VLAN Planung für WLAN Anbietung 2er Netze

[Etherox]

Hallo zusammen,

in unserer IT-Infrastruktur bin ich gerade dabei das WLAN auszubauen. Unsere GS besteht aus 2 Stockwerken und einem Serverkeller. In jedem Stockwerk soll ein Access Point aufgebaut werden, welcher mit zwei SSIDs konfiguriert werden soll. Die jeweiligen SSIDs sollen jeweils ein Netz beherbergen, also:

Access Point Stockwerk 1:

SSID 1 = Netz 1

SSID 2 = Netz 2

Access Point Stockwerk 2:

SSID 1 = Netz 1

SSID 2 = Netz 2

Das Vorgehen habe ich folgendermaßen geplant. Ein Switch im Serverkeller soll per VLAN Konfiguration die 2 Netze auf einem Port zusammenführen (Sprichwort: Tagged Port). Dieser Tagged Port wird dann über die Verteiler in das Stockwerk x geschleust. Von dort aus wird der Tagged Port an einen weiteren Switch angeschlossen. An diesen Switch wird dann auch der Access Point angeschlossen.

Jetzt beiße ich jedoch auf Granit. Unzwar wird der Tagged Port vom Serverkeller an den Switch im Stockwerk x angeschlossen. Wie bekomme ich diese Zusammenführung der beiden Netzwerken auf dem Swicht im Stockwerk x auf einen anderen Port um dann den Access Point mit beiden Netzwerke zu versorgen?

Ich habe in meinem Büro bereits eine Testumgebung aufgebaut:

1 AP

2 Switch

1 Laptop zur Konfiguration und zum Testen

2 Netze

Test 1 - Switch 1 Konfiguration. Beide Netze auf einen tagged Port zusammenzuführen und mit dem Access Point die SSIDs so konfigurieren, damit jeweils ein Netz angeboten werden kann. Der Test beinhaltet jetzt nicht den Switch im Stockwerk x.

Realisierung, Switch 1:

VLAN 1: Netz 1(untagged Port) + tagged Port

VLAN 2: Netz 2(untagged Port) + tagged Port

An den tagged Port wird der AP angeschlossen. Auf dem AP kann nun die jeweilige SSID mit der jeweiligen VID konfiguriert werden. Somit bietet SSID 1 das Netz 1 an und die SSID 2 das Netz 2.

Test erfolgreich!

Test 2 - Einen zusätzlichen Switch dazwischen setzen und so konfigurieren, damit der tagged Port einen weiteren Port für den AP mit beiden Netzen versorgt.

Mögliche Realisierung:

VLAN 1: untagged Port + tagged Pord

An den untagged Port wird der AP angeschlossen und die Konfiguration ist die gleiche wie in Test 2. Dies soll dann die Endlösung sein. Aber hier(!) hapert es. Ich komme zwar in das Netz1, jedoch nicht in das Netz 2.

Test fehlgeschlagen!

Also im Grunde geht es darum, einen tagged Port (Zusammschluss 2er Netze) über einen weiteren Switch in das Stockwerk zu bringen. Auf diesem weiteren Switch muss ich jetzt quasi diesen tagged Port auf einen anderen Port bringen, damit der AP darüber beide Netze anbieten kann. In den Tests konnte ich feststellen, dass auf dem ersten Switch die VLAN Realisierung mit dem tagged Port funktioniert, da von da aus der AP erfolgreich die Netze über die SSIDs anbieten kann. Aber beim zweiten Switch hakt es.

Für Tipps und Anregungen wäre ich sehr Dankbar!

Mit freundlichen Grüßen

Edith: Die Switches sind vom Produkt D-Link DGS-1224T D

Bearbeitet 7. Dezember 2012 von Etherox

[FiSi91]

Hi,

vom Prinzip ist es richtig, du benötigst den Status "tagged" auf dem Port (mit den beiden eingerichteten VLANs (1+2)), welcher vom Switch1 auf Switch2 verbunden wird.

