jejeswiss
Goto Top

Zwei Subnetze verbinden mit Cisco SG300, Layer 3 Switch

Hallo Zusammen

ich hatte bereits einmal eine ähnliche Frage. Leider funktioniert das Setup noch nicht ganz richtig.
Ausgangslage:

Zwei Häuser, verbunden über LWL. In jedem Haus steht ein CISCO SG300, Layer 3 Switch.

Haus 1:
IPv4 interfaces:
VLAN 10, Static, 192.168.1.252/255.255.255.0
VLAN 1: Static, 192.168.2.254/255.255.255.0

IPv4 Routes:
Destination 0.0.0.0, Route Type Default, Next Hop 192.168.2.1, Route Owner Default
Destination 192.168.1.0, Route Type Remote, Next Hop 192.168.2.253, Route Owner Static
Destination 192.168.2.0, Route Type Local, Next Hop -, Route Owner Directly Connected


Haus 2:
IPv4 interfaces:
VLAN 10, Static, 192.168.2.253/255.255.255.0
VLAN 1: Static, 192.168.1.254/255.255.255.0

IPv4 Routes:
Destination 0.0.0.0, Route Type Default, Next Hop 192.168.1.1, Route Owner Default
Destination 192.168.1.0, Route Type Local, Next Hop -, Route Owner Directly Connected
Destination 192.168.2.0, Route Type Local, Next Hop -, Route Owner Directly Connected


Haus 1 kann nun auf Haus 2 zugreifen (vom x.x.2.0 Netzwerk via Route 192.168.2.253 (im Haus 2) auf 192.168.1.0.
Haus 2 kann nur auf Teile im Haus 1 zugreifen. 192.168.2.254 (der Cisco Switch) kann aufgerufen werden. Ping auf einzelne Geräte im Netz 192.168.2.0 geht. Aber auf den Router 192.168.2.1 kann beispielsweise nicht zugegriffen werden sowie auf gewisse andere Geräte nicht.

Ich vermute es fehlt irgendwo einen Route zurück. Was muss ich noch eingeben? Im Haus 2 macht er mit automatisch "Route Type Local" bei 192.168.2.0. Dort kann ich gar nicht remote wählen.

lg JejeSwiss

Content-ID: 293312

Url: https://administrator.de/contentid/293312

Ausgedruckt am: 22.11.2024 um 07:11 Uhr

aqui
Lösung aqui 16.01.2016 aktualisiert um 15:23:25 Uhr
Goto Top
Für das Grundsetup L3 des Switches guckst du hier:
http://www.schulnetz.info/layer-3-fahigkeit-auf-einem-cisco-small-busin ...
OK, hast du vermutlich auch richtig gemacht.
Aber auf den Router 192.168.2.1 kann beispielsweise nicht zugegriffen werden sowie auf gewisse andere Geräte nicht.
Der Grund dafür ist das du vermutlich auf den jeweiligen Internet Routern die statischen Routen auf die jeweiligen anderen Netze in den Häusern vergessen hast einzutragen. Das ist aber zwingend erforderlich, andernfalls routen diese Internet Router OHNE diese statischen Routen deine lokalen Häuser Netze zum jeweiligen Internet Provider und damit dann logischerweise natürlich ins Nirwana !

Kardinalsfrage: Beide Häuser haben jeweil eigene Internet Zugänge ???
Das zeigt die asyncronen statischen Routen etwas, denn die default Route des einen Hauses zeigt auf einen Router im .1.1 Netz, das des anderen Hauses auf einen im .2.1er Netz ?!

Weiter: Sollen alle IP Netze zwischen beiden Häusern geshart, also gemeinsam genutzt werden ??
Gut ist das nicht, aber müsste dann so sein wenn du die IP Netze gemeinsam nutzen willst oder musst in beiden Häusern. Normal will man das aber immer trennen. Ein eigenes IP Segment pro Haus.

