Feb 01, 2025, updated at 15:48:41 (UTC)

1073

Kleines Heimnetzwerk - das erste mal mit VLANs - Fragezeichen

Hallo verehrte Gemeinde,

ich begebe mich nun das erste mal an das Thema VLAN.
Ich hab schon wirklich viel gelesen und auch hier die tollen How-to´s von aqui durchforstet.

Trotzdem hab ich irgendwie immer noch einen Knoten im Kopf, gerade mit den Begrifflichkeiten und der Umsetzung.

Folgende Ausgangssituation:

Geplante Netze:
Haupt: 192.168.11.0/24 (VLAN 10)
Gast: 192.168.12.0/24 (VLAN 20)
Haustechnik: 192.168.13.0/24 (VLAN 30)

Geräte welche zusammenspielen sollen:
FritzBox 5690 Pro über Glasfaser verbunden stellt das Internet bereit
Unifi Cloud Gateway Ultra (um eben VLANs betreiben zu können und flexibler für weitere Netzaufbauten sein zu können)
Switch Zyxel GS1900-48HPv2
2x Unifi WLAN APs (sollen 2 Netze ausstrahlen, 1x Haupt und 1x Gast)

Auf der FritzBox habe ich 3 statische Routen hinterlegt:
192.168.11.0/24 über 192.168.10.254
192.168.12.0/24 über 192.168.10.254
192.168.13.0/24 über 192.168.10.254

FritzBox hat die IP: 192.168.10.1
Unifi Cloud Gateway Ultra habe ich die WAN IP 192.168.10.254 gegeben
Und die Default-Network IP: 192.168.11.1
Der Switch hat die IP: 192.168.11.2

Ich habe eine Strippe von der FritzBox in den WAN-Port des Cloud Gateways.
Vom Cloud Gateway Ultra LAN 1 eine Strippe auf den Switch auf Port 48.

Defaultmäßig, ohne Konfiguration, hat soweit alles geklappt.
Notebook an irgendeinen Port des Switches hat Internetzugriff.
Smartphone über WLAN hat Default auch Internetzugriff bekommen.

Dann habe ich schonmal angefangen auf dem Switch das VLAN 20 zu benamen.
Auf dem Cloud Gateway Ultra habe ich dann das Netzwerk 192.168.12.0/24 mit VLAN ID 20 angelegt.
DHCP dafür spielt das Cloud Gateway Ultra.
Nach langem Kämpfen und hin und her auf dem Switch hab ich es nun geschafft dass ich über das VLAN 20 Internetzugriff erlange.
Allerdings, war das nun ein langes Try-und-Error mit Tagge und Ungetagge,
Ich würd gern einfach das Best-Practice verstehen.

Auf dem Switch möchte ich wie folgt vorgehen:
Port 1 - 8 (Haustechnik also VLAN 30)
Port 9 - 12 (WLAN APs also VLAN 10 und VLAN 20 mit Internetzugriff)
Port 13 - 47 (Hauptnetz also VLAN 10 für eigene Gerätschaften mit Internetzugriff)
Port 48 ist die Verbindung aufs Cloud Gateway

Auf dem Switch kann ich unter Configuration->VLAN die VLANs anlegen:
VLAN ID 1, VLAN Name default, VLAN Type default (das stand schon drin)
VLAN ID 20, VLAN Name Gast, VLAN Type static (hab ich bislang eingetragen)

Gehe ich weiter in den Reiter Port, kann ich hier pro Port folgende Dinge setzen:
PVID: 1 - 4094 (ist default die 1 drin)
Accepted Type: All, Tag only oder Untag only (steht default auf all)
Ingress Filtering: Enable oder Disable (default auf disable)
VLAN Trunk: Enable oder Disable (default auf disable)

Gehe ich weiter in den Reiter VLAN Port, kann ich hier pro Port für jedes VLAN das Membership setzen:
Forbidden, Excluded, Tagged, Untagged

Ich habe auf dem Cloud Gateway das Default-Netzwerk: 192.168.11.1 das als VLAN 1 gekennzeichnet ist.
Das kann ich aber nicht ändern und auch nicht löschen, den Netzbereich würde ich aber gerne als VLAN 10 haben.
Muss ich ein neues Netzwerk kreieren, das dann Haupt nennen, ihm das gewünschte Netz mitteilen, das vorhandene Default einfach mit einem anderen Netzbereich belegen und dann auf dem Switch das VLAN10 anlegen?
Oder muss/soll ich dieses das Default VLAN 1 nutzen?

