VLANs, ik zie de bomen niet meer door het bos.

[DenBenny]

Ik heb al sinds geruime tijd veel op het internet gelezen over VLANs (ik wil mijn netwerk hiermee gaan uitrusten).
Gisteren heb ik dan een eerste kleine switch gekocht die VLANs ondersteund om hier wat mee te spelen.

Ik vind de info op het internet soms wat verwarrend (wordt te complex voorgesteld denk ik).

Ik zie 3 belangrijke dingen:
- poort configureren als untagged
- poort configureren als tagged
- PVID instellen per poort

Ik weet niet of ik het zo eenvoudig mag stellen, maar zie ik het volgende juist?

- UNTAGGED: Wanneer ik een eenvoudige PC, mediaspeler, ... aan een poort hang, configureer ik deze als untagged. Op deze manier is de poort gewoon "member" van een VLAN. Er worden geen VLAN tags voorzien bij het binnenkomend of uitgaand verkeer (gezien vanaf de switch). Wanneer een poort untagged is zal er slecht 1 VLAN aan toegewezen zijn. Kan deze poort tagged pakketten ontvangen? wat gebeurt er met dit pakket? gaat dit verloren of wordt de tag gewoon verwijderd? wat als de VLAN tag van het pakket niet overeenkomt met het VLAN van de poort?

- TAGGED: Wanneer ik een verbinding wil maken naar bijvoorbeeld een andere switch (met VLAN ondersteuning) doe ik dit via een trunk en configureer ik de poort als tagged. Er worden VLAN tags voorzien bij het binnenkomend(??? dit is me niet duidelijk) en uitgaand verkeer (gezien vanaf de switch). Wanneer een poort tagged is kunnen er meerdere VLANs aan toegewezen zijn. Wat gebeurt er met pakketten die een "vreemd" VLAN tag bevatten?

- PVID: (of default VID) is me niet helemaal duidelijk. Dit lijkt me enkel nuttig bij de poorten die geconfigureerd zijn als tagged? zie ik dat correct? Waardoor untagged pakketten op een bepaald VLAN worden gezet (in plaats van gedumpt?).

Graag jullie hulp

Volgende stap wordt de router (ERL) instellen.

[Verwijderd]

klopt gedeeltelijk.

UNTAGGED: is een poort die "domme" apparaten aansluit die niets met VLAN's kunnen. Bv. PC, mediaspeler, NAS etc....)

TAGGED: is een poort waar wel pakketjes MET VLAN's eruit gaan naar "slimme" apparaten. Bv. een andere switch, een access point met verschillende SSID's (bv. guest wifi en privé wifi etc....)

TRUNK: Dat is één poort waar MEERDERE VLAN's inzitten. Meestal is dat de "uplink" poort naar bv een server of een router etc....

BINNEN in de switch draaien alle VLAN's door elkaar heen.


Voorbeeld:

Op poort 1 een TRUNK naar de router. Daar komen 3 VLAN's binnen, nummers 116, 218 en 345. Deze dwarrelen rond in de switch, totdat ze bij een poort komen waar bv vlan 218 is gedefinieerd (bv. fysieke poort 4 op de switch). Op deze poort zit een PC. Zodra de pakketjes de poort aankomen, wordt de "tag" van de vlan gestript, en gaan de pakketjes "untagged" de poort uit naar de PC.

[ipsec]

Sommige switches hebben een Access mode, Trunk mode en een General mode (of vergelijkbaar).

Access mode: deze mode accepteert alleen maar frames zonder VLAN tag, en is dus default lid van een bepaald VLAN.
Trunk mode: Deze mode accepteert frames mét VLAN tag. Kan zodoende member zijn van meerdere VLANs.
General: Deze mode accepteert frames mét en zonder VLAN tag.

PVID gebruik je meestal wanneer je poort in General modus staat. Deze functionaliteit heb ik vaak gezien bij DELL maar ook bij goedkopere TP-Link Smart Switches. Met het PVID geef je het native VLAN van de poort aan. In het geval van een UNTAGGED VLAN zet je het PVID vaak op dezelfde waarde. Als dit niet hetzelfde is zal de switch normaliter traffic van het UNTAGGED VLAN naar het PVID (Port VLAN ID) VLAN forwarden, of simpelweg discarden.

De implementatie is per merk/switch weer anders.

[mindwarper]

ik vind de benaming bij cisco simpeler:
1. trunk (meestal dot1q encapsulation) = meerdere VLANs van en naar members van trunk, zijn meestal switch onderlinge uplinks dus de zogenaamde TAGGED frames gaan hier overheen
2. access ports = die je member kan maken van normalier 1 enkel VLAN, dus de zogenaamde UNTAGGED ports

wil je nu een apparaat op 1e type port aansluiten, kan dat wel, maar dan moet je een VLAN ID opgeven in NIC van apparaat (hebben meeste NICs NIET). Anders gezegd uit een trunk met VLAN ID op NIC aangekomen weet apparaat: ah ik behoor nu mijn ethernet frames te sturen en ontvangen met dat bijbehorende VLAN ID. Hierbij wordt dat VLAN ID ingekapseld in het Ethernet frame (encapsulation dus; extra data in Frame header gestopt). De methode die internationaal wordt gebruikt als standaard in trunking bij deze vorm van encapsulatie is IEEE 802.1Q (dot1q). Dus 802.1Q-trunking (dot1q-trunking).


In 2e type port is dat VLAN ID niet meer nodig, omdat er maar frames overheen gaan van 1 enkel geconfigureerd VLAN. Waarom?
Omdat de access port maar is geconfigureerd voor normaliter 1 VLAN. Dus aangesloten apparaat kan alleen maar data versturen en ontvangen in ENKEL DAT VLAN.
Daarom is data encapsulatie header dan ook een stukje korter... Dus gewoon traffic zoals je het gewend bent bij een normaal LAN, sort of.


En als je bijvoorbeeld verchillende IPs voor je VLANs hebt (zoals ik), kan dat naturrlijk maar dan heb je je netwerken gescheiden (exactly the purpose!!! ). Je maakt dan verschillende subnets die normaliter elkaar NIET kunnen zien. Om dat wel te regelen heb je een L3-device (lees normaal gezien een router, maar een L3-switch kan dat dus ook).
Dat laatste heet dan met een mooie term inter-VLAN routing.


Ik bespaar je de details maar je kan bij vele bronnen lezen op internet hoe en wat..
maar ook ik kan je wel een crash course geven lol


Wat ik zelf gebruik is iets complexer, maar daarom niet minder "leuk" om mee te werken

1. Ziggo Ubee Modem in bridge mode
2. ASUS RT-AC68U met static routes (LAN gedeelte) naar mijn VLAN subnets en een LAN kabel naar mijn L3 switch en WAN interface met Ubee verbonden op LAN 1
3. Een Layer 3 switch, in mijn geval een 2e hands Cisco 3750G-24TS-E1U met IP Services IOS image (eBay gekocht ooit ~350 €) en handmatig geüpdate naar een na laatste nieuwste versie

dan op mijn Cisco L3-switch VLANs gedefinieerd (een 5-tal en 1 management VLAN (nee dus niet VLAN 1) en 1 VLAN voor communicatie met ASUS RT-AC68U en dus de buitenwereld). OP de L3-switch heb ik dus een aantal VLANs gedefineerd met verschillende IP-reeksen en om dat ik in de L3-switch ook ip routing heb ingeschakeld is hiermee inter-VLAN routing geregeld.
Dan is natuurlijk wel nog nodig van de achterliggende router nog info nodig hoe deze de VLANs moet bereiken ==> statische routes
en nee en L3-switch != router!!! (vergeet dat niet, een router doet bijvoorbeeld NAT een L3-switch bij definitie nooit).

Het werkt goed

dan deze switch verder in huis getrunkt met nog 2 andere L2 cisco switches en dan daarop de ports zo indelen welke tot welk VLAN moeten behoren (access ports dus).

wel beetje Cisco kennis nodig om goed te configureren. heb zelf ooit CCNA gedaan
en internet is my friend... en veel uittesten en uitproberen


Wilde het meegeven dat je dus ook een L3 switch optie kunt bekijken om met VLANs en DHCP in L3 switch kan werken...
en er zijn alternatieven voor Cisco, maar dat is waar ik het liefste mee werk en eBay is my friend too
Kan wel eens een config opsturen hoe ik het heb geconfigureerd, mocht je dat interesseren...

[ Voor 42% gewijzigd door mindwarper op 20-09-2016 14:43 . Reden: extra info & typo's ]

[EricNL]

Misschien kan het ook geen kwaad om eens te kijken naar de CCNA Routing & Switching theorie. In het stukje switching wordt alles m.b.t. VLAN's & Trunking heel duidelijk uitgelegd. Ja, je krijgt ook het "vervelende" stukje waarin wordt uitgelegd uit hoeveel bitjes een VLAN tag in een Ethernet frame bestaat etc, maar dat is echt een basis die je wel wilt hebben als je hiermee aan de slag gaat.

Tip 1: Zorg dat je de CCNA R&S theorie bemachtigd
Tip 2: Voeg hier eventueel de CBT Nugget video's aan toe
Tip 3: Installeer GNS3 en ga daar eerst mee spelen.
Tip 4: Als je bovenstaande stappen hebt gedaan natuurlijk wel "even" je CCNA papiertje halen :)!

mindwarper schreef op dinsdag 20 september 2016 @ 14:22:
In 2e type port is dat VLAN ID niet meer nodig, omdat er maar frames overheen gaan van 1 enkel geconfigureerd VLAN. Waarom?
Omdat de access port maar is geconfigureerd voor normaliter 1 VLAN. Dus aangesloten apparaat kan alleen maar data versturen en ontvangen in ENKEL

Met als uitzondering dan eventueel een "Voice VLAN".

[ Voor 25% gewijzigd door EricNL op 20-09-2016 14:45 ]

[mindwarper]

EricNL schreef op dinsdag 20 september 2016 @ 14:42:
Misschien kan het ook geen kwaad om eens te kijken naar de CCNA Routing & Switching theorie. In het stukje switching wordt alles m.b.t. VLAN's & Trunking heel duidelijk uitgelegd. Ja, je krijgt ook het "vervelende" stukje waarin wordt uitgelegd uit hoeveel bitjes een VLAN tag in een Ethernet frame bestaat etc, maar dat is echt een basis die je wel wilt hebben als je hiermee aan de slag gaat.

Tip 1: Zorg dat je de CCNA R&S theorie bemachtigd
Tip 2: Voeg hier eventueel de CBT Nugget video's aan toe
Tip 3: Installeer GNS3 en ga daar eerst mee spelen.
Tip 4: Als je bovenstaande stappen hebt gedaan natuurlijk wel "even" je CCNA papiertje halen :)!


[...]


Met als uitzondering dan eventueel een "Voice VLAN".

TIp 1 CHECK
Tip 2 No need
Tip 3 of PacketTracer
Tip 4 CHECK (but expired lol )

Ik weet het wel geldt voor Topic Starter lol Maar kon het niet laten om te regaeren...

I know Voice VLAN, maar ik wilde het niet al té ingewikkeld maken lol al ingewikkeld genoeg.
Ik schreef ook al "normailter 1 VLAN" per access port. had al reserve ingebouwd hahha

Anyways als de Topic Starter hulp nodig heeft om in te richten wil ik graag helpen... wel even wellicht wat Cisco speelgoed halen dan lol (eBay is friend)

[ Voor 10% gewijzigd door mindwarper op 20-09-2016 14:47 . Reden: typo's ]

[EricNL]

mindwarper schreef op dinsdag 20 september 2016 @ 14:45:
[...]

TIp 1 CHECK
Tip 2 No need
Tip 3 of PacketTracer
Tip 4 CHECK (but expired lol )

Tip 2 is, zeker voor "beginners", toch wel heel erg handig omdat zij het net even wat makkelijker uitleggen dan het Engels in de officiële Cisco theorie, en vanwege de video's krijg je er ook gelijk een beeld bij. Maar optioneel is het zeker, maar mijn inziens wel aan te raden.

Tip 3 is in dit geval een goede omdat GNS3 en switching niet echt samen gaat. Als VLAN's nog een onduidelijk verhaal zijn lijkt het me niet verstandig om gelijk in L3 switches met Etherswitch modules te duiken en de daarbij horende commando's die net weer wat anders zijn. En volgens mij heeft Cisco Packet Tracer ook een aantal "voorgekauwde" labs waarin je zo kunt spelen en testen.

[ Voor 6% gewijzigd door EricNL op 20-09-2016 14:49 ]

[mindwarper]

EricNL schreef op dinsdag 20 september 2016 @ 14:48:
[...]


Tip 2 is, zeker voor "beginners", toch wel heel erg handig omdat zij het net even wat makkelijker uitleggen dan het Engels in de officiële Cisco theorie, en vanwege de video's krijg je er ook gelijk een beeld bij. Maar optioneel is het zeker, maar mijn inziens wel aan te raden.

Tip 3 is in dit geval een goede omdat GNS3 en switching niet echt samen gaat. Als VLAN's nog een onduidelijk verhaal zijn lijkt het me niet verstandig om gelijk in L3 switches met Etherswitch modules te duiken en de daarbij horende commando's die net weer wat anders zijn. En volgens mij heeft Cisco Packet Tracer ook een aantal "voorgekauwde" labs waarin je zo kunt spelen en testen.

Ik geef u hierin helelmaal gelijk meneer

maar goed ik wilde maar even helpen voor de TS
ik hoor / lees wel als hij nog hulp nodig heeft of verdere uitleg

[EricNL]

mindwarper schreef op dinsdag 20 september 2016 @ 14:50:
[...]

Ik geef u hierin helelmaal gelijk meneer

maar goed ik wilde maar even helpen voor de TS
ik hoor / lees wel als hij nog hulp nodig heeft of verdere uitleg

Oh hahaha ik probeer ook gewoon te helpen, en een gezonde "discussie" kan geen kwaad . Maar ik ben het zeker met je eens, Voice VLAN's, Etherswitch etc. is misschien niet verstandig om daar nu gelijk in te duiken.

Eerst zorgen dat je over de basiskennis beschikt: IP Adressering, Subnetting, VLAN's, Trunking, etc.

[DenBenny]

Hmm, ik heb de indruk dat de materie inderdaad afhankelijk wordt naargelang het merk?

Verwijderd schreef op dinsdag 20 september 2016 @ 13:20:
klopt gedeeltelijk.

UNTAGGED: is een poort die "domme" apparaten aansluit die niets met VLAN's kunnen. Bv. PC, mediaspeler, NAS etc....)

TAGGED: is een poort waar wel pakketjes MET VLAN's eruit gaan naar "slimme" apparaten. Bv. een andere switch, een access point met verschillende SSID's (bv. guest wifi en privé wifi etc....)

TRUNK: Dat is één poort waar MEERDERE VLAN's inzitten. Meestal is dat de "uplink" poort naar bv een server of een router etc....

BINNEN in de switch draaien alle VLAN's door elkaar heen.

Dit is ongeveer wat ik bedoel, enkel lijken me jou "TAGGED" en jou "TRUNK" hetzelfde? die "slimme" apparaten waarvan je spreekt, ga je toch voorzien van meerdere VLAN's?
Volgens de handleiding van mijn testswitch-je is een trunk het samenvoegen van meerdere poorten tot 1 snellere poort?

Het "default" VLAN 1 is untagged aanwezig op alle poorten. dit kan ik blijkbaar niet verwijderen, is dat normaal?

SuperKevin schreef op dinsdag 20 september 2016 @ 13:27:
PVID gebruik je meestal wanneer je poort in General modus staat. Deze functionaliteit heb ik vaak gezien bij DELL maar ook bij goedkopere TP-Link Smart Switches. Met het PVID geef je het native VLAN van de poort aan. In het geval van een UNTAGGED VLAN zet je het PVID vaak op dezelfde waarde. Als dit niet hetzelfde is zal de switch normaliter traffic van het UNTAGGED VLAN naar het PVID (Port VLAN ID) VLAN forwarden, of simpelweg discarden.

De implementatie is per merk/switch weer anders.

Mijn testswitch-je is inderdaad een goedkope TP-link TL-GS108E V2. De bedoeling is dat deze kleine compacte switch achter een edgeswitch lite komt te zitten. Maar eerst even met deze spelen.
Ik heb bij de untagged poorten deze PVID inderdaad op hetzelfde untagged VLAN van deze poorten gezet. Ik weet enkel niet wat ik deze best instel bij de tagged poorten, voorlopig heb ik dit op "default" VLAN 1 geplaatst.

mindwarper schreef op dinsdag 20 september 2016 @ 14:22:
En als je bijvoorbeeld verchillende IPs voor je VLANs hebt (zoals ik), kan dat naturrlijk maar dan heb je je netwerken gescheiden (exactly the purpose!!! ). Je maakt dan verschillende subnets die normaliter elkaar NIET kunnen zien. Om dat wel te regelen heb je een L3-device (lees normaal gezien een router, maar een L3-switch kan dat dus ook).
Dat laatste heet dan met een mooie term inter-VLAN routing.

Verschillende IP's op de VLAN's is uiteindelijke de bedoeling. VLAN voor netwerk + WiFi, VLAN voor guest WiFi, VLAN voor WAN (telenet digicorders) en VLAN voor IPcams.
De routing wil ik via mijn edgerouter lite laten lopen.

EricNL schreef op dinsdag 20 september 2016 @ 14:42:
Misschien kan het ook geen kwaad om eens te kijken naar de CCNA Routing & Switching theorie. In het stukje switching wordt alles m.b.t. VLAN's & Trunking heel duidelijk uitgelegd. Ja, je krijgt ook het "vervelende" stukje waarin wordt uitgelegd uit hoeveel bitjes een VLAN tag in een Ethernet frame bestaat etc, maar dat is echt een basis die je wel wilt hebben als je hiermee aan de slag gaat.

Tip 1: Zorg dat je de CCNA R&S theorie bemachtigd
Tip 2: Voeg hier eventueel de CBT Nugget video's aan toe
Tip 3: Installeer GNS3 en ga daar eerst mee spelen.
Tip 4: Als je bovenstaande stappen hebt gedaan natuurlijk wel "even" je CCNA papiertje halen :)!

Ziet er op zich interessant uit maar is dit niet een beetje overkill??
De basis van de meeste zaken heb ik wel kennis van maar niet te diepgaand.

kan iemand nog even wat uitleg geven wat er met de VLAN tags gebeurt bij de untagged en tagged poorten? zowel voor het uitgaand als het binnenkomend verkeer?
krijgt een pakket bij een binnenkomen van een untagged poort een VLAN tag? (ik zou denken van wel aangezien dit binnen de switch als member van een bepaald VLAN moet herkent worden?)

[mindwarper]

DenBenny schreef op dinsdag 20 september 2016 @ 20:50:
Hmm, ik heb de indruk dat de materie inderdaad afhankelijk wordt naargelang het merk?


[...]


Dit is ongeveer wat ik bedoel, enkel lijken me jou "TAGGED" en jou "TRUNK" hetzelfde? die "slimme" apparaten waarvan je spreekt, ga je toch voorzien van meerdere VLAN's?
Volgens de handleiding van mijn testswitch-je is een trunk het samenvoegen van meerdere poorten tot 1 snellere poort?

Het "default" VLAN 1 is untagged aanwezig op alle poorten. dit kan ik blijkbaar niet verwijderen, is dat normaal?


[...]


Mijn testswitch-je is inderdaad een goedkope TP-link TL-GS108E V2. De bedoeling is dat deze kleine compacte switch achter een edgeswitch lite komt te zitten. Maar eerst even met deze spelen.
Ik heb bij de untagged poorten deze PVID inderdaad op hetzelfde untagged VLAN van deze poorten gezet. Ik weet enkel niet wat ik deze best instel bij de tagged poorten, voorlopig heb ik dit op "default" VLAN 1 geplaatst.


[...]


Verschillende IP's op de VLAN's is uiteindelijke de bedoeling. VLAN voor netwerk + WiFi, VLAN voor guest WiFi, VLAN voor WAN (telenet digicorders) en VLAN voor IPcams.
De routing wil ik via mijn edgerouter lite laten lopen.


[...]


Ziet er op zich interessant uit maar is dit niet een beetje overkill??
De basis van de meeste zaken heb ik wel kennis van maar niet te diepgaand.

kan iemand nog even wat uitleg geven wat er met de VLAN tags gebeurt bij de untagged en tagged poorten? zowel voor het uitgaand als het binnenkomend verkeer?
krijgt een pakket bij een binnenkomen van een untagged poort een VLAN tag? (ik zou denken van wel aangezien dit binnen de switch als member van een bepaald VLAN moet herkent worden?)

Nee een trunk is niet een bundeling van meerdere ports tot 1 snellere ports...
Dat is een port-channel (bundel) en dat is niet een trunk port..
Trunk ports kunnen er fysiek 1 of logisch 1 port (>1 gebundelde fysieke ports, ja dt kan dus ook een port-channel zijn die in trunk mode is geconfigureerd) zijn, waarover normaal gezien dus 1 of meerdere VLANs overheen gaan naar het volgende device. Bijvoorbeeld een andere switch dus , dus een TRUNK UPLINK betaande uit1 of meerdere fysieke ports...


Ja VLAN 1 is bij de meeste switches inderdaad standaard aanwezig en is niet te verwijderen...
Zo laten en verder niet gebruiken, lol... goede security measure om die niet te gebruiken


Overkill om CCNA basics te snappen? Not really, kan nuttig zijn om daar eens al was het maar vor de fun (niet om examen te doen, wel aan te raden!) eens in te duiken...

En je kan op Edge Router ook al je IP-adresseringen doen voor je verschillende VLANs. Dat zal je beste kunnen vinden in Ubiquity support forums hoe je daar mee op weg kan..