smart switch - vlan richtige anlaufstelle und wie einrichten?

[ChavezD]

Hallo zusammen,

ich stehe grade vor einem riesigem Haufen Fragezeichen und bin auf der Suche nach der richtigen Lösung.. Ich hoffe mir kann jemand ein wenig auf die Sprünge helfen:

Vorhanden ist ein ZyXEL GS1900-24E, 24-Port, smart managed um den es hier hauptsächtlich gehen soll, hinter einer Vodafone Easy-Box.
(Und noch 2 Belkin Acces-Points, aber die werden anderweitig genutzt und laufen auch einwandfrei.)

Nun geht es darum, dass an dem Switch sowohl Geräte angeschlossen werden sollen, die Internetzugriff erhalten (PCs/Notebooks) aber auch solche, wo sich der Zugriff rein auf das Intranet beschränken soll (Server/NAS/Drucker etc.).

Mein Gedanke war jetzt, dass der Vodafone-Router beispielsweise an Port 1 angeschlossen wird, die Geräte mit Internetzugriff nachfolgend bis Port 12, und auf dem Rest(13-24) die lokalen Geräte.
(1.)Wäre das mit VLAN realisierbar?

Habe zwar früher mal mit DD-WRT damit etwas hantiert zwecks Gäste Wlan, aber wirkich sicher war ich im Umgang damit nicht und nach einigem lesen hier im Forum wurde ich noch mehr verwirrt.
(2.)"Reicht" hierfür Port-VLAN oder muss das mit Tags eingerichtet werden?
(3.)Wie genau sollte man die Einrichtung angehen, als quasi Netzwerk-Neuling bin ich doch etwas von der Einstellungs-Vielfalt überwältigt worden...man sehe mir bitte die Fehler in der Beschreibung etc nach

Wenn noch irgendwelche weiteren Infos benötigt werden sollten einfach nachfragen, ich liste mal flott zum Abschluss auf, was mMn evtl. relevant sein könnte.. Danke!
Easy-Box IP: 192.168.2.1
Belkin-AP-IPs: 192.168.2.2+3
bevorzugt wäre, wenn die Geräte an dem Switch ein komplett eigenes SubNet bilden würden, sodass man von ihnen garnicht auf die Geräte außerhalb (bspw. im Wlan/Belkins) zugreifen kann und umgekehrt, sondern nur die, die dürfen, ins internet kommen und sonst quasi auf einer Insel sind)...

 

[razzy]

Wer soll dann denn das Gateway für die anderen VLANs sein ?

Denke nicht, dass die Easybox Gateway für VLAN 1 und 2 kann ...

sprich du bräuchtest für diese Realisierung eigentlich einen Layer3 Switch

Ansonsten können die Hosts in den anderen VLAN nur in ihrem Subnetz kommunizieren, nicht nach draußen/draußen (ist ja gewollt) aber auch nicht nach innen/draußen (andere Subnetz innerhalb deines Netzwerks)

 

[ChavezD]

Mist, irgendwo musste ja ein Haken drin sein...
Ich verstehe deine letzte Aussage jetzt nicht so 100%ig, hieße das, dass ich zwar mit den VLANs alles soweit voneinander trennen könnte, aber dann die Geschichte mit der Kommunikation nicht mehr klappt, zB zwischen PC (bspw. VLAN10) und Server (bspw. VLAN20)? Würde denn dann wenigstens der Internetzugriff funktionieren (im VLAN10, und bei VLAN20 nicht)?

Welche Alternative Möglichkeit bestünde denn mit der vorhandenen Hardware, wenn man sagen würde, nur einige Geräte (Server+NAS) dürfen nicht ins Internet, aber ansonsten ist die Beschränkung nicht so wichtig(Trennung Privat/Büro)?

Ich versuche nochmal kurz den eigentlichen Zweck zu beschreiben:
1. Internetzugang via Easybox für privat+geschäftlich
2. dessen Netz+dhcp etc. der Einfachheit halber für private Nutzung (via WLAN bzw die Belkin APs)
3. Büro getrennt, mit der Hauptaufgabe, dass der Server+NAS nicht ins Internet kommt. Quasi ein(2?) Subnetz(e)/VLANs? -> Hier war der Switch eigentlich für gekauft worden, aber scheinbar lässt sich das garnicht so realisieren wie geplant?

Trotzdem danke schonmal! Vielleicht kannst du ja auch dann die passendere Hardware direkt empfehlen?

 

[razzy]

Wenn du dein Netz in VLANs trennst, muss man unterscheiden zwischen Layer 2 (switching) und Layer 3 (Routing).

Du könntest deine easybox mit in das z.B. VLAN 10 hängen (Beispiel Netz: 10.10.10.0/24).
Dann wäre das default gateway für das VLAN 10 die easybox.

Wenn du jetzt noch ein VLAN 20 machst, (Netz: 10.10.20.0/24) kann ja schlecht die easybox das gateway sein, sprich du bräuchtest hier ein gateway.

Und die Kommunikation zwischen verschiedenen Netzen braucht auch ein gateway -> bei einem reinen "Switch (Layer2)" kannst du per VLANs trennen, bräuchtest aber einen Router, den du per Trunk/Tagged Port anschließen kannst und virtuell für die einzelnen Vlans ein Gateway spielen könnte.

Deswegen gibt es u.a. sogenannte "Multi Layer Switche" oder auch L3 Switche genannt.
Hier kann man direkt für jedes VLAN ein Gateway konfigurieren.
Dann gibt es nur noch eine statische default route auf die Easy-Box uns fertig. (Natürlich müsste man bei dir dann noch ein paar access-listen basteln, damit VLAN XY nicht ins internet darf).

//EDIT:

Ich weiß nicht, was diese Easybox so hergibt, aber könntest du nicht einfach die IPs sperren durch Filterlisten, dass diese garkeinen Internet-Zugriff bekommen so àla FritzBox? Wäre natürlich die einfachste Variante.

Anonsten wenn es wirklich sauber in VLANs getrennt werden sollte, könnte ich aus P/L-Sicht einen HP 1920 empfehlen. Dies ist ein sogenannter "Multi Layer (L3) Switch"