Netwerk idee

[bord4kop]

Vraag;

Ik mijn netwerk thuis beter inrichten. Ben al bezig met ideeën, maar denk dat dit in 1e instantie toch nog iets te ingewikkeld is. Ik vermoed dat ik tzt wel met vLan 's wil gaan werken, dus die optie wil ik al wel rekening mee houden in de opzet (o.a. hardware).

Wie wil eens meekijken / mee denken en goede tips geven?

Eisen:
- gescheiden 'gast' netwerk; geen verkeer naar andere netwerken (* alleen wifi)
- voorrang/bandbreedte voor 'kantoor' apparaten (* wifi en bedraad)
- scheiden van 'kantoor' netwerk; geen toegang vanuit andere netwerken. Andersom wel (evt. via de buitenkant; VPN?)
- cloud opslag (onderdeel van de 3-2-1 backup) voor 'kantoor'
- Firewall
- thuis en kantoor kan door het hele huis WIFI verbinden en inprikken


Wensen
- camera 's op compleet apart en gescheiden netwerk, want chinese meuk (* Wifi + POE camera)
- IOT/Domotica remote inloggen, maar wel veilig! Dus VPN server? (future)
NB: IOT/Domotica/Camera kunnen beperkt tot de hoofdswitch (dus daar isoleren)


Wat heb ik:
- NUC VMWare host
- pfsense (virtual box)
- managed (vLan) switches
- 1x Unify AP die meerdere SSID 's ondersteund en vLAns
- €€€ voor een router/AP/iets anders


Nu is mijn idee als volgt:

- Firewall (VM) heeft één WAN IP en meerdere LAN IP adressen;
- geeft meerdere DHCP subnet IP adressen aan diverse clients uit afhankelijk van welke SSID
- routeert het verkeer en firewalled
(er is alleen geen scheiding als je bedraad verbind)

EDIT
Fuuu.. ben ik al de hele ochtend bezig, maar dit gaat niet lukken natuurlijk!
Meerdere Subnets door DHCP uitgeven op 1 netwerk. Misschien wel op de AP 's, maar bedraad never nooit niet.

Terug naar de tekentafel! (Toch denk ik dat de opzet niet gek is )



Ik denk dat het gaat werken

Gaan ze elkaar kunnen 'zien'? Ja, maar niet eenvoudig
Is dit superveilig en foul & future -proof? Nee


TLDR:
VMHOST (Esxi)
- één vSwitch0 waarop portgroups: (WAN, DMZ, MANAGEMENT, GAST, KANTOOR, HOME)
- Firewall PFSense met 1x WAN vNIC en 4x LAN vNIC (management, 1x DMZ 3x Firewalled LAN)
- VPN server in DMZ (future)

Een eigen gasten netwerk:
- SSID: 'GAST'
* eigen subnet [GAST] 192.168.178.x /24
* op hoofdswitch 3 poorten isololeren (?):
* hierop ook de Wifi camera + 1 bedraad poortje voor de POE camera, beiden met static lease
* hierop ook Philips HUE op 1 bedraad poortje met static lease
* hierop ook Domoticz server op 1 bedraad poortje met static lease en een random poort voor remote access

- SSID: 'KANTOOR'
* eigen subnet met DHCP [KANTOOR] 192.168.2.x /24
* alle poorten op de switches ( > isolated zetten / VLAN o.i.d. (future)

- SSID: 'HOME'
* eigen subnet met DHCP [HOME] 192.168.3.x /24
* alle poorten op de switches ( >VLAN o.i.d. (future)

- Subnet: 'MANAGEMENT'
* eigen subnet met DHCP for ease of use [MANAGEMENT] 192.168.0.x /24
* alle poorten op de switches (> isolated zetten / PVID / VLAN o.i.d. (future)

[ Voor 13% gewijzigd door bord4kop op 17-03-2023 12:30 ]

[g1n0]

Ze gaan elkaar wel degelijk zien. Broadcast verkeer (chromecast bijv) gaat zich niets van jouw subnetten aantrekken. En om broadcast verkeer te gaan blokkeren op je firewall is niet echt aan te raden. Je krijgt dat een hoop andere problemen.

Mijn advies: Ga gewoon gelijk voor vlan's. Dat is de enige manier om ze goed te isoleren. Zo lastig is het ook helemaal niet. Kwestie van een nummertje aan je netwerk geven

[ChaserBoZ_]

Ik zie weinig vragen

Je setup lijkt op de mijne, verschillende vlans/SSID's om verkeer te scheiden.

