Lancom L54 Dual an 2 physikalisch getrennten Netzen

[xalpha]

Hallo,

ich hätte eine Frage zum L54 Dual. Da er ja schon 2 Netzwerkschnittstellen mirbringt, wollte ich ihn gerne (gleichzeitig) in 2 physikalisch gekrennte Netze einbauen. Netz 1 soll auf Wlan1 gehen und Netz 2 auf Wlan2. Ein Routing oder Bridging zwischen diesen Netzen darf aber auf keinen Fall passieren.

Ist das möglich?

Beste Grüße

xalpha

[alf29]

Moin,

am einfachsten benutzt Du die Bridge-Gruppen der LAN-Bridge. LAN-1 und WLAN-1 läßtt Du
in Bridge-Gruppe 1 (BRG-1), LAN-2 und WLAN-2 in BRG-2.

Bei Bedarf kannst Du per ARF dem Gerät auch zwei getrennte IP-Adressen geben. Dazu legst Du
zwei Netze an, eines bindest Du an BRG-1, das andere an BRG-2.

Gruß Alfred

[xalpha]

Hallo,

vielen Dank! Funktioniert wunderbar. Ich habe sogar schon versucht TCP/IP komplett auszuschalten. Dann arbeitet der AP vollständig transparent und eine Konfiguration ist auch nur noch Seriell möglich. Das ist für manche Projekte eine feine Sache.

Noch eine kleine Frage:
Die LED von WLAN2 ist etwas dunkler als die von WLAN1. Ist das einfach gehäusetechnisch bedingt, oder verabschiedet sich das Sendemodul so langsam?

Beste Grüße

xalpha

[Jirka]

Hallo xalpha,

Die LED von WLAN2 ist etwas dunkler als die von WLAN1. Ist das einfach gehäusetechnisch bedingt, oder verabschiedet sich das Sendemodul so langsam?

Weder noch. Da leuchten einfach die LEDs unterschiedlich hell, vielleicht sind auch die vorgeschalteten Widerstände nicht ganz gleich. Also halt normale Toleranzen. Früher (lang lang her) da gab es Mitarbeiter, die LEDs nach Helligkeit sortiert haben, damit bei ein und demselben Gerät keine unterschiedlichen Helligkeiten auftreten. Heute wird das wohl auch nicht mehr von einer Maschine gemacht, weil die Toleranzen im Allgemeinen wohl sehr gering ausfallen.

Viele Grüße,
Jirka

[handam]

Hallo,

bevor ich einen neuen Thread anfange frage ich doch lieber mal in diesem etwas älteren Thema nach:

Da der L54ag im Gegensatz zum dual nur ein physikalisches LAN besitzt, habe ich meine beiden ETHernet Leitungen via HUB an den L54ag angeschlossen.

Aufbau:

L54ag
|
|
Hub
| |
| |
ETH1 ETH2


Jetzt möchte ich WLAN1 mit ETH1 und WLAN2 mit ETH2 verbinden.

Mein Problem dabei: WLAN1 <-> ETH1 funktioniert prima, WLAN2 kommt nur bis zum L54ag, aber nicht ins ETH2 (und auch nicht ins ETH1, aber das soll ja so sein)

Hier mein Setup:

WLAN-1 = DHCP 192.168.1.x + BRG-1 + Interface TAG 1
WLAN-1-2 = DHCP 192.168.2.x + BRG-2 + Interface TAG 2

LAN-1 = BRG3 (damit kein bridging vom WLAN ins LAN, sondern routing)

definiert unter Communication/Protocols/IP Parameters:
INET1 = 192.168.178.x / gw 192.168.178.1
INET2 = 10.1.10.x / gw 10.1.10.1

ROUTE:
255.255.255.255 / 0.0.0.0 / router-TAG 1 / INET1
255.255.255.255 / 0.0.0.0 / router-TAG 2 / INET2
alle anderen routen inaktiv

Es funktioniert:
DHCP auf WLAN-1
DHCP auf WLAN-1-2
ping WLAN-1 nach INET1

es geht NICHT:
ping von WLAN-1-2 auf INET2

Interessanterweise kommt die "reject" Meldung des ping von 192.168.2.3, das ist die L54ag-Seite des WLAN-1-2, d.h. es scheint als ob die route mit TAG2 nicht beachtet wird.

Und noch was: Die Bezeichnung der "TAGs" ist unterschiedlich, beim Interface ist es "Interface TAG", bei der route "Routing TAG". Ist das nur das wording oder gibt es hier tatsächlich Unterschiede?

Danke für Eure Hilfe,

handam

[Jirka]

Hallo handam,

Jetzt möchte ich WLAN1 mit ETH1 und WLAN2 mit ETH2 verbinden.

Weißt Du was ein Hub ist oder macht? Wenn überhaupt, dann willst Du WLAN-1 und WLAN-1-2 mit ETH 1 _und_ ETH 2 verbinden.

