Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
Beide Seiten der vorigen Revision Vorhergehende Überarbeitung Nächste Überarbeitung | Vorhergehende Überarbeitung | ||
anleitungen:vlans [2023/12/05 17:30] – [VLANs] epkrichi | anleitungen:vlans [2023/12/06 17:52] (aktuell) – Bild für Ubiquiti-Beispielkonfiguration hinzugefügt epkrichi | ||
---|---|---|---|
Zeile 5: | Zeile 5: | ||
===== Mehrere Netzwerke? ===== | ===== Mehrere Netzwerke? ===== | ||
- | In einfachen Netzwerken - z.B. wenn bei einem Geschäft ein Freifunk-Router aufgestellt wird - muss man sich über VLANs keine Gedanken machen. Bei größeren Installationen mit mehreren Geräten (APs, Switches, Offloader, Richtfunkgeräte) können aber einige Netzwerke an einem Standort zusammenkommen, | + | In einfachen Netzwerken - z.B. wenn bei einem Geschäft ein Freifunk-Router aufgestellt wird - muss man sich über VLANs keine Gedanken machen. Bei größeren Installationen mit mehreren Geräten (APs, Switches, Offloader, Richtfunkgeräte) können aber einige Netzwerke an einem Standort zusammenkommen, |
===== Switches zerteilen ===== | ===== Switches zerteilen ===== | ||
Zeile 18: | Zeile 18: | ||
Für das Heimnetzwerk wurde hier VLAN 1 verwendet und für das Client-Netz VLAN 2. Die Ports 1-4 sind also miteinander verbunden, ebenso wie die Ports 5-7. Port 8 befindet sich in keinem VLAN und ist daher auch weder mit dem Heimnetzwerk, | Für das Heimnetzwerk wurde hier VLAN 1 verwendet und für das Client-Netz VLAN 2. Die Ports 1-4 sind also miteinander verbunden, ebenso wie die Ports 5-7. Port 8 befindet sich in keinem VLAN und ist daher auch weder mit dem Heimnetzwerk, | ||
+ | |||
+ | ===== Braucht man VLANs überhaupt? ===== | ||
+ | |||
+ | Prinzipiell ist es kein Problem, mehrere IP-Netzwerke auf derselben Hardware zu betreiben, ohne VLANs zu verwenden. Die Netzwerke stören sich erst mal nicht gegenseitig. Es gibt aber trotzdem viele Gründe, VLANs zu verwenden: | ||
+ | |||
+ | * Die Trennung ohne VLANs funktioniert nur, wenn die IP-Adressbereiche nicht überlappen - woher soll ein Paket sonst wissen, zu welchem der zwei Netzwerke mit gleichem Subnetz es gehört? | ||
+ | * Auf Routern laufen DHCP-Server, | ||
+ | * Wie gerade angemerkt, sind ohne VLANs alle Geräte physikalisch mit allen Netzwerken verbunden. Im obigen Beispiel wäre es dann nicht möglich, auf einem Kabel zu einem Access Point nur das Client Netz zu haben - das eigene Heimnetzwerk wäre auch dabei. Ein Angreifer, der physikalischen Zugriff zum AP hätte, könnte dann einfach das Kabel in seinen Computer stecken und wäre schon mit dem Heimnetzwerk verbunden. | ||
===== VLANs zwischen Geräten ===== | ===== VLANs zwischen Geräten ===== | ||
Zeile 31: | Zeile 39: | ||
Wenn Daten über ein Netzwerk versendet werden sollen, werden sie in sogenannte IP-Pakete aufgeteilt. Jedes Paket enthält wichtige Informationen über das Paket, wie z.B. Absender und Zieladresse. Wenn das jeweilige Netzwerk ein VLAN verwendet, wird zusätzlich die VLAN-ID auf dem Paket vermerkt. Die VLAN-ID ist quasi nur ein Aufkleber auf jedem Paket. Wenn keine VLANs verwendet werden, fehlt der Aufkleber aber komplett. Somit können mehrere Netzwerke über ein Kabel versendet werden: Da die Pakete den passenden Aufkleber haben, können sie auch am nächsten Gerät noch zugeordnet werden. | Wenn Daten über ein Netzwerk versendet werden sollen, werden sie in sogenannte IP-Pakete aufgeteilt. Jedes Paket enthält wichtige Informationen über das Paket, wie z.B. Absender und Zieladresse. Wenn das jeweilige Netzwerk ein VLAN verwendet, wird zusätzlich die VLAN-ID auf dem Paket vermerkt. Die VLAN-ID ist quasi nur ein Aufkleber auf jedem Paket. Wenn keine VLANs verwendet werden, fehlt der Aufkleber aber komplett. Somit können mehrere Netzwerke über ein Kabel versendet werden: Da die Pakete den passenden Aufkleber haben, können sie auch am nächsten Gerät noch zugeordnet werden. | ||
- | Standardmäßig verwenden alle normalen Geräte allerdings keine VLANs. Sie verschicken alle Pakete ohne VLAN-ID und erwarten auch, dass alle Pakete ohne solche ankommen. Dazu zählt z.B. ein normaler Router aus dem Heimnetzwerk, | + | Standardmäßig verwenden alle normalen Geräte allerdings keine VLANs. Sie verschicken alle Pakete ohne VLAN-ID und erwarten auch, dass alle Pakete ohne solche ankommen. Dazu zählt z.B. ein normaler Router aus dem Heimnetzwerk, |
+ | |||
+ | Das kann einfach an jedem Port mit dem " | ||
{{ : | {{ : | ||
- | Da zwischen Port 5 des Switches und dem Offloader zwei Netzwerke versendet werden (Mesh und Client), | + | Da zwischen Port 5 des Switches und dem Offloader zwei Netzwerke versendet werden (Mesh und Client), |
Der AP und der PC im Beispiel wurden nicht weiter konfiguriert. Sie erwarten also, dass das Netzwerk, mit dem sie verbunden sind, ohne VLAN ankommt. Port 6 und 7 sind daher ungetagged. Pakete, die im Switch auf Port 6 oder 7 rausgehen, erhalten also keine ID bzw. keinen Aufkleber. Ebenso sind alle Pakete, die auf diesen Ports ohne VLAN ankommen, im Switch Teil von VLAN 2 (Dass das so funktioniert, | Der AP und der PC im Beispiel wurden nicht weiter konfiguriert. Sie erwarten also, dass das Netzwerk, mit dem sie verbunden sind, ohne VLAN ankommt. Port 6 und 7 sind daher ungetagged. Pakete, die im Switch auf Port 6 oder 7 rausgehen, erhalten also keine ID bzw. keinen Aufkleber. Ebenso sind alle Pakete, die auf diesen Ports ohne VLAN ankommen, im Switch Teil von VLAN 2 (Dass das so funktioniert, | ||
Zeile 43: | Zeile 53: | ||
===== Noch ein realistisches Beispiel ===== | ===== Noch ein realistisches Beispiel ===== | ||
- | Hier soll noch ein realistisches Beispiel erklärt werden, das so ähnlich auch in unserer Richtfunk-Installation verwendet wird. Über ein Richtfunkgerät kommt ein **Mesh-Netz (VLAN 20)** und ein **Management-Netz (VLAN 1)** rein. An dem Standort sollen Access-Points an das **Client-Netz (VLAN 9)** angeschlossen werden. Dazu wird erst noch ein Freifunk-Router benötigt, der aus dem Mesh-Netz ein Client-Netz erzeugt. Außerdem soll ein weiteres Richtfunkgerät aufgestellt werden, das neben dem Management-Netz noch ein eigenes Mesh-Netzwerk erhält (warum nicht das bereits vorhandene Mesh-Netzwerk verwendet wird, ist ein anderes Thema). **Das zweite Mesh-Netzwerk (VLAN 21)** wird vom Freifunk-Router erzeugt. | + | Hier soll noch ein realistisches Beispiel erklärt werden, das so ähnlich auch in unserer Richtfunk-Installation verwendet wird. Über ein Richtfunkgerät kommt ein **Mesh-Netz (VLAN 20)** und ein **Management-Netz (VLAN 1)** rein. An dem Standort sollen Access-Points an das **Client-Netz (VLAN 9)** angeschlossen werden. Dazu wird erst noch ein Freifunk-Router benötigt, der aus dem Mesh-Netz ein Client-Netz erzeugt. Außerdem soll ein weiteres Richtfunkgerät aufgestellt werden, das neben dem Management-Netz noch ein eigenes Mesh-Netzwerk erhält (warum nicht das bereits vorhandene Mesh-Netzwerk verwendet wird, ist ein [[anleitungen: |
{{ : | {{ : | ||
Zeile 58: | Zeile 68: | ||
Einerseits soll das zweite Richtfunkgerät selbst über das Management-Netz erreichbar sein, andererseits sollen auch die Geräte am nächsten Standort darüber erreichbar sein. Deswegen soll auf Port 8 für das zweite Richtfunkgerät das Management-Netz sein, welches im Switch VLAN 1 verwendet. VLAN 1 soll hier außerdem wieder ungetagged sein. Des weiteren soll das zweite Mesh-Netz, VLAN 21, über das RF-Gerät versendet werden. Um vom Management-Netz unterschieden werden zu können, muss VLAN 21 hier getagged sein. | Einerseits soll das zweite Richtfunkgerät selbst über das Management-Netz erreichbar sein, andererseits sollen auch die Geräte am nächsten Standort darüber erreichbar sein. Deswegen soll auf Port 8 für das zweite Richtfunkgerät das Management-Netz sein, welches im Switch VLAN 1 verwendet. VLAN 1 soll hier außerdem wieder ungetagged sein. Des weiteren soll das zweite Mesh-Netz, VLAN 21, über das RF-Gerät versendet werden. Um vom Management-Netz unterschieden werden zu können, muss VLAN 21 hier getagged sein. | ||
+ | |||
+ | ===== VLANs auf Ubiquiti-Switches konfigurieren ===== | ||
+ | |||
+ | Zum Schluss ist hier noch eine Beispielkonfiguration von VLANs auf einem Ubiquiti-Switch: | ||
+ | |||
+ | {{ : | ||
+ | |||
+ | Für jede VLAN ID gibt es eine eigene Zeile, in der man jeweils für jeden Port festlegen kann, ob dieses VLAN auf dem Port getagged (T), ungetagged (U) oder excluded (E) sein soll. Außerdem kann man zu jedem VLAN noch einen Kommentar hinzufügen, |