24
VLAN Problematik
Soll demnächst in einer Firma das Netzwerk entwirren, bei einem Blick auf die derzeitige Konfiguration sind mir aber ein paar Dinge nicht ganz klar.
Erstmal die derzeitige Konfiguration:
Ein Layer 3 Switch von Netgear FSM7328S
Insgesamt sind 4 VLANS konfiguriert.
1 = Default VLAN
10 = Internetzugang alle 24 Ports sind dort Untagged Mitglied lediglich der Port (24) an dem der Router angeschlossen ist wurde getagged
20 = Büro 1 6 Ports sind hier Untagged Mitglied Port 24 untagged
30 = Büro 2 8 Ports sind hier Untagged Mitglied Port 24 untagged
Alle PC´s, egal in welchen VLAN liegen im selben IP Adressenbereich, in dem Fall 192.168.0.xxx Subnet: 255.255.255.0 Router: 192.168.0.254
PC´s sind also alle im 192.168.0.xxx Netz, egal zu welchen Vlan sie gehören. Die Clients sind dementsprechend konfiguriert, also Gateway 192.168.0.254 DNS: 192.168.0.254
Nun ich muß zugeben das es bei mir schon eine ganze Weile her ist als ich den letzten Layer 3 Switch konfigurieren mußte, aber irgendwie ergibt meiner Meinung nach diese Konfig überhaupt keinen Sinn.
Ist es überhaupt sinnvoll / möglich die "Subnetze" im selben Adressbereich zu legen? Ich kenne es so das den einzelnen VLANS eine IP zugeordnet wird die bei den Clients als Gateway dient. diese wird dann geroutet.
Was für eine Konfiguration würdet ihr empfehlen? Kann man den unterschiedlichen VLANS die selben IP Adressenbereiche zugeteilt lassen? Es läuft kein DHCP Server, und es befinden sich doch einige PC´s in jedem VLAN (daher die Frage).
Ein Layer 3 Switch von Netgear FSM7328S
Insgesamt sind 4 VLANS konfiguriert.
1 = Default VLAN
10 = Internetzugang alle 24 Ports sind dort Untagged Mitglied lediglich der Port (24) an dem der Router angeschlossen ist wurde getagged
20 = Büro 1 6 Ports sind hier Untagged Mitglied Port 24 untagged
30 = Büro 2 8 Ports sind hier Untagged Mitglied Port 24 untagged
Alle PC´s, egal in welchen VLAN liegen im selben IP Adressenbereich, in dem Fall 192.168.0.xxx Subnet: 255.255.255.0 Router: 192.168.0.254
PC´s sind also alle im 192.168.0.xxx Netz, egal zu welchen Vlan sie gehören. Die Clients sind dementsprechend konfiguriert, also Gateway 192.168.0.254 DNS: 192.168.0.254
Nun ich muß zugeben das es bei mir schon eine ganze Weile her ist als ich den letzten Layer 3 Switch konfigurieren mußte, aber irgendwie ergibt meiner Meinung nach diese Konfig überhaupt keinen Sinn.
Ist es überhaupt sinnvoll / möglich die "Subnetze" im selben Adressbereich zu legen? Ich kenne es so das den einzelnen VLANS eine IP zugeordnet wird die bei den Clients als Gateway dient. diese wird dann geroutet.
Was für eine Konfiguration würdet ihr empfehlen? Kann man den unterschiedlichen VLANS die selben IP Adressenbereiche zugeteilt lassen? Es läuft kein DHCP Server, und es befinden sich doch einige PC´s in jedem VLAN (daher die Frage).
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 137572
Url: https://administrator.de/contentid/137572
Printed on: April 20, 2024 at 01:04 o'clock
24 Comments
Latest comment
Hallo!
Grundsätzlich:
Die Konfiguration mit einheitlichen IPs (angenommen, jedes VLAN startet mit 192.168.0.1) ergibt schon einen Sinn...
Allerdings nur dann, wenn Du zwischen den VLANS keinen Verkehr haben willst....
Ansonststen wirst Du Dir recht schwer tun, eine Route zu definieren...
ergibt ja irgendwie - für mich zumindest - wenig sinn...
oder anders gesagt:
wenn Du nun ping 192.168.0.3 eingibst (und es gibt diese Adresse in jedem VLAN), wie soll der DNS wissen, welcher 192.168.0.3 gemeint ist (der aus VLAN 10, VLAN 20 oder VLAN30)?
Falls keine IP-Adresse doppelt vorkommt, funktioniert das ganze natürlich dann schon wieder (dh zb VLAN 10 von 192.168.0.1 bis 10; VLAN 20 von 192.168.0.11 bis 20 usw), trägt aber nicht unbedingt zu grosser Übersichtlichkeit bei...
Für mich (und ich habe eine ganze Menge von Netgear-teilen hier im Einsatz) klingt diese Konfiguration danach, als hättest Du die von Netgear vorgeschlagene Konfiguration für eine Infrastruktur ohne Routing (dh, es gäbe nur einen Layer2-Switch von Netgear).
In dieser Variante ist Deine Konfiguration genau richtig!
Dafür hätte es aber ein günstigerer Switch auch getan...
alles, was aus VLAN 10 kommt darf in VLAN20 u VLAN30 (und vice versa)
VLAN 20 kommuniziert nicht mit VLAN30
Falls Traffic zwischen Büro1 und Büro2 erwünscht und nötig ist:
Du brauchst kein VLAN! Broadcasting spielt bei dieser Größe des Netzes keine Rolle, andere Gründe für ein VLAN gibts dann auch nicht mehr.
abschliessende Frage: wofür brauchst Du noch den Router an Port 24? Der Layer3 kann selbst routen...
hoffe, etwas Licht in die Sache gebracht zu haben und entschuldige mich, falls ich etwas grundlegend falsch verstanden habe..
lg
Grundsätzlich:
Die Konfiguration mit einheitlichen IPs (angenommen, jedes VLAN startet mit 192.168.0.1) ergibt schon einen Sinn...
Allerdings nur dann, wenn Du zwischen den VLANS keinen Verkehr haben willst....
Ansonststen wirst Du Dir recht schwer tun, eine Route zu definieren...
ip route 192.168.0.0 255.255.255.0 192.168.0.0oder anders gesagt:
wenn Du nun ping 192.168.0.3 eingibst (und es gibt diese Adresse in jedem VLAN), wie soll der DNS wissen, welcher 192.168.0.3 gemeint ist (der aus VLAN 10, VLAN 20 oder VLAN30)?
