Mein Heimnetz ist über die Jahre Stück für Stück gewachsen. Jetzt ist es Zeit für einen sauberen Neuaufbau: OPNsense, Starlink als automatische Backup-Leitung, Managed Switches und eine nachvollziehbare VLAN-Struktur.
Neue Geräte kamen hinzu, das Homelab wurde größer und aus einer zunächst einfachen Internetverbindung entwickelte sich eine kleine Infrastruktur mit Firewall, Servern, NAS-Systemen, Switches und mehreren Access Points. Grundsätzlich funktioniert das Netzwerk. Trotzdem ist jetzt der richtige Zeitpunkt gekommen, die vorhandene Struktur neu zu ordnen und sauber zu dokumentieren.
Mein nächstes Homelab-Projekt umfasst deshalb drei größere Aufgaben: Ich werde meine OPNsense neu aufsetzen, die vorhandene Netzwerkverkabelung mithilfe von VLANs neu strukturieren und Starlink als automatische Backup-Leitung einbinden. Dieser Beitrag ist der Auftakt. Die Planung, Einrichtung und Tests möchte ich anschließend in weiteren Artikeln dokumentieren.
Das Herzstück: meine OPNsense
Als zentrale Firewall und Router nutze ich OPNsense. Sie läuft auf einem lüfterlosen Mini-PC mit Intel-N150-Prozessor, 16 GB Arbeitsspeicher und einer 256-GB-SSD. Die Hardware arbeitet geräuschlos, benötigt vergleichsweise wenig Energie und bietet ausreichend Leistungsreserven für meine Anforderungen.
OPNsense übernimmt das Routing, die Firewall-Regeln und die Trennung der verschiedenen Netzbereiche. Künftig soll sie außerdem zwei Internetverbindungen überwachen und bei einem Ausfall automatisch zwischen ihnen wechseln.
Im Rahmen des Projekts möchte ich die OPNsense bewusst neu aufsetzen. Dabei soll nicht einfach die bisherige Konfiguration vollständig übernommen werden. Stattdessen möchte ich jede Einstellung prüfen und nur das einrichten, was in der neuen Struktur tatsächlich benötigt wird. Vorher sichere ich selbstverständlich die bestehende Konfiguration, damit jederzeit ein Rückweg erhalten bleibt.
SYNVIA bleibt die primäre Internetleitung
Meine primäre Internetverbindung kommt von SYNVIA und bietet 500 MBit/s im Download sowie 250 MBit/s im Upload. Die Bandbreite ist für unseren Alltag und mein Homelab vollkommen ausreichend.
Allerdings hängt inzwischen ein großer Teil unseres digitalen Alltags von einer funktionierenden Internetverbindung ab. Das betrifft nicht nur Streaming, Kommunikation oder Smart-Home-Dienste, sondern auch meine Arbeit im Homeoffice und verschiedene selbst betriebene Systeme. Eine schnelle Leitung allein genügt deshalb nicht. Bei einer Störung soll künftig eine zweite Verbindung zur Verfügung stehen.
Starlink als automatische Backup-Leitung
Als Backup werde ich Starlink einsetzen. Die Antenne soll im Wintergarten installiert werden, der direkt an das Arbeitszimmer grenzt. Von dort lässt sich Starlink ohne Umweg mit einem eigenen Netzwerkanschluss der OPNsense verbinden.
Im Normalbetrieb läuft der Internetverkehr weiterhin über SYNVIA. Erkennt OPNsense jedoch, dass die primäre Verbindung nicht mehr zuverlässig verfügbar ist, soll sie automatisch auf Starlink umschalten. Sobald die Hauptleitung wieder stabil funktioniert, soll der Verkehr kontrolliert zu SYNVIA zurückkehren.
Ein wichtiger Punkt wird dabei die Überwachung der Gateways sein. Es reicht nicht aus, nur die Erreichbarkeit des vorgeschalteten Routers zu prüfen. OPNsense muss erkennen können, ob über die jeweilige Verbindung tatsächlich ein zuverlässiger Zugang zum Internet besteht.
Die vorhandene Verkabelung nutzen
Eine besondere Herausforderung ist die räumliche Verteilung der Technik. Das Glasfasermodem, die FRITZ!Box, ein Managed Switch und das Patchpanel befinden sich im zentralen Verteilerbereich der Wohnung. Von dort führen fest verlegte Netzwerkleitungen in die verschiedenen Räume.
