22.06.2017

9873

Zwei Subnetze mit je eigenem Router und Internetzugang verbinden

Hallo zusammen,

irgendwie stehe ich gerade voll auf dem Schlauch...

Ich habe:
- Netz0 mit eigenem Router (Cisco RV082) und Fileserver ("Server0"). Subnetz 192.168.0.0/24
- Netz1 mit eigenem Router (Cisco RV320) und Fileserver ("Server1"). Subnetz 192.168.1.0/24

Es handelt sich quasi um zwei nebeneinanderliegende Gebäude und jedes Gebäude hat einen eigenen DSL Anschluss.

Nun sollen aber die Leute auf den jeweils anderen Fileserver zugreifen können. Also ins Internet soll jeder über seine eigene Leitung gehen, nur es muss die Möglichkeit bestehen, auf den Fileserver (also auf das jeweils andere Subnetz) zuzugreifen.
Nun dachte ich, einfach ein CAT6 Kabel zwischen beiden Gebäuden legen und gut. Aber wie/wo schließe ich das dann an? Einfach in die Switches stecken und Routen definieren?

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 341342

Url: https://administrator.de/forum/zwei-subnetze-mit-je-eigenem-router-und-internetzugang-verbinden-341342.html

Ausgedruckt am: 26.12.2024 um 06:12 Uhr

41 Kommentare

Neuester Kommentar

Moin,

Zitat von @hannsgmaulwurf:
Aber wie/wo schließe ich das dann an? Einfach in die Switches stecken und Routen definieren?

Jup und entsprechend konfigurieren. Oder an den Routern auflegen. Allerdings nimmst du lieber LWL-Kabel - von wegen und elektrischer Sicherheit und so

Gruß

Hallo,

die einfachste Lösung wäre ein VPN zwischen den beiden Routern....aber das willst du ja wohl nicht....

Das legen eines Kupferkabel zwischen 2 Gebäuden ist eine ganz schlechte Idee => Potentialausgleich....

Wenn überhaupt dann mit einem Glasfaserkabel.

Deine beiden Router können das dann ja... Lege das Netz (Transfernetz) zwischen den beiden Router an und route damit zwischen den Netzen

@aqui
kannst du für sowas nicht bei Gelegenheit mal ein Tutorial schreiben.... die Frage kommt ja hier in letzter Zeit häufig vor ....

brammer

Hallo und danke für die schnellen Antworten.
Ob Kupfer oder Glas ist jetzt nebensächlich, mir gehts um das wie. Also einfach das Kabel auf beiden Seiten in den Switch stecken und Routen setzten:

Also auf...
...Router in Netz0: 192.168.1.0/24 --> GW 192.168.1.1
...Router in Netz1: 192.168.0.0/24 --> GW 192.168.0.1

Mehr nicht?

Hallo,

mehr nicht.....

brammer

OK, hab ich mir komplizierter vorgestellt. Werde ich mal probieren.

Interessehalber: Wie würde das mit der VPN Verbindung funktionieren?

Zitat von @hannsgmaulwurf:
Interessehalber: Wie würde das mit der VPN Verbindung funktionieren?

genau so, nur dass das "Kabel" als Software realisiert wird.

Hallo,

auf beiden Routern das VPN einrichten ....

RV082

RV320

Grundlagen dazu

brammer

Achso also VPN via Internet einmal um die ganze Welt und zurück ins Nachbargebäude.... Ne das ist ja Quatsch, dachte ihr meint ein VPN mit Hilfe des dazwischen liegenden Kabels...

Einfach mal die Suchfunktion benutzen.....
Kleinen Mikrotik Router oder anderen NICHT NAT Router nehmen und beide Netze miteinander verbinden sofern sie direkt erreichbar sind per Kupfer oder Glasfaser !
Zweite Netzwerkkarte in einem der Server geht auch und ist noch preiswerter.
Hier steht wie es im Handumdrehen erledigt ist:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router

Einfach in die Switches stecken und Routen definieren?

Das ginge auch aber dazu muss mindestens einer der Switches zwingend ein Layer 3 (Routing fähiger) Switch sein, sonst geht es nicht.
Da du dazu keinerlei Angabe machst können wir leider nur im freien Fall raten

Hallo aqui,

bei den Switches handelt es sich auf beiden Seiten um Netgear Prosafes. Beides GS724T, ein älterer und eine neuere Version (v3). Lt. Datasheet können die Layer 3.

Ich habe das so probiert, also wirklich nur das Kabel in beide Switches und in den Cisco Routern unter Static Routing
192.168.0.0 - 255.255.255.0 - 192.168.0.1 (auf Router in Netz1)
und
192.1688.1.0 - 255.255.255.0 - 192.168.1.1 (auf Router in Netz0)
eingetragen.

Hat nicht geklappt. Komisch war auch, dass wenn man auf VIEW klickt, diese Routen gar nicht aufgelistet werden ob wohl ich alles gespeichert habe und sie in der Konfig-Oberfläche drin stehen.

Habe ich noch einen Denkfehler?

Bin jetzt nicht mehr vor Ort aber morgen wieder - vielleicht hat bis dahin ja noch jemand eine Idee.

Vielen Dank.

Hi,

Also zum groben ablauf:
Du musst, wenn du beide Router verbindest, auf jeder Seite ein weiteres Subnetz aufspannen, aber auf beiden Seiten das selbe Netz. Router A erhält dann z.B. die 192.168.3.1/30, Router B die 192.168.3.2/30

Auf dem Router A musst du dann die folgende Route setzen
192.168.1.0/24 -> 192.168.3.2

Auf Router B:
192.168.0.0/24 -> 192.168.3.1

Du musst ja als GW die IP des anderen Routers eintragen, welcher dann den Rest macht...

