Netzwerkaufbau und Routing mit HP ProCurve

Hallo,

danke zunächste für deine Antwort.

Ich bin jetzt kein Netzwerkprofi, muss mich zum Teil an Anleitungen orientieren bzw. mir die Sachen zuerst zusammenlesen, bin aber in der Situation hier das Netzwerk aufbauen zu müssen. Ist keine Entschuldigung und keine Ausrede, aber ich komme gerade nicht weiter und benötige daher die Hilfe. Das ist für mich das erste Netzwerk was ich selber aufbaue und auch so richtig mit VLans und MSTP etc arbeite.

Zu deinen Fragen:
1. Ja - das Netzwerk SOLL so wie oben dargestellt aussehen, jedoch ist der BackupBackbone noch NICHT mit den Unterverteilern verbunden.

Backbone1 Spanning-Tree Config:

Backbone1# show spanning-tree

Multiple Spanning Tree (MST) Information

STP Enabled : Yes
Force Version : MSTP-operation
IST Mapped VLANs : 2-110,112-119,122-143,145-159,161-164,166-4094
Switch MAC Address : 1458d0-aa9ac0
Switch Priority : 0
Max Age : 20
Max Hops : 20
Forward Delay : 15

Topology Change Count : 9
Time Since Last Change : 2 hours

CST Root MAC Address : 1458d0-aa9ac0
CST Root Priority : 0
CST Root Path Cost : 0
CST Root Port : This switch is root

IST Regional Root MAC Address : 1458d0-aa9ac0
IST Regional Root Priority : 0
IST Regional Root Path Cost : 0
IST Remaining Hops : 20

Root Guard Ports :
Loop Guard Ports :
TCN Guard Ports :
BPDU Protected Ports :
BPDU Filtered Ports :
PVST Protected Ports :
PVST Filtered Ports :

Root Inconsistent Ports :
Loop Inconsistent Ports :

| Prio | Designated Hello
Port Type | Cost rity State | Bridge Time PtP Edge
----- --------- + --------- ---- ------------ + ------------- ---- --- ----
1 100/1000T | 20000 128 Forwarding | 1458d0-aa9ac0 2 Yes Yes
2 100/1000T | 20000 128 Forwarding | 1458d0-aa9ac0 2 Yes Yes
3 100/1000T | Auto 128 Disabled | 2 Yes No
4 100/1000T | Auto 128 Disabled | 2 Yes No
5 100/1000T | Auto 128 Disabled | 2 Yes No
6 100/1000T | Auto 128 Disabled | 2 Yes No
7 100/1000T | Auto 128 Disabled | 2 Yes No
8 100/1000T | Auto 128 Disabled | 2 Yes No
9 100/1000T | Auto 128 Disabled | 2 Yes No
10 100/1000T | Auto 128 Disabled | 2 Yes No
11 100/1000T | Auto 128 Disabled | 2 Yes No
12 100/1000T | Auto 128 Disabled | 2 Yes No
13 100/1000T | 20000 128 Forwarding | 1458d0-aa9ac0 2 Yes Yes
14 100/1000T | 20000 128 Forwarding | 1458d0-aa9ac0 2 Yes Yes
15 100/1000T | 20000 128 Forwarding | 1458d0-aa9ac0 2 Yes Yes
16 100/1000T | Auto 128 Disabled | 2 Yes No
17 100/1000T | 20000 128 Forwarding | 1458d0-aa9ac0 2 Yes Yes
18 100/1000T | Auto 128 Disabled | 2 Yes No
19 100/1000T | 200000 128 Forwarding | 1458d0-aa9ac0 2 Yes Yes
20 100/1000T | Auto 128 Disabled | 2 Yes No
21 100/1000T | Auto 128 Disabled | 2 Yes No
22 100/1000T | Auto 128 Disabled | 2 Yes No
23 100/1000T | Auto 128 Disabled | 2 Yes No
24 100/1000T | Auto 128 Disabled | 2 Yes No
25 100/1000T | Auto 128 Disabled | 2 Yes No
26 100/1000T | Auto 128 Disabled | 2 Yes No
27 100/1000T | Auto 128 Disabled | 2 Yes No
28 100/1000T | Auto 128 Disabled | 2 Yes No
29 100/1000T | Auto 128 Disabled | 2 Yes No
30 100/1000T | Auto 128 Disabled | 2 Yes No
31 100/1000T | Auto 128 Disabled | 2 Yes No
32 100/1000T | Auto 128 Disabled | 2 Yes No
33 100/1000T | Auto 128 Disabled | 2 Yes No
34 100/1000T | Auto 128 Disabled | 2 Yes No
35 100/1000T | Auto 128 Disabled | 2 Yes No
36 100/1000T | Auto 128 Disabled | 2 Yes No
37 100/1000T | Auto 128 Disabled | 2 Yes No
38 100/1000T | Auto 128 Disabled | 2 Yes No
39 100/1000T | Auto 128 Disabled | 2 Yes No
40 100/1000T | Auto 128 Disabled | 2 Yes No
46 1000SX | Auto 128 Disabled | 2 Yes No
48 100/1000T | Auto 128 Disabled | 2 Yes No
A2 SFP+SR | Auto 128 Disabled | 2 Yes No
Trk1 | 20000 64 Forwarding | 1458d0-aa9ac0 2 Yes No
Trk2 | 20000 64 Forwarding | 1458d0-aa9ac0 2 Yes No
Trk3 | 2000 64 Forwarding | 1458d0-aa9ac0 2 Yes No
Trk4 | 2000 64 Forwarding | 1458d0-aa9ac0 2 Yes No
Trk5 | 2000 64 Forwarding | 1458d0-aa9ac0 2 Yes No
Trk6 | 20000 64 Forwarding | 1458d0-aa9ac0 2 Yes No

