29
VLan im Heimnetz: Welche der folgenden Hardware-Konstellationen ist am sinnvollsten bzw funktioniert?
Hallo liebe IT-Experten!
Ich möchte bei mir daheim gerne ein bzw. mehrere VLan(s) einrichten, erstens weil mich die Thematik interessiert und zweitens, um die Sicherheit/Ordnung zu erhöhen.
Im Moment läuft folgende Hardware:
- (Kabel)modem vom ISP
- Fritzbox 7490 als Router/Firewall
- HP DGS 1100-16 managed Switch (kann VLAn Layer 2) (wird im Moment noch als "dummer" Switch verwendet).
- 2 Fritz 1750e AP`s im Brifge-Modus, 3 unmanaged Switches, 1 Fritz Dect schaltbare Steckdose, etc.
Im Heimnetz befinden sich 3 Windows-Clients, 1 Qnap, 2-IP-Cams (auf Qnap Surveillance Station), etc.
Auf der Fritzbox ist VPN eingerichtet, dyndns von noip.com. Fernzugriff ist nicht aktiviert, ebenso sind keine Ports geöffnet, alles von außen mache ich über das VPN.
Ich würde nun sehr gerne mein Heimnetz in mehrere VLans aufsplitten, und dann wahrscheinlich gleich mit 802.1 und nicht port based, wenn schon, dann gleich richtig. Ich weiss, dass die Fritzbox mit normaler Firmware kein VLan kann, weil alle Ports miteinander geswitched sind. Ich weiss auch, dass ich Port 4 als Gast-Lan konfigurieren kann und daran dann theorietisch eine Art Vlan betreiben kann. Ich würde aber erstens gerne mehrere Vlans haben und zweitens kommt mir das irgendwie sehr unprofessionell vor.
Ich habe mich in den letzten 2 Tagen in die VLan-Thematik eingelesen und habe nun rudimentäre Kenntnisse, worum es eigentlich geht. Von Total-Durchblick kann allerdings keine Rede sein.
Mir schweben erstmal 3 Vlans vor, wobei entweder alle 3 internet haben sollen oder vielleicht 2 Internet und 1 keins (noch nicht sicher).
Wenn ich das bisherige richtig verstanden habe, habe ich folgende Möglichkeiten, mein VLan-Projekt zu realisieren (auf diese 3 Möglicheiten habe ich es für mich jetzt erstmal eingeschränkt):
1.)
FB 7490 mit Freetz flashen, um sie vlan-fähig zu machen: https://freetz.org/wiki/help/howtos/security/switch_config
Bin mir nicht sicher, aber es hört sich auf den link so an, als sei das mit der FB 7490 (noch) nicht möglich (Kernel austauschen oder so geht nicht). Auch steht die 7490 nicht bei den unterstützten Boxen. Vielleicht kann ja jemand hier etwas Licht ins Dunkel bringen.
2.)
Fritzbox gegen anderne Router austauschen, der vlan kann.Ich würde billigst einen Linksys WRT3200 bekommen. Diesen würde ich mit DD-WRT flashen. (Bisher keine Erfahrung mit ddwrt und fast keine Linux-Kenntnisse, aber lernbereit).
3.)
Hinter der Fritzbox einen 2. Router betreiben, der mehr oder weniger nur für Verwaltung/Routing der VLans zuständig ist. An mehreren Stellen im Internet war in so einem Fall von einem Mikrotik Routerboard die Rede, der das machen könnte.
In diese Überlegungen mit einzubeziehen ist auch, dass ich ein 2. Projekt am Start habe, dass ich am liebsten gleich im selben Aufwasch miterledigen will, und zwar einen eigenen Router als openVPN-Client zu betreiben, der mittels Lan und WLan einen VPN-Zugang zu einem VPN-Anbieter für die CLients anbietet. Ich weiss nicht, ob eine der oben genannten Varianten besser als die anderen mit dieser Anforderung harmoniert.
Fragen:
a.)
Die erste Variante mit freetz kommt mir irgendwie am schlechtesten vor. Ich tendiere gefühlsmäßig eher zu variante 2 oder 3.
Auf Grund meiner Unerfahrenheit kann ich aber nicht sagen, was nun die bessere Variante ist und am ehesten der best practise entspricht. Könnt ihr mich bitte beraten?
b.)
Meine Vorstellung zu Variante 3 mit Mikrotik-Router als zusätzlichem Router:
Fritzbox ist auf einem Lan-Port mit Wan des Mikrotik vebunden. An einem Lan des Mikrotik hängt der Trunk Port des VLan-Switch. In Vlan 1 ist das normale Heimnetz, in VLan 2 ist das Gastnetz, in Vlan 3 ist das Managementt-Netz.
(dazu hier auch gleich die frage: ist ein Trunk Port besser als port based vlan mit eigenem uplink aus jedem Vlan zum Mikrotik? Die hardware steht alles an einem Ort, die Verkabelung wäre also kein Problem).
Was mir nicht klar ist, wo in dieser variante der VPN-Router am besten drann soll (quasi Router Nr. 3). An den Vlan-Switch in einem eigenen VLan (glaube eher nicht) oder direkt an den Mikrotik oder an die Fritzbox? Hmm??
Auch habe ich im Moment noch nicht wirklich den Druchblick, was ich routingmäßig an der Fritzbox und am Mikrotik einstellen muss, damit dass funktioniert. Muss der Mikrotik NAten ode rnicht, läuft eine Friewall auf dme Mikrotik oder nicht, etc.
Weiters frage ich mich, wie ich mit dem Fritzbox-VPN dann in die Vlans komme. Das VPN endet ja Netz, in dem sich nur FB und Mikrotik befinden. Ich würde natürlich gerne weiter in dei Vlans.
c.)
Oder soll ich auf die Fritzbox gleich verzichten und den linksys als Router nehmen. Ich gehe davon aus, dass die Fritz AP`s auch ohne fritzbox verwendbar sind, die dect-Steckdose wahrscheinlich eher nicht, wäre aber egal. Also Linksys-lan an trunkport des VLan-Switch. Auch hierr die Fage, wo der VPN-Router am besten drann soll.
Einerseits würde ich die Fritzbox gerne behalten, weil man sich halt dran gewöhnt hat, andererseits reizt es mich auch, meinen Horizont zu erweitern und mal was anderes zu haben. Was ich nicht will ist eine halbstabile Bastellösung.
Ich bin echt ratlos und wäre unendlich dankbar, wenn iihr mir helfen würdet. Danke Leute, ich freue mich schon auf eure Antworten.
lg Pixi
Ich möchte bei mir daheim gerne ein bzw. mehrere VLan(s) einrichten, erstens weil mich die Thematik interessiert und zweitens, um die Sicherheit/Ordnung zu erhöhen.
Im Moment läuft folgende Hardware:
- (Kabel)modem vom ISP
- Fritzbox 7490 als Router/Firewall
- HP DGS 1100-16 managed Switch (kann VLAn Layer 2) (wird im Moment noch als "dummer" Switch verwendet).
- 2 Fritz 1750e AP`s im Brifge-Modus, 3 unmanaged Switches, 1 Fritz Dect schaltbare Steckdose, etc.
Im Heimnetz befinden sich 3 Windows-Clients, 1 Qnap, 2-IP-Cams (auf Qnap Surveillance Station), etc.
Auf der Fritzbox ist VPN eingerichtet, dyndns von noip.com. Fernzugriff ist nicht aktiviert, ebenso sind keine Ports geöffnet, alles von außen mache ich über das VPN.
Ich würde nun sehr gerne mein Heimnetz in mehrere VLans aufsplitten, und dann wahrscheinlich gleich mit 802.1 und nicht port based, wenn schon, dann gleich richtig. Ich weiss, dass die Fritzbox mit normaler Firmware kein VLan kann, weil alle Ports miteinander geswitched sind. Ich weiss auch, dass ich Port 4 als Gast-Lan konfigurieren kann und daran dann theorietisch eine Art Vlan betreiben kann. Ich würde aber erstens gerne mehrere Vlans haben und zweitens kommt mir das irgendwie sehr unprofessionell vor.
Ich habe mich in den letzten 2 Tagen in die VLan-Thematik eingelesen und habe nun rudimentäre Kenntnisse, worum es eigentlich geht. Von Total-Durchblick kann allerdings keine Rede sein.
Mir schweben erstmal 3 Vlans vor, wobei entweder alle 3 internet haben sollen oder vielleicht 2 Internet und 1 keins (noch nicht sicher).
Wenn ich das bisherige richtig verstanden habe, habe ich folgende Möglichkeiten, mein VLan-Projekt zu realisieren (auf diese 3 Möglicheiten habe ich es für mich jetzt erstmal eingeschränkt):
1.)
FB 7490 mit Freetz flashen, um sie vlan-fähig zu machen: https://freetz.org/wiki/help/howtos/security/switch_config
Bin mir nicht sicher, aber es hört sich auf den link so an, als sei das mit der FB 7490 (noch) nicht möglich (Kernel austauschen oder so geht nicht). Auch steht die 7490 nicht bei den unterstützten Boxen. Vielleicht kann ja jemand hier etwas Licht ins Dunkel bringen.
2.)
Fritzbox gegen anderne Router austauschen, der vlan kann.Ich würde billigst einen Linksys WRT3200 bekommen. Diesen würde ich mit DD-WRT flashen. (Bisher keine Erfahrung mit ddwrt und fast keine Linux-Kenntnisse, aber lernbereit).
3.)
Hinter der Fritzbox einen 2. Router betreiben, der mehr oder weniger nur für Verwaltung/Routing der VLans zuständig ist. An mehreren Stellen im Internet war in so einem Fall von einem Mikrotik Routerboard die Rede, der das machen könnte.
In diese Überlegungen mit einzubeziehen ist auch, dass ich ein 2. Projekt am Start habe, dass ich am liebsten gleich im selben Aufwasch miterledigen will, und zwar einen eigenen Router als openVPN-Client zu betreiben, der mittels Lan und WLan einen VPN-Zugang zu einem VPN-Anbieter für die CLients anbietet. Ich weiss nicht, ob eine der oben genannten Varianten besser als die anderen mit dieser Anforderung harmoniert.
