Tutorial - Netzwerk

Verwendet werden hier Switche die VLAN Tauglich sind (Managed / Layer 3) und Glasfaser SFP+ mit 10GBit unterstützen. Diese Anleitung dient als Grundlage mit vielen Tipps und anhand dieser Informationen kann man sehr viel schneller die Details im Internet gezielter finden.

Glasfaserkabel

Bei Glasfaserkabel gibt es unterschiedliche Standards, damit man es einfacher hat sollte man sich unbedingt auf einen einzigen festlegen. Zudem ist das Glasfaserkabel technisch bedingt einen Überspannungsschutz zwischen den Teilnehmern. So sollte z.B. zwischen 2 Gebäuden unbedingt ein Glasfaser verlegt sein um vor den Potentialunterschieden geschützt zu sein.

Single-Mode (Empfehlung)

• Bauart LC-LC (diese passen in die SFP+ Buchsen)
• nur fertig konfektionierte Kabel kaufen, also incl. LC-LC Stecker
• Typ OS1 oder OS2 Single-Mode (SM), 1350nm, bis 20km Kabellänge (bis 100GBit/s) (Farbe gelb)
• Kabellängen 20cm ... 200m kann man problemlos bekommen
• Es gibt Verbinder-Stecker, mit denen man die Kabel verlängern kann (z.B. wenn man durch sehr viele Räume/Decken legen muss kann es einfacher sein wenn man Abschnittweise die Kabel legt)

Multimode

• Bauart LC-LC (diese passen in die SFP+ Buchsen)
• nur fertig konfektionierte Kabel kaufen, also incl. LC-LC Stecker
• Typ OM3 Multimode (MM), 850nm, bis 300m Kabellänge (10GBit/s) (Farbe türkis oder aqua)
• Typ OM4 Multimode (MM), 850nm, bis 400m Kabellänge (10GBit/s) (Farbe violett)
• Typ OM5 Multimode (MM), 850nm, bis 400m Kabellänge (10GBit/s) (Farbe lime)
• Kabellängen 20cm ... 200m kann man problemlos bekommen
• Es gibt Verbinder-Stecker, mit denen man die Kabel verlängern kann (z.B. wenn man durch sehr viele Räume/Decken legen muss kann es einfacher sein wenn man Abschnittweise die Kabel legt)

Nicht kaufen:

• SC-SC (es gibt Adapter-Kabel SC-SC auf LC-LC, falls man SC-SC schon liegen hat)
• OM1 ... OM2 (orange)
• Single-Mode und Multimode nicht mischen, sich auf eines festlegen, das rediziert die Kosten der Ersatzteilhaltung.
• Andere Licht/Laser Dioden im SFP+, als wie man bei Single-Mode / Multimode nutzt
• SFP (ohne das +) oder SFP28 oder andere Standards, wenn es nicht aus einem speziellen Grund sein muss.
• Spezielle Media-Converter, die direkt Glasfaser auf Netzwerkkabel umsetzen, wenn diese kein SFP+ Einschub haben, denn die sind nicht mit SFP+ kompatibel.

Single-Mode oder Multimode

Single-Mode hat gegenüber Multimode Vor- und Nachteile. Ich beschreibe hier die Verwendung von Multimode, damit habe ich bisher positive Erfahrung gemacht. Wichtig ist vor allem, dass man sich zu Anfang für eines von beiden entscheidet, damit man weniger unterschiedliches Material kaufen muss. Also entweder alles Multimode oder alles Singe-Mode. Die Kabel müssen dementsprechend die Spezifikation OSx für Single-Mode sein (gelb), Multimode Kabel OMx können für Single-Mode nicht verwendet werden, auch nicht wenn die Stecker (LC-LC) passen!

Die Kabel werden mit kleinen PVC Kappen geliefert, so dass die eigentliche Glasfaser geschützt ist und nicht staubig wird. Diesen Schutz darf man nur unmittelbar vor dem Einstecken entfernen und muss man wieder ran tun, wenn man das Kabel aus steckt. Daher diese kleinen PVC Stopfen alle aufheben.
Anhand der Farbe des Kabels kann man die OMx Spezifikation erkennen.
Kleine Biegeradien sind heutzutage kein Problem, natürlich sollte man das Kabel nicht komplett abknicken.
Bei Verwendung von Leerrohren (Hausbau) sollten die Rohre so dimensioniert sein, dass der LC-LC Stecker mit durch passt.

