Einrichtung Subnetze und evtl. VLAN - bitte um Hilfe!

[Kosta]

Hallo,

Seit ca. 3 Monaten beschäftige ich mich mit dem LANCOM und lese sehr viel über dem Gerät nach. Die 1100 Seiten Bedienungsanleitung ist sehr hilfreich, nun bin ich unsicher ob das der richtige Weg ist.

Ich habe hier ein Netzwerk bestehend aus einem LANCOM 1751, 2 HP managed Switches und einigen Access Points (2x fürs Büro, 1x für Training, 1x für Gäste, wobei Hardwaremässig, nur 3 APs existieren, das 1x Büro und 1x Training ist der gleiche AP, nur 2 SSIDs).
Im LANCOM sind IP-Netzwerke folgendermassen konfiguriert:
192.168.11.0/24 LAN1
192.168.12.0/24 LAN1
192.168.13.0/24 LAN1
192.168.14.0/24 LAN1
192.168.15.0/24 LAN1
10.132.32.0/24 LAN3

Die 192er Netze gehen auf ein Switch, per LAN1, und das 32er Netz geht an das andere Switch, per LAN3.

Es ist notwendig, eine Trennung zwischen die Netze zu machen, sprich die Nutzer aus jeweiligen Netz dürfen nicht in das andere Netz reinkommen bzw. sehen (Trennung kann ich natürlich per Firewall machen, aber es muss auch so sein, dass wenn sich der Nutzer in ein AP einloggt, ihm auch das entsprechende Netz per DHCP vergeben wird). Aber nicht nur, es darf sich auch keiner am jeweiligen Access Point nicht mit einer fixen IP in ein anderes Netz einbuchen lassen.
zB. AP1-Büro ist gedacht für Netz 13, und wenn sich der Nutzer manuell ins Netz 11 einbucht, sollte er keine Verbindung erhalten.

Da ich nicht genug Ports am LANCOM habe um das zu realisieren, muss ich mit dem LAN1/2 auskommen, aber vermutlich muss ich dann auch VLANs konfigurieren.

Das Problem ist, dass das eine Switch scheinbar nicht weiss, wo welches Subnet verwendet wird, und vermischt die alle. D.h. zB. ich will dass das eine Access Point das Netz 12 hat, und das andere Netz 13, und jetzt sind beide irgendwie Netz 11 glaube ich. Ich weiss nämlich nicht wie ich die trennen soll.

Ist VLAN die einzige Lösung, oder geht das irgendwie ohne VLAN?

Und wenn VLAN im LANCOM die Lösung ist, dann bitte um Hilfe was ich als erstes tun muss, damit mein Netz nicht lahmgelegt wird (es ist nämlich schon passiert, da musste ich Reset machen und die Konfiguration wieder laden).

Besten Dank
Kosta

[chrisac80]

Hallo Kosta,

Ist deine Anfrage noch aktuell? VLANs sind definitiv die einfachste Lösung.
Oder ist deine Anfrage bereits gelöst? Es sieht nach einer Fehleinstellung der VLANs aus.

Kannst du bitte mal "show vlan" & "show vlan 11" & "show vlan 12" & "show vlan 13" etc posten.

Mit besten Gruß
chrisac80

[Kosta]

Hallo,

Ja, ist ganz aktuell. Ich muss es so bald wie möglich lösen, da die Netze derweilen alle zusammen sind und das ist nicht gut

Derzeit ist das VLAN Modul inaktiv, da wie gesagt, mir vorige Woche das ganze Netz abgekackt ist als ich das Modul aktiviert habe.
Nach einigen Recherchen habe ich rausgefunden dass ich als "DEFAULT_VLAN" 1 und alle Ports aktivieren soll, WAN und LAN. Ist das korrekt? (die VLANs sind derzeit ganz leer)

Besten Dank
Kosta

[Avalanche]

Es ist bei der Konfiguration von VLANs sehr hilfreich, wenn man den Lancom über das serielle Kabel konfiguriert. Dadurch verlierst Du bei einer Fehlkonfiguration nicht sofort die Verbindung und damit die Konfigurationsmöglichkeit. Ähnlich verhält es sich bei den HP Switches, sofern diese eine serielle Schnittstelle haben.

Bei den Switches verbindest Du einen Port als Trunk mit dem Lancom. Darüber werden dann die verschiedenen Netzen in den jeweiligen VLANs transportiert. Danach weißt Du den restlichen Ports des Switches zu, zu welchem VLAN sie gehören sollen. Tipp: Anfangs solltest Du einen Port dem Management VLAN als untagged Port zuweisen, damit Du Deine Konfigurationsmöglichkeit nicht verlierst.

Bedenke, dass die Routing/Firewall Performance des Lancom Routers begrenzt ist.

