Opzetten tweede subnet met dhcp voor homelab

[TweakMDS]

Topic
Ik zoek wat input over hoe ik het beste een separaat netwerk voor mijn homelab kan opzetten.
De homelab bestaat nu uit twee hypervisors met proxmox, en mogelijk komt daar nog een derde bij, of een aparte nas.

Waarom dan?
Ik maak vrij veel VM's aan en gebruik daar het liefste DHCP voor, en "pin" de DHCP adressen op basis van MAC adres. Hierdoor loopt de DHCP pool op mijn router redelijk vaak vol, en is het daar gewoon enigszins een puinhoop op geworden.

Idee
Ik heb nu een Fritzbox 7490 als hoofd-router, die alles in mijn netwerk voorziet van een 192.168.178 adres.
Ik wil er een tweede netwerk bij maken met 192.168.100 als range, en op router niveau de routering opzetten. Het mag uiteraard ook een totaal andere range zijn, zoals in de 10.x range.
In dit subnet komen de hypervisors (met static IP) te hangen, en alle VM's die hierop draaien krijgen een dhcp adres in de 192.168.100 range.

Plaatje van huidige (boven) en gewenste (onder) situatie


Requirements

• Het liefste zou ik ervoor zorgen dat alles in mijn 178-lan gewoon bij de 100-addressen kan, zonder op device-niveau een route tabel aan te passen. Op mijn PC gaat dat nog wel, maar op ipad/telefoon etc is dat niet zo handig.
• Daarnaast zou ik ook graag firewallen tussen het .100 subnet en het .178 subnet, zodat mijn thuis netwerk niet standaard te bereiken is door de .100 machines.
• Verder heb ik nu op een aantal virtuele IP adressen (met MetalLB) een port forwarding op de fritzbox open willen zetten. Bijvoorbeeld: een aantal VM's hebben 192.168.100.201 waarvan poort 443 naar het internet toe open kan staan.
• Voetnoot: alle devices hebben maar één NIC, en ik heb domme switches, zonder vlan mogelijkheden.

De vragen die dan vooral over blijven

• Hoe stel ik een router in waarbij hij geen NAT gebruikt, maar tussen de twee netwerken routeert.
• Wat voor soort router heb ik hiervoor nodig? De routers waar ik mee bekend ben doen vooral NAT, en dat is hier niet echt de bedoeling. Zou een pricewatch: MikroTik Routerboard RB750Gr3 - hEX hiervoor bijvoorbeeld geschikt zijn?
• Hoe stel ik de routes op (beide?) routers in zodat alles bij elkaar kan.

[The GUI]

Gescheiden netwerken vereisen over het algemeen VLAN's dus dat wordt lastig (ook als je geen firewall hebt/je router het niet ondersteund).

De snelste oplossing is dan om je subnet te vergroten naar /23. Dan heb je je 255 adressen erbij. Moet je ook ff je DHCP pool aanpassen. Als alles toch met elkaar mag praten dan zou ik dat doen.

Verkeerd gelezen. Maar wordt dus lastig zonder VLANs.

[ Voor 8% gewijzigd door The GUI op 02-05-2021 13:29 ]

[TweakMDS]

The GUI schreef op zondag 2 mei 2021 @ 13:28:
Verkeerd gelezen. Maar wordt dus lastig zonder VLANs.

Het voordeel is dat het "qua draadjes" van elkaar geïsoleerd mag zijn. Ik dacht dat een vlan vooral de oplossing zou moeten zijn als het over dezelfde kabels en switches moet lopen. Hier is dat niet persé nodig, en kan ik in principe de hypervisors aan de een tweede router (met of zonder switch, afhankelijk van het aantal LAN poorten op de router) knopen.
Ik heb er ook nog aan gedacht om het op proxmox niveau te proberen op te lossen, maar ook dat zie ik wat minder zitten, met de aanname dat wat ik hierboven schets een optie is natuurlijk.

[The GUI]

Dat is wel lastig omdat je in die situatie toegang krijgt tot je .100 netwerk via de tweede router op het .178 netwerk. In die zin is het 178 netwerk voor je tweede router het internet dus moet je weer gaan NATten.

[Brahiewahiewa]

TweakMDS schreef op zondag 2 mei 2021 @ 13:23:
...Wat voor soort router heb ik hiervoor nodig? De routers waar ik mee bekend ben doen vooral NAT, en dat is hier niet echt de bedoeling...

'k Zou gewoon een VM hiervoor gebruiken; linux distributie met dhcp aan boord en twee virtuele nic's. Eén nic in het 192.168.178.0/24 segment en één in het 192.168.100.0/24 segment

[TweakMDS]

Brahiewahiewa schreef op zondag 2 mei 2021 @ 15:03:
[...]

'k Zou gewoon een VM hiervoor gebruiken; linux distributie met dhcp aan boord en twee virtuele nic's. Eén nic in het 192.168.178.0/24 segment en één in het 192.168.100.0/24 segment

Hoe zou dat over beide hypervisors heen werken? Ik heb er wat in de Proxmox forums naar gezocht, en de situatie lijkt een beetje vergelijkbaar met deze: https://forum.proxmox.com...twork-in-a-cluster.54412/ maar daar lijkt ook de conclusie dat je dan alsnog een vlan nodig hebt.

[Faifz]

TweakMDS schreef op zondag 2 mei 2021 @ 13:23:
De vragen die dan vooral over blijven

• Hoe stel ik een router in waarbij hij geen NAT gebruikt, maar tussen de twee netwerken routeert.
• Wat voor soort router heb ik hiervoor nodig? De routers waar ik mee bekend ben doen vooral NAT, en dat is hier niet echt de bedoeling. Zou een pricewatch: MikroTik Routerboard RB750Gr3 - hEX hiervoor bijvoorbeeld geschikt zijn?
• Hoe stel ik de routes op (beide?) routers in zodat alles bij elkaar kan.

Een static route toevoegen op de Fritzbox zoals 192.168.100.0/24 als destination network en next-hop 192.168.178.x

x = toegekende IP adres aan 2de router uit 192.168.178.0/24 subnet

Vervolgens een default-route toevoegen 0.0.0.0/0 als destination network en 192.168.178.1 als next-hop. Op deze manier heb je geen NAT nodig op de 2de router want het wordt gedaan op de 1ste router als je het internet wil opgaan.

Verder raad ik je sterk aan om gewoon een pfSense ofzo te installeren op je hypervisor ipv een router te kopen.

[dion_b]

Draai het om. Zet je .178.x netwerk achter tweede NAT router, met je eerste op 100.x. Dan zijn (zonder port forwards in tweede router) geen binnenkomende verbindingen van de .100 mogelijk naar de .178 devices, maar kun je andersom wel van .178 naar .100 komen.

Of doe wat hierboven aangeraden wordt op de hypervisor. Is marginaal meer werk, maar voorkomt aanschaf van hardware.

[Ben(V)]

DHCP pool die volloopt?
Heb je dan meer dan 255 ip adressen nodig?

[RGHoeksma96]

Met een draytek router kan dit erg makelijk, bijvoorbeeld vlan0 untagged op poorten 1-3 en vlan1 untagged op poort 4 of 5 afhankelijk van het model en daar een switch achter.
Vlan0 koppel je dan het subnet lan1 aan voor prive, vlan1 subnet lan2 voor de hypervisors.

Geen managed switches nodig, toegang tussen de netwerken kan met de firewall van de draytek prima geregeld worden en het is allemaal makkelijk te beheren.
Ook ondersteund de draytek ip to mac binding.

[Brahiewahiewa]

Ben(V) schreef op zondag 2 mei 2021 @ 19:01:
DHCP pool die volloopt?
Heb je dan meer dan 255 ip adressen nodig?

De dhcp pool loopt niet vol qua leases, maar qua reservations.
Je zou adressen kunnen hergebruiken, natuurlijk. Maar je zult altijd zien dat Murphy om de hoek komt kijken.
(Alhoewel die momenteel aan 't snookeren is)

[Ben(V)]

Als hij zoals hij zegt mac/ip koppelingen gebruikt heeft hij gewoon 255 adressen tot z'n beschikking.
Is alleen een kwestie van een goede administratie bijhouden.

[TweakMDS]

Ben(V) schreef op zondag 2 mei 2021 @ 19:01:
DHCP pool die volloopt?
Heb je dan meer dan 255 ip adressen nodig?

Brahiewahiewa schreef op zondag 2 mei 2021 @ 19:41:
[...]

De dhcp pool loopt niet vol qua leases, maar qua reservations.
Je zou adressen kunnen hergebruiken, natuurlijk. Maar je zult altijd zien dat Murphy om de hoek komt kijken.
(Alhoewel die momenteel aan 't snookeren is)

De DHCP pool loopt inderdaad niet zo snel vol, maar door het regelmatig opzetten van 4 a 5 nieuwe VM's tegelijk (kubernetes clusters) loopt het wel redelijk rap op.
Het zijn overigens geen 255 adressen, maar van .20 tot .200.

In de nieuwe situatie wil ik ongeveer hetzelfde doen, alleen dan is de hele pool voor VM's. Degene die blijvend zijn krijgen dan een vast IP buiten de range.

Als ik uiteindelijk voor een router ga is het wel een goed idee om iets te zoeken waar het DHCP beheer fijn van werkt, misschien zelfs met een label erbij ofzo.
Ik herinnerde me trouwens dat ik nog een fritzbox 7590 heb liggen, die eigenlijk de 7490 zou moeten vervangen, maar daar was ik nog niet aan toegekomen (we zijn zo'n always online gezin, moeilijk om een moment te prikken om de boel eruit te trekken met een optie dat het niet meteen werkt).
Op zich zou dat wel een optie kunnen zijn.

[Frogmen]

Als je hypervisor twee netwerkkaarten heeft kan je natuurlijk prima je tweede netwerk helemaal virtualizeren. Aan de andere kant als het alleen om het aantal leases gaat kan je natuurlijk ook je leasetime verlagen of een groter subnet gebruiken bijvoorbeeld een \22.

[TweakMDS]

Ik heb nog even met een GL-inet Mango travel router op basis van OpenWRT zitten hobby-en, en ben nu iets verder:

Hoofd-netwerk: 192.168.178.0
Sub-netwerk: 192.168.8.0
De router heeft adres 192.168.8.1 aan de LAN kant, en 192.168.178.106 aan de "WAN" kant.
Mijn laptop hangt aan de LAN poort, en krijgt 192.168.8.190.
Mijn PC hangt in het 192.168.178.0 netwerk.
Vanaf mijn laptop kan ik zonder problemen op allerlei adressen in het 192.168.178.0 netwerk.
Vanaf mijn PC kan ik de laptop niet pingen.
Vanaf mijn PC kan ik wel bij .8.1 (en kom ik daarmee ook op de router).

In OpenWRT zou ik nu geen static routes naar .178 hoeven maken aangezien dat al werkt...
Als ik op mijn PC een route toe voeg (ter test) zou dat via .8.1 moeten gaan, dus
`route add 192.168.8.0 MASK 255.255.255.0 192.168.8.1`


Verder staat de firewall op OpenWRT ook nog dicht:


Dat zou volgens mij dit moeten zijn?


Edit: verder was ik ook even heel dom; in de screenshot moet het onderste (from zones) WAN zijn, en mijn laptop is helemaal niet te pingen, en omdat het een enigszins dichtgetimmerde werk-laptop is ga ik ook even niet aan de firewall instellingen zitten. Morgen even proberen met een Pi aan de router, dat zou uitsluitsel moeten geven of het kan zoals ik het wil...

[ Voor 10% gewijzigd door TweakMDS op 03-05-2021 22:32 ]