VLANs für 2 Netzwerke

[Alsage]

Hallo zusammen,

ich glaube, ich sehe den Wald vor lauter Bäumen einfach nicht.

Ich versuche seit einigen Tagen auf meinem Managed Layer 2 D-Link Switch, 2 unterschiedliche Netze laufen zu lassen, die sich eigentlich auch nicht sehen müssen, ausser ich hab einen groben Denkfehler.

Netz 1 soll 172.17.xx.xx sein

Netz 2 soll 192.168.xx.xx sein (FritzBox)

Im Netz 1 hängt einmal ein DHCP Server, sowie ein Proxyserver mit 2 Netzwerkkarten. Davon geht eine eben ins Netz 1, die zweite ist direkt mit der Fritz Box verbunden. Soweit so gut, das funktioniert soweit. Da ich nun aber einen weiteren Server nach dem Prinzip (2Nics) anschliessen möchte und keine zweite Leitung von der FritzBox habe, dachte ich mir, ich trenne das einfach auf dem Switch und habe dann weitere Ports frei, die darüber kommunizieren, statt einen weitere Switch einzusetzen.

Ich hoffe, das war einigermassen verständlich erklärt.

Es ist nun leider aber scheinbar völlig egal, wie ich dieses VLAN auf dem Switch konfiguriere, es kommt keine Verbindung zu Stande. Entweder es kommt gar keine IP Adresse vom DHCP der FritzBox ( was notwendig wäre) oder ich bekomme sogar eine IP aus Netz 1, obwohl der Rechner am VLAN für Netz 2 hängt.

Kann mir hier mal jemand auf die Sprünge helfen, wo mein Denkfehler ist bzw. warum das nicht funktionieren will ?

 

DANKE

[Eye-Q]

vor einer Stunde schrieb Alsage:

Ich hoffe, das war einigermassen verständlich erklärt.

Um ehrlich zu sein, nein, das ist zumindest für mich nicht verständlich, da Du zu wenige Details lieferst.

Ist der Switch auf irgendeine Weise direkt mit der Fritzbox verbunden oder können Switch und Fritzbox nur über den aktuell schon funktionierenden Proxyserver kommunizieren? Es ist von der Antwort auf diese Frage abhängig, wie das konfiguriert werden könnte, deswegen will ich hier nicht wild spekulieren, was dich wahrscheinlich noch mehr verwirren würde.

[FISI-I]

vor 1 Stunde schrieb Alsage:

Hallo zusammen,

ich glaube, ich sehe den Wald vor lauter Bäumen einfach nicht.

Ich versuche seit einigen Tagen auf meinem Managed Layer 2 D-Link Switch, 2 unterschiedliche Netze laufen zu lassen, die sich eigentlich auch nicht sehen müssen, ausser ich hab einen groben Denkfehler.

Netz 1 soll 172.17.xx.xx sein

Netz 2 soll 192.168.xx.xx sein (FritzBox)

Im Netz 1 hängt einmal ein DHCP Server, sowie ein Proxyserver mit 2 Netzwerkkarten. Davon geht eine eben ins Netz 1, die zweite ist direkt mit der Fritz Box verbunden. Soweit so gut, das funktioniert soweit. Da ich nun aber einen weiteren Server nach dem Prinzip (2Nics) anschliessen möchte und keine zweite Leitung von der FritzBox habe, dachte ich mir, ich trenne das einfach auf dem Switch und habe dann weitere Ports frei, die darüber kommunizieren, statt einen weitere Switch einzusetzen.

 

Du solltest Du zuerst einmal angewöhnen, einen Netzbereich vollständig anzugeben. Dazu gehört auch die Subnetzmaske.

Wenn Du einen Layer 2-Switch hast, was machen dann die IP-Adressen 172.17.xx.xx und 192.168.xx.xx da?

Bearbeitet 24. März 2023 von FISI-I

[Alsage]

Hallo Eye-Q,

ja, das hab ich mir schon fast gedacht ... nicht so einfach das zu erklären .. also besser mal bildlich, dann wirds glaub ich verständlicher....

