Hallo WiMu,
ok, fangen wir mal so an
Aber ich wundere mich schon, über wieviel Randbedinungen und Kontexte wir uns austauschen müssen …
Ich musste mir erst einmal einen halbwegs umfassenden Überblick über Dein Netzwerk und dessen Konfiguration verschaffen. Und …
Ich bin kein Netzwerk-Experte …
diese Aussage hat sich für mich bestätigt.
Aus meiner Sicht liegt die Ursache für Dein Problem nämlich in Deiner (ich sag es vorsichtig) ungewöhnlichen Netzkonfiguration.
Punkt 1:
Du möchtest Sicherheit.
Zu Frage 1: Was hat es für einen Grund dass Du sie [Fritte im OG] als IP-Client eingerichtet hast ?
Ich wollte im hausinternen Netz keine weitere Firewall eröffnen, damit Clients an den verschiedenen Fritten sich gegenseitig sehen können.
...
Zu Frage 3: Aus welchem Grund verwendest Du unterschiedliche SSIDn?
Das WLAN der Keller-Fritte wurde und wird noch gelegentlich von Familien-externen Personen (Besucher, Pflegekräfte) genutzt. Die wollte ich gerne aus Sicherheitsgründen aus dem “Familien-WLAN” im OG raushalten.
...
Eine SSID/PW für beide Router (OG und Keller) würde ich gerne aus den genannten Sicherheitsgründen (nur Keller-WLAN für Externe) wenn es geht vermeiden. Fritz!Fon und Telefonbuch führe ich auf dem OG-Router, der ein anderes PW hat als der Keller-Router.
Aus meiner Sicht verwechselst Du hier “WLAN” mit “Netzwerk”, bzw. interpretierst dort eine in Deinem Fall nicht vorhandene Trennung hinein.
Fakt ist:
Deine beiden WLAN-Zellen hängen physisch in ein und dem selben Netzwerk (der selben BroadCast-Domain). Deine beabsichtigte Sicherheit hättest Du mit Deiner Ausrichtung nur erreichen können, wenn Du die Fritte im OG als NAT-GateWay (also als 2. Router hinter der Fritte Im Keller) betreiben würdest. Aktuell ist es aber so, dass ein Client welcher im WLAN_Keller eingebucht ist auch vollen Zugang zu den Netzwerkteilnehmern im OG hat.- also 0 (Null) Trennung.
Daraus resultiert auch, dass alle SONOS-Komponenten welche sich im OG befinden vollen Durchgriff auf Komponenten zu denen im Keller (und umgekehrt) haben. Die unterschiedlichen WLAN-IDn (also die SSID/PW) spielen hier keine Rolle, denn sie “brücken” einfach nur in ein und das selbe Netzwerk. - das ist vergleichbar wie zwei Türen zu ein und dem selben Raum, nur mit unterschiedlichen Schlüsseln.
Ich hab zwar noch keine Erklärung dafür, dass sich das 2. WLAN (besser gesagt die 2. WLAN-Zelle) bei Dir nicht zur SONOS-Konfiguration hinzufügen lässt, aber ich vermute mal, dass der Move hier erkennt dass es sich trotz anderer SSID dennoch um das selbe, bereits bekannte Netzwerk handelt, und aus dem Grund der Prozess fehlschlägt !?
Im Falle eines Hacks des Keller-Routers aus dem externen Netz sind die Daten ev. noch vor Zugriff geschützt, oder habe ich da eine zu triviale Vorstellung?
Ja, wie oben bereits angedeutet unterliegst Du IMHO hier einer gewaltigen Irrmeinung.
Vorschlag und Lösung / Optimierung:
- Konfiguriere die Fritte im OG wie bereits geschrieben und von AVM beschrieben als Mesh-Client, so dass sie alle Einstellungen von der Fritte_Keller automatisch übernimmt.
- Verwende wie im AVM-Mesh automatisch vorgesehen für beide WLAN-Zellen die selbe SSID/PW.
Bei dieser Umstellung trägst Du im Mesh-Master (also Fritte_Keller) für Dein priv. WLAN die SSID/PW ein, welches Du heute schon in der Zelle OG verwendest. Damit brauchst Du an Deinen ganzen anderen Clients dann nichts ändern.
- für Deine Gäste aktivierst Du im Mesh-Master dann das Gäste-(W)LAN.
Hiermit erhälst Du die gewünschte Sicherheit und Trennung zwischen Privat und Gast.
Hiebei handelt es sich um ein eigenständiges logisches / virtuelles Netz (ein sogenanntes VLAN), welches komplett gegen Dein priv. Netz abgeschottet ist.
Für das Gäste-WLAN trägst Du die heute bereits verwendete SSID/PW aus dem WLAN_Keller ein, womit auch die heute bereits dort angemeldeten Geräte keine Änderung vornehmen müssen.
- füge danach Deinen FR2400 wie ebenfalls von AVM beschrieben als Mesh-Client / Repeater hinzu. Da, wie Du schreibst keine “LAN-Brücke” möglich ist wird dieser sich per WLAN mit einer Deiner Fritten verbinden. - welche er dabei wählt hängt von der Güte der empfangenen WLAN-Zelle am Aufstellungsort des FR2400 ab.
- als letztes nimmst Du Deine Move dann wieder in Betrieb.
Dadurch, dass Du jetzt im gesamten Bereich Dein priv. WLAN über 3 Mesh-Zellen unter ein und der selben SSID/PW zur Verfügung stellst, brauchst Du auch SONOS kein weiteres WLAN hinzufügen und die Move sollte an jeder WLAN-versorgten Stellen einwandfrei und ohne weitere Änderungen (auch mobil) funktionieren.
… ob Du dies jetzt so umsetzt ist natürlich Deine Entscheidung. - ich würde es an Deiner Stelle aber so machen.
PS noch zu dem Punkt …
Im Falle eines Hacks des Keller-Routers aus dem externen Netz sind die Daten ev. noch vor Zugriff geschützt,
… hierüber würde ich mir weniger Sorgen machen.
Wenn Du wie von AVM vorgesehen ein ausreichend hartes PW für den Zugang zur Fritte verwendest, und wenn Du dann auch noch mit unterschiedlichen Usern und den möglichen Zugangsbeschränkungen (Benutzerverwaltung) arbeitest, und wenn Du nicht unnötiger weise Ports oder Dienste der Fritte ins Internet freigibst, dann ist die Wahrscheinlichkeit / das Risiko eines Einbruchs derart verschwindend gering, dass Du vermutlich eher einen 6er im Lotto erlangst als dass hier jemand von außen in Dein Netz eindringt. - wenn liegt das Risiko im Innern, und dafür (besser dagegen) hast Du ja jetzt das Gäste-Netz.
Außerdem, welcher Hacker hackt schon ein privates Netzwerk, wenn Firmennetze und Government viel viel interessanter und lukrativer sind ?!
… in diesem Sinne // Peter
