Netzwerk Layout

[k-jo]

Hallo, habe mir einiges angelesen, aber noch habe ich eine Frage zum Layout.

Ich möchte mir einen Server erstellen für folgendes:
Pihole, Firewall und Co für Sicherheit.
Er soll dann aber auch als Datenspeicher und mediaserver genutzt werden mit wireguard zugriff um internet über vpn im ausland zu haben.

Geht das mit einem Fujitsu Esprimo:

Fritzbox-switch-homeserver (an dem switch alle anderen geräte)
Kann man das Internet erst über den homeserver laufen lassen mit opnsens und dann weiter verteilen wegen der firewall und pihole? Oder muss der honeserver dann 2 netzwerkkarten haben?

Oder brauche ich 2 Geräte?

Fritzbox-server (pihole etc)-switch-server(media etc)

 

[Dunuin]

Du brauchst dann zwei NICs (eine für WAN, eine für LAN) wenn du keinen Managed Switch hast der mit Tagged VLANs umgehen kann. Außerdem wirst du dein WLAN von der Fritzbox vermutlich nicht mehr nutzen wollen, da die Fritzbox dann ja auf der unsichereren WAN-Seite der OPnsense Firewall ist. Da wäre dann also ein extra Wifi-AP ratsam, den du dann auf die LAN-Seite der OPNsense hängst. Und einen Switch willst du dann ja vermutlich auch noch haben, damit du Wifi-AP sowie andere Rechner an die LAN-Seite der OPNsense hängen kannst. Weil alles was an den Ports der Fritzbox hängt wäre dann ja auf der unsichereren WAN-Seite.

 

[k-jo]

Danke für die Antwort.
Also brauche ich eine 2. Netzwerkkarte um den Server mit Router und switch zu verbinden. Ist das so ratsam? Müsste eine USB Karte sein weil der PC keinen PCI mehr hat. Ist das ein Nachteil?

Oder die Variante mit dem Manager switch. Um zwei Netzwerke aufzubauen?

Ist das so der gängigen Weg?

Hast du eine Empfehlung für einen alten Office PC oder Mini pc der vlt sogar 2 netzwrrkkarten hat? Die größeren alten Office PCs brauchen so viel Strom wenn ich das richtig sehe

 

[Dunuin]

Also brauche ich eine 2. Netzwerkkarte um den Server mit Router und switch zu verbinden. Ist das so ratsam?

Ja.

Müsste eine USB Karte sein weil der PC keinen PCI mehr hat. Ist das ein Nachteil?

Finde ich schon, da USB oft nicht sonderlich stabil ist und mir jetzt keine USB-NICs mit ordentlichen Chipsätzen bekannt wären. Das sind meist sehr günstige Realtek-Chipsätze die dann oft nicht so toll unterstützt sind oder Features fehlen. Aber gut, hast du dann ja sonst nicht wirklich eine Alterntive (abgesehen von Tagged VLAN mit Managed Switch).

Oder die Variante mit dem Manager switch. Um zwei Netzwerke aufzubauen?

Kann man auch machen, ist aber deutlich komplexer. Musst du dich dann erst einmal einarbeiten, wenn du noch keine Erfahrung mit VLANs hast.
Managed Switch mit VLANs kann aber auch sehr nett sein, weil man dann z.b. noch ein zusätzliches DMZ-Subnetz für die VMs machen könnte, falls du mal Webdienste wie z.b. eine Nextcloud oder so aufsetzen willst, dass da die angreifbaren VMs nicht bei dir im LAN sitzen.

Hast du eine Empfehlung für einen alten Office PC oder Mini pc der vlt sogar 2 netzwrrkkarten hat? Die größeren alten Office PCs brauchen so viel Strom wenn ich das richtig sehe

Nicht wirklich. Was ich hier so lese holen sich viele Leute, die sich einen PVE Host mit OPNsense/pfsense aufsetzen wollen, oft diese Mini-PCs aus China mit den 4 NICs. Oder einen alten SFF-PC mit Riser, dass man da eine weitere NIC reinstecken kann.

 

[k-jo]

Mit den Managed switch habe ich mich auch beschäftigt. Habe ich glaube ich verstanden.

Aber wie baue ich die vlans dann auf um fritzbox an den Server zu leiten der nur eine netzwerkkarte hat und alles andere im Netz mit dem Server zu verbinden

 

[Dunuin]

Mit den Managed switch habe ich mich auch beschäftigt. Habe ich glaube ich verstanden.

Aber wie baue ich die vlans dann auf um fritzbox an den Server zu leiten der nur eine netzwerkkarte hat und alles andere im Netz mit dem Server zu verbinden

Fritzbox z.B. an Port 1 vom Managed Switch hängen. Den Port1 dann auf untagged VLAN stellen...z.B. untagged VLAN 100 für WAN-Seite. Port 3 bis 8 könntest du dann auf untagged VLAN 200 stellen für dein LAN. Damit würde alles in VLAN 100 landen, was du an Port 1 hängst und alles im VLAN 200 was an Port 3 bis 8 steckt.
Aus Port 2 kann man dann einen VLAN Trunk machen der sowohl VLAN100 als auch VLAN200 als Tagged VLAN führt. Wenn du da dann an Port2 deinen PVE Server hängst, dann kann dieser in beiden VLANs sitzen. Wenn du die vmbr0 Bridge in PVE dann auf vlan-aware stellst, dann kannst du der OPNsense VM zwei virtio NICs verpassen. Eine mit VLAN Tag 100 und die andere mit VLAN Tag 200. Dann hat die OPNsense VM eine virtuelle NIC in beiden VLANs und kann damit zwischen WAN und LAN routen.

 

[k-jo]

Danke das werde ich so versuchen. Pihole vermittelt dann auch zwischen vlan100 und 200?