kostas
Goto Top

Zwei Netze verbinden, Netzt A darf Netz B sehen jedoch nicht umherkehrt

Hallo Zusammen,

sorry für den undeutlichen Betreff.

Die Frage vorab: Ist es Möglich zwei Netze zu verbinden, wobei vom einen Netzt die Client vom anderen Netzt sehen darf jedoch nicht umgekehrt.

In dem Netz 10.200.10.* sind die Client.
Im Netzt 10.200.20.* sollen VoIP Telefone sein.

Das Problem ist, Im Büro sind zu wenig Cat Dosen. Ich muss also mit Desktop Switch arbeiten. Der Reck-Switch ist ein managed Layer 3 mit QoS.
Der Desktop Switch ist ein POE unmanaged mit QoS.
Ich habe also eine Dose die zum Rack-Switch geht und muss 2 PCs und 2 VoIP Telefone über den Desktop Switch betreiben.


Am Layer 3 Rack-Switch könnten V-LANs angelegt werden.
Wie müsste der Rack-Switch konfiguriert werden so dass beide Netze 10.200.10.* und 10.200.20.* über einen LAN-Port erreichbar sind und dabei das VoIP Netz 10.200.20.* NICHT das PC Netz 10.200.10.* sehen kann? Alternativ könnte ich auch damit leben wenn sich beide Netzt nicht sehen können.

Am Server ist für beide Netze jeweils DHCP Range eingerichtet. Über die Mac-Adresse werden die ClientPCs reserviert.

Dankeschön für die Unterstützung.

Content-Key: 503507

Url: https://administrator.de/contentid/503507

Printed on: February 6, 2023 at 16:02 o'clock

Member: falscher-sperrstatus
falscher-sperrstatus Oct 11, 2019 at 18:28:35 (UTC)
Goto Top
Hallo,

ist machbar und soweit kein größeres Problem, brauchst du dabei unterstützung?

VG
Member: em-pie
em-pie Oct 11, 2019 updated at 20:30:45 (UTC)
Goto Top
Moin
Zitat von @falscher-sperrstatus:

Hallo,

ist machbar und soweit kein größeres Problem, brauchst du dabei unterstützung?

VG
Bist du dir sicher, Christian?

IMHO bricht das Konstrukt am Desktop-Switch, denn hier arbeitet er wieder auf einer Broadcastdomain. Der Desktop-Switch hat keinen Plan von VLANs, sodass die Trennung erst auf Layer 3 stattfinden kann. Die Ethernet-Frames wären also weiterhin untereinander ersichtlich!?

Wenn ich einen Punkt übersehen habe, lasse ich mich natürlich gerne mit neuem Wissen betanken face-smile

Gruß
em-pie
Member: falscher-sperrstatus
falscher-sperrstatus Oct 11, 2019 updated at 20:18:04 (UTC)
Goto Top
Die Frage vorab: Ist es Möglich zwei Netze zu verbinden, wobei vom einen Netzt die Client vom anderen Netzt sehen darf jedoch nicht umgekehrt.

Ist machbar.

Der Desktop Switch wird das aber nicht machen, da hast du ganz Recht, denn das ist auch nicht sein Job. Ich kann mit dem Hammer auch schlecht Schrauben lösen (Ergänzung: Standard-Use-Case), das macht das Schrauben lösen aber nicht unmöglich (Ergänzung: Schrauben i.O etc)

VG
Member: the-buccaneer
the-buccaneer Oct 11, 2019 at 20:55:24 (UTC)
Goto Top
Ich hätte jetzt ja geagt: Klar, wenn der Desktop-Switch VLAN-fähig ist. face-wink
VG
Buc
Mitglied: 141468
141468 Oct 11, 2019 at 20:56:00 (UTC)
Goto Top
Hi


Einfach ne PfSense, die Lösung auf alles aufstellen, am besten (Wenn du das Vlan Gedöns nicht willst) mit 3 Netzwerkadaptern, 1 extern, 2 intern wobei jeder ein eigenes Netz darstellt, Bei PfSense regeln dann Netz A alles zugreifen lassen und entsprechend NAT regeln machen und bei netzt b alles außer Netzt A zugreifen lassen (realisiert über das "nicht" Häkchen in PfSense),
wieder entsprechendes NAT und ferfig..
Member: the-buccaneer
the-buccaneer Oct 11, 2019 at 20:57:14 (UTC)
Goto Top
und wie macht er das dann am Arbeitsplatz mit einer Netzwerkbuchse? (So habe ich das verstanden?)
VG
Buc
Mitglied: 141468
141468 Oct 11, 2019 updated at 21:01:49 (UTC)
Goto Top
Sorry .. muss mich korrigieren... Hatte nicht zuende gelesen. Es wäre mit zwei Kleinen 30 Euro Switch von tp-link realisierbar. 2 von denen Kaufen und auf der anderen Seite mit vlans auseinander-dröslen, also wie ein virtuelles Side-to-Side patchpanel....

VG
Member: em-pie
em-pie Oct 11, 2019 at 21:13:31 (UTC)
Goto Top
Welch Geld- und Energieverschwendung
Da er im „Backend“ schon einen Layer3 Schwitch hat, muss er am Desktop nur noch einen managed L2 kaufen. Zur Not einen NetGear GS105E....

Der hat 5 Ports: 1x incoming, 4x outgoing
Mitglied: 141468
141468 Oct 11, 2019 updated at 21:24:24 (UTC)
Goto Top
Hi

Oder so ­čÖé


Den hier würde ich empfehlen. Habe viele von denen im Einsatz. Brauchen sogar weniger Strom als die normalen....


https://www.tp-link.com/de/business-networking/easy-smart-switch/tl-sg10 ...

https://www.amazon.de/TP-Link-TL-SG108E-Gigabit-l%C3%BCfterloses-Passivk ...



VG
Member: the-buccaneer
the-buccaneer Oct 11, 2019 at 23:41:03 (UTC)
Goto Top
Also ich hab mit TP-Link so meine Bedenken. Bessere Erfahrungen habe ich mit den Netgear-Produkten. Aber das ist subjektiv.
Die Netgears mit VLAN können jedenfalls sauber trennen, wenn man die Konfig erstmal erarbeitet hat. face-wink

Jetzt wäre aber mal der TO gefragt, Infos gibbet ja nun.

Buc
Member: Kostas
Kostas Oct 12, 2019 at 08:03:17 (UTC)
Goto Top
Oh, jede Menge Antworten. Dankeschön dafür.

Mal sehen ob ich das richtig verstanden habe:
Am Rack-Switch verbinde ich die Netze 10.200.10.* und 10.200.20.* über VLAN. Somit können sich beide Netze sehen.
Ich besorge mir den tp-link Desktop-Switch und trenne Portbasiert das Netz 10.200.10.* auf Port 1-4 und das Netz 10.200.20.* auf Port 5-8.

Stimmt das so in etwa?
Member: aqui
Solution aqui Oct 12, 2019 updated at 09:36:17 (UTC)
Goto Top
Ist es Möglich zwei Netze zu verbinden, wobei vom einen Netzt die Client vom anderen Netzt sehen darf jedoch nicht umgekehrt.
Ja, das ist einfach machbar mit einem (NAT, Adress Translation) Router der idealerweise noch eine Firewall an Bord hat. Oder eben eine dedizierte kleine_Firewall.
Dieses Tutorial erklärt die Grundlagen zu dem einfachen Thema:
https://administrator.de/wissen/routing-2-ip-netzen-windows-linux-router ...

Am Rack-Switch verbinde ich die Netze 10.200.10.* und 10.200.20.* über VLAN. Somit können sich beide Netze sehen.
Das geht nur wenn du mindestens mit einem 24 Bit Prefix (Subnetzmaske) arbeitest hier. Leider hast du uns das in deiner Beschreibung unterschlagen. face-sad
Halte dich an das o.a. Routing Tutorial, da steht alles was du wissen musst zu dem Thema.
Member: Kostas
Kostas Oct 13, 2019 at 19:03:02 (UTC)
Goto Top
Vielen Dank, die Anleitung ist sehr Hilfreich gewesen.
Member: the-buccaneer
the-buccaneer Oct 14, 2019 at 00:17:45 (UTC)
Goto Top
Jetzt gib aber nochmal "Butter bei die Fische". face-wink

Wie hast du das konkret gelöst? Hinter deinen "Rack-Switch" einen Router gesetzt, der die beiden VLAN's sauber trennt?
Wohl kaum jeweils hinter den Buchsen, die Telefon und Netzwerk machen sollen.

Ich bin mir ziemlich sicher, dass ich einen managed Switch so konfiguriert habe, das VLAN1 zwar VLAN2 sieht, aber nicht umgekehrt.
Ich schau mir das aber nach diesem Thread nochmal an. Shit happes. face-wink

Buc
Member: Kostas
Kostas Oct 16, 2019 at 04:31:05 (UTC)
Goto Top
Hi Buc,

ich habe es noch nicht ausprobiert da der managed Laver 2 Desktop Switch noch nicht da ist. Verstanden habe ich es so: Der RackSwitch verbindet über VLAN beide Netze 10.200.10.* und 10.200.20.*. auf Port 2. Port2 wird verbunden mit einer Buchse. Hinter der Buchse ist der managed Laver2 Switch der die Netzt 10.200.10.* auf Port 1 und 10.200.20.* auf Port 2 splittet.

Ich muss die beiden Netzt getrennt behandeln da der Server für jedes Netzt ein DHCP range hat. Wenn sich beide Netzt sehen würden, würde der DHCP Server irgend eine IP vergeben. Zusätzlich habe ich eine Reservierung auf Mac gesetzt.
Member: aqui
aqui Oct 16, 2019 updated at 08:43:52 (UTC)
Goto Top
VLANs sind IMMER 2 völlig getrennte Layer 2 Collision Domains, sprich 2 physisch völlig getrennte Netze die sich NICHT und niemals sehen können. Klar weil sie eben völlig getrennt sind.
Daran ändert auch ein Router oder Layer 3 (Routing) Switch in Bezug auf DHCP nichts.
DHCP ist bekanntlich eine reine Layer 2 Technik die auf UDP Broadcasts basiert.
https://de.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol
Jeder Netzwerker lernt in der Netzwerk Grundschule, erste Klasse, das UDP Broadcasts NICHT über Router Grenzen hinauskommen. Sie bleiben also immer in ihrer Layer 2 Domain, sprich ihrem VLAN.
Der Rest ist simple Layer 2 VLAN Standard Infrastruktur:
https://www.administrator.de/frage/heimnetzwerk-aufbauen-longshine-lcs-g ...
Mit anderen Worten:
  • Ja, die Netze bleiben so getrennt
  • Ja, jeder DHCP Bereich bleibt auch weiter getrennt.
  • Ob du Mac Reservierungen machst oder nicht ist dem VLAN bzw. der Trennung völlig Wumpe. Das ist rein DHCP intern und hat mit der Netzwerk Infrastruktur an sich nicht das Geringste zu tun.
Fazit: Du machst alles richtig !
Member: Kostas
Kostas Oct 16, 2019 at 09:21:11 (UTC)
Goto Top
Hi aqui,

sobald ich den Desktop Switch habe werde ich es gleich ausprobieren. Ich hatte die Anforderung bis jetzt noch nicht.

Dankeschön.
Member: aqui
aqui Oct 16, 2019 updated at 11:15:23 (UTC)
Goto Top
Sind eigentlich simpleste VLAN Grundlagen die jeder Admin kennt. face-wink
OK, dann sind wir mal gespannt auf dein abschliessendes Feedback nach der Umsetzung...!