Meinung benötigt: OpenWRT auf dem Synology als zentraler Router im Netzwerk

[Matthias17]

Hallo,

mir geht eine Idee durch den Kopf, zu der ich fundierte Meinungen benötige.

Ausgangspunkt:
Eine FritzBox 7530 stellt die Internetverbindung her und ist der zentrale Router im heimischen Netzwerk. Nachteile der FritzBox:

• Keine VLAN-Unterstützung
• Gäste-WLAN ist nur verfügbar, wenn auch das Haupt-WLAN aktiv ist - für das WLAN verwende ich einen mächtigeren Access Point.
• VPN-Unterstützung für zu wenige Protokoll (auch wenn Wireguard in Kürze dazu kommt)

Wunsch:
Ich möchte gern das WLAN/LAN auftrennen in vier Zonen und zwei SSIDs:

• 1. WLAN: IoT, Firmenlaptops, private Endgeräte (also drei VLANs)
• 2. WLAN: bewusstes Umgehen von Werbeblockern wie AdGuard mittels DNS-Einstellung

Darüber hinaus möchte ich ein paar Funktionen wie z.B. URL-basiertes Routing über VPN-Client-to-Side-Verbindungen. Meine Lebensgefährtin kommt aus einem anderen Land und kann auf einige heimische Inhalte nicht zugreifen wegen der Geo-IP-Sperre.

Überlegung:
Meine Überlegung ist nun folgende: Ich habe eine Synology DS720+ und habe diese auch mit einem Maximum an RAM ausgestattet, 18GB. Außerdem habe ich einen der beiden M.2-NVMEs zu einem separaten Volume gemacht. Ich kann nun also in einer virtuellen Maschine OpenWRT laufen lassen und über die beiden NICs sowohl das heimische LAN erreichen als auch mittels PPPoE am zweiten Anschluss die Internetverbindung an einem VDSL2-Modem aufbauen.

Anschließend würde OpenWRT in der VM in meinem Heimnetzwerk der zentrale Knotenpunkt werden für DNS, DHCP, VLANs, ...

Sieht jemand etwas, dass dagegen spricht? Ich lese immer wieder den Satz "Ein NAS ist keine Firewall". Bevor ich mich daher an riesige Umbauten mache, stelle ich dieses Vorhaben zur Diskussion.

Viele Grüße, Matthias.

 

[EDvonSchleck]

Ich halte es für keine gute Idee.

Nebenbei kannst du doch, wenn du AdGuard als DHCP Server fungiert, jedem Client eigene Einstellungen zuteilen.
Wenn du VLAN nutzen willst, wechsel auf die entsprechende Hardware. Alternativ kannst du mit einem weiteren Router oder AP es separieren und einen Router einstellen. OpenWRT oder DD-WRT sind schon nicht schlecht. Bei der Fritz!Box hat man eben alles zusammen.

 

[Matthias17]

Mein ursprünglicher Ansatz war auf den Mochabin 5G Router zu wechseln. Wurde mir auch geliefert, was bei einer Crowdfunding Geschichte nicht selbstverständlich ist.
Dort habe ich einen SFP-Anschluss, an welchen ich ein VDSL-2-Modem anschließen kann, allerdings bringt das Allnet-Gerät "nur" etwa 72MBit, während die FritzBox 106MBit Download schafft an einer 100er Leitung.

Der Hersteller verbaut nur leider eine Wifi6 Karte von NXP, welche nie und nimmer, von OpenWRT unterstützt wird. So bekam ich die Aussage, ein Linux Arch darauf zu booten und anschließend OpenWRT per VM ein zubinden.

Zweite Alternative, die ich auch hier habe: Ein Mini-PC von 8.5x8.5cm Kantenlänge mit einem Intel N5095 und 8GB RAM. Dieses Gerät hat zwei Ethernetanschlüsse.
Wäre dann aber wieder ein zusätzliches Gerät.

 

[EDvonSchleck]

Ohne zusätzliche Geräte wirst du es eh nicht schaffen.
Was hindert dich daran, die Geräte in der Fritz!Box und/oder AdGuard auszuwerten und in bestimmten IP-Bereichen zuzuordnen?
Wo siehst du genau die Probleme? Den Firmenlaptop ins GastWLAN und den Rest sperre, einstellen oder zulassen.

 

[Matthias17]

Was die FritzBox betrifft, so kann ich das Gäste-WLAN nur nutzen, wenn ich auch das Haupt-WLAN nutze. Aber das Haupt-WLAN schalte ich aus, weil ich so einen Access Point, befeuert durch PoE, nutzen kann.

Weiterhin bin ich an dem URL-Based-Routing via VPN interessiert.

 

[EDvonSchleck]

Dann hast du doch schon deine 3 WLAN Netze. Du kannst den AP ein anderes Netz zuweisen und musst eine Route einrichten. Ich würde aber an deiner Stelle das Netz einmal richtig planen und umsetzen. Dann musst du eben in den sauren Apfel beißen und auch in andere Hardware investieren. Auch wenn das WLAN von AVM nicht das beste ist, kann ich hier über 3 Etagen mit einem Repeater und 5 GHz alles machen. Wenn du den Baukasten haben willst, schau dir Ubiquiti UniFi an.

 

[Thorfinn]

Der Router und das Firewall gehören nicht auf die NAS.
a) Sicherheit
b) Desaster Management.

ad a) ja das geht vergleichbar mit VMs aber das wäre mit zu “virtuel”
ad b) Stell dir vor das Netzteil der NAS stirbt und du bist ohne Internet bis das neue da ist. Meine Teenager würden mich in der Periode töten und danach ersticken, weil ihnen kein Tictoc Video mehr erklärt wie man atmet.

Wie weit du da selber basteln willst sei dir überlassen. Ich habe mir nach 1,5 Jahren mit Repeatergefrickel und schiefen Haussegen & muffigen Teenagern vor vielen Jahren eine UniFi Installation gesetzt, die läuft und läuft und läuft (abgesehen von einem Netzteilschaden).

 

[Matthias17]

Das Desaster-Szenario ist ein gutes Argument, jede „Aktion“ am normalen NAS, Neustart / Update kappt das Internet.

Ich werde wohl auf einen Mini-PC setzen. Es wirkt mir nur irgendwie so überdimensioniert.

 

[EDvonSchleck]

Meine Teenager würden mich in der Periode töten und danach ersticken

Sollten dann eher Tinder nutzen. Denn sind sie auch einmal froh eine Auszeit in ihrer Periode zu haben! Das mit den Hormonen ist dann auch auf ein „normales“ Niveau.