Bestimmte Clients in eigenes LAN / VLAN zwingen?

[mensa]

Hallo,

in meinem Netzwerk zu Hause sind alle Clients (ca. 40) im gleichen LAN 192.168.1.255. 40 erscheint jetzt vielleicht viel, aber es sind halt auch alle netzwerkfähigen Geräte dazugezählt. Eigentlich egal.
Ich hab einen Asus RT-N18U Router mit Tomato Firmware und da hängt ein unmanaged 16 Port Switch (D-Link Go-SW 16G/E) dran. An diesem Switch hängen ein paar Clients direkt dran und es hängen auch ein paar weitere unmanaged 8 Port Switches (D-Link DGS-108/E) dran und an denen dann erst die Clients (eine Sternverkabelung wäre hier leider nur mit sehr großem Aufwand möglich). Für WLAN hab ich 2 Ubiquiti UAP-AC-LR.
Soweit funktioniert mein Netzwerk sehr gut und schnell.

Es ist jetzt so, dass ich vereinzelt PCs bzw. auch einzelne VMs (auf einem ESXi) habe, welche ich aus Sicherheitsbedenken / Testzwecken nicht direkt in meinem LAN 192.168.1.255 haben möchte. Den Zugriff ins Internet sollen sie kriegen, aber sonst nichts.

Gibt es hier eine Möglichkeit, dass ich bestimmte Clients in ein anderes LAN / VLAN "zwinge"?
Ich möchte diese Clients nicht eigens verkabeln. Ist es also möglich, dass ich mit passender Hardware (evtl. Switches austauschen?), die bestehende Verkabelung nutze und nur gewisse Clients in ein separates Netz zwinge?
Wie würde dann sichergestellt sein, dass diese Clients dann auch wirklich garantiert im anderen Netz landen? Über die MAC-Adresse, oder wie? Das Problem dabei wäre halt, dass man die MAC-Adresse ja einfach überschreiben könnte und so erst wieder ins normale LAN kommen würde, oder?
Die Clients, die das betreffen würde, sind zur Zeit eigentlich alle per Kabel verbunden. Wenn es eine Lösung gibt, wäre es aber natürlich gut, wenn die auch über WLAN funktionieren würde. Vorerst wäre aber nur LAN notwendig.

Oder gibts hierfür gar keine Lösung und ich müsste für die gewünschten Clients sowieso eine eigene Verkabelung machen?

 

[JojoTheMaster]

Das geht, du brauchst aber definitiv Switche mit Management, und einen VLAN fähigen Router. Der darf die dann nämlich auseinander sortieren. VLANs über WLAN würde ich mit jeweils einer eigenen SSID machen, das können die Ubiquitis bereits.

 

[mensa]

Cool, danke!
Der Router wäre eigentlich schon VLAN fähig mit Tomato.

ABER: Kann meine Anforderung wirklich erfüllt werden??
Auch wenn es jetzt Switche mit Management sind, wie sollen die denn wissen, welche Clients in welches VLAN gezwungen werden müssen? Die MAC kann auf dem Client ja ganz einfach überschrieben werden und schon würde der Switch gar nicht mehr erkennen, dass dieser eine Client eigentlich ins VLAN soll, oder?

 

[JojoTheMaster]

Du kannst je Switchport festlegen, welchem VLAN er angehört. Oder ob er alle VLANs verteilt etc. Du solltest dich vielleicht mal mit den Grundlagen von VLANs befassen.

Was soll hier eigentlich abgesichert werden? Wenn deine Saboteur die MAC ändern kann, kann er auch Switchports umstecken.

 

[mensa]

Ja, muss mich echt mit VLANs mal auseinandersetzen. Ich wollte nur grundlegend wissen, ob das überhaupt mit der bestehenden Verkabelung möglich wäre.
Das mit den Switchports zuordnen ist ein guter Ansatz! So werde ich es wahrscheinlich auch umsetzen.
In den ESXi müsste ich halt dann vermutlich eine eigene Netzwerkkarte einbauen, da zur Zeit sämtlicher Traffic von allen VMs über eine einzige LAN Karte läuft. Zukünftig sollen ein paar VMs ja in einem eigenen VLAN sein.

Wenn ich einer Person von extern Vollzugriff auf einen Rechner gebe, dann kann der unter Windows alles einstellen was er will. Meine Switchports kann er mir aber nicht verdrehen denke ich, denn er hat ja keine Zugangsdaten für den Switch.
Weiters habe ich ein paar VMs laufen, wo evtl. Viren oder Schadsoftware drauf sein könnten, bzw. probiere ich auf denen einfach gewisse Sachen, bevor ich diese auf meinem eigenen PC installiere. Wenn dabei auf der VM was schief geht, möchte ich halt verhindert haben, dass sich das im LAN ausbreitet.
Soweit ist mein Vorhabn nachvollziehbar und sinnvoll, oder?

Eine Frage hätte ich noch:
Also der Router ist ja VLAN fähig. Am Rouer hängt Switch1 und an Switch1 hängt dann Switch2. Am Switch2 möchte ich Switch3 dranhängen und an diesen dann ein paar Clients, welche in ein abgeschottetes VLAN sollen.
Muss ich für mein Vorhaben jetzt auch Switch1 und Switch2 auf einen managed Switch tauschen, oder reicht es, wenn ich nur Switch3 auf einen managed tausche?

Also zur Verdeutlichung:
Router -> Switch1 -> Switch2 -> Switch3 -> Clients (gemischt VLAN1 und VLAN2)

Also ich möchte einfach wissen, ob ich sämtliche Switches im LAN auf managed tauschen muss, oder nur jene, wo ich die Switchports dann konfigurieren will?
Aber vermutlich könnten unmanaged Switch1 und unmanaged Switch2 nichts mit den VLAN Infos vom managed Switch3 anfangen und das ganze würde nicht funktionieren, oder?

 

[JojoTheMaster]

Du solltest dich vielleicht mal mit den Grundlagen von VLANs befassen.

Das stand da nicht zum Spaß.

 

[mensa]

Keine Angst, durch die Grundlagen wühle ich mich gerade, aber auf meine Frage, ob sämtliche Switches getauscht werden müssen finde ich leider keine Antwort.
Deshalb wäre ich für etwas Unterstützung hier doch sehr dankbar.

 

[JojoTheMaster]

Wenn das VLAN Internetzugriff haben soll, müssen die Zwischen-Switche VLAN passthrough können. Das können auch ein paar nonmanaged Switche.

 

[rayze]

In den ESXi müsste ich halt dann vermutlich eine eigene Netzwerkkarte einbauen, da zur Zeit sämtlicher Traffic von allen VMs über eine einzige LAN Karte läuft. Zukünftig sollen ein paar VMs ja in einem eigenen VLAN sein.

Nicht notwendig, Switch Port als Trunk konfigurieren und einen neuen vSwitch mit entsprechender VLAN Konfiguration anlegen. Fertig.