Cisco 1710

Der Linksys srw 2016 kann ja zum Glück schon mal VTP nach 802.1q, d.h. du kannst schon mal das Trunking in Verbindung mit dem Router benutzen (du brauchst also nur ein Netzwerkkabel vom Switch zum Router)
Ob der Cisco 1710 VLSM kann, weiß ich leider auch nicht. Hab mal grad ein bisschen im Netz gesucht, aber auf die schnell nichts gefunden.
Schalte dich einfach mal auf den Router und konfiguriere die Subnetze der VLANs für das Trunking. Wenn er mit diesen Subnetzen nicht klar kommt, wird er schon meckern, denke ich jedenfalls.

Geht mich vielleicht ja nichts an, aber ich bin einfach neugierig: Wieso kannst du eigentlich nur das 192.168.2.0er Netz benutzen?
Du könntest doch einfach irgendwelche anderen C-Netze aus dem privaten Bereich nehmen (evtl auch ein 10er Netz). Und wieso bzw. wo ist das Netz angemeldet? Ist doch ein privates? Fragen über Fragen...

Grüße,
Jochgeier

Das würde natürlich auch gehen, wenn sich die alten und neuen Server mit irgendwelchen Diensten dann nicht in die Quere kommen, dann brauchst du nicht umbedingt ein VLAN oder Subnetze um die neuen Server für Tests abzuschotten.
Ich weiß ja nicht, welche Anwendungen auf den Servern laufen, evtl. kann man ja da mit Ports/Portweiterleitung arbeiten, um die Anwendungen auf den neuen Servern zu testen, während die alten Server noch laufen, und beim richtigen Tausch dann Einstellungen der neuen Server an die Einstellungen der alten Server anpassen.
Falls ihr DHCP habt, solltest du halt die festen IPs, die du für die neuen Server verwendest, aus der IP-Range des DHCP nehmen oder aber diese im DHCP fest reservieren, nicht dass es da zu Problemen kommt.

VTP hat mit dot1q überhaupt nichts zu tun und du benötigst es auch nicht !!! VTP (Virtual Trunk Protokoll) ist ein proprietäres Cisco only Protokoll was VLAN IDs in einem reinen Cisco Netzwerk automatisch propagiert.
Für das was du vorhast ist es völlig irrelevant ob dein Switch sowas kann oder nicht. Generell wenn du einen VLAN fähigen Switch hast, von welchem Hersteller auch immer, kann der mit an Sicherheit grenzender Wahrscheinlichkeit auch 802.1q Trunking.
Dot1q addiert lediglich zu den Standard Ethernet Frames am Anfang einen Header in dem die VLAN ID und Priority codiert ist. Die VLAN ID muss der Switch ja wissen, damit er das Ethernet Packet wieder dem richtigen VLAN zuordnen kann.

Zurück zu deinem Vorhaben:
Fangen wir mal mit der Trennung der VLANs an: Natürlich kannst du dein 192.168..2er Netz aufteilen in zwei (oder auch mehr..) Subnetze. Das musst du auch unbedingt machen, sonst ist ein Routing bzw. Kommunikation zwischen den Netzen (VLANs) nicht möglich.
Brauchst du wirklich nur 2 VLANs mit deinem 192.168.2er Netz musst du die Subnetzmaske ändern auf 255.255.255.128 (25 Bit). Damit generierst du nun zwei Netze einmal 192.168.2.1 bis .126 und 192.168.2.128 bis .254. D.h. in deinen VLAN Segmenten müssen dann immer jeweils diese Ranges vergeben werden. Allerdings verringert das die maximale Anzahl der Rechner bzw. Endgeräte in einem Segment auf 126. Wenn du weiter subnetten solltest dann entsprechend weniger.
Nachteil ist sicher, das du alle Subnetzmasken und ggf. Adressen bei den Endgeräten in deinen VLANs anfassen musst. Hast du DHCP ist das erheblich einfacher und kostet dich nur eine kurze Änderung am DHCP Server.
Du kannst natürlich auch ein komplett neues Netzwerk vergeben auf dem anderen VLAN z.B. 172.16.2.0/24 denn wie du an deiner 192.168.2er Adresse siehst ist dies eine RFC 1918 Adresse die im Internet gar nicht geroutet wird und Arcor auch herzlich wenig interessiert !!!
Ggf. ist eine Umstellung auf einen Class B RFC 1918 Adresse wie 172.16.0.0 besser, da du dann das komplette 3 Byte subnetten kannst und so mit einer 24 Bit maske wieder max 253 Endgeräte pro VLAN adressieren kannst. Das kannst du aber selber entscheiden...

