VLAN Verschachtelung (Telekom VLAN 7 in VLAN 99)

[the_chuckyyy]

Hallo zusammen,
ich habe mir die Tipps von micneu zu Herzen genommen und sage direkt was ich möchte und stell ein SOLL- und IST-Zustand vor.

Ich möchte bei meiner OPNsense (VM in Proxmox) sowohl das LAN wie auch das WAN (Einwahl per PPPOE auf Allnet-VDSL-Modem) über ein einziges Ethernetkabel laufen lassen. Geht das?
Habe bereits merher VLANs über ein Kabel laufen (ich drück das mal so simpel aber direkt aus!).

Ich würde nun gerne mein VDSL-VLAN (99) auch über den Switch laufen lassen. Zur Einwahl bei der Telekom muss aber VLAN 7 - Tag mitgegeben werden. Habt ihr hierzu Infos/Tipps ob und/oder wie ich das realisieren könnte?
Danke euch bereits jetzt!

[Patrick M. Hausen]

Du brauchst einen managed Switch, der VLANs kann. Du definierst zu deiner OPNsense einen Trunk-Port, an dem alle VLANs tagged anliegen. Du definierst einen weiteren Trunk-Port im Switch, an dem nur das VLAN 7 tagged anliegt. Da steckst du dein Modem rein.

Sollte funktionieren.

Oder du sagst dem Modem, dass es selbst taggen soll. Die meisten können das.

Gruß
Patrick

[the_chuckyyy]

Hallo Patrick,

danke für die schnelle Antwort.
Ja, dieses Szenario habe ich mir auch schon überlegt.
Ich ergänze einfach meine VLANs um VLAN 7.
Können die Ports aber auch z.B. mit VLAN 99 getagged sein und VLAN 7 bewegt sich dort hindurch?
Auf den Bilder ist es zu sehen wie ich es meine.

[Patrick M. Hausen]

Es gibt Trunk Ports. Dort liegen getaggte VLANs an. Und es gibt Access-Ports. Dort liegen die VLANs fix ungetaggt an.
Also Pakete mit Tag 7 auf dem Trunk-Port tropfen, wenn es z.B. Broadcasts sind, auf allen Access-Ports raus, die dem VLAN 7 zugeordnet sind. Auf einem Access-Port, der VLAN 99 zugeordnet ist, kommt niemals ein tagged Paket an. Und auch niemals eines für VLAN 7.

Auf dem Trunk-Port kommen wie gesagt die Frames für alle VLANs an. Die haben dann jeweils "Fähnchen" dran, auf denen die VLAN-ID steht.

Jetzt klar?

Die OPNsense bekommt auf einem phys. Port VLANs 99 und 7. Unter "Assignments" dann das 7er dem WAN zuordnen und PPPoE einrichten. Dem 99er was auch immer du da tun möchtest zuordnen und IP konfigurieren. Auf dem phys. Interface keine IP-Adresse - das transportiert nur die getaggten Frames.

[Rolly82]

Es gibt auch Switche mit „Hybrid“-Ports.
An diesen wird dann bei (aus Sicht des Switches) ausgehenden Paketen mit der Port-VLAN-ID das VLAN-Tag entfernt und alle anderen Pakete mit VLAN-Tag (sofern der Port Mitglied in diesem VLAN ist) einfach durchgereicht. Bei Ankommenden ungetaggten Paketen ist es dann genau umgekehrt (hier wird die Port-VLAN-ID als Tag gesetzt)
 
MfG

[Patrick M. Hausen]

Ja, und dann gibt es das native VLAN ... das ist aber alles eklig und funktioniert mit OPNsense auch eher mäßig bis gar nicht. Auf einen Trunk Port nur tagged frames und aus.

[the_chuckyyy]

Ich danke euch für eure Erklärungen.
Ich habe das Thema bisher nicht gelöst, werde es aber nochmals in Angriff nehmen.
Danke und Gruß!

[meyergru]

Wenn Dein Ziel ist, VLAN7 in VLAN99 zu verschachteln und zwar auf der OpnSense selbt, dann geht das nicht - bei der Definition von VLANs musst Du ein "Parent Interface" angeben, dort sind nur "physische" Interfaces auswählbar.

Damit ist in OpnSense nur eine Ebene VLAN definierbar.

Am Rande: Wenn Deine Interfaces 1 GBit/s können, würde sich der maximale Durchsatz durch die Zusammenfassung auf 500 MBit/s halbieren - je nach Zugangsart kann das eine Einschränkung darstellen.

Ich nehme an, Du willst mit nur einem physischen Port sowohl die GUI des Modems erreichen als auch auf VLAN7 PPPoE machen.

Dazu könntest Du entweder das Modem selbst das Telekom-VLAN7 taggen lassen oder im Proxmox etwas anderes als "Guest configured VLAN" nutzen. Dann könnten sich die Server und die OpnSense z.B. das Bridge-Interface für VLAN1 teilen, während Du ein dediziertes Interface für WAN und PPPoE nutzt, das nur der OpnSense gehört. Damit umgehst Du auch den Switch für WAN-Traffic an den beiden Servern.

[franco]

> Damit ist in OpnSense nur eine Ebene VLAN definierbar.

In 22.1.4 gibt es dann auch echten QinQ Support. 


Grüsse
Franco

[the_chuckyyy]

... dann würde ich mal sagen warte ich noch ein paar Tage und schau mir dann dann mal an.
Danke!!!

[meyergru]

In 22.1.4 gibt es dann auch echten QinQ Support. 

Ja, gerade gesehen: https://github.com/opnsense/core/issues/5560