9
MAC VLAN TP-LINK
Hallo zusammen,
ich bin echt am verzweifeln und bin über jede Hilfe dankbar.
Folgendes Szenario:
Ich habe auf einem TP-Link Switch VLAN´s erstellt und soweit funktioniert auch alles.
Dann wollte ich an einem Port das MAC VLAN einrichten und bekomme es einfach nicht hin.
An Port 3 ist der Client und an Port 24 der Router.
Kurz und übersichtlich:
802.1Q VLAN ---Profil erstellt---> VLAN ID 40 | Port 3 untagged + Port 24 tagged
Port Config -> Port 3 -> PVID 1 -> Acceptable Frame Types steht auf "Admit All"
MAC VLAN ---Profil erstellt---> MAC Adresse | VLAN ID 40
Mit dieser Konfiguration erhalten "ALLE" Geräte Zugriff zum LAN. Die MAC Adresse des Gerätes, was zu VLAN 40 gehört landet auch im LAN.
Sobald ich die PVID auf 40 umstelle erhalten "ALLE" Geräte Zugriff zum Gästenetz, auch die des Gerätes, welches normalen Traffic, sprich VLAN 1 erhalten soll. Logischerweise habe ich das auch so unter MAC VLAN hinterlegt.
Was mache ich falsch?
ich bin echt am verzweifeln und bin über jede Hilfe dankbar.
Folgendes Szenario:
Ich habe auf einem TP-Link Switch VLAN´s erstellt und soweit funktioniert auch alles.
Dann wollte ich an einem Port das MAC VLAN einrichten und bekomme es einfach nicht hin.
An Port 3 ist der Client und an Port 24 der Router.
Kurz und übersichtlich:
802.1Q VLAN ---Profil erstellt---> VLAN ID 40 | Port 3 untagged + Port 24 tagged
Port Config -> Port 3 -> PVID 1 -> Acceptable Frame Types steht auf "Admit All"
MAC VLAN ---Profil erstellt---> MAC Adresse | VLAN ID 40
Mit dieser Konfiguration erhalten "ALLE" Geräte Zugriff zum LAN. Die MAC Adresse des Gerätes, was zu VLAN 40 gehört landet auch im LAN.
Sobald ich die PVID auf 40 umstelle erhalten "ALLE" Geräte Zugriff zum Gästenetz, auch die des Gerätes, welches normalen Traffic, sprich VLAN 1 erhalten soll. Logischerweise habe ich das auch so unter MAC VLAN hinterlegt.
Was mache ich falsch?
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 3530831628
Url: https://administrator.de/contentid/3530831628
Ausgedruckt am: 26.11.2024 um 16:11 Uhr
9 Kommentare
Neuester Kommentar
Mac based VLANs werden in der Regel mit einem Radius Server und Port Security (802.1x / Mac Bypass) konfiguriert. Was sagt denn dein Radius Server auf die eingehenden Requests vom Switch?!
Guckst du auch hier:
Freeradius Management mit WebGUI
Beispiele bei Cisco, Ruckus und HP Switches:
Cisco SG 350x Grundkonfiguration
Ruckus ICX - 802.1x - is mac-vlan member of 2 vlans in single-untagged mode
Netzwerk Zugangskontrolle mit 802.1x und FreeRadius am LAN Switch
Lesen und verstehen...
Guckst du auch hier:
Freeradius Management mit WebGUI
Beispiele bei Cisco, Ruckus und HP Switches:
Cisco SG 350x Grundkonfiguration
Ruckus ICX - 802.1x - is mac-vlan member of 2 vlans in single-untagged mode
Netzwerk Zugangskontrolle mit 802.1x und FreeRadius am LAN Switch
Lesen und verstehen...
Hey aqui, du bist eine Legende!
Ich habe etliche Einträge von dir gelesen und mich deswegen in diesem Forum hier angemeldet und jetzt antwortest direkt auch noch du auf diesen Beitrag :D
Erstmal vielen lieben Dank für die schnelle Antwort.
In meiner Verzweiflung habe ich mich an den TP-Link Support gewendet und die haben mich zu diesem Artikel verwiesen -> TP-Link
Das hatte ich natürlich schon so probiert, leider ohne Erfolg.
Das man einen Radius Server braucht ist mir aber neu. Mit "MAC based VLANS" kenne ich mich aber überhaupt nicht aus. Ich werde erstmal deine Artikel fleißig lesen.
Vielen Dank nochmal!
Ich habe etliche Einträge von dir gelesen und mich deswegen in diesem Forum hier angemeldet und jetzt antwortest direkt auch noch du auf diesen Beitrag :D
Erstmal vielen lieben Dank für die schnelle Antwort.
