, dat werkte op mijn USG-3P al perfect.

 

[klaasvs31]

Ik vroeg mij nu eigenlijk af hoe jullie dit hebben gedaan of zouden doen. Ik heb via een CrossTalk filmpje een eerste set firewall rules aangemaakt mbt IoT VLAN en afschermen van je eigen LAN en dit werkt eigenlijk wel prima echter kan ik dan met KODI niet meer mn shares op LAN benaderen. Dit lijkt weer te werken met een LAN LOCAL en een LAN IN TCP/UDP regel boven de drop regels waar ik als Source het IoT netwerk toegang geef tot destination IP group (met IP van m'n NAS) en een Port group met de NFS porten (111,892,2049).

Vraagje, ik heb dezelfde setup gevolgd en ook de firewall rules zoals het crosstalk filmpje geconfigureerd. Ook ik maak gebruik van een NFS share in mijn Main LAN die ik via Kodi/MrMc wil benaderen vanuit het IoT netwerk. Ik heb soortgelijke firewall rules toegevoegd in LAN LOCAL en LAN IN waarbij ik bepaalde IP adressen vanuit mij IoT netwerk toegang geef tot de NFS poorten van de Synology NAS in mijn Main LAN.

Echter, de Inter-VLAN traffic blocking rule (die lager staat dan bovenstaande firewall rule mbt de NFS poorten) wordt de verbinding tegengehouden en kan ik de NFS shares niet benaderen vanuit het IoT netwerk. Indien ik de Inter-VLAN traffic blocking rule disable/uitzet, dan kan ik prima met mijn NFS share verbinding maken.

Nu vraag ik me af waar het fout gaat, daar de eerder genoemde firewall regel mbt de NFS poorten hoger in de lijst staat.
Iemand een suggestie?

 

[Hofstede]

Zonder details valt er weinig te zeggen. Maar uit het feit dat de InterVLAN blocking rule de verbinding tegenhoudt kun je concluderen dat de regels die je hebt geconfigureerd voor vrijgave niet juist zijn.

 

[Eddie the Eagle]

Precies wat @Hofstede aangeeft; je zou (als test) die regel voor vrijgave eens wat algemener kunnen maken om te isoleren waar het zit.

Nu:allow source IoT Kodi IP to destination MAIN NAS IP/NFS Port
Zo: allow source IoT to destination MAIN NAS IP

Ook zou je die LAN LOCAL rules even op inactief kunnen zetten om te checken of die niet in de weg zitten. Zou niet moeten maar toch.

Als laatste: ik zou na aanmaak van elke firewall regel apart testen of ze werken en tevens of alle voorgaande nog werken. De video op crosstalk is prima om te beginnen maar elke situatie is weer anders.

 

[Thiazzz]

Waarom verberg je de SSID? Dit is nutteloos en kan alleen maar voor problemen zorgen.

 

[klaasvs31]

Thanks voor de tips! Heb om te beginnen de regels wat algemener gemaakt en stapje voor stapje wat specifieker gemaakt. Had m'n drie streaming apparaten in een groep gezet en ik vermoed dat het daar ergens niet goed ging. Heb nu 3 aparte regels aangemaakt voor de 3 streaming apparaten afzonderlijk en nu kan ik de NFS shares zonder problemen benaderen. Eind goed al goed.

Fijne kerst!