Permalänk
Medlem

Multipla Wifi - en custom router

Tänkte jag skulle ta mig i kragen och konfigurera upp hemma Wifi i flera olika nätverk, i första hand för att separera alla soundbars, smartahemprylar osv i ett separat nät från där det finns datorer med mer känslig information, högre säkerhetskrav osv. Jag är säkert inte den enda som är bra på att hålla datorer och telefoner uppdaterade, men sämre på typ att hålla soundbaren och TVn uppdaterade men att dom samtidigt finns på samma nät. Enheter dom dessutom ofta har notoriskt usel säkerhet till att börja med.

Finns det något sätt att få till det utan att faktiskt behöva ha 2 separata trådlösa accesspunkter och sedan köra in dom på varsin port i routern (custom)? De flesta AP har ju möjligheten att köra flera Wifi, typ att man kunde dedikera 2,4 nätverket till detta, men jag föreställer mig att det kan bli knepigt att få till det med brandväggar och annat om man kör med en separat router. När väl trafiken kommer in från APn lär den inte veta vad som från början kom från vilket Wifi.

Alternativt då kanske att det finns någon enhet som har allt inbyggt men där man då ändå kan köra riktig routerprogarmvara som OPNSense, OpenWRT eller liknande i åtminstone 1Gbps och då gärna även ha stöd för minst WIFI 6 eller numera kanske tom WIFI 7. Tidigare undersökningar av detta har alltid slutat med att jag kommit fram till att router och AP med fördel ska hållas åtskilda, och att de som ändå har allt inbyggt känns lite mer som nödlösningar för sommarstugan osv (typ https://teklager.se/en/products/routers/teltonika-RUTX50).

Tar gärna emot tankar och ideer, gisar att det säkert lär sluta i flera APs men kanske det finns några bra lösningar som jag inte tänkt på, alt några APs eller "routers" (i bryggläge) som kanske kan mata ut trafiken på flera nätverksportar osv.

(Kan lägga till att det inte finns någon räckviddsproblematik osv med krav på repeaters etc samt att jag ovan använder begreppet router för både router och brandvägg).

Permalänk
Hedersmedlem

Du köper en AP med stöd för att knyta VLAN till SSID. I din router kan du då hantera de olika VLAN:en som virtuella nätverkskort och styra vad som går ut och in på vilket trådlösa nät. Beroende på hur många trådanslutna enheter du har kan du även vilja skaffa en managed switch, så att du kan göra motsvarande för enskilda switchportar.

Glader gjorde en bra tråd om det här för ett tag sen, läs den: https://www.sweclockers.com/forum/trad/1664157-boosta-ditt-he...

Visa signatur

Det kan aldrig bli fel med mekanisk destruktion

Permalänk
Medlem

Jag kör TP-Link Omada EAP med 4 SSID på 4 olika VLAN, funkar grymt bra. Kolla tråden som @Aphex länkade, men man behöver inte köra Ubiquiti.

Visa signatur

RIPE LIR

Permalänk
Medlem

Med en AP byggd på OpenWrt med stöd för DSA (distributed switch architecture) och två fysiska portar så går det att sätta upp två SSID och tvinga ut trafiken i två brandväggszoner och ut på två separata fysiska portar på switchen. På router-sidan kan man på samma sätt tvinga upp trafiken från två switch-portar till två olika LAN-brandväggszoner och hålla dem åtskilda.

Det blir en rätt kladdig lösning med två sladdar mellan router och AP, men det går. Vill man eliminera en sladd så får man ta till VLAN för att separera näten.

Ovanstående är ännu bättre/enklare om man har burkar utan en switch men med flera ethernet-kontroller (”nätverkskort”). Tyvärr har Teklager inga WiFi6-kort till sina APU2 (som numera är EOL).

Kör man allt på en burk blir det jättelätt att konfa.

VLAN är inte jätteenkelt att förstå sig på i OpenWrt. Jag gjorde i somras ett försök att skriva ner min uppsättning av ett åtskilt WiFi-nätverk för osäkra enheter + ett separat WiFi för ”säkra” enheter som kombineras med alla trådade anslutningar. Beskrivningen är länkad i tråden ”Installing and Configuring ZyXEL WSM20” på OpenWrt-forumet. Jag har inget intresse av att underhålla/rätta texten. Man kan debattera om det finns ”säkra” WiFi-nät över huvud taget.

