Routing zw. lokalen Netzen – kein Zugriff möglich

[ness]

Moin zusammen,
hatte letzte Woche mal die ersten "erweiterten Berührpunkte" mit LANCOM Routern (1783VAW) & das Interface ist auf jeden Fall etwas gewöhnungsbedürftig.
Versuche zwischen zwei lokalen Netzwerken zu routen & krieg's ums Verrecken nicht hin. Scheint mir so, als hätte der LANCOM Router keine Default Routen – aber das hört sich wenn man's ausspricht so komisch an, dass es mir selbst falsch vorkommt. Hab's jedenfalls paar Stunden probiert irgendwie zum Laufen zu kriegen und dann irgendwann aufgegeben. Hoffe hier hat jemand ne Idee, wie man das zum Laufen kriegen kann.

Netzwerke + VLAN
192.168.1.0/24 (Intern)
• Gateway: 192.168.1.1
• Network type: Intranet
• VLAN: 1
• Interface: BRG1
• Tag: 1
• Address check: Loose

192.168.171.0/24 (GUEST)
• Gateway: 192.168.171.1
• Network type: Intranet
• VLAN: 10
• Interface: BRG1
• Tag: 10
• Address check: Loose

Interface-Konfiguration
• ETH1-ETH4
• Bridge Groups: BRG1
• Private Mode: Off
• Allow all VLANs: Yes

DHCP x Internet Access etc läuft alles in beiden Netzen.

IPv4 Routing Tabelle habe ich mal als Screenshot angehängt – wurde so von der Telekom vorkonfiguriert. Ohne weitere Routing-Regel antwortet dann wenn man von dem einen Netz versucht ins andere zu kommen die WAN IPv4. Aber auch wenn man beide Regeln mal rausschmeißt funktioniert's noch nicht. Habe außerdem mal versucht die Routing-Regel wie im Screenshot aufgeführt anzulegen für beide Netze – so wie man's ja überall anders auch machen würde wenn's so n Problem gibt; hilft aber ebenfalls nicht.

Firewall-Regel habe ich mal mit FROM ANY ALLOW ANY SERVICE TO ANY erstellt.

0-lancom-routing.png

0-routing-entry-test.png

[PappaBaer]

Moin,

ohne jetzt den ganzen Beitrag gelesen zu haben:
Dein Problem ist, dass Du mit Tags das Routing zwischen den Netzen selber verhinderst. Die Tags haben nichts mit VLANs zu tun.
Es können sich nur Netze sehen, die dasselbe Tag haben. Ausnahme ist hier das Tag 0. Ein Netz mit dem Tag 0 kann eine Kommunikation mit allen anderen Netzen initiieren.

Aber das Ganze wurde hier bestimmt schon 20 Mal erklärt. Ich empfehle Dir, mal konkret nach Lancom ARF zu suchen und zu lesen.

Viele Grüße,
Torsten

[ness]

Moin Torsten,
cheers für die Info. Hatte nur beim Routing auf den Tag geachtet. Dann stelle ich mal beide Netzwerke auf 0 um.
Weißte ad-hoc ob dann noch was im Routing umgestellt werden muss; vA die untere "alles auf Internet" Routing-Regel kommt mir eigentl. bisschen unrichtig vor.

BR, Michel

[PappaBaer]

Nein, Du musst dann nichts mehr ändern.
Netze, die directly connected sind, müssen - wie bei jedem anderen ordentlichen Router auch - nicht explizit in die Routingtabelle eingetragen werden. Daher ist der Eintrag in der Routingtabelle die Default-Route, die nur greift, wenn für das Netz kein anderer Weg bekannt ist.
Den vollständigen Inhalt der Routingtabelle kannst Du Dir unter /Status/IP-Router/Act.-IPv4-Routing-Tab. anzeigen lassen.

Grüße,
Torsten

[overcast37]

Moin Torsten,
was genau machen dann die VLAN-IDs? Denn das was ich mir bisher darunter vorgestellt habe, scheinen die TAGS zu machen.
Sind die IDs dann nur für den Switch (PVID?) nötig?

[ness]

Hätte die Routing Tags jetzt einfach mal als proprietäre VLAN-Tags+Firewall-Kombination deklariert. An anderen "Routern" (Sophos+Fortinet) sind ja primär die Firewall-Regeln dafür verantwortlich, ob und wie man auf Ressourcen in anderen Netzwerken zugreifen kann. LANCOM setzt einen drauf und führt Routing-Steuerung als zusätzliche Ebene ein.

[PappaBaer]

@overcast37
Moin,

mit der VLAN-ID gibst Du an, welchen VLAN-Tag die Frames in diesem Netzsegment haben. Damit machst Du die Netzwerktrennung auf Layer 2. Und ja, die VLAN-IDs werden natürlich dann weiter auf angeschlossenen Switches ausgewertet. Das hat aber mit der PVID primär auch erstmal nichts zu tun, denn die PVID gibt ja nur an, wie ungetaggter Traffic auf einem Trunk behandelt wird.

Das Tag dient zur Zugriffssteuerung zwischen den Netzen. Standardmässig ist hier die "0" drin, dass heisst, dass Lancom Traffic zwischen den Netzen routet. Willst Du nun das Routing zwischen bestimmten VLANs verhindern, kannst Du dafür natürlich auch klassisch eine Firewall-Regel schreiben. Lancom bietet hier mit den Tags zusätzlich eine einfache und komfortable Möglichkeit, Netze von einander zu trennen und Netzen auch verschiedene Routen zuzuweisen.

Grüße,
Torsten

[overcast37]

Vielen Dank für deine ausführliche Antwort.