Geen DHCP lease via patch, wel via switch

[Lesilhouette]

Ik heb in mijn nieuwe huis een aantal loze leidingen laten voorzien van CAT6a kabel, en laten afmonteren op een CAT6A patchpanel in de meterkast. De patches worden aangesloten op een unmanaged switch, poort 24 gaat naar internet, poort 5 op patchpunt 5, welke uitkomt in de ruimte met mijn server, firewall etc.

Patch 5 heb ik in de ruimte aangesloten op een managed HP switch poort 2, en poort 1 van die switch zit op de 'internet' poort van de firewall. Poort 3 van de switch is aangesloten op poort 1 van de firewall (de 'interne / ka' poort). Op deze manier heeft mijn server, vm's etc internet.

Nu het probleem: als ik een lan kabel direct in de switch stop, krijg ik een intern ip, en heb ik internet. Als ik die kabel op een ander patchpunt aansluit, bijvoorbeeld in een andere kamer, krijg ik géén ip en internet...

Ik heb op de switch een nieuw vlan aangemaakt (vlan2) met de naam outside. Poort 1 en 2 zijn op dat vlan untagged.
Poort 3-24 staan untagged op vlan1 / default vlan.
Op de ASA heb ik dezelfde vlans; op poort 0 (internet) vlan2, poort 1 (inside/ka) vlan 1. Ik heb voor poort 1 al een dhcp relay ingesteld naar mijn dhcp server, maar dat heeft het probleem ook niet opgelost.

Welke denk/config fout heb ik hier gemaakt, en hoe kan ik dat oplossen?

Doel: via de wall-outlets/patch panel een dhcp lease krijgen ipv direct op de managed switch.

Netwerktekening:

[ Voor 11% gewijzigd door Lesilhouette op 25-05-2017 13:09 . Reden: Netwerktekening toegevoegd/aangepast ]

[DorisJerks]

Om je goed te kunnen helpen zal je het verhaal duidelijker neer moeten zetten.

Welk apparaat gebruik je als router?
Heb je de VLAN's ook ingesteld op de router?
(indien je je ziggo modem gebruikt als router) Kan je ziggo router überhaupt wel overweg met VLAN's?

Zoals ik het bekijk is je idee om het internet binnen te laten komen en via beide switches naar je firewall te sturen. Om daarna pas te gaan routeren met het gebruik van VLAN's, klopt dit?

Als dat klopt dan dien je er rekening mee te houden dat een unmanaged switch niet met VLAN's overweg kan. In het beste geval gooit hij alles door als een trunk, dan behoud het zijn VLAN tag. Echter moet het apparaat aan de achterkant dan wel verwachten/weten dat er naar een VLAN geluisterd moet worden.

[eric.1]

Ik begrijp dit design niet helemaal eerlijk gezegd. Waarom zet je de Firewall niet direct achter je modem en regel je de rest van je netwerk (patchpanelen/switches) direct vanaf je Firewall?

Bijv:
Modem
||
FW
||
FW port x <> switch 1 <> patchpunten
FW port y <> switch 2 <> je overige devices /server /w/e

Dan kan je eigenlijk alles op je Firewall regelen ipv geknutsel met VLANs op je switches om je "internet" naar je firewall te sturen...en vervolgens weer via dezelfde switches terug te sturen naar je patchpunten. Wat überhaupt met een unmanaged switch niet gaat werken.

Of was dit niet de bedoeling?

[Lesilhouette]

DorisJerks schreef op donderdag 25 mei 2017 @ 10:15:
Om je goed te kunnen helpen zal je het verhaal duidelijker neer moeten zetten.

Welk apparaat gebruik je als router?
Heb je de VLAN's ook ingesteld op de router?
(indien je je ziggo modem gebruikt als router) Kan je ziggo router überhaupt wel overweg met VLAN's?

Zoals ik het bekijk is je idee om het internet binnen te laten komen en via beide switches naar je firewall te sturen. Om daarna pas te gaan routeren met het gebruik van VLAN's, klopt dit?

Als dat klopt dan dien je er rekening mee te houden dat een unmanaged switch niet met VLAN's overweg kan. In het beste geval gooit hij alles door als een trunk, dan behoud het zijn VLAN tag. Echter moet het apparaat aan de achterkant dan wel verwachten/weten dat er naar een VLAN geluisterd moet worden.

De ASA wordt in zoverre gebruikt voor routering. Het netwerk is verder "plat". Het gebruik van VLAN's is op dit moment enkel van toepassing zodat ik het internet verkeer kan scheiden van het KA via de firewall.
De reden dat ik deze opstelling wil is omdat het internet in de meterkast binnenkomt (Ziggo, port forward al het verkeer naar ASA), en de ASA met de managed switch boven in een serverkast staat.

[Lesilhouette]

eric.1 schreef op donderdag 25 mei 2017 @ 10:36:
Ik begrijp dit design niet helemaal eerlijk gezegd. Waarom zet je de Firewall niet direct achter je modem en regel je de rest van je netwerk (patchpanelen/switches) direct vanaf je Firewall?

Bijv:
Modem
||
FW
||
FW port x <> switch 1 <> patchpunten
FW port y <> switch 2 <> je overige devices /server /w/e

Dan kan je eigenlijk alles op je Firewall regelen ipv geknutsel met VLANs op je switches om je "internet" naar je firewall te sturen...en vervolgens weer via dezelfde switches terug te sturen naar je patchpunten. Wat überhaupt met een unmanaged switch niet gaat werken.

Of was dit niet de bedoeling?

Als ik de firewall direct op de Ziggo box zou aansluiten, en de managed switch daar op aansluit met de rest van de aansluitingen, kom ik in de serverkast aansluitingen te kort. Dan leg ik daar een (un)managed switch neer, en heb ik alsnog hetzelfde probleem.

Maar misschien leg ik het niet goed uit. De Ziggo box en unmanaged sw. staan in de meterkast, de managed sw., asa en servers in een kast boven, die nu zijn aangesloten op patchpunt 5 / poort 2 van de managed switch.

[a.boogerd]

Lesilhouette schreef op donderdag 25 mei 2017 @ 07:51:
Nu het probleem: als ik een lan kabel direct in de switch stop, krijg ik een intern ip, en heb ik internet. Als ik die kabel op een ander patchpunt aansluit, bijvoorbeeld in een andere kamer, krijg ik géén ip en internet...

Als ik het zo goed lees zeg je dat je geen IP van de DHCP server krijgt (DHCP van het ziggo modem?) op het moment dat je device via het patchpaneel/outlet aansluit? Sluit je device aan op de switch (dezelfde poort als je patchpaneel zit) dan krijg je wel een IP.

[Lesilhouette]

a.boogerd schreef op donderdag 25 mei 2017 @ 12:33:
[...]


Als ik het zo goed lees zeg je dat je geen IP van de DHCP server krijgt (DHCP van het ziggo modem?) op het moment dat je device via het patchpaneel/outlet aansluit? Sluit je device aan op de switch (dezelfde poort als je patchpaneel zit) dan krijg je wel een IP.

Klopt bijna. Ik krijg wel een ip als ik het apparaat direct op de managed switch aansluit. En de DHCP server, dat is Windows server.

[ Voor 9% gewijzigd door Lesilhouette op 25-05-2017 13:32 ]

[DorisJerks]

In de situatie die je beschrijft kan het niet werken op de unmanaged switch. Deze weet namelijk niet wat hij aan moet met de tagged netwerken die binnen komen. Daarnaast krijgt hij al een ip binnen via de ziggo router die niet overeenkomt met de rest. Dit levert conflicten op in de switch.

Je hebt 2 oplossingen:

1- vervang de unmanaged switch met een managed switch die wel VLAN aware is.
2- leg een kabel van je meterkast naar je firewall, dan naar je dhcp server en ga daarna verder op 1 netwerk. Dus zonder VLAN's.

Kun je via die wall outlet niet een 2e kabel laten lopen?

Eventueel kun je ook een goedkope kleine managed switch gebruiken. Deze aansluiten op je ziggo modem, dan trunken naar de managed switch. En daarna het signaal wat hij ontvangt met VLAN ID doorsturen over de 3e poort met VLAN tag. Dan komt er daarna nog maar 1 signaal binnen op de unmanaged switch en kan deze er wel mee overweg. Echter is dit geen "mooie" oplossing en troubleshooten wordt er niet makkelijker van als het ooit niet werkt.

Beste oplossing is in mijn ogen een kabel direct van je modem naar je firewall, dan DHCP en daarna pas voor het eerst een switch er achter plaatsen.

[Lesilhouette]

DorisJerks schreef op donderdag 25 mei 2017 @ 13:41:
In de situatie die je beschrijft kan het niet werken op de unmanaged switch. Deze weet namelijk niet wat hij aan moet met de tagged netwerken die binnen komen. Daarnaast krijgt hij al een ip binnen via de ziggo router die niet overeenkomt met de rest. Dit levert conflicten op in de switch.

Je hebt 2 oplossingen:

1- vervang de unmanaged switch met een managed switch die wel VLAN aware is.
2- leg een kabel van je meterkast naar je firewall, dan naar je dhcp server en ga daarna verder op 1 netwerk. Dus zonder VLAN's.

Kun je via die wall outlet niet een 2e kabel laten lopen?

Eventueel kun je ook een goedkope kleine managed switch gebruiken. Deze aansluiten op je ziggo modem, dan trunken naar de managed switch. En daarna het signaal wat hij ontvangt met VLAN ID doorsturen over de 3e poort met VLAN tag. Dan komt er daarna nog maar 1 signaal binnen op de unmanaged switch en kan deze er wel mee overweg. Echter is dit geen "mooie" oplossing en troubleshooten wordt er niet makkelijker van als het ooit niet werkt.

Beste oplossing is in mijn ogen een kabel direct van je modem naar je firewall, dan DHCP en daarna pas voor het eerst een switch er achter plaatsen.

Ik heb nog een managed sw. liggen, maar dacht in het kader van zo eenvoudig mogelijk houden een unmanged switch te gebruiken zodat deze al de signalen voor bijv. dhcp etc. gewoon het netwerk opgooit en de bijv. de dhcp-server wel reageert, maar helaas te simpel gedacht.

Op dit moment is een tweede kabel in die outlet geen optie omdat 'ie er nog niet ligt, moet ik nog aanleggen. De unman. sw krijgt overigens geen dhcp van de Ziggo, dat staat uit.

Uit praktisch oogpunt is het voor mij beter om de FW boven te houden zodat ik eenvoudiger een kabel bij kan prikken in de sw. alleen voor een apart vlan op de FW.

Dus als ik de unmanaged sw vervang door een managed sw, dan zou poort 5 (zeg maar de "uplink" naar boven) tagged moeten staan op vlan2 (outside) en vlan1 (inside), en de managed sw. boven moet hetzelfde op de poort waar de "uplink" op uitkomt?

[DorisJerks]

Juist dan krijg je de volgende opstelling:

(alle poortnummers kunnen ook andere zijn uiteraard, dit is puur als voorbeeld)

Modem ziggo --> Managed switch klein, poort 1 komt kabel binnen. Deze staat als untagged ID 1 poort. --> Poort 2 gaat naar de Managed switch HP, nu als trunk poort --> Komt binnen op poort 1 van Managed switch HP, wederom als trunk poort. --> Poort 2 van de Managed HP gaat dan naar je firewall als untagged ID1, Andere VLAN ID's mogen deze poort niet op. --> Nu komt je DHCP server, laat deze overal een VLAN ID aan toekennen. Bijvoorbeeld ID 3.
Op de managed switch klein sluit je een kabel aan op poort 3 naar je unmanaged switch. Maak deze poort untagged voor VLAN ID 3 (of welk ander nummer je hebt toegekend) en blokkeer VLAN ID1.

[Lesilhouette]

OK dus als ik het goed begrijp:
Modem Ziggo > kleine sw. poort 1 is vlan2 (outside) untagged
Kleine sw poort 2 is vlan 2 untagged, vlan1 (inside) tagged > grote sw poort 1 vlan2 untagged, vlan 1 tagged (is dus uplink)
Grote sw poort 2 vlan 2 untagged > asa int 0 (outside/internet)
Grote sw poort 3 vlan 1 untagged > asa int 1 (inside)

Ik maak dan gebruik van twee managed switches, geen unmaged switches.

[Lesilhouette]

Het is nu gefixt. Het heeft wat moeite gekost maar ik ben er uit.
Voor de volledigheid zal ik de oplossing even erbij zetten:
- Op beide -managed- switches default vlan (vlan1) + Outside vlan (vlan2) gemaakt.
- Poort 21/22/23/24 op beide switches tagged vlan2, untagged vlan1.
- Op firewall poort 0/0 (outside / vlan2) verbonden met poort 24 van de managed switch in de serverkast
- Op firewall poort 0/1 (inside / vlan1) verbonden met poort 22 van managed switch in de serverkast
- Op de managed switch in de serverkast gaat poort 23 via een patch/walloutlet naar poort 23 op de managed switch beneden.
- Op de managed switch beneden heb ik dan poort 24 aangesloten op de Ziggo modem/router.