Auf Switch2 muss dieser "ankommende" Port (Verbindung zu den VLANs auf Switch1) auch entsprechend "tagged" sein.

Der zweite Port, an dem der Access-Point angeschlossen werden soll, sollte auf "untagged" stehen, jedoch ein 'Membership' mit VLAN1+2 besitzen, damit die beiden Netze bzw. VLANs entsprechend über den AP erreichbar sind.

Ggf. musst du auch noch 'ip routing' aktivieren, bzw. 'static routes' einrichten. Hierzu müsstest du einmal die genauen vorgesehenen "IP-Bereiche" etc. (am besten eine "kleinen Netzwerkplan" des Szenarios) posten, ließe sich dann einfacher nachvollziehen!

Viele Grüße

Bearbeitet 7. Dezember 2012 von FiSi91

[lupo49]

Bei uns ist das so realisiert: Es existieren Core-Switche, die die Etagen-Switche aufnehmen. An den Etagen-Switchen hängen auf unterschiedlichen Ports die Access Points, die zwei SSIDs (die in separaten VLANs sind) anbieten.

Die Access Points hängen auf einem Etagen-Switch-Port auf dem die beiden VLANs tagged draufgebunden sind (der AP muss demnach damit umgehen können). Der Uplink-Ports vom Etagen-Switch auf die Core-Switche sind ebenfalls tagged mit den beiden VLANs konfiguriert. Auf den Core-Switchen sind ebenfalls die Ports tagged konfiguriert, auf denen in diesem Fall die WLAN-VLANs angebunden sind.

Bei dir liest sich das so, als wenn du zwar zwei SSIDs bereitstellen möchtest, aber die beiden zugehörigen Netze dann wieder untereinander erreichbar machen möchtest, oder?

Bearbeitet 8. Dezember 2012 von lupo49

[Etherox]

Wow! Danke für die schnellen Antworten. Hatte ich nicht so schnell mit gerechnet, daher meine späte Antwort.

@lupo49

Die beiden SSIDs sollen 2 verschiedene Netze behebergen. Sinn dahinter ist, dass einmal das Firmennetz für unsere Mitarbeiter (inkl. Intranet, usw.) verfübar sein soll und einmal ein Netz für Gäste. Für diese soll dann die andere SSID mit dem anderen Netz verfügbar stehen. ( inkl. Internet, aber kein Intranet,..).

@FiSi91

Die Ports habe ich auch genauso konfiguriert. Also auf dem Etagen Switch wurde entsprechend ein tagged Port für die ankommenden VLANs eingerichtet und ein untagged für den AP.

Jedoch funktioniert das nicht ganz. Die SSID mit dem Firmennetzwerk ist voll funktionsfähig. Die SSID mit dem "Gäste" Netzwerk ist jedoch nicht funktionsfähig. Man kann sagen "da kommt nichts durch".

Eine "Membership" Funktion bietet der bei uns im Einsatz befindlichen "D-Link DGS-1224T D" scheinbar nicht. Also ich kann da keine finden. D-Link bietet das folgende Manual an:

ftp://ftp.dlink.de/dgs/dgs-1224t/documentation/DGS-12xxT_man_ver_3-20_ALL_en_100706.pdf

Die IP-Bereiche darf ich aus Sicherheitsgründen leider nicht posten. Aber ist jetzt auch nichts exotisches. Ich glaube die Switches haben nicht einmal das drauf. Das Problem ist, dass wir aus wirtschaftliche Gründen einen Austausch der Switches wohl nicht vornehmen werden. Ich muss also wohl mit diesen Switches auskommen. Daher teste ich auch gerade, ob das alles überhaupt so umsetzbar ist.