In meiner Verzweiflung habe ich mich an den TP-Link Support gewendet und die haben mich zu diesem Artikel verwiesen -> TP-Link
Das hatte ich natürlich schon so probiert, leider ohne Erfolg.
Das man einen Radius Server braucht ist mir aber neu. Mit "MAC based VLANS" kenne ich mich aber überhaupt nicht aus. Ich werde erstmal deine Artikel fleißig lesen.
Vielen Dank nochmal!
Danke für die 💐!
OK, sieht so aus als ob TP-Link da eine Sonderlocke hat und man auf dem Switch das was normalerweise der Radius Server macht statisch in der Konfig hinterlegen kann. Ist eher eine Hersteller proprietäre Ausnahme aber man lernt ja nie aus was die Chinesen sich da so hinbasteln... Wieder was gelernt.
Das Prozedere ist dann exakt so wie mit Radius Unterstützung.
Wenn du den Client dann in den ensprechend konfigurierten o.a. Port steckst der die VLAN basierete Zuweisung macht, dann sollte der Rechner automatisch in VLAN 10 sein und dort alle Endgeräte pingen können.
Das ist natürlich eine neckische Spielerei für Heimnetze wenn man einen einsamen Switch hat. In einem größen Netzwerk ist sowas eine Katastrophe weil man es auf jedem Switch manuell im gesamten Pfad managen muss. Sowas ist dann wenig bis gar nicht skalierbar.
Switches von Mikrotik z.B. die gleich einen kompletten onboard Radius Server mitbringen würden sowas mit einer zentralen Verwaltung deutlich handhabbarer machen. Oder eben einen zentralen Radius auf NAS oder Raspberry Pi.
Aber für 2 bis 3 Adressen und einem Switch ist das sicher dann auch grad noch handhabbar.
Die Frage ist also WAS du WIE "probiert" hast und wo genau es kneift? 🤔
Es wäre deutlich hilfreicher für eine Lösung wenn du mal die o.a. CLI Outputs (show mac-vlan all, show run etc.) und aktiven Mac Adressen posten würdest. Dafür sind "show" Kommandos ja da...
OK, sieht so aus als ob TP-Link da eine Sonderlocke hat und man auf dem Switch das was normalerweise der Radius Server macht statisch in der Konfig hinterlegen kann. Ist eher eine Hersteller proprietäre Ausnahme aber man lernt ja nie aus was die Chinesen sich da so hinbasteln... Wieder was gelernt.
Das Prozedere ist dann exakt so wie mit Radius Unterstützung.
- VLANs global im Switch anlegen z.B. 10 und 20
- LAN Port Mac Adresse des Rechners merken. Bei Winblows geht das mit ipconfig -all bei Linux mit ip a
- Diese Mac Adresse mit mac-vlan mac-address 00:19:56:8a:4c:71 vlan 10 description VLAN10 statisch dem VLAN zuweisen. Eine show mac-vlan vlan 10 sollte das dann verifizieren.
- Client Port (oder Port Range) der/die dynmaisch zugewiesen wird darf nicht Member eines VLANs sein bzw. steht default untagged im Default VLAN (PVID 1)
- Dann im CLI auf diesen Port gehen und mac-vlan dort konfigurieren. Eine show mac-vlan interface danach sollte denn den Ports als dynamischen VLAN Port zeigen.
- Fertisch
Wenn du den Client dann in den ensprechend konfigurierten o.a. Port steckst der die VLAN basierete Zuweisung macht, dann sollte der Rechner automatisch in VLAN 10 sein und dort alle Endgeräte pingen können.
Das ist natürlich eine neckische Spielerei für Heimnetze wenn man einen einsamen Switch hat. In einem größen Netzwerk ist sowas eine Katastrophe weil man es auf jedem Switch manuell im gesamten Pfad managen muss. Sowas ist dann wenig bis gar nicht skalierbar.
Switches von Mikrotik z.B. die gleich einen kompletten onboard Radius Server mitbringen würden sowas mit einer zentralen Verwaltung deutlich handhabbarer machen. Oder eben einen zentralen Radius auf NAS oder Raspberry Pi.
Aber für 2 bis 3 Adressen und einem Switch ist das sicher dann auch grad noch handhabbar.
Die Frage ist also WAS du WIE "probiert" hast und wo genau es kneift? 🤔
Es wäre deutlich hilfreicher für eine Lösung wenn du mal die o.a. CLI Outputs (show mac-vlan all, show run etc.) und aktiven Mac Adressen posten würdest. Dafür sind "show" Kommandos ja da...
Bitte bitte 
Mit der CLI konnte ich mich bei TP-Link leider nicht anfreunden. Für mein Homelab reicht mir die WebGui aus.
Ich denke das Bilder hier Licht ins Dunkle bringen werden.