Nur um Verwechslungen aus zu schließen, es geht hier nicht um das Glasfaser, das von einem Telecom Unternehmen in das Haus zum Router gelegt wird, sondern um das Kabel innerhalb vom Haus und im eigenen Netzwerk.

DAC Kabel

Die DAC Kabel sind spezielle Kabel incl. Einsätze, die man direkt in die Plätze der Switche einstecken kann. Bei DAC muss man jedoch so einiges beachten, maximale Länge 2-3m, auch wenn längere verkauft werden funktionieren die meist nicht gut. Auch haben DAC Kabel keine galvanische Trennung.
In Ausnahmefällen, wie z.B. andere Geschwindigkeiten im Server Rack, lohnt es sich diese zu kaufen. Ansonsten empfehle ich der Einfachheit halber bei einem System zu bleiben.

SFP+

Im oberen Bereich habe ich hauptsächlich "SFP+" empfohlen. Ich will jetzt nicht andere Standards wie "SFP", "SFP28", "QSFP+", "QSPF28" und auch "QSPF56" usw. unter den Tisch fallen lassen. Es gibt heutzutage bereits mehrfach Glasfaser bis in die TB Geschwindigkeit. Um so höher die Geschwindigkeit um so teurer sind die ganzen Komponenten. Schlussendlich möchte man die Leistungsfähigkeit der Festplatten und Server voll ausnutzen können und dabei sollte das Netzwerk selbst nicht das Nadelöhr sein. Moderne SSD's können bereits 2,5GByte/Sec übertragen, dazu wäre dann ein Netzwerk mit 28GBit nötig.
Das "SFP+" ist aktuell ein Kompromiss zwischen auf dem Markt sehr gut verfügbaren Komponenten und Kosten. Um für höhere Geschwindigkeiten bereits jetzt gut vorbereitet zu sein kann man sich Glasfaserkabel mit einem besseren Standard verlegen, denn in 10...15 Jahren werden die Komponenten sicher verfügbar sein.

Netzwerk Struktur

Sehr wichtig ist zu wissen was man für unterschiedliche Netzwerke haben möchte. Beispiel:

• Router zur Firewall, ein Netzwerk, das sonst niemand nutzen darf, da unsicher
• Nach der Firewall gibt es unterschiedliche Netzwerke, z.B.:
  • Haupt-Netzwerk mit Daten, Computer zum Arbeiten
  • IOT Netzwerk, für Geräte, die Internet benötigen, jedoch die nicht auf das Haupt-Netzwerk zugreifen dürfen
  • Internes Netzwerk, für Geräte die zwar mit dem Server verbunden sind, jedoch KEIN Internet haben dürfen (z.B. Überwachungskameras)
  • Gäste Netzwerk, ähnlich wie IOT
• Eventuell ein Fallback Internet, falls der Router ausfällt (oder der Telefonanbieter Probleme hat)

Und schon ist man bei 6 unterschiedlichen Netzwerken, ohne dass man so viele Extras drin hat. Jedes einzelne Netzwerk sollte nun miteinander nicht verbunden sein. Es wäre jetzt ein Riesen Aufwand überall hin 6x Netzwerkkabel zu ziehen und 6x Switche zu setzen, damit alles ja getrennt ist und die bösen Buben auf gar keinen Fall an die Daten kommen.

