Kein Inter VLAN Routing über Wifi

[RobinGL]

Hi zusammen,

verwendete Hardware:

• Layer 3 Switch: D-Link DGS-1510-28X
• Access Point: TP-Link AX1800 EAP610-Outdoor

Auf dem Switch sind die folgenden VLANs angelegt (nur die relevanten):
VLAN 20 (Interface 192.168.1.1 255.255.255.0)
VLAN 23 (Interface 192.168.0.1 255.255.255.0)
Der Access Point steckt auf einen Trunk Port, auf dem die VLANs auch angelegt sind. Natives VLAN ist die ID 1, untagged. Der AP hat auch eine IP aus VLAN 1. In dem gesamten Setup ist noch kein DHCP aktiv. Der Access Point strahlt die SSID "VLAN20" und ist so konfiguriert (standalone, kein WLC), dass er den Verkehr auch mit der ID 20 taggt.
Auf dem Layer 3 Switch ist eine entsprechende Route aus VLAN 20 in VLAN 23 gepflegt. Wenn ich nun ein Gerät mit dem WLAN verbinde (hat eine IP aus VLAN 20 und das Interface als Gateway), ist es mir nicht möglich das Interface von VLAN 23 zu pingen.
Wenn das Gerät allerdings direkt auf dem Port steckt, an dem sonst der AP hängt, kann ich das VLAN23 Interface pingen.

Übersehe ich hier etwas?

 

[chr1zZo]

Aufzeichnen ist immer das beste Sonst muss man zu viel die Birne anstrengen. Und Screenshots von den Configs wären cool.

 

[GTrash81]

Hm, ist der Switch-Port wirklich als Trunk konfiguriert?
Wenn ja, dann sollte ein normales Gerät keine Verbindung aufbauen können.
Auf einem Trunk-Port werden in der Regel Datenpakete mit einem VLAN-Tag erwartet.
VLAN-Tags werden ohne weitere Konfiguration nicht verteilt.
Auch gibt es Optionen für erweiterte Konstruktionen, wie z.B. PVID-Untag.
Auf dem Switch würde ich erwarten:

• PVID-Untag: Ja
• PVID: 1
• VLAN-Tags: 20,23

Die Optionen können bei TP-Link anders heißen.

 

[Slavefighter]

HI,

Zeichnung wäre Besser, is wie mit der Matheaufgabe und den 30 Äpfeln die Johann hat

"Übersehe ich hier etwas?"

Wenn A und C funktionieren, aber B dazwischen hängt

Dann ist wohl B der übeltäter
Ich weiß das die TP-Links auch gewisse Configs haben, würde mal da schauen.

Regards

Slave

 

[RobinGL]

Hm, ist der Switch-Port wirklich als Trunk konfiguriert?
Wenn ja, dann sollte ein normales Gerät keine Verbindung aufbauen können.
Auf einem Trunk-Port werden in der Regel Datenpakete mit einem VLAN-Tag erwartet.
VLAN-Tags werden ohne weitere Konfiguration nicht verteilt.
Auch gibt es Optionen für erweiterte Konstruktionen, wie z.B. PVID-Untag.
Auf dem Switch würde ich erwarten:

• PVID-Untag: Ja
• PVID: 1
• VLAN-Tags: 20,23

Die Optionen können bei TP-Link anders heißen.

Wenn ich das Gerät per Kabel verbinde tagge ich es mit der VLAN ID 20, das geht ja bei Macbook recht einfach, hatte ich vergessen zu erwähnen.
Wird auch in der Mac Tabelle auf dem Switch in VLAN 20 erkannt.

Ergänzung (13. November 2023)

Hier mal eine schnell hin gebastelte Übersicht
Oberes Szenario: Ping vom Laptop auf 192.168.0.1 geht nicht (no route to host) (AP auf Port 24)
Unteres Szenario: Ping vom Laptop auf 192.168.0.1 geht (Laptop auf Port 24)

Port 24 ist ein Trunk Port, VLAN 20+23 getaggt angelegt, VLAN 1 als natives + untagged

Ergänzung (13. November 2023)

HI,

Zeichnung wäre Besser, is wie mit der Matheaufgabe und den 30 Äpfeln die Johann hat

"Übersehe ich hier etwas?"

Wenn A und C funktionieren, aber B dazwischen hängt

Dann ist wohl B der übeltäter
Ich weiß das die TP-Links auch gewisse Configs haben, würde mal da schauen.

Regards

Slave

Schnelle Zeichnung habe ich jetzt gepostet
Welche Configs meins du mit "gewisse Configs"?
Im Standalone Mode habe ich alles durchforstet, aber nichts gefunden.

Zum Test habe ich den AP auch mal mit dem Omada Controller konfiguriert und das Management VLAN 1 angelegt. Entsprechend dann auch auf dem Switchport das VLAN 1 als tagged geändert. Kein Unterschied.

 

[Jawohl]

Hast Du die beiden VLANs im AP auf verschiedene SSIDs verbunden? Wie wählst Du das VLAN über WLAN aus?

 

[RobinGL]

Auf dem AP ist konfiguriert, dass der Traffic, der über die SSID "VLAN20" kommt mit der VID 20 getaggt werden soll.
Grundsätzlich sind auf dem AP mehrere SSIDs konfiguriert, aber das ist erstmal irrelevant. Wichtig ist erstmal nur die SSID "VLAN20".
Clients, die sich mit VLAN20 verbinden, sollen auch Geräte aus VLAN23 erreichen können.

 

[Jawohl]

Kannst Du im VLAN 20 ein Gerät mit IP haben, das man erstmal anpingen könnte?

 

[RobinGL]

Das funktioniert. Geräte in VLAN20 und das VLAN20 Interface kann ich pingen.

Ergänzung (13. November 2023)

Ich habe noch etwas herausgefunden:
Wenn ich auf meinem Mac ping 192.168.0.1 mache geht es nicht -> wie schon beschrieben
Wenn ich aber ping -S 192.168.1.15 192.168.0.1 mache, also meine Quell IP explizit mitgebe, kann ich das VLAN23 Interface pingen

 

[Jawohl]

Dann bleibt wirklich nur ein Problem mit dem AP.

 

[RobinGL]

Fehler gefunden:
Es war mein MacBook.... MacOS macht scheinbar manchmal zicken mit der Routing Tabelle. Auf einem anderen MacBook funktioniert es.
Danke für die Antworten!