# Network Map

## Physical Topology

```
                        ┌─────────────┐
                        │  INTERNET   │
                        └──────┬──────┘
                               │
                        ┌──────┴──────┐
                        │    MODEM    │
                        │ (bridge mode)│
                        └──────┬──────┘
                               │ WAN
                               │
                ┌──────────────┴──────────────┐
                │     CISCO ASA 5506/5508-X   │
                │                              │
                │  WAN ─── NAT ─── FirePOWER  │
                │           │                  │
                │     ┌─────┴─────┐            │
                │     │  ROUTING  │            │
                │     │  + DHCP   │            │
                │     └─┬───┬───┬─┘            │
                │       │   │   │              │
                │      V1  V20  V30            │
                └───────┬───┴───┴──────────────┘
                        │
                        │ trunk (all VLANs tagged)
                        │
          ┌─────────────┴─────────────────┐
          │     CISCO SG350 / 2960X       │
          │        MANAGED SWITCH         │
          │                               │
          │  P1  P2  P3  P4  P5  P6  P7  P8
          │  │   │   │   │   │   │   │   │
          │  V1  V1  V1  TR  V20 V20 V30 MIR
          └──┬───┬───┬───┬───┬───┬───┬───┬─┘
             │   │   │   │   │   │       │
             │   │   │   │   │   │       └──> IDS tap (optional)
             │   │   │   │   │   │
             │   │   │   │   │   └──> family wired (if any)
             │   │   │   │   │
             │   │   │   │   └──> family wired (if any)
             │   │   │   │
             │   │   │   │ trunk
             │   │   │   │
             │   │   │   ▼
             │   │   │  ┌────────────────────┐
             │   │   │  │  CISCO AIRONET     │
             │   │   │  │  2802i / 3802i     │
             │   │   │  │                    │
             │   │   │  │  SSID: YOTAM ──── VLAN 1
             │   │   │  │  SSID: YOTAM-fam  VLAN 20
             │   │   │  │  SSID: YOTAM-iot  VLAN 30
             │   │   │  └────────────────────┘
             │   │   │         )))
             │   │   │        /   \
             │   │   │       /     \
             │   │   │   phones  tablets  smart TV
             │   │   │   (V20)   (V20)    (V30)
             │   │   │
             │   │   └──> STARGATE (10.0.0.142) [VLAN 1]
             │   │            - AdGuard Home (DNS)
             │   │            - Zeek / ntopng (if tapped)
             │   │            - All hosted services
             │   │
             │   └──> moirai (desktop) [VLAN 1]
             │
             └──> krislaptop (via Tailscale, or wired when home) [VLAN 1]
```

## Logical Topology (VLANs)

```
┌─────────────────────────────────────────────────────┐
│                    FIREWALL                          │
│                                                     │
│   ┌──────────┐   ┌──────────┐   ┌──────────┐       │
│   │  VLAN 1  │   │ VLAN 20  │   │ VLAN 30  │       │
│   │ TRUSTED  │   │  FAMILY  │   │   IOT    │       │
│   │          │   │          │   │          │       │
│   │ 10.0.1.x │   │ 10.0.20.x│   │ 10.0.30.x│       │
│   └────┬─────┘   └────┬─────┘   └────┬─────┘       │
│        │              │              │              │
│        │    ┌─────────┤              │              │
│        │    │         │              │              │
│        ▼    ▼         ▼              ▼              │
│      ALLOW ALL    INTERNET       HTTPS ONLY        │
│                    ONLY          NO LAN             │
│                    NO LAN        NO DNS BYPASS      │
│                                                     │
└─────────────────────────────────────────────────────┘
```

## Traffic Flow

```
OUTBOUND (family device -> internet)
============================================================

 phone        AP          switch      firewall       modem
   │           │            │            │              │
   │──wifi──>  │            │            │              │
   │  (tagged  │──trunk──>  │            │              │
   │   V20)    │            │──trunk──>  │              │
   │           │            │            │──NAT+IPS──>  │
   │           │            │            │              │──> internet
   │           │            │            │  <──────────  │
   │           │            │  <──────── │              │
   │           │  <──────── │            │              │
   │  <─────── │            │            │              │

BLOCKED (family device -> STARGATE)
============================================================

 phone        AP          switch      firewall
   │           │            │            │
   │──wifi──>  │            │            │
   │  (tagged  │──trunk──>  │            │
   │   V20)    │            │──trunk──>  │
   │           │            │            │── DENY ──X
   │           │            │            │  (V20->V1)
   │           │            │            │
   │  <─ICMP── │  <──────── │  <──────── │
   │  unreachable           │            │

DNS QUERY (any device)
============================================================

 device      firewall     STARGATE (AdGuard)
   │            │              │
   │──DNS──>    │              │
   │            │──forward──>  │
   │            │              │── blocked? return 0.0.0.0
   │            │              │── allowed? resolve + return IP
   │            │  <────────── │
   │  <──────── │              │
```

## Port Assignments (planned)

```
SWITCH PORT MAP
================================================================
Port  │ Mode    │ VLAN    │ Device              │ Notes
------│---------│---------│---------------------│----------------
  1   │ access  │ 1       │ STARGATE            │ server
  2   │ access  │ 1       │ moirai              │ desktop
  3   │ access  │ 1       │ (spare trusted)     │
  4   │ trunk   │ all     │ Aironet AP          │ PoE if available
  5   │ access  │ 20      │ (family wired)      │
  6   │ access  │ 20      │ (family wired)      │
  7   │ access  │ 30      │ (IoT wired)         │
  8   │ mirror  │ --      │ IDS sensor          │ optional
================================================================
```