20.04.2018, aktualisiert um 11:59:35 Uhr

10142

Mikrotik - VLAN - WLAN - DGS1210-24 - cAP AC

Hallo Zusammen,

ich habe mir vor kurzem einen cAP AC zugelegt und möchte diesen jetzt gerne in mein Netzwerk integrieren.
Da ich momentan ein bestehendes System habe ohne sehr große Konfiguration, wollte ich das ganze als Anlass nehmen, und direkt VLAN im Netzwerk einführen.

Konfiguration bisher:

Konfiguration Mikrotik:

Internes WLAN und das Gast WLAN wird per Firewall voneinander getrennt.
VLAN kommt daher bei mir noch nicht zum Einsatz.

Was ich mir jetzt vorstelle, ist in dem folgenden Bild zu sehen.

Konfiguration in Zukunft:

Was ich natürlich gesehen habe, ist folgendes:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Auch die Umstellung auf 6.41 ist mir bekannt:
Mikrotik VLAN Konfiguration ab RouterOS Version 6.41

Ich stehe jetzt allerdings auf dem Schlauch.
Grundsätzlich sollte es kein Problem sein, die VLANs über eth4 zum Switch zu bringen und von dort aus zum cAP AC. Der cAP AC hat auch diese 2 VLANs zum Trennen von Gast und Intern.
Theoretisch sehe ich das ganze als überhaupt kein Problem an.

Was ich allerdings nicht verstehe. Einmal wird mit einer Bridge gearbeitet, und einmal werden die VLANs direkt auf eth4 zugewiesen.
Was ist hier der sinnvollere Weg?

Auch habe ich in den Anleitungen gelesen, dass man "Kabel" und "WLAN" auch wenn diese 2 auf das selbe Netz zugreifen, getrennt voneinander sein sollen.
Sollte das in meinem Fall auch gemacht werden? Über das VLAN komme ich ja dann in das richtige Netz.

Grundsätzlich Frage noch zum Schluss.
Ist solch ein Aubau grundsätzlich richtig, oder sollte das ganze anders angegangen werden?

Danke

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 371762

Url: https://administrator.de/contentid/371762

Ausgedruckt am: 21.11.2024 um 13:11 Uhr

27 Kommentare

Neuester Kommentar

Grundsätzlich sollte es kein Problem sein, die VLANs über eth4 zum Switch zu bringen

Ja, das stimmt, das ist mit dem MT eine Lachnummer.
Die genaue Anleitung dazu siehst du ja in dem Router OS 6.41 Tutorial hier im Forum !

Einmal wird mit einer Bridge gearbeitet, und einmal werden die VLANs direkt auf eth4 zugewiesen.

Nein, mit der direkten Zuweisung ist Unsinn. Jedenfalls ab der OS Version 6.41. Ab dieser Version ist IMMER eine Bridge erforderlich. Klar, denn das ist mehr oder minder einem Switch Konfig ähnlichen Verhalten angepasst worden von MT. Also viel logischer und übersichtlicher.
Wenn du eine alte Version unter 6.41 einsetzt mag das sein. Damals wurde da noch mit Master und Slave Interfaces gearbeitet und der internen kryptischen Switch Konfig. Das ist aber ab der 6.41 Historie und Schnee von gestern.
Fragt sich also von welcher Version du hier redest ??
Genau deshalb ist auch das 6.41er Tutorial hier entstanden um die neue und aktuelle Mikrotik VLAN Konfig zu erklären !

Was ist hier der sinnvollere Weg?

Wie bereits gesagt. Ab 6.41 gibt es nur EINEN !
Es ist also sinnvoll auf die aktuelle OS Version upzudaten und es über die im Tutorial beschrieben Konfig zu lösen. Eine andere Option gibt es eh nicht mehr da es wie gesagt ja KEINE zwei Wege mehr gibt !!

"Kabel" und "WLAN" auch wenn diese 2 auf das selbe Netz zugreifen, getrennt voneinander sein sollen.

Kann man so machen....muss man aber nicht.
Das hängt wie immer von den Anforderungen ab. Ein Gast WLAN und LAN trennt man immer und lässt es niemals zusammen auf ein Privates Netz.
Die Frage ist also zu unpräzise für eine sinnvolle Antwort.

Ist solch ein Aubau grundsätzlich richtig,

Klares JA wenn du damit deinen zukünftigen Aufbau meinst !
Das ist ein simples Standard Szenario was millionenfach und bewährt so im Einsatz ist !

Zitat von @aqui:

"Kabel" und "WLAN" auch wenn diese 2 auf das selbe Netz zugreifen, getrennt voneinander sein sollen.

Kann man so machen....muss man aber nicht.
Das hängt wie immer von den Anforderungen ab. Ein Gast WLAN und LAN trennt man immer und lässt es niemals zusammen auf ein Privates Netz.

Das diese 2 Getrennt werden, möchte ich ja Grundsätzlich mit VLAN erreichen. Das möchte ich auch nicht, dass diese 2 Zugriff aufeinander haben. Das wäre ja kontraproduktiv.

Wie bereits gesagt. Ab 6.41 gibt es nur EINEN !

