VoIP Geräte via DHCP in anderes VLAN - die xxxx-te

Hallo zusammen,

ich bereite mich schon darauf vor, gelyncht zu werden, aber aus div. historischen Gründen bin ich im Bereich Netzwerk einfach.... nicht talentiert. Pure Selbsterkenntnis, aber ich hoffe, es wird schrittweise noch besser.
Und meine Frage wurde hier auch schon sehr oft gestellt - ich habe mir einiges davon angesehen, komme aber nicht weiter. Die Angaben basieren auch u.a. darauf. Also hoffe ich, man kann mich anhand meiner Angaben auf meine(n) Fehler hinweisen. Dass ich selber zu wenig versiert bin, weiß ich.
Also schon einmal DANKE für´s lesen und für etwaige Antworten.

Situation:
Bei meinem aktuellen Arbeitgeber wurde anno dazumals ein /16 Netzwerk eingerichtet. IP Range 10.1.xxx.xxx, VLAN 1
MPLS Netzwerk ist 10.2.xxx.xxx /16
Telefon Netzwerk ist 10.8.xxx.xxx /24.

Wir setzen Mitel IP Telefone ein
Als Switches waren eine bunte Mischung aus Cisco, HP und Netgear im Betrieb.

Bis jetzt konnte ich das schon, mit externer Hilfe, etwas modernisieren (2 neue Cisco C9200L Core-Switches) und auch sonst nur noch Cisco Catalyst (unterschiedliche Versionen mit je neuester FW) als Access-Switches sowie Cisco Wlan Controller+ APs
Ich hoffe, es war eine gute Entscheidung, aber ich habe angemerkt, dass ein "flaches" /16 Netz ohne Segmentierung wenig performant und auch unsicher ist. Die VLANs sind als /24 angedacht, auch wenn es noch kleiner ginge. Vielleicht machen wir das für div. VLANs dann auch so. Obwohl es insgesamt nicht so viele Geräte sind (ca. 300 parallel insgesamt) und wohl wenig Traffic ist.

VLAN1 ist das aktuelle Netz, von dem ich weg will. Vlan6 soll das Default Netz für PCs, Drucker.. sein, die via Patchkabel an den Access Switches angeschlossen werden. VLAN7 ist das WLAN. VLAN8 ist das (schon vorher existente) Netz für die TK und VoIP Geräte. Seit der Umstellung klappt die DHCP Adressierung an die TK (10.8.0.10) nicht mehr

interface Vlan1
 ip address 10.1.0.253 255.255.0.0
!
....
!
interface Vlan6
 description LAN-Clients
 ip address 10.101.10.253 255.255.255.0
 ip helper-address 10.1.30.84
 no ip route-cache
!
interface Vlan7
 description WLAN-Clients
 ip address 10.101.11.253 255.255.255.0
 ip helper-address 10.1.30.84
 no ip route-cache
!
interface Vlan8
 description Voice
 ip address 10.8.0.253 255.255.255.0
 ip helper-address 10.8.0.10
!

Das VLAN für "WLAN" ist schon eingerichtet und passt ganz gut. Alle bekommen eine 10.101.11.xxx IP
Die VoIP Telefone (vom Typ Mitel IP) waren vorher schon im VLAN 8 und sollen es auch weiterhin sein. Nur halt automatisch zugewiesen und (das geht hoffentlich) ohne dass man das VLAN fix am Telefon vorgibt.

Meine Idee (was ja Standardkonfig wäre) ist, dass das Telefon, das am normalen Access Port normal eine IP aus VLAN 6 bekommen würde, dort vom DHCP dann als VoIP Gerät identifiziert wird und nochmal neu im VLAN8 zugewiesen wird. Ein Gerät, das am Switch des Telefons angeschlossen wird (PC, NB), soll dann VLAN 6 bekommen.
Bei meinem vorherigen Arbeitgeber (HP Procurve Switches und Alcatel Telefone) konnte ich das via der "vendor specific ID" anhand einer Anleitung problemlos konfigurieren

Aktuell ist ip helper 10.8.0.10 (der bisher DHCP für Vlan 8 war) eintragen. Den Eintrag auf 10.1.30.84 (Windows-DHCP) zu ändern löst das Problem auch nicht.
Ein Telefon am Port mit VLAN1 bekommt eine 10.1.10.xxx IP und am Port mit VLAN6 eine 10.101.10.xxx

Beispielkonfig des Ports meines IP Telefons (MiVoice 5370 IP):

interface GigabitEthernet1/0/39
 description cisco-phone
 switchport access vlan 6
 switchport mode access
 switchport voice vlan 8
 srr-queue bandwidth share 1 30 35 5
 priority-queue out
 mls qos trust device cisco-phone
 mls qos trust cos
 macro description cisco-phone
 auto qos voip cisco-phone
 spanning-tree portfast edge
 spanning-tree bpduguard enable
 service-policy input AUTOQOS-SRND4-CISCOPHONE-POLICY
end

Muss der Port ein Trunk sein?

