VLAN Routing

[al3x 11]

Hallo zusammen, ich habe hier irgendwie ein Routingproblem und komme gerade nicht weiter.

Folgende Situation ist gegeben:

 

2 VLANs = "1" und "2" Switch A (.1.253, .2.253) <-------------> Switch B (.1.250,.2.250) <-------------> Switch C (.2.251)

uplink-Ports jeweils auf beiden Switches getagged für "1" und "2"

einige Ports untagged für die Endgeräte Switch B ist GW für "2"

 

An Switch A hängt nun ein weiterer Switch X (.1.252), der ebenfalls das VLAN "2" tagged auf dem Uplink zu A hat und einige ungetagged Ports.

 

Mein Problem ist nun, dass ich von X (webinterface) zwar das GW (.2.250) pingen kann, aber keine Geräte aus "2" die am Switch angeschlossen sind.

 

Geräte, die an Switch B hängen kann ich von X aus pingen.

 

Wo liegt mein Denkfehler? Ein zusätzliches Interface für "2" auf X (inter-vlan-routing)?..dann erreiche ich aber von X aus nicht mehr B!

oder kann das nur funktionieren, wenn man 2 uplinks benutzt:

 

--> A und C über je einen untagged Port für VLAN "2"

 

--> und das VLAN "1" wie gehabt über einen sep. uplink?

bearbeitet 24. August 2016 von al3x

[magheinz 110]

Wieso sind die uplinks "tagged"?

Zwei ids kann man nicht gleichzeitig taggen.

 

Die uplinks müssen trunks sein, die accessports taggen.

 

Welcher der Switche routet denn oder gibts einen "externen" router?

 

Wieso gibts auf zwei switchen jeweils ein layer3-interface für jedes vlan?

 

Was ist als default gateway aus Switch X eingetragen?

[al3x 11]

Wieso sind die uplinks "tagged"?

Zwei ids kann man nicht gleichzeitig taggen.

 

wieso nicht? uplinks zwischen Switches mit mehreren vlans sind immer getagged

untagged kann nur eine ID drüber gehen, aber tagged mehrere!

 

Die uplinks müssen trunks sein, die accessports taggen.

 

Welcher der Switche routet denn oder gibts einen "externen" router?

B routet und ist Default GW für ID 2

​ID 1 wir über die Firewall geroutet, wo als GW für ID 2 auch B eingetragen ist.

 

Wieso gibts auf zwei switchen jeweils ein layer3-interface für jedes vlan?

 

Was ist als default gateway aus Switch X eingetragen?

Switch X hat als GW die Firewall (ID 1)

[lefg 276]

Moin,

 

 

Mein Problem ist nun, dass ich von X (webinterface) zwar das GW (.2.250) pingen kann, aber keine Geräte aus "2" die am Switch angeschlossen sind.

 

 

Kommt der Ping denn beim Ziel tatsächlich an? Wohin schickt das angepingte Ziel denn die Anwort? Kennt es die Route, hat es einen Eintrag dafür, Standardgateway oder zusätzlicher Eintrag als statische Route?

 

Die Pingantwort ist kein Echo wie beim Sonar. Der Antworter muss die Route kennen und das Paket an das richtige Gateway senden.

bearbeitet 24. August 2016 von lefg

[al3x 11]

Habe es nun mal mit einem VLAN-Interface versucht, was ja für ein inter-vlan Routing notwendig ist....also, von der Logik her sind A und X doch identisch mit ihrem uplink verbunden:

 

X:

uplink zu A = ID 2 tagged

Default GW = Firewall (ID 1)

|

A:

uplink zu X = ID 2 tagged

uplink zu B = ID 2 tagged

default GW = Firewall (ID 1)

|

B:

uplink zu A = ID2 tagged​

default GW = Firewall (ID 1)

 

In der Firewall gibt es eine Route zu 192.168.2.0 -----> B

 

Von A und B aus funktioniert ja alles, aber was ist bei X falsch!?

[lefg 276]

Ich verstehe nicht, was das mit der Verbindung zwischen den Switchen zu tun hat? Das Routing geschieht an einem Switch zwischen den IP-Interfaces. zweier VLAN. Nicht zwischen zwei Switches.

[al3x 11]

ja eben. kann Switch X (HP 1910) eventuell kein sauberes VLAN-Routing?...obwohl IP-Interfaces und IP-Routing aktiv sind?!

[lefg 276]

Falls der Verdacht besteht, X könne es nicht, dann lass es doch auf X sein und mache es an einem anderen Switch.

 

Bei mir erstrecken sich die VLAN über alle Switche des Netzes -nicht nur das VLAN 1 Default-, homogen sozusagen, ein Backbone. Die VLAN >1 der Geräte sind Tagged verbunden. Das Routing zum VLAN Print geschieht nur einmal, am "Zentralswitch", Ich sah keinen Grund, es anders zu machen.

Interessehalber, um was für Sweitche handelt es sich eigentlich?

bearbeitet 24. August 2016 von lefg

[DocData 85]

Die HPE 1910 können das ganz sicher. Sind zwsr billig, aber das können sie.

[magheinz 110]

Du musst dir überlegen wo eigentlich geroutet werden soll.

Auf der Firewall oder auf einem der Switche. Du scheinst auf jedem einzelnen Switch routen zu wollen was mir persönlich zu komplex wäre wenn es nicht einen verdammt triftigen Grund dafür gibt.

[lefg 276]

Interessehalber, um was für Sweitche handelt es sich eigentlich?

 

 

Die HPE 1910 können das ganz sicher. Sind zwsr billig, aber das können sie.

 

Ja, können das, habe die HP1910 auch eingesetzt.

 

 

X:

uplink zu A = ID 2 tagged

Default GW = Firewall (ID 1)

|

A:

uplink zu X = ID 2 tagged

uplink zu B = ID 2 tagged

default GW = Firewall (ID 1)

|

B:

uplink zu A = ID2 tagged​

default GW = Firewall (ID 1)

 

W as ist das aber mit default GW = Firewall (ID 1), was soll es bedeuten? Geht von jedem Switch ein Kabel zu einer Firewall?

 

Die Switche verbunden zu einer Kette und jeder zusätzlich noch an der Firewall?

 

Wo ist aber das Routing? Dargestellt die Konfiguration hier?

 

Nächste Frage, funktioniert VLAN 2 von einem untagged Port(ID 2) des Switch X zu einem untagged Port(ID2) des Switch B und auch weiter zu Switch A?

bearbeitet 25. August 2016 von lefg

[al3x 11]

@lefg: alles HP Switche, 3000er/4000er, bis auf den 1910er

@DocData: und wie wäre die korrekte Vorgehensweise?

@magheinz: hm naja, in der Firewall sind ja die Routen drin, und es funktioniert ja auch ...eben bis auf den zusätzlichen Switch.

Firewall-IP = 192.168.1.254

Route:

192.168.2.0 --> 192.168.1.250 (Switch B  )

Switch X: default GW = 192.168.1.254

-> dann müsste es doch nach Switch B geroutet werden

-> B findet lokal nix, also geht es zum Uplink zu A

-> A schickt zu Uplink auf X

 

W as ist das aber mit default GW = Firewall (ID 1), was soll es bedeuten? Geht von jedem Switch ein Kabel zu einer Firewall?

 

 

Nächste Frage, funktioniert VLAN 2 von einem untagged Port(ID 2) des Switch X zu einem untagged Port(ID2) des Switch B und auch weiter zu Switch A?

 

Das default Netz (ID1) geht über alle Switche, darin haben auch alle Switches ein Interface und ergo ist das default GW die Firewall.  Direkt mit der Firewall ist nur ein Switch (A) verbunden. 

 

nein, habe ich gestern noch probiert..ein ping von untagged X zu untagged A funktioniert auch nicht

bearbeitet 25. August 2016 von al3x

[lefg 276]

Ich denke mal, da läuft etwas grundsätzlich nicht richtig. Nämlich das ein tagged VLAN nicht durchgängig erscheint über alle Switch.

 

Hast Du dich ausgiebig mit den Grundlagen, mit einfachen VLAN, -sozusagen Basis-VLAN, portbasierte VLAN  auf einem Switch-, und tagged VLAN, -durchgängig über mehrere Switche-, beschäftigt, bist Du wirklich damit vertraut? Und hast Du dich mit der Konfiguration der einzelnen Switche befasst?

 

Ich gestehe es, ich bin noch nicht auf die Idee gekommen, zwischen IP-Interfaces zweier Switche zu routen. Das wäre für mich mal ein interesanter Versuch. Ich begänne aber mit zwei identischen Geräten, sozusagen spiegelsymetrisch.

 

Warum also mit Routen zwischen X und B, warum nicht zwichen B und A? Wesentlich ist aber das grundsätzliche Funktionieren, daran scheint es aber zu hapern.

 

Die Konfiguration des Routings auf den 19xx, auf einem Switch zwischen zwei VLAN, damit hatte ich schon mal ein echtes Problem, das funktionierte nicht so wie gedacht. Ich hab dann im Web eine trickreiche Anleitung dazu gefunden. Mals sehen, ob ich die wiederfinde.

 

Und jetzt muss ich (nochmals) fragen, zwischen welchen VLAN-Interfaces soll denn geroutet werden, zwischen denen  von VLAN 1 und VLAN 2?

bearbeitet 25. August 2016 von lefg

[al3x 11]

 

Wesentlich ist aber das grundsätzliche Funktionieren, daran scheint es aber zu hapern.

....also ich denke schon, dass ich die Grundlagen der Materie verstehe. Nur hier stehe ich iwie auf dem Schlauch.

 

Die Konfiguration des Routings auf den 19xx, auf einem Switch zwischen zwei VLAN, damit hatte ich schon mal ein echtes Problem, das funktionierte nicht so wie gedacht. Ich hab dann im Web eine trickreiche Anleitung dazu gefunden. Mals sehen, ob ich die wiederfinde.

....das wäre super.

 

 

Und jetzt muss ich (nochmals) fragen, zwischen welchen VLAN-Interfaces soll denn geroutet werden, zwischen denen  von VLAN 1 und VLAN 2?

...naja, eigentlich müsste ja nicht geroutet werden, alle anderen Bereiche auf den Switches im Netz funktionieren ja mit VLAN 2.

durch den tagged uplink wollte ich ja lediglich das VLAN2 von A auf X weiterspannen. aber ich komme von X ja nicht "raus".

vielleicht versuch ich die Tage mal X statt an A an B zu hängen......

[lefg 276]

Du möchtest also mit X erweitern, klar; fall VLAN notwendig, dann muss X aber auch B entsprechend lonfigieriert werden, nämlich VLAN 2 und dem die gewünschnten Ports zugeordnet werden. Die Ports für die Rechner, Teilnehmer untagged, der Port für den Uplink tagged. Auch B, der Uplink muss dafür richtig konfiguriert sein, VLAN 1 i.d.R. untegged, VLAN 2 tagged.

 

VLAN ist Layer 2, Routing ist Layer 3. Es macht keinen Sinn, ein Problem von Layer 2 auf Layer 3 lösen zu wollen.

 

B un X müssen sich also auf Layer 2 verstehen, müssen richtig konfiguriert sein dafür, das VLAN vorhanden, Uplinkport zugeordnet und richtig konfiguriert.

 

Routing ist bei deinem Vothaben wohl überflüssig.

 

Und nun kommt die Frage aller Fragen: Wozu soll VLAN gut sein in dem Fall, was soll damit gemacht werden? Ist VLAN auf X wirklich notwendig?

 

 

Ansonste kann man X unkonfiguriert verbinden B, einem Port  VLAN 2 untagged, das wirkt so als wären zwei Switche ohne VLAN verbunden, ganz normales Ethernet ohne Tag.
 

bearbeitet 25. August 2016 von lefg