Gut dann werde ich mir das nochmal genauestens ansehen. Bin nämlich mit der Firmware aktuell auf 6.42

Die Frage ist also zu unpräzise für eine sinnvolle Antwort.

Gemeint war, dass die 2 Internen Netze (Kabel und WLAN "Intern") voneinander getrennt sein sollen. Wenn ich mir diese Grafik ansehe, dann verstehe ich es so:
Hier wurde Firma und Firmen WLAN einem separaten VLAN zugeteilt.

Noch eine Frage:
Bin ich mit der VLAN Einstellung wie auf dem Bild zu sehen auf dem Holzweg oder ist das genau richtig?
Da ich noch nie was mit VLAN zu tun hatte, kann ich so vielleicht schon mal ein paar Hürden aus dem Weg gehen.

Bin nämlich mit der Firmware aktuell auf 6.42

Es gilt ab 6.42 und höher !!
Also mit deiner 6.42 bist du safe und hast eh nur noch die eine Option via Bridge. Wie gesagt...würde ab der 6.41 und höher ! komplett geändert.

Hier wurde Firma und Firmen WLAN einem separaten VLAN zugeteilt.

Ja, das ist richtig. In einem sauberen Design macht man das auch so. Nicht jeder macht sein WLAN wirklich sicher mit WPA2 Enterprise z.B. Wenn dann mal jemand einbricht hat man so einen Einbrecher gleich auch direkt im Produktiv VLAN. In sofern macht es immer Sinn die WLAN Infrastruktur abzutrennen.
Ob das nun überall Sinn macht ist eine Designfrage.
Bei Klempnermeister Röhricht im Büro wo nur noch Werner und Geselle Eckehardt arbeitet müsste man es sicher nicht unbedingt machen.
Aber falls Werner im Bölkstoff Koma mal das Passwort rauslässt ist das Unglück da.... Mit anderen Worten...es kommt immer darauf an !

VLAN Einstellung wie auf dem Bild zu sehen auf dem Holzweg oder ist das genau richtig?

Nope, kein Holzweg ! Wie oben schon gesagt alles richtig und korrekt.
Das geheimnisvolle VLAN 7 ist dann sicher dein Management VLAN oder wofür ist das ? Oder ist das dein LAN Netzwerk ?
Und...wer oder was ist in VLAN 1 ??
Musst du aber nicht verraten hier

Zitat von @aqui:

Das geheimnisvolle VLAN 7 ist dann sicher dein Management VLAN oder wofür ist das ? Oder ist das dein LAN Netzwerk ?
Und...wer oder was ist in VLAN 1 ??
Musst du aber nicht verraten hier

Ich wusste jetzt wirklich eine ganze Zeit lang nicht, ob es Spaß oder ernst gemeint war mit dem VLAN 1 ;)

Ich lese überall, dass man VLAN 1 als Default VLAN eingestellt lassen soll.
Das habe ich auch so gelassen, obwohl ich "eigentlich" keine Verwendung dafür habe. Aber das es das Default VLAN ist, dachte ich es muss bleiben.

VLAN 7 ist mein LAN Netzwerk. Alle Geräte im Netzwerk haben den IP Bereich 192.168.7.x Daher das VLAN 7.

Das VLAN 70 und 90 soll neu hinzu kommen, da ich gerne Gäste und mein WLAN trennen möchte.

Ich habe heute ungefähr 2-3 Stunden verbracht, irgendwie das ganz zu schaffen, aber dann habe ich am Ende gemerkt, dass ich mir das ganze zu leicht vorgestellt habe und habe auch gemerkt ,dass ich noch sehr viel allgemeines Verständnisproblem in Sachen Netzwerk bzw. VLAN habe.

Bevor ich nun weiter mache, brauche ich das VLAN 1 in meinem Fall? Ich denke ja. Allerdings habe ich nirgends wie in den meisten Tutorials beschrieben die 192.168.1.1 was bei allen als VLAN 1 dient, im Einsatz.

Ich lese überall, dass man VLAN 1 als Default VLAN eingestellt lassen soll.

Kannst du auch nicht löschen !

Das habe ich auch so gelassen, obwohl ich "eigentlich" keine Verwendung dafür habe

Ist auch richtig so. Du musst das dann als ungenutzen Dummy drauflassen. Ist kein Problem, lass das so.
Du hast alles richtig gemacht. Lass dich nicht verunsichern !
Das VLAN 1 kannst du belassen, denn in der Regel sind alle Management IP Adressen in diesem VLAN wenn man sie nicht explizit umstellt auf andere VLANs.

wie in den meisten Tutorials beschrieben die 192.168.1.1 was bei allen als VLAN 1 dient,

Das ist nur ein Beispiel. Ein VLAN kann natürlich jede beliebige IP Adresse haben ! Nur doppelt darf es nicht sein

Zitat von @aqui:

Das ist nur ein Beispiel. Ein VLAN kann natürlich jede beliebige IP Adresse haben ! Nur doppelt darf es nicht sein

Wenn ich das richtig verstehe, dann kann mein VLAN1 auch meine interne IP haben (192.168.7.x)?
Somit würde ich mir VLAN7 quasi sparen...