Hier habe ich die VLAN Config vorgenommen. VLAN ID 40 | Port 3 untagged + Port 24 tagged
Hier sieht man die Port Config. Hier habe ich alles auf PVID 1 belassen.
So erhalte ich an Port 3 aber "NUR" noch das VLAN 1. Sobald ich es auf PVID 40 umstelle erhalte ich "NUR" noch das VLAN GUEST.
Hier habe ich dann unter MAC-VLAN entsprechend Port 3 aktiviert und die beiden MAC Adressen hinterlegt.
Meiner Meinung nach alles richtig gemacht, aber es will einfach nicht
Ich wollte schon immer mal ein RADIUS Server einrichten
Vielleicht sollte ich es in mein RASPI Cluster mit aufnehmen.
Hier komme ich so leider nicht weiter. Vielleicht erkennst du ja einen Fehler. Ich habe etliche Varianten ausprobiert und es will einfach nicht. Vielen Dank nochmal für deine Bemühungen!
Mit der CLI konnte ich mich bei TP-Link leider nicht anfreunden. Für mein Homelab reicht mir die WebGui aus.
Ich denke das Bilder hier Licht ins Dunkle bringen werden.
Hier habe ich die VLAN Config vorgenommen. VLAN ID 40 | Port 3 untagged + Port 24 tagged
Hier sieht man die Port Config. Hier habe ich alles auf PVID 1 belassen.
So erhalte ich an Port 3 aber "NUR" noch das VLAN 1. Sobald ich es auf PVID 40 umstelle erhalte ich "NUR" noch das VLAN GUEST.
Hier habe ich dann unter MAC-VLAN entsprechend Port 3 aktiviert und die beiden MAC Adressen hinterlegt.
Meiner Meinung nach alles richtig gemacht, aber es will einfach nicht
Ich wollte schon immer mal ein RADIUS Server einrichten
Vielleicht sollte ich es in mein RASPI Cluster mit aufnehmen.
Hier komme ich so leider nicht weiter. Vielleicht erkennst du ja einen Fehler. Ich habe etliche Varianten ausprobiert und es will einfach nicht. Vielen Dank nochmal für deine Bemühungen!
Mit der CLI konnte ich mich bei TP-Link leider nicht anfreunden.
How come?? Eigentlich doch eine simple Lachnummer. Mit PuTTY eine Telnet oder SSH Verbindung öffnen und los gehts. Der Output der CLI show Kommandos wäre sehr hilfreich für ein zielführendes Troubleshooting um deinen Konfig Fehler zu finden. So erhalte ich an Port 3 aber "NUR" noch das VLAN 1.
Bedeutet ja dann das deine Mac Adresse nicht erkannt wird. Mit der aus dem Screenshot (00-00-00-00-00-01) kann es natürlich auch NICHT funktionieren! Ist aber vermutlich nur ein Dummy (hoffentlich)?!Ein show mac-vlan interface und show mac-vlan all wäre schon nicht schlecht.
Ich wollte schon immer mal ein RADIUS Server einrichten
Dann mal los. Ist eh die Standard konformere Lösung. Vielleicht erkennst du ja einen Fehler.
Ist schwierig in einem KlickiBunti GUI was keinen klaren Output liefert. Hilfreich wäre auch das Switch Log (show logg) was auch leider fehlt. Damit ist eher nur Kristallkugeln möglich. Vielleicht auch einfach nur ein Bug. Bei billigen China Krachern ja leider nicht unüblich. Neuste Firmware hast du draufgeflasht?
How come?? Eigentlich doch eine simple Lachnummer. Mit PuTTY eine Telnet oder SSH Verbindung öffnen und los gehts. Der Output der CLI show Kommandos wäre sehr hilfreich für ein zielführendes Troubleshooting um deinen Konfig Fehler zu finden.
Joa hast ja eigentlich Recht. PuTTY mag ich nicht. Ich mach es gerne über die CMD per SSH Bedeutet ja dann das deine Mac Adresse nicht erkannt wird. Mit der aus dem Screenshot (00-00-00-00-00-01) kann es natürlich auch NICHT funktionieren! Ist aber vermutlich nur ein Dummy (hoffentlich)?!
Ein show mac-vlan interface und show mac-vlan all wäre schon nicht schlecht.
Das wäre ja der Hammer, wenn das kein Dummy wäre Ein show mac-vlan interface und show mac-vlan all wäre schon nicht schlecht.
Na dann wollen wir mal mein bester:
Dann mal los. Ist eh die Standard konformere Lösung.
Das werde ich definitiv machen. Ich bau grad mein Cluster um, aber sobald ich fertig bin gehe ich es an.Btw, kannst mir einen guten Radius Server empfehlen. Ich lese immer wieder von FreeRadius. Deine Meinung bitte dazu.