Gruß
em-pie

Ahhh verstehe, klingt logisch.
Ich glaub so hab ich schonmal ein VPN zwischen zwei Standorten gebaut, ist ja im Prinzip das gleiche, oder?
Werde ich gleich morgen mal probieren, vielen Dank!!

Hat nicht geklappt.

Kein Wunder ! Das ist technisch gesehen völliger Blödsinn und Diletantismus pur was du da gemacht hast, sorry.... Der L3 Switch kann doch ohne entsprechende L3 Konfig gar nicht routen zwischen den beiden Netzen. Das leuchtet einem doch auch als Laie nur mit dem gesunden Menschenverstand ein.
Du musst auf einem der Switches, egal welchen wenn beide L3 können, ein zweites VLAN z.B. mit der ID 2 einrichten und einen untagged Port diesem VLAN zuweisen. (Den mit der neueren Version solltest du dafür preferieren)
In diesen Port im neuen VLAN 2 steckst du das Netzwerk der jeweils anderen Seite.
Dann konfigurierst du in das Default VLAN 1 dieses Switches eine Switch IP Adresse (hier im Beispiel die .254) und auch in das neue, zweite VLAN 2 eine aus dem anderen Netz (sinnvollerweise auch die .254 um das optisch übersichtlich zu haben.
Erst damit ist der L3 Switch in der Lage sauber zu routen zwischen diesen beiden IP Netzen !
Dann die statischen Routen in jeweils den beiden Internet Routern konfigurieren und fertig ist der Lack.
Macht der IT Azubi in 10 Minuten...und so sähe das strukturell aus Layer 3 Sicht aus:

Der Switch von Netzwerk 1 ist jetzt aus Übersichtsgründen mal weggelassen. Der rennt einfach im L2 Modus weiter im VLAN 1.
Die Lösung ist kinderleicht und ja nun kein Hexenwerk.
Traceroute (tracert) und Ping sind wieder deine besten Freunde hier um das auf Funktion zu prüfen.

Das nenne ich mal eine perfekte Forumsantwort

Vielen Dank aqui, werde das bei nächster Gelegenheit ausprobieren (heute schaffe ich es wohl nicht mehr). TOP!!!

Eine Sache ist mir noch eingefallen: Kann ich das Kabel welches aus Netz0 kommt nicht einfach in den zweiten WAN Eingang des Routers in Netz1 stecken und ihm eine statische IP aus Netz0 zuweisen?

aqui Du schreibst dass auf EINEM Switch VLAN2 eingerichtet werden soll aber "in diesen Port im neuen VLAN 2 steckst du das Netzwerk der jeweils anderen Seite."?

Und kann ich das mit den VLANs nicht auch auf den Routern einstellen? Die haben ja auch eigene LAN Ports (an einem von denen hängt ja jeweils der Switch).

Und bei der Lösung von em-pie mit dem weiteren Subnetz, muss dann nicht auch ein zweites VLAN eingerichtet werden oder wie/wo soll dann das Verbindungskabel ran?

aus Netz0 kommt nicht einfach in den zweiten WAN Eingang des Routers in Netz1 stecken

Denk mal selber etwas nach !!!
Nein, das geht deshalb nicht weil am WAN Port einmal die Firewall aktiv ist und zweitens auch noch NAT (Network Adress Translation) gemacht wird.
NAT setzt die lokalen IP Adressen auf die öffentliche Internet IP um.
Beide Prozesse am WAN Port verhindern das zwischen den beiden IP Netzen geroutet werden kann.
Theoretisch gäbe es diese Option aber dann müsstes du in der Router Konfig die Firewall und auch das NAT im Router Setup an diesem WAN Port deaktivieren können. Dann wäre transparentes Routing wie oben möglich und das würde dann klappen.
M.E. lässt der Cisco RV das in seiner Konfig aber als Option nicht zu. Müsstest du im Handbuch ggf. checken.

dass auf EINEM Switch VLAN2 eingerichtet werden soll aber "in diesen Port im neuen VLAN 2 steckst du das Netzwerk der jeweils anderen Seite."?

Ja, das ist so richtig !
Dieses 2te VLAN ist das Netz der anderen Seite so das der L3 Switch dann zwischen diesen beiden Netzen routen kann.

Und kann ich das mit den VLANs nicht auch auf den Routern einstellen?

Ja klar, du hast Recht, das würde auch gehen wenn deine RVs VLAN Tagging supporten.
Das ginge auch. Das hiesige VLAN Tutorial beschreibt sogar genau diese Option:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Die Switchlösung ist aber etwas besser aus technischer Sicht, da performanter. Beides ist aber machbar.

em-pie mit dem weiteren Subnetz, muss dann nicht auch ein zweites VLAN eingerichtet werden

Ja, denn wie solltest du sonst ein vollkommen getrenntes weiteres IP Netz bekommen ???
Das geht ja nun mal nur mit VLANs !! Oder...einem separaten Router.
Wenn du das alles umgehen willst, ohne Konfig, dann beschaffst du dir einen kleinen 40 Euro Mikrotik Router:
http://varia-store.com/Wireless-Systeme/MikroTik-RouterBoard/MikroTik-R ...
steckst jeweils von jedem Switch aus Netz 0 und Netz 1 eine Strippe in den Router, vergibst die IPs auf dem Router und gut iss.
Noch einfacher ist eine 5 Euro Netzwerkkarte in einen der Server zu stecken.
Das hiesige Routing Tutorial beschreibt ganz genau deine Anforderung in allen Details ! Wie immer: Lesen und verstehen !!
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
Es gibt viele Wege nach Rom...

Deinen Anforderung ist wie gesagt ne Lachnummer und in 10 Minuten erledigt.

Zitat von @aqui:
Wenn du das alles umgehen willst, ohne Konfig, dann beschaffst du dir einen kleinen 40 Euro Mikrotik Router:
http://varia-store.com/Wireless-Systeme/MikroTik-RouterBoard/MikroTik-R ...
steckst jeweils von jedem Switch aus Netz 0 und Netz 1 eine Strippe in den Router, vergibst die IPs auf dem Router und gut iss.