Arcor betreibt NAT (Network Adress Translation) auf dem Cisco 1700 und da ist es völlig egal welche Adressen du auf dem VLANs vergibst denn diese Adressen werden innerhalb des Routers auf einen ARCOR interne Adresse übersetzt ! Allerdings muss diese ggf neue Adresse fürs NAT auf dem Router konfiguriert werden um sie zu aktivieren !!
Mit dem Trick des Subnetting des 192.168.2er Netzwerks oben sparst du dir das natürlich ! Allerdings ist der Aufwand der Adressumstellung der Endgeräte größer. Da musst du dir also überlegen welchen Weg du gehst....

2ter wichtiger Punkt ist die Kommunikation zwischen den VLANs. Wie du richtig erkannst hast ist die bei einem Layer 2 VLAN Switch nicht gegeben und muss durch einen externen Router erledigt werden. Hättest du einen Layer 3 Switch würde der das Routing übernehmen aber den hast du nun mal nicht.
Bleibt also nur der Cisco 1700 und damit ist die Lösung recht einfach, denn der versteht das IEEE 802.1q Trunk Protokoll.
D.h. für dich der Ethernet Link zum Router muss als 802.1q tagged Link im Switch eingerichtet werden. Auf dem Router stellst du nun folgende Konfig auf dem Ethernet Interface ein (Beispiel mit gesubnettetem .2er Netz, Die Router Interfaces sind immer die ersten Adressen im
Subnetz!):

interface FastEthernet 0
no ip address
no ip mroute-cache
speed 100
full-duplex

interface FastEthernet 0.1
encapsulation dot1q 1 native (1 ist die VLAN ID)
ip address 192.168.2.1 255.255.255.128

interface FastEthernet 0.2
encapsulation dot1q 2 (2 ist die VLAN ID)
ip address 192.168.2.129 255.255.255.128

Das ist eigentlich schon alles. Damit routet der Router zwischen den Subinterfaces und auch alle Stationen aus den Subnetzen ins Internet. Wenn du Windows Anwendungen (Sharing) hast und/oder DHCP zwischen den Segmenten musst du ggf. noch auf den Ethernet Subinterfaces "ip helper adressen" konfigurieren um UDP Broadcasts in die jeweils anderen Segmente durchzulassen.
Falls der Router Passwortgesichert ist, schliesst du ein Terminal wie z.B. TeraTerm (http://hp.vector.co.jp/authors/VA002416/teraterm.html) an (9600 Bd, N81, keine Flow Control) drückst bei der Bootmeldung des Routers die B Taste (Break Signal) und fährst die Maschine ohne Passwort hoch. Hier:

www.cisco.com/en/US/products/hw/routers/ps221/products_password_recovery09186a0080094773.shtml

steht nochmal genau wie es geht....
Generell ist die Entscheidung große Netze in VLANs zu segementieren nicht falsch da du damit erheblich kleinere Broadcast Domains anlegen kannst und dir die Netze durch Broadcaststürme etc. weniger gefährdet sind. Auch aus Sicherheitsaspekten (ACLs etc.) ist das der richtige Weg.

Mit dem VTP hab ich mich offensichtlich etwas unglücklich ausgedrückt, das stimmt. Ich wollte es lediglich als Abkürzung für VLAN-Trunking-Protokoll ganz allgemein benutzen, und dot1q ist ja wohl ein solches Protokoll. Hab grad mal bisschen was dazu im Internet gesucht, aber dass das Cisco-eigene Protokoll, mit dem sich VTP-Server und -Clients unterhalten, auch "nur" VTP heißt, daran hatte ich ehrlich gar nicht gedacht.
Naja, wieder was dazu gelernt.

