nohopenofear
Goto Top

VLAN Verständnisfrage

Moin Leidensgenossen,

folgendes Problem:

Muss bei einem Kunden ein Public W-LAN einrichten.
Vorhanden sind 1x Lancom 1781AW mit Public Spot Option + 5x Lancom L-54g APs.

Die Public Spot Option soll nur für VLAN 10 greifen (lässt sich in der Public Spot Config einstellen), das funktioniert auch soweit voraus gesetzt ich stecke die APs und den Router zusammen in einen nicht VLAN fähigen Switch. Nun ist es aber so dass beim Kunden überall managebare, VLAN fähige Switche im Einsatz sind. Der Router selbst hängt an einem D-Link DGS-1248T welcher per LWL mit einem HP 2510G-48 verbunden ist, dieser ist per TP Trunk mit einem weiteren 2510G-48 verbunden.

Mir ist leider nicht klar wie die Switchte zu konfigurieren sind damit sie mir nicht die vom AP gesetzten VLANs zerhacken.
Es existiert dort sonst keine VLAN Konfiguration auf die Rücksicht genommen werden muss, also keine Trennung von PCs, Servern, Abteilungen, Management Netz etc.

Nochmal ausführlich die Situation:

1x Lancom 1781AW Router, VLAN Modul nicht aktiv (kann also nur Tags lesen, nicht setzen)
192.168.1.237/24 Internes Netzwerk, VLAN ID 0 (also keins)
192.168.2.237/24 Public Netzwerk, VLAN ID 10 DHCP aktiv
WLAN-1 Internes W-LAN
WLAN-1-2 Public W-LAN, wird vom Public Spot Verarbeitet

5x Lancom L-54g, VLAN Module aktiv
WLAN-1 Internes Netzwerk, wird momentan noch mit VLAN ID 1 getaggt *
WLAN-1-2 Public W-LAN, VLAN ID 10

  • Hatte zuerst auch am Router das VLAN Modul an, dann aber doch wieder abgeschaltet. Denke hier darf dann auch kein Tag mehr gesetzt werden?

Hat jemand dazu eine Idee und kann mir sagen wo ich den Fehler eingebaut habe bzw. was geändert werden muss?

Besten Dank & Grüße,
Andre

Content-ID: 197216

Url: https://administrator.de/contentid/197216

Ausgedruckt am: 24.11.2024 um 21:11 Uhr

108012
108012 18.01.2013 um 09:56:44 Uhr
Goto Top
Hallo NoHopeNoFear,

mit einem nicht VLAN fähigem Switch dazwischen funktioniert es meiner Meinung nach nicht.

WLAN APs an einen Switch anschließen und dann das VLAN dort anlegen, vom Switch zu den WLAN APs untagged
und von dem Switch mit dem WLAN APs über die anderen Switche tagged bis zur Firewall oder dem Router!

Entweder schon über die vorhandene Verbindung, d.h. der schon vorhandene Uplink wird dann zum Trunk
und transportiert auch das "neue" VLAN, oder aber Du setzt neue Uplinks auf und diese "transportieren" dann
das VLAN10 bis zu dem Router oder der Firewall.

Aber alle Beteiligten Geräte sollten auf jeden Fall das Bilden von VLANs unterstützen, sonst wird das nichts.

Gruß
Dobby
dmc-net
dmc-net 18.01.2013 aktualisiert um 10:01:39 Uhr
Goto Top
Hi,

Lies dir das mal durch :
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern

aqui hat es sehr einfach erklärt.

denn erstell doch mal ein Vlan1 (für das ganze netz) und VLAn10 ( für wlan)