Die Lösung: VLAN - Virtuelles LAN

Wie funktioniert VLAN

Jedes TCP/IP Paket erhält automatisch eine zusätzliche Kennung zu welcher VLAN Gruppe es gehört. Eine VLAN Gruppe wird innerhalb vom Switch so behandelt wie ein eigenständiges Netzwerk, es gibt keine Verbindung von der einen VLAN Gruppe zur anderen. Man kann maximal 4095 VLAN's definieren. Bei einem Switch kann man z.B. bei Port 1 einstellen, dass dieser Port zur VLAN Gruppe 10 gehört und bei Port 2 die VLAN Gruppe 20. Wenn man nun bei Port 1 einen PC einsteckt, so merkt dieser nichts davon, da der Switch automatisch diese Kennung dem TCP/IP Telegramm hinzufügt/entfernt. Wenn man nun am Port 2 einen anderen PC einsteckt, der nun zur VLAN Gruppe 20 gehört, so haben diese beide PC's keine Verbindung, denn der Switch unterbindet die Kommunikation zwischen unterschiedlichen VLAN Gruppen.
Alle Switch Ports, die der gleichen VLAN Gruppe angehören, haben zueinander eine Verbindung. Damit es per einfacher Konfiguration möglich dass jeder einzelne Port zu einem bestimmten Netzwerk gehört.

Nun werden die Switche untereinander verbunden, damit die ganzen unterschiedlichen VLAN Gruppen durch ein einziges Kabel durch gehen dürfen, haben die Ports die Berechtigung für alle VLAN Gruppen. Somit kann man alle Netzwerke über ein einziges Kabel innerhalb der Switche verteilen. Man muss somit nur 1 Kabel (oder Glasfaser) zwischen 2 Switche verlegen und kann alle VLAN Netzwerke zum anderen Switch übertragen. Am einfachsten macht man es sich daher, wenn die Switch - Switch Verbindung prinzipiell immer für alle VLAN's zugelassen sind.

Ein VLAN kann natürlich nicht jeder Switch. Die Standard Switche haben alle in der Regel nur die Fähigkeit für "Layer 2". Ein VLAN fähiger Switch ist mindestens ein "Layer 3" Switch, oder ein "Managed Switch". Man kann dennoch ein Layer 2 Switch im Netzwerk verwenden, dieser darf dann nur an einem Switch-Port hängen, der bereits mit einer einzelnen VLAN Gruppe (z.B. VLAN 10) parametriert ist.

Die VLAN Vorteile

Per VLAN kann man sich somit ein virtuellen Netzwerkkabel von einem Port eines Switches zu einem anderen Switch eineam anderen Port legen, ohne dass man dazu ein extra Kabel legen muss. Wenn der Mann von der Telecom das Kabel nicht in den Serverraum legen möchte, so kann man das Kabel selbst virtuell durch ein VLAN zum Server-Raum verbinden ohne noch extra Kabel legen zu müssen.
Oder man sitzt im Büro und muss in der Halle eine Maschine bedienen, so kann man sich ein Kabel virtuell durch die Switche ziehen und kann da die Maschine einstecken.
Wer VLAN bisher noch nicht kannte und viel mit Netzwerke zu tun hat, der sollte sich ein wenig damit beschäftigen, es lohnt sich.

Switch

Bei den "Layer 3" fähigen Switches gibt es eine riesige Auswahl an Funktionen und Ausstattungen. Diese haben in der Regel ein Webinterface, mit der man diese konfigurieren kann. Nun es ist schon ziemlich aufwändig, wenn man einige Switche am laufen hat und jeder hat ein anderes Webinterface und da noch den Überblick zu behalten fällt einem schon sehr schwer.

Besser ist es die Switche von nur einer Firma zu kaufen, die eine Software für die Verwaltung aller Switche mit liefert, dabei hat man schlussendlich einen Überblick über das gesamte Netzwerk. Das vereinfacht die ganze Konfiguration und man muss nur eine Software lernen.

Daher habe ich mich in meinem Netzwerk für Ubiquiti Unifi Geräte entschieden. Diese sind vom Preis/Leistungsverhältnis im Mittelfeld und bieten gute Qualität.

