Probleme Netzwerkaufbau

Anndreas

Hallo Zusammen!

Ich hoffe mal im richtigen Forum zu schreiben. Bastle nun seit längerem an diesem Problem und hab mich durch viele Foren geklickt. Jedoch hab ich nach jeder Aenderung wieder wo anders ein Problem. Darum möchte ich gerne bei Euch nachfragen ob meine Grundinstallation überhaupt i.o. so oder kreuzfalsch

Ich hab mein erstes Netzwerk erstellt und immer wieder erweitert. Nun ist es so, dass ich immer wieder ein Problem hab. Zum Beispiel finde ich die eine Sicherheitskamera nicht im Netzwerk, am Tag darauf oder nach Neustart des Routers oder Switch ist diese wieder vorhanden - dafür fehlt eine andere. Dann ist der Drucker von einem PC gut erreichbar und vom anderen nicht.. Ich vermute, dass ich irgendwo im Aufbau einen grundlegenden Fehler gemacht hab.

Ich hab mein Netzwerk aufgezeichnet und wollte diese Skizze hochladen...aber geht leider nicht. Mein Problem hatte ich noch in einem anderen Forum gepostet, leider ohne Anwort. Die Skizze des Netzwerkes konnte ich dort jedoch hochladen. Ihr findet diese unter http://www.zyxelforum.de/download/fi...1051&mode=view

Falls es mit diesem Link nicht funktioniert nachfolgend in Worten..

1. Router (Zyxel P870HN-51b)
2. Switch (Zyxel Gs1100-16)
angeschlossen an diesem Switch sind folgende Geräte:
2.1 Kamera (Logitech Alert)
2.2 Drucker (Brother MFC-9970CDW)
2.3 PC Win8
2.4 NAS (Synology DS2013+)
2.5 Wlan Router (Netgear-N300) - angeschlossen daran eine weitere Kamera (Logitech Alert)
2.6 Switch (Zyxel ES105A) - angeschlossen daran PC (Win7) und eine Kamera (Logitech Alert)

Nun meine Fragen dazu...

- Ist der Aufbau richtig? Vom Router zum Switch und von dort alles verteilen? Oder würde ich besser die beiden Switch und den Netgear WLAN Router direkt am P870HN anschliessen?

- Könnte es sein, dass der zweite Router (Netgear) Probleme macht und ich dort besser einen Accesspoint mache?

- Muss ich irgendwo in dieser installation cross kabel verwenden oder alles normale?

Vielen Dank im Voraus für Eure Infos!!

POGO 1104

@Anndreas schrieb:

- Ist der Aufbau richtig? Oder würde ich besser die beiden Switch und den Netgear WLAN Router direkt am P870HN anschliessen?

Eigentlich sollte das funktionieren, ein anderer Aufbau ist nicht wirklich notwendig - Details weiter unten

@Anndreas schrieb:

- Könnte es sein, dass der zweite Router (Netgear) Probleme macht und ich dort besser einen Accesspoint mache?

Hier kann durchaus ein Problem sein, denn alle Geräte, welche per LAN und WLAN am Netgear "hängen", sind in einem anderen IP-Netz als alle anderen Geräte. Du solltest den Netgear also besser als Switch mit AP betreiben anstatt als WLAN-Router. Dazu lässt du die WAN/Internet-Buchse frei (nimmst also eine beliebige LAN-Buchse des Netgears zur Verbindung mit dem restlichen Netz), gibst dem Netgear eine feste, noch freie LAN-IP, und deaktivierst auf dem Netzgear den DHCP-Server.

Je nach Netzgear Router und dessen Firmware ist es vielleicht möglich, anstelle obiger Schritte die Betriebsart via WEB-GUI von Router auf AP umzuschalten.

So sollte es klappen und ALLE Geräte befinden sich im selben Netz

Gruss, o.s.t.

WalterB

Warum ist da ein Zyxel Router vorhanden, wurde der Original von Swisscom geliefert?