Aber vielleicht hat der Switch ja Funktionalitäten, die mein Vorhaben unterstüzten. Ein "Membership" zu bauen und/oder "IP-Routing" scheinen auf dem Switch ja nicht unterstützt zu werden. "Port Mirroring" wird mich vermutlich auch nicht weiterbringen, oder?

[Crash2001]

Also wenn ich dich richtig verstehe, sollen es zwei komplett separate Netze sein, die keine Verbindung miteinander haben sollen - soweit korrekt?

Falls ja, dann benötigst du ja auch gar kein Routing zwischen den beiden Netzen.

IPs werden wohl eh aus dem privaten Bereich sein und somit nicht im Internet geroutet werden. Von daher verstehe ich nicht so ganz, wieso du die "aus Sicherheitsgründen" nicht posten sollen dürftest hier. Falls es keine IPs aus dem privaten Bereich sein sollten, kannst du sie ja einfach hier durch IPs aus dem Netz 192.168.0.0/16 ersetzen. Dann kann man auf jeden Fall einiges besser miteinander kommunizieren.

Beim Switch muss einfach 802.1q aktiviert werden, so dass ein Trunk zum Accesspoint konfiguriert wird. (Seite 29 & 31 in der Anleitung) Die Access-Points müssen 802.1Q natürlich auch unterstützen. Anders wirst du es nicht sinnvoll (und sicher) hinbekommen. Leider habe ich bisher noch nirgends das Access-Point-Modell gesehen. Auf der AP-seite muss es aber genauso ein Trunk sein mit 802.1Q (vlans).

Mir scheint, du verstehst das Prinzip von vlans nicht so ganz bisher (zumindest lese ich das so aus deinen Beiträgen heraus).

Ein tagged Port ist ja ein Port, auf dem ein Port mit 802.1Q-Tag versehen wird. Das Native vlan ist bei 802.1Q nicht getaggt. Nur wenn du einen Accessport versuchst zu konfigurieren, wird immer nur ein vlan (+ voice vlan evtl) möglich sein. Die Spielereien mit Membership sind hier überflüssig.

Konfiguriere den Port einfach als Trunk (Port auf dem alle konfigurierten vlans verfügbar sind und die vlans anhand ihrer Tags auseinander gehalten werden. Vlan 1 ist auch hier untagged, da es standardmässig das native vlan ist. Die vlans können untereinander nicht kommunizieren, außer wenn ein Router dahinter sitzt, der inter-vlan-routing macht.)

Sollte der Access-Point kein 802.1Q unterstützen, dann müssen sie wohl getauscht werden

vlan

[eneR]

Crash war schneller :|

Die IP-Bereiche darf ich aus Sicherheitsgründen leider nicht posten. Aber ist jetzt auch nichts exotisches. Ich glaube die Switches haben nicht einmal das drauf. Das Problem ist, dass wir aus wirtschaftliche Gründen einen Austausch der Switches wohl nicht vornehmen werden. Ich muss also wohl mit diesen Switches auskommen. Daher teste ich auch gerade, ob das alles überhaupt so umsetzbar ist.

Aber vielleicht hat der Switch ja Funktionalitäten, die mein Vorhaben unterstüzten. Ein "Membership" zu bauen und/oder "IP-Routing" scheinen auf dem Switch ja nicht unterstützt zu werden. "Port Mirroring" wird mich vermutlich auch nicht weiterbringen, oder?

Moin,

also erstmal Grundsätzlich, ein Port kann immer nur Mitglied eines VLANS sein. Jedes VLAN ist quasi ein eigenes Netzt mit eigenem IP Bereich etc. Die Verbindungen zwischen einem Switch sind Trunks oder Etherchannel oder Tagged (kommt hier auf den Hersteller an). Über diese Verbindung können Datenverbindungen mehrerer VLANS laufen.

Port Mirroring hat ungefähr 0 mit dem zu tun was du brauchst. Das kann man für Troubleshooting etc einsetzen. Hier wird nur der Traffic von Port X kopiert und auf dem Mirrorport 1:1 rausgegeben.