Die Access Points sind ebenfalls im 172er Netzwerk, aber hier auch dann nicht so relevant

Bzgl. Subetzmasken ...dachte der Standard ist logisch ... das 172er Netz hat 255.255.0.0, das 192er ist das Standardnetz der Fritzbox 255.255.255.0.....

Wie auf der Zeichnung, denke ich erkennbar, bedient der Switch zur Zeit nur das 172er Netz, was so ja gewollt ist und funktioniert

Bearbeitet 24. März 2023 von Alsage

[FISI-I]

Wenn Du keine Verbindung von der Fritzbox zum Switch herstellst, hat dieser auch kein zweites Netz bzw. die Fritzbox kann keine IP-Adresse zuweisen.

Bearbeitet 24. März 2023 von FISI-I

[Alsage]

Hi Fisi,

das ist mir schon klar ... das ist ja auch die aktuelle Konfiguration.

Meine Idee war, nun auf dem Switch auf Port 13-16 eben das Netz der FritzBox zu nutzen, getrennt vom 172er.

Also, im Prinzip, so wie es jetzt ist, nur das es über den Switch läuft und ich so weitere Ports frei habe, um weitere Geräte auch an die FritzBox zu hängen.

Was ich jetzt vielleicht nochmal erwähnen sollte - der DomainController ist ebenso ein DHCP Server (logischerweise). EInfach die Fritzbox mit dranhängen, wird wohl kaum funktionieren ohne das vorher zu separieren, wobei ich selbst das schon versucht habe

Bearbeitet 24. März 2023 von Alsage

[Eye-Q]

Die Ports, die das Fritzbox-Netz abbilden sollen (in deinem Fall Ports 13-16), müssten mit untagged VLAN ungleich 1 versehen werden, z.B. VLAN 2 (oder 3, 4, 5, sonstwas, völlig egal). Da die anderen Ports standardmäßig mit untagged VLAN 1 konfiguriert sind, sind die Ports 1-12 und 13-16 damit logisch voneinander getrennt. Dann schließt Du die jeweils zweite Netzwerkkarte von DC und Proxyserver sowie die Fritzbox an die Ports 13-16 und das funktioniert so wie Du es dir vorstellst.

 

Ich verstehe aber ehrlich gesagt nicht, wieso Du das so machen willst. Der DC sollte doch über den Proxyserver (Firewall?) ebenfalls Zugriff auf das Internet der Fritzbox haben, und zwar noch sicherer als wenn der eine zweite Netzwerkkarte bekommt, die direkt im Fritzbox-Netz hängt.

[Alsage]

Hallo Eye-Q,

genau so hatte ich mir das gedacht, hab es aber eben so (auch laut Anleitung von DLInk und diversen anderen) so nicht zum funktionieren gebracht. Du hast recht, das auch der DC Zugang zum Internet haben soll, sowie alle anderen auch und das funktioniert in der im Bild angezeigten Konfiguration auch.

Allerdings hat nur der Proxy 2 Netzwerkkarten, der DC nicht, der ist nur im 172er Netz. Der Zugang ins Internet wird nur über den Proxyserver realisiert. Heisst, nur der Proxy Server hat eine Verbindung ins 172 und eine ins 192er Netz mittels 2 Netzwerkkarten

Und jetzt kommen wir glaub ich zu dem Problem :

Wenn ich ein VLAN hinzufüge, um die Ports 13-16 zu separieren, habe ich nicht die Möglichkeit, diese als untagged zu markieren. Das macht mich stutzig und ich glaube da ist die Krux.

Ich hatte das Native vorhandene VLAN so konfiguriert, das 1-12 untagged bleiben, 13-16 als "Not member" markiert.

Dann ein VLAN 2 hinzugefügt wo dann 1-12 "Not Member" sind...kann aber die 13-16 nicht untagged setzen.

Alles etwas komisch.....

