Netzwerk on myl3z.me

Pi-hole per DHCP verteilen (UDM)

Mon, 01 Jan 0001 00:00:00 +0000

Pi-hole per DHCP verteilen#

Ein DNS-Server, den niemand fragt, filtert nichts. Nach der Installation von Pi-hole laeuft der Dienst zwar, aber jedes Geraet im Haushalt bekommt beim Verbinden weiterhin die Adresse des Gateways als Nameserver genannt und haelt sich daran. Der Filter steht daneben und sieht zu.

Die Stelle, an der das entschieden wird, ist ein einziges Feld im DHCP-Server des Gateways — bei einer UniFi Dream Machine also in der Netzwerk-Konfiguration, nicht auf dem Server, auf dem Pi-hole liegt.

VLANs verstehen

Mon, 01 Jan 0001 00:00:00 +0000

VLANs verstehen#

Ein Switch leitet Frames anhand von MAC-Adressen weiter und kennt keine Netze. Alles, was an ihm haengt, liegt in derselben Broadcast-Domain: Ein ARP-Request erreicht jeden Port, jedes Geraet sieht jedes andere. Genau das soll die Segmentierung beenden — und ein VLAN ist das Mittel, mit dem ein einzelner Switch so tut, als waere er mehrere.

Das Tag#

Die Grundlage ist IEEE 802.1Q: vier zusaetzliche Bytes im Ethernet-Frame, direkt hinter der Absender-MAC. Darin stehen unter anderem zwoelf Bit VLAN-ID, also 4094 nutzbare Nummern — 0 und 4095 sind reserviert.

Netz-Layout mit VLANs

Mon, 01 Jan 0001 00:00:00 +0000

Netz-Layout mit VLANs#

Das Netz bestand aus einem einzigen Segment: 10.10.0.0/16, alles darin, vom Gateway ueber den Thin Client bis zum Fernsehgeraet. Das funktioniert, solange man nur eine Maschine hat. Es bedeutet aber, dass jedes Geraet jedes andere direkt erreicht — der Saugroboter den Arbeitsrechner, der Fernseher das Management der UDM.

Seit dem 23. August 2026 sind es sechs Segmente. Diese Notiz beschreibt das Layout und die Ueberlegungen dahinter; der Ablauf des Umbaus steht unter VLANs auf der UDM einrichten, die Begriffe unter VLANs verstehen.

VLANs auf der UDM einrichten

Mon, 01 Jan 0001 00:00:00 +0000

VLANs auf der UDM einrichten#

Der Ablauf, in dem der Umbau von einem flachen 10.10.0.0/16 auf sechs Segmente tatsaechlich funktioniert hat — inklusive der zwei Stellen, an denen der geplante Ablauf nicht funktioniert hat. Das Layout dahinter steht unter Netz-Layout mit VLANs, die Begriffe unter VLANs verstehen.

Zuerst: das alte Netz verkleinern#

Der Plan sah vor, die neuen Netze anzulegen, waehrend das bestehende unberuehrt bleibt, und das alte Netz erst zum Schluss auf /24 zu verkleinern. Das laesst sich nicht durchhalten.

Firewall zwischen Segmenten

Mon, 01 Jan 0001 00:00:00 +0000

Firewall zwischen Segmenten#

Segmente allein trennen nichts. Sobald die Netze geroutet werden — und das tun sie, sonst kaeme niemand ins Internet — entscheidet ausschliesslich das Regelwerk auf dem Gateway, wer wen erreicht. Das VLAN sorgt nur dafuer, dass der Verkehr ueberhaupt am Gateway vorbeikommt und dort bewertet werden kann.

Die Grundregel#

Verbot als Standard, Erlaubnis als Ausnahme. Jedes Segment darf ins Internet, keines untereinander — und davon abweichend nur, was einen konkreten Anlass hat.

WLAN auf VLANs verteilen

Mon, 01 Jan 0001 00:00:00 +0000

WLAN auf VLANs verteilen#

Am Kabel entscheidet der Switch-Port, in welchem Segment ein Geraet landet. Im WLAN gibt es keinen Port — dort entscheidet die SSID. Jedes Funknetz wird genau einem VLAN zugeordnet, und womit sich ein Geraet verbindet, bestimmt, wo es liegt.

Eine SSID je Segment#

SSID	Netz	Besonderheit
`xlab`	Clients (20)	WPA3/WPA2 gemischt, beide Baender
`xlab-IoT`	IoT (30)	nur 2,4 GHz, WPA2, PMF aus
`xlab-Kids`	Kids (25)	wie Clients, zusaetzlich Zeitfenster
`xlab-Guests`	Gaeste (40)	Client Device Isolation

Die Zuordnung steht in UniFi unter Settings → WiFi → SSID → Network. Das Feld heisst je nach Version Network oder VLAN; gemeint ist immer dasselbe.