Klingt ja auch interessant (für die Zukunft). Aber ersetzt das kleine Ding dann den eigentlichen Router oder wie? Und was macht dieses Ding anders als der Cisco? Hab ich noch nie von gehört.

Noch einfacher ist eine 5 Euro Netzwerkkarte in einen der Server zu stecken.

Ich glaube ein Server hat sogar zwei LAN Ports. Aber dann kommen die Clients aus dem anderen Netz ja nur auf den Server und nicht weiter, oder? Also auf Drucker, NAS etc. was ggf. noch im anderen Subnetz hängt.

Das hiesige Routing Tutorial beschreibt ganz genau deine Anforderung in allen Details ! Wie immer: Lesen und verstehen !!

Werde ich mir am Wochenende mal durchlesen.

Deinen Anforderung ist wie gesagt ne Lachnummer und in 10 Minuten erledigt.

Vor hunderten von Jahren hab ich das ja auch alles mal gelernt aber es ist auch ein Unterschied ob man sowas täglich macht oder nur einmal im Schullabor und dann Jaaahre lang in bestehenden Infrastrukturen Support leistet. Aber ich freue mich ja, sowas auch mal wieder zu machen und noch mehr, dass es Leute gibt, die einem schnell und präzise helfen können

Danke.

Hallo,

Ob Kupfer oder Glas ist jetzt nebensächlich, mir gehts um das wie.

Wenn eines der Gebäude abfackelt, ist die Versicherung bestimmt daran interessiert zu erfahren an wen sie die Rechnung schickt!
Also dann lieber zwei PtP Geräte von UBNT (Ubiquiti) und alles ist in Butter und WLAN lässt sich bekanntlich auch verschlüsseln!

Also einfach das Kabel auf beiden Seiten in den Switch stecken und Routen setzten:

Wenn es Layer3 Switche sind dann ja sonst einfach die Cisco Router das Routing übernehmen lassen wenn es sich nur um
Layer2 Switche handelt. Aber wie schon erwähnt sollte hier die erste Wahl ein VPN zwischen den Gebäuden sein und wenn
das nicht zu realisieren ist sollte man einfach einen WLAN Brücke zwischen beiden Gebäuden in Betracht ziehen.

Gruß
Dobby

Aber ersetzt das kleine Ding dann den eigentlichen Router oder wie?

Nein !
Das ist dann logischerweise nur der Koppelrouter zwischen den beiden Netzwerken.
Bitte tue uns den Gefallen und lies dir dieses Tutorial GENAU durch !!
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
Dort ist so ein Design ganz genau erklärt !
Das erspart eigentlich geklärte Nachfragen...

Und was macht dieses Ding anders als der Cisco?

Es macht nichts anderes. Routet ganz einfach wie auch ein Cisco zwischen 2 IP Netzen. Anders ist nur die Konfig Syntax und der Preis !

Hab ich noch nie von gehört.

Traurig, denn die gehören schon zu den Größeren im CPE Router Bereich. Aber die Art und Weise deiner Fragestellung hier im Thread zeigt auch das du nicht der ganz große Netzwerker bist (ist nocht bös' gemeint)...daher ist dir das vermutlich auch nicht so bekannt.

Ich glaube ein Server hat sogar zwei LAN Ports.

Na Top ! Dann aktivier diesen LAN Port, IP drauf konfigurieren, IP Forwarding auf dem Server aktivieren, Port ins andere LAN stecken und schon ist dein Problem gelöst ! Die einfachste Variante sicher für dich bei deinen Netzwerk Kenntnissen.

Vor hunderten von Jahren hab ich das ja auch alles mal gelernt

100 ist das sicher nicht, eher 20 und das merkt man leider etwas.... Aber wenn man jahrelang täglichen Infrastruktur Support leistet dann sollte man solche simplen Basics zum Thema Netzwerk eigentlich auf der Pfanne haben. Wie willst du sonst Support leisten wenn dir die einfachsten Grundlagen fehlen ?! Das wäre ja dann nur Raten im freien Fall und kein Support

Oder machst du nur Winblows Support und erklärst Windows User wie sie USB Sticks anstecken und drucken...?!

sollte hier die erste Wahl ein VPN zwischen den Gebäuden sein

OK, geht natürlich auch, keine Frage aber erfordert dann natürlich eine potente Internet Leitung und auch potente VPN Router sofern man entsprechende Bandbreiten Anforderungen und Erwartungen an die Performance hat, das sollte dir hoffentlich klar sein !

sollte man einfach einen WLAN Brücke zwischen beiden Gebäuden in Betracht ziehen.

Ist auch eine richtige Lösung, aber bitte eine geroutete und keinen reine Bridge, sonst macht dir die Broad- und Multicast Last die dann zwischen beiden Netzwerken rumfliegt die WLAN Bandbreite auf der Funkverbindung wieder tot.
Und dann immer 5 Ghz WLAN ! Niemals ins überfüllte 2,4 Ghz bei Gebäudekopplung !!
Wie man das richtig realisiert mit WLAN erklärt dir ebenfalls ein hiesiges Tutorial:
Mit einem WLAN zwei LAN IP Netzwerke verbinden

Also ich habs im Livebetrieb nicht hinbekommen und das jetzt nochmal nachgebaut, komme aber auch nicht weiter. Die Variante mit den zwei Netzwerkkarten im Server finde ich nicht so gut weil wenn der Server aus ist auch das Routing nicht klappt (also auch auf den Servern des anderen Subnetzes nicht mehr gearbeitet werden kann).

Vorab: Komisch beim Netgear Switch (mit der IP 192.168.3.254): Wenn ich das VLAN über die Rubrik Switching -> VLAN (10) erstelle, einen Port (23) zuweise und dann in der Rubrik Routing die IP für das VLAN (192.168.1.254) vergebe, kann ich die VLAN IP des Switches aus dem 1er Netz nicht anpingen. Wenn ich das VLAN wieder lösche und es über die Rubrik Routing -> VLAN Routing Wizard erstelle, lässt sich die .1.254 aus dem 1er Netz pingen...

Hier mal eine Zusammenfassung der Konfigs mit der Hoffnung, jemand findet den Fehler:

NetzA: 192.168.1.0/24
RouterA: 192.168.1.1
SwitchA: DHCP
ServerA: 192.168.1.10

NetzB: 192.168.3.0/24
RouterB: 192.168.3.1
SwitchB:
- 192.168.3.254 (VLAN1 auf allen Ports untagged außer Port 23 & 19)
- 192.168.1.254 (VLAN10 auf Port 19 und 23 untagged; auf 23 steckt das Kabel welches aus SwitchA kommt, auf 19 ein Testclient mit fester IP 192.168.1.222)
- Auf Port 24 steckt einer der LAN Ports des RoutersB als Uplink
- Gateway: 192.168.3.1
ServerB: 192.168.3.10

Routing Konfig RouterA:

Routing Konfig RouterB:

Konfig SwitchB:

Mit diesen Einstellungen kann ich:
- Aus Netz 1 die 1er IP des SwitchesB (192.168.1.254) anpingen:

- Aus Netz 1 die 3er IP des SwittchesB (192.168.3.254) nicht anpingen und nicht tracen:

- Aus Netz 1 den ServerB nicht pingen und tracen, da komme ich bis zum Switch B aber nicht weiter:

(Warum geht der tracert zur .3.254 nur bis zur .1.1 und der tracert zur .3.10 von der .1.1 noch eins weiter zur .1.254 ?)
- Aus Netz 2 zu Netz 1 geht der tracert gar nicht bis zum Switch:

- Der tracert des Switches B zu Netz 1 klappt:

- Der trace des Switches B in Netz 1 klappt aber nicht, wenn man die192.168.3.254 als Source angibt (dann gehts nur bis zum Router B, müsste doch von dort aber eigentlich weiter bzw. "zurück" zur 192.168.3.254 kommen):

So, ich hoffe ich habe alles einigermaßen übersichtlich aufgeführt und bin für jeden Tipp dankbar.

PS: Ich habe auch schon die Hop Counts und RIP Versionen auf den Routern geändert, ohne Erfolg.

finde ich nicht so gut weil wenn der Server aus ist auch das Routing nicht klappt

Das ist auch richtig, deshalb ist diese Lösung suboptimal.

Wenn ich das VLAN über die Rubrik Switching -> VLAN (10) erstelle, einen Port (23) zuweise....

Grundsätzlich ist das der richtige Weg:

Separates VPLAN zuweisen
Switchport untagged in dieses VLAN hängen
L3 IP Adresse im Switch für dieses VLAN definieren

Da hast du alles richtig gemacht soweit.
Ein Ping aus dem VLAN auf diese Switch IP MUSS natürlich immer möglich sein, denn sonst hätte man keine L3 Connectivity da die du aber zwingend brauchst.
Warum das bei NetGear einmal so und einmal so nicht geht ist wohl deren Geheimnis. In puncto VLAN ist NG ziemlich gruselig was die Konfig angeht und immer eine schlechte Wahl aber egal...klappen zut es damit auch wenn man die Hürden dieser kranken Konfig Syntax gemeistert hat....
Also soweit richtig und pingbar sollte es im VLAN 10 sein.

Deine Konfig für Switch A ist soweit OK ! Eine DHCP Adresse auf einem Infrastruktur Device wie einem Switch ist natürlich kontraproduktiv aber für die Lösung hier ertsmal irrelevant.
Das Routing machst du dann also mit dem Switch B was auch soweit technsich richtig ist !
Kommen wir also zum Switch B der die wichtige L3 Konfig haben muss...

Die Konfig von Switch B:
NetzB: 192.168.3.0/24
RouterB: 192.168.3.1
SwitchB:
- 192.168.3.254 (VLAN1 auf allen Ports untagged außer Port 23 & 19)
- 192.168.1.254 (VLAN10 auf Port 19 und 23 untagged; auf 23 steckt das Kabel welches aus SwitchA kommt, auf 19 ein Testclient mit fester IP 192.168.1.222)
- Auf Port 24 steckt einer der LAN Ports des RoutersB als Uplink
- Gateway: 192.168.3.1
ServerB: 192.168.3.10
Ist absolut korrekt und richtig !! Keine Fehler !

Was klappen muss vom Testclient IP 192.168.1.222 wenn dieser als Default Gateway die IP 192.168.1.1 eingetragen hat !!:

Ping auf den Router A 192.168.1.1 muss klappen !
Ping auf den Switch A und dessen DHCP IP muss klappen !
Wichtig: Ping auf die Switch B VLAN 10 IP 192.168.1.254 muss klappen !

Sofern du noch keine statischen Routen auf dem Router A und dem Router B konfiguriert hast kannst du erstmal nichts weiteres pingen. Klar, denn die jeweils gegenüberliegenden Router wissen durch die fehlenden statischen IP Routen ja noch nicht wo und wie sie das .1.0er und das .3.0er IP Netz erreichen können !
Ohne statische Routen würden sie diese beiden lokalen IP Netze jeweils zum Provider und damit ins Nirwana routen !!
Fazit: Mit den folgenden 2 statischen IP Routen in den Internet Routern bringst du ihm bei das die IP Netze lokal über den Switch B zu erreichen sind.
Das ist essentiell wichtig ansonsten schlägt die IP Verbindung fehl !!!

Statische Route Router A:
Zielnetz: 192.168.3.0, Maske: 255.255.255.0, Gateway: 192.168.1.254 (VLAN 10 IP Switch B)

Statische Route Router B:
Zielnetz: 192.168.1.0, Maske: 255.255.255.0, Gateway: 192.168.3.254 (VLAN 1 IP Switch B)

Wenn diese beiden statischen Routen in die jeweiligen Internet Router konfiguriert sind sollte sofort das Pingen der anderen Interfaces klappen.
Folgender Test sollte dann vom Testclient 192.168.1.222 (Gateway: 192.168.1.1) erfolgreich sein:

Ping auf den Router A 192.168.1.1 muss klappen !
Ping auf den Switch A und dessen DHCP IP muss klappen !
Ping auf die Switch B VLAN 10 IP 192.168.1.254 muss klappen !
Wichtig: Ping auf die Switch B VLAN 1 IP 192.168.3.254 muss klappen !
Wichtig: Ping auf die Router B IP 192.168.3.1 muss klappen !

Falls nicht statt Ping mal Traceroute verwenden (Winblows tracert) und sehen wo der Traceroute hängt. Da ist dann auch der Fehler !!
Funktionieren alle obigen Pings fehlerfrei dann klappt es auch aus dem anderen Netz (Client 192.168.3.x mit Gateway 192.168.3.1):

Ping auf den Switch B IP (VLAN 1) 192.168.3.254 muss klappen !
Ping auf den Router B IP 192.168.3.1 muss klappen !
Ping auf den Switch B IP (VLAN 10) 192.168.1.254 muss klappen !
Ping auf den Router A IP 192.168.1.1 muss klappen !

Ist das der Fall funktioniert die IP Verbindung zw. beiden Netzen fehlerlos.

Mit dem Pingen der Server und der Windows Endgeräte unter sich zwischen beiden Netzen kann es Probleme geben, da in aktuellen Windows Versionen das ICMP Protokoll geblockt ist !!
https://www.windowspro.de/tipp/ping-windows-7-server-2008-r2-zulassen
Hier musst du also zwingend die lokale Windows Firewall anpassen das ein Ping klappt. Zum PingTesten also erstmal Drucker usw. nehmen die keinen Firewall haben um diese Falle zu vermeiden.
Achte auch darauf das ALLE Endgeräte in den jeweiligen VLANs einen Gateway Eintrag auf den jeweiligen Router haben.

Wenn alle Stricke reissen kannst du das statische Routen über die jeweiligen Internet Router erstmal umgehen und wasserdicht testen ob dein L3 Switch B überhaupt routet zwischen den beiden VLANs 1 und 10.
Bei NetGear weiss man nie....??!!
Dazu nimmst du jeweils einen Client im Netz A und stellst den fest auf das Gateway 192.168.1.254 (Switch B) ein und analog dazu einen Client im Netzwerk B mit dem Default Gateway 192.168.3.254.
Damit routest du dann nur dediziert über den NG Switch zw. diesen beiden Clients.
Ein Ping der jeweils gegenüberliegenden Switch IPs in den VLANs MUSS dann zwingend klappen. Auch ein Ping der Clients untereinander sofern deren lokale Firewall auf ICMP angepasst wurde (siehe oben).
Das wäre ein Minimaltest um das Layer 3 Forwarding (Routing) über den NetGear Switch wasserdicht zu testen.

Nochwas Wichtiges:
Dynamische RIP v1 Routing auf dem Router besser **ausschalten !! RIPv1 macht kein Mensch mehr da extrem veraltet (wenn überhaupt dann IMMER das modernere v2 verwenden). Da hier aber nirgendwo dynmaisch geroutet wird bitte deaktivieren (disable)
Ansonsten ist die statische Route richtig !

Fazit:
Im Grunde hast du alles ganz genau richtig gemacht was statische Routen an den Routern, VLAN Einrichtung Switch B und IP Adressierung dort usw. anbetrifft. Keine Fehler....
Die Vermutung das es nicht geht liegt ganz stark auf dem NetGear Switch bzw. dessen Konfig. Es sieht so aus als ob der KEIN Layer 3 Forwarding macht obwohl er es können sollte.

Deshalb mache unbedingt mal den Test mit den Clients in beiden Netzen die als Default Gateway dann statt Router immer die jeweilige NetGear IP im VLAN konfiguriert haben.
Das muss zwingend dann klappen mit dem Ping der gegenüberliegenden VLAN IPs. So testet man das Routing direkt ohne Umwege.
Wenns widr Erwarten nicht klappt, kann es sein das man irgendwo auf dem NG Switch zentral noch L3 aktivieren muss oder sowas...?!
Denn sollten diese so konfigurierten Clients auch die jeweils gegenüberliegeneden VLAN IPs bzw. sich selber (mit angepasster ICMP lokalen FW) nicht pingen können routet der Switch nicht !!!
Das ist der Fluch dieser gruseligen NetGears und deren kranker Syntax bzw. GUI.
Wenn man dort aber den richtigen Klick im GUI findet zur L3 Aktivierung klappt es aber. Ggf. also nochmal das Handbuch konsultieren.
Oder @108012 hier im Forum fragen als NetGear Guru

Hallo aqui,

danke für die schnelle und ausführliche Antwort. Das "wasserdichte" Testen mit je einem Client im jeweiligen Subnetz und entspr. Switch-VLAN-IP als GW hatte ich auch schon probiert, hat aber nicht geklappt. Habe es gerade nochmal getestet und ja - es klappt nicht. Also aus dem eigenen Subnetz kann der Testclient alles anpingen (Server, Router, IP des Switches), die VLAN-IP des Switches aus dem anderen Subnetz und den Testclient aus dem anderen Subnetz aber nicht.

Auf dem Netgear Switch muss man das Routing erst aktivieren (standardmäßig auf disable), habe ich aber von Anfang an gemacht und klappt trotzdem nicht:

Aber das ist ja dahingehend schon mal gut, dass ich weiß, dass meine Konfigs richtig sind. Ich werde mal recherchieren was man bei den Netgears noch machen kann bzw. ob das ein bekanntes Problem ist.

Danke erstmal bis hierher, ich halte dich/euch auf dem Laufenden.

Das "wasserdichte" Testen mit je einem Client im jeweiligen Subnetz und entspr. Switch-VLAN-IP als GW hatte ich auch schon probiert, hat aber nicht geklappt.

Zeigt dann ganz klar das der Fehler im NG Switch liegt bzw. dessen Konfig.
Wie gesagt grundlegend hast du das alles genau richtig gemacht. Da muss irgendwo noch ein Punkt sein um das Routing zu aktivieren.....
Möglich auch das man das Default VLAN 1 nicht routen kann oder sowas.... da musst du mal ins Handbuch sehen oder die NG Hotline anrufen.
Wie gesagt diese Switches sind gruselig aus Konfigurations Sicht und sollte man deshalb besser nicht kaufen.

Ja das mit dem VLAN1 hab ich mir auch schon gedacht. Kann ich ja mal testen. Dann müsste ich doch lediglich ein weiteres VLAN 20 einrichten welches dann das 3er Netz auf allen Ports untagged hat bis auf einen der das VLAN 1 behält. Und dann dem Switch eben eine IP aus einem anderen Subnetz geben, z.B. 192.168.100.254, oder? Dann müsste ich ja noch drauf kommen, wenn ich einem Client manuell eine 192.168.100er IP gebe und den an den VLAN1 Port hänge, oder?

Nebenbei: Mir ist gerade aufgefallen, dass der Switch die eingestellte Zeit nach jedem Neustart verliert und immer wieder auf 1. Januar 1970 steht. SNTP funktioniert auch nicht... Auch komisch... Kann das Routing unterbunden werden wenn was mit der Zeit nicht stimmt so wie das beim AD z.B. ist, wenn Clients eine falsche Zeit eingestellt haben?

Dann müsste ich doch lediglich ein weiteres VLAN 20 einrichten welches dann das 3er Netz auf allen Ports untagged hat bis auf einen der das VLAN 1 behält.

Ja, ganz genau ! Das ist richtig so.
Du brauchst auch keinen "Restport" mehr im VLAN 1 ! Das ist nicht erforderlich. Das Management IP Interface ist dann das IP Interface von VLAN 20.

Switch die eingestellte Zeit nach jedem Neustart verliert und immer wieder auf 1. Januar 1970 steht. SNTP funktioniert auch nicht...

Das könnte normal sein sofern du einen externen (Internet) NTP Server für die Zeitsyncronisation benutzt:
https://www.heise.de/ct/hotline/Oeffentliche-Zeitquellen-322978.html

Du hast dann vermutlich vergessen eine Default Route von dem Switch auf einen der beiden Internet Router zu legen ?! Kann das sein ?
Anbieten würde sich dann Router B.
Ohne diese Default Route kann der Switch dann natürlich nicht ins Internet und ein NTP Abgleich mit einem externen Time Server schlägt dann logischerweise fehl, da der Switch ja dann nur die internen IP Netze erreichen kann !
Solltest du einen internen NTP Server nutzen (Windows usw.) in dem .1.0er oder .3.0er Netz bruachst du keine solche Route oder Gateway auf dem Switch. Logisch, denn die beiden Netze sind ja direkt an ihm angeschlossen

Das sollte aber natürlich nicht passieren. Nicht das du vergessen hast die Switch Konfig mit Klick auf "Save" zu sichern ?!

Also ich komme einfach nicht weiter.
Wenn ich ein weiters VLAN (z.B. 40 mit 192.168.4..254) einrichte, können die VLANs untereinander kommunizieren.
Nun will ich aber eben das 3er Netz haben. Das kann ich aber nicht als VLAN einrichten, weil ja die IP des Routers die 192.168.3.254 ist. Wenn ich die IP einfach auf eine andere ändere, z.B. 192.168.33.1 (und als GW auch die 33.1) kann ich den Switch nicht mehr erreichen, obwohl ich einen Client ran hänge, dem ich manuell eine 33er IP gebe.... Das müsste doch eigentlich gehen, oder? Oh mann ich seh schon gar nicht mehr durch

Und was noch komischer ist: Mir ist aufgefallen, dass auf dem 3er Server (ist DHCP Server) einige Clients eine IP bekommen haben, die physisch im 1er Netz hängen. Wie geht das denn???

Nachtrag: Ich hab's geschafft

Für alle die es interessiert und/Oder die vor ähnlichen Problemen stehen:

Wie oben schon beschrieben habe ich dem Switch eine IP aus einem anderen Subnetz gegeben:

Dann das 1er und 3er Netz als VLANs 10 und 30 eingerichtet mit entspr. IPs für den Switch + Routing...

...und die Port den entspr. VLANs zugewiesen (also alle Ports in VLAN 30 bis auf Port 23, was ja der "Uplink" zum 1er Netz ist):

Eine schwere Geburt

Danke nochmal an alle, vor allem aber an dich aqui !!!

Zu früh gefreut. Ping und Trace gehen zwar durch, aber sonst nix. Also kein HTTP, RDP SMB usw... Was ist das denn nun wieder? Ich werd hier noch welk

Wenn ich neben Port 23 einen weiteren Port für VLAN 10 konfiguriere und dort dann einen Client anschließe, der eine feste IP aus dem 1er Bereich hat, klappt es. Hat jemand eine Idee was nun noch eingestellt werden muss?

Nachtrag: Es liegt/lag am Cisco Router auf beiden Seiten, genauer gesagt an der integrierten Firewall und dem Punkt "SPI(Stateful Packet Inspection)". Habe das jetzt auf beiden Seiten deaktiviert und nun klappts. Hoffe, dass ich damit kein Scheunen tor aufgestoßen habe aber anders lässt sich das ja nicht machen...

Hallo zusammen,

Niemals würde ich das VLAN1 mit benutzen wollen, da es sich bei sehr vielen Herstellern um das so genannte /default
VLAN ist, es mag 1000 mal gut gehen und funktionieren, nur bei dem einen mal wo es nicht funktioniert kann nachher
auch keiner richtig helfen und genau dort stehen wir hier jetzt!

nur keine Hektik bitte, denn zum Einen hat man mit zwei Routern auch zwei DHCP Server und wenn man nun die Netze
miteinander verbindet dann kann das alleine schon zu Problemen kommen. In diesem Fall sollte man ein Transfernetz
zwischen den beiden Netzen anlegen und von dort aus dann jeweils Routen zu den VLANs mit den Fileservern anlegen.

Bei Netgear kommt noch hinzu dass sie wirklich alles etwas anders machen, wenn hier zum Beispiel ein LAG mit im
"Spiel" ist dann muss man das LAG dem VLAN hinzufügen und nicht die Ports des LAGs! Sonst wird das alles nichts.

Sollte kein LAG mit im Spiel sein würde ich die beiden Netze und zwar auf beiden Seiten mit ein und dem gleichen
VLAN versorgen, das dann erst noch angelegt werden muss und zwar auf beiden Seiten gleich! und das Routing sollte
dann nur eine Seite erledigen und DHCP in diesem Netzwerk würde ich auch ausstellen wollen!

Ich würde folgendes probieren wollen://
Netz 1 / DHCP an
Netz 2 / DHCP an
Transfernetz / DHCP aus nur statische IP Adressen / extra VLAN auf beiden Seiten

Gruß
Dobby

Hallo Dobby,

danke für die Anmerkungen und Hinweise. LAG ist nicht im Spiel und mit Netgear hast du Recht, da ist anscheinend einiges anders

Das mit dem DHCP werde ich noch beobachten aber sollte der DHCP Traffic bei meiner Konstellation nicht auch in seinem jeweils eigenen Subnetz bleiben? Bei mir sind es nicht die Router, sondern die jeweiligen Server, die DHCP machen.

Und wie ist das Transfernetz zu verstehen bzw. wofür genau würdest du es empfehlen? Bei einer VPN Lösung habe ich das schon mal so gemacht aber hier habe ich ja eine direkte Verbindung zwischen beiden Netzen...

Gruß

aber sollte der DHCP Traffic bei meiner Konstellation nicht auch in seinem jeweils eigenen Subnetz bleiben?

Ja, das tut er auch. DHCP basiert auf UDP Brodcasts und die können per se Router Interfaces NICHT überwinden.
In jedem Segment kann also problemlos ein separater DHCP Server laufen. Vermutlich der Internet Router ?!
Ein Transfernetz ist eigentlich Quatsch und überflüssig. Sollte man in so einem Konstrukt niemals machen.
Wenn der NetGear sowas erzwingt solltest du den Switch tauschen....

Zitat von @aqui:
In jedem Segment kann also problemlos ein separater DHCP Server laufen. Vermutlich der Internet Router ?!

DHCP ist auf beiden Routern deaktiviert.
Heute hatte ich wieder den Fall, dass ein Client aus Netz 3 eine IP aus Netz 1 erhalten hat und auch im Windows DHCP Server in Netz 1 aufgeführt war. Wie kann das denn sein bzw. wie kann ich das unterbinden?
Mit den AD Vertrauensstellungen zwischen beiden Netzen kann es aber nichts zu tun haben, oder?

DHCP ist auf beiden Routern deaktiviert.

Wie bekommen denn die Endgeräte in den jeweiligen Netzen ihre gültigen IP Adresen ?? Vergibst du die dann statisch ??

dass ein Client aus Netz 3 eine IP aus Netz 1 erhalten hat

Das ist dann ein klares Indiz dafür das der Switch NICHT routet und Netz 1 und Netz 3 über einen Layer 2 Bridge verbunden hat.
Damit wären dann beide Netze quasi ein gemeinsames und man hat dann das tödliche Konstrukt das man mit 2 IP Netzen auf einem gemeinsamen Draht arbeitet.
Also genau das was du NICHT willst !! Das musst du dringenst checken, denn das bedeutet das der gruselige NetGear de factto NICHT routet zw. den VLANs.

Mit den AD Vertrauensstellungen zwischen beiden Netzen kann es aber nichts zu tun haben, oder?

Nein, damit hat das nicht das Geringste zu tun. Hier geht es rein nur um IP Adressen und Layer 3 Wegefindung (Routing).

Bridge...... Hm.....

Da das provisorisch verlegte Kupferkabel keine Dauerlösung sein konnte/durfte wurde von der Hausverwaltung jetzt eine Funkverbindung mit Powerbeam eingerichtet. Das sind zwei Antennen mit je einem kleinen Gerät mit zwei LAN Ports dran. Ein LAN Port geht zur Antenne, der andere zum jeweiligen Switch auf seiner Seite. Das wurde so konfiguriert, dass beide Geräte IPs aus dem 1er Netz haben und im Bridge Modus arbeiten. Es wurde gesagt, das macht nichts anderes, als das Kupferkabel zu simulieren...

Scheint ja dann doch nicht so zu sein, oder?? Oder stimmt das dass das wie ein reines Kabel ist und das Problem liegt doch beim Netgear Switch? Ich muss hab mal gegoogelt, die Powerbeam Geräte kann man auch von Bridge auf Routing umstellen. Ich werde mir mal die Zugangsdaten geben lassen.

Hier mal eine grobe Skizze:

Habe mal ein bisschen gelesen. Wäre wahrscheinlich das beste, das doch mit einem "Zwischennetz" zu bauen, in dem die beiden Powerbeam Geräte hängen. Dann ist nur die Frage, wie das mit den VLANs umgesetzt wird... Dann müsste man doch sicher auf beiden Switches VLANs bauen, oder?

Das sind zwei Antennen mit je einem kleinen Gerät mit zwei LAN Ports dran. Ein LAN Port geht zur Antenne

Da ist es für dich essentiell zu wissen WIE diese Verbindung eingerichtet ist.
Einfach als simple Funkbridge. Das bedeutet dann an deinem obigen Konzept mit den 2 VLANs und Routing ändert sich nichts !
In dem Modus kannst du die Funkbrücke wie ein simples Patchkabel sehen. Da wird nix geroutet.

Besser wäre wenn der Fuklink geroutet eingerichtet wird. Das wäre perfekt, denn dann würde deine VLAN Einrichtung entfallen und du könntest beide Seiten einfach aufstecken.
Der Funklink selber ist dann das "Transfernetz" und die Accesspoints auf beiden Seiten routen.
Das Prinzip ist in diesem Tutorial genau erklärt:
Mit einem WLAN zwei LAN IP Netzwerke verbinden

Ohne zu wissen wie die Funkverbindung arbeitet kommst du also nicht weiter !!

Danke. Das Tutorial werde ich mir anschauen.
Die Zugangsdaten habe ich mittlerweile auch erhalten, werde ich mir am Wochenende mal alles anschauen.

Aber: Wenn das so eingerichtet ist wie es mir gesagt wurde, also als wie du es beschreibst "Funkbridge", dann müsste doch das VLAN und Routing Konzept die Netze physisch trennen, oder? Wie kann es dann sein, dass die Clients IPs von den Windows DHCP Servern aus dem jeweils anderen Netz bekommen?

Besteht denn die Möglichkeit, clientseitig (Windows 7 und 10) zu verhindern, dass eine IP vom DHCP Server des anderen Subnetzes erhalten wird? Bzw. kann ich das irgendwie testen, ob die Clients auch wirklich nur von "ihrem DHCP" IPs bekommen?

Soooo...
Ich wollte schon loslegen wie wild die PowerBeam Geräte umzukonfigurieren. Glücklicherweise habe ich vorher noch mal die bestehende Konfig genauer angeschaut und siehe da: Der Rechner im 3er Gebäude, der eine IP vom 1er DHCP erhalten hat, hing ausgerechnet an dem einzigen Switch Port, den ich zuvor zu Testzwecken als VLAN 10 (also 1er Netz) konfiguriert hatte...... Aber nein, ich hatte nicht vergessen, den Port mit ins 3er VLAN zu nehmen. Das habe ich getan, also aus dem VLAN10 entfernt und im VLAN30 auf untagged gesetzt. Das war dem Switch nur egal... Wie schon weiter oben geschrieben scheint der Netgear Switch die Eingaben in der Rubrik Switching -> VLAN --> VLAN Membership eiskalt zu ignorieren, denn trotzdem ich den Port aus VLAN10 entfernt habe, gespeichert, und zu VLAN30 hinzugefügt ließ sich über diesen Port mit direkt gestecktem Client mit statischer 1er Adresse munter das 1er Netz pingen. Nun wollte ich nicht erst wieder über die Rubrik Routing alles neu einrichten um diesen einen Port anzupassen, hab ihn also so gelassen und am Switch markiert - wer weiß, wozu der mal nochmal gut ist (z.B. um einen anderen Switch reinzustecken wo Clients dran hängen, die temporär aus dem 1er Gebäude "drüben" im 3er GEbäude sind oder so).

Also nochmals vielen Dank an alle, die hier geantwortet und mir mit Tipps und Anmerkungen weitergeholfen haben!!!

GGruß und ein schönes Wochenende.

Die Zugangsdaten habe ich mittlerweile auch erhalten,

Zugangsdaten ??? Für WAS denn ???

dann müsste doch das VLAN und Routing Konzept die Netze physisch trennen, oder?

Ja ganz genau !
Deshalb steht ja auch das das völlig identisch ist zu deinem urspünglichen Konzept und das weiter angewandt werden muss um die Netze zu trennen.
Eine Funkbridge arbeitet wie der Name schon sagt als simple Layer 2 Bridge auf Mac Adress Basis.
Du kannst die Funkverbindung dann genau so sehen wie ein simples Patchkabel. Es reicht nur durch...!

Wie kann es dann sein, dass die Clients IPs von den Windows DHCP Servern aus dem jeweils anderen Netz bekommen?

Da ist irgendwo eine sog. Backdoor Bridge. Also irgendwas verbindet deine beiden Netze direkt ohne Routing.
Ob das der Switch ist oder die Funkverbindung musst du rausbekommen.

Besteht denn die Möglichkeit, clientseitig (Windows 7 und 10) zu verhindern, dass eine IP vom DHCP Server des anderen Subnetzes erhalten wird?

Nein !
DHCP basiert auf einem Broadcast Prinzip. Der DHCP Request muss überallhin geforwardet werden. Es ist eben ein Netzwerk Broadcast !
Wie gesagt: Dieses Verhalten zeigt das es einen sehr gravierenden Konfig Fehler gibt in deinem Netz, nämlich eine Layer 2 Kopplung die da niemals existieren dürfte in einem gerouteten Umfeld !!
Es wäre jetzt fatal wenn du dieses gravierende Problem bw. Fehler mit laienhafter Frickelei wie Filter oder Accesslisten verschlimmbesserst !
Beseitige immer die Ursache dafür !!

scheint der Netgear Switch die Eingaben in der Rubrik Switching -> VLAN --> VLAN Membership eiskalt zu ignorieren

Mit sowas gruseligem muss man bei NetGear immer rechnen. Aber du hast dich ja bewusst für diese Marke entschieden also ertrage deren Eskapaden wie ein gestandene ITler.
Gut das du den Fehler gefunden hast sowas übt ja immer und die gewonnene Erfahrung kann dir keiner nehmen...