Ich habe im folgenden das ganz nur mal mit VLAN 70 getestet, da bereits hier der Haken ist. Sobald dieses Problem gelöst ist, mache ich mich an die folgenden VLANs und die Einrichtung von dem cAP...

Allerdings mache ich noch irgendetwas falsch...

Vielleicht kannst du einen Blick drauf werfen. Ich habe das ganze jetzt nur mal mit einem VLAN getestet.
Habe auch die gesamte Konfiguration vom MT zurückgesetzt um wirklich von neu an zu starten.

Anbei die Bridge "br_eth4". Wie du im Tutorial geschrieben hast, VLAN Flitering vorerst noch nicht gesetzt.

Als nächste habe ich die VLANs Konfiguriert.

Dann die Adressen angelegt:

Default Route gesetzt

Ports der Bridge zugewiesen

Nachdem den Haken bei VLAN Filtering gesetzt.

DHCP und Pools für alle Adressen:

Und zu guter letzt noch die Einstellung auf dem DGS1210

Das ganze habe ich mit PVID 70 und 1 getestet.

Sollte ich Bilder vergessen haben... Diese kann ich natürlich gerne hochladen. Ich bin nämlich über jede Hilfe froh...

Wenn ich das richtig verstehe, dann kann mein VLAN1 auch meine interne IP haben (192.168.7.x)? Somit würde ich mir VLAN7 quasi sparen...

Ja, das ist richtig !

Sobald dieses Problem gelöst ist, mache ich mich an die folgenden VLANs und die Einrichtung von dem cAP...

Das ist auch genau der richtige Weg !

Habe auch die gesamte Konfiguration vom MT zurückgesetzt um wirklich von neu an zu starten.

Das ist auch richtig so !
Bereite auch den D-Link Switch richtig vor. Laut Screenshot hast du hier einen gravierenden Fehler gemacht, denn das VLAN 70 ist dort NICHT Tagged eingetragen !!
Du hast zwar den Port 2 richtig als ungetaggten Port für ein Endgerät eingeztragen aber du hast KEINEN Port als Uplink Port auf den Mikrotik definiert !! Das ist fatal, denn damit kann der Switch das VLAN 70 ja niemals an den Mikrotik übertragen udn auch andersrum !
Hier hast du also noch einen Fehler !
Definiere also den letten Port 24 als Uplink Port auf dem Mikrotik und setze dort das VLAN 70 auf Tagged.
Dein Testgerät schliesst du dann an Port 2 und pingst das VLAN 70 Interface des MT nachher.
Es sollte dir klar sein das OHNE einen Uplink Port mit den Tagged VLANs du diese ja nie auf den MT übertragen kannst.
Das hiesige VLAN Tutorial und auch das Mikrotik VLAN Tutorial weist mehrfach darauf hin.
Bitte dazu unbedingt auch nochmal die VLAN_Schnellschulung lesen !!

Weiter mit dem MT:
Erstmal sorge dafür das der MT auf die aktuelle Firmware: 6.42 (Stand 23.4.) upgedatet ist:
https://mikrotik.com/download
MIPS Image per Drag and Drop unter Winbox in das Files Window fallen lassen und wenn das Image hochgeladen wurde Router rebooten.
Nach dem Reboot unter System->Routerboard die Firmware updaten und nochmal rebooten.

Grundlage für das weitere Setup ist dieser Tutorial Abschnitt hier den du genau umsetzen solltest:
Mikrotik VLAN Konfiguration ab RouterOS Version 6.41
Denk dran wenn du den MT resettest das du NICHT die Default Konfig lädst !!

Das Koppelnetz zur FritzBox hängt NICHT an einer Bridge sondern ist ein dediziertes Punkt zu Punkt Netz !
Siehe Tutorial !
Die überflüssige FritzBox Bridge muss also raus !
Das FritzBox Interface kannst du schon zuallererst auf dem MT einrichten und testen, das macht Sinn.
Konfiguriere dazu nur einen freie IP Adresse deines FritzBox LANs die nicht im DHCP Server Pool ist auf dem Port ether 1 Z.B. 192.168.10.254
Wenn deine FritzBox die 192.168.10.1 hat dann kannst du jetzt von der FritzBox die .254 pingen und auch vom MT im Ping Menü unter Tools die FB mit der .1
Dann trägst du gleich noch die erforderliche statische Route in deiner FritzBox auf dein VLAN 70 ein:
Zielnetz: 192.168.70.0, Maske: 255.255.255.0, Gateway: 192.168.10.254 (Mikrotik IP an ether1)
Fertig !

Weiter mit den MT VLANs:
Laut deinen Screenshots hast du sicher schon gesehen das du hier mehrere Fehler gemacht hast wenn du das mal mit dem Mikrotik Tutorial vergleichst. Also bitte nochmal in Ruhe lesen und auch wirklich so umsetzen !!:

Warum 2 Bridges ? Es ist nur eine erforderlich !

Alles Überflüssige oder was von Konfig Versuchen über geblieben ist immer weglöschen !
Ein Bridge als die du auch mit dem Default Namen Bridge1 belassen kannst !
Der Rest ist soweit richtig !
Wichtig: Am Schluss den Haken "VLAN Filtering" im Bridge Setup nicht vergessen !!
DHCP Pools usw. auch richtig.

Fazit:
Tutorial nochmal genau lesen und entsprechend mit deinen IPs und VLAN IDs umsetzen.
Und wichtig: Den Switch richtig konfigurieren !

Zitat von @aqui:

Bereite auch den D-Link Switch richtig vor. Laut Screenshot hast du hier einen gravierenden Fehler gemacht, denn das VLAN 70 ist dort NICHT Tagged eingetragen !!
Du hast zwar den Port 2 richtig als ungetaggten Port für ein Endgerät eingeztragen aber du hast KEINEN Port als Uplink Port auf den Mikrotik definiert !! Das ist fatal, denn damit kann der Switch das VLAN 70 ja niemals an den Mikrotik übertragen udn auch andersrum !
Hier hast du also noch einen Fehler !
Definiere also den letten Port 24 als Uplink Port auf dem Mikrotik und setze dort das VLAN 70 auf Tagged.

Der letzte Port soll bei mir später als Anschluss für den cAP dienen. Letztlich sollte es egal sein, welcher Port der Uplink ist.
Bei mir geht vom Switch Port 1 das Kabel zum MT Port 4.
Also nutze ich den Port 1 als Uplink Port. Jetzt ist nur die Frage, Port 1 hat sowohl Untagged als auch das VLAN 70 als Tagged Port?

Dein Testgerät schliesst du dann an Port 2 und pingst das VLAN 70 Interface des MT nachher.

Mit dem Eintrag VLAN 70 weiß ich dann auch den Port 2 als Untagged zu. Somit habe ich dann eine Verbindung der 2 Ports?

Weiter mit dem MT:
Erstmal sorge dafür das der MT auf die aktuelle Firmware: 6.42 (Stand 23.4.) upgedatet ist:
https://mikrotik.com/download

Das werde ich heute direkt in Angriff nehmen. Bin auf dem Stand von letzter Woche. Aber ich flashe gerne nochmals neu.

MIPS Image per Drag and Drop unter Winbox in das Files Window fallen lassen und wenn das Image hochgeladen wurde Router rebooten.
Nach dem Reboot unter System->Routerboard die Firmware updaten und nochmal rebooten.

Grundlage für das weitere Setup ist dieser Tutorial Abschnitt hier den du genau umsetzen solltest:
Mikrotik VLAN Konfiguration ab RouterOS Version 6.41
Denk dran wenn du den MT resettest das du NICHT die Default Konfig lädst !!

Werde ich mir heute in Ruhe abends durchlesen und versuchen zu verstehen.

Das Koppelnetz zur FritzBox hängt NICHT an einer Bridge sondern ist ein dediziertes Punkt zu Punkt Netz !
Siehe Tutorial !
Die überflüssige FritzBox Bridge muss also raus !

Da ich nichts weiteres auf diesen Port lege, brauche ich diese auch nicht Bridgen? Somit kann ich rein über eth1 gehen ohne den "Umweg" über die Bridge?

Das FritzBox Interface kannst du schon zuallererst auf dem MT einrichten und testen, das macht Sinn.
Konfiguriere dazu nur einen freie IP Adresse deines FritzBox LANs die nicht im DHCP Server Pool ist auf dem Port ether 1 Z.B. 192.168.10.254

So wie jetzt quasi nur ohne Bridge.

Dann trägst du gleich noch die erforderliche statische Route in deiner FritzBox auf dein VLAN 70 ein: Zielnetz: 192.168.70.0, Maske: 255.255.255.0, Gateway: 192.168.10.254 (Mikrotik IP an ether1)
Fertig !

Das habe ich als allererstes Erledigt, nicht das ich über die statische Route stolpere.

Alles Überflüssige oder was von Konfig Versuchen über geblieben ist immer weglöschen !

Normalerweise lösche ich alles überflüssige raus. Da ich aber gestern sehr lange verbracht habe, um das VLAN zum laufen zu bekommen, waren mir viele Sachen dann doch vermutlcih nicht mehr klar.

Ein Bridge als die du auch mit dem Default Namen Bridge1 belassen kannst !

Hier versuche ich immer mir sinnvolle Namen aus zu denken, damit ich mich beim Einrichten leichter tue. Der Bridge denke ich wird es egal sein wie sie heißt ;)

Wichtig: Am Schluss den Haken "VLAN Filtering" im Bridge Setup nicht vergessen !!

Mit was ich mich wirklich schwer tue ist das Bild:

Hier ist zb. bei VLAN 1, eth5 als Untagged gesetzt. Das verstehe ich noch. Allerdings ist bei VLAN 10, eth2 auf untagged, und bei VLAN20, eth3 auf untagged gesetzt. Brauche ich das ganze? Bei mir ist nur bei eth 1 das Kable Richtung Fritzbox angeschlossen und bei eth4 das Kabel in Richtung Switch.
Somit fällt bei mir eth2 und eth3 eigentlich raus.
Ist somit diese Einstellung wichtig? Ich denke nur bei VLAN 1?

Letztlich sollte es egal sein, welcher Port der Uplink ist.

Das ist richtig !
Du brauchst dann aber zwei tagged Uplinks. Einen zum Mikrotik Router und einem zum cAP !

Jetzt ist nur die Frage, Port 1 hat sowohl Untagged als auch das VLAN 70 als Tagged Port?

Ja, wenn das der Uplink auf den Switch ist. Untagged ist VLAN 1 (Das default VLAN) und 70 ist tagged, alles an einem Port. Bei tagged Uplinks werden untagged Pakete an diesem Port immer ins VLAN 1 geforwardet im Default.
Das ist üblich und normal.

Aber ich flashe gerne nochmals neu.

Musst du natürlich nicht wenn du 6.42 schon drin hast !
WICHTIG: Das hier lesen: Mikrotik Advisory: Vulnerability exploiting the Winbox port

heute in Ruhe abends durchlesen und versuchen zu verstehen.

Wenn du was nicht verstehst hier fragen ! Das hilft auch das Tutorial zu verbessern !

Somit kann ich rein über eth1 gehen ohne den "Umweg" über die Bridge?

Bingo ! Genau so ist es ! FritzBox kommt direkt an den Port.

immer mir sinnvolle Namen aus zu denken

Das ist auch absolut richtig und hilft das auch nach 3 Wochen wieder zu verstehen.
Du kannst statt bridge1 natürlich auch vlan-bridge usw. nehmen, keine Frage. Nur keine Sonderzeichen nehmen.

schwer tue ist das Bild:
Hier ist zb. bei VLAN 1, eth5 als Untagged gesetzt.

Sieh mal was oben steht und was wir eben besprochen hatten... !
Richtig... ! Auf einem Tagged Uplink (und das ist dort Port ether5 !) ist das Default VLAN 1 immer untagged. Ebenso am anderen Ende der Switchport. Deshalb VLAN = untagged ! Alles klar ?

Allerdings ist bei VLAN 10, eth2 auf untagged,

Ja, das liegt daran das das eine "De Luxe" Konfig des Mikrotik ist. Der Port ether2 ist als Endgeräte Port direkt am Mikrotik konfiguriert. So kann man auch dessen restliche Ports als Endgeräte Ports benutzen und dort was fürs VLAN 10 aufstecken.
Das kann man so nutzen...muss man aber nicht ! Dann lässt du ether2 schlicht und einfach weg in der Tag Definition.

und bei VLAN20, eth3 auf untagged gesetzt.

Dito ! Hier kann man dann ein Endgerät für VLAN 20 aufstecken....wenn man denn will.
Wenn nicht wie oben...Konfig einfach weglassen oder so den oder die Restports einrichten wie man sie haben möchte.

Bei mir ist nur bei eth 1 das Kable Richtung Fritzbox angeschlossen und bei eth4 das Kabel in Richtung Switch.

Wie gesagt...ist deine Entscheidung ob du die 3 Restports noch irgendwie nutzt für Endgeräte oder z.B. als Trunk (doppelte Bandbreite) oder einfach brach liegen lässt.
Kannst du frei eintscheiden

Ist somit diese Einstellung wichtig? Ich denke nur bei VLAN 1?

Ja richtiog ! Nur VLAN 1 ist dann relevant am Uplink.

Ich muss das ganze jetzt nochmal von hinten aufrollen... Irgendwie verstehe ich das ganze auf Switch-Seite noch nicht.

Ist diese Einstellung grundsätzlich richtig?
Nicht das es am Ende an der Switch Konfig scheitert....

Verstehe tue ich meine Einstellung so:
VLAN 70 wird auf Port 1 Richtung Mikrotik getagged und auf Port 2 in Richtung Endgerät Untagged eingestellt?

VLAN 1 sind alle Ports untagged eingestellt. Somit habe ich das Defaul VLAN auf Port 1 mit dem Tagged VLAN auch auf Port 1 abgedeckt?

Stimmt das?

Irgendwie verstehe ich das ganze auf Switch-Seite noch nicht.

Jetzt ist es aber richtig wenn dein Screenshot oben stimmt.
Port 01 ist der Uplink und dort ist VLAN 1 ungetaggt und VLAN 70 getaggt !! Alles bestens also !
Wo ist denn dein Problem ??

Ist diese Einstellung grundsätzlich richtig?

Yepp, das ist sie !

Somit habe ich das Defaul VLAN auf Port 1 mit dem Tagged VLAN auch auf Port 1 abgedeckt?

Yepp, richtig !
Wie oben bereits mehrfach beschrieben ist das die Regel so auf tagged Uplinks !
Mit dem Tag sagst du ja dem Switch (oder empfangenen Gerät) ganz klar und eindeutig für welches VLAN dieses Ethernet Paket ist. Klar, denn das lesen die Geräte aus dem VLAN Tag.
Dem Switch muss man aber auch noch sagen was er mit ungetaggten Paketen machen soll die er an diesem Port verarbeitet.
Die forwarden Switches ohne extra Konfig dann immer per Default in das Default VLAN 1. Deshalb ist also dein Port 01 untagged in VLAN 1.
Alles gut also

Zitat von @aqui:
Alles gut also

Naja leider noch nicht... ich bin leider bald am Verzweifeln....

Ich komme mit VLAN einfach nicht weiter...

Hier nochmal Screenshots von meinen momentanen Einstellungen.

Sobald ich am Switch Port 2 anstecke, bekomme ich keine IP aus dem Bereich .70 zugewiesen.

Ich weiß nicht wo mein Fehler liegt... Entweder am Switch oder am MT.

Was mich auch etwas verunsichert, ist diese Einstellung:
In der direkten Einstellung ist zu sehen, dass VLAN1 tagged eingetragen ist.
In der Übersicht, ist davon aber nichts zu sehen? Vielleicht ist es nur ein optischer Bug? Oder mache ich auch hier etwas falsch?

ich bin leider bald am Verzweifeln....

Ruhig bleiben und durchatmen wir führen dich schon zum Erfolg, nur Geduld. Irgendwo ist noch ein kleiner Kinken aber den finden wir schon...
Der Fehler liegt nicht am Switch, denn dort ist laut deinem Screenshot alles richtig.
Port 1 ist der Uplink auf den MT und dort ist VLAN 1 Untagged und VLAN 70 Tagged. Das ist alles richtig soweit.

Nur mal vorweg dumm nachgefragt: Warum nimmst du ein Interface "mittendrin" auf dem MT als Uplink ? Rein logisch wäre es doch vom Management einfacher entweder das erste ether 1 oder das letzte Interface ether 5 als Uplink zum Switch zu nehmen z.B. ether5 wie im Tutorial ?! Hat das einen Grund bei dir warum es 4 sein muss ?
OK, technisch ist es vollkommen egal aber vom Management doch viel übersichtlicher so, gerade für einen Anfänger. Das Tutorial macht es auch so.
Letztlich ist aber kosmetisch und nur ein Vorschlag dir das Leben zu erleichtern.

Ich vermute irgendwas an der Bridge Konfig im MT stimmt nicht.
Bei den VLAN Interfaces dort ist es richtig das die getaggt sind. Damit sind die internen (Layer 3) IP VLAN Interfaces gemeint und die sollen auf die interne Bridge ihren VLAN Tag mitgeben um eindeutig identifizierbar zu sein.

Entferne zur Korrektur erstmal wieder den Haken VLAN Filtering und gehe mal strategisch vor. Annahme hier das eine bridge1 eingerichtet ist !
Hier die Schritte nochmal im Einzelnen:

1.) VLAN Interfaces erzeugen und diese an die Bridge hängen:

2.) IP Adressen konfigurieren auf den VLAN Interfaces:

3.) In der Bridge Konfig die Ports der Bridge zuweisen:

4.) Im VLAN Reiter der Port Definition das Tagging konfigurieren:

Ether 4 = Jeder Frametyp zugelassen tagged und untagged. Klar, denn der Port transportiert VLAN 1 untagged und VLAN 70 tagged, muss also beide Frametypen (All) supporten
Vlan1 und 70 = Hier nur tagged erlaubt. Klar, denn die VLAN Ports sollen der Bridge immer den VLAN Tag mitsenden !

5.) VLANs die Bridgeports zuweisen:

Für VLAN 1 soll die Bridge taggen und das VLAN 1 Inteface ebenso.
Am Port ether4 gehts auf den VLAN Switch und der Switch erwartet hier VLAN 1 untagged und VLAN 70 tagged. Siehe deine Switch Konfig. Folglich ist VLAN 1 also am ether4 Port untagged und VLAN 70 tagged.

6.) VLAN Switching jetzt mit Haken aktivieren:

Hier siehst du jetzt ganz deutlich was schon oben steht:
Für das VLAN 1 wird das L3 Interface vlan 1 getagged, ebenso der Bridgeport selber und auf ether4 kommt es untagged raus
VLAN 70 ist auf allen Ports getaggt wie es sein soll.

VLAN 70 sieht bei dir richtig aus aber das L3 Interface vlan1 fehlt oben in der Konfig.
Also alles nochmal in Ruhe durchsehen.
Für ein Troubleshooting sind immer aktuelle Screenshots der internen Bridge wichtig wie hier in Step 3, 4 und 5 !

Wenn es wider Erwarten nicht gehen sollte dann weist du der Bridge einmal eins der bei dir ungenutzten Ports direkt am MT den beiden VLANs 1 und 70 zu wie im Tutorial.
Dann kannst du die DHCP Vergabe erstmal ohne Switch Uplink direkt auf dem MT testen. Achte darauf das die DHCP Server immer den vlanx Interfaces zugeordnet sind !
Wenns an den direkten Ports klappt dann ist noch was am Switch selber faul.
Wenn alle Stricke reissen bastel ich dir eine getestete laufende Konfig für deinen MT die du nur noch importieren musst.
Was hast du da für eine HW ist das ein hAP lite ?

Zitat von @aqui:

Nur mal vorweg dumm nachgefragt: Warum nimmst du ein Interface "mittendrin" auf dem MT als Uplink ? Hat das einen Grund bei dir warum es 4 sein muss ?

Ja das hat den einfachen Grund das es ein hAP lite mit nur 4 Ports ist ;)

1.) VLAN Interfaces erzeugen und diese an die Bridge hängen:

2.) IP Adressen konfigurieren auf den VLAN Interfaces:

3.) In der Bridge Konfig die Ports der Bridge zuweisen:

4.) Im VLAN Reiter der Port Definition das Tagging konfigurieren:

Das sehe ich mir nochmal in Ruhe an und gehe das ganze nochmal Schritt für Schritt durch.

Wenn es wider Erwarten nicht gehen sollte dann weist du der Bridge einmal eins der bei dir ungenutzten Ports direkt am MT den beiden VLANs 1 und 70 zu wie im Tutorial.
Dann kannst du die DHCP Vergabe erstmal ohne Switch Uplink direkt auf dem MT testen. Achte darauf das die DHCP Server immer den vlanx Interfaces zugeordnet sind !
Wenns an den direkten Ports klappt dann ist noch was am Switch selber faul.

Werde ich testen!

Wenn alle Stricke reissen bastel ich dir eine getestete laufende Konfig für deinen MT die du nur noch importieren musst.

Genau das will ich nicht. Ist zwar ein schönes Angebot von dir aber da lerne ich ja nichts. Du kannst es schon ich will es noch lernen

Was hast du da für eine HW ist das ein hAP lite ?

Genau

Ja das hat den einfachen Grund das es ein hAP lite mit nur 4 Ports ist ;)

OK, sorry ich hab den hAP ac Lite hier und der hat 5

aber da lerne ich ja nichts.

Das ist de richtige Einstellung !

Dann viel Erfolg. Das Wochenende ist ja lang zum Basteln...

P.S.: Du musst übrigens nicht immer den ganzen Thread zitieren

Das mit dem Zitat ging leider nicht anders. War mit dem Handy online ;)

Ich habe es nun geschafft. Diese Einstellungen waren das Problem:

Ich habe zwar eth4 und vlan70 eingestellt. Aber die Einstellung für VLAN 1 habe ich total übersehen.

Ich musste dann allerdings die Einstellungen nochmals im Switch speichern, dann hat es auch auf Switch-Seite funktioniert.

Eine Frage habe ich dann aber noch. Der hAP Lite hat WLAN "onboard". Da ich WLAN Intern und WLAN Gast trennen will, frage ich mich wie das jetzt noch mach. Eigene Bridge erstellen? Zu der vorhandenen Bridge hinzu bridgen? Im Wireless Interface kann man auch VLAN Tags vergeben.
Ich denke dass ich hier ansetzen muss?

Diese Einstellungen waren das Problem:

Ooops...wo ist das Bild ? Nix zu sehen ! Hast du vergessen auf "+" zu klicken nach dem Hochladen ??

Ich habe es nun geschafft.

Tadaaa..!!! Das ist die Hauptsache. Glückwunsch !

Aber die Einstellung für VLAN 1 habe ich total übersehen.

Kann passieren im Eifer des Gefechts

Der hAP Lite hat WLAN "onboard".

Richtig !

Da ich WLAN Intern und WLAN Gast trennen will, frage ich mich wie das jetzt noch mach.

Sehr löblich und richtig !
Auch hier hat das Mikrotik Tutorial die schnelle Lösung für dich auf dem Silbertablet !! Einfach abtippen...
Guckst du hier:
Mikrotik VLAN Konfiguration ab RouterOS Version 6.41

Im Wireless Interface kann man auch VLAN Tags vergeben.

Yupp....das ist der richtige Weg ! Stichwort Virtual APs.
Tutorial lesen hilft, wie immer

Danke @aqui. Ich habe das ganze im hAP Lite und Switch nun für das erste soweit zum laufen bekommen!

Meine Config sieht momentan wie folgt aus:

Das ganze läuft jetzt wie im ersten Post gesehen, genau so wie ich mir das vorgestellt habe.
Nun mache ich mich an die Einrichtung im cAP AC.
Hier komme ich aber nun wieder nicht weiter...

Auch hier mal ein paar Screenshots:

DHCP soll natürlich der hAP Lite übernehmen.
Daher habe ich keinerlei IP Einstellungen für VLAN gemacht auf dem cAP AC.
Nur die IP für die interne IP habe ich Konfiguriert. Auch keinerlei Routen oder sonstiges, da hier alles auch der hAP Lite übernehmen soll.
Die Frage ist nun, welche Einstellungen sind zu machen, damit der cAP AC als reiner AP läuft und alle "Hauptaufgaben" der hAP Lite übernimmt?

Danke

Hier mal ein Beispiel wie man es mit einem einfachen cAP löst mit 4 VLANs (Native VLAN 1 (untagged) und tagged VLAN 10, 20 und 30)
Der Anschlussport des cAP muss an einen Tagged Port des Switches. Tagged für VLAN 10, 20 und 30 und untagged für VLAN 1.

1.) VLANs einrichten:

Die VLAN Interfaces bekommen keine IP, da der AP ja nur reine Bridge ist.

2.) WLAN Port und die virtuellen APs einrichten:

3.) Bridge einrichten und Ports zuweisen:

4.) Tagging einstellen auf den Bridge Ports:

Fertisch !

Ist das Tagging am Switch bei mir richtig?

Port 1 ist der Uplink zum hAP Lite.
Port 24 soll der Uplink zum cAP sein?

Was ich nicht verstehe: Ich habe das Default VLAN 1. Was aber am Switch Port 24 nicht auf Untag gesetzt werden kann.
Somit bekomme ich das Default VLAN doch nicht weiter zum Port 24?

Die Frage ist, ob ich das Überhaupt brauche, da beim mir internes Netz von Internem WLAN getrennt ist?

Der LAN Anschlussport des cAP muss an einen Tagged Port des Switches. Im obigen Beispiel Tagged für VLAN 10, 20 und 30 und untagged für VLAN 1.
Klassischer Uplink Port also.

Was aber am Switch Port 24 nicht auf Untag gesetzt werden kann.

Genau !
Deshalb ist das VLAN 1 auch untagged am cAP LAN Port

Übrigens ist es das auch am hAP, so das dann beide VLAN 1 WLAN Ports im gleichen Netz wieder liegen, genau wie es sein soll

Die Frage ist, ob ich das Überhaupt brauche, da beim mir internes Netz von Internem WLAN getrennt ist?

Brauchst du nur wenn du dein internes Netz auch von dort (cAP) über einen virtuellen AP aussenden willst.
Wenn du das nicht willst dann kannst du das natürlich weglassen, klar.

Und es reicht die WLANs (mit VLAN Tag) auf eth1 zu bridgen?
Muss ich nicht VLANs auch mit drauf Bridgen wie auf meinem Bild?

Beim hAP Lite musste ich die VLANs mit Bridgen?

Ich glaube ich konnte mir die Frage gerade selber beantworten.
Ich muss nicht extra ein VLAN in die Bridge mit aufnehmen, wenn ich sowieso das WLAN getagged habe. Sonst würde ich quasi doppelt Taggen?

Ein Frage habe ich noch. Frame Types muss in diese Fall immer auf "admit all" stehen?
Im hAP Lite wird bei den VLANs "admit only VLAN tagged" eingetragen?

Ja, das musst du. Macht die o.a. Konfig ja auch. Die WLAN Interfaces werden mit ihren Tags entsprechend den VLANs zugeordnet und damit gebridged. So landet jedes spezifische MSSID WLAN auch in deinem dazugehörigen VLAN.
Eigentlich das klassische Prinzip !

Ich glaube ich konnte mir die Frage gerade selber beantworten.

Solltest du auch nach soviel VLAN Erfahrung mit den MTs

ch muss nicht extra ein VLAN in die Bridge mit aufnehmen, wenn ich sowieso das WLAN getagged habe.

Bingo !
Genau so ist es. die Betonung liegt auf muss NICHT !

Frame Types muss in diese Fall immer auf "admit all" stehen?

Nein, das war meine Faulheit oben. Das kann auch auf Tagged only stehen. Macht die Sache noch etwas sicherer.
Wie gesagt nur WLAN / VLAN. Nicht auf dem eth 1, denn das hat ja noch das VLAN 1 untagged. Dort (und nur dort) muss admit all rein.

So nochmal ein herzliches Dank an @aqui für die wahnsinnig gute Hilfe und die Geduld mit mir!
Ich habe das ganze jetzt wie von mir gewünscht zum laufen bekommen.

Anbei auch nochmal die Grafik wie ich es jetzt nun umgesetzt habe.

Auch einige Bilder von den Einstellungen.
Jetzt erstmal die Einstellung von dem hAP Lite:
Bridge anlegen:

VLAN konfiguriert:

Und die Zuweisung zur Bridge

WLAN und das virtuelle Interface:

Die einzelnen Ports der Bridge zuweisen:

In diesem Fall, da ich noch einen cAP AC haben, habe ich die VLANs direkt auf die Bridge getan, und auch das WLAN.

Einstellungen für die einzelnen Ports:

Einstellung für VLANs:

Jetzt noch die restlichen Einstellungen
Pools anlegen:

Address List anlegen:

DHCP Server:

Und die dazugehörigen Netzwerke:

Und die Routen:

Und zum Schluss das VLAN Filtering aktivieren:

Einstellungen auf dem Switch:
VLAN 70 und 90 Schleife ich nur zum Port 11 durch. Ich brauche keinen Untagged Port. VLAN 70 und 90 sind bei mir nur für den cAP AC da, damit ich auch hier meine Gäste vom Internen WLAN trennen kann.

Und zu guter letzt noch die Einstellungen auf dem cAP AC.

Einstellungen folgen!

Ich hoffe ich kann so jetzt auch anderen Usern helfen.

Dank @aqui habe ich es auch nur so geschafft!

Glückwunsch !

Zeigt ja das das Tutorial nicht ganz falsch ist

In den weiterführendcen Links des Tutorial kommt ein Verweis hier auf deinen Thread als Hilfe für andere. Wenn du die Settings also noch komplettierst wäre das hilfreich.