Klingt mit der Anzahl der VLANs etwas nach Overkill. GästeWLAN seperiert ist ja durchaus OK, das "normale" WLAN soll ja aber eher wie LAN behandelt werde (vermute ich), insofern würde ich das ggf. ins LAN bridgen oder zumindest gleich behandeln. VLAN 1 würde ich nicht vergeben, das default-VLAN macht manchmal wenn es in Nutzung ist Probleme bzw. ist Fallback. Zudem sollte das Modem nicht in ein VLAN, da das Modem überhaupt nichts von dem IP Layer weiß. Modem einfach direkt an die pfSense anschließen und gut. Nix VLAN.
Warum dann noch irgendwelche Streaming Clients extra nehmen? Hört sich eher an, als wären die wie der SmartTV zu behandeln. Nicht nur VLANs nutzen, weil man es kann, nur nutzen, wenn es Sinn macht.
ja das klingt so, als könnte er VLAN Tagging auf den SSIDs. Dann wäre es denkbar, wenn der AP am Switch mit den PCs etc. hängt, das interne WLAN auf das gleiche VLAN wie die PCs zu taggen, damit bspw. ein Laptop mit den PCs kommunizieren kann, Gäste aber in ein extra VLAN zu legen.
Sicherheitslücken… vielleicht. Deshalb mag ich persönlich keine SmartTVs, sondern mach das lieber über eine extra kleine Box. Wenn du Interesse hast, gern per PN, da das ein ganz anderes Thema ist, aber da gibts auch Lösungen wie der Raspberry, der sich dann bspw. via HDMI-CEC direkt wie ein SmartTV mit der Fernbedienung des Fernsehers steuern lässt.
Eine Isolation ist aber m.E. eher weniger notwendig. Wichtig ist nur, dass niemand von außen auf das Gerät kommt. Dann hält sich auch der Gefahrenaspekt mit Schadsoftware in Grenzen. Denn wenn ein SmartTV "gehackt" wird ist das den anderen Geräten eher egal. Schlimmer ist da eher, wenn das Ding bspw. noch ne Kamera für Skype hat, dass dich jemand bespitzeln kann.
Nein. Es ist alles verboten was nicht explizit erlaubt wird. Lediglich auf dem LAN ist immer eine Default Regel "abgehend ins Internet alles erlauben aus dem LAN", aber ansonsten ist jedes Interface per default erstmal dicht und muss Stück für Stück aufgemacht werden. Default ist auch eine NAT von LAN auf WAN. Wenn man bspw. aus GästeVLAN ins Internet will, muss dafür dann auch ein NAT Eintrag rein dito NAS, TV, etc. Und natürlich entsprechende Regeln.
PfBlocker ja. Snort halte ich eigentlich für zu Hause für ein wenig Overkill, aber jedem das Seine :)
Grüße
