Zwei LANs - Zugriffprobleme

Es gibt 20 Antworten in diesem Thema, welches 1.263 mal aufgerufen wurde. Der letzte Beitrag () ist von DoPe.

    Moin,


    kurze Frage ... ich hab mich verhakt, finde aber meinen Denkfehler nicht.


    Ich hab ein LAN mit IP 192.168.1.y. ... Soweit so gut!


    Jetzt wollte ich die IPs auf ein anderes LAN umstellen, z. B. 10.10.10.1 bis .254. Das klappte noch. Also "Default" in 10.10.10.x/24 umgestellt und ein zweites LAN mit Namen "Alt" generiert und Adressraum 192.168.1.x/24. Die Geräte sind überwiegend (aber nicht alle) per DHCP im Netz. Als Gateway und DNS gebe ich in beiden LANs jeweils die .1 Adresse des Cloud Gateway Ultra an. Ich kann über beide .1 Adressen auch auf den Controller zugreifen. Die IPs werden den Geräten auch zugeteilt. Jetzt gilt es noch die Geräte mit statischen IPs umzubiegen.


    Was nun nicht klappt, ist über den Browser jetzt IP-Adressen aus dem anderen Bereich anzusprechen. Beispiel: Mein Rechner hat 10.10.10.irgendwas als IP vom DHCP bzw. UCG bekommen. Zugriff auf 10.10.10.1 klappt. Auf 192.168.1.1 klappt auch. Zugriff auf 192.168.1.irgendeineandereIP klappt nicht. :-/


    Muss ich da noch irgendeine Firewall-Regel einrichten? Ich dachte standardmäßig ist die Kommunikation zwischen beiden Netzen erlaubt.


    Besten Dank für einen Hinweis, woran es hakt.

  • Zum Hilfreichsten Beitrag springen

    Zitat von MLG

    Muss ich da noch irgendeine Firewall-Regel einrichten? Ich dachte standardmäßig ist die Kommunikation zwischen beiden Netzen erlaubt.

    Yep Ohne FW reglen is Kommunikation zwischen den VLAN Erlaubt, ist ja nen Router der soll das :smiling_face:

    Wenns nicht klappt...


    - auf den Clients die Gateway Richtig ? (DHCP einstellungen auch prüfen, da kann man ggf nen Gateway

    konfigurieren wenn nicht automatisch)

    - PING und Windows mögen nicht aus anderen VLAN angesprochen werden (Win Firewall, oder öffentliches Profil)

    Das hat schon manschen ne schlaflose nacht bereitet

    - Geräte im "neuen" 192er dann auch auf den PORTS ins richtige VLAN geschoben ?

    - geht internet auf den Geräten ? (das währe nen Indiz da gateway und VLAN grob richtig sind)

    - Netz nicht als Gast oder Isoliert eingerichtet ?

    Einmal editiert, zuletzt von gierig ()

    In den meisten Fällen liegt es einfach an den Windows Firewalls der beteiligten Systeme liegen. Sind vermutlich alles Desktop OSes also Clients. Da ist von Haus aus kein Zugriff aus anderen IP Netzen vorgesehen... bei Clients auch unüblich. Ergo ist die Windows Firewall entsprechend voreingestellt und muss angepasst werden.

    Vielen Dank für Eure Hinweise.


    Hmm... also es sind nicht alles nur Windows Geräte. Somit kann das nicht die eigentliche Ursache sein.


    Nochmal kurz was ich gemacht habe:

    1. In der 'Network' App auf das Zahnrad 'Einstellungen' > 'Networks'. Dort ist das LAN das Standard-LAN "Default" (= Netz A).

    2. Dort habe ich dann ein zweites LAN namens "Neu" ( = Netz B) angelegt.


    Meine Erwartungshaltung war nun, beide LANs können miteinander kommunizieren. Dazu muss ich aber ganz offensichtlich noch irgendwas zusätzlich machen. Denn von selbst geht es nicht. Bin ich bspw. mit 10.10.10.123 als Client im Netz A unterwegs und möchte nun auf bspw. einen Client 192.168.1.123 im Netz B zugreifen, z. B. einen Drucker, geht das über das Browserfenster nicht.

    Wie die Kollegen schon sagten, wenn Du keine Firewall-Regel zum Blockieren von Traffic zwischen VLANs erstellt und das neue VLAN auch nicht als "isoliert" konfiguriert hast, ist es keinesfalls die Firewall, die hier blockt.

    Was hast Du überhaupt für Geräte? Laut Deinen Tags eine Dream Machine und zusätzlich ein UCG-Ultra, was aber in der Kombi eher keinen Sinn ergibt. Was für einen Switch hast Du und ist dieser überhaupt VLAN-fähig?

    Drucker und Test-Client im LAN oder WLAN?


    Fragen über Fragen... :winking_face:

  • MLG

    Hat das Label UDM entfernt.

    Mit Browserfenster meinst Du den Datei Explorer? Der zeigt dir nur Dinge aus deinem eigenen IP Subnet an. Broadcast und viele andere zur Geräteermittelung genutzte Techniken funktionieren nicht über die Grenzen von IP Subnetzen. Die werden nicht geroutet.


    Installiere den Drucker einfach. Wenn es kein 25Euro Heimdrucker ist, solltest Du im Setup eine IP angeben können.

    Auf Dateifreigaben kannst du mit \\IPdesPCs zugreifen.

    1. Auf den Clients in Netz A ist .1 als Gateway eingestellt, für die Clients des Netz B ebenfalls .1 des Netz B.

    2. Ich pinge nicht nur Windows-PCs mit Firewall an, sondern Drucker, ESXI, usw. ...

    3. Netz A und Netz B haben unterschiedliche VLAN IDs vom Cloud Gateway Ultra bekommen. Ich habe keine Möglichkeit gefunden, hier die gleiche zu vergeben. Will ich unter "Advanced" weiter unten die VLAN ID anders einstellen, sind alle möglich, nicht aber die des Netzwerks "Default" (Netz A).

    4. Internet geht auf allen Geräten.

    5. Nein, Netz nicht als Gast oder isoliert eingerichtet. Meine Schritte hatte ich ja in einem späteren Post beschrieben und hoffe diese sind soweit nachvollziehbar.

    Für 2 VLANs die gleiche ID zu nutzen, würde ja auch dazu führen, dass es eigentlich doch nur ein VLAN wäre, mit 2 unterschiedlichen IP Subnetzen. Von daher ist das eine ungültge Konfiguration und das Verhalten völlig korrekt. Eine VLAN ID kann nur einmal vergeben werden.


    Was hast Du denn jetzt für Switch(e)?


    Die ganzen Clients haben jetzt per DHCP eine IP aus dem entsprechenden VLAN erhalten (nach der Umstellung der IPs)? Und auch die statisch konfigurierten Geräte, die Du erwähntest, hast Du korrekt umkonfiguriert? Kannst Du die Geräte allesamt erreichen wenn Du im gleichen VLAN verbunden bist? Also wenn Du dich im Default Netz befindest -> alle Geräte die im Default Netz sein sollen erreichbar? Das gleiche mit dem neuen VLAN und dem alten IP Bereich?


    Den Router hast Du vermutlich schon mal neu gestartet? So IP Tauschereien können gerne mal nicht sauber ohne Neustart ablaufen. Da bleibt dann schon mal der falsche DHCP Scope auf dem falschen Interface aktiv usw. Wobei das bisher eher auf den Edge Routern passierte als auf den Unifi Gateways.

    Zitat von DoPe

    Für 2 VLANs die gleiche ID zu nutzen, würde ja auch dazu führen, dass es eigentlich doch nur ein VLAN wäre, mit 2 unterschiedlichen IP Subnetzen. Von daher ist das eine ungültge Konfiguration und das Verhalten völlig korrekt. Eine VLAN ID kann nur einmal vergeben werden.

    So hatte ich es vom Prinzip bisher auch stets verstanden. Daher hatte ich die Anmerkung diesbzgl. weiter oben nicht nachvollziehen können.


    Zitat von DoPe

    Was hast Du denn jetzt für Switch(e)?

    Ich hab das Cloud Gateway Ultra.


    Zitat von DoPe

    Die ganzen Clients haben jetzt per DHCP eine IP aus dem entsprechenden VLAN erhalten (nach der Umstellung der IPs)? Und auch die statisch konfigurierten Geräte, die Du erwähntest, hast Du korrekt umkonfiguriert? Kannst Du die Geräte allesamt erreichen wenn Du im gleichen VLAN verbunden bist?

    Ja, kann ich problemlos.


    Alles im neuen und alles im alten Netz ist jeweils problemlos erreichbar. Was einzig nicht funktioniert ist, dass beide Netze miteinander sprechen.


    Router hab ich natürlich auch mal neu gestartet.

    Das ist es leider nicht. Denn dort ist nichts merkwürdig eingestellt.


    Anbei Screenshots.


    Was habe ich gemacht?

    1. Netz "Default" ist ja das Standardnetz. Da hab ich nichts groß angelegt oder verändert, außer den IP-Bereich

    2. Netz "USV" angelegt. Das Cloud Gateway Ultra hat dem die VLAN ID 3 gegeben. Das Gerät in diesem Netz (eine USV) hat die IP 10.10.10.10 mit Subnetz 255.255.255.0.


    Nun wollte ich 'mal eben' von einem Client im Netz "Default" auf die USV im Netz "USV" zugreifen. Das ging nicht. Auch nicht, wenn ich am Switch wo die dran hängt (Pro 24x PoE) am Port VLAN ID 3 eingestellt hatte.


    Das Gerät bleibt unerreichbar. Am Gerät liegt es übrigens nicht. Testweise habe auch andere Geräte mal in das USV-Netz gehängt. Innerhalb des Netz USV waren die auch alle sichtbar und konnten untereinander problemlos kommunizieren. Eine Kommunikation zwischen den beiden Netzwerken "Default" und "USV" ist jedoch unmöglich.


    Bei den Firewall-Regeln habe ich auch nichts ergänzt. Ich hatte ja immer hier gelesen, man muss nichts einstellen und gehe von selbst. Lediglich wenn ich die Kommunikation unterbinden möchte, müsste ich das.

    Zitat von MLG

    Nun wollte ich 'mal eben' von einem Client im Netz "Default" auf die USV im Netz "USV" zugreifen. Das ging nicht. Auch nicht, wenn ich am Switch wo die dran hängt (Pro 24x PoE) am Port VLAN ID 3 eingestellt hatte.

    Der Satz ist verwirrend. Wenn die USV im USV netzt sein soll dann MUS der Port an dem die USV hängt auch im VLAN3 sein.

    Zitat von MLG

    Das Gerät bleibt unerreichbar. Am Gerät liegt es übrigens nicht. Testweise habe auch andere Geräte mal in das USV-Netz gehängt. Innerhalb des Netz USV waren die auch alle sichtbar und konnten untereinander problemlos kommunizieren.

    Wie sehen die die Ports aus wo dein "USV" Lan oder die USV selber dranhängt aus ?

    hast du die 10.10.10.10 selber der USV vergeben ? Gateway richtig (10.10.10.1 laut deinen Bildern).


    Aktuell "Klingt es" (reine Vermutung) das wenn IP und Gateway passen du den Port nicht richtig eingestellt hast.

    (wobei natürlich auch möglich ist das die USV kein zugriff aus Fremdnetzen mag.. was ist das für ne Kiste ?)

    Zitat von gierig

    Der Satz ist verwirrend. Wenn die USV im USV netzt sein soll dann MUS der Port an dem die USV hängt auch im VLAN3 sein.

    Das tut mir Leid. War nicht meine Absicht. Ich hatte zunächst die VLAN ID nicht umgestellt, dies aber auf Hinweis von anderer Stelle dann gemacht. Selbst dann ging es zu unserer Verwunderung nicht.


    Die USV hatte diese Adresse voreingestellt. Meine Vermutung war auch es liegt am Gerät. Allerdings hatte ich das gleiche Problem auch bei einem anderen Cloud Gateway Ultra mit einem Gigaset Access Point. Zweites Netz aufgemacht mit dessen IP-Bereich und auch dann ging nicht mal ein ping.


    Um den "Klang" zu verifizieren, werde ich das mit dem Port jetzt noch mal genau anschauen und nachstellen. Melde mich wieder.

    Die Vorgehensweise VLANs mit ihrem IP Bereich an irgendwelche voreingestellten IPs oder Fall Back IPs von irgendwelchen Geräten anzupassen, ist in der Regel auch nicht wirklich zielführend. Das VLAN mit dem IP Bereich erstellen, den man nutzen möchte. Wenn es beim Gerät Fallback IPs sind, dann diese neu starten und die sollten sich dann per DHCP eine entsprechende Adresse holen. Sind die IPs fest voreingestellt, dann sollte man die Geräte entsprechend anpassen inkl. Gateway und DNS oder diese ebenfalls per DHCP betreiben.

    Da gebe ich Dir vollkommen recht.


    Nur mache ich das ja nicht aus Spaß an der Freud, sondern u. a. weil einige Hersteller offenbar der Meinung sind Ihre Kunden haben zu viel Zeit oder wollen, analog zu einem Ü-Ei, noch etwas "Spiel, Spaß und Spannung".


    Anders ist es kaum zu erklären, weshalb man Geräte im Auslieferungszustand hardcoded mit 10.10.10.10 anstatt diese einfach per DHCP vorzukonfigurieren. Als hätte man Zeit! Und hat man diese Hürde gemeistert, kommt in der Regel noch die Einschränkung hinzu "Browser-Interface geht aber leider nur mit Windows".


    Übersetzt für den Kunden heißt das - will man nicht die bestehende Netzwerk-Verkabelung auseinanderreißen - man besorge sich ein Win-Notebook, hängt sich mit Crossoverkabel an die Kiste und konfiguriert diese erst mal so um, dass sie überhaupt ansprechbar ins Netz kommt. Bei einer USV noch machbar. Extrem nervig hingegen Gigaset Access Point mit PoE. Da steht man dann im Regen, weil das Teil ja von irgendwoher Strom braucht. :winking_face: Wollte da die Tage 'nur mal eben' zu Hause von einem Problemgerät die Seriennummer auslesen. Der Hersteller druckt diese - kundenfreundlich - sicherheitshalber nicht auf das Gerät. Stattdessen muss man das Gerät in Betrieb nehmen und sich einloggen. Blöd nur, wenn es mit statischer IP in einem anderen Netz hing. Entsprechend war mein Glaube, ich mache einfach ein zweites Netz am Cloud Gateway auf, packe als Gateway-Adresse die mir bekannte vom Netz wo ich das Teil abgebaut hatte und dann komme ich da drauf. Ging natürlich nicht. Nicht mal ein Ping war möglich. Drei Stunden hatte ich es damals versucht und dann entnervt aufgegeben.

    Zitat von MLG

    packe als Gateway-Adresse die mir bekannte vom Netz wo ich das Teil abgebaut hatte und dann komme ich da drauf. Ging natürlich nicht. Nicht mal ein Ping war möglich. Drei Stunden hatte ich es damals versucht und dann entnervt aufgegeben.

    Hehe...das geht default mäßig nur wenn dein Client im Gleichen netz ist...

    weil...das hier auf NEIN steht...



    Was durchaus auch andere Hersteller machen wegen der "Sicherheit".. manchmal ohne es einstellen zu können...