Neue Hardware, neuer User: VLAN funktioniert nicht

[p0ddie]

Guten Abend,

ich habe ein kleines Problem mit einer Neuanschaffung und hoffe auf eure Hilfe. Es handelt sich um eine "SBR721-1U-FW" 19" Appliance mit Intel i3 und 4x Intel NIC. "VLAN Hardware Filtering" ist auf Disable.

Ich habe hier einen Cisco WLAN Controller, der ein bestimmtes WLAN über einen Ethernet-Port mit VLAN 100 direkt an einen dedizierten Port (igb2) der Firewall geben soll. Ich bin der Meinung, das VLAN richtig in der opnsense eingerichtet zu haben, aber nichts pingt.

Ich hatte vorher interimsmäßig einen Lancom Router dran, dort habe ich einem Port einfach VLAN 100 gegeben und der Traffic lief.

Wie ich das VLAN eingerichtet habe:

1. igb2 IPv4/6 Configuration Type: none
2. VLAN: Parent interface igb2, VLAN 100, priority: best effort
3. Schnittstelle igbe2_vlan100 IPv4 Configuration Type: <IP Adresse>/Auto Gateway

Schnittstelle und Routing funktionieren, wenn ich kein VLAN benutze (untagged/VLAN 0 auf dem Cisco und igb2 ohne VLAN auf dem opnsense), aber hartnäckig nicht, wenn ich VLAN benutzen möchte.

Ich komme eigentlich mit VLANs schon ganz gut zurecht und habe vor Jahren mal eine Weile hier und da pfsense benutzt, komme also auch mit opnsense einigermaßen klar..

Das einzige, was ich noch nicht probiert habe ist (hab den Button dafür erst vorhin gefunden, bin aber nicht mehr on site) das VLAN Hardware Filtering zu aktivieren.

Kennt jemand vielleicht diese Problematik und hat schon Erfahrungswerte, oder habe ich was vergessen? Vielen Dank!

[liceo]

VLAN Hardware Filtering ist dazu da, dass diese Arbeit zur NIC ausgelagert wird und das nicht die CPU machen muss. In kleineren Umgebungen, ist das wohl zu vernachlässigen..

[p0ddie]

Das ist eine symmetrische Gigabit Leitung mit bis zu 500 gleichzeitigen Usern, da würde das schon Sinn machen? Mir geht es v.a. um die Funktion des VLANs, die Performance des Gateways passt schon…

[liceo]

Alles klar, war nur eine Annahme mit der kleineren Umgebung ;-). VLAN encapsulation/decapsulation sollte aber so oder so funktionieren. Blöde Frage: Die IP des WLAN Controllers selbst erreichst du aber auch wenn du bei der opnsense ein VLAN auf dem entsprechenden interface konfiguriert? Du willst einen VLAN Trunk zwischen opnsense und dem WLAN-Controller einrichten, habe ich das richtig verstanden?

[p0ddie]

Moin,

auf dem Port, der mit der Opnsense verbunden ist, lief nur das eine VLAN, keine anderen Netze. untagged läuft der Verkehr und ich kann pingen, wenn ich das VLAN auf beiden Seiten eingebe (egal welches), pingt nichts. Ich bin mir wie gesagt nicht 100% sicher, ob ich das VLAN im Opnsense richtig eingerichtet habe, habe mich aber an ein Tutorial gehalten: 1. VLAN erzeugen und der Schnittstelle zuweisen, 2. VLAN IP Parameter konfigurieren.

Zu deiner Frage: Im Grunde will ich eigentlich keinen VLAN Trunk erzeugen, sondern nur dieses eine VLAN über diese eine Leitung, über die sonst nichts läuft, betreiben. Mir ist klar, dass es eigentlich Quatsch ist, dann ein VLAN zu nutzen (da es ja nur ein Netzwerk auf der Leitung gibt), aber ich will die Opnsense in die bisherige Struktur einfügen und da ist eben für dieses WLAN über diesen Controller dieses VLAN - und vielleicht wird das später relevant. V.a. wird es spätestems relevant, wenn überhaupt VLANs benutzt werden und die dann auch nicht gehen.

Hast du eine idiotensichere Anleitung für VLANs auf Opnsense, die du mir verlinken kannst? Ich bin mir zu 99% sicher, dass es weder an der Hardware noch an Opnsense liegt, sondern ein Layer 8 Problem ist… Danke!

[liceo]

1. VLAN erzeugen und der Schnittstelle zuweisen, 2. VLAN IP Parameter konfigurieren.

Genau. Und 3. Erscheint das VLAN als neues (zunächst deaktiviertes) Interface, welches du noch konfigurieren musst (IP Adresse ect...).

Mit dem Lancom Router hat's ja geklappt, korrekt? Und war da der Port auf dem Lancom Router auch auf "VLAN-Trunk" oder war der vielleicht Untagged VLAN-ID 100?

Wir sprechen wir da nicht vom Management VLAN des WiFi Controllers, du meinst schon das VLAN für den Wifi Traffic, oder?

VLAN Trunk zwischen WLAN (Controller) und der opnsense macht ja durchaus Sinn, wenn du mal mehrere SSIDs auf der gleichen WiFi Infrastruktur betreiben willst...