Generelle Verständnisfrage zum Thema VLAN

[todde_hb 4]

Hallo,

 

ich würde gerne mal wissen, wie sich Datenpakete beim Switching verhalten, wenn sie mit einer VLAN ID versehen werden. Wenn ich z.B. auf einem WIFI AP VLAN für die WIFI-Clients aktiviere, z.B. VLANID-ID 10, dann bekommt das TCP-Paket ja einen zusätzlichen Eintrag für VLAN.

 

Mein Frage:

1.) Kann dieses Paket dann nur Ports auf den Switches durchlaufen, wenn diese ebenfalls als VLAN-MemberID 10 eingetragen haben?

2.)Im Falles des APs:Ist es richtig, dass der Ethernetport des Switches, an dem der AP hängt zwingend VLAN konfiguriert haben muss?

 

Sorry, hab von VLAN absolut keinen Plan.

 

Ciao, todde_hb

[magheinz 110]

vor 2 Stunden schrieb todde_hb:

 

Mein Frage:

1.) Kann dieses Paket dann nur Ports auf den Switches durchlaufen, wenn diese ebenfalls als VLAN-MemberID 10 eingetragen haben?

2.)Im Falles des APs:Ist es richtig, dass der Ethernetport des Switches, an dem der AP hängt zwingend VLAN konfiguriert haben muss?

Wie immer: es kommt drauf an. Genauer: es kommt drauf an wie der Switchport konfiguriert ist.

[mwiederkehr 373]

Man unterscheidet bei der Portkonfiguration eines Switches zwischen tagged und untagged VLANs.

 

untagged: Der Switch entfernt die VLAN-ID von ausgehenden Paketen und fügt sie ankommenden Paketen hinzu. An diese Ports schliesst man Geräte an, auf denen man keine VLAN-ID konfigurieren will. Ein Port kann nur ein VLAN als untagged zugewiesen haben.

 

tagged: Der Switch nimmt nur Pakete an, die eine VLAN-ID tragen, welcher dem Port zugeordnet ist. Ein Port kann mehrere VLAN-IDs zugewiesen haben. An solche Ports schliesst man Geräte an, auf denen man VLANs konfiguriert: Access Points, Firewalls oder andere Switches.

 

Ein Beispiel für Deine Umgebung: Du hast bis jetzt keine VLANs und möchtest ein Gäste-WLAN auf VLAN 10 einrichten, welches über einen separaten Router ins Internet geht.

 

Dafür richtest Du auf dem Access Point VLAN 10 ein und weist es der SSID des Gästenetzes zu. Auf dem Switch lässt Du beim Port des Access Points das Default VLAN als untagged und fügst VLAN 10 als tagged hinzu. Auf dem Port, an welchem der Router fürs Gästenetzwerk angeschlossen wird, konfigurierst Du VLAN 10 als untagged.

[wznutzer 35]

vor 2 Stunden schrieb magheinz:

Wie immer: es kommt drauf an. Genauer: es kommt drauf an wie der Switchport konfiguriert ist.

Ich glaube das verwirrt den TE. Du meinst die Sache mit OUI der MAC-Adresse? Man kann einen Switch so konfigurieren, dass die Ports automatisch in ein VLAN fallen wenn ein bestimmtes Gerät angeschlossen wird. Bei IP-Telefonie zum Beispiel.

 

[magheinz 110]

Nein, ich meine es kommt drauf an:

Beispiel in cisco syntax:

Interface Gi1/1/1

switchport mode access

switchport access vlan 200

 

Interface Gi1/1/2

switchport mode trunk

switchport trunk allowed vlan 100-200

 

Interface Gi1/1/3

switchport mode trunk

switchport trunk allowed vlan 100-200

siwtchport trunk native vlan 2

 

Drei unterschiedliche configs die zu unterschiedlichem Verhalten führen. Vor allem wenn man VLAN2 ins nirvana laufen lässt.

 

[lefg 276]

Zitat

ann bekommt das TCP-Paket ja einen zusätzlichen Eintrag für VLAN.

 

Moin

 

Bist Du sicher, ein TCP-Paket bekomme einen zusätzlichen Eintrag für das VLAN?

 

Ich lernte einmal, VLAN sei Ethernet, Layer 2.

bearbeitet 27. März 2018 von lefg

[todde_hb 4]

Hallo,

 

danke, dass ihr versucht, mir das zu erklären. Ist für mich immer noch nicht ganz so einfach zu verstehen. Ich werde demnächst mal versuchen, es grafisch darzustellen, so wie ich es jetzt verstanden habe.

[zahni 554]

Über das Kabel geht kein TCP, sondern

 

https://www.elektronik-kompendium.de/sites/net/1406191.htm

 

Und auch mal einen Blick auf die OSI- Layer werfen:

 

https://de.m.wikipedia.org/wiki/OSI-Modell

 

[todde_hb 4]

Hallo,

 

habe mal eine Grafik erstellt zur besseren Übersicht.

 

Ciao, todde_hb

 

bearbeitet 17. April 2018 von todde_hb
falsches Bild

[mwiederkehr 373]

Angenommen, das Gäste-WLAN ist VLAN 10 und die Firewall unterstützt keine VLANs (weshalb Du einen zweiten Port verwendest), wäre die Switchkonfiguration wie folgt:

 

SW1, Port 1: VLAN 1 untagged, VLAN 10 tagged

SW1, Port 5: VLAN 10 untagged

 

Der Rest bleibt ja im Default-VLAN 1.

[magheinz 110]

die beiden WLANs werden doch wohl zwei verschiedene VLANs sein, oder?

Ansonsten laufen ja GästeWLAN und internes WLAN nach dem AP zusammen. Dann kann man die Trennung auch gleich lassen.

[todde_hb 4]

@magheinz

Ja, 2 VLANS. So ist es gedacht, aber ich ging davon aus, wenn die Ethernetframes des GUEST Wifi ein VLAN 10 Tag bekommen, dass sie dann nicht auf die anderen Resourcen zugreifen können. Ist dem nicht so?

 

@mwiederkehr

 

Wieso tagged VLAN10 an Port1 an SW1? Würde das nicht bedeuten, das z.B. Client1, der ja vom AP keine VLAN ID zugewiesen bekommt, über den Port nicht mehr rauskommt?

 

Mein Kollege sagt, dass die Firewall, also USG310 kein VLAN kann, daher diese verkabelung

bearbeitet 17. April 2018 von todde_hb
was vergessen

[zahni 554]

Dann muss P1 tagged (untagged Pakete landen im Default-VLAN) sein und  P5 Port based in VLAN 10 getaggt sein.

[mwiederkehr 373]

vor 7 Minuten schrieb todde_hb:

Wieso tagged VLAN10 an Port1 an SW1? Würde das nicht bedeuten, das z.B. Client1, der ja vom AP keine VLAN ID zugewiesen bekommt, über den Port nicht mehr rauskommt?

Tagged, weil die Pakete aus dem Gast-WLAN ja vom Access Point VLAN 10 zugewiesen bekommen. VLAN 1 bleibt untagged bestehen, somit kommt Client1 immer noch raus.

 

"Kein VLAN" ist quasi VLAN 1. Wo VLAN 1 rauskommen soll, müssen die Ports Mitglied sein.

 

Soweit ich weiss können alle USGs VLAN. Habe das jedenfalls schon auf kleineren Modellen als der 310 konfiguriert. Es gibt dann pro VLAN einen virtuellen Port, den man ganz normalen Zonen hinzufügen etc. kann.

[todde_hb 4]

 

Also hat P1 bei tagged VLAN10 die "Freigabe", Pakete mit VLAN ID10 und VLAN ID1 durchzulassen? VLAN ID1 ist quasi per Default immer zugewiesen bzw. untagged VLAN1 ist auf jedem Port per Default aktiv?

bearbeitet 18. April 2018 von todde_hb