[Frage] 7270v3 Switch für VLAN konfigurieren.......

[kusanagi]

Hallo zusammen,

ich möchte mir auf einer FritzBox 7270v3 das VLAN einrichten mit:

• LAN1 & LAN2 in einem VLAN1 = 192.168.10.0/24
• LAN3 & LAN4 in einem VLAN2 = 192.178.20.0/24

Da ich bis jetzt noch keine Erfahrungen habe mit FritzBox'n sammeln können bin ich auf dem Gebiet ein regelrechter Anfänger und hoffe das Ihr mir hier weiterhelfen könnt.

Also zu erst was ich habe:

• Boxtyp: 7270_v3
• Freetz Version: freetz-2.0-13414M
• Welche Version war vor dem Flashen auf der Box: FRITZ.Box_Fon_WLAN_7270_v3.74.05.54.image
• Keine Fehlermeldung bei der Installation oder konfiguration

Hilfsmittel: http://freetz.org/wiki/help/howtos/security/switch_config & Die Sufu & Google

Jetzt was ich nicht habe:

• Ahnung

mein Eigentliches Problem ist das ich die Anleitung switch_config irgendwie nicht verstehe. Ich versuche mich schon die ganze Woche in das Thema einzuarbeiten aber irgendwie will das nich......

Spätestens unter "Patch des Standard-Modus" muss ich passen oder auch bei "Anpassungen in der ar7.cfg" soll eine Sektion "cpmacspecial" sein.... das cpma...... finde ich in meiner ar7 datei gar nicht.
Muss ich das dann selber einfügen?
und wenn ja, an welcher Stelle?

Wenn Ihr mir noch weiterhelfen könntet, wäre ich euch sehr dankbar


Gruß
Uwe

 

[kusanagi]

Hallo zusammen,

habe díe tage mal noch weiter hier im Forum geforscht und bin auf folgenden Thread gestoßen:
http://www.ip-phone-forum.de/showthread.php?t=275391

Allerdings sind dort auch interessante Aussagen getroffen worden, wie:

Cpmaccfg funktioniert seit längerer Zeit nicht mehr. Vermutlich musst du die Änderung per Hand in der ar7.cfg eintragen. Such mal, ob sich da irgendwo was findet.

Gruß Oliver

oder auch:

@sharbich:
Lass doch einfach mal den ethmode-Parameter in Ruhe ... es bringt ja eher selten etwas, mit einem uralten HowTo auf modernere Firmware-Varianten "einzuprügeln" und wie Du selbst ja wohl schon festgestellt haben wirst, funktioniert die Umschaltung auf "ethmode_router" bei neuerem avm_cpmac offenbar nicht mehr wie früher.

Passe Deine Einträge im Abschnitt brinterfaces entsprechend an, was da nun genau hinein muß, ist anhand der platten Angabe "[...] LAN1 und LAN2 Port als getrennte Ports konfigurieren" etwas schwer zu bestimmen.

...................

bedeutet das nun dass das ganze cpmaccfg, wie im der Anleitung beschrieben, ich gar nicht mehr machen muss? -> VordefinierteSwitch-Konfigurationen und wie verhält es sich dann mit dem "Standard Modus"?

Gruß
Uwe

 

[PeterPawn]

Irgendwo habe ich mal ein Beispiel für eine Abtrennung von LAN-Ports (und des WLANs) bei einer 7490 (hat aber einen anderen Switch) gegeben ... das erfolgte allerdings ohne VLANs und nur auf der Basis zweier getrennter Bridges. Als ich Deinen Text in #1 beim ersten Mal gelesen habe (ist schon ein paar Tage her), schwankte ich noch, ob ich in die Richtung "getrennte Bridges" nachhaken sollte, denn cpmaccfg funktioniert wohl bekanntermaßen schon eine Weile nicht mehr, wie Du ja oben gefunden hast. Meines Wissens (hat mich bei der 7270v3 aber nie wirklich interessiert und so ist das nicht gerade vertieft an dieser Stelle) wird das auch bei der 7270v3 über die ar7.cfg geregelt, damit kannst Du dann cpmaccfg vermutlich komplett vergessen, weil die dort hinterlegte Konfiguration wohl vom Gespann aus kdsld und dsld bei jedem Start des dsld neu gesetzt wird.