Falls keine IP-Adresse doppelt vorkommt, funktioniert das ganze natürlich dann schon wieder (dh zb VLAN 10 von 192.168.0.1 bis 10; VLAN 20 von 192.168.0.11 bis 20 usw), trägt aber nicht unbedingt zu grosser Übersichtlichkeit bei...
Für mich (und ich habe eine ganze Menge von Netgear-teilen hier im Einsatz) klingt diese Konfiguration danach, als hättest Du die von Netgear vorgeschlagene Konfiguration für eine Infrastruktur ohne Routing (dh, es gäbe nur einen Layer2-Switch von Netgear).
In dieser Variante ist Deine Konfiguration genau richtig!
Dafür hätte es aber ein günstigerer Switch auch getan...
alles, was aus VLAN 10 kommt darf in VLAN20 u VLAN30 (und vice versa)
VLAN 20 kommuniziert nicht mit VLAN30
Falls Traffic zwischen Büro1 und Büro2 erwünscht und nötig ist:
Du brauchst kein VLAN! Broadcasting spielt bei dieser Größe des Netzes keine Rolle, andere Gründe für ein VLAN gibts dann auch nicht mehr.
Was für eine Konfiguration würdet ihr empfehlen
Schreib mal, was heraus kommen soll.abschliessende Frage: wofür brauchst Du noch den Router an Port 24? Der Layer3 kann selbst routen...
hoffe, etwas Licht in die Sache gebracht zu haben und entschuldige mich, falls ich etwas grundlegend falsch verstanden habe..
lg
1 = Default VLAN
10 = Internetzugang alle 24 Ports sind dort Untagged Mitglied lediglich der Port (24) an dem der Router angeschlossen ist wurde getagged
20 = Büro 1 6 Ports sind hier Untagged Mitglied Port 24 untagged
30 = Büro 2 8 Ports sind hier Untagged Mitglied Port 24 untagged
Alle PC´s, egal in welchen VLAN liegen im selben IP Adressenbereich, in dem Fall 192.168.0.xxx Subnet: 255.255.255.0 Router: 192.168.0.254
PC´s sind also alle im 192.168.0.xxx Netz, egal zu welchen Vlan sie gehören. Die Clients sind dementsprechend konfiguriert, also Gateway 192.168.0.254 DNS: 192.168.0.254
10 = Internetzugang alle 24 Ports sind dort Untagged Mitglied lediglich der Port (24) an dem der Router angeschlossen ist wurde getagged
20 = Büro 1 6 Ports sind hier Untagged Mitglied Port 24 untagged
30 = Büro 2 8 Ports sind hier Untagged Mitglied Port 24 untagged
Alle PC´s, egal in welchen VLAN liegen im selben IP Adressenbereich, in dem Fall 192.168.0.xxx Subnet: 255.255.255.0 Router: 192.168.0.254
PC´s sind also alle im 192.168.0.xxx Netz, egal zu welchen Vlan sie gehören. Die Clients sind dementsprechend konfiguriert, also Gateway 192.168.0.254 DNS: 192.168.0.254
Das ist ja, sorry wenn ich es so direkt sage, Schwachsinn von Oben bis unten.
Das dir das Netz noch nicht um die Ohren geflogen ist, ist ja ein reines Wunder.
- Jedes VLAN entspricht auf Layer 3 auch immer einem eigenen Subnetz
- Niemals darf ein Port als untagged in mehr als einem VLAN sein (das ist technisch eigentlich gar nicht möglich)
Wirf das mal alles über den Haufen und mach es richtig.
Vorallem achte darauf, dass ein gemeinsamer Router nicht wieder den Vorteil von VLANs aufhebt in dem er zwischen ihnen routet.
Das ist nicht meine Konfiguration.. das ist die Konfig wie sie derzeit im Einsatz ist. Da es schon ziemlich lange her ist das ich den letzten Layer 3 Swicht konfigurieren mußte ist so einiges in Vergessenheit geraten. Mich hat nur diese Konfiguration irritiert da ich eigentlich keinen Sinn darin sah.
Hab jetzt den Switch erstmal resetet und die neueste Firmware aufgespielt was ziemlich viel Zeit in Anspruch genommen hat da das Firmware Upgrade nicht über das WEB Interface möglich war. Mußte die serielle Schnittstelle und Hyperterminal benutzen. Leider dauerte das Update so ziemlich lange.
Plan ist eigentlich 4 Vlans anzulegen in jeweils unterschiedlichen Subnetzen. Den Router hätte ich an einem einzelnen Port angeschlossen und eine IP im selben Adressbereich wie dem externen Router zugeteilt, dann noch ein Default Routing auf die IP des externen Routers und es müsste doch gehen, oder?
Plan sieht momentan mal grob so aus:
VLAN 10 192.168.1.254 Ports: 10 - 14
VLAN 20 192.168.2.254 Ports: 15 - 16
VLAN 30 192.168.0.254 Ports: 1 - 9
VLAN 40 192.168.123.254 Ports: 17 - 20
Router Port: 26 192.168.10.3 Router für DSL
Default Route : 192.168.10.1
Hab jetzt den Switch erstmal resetet und die neueste Firmware aufgespielt was ziemlich viel Zeit in Anspruch genommen hat da das Firmware Upgrade nicht über das WEB Interface möglich war. Mußte die serielle Schnittstelle und Hyperterminal benutzen. Leider dauerte das Update so ziemlich lange.
Plan ist eigentlich 4 Vlans anzulegen in jeweils unterschiedlichen Subnetzen. Den Router hätte ich an einem einzelnen Port angeschlossen und eine IP im selben Adressbereich wie dem externen Router zugeteilt, dann noch ein Default Routing auf die IP des externen Routers und es müsste doch gehen, oder?
Plan sieht momentan mal grob so aus:
VLAN 10 192.168.1.254 Ports: 10 - 14
VLAN 20 192.168.2.254 Ports: 15 - 16
VLAN 30 192.168.0.254 Ports: 1 - 9
VLAN 40 192.168.123.254 Ports: 17 - 20
Router Port: 26 192.168.10.3 Router für DSL
Default Route : 192.168.10.1
Generell ist dieser IP Plan richtig und auch sinnvoll als der Unsinn von oben. Vielleicht kannst du dir es noch etwas einfacher machen mit dem Management und dem Überblick und einfach die VLAN ID ins dritte Oktet kodieren, so kannst du die VLANs direkt und einfach identifizieren !