Fragen:
a.)
Die erste Variante mit freetz kommt mir irgendwie am schlechtesten vor. Ich tendiere gefühlsmäßig eher zu variante 2 oder 3.
Auf Grund meiner Unerfahrenheit kann ich aber nicht sagen, was nun die bessere Variante ist und am ehesten der best practise entspricht. Könnt ihr mich bitte beraten?
b.)
Meine Vorstellung zu Variante 3 mit Mikrotik-Router als zusätzlichem Router:
Fritzbox ist auf einem Lan-Port mit Wan des Mikrotik vebunden. An einem Lan des Mikrotik hängt der Trunk Port des VLan-Switch. In Vlan 1 ist das normale Heimnetz, in VLan 2 ist das Gastnetz, in Vlan 3 ist das Managementt-Netz.
(dazu hier auch gleich die frage: ist ein Trunk Port besser als port based vlan mit eigenem uplink aus jedem Vlan zum Mikrotik? Die hardware steht alles an einem Ort, die Verkabelung wäre also kein Problem).
Was mir nicht klar ist, wo in dieser variante der VPN-Router am besten drann soll (quasi Router Nr. 3). An den Vlan-Switch in einem eigenen VLan (glaube eher nicht) oder direkt an den Mikrotik oder an die Fritzbox? Hmm??
Auch habe ich im Moment noch nicht wirklich den Druchblick, was ich routingmäßig an der Fritzbox und am Mikrotik einstellen muss, damit dass funktioniert. Muss der Mikrotik NAten ode rnicht, läuft eine Friewall auf dme Mikrotik oder nicht, etc.
Weiters frage ich mich, wie ich mit dem Fritzbox-VPN dann in die Vlans komme. Das VPN endet ja Netz, in dem sich nur FB und Mikrotik befinden. Ich würde natürlich gerne weiter in dei Vlans.
c.)
Oder soll ich auf die Fritzbox gleich verzichten und den linksys als Router nehmen. Ich gehe davon aus, dass die Fritz AP`s auch ohne fritzbox verwendbar sind, die dect-Steckdose wahrscheinlich eher nicht, wäre aber egal. Also Linksys-lan an trunkport des VLan-Switch. Auch hierr die Fage, wo der VPN-Router am besten drann soll.
Einerseits würde ich die Fritzbox gerne behalten, weil man sich halt dran gewöhnt hat, andererseits reizt es mich auch, meinen Horizont zu erweitern und mal was anderes zu haben. Was ich nicht will ist eine halbstabile Bastellösung.
Ich bin echt ratlos und wäre unendlich dankbar, wenn iihr mir helfen würdet. Danke Leute, ich freue mich schon auf eure Antworten.
lg Pixi
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 334295
Url: https://administrator.de/forum/vlan-im-heimnetz-welche-der-folgenden-hardware-konstellationen-ist-am-sinnvollsten-bzw-funktioniert-334295.html
Ausgedruckt am: 23.12.2024 um 01:12 Uhr
29 Kommentare
Neuester Kommentar
Hallo,
lass den AVM FB 7490 Router stehen und kaufe Dir zusätzlich was der Geldbeutel hergibt!
- RaspBerry PI 3.0 mit Linux zum routen
Zusätzlich zu allem was Du hast
- Cisco SG300 oder SG350 Switch zum routen der VLANs
Als Ersatz oder zusätzlich zu den vorhandenen Switchen
- MikroTik Router RB850Gx2, RB2011, RB3011, usw......
Zusätzlich zu dem was Du hast, hat aber eine starke Lernkurve, es gibt aber drei Bücher dazu und ein extra Forum
Gruß
Dobby
lass den AVM FB 7490 Router stehen und kaufe Dir zusätzlich was der Geldbeutel hergibt!
- RaspBerry PI 3.0 mit Linux zum routen
Zusätzlich zu allem was Du hast
- Cisco SG300 oder SG350 Switch zum routen der VLANs
Als Ersatz oder zusätzlich zu den vorhandenen Switchen
- MikroTik Router RB850Gx2, RB2011, RB3011, usw......
Zusätzlich zu dem was Du hast, hat aber eine starke Lernkurve, es gibt aber drei Bücher dazu und ein extra Forum
Gruß
Dobby
Das hiesige VLAN Tutorial sollte alle deine technischen Fragen dazu beantworten:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Zu deinen Einzelfragen:
1.)
Kann man so machen. Man kann sich auch die Frickelei sparen und einen guten Router für kleines Geld kaufen der einem das leben erleichtert:
http://www.ebay.de/itm/Cisco-886VA-100-Mbps-4-Port-10-100-CISCO886VA-SE ...
Cisco 880, 890 und ISR Router Konfiguration mit xDSL, Kabel oder FTTH Anschluss plus VPN und IP-TV
Mit Mikrotik, Lancom und besonders den Maschinen die sich mit OpenWRT oder DD-WRT flashen lassen sowei den anderen üblichen Verdächtigen ist es einfacher.
Aber Freetz geht natürlich auch obwohl es natürlich noch jede Menge gute Router jenweits des Fritz Horizonts gibt.
2.)
Weise Erkenntnis, siehe 1.)
3.)
Ist auch durchaus ein machbare Lösung die dich von der Freetz Frickelei befreit. Hier wäre ein Mikrotik dann schon die richtige Wahl. Oder du nimmst gleich einen Layer 3 (Routing) fähigen VLAN Switch und sparst dir den 2ten Router komplett (z.B. Cisco SG-300). Siehe auch:
Verständnissproblem Routing mit SG300-28
OpenVPN Server installieren auf pfSense Firewall, Mikrotik. DD-WRT oder GL.inet Router
https://jankarres.de/2014/10/raspberry-pi-openvpn-vpn-client-installiere ...
Netzwerk Management Server mit Raspberry Pi
a.)
Da hast du Recht. Beratung...siehe oben.
b.)
Klar der Favorit bei deinen Vorkenntnissen.
Besser noch, gleich einen L3 Switch verwenden, wird aber teurer.
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
c.)
Der Cisco oben ist preiswert und die Königsklasse und für einfache 50 Euro kann man ja mal zum König werden.
Nun hast du die Qual der Wahl....
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
und dann wahrscheinlich gleich mit 802.1
Mmmhh 802.1wasdenn ?? .1q ist doch der VLAN Standard und außer .1q Port based gibts nur noch dynamische VLANs per 802.1x. Was willst du denn nun ??Ich habe mich in den letzten 2 Tagen in die VLan-Thematik eingelesen und habe nun rudimentäre Kenntnisse,
Sehr löblich...!!Zu deinen Einzelfragen:
1.)
Kann man so machen. Man kann sich auch die Frickelei sparen und einen guten Router für kleines Geld kaufen der einem das leben erleichtert:
http://www.ebay.de/itm/Cisco-886VA-100-Mbps-4-Port-10-100-CISCO886VA-SE ...
Cisco 880, 890 und ISR Router Konfiguration mit xDSL, Kabel oder FTTH Anschluss plus VPN und IP-TV
Mit Mikrotik, Lancom und besonders den Maschinen die sich mit OpenWRT oder DD-WRT flashen lassen sowei den anderen üblichen Verdächtigen ist es einfacher.
Aber Freetz geht natürlich auch obwohl es natürlich noch jede Menge gute Router jenweits des Fritz Horizonts gibt.
2.)
Weise Erkenntnis, siehe 1.)
3.)
Ist auch durchaus ein machbare Lösung die dich von der Freetz Frickelei befreit. Hier wäre ein Mikrotik dann schon die richtige Wahl. Oder du nimmst gleich einen Layer 3 (Routing) fähigen VLAN Switch und sparst dir den 2ten Router komplett (z.B. Cisco SG-300). Siehe auch:
Verständnissproblem Routing mit SG300-28
und zwar einen eigenen Router als openVPN-Client zu betreiben
OK, dann ist DD-WRT, OpenWRT, Raspberry Pi oder eine pfSense_Firewall dein bester Freund !OpenVPN Server installieren auf pfSense Firewall, Mikrotik. DD-WRT oder GL.inet Router
https://jankarres.de/2014/10/raspberry-pi-openvpn-vpn-client-installiere ...
Netzwerk Management Server mit Raspberry Pi
a.)
Da hast du Recht. Beratung...siehe oben.
b.)
Klar der Favorit bei deinen Vorkenntnissen.
Besser noch, gleich einen L3 Switch verwenden, wird aber teurer.
Muss der Mikrotik NAten
Nein, das macht zentral die FB. Der MT routet nur !Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
c.)
andererseits reizt es mich auch, meinen Horizont zu erweitern und mal was anderes zu haben
Sehr löblich und das solltest du dann auch machen.Der Cisco oben ist preiswert und die Königsklasse und für einfache 50 Euro kann man ja mal zum König werden.
Nun hast du die Qual der Wahl....
Bevor du jetzt zum Cisco 88x greifst (welchen ich normalerweise auch immer lobe und empfehle):
Macht an deiner Stelle nicht wirklich viel Sinn, denn der Cisco 88x hat nur 100MBit/s-Ports und kein Gigabit! Da du aber schreibst, dass du Internet per Kabel beziehst würde ich einfach mal vermuten das deine WAN-Bandbreite über 100 MBit/s liegt und daher würde der Cisco für mich an deiner Stelle flach fallen.
Meine Empfehlung:
Wenn es unbedingt OpenVPN werden soll: pfSense auf einem pcengines APU-Board
Wenn IPsec eine Alternative wäre: MikroTik RB750Gr3
Gruß
Kümmel
Macht an deiner Stelle nicht wirklich viel Sinn, denn der Cisco 88x hat nur 100MBit/s-Ports und kein Gigabit! Da du aber schreibst, dass du Internet per Kabel beziehst würde ich einfach mal vermuten das deine WAN-Bandbreite über 100 MBit/s liegt und daher würde der Cisco für mich an deiner Stelle flach fallen.
Meine Empfehlung:
Wenn es unbedingt OpenVPN werden soll: pfSense auf einem pcengines APU-Board
Wenn IPsec eine Alternative wäre: MikroTik RB750Gr3
Gruß
Kümmel
Hallo!
Erstmal danke für die Antworten, das hilft schon mal weiter.
Ich habe heute von Kollegen einen Linksys WRT3200 bekommen, muss ich erstmal gar nix dafür zahlen, ein Mikrotik Routerboard habe ich bestellt für kleines geld, sollte morgen kommen.
Ich schwanke jetzt zwischen
1.) Fritzbox durch wrt3200 ersetzen und daran DGS1100-16 Vlan-Switch
2.) Fritzbox lassen, daran den Mikrotik und daran dann den DGS1100
3.) Fritzbox lassen ,daran den wrt3200 und daran den DGS1100
Die Hardware für obige Konstellationen wäre vorhanden, was ist nun die beste Variante und warum?
lg pixi
Erstmal danke für die Antworten, das hilft schon mal weiter.
Ich habe heute von Kollegen einen Linksys WRT3200 bekommen, muss ich erstmal gar nix dafür zahlen, ein Mikrotik Routerboard habe ich bestellt für kleines geld, sollte morgen kommen.
Ich schwanke jetzt zwischen
1.) Fritzbox durch wrt3200 ersetzen und daran DGS1100-16 Vlan-Switch
2.) Fritzbox lassen, daran den Mikrotik und daran dann den DGS1100
3.) Fritzbox lassen ,daran den wrt3200 und daran den DGS1100
Die Hardware für obige Konstellationen wäre vorhanden, was ist nun die beste Variante und warum?
lg pixi
Welcher Mikrotik ist es denn jetzt genau geworden?
Was du jetzt machst ist deine Sache, ich würde zu Option 2 tendieren, meiner Meinung nach die sauberste Variante.
Option 1 geht ja wohl auch nicht oder? Der Linksys hat ja kein xDSL-Modem wie die Fritzbox.
Option 3 finde ich (persönliche Meinung) nicht gut, da es sich um ein Linksys-Gerät handelt welches nicht von Cisco sondern von BELKIN hergstellt wurde.
Was du jetzt machst ist deine Sache, ich würde zu Option 2 tendieren, meiner Meinung nach die sauberste Variante.
Option 1 geht ja wohl auch nicht oder? Der Linksys hat ja kein xDSL-Modem wie die Fritzbox.
Option 3 finde ich (persönliche Meinung) nicht gut, da es sich um ein Linksys-Gerät handelt welches nicht von Cisco sondern von BELKIN hergstellt wurde.
Option 3 ist ja dann eh obsolet und sinnfrei wenn der MT geordert ist
Die goldenn Mitte ist also schon OK.
Die goldenn Mitte ist also schon OK.
Hallo.
Weil kuemmel schreibt, dass der wrt kein xdsl modem hat... Brauche ich ja nicht, weil vor dem Router sowieso das Kabelmodem vom ISP ist.
Ihr sagt also, fritzbox mit nachgeschaltetem mikrotik ist die bessere lösung als ein dd-wrt-router, der das in einem gerät erledigt?ich dachte eigentlich, dass der wrt besser wäre als die FB und alles in einem gerät auch besser...
Lg pixi
Weil kuemmel schreibt, dass der wrt kein xdsl modem hat... Brauche ich ja nicht, weil vor dem Router sowieso das Kabelmodem vom ISP ist.
Ihr sagt also, fritzbox mit nachgeschaltetem mikrotik ist die bessere lösung als ein dd-wrt-router, der das in einem gerät erledigt?ich dachte eigentlich, dass der wrt besser wäre als die FB und alles in einem gerät auch besser...
Lg pixi
Ach.. Kabelmodem.. glatt überlesen!
Warum dann nicht folgende Konstellation:
Kabel-Modem->MikroTik->L2-Switch
Spricht da was dagegen?
Warum dann nicht folgende Konstellation:
Kabel-Modem->MikroTik->L2-Switch
Spricht da was dagegen?
kapier die Baumstruktur bei den Antworten nicht hier im Forum, aber egal.
hardware vorhganden ist:
kabelmodem
fritzbox 7490
linksys wrt 3200
mikrotik RB961G-2HnD
D-Link DGS 1100-16 L2 Switch
Alle Router werde ich natürlich nicht brauchen, um eine suabere Vlan-Struktur aufzubauen.
Könnt ihr mir bitte sagen, was jetzt die beste Variante ist, und warum:
1.) Kabelmodem -- Fritzbox -- Mikrotik -- L2 Swich
2.) Kabelmodem --- WRT3200 --- L2 Switch
3.) Kabelmodem -- Mikortik -- L2 Switch
theoretisch ginge das wahrscheinlich auch:
4.) Kabelmodem --- WRT300 --- Mikrotik -- L2 Switch
5.) Kabelmodem -- Fritzbox -- WRT3200 -- L2 Switch
Ich tendiere rein gefühlsmäßig im Moment zu Varianten 2.) oder 1.)
Wobei ich aber denke, ich sollte es mal ohne Fritzbox versuchen, einfach um mich mal wieterzuentwickeln und was neues zu lernen. Da kommt dann Variante 5.) ins Spiel. Da könnt eich die Fritzbox solange lassen, bis alles eingerichtet ist, und dann die Firtz weg und Nat auf dne WRT legen und ich wäre bei Variante 2.)
ich bin da echt überfragt, welche vor-/nachteile die einzelnen varianten haben und ob man ganz generell so weinige komponenten wie möglich nimmt oder besser die auf mehrere aufteilt.
Abegsehen von der Hardware ist mir auch die Aufteilung der VLans (welches gerät in wleches VLAn und wie den Zugriff zwichen den VLans regeln) nicht ganz klar.
Es soll fogendes unterteilt werden:
1 PC
2 Noteboooks
Nas 1 (Qnap: Fileserver)
Nas 2 (Qnap,: Surveillance Station, ISCSI-Luns)
2 IP-Kameras (vebrundne mit Surveillance Station)
Proliant Server (ESXi mit VM "Server 2016 Essentials" und VM "Windiws 8.1 Pro)
1 Fire TV
1 Fire TV Stick
diverse BD-Player, Internet Radio etc.
Playstation
diverse Smartphones, Tablets
etc.
Ich denke, dass ich die Windowes Domäne und ihre Domänenmitglieder in ein VLan 10 packe. Die Qnaps wären auch Domänenmitglieder. Dann die Playstation, Internetradio und BD-DVD-player, Fire TVs in VLan 20. IP-Cameras in Vlan 30. Gäste/Kinder-Netz in Vlan 40. Verwaltung in VLan 50.
Jetzt ist es aber so, dass die Fire TVS auf die Freigane auf Nas2 zugriefen sollen können. Wie geht das, wenn sie in unterschiedlichen VLans sind?
Was das Verwaltungs VLan angeht: da würde ich das ilo und esxi und router, switch reinpacken, aber geht das überhaupt, dass sich esxi in einem anderen vlan befindet als die VMs? und wenn die ip cameras in einem eigenen vlan sind, wie kommt dann die surveillance station der qnap da ran, die sich ja auch in einem anderen vlan befindet?
mir ist das noch nicht klar wie man am besten einteilt.
und wenn ich mit meinem pc in alle vlans will, muss der port, an dem er angeschlossen ist, tagged an die verschiedenen vlans oder muss man da im router eine route eintragen? wie ist das generell mit dem routing zwischen den vlans? oder braucht mein pc dan mehrere nics,die in die unterschieldichen vlans untagged eingebunden sind?
oh mann, je mehr ich über das alles nachdenke, desto unklarer wird mir alles. eure antworten haben mir geholgen bisher, aber auch viele neue fragen aufgeworfen.
lg pixi
hardware vorhganden ist:
kabelmodem
fritzbox 7490
linksys wrt 3200
mikrotik RB961G-2HnD
D-Link DGS 1100-16 L2 Switch
Alle Router werde ich natürlich nicht brauchen, um eine suabere Vlan-Struktur aufzubauen.
Könnt ihr mir bitte sagen, was jetzt die beste Variante ist, und warum:
1.) Kabelmodem -- Fritzbox -- Mikrotik -- L2 Swich
2.) Kabelmodem --- WRT3200 --- L2 Switch
3.) Kabelmodem -- Mikortik -- L2 Switch
theoretisch ginge das wahrscheinlich auch:
4.) Kabelmodem --- WRT300 --- Mikrotik -- L2 Switch
5.) Kabelmodem -- Fritzbox -- WRT3200 -- L2 Switch
Ich tendiere rein gefühlsmäßig im Moment zu Varianten 2.) oder 1.)
Wobei ich aber denke, ich sollte es mal ohne Fritzbox versuchen, einfach um mich mal wieterzuentwickeln und was neues zu lernen. Da kommt dann Variante 5.) ins Spiel. Da könnt eich die Fritzbox solange lassen, bis alles eingerichtet ist, und dann die Firtz weg und Nat auf dne WRT legen und ich wäre bei Variante 2.)
ich bin da echt überfragt, welche vor-/nachteile die einzelnen varianten haben und ob man ganz generell so weinige komponenten wie möglich nimmt oder besser die auf mehrere aufteilt.
Abegsehen von der Hardware ist mir auch die Aufteilung der VLans (welches gerät in wleches VLAn und wie den Zugriff zwichen den VLans regeln) nicht ganz klar.
Es soll fogendes unterteilt werden:
1 PC
2 Noteboooks
Nas 1 (Qnap: Fileserver)
Nas 2 (Qnap,: Surveillance Station, ISCSI-Luns)
2 IP-Kameras (vebrundne mit Surveillance Station)
Proliant Server (ESXi mit VM "Server 2016 Essentials" und VM "Windiws 8.1 Pro)
1 Fire TV
1 Fire TV Stick
diverse BD-Player, Internet Radio etc.
Playstation
diverse Smartphones, Tablets
etc.
Ich denke, dass ich die Windowes Domäne und ihre Domänenmitglieder in ein VLan 10 packe. Die Qnaps wären auch Domänenmitglieder. Dann die Playstation, Internetradio und BD-DVD-player, Fire TVs in VLan 20. IP-Cameras in Vlan 30. Gäste/Kinder-Netz in Vlan 40. Verwaltung in VLan 50.
Jetzt ist es aber so, dass die Fire TVS auf die Freigane auf Nas2 zugriefen sollen können. Wie geht das, wenn sie in unterschiedlichen VLans sind?
Was das Verwaltungs VLan angeht: da würde ich das ilo und esxi und router, switch reinpacken, aber geht das überhaupt, dass sich esxi in einem anderen vlan befindet als die VMs? und wenn die ip cameras in einem eigenen vlan sind, wie kommt dann die surveillance station der qnap da ran, die sich ja auch in einem anderen vlan befindet?
mir ist das noch nicht klar wie man am besten einteilt.
und wenn ich mit meinem pc in alle vlans will, muss der port, an dem er angeschlossen ist, tagged an die verschiedenen vlans oder muss man da im router eine route eintragen? wie ist das generell mit dem routing zwischen den vlans? oder braucht mein pc dan mehrere nics,die in die unterschieldichen vlans untagged eingebunden sind?
oh mann, je mehr ich über das alles nachdenke, desto unklarer wird mir alles. eure antworten haben mir geholgen bisher, aber auch viele neue fragen aufgeworfen.
lg pixi
N'Abend,
wie sieht's eigentlich mit Telefon aus?
Hängt da 'was an der Fritzbox dran oder läuft das unabhängig von der FB ?
Gruß
Holger
Weil gefragt wurde: an der fritzbox werden keine telefone betrieben.
Umso besser
Als Anfänger solltest du deine Variante 1. von oben erstmal bevorzugen und damit alles zum Fliegen bringen und entsprechend Erfahrungen sammeln.
Den Rest Finetuning und optimieren ohne FB kannst du später immer noch machen. Also alles erstmal der Reihe nach.
Ziel sollte es also immer sein kein doppeltes NAT zu machen und alles schlank zu gestallten. Optimal wäre es also einen Router oder Firewall zu verwenden die alles macht und das richtig und performant.
P.S.: Deine Shift Taste ist defekt ! Solltest du mal reparieren.
Als Anfänger solltest du deine Variante 1. von oben erstmal bevorzugen und damit alles zum Fliegen bringen und entsprechend Erfahrungen sammeln.
Den Rest Finetuning und optimieren ohne FB kannst du später immer noch machen. Also alles erstmal der Reihe nach.
ich bin da echt überfragt, welche vor-/nachteile die einzelnen varianten haben
Warum ? Das sagt einem dioch schon der gesunde IT Menschenverstand. Eine Router Kaskade ist immer supoptimal, das du doppeltes NAT dort machst was eigentlich überflüssig ist und Performance schluckt und das Netz unnötig kompliziert und aufwändig im Management macht.Ziel sollte es also immer sein kein doppeltes NAT zu machen und alles schlank zu gestallten. Optimal wäre es also einen Router oder Firewall zu verwenden die alles macht und das richtig und performant.
P.S.: Deine Shift Taste ist defekt ! Solltest du mal reparieren.
Hm, ist der mikrotik nicht schwieriger zu handhaben als dd-wrt?
Und noch eine allgemeine frage bezüglich des Zugriffs zwischen unterschiedlichen vlans:
Switching ist ja schneller als routing. Heisst das, dass wenn ein gerät auf eine Ressource in einem anderen vlan zugreifen können soll, dass es dann besser ist, wenn dieses gerät (sofern möglich) in beiden vlans Mitglied ist ( tagged in beiden vlans), oder wenn man das über den Router einstellt mit firewallregeln?
Und noch eine allgemeine frage bezüglich des Zugriffs zwischen unterschiedlichen vlans:
Switching ist ja schneller als routing. Heisst das, dass wenn ein gerät auf eine Ressource in einem anderen vlan zugreifen können soll, dass es dann besser ist, wenn dieses gerät (sofern möglich) in beiden vlans Mitglied ist ( tagged in beiden vlans), oder wenn man das über den Router einstellt mit firewallregeln?
Dann wäre doch die beste Variante, die FB durch den wrt 3200 zu ersetzen. Dann habe ich alles in einem gerät ind ich kann den vpn zugang von aussen mit openvpn einrichten. Also modem -- wrt3200 -- L2 switch.
Bezüglich doppeltem nat: ich dachte hier gelesen zu haben, dass man bei einer Router Kaskade das doppelte nat damit umgehen kann, indem man auf dem Router, der das nat macht, statische routen einträgt zum 2 router.
Bezüglich doppeltem nat: ich dachte hier gelesen zu haben, dass man bei einer Router Kaskade das doppelte nat damit umgehen kann, indem man auf dem Router, der das nat macht, statische routen einträgt zum 2 router.
Hm, ist der mikrotik nicht schwieriger zu handhaben als dd-wrt?
So eine Frage ist ja immer sinnfrei, da relativ. Für einen Netzwerker der weiss was er tut ist das kein Thema und die Antwort lautet NEIN.Für jemand der frickelt und wenig bis kein Know How hat und eher der Klicki Bunti Probieren Fraktion angehört ist die Lernkurve beim MT etwas steiler aber immer machbar.
Dafür bietet der MT aber ne Menge mehr und ein Klicki Bunti GUI hat der ja auch.
Was soll man dir also real auf so eine Frage antworten in einem Administrator Forum...???
Switching ist ja schneller als routing.
Das ist schon seit mindestens 20 Jahren völliger Quatsch und solche Ansichten kommen aus der Netzwerk Steinzeit wo das mal stimmte. Wie gesagt 20 Jahre.... Woher hast du so einen Blödsinn ???Mit aktuellen Chipsätzen passiert Layer 3 Forwarding genau so schnell wie Layer 2 nämlich immer in Wirespeed.
Dann wäre doch die beste Variante...
Letztlich ja....aber vielleicht solltest du deine Lernkurve nicht so steil machen. Ist letztlich aber deine Entscheidung. 1 + 2 sind deine Optionen.dass man bei einer Router Kaskade das doppelte nat damit umgehen kann, indem man auf dem Router, der das nat macht, statische routen
Das ist routingtechnsicher Quatsch ! Sorry..Denk mal selber ein bischen nach, denn dann wird dir das doch schnell selber klar wenn du die Paket Flows der IP Pakete mit ihrern Absender und Zieladressen dir in deinem Netz mal in Ruhe vorstellst.
Beide Router machen doch NAT. Wenn NAT eingestellt ist macht der Router immer NAT. Ob er dann noch sinnlose statische Routen dann hat oder auch nicht ist dem NAT Prozess herzlich egal.
NAT und IP Routing sind 2 völlig unterschiedliche IP Prozesse in einem Router die nichts miteinander zu tun haben.
Da hast du wohl gehörig was verwechselt.
"Hier" in einem Administrator Forum hast du solchen Unsinn sicher nicht gelesen...hoffentlich ?!
Bezüglich nat meinte ich es so: erster Router in Kaskade macht nat, zweiter Router hat nat nicht aktiviert. Im erstem Router sind statische Routen auf den zweiten Router eingetragen. Ergebnis ist dass es kein doppeltes nat gibt.aber da habe ich wohl was falsch verstanden. Danke für deine Erklärungen.
Würde es jedenfalls echt gerne mit dem wrt 3200 probieren, weil ich dd-wrt gerne probieren würde und dann alles in einem Gerät hätte. Was meinst du?
Würde es jedenfalls echt gerne mit dem wrt 3200 probieren, weil ich dd-wrt gerne probieren würde und dann alles in einem Gerät hätte. Was meinst du?
erster Router in Kaskade macht nat, zweiter Router hat nat nicht aktiviert.
Ahhhhsoo...ok, sorry das war unklar. Aber dann hast du Recht, dann stimmt es natürlich wieder !Ergebnis ist dass es kein doppeltes nat gibt
Und die Aussage ist dann auch sinnfrei und evident. Denn wenn du auf dem 2ten Router ja gar kein NAT aktivierst (Dein Zitat oben: "zweiter Router hat nat nicht aktiviert.") hast du logischerweise ja auch niemals ein "doppeltes" NAT.Würde es jedenfalls echt gerne mit dem wrt 3200 probieren, weil ich dd-wrt gerne probieren würde
Na dann leg los !Das hiesige Tutorial sagt dir ja wie es geht.
OK, mach ich. Wenn du mir bitte noch kurz was dazu sagen könntest, wie ich meine Geräte am besten in die unterschiedlichen vlan's verteile. In einem oberen post habe ich bereits aufgezählt, was ich alles habe. Dabei bitte auch beachten, dass es eine Windows Domäne geben soll und auch esxi.
Was mir dabei unklar ist: wenn ich zB die ip-cams in ein eigenes vlan gebe und das qnap mit der surveillance Station in ein anderes, wie geht dann der Zugriff. Muss das qnap dann in beiden vlans sein oder regelt man das mit routing?
Und wie ist das mit esxi? Muss esxi im selben vlan sein wie die gehosteten vm's? Ich dachte mir, dass ich esxi und die ILO ins management vlan gebe, aber die vm's logischerweise ins hautpvlan (Domäne).
Mir ist nicht klar, wie die Grundprinzipien sind, nach dem auf die vlan's aufgeteilt wird.
Was mir dabei unklar ist: wenn ich zB die ip-cams in ein eigenes vlan gebe und das qnap mit der surveillance Station in ein anderes, wie geht dann der Zugriff. Muss das qnap dann in beiden vlans sein oder regelt man das mit routing?
Und wie ist das mit esxi? Muss esxi im selben vlan sein wie die gehosteten vm's? Ich dachte mir, dass ich esxi und die ILO ins management vlan gebe, aber die vm's logischerweise ins hautpvlan (Domäne).
Mir ist nicht klar, wie die Grundprinzipien sind, nach dem auf die vlan's aufgeteilt wird.
Wenn du mir bitte noch kurz was dazu sagen könntest
Oha...keiner kennt dein Netz so wie DU. DU selber müsstest das doch am besten wissen...?!Normal trennt man wenigstens privates LAN und Gast WLAN oder LAN.
Deine Kameras solltest du ggf. noch separieren und die Kids. Aber das hängt alles von deinen Vorstellungen und Security Anforderungen ab und doch nicht was hier irgendwelche Foren Kommentatoren für gut oder schlecht befinden. Mach das so wie es für dich am meisten Sinn macht.
Dabei bitte auch beachten, dass es eine Windows Domäne geben soll und auch esxi.
Das spielt für ein Netzwerk Infrastruktur Design keinerlei Rolle.und das qnap mit der surveillance Station in ein anderes, wie geht dann der Zugriff.
Na, über IP Routing natürlich. Unterschiedliche IP Netzwerke werden durch den Router zw. den VLANs ganz einfach geroutet.... Wo ist denn da dein Problem ?Muss das qnap dann in beiden vlans sein oder regelt man das mit routing?
Natürlich Letzteres...Wenn du deine Bilder irgendwo "in der Cloud" sichern würdest, meinst du denn wenn der Dienstleister dafür in Holland, USA, China oder sonstwo hängt das eine dedizierte Strippe dahin gelegt wird von die die reines Switching macht ??
Du siehst selber wie unsinnig so ein Gedanke ist. Alles was übers Internet geht wird immer geroutet, so wie auch bei dir. Du ziehst dir ja auch nicht die Hose mit der Kneifzange an, oder ?
Und wie ist das mit esxi? Muss esxi im selben vlan sein wie die gehosteten vm's?
Nein, muss es natürlich nicht. Kannst du auch wieder routen oder auf dem Hypervisor mit einem Tagged Uplink lösen:VLANs über 802.1q Trunk auf Windows und Linux Rechnern realisieren
und die ILO ins management vlan gebe
Natürlich nur das ILO. Das Management Netzwerk soll man immer trennen vom Produktivtraffic aus Sicherheitsgründen wenn man es richtig macht. Kein Muß aber macht Sinn.Mir ist nicht klar, wie die Grundprinzipien sind, nach dem auf die vlan's aufgeteilt wird.
Generell gibts die auch nicht. Du machst das nach deinen eigenen Anforderungen wie du es für richtig hälst.
hallo aqui und alle anderen,
danke für deine bzw. eure Antwort.
ich merke, das Thema ist umfangreicher als ursprünglich angenommen. ich habe mich jetzt doch für die Lösung Fritzbox-Mikrotik-L2Switch entschieden. Als Mikrotik-Router habe ich mir jetzt den RB2011UiAS-IN geholt. In meiner Firma habe ich gestern noch einen alten AP abgestaubt (DLink DWL 8600AP, der kann Multi-SSID)
Die Hardware ist nun also:
Kabelmodem ISP
Fritzbox 7490
Mikrotik RB2011UiAS-IN
D-Link DGS1100-16 (3 Stück)
Fritz AP 1750e (2 Stück)
D-Link DWL 8600 AP
Vlan Aufteilung:
VLan1: Management VLan
iLO, ESXi, alle Switch-Oberflächen, AP-Oberflächen und sonstige Netzwerk-Infrastruktur-Geräte
VLan100: Fritzbox VLan
Vlan für Fritzbox und Mikrotik
VLan200: Server VLan
Qnap-Nas 1, Qnap-Nas 2, Windows-Server-2016-Essentials-VM, HP-Netzwerkdrucker
Vlan300: Client VLan
Alle Client-PC`s, auch die Client-VMs
VLan400: Surveillance VLan --> kein Internet-Zugriff
Alle IP-Kameras
VLan500_ Multimedia VLan
Alle Streaming Player, DVD-Player, Satboxen, Internetradios, etc.
VLan600: VLan Tochter
isoliertes Vlan für Internet Tochter
VLan700: Gast VLan
isoliertes VLan für Gäste
Der DWL-8600AP soll jeweils ein 2,4 und ein 5 ghz-Wlan für VLan300, 600 und 700 bereitstellen.
Ein Fritz AP soll 2,4 und 5 ghz für Vlan300 bereitstellen.
Ein weiter Fritz soll für eine IP-Cam 2,4 GHZ Wlan zur Verfügung stellen.
Ich werde das alles noch aufzeichnen.
Ich stehe im Moment noch in der Planung/Theorie, will ich ein paar Dinge einfach noch nicht kapiere. Wenn es Dir und den anderen Profis hier nichts ausmacht, würde ich mich sehr freuen, wenn ihr mir diese Fragen beantworten könntet, und bitte seid nicht zu streng mit mir, wenn ich blöde Fragen stelle.
Folgende Fragen habe ich im Moment:
1.) Ist die VLan-Aufteilung so in Ordnung oder würdet ihr das anders machen?
1.) Soll ich die 3 L2-Switches alle direkt mit dem Miktrotik verbinden (also jeder hat seinen eigenen Trunk direkt in den Mikrotik), oder soll besser nur ein Trunk auf den Mikrotik gehen von einem Switch und die 2 Switches anderen hängen an diesem Switch ? auf den 3 switches sind teilweise auch die gleichen vlans aktiv, sprich ein vlan würde dann auf mehreren trunk ports im mikrotik ankommen. geht das? wie sieht da die Einstellung im mikrotik aus, wie müssen die 3 ports konfiguriert sein?
in allen anleitungen hier wird immer nur von einem trunk ausgegangen.
2.) Laut den Anleitungen hier muss ich ja beim Mikrotik die Default-Config löschen als erstes, wenn ich VLans anlegen will, will in der default config alle Ports geswitched sind, mit folgendem Befehl: system reset-configuration skip-backup=yes no-default=yes
Kann ich da auch skip-backup=no machen, damit ich die Default-Einstellungen gesichert habe. Ich habe irgendwie Angst, dass ich es verkacke und meine RouterOS-Lizenz verliere. Wohin speichert der Mikrotik dann das backup? Auf was muss ich da achten??
edi
und eine ganz blöde Frage:
Angenommen, ich verwende nur einen Trunk, der von einem Switch in den Mikrotik geht, warum stört dann die Default config? Dann kann es mir doch egal sein, ob die 4 Lan-Ports geswitched sind, oder? Ist wahrscheinlich Blödsinn...
3.) Ich kapiere das mit dem Default vlan nicht! Mir ist klar, das ein nicht eingerichteter managebarer Switch alle Ports im Default vlan1 hat, so als ob er ein dummer Switch wäre, und dieses vlan1 liegt auf allen ports untagged an. Wenn ich nun zb den D-Link AP als Beispiel nehme: Ich würde dann dort die Vlan`s 300, 600 und 700 als tagged auf den Port nehmen, Vlan1 als untagged (für die Oberfläche des AP fürs Management). An verschiedenen Stellen steht, dass man das Default vlan als Management vlan nehmen soll/kann, woanders steht wiede,r dass das keine gute Idee ist, da alle nicht zugewiesenen Ports automisch in dieses Default vlan leiten. Ich kann, soweit ich das verstehe, nur 1 vlan untagged auf den port legen. Wenn ich nun also ein anders als das vlan1 als Management vlan nehmen wollte, müsste ich dieses vlan ja dann auch tagged auf den port legen, oder? Wie soll ich das am besten machen? Ich kapiers nicht. Sorry,dass ich so dumm bin, aber bitte erklärt mir das, wie das mit dem Switch DGS-1100 am besten zu lösen ist.
4.) Angenommen, ich habe es geschafft, alle Vlans anzulegen: Wie ist das Routing im Mikrotik vorab eingestellt, wenn ich ihn wie oben beschrieben, resettet habe? Sind erstmal alle VLans mit allen anderen VLans geroutet, sprich, komme ich von allen VLans ind alle anderen erstmal?
Ich hoffe, die Antwort ist ja. Dann müsste ich ja nur für das Tochter und das Gast-Vlan in der Firewall das Routing zu den anderen VLans unterbinden, um sie zu isolieren, oder?
5.) Ich habe (auch von der Arbeit, eine alten HP Proliant ML310e Gen8 Server bekommen. Darauf will ich ESxi installieren und darin eine VM Windows Server 2016 essentials. Die Server Lizenz habe ich mir gekauft. Der Win-Server soll DC, DHCP und DNS Server für meine neu zu schaffende Domäne daheim sein. Soweit ich bisher gelesen habe, ist es kein Problem, wenn die Domänen-Clients in einem anderen VLan sind. Was DHCP betrifft, muss ich nur eigene Bereiche für die VLans einrichten. DNS ist mir noch nicht ganz klar. Mit dem Server-Thema werde ich mich näher befassen, wenn die Vlans erstmal stehen, ich will nur vorab wissen, ob das mit der Windows Domäne und den verschiedenen VLans auch funktionieren wird. Und: Ist es sinnvoll, wenn der DHCP- und DNS-Server vom Win-Sevrer für alle VLans zuständig ist, oder sollte man (zumindest für VLAN Tochter und Gast) DHCp im Mikrotik machen und DNS einen öffentlichen?
OH Mann, ich hoffe, ihr könnt mir helfen und ich bekomme das alles zu Stande. Danke jedenfalls, ohne euch wäre ich sowieso zum scheitern verurteilt.
lg pixi
danke für deine bzw. eure Antwort.
ich merke, das Thema ist umfangreicher als ursprünglich angenommen. ich habe mich jetzt doch für die Lösung Fritzbox-Mikrotik-L2Switch entschieden. Als Mikrotik-Router habe ich mir jetzt den RB2011UiAS-IN geholt. In meiner Firma habe ich gestern noch einen alten AP abgestaubt (DLink DWL 8600AP, der kann Multi-SSID)
Die Hardware ist nun also:
Kabelmodem ISP
Fritzbox 7490
Mikrotik RB2011UiAS-IN
D-Link DGS1100-16 (3 Stück)
Fritz AP 1750e (2 Stück)
D-Link DWL 8600 AP
Vlan Aufteilung:
VLan1: Management VLan
iLO, ESXi, alle Switch-Oberflächen, AP-Oberflächen und sonstige Netzwerk-Infrastruktur-Geräte
VLan100: Fritzbox VLan
Vlan für Fritzbox und Mikrotik
VLan200: Server VLan
Qnap-Nas 1, Qnap-Nas 2, Windows-Server-2016-Essentials-VM, HP-Netzwerkdrucker
Vlan300: Client VLan
Alle Client-PC`s, auch die Client-VMs
VLan400: Surveillance VLan --> kein Internet-Zugriff
Alle IP-Kameras
VLan500_ Multimedia VLan
Alle Streaming Player, DVD-Player, Satboxen, Internetradios, etc.
VLan600: VLan Tochter
isoliertes Vlan für Internet Tochter
VLan700: Gast VLan
isoliertes VLan für Gäste
Der DWL-8600AP soll jeweils ein 2,4 und ein 5 ghz-Wlan für VLan300, 600 und 700 bereitstellen.
Ein Fritz AP soll 2,4 und 5 ghz für Vlan300 bereitstellen.
Ein weiter Fritz soll für eine IP-Cam 2,4 GHZ Wlan zur Verfügung stellen.
Ich werde das alles noch aufzeichnen.
Ich stehe im Moment noch in der Planung/Theorie, will ich ein paar Dinge einfach noch nicht kapiere. Wenn es Dir und den anderen Profis hier nichts ausmacht, würde ich mich sehr freuen, wenn ihr mir diese Fragen beantworten könntet, und bitte seid nicht zu streng mit mir, wenn ich blöde Fragen stelle.
Folgende Fragen habe ich im Moment:
1.) Ist die VLan-Aufteilung so in Ordnung oder würdet ihr das anders machen?
1.) Soll ich die 3 L2-Switches alle direkt mit dem Miktrotik verbinden (also jeder hat seinen eigenen Trunk direkt in den Mikrotik), oder soll besser nur ein Trunk auf den Mikrotik gehen von einem Switch und die 2 Switches anderen hängen an diesem Switch ? auf den 3 switches sind teilweise auch die gleichen vlans aktiv, sprich ein vlan würde dann auf mehreren trunk ports im mikrotik ankommen. geht das? wie sieht da die Einstellung im mikrotik aus, wie müssen die 3 ports konfiguriert sein?
in allen anleitungen hier wird immer nur von einem trunk ausgegangen.
2.) Laut den Anleitungen hier muss ich ja beim Mikrotik die Default-Config löschen als erstes, wenn ich VLans anlegen will, will in der default config alle Ports geswitched sind, mit folgendem Befehl: system reset-configuration skip-backup=yes no-default=yes
Kann ich da auch skip-backup=no machen, damit ich die Default-Einstellungen gesichert habe. Ich habe irgendwie Angst, dass ich es verkacke und meine RouterOS-Lizenz verliere. Wohin speichert der Mikrotik dann das backup? Auf was muss ich da achten??
edi
und eine ganz blöde Frage:
Angenommen, ich verwende nur einen Trunk, der von einem Switch in den Mikrotik geht, warum stört dann die Default config? Dann kann es mir doch egal sein, ob die 4 Lan-Ports geswitched sind, oder? Ist wahrscheinlich Blödsinn...
3.) Ich kapiere das mit dem Default vlan nicht! Mir ist klar, das ein nicht eingerichteter managebarer Switch alle Ports im Default vlan1 hat, so als ob er ein dummer Switch wäre, und dieses vlan1 liegt auf allen ports untagged an. Wenn ich nun zb den D-Link AP als Beispiel nehme: Ich würde dann dort die Vlan`s 300, 600 und 700 als tagged auf den Port nehmen, Vlan1 als untagged (für die Oberfläche des AP fürs Management). An verschiedenen Stellen steht, dass man das Default vlan als Management vlan nehmen soll/kann, woanders steht wiede,r dass das keine gute Idee ist, da alle nicht zugewiesenen Ports automisch in dieses Default vlan leiten. Ich kann, soweit ich das verstehe, nur 1 vlan untagged auf den port legen. Wenn ich nun also ein anders als das vlan1 als Management vlan nehmen wollte, müsste ich dieses vlan ja dann auch tagged auf den port legen, oder? Wie soll ich das am besten machen? Ich kapiers nicht. Sorry,dass ich so dumm bin, aber bitte erklärt mir das, wie das mit dem Switch DGS-1100 am besten zu lösen ist.
4.) Angenommen, ich habe es geschafft, alle Vlans anzulegen: Wie ist das Routing im Mikrotik vorab eingestellt, wenn ich ihn wie oben beschrieben, resettet habe? Sind erstmal alle VLans mit allen anderen VLans geroutet, sprich, komme ich von allen VLans ind alle anderen erstmal?
Ich hoffe, die Antwort ist ja. Dann müsste ich ja nur für das Tochter und das Gast-Vlan in der Firewall das Routing zu den anderen VLans unterbinden, um sie zu isolieren, oder?
5.) Ich habe (auch von der Arbeit, eine alten HP Proliant ML310e Gen8 Server bekommen. Darauf will ich ESxi installieren und darin eine VM Windows Server 2016 essentials. Die Server Lizenz habe ich mir gekauft. Der Win-Server soll DC, DHCP und DNS Server für meine neu zu schaffende Domäne daheim sein. Soweit ich bisher gelesen habe, ist es kein Problem, wenn die Domänen-Clients in einem anderen VLan sind. Was DHCP betrifft, muss ich nur eigene Bereiche für die VLans einrichten. DNS ist mir noch nicht ganz klar. Mit dem Server-Thema werde ich mich näher befassen, wenn die Vlans erstmal stehen, ich will nur vorab wissen, ob das mit der Windows Domäne und den verschiedenen VLans auch funktionieren wird. Und: Ist es sinnvoll, wenn der DHCP- und DNS-Server vom Win-Sevrer für alle VLans zuständig ist, oder sollte man (zumindest für VLAN Tochter und Gast) DHCp im Mikrotik machen und DNS einen öffentlichen?
OH Mann, ich hoffe, ihr könnt mir helfen und ich bekomme das alles zu Stande. Danke jedenfalls, ohne euch wäre ich sowieso zum scheitern verurteilt.
lg pixi
Die Hardware ist nun also:
OK, das sollte klappen !Kabelmodem ISP
Ist das wirklich ein reines NUR Modem ? Also KEIN Router ?1.) Ist die VLan-Aufteilung so in Ordnung oder würdet ihr das anders machen?
Die ist perfekt in Ordnung. Alles korrekt so !1.) Soll ich die 3 L2-Switches alle direkt mit dem Miktrotik verbinden
2mal Frage 1 ???Das kannst du entweder oder machen oder in Kombination. Du soltlest ggf. die performanten VLANs dediziert anbinden und nicht mit einem tagged Uplink, denn bei geroutetem Traffic gehen dann ja mehrere VLANs über einen Draht.
Es hängt etwas von deinen Verkabelungsmöglichkeiten ab. Hast du soviele Kabel. Wenn nicht musst du eh mit einem tagged Uplink arbeiten.
Cam und Server solltest du ggf. direkt machen und den Rest mit einem tagged Link. Musst du sehen.
muss ich ja beim Mikrotik die Default-Config löschen als erstes
Das ist richtig !!dass ich es verkacke und meine RouterOS-Lizenz verliere
Nein, das ist vollkommener Quatsch. Keine Sorge, die ist in einem festen Prom und hat mit dem Konfig Flash rein gar nix zu tun. Den Router kannst du so oft nackig machen wie du lustig bist ! Die Sorge ist vollkommen unbegründet.warum stört dann die Default config?
Die Default Konfig setzt den Router so das ein Port ein zentraler NAT Port ist im DHCP Client Modus und die restlichen Ports alle als Layer 2 Switch arbeiten.Das kannst du nicht gebrauchen und müsstest es alles einzeln löschen was dich ungefähr das 10fache an Zeit kostet im Gegesatz zu einem "jungfräulichen" Router !
müsste ich dieses vlan ja dann auch tagged auf den port legen, oder?
Nein, nicht zwingend !Du könntest am Switch eine andere PVID nehmen:
Warum gibt es PVID bei VLANs?
oder ein anderes native VLAN am Port setzen. Dann wird der untagged Traffic des Endgerätes (vlan 1) am Switchport in ein anderes VLAN geforwardet.
Mach dir aber am Anfang erstmal nicht das Leben so schwer mit mehreren Baustellen. Das ist kosmetisches Finetuning was du immer noch hinterher machen kannst wenn du Erfahrung und Sicherheit hast und dein Setup erstmal grundlegend rennt.
wie das mit dem Switch DGS-1100 am besten zu lösen ist.
Ist das ein managebarer Switch ??Angenommen, ich habe es geschafft, alle Vlans anzulegen:
Das wirst du ganz sicher schaffen Wie ist das Routing im Mikrotik vorab eingestellt
Er ist ein Router und routet immer. Auch ohne Konfig Was du machen musst ist lediglich die Default Route auf die FB definieren...mehr nicht.
Zwischen den Interfaces und VLANs zu routen ist sein grundlegende Aufgabe. Dazu musst du nichts weiter tun.
komme ich von allen VLans ind alle anderen erstmal?
Ja !ist es kein Problem, wenn die Domänen-Clients in einem anderen VLan sind.
Das ist richtig !DNS ist mir noch nicht ganz klar.
Wenn du einen lokalen DNS betreiben willst richtest du dem lediglich eine Weiterleitung auf die LAN IP der Fritzbox ein. Das wars.ich will nur vorab wissen, ob das mit der Windows Domäne und den verschiedenen VLans auch funktionieren wird.
