VLAN-Frage

Computer: Hardware Netzwerk
1

Hallo zusammen,

seit Tagen quäle ich mich durch diverse Anleitungen zum VLAN-Bau und komme nicht weiter. Vielleicht kann mir mal jemand meinen Denkfehler erklären:
Ich will einen Switch mittels VLAN so konfigurieren, dass ein Port Kontakt zu allen Ports hat und die anderen nur eingeschränkt, ohne den Port des INet-Routers (#16).

Dazu dachte ich, zwei Tagged VLANs zu pflegen, eines mit den Ports als Mitglied, die nur Rechner kontaktieren (#1 - #15) und ein VLAN mit den Ports des Admin-Rechners (#1) und des INet-Routers (#16). Damit hätte Port #1 Kontakt zu allen (1-15 im VLAN1 und 16 im VLAN2) und alle anderen 1-15 nur untereinander.
Und genau das geht nicht. Sobald ich ein VLAN mit #1 - #15 eingerichtet habe, an dem der Admin-PC (#1) ja beteiligt ist, ist dieser damit fest in ausschließlich diesem VLAN verankert. Das er selbst noch in einem zweiten VLAN steckt, mit dem er Kontakt zum INet-Router hat, bemerkt er nicht. Er bekommt keinen Kontakt zu #16. Wo liegt nun mein Fehler?

Sorry, viel zu viel Text…
Micha

2

Und genau das geht nicht. Sobald ich ein VLAN mit #1 - #15
eingerichtet habe, an dem der Admin-PC (#1) ja beteiligt ist,
ist dieser damit fest in ausschließlich diesem VLAN verankert.

Denkfehler finde ich da keinen. Allerdings ist das Einrichten von tagged VLANs nicht in Stein gemeißelt definiert, sondern von Switch-Hersteller zu Switch-Hersteller anders gelöst.

Ich habe mal schnell einen Blick in meinen geworfen (Nortel Baystack). Da klappt das so:

Schritt 1: ich definiere 2 VLANs, nennen wir sie VLAN1 und VLAN2.
Schritt 2: ich rufe Port für Port auf und konfiguriere sie antweder auf VLAN1 oder VLAN2 oder *beide*. Bei mir steckt also hinter jedem Port eine Liste der VLAN Zugehörigkeiten, die einen oder mehrere Einträge haben kann.

Ich denke, Du scheiterst einfach nur an der Bedieneroberfläche Deines Switches. Was sagt denn das Handbuch?

…Armin

3

Hallo,

Dir ist schon klar, dass Rechner, die an tagged ports hängen, auch selbst „tagged“ raussprechen müssen, oder? Die VLANs müssen also auch auf den beteiligten Rechnern tagged sein!

Gruß,

Malte

4

Hallo Malte,

Dir ist schon klar…

nee, war es bis eben nicht. Und da scheint wohl das Problem zu liegen. Ich muss also auf dem PC (WinXP und Vista) was anstellen um sie tagged zu machen, richtig? Am Router kann ich’s aber nicht. Der ist was eigenständiges.
Gibst Du mir noch eine Stichpunkt, wie das auszusehen hat? Dann komme ich sicher allein wieder etwas weiter.

Danke und Cheers - Micha

5

Hallo Armin.

Ich denke, Du scheiterst einfach nur an der Bedieneroberfläche
Deines Switches. Was sagt denn das Handbuch?

Das Handbuch sagt, ich soll ein VLAN (IEEE 802.1Q) erstellen und betiteln, dann im VLAN jeden Port als Tag, Untag oder Member auswählen.
Das ist alles. Keine Erklärung, was der Unterschied zwischen den 3 Varianten ist. Das sollte der Admin wohl selbst wissen :wink:

Cheers - Micha

6

Hi,

Dir ist schon klar…

nee, war es bis eben nicht. Und da scheint wohl das Problem zu
liegen. Ich muss also auf dem PC (WinXP und Vista) was
anstellen um sie tagged zu machen, richtig?

genau. Nur dann darf ein Switchport tagged sein, wenn auch das „Eingangssignal“ tagged ist.