Bearbeitet 24. März 2023 von Alsage

[Eye-Q]

Grumpf - wenn Du genau das in deinem ersten Post geschrieben hättest, wäre keine einzige unserer Nachfragen gekommen, weil das Problem somit klar benannt ist, nämlich dass Du die Ports 13-16 nicht mit VLAN 2 Untagged versehen kannst. In deinem ersten Post schreibst Du viel von Subnetzen und quasi nichts von VLANs, somit müssen wir erstmal davon ausgehen, dass Du ohne oder nur mit Halbwissen ankommst, weil Du das so umständlich umschrieben hast.

 

D-Link hat Weboberflächen, die sich oft merkwürdig verhalten, das habe ich schon öfter gelesen. Wie sieht es aus, wenn Du die Ports 13-16 erst im VLAN 1 als "Untagged" setzt, das speicherst, dann VLAN 2 bearbeitest und dort Ports 13-16 als "Untagged" setzt? Eventuell werden die Ports in VLAN 1 dann automatisch als "Not Member" gesetzt, da ist aber nur eine Vermutung.

Eventuell musst Du aber auch erstmal bei VLAN 1 die Ports 13-16 als "Not Member" setzen, dann unten rechts auf "Apply" klicken, anschließend oben rechts nochmal auf "Apply" klicken und dann erst das VLAN 2 bearbeiten, um die Ports 13-16 dort auf "Untagged" setzen zu können.

[Alsage]

So, hab mir noch ein paar Stunden damit um die Ohren geschlagen, komme aber zu dem Ergebnis, das das wohl nichts wird.

Zwar kann ich die gewünschten 4 Ports "abtrennen", habe dann allerdings keinen Zugriff auf die FritzBox. Vermutlich, weil die FB mit VLAN nicht umgehen kann. Trotzdem nochmal bildlich die Idee, die mir vorschwebte... vielleicht gibt es da ja doch ne Lösung (nicht gleich in der Luft zerreissen)

 

 

 

Bearbeitet 26. März 2023 von Alsage

[kylt]

vor 4 Stunden schrieb Alsage:

Vermutlich, weil die FB mit VLAN nicht umgehen kann.

Zwei verschiedene Ideen, aus privaten Projekten - ich bin kein Netzwerkprofi.

1) Müsste es auf dem Switch möglich sein, dass dieser sowohl Tags hinzufügt, als auch entfernt. - Wie für jeden Client der kein VLAN kann. Dann sagst du zwar es gehört zu VLAN, gibst die TAGS aber bewusst nicht mit.

Dann müsstest du die Daten an die Fritzbox genau so weiter funktionieren wie bei VLAN 1. Es mag aber vielleicht unter WAN Port oder unter den Fritzbox modellen hier noch besonderheiten geben die ich nicht kenne.

2) Wenn möglich, dreh das Spiel doch um, mache alle anderen geräte im Grünen  kasten zu VLAN > 1  und lass das Fritzbox im einser.

[Alsage]

Hallo Kylt,

am Switch kann man das VLAN tagged oder untagged setzen. Mit tagged kommt die FB nicht klar, soweit ich das jetzt recherchiert habe. Die Ports müssten also sowieso untagged sein, wobei tagged auch nicht wirklich Sinn macht in dem Szenario, denke ich.

Die Idee, das ganze einfach umzudrehen hatte ich auch schon, demnach also Ports 1-12 als VLAN (2 oder 10....) untagged fürs Netz und 13-16 im VLAN 1 untagged für die FB. Das funktioniert aber leider ebenso nicht.

Ich kann dann im entsprechenden Segment (also Port 13-16) die FB nicht mehr erreichen, geschweige denn, bekommt ein Client von der FB über DHCP dann eine IP-Adresse.

Ich war nach dieser Anleitung https://armann-systems.com/wiki/vlan-grundlagen/ der Meinung, das es eigentlich möglich sein müsste, aber die FritzBox spielt da wohl so nicht einfach mit und macht mir einen Strich durch die Rechnung.