Die Verwendung bzw. Notwendigkeit von VLANs ist mir in Deinem Falle ohnehin nicht ganz klar, selbst wenn die FRITZ!Box (notfalls auch der Linux-Kernel, wenn man es dem Switch in Hardware nicht beibringen kann) eventuell noch Pakete taggen können sollte. Wenn für Dich (Du selbst schreibst ja, daß Du Dich erst schlau machen mußt) die Bezeichnung als "VLAN" nur synonym für "getrennte Netze" ist, ist das etwas anderes als "echte VLANs", wo jedes Ethernet-Paket seine VLAN-ID mit sich herumträgt und ein Switch nur diese Ports zu einem "physikalischen Netz" (auf OSI-Layer 2) verbindet, die gemeinsame VLAN-IDs haben. Damit kann man dann über ein einziges Ethernet-Kabel mehrere Netze transportieren, weil die Switches an beiden Enden diese Netze wieder trennen. Ob Du das tatsächlich benötigst?

Vielleicht erläuterst Du die Idee dahinter ja doch noch etwas genauer (braucht es überhaupt seitens der FRITZ!Box mit VLAN-IDs versehene Pakete?) ... wenn die Box dann zwischen diesen VLANs als Router arbeiten soll, brauchst Du ohnehin wieder die interne Auftrennung in verschiedene Bridges (steht ja auch irgendwie im von Dir verlinkten HowTo). Wenn Du komplett getrennte Netze aufbauen willst, warum stöpselst Du die dann überhaupt in der FRITZ!Box zusammen? Das sind alles Fragen, die nicht so ohne weiteres aus #1 abzulesen sind und die Spekulation, daß zwei getrennte Netze einen gemeinsamen Internet-Zugang benutzen sollen, ist eben nur eine Spekulation. Eine echte physikalische Trennung (L2) zwischen zwei solchen Netzen und das Bereitstellen des gemeinsamen Zugangs wird die FRITZ!Box (m.E, das muß auch wieder nichts heißen) eher nicht bieten können, eine Trennung auf L3 sollte aber machbar sein.

Wenn Du am Ende tatsächlich VLANs brauchen solltest, wäre vermutlich die Investition in einen 5-Port-Switch mit VLAN-Unterstützung (ca. 20-25 EUR) der einfachere Weg, wobei selbst dann die FRITZ!Box als gemeinsamer Internet-Zugang noch nicht auf L2 trennen würde, dafür bräuchte es ggf. zwei Verbindungen zwischen Switch und FRITZ!Box (wenn das "untagged" bleibt) und dann fehlt vielleicht ein Port am Switch.

Wenn Du nur zwei getrennte Netze haben willst (warum auch immer, das müßtest Du halt erläutern, damit man die notwendige "Trennschärfe" versteht), findet sich vielleicht auch noch eine Lösung mit der FRITZ!Box.

In jedem Falle würde ich trotzdem (da Du ja ohnehin Freetz verwendest) ein neues Freetz-Image (auf der Basis der 06.05, die Du mit der Trunk-Zweig aus dem SVN dann auch benutzen kannst) verwenden ... die Chancen, daß AVM da das Netzwerk dem der moderneren Boxen weiter angeglichen hat (und die Einstellungen in der ar7.cfg ähnlich funktionieren), sind m.E. einfach größer und man kann mit einem etwas angepaßten Freetz-Image von den Verbesserungen der 06.05 profitieren, ohne die Kröten (debug.cfg, allcfgconv) schlucken zu müssen.

