VLAN - Gateway zelfs niet bereikbaar

[Verwijderd]

Hoi,

ik heb een klant waar sinds kort een VoIP centrale geplaatst is.
Hun gewone data lan stond op 192.168.1.x, en de VoIP wouden we afscheiden dus hebben ze een VLAN10 gemaakt met IP 192.168.10.x.



VLAN1 & 10 is op alle 3 switchen geconfigureerd (hebben de leveranciers gedaan, zelf heb ik nog niet veel ervaring met VLAN)

De telefoons kunnen perfect onderling bellen & met de PBX communiceren.
Als je een pc achteraan de telefoon aansluit krijg je een DHCP adres in de office 192.168.1.x range, wat me goed lijkt.
Het zijn niet veel telefoons dus zijn ze ingesteld met fixed IP.

Als ik met een test pc in het andere gebouw (fixed IP op zijn LAN interface) ping naar een telefoon of de PBX zelf, werkt dit, dus op het eerste zicht lijkt de VLAN ok te zijn.
(Hoewel volgens mij, zelf als is er geen VLAN ingesteld op de switches, als je in dezelfde range zit is het logisch dat de ping werkt, want met een unmanaged switch zou ik ook kunnen pingen zo, wat me dan weer doet denken dat de VLAN misschien niet juist is ingesteld.)

Maar wat totaal niet werkt, is de Fortigate te bereiken door de PBX (is gewoon een Dell pc). Nochtans is daar, de manual volgend door mij, een VLAN subinterface aangemaakt. Er zijn ook FW policies gemaakt om van LAN naar Voice te kunnen en omgekeerd.

Een office PC in het andere gebouw kan pingen naar 192.168.1.254, op internet, én ook pingen naar 192.168.10.254.
Dus de Fortigate lijkt me ook goed ingesteld.
Ter info echter, als ik ping van de test pc naar de Fortigate op 192.168.10.254, komt hier ook geen reply op.

De PBX / telefoons moeten natuurlijk niet op internet kunnen, maar er moet wel routering zijn van het ene naar het andere netwerk om een management software op de office pc's te kunnen draaien, zodat ze hun voicemail op pc hebben, kunnen bellen via pc, telefoondoorschakeling etc kunnen doen)

Wat zou het probleem zijn? Foute config in de Fortigate, de switches of nog iets anders?
De leverancier van de PBX heeft ook eens ingelogd op de Fortigate en zei dat de Fortigate niet goed was omdat hij z'n 6 LAN interfaces niet kan apart toekennen aan VLAN x. Maar ik dacht dat dat juist perfect zou moeten gaan, 1 UTP van FortiGate naar Procurve met 2 VLAN's op.


alvast bedankt!

David

[Teutlepel]

Als ik je verhaal goed begrijp is het probleem dat de PBX computer de FortiGate niet kan bereiken?

Matcht het vlan waar deze PC in zit wel met zijn IP gegevens? Als de NIC in meerdere vlans zit hoef je ook niet te routeren.

Als je wilt routeren tussen de beide vlans zou ik dat niet allemaal over de firewall laten lopen als je daar geen goede reden voor hebt. Waarom heb je anders layer 3 switches?

[Brabix]

Even een heel stomme opmerking van mij. Zo voor de hand liggend dat je het gemakkelijk over het hoofd kunt zien. Heb je het VLAN ook ingesteld op de switch poort waar de Fortigate op aangesloten zit?

[bigfoot1942]

Je hebt het al gevonden, maar nog niet genoeg ervaring met vlans om het zeker te weten:

Verwijderd schreef op woensdag 19 september 2012 @ 12:10:
Als ik met een test pc in het andere gebouw (fixed IP op zijn LAN interface) ping naar een telefoon of de PBX zelf, werkt dit, dus op het eerste zicht lijkt de VLAN ok te zijn.
(Hoewel volgens mij, zelf als is er geen VLAN ingesteld op de switches, als je in dezelfde range zit is het logisch dat de ping werkt, want met een unmanaged switch zou ik ook kunnen pingen zo, wat me dan weer doet denken dat de VLAN misschien niet juist is ingesteld.)

conclusie; de vlan scheiding werkt niet, PBX en telefoons werken niet via VLAN10.
Dit omdat een VLAN scheiding ervoor zou zorgen dat je met een desktop pc met een IP uit het voice subnet nergens bij kan omdat je in het verkeerde vlan zit.
Vanuit de clients gezien is een VLAN instelling een soort hek. Zit je in VLAN1 dan kan je niks met VLAN10, tenzij via de firewall. Dat je nu wel bij je PBX kan geeft aan dat je PBX aan de verkeerde kant van het hek zit, en zal hij dus niet bij zijn gateway (die zit aan de andere kant van het hek) kunnen.

[ralpje]

Tenzij je switch natuurlijk de VLANS gewoon routeert, dan is alles wel bereikbaar.

[bigfoot1942]

ralpje schreef op woensdag 19 september 2012 @ 15:35:
Tenzij je switch natuurlijk de VLANS gewoon routeert, dan is alles wel bereikbaar.

Klopt, maar dan zal je dus eerst je gateway moeten kunnen bereiken.
Als dat kon, bestond dit topic niet, toch?

[AK47]

De HP ProCurve 1810G ondersteunt geen STP, dus de topologie die nu gebouwd is kan eigenlijk niet gaan werken (wellicht wel, maar niet aan te raden).

Probeer eens 1 van de fibers te ontkoppelen welke naar de HP 1810 gaat.

Verder neem ik aan dat alle VLAN tagging goed staat (over alle interconnects tussen de switches)

[Verwijderd]

Dankuwel allemaal voor de tips. Brabix/Bigfoot/AK47, de VLAN stond idd niet correct ingesteld op de switches.

Na heel wat lezen, testen, en nog wat lezen heb ik dit weekend de config werkende gekregen.
Ik ga niet zeggen dat VLAN's geen geheimen meer voor me hebben maar ik kan er nu toch al met overweg

AK47: idd, blijkbaar ondersteund de 1810G geen STP. Er zit wel iets in dat loop protection noemt, maar dat heeft toch een ander doel want met UTP tussen SW1&2 wordt heel het netwerk ontregeld.
Maar dat is op dit moment niet zo dringend, alles werkt