Es WIRD funktionieren. Oder meinst du bei Großunternehmen mit 200 und mehr Subnetzen könnte man dann keinen Winblows server mehr einsetzen ?? Vergiss das also...Und: Ist es sinnvoll, wenn der DHCP- und DNS-Server vom Win-Sevrer für alle VLans zuständig ist,
Schwer zu sagen.... Bei einem Heimnetz ist das eher fraglich. Die gesamte IP Adressierung ist dann vom Server abhängig. Fällt der mal aus oder schlatest du ihn ab da dir 200 Euro sinnsole Stromkosten im Jahr doch zu viel sind ists aus mit deinen lokalen IP.Ggf. macht es also doch mehr Sinn auf dem Router. Dann bist du unabhängig. Musst du aber letztlich selber entscheiden.
ich hoffe, ihr könnt mir helfen und ich bekomme das alles zu Stande.
Kein Thema. Was ist kein Hexenwerk und macht auch ein Azubi in 1-2 Stunden fertig. Das wirst du mit links wuppen.
hallo aqui,
zu deinen fragen:
ja, das kabelmodem ist sicher ein reines modem.
ja, der switch d-link dgs-1100 kann vlan (layer2)
zu dem Hardwareafbau (Kabel), stell dir da so vor:
modem, Frritzbox, mikrotik und 2 Switche stehen direkt an einem Platz zusammen (Auch die Qnaps und der Proliant stehen an diesem Platz) (es sind nur aus dem grund 2 Switche an der Stelle, weil der DGS1100 nur 16 Ports hat und ich mehr brauche). Der 3. Switch steht in einem anderen Raum. Es macht also verkabelungstechnisch keinen Mehraufwand, die 3 Switches jeweils direkt an den mikrotik anzuschließen. Da die Ports auf dem mikrotik eh sschon vorhanden sind, ist es wahrscheinlich besser, die Switches alle direkt anzuschließen, wobei das auch alles trunks wären, da ja auf jedem der 3 Switches mindesntens 2 verschiedene Vlans sein werden.
Wenn ich dich richtig verstanden habe, würdest du den performanten VLans nicht über den trunk zum mikrotik führen sondern direkt. Wäre das etwa so:
VLan 100 hat auf Switch 1 ports 1-4 untagged und port 5 tagged. Port 5 geht auf eigenen port auf mikrotik (auf dem vlan100 eingerichtet ist). Oder muss ,wenn über den uplink zum router eh nur 1 vlan übertragen wird, dieser port auch untagged sein? bei mir ist de rknopf noch nicht richtig aufgegangen...
edit:
ich glaube, es müssen in dem fall alle ports, also auch port 5 untagged sein, nachdem ich jetzt nochmal nachgedacht habe. aber sicher bin ich mir nicht...
nochmal wegen dem management vlan:
soll ich jetzt also das default vlan1 als management vlan nehmen oder ein eigenes machen?
danke und sorry, ich bin noch etwas schwer von begriff, was das vlan thema angeht, aber ich bin fest entschlossen,d as zu lernen.
zu deinen fragen:
ja, das kabelmodem ist sicher ein reines modem.
ja, der switch d-link dgs-1100 kann vlan (layer2)
zu dem Hardwareafbau (Kabel), stell dir da so vor:
modem, Frritzbox, mikrotik und 2 Switche stehen direkt an einem Platz zusammen (Auch die Qnaps und der Proliant stehen an diesem Platz) (es sind nur aus dem grund 2 Switche an der Stelle, weil der DGS1100 nur 16 Ports hat und ich mehr brauche). Der 3. Switch steht in einem anderen Raum. Es macht also verkabelungstechnisch keinen Mehraufwand, die 3 Switches jeweils direkt an den mikrotik anzuschließen. Da die Ports auf dem mikrotik eh sschon vorhanden sind, ist es wahrscheinlich besser, die Switches alle direkt anzuschließen, wobei das auch alles trunks wären, da ja auf jedem der 3 Switches mindesntens 2 verschiedene Vlans sein werden.
Wenn ich dich richtig verstanden habe, würdest du den performanten VLans nicht über den trunk zum mikrotik führen sondern direkt. Wäre das etwa so:
VLan 100 hat auf Switch 1 ports 1-4 untagged und port 5 tagged. Port 5 geht auf eigenen port auf mikrotik (auf dem vlan100 eingerichtet ist). Oder muss ,wenn über den uplink zum router eh nur 1 vlan übertragen wird, dieser port auch untagged sein? bei mir ist de rknopf noch nicht richtig aufgegangen...
edit:
ich glaube, es müssen in dem fall alle ports, also auch port 5 untagged sein, nachdem ich jetzt nochmal nachgedacht habe. aber sicher bin ich mir nicht...
nochmal wegen dem management vlan:
soll ich jetzt also das default vlan1 als management vlan nehmen oder ein eigenes machen?
danke und sorry, ich bin noch etwas schwer von begriff, was das vlan thema angeht, aber ich bin fest entschlossen,d as zu lernen.
nochmal wegen dem management vlan:
Der Dativ ist dem Genitiv sein Tod.....Lass es erstmal als 1. Ist erstmal weniger Aufwand und damit auch weniger potentielle Fehlerquellen. Wenn du es später ändern willst kannst du das immer noch machen.
ich bin noch etwas schwer von begriff
Nee, nee...ist schon gut. Dein Konzept zeigt ja schon das dem gar nicht so ist. Da sind wir hier noch Schlimmeres gewohnt manchmal
ok, aber bitte beantworte mir noch diese Frage:
Wenn ich die 3 Switche jeweils direkt an einen Port des Mikrotik anschließe, und die verschiedenen VLans jeweils auf allen 3 Switchen vertreten sind (zb. VLanXY hat Ports auf allen 3 Switchen), wie geht das dann im Miktrotik? Richtet man dann einfach bei allen 3 Mikrotik-Ports die gleichen VLans ein und aktiviert (falls gewünscht) DHCP auf allen 3 Schnittstellen etc.? Oder müssen die Ports dann irgendwie speziell miteinander verbunden werden? Ich hoffe, du verstehst, was ich meine...
Vielen Dank, ich weiss die Hilf ezu schätzen.
Frohe ostern btw,
lg Pixi
Wenn ich die 3 Switche jeweils direkt an einen Port des Mikrotik anschließe, und die verschiedenen VLans jeweils auf allen 3 Switchen vertreten sind (zb. VLanXY hat Ports auf allen 3 Switchen), wie geht das dann im Miktrotik? Richtet man dann einfach bei allen 3 Mikrotik-Ports die gleichen VLans ein und aktiviert (falls gewünscht) DHCP auf allen 3 Schnittstellen etc.? Oder müssen die Ports dann irgendwie speziell miteinander verbunden werden? Ich hoffe, du verstehst, was ich meine...
Vielen Dank, ich weiss die Hilf ezu schätzen.
Frohe ostern btw,
lg Pixi
Richtet man dann einfach bei allen 3 Mikrotik-Ports die gleichen VLans ein
Nein, es reichen natürlich nur 3 Interfaces mit den IP Adressen dieser VLANs.VLANs musst du auf den MTs nur dann einsetzen wenn du nicht nur dediziert routen willst sondern auch Layer 2 Switchports dort hast.
Nach deinem Plan ist das aber nicht der Fall. Du kannst dann für diese VLANs dedizierte Ports nehmen und musst dann allerdings auch n Strippen ziehen pro VLAN auf den MT.
Nicht schön und macht man normal auch nicht aber wenn du Performance rauskitzeln willst die einzige Option.
Du kannst es auch erstmal mit einem tagged Uplink probieren und sehen wie die Performance aussieht.
Da ist ein bischen testen angesagt. Es gibt da keine Blaupause für den besten Weg, dennd er ist immer auch von den Anwendungen abhängig. Wenn dein Kameras normal SD Bilder machen mit 1-2 Mbit ist das auf einem 1000Mbit Port natürlich insgesamt gesehen eine Lachnummer...
hallo,
erstmal danke für deine Hilfe, super von dir.
ich glaube,wir reden gerade aneinader vorbei. ich meinte, dass die 3 L2-Switches (jeder Switch beherbergt mehrere VLans) mit jeweils einem Trunk Link auf einem eigenen Port am Mikrotik hängen. Aber das wäre sowieso irgendwie sinnlos, wen nich darüber nachdenke, da ja die Vlans nicht auf jeweils einem Switch sind sondern teilweise auf allen. Dann bringen die einzelnen Uplinks ja performancetechnisch nichts.
Mein Plan ist jetzt folgender:
Ich nehme einen der 3 Switches und definiere auf diesem die Vlans "Server" und "IP-Cameras". Anstelle eines Trunks auf den Mikrotik, bekommt aber jedes der Vlans einen eigenen Uplink. Wenn ich dich richtig verstehe, muss dann am Switch der Uplink-port auch einfach untagged im jeweiligen VLan sein. Für den Miktrotik sind das dann einfach 2 getrennte Switche und ich brauche mikrotik-seitig für diese Vlans nur Interfaces mit den IPs definieren und keine Vlans eintragen. Habe ich das richtig verstanden?
Was ich jedoch noch nicht ganz kapiere:
Routet der Mikrotik automatisch zwischen den nun 3 Ports, auf denen die Uplinks angeschlossen sind (1 Uplink für Server VLan, 1 Uplink für IP-Camera-VLAn, 1 Trunk-Uplink für die resltichen VLans), so wie es de rFall ist, wenn nur 1 Trunk angeschlossen ist, ode rmuss da zusätzlich was konfiguriert werden?
und noch was frage ich mich:
Wenn ich einen Server (zb ein Qnap oder den Domain Controller), der sich in VLAN a befindet, für Clients in VLAN b erreichbar machen will, habe ich ja verschiedene Möglichkeiten:
1.) über Routing am Mikrotik
2.) Den Server (soweit er bzw seine NIC das unterstützt) tagged in beide Vlans stellen.
3.) Den Server, wenn er 2 Nics hat, Nic 1 in VLan a untagegd und Nic 2 in VLan b untagged.
Wobei 2.) und 3.) aufs selbe rauskommen (ich glaube, wenn die Nics vorhanden sind, dann wäre 3.) die erste Wahl zwecks Performance.
Gerade wenn ich daran dneke, dass die Windows-Server-VM den DHCP-Server für das CLient-VLan übernehmen soll und DHCP ja nur innerhalb einer Broadcastdomäne (und damit innerhlab eines VLans) geht, müsste ich ja, wenn ich Option 1 mit dem routing nehme, ein DHCP-Relay einrichten. Das könnte ich mir sparen, wenn der Sevrer sowieso mit einem Beinchen in beiden VLans steht. Allerdings weicht das dann das ganze VLan-Konzept auf....
Gibts da eine "best practise" wie man das macht?
und noch eine kleine Frage:
Kann ich an eine Port des L2-Switches (untagged in einem VLan) einen weiteren dummen unmanaged Switch anshcließen, an dem dann natürlich nur Mitglieder des jeweiligen VLans angesteckt werden? Ich denke ja, bin mir abe rnicht sicher.
ich find edie ganze Thematik sehr spannend und freue mich schon darauf, wenn ich es denn mal alles verstehe. Aber da habe ich noch viel Lernen vor mir. Echt super, wie toll du und die anderen hier sich auskennen, beneidenswert.
lg Pixi
erstmal danke für deine Hilfe, super von dir.
ich glaube,wir reden gerade aneinader vorbei. ich meinte, dass die 3 L2-Switches (jeder Switch beherbergt mehrere VLans) mit jeweils einem Trunk Link auf einem eigenen Port am Mikrotik hängen. Aber das wäre sowieso irgendwie sinnlos, wen nich darüber nachdenke, da ja die Vlans nicht auf jeweils einem Switch sind sondern teilweise auf allen. Dann bringen die einzelnen Uplinks ja performancetechnisch nichts.
Mein Plan ist jetzt folgender:
Ich nehme einen der 3 Switches und definiere auf diesem die Vlans "Server" und "IP-Cameras". Anstelle eines Trunks auf den Mikrotik, bekommt aber jedes der Vlans einen eigenen Uplink. Wenn ich dich richtig verstehe, muss dann am Switch der Uplink-port auch einfach untagged im jeweiligen VLan sein. Für den Miktrotik sind das dann einfach 2 getrennte Switche und ich brauche mikrotik-seitig für diese Vlans nur Interfaces mit den IPs definieren und keine Vlans eintragen. Habe ich das richtig verstanden?
Was ich jedoch noch nicht ganz kapiere:
Routet der Mikrotik automatisch zwischen den nun 3 Ports, auf denen die Uplinks angeschlossen sind (1 Uplink für Server VLan, 1 Uplink für IP-Camera-VLAn, 1 Trunk-Uplink für die resltichen VLans), so wie es de rFall ist, wenn nur 1 Trunk angeschlossen ist, ode rmuss da zusätzlich was konfiguriert werden?
und noch was frage ich mich:
Wenn ich einen Server (zb ein Qnap oder den Domain Controller), der sich in VLAN a befindet, für Clients in VLAN b erreichbar machen will, habe ich ja verschiedene Möglichkeiten:
1.) über Routing am Mikrotik
2.) Den Server (soweit er bzw seine NIC das unterstützt) tagged in beide Vlans stellen.
3.) Den Server, wenn er 2 Nics hat, Nic 1 in VLan a untagegd und Nic 2 in VLan b untagged.
Wobei 2.) und 3.) aufs selbe rauskommen (ich glaube, wenn die Nics vorhanden sind, dann wäre 3.) die erste Wahl zwecks Performance.
Gerade wenn ich daran dneke, dass die Windows-Server-VM den DHCP-Server für das CLient-VLan übernehmen soll und DHCP ja nur innerhalb einer Broadcastdomäne (und damit innerhlab eines VLans) geht, müsste ich ja, wenn ich Option 1 mit dem routing nehme, ein DHCP-Relay einrichten. Das könnte ich mir sparen, wenn der Sevrer sowieso mit einem Beinchen in beiden VLans steht. Allerdings weicht das dann das ganze VLan-Konzept auf....
Gibts da eine "best practise" wie man das macht?
und noch eine kleine Frage:
Kann ich an eine Port des L2-Switches (untagged in einem VLan) einen weiteren dummen unmanaged Switch anshcließen, an dem dann natürlich nur Mitglieder des jeweiligen VLans angesteckt werden? Ich denke ja, bin mir abe rnicht sicher.
ich find edie ganze Thematik sehr spannend und freue mich schon darauf, wenn ich es denn mal alles verstehe. Aber da habe ich noch viel Lernen vor mir. Echt super, wie toll du und die anderen hier sich auskennen, beneidenswert.
lg Pixi
mit jeweils einem Trunk Link auf einem eigenen Port am Mikrotik hängen.
Ahhh, ok ja das hatte ich missverstanden.Das kann man auch machen, bringt aber wenig. Mit 3 parallelen Links hast du ja dann einen Loop im Netzwerk und du musst zwingend Spanning Tree laufen lassen das dir das Looping verhindert.
STP oder RSTP sorgt dann dafür das 2 deiner 3 Links dann so oder so in den Blocking Mode gehen und dann ist das Unterfangen eh sinnlos.
Besser ist dann du realisierst das dann mit einem LAG (Link Aggregation) also jeweils 2 Trunk Links in einen LAG Bündeln, das wäre sinnvoller. Allerdings müsstest du das dann pro Switch machen.
Da du am 2011er aber ja 10 Ports frei hast ist das kein Problem, denn du brauchst ja nur 6 Ports. Performancetechnisch wäre das idealer. Kein Loop, deshalb kein Blocking und beide Links werden durch den LACP LAG aktiv mit beiden Links genutzt.
Aber auch die Lösung mit deinem dedizierten Link pro VLAN was etwas Performance braucht ist so machbar. Du kannst auch einen Mischbetrieb realisieren. Die VLANs die etwas mehr Performance fordern mit dedizierten Links und den Rest in einem tagged Trunk zusammenfassen. Alles ist möglich. Es hängt wie gesagt etwas von deinen Traffic Flows ab.
Routet der Mikrotik automatisch zwischen den nun 3 Ports, auf denen die Uplinks angeschlossen sind
Ja, logo ! Was dachtest du denn ??Der Mikrotik ist doch ein Router !!! Also sollte er ja wohl auch routen.
Mit deinem Auto kannst du ja auch gleich Auto fahren, oder ?? Was für eine Frage....dzzzz
und noch was frage ich mich:
Oha, hoffentlich jetzt eine etwas intelligentere Frage als die obige Ja, du hast Recht. Alle 3 Optionen machen dir den Server in den beiden VLANs für die Clients erreichbar. Du darfst dir die schönste aussuchen. 2 und 3 haben mit Routing aber nichts zu tun, dafür bräuchtest du natürlich dann keinen Router, klar.
Und ja, Option 1 verlangt einen DHCP Relay wenn du wirklich einen zentralen DHCP betreiben willst. Ob das sinnvoll für ein kleines Heimnetz ist steht auf einem anderen Blatt Papier. Der MT wäre da sicher sinnvoller aber das ist Ansichtssache und hängt davon ab was du letztlich vorhast.
Gibts da eine "best practise" wie man das macht?
Nein. Wie du oben sehen kannst anhand deiner ganzen Überlegungen ist das immer ganz individuell vom jeweiligen Netzerk, den Zielen die damit verfolgt werden sollen, Security Konzepten, Management Aufwand usw. usw. abhängig. Eine goldene Allgemeinregel gibt es da nicht. Einen groben Leitfaden aber schon, den hast du ja schon auf dem Papier mit der Segmentierung.und noch eine kleine Frage:
Aber immer doch....Kann ich an eine Port des L2-Switches (untagged in einem VLan) einen weiteren dummen unmanaged Switch anshcließen...
Ja, natürlich geht das !
nur zur info:
habe gestern den externen edv-dienstleister, der bei uns in der firma vorbeikam, zu meinem vorhaben befragt:
der meinte, das er die domaincontroller-vm (die ja auch dhcp macht) auf jeden fall ins gleiche vlan wie die domänenclients tun würde, also nicht mittels relay. er meinte, dass mansich mit dem dc in einem anderne vlan nur das leben schwer macht.
die qnaps würde er, wenn ich es richtig verstanden habe, nur die oberfläche ins verwaltungs-vlan geben und ansonsten auch ins normale haupt-vlan (sprich server und dömänenclients vlan).
habe gestern den externen edv-dienstleister, der bei uns in der firma vorbeikam, zu meinem vorhaben befragt:
der meinte, das er die domaincontroller-vm (die ja auch dhcp macht) auf jeden fall ins gleiche vlan wie die domänenclients tun würde, also nicht mittels relay. er meinte, dass mansich mit dem dc in einem anderne vlan nur das leben schwer macht.
die qnaps würde er, wenn ich es richtig verstanden habe, nur die oberfläche ins verwaltungs-vlan geben und ansonsten auch ins normale haupt-vlan (sprich server und dömänenclients vlan).
Irgendwie ist die Shift Taste an deinem Rechner defekt 
Der "Dienstleister" ist sicher kein Netzwerker!.... Aber egal wie du es machst, letztlich ja deine Entscheidung
er meinte, dass mansich mit dem dc in einem anderne vlan nur das leben schwer macht.
Normal ist das Unsinn, denn das IP Netz ist völlig unabhängig von der Domänenfunktion und hat damit soviel zu tun wie ein Fisch mit einem Fahrrad. Relay ist ja ausschliesslich nur fürs DHCP.Der "Dienstleister" ist sicher kein Netzwerker!.... Aber egal wie du es machst, letztlich ja deine Entscheidung
