Netzwerk in Zweifamilienhaus

[huki]

Zunächst mal servus,

aktuell stecke ich mitten in der Planung meines eigenen Hauses und befasse mich mehr und mehr mit Loxone. Je tiefer man einsteigt, desto mehr Fragen tauchen auf. Hier im Forum habe ich schon sehr viele Antworten gefunden. Nachdem ich seit längerem auf diese Frage keine so richtig zufriedenstellende Antwort finde, habe ich mich nun auch mal hier angemeldet und freue mich auf regen Austausch.

Meine Frage bezieht sich auf das Netzwerk hinter dem Loxone. Neben meinem Wohnbereich soll auch noch eine Wohnung vermietet werden, dieser soll ein komplett eigenes Netzwerk (ebenfalls mit eigenem Miniserver) bekommen.

Gedanke war nun mehrere IP-Netzwerke zu erstellen:

• 10.0.1.0 - Loxone Wohnung 1
• 10.0.2.0 - Loxone Wohnung 2
• 10.0.3.0 - Loxone Außenbereich (inkl. Intercom, Kameras)
• 10.0.4.0 - LAN/WLAN Wohnung 1
• 10.0.5.0 - WLAN Gast Wohnung 1
• 10.0.6.0 - LAN/WLAN Wohnung 2
• 10.0.7.0 - WLAN Gast Wohnung 2

Mein Gedanke wäre es jetzt einen Router für alle IP-Netzwerke bereitzustellen. Über einen Layer 3 Switch würde ich dann die Netzwerke miteinander verbinden bzw. entsprechend untereinander einschränken. Den Mieter einen eigenen Router verwenden zu lassen macht mir nur arbeit, wenn ich bei jedem Mieterwechsel dann wieder die Kommunikation der Netzwerke neu konfigurieren muss.

Gerne würde ich aber einen Router vom Internetanbieter nutzen um dann auch bei Problemen deren Support in Anspruch nehmen zu können. Beispielsweise die Lancomgeräte der Telekom können ja mehrere IP-Bereiche definieren, haben eine Firewall und unterstützen VLANs. Mit einer pfSense, bräuchte ich dann wieder ein Modem, was Probleme bereiten kann oder einen Router davor, was doppeltes NAT verursacht...

Wir habt ihr das bei euch umgesetzt? Bin ja sicher nicht der erste, der ein 2-Familienwohnhaus baut.

Im Loxwiki findet man dazu folgende Empfehlung:

Ausarbeitung:

• Router mit pfSense, OPNsense, IPCop oder anderem
• SmartHome Geräte in eigenem Netzwerksegment
• Switch mit VLAN Unterstützung
• explizite Internetfreigabe für einzelne Geräte
• Externer Zugang über VPN
• Bei SmartHome Geräten im WLAN AccessPoints mit MultiSSID und VLAN Unterstützung
• Feste IP Adressen statt DHCP
• Port Security über MAC Adresse.

[hismastersvoice]

Willkommen....

Das alle Daten über dein Netzwerk laufen dürfte sich mit dem Datenschutzrecht beißen.
Wie willst du gegenüber dem Mieter sicherstellen das du als "Admin" nicht auf seine Daten zugreifen kannst bzw. es nie machen wirst.
Eine Mietswohnung soll eine getrenntes Netz haben das mit deinem nichts zu tun hat.
Wie du schon schreibst bekommt die Wohnung einen eigen MiniServer, und sollte so auch autark funktionieren.

Ich nutze ein Modem und pfSense, und kann das wirklich nur empfehlen.
Dazu kann man APs von Unify oder TP-Link nutzen um eine perfekte WLAN-Abdeckung abzubilden.

Die LoxWiki Einträge sind soweit ja schon richtig und erklären viel dazu. Nur sind diese quasi je Wohneinheit anzuwenden.

Der Mieter soll einen einen eigenen DSL Anschluss und eine eigenes Netzwerk nutzen.
Wenn ich dich richtig verstehe willst du Zugriff auf den MiniServer um ggf. Änderungen vorzunehmen, das kannst du mein MS V2 per verschlüsseltem Zugang realisieren.