Gasten en mijn kids hebben een limiet op de bandbreedte, zodat vrouwlief en ik altijd kunnen werken via Teams etc.

Dus, kan perfect werken

[bord4kop]

ok, dank voor de snelle reacties!

Dan zou het er zo uit kunnen zien?


Edit:
Waarbij Vlan0 en Vlan10 wel bij elkaar kunnen "kijken". maar Vlan 20 t/m 50 wel "fysiek" gescheiden zijn.

En dan moet ik in VMWare de Vlan0, Vlan10, Vlan20, Vlan30 en Vlan50 aanmaken en beschikbaar / koppelen aan de diverse vNICs.
Plus de Vlans 20 t/m 50 koppelen (taggen?) aan de nic van Vlan0 om vanuit 'management' netwerk bij alle netwerken te kunnen neem ik aan?

[ Voor 7% gewijzigd door bord4kop op 17-03-2023 13:31 ]

[g1n0]

Omdat je esxi en ap’s op meerdere vlans moeten (wifi devices moeten erop kunnen) is het makkelijker om daarvan een trunk te maken. Dan geef je feitelijk je ap toegang tot alle vlans en scheidt je het daar op basis van ssid.
Vlan 0 en 10 hoeven niet bij elkaar te kunnen kijken. Daar routeert je pfsense voor.

[bord4kop]

Das een goeie! Zeker voor VLAN50 want AP2 zit "twee switches verderop"

En als ik ergens m'n netwerk kabel inprik -dus op één van de switches- dan kan ik ook uitkomen op Vlan20, of vlan30 (En VLAN10 om management te kunnen doen). Toch?

PS: vond deze uitleg en deze uitleg wel handig. Voor wie hier ook mee begint
EDIT en deze uitleg maakte veel duidelijk!

NB: Dat moet ik overigens ook uitzoeken; hoe kunnen we dat -automatisch- scheiden?
"kantoor" apparaten naar > VLAN20 maar de Playstation van de kinderen, TV, etc naar > VLAN30..
statis leases? MAC leases? <= uitzoek werk
EDIT ^^ door Vlans te configgen op bijv poort 2-5 (VLAN20) en poort 6-8 (VLAN30) en daar in te prikken uiteraard


En dan zou het er ongeveer zo uit moeten zien?

[ Voor 57% gewijzigd door bord4kop op 20-03-2023 10:37 ]

[g1n0]

Ja, en je zet van de vlans op je port group in esxi. Ap2 heb je zonder trunk getekend, maar neem aan dat dit een foutje was.

[bord4kop]

nu nog even een praktische vraag;

Ik kan uplink poorten configureren op de switches. Maar slechts 1 per switch.

vraag 1: moet de uplink poort voor inkomend in switch of juist als uitgaand naar de volgende switch, dus rest van het LAN?
en meteen vraag 2: moet ik de snelste NIC van de Router / Firewall aan de LAN kant of WAN kant zetten?
De ene NIC is 1 Gb de andere 2,5Gb. Ik denk de snelste aan de LAN kant, want de Ziggo box (WAN) kan maar max 1Gb aan. Terwijl de LAN kant meerdere netwerken/VLAN 's moet verwerken.

Wat is nou het handigste:
De uplink als binnnenkomende poort op de switch;

[ Router/Firewall ] --- [ uplink poort 1 <> poort 2- 8 ] ---- [ uplink poort 1 <> poort 2- 8 ] -- [ AP ]

of
De uplink als uitgaande poort op de switch;

[ Router/Firewall ] --- [ poort 1-7 <> uplink poort 8 ] ---- [ poort 1-7 <> uplink poort 8 ] -- [ AP ]

of

De uplink zoveel mogelijk aan elkaar (binnen & uitgaand) op de switch;

[ Router/Firewall ] --- [ poort 1-7 <> uplink poort 8 ] ---- [ uplink poort 1 <> poort 2- 8 ] -- [ AP ]

[ Voor 11% gewijzigd door bord4kop op 18-03-2023 09:11 ]

[g1n0]

1: uplink in de bron vanhet internet. Dus de poort waar je router in zit (al dan niet via een andere switch). Ookal is deze configuratie niet nodig hoor, waarschijnlijk zit je nu een igmp upstream in te stellen ofzo?
2: ligt eraan of je in je lan ook ergens anders een 2.5Gbit poort hebt. Anders is het vrij zinloos. Wan kant sws vergeten. Ziggo heeft alleen Gbit.

Poorten van uplink maken niets uit op een normale switch. Wat voor switches heb je? Denk dat je iets aan het verwarren bent.

[bord4kop]

thanks voor de quick reply!


Het zijn allenmaal Zyxel GS21200 (-5of -8) switches. Dit is de config van mijn 3e switch. Hierop zitten de 'HOME' en 'KANTOOR' clients en het 2e AP:





En de VLAN config:

[ Voor 13% gewijzigd door bord4kop op 18-03-2023 09:51 ]

[g1n0]

Ah, de isolation uplink. Snap je nu. Ik zou de port isolation helemaal uitzetten. Je hebt nu vlans, dus hetgene wat je wilde scheiden is gedaan. Isolation werkt nu alleen maar tegen je (inefficientie op je netwerk).

[bord4kop]

Ik wordt er lichtelijk leip van ik krijg op de testmachine totaal niet wat ik verwacht. En al helemaal geen connectie naar internet.

Hier de config;

VMWare Host:
2 vSwitches aan twee fysieke NICs
diverse Portgroups met de VLAN 's





en van de pfsense VM (FW1)





PFsense VM:
WAN kant zit op de WAN vNic (en dus op vSwitch1)
Alle LAN vNICs zitten op vSwitch0





en de DHCP server van VLAN50 (GAST) (de andere zijn gelijk):



Op de pfsense doos heb ik verder nog geen instellingen gezet. Alles -standaard- met de setup/config via de webclient.
Met de 'diagnostic' test optie heb ik getest en kan ik naar internet (heb alle LAN en VLAN opties als 'source adress' getest).


Switch:
Hier de laatste instellingen op de switch.
(De "management laptop" zit op poort 1. De VMware host zit met de LAN kant in poort 2).

Ik heb allerlei configs in de switch gezet om uit te proberen. Dus met een 2e laptop een kabel in poort 3 t/m 8 geprikt (ipconfig /release && ipconfig /renew).
De resultaten staan in het plaatje erboven;
(poort 8 was te verwachten dat er een 192.168.2.x adres geleased zou worden, de internet connectie was wel een verassing.. )

[ Voor 5% gewijzigd door bord4kop op 19-03-2023 12:33 ]

[g1n0]

Zover ik even zo snel kan zien:
Je wan is zonder vlan op vswitch1 he?
Ik verwacht dat vlan50 werkt niet vanwege de untagged config in de switch en esxi hem wel tagged verwacht op die link.

Maar ik vind het een beetje moeilijk te zien, mede door de kabel per vlan (lijkt het) en ik onderweg ben.

Probeer elementen 1 voor 1 uit te sluiten.

[Faifz]

De port groups zoals VLAN 20 en VLAN 50 zijn eigenlijk trunks/tagged. Met vSwitches kun je geen access/untagged port groups maken, daarvoor heb je een dSwitch nodig (vCenter). Je hebt namelijk 4 port groups toegevoegd aan pfSense, maar een single port group waar je 4095 als VLAN ID ingeeft volstaat. 4095 betekent gewoon 1-4094 tagged.

Hou er wel rekening mee dat als je een VM in VLAN 50 steekt, dat het niet gaat werken want de host verwacht altijd untagged traffic. Ga je in de NIC een VLAN ID moeten configureren.

Het is gewoon niet proper zoals jij het hebt gedaan. En ik zou ook geen subnets van 192.168.3.0/24 gebruiken voor VLAN 50. Hou het simpel en wijzig het naar 192.168.50.0/24

[bord4kop]

dank voor je antwoord en hulp!

PS: VLAN50 = 192.168.5.x

EDIT:

Faifz schreef op zondag 19 maart 2023 @ 14:47:
De port groups zoals VLAN 20 en VLAN 50 zijn eigenlijk trunks/tagged. Met vSwitches kun je geen access/untagged port groups maken, daarvoor heb je een dSwitch nodig (vCenter). Je hebt namelijk 4 port groups toegevoegd aan pfSense, maar een single port group waar je 4095 als VLAN ID ingeeft volstaat. 4095 betekent gewoon 1-4094 tagged.

Hou er wel rekening mee dat als je een VM in VLAN 50 steekt, dat het niet gaat werken want de host verwacht altijd untagged traffic. Ga je in de NIC een VLAN ID moeten configureren.

Het is gewoon niet proper zoals jij het hebt gedaan. En ik zou ook geen subnets van 192.168.3.0/24 gebruiken voor VLAN 50. Hou het simpel en wijzig het naar 192.168.50.0/24

Dat is een goeie, dank! ik dacht dat de vLAN's ook op de host ingesteld moesten worden.

Dan moet het zo beter zijn:


PS: de netwerken op de VM settings heb ik omgezet.

VLAN basiskennis

Ik merk dat ik de basis nog niet goed heb

Maar klopt het dan als ik zo denk (van rechts naar links):



Poort 8 - PVID1 (want management / default (?)
Poort 8 - setting: alle VLAN's als getagged member, dan worden alle pakktjes naar het juiste VLAN 's afgeleverd/gerouteerd/doorgestuurd en naar het MAC adres in het pakketje in alle netwerken/vLAN 's

Poort 7 - setting: PVID50 > alles op Poort 7 hoort in principe bij PVID50 (oftewel Poort 7 = (v)LAN50)
Poort 7 - setting: Tagged VLAN1 en Tagged VLAN50:
* alle verkeer dat een VLAN1 en VLAN50 tag heeft kan afgeleverd worden (alle overige verkeer, andere subnetten op basis IP/broadcast? worden elders heengestuurd).
* Als een aangesloten device op poort 7 (bijv. een PC) geen VLAN tag kan lezen zal hij defaulten naar PVID50 > dus VLAN50 (en blijft binnen VLAN50)
* Als een aangesloten device op poort 7 wél tags kan herkennen, zal hij afhankelijk van de bestemming het pakket doorsturen naar het VLAN in de TAG (/ of oppakken indien 'voor zichzelf').

Poort 6 - setting: untagged: de tags worden gestript, alleen verkeer voor VLAN50 wordt afgeleverd

Poort 5 - setting: non member: tags blijven op de pakktjes, maar verkeer wordt alleen afgeleverd indien het bij het subnet (192.168.5.x /24) van VLAN50 hoort

[ Voor 33% gewijzigd door bord4kop op 19-03-2023 15:28 ]

[bord4kop]

hmmm, ik ga eerst wel weer even lezen, want ik snap er kennelijk nog geen kont van

[jadjong]

bord4kop schreef op zondag 19 maart 2023 @ 12:24:
Ik wordt er lichtelijk leip van ik krijg op de testmachine totaal niet wat ik verwacht. En al helemaal geen connectie naar internet.

WAN VLAN kan je natuurlijk vervangen door een losse vSwitch met 2e fysieke netwerkkaart als dat makkelijker is.


Simpele opstelling, uitbreiden naar wens.

[jadjong]

Faifz schreef op zondag 19 maart 2023 @ 14:47:
De port groups zoals VLAN 20 en VLAN 50 zijn eigenlijk trunks/tagged. Met vSwitches kun je geen access/untagged port groups maken, daarvoor heb je een dSwitch nodig (vCenter). Je hebt namelijk 4 port groups toegevoegd aan pfSense, maar een single port group waar je 4095 als VLAN ID ingeeft volstaat. 4095 betekent gewoon 1-4094 tagged.

Huh



VM's in deze portgroup komen in untagged 1234 terecht. Hoef je niets op de netwerkkaart van de VM in te stellen.

[ Voor 8% gewijzigd door jadjong op 19-03-2023 16:02 ]

[Faifz]

jadjong schreef op zondag 19 maart 2023 @ 16:01:
[...]

Huh

[Afbeelding]

VM's in deze portgroup komen in untagged 1234 terecht. Hoef je niets op de netwerkkaart van de VM in te stellen.

Neen. Dat is tagged/trunk. De switch gaat niet zomaar gaan raden dat het nu untagged of tagged wordt eh... Alleen met dSwitches kun je access/untagged port groups maken:



Wanneer je ''VLAN" kiest, is het untagged en kan je alleen maar 1 VLAN ID kiezen. Als je VLAN Trunking kiest, kan het een single VLAN ID zijn of een range.

In een vSwitch is alleen VLAN 0 untagged en als het van een trunk link komt, neemt ie de native VLAN over.

Bv je hebt een trunk link van 1-4094 en de native VLAN is 3000 op je fysieke switch. Als je in je port group VLAN ID 0 kiest - krijgt ie traffic van VLAN 3000 omdat dat de native VLAN is. De native VLAN is de enige VLAN ID die untagged is in een trunk link.

[jadjong]

Ik denk dat we dan langs elkaar heen praten.

VM schiet zijn pakketjes untagged in portgroup 1234, die maakt er tagged pakketjes van en stopt ze in de vSwitch. vSwitch zit met een fysiek netwerkkaart aan een fysieke switch vast. Die switch krijgt pakketjes binnen met vlan 1234 tagged en kan ze vervolgens untaggen op de desbetreffende acces poorten die aan vlan 1234 toegewezen zijn.

[Faifz]

jadjong schreef op zondag 19 maart 2023 @ 16:22:
Ik denk dat we dan langs elkaar heen praten.

VM schiet zijn pakketjes untagged in portgroup 1234, die maakt er tagged pakketjes van en stopt ze in de vSwitch. vSwitch zit met een fysiek netwerkkaart aan een fysieke switch vast. Die switch krijgt pakketjes binnen met vlan 1234 tagged en kan ze vervolgens untaggen op de desbetreffende acces poorten die aan vlan 1234 toegewezen zijn.

Dit klopt niet. Op een tagged/trunk poort, worden er altijd tagged frames verwacht en als je host/VM geen tagged frames doorstuurt - heeft het geen zin. De enige uitzondering is de native VLAN. Meestal gebruik je die niet of zet je het uit. Maar op Cisco switches kun je het niet uitzetten, dus dan zet je de native VLAN buiten de trunk range bv 10-255 en 3000 native VLAN.

Wat jij beschrijft is een untagged/access poort. vSwitch port groups zijn tagged/trunk poorten. Je hebt enkel alleen maar met dSwitches die functionaliteit om de tag weg te strippen. Aan de egress van een access poort wordt er geen tag toegevoegd, dat wordt gedaan door de trunk link. De switch onthoudt dat bv van g0/1 een bepaalde VLAN ID aanhangt en kan dit associeren met andere poorten met dezelfde VLAN ID - maar er wordt niets getagged. Enkel de trunk link (802.1q protocol) doet dit.

Access/untagged behoort technisch gezien niet eens tot het 802.1q protocol. Het is eerder een mechanisme dat ze hebben uitgevonden voor hosts dat geen VLAN tagging ondersteunt en natuurlijk dat je het niet moet instellen voor het gebruiksgemak.

Het was wel lang geleden geweest voor mij sinds dat ik met vSwitches heb gewerkt. Ik gebruik ze enkel alleen maar voor de default management IP stack. Voor de rest doe ik alles met dSwitches in vCenter. Dus heb het net eventjes gelabbed voor de zekerheid.



Hier zie je de trunk interface port group (vSwitch-FULLTRUNK) op de router/firewall.



vSwitch-FULLTRUNK is namelijk ethernet1/2 op de router/firewall. Er werd een sub-interface gemaakt ethernet1/2.10 met VLAN 10 als ID.



En heb mij hierbij een Windows 10 client genomen. Kreeg de port group vSwitch-VLAN10 met VLAN 10 als ID. Helaas bereikt deze client de default-gateway 192.168.10.1/24 van ethernet1/2.10 niet.

Dus nee, access/untagged poorten heb je enkel alleen maar met dSwitches.

[jadjong]

Faifz schreef op zondag 19 maart 2023 @ 17:05:
[...]


Dit klopt niet.

Tja, toch werkt het.

Bij gebrek aan VLAN 10 heb ik er eentje met 12 voor je.
De router is een virtuele variant op een 3e ESX host aan PortGroup 4095.

ESXi 8.0


En ESXi 6.7


Als ik de PortGroup van deze VM een ander VLAN-ID geef krijgt het uiteraard een IP uit die range. (elk vlan heeft zijn eigen /24)

[Faifz]

jadjong schreef op zondag 19 maart 2023 @ 20:43:
[...]

Tja, toch werkt het.

Bij gebrek aan VLAN 10 heb ik er eentje met 12 voor je.
De router is een virtuele variant op een 3e ESX host aan PortGroup 4095.

ESXi 8.0
[Afbeelding]

En ESXi 6.7
[Afbeelding]

Als ik de PortGroup van deze VM een ander VLAN-ID geef krijgt het uiteraard een IP uit die range. (elk vlan heeft zijn eigen /24)

Dat is omdat je VM VLAN tagging doet... Dus jouw theorie klopt nog altijd niet:

VM schiet zijn pakketjes untagged in portgroup 1234, die maakt er tagged pakketjes van en stopt ze in de vSwitch. vSwitch zit met een fysiek netwerkkaart aan een fysieke switch vast. Die switch krijgt pakketjes binnen met vlan 1234 tagged en kan ze vervolgens untaggen op de desbetreffende acces poorten die aan vlan 1234 toegewezen zijn.

vSwitches hebben de mogelijkheid niet om de tag weg te strippen - alleen dSwitches kunnen dit doen.

Edit: Nvm heb het al. vSwitches hebben wel de mogelijkheid om tags te strippen. Een port group met VLAN ID 10 is gewoon een access/untagged poort. Maar port groups met 4095 zijn een trunk/tagged poort wat je natuurlijk meestal op een router hebt staan of naar de fysieke switch toe. Maar port groups zoals VLAN 10 kunnen niet communiceren met port groups met VLAN ID 4095.

Maar het verschil tussen vSwitch en dSwitch is dat je access/untagged poorten wel werken incombinatie met je trunk/tagged links. Binnenin de virtuele switch natuurlijk.

[ Voor 16% gewijzigd door Faifz op 19-03-2023 23:42 ]

[jadjong]

Ik zie het verschil tussen de twee een beetje als een 'managed' Netgear van 89.95 en iets duurders van de gevestigde merken. De eerste moet je handmatig configureren en de tweede kan volledig automatisch met een stukje management software zonder dat je het ding ooit aangeraakt hebt. Uiteraard zijn er nog 100 andere verschillen, maar voor thuis (waar je 99% van de enterprise functies niet gebruikt) doen ze ongeveer hetzelfde.

[bord4kop]

Dank voor de hulp.

Ik heb gisteravond deze uitleg eens doorgenomen. En ik denk dat ik het nu snap

Daarom denk ik dat ik om te beginnen de Switches moet configureren als volgt:



NB: Even los van de Hybrid poorten, die bestaan waarschijnlijk niet op deze Zyxel switches..

Als het goed is
- zijn poort 1 en poort 8 trunk-poorten;
- hangen de -domme- clients, aangesloten op poorten 3 - 7 in het juiste broadcast domein/VLAN;
- is er geen verkeer mogelijk tussen 20 en 30 en 50;
- behalve als ik mijn laptop inprik op poort 2, zodat ik hem kan gebruiken als management poort tbv beheer. En zit ik daarmee in broadcast domein van VLAN1 (en is het in feite dus een trunk poort naar de andere VLAN 's).

Als dit correct is, ga ik mijn VMHost opnieuw configureren

[ Voor 10% gewijzigd door bord4kop op 20-03-2023 11:49 ]

[bord4kop]

Het lijkt nu goed te werken!
ik krijg DHCP leases uit het juiste subnet.

Nu de host en pfsense nog

[ Voor 4% gewijzigd door bord4kop op 20-03-2023 13:21 ]

[bord4kop]

jadjong schreef op zondag 19 maart 2023 @ 16:00:
[...]

WAN VLAN kan je natuurlijk vervangen door een losse vSwitch met 2e fysieke netwerkkaart als dat makkelijker is.
[Afbeelding]

Simpele opstelling, uitbreiden naar wens.

Hoe meer ik naar deze plaat kijk, hoe meer ik ervan overtuigd ben dat ik dit 1-op-1 kan plotten op mijn situatie.

Met andere woorden; dank! Ik ga dit nabouwen bij mij

[jadjong]

bord4kop schreef op dinsdag 21 maart 2023 @ 08:49:
[...]


Hoe meer ik naar deze plaat kijk, hoe meer ik ervan overtuigd ben dat ik dit 1-op-1 kan plotten op mijn situatie.

Met andere woorden; dank! Ik ga dit nabouwen bij mij

Heb hem zelf thuis ook.

[jadjong]

bord4kop schreef op maandag 20 maart 2023 @ 11:46:
Als het goed is
- zijn poort 1 en poort 8 trunk-poorten;

Ik geef trunk poorten ook een untagged vlan mee. Meestal 1 als dat de netwerkmanagement vlan is. Kan je er ten minste nog bij met de laptop als de boel in de soep loopt.

[Kabouterplop01]

@bord4kop Ik denk dat je het goed doet nu iddd.
Summary: (En mijn voorbeeld is technisch de opsomming hoe dit werkt. Dit representeert niet jouw netwerk. NB: elke moderne switch ondersteunt dit, of het nou een Vswitch is of niet)

- Een trunked verbinding is een verbinding waarover je meerdere VLANS transporteert.
-Op je router/firewall komen je gateways (de Laag 3 interfaces, met een ip adres)
--(de vertaling: gig1/0.20 is een .1q verbinding met TAG 20 voor VLAN 20)
--(de vertaling: gig1/0.30 is een .1q verbinding met TAG 30 voor VLAN 30) etc
-De gig1/0 port naar je switch is dus een trunk (met in dit geval vlan 20 en 30 (tagged)
-Als je de tag goed hebt doorgetrokken kun je vanaf je machine met ip adres door je netwerk je laag 3 interface pingen.
Pas als je gaat routeren en firewall regels maakt, kun je vanaf het ene vlan het andere vlan bereiken.

[bord4kop]

Thanks @Kabouterplop01 !

Dat helpt inderdaad om even te checken

[bord4kop]

PS: Een leuke om even te onthouden als je een management VLAN wil inzetten op de pfsense:

LAN en WAN IP instellen, en later VLAN 's instellen en dan de IP omzetten werkt niet.

Maar als je eerst VLAN ('s) aanmaakt en dan het LAN IP adres op de VLAN-interface zet, dus op -bijvoorbeeld- vmx1.10 dan werkt het prima!

[Kabouterplop01]

bord4kop schreef op woensdag 22 maart 2023 @ 19:39:
Thanks @Kabouterplop01 !

Dat helpt inderdaad om even te checken

np

note:
Standaard is het management vlan vlan 1 untagged; als je ergens op een van de switches dhcp toelaat en de management interface krijgt een ip adres is dat altijd het default vlan (1). Daar moet je even goed opletten, want ook al is het handig dat je switch updates gaat zoeken voor de firmware. Bij jou staat er security management in je tag, dus dacht ik hey jij wil niet dat jouw switch zelfstandig het interwebz gaat bezoeken.

Over het algemeen (in grote netwerken met apart (oob = out-of-band) management netwerk wordt dat vlan voor security reasons dichtgezet en er een apart netwerk opgebouwd voor dat doel.
just a few cents

[bord4kop]

right, thanks!

ik wil per definitie niet dat er dingen op mijn netwerk gebeuren die ik niet in de hand heb!

Maar bedankt voor de tip. Ik had al "DHCP client" uitgezet op alle switches. En ik heb -als het goed is- geen routing naar Internet op het 192.168.0.x (management) segment. Dan kan dat hele netwerk toch niet naar buiten toe (en naar binnen als het goed is)

De moeilijkheid zit hem er wel in dat het management netwerk wél bij de andere netwerken moet kunnen. Maar dat ga ik denk ik regelen vanaf de dmz.

[ Voor 3% gewijzigd door bord4kop op 23-03-2023 08:50 ]

[bord4kop]

Alles werkt zoals verwacht - en zoals ik wilde-

Dus nu ga ik me verdiepen in de wondere wereld van Unifi Access points. Zodat ik ook een draadloos netwerk heb die (SSID 's met de) juiste connecties gaan toestaan op de diverse VLAN netwerken

[ Voor 3% gewijzigd door bord4kop op 23-03-2023 08:57 ]

[bord4kop]

En ook dat is gelukt!

Unifi is even zoeken om werkend te krijgen. Zeker als je -zoals ik- de AP 's zelf op een apart 'management' VLAN wil hebben.

Het is gelukt met instellen door de laptop met de Controller(-software) ook 'hard' in het management VLAN te plaatsen. Daarna werkt het voor de WLAN clients prima.
Maar helaas zie ik ze offline in de controller software. Ik denk dat dát ook oplosbaar is door een VM management machine te maken in het management VLAN.


maar goed. de AP zelf zijn daarentegen uitstekend!

[jadjong]

Als de unifi controller niet rechtstreeks in het management vlan zit moet je handmatig het IP van de controller specificeren in de units. Zij zoeken alleen binnen hun eigen subnet en zitten waarschijnlijk nog geprogrammeerd op het IP van je laptop.

[bord4kop]

Thanks @jadjong
Dat heeft wel geholpen in achterhalen van de juiste oplossing!
Omdat Ziggo om de één of andere reden mijn router niet fully in bridge heeft gezet, heb ik ook mijn oude Wifi nog. Dus ik kon daarop connecten. En toen met een beetje kunst en vliegwerk kon ik daarna de hele handel omzetten.

Dat geldt overigens ook voor de HUE bridge. Kreeg met geen mogelijkheid verbinding, (omdat de bridge geen internet connectie had).
Ook met de (factory-)reset knop bleef het ding toch op zijn 'oude' subnet hangen. Daar kwam ik met deze link achter. Dat was een fijne, want de meeste artikelen/blogs die ik raadpleegde voor hulp, vermelden alleen dezelfde bullcrap; reset bridge, reset modem etc..

Achteraf bleek overigens dat het ding geen VLAN tagging aankan. Op de switch een untagged poort gemaakt met een default vlan in het gasten netwerk. En toen deed ie het wel! (misschien zeg ik het fout, maar ik denk dat jullie wel begrijpen wat ik bedoel).
Misschien heeft een ander hier nog wat aan?


Tot slot:
Hier nog een handig linkje om de juiste MTU setting te vinden.

Het Netwek draait nu fijn hiero. En nu gaan we verder met fully bridge modus; een publiek IP op de WAN poort verkrijgen. En daarna VPN en OWNcloud in de DMZ.. Ik blijf lekker bezig

[ Voor 20% gewijzigd door bord4kop op 30-03-2023 10:54 ]

[jadjong]

bord4kop schreef op donderdag 30 maart 2023 @ 09:22:

Achteraf bleek overigens dat het ding geen VLAN tagging aankan. Op de switch een untagged poort gemaakt met een default vlan in het gasten netwerk. En toen deed ie het wel! (misschien zeg ik het fout, maar ik denk dat jullie wel begrijpen wat ik bedoel).
Misschien heeft een ander hier nog wat aan?

Een Hue bridge die aan vlan-tagging doet.

Voor simpele troubleshooting kan ik je een VM met remote desktop aanraden(of gewoon vSphere client), die hussel je makkelijker naar een ander vlan dan je eigen PC.

[bord4kop]

Jep, dat heb ik als een van de eerste dingen opgezet. Die management / beheer VM zit met pootjes in alle vLan 's.

Feit is dat de Hue Bridge geen verbinding naar Internet had toen hij op tagged vLan 50 op de Switch zat. Maar wel toen ik de poort untagged en PVID 50 maakte.

Dus misschien zei ik het wel verkeerd

[ Voor 6% gewijzigd door bord4kop op 31-03-2023 08:58 ]

[jadjong]

Ga er maar van uit dat alles wat geen router/switch/accespoint is verbonden moet worden via een untagged/access poort op het desbetreffende vlan.

[bord4kop]

right, het heeft een tijdje mooi gewerkt op de Intel NUC met VMWare! Maar de laatste weken krijg ik steeds vaker downtime.

Van buiten proberen ze op mijn VPN te komen (in de logs zag ik veel connect > failed attemps).

En het lijkt alsof de pfsense box fouten heeft op de datastore.
Na een move naar de andere datastore is hij corrupt geraakt. Dus nu is alles stuque.

Dus alles maar weer opnieuw opbouwen. De Box was toch al redelijk vervuild geraakt door alle gepruts..

Ik denk er nu over om een HA omgeving te maken op VMWare (met 2x NUC en Vmware essentials kit licenties). Ik heb een single WAN, dus de HA gaat over de Pfsense boxen en andere servers.

Dan nu de vragen;

- de NUC's aan elkaar koppelen met 1 NIC (per host) op vSwitch0 tbv HA en de service console en de WAN vNic
en de andere NIC (per host) op vSwitch1 voor LAN en alle vLAN 's


- of 1 Nic per host op 1 vSwitch0 voor de WAN verbinding (via een eigen vNIC)
en en de andere NIC (per host) op vSwitch1 voor LAN en alle vLAN 's en HA

Of iets compleet anders?

Of gewoon een andere hardware box (erbij) kopen?

[gwabber]

Persoonlijk zou ik pfsense in een los hardware doosje draaien, zeker met een homelab.

Als je dan wilt spelen met je VM’s of je host wilt rebooten, ligt niet meteen je gehele netwerk eruit en houd je de rest van je huishouden tevreden 🙈

[jadjong]

Hardware NIC 1: vSwitch0 met alle wan en lan
Hardware NIC 2: vMotion gedoe