Drucker aus einem VLAN erreichen und umgekehrt der Scanner den PC

Es gibt 42 Antworten in diesem Thema, welches 16.399 mal aufgerufen wurde. Der letzte Beitrag () ist von Naichbindas.

    Hallo


    Habe da mal eine Frage. Ich habe ein VLAN Netzwerk für meine PC´s und eines für meine Drucker.

    Ich wollte das gerne so haben das ich den Drucker aus meinem Computernetzwerk (Vlan1) auf meinen Drucker (Vlan2) zugreifen und drucken.

    Dazu habe ich die Firewall entsprechend eingerichtet.




    umgekehrt soll wenn ich was scanne es auf dem PC gespeichert werden.




    Leider geht da garnix mehr, es hatte mal funktioniert tut es aber nicht mehr.

    Habe ich da vlt irgendwo einen Denkfehler ?

    Danke.


    Mfg

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Welche Firewall-Regeln gibt es denn noch?


    Evtl. könnte es ein Problem der Reihenfolge sein.


    Du hast auch nichts bei Zustand eingetragen. Zum Drucker hin muss NEU und zurück muss Hergestellt und Zugehörig.

    30 Sites - 500 APs - 150 Switche - EdgeRouter - UXG-Pro - UDM-Pro - USG-PRO-4 - OPNsense - IPUs

    usr-adm Danke für deine Hilfe.

    Ich habe die hier aktiv wie sie hier beschhrieben sind.


    UniFi Allgemein | Firewall-Regeln by EJ


    Und meine die ich oben hier im Post gezeigt habe.

    Diese habe ich auch hoch geschoben vor der verwerfen Regel.

    mfg


    PS. Der Drucker ist aber per Weboberfläche zu erreichen, das ist das einzigste was geht,

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Einmal editiert, zuletzt von Naichbindas ()

    Hallo



    Wollte dieses Thema nochmal aus der Versenkung holen weil ich da noch nicht weiter gekommen bin.

    Wie oder was muss ich in der Firewall einstellen das die PC´s aus den VLAN 2 auf die Drucker im VLAN 3 zugreifen können.

    Umgekehrt soll der ein Drucker der einen Scanner hatt, auf einen PC zugreifen können.

    Ich muss jedesmal den PC in das Druckerr Netzwerk bringen damit der Drucker überhaupt anspringt und was aus spucckt.


    mfg

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Hallo Naichbindas,


    ich habe mal eine blöde Frage: Warum möchtest du deine(n) Drucker überhaupt in ein anderes VLAN wie die PC's verbannen? Ich sehe hier irgendwie mehr Arbeit wie Nutzen. Sind die Drucker so alt und von außen (Internet) erreichbar, dass diese hier eine Gefahrenquelle darstellen und separiert werden müssen???


    Ich finde die Segmentierung der VLANs aus Sicherheitsgründen eine gute Sache. Aber man kann es damit auch übertreiben und sich damit künstlich Probleme schaffen, indem man hier mittlerweile ein VLAN nachdem anderen aufmacht und sich so eine Gefahrenquelle schafft, dass Probleme entstehen. Vielleicht noch einmal darüber nachdenken, dass mit dem VLAN beim Drucker/Scanner einfach zu lassen. :winking_face:


    Schließlich schreibst du die Firewall-Regeln so, dass die PC's die Drucker und die Drucker die PC's erreichen können. Was macht dann das VLAN für einen Sinn??? Hast du Angst, dass die Shellys, oder andere IoT Geräte plötzlich anfangen zu drucken :grinning_squinting_face: ???

    Zitat von Ronny1978

    Hallo Naichbindas,


    ich habe mal eine blöde Frage: Warum möchtest du deine(n) Drucker überhaupt in ein anderes VLAN wie die PC's verbannen? Ich sehe hier irgendwie mehr Arbeit wie Nutzen.

    Das wäre auch meine Frage gewesen.


    Da hilft nur die Recherche beim Hersteller, welche Ports das Gerät zum Drucken und Scannen nutzt um diese in der Firewall zu öffnen.

    Alternativ den vollständigen Zugriff auf die IP des Druckers/Scanner von/zu dem anderen VLAN öffnen.

    Hallo


    Ja die Drucker könnten auch aus dem Internet erreichht werden. Nennt man auch Webprint.

    Ein Gerät ist auch tat ein Faxgerät ein Multiffunktionsgerät.

    Da wir auch mehrere Drucker hier im Haus haben, sah ich in einer Netzwerksegmentierung mehr Sinn drinn.

    Mein nächster Schritt ist dann auch das niccht jeder Drucker von jedem PC aus genutzt werden soll. Aber erstmal will ich es ja hinbekommen das ich überhaupt die Verbindung von VLAN zu VLAN hinbekomme.

    Komnischer Weise habe ichh das hinbekomen das ein PC auf einen LinuxRecceiver zugriff hatt der auch in einem anderen VLAN ist. Aber das mit dem Drucker will einfach nicht klappen.


    mffg

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Zitat von Naichbindas

    Mein nächster Schritt ist dann auch das niccht jeder Drucker von jedem PC aus genutzt werden soll. Aber erstmal will ich es ja hinbekommen das ich überhaupt die Verbindung von VLAN zu VLAN hinbekomme.

    Dann wird dir nichts übrigbleiben, als für jeden Drucker / PC Aliase anzulegen, ggf. beim Hersteller nachzufragen, welche Ports die benötigen und dann baust du dir damit Firewall-Regeln.

    Ich hoffe nur, du hast deinen Druckern und PC's statische IP-Adressen gegeben.


    Anfangen würde ich mal damit, erst mal für einen Drucker / PC die Kommunikation komplett frei zu schalten um zu testen ob das geht.


    Evtl. mußt du mDNS in der UDM aktivieren, könnte notwendig sein, weil deine FW-Regeln oben sehen erst mal richtig aus.

    bic Ein Linux Receiver ist eine Dreambox oder eine VU+ falls dir das was sagt.



    @Tuxtom007 Die PC´s sind ihrem Netzwerrk mit statischen IPs versorgt, die Drucker auch.

    Mit Alias meinst du einen eindeutigen Nammen vergeben, wie "Privat-PC" oder "Drucker-Buero" ?


    Ja das habe ich in den Geräten soweit es möglich ist auch so vergeben, und sie identifizieren sich auch so im Netzwerk.

    Das mit dem einen Drucker frei zu geben habe ich in ähnlicher Form mit meinen Linuxreceiver gemacht und das geht problemlos.

    Ein Pc kann auf dem Receiver zugreifen um dort in einen Temp Ordner IPK Dateien zum installieren hoch zuladen oder Filme von der Festplatte zu entnehmen. Genauso habe ich einen PC der auf meine Synology zugreifen darf um dort Filme hoch zu laden.


    Synology und Linuxreceiver sind auch in einem anderen VLan. Das geht auch alles ohne Ports frei zu geben.

    Ports brauche ich doch nur um vom aussen zu zugreifen oderr nicht, mag mich aber auch irren.

    Leider geht das mit dem Drucker nicht. Solange der PC oder auch das Handy, das per WLan verbunden ist nicht im selben VLan sind wie die Drucker, geht das nicht. Kann das sein das die Drucker vlt. an einem anderen Switch hängen? Die habe ich am meinem Netgear drann der die gleichen VLans hatt wie mein Unifi und der Netgear hängt an der UDM Pro.

    Das MDNS kan ich mir mal anschauen und mal reinlesen ob ich da was machen kann, aber wo finde ich das?

    Unter Dienste und Netzwerk und Firewall habe ich alles andere gefunden aber das gerade nicht.

    Mfg

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Ich wiederhole mich sowie viele andere hier im Forum: Wenn man VLAN's aufbauen will, empfiehlt es sich in einem "Universum" zu bleiben. Unifi/Netgear, was auch immer. Eine Mischung für oft zu Fehlern, wie bei dir hier offensichtlich. Wenn eine Synology in einem anderen VLAN steckt und ein PC die einfach so erreichen kann, , der eigentlich nicht explizit dafür vorgesehen ist, stimmen die Firewallregeln nicht, oder der Netgear tut nicht das, was er soll.


    Dann fängt du ja zum Schluss an, mehrere VLAN's für die Drucker aufzubauen, sodass nicht jeder PC, jeden Drucker sieht, na dann viel Spaß beim Schreiben der Firewallregeln. :winking_face:

    Ronny1978 Der Netgear soll ja dieses Jahr auch noch durch Unifi ersetzt werden. Kein Problem und ich verstehe das auch was du damit meinst.

    Hier durch das Forum habe ich ja auch erst mit den VLans angefangen, auch weil Unifi das kann und normale Router wie die Fritte halt nicht.

    Daher habe ich halt das Lan für die Unifi Geräte, ein LAN für die PC´s, eines Für meine TV Linuxreceiver und Synology, eines für meine Drucker, eines für IOT - FireTV, Playstation, Xbox und CO und eines für meine Wlan Geräte (Handy und Tablet) und eines für Gäste Wlan.

    Schlägst du mir also doch lieber vor ich soll ein VLAN nehmen und dort alles rein tun wie früher ? So das sich alle Geräte so finden und kommunizierren können? Ich dachte immer IOT Geräte und Smart TV´s sowie Spielekonsolen und so weiter soll man weil sie zu neugierig sind in ein eigenes Netzwerk tun. Und Unifi ist doch nunmal in der Lage mehrere Netzwerke zu hosten, das man sich da richtig drann aus toben kann.

    Genauso solte manaauch Gäste WLan durch ein eigenes VLan aus schliessen, diese und andere Infos habe ich auch hier aus dem Forum.


    Und nein, ein Pc kann bei mir nicht einfach so auf die Synology zugreifen, sondern das habe ich so eingestellt. Die Firewall tut genau das was sie soll, das sagte ich ja auch so. Was ich meine, wenn ich eine solche Regel mit Anleitung aus Youtube Videos und Hilfe hier im Forum erstellen kann und die richtig funktioniert, wieso klappt das dann mit dem Drucker nicht. Das kann ich doch auf dem selben Weg regeln, wie ich das mit der Synology hinbekommen habe. Haabe sogar eine Firewall regel mal Prrobehalber eingestellt das Drucker Netzwerk mit PC Netzwerk, reden dürfen und umgekehrt. Auch das brachte keinen Erfolg. Gehe ich aberr mit dem PC in das Druckernetzwerk rein, dann geht es und das ist ja nicht das Ziel.

    Verstehst du was ich meine, Wenn ein PC nach meiner Einrichtung gewollt mit einem Gerät im anderen VLAN reden kann und darf, dann sollte doch die gleiche Regel das gleiche bewirken, natürlich mit den richtigen ausgewählten Netzwerk.


    mfg

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Zitat von Naichbindas

    @Tuxtom007 Die PC´s sind ihrem Netzwerrk mit statischen IPs versorgt, die Drucker auch.

    Mit Alias meinst du einen eindeutigen Nammen vergeben, wie "Privat-PC" oder "Drucker-Buero" ?

    Mit Alias meinte ich, das man in Unifi ein Gruppe anlegen kann von Geräten mit deren IP-Adressen und / oder Ports und man diese dann recht einfach in den Firewallregeln nutzt um nicht jedes Mal alle IPs oder Ports eintragen zu müssen.

    Macht es auch einfacher, die später zu erweitern oder zu ändern.


    Da ich keine UDMPro mehr nutze, kann ich nicht sagen, ob das dort Aliases hiess oder anders.


    Daher kann ich dir gerade auch nicht sagen, wo man mDNS findet, irgentwo unter den Services.

    Zitat von Naichbindas

    @Tuxtom007 Ja das mit den Gruppen habe ich auch schon versucht. In diese Gruppe kommen alle IP Adressen einmal rein, die dann als ganzes als Gruppe dann freigegeben werden stimmts.

    Ja, alle in der Gruppe werden dann freigegeben.


    Mal davon abgesehen, das eine Firewall nicht dafür geeignet ist, Zugriffe auf Drucker usw. zu limitieren, halte ich das was du vor hast für Arbeits-Beschaffungsmassnahmen.

    @Tuxtom007 Und hast du diese Regeln ausschliesslich nur in LAN IN eingerichtet oder in LAN LOKAl ?

    Denn es heisst ja "Lokal ist der direkte Datenverkehr von einem Netzwerk zu einem anderen Netzwerk." dann muss ich da es dann einrichten oder ?

    mfg

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Zitat von Naichbindas

    bic Ein Linux Receiver ist eine Dreambox oder eine VU+ falls dir das was sagt.

    Ahhhh - warum nicht gleich so!


    An sonst muss ich den Kollegen hier Recht geben, was Du vor hast, ist z.T. -ich sag mal vorsichtig- unsinnig. Außerdem versuchst Du Dich an Dingen, zu deren einwandfreien Umsetzung schon gehobene Kenntnisse bzgl. der Netzwerktechnik haben sollte. Dies scheint bei Dir jedoch augenscheinlich nicht so ganz der Fall zu sein :frowning_face:


    Sieh es doch einmal so:

    Ein Vlan ist auch nichts anderes als ein local area network, daher ein LAN, dessen Mitglieder den selben Adressbereich (Broadcastdomain) nutzen. Der Unterschied zwischen einem Vlan und einem "normalen" LAN besteht lediglich darin, dass ein LAN auch ein physikalisches Netz benötigt (Kabel, Switche, Router, etc.), mit Vlans man jedoch auf genau diesem einem physikalisches Netz mehrere virtuelle Netze nutzen kann, daher halt "Vlan" für virtuelles LAN.

    Grundsätzlich bleibt es jedoch dabei, dass sich Mitglieder einer Broadcastdomain per se nicht mit denen einer anderen Broadcastdomain verbinden können, egal, ob es sich dabei um LANs oder Vlans handelt. Ist dies jedoch gewünscht, muss zwischen den Domains geroutet werden, was dann zuerst einmal völlig transparent erfolgt, daher jedes Mitglied der einen Domain kann eine Verbindung zu jeden Mitglied der anderen Domain herstellen (ein schönes Beispiel ist die Verbindung zweier unterschiedlicher Netze mittel site2site VPN).

    Da man damit jedoch den Sinn von Vlans ad absurdum führt (schließlich könnte dann gleich alle Clients/Hosts in einem gemeinsamen Netz beheimatet sein), muss man das Routing einschränken/filtern, was man dann i.d.R. einem dazu fähigem Router oder gleich einer feiner garnulierbaren Firewall überlässt.

    Ganz genau überlegen muss man sich, bzw. wissen sollte man dabei jedoch, welcher Datenverkehr in welcher Richtung nun genau erforderlich ist und gestattet werden soll (das Internet einbegriffen), damit man die enstprechenden Filter/Regeln konfigurieren kann, was im Zweifel mit einer steilen Lernkurve verbunden ist, bzw. solide Netzwerkkentnisse erfordert.

    Da ich letztere bei Dir nicht vermute, kann ich nur empfehlen, die ersten Vlan-Gehversuche nicht mit 10 Vlans (so viele meine ich zählen zu können) sondern mit zwei, maximal drei zu unternehmen - Du verrennst Dich an sonst (wie oben schon zu sehen).

    Übrigens ist zwecks Nutzung von Vlans keinesfalls Unifi-Technik erforderlich (die macht es nur endanwenderfreundlich, dafür aber intransparent), sonder jedes Teil, was als IEEE802.1Q- unterstütz, ist hier geeignet, u.a. auch div. Fritzboxen :smiling_face:


    Ach - und nicht vergessen, es gibt portbasiertes:



    und attributebasiertes Vlan:


    Zitat von Naichbindas

    @Tuxtom007 Und hast du diese Regeln ausschliesslich nur in LAN IN eingerichtet oder in LAN LOKAl ?

    Denn es heisst ja "Lokal ist der direkte Datenverkehr von einem Netzwerk zu einem anderen Netzwerk." dann muss ich da es dann einrichten oder ?

    mfg

    Nein LAN Lokal betrifft nur den Traffic zwischen dem Netzwerk und der UDM/USG


    bic Ok ich habe dann attributebasiertes Vlan. da ich ja zwei switche benutze.

    Egal dann werde ich ebend alles anders machen,

    Ich denke das ich das LAN für Unifi lasse, ein VLan für mein Netzwerk für PC und Drucker und das alles, weiterhin ein VLAN für IOT Geräte und eines für Gäste Wlan also das Unifi Lan plus 3 Vlan´s. das sollte dann reichen.


    @KJL aalles klar danke

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Zitat von Naichbindas

    Egal dann werde ich ebend alles anders machen,

    Ich denke das ich das LAN für Unifi lasse, ein VLan für mein Netzwerk für PC und Drucker und das alles, weiterhin ein VLAN für IOT Geräte und eines für Gäste Wlan also das Unifi Lan plus 3 Vlan´s. das sollte dann reichen.

    Sorry, ich wollte Dir nicht zu nahe treten, aber Erfahrungen sollte man von unten sammeln und nicht von der oben :smiling_face: Ich mache seit Zeiten von 10BASE2 über RG58 mit der Netzwerkerei als interessierter Laie rum und stelle immer wieder fest, wie dämmlich ich diesbzgl. da noch immer bin.


    Zitat von Naichbindas

    bic Ok ich habe dann attributebasiertes Vlan. da ich ja zwei switche benutze.

    Dann musst du nur zuschauen, dass Du Deinen Netgear-Switch ordentlich und passend konfiguriert bekommst. Die haben zwar i.d.R. eine übersichtliche, klar strukturierte WEB-GUI, aber denke bitte daran, dass die verwendeten Begriffe nicht immer identisch mit der Unifi-Welt sind. Aber Du wirst das schon hinkriegen :smiling_face: Und nimm den Netgear als hinteren, daher ab Internnet gesehen als zweiten Switch. Dann kannst Du von vorn alles mit Unifi konfigurieren (Regeln/Filter, etc.) und brauchst am Netgaer nur einen Port als eingehend für den Trunk mit allen Vlans und dann die Ports für die einzelnen Clients mit dem jeweiligen Vlans Deiner Wahl einrichten. Eigentlich müsste dann Unifi auch durch den Netgaer durch auf die dahinter hängenden Clients zugreifen können.