Wichtig ist das nur ein Router im Netzwerk vorhanden ist, also den Netgear als reinen WLAN Accesspoint einstellen!

Am besten dem NAS, Drucker und den Kamera feste IP-Adressen zu vergeben.

Anndreas

Hallo!

Vielen Dank für die Antwort! Ja, dieser wurde von Swisscom geliefert. Ich hab Busines Internet hier mit einer fixen Ip.

Ich nehme an, dass ich nun am Router DHCP Server ausstellen muss und dann die IP's vergebe. Wie kann ich sicher stellen, dass z.B. über das Wlan trotzdem noch Personen zugriff haben auf das Internet mit Handy, Laptop, etc.?

POGO 1104

@Anndreas schrieb:
Ich nehme an, dass ich nun am Router DHCP Server ausstellen muss und dann die IP's vergebe. Wie kann ich sicher stellen, dass z.B. über das Wlan trotzdem noch Personen zugriff haben auf das Internet mit Handy, Laptop, etc.?

Bezieht sich deine Frage oben auf den Netgear Router?

Hmmm, Netgaer als AP: WLAN Zugriff sollte ganz normal weiterfunktionieren, aber diese Teilnehmer haben dann Zugriff auf das gesamte Netzwerk - Frage ist, ob das OK ist. Ansonsten wäre das schon richtig, wenn dort der Netgear als Router werkelt, dann ist dort nämlich eine Trennung (NAT) zum restlichen Netzwerk - Internetzugang sollte aber problemlos möglich sein.

Kannst du die Webcam, welche am Netgear Router ist, nicht am anderen Netz vom Zyxel 870 anschliessen, das wäre die einfachste lösung.

PowerMac

Hallo Anndreas.

Am Zugangsrouter (dh. am Zyxel P870HN-51b) würde ich den DHCP-Server eingeschaltet lassen. Am WLAN-Router (also am Netgear, welches Modell eigentlich genau?) musst du den DHCP-Server ausschalten. Wichtig ist ausserdem, dass den Netgear mit dem restlichen Netzwerk an einem von dessen LAN-Ports, NICHT (!!) dem WAN-Port, verbindest. Dann können sich auch noch Personen übers WLAN mit ihren Laptops und Handys verbinden.

Dann wäre da noch die Frage, wieviel Geräte und wieviel Datenverkehr auf dem WLAN erwartet wird. Aus der Skizze zu schliessen geht es um einen Event; möglicherweise ist ein einzelner Accesspoint zu wenig, insbesondere wenn viel Daten übertragen werden.

Nachtrag: obige Lösung ermöglicht allen WLAN-Teilnehmern vollen Zugriff aufs Wired-LAN und ist daher nur zu empfehlen, wenn allen WLAN-Teilnehmern vertraut wird.

Anndreas

Ich könnte an der LAN Dose wo ich den Netgear Router angehängt hab einfach nochmals einen Switch machen. So hätte ich die Webcam und den WLAN Netgear Router "getrennt" angeschlossen. Verstehe ich dies richtig?

Wir sind ein kleines Sportcenter und ich möchte schon nicht, dass gleich jeder Athlet zugriff auf das ganze Netzwerk hat. Kann ich dies trennen? Ich hab ein LAN kabel direkt vom Modem (Zyxel) zum Netgear und der Kamera. Wenn ich dort wie oben beschrieben nochmals einen Swich reinhänge könnte ich dies dann so einrichten?

POGO 1104

So wie du das beschrieben hast mit dem kleinen Switch vor dem Netgear, sollte dein Vorhaben klappen und das WLAN am Netgear ist getrennt vom anderen Netz.

Anndreas

Hallo PowerMac und o.s.t

Vielen Dank für Eure antworten!!