VLAN 10 = 192.168.10.254, Ports: 10 - 14
VLAN 20 = 192.168.20.254, Ports: 15 - 16
VLAN 30 = 192.168.30.254, Ports: 1 - 9
VLAN 40 = 192.168.40.254, Ports: 17 - 20
Internet VLAN 50 = 192.168.50.254, Ports: 26, Default Route : 192.168.50.1 wenn der Router die .1 in diesem Netz hat !
VLAN 10 = 192.168.10.254, Ports: 10 - 14
VLAN 20 = 192.168.20.254, Ports: 15 - 16
VLAN 30 = 192.168.30.254, Ports: 1 - 9
VLAN 40 = 192.168.40.254, Ports: 17 - 20
Internet VLAN 50 = 192.168.50.254, Ports: 26, Default Route : 192.168.50.1 wenn der Router die .1 in diesem Netz hat !
Würde ich normal machen, aber ein paar Einstellungen würde ich gerne übernehmen. Der Grund dafür ist relativ einfach. Bei dem Betrieb handelt es sich um eine Spielstätte. Kameraüberwachung, Internetcafe, und Büro kann ich konfigurieren, leider sind auch die "Spielgeräte" mit im Netzwerk angeschlossen um diese zentral verwalten zu können. Hier kenne ich mich aber zu wenig mit den einzelnen Geräten aus, aus diesem Grund die noch etwas verwirrte 40er VLAN ID.
Eines fällt mir aber an dem Netgear Gerät noch auf. Wenn ich ihn über das WEB Interface konfiguriere hängt er sich hin und wieder einfach auf, was auf Dauer ziemlich ärgerlich ist wenn man die Änderungen noch nicht komplett gesichert hat. Dieser Fehler tritt seltsamerweise bei der Konfiguration über die Konsole nicht auf, allerdings sind die vorgenommen Einstellungen dann nicht über das WEB Interface kontrollierbar / nachvollziehbar da die Einstellungen dort im WEB Interface nicht hinterlegt werden. Ist das normal?
Eines fällt mir aber an dem Netgear Gerät noch auf. Wenn ich ihn über das WEB Interface konfiguriere hängt er sich hin und wieder einfach auf, was auf Dauer ziemlich ärgerlich ist wenn man die Änderungen noch nicht komplett gesichert hat. Dieser Fehler tritt seltsamerweise bei der Konfiguration über die Konsole nicht auf, allerdings sind die vorgenommen Einstellungen dann nicht über das WEB Interface kontrollierbar / nachvollziehbar da die Einstellungen dort im WEB Interface nicht hinterlegt werden. Ist das normal?
Hast du die aktuellste Firmware 7.3.17 auf den Switch geflasht ??
http://www.netgear.de/de/Support/download.html?func=Search&product= ...
Das sollte das problem beheben !
http://www.netgear.de/de/Support/download.html?func=Search&product= ...
Das sollte das problem beheben !
Ja ist installiert. Mit der Version hatte ich am Anfang etwas zu kämpfen da über Netgear - Support - Geräteauswahl - Firmware nur die TFTP Version zum Download angeboten wurde. Über das Archiv bekommt man dann auch noch die HTTP Version.
Andere Frage: Muß ich den Internet-Router mit Port 26 in ein Extra VLAN legen? Wollte über IP-Inteface Konfiguration eigentlich den Port als "non-Virtual Router Port" deklarieren. Oder bin ich hier grad auf dem falschen Weg?
Andere Frage: Muß ich den Internet-Router mit Port 26 in ein Extra VLAN legen? Wollte über IP-Inteface Konfiguration eigentlich den Port als "non-Virtual Router Port" deklarieren. Oder bin ich hier grad auf dem falschen Weg?
Ja, die Freuden mit Netgear.
Du tust dir einen gefallen, wenn du ihn wegwirfst und dir einen HP 2610er oder 2510er kauft
Der Router muss nicht in einem eigenen VLAN sein, sondern er muss tagged in jedem VLAN sein (und auch entsprechend konfiguriert werden).
"non-Virtual Router Port" ist wieder irgendein Netgear-Spezial-Feature...
Du tust dir einen gefallen, wenn du ihn wegwirfst und dir einen HP 2610er oder 2510er kauft
Der Router muss nicht in einem eigenen VLAN sein, sondern er muss tagged in jedem VLAN sein (und auch entsprechend konfiguriert werden).
"non-Virtual Router Port" ist wieder irgendein Netgear-Spezial-Feature...
Muß zugeben besonders begeistert bin ich bis dato von dem Netgear auch nicht gerade. Finde die Menüstruktur teilweise ein wenig chaotisch. Außerdem bin ich mir bei mancher Namensgebung nicht hundertprozentig sicher was tatsächlich gemeint ist. Da hilft dann letztendlich immer nur ausprobieren.
Dank an alle die mir hier geholfen haben!
Dank an alle die mir hier geholfen haben!
Hola!
so schnell würde ich da Dog jetzt nicht zustimmen und das Teil gleich wegwerfen, aber prinzipiell machen die Layer3-Teile von Netgear wenig Freude...
schau dir [ftp://ftp.netgear.de/download/support/Routing-Konfiguration-Netgear-Layer3-Switches.pdf das] hier mal an, das wird dir bekannt vorkommen...
was die Firmware betrifft: warum hast Du ihn nicht über TFTP geflasht? Funktionierte bei mir immer ohne Probleme...
ansonsten ist diese Anleitung [ftp://ftp.netgear.de/download/anleitungen/Layer3TechNote.pdf hier] auch noch recht hilfreich!!!