LAN-1 = BRG3 (damit kein bridging vom WLAN ins LAN, sondern routing)

Damit kein Bridging vom WLAN ins LAN erfolgt, musst Du den isolierten Modus einschalten (LANconfig -> Schnittstellen -> LAN). Die Definition von Bridge-Gruppen ist in Verbindung mit den definierten Netzen sinnvoll.

definiert unter Communication/Protocols/IP Parameters:
INET1 = 192.168.178.x / gw 192.168.178.1
INET2 = 10.1.10.x / gw 10.1.10.1

Du kannst hier in dieser Tabelle zwar Einträge ohne Ende erfassen, aber zur Geltung kommen diese erst mit einem gleichnamigen Eintrag unter Gegenstellen. Das gleiche gilt für die Routing-Tabelle.

Und noch was: Die Bezeichnung der "TAGs" ist unterschiedlich, beim Interface ist es "Interface TAG", bei der route "Routing TAG". Ist das nur das wording oder gibt es hier tatsächlich Unterschiede?

Ja, da gibt es Unterschiede - die unterschiedliche Namensgebung ist beabsichtigt. Siehe Seite 172 (und vorhergehende) im Referenzhandbuch.

Eine wirkliche Trennung kann hier nur mit VLAN erfolgen.

Viele Grüße,
Jirka

[handam]

Danke für die Antwort, Jirka

Weißt Du was ein Hub ist oder macht? Wenn überhaupt, dann willst Du WLAN-1 und WLAN-1-2 mit ETH 1 _und_ ETH 2 verbinden.

Die Polemik ignoriere ich hier einfach mal.
Physikalisch hast du recht, ETH durch den HUB ist alles eins.
LOGISCH kannst du jedoch auch durch einen HUB getrennte Netze aufbauen (und wir sprechen hier nicht über Sicherheit)

Damit kein Bridging vom WLAN ins LAN erfolgt, musst Du den isolierten Modus einschalten (LANconfig -> Schnittstellen -> LAN).

Da bin ich anderer Meinung. Laut Doku wird geroutet, wenn kein bridging möglich ist. Die Einstellung die du vorschlägst unterbindet nur das bridging.

Du kannst hier in dieser Tabelle zwar Einträge ohne Ende erfassen, aber zur Geltung kommen diese erst mit einem gleichnamigen Eintrag unter Gegenstellen.

Sorry, die Einträge in "Remote Sites" existieren, incl. Einträge in Communication/General/Communication layers. Das hat alles der freundliche Setup-Assistent für mich gemacht

Ja, da gibt es Unterschiede - die unterschiedliche Namensgebung ist beabsichtigt. Siehe Seite 172 (und vorhergehende) im Referenzhandbuch.

Danke für den Hinweis, RTFM, ich weiss...
Jedoch: Nach der Beschreibung dort müsste mein Setup funktionieren, Schnittstellen-Tag 1 beachtet Router-Tag 1, ebenso bei S-Tag 2 und R-Tag 2.
Und natürlich sollen sich die beiden WLANs nicht sehen und auch nicht auf die unerwünschten LANs zugreifen.

Ich bin immernoch etwas ratlos....

handam

[Jirka]

Hallo handam,

LOGISCH kannst du jedoch auch durch einen HUB getrennte Netze aufbauen (und wir sprechen hier nicht über Sicherheit)

Genau das sagt mein Satz aber auch aus:

Wenn überhaupt, dann willst Du WLAN-1 und WLAN-1-2 mit ETH 1 _und_ ETH 2 verbinden.

Da bin ich anderer Meinung. Laut Doku wird geroutet, wenn kein bridging möglich ist. Die Einstellung die du vorschlägst unterbindet nur das bridging.

In Deinem Fall erübrigt sich das tatsächlich, da Du ja jedes logische Interface einer eigenen Bridge-Gruppe zugeordnet hast, was einem Abschalten zwischen diesen logischen Interfaces gleichkommt.

Sorry, die Einträge in "Remote Sites" existieren, incl. Einträge in Communication/General/Communication layers. Das hat alles der freundliche Setup-Assistent für mich gemacht

Ah ja, davon hattest Du aber nix geschrieben, da Du an anderer Stelle ausführlicher warst, habe ich da eine falsche Annahme getätigt.
Welchen Layer verwendest Du? IPoE in beiden Fällen? Du hast aber nur _ein_ DSLoL-Interface ... Zweimal eine IP da drauf zulegen klappt nicht.

Jedoch: Nach der Beschreibung dort müsste mein Setup funktionieren, Schnittstellen-Tag 1 beachtet Router-Tag 1, ebenso bei S-Tag 2 und R-Tag 2.
Und natürlich sollen sich die beiden WLANs nicht sehen und auch nicht auf die unerwünschten LANs zugreifen.

Wenn Deine Gegenstellen mit einer kurzen Haltedauer eingestellt sind und immer nur WLAN-1 oder WLAN-1-2 benutzt wird, könnte das sogar funktionieren.

Ich bin immernoch etwas ratlos....

Wie siehts mit VLAN aus? Schlecht, oder?

