Mehrere Subnetze über ein Kabel/Switch

[Medium]

Ui, da arbeitet man schon so lange mit PCs, und mir fiel nie das Tab "Alternative Konfiguration" bei den IPv4 Einstellungen auf, bzw. hab auf Erweitert gedrückt :oops:

Tagging scheint mir mit einigem Konfigurationsaufwand verbunden zu sein, und da die kundeneigene IT Abteilung mit Freude Dinge kompliziert macht und rumzickt (und inkompetent ist), will ich von denen nicht mehr verlangen müssen als einen IP Nummernkreis mit dem wir vor deren DHCP sicher sind.

Ob das nachher dann über einen NIC mit 2 IPs oder 2 NICs läuft ist mir fast schon egal. Ich probiere einfach mal beides. Wichtig ist dann nur, dass Switches dazu in der Lage sind Pakete aus 2 Netzen, die er über getrennte Ports bekommt, über einen einzelnen 3. Port in das Kundennetz weiter zu reichen, so dass "PC3" auch alles mitbekommt. Änderungen an Geräten im Kundennetz stehen aber leider völlig ausser Frage.

[Sir Rufo]

Zitat:

Zitat von divBy0 (Beitrag 1230004)

Zitat:

Zitat von Sir Rufo (Beitrag 1230000)

Zitat:

Zitat von divBy0 (Beitrag 1229997)

Ich bin mir nicht ganz sicher, aber ist das Aufteilen über einen gemeinsamen Switch nicht der Einsatzfall für VLAN?

Nicht zwangsläufig.

Ein VLAN trennt die Netzwerke nur voneinander ab, als ob man unterschiedliche Switche nehmen würde

Das ist doch was er möchte. Ein VLAN für das Produktionsnetz einrichten, alle PCs und Steuerungen in diesem VLAN sind untereinander erreichbar, kommen aber nicht ins Büronetz und umgekehrt.

So wie ich das sehe möchte er das nicht, sondern 2 physikalisch getrennte Netze auf eins legen.
Das geht auch ohne VLAN.

Ein VLAN macht hier aber durchaus Sinn, da stimme ich mit dir überein 8-)

[Sharky]

Zitat:

Zitat von Medium (Beitrag 1229994)

Hallo liebe Netzwerkkundige,

Hai Medium,

ich würde 250 Euro in die Handnehmen und eine Firewall kaufen. (z.B. Cisco ASA 5505).
Dort die beiden Switches anschliessen und die Kommunikation zwichen den Netzen über Regeln steuern.

[Medium]

Die beiden Netze sollen ja eigentlich gar nicht miteinander sprechen können. Es sollen wirklich 2 Netze sein (so als wären es physikalisch getrennte Kabel), und nur Rechner, die beide IP-Kreise abdecken sollen in beiden Netzen agieren können. Eine FW wäre hier meiner bisherigen Erachtung nach nur zusätzlicher Administrationsaufwand - der definitiv so klein wie möglich gehalten werden muss.

Nochmals zu dem Thema VLAN: Was muss getan werden, um eines zu erhalten? In meiner Netzwerkvorlesung meine ich damals mitbekommen zu haben, dass Switche diese von sich aus bilden. Hier hört sich das anders an. An welchen Geräten muss etwas konfiguriert werden? (Und verstehen Siemens SPSen dann ihre Pakete noch?) Können mehrere VLANs über ein einziges Kabel von Switch zu Switch reden? Hier tappe ich noch völlig im Dunkeln.
Bisher dachte ich: 2 IP Kreise die in unterschiedlichen Subnetzen liegen, und der Trennung ist Genüge getan. (Zumal es wie gesagt keine besonderen Anforderungen an die Datensicherheit gibt.)

[RWarnecke]

Die VLAN's musst Du selber in der Konfiguration des Switches definieren und konfigurieren. Es geht nur ein VLAN über ein Kabel. Es können nicht mehrere VLAN's über ein Kabel verbunden werden. Siehe Beschreibung von SirRufo.

Die Switche musst Du über einen Router verbinden, dieser routet dann die entsprechenden VLAN's an die enstprechenden VLAN's des zweiten Switches. Die zweite Möglichkeit wäre noch, man benutzt die beiden UP-Link Port des Switches um beide VLAN's an einen anderen Switch weiterzuleiten.

[generic]

Den Switchen sind die IP Netze erst einmal egal, denn diese arbeiten auf ARP Ebene. Also eine Stufe unter IP.

Trennungen gehen in folgenden Varianten:
- Vollständige Trennung
- nur mit getrennten Netzwerkkarte und extra Switchen

- Halbe Trennung
- zwei Netzwerkkarten an einen Switch dort sind aber VLan's geschaltet

- Variante halbe Trennung mit einer NK.
- eine Netzwerkkarte, welche auch VLans versteht also an getaggten Ports betrieben werden kann.

Wenn du mit IP-Subnetz arbeites empfiehlt sich der Einsatz eines Routers zwischen den Netzen um ggf. zu Filtern.

[Klaus01]

Zitat:

Zitat von RWarnecke (Beitrag 1230034)

Es geht nur ein VLAN über ein Kabel. Es können nicht mehrere VLAN's über ein Kabel verbunden werden. Siehe Beschreibung von SirRufo.

Das ist so nicht richtig.
Ein Switchport kann auch als trunk/tagged-Port konfiguriert werden.
Dann werden die VLAN Ids über diesen Port mitübertragen.

Wird in der Regel in der Verbindung zwischen zwei Switchen eingesetzt.

Grüße
Klaus

[Medium]

Okay, VLANs fallen damit dann definitiv flach. Das wird die IT dort niemals wollen / auf die Kette bekommen. (Die haben sogar das Adminpasswort für ihre Router vergessen, die die 2 Straßenseiten miteinander verbinden... so eine Art von Haufen ist das. Zum Glück sind wir nur auf einer tätig.) Man wird mich schon dafür bestöhnen, dass ich nach einem Nummernkreis fragen werde :?

Von daher wird es wohl die "schlechte" Lösung werden: Einfach zwei Nummernkreise, alles in einen Switch und ab damit ins Kundennetz. Der zweite Nummernkreis ist dann im Prinzip nur dafür da, dass wir die statisch vergeben können. (Ganz am Anfang war noch geplant ein komplett physikalisch getrenntes neues Netzwerk aufzubauen, was aber aus Kostengründen umgestaltet wurde.) Hach, wäre es doch schön in der Realität Dinge einfach mal optimal machen zu können :stupid:

Ich danke euch!

[sx2008]

Zitat:

Zitat von Medium (Beitrag 1230047)

Der zweite Nummernkreis ist dann im Prinzip nur dafür da, dass wir die statisch vergeben können.

Bei einem DHCP-Server kann man Bereiche angeben, die der Server dann nicht vergibt.
Dieser IP-Nummernblock ist dann reserviert für manuelle Vergabe.
Wenn es darum geht "dummen Geräten" eine feste IP zu verpassen weil diese Geräte weder DHCP noch DNS implementiert haben, dann wäre das der einfachste Weg.