VLAN Netzwerke konfigurieren für Laien

Zu 1) ja, fast. Es ist noch etwas verbesserungswürdig. Wir kommen gleich dazu.

Zu 2)
Tags heißt auf Deutsch „Markierungen“. Sie werden benötigt um auf einer Leitung mehrere VLANs übertragen zu können. Ein Switch, das von so einer Leitung Daten bekommt, kann sie anhand der Markierungen sortieren und dem zugehörigen virtuellem Netzwerk zuweisen.

Wenn an einem Switch Port nur ein einziges VLAN anliegen soll, kann dieser auch unmarkierte Pakete senden (untagged). Sie können aber auch tagged versendet werden, aber nicht jeder Empfänger kann die Tags auswerten, z.B. PCs, Handys, Drucker... Deswegen werden die Anschlüsse zu den Endgeräten gerne untagged eingerichtet. Ausnahmen sind Telefone, die noch einen zweiten Netzwerkport haben, damit ein PC daran angesteckt werden kann. Da siehe Telefone gerne in ein VLAN gesteckt werden, aber der PC sich in einem anderen VLAN befinden soll, muss der Port am Switch beide VLANs versenden, also muss mindestens ein VLAN davon markiert sein.

Zu 3)
Über „Scopes“
https://youtu.be/q49fShbcU8U
Da ist gut erklärt, wie man es einrichtet. Aaaaaber, siehe weiter unten.

Zu 4)
Der DHCP Client sendet seine Anfragen grundsätzlich unmarkiert (untagged) zum Switch. Wenn der Switch Port auf VLAN 5 untagged gestellt ist, kann nur ein DHCP server, der sich auch im VLAN 5 befindet, darauf antworten. Wenn der Switch Port jedoch nur tagged Netzwerke hat, wird der Client keine Antwort erhalten. Der im Video eingerichtete DHCP Server kann auf alle VLANs getrennt reagieren, also wird der DHCP Client seine passende IP Nummer erhalten.

Zu Deiner Konfiguration)
Ich würde die Kommunikation zwischen den Switchen grundsätzlich mit allen VLANs tagged füttern, auch, wenn sie an einer bestimmten Seite nicht verwendet werden. Das erspart spätere Änderungen, da man sich dann keine Gedanken mehr machen muss, ob an diesem Switch überhaupt das passende VLAN ankommt.

Auch die WLAN Sender würde ich mit mehreren VLANs tagged füttern, damit Du mehrere WLAN Netze zur Verfügung stellen kannst. Ein Büronetz, ein Gastnetz, ein VoIP Netz... Spätestens deswegen benötigst Du bei allen Switchen alle VLANs. Der WLAN Accesspoint muss aber dementsprechend konfigurierbar sein, billige APs können nur ein Netz und dementsprechend darf dann auch sein Port am Switch nur untagged eingestellt sein, egal, welches VLAN zu ihm letztendlich zuweist.

Die VLANs sind untereinander erst einmal komplett getrennt. Damit die Endgeräte in den VLANs eine IP Nummer erhalten und auch ins Internet kommen, benötigt jedes VLAN Zugang zu einem Router und DHCP Server. Das kann der Windows Server zwar übernehmen, da er Zugang zu jedem VLAN bekommt (so wird es auch im Video eingerichtet, zwei Netzwerkkarten können auch über eine Netzwerkkarte mit zwei VLANs gemacht werden) jedoch würde alles zusammen brechen, wenn der Server nicht reagiert oder wegen Updates mal eben neu bootet, auch die Telefonie. Deswegen wird für so etwas gerne ein eigener Router inkl DHCP Server verwendet, der so gut wie nie neu booten muss. In Deinem Fall, weil die Layer 3 Switche schon vorgegeben sind oder schon existieren, würde ich die Layer 3 Switche das Routing übernehmen lassen und einen der Layer 3 Swiche den DHCP Server für alle VLANs spielen lassen. Normalerweise kannst Du auch das Netzwerk mit günstigeren Layer 2 Switchen ausstatten und eine schicke Firewall hinstellen, die Routing und DHCP übernimmt z.B Sophos UTM, Unifi USG, pfSense. Sophos ist ab einer bestimmten Größe jährlich kostenpflichtig zu lizenzieren (ab 50 IPs im Netzwerk). Unifi hat auch eigene günstige Layer 2 Switche, die er gleich mit verwalten kann und das Unifi USG routet zwischen den Layern. Sophos und Unifi haben auch eigene AccessPoints, die sie gleich mitverwalten können und auch Voucher für das GästeWLAN ausgeben können.

Moin
die meisten deiner Ausführungen kann ich so unterschreiben.
Dieses Argument zieht überhaupt nicht.
Wenn ein Server nicht reagiert (egal ob Windows oder Linux), hat man eh Probleme und der Reboot wegen Windows-Updates wird nur von Hobby-Admins oder Beamten während der normalen Arbeitszeiten durchgeführt.
Er hat doch bereits einen Lancom-Router. Da braucht er sicher keine weitere Firewall.
Der kann übrigens auch als DHCP-Server für die einzelnen Netzwerke (VLANs) dienen.

Zitat von @goscho:

Stimmt, wenn alles läuft, wie es soll. Nur die Netzwerke werden auch mal älter und bleiben nicht fehlerfrei - Hardwaretechnisch sowie Softwaretechnisch. Ich habe auch mal in einer Hotline im Systemhaus gearbeitet und musste nicht selten die Server durchstarten. Es ist halt nur ein Vorschlag um Single Point Of Failures zu minimieren.

Zitat von @goscho:

Ja, wenn dieser Router VLAN fähig ist. Welcher es genau ist wurde ja nicht beschrieben. Ich habe auch nicht nachgeforscht, ob alle Lancoms das können. Ich habe es halt mal so erklärt. Wenn der Router das kann, klar.

Der Neustart eines normalen Servers dauert heute auch kaum länger als 5 Minuten (Ausnahme Exchange).
Die Lancom-Router sind prinzipiell VLAN-fähig. Die günstigsten (883VAW) können aber nur in maximal 2 interne Netze routen.

Zitat von @goscho:
Jup, vorausgesetzt, es hängt kein Dienst, das geht bis zum dem Punkt, dass man ihn nach 10 Minuten hart resettet, weil er nicht ganz runter fuhr. VM's sind auch ein Thema, wenn Hyper-V so eingestellt ist, dass die VM's nicht angehalten werden, sondern auf deren Beendigung gewartet wird. Fette Updates brauchen auch lange, deren Rollbacks bei Fehlern noch länger. Wenn der Server auch routen soll, sind VoIP Gespräche sofort unterbrochen, noch bevor der schnellste Server herunter gefahren ist. Aber, ja, alle planen so, als ob solche Sachen nicht vorkommen (dürfen).

Zitat von @goscho:
Gut zu wissen, danke Dir. In diesem Fall kann er das DHCP auf dem Server ganz abschalten.

Aber auch nur, wenn er einigermaßen aktuell ist. Ich kenne noch einige Server bei Kunden, die allein für das BIOS-durchackern gefühlt soviel Zeit verbraten.

lks

HP's mit ILO :c)

jepp.

lks