Das einzige, was ich mir vorstellen könnte ist, dass man LAN-1, WLAN-1 und WLAN-1-2 in eine Bridge-Gruppe nimmt und dann zwei IP-Netzwerke an WLAN-1 und WLAN-1-2 aufmacht und dann hofft, dass zwischen LAN und WLAN gebridget wird. So dass dann mit einem Rechner am LAN-Interface mit einer IP aus dem WLAN-1-Netz eine Kommunikation mit dem WLAN-1-Netz und mit einem Rechner am LAN-Interface mit einer IP aus dem WLAN-1-2-Netz eine Kommunikation mit dem WLAN-1-2-Netz möglich ist. Da wäre dann aber kein NAT im L-54ag. Und wenn das wirklich funktionieren sollte, dann müßte man noch einen Protokollfilter gegen DHCP aus dem LAN einrichten, falls im LAN ein DHCP-Server aktiv ist. Das wäre dann unterm Strich aber eine mehr als abenteuerliche Konstruktion ...

Viele Grüße,
Jirka

[handam]

Wie siehts mit VLAN aus? Schlecht, oder?

Tja, da werde ich mich jetzt mal ranmachen und mein Setup mit VLANs aufbauen.

Das wär doch ein Verbesserungsvorschlag für die nächste LCOS Version: Mehrere DSLoL über das gleiche ETH, auch ohne aufwändiges VLAN. Das bedeutet dann mehrere IP pro ETH, aber so was kann ja selbst unser geliebtes "Fenster"

Gruß,

handam

[alf29]

Moin,

Das wär doch ein Verbesserungsvorschlag für die nächste LCOS Version: Mehrere DSLoL über das gleiche ETH, auch ohne aufwändiges VLAN. Das bedeutet dann mehrere IP pro ETH, aber so was kann ja selbst unser geliebtes "Fenster"

Bei transparenten IP-Verbindungen ohne VLANs kann das aber nicht
funktionieren. Wenn auf so einem Interface ein Paket an den globalen
Broadcast 255.255.255.255 hereinkommt, welcher der Verbindungen
willst Du das zuordnen?

Gruß Alfred

[handam]

Bei transparenten IP-Verbindungen ohne VLANs kann das aber nicht
funktionieren. Wenn auf so einem Interface ein Paket an den globalen
Broadcast 255.255.255.255 hereinkommt, welcher der Verbindungen
willst Du das zuordnen?

Ein limited broadcast (an 255.255.255.255) sollte überhaupt nicht geroutet werden, siehe http://tools.ietf.org/html/rfc1812#page-92.

Die Technik mit mehreren IP pro PHY Interface ist wie gesagt in vielen Betriebssystemen (Linux/BSD/Solaris//Windows) gelößt, da sollten keine Fragen offen sein.

Gruß,

handam

[alf29]

Moin,

Ich rede nicht vom Routen, das LANCOM selber hängt mit seiner WAN-Adresse
in diesen Netzen und muß mit Paketen an diese Adresse irgendetwas machen
(z.B. wenn dort jemand eine Broadcast-Ping macht).

Die Technik mit mehreren IP pro PHY Interface ist wie gesagt in vielen Betriebssystemen (Linux/BSD/Solaris//Windows) gelößt, da sollten keine Fragen offen sein.

Auf der (W)LAN-Seite machen LANCOMs das ja ohne weiteres. Bei
transparenten WAN-Verbindungen gibt es aber so 'dumme' Varianten
wie daß das Gerät bei Verbindungsaufbau sich seine Adresse per DHCP
holen soll. Wie man Pakete anhand einer Adresse/Netzmaske, die noch
gar nicht vorhanden ist, sortieren soll, weiß ich ehrlich gesagt nicht.

Gruß Alfred

[Jirka]

Hallo handam,

Tja, da werde ich mich jetzt mal ranmachen und mein Setup mit VLANs aufbauen.

Ich vermute, Dir wird wohl nichts anderes übrig bleiben. Da Alfred nun auch mal einen Blick drauf geworfen hat, nehme ich nicht an, dass es eine Lösung für Dein Problem gibt, sonst hätte er sie vorgeschlagen.

Viele Grüße,
Jirka

[alf29]

Moin,

zumindest wenn in beiden Netzen (ETH1/2) getrennte DHCP-Server stehen
sollen, die aus den jeweiligen Adreßbereich Adressen verteilen sollen, wüßte
ich nicht, wie man das ohne VLAN aufziehen sollte - egal ob jetzt mit mehreren
ARF-Netzen oder mehreren hypothetischen DSLoL-Kanälen. DHCP-Pakete
haben nunmal die 'Unart', von Adresse 0.0.0.0 an 255.255.255.255 zu gehen,
da stehen also keine Adressen in den Paketen, anhand derer man sie dem
einen oder anderen Netz zuordnen könnte...

Gruß Alfred

[handam]

Hallo Alfred,

wenn du unterschiedliche MAC Adressen pro Interface vergibst hast du dieses Problem nicht mehr, denn die client MAC ist eines der wenigen Daten, die in jedem DHCP request/reply stehen..
Du solltest deine DHCP Server natürlich so erziehen, das sie jeweils nur das gewünschte Interface im jeweiligen Netz bedienen.
Um nicht unnötig uniq MAC zu verschwenden könnten die ETH-1-2 und folgende Benutzerdefinierbar sein.

Gruß,

handam