Und hier ist der LOG Auszug:

1. show log

Keys: W=Warning I=Information
M=Major D=Debug E=Error
Event Log listing: Events Since Boot ----
I 01/12/90 22:24:31 00550 chassis: Expansion Module A inserted
I 01/12/90 22:24:37 00550 chassis: Expansion Module B inserted
I 01/12/90 22:24:43 00550 chassis: Stacking Module inserted
I 01/12/90 22:25:00 00061 system: -----------------------------------------
I 01/12/90 22:25:00 00063 system: Member 1 went down: 01/12/90 22:24:26
M 01/12/90 22:25:00 00064 system: Operator warm reload.
I 01/12/90 22:25:00 02759 chassis: Savepower LED timer is OFF.
I 01/12/90 22:25:00 02751 chassis: LEDs for Ports 1-48 configured ON.
I 01/12/90 22:25:00 02712 console: USB console cable disconnected
I 01/12/90 22:25:01 02682 OOBM: OOBM - Enabled globally.
I 01/12/90 22:25:01 00690 udpf: DHCP relay agent feature enabled
I 01/12/90 22:25:01 02637 srcip: TACACS admin policy is 'outgoing interface'
I 01/12/90 22:25:01 02638 srcip: TACACS oper policy is 'outgoing interface'
I 01/12/90 22:25:01 02637 srcip: RADIUS admin policy is 'outgoing interface'
I 01/12/90 22:25:01 02638 srcip: RADIUS oper policy is 'outgoing interface'
I 01/12/90 22:25:01 02637 srcip: SYSLOG admin policy is 'outgoing interface'
I 01/12/90 22:25:01 02638 srcip: SYSLOG oper policy is 'outgoing interface'
I 01/12/90 22:25:01 02637 srcip: TELNET admin policy is 'outgoing interface'
I 01/12/90 22:25:01 02638 srcip: TELNET oper policy is 'outgoing interface'
I 01/12/90 22:25:01 02637 srcip: TFTP admin policy is 'outgoing interface'
I 01/12/90 22:25:01 02638 srcip: TFTP oper policy is 'outgoing interface'
I 01/12/90 22:25:01 02637 srcip: SNTP admin policy is 'outgoing interface'
I 01/12/90 22:25:01 02638 srcip: SNTP oper policy is 'outgoing interface'
I 01/12/90 22:25:01 02637 srcip: SFLOW admin policy is 'outgoing interface'
I 01/12/90 22:25:01 02638 srcip: SFLOW oper policy is 'outgoing interface'
I 01/12/90 22:25:01 02637 srcip: RADIUS admin policy for IPv6 is 'outgoing
interface'
I 01/12/90 22:25:01 02638 srcip: RADIUS oper policy for IPv6 is 'outgoing
interface'
I 01/12/90 22:25:01 00056 stp: Spanning Tree Protocol enabled
I 01/12/90 22:25:01 02604 dhcpv6r: Inclusion of client link-layer address in
DHCPv6 relay message is disabled.
I 01/12/90 22:25:01 00433 ssh: Ssh server enabled
I 01/12/90 22:25:02 00417 cdp: CDP enabled
I 01/12/90 22:25:02 00688 lldp: LLDP - enabled
I 01/12/90 22:25:02 02633 SNTP: Client authentication is disabled.
I 01/12/90 22:25:02 02012 mtm: A non-multicast client: Non-Mcast client Op, is
registered with client ID: 1
I 01/12/90 22:25:02 04257 dhcp-server: Ping-check configured with retry count =
2, timeout = 1
I 01/12/90 22:25:02 04260 dhcp-server: Conflict-logging is disabled
I 01/12/90 22:25:02 00066 system: System Booted
I 01/12/90 22:25:03 02550 chassis: Requesting Co-processor OS image location in
flash.
I 01/12/90 22:25:03 02552 chassis: Loading of Co-processor OS image in progress.
I 01/12/90 22:25:04 02553 chassis: Loading of Co-processor OS image complete.
I 01/12/90 22:25:05 03802 chassis: System Self test started on 1-48
I 01/12/90 22:25:15 03803 chassis: System Self test completed on 1-48
I 01/12/90 22:25:15 02555 chassis: Co-processor Ready
I 01/12/90 22:25:15 02612 mgr: chassis subsystem saved the whole running config
to startup config.
I 01/12/90 22:25:15 02612 mgr: chassis subsystem saved the whole running config
to startup config.
I 01/12/90 22:25:21 00078 ports: trunk Trk2 is now active
I 01/12/90 22:25:21 00435 ports: port 45 is Blocked by STP
I 01/12/90 22:25:21 00078 ports: trunk Trk6 is now active
