Internetbox 4 VLAN Routing

Pleplaneuld31

Hallo zusammen,

Ich habe zuhause eine Swisscom Internet-Box 4 im Einsatz und möchte ein VLAN für einen NUC einrichten, welchen ich über Ubuntu Server als Webserver betreiben will. Hier ist mein Setup und die Probleme, die ich habe:

Setup:

Internet-Box 4:
IP-Adresse: 192.168.0.1 (Standard-Gateway)
DHCP-Bereich: 192.168.0.101 - 192.168.0.220
Netgear GS105E-Switch:
Verwaltungs-IP-Adresse: 192.168.0.239
Gateway-IP-Adresse: 192.168.0.254
Intel NUC 12 (Server):
VLAN-ID: 2
Statische IP-Adresse: 192.168.2.10/24
Konfiguriert in der /etc/netplan/01-netcfg.yaml Datei auf dem NUC

Probleme:

Ping-Tests:
Ping auf Domains oder 8.8.8.8 funktioniert nicht.
Ping auf das Gateway (über 192.168.0.1) schlägt fehl mit “network is unreachable”.
Ping auf das VLAN-Gateway (192.168.2.1) schlägt fehl mit “destination host unreachable”.
**Statische Route:
**Ich habe versucht, eine statische Route auf der Internet-Box 4 einzurichten (schlägt fehl):
- Ziel-Netzwerk: 192.168.2.0
- Subnetzmaske: 255.255.255.0
- Weiterleiten zu Gerät: 192.168.0.239 (Netgear Switch)
DNS-Konfiguration:
Die DNS-Server sind in der /etc/netplan/01-netcfg.yaml Datei wie folgt konfiguriert:

nameservers:

addresses: [195.186.4.162, 195.186.1.162]

Bisherige Schritte zur Fehlerbehebung:

Netzwerkkonfigurationsdatei auf dem NUC:
Überprüft und angewendet:

network:

version: 2

renderer: networkd

ethernets:

enp2s0:

  dhcp4: no

vlans:

enp2s0.2:

  id: 2

  link: enp2s0

  addresses:

    - 192.168.2.10/24

  routes:

    - to: default

      via: 192.168.2.1

  nameservers:

    addresses: \[195.186.4.162, 195.186.1.162\]

Routing-Tabelle auf dem NUC überprüft:

default via 192.168.2.1 dev enp2s0.2 proto static

192.168.2.0/24 dev enp2s0.2 proto kernel scope link src 192.168.2.10

Firewall-Status überprüft:
Keine blockierenden Regeln gefunden.
Verwendung von traceroute:
Keine klare Erkenntnis, wo die Pakete verloren gehen.

Unterstützt die Swisscom Internet-Box 4 überhaupt VLAN-Routing und wie kann ich dies korrekt einrichten?

Vielen Dank im Voraus für eure Hilfe!

NilsL

Die IB kann kein VLAN Routing, ich würde dir empfehlen hinter die IB ein MikroTik Router oder ein Pfsense oder sonst was zu hängen und die Box nur noch für den reinen Access nutzen

Lori-77

Hallo @Pleplaneuld31

Du brauchst zuerst eine Sub Domain oder Domain.

- Dann musst du diese Sub.Domain auf deine IB4 weiter leiten.

- Die Internet-Box hat ja einen DynDNS, entweder der von Swisscom oder du kannst einen anderen verwenden.

- Dann musst du eine Portweiterleitung 80 / 443 auf dein Ziel-Gerät machen.

Dann solltest du ihn auch pingen können.

Aber für das brauchst du eine öffentliche IP-Adresse auf deinem Router.

Und es funktioniert wunderbar, mit den Diensten.

Aber du musst wiesen welche Ports du wie weiterleitest.

Gruss Lorenz

Werner

@Lori-77

Den Wunsch des Fragestellers einen Web-Server in einem eigenen VLAN zu kapseln und somit vom übrigen LAN abzukapseln kann ich durchaus nachvollziehen.

@NilsL hat aber absolut recht, das überfordert die verfügbaren Funktionen einer Swisscom Internetbox und deshalb ist sein Vorschlag das Netz aufzuteilen in ein reines Access-Netz und dann in ein bis mehrere nachgelagerte zusätzliche interne Netze, wo eines davon bewusst direkt aus dem Internet zugreifbar gemacht wird, der einzig richtige Weg.

Pleplaneuld31

Ich habe einen MikroTik anstelle vom Netgear-Switch verwendet und musste nur noch eine statische Route in der IB4 eingeben. Jetzt funktioniert das Ganze prima 🙂

Danke für die Hilfe!

Pleplaneuld31

@NilsL Ein Problem kriege ich noch nicht gelöst:
Mein Laptop ist im Subnetz 192.168.0.x (also im normalen LAN) und mein
NUC ist im Subnetz 192.168.2.x (also im VLAN-2), angeschlossen am Mikrotik.
Vom NUC kann ich den Laptop immer anpingen,
vom Laptop kann ich den NUC nur anpingen, solange der Laptop im Mikrotik eingesteckt ist. Sobald
er wieder im WLAN ist, geht der Ping nicht mehr raus, rein aber schon.
Das muss doch etwas mit dem WLAN-Routing nicht stimmen? Interessant ist ja, dass es auf einem Weg funktioniert, aber nicht auf dem Rückweg..

r00t

Hi @Pleplaneuld31

Welchen MikroTik Switch mit welchem OS hast du im Einsatz?

Falls du Router OS hast, musst du zwingend VLAN filtering auf der bridge aktivieren, denn:

Note: PVID has no effect until VLAN filtering is enabled.

Fussnote: Es gibt kein “WLAN-Routing” - bei der Internetbox ist WLAN (ausser Gast-WLAN) und LAN im selben VLAN. 😉

r00t

5018

Noch als kleine Randbemerkung:

Grundsätzlich können die IBs VLAN. Es wird intern fürs Gast-WLAN und auch im Bereich Bonding genutzt. Es gab auch mehrere Diskussionen, ob man VLAN als allgemeine Funktion anbieten soll. Dabei stellt sich wie bei allen Funktionen immer die Frage, wie gross der erwartete Nutzerkreis ist, welche Probleme entstehen können, weil z.B. Kunden damit rumspielen und keine Ahnung davon haben und was die Entwicklung und der Unterhalt kostet. Bislang war die Einschätzung, dass der Bedarf so gering ist, dass es sich nicht lohnt, die Funktion einzuführen. Aber wer weiss, vielleicht wird sich das ja irgendwann ändern.

Pleplaneuld31

Hi @r00t

Ich habe den hEX S RB760iGS mit dem RouterOS v6.49.10 im Einsatz.
Habe das VLAN-filtering auf der Bridge nun enabled und es klappt leider immer noch nicht..

r00t

Hi @Pleplaneuld31

Ist auf dem MikroTik Router die Firewall aktiviert? Falls ja, müsstest du noch:

- Den Zugriff vom Swisscom Netz zum “LAN” des Mikrotik Routers erlauben

- Das “Masquerade”-NAT auf dem Mikrotik Router deaktivieren

r00t

Pleplaneuld31

Hey @r00t

In der Firewall vom Mikrotik hatte ich bereits zwei Forward-Regeln hinzugefügt für die Kommunikation
vom LAN und VLAN:
add action=accept chain=forward dst-address=192.168.2.0/24 src-address=192.168.0.0/24
add action=accept chain=forward dst-address=192.168.0.0/24 src-address=192.168.2.0/24
Die “masquerade”-Regel im NAT habe ich nun mal entfernt.
Dem NUC habe ich die statische IP 192.168.2.10/24 gegeben und das VLAN Gateway hat 192.168.2.1

Vom NUC aus kann ich alles anpingen, auch alle Rechner im Subnetz 192.168.0.x
Umgekehrt kann ich zwar das VLAN Gateway 192.168.2.1 anpingen, erreiche aber den NUC nicht.
Auch via SSH-Server nicht (was eigenltich mein Ziel der ganzen Übung wäre).
Die Firewall auf dem NUC (Ubuntu Server) ist deaktiviert und DHCP ist ebenfalls deaktiviert.

Hast du allenfalls noch eine Idee wo hier der Wurm drin ist?

Pleplaneuld31

Für Interessierte:
Die Lösung war eine statische Route vom Laptop auf den NUC einzurichten.
Ansonsten hat der IB4 Router die Anfragen vom Laptop, über die öffentliche IP geschickt
anstatt direkt auf den Mikrotik zu routen.