Routing zwischen VLAN per Mikrotik

Hallo ,
seit dem Scheitern am Mikrotik-OS kam ich gut mit meinem promiscuous VLAN klar. Ohne Router war der Zugriff auf einzelne Clients in allen gewünschten VLAN möglich, keine weitere Technik nötig. Nun nicht ganz, Mikrotik für DHCP, Raspi für PiHole, NAS u.s.w., weswegen ich UNRAID nutzen möchte. Damit komme ich dann aber mit meiner Konfiguration nicht weiter und verstehe aqui´s Meinung.
Also nun Schluss mit dem Gefrickel und einen hex eingerichtet, rennt :-) face-smile
Frage per und zum Bild, weshalb lassen sich die VLAN´s anpingen? Das würde die VLAN Konfig ja überflüssig machen, oder hab ich das falsch verstanden?
Und ja, bei mir funktioniert es nicht, wie kann ich da eine Route zufügen wenn ich von einem PC auf ein anderes VLAN muss?

Content-Key: 1525113509

Url: https://administrator.de/contentid/1525113509

Ausgedruckt am: 26.11.2021 um 21:11 Uhr

Mitglied: hacktor
hacktor 18.11.2021 aktualisiert um 15:05:45 Uhr
Goto Top
Frage per und zum Bild, weshalb lassen sich die VLAN´s anpingen?
Das ist der Default beim Mikrotik, ohne Firewall-Regeln rauscht beim Routing alles zwischen den VLANs durch
Das würde die VLAN Konfig ja überflüssig machen, oder hab ich das falsch verstanden?
Jepp, du musst erst mal das Firewall-Regelwerk dafür erstellen, denn per Default lässt der Mikrotik alles zwischen den Netzen durch.
Um z.B. einem VLAN nur Zugriff aufs Internet zu geben und auf sonst keine anderen Netze am Mikrotik sähe so eine Regel bspw. so aus

wie kann ich da eine Route zufügen wenn ich von einem PC auf ein anderes VLAN muss?
Dafür braucht man keine Route, die VLANs sind ja am selben Device terminiert der Router kennt also seine Netze ja schon, funktioniert out of the box. Du hast wohl vergessen das die Client-Firewalls anzupassen (da Winblows per default pings, smb & co aus fremden Subnetzen blocken).

Ansonsten kennt wir keiner deine Konfiguration, ein export hide-sensitive hier gepostet gibt uns wie immer mehr Klarheit.
Mitglied: aqui
aqui 18.11.2021 aktualisiert um 16:13:17 Uhr
Goto Top
weshalb lassen sich die VLAN´s anpingen?
Der Mikrotik ist ein Router und keine Firewall !
Das ist der Grund warum sich alles pingen lässt, denn ein Router funktioniert immer nach dem Blacklist Prinzip, sprich generell ist ALLES immer erlaubt.
Eine Firewall aber immer nach dem Whitelist Prinzip, sprich alles was nicht explizit erlaubt ist, ist verboten.
Obwohl der Mikrotik auch eine stateful Firewall an Bord hat (die aber im Default nicht aktiv ist) ist er technisch gesehen ein Router, erlaubt also generell immer alle IP Routing Kommunikation im Default.
So einfach ist das...! ;-) face-wink Kollege @hacktor hat es oben ja schon alles gesagt.
wie kann ich da eine Route zufügen wenn ich von einem PC auf ein anderes VLAN muss?
Das wäre Unsinn, denn die VLAN IP Netze sind ja direkt am Mikrotik dran und er agiert als Layer 3 (Routing) Switch. Da alles direkt an ihm dran ist "kennt" er folglich ja auch alle lokalen IP Netze und benötigt keine extra Route dafür. Logisch....!
Fazit:
Möglich das irgendwas schiefgelaufen ist in deiner MT Konfig wen du keine Connectivity hast. Bedenke bei Winblows Clients imemr auch die lokale Firewall wenn du aus fremden IP Netzen auf Winblows Rechner zugreifen willst. In der Regel blockiert das die lokale Firewall und muss entsprechend customized werden.
Also ggf. nochmal ganz in Ruhe das hiesige Mikrotik Tutorial genau durcharbeiten, sich an die dortigen Vorgaben halten und deine Fehler korrigieren:
https://administrator.de/tutorial/mikrotik-vlan-konfiguration-ab-routero ...