I 01/12/90 22:25:21 00435 ports: port 47 is Blocked by STP
I 01/12/90 22:25:21 00076 ports: port 45 in Trk2 is now on-line
I 01/12/90 22:25:21 00001 vlan: VLAN1 virtual LAN enabled
I 01/12/90 22:25:21 00001 vlan: VLAN111 virtual LAN enabled
I 01/12/90 22:25:21 00001 vlan: VLAN120 virtual LAN enabled
I 01/12/90 22:25:21 00001 vlan: VLAN121 virtual LAN enabled
I 01/12/90 22:25:21 00001 vlan: VLAN144 virtual LAN enabled
I 01/12/90 22:25:21 00001 vlan: VLAN160 virtual LAN enabled
I 01/12/90 22:25:21 00001 vlan: VLAN165 virtual LAN enabled
I 01/12/90 22:25:21 00435 ports: port 1 is Blocked by STP
I 01/12/90 22:25:21 00435 ports: port 2 is Blocked by STP
I 01/12/90 22:25:21 00435 ports: port 13 is Blocked by STP
I 01/12/90 22:25:21 00435 ports: port 14 is Blocked by STP
I 01/12/90 22:25:21 00435 ports: port 15 is Blocked by STP
I 01/12/90 22:25:21 00435 ports: port 17 is Blocked by STP
I 01/12/90 22:25:21 00435 ports: port 19 is Blocked by STP
I 01/12/90 22:25:21 00078 ports: trunk Trk1 is now active
I 01/12/90 22:25:21 00435 ports: port 41 is Blocked by STP
I 01/12/90 22:25:21 00435 ports: port 42 is Blocked by STP
I 01/12/90 22:25:21 00435 ports: port 43 is Blocked by STP
I 01/12/90 22:25:21 00435 ports: port 44 is Blocked by STP
I 01/12/90 22:25:21 00839 stp: MSTI 1 Root changed from 8192: (this device) to
4096: 1458d0-adaf40
I 01/12/90 22:25:21 00839 stp: MSTI 2 Root changed from 32768: (this device) to
0: 1458d0-adaf40
I 01/12/90 22:25:21 00076 ports: port 41 in Trk1 is now on-line
I 01/12/90 22:25:21 00076 ports: port 42 in Trk1 is now on-line
I 01/12/90 22:25:21 00076 ports: port 43 in Trk1 is now on-line
I 01/12/90 22:25:21 00076 ports: port 44 in Trk1 is now on-line
I 01/12/90 22:25:21 00076 ports: port 47 in Trk6 is now on-line
I 01/12/90 22:25:22 00078 ports: trunk Trk3 is now active
I 01/12/90 22:25:22 00435 ports: port A1 is Blocked by STP
I 01/12/90 22:25:22 00078 ports: trunk Trk5 is now active
I 01/12/90 22:25:22 00435 ports: port B1 is Blocked by STP
I 01/12/90 22:25:23 00076 ports: port A1 in Trk3 is now on-line
I 01/12/90 22:25:23 00076 ports: port B1 in Trk5 is now on-line
I 01/12/90 22:25:23 00078 ports: trunk Trk4 is now active
I 01/12/90 22:25:23 00435 ports: port B2 is Blocked by STP
I 01/12/90 22:25:23 00076 ports: port B2 in Trk4 is now on-line
I 01/12/90 22:25:23 00076 ports: port 1 is now on-line
I 01/12/90 22:25:23 00076 ports: port 2 is now on-line
I 01/12/90 22:25:23 00076 ports: port 13 is now on-line
I 01/12/90 22:25:23 00076 ports: port 14 is now on-line
I 01/12/90 22:25:23 00076 ports: port 15 is now on-line
I 01/12/90 22:25:23 00076 ports: port 17 is now on-line
I 01/12/90 22:25:23 00076 ports: port 19 is now on-line
I 01/12/90 22:25:23 00001 vlan: VLAN200 virtual LAN enabled
I 01/12/90 23:23:36 03362 auth: User 'manager' logged in from 10.128.86.56 to
SSH session
I 01/12/90 23:23:37 00179 mgr: SME SSH from 10.128.86.56 - MANAGER Mode
I 01/12/90 23:31:07 03362 auth: User 'manager' logged in from 10.128.88.199 to
SSH session
I 01/12/90 23:31:08 00179 mgr: SME SSH from 10.128.88.199 - MANAGER Mode
I 01/13/90 00:30:50 03362 auth: User 'manager' logged in from 10.128.86.69 to
SSH session
I 01/13/90 00:30:52 00179 mgr: SME SSH from 10.128.86.69 - MANAGER Mode
I 01/13/90 00:33:18 03363 auth: User 'manager' logged out of SSH session from
10.128.86.69
I 01/13/90 00:55:56 03362 auth: User 'manager' logged in from 10.128.86.69 to
SSH session
I 01/13/90 00:55:57 00179 mgr: SME SSH from 10.128.86.69 - MANAGER Mode
Bottom of Log : Events Listed = 102 ----