Die Qual der Wahl

Nun geht es darum die richtige Switche aus der Unifi Produktpalette aus zu wählen. Diese Eckpunkte sollte man sich überlegen:

• SFP+ - Glasfaser, mindestens 2 Plätze, beim Server-Raum 4 Plätze (oder extra 8-Port SFP+ Switch)
• LAN 2,5 GBit - viele moderne Computer können das bereits
• LAN 10 GBit - ist relativ Teuer, da eine Buchse ca. 2,5 ... 3 Watt Leistung verbraucht
• PoE+ oder PoE++ - Wer IP-Telefone nutzt oder Kameras oder auch Switche, die per PoE den Strom bekommen
• Stromanschluss 54V (externes Netzteil)

Modelle (Beispiel):

• USW-PRO-MAX-16-POE - 12x 1 GBit, 4x 2,5 GBit, 2x SFP+ 10 GBit, PoE tauglich
• USW-Pro-XG-8-PoE - 8x 1, 2,5, 5, 10 GBit, 2x SFP+ 10 GBit, PoE tauglich
• USW-Flex-2.5G-5 - der kleine Switch für den Arbeitsplatz, Strom aus PoE, bis zu 2,5 GBit

Für die SFP+ Buchsen werden zusätzliche Einsätze benötigt. Es gibt sie als Glasfaser (meist LC-LC) in unterschiedlichen Ausführungen oder als RJ45 für Kabel. Am besten ist es, dass man für alle vorhandenen SFP+ Plätze aller Switche bereits einen entsprechenden Einsatz kauft.

• LC-LC Buchse, SFP+ (10 GBit) und Single-Mode (SM) oder Multimode (MM)
• Tauglich für Unifi Geräte
• Beispiel Typ Multimode (MM): UACC-OM-MM-10G-D-2

Unifi taugliche Einsätze gibt es auch von anderen Firmen. So lange man alle vom gleichen Typ kauft, Multimode (MM), 850nm, SFP+ (10 GBit) funktionieren die untereinander.

WLAN

Nun wird man im Haus ebenfalls WLAN benötigen. Hierzu bietet Ubiquiti Accespoints (AP) an, die sich sehr gut in das VLAN Netzwerk einbinden lassen. Wie oben beschrieben, möchte man mehrere VLAN Gruppen haben, so dass z.B. es ein Hausnetz und ein Gastnetz gibt und die IOT Geräte sollen ebenfalls ihr eigenes WLAN bekommen.

Bei den Ubiquiti AP's kann man eine WLAN SSID einrichten und dabei unterschiedliche Passworte vergeben. Je nach dem mit welchem Passwort man sich verbindet, so verbindet man sich mit einer anderen VLAN Gruppe.
Man kann natürlich auch unterschiedliche WLAN SSID's vergeben, ich finde die andere Lösung jedoch eleganter, da dann niemand erkennt wie viele Netzwerke man tatsächlich hat.

Vom Switch zum AP muss man den Switch Port so konfigurieren, dass der Port zum AP in allen VLAN Gruppen drin ist, die per WLAN zugeordnet sind.

Das WLAN vom Router sollte man deaktiviert lassen, da dieses WLAN vor der Firewall sitzt und man dadurch den Schutz der Firewall umgangen hätte. Dieses WLAN kann man natürlich aktivieren/nutzen so lange die Firewall und alles drum herum noch nicht fertig eingerichtet ist.

Konfiguration

Nun gibt es die ganzen Switche und AP's von Ubiquiti, aber die haben alle kein Webinterface. Das ist erstmal für den Anfang nicht so einfach, jedoch arbeiten alle Switche als ganz "normale" Switche, ohne VLAN. Man kann zumindest schon mal das Netzwerk aufbauen und benutzen.

Für die ganze Einrichtung des Netzwerks wird eine zusätzliche Software "Unifi OS Server" verwendet. Aber halt, Stopp! noch nicht installieren!

Diese Software installiert man am besten auf der Synology Discstation in einer Virtuellen Maschine. Denn die Discstation läuft ohnehin rund um die Uhr und braucht Strom, daher macht es auch Sinn diesen Computer dazu mit zu verwenden.

Wie man den "Unifi OS Server" auf einer Synology Discstation in einen virtuellen Computer installiert, dazu gibt es im Internet gute Schritt für Schritt Anleitungen, die alles genau beschreiben.