Mitel Geräte sollten solcherlei Zuweisungen können, wie ich gelesen habe. (zb. https://www.inflowcomm.com/2019/12/how-to-configure-dhcp-for-mitel-ip-ph ... )
Aber manche mit DHCP Option 043 , andere mit DHCP Option 156...
Ich habe schon quer probiert, aber bisher leider kein Erfolg
Schön wäre es, wenn ich die Optionen für PXE (066, 067) nicht bräuchte. Hier würde ich gerne die "Ultimate Deployment Appliance" (https://github.com/very-undude/ultimatedeployment) als PXE Server fürs booten von ISOs (Windows, Live-Linux, ...) verwenden. Wenn beides nicht geht, dann halt ohne Appliance.

Bei den Access Switches sehe ich "lldp run" in der Ausgabe von "show run"
Nicht aber bei den Core Switches. Fehlt das? Kann ich es gefahrlos aktivieren?
Oder brauche ich noch was zusätzliches (lldp med) ?

Ich bin jetzt daheim und im Urlaub, also werde ich ggf. nicht gleich alles gleich umsetzen oder prüfen können.
Diese initialen Angaben werde ich u.U. noch anpassen

Aber ich Danke für konstruktive Rückmeldungen

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 893194821

Url: https://administrator.de/contentid/893194821

Ausgedruckt am: 22.11.2024 um 04:11 Uhr

11 Kommentare

Neuester Kommentar

Also entweder gibst du das vlan8 untagged aus den Ports der Switche raus und steckst dort die Telefone an oder……

VLAN8 tagged und an jedem Telefon dann fix das VLAN 8 einrichten.

HIlf mir bitte kurz weiter - wo steht das vlan8 untagged? Im Interface steht aus meiner Sicht nur "switchport voice vlan 8" und "mode access"

Wie könnte es richtig sein?
Ich möchte idealerweise nur "tagged" und das Telefon nicht fix auf VLAN 8 einrichten (wenn es geht - das hätte ich zumindest so verstanden).

Ich weiß nicht, ob wir das selbe Verständnis vom VLAN haben.

Entweder gibt mal ein VLAN untagged raus und beim Client muss ich keine Angaben machen, da das Netzwerk direkt am Port ohne Markierung rausgegeben wird.

Wenn man aber ein VLAN getagged aus dem Port gibt, muss man natürlich beim Telefon oder dem Client die VLAN ID angeben.

Meist ist die Konstellation so, dass am Telefon noch ein PC mit angeschlossen ist. Das Netzwerk für den Rechner ist untagged am Port, so dass der PC auch ohne Telefon angeschlossen werden kann. Das VOIP-Netz ist ein tagged VLAN und im Telefon wird die richtige VLAN ID angegeben.

Da die meisten Telefone schon einen Gigabit-Switch onboard haben, hat sich diese Variante etabliert, zumindest in den Betrieben die ich so kenne.

Nicht das wir aneinander vorbei schreiben, hier mal als Lesestoff ein Tutorial von aqui, das hat mir Licht ins Dunkel gebracht.

VLAN Tutorial von aqui

Es gibt aber auch Systemlösungen, welche das übernehmen, ich kenne aber nur die von bintec.
Bintec Auto VLAN ID

Dort muss dann aber auf jeden Fall ein Trunkport mit den erforderlichen Netzen konfiguriert werden. Ein Netz muss zwingen untagged sein, und zwar das, was dem Telefon die Config mitteilt.

aber aus div. historischen Gründen bin ich

Historisch ?? Das klingt irgendwei spannend...aber egal !

dass ein "flaches" /16 Netz ohne Segmentierung wenig performant und auch unsicher ist.

Wissen auch untalentierter Netzwerker schon seit historischen Jahrzehnten.