Was ich bisher noch nicht ganz verstanden habe:

VRRP mit den zwei Backbones für Redundanz und nur eine Gatewayadresse - soweit bin ich mitgekommen.

Aber was ist mit den einzelnen Vlans? Ich brauche ja für jedes VLan einen Gateway?

Aktuell habe ich auf der Watchguard die Virtuellen Interfaces eingerichtet, welche alle auf einen Port zusammenlaufen:
VLan 1 - 10.128.80.254
VLan 111 - 10.128.81.254
VLan 120 - 10.128.84.254
VLan 144 - 10.128.86.254
VLan 160 - 10.128.88.254
VLan 165 - 10.128.93.254

Und die Netzadressen sind jeweils eben die:
VLAN1 |10.128.80.240 255.255.255.0
VLAN111 | 10.128.81.240 255.255.255.0
VLAN120 | 10.128.84.240 255.255.255.0
VLAN121 | 10.128.85.240 255.255.255.0
VLAN144 | 10.128.86.240 255.255.255.0
VLAN160 | 10.128.88.240 255.255.255.0
VLAN165 | 10.128.93.240 255.255.255.0

So - jetzt kommt ein Client mit der 10.128.86.x (Client)--> 10.128.86.254(Watchguard) --> anderes VLan oder Internet.

