jejeswiss
Goto Top

Routing zwischen zwei Cisco SG300 Layer3 Switch

Hallo Zusammen
Ich krieg das Routing zwischen zwei Cisco SG300 einfach nicht hin. Folgendes Setup:

Switch A: 192.168.1.2 im Netz 192.168.1.0 / 255.255.255.0
Switch B: 192.168.2.2 im Netz 192.168.2.0 / 255.255.255.0

Was muss ich in den Routing-Tables eintragen (Destination IP, Next Hop, etc.) damit ein PC im Netz 192.168.1.0 einen Server im Netz 192.168.2.0 erreichen kann und umgekehrt? Beide Switches sind bereits auf Layer3 Modus eingestellt.

PS: Am Switch A hängt ein Default Gateway (Router) mit IP 192.168.1.1 - Internet Traffic soll von diesem Netz über diesen Router laufen. Gleiches gilt für Switch B: Auch hier gibt es einen Router mit 192.168.2.1 für den Internet Traffic dieses Netzes.

Besten Dank für die HIlfe

Gruss Jeje

Content-Key: 265240

Url: https://administrator.de/contentid/265240

Printed on: April 24, 2024 at 13:04 o'clock

Member: killtec
killtec Mar 05, 2015 at 06:59:14 (UTC)
Goto Top
Hi,
du müsstest in einem der beiden Switche ein zweites Netz machen, das im jeweils anderem netz ist und eine statische Route hinzufügen. Jeweils noch eine Default Route auf deinen Router und bei den Clients / Servern muss dann der Switch als Router eingetragen werden.

Gruß
Member: aqui
Solution aqui Mar 05, 2015 updated at 11:48:35 (UTC)
Goto Top
Die Frage ist nicht so einfach zu beantworten, da man dein Design und deine Konfig nicht so genau kennt. Ein kurze Skizze wäre hilfreich gewesen...

Nur um dir mal ein simples Standard Design mit 2 mal L3 Switches zu zeigen und wie man eine Layer 3 Hochverfügbarkeit realisiert sieht sowas in der Regel so aus:
0f9510c5e8a04e439c0145da1739861c-switchnetz7

Relevant sind hier nur die "Core Switches", denn sie machen das Routing. Die Problematik ist wenn du nicht beide Switches in das L3 involvierst du immer die drohende gefahr des Ausfalls hast. Fällt ein Switch aus ist das gesamte Routing weg !
Kein verantwortungsvoller Netzwerker macht so ein einseitiges Design !
Man zeiht also immer ALLE VLANs auf die beiden Layer 3 Switches und bringt die mit VRRP oder HSRP in ein Hochverfügbarkeitsdesign.
So kann egal welcher Switch ausfallen die Routing Funktion bleibt immer erhalten.
Grob ist das ganz einfach:
  • Beide Switches bekommen eine Layer 3 IP Adresse pro VLAN aus dem entsprechenden VLAN IP Netz
  • Zwischen den Switches wird mit VRRP oder HSRP eine virtuelle IP Adresse gemeinsam genutzt
  • Diese virtuelle IP (VIP) ist die Gateway IP die bei allen Endgeräten als Gateway IP eingetragen wird
  • Beide Switches bekommen eine statische Default Route ip route 0.0.0.0 0.0.0.0 <ip_adresse_internet_router> auf den Internet Router / Firewall definiert.
Das wars....
Infos dazu findest du auch hier:
http://www.schulnetz.info/layer-3-fahigkeit-auf-einem-cisco-small-busin ...
Member: JejeSwiss
JejeSwiss Mar 05, 2015 at 11:53:56 (UTC)
Goto Top
Besten Dank für die Antworten. Das Setup resp. die Anforderungen sind eigentlich recht simpel:

Es geht um zwei private Netzwerke.
Switch A steht im Haus A mit seinem eigenen Internetanschluss und IP-TV.
Switch B steht im Haus B mit seinem eigenen Internetanschluss und IP-TV.

Die beiden Switches sind mittels Glasfaser verbunden.
Beide Häuser sollen ihr eigenes Netzwerk resp. den eigenen Internetzugang verwenden, sollen aber gleichzeitig einige definierte Ressourcen teilen können (z.B. Server, Drucker, WLAN etc.). Idealerweise aber nicht alles, damit sich nicht gleich alles in die Quere kommt (z.B. Sonos-System oder Philips Hue Beleuchtung etc.).

