VLAN ohne DHCP nicht zu erreichen

    Hi Leute,

    bin etwas neu in dem Thema und versuche gerade ein Netzwerk aufzubauen.

    Ich habe mehrere VLAN und auch welche bei denen der DHCP Server nicht die UDM Pro ist, sondern ein anderes Gerät.

    Nun habe ich das Problem, dass ich Geräte die in diesen Netzwerken ohne DHCP der UDM sind nicht erreichen kann, ich benötige aber eine Kommunikation zwischen diesen.

    Im Anhang Screenshots der Netzwerke und der Firewall regeln, vielleicht hat jemand eine Idee.

    Ich habe keine Regeln erstellt, da ja alle Netzwerke mit den Standardregeln untereinander kommunizieren können, wenn ich das alles richtig gelesen haben.

    Als Beispiel, ich kann aus dem 192.168.2.0 Netzwerk keine Geräte im 192.168.151.0 oder umgekehrt erreichen.

    Danke schon Mal für Tipps

    External Content beta.ubiquiti-networks-forum.de
    Content embedded from external sources will not be displayed without your consent.

    Na ja mit den DHCP hat das nichts zu tun wo der Sitzt, maximal nur mit den dingen die er verteilt.

    Default Gateway richtig, also die IP des Routers ? Welche hat diese ? (und ist die UDM auch der Router)

    Sprich: zeig mal Config von deinem 172.16.0.0/23

    aus der Hüfte Geschossen falsche IP als Router IP, oder Clients falsche IP für den router

    (oder beides wenns eine ist die nicht in den 172.16.0.0/23 passt)

    Erster Step: Kannst du das Gateway Anpingen

    Zweiter: Kannst du das Gateway des Zielnetzes Ansingen

    ganz nebenbei hier wohl nicht Relevant:

    je nach VPN, HonigTopf will Unifi gerne selber VLAN ID 2 und 3 Verwenden.

    Empfohlen ist mit der eignen VLAN Nummerierung erst bei 10 Anzufangen.

    Das mit den VLAN IDs finde ich dann Unifi etwas blöd gemacht, dann sollen die die doch gleich mit höheren Nummern verteilen. Naja, habe ich mal angepasst, danke.

    Beispiel Konfiguration an einem Test-PC im 192.168.2.0 Netzwerk

    DHCP am PC deaktiviert und die Netzwerk Konfiguration wie folg:

    IP: 192.168.2.112

    Subnetmask: 255.255.255.0

    Gateway: 192.168.2.241 (IP der UDM Pro in dem Netzwerk)

    DNS: 192.168.2.1

    Von dem Test-PC kann ich natürlich die 192.168.2.241 anpingen, aber keine Geräte im 192.168.151.0 Netzwerk, was ja eigentlich auch gehen sollte. Und andersrum auch nicht, also ich kann aus dem 192.168.151.0 Netzwerk nicht die 192.168.2.112 anpingen.

    Wahrscheinlich habe ich ein Verständnisproblem und was falsch konfiguriert, aber ich finde den Fehler halt nicht so recht...

    Vermutlich versuchst Du, Windows-PCs anzupingen. Deren Firewall lässt ICMP aus anderen LANs per default nicht zu.

    Schalte die mal testweise ab und probiere es nochmal.

    Es haben auch andere Geräte interne Firewalls, die ähnlich agieren könnten, das muss man immer mit im Blick behalten.

    Quote from DoPe

    Was ist im 192.168.151.0 Netz denn das Standardgateway? Die UDM oder irgendwas anderes?

    Die UDM auf IP 192.168.151.1

    Quote from Networker

    Vermutlich versuchst Du, Windows-PCs anzupingen. Deren Firewall lässt ICMP aus anderen LANs per default nicht zu.

    Schalte die mal testweise ab und probiere es nochmal.

    Es haben auch andere Geräte interne Firewalls, die ähnlich agieren könnten, das muss man immer mit im Blick behalten.

    Ich müsste ja aber vom Windows PC die UDM anpingen können mit 192.168.151.1 oder auch einen Switch in dem Netzwerk?!

    Edited once, last by razor: Ein Beitrag von theoggy mit diesem Beitrag zusammengefügt. (June 2, 2024 at 3:32 PM).

    Am wahrscheinlichsten erscheint, dass Du Dich irgendwo mit Deinen Gateways bzw. deren Konfiguration verhedderst. Es ist z.B. natürlich kein netzwerktechnischer Fehler, das Gateway in einem Subnetz auf 192.168.2.241 zu konfigurieren, aber sinnvoller Weise nimmt man eher die erste IP-Adresse des Subnetzes dafür. Minimiert einfach die Fehleranfälligkeit, wenn es überall einheitlich ist.

    Gibt es weitere Router in Deinem Netzwerk? Wenn Du die jeweiligen Netze mit allen Parametern in allen Routern korrekt eingetragen hast und keiner der Router etwas firewallt, sollte alles funktionieren.

    Welche Geräte konkret sollen den in den beiden "speziellen" Subnetzen DHCP-Server sein?

    Btw. Wenn das gateway nicht die 1 iat dauert es oft einige Sekunden bis zu mehrere Minuten ehe eine saubere Verbindung vom Client aus möglich ist. Ohne weiteres zu tun, einfach warten und nen dauerping setzen.

    Habe ich jetzt schon des öfteren bei unifi Netzwerken, egal ob ein unifi gateway oder eine andere Firewall dazwischen hängt.

    Quote from noobatpc

    Btw. Wenn das gateway nicht die 1 iat dauert es oft einige Sekunden bis zu mehrere Minuten ehe eine saubere Verbindung vom Client aus möglich ist.

    Das halte ich ehrlich gesagt für Admin-Aberglaube.

    External Content beta.ubiquiti-networks-forum.de
    Content embedded from external sources will not be displayed without your consent.

    Es gibt keinerlei Standard dafür, welche IP-Adressen in Netzwerken wofür genutzt werden sollten. So lange ein Client korrekte und eindeutige Adressen konfiguriert bekommt, ist es vollkommen egal, wie die Adressen im Netzwerk verteilt sind.

    Daher schrieb ich ja auch, dass es kein Fehler ist, aber man sich damit schnell selbst verwirrt, wenn man es nicht zumindest einheitlich konfiguriert. Im Sinne einer best practise sollte man es also vermeiden, aber technsich ist es total egal.

    Das war keine Behauptung sondern ganz simpel eine Aussage aufgrund von wahren Begebenheiten, die ich in den letzten 5 Jahren mit UniFi gesammelt habe. Bei knapp 12 Netzwerken war dieses Verhalten nun einmal exakt so, dabei waren diverse mit UniFi, Sophos & Securepoint Firewall sowie auch mit simplen Fritzen.

    In den anderen, wo das Gateway die 1 hat, läuft es sofort. Bei denen, wo ich es auf die 1 ändern konnte, war der Fehler danach auch weg ... Auch nur mit UniFi-Hardware so aufgetreten bisher ...

    Es geht mir dabei nicht um Standards oder sonst was, sondern einfach so wie es sich in der Realität nuneinmal verhält.
    Aber bums

    External Content beta.ubiquiti-networks-forum.de
    Content embedded from external sources will not be displayed without your consent.
    Quote from theoggy

    Von dem Test-PC kann ich natürlich die 192.168.2.241 anpingen, aber keine Geräte im 192.168.151.0 Netzwerk, was ja eigentlich auch gehen sollte.

    Die frage ist dann b du da Gateway ansingen kannst von Tiel jetzt also in deinem Beispiel 192.168.151.x was immer das auch ist bei dir.

    Denn das sollte aufjedenfall gehen, egal ob Der Ziel Client ICMP blockt, falsche dinge konfiguriert hat oder das Kabel nicht steckt

    External Content beta.ubiquiti-networks-forum.de
    Content embedded from external sources will not be displayed without your consent.

    Ansonsten sind ja schon einige andere Tips geflossen...

    Nach wie vor: Irgendwo Gateway / Netzmaske falsch und oder VLAN Liegt nicht durchgängig von client bis zum router an

    weil irgendwo ein UPLINK genau das VLAN nicht Transportiert.


    Quote from noobatpc

    Btw. Wenn das gateway nicht die 1 iat dauert es oft einige Sekunden bis zu mehrere Minuten ehe eine saubere Verbindung vom Client aus möglich ist. Ohne weiteres zu tun, einfach warten und nen dauerping setzen.

    ...

    ...

    Es geht dmir abei nich um Standards oder sonst was, sondern einfach so wie es sich in der Realtit nuneinmal verhält.

    Deine Realität is definitiv eine andere. Ein Gefühl ? FehlInterpretation von Verhalten von Bestimmten Clients die

    erstmal was anderes machen ? Keine Ahnung, technisch gibt es dafür kein Grund und verhalten.

    Wird auch schwer bei z.B 192.168.0.128/25 eine "1" zu vergeben weil es sie nicht gibt in diesen Netzbereich.

    Quote from Networker

    Es gibt keinerlei Standard dafür, welche IP-Adressen in Netzwerken wofür genutzt werden sollten

    ....

    Sinne einer best practise sollte man es also vermeiden

    100% Ack und damit Zustimmung,.. Tatsächlich gibt aber die best practices

    entwerfe die Ersten oder die Letzen IP eines Netzes als Gateway zu nutzen.

    Einfach auch nur aus der Tatsache das diese Automatisch gültig bleiben wenn das Netz

    noch mal in kleinere Teile aufgeteilt wird. Sprich ein 192.168.1.0/24 Behält seine "1" im netzt

    auch wenn es ein /25 /26 ... /29 Netz wird. Eine "254" ist dann im im 192.168.0.128/25 immer noch die letze

    (oder im 192.168.0.192/26 usw.)

    Das Wars aber auch schon.

    Dem L2 ist es egal und Rotzt nen Brodcast raus wenn ARP fragt welche MAC die IP hat.

    Völlig egal was da steht.


    Quote from Networker

    Gibt es weitere Router in Deinem Netzwerk? Wenn Du die jeweiligen Netze mit allen Parametern in allen Routern korrekt eingetragen hast und keiner der Router etwas firewallt, sollte alles funktionieren.

    Welche Geräte konkret sollen den in den beiden "speziellen" Subnetzen DHCP-Server sein?

    Ich teste gerade halt rum.

    Beim 192.168.2.0 ist ein Fritz!Box das eigentlich Gateway, die soll aber dann rausfliegen. Ich muss die Umstellung aber etwas langsamer, da ich nicht alles auf einmal lahmlegen kann.

    Beim 172.16.0.0 ist ein Domain Controller dran, dort kann ich das Gateway im DHCP Server auf dem DC dann auf die UDM Pro ändern. Das Netzwerk ist aber physisch noch nicht angeschlossen.

    Im 172er sind dann auch Berufliche Sachen drin, deshalb war mein Test jetzt erstmal mit dem 192.168.2.0 Netzwerk. Dort wollte ich das mit einem "externen" DHCP testen und die Kommunikation zwischen den Netzwerken, aber das klappt halt nicht so recht.

    Quote from theoggy

    Beim 192.168.2.0 ist ein Fritz!Box das eigentlich Gateway

    Ahhh Zwei Router die die sich nicht kennen ? Da hast du dein Problem. Wenn ein Router Routen soll dann muss

    er das Ziel Netz entweder direkt angeschlossen haben (also eine IP in diesem besitzen) oder den Weg kennen wie

    er das Netz erreichen kann. (Irgendwas ins Interner wird ja auch nur zum Provider gesendet weil 0.0.0.0 alles abfängt

    was nicht lokal bei dir ist).. Du benötigst aufjedenfall eine IP in dem diesem NETZ die auch auf der UDM verfügbar ist.

    Sprich wenn die Fb die 192.168.2.1 hat gib der UDM die 192.168.2.2 (als Beispiel). Damit kann die UDM dann

    wenigsten schon mal das 192.168.2.0 erreichen. Aus der FB fehlen dann aber noch bestimmt Rückrouten denn

    die weise nicht das xxx.xxx.xxx.xxx über die UDM zu erreichen ist (Routen für das netz auf die IP der UDM also im meinen Beispiel die 192.168.2.2)

    Quote from gierig

    Sprich wenn die Fb die 192.168.2.1 hat gib der UDM die 192.168.2.2 (als Beispiel). Damit kann die UDM dann

    wenigsten schon mal das 192.168.2.0 erreichen. Aus der FB fehlen dann aber noch bestimmt Rückrouten denn

    die weise nicht das xxx.xxx.xxx.xxx über die UDM zu erreichen ist (Routen für das netz auf die IP der UDM also im meinen Beispiel die 192.168.2.2)

    Na die UDM Pro hat die 192.168.2.241, am Ende ja egal welche, siehe die Diskussion oben

    External Content beta.ubiquiti-networks-forum.de
    Content embedded from external sources will not be displayed without your consent.

    Das mit dem "Rückrouten" war halt die Frage, ob es reicht wenn ich meinem Test-PC halt als Gateway die 192.168.2.241 gebe und dann automatisch dieser Test-PC mit allen anderen Netzwerken kommunizieren kann.

    Ein Gateway in den DHCP der Fritte kann man ja nicht eintragen, soweit ich zumindest weiß.

    Beispiel Konfiguration an einem Test-PC im 192.168.2.0 Netzwerk

    DHCP am PC deaktiviert und die Netzwerk Konfiguration wie folg:

    IP: 192.168.2.112

    Subnetmask: 255.255.255.0

    Gateway: 192.168.2.241 (IP der UDM Pro in dem Netzwerk)

    DNS: 192.168.2.241

    Quote from theoggy

    ob es reicht wenn ich meinem Test-PC halt als Gateway die 192.168.2.241 gebe und dann automatisch dieser Test-PC mit allen anderen Netzwerken kommunizieren kann.

    Ja das reicht, weil dann das Gateway auf der UDM ist der im Client eingestellt ist. (sofern alles andere auch stimmt)

    Solangsam wird aber alles etwas undurchsichtig. Die Frage nach dem Ping auf das Gateway des Zielnetzes wird ignoriert.

    Würde aber direkt zeigen ob der Client ein Problem hat (und/oder das client Netz) oder das ziel Netz / Client.

    Dann "Plopp" - ein Zweiter Router ist da der vorher nicht erwähnt wurde.

    Das schmeckt alles nach dünnen Salamischeiben, die nach und nach gereicht werden.


    Edited once, last by gierig (June 3, 2024 at 12:00 PM).

Participate now!

Don’t have an account yet? Register yourself now and be a part of our community!

Register Yourself Login