VLAN Verständnisfrage
Moin Leidensgenossen,
folgendes Problem:
Muss bei einem Kunden ein Public W-LAN einrichten.
Vorhanden sind 1x Lancom 1781AW mit Public Spot Option + 5x Lancom L-54g APs.
Die Public Spot Option soll nur für VLAN 10 greifen (lässt sich in der Public Spot Config einstellen), das funktioniert auch soweit voraus gesetzt ich stecke die APs und den Router zusammen in einen nicht VLAN fähigen Switch. Nun ist es aber so dass beim Kunden überall managebare, VLAN fähige Switche im Einsatz sind. Der Router selbst hängt an einem D-Link DGS-1248T welcher per LWL mit einem HP 2510G-48 verbunden ist, dieser ist per TP Trunk mit einem weiteren 2510G-48 verbunden.
Mir ist leider nicht klar wie die Switchte zu konfigurieren sind damit sie mir nicht die vom AP gesetzten VLANs zerhacken.
Es existiert dort sonst keine VLAN Konfiguration auf die Rücksicht genommen werden muss, also keine Trennung von PCs, Servern, Abteilungen, Management Netz etc.
Nochmal ausführlich die Situation:
1x Lancom 1781AW Router, VLAN Modul nicht aktiv (kann also nur Tags lesen, nicht setzen)
192.168.1.237/24 Internes Netzwerk, VLAN ID 0 (also keins)
192.168.2.237/24 Public Netzwerk, VLAN ID 10 DHCP aktiv
WLAN-1 Internes W-LAN
WLAN-1-2 Public W-LAN, wird vom Public Spot Verarbeitet
5x Lancom L-54g, VLAN Module aktiv
WLAN-1 Internes Netzwerk, wird momentan noch mit VLAN ID 1 getaggt *
WLAN-1-2 Public W-LAN, VLAN ID 10
Hat jemand dazu eine Idee und kann mir sagen wo ich den Fehler eingebaut habe bzw. was geändert werden muss?
Besten Dank & Grüße,
Andre
folgendes Problem:
Muss bei einem Kunden ein Public W-LAN einrichten.
Vorhanden sind 1x Lancom 1781AW mit Public Spot Option + 5x Lancom L-54g APs.
Die Public Spot Option soll nur für VLAN 10 greifen (lässt sich in der Public Spot Config einstellen), das funktioniert auch soweit voraus gesetzt ich stecke die APs und den Router zusammen in einen nicht VLAN fähigen Switch. Nun ist es aber so dass beim Kunden überall managebare, VLAN fähige Switche im Einsatz sind. Der Router selbst hängt an einem D-Link DGS-1248T welcher per LWL mit einem HP 2510G-48 verbunden ist, dieser ist per TP Trunk mit einem weiteren 2510G-48 verbunden.
Mir ist leider nicht klar wie die Switchte zu konfigurieren sind damit sie mir nicht die vom AP gesetzten VLANs zerhacken.
Es existiert dort sonst keine VLAN Konfiguration auf die Rücksicht genommen werden muss, also keine Trennung von PCs, Servern, Abteilungen, Management Netz etc.
Nochmal ausführlich die Situation:
1x Lancom 1781AW Router, VLAN Modul nicht aktiv (kann also nur Tags lesen, nicht setzen)
192.168.1.237/24 Internes Netzwerk, VLAN ID 0 (also keins)
192.168.2.237/24 Public Netzwerk, VLAN ID 10 DHCP aktiv
WLAN-1 Internes W-LAN
WLAN-1-2 Public W-LAN, wird vom Public Spot Verarbeitet
5x Lancom L-54g, VLAN Module aktiv
WLAN-1 Internes Netzwerk, wird momentan noch mit VLAN ID 1 getaggt *
WLAN-1-2 Public W-LAN, VLAN ID 10
- Hatte zuerst auch am Router das VLAN Modul an, dann aber doch wieder abgeschaltet. Denke hier darf dann auch kein Tag mehr gesetzt werden?
Hat jemand dazu eine Idee und kann mir sagen wo ich den Fehler eingebaut habe bzw. was geändert werden muss?
Besten Dank & Grüße,
Andre
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 197216
Url: https://administrator.de/contentid/197216
Ausgedruckt am: 24.11.2024 um 21:11 Uhr
12 Kommentare
Neuester Kommentar
Hallo NoHopeNoFear,
mit einem nicht VLAN fähigem Switch dazwischen funktioniert es meiner Meinung nach nicht.