Die goldenen Regel besagt das L2 Brodcast Domains nie mehr als 150 Clients (plus/minus) haben sollten.
Ein Firmen Voice Netz muss man allein schon aus legalen Gründen in ein separates L2 Segment legen. Das sollte also immer abgetrennt vom Produktivnetz betrieben werden. Dort kann man wegen des geringen Traffics auch mehr als die klassischen 150 Devices betreiben. Mehr als ingesamt 300 Voice Clients sollten es aber niemals sein.

dort vom DHCP dann als VoIP Gerät identifiziert wird

Das kann DHCP nicht und wäre auch völlig unüblich.
In der regel wird das Voice VLAN den telefonen IMMER per CDP (Cisco Discovery Protokoll) oder LLDP mitgegeben ! Heutzutage nimmt man LLDP das das standartisiert ist. CDP ist Cisco proprietär wird aber dennoch von den meisten VoIP Endgeräten auch supportet.
Auf deinen Catalysten sähe das dann z.B. so aus:
!
network-policy profile 20
voice vlan 8 cos 4
!
lldp run
!
interface GigabitEthernet1/0/1
switchport mode access
network-policy 20
no power efficient-ethernet
mls qos trust dscp
spanning-tree portfast
!
Fertisch !
Das setzt das Telefon per LLDP automatisch ins VLAN 8 und priorisiert den Voice Traffic auch gleich im Layer 3 mit DSCP cos 4 (CS4, dez.32).
Einfacher gehts nicht.

@Chris579
Danke für die Antworten

Ich kenne es als untagged --> es gibt ein (!) Vlan, das "dummen" Clients vergeben wird. Wird ein "intelligenter" Client angesteckt, kann dieser ein Vlan "verlangen". Sofern dieses Tagged ist, was mehrere sein können.
Also 1x untagged und mehrere tagged möglich
Bei Cisco (soweit ich weiß) ist access mind 1 untagged und ein trunk sind alle nur getagged.
Bei HP war das (für mich) einfacher, da es da kein access oder trunk gab

@aqui
Auch dir Danke für die Antwort. Mal wieder

"Historische Gründe" --> hat mit mir persönlich und dem Werdegang zutun... naja, ich hätte gern mehr erreicht, es wurden ständig Steine in den Weg gelegt und vieles ist nicht mehr so leicht möglich. Nicht nur, weil "was Hänschen nicht lernt.." sondern auch rein zeitlich
Ich lese nach, was ich brauche, aber das reine Handwerk werde ich nicht mehr so tief erlernen.

Und ja - der Anreiz zur Segmentierung kam von mir. Meine 3-4 Vorgänger haben das wohl nie so gesehen...

/25 Netze kann ich bei den meisten VLANs sicher schneiden, aber für LAN und WLAN Clients (VLAN 6 und 7) werde ich bei /24 bleiben.

Mit "vom DHCP dann als VoIP Gerät identifiziert" meinte ich anhand der DHCP Options oder der Vendor Specific ID oder MAC, dass es es kategorisiert. Ist wohl missverständlich geschrieben - natürlich "erkennt" der DHCP nicht, dass es ein Telefon ist, aber anhand div. Regeln würde er es halt ins Voice VLAN schieben. So hatte ich gedacht.

Ob es bei uns in AT gesetzlich nötig ist, Voice und Data zu trennen, weiß ich jetzt nicht, aber ich habe es ja definitiv vor

Die Konfig werde ich dann asap auf einem Access Switch (so nennt man ja die, wo die Endgeräte angeschlossen sind?) testen.

AABER... Frage!
das "lldp run" brauche ich also nicht auch am Core Switch?

Update:
Ich habe das am Port meines Telefons mal ausprobiert.

"lldp run"
hatte der Switch schon

"network-policy profile 20" und
"voice vlan 8 cos 4"
hab ich ihm gesetzt

dann mein Interface 39 mit "default" zurückgesetzt

Bei
switchport mode access
passiert gar nichts - es ist nicht mehr erreichbar

Bei
switchport access vlan 6

kommt es wieder ins VLAN 6, so wie es bis vor grad eben war.

das "lldp run" brauche ich also nicht auch am Core Switch?

