Rete VLAN per IoT

[nwbbo]

Buongiorno a tutti,
premetto che sono "appassionato" ma veramente poco competente.

Ho un ufficio con una decina di postazioni, che si connettono con cavo di rete o wifi alla rete principale o alla rete guest dell'ISP (a seconda che si tratti di collaboratori fissi o occasionali).

La rete al momento è impostata come segue:
FTTH Vodafone (Modem Wifi6 192.168.X.1) a cui è collegato uno smart switch (Netgear GS324T). Nelle porte dello switch confluiscono i cavi di rete delle postazione e di un NAS Synology.

Ora vorrei però creare una VLAN specifica per una rete wireless IoT a cui attaccare smart tv e stampante, per motivi di sicurezza. Il mio obiettivo è dare la possibilità agli ospiti di connettersi a una wireless che gli dia accesso alla rete IoT ma non a quella principale.
Allo stesso tempo, vorrei che chi è connesso sulla rete principale con accesso al NAS, possa "vedere" la rete IoT usando per esempio la smart tv con airplay. Questo perchè, spesso, ci capita di dover condividere presentazioni che si torvano sul NAS tramite airplay.

Dal pannello di configurazione dello switch ho quindi creato una VLAN assegnandole alcune porte (tutte UNTAGGED). Pensavo di usare un vecchio router della windtre resettato ai valori di fabbrica a con IP 192.168.Y.1) buttandolo su una delle porte della VLAN secondaria e collegando i dispositivi IoT in wireless a quell'SSiD.

Solo che non riesco a farlo funzionare come vorrei. Sicuramente mi perdo dei pezzi.

È possibile o mi sto sognando una cosa che non si può fare?

Più nello specifico, per avere internet sul secondo router devo collegarlo sulla porta LAN o WAN? le porte della VLAN sullo switch possono essere tutte untagged o devo impostare una porta TRUNK?
E cosa devo impostare per impedire alla rete IoT di accedere alla rete principale?

Qualche anima pia che possa aiutare un povero niubbo? 🙂

Grazie anticipatamente.

PS. allego uno schema di come vorrei impostare la cosa, sperando possa aiutare nella comprensione pittosto che confondervi le idee.

[Kaya]

Quello che vuoi fare non puoi farlo con il tuo attuale switch (principalmente perchè è un layer 2 ma hai anche bisogno di funzioni di firewall).

Per fare ciò che vuoi devi metterci un apparato in più tra il router e lo switch che faccia da firewall (tipo pfsense) sul quale confluiscono le due VLAN, e tramite il firewall gestisci le regole di tuo interesse.

Sempre che abbia capito bene la tua necessità

[nwbbo]

Originariamente inviato da Kaya

Quello che vuoi fare non puoi farlo con il tuo attuale switch (principalmente perchè è un layer 2 ma hai anche bisogno di funzioni di firewall).

Per fare ciò che vuoi devi metterci un apparato in più tra il router e lo switch che faccia da firewall (tipo pfsense) sul quale confluiscono le due VLAN, e tramite il firewall gestisci le regole di tuo interesse.

Sempre che abbia capito bene la tua necessità

grazie. intendi tra switch e router che vorrei mettere in cascata?
da un'altra parte suggerivano di gestirle con il pannello ACL dello switch.

Ma penso di avere un problema ancora più a monte... non risco proprio a far arrivare internet sul router secondario ma non ho idea di cosa sto sbagliando.

[Kaya]

Originariamente inviato da nwbbo

grazie. intendi tra switch e router che vorrei mettere in cascata?
da un'altra parte suggerivano di gestirle con il pannello ACL dello switch.

In realtà non è un solo discorso di ACL, ma anche del fatto che non è uno switch layer 3 e quindi non può fare routing tra reti diverse! Per quello ti suggerivo un firewall

Originariamente inviato da nwbbo

Ma penso di avere un problema ancora più a monte... non risco proprio a far arrivare internet sul router secondario ma non ho idea di cosa sto sbagliando.

Escludendo il discorso VLAN (diciamo che non hai ancora configurato nulla in merito), il router "in cascata" lo colleghi dalla sua porta WAN alla porta LAN dello switch. Dai alla WAN un ip coerente con la rete LAN dello switch e via.

Probabilmente tu stai impostando un ip della nuova VLAN, che non potrà mai andare da nessuna parte, perchè il tuo switch NON FA routing.