VLAN im Heimnetz

Klassisches Netzwerk Design mit separatem VLAN Interface

RasPi Netzwerk, VLAN und Cisco Switch Setup

DHCP Server Setup RasPi

# Defaults for isc-dhcp-server (sourced by /etc/init.d/isc-dhcp-server)

# Path to dhcpd's config file (default: /etc/dhcp/dhcpd.conf).
#DHCPDv4_CONF=/etc/dhcp/dhcpd.conf
#DHCPDv6_CONF=/etc/dhcp/dhcpd6.conf

# Path to dhcpd's PID file (default: /var/run/dhcpd.pid).
#DHCPDv4_PID=/var/run/dhcpd.pid
#DHCPDv6_PID=/var/run/dhcpd6.pid

# Additional options to start dhcpd with.
#       Don't use options -cf or -pf here; use DHCPD_CONF/ DHCPD_PID instead
#OPTIONS=""

# On what interfaces should the DHCP server (dhcpd) serve DHCP requests?
# Separate multiple interfaces with spaces, e.g. "eth0 eth1"
INTERFACESv4="eth1 eth1.10 eth1.20"
# INTERFACESv6="" 

# dhcpd.conf
#
# Beispielkonfig fuer ISC dhcpd
#
# Domain, DNS Server und NTP Server (Uhrzeit) setzen
option domain-name "mita671.internal";
option domain-name-servers 192.168.178.1;
option ntp-servers 192.168.178.1;

default-lease-time 600;
max-lease-time 7200;

# DDNS Updates ausschalten im Server
ddns-update-style none;

# If this DHCP server is the official DHCP server for the local
# network, the authoritative directive should be uncommented.
authoritative;

# DHCP Server die Netz Topology beibringen
subnet 172.16.1.0 netmask 255.255.255.0 {
}
subnet 172.16.10.0 netmask 255.255.255.0 {
}
subnet 172.16.20.0 netmask 255.255.255.0 {
}
# Hier startet die Konfig der Subnetze
# VLAN 1 subnet (eth1)
subnet  172.16.1.0 netmask 255.255.255.0 {
        range 172.16.1.10 172.16.1.150;
        option broadcast-address 172.16.1.255;
        option routers 172.16.1.1;
}
# VLAN 10 subnet (eth1.10)
subnet  172.16.10.0 netmask 255.255.255.0 {
        range 172.16.10.10 172.16.10.150;
        option broadcast-address 172.16.10.255;
        option routers 172.16.10.1;
}
# VLAN 20 subnet (eth1.20)
subnet  172.16.20.0 netmask 255.255.255.0 {
        range 172.16.20.10 172.16.20.150;
        option broadcast-address 172.16.20.255;
        option routers 172.16.20.1;
}
# Statische DHCP IP Cisco Switch
host cisco-sg200 {
hardware ethernet 88:f0:77:59:1e:d2;
fixed-address 172.16.1.2;
option host-name "sg200-sw";
} 

Alternativ Design mit nur einem Netzwerk Interface

• VLAN Setup mit nmtui nur auf eth0! Fritzbox LAN liegt auf eth0 selber.
• Kein DHCP auf eth0 aktivieren. Hier arbeitet der Fritzbox DHCP Server!!
• DHCP nur für die beiden (oder weitere) IP Netze VLAN 10 und VLAN 20 aktivieren!
• DHCP Server defaults Konfig ändern in:

# Separate multiple interfaces with spaces, e.g. "eth0 eth1"
INTERFACESv4="eth0.10 eth0.20"

• DHCP Server Konfig dhcpd.conf Subnetze ändern in:

# Hier startet die Konfig der Subnetze
subnet 172.16.10.0 netmask 255.255.255.0 {
}
subnet 172.16.20.0 netmask 255.255.255.0 {
}
# VLAN 10 subnet (eth0.10)
subnet  172.16.10.0 netmask 255.255.255.0 {
        range 172.16.10.10 172.16.10.150;
        option broadcast-address 172.16.10.255;
        option routers 172.16.10.1;
}
# VLAN 20 subnet (eth0.20)
subnet  172.16.20.0 netmask 255.255.255.0 {
        range 172.16.20.10 172.16.20.150;
        option broadcast-address 172.16.20.255;
        option routers 172.16.20.1;
} 

• Statische Switch IP entfällt! Macht der DHCP Server der Fritzbox!
• DHCP Server mit systemctl restart isc-dhcp-server neu starten damit der die neue Konfig einliest!

Fertisch! Such dir das für dich schönste Design raus und setz das um. Funktioniert besser als jeder haluzinierter Mist von einer blödsinnigen KI!!
Viel mehr "Silbertablett" geht jetzt nicht... 😉

• VLAN 1 = 172.16.1.0 /24 --> Raspberry eth1 IP = 172.16.1.1 /24
• VLAN 10 = 172.16.10.0 /24 --> Raspberry eth1.10 IP = 172.16.10.1 /24
• VLAN 20 = 172.16.20.0 /24 --> Raspberry eth1.20 IP = 172.16.20.1 /24

• FritzBox Adressierung
• LAN = 192.168.77.1 /24
• DHCP Range der Fritzbox: 192.168.77.10 bis 192.168.77.200
• Statische Route Fritzbox: Ziel IP: 172.16.0.0 Maske: 255.255.0.0, Gateway: 192.168.77.254 (eth0 RasPi). Diese statische Route bewirkt das alle IP Pakete mit der Zieladresse 172.16.x.y an das Gateway 192.168.77.254 (RasPi) geforwardet werden der sie dann, je nach Zieladresse, in deine 3 VLANs routet. (Siehe Routing Tutorial!)
• Raspberry Adressierung (nmtui Kommando)
• eth0 = 192.168.77.254 (Hier Gateway und DNS setzen auf 192.168.77.1)
• eth1 (USB) = 172.16.1.1 /24 (kein Gateway!, ⚠️keine VLAN-ID!)
• eth1.10 (USB) = 172.16.10.1 /24 (kein Gateway!, VLAN-ID=10, siehe u.a. Screenshot nmtui)
• eth1.20 (USB) = 172.16.20.1 /24 (kein Gateway!, VLAN-ID=20)
• ⚠️ IP Forwarding (Routing) aktivieren im RasPi!!
• Mac Adresse deines Switches in die DHCP Reservierung (Konfig Datei oben) anpassen wenn du den Switch über DHCP mit einer festen IP automatisch konfigurieren möchtest. Andernfalls musst du dem Switch statisch die 172.16.1.2 setzen und sein Gateway auf die VLAN 1 RasPi IP .1.1.

• Die IP Adressierung am RasPi korrekt ist. ALLE IP Netze müssen einzigartig sein!
• Auf dem RasPi das IP Forwarding / Routing funktioniert
• Die DHCP IP Adressvergabe in allen VLANs sauber funktioniert

• Lease Time sollte nicht mehr als 3 Tage im Fritzbox DHCP sein. Am besten korrigieren ist aber irrelevant für das Setup.
• Fritte als NTP Server aktivieren
• Pinge von einem PC aus dem 172.16.1.0er Netz das eth0 Interface. Klappt das?
• Pinge aus dem 172.16.1.0er Netz das eth1 Interface. Klappt das? Wenn nicht ist das IP Forwarding nicht aktiv. Eth1 muss natürlich einen aktiven Link haben.
• Pinge aus dem 172.16.1.0er Netz das eth0.10 und 0.20er VLAN Interface. Klappt das?

• Du kannst immer gleich die L2 Connectivity und die DHCP Server Funktion checken
• Ein Test PC im VLAN 1 sollte dann ebenfalls eine IP per DHCP bekommen
• Gateway IP und DNS kommen immer automatisch und muss man nicht statisch konfigurieren.

# Statische DHCP IP Cisco Switch
host cisco-sg200 {
hardware ethernet 20:3a:07:ee:e2:f2;
fixed-address 172.16.1.2; 

• Sicherstellen das IPv4 Forwarding auf dem RasPi aktiv ist. (Ein cat /proc/sys/net/ipv4/ip_forward sollte immer eine "1" zurückgeben. (1 = Forwarding aktiv)
• Switch mit dem Uplink Port (Trunk, 1U, 10T, 20T) an eth1 anschliessen
• Check mit ip a ob die RasPi Interface Adressen korrekt zugeteilt sind auf eth0 und eth1
• DHCP Server ggf. neu starten und mit dhcp-lease-list checken ob der Switch eine IP gezogen hat wenn er auf DHCP umgestellt wurde. (Switch LED hört dann auf zu blinken)
• Ein Test PC an einem Accessport VLAN1 sollte dann ebenso eine IP bekommen haben (ipconfig)
• Vom Raspi die Fritte pingen und ggf. den Switch wenn er eine DHCP IP gezogen hat
• Dann die Ping Checks von oben ausführen.

• IP Koppel- bzw. Frittennetz zwingend anpassen so das alle IP Netze einzigartig sind. Siehe Skizze oben mit dem Beispiel des Fritten Default Netzes. Die erwartbare obige DHCP Fehlermeldung "Multiple Interface match the same Subnets..." resultiert aus deinem grundlegenden IP Adressierungsfehler und spricht für sich! Logisch bei deiner fehlerhaften Konfiguration eth0 und eth1 ins gleiche IP Netz (172.16.1.0/24) zu legen und das Routing damit zu killen!! Passe also zwingend das Frittennetz an, ansonsten scheitert dein Setup! Die VLANs an eth1 können so bleiben wie sie sind.
• Sofern du an eth0 (RasPi Interface im Frittennetz) eine feste statische IP vergeben hast MUSST du diese natürlich auch umstellen wenn sich das Frittennetz ändert damit sie wieder in dieses Netz passt. Wenn die statt statisch per DHCP Reservierung in der Fritte auf die ..254 vergeben wird passt sie sich natürlich durch DHCP automatisch an und du musst nix ändern.
• Finaler Ping Check dann vom RasPi auf die Fritten IP. Klappt das passt die Adressierung.
• Die statische DHCP Adresse in der DHCP Server Konfig (/etc/dhcp/dhcpd.conf) in VLAN 1 für den Cisco Switch auf .1.2 abändern das die außerhalb des dynamischen VLAN 1 Pools .10 bis .150 liegt. DHCP Server mit an eth1 angeschlossenem Switch neu starten.
• Unbedingt darauf achten das das IPv4 Forwarding auf dem RasPi aktiv ist! Ein cat /proc/sys/net/ipv4/ip_forward muss mit einer "1" antworten!
• Switch im IPv4 Interface Setup (Management) auf DHCP umstellen.

• eth0 Adresse .254 anpingen.
• eth1 Adresse 172.16.1.1 anpingen
• Wenn der eth1 Ping klappt die VLAN 10er und 20 RasPi IP pingen
• Hat der Switch vom DHCP Server eine IP gezogen (Check mit dhcp-lease-list) solltest du sowohl direkt vom RasPi als auch vom Client aus dem Frittennetz den Switch pingen und per WebGUI aus allen VLANs erreichen können.

• Fritzbox Beispiel Netzwerk = 192.168.18.0 /24
• Fritzbox DHCP Range = .100 bis .150
• Statische DHCP Vergabe für RasPi (eth0) = .254 (RasPi eth0 Port im DHCP Mode!)

Fritzbox Setup

RasPi Routing-, DHCP- und Ping Check

root@raspi:/# cat /proc/sys/net/ipv4/ip_forward
1 

root@raspi:/# systemctl status isc-dhcp-server
● isc-dhcp-server.service - LSB: DHCP server
     Loaded: loaded (/etc/init.d/isc-dhcp-server; generated)
     Active: active (running) since Thu 2025-01-30 15:29:51 CET; 2min 57s ago
       Docs: man:systemd-sysv-generator(8)
    Process: 1494 ExecStart=/etc/init.d/isc-dhcp-server start (code=exited, status=0/SUCCESS)
      Tasks: 4 (limit: 2057)
        CPU: 222ms
     CGroup: /system.slice/isc-dhcp-server.service
             └─1510 /usr/sbin/dhcpd -4 -q -cf /etc/dhcp/dhcpd.conf eth1 eth1.10 eth1.20

Jan 30 15:31:25 raspi dhcpd[1510]: DHCPREQUEST for 172.16.1.2 (172.16.1.1) from 88:f0:77:59:7e:d6 via eth1
Jan 30 15:31:25 raspi dhcpd[1510]: DHCPACK on 172.16.1.2 to 88:f0:77:59:7e:d6 via eth1 

root@raspi:/# ping -c 3 192.168.18.1
PING 192.168.18.1 (192.168.18.1) 56(84) bytes of data.
64 bytes from 192.168.18.1: icmp_seq=1 ttl=64 time=0.844 ms
64 bytes from 192.168.18.1: icmp_seq=2 ttl=64 time=0.679 ms
64 bytes from 192.168.18.1: icmp_seq=3 ttl=64 time=0.651 ms

--- 192.168.18.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2002ms
rtt min/avg/max/mdev = 0.651/0.724/0.844/0.085 ms

root@raspi:/# ping -c 3 172.16.1.2
PING 172.16.1.2 (172.16.1.2) 56(84) bytes of data.
64 bytes from 172.16.1.2: icmp_seq=1 ttl=64 time=3.42 ms
64 bytes from 172.16.1.2: icmp_seq=2 ttl=64 time=17.0 ms
64 bytes from 172.16.1.2: icmp_seq=3 ttl=64 time=3.79 ms

--- 172.16.1.2 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2003ms
rtt min/avg/max/mdev = 3.420/8.062/16.982/6.308 ms 

Ping Check Windows PC aus Fritzbox Netz

• Das Cisco Default Password sollte man aus Sicherheitsgründen löschen wenn man in den Produktivbetrieb geht.
• Logging sollte uhrzeittechnisch angepasst sein
• Dein Uhrzeit Setting fehlt uns ist damit falsch was bei zertifikatsbasierter WLAN Authentisierung zu Problemen führt
• AAA sollte immer mit dem modernen und sicheren "new-model" laufen
• Der Guest Mode fehlt, dadurch werden die SSIDs nicht automatisch bekannt gemacht und können mit der SSID nur manuell konfiguriert werden am Client. (Ggf. gewollt?!)
• 5 GHz rennt nur mit langsamer 20 Mhz Bandbreite statt mit 80 Mhz
• Achte darauf das die Radio Interfaces auf no shut gesetzt sind und damit aktiv! (show ip int brief Kommando)
• Tip: Taktisch ist es besser den AP am LAN immer im DHCP Client Mode laufen zu lassen. So bekommt er immer Gateway und DNS automatisch. Ist eine feste IP gewünscht macht man eine Reservierung im DHCP Server mit der Mac. So muss man auf der Infrastruktur keine Rücksicht auf die Adressierung nehmen und der AP bekommt immer eine Management IP. Letztlich aber Geschmackssache.

service timestamps debug datetime msec
service timestamps log datetime localtime show-timezone year
service password-encryption
!
clock timezone CET 1 0
clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
!
hostname Cisco-AP
!
logging rate-limit console 9
enable secret 5 $1$sVTU$.2XFlvW2pU8aThibzTWEE0
!
aaa new-model
aaa authentication login default local
!
ip name-server 192.168.18.1
!
!
dot11 pause-time 100
dot11 syslog
!
dot11 ssid Cisco_2.4GHz
   band-select
   authentication open 
   authentication key-management wpa version 2
   guest-mode
   wpa-psk ascii Kiarafuzzy10,
!
dot11 ssid Cisco_5GHz
   band-select
   authentication open 
   authentication key-management wpa version 2
   guest-mode
   wpa-psk ascii Satanas@666
!
dot11 network-map
!
username Cisco password Cisco
username OGRO privilege 15 password Satanas@666
!
bridge irb
!
interface Dot11Radio0
 no ip address
 !
 encryption mode ciphers aes-ccm 
 !
 ssid Cisco_2.4GHz
 !
 speed  throughput
 station-role root access-point
 dot11 dot11r pre-authentication over-air
 dot11 dot11r reassociation-time value 200
 world-mode dot11d country-code DE indoor
 bridge-group 1
 bridge-group 1 subscriber-loop-control
 bridge-group 1 spanning-disabled
 bridge-group 1 block-unknown-source
 no bridge-group 1 source-learning
 no bridge-group 1 unicast-flooding
!
interface Dot11Radio1
 no ip address
 !
 encryption mode ciphers aes-ccm 
 !
 ssid Cisco_5GHz
 !
 peakdetect
 no dfs band block
 speed  throughput
 channel width 80
 station-role root
 dot11 dot11r pre-authentication over-air
 dot11 dot11r reassociation-time value 200
 world-mode dot11d country-code DE indoor
 bridge-group 1
 bridge-group 1 subscriber-loop-control
 bridge-group 1 spanning-disabled
 bridge-group 1 block-unknown-source
 no bridge-group 1 source-learning
 no bridge-group 1 unicast-flooding
!
interface GigabitEthernet0
 no ip address
 duplex auto
 speed auto
 bridge-group 1
 bridge-group 1 spanning-disabled
 no bridge-group 1 source-learning
!
interface BVI1
 ip address 192.168.18.122 255.255.255.0
 ipv6 address dhcp
 ipv6 address autoconfig
 ipv6 enable
!
ip default-gateway 192.168.18.1
ip http server
!
snmp-server community CASA-PIA RO
bridge 1 route ip
!
line con 0
line vty 0 4
 login local
 transport input all
!
end 

Passwörter beim Posten der Konfig immer annonymisieren und sichere Passworter verwenden!!

• Hast du Nachbar WLANs und bist von diesen mindesten mit einem 4 kanaligen (besser 5) Abstand entfernt? (2,4 GHz). Hilfreich ist hier ein WLAN Scanner wie der HIER
• Gleiches gilt bei 5 GHz hängt aber da von der konfigurierten Bandbreite ab die 80 Mhz sein sollte.
• Hast du auf 5 GHz 80 MHz konfiguriert?
• Das Speed Setting auf den Radio Interfaces sollte speed only-ofdm für 2,4 und speed througput bei 5 GHz lauten wenn du Performance willst.
• Vergiss nicht das WLAN von der jeweiligen Feldstärke abhängige, dynamische Datenraten hat! Also je nach Client Feldstärke die von Entfernung und Dämpfung abhängig ist kann der Durchsatz stark schwanken. Den Client RSSID Wert kannst du dir über das CLI anzeigen lassen und beim Client mit dem o.a. Scanner. Will man Performance sollte der RSSID Wert nicht unter -60dbm fallen.

• Statische IP Adresse am DHCP Server Interface!
• Aktivieren der DHCP Interfaces in der /etc/default/ Datei des DHCP Servers
• Korrekte Syntax ohne Tippfehler bei der Konfig Datei!

• Heute sollte kein Standard STP mehr verwendet werden sondern immer das moderne RSTP!
• Dein Switch ist ein zentraler Switch und sollte deshalb eine höhere globale Spanning Tree Priority haben z.B. 8192. (Default ist 32768, Schritte müssen Vielfache von 4096 sein)
• IGMP Snooping sollte grundsätzlich immer in allen VLANs aktiv sein. (MLD=IPv6) Andernfalls müsste der Switch diese Frames an alle Interfaces fluten was die Endgeräte und auch den Switch selber unnötig belastet. Ganz besonders im WLAN.
• Der Switch sollte die latest Firmware 1.0.8.3 geflasht haben!