(Anmerkung: die hier beschriebene Befehlsreferenz lief auf meinem Netgear Layer3 NICHT!!! (vmtl. für ältere Firmware geschrieben...). Als Einstieg ins Grundverständis, wie VLANs funktionieren ist diese Anleitung dennoch ausreichend...)
gues gelingen
so schnell würde ich da Dog jetzt nicht zustimmen und das Teil gleich wegwerfen, aber prinzipiell machen die Layer3-Teile von Netgear wenig Freude...
schau dir [ftp://ftp.netgear.de/download/support/Routing-Konfiguration-Netgear-Layer3-Switches.pdf das] hier mal an, das wird dir bekannt vorkommen...
was die Firmware betrifft: warum hast Du ihn nicht über TFTP geflasht? Funktionierte bei mir immer ohne Probleme...
ansonsten ist diese Anleitung [ftp://ftp.netgear.de/download/anleitungen/Layer3TechNote.pdf hier] auch noch recht hilfreich!!!
(Anmerkung: die hier beschriebene Befehlsreferenz lief auf meinem Netgear Layer3 NICHT!!! (vmtl. für ältere Firmware geschrieben...). Als Einstieg ins Grundverständis, wie VLANs funktionieren ist diese Anleitung dennoch ausreichend...)
gues gelingen
Hallo,
eine Möglichkeit zum Entwirren des Netzwerkes und Beseitigen eines VLAN-Problems ist das Entwerfen einer neuen Netzwerkstruktur, das Über-den-Haufen-werfen der alten Struktur, des alten Konzepts. Ich sehe im Thread keine Angabe, die zwingend VLANS erfordert, wozu soll das also gut sein?
Als erstes wäre also zu klären, sind VLANs zwingend erforderlich - z.B. aus "Sicherheitsgründen" - , will das jemand mit Durchsetzungskraft so? Falls also VLAN nicht zwingend dist, dann lasse es doch sein, mache ein einfaches LAN daraus!
Und falls das jetzt gut funktioniert, wozu etwas verändern?
Oder was funktioniert nicht oder nicht zufreidenstellend?
Wenn man nämlich zwischen VLANs routet (Layer 3), die VLANs verbindet dadurch, dann kann man doch auf VLANs verzichten. Oder?
Wesentlich, was soll mit VLANs konkret erreicht werden?
Manchmal will man ja eine (Ab)Trennung von Bereichen, z.B. Buchhaltung oder den Vorstand, die müssen mit ihren Rechner ja aber auch an die Datenbanken und das Internetgateway. Man kann nun versuchen, die auf einen Switch zu legen oder einen Switch in VLAN unterteilen, manchmal muss man ein oder mehrere VLANs über mehrere Switches hinweg anlegen, das ist oftmals einfacher bei einer weitverzweigten Infrastruktur, ohne extra Kabel zu verlegen.
In einem einfachen Fall mit einem Switch und zwei oder ein paar mehr VLANS möchte man dann aber mit einem Port und einem Kabel verbinden mit dem Proleten-LAN, die VLAN müssen dann über einen gemeinsamen Port verfügen, es muss eine Schnittmenge gebildet werden. Aus dem VLAN geht der Rechner/User an die Ressoucen des Proleten-LAN, dessen Ressourcen/Teilnehmer dürfen aber nicht auf die VLANs zugreifen können. Meiner Kenntnis nennt sich das bei HP-Geräten Private VLAN, einfache Geräte wie ProCurve 1700 können das nicht, wohl aber ProCurve =>2500, man muss sich die Produktmatritze eines Herstellers über die Geräteeigenschaften anschauen.
eine Möglichkeit zum Entwirren des Netzwerkes und Beseitigen eines VLAN-Problems ist das Entwerfen einer neuen Netzwerkstruktur, das Über-den-Haufen-werfen der alten Struktur, des alten Konzepts. Ich sehe im Thread keine Angabe, die zwingend VLANS erfordert, wozu soll das also gut sein?
Als erstes wäre also zu klären, sind VLANs zwingend erforderlich - z.B. aus "Sicherheitsgründen" - , will das jemand mit Durchsetzungskraft so? Falls also VLAN nicht zwingend dist, dann lasse es doch sein, mache ein einfaches LAN daraus!
Und falls das jetzt gut funktioniert, wozu etwas verändern?
Oder was funktioniert nicht oder nicht zufreidenstellend?
Wenn man nämlich zwischen VLANs routet (Layer 3), die VLANs verbindet dadurch, dann kann man doch auf VLANs verzichten. Oder?
Wesentlich, was soll mit VLANs konkret erreicht werden?
Manchmal will man ja eine (Ab)Trennung von Bereichen, z.B. Buchhaltung oder den Vorstand, die müssen mit ihren Rechner ja aber auch an die Datenbanken und das Internetgateway. Man kann nun versuchen, die auf einen Switch zu legen oder einen Switch in VLAN unterteilen, manchmal muss man ein oder mehrere VLANs über mehrere Switches hinweg anlegen, das ist oftmals einfacher bei einer weitverzweigten Infrastruktur, ohne extra Kabel zu verlegen.
In einem einfachen Fall mit einem Switch und zwei oder ein paar mehr VLANS möchte man dann aber mit einem Port und einem Kabel verbinden mit dem Proleten-LAN, die VLAN müssen dann über einen gemeinsamen Port verfügen, es muss eine Schnittmenge gebildet werden. Aus dem VLAN geht der Rechner/User an die Ressoucen des Proleten-LAN, dessen Ressourcen/Teilnehmer dürfen aber nicht auf die VLANs zugreifen können. Meiner Kenntnis nennt sich das bei HP-Geräten Private VLAN, einfache Geräte wie ProCurve 1700 können das nicht, wohl aber ProCurve =>2500, man muss sich die Produktmatritze eines Herstellers über die Geräteeigenschaften anschauen.
Wesentlich, was soll mit VLANs konkret erreicht werden?
Die einzelnen Bereiche zu trennen scheint mir hier durchaus sinnvoll.Außerdem müssen die einzelnen Bereiche nicht untereinander verbunden sein, lediglich der externe Router fürs DSL ist das einzige gemeinsam genutzte.
Zitat von @Edi.Pfisterer:
Hola!
so schnell würde ich da Dog jetzt nicht zustimmen und das Teil gleich wegwerfen, aber prinzipiell machen die Layer3-Teile von
Netgear wenig Freude...
was die Firmware betrifft: warum hast Du ihn nicht über TFTP geflasht? Funktionierte bei mir immer ohne Probleme...
Hola!
so schnell würde ich da Dog jetzt nicht zustimmen und das Teil gleich wegwerfen, aber prinzipiell machen die Layer3-Teile von
Netgear wenig Freude...
was die Firmware betrifft: warum hast Du ihn nicht über TFTP geflasht? Funktionierte bei mir immer ohne Probleme...
