homesweethome
Goto Top

Netzwerkmigration von Fritzbox auf VLANs ?

Hallo an die Experten.
In meinem Haus ist die WLAN Ausleuchtung schlecht.
Anhand des Tutorials Mikrotik VLAN Konfiguration ab RouterOS Version 6.41 habe ich eine Infrastruktur aufgebaut, die ich aber noch nicht konfiguriert habe (s. Bild)
Aktuell sind alle Switches ohne VLAN über die Fritzbox angeschlossen, die den DNS/DHCP betreibt.
Die IoT Geräte befinden sich im Gäste-LAN der Fritzbox und die Accesspoints sind noch inaktiv.
Meine Frage ist, wie ich am geschicktesten den Umstieg von dem bestehenden Setup auf die geplanten VLANs machen soll.
Ich habe mir überlegt, dass ich zunächst alles in VLAN 1 lege und dann nach und nach die anderen VLANs in Betrieb nehme.
Dabei möchte ich vermeiden, mich selbst vom Netzwerk auszusperren.
Der Mikrotik muss ja das Routing und den DHCP übernehmen und mein Desktop PC soll alles steuern.
Hat jemand schon mal so einen Umstieg gemacht und kann mir ein paar Tipps geben, wie ich eventuelle Fallstricke vermeiden kann (z. B. bezüglich der IP-Adressen der Infrastrukturkomponenten)?
networksetup

Content-ID: 41813672973

Url: https://administrator.de/forum/netzwerkmigration-von-fritzbox-auf-vlans-41813672973.html

Ausgedruckt am: 30.12.2024 um 16:12 Uhr

aqui
Lösung aqui 23.02.2024 aktualisiert um 19:33:49 Uhr
Goto Top
Von der Fritzbox zum Mikrotik an den Link "VLAN 1, 3, 4" zu schreiben ist ja etwas sinnfrei wenn man weiss das die FB keinerlei VLANs supportet. 🤣
Dabei möchte ich vermeiden, mich selbst vom Netzwerk auszusperren.
Das musst du auch nicht. Der Umstieg ist kinderleicht ohne das du dein bestehende Netz überhaupt anfassen musst.
  • Mikrotik per WAN Port ins bestehende LAN klemmen. (Tutorial) WAN erstmal im DHCP Client Mode so das er sich DNS, Default Gateway und IP automatisch von der FB zieht. Ggf. gleich mit Mac Reservierung auf die .178.254.
  • In aller Ruhe alle VLANs, DHCP, Routing Trunk Uplinks usw. wie im Tutorial beschrieben einrichten.
  • Test PC nacheinander in alle VLANs klemmen, IP Adressvergabe, Internet Zugang, DNS, usw. wasserdicht vorab checken.
  • Einen Switch mit entsprechenden VLANs und Trunk Uplink umziehen.
  • Langsam und Stück für Stück die Endgeräte in ihre bestehenden VLANs umziehen. Klappt mal was nicht kannst du sofort zurückstecken.
  • Fertisch
Kommt man eigentlich auch wenn heute Freitag 🐟 ist mit dem gesunden IT Verstand drauf. face-wink
homesweethome
homesweethome 23.02.2024 aktualisiert um 19:45:02 Uhr
Goto Top
Danke für die schnelle Antwort.
Mir war schon klar, dass die FB keine VLANs kann.
Ich wollte mit der Bezeichnung nur klar machen, dass die Verbindung zur FB das VLAN2 nicht enthält.
Das muss natürlich auf dem Mikrotik konfiguriert werden.
aqui
aqui 23.02.2024 aktualisiert um 19:51:53 Uhr
Goto Top
Nein, zw. Mikrotik und FB nutzt du idealerweise ein dediziertes Routing Interface und kein VLAN Interface. Zumindestens nicht wenn du dein altes FB Netz nicht zwingend aufs neue Netz "durchschleifen" musst (was man in der Regel auch nie muss). Das ist keine gute Idee und im Endausbau sollte das Koppelnetz FB-Mikrotik auch ein reines Punkt zu Punkt Koppelnetz bleiben!
Mikrotik VLAN Konfiguration ab RouterOS Version 6.41
Kapitel: "Anmerkung zu Punkt1"
Sonie69
Sonie69 25.02.2024 um 15:37:35 Uhr
Goto Top
Ich habe eine ähnliche Konfiguration am laufen..
Um doppelts nat zu verhindern einfach das Subnetz der Fritz Box erweitern... Route to 192.168.178.10/16

