phillippl
Goto Top

VLAN und gemeinsamer Drucker

Hallo zusammen,
ich arbeite mich aktuell in unsere Netzwerktechnik ein. Von einem externen Anbieter wurde hier das Netzwerk eingerichtet und der aktuelle Stand der Dinge ist folgender.
Router: Lancom 1781ef+
Switch: HP 1820-24g
VLANs: 5 (1: Default, 2: Firma1, 3: Firma2, 4: Firma3, 5: Gäste).

Nun gibt es einen Netzwerk Drucker, der aktuell im VLAN 2 ist, nun aber für alle außer Gäste zur Verfügung gestellt werden soll.
Ist es mit der aktuellen vorhanden Hardware möglich, den Drucker für VLAN 2, 3 und 4 verfügbar zu machen? Kann ich das im Lancom z.B. über Firewall regeln? Oder benötigen wir zwingend ein weitere Gerät?

Vielen dank für eure Hilfe!

Content-ID: 346185

Url: https://administrator.de/contentid/346185

Ausgedruckt am: 25.11.2024 um 12:11 Uhr

133883
133883 12.08.2017 aktualisiert um 15:14:54 Uhr
Goto Top
Kann ich das im Lancom z.B. über Firewall regeln?
Ja, mit den entsprechenden ACLs problemlos machbar. Oder du machst alternativ ein weiteres VLAN für den Drucker auf und vergibst die entsprechenden ACLs auf das Drucker-VLAN aus den anderen Netzen.
Oder benötigen wir zwingend ein weitere Gerät?
Nein.

Gruß
phillippl
phillippl 12.08.2017 um 16:08:03 Uhr
Goto Top
Hallo und danke für die schnelle Antwort!

Nein.
Da bin ich schon mal froh! face-smile

Oder du machst alternativ ein weiteres VLAN für den Drucker auf und vergibst die entsprechenden ACLs auf das Drucker-VLAN aus den anderen Netzen.

Ich habe nun ein VLAN 6 für den Drucker. Wo muss ich nun hin? Beim suchen habe ich zum Thema ACL nur WLAN gefunden.
Aktuell arbeite ich mich noch in das Thema ein und daher vielleicht die dumme Frage.

Danke und ein schönes Wochenende!
133883
Lösung 133883 12.08.2017 aktualisiert um 16:34:01 Uhr
Goto Top
Zitat von @phillippl:
Ich habe nun ein VLAN 6 für den Drucker. Wo muss ich nun hin? Beim suchen habe ich zum Thema ACL nur WLAN gefunden.
In die Firewall, ACL ist nur ein Oberbegriff für die Zugriffsteuerung unter VLANs und häufiger auf Switches ein Begriff, am Lancom regelst du das über die Firewall-Regeln.

Hier ein Beispiel wie man zwei VLANs in ein zentrales VLAN mit dem Drucker zulässt und alle anderen aussperrt.

screenshot

Die Quell- und Zielobjekte musst du natürlich vorher für deine VLANs definieren.

Danke und ein schönes Wochenende!
Gleichfalls.
phillippl
phillippl 13.08.2017 um 06:50:00 Uhr
Goto Top
Zitat von @133883:

Die Quell- und Zielobjekte musst du natürlich vorher für deine VLANs definieren.

Ich habe nun eine Regel angelegt mit dem Name: ALLOW_VLAN2_VLAN9. Bei Stationen habe ich gewählt:

Verbindungs-Quelle
Alle Stationen im lokalen Netzwerk: FIRMA1 (in diesem Netzwerk ist das VLAN 2 definiert).
Verbindungs-Ziel
Alle Stationen im lokalen Netzwerk: DRUCKER (in diesem Netzwerk ist das VLAN 6 definiert).

bildschirmfoto 2017-08-13 um 06.45.35
bildschirmfoto 2017-08-13 um 06.45.43

bildschirmfoto 2017-08-13 um 06.45.54

Leider bekomme ich aber keine Verbindung zu dem Drucker. Ein Ping o.ä. ist nicht möglich.
Pitbullracer
Pitbullracer 13.08.2017 um 08:01:49 Uhr
Goto Top
Ist die Route in das neue VLAN vorhanden?
Wohin werden die anfragen gesendet, wenn du ein ping versuchst? --> tracert
phillippl
phillippl 13.08.2017 um 08:35:24 Uhr
Goto Top
Zitat von @Pitbullracer:

Ist die Route in das neue VLAN vorhanden?

Vielen dank für deine Hilfe! Vermutlich liegt dort das Problem. Ich habe im Bereich "IPv4-Routing-Tabelle" nichts geändert.

bildschirmfoto 2017-08-13 um 08.31.20

Wohin werden die anfragen gesendet, wenn du ein ping versuchst? --> tracert
bildschirmfoto 2017-08-13 um 08.31.01

Wie bereits geschrieben, wurde das Netzwerk von einem externen Anbieter, der uns nicht mehr zur verfügung gestellt, eingerichtet und mit Lancom kenne ich mich noch nicht so aus, da fuchse ich mich gerade noch ein. Aber wie ich sehe fehlt mir da noch einiges an Wissen!
133883
133883 13.08.2017 aktualisiert um 10:52:38 Uhr
Goto Top
An den Routen mußt du nichts verstellen, wäre ja auch Blödsinn denn wenn du die VLANs mit deren Subnetzen korrekt definiert hast weiß der Lancom ja schon auf welchem Port das jeweilige VLAN arbeitet, er hat diese also schon in seiner Routing-Tabelle.
phillippl
phillippl 13.08.2017 um 12:23:15 Uhr
Goto Top
Ich habe nun mal geschaut. Die VLANs sind in eigene IP-Netzwerke getrennt. Dabei haben alle die IP-Adresse: 192.88.0.10 und 255.255.255.0 als Netzmaske.

Wenn ich dem Drucker IP-Netzwerk nun die 192.88.9.10 gebe und auch den DHCP dafür anpasse, erreiche ich den Drucker. Auch ohne Firewall. Bedeutet, nun ist er auch für Gäste erreichbar.
em-pie
em-pie 13.08.2017 aktualisiert um 13:25:41 Uhr
Goto Top
Moin,

hmm... irgendwie klingt dein jüngster Post etwas uneindeutig und lässt sich - zumindest für mich - aus den vorherigen nicht ganz eindeutig herauslesen.

Kannst du erurieren, ob
a) die nachfolgende Grafik vom aufbau her so passt und
b) die dort fehlenden Informationen ergänzen, also die buchstaben a bzw. ay bis f bzw. fy
lancom-netz

Dann weiss man zumindest, wie das Netz seinerzeit aufgebaut ist und kann dir beim LANCOM dann bessere Hilfe geben.


Beim Zeichnen ist mir zudem noch eingefallen: das VLAN 6 wird aber vom LANCOM über den 1820 ebenfalls transportiert, oder?
Denn wenn das nicht der Fall ist, bringen dir alle Firewall-Regeln nichts, wenn die Pakete nicht über den HP hinaus zum LANCOM transportiert werden können.

Gruß
em-pie

€dit: Grafik enthielt noch einen kleinen Tippfehler
133883
133883 13.08.2017 aktualisiert um 14:00:46 Uhr
Goto Top
Zitat von @phillippl:

Ich habe nun mal geschaut. Die VLANs sind in eigene IP-Netzwerke getrennt. Dabei haben alle die IP-Adresse: 192.88.0.10 und 255.255.255.0 als Netzmaske.
Alle die selbe Netzmaske und IP-Kreis ??? Kann ja nich, jedes VLAN bekommt sein eindeutiges Netz.

Wenn ich dem Drucker IP-Netzwerk nun die 192.88.9.10 gebe und auch den DHCP dafür anpasse, erreiche ich den Drucker. Auch ohne Firewall. Bedeutet, nun ist er auch für Gäste erreichbar.
Nicht wenn du die letzte BlockAll Regel von oben implementiert hast, die alles außer den erlaubten Netzen final blockt. Und wenn du sowieso nichts in der Firewall stehen hast ist klar das du ihn erreichst weil ja nichts blockt ...
Mir scheint hier gibt es bei dir noch erhebliche Wissenslücken.
phillippl
phillippl 13.08.2017 um 14:03:56 Uhr
Goto Top
Zitat von @em-pie:
Dann weiss man zumindest, wie das Netz seinerzeit aufgebaut ist und kann dir beim LANCOM dann bessere Hilfe geben.
Vielen lieben dank!

Also die Grafik stimmt soweit, bis auf ein kleine Info: An dem Switch hängt zusätzlich noch ein WLAN AP von TP-Link. Der sendet mehrere SSIDs und kümmert sich drum die VLANs zu taggen über WLAN. Aber das sollte ja nicht so viel ändern.

Ich habe mich nun mal durch geklickt und geschaut, was konfiguriert ist. Bis auf das VLAN 6 Drucker (dies habe ich zum testen geändert), sind alle auf den Ursprungszustand zurück geändert, damit wir "frisch" starten. Die Konfiguration ist somit auf den Zustand, wie es hier mal eingerichtet wurde.

Vorweg: Ich glaube, die Konfiguration ist nicht sehr sinnvoll so, also bin ich da gerne für Verbesserungsvorschläge sehr dankbar.

b) die dort fehlenden Informationen ergänzen, also die buchstaben a bzw. ay bis f bzw. fy

a-e: 0
ay-ey: 10
f: 9
fy: 10

Die gewünschte Konfiguration wäre, dass alle VLANs getrennt sind und nicht miteinander kommunizieren können. Außer VLAN 2, 3 und 4 dürfen auf den Drucker in VLAN 6 zugreifen. Die Gäste dürfen natürlich nicht auf den Drucker zugreifen.
em-pie
Lösung em-pie 13.08.2017 aktualisiert um 14:24:50 Uhr
Goto Top
OK, dann habe ich den o.g Post doch richtig verstanden (und exguru auch).

Als erstes:
völlig ungünstig ist, dass alle VLANS (ausnahme: das VLAN6) sehr ungünstig und nicht standardkonform eingerichtet sind.

Optimal wäre es, wenn du/ ihr die VLANS wie folgt neu definiert:

  • VLAN 1:
    • Netz: 192.168.10.0
    • Maske: 255.255.255.0
    • GW: 192.168.10.1
  • VLAN 2:
    • Netz: 192.168.20.0
    • Maske: 255.255.255.0
    • GW: 192.168.20.1
...
  • VLAN 6:
    • Netz: 192.168.60.0
    • Maske: 255.255.255.0
    • GW: 192.168.60.1


Zudem musst du am LANCOM auch für jedes VLAN ein eigenes (virt.) Interface anlegen, jeweils mit der IP 192.168.x.1:
https://www2.lancom.de/kb.nsf/1275/BF3A86301C98D1C6C12575C50030D0FD?Open ...

Danach gemäß exgurus obiger Firewall-Logik entsprechende Policies anlegen.

Ich setze mal voraus, dass alle 4 Firmen den Internetanschluss am LANCOM nutzen oder hat jeder sein eigen Internetanschluss/ Router?
Wenn letzteres der Fall ist (jede Firma hat einen eigenen Internetanschluss) dann müssen sowohl an den einzelnen Internetroutern als auch am LANCOM weitere statische Routen angelegt werden. Hierzu aber weiteres, wenn du das beantworten konntest.

Nachtrag: das Thema VLAN hat Kollege aqui seinerzeit mal sehr gut in folgenden Tutorial behandelt:
https://administrator.de/members/watchlist.php?action=add&content_id ...
hieraus kannst du dir auch erstmal die Grundlagen zum Thema VLAN aneignenface-wink

Nachtrag2:
euer sog. Fachmann hat zudem einen weiteren, gravierenden Fehler gemacht:
Gemäß den Spezifikation RFC1918 hat er für die einzelnen IPs Netz des öffentlichen Sektor verwendet, anstatt auf die privaten Netze zurückzugreifen. Das Netz 192.168.88.0/24 gehört nämlich einer Firma mit Sitz in den USA: Whois
Das muss dringend abgeändert werden.
phillippl
phillippl 13.08.2017 um 14:34:11 Uhr
Goto Top
Zitat von @em-pie:
Optimal wäre es, wenn du/ ihr die VLANS wie folgt neu definiert:

Okay, dass mache ich.

Zudem musst du am LANCOM auch für jedes VLAN ein eigenes (virt.) Interface anlegen, jeweils mit der IP 192.168.x.1:
https://www2.lancom.de/kb.nsf/1275/BF3A86301C98D1C6C12575C50030D0FD?Open ...

Das scheint bereits zu sein, nur halt immer mit dem gleichen Schema (192.88.0.10), ändere ich.

Ich setze mal voraus, dass alle 4 Firmen den Internetanschluss am LANCOM nutzen oder hat jeder sein eigen Internetanschluss/ Router?
Wenn letzteres der Fall ist (jede Firma hat einen eigenen Internetanschluss) dann müssen sowohl an den einzelnen Internetroutern als auch am LANCOM weitere statische Routen angelegt werden. Hierzu aber weiteres, wenn du das beantworten konntest.

Ja wir haben hier einen gemeinsamen Internetanschluss.

Nachtrag: das Thema VLAN hat Kollege aqui seinerzeit mal sehr gut in folgenden Tutorial behandelt:
https://administrator.de/members/watchlist.php?action=add&content_id ...
hieraus kannst du dir auch erstmal die Grundlagen zum Thema VLAN aneignenface-wink

Vielen dank, schaue ich mir an!

Nachtrag2:
euer sog. Fachmann hat zudem einen weiteren, gravierenden Fehler gemacht:
Gemäß den Spezifikation RFC1918 hat er für die einzelnen IPs Netz des öffentlichen Sektor verwendet, anstatt auf die privaten Netze zurückzugreifen. Das Netz 192.168.88.0/24 gehört nämlich einer Firma mit Sitz in den USA: Whois
Das muss dringend abgeändert werden.

Oh okay, dass werde ich anhand deiner Vorlage oben gleich komplett ändern.

Vielen dank eure allen! Ich werde das heute Abend mal so umsetzen und mich noch mal melden!
phillippl
phillippl 13.08.2017 um 17:15:23 Uhr
Goto Top
Ich habe nun alles soweit eingerichtet. Ich kann im DHCP und an den Geräten sehen, dass sie sich in den jeweiligen Netzen auch IPs geholt haben.

Jetzt ist es aber so, dass ich nun aber auf den Drucker schon zugreifen kann, ohne dass dies freigegeben ist. Ich sehe auch die Geräte der anderen Firmen. Auch wenn ich die Regel habe, dass als Quelle: Alle und Ziel: VLAN 9 (DRUCKER) zurückweisen, komme ich drauf. Anscheinend habe ich noch irgendwo eine Konfiguration vergessen oder?

Danke nochmal für eure Hilfe!!
em-pie
em-pie 13.08.2017 um 18:11:57 Uhr
Goto Top
OK. Am HP-Switch sind alle VLANs engelegt und die entsprechenden Ports stehen ebenfalls im richtigen VLAN auf untagged (mal abgesehen vom AP...)?

Ansonsten poste hier mal den Screenshot von den FirewallPolicies!
phillippl
phillippl 13.08.2017 um 22:37:39 Uhr
Goto Top
Also im HP Switch sind die jeweiligen Ports auf untagged und der Port 24 auf tagged. Dort geht dann ein Kabel in den Port 1 vom Lancom Router.

Screenshot kann ich morgen anhängen. Aber selbst wenn sie komplett leer ist, ist ein Zugriff möglich.
133883
133883 13.08.2017 aktualisiert um 22:49:09 Uhr
Goto Top
Aber selbst wenn sie komplett leer ist, ist ein Zugriff möglich.
Ist doch vollkommen normal denn keine Regel bedeutet hier keine Beschränkung, alle dürfen alles
phillippl
phillippl 14.08.2017 um 07:34:35 Uhr
Goto Top
Ah, jetzt hat es Klick gemacht. Ich stand bezüglich VLAN noch auf dem Schlauch. Die VLANs sehen sich auf dem Switch nicht, aber über den Router.
Also wenn ich dort die passenden Regeln einrichte, unterbinde ich die Kommunikation untereinander und kann zum Drucker dann erlauben.
133883
133883 14.08.2017 aktualisiert um 10:00:11 Uhr
Goto Top
Der Kandidat hat 100 Punkte face-smile. Dein Layer-2 Switch kann ja nicht routen, das machen nur Layer-3 Geräte, also ist der Lancom die Schaltstelle für dein Netz.
Das lernt aber eigentlich jeder Netzwerker am ersten Tag ...
aqui
aqui 14.08.2017 aktualisiert um 11:02:17 Uhr
Goto Top
Ah, jetzt hat es Klick gemacht.
Das hätte es schon viel eher wenn du mal einen Blick ins hiesige VLAN Tutorial geworfen hättest:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Das beantwortet alle deine Fragen...