DrayTek 3910 "isolated" VLAN icm TP-Link smart-switch

[BCMascha]

Hallo Tweakers,

Ben een beetje aan het spelen met mijn nieuwe DrayTek Vigor3910 routertje en leer steeds meer. Alleen kom ik er nu niet echt uit, dus 2 vragen:

Vraag 1:
Ik zou graag een VLAN willen die van de buitenwereld afgesloten is en zelfs lokaal voor alle andere apparaten die niet in dezelfde LAN zitten. Deze LAN zal voor de camera's dienen, zodat niemand behalve de server erbij kan komen.
Ik heb poort 12 (P12) van de router ingesteld op VLAN6, subnet LAN6. (Bijlage) Vervolgens heb ik deze een IP gegeven: 192.168.166.xxx. LAN1 (De standaard LAN) is 192.168.160.xxx.
Dat werkt allemaal, helemaal mooi enzo. Maar nu de blokkade. Ik heb bij de firewall ingesteld dat deze LAN6 als enige geblokkeerd moet worden voor hetgeen wat je in de bijlage ziet staan. Bij "Inter-LAN Routing" LAN1 bij LAN6 weggevinkt, zodat ze elkaar nu niet meer kunnen pingen, zien of whatsoever.
Ik kan tot zo ver ik getest heb niets meer buiten 192.168.166.xxx pingen of bezoeken, ook geen websites enzo.
Mijn vraag is nu of ik dit zo goed doe, of zie ik iets over het hoofd en is dit niet goed? Of moet de blokkade helemaal anders?


Vraag 2:
Als hetgeen hierboven goed is, zou ik dit ook naar mij TP-Link T1600G-28PS Smart PoE Switch willen doorzetten, zodat hier 2 camera's op aangesloten kunnen worden aangezien deze PoE nodig hebben. Lekker simpel: kabeltje in P12 en in de switch duwen en heel de switch zit op LAN6 en klaar. Beetje jammer van de 21 poorten die overblijven, niet?
Dus hoe zorg ik er nu voor dat bijvoorbeeld alleen poort 10 t/m 13 voor de camera's zullen zijn en de rest voor normaal internet (LAN1 dus)?
Ik dacht zelf op de TP-Link even kabeltjes steken van P11 (= LAN1) naar poort 24 en van P12 naar poort 23. Dan: VLAN1 even aanpassen en poorten 10 t/m 13 en 23 wegvinken en dan VLAN2 aanmaken en effe poorten 10 t/m 13 en 23 aanvinken als "Untagged port" en klaar is Kees. Maar zo te zien werkt dat blijkbaar niet zo simpel allemaal.

Sorry voor het hele verhaal. Meer een vraag voor de fanatiekelingen denk ik en ik hoop dat ik het zo een beetje duidelijk uitgelegd heb.

Bijlagen:

[Faifz]

Beetje jammer van de 21 poorten die overblijven, niet?
Dus hoe zorg ik er nu voor dat bijvoorbeeld alleen poort 10 t/m 13 voor de camera's zullen zijn en de rest voor normaal internet (LAN1 dus)?

Door een trunk link (tagged) op te zetten tussen de router/switch. Op het moment heb je VLAN0 voor LAN1, gebruik VLAN 1 i.p.v. VLAN 0. VLAN 0 wil zeggen dat je untagged traffic verwacht en denk niet dat 0 als ID kan instellen op een TP-Link poort.

Ofwel tag/trunk je VLAN 1 in een range b.v. 1-10 OF je houdt VLAN 1 als de native VLAN ID en hou je deze buiten de trunk range (2-10).

[RGHoeksma96]

Zoals aangegeven met een trunk link, gebruik zelf het vlan0 in principe altijd untagged als basis vlan en de overige vlans tagged op de trunk gekoppeld. Geeft dan onderstaand beeld op een van onze 3910 routers met hp switches er achter (geen ervaring met managed tp link)

[BCMascha]

Goed, nadat ik de TP-Link een reset moest geven omdat ik VLAN's verpest had blijkbaar, krijg ik deze nooit meer benaderbaar. (Wit scherm zodra je naar IP gaat)

Dussss... Nieuwe switch gekocht, DrayTek P2280

Ik heb lopen rommelen met de VLAN's en zelfs met de handleiding van DrayTek erbij. Ik heb gedaan wat hierin staat en toch krijgt mijn test-laptopje totaal geen IP-adres meer uitgedeeld zodra ik op de ingestelde poort deze erin steek. Ik snap er de ballos van Wat doe ik verkeerd? Ik heb ingesteld wat er bij de foto's te zien is. P12 zit naar poort 28 van de switch. Alles behalve poort GE18 werkt. GE18 zou in LAN6 (192.168.166.xx) geplaatst moeten worden en alleen apparaten in LAN6 moeten mogen zien en niets erbuiten.

[Arthion-nl]

Zo ver ik het zie is dat je port 12 met vlan 6 op switch port 28 hebt aangesloten correct ? Ik zie dat port 28 wel een trunk(tagged) poort is maar is alleen lid van vlan 1 en niet vlan 6.

Je zou zo dus port 28 switch ook lid moeten maken van vlan 6 als ik goed heb.

[BCMascha]

Dat is inderdaad correct. Ik heb hem inmiddels lid gemaakt met behulp van deze handleiding en nu krijgt mijn test-laptopje (GE18) wel een 192.168.166.xxx IP. Mooi en goed dus. Leer al meer van VLAN's.

Toch nog 3 vraagjes:

1. Ik snap alleen het verschil niet qua het instellen van Hybrid (Blz. 8 ) en Trunk (Blz. 11 ). Wat is het verschil? Is dit niet beide hetzelfde? Ook bij beide werkt hetgeen wat ik wil bereiken.

2. Ik vraag mijzelf nog steeds af of ik LAN6 correct "isolated" heb gemaakt voor de camera's zodat er niets of niemand van buitenaf of buiten 192.168.166.xxx erbij kan, of moet ik dit anders doen? (Staat in eerste post "Vraag 1.")

3. Wat @Faifz zei: ik neem aan dat de default VLAN ID 1 dus correct is ingesteld als "native" lan en dat ik hier (ook qua veiligheid?) niets hoef te veranderen?

[Arthion-nl]

BCMascha schreef op zondag 4 april 2021 @ 18:07:
Dat is inderdaad correct. Ik heb hem inmiddels lid gemaakt met behulp van deze handleiding en nu krijgt mijn test-laptopje (GE18) wel een 192.168.166.xxx IP. Mooi en goed dus. Leer al meer van VLAN's.

Mooi dat het werkt !

Toch nog 3 vraagjes:

1. Ik snap alleen het verschil niet qua het instellen van Hybrid (Blz. 8 ) en Trunk (Blz. 11 ). Wat is het verschil? Is dit niet beide hetzelfde? Ook bij beide werkt hetgeen wat ik wil bereiken.

Op pagina 8 lees je dit " Wanneer er zowel een untagged VLAN tag als tagged VLAN tags worden aangeboden kiest u voor Hybrid"

Wanneer je dus alleen tagged vlans wil sturen gebruik je Trunk en wanneer je een untagged vlan mee wil sturen zet je hem op hybride. De handleiding gaat er vanuit dat je alles over 1 kabel stuurt en niet zoals jij doet over 2 verschillende kabels. port 28 hoort dus op Trunk te staan !

2. Ik vraag mijzelf nog steeds af of ik LAN6 correct "isolated" heb gemaakt voor de camera's zodat er niets of niemand van buitenaf of buiten 192.168.166.xxx erbij kan, of moet ik dit anders doen? (Staat in eerste post "Vraag 1.")

Wat bedoel jij precies vanaf buitenaf of buiten? Als je de firewall goed hebt af afgesteld zou dit niet moeten kunnen nee maar ik weet niet hoe je die hebt afgesteld natuurlijk en hoe draytek hier mee omgaat qua software.

3. Wat @Faifz zei: ik neem aan dat de default VLAN ID 1 dus correct is ingesteld als "native" lan en dat ik hier (ook qua veiligheid?) niets hoef te veranderen?

Native lan is altijd Vlan 1 en bij sommige switches zoals TP-Link kun je dit niet eens veranderen.

[Faifz]

BCMascha schreef op zondag 4 april 2021 @ 18:07:
2. Ik vraag mijzelf nog steeds af of ik LAN6 correct "isolated" heb gemaakt voor de camera's zodat er niets of niemand van buitenaf of buiten 192.168.166.xxx erbij kan, of moet ik dit anders doen? (Staat in eerste post "Vraag 1.")

Isolatie/VLAN's spelen zich alleen maar af op layer 2, dus op switches. Stel, zonder een router - dan kunnen VLAN 1 en VLAN 6 niet communiceren en heb je inderdaad 'isolatie'.

Maar je hebt ze achter een router staan, dus routers breken broadcast domeinen af en geven helemaal niets om je VLAN zones. Bv VLAN 1 en 6 kunnen alsnog communiceren omdat je het nu hebt over layer 3 aangezien er nu routing wordt gedaan en omdat je met IP adressen te maken hebt. Communicatie tussen een client en een IP camera verloopt over een TCP/UDP sessie (layer 4). Dus nu komt het erop neer dat je firewall regels moet maken. Block traffic van VLAN 1 subnet naar VLAN 6 of hoe je het ook wil doen.

BCMascha schreef op zondag 4 april 2021 @ 18:07:
3. Wat @Faifz zei: ik neem aan dat de default VLAN ID 1 dus correct is ingesteld als "native" lan en dat ik hier (ook qua veiligheid?) niets hoef te veranderen?

Vaak wordt er aangeraden dat je de native VLAN verandert vanwege veiligheid, maar dit vond ik nooit relevant omdat het altijd gaat neerkomen op firewall regels. Persoonlijk werk ik liever niet met de native VLAN omdat het complex is. Op cisco switches kun je het niet uitschakelen op een trunk link. Meestal verander ik het naar een VLAN ID zoals 4000 en hou ik die buiten de trunk range (bv 10-255) en gebruik ik het op geen enkele poort als access/untagged. Op zo een Ubiquiti switch kan je het wel uitschakelen.

Voor een thuisnetwerk is het wel handig want je hebt hoogstwaarschijnlijk al een unmanaged switch staan die alleen maar untagged verwacht. En als je dit wil laten lopen over een trunk link moet VLAN ID 1 ingesteld worden als native aangezien dit de default VLAN ID is op elke switch.

[Arthion-nl]

Faifz schreef op zondag 4 april 2021 @ 20:06:
[...]


Isolatie/VLAN's spelen zich alleen maar af op layer 2, dus op switches. Stel, zonder een router - dan kunnen VLAN 1 en VLAN 6 niet communiceren en heb je inderdaad 'isolatie'.

Maar je hebt ze achter een router staan, dus routers breken broadcast domeinen af en geven helemaal niets om je VLAN zones. Bv VLAN 1 en 6 kunnen alsnog communiceren omdat je het nu hebt over layer 3 aangezien er nu routing wordt gedaan en omdat je met IP adressen te maken hebt. Communicatie tussen een client en een IP camera verloopt over een TCP/UDP sessie (layer 4). Dus nu komt het erop neer dat je firewall regels moet maken. Block traffic van VLAN 1 subnet naar VLAN 6 of hoe je het ook wil doen.

Ik denk in zijn geval hoeft hij geen firewall regels te maken omdat de router ook een switch heeft en p12 is mogelijk fysiek geisoleerd van de andere poorten. Vlan 1 komt binnen op P11 en kan dus niet communiceren met vlan 6 die zich begeeft op P12.

Dus port isolatie op P12 zou voldoende moeten zijn.

[Faifz]

Arthion-nl schreef op zondag 4 april 2021 @ 20:15:
[...]


Ik denk in zijn geval hoeft hij geen firewall regels te maken omdat de router ook een switch heeft en p12 is mogelijk fysiek geisoleerd van de andere poorten. Vlan 1 komt binnen op P11 en kan dus niet communiceren met vlan 6 die zich begeeft op P12.

Dus port isolatie op P12 zou voldoende moeten zijn.

Nee, want zoals ik al had aangegeven - routers geven helemaal niets om je broadcast domeinen (of VLAN's). Je hebt hier twee subnets 192.168.160.0/24 en 192.168.166.0/24 op de router - wat je ook doet op je switches heeft geen belang. Ze kunnen communiceren over layer 3 (routers zijn layer 3) omdat je hier IP adressen hebt en omdat IP een routing protocol is. Enige dat je isoleert met VLAN's is bv ARP zoals broadcast, unicast, multicast etc en je hebt het hier strict over layer 2. Maar routers forwarden broadcast messages nooit naar een ander netwerk/subnet, dus vandaar dat routers broadcast domeinen breken.

Hieronder een gif waar je twee routers ziet met 3x verschillende broadcast domeinen (VLAN 10, 20 en 30) en dat routers er helemaal niets omgeven. Als je pinged van VLAN 10 naar 20 of 30 wordt het gerouteerd. Als je de router zou weghalen, kan VLAN 10 niet meer communiceren met VLAN 20 of 30 omdat je routing nodig hebt van een subnet naar een andere subnet. Binnenin dezelfde subnet, heb je geen routing nodig en is ARP genoeg. Als je meer informatie wil, 'router-on-a-stick' is de term.



Ik weet wel dat consumenten routers automatisch firewall regels aanmaken en heb geen idee hoe draytek hiermee omgaat. Maar je gaat het met firewall regels moeten blokkeren als je niet wil dat een subnet met een andere subnet communiceert.

[BCMascha]

Arthion-nl schreef op zondag 4 april 2021 @ 19:24:
De handleiding gaat er vanuit dat je alles over 1 kabel stuurt en niet zoals jij doet over 2 verschillende kabels. port 28 hoort dus op Trunk te staan !

Ik gebruik wel 1 kabel. In het begin was ik alleen met de poorten van de router aan het testen, nu met een switch en 1 kabel. Ook dacht ik in het begin hatseflats effe 2 kabeltjes in die 2 poorten naar de switch, even VLAN aanmaken en aan die poorten toewijzen en dikke doei! Maar nee.

Ik bedoel met buitenaf dat niets bij de cams mag komen behalve de server, welke dus in LAN6 komt te zitten. Dus LAN6 moet lokaal kunnen communiceren met whatever er in LAN6 komt te zitten, maar alles daarbuiten niet. Dus geen internet toegang (webbrowsing etc., alles wat niet lokaal is) en geen communiceren naar LAN1 bijvoorbeeld.

Faifz schreef op zondag 4 april 2021 @ 20:06:Bv VLAN 1 en 6 kunnen alsnog communiceren omdat je het nu hebt over layer 3 aangezien er nu routing wordt gedaan en omdat je met IP adressen te maken hebt.

Maar als ik bij Inter-LAN Routing alle vinkjes uitgooi kan ik niet meer pingen naar andere subnets, dus daarmee verkom je dit? Of begrijp ik dat verkeerd?

Ik sluit soms wel eens een unmanaged switch aan ja, dus die default VLAN 1 laat ik dan maar gewoon staan denk ik of ik verander de native lan indien mogelijk.


Firewall instellingen van de DrayTek:


Ik neem aan dat ik LAN6 zo voor alles geblokkeerd heb.

[Faifz]

BCMascha schreef op zondag 4 april 2021 @ 21:10:
Maar als ik bij Inter-LAN Routing alle vinkjes uitgooi kan ik niet meer pingen naar andere subnets, dus daarmee verkom je dit? Of begrijp ik dat verkeerd?

Noemen ze het echt Inter-LAN routing en dat je routes kan 'uitschakelen'? Wel heel vreemd, maar ben er vrij zeker van dat de routing table blijft. Dus een route van LAN1 naar LAN6 blijft bestaan. En het is helemaal niet erg als er een route voor bestaat want je hebt alle mogelijke protocollen (TCP/UDP en ICMP voor bv ping) geblokkeerd tussen LAN1 en LAN6 door firewall regels op te zetten. Dat is hoe het hoort.

[BCMascha]

Zo noemen ze dat inderdaad en na een beetje testen blijkt het ook te werken. Maar firewall aan is ook altijd goed naar mijn mening en die van jouw.

En ik kan inderdaad de default VLAN 1 niet verwijderen of wijzingen op de switch.
Ik probeer het verschil tussen untagged en tagged te begrijpen, maar denk dat ik het (niet) goed begrijp. Want wat ik eruit begrijp is: als ik router P12 naar poort 25 van switch-1 gooi en poort 26 naar switch-2 poort 25.......etc dan moet ik deze dus als een trunk poort instellen? En niet Hybrid?

[Faifz]

BCMascha schreef op zondag 4 april 2021 @ 22:50:
Zo noemen ze dat inderdaad en na een beetje testen blijkt het ook te werken. Maar firewall aan is ook altijd goed naar mijn mening en die van jouw.
En ik kan inderdaad de default VLAN 1 niet verwijderen of wijzingen op de switch.
Ik probeer het verschil tussen untagged en tagged te begrijpen, maar denk dat ik het (niet) goed begrijp. Want wat ik eruit begrijp is: als ik router P12 naar poort 25 van switch-1 gooi en poort 26 naar switch-2 poort 25.......etc dan moet ik deze dus als een trunk poort instellen? En niet Hybrid?

Heb nog nooit gehoord van hybrid. Untagged, bevat altijd 1x VLAN ID max. Tagged, kan alle VLAN ID's zijn dus bv een range 1-4094. Access is een ander woord voor untagged. Trunk is een ander woord voor tagged.

Access/untagged, wordt altijd gebruikt voor een client of een server. De tag wordt weggeschreven wanneer het naar de client toegaat. VLAN ID's instellen op clients verwacht je van niemand dus vandaar dat het wordt weggeschreven in de header.

Trunk/tagged wordt gebruikt voor switch naar switch of router naar switch. Dit is omdat ze VLAN aware moeten zijn.

[ Voor 4% gewijzigd door Faifz op 05-04-2021 01:28 ]

[BCMascha]

Duidelijk. Maar is een switch aan een switch hangen handig qua snelheid, zelfs met 2 uplinks (LAG)?
Wat ik hiermee bedoel in effe Jip en Janneke taal, aangesloten als volgt: router>switch1>switch2. Nu een PC die op switch2 zit die de volle 1Gbps (125MB/s) gaat schrijven naar een ander apparaat die op switch1 zit. Is het niet zo dat alles eerst naar de router gaat, en dan weer terug naar switch1 of zal het direct naar switch1 gaan? Als dat laatste het antwoord is, alleen dan is een dubbele uplink nuttig mocht je meerdere apparaten tegelijk 125MB/s weg laten schrijven, anders moet je ook dubbele uplink naar je router hebben die dat niet kan, op de 10Gbps poorten na die de switches dan weer niet kunnen hebben. Heb m'n switches nu altijd al beide apart op de router staan, geen idee waarom eigenlijk.

[Faifz]

LAG is wanneer je meerdere poorten combineert op een gegeven switch. Dus het is per apparaat en je kan de snelheid niet verdubbelen door meerdere switches eraan te hangen.

Als beide PC's in hetzelfde subnet zitten, heb je in principe geen router nodig. Dus het zal van switch naar switch gaan. Maar wanneer het van subnet naar een andere subnet is, zal het via de router passeren omdat je routing nodig hebt. Een andere oplossing is dat je routing doet op je switch, dit kan handig zijn als je een 1 Gbps router hebt en een 10 Gbps switch. De mogelijkheid heb je om met SVI's te werken op per-vlan basis.

Meeste PC's hebben maar 1x NIC en het is bijna altijd 1 Gbps. Een switch heeft altijd 1 Gbps up & down per poort. Dus je hebt niets aan LAG voor uw bandbreedte te verdubbelen. Het enige wat je eraan hebt is redundantie.