Und der richtige Weg wäre dann eben m.E. 10.128.86.x (Client) --> Gateway vom Vlan (nicht Watchguard)--> anderes VLan oder Internet.

IP-Routing ist zwar aktiv auf dem Backbones (aber nicht auf den Unterverteilern) - aber irgendwo habe ich hier einen Denkfehler. Normal sollte ja der Switch schon die Pakete entsprechend umleiten.
Ist dann die Netzadresse mein Gateway?
Bleibt default Gateway dann weiterhin die Firewall?
Wenn ich das alte Netz natürlich OHNE Watchguard dazwischen erreichen könnte, wäre das noch besser - hier wird wohl nur das Routing (?) angepasst werden müssen, damit die Pakete richtig weiterlaufen.

Im alten Netz gibt es aber keine VLans, kein MSTP etc.

Auch wenn das HP Billigswitche vllt sind, wir haben zum Teil die Infrastrktur gehabt und diese dann zu mischen wäre auch nicht clever gewesen, daher haben wir uns entschieden vorerst drauf zu bleiben.
Danke schonmal auf jeden Fall!

Selbst ist der Admin - learning bei doing...

Backbones Ja, Unterverteiler noch nicht, nehme ich die Tage in Angriff.

Genau - ich habe heute mal gecheckt, das mein Traffic von der Watchguard komplett geroutet wird und nicht intern im Backbone.


Ist nur mit einem Port angeschlossen, damit ich hier keine Schleife habe. STP habe ich mir hier noch nicht näher angeschaut.


Das war auch mein Plan, erstmal muss das Netz sauber laufen.

Watchguard:
Nur Internet, VPN Tunnel ins externe Rechenzentrum, VPN Zugänge Mitarbeiter und Nice-To-Have Filtern vom Traffic des GästeWlans.



Was ich damit ausdrücken wollte war:
Jeder Switch hat im "setup" Menü einmal ein Defaultgatewayeintrag.
Zudem hat jedes Vlan eine Adresse - aber diese darf nicht als GW fungieren - wie ich gelernt hab, da ich aber keinen Eintrag gesehen habe, der ein Gateway für das jeweilige VLan vorgibt, war ich mir gerade unsicher. Letztendlich brauche ich ja eine IP worüber der Verkehr dann rausläuft, diese werde ich dann aber mit VRRP konfigurieren... Das Broadcast und Netzwerkadresse nicht vergeben werden darf, ist mir schon klar... ;)


Super, bin begeistert!

Noch nie gemacht - aber nun mittendrin!


Wollte nur sagen, das mir deine Hilfe gefällt - wusste net, dass der Thread gleich als gelöst markiert wird ;) Sorry!

Werde mich dann mal morgen drüber machen, berichte wie ich weitergekommen bin!

Danke dir auf jeden Fall!

So, nun bin ich jetzt auf das Problem gestossen, das hier wohl keine Lizenzen für VRRP bestellt wurde. ich kann hier zwar Router RIP einstellen, aber kein Router VRRP...(zu meiner Verteidigung, ich bin frisch hier und darf alles ausbaden gerade...)

Bin begeistert.

Edit: Habe mich übrigends was das Spanning-tree angeht an diese Anleitung gerichtet:
#
http://www.ingentive.net/sites/default/files/procurve_best_practice_spa ...

So - ich hab mich jetzt komplett festgefahren.
Ich konfiguriere das vorerst auf dem Backbone 2 um den Betrieb nicht komplett lahmzulegen

Watchguard hat jetzt ein seperates Interface mit 10.128.94.155
HP Switch hat ein VLAN 300 10.128.94.1/24
HP Switch hat ein VLan 400 (zum Test) 10.128.100.1/24
Route 0.0.0.0 0.0.0.0 10.128.94.155 static

Client hängt im Vlan 300:
Ping geht auf 10.128.94.1
Ping geht auf 10.128.94.155
Ping geht auf 8.8.8.8


Client hängt im Vlan 400:
Ping geht auf 10.128.94.1
Ping geht NICHT auf 10.128.94.1
Ping geht NICHT auf 8.8.8.8
Tracert auf 8.8.8.8
1 - 10.128.100.1
2 - * * * Zeitüberschreitung
...

