gelöst VLAN Routing

Mitglied: edvmaedchenfueralles

edvmaedchenfueralles (Level 1) - Jetzt verbinden

23.02.2012, aktualisiert 19:13 Uhr, 25161 Aufrufe, 9 Kommentare, 1 Danke

Hallo zusammen,
ich habe bei uns 2 VLANs (1 selbst eingerichtetes und das standard VLAN).

5218850597e23c4e1467815307f1aa20 - Klicke auf das Bild, um es zu vergrößern

So weit so gut.
Nun möchte ich unter den VLANs routen können und natürlich auch mit beiden Netzen ins Internet!
Wie das grundsätzlich funktioniert ist mir einigermaßen klar.
Die Fragen die sich mir stellen sind:
- aktiviere ich das Routing bei einen der beiden (Backbone)L3-Switches in der Mitte?
- aktiviere ich es beim L3-Switch vor der Firewall?
- funktoniert das in dieser Form sowieso nicht, da alle anderen Switches auf den routing-L3 Switch angeschlossen sein müssen und an diesem auch die Firewall hängen muss?
Sprich: L2-Switch --------------- L3 Switch mit aktivierten routing ------------------- Firewall ---------------------Internet


Ich hoffe, ich hab das einigermaßen verständlich erklärt!

Danke im Voraus!
Mitglied: Edi.Pfisterer
23.02.2012 um 19:06 Uhr
Hallo!
Nachdem unsere Netzwerk-Experten (aqui, dog) akutell schon Feierabend zu haben scheinen, melde ich mich mal zu Wort...

- aktiviere ich das Routing bei einen der beiden (Backbone)L3-Switches in der Mitte?
- aktiviere ich es beim L3-Switch vor der Firewall?
- funktoniert das in dieser Form sowieso nicht, da alle anderen Switches auf den routing-L3 Switch angeschlossen sein müssen und an diesem auch die Firewall hängen muss?

Es reicht, das Routing auf einem der 3 zu aktivieren.
Dein Aufbau funktioniert in dieser Form in jedem Fall!

Entscheidend ist dann, dass alle anderen Geräte im Netz die entsprechenden Interfaces des L3 als Gateway eingetragen haben, und dass alle Switches/Router TAGGED miteinander verbunden sind.

Wichtig ist noch, dass du nicht vergisst, die Retourrouten auf Deiner Firewall einzutragen.

Eine Übersicht, wie die Gateways ausschauen könnten, findest Du zB hier

gutes Gelingen,
lg
Edi
Bitte warten ..
Mitglied: clSchak
23.02.2012 um 19:06 Uhr
Hi

als erstes solltest du den Uplink von den beiden(!) Layer 3 Switchen auf den einen Layer legen, dann STP aktivieren (also vorher ansonsten bekommst ein Ausfall wegen loop , der einzelne Layer 3 Switch bekommt dann das Routing aktiviert:

- IP Adresse in VLAN_A
- IP Adresse in VLAN_B
- IP Adresse in VLAN_C (VLAN was zur Firewall geht)

Dann erstellst du für jedes VLAN ein Routing Interface und gibt's dem Layer 3 Switch selbst als Standardgateway die Firewall, so weis diese, dass alle Pakete die nicht zu einem VLAN gehören ins Netz sollen. An den Layer 2 Switchen musst lediglich die Uplinks Tagged setzen und den rest untagged in dem entsprechenden VLAN.

Mal ein paar Bsp. Config (CLI ähnlich wie Cisco, in meinem Fall Brocade)
an den beiden Layer 3 Switchen dann

Natürlich ein wenig anpassen, aber im ganzen sollte das so gehen - und dann am Client entsprechend die IP des Routerinterfaces in dem VLAN eintragen als Default_Gateway.

Ein weiterer Punkt währe noch, wenn die beiden Layer 3 Switche, es könenn kannst, zwecks Ausfallsicherheit auch VRRP oder ähnliches aktivieren, damit hättest du einen ausfallsicheres Routing - das können meistens allerdings nur Enterprise Geräte und zu deinen Geräten hast so nix geschrieben.

Edit/add: und bevor kritiker schreien, ja ich habe das "management vlan" in der config im default_vlan gelassen, aber das kann auch von vlan_1 auf ein anderes schieben also egal
Bitte warten ..
Mitglied: aqui
24.02.2012 um 09:39 Uhr
Irgendwie ist der Thread hier durch die Lappen gegangen
Nein, das L3 Routing zwischen den VLANs machst du natürlich auf deinen beiden Core Switches und nirgendwo anders. Allein schon aus Redundanzgründen ist das zwingen. Mit dem L3 Switch zum Internet hättest du einen single Point of Failure.
Ein klassisches Design sieht so aus:

cbd02541153fdaf4376026b03fd512a5-switchnetz - Klicke auf das Bild, um es zu vergrößern

Was ja bis auf die redundanten Leitungen genau deinem entspricht.
Stell dir den Server hier als deinen Internet L3 Switch vor.
Den solltest du übrigens auf dringenst mit "2 Beinen" so an die Core Switches anbinden um einen Leitungs Redundanz zu haben.
Idealerweise nimmt man den Internet Anschluss in ein weiteres separates VLAN auf dem Core um diesen Traffic vollkommen vom Produktivtraffic in den beiden VLANs zu trennen.
Zudem hast du damit immer die Möglichkeit über Accesslisten dediziert den Internet Traffic in beide VLANs zu filtern.
Letztlich ist so einen Trennung also besser um nicht den Internetzugang direkt in einem der VLANs zu haben.
Was du nun machst ist auf den beiden Core Systemen je eine IP Adresse in dem VLAN eingeben und dann solltest du noch zwingend VRRP oder HSRP auf den Core Switches laufen lassen um das Gateway Problem zu lösen.
Clients hätten ja sonst immer nur eine IP des einen oder anderen Core Switches als Gateway. Fällt das aus ist "Schicht im Schacht".
VRRP oder HSRP verhindert das indem es eine virtuelle IP schafft zwischen beiden Core Switches. Fällt einer aus hat das keinerlei Auswirkung auf die Clients und es kann weiter zwischen beiden VLANs gearbeitet werden.
Das ist ein klassisches Allerweltsdesign im Switching Umfeld !
Zu guter letzt definierst du auf beiden Core Switches noch eine default Route auf den Internet L3 Switch und gut ist !
Das ist ein wasserdichets Design was du so umsetzen solltest.
Die Konfig vom Kollegen clshak ist schon OK bis auf das fehlende VRRP was du unbedingt hinzufügen solltest sofern deinen Switches das supporten (hoffentlich).
Deshalb jetzt mal die vereinfachte Konfig auch in Brocade Nomenklatur.
Vereinfacht sähe ein korrekte Core Switch Konfig dann so aus: (Ethernet Port zw. den beiden Cores ist Port 1, Default Gateway ist dann immer die VRRP .254er IP Adresse in den VLANs)
Core 1

vlan 1 name VLAN-1
tagged ethernet 1
spanningtree 802.11w
router-interface ve1
exit
!
interface ve1
ip address 192.168.1.253/24
ip vrrp-extended vrid 1
backup priority 50
ip-address 192.168.1.254
enable
!
vlan 2 name VLAN-2
tagged ethernet 1
spanningtree 802.1w
router-interface ve 2
exit
!
interface ve2
ip address 172.20.1.253/24
ip vrrp-extended vrid 2
backup priority 50
ip-address 172.20.1.254
enable
!


Core 2

vlan 1 name VLAN-1
tagged ethernet 1
spanningtree 802.11w
router-interface ve1
exit
!
interface ve1
ip address 192.168.1.252/24
ip vrrp-extended vrid 1
backup
ip-address 192.168.1.254
enable
!
vlan 2 name VLAN-2
tagged ethernet 1
spanningtree 802.1w
router-interface ve 2
exit
!
interface ve2
ip address 172.20.1.252/24
ip vrrp-extended vrid 2
backup
ip-address 172.20.1.254
enable
!
Bitte warten ..
Mitglied: Edi.Pfisterer
24.02.2012 um 10:03 Uhr
Nein, das L3 Routing zwischen den VLANs machst du natürlich auf deinen beiden Core Switches und nirgendwo anders. Allein schon aus
Redundanzgründen ist das zwingen. Mit dem L3 Switch zum Internet hättest du einen single Point of Failure.

Wie (eigentlich immer) hast Du recht, ich bin allerdings davon ausgegangen, dass der Kollege die 3 L3 so eingezeichnet hat, weil sie baulich voneniander getrennt sind, und er nur 1 Uplink zwischen den 2 L3 zur Verfügung hat...

lg

[edith: upps, hab mir seine Grafik nicht genau genug angesehen.... er hat offensichtlich mehrere Uplinks zwischen den beiden L3...
damit hat sich mein erster Beitrag in Luft aufzulösen... ]
Bitte warten ..
Mitglied: edvmaedchenfueralles
24.02.2012 um 10:16 Uhr
Danke euch für die aufschlussreichen Hinweise!
Da wurde jetzt wieder einiges Licht ins Dunkel gebracht!!!

Ein Frage zwecks Doku (Kennzeichnung) der VLANs hätte ich aber noch:
Wie Dokumentiert bzw. Kennzeichnet ihr die VLANs?
Ich habe einen Plan erstellt, wo genau eingezeichnet ist, welches Gerät an welchem Switch und welchem Port hängt. Hab da jetzt auch das VLAN (in anderer Farbe) eingezeichnet.

Aber wie mach ich das am besten beim Switch-Schrank?
- Verschieden-farbige Patchkabel pro VLAN (rot = VLAN 1; grün = VLAN 2; ...)?
- Patchkabel beschriften, zu welchem VLAN sie gehören?
Was mir noch eingefallen wäre:
- Ein Bild des Switch aufhängen und bei den Ports einzeichnen, zu welchem VLAN sie gehören?

Wenn ein Switch ausfällt und dieser schnell getauscht werden muss, dann muss ich so einfach wie möglich sehen, welches Kabel an welches Port muss!
Zwecks "Ausfallsicherheit", hab ich von jeder verwendeten Switch-Type ein Ersatzgerät vor Ort und von jedem Switch die Config gesichert. Im Falle eines Ausfalls, würde ich also einen entsprechenden Switch hernehmen, die Config drüberspielen und Austauschen.

Wie macht ihr das?

Lg
Bitte warten ..
Mitglied: aqui
24.02.2012 um 11:13 Uhr
Du hast dir die "klassischen" Szenarien Szenarien schon ganz richtig selbst erschlossen.
Bei wenig VLANs wie bei dir macht es Sinn farbige Kabel zu verwenden und einen Portplan in den Patchschrank zu hängen wo die VLAN Ports entsprechend farbig gemacht sind. Dazu reichen auch einfache farbige 4Ecke in Portanzahl.
Sinnvollerweise verteilt man die VLAN Ports in zusammenhängenden Blöcken und verteilt sie nicht wild über alle Switchports, das erleichtert immer eine Groborientierung.
In der Regel ist es egal in welchen konkreten Port die Kabel kommen wenn denn nur die VLAN Zuordnungen stimmen. Ausnahmen sind dann nur wenn du mit PoE oder Port QoS arbeitest, dann macht es Sinn zusätzlich noch ein Beschriftungsfähnchen am Kabel anzubringen..
Dein Ausfallszenario ist soweit auch OK. Viele Switches supporten ein sog. Config Boot beim Einschalten wenn sie unkonfiguriert sind und booten dann eine für sie passende Konfig Datei per TFTP. Damit könntest du so ein Ausfallszenario dann völlig automatisieren, so das auch, salopp gesagt, der Wachmann einen Switch tauschen kann.
Das muss aber deine HW auch supporten sonst eben Cut and Paste mit der Konfig Datei.
Es gibt da viele Wege... Die obigen sind aber schon der richtige Weg und du solltest dir aussuchen was in dein Umfeld am besten passt.
Bitte warten ..
Mitglied: edvmaedchenfueralles
27.02.2012 um 09:09 Uhr
Danke für die Infos!
Werde es mal mit farbigen Kabel und einen Portplan versuchen.
Danke auch für den Hinweis bzgl. Config Boot!
Bitte warten ..
Mitglied: edvmaedchenfueralles
27.02.2012 um 23:59 Uhr
Hallo! Hab da doch noch eine Frage:
Zwecks Spanning Tree:
Wir haben ein MS-Cluster im Einsatz. Lt. Vorgabe von HP (oder MS) sollte in diesem Fall Spanning Tree deaktiviert werden.
Wenn ich aber einen Switch redundant anschließen möchte, sollte ich Spanning Tree doch aktivieren.
Was denn nu? Bin etwas verwirrt.

Danke im voraus!
Bitte warten ..
Mitglied: edvmaedchenfueralles
28.02.2012 um 08:32 Uhr
Kann mir da bitte jemand helfen?

Lg
Bitte warten ..
Heiß diskutierte Inhalte
Windows 10
Windows 10 Pro mehrere RDP Benutzer
Jannik2018FrageWindows 1017 Kommentare

Hallo zusammen, kann ich bei Windows 10 Pro irgendwie Freischalten das 2 benutzer sich gleichzeitig per RDP verbinden können ...

CPU, RAM, Mainboards
Hardwareanforderung für Remote Desktop
gelöst Diddi-tbFrageCPU, RAM, Mainboards11 Kommentare

Hallo zusammen, ich brauche mal wieder einen Rat von euch. Mein Chef möchte gerne öfter von zu Hause aus ...

Batch & Shell
Infrarot Fernbedienung um in Netflix(Browser Version) etc. zu navigieren
SaiinoxFrageBatch & Shell10 Kommentare

Hallo Zusammen, ich bastle aktuell an einem kleinen Projekt. Idee des ganzen in folgende: Ich bin (notgedrungener)Vodafone Kunde, hab ...

Drucker und Scanner
HP LaserJet P3005n muss einmal täglich neu gestartet werden, damit er druckt
HelljumperFrageDrucker und Scanner10 Kommentare

Hallo, seit einiger Zeit macht der Drucker eines Kollegen Probleme: Und zwar geht es um einen HP LaserJet P3005n. ...

Windows Server
Veeam - DCs restore - 0xc00002e2
Freak-On-SiliconFrageWindows Server10 Kommentare

Servus; Ich hab hier zwei Server 2012R2 DCs auf jeweils einem Hyper-V sitzen. Gesichert wird mit Veeam B&R. JA, ...

Multimedia & Zubehör
Anforderungen an Telefonanlage
jensgebkenFrageMultimedia & Zubehör10 Kommentare

Hallo Gemeinschaft, bin auf der Suche nach einer Telefonanlage die folgendes können muss: - unterschiedliche Ansagen (z.b. während der ...

Ähnliche Inhalte
Router & Routing
Routing bzw. VLAN ROUTING
kingsleyFrageRouter & Routing34 Kommentare

Hallo liebe Community, ich hätte ein Anliegen. Ich würde gerne diesen Netzwerkplan gerne umsetzen. Habe einiges über VLANS gelesen ...

Router & Routing
VLAN Routing Pfsense
gelöst jescheroFrageRouter & Routing16 Kommentare

Hallo alle zusammen, Erstmal meine Netzwerke sind: Vlan 60 = 172.26.131.0/24 Vlan 70 = 172.27.131.0/24 Vlan 80 = 172.28.131.0/24 ...

Switche und Hubs
Switch Suche VLAN Routing
MonkeyFoxFrageSwitche und Hubs2 Kommentare

Hallo Administrator Team, ich suche einen 8-12 Port Switch der folgende Aufgaben bewerkstelligen soll : Er soll 3 VLANs ...

Router & Routing
Anfängerfrage zum VLAN Routing
gelöst simbeaFrageRouter & Routing23 Kommentare

Folgendes Setting soll umgesetzt werden: Um in meiner Praxis die Rechner von einer VOIP-Telefonanlage zu trennen wird ein Cisco ...

LAN, WAN, Wireless
VLAN: Routing ins Internet
gelöst kasimir82FrageLAN, WAN, Wireless18 Kommentare

Guten Tag, ich habe ein Problem welches ich gerade nicht gelöst bekommen. Stehe also sozusagen auf dem Schlauch. Ich ...

Router & Routing
HP Switch VLAN Routing
gelöst lebelflashFrageRouter & Routing5 Kommentare

Hallo zusammen, ich spiele grade mit einem HP Switch und versuche ein Routing einzurichten, zwischen mehreren VLANs. Bei meinem ...

Berechtigungs- und IdentitätsmanagementBerechtigungs- und IdentitätsmanagementWebdienste und -serverWebdienste und -serverDatenbankenDatenbankenMonitoring & SupportMonitoring & SupportHybrid CloudHybrid CloudSmall Business ITSmall Business IT