• VMM - Virtual Machine Manager auf der Synology Discstation
• Neuen Computer anlegen mit 4GB RAM, 120GB HDD, 1 CPU, VGA Grafikkarte, 2 Netzwerkkarten
• Ubuntu Linux Server TLS installieren
• Unifi OS Server installieren
• Danach wird die Konfiguration des Unifi Netzwerks über das Webinterface ausgeführt: https://xxx.xxx.xxx.xxx:11443

Die einzelnen Funktionen für die Unifi Konfiguration sind sehr gut im Internet beschrieben. Man muss kein Unifi Konto anlegen, man kann diesen Punkt überspringen und ohne Unifi Konto sein Heim Netzwerk erstellen.

Beim allerersten aktivieren der Unifi Geräte werden vermutlich alle Geräte ein Firmware Update erhalten, das ganze kann eine weile dauern. Erst danach sollte man mit der Konfiguration beginnen und sich als erstes die VLAN Gruppen anlegen.

WICHTIG! Wenn kein DHCP Server im Netzwerk ist, so haben alle Unifi Geräte immer nach dem Einschalten die TCP/IP Adresse 192.168.1.20, daher die Geräte nacheinander anstecken und einzeln erst konfigurieren.

Backup: Regelmäßige Backups der Unifi Konfiguration ist sehr wichtig. Sollte man den Unifi OS Server neu installieren (oder wo anders installieren) so kann man mit dieser Backup Datei alles mit einem Import wieder herstellen (auch ohne Unifi Konto).

SSH Konfiguration

Alle Unifi Geräte können über die Konsole erreicht werden, z.B. mit dem Tool "Putty" kann man sich per SSH mit einem Unifi Gerät verbinden.

• Login/Passwort: ubnt / ubnt   oder   ubnt / password

Folgende Befehle können in der Konsole verwendet werden:

• info
• Setzen der TCP/IP Adresse des Unifi OS Servers:
  set-inform http://xxx.xxx.xxx.xxx:8080/inform

Wenn der Unifi OS Server das Gerät nicht automatisch findet, dann muss man mit dem SSH Befehl dies dem Gerät mitteilen. Es kann durchaus sein, dass man den Befehl "set-inform ..." mehrmals ausführen muss, da andere Dienste auf dem Gerät das immer wieder überschreiben. Jedoch wenn es einmal geklappt hat, dann ist es für immer gut. Mit dem Befehl "info" kann man dies überprüfen.

Man kann natürlich für das Netzwerk ein "UDM Pro" kaufen, das ist ein Gerät mit dem Unifi OS drauf, dieses Gerät erkennt die Unifi Geräte immer zuverlässig. Jedoch benötigt dieses Gerät extra Strom und wenn man schon eine Discstation hat, dann macht es Sinn dies als VMM laufen zu lassen.

Unifi im Docker

Es gibt veraltete Anleitungen die eine Unifi Konfiguration in einem Docker zeigen. Unifi wird diese Möglichkeit in nächster Zeit irgendwann einmal einstellen und dann erhält man keine Updates mehr. Somit Docker kann ich NICHT empfehlen.
Bitte verwendet ausschließlich Anleitungen für einen "Unifi OS Server" auf Basis von Linux oder Windows.

Planung vom Netzwerk

Hier ein Beispiel wie man das eigene Netzwerk plant, es muss zu Anfang nicht perfekt sein, jedoch sollten enige Eckpunkte so konfiguriert sein, dass es zukünftigen Anforderungen gerecht wird.

Zwischen den einzelnen Bereichen ist jeweils noch "Platz" damit man sich noch das Netzwerk relativ einfach erweitern kann. Man sollte auf die Bits der TCP/IP Adressen schauen, damit kann man einfach die Netzwerk Maske verkleinern um einen größeren Adressbereich zu erhalten.

Wie man hier recht schnell sieht, hat der Server eine Verbindung zu 3 unterschiedlichen Netzwerken, daher sollte der Server der Einfachheit halber 3 Netzwerkschnittstellen verfügen. Oder man konfiguriert eine einzige Netzwerkschnittstelle mit einer Unterteilung in 3 VLAN's (VLAN's auf der DS zu erstelle empfehle ich nicht, das muss man mühsam von Hand in der Konsole machen).

