Managed switch naar VLAN toewijzen wilt niet

[aCiDcHaOZ]

Mijn vraag
Ik wil graag de managed web interface van m'n switch naar VLAN10 verplaatsen, echter blijf ik een IP-adres krijgen van de DHCP server welk actief is op VLAN1.

Relevante software en hardware die ik gebruik
Mijn router runt op een supermicro server met als OS Proxmox. Op proxmox run ik verschillende VMs en containers. Een daarvan is pFsense welk ik als router gebruik. pFsense heeft twee NIC's toegewezen, eentje voor WAN en eentje voor LAN die naar m'n switch gaat. De LAN port is tagged. De gebruikte switch is een TP-link TL-SG1024DE.

Het netwerk is als volgt ingedeeld:

VID: VLAN1
Ip range: 192.168.10.x
Gebruiksdoel: onveilige verbindingen

VID: VLAN10
ip range: 10.0.1.x
Gebruiksdoel: Kritische systemen zoals IPMI, Access points, proxmox webui, etc.

VID: VLAN20
ip range: 10.0.2.x
Gebruiksdoel: Servers en services zoals Home assistant, nextcloud, etc.

VID: VLAN30
ip range: 10.0.3.x
Gebruiksdoel: Productie, de verschillende workstations en vertrouwde smartphones.

VID: VLAN40
ip range: 10.0.4.x
Gebruiksdoel: IoT dingen,Hue verlichting, webcams, KaKu enz.

Wat ik al gevonden of geprobeerd heb
Vanaf de LAN kant van pFsense gaat er een kabel naar port 2 van m'n switch. Deze port is tagged voor alle eerdergenoemde VLANs. Daarbij heb ik de PVID van port 2 toegewezen aan VLAN10, echter blijf ik een IP krijgen van VLAN1.

Daarnaast heb ik geprobeerd een IP-reservering te maken bij de DHCP-server in VLAN10 met het MAC-adres van de switch, dit gaf ook geen oplossing.

Daarnaast heb ik geprobeerd een statisch IP in te voeren bij de netwerkinstellingen van de switch die in het bereik ligt van VLAN10, dit bood ook geen oplossing.

Waarschijnlijk zie ik iets over het hoofd, kan iemand me de goede kant op wijzen?

[jvanhambelgium]

Ah mogelijks kan dit gewoon niet met je product.
Veel eenvoudige managed switch hebben hun management gewoon via "untagged" (v)lan.
Je kan die dus zomaar niet effe verhuizen naar een VLAN want dat ding zal het (management)verkeer nooit taggen.

Ik heb de TL-SG108PE in gebruik en ik heb ook nergens zo'n optie gevonden.

[ Voor 13% gewijzigd door jvanhambelgium op 27-02-2023 20:25 ]

[nelizmastr]

Je mag idd bij veel tplink spullen de switch niet uit vlan1 halen. Dat is een beperking op in ieder geval alle soho spullen in de SG100 serie, waarschijnlijk ook jouw sg1024.
Hij blijft dan altijd untagged vlan1. Wil je dat aanpassen, dan zul je naar een andere vendor moeten.

[ Voor 7% gewijzigd door nelizmastr op 27-02-2023 22:00 ]

[Felyrion]

Klinkt alsof de poort nog untagged in VLAN1 zit. Kun je die niet aanpassen naar 10 ook?

[Rensjuh]

Review op Amazon
Post op Reddit

Zelfde issue als wat jij hebt, wel iets ander model (die van Amazon).
Lijkt dus jouw verhaal inderdaad te bevestigen...

[ Voor 32% gewijzigd door Rensjuh op 27-02-2023 23:04 ]

[aCiDcHaOZ]

Wat waardeloos zeg, ik had de switch juist gekocht vanwege zijn lovende reacties. Ik kan de poorten op de switch tevens niet blackholen waardoor VLAN1 eigenlijk altijd actief blijft.

Om de boel nog redelijk dicht te timmeren heb ik de management interface van de switch een incorrect statisch IP gegeven om te zorgen dat deze niet bereikbaar is.

Voor VLAN1 kan ik het beste wat firewall regels aanmaken in pFsense om dit zo goed mogelijk dicht te spijkeren.

Zijn bovenstaande handelingen de verstandigste stappen, los van een nieuwe switch kopen?

[Frogmen]

Of je maakt een VLAN 2 aan voor je onveilige verbindingen, daarom eerst een plan maken en dan pas gaan uitvoeren.

[Faifz]

Denk dat je gewoon VLAN 1 niet moet behandelen als "onveilige verbindingen". Hanteer het als je management netwerk en verander de poorten die VLAN 1 standaard gebruiken naar iets anders.

Je kan natuurlijk gaan voor een Cisco CBS250 of dergelijke, daar laten ze het toe dat je de management interface op een andere SVI (VLAN interface met ID als 10) kunt instellen.

[EverLast2002]

Linksys switches hebben dit fenomeen ook. Ik weet niet wat je van plan bent aan te schaffen.
HP switches bijvoorbeeld zijn wel uit default vlan1 te halen voor management.

[leesiktochniet]

Ik ben het niet eens met de keuze om vlan 1 te gebruiken voor onveilige verbindingen. Vlan 1 is speciaal omdat die bij configuratiefouten nog wel eens naar voren komt. Met name bij het ontbreken van configuratie.

Bijvoorbeeld als iemand vergeet het native vlan op een trunkpoort te configureren (hint)

En dat is precies wat je niet wilt met je onveilige verbindingen, daarom gooi je die in een ander vlan, zodat die ook specifiek in firewall regels naar voren moet komen.

[ Voor 10% gewijzigd door leesiktochniet op 28-02-2023 15:43 ]

[aCiDcHaOZ]

Frogmen schreef op dinsdag 28 februari 2023 @ 10:59:
Of je maakt een VLAN 2 aan voor je onveilige verbindingen, daarom eerst een plan maken en dan pas gaan uitvoeren.

Ik had een plan, onder andere VLAN1 toewijzen aan onveilige verbindingen vanwege de redenen die hierboven worden genoemd. Helaas kan dat niet met deze switch.

Iedereen bedankt voor het meedenken, voor nu laat ik hoe het is. In de toekomst ga ik maar eens kijken voor een switch met wat meer opties. De reden dat ik m'n netwerk wil segmenteren is om wat meer ervaring op te doen met het configureren van netwerken. Iets wijzer ben ik zeker geworden!

[Faifz]

aCiDcHaOZ schreef op dinsdag 28 februari 2023 @ 15:50:
[...]
De reden dat ik m'n netwerk wil segmenteren is om wat meer ervaring op te doen met het configureren van netwerken. Iets wijzer ben ik zeker geworden!

Oefen je toch gewoon in je Proxmox omgeving? Of anders gebruik je zoiets als EVE-NG en zet je daar wat Cisco IOS images op en pfSense is ook mogelijk.