Also es handelt sich beim Netgear Router um das folgende Modell http://www.netgear.ch/products/home/wireless_routers/work-and-play/WNR2000.aspx#

Nur um sicher zu gehen...Ist mein erster Versuch mit einem Netzwerk und so ganz schau ich noch nicht durch 🙂

- Am Zugangsrouter (Zyxel P870HN-51b) lasse ich den DHCP-Server eingeschalet

- An allen fixen Geräten (fixe PCs, Drucker, Kameras, Switches und dem Netgear Router) vergebe ich eine fixe IP

- Die eine LAN Leitung schliesse ich direkt am Zyxel Router an, dann einen Switch und dort schliesse ich das Netgear sowie die eine Kamera an. Alle drei LAN Stecker kommen in die LAN Buchsen, nicht in den WAN Port.

- Am Netgear Router stelle ich den DHCP-Server aus

Somit hab ich:

- keinen Konflikt mit den DHCP Servern (Netgear und Zyxel)

- Kein Problem, dass die WLAN Benutzer in das Netz kommen

- Mit den fixen IPs bei den festen Geräten eine bessere Übersicht

- Wird ein PC an einem LAN Zugang angeschlossen bezieht er trotzdem automatisch eine IP. Ist jedoch im internen Netz.

Eine Frage ist noch offen:

- Muss ich beim Zungangsrouter von Zyxel beim DHCP einstellen welche IP's er vergeben darf? Damit es sicherlich zu keiner Doppelvergabe kommt?

Vielen vielen Dank und Gruss

Andreas

Anndreas

Hallo PowerMac und o.s.t

Vielen Dank für Eure antworten!!

Also es handelt sich beim Netgear Router um das folgende Modell http://www.netgear.ch/products/home/wireless_routers/work-and-play/WNR2000.aspx#

Nur um sicher zu gehen...Ist mein erster Versuch mit einem Netzwerk und so ganz schau ich noch nicht durch 🙂

- Am Zugangsrouter (Zyxel P870HN-51b) lasse ich den DHCP-Server eingeschalet

- An allen fixen Geräten (fixe PCs, Drucker, Kameras, Switches und dem Netgear Router) vergebe ich eine fixe IP

- Am Netgear Router stelle ich den DHCP-Server aus

Somit hab ich:

- keinen Konflikt mit den DHCP Servern (Netgear und Zyxel)

- Kein Problem, dass die WLAN Benutzer in das Netz kommen

- Mit den fixen IPs bei den festen Geräten eine bessere Übersicht

- Wird ein PC an einem LAN Zugang angeschlossen bezieht er trotzdem automatisch eine IP. Ist jedoch im internen Netz.

Eine Frage ist noch offen:

- Muss ich beim Zungangsrouter von Zyxel beim DHCP einstellen welche IP's er vergeben darf? Damit es sicherlich zu keiner Doppelvergabe kommt?

Vielen vielen Dank und Gruss

Andreas

POGO 1104

Ich habe meine Comments direkt in dein Zitat unten geschrieben!

Nur kurz vorweg: Den Netgear WNR2000 lässt du wie er ist als Router mit DHCP, sonst hast du keine Trennung!

@Anndreas schrieb:
- Am Zugangsrouter (Zyxel P870HN-51b) lasse ich den DHCP-Server eingeschalet >>>richtig

- An allen fixen Geräten (fixe PCs, Drucker, Kameras, Switches und dem Netgear Router) vergebe ich eine fixe IP >>> für die PC's kannst du dynamische IP belassen und nur den anderen genannten Geräten fixe IP's geben

- Die eine LAN Leitung schliesse ich direkt am Zyxel Router an, dann einen Switch und dort schliesse ich das Netgear sowie die eine Kamera an. Alle drei LAN Stecker kommen in die LAN Buchsen, nicht in den WAN Port.

>>> den Netgear schliesst du wie bisher mit dem WAN-Port an, sonst hast du für dessen WLAN Teilnehmer keine Trennung!

- Am Netgear Router stelle ich den DHCP-Server aus >>> nein, so lassen wie es ist. Das DHCP gilt nur für die LAN/WLAN Seite des Netgears

Somit hab ich:

- keinen Konflikt mit den DHCP Servern (Netgear und Zyxel) >>>hast du sowieso nicht

- Kein Problem, dass die WLAN Benutzer in das Netz kommen >>>ja, wenn du den Netgear mit der WAN-Buchse in dein Netz hängst

- Mit den fixen IPs bei den festen Geräten eine bessere Übersicht >>>richtig, aber für PC's kannst du dynamische lassen - Ansichtssache... (je mehr Geräte du mit fixen IP's verwaltest, desto grösser ist die Gefahr durch IP-Doppelbelegung. Bei Vergabe über DHCP-Server gibts das nicht)

- Wird ein PC an einem LAN Zugang angeschlossen bezieht er trotzdem automatisch eine IP. Ist jedoch im internen Netz. >>>richtig

Eine Frage ist noch offen:

- Muss ich beim Zungangsrouter von Zyxel beim DHCP einstellen welche IP's er vergeben darf? Damit es sicherlich zu keiner Doppelvergabe kommt? >>>der Zyxel ist alleiniger DHCP-Server für das interne Netz, somit gibt es keine Doppelvergabe. >>>der DHCP-Server vom Netgear wirkt nur aufs LAN/WLAN vom Netgear. Trotzdem würde ich den DHCP-Server vom Netgear einen anderen Bereich geben - nur schon der Übersicht halber. z.B. im Bereich von 192.168.2.x - y, der Zyxel vergibt im Bereich von 192.168.1.x-y)

Die zweite Netzwerkamera schliesst du wie von dir selbst vorgeschlagen mit einem Zusatz-Switch VOR dem Netgear an

Gruss, o.s.t.

PowerMac

Ähm, sorry o.s.t. wenn ich da widerspreche, aber diese Vorgehensweise bringt sicherheitsmässig wenig bis nichts, da die WLAN-Teilnehmer nach wie vor Zugriff aufs interne Netz haben. Nur umgekehrt geht der Zugriff vom LAN aufs WLAN nicht. Eine (meines Erachtens unschöne) Lösung wäre bloss, sowohl das WLAN als auch das LAN auf den selben IP-Range zu legen. Oder (ein wenig eleganter) man konfiguriert auf dem Netgear eine Firewall-Rule, die alle direkten Zugriffe auf IPs im LAN-Range blockt. Standardmässig haben die Geräte jedenfalls unterschiedliche Ranges: Zyxel hat 192.168.1.0/24 und der Netgear 192.168.0.0/24.

POGO 1104

@PowerMac schrieb:

Ähm, sorry o.s.t. wenn ich da widerspreche, aber diese Vorgehensweise bringt sicherheitsmässig wenig bis nichts, da die WLAN-Teilnehmer nach wie vor Zugriff aufs interne Netz haben. Nur umgekehrt geht der Zugriff vom LAN aufs WLAN nicht...

Richtig - andersrum, hast natürlich Recht - war überlegungsfehler.

Habs halt bisher immer nur mit der Gäste-WLAN Funktionalität des Routers gemacht oder bei mehreren AP's via VLAN's zugeordneten SSID's mit entsprechenden Rechten.

Kommt mir gerade in den SInn: Wenn der WNR2000 ein Gäste WLAN hat, dann sollte es doch auch klappen mit der Isolation...?!?!

PowerMac

Spätestens bei einem Gäste-WLAN wirds mit den vorhandenen Geräten eng. Die Bedienungsanleitung des Netgear-Routers enthält nichts über Multi-SSIDs, der GS1100-16 ist unmanaged und kann keine VLANs. Das Manual des Zyxelrouters hat ein kurzes Kapitel über mehrere konfigurierbare SSIDs, allerdings siehts nicht so aus als ob man die einzelnen SSIDs voneinander und vom internen Netz isolieren könnte. Summa Summarum: Sicheres Gäste-WLAN geht mit den vorhandenen Geräten leider nicht so einfach. Wenn du das WLAN zumachst bzw. nur für Funktionäre freigibst, könnte das Ganze aber vertretbar sein - die Entscheidung liegt natürlich bei dir.

POGO 1104

@Anndreas,

wäre es ggf. möglich, vom 16-Port Switch eine 2. Leitung zur Position des Netgear Routers zu legen?

Weil dann hätte ich eine relativ günstige Lösung mit einem Zyxel WAP3205v2 anstelle des Netgear.

o.s.t.

Anndreas

hmm....schade, dass ich dies nicht so einfach machen kann.

Vermutlich kann ich keine zweite Leitung ziehen, denn das vorhandene Rohr ist ca. 60m lang und hat bereits ein dickes Stromkabel sowie ein Lan Kabel mit drinn.

Der Zugangsrouter im Büro (Zyxel P-870HN-5b) hat ja Wireless. Dieses brauche ich nicht um in das Netzwerk zu kömmen. Könnte man allenfalls Diesses trennen vom internen Netz. Dann könnte ich einfach mit einem Repeater dieses vorhandene Signal verstärken. Könnte dies eine Lösung sein?

Anndreas

Sorry für die dumme Frage...aber was kann passieren, wenn die Gäste Zugang auf das interne Netz haben? Grundsätzlich braucht es ja für den Zugriff auf die angeschlossenen PC's eh einen Benutzername und Netzwerk. Auch auf das Nas kann man nicht einfach zugreifen.. Einzig drucken könnte jeder, obwohl ich dort vermutlich relativ einfach bestimmen könnte wer Zugriff hat. Die Kameras sind ebenfalls nicht ohne Passwort sichtbar.

Wenn ich nun das WLAN mit einem einfachen Passwort ausstatte und so unsere Sportler und Gäste Zugang haben könnten diese nicht all zu viel anrichten, oder? Dieses Passwort könnte ich ja auch noch jeden Monat anpassen um die Kontrolle zu behalten wer Zugriff hat.

Tux0ne

Wahrscheinlich ist es überflüssig was ich jetzt erwähne. Darum gehe ich auch nicht ins Detail.

Es gibt aber eine funktionierende Lösung zu diesem Problem, mit der bestehenden Hardware.

Alternative Software, dd-wrt zu wnr2000 http://www.dd-wrt.com/site/support/router-database
Konfiguration zum Wireless Access Point http://www.dd-wrt.com/wiki/index.php/Wireless_Access_Point
Konfiguration eines Gastnetzwerkes http://www.dd-wrt.com/wiki/index.php/Multiple_WLANs

Trotz Wikis ist die Konfiguration relativ tricky sofern man sich nicht auskennt.

Weil man den Router zum WAP konfiguriert wird man ziemlich sicher dessen DHCP Server deaktivieren. Daher muss die DHCP Konfiguration gemäss Command Method des Wikis vorgenommen werden usw.

PowerMac

Hallo Anndreas.

Das stimmt genau so wie du es geschrieben hast. Das Sicherheitsrisiko ist nicht gravierend, solange die Geräte auf dem LAN sicher sind und du den Athleten vertraust. Ganz wichtig: ALLE Standardpasswörter und Default-Accounts der Geräte ändern, und die Firmwares/Betriebssysteme stets auf dem aktuellsten Stand halten. Zudem solltest du jederzeit damit rechnen, dass einer der Athleten einen virenverseuchten Rechner mitbringt und ggf. völlig unbewusst und unabsichtlich andere Netzwerkteilnehmer angreift oder dein Netz für anderen Unfug missbraucht. Hab ich selbst schon erleben müssen...

Wie du ja auch schreibst, solltest du das WLAN mit einer Verschlüsselung und einem minimalen Zugangsschutz versehen, wie z.B. SSID "sportzentrum-xy" und Passwort "athlet". Dieses Passwort kannst du dann bekanntgeben (Anschlagbrett o.ä.) und je nach Bedarf regelmässig ändern.

Deluxe-Lösung wäre auf jeden Fall die Variante von Tux0ne mit einer alternativen Firmware wie dd-wrt/openwrt, oder mit von Haus aus VLAN-tauglicher neuer Hardware. Ist aber alles nicht trivial.

Nachtrag: denk dran, dass die Anzahl Clients pro Accesspoint nicht beliebig hoch sein kann. Allerspätestens ab so ca. 30-40 erwarteten Clients solltest du einen zweiten AP auf einer anderen Frequenz und an einem anderen Standort in Erwägung ziehen.

POGO 1104

@Anndreas schrieb:
Vermutlich kann ich keine zweite Leitung ziehen, denn das vorhandene Rohr ist ca. 60m lang und hat bereits ein dickes Stromkabel sowie ein Lan Kabel mit drinn

wenn das bestehende LAN-Kabel 8-polig ist, dann könntest du mit 2 Adaptern 2 LAN-KAbel draus machen:

http://www.brack.ch/tabid/294/Default.aspx?ID=15987

@Anndreas schrieb:
Der Zugangsrouter im Büro (Zyxel P-870HN-5b) hat ja Wireless. Dieses brauche ich nicht um in das Netzwerk zu kömmen. Könnte man allenfalls Diesses trennen vom internen Netz. Dann könnte ich einfach mit einem Repeater dieses vorhandene Signal verstärken. Könnte dies eine Lösung sein?

so wie ich in der Anleitung vom Zyxel 870HN gelesen habe, ist das nicht möglich

@Anndreas schrieb:

Sorry für die dumme Frage...aber was kann passieren, wenn die Gäste Zugang auf das interne Netz haben? Grundsätzlich braucht es ja für den Zugriff auf die angeschlossenen PC's eh einen Benutzername und Netzwerk. Auch auf das Nas kann man nicht einfach zugreifen.. Einzig drucken könnte jeder, obwohl ich dort vermutlich relativ einfach bestimmen könnte wer Zugriff hat. Die Kameras sind ebenfalls nicht ohne Passwort sichtbar.

Wenn ich nun das WLAN mit einem einfachen Passwort ausstatte und so unsere Sportler und Gäste Zugang haben könnten diese nicht all zu viel anrichten, oder? Dieses Passwort könnte ich ja auch noch jeden Monat anpassen um die Kontrolle zu behalten wer Zugriff hat.

eigentlich schon - aber mir wäre es nicht wohl dabei. Wie schnell ist eine offene Freigabe gemacht oder sind von Haus aus schon offene Freigaben vorhanden in der Netzwerkumgebung

Wenn du dir die Lösung von Tuxone mit DD-WRT auf dem WNR2000 zutraust, wäre das sicher eine "einfache" Lösung mit der vorhandenen Hardware.

Ansonsten eben den Y-Leitungsverdoppler (je 1 Stück auf jeder Seite des 60m LAN-Kabel) von oben verwenden und anstelle des WNR2000 einen Zyxel WAP3205v2.

Funktioniert folgendermassen:

Der Zyxel WAP3205v2 hat 2 LAN-Anschlüsse. LAN1 und LAN2. Dann kann man mehrere SSID's definieren und eines davon als Gäste-WLAN. Dieses hat nur auf den Port LAN1 Zugriff und somit nur Internet. Am Port LAN2 hängt dein bisheriges interne Netzwerk und ist isoliert vom Gäste WLAN.

OK, nun führst du das eine LAN-Kabel vom 870HN über den genannten Y-Splitter durch das 60m lange LAN-Kabel zum LAN-Port 1 des WAP3205v2 (dort wo der WNR2000 stand). Dann führst du vom LAN Port 2 des WAP3205v2 das Signal über den SPlitter zurück zum 16-Port Switch beim 870HN. Kurz: Statt der jetzigen Direktverbindung vom 870HN zum 16-Port Switch machst du einen Umweg über den WAP3205v2.

Das ist sozusagen die Sparversion gegenüber einem echten Gäste-Netzwerk mit VLAN's und MultiSSID's.

...und funktioniert definitiv auch ohne Spezialwissen