Ich würde auf jeden Fall in keine Wohnung einziehen in dem der Vermieter die Hoheit über den Datenfluss hat. Der mir das Internet und das Licht abschalten und zu dem theoretisch noch Daten mitloggen könnte.

[huki]

Hi,

danke für die schnelle Rückmeldung!

Für den Mieter würde ich dann die Nutzungsbedindungen schriftlich festhalten, ich denke nicht, dass das ein großen Problem wird. Der Mieter soll ja auch ein eigenes Netz haben, aus dem er nicht raus kommt und ich nicht hinein. Klar lege ich diese Beschränkungen fest, aber wenn es ihm zu heikel ist, kann er sich ja auch gerne nochmal einen eigenen WLAN-Router zusätzlich hinstellen.

Mit gefällt die Vorstellung nicht, dass die Loxone Technik dann im Netzwerk des Mieters hängt. (ohne Firewall, am besten noch mit ein paar WLAN Geräten die gerne nach Hause telefonieren )

Wie ist denn der Zugriff per App über DynDNS oder eine feste IP? Wäre ja auch denkbar, dass der Mieter gar keinen Zugriff auf das Loxone Netz bekommt. Und über seinen eigenen Router dann per DynDNS auf das Loxone Netz zugreift.

Loxone empfiehlt dazu ja alle Smarthome Geräte in einem eigenen Netzwerksegment zu betreiben, da scheitert es ja dann bei den Fritzboxen schon.

[Christian Fenzl]

IMHO: Zwei Haushalte, zwei Miniserver, zwei Netzwerke, zwei Internet-Verbindungen.

Du weißt nicht, was der Vermieter mit „deinem“ Netzwerk anstellt, und umgekehrt ist es das gleiche. Und du musdt es nicht wissen und du sollst es auch nicht wissen!

Darüber hinaus würde ich mir den Zirkus mit unterschiedlichen Subnets für LAN und WLAN im eigenen Netz nicht anfangen. Außer du bist gerne Hobby-Netzwerkadministrator.

[hismastersvoice]

Klar lege ich diese Beschränkungen fest, aber wenn es ihm zu heikel ist, kann er sich ja auch gerne nochmal einen eigenen WLAN-Router zusätzlich hinstellen.

Was macht der eigene WLAN Router der über dein Netz läuft anders?

Mit gefällt die Vorstellung nicht, dass die Loxone Technik dann im Netzwerk des Mieters hängt. (ohne Firewall, am besten noch mit ein paar WLAN Geräten die gerne nach Hause telefonieren )

Jeder Router der von einem ISP gestellt wird hat eine Firewall zB Fritzbox.
Etwas zu viel Angst? Die Loxone MiniServer telefonieren auch nach Hause.

Wie ist denn der Zugriff per App über DynDNS oder eine feste IP?
Wäre ja auch denkbar, dass der Mieter gar keinen Zugriff auf das Loxone Netz bekommt. Und über seinen eigenen Router dann per DynDNS auf das Loxone Netz zugreift.

Das geht nur wenn du in deinem Netz entsprechende Port öffnest.
Unbedingt zu Empfehlen ist ein MS V2 oder noch besser VPN.

Loxone empfiehlt dazu ja alle Smarthome Geräte in einem eigenen Netzwerksegment zu betreiben, da scheitert es ja dann bei den Fritzboxen schon.

[/QUOTE]
Tut es nicht. Du kannst den Gastzugang der Fritzbox auf ein VLAN legen und somit 2 Netze kpl. trennen. Nicht edel aber geht.
Ja Loxone empfiehlt das da der MS v1 keine https konnte und alles lesbar im Netzt umher ging.
Ich würde es aber auch mit https und einen MS v2 trennen.

[huki]

Was macht der eigene WLAN Router der über dein Netz läuft anders?

Ähm, er erstellt ein eigenes Netzwerk, auf das ich als Vermieter dann keinen Zugriff mehr hätte...

Jeder Router der von einem ISP gestellt wird hat eine Firewall zB Fritzbox.
Etwas zu viel Angst? Die Loxone MiniServer telefonieren auch nach Hause.

Eine Fritzbox stellt keine Firewall dar... Klar, es sind ein paar grundlegende Sicherheitsfunktionen da, aber eine Firewall ist für mich z.B. pfSense, OPNSense, Sophos usw... Hier kann ich dann genau definieren wer überhaupt in welches Netz darf.