Am Router kann ich’s aber nicht. Der ist was eigenständiges.

Dann muss der an einem entsprechenden Access Port (untagged) hängen.

Gibst Du mir noch eine Stichpunkt, wie das auszusehen hat?
Dann komme ich sicher allein wieder etwas weiter.

Ich versuch’s mal:

Port 1: tagged vlan 2, native vlan 1
 Der PC braucht dann eine "normale" Netzwerkconfig für das interne 
 Netz und ein "VLAN Interface" = tagged für vlan 2. Wenn Du kein 
 "native vlan" auf dem Switch einrichten kannst, dann kannst Du vlan 
 1 auch tagged machen und dafür auf dem PC eben auch ein VLAN-If 
 (tagged) einrichten.

Ports 2-15: untagged vlan 1

Port 16: untagged vlan 2

Damit hast Du dann folgendes: Alle PCs hängen untagged und ohne besondere Config in vlan 1 und können miteinander sprechen. Der PC an Port 1 hängt zusätzlich noch tagged in vlan 2, in dem weiters noch der Router untagged hängt. Kommunikation zwischen allen PCs ist möglich, Kommunikation zwischen Router und PC1 ist möglich, sonst nix (Achtung: Wenn der PC an Port 1 routet, dann sind die VLANs nicht mehr getrennt!).

Das ist jetzt die stark komprimierte Fassung ohne Hintergrunderklärungen zu VLANs, wenn Du mehr wissen willst, dann frag ruhig und gib dann bitte auch das genaue Modell des Switches an.

Gruß,

Malte

7

Danke Malte, ich denke damit komme ich gut klar. Das wird dann wohl heute Nacht passieren… :smile:
Nur der Vollständigkeit halber: Es ist ein DGS-1248T von D-Link.

Cheers - Micha

8

Danke Malte, ich denke damit komme ich gut klar. Das wird dann
wohl heute Nacht passieren… :smile:

Okay. Noch ein Zusatz: Damit das ordentlich funktioniert, müssen vlan 1 und 2 unterschiedliche IP-Netze beherbergen, und PC 1 braucht dann folgerichtig aus jedem der Netze eine IP.

Gruß,

Malte

9

Hallo Armin.

Ich denke, Du scheiterst einfach nur an der Bedieneroberfläche
Deines Switches. Was sagt denn das Handbuch?

Das Handbuch sagt, ich soll ein VLAN (IEEE 802.1Q) erstellen
und betiteln, dann im VLAN jeden Port als Tag, Untag oder
Member auswählen.
Das ist alles. Keine Erklärung, was der Unterschied zwischen
den 3 Varianten ist. Das sollte der Admin wohl selbst wissen
:wink:

Ich gehe jetzt eventuell aufs Glatteis, weil ich Deinen Switch nicht kenne (P.S. Du kannst mir gerne das Handbuch zumailen, dann schaue ich mal rein).

  • aber -

soweit mein technisches Verständnis (und mein Switch hier …) reicht, ist „tagged“ VLAN die falsche Kategorie. Solange man sich nur in einem einzigen Switch bewegt sind die VLAN Tags sinnlos. Die bekommen erst einen Sinn, wenn ein VLAN über mehrere Switches hinweg reichen soll.

In einem Szenarie mit nur einem Switch weist man die Ports einfach einem VLAN zu, Tags einfügen ist absolut sinnlos. Sie hätten höchstens einen gewissen Komfortfaktor: wenn Du den Tag im End-PC einträgst ist es egal, an welchem Port Du ihn ansteckst, er landet immer im richtigen VLAN.

Es ist aber deutlich einfacher, einfach den Switch-Ports einem VLAN zuzuweisen, ohne zu taggen.

Nun wäre es aber denkbar, dass DLinks Switch nur tagged VLANs kann?

