Netztwerk auftrennen in mehrere IP Kreise und per VLAN abtrennen

Es gibt 13 Antworten in diesem Thema, welches 4.995 mal aufgerufen wurde. Der letzte Beitrag () ist von razor.

    Moin meine Lieben,


    erstmal bin ich froh hier ein deutschsprachiges Forum gefunden zu haben, auch wenn ich bilingual bin zipft mich das UI Forum an!


    ich habe ein Gebäude in welchem das Netzwerk eben über die Zeit gewachsen ist, über 1200m² verteilt sich die Infrastruktur, es kommt wegen der Gebäudeautomatisierung immer mehr an Netzwerklast zusammen und ich habe nun auch die Hardware upgegradet.


    ich habe noch air cams der Gen 1 laufen (gut 20 stück) und einen alten 2TB NVR - dank der EOL politik und der Mangelnden Abwärtskompatiblität muss ich den auch am Leben erhalten,.. einer ist mir schon gestorben (Festplatte kaputt) ich bin also schon sehr lange mit ubnt vertraut.


    derzeit sind

    • ein UDM-Pro (Dream Machine - wobei Nightmare Machine wohl besser passen würde)
    • ein USW 16 POE+
    • ein USW 24 POE+
    • kleinere ubnt switches (tough switch zB)
    • diverse TP Link switches
    • diverse Netgear Switches, manche managable manche nicht
    • diverse APs (von bis - also auch einer der nun EOL ist und auch brand neue)

    dann habe ich noch


    • 6 windows Server
    • ein paar RasPis
    • diverse Automatisierungsserver Loxone, Loxberry, und ca 10 Siemens Logos
    • und tonnenweise ESP32 und IoT devices im WLAN hängen (was mich generell nicht sehr zufrieden stimmt, jedoch ist man hier nahezu alternativlos im IoT Bereich etwas Kabelgebundenes für vertretbares Geld zu finden ist nicht Möglich)
    • ca 20 Workstations und thin clients



    zu meinem Vorhaben,


    Mir gehen langsam die IPs aus bzw ist es mittlerweile nicht mehr Möglich irgendwie strukturiert IPs zu verteilen, vor dem Hardware upgrade ging das so weit, dass der Netzwerk traffic zwischen diversen switchen schon so hoch wurde dass es zum packet loss gekommen ist.


    meine EDV Betreuung ist nicht mit UBNT vertraut und will mir ständig cisco einreden und 90% der Hardware sind sowieso privat


    nun habe ich mich vor Wochen oder Monaten schon hingesetzt und habe ein excel file mit allen Geräten angelegt und habe mir eine übersichtliche IP Kreis Verteilung überlegt


    zB


    xxx.xxx.0.xx für Netzwerk Infrastruktur

    xxx.xxx.1.xx für Gebäudeteil 1 (Firma)

    xxx.xxx.2.xx für Gebäudeteil 2

    xxx.xxx.3.xx für Gebäudeteil 3

    xxx.xxx.4.xx für Gebäudeteil 4

    xxx.xxx.20.xx für IoT

    xxx.xxx.30.xx für Videoüberwachung

    xxx.xxx.40.xx für Voip (soll noch kommen)


    nun habe ich mich gestern 10 Stunden mit dem Anlegen von Netzwerken in der ubnt UI rumgeärgert, habe mir tonnenweise Videos angeschaut aber anscheinend verstehe ich das Thema VLANs nicht ganz oder es gibt sonst irgend ein Verständnisproblem meinerseits.


    wenn ich nun ein neues Netzwerk anlege zb IP Kreis 2 und einem Rechner im Netzwerk eine IP aus diesem Kreis gebe kann der weder seinen Gateway noch sonst etwas im Netzwerk erreichen, wenn das port profile auf "all" steht, und an dem Port noch ein dummer Netgear Switch hängt. Auch geht es nicht wenn ich diesen Rechner direkt an den Port anschließe und das port profile "all" verwende.

    Stecke ich diesen Rechner alleine an einen Port und weise port profile 2 zu dann geht es.


    bedeutet das nun, dass ich pro Port am UDM-Pro nur einen IP Kreis anhängen kann?

    was wenn ich vom UDM nun mit einem Uplink zu einem anderen Switch im Gebäude gehe?

    Was weiter gleich bedeuten würde dass "all" nicht gleich all ist?


    womit ich dann faktisch an ubnt switches in jeder Unterverteilung gebunden bin die mehr als einen IP Kreis beinhaltet?


    ich will später auch zugriffe Zwischen den Netzwerken reglementieren sodass IP Kreis x nicht auf IP Kreis y zugreifen kann außer ich trage eine einzelne IP ein die das darf.

    Dafür, sofern ich das richtig verstanden habe, sind die VLANs ja gedacht.


    ich habe zB an meinem Schreibtisch mehrere Rechner stehen uA auch den Rechner an dem der Kameramonitor hängt, bei meinem Schreibtisch habe ich einen "dummen" kleinen Netgearswitch - den Kamerarechner bekomme ich somit nicht in einen anderen IP Kreis als die restlichen Rechner ohne mir einen manageable switch am besten von ubnt auf den Schreibtisch stelle, oder ein extra LAN Kabel bis zum UDM-Pro oder einem USW zu ziehen?


    womit ich bei dem nächsten gedanklichen Problem stehe, wie funktioniert das dann per WLAN? kann ein AP mehrere Netzwerke abdecken mit der selben SSID?


    viele Fragen :loudly_crying_face:


    ich wünsche euch ein sonniges Wochenende :smiling_face:

    Also so gemischte Hardware bei den Switchen macht gern mal Probleme, vorallem wenn ein teil nicht managebar ist. Deswegen würd ich da diese austauschen. Je nach größe der benötigten switches geht das auch recht günstig.


    Ja, ein AP kann mehrere Netze ausstrahlen, eine SSID wird aber einem Vlan zugeordnet.


    Am Schreibtisch kannst du dir ja auch, wenn du mit 4 Ports auskommst, nen flex mini für rund 35 Euro hinstellen.


    Ja, die Zugriffe unter vlans kannst du einschränken/zulassen, ganz nach belieben. Macht man in der Firewall mit LAN regeln

    Ansonsten mal in das Wiki schauen:


    Unifi Allgemein | Firewalling 2.0 by defcon - ubiquiti - Deutsches Fan Forum

    Danke 1

    danke für die schnelle Antwort - mein größtes Problem mit Ubnt ist dass das Zeug nicht Lieferbar ist - ich warte nun schon seit einem Jahr auf nen 5er Pack AP lite auf den USW 16 habe ich 9 Monate gewartet

    habe zwischenzeitlich schon gebrauchte APs gekauft (deswegen der AP Pro der EOL ist) weil der verkäufer keine Auskunft über das Baujahr machen konnte


    an der Bereitschaft auch mal 500€ für nen neuen Switch auszugeben scheitert es nicht, jedoch an der Verfügbarkeit.

    von den kleinen Switches halte ich irgendwie nichts, wenn würde ich mir noch nen USW16 unter den Tisch nageln, jedoch wieder das selbe Thema.... nicht lieferbar.

    Reichelt hat scheinbar jetzt wieder eine Lieferung bekommen, bin am Überlegen ob ich nicht zuschlage auch weil mein gesamtes Netzwerk steht wenn mal ein Switch eingeht - da kann ich dann schlecht 9 Monate warten.


    bedeutet das nun dass ich recht hatte dass "all" eigentlich nicht funktioniert?

    wenn ich nun das port profile von dem Port an welchen nur der eine Rechner von "2" auf "all" stelle geht wieder nichts...


    ich habe gestern sogar einen factory reset an allen Geräten gemacht weil ich dachte dass in der config eventuell etwas nicht stimmt -

    früher hatte ich auf nem Server die UI laufen, und habe die soweit ich mich erinnern kann auf das UDM pro migriert - dachte daher kam eventuell der Fehler!... ihr könnt euch vorstellen was das für ein Aufwand war...


    Zitat von hYtas

    Ansonsten mal in das Wiki schauen:


    Unifi Allgemein | Firewalling 2.0 by defcon

    auch dich ein großes Danke für die schnelle Antwort - sehr schönes tutorial und defcon scheint ein rotary fan zu sein, das ist gleich nochmal sympathischer!


    ich muss mich auch mal durch die community arbeiten, hier scheint es sehr viel Information zu geben :smiling_face:


    danke Jungs! schönes Wochenende!

    Hey,


    AP müssen auf „All“ stehen

    die richtig Einstellungen machst du über die WLAN Einstellung hier sagst du ihm ja bei der SSID auf welches Netz er zugreifen soll.

    Zitat von anton

    Ja, ein AP kann mehrere Netze ausstrahlen, eine SSID wird aber einem Vlan zugeordnet.


    Wichtig ist das Unifi Netz (Managementnetzwerk) muss im Bereich 192.168.x.x sein.

    der Standard IP Bereich ist 192.168.1.0

    Bei VPN Verbindungen variiert das natürlich.


    Alle Unifi zu Unifi Geräte sollten „All“ eingestellt haben.

    Fremd Switch oder andere Geräte

    musst du an diesen Port Ausgang konfigurieren

    hier kommt dann natürlich nur noch diese IP- Adresse selbst wenn du dahinter ein Unifi Switch wieder dran hängst dieser kann. Dann nicht wieder neue IP Adressen vergeben.


    Außer er ist ein Layer 3 Switch


    Dann musst du auf der Strecke dein Managementnetzwerk auf den Port schalten.

    Somit kannst du dann im Layer 3 Switch neue IP-Adressen vergeben.


    Würde man der Sauberkeit aber nicht machen



    Wegen der Verfügbarkeit ist das bei Unifi so ein Ding.

    Gerade wenn Grendelbox umbaut😉


    Die Leute kaufen eben wie bekloppt.


    :thumbs_up:

    Zitat von Gerleg

    Alle Unifi zu Unifi Geräte sollten „All“ eingestellt haben.

    Fremd Switch oder andere Geräte

    musst du an diesen Port Ausgang konfigurieren


    hier kommt dann natürlich nur noch diese IP- Adresse selbst wenn du dahinter ein Unifi Switch wieder dran hängst dieser kann. Dann nicht wieder neue IP Adressen vergeben.

    ok, ich glaube ich kann dir folgen, IP Adressen werden bei mir bis auf ganz wenige Ausnahmen sowieso von MIR vergeben und von sonst niemandem!

    DHCP ist nur für unsere privaten Handys und Laptops an, und um neuen Geräten mal eben schnell ne IP geben zu können bevor sie in die Excel Liste aufgenommen werden.


    Seit nem Ransomware-Angriff vor ein paar Jahren haben Angestellte sowieso keine Rechte mehr (EDV Rechte mein ich natürlich :smiling_face_with_horns: )- Alle Clients arbeiten über RDS und Laptops greifen ausschließlich von Außen über RDP auf das Netz zu.

    USB-Sticks sind verboten, und wir haben ne ziemlich aufwändige Backup Strategie.


    Was sich mir noch immer nicht erschließt ist, wenn das port profile auf "all" steht und ich ne 192.168.2.xxx Adresse vergebe kann der client nicht ins Netzwerk kommunizieren, stelle ich den port auf profil 2 dann schon...

    dieses "all" geht eben nicht... "all" geht nur mit 192.168.0.xxx adressen....


    aufgenommen wurde das "2er" profil (video) funktioniert aber irgendwie nicht....



    Zitat von Gerleg

    Wegen der Verfügbarkeit ist das bei Unifi so ein Ding.

    ja ein Ding das mich zur Weißglut treibt - und wie ich schon sagte - was wenn mal ein switch das Zeitliche segnet?

    bei mir geht ja nicht mal mehr ein Lichtschalter wenn mal das Netzwerk streikt...

    IoT - Fluch & Segen!


    und die Zeiten wo das ubnt Zeug billig war die sind auch schon lange vorbei... vor allem am Kamera Sektor langen die zu, dass einem schlecht wird... :nauseated_face:


    Zitat von Gerleg

    Gerade wenn Grendelbox umbaut😉

    hab ich gerade gesehen was du meinst,.. das ist wohl zu nem Hobby oder ner Sucht geworden :face_with_open_mouth:

    Zitat von florian

    Was sich mir noch immer nicht erschließt ist, wenn das port profile auf "all" steht und ich ne 192.168.2.xxx Adresse vergebe kann der client nicht ins Netzwerk kommunizieren, stelle ich den port auf profil 2 dann schon...

    dieses "all" geht eben nicht... "all" geht nur mit 192.168.0.xxx adressen....

    Poste mal deine Netzwerke


    Das Physische Netzwerk ist wichtig

    ist sozusagen das Unifi Netzwerk oder Managementnetzwerk jeder nennt es anderes.

    Dadrüber läuft alles und die VLAN sind nur virtuell oben drauf gelegt. Aber eben komplett unabhängig.


    Mein Ziel ist jetzt erstmal das du von der UDM auf deine USW Pro kommst mit 10 G



    Zitat von florian

    Was sich mir noch immer nicht erschließt ist, wenn das port profile auf "all" steht und ich ne 192.168.2.xxx Adresse vergebe kann der client nicht ins Netzwerk kommunizieren, stelle ich den port auf profil 2 dann schon...

    dieses "all" geht eben nicht... "all" geht nur mit 192.168.0.xxx adressen....


    aufgenommen wurde das "2er" profil (video) funktioniert aber irgendwie nicht....

    DHCP würde ich immer einschalten. Nur den Bereich etwas kleiner..

    Ist ebend leichter zu konfigurieren. Da ein Gerät sich erstmal immer findet. was du danach aber dann eine feste adresse vergibst. ( Mache ich nur soo) Nur Mobile Geräte und Gastzugang hat keine festen IP



    bei den Profilen kann ich dir noch nicht ganz folgen. Wo du Profile erstellst. Oder meinst du Netzwerke?

    :thumbs_up:

    Zitat von Gerleg

    Poste mal deine Netzwerke


    Das Physische Netzwerk ist wichtig

    ist sozusagen das Unifi Netzwerk oder Managementnetzwerk jeder nennt es anderes.

    das bekomme ich nicht als ganzes in einen screenshot :grinning_squinting_face: wenn nur so klein dass man nichts darauf sieht


    lassen wir mal alles andere rundherum weg - das Problem ist ja viel banaler...

    long stroy short - ich nehme eine WS stecke diese direkt an den UDM pro an einen Port


    stelle ich diesen port auf "all" und die IP der WS auf 192.168.2.199 (sonst gibt es keine Geräte im netz mit ner 2er IP) kommt die WS mit nem Ping weder auf 192.168.2.1 noch auf 192.168.0.1


    stelle ich den Port auf "Video" (2er IP Kreis) geht es,..


    gebe ich der WS ne 192.168.0.xxx IP und das Portstting auf "all" geht es...


    mir erschließt sich diese "all" logik nicht - mit "all" müssten alle IPs die in Netzwerken ja geroutet werden - das geht aber eben nicht...

    Zitat von Gerleg

    Mein Ziel ist jetzt erstmal das du von der UDM auf deine USW Pro kommst mit 10 G

    das geht - UDM erkennt den USW und umgekehrt und schreibt beim Port auch hin was angeschlossen ist...




    uch- jetzt war das FOrum kurz down....

    das „all“ sind alle Netz die in Einstellung unter Netzwerk erstellt hast!

    die gibt er an diesen Port raus. natürlich muss auf der anderen Seite auch „all“ eingestellt sein.

    sonst geht es nicht



    ich möchte eigentlich nur wissen welche IP deine wirklich physische IP Adresse ist.

    Ob es 192.168.2.x oder 192.168.0.x also die im Gerät Gespeichert ist.


    oder welche IP hat deine UDM und deine USW‘s


    und nicht verwirren lassen. UNFi gibt natürlich immer die physische IP Adresse als Standard an allen Geräte weiter. Da Unfi natürlich erstmal ausgeht das da hinter ein Unifi Gerät sein könnte

    :thumbs_up:

    Zitat von florian

    bedeutet das nun dass ich recht hatte dass "all" eigentlich nicht funktioniert?

    Nein es bedeutet nur das Dir quasi das 101 Basis Wissen fehlt über VLAN allgemein und der Bezeichnung die Unifi

    da benutzt. Zugegebener massen ist das zwar keine Raketen Wissenschaft aber durchaus verwirrend.


    Versuchen wir einen schnellen Abriss:

    VLAN genauer IEE 802.1q oder simple Dot1q (historisch gibt es noch ein paar andere, die aber keine wirkliche

    Rolle mehr spielen) ist das verpacken der Nutzdaten (also IP, TCP, deine eigentlichen Daten) in eine weitere Schicht.

    Gemacht wird es um verschiedenen Broadcast Domains auf einem Switch zu haben (einfach: das eine VLAN sieht nicht das andere,

    der switch wird Virtuell aufgeteilt). Da sich die VLAN gebündelt über ein Kabel übertragen lassen, lassen sich

    so einfach Virtuelle Switchgruppen über mehrere Switche hinweg erstellen. Damit lasse Netzwerke Flexibel zu verteilen

    und kann die Sicherheit erhöhen (Das VLAN der Finance Server muss garnicht erst

    auf den Switch der Produktion anliegen und der Zugriff drauf ist über Firewall Funktionen nochmal geregelt)


    Ein VLAN ist also getrennt von einem anderen und es bedarf einer Verbindungskomponente

    wie einem Router damit zwei VLAN miteinander kommunizieren können.


    Technisch (auch wenn nicht besonders sinnvoll) könnten also zwei PCs in zwei VLANS die gleiche IP haben

    ohne das sie sich stören oder sehen könnten.



    Bei NICHT verpackten Daten spricht man von NATIVEN, Untagged, ACCESS

    Bei den Verpackten dann von VLAN, Tagged oder auch encapsulate.

    Wenn mehrere Vlans zusammen auf einen Port sind spricht man von Trunk, Bündel, Gruppe.


    Ein Switch Port kann nun auf vielfältiger weise Konfiguriert werden. Bei Unifi über ein Port Profile.

    das dann dem eigentlichen Port zugewiesen wird.


    Das VLAN das du unter „Native“ angibst veranlasst den Switch Port den VLAN Tag zu entfernen wenn

    das Packet den Port verlässt oder den Tag hinzuzufügen wenn das Packet von „aussen“ reinkommt.

    „Allowed Networks“ fügt das jeweilige VLAN auch den Port hinzu, lässt aber den VLAN Tag unangetastet.


    Ein normaler Netzwerk Client sieht nur das „Native“ Paket und interessiert sich nicht für die Pakete mit VLAN Tag

    (Moderen Netzwerkarten und Betriebssystem können das aber, wird auch genutzt ist aber eher ein Sonderfall für Router,

    Multihost, VM Server usw.)


    Bei UNIFI gibt es immer das „Default“ Netzwerk, das hat IMMER die VLAN-1 und kann nicht geändert werden.

    (wird im übrigen nicht angezeigt, viele denken das hat gar kein Vlan Tag, aber das stimmt nicht es ist VLAN-1)

    Das vorgegebene Profil „ALL“ konfiguriert nun Vlan-1 als Native und alle anderen als Tagged.

    Soll dein Client nun in VLAN-2 sein muss der Port dann auf VLAN-2 als natives Konfiguriert

    werden. (oder der Rechner muß VLAN können und die Pakete selber ein und auspacken)


    Das alle oder eine Auswahl von VLANS mit auf einem PORT sind bekommt dann seinen Sinn wenn du weitere

    Geräte wie Router/Switche/ Access Points anschließt. Das Jeweilige VLAN mus ja zum am den Gerät

    anliegen damit es auf einen anderen Port Benutzt werden kann.

    vielen Lieben Dank für deine super ausführliche Erklärung,


    ich hatte gestern nen wirklich harten Abend, ich versuchs mal,...


    das bei Ubnt das "basic" Netz immer VLAN1 hat wusste ich schon...


    zusammengefasst, da der Client keinen "VLAN 2" "overhead" mitschickt kommt für den UDM das Paket auf VLAN1 mit falscher IP daher?

    hätte ich dahinter nun nen manageable switch, würde der das Paket des Client zuerst mit VLAN2 taggen und an den UDM schicken, der das dann auspackt und intern routet - würde es funktionieren.


    "all" bedeutet dann entweder der IP Kreis des Default Netzes (bei mir 192.168.0.xxx) oder VLAN1

    und wenn die IP nicht 192.168.0.xxx dann muss es einen TAG mit dem VLAN haben das eingerichtet ist (in meinem Fall dann VLAN2)


    stelle ich nun den Port auf das port setting des VLAN2 (bei mir nun Video mit IP Range 192.168.2.xxx)

    akzeptiert der UDM die 192.168.2.xxx IP direkt...


    und jetzt rate ich mal ins Blaue,


    lege ich ein weiteres port setting an in welchem das VLAN2 Native ist und zusätzlich noch das VLAN1 kehrt sich die story um, es werden pakete von 192.168.2.xxx direkt akzeptiert oder und Pakete die mit VLAN1 getaggt sind richtig?


    so würde das für mich auch verständlich werden, wie ich meine "unterverteilung" hinbekomme mit den switches die ich schon im Gebäude habe, die bis auf wenige ja eh schon managable sind... die managablen switche müssen dann nur die pakete der clients zuerst mit dem VLAN taggen, dann flutscht das hoch bis es beim UDM ankommt und der packt das dann aus,... richtig?

    noch eine Frage zu deinem Bild - die payload die mit 42-1500 angegeben ist, ist das die MTU size, oder MSS clamping oder wie das genannt wird?

    Einmal editiert, zuletzt von razor () aus folgendem Grund: Ein Beitrag von florian mit diesem Beitrag zusammengefügt.

    Zitat von florian

    richtig?

    Ich will nicht behaupten das deine Schlussfolgerungen wirklich nachvollziehen kann aber es Klingt richtig :smiling_face:


    Zitat von florian

    noch eine Frage zu deinem Bild - die payload die mit 42-1500 angegeben ist, ist das die MTU size, oder MSS clamping oder wie das genannt wird?


    Ja das ist die MTU, maximale Größe der Nutzlast im Ethernet. (es gibt auch Jumbo Frames die dürfen bis 9000 Byte groß sein,

    die spielen aber max. im Lokalen LAN eine Rolle und wird nicht von allen und jeden unterstützt)


    In den 1500 Byte ist dann alles für Layer 3 drinnen also heutzutage dann IP oder Bestimmte Audio Netzwerke, früher auch

    IPX/SPX, NetBios oder andere kram für den Vermittlungsschicht die keiner mehr kennt oder nutzt.


    MSS gibt es im übrigen nur bei TCP und und sagt was darüber aus wieviel Nutzdaten im TCP Paket übertragen werden

    können. Das sind üblicherweise 40 byte weniger als die MTU (MSS = MTU - 20 Byte IP Header - 20 Byte TCP Header)

    Zitat von florian

    jungs, ihr seid Großartig! DANKE!!!

    Ist das Thema damit erledigt? Das würde mich für Dich freuen. :waving_hand: