Völlig getrenntes VLAN im Netzwerk

Hallo, ich habe da eine Projekterweiterung und bräuchte Hilfe

Zustand:

1 UG steht der Serverschrank,
mit der Hardware von oben nach unten,
DSL-Modem Vigor130
USG 4 Pro
24Port POE-Switch => vernunden über LWL auf Speicher 8Port POE Switch 150W
Controler auf Raspi
NAS
NVR
Server
USV

2x Wohnetage dazwischen mit mehreren Kameras und APs Kabel von diesen gehen in die 1.UG oder den Speicher je nach dem was kürzer ist.

Speicher ein Netzwerkverteiler
8Port POE Switch 150W => verbunden über LWL auf 1.UG 24Port POE-Switch

Grund für die Erweiterung:

Aus bis jetzt ungeklärten Gründen nimmt seid 2 Jahren der Durchsatz von meinem DSL stetig ab.

Anfangs analoges Telefon und DSL16000 und dann Umstellung auf IP und DSL6000RAM war noch nicht wenig genug.
Das FTTH sollte im Sommer 2021 kommen nun offiziel im Sommer 2023 aber die Baufirma sagt wird mindestens2024.

Meine Lösung:

LTE aufs Dach

Nun zu der Erweiterung:

Ist es möglich ein Völlig isoliertes VLAN das ich nur am Port 6 von dem Switch auf dem Speicher zum Port 6 an dem Switch im 1 UG Einstelle

um darüber das LTE-Modem mit dem WAN2 zu verbinden denn ich möchte ungerne ein Kabel durch 4 Etagen ziehen.

Zum Hinweis normales Unternehmens LAN mit Vlan scheidet aus da sich die IP vom Modem nicht umstellen lässt und ich damit den USG nicht DHCP spielen lassen kann.
da weiß ich wie man die Zugriffe in den Firewall-Regeln verbietet und da habe ich auch einige Anleitungen gefunden.

Nur finde ich keine Beschreibung, Anleitung oder Möglichkeit wie man eine Regel für ein reines VLAN erstellt.

Vielleicht habe ich auch nur einen Denkfehler, überall nur Bäume und ich seh keinen Wald.

Hallo,

ich danke euch beiden für den Tip

anton

Die Suche habe ich benutzt aber alles nur was mit VLAN zu tun hat

gierig
Genau so habe ich das gemacht und auch so vorgestellt.

Nur was mich in den Wahnsinn treibt ist das ich mit meinem Rechner per IP-Scan und per Ping zum Modem durch komme.
aber was mir gerade einfällt, das ist ja mein Adminrechner mit dem ich ja auch auf das default LAN komme,
ich probiere das gleiche mal mit dem Rechner von meiner Tochter.

Hi, habe gerade mal Bilder von den Einstellungen gemacht und 1 Punkt ist mir da aufgefallen,
und zwar bei Switchports muss ich da die Port-Isolation aktivieren

Das Netzwerk

Netzwerkeinstellungen

Switch 1.UG

Switch Speicher

die Einstellungen Switchports

Zitat von gierig

kein Link Oben und unten da steckt also nichts drauf oder mag dich nicht,

ist das grad ist Absicht ?

Ja das ist Absicht und Richtig da steckt im Moment nichts drauf,

denn ich mag es nicht das eventuell halbfertige Sachen im Netzwerk sind und am LTE-Modem ist ja auch noch keine Firewall.

Deshalb ziehe ich dann immer die Kabel ab ist dann eine Hardwareisolation

Hallo zusammen,

ich wolte noch mal eine Rückmeldung geben.
Nach jetzt ca. 48h ohne das ich was daran verändert habe ist der VLAN nun dicht!

Ich komme weder mit IP-Scanner oder Ping rein oder raus , so wie ich es mir vorgestellt habe.
Nur frage ich mich jetzt warum, die Switche haben sofort nach der Porteingabe und speichern provisioniert,

es kann doch nicht sein das die so lange brauchen bis die das dann umsetzen.

Edit:
die Verbindung vom Port6 Switch Keller zu USG WAN2 war noch nicht gemacht,
da war ein PC dran zum Testen

Guten Abend,
noch eine Frage zum Verständniss.
Wenn ich jetzt die Verbindung vom Port6 Switch Keller zum USG WAN2 mache ist mein LTE Router wieder über seine IP erreichbar.
Das hat nach einem Verständnis auch seine Richtigkeit,

da ja jetzt der USG als Router zwichen meinem Internen Netz

und dem externen Netz des LTE-Router hängt.

Zitat von razor

Du könntest uns ja mal das Ergebnis eines traceroutes

stimmt, ich danke dir ist mir gar nicht eingefallen, dass es ja noch Bordmittel gibt.

Hallo razor ,

danke für die Antwort und ja deine Annahmen sind alle richtig, sogar die Subnetzmaske vom 10.10.10.0/24

Da ich einige Test gemacht habe ob mein Vlan ohne Verbindung zum Wan2 zu erreichen ist und dies nicht möglich ist,

denke ich mir mal das mein Internes Nezt jetzt über den USG ausreichend geschützt ist.

(meine Bedenken waren das mein internes Netz nach außen über den LTE offen sein könnte).

Aber wie es so oft kommt ergaben sich durch den Zugewinn an Hoher Internetgeschwindigkeit ein neues Problem.

Aber ich habe durch suchen eine Lösungen gefunden und vielleicht kann es jemand brauchen.
(über Einwände und Verbesserungen bin ich dankbar)

Aktueller Aufbau:

WAN1 DSL Telekom RAM6000 // Vigor130 PPPOE Einwahl vom USG // pppoe0

WAN2 LTE O2 50/10 als Modem die IP fest vergeben im USG ebenfals // 192.168.199.2

USG ist auf Load-Balance eingestellt WAN1 10/90 WAN2

Natürlich ging das Telefon nicht mehr aber erst 2 Tage später nach dem neuen Zugang, denn das Telefon muss zum WAN1, da die Rufnummer zur Telekom gehört.

Also habe ich das Telefon in ein eigenes VLAN gepackt (10.10.90.0/24), um eine statische Route zum WAN1 einzurichten. Das funktioniert bei dem USG 4 Pro über die GUI nicht, aber über die config.gateway.json geht's!

{
    "interfaces": {
        "pseudo-ethernet": {
            "peth2": {
                "address": ["192.168.1.2/30"],
                "description": "Zugriff auf Vigor 130",
                "link": ["eth2"]
            }
        }
    },
    "service": {
        "nat": {
            "rule": {
                "5000": {
                    "destination": {
                        "address": ["192.168.1.1"]
                    },
                    "outbound-interface": ["peth2"],
                    "type": "masquerade"
                }
            }
        }
    },
    "firewall": {
        "modify": {
            "LOAD_BALANCE": {
                "rule": {
                    "2999": {
                        "action": "modify",
                        "modify": {
                            "table": "2"
                        },
                        "source": {
                            "address": "10.10.90.0/24"
                        }
                    }
                }
            }
        }
    },
    "protocols": {
        "static": {
            "table": {
                "2": {
                    "interface-route": {
                        "0.0.0.0/0": {
                            "next-hop-interface": "pppoe0"
                        }
                    }
                }
            }
        }
    }
}

Achtung: das Config-File trifft auf meinen Aufbau zu und muss für andere Konfigurationen abgeändert werden

Die Formatierung sollte unbedingt VOR dem Upload ins USG (Provisioning) geprüft werden,

zum Beispiel hier: JSON Formatter & Validator.

Wenn alles OK ist, dann kann das Config-File an der entsprechenden Stelle im Controller abgespeichert und das USG darauf folgend provisioniert werden.