Netzwerkstrukturverbesserung - Schule - WLC

Forum zum LANCOM WLC-4100, WLC-4025+, WLC-4025 und WLC-4006 WLAN-Controller

Moderator: Lancom-Systems Moderatoren

PappaBaer
Beiträge: 157
Registriert: 21 Jul 2016, 20:49

Re: Netzwerkstrukturverbesserung - Schule - WLC

Beitrag von PappaBaer »

tstimper hat geschrieben: 12 Feb 2023, 19:43 Hi Torsten,

Code: Alles auswählen

By default, all logical interfaces (e.g. LAN-x, WLAN-x, P2P-x or WLC-TUNNEL-x) are aggregated transparently in a bridge (BRG-1).

In "isolated mode" the bridge, i.e. the layer-2 forwarding between the different logical interfaces, is disabled.

It may be regarded as a global enable-/disable switch for the bridging function.

Info:
 Additional "Bridge" functionalities (e.g. Spanning Tree) also work in "Isolated mode".
Also mit dem Inter-VLAN Routing hat es nicht zu tun, es ist nur eine saubere Trennung für den Fall, das mal Netzwerk Fehler oder Konfig Fehler
an den angeschlossenen Switche vorkommen.
Broadcasts gehen über die Bridge, im Router Mode bleiben sie am Interface hängen.
Moin,

ich glaube, wir reden hier ein wenig aneinander vorbei.
Die Frage ist doch, was würde hier im konkreten Fall gebridged werden?

Aushilfsinformatiker will am Lancom insgesamt 4x Switche mit einem 802.1Q Trunk anbinden. Auf allen Switches soll es zumindest das VLAN1 vom Lancom geben und auf dreien auch das VLAN10.

Das einfachste wäre es nun, die entsprechenden Netze im Lancom einfach alle auf LAN1 zu binden und entsprechende VLAN-Tags zu vergeben. Bei Netzen, die sich generell untereinander sehen sollen, wird ein identisches Routing-Tag vergeben (das erspart das umtaggen über die Firewall). ETH1-4 werden nun allesamt LAN1 zugeordnet.
Somit haben wir eine Trennung auf Layer 2 und 3. Das Inter-VLAN-Routing ist nun automatisch im Lancom aktiv, die gerouteten Pakete passieren die Firewall und entsprechend kann hier der Traffic kontrolliert werden.
Hier wird nichts gebridged, da nur das Interface LAN1 in Benutzung ist. Entsprechend ist es vollkommen egal, ob die LAN-Bridge im Standard oder Isolierten Modus ist. Die Option "Isolierter Modus" ist wie Dein Screenshot ja auch zeigt eigentlich nur ein globaler Schalter, um sämtliche BRG-Gruppen auf einmal abzuschalten. Hat die selbe Funktion, als würde man in der Port-Tabelle alle Interfaces auf Bridge-Gruppe "keine" setzen. In meinem obigen Beispiel also, um das "sauber" zu haben, einfach Interface LAN1 auf "keine", auch wenn das irrelevant ist, wenn weitere Interfaces gar keine Verwendung finden.
Der WLC-Tunnel wird ja, wenn ich die Darstellung richtig lese, im WLC terminiert und ist für den 1906 uninteressant.
Im übrigen wäre in dem gerade beschriebenen Fall sogar die Aktivierung des VLAN-Moduls unnötig. Dann muss nur bedacht werden, dass Frames, die im Lancom das Tag0 haben, ungetagged auf dem Trunk sind und entsprechend am anderen Ende des Trunks (also auf dem Switch) im VLAN landen, welches als PVID auf dem Port (bei Lancom ja ein Hybrid-Port) konfiguriert ist (z.B. eben VLAN1).