Und IP-Routing können nur L3-Switche bzw. Router. Ob du das wirklich haben möchtest solltest du gut überlegen. Wenn nur das Routing angeschmissen wird und es keine Firewall,Packetfilter, bzw auf dem Router selber Regeln erstellt wurden, können eure Externen immer noch ins Intranet.

Leider steht nirgends wie nun das Netz aufgebaut ist, wo Paketfilter stehen o.ä sonst konnte man mehr schreiben...

Grüße,

eneR

Bearbeitet 12. Dezember 2012 von eneR
Bin zu langsam :/

[Etherox]

Also wenn ich dich richtig verstehe, sollen es zwei komplett separate Netze sein, die keine Verbindung miteinander haben sollen - soweit korrekt?

Genau!

Beim Switch muss einfach 802.1q aktiviert werden, so dass ein Trunk zum Accesspoint konfiguriert wird.

Ist aktiviert und wird von den Switches sowie von dem AP (D-Link DWL-8600AP) ebenso unterstützt

Mir scheint, du verstehst das Prinzip von vlans nicht so ganz bisher (zumindest lese ich das so aus deinen Beiträgen heraus).

Die Funktionalität des Trunks verstehe ich in der Tat nicht genau. Bei Cisco verstehe ich es, aber mir scheint, dass andere Hersteller das anders behandeln. Hier mal eine Erläuterung wie der Netzaufbau bei uns ist:

Serverkeller = Switch

1.OG = Switch und AP

2.OG = Switch und AP

Wir haben vor vom Switch im Serverkeller den tagged Port (Zusammenführung der Ports, zumindest bei D-Link) direkt über eine FC-Verteilung in das 1. sowie 2. OG zu schleußen. Von dort aus wird die Verbindung über einen Medien Konverter an den Switch im 1. bzw. 2. angeschlossen. Netze sind folgend: (Nicht der Realität entsprechend, nur Beispiel IPs)

Netz Firma = 192.168.0.x - Firmennetzwerk, Intranet + Internet

Netz Gäste = 192.168.63.x - Gästenetzwerk, Internet

Switch im Serverkeller:

|_| Port 1 - Netz Firma

|_| Port 2 - Netz Gäste

|_| Port 3 - Netz Firma + Netz Gäste

Konfiguration:

Vlan 1 = Port 1, untagged - Port 3, tagged

Vlan 2 = Port 2, untagged - Port 3, tagged

Switch im 1. und 2. OG:

|_| Port 1 - Netz Firma + Gäste (tagged Port)

|_| Port 2 - Access Point

Konfiguration:

??? Port 3 Vom Switch im Serverkeller beinhaltet beide Netze und wird an Port 1 der Switches in den OGs angeschlossen. Dieser wird dann an Port 1 von dem Switch im 1/2 OG angeschlossen. Jedoch muss der AP ja auch angeschlossen werden (Port 2) und benötigt Erreichbarkeit aus beiden Netzen.

AccessPoint:

1 LAN Anschluss - Netz 1 UND 2 muss über diese LAN Büchse angeschlossen werden, daher auch die Zusammenführung auf einen Port.

SSID 1 = Netz Firma

SSID 2 = Netz Gäste

(!) Beide Netze sollen getrennt sein. Netz Firma ist für unsere Mitarbeiter, damit sie in das Intranet und Internet kommen. Netz Gäste wiederrum für Gäste, wenn diese in das Haus kommen und Internet bei z.B. einem Meeting benötigen.