Du brauchst es durchgängig auf ALLEN Switches !! Mit show lldp neig kannst du sehen ob es rennt.
Dazu solltest du dann immer CDP deaktivieren mit no cdp run !
Auch auf allen Switches. Man sollte immer nur ein EINZIGES Infrastruktur Discovery Protokoll laufen lassen und am sinnigsten ist LLDP weil es eben Standard ist !
Damit bringst du deinen Telefonen dann auch kinderleicht ihr Voice VLAN und die Priorisierung bei !

Du musst den Port natürlich noch mit network-policy 20 das Profil zuweisen. Andernfalls rennt LLDP ins Leere.

Alles in allem wird die Lösung mit LLDP bzw. LLDP-MED hier sehr gut erklärt.
https://docplayer.org/923197-Lldp-lldp-med-management-von-voip-infrastru ...
LLDP sollte man als standardtisierte Lösung immer irgendwelchen Frickeleien vorziehen.

Wir lösen das per Herstellerklassenerkennung (5300ip Telefon meldet sich z.B. als Aamadeus IP Phone) und weisen dem Telefon dann per DHCP Offer sein VLAN zu, klappt seit Jahren recht gut. Nachteil: Für jedes neue Telefon 6800/6900 etc. brauchts ne neue Klasse.

Zitat von @gilligan:

Wir lösen das per Herstellerklassenerkennung (5300ip Telefon meldet sich z.B. als Aamadeus IP Phone) und weisen dem Telefon dann per DHCP Offer sein VLAN zu, klappt seit Jahren recht gut. Nachteil: Für jedes neue Telefon 6800/6900 etc. brauchts ne neue Klasse.

Danke für den Kommentar.
Genau so hatte ich es bei meiner vorherigen Firma (Alcatel Lucent IP Phones, HP Procurve Switches, Windows Server DHCP)
Und genau so hätte ich es mir hier auch gewünscht und hatte gehofft, das eingangs auch so beschrieben zu haben. Vermutlich falsche Begriffe.

Leider klappt es mit keiner Variante. Auch die oben beschriebene Konfig von aqui (mit LLDP) ändert bei mir nichts am ursprünglichen Ergebnis.
Also ist noch irgendwo der Hund drin und ich weiß nicht, wo

Laut Beschreibung sollte es via DHCP (ohne LLDP) möglich sein:

Configuring Automatic VLAN Assignment Using DHCP During
IP Phone Standard Boot Process
1. As the IP Phone powers up, a DHCP request is sent to the data network on the default, untagged
VLAN.
2. The DHCP Server is on the same VLAN as the phone and replies back with the Option 156
information configured on the untagged Data VLAN DHCP Scope redirecting to the Voice VLAN ID
20.
3. Upon receipt of this information, the IP phone immediately resets and releases its Data VLAN IP
address. The IP phone display briefly shows "Redirecting Network".
4. The IP Phone sends a second DHCP request but this time to the Voice VLAN 20 DHCP Scope.
5. The L3 data switch receives this request on the Voice VLAN and forwards it, via the "IP helper
address" 10.10.10.10 to the DHCP server and the Data VLAN.
6. The DHCP server replies to the IP phone with a new IP address from the Voice VLAN DHCP
Scope Address Pool as well as its Option 156 network settings and other scope options.
7. The IP Phone via FTP downloads its configuration file, upgrades the Boot Image, if needed, as
well as other required files and finally reboots.
8. The Phone registers successfully and is ready for service

Hallo zusammen,

mit Hilfe von Mitel konnte ich das nun so einrichten wie gewünscht (ohne LLDP oder weitere Switch-seitige Konfig und rein nur via DHCP).

SwitchPort:

switchport access vlan 6
switchport trunk native vlan 6
switchport mode access
switchport voice vlan 8
auto qos voip cisco-phone
spanning-tree portfast edge

DHCP

- Es musste eine Vendor Class definiert werden. ASCII = "Aamadeus IP Phone"
Pre-Defined Options:
Code 03 | Name = PBX_ADDRESS | Value = IP der TK
Code 08 | Name = VLAN_ID | Value = (Array!) 0 + 8
Code 07 | Name = VLAN_PRIO | Value = 0x5

Entscheidend war hier wohl 08, da man es als Array eintragen muss. In meinem Fall muss der zweite, untere Wert dann die 8 sein

Dieses Telefon scheint das wohl anders zu brauchen

Auf die Weise muss NICHTS am Telefon konfiguriert werden und auch läuft die Konfig über DHCP, wo ohnehin mehr konfiguriert ist und gesichert wird.

Die Optionen für PXE Server scheinen auch zu funzen.