Hi.
Ich suche einen bezahlbaren Managed Switch (4-8 Ports) für folgendes
Einsatzszenario:
3 VLANS.
1 und 2 sind zwei Wohneinheiten.
3 sind geteilte Ressourcen (Gemeinsames NAS und SatIP Headend)
-Zwischen VLAN 1 und 2 sollen nur Daten ausgetauscht werden, wenn es
sich um Unicasts handelt und die MAC Adresse im Switch freigegeben ist.
Multicasts und Broadcasts sollen grundsätzlich im jeweiligen Netzbereich
bleiben.
Damit sollen die beiden Netzte zwar eigenständig sein. Manuell
konfigurierte Direkt-Verbindungen sollen aber möglich sein.
-Der Zugriff auf bestimmte IP Adressen oder Mac Adressen aus dem anderen
VLAN soll unterbunden werden können. Der Internetrouter mit DHCP Server
der jeweils anderen Wohnung soll nämlich nur aus dem jeweiligen Subnetz
zugänglich sein, damit DHCP Anfragen und der Internetzugang immer nur
vom eigenen Router bedient werden.
-Auf VLAN 3 sollen beide Parteien zugreifen dürfen. Die Geräte in VLAN 3
bedinden sich in einer eigenen IP Range, und die jeweiligen Clients
werden händisch darauf konfiguriert.
Ein Layer 2 Switch mit VLANs implementiert über die VLANs getrennte
Netze, die mit Mitteln des Switches nicht miteinander kommunizieren.
Ein Layer 3 Switch enthält zusätzlich Router-Funktion, um solche VLANs
verbinden zu können. Der routet dann aber nicht anhand von MAC-Adressen,
sondern IP-Adressen aus verschiedenen IP-Netzen. Und ist ein wenig
teurer.
Hab einen gefunden der auch nicht so teuer wäre:
TP-Link TL-SG2008
Der kann z.B.
Zugriffskontrollliste L2-..L4-Paketfilterung, basierend auf Quell- und
Ziel-MAC-/IP-Adresse, TCP-/UDP-Ports, 802.1p, DSCP, Protokoll und
VLAN-ID
Zeitbasiert
Damit wäre es doch möglich, DHCP Traffic über den Switch auszuschließen
und auch die jeweilige Internet-Router-IP zu sperren, oder?
Damit jeder seinen eigenen Internetrouter nutzt, sich die DHCP Server
nicht in die Quere kommen, aber trotzdem interner Datentransfer und
Zugriff auf das gemeinsame NAS und den SatIP Headend möglich ist.
Was mit VLANs auch ohne ACLs erreichbar ist: Eine Gerät ist aus mehreren
VLANs erreichbar, indem der zugehörige Port mehreren VLANs zugeordnet
ist. Damit lassen sich deine unter "VLAN 3" aufgeführten Geräte
erreichen. Ein drittes VLAN ist dafür nicht erforderlich.
Die Trennung der beiden Heimnetze wird interessanter, da du keine echte
Trennung haben willst, sondern nur eine halbe. Bei getrennten VLANs ist
mit Mitteln des Switches m.E. keine direkte Quer-Kommunikation möglich,
egal ob Broad-, Multi oder Unicast.
Wenn du das also so realisieren willst dann brauchst du eigentlich
überhaupt keine VLANs, musst aber alle unerwünschte Kommunikation per
ACL blocken.
@A.K
Einen Port beiden VLANS zuordnen, damit die Geräte von beiden Seiten aus
erreicht werden können - Gute Idee.
Auf eine direkte Kommunikation zwischen Rechnern in beiden Netzen würde
ich notfalls noch verzichten, wenn es dadurch einfacher und günstiger
wird.
Man kann ja das NAS auch als temporäre Datenablage für die Transferdaten
nutzen.
Der Grund für die Installation ist: Es soll eine gemeinsame SAT-Anlage
installiert werden, die auch nicht nur im Wohnzimmer genutzt werden
kann.
Mangels ausreichend Coaxkabeln (Sat braucht ja eine Sterninstallation,
pro Receiver 1 Kabel zum Multischalter, von Systemen wie Unicable mal
abgesehen) wäre das aber nicht ohne Installationsarbeiten machbar.
Deswegen will ich auf Sat-IP gehen.
Ein extra TV-LAN macht aber auch keinen Sinn.
Und das NAS soll dann als gemeinsamen Datenspeicher für die PVR Funktion
genutzt werden.
Außerdem kann man dann Dateien untereinander tauschen, ohne dass es
übers Internet läuft oder man einen "USB-Stick-Per-Pedes" Dateiaustausch
macht.
Beide Lans direkt mit Patchkabel verbinden geht auch nicht, da sich dann
die beiden Internetrouter mit DHCP Server gegenseitig in die Quere
kommen.
Bei allen Endgeräten manuell die IP Adresse vergeben und DHCP
ausschalten ist auc nicht zweckmäßig.
Ein einziges "großes" Netz für beide Parteien mit geteiltem Internet
kommt leider nicht in Frage, da meine Schwiegereltern gerne das "eigene"
Internet behalten wollen.
Sven schrieb:> Einen Port beiden VLANS zuordnen, damit die Geräte von beiden Seiten aus> erreicht werden können - Gute Idee.
Setzt allerdings voraus, dass diese Geräte eine feste IP kriegen. Und
alle "einseitigen" Geräte, die damit kommunizieren sollen, disjunkte IPs
haben.
Naja, die TV SatIP Boxen und den SAT-IP Headend+NAS kann ich manuell
konfigurieren.
Das bau ich einmal auf, konfiguriere es und dann ist Ruhe.
Das ist dann ein sozusagen eigenes Netz, aber ohne eigene Kabel, denn
die würden keinen Sinn machen, dann könnt ich auch gleich Coax legen.
Bei den PC's, Tablets und Smartphones wäre eine manuelle IP
Konfiguration nicht Zielführend. Da ist zu viel Wechsel drin. Und dann
auch noch die Geräte von Gästen.
Ich hatte schon angeboten, dass die Schwiegereltern über unseren
Internetanschluss mitsurfen so dass wir einfach 1 gemeinsames Netz
aufbauen können. Das haben sie aber abgelehnt weil sie bei dem
Anschluss "wissen was sie haben".
Umgekehrt bei denen mitsurfen kommt aber auch nicht in Frage, weil die
nur einen ganz kleinen, alten DSL Tarif haben. Wenn es mich nicht
täuscht, nur 1 Mbit/s im Downstream und ein Upgrade ebenfalls abgelehnt
wird.
Sven schrieb:> Bei den PC's, Tablets und Smartphones wäre eine manuelle IP> Konfiguration nicht Zielführend.
Wenn beide Netze disjunkte DHCP-Ranges haben brennt da nichts an.
Naja, wir haben unterschiedliche IP Ranges.
Die haben 192.168.0.x
Wir haben 192.168.178.x
Wenn ich ein Patchkabel anbringe, passiert folgendes:
Alle neueren Geräte landen früher oder später in unserem Netz.
Und alles was mit IPv6 zu tun hat, geht über uns, da der Router von den
Schwiegereltern mit IPv6 nichts anzufangen weiß.
Nur der olle Desktop-PC mit Windows XP vom Schwiegervater bleibt auf
deren Router, der wechselt nicht.
Theoretisch würden die Schwiegereltern es gar nicht merken, wenn man
alles über uns laufen lassen würde. Denn Internet ist ja da.
Deren Router und der DSL Anschluss wären dann quasi nur noch Deko.
Auffallen würde es nur, wenn ich mal wieder am "Basteln" bin oder unser
Internetanschluss mal wieder down ist, der ist deutlich anfälliger als
der alte T-Online ADSL Anschluss von denen.
Wenn sie einen eigenen Anschluss haben, sollen sie den dann auch
wirklich nutzen.
Sven schrieb:> Die haben 192.168.0.x> Wir haben 192.168.178.x
Geht nicht. Beide Seiten müssen das gleiche IP-Netz verwenden, aber eben
mit verschiedenen DHCP-Ranges. Sonst funktioniert das bei mit
gemeinsamen Geräten nicht. Die müssen mit einer festen IP-Adresse auf
beiden Seiten ins IP-Netz reinpassen.
PS: Oder du verwendest einen internen Router statt der Trickserei mit
VLANs und gemeinsamen Geräten. Dann gibts 3 VLANs und einen Router, der
sie koppelt.
Hi,
wenn du dich mit Netzwerktechnik auskennst, dann würde ich dir zu
MikroTik Geräten raten. Mit denen ist deine Aufgabenstellung problemlos
umsetzbar. Und das Preis- / Leistungsverhältnis ist sehr gut.
Damit du aber gewarnt bist: Deine Konfiguration erfordert sicher einiges
an Einarbeitungszeit bis du deine Konfiguration Umsetzten schaffen
wirst. MikroTik Geräte bieten so viel Funktionalität das damit auch eine
gewisse Komplexität einhergeht.
Je nachdem welchen Traffic (Bandbreite) du zwischen den verschiedenen
Segmenten "routen" willst, würde ein anderes Modell passen.
Ich würde vermutlich zu einem CRS109 (ca. 150 Euro) greifen.
https://routerboard.com/CRS109-8G-1S-2HnD-IN
Liebe Grüße,
Lui
> Der kann z.B.> Zugriffskontrollliste L2-..L4-Paketfilterung, basierend auf Quell- und> Ziel-MAC-/IP-Adresse, TCP-/UDP-Ports, 802.1p, DSCP, Protokoll und> VLAN-ID> Zeitbasiert
Richtig lesen. Die ACLs beziehen sich auf das Web Management Interface.
Sonst kann der Switch nicht allzuviel außer VLAN.
Den Sat-IP Kram und die TV Boxen wollte ich auf einer komplett anderen
Range laufen lassen und manuell konfigurieren.
Also z.B. 192.168.200.x
Oder ich hänge den TV Kram in meinen IP Bereich rein.
Hauptsache PC-Mäßig bleibt bei den Schwiegereltern erst mal alles wie
gehabt.
Dank DVB-T Abschaltung darf ich nun endlich eine "hässliche"
Satellitenschüssel installieren.
Vorher haben die Schwiegereltern das abgelehnt.
Im Wohnzimmer gabs Kabel-TV (Nur Analog und unverschlüsselte Kanäle),
und für die Nebengeräte reichte "DVB-T"
Das Argument mit "DVB-T2 kostet monatlich" war der Punkt, wo sie sagten,
nagut, dann gibts ne Sat Anlage. Aber eben so schonend wie möglich, und
ohne neue Kabel in der Wohnung.
> Den Sat-IP Kram und die TV Boxen wollte ich auf einer komplett anderen> Range laufen lassen und manuell konfigurieren.
Jo mei, dann teil' das halt auf 3 VLAN auf. Eins für SAT-IP, eins für
deine Schwiegereltern und eins für dich. Dazu irgendwo ein VLAN-fähiger
Router (irgendeine Billigkiste mit OpenWRT/LEDE) und dann passt das.
Hi,
ich hab nochmal über deine Anforderungen nachgedacht. Wenn du wirklich
nur ein Gerät mit 3 Ports brauchst (für deine 3 Netze) dann wäre es auch
noch eine Möglichkeit zu einem MikroTik Router zu greifen. Diesen dann
nur im Bridging Modus betreiben (Bridge Firewall enabled) und mit den
entsprechenden Firewall-Rules füttern.
Die Konfiguration ist damit einfacher (als VLANs) und von der
Performance her sollte es reichen.
Ich habe gerade gesehen, dass ein neuer RB750 herausgebracht wurde.
Kostet < 60 Euro und kann was du brauchst.
https://routerboard.com/RB750Gr3
Liebe Grüße,
Lui
1N 4. schrieb:> Richtig lesen. Die ACLs beziehen sich auf das Web Management Interface.> Sonst kann der Switch nicht allzuviel außer VLAN.
Hmm nagut.
Die Direktverbindungsmöglichkeit kann wie gesagt erst mal wegfallen.
Solange dann von beiden Seiten die TV-Anlage nutzbar ist, ist alles
okay.
Statt FTP-Direktverbindungen zu machen, können wir den Dateiaustausch ja
auch übers NAS machen.
Wie oben beschrieben reichen zwei VLANs dafür aus. Geräte die von beiden
VLANs aus erreicht werden sollen bekommen eben beide VLANs zugeordnet.
Eines der Geräte das von beiden VLANs aus erreichbar ist, könnte dann
zusätzlich noch IP Routing zwischen den beiden Netzen machen und damit
für die Verbindung zwischen den Netzen sorgen. (Und dabei dass dann auch
entsprechend deinen Wünschen filtern). Z.b. die NAS, die läuft meist ja
sowieso 24h. Wenn Du da ein eigenes System mit Linux aufsetzt lässt sich
das sehr einfach realisieren.
Wir haben in der Firmware in unseren Testracks gute Erfahrungen mit
Netgear GS105E und GS108E Switchen gemacht.
> Wie oben beschrieben reichen zwei VLANs dafür aus. Geräte die von beiden> VLANs aus erreicht werden sollen bekommen eben beide VLANs zugeordnet.
Woher weiß der Switch, dass er die Pakete von einem ungetaggten Port auf
mehrere VLANs verteilen soll? Würde mich nicht darauf verlassen, dass
das reibungslos funktioniert.
1N 4. schrieb:> Woher weiß der Switch, dass er die Pakete von einem ungetaggten Port auf> mehrere VLANs verteilen soll? Würde mich nicht darauf verlassen, dass> das reibungslos funktioniert.
man muss es festlegen. Und man kann nur ein VLAN festlegen. Das wird
meines wissen so nicht funktionieren.
Ich würde sagen, man braucht einen Router zwischen beiden Netzen.
Nachtrag:
eventuell geht es mit einen Switch der "Port Isolation" unterstützt. Da
kann man festlegen das z.b. Port1 niemals mit Port2 direkt reden darf.
Inwieweit welche Switches Ports in mehreren VLANs unterstützen ist
natürlich die Frage. Ich meine, mal vor längerer Zeit sowas in der Hand
gehabt zu haben, daher aus dem Gedächtnis obiges Konzept. Scheint aber
nicht so zu sein, also vergiss diese Idee lieber wieder.
Ich würde einen managed switch + einen router nehmen (am besten einen
mini-PC mit Linux). Einen router braucht man sowieso und es ist
eigentlich egal ob er zwischen WAN und (mehreren) (V)LANs routet oder ob
er auch zwischen den VLAN tut.
Die VLANs würde ich strikt separat halten, sonst hat es kein Sinn.
Andreas M. schrieb:> Wir haben in der Firmware in unseren Testracks gute Erfahrungen mit> Netgear GS105E und GS108E Switchen gemacht.
Allerdings muss man wissen, dass Netgear seine Nutzer ausspioniert. Und
das finde ich richtig ekelhaft, wenn immer beim konfigurieren der Switch
(bzw. der Browser) nach hause "telefoniert"...
...also mir ist bis jetzt auch kein Switch untergekommen, der auf einem
Port mehr als EIN ungetaggtes VLAN zulässt. Wie sollte er auch die auf
diesem Port eingehenden Pakete wieder einem VLAN zuordnen?
Eigentlich ist die Aufgabenstellung der klassische Fall für einen L3
Switch mit ACLs, oder aber ein L2 Switch mit einer Firewall/Router
(wahlweise über mehrere physikalische Interfaces oder 802.1q trunk
angebunden).
Was bedeutet denn "bezahlbar"?
...vlt. kannst Du ja auf eBay einen Cisco SG300-10 günstig schiessen.
Der würde alle Deine Anforderungen erfüllen, die Konfiguration ist
allerdings rein CLI basiert.
Aber sicher gibt es auch von anderen Herstellern noch günstigere
Sachen...
Ja, zum beispiel HP-Enterprise Switches 1820/30er Serie. Wenn wirklich
nur 8 Ports nötig sind dann sind die auch vergleichbar günstig wie der
TP-Link - ich würde HP aber immer vorziehen...
Sven schrieb:> Ich suche einen bezahlbaren Managed Switch (4-8 Ports) für folgendes> Einsatzszenario:
Ich persönlich würde das mit den VLANs lassen, Consumer-Hardware ist oft
nicht wirklich dafür vorbereitet und passende Profi-Hardware ist teuer.
Vermutlich ist es einfacher, zwei richtige LANs mit verschiedenen
Adress-Ranges zu benutzen, Deine gesharten Ressourcen in ein drittes LAN
ebenfalls mit einer eigenen Adreß-Range zu packen, und die gesharten
Ressourcen über eine Triple-Homed-Maschine mit Reverse Proxies
bereitzustellen. Dann sind Deine Netzwerke komplett voneinander
isoliert, Du muß in keinem der Netze irgendwelche
Konfigurationsänderungen vornehmen, und das Einzige, was Du brauchst,
ist ein oller PC oder ein SBC mit drei GBit-NICs, wie etwa ein Soekris
net6501-30 oä.