Ich habe allerdings noch keine Möglichkeit gefunden, dass der Lancom aus den verschiedenen Netzen nicht erreichbar ist (siehe hier: http://www.lancom-forum.de/fragen-zum-t ... 13465.html).

Ansonsten einfach mit konkreter Problemstellung hier fragen...

[Kosta]

Hallo Avalanche,

Danke vorerst für die Antwort.

Nun zu diversen Themen:
Seriell - habe ich noch gar nicht nachgeschaut wie das gehen soll, und ein serielles Kabel habe ich dafür auch noch nicht.

Trunk - Wie geht das denn? Ich habe gerade nachgeschaut in der BA, einige Einträge geschaut, aber verstehe nicht wirklich viel. Geht trunking nicht nur auf einem Switch?? Derzeit ist einfach ein LAN Kabel von LAN1 zum Port24 angeschlossen, und mehr nicht wirklich.

Performance - ist mir bewusst, mehr kann ich daweil nicht wirklich machen. Es wird eh an einem neuen Router gearbeitet, LANCOM verwende ich jetzt und lerne die ganze Netzwerktechnik dran. Hier geht es mehr um die Theorie als Performance. Insg. sind ca. 20 Nutzer auf einem Switch (arbeiten an einem TS in Deutschland, also hier geht nur eine 8/8 Leitung weg), und an dem anderen Switch sind nur ein paar VMs die so gut wie gar nicht ausgelastet sind, bzw. nur dann wenn bis zu max. 7 Laptops an einem Terminal Server arbeiten. Das geht sich mit dem LANCOM daweil aus.

"dass der Lancom aus den verschiedenen Netzen nicht erreichbar ist"
Es geht nicht darum dass der LANCOM aus versch. Netzen nicht erreichbar ist, sondern dass man aus einem Netz das andere nicht sieht und nicht erreichen kann, auch zB. durch fixieren der IP. Wie oben beschrieben: "zB. AP1-Büro ist gedacht für Netz 13, und wenn sich der Nutzer manuell ins Netz 11 einbucht, sollte er keine Verbindung erhalten." <- d.h. sollte der Nutzer die IP als 192.168.11.1 eintragen, dürfte keine Verbindung zustande kommen.

[Avalanche]

Nun zu diversen Themen:
Seriell - habe ich noch gar nicht nachgeschaut wie das gehen soll, und ein serielles Kabel habe ich dafür auch noch nicht.

Lohnt sich zu bestellen, vor allem wenn man mit dem Thema VLAN anfängt. Konfiguration zurücksetzen finde ich umständlich, wenn man sich ausgesperrt hat. Hilfreich wäre es auch, einen Lancom plus einen Switch zum probieren zu haben. Nutzer schätzen es nicht so sehr, wenn man ihnen im Betrieb das Produktivnetz zerstört...

Trunk - Wie geht das denn? Ich habe gerade nachgeschaut in der BA, einige Einträge geschaut, aber verstehe nicht wirklich viel. Geht trunking nicht nur auf einem Switch?? Derzeit ist einfach ein LAN Kabel von LAN1 zum Port24 angeschlossen, und mehr nicht wirklich.

Fangen wir doch erst mal klein an: um welche Switches handelt es sich denn? Haben die diese hässliche HP Java Applet Oberfläche oder schon das neue HTML Web-Interface?

Vereinfacht gesprochen gilt: Trunk ist ein Anschluss, der Switche untereinander verbindet. Über diese Ports werden mehrere VLANs über ein Kabel transportiert. Dadurch werden die einzelnen Ethernet-Frames um einen Header mit der ID des VLANs erweitert (sogenannte Tagged Frames). Es kann aber auch zusätzlich ein VLAN ohne Header transportiert werden (sogenannte untagged Frames). Meist ist dies das Management VLAN (VLAN ID 1). Trunk Ports machen dadurch zwischen Switch <> Switch und Router <> Switch Sinn.

Die anderen Ports, an denen dann Clients hängen (z.B. PCs) heißen Access Ports. Clients gehen in der Regel davon aus, dass sie normale (sprich untagged) Pakete empfangen. Daher stellt man am Switch ein, was passieren soll, wenn er an einem Access Port ein untagged Ethernet-Frame empfängt. Beispiel: Wenn Du ein untagged Frame an Port 8 empfängst, dann gehört das zu VLAN 42; bitte Frame mit VLAN Tag 42 versehen und an alle Ports, die zu diesem VLAN gehören weiterleiten.

"dass der Lancom aus den verschiedenen Netzen nicht erreichbar ist"
Es geht nicht darum dass der LANCOM aus versch. Netzen nicht erreichbar ist, sondern dass man aus einem Netz das andere nicht sieht und nicht erreichen kann, auch zB. durch fixieren der IP. Wie oben beschrieben: "zB. AP1-Büro ist gedacht für Netz 13, und wenn sich der Nutzer manuell ins Netz 11 einbucht, sollte er keine Verbindung erhalten." <- d.h. sollte der Nutzer die IP als 192.168.11.1 eintragen, dürfte keine Verbindung zustande kommen.

Das ist schon klar. Mein verlinkter Wunsch ging über Deine Anforderung hinaus.

[Kosta]

Okay, werde das serielle Kabel bestellen, klingt schon mal sinnvoll. Leider ist ne zweite LANCOM nicht möglich, aus rein finanziellen Gründen. Aber ich kann es nach dem Schluss machen

"Fangen wir doch erst mal klein an: um welche Switches handelt es sich denn? Haben die diese hässliche HP Java Applet Oberfläche oder schon das neue HTML Web-Interface?"

Die zwei Switches die direkt am LANCOM hängen, sind je ein 1810G-24, also haben ein Web-Interface, und dann in dem anderen Teil von Büro ist ein weiterer 2510-48, der das hässliche Java-Dings hat, dieser hängt direkt an dem Switch der das "32"-er Netz hat.
Zuerst wird mit dem anderen Switch gespielt, da der 32-er das produktive Netz ist und nicht angegriffen werden sollte. LANCOM wird lediglich für DHCP verwendet, was grundsätzlich heisst wenn alle die IP-Adressen bezogen haben, kann ich das Gerät neustarten oder abstecken, ohne dass die Verbindung verloren geht (da die VPN Verbindung über einem anderen Router aufgebaut wird).

OK, also ich weiss wie ich beim Switch auf Trunk umschalte, aber beim LANCOM leider nicht. Über VLAN habe ich bereits *sehr* viel gelesen, aber mehr fehlt an Praxis als Theorie. Deswegen will ich mit einem Switch üben anfangen. Der Switch ist daweil lediglich IP-angepasst, mehr nicht. Ich kann ihm problemlos jederzeit resetten, und LANCOM ist der Konfig abgespeichert, also wenn was abkackt, dann geht alles retour sehr schnell.

Um die Frage von vorher zu wiederholen: muss ich als erstes ein DEFAULT_VLAN auf Port 1 und alle LAN-ports konfigurieren, bevor ich das VLAN Modul einschalte? Ich kann dann daweil mit dem LAN Port3 experimentieren, da dieser derzeit unbelegt ist, ohne dass ich das Netz 32 angreife und die Nutzer (wiedermal) rausschmeisse

[Dr.Einstein]

Für Access Points (komplett lesen inkl Berni):

http://www.lancom-forum.de/lancom-wirel ... 13372.html

Für Router:

Unter TCP/IP / Netzwerke entsprechend jedem Netz eine VLAN-ID verpassen. Achtung, man sperrt sich von 1751 definitiv aus. Ein Zugriff mit dieser Einstellung wäre nur noch über eine funktionierende VLAN Konfiguration an den HPs möglich.

Für Switche:
-> alle VLANs hinzufügen, Ports als Mitglieder hinzufügen
-> PC Ports etc. als untagged VLAn hinzufügen
-> Access Points Ports etc. als untagged VLAN1 + tagged alle anderen relevanten VLANs hinzufügen
-> Trunk (Uplink 1751, andere Switche) alle VLANs tagged

Wenn man noch nie mit VLANs was gemacht hat, wird's schwierig, zumal Lancom ziemlich besch*** Begrifflichkeiten im Vergleich zum Cisco/HP/etc. verwendet (siehe VLAN-Modul).

Gruß Dr.Einstein

[Kosta]

Vielen vielen Dank, ich werde morgen abends vermutlich mich an die Konfiguration machen, mal sehen ob das alles mal klappt.
Das Wichtigste ist wohl dass ich mich nicht aussperre, und dafür muss ich wohl zwei Sachen machen:
- alle LANs mit ID1 versehen
- alle Ports im VLAN Modul den VLAN 1 zuweisen

So verstehe ich das jetzt. Anderes kommt morgen

[martinw]

Tip: das serielle Konfigurationskabel gehörte bei den älteren Geräten, dazu zählt der 1751, zum Original-Lieferumfang. Einfach nochmal in der Kabelkiste nachschauen

[Kosta]

Ich verzweifel grad. LANCOM ist so dermassen kompliziert... komme heute nach fast 2 Stunden nichtmal einen Schritt weiter.

Alsooo..
Ich habe Default_VLAN als 1 konfiguriert, auf alle Ports gelegt und VLAN-Modul aufgedreht. Dann habe ich in IP-Netzwerken alle meine Netzwerke mit VLAN-ID 1 versehen. Und erst dann auf OK gegangen. Ausgesperrt. Kein Zugriff auf keinem LAN-Port. Ist das normal? Was verpasse ich?

Das interessante ist aber, wenn ich das Gerät vollkommen resette, dann ist im VLAN Modul drinnen ein einziger Eintrag, das gleiche wie oben, nur unter Ports steht nicht LAN-1, LAN-2, LAN-3, LAN-4, sondern *.*.

Wenn ich das aber in meinem Konfig verwende, will das Gerät nicht speichern, beim Prüfen steigt aus und basta. Will einfach nicht übernehmen.

Nun, habe mir heute nicht stundenlang Zeit genommen um das Konfig komplett manuell von 0 zu machen, sonst sitze ich bis Mitternacht in der Firma

Serielles Kabel werde mir besorgen, aber auch dann, wird es nicht so gehen, da das Netz lahmgelegt wird.

Es muss mal so starten dass ich VLAN Modul aktivieren kann, wie im Default Konfig. Was ist denn dort alles anders, was VLAN betreffen kann?

Besten Dank!
Kosta

[Avalanche]

Ich empfehle Euch, dass Ihr die Grundarchitektur Eures Netzwerks und die zugehörige Konfiguration von jemanden machen lasst, der in dem Bereich Erfahrung hat. Man kann hier viel falsch machen.

Unter Schnittstellen > LAN > Ethernet Ports kannst Du einstellen, welcher Port zu welchem Netz des Lancoms gehört (LAN-1 bis LAN-4). Damit kannst Du die vier Ports auf der Rückseite des Geräts in mehrere unabhängige Netzwerke trennen. Ich gehe mal davon aus, dass Du das nicht gemacht hast.

Unter Schnittstellen > VLAN > Port Tabelle musst Du für das gewünschte LAN den Modus auf Gemischt stellen und die Port-VLAN ID auf 1. Damit sagst Du, dass eingehende Pakete ohne Tag zu VLAN 1 gehören, aber auch Pakete anderer VLANS erlaubt sind, sofern diese getaggt sind.

Unter Schnittstellen > VLAN > VLAN-Tabelle musst Du Deine gewünschten VLAN-Nummern anlegen. Anfangs kannst Du diese an beliebige Ports binden (*-*) und das später verfeinern.

Damit sollte auf Layer 2 alles erledigt sein. Fehlt noch Layer 3:

IPv4 > Allgemein > IP-Netzwerke definiert die IP-Adressbereiche und ihre Zuordnung. Du brauchst für dein Default_VLAN hier ein Netz, das dem VLAN 1 zugeordnet ist. Das wird es vermutlich schon geben, evtl. ist es aber dem VLAN 1 noch nicht zugeordnet. Unter IPv4 > DHCPv4 legst Du dann noch die DHCP Einstellungen für das Netz fest. Das sollte eigentlich ebenfalls schon exisitieren.

Damit sollte alles nötige erledigt sein, damit der Lancom wie bisher erreichbar ist.

[Kosta]

Okay, danke für die ausführliche Hilfe. Wenn es damit nicht klappt, dann müssen wir wohl wem rufen. 3 Monate plage ich mich mit dem Ding schon. Vieles habe ich gelernt, aber würde auch gerne die VLAN Thema bewältigen, wenns geht. Wenn nichts anderes, dann es zu verstehen.

Soweit ich lese, war ich auf all die Orten die du erwähnst.

Eine Frage, im VLAN Modul, man kann die Ports den VLANs zuweisen, wie du oben sagst. LAN 1-4. Sind das ETH 1-4 oder wirklich die virtuellen LAN Ports? Da bei mir ist ETH1=WAN, ETH2=LAN1. Daher bin ich unsicher ob ich wählen muss LAN1 oder LAN2 um ETH2 zu treffen.

Und ziemlich alles was du hier schreibst habe ich *glaube* ich auch gemacht. Werde morgen abends dein Post durchgehen und nochmals schauen ob ich es hinbekomme. Bevor ich anfange zu trennen, vermute ich muss ich eine laufende Konfiguration auf VLAN 1 Basis haben.


Sent from my iPhone using Tapatalk

[Avalanche]

LAN-1, LAN-2, LAN-3, LAN-4 sind die virtuellen internen Netzwerke des Lancoms. Die Zuordnung zu den physikalischen Schnittstellen findest Du unter Schnittstellen > LAN > Ethernet Ports. Die physikalischen Ports heißen ETH-1, ETH-2, ETH-3, ETH-4. Dort kannst Du also beispielsweise sagen, ob ETH-1 zu LAN-1 (intern) oder zu DSL-1 (extern) gehören soll.

[Kosta]

Ja das ist mir klar. Warum wird dann im VLAN Modul LAN-4 angezeigt wenn er nicht in Verwendung ist. Deswegen war ich unsicher.
Danke.


Sent from my iPhone using Tapatalk