nicht angemeldet
VLan in kleinem Heimnetz: kein Konzept, aber viele Fragen
Hallo Forum,
mir mangelt es momentan noch ein wenig an der Kraft des Verstehens, was VLans insbesondere und Netwerktechnik im allgemeinen angeht. Trotz des mehrfachen Lesens von z.B. 'ct Sonderheft Netzwerke 2008, und auch das gleichnamige Exemplar von 2006 (in dem z.B. der FAQ-Teil zu annähernd 100% gleich war wie der der 2008'er Ausgabe), und sporadischemn Recherchieren im Netz, sind mir bisher leider nur einige Fragmente klarer geworden. Vielleicht kann mir hier ja jemand auf die Sprünge helfen:
Ich habe einen VLan-tauglichen Gigabit Switch (8Port HP ProCurve 1800, managable, ohne Lüfter aber mit _30_ Jahren Herstellergarantie, ca. 140,- Euro. Ein gutes Teil fürs Heimnetz, scheint mir)
Damit möchte ich 3 Rechner, 2 Drucker, einen Wlan-AP und ein DSL-Router/Modem verbinden.
Die beiden Drucker, der AP, das DSL-Modem und ein PC sind nicht Vlan-tauglich, bzw unterstützen nicht das Vlan-tagging. Die anderen beiden PC's unterstützen das.
Durch experimentieren habe ich bisher immer nur Teilerfolge erzielt, so das z.B. die beiden schnellen PC's untereinander im eigenen Vlan kommunizieren konnten, aber der AccessPoint und der 3. PC dort nicht reinkamen.
(Also ein 'normales' Netz und ein VLan).
Es sollte aber so sein, das es insgesamt 3 Netze gibt:
- PC1 PC2 PC3, kein DSL-Modem, aber die beiden Drucker
- PC1 PC3 und DSL-nach-Draussen
- AP nur zum DSL-Modem (fürs Notebook meiner Frau oder das von Freunden zu Besuch)
Geht das so mit den bestehenden Bauteilen überhaupt? Oder muß ich irgendwo Abstriche machen? Oder braucht der 3.PC dann auch noch ne VLan-fähige Karte?
Und ähm, vor allem, - wie fange ich es am besten an?
Gruss, Jannes
-
hi,
Damit möchte ich 3 Rechner, 2 Drucker, einen Wlan-AP und ein DSL-Router/Modem verbinden.
Das macht 7 Geräte in einem LAN. Dafür braucht es keine VLANs. Dein Switch ist zum Verbinden der Geräte dennoch tauglich, belasse alle Ports im _defaultVLAN (vlan1) und gut ist.
Zum Design des IP-Netzes sei noch gesagt:
Subnet Mask 255.255.255.240 ergibt 14 Hosts.Egal, ob die Netzadresse
10.0.0.0 oder 192.168.0.0 oder 172.31.0.0 oder sonstwie istManagement eines Switches: Ein Switch braucht normalerweise _keine_ IP-Adresse, die braucht der nur, wenn per telnet (ssh, http...) darauf zugegriffen werden soll. Ist das erforderlich, wird diese IP-Addr dem _defaultVLAN zugeteilt.
VLANs machen dann Sinn, wenn mehrere Netze logisch getrennt werden sollen, bspw. die fiktiven Netze
vlan1: Manager
vlan2: Vertrieb
vlan3: FuzziesAm Switch werden diesen VLANs der Anzahl der PCs enstprechend viele Ports zugeordnet und zu diesen VLANs verschiedene IPs/Sub-Netzmasken definiert, damit die Netze auch IP-mäßig unterschiedlich sind.
Viele Grüße,
Hotte -
Hello,
mit einem einzigen V-LAN-fähigen Switch wirst Du vermutlich nicht zum Ziel kommen.
Der Sicherheit zuliebe sollte man auf Lösungen, die die Clients zum Mitwirken benötigen auch lieber verzichten.Und wenn Du mal bei Google guckst
http://www.2cool4u.ch/networks/vlan_802frame/VLAN_802frame.htmda gibt es unter dem Fachbegriff VLAN-tagging schon eine Reihe ganz guter Erklärungen.
Du hast ja das Glück, dass Du weißt, wonach Du suchst :-)Ein harzliches Glückauf
Tom vom Berg
http://bergpost.annerschbarrich.de
.--
Nur selber lernen macht schlau
-
Moin!
Mir stellt sich die Frage, welchen Zweck das VLANen haben soll - außer Spielerei?
Es sollte aber so sein, das es insgesamt 3 Netze gibt:
- PC1 PC2 PC3, kein DSL-Modem, aber die beiden Drucker
- PC1 PC3 und DSL-nach-Draussen
- AP nur zum DSL-Modem (fürs Notebook meiner Frau oder das von Freunden zu Besuch)
Wenn du drei Netze konstruierst (egal ob kabelsparend mit VLAN, oder real durch separate Netzwerkkarten und Kabel), mußst du auf allen Clients auch für ein entsprechendes Routing sorgen, ansonsten landen Datenströme im falschen Netzwerk.
Das Routing ist aber genau der Knackpunkt.
Und es ist sowieso eine blöde Idee, ggf. "Sicherheit" als Grund anzuführen, die sich darauf verlassen muß, dass der Netzteilnehmer sich "brav" verhält und einfach nur "sein" VLAN auswertet, und nicht die Daten, die er sonst noch abbekommt.
Vollkommen ohne VLAN könntest du auch einfach drei voneinander unabhängige IP-Netzbereiche einrichten, das würde in etwa denselben "trennenden" Effekt haben.
Oder braucht der 3.PC dann auch noch ne VLan-fähige Karte?
VLAN ist eine Eigenschaft des Treibers bzw. der Netzsoftware, nicht der Hardware.
Und ähm, vor allem, - wie fange ich es am besten an?
Es gibt keinen guten Grund, der mich davon überzeugt, so ein VLAN-Wirrwarr zu produzieren. VLAN-Tagging ist dann eine günstige Maßnahme, wenn man zwischen zwei 100% kontrollierbaren Netzwerkpartnern (also z.B. Switches, oder Servern) den Datenverkehr von mehr als einem physikalisch ANSONSTEN getrennten Netzwerk austauschen muß. Sprich: Wenn zwei Switches in zwei Etagen stehen, jede Etage zwei Firmenabteilungen mit getrennten Netzwerken hat, und zwischen den Etagen nur ein Kabel verläuft, kann auf dieser Strecke VLAN-Tagging die Datenverkehre trennen - weil nur der Admin an die Switche und das Kabel rankommt. Käme ein Mitarbeiter eines der Netze an das Kabel ran, könnte er problemlos Teilnehmer im anderen VLAN werden.
- Sven Rautenberg
--
"Love your nation - respect the others."-
Hallo,
Mir stellt sich die Frage, welchen Zweck das VLANen haben soll - außer Spielerei?
=:)
Wenn du drei Netze konstruierst (egal ob kabelsparend mit VLAN, oder real durch separate Netzwerkkarten und Kabel), mußst du auf allen Clients auch für ein entsprechendes Routing sorgen, ansonsten landen Datenströme im falschen Netzwerk.
Das Routing ist aber genau der Knackpunkt.Ja, das war es auch was mich bisher hat scheitern lassen. Ich habe jetzt 2 getrennte IP-Netze angelegt:
A) PC1 DSL-Modem
B) PC1 PC2 PC3 & die Drucker(den AP lass ich jetzt erst mal weg)
PC2 PC3 haben feste IPs aus B), ohne Standardgateway und DNS-Servereintrag.
(Können also drucken, untereinander austauschen und zu PC1 verbinden)PC1 hat "2 Netz-Karten", eine IP aus B), ohne Gateway- und DSN-Servereintrag, und eine aus Netz A), in dem auch der DSL-Router zu erreichen ist. Hier ist die Router-IP als Gateway und DSN-Server eingetragen. Auf PC1 läuft u.a. ein Hamster-Mailserver (die lokalen Server jetzt an die IP aus Netz B) gebunden)
Und es ist sowieso eine blöde Idee, ggf. "Sicherheit" als Grund anzuführen, die sich darauf verlassen muß, dass der Netzteilnehmer sich "brav" verhält und einfach nur "sein" VLAN auswertet, und nicht die Daten, die er sonst noch abbekommt.
Ähm? Netzwerk-Sniffing? Oder noch Schlimmeres?
Es ist doch so, das PC2 + PC3 jetzt nicht mehr ins Internet kommen und von dort dann auch nicht erreichbar sind, aber trotzdem Mailen können, wenn PC1 online ist. Und das bringt nichts an Sicherheit?
Also, es ist ja so, das ich die PCs mit niemandem teilen muß. Es sind auch 'Gott sei Dank' nicht immer alle an. Deshalb ist hier ein braves Verhalten (von mir) gegeben ;-)
Ok, soweit ich das jetzt verstehe, ist das aber anders, wenn ich in Netz A) auch noch den WLan-AP einhänge. Hierfür ein eigenes Netz geht so nicht, weil der DSL-Router ja nur eine IP hat. Also sind PC1 und der AP dann immer im selben Netz :(
Gruss, Jannes
-
Hallo,
Es ist doch so, das PC2 + PC3 jetzt nicht mehr ins Internet kommen und von dort dann auch nicht erreichbar sind, aber trotzdem Mailen können, wenn PC1 online ist. Und das bringt nichts an Sicherheit?
keiner meiner Rechner ist aus dem Internet erreichbar - und trotzdem könnte ich von jedem mailen - auch ohne VLAN :-)
aber als Spielerei im Heimnetz ist es ganz nett.
Freundliche Grüße
Vinzenz
-
Hallo,
keiner meiner Rechner ist aus dem Internet erreichbar - und trotzdem könnte ich von jedem mailen - auch ohne VLAN :-)
Jaja, - war ein wenig unglücklich ausgedrückt =:)
aber als Spielerei im Heimnetz ist es ganz nett.
Ja, auch große Kinder spielen gern. Und oft üben ja Dinge von denen man nichts, oder fast nichts, versteht, den größten Reiz aus. ;-)
Viele Grüsse, Jannes
-
-
Moin!
Ja, das war es auch was mich bisher hat scheitern lassen. Ich habe jetzt 2 getrennte IP-Netze angelegt:
A) PC1 DSL-Modem
B) PC1 PC2 PC3 & die Drucker(den AP lass ich jetzt erst mal weg)
PC2 PC3 haben feste IPs aus B), ohne Standardgateway und DNS-Servereintrag.
(Können also drucken, untereinander austauschen und zu PC1 verbinden)PC1 hat "2 Netz-Karten", eine IP aus B), ohne Gateway- und DSN-Servereintrag, und eine aus Netz A), in dem auch der DSL-Router zu erreichen ist. Hier ist die Router-IP als Gateway und DSN-Server eingetragen. Auf PC1 läuft u.a. ein Hamster-Mailserver (die lokalen Server jetzt an die IP aus Netz B) gebunden)
Zu diesem Abschnitt habe ich mehrere Bemerkungen...
Erstens mal eine Begriffsklärung: Was genau meinst du denn jetzt mit der Begriffskombi "DSL-Modem" oder "DSL-Router"? Ein Modem ist ein Gerät, an das man ein Netzwerkkabel steckt, die Software für den Internetzugang muß man aber auf dem angeschlossenen Rechner ausführen. Ein Router ist ein eigenständiger Embedded-Computer, der den Zugang herstellt, ohne dass auf dem PC spezielle Software ausgeführt wird.
Hast du "nur" ein Modem, ist natürlich alles, was durch das daran angeschlossene Netzwerkkabel "reinkommt", das pure böse Internet, und das muß natürlich abgeschirmt werden.
Aber hättest du einen Router, dann wäre genau der dafür zuständig und nimmt die Abschirmung größtenteils schon vor - Details wären im Konfigurationsdialog der zweifelsfrei integrierten Firewall einzustellen.
Wenn aber ein Router schon existiert, dann wäre genau DER verantwortlich für jegliche Art von Internet-Sicherheit. Nagut, selbstverständlich sind auch internet-nutzende Clientprogramme wie Browser, Mailclients etc. für die Sicherheit zuständig, also hinsichtlich Updates etc., aber was die nicht freiwillig aus dem Netz anfordern, läßt der DSL-Router halt gar nicht erst durch. Sehr praktisch, sowas.
Zweite Bemerkung zum Hamster-Mailserver: Ja, Server allgemein und auch Mailserver im speziellen selbst zu betreiben ist nett, ich werde aber nicht müde zu wiederholen, dass der direkte Mailversand von dynamischen IP-Adressen, wie sie bei DSL-Anschlüssen verbreitet sind, nur noch sehr selten funktioniert wegen der vielen Spammer. Kurz gesagt: Funzt nur mit "Smarthost", also einem externen, realen Mailserver mit fixer IP, über den der gesamte Mailverkehr läuft. Ich hoffe, du hast das so eingerichtet.
Und es ist sowieso eine blöde Idee, ggf. "Sicherheit" als Grund anzuführen, die sich darauf verlassen muß, dass der Netzteilnehmer sich "brav" verhält und einfach nur "sein" VLAN auswertet, und nicht die Daten, die er sonst noch abbekommt.
Ähm? Netzwerk-Sniffing? Oder noch Schlimmeres?
Es ist doch so, das PC2 + PC3 jetzt nicht mehr ins Internet kommen und von dort dann auch nicht erreichbar sind, aber trotzdem Mailen können, wenn PC1 online ist. Und das bringt nichts an Sicherheit?
Ich frage mich, was es bringen soll, einen PC nicht ins Internet zu lassen. Und gerade aus Sicherheitsaspekten sind regelmäßige Updates, über die dich der PC ja mit Auto-Update-Funktion nur informiert, wenn er online gehen kann, ja eigentlich unabdingbar.
Sprich: Ein PC, der nicht beliebig online kann, aber Mails empfängt, ist deutlich anfälliger, als einer, der auf dem neuesten Softwarestand gehalten wird.
Dein initialer Gedanke, das System von "bösem" fernzuhalten, hält es nicht komplett fern, sondern nur sehr halbherzig - dummerweise aber komplett von "gutem", so dass unter dem Strich ein Minus an Sicherheit entsteht.
Deine Überlegung ist, dass, wenn ein böses Programm auf einem der abgeschotteten PCs ausgeführt würde, es dann wenigstens nicht online kommt. Dieser Gedanke setzt zu spät an. Wenn ein böses Programm auf dem Rechner gestartet wurde, ist sowieso alles zu spät, und der Schutz "kann nicht online" ist wirklich nur eine sehr kleine Hürde.
Also, es ist ja so, das ich die PCs mit niemandem teilen muß. Es sind auch 'Gott sei Dank' nicht immer alle an. Deshalb ist hier ein braves Verhalten (von mir) gegeben ;-)
Aber es kommt ja doch das Thema "Accesspoint" wieder ins Spiel. Und da sind Rechner angeschlossen, die nicht 100% unter deiner Kontrolle stehen. Und sowieso weiß man ja nicht, ob sich nicht jemand mal mit einem Kabel wo anstöpselt, sofern's zugänglich ist.
Ok, soweit ich das jetzt verstehe, ist das aber anders, wenn ich in Netz A) auch noch den WLan-AP einhänge. Hierfür ein eigenes Netz geht so nicht, weil der DSL-Router ja nur eine IP hat. Also sind PC1 und der AP dann immer im selben Netz :(
Die Linksys WRT54G (oder GL) haben, obwohl in der Standard-Firmware nicht flexibel nutzbar, ebenfalls einen VLAN-Switch intern eingebaut (andere Dinger vermutlich auch, weiß ich aus dem Kopf nicht). Mit der passenden Firmware (DD-WRT oder OpenWRT etc.) kann man das Teil aber komplett flexibel konfigurieren. Dann hast du DSL-Router, WLAN und vier weitere LAN-Buchsen, die du im Prinzip beliebig auf VLANs verteilen könntest. Logischerweise ist dann auch konfigurierbar, dass das WLAN nur ins Internet darf, dass LAN-Buchse 1 zwei VLANs (eins ins Internet und eins für intern) kriegt (der angeschlossene PC muß dann die zwei VLANs ebenfalls auseinanderhalten), und die restlichen Buchsen kriegen nur das interne Netz. Dürfte insgesamt auch kaskadierbar sein mit deinem jetzt vorhandenen Switch, VLAN ist ja IEEE-Standard.
Aber der Kernpunkt dabei ist, dass diese Abschottung oder "Sicherheit" kein Feature von VLAN ist, sondern von "Routing". Ohne passend konfigurierten Router (der zwingenderweise Kontakt zu allen Subnetzen, egal ob per VLAN oder Kabel "getaggt", benötigt) kriegst du die Datenströme nicht korrekt weitervermittelt.
- Sven Rautenberg
--
"Love your nation - respect the others."
-
-
hi again,
ich habe mir Dein Post heute noch einmal durchgelesen. Des ist zwar ziemlich sinnlos aber machbar. vermutlich ist es eine Übungsaufgabe ;-)
(Also ein 'normales' Netz und ein VLan).
???
Es sollte aber so sein, das es insgesamt 3 Netze gibt:
- PC1 PC2 PC3, kein DSL-Modem, aber die beiden Drucker
- PC1 PC3 und DSL-nach-Draussen
- AP nur zum DSL-Modem (fürs Notebook meiner Frau oder das von Freunden zu Besuch)
1. Teile einen privaten IP-Adressbereich in entsprechende Subnetze unter Anwendung VLSM (Variable Length Subnet Mask), Du brauchst also 3 Subnetze
2. Erzeuge auf dem Switch 3 VLANs für diese 3 Netze
3. Bewege die Switchports, an denen die entsprechenden Geräte stecken in die entsprechenden VLANs
4. Du brauchst ACLs (Access-Lists) auf Layer 3, einem Router. Entweder hast Du einen Layer3Switch oder Du brauchst einen extra Router
5. Du musst zwischen den VLANs routen können. Das geht über einen Trunk-Port mit getaggten FramesGeht das so mit den bestehenden Bauteilen überhaupt?
Siehe Hersteller.
Oder muß ich irgendwo Abstriche machen? Oder braucht der 3.PC dann auch noch ne VLan-fähige Karte?
VLAN und Ethernet sind sowas wie Radiosender und Kopfhörerkabel.
Und ähm, vor allem, - wie fange ich es am besten an?
Am Besten mit den Grundlagen. Ich habe heute wieder eine halbe Stunde mit Deiner Fragestellung zugebracht, gerne helfe ich.
Am Besten, Du schaust Dir mal Folgendes näher an:
- OSI-Referenz-Model
- Grundlagen Switching in Layer 2
- Data Link Layer und Media Access Control (MAC)
- Grundlagen Routing in Layer 3
- TCP/IP (im Zusammenhang mit OSI)
- VLSM (Variable Lenght Subnet Mask)
- CIDR (Classless Internet Domain Routing)
- RFC 1918 (Private IP-Adressen)
Daraus ergeben sich sicherlich noch einige weitere Spezifikationen, die beachtenswert sind.
Hotte