Bearbeitet 26. März 2023 von Alsage

[awesomenik]

Du kannst mit der Fritzbox nur 2 VLANs verwenden, wenn eins das bisher von dir genutzte ist und es sich beim zweiten um den Gästezugang handelt.
Was anderes kann man in der Fritzbox nicht konfigurieren.

Du kannst also einem Port den Gastzugang zuordnen und den untagged auf das VLAN2 legen. Deine Geräte aus dem Testnetz packst du in das Netz.
Alle anderen Geräte kannst packst du untagged ins VLAN1.

Falls du einen eigenen DHCP-Server betreiben möchtest, müsstest du noch die Konfiguration dafür auf der Fritzbox anpassen.

[Alsage]

Wenn ich das jetzt richtig verstehe (ist leider nicht so eindeutig), redest du davon den Port 4 der FB als Gastzugang einzurichten und diesen dann mit dem Switch an VLAN2 zu verbinden ?

Darüber bin ich nämlich auch schon gestolpert, bin aber noch nicht dazu gekommen mich mit dem Gastzugang wirklich zu befassen, da ich den bisher nie benötigt habe. Aber vielleicht ein Ansatz

Das würde aber gleichzeitig bedeuten, das ich die IPs der angeschlossenen Geräte im VLAN2 ändern müsste, weil das GastNetzwerk der FB ja einen anderen definierten IP Bereich bedient

Bearbeitet 26. März 2023 von Alsage

[Alsage]

Mir ist dabei nur nicht gaz klar, warum es eben mit dem Gastnetzwerk der FB funktionieren sollte, aber nicht mit dem Standardnetz der FB.

[Alsage]

 

Hab es mir jetzt erstmal einfach gemacht und einen 2ten Switch eingesetzt. Damit geht das problemlos, wollte ich mir mit dem VLAN sparen, aber naja.

Fritzbox an Port 1 des 2ten Switches und Proxy an 2ten Port, fertig.

Jetzt hängt also der Proxy mit NIC1 an dem 172er an Switch 1 und NIC 2 mit 192er Netz an Switch 2, das funktioniert, .. logischerweise

 

[awesomenik]

Tut mir leid, ich hab bei dem Stand dein Problem nicht ganz verstanden und auch noch deine VLANs durcheinander gebracht.

Wenn es mit zwei Switches geht, liegt es an der Konfiguration deines Switches.

Wie du bereits recherchiert hast, sollte es eigentlich nicht schwer sein: Port 1-12 untagged in VLAN1, die restlichen Ports untagged in VLAN2.

Je nach Switch ist die Konfiguration nicht ganz einfach. Von welchem Hersteller ist der Switch denn?

[Alsage]

Das steht glaub ich zwar schon mehrfach dabei .. aber ok ...D-Link DGS 1210-16 V1 ganz genau.

Und wie beschrieben, hab ich es noch nicht hinbekommen, 2 untagged VLans zu erstellen, sofern ich nicht vorher "asynchron VLAN"  aktiviere. Wobei ich auch schon an ein Problem mt dem Switch gedacht habe.

[Alsage]

Jetzt hab ich mal genau danach gesucht und nun entsprechend eingerichtet, wobei ich denke, das ich das schon so hatte. Ich werde das morgen nochmal testen und berichten....

https://eu.dlink.com/uk/en/support/faq/switches/layer-2-gigabit/dgs-series/uk_dgs_1210_setup_static_vlans

So sollte das ja richtig sein und im Prinzip sollte ich im VLAN 10 wohl so auch eine IP oder zumindest Verbindung zur Fritzbox erhalten ??? Richtig ?

Bearbeitet 26. März 2023 von Alsage

[Tratos]

VID 1 ist aber auch die Verwaltungs ID über die du auf die Weboberfläche kommst.

Ich glaube das hatte bei dem Dlink zeug auch noch einen Effekt. Bei den 48Port Switch musste da sogar noch in einem anderen Menü was umgestellt werden, das der die VLANs wollte. Ist aber schon ne Zeit her das ich DLink damals hatte im Verbund.

 

Bearbeitet 15. Mai 2023 von Tratos