Und dann auf dem Router in die entsprechenden vlan verteilen
homesweethome
homesweethome 25.02.2024 um 15:43:37 Uhr
Goto Top
Danke für den Hinweis mit dem erweiterten Subnet, daran hatte ich noch gar nicht gedacht.
aqui
aqui 25.02.2024 aktualisiert um 16:24:48 Uhr
Goto Top
einfach das Subnetz der Fritz Box erweitern... Route to 192.168.178.10/16
Du meinst aber (hoffentlich) nur die statische Route in der Fritzbox mit dem /16er Präfix, oder? Ansonsten wäre das ein fataler Fehler!
Mal abgesehen ist das was du oben geschrieben hast adresstechnisch gesehen vollkommen falsch sofern das eine Netzwerk Adresse sein soll! face-sad
"192.168.178.10" ist keine Netzwerk Adresse sondern eine Hostadresse!

Wie oben schon in der zitierten Stelle im Tutorial hat der TO nur 2 Optionen
  • Lokales FB LAN als reines Layer 2 VLAN über den WAN Koppelport des MTs "durchschleifen" und dahinter weiterverteilen.
  • Ein dediziertes Routing Interface verwenden und das Fritzbox LAN einzig nur als Koppelnetz verwenden.
Die erstere Option hat gravierende Nachteile in Bezug auf die Sicherheit und sollte man nur verwenden wenn man unbedingt muss. Die 2te Option ist die deutlich Bessere, auch aus Performancesicht.
Sonie69
Sonie69 26.02.2024 aktualisiert um 20:27:49 Uhr
Goto Top
Hallo aqui, natürlich meine ich die config für die Fritzbox. Allerdings baue ich die grade ab, steige auf Starlink um:

Mein Netzwerk sehen sehr ähnlich aus:
192.168.178.0/16 LAN lokal
192.168.172.0/24 VLAN PAPA
192.168.173.0/24 VLAN KIDS
192.168.174.0/24 VLAN IOT
192.168.175.0/24 VLAN GUEST

ich habe einen raspberry pi aufgesetzt, welcher dann daraus die entsprechenden lan konfiguriert:
6: vmbr1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
inet 192.168.172.10/24 scope global vmbr1
7: vmbr2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
inet 192.168.174.10/24 scope global vmbr2
8: vmbr0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
inet 192.168.178.10/16 scope global vmbr0

auf dem Router PC (192.168.178.10)
default via 192.168.178.1 dev vmbr0 proto kernel onlink
192.168.0.0/16 dev vmbr0 proto kernel scope link src 192.168.178.10
192.168.172.0/24 dev vmbr1 proto kernel scope link src 192.168.172.10
192.168.174.0/24 dev vmbr2 proto kernel scope link src 192.168.174.10

und ja ich weiß, es muss kein 16er sein. ein /19 hätte gereicht: 192.168.160.1 - 192.168.191.254. Aber da class-c netze sowieso nicht ins internet geroutet werden und genattet werden müssen... ### drauf.

wichtig ist, dass die fritzbox selbst kein vlan beherrscht, daher alles für das lokale netz an den router pc schicken.
der router verteilt dann auf die entsprechenden weiteren netze.

ich habe die config von dnsmasq / pihole aufgehoben, wenn da interesse besteht. mein jetziger dhcp läuft unter Proxmox in einer Instanz. Da kann ich wahlweise die Config bereitstellen.
den DNS habe ich ebenfalls in eine Instanz ausgelagert.

die NetGear habe ich auch im Einsatz. auch da kann ich eine Konfig posten.
Unterscheiden tut sich das nur, weil meine WIFI-Accesspoints von Ubiquiti sind. Ich find die Ufos einfach geil.

