56268
Oct 26, 2007, updated at Oct 30, 2007 at 13:57:08 (UTC)
6615
6
0
Switch-Config und Router, speziell VLAN
Hallo,
ich habe 2x Embedded Systeme mit jeweils 3 NICs, die als Router/Firewall fungieren sollen, u.a. auch als SYNC für Failover (3. NIC).
Also jeder Router hat 3 -Netzwerk-Interfaces: LAN, WAN, SYNC - dazu einen HP 2510-24 Switch.
Jetzt möchte ich den Switch in 2 Klassen teilen, 1x für Kunden (Port 13-24) und 1x für eigene Server (1-12)., Port 25 und 26 dienen als Up-Link zum Router.
Dafür dachte ich wäre VLANs sehr hilfreich.
Wie erreiche ich das jetzt?
Erstell ich ein VLAN-1 für die Ports 1-12 und ein VLAN-2 für 13-24 und tagge alle Ports?
VLAN-1 hat die IP 192.168.10.3, und VLAN-2 192.168.100.3
Somit sollten doch die nicht im gleichen Netz sein, ergo kein Broadcatstraffic entstehen und z.B. auch keine Viren untereinander "ausgetauscht" werden (sollten diese im Netz sein).
Der Router hat standartmäßig die IP 192.168.0.1 und der Failover 192.168.0.2.
Ergänze also weiteres das Netz 192.168.10.0/24 und 192.168.100.0/24 und wie route ich dann auf VLAN-1 und VLAN-2?
Port 25 und 26 bekommen einen Tagged-Trunked-Link fü 25 und 26, wo VLAN-1 und VLAN-2 enthalten sind, aber 25 und 26 bilden bzw. benötigen kein "eigenes" VLAN (z.b. VLAN 3)?
Die angeschlossenen Server sollten nichts spezielles einstellen in der Netzwerkconfig, außer die IP 192.168.100.x oder 192.168.10.x
Für Hilfe und Antworten wäre ich sehr dankbar.
ich habe 2x Embedded Systeme mit jeweils 3 NICs, die als Router/Firewall fungieren sollen, u.a. auch als SYNC für Failover (3. NIC).
Also jeder Router hat 3 -Netzwerk-Interfaces: LAN, WAN, SYNC - dazu einen HP 2510-24 Switch.
Jetzt möchte ich den Switch in 2 Klassen teilen, 1x für Kunden (Port 13-24) und 1x für eigene Server (1-12)., Port 25 und 26 dienen als Up-Link zum Router.
Dafür dachte ich wäre VLANs sehr hilfreich.
Wie erreiche ich das jetzt?
Erstell ich ein VLAN-1 für die Ports 1-12 und ein VLAN-2 für 13-24 und tagge alle Ports?
VLAN-1 hat die IP 192.168.10.3, und VLAN-2 192.168.100.3
Somit sollten doch die nicht im gleichen Netz sein, ergo kein Broadcatstraffic entstehen und z.B. auch keine Viren untereinander "ausgetauscht" werden (sollten diese im Netz sein).
Der Router hat standartmäßig die IP 192.168.0.1 und der Failover 192.168.0.2.
Ergänze also weiteres das Netz 192.168.10.0/24 und 192.168.100.0/24 und wie route ich dann auf VLAN-1 und VLAN-2?
Port 25 und 26 bekommen einen Tagged-Trunked-Link fü 25 und 26, wo VLAN-1 und VLAN-2 enthalten sind, aber 25 und 26 bilden bzw. benötigen kein "eigenes" VLAN (z.b. VLAN 3)?
Die angeschlossenen Server sollten nichts spezielles einstellen in der Netzwerkconfig, außer die IP 192.168.100.x oder 192.168.10.x
Für Hilfe und Antworten wäre ich sehr dankbar.
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 72028
Url: https://administrator.de/contentid/72028
Printed on: April 20, 2024 at 01:04 o'clock
6 Comments
Latest comment
Hallo,
Sind sie auch.
Das ist eine Möglichkeit. Wenn du das Routing zwischen den VLAN auch noch abstellst (sofern überhaupt vorhanden), bist auch in Sicherheitsfragen bereits einen Schritt weiter.
Diese IPs haben die VLAN mit grosser Wahrscheinlichkeit nicht. Vermutlich auch keine andere. VLAN haben nichts mit IP zu tun, sondern gliedern den Switch in logische Bereiche. Welche IPs in diesen Bereichen gelten, ist unerheblich.
Sofern du nicht auch Subnetting betreibst, werden diese IPs auch keine Netzwerke sein, sondern Hosts bzw. die virtuellen Router/Gatewys (wenn Layer 3-Switch) des VLAN.
Was spricht gegen folgende Konstellation:
1-13: VLAN 1
14-26: VLAN 2
Router in 13 und 26 als Access-Port wie ein normaler Client des Switches. Router-Adresse jeweils im eigenen VLAN auf die Clients als Gateway eintragen.
Über den Router gleich wieder raus in Netz und fertig.
Sofern keine DMZ gebraucht wird, sollte man mit zwei VLAN auskommen.
mfg, TZ
Dafür dachte ich wäre VLANs sehr
hilfreich.
hilfreich.
Sind sie auch.
Wie erreiche ich das jetzt?
Erstell ich ein VLAN-1 für die Ports
1-12 und ein VLAN-2 für 13-24 und tagge
alle Ports?
Erstell ich ein VLAN-1 für die Ports
1-12 und ein VLAN-2 für 13-24 und tagge
alle Ports?
Das ist eine Möglichkeit. Wenn du das Routing zwischen den VLAN auch noch abstellst (sofern überhaupt vorhanden), bist auch in Sicherheitsfragen bereits einen Schritt weiter.
VLAN-1 hat die IP 192.168.10.3, und VLAN-2
192.168.100.3
192.168.100.3
Diese IPs haben die VLAN mit grosser Wahrscheinlichkeit nicht. Vermutlich auch keine andere. VLAN haben nichts mit IP zu tun, sondern gliedern den Switch in logische Bereiche. Welche IPs in diesen Bereichen gelten, ist unerheblich.
Sofern du nicht auch Subnetting betreibst, werden diese IPs auch keine Netzwerke sein, sondern Hosts bzw. die virtuellen Router/Gatewys (wenn Layer 3-Switch) des VLAN.
Der Router hat standartmäßig die
IP 192.168.0.1 und der Failover 192.168.0.2.
Ergänze also weiteres das Netz
192.168.10.0/24 und 192.168.100.0/24 und wie
route ich dann auf VLAN-1 und VLAN-2?
Port 25 und 26 bekommen einen
Tagged-Trunked-Link fü 25 und 26, wo
VLAN-1 und VLAN-2 enthalten sind, aber 25 und
26 bilden bzw. benötigen kein
"eigenes" VLAN (z.b. VLAN 3)?
IP 192.168.0.1 und der Failover 192.168.0.2.
Ergänze also weiteres das Netz
192.168.10.0/24 und 192.168.100.0/24 und wie
route ich dann auf VLAN-1 und VLAN-2?
Port 25 und 26 bekommen einen
Tagged-Trunked-Link fü 25 und 26, wo
VLAN-1 und VLAN-2 enthalten sind, aber 25 und
26 bilden bzw. benötigen kein
"eigenes" VLAN (z.b. VLAN 3)?
Was spricht gegen folgende Konstellation:
1-13: VLAN 1
14-26: VLAN 2
Router in 13 und 26 als Access-Port wie ein normaler Client des Switches. Router-Adresse jeweils im eigenen VLAN auf die Clients als Gateway eintragen.
Über den Router gleich wieder raus in Netz und fertig.
Sofern keine DMZ gebraucht wird, sollte man mit zwei VLAN auskommen.
mfg, TZ
Tagged ports benötigst du nur wenn du die VLAN Information (VLAN ID) mit übertragen musst z.B. zu einem anderen Switch um die VLAN Information zu übertragen oder einem Server dessen NIC die VLANs erkennt (802.1q fähig) wie z.B. hier beschrieben:
Auf einem Switch befinden sich per default immer alle Ports im VLAN 1 , denn das ist immer das default VLAN, das musst du also nicht extra einrichten.
Du richtest dann nur z.B. deine 2 zusätzlichen VLANs ein. Auf deinem HP Switch sieht das dann so aus:
vlan 1
name "DEFAULT_VLAN"
untagged 1-12
ip address 172.16.1.254 255.255.255.0
no untagged 13-24
exit
vlan 2
name "Kunden"
untagged 13-24
tagged 25
exit
Wenn du dich selber nicht im default VLAN haben willst dann legst du noch ein separates VLAN an für dich und deine Server. Die Konfig sähe dann so aus:
vlan 1
name "DEFAULT_VLAN"
untagged
ip address 172.16.1.254 255.255.255.0
no untagged 1-24
exit
vlan 2
name "Kunden"
untagged 13-24
tagged 25-26
exit
vlan 3
name "Meine_Server"
untagged 1-12
tagged 25-26
exit
In Problematiken wie Routing zwischen den VLANs kannst du nicht rennen, denn die HP 2510er Serie sind reine Layer 2 Switches, können also nicht routen.
Aber auch wenn unterbindet man das Routinng zwischen den VLANs einfach indem man einfach in dem VLAN keine Layer 3 IP Roiting Adresse konfiguriert. Wie gesagt da dein switch das nicht kann ist das hier kein Thema für dich...
Mit der o.a. Konfig hast du dann deine 2 VLANs. Das default VLAN wird immer untagged übertragen und kann nicht getagged werden laut .1q Standard, d.h. willst du auch deine Server bzw. dein Server-VLAN tagged an den Uplinks sehen um sie zu routen, wie z.B. im o.a. Tutorial beschrieben, musst du die Variante 2 mit den beiden separaten VLANs für deine Kunden und deine Server wählen.
Die IP Adresse zum managen kannst du natürlich auch in das Kunden oder Server VLAN hängen.
Eine gute Einführung in das Thema VLANs und 802.1q Tagging findest du hier:
http://www.heise.de/netze/artikel/77832
Auf einem Switch befinden sich per default immer alle Ports im VLAN 1 , denn das ist immer das default VLAN, das musst du also nicht extra einrichten.
Du richtest dann nur z.B. deine 2 zusätzlichen VLANs ein. Auf deinem HP Switch sieht das dann so aus:
vlan 1
name "DEFAULT_VLAN"
untagged 1-12
ip address 172.16.1.254 255.255.255.0
no untagged 13-24
exit
vlan 2
name "Kunden"
untagged 13-24
tagged 25
exit
Wenn du dich selber nicht im default VLAN haben willst dann legst du noch ein separates VLAN an für dich und deine Server. Die Konfig sähe dann so aus:
vlan 1
name "DEFAULT_VLAN"
untagged
ip address 172.16.1.254 255.255.255.0
no untagged 1-24
exit
vlan 2
name "Kunden"
untagged 13-24
tagged 25-26
exit
vlan 3
name "Meine_Server"
untagged 1-12
tagged 25-26
exit
In Problematiken wie Routing zwischen den VLANs kannst du nicht rennen, denn die HP 2510er Serie sind reine Layer 2 Switches, können also nicht routen.
Aber auch wenn unterbindet man das Routinng zwischen den VLANs einfach indem man einfach in dem VLAN keine Layer 3 IP Roiting Adresse konfiguriert. Wie gesagt da dein switch das nicht kann ist das hier kein Thema für dich...
Mit der o.a. Konfig hast du dann deine 2 VLANs. Das default VLAN wird immer untagged übertragen und kann nicht getagged werden laut .1q Standard, d.h. willst du auch deine Server bzw. dein Server-VLAN tagged an den Uplinks sehen um sie zu routen, wie z.B. im o.a. Tutorial beschrieben, musst du die Variante 2 mit den beiden separaten VLANs für deine Kunden und deine Server wählen.
Die IP Adresse zum managen kannst du natürlich auch in das Kunden oder Server VLAN hängen.
Eine gute Einführung in das Thema VLANs und 802.1q Tagging findest du hier:
http://www.heise.de/netze/artikel/77832
Hallo,
vielen Dank für die Hilfe. Ich glaube ich sollte mal einen CCNA-Kurs in Anspruch nehmen.
Wie aqui bekomme ich das nicht konfiguriert, sondern so:
vlan 1
name "DEFAULT_VLAN"
ip address 192.168.0.3 ### ich muss von außen den Switch ja noch konfigurieren können
no untagged 1-24
exit
vlan 2
name "Kunden"
untagged 13-24
tagged 25-26
exit
vlan 3
name "Meine_Server"
untagged 1-12
tagged 25-26
exit
Kann es sein, wenn ich mich im Netz 192.168.0.X befinde und jetzt gerade für die Konfiguration nur 1 Uplink direkt an VLAN 2 habe, dass ich nicht auf den Switch mit der IP 192.168.0.3 connecten kann?
Die Kunden und der Rest sollen IP aus dem Netzwerk 192.168.0.0/24 bekommen, heisst diese sollen dann auf dem Router "genatet" werden - sollte doch ohne Probleme gehen?
@ Tischzecke:
Verstehe ich das richtig, dass du folgendes meinst:
Vom Router 1 in Port 13 und Router 2 in Port 26, diese beiden Ports, VLAN 1 und 2 bekommen 192.168.0.1 als GW eingetragen und eine IP aus dem Subnet ?
vielen Dank für die Hilfe. Ich glaube ich sollte mal einen CCNA-Kurs in Anspruch nehmen.
Wie aqui bekomme ich das nicht konfiguriert, sondern so:
vlan 1
name "DEFAULT_VLAN"
ip address 192.168.0.3 ### ich muss von außen den Switch ja noch konfigurieren können
no untagged 1-24
exit
vlan 2
name "Kunden"
untagged 13-24
tagged 25-26
exit
vlan 3
name "Meine_Server"
untagged 1-12
tagged 25-26
exit
Kann es sein, wenn ich mich im Netz 192.168.0.X befinde und jetzt gerade für die Konfiguration nur 1 Uplink direkt an VLAN 2 habe, dass ich nicht auf den Switch mit der IP 192.168.0.3 connecten kann?
Die Kunden und der Rest sollen IP aus dem Netzwerk 192.168.0.0/24 bekommen, heisst diese sollen dann auf dem Router "genatet" werden - sollte doch ohne Probleme gehen?
@ Tischzecke:
Verstehe ich das richtig, dass du folgendes meinst:
Vom Router 1 in Port 13 und Router 2 in Port 26, diese beiden Ports, VLAN 1 und 2 bekommen 192.168.0.1 als GW eingetragen und eine IP aus dem Subnet ?
....Wie aqui bekomme ich das nicht konfiguriert, sondern so:..
Komisch, deine Konfig ist exakt die die ich ja auch oben angegeben hab. Der Satz ist also irgendwie unverständlich....OK,..
Wenn du Clients in VLAN-2 und VLAN-3 hast, die können niemals auf die IP des Switches zugreifen, das ist klar, denn die IP hängt ja nur in VLAN1 ist also folglich nur von Clients zu erreichen die in VLAN1 hängen, das ist ja klar...
Wenn du allerdings über einen tagged Trunk via Server routest wie es im o.a. wenn du separate NICs benutzt, dann kannst du aus allen VLANs natürlich auch wieder den Switch im VLAN-1 erreichen, keine Frage !
Zwingende Voraussetzung ist natürlich das du deinem Switch mit **ip default-gateway 192.168.0.x" natürlich noch die Default Gateway Adresse des VLAN 1 im IP Segment 192.168.0.0/24 gibst, das sollte dir klar sein ! Der Switch verhält sich ja in der Beziehung genau wie jeder Client der in einem VLAN hängt und ein Default Gateway benötigt !
Komisch, deine Konfig ist exakt die die ich ja auch oben angegeben hab. Der Satz ist also irgendwie unverständlich....OK,..
Wenn du Clients in VLAN-2 und VLAN-3 hast, die können niemals auf die IP des Switches zugreifen, das ist klar, denn die IP hängt ja nur in VLAN1 ist also folglich nur von Clients zu erreichen die in VLAN1 hängen, das ist ja klar...
Wenn du allerdings über einen tagged Trunk via Server routest wie es im o.a. wenn du separate NICs benutzt, dann kannst du aus allen VLANs natürlich auch wieder den Switch im VLAN-1 erreichen, keine Frage !
Zwingende Voraussetzung ist natürlich das du deinem Switch mit **ip default-gateway 192.168.0.x" natürlich noch die Default Gateway Adresse des VLAN 1 im IP Segment 192.168.0.0/24 gibst, das sollte dir klar sein ! Der Switch verhält sich ja in der Beziehung genau wie jeder Client der in einem VLAN hängt und ein Default Gateway benötigt !
Hallo aqui:
bei die stand nach DEFAULT_VLAN noch eine Zeile mit "untagged" ohne Portangabe...
Die IP im DEFAULT_VLAN wollt ich mit 192.168.0.3 angeben.
Um die IM VLAN 2 und VLAN 3 befindlichen Server zu erreichen, ist es doch egal welche IP ich vergebe oder? Die IP's werden doch vom Router direkt via NAT an den Switch geleitet?
Sorry für meine doofen Fragen...
bei die stand nach DEFAULT_VLAN noch eine Zeile mit "untagged" ohne Portangabe...
Die IP im DEFAULT_VLAN wollt ich mit 192.168.0.3 angeben.
Um die IM VLAN 2 und VLAN 3 befindlichen Server zu erreichen, ist es doch egal welche IP ich vergebe oder? Die IP's werden doch vom Router direkt via NAT an den Switch geleitet?
Sorry für meine doofen Fragen...
...doofe Fragen gibts nicht nur doofe Antworten ! 
Ja letztlich ist es egal was du für IPs verwendest, denn dem VLAN selber ist das egal. Allerdings musst du schon innerhalb eines VLANs dasselbe IP Netz benutzen, die IP müssen also zum selben Netz gehören, denn sonst können sie nicht kommunizieren ! Das ist aber dasgleiche auf einem Koaxkabel auch, hat also letztlich was mit dem IP Design zu tun nicht mit dem Switchnetz.
Ggf. solltest du dir nochmal den Heise Artikel oben zu Gemüte führen, denn der erklärt alles recht anschaulich, auch für Laien !
Ja letztlich ist es egal was du für IPs verwendest, denn dem VLAN selber ist das egal. Allerdings musst du schon innerhalb eines VLANs dasselbe IP Netz benutzen, die IP müssen also zum selben Netz gehören, denn sonst können sie nicht kommunizieren ! Das ist aber dasgleiche auf einem Koaxkabel auch, hat also letztlich was mit dem IP Design zu tun nicht mit dem Switchnetz.
Ggf. solltest du dir nochmal den Heise Artikel oben zu Gemüte führen, denn der erklärt alles recht anschaulich, auch für Laien !
