114946
Feb 02, 2014, updated at 17:10:25 (UTC)
2921
7
0
Wie verhält sich VLAN bei VPNs
Hi zusammen,
ich bin ein versierter Benutzer-"Profi" mit ausreichend Halbwissen um euch alle zu verwirren! ;)
Mein Ziel:
1. Gewisse Clienten (Teils per VPN Verbindung verbunden) von anderen trennen. Einzelne Clienten sollen jedoch in alle Bereiche kommen können.
2. Broadcast Traffic reduzieren um langsame Inet-Verbindungen nicht unnötig zu belasten.
Ausgangslage:
Netz 1: 192.168.10.0 255.255.0.0 (bei mir) 150000er Leitung (bald 300000er wenn ich geschaft habe 2 Leitungen zu koppeln ;) )
Netz 2: 192.168.1.0 255.255.0.0 (mein Bruder) 2000er-ram Leitung
Netz 3: 192.168.100.0 255.255.0.0 (ein Kumpel) 6000er Leitung
Auf allen Routern läuft Tomato by Shibby.
Es gibt noch weitere 6 Netze in unserem privaten "Tornetz", aber die Lösung wird sich auf alle weiteren übertragen lassen.
Alle netze sind per OpenVpn per tap verbunden was bedeutet Broadcast wird mitgesendet.
Warum Tap und nicht Tun??? Weil bestimmte alte Games den Broadcast brauchen zum connecten.
Frage:
Lässt sich das mit Vlan bzw. Vlan Trunk realisieren?
Es finden sich zwar jede menge Infos in google aber nicht im Bezug auf VPN's.
Vielen Dank schonmal für die zahlreichen Antworten
ich bin ein versierter Benutzer-"Profi" mit ausreichend Halbwissen um euch alle zu verwirren! ;)
Mein Ziel:
1. Gewisse Clienten (Teils per VPN Verbindung verbunden) von anderen trennen. Einzelne Clienten sollen jedoch in alle Bereiche kommen können.
2. Broadcast Traffic reduzieren um langsame Inet-Verbindungen nicht unnötig zu belasten.
Ausgangslage:
Netz 1: 192.168.10.0 255.255.0.0 (bei mir) 150000er Leitung (bald 300000er wenn ich geschaft habe 2 Leitungen zu koppeln ;) )
Netz 2: 192.168.1.0 255.255.0.0 (mein Bruder) 2000er-ram Leitung
Netz 3: 192.168.100.0 255.255.0.0 (ein Kumpel) 6000er Leitung
Auf allen Routern läuft Tomato by Shibby.
Es gibt noch weitere 6 Netze in unserem privaten "Tornetz", aber die Lösung wird sich auf alle weiteren übertragen lassen.
Alle netze sind per OpenVpn per tap verbunden was bedeutet Broadcast wird mitgesendet.
Warum Tap und nicht Tun??? Weil bestimmte alte Games den Broadcast brauchen zum connecten.
Frage:
Lässt sich das mit Vlan bzw. Vlan Trunk realisieren?
Es finden sich zwar jede menge Infos in google aber nicht im Bezug auf VPN's.
Vielen Dank schonmal für die zahlreichen Antworten
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 228482
Url: https://administrator.de/contentid/228482
Printed on: April 19, 2024 at 23:04 o'clock
7 Comments
Latest comment
Ja das kann man problemlos mit VLANs lösen ! Jeder billige VLAN Switch kann das.
Dieses Forumstutorial erklärt die wie man das macht:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
bzw. ggf. auch hier:
VLANs über 802.1q Trunk auf Windows und Linux Rechnern realisieren
Bzw. wenn dein VLAN "Halbwissen" noch eine Auffrischung nötig hat:
http://www.schulnetz.info/vlan-teil1-die-einkaufsliste-layer2-vs-layer3 ...
Dieses Forumstutorial erklärt die wie man das macht:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
bzw. ggf. auch hier:
VLANs über 802.1q Trunk auf Windows und Linux Rechnern realisieren
Bzw. wenn dein VLAN "Halbwissen" noch eine Auffrischung nötig hat:
http://www.schulnetz.info/vlan-teil1-die-einkaufsliste-layer2-vs-layer3 ...
Hi Aqui,
danke für die schnelle Antwort.
Ich habe es zwar jetzt nur überflogen aber da steht auch nicht wie sich das speziell bei VPN's verhält...oder denke ich gerade verkehrt?
danke für die schnelle Antwort.
Ich habe es zwar jetzt nur überflogen aber da steht auch nicht wie sich das speziell bei VPN's verhält...oder denke ich gerade verkehrt?
Normal sind VPNs eine Layer3-Technologie, also sämtlicher Traffic darüber muss geroutet werden. VLANs sind auf Layer2 angesiedelt und Ethernetspezifisch. Somit gehen diese beim Übergang in ein VPN verloren.
Du nutzt eine Sondertechnik, also Layer2-VPN, darüber werden VLANs weitergeführt, aber halt auch Broadcasts.
Und zu deiner IP-Auflistung: es ist ein gemeinsames Netz, keine drei Einzelnetze.
