VLANs werken niet zoals verwacht

[Mmore]

Ik ben hier nu al uren mee bezig maar krijg ondanks allerlei verschillende configuraties geen enkel resultaat, mogelijk ligt het aan mijn switch of misschien kijk ik toch ergens overheen.

De bedoeling is dat mijn Ziggo (bridged) router op een VLAN (200, WAN) komt en elders in de woning door een router wordt opgepakt en als WAN interface wordt gebruikt. VLAN 100 wordt als LAN gebruikt. Wanneer ik het modem direct op de router aansluit krijg ik binnen ~5 seconde een extern ipadres toegewezen via DHCP.

Op mijn switch, een TL-SG108E, heb ik het Ziggo modem op poort 1 en de router op poort 2.

Poort 1 is untagged VLAN 200
Poort 2 is tagged VLAN 100 en 200
Alle andere poorten zijn nu nog ongebruikt, de bedoeling is dat deze waarschijnlijk allemaal op VLAN 100 komen maar zover ben ik nog niet gekomen.

Wat ik nu zou verwachten is dat wanneer ik op poort 2 mijn router aansluit en ik het modem een WAN interface opgeef met VLAN 200 (eth0.200) en als settings gewoon DHCP is dat mijn router nu het modem ziet en een ip-adres krijgt, maar dat gebeurt niet. Zowel op eth0 als eth0.200 wordt er geen modem gevonden en kan het modem ook niet worden geping'd of iets dergelijks. Alleen wanneer ik het modem direct in poort eth0 prik op de router krijg ik verbinding.

In verband met bekabeling en plaatsing in de woning is het echter toch wenselijk dat ik dit via VLANs laat lopen. Waar ga ik nu de mist in? Als iemand tips heeft dan hoor ik het graag.

[Frogmen]

Denk dat het wel handig is als je het type switch vermeld.

[MAX3400]

Frogmen schreef op maandag 19 maart 2018 @ 07:54:
Denk dat het wel handig is als je het type switch vermeld.

+

Mmore schreef op maandag 19 maart 2018 @ 07:10:
Op mijn switch, een TL-SG108E, heb ik het Ziggo modem op poort 1 en de router op poort 2.

Mogelijk dat er andere switches zijn maar volgens mij gaat het dus om pricewatch: TP-Link TL-SG108E-Gigabit (8-poorts)

/edit: @Mmore kan je beschrijven waarom je deze opstelling trouwens wil hebben? Wat mij betreft, maar dat is een opinie, ga je pas VLAN's uitdelen vanaf router naar netwerk. Ik zie geen daadwerkelijk probleem / oplossing om direct modem & router middels een VLAN aan elkaar te knopen?

[ Voor 19% gewijzigd door MAX3400 op 19-03-2018 07:59 ]

[Frogmen]

Sorry iets met maandagochtend en koffie!

[ProjectB00man]

volgens mij als je poort 1 tagged in vlan 200 zal het wel moeten gaan werken

[Edd]

Ik ken de TP-Link switch niet, maar staat de PVID voor poortje 1 (waar het modem op is ungeplugd) wel goed? Deze zou op VLAN 200 moeten staan.

[Kavaa]

ProjectB00man schreef op maandag 19 maart 2018 @ 08:05:
volgens mij als je poort 1 tagged in vlan 200 zal het wel moeten gaan werken

Juist niet
Het Ziggo modem kent geen VLAN's dus die moet op untagged staan.

Edd schreef op maandag 19 maart 2018 @ 08:07:
Ik ken de TP-Link switch niet, maar staat de PVID voor poortje 1 (waar het modem op is ungeplugd) wel goed? Deze zou op VLAN 200 moeten staan.

Ik denk idd dat als je TP-Link of Netgear hebt dat je het PVID even moet wijzigen naar 200 voor Poort 1.

[Mmore]

Edd schreef op maandag 19 maart 2018 @ 08:07:
Ik ken de TP-Link switch niet, maar staat de PVID voor poortje 1 (waar het modem op is ungeplugd) wel goed? Deze zou op VLAN 200 moeten staan.

Thanks, dit blijkt de oplossing te zijn. In de guides en tutorials wordt hier geen woord over gerept, vermoed dat een untagged poort op cisco apparatuur dit automatisch doet?

@MAX3400 wat betreft het 'waarom': verbinding en modem komen in de woonkamer binnen en de 'serverkamer' is ver weg, het is heel lastig om daar nog een tweede kabel naar toe te leggen. Omdat veel apparaten ook in de woonkamer ethernet nodig hebben komt er dus over de kabel tussen de woonkamer en serverkamer zowel WAN als LAN verkeer. Dat werkt alleen met VLANs afaik

[MAX3400]

Mmore schreef op maandag 19 maart 2018 @ 08:21:
[...]
Omdat veel apparaten ook in de woonkamer ethernet nodig hebben komt er dus over de kabel tussen de woonkamer en serverkamer zowel WAN als LAN verkeer. Dat werkt alleen met VLANs afaik

Euh... Oke... Dan nog; je gaat nu op VLAN-niveau proberen bepaald verkeer wel/niet toe te staan naar WAN. Alhoewel dit geen hele slechte oplossing is, heb je er minder controle op want jouw switch stuurt je geen alerts als iemand zijn PC op VLAN18 wil configureren; wat mij betreft (zoals ik aangaf) laat je je modem gewoon modem zijn en het eerste apparaat erachter (meestal router) gaat VLAN's en DHCP etc. doen.

En dan kom je vaak al iets sneller in WRT-achtige routers of zaken als MicroTik en Ubiquiti.

[Mmore]

@MAX3400 tenzij iemand fysiek toegang heeft tot de apparatuur zou dit geen probleem mogen zijn - de VLAN voor WAN wordt enkel getrunkt op de poort naar de pfSense machine toe. Ik heb net als jij natuurlijk het liefst direct WAN > Router / Firewall > LAN maar in mijn situatie is dit helaas niet praktisch. Ziggo komt aan de ene kant van het huis binnen (woonkamer), XS4ALL aan de andere kant (meterkast), de serverkamer zit daar precies tussen. Via pfSense kan ik nu zaken zoals automatisch failover regelen en VMs/clients eenvoudig tussen ISPs switchen.

Mocht je andere voorstellen hebben hoe ik dit kan inrichten dan hoor ik dat natuurlijk graag, ben nieuwsgierig welke andere opties er zijn. Het enige alternatief wat ik zelf zag is om bij het Ziggo modem een Edgerouter Lite te plaatsen die ik nog heb liggen en die VLAN uit te geven aan pfsense routertje in de serverkamer, maar dan zit je of met dubbel firewall/NAT of je hebt er een apparaat tussen zitten die volgens mij helemaal niets toevoegd wanneer je die zaken uitzet?

[Verwijderd]

Er zijn wel meer opties hoor.

Je kan prima de functies NAT, routeren, en andere firewall functies splitsen; routeren en NAT zijn niet hetzelfde. Ondanks dat je router, NAT, DHCP, AP, switch, "parental contol", en webif in een consumentenroutertje bijelkaar gepropt ziet, het hoeft echt niet. Je kan bijvoorbeeld een CPE de NAT laten doen en alle poortjes forwarden naar een pfsense machientje, die daar dan al dan niet iets nuttigs mee doet.

Het kan zelfs allemaal in hetzelfde subnet (over twee VLANs, dat wel). Maar routed kan ook, moet je wel even weten waar je statische routes toevoegt (op de CPE) dat het geheel ook gaat werken.

Maar je kan natuurlijk ook gewoon de CPEs een publiek adres aan je pfsense machine laten uitdelen, die heeft er dan uiteindelijk twee.

Wat je hier bouwt heet een "router on a stick", met twee routing interfaces (hier WAN en LAN) op hetzelfde tagged lijntje*. Je hebt het probleem zo te zien al gevonden; mijn suggestie zou zijn om eerst de routerkant op een untagged poortje in je WAN VLAN te zetten en te zorgen dat het geheel dan werkt, pas daarna de VLANs tagged op de poort zetten. Niet alles tegelijk bijelkaar gooien en goed weten hoe je bouwstenen werken.

Waar je nog even naar moet kijken is "VLAN hopping", en hoe belangrijk je het vindt om je er druk over te willen maken. Alternatief is om extra "untrusted traffic" kabeltjes te trekken tussen CPEs en je pfsense machine of wat je ook gebruikt als publieke/private verkeersafscheidingswand. Je zou zelfs de aansluitkabels wat kunnen verlengen en zo de CPEs verplaatsen.

Opties genoeg. Of het ook past bij wat jij wil is een ander verhaal.

Dus schets een plaatje van hoe je het hebben wil en teken er bijin welk apparaat wat moet doen.


* "Trunk" is een telecomterm en betekent voor ethernet verschillende dingen naar gelang de fabrikant. Heb het dus maar over "link aggregation" en "VLAN tagging", niet over "trunks".