WiFi 7-standarden är väl inte klar än och det brukar vara ett misstag att köpa pre-standard hårdvara, det är inte ovanligt med hårdvarubuggar som inte kan lösas med mjukvara. Med det sagt så håller jag ögonen på BananaPi BPI R-4 som Daniel ”dangowrt” Golle jobbar på för Linux mainline-stöd och OpenWrt. Grundkortet ska släppas i höst medan WiFi 7-påbyggnadskortet är utlovat tidigt 2024.

Permalänk
Hedersmedlem
Skrivet av KAD:

Med en AP byggd på OpenWrt med stöd för DSA (distributed switch architecture) och två fysiska portar så går det att sätta upp två SSID och tvinga ut trafiken i två brandväggszoner och ut på två separata fysiska portar på switchen. På router-sidan kan man på samma sätt tvinga upp trafiken från två switch-portar till två olika LAN-brandväggszoner och hålla dem åtskilda.

Det blir en rätt kladdig lösning med två sladdar mellan router och AP, men det går. Vill man eliminera en sladd så får man ta till VLAN för att separera näten.

Ovanstående är ännu bättre/enklare om man har burkar utan en switch men med flera ethernet-kontroller (”nätverkskort”). Tyvärr har Teklager inga WiFi6-kort till sina APU2 (som numera är EOL).

Kör man allt på en burk blir det jättelätt att konfa.

VLAN är inte jätteenkelt att förstå sig på i OpenWrt. Jag gjorde i somras ett försök att skriva ner min uppsättning av ett åtskilt WiFi-nätverk för osäkra enheter + ett separat WiFi för ”säkra” enheter som kombineras med alla trådade anslutningar. Beskrivningen är länkad i tråden ”Installing and Configuring ZyXEL WSM20” på OpenWrt-forumet. Jag har inget intresse av att underhålla/rätta texten. Man kan debattera om det finns ”säkra” WiFi-nät över huvud taget.

WiFi 7-standarden är väl inte klar än och det brukar vara ett misstag att köpa pre-standard hårdvara, det är inte ovanligt med hårdvarubuggar som inte kan lösas med mjukvara. Med det sagt så håller jag ögonen på BananaPi BPI R-4 som Daniel ”dangowrt” Golle jobbar på för Linux mainline-stöd och OpenWrt. Grundkortet ska släppas i höst medan WiFi 7-påbyggnadskortet är utlovat tidigt 2024.

Jag hängde inte med, vad är problemet med att använda VLAN för det här? I pfsense/opnsense är det ganska enkelt att hantera och väldigt många AP stöder det utan modifikation.

Visa signatur

Det kan aldrig bli fel med mekanisk destruktion

Permalänk
Medlem

Min bedömning (vilket kan vara helt fel) är att tillräcklig säkerhet uppnås med ett gästnätverk för dina IoT prylar. Skulle någon komma åt dessa grejer utifrån så är det inte helt enkelt att komma in i ditt ordinarie nätverk via dessa miistänker jag.

Visa signatur

Varit med i datorvärlden sedan början på 70 talet. Telegrupp chef i Marinen, Jobbat med Xerox 800 ordbehandlings maskiner när det begav sig. PC-nisse sedan mitten av 80 talet. Raffinaderi inspektör sedan 1980.

Permalänk
Medlem

Tack för bra svar. Om man inte har några allt för stora krav (dvs rätt enkelt nätverk utan en massa servrar osv) annat än eg brandvägg och att nätverket ska ligga bakom VPN av anonymitetsskäl, kan det då idag vara ett alternativ att köpa en färdig "konsument power router" modell större/dyrare snarare än att sätta upp router och AP separat? Var ett tag sedan jag ens kollade på den typen av produkter men numera verkar flera av dom ha typ inbyggt stöd för Wireguard klienter osv? Den typ av konfiguration som jag vill uppnå borde vara enklare om allt är i samma enhet, dessutom lite mer praktiskt att slippa många olika prylar med sladdar mellan sig osv. Dock lite osäker på i vilken mån prestandan räcker till om man typ har 1 Gbps WAN osv.

