Probleme beim Routing mit VLANs

[Hunv]

Moin,

ich versuche einmal zunächst meinen Plan so gut es geht zu beschreiben, damit das was dabei rauskommen soll verständlicher ist.
Ich habe einen LANCOM 1741A (FW 10.20.0259), einen Switch (alter Longshine LCS-GS9428), eine FritzBox 7390 und einen Accesspoint (Zyxel NWA1123-AC-Pro).

Ich möchte nun drei VLANs konfigurieren, in denen dann entsprechende Geräte registriert werden:
1. PRIVATE (VLAN 40): Die PCs und Notebooks von der Familie, die per Default alles sehen
2. GUEST (VLAN 41): Gäste-Netzwerk (primär WLAN), die per Default standard Internetports nutzen drüfen, den Rest des Netzwerk aber nicht sehen
3. SMARTHOME (VLAN 42): Für SmartHome Geräte, die per Default erstmal nirgendwohin drüfen

Mein Aufbau ist wie folgt:
Am Switch sind einige Ports mit den entsprechenden VLANs getaggt (Access) sowie zwei Ports als Trunk mit allen. An den Access-Ports hängen PCs (VLAN 40), Geschirrspühler (VLAN 42), AccessPoint (Trunk mit 1,40-42) und der Uplink zum Lancom Router (Trunk mit 1,40-42).
Am Lancom Router an Port 1 hängt der Uplink zur Fritzbox und an Port 2 hängt der Uplink zum Switch.
Zwischen Lancom Router und Fritzbox ist kein VLAN. IP der Fritzbox ist 192.168.4.1.

Nun habe ich den Lancom Router wie folgt konfiguriert:
1. IPv4 => Allgemein => IP-Netzwerke:
INTRANET IP auf 192.168.4.2 mit VLAN-ID 1, Schnittstelle LAN-1 und Tag 0
PRIVATE IP auf 192.168.40.1 mit VLAN-ID 40, Schnittstelle LAN-1 und Tag 40
GUEST IP auf 192.168.41.1 mit VLAN-ID 41, Schnittstelle LAN-1 und Tag 41
SMARTHOME IP auf 192.168.42.1 mit VLAN-ID 42, Schnittstelle LAN-1 und Tag 42

2. IPv4 => DHCPv4 => DHCP-Netzwerke
INTRANET: DHCP aus
PRIVATE, GUEST und SMARTHOME:
IPs: 192.168.4x.100-192.168.4x.199.
Maske: 255.255.255.0
Broadcast: 192.168.4x.255
Gateway: 192.168.4x.1
Erster DNS: 192.168.4x.1
Zweiter DNS: 192.168.4.1

3. Schnittstellen => LAN => Ethernet-Ports
Alles auf LAN-1 konfiguriert

4. Schnittstellen => VLAN
VLAN-Modul aktiviert: aktiviert

5. Schnittstellen => VLAN => VLAN-Tabelle
Neue VLANs erstellt:
PRIVATE_VLAN, Vlan-ID: 40, Port-Liste: LAN-1, LAN-2, LAN-3, LAN-4
GUEST_VLAN, Vlan-ID: 41, Port-Liste: LAN-1, LAN-2, LAN-3, LAN-4
SMARTHOME_VLAN, Vlan-ID: 42, Port-Liste: LAN-1, LAN-2, LAN-3, LAN-4

Mit diesen Einstellungen kann ich mit einem Gerät, welches an Switch an einem Port mit VLAN 40 angeschlossen ist den Lancom Router in dem Subnetz (192.168.40.1) pingen. Ich kann auch aus dem Lancom-Fritzbox-Netz die Intranet-IP 192.168.4.2 pingen.
Ich bekomme aber nicht aus dem PRIVATE-Netz die z.B. Fritzbox gepingt.
Testhalber habe ich im Lancom Router eine Allow any-any Regel erstellt. Ohne Auswirkungen.

Ich habe dann in Lanconfig eine Traceausgabe für die Option "IP-Router" erstellt. Dort sehe ich folgendes:

Code: Alles auswählen

[IP-Router] 2019/05/23 22:26:15,523  Devicetime: 2019/05/23 22:26:14,500
IP-Router Rx (LAN-1, PRIVATE, RtgTag: 40): 
DstIP: 141.1.1.1, SrcIP: 192.168.40.195, Len: 60, DSCP: CS0/BE (0x00), ECT: 0, CE: 0
Prot.: ICMP (1), echo request, id: 0x0001, seq: 0x1a38
Network unreachable (no route) => Discard

Ins Besondere die letzte Zeile verstehe ich so, dass der Lancom Router das Paket nicht routen kann, weil er keine Route findet. Unter IP-Router => Routing => IPv4-Routing-Tabelle... ist die Route "255.255.255.255" mit der Maske 0.0.0.0 und der IP der FritzBox jedoch vorhanden.

Ich verstehe nun nicht mehr, was ich noch tun muss, damit ich die Kommunikation zwischen den Netzwerken herstellen kann und auch aus den verschiedenen Netzwerken (ggf. durch die Firewall) ins Internet komme.

Hat jemand Erfahrung damit und kann mir helfen?

[backslash]

Hi Hunv,

das Problem sind die ARF-Sichtbarkeiten...

Deine Geräte sind in Netzen mit Routing-Tags 40...42, die Fritzbock hängt im Netz mit Tag 0... Jetzt steht zwar irgendwo im Handbuch, daß der Router auf Routen mit Tag 0 zurückfällt - das stimmt aber *nur*, wenn das Ziel im WAN ist. Da du deine Fritzbox aber an ein LAN gehängt hast, ist die Route zu ihr aus den anderen LANs nicht sichtbar...

Du könntest jetzt für die Netze, die ins Internet gehen dürfen, Firewallregeln erstellen, die Pakete aus diesen Netzen umtaggen - als Zieltag mußt du dabei 65535 angeben, weil ein Tag 0 in einer Firewallregel bedeutet, daß etwaig gesetzte Tags nicht geändert werden. Danach mußt du natürlich auch in der Fritzbox noch (Rück-)Routen zu deinen Netzen setzen, die auf das LANCOM zeigen - sonst kann das LANCOM zwar Pakete an die Fritzbox senden, die Antworten würden aber in der Fritzbox verworfen.

Einfacher ist es, eine maskierte DHCPoE-WAN Verbindung einzurichten, an der dann die Fritzbox hängt (am einfachsten geht das mit dem Internet-Wizard). Dann besorgt sich das LANCOM seine WAN-IP von der Fritzbox und die ARF-Sichtbarkeiten sind kein Problem mehr, weil die 0 getaggte Defaultroute greift. Und wegen der Maskierung brauchst du keine Rückrouten in der Fritzbox...

Da stellt sich dann nur noch die Frage, ob du die Fritzbox überhaupt noch brauchst.

Gruß
Backslash