Ping vom Switch-CLI auf die 8.8.8.8 geht.

IP Routing ist auf dem Switch aktiv.
Watchguard Interface ist auf Trusted Mode eingestellt, sodass die bisherigen Regeln auch gelten.

Watchguard:
Route 10.128.100.0/24 über GW 10.128.94.155 (egal ob ich den Eintrag setze oder nicht, ändert das nix)

So - bum aus die Maus, Nikolaus....weder ich noch mein Kollege wissen grad weiter.

Inter-Vlan Routing geht, sobald ich aber auf die Firewall möchte von einem anderen VLan aus, ist schluss


Edit:

Watchguard vlan 300 und vlan 400 angelegt und gegenseitig mit einer Regel Allow all berechtigt.
Switchport für tagged 300 und 400 konfiguriert.
Client vlan 400:
Ping auf 10.128.94.155 geht.
Tracert auf 8.8.8.8 zeigt mir allerdings:
1 - 10.128.100.1
2 - 10.128.100.155 (Vlan 400 Interface Watchguard)
3 - Zeitüberschreitung....

So wie ich hier sehe:

Client kommt aus einem anderen VLAN (400) wie die Watchguard (300) und blockt erstmal alles ab.
Ich lege Vlan 400 auf der Watchguard mit an, lasse den Traffic über den Switchport laufen und komme nun vom Vlan 400 ins Vlan 300 auf die WG (wohlgemerkt, das sonstige Intervlan Routing geht....)
Aber - nun schickt der Client aus dem Vlan 400 die Anfrage an den Vlan Gateway 10.128.100.1 und dieser leitet das NICHt an die 10.128.94.155 (VLAN 300 Interface WG) sondern an die 10.128.100.155 (VLAN 400 Interface der WG)....und irgendwie geht dadurch das Intervlarn Routing flöten...

argh....

Habs heute hinbekommen - zwar bisschen andere Variante aber es funktioniert so wie es soll.

Watchguard hat weiterhin alle VLANs und die Interfaces entsprechend mit der IP 10.128.x.240.
VLAN Gateways für Clients sind die 10.128.x.254 - also bleibts erstmal auf dem Switch.

Statische Routen auf dem Switch 0.0.0.0/0 auf jeweils die Interfaces von der Watchguard.
Rückrouten von der Watchguard eingerichtet.
Nat entsprechend konfiguriert.

Es geht scheinbar nicht anders. Ich komme zwar von einem VLAN wo keine Watchguard hängt zum Gateway - dieser schickt es aber ums verrecken nicht weiter - egal wie viel ich an der FW eingestellt hab.

Traceroute zeigt, das zwischen den VLANs der Switch routet und alles was er nicht kennt, geht sauber raus auf die Watchguard.

Es hat sich auch ebenfalls herausgestellt, das der Backbone1 irgendein Problem hat, die 0er Routen anzunehmen - habe alles dann auf dem Backbone 2 eingerichtet und die Konfig läuft erstmal.
Zu dem habe ich heute im HP Forum entdeckt, das die 2920 gar kein VRRP können, ausser diese laufen im Stack. Da Stackkarten und kabel bestellt wurden, werde ich dann den Backbone1 mal komplett resetten und im Stack-Verbindung betreiben, sollte mit Redundanz auch hinhauen. Andere Lösung bleibt mir nicht - hier hat es wenn schon, das Systemhaus verkackt, welcher den Auftrag bekommem hat, eine Redundante Lösung zu liefern.

Alles in allem war es gut, dass das Wochenende dazwischen war, hatte heute früh dann gleich viel mehr Überblick.

Morgen wird dann noch ein VLAN fürs alte Netz erstellt und dieses mit eingebunden.

Eine Frage habe ich noch offen:
Angenommen, die Unterverteiler können auch L3....macht es in irgendeiner ARt und Weise Sinn, hier IP-Routing zu aktivieren oder sollen das komplett die Backbones machen?

Ich hatte die Rückrouten für die Subnetze/VLans drin, ich hatte NAT drin, ich hatte in meinen Regeln den Verkehr erlaubt.

Traceroute 8.8.8.8 --> 10.128.X.254 (VLAN GW) --> Ende...
0.0.0.0/0 auf Gateway der Watchguard war vorhanden.

Mit 0er Routen meine ich 0.0.0.0/0.

Werde den Sonntag "gemütlich" im Serverraum verbringen und mal mir das Ganze nochmal anschauen - hast eigtl. Recht, dass das ein Standardszenario ist und funktionieren sollte.

Ich werde auch die zwei Backbones mit Stack verbinden und als einen logischen Switch laufen lassen, anders bekomme ich nicht wirklcih eine Redundanz hin (VRRP nicht möglich hier) - wie du auch oben erwähnt hattest.

Unabhänging davon habe ich einige ganz dämliche Fragen - zu denen ich im Internet einfach keine passende Aussage auf mein Netzwerk zugeschnitten finde:

Wir reden in der Größenordnung von 2 Backbones und dann 8 Accessswitchen welche jeder direkt an die Backbones angeschlossen werden soll - ich mache mir Gedanken ob die Konstellation so sinnvoll ist...

1. Trunking/Trunk-Groups:
Ich habe jetzt folgend das alles eingerichtet:
Backbone 1 <--> TRK1 <--->Switch1
Backbone 2 <--> TRK1 <--->Switch1

Backbone 1 <-->Trk2 <--->Switch2
Backbone 2 <--->Trk2<---> Switch2

usw.

Backbones werden zu einem logischen gestackt.

Dh. ich habe für jeden Access-Switch eine Trunk-Gruppe und jede TrunkGruppe überträgt alle VLANs.
Bisher habe ich auch alle Vlans auf allen Switchen eingerichtet.
VLANs brauche ich zwar nicht alle überall, habe ich aber wegen MSTP mal gleich konfiguriert, damit ich da nicht durcheinander komme.

Macht man das so? Oder sollte ich die Trunks mit gleichen VLANs zusammenfassen?

2. MSTP
Ich habe Instanzen und Prioriäten und brauche mal das kurz und einfach erklärt. Habe mich nur an die BestPractice von dem o.g. Dokument gehalten.
Habe jetzt meine VLANs die erste Hälfte zur Instanz 1 genommen und die andere zur Instanz 2.
Wo liegt der Sinn der Instanzen und wie weit macht das Sinn für mich dieses zu definieren?
Daraus ergibt sich dann bei mehreren Instanzen die Prioriät...

Alle Anleitungen die ich gefunden habe sind immer mit 2-3 Switchen aufgebaut, Netzwerk war leider bisher kein Thema. Daher auch der Grund, warum ich nach der Arbeit da sitze und versuche mir die Infos aus dem Internet zu suchen - lässt imch keine Ruhe, wenn das nicht sauber läuft....

Ich habe das Routing soeben hinbekommen - wie es sein soll.

Jetzt habe ich ein Gateway an der Watchguard und der gesamte Verkehr läuft hier drüber nach draussen.

Wie du es gesagt hast:
WG hat ein Interface und ist untagged mit dem Switch verbunden.
Default Route zeigt auf die WG.
Entsprechendes NAT sowie Rückrouten konfiguriert und fertig ist der Käsekuchen...

Man muss aufpassen, dass man die entsprechenden VLANs auf der Watchguard nicht konfiguriert hat, sonst beisst sich das irgendwie.....

Zumindest ein Erfolgserlebnis ... :D

Zum Thema Spanning-Tree: Ich halte es schon irgendwo für sinnvoll das zu benutzen - ist irgendwo eine Versicherung für mich gegen Netzwerkausfälle - falls man ja irgendwo eine Schleife hat....ohne würde es mir natürlich alles sehr viel einfacher machen...