Men kanske främst skälet är att min erfarenhet är att komplexitet och säkerhet inte alltid går så bra hand i hand, även om man känner sig hyfsat bekväm med "nätverk" men utan att ha det som hobby/jobb så har t.ex. PFSense/OPNSense väldigt många inställningar/konfigurationsmöjligheter, vilket känns som att det i sig ökar risken att något inte blir som det borde och då kanske i praktiken blir sämre än att köra någon enklare. Dvs attackytan ökar jämfört med något som är lite mer nedlåst/lättkonfigurerat till att börja med.

Vad finns det för vettiga alternativ till OpenWRT/pfSense/OPNSense? Om det dessutom skulle råka ha stöd för routing baserat på domännamn snarare än IP adresser vore det inte fel heller (för att typ kunna whitelista netflix.com snarare än alla deras IP adresser), jag har bara sett det i OpenWRT när jag kollat tidigare.

Permalänk
Medlem
Skrivet av KjellO:

Min bedömning (vilket kan vara helt fel) är att tillräcklig säkerhet uppnås med ett gästnätverk för dina IoT prylar. Skulle någon komma åt dessa grejer utifrån så är det inte helt enkelt att komma in i ditt ordinarie nätverk via dessa miistänker jag.

Problemet är inte att sätta upp olika Wifi och isolera dem från varandra utan hur dessa ska hanteras i routern/brandväggen, i synnerhet om denna är i en separat enhet. Blir ju annat lite som att sopsortera och sen tar ändå sopgubben och lägger allt i samma bil och tömmer det på samma ställe

Permalänk
Medlem
Skrivet av Aphex:

Du köper en AP med stöd för att knyta VLAN till SSID. I din router kan du då hantera de olika VLAN:en som virtuella nätverkskort och styra vad som går ut och in på vilket trådlösa nät. Beroende på hur många trådanslutna enheter du har kan du även vilja skaffa en managed switch, så att du kan göra motsvarande för enskilda switchportar.

Glader gjorde en bra tråd om det här för ett tag sen, läs den: https://www.sweclockers.com/forum/trad/1664157-boosta-ditt-he...

Tack, det låter som det jag är ute efter. Har du förslag på bra APn som har det stödet med minst Wifi6 stöd? Förutom TP-Link Omada EAP som föreslås i inlägget efter ditt då.

Permalänk
Medlem
Skrivet av KAD:

Med en AP byggd på OpenWrt med stöd för DSA (distributed switch architecture) och två fysiska portar så går det att sätta upp två SSID och tvinga ut trafiken i två brandväggszoner och ut på två separata fysiska portar på switchen. På router-sidan kan man på samma sätt tvinga upp trafiken från två switch-portar till två olika LAN-brandväggszoner och hålla dem åtskilda.

Det blir en rätt kladdig lösning med två sladdar mellan router och AP, men det går. Vill man eliminera en sladd så får man ta till VLAN för att separera näten.

Ovanstående är ännu bättre/enklare om man har burkar utan en switch men med flera ethernet-kontroller (”nätverkskort”). Tyvärr har Teklager inga WiFi6-kort till sina APU2 (som numera är EOL).

Kör man allt på en burk blir det jättelätt att konfa.

VLAN är inte jätteenkelt att förstå sig på i OpenWrt. Jag gjorde i somras ett försök att skriva ner min uppsättning av ett åtskilt WiFi-nätverk för osäkra enheter + ett separat WiFi för ”säkra” enheter som kombineras med alla trådade anslutningar. Beskrivningen är länkad i tråden ”Installing and Configuring ZyXEL WSM20” på OpenWrt-forumet. Jag har inget intresse av att underhålla/rätta texten. Man kan debattera om det finns ”säkra” WiFi-nät över huvud taget.

WiFi 7-standarden är väl inte klar än och det brukar vara ett misstag att köpa pre-standard hårdvara, det är inte ovanligt med hårdvarubuggar som inte kan lösas med mjukvara. Med det sagt så håller jag ögonen på BananaPi BPI R-4 som Daniel ”dangowrt” Golle jobbar på för Linux mainline-stöd och OpenWrt. Grundkortet ska släppas i höst medan WiFi 7-påbyggnadskortet är utlovat tidigt 2024.

