VLan Fragen zur Vorgehensweise

[Katao]

Hallo zusammen,

bisher habe ich mich ziemlich gesträubt mich mit VLans zu beschäftigen. Da mein Netz daheim mittlerweile über 3 Parteien geht,
muss ich mir langsam Gedanken machen wie das weiter geht...

Werde in einiger Zeit komplett auf Ubiquiti Produkte umsteigen und muss jetzt mal schaun wie ich mein Vorhaben realisieren kann.

Ziel ist jedenfalls:

2 getrennte Netze (soweit sogut) beide sollen Zugriff aufs Internet haben.
Nur brauche ich admin-rechte auf die Geräte im 2ten Netz zum verwalten.
Zugriff von Netz 2 auf 1 soll aber unterbunden werden.

Kann ich das mit 2 VLans lösen?
Wenn nicht brauche ich gar nicht weiter zu denken.
Falls ja, wie müsste ich den Switch konfigurieren?

8 Port Switch
Port 1 Uplink ins Internet
Port 2-6 VLan 1
Port 7-8 VLan 2
was dahinter dann jeweils noch kommt sollte erst mal egal sein.

Welche Ports müssen da jetzt getagged werden bzw. einen Membership in dem jeweiligen VLan erhalten?
Da blicke ich noch nicht ganz durch.

Hat hier zufällig wer den UniFi Switch + das Security Gateway und kann mir da weiterhelfen?

 

[magicteddy]

Port 1 tagged VLan 1 & 2
2-6 untagged VLan 1
7-8 untagged Vlan 2

abgesehen davon solltest Du VLan 1 garnicht benutzen da default alle Ports darin sind.

-teddy

 

[p4n0]

Wieso ueberteurete Fertigloesungen kaufen wenn man das easy mit nem L2 Switch und ner PFSense hinbekommt?

 

[Katao]

Port 1 tagged VLan 1 & 2
2-6 untagged VLan 1
7-8 untagged Vlan 2

abgesehen davon solltest Du VLan 1 garnicht benutzen da default alle Ports darin sind.

-teddy

danke, soweit hab ich also richtig gedacht...
wie sieht das jetzt aber mit dem eindirektionalen Zugriff von Vlan1 auf Vlan2 aus?
(Das ich Vlan1 nicht verwenden sollte weiß ich - ist nur zum Verständnis.

 

[fdsonne]

(Das ich Vlan1 nicht verwenden sollte weiß ich - ist nur zum Verständnis.

Du meinst, du willst von IP Bereich x.x.x.x/yy in Bereich a.a.a.a/bb kommunizieren?
Wenn ja, dann brauchst du einfach nur nen Router, der das für dich routet. Mit SoHo Produkten kommst du dort häufiger nicht sonderlich weit, weil du diesen idR nicht mehrere IPs verdrahten kannst. Ob das mit dem Ubiquiti Security Gateway geht, kein Plan. Müsstest du schauen...

Vom Aufbau her, du brauchst einfach nur einen "Trunk" Port an deinem Switch, wo beide VLANs eben tagged an das private Interface vom Gateway gehen. Alternativ kann man das über zwei Strippen lösen (um mehr Speed zu bekommen) -> dann geht auch untagged, je ein Port pro VLAN. Tagged wäre aber sinnvoller, vielleicht kommt ja irgendwann Netz 3, 4 oder wie viele auch immer, dazu. -> dann musst du nicht mehr umbauen.

Das Gatway bekommt dann einfach jeweils eine IP aus zwei verschiedenen Netzen und spielt default Gateway für diese -> ggf. auch DHCP, DNS usw. Den Clients in beiden VLANs lässt du dann auf die jeweilige IP des Gateways im eigenen VLAN zeigen. DNS nach belieben...
Sinnvollerweise solltest du dann noch Firewall Regeln/ACLs auf dem Gateway schreiben, damit eben der Zugriff von VLAN 1/Netz A auf VLAN 2/Netz B geht, aber nicht umgedreht sowie eben der INet Access beider Netze.


Spannender dürfte eher die Konfiguration des Routers werden? Soweit ich das gerade sehe hat das Security Gateway kein Modem oder ähnliches im Bauch???
Je nach eingesetzter Techniik zum INet Access, DSL, Kabel, LTE, whatever -> hast du also entweder dort noch ein Modem oder Router stehen. -> diesem solltest/musst du natürlich noch die beiden internen Netze der beiden VLANs bekanntmachen. Oder mit NAT arbeiten -> was aber schwurblig ist und eher nicht die beste Lösung. Der Router/das Produkt vor deinem Security Gateway sollte also statische Routen auf der internen Seite beherschen! Mit nem Telekom Speedport geht das bspw. so ohne weiteres nicht. Mit ner Fritzbox ggf. schon, andere Produkte können das ggf. auch, müsste man schauen...


Ehrlich gesagt sollte es den anderen Parteien aber ein Stück weit zu bedenken geben, wenn du da in das andere Netz kommst Vor allem wenn du allein die Zugriffe steuerst. Nur so als Anmerkung. MIR wäre das definitiv nix. Es sei denn es geht um Family, dann mag das gehen