 

[kusanagi]

Hallo PeterPawn,

Danke dass du dich meiner annimmst und hoffe das ich deine Fragen beantworten kann. Schau'ma mal

Irgendwo habe ich mal ein Beispiel für eine Abtrennung von LAN-Ports (und des WLANs) bei einer 7490 (hat aber einen anderen Switch) gegeben ... das erfolgte allerdings ohne VLANs und nur auf der Basis zweier getrennter Bridges. Als ich Deinen Text in #1 beim ersten Mal gelesen habe (ist schon ein paar Tage her), schwankte ich noch, ob ich in die Richtung "getrennte Bridges" nachhaken sollte, denn cpmaccfg funktioniert wohl bekanntermaßen schon eine Weile nicht mehr, wie Du ja oben gefunden hast. Meines Wissens (hat mich bei der 7270v3 aber nie wirklich interessiert und so ist das nicht gerade vertieft an dieser Stelle) wird das auch bei der 7270v3 über die ar7.cfg geregelt, damit kannst Du dann cpmaccfg vermutlich komplett vergessen, weil die dort hinterlegte Konfiguration wohl vom Gespann aus kdsld und dsld bei jedem Start des dsld neu gesetzt wird.

Ich habe mal nach Beiträgen von dir in Verbindung mit der 7490 gesucht – kam auf 267 Beiträge. Da investierst du aber ganz schön viel Zeit um Anfängern wie mir hier zu helfen. Danke dafür.

Die Verwendung bzw. Notwendigkeit von VLANs ist mir in Deinem Falle ohnehin nicht ganz klar, selbst wenn die FRITZ!Box (notfalls auch der Linux-Kernel, wenn man es dem Switch in Hardware nicht beibringen kann) eventuell noch Pakete taggen können sollte. Wenn für Dich (Du selbst schreibst ja, daß Du Dich erst schlau machen mußt) die Bezeichnung als "VLAN" nur synonym für "getrennte Netze" ist, ist das etwas anderes als "echte VLANs", wo jedes Ethernet-Paket seine VLAN-ID mit sich herumträgt und ein Switch nur diese Ports zu einem "physikalischen Netz" (auf OSI-Layer 2) verbindet, die gemeinsame VLAN-IDs haben. Damit kann man dann über ein einziges Ethernet-Kabel mehrere Netze transportieren, weil die Switches an beiden Enden diese Netze wieder trennen. Ob Du das tatsächlich benötigst?

Dass die Fritzbox kein echtes VLAN kann ist mir bewusst, mir würde in diesem Fall eine Auftrennung des Netzwerks über die FB völlig ausreichen, da die Geräte sich nur nicht sehen sollen.

Vielleicht erläuterst Du die Idee dahinter ja doch noch etwas genauer (braucht es überhaupt seitens der FRITZ!Box mit VLAN-IDs versehene Pakete?) ... wenn die Box dann zwischen diesen VLANs als Router arbeiten soll, brauchst Du ohnehin wieder die interne Auftrennung in verschiedene Bridges (steht ja auch irgendwie im von Dir verlinkten HowTo). Wenn Du komplett getrennte Netze aufbauen willst, warum stöpselst Du die dann überhaupt in der FRITZ!Box zusammen? Das sind alles Fragen, die nicht so ohne weiteres aus #1 abzulesen sind und die Spekulation, daß zwei getrennte Netze einen gemeinsamen Internet-Zugang benutzen sollen, ist eben nur eine Spekulation. Eine echte physikalische Trennung (L2) zwischen zwei solchen Netzen und das Bereitstellen des gemeinsamen Zugangs wird die FRITZ!Box (m.E, das muß auch wieder nichts heißen) eher nicht bieten können, eine Trennung auf L3 sollte aber machbar sein.

Wenn Du am Ende tatsächlich VLANs brauchen solltest, wäre vermutlich die Investition in einen 5-Port-Switch mit VLAN-Unterstützung (ca. 20-25 EUR) der einfachere Weg, wobei selbst dann die FRITZ!Box als gemeinsamer Internet-Zugang noch nicht auf L2 trennen würde, dafür bräuchte es ggf. zwei Verbindungen zwischen Switch und FRITZ!Box (wenn das "untagged" bleibt) und dann fehlt vielleicht ein Port am Switch.

