Kommunikation der Geräte im selben Subnetz nicht möglich
Hallo zusammen!
Ich lese hier sehr viel (und das Meiste mehrfach) zum Thema Netzwerk - insbesondere die sehr gelungenen Mikrotik-Tutorials.
Mein Hintergrund: ich bin Laie und bin dabei, mein Heimnetz aufzubauen.
Der grobe Aufbau sieht so aus:
Fritzbox --> Mikrotik RB5009 --> Brocade ICX 6450-24P (Ich habe mich dabei an das Tutorial "Mikrotik VLAN Konfiguration ab RouterOS Version 6.41" gehalten)
Über die Fritzbox kommt das Internet; der RB5009 übernimmt das Routing mehrerer VLANs; der 6450er läuft im reinen Layer2 Modus.
Das einzige was nicht funktioniert, ist die Kommunikation der Geräte untereinander, wenn diese IM SELBEN VLAN AM SWITCH hängen. Da werden die ARP Anfragen nicht beantwortet.
Wenn ich testweise "ARP" auf der Bridge im RB5009 von "enabled" auf "local-proxy-arp" stelle, funktioniert die Kommunikation im selben Subnetz plötzlich.
Ich suche jetzt schon sehr lange nach einer Lösung, aber ich komme einfach nicht weiter.
Vielleicht ist's für den Fachmann ja ganz einfach. Ich lese mich auch gerne in neue Themen ein - aber ich weiß einfach nicht, welche das noch sein könnten.
Meine Konfiguration habe ich bewusst noch nicht gepostet - kann ich aber gerne nachholen.
Ratlose Grüße
Ich lese hier sehr viel (und das Meiste mehrfach) zum Thema Netzwerk - insbesondere die sehr gelungenen Mikrotik-Tutorials.
Mein Hintergrund: ich bin Laie und bin dabei, mein Heimnetz aufzubauen.
Der grobe Aufbau sieht so aus:
Fritzbox --> Mikrotik RB5009 --> Brocade ICX 6450-24P (Ich habe mich dabei an das Tutorial "Mikrotik VLAN Konfiguration ab RouterOS Version 6.41" gehalten)
Über die Fritzbox kommt das Internet; der RB5009 übernimmt das Routing mehrerer VLANs; der 6450er läuft im reinen Layer2 Modus.
Das einzige was nicht funktioniert, ist die Kommunikation der Geräte untereinander, wenn diese IM SELBEN VLAN AM SWITCH hängen. Da werden die ARP Anfragen nicht beantwortet.
Wenn ich testweise "ARP" auf der Bridge im RB5009 von "enabled" auf "local-proxy-arp" stelle, funktioniert die Kommunikation im selben Subnetz plötzlich.
Ich suche jetzt schon sehr lange nach einer Lösung, aber ich komme einfach nicht weiter.
Vielleicht ist's für den Fachmann ja ganz einfach. Ich lese mich auch gerne in neue Themen ein - aber ich weiß einfach nicht, welche das noch sein könnten.
Meine Konfiguration habe ich bewusst noch nicht gepostet - kann ich aber gerne nachholen.
Ratlose Grüße
Please also mark the comments that contributed to the solution of the article
Content-ID: 71297281345
Url: https://administrator.de/contentid/71297281345
Printed on: October 6, 2024 at 20:10 o'clock
14 Comments
Latest comment
Mahlzeit.
Bei "local-proxy-arp" fühlt sich der Router verantwortlich die ARP Pakete der Hosts im selben Subnetz an die anderen Hosts weiterzuleiten.
https://help.mikrotik.com/docs/display/ROS/ARP
Gruß
Marc
Bei "local-proxy-arp" fühlt sich der Router verantwortlich die ARP Pakete der Hosts im selben Subnetz an die anderen Hosts weiterzuleiten.
https://help.mikrotik.com/docs/display/ROS/ARP
Gruß
Marc
Hilfreich wäre auch ein show run des ICX! Proxy ARP sollte aus Sicherheitsgründen immer deaktiviert sein!! Einzige Ausnahme ist wenn du ein L2TP VPN betreibst für ein VLAN Segment.