Screenshots deines Setups oder wie oben schon gesagt ein export wäre sehr hilfreich hier um zu sehen was du falsch gemacht hast.
Wie man einfache Firewall Access Listen anlegt die VLAN Zugriffe blockieren kannst du u.a. hier als Beispiel sehen.
Mitglied: Ossabow
Ossabow 20.11.2021 um 09:41:36 Uhr
Goto Top
Da habe ich meinen Gag versaut :-( face-sad
Frage per und zum Bild, ....
Dann das Bild vergessen mitzusenden :-s face-confused
Ich bedanke mich für die Hilfe, ja das mit dem Ping ist so´n Ding. Ich hab einen Eintrag im Keepass:
Wenn es gehen muss, dann geht es auch. Ich habe alles nochmal von vorn nur mit dem hex aufgebaut und er routet.
Ein Problem war (und ist) das GW (Story: "Der Weg eines LAN Paketes durch ein geroutetes Netzwerk") Da habe ich Stunden vergeudet um die Intelligenz der FritzBox zu erkennen, das die einzutragenen Routen erreichbar sein müssen.
Am zweiten Problem arbeite ich seit Tagen, melde mich nun aber mal zwischendurch.
Mitglied: aqui
aqui 20.11.2021 aktualisiert um 10:40:11 Uhr
Goto Top
das die einzutragenen Routen erreichbar sein müssen.
Das ist bei allen Routern dieser Welt so !! ;-) face-wink Eine Route die auf ein nicht erreichbares Gateway verweist wäre ja komplett sinnfrei.
Am zweiten Problem arbeite ich seit Tagen
Dann immer her damit...
Mitglied: Ossabow
Ossabow 20.11.2021 um 20:07:58 Uhr
Goto Top
Hi aqui, ich komme nicht weiter.
Das Tut habe ich so sorgfältig gelesen das ich einen typ. copy-paste Fehler gefunden habe.
0fehlt
Aber nicht verstanden: Wo erfolgt die Zuordnung der Lanports 1-5? Die Stelle ist doch richtig:
"Hier werden jetzt den physischen Ports (eth) ihre VLANs zugewiesen und ob die Datenpakete getagged oder ungetagged sind.Hierbei ist der Frame Type (tagged/untagged) und PVID zu beachten !:
Bei VLAN IP Interfaces: Frame Type = Admit only VLAN Tagged Korrektur !!: VLAN Interfaces müssen NICHT zwingend als Member Ports der Bridge eingetragen werden ! .... Endgeräte Ports = Admit only Untagged or... und PVID entsprechend zum VLAN setzen in dem das Endgerät arbeiten soll ! "

Diese Einstellung sehe ich nur auf der Konsole per Export-Befehl?

Ich kann von meinen drei vlan alle drei vlan-Ip´s pingen, aber von vlan22 nicht die anderen beiden (11 und 33) erreichen, während es untereinander funktioniert. Also vlan 11 mit 33 routet, vlan22 ist aussen vor.


Zum gegentesten habe ich einen RB941-2ND eingerichtet, der kann wohl echt nicht routen?
Mitglied: aqui
aqui 21.11.2021 aktualisiert um 15:41:04 Uhr
Goto Top
Wo erfolgt die Zuordnung der Lanports 1-5? Die Stelle ist doch richtig:
Guckst du hier:
https://administrator.de/tutorial/mikrotik-vlan-konfiguration-ab-routero ...
Folgende ToDos:
  • Ports 1 bis 5 der VLAN Bridge als Memberports zuweisen
  • Im Port Setup wird bestimmt ob diese Ports Tagged oder untagged sind
  • UNtagged Endgeräte Ports = Nur die PVID setzen auf das VLAN in dem sie UNtagged abrbeiten sollen und Typ = admit only untagged setzen.
  • Tagged Port = Type auf admit all setzen und im Bridge Setup unter VLAN das Tagging setzen.
Eigentlich doch ganz einfach und die gleiche Logik wie bei jedem simplen VLAN Switch. ;-) face-wink
aber von vlan22 nicht die anderen beiden (11 und 33) erreichen
Da stimmt dann irgendwas bei VLAN 22 nicht !
Soweit ist das oben OK allerdings hast du einen kosmetischen Fehler gemacht....
Die VLAN IP Interfaces müssen NICHT als Member Ports in der Bridge eingetragen werden. Die kannst du da rauslöschen was das Setup etwas übersichtlicher macht. Es schadet zwar nicht müllt aber die Konfig voll.
Checke zudem einmal dein Endgerät im VLAN 22 !!
  • Stimmt dort die zugewiesene VLAN 22 IP Adrersse vom DHCP
  • Stimmt das VLAN 22 Gateway ? Das muss die VLAN 22 IP des MT sein !
  • Ist das ein Winblows Client im VLAN 22
  • Wenn ja achte dort IMMER auf die lokale Winblows Firewall. Per se blockiert diese immer alles aus fremden IP Netzen !! Auch ICMP (Ping) ! ICMP (Ping) ist im Default immer blockiert und muss man erst explizit freigeben. Siehe dazu HIER.
Dein o.a. Fehler sieht nach einer Windows Firewall Problematik aus und NICHT nach etwas auf dem MT. Der Export Auszug zeigt eigentlich das du da alles richtig gemacht hast wenn man mal von der Kosmetik der IP Interfaces als Memberports absieht.
Zum gegentesten habe ich einen RB941-2ND eingerichtet, der kann wohl echt nicht routen?
Sorry, aber wie kommst du auf so einen Unsinn ?!!
Siehe: https://mikrotik.com/product/RB941-2nD
Dort steht doch in den Spezifikationen ganz klar OS = RouterOS !!!
Alles was RouterOS als Firmware hat, hat auch das komplette L3 Featureset und kann folglich natürlich auch routen und das mit allem Drum und Dran.
Mitglied: Ossabow
Ossabow 21.11.2021 um 18:59:37 Uhr
Goto Top
Guckst du hier:
Na da ist ja der kopierte Text her.
Einfacher gefragt: Was muss ich ändern um vlan22 gegen vlan33 (also Port2 mit 3) zu tauschen?
Firewall Problematik
kann es nicht sein, es sind Netzwerkkisten mit Webserver. Ich habe nun drei Tage lang alles getauscht und deshalb nur mit dem hex isoliert getestet, ist fast wie mit dem WRT54.
Mitglied: aqui
Lösung aqui 22.11.2021 um 11:08:48 Uhr
Goto Top
Einfacher gefragt: Was muss ich ändern um vlan22 gegen vlan33 (also Port2 mit 3) zu tauschen?
Ganz einfach...
In die Bridge Member Ports gehen und dort bei Port 2 die PVID 22 und bei Port 3 die PVID 33 eintragen. Dann gilt:
  • Port 2 = UNtagged in VLAN 22
  • Port 3 = UNtagged in VLAN 33
Die PVID (und nur die) bestimmt immer in welchem VLAN ein Port auf dem MT UNtagged arbeitet.
pvid
Mitglied: Ossabow
Ossabow 22.11.2021 um 12:06:49 Uhr
Goto Top
Ja ganz einfach sowie problematisch. Das sieht man im Gui nicht, b.z.w. nur wenn ein Kabel im Port steckt!
Die VLAN IP Interfaces müssen NICHT als Member Ports in der Bridge eingetragen werden. Die kannst du da rauslöschen was das Setup etwas übersichtlicher macht. Es schadet zwar nicht
aber so sieht man auf der Konsole das Setup vollständig. Oder habe ich was übersehen?

Nachdem ich für alle vlan DHCP-Server eingerichtet habe, funktioniert auch das anpingen. :-) face-smile
Aber schau mal was bei einem trotz eigenem Setup passiert ist:
dhcp fehler
Mitglied: aqui
aqui 22.11.2021 aktualisiert um 14:30:00 Uhr
Goto Top
Das sieht man im Gui nicht, b.z.w. nur wenn ein Kabel im Port steckt!
Nein, sorry das ist Unsinn ! Das siehst du auch an einem nackten, nicht angeschlossenen Port sofern du als GUI die WinBox benutzt !!
Ob das ggf. im WebGUI nicht dargestellt wird müsste ich mal checken damit arbeite ich nie oder sehr selten.
Auf alle Fälle kannst du die PVID Zuordung aber auch sehen wenn du dir die Konfig mit export über das CLI ansiehst !
Dort stehen alle Bridge Memberports inklusive ihrer PVID Einstellung, völlig egal ob was angeschlossen ist oder nicht !
Nachdem ich für alle vlan DHCP-Server eingerichtet habe
Ääähhh ja. Denn ohne DHCP Server müsstest du auf allen Geräte manuell statische IPs vergeben. Wenn du das nicht machst haben Endgeräte in den VLAN Segmenten logischerweise keine IP.
Sorry, aber solche Binsenweisheiten solltest du doch als Netzwerk Profi aber schon kennen ?! ;-) face-wink
Aber schau mal was bei einem trotz eigenem Setup passiert ist:
🤣 Ha ha Tja, bei PEBKAC Problemen hilft auch das allerbeste Forum nix. 🤣
Zur Sicherheit sollte man die Poolbereich immer "mittig" setzen also z.B. .100 bis .200 da geht man dann meistens auf Nummer sicher bei 24er Prefixes.
Jeder gute Netzwerker weiss aber auch das Router in einem Subnetz in der Regel die erste oder letze IP haben also .1 oder .254 bei einem /24er Prefix. Sowas lernt schon der Azubi im ersten Lehrjahr. ;-) face-wink
Diese goldene Netzwerker Regel ist aber zu dir scheinbar noch nicht so ganz vorgedrungen... 🧐
Wie einfach es doch ist wenn man alles richtig macht. 👍
Mitglied: aqui
aqui 25.11.2021 um 18:02:36 Uhr
Goto Top
Wenn's das denn nun war bitte nicht vergessen den Thread dann als erledigt zu setzen:
https://administrator.de/faq/32
Mitglied: Ossabow
Ossabow 26.11.2021 um 18:41:48 Uhr
Goto Top
Aber schau mal was bei einem trotz eigenem Setup passiert ist:
Das war der MT, ich habe mal einen Fehler bemerkt statt gemacht :-) face-smile
Nein, sorry das ist Unsinn ! Das siehst du auch an einem nackten, nicht angeschlossenen Port sofern du als GUI die WinBox benutzt !!
vlans
Ist bei mir nicht oder ich verstehe es falsch.
Mitglied: aqui
aqui 26.11.2021 aktualisiert um 19:56:25 Uhr
Goto Top
ich habe mal einen Fehler bemerkt statt gemacht
👍 👏 Da erkennt man den Profi !!!
Ist bei mir nicht oder ich verstehe es falsch.
Es ging doch um die automatische Hardware Detection des WinBox Tool, oder ??
Wenn es allerdings um die aktuelle Anzeige der aktiven Tagged und untagged Ports in der VLAN Bridge geht werden die in der Tat nur angezeigt wenn ein aktiver Link besteht. Das hast du recht und sorry, wenn das missverstanden war.
Heiß diskutierte Beiträge
question
Installationsproblem Office 2021 - alle Links öffnen Edge! gelöst SarekHLVor 1 TagFrageMicrosoft Office14 Kommentare

Hallo zusammen, ich habe gerade Office 2021 auf einem Notebook installiert und habe ein seltsames Phänomen! Die Verknüpfungen zu den Office-Programmen führen allesamt zu Edge! ...

question
Umzug von Hyper-V zu VMware und erneute Aktivierung von Windowspianoman82Vor 1 TagFrageWindows Server11 Kommentare

Hallo! Ich habe eine Frage im Hinblick auf Windows-Aktivierung da mir hier aktuell der Ansatz fehlt. Es geht um die Migration von diversen Windows Server ...

question
VPN Tunnel inkonsistent? gelöst NespressoVor 1 TagFrageNetzwerkprotokolle4 Kommentare

Hallo zusammen, das Thema VPN ist bei mir recht neu, doch habe ich es hinbekommen den Windows Server 2016 eigenen VPN dienst zu konfigurieren und ...

question
WSUS Problem mit Office + ExplorerfrenchfriesguyVor 1 TagFrageWindows Update7 Kommentare

Hallo zusammen ich/wir haben folgendes Problem mit einem Teil unseres Windows-Clients (W10E, 20H2) in Verbindung mit den Windows Updates. Die Updates werden über einen WSUS-Server ...

question
Eigener Server für Groupware und Nextcloudjonny-flashVor 1 TagFrageE-Mail5 Kommentare

Hallo zusammen, ich darf für ein kleines Startup temporär die Administration übernehmen, und habe bevor es los geht ein paar Fragen, die ich hier gern ...

question
VPN- 2 Sicherheitsfunktionen gelöst TekamolosVor 1 TagFrageVerschlüsselung & Zertifikate3 Kommentare

Hallo Jungs, beim Lernen habe ich diese Frage bekommen, da es im Internet sehr viel über VPN und viel Text und Protokolle gibt, war ich ...

question
Über das Notebook per Simkarte von unterwegs aus ins Internet?isarc01Vor 22 StundenFrage5G, 4G, LTE, UMTS, EDGE & GPRS8 Kommentare

Hallo, folgende Frage: Wenn ich über mein Notebook über eine angemeldete SIM Karte mit einer Datenflatrate ins Internet gehen möchte, benötige ich hier einen bestimmten ...

question
Mobilfunk-Internet ins Heimnetzwerk integrieren? gelöst AvarianVor 15 StundenFrageNetzwerkmanagement6 Kommentare

Hallo, Ich bin neu hier. Wir sind vorletztes Jahr umgezogen. Die Gelegenheit habe ich damals direkt genutzt, um künftig auf wackelige WLAN-Lösungen (Repeater, Mesh-Repeater, Powerlines ...