Vielleicht auch einfach nur ein Bug. Bei billigen China Krachern ja leider nicht unüblich. Neuste Firmware hast du draufgeflasht?
Na klar doch
Das Elend siehst du ja jetzt selber oben und ist dir schon mehrfach gesagt worden! 🧐
Die von dir dort angegebene Mac Adresse ist völliger Quatsch! Das ist KEINE gültige Mac Adresse eines Endgerätes!!
Wenn du einen Winblows Rechner verwendest gibst du in der Eingabeaufforderung ipconfig -all ein. Wenn du einen Linux Rechner nutzt ist das ip a (oder das alte ifconfig, Der Mac zeigt es in den Systemeinstellungen - Netzwerk - Adapter - Hardware an)
DORT wird dir dann die zu deinem Gerät gehörige Mac Adresse (Hardware Adresse) angezeigt und diese Adresse gehört dort in deine Switch Konfig!
Am Switch natürlich mit : statt - als Trennungszeichen eingeben!
mac-vlan mac-address 00:50:2c:a5:f5:73 vlan 40 description WORK
Logisch, denn WIE sollte der Switch denn dein Endgerät eindeutig erkennen und die VLAN ID korrekt zuweisen können wenn nicht über die weltweit einzigartige Mac Adresse dieses Gerätes! Mit so einem Unsinn wie 00:00:00:00:00:01 geht das erwartungsgemäß in die Hose!
Eigentlich sollte man erwarten das du die Tips und Hilfen hier wirklich liest und auch entsprechend umsetzt! Ganz besonders als Netzwerk Administrator für den sowas banale Basics sind.
Die von dir dort angegebene Mac Adresse ist völliger Quatsch! Das ist KEINE gültige Mac Adresse eines Endgerätes!!
Wenn du einen Winblows Rechner verwendest gibst du in der Eingabeaufforderung ipconfig -all ein. Wenn du einen Linux Rechner nutzt ist das ip a (oder das alte ifconfig, Der Mac zeigt es in den Systemeinstellungen - Netzwerk - Adapter - Hardware an)
DORT wird dir dann die zu deinem Gerät gehörige Mac Adresse (Hardware Adresse) angezeigt und diese Adresse gehört dort in deine Switch Konfig!
mac-vlan mac-address 00:50:2c:a5:f5:73 vlan 40 description WORK
Logisch, denn WIE sollte der Switch denn dein Endgerät eindeutig erkennen und die VLAN ID korrekt zuweisen können wenn nicht über die weltweit einzigartige Mac Adresse dieses Gerätes! Mit so einem Unsinn wie 00:00:00:00:00:01 geht das erwartungsgemäß in die Hose!
Eigentlich sollte man erwarten das du die Tips und Hilfen hier wirklich liest und auch entsprechend umsetzt! Ganz besonders als Netzwerk Administrator für den sowas banale Basics sind.
Das Elend siehst du ja jetzt selber oben und ist dir schon mehrfach gesagt worden!
Die von dir dort angegebene Mac Adresse ist völliger Quatsch! Das ist KEINE gültige Mac Adresse eines Endgerätes!!
Aqui, jetzt enttäuscht du mich aber mein bester Die von dir dort angegebene Mac Adresse ist völliger Quatsch! Das ist KEINE gültige Mac Adresse eines Endgerätes!!
Denkst du das jetzt wirklich von mir?Ich habe doch weiter oben schon geschrieben, dass es ein "Dummy" ist!
Selbstverständlich habe ich dort meine richtige MAC eingetragen.
Eigentlich sollte man erwarten das du die Tips und Hilfen hier wirklich liest und auch entsprechend umsetzt!
Ich lese hier sehr aufmerksam mit und du?Ganz besonders als Netzwerk Administrator für den sowas banale Basics sind.
Das können bei uns die Azubis aus dem ersten Naja, ich werde mal bei TP-Link direkt nachfragen. Bin mal gespannt was dabei raus kommt.
Ich bin mir ziemlich sicher, dass ich soweit alles richtig konfiguriert habe.
Ich werde dieses Wochenende mal einen RADIUS Server einrichten und schauen ob es dann geht.
Wollte ich sowieso schon immer mal machen.
Trotzdem werde ich TP-Link nerven. Sobald ich was weiß werde ich mich dann hier melden.
Ich kann mir gut vorstellen, dass sehr viel mehr Leute diese Probleme haben.
Wäre doch toll wenn dann damit so vielen wie möglich geholfen wird.
Trotzdem recht herzlichen Dank, dass du immer so schnell antwortest.
Dann wünsche ich dir und natürlich allen Mitlesenden ein schönes Wochenende!
Wenn es das denn nun war:
Wie kann ich einen Beitrag als gelöst markieren?
Wie kann ich einen Beitrag als gelöst markieren?