Tut es nicht.

Ja, sorry, das loxwiki tut das

Du kannst den Gastzugang der Fritzbox auf ein VLAN legen und somit 2 Netze kpl. trennen. Nicht edel aber geht.
Ja Loxone empfiehlt das da der MS v1 keine https konnte und alles lesbar im Netzt umher ging.
Ich würde es aber auch mit https und einen MS v2 trennen.

Ja, auf den Gastzugang hatte ich schon gewartet. Von Haus aus unterstützt die Fritzbox keine VLANs, daher wird das auch wieder ein gebastel, wenn dann die Intercom zusammen genutzt werden soll oder?!


Aber dann nutzt ihr alle eure Miniserver im "normalen" LAN, beim Mieter dann an der eigenen Fritzbox/Speedport? Das ist dann auch bei z.B. Mehrfamilienhäusern so üblich? Habe da einfach Bauchschmerzen, dass mein Haus dem schlecht gesicherten WLAN meines Mieters ausgesetzt ist. Daher war es mein Gedanke über die verschiedenen Netzwerke klar zu definieren wer was darf.

[hismastersvoice]

Das WLAN das der Vermieter aufspannt läuft ja auch wieder über dein VLAN, oder meinst du er soll zusätzlich noch ein eigenes DSL buchen und das dann so nutzen?

Die FritzBox hat eine FireWall, nur weil man Regeln nicht selber festlegen kann heißt es nicht das es keine ist. (LINK)
Für 99,99% der User ist es auch besser das sie damit nichts zu tun haben, da ansonsten viele Ungeschützte System umherfahren würden.
__

Ja es ist üblich das die MiniServer je Wohneinheit getrennt sind und autark laufen.
Eigenes Netz für den MiniServer v2 das dann wenigstens verschlüsselt ist wenn es nach außen geht.
Loxone hat bei einer der letzten Versionen eine VPN Verbindung der App zum v2 eingebaut und somit muss der MS nicht von außen sichtbar sein.

Selbst wenn dein Mieter ein schlecht gesichertes WLAN hätte, was kann passieren? Der MiniServer könnte dann per ddos Attake lahm gelegt werden, aber Zugriff wird eher schwer da der MiniServer bei zu vielen falschen Anmeldungen die IP eine Zeit lang sperrt. Somit sind bruteforce Angriffe nur schwer, zumindest wenn das Passwort nicht zu einfach ist.

Hier gibt es viele Themen über Sicherheit im SmartHome.
Schlussendlich ist ein SmartHome so sicher oder unsicher wie ein normales Haus mit Schlüssel und einem gekippten Fenster.
Ich bin auch immer noch der Meinung das wenn jemand rein will, kommt er rein. Aber ob sich die Mühe lohnt sich ins Netzwerk zu hacken und Daten mitzuschneiden um Zugänge zu erhalten wage ich zu bezweifeln. Einbrecher wollen das ganze schnell hinter sich bringen, je länger man braucht um so höher die Gefahr erwischt zu werden.

Also nicht zu viel Angst haben

[huki]

Okay, also gut, dann eben über die Fritte des Mieters.

Aber wie wird dann die gemeinsam genutzte Intercom und der Musicserver eingebunden? Dann muss doch wieder eine Verbindung zwischen den beiden Netzwerken hergestellt werden oder?!

[hismastersvoice]

Intercom wird nur über den aussen URL gehen wenn kein direkter Netzwerkzugang vorhanden ist.

Beim MusikServer wird es so nicht gehen.
Du kannst den MusikServer ja nur einmal in die Config einbinden und müsstest dann ein Gateway (dein MS) / Client (Mieter MS) Konzept machen.
Das aber würde wieder beuten das alles in einem Netz hängen muss, und du in der Config/App mit User-Berechtigungen arbeiten müsstest.

[Christian Fenzl]

Wenn das eine (permanent) fremd vermietete Wohnung wird, würde ich einfach ALLES trennen. Dann gibt's auch keine Musicserver-Zonen in der Mietwohnung, wo du dann einmal falsch drückst und beim Vermieter dudelt die Musik los.
Wenn du Musicserver vorbereiten möchtest, kannst du ja Lautsprecher usw. verbauen, die aber einfach nicht in Betrieb nehmen.