Die OPNsense steht dagegen im Arbeitszimmer. Dort befindet sich auch der 8-Port-Switch für mein Homelab. Damit muss die primäre Internetverbindung zunächst vom zentralen Verteiler zur OPNsense transportiert werden. Anschließend muss das von OPNsense kontrollierte interne Netzwerk über dieselbe vorhandene Verbindung zurück zum Patchpanel und in die übrigen Räume gelangen.
WAN und LAN über einen gemeinsamen Trunk
Die SYNVIA-Verbindung soll in einem eigenen WAN-VLAN über den Managed Switch im Verteilerbereich zum 8-Port-Switch im Arbeitszimmer transportiert werden. Von dort gelangt sie zur WAN-Schnittstelle der OPNsense.
In der Gegenrichtung führt derselbe 802.1Q-Trunk die internen Netzbereiche von der OPNsense zurück zum zentralen Switch. Das Patchpanel verteilt die Verbindungen anschließend über die vorhandenen Leitungen in die einzelnen Räume. Damit können WAN und LAN logisch voneinander getrennt über eine gemeinsame physische Leitung übertragen werden. Zusätzliche Kabel durch die Wohnung sind nicht erforderlich.
Starlink ist von diesem Transportweg unabhängig. Die Backup-Leitung wird vom Wintergarten direkt an einen eigenen Port der OPNsense angeschlossen.
Der 8-Port-Switch im Arbeitszimmer
Der zentrale Switch für mein Homelab befindet sich ebenfalls im Arbeitszimmer. An ihm hängen derzeit die OPNsense, der Proxmox-Server, zwei NAS-Systeme, der Drucker und einer der beiden UniFi Access Points. Der Switch stellt außerdem die Verbindung zum zentralen Verteiler her und transportiert die benötigten VLANs.
WLAN mit zwei UniFi Access Points
Bewusst mit einer einfachen Segmentierung beginnen
Für den ersten Ausbauschritt sind zwei getrennte Bereiche geplant: ein privates Heimnetz für unsere eigenen und vertrauenswürdigen Geräte sowie ein freies WLAN für Gäste und Geräte, die keinen Zugriff auf das private Netzwerk benötigen.
- Privates Heimnetz: vertrauenswürdige Geräte und interne Dienste
- Freies WLAN: ausschließlich Internetzugang, ohne Zugriff auf das private Netzwerk
Technisch ließen sich direkt weitere VLANs für das Homelab, Smart-Home-Geräte, Kameras oder die Verwaltung der Netzwerkkomponenten einrichten. Ich möchte jedoch zunächst bewusst mit einer überschaubaren Struktur beginnen. Mir ist eine nachvollziehbare und konsequent umgesetzte Trennung wichtiger als eine möglichst große Anzahl verschiedener VLANs.
Der geplante Aufbau
Die folgende Grafik zeigt die geplante Netzwerkstruktur und die räumliche Verteilung der wichtigsten Komponenten. Sie ist bewusst schematisch und nicht maßstabsgetreu.
Was ich mit dem Umbau erreichen möchte
- Ausfallsicherheit: Bei einer Störung der SYNVIA-Verbindung übernimmt Starlink automatisch.
- Übersichtlichkeit: Switches, Patchpanel, VLANs und Firewall-Regeln folgen einer verständlichen Struktur.
- Sichere Trennung: Das freie WLAN bleibt konsequent vom privaten Heimnetz getrennt.
- Erweiterbarkeit: Weitere Netzbereiche können später ergänzt werden.
Entscheidend ist für mich nicht nur die technische Umsetzung. Das Netzwerk muss sich auch im Alltag bewähren. Schließlich handelt es sich nicht um ein reines Testlabor, sondern um die Infrastruktur, die meine Familie täglich nutzt.
Wie es weitergeht
Diese Projektankündigung bildet den Auftakt zu einer kleinen Artikelserie. Während des Umbaus möchte ich unter anderem die Sicherung und Neuinstallation von OPNsense, die Planung der VLANs, die Portbelegung der Switches, den gemeinsamen WAN-/LAN-Trunk, das Multi-WAN-Failover, die UniFi-Konfiguration und die benötigten Firewall-Regeln dokumentieren.
Ich bin gespannt, wie sich der geplante Aufbau in der Praxis bewährt und wie zuverlässig das automatische Failover funktioniert. Aus einem über Jahre gewachsenen Heimnetz soll so wieder eine verständliche, ausfallsichere und zukunftsfähige Infrastruktur werden.