Bei meinem ersten Test ohne den Switch in den OGs war der Aufbau folgend:

Switch im Serverkeller:

|_|Port 1 - Netz Firma

|_|Port 2 - Netz Gäste

|_|Port 3 - Netz Firma + Gäste #Access Point war an diesem Port angeschlossen

VLAN 1 (VID 01) = Port 1, untagged + Port 3, tagged

VLAN 2 (VID 02) = Port 2, untagged + Port 3, tagged

Die Einstellungen des APs waren und sind:

SSID 1 = VID 01 - Netz Firma (Firmennetzwerk)

SSID 2 = VID 02 - Netz Gäste (Gästenetzwerk)

Das hat funktioniert! Also ich konnte mich auf SSID 1 verbinden und somit Zugang zum Intranet sowie Internet gewährleisten (Netz Firma) und auch auf SSID 2 konnte ich mich verbinden und somit in das Gäste Netzwerk. Internet war möglich und Intranet nicht. Genauso wie es sein soll. Mein Problem ist jetzt, diese Funktionalität über einen WEITEREN Switch in den OGs zu übertragen. Das funktioniert mit meinen Einstellungen (siehe oben) bisher nicht.

Ich hoffe ich konnte euch jetzt einen besseren Überblick verschaffen. Wenn das mit den Trunks abhilfe schaffen kann, dann wäre ein Tipp wie ich das in meinem Fall einstellen könnte sehr nett.

LG

[Crash2001]

Von dem Switch wo es aktuell angeschlossen ist (Keller) willst du jetzt zu einem weiteren Switch gehen und dort das Gleiche machen?

Dann einfach einen Trunkport zum zweiten Switch schalten (vlans 1 und 2 müssen mindestens drauf sein auf dem Trunk - alle vlans erlaubt ist natürlich auch möglich) und ansonsten alles wie bei deinem jetzigen Switch, an dem alles funktioniert, machen.

Oder ist Switch oder Accesspoint ein anderes Modell, so dass du es nicht 1:1 übernehmen kannst?

Ist der Switch an dem der AP nun hängt denn der Hauptswitch? Falls nicht, solltest du überlegen, die Internetanbindung auf den Hauptswitch in ein eigenes vlan zu legen, so dass du von dort aus direkt verteilen kannst. Der Hauptswitch ist ja meist ein größeres Modell mit mehr Redundanzmöglichkeiten.

[Etherox]

Von dem Switch wo es aktuell angeschlossen ist (Keller) willst du jetzt zu einem weiteren Switch gehen und dort das Gleiche machen?

Also das gleiche will ich ja nicht machen. Am Switch im RZ werden die beiden Netze über 2 VLANS auf einen tagged Port geschaltet. Von diesem Tagged Port gehen beide Netze ja dann an den Switch vom 1ten bzw. in das 2te OG. Auf diesesn Switches will ich dann beide Netze von tagged Port kommend, auf einen anderen Port schalten, damit ich da den Access Point drauf verbinden kann. So sollte der AP dann beide Netze aufnehmen und diese in die SSIDs splitten.

Ist der Switch an dem der AP nun hängt denn der Hauptswitch? Falls nicht, solltest du überlegen, die Internetanbindung auf den Hauptswitch in ein eigenes vlan zu legen, so dass du von dort aus direkt verteilen kannst. Der Hauptswitch ist ja meist ein größeres Modell mit mehr Redundanzmöglichkeiten.

Ne, kein Hauptswitch. Von diesem Switch aus gehen die Verbindungen an den Verteiler zu den Patchdosen. Der hauptswitch ist der im Serverkeller. Von dem aus habe ich ja quasi 2 VLANs gemacht. Einmal den tagged Port mit Netz 1 und einmal den tagged Port mit Netz 2.

