VLAN Routing

[dMatschek]

Ich habe folgendes Szenario an einem 1781VA (vereinfacht dargestellt):
ETH1=LAN1=192.168.1.1/24
ETH2=LAN2=192.168.2.1/24

Über ETH2 ist ein Access-Point verbunden, der eigentlich LAN2 versorgt, nun aber auch Clients verwalten soll die eigentlich zu LAN1 gehören. Quasi wie ein Access-Point, der in ETH1 steckt. Die entsprechenden WiFi Pakete der separaten SSID können hierfür per VLAN 100 getaggt werden.

Ich sehe 2 Möglichkeiten:
Variante A:
Ein weiteres Netz auf ETH2 anlegen (LAN3=192.168.3.1, VLAN 100), dort einen DHCP Server laufen lassen, die Clients mit einer .3.x IP versorgen und über die IPv4-Regeln der Firewall zwischen LAN1 und LAN3 routen.
Nachteil: Aus Sicht der Clients kommt ein separates Netz hinzu und ich muss ggf. weitere Subnet-bezogene Dinge nachjustieren (Netz-Trusts, Server-Firewall etc.). Der Lancom ist mit Firewall und Routing zusätzlich beschäftigt.

Variante B:
Dem Lancom mit dem VLAN Modul klar machen, dass er Pakete zwischen ETH1 untagged und ETH2 VLAN 100 frei hin und herschieben kann, solange dabei der VLAN Tag entsprechen mit angepasst wird. Also einen Layer drunter.
Nachteil: Sowas hab ich bisher noch nicht umgesetzt

Habt ihr Denkanstöße und das richtige Setting für Variante B?

[PappaBaer]

Moin,

erzähle bitte noch ein wenig mehr:
- Ist an ETH2 ausschliesslich dieser Accesspoint angeschlossen oder noch weitere Geräte über einen Switch. Falls Switch: Was für ein Modell (VLAN-fähig)?
- Sollen Endgeräte aus den jeweiligen IP-Netzen miteinander kommunizieren können oder sind die beiden Netze strickt getrennt?
- Welches Accesspoint-Modell setzt Du ein?

VG,
Torsten

[dMatschek]

Hi Torsten,

das komplette Setup zu bescheiben macht die Sache hier glaube ich recht kompliziert, aber ich ergänze mal etwas weiter:
An ETH2 sind VLAN fähige Switche und mehrere Endgeräte angeschlossen, unter anderem die APs. Neben dem LAN2 laufen am ETH2 noch andere Netze (die keine Berührungspunkte mit dem LAN1 oder LAN2 haben). Die APs von Ubiquiti sind über den Controller gemanaget und spannen mehrere SSIDs auf. Unter anderem eines für LAN2. Jetzt neu als Requirement: eines für LAN1. Diese neue SSID, nennen wir wie mal WLAN-1, soll zum LAN1 gehören und damit die gleichen Firewall-Regeln durchlaufen, die für LAN1 zzt. gelten. Dort finden sich auch Regeln, in welche anderen Netze geroutet werden kann.

VG,
Matschek