[Netgear GS308] Managed switch installatie en geen internet

[larsehh]

Beste mede-Tweakers,

Ik heb een managed switch aangeschaft namelijk de: netgear GS308E.
Wat de bedoeling is: Ik krijg internet van ziggo binnen. Ik heb 7 kamers die bekabeld internet moeten krijgen maar niet bij elkaar op het (netwerk) moeten kunnen. Mijn idee was om dus 7 verschillende vlans te maken met de switch.

Nu zit de switch aangesloten met een cat6 kabel van de ziggo connectbox in poort 8. Ik ben ingelogd op de switch door mijn ip om te zetten naar 192.168.0.240 switch is: 192.168.0.239. Ik heb 7 vlans gemaakt en deze toegewezen aan de poorten vlan 1 aan poort 1 vlan 2 aan poort 2 etc. Echter wanneer ik nu een laptop inplug in poort 1 bijvoorbeeld krijg ik geen internet verbinding poort 2 ook niet ens.

Iemand een idee hoe dit op te lossen is?

Met vriendelijke groet,

[MissingDog]

Je zult het verkeer van de verschillende VLANs naar het internet moeten routeren; ik weet niet of je ziggo connectbox dit gaat kunnen oplossen. Beter kijk je naar een router van bijvoorbeeld Mikrotik waarbij je uitgebreide controle hebt over de routing van verkeer tussen ports en vlans.

[Frogmen]

Ja je hebt echt een router met vlan ondersteuning nodig anders gaat het niet werken. Je hebt namelijk ook 7 dhcp servers nodig

[jongetje]

Je kunt beter een een firewall (of managed switch die dit kan) hiervoor gebruiken waarbij je verkeer tussen de onderlinge poorten blokkeert en ze alleen naar internet laat gaan.

[Michel]

Los van dat je die VLANS inderdaad op een router / firewall zult meoten gaan aanmaken, moet je ook zorgen dat poorten 1 tot en met 7 untagged VLAN's zijn en dat alle VLAN's tagged op poort 8 worden geconfigureerd.

Volgens zorg je dat de uplink poort van de router/firewall (dus de poort aangesloten op je switch) ook alle deze VLAN's als tagged heeft toegevoegd. Vervolgens kan die router, mits geconfigureerd voor VLAN's, alles gescheiden houden en zorgen dat ze allemaal internet krijgen.

[laurens0619]

Je moet ervoor zorgen dat vlan 1tm7 met poort 8 mag communiceren. Dat kan prima! (Wel het subnet gelijk houden op ieder vlan met het ziggo subnet)

Echter daardoor kunnen alle clients weer bij elkaar, als een client uit vlan 1 naar vlan2 wilt dan kan dat niet direct op de switch maar wel via de “uplink” naar de router

Als je een restrictie kunt aanbrengen dat vlan 1tm7 wel naar poort 8 mag communiceren maar alleen naar het ip van de router dan ben je er.

Anders moet je idd iets als een edgerouter x ertussen zetten om de router vlan aware te maken

[Nox]

Kun je access lists maken? Dan enkel communiceren met de gateway mogelijk maken.

[kosz]

laurens0619 schreef op donderdag 28 januari 2021 @ 13:21:
Je moet ervoor zorgen dat vlan 1tm7 met poort 8 mag communiceren. Dat kan prima! (Wel het subnet gelijk houden op ieder vlan met het ziggo subnet)

Echter daardoor kunnen alle clients weer bij elkaar, als een client uit vlan 1 naar vlan2 wilt dan kan dat niet direct op de switch maar wel via de “uplink” naar de router

Als je een restrictie kunt aanbrengen dat vlan 1tm7 wel naar poort 8 mag communiceren maar alleen naar het ip van de router dan ben je er.

Anders moet je idd iets als een edgerouter x ertussen zetten om de router vlan aware te maken

Ik mag mij nog wel eens verbazen over de adviezen, maar soms is het beter om niets te zeggen....
Dus je maakt 7 vlans aan welke allemaal en het zelfde subnet zitten.... Hoe dan ? het is een laag 2 switch, en allemaal het zelfde subnet ? Heb je dat wel eens geprobeerd ? mompeld iets met overlappende ip-adressen... en dan hebben we het nog niet eens dat dit echt helemaal niets uithaald...

Uiteraard zitten er ook goede adviezen tussen, maar uit je vraagstelling en dat je niet begrijpt waarom dit niet werkt is het doel bereiken misschien een beetje boven je pet.
Wat heb je nodig ?
In iedergeval een router/firewall met vlan ondersteuning.
vlans aanmaken op deze router met allen een eigensubnet
Heb je een router, van dmv access-lists zorgen dat de vlans onderling niet mogen communiceren, bij een firewall doe je dit met policy's.
0-route naar je ziggo moden (kan ook bridged maar laten we het maar niet te moeilijk maken)
alle vlans tagged aanbieden op 1 poortje aan de achterliggende laag 2 switch, en per poort untagged 1 de 7 vlans aanbieden.

[laurens0619]

@kosz

Ach ik probeerde het stapsgewijs
/conceptueel uit te leggen waarom het niet werkte nu

Er zijn meerdere wegen naar rome maar dit kun je prima oplossen zonder vlan aware router. Wat ik conceptueel bedoelde heet technisch private vlans. Misschien ken je dat?

Wikipedia: Private VLAN



https://ccie4all.wordpress.com/2013/01/05/private-vlans/amp/

https://www.networkstraining.com/private-vlan-configuration/

Wat klopt er technisch niet aan mijn advies dan? En mij meteen te labelen dat het boven mijn pet gaat... zullen we eerst eens kijken of we elkaar advies wat beter begrijpen zonder direct deze krachttermen erin te gooien?

Je hebt in ieder geval niet perse een router met vlan ondersteuning nodig, het maakt het wel makkelijker.

Ik weet alleen niet of dat deze switch het concept van port isolation/private vlan kan

[Voor 69% gewijzigd door laurens0619 op 28-01-2021 16:10]

[kosz]

laurens0619 schreef op donderdag 28 januari 2021 @ 15:38:
@kosz
Wat klopt er technisch niet aan mijn advies dan? En mij meteen in een hoekje te drukken dat het boven mijn pet gaat... zullen we eerst eens kijken of we elkaar advies wat beter begrijpen zonder direct deze krachttermen erin te gooien?

Je hebt in ieder geval niet perse een router met vlan ondersteuning nodig, het maakt het wel makkelijker

Ik begrijp je idee wel, al is het absoluut geen allerdaagse oplossing welke ik werkelijk nooit tegenkom en zou toepassen.
De opmerking "dat het waarschijnlijk je pet te boven gaat" was zeker niet aan jou gericht maar aan de TS
Ik probeer zo goed mogelijk antwoord te geven (richting op te sturen) waar de TS iets mee zou kunnen doen, met een kleine inschatting wat zijn kennisnivo is aan de hand van zijn startpost.
Ik denk wel dat je het me eens bent dat een leek op netwerkgebied niet ineens bij jouw uitleg zal roepen : He ja dat ga ik eens ff bij elkaar kloppen en dan werkt het !

[laurens0619]

@kosz nee dat was het doel ook niet, ik probeerde hem conceptueel uit te leggen waarom het nu niet werkt. Vanuit dat inzicht kun je pas verder uitleggen wat hij moet inkloppen

Ik vind het wel bijzonder dat je port isolation nooit tegenkomt en nooit zou toepassen? Het is vrij gangbaar voor deze use case hoor

Waarom bestaan vlans? Niet voor security maar om netwerken/broadcast domeins te scheiden.

Ik zie vlans veels te vaak toegepast worden voor situaties waar het absoluut niet nodig. Bv guest wifi op tweakers. Waarom een vlan? Waarom niet een ssid met een firewall erop dat je alleen met het router ip mag communiceren?

[kosz]

@laurens0619

Helemaal mee eens, iedereen staart zich dood op een apart vlan want dat is veilig.... nee dat is het pas na het toepassen van een ACL of policy.
Heel kort door de bocht :
heb je een router mag alles out of the box met elkaar communiceren (ook vlans)
heb je een firewall mag niets out of the box met elkaar communiceren

poort isolatie of user isolatie kom ik op deze manier niet vaak tegen vanwege het groot zakelijk segment waar ik werkzaam in ben, daar wordt er gebruik gemaakt van NAC oplossingen zoals Clearpass, Fortinet etc.

[laurens0619]

@kosz enteprise oplossingen zijn idd anders, daar heb je 9/10x sowieso al logische scheiding met vlans. Private vlans kom je vooral in bv hotel netwerk omgevingen tegen om op een simpele manier host isolation tussen netwerk poorten aan te bieden.

@larsehh @kosz en ik hebben beraad gehad en daar komt uit:
- of private vlan in je switch instellen (kan deze denk ik niet)
- of je router vlan aware maken (goedkoopste is edgerouter x afaik)

[Nox]

laurens0619 schreef op donderdag 28 januari 2021 @ 16:20:
@kosz nee dat was het doel ook niet, ik probeerde hem conceptueel uit te leggen waarom het nu niet werkt. Vanuit dat inzicht kun je pas verder uitleggen wat hij moet inkloppen

Ik vind het wel bijzonder dat je port isolation nooit tegenkomt en nooit zou toepassen? Het is vrij gangbaar voor deze use case hoor

Waarom bestaan vlans? Niet voor security maar om netwerken/broadcast domeins te scheiden.

Ik zie vlans veels te vaak toegepast worden voor situaties waar het absoluut niet nodig. Bv guest wifi op tweakers. Waarom een vlan? Waarom niet een ssid met een firewall erop dat je alleen met het router ip mag communiceren?

Omdat het zeker bij grotere netwerken wat beter functioneert en een extra laag toevoegt. Het is niet dat vlans per definitie alles veiliger maken, maar als iemand doodleuk een ip-adres conflict veroorzaakt op 1 vlan heeft diegene niet gelijk het hele netwerk om zeep geholpen. Zeker als het het ip-adres is van de gateway. Je moet het zien als en-en. Ja, je kan een gastnetwerk maken met een access list als je misschien 5 gasten hebt. Als je er 500 hebt dan is het een ander verhaal. Dan wil je ze daarna zelfs gaan scheiden over meerdere vlans om o.a. broadcast verkeer wat in te perken en de dhcp pool een beetje op orde te houden.

Anyway, ik heb even vluchtig gekeken naar de manual van de switch van TS en features zoals private vlan, qinq, access lists, port isolation komen helaas niet voor. Ik vermoed dat TS dan toch een vlan capable router moet gaan gebruiken.

[Lawwie]

Google: router on a stick

[Ben(V)]

Tja en ik maar denken dat vlan's voor een thuissituatie tamelijk nutteloos zijn.

[laurens0619]

@Nox zoals ik zei: ik zie het vaak toegepast worden waar het niet nodig is. Je voorbeeld van grote netwerken is een plek waar je het wel toepast (als is het maar vanwege broadcast domains)

Vlans hebben een security side effect zoals bv duplicate ip maar security problemen moet je oplossen met security oplossingen. Niet met oplossingen die een security side effect hebben

@Lawwie router on a stick is toch gewoon je router vlan aware maken en voor ieder vlan laten routeren?

[Voor 13% gewijzigd door laurens0619 op 28-01-2021 16:51]

[MisteRMeesteR]

laurens0619 schreef op donderdag 28 januari 2021 @ 16:20:

Ik zie vlans veels te vaak toegepast worden voor situaties waar het absoluut niet nodig. Bv guest wifi op tweakers. Waarom een vlan? Waarom niet een ssid met een firewall erop dat je alleen met het router ip mag communiceren?

Omdat L2 verkeer de firewall/router nooit bereikt (want switch ertussen)? En ik niet wil dat de gebruikers op mijn gastennetwerk mijn Home-Assistant of Sonos gaan bedienen?

[Lawwie]

laurens0619 schreef op donderdag 28 januari 2021 @ 16:45:
@Lawwie router on a stick is toch gewoon je router vlan aware maken en voor ieder vlan laten routeren?

De router is middels één kabel aangesloten op de switch, dit maak je een trunk (of tagged voor non-cisco). Op de router creëer je voor elke vlan een sub interface met een ip behorende aan dat subnet. Dus de router hangt dan in elk vlan met een pootje, elk vlan krijgt dan ook zijn eigen gateway en subnet.

[laurens0619]

MisteRMeesteR schreef op donderdag 28 januari 2021 @ 16:55:
[...]

Omdat L2 verkeer de firewall/router nooit bereikt (want switch ertussen)? En ik niet wil dat de gebruikers op mijn gastennetwerk mijn Home-Assistant of Sonos gaan bedienen?

Het werkt prima met een vlan maar het is niet nodig. Een simpele ip filter/firewall (zoals ubiquiti/deco doet) heeft hetzelfde effect. Ik heb geen vlans (meer ) thuis maar vanaf mn guest wifi kun je niet bij mn sonos of home automation, alleen op internet

Als je doel puur is om je thuis lan te scheiden van je guest wifi dan is alles vlan aware maken een vrij dure oplossing.

[Voor 9% gewijzigd door laurens0619 op 28-01-2021 17:13]

[Luxicon]

laurens0619 schreef op donderdag 28 januari 2021 @ 17:09:
[...]

Het werkt prima met een vlan maar het is niet nodig. Een simpele ip filter/firewall (zoals ubiquiti/deco doet) heeft hetzelfde effect. Ik heb geen vlans (meer ) thuis maar vanaf mn guest wifi kun je niet bij mn sonos of home automation, alleen op internet

Als je doel puur is om je thuis lan te scheiden van je guest wifi dan is alles vlan aware maken een vrij dure oplossing.

Ook al werk je met een bepaalde regels, gasten zullen dan alsnog verbonden zijn met hetzelfde subnet. Volgens mij zijn VLAN aware oplossing prima betaalbaar, het is denk ik meer de keuze of je de kennis / mogelijkheden hebt om het toe te passen. Het kan ook handig zijn om magement pagina's in een eigen VLAN te plaatsen bijvoorbeeld.

[larsehh]

Ik heb een netgear nighthawk r7000 router. Deze heb ik net tussen de connectbox en de switch aangesloten dus nu:
Connectbox > router > Switch
De router biedt vlan ondersteuning echter heeft de router maar 4 uit poorten vandaar de switch.
Maakt dit de situatie makkelijker?

[laurens0619]

Luxicon schreef op donderdag 28 januari 2021 @ 17:25:
[...]


Ook al werk je met een bepaalde regels, gasten zullen dan alsnog verbonden zijn met hetzelfde subnet. Volgens mij zijn VLAN aware oplossing prima betaalbaar, het is denk ik meer de keuze of je de kennis / mogelijkheden hebt om het toe te passen. Het kan ook handig zijn om magement pagina's in een eigen VLAN te plaatsen bijvoorbeeld.

Technisch zijn ze verbonden met hetzelfde netwerk maar wat maakt dat uit?
JE moet toch wel kunnen leunen op een ip firewall, doen we op het internet ook

VLANS thuis kunnen zeker nut hebben en het belangrijkste ze hebben een groot tweak gehalte
Veel mensen denken echter dat het VLANS een noodzaak zijn om je guest Wifi te realiseren en je interne netwerk hiervan te isoleren. Daar heb je geen vlans voor nodig, dat punt wilde ik even maken

larsehh schreef op donderdag 28 januari 2021 @ 17:43:
Ik heb een netgear nighthawk r7000 router. Deze heb ik net tussen de connectbox en de switch aangesloten dus nu:
Connectbox > router > Switch
De router biedt vlan ondersteuning echter heeft de router maar 4 uit poorten vandaar de switch.
Maakt dit de situatie makkelijker?

Nee, je router heeft vlan ondersteuning voor de WAN kant maar niet voor de lan kant.
Misschien als je er openwrt op zet?

Zie ook de FAQ
https://kb.netgear.com/23794/R7000-FAQs

Can I use the R7000 VLAN feature for internal VLAN separation?
No, the VLAN feature is currently designed to separate WAN services provided by your service provider (ISP). For example, your ISP may require this feature in order to separate Internet, IPTV, and/or telephony services. It is not meant to be used to configure the LAN side of the customer's network.

[Voor 34% gewijzigd door laurens0619 op 28-01-2021 17:53]

[Nox]

laurens0619 schreef op donderdag 28 januari 2021 @ 17:09:
[...]

Het werkt prima met een vlan maar het is niet nodig. Een simpele ip filter/firewall (zoals ubiquiti/deco doet) heeft hetzelfde effect. Ik heb geen vlans (meer ) thuis maar vanaf mn guest wifi kun je niet bij mn sonos of home automation, alleen op internet

Als je doel puur is om je thuis lan te scheiden van je guest wifi dan is alles vlan aware maken een vrij dure oplossing.

Het alternatief is een layer 3 switch met mogelijkheid om per poort een access list in te stellen, die zijn ook niet cheap. Voor wifi is een semi-pro accesspoint vaak voldoende, dat valt dan weer een stuk makkelijker uit te geven.

[laurens0619]

Nox schreef op donderdag 28 januari 2021 @ 18:03:
[...]

Het alternatief is een layer 3 switch met mogelijkheid om per poort een access list in te stellen, die zijn ook niet cheap. Voor wifi is een semi-pro accesspoint vaak voldoende, dat valt dan weer een stuk makkelijker uit te geven.

Een unifi ap van 75 euro kan het standaard
Een deco m4 van 33 euro per ap ook

Die hebben een firewall zitten tussen het guest wifi ssid en de lan

Daar heb je geen speciale switch voor nodig.

[Luxicon]

laurens0619 schreef op donderdag 28 januari 2021 @ 17:51:
[...]

Technisch zijn ze verbonden met hetzelfde netwerk maar wat maakt dat uit?
JE moet toch wel kunnen leunen op een ip firewall, doen we op het internet ook

VLANS thuis kunnen zeker nut hebben en het belangrijkste ze hebben een groot tweak gehalte
Veel mensen denken echter dat het VLANS een noodzaak zijn om je guest Wifi te realiseren en je interne netwerk hiervan te isoleren. Daar heb je geen vlans voor nodig, dat punt wilde ik even maken


[...]

Nee, je router heeft vlan ondersteuning voor de WAN kant maar niet voor de lan kant.
Misschien als je er openwrt op zet?

Zie ook de FAQ
https://kb.netgear.com/23794/R7000-FAQs


[...]

Wat ik er ook mee bedoel, is dat VLANs aan de andere kant ook makkelijk zijn en het geheel minder complex kunnen maken, doordat je niet bepaalde regels hoeft aan te maken om hosts te weigeren ergens in het subnet, ondanks dat je ze toegang geeft tot dat subnet. Dat soort regels kan het beheer van een netwerk een stuk complexer maken.

[laurens0619]

@Luxicon ja eens vlans kennen hun use case zeker. Ipv op detail niveau richt je het een niveau hoger in

Maar bij guest wifi heb je geen complexe uitzonderingen, slechts 1 filter op de ap richting het ip van je router. Dat is een stuk minder complex als alles vlan aware maken.
Zodra je meer wilt, zijn vlans wel handig

Voor thuis vind ik bv je iot apparaten of je iptv apparaten in een apart vlan een uitkomst iptv hoeft tegenwoordig niet perse maar lost wel een hoop op met sommige koppige switches en igmp

[Voor 23% gewijzigd door laurens0619 op 28-01-2021 18:09]

[Nox]

laurens0619 schreef op donderdag 28 januari 2021 @ 18:05:
[...]

Een unifi ap van 75 euro kan het standaard
Een deco m4 van 33 euro per ap ook

Die hebben een firewall zitten tussen het guest wifi ssid en de lan

Daar heb je geen speciale switch voor nodig.

Maar dat zijn AP's, geen switches. TS wil een switch welke dit kan.

[laurens0619]

Nox schreef op donderdag 28 januari 2021 @ 18:29:
[...]

Maar dat zijn AP's, geen switches. TS wil een switch welke dit kan.

Haha ik snap dat het verwarrend is maar ik reageerde op de offtopic discussie over guest wifi
Maar je hebt gelijk, ik ga teveel offtopic

Voor de ts is de goedkoopste oplossing een vlan aware router

[Voor 12% gewijzigd door laurens0619 op 28-01-2021 18:46]

[larsehh]

Oke ik heb even op het internet gekeken.en ik stuitte op het volgende product:

https://www.coolblue.nl/p...4r1Xn974xJt0aAv-nEALw_wcB

wanneer ik mijn netgear router vervang voor deze en de instellingen juist configureer op deze router zou het moeten werken?

[laurens0619]

@larsehh weet ik niet. Technisch kan die usg vlans en alles maar dat werkt wel het beste als je switch ook van ubiquiti is.

Het meest eenvoudige en goedkope is gewoon een ubiquiti Edgerouter X kopen
https://www.coolblue.nl/p...mJtgceDafIKYaAknEEALw_wcB

[Voor 37% gewijzigd door laurens0619 op 28-01-2021 23:31]