OpenWRT är verkligen hit and miss, klart mer användarovänligt än typ PFSense/OPNSense, men verkar samtidigt har funktioner som dessa saknar och är grymt stabilt. Brukar ofta sluta med att det är det som är på min custom router efter lite försök med alternativ

Inser att Wifi7 är en chansning...trodde inte ens att det fanns några produkter för det på markanden ännu men noterade att det fanns iaf en från Asus och en från TPLink. Min nuvarande AP, en Asus med typ 5 år på nacken, sjunger helt klart på sista versen och min tanke är att även om Wifi7 stödet känns lite osäkert så borde väl en sådan produkt ändå kunna hantera Wifi6 på ett bra sätt. Dock jäkligt dyra...

Permalänk
Medlem

Jag har skrivit ett ganska utförligt inlägg om detta tidigare: https://www.sweclockers.com/forum/trad/1664157-boosta-ditt-he....

Det man behöver ta i beaktning är ju alltid balansen mellan "hur säker lösning ska jag ha" med "hur stor risk är det att jag blir angripen".

Visa signatur

:(){ :|:& };:

🏊🏻‍♂️   🚴🏻‍♂️   🏃🏻‍♂️   ☕

Permalänk
Medlem
Skrivet av GLaDER:

Jag har skrivit ett ganska utförligt inlägg om detta tidigare: https://www.sweclockers.com/forum/trad/1664157-boosta-ditt-he....

Det man behöver ta i beaktning är ju alltid balansen mellan "hur säker lösning ska jag ha" med "hur stor risk är det att jag blir angripen".

Jo, såg det länkat ovan, ska kolla på det. Tack (även om du nog inte skrev det enbart för min skull ).

Vad är statusen på den eviga striden mellan PFSense och OPNSense i dagsläget? Brukar testa OPNSense då och då men får alltid känslan av att det känns mindre färdigt och mer ostabilt än PFSense. Sen vet jag att det varit mycket drama kring det senare om det förstnämnda osv, men jag är för gammal, trött och fet för att orka bry mig om det annat än om det har direkt påverkan på mig

Permalänk
Medlem
Skrivet av improwise:

Jo, såg det länkat ovan, ska kolla på det. Tack (även om du nog inte skrev det enbart för min skull ).

Vad är statusen på den eviga striden mellan PFSense och OPNSense i dagsläget? Brukar testa OPNSense då och då men får alltid känslan av att det känns mindre färdigt och mer ostabilt än PFSense. Sen vet jag att det varit mycket drama kring det senare om det förstnämnda osv, men jag är för gammal, trött och fet för att orka bry mig om det annat än om det har direkt påverkan på mig

Ah... sorry, missade mitt namn i @Aphex inlägg.

Jag har aldrig testat OPNSense. Det finns de som menar att OPNSenses snabbare adoptering (nu blir det svengelska för glatta livet här) är värt mycket, men det är väldigt sällan jag uppfattar pfSense som så långsamt att det är värt att byta.

Visa signatur

:(){ :|:& };:

🏊🏻‍♂️   🚴🏻‍♂️   🏃🏻‍♂️   ☕

Permalänk
Medlem
Skrivet av improwise:

Tack, det låter som det jag är ute efter. Har du förslag på bra APn som har det stödet med minst Wifi6 stöd? Förutom TP-Link Omada EAP som föreslås i inlägget efter ditt då.

Det som oftast används är väl Ubiuqiti eller TP-Link. Det är ju "dumma" APs så man behöver någon slags router, själv kör jag pfSense men båda leverantörerna har också hårdvaru-routers som inte kostar skjortan och som integrerar fint i respektive mjukvara för styrning.

Sen så sägs det att Ubiuiti fuskar lite med Wifi6 på 2.4GHz-bandet och bara erbjuder b/g/n på 2.4GHz så det är begränsat till 300Mbit/s (MediaTek MT7603E) om det gör någon skillnad för dig.

Visa signatur

RIPE LIR