Ich stelle übrigens um, weil mein DSL-Provider nur ein ipv6/62 bereit stellt. und bei Starlink bekomme ich für das gleiche Geld mind. doppelt so schnell und eine ipv6/56.

wenn bedarf besteht, mir ne mail schreiben, dann schicke ich meine alte config gerne zu.

Grüße und noch einen schönen Abend
aqui
aqui 26.02.2024 um 21:29:39 Uhr
Goto Top
Mit anderen Worten du routest deine VLANs mit dem RasPi oder wie muss man das verstehen??
VLANs über 802.1q Trunk auf Windows und Linux Rechnern realisieren
Aber egal. Wir wollen hier jetzt nicht unfreundlich den Thread des TOs mit fremden Theman kapern. 🏴‍☠️
Sonie69
Sonie69 27.02.2024 um 07:39:02 Uhr
Goto Top
Zitat von @aqui:

Mit anderen Worten du routest deine VLANs mit dem RasPi oder wie muss man das verstehen??
VLANs über 802.1q Trunk auf Windows und Linux Rechnern realisieren
Aber egal. Wir wollen hier jetzt nicht unfreundlich den Thread des TOs mit fremden Theman kapern. 🏴‍☠️

welcher trunk für die fritz.box verwendet wird ist doch egal. die jeweilige switch muss nur den trunk auf den entsprechenden port untaggen, damit die fritz.box den router bedienen kann. ich weiß jetzt auch nicht, was daran unsicher sein soll. er verwendet hier halt eine microtic hac ac2 um die vlans miteinander zu verbinden.
aqui
aqui 27.02.2024 um 09:10:23 Uhr
Goto Top
Einen Trunk (Tagged Uplink) kann man technisch nicht auf einer Fritzbox terminieren, denn sie versteht ja per se keinerlei 802.1q VLAN Tags weil sie keine VLANs supportet.
Übrigens eine korrekte Rechtschreibung (Groß- Klein) gehört zur Netiquette.
Sonie69
Sonie69 27.02.2024 um 09:47:27 Uhr
Goto Top
Zitat von @aqui:

Einen Trunk (Tagged Uplink) kann man technisch nicht auf einer Fritzbox terminieren, denn sie versteht ja per se keinerlei 802.1q VLAN Tags weil sie keine VLANs supportet.
Übrigens eine korrekte Rechtschreibung (Groß- Klein) gehört zur Netiquette.

aber die microtic hac ac2 kann die Trunks als UNTAGGED weiterleiten. Wo ist das Problem? das kann jede Layer3 Switch.
aqui
aqui 27.02.2024 um 10:09:52 Uhr
Goto Top
Das ist natürlich richtig! Ist ja aber auch alles haarklein im Mikrotik VLAN Tutorial beschrieben.
Sonie69
Sonie69 27.02.2024 um 10:38:55 Uhr
Goto Top
Zitat von @aqui:

Das ist natürlich richtig! Ist ja aber auch alles haarklein im Mikrotik VLAN Tutorial beschrieben.

Boar! sieht das graumsam aus. Da bleib ich lieber bei meinem Firewall Appliance, Proxmox drauf, und instanzen für pihole, irs-dhcp-server, und unfi-desktop drauf, dürfte mindestens genauso performant sein.

ist aber nur meine Meinung face-wink
aqui
aqui 27.02.2024 aktualisiert um 11:46:29 Uhr
Goto Top
Na ja, für einen Netzwerk Admin ne simple Lachnummer. Mit jeder beliebigen Firewall geht das, wie du schon richtig sagst, natürlich auch wie dir ein anderes Tutorial erklärt. face-wink
Oder eben mit einem klassischen Layer 3 Konzept sofern man stolzer Besitzer eines L3 fähigen Switches ist.
Es gibt bekanntlich viele Wege nach Rom... 😉
aqui
aqui 05.03.2024 um 17:53:20 Uhr
Goto Top
Wenn es das denn nun war bitte den Thread dann auch als erledigt markieren!
Wie kann ich einen Beitrag als gelöst markieren?