Grüße,
Jochgeier

Hallo Jochgeier !

Nein, IEEE 8021q ist kein Protokoll ! Es sendet ja nichts aktives auf dem Netz o.ä. Der IEEE 802.1q Standard beschreibt lediglich ein Frame Format im Ethernet sonst nichts. Ums genau zu sagen einen 4 Byte Header um den der Frame verlängert wird der dann die VLAN ID und eine Priority Information enthält. Nicht .1q Endgeräte können .1q Frames ohne entsprechenden Treiber bzw. Konfiguratuon nicht lesen bzw. interpretieren diese als Framefehler. Also ein normaler XP PC würde an einem Switch, der einen Port mit 802.1q tagged konfiguriert hat, nicht funktionieren. Meist werden solche .1q tagged Links zur Verbindung von Switches genutzt um VLAN Informationen transparent über ein geswitchetes Netzwerk zu übertragen.
Nähere Infos hier:
http://www.elektronik-kompendium.de/sites/net/0906221.htm
Cisco hat ein proprietäres Protokoll da oben draufgepackt um diese VLAN Informationen an andere Switches zu übertragen. Das funktioniert (wie so häufig bei Cisco...) aber ausschliesslich in einem Cisco Netz da, wie gesagt, proprietär. Switchnutzer die nicht in solcher Cisco "Falle" sitzen benutzen das standardisierte GVRP (Global Vlan Registration Protokoll) das können dann wieder alle Hersteller ! Sogar Cisco (...aber nur auf einigen Plattformen)

Ups, ok, ich behaupte ab sofort das Gegenteil!
Ich seh schon, ich werd mich mal mit dem Thema VLAN noch genauer auseinander setzen (müssen), bevor ich noch länger mit so einem teilweise falschen Halbwissen durch die Gegend laufe und es noch weiter verbreite

Danke für den Hinweis!

Grüße,
Jochgeier

Hoffentlich hat Arcor ein paar gute Techniker im Support sitzen
Daran scheitern solche Vorhaben meist weil die nicht wissen was sie tun oder den Kunden nicht verstehen
Viel Erfolg !

Klar kannst du die Ports auch im VLAN 1 belassen. Welche Ports du welchen VLANs zu weist ist ja deine sache.. du willst die Endgeräte ja in die entsprechenden VLANs legen.
IP Adressen für die VLANs kannst du in der Tat nicht eingeben auf einem Layer 2 Switch lediglich die Administrations IP Adresse und die liegt per default immer im VLAN 1.
Das Routing zwischen den VLANs macht ja dann dein Router. Die IP Netze müssen natürlich unterschiedlich pro VLAN sein und deine Clients haben dann imer die Router IP des entsprechenden VLANs als default Gateway Eintrag ! Der Router muss auf den Subinterfaces noch mit der dot1q Encapsulation konfiguriert werden, sonst versteht er natürlich die Packet von deinem Switch Trunkport nicht !
Das ist eigentlich alles....

Genau DAS ist der Fehler wenn du das 192.168.2.0er Netzwerk gesubnettet hast !!!
Die Maske muss dann in den Clients auf 255.255.255.128 wenn du eine 25 Bit Subnetzmaske verwendest !!!
Damit hat dann dein VLAN1 den Adressbereich 192.168.2.1 bis .126 und dein VLAN 2 den Bereich 192.168.2.129 bis .254 bei einer Subnetzmaske von 255.255.255.128 für alle Geräte in den beiden Segmenten (...auch der Arcor Router muss auf den Subinterfaces diese Maske haben !!!) die Konfig sieht dann so aus:

interface FastEthernet 0.1
encapsulation dot1q 1 native
ip address 192.168.2.126 255.255.255.128

interface FastEthernet 0.2
encapsulation dot1q 2
ip address 192.168.2.129 255.255.255.128