Um eine Trennung zu bauen, bleibt dir nur die Möglichkeit, VLANs einzusetzen, zu routen und einen Paketfilter einzusetzen. Wenn du nur auf VLANs setzt, steht weiterhin der komplette Traffic überall an und kann problemlos abgegriffen werden. Wireshark sieht ja alles auf der Schnittstelle.
Du nutzt eine Sondertechnik, also Layer2-VPN, darüber werden VLANs weitergeführt, aber halt auch Broadcasts.
Und zu deiner IP-Auflistung: es ist ein gemeinsames Netz, keine drei Einzelnetze.
Um eine Trennung zu bauen, bleibt dir nur die Möglichkeit, VLANs einzusetzen, zu routen und einen Paketfilter einzusetzen. Wenn du nur auf VLANs setzt, steht weiterhin der komplette Traffic überall an und kann problemlos abgegriffen werden. Wireshark sieht ja alles auf der Schnittstelle.
Hallo Goreen,
OpenVPN im Bridgemodus unterstützt wahrscheinlich kein VLAN (bin mir nicht ganz sicher).
Lies mal http://forum.openvpn.eu/viewtopic.php?f=1&t=4972 , da wird ein ähnliches Problem diskutiert.
VG
LS
OpenVPN im Bridgemodus unterstützt wahrscheinlich kein VLAN (bin mir nicht ganz sicher).
Lies mal http://forum.openvpn.eu/viewtopic.php?f=1&t=4972 , da wird ein ähnliches Problem diskutiert.
VG
LS
Alles was du sagst stimmt ;)
Ich dachte der Broadcast bleibt im jeweiligen VLAN? Oder meintest du damit das alle vlans durch den tunnel gehen weil es auf layer-2 gebridged ist?
Wenn ich dem Router (VPN-Server) sage, die eingehende VPN-Verbindungen sei zb Vlan 10, dann wäre auch der Broadcast der anderen Vlans weg, oder?
Ich dachte der Broadcast bleibt im jeweiligen VLAN? Oder meintest du damit das alle vlans durch den tunnel gehen weil es auf layer-2 gebridged ist?
Wenn ich dem Router (VPN-Server) sage, die eingehende VPN-Verbindungen sei zb Vlan 10, dann wäre auch der Broadcast der anderen Vlans weg, oder?
Das ist soweit richtig. Jedes VLAN ist in sich eine isolierte Layer 2 Broadcast Domain. Wenn du auf dem VPN Router die entsprechenden VPNs in einzelne dort angeschlossene VLANs forwardest, dann bleiben diese Broadcasts auch isoliert in diesen VLANs bzw. VPNs und belasten nicht die anderen VLANs. Das ist auch der tiefere Sinn von VLANs.
Kollege laster äußerte nur die Vermutung das du in deinem OVPN Bridging Szenario auch getaggte 802.1q VLAN Pakete übertragen willst.
Ob das generell möglich ist ist zu bezweifeln, da das eine Ethernet Extension ist. Der VPN Router müsste solche Frames auch im Bridging Mode übertragen bekommen. Meist blockt der Frames mit 802.1q Tagging aber ob das wirklich der Fall ist müsste man testen.
Ist auch hier gar nicht das Thema, da du das ja gar nicht machen willst. Es geht dir ja lediglich darum den gebridgten VPN Traffic in separate VLANs zu forwarden um die Broadcast Last zu minimieren und das kann jeder VLAN fähige OVPN Router mit Links.
Kollege laster äußerte nur die Vermutung das du in deinem OVPN Bridging Szenario auch getaggte 802.1q VLAN Pakete übertragen willst.
Ob das generell möglich ist ist zu bezweifeln, da das eine Ethernet Extension ist. Der VPN Router müsste solche Frames auch im Bridging Mode übertragen bekommen. Meist blockt der Frames mit 802.1q Tagging aber ob das wirklich der Fall ist müsste man testen.
Ist auch hier gar nicht das Thema, da du das ja gar nicht machen willst. Es geht dir ja lediglich darum den gebridgten VPN Traffic in separate VLANs zu forwarden um die Broadcast Last zu minimieren und das kann jeder VLAN fähige OVPN Router mit Links.
Hallo,
ich denke auf jeder Seite sollten VLANs angelegt werden und dann
werden die VPN Verbindungen hergestellt und dann sollte man vorne
am Router mittels einer eingetragenen Route oder via Firewallreglen (ACLs)
dafür sorgen wer, zu welchem, VLAN Kontakt haben darf und wer nicht.
Also so dass nicht alle VLAN Informationen mitgeroutet bzw. mitübertragen
werden, denn so kann man eben besser direkt im Router vor Ort einstellen
wer wohin darf.
Gruß
Dobby
ich denke auf jeder Seite sollten VLANs angelegt werden und dann
werden die VPN Verbindungen hergestellt und dann sollte man vorne
am Router mittels einer eingetragenen Route oder via Firewallreglen (ACLs)
dafür sorgen wer, zu welchem, VLAN Kontakt haben darf und wer nicht.
Also so dass nicht alle VLAN Informationen mitgeroutet bzw. mitübertragen
werden, denn so kann man eben besser direkt im Router vor Ort einstellen
wer wohin darf.
Gruß
Dobby