Oben habe ich ja schon beschrieben wie die VLANS auf dem Switch im Serverkeller konfiguriert sind und auch wie ich das mit den Switches in den jeweiligen OGs vorhabe. Du nennst jetzt das mit dem Trunk Port. So wie ich das jetzt verstehe, soll ich diesen "tagged Port" vom Switch im Serverkeller mit beiden Netzen als Trunk versehen und auf den Switch in dem OG verteilen. Die Einstellung mit dem Trunk verstehe ich nicht ganz.

ftp://ftp.dlink.de/dgs/dgs-1224t/documentation/DGS-12xxT_man_ver_3-20_ALL_en_100706.pdf Seite 31

Wenn ich jetzt versuche quasi 2 Trunks auf dem Switch im Serverkeller zu machen (Port Netz 1, Tagged Port ;; Port Netz 2, Tagged Port) funktioniert das nicht. Er gibt die Meldung "Please set Trunk Members in the same VLAN and VLAN type" aus. Bist du dir auch sicher, dass D-Link hier die gleiche Definition von "Trunk Port" hat wie du es dir vorstellst? Die Beschreibung im Handbuch scheint mir nämlich ein bisschen komisch.

[Crash2001]

D-Link versteht, laut Anleitung, (soweit ich weiß, ebenso wie HP) unter einem Trunk das, was Cisco unter einem Ether-Channel versteht - die Zusammenfassung von zwei oder mehr Ports zu einem "Channel", so dass du eine höhere Bandbreite zur Verfügung hast. Dafür müssen beide Ports natürlich auch gleich konfiguriert sein. Das ist aber ja nicht das, was du machen möchtest.

Ein "Trunk" ist in der Cisco-Welt eine Verbindung, die mit 802.1q getaggt ist und auf der viele verschiedene vlans zu einem anderen Gerät verbunden werden können, so dass diese dort auch verfügbar sind. Quasi ein Rohrschacht (Trunk), durch den die verschiedenen Rohre (vlans) zum Nachbargebäude (nächster Switch) transportiert werden.

Du müsstest, wenn ich die Anleitung richtig lese, unter der 802.1Q vlan Configuration Seite den entsprechenden Port auf "tagged" setzen. Wenn ich das richtig deute, ist die Möglichkeit "not member" dafür da, dass man zusätzlich den Switch auch noch ohne vlan einsetzen kann. Die Ports die auf "not member" stehen sollten also ganz normale Switchports sein und in keinem vlan liegen dann.

Ich denke einmal, das sollte dich schon ein Stück weiterbringen.

Ich würde dir vorschlagen, du machst einfach mal eine kleine Zeichnung, wie du die Verkabelung machen würdest und hängst sie hier an. Ehrlich gesagt verstehe ich deine Ausführungen nicht so ganz, was denn nun wo ist. Nur durch Beschreibungen bringt man einiges leicht durcheinander - vor allem, wenn hier noch die Probleme der Bezeichnung gegeben sind durch die Differenzen der Bedeutungen bei Cisco und D-Link.

Ein Port kann übrigens immer nur tagged oder untagged sein, aber nicht beides gleichzeitig, wie du zu probieren scheinst. ABER auch auf einem tagged Port gibt es ein ungetaggtes vlan neben den anderen getaggten vlans auf dem Port - standardmässig ist dies vlan 1.

Bearbeitet 17. Dezember 2012 von Crash2001

[Etherox]

Du müsstest, wenn ich die Anleitung richtig lese, unter der 802.1Q vlan Configuration Seite den entsprechenden Port auf "tagged" setzen. Wenn ich das richtig deute, ist die Möglichkeit "not member" dafür da, dass man zusätzlich den Switch auch noch ohne vlan einsetzen kann. Die Ports die auf "not member" stehen sollten also ganz normale Switchports sein und in keinem vlan liegen dann.

Genau das habe ich auch gemacht. Also nochmal:

Switch im Serverkeller:

VLAN 1 = Port 1 (untagged) + Port 3 (tagged)

VLAN 2 = Port 2 (untagged) + Port 3 (tagged)

Somit habe ich beide Netze auf Port 3 geschleust. Das Funktioniert, indem ich bereits an diesem Punkt den AP angeschlossen hatte und die SSIDs mit den jeweiligen VIDs versehrt hatte und mit einem Laptop geprüft. Also:

AP:

SSID1 = VID01 (Netz 1, Port 1 auf dem Switch)

SSID2 = VID02 (Netz 2, Port 2 auf dem Switch)

Der nächste Schritt ist nun, das Ganze auf die Switches im Stock 1 bzw. Stock 2 zu bringen. Hierzu muss man in den jeweiligen VLANs noch zusätzlich Port 4 für einen weiteren Stock als "tagged" markieren. Hierzu habe ich auch schnell eine kleine Zeichnung gemacht (ohne Visio, weil ich nicht weiß ob ihr das habt). Das sollte mein Vorhaben ein bisschen genauer erklären.

