Layer 3 switching setup - gateway en vlan configuratie

[Perphide]

Hallo allen,

Ik heb een layer 3 capable switch met daarop een aantal vlan's.
Elk vlan heeft zijn eigen vlan interface adres.

Voorbeeld:
vlan10 ; interface adres 10.0.10.253
vlan20: interface adres 10.0.20.253

Nu hangt er een router aan de switch, deze is via een trunk poort aangesloten op de switch.
Op de router zijn ook alle vlan's aangemaakt met een interface adres. Deze zitten allemaal op 10.0.x.254.

Momenteel gebruikt elke host als gateway adres de router, voor vlan 10 is dat dus 10.0.10.254 en voor vlan 20 is dat 10.0.20.254.

- Klopt het dat alle inter vlan routing nu via de router loopt en niet intern via de switch?

Volgens mij zou ik de gateway moeten aanpassen voor de hosts in de vlan's van 10.0.x.254 naar 10.0.x.253.
Maar moet ik daarna om de verbinding met internet niet te verliezen de switch dan zelf ook van een default gateway voorzien? Of begrijp ik dit concept verkeerd?
En is het eigenlijk nog nodig om de vlan's te configureren op de router als de router nu als gateway dienst doet voor de switch?

[ijske]

wat voor router heb je ?
als ik in mijn cisco RV iets aanpas , zoals bv het ip adres van vlan10, dan zorgt mijn cisco zelf voor de routering ervan. en inter vlan routering word ook afgehandeld door mijn Cisco router inderdaad... ideaal want dan kan ik via de acces-rules bepaalde dingen weg blokken of toelaten

ik heb een layer2 switch , dus ik kan niet zeggen of je op een L3 switch ook zelf regels op kan maken .
wel ben ik vrij zeker dat je switch niet routeerd, die volgt enkel maar regels

Maar even een stap terug. het werkt... dus waarom wil je graag je hostadres veranderen ? wat zou je daarmee winnen ?

[plizz]

Layer 3 switche zijn leuk als core distribution en access design heb. Maar voor thuis gebruik is het overkill.

[Perphide]

Ik heb een SonicWall router.

De reden dat ik graag inter vlan routing wil via de switch ipv via de sonicwall is omdat de sonicwall slechts gigabit aansluitingen heeft en de switch 10 gigabit, met een veel hoge capaciteit aan switching.

Ik heb nu de indruk dat sommige 10 gigabit aansluitingen een gigabit bottleneck hebben omdat ze via de router toegang krijgen tot een ander vlan, en als ik dit via de switch kan laten lopen is naar mijn idee die bottleneck weg.

Vandaar mijn vragen
- Klopt het dat ik de gateway moet anderen van router naar interface ip van de switch?
- En moet ik daarna op de switch een default route ip instellen naar de router?

[plizz]

Klopt het dat ik de gateway moet anderen van router naar interface ip van de switch?
Ja.

En moet ik daarna op de switch een default route ip instellen naar de router?
Ja, anders weet layer 3 switch de weg niet naar internet.

[Perphide]

@plizz Dank, ik ga dit proberen.

[ik222]

Ja dit kan zo werken maar ik zou deze setup nooit zo bouwen. Immers als de ene client de .254 als gw gebruikt en de andere de .253 dan kunnen beide werken maar krijg je potentieel wel assymetrische routing wat problemen kan geven met een statefull firewall.

Wat ik zou doen is de switch simpelweg de .254 in beide VLAN's geven, clients hoeft je dan ook niet aan te passen. Vervolgens maak je een nieuwe /30 p2p koppeling tussen de switch en firewall. Op de switch zet je dan de default route naar het p2p ip van de firewall en op de firewall routeer je alle subnets die achter de switch zitten naar het p2p ip van de switch.

Let wel op dat je firewall hoe dan ook nu dus niet meer tussen je subnets zit. Zonder ACL op de switch kunnen beide subnets nu dus ongelimiteerd elkaar bereiken.

[ Voor 12% gewijzigd door ik222 op 10-04-2021 23:02 ]

[Perphide]

ik222 schreef op zaterdag 10 april 2021 @ 23:00:
Ja dit kan zo werken maar ik zou deze setup nooit zo bouwen. Immers als de ene client de .254 als gw gebruikt en de andere de .253 dan kunnen beide werken maar krijg je potentieel wel assymetrische routing wat problemen kan geven met een statefull firewall.

Wat ik zou doen is de switch simpelweg de .254 in beide VLAN's geven, clients hoeft je dan ook niet aan te passen. Vervolgens maak je een nieuwe /30 p2p koppeling tussen de switch en firewall. Op de switch zet je dan de default route naar het p2p ip van de firewall en op de firewall routeer je alle subnets die achter de switch zitten naar het p2p ip van de switch.

Let wel op dat je firewall hoe dan ook nu dus niet meer tussen je subnets zit. Zonder ACL op de switch kunnen beide subnets nu dus ongelimiteerd elkaar bereiken.

Dank voor je uitvoerige omschrijving en advies.
Ik denk dat ik het deels snap, daarom vraag ik voor de zekerheid maar even na of onderstaande is wat je bedoelt:

De switch vlan interfaces aanpassen van 10.0.x.253 naar 10.0.x.254.
De switch daarna voorzien van een default gateway adres richting router
En zowel de switch als de router in een /30 subnet zetten dus bijvoorbeeld
10.0.0.0/30 als netwerk
router op 10.0.0.1/30
switch op 10.0.0.2/30
10.0.0.0 = netwerk en 10.0.0.3 = dan het broadcast adres
en tot slot op de router statische routes maken naar alle vlan's?

Of begrijp ik je verkeerd?

[Faifz]

Dus de routes dat je instelt op de router zijn:
10.0.10.0/24 en next-hop: 10.0.0.2 (switch)
10.0.20.0/24 en next-hop: 10.0.0.2 (switch)

De route dat je instelt op de switch:

0.0.0.0/0 en next-hop 10.0.0.1 (router).

De link tussen de router en de switch mag wel geen trunk link meer zijn.

[ik222]

Perphide schreef op zondag 11 april 2021 @ 00:03:
[...]


Dank voor je uitvoerige omschrijving en advies.
Ik denk dat ik het deels snap, daarom vraag ik voor de zekerheid maar even na of onderstaande is wat je bedoelt:

De switch vlan interfaces aanpassen van 10.0.x.253 naar 10.0.x.254.
De switch daarna voorzien van een default gateway adres richting router
En zowel de switch als de router in een /30 subnet zetten dus bijvoorbeeld
10.0.0.0/30 als netwerk
router op 10.0.0.1/30
switch op 10.0.0.2/30
10.0.0.0 = netwerk en 10.0.0.3 = dan het broadcast adres
en tot slot op de router statische routes maken naar alle vlan's?

Of begrijp ik je verkeerd?

Ja klopt, en uiteraard wel eerst de VLAN's verwijderen van je firewall. Je kunt niet 2 x hetzelfde IP hebben in het VLAN.

Tussen je switch en router bestaat dus enkel nog een p2p koppeling. De default route op de switch wijst dan dus in jou voorbeeld naar 10.0.0.1

[Perphide]

Dankjewel @Faifz en @ik222

En begrijp ik het ook goed dat ik het configureren van statische routes op de router kan overslaan als ik gebruik ga maken bij een routing protocol zoals RIP?
Is dit wellicht wat @ijske bedoelde in zijn post?

[ik222]

Perphide schreef op zondag 11 april 2021 @ 10:49:
Dankjewel @Faifz en @ik222

En begrijp ik het ook goed dat ik het configureren van statische routes op de router kan overslaan als ik gebruik ga maken bij een routing protocol zoals RIP?
Is dit wellicht wat @ijske bedoelde in zijn post?

Ja uiteraard kun je ook een routing protocol gebruiken dat zowel je firewall / router als je switch ondersteunt. Het voordeel daarvan is dan dat je bij een nieuw subnet op de switch geen nieuwe statische route op de firewall hoeft aan te maken. Zal in deze thuis situatie waarschijnlijk niet heel relevant zijn maar wel leuk ter lering en vermaak

Al zou ik beginnen om het statisch werkend te maken, en daarna verder gaan naar via een routing protocol.

[ Voor 7% gewijzigd door ik222 op 11-04-2021 10:59 ]

[Perphide]

Goed om te horen @ik222 daar ben ik blij mee. Ik volg je advies op: eerst statisch, daarna wellicht via een protocol.

Heb gezien dat mijn router en switch zowel RIPv2 als OSPF en nog meer protocollen ondersteunen. Maar ik begreep dat OSPF wel erg veel van het goede is en dat wellicht RIPv2 het meest simpele is om te implementeren.

[Kabouterplop01]

Zo kun je dus ook de segmenten die je niet wil connecten naar het internet uit je routes laten. (Door ze niet op te nemen in je routering)