VLAN im gleichen LAN

[DFFVB]

Die logischen(!) Segmente bleiben aber erhalten. 192.168.0.1 - 10 und dann 11 - 20 kann nicht funktionieren, nicht im LAN und auch nicht im VLAN.

Welchen Cisco Router nutzt Du denn? Hier im Tutorial wird das Subnetz ja auch gespalten (100-149)

 

[Raijin]

Das ist die DHCP-Range und nix anderes. Mein DHCP geht auch nur von .100 bis .199, das hat aber rein gar nichts mit dem Subnetz zu tun. Wenn man weiß was man tut, kann man auch mehrere DHCP-Server im selben Subnetz betreiben, mit separaten DHCP-Ranges (zB 50-99 + 100-149).

Das Subnetz selbst definiert sich aber einzig und allein durch IP-Adresse und Subnetzmaske.

 

[RalphS]

@DFFVB

Wenn Du mal genau schaust in dem Screenshot, dann hast Du da ne VLAN ID=1
bei 192.168.1.0/24. Das sind Adressen von *.1.1 bis *.1.254.

Und dann hast Du da eine VLAN ID=200. Die hat ein Subnetz bei 192.168.2.1/24, note die 2 im dritten Oktett (statt der 1). Das hat Adressen von 192.168.2.1 bis .2.254.

Wie @Raijin schon schreibt, was Du meinst ist die DHCP Range innerhalb des VLANs. Da das logische Segmente sind, kann der DHCP aus dem VLAN ID=1 nicht die Geräte in VLAN ID=200 verwalten (zumindest nicht ohne weitere Eingriffe). Deshalb braucht man dort eine eigene DHCP-Instanz, die der Cisco freundlicherweise per VLAN bereitstellen kann.

FWIW, ich hab den RV340W. Dem Namen zu urteilen sollte der im Screenshot meinem ausreichend ähnlich sein.

 

[DFFVB]

VLAN0 = 192.168.1.1-10
VLAN 1 = 192.168.1.11-20
etc.

Das ist die DHCP-Range und nix anderes. Mein DHCP geht auch nur von .100 bis .199, das hat aber rein gar nichts mit dem Subnetz zu tun. Wenn man weiß was man tut, kann man auch mehrere DHCP-Server im selben Subnetz betreiben, mit separaten DHCP-Ranges (zB 50-99 + 100-149).

Genau das meinte ich damit ja. Ich bezog mich auf diesen Beitrag
https://community.cisco.com/t5/switching/multiple-vlans-within-the-same-subnet/td-p/2599344

Freilich wusste ich da noch nicht, dass der Draytek so kastriert ist :-)

Wenn man es genau bedenkt hat er zwei LANs und damit auch nur zwei getrennte VLAN. Der Rest lässt sich ja nicht mal unterteilen. Habe ein bisschen in den Cisco Dokus gestöbert und hier die Unterscheidung zwischen DMZ Host und Subnet gefunden. Host = IP Adresse, Subnet = VLAN. In dem Configuartion Example steht auch, dass ein Host nicht sicher sei.

@RalphS Ich überlege gerade den 260 oder den 340 zu holen. Wenn ich das richtig sehe, muss man für IPS, Antivirus etc. beim 340 eine Lizenz kaufen? Wie bist Du sonst zufrieden? WLAN technisch?

 

[RalphS]

Du hast nicht so das Verständnis von Subnets, richtig? Keine Sorge, ich auch nicht, mußt ich auch irgendwann lernen.

IP-Netzwerk: Besteht aus Subnetzen.
Subnetz: Besteht aus einer Kennung und einer Subnetzmaske oder Prefix, je nach Notation.
Übliches Subnetz an einer Fritzbox: 192.168.178.0/24 bzw /255.255.255.0.

ID und Subnetzmaske bzw Prefix identifizieren das Subnetz eindeutig. Dabei gibt die Subnetzmaske und auch das Prefix an, welcher Teil des Adreßraums fürs Netzwerk und welcher für die Hosts darin gedacht ist:
24 wie vierundzwanzig mal "1" von links in den 32 verfügbaren Bits der ID.
Oder, wenn man das wie eine IP-Adresse in Oktetts zusammenfaßt: drei mal 8 Einsen, dann 8 Nullen.
1111:1111 binär sind aber 0xFF hex oder 255 dezimal, so kommen wir also zu der 255.255.255.0 .