Wie konfiguriert man nun die Ports 1-8, 9-12 und 13-47 und Port 48 unter Berücksichtigung der oben aufgeführten Einstellungsmöglichkeiten im Best-Practice?

Vielen lieben Dank schonmal für eure Hilfe.

Please also mark the comments that contributed to the solution of the article

Content-ID: 671081

Url: https://administrator.de/forum/kleines-heimnetzwerk-das-erste-mal-mit-vlans-fragezeichen-671081.html

Printed on: February 9, 2025 at 07:02 o'clock

9 Comments

Latest comment

Moin,

ich verweise trotzdem erst einmal auf eines der großartigen Tutorials von @aqui: VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern.

Daraus hervorgehoben zu Deinen Fragen:

Switchports die einfache Endgeräte wie die der obigen PCs, Drucker usw. versorgen sind immer untagged. Deren Ports werden im Switch Setup immer fest dem jeweiligen VLAN zugeordnet. Endgeräte "verstehen" außerdem keine getaggten Ethernet Paket und würden diese verwerfen, sprich schlicht nicht funktionieren.
Ein Tagged Link kann statt eines Switches aber auch einen Router oder sog. MSSID WLAN Accesspoints anbinden wenn diese Endgeräte die in den Datenpaketen enthaltene VLAN Information benötigen. Dazu später unten mehr...

Unifi Cloud Gateway Ultra habe ich die WAN IP 192.168.100.254 gegeben

Das wird wohl ein Tipp-Fehler sein, oder? Das Netz hast Du doch gar nicht.

Allerdings, war das nun ein langes Try-und-Error mit Tagge und Ungetagge,

Daher noch einmal das Tutorial lesen.

Auf dem Switch möchte ich wie folgt vorgehen:
Port 1 - 8 (Haustechnik also VLAN 30)

Jetzt kommt es drauf an, was da dran hängt. Direkt Endgeräte oder weitere Verteiler?

Port 9 - 12 (WLAN APs also VLAN 10 und VLAN 20 mit Internetzugriff)

Die sollen ja MSSID machen, dann: s.o.

Auf dem Switch kann ich unter Configuration->VLAN die VLANs anlegen:
VLAN ID 1, VLAN Name default, VLAN Type default (das stand schon drin)

Ist auch so, siehe Tutorial, da änderst Du nichts.

Gehe ich weiter in den Reiter Port, kann ich hier pro Port folgende Dinge setzen:
PVID: 1 - 4094 (ist default die 1 drin)

PVID bei Zyxel: siehe hier oder im Handbuch.

Gehe ich weiter in den Reiter VLAN Port, kann ich hier pro Port für jedes VLAN das Membership setzen:
Forbidden, Excluded, Tagged, Untagged

siehe Tutorial

Ich habe auf dem Cloud Gateway das Default-Netzwerk: 192.168.11.1 das als VLAN 1 gekennzeichnet ist.
Das kann ich aber nicht ändern und auch nicht löschen, den Netzbereich würde ich aber gerne als VLAN 10 haben.
Muss ich ein neues Netzwerk kreieren, das dann Haupt nennen, ihm das gewünschte Netz mitteilen, das vorhandene Default einfach mit einem anderen Netzbereich belegen und dann auf dem Switch das VLAN10 anlegen?

Ja, wenn das VLAN1 nicht genutzt werden soll, sonst dieses nutzten und VLAN10 vergessen.
Aber m.E. ist es sinnvoll, ein Management VLAN zu nutzen, das nicht für alles offen steht, also VLAN1 lassen mit anderem Netzwerk und VLAN10 so anlegen, wie Du es willst.

Gruß

DivideByZero

Wie konfiguriert man nun die Ports 1-8, 9-12 und 13-47 und Port 48

1-8 = Access Mode = Member VLAN 30 = UNtagged (Endgeräte Ports immer UNtagged denn die können kein Tagging)
9-12 = Trunk = Tagged für alle VLANs außer PVID = PVID ist 1 (Das VLAN das ungetaggte Frames forwarden soll)
13-47 = Access Mode = Member VLAN 20 = UNtagged
48 = Trunk = Tagged für alle VLANs außer PVID = PVID ist 1 (Analog zu den MSSID AP Ports 9-12)

Hilfreich ist das o. zitierte Tutorial und ggf. die VLAN Schnellschulung.
Zum Rest hat Kollege @DivideByZero schon alles gesagt.

Unifi Cloud Gateway Ultra habe ich die WAN IP 192.168.100.254 gegeben

Das wird wohl ein Tipp-Fehler sein, oder? Das Netz hast Du doch gar nicht.

Ohja, sorry. 192.168.10.254 ist die richtige IP.

Allerdings, war das nun ein langes Try-und-Error mit Tagge und Ungetagge,

Daher noch einmal das Tutorial lesen.

Ich schau rein

Auf dem Switch möchte ich wie folgt vorgehen:
Port 1 - 8 (Haustechnik also VLAN 30)

Jetzt kommt es drauf an, was da dran hängt. Direkt Endgeräte oder weitere Verteiler?

Nur Endgeräte.

Port 9 - 12 (WLAN APs also VLAN 10 und VLAN 20 mit Internetzugriff)

Die sollen ja MSSID machen, dann: s.o.

Ja genau, einmal Hauptnetz und einmal Gastnetz

Auf dem Switch kann ich unter Configuration->VLAN die VLANs anlegen:
VLAN ID 1, VLAN Name default, VLAN Type default (das stand schon drin)

Ist auch so, siehe Tutorial, da änderst Du nichts.

Aber ich muss ja die weiteren die ich ihm bekannt machen möchte dort eintragen?

Gehe ich weiter in den Reiter Port, kann ich hier pro Port folgende Dinge setzen:
PVID: 1 - 4094 (ist default die 1 drin)

PVID bei Zyxel: siehe hier oder im Handbuch.

Okay, das heißt: Wenn auf den Ports PVID 1 anliegt, wird alles was dort untagged ankommt als VLAN 1 betrachtet?
Außer ich setze dort ein VLAN explizit als untagged an, dann wird die PVID außer Kraft gesetzt?

Gehe ich weiter in den Reiter VLAN Port, kann ich hier pro Port für jedes VLAN das Membership setzen:
Forbidden, Excluded, Tagged, Untagged

siehe Tutorial

Ich schau rein

Wie konfiguriert man nun die Ports 1-8, 9-12 und 13-47 und Port 48

* 1-8 = Access Mode = Member VLAN 30 = UNtagged (Endgeräte Ports immer UNtagged denn die können kein Tagging)

Vielen Dank schonmal für die schöne Übersicht. Werde ich morgen vor Ort gleich nochmal testen.

(Alle Antworten unter der Annahme dass ich das VLAN1 dann nun verwende und das VLAN10 ad-acta lege.
(Der jetzige IST-Zustand laut Config)

Also hab ich die PVID 1 drin und lass das VLAN Trunk auf disabled.
Und setze unter "VLAN Port" hier für VLAN 1 sowie VLAN 20 Forbidden, und für VLAN 30 untagged?
Oder die PVID einfach auf 30? Hätte dann doch den gleichen Effekt oder kapier ich das mit der PVID nur nicht?

* 9-12 = Trunk = Tagged für alle VLANs außer PVID = PVID ist 1 (Das VLAN das ungetaggte Frames forwarden soll)

Also hab ich die PVID 1 drin und setze VLAN Trunk auf enabled?
VLAN 20 auf Tagged und VLAN 30 auf Forbidden (außer ich brauch irgendwann mal WLAN für die Haustechnik)?

* 13-47 = Access Mode = Member VLAN 20 = UNtagged

Du meintest wahrscheinlich VLAN1 (20 wäre ja das Gästenetz)?
Also hab ich die PVID 1 drin und setze VLAN Trunk auf disabled
VLAN1 auf untagged und VLAN 20 sowie VLAN 30 forbidden?

* 48 = Trunk = Tagged für alle VLANs außer PVID = PVID ist 1 (Analog zu den MSSID AP Ports 9-12)

Also PVID 1 drin und VLAN Trunk enabled.
VLAN 20 Tagged, VLAN 30 Tagged?

Ich habs jetzt mal nach meinen angemerkten Fragen umgesetzt und es scheint zu funktionieren.
Komme in alle WLANs, und bekomme die richtige IP.
Gehe per Patchkabel drauf auf die Haustechnik bekomm ich eine IP, wie es sein soll.
Gehe per Patchkabel auf die restlichen Ports bekomme ich eine IP, auch wie es sein soll

Allerdings was erstmals nicht ging:
Als ich auf Ports 1-8 die PVID auf 1 gelassen hab, VLAN1 und VLAN 20 auf Forbidden gesetzt hab und VLAN 30 auf untagged, habe ich keine IP bekommen.
Als ich dann die PVID auf 30 gesetzt habe schon.

Sieht nun gut aus.
Würde mich trotzdem freuen wenn ihr nochmals drüberschauen könntet.
Gerade auch was das mit den Ports 1-8 und der PVID angeht

Da brauch ich nochmals eure Hilfe damit ich das kapiere.

Vielen Dank schonmal für die immer wieder professionelle Hilfe, auch am Wochenende.
Ich liebe es hier einfach

Hier mal die running-config der Interfaces:

interface lag1
 switchport forbidden vlan add 20,30
!
interface lag2
 switchport forbidden vlan add 20,30
!
interface lag3
 switchport forbidden vlan add 20,30
!
interface lag4
 switchport forbidden vlan add 20,30
!
interface lag5
 switchport forbidden vlan add 20,30
!
interface lag6
 switchport forbidden vlan add 20,30
!
interface lag7
 switchport forbidden vlan add 20,30
!
interface lag8
 switchport forbidden vlan add 20,30
!
interface 1
 switchport hybrid pvid 30
 switchport hybrid allowed vlan add 30 untagged
 switchport forbidden vlan add 1,20
!
interface 2
 switchport hybrid pvid 30
 switchport hybrid allowed vlan add 30 untagged
 switchport forbidden vlan add 1,20
!
interface 3
 switchport hybrid pvid 30
 switchport hybrid allowed vlan add 30 untagged
 switchport forbidden vlan add 1,20
!
interface 4
 switchport hybrid pvid 30
 switchport hybrid allowed vlan add 30 untagged
 switchport forbidden vlan add 1,20
!
interface 5
 switchport hybrid pvid 30
 switchport hybrid allowed vlan add 30 untagged
 switchport forbidden vlan add 1,20
!
interface 6
 switchport hybrid pvid 30
 switchport hybrid allowed vlan add 30 untagged
 switchport forbidden vlan add 1,20
!
interface 7
 switchport hybrid pvid 30
 switchport hybrid allowed vlan add 30 untagged
 switchport forbidden vlan add 1,20
!
interface 8
 switchport hybrid pvid 30
 switchport hybrid allowed vlan add 30 untagged
 switchport forbidden vlan add 1,20
!
interface 9
 switchport hybrid vlan-trunking
 switchport hybrid allowed vlan add 20,30 tagged
!
interface 10
 switchport hybrid vlan-trunking
 switchport hybrid allowed vlan add 20,30 tagged
!
interface 11
 switchport hybrid vlan-trunking
 switchport hybrid allowed vlan add 20,30 tagged
!
interface 12
 switchport hybrid vlan-trunking
 switchport hybrid allowed vlan add 20,30 tagged
!
interface 13
 switchport forbidden vlan add 20,30
!
interface 14
 switchport forbidden vlan add 20,30
!
interface 15
 switchport forbidden vlan add 20,30
!
interface 16
 switchport forbidden vlan add 20,30
!
interface 17
 switchport forbidden vlan add 20,30
!
interface 18
 switchport forbidden vlan add 20,30
!
interface 19
 switchport forbidden vlan add 20,30
!
interface 20
 switchport forbidden vlan add 20,30
!
interface 21
 switchport forbidden vlan add 20,30
!
interface 22
 switchport forbidden vlan add 20,30
!
interface 23
 switchport forbidden vlan add 20,30
!
interface 24
 switchport forbidden vlan add 20,30
!
interface 25
 switchport forbidden vlan add 20,30
!
interface 26
 switchport forbidden vlan add 20,30
!
interface 27
 switchport forbidden vlan add 20,30
!
interface 28
 switchport forbidden vlan add 20,30
!
interface 29
 switchport forbidden vlan add 20,30
!
interface 30
 switchport forbidden vlan add 20,30
!
interface 31
 switchport forbidden vlan add 20,30
!
interface 32
 switchport forbidden vlan add 20,30
!
interface 33
 switchport forbidden vlan add 20,30
!
interface 34
 switchport forbidden vlan add 20,30
!
interface 35
 switchport forbidden vlan add 20,30
!
interface 36
 switchport forbidden vlan add 20,30
!
interface 37
 switchport forbidden vlan add 20,30
!
interface 38
 switchport forbidden vlan add 20,30
!
interface 39
 switchport forbidden vlan add 20,30
!
interface 40
 switchport forbidden vlan add 20,30
!
interface 41
 switchport forbidden vlan add 20,30
!
interface 42
 switchport forbidden vlan add 20,30
!
interface 43
 switchport forbidden vlan add 20,30
!
interface 44
 switchport forbidden vlan add 20,30
!
interface 45
 switchport forbidden vlan add 20,30
!
interface 46
 switchport forbidden vlan add 20,30
!
interface 47
 switchport forbidden vlan add 20,30
!
interface 48
 switchport hybrid vlan-trunking
 switchport hybrid allowed vlan add 20,30 tagged
!
interface 49
 switchport forbidden vlan add 20,30
!
interface 50
 switchport forbidden vlan add 20,30
!

Als ich dann die PVID auf 30 gesetzt habe schon.

Genau deshalb wurde dir oben auch gesagt: "1-8 = Access Mode = Member VLAN 30 = UNtagged"
Du solltest also schon genau lesen was man dir hier hilfreich postet!

Sieht nun gut aus.

Glückwunsch! 👏

Als ich dann die PVID auf 30 gesetzt habe schon.

Genau deshalb wurde dir oben auch gesagt: "1-8 = Access Mode = Member VLAN 30 = UNtagged"
Du solltest also schon genau lesen was man dir hier hilfreich postet!

Ja ich dachte, dass wenn ich das VLAN30 explizit untagged auf den Port lege und gleichzeitig das VLAN 10 auf forbidden dass dann die PVID "überschrieben" wird bzw. außer Kraft gesetzt wird.
War wohl falsch gedacht.
Wie kann/muss ich mir das Hierarchisch vorstellen?
Wenn ich eine PVID gesetzt habe, gilt immer nur die egal was dahinter noch untagged allowed wurde?

Sieht nun gut aus.

Glückwunsch!

Dank euch

ich dachte, dass wenn ich das VLAN30 explizit untagged auf den Port lege und gleichzeitig das VLAN 10 auf forbidden dass dann die PVID "überschrieben" wird bzw. außer Kraft gesetzt wird.

Richtig, das war leider falsch gedacht! Das kann zumindestens bei einer statischen Zuweisung (Port based VLANs) wie du sie machst niemals funktionieren, denn so "intelligent" sind L2 VLAN Switches nicht. Die PVID bestimmt es fest.

Machbar ist das nur wenn du mit einer dynamischen VLAN Zuweisung mit MAB oder 802.1x arbeitest. Da wird es dann dynamisch, pro Client "überschrieben".

ich dachte, dass wenn ich das VLAN30 explizit untagged auf den Port lege und gleichzeitig das VLAN 10 auf forbidden dass dann die PVID "überschrieben" wird bzw. außer Kraft gesetzt wird.

Sehr gut wieder dazu gelernt

Besten Dank

German solved Question Networking Basics Networks LAN, WAN, Wireless Routers, Routing