slm2008 tagged und untagged vlans

[petersimon]

Hi,

ich versuche das Prinzip zu verstehen wie der slm2008 mit getaggten und ungetaggten Ports zu konfigurieren ist.

Was ich vorhabe :

VLAN-Adress Bereich 1 für PC-Netzwerk : 192.168.1.x/24
VLAN-Adress Bereich 2 für Internet-Verkehr : 192.168.2.x/24

Der Internet Bereich soll nicht in den PC-Bereich gelangen dürfen und umgekehrt, ich will also zwei voneinander getrennte Netze über nur einen Uplink-Port (Port1) leiten.

Port 2, Vlan 2 : Internet Router
I
I Port 3 + 4, Vlan 3 : PC-Netz, PC's
I I
I----------------------------------I
I O O O O O O O O I SLM2008
I----------------------------------I
I
I
I Port 1: Vlan 2 und 3, nur ein Kabel
I
I
I----------------------------------I
I O O O O O O O O I SLM2008
I----------------------------------I
I I
I Port 3 + 4, Vlan 3 : PC-Netz, PC's
I
Port 2, Vlan 2 : Internet-PC

Mit den Switchen, mit denen ich sonst arbeite, würde man also folgendes tun :

Port 2 untagged in Vlan 2

Port 3+4 untagged in Vlan 3

Port 1 tagged in vlan 2 und 3

Wie geht das mit dem slm 2008, ich verstehe hier wohl die Terminologie nicht richtig ...

Wenn mir noch jemand den Zusammenhang der verschiedenen Optionen im Vergleich zu der oben genannten Vorgehensweise Ports zu Vlans zu zuweisen erklären könnte, wäre toll.

Danke für Eure Hilfe

[gv]

Ich habe keinen SLM2008, deshalb kann ich mich im Wesentlichen nur auf das Handbuch beziehen.

1. Ich nehme mal an, dass Du das Management VLAN 1 belassen hast.

1. Du fügst zunächst jeden einzelnen Ports den VLANs hinzu, zu denen sie gehören.

In Deinem Fall also Port 1 VLAN 2&3, Port 2 zu VLAN 2 und Port 3&4 zu VLAN 3. (Alle Ports sind automatisch im VLAN 1, korrekt?.)

2. Jeder Port hat mindestens ein VLAN untagged, damit der Switch weiß, was er mit untagged Frames machen soll. Das untagged VLAN wird über die PVID festgelegt. Wenn der Switch auf dem Port einen untagged Frame empfängt, dann ordnet er den dem PVID VLAN zu.

Du setzt also Port 2 auf PVID 2, Port 3&4 auf PVID 3, Port 1 lässt Du auf PVID 1.

3. "Enable Tx Force Untag": Ist normalerweise auf disabled. Disabled bedeutet, dass der Switch auf diesem Port alle Mitglieds-VLANs außer dem PVID tagged verschickt (das verbundene Gerät kann also über die 802.1q Tags die VLANs auseinanderhalten). Enabled bedeutet, dass sämtliche Mitglieds-VLANs untagged verschickt werden (das verbundene Gerät kann die VLANs also nicht mehr auseinanderhalten).

Du solltest dies auf allen Ports auf "disabled" lassen.
Port 1 muss "disabled" sein. Port 2-4 könnten prinzipiell auch auf "enabled" stehen.

4. "Enable Ingress Filter": Bestimmt, was der Switch macht, wenn er auf einem Port einen tagged Frame für ein VLAN empfängt, zu dem dieser Port nicht gehört, z.B. wenn auf Deinem Port 2 ein Frame mit 802.1q Tag VLAN3 ankommen würde. Normalerweise ist diese Option aktiviert, d.h. solche Frames werden verworfen. Der Switch akzeptiert also auf einem Port nur 802.1q Tags von VLANs, in denen der Port auch Mitglied ist.

In Deinem Fall sollte diese Option auf allen Ports aktiviert sein.

5. "Acceptable Frame Type": Hier kannst Du entscheiden, ob ein Switchport nur tagged Frames akzeptieren soll oder ob auch untagged Frames angenommen werden, die dann automatisch dem PVID auf diesem Port zugewiesen werden. Alle Ports, die mit normalen, nicht 802.1q Geräten verbunden sind, müssen also alle Frame Types annehmen.

Du musst also auf Deinen Ports 2-4 alle Frametypes annehmen.
Auf Port 1 könntest Du Tagged Only setzen. Dann wird das Management VLAN 1 nicht zwischen den Switches übertragen. In der Regel willst Du das aber nicht, sondern möchtest über das Management VLAN auch auf den Switch auf der anderen Seite zugreifen können.

[petersimon]

Hi gv,

erst einmal vielen Dank fuer die Muehe, die Du Dir gemacht hast und die ausführliche und super Antwort.

Du hast mit Deiner Vermutung recht, VLAN 1 wollte ich moeglichst nicht benutzen. 

Auch sind erst einmal alle Ports in VLAN 1 gesetzt. 

Nun bin ich leider erst eben dazu gekommen, es auszuprobieren.

Dabei ist mir folgendes aufgefallen :

Sobald ich den Port des PC's, mit dem ich auf dem Switch manage, die PVID von 1 auf 3 aendere, komme ich nicht mehr auf den Switch drauf und muss ihn auf Factory Default zurücksetzen; ich schneide mir also irgendwie den Ast ab, auf dem ich sitze.

Dasselbe passiert, wenn ich den "Management"- Port aus VLAN 1 entferne, was ja an und fuer sich logisch waere.

Inwiefwern ist VLAN 1 als Management-VLAN definiert ?

Ich hätte gedacht, daß VLAN 3 mit dem Management-PC aus dem PC-Netz als "Management-VLAN" angesehen wird und ich, wie Du geschrieben hast, Port 1 nicht auf Tagged Only setzen darf, um nachher auch den dahinterliegenden Switch managen zu können.

Es scheint, daß der Mnagement-PC doch in VLAN 1 bleiben muß ?

Danke noch einmal für die Mühe

[gv]

Es gibt keinen Management-Port oder Management-PC. Es gibt ausschließlich das Management-VLAN. Das SLM2008 hat eine IP-Adresse, die sich im Management-VLAN befindet. Wenn auf Deinem SLM VLAN 1 (der Default) als Management-VLAN gesetzt ist, dann ist das Management-interface des SLM ausschließlich über dieses VLAN ansprechbar.

Wenn Du nun also die PVID auf dem Port, über den Du gerade managest, von 1 auf 3 setzt, dann gehören ab sofort alle untagged Frames vom Computer an den Switch zu VLAN 3. Damit verlierst Du natürlich die Verbindung.

Wenn Du VLAN 3 als Management-VLAN verwenden willst, musst Du es im Switch so konfigurieren. Ich vermute aber mal, dass damit VLAN 3 das untagged Default VLAN auf allen Ports wird, d.h. VLAN 3 wird auf allen Ports untagged übertragen.

Es gibt im Wesentlichen vier Möglichkeiten, wobei die dritte nur funktioniert, wenn Dein Management-PC eine Netzwerkkarte hat, die für 802.1q konfiguriert werden kann, was bei vielen Desktopkarten nicht der Fall ist.

1. Du benutzt das Management-VLAN auch im normalen Betrieb.

2. Du reservierst einen Port an einem der SLMs für das Management. Du steckst einen Computer an diesem Port an, wenn Du an den Switches etwas ändern willst. (Was etwas kompliziert werden kann, wenn Du die Verbindung zwischen den beiden SLMs ändern willst).

3. Mit einer 802.1Q NIC im Computer kannst Du den Computer so konfigurieren, dass er in mehreren VLANs gleichzeitig ist. Du könntest den PC z.B. so konfigurieren, dass er in VLAN 1 untagged und VLAN 3 tagged arbeitet. Damit sollte der PC eine neue virtuelle Netzwerkkarte für das VLAN 3 bekommen, die ebenfalls eine IP-Adresse etc. bekommt. Nun kann der PC direkt mit VLAN 1 und VLAN 3 kommunizieren.

4. Du benutzt einen VLAN-Router (oder L3-Switch). Der VLAN-Router macht das Routing zwischen den VLANs. Mit entsprechenden Filter-Regeln wird dann nur der Verkehr zwischen den VLANs erlaubt, der auch benötigt wird. Auf diesem Weg kann dann ein PC aus VLAN 3 über den Router auf das Management-VLAN in VLAN 1 zugreifen. Ich denke, dies ist der Normalfall, da ein nicht VLAN-Router nicht mit mehreren VLANs arbeiten kann bzw. mehrere verbundene VLANs wieder zusammenführen würde.