Subnetze kann man zerlegen. Dazu verändert man die Grenze zwischen den 1 links und den 0 rechts in der Subnetzmaske.
Nach links und das Segment wird größer, weil rechts mehr Platz für Hosts da sind. Der Prefix wird kürzer und die IP-Notation "kleiner": In 10.0.0.0/8 passen mehr Hosts rein, der Prefix ist kürzer. und die Subnetzmaske ist 255.0.0.0 .

Nach rechts und das Segment wird kleiner. Rechts sind weniger Platz für Hosts. Dafür haben wir aber links mehr Platz für die Adressierung von Netzen. Der Prefix wird länger und die Subnetzmaske numerisch größer.


Das passiert im von Dir verlinkten Beitrag.
++ Es existiert ein /24 Netzwerk.
++ Es wird gefragt, ob man darin nicht zwei VLANs unterbringen kann.

Da wir hier von VLANs reden, ist der gesamte verfügbare Adreßraum gemeint. Der könnte auch kleiner oder größer gewählt werden, fürs private Segment bis zu 192.168.0.0/16; noch größer und wir kollidieren mit dem öffentlichen Netz, was wir nicht wollen.

Die Antwort lautet also dort wie auch hier: wenn es EIN Segment gibt, und da sollen ZWEI Segmente draus werden, dann müssen wir den Prefix um eins verlängern (/25) und nun ein zweites Subnetz identifizieren, welches 50% des ersten ausmacht.

Aus 192.168.0.0/24 <= die 24 ist wichtig!
wird
A 192.168.0.0/25 <= note die 25 -- erste Hälfte des bisherigen /24
B 192.168.0.128/25 <= note die 25 -- zweite Hälfte des bisherigen /24

Per VLAN besteht kein gesonderter Bedarf für Subnetting. Man kann auch einfach ein zweites /24 nehmen. Man kann auch ein größeres /22 nehmen, muß dann aber die Grenzen kennen, damit nichts kollidieren kann: wenn wir ..0.0/24 schon haben, dann wäre das zusammen mit ...1.0/24 ein /23 und dann nochmal zwei derselben Größe zusätzlich, die dann gemeinsam mit dem ersten Doppel zum /22 werden => 0.0 bis 3.0 stehen für unser /22 nicht zur Verfügung, wenn wir auch nur eines dieser Netze (oder etwas daraus) schon verwenden.
Aber VLAN ID=10 kann durchaus 192.168.0.0/24 sein und VLAN ID=20 dann 192.168.4.0/22 . Überhaupt kein Problem.


Die im verlinkten Thread angesprochene Einschränkung auf das ursprüngliche /24 Segment hat nur dann reale Bewandtnis, wenn man in einer größeren Umgebung eingebunden ist (außer per NAT natürlich) und somit noch weitere Segmente bereits existieren, mit denen natürlich auch nicht kollidiert werden darf. Sagen wir Du bist in einem Wohnheim und jedes Zimmer kriegt ein bestimmtes Segment zugeordnet, dann muß man natürlich mit diesem Segment auskommen, egal ob VLAN oder nicht (NAT wieder außen vor gelassen).


Ich bin mir relativ sicher, daß 255 VLAN IDs problemlos vergeben werden können, unter der Annahme natürlich, daß die Adminoberfläche nicht vorher halt macht.

Was den rv340w angeht, so bin ich zufrieden damit, ABER es sei dringend darauf hingewiesen, daß das KEINE Fritzbox ist.
Im Gegensatz zu dieser geht die Oberfläche davon aus, daß der Bediener weiß was er da tut.

Meine Wahl fiel auf ihn, weil ich einen Router gesucht hatte, der Triple-A implementiert und einen RADIUS-Client hat. Das war gar nicht so einfach, einen zu finden, jedenfalls zu der Zeit. Weiß nicht ob der 160 später rauskam oder warum ich mich gegen ihn entschieden hab.. vielleicht war auch nicht verfügbar. Keine Ahnung.

Hätte ich kein WPA-Enterprise ausrollen wollen, wäre meine Wahl aber fast sicher auf einem anderen, preiswerterem Gerät gelandet (außer Fritzboxen natürlich).

 

[Raijin]

Dem ist eigentlich nichts hinzuzufügen. In Subnetze muss man sich etwas einlesen. Zwar gibt es auch zahlreiche Subnetzrechner im www - nutze ich zT selbst - aber man sollte sich auf jeden Fall mit dem Zusammenspiel aus IP-Adresse und Subnetzmaske vertraut machen.

Ein /24er Subnetz ist nur der Quasi-Standard für 08/15 Netzwerke, weil man nicht lange mit der Subnetzmaske rumrechnen muss. Zudem sind 254 Host-Adressen, die ein /24er Subnetz bietet mehr als genug für die meisten Zwecke, aber eben auch nicht zuviel, um mit anderen Subnetzen zu kollidieren - sofern man nicht eines der Standard-Subnetze wählt, die ab Werk eingestellt sind (zB 192.168.0.0/24 oder auch das AVM-Subnetz 192.168.178.0/24).

 

[DFFVB]

Du hast nicht so das Verständnis von Subnets, richtig?

Ich arbeite daran ;-) Aber Danke auf jeden Fall für den ausführlichen und erhellenden Beitrag, gerade das Zusammenspiel mit den Subnetzmasken war mir so nicht ganz klar. Ich werd mal schauen, will ungern ewig viel Kästchen rumfahren haben, vlt wird es auch eiN Draytek 2865...

 

[Nizakh]

Ich habe mir das mit dem DrayTek Vigor2765 bzw. Vigor2865 mal genauer angesehen. Also grunsätzlich kann der 2765 zwei unterschiedliche Subnetze im LAN bereitstellen. Der 2865 unterstützt 8 Subnetze im LAN.
Bei der VLAN Konfiguration stehen 8 (2765) respektive 16 (2865) VLANs bereit. Warum?

Nicht ganz so einfach scheint es wie folgt zu sein:
Ich erstelle ein bzw. mehrere Subnetze und kann diese den unterschiedlichen VLANs zuweisen. Soweit ist alles easy.
Für Tagged VLANs wird auch jeweils ein VLAN in der Konfiguration verwendet. Das heißt im Falle des 2765 kann die Konfiguration dann auch mal so aussehen:

Es ist wichtig zu verstehen, dass man bei jedem VLAN (im DrayTek) entweder ein port-based VLAN oder ein tagged-VLAN erstellt. Diese VLANs kann man dann den unterschiedlichen Subnetzen zuordnen. Das ist in der Konfiguration etwas verwirrend.
Natürlich ist der Nutzen, von 8 dieser konfigurierbaren VLANs bei gerade Mal zwei Subnetzen, fraglich.

Deshalb ist bei der Planung mehrere getrennter Netze (mehr als 2) klar ein Vigor2865 (oder höher) notwendig.

Im Vergleich zu anderen Business Routern ist das ein wenig, sagen wir mal, statisch. Aber es funktioniert einwandfrei.

Preiswerte Alternativen, mit vergleichbaren Konfigurationsmöglichkeiten und integriertem Supervectoring gibt es allerdings nicht. Die LANCOM 179Xer Reihe ist von den Möglichkeitenher zwar umfangreicher, allerdings auch erheblich teurer. Ein 2865 (ohne WLAN) wird vermutlich rund 230€ kosten, während ein Lancom 1790VA mit rund 520€ mal eben das doppelte kostet.

 

[DFFVB]

Danke für die Info!

Natürlich ist es der Nutzen, von 8 dieser konfigurierbaren VLANs bei gerade Mal zwei Subnetzen, fraglich.

Genau das ist auch mein Problem. Ich wollte vier Zonen (Subnetze) - für Nextcloud 1 & 2, Plex und das normale Netz. Ggf. auch IOT. Wäre interessant ob sich das gleiche Subnetz und verschiedene VLAN per Hopping austricksen lassen...

Werde erstmal die Fritzbox behalten, die ist noch bis Ende des Vertrags kostenlos hab ich auf der Rechnung gesehen, aber ja, eine echte Alternative zum 2765 gibt es nicht. Wäre wohl in Zukunft eine FB + Cisco RV 260 (der gerade um gute 15-20% teurer geworden ist) + Asus Router. Ggf. auch den Cisco durch einen virtualsierten Router ersetzen, findet eh alles in einer Maschine statt (bis auf IOT).

 

[Nizakh]

@DFFVB Doch die Alternative ist der 2865 für 230€. Der hat das integrierte Supervectoring Modem und kann ja wie oben beschrieben 8 Subnetze. Einen Einblick in die Weboberfläche gibt es hier:
https://www.draytek.de/vigor2865-serie.html
Ich meinte oben das es zu den beiden DrayTeks keine Alternative gibt. War unglücklich formuliert.

Zumal die Performance des 2865 auf einem viel höheren Level ist, als von dem Cisco RV 260, der ja doch eher Schwach auf der Brust ist. -> Gerade beim Thema VPN.
Und mindestens 320€ kostet (RV260=210€ + Vigor165=110€), was dann einfach fürs Gebotene zu teuer ist.
Ich muss aber zugeben: Ich bin generell kein Cisco Fan. Da waren einfach zu viele Sachen in den letzten Jahren.

Ich selbst habe früher auch auf die Cisco RV Serie gesetzt, finde die auch von den Konfigurationsmöglichkeiten in Ordnung. Die Performance ist halt leider nicht der Wahnsinn, in der Regel reicht es aber. Für das was du machen willst, taugt aber so gut wie jeder Business Router. Leider gibt es für die Cisco RV260 keine Administrations-Demo die du dir mal anschauen kannst, aber es gibt ein paar ganz gute Videos.

Im Vergleich zu DrayTek muss man aber sagen: Die Cisco RV Serie ist einfacher zu konfigurieren, da die DrayTeks an einigen Stellen etwas eigen sind.

 

[Raijin]

Wäre interessant ob sich das gleiche Subnetz und verschiedene VLAN per Hopping austricksen lassen...

Nein. Egal wie der Vigor VLANs in der GUI konfigurieren lässt und anzeigt, intern hat er dann auf seinem physischen eth-Interface zusätliche virtuelle Interfaces, also zB eth1.10, eth1.20, und so weiter. Im Prinzip ist das aber nix anderes als wenn er mehrere physische Interfaces (eth0,) eth1, eth2, eth3, eth4 (eth0 ist idR WAN) hätte, heißt: Er hat ein Bein in einem zusätzlichen Netzwerkinterface und somit auch eine IP. Hätten nun zwei dieser Interfaces dasselbe Subnetz, wüsste er nicht mehr was er wie wohin routen soll, weil er beide Subnetze gar nicht unterscheiden kann.

Aus diesem Grunde verstehe ich den Vigor auch nicht und zumindest dieses Modell wirkt auf mich wie ein halbgarer Schnellschuss mit sehr merkwürdigen Einschränkungen.

 

[Nizakh]

Nochmal ein kleines Update zu DrayTek. Ich habe das jetzt auch mal mit den VLANs bei einem DrayTek Router ausprobiert. Man kann einem Subnetz mehrere VLANs zuweisen. Die Clients, die sich dann im gleichen Subnetz befinden, aber in unterschiedlichen VLANs können dann nicht miteinander kommunizieren. Befinden sich aber im gleichen Subnetz. Verwirrend.

 

[DFFVB]

Danke fürs Update. Hier wäre es spannend, ob VLAN Hopping funktioniert... Der 2865 hat sich zum Glück bei 230 stabilisiert und der Cisco ist ganz schön gestiegen, daher schwingt das Pendel eher wieder zu Draytek. Jetzt aber erstmal Sehnenscheidenentzündung daher, Projekt gerade auf Sparflamme :-)

 

[Nizakh]

@DFFVB Das kannst du ja dann mal testen. Gute Besserung!

 

[Raijin]

VLAN-Hopping ist ein Angriffsvektor gegen VLANs und sollte bitte nicht als "Feature" missverstanden werden.

Und was mehrere Subnetze auf mehreren VLANs angeht: Das ist ziemlich sinnfrei, wenn ihr mich fragt. Das ist nix anderes als 2 physische Schnittstellen mit demselben Subnetz und wird zu denselben Problemen führen.

Meiner Meinung nach sind die kleinen Vigors unbrauchbar, wenn man VLANs nutzen möchte oder gar darauf angewiesen ist.