LAN1 und LAN2 Anschluss verwenden?

[whitbread]

Link Aggregation bringt doch nix wenn nicht viele Nutzer gleichzeitig Bandbreite ziehen.
Warum nicht einfach 2 Subnetze auf die einzelnen Ports legen?

 

[mavFG]

Aber warum hast Du den Router "doppelt" mit dem Switch verbunden? Unterstützt Dein Router Link Aggregation? Selbst wenn ist es nicht wirklich sinnvoll, da Deine Internetbandbreite ohnehin deutlich weniger als 1Gbit/s beträgt. Deshalb reicht es, den Router einfach mit einem Netzwerkkabel mit dem Switch zu verbinden.

nein der Wlan-Router kan kein LAG, daher ja meine Frage, ob ich da anderweitig zusätzliche Bandbreite bringe.. daher ja auch die Version 2, wo ein Netzwerkkabel der DS716+ zum Switch geht und eines zum Router, um eventuell mal "Puffer" zu haben.. der Router ist ja auch mit mehreren "Clients" verbunden (Handys, Tablet und Laptops) zusätzlich liefert er ja das Tor zum Internet.. es gibt ja noch aktuell 5 Nutzer die die DS von extern Nutzen (Cloud, Photo-Station). ich weiß das meine 64000er Kabelleitung mit 5000 Upload nie die Bandbreite des 1gbits "belastet"..

Wichtig wäre mir halt auch die Wahl des Switches..
Momentan bin ich am Hardware kaufen.. Kabel wird eh alles neu gezogen, daher ist ja noch jede Variante frei..
Momentan grübel ich gerade, ob ich einen managed Switch dafür benötige... klar.. vielleicht kommt später mal ein LAG-fähiger Router.. aktuell bleibt er aber drin..
Und ich würde halt gerne bei der Netzwerktechnik bei Netgear bleiben..

@whitbread

wie meinst du das mit 2 Subnetzen??
Also einen managed Switch der dann DHCP übernimmt??

 

[NSFH]

Beide Versionen machen Sinn.
Version 1, wenn es um Zugriffsperformance auf die DS geht. Die doppelte Anbindung des Routers ist allerdings unnötig!
Version 2, wenn du in der Lage bist auf dem Router eine DMZ einzurichten und dort den DS-Port der 716+ auflegst. So trennst du interne und externe Zugriffe auf die DS. Ein Stück mehr Sicherheit.

Variante 2 habe ich am laufen. 3 Ports hängen im Trunk im internen LAN, 1 Port an der Firewall in der DMZ. Das ermöglicht auch sehr fein abgestimmte Einstellungen der Fw in der DS für interne und externe Zugriffe.

 

[bitrot]

In keinem Fall macht es Sinn, den Router "doppelt" mit dem Switch zu verbinden, das ergibt einfach keinen Mehrwert.

 

[whitbread]

Löse Dich mal von den Begriffen Switch, managed, usw.
Was ist es denn, was Du wirklich erreichen willst? Ausfallsicherheit ? Max. Netzwerkperformance von 1 PC zum NAS? Sicherheit?

Ab DSM 6.1 wird (allerdings inoffiziell) Samba MultiChannel unterstützt - das geht aber nur ohne Link Aggregation und auch nicht gleichzeitig mit Virtualisierung. Achja und Windows 10 braucht es auch. Deshalb ist es bspw. bei mir nicht im Einsatz.
Ein Switch leitet ja zunächst einmal nur Datenpakete von Gerät zu Gerät weiter - und zwar völlig ungefiltert. Wenn Du jetzt von einem "managed Switch" redest ist das erstmal ein völlig unbestimmter Begriff, ausser, dass es irgendwelche Möglichkeiten der Konfiguration gibt.
Üblichweise gibt es dann Funktionalitäten wie VLAN (Netztrennung), Link Aggregation, gewisse Schutzfunktionen gegen Mac-Spoofing oder DDOS-Attacken, die man im Heimnetzwerk meist nicht braucht. Geräte in unterschiedlichen VLANs/Subnetzen können nur über einen entsprechenden Router miteinander kommunizieren. Dieser Router braucht daher eine andere Funktionalität als es bspw. eine übliche Fritte liefern kann. Beispielhaft seien der Synology Router, pfSense, Sophos UTM oder MikroTik genannt. Gibt auch noch andere Anbieter wie Cisco, die ich aber nicht im Heimgebrauch sehe.

Also kurzum: Ich habe bei mir gar keinen Switch mehr im Einsatz sondern nur noch Router, die auch switchen können. Der Router macht DHCP für die einzelnen Subnetze und lässt nur den Traffic zu, den ich auch zulassen will. Die NAS steht mit der physischen Instanz im internen LAN (kein Zugriff vom Internet) und mit den virtuellen Instanzen in einer Art DMZ (Zugang vom Internet für dedizierte Dienste). Somit kommt erstmal keiner an meine Daten, auch wenn der Webserver kompromittiert wäre.
Den Zugang zum Internet stellt ein eigener DSL-Router her.
Wie man sieht stand bei mir primär der Fokus auf Sicherheit im Vordergrund, mehr Performance fände ich zwar auch recht interessant, aber dafür müsste ich auf eine DS1515+ (4 LAN-Ports) und Windows 10 wechseln - beides kommt für mich nicht in Frage.

 

[mavFG]

Was ist es denn, was Du wirklich erreichen willst? Ausfallsicherheit ? Max. Netzwerkperformance von 1 PC zum NAS? Sicherheit?

Für mich zählt maximale Netzwerkperformance, ohne einen "größeren" Flaschenhals zu verursachen..
Die DS216play sollte dabei eigentlich nur "Netzwerkintern" laufen.. eventuell lass ich vielleicht die Photostation mit drauf.. den gibt es ca. 4-6 Nutzer die übers Internet reinkommen (Eltern, Schwager und Co)..
Die DS 716+ (oder 916+) soll dann Cloudstation und Mailserver sowie Cloudsync für Dropbox und Onedrive als Hauptprogramme haben, wobei halt auch ca. 5 Nutzer von extern daruf zu greifen..
Das alles ist privat, also nix KMU-ähmliches mit gigantischen Datenaufkommen..
Da ich aber, wie schon erwähnt "fast" alles neu mache und kaufe, wollte ich es gleich optimieren.. (und nicht in 4 Monaten neues Kabel ziehen...)
Also wäre die Variante 2 mit einer Verbindung zw. Switch und Router ausreichend??
Dann würde ja auch ein "normaler" switch reichen.. z.b: der Netgear JGS516??

@NFSH: ich hab gearde nachgeschaut, ich kann laut Konfig des Routers einen DMZ-Standartserver festlegen.. wobei die Frage aufkommt, ob ich das bei meinen Anwendungen wirklich brauche.. ist aber schonmal ne Option

 

[NSFH]

Die Konfiguration mit einem Lan-Port in der DMZ hat für mich Firewall-technisch den Vorteil, dass ich nach Aussen nur das Nötigste erlaube und mit dem anderen Lan-Port intern ohne Restriktionen arbeiten kann.
Zudem darf man nicht vergessen, dass die Trennung auch die Backplane des Switches um den Internetverkehr entlastet.
Was den Switch angeht, ich würde immer auf einen managed Switch gehen.
Sowas zB http://www.netgear.de/business/products/switches/managed/m4100.aspx

 

[mavFG]

ok.. verstanden..

der von dir gezeigte Switch bringt mir nix.. ich hab gerade mal durchgerechnet.. ich lande bei 13 Anschlüssen.. ich könnte auf 12 runter gehen.. aber dann hab ich keine Reserve mehr..
aus der Serie wäre der nächste der M4100-26G.. und 500€ für nen Switch.. da müsste ich glatt noch den Router gegen einen LAG fähigen ersetzten.. das sich das lohnt.. da bekomm ich Mecker von "oben"..

 

[whitbread]

@NSFH: Hier solche Werbung (ist eigentlich sogar ein mieser Tracker) 'reinzudrücken finde ich mehr als uncool!

Ich halte nichts (mehr) von managed switches für den Heimgebrauch. Ich kann bei Dir bis jetzt überhaupt keinen Flaschenhals erkennen. Für alle externen Dienste ist Dein Internetanschluss eh' der Flaschenhals und dann reicht ein 20€-Switch. Eine Entlastung des Switches ist also gar nicht nötig. Intern erreichst Du so den max. Durchsatz einer GBit-Verbindung (112MB/s). Wenn Du mehr willst geht nur SMB Multichannel - Link Aggregation bringt nur etwas, wenn mind. 2 interne Geräte gleichzeitig max. Bandbreite anfordern. Alles was übers Web kommt kannst Du dabei vernachlässigen.

Und dual homed hosts ist das Maximum an Unsinn, was man fahren kann. Dann kann ich ja gleich mein LAN ins Internet hängen...

Bevor ich zwei Kisten ins Internet hänge würde ich die Trennung in eine interne und eine externe NAS vorsehen. Alternativ geht es über Virtualisierung.

 

[NSFH]

Sollte keine Werbung, sondern nur ein Tipp was evtl in Frage kommt. Bin derzeit nicht so am Laufenden, was es da an kostengünstigen aber trotzdem brauchbaren Geräten gibt.
Hoffentlich erzeugt dieser Link keine neue Kritik https://geizhals.de/?cat=switchgi&v...=2827_16~3328_2015~658_managed~659_1000Base-T

Aber warum soll ein managed Switch nicht für den Heimgebrauch tauglich sein. Wenn jemand mit obiger Konfiguration, internen und externen Nutzern arbeitet, können auch VLANs oder Port Priorisierungen ganz schnell interessant werden.
Was Billig-Switche angeht ist meistens die Backplane der Schwachpunkt. Der Durchsatz im Switch entspricht bei diesen billigen Dingern häufig nicht der Erwartung.
Die meisten merken es nur nicht, weil sie keine Vergleichsmöglichkeit haben. Wer sich jedenfalls einen Billig-Switch zulegt spart am falschen Ende! Ob dann managed oder unmanged ist eine andere Entscheidung.
Es ging gerade auch nicht um Link Aggregation sondern um getrennte Ports für in- und outbound. Outbound in der DMZ ist durch die Router Fw abgesichert, dazu kommt die Absicherung durch die Fw der DS. Diese Art der Netztrennung ist eine durchgängige Praxis auch in Firmennetzwerken.

 

[whitbread]

Jo - der Link ist soweit "sauber".

Ich sagte nicht, dass ein managed switch nicht tauglich, sondern nur, dass ich nicht dazu raten würde. Hintergrund ist, dass Du mit dem Switch alleine noch nicht weit kommst, sondern immer noch einen Router brauchst, der die per VLAN getrennten Netze wieder routed. Dann kann man auch gleich einen ordentlichen Router nehmen und habe zwei Fliegen mit einer Klappe geschlagen: Den notwendigen Switching-Durchsatz und die notwendigen Routing-Funktionen. Und die meisten anderen Funktionen, die ein managed switch so mitbringt, brauchen auch nur die Wenigsten im Homebereich - so sehe ich das jedenfalls.

Sowohl mein Uralt-5-Port-Plastik-Switch von TP-LINK, als auch meine aktuellen Router schaffen es alle, die verfügbare Bandbreite zu 100% durchzureichen. Ich bin bei Dir, dass dies anders aussähe, wenn da tatsächlich mehrere Geräte am Laufen sind, die gleichzeitig ordentlich Bandbreite ziehen. Die kann ich den Schilderungen des TE bis jetzt nicht entnehmen.

Ich vermute wir haben beide etwas anderes im Kopf bzgl. der Netzwerkarchitektur: Ich beziehe mich auf die Variante 2 des obigen Schaubildes. Was ich als gefährlich ansehen würde ist, die NAS mit einem Port ins LAN und mit dem anderen Port direkt an den Router (DMZ) zu klemmen, es sei denn es handelt sich eh' um das gleiche Netz, aber dann kann man es sich auch gleich sparen imho.
Wenn ich eine Netztrennung mache und die NAS in beiden Netzen steht habe ich hier eine Netzwerkbrücke; sobald meine NAS kompromittiert ist (siehe ganz aktuell der Fall bei der Konkurrenz) ist nicht nur meine gesamte NAS offen sondern auch mein gesamtes LAN. Sich hier auf die Firewall auf der NAS zu verlassen ist insoweit wenig sinnvoll, als sich diese ja nach Kompromittierung ganz einfach abschalten lässt.

 

[mavFG]

scheint also doch sehr unterschiedliche Ansatzpunkte zu geben..

Was die Bandbreite angeht, kann ich es ja genauer differenzieren:
- DS 216play (Multimedia, HD-Inhalte, mehrfacher Zugriff möglich)
- DS 716+ (der ganze Rest, Cloudstation, Mail-Server, Cloudsync, Virtualisierung aktuell nicht geplant..

über Switch:
3x Kodi (über Raspberry an TV) Zugriff auf die DS216play
1x PC Online-Gaming und Internet
1x PC Internet, zur Zeit hauptsächlich Youtube
2x Reserve ist nur für PC Einrichtung für Fremd-PC (also Neuinstallation mit Updates und co..)
die beiden DS
1xDrucker
1xSmarthome
1xTV und 1x Bluray (Update, Video-Informationen, Video-Inhalte)


Über den Wlan-Router
2x Tablet (Youtube, Cloudstation, Surveillance)
4x Handy (whatsapp und Foto-sync
2x Laptop (Internet, Youtube)

Externer Zugriff:
5 PCs mit Cloudstation und Photostation
Durchshcnittliche Internet-Performance: Download 49Mbps, Upload 5,11Mbps

Der aktuelle Router soll bleiben, erh hat kein LAG dafür aber QoS
Kabel wird neu gemacht und halt ein Switch..
Nach Möglichkeit von Netgear..
zwischen smart managed und unmanaged liegen aktuell 30€ Preisunterschied.. daher ja der GS716Tv3..
Mehr als 200€ wollte ich nicht für den Switch investieren, da ich denke, dass ich dann nen Switch habe, der völlig unterfordert mit dem Rest ist..

 

[NSFH]

@mavFG: mit dem Switch machst du ganz sicher nichts verkehrt!

@whitbread: Das Konstrukt Internet > DMZ > DS beinhaltet Natting und eine 2-stufige Firewall. Damit laufen über diesen Port nur die Dienste, die für die DS ins Internet unverzichtbar sind.
Das bietet mehr Sicherheit als über einen einzelnen Port alle Dienste laufen lassen zu müssen die für Internetverkehr und internen Netzwerkverkehr erforderlich sind.
Und wie gesagt, je nach Auslastung des Netzes, insbesondere beim Streaming durch mehrere Nutzer entlastet diese Trennung auch die Backplane des Switches.
Wie hoch nun tatsächlich der Traffic in diesem speziellen Einzelfall ist vermag niemand von uns zu sagen. Vielleicht ist das auch alle oversized.
Ich stehe halt nur auf dem Standpunkt, dass es besser ist bei einer Neuplanung/-beschaffung Reserven einzuplanen.
Ob man sich für die oben beschriebene Variante 1 oder 2 entscheidet hängt von den Vorlieben des Nutzers ab. Was spricht dagegen beide Varianten auszuprobieren? Ist kein grosser Akt beides zu testen.

 

[whitbread]

Ich kann Dir mit Deinem Konstrukt nicht folgen, spielt aber keine Rolle, da der TE kein besonderes Interesse an security hat.