⚠️ Wichtig ist hier den ICX Switch vom per Default aktiven PVSTP Mode (Per VLAN Spanning Tree) in den Single Span Mode zu konfigurieren, damit der Mikrotik dazu kompatibel ist. Der MT supportet generell kein PVSTP!
Eine klassische ICX Layer 2 Konfig mit einem Router Uplink sähe dann z.B. so aus mit dem Management Zugang in VLAN 1:
⚠️ Wichtig ist hier den ICX Switch vom per Default aktiven PVSTP Mode (Per VLAN Spanning Tree) in den Single Span Mode zu konfigurieren, damit der Mikrotik dazu kompatibel ist. Der MT supportet generell kein PVSTP!
Eine klassische ICX Layer 2 Konfig mit einem Router Uplink sähe dann z.B. so aus mit dem Management Zugang in VLAN 1:
ver 08.0.30uT311
!
!
spanning-tree single
!
vlan 1 name DEFAULT-VLAN by port
spanning-tree
management-vlan
default-gateway 192.168.2.1 1
!
vlan 10 name Privat by port
tagged ethe 1/1/1
untagged ethe 1/1/2 to 1/1/10
spanning-tree
!
vlan 20 name Gast by port
tagged ethe 1/1/1
untagged ethe 1/1/11 to 1/1/15
spanning-tree
!
vlan 30 name IoT by port
tagged ethe 1/1/1
untagged ethe 1/1/16 to 1/1/20
spanning-tree
!
spanning-tree single 802-1w
spanning-tree single 802-1w priority 8192
!
!
optical-monitor
aaa authentication web-server default local
aaa authentication login default local
aaa authentication login privilege-mode
jumbo
enable telnet authentication
enable aaa console
enable user password-masking
ip address 192.168.1.2 255.255.255.0
ip multicast passive
ip multicast version 3
ip dns domain-list marple.internal
ip dns server-address 192.168.2.1
!
telnet access-group 23
telnet timeout 15
!
username admin password admin
enable super-user-password
!
snmp-server contact Sysadmin
snmp-server location Privatnetz
snmp-server community public ro 23
!
clock summer-time
clock timezone europe CET
!
ntp
server 194.25.134.196
!
web-management enable vlan 1
ssh access-group 23
!
!
interface ethernet 1/1/1
port-name Uplink Router
dual-mode 1
trust dscp
!
access-list 23 permit 192.168.0.0 0.0.255.255
!
end
Meine aktuelle Konfiguration auf dem 6450 schaut so aus:
Dein größter Kardinalsfehler, wie oben schon gesagt, ist das du vergessen hast den Switch auf Single Spanning Tree mit RSTP (802.1w) zu konfigurieren!Die Brocade/Ruckus Teile arbeiten wie viele andere Premium Switches auch per Default mit einem PVSTP Verfahren! (Siehe u.a. auch hier)
Dein Mikrotik bzw. dessen VLAN Bridge dort supportet aber keinerlei PVSTP so das es früher oder später zu Problemen kommt weil beide Spanning Tree Verfahren inkompatibel zueinander sind!
Man kann dir also nur dringenst raten das umzustellen in der Konfig. Auch solltest du dem Switch als zentralen Switch dann eine höhere Priority zuweisen so das der ICX immer der Root Switch ist!
⚠️ Beachte das beim ICX nur mit spanning-tree single 802-1w "802-1w" das aktuelle RSTP konfiguriert wird und NICHT mit rstp!!
Der 2te Fehler ist die nicht korrekte IGMP Konfiguration!
Sofern du einen PIM Router (Multicast Router) im Netz hast ist dieser prinzipbedingt immer der Querrier. Z.B. indem man einfach nur PIM Routing im Mikrotik mit IGMPv3 aktiviert. Damit kann man das Snooping dann im "passive" Mode betreiben. (passive=kein Querrier)
Das IGMP Snooping benötigt zwingend eine Querrier IP um zu funktionieren. Wenn du keinen PIM Router betreibst muss das die Switch IP erledigen. Dazu muss das Snooping dann aber in den "Active" Mode versetzt werden!