WLAN APs an einen Switch anschließen und dann das VLAN dort anlegen, vom Switch zu den WLAN APs untagged
und von dem Switch mit dem WLAN APs über die anderen Switche tagged bis zur Firewall oder dem Router!
Entweder schon über die vorhandene Verbindung, d.h. der schon vorhandene Uplink wird dann zum Trunk
und transportiert auch das "neue" VLAN, oder aber Du setzt neue Uplinks auf und diese "transportieren" dann
das VLAN10 bis zu dem Router oder der Firewall.
Aber alle Beteiligten Geräte sollten auf jeden Fall das Bilden von VLANs unterstützen, sonst wird das nichts.
Gruß
Dobby
mit einem nicht VLAN fähigem Switch dazwischen funktioniert es meiner Meinung nach nicht.
WLAN APs an einen Switch anschließen und dann das VLAN dort anlegen, vom Switch zu den WLAN APs untagged
und von dem Switch mit dem WLAN APs über die anderen Switche tagged bis zur Firewall oder dem Router!
Entweder schon über die vorhandene Verbindung, d.h. der schon vorhandene Uplink wird dann zum Trunk
und transportiert auch das "neue" VLAN, oder aber Du setzt neue Uplinks auf und diese "transportieren" dann
das VLAN10 bis zu dem Router oder der Firewall.
Aber alle Beteiligten Geräte sollten auf jeden Fall das Bilden von VLANs unterstützen, sonst wird das nichts.
Gruß
Dobby
Hi,
Lies dir das mal durch :
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
aqui hat es sehr einfach erklärt.
denn erstell doch mal ein Vlan1 (für das ganze netz) und VLAn10 ( für wlan)
MfG Dimitri
Lies dir das mal durch :
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
aqui hat es sehr einfach erklärt.
denn erstell doch mal ein Vlan1 (für das ganze netz) und VLAn10 ( für wlan)
MfG Dimitri
Hi Andre,
Also erst einmal den Empfehlungen und Links meiner Vorgänger zum Thema VLAN folgen.
Alle APs müssen VLAN aktiviert haben und es müssen zwei getaggte VLANs eingerichtet sein.
Alle Switches müssen VLANs aktiviert haben und die uplinks müssen getaggt verbunden sein.
Und es bedarf einer Routinginstanz evtl mit Proxy vom Gast-WLAN-VLAN zum Internetzugang.
Viel Glück und wenig Angst
und etwas Theorie dann klappt es auch mit der Hoffnung
Gruß
Netman
Also erst einmal den Empfehlungen und Links meiner Vorgänger zum Thema VLAN folgen.
Zitat von @NoHopeNoFear:
1x Lancom 1781AW Router, VLAN Modul nicht aktiv (kann also nur Tags lesen, nicht setzen)
192.168.1.237/24 Internes Netzwerk, VLAN ID 0 (also keins)
192.168.2.237/24 Public Netzwerk, VLAN ID 10 DHCP aktiv
WLAN-1 Internes W-LAN
WLAN-1-2 Public W-LAN, wird vom Public Spot Verarbeitet
Dann:1x Lancom 1781AW Router, VLAN Modul nicht aktiv (kann also nur Tags lesen, nicht setzen)
192.168.1.237/24 Internes Netzwerk, VLAN ID 0 (also keins)
192.168.2.237/24 Public Netzwerk, VLAN ID 10 DHCP aktiv
WLAN-1 Internes W-LAN
WLAN-1-2 Public W-LAN, wird vom Public Spot Verarbeitet
Alle APs müssen VLAN aktiviert haben und es müssen zwei getaggte VLANs eingerichtet sein.
Alle Switches müssen VLANs aktiviert haben und die uplinks müssen getaggt verbunden sein.
Und es bedarf einer Routinginstanz evtl mit Proxy vom Gast-WLAN-VLAN zum Internetzugang.
Viel Glück und wenig Angst
und etwas Theorie dann klappt es auch mit der Hoffnung
Gruß
Netman
Im Grunde ist das kinderleicht denn du hast ja schon eine gute Infrastruktur mit den managebaren Switches. Die Vorgehnesweise ist einfach:
Wie bereits gesagt findest du die alle Grundlagen dazu und ein praktisches Beispiel in diesem_Tutorial !
Grundlagen zur VLAN Einrichtung und Technik gibt es HIER.
Generelles zur Gastnetz Einrichtung und Voucher Verteilung HIER
Damit kommt das im Handumdrehen zum Fliegen.
- VLANs bzw. VLAN IDs für alle Netze entsprechend auf allen Switches einrichten.
- Entgeräteports (UNtagged) diesen VLANs zuordnen auf allen Switches
- Uplinkports, also die Ports wo die Switches untereinander verbunden sind, TAGGED in alle VLANs bringen.
- Da du alle Gast APs auf einem Switch kumulierst diesen Port auch untagged ins Gast VLAN
- Alternativ solltest du (sinnvollerweise) APs haben die Multi SSIDs (eSSIDs) supporten dann diese APs natürlich immer TAGGED auf die VLAN Switches. Diese APs kann man dann logischerweise NICHT auf billigen unmanaged Switches kumulieren, da sie einen tagged Port benötigen im Multi SSID Betrieb !
- VLAN Switches über ihre Uplinks untereinander verbinden, damit sind dann alle VLANs transparent im Netz erreichbar.
- Ja, am Router MUSS die Tagging (VLAN) Option gesetzt sein wenn der zwischen den VLANs routen soll ! Wenn nicht und er nur das Gastnetz bedient dann natürlich nicht, logo ! Das u.a. Tutorial erklärt das im Detail !
Wie bereits gesagt findest du die alle Grundlagen dazu und ein praktisches Beispiel in diesem_Tutorial !
Grundlagen zur VLAN Einrichtung und Technik gibt es HIER.
Generelles zur Gastnetz Einrichtung und Voucher Verteilung HIER
Damit kommt das im Handumdrehen zum Fliegen.
Hi Hoffnungsloser,
Wenn deine Konfiguration so fehlerhaft ist, wie dein Text hier - kann nichts gehen.
VLAN1 default, genannt, wird häufig für interne Zwecke benutzt und ist deshalb meist und immer erreichbar.
Ich vermute mal, dass deine Switches jeweils mit Port 24 verbunden sind. Auf diesen Ports muss VLAN1 (getaggt oder ungetaggt ist beinahe egal) und VLAN10 sein. Von VLAN24 kann ich nichts sehen.
Die Ports für deinen Router und AP müssen in jedem Fall getaggt sein und VLAN1 und VLAN10 führen. Damit sind sie ja keine Endgeräteports sondern auch uplinks und werden vom Switch entsprechend behandelt.
Und bis jetzt steht nirgendwo ob der AP mit dem VLAN und zwei SSIDs umgehen kann. Und es steht nirgendwo, wie der Router mit der getaggten Zuleitung umgeht und wie er routet.
Und wenn du einen Wireshark Trace ziehst, kannst du davon ausgehen, dass der untaggt ist. Um einen getaggten ziehen zu können bedarf es besonderer Konfiguration auf dem Switch. Ob das die 1800er schaffen ist mir nicht klar. Es gibt ja nur die Weboberfläche und die ist etwas eingeschränkt.
Gruß
Netman
Wenn deine Konfiguration so fehlerhaft ist, wie dein Text hier - kann nichts gehen.
VLAN1 default, genannt, wird häufig für interne Zwecke benutzt und ist deshalb meist und immer erreichbar.
Ich vermute mal, dass deine Switches jeweils mit Port 24 verbunden sind. Auf diesen Ports muss VLAN1 (getaggt oder ungetaggt ist beinahe egal) und VLAN10 sein. Von VLAN24 kann ich nichts sehen.
Die Ports für deinen Router und AP müssen in jedem Fall getaggt sein und VLAN1 und VLAN10 führen. Damit sind sie ja keine Endgeräteports sondern auch uplinks und werden vom Switch entsprechend behandelt.
Und bis jetzt steht nirgendwo ob der AP mit dem VLAN und zwei SSIDs umgehen kann. Und es steht nirgendwo, wie der Router mit der getaggten Zuleitung umgeht und wie er routet.
Und wenn du einen Wireshark Trace ziehst, kannst du davon ausgehen, dass der untaggt ist. Um einen getaggten ziehen zu können bedarf es besonderer Konfiguration auf dem Switch. Ob das die 1800er schaffen ist mir nicht klar. Es gibt ja nur die Weboberfläche und die ist etwas eingeschränkt.
Gruß
Netman
Der Text ist scheinbar korrigiert aber so generell stimmt es erstmal. VLAN 1 ist bei HP immer untagged auch an tagged Ports. der 802.1q Standard lässt das zu.
Nur zur Sicherheit, richtig ist es so:
Switch 1:
Port 1 = Multi SSID AP = VLAN 1 untagged, VLAN 10 tagged
Port 2 = VLAN 10 Testport = VLAN 10 untagged
Ports 3-23 = Default = VLAN 1 untagged
Port 24 = Switch 2 Uplink = VLAN 1 untagged, VLAN 10 tagged
Switch 1:
Port 1 = Lancom Router mit VLAN Konfig. = VLAN 1 untagged, VLAN 10 tagged
Port 2 = VLAN 10 Testport = VLAN 10 untagged
Ports 3-23 = Default = VLAN 1 untagged
Port 24 = Switch 1 Uplink = VLAN 1 untagged, VLAN 10 tagged
Ein sinnvoller Tip zum Testen:
Setze einen der restlichen Ports auf einem Der Switches oder auf beiden untagged in VLAN 10 !!
So hast du einen Testport und kannst an diesem Einen Laptop oder PC anschliessen, dem du eine gültige IP Adresse aus dem VLAN 10 Sepment gibst !
So hast du die Möglichkeit per Kabel die saubere Connectivity im VLAN 10 zu testen indem du beide Lancoms anpingen kannst und auch einen im WLAN (VLAN 10) angemeldeten Rechner.
Wenn du die alle Pingen kannst kannst du wenigstens ganz sicher sein das deine Switch Infrastruktur richtig konfiguriert ist und dann das problem woanders suchen (Router oder AP Konfig ?!)
Ohne das stocherst du im Trüben also besser strategisch vorgehen zum Troubleshooten !
Nur zur Sicherheit, richtig ist es so:
Switch 1:
Port 1 = Multi SSID AP = VLAN 1 untagged, VLAN 10 tagged
Port 2 = VLAN 10 Testport = VLAN 10 untagged
Ports 3-23 = Default = VLAN 1 untagged
Port 24 = Switch 2 Uplink = VLAN 1 untagged, VLAN 10 tagged
Switch 1:
Port 1 = Lancom Router mit VLAN Konfig. = VLAN 1 untagged, VLAN 10 tagged
Port 2 = VLAN 10 Testport = VLAN 10 untagged
Ports 3-23 = Default = VLAN 1 untagged
Port 24 = Switch 1 Uplink = VLAN 1 untagged, VLAN 10 tagged
Ein sinnvoller Tip zum Testen:
Setze einen der restlichen Ports auf einem Der Switches oder auf beiden untagged in VLAN 10 !!
So hast du einen Testport und kannst an diesem Einen Laptop oder PC anschliessen, dem du eine gültige IP Adresse aus dem VLAN 10 Sepment gibst !
So hast du die Möglichkeit per Kabel die saubere Connectivity im VLAN 10 zu testen indem du beide Lancoms anpingen kannst und auch einen im WLAN (VLAN 10) angemeldeten Rechner.
Wenn du die alle Pingen kannst kannst du wenigstens ganz sicher sein das deine Switch Infrastruktur richtig konfiguriert ist und dann das problem woanders suchen (Router oder AP Konfig ?!)
Ohne das stocherst du im Trüben also besser strategisch vorgehen zum Troubleshooten !
Ist nicht "Basteln" sondern Troubleshooten. Sorry, die Zeit solltest du dir aber nehmen mindestens aber die mal das Handbuch zu lesen oder dein VLAN Wissen aufzufrischen !!
Was dachtest du denn das das ala Dummie Microsoft einfach in 3 Sekunden ohne Wissen mit Zusammenstecken funktioniert ?? Dzzzz...
Der Fehler steckt vermutlich in den Endgeräten (Router und AP) mit dem Tagging das ist das was meistens falsch gemacht wird !
Checke also ganz genau das das VLAN das default VLAN ist und an BEIDEN Endgeräten untagged ist ! Analog dazu das VLAN 10 das an den Ports tagged rausgeht.
An der Switchkonfig kann man ja nicht viel falsch machen obwohl man bei den HP Billiggurken sich da auch nicht immer sicher sein kann...
Was dachtest du denn das das ala Dummie Microsoft einfach in 3 Sekunden ohne Wissen mit Zusammenstecken funktioniert ?? Dzzzz...
Der Fehler steckt vermutlich in den Endgeräten (Router und AP) mit dem Tagging das ist das was meistens falsch gemacht wird !
Checke also ganz genau das das VLAN das default VLAN ist und an BEIDEN Endgeräten untagged ist ! Analog dazu das VLAN 10 das an den Ports tagged rausgeht.
An der Switchkonfig kann man ja nicht viel falsch machen obwohl man bei den HP Billiggurken sich da auch nicht immer sicher sein kann...