Über die Verteiler wird die Zusammenführung der Netze vom tagged Port des Switches im Serverkeller auf die jeweiligen Switches in den OGs angeschlossen.

[ATTACH=CONFIG]HIER[/ATTACH] kommt jetzt mein Problem. Ich habe auf den Switches in den OGs momentan(!) folgende Einstellungen:

VLAN 1 = Port 1 + 2

Port 1 = tagged

Port 2 = untagged

Der untagged Port wird an den AP angeschlossen und an den tagged Port werden beide Netze über den Verteiler von dem Serverkeller angeschlossen. Auf dem AP habe ich weiterhin die Einstellungen wie oben beschrieben. Also die VIDs 01 für das Netz 1 und VID 02 für das Netz 2.

Aber das funktioniert nicht. Netz 1 funktioniert ohne Probleme, wie es sein soll. In Netz 2 komme ich scheinbar nicht. Ich kann mich zwar an der SSID anmelden, aber Verbindung an Netz 2 bekomme ich keine.

Daher meine Frage, mache ich etwas falsch? Gibt es Optionen die ich vielleicht übersehen habe oder sind grundsätzliche Dinge, dich ich falsch geplant, eingestellt habe?

Ich hoffe ich konnte, das jetzt ein bisschen besser erklären.

[eneR]

Unterstützt der AP denn dein vorhaben?

[Crash2001]

Was hast du denn mit vlan 2 auf den beiden Switches im 1. und 2.OG? Ist das auch auf den benötigten Ports mit drauf konfiguriert? falls nicht, ist es kein Wunder, dass du es dort auch nicht nutzen kannst.

Ob beide vlans richtig nach oben gehen, kannst du am switch einfach kontrollieren, wenn du dir unsicher sein solltest, indem du vlan 1 jeweils auf einen untagged port legst und vlan 2 auf einan anderen. Bekommst du daran eine IP-Adresse aus dem jeweiligen Netz, dann hat der hochbringen der beiden Netze schon einmal funktioniert.

Du musst auf dem Switch im 1.OG also denke ich erst einmal noch vlan 2 einrichten, dieses den beiden Ports 1 und 2 zuordnen und Port 1 und 2 beide auf "tagged" stellen. vlan 1 sollte dann (da es das standardmässige native vlan ist) auf Port 1 und 2 jeweils ohne 802.1q-Tag verfügbar sein und vlan 2 als tagged vlan.

Das gleiche dann auch auf dem Switch im 2.OG.

@ eneR:

Da es bei ihm ja am Switch im Keller funktioniert, sollte es auch problemlos an den anderen Switches funktionieren, wenn alles richtig konfiguriert ist

[Etherox]

Ich habe das mal jetzt so konfiguriert wie du gesagt hast mit den Switches im OG:

Switch 1.OG

VLAN 1 (VID01) =

Port 1, untagged

Port 2, untagged

VLAN 2 (VID02) =

Port 1, tagged

Port 2, tagged

An Port 1 habe ich das Kabel zum Switch im Serverkeller verkabelt. An Port 2 wurde der AP angeschlossen.

Ergebnis:

Das Netz 2(!) funktioniert diesmal. Aber dafür das Netz 1 nicht.

[Crash2001]

und wie ist der Switch im Keller konfiguriert? Wenn die Konfiguration nur auf einer Seite richtig ist, bringt das nicht viel...