Smart Home zwischen VLANs – warum sichtbar noch nicht steuerbar bedeutet

Teil 6 der Homelab-Serie

Die Lampe erscheint in der App. Ihr Name stimmt, das Symbol ist da. Doch beim Einschalten passiert nichts.

Wer sein Smart Home auf mehrere Netze verteilt, kann genau an diesem Punkt landen. Denn ein Gerät zu finden und es zu steuern sind zwei verschiedene Dinge.

In meinem Homelab trenne ich private Geräte, Server und IoT. Home Assistant läuft auf einem eigenen Raspberry Pi im Server-Netz. Hue ist direkt an HomeKit angebunden und zusätzlich separat in Home Assistant integriert. Damit das über Netzgrenzen hinweg funktioniert, müssen die richtigen Verbindungen erlaubt sein.

Aber warum mache ich mir diese Arbeit überhaupt?

Warum mein Fernseher nicht alles erreichen darf

Ein Smart-TV ist heute ein Computer mit Apps, Onlinekonten und Verbindungen zu anderen Geräten. Die Diskussion um die Untersuchung von GamersNexus zu LG-Fernsehern macht deutlich, wie wenig sichtbar diese Funktionen im Alltag sind.

LG beschreibt selbst die Erkennung anderer Geräte und die automatische Erkennung angesehener Inhalte, kurz ACR. Laut Hersteller dient die Geräteerkennung der Vernetzung; ACR und personalisierte Werbung sind optionale Dienste, die eine Zustimmung erfordern. Diese Funktionen sollte man deshalb nicht pauschal gleichsetzen. LG: Stellungnahme zum Datenschutz

Für meine Netzplanung ist die entscheidende Frage einfacher: Warum sollte ein Fernseher beliebige Verbindungen zu meinem Arbeitsrechner, NAS oder den Verwaltungsoberflächen meiner Server aufbauen dürfen?

Für einen Streamingdienst braucht er diesen Zugriff nicht. Möchte ich dagegen Filme vom NAS abspielen, ist das eine konkrete Verbindung, die ich gezielt freigeben kann.

Auch Sicherheitslücken spielen eine Rolle. Bitdefender dokumentierte 2024 Schwachstellen in bestimmten LG-webOS-Versionen, die eine Übernahme betroffener Geräte ermöglichten. Die Patches erschienen laut Bericht im März 2024. Das Beispiel zeigt, weshalb ich die Reichweite eines Geräts begrenzen möchte, selbst wenn es im Alltag unauffällig funktioniert. Bitdefender: LG webOS

Ein eigenes IoT-Netz hilft dabei. Es verhindert allerdings nicht automatisch, dass Geräte Daten ins Internet senden. Datenschutzeinstellungen und Internetzugriffe muss ich zusätzlich betrachten.

Drei Netze mit klaren Regeln

Mit VLANs lässt sich ein physisches Netzwerk in getrennte logische Netze aufteilen. Die Firewall regelt anschließend, welche Verbindungen zwischen ihnen erlaubt sind. Erst diese Regeln machen aus der Aufteilung eine wirksame Zugriffsgrenze. Ubiquiti: Netzwerkisolation

Bei mir gilt:

• Privat-Netz → IoT: Private Geräte können auf die Smart-Home-Geräte zugreifen, beispielsweise über Apple Home auf Hue.
• Server-Netz → IoT: Home Assistant kann die eingebundenen Geräte steuern.
• IoT → Home Assistant: Nur ausdrücklich erlaubte Geräte wie Hue oder Shelly dürfen auf Home Assistant zugreifen. Daraus entsteht kein allgemeiner Zugang zum Server-Netz oder zu privaten Geräten.

Mein Aufbau: Zugriff aus Privat- und Server-Netz auf IoT, gezielte Geräteausnahmen in der Gegenrichtung. Eigene Darstellung.

