DMZ für separates LAN einrichten

[proundcontra22]

Hallo Foren-Mitglieder,

ich habe ein Problem bei der Einrichtung eines Lancom 1781VA für ein separates LAN über ETH-4.
Folgende Konfiguration ist gedacht:
INTRANET 192.168.101.1 (statische IP-Adresse des Lancom)
DHCP-Server 192.168.101.10 (Win-Server 2016 mit DHCP und DC)

GAST-LAN 192.168.10.1 (DHCP-Server über Lancom auf ETH-4 = LAN 2)

Getestet wird derzeit mit einem Laptop, der direkt am Lancom an Port 4 hängt und keine IP-Adresse zugewiesen bekommt.

Bisherige Konfikurationsschritte:

1. LAN-2 auf ETH-4 zugewiesen
2. eigene Adressen in IPv4 zugewiesen (INTRANET (Tag =1) und GAST-LAN (Tag = 2))
3. DHCPv4 für GAST-LAN aktiviert mit Adressbereich 192.168.10.10-192.168.10.20 und Gateway 192.168.10.1
4. Routing-Tabelle Eintrag 192.168.10.0 mit Netzmaske 255.255.255.0, Tag=2 an INTERNET und Maskierung an (Standard) aktiviert

Aktuelles Problem: Der Laptop an ETH-4 bekommt keine IP-Adresse zuegwiesen. LANMonitor sagt DHCP-Server keine Clients und die Firewall meldet intruder detection von einer 169.254.x.x.
Wird die IP-Adress statisch zugewiesen im Laptop, kann die Adresse des LANCOM erreicht werden, aber kein Traffic ins Internet weitergeleitet.
Welche Trace-Ausgabe kann ich erstellen, dass Ihr mir mit der Konfiguration helfen könnt?

[PappaBaer]

Moin,

4. Routing-Tabelle Eintrag 192.168.10.0 mit Netzmaske 255.255.255.0, Tag=2 an INTERNET und Maskierung an (Standard) aktiviert

lösche diesen Blödsinn mal bitte raus. Mit so einer Route würdest Du sagen, dass Dein Gastnetz über das Internet erreichbar ist.

Grüße,
Torsten

[proundcontra22]

Danke für den Tipp. Das habe ich geändert. Leider noch keine Verbindung.

[PappaBaer]

Du hast unter ipv4->Allgemein->IP-Netzwerke Deinem Gast-LAN auch bei "Schnittstelle" LAN-2 eingestellt und "VLAN-ID" auf 0 gelassen?

[proundcontra22]

Ja, habe ich. VLAN-ID = 0 und Schnittstellentag = 2.

[proundcontra22]

Hallo,
ich wollte euch über meine Fortschritte informieren:

Ich habe nun einen WLAN-Access Point von MikroTic (hier als 192.168.101.231 eingetragen. Hat aber auch 192.168.10.1 als IP zugewiesen bekommen) an den ETH-4 angeschlossen und versucht über das vorher konfigurierte WLAN ein Smartphone anzumelden. Im Trace erhalte ich dann folgende Einträge bei Betrachtung des DHCP und Firewall:

Trace DHCP.png

Der DHCP ist aus einem mir unbekannten Grund abgeschaltet und die Firewall blockiert den Zugriff über diesen Port.

Vielleicht habt ihr noch einen Tipp, welche Einstellung ich korrigieren muss.
Vielen Dank für eure Unterstützung.

[backslash]

Hi proundcontra22

Der DHCP ist aus einem mir unbekannten Grund abgeschaltet

wenn du den DHCP-Server im LANCOM aud dem Netz "DMZ" nutzen willst, dann mußt du ihn dort auch aktivieren (IPv4 -> DHCPv4 -> DHCP-Netzwerke -> DMZ)

und die Firewall blockiert den Zugriff über diesen Port.

zumindest wenn die Quell-Adresse aus dem Netz 192.168.101.0/24 kommt, denn das ist ja nicht das Netz des Interfaces "DMZ" sondern des "INTRANET". Darum meckert die Firewall auch zurecht..

BTW: warum sagt der Trace hier "DMZ" als Netz, wenn du dein Gastnetz doch angeblich "GAST-LAN" genannt hast. Schau dir deine Konfiguration nochmal genau an

Gruß
Backslash

[proundcontra22]

Hi Backslash,

der DHCP ist genau dafür aktiviert LAN-2 und GAST-LAN (Bezeichnung nun durchgängig korrigiert).

Bei der Trace-Ausgabe steht nun folgendes

Trace DHCP2.png

Warum ist der DHCP weiterhin inaktiv? Hier die DHCP-Einstellungen:

DHCP.png

Danke für eure Hilfe!

\\Nachtrag: Der Broadcast-Bit wird nicht ausgewertet.

\\Nachtrag 2: Ich habe nun anstelle von LAN-2 auf LAN-4 gewechselt und nun funktioniert die Verbindung. Bekomme aus dem Adressbereich 192.168.10.0 eine Adresse zugewiesen. Danke für eure Unterstützung!

[backslash]

Hi proundcontra22

\\Nachtrag 2: Ich habe nun anstelle von LAN-2 auf LAN-4 gewechselt und nun funktioniert die Verbindung. Bekomme aus dem Adressbereich 192.168.10.0 eine Adresse zugewiesen. Danke für eure Unterstützung!

Achtung: du mußt unterscheiden zwischen den logischen LAN-Interfaces LAN-1 .. LAN-4 und den Ethernet-Ports ETH-1 .. ETH-4.
Den IP-Netzen weist du unter IPv4 -> Allgemein -> IP-Netzwerke die logischen LAN-Interfaces (LAN-1 .. LAN-4) zu.
Welche Ethernet-Ports welchem logischen Interfecs zugeordnet werden stellst du unter Schnittstellen -> LAN - Ethernet-Ports -> ETH-x ein

sprich: Du kannst problemlos dem Ethernet-Port "ETH-4" das logische LAN-Interface "LAN-2" zuweisen (im Default ist allen 4 Ethernet-Ports das logische LAN-Interface "LAN-1" zugeordnet)

Wenn's nun funktioniert, hast du offenbar die richtige Kombination gefunden...

Gruß
Backslash

[proundcontra22]

Ja, ich habe nach den LAN-2 Einstellungen gesucht und diese auf LAN-4 geändert. Irgendwo muss der DHCp deaktiviert gewesen sein. ETH-4 wurde nicht verändert. Der Adresspool ist nun richtig zugewiesen und ein Zugriff oder Ping auf das Netzwerk sind nicht möglich. Somit sind die Netzwerke augenscheinlich voneinander getrennt. Ich werde es aber noch etwas testen.