Schick mal das Handbuch …

…Armin

10

Hi Armin,

Manual ist unterwegs.

Es ist aber deutlich einfacher, einfach den Switch-Ports einem
VLAN zuzuweisen, ohne zu taggen.

Ich bin auch nicht scharf auf’s Tag, aber ein Port kann ohne Tag nur einem einzigen VLAN zugewiesen werden. Damit kann mein Admin-PC nicht gleichzeitig in der Gruppe der Internetlosen und der Internetpriveligierten sein. Es sei denn, ich baue zwei echte Subnetze. Aber dann brauche ich auch kein VLAN mehr.

Nun wäre es aber denkbar, dass DLinks Switch nur tagged VLANs
kann?

Nö, er kann auch ohne Tag. Aber wie gesagt, nur ein VLAN pro Port.

Cheers - Micha

11

Hi Armin,

Manual ist unterwegs.

Habs erhalten und die beiden (!) VLAN Seiten gelesen :smile: Ist wirklich wenig erhellend was da steht :smile:

Ich bin auch nicht scharf auf’s Tag, aber ein Port kann ohne
Tag nur einem einzigen VLAN zugewiesen werden. Damit kann mein
Admin-PC nicht gleichzeitig in der Gruppe der Internetlosen
und der Internetpriveligierten sein. Es sei denn, ich baue
zwei echte Subnetze. Aber dann brauche ich auch kein VLAN
mehr.

Nö, er kann auch ohne Tag. Aber wie gesagt, nur ein VLAN pro
Port.

Ich wage zu zweifeln! Aber man kann aus den paar lausigen Seiten wenig ablesen.

Ich meine aber, es müsste folgendermaßen gehen:

Per Default sind alle Ports in der VID 1(Default). Weiter Annahme: Router an Port 1, Admin-PC an Port 2.

Seite 23: neue VID Table hinzufügen: VID 2

Seite 24, Fig. 18:

VID 1 (Default) alle Haken drinnen, außer bei Port 1.
VID 2: Haken drinnen bei Port 1 und 2, alle anderen Haken raus.

Alle Ports auf untagged
Alle PC Schnittstellen auf untagged.

Müsste dazu führen dass

  • alle PCs mit allen können, aber nicht mit dem Router
  • der Admin-PC mit allen PCs kann und mit dem Router
  • der Router nur mit dem Admin PC kann

Das wäre dann - wenn ich mich richtig erinnere - das was Du haben wolltest, oder? Der Admin PC hat zugang zu allem, die anderen PCs untereinander Zugang und mit dem Admin PC, aber nicht mit dem Router (Internet).

WARNUNG: die Konfig führt dazu, dass die Clients den Router nicht mehr erreichen können. DHCP wird also nicht mehr gehen, wenn der DHCP Server auf dem Router zu Hause ist.

Mir wäre allerdings wohler bei diesem Posting, wenn ich den Switch hier bei mir hätte und die Konfig probieren könnte, so vom Papier abgelesen ist doch ein wenig Raten dabei.

…Armin

12

VID 1 (Default) alle Haken drinnen, außer bei Port 1.
VID 2: Haken drinnen bei Port 1 und 2, alle anderen Haken
raus.

Haken bei 1 geht noch, der ist ja in VID 1 nicht drin. Bei Haken an 2 kommt die Meldung „Untagged Port can only in one VLAN“.
Das war seinerzeit mein Anfangsgedanke und ich bilde mir ein, bei einem LevelOne das mal genau so realisiert zu haben. Bei D-Link will’s nicht.

Ich werde wohl mal über zwei Netze nachdenken müssen oder in den Tiefen des Routers nach anderen Möglichkeiten suchen…

Cheers und danke!
Micha

13

Hi,

VID 1 (Default) alle Haken drinnen, außer bei Port 1.
VID 2: Haken drinnen bei Port 1 und 2, alle anderen Haken
raus.

Alle Ports auf untagged
Alle PC Schnittstellen auf untagged.

das geht nicht. Ein Switchport kann untagged nur in einem VLAN sein. Das ist
prinzipbedingt. „untagged“ bedeutet, dass eingehenden Frames der definierte Tag
hinzugefügt wird, ausgehend wird der Tag entfernt. Es kann aber nur ein Tag zugefügt werden, mehr geht nicht*.

Tagged Ports hingegen zeichnen sich dadurch aus, dass sie mehrere vlans transportieren können - ob nun auf einem Switch oder zwischen mehreren, ist völlig egal.

Das gibt es noch das „native vlan“ - das ist das VLAN, in das auf einem tagged port untagged Frames geworfen werden.

Daher ergibt sich als Lösung das von mir oben skizzierte Setup. Und, bitte nehmt es mir nicht übel, aber ich habe das Gefühl, ihr habt VLANs noch nicht so richtig verstanden.

Gruß,

Malte

* ja, es gibt noch so vlan-in-vlan-Geschichten, die helfen hier aber nicht!

14

Hi Armin,

VID 1 (Default) alle Haken drinnen, außer bei Port 1.
VID 2: Haken drinnen bei Port 1 und 2, alle anderen Haken
raus.

habe mir einen LevelOne „24G Web-SMART Switch“ besorgt, da geht’s.
Also besten Dank nochmal, jetzt funktioniert’s wie gewünscht und beschrieben.

Cheers - Micha

15

Und, bitte nehmt es mir nicht übel, aber ich habe das
Gefühl, ihr habt VLANs noch nicht so richtig verstanden.

… und Du nimmst es mir auch nicht übel, wenn ich Dir sage, dass Du auch noch nicht ausgelernt hast :smile: Es gibt nun mal nicht nur das Tagging Verfahren um VLANs zu machen.

Und weil ich sicher sein wollte, bevor ich eine große Hupe mache habe ich es schnell aufgebaut. Baystack 450. Stichwort: Port-based VLAN. Man kann dabei einen Port an mehrere VLANS zuweisen.

Testaufbau: 2 VLAns. 3 Test-PCs, ein Router. VLAN 1 beinhaltet den Router und den Admin-PC, das zweite VLAN die beiden anderen PCs plus den Admin PC. i IP Subnetz.

Fazit: geht, klappt, genau wie gewünscht, und ganz ohne Tags. Admin-PC und Router können miteinander, und alle PCs können mit dem Admin-PC, aber nicht mit dem Router. Wie vorausgesagt fällt DHCP auf die Nase, aber mit statischen IPs kein Problem.

Entweder ist das ein Wunder, oder ich lüge, oder Du hast gerade gerade was gelernt. Your Choice.

…Armin

16

Hi Armin,

VID 1 (Default) alle Haken drinnen, außer bei Port 1.
VID 2: Haken drinnen bei Port 1 und 2, alle anderen Haken
raus.

habe mir einen LevelOne „24G Web-SMART Switch“ besorgt, da
geht’s.
Also besten Dank nochmal, jetzt funktioniert’s wie gewünscht
und beschrieben.

Wunderbar! Würde mich noch interessieren, ob das der Dlink wirklich nicht kann, oder ob nur das Handbuch dieses Thema zu stiefmütterlich abbügelt?

…Armin

17

Und, bitte nehmt es mir nicht übel, aber ich habe das
Gefühl, ihr habt VLANs noch nicht so richtig verstanden.

… und Du nimmst es mir auch nicht übel, wenn ich Dir sage,
dass Du auch noch nicht ausgelernt hast :smile:

Ausgelernt hat man nie :wink:

Es gibt nun mal
nicht nur das Tagging Verfahren um VLANs zu machen.

VLANs verstehe ich als Synonym für IEEE 802.1q.

Und weil ich sicher sein wollte, bevor ich eine große Hupe
mache habe ich es schnell aufgebaut. Baystack 450. Stichwort:
Port-based VLAN. Man kann dabei einen Port an mehrere VLANS
zuweisen.

Ah, die Sparvariante. Ich hörte davon. Solange jeder Switchport in max.
einem „VLAN“ ist, ist das nichts anderes als VLANs nur per Access Port
aka untagged.

Testaufbau: 2 VLAns. 3 Test-PCs, ein Router. VLAN 1 beinhaltet
den Router und den Admin-PC, das zweite VLAN die beiden
anderen PCs plus den Admin PC. i IP Subnetz.

Fazit: geht, klappt, genau wie gewünscht, und ganz ohne Tags.
Admin-PC und Router können miteinander, und alle PCs können
mit dem Admin-PC, aber nicht mit dem Router. Wie vorausgesagt
fällt DHCP auf die Nase, aber mit statischen IPs kein Problem.

Entweder ist das ein Wunder, oder ich lüge, oder Du hast
gerade gerade was gelernt. Your Choice.

Oh, es wundert mich nicht, dass das augenscheinlich klappt. Das Problem dabei
ist, dass Du mit so einer Lösung - übrigens unabhängig davon, ob Du ein Subnetz
oder zwei verschiedene benutzt - keine saubere Layer 2-Trennung und damit de
facto keine VLANs mehr hast, sobald ein Port in mehr als einem „port-based VLAN“
ist.

Das merkst Du natürlich nicht, sofern Du Dich nur auf IP-Ebene bewegst, aber
wenn Du mal einen Sniffer mitlaufen lässt, wirst Du das sehen. Durch diesen
Umstand fängst Du Dir a) Information Leakeage und b) Potential zum Durchbrechen
der Trennung ein („CAM Table overflow“ ist das Stichwort). Das sind beides
Geschichten, die Dir mir VLANs nach 802.1q nicht über VLAN-Grenzen hinweg
passieren können.

Gruß,

Malte

18

VLANs verstehe ich als Synonym für IEEE 802.1q.

Port based VLANS sind, soweit mich mein altes Gedächtnis nicht trügt, zuerst da gewesen. Das Tagging Verfahren wurde später spezifiziert, als man VLANs Switch-übergreifend machen wollte.

Das merkst Du natürlich nicht, sofern Du Dich nur auf IP-Ebene
bewegst, aber
wenn Du mal einen Sniffer mitlaufen lässt, wirst Du das sehen.

Kein Problem, mach ich doch glatt. Allerdings habe ich den Baystack Radaubruder schon wieder in die Gerümpelkammer verräumt. Bevor ich ihn da wieder rauszerre … was für Pakete sollen das denn sein? Wonach muss ich genau suchen? Keine Praxis ohne passende Theorie :smile:

Potential zum Durchbrechen
der Trennung ein („CAM Table overflow“ ist das Stichwort). Das
sind beides
Geschichten, die Dir mir VLANs nach 802.1q nicht über
VLAN-Grenzen hinweg
passieren können.

Hm, Du bist Dir sicher, dass VLAN Tagging einen CAM Overflow verhindern kann? Das wäre mir neu, aber ich gebe zu, dass mich das Thema VLAN Sicherheit, da ich nicht im Hochsicherheitstrakt arbeite, nur periphär interessiert hat. Aber ich lerne auch gerne dazu :smile:

…Armin

19

VLANs verstehe ich als Synonym für IEEE 802.1q.

Port based VLANS sind, soweit mich mein altes Gedächtnis nicht
trügt, zuerst da gewesen. Das Tagging Verfahren wurde später
spezifiziert, als man VLANs Switch-übergreifend machen wollte.

Das kann schon sein. Die Zeit vor 802.1q hab ich noch nicht in der IT erlebt :wink:
Ich hab aber mal kurz nachgelesen, mit dem Ergebnis, dass 802.1q u.a. eingeführt
würde um a) proprietäre Lösungen wie ISL zu homogenisieren und b) um gewisse
Sicherheitsprobleme zu vermeiden(!).

Das merkst Du natürlich nicht, sofern Du Dich nur auf IP-Ebene
bewegst, aber
wenn Du mal einen Sniffer mitlaufen lässt, wirst Du das sehen.

Kein Problem, mach ich doch glatt. Allerdings habe ich den
Baystack Radaubruder schon wieder in die Gerümpelkammer
verräumt. Bevor ich ihn da wieder rauszerre … was für Pakete
sollen das denn sein? Wonach muss ich genau suchen? Keine
Praxis ohne passende Theorie :smile:

Alles, was vom „dual homed“ PC kein eindeutiges Ziel hat, aber $eigentlich nur
an den Router gerichtet ist, also ARP z.B. u.a. Broadcasts. Allein damit werden
schon Informationen geleaked und die Trennung ist nicht mehr konsequent.

Potential zum Durchbrechen
der Trennung ein („CAM Table overflow“ ist das Stichwort). Das
sind beides
Geschichten, die Dir mir VLANs nach 802.1q nicht über
VLAN-Grenzen hinweg
passieren können.

Hm, Du bist Dir sicher, dass VLAN Tagging einen CAM Overflow
verhindern kann? Das wäre mir neu, aber ich gebe zu, dass mich
das Thema VLAN Sicherheit, da ich nicht im
Hochsicherheitstrakt arbeite, nur periphär interessiert hat.
Aber ich lerne auch gerne dazu :smile:

Nein, VLAN Tagging verhindert nicht generell den CAM Table Overflow, beschränkt
die Auswirkungen (also das Flooding von Frames) jedoch auf das betr. VLAN. Du
kannst also die VLAN Grenzen unter 802.1q damit nicht durchbrechen. port-based
VLANs kannst Du damit aber durchbrechen, wenn ein Node

Darüber hinaus erschließt sich mir immer noch nicht, wie overlapping port-based
VLANs (mehr als eines pro Port) ohne Tagging gelöst werden soll. Selbst
stichprobenartig konsultierte Hersteller-Docs sprechen bei Overlaps immer von
„Q-compliant“ o.ä., arbeiten also immer mit Tags und/oder Zuordnungsentscheidungen
anhand von Informationen höherer Protokolle (IP bspw.).

Gruß,

Malte

20

Hallo,

Wunderbar! Würde mich noch interessieren, ob das der Dlink
wirklich nicht kann, oder ob nur das Handbuch dieses Thema zu
stiefmütterlich abbügelt?

ich bin’s nochmal :wink: Mich lässt das einfach nicht los. Deshalb habe ich mich mal
durch die Handbooks zu den betr. Switches (Nortel Baystack, Level One Websmart, D-Link DGS) durchgewühlt.

Dabei ist folgendes herausgekommen:

Es ist unmöglich, einen Switchport ohne 802.1q und ohne protocol-based VLAN in
mehr als ein VLAN zu packen. Das geht nicht, und es kann gar nicht gehen, weil
ja die VLAN-Unterscheidung anhand irgendwelcher Kriterien getroffen werden muss.

Weiters benutzen alle Switches für den hier beschriebenen Anwendungsfall das von
mir skizzierte Szenario „ein VLAN tagged, eines native aka untagged aka PVID“.

Wirklich funktionieren tut das desweiteren nur, wenn ENTWEDER zwei Subnetze
verwendet werden ODER der IP-Stack kaputt ist. Letzteres führt zu
Sicherheitsproblemen (Details auf Wunsch).

Unter’m Strich scheint mir, dass wir uns eh einig sind und nur ggf.
unterschiedliche Begriffe benutzt haben :smile:

Falls ich FF = föllich falsch liege, erklärt es mir doch bitte. Ich meine zwar,
mich auf Layer 2 ziemlich gut auszukennen, allerdings ist Layer 2 auch leider
nicht so deterministisch und aufgeräumt wie IP, sondern eher der wilde
Ethernetdschungel, und ich lerne gern dazu.

Gruß,

Malte