Auch bei Internet würde ich auf jeden Fall getrennte Leitungen verlegen, und dem Mieter eigene Verträge machen lassen. Wenn irgendwas ist, steht sonst immer DEIN Vertrag im Fokus. Wenn du die Internet-Infrastruktur im Mietvertrag hast (=gewerblich), könnte das auch sonstige rechtliche Konsequenzen haben.

Das ganze Zusammenschalten von Wohneinheiten ist sicher kein Problem, wenn dort jemand aus der Familie wohnt. Bei Dritten würde ich da aber wirklich schauen, dass es nicht all zu viele Überschneidungen gibt.

lg, Christian

[ilikevista]

Eine Überlegung wäre ja evtl. die beiden Miniserver (v2) mittels Tree kommunizieren zu lassen. Dies wäre zumindest eine Lösung, wenn es nur um ein paar Werte wie Wetter oder Strom/Wasserzähler sind.

Somit müsste man nicht die Netzwerke verbinden. Inwieweit der Mieter Änderungen am Miniserver Programm vornehmen soll/darf würde ich mir genau Überlegen, nicht dass hier Schäden entstehen.

[huki]

Ja, die Miniserver sollten per Tree verbunden werden. Hatte da auch schon ein bisschen getüftelt.

Der Mieter bekommt auf keinen Fall Zugriff auf den Miniserver und die Config...

[Christian Fenzl]

Ja, die Miniserver sollten per Tree verbunden werden.

Sorry, ich nochmal - bestimmt das letzte Mal 😉
Ich halte das einfach für keine gute Idee!
Du programmierst einen DEINER Schalter um, und dein Mieter kann eine Minute lang sein Licht nicht mehr bedienen. Ich würde als Mieter protestieren!
Kündigst du dann Wartungsfenster an?

Es ist einfach eine blöde Idee, das zusammenzuschalten. Das kannst du immer noch tun, wenn du die Wohnung mal selbst nutzt.

EDIT: KORREKTUR - hab gerade nochmals nachgelesen - bei der Tree-Kommunikation gibt’s keinen Gateway-Konzentrator-Betrieb. Die MS laufen unabhängig, also kein Problem mit Umprogrammieren auf deinem MS.

lg, Christian

[Gerd Clever]

huki Ich kenne die Situation Vermietung + Loxone aus eigener Erfahrung und würde dir raten, sehr genau abzuwägen, ob du die vermietete Wohnung überhaupt mit Loxone ausstattest. Du bist dann für jeden Störfall der Ansprechpartner, Problemlöser und Zahlmeister. Die denkbaren Störfälle findest du alle hier im Forum.

Wenn du Loxone in der vermieteten Wohnung wirklich einrichten willst, würde ich dir ein "3-Stufenmodell" raten:

1. Stufe: Keine App-Anbindung, Bedienung nur über Taster, ... Das wäre dann der als Vermieter geschuldete Zustand. Das fühlt sich dann eher wie eine unsmarte, klassische Elektroinstallation an. Hier müsstest du natürlich darauf achten, dass nichts eine Routeranbindung zwingend erfordert (z. B. könnte das bei einer Videosprechanlage der Fall sein).
2. Stufe: Zusätzlicher interner Zugriff über App im WLAN des Mieters. Das ist noch relativ leicht hinzubekommen. Würde ich aber vom Mieter abhängig machen.
3. Stufe: Zusätzlicher externer Zugriff. Das ist nochmal aufwändiger, als der interne Zugriff, auch was die Störanfälligkeit angeht.

Damit hast du dann wenigstens immer die Möglichkeit eines "Lockdowns" auf Stufe 1 und bei einem Mieterwechsel beginnst du einfach mit Stufe 1 und entscheidest dann Zug um Zug je nach Mieter.

LG, Gerd

[THX]

Hört sich vernünftig an. Eine "teure" Ausstattung (generell) ist für den Vermieter meistens nachteilig ;-)
Die Mieter passen meistens nichts so auf wie man es selbst tun würde...
Oder im Mietvertrag eine "Loxone Pauschale" mit ausweisen ;-)

[Dostal]

Sicher und zuverlässig; für Intercom kein Internet erforderlich;