Wenn Du nur zwei getrennte Netze haben willst (warum auch immer, das müßtest Du halt erläutern, damit man die notwendige "Trennschärfe" versteht), findet sich vielleicht auch noch eine Lösung mit der FRITZ!Box.

Also.... auf

• LAN Port 1, hängt ein Switch der kein VLAN kann über diesen sind 4 Rechner und 3 Drucker verbunden.
• LAN Port 2 wird nicht benötigt...
• LAN Port 3 & 4 sollen 2 Rechner verbunden sein die sich untereinander sehen dürfen, diese benötigen auch den gleichen DSL zugang über die Fritzbox wie alle anderen, dürfen die Geräte über LAN 1 nicht im Netzwerk sehen.
  Ein Switch der echtes VLAN kann wäre zwar das einfachste, es sollen aber keine weiteren Kosten entstehen.

In jedem Falle würde ich trotzdem (da Du ja ohnehin Freetz verwendest) ein neues Freetz-Image (auf der Basis der 06.05, die Du mit der Trunk-Zweig aus dem SVN dann auch benutzen kannst) verwenden ... die Chancen, daß AVM da das Netzwerk dem der moderneren Boxen weiter angeglichen hat (und die Einstellungen in der ar7.cfg ähnlich funktionieren), sind m.E. einfach größer und man kann mit einem etwas angepaßten Freetz-Image von den Verbesserungen der 06.05 profitieren, ohne die Kröten (debug.cfg, allcfgconv) schlucken zu müssen.

Okay jetzt bin ich verwirrt, weil ich im „make-menuconfig“ Menü des freetz-linux-1.3.2 nur als Basis die 05.54 auswählen kann.
Wie würde ich denn in diesem Fall auf eine Basis der 06.05, bei einem verwendeten freetz-linux-1.3.2.ova, kommen? oder muss ich mich dann an einer unstable versuchen?

Da werde ich mich dann auch gleich nochmal auf die Suche machen.

Jedenfalls erstmal rechtherzlichen Dank und bis dann

 

[PeterPawn]

oder muss ich mich dann an einer unstable versuchen?

Es gab jetzt schon relativ lange keine neuen Freetz-Releases mehr ... praktisch alle (zumindest die überwiegende Mehrheit, weil viele neuere Modelle ohnehin noch nicht in der alten stable-2.0 unterstützt sind) benutzen den Entwicklerzweig von Freetz, was einerseits dafür sorgt, daß Probleme relativ schnell auffallen, andererseits aber auch dazu beiträgt, daß ein neues Problem auch schon mal zu Fehlern beim Erstellen eines Freetz-Images führt, die "Nicht-Entwickler" erkennbar überfordern können. Insofern ist "unstable" zwar theoretisch richtig, aber in der Praxis bleibt wenig anderes übrig, wenn man nicht auf schon recht alte Firmware-Images von AVM als Basis ausweichen will (wovon ich auf das Schärfste abrate, aber das hat andere Ursachen als Freetz).

Ansonsten sollte sich Dein Problem mit der Aufteilung der Interfaces im "brinterfaces"-Abschnitt der ar7.cfg der 7270v3 lösen lassen, wenn L3-Trennung ausreichend ist - auch wenn ich gerade keine ar7.cfg der 7270v3 zur Hand habe und daher nicht genau weiß, ob dort jeder ethX-Anschluß einzeln aufgeführt ist in der Bridge-Konfiguration und ob die 7270v3 das "Reservieren" eines lokalen Anschlusses für eine VPN-Verbindung (ipsecbridge) überhaupt unterstützt - wenn ja, ist das Herauslösen von einzelnen Ports zumindest möglich. Wenn bei der 7270v3 auch die Zuweisung der "Notfall-IP-Adresse" über einen zusätzlichen Eintrag im "brinterfaces"-Abschnitt erfolgt (als Interface lan:0), hast Du schon mal eine Blaupause für das Hinzufügen eines eigenen Eintrags. Dem mußt Du dann nur noch die notwendigen Interfaces hinzufügen (aus anderen Bridges natürlich löschen) und dann bei Bedarf noch eine DHCP-Konfiguration für dieses neue (Bridge-)Interface hinzufügen, wenn Du dort DHCP verwenden willst (der "dhcp"-Parameter ist aber für den Client, nicht für den Server, der verwendet den "dhcpenabled"-Parameter).

Allerdings würde die FRITZ!Box immer noch als Router zwischen den beiden lokalen Netzen arbeiten ... das kannst Du auf diesem Weg nicht vermeiden, weil es zwischen den beiden Bridges nur ein Routing und keine Firewall gibt. Die beiden Netze "sehen" sich also nicht automatisch, bei Kenntnis der jeweils anderen Topologie kann man aber trotzdem zugreifen.

 

[kusanagi]

Es gab jetzt schon relativ lange keine neuen Freetz-Releases mehr ... praktisch alle (zumindest die überwiegende Mehrheit, weil viele neuere Modelle ohnehin noch nicht in der alten stable-2.0 unterstützt sind) benutzen den Entwicklerzweig von Freetz, was einerseits dafür sorgt, daß Probleme relativ schnell auffallen, andererseits aber auch dazu beiträgt, daß ein neues Problem auch schon mal zu Fehlern beim Erstellen eines Freetz-Images führt, die "Nicht-Entwickler" erkennbar überfordern können. Insofern ist "unstable" zwar theoretisch richtig, aber in der Praxis bleibt wenig anderes übrig, wenn man nicht auf schon recht alte Firmware-Images von AVM als Basis ausweichen will (wovon ich auf das Schärfste abrate, aber das hat andere Ursachen als Freetz).

Okay, danke die werde ich mir dann gleich mal suchen und im Laufe des Tages einspielen.

Ansonsten sollte sich Dein Problem mit der Aufteilung der Interfaces im "brinterfaces"-Abschnitt der ar7.cfg der 7270v3 lösen lassen, wenn L3-Trennung ausreichend ist - auch wenn ich gerade keine ar7.cfg der 7270v3 zur Hand habe und daher nicht genau weiß, ob dort jeder ethX-Anschluß einzeln aufgeführt ist in der Bridge-Konfiguration und ob die 7270v3 das "Reservieren" eines lokalen Anschlusses für eine VPN-Verbindung (ipsecbridge) überhaupt unterstützt - wenn ja, ist das Herauslösen von einzelnen Ports zumindest möglich. Wenn bei der 7270v3 auch die Zuweisung der "Notfall-IP-Adresse" über einen zusätzlichen Eintrag im "brinterfaces"-Abschnitt erfolgt (als Interface lan:0), hast Du schon mal eine Blaupause für das Hinzufügen eines eigenen Eintrags. Dem mußt Du dann nur noch die notwendigen Interfaces hinzufügen (aus anderen Bridges natürlich löschen) und dann bei Bedarf noch eine DHCP-Konfiguration für dieses neue (Bridge-)Interface hinzufügen, wenn Du dort DHCP verwenden willst (der "dhcp"-Parameter ist aber für den Client, nicht für den Server, der verwendet den "dhcpenabled"-Parameter).

Sobald das neue Image eingespielt ist kann ich eine unveränderte ar7.cfg hier zur Verfügung stellen.

Allerdings würde die FRITZ!Box immer noch als Router zwischen den beiden lokalen Netzen arbeiten ... das kannst Du auf diesem Weg nicht vermeiden, weil es zwischen den beiden Bridges nur ein Routing und keine Firewall gibt. Die beiden Netze "sehen" sich also nicht automatisch, bei Kenntnis der jeweils anderen Topologie kann man aber trotzdem zugreifen.

Ist klar und wird insoweit auch toleriert.
Danke erstmal.

 

[kusanagi]

Daß neue Image wäre auf der Fritzbox drauf

• Firmware: 74.06.05 rev27949
• Freetz: devel-13428

jetzt geht es ans bridgen