Ne, wegschmeißen werde ich das Teil nicht, gehört mir ja auch nicht
Hab am Anfang über TFTP geflasht, Flashvorgang war auch Erfolgreich, aber der Netgear bootete danach nicht mehr anständig hoch. Dachte erst die Firmware wäre fehlerhaft, bei der Suche im Archiv von Netgear bin ich dann über die HTTP Version gestolpert, also hab ich die benutzt.
Relativ einfach, geht um Sicherheit. Ist eine Spielstätte in der ein Internetcafe betrieben wird, die Verwaltung sitzt, eine
Videoüberwachung über IP-Kameras läuft und eine Videothek.
Videoüberwachung über IP-Kameras läuft und eine Videothek.
Ok, isso (militärischer Begriff mit vier Buchstaben)
Und das funktioniert auch alles ohne Beanstandungen?
Hola!
DAS sind Infos, mit denen kann man arbeiten...
der richtige Ansatz liegt weiter oben unter
aqui schreibt am 07.03.2010, 09:04:18 Uhr
vor.
Routing aktivieren für
VLAN 10 --> 50
20 --> 50
30 --> 50
10 --> 20
Die Konfiguration wird im von mir erwähnten Artikel dargelegt...
Alle Ports auf UNTAGGED (Tagged bräuchtest Du nur, wenn an den Ports andere Switches hängen, an die der VLAN-Tag übergeben werden soll zwecks Routing)
wichtig ist natürlich noch, dass die Clients aus zb VLAN 10 dann 192.16.10.254 als Gateway haben
(Du solltest von Clients aus diesem VLAN auch mit 192.168.10.254 das Webinterface des Routers bekommen...)
Der Router selbst hat - wie von Dog beschrieben - Default Route : 192.168.50.1
das führt dazu, dass alle unbekannten Ziele (also alles außerhalb Deines Netzes) an den DSL-Router geroutet werden...
DNS muss natürlich auch dieser Router sein...
sollte no big deal sein...
btw: was war eigentlich Dein Problem?
DAS sind Infos, mit denen kann man arbeiten...
der richtige Ansatz liegt weiter oben unter
aqui schreibt am 07.03.2010, 09:04:18 Uhr
vor.
VLAN 10 = 192.168.10.254, Ports: 10 - 14 (Verwaltung)
VLAN 20 = 192.168.20.254, Ports: 15 - 16 (Video)
VLAN 30 = 192.168.30.254, Ports: 1 - 9 (Internetcafe-Clients)
VLAN 40 = 192.168.40.254, Ports: 17 - 20 (spare)
Internet VLAN 50 = 192.168.50.254, Ports: 26, Default Route : 192.168.50.1 wenn der Router die .1 in diesem Netz hat !
VLAN 20 = 192.168.20.254, Ports: 15 - 16 (Video)
VLAN 30 = 192.168.30.254, Ports: 1 - 9 (Internetcafe-Clients)
VLAN 40 = 192.168.40.254, Ports: 17 - 20 (spare)
Internet VLAN 50 = 192.168.50.254, Ports: 26, Default Route : 192.168.50.1 wenn der Router die .1 in diesem Netz hat !
Routing aktivieren für
VLAN 10 --> 50
20 --> 50
30 --> 50
10 --> 20
Die Konfiguration wird im von mir erwähnten Artikel dargelegt...
Alle Ports auf UNTAGGED (Tagged bräuchtest Du nur, wenn an den Ports andere Switches hängen, an die der VLAN-Tag übergeben werden soll zwecks Routing)
wichtig ist natürlich noch, dass die Clients aus zb VLAN 10 dann 192.16.10.254 als Gateway haben
(Du solltest von Clients aus diesem VLAN auch mit 192.168.10.254 das Webinterface des Routers bekommen...)
Der Router selbst hat - wie von Dog beschrieben - Default Route : 192.168.50.1
das führt dazu, dass alle unbekannten Ziele (also alles außerhalb Deines Netzes) an den DSL-Router geroutet werden...
DNS muss natürlich auch dieser Router sein...
sollte no big deal sein...
btw: was war eigentlich Dein Problem?
Das Problem war / ist die derzeitige Netzwerkkonfiguration zu ersetzen durch eine die etwas mehr Sinn und Sicherheit bietet. Das Problem ist das sich der Aufwand in Grenzen halten sollte da die Spielstätte 7 Tage die Woche 24 Stunden am Tag geöffnet ist, genauso wie das Internetcafe und die Videothek (ist so ein Filmausleihcomputerdingsbums - sprich insgesamt 3 PC´s ). Neugestaltung müsste also im laufenden Betrieb erfolgen. Daher die Frage was von der bestehenden Konfig zu halten ist, und ob sie ausbaufähig wäre. Sehe aber mehrere Probleme:
1. Internetcafe - die PC´s sind zwar über Software abgesichert, aber mit dem entsprechenden Aufwand könnte man schon die ein oder andere Sicherheitseinstellung überlisten. ( Hat ein wenig mit den Wünsche des Betreibers zu tun was die Kunden alles dürfen sollen ).
2. Die Videoüberwachung durch die IP Kameras verursacht ziemlich viel Last in ihrem Segment, auch sind hier mehrere Fehlkonfigurationen vorhanden, sprich mindestens 3 Geräte mit der selben IP. Da der Vorgänger für die Videoüberwachung ein eigenes VLAN angelegt hatte, jedoch auch Kameras in anderen VLANS angeschlossen waren hat er wohl die Übersicht über die freien IP´s verloren.
3. Die Videothek. Das System basiert auf einem schon etwas älteren System ( sprich Windows 95 ). Konfiguration und Wartung gestalten sich äußerst schwierig da die Verwaltungssoftware großteils in Italienisch gehalten wurde. Streng nach dem Motto "never touch a running system" wäre es Wünschenswert dieses System vor möglichst viel Unfug zu schützen .
Das erstmal der grobe Überblick
VLAN und Routing Konfiguration habe ich unterdessen fertig, da ich meinen letzten Layer 3 Switch bereits vor längerer Zeit konfiguriert habe ist einiges in Vergessenheit geraten. Auch finde ich weiterhin das der Netgear nicht sonderlich "Benutzerfreundlich" gestaltet ist, oder das Teil haßt mich einfach.
- sprich insgesamt 3 PC´s ). Neugestaltung müsste also im laufenden Betrieb erfolgen. Daher die Frage was von der bestehenden Konfig zu halten ist, und ob sie ausbaufähig wäre. Sehe aber mehrere Probleme:1. Internetcafe - die PC´s sind zwar über Software abgesichert, aber mit dem entsprechenden Aufwand könnte man schon die ein oder andere Sicherheitseinstellung überlisten. ( Hat ein wenig mit den Wünsche des Betreibers zu tun was die Kunden alles dürfen sollen ).
2. Die Videoüberwachung durch die IP Kameras verursacht ziemlich viel Last in ihrem Segment, auch sind hier mehrere Fehlkonfigurationen vorhanden, sprich mindestens 3 Geräte mit der selben IP. Da der Vorgänger für die Videoüberwachung ein eigenes VLAN angelegt hatte, jedoch auch Kameras in anderen VLANS angeschlossen waren hat er wohl die Übersicht über die freien IP´s verloren.
3. Die Videothek. Das System basiert auf einem schon etwas älteren System ( sprich Windows 95 ). Konfiguration und Wartung gestalten sich äußerst schwierig da die Verwaltungssoftware großteils in Italienisch gehalten wurde. Streng nach dem Motto "never touch a running system" wäre es Wünschenswert dieses System vor möglichst viel Unfug zu schützen
.Das erstmal der grobe Überblick
VLAN und Routing Konfiguration habe ich unterdessen fertig, da ich meinen letzten Layer 3 Switch bereits vor längerer Zeit konfiguriert habe ist einiges in Vergessenheit geraten. Auch finde ich weiterhin das der Netgear nicht sonderlich "Benutzerfreundlich" gestaltet ist, oder das Teil haßt mich einfach
.
Ein Problem hat sich nun noch ergeben. Zwar erreiche ich aus den einzelnen VLANS den Port 26 (IP: 192.168.10.254) an dem der externe Router angeschlossen ist jedoch erhalte ich keine Verbindung ins Internet. Wenn ich aus dem WEB Interface einen PING auf den externen Router (IP: 192.168.10.1) starte wird dieser erreicht. Von den einzelnen PC´s in den VLANS ist ein PING auf 192.168.10.254 erfolgreich, jedoch nicht auf die 192.168.10.1. Default Route wurde auf 192.168.10.1 gelegt.
Das Verständnis Problem das ich derzeit noch habe ist das ich die VLANS nicht explizit Routen kann. Also ich kann nirgends einstellen das z.B. VLAN 10 --> auf VLAN 50 geroutet wird. Netgear bietet hier nur zwei Optionen an Routing Mode: enable / disable und IP Forwarding Mode: enable / disable. Beide Optionen sind auf enable.
Das Verständnis Problem das ich derzeit noch habe ist das ich die VLANS nicht explizit Routen kann. Also ich kann nirgends einstellen das z.B. VLAN 10 --> auf VLAN 50 geroutet wird. Netgear bietet hier nur zwei Optionen an Routing Mode: enable / disable und IP Forwarding Mode: enable / disable. Beide Optionen sind auf enable.
Aloha!
Dein Problem: Dein Router routet NICHT!!!
wenn Du vom 10erVLAN den 192.168.10.254 anpingen kannst, heisst das doch nur, dass Du innerhalb des VLANS auf deinen Router kommst... (sollte btw gateway in diesen VLAN sein...).
alles andere ist nicht pingbar, weil nciht geroutet wird...
Deine Lösung:
arbeite nochmal das [ftp://ftp.netgear.de/download/support/Routing-Konfiguration-Netgear-Layer3-Switches.pdf hier] durch.
(hab ich im übrigen oben schonmal angeführt...
Lass Dir Zeit und lies das Zeug einmal!!! Ich garantiere: Du wirst nicht blöder dabei
Rom wurde im übrigen auch nicht an einem Tag erbaut. Jugendliche Ungeduld ist im übrigen nicht immer ein Helfer...
(so, genug dieser altklugen Schwätzerei....)
entscheidend sind die Punkte nach "Wechseln Sie dazu ins Menü SYSTEM – ROUTING – VLAN ROUTING - CONFIG"
Netgear möchte hier von Dir folgendes:
Du sollst für jedes VLAN einen "Slot Port" einrichten (ACHTUNG: der hat genau null nix mit dem physischen Port zu tun!!!!)
im Punkt "Wechseln Sie ins Menü SYSTEM – ROUTING – IP – INTERFACE CONFIG" richtest Du nun die Routen für jeden dier zuvor erstellt "Slot Ports" ein...
etwas (ganz) anderes sind ACLs, die es verhindern, dass du beispielsweise von VLAN 10 in VLAN 20 kommst. Diese sind meines Wissens nach nicht per GUI erstellbar, und da die Befehlsreferenz (die ich habe) nicht mit der Befehlsreferenz der aktuellen Firmware für meinen GSM7324 übereinstimmt, habe ich das Ding jetzt auch in der Schublade "ALTEISEN" untergebracht...
mit anderen Worten: vielleicht findet sich hier im Forum jemand, der sich mit ACLs und Netgear auskennt, ich bin nun nicht mehr der richtige...
(vielleicht funkt bei dir aber die Befehlsreferenz, dann sollte das auch kein grosses Thema sein, in Deinem Layer3 ACLs zu implementieren...)
[ftp://ftp.netgear.de/download/anleitungen/Layer3TechNote.pdf HIER] wäre ein rasch durchzuarbeitendes Example...
(interessant wirds für Dich ab Seite 27).
hoffe, etwas Licht in die Sache gebracht zu haben...
lg
Edi
Dein Problem: Dein Router routet NICHT!!!
wenn Du vom 10erVLAN den 192.168.10.254 anpingen kannst, heisst das doch nur, dass Du innerhalb des VLANS auf deinen Router kommst... (sollte btw gateway in diesen VLAN sein...).
alles andere ist nicht pingbar, weil nciht geroutet wird...
Deine Lösung:
arbeite nochmal das [ftp://ftp.netgear.de/download/support/Routing-Konfiguration-Netgear-Layer3-Switches.pdf hier] durch.
(hab ich im übrigen oben schonmal angeführt...
Lass Dir Zeit und lies das Zeug einmal!!! Ich garantiere: Du wirst nicht blöder dabei
Rom wurde im übrigen auch nicht an einem Tag erbaut. Jugendliche Ungeduld ist im übrigen nicht immer ein Helfer...
(so, genug dieser altklugen Schwätzerei....)
Also ich kann nirgends einstellen das z.B. VLAN 10 --> auf VLAN 50 geroutet wird.
entscheidend sind die Punkte nach "Wechseln Sie dazu ins Menü SYSTEM – ROUTING – VLAN ROUTING - CONFIG"
Netgear möchte hier von Dir folgendes:
Du sollst für jedes VLAN einen "Slot Port" einrichten (ACHTUNG: der hat genau null nix mit dem physischen Port zu tun!!!!)
im Punkt "Wechseln Sie ins Menü SYSTEM – ROUTING – IP – INTERFACE CONFIG" richtest Du nun die Routen für jeden dier zuvor erstellt "Slot Ports" ein...
etwas (ganz) anderes sind ACLs, die es verhindern, dass du beispielsweise von VLAN 10 in VLAN 20 kommst. Diese sind meines Wissens nach nicht per GUI erstellbar, und da die Befehlsreferenz (die ich habe) nicht mit der Befehlsreferenz der aktuellen Firmware für meinen GSM7324 übereinstimmt, habe ich das Ding jetzt auch in der Schublade "ALTEISEN" untergebracht...
mit anderen Worten: vielleicht findet sich hier im Forum jemand, der sich mit ACLs und Netgear auskennt, ich bin nun nicht mehr der richtige...
(vielleicht funkt bei dir aber die Befehlsreferenz, dann sollte das auch kein grosses Thema sein, in Deinem Layer3 ACLs zu implementieren...)
[ftp://ftp.netgear.de/download/anleitungen/Layer3TechNote.pdf HIER] wäre ein rasch durchzuarbeitendes Example...
(interessant wirds für Dich ab Seite 27).
hoffe, etwas Licht in die Sache gebracht zu haben...
lg
Edi
Dein Problem: Dein Router routet NICHT!!!
wenn Du vom 10erVLAN den 192.168.10.254 anpingen kannst, heisst das doch nur, dass Du innerhalb des VLANS auf deinen Router
kommst... (sollte btw gateway in diesen VLAN sein...).
im Punkt "Wechseln Sie ins Menü SYSTEM – ROUTING – IP – INTERFACE CONFIG" richtest Du nun die
Routen für jeden dier zuvor erstellt "Slot Ports" ein...
Ich komme einfach nicht weiters. Habe Switch resetet um einfach nochmal alle gemachten Fehler ausgrenzen zu können:wenn Du vom 10erVLAN den 192.168.10.254 anpingen kannst, heisst das doch nur, dass Du innerhalb des VLANS auf deinen Router
kommst... (sollte btw gateway in diesen VLAN sein...).
im Punkt "Wechseln Sie ins Menü SYSTEM – ROUTING – IP – INTERFACE CONFIG" richtest Du nun die
Routen für jeden dier zuvor erstellt "Slot Ports" ein...
1. Ich lege die VLANS, die da wären
VLAN 10 Internetcafe: Ports 10 - 14
VLAN 20 Videothek : Ports 15 - 16
VLAN 30 Büro und Videoüberwachung : Ports 1 - 9
VLAN 40 Spielstätte: Ports 17 - 20
VLAN 50 Internetzugang Port 26
alle Ports wurden untagged gesetzt
Internet Router IP 192.168.10.1
Default Route wurde auf 192.168.10.1 gesetzt
Routing:
Den einzelnen VLANS IP´s im Menü ROUTING - VLAN - VLAN ROUTING zugeteilt. Diese wären
VLAN 10 192.168.1.254
VLAN 20 192.168.2.254
VLAN 30 192.168.0.254
VLAN 40 192.168.123.254
VLAN 50 192.168.10.254
DANACH INS MENÜ: Routing - IP - ADVANCED - IP INTERFACE CONFIGURATION - VLANS
Hier kann ich aber nichts routen, kann hier nur den Routing Mode aktivieren sowie den Administrative Mode. Beide Optionen bei den VLANS auf enables gestellt.
In der Routing Table habe ich nun folgende Routen:
Unter Configure Routes:
Default Route: IP : 0.0.0.0 Subnet : 255.255.255.0 NEXT HOP IP ADRESS: 192.168.10.1 PREFERENCES : 1
LEARNED ROUTES: (hier kann nichts verändert, gelöscht usw werden)
Route Type Network Address Subnet Mask Protocol Next Hop Interface Next Hop Address Preference Metric
Dynamic 192.168.0.0 255.255.255.0 local VLAN 30 192.168.0.254 0 1
Dynamic 192.168.1.0 255.255.255.0 local VLAN 10 192.168.1.254 0 1
Dynamic 192.168.2.0 255.255.255.0 local VLAN 20 192.168.2.254 0 1
Dynamic 192.168.10.0 255.255.255.0 local VLAN 50 192.168.10.254 0 1
Dynamic 192.168.11.0 255.255.255.0 local VLAN 1 192.168.11.254 0 1 (Default VLAN)
Dynamic 192.168.123.0 255.255.255.0 local VLAN 40 192.168.123.254 0 1
Bei Configure Routes wäre es mir möglich static Routes festzulegen, hier die Frage was muß hier eingetragen werden?
Bei Configure Routes wäre es mir möglich static Routes festzulegen, hier die Frage was muß hier eingetragen werden?
YES!
siehe hier
lg
Hiho
Die "Rückrouten" auf dem Internet Router sind schon eingetragen, funktioniert trotzdem nicht.
Auf dem Internetrouter sind also folgende Routings eingerichtet:
IP 192.168.0.0 Subnet: 255.255.255.0 Gateway 192.168.10.1
IP 192.168.1.0 Subnet: 255.255.255.0 Gateway 192.168.10.1
IP 192.168.2.0 Subnet 255.255.255.0 Gateway 192.168.10.1
IP 192.168.123.0 Subnet 255.255.255.0 Gateway 192.168.10.1
Mein persönlicher Verdacht geht dahin, das ich der Meinung bin das die Default Route nicht funktioniert, obwohl gesetzt. Leider konnte mir der Netgear Support auch nicht weiter helfen.
Werde das Teil jetzt nochmal reseten, und dann einfach mal nur 2 VLANS einrichten. 1x für PC und co. und 1x für Internet. Mal gucken was paßiert.
Die "Rückrouten" auf dem Internet Router sind schon eingetragen, funktioniert trotzdem nicht.
Auf dem Internetrouter sind also folgende Routings eingerichtet:
IP 192.168.0.0 Subnet: 255.255.255.0 Gateway 192.168.10.1
IP 192.168.1.0 Subnet: 255.255.255.0 Gateway 192.168.10.1
IP 192.168.2.0 Subnet 255.255.255.0 Gateway 192.168.10.1
IP 192.168.123.0 Subnet 255.255.255.0 Gateway 192.168.10.1
Mein persönlicher Verdacht geht dahin, das ich der Meinung bin das die Default Route nicht funktioniert, obwohl gesetzt. Leider konnte mir der Netgear Support auch nicht weiter helfen.
Werde das Teil jetzt nochmal reseten, und dann einfach mal nur 2 VLANS einrichten. 1x für PC und co. und 1x für Internet. Mal gucken was paßiert.
Hab nun eine Verbindung erreicht, scheint als würden die Einstellungen, die per WEB Interface gemacht wurden, nicht aktiv sind.
Hab den Switch eben resetet. Dann über Konsole IP vergeben für WEB INTERFACE usw. Dann ausnahmsweise gleich über die Konsole gleich 2 x VLANS eingerichtet (weil ich zu faul war erst wieder ins WEB Interface zu switchen), Routing usw.eingerichtet, uns siehe da:
START- ES FUNKTIONIERT. KONFIGURATION NICHT ANDERS ALS VORHER!
Switch resetet:
Diesmal Konfiguration über WEB Interface (selben Einstellungen) - Wieder keine Verbindung ins Internet möglich.
Über Konsole auf Switch zugegriffen, Einstellungen anzeigen lassen, nichts vorhanden? Ins WEB INTERFACE gewechselt, Einstellungen vorhanden! Nochmals Einstellungen im WEB INTERFACE dauerhaft gespeichert, Switch neu gebootet, Keine Internetverbindung. Zugriff über Konsole, keine Einstellungen vorhanden, im WEB Interface weiterhin alles drinnen!
Switch funktioniert aber ansonsten ohne Probleme, Fehler beim Firmwareflash ?
Werde jetzt wohl nicht drumrum kommen den komplett über die Konsole zu konfigurieren. Hatte gehoft mir dies ersparen zu können.
Hab den Switch eben resetet. Dann über Konsole IP vergeben für WEB INTERFACE usw. Dann ausnahmsweise gleich über die Konsole gleich 2 x VLANS eingerichtet (weil ich zu faul war erst wieder ins WEB Interface zu switchen), Routing usw.eingerichtet, uns siehe da:
START- ES FUNKTIONIERT. KONFIGURATION NICHT ANDERS ALS VORHER!
Switch resetet:
Diesmal Konfiguration über WEB Interface (selben Einstellungen) - Wieder keine Verbindung ins Internet möglich.
Über Konsole auf Switch zugegriffen, Einstellungen anzeigen lassen, nichts vorhanden? Ins WEB INTERFACE gewechselt, Einstellungen vorhanden! Nochmals Einstellungen im WEB INTERFACE dauerhaft gespeichert, Switch neu gebootet, Keine Internetverbindung. Zugriff über Konsole, keine Einstellungen vorhanden, im WEB Interface weiterhin alles drinnen!
Switch funktioniert aber ansonsten ohne Probleme, Fehler beim Firmwareflash ?
Werde jetzt wohl nicht drumrum kommen den komplett über die Konsole zu konfigurieren. Hatte gehoft mir dies ersparen zu können.
Hallo!
Ich glaubem ich zu erinnern, dass die Änderungen erst wirksam werden, wenn Du die aktuelle Config speicherst...
(ist - wenn mich nicht alles trügt - bei 3com auch so, wenn du über die Konsole etwas änderst...)
Lies mal im Manual nach...
lg
Ich glaubem ich zu erinnern, dass die Änderungen erst wirksam werden, wenn Du die aktuelle Config speicherst...
(ist - wenn mich nicht alles trügt - bei 3com auch so, wenn du über die Konsole etwas änderst...)
Lies mal im Manual nach...
lg
Übers WEB Interface ist es so das es zwei Möglichkeiten gibt.
Erstmal die Änderungen mit APPLY akzeptieren und ausführen, wenn diese dann funktionieren kann man sie ins dauerhaft speichern. Änderungen die nicht dauerhaft gespeichert wurden gehen nach einen Neustart somit wieder verloren. Hab die Änderungen aber auch dauerhaft gespeichert und Switch neu gebootet, trotzdem funktionierten die WEB Einstellungen nicht.
Über die Konsole speichert man am Schluss die Änderungen dauerhaft ab.
Das einzige Manko das ich derzeit noch habe ist das die per Konsole ausgeführten Konfigurationen nicht im WEB Interface auftauchen (auch nach dauerhaften Speichern und Neustart des Switch).
Ansonsten funktioniert jetzt erstmal alles, auch die ACL Regeln funktionieren anstandslos. Aber wie gesagt, nur wenn Switch über Konsole konfiguriert wird.
Möchte mich hiermit dann bei allen für die Hilfe und die Ausdauer beim beantworten meiner nervigen Fragen bedanken.
Erstmal die Änderungen mit APPLY akzeptieren und ausführen, wenn diese dann funktionieren kann man sie ins dauerhaft speichern. Änderungen die nicht dauerhaft gespeichert wurden gehen nach einen Neustart somit wieder verloren. Hab die Änderungen aber auch dauerhaft gespeichert und Switch neu gebootet, trotzdem funktionierten die WEB Einstellungen nicht.
Über die Konsole speichert man am Schluss die Änderungen dauerhaft ab.
Das einzige Manko das ich derzeit noch habe ist das die per Konsole ausgeführten Konfigurationen nicht im WEB Interface auftauchen (auch nach dauerhaften Speichern und Neustart des Switch).
Ansonsten funktioniert jetzt erstmal alles, auch die ACL Regeln funktionieren anstandslos. Aber wie gesagt, nur wenn Switch über Konsole konfiguriert wird.
Möchte mich hiermit dann bei allen für die Hilfe und die Ausdauer beim beantworten meiner nervigen Fragen bedanken.
