Fragen zur Einführung von Management VLANs

[Shihatsu]

Moin, ich bin gerade dabei für meine Services ein Management-VLAN aufzubauen. Dafür wollte ich unter anderem mein (virtualisiertes) TrueNAS mit einer zweiten Netzwerkschnittstelle zu eben diesem VLAN ausstatten. Gesagt, getan, PCIe Device im proxmox durchgereicht, feste IP aus dem VLAN zugewiesen, et voila, funktioniert. Wenn ich jetzt aber das Kabel der erste Netzwerkschnittstelle entferne, komme ich auch auf die zweite nicht mehr drauf - vermutlich wegen falscher Route oder fehlendem Gateway? Wie löse ich das Problem? Ich werde das noch bei weiteren VMs, Maschinen und Services machen wollen.

 

[AliManali]

Ich habe das mit Interzone Regeln direkt auf der FW gemacht. Das Management VLAN hat aber schon einen Gateway?

Hatte ich u.A. wegen Server Storage per NFS gemacht. Nachteil dabei, dass wenn ich aus dem LAN per SMB auf den Storage zugreife, geht das dann halt über die FW. Da ist bei mir mit ca. 50-60 MB/s Schluss.

 

[Shihatsu]

Tjaja, die SAche mit dem GW und der default Route ist es die mich gerade daran hindert das zum fliegen zu bringen.
Ich habe hier 10 Netze (9 VLANs und ein "LAN"). Diese werden von einer OPNsense gesteuert. In jedem Netz steht die sense als GW mit einer (V)IP. Wie würden hier die Interzone Regeln aussehen? Ich hab das nämlich ausgeweitet auf proxmox und da quasi das selbe VErhalten - sobald das Kabel des LAN-Zugangs raus ist, funktioniert auch das VLAN Netz nicht mehr...

 

[AliManali]

Firewall mässig habe ich einfach alles vom Management VLAN nach aussen geblockt. Und dann von meinem Desktop (aka LAN) die betreffenden Dienste zum Management Netz beregelt. Brauchte auch keine Routen, NAT, oder so. Policy Control heisst das bei Zyxel. Die Firewall Regeln halt. Dem Sever ist es auch wurscht, ob da das LAN gestöpselt ist, oder nicht. Hauptsache das Management LAN ist verbunden.

Falls was aus Versehen Firewall mässig geblockt wird, kann man die betreffende Regel loggen. Dann sieht man am Log, wo es geblockt wird. Des weiteren würde ich die betreffenden vNICs mal auf DHCP stellen zum schauen, ob die überhaupt eine Adresse beziehen. Bei mir ist alles komplett auf DHCP per MAC Bindung.

Bei einigen Appliances, wie NAS/SAN, ESXi und sowas, welche mehrere Adapter haben, muss man da schon angeben, wo das Webinterface genau erreichbar sein soll. Kann man sowohl in Filern wie auch am Host.

Habe allerdings eine Zywall. Deine Sense ist aber schon ein Blech?

So sieht eine Regel bei mir aus. Das LAN1/LAN2 kannst Du ausblenden, das ist glaube ich was Zyxel spezifisches. Die Developer VM liegt im VLAN 101, das IPMI in VLAN 102.