Broadcasts werden durch die Broadcast-Domain beschränkt und wie wir alle wissen, stellt ein VLAN eine Broadcast-Domain dar. Also selbst wenn ich zwei LAN-Interfaces Bridge, welche in unterschiedliche VLANs gebunden sind, dann werden hier keine Broadcast geflutet.
Koppelfeld hat geschrieben: 12 Feb 2023, 20:35 Das SCHAFFT Probleme.
Ein Switch arbeitet aus L2. Ein Router auf L3.
So ist deren Definition, ja.

Trotzdem sehe ich das ein wenig anders (moderner) als Koppelfeld, aber diese Diskussion hatte ich vor einigen Jahren mit ihm schon einmal.

Im oben beschrieben Szenario hast Du beim Inter-VLAN-Routing den !906 als mögliches Nadelöhr. Soweit ich mich erinnere ist es so, dass dort alle 4 ETH-Ports auf dem selben 1GBit/s LAN-Chip arbeiten. Die 1GBit/s werden also geshared.
Je nachdem, wie hoch der zu erwartende Anteil des Datenverkehrs zwischen den VLANs ist, ist es meiner Meinung nach ggf. durchaus sinvoll einen zentralen "Core"-Switch einzusetzen, der mit aktivierter Layer3-Funktionalität das Inter-VLAN-Routing übernimmt. Restriktionen müssten dann natürlich über ACLs im Switch gemacht werden. Ein ordentlicher Switch kann das Forwarding zwischen den VLANs dann auf jeden Fall in Wirespeed machen.

EDIT:
@Aushilfsinformatiker
Die Problematik mit dem Server verstehe ich nicht. Der wird doch am Ende über das Inter-VLAN-Routing auch von den den anderen Netzen erreichbar sein und der Zugriff auf diesen damit über die Firewall im Router oder ACLs im Switch gesteuert werden.
Da wäre es mMn ziemlicher Blödsinn, den Server über eine weitere Netzwerkschnittstelle in ein weiteres VLAN einzubinden.

Grüße,
Torsten
Koppelfeld
Beiträge: 967
Registriert: 20 Nov 2013, 09:17

Re: Netzwerkstrukturverbesserung - Schule - WLC

Beitrag von Koppelfeld »

PappaBaer hat geschrieben: 12 Feb 2023, 22:52
Koppelfeld hat geschrieben: 12 Feb 2023, 20:35 Das SCHAFFT Probleme.
Ein Switch arbeitet aus L2. Ein Router auf L3.
So ist deren Definition, ja.
... und je einfacher und klarer die Definition, desto weniger Verständnisprobleme. Entia non sunt multiplicanda praeter necessitate.
Im oben beschrieben Szenario hast Du beim Inter-VLAN-Routing den !906 als mögliches Nadelöhr. Soweit ich mich erinnere ist es so, dass dort alle 4 ETH-Ports auf dem selben 1GBit/s LAN-Chip arbeiten. Die 1GBit/s werden also geshared.
Ist fast so schlimm. Die teilen sich einen SerDes mit 1 GBit/s. Da hat man dann viele Ports und kann doch kein LACP machen.
Deswegen nimmt man ja auch ein "richtiges" Rackgerät wie die 7100/9100. Die haben auch keine Discobeleuchtung.
Je nachdem, wie hoch der zu erwartende Anteil des Datenverkehrs zwischen den VLANs ist, ist es meiner Meinung nach ggf. durchaus sinvoll einen zentralen "Core"-Switch einzusetzen, der mit aktivierter Layer3-Funktionalität das Inter-VLAN-Routing übernimmt. Restriktionen müssten dann natürlich über ACLs im Switch gemacht werden. Ein ordentlicher Switch kann das Forwarding zwischen den VLANs dann auf jeden Fall in Wirespeed machen.
Jede ACL kostet, Access Control wird auf mindestens zwei Geräte verteilt und Schulen kaufen zwar i.d.R. teuer ein, aber dafür ist es dann großer Bockmist, dank genialer PolitikerInnen wie z.B. Susanne Eisenmann in BaWue.
Die haben da einen schönen D-Link oder Netgear.
Und wenn sie einen ordentlichen Switch kaufen SOLLTEN, was eigentlich gar nicht geht, weil sie ja aus so einem "Kaufhaus des Bundes" - Katalog bestellen müssen, dann kommen die Junglehrer nicht damit klar.

Ich würde das wirklich nur machen, wenn es extrem viel Traffic "horizontal" gibt.


Schönen Gruß !
Aushilfsinformatiker
Beiträge: 46
Registriert: 13 Apr 2020, 10:56

Re: Netzwerkstrukturverbesserung - Schule - WLC

Beitrag von Aushilfsinformatiker »

Vielen Dank für das enorme Feedback. Die Variante mit VLAN's direkt am Server finde ich auch nicht optimal.

Im Internat und im Nebengebäude ist die Einrichtung kein Problem, da alle von Außen (Internat) und das Nebengebäude per VPN problemlos auf die Serverdienste zugreifen können. In diesen Gebäuden schalte ich das VLAN-Modul scharf und richte alles ganz klassisch ein. Dort müssen die Netzwerke nicht miteinander kommunizieren.

Theoretisch könnte man im Hauptgebäude auch auf das VLAN-Modul verzichten und es ganz einfach bauen:

VLAN0 - Routing Tag 0 - Verwaltungsnetzwerk, Administration (alle Netzwerkgeräte), WLC
VLAN10 - Routing Tag 1 - Lehrer-PC (fest verbaut)
VLAN20 - Routing Tag 1 - PC-Kabinett
und beliebig weiter......

VLAN0 hat ja auf diese Weise immer Zugriff auf die weiteren Netzwerke. Netzwerke mit gleichem R-Tag sehen sich gegenseitig. Ansonsten die VLAN_ID's zum WLC durchreichen und dort noch einen Public-Spot für Schüler und Privatgeräte einrichten ohne Zugriff auf das LAN, nur die wenigen Dienste zum Server.

Dann hätten ich zumindest drei Szenarien zum Testen. Das ist doch schon mal ein Angebot.

Besten Dank und viele Grüße
tstimper
Beiträge: 956
Registriert: 04 Jun 2021, 15:23
Wohnort: Chemnitz
Kontaktdaten:

Re: Netzwerkstrukturverbesserung - Schule - WLC

Beitrag von tstimper »

Aushilfsinformatiker hat geschrieben: 13 Feb 2023, 18:54
Dann hätten ich zumindest drei Szenarien zum Testen. Das ist doch schon mal ein Angebot.

Besten Dank und viele Grüße
Viel Spass dabei und wenn Du alles so gut dokumentierst findest Du dann auch schnell Fehler wenn was nicht funktioniert :-)

Viele Grüße

ts
TakeControl: Config Backup für LANCOM Router, ALC, APs und Switche...
https://www.linkedin.com/posts/activity ... 04032-DNQ5
https://www.nmedv.de
Aushilfsinformatiker
Beiträge: 46
Registriert: 13 Apr 2020, 10:56

Re: Netzwerkstrukturverbesserung - Schule - WLC

Beitrag von Aushilfsinformatiker »

Ich muss unbedingt mal zu einer Lancom-Schulung fahren, vorausgesetzt diese sind nicht nur für studierte Administratoren und Informatiker.
Sobald alles fertig ist, gebe ich hier mal eine kleine Rückmeldung.

Zumindest bekommen wir die Komponenten von keiner Behörde vorgeschrieben, wir arbeiten autark und müssen nur im finanziellen Rahmen des Digitalpaktes bleiben, d.h. die Netzwerkkomponenten müssen im Schulbetrieb bei Defekten auch aus dem mageren Haushalt sofort bezahlt werden. Deshalb lieber mehrere 26-Switche als wenige große Switche. Oder 3 kleine WLC anstatt den großen für alle Gebäude.

Das meiste Geld frisst die Neuverkabelung von 5 Gebäuden mit Buddelarbeiten zwischen den Häusern.


Aber besten Dank! Super Austausch und viel Geduld mit den nicht ganz so bewanderten Admins.
Aushilfsinformatiker
Beiträge: 46
Registriert: 13 Apr 2020, 10:56

Re: Netzwerkstrukturverbesserung - Schule - WLC

Beitrag von Aushilfsinformatiker »

Hallo, jetzt ist ein kleines Nebengelass fertig verkabelt. Dort versuche ich im Kleinen die Struktur für Hauptgebäude und Internat zu basteln. Da bin ich über ein Problem zum Verständnis für VLAN bei Lancom, was die Abtrennung der VLAN's betrifft, ganz zufällig gestolpert. Folgendes Szenario

VLAN-Modul aktiviert

VLAN 1 = Wartungsnetz
VLAN10 = PC an LED-Boards
VLAN20 = Lehrerarbeitsplätze
VLAN30 = Buero

alle VLANS an LAN1 angebunden und gehen von ETH1 an einen GS2326P+ (Port25) hybrid
an Port 26 soll nächste Woche alles zum zweiten Datenschrank im Dachgeschoss gehen per sfp-Modul/LWL.
entsprechend der angehängten Grafik VLAN-Ports eingerichtet.
membership.JPG
Port_Config.JPG
Soweit funktioniert alles, jedoch sehen sich die VLANS gegenseitig und sind erreichbar. Das hat mich ordentlich verwirrt. Beispielsweise bei Draytek richtet man die VLANS ein und kann dann in der Firewall das Inter-VLAN-Routing konfigurieren.
An Port 24 hängt untagged ein WLC mit einem WLC-Tunnel, welcher zum lokalen Netz blockiert wird und mit einem eingehängten LAN (Wartungsnetz für mich).

Folgende Frage zum Verständnis: Liegt hier das Problem, weil alle VLANS über LAN1 gehen? Würde bei einer Aufteilung auf LAN1-LAN4 der VLANS die gewollte Netzwerktrennung vorhanden sein? Eigentlich wollte ich auf portbasiertes VLAN verzichten, um gerade im Hauptgebäude Switche einzusparen.

Das Problem habe ich jetzt mit Firewallregeln gelöst (Netze gegenseitig blockiert), welche komischerweise greifen, obwohl der 1781vaw im Bridge-Modus unterwegs ist. Mein Rechner im Wartungsnetz kann auf alle Netze zugreifen.

Viele Grüße
AH
Du hast keine ausreichende Berechtigung, um die Dateianhänge dieses Beitrags anzusehen.
Dr.Einstein
Beiträge: 2893
Registriert: 12 Jan 2010, 14:10

Re: Netzwerkstrukturverbesserung - Schule - WLC

Beitrag von Dr.Einstein »

Du wirst wohl alle Netze mit dem gleichen Schnittstellentag versehen haben. Dann sind die Netzwerke untereinander sichtbar. Oder ein Netz ist als DMZ hinterlegt.

Zusätzlich solltest du den Frame-Type von Access Switch Ports auf "untagged" umstellen statt "all".
Das Problem habe ich jetzt mit Firewallregeln gelöst (Netze gegenseitig blockiert), welche komischerweise greifen, obwohl der 1781vaw im Bridge-Modus unterwegs ist.
Klar wieso sollte es anders sein? Alles was über den Router (also Routingfunktion) geht, passiert auch die Firewall. Wenn du zwei VLANs verbindest, geht das nur über Layer 3, also Routing, d.h. die Lancom Firewall greift hierbei. kA was andere Forenuser hier meinen mit Bridge Gruppen und sich gegenseitig sehen. Das ist Quatsch in solch einem Aufbau.
Aushilfsinformatiker
Beiträge: 46
Registriert: 13 Apr 2020, 10:56

Re: Netzwerkstrukturverbesserung - Schule - WLC

Beitrag von Aushilfsinformatiker »

Hallo, vielen Dank, dass mit den Schnittstellentags habe ich mir schon fast gedacht. Mit Vorausschau auf das Hauptgebäude wäre das eine Variante, den Server von allen VLAN's erreichbar zu machen und trotzdem eine straffe Segmentierung zu haben. Den Server in ein eigenes VLAN stellen, gleiche Schnittstellentags und alles gegenseitig sperren bis auf den Server. Der Server regelt dann sowieso auf der eigenen Firewall, was welches Netz darf und was nicht.

Andererseits könnte man die Trennung der VLANS per Schnittstellentags konsequent machen. Lässt sich auf diese Weise auch so bequem von VLAN zu VLAN routen? Ich habe da noch keine Lösung gefunden. Im Hauptgebäude, welches noch in Arbeit bezüglich der Verkabelung ist, habe ich die Netzwerktrennung momentan nur durch Schnittstellentags ohne VLAN. Wartungsnetz ist VLAN0.

Momentan laufen die Netze für Lehrer über Glasfaser (Routing Tag 1), die Verwaltung über VDSL (Routing Tag 0). Im Januar bekommen wir einen neuen Glasfaseranschluss von der Telekom mit Ausfallleitung VDSL. Da will ich mich an administrativer Distanz versuchen und alle dann neu gebauten Netze über Glasfaser rausführen.

Viele Grüße und ein schönes Schnee-Wochenende
AH
Aushilfsinformatiker
Beiträge: 46
Registriert: 13 Apr 2020, 10:56

Re: Netzwerkstrukturverbesserung - Schule - WLC

Beitrag von Aushilfsinformatiker »

Kleiner Nachtrag, ich habe die VLANS im Nebengebäude per Schnittstellentags getrennt und das Inter-VLAN-Routing über eine Firewall-Regel gemacht. Nur das Schnittstellentag des Ziels unter Routing-Tag eintragen und das Netzwerk/Station mit entsprechenden Diensten auswählen, funktioniert sehr gut. Vor allem ist die Firewall deutlich kürzer, da diese nicht mehr die Netzwerktrennung durchführen muss.

Jetzt kann ich im Hauptgebäude den Server in ein extra VLAN stellen und von anderen Netzwerken mit ausgewählten Diensten den Zugriff ermöglichen.

Viele Grüße
AH
Aushilfsinformatiker
Beiträge: 46
Registriert: 13 Apr 2020, 10:56

Re: Netzwerkstrukturverbesserung - Schule - WLC

Beitrag von Aushilfsinformatiker »

Hallo, das erste Schulgebäude (Nebengebäude) ist fertig. Jetzt bin ich im Hauptgebäude, alles abgekabelt und bei der kompletten Neueinrichtung.
Ich verkürze einmal mein Problem auf die 2 Netze:

192.168.179.0 Wartungsnetz VLAN 1 Schnittstellen-Tag 0
192.168.178.0 Share für Server VLAN 20 Schnittstellen-Tag 20

Sämtliche VLANS greifen per Inter-VLAN-Routing auf den Server zu.
Der WLC hängt untagged im Wartungsnetz und reicht einige VLAN's für Lehrer und Schulleitung per WLAN durch. Jetzt ist noch ein Public Spot für die Schüler installiert. Dieser soll ebenfalls auch auf den Server zugreifen können, jedoch vollständig vom lokalen Netz isoliert bleiben.

Meine Idee wäre es, in der Firewall alle Netze für den Public Spot zu blockieren und den Server durch umtaggen erreichbar zu machen.
oder
Im Router ein VLAN30 für die Schüler erstellen, welches auf den Server zugreifen kann und den Public Spot dorthin leiten?

Hat so etwas schon jemand ähnlich gebaut oder gibt es eine elegantere Lösung?

Besten Dank für die Hilfe
AH
Antworten

Zurück zu „Alles zum LANCOM WLC-4100, WLC-4025+, WLC-4025 und WLC-4006 WLAN-Controller“