VLAN - Server als Router nutzen?

[Draco (Gast)]

Folgende Situation (siehe dazu Bild):

Ich habe eine Fritzbox, einen Server (192.168.178.5) und einen 24 Port 
Managed Switch (kann tagged VLan). Aktuell verteilt der Server (läuft 
unter Ubuntu Server) via KEA-DHCP die IP Adressen im aktuellen Netz 
(192.168.178.0/24) über Bond0 (4Nics - 192.168.178.5). Als Router wird 
die Fritzbox (7590 - 192.168.178.1) genutzt. Sämtliche Geräte sind an 
dem Switch verbunden.

Nun möchte ich ein zweites, getrenntes, Netzwerk "dazutun". Der Server 
ist mit einem zusätzlichen Nic (Nic2 - 192.168.179.1) an dem Switch. Das 
zweite Netz würde ich gerne über diese abwickeln - auf dem selben 
Switch.

Was muss ich nun tun damit:

1.) KEA-DHCP die IP Adressen über Nic2 in das entsprechende VLAN 
verteilt?

Der Switch kann ja VLAN, auch Tagged-VLAN - wo ist da der Unterschied? 
Schiebt der Switch dann automatisch an die angemeldetetn Ports die 
Broadcast für den DHCP an die Nic2 welche ebenfalls in diesem VLAN 
liegt?!

2.) Das Internet von der Fritzbox welches im anderen Netz liegt an das 
andere Netz geroutet wird? Über den Server? Also den Server als Router 
nutzen, würde mir sehr gelegen kommen.

Ich weiß so recht garnicht wo ich da genau anfangen muss. Über Tipps 
wäre ich wirklich sehr dankbar.

Liebe Grüße

[foobar (Gast)]

Also hast du bisher überhaupt keine VLANs aktiv - nur ein gemeinsames 
Netz an allen Ports des Switches.  Der Server hängt mit einem Interface 
am Switch (via bond0, wieso bond?!? Gibt's da noch mehr Interfaces).  Du 
hast in den Server nen zweiten Nic reingesteckt und willst über den ein 
zweites Netz aufziehen.   Und anstatt nen extra Switch dafür zu nehmen, 
willst du den bestehenden Switch mittels VLAN splitten?  Bisher korrekt 
so?

Wenn ja, bekommen die angeschlossenen Gerät vom VLAN nix mit.  Die 
existieren dann nur innerhalb des Switches, um den in zwei Portgruppen 
aufzuteilen.  Der muß nur entsprechend konfiguriert werden (z.B. Port 
0-11 VLAN 1 und Port 12-23 VLAN 2, automatisch taggen und strippen).

Zu 1) Der DHCP-Server muß auf beiden Interfaces lauschen (bond0 und 
nic2) und passende IP-Adressen rausgeben.

Zu 2) Damit die Fritzbox die Pakete für das neue Netz los wird, mußt du 
auf der eine statische Route zu dem neuen Netz mit dem Server als 
Gateway eintragen.


VLANs würdest du (auf dem Server) erst dann sehen, wenn du den Switch so 
konfigurierst, dass VLAN-IDs zum Server weitergereicht werden 
(Trunk-Port mit getaggten Paketen).   Auf dem Server musst du dann 
entsprechende VLAN-Interfaces anlegen.  Ab da läuft es dann wieder wie 
oben.  Kannst dir so den zusätzlichen NIC sparen.  Dann solltest du dich 
aber etwas mehr in das Thema einlesen.

[Draco (Gast)]

foobar schrieb:
> Also hast du bisher überhaupt keine VLANs aktiv - nur ein gemeinsames
> Netz an allen Ports des Switches.  Der Server hängt mit einem Interface
> am Switch (via bond0, wieso bond?!? Gibt's da noch mehr Interfaces).  Du
> hast in den Server nen zweiten Nic reingesteckt und willst über den ein
> zweites Netz aufziehen.   Und anstatt nen extra Switch dafür zu nehmen,
> willst du den bestehenden Switch mittels VLAN splitten?  Bisher korrekt
> so?

Bisher korrekt soweit im groben. Die Nic1 ist bereits enthalten und der 
Bond besteht aus einer 4x Gbit Nic im RR. Deshalb, da teilweise mehrere 
Rechner ihre Daten über SMB ziehen. Funktioniert tadellos.

foobar schrieb:
> Wenn ja, bekommen die angeschlossenen Gerät vom VLAN nix mit.  Die
> existieren dann nur innerhalb des Switches, um den in zwei Portgruppen
> aufzuteilen.  Der muß nur entsprechend konfiguriert werden (z.B. Port
> 0-11 VLAN 1 und Port 12-23 VLAN 2, automatisch taggen und strippen).

Also das funktionert also so wie ich mir das dachte. "automatisch 
taggen" macht mein Switch nicht, ich kann die jeweiligen Ports nur 
manuell auf "tagged-VLAN" stellen, ist das das richtige?

foobar schrieb:
> Zu 1) Der DHCP-Server muß auf beiden Interfaces lauschen (bond0 und
> nic2) und passende IP-Adressen rausgeben.

Jo das funktioniert.

foobar schrieb:
> Zu 2) Damit die Fritzbox die Pakete für das neue Netz los wird, mußt du
> auf der eine statische Route zu dem neuen Netz mit dem Server als
> Gateway eintragen.

Die statische Route muss ich auf der Fritzbox eintragen? Ich denke eher 
das die Route im Server eingetragen werden muss oder?

[Guest (Gast)]

Draco schrieb:
> Also das funktionert also so wie ich mir das dachte. "automatisch
> taggen" macht mein Switch nicht, ich kann die jeweiligen Ports nur
> manuell auf "tagged-VLAN" stellen, ist das das richtige?

Nö.
Du musst nur die Ports als access in die entsprechenden VLANs schalten.

Tagging kommt erst da zur Anwendung, wenn mehrere VLANs an einem Port 
verfügbar sein sollen. Dann muss aber die Gegenseite ebenfalls taggen.
Kommt zB bei Switch-Switch Verbindungen zum Einsatz.
Oder du könntest das Bond0 Interface umstellen und zwei Virtuelle daraus 
machen: Bond0.2 und Bond0.3.

VLAN ID 1 nach Möglichkeit nicht zu Taggen benutzen, da etliche Switche 
dieses als Default VL benutzen und anders behandeln

[Guest (Gast)]

Draco schrieb:
> Die statische Route muss ich auf der Fritzbox eintragen? Ich denke eher
> das die Route im Server eingetragen werden muss oder?

Der Server kennt ja beide Netze, also braucht er kein statisches 
Routing.
Die Fritz braucht aber eine Route ins 179er Netz (…178.5)
Wenn diese aber kein ICMP Route redirect kann, brauchen die Clients im 
178er eine statische Route ins 179 ebenfalls via …178.5
Das 179er braucht nur das Default gateway auf 179.1

[Router (Gast)]

1. Du richtest ein zweites VLAN (zum Beispiel ID 100) auf Deiner Switch 
ein.
2. Alle Ports, an dem Rechner aus dem neuen Netz hängen, werden untagged 
auf VLAN 100 gelegt.

Jetzt hast Du zwei Möglichkeiten.

A) Du verwendest dein zweites Serverinterface

1. Der Switchport dieses Interfaces wird ebenfalls untagged auf VLAN 100 
geschaltet.

B) Du verwendest nur Bond0

1. Du legst ein VLAN-Interface für Bond0 an. Also "Bond0.100".
2. Dein Aggregat auf der Switch wird zusätzlich mit 100 getagged (1 
bleibt untagged).

Ich hoffe, Du hast auf der Switch tatsächlich ein Aggregat angelegt. 
Ansonsten verwendet die Switch nur eines der Bond-Member.

Deine Fritzbox und alle Geräte, die ins neue Netz kommen sollen, 
brauchen eine Netz-Route.

Geräte aus dem neuen Netz kommen ohne zusätzliche Route aus.

[Draco (Gast)]

Nun endlich mal Zeit gefunden die ganzen Tipps umzusetzen. Ich danke 
euch bis dahin vielmals. Das funktioniert auch soweit alles super, der 
DHCP Server weißt die IPs, je nachdem an welchem Port die Geräte am 
Switch hängen, nun korrekt zu. Ich habe dafür (für die Übersicht) nun 
einfach mal die 10.10.10.0/24 für das zweite Netz gewählt.

Was mich aktuell noch vor eine Herausforderung stellt ist das Routing 
des Internets von IP 192.168.178.1 (lieft auf Bond0 am Server) auf die 
10.10.10.151 (liegt auf Nic2 am Server). Aber natürlich darf das Netz 
auf 192.168.178.0/24 das Internet auch nicht verlieren.

Wie gehe ich da am besten beim Routing am Server vor?!

[Christian H. (netzwanze)]

Die Fritzbox benötigt eine Netzroute:
Alle Ziele im Netz 10.10.10.0/24 findest Du hinter der 192.168.178.5
(ich weiß jetzt nicht, wie das dort einzurichten ist)

Aus Deinem Server muss lediglich das IPv4 Routing aktiviert werden - 
sollte aber standardmäßig so sein.

Natürlich muss die Firewall die Pakete auch weiterleiten. FORWARD-Chain.

[Hannes J. (Firma: _⌨_) (pnuebergang)]

Draco schrieb:
> Was mich aktuell noch vor eine Herausforderung stellt ist das Routing
> des Internets von IP 192.168.178.1 (lieft auf Bond0 am Server)

Neee? Denn woanders hast du geschrieben dass 192.168.178.1 die IP der 
Fritzbox ist. Auf bond0 liegt 192.168.178.5, die IP des Ports des 
Servers im 192.168.178.0/24 Netz.

Dann hast du jetzt, wenn ich das ganze Geschreibsel richtig verstehe 
eine Kette von zwei Routern:

WAN           LAN
Internet      .178.1       .178.5         10.10.10.151
----------[FB]-------------------[Server]---------------

Stimmt das so?

Dann braucht die FB eine statische Route (was anderes kann sie nicht), 
die sagt dass 10.10.10.0/24 über 192.168.178.5 als Gateway erreicht 
werden kann
https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/581_Statische-IP-Route-in-FRITZ-Box-einrichten/

Weiter muss dein DHCP-Server für 10.10.10.0/24 so eingerichtet sein, 
dass er 10.10.10.151 als Gateway zu den Clients in 10.10.10.0/24 
verteilt.

Dann braucht der Server in seiner Routing Table als Default Gateway 
192.168.178.1 (über bond0, 192.168.178.5) und Routen nach 10.10.10.0/24 
über nic2 (192.168.178.5) und 192.168.178.0/24 über bond0 
(192.168.178.5). Letztere zwei Routen sind das normale Routing zwischen 
10.10.10.0/24 und 192.168.178.0/24.

> 10.10.10.151 (liegt auf Nic2 am Server). Aber natürlich darf das Netz
> auf 192.168.178.0/24 das Internet auch nicht verlieren.

Der DHCP-Server für 192.168.178.0/24 sollte weiterhin 192.168.178.1 als 
Gateway verteilen und zusätzlich eine statische Route nach 10.10.10.0/24 
über 192.168.178.5.

[Uwe R. (Gast)]

Christian H. schrieb:
> Aus Deinem Server muss lediglich das IPv4 Routing aktiviert werden -
> sollte aber standardmäßig so sein.

Haben sich die defaults geändert?

Hier antwortet ein altes U20.04 auf 'sysctl net.ipv4.ip_forward' mit:
0