Eine Antwort auf eine bereits erlaubte Verbindung ist dabei etwas anderes als ein neuer Verbindungsaufbau. Wenn Home Assistant ein Gerät anspricht, muss dessen Antwort zurückkommen dürfen. Das gibt dem Gerät noch keine Erlaubnis, selbst andere Server anzusprechen. Ubiquiti: Firewall und Antwortverkehr

Welche zusätzlichen Zugriffe ein Gerät wirklich benötigt, hängt von seiner Einbindung ab. Bei Hue kommen beispielsweise Statusmeldungen über eine von Home Assistant aufgebaute Verbindung zurück. Eine gesonderte Gerätefreigabe ist dafür allein noch nicht erforderlich. aiohue: Eventstream

Warum die Lampe sichtbar ist und trotzdem nicht reagiert

Viele Smart-Home-Geräte machen sich im lokalen Netz automatisch bekannt. Dafür wird häufig mDNS verwendet. Die App erfährt so, dass ein passender Dienst vorhanden ist und wo sie ihn erreichen kann.

Über VLAN-Grenzen hinweg muss diese Erkennung gezielt vermittelt werden. UniFi bietet dafür einen mDNS-Proxy, bei dem sich die beteiligten Netze und Dienste auswählen lassen. Ubiquiti: mDNS-Proxy

Damit ist aber erst die Erkennung gelöst. Für das eigentliche Schalten muss auch die Verbindung zum Gerät erlaubt sein.

„Ich sehe die Lampe“ und „Ich kann die Lampe einschalten“ sind deshalb zwei getrennte Prüfschritte.

Genau hier lohnt sich eine gezielte Fehlersuche: Wird das Gerät nicht gefunden, prüfe ich die Erkennung. Wird es gefunden, reagiert aber nicht, prüfe ich Verbindung und Kopplung. Eine pauschale Freigabe zwischen allen Netzen würde die gewünschte Trennung wieder aufheben.

Hue hat bei mir zwei direkte Wege

Meine Hue Bridge ist unabhängig mit HomeKit und Home Assistant verbunden. Apple Home greift direkt auf Hue zu. Home Assistant nutzt dafür seine eigene Hue-Integration. Die Leuchten werden also nicht erst durch Home Assistant an Apple Home weitergereicht. Hue: Apple Home · Home Assistant: Hue

Für die Fehlersuche ist das hilfreich: Funktioniert das Licht in Home Assistant, aber nicht in Apple Home, muss ich den Apple-Steuerweg separat prüfen. Eine funktionierende Verbindung beweist nicht automatisch, dass auch die andere funktioniert.

Dabei gehören die Apple-Steuerzentralen mit in den Blick. Apple TV oder HomePod übernehmen unter anderem Aufgaben für Automationen und Fernzugriff. Es reicht daher nicht, nur die Verbindung vom iPhone zu betrachten. Apple: Home-Steuerzentrale

Matter nutze ich in Home Assistant noch nicht. Das kommt später und bekommt eine eigene Betrachtung, weil sich daraus zusätzliche Anforderungen an das Netzwerk ergeben.

Fertig ist es erst, wenn Funktion und Trennung stimmen

Ein erfolgreicher Ping zeigt mir, dass ein Netzwerkpfad erreichbar ist. Ob sich die Lampe steuern lässt und ihr Zustand korrekt zurückgemeldet wird, weiß ich damit noch nicht.

Für meine Abnahme stehen deshalb vier Fragen im Mittelpunkt:

1. Lässt sich dieselbe Lampe über Apple Home und Home Assistant jeweils schalten und dimmen?
2. Kommen Zustandsänderungen an, und funktionieren Automationen auch nach einem Neustart wieder?
3. Bleibt die direkte HomeKit-Steuerung verfügbar, wenn Home Assistant ausfällt?
4. Bleiben unerlaubte Zugriffe aus dem IoT-Netz auf private Geräte und andere Server tatsächlich gesperrt?

Der bisher dokumentierte Ping ist ein erster Teilbefund. Der vollständige Anwendungstest steht noch aus.

Mein Learning: Eine funktionierende Lampe ist nur die halbe Abnahme. Die gewünschte Netztrennung muss ebenfalls funktionieren.

Im nächsten Teil geht es um die Abhängigkeiten dahinter: Welche zentrale Komponente legt im Fehlerfall wie viel von meinem Homelab lahm?

Wie trennt ihr private Geräte und Smart Home – und welche Verbindung hat euch bei der Einrichtung überrascht?