Ein VLAN das sich TAGGED nannte -- widewidewitt juchheirassa

Es gibt 3 Antworten in diesem Thema, welches 6.684 mal aufgerufen wurde. Der letzte Beitrag () ist von alex.

    • Offizieller Beitrag

    Hi zusammen


    gefühlt kommt die Frage etwas spät, aber Unwissenheit soll man ja bekanntlich auflösen.

    Zudem könnte ich je nach Antwort noch einen anderen Ansatz bei meinem Problem mit meinen SKY-Q Receivern fahren ... doch fangen wir mal von vorne an - nämlich mit ...


    Was ist der Unterschied zwischen einem tagged VLAN und einem untagged VLAN und das wichtigstes - woran erkenne ich, was was ist?

    Ich bin kein Netzwerktechniker und bisher dachte ich, dass allem, dem ich eine VLAN-ID gebe, es sich automatisch um ein TAGGED VLAN handelt.

    Wenn ich mir aber diverse Beiträge und die Infos aus Google angucke, scheint das ja gar nicht der Fall zu :astonished_face:

    Zudem kommt noch erschwerend dazu, dass ich diese ergoogleten Infos ja noch mit der Konfig der UDM-Pro übereinander bekommen muss.


    Ich speichere jetzt einfach mal mein Wissen aus und würde mich freuen, wenn der eine oder andere hier Aufklärungsarbeit leisten könnte. Konkrete Fragen sind hellblau markiert

    Ich versuche auch (für die Nachwelt) mit so wenig wie möglich Fachbegriffen um mich zu schmeißen, damit es "einfach verständlich" bleibt, ohne sich weiter in irgendwelche Netzwerkkommunikationsthemen einlesen zu müssen

    Los gehts :winking_face_with_tongue:


    Informationen zu meiner Konfig: VIGOR --> UDM PRO --> USW 16 PoE Gen 2... Die Verbindung zwischen UDM Pro und dem USW ist per SFP realisiert. Beide Ports stehen bei Switch Profile. auf "ALL" sodass diese (wenn ich es richtig verstanden habe) mit allen VLANs sprechen können bzw. ich sowohl in der UDM-Pro als auch im USW untagged VLANs für Clients nutzen kann, ohne jemanden "auszusperren" :smiling_face:


    TAGGED VLANs sind "softwarebasiert". Sprich die Pakete (also den Inhalt den man von A nach B transferieren möchte) die ein Client im Netzwerk verschickt bekomme beim Weg über den Switch zusätzliche Informationen.

    Die Erkennung welcher Client welches "Tag" bekommt, basiert dabei auf der MAC-Adresse. Somit kann man z.b. über einen physikalischen Port, mehrere VLANs betreiben.


    UNTAGGED VLANS sind "hardwarebasiert". Hier wird ein physikalischer Port fest einem VLAN zugeordnet.

    Der Vorteil dabei ist, dass egal welches Gerät den Port nutzt, es automatisch dem hinterlegten VLAN zugeordnet wird. z.B. gut für Hotels oder so, wo die Ports für die Gäste frei zugänglich sind, aber man natürlich nicht möchte, dass ein Gast sich in ein andere VLAN "einwählen" kann.


    Das wäre schon meine erste Hypothese, die man mir bestätigen oder korrigieren könnte.

    Wie gesagt, verzichte ich extra auf weitere Fachbegriffe wie Ethernet Frames usw... es sollen einfache Erklärungen für die Nachwelt sein :face_with_tongue:


    Kommen wir jetzt zu dem Bezug mit der UDM bzw. mit den Unifi Produkten


    UNTAGGED VLANS kann ich direkt am jeweiligen Port setzen. Sprich ich gehe auf die Konfig der jeweiligen Komponente (UDM / USW / AP usw) wähle im Reiter "Ports", wähle dann den jeweiligen physischen Port aus und setze unter "Switch Port Profile" das VLAN, welches ich dem Port fest zuweisen will. (siehe Screenshot = Beispiel_config_untagged.png)

    Das ist auch die Variante, die ich für meinen Server und MacMini (Home_VLAN) und meine PS4, meine ATVs und meine SkyQ Receiver (IoT_VLAN) gewählt habe.

    Hier kann ich neben einer 1:1 Zuweisung zu einem bestehenden Netzwerk auch noch ALL / DISABLED auswählen. (siehe Screenshot Switch_Profiles)

    Hier wäre schon die nächste Frage - nämlich was bewirkt "Disabled"? Läuft der Port dann als "freier Radikaler" ohne eine Verbindung zu einem Netzwerk oder wird der Port tatsächlich "physisch" disabled - also abgeschaltet?

    Zu den o.a. default Einstellungen kann man sich aber auch VLAN-Gruppen bauen. Das geht über sog. "Switch-Profiles" (siehe SW_Profile_config)

    Hier kann man dann (sofern ich das richtig verstanden habe) mehre Netzwerke zu einer Gruppen zusammensetzen, sodass das man einem Port nicht nur 1:1 zu einem Netzwerk sondern 1:n Netzwerken verbinden kann.

    Hier wäre die Frage nach dem Unterschied/Sinn zwischen Native Network und Tagged Network.

    Wo wäre der Unterschied, wenn ich als native Network = Home_LAN nehme und dann bei tagged Network das Häckchen bei IoT_LAN setze im Vergleich zu native Network = IoT_LAN und tagged Network = Home_LAN nehmen?


    Kommen wir jetzt zu den TAGGED VLANs.

    Hier verstehe ich ehrlich gesagt schon gar nicht, wo ich das einstellen muss/kann oder ich befürchte eine doppelte Konfiguration.

    Denn das einzige, was ich gefunden habe, wo man noch etwas mit VLANs machen kann, ist am Client selber. Wenn ich nämlich (und das habe ich für alle meine Geräte) eine feste DHCP Konfiguration setze.


    Ich kann nämlich (warum auch immer) nicht bei VLAN = ALL setzen - sondern wenn ich eine feste IP vergeben will, muss ich auch zwangsläufig, ein VLAN definieren. (siehe Skyq_config)


    Sollte also das die Lösung für TAGGED VLAN sein, frage ich mich, wie es sich in diesem Fall verhält, da ich den Port ja schon untagged auf ein festes VLAN gesetzt habe.

    Und die nächste Frage ist (wie man auch in meinem Sky-Problempost lesen kann) warum - wenn das die tagged VLAN lösung ist, ich meine SKY Receiver nicht in das korrekte VLAN damit bekomme.


    Ich muss quasi immer den port fest zuweisen, damit die SKY Receiver ins gewünschte VLAN gehen.
    wenn ich das nicht mache und das nur hier in der client-config mache, kommen die Geräte immer ins Mgmt-VLAN... selbst mit der falschen IP.


    Ich hoffe ihr könnt mir hier etwas Aufklärungsarbeit liefern... lieben Dank und ein schönes Wochenende.

    • Offizieller Beitrag

    Hallo,

    Im Grundsatz ein guter Post, aber als unteranderem CCIE muss ich in einigen Punkten Wiedersprechen, da es nicht wirklich der Tatsachen Entspricht. Beginnen wir von vorne:


    Für was gibt es eigentlich VLAN

    Ganz Früher (Vor vlan) musste man für jedes Netzwerk, welches man betreibt eine eigene Switch Infrastruktur betreiben. Zum Beispiel ein Switch für Interne Clients und Server und Ein Switch für Gast Wireless.

    Mit vlan hat man also die Möglichkeit ein Virtueller Switch zu betreiben und dies über Switches (egal welcher Hersteller / vlan funktion muss vorhanden sein) hinweg - Solange eine Layer 2 Verbindung vorhanden ist.


    Kurz: Jedes VLAN ist ein virtueller Switch (Virtual local area network)

    Zitat von Maddeen

    TAGGED VLANs sind "softwarebasiert". Sprich die Pakete (also den Inhalt den man von A nach B transferieren möchte) die ein Client im Netzwerk verschickt bekomme beim Weg über den Switch zusätzliche Informationen.

    Die Erkennung welcher Client welches "Tag" bekommt, basiert dabei auf der MAC-Adresse. Somit kann man z.b. über einen physikalischen Port, mehrere VLANs betreiben.

    Dies basiert nicht auf MAC Adressen - Das was Du erklärst auf MAC Basis ist etwas anders - erklär ich später vielleicht noch. Wenn man ein Client hat, welche man zb manuel im Client eingibt er soll auf vlan 100 sein, dann wird jedes Paket, welches den Client verlässt den vlan Header ID 100 hinzugefügt. Im folgenden Bild als 802.1Q Header markiert.

    Wo wird Tagged vor allem gebraucht

    - Uplinks zwischen des Switches

    - Uplinks auf Access Points, welche mehrere SSID aussenden

    - Uplinks auf HyperV oder ESX Farmen, welche Server in verschiedenen Netzwerk betreiben

    - VoiP Telefone

    - Liste nicht abschliessend



    Kurz gesagt: Wenn ein Switch ein Tagged Vlan hat erfordert es immer ein Eingriff auf dem Client, dass er in dieses vlan kommt


    Zitat von Maddeen

    UNTAGGED VLANS sind "hardwarebasiert". Hier wird ein physikalischer Port fest einem VLAN zugeordnet.

    Der Vorteil dabei ist, dass egal welches Gerät den Port nutzt, es automatisch dem hinterlegten VLAN zugeordnet wird. z.B. gut für Hotels oder so, wo die Ports für die Gäste frei zugänglich sind, aber man natürlich nicht möchte, dass ein Gast sich in ein andere VLAN "einwählen" kann.

    Hardware basiert ist heute eigentlich nichts mehr, aber ja ich weiss was Du meinst und stimme diesem mal grundsätzlich zu. Das sich ein Gast nicht auf ein anderes vlan einklicken kann, setzt dies aber voraus das der Switch Port, dieses VLAN auch nicht kennt, respektive ein Forbidden drauf hat. Wenn ZB die Unifi Standard Einstellung mit "ALL" daher kommt, kann der geübte User auf jedes VLAN theoretisch switchen mit seinem Client.


    Disabled - ist ein Port Shutdown - Da kannst Du einstecken was Du willst, da kommt nichts mehr hoch, es blinkt also nichts mehr

    All - Die unschöne standard Einstellung von Unifi. Mit dieser Einstellung hast Du alle VLANs auf diesem Port. Diese Einstellung kannst Du in der Regel auf Uplinks zwischen den Switches brauchen.

    Native Network - Ist das gleiche wie Untagged. Es ist das Netzwerk, welches ohne Konfigruation am Client aktiv ist. Es gibt dann noch zum weitere Führen die PVID.


    Ich baue zum Beispiel wenn ich ein VMware Server ein ESX Profil, welches nur die vlan drauf hat, welche er benötigt... Meistens zum Beispiel braucht er das Gäste vlan ja nicht, weil ich da drin ja auch keine Server betreibe.

    Bei den Client Switches stelle ich alle Ports auf ein Client Profil um, bis auf den Uplink, welcher von mir aus ein "ALL" hat oder ein eigens Uplink Profil...


    Als Beispiel ein Access Point Profil:

    Das Management des AP ist im vlan 1 und das Gäste Wireless im 996. Somit is native vlan 1 und tagged 996.



    Pro vlan wird ein eigener DHCP Server betrieben durch die USG. Damit er weiss in welchem Range er die Reservierung machen muss, musst Du das vlan eingeben. Ja man könnte es auch an die bereits vergebene IP Adresse binden, aber so kannst Du ein Client ins neue Netz migrieren ohne das Du ihn verlierst.

    Du vermischt nun zwei Sachen das eine ist DHCP und das andere ist vlan. DIe Port Einstellung welches vlan machst Du immer noch auf dem Switch





    Nachtag: Um auf die MAC Adresse noch zu kommen betreffend VLAN. Es gibt proprietäre Lösungen, bei welchem Du zb die MAC Range definierst von den Yealinks Telefon und sobald die daherkommt wird der Switch Port umkonfiguriert. Das macht der Switch in einem Makro dann selber. Die Basis Konfiguration sieht dann in etwa so aus:

    Die Definition der Hersteller oder der Geräte:


    und hier dann das Makro



    So ich hoffe ich konnte hier Licht ins Dunkle bringen.


    LG Alex

    • Offizieller Beitrag

    Auch hier vielen Dank alex - schön das es hier jemanden gibt, der das nicht nur hobbymäßig macht, sondern wirklich tief drin steckt in der Materie.


    Was ich aus deinen Erklärungen rauslese ist folgendes


    Tagged VLAN ist eher eine Client-seitige Einstellung, korrekt? Die proprietäre Lösung via Mac lasse ich hier jetzt mal raus. Was proprietär = schlecht - jedenfalls in den meisten Fällen :smiling_face:

    Wobei ein "Client" nach deiner Erklärung aber auch ein andere Switch oder ein AP sein könnte.

    Wichtigste Info ist aber die -->

    Zitat

    Kurz gesagt: Wenn ein Switch ein Tagged Vlan hat erfordert es immer ein Eingriff auf dem Client, dass er in dieses vlan kommt

    Denn das bedeutet, dass das bei mir schon mal nie vorkommen wird. Normale Clients (Consumer-Endgeräte wie iPads, iPhones, Smart-Home Geräte usw) haben diese Einstellungsmöglichkeiten gar nicht - jedenfalls ist mir noch nie eines unter die Augen gekommen.


    Zitat von alex

    Du vermischt nun zwei Sachen das eine ist DHCP und das andere ist vlan. DIe Port Einstellung welches vlan machst Du immer noch auf dem Switch

    Ok - das wusste ich z.B. nicht. Ich dachte, dass jedes VLAN automatisch auch seinen eigenen Adressbereich bekommen muss, der natürlich nicht in einem bereits bestehenden Adressbereich liegt.


    Das bedeutet aber auch, dass man (kabelgebundene) Endgeräte nur in ein definiertes VLAN bekommt, wenn man die "untagged" Variante wählt - da ja (wie oben erklärt) die Clients gar keine Möglichkeiten bieten, diese via tagged VLAN anzubinden... korrekt?


    Bei den WLAN Clients ist es ja einfach, weil man einfach der SSID ein VLAN zuordnet und der Client sich dann automatisch beim Verbinden in das richtige VLAN bewegt.

    • Offizieller Beitrag

    Hallöchen,

    Gerne doch - Schreibe nicht viel, aber denn wenn ich Schreibe sollte der Knochen schon Fleisch bieten können :smiling_face:


    Zitat von Maddeen

    Wobei ein "Client" nach deiner Erklärung aber auch ein andere Switch oder ein AP sein könnte.


    Diese Aussage ist korrekt.

    Zitat von Maddeen

    Denn das bedeutet, dass das bei mir schon mal nie vorkommen wird. Normale Clients (Consumer-Endgeräte wie iPads, iPhones, Smart-Home Geräte usw) haben diese Einstellungsmöglichkeiten gar nicht - jedenfalls ist mir noch nie eines unter die Augen gekommen.

    Windows 10 kannst Du zum Beispiel die vlan ID mitgeben.

    Ein vlan tagging brauchst Du eigentlich Client Umfeld nur in einem Szenario: Wenn Du VoIP einsetzt und die Telefone in einem anderen vlan sind als der Client mit der Bedingung es hängt alles an einem Kabel (Zb Wanddose -> Kabel -> Telefon -> Kabel -> PC) Ansonsten brauchst Du vlan Tagging im Client bereich nicht.


    Wo man es viel braucht ist bei Virtualisierung Lösungen, beim Router/Gateway und Uplinks bei den Switches

    Zitat von Maddeen

    Ok - das wusste ich z.B. nicht. Ich dachte, dass jedes VLAN automatisch auch seinen eigenen Adressbereich bekommen muss, der natürlich nicht in einem bereits bestehenden Adressbereich liegt.

    Da hast Du mich missverstanden - Also weiter ausgeholt ist es möglich das Du die gleiche IP Subnetze in den vlan machst - Aber die haben dann nichts miteinander zu tun, wie auch nicht einmal den gleichen Gateway/Router.


    Kurz: Wenn Du von einem in das andere Netzwerk willst und/oder den gleichen Router hast dann musst Du zwingend unterschiedliche Netzwerke haben.


    Zitat von Maddeen

    Das bedeutet aber auch, dass man (kabelgebundene) Endgeräte nur in ein definiertes VLAN bekommt, wenn man die "untagged" Variante wählt - da ja (wie oben erklärt) die Clients gar keine Möglichkeiten bieten, diese via tagged VLAN anzubinden... korrekt?

    Untagged oder eben native Netzwerke sind genau diese, welche Du reinsteckst und ohne das Du was machst bist Du in diesem Netzwerk drin.