An den Multicast Querrier Parametern sollte man in der Regeln nicht rumfummeln sofern ma es nicht zwingend braucht.
Web Management vornehme und ich den Eindruck habe, dass da nicht alles möglich ist
Dein Eindruck täuscht dich da nicht. "Real networkers do CLI!!" mehr muss man dazu sicher nicht sagen. Mache das auf dem CLI und meide das KlickiBunti Interface dann wird das auch alles so wie es soll und auch richtig ist!dass nicht alle Einstellungen zuverlässig übernommen werden - das Spanning Tree beispielsweise:
Was man bei dir ja ganz deutlich sieht! Siehe Anmerkungen von oben!!dass man Proxy ARP nicht nutzen sollte - gilt das auch für "local-proxy-arp"?
Ja, es gehört aus Sicherheitsgründen generall immer AUS auf einem Router. Nur einzig und allein da nicht wo man es explizit braucht wie im o.a. L2TP Beispiel.Braucht es auf dem "Trunk" (bei mir eth23 und eth24) vom 6450 zum RB5009 überhaupt ein untagged VLAN (also Dual Mode)
Das ist eine berechtigte Frage. Sagen wir es mal so: Wenn du nirgendwo mit einem gemeinsamen PVID VLAN arbeitest und alles rein nur Tagged überträgst dann sicher nicht.Gerade im Billigbereich ist es aber generell so das Trunks immer auch ein PVID VLAN haben was sich in den meisten Fällen auch nicht in der Konfig deaktivieren lässt wie z.B. bei Premium Switches wie dem deinen. Hier muss man also zumindestens aus Switchsicht immer mit dem PVID VLAN leben. Wenn man es aber physisch auch nirgendwo nutzt kann man es auch weglassen. Ist dann, wie immer, eine Geschmacksfrage.
Aktuell sieht es dann auf dem 6450 so aus:
Alles richtig gemacht mit einer Ausnahme!Das uplink-switch Kommando hat auf dem Switch nichts zu suchen. Das wird ausschliesslich nur einem MCT (MLAG) Design verwendet was du ja gar nicht hast! Das ist grundfalsch und solltest du deshalb dringenst wieder aus den VLAN Definitionen entfernen!
Der Rest ist soweit OK.
Sollte die bei meinem Aufbau größer oder kleiner als auf dem Mikrotik sein?
Vorsicht: Augen auf beim Brillenkauf...!Wie du am "0x" im Mikrotik sehen kannst wird hier die RSTP Priority in Hex angegeben im ICX aber dezimal!! 0x8000 (Default Mikrotik) ist dann gleich 32768 was immer der Default Wert der STP Priority ist die man immer in Vielfachen von 4096 angibt (Bridge Priority 0-61440, wobei die 0 nicht definiert ist).
Dein "20480" ist also beim MT ein völlig sinnfreier Wert. 🧐
Eine Kommunikation zwischen zwei am 6450 angeschlossenen Endgeräten im selben Subnetz ist nur mittels "local-proxy-arp" am Mikrotik möglich.
Das allein ist schon wenig glaubwürdig, denn es wäre ja völlig abwegig (und auch unsinnig) wenn man an einen Switch immer erst einen Router mit "proxy-arp" anschliessen müsste damit Endgeräte in einem gemeinsamen VLAN kommunizieren können.Das sowas ins Reich der IT Märchen gehört weisst du auch sicher selber....
Es lässt eher vermuten das du in der IP Adressierung dieser Endgeräte in einem gemeinsamen Layer 2 VLAN einen fatalen Fehler in der IP Adresse selber oder in der Subnetzmaske dieser Geräte begangen hast.
Alle Geräte in so einem VLAN können am Switch natürlich auch ganz ohne Router kommunizieren, denn der Router ist in einem gemeinsamen IP Netz überhaupt nicht in die lokale Endgeräte Kommunikation involviert. Auch mit abgezogenem Mikrotik muss eine IP Kommunikation innerhalb der VLANs fehlerfrei möglich sein, was du ja auch selber schnell und einfach einmal mit statischen IP Adressen auprobieren kannst um es selber zu verifizieren.
Das Fehlerbild lässt vermuten das es zu einem lokalen Routing innerhalb der gleichen Layer 2 Broadcast Domain kommt. Typischerweise passiert sowas wenn man fälschlich mit mehreren unterschiedlichen IP Netzen "auf einem Draht" arbeitet.
In so einem Fall muss der Router dann übers gleiche Interface routen, was dann eine falsche oder fehlerhafte IP Adressierung oder falsche L2 Anbindung an den Router bestätigt.
Da solltest du also nochmals genau deine Router VLAN Konfiguration der Bridge beachten. Insbesondere des Ports der zum ICX Switch geht! Möglicherweise sind auch die oben bereits erwähnten, per se falschen MCT Kommandos der Grund?!
Welcher Port ist denn der Uplink Port auf Switch und Routerseite??
Wohl eher nicht wenn keine relevanten Fehlermeldungen im Log (show logg) stehen...
...oder, wie bereits gesagt, liegt es bei dir an den syntaktisch falschen "uplink-switch ethe 1/1/23 to 1/1/24" Kommandos in den VLAN Definitionen die in nicht MCT Konfigs auch gar nichts zu suchen haben! Entferne die überall mit einem "no" davor.
Deine IP Adressierung ist auch etwas unklar und kryptisch!
Was genau ist mit "10.XX.VLAN.1 255.255.255.0" gemeint. Bei einem 24er Präfix sind die ersten 3 Oktets das Netz also immer fest und der Rest die Hostadresse. WAS also bedeutet das ominöse "XX" im Netzwerkbereich? 🤔
Alls Beispiel sehen VLAN 10 IP Netz Endgeräte IPs dann nach deinem Schema so aus:
10.1.10.10
10.1.10.20
10.1.10.30
usw.
Im VLAN 20 IP Netz dann analog
10.1.20.10
10.1.20.20
10.1.20.30
usw. usw. Siehe auch hier.
Kleines Einmaleins der IP Adressierung erste Klasse...
Zur Sicherheit auch noch einmal nachgefragt: Den korrekten Bootloader kxz10105.bin zum 8.0.30u Image hast du installiert?? (show version)
...oder, wie bereits gesagt, liegt es bei dir an den syntaktisch falschen "uplink-switch ethe 1/1/23 to 1/1/24" Kommandos in den VLAN Definitionen die in nicht MCT Konfigs auch gar nichts zu suchen haben! Entferne die überall mit einem "no" davor.
Deine IP Adressierung ist auch etwas unklar und kryptisch!
Was genau ist mit "10.XX.VLAN.1 255.255.255.0" gemeint. Bei einem 24er Präfix sind die ersten 3 Oktets das Netz also immer fest und der Rest die Hostadresse. WAS also bedeutet das ominöse "XX" im Netzwerkbereich? 🤔
Alls Beispiel sehen VLAN 10 IP Netz Endgeräte IPs dann nach deinem Schema so aus:
10.1.10.10
10.1.10.20
10.1.10.30
usw.
Im VLAN 20 IP Netz dann analog
10.1.20.10
10.1.20.20
10.1.20.30
usw. usw. Siehe auch hier.
Kleines Einmaleins der IP Adressierung erste Klasse...
Zur Sicherheit auch noch einmal nachgefragt: Den korrekten Bootloader kxz10105.bin zum 8.0.30u Image hast du installiert?? (show version)
Jetzt läuft's
👏 👍 Glückwunsch! Man muss es eben nur richtig machen! 😉Aber der Teufel steckt dann doch im Detail.
Dafür gibt es dann das Forum...802.1X, dynamische VLAN Zuweisung im WLAN, 10G über SFP+ usw. gehen
Die Tutorials dazu kennst du ja sicher alle...ansonsten weisst du ja jetzt wo du fragen musst. aber interessant ist's auf alle Fälle, sich in neue Themen einzuarbeiten!
Auf alle Fälle die richtige Einstellung!