MfG Dimitri
MrNetman
MrNetman 18.01.2013 um 10:17:43 Uhr
Goto Top
Hi Andre,

Also erst einmal den Empfehlungen und Links meiner Vorgänger zum Thema VLAN folgen.
Zitat von @NoHopeNoFear:
1x Lancom 1781AW Router, VLAN Modul nicht aktiv (kann also nur Tags lesen, nicht setzen)
192.168.1.237/24 Internes Netzwerk, VLAN ID 0 (also keins)
192.168.2.237/24 Public Netzwerk, VLAN ID 10 DHCP aktiv
WLAN-1 Internes W-LAN
WLAN-1-2 Public W-LAN, wird vom Public Spot Verarbeitet
Dann:
Alle APs müssen VLAN aktiviert haben und es müssen zwei getaggte VLANs eingerichtet sein.
Alle Switches müssen VLANs aktiviert haben und die uplinks müssen getaggt verbunden sein.
Und es bedarf einer Routinginstanz evtl mit Proxy vom Gast-WLAN-VLAN zum Internetzugang.

Viel Glück und wenig Angst
und etwas Theorie dann klappt es auch mit der Hoffnung

Gruß
Netman
aqui
aqui 18.01.2013 aktualisiert um 11:32:57 Uhr
Goto Top
Im Grunde ist das kinderleicht denn du hast ja schon eine gute Infrastruktur mit den managebaren Switches. Die Vorgehnesweise ist einfach:
  • VLANs bzw. VLAN IDs für alle Netze entsprechend auf allen Switches einrichten.
  • Entgeräteports (UNtagged) diesen VLANs zuordnen auf allen Switches
  • Uplinkports, also die Ports wo die Switches untereinander verbunden sind, TAGGED in alle VLANs bringen.
  • Da du alle Gast APs auf einem Switch kumulierst diesen Port auch untagged ins Gast VLAN
  • Alternativ solltest du (sinnvollerweise) APs haben die Multi SSIDs (eSSIDs) supporten dann diese APs natürlich immer TAGGED auf die VLAN Switches. Diese APs kann man dann logischerweise NICHT auf billigen unmanaged Switches kumulieren, da sie einen tagged Port benötigen im Multi SSID Betrieb !
  • VLAN Switches über ihre Uplinks untereinander verbinden, damit sind dann alle VLANs transparent im Netz erreichbar.
  • Ja, am Router MUSS die Tagging (VLAN) Option gesetzt sein wenn der zwischen den VLANs routen soll ! Wenn nicht und er nur das Gastnetz bedient dann natürlich nicht, logo ! Das u.a. Tutorial erklärt das im Detail !
Das wars schon !
Wie bereits gesagt findest du die alle Grundlagen dazu und ein praktisches Beispiel in diesem_Tutorial !
Grundlagen zur VLAN Einrichtung und Technik gibt es HIER.
Generelles zur Gastnetz Einrichtung und Voucher Verteilung HIER
Damit kommt das im Handumdrehen zum Fliegen.
NoHopeNoFear
NoHopeNoFear 24.01.2013 aktualisiert um 12:03:39 Uhr
Goto Top
Hi,

erstmal danke für die Antworten.
Ich habe jetzt mal einen Testaufbau gemacht mit 2 HP 1810-24G, Lancom 1711 als GW und Lancom L-54ag dual als AP.
Komme leider nicht wirklich weiter und bin mir nicht sicher wo der Fehler liegt.

Aufbau schaut so aus:

Switch 1:
Port1 - Lancom AP (Multi SSID, VLAN1 Intern, VLAN10 Public)
Port24 - Uplink zu Switch 2

Switch 2:
Port1 - Lancom Router
Port24 - Uplink zu Switch 2

VLAN 1+10 (10=Public) ist auf beiden Switches angelegt.
Port 1+24 Untagged VLAN1 / Tagged VLAN10 auf beiden Switches
Restliche Ports Untagged VLAN1 / Exluded VLAN10

Der HP Switch sagt mir beim zuweisen eines Tagged Ports dass der Port in einem VLAN untagged sein muss, also habe Ich die Ports für VLAN1 auf untagged gesetzt. Das klappt auch soweit, ich kann von jeden normalen untagged Port im Switch die beiden Lancoms erreichen, das Public WLAN will aber immer noch nicht. Laut Trace am Router komme ich Ohne VLAN an?
(Wobei ich mir da nicht 100% sicher bin da ich den Trace nicht filtern kann, entweder kommt garnix an oder ohne VLAN TAG)

