VLAN routing

[melwasul]

Hoi,

Een tijdje geleden heb ik enkele vragen gesteld i.v.m. ons netwerk dat we willen opsplitsen in een gasten-deel en een privé-deel. Ondertussen heb ik het merendeel van de hardware aangeschaft, waaronder 2 managed switchen en 3 ubiquiti unifi AP's. Je kan in de unifi's draadloze gastennetwerken aanmaken die afgeschermd worden van het normale netwerk, maar nog beter zou zijn dat ik elk netwerk (privé en gasten) een eigen VLAN id geef.

Aangezien de unifi's zowel een privé-netwerk als een gasten-netwerk uitzenden, en er dus minstens 2 VLAN's over één kabel lopen (3 indien privé-netwerk != management VLAN) heb ik nog een probleem met m'n router. De tussenliggende switchen zijn managed en kunnen bijgevolg probleemloos met de VLAN's om, maar de router (= Cisco EPC3925 kabelmodem) kan dat niet. Deze kabelmodem is trouwens vrij extreem afgeschermd door m'n kabel-provider (Salzburg AG, Oostenrijk) en zaken zoals 'bridged mode' zijn voor zo ver ik kan zien niet instelbaar.

De enige oplossing die ik zie voor mijn setup is ofwel een kabelmodem die VLAN's ondersteunt aan de LAN zijde (maar dit zal hoogstwaarschijnlijk geen optie zijn aangezien m'n ISP voor zo ver ik weet dergelijke modems niet aanbiedt). Ofwel een eigen router achter m'n kabelmodem die VLAN's ondersteunt (maar dan heb ik terug 2 x NAT wat niet optimaal is, al kan ik altijd eens polsen bij m'n ISP of zij de modem in bridged mode kunnen zetten).

Wat is de gemakkelijkste, beste en liefst ook goedkoopste manier om dit op te lossen?

Veel dank alvast voor de info!

Ps:
Voor de gein heb ik geprobeerd om 2 verbindingen te leggen tussen m'n managed switch en de router, waarbij de éne verbinding als PVID de id van het privé-netwerk krijgt (1) en de andere verbinding die van het gasten-netwerk (2). De éne heb ik geconfigureerd als untagged member van het privé-netwerk (1) en de andere als untagged member van het gasten-netwerk (2). Deze setup functioneert, maar hierdoor omzeil ik natuurlijk m'n VLAN's. Immers al het gasten-netwerk verkeer (2) komt binnen op de éne poort, wordt untagged, en wordt vervolgens door de router naar de andere poort gestuurd waar de (untagged) pakketjes dan als privé-netwerkverkeer (1) gemarkeerd worden En vice versa natuurlijk ook
Zo komt m'n gescheiden verkeer uiteindelijk toch op beide netwerken terecht.

[plizz]

Welke managed switches heb je gekocht? Misschien kunnen ze we inter-vlan routing.

[Glashelder]

Dat is leuk, maar dat betekend dat je dan onbeperkt tussen VLANs gaat routen (bij de meeste layer 3 switches) en dat ondermijnt het hele idee van een gastennetwerk een beetje..Je hebt hiervoor dus een firewall nodig.

Hiervoor heb ik bij ons twee servers (één server en een goedkope PC die toch afgeschreven was) ingericht met PfSense. Werkt voortreffelijk en heeft HA support (vandaar de server én een PC ).

[_-= Erikje =-_]

Kun je geen DMZ IP in je Cisco modem/router zetten? dan 2e router/fw erachter die wél vlan routing doet. Je hebt dan wel 2x NAT maar je zit toch maar op 1 plek je poorten te forwarden

[Glashelder]

Waarom zou je dat willen als je ook gewoon een device kan neerzetten (zoals pfsense) die alleen wat firewall rules doet (dan heb je ook gewoon maar één keer NAT).

Persoonlijk zie ik iets als pfsense als een groot voordeel omdat die ook gewoon gigabit door de firewall kan pompen. Als je dat bij Cisco wilt kopen dan ben je aardig wat centen kwijt. En de meeste goedkope routers/firewalletjes vallen hopeloos door de mand zodra je een paar firewall rules instelt.

Met een dergelijke opstelling is het overigens wel noodzakelijk dat je static routes kan instellen op je Cisco. Maar doorgaans kan dat eigenlijk wel altijd..

Meen mij overigens te herinneren dat dan UPC moet zijn in Oostenrijk, klopt dat? In Nederland kunnen zij modems in bridge modus zetten, maar doen dit alleen als je 5 IP adressen bij ze afneemt (en die regel geldt weer alleen bij zakelijk abonnementen).

[d--amo]

Ik ga even uit van de volgende setup:

Modem - SW1 - Unify
- SW2 - Unify

En je wil zowel de guest als data vlan op alle AP's hebben?

Dan lijkt mij een 3de switch de makkelijkste oplossing. Je zet dan 1 switch op de modem, van waaruit je 2 trunk poorten naar de andere 2 switches hebt.

Modem in bridged zetten en vervolgens een router met vlan ondersteuning heeft wel de voorkeur uiteraard.