VLANs auf bridge-Interface

[belerofon]

Hallo zusammen

ich versuche gerade meine alte Firewall durch was gescheites zu ersetzen und war immer guter Dinge bei meiner Opn.

Nun habe ich folgendes Szenario was ich einfach so nicht zum laufen bekommen:
Ich habe eine Hardware mit mehreren LAN-Ports.
Diese LAN Ports möchte ich in einer Bridge zusammenfassen und dort mehrer VLANs ausliefern (mit einem untaggten Port)


Ich habe dazu folgendes eingerichtet:

Interfaces: em0, em1, em2 angelegt und enabled - keine IPv4+6: None
bridge0 angelegt mit member: em0, em1, em2

Mehrere VLANs angelegt und der Bridge zugeordnet:
 1_MGM (bridge0) -> v4: 192.168.100.254/24
 2_CLT (bridge0_vlan101) -> v4: 192.168.101.254/24
 3_MED (bridge0_vlan102) -> v4: 192.168.102.254/24
 4_DMZ_1 (em1_vlan103) -> v4: 192.168.103.126/25
 4_DMZ_2 (bridge0_vlan100) -> v4: 192.168.103.254/25


Nun bekomme ich das Native Netzwerk zum Laufen (bridge0) und via DHCP wird mir eine IP vergeben.
Die getaggten VLAN Netzwerke klappen aber nicht.

Wenn ich das VLAN einem Native Port zuweise (em4) dann klappt alles wunderbar.

Hat jemand eine Idee? Ist das eine Limitation?

BESTEN DANK

[Patrick M. Hausen]

Fundamental unmöglich, das kann der FreeBSD-Netzwerk-Stack nicht.

Bridge mit VLAN als member - ja.
Tagged frames über Bridge - nein.


Wenn es sich nur um 4 VLANs handelt und Dir nicht zuviel Aufwand ist:

Pro phys. Interface 4 VLANs anlegen. Diese müssen unterschiedliche Namen haben, aber natürlich ist dasselbe VLAN-Tag auch auf mehreren Interfaces erlaubt.

4 Bridges anlegen mit je 3 VLANs als member.


Alternative:

Gescheiten Switch kaufen.

Gruß
Patrick

[Christoph05]

Hallo,

Ich habe aktuell eine ähnliche Situation:

Ich habe auf jeder Schnittstelle VLANs angelegt und diese mit einer Bridge miteinander verbunden.
In dieser Bridge ist auch je ein WLAN mit drin.

Sowohl DHCