VLAN einrichten auf TP Link

[FaSi_Azubi]

Hallo liebes Forum. Ich hoffe ihr habt ein paar Tipps was mir bei meiner Fehlerbeseitigung hilf. Ich richte gerade mein erstes VLAN ein (noch in Ausbildung), also wundert Euch nicht, falls ich ein paar doofe Fragen stelle

Ich habe folgendes Szenario:

Über einen Switch gehe ich auf eine Firewall, die dann über einen Router ins Internet geht.

Ich möchte nun ein VLAN einrichten für Gäste. Diese sollen ins Internet gehen dürfen aber nicht in das Firmennetzwerk.
Sie sollen eine IP Adresse aus dem Bereich 192.168.20/24 bekommen.


• TP-Link
Dafür hab ich auf dem Switch TP-Link TL-SG2452 im Bereich VLAN (802.1Q VLAN) den Port 20 als Mitglied des VLANs gesetzt.
Der Link Type des Port 20 ist GENERAL (möglich wäre auch ACCESS und TRUNK ) und Egress Rule ist UNTAG.
Der Switch hat in Port X ein Glasfaserkabel stecken. Das Glasfaserkabel ist mit einem anderen Switch verbunden, der aber nur das Signal weiterleitet.
Auf diesem TP Link möchte ich nun ein VLAN20 mit den Portmitgliedern 20 und X (Glasfaserkabel) einrichten. Aber jedesmal wenn ich den Port X mitnehme, legt es mir das Netzwerk lahm.

• ZyXel ZyWALL USG 100
Ich hab dann noch eine ZyXel ZyWALL USG 100. Hier hab ich auch das VLAN20 eingerichtet mit dem IP Bereich 192.168.20/24.
Zudem auf Intern gestellt und auf die Schnittstelle LAN1.

Den danach hängenden Router der ins Internet geht hab ich noch nicht angefasst. Das soll erst im nächsten Schritt kommen.

Also ich hab folgende Fragen und hoffe der ein oder andere kann mir dabei helfen:

1. Weshalb schmiert mir ständig das Netzwerk ab, wenn ich auf dem TP Link den Port (in der das Glasfaserkabel eingesteckt ist) ab? Das ist doch der Uplink, oder? Ich möchte diesen Uplink mit auf das VLAN legen. Oder ist das die falsche Vorgehensweise?

2. Wie kann ich es erreichen, dass ich aus dem Gäste VLAN 192.168.20/24 eine IP Adresse beziehe?

Wäre über die ein oder andere Hilfestellung sehr dankbar.

So ungefähr stelle ich es mir vor (Gast VLAN an Port 20 vom TP Link)

 

[snakesh1t]

Es gibt 2 Methoden wie du ein VLAN aufbauen kannst. Entweder du teilst den Switch in 2 Bereiche und jeder bekommt einen Uplink zum Router (Portbasierend) oder du teilst es auf und es gibt einen Uplink Port, über den beide VLANs laufen (Taggedbasierend).

Da du eine USG 100 hast, die 4 LAN Ports hat würde ich dir empfehlen, dass du das Portbasierend machst! Dafür musst du Interface erstellen, eins für dein Firmennetzwerk und eins für das Gast LAN.
Dann weißt du LAN Port 1-3 dem FirmenLAN zu und LAN Port 4 dem GastLAN. So kannst du 2 DHCPs laufen lassen, da beide Netze nicht miteinander sprechen! Dann schließst du zbs. dein FirmenLAN an VLAN10 auf dem Switch und dein GastLAN an VLAN20. Nachteil ist, dass du dadurch 2 ganze Ports auf dem Switch verbrauchst, aber hast den Vorteil dass beide VLANs volle Bandbreite haben, das sie einzeln an den Router angeschlossen sind. Nutze ich USGs schon länger und betreibe so mehrere Netzwerke.

PS: schau dir hier die Grundlagen mal an
https://www.thomas-krenn.com/de/wiki/VLAN_Grundlagen

EDIT: Mal doof gefragt: warum nutzt du die USG100 nicht als vollwertigen Router? Also ohne weiteren Router davor? Brauchst je nach Anschluss (ADSL/VDSL/SDSL) ja nur ein Modem vor die USG schalten und an den WAN Port anschließen. Firewall hat die USG100 doch auch!

 

[FaSi_Azubi]

Danke für das Feedback und den Link zu den Grundlagen.

Das heißt also, dass ich am Schluss 2 VLANs habe. Und zwar VLAN 1 ist das aktuelle LAN (als VLAN 1 zusammengefasst). Und VLAN 2 wäre das Gäste VLAN. Oder hab ich da was falsch verstanden?

Mein Gedanke war eigentlich, dass ich nur ein VLAN 2 für Gäste einrichte. Das scheint aber so nicht zu funktionieren wenn ich es richtig verstehe? Ich glaube bei uns ist auch das Problem, dass da noch 2 weitere Switches dazwischenhängen (das wurde von meinem Vorgänger so installiert warum weiß ich nicht).

Wenn ich jetzt ein Patchkabel von der ZyWALL in den darunterliegenden Switch stecke, dann verteilt sich das ganze VLAN Signal auf diesen Switch denke ich mal. Hier hängt aber auch das LAN dran... Ich bräuchte also 2 Switches. Einmal für VLAN 1 (LAN) und einmal für VLAN 2 (Gäste VLAN). Sehe ich das richtig? Dann gibt es noch einen Weg zu einem Switch der so circa 20-30 Meter ist. Hier wollte ich auf einem Port ein VLAN definieren. Das bedeutet, dass ich zusätzliche Infrastruktur brauche.

Wäre eine Lösung, einen Port auf dem Zyxel für ein VLAN zu definieren und alles andere so zu lassen wie es ist? Dann ein entsprechend langes Kabel zum Patch Panel zu ziehen und die entsprechende Dose zu patchen? Ist nicht so elegant, aber ich weiß nicht ob ich zusätzliche Infrastruktur beschaffen darf.

Noch etwas anderes zum Zyxel. Du schreibst, dass es 4 LAN Port gibt. Meintest Du 5, oder fehlt mir eine Info zu den Ports?
Wenn ich auf das Gerät draufschaue, sehe ich 5 LAN Ports. Oder ist einer davon kein LAN Port?

Siehe rote Umrandung.

Ich kann den Zyxel nicht als vollwertigen Router nutzen, da der vorgeschaltete Router so eingerichtet wurde, dass es vermutlich sehr lange dauern würde das auf dem Zywall nachzuziehen und zudem soll es so bleiben (wurde mir gesagt). Ich weiß auch nicht, weshalb das so von meinem Vorgänger so eingerichtet wurde. Ich geb Dir da vollkomen recht. Ich hätte vom Ansatz das auch so gemacht, wie Du das vorschlägst.

 

[snakesh1t]

Hi, FaSi_Azubi,

sorry hab den Thread nicht abonniert gehabt.

Ja ich meine die P3-P7! Sorry, die USG200/300 haben P1 und 2 für Wan, P3 optional und P4-P7 für LAN! Daher die Verwechslung!
Mach es dir einfach! Bau nur ein VLAN zwischen den Switchen auf! Dann musst den Router nicht mit einbinden. Wie gesagt, dann erstellst du 2 LAN-Interface mit 2 verschiedenen Netzwerksegmenten und dann uplinkst dann jedes VLAN auf die Routerports.

Siehe Bild (und bestaune meine Paint-Skills! )

So Baust du dann nur ein VLAN zwischen den Switchen auf und jedes VLAN hat nen eigenen Uplink zum Router.
Das wäre dann die Tagged-VLAN Methode zwischen den Switchen!
Wenn du mehrere Switche im VLAN hintereinander schaltest achte darauf, dass du dann mind 2 VLAN-Uplinks mit einplanst!