Ideen? :\
MrNetman
MrNetman 24.01.2013 um 11:54:23 Uhr
Goto Top
Hi Hoffnungsloser,

Wenn deine Konfiguration so fehlerhaft ist, wie dein Text hier - kann nichts gehen.
VLAN1 default, genannt, wird häufig für interne Zwecke benutzt und ist deshalb meist und immer erreichbar.
Ich vermute mal, dass deine Switches jeweils mit Port 24 verbunden sind. Auf diesen Ports muss VLAN1 (getaggt oder ungetaggt ist beinahe egal) und VLAN10 sein. Von VLAN24 kann ich nichts sehen.

Die Ports für deinen Router und AP müssen in jedem Fall getaggt sein und VLAN1 und VLAN10 führen. Damit sind sie ja keine Endgeräteports sondern auch uplinks und werden vom Switch entsprechend behandelt.

Und bis jetzt steht nirgendwo ob der AP mit dem VLAN und zwei SSIDs umgehen kann. Und es steht nirgendwo, wie der Router mit der getaggten Zuleitung umgeht und wie er routet.

Und wenn du einen Wireshark Trace ziehst, kannst du davon ausgehen, dass der untaggt ist. Um einen getaggten ziehen zu können bedarf es besonderer Konfiguration auf dem Switch. Ob das die 1800er schaffen ist mir nicht klar. Es gibt ja nur die Weboberfläche und die ist etwas eingeschränkt.

Gruß
Netman
aqui
aqui 24.01.2013 aktualisiert um 12:14:27 Uhr
Goto Top
Der Text ist scheinbar korrigiert aber so generell stimmt es erstmal. VLAN 1 ist bei HP immer untagged auch an tagged Ports. der 802.1q Standard lässt das zu.
Nur zur Sicherheit, richtig ist es so:
Switch 1:
Port 1 = Multi SSID AP = VLAN 1 untagged, VLAN 10 tagged
Port 2 = VLAN 10 Testport = VLAN 10 untagged
Ports 3-23 = Default = VLAN 1 untagged
Port 24 = Switch 2 Uplink = VLAN 1 untagged, VLAN 10 tagged
Switch 1:
Port 1 = Lancom Router mit VLAN Konfig. = VLAN 1 untagged, VLAN 10 tagged
Port 2 = VLAN 10 Testport = VLAN 10 untagged
Ports 3-23 = Default = VLAN 1 untagged
Port 24 = Switch 1 Uplink = VLAN 1 untagged, VLAN 10 tagged

Ein sinnvoller Tip zum Testen:
Setze einen der restlichen Ports auf einem Der Switches oder auf beiden untagged in VLAN 10 !!
So hast du einen Testport und kannst an diesem Einen Laptop oder PC anschliessen, dem du eine gültige IP Adresse aus dem VLAN 10 Sepment gibst !
So hast du die Möglichkeit per Kabel die saubere Connectivity im VLAN 10 zu testen indem du beide Lancoms anpingen kannst und auch einen im WLAN (VLAN 10) angemeldeten Rechner.
Wenn du die alle Pingen kannst kannst du wenigstens ganz sicher sein das deine Switch Infrastruktur richtig konfiguriert ist und dann das problem woanders suchen (Router oder AP Konfig ?!)
Ohne das stocherst du im Trüben also besser strategisch vorgehen zum Troubleshooten !
NoHopeNoFear
NoHopeNoFear 24.01.2013 aktualisiert um 12:12:40 Uhr
Goto Top
@netman
sorry, das VLAN24 ist natürlich VLAN10.
Ja, Verbindung der Switche auf Port 24.

Der AP kann mit VLANs umgehen, hat 2 SSIDS deren Traffic jeweils mit dem zugehörigen VLAN Tag (1 oder 10) beschrieben wird.

Trace habe ich nicht via Wireshark erstellt sondern am Router direkt, Lancom hat dafür eine Funktion, nennt sich Trace und kann verschiedene Module des Routers (hier VLAN Modul) in echtzeit protokollieren. Nur ist es mir dabei nicht möglich eine MAC Adresse zu filtern da mir das Gerät nur Anzeigt dass es auf einer Schnittstelle Daten empfängt, nicht aber von welchem Endgerät.

Der Router hat 2 IP Netze konfiguriert, jedes davon gehört einem VLAN an (also auch wieder 1 oder 10), der LAN Port vom Router ist so konfiguriert dass er beide Netze annehmen sollte. Bei Lancom sind die Bezeichnungen leider vollkommen anders, es wird hier als gemischt, immer und niemals bezeichnet. Was das genau bedeutet ist hier ersichtlich:
http://www2.lancom.de/kb.nsf/1275/BF3A86301C98D1C6C12575C50030D0FD?Open ... (bisschen runterscrollen)

Momentan sind die WLAN Schnittstellen als niemals konfiguriert, die LAN Schnitstellen an beiden Geräten als gemischt. Nach meinem Verständniss sollte das so stimmen.

Das Standard WLAN mit VLAN 1 funktioniert, das andere bekommt aber keine Verbindung zum Router.

@aqui
THX, werde ich machen. Habe momentan leider nicht viel Zeit zum basteln zur Verfügung, gebe aber Rückmeldung sobald ich dran war. Danke schonmal für die Geduld ;)
aqui
aqui 24.01.2013 aktualisiert um 12:20:03 Uhr
Goto Top
Ist nicht "Basteln" sondern Troubleshooten. Sorry, die Zeit solltest du dir aber nehmen mindestens aber die mal das Handbuch zu lesen oder dein VLAN Wissen aufzufrischen !!
Was dachtest du denn das das ala Dummie Microsoft einfach in 3 Sekunden ohne Wissen mit Zusammenstecken funktioniert ?? Dzzzz...
Der Fehler steckt vermutlich in den Endgeräten (Router und AP) mit dem Tagging das ist das was meistens falsch gemacht wird !
Checke also ganz genau das das VLAN das default VLAN ist und an BEIDEN Endgeräten untagged ist ! Analog dazu das VLAN 10 das an den Ports tagged rausgeht.
An der Switchkonfig kann man ja nicht viel falsch machen obwohl man bei den HP Billiggurken sich da auch nicht immer sicher sein kann...
NoHopeNoFear
NoHopeNoFear 24.01.2013 um 12:34:27 Uhr
Goto Top
Ich habe nicht erwartet dass etwas von dem ich nahezu 0 Ahnung habe sofort klappt, keine Sorge.
Andere Geräte als die HPs habe ich nicht zur Verfügung, muss mich also notgedrungen drauf verlassen dass die Teile tun was sie sollen. Bin morgen früh wieder dran, werde dann nochmal Rückmeldung geben obs geklappt hat.
aqui
aqui 24.01.2013 aktualisiert um 17:53:03 Uhr
Goto Top
Auch HPs tun (meist) das was sie sollen, keine Sorge also...
Wir sind dann mal gespannt auf morgen.. face-wink
P.S.: Vielleicht solltest du nochmal in deiner Company nachfragen nach einer anständigen VLAN Schulung für dich ?! Dann muss man nicht immer mit 0 Ahnung zum Kunden und sich da blamieren...
NoHopeNoFear
NoHopeNoFear 25.01.2013 um 10:19:22 Uhr
Goto Top
OK, funktioniert jetzt. Lag tatsächlich an den Endgeräten bzw. am Lancom Router, Denkfehler bei der Konfiguration.
Vielen Dank für die hilfreichen Antworten, das nächste mal sollte es deutlich einfacher von der Hand gehen.

@aqui
wir sind hier nur ein kleiner Betrieb und keine große "company", VLANs z.b. kommen in unserem Tagesgeschäft auf Grund unserer eher kleinen Kunden nicht oft vor. Schulungen werden da also eher für Dinge besucht die alltäglichen Nutzen haben.