Zusätzliches LAN mit Suffix 22 (Subnet 255.255.252.0)

[MaRoediger]

Liebe Experten,

auf einem Lancom 1906VA gibt es momentan zwei lokale Netze:
LAN-1: 192.168.100.0/24
LAN-2: 192.168.102.0/24
LAN-3: DMZ.

Der Router ist mit mehreren Außenstellen per VPN verbunden.
Alles funktioniert soweit seit Jahren gut.

Nun werden die IPs langsam knapp.
Vorgesehen ist nun, auf dem Port LAN-4 ein weiteres lokales Netz aufzubauen, das allerdings größer ist:
LAN-4: 192.168.112.0/22 (Subnet-Mask: 255.255.252.0).

Dieses Subnetz überlappt sich weder mit internen, noch mit den Netzwerken in den angebundenen Niederlassungen.
Es soll nun hier auch gleich noch eine neue Domain aufgebaut werden.
Später sollen alle Netzwerkgeräte aus den o.g. anderen Netzen in dieses neue Netz übernommen werden.

Meine Fragen:
Kann man das so machen?
Könnte das jetzt (mit drei lokalen Netzen) oder in der Zukunft Komplikationen geben?
Was wäre zu beachten?

Für Eure Ratschläge wäre ich dankbar.

Beste Grüße

Mario

[backslash]

Hi MaRoediger,

Kann man das so machen?

ja, wieso nicht? Etwa wegen der Netzmaske? CIDR ist seit Jahrzehnten Standard.

Könnte das jetzt (mit drei lokalen Netzen) oder in der Zukunft Komplikationen geben?

nein, weshalb sollte es - solange die Netze sich nicht überlappen, sind sie vollkommen unabhängig voneinander und stören sich also auch nicht.

Was wäre zu beachten?

nichts, was du nicht auch schon bei zwei Netzen beachten mußtest. Außer, daß du überall, wo du das Netz (auf externen Geräten) referenzierst, natürlich die richte Netzmaske angeben mußt.

Gruß
Backslash

[MaRoediger]

Hallo Backslash,

vielen Dank für Deine schnelle Antwort, die mich zunächst einmal beruhigt!

Zum Thema "richtige Netzmaske" noch eine Zusatzfrage:
Wenn man nun beispielsweise ein Netzwerkgerät mit folgender Konfiguration:
IP: 192.168.112.10
Subnet: 255.255.255.0

and den LAN-Port mit folgender Konfiguration hängt:
IP: 192.168.112.0
Subnet: 255.255.252.0,

was würde dann passieren?
Wäre der gar nicht erreichbar und könnte auch niemanden erreichen (vorausgesetzt natürlich, das Gateway wäre richtig eingetragen)?
Zum Hintergrund der Frage:
Man hat beispielsweise ein bestehendes Netz: 192.168.112.0 / 255.255.255.0.
Wenn man dieses dann vergrößern wollte auf 192.168.112.0/255.255.252.0, müßte man dann definitiv sämtliche Clients, bei denen noch die Subnetmask 255.255.255.0 eingetragen ist, umkonfigurieren?

Beste Grüße

Mario

[backslash]

Hi MaRoediger,

Wäre der gar nicht erreichbar und könnte auch niemanden erreichen (vorausgesetzt natürlich, das Gateway wäre richtig eingetragen)?

Das Gerät könnte halt nur Geäte im 192.168.112.x Netz (und das Internet) erreichen und auch nur von Geräten in diesem Netz (sowiedem Internet) erreicht werden. Mit den (Sub-)Netzen 192.168.113.x, 192.168.114.x und 192.168.115.x hingegen ist keine Kommunikation möglich: Die Hosts in den Subnetzen würden versuchen das Gerät direkt anzusprechen (wenn sie die /22 Maske haben), während das Gerät für die Antwort über das Gateway müßte - das wird die Pakete aber wieder zurück in das /22 Netz senden... letzteres gilt auch, wenn das Gerät eionen Host in einem der Subnetze ansprechen will

Man hat beispielsweise ein bestehendes Netz: 192.168.112.0 / 255.255.255.0.
Wenn man dieses dann vergrößern wollte auf 192.168.112.0/255.255.252.0, müßte man dann definitiv sämtliche Clients, bei denen noch die Subnetmask 255.255.255.0 eingetragen ist, umkonfigurieren?

Die Antwort ist defginitiv: ja

Gruß
Backslash

[MaRoediger]

Hallo Backslash,

nochmals vielen Dank für Deine Erläuterungen.
Jetzt habe ich es verstanden, auch wenn mir Deine letzte Antwort weniger gefällt!

Beste Grüße

Mario

[Jirka]

Hallo,

nichts, was du nicht auch schon bei zwei Netzen beachten mußtest.

unter anderem sollte man nicht die VPN-Netzbeziehungen vergessen und natürlich auch nicht die Aktualisierung der Firewall-Regeln.

Viele Grüße,
Jirka

[MaRoediger]

Hallo Jirka,

danke, ein guter Hinweis!

Beste Grüße

Mario

[MaRoediger]

Hallo Backslash,

nur um sicher zu gehen, daß ich in einer Produktivumgebung keinen Bockmist baue, noch folgende ergänzende Frage:

An anderer Stelle habe ich folgende Konfiguration:
- LAN-1: 192.168.12.0/24 (255.255.255.0)
- LAN-2: 192.168.11.0/24 (255.255.255.0)
- DMZ mit öffentlichen IPs
- mehrere VPN-Tunnel zu anderen Niederlassungen.
Alles läuft so seit Jahren.

Nun würde ich gern im laufenden Betrieb das vorhandene LAN-1 "aufblasen":
- LAN-1: 192.168.12.0/23 (255.255.254.0).

Es käme ja quasi das Subnetz 192.168.13.0 noch hinzu.
Letztgenannter Netzabschnitt überlappt sich mit keinem anderen, auch nicht in den per VPN angebundenen Niederlassungen.
Wenn ich Dich richtig verstanden habe, würde sich dann aber im Moment für alle vorhandenen Netzwerkteilnehmer im LAN-1 (12er Netzabschnitt), die noch mit der Netzmaske 255.255.255.0 konfiguriert sind, untereinander nichts ändern.
Der Router selbst hätte doch aber zwangsläufig die Adresse 192.169.12.x / 255.255.254.0.
Die bisherigen Teilnehmer könnten nach wie vor untereinander kommunizieren und kämen ins LAN-2 und ins Internet.
Die vorhandenen Geräte im 12er Netzabschnitt könnten aber nicht mit neuen Geräten im 13er Netz kommunizieren und auch nicht umgekehrt, auch wenn die Geräte im 13er Teil schon die Netzmaske 255.255.254.0 hätten.

Verpaßt man später den einzelnen Geräten im 12er Netzabschnitt die Netzmaske 255.255.254.0, dann kann jeder mit jedem.
Habe ich das so richtig zusammengefaßt?

Natürlich dann unter Beachtung von Jirkas Ergänzung, wobei die Frage steht, wann man die VPN- und Firewallregeln anpassen müßte - jetzt sofort oder erst dann, wenn die letztgenannten Änderungen erledigt sind?

Vielen Dank

Mario

[backslash]

Hi MaRoediger,

(...)
Habe ich das so richtig zusammengefaßt?

ja,

Natürlich dann unter Beachtung von Jirkas Ergänzung, wobei die Frage steht, wann man die VPN- und Firewallregeln anpassen müßte - jetzt sofort oder erst dann, wenn die letztgenannten Änderungen erledigt sind?

natrürlich sofort, denn sonst können die PCs aus dem .13er Bereich den Netzes nichts hinter dem den VPN-Tunnel (LAN-2) erreichen und umgekehrt...

Gruß
Backslash