Muss das nicht sein ist es besser mit einem getrennten Setup zu leben. Sprich du betreibst das 192.168.1.0 /24er VLAN Netz nur in Haus 1, das 192.168.2.0 /24er VLAN Netz nur in Haus 2 und schaffst ein Transfernetz z.B. VLAN 99 zwischen beiden Häusern z.B. 192.168.99.0 mit den jeweilen Host IP Adressen .99.1 auf VLAN 99 Switch 1 und .99.2 auf VLAN 99 Switch 2. Fertig.
Dann je 2 statische Routen in den jeweiligen Switches:
Haus 1:
Destination 0.0.0.0, Route Type Default, Next Hop 192.168.1.1,
Destination 192.168.2.0, Route Type Local, Next Hop: 192.168.99.2
Die Default Gateways der Endgeräte in Haus 1 zeigen auf die VLAN IP des Switches Haus 1

Haus 2:
Destination 0.0.0.0, Route Type Default, Next Hop 192.168.2.1,
Destination 192.168.1.0, Route Type Local, Next Hop: 192.168.99.1
Die Default Gateways der Endgeräte in Haus 2 zeigen auf die VLAN IP des Switches Haus 2

Das Design wäre erheblich besser, denn damit hast du auch die Möglichkeiten von gesicherten Access Listen zwischen beiden Häusern wenn du den Zugriff z.B. auf einige Resourcen in den jeweiligen Häusern begrenzen willst.
So sähe das dann aus logischer L3 Sicht aus:

bf2619d935eb6cf1cdddd0553e9f4e06


Falls dir das zu kompliziert ist das so umzusetzen kannst du auch ein vereinfachtes Design nehmen indem du einen Switch NICHT als L3 Switch laufen lässt sondern rein als L2 Switch. (Da hätte ein SG-200 dann vollends gereicht!).
Dann sähe das so aus:

e9454b0fbb67bbd7b5515d22900d1f6c

Auch hier wichtig: Nicht die statischen Routen auf den jeweiligen Internet Routern vergessen !
JejeSwiss
JejeSwiss 16.01.2016 um 14:22:25 Uhr
Goto Top
Besten Dank für die ausführliche Beschreibung! Echt Top. ich glaube das Problem liegt effektiv am Transport VLAN. Dieses ist aktuell als 192.168.2.0 definiert und entspricht dem IP Bereich von Haus 1. Aber so wie es aussieht brauche ich x.x.2.0 für Haus 1, x.x.1.0 für Haus 2 und dann noch x.x.99.0 als Transport. Denke daran liegt es.

Und ja, beide Häuser haben einen eigenen Internetzugang. Leider unterstützt der Router des Providers keine statische Routen... Man kann so gut wie gar nichts einstellen. Daher auch die Layer 3 Switch, welche als Gateway fungieren und auch VLAN Routing unterstützen.
JejeSwiss
JejeSwiss 16.01.2016 um 15:24:14 Uhr
Goto Top
wie muss der LWL Port, welcher die beiden Häuser verbindet, eingestellt sein? Auf Trunk? Oder Access untagged? Auf beiden Seiten identische Einstellung?
aqui
Lösung aqui 16.01.2016, aktualisiert am 18.01.2016 um 09:38:11 Uhr
Goto Top
Aber so wie es aussieht brauche ich x.x.2.0 für Haus 1, x.x.1.0 für Haus 2 und dann noch x.x.99.0 als Transport.
Nicht zwingend. Du kannst auch die "Einfach Lösung" nehmen und einfach beide LANs auf nur einer Seite L3 routen. Siehe 2te Skizze !
wie muss der LWL Port, welcher die beiden Häuser verbindet, eingestellt sein? Auf Trunk? Oder Access untagged?
Mmmhhh. die Frage kannst du dir doch nun wahrlich selber beantworten !
Egal welche Option du con oben umsetzt ist das immer untagged !
  • Bei der Option Transfer VLAN mit dem VLAN 99 kreierst du ein VLAN und nimmst nur die beiden LWL Ports in dieses VLAN untagged.
  • Bei der Einfach Option lässt du einen Switch ja dann nur als dummen Layer 2 Switch laufen. Hier hängst du den Port auf einer Seite auch untagged in das Standard VLAN 1
Auf dem anderen Switch auf der anderen Seite kreeirst du ein VLAN 2 und hängst dort nur einen einzigen Port nämlich den LWL Port in das VLAN. Dem gibst du dann die IP 192.168.2.254 (Annahme L3 passiert dann im Haus A Switch der das 192.168.1.0 /24 Netz in VLAN 1 hat.
Eigentlich alles ganz einfach und kinderleicht face-wink
JejeSwiss
JejeSwiss 17.01.2016 um 22:52:03 Uhr
Goto Top
Hallo aqui

habe nun die Variante 1 versucht umzusetzen. Sieht nun eigentlich alles logisch aus, funktioniert aber immer noch nicht.

Im Haus A sind diese VLAN aufgesetzt (VLAN 1 war vorher default, wird nun aber nicht mehr verwendet):
90decdbb16dcfd2df8e311f769729aa4

Der Port 27 ist dem VLAN 99 zugewiesen. Dort hängt das LWL Kabel, welches die beiden Häuser verbindet.
d495de537aca8c4110a216e3e717bcff

Bei VLAN 11 ist der Port 27 excluded:
24abe4c36d2ecb914f36a59e98b96574

Dann gibt es diese beiden IPv4 Interfaces:
4a3c921b2b479b0be7d269d76e186b54

mit diesen Routen:
91e2907b924ea20aec5bd902ae6b8561

Der SG300 in Haus A ist DHCP Server für den bereich 192.168.1.0. Als Default Gateway wird 192.168.1.254 vergeben (der SG300), DNS ist jedoch 192.168.1.1 (der Router).
Der Router des Providers erlaubt keine statischen Routen. Es kann rein gar nichts eingestellt werden (lediglich DHCP aus).


Im Haus B gibt es auch zwei VLAN's. 1 ist default und 99 das Transport.
ea3c3862af18d9216a139b7664bcbdcc

Port 27 (LWL Anschluss) ist wieder dem VLAN 99 zugewiesen.
4682807ae8255ce3c47c2f12723a7e4c

Dann gibt es die Interfaces:
2dd88271abbcc0e41d2887c1557ce7a2

und diese Routen:
7664f4740712e840b177d23bec2116a9

DHCP Server ist auch der SG300. Gateway wird 192.168.2.254 vergeben und DNS 192.168.2.1. Der Router ist 192.168.2.1 und lässt ebenfalls keine Einstellungen zu.


Nun kann von Haus A auf 192.168.2.254 (Swich Haus B zugegriffen werden).
Umgekehrt geht es auch: von Haus B auf den Switch von Haus A.
Gewisse Geräte können von Haus A in Haus B angepingt werden (z.B. einen Access Point mit 192.168.2.7). Der Router 192.168.2.1 kann aber nicht angesprochen werden.
Ebenfalls kann Haus B nicht auf den Server in Haus A mit 192.168.1.10 zugreifen.

Woran könnte das noch liegen? ist es der Router, der irgendwie stört? Sollte doch nichts machen, sofern man nicht ins Internet geht und nur lokal bleibt (lokales Netz via Switch auf den Server im anderen Haus)?

Lg JejeSwiss
aqui
aqui 18.01.2016 aktualisiert um 09:41:17 Uhr
Goto Top
Der Router 192.168.2.1 kann aber nicht angesprochen werden.
Hat dieser Router denn eine statische Route eingetragen bekommen auf das 192.168.1.0er Netz ??
Wenn du den anpingst mit einern 192.168.1.0er Absender IP MUSS dieser Router das ja beantworten und dazu muss er ja wissen, das er das Antwortpaket an die 192.168.1.254 senden muss, ansonsten forwardet er das über sein Default Gateway logischerweise zum Internet Provider und damit ins Nirwana !
Hast du das bedacht ?? Die statische Route dort muss lauten:
Zielnetz: 192.168.1.0, Maske: 255.255.255.0, Gateway: 192.168.2.254 (IP lokaler Switch)
Analog logischerweise auch auf dem Router auf der anderen Seite !!! Das lautet dann entsprechend:
Zielnetz: 192.168.2.0, Maske: 255.255.255.0, Gateway: 192.168.1.254 (IP lokaler Switch)
Daran liegt es !!
Wenn du Winblows Endgeräte hast achte auf deren lokale Firewall !! Pingen (ICMP) ist ab Win 7 generell deaktiviert:
https://www.windowspro.de/tipp/ping-windows-7-server-2008-r2-zulassen
Außerdem musst du ggf. Diensten auf Windows Rechnern den Zugriff aus anderen IP Netzen erlauben. Per Default blockt die lokale Firewall alles was von externen Netzen auf den rechner will.
JejeSwiss
JejeSwiss 18.01.2016 um 10:24:30 Uhr
Goto Top
Hallo aqui

Leider lassen sich auf dem Router keine statische Routen eintragen (eingeschränktes Provider Teil...)
Ist diese statische Route auch nötig, wenn ich von 192.168.1.0 auf den Server 192.168.2.10 zugreifen möchte? Das sollten doch die beiden Switches untereinander regeln können? Der Server hat ja als Default Gateway 192.168.2.254 eingetragen.
Wenn ich nur nicht auf den Router zugreifen kann ist es mir egal. Wichtig ist, dass von 192.168.1.0 auf den Server 192.168.2.10 zugegriffen werden kann und von 192.168.2.0 auf den Server 192.168.1.10.

lg jejeswiss
aqui
aqui 18.01.2016 aktualisiert um 11:11:14 Uhr
Goto Top
Leider lassen sich auf dem Router keine statische Routen eintragen (eingeschränktes Provider Teil...)
Uhhh...was für ein Schrott. Besser man beschafft sich da etwas was den namen "Router" auch verdient.
OK, es gibt aber einen Workaround:
Alle Endgeräte in den jeweiligen Haus VLANs bekommen statt der Schrottrouter die jeweilige Switch IP als Default Gateway !
Jeder Switch zeigt dann mit seiner Default Route auf den jeweiligen Internet Router im Haus.
So lässt sich das Problem mit einem Workaround ganz einfach fixen !
Ist diese statische Route auch nötig, wenn ich von 192.168.1.0 auf den Server 192.168.2.10 zugreifen möchte?
Diese Frahge kann dir logischerweise kein normaler mensch beantworten, da du uns nicht mitteilst WIE die Default Gateway Einstellungen einmal auf dem Client der zugreifen will und auf dem Server auf den zugegriffen wird konfiguriert sind face-sad
Wie soll man also diese Frage beantworten.
Denk doch ganz einfach mal nach WIE sich das IP Paket in deinem Netzwerk bewegt, dann ist das doch klar.
Mal als Beispiel:
  • Client hat die 192.168.1.100 und will auf den Server, Gateway ist der Internet Router:
  • In seinem IP Paket steht als Absender IP dann die 192.168.1.100 als Ziel IP die 192.168.2.10
  • Client erkennt das die 192.168.2.10 nicht in seinem Netz liegt und befragt vor Aussendung seine Routing Tabelle intern, denn er muss ja wissen wohin damit wenn nicht lokal.
  • Dort steht keine spezifische Route in das Netz aber das default Gateway ist 192.168.1.1, also dahin damit
  • Router 192.168.1.1 empfängt das Paket, befragt wiederum seine Routing Tabelle, hat keine spezifische Route in das Netz aber sein default Gateway ist der Provider, also dahin damit...
  • Ende ist: nada...Nirwana !

Die andere Option:
  • Client hat die 192.168.1.100 und will auf den Server, Gateway ist der Internet Router:
  • In seinem IP Paket steht als Absender IP dann die 192.168.1.100 als Ziel IP die 192.168.2.10
  • Client erkennt das die 192.168.2.10 nicht in seinem Netz liegt und befragt wieder seine Routing Tabelle intern
  • Dort steht keine spezifische Route in das Netz aber das default Gateway ist 192.168.1.254 (Switch) also dahin damit
  • Switch 192.168.1.254 empfängt das Paket, befragt seine Routing Tabelle, hat tadaaa eine spezifische Route in das Netz via 192.168.99.2 das an ihm angeschlossen ist, also dahin damit...
  • Switch 192.168.99.2 empfängt das Paket, befragt jetzt seine Routing Tabelle, hat eine spezifische Route in das Netz da es direkt an ihm angeschlossen ist also dahin damit...
  • Server 192.168.2.10 empfängt das Paket. Fertisch.
Das kann sich doch jeder Grundschüler (Ethernet Paket) zusammenreimen der Strassenschilder (Router) lesen kann wenn er mit seinem Tretroller unterwegs ist um sein Ziel zu finden. Ist das gleiche Prinzip !
Fazit: Nur mal etwas nachdenken und Gehirn einschalten, dann kanst du dir solche Banalfragen selber beantworten face-wink
JejeSwiss
JejeSwiss 18.01.2016 um 12:17:17 Uhr
Goto Top
Hallo aqui, genau so wie du das beschreibst habe ich es eigentlich eingetichtet. daher frage ich mich warum das nicht funktioniert.

Bezüglich Probiderschrott: ist leider so. Andere Geräte sind kaum kompatibel wegen providereigenem IPTV, vectoring, gfast... resp es wird einfach ein pröbeln und basteln nach jedem Release.

Bezüglich Gatewayeinstellung:
Jeder Switch ist DHCP Server in seinem Subnet und vergibt sich selbst als Gateway und den Router als DNS. Also ein PC im x.x.1.0 Netz bekommt:
IP: irgendeine 192.168.1.x
Gateway: 192.168.1.254 (der layer 3 Switch)
DNS: 192.168.1.1 (Router)

Somit müssten ja alle Pakete an 192.168.1.254 gesendet werden und dort in der Routingtabelle steht wo das 192.168.2.0 Netz zu finden ist, nämlich via 192.168.99.2.

Beim Server mit fixer IP ist auch der Switch als Gateway eingetragen.
IP: 192.168.1.10
GW: 192.168.1.254
DNS: 192.168.1.1

Ich sehe nicht was noch fehlt. Wie gesagt, der Switch im anderen subnet kann ereicht werden. Aber weiter gehts nicht. Alsonvon 192.168.1.x komme ich auf 192.168.2.254 aber nicht auf 192.168.2.10
aqui
aqui 18.01.2016 um 14:18:35 Uhr
Goto Top
eigentlich eingetichtet. daher frage ich mich warum das nicht funktioniert.
Eigentlich ??? Oder hast du es so eingerichtet ? Warum machst du nichtmal ein Traceroute, damit siehst du dann doch ganz genau wie deinen Routing Hops sind ?? Darauf kommt man doch zuallererst...oder ?
Andere Geräte sind kaum kompatibel wegen providereigenem IPTV, vectoring, gfast...
Das ist natürlich wie immer Unsinn aber wenn man sich als Kunde gerne gängeln lässt vom Provider muss man halt damit leben... An dem Anschluss rennt auch ne FritzBox usw. wie immer... Aber egal...das ist ja erstmal nicht das Thema.
Jeder Switch ist DHCP Server in seinem Subnet und vergibt sich selbst als Gateway und den Router als DNS.
OK, richtig. Hast du das auch geprüft per ipconfig -all (Windows) ??
Wichtig auch das du den DHCP Server auf den billigen Provider Routern abschaltest im Setup sonst kommt es zu Adresschaos im Netz !
Alsonvon 192.168.1.x komme ich auf 192.168.2.254 aber nicht auf 192.168.2.10
Hast du die Sache mit der lokalen Firewall und ICMP bedacht bei diesem Rechner ??
Hast du im .2.0er Netz ggf. ein anderes Gerät was KEINE lokale Firewall hat wie Drucker oder NAS was man pingen kann ?
Wie gesagt bitte checke auch mal ein Traceroute (tracert)