Aug 21, 2015

4234

2 Vlans miteinander verbinden

Hallo,

ich habe 2 Vlans mit Layer2 Switch TP-Link TL-SG2452 getrennnt.

Ich besitze 2 Synology DS414 NAS-Diskstations von denen jede 2 Netzwerkanschlüsse hat.

Ich habe weiterhin noch 2 Fritzbox (7490 und 7390) rumliegen.

Ich muss jetzt realisieren, dass ein Multifunktionsgerät(Drucker)(Netzwerkanschluss) in beiden Netzwerken(Vlans) zur Verfügung steht.

Wie kriege ich das hin? Ich würde nur ungerne noch ein Gerät kaufen.

Kriege ich die Diskstation so konfiguriert das sie das Multifunktionsgerät in beiden Netzwerken zur Verfügung stellt? Oder kriege ich das mit der Fritzbox hin? Evtl. mit freetz image?

Grüße
Christian

Please also mark the comments that contributed to the solution of the article

Content-Key: 280850

Url: https://administrator.de/contentid/280850

Printed on: April 19, 2024 at 07:04 o'clock

35 Comments

Latest comment

Zitat von @ChristianV8:

Kriege ich die Diskstation so konfiguriert das sie das Multifunktionsgerät in beiden Netzwerken zur Verfügung stellt?
Oder kriege ich das mit der Fritzbox hin? Evtl. mit freetz image?

Du könntest das zwar mit einer fritzbox zwar hinmurksen, aber einfacher wäre es, einfach 40€ für einen Mikrotik oder 20€ für einen DD-WRT.-Router auszugeben.

Fall Du es mit eine rfritzbox murksen willst, mußt Du NAT anbschalten und LAN1 als "WAN" konfihgurieren.

lks

Brauche ich dazu freetz?
Kann ich nicht den bereits vorhandenen WAN Anschluss nutzen? Ich benötige ihn nicht für die Internetverbindung

Zitat von @ChristianV8:

Brauche ich dazu freetz?
Kann ich nicht den bereits vorhandenen WAN Anschluss nutzen? Ich benötige ihn nicht für die Internetverbindung

Ich denke du hast die Fritzboxen rumliegen? Dann verhker eine auf der Bucht und kauf Dir davon ein dutzend Mikrotiks.

Es geht zwar auch ohen freetzen, aber dafür mußt Du in den eingeweiden der fritzbox (ar7.cfg) herummurksen. Daher würde ich Dir empfelen den deutlich besseren Weg üner einen Microtik oder dd-wrt-Router zu gehen. Notfalls verscherbelst Du halt eine der fritzboxen.

lks

Wenn ich es mit der Fritzbox machen kann wäre mir diese Lösung aber lieber. Kennt ihr eine Anleitung wie ich die Fritzbox rekonfiguriere?
Oder weiß einer etwas über die Synology Diskstation? Da sie 2 Lan Anschlüsse hat ist diese evtl auch brauchbar??

Hallo,

Wenn ich es mit der Fritzbox machen kann wäre mir diese Lösung aber lieber.

Klar aber das wäre eben auch nur hingebastelt. Also der Switch ist nur ein Layer2
Switch und kann zwar VLANs aber dazwischen routen kann er nicht also muss
das ein anderer für Ihn übernehmen.

Das betse Für Dich wäre wirklich ein kleiner Mikrotik Router oder aber
ein kleiner DD-WRt Router so wie lks es schon beschrieben hat.

Kennt ihr eine Anleitung wie ich die Fritzbox rekonfiguriere?

Einfach ein Reset defaults oder zurück auf die Werkseinstellungen "machen" und gut ist es.

Oder weiß einer etwas über die Synology Diskstation? Da sie 2 Lan Anschlüsse hat
ist diese evtl auch brauchbar??

Ja man kann sie damit nämlich in beide VLANs "packen" und gut ist es.

1 x LAN Anschluss 1 - VLAN10 - privat - 172.xx.xx.xx/24
1 x LAN Anschluss 2 - VLAN20 - privat - 196.xx.xx.xx/24

Sollte dann so funktionieren.

Gruß
Dobby

Kriege ich über die Diskstation ein Routing hin wenn sie eh schon in beiden Lans ist?

Mit rekonfigurieren der Fritzbox meinte ich was ich in die config schreiben muss damit sie die Funktion wie gewünscht erfüllt.

Kriege ich über die Diskstation ein Routing hin wenn sie eh schon in beiden Lans ist?

Brauchst Du dann ja nicht mehr! Man kann auch das NAS via LAG an den Switch anbinden
und dann einfach das NAS in allen VLANs als Mitglied eintragen, fertig. Ganz wie Du möchtest.

Gruß
Dobby

http://www.wehavemorefun.de/fritzbox/Ar7.cfg

Stichworte NAT udn Masquerading.

Aber ich gebe Dir nochmal den Tipp: Erspare Dir die Kopfschmerzen udnkauf Dir von Grabbeltisch einen 20-€uro-DD_WRT-Router.

Ich muss mir erstmal durchlesen was LAG ist.
Also muss ich ein Lan Kabel vom Nas zum switch machen, am switch einstellen das er mitglied in vlan 1 und 2 ist und den drucker mit dem 2. lan anschluss des switches verbinden?

Kann ich dann nicht auch gleich den Multifunktionsdrucker sagen das er Mitglied in beiden vlans ist?

Puhh. Kann das sein das du keine Hilfe willst? Du fragst nach einer Lösung, schmeißt alle Vorschläge über den Haufen und machst dir null eigene Gedanken.

Es ist extrem Unwahrscheinlich das der Multifunktionsdrucker in beiden VLANS sein kann. Aber da du uns nicht mal verraten hast was das für ein Gerät ist könnten wir das nicht mal beurteilen wenn wir das wollten.

Das beste ist: Kauf dir einen einfachen Router der OpenWRT kompatibel ist oder nimm einen Mikrotik. Alles andere ist Murks und du benötigst noch weitere x Forumseinträge bis das ganze läuft.

Ich muss mir erstmal durchlesen was LAG ist.

Ich wollte Dir die Möglichkeit nicht unterschlagen, da sie eben auch existiert.

Also muss ich ein Lan Kabel vom Nas zum switch machen, am switch einstellen das er mitglied...

in jedem VLAN hat!

in vlan 1 und 2 ist und den drucker mit dem 2. lan anschluss des switches verbinden?

VLAN1 ist meist das so genannte default VLAN und dort sind immer alle Geräte Mitglied
von daher nimmt das gerne der Admin zum Administrieren.

Von daher lege bitte einmal VLAN10 und VLAN 20 an und erledige es einfach damit.

Kann ich dann nicht auch gleich den Multifunktionsdrucker sagen das er Mitglied in beiden
vlans ist?

Klar funktioniert das auch mit dem Drucker, gar kein Thema.

Gruß
Dobby

Zitat von @108012:

> Kann ich dann nicht auch gleich den Multifunktionsdrucker sagen das er Mitglied in beiden
> vlans ist?
Klar funktioniert das auch mit dem Drucker, gar kein Thema.

...ich bezweifel stark das dass geht. Die meisten Drucker kommen nicht mit getagten Paketen klar - und wenn doch dann kann man meist nur eine IP Adresse festlegen.

Konica Minolta bizhub c224e ist der Drucker

Netzwerkprotokolle TCP/IP (IPv4 / IPv6); IPX/SPX; NetBEUI; AppleTalk (EtherTalk); SMB; LPD; IPP; SNMP; HTTP
Frame-Typen Ethernet 802.2; Ethernet 802.3; Ethernet II; Ethernet SNAP

Sicherheit ISO 15408 EAL3 (in Vorbereitung)
IP-Filterung und Port-Deaktivierung
SSL-Sicherung des Web-Servers (SSL2, SSL3 und TSL1.0)
IPsec-Unterstützung
IEEE 802.1x-Unterstützung, IEEE 2600.1-

Könnte das 802.1x Unterstützung für Vlan stehen?

IEEE 802.1x-Unterstützung

Damit ist wohl eher Radius Auth. gemeint.

Gruß
Dobby

Also in meinem Fall nicht brauchbar?

Du kannst diesen Drucker nur in einem VLAN haben.
Falls das deine Frage war. Du kannst den Drucker ab in ein separates VLAN tun und zwischen den 3 VLANs routen - sogar so, das die deine beiden Netze auf den das Drucker VLAN zugreifen können, sich selbst aber nicht sehen.

Genau das möchte ich auch. Wie realisiere ich das sich die Netzwerke nicht sehen und kriege ich das mit den vorhandenen Equipment hin?

Verkaufe die Fritzbox 7490 (bringt dir ~180€).

Kaufe dir ein:
- UbiQuiti EdgeRouter
- Mikrotik RouterBoard 951
- PCEngines APU.1D4
- TL-WR1043ND

Für eins solltest du dich entscheiden. Die beiden letzten erfordern einiges an Bastelarbeit, aus dem Threadverlauf heraus würde ich dir das nicht zutrauen (nicht bös gemeint).

Ich würde mir dann das Mikrotik RouterBoard 951 kaufen.

Wie ist das Vorgehen wenn ich es habe? Ich möchte das der Drucker in beiden Netzwerken sichtbar ist, jedoch sollen sie ansonsten komplett voneinander getrennt sein.

Vlan 1,2 für die jeweiligen Netzwerke, Vlan 3 für Router

Dann 3 Kabel vom Switch in den Router? Wie muss das dann konfiguriert werden?

Am Switch muss ich nichts weiter verstellen oder?

Zitat von @ChristianV8:

Ich würde mir dann das Mikrotik RouterBoard 951 kaufen.

brav, wie gesagt, verticker Deine fritzboxen und du kannst Dir einieg Mikrotiks leisten.

Wie ist das Vorgehen wenn ich es habe? Ich möchte das der Drucker in beiden Netzwerken sichtbar ist, jedoch sollen sie
ansonsten komplett voneinander getrennt sein.

Vlan 1,2 für die jeweiligen Netzwerke, Vlan 3 für Router

Nein VLAN 1 udn 2 für die Netzwerke, VLAN3 für den Multifunktionsdrucker udn der Router kann entweder mit drei beinchen an jeweils den VLANs hängen oder Du konfigurierst ein beinchen für drei VLANS.

Dann 3 Kabel vom Switch in den Router? Wie muss das dann konfiguriert werden?

So oder nur ein kabel und auf den Port zum Router tagged Pakete. (VLAN 1, 2 und 3). Der Mikrotik kann das.

lks

Wie man es ganz einfach löst erklärt dieses Tutorial:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
bzw. hier etwas mehr im Detail auf VLANs bezogen:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern

Damit sollte es dann ein Kinderspiel sein ?!

Könnt ihr mir nochmal einen Link zu einem günstigen Anbieter zu Mikrotik schicken? Ich habe mehrere gesehen und möchte nicht das falsche kaufen.

Ich habe mal die Vlan Konfiguration hochgeladen. Ist das so richtig oder muss ich noch andere Sachen am Switch ändern?

Vlan1: http://www.bilder-upload.eu/show.php?file=40f458-1440260820.jpg
Vlan2: http://www.bilder-upload.eu/show.php?file=fbd3f6-1440260859.jpg
Vlan3 (Drucker) http://www.bilder-upload.eu/show.php?file=d7a85b-1440260877.jpg

Insbesondere mit den Tagged und untagged weiß ich nicht ob es richtig ist.

Mein weiteres Vorgehen wäre den Mikrotik in Port 52 zu stecken und den Drucker in den Mikrotik.

Bitte lasse den Unsinn mit externen Bilderlinks und dortiger Zwangswerbung hier im Forum !

Das Forum hat selber eine wunderbare Bilder Upload Funktion. Die kann dir nicht entgangen sein beim Erstellen deines Beitrags, es sei denn du hast Tomaten auf Selbigen ?!
Wenn man die FAQs liest ist es kinderleicht:

Deinen Originalthread mit "Meine Fragen" auswählen und auf "Bearbeiten" klicken !
Nun kannst du oben den Button "Bilder" nicht übersehen. Anklicken und dein Bild hochladen
Den nach dem Upload erscheinenden Bilder Link mit einem Rechtsklick und Copy und Paste sichern.
Diesen Bilder Link kannst du hier in jeglichen Text bringen ! Ja, auch Antworten..! Statt des Links kommt dann ...et voila.. Dein Bild im Browser!

Kann man übrigens wunderbar auch noch nachträglich machen und die Forumscommunity hier wird es dir danken.

Ich habe ganz normal auf kommentieren geklickt und alles abgesucht. Keine Möglichkeit eines Bilderuploads gefunden. Ich habe mich selber gerärgert das ich erstmal eine Upload Seite suchen musste. So wie du es beschreibst mag es durchaus gehen. Merke ich mir fürs nächste mal

Zitat von @ChristianV8:

Ich habe ganz normal auf kommentieren geklickt und alles abgesucht. Keine Möglichkeit eines Bilderuploads gefunden. Ich habe
mich selber gerärgert das ich erstmal eine Upload Seite suchen musste. So wie du es beschreibst mag es durchaus gehen. Merke
ich mir fürs nächste mal

Ich finds auch nicht schön geschweige denn "normal". Wäre ich neu hier - ich hätts genau so gemacht...

Zitat von @ChristianV8:

So wie du es beschreibst mag es durchaus gehen.

das geht durchaus. Ich hab emir sogar dummy-Threads gemacht, aus denen ich dann Bilder in die Kommentare in anderen Threads einfügen kann. wie z.B. das

Merke ich mir fürs nächste mal

Statt Dir das zu merken, solltest Du Deine obigen Links durch die Bilder ersetzen. Viele hie rfinden es unhöflich, auf externe Seiten gehen zu müssen. Außerdem sind dann die Beiträge säter weventuell zerpflückt, wenn die Links kaputt sind.

Also: Bilde rhochladen und in den KOmmentar einfügen udn alles wird gut.

lks

PS. Ich habe die Biler übrigens imemr noch ncith gesehen, weil ich nur in besonderen Fällen auf externe Bilderlilnks klicke.

Ist die Switch Konfiguration so richtig?
Insbesondere mit dem Tagging kenne ich mich nicht so aus.
Oder muss ich LAG benutzen?

Wenn dann mal alles verbunden ist und läuft. Kann das eine Netzwerk dann das andere sehen oder geht das standardmäßig nicht.

Insbesondere mit dem Tagging kenne ich mich nicht so aus.

Keine guten Voraussetzungen um das zum Fliegen zu bringen

Frage besser jemanden der weiss was er da macht.
Deine Switchkonfig ist aber soweit OK außer das im Drucker VLAN kein untagged Port eingerichtet ist an dem der Drucker angeschlossen ist !
Soweit stimmt das aber alles und an Port 52 sind alle VLANs mit einem tagged Port angeschlossen.

Oder muss ich LAG benutzen?

Nein, das ist Blödsinn, denn LAG ist Link Aggregation, sprich das Bündeln mehrerer Ports zu einem Logischen um die Bandbreite zu erhöhen ! Vergiss den Unsinn, das bruachst du hier nicht !

Mit dem Switch ist soweit alles richtig !
Dein Problem fängt aber jetzt beim Routing zw. diesen VLANs an also dem Verbinden der VLANs untereinander.

Deine vorhandenen FritzBoxen supporten kein VLAN Tagging oder tagged Ports. In so fern sind die unbrauchbar zur Kopplung der VLANs über den tagged Port 52. Das geht schonmal technisch nicht weil die HW das nicht kann.
Alternativ könnte man aus jedem VLAN einen Untagged Port auf die FritzBox geben. Abgesehen davon das das unschön ist würde es theoretisch gehen aber die FritzBox erlaubt NICHT das Auschalten der NAT Funktion (IP Adress Translation) auf dem WAN Port. Das hat zur Folge das du NICHT transparent routen kannst zw. deinen VLANs. Die Kommunikation ist so mit aktivem NAT auf einem Routerport immer eine Einbahnstrasse !

Fazit: Deine beiden Fritzboxen sind völlig ungeeignete eine saubere Layer 3 (Routing) Kopplung zw. den VLANs zu realisieren !
Alternativ eine kleine Firewall wenn du den Zugriff zw. den Netzen restriktiv handhaben willst.
Besser ist du beschaffst dir hier für 35 Euro einen Mikrotik RB750 und realisierst das damit. Deine vorhanden Router HW ist dafür ungeeignet.
Lies dir bitte unbedingt diese Tutorials durch hier, denn sie erklären die Grundlagen zur Routing Kommunikation zw. deinen beiden Netzen:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
und speziell zu VLANs:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern

Dann kriege ich den Rest auch noch irgendwie hin,

Mein Plan war den Mikrotik mit Port 1 an den Switch Port 52 anzuschließen. Das ist definitiv richtig.
Jetzt wollte ich den Drucker an Port 2 des Switches anschließen. Das ist auch ok oder?

Das Tutorial habe ich schonmal gelesen und werde es wenn der Mikrotik da ist auch nochmal lesen. Aber vielleicht könnt ihr mir auch sagen was ich machen muss da es ja ein relativ simplers Problem ist.

Nachdem ich wie oben beschrieben den Mikrotik angeschlossen habe würde ich den Befehl "system reset-configuration skip-backup=yes no-default=yes" ausführen um NAT zu deaktivieren.
Aber wie geht es dann weiter?

Ich brauche also offenbar eine Firewall um zu verhindern das sich die anderen Geräte der Netzwerke sehen. richtig?

Mein Plan war den Mikrotik mit Port 1 an den Switch Port 52 anzuschließen. Das ist definitiv richtig.

Yepp, das ist genau richtig wenn du am MT auch tagging verwendest mit VLANs wie es in den Tutorials beschrieben ist !

Aber vielleicht könnt ihr mir auch sagen was ich machen muss da es ja ein relativ simplers Problem ist.

Klar das können wir: Lies bitte das Tutorial und die weiterführenden Links, da ist ALLES genau erklärt !
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern

Nachdem ich wie oben beschrieben den Mikrotik angeschlossen habe würde ich den Befehl "system reset-configuration skip-backup=yes no-default=yes" ausführen um NAT zu deaktivieren.

Das ist exakt richtig, denn du darfst keine Default Konfig auf der Box haben !
Lad dir WinBox , das Konfig Programm für den MT runter:
http://download2.mikrotik.com/routeros/winbox/3.0rc12/winbox.exe
Damit kannst du den Router auch OHNE gültige IP Adresse mit einem grafischen GUI konfigurieren rein auf Layer 2 Basis. Das erleichtert das Setup wenn du keine gültige IP auf der Box hast !
Winbox findet den MT automatisch wenn du das Prg. startest.

Ich brauche also offenbar eine Firewall um zu verhindern das sich die anderen Geräte der Netzwerke sehen. richtig?

Jein. Erstmal sollst du das Routing zum Laufen bringen, dann kommt die Firewall !
Praktischerweise hat der MT eine Firewall schon gleich mit an Bord wenn du die entsprechenden Access Regeln konfigurierst

Dazu sollte aber zuallererst das Routing zw. den VLANs klappen, dann kommen die Regeln um die Türen zu schliessen...nicht andersrum sonst suchst du dir beim Troubleshooting logischerweise einen Wolf !!!

Ich glaube das ich es hinkriege. Ich habe hier im Forum die entsprechenden Threats gefunden.

Wenn ich das Routing so einrichte wie in entsprechenden Threads beschrieben sehen sich erstmal alle Geräte. Ist das so weit richtig?

Habt ihr auch eine Anleitung für die Firewall damit wirklich nur die eine bestimmte ip im jeweils anderen Netzwerk sichtbar ist?

Moin Christian,

Zitat von @ChristianV8:
Habt ihr auch eine Anleitung für die Firewall damit wirklich nur die eine bestimmte ip im jeweils anderen Netzwerk sichtbar
ist?

dazu solltest du dich erst mal umfassend über die Mikrotik-Firewall informieren und wie die Firewall-Chains zusammenarbeiten
http://wiki.mikrotik.com/wiki/Manual:IP/Firewall/Filter
Nicht das du hinterher unwissend noch ein gefährliches Loch in deine Firewall bohrst

Beispiel um Traffic aus vlan1 ins vlan2 nur auf die Ziel-Adresse 192.168.10.22/24 zuzulassen :

/ip firewall filter add chain=forward comment="established; related" connection-state=established,related   
/ip firewall filter add chain=forward in-interface=vlan1 out-interface=vlan2 dst-address=192.168.10.22/24
/ip firewall filter add chain=forward in-interface=vlan1 out-interface=vlan2 action=drop

Wichtig: Die Reihenfolge der Regeln zählt, First match wins. Trifft also eine Regel zu werden nachfolgende Regeln nicht mehr abgearbeitet. Die erste Regel ist der Statefull Eintrag der den rückfließenden Traffic erlaubt.
Bestehende Einträge natürlich immer mitberücksichtigen (Für eine Übersicht benutze am einfachsten Winbox)

Alle Details über die Firewall können wir dir hier nicht erläutern, das würde ein Buch füllen. Aber dazu findest du hier im Forum ebenfalls diverse Beiträge in der Kategorie: .

Gruß jodel32

Wenn ich diese Regeln so nehme sollte das für meine Zwecke ausreichen oder?

Dann komme ich von vlan1 nur auf eine bestimmte ip ins vlan2.

Wie sieht es umgekehrt aus? Komme ich noch von 2 in 1? Muss hierfür auch eine drop Regel erstellt werden?

-
Soll ich MikroTik RouterBOARD RB750UP oder RB750GL kaufen?

Unterschied: 5xEthernet with PoE output for all ports beim UP; 5x Gigabit Ethernet, beim GL

Soll ich MikroTik RouterBOARD RB750UP oder RB750GL kaufen?

Wie sollen wir deiner Meinung nach das für dich befriedigend beantworten ? Leider können wir ja nicht übers Forum dir deine Anforderungen an die HW von der Stirn ablesen. Obwohl....wo ist denn nochmal die Kristallkugel hier.... Damit sollte es ja gehen.....

http://hexen-orakel.de/kristallkugelein.html

Zitat von @ChristianV8:

Wenn ich diese Regeln so nehme sollte das für meine Zwecke ausreichen oder?

Kommt drauf an was du alles erreichen willst.

Dann komme ich von vlan1 nur auf eine bestimmte ip ins vlan2.

Jup.

Wie sieht es umgekehrt aus? Komme ich noch von 2 in 1?

Ohne eine Drop Rule ja.

Muss hierfür auch eine drop Regel erstellt werden?

Jup.

Soll ich MikroTik RouterBOARD RB750UP oder RB750GL kaufen?
Unterschied: 5xEthernet with PoE output for all ports beim UP; 5x Gigabit Ethernet, beim GL

Siehe @aqui

German Question Routers, Routing Networks

Hotly discussed

How to set up and configure a Linux GRE tunnelAlexWisha - 3 Comments

WIREGUARD VPN ON UDM PRO BEHIND FRITZBOX - HANDSHAKE DID NOT COMPLETEjstricker - 2 Comments

End of Support dates for Office 2016, 2019 Apps und Productivity ServersDani - 1 Comment

Check of ZFW Firewallgleixnerd