Die Firewall kann über alle Netzwerke verfügen und per Firewall Regeln lässt man die jeweilige Verbindung zu. Damit kann z.B. das Kamera Netzwerk einen DHCP über die Firewall erhalten.
Auch kann man VLAN's über die Firewall verbinden. Damit baut man sich gezielt absichtlich Sicherheitslücken (Löcher) in sein Netzwerk. Bei einzelnen Anwendungsfällen kann dies dennoch Sinn machen, z.B. wenn ein IOT Gerät (in VLAN 32) zu, Drucker (in VLAN 16) drucken darf.
Am Switch selber darf man niemals ein VLAN X Port mit einem anderen VLAN Y Port verbinden, damit hätte man diese 2 Netzwerke schutzlos verbunden, so etwas wird prinzipiell immer über eine Firewall Konfiguration gelöst.

Planung der benötigten Geräte

• Anhand der Netzwerkteilnehmer entscheidet man wie viele Switche und AP's man benötigt.
• Je Stockwerk ein Switch, Serverraum mit Router ein Switch.
• In der Wohnung, je nach Größe je Stockwerk ein AP, nach draußen in den Garten ein AP, so dass man auch wirklich überall schnelles WLAN verfügbar hat.
• Server Synology DiscStation (gibt natürlich auch andere)
• Firewall, extra PC (z.B. Toptop)
• Router vom Telecom Unternehmen oder einem anderen Hersteller

USV - Unterbrechungsfreie Stromversorgung

Dazu kann man sich nun Gedanken über eine USV machen, ob der Server an einer USV dran hängt, die Switche ebenfalls.

Oben hatte ich beschrieben, dass die Switche ein externes Netzteil haben, mit 54V Eingang (nicht alle haben dies!). Damit kann man relativ einfach sich eine Akku Anlage (LiFePo4) auf Basis von 24V aufbauen, die Akkus können per Ladegerät oder Solar immer voll gehalten werden und mit DCDC Step-Up Wandler wird die Spannung auf 54V angehoben. Damit ist das komplette Netzwerk mit USV ausgestattet.
Dazu ein DCDC Step-Down Wandler für Router und Firewall.

Das ganze Netzwerk benötigt doch einige Watt an Strom. Mit Solar, Akkus und MPPT Laderegler lässt sich einiges an Geld sparen.
Dank dem, dass die ganzen Netzwerkteilnehmer wie z.B. AP's, Kameras über PoE mit Strom versorgt werden, werden diese automatisch ebenfalls über die eigene Akku Anlage über die großen PoE Switche versorgt.

Man hat bereits 50V Akkus?

Beim Laden / Entladen haben diese Akkus einen Spannungsbereich zwischen 40V und 58V, diese Schwankungen kann man für einen 54V Switch so nicht gebrauchen, daher niemals einen Akku direckt als Stromquelle für einen Switch verwenden! Es gibt dazu eine einfache und pragmatische Lösung dennoch eine bestehende Akku Anlage auch für die Netzwerk Technik zu verwenden:

• 24V LiFePo4 Akku ab 50Ah.
• MPPT Laderegler, der die 24V Akkus aus dem 50V Akku lädt. z.B. eine Variante die 100V Eingang kann und 30A am Ausgang.
  Beispiel: Victronenergy "SmartSolar MPPT 100/30". Er kann per BlueTooth/Android App parametriert werden (getestet und funktioniert!).
• Ab 24V gibt es für die Industrie so ziemlich alles an Gerätschaften, auch StepUp Wander für 54V (PoE Switche) und StepDown Wandler auf 12V (Firewall).
• Man kann sich KFZ Bordnetz Steckdosen mit den 24V installieren und dann die handelsübliche KFZ zu USB Adapter verwenden (Wichtig! nur die kaufen, die auch wirklich 24V Spannung können).
• Sicherungen zwischen Akku und Geräten vorsehen, zur Sicherheit und wenn man doch mal wegen Reparatur abschalten muss.

Der 24 V Akku wird so lange geladen, bis der 50V Akku leer ist, daher hat man als Zeitraum für die Funktion der Netzwerks die Zeit der Haupt Akkus + der Zeit des 24V Akkus. Da der 24V Akku somit auch immer Nachts aus dem 50V Akku geladen wird ist die 24V Spannung immer konstant.
Ein 2-Akku-System funktioniert sehr gut und kann ich empfehlen.