Ich möchte das Ganze eigentlich möglichst einfach einrichten. Denke VLAN ist dazu nicht unbedingt notwendig (zumal die vom Provider zur Verfügung gestellten Router keine statische Routen eintragen können - das könnte doch zu Problemen führen?).

Was wäre die sinnvollste Lösung?

Gruss Jeje
Member: aqui
aqui Mar 05, 2015 updated at 14:26:56 (UTC)
Goto Top
Ganz ohne VLANs kommst du nicht aus, wenigstens nicht auf einem der beiden L3 Switches !
Gehen wir mal davon aus das du bei beiden Switches das Default VLAN 1 benutzt und beide Switches haben in ihren Netzen je einen eigenen Internetzugang.
Die Konfig ist dann recht einfach:
  • IP Netze der beiden Häuser A und B müssen unterschiedlich sein. Z.B. Haus A = 10.1.1.0 /24 und Haus B = 10.1.2.0 /24 In jedem der IP Netze hat der Switch jeweils die Hostadresse .254 also 10.1.1.254 und 10.1.2.254.
  • Jeder Switch hat eine Default Route auf den jeweiligen Internet Router in seinem VLAN 1
  • Einem Switch z.B. Switch A musst du nun ein weiteres VLAN anlegen, z.B. VLAN 10 und einen untagged Port zuweisen z.B. Port 24
  • Dieser Switch A bekommt dann im VLAN 10 eine IP Adresse aus dem Netz B z.B. 10.1.2.253
  • Jetzt schliesst du die Glasfaser an diesen Port 24 an Switch A an. Wenn du einen Link hast, dann kannst du aus Netz B diese IP auf Switch A anpingen!!

Um jetzt die Erreichbarkeit der Netze untereinander sicherzustellenmusst du noch das Routing der Endgeräte anpassen.
Dabei ist es essentiell wichtig WELCHE IP Adresse die Endgeräte in den jeweiligen Netzen als Gateway IP bekommen. In der Regel bekommen sie diese IP vom Internet Router so das die Gateway IP immer die des Internet Routers ist.
Deshalb musst du jetzt auf den jeweiligen Internet Routern mit einer statischen Route die jeweiligen Netze bekannt machen.
Das geht ganz einfach im Setup des Routers:
Internet Router Netz A:
IP Adresse: 10.1.1.1
Maske: 255.255.255.0
Statische Route: Zielnetz: 10.1.2.0, Maske: 255.255.255.0, Gateway: 10.1.1.254 (Switch A IP)

Internet Router Netz B:
IP Adresse: 10.1.2.1
Maske: 255.255.255.0
Statische Route: Zielnetz: 10.1.1.0, Maske: 255.255.255.0, Gateway: 10.1.2.253 (Switch A IP für Netzwerk B (VLAN 10))

Fertig !
Switch A fungiert dann hier als Router zwischen beiden Netzen. Das ist die einfachste Konfig für das Design. Nebenbei: Dafür hätte es keiner 2 Layer 3 Switches bedarft, denn das hättest du auch mit SG-200 lösen können, schadet aber natürlich nicht.
Damit können sich dann alle Komponenten in dem Netzwerk untereinander "sehen" und kommunizieren.
Wenn du bestimmte Bezihungen zu Komponenten davon ausschliessen willst, dann setzt du einfach IP Accesslisten auf dem Switch A auf und filterst bzw. blockierst diesen Traffic.

Ein Problem gibt es nur wenn du dumme Billigrouter als Internet Router hast die keine statischen Routen supporten. Das ist aber auch kein Hindernis, denn dann legst du die Gateway IP Adressen der Endgeräte ganz einfach auf die jeweiligen lokalen Switch IP Adressen.
Grundlagen und Hilfe zu diesem design findest du im folgenden Forumstutorial:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
Member: JejeSwiss
JejeSwiss Mar 06, 2015 at 07:54:31 (UTC)
Goto Top
Vielen Dank nochmals für deine Zeit und deine Hilfe.
Ein Problem könnte dann effektiv der dumme "Billigrouter" werden, der keine statischen Routen zulässt. Aber da schau ich mir dann deine Anleitung an, sobald der einfachere Part mal funktioniert.

Lassen wir zuerst mal die Router weg und arbeiten nur mit den Switches. Beide Switches sind nach wie vor im Layer3 Modus und fungieren als DHCP Server.
Switch A hat nun die IP 192.168.1.254 und Switch B 192.168.2.254 jeweils mit der Maske 255.255.255.0. Default VLAN ist 1.

Auf Switch A habe ich unter VLAN Settings ein neues VLAN 10 erstellt. VLAN Interface State ENABLE und Link Status SNMP Traps ENABLE.
In Switch A habe ich unter "Port to VLAN" den Port 27 in VLAN 1 excluded und in VLAN 10 auf untagged gesetzt.
Bei "Port to VLAN Membership" > Port 27 > Join VLAN > 10UP (untagged Member, PVID)

Unter "IP Configuration" > "IPv4 Interface" habe ich zwei Einträge:
VLAN1: 192.168.1.254 / 255.255.255.0
VLAN10: 192.168.2.253 / 255.255.255.0

Switch A und B sind nun über den Port 27 verbunden.

An Switch A hängt ein Rechner A mit IP 192.168.1.110 und an Switch B ein Rechner B mit 192.168.2.110

Ping von Rechner A zu 192.168.1.254 funktioniert logischerweise.
Ping von Rechner A zu 192.168.2.253 funktioniert nicht.
Ping von Rechner A zu 192.168.2.254 funktioniert auch nicht.

Ping von Rechner B zu 192.168.2.254 funktioniert.
Ping von Rechner B zu 192.168.2.253 funktioniert auch (d.h. ich kann also den anderen Switch erreichen über den Port 27 und der IP x.x.2.253 auf Switch A).
Ping von Rechner B zu 192.168.1.254 oder 192.168.1.110 funktioniert leider nicht (d.h. Subnetübergreifend funktioniert meine Einstellung noch nicht).

Muss ich noch etwas in den ACL einstellen oder Routing Table?
Port 27 habe ich mal als Access und Trunk Port ausprobiert, jeweils ohne Erfolg.

Gruss Jeje
Member: aqui
Solution aqui Mar 06, 2015 updated at 09:37:51 (UTC)
Goto Top
Ein Problem könnte dann effektiv der dumme "Billigrouter" werden, der keine statischen Routen zulässt.
Ja, wenn du sowas wie Speedport Schrott usw. betreibst. Fast alle anderen Router supporten aber statische Routen.
Aber so oder so ist das kein KO Kriterieum, du stezt dann die Gateways einfach auf die Switch IP Adressen und löst so das Problem sollten die Router keine statischen Routeeinträge supporten.
Ping von Rechner A zu 192.168.2.253 funktioniert nicht.
Das ist klar und zu erwarten, denn Rechner A hat sein Default Gateway vermutlich NICHT auf der 192.168.1.254 stehen sondern auf den Internet Router 192.168.1.1 und DEM fehlen die statische Route ins 192.168.2.0er Netz, deshalb sendet er es zum Internet Provider und dort verschwindet der Ping dann im Nirwana.
Logisch also das das nicht klappt. Kommt man aber auch von selber drauf wenn man mal nachdenkt face-wink
Mache also mal ein ipconfig -all am PC und sieht dir die Einstellungen.
Testhalber kannst du ja mal das Gateway statisch auf die 192.168.1.254 einstellen, dann kannst du auch die 192.168.2.253 problemlos pingen !
Ping von Rechner A zu 192.168.2.254 funktioniert auch nicht.
Klar ! Gleiches Problem wie oben !
Ping von Rechner B zu 192.168.1.254 oder 192.168.1.110 funktioniert leider nicht
Auch hier wieder das gleiche Problem, deshalb erwartbares Verhalten !
Fazit: Gateway und Routing Einträge korrigieren oder anpassen, dann kommt das auch sofort zum Fliegen !
Port 27 habe ich mal als Access und Trunk Port ausprobiert, jeweils ohne Erfolg.
Ist auch Unsinnig, du machst ja kein VLAN Tagging also reicht hier simpler Access Port ! Du kannst die .253 ja auch pingen also rennt das sauber und fehlerfrei.
Muss ich noch etwas in den ACL einstellen oder Routing Table?
NEIN ! Nachtragen der statischen Routen auf dem Internet Router reicht vollkommen !
Oder Umbiegen der Gateway IPs auf die Switch IP wenn der Router keine statischen Routen kann...
Benutze immer Traceroute oder Pathping zum Troubleshooting, das zeigt dir die einzelenen Hops der Pakete an face-wink
Member: JejeSwiss
JejeSwiss Mar 06, 2015 at 08:43:01 (UTC)
Goto Top
Ja du hast recht, war effektiv noch der Router 192.168.1.1 als Gateway drin. Habs beim PC nun statisch auf 192.168.1.254 geändert.
Ping von 192.168.1.110 nach 192.168.2.253 funktioniert nun. Ping nach 192.168.2.254 aber nicht.
D.h. ich komme von 192.168.1.110 über den Gateway SwitchA 192.168.1.254 ins Netz 192.168.2.253 und zum Switch B mit 192.168.2.254 geht es dann nicht mehr weiter.
Das ist doch seltsam, wenn ich doch schon im Netz x.x.2.0 drinn bin?
Member: killtec
killtec Mar 06, 2015 at 08:51:16 (UTC)
Goto Top
Hi, hast du die Route in beiden Switches eingetragen? Sonst kennen deine Pakete nur den Weg hin, aber nicht zurück.
Member: JejeSwiss
JejeSwiss Mar 06, 2015 at 09:09:23 (UTC)
Goto Top
Danke, in Switch B hat effektiv noch ein Eintrag gefehlt:

IPv4 Routing Table:
Destination IP Prefix: 192.168.1.0
Prefix Lenght: 24
Route Type: Remote
Next Hop Router IP Address: 192.168.2.253
Route Owner: Static
Metric: 1
Administrative Distance: 1
Outgoing Interface: VLAN 1

Nun funktioniert der Ping nach 192.168.2.254 oder 192.168.2.110 von 192.168.1.110 aus. Erste Hürde geschafft. Dann versuche ich nun noch die Router mit einzubinden und teste weiter. Besten dank nochmals für eure Hilfe.
Member: JejeSwiss
JejeSwiss Mar 06, 2015 at 09:20:11 (UTC)
Goto Top
Zitat von @aqui:
Aber so oder so ist das kein KO Kriterieum, du stezt dann die Gateways einfach auf die Switch IP Adressen und löst so das
Problem sollten die Router keine statischen Routeeinträge supporten.

Weiss jemand wie ich die Default Route beim SG300 eintragen kann, sodass der Internetverkehr über 192.168.1.1 läuft? Als Gateway ist nun 192.168.1.254 (also der Switch) eingetragen.

Der Billigrouter unterstützt leider keine statischen Routen. Wird vom Provider zur Verfügung gestellt und ist total customized (und leider nicht mal billig). Er ist super 0815-anwenderfreundlich, lässt aber kaum mehr Einstellungen zu als grad mal Port Forwarding (hat dafür einen Glasanschluss und unterstützt Vectoring... super).
Member: killtec
killtec Mar 06, 2015 at 09:51:07 (UTC)
Goto Top
Du musst beim SG300 jeweis eine statische Route eintragen.
Netz und Maske sind gleich: 0.0.0.0 und das Gateway setzt du auf den jeweiligen loaken Router.
Bsp.
0.0.0.0 0.0.0.0 192.168.1.1
auf dem 1.1-er Netz.

Gruß
Member: JejeSwiss
JejeSwiss Mar 06, 2015 at 10:11:03 (UTC)
Goto Top
Merci, habe nun folgenden Eintrag im Switch A ergänzt:

IPv4 Routing Table:
Destination IP Prefix: 0.0.0.0
Prefix Lenght: 0
Route Type: Default
Next Hop Router IP Address: 192.168.1.1
Route Owner: Default
Metric: 1
Administrative Distance: 1
Outgoing Interface: VLAN 1

DNS musste ich auf 192.168.1.1 setzen am PC, nun funktioniert das Internet. Mal schauen ob ich auch den SG300 als DNS konfigurieren kann, dann wäre er Gateway und DNS.
Member: killtec
killtec Mar 06, 2015 at 10:45:25 (UTC)
Goto Top
Hi,
ich denke nicht das du einen Router als DNS konfigurieren kannst. Da wird kein DNS Dienst drauf laufen.

Gruß
Member: aqui
aqui Mar 06, 2015 updated at 17:55:52 (UTC)
Goto Top
Wird vom Provider zur Verfügung gestellt und ist total customized (und leider nicht mal billig). Er ist super 0815-anwenderfreundlich,
Das ist das klassische Dilemma von solchen Provider Zwangsroutern. Das sind trojanische Pferde und denen sollte man generell misstrauen in heutiger Zeit. Gerade auch weil der Provider die "customized".
Verantwortungsvolle Menschen (nicht nur Netzwerker) tauschen diese sofort aus gegen eigene HW oder meiden solche Provider !
Mindestens aber nutzen sie dann eine Router Kaskade wo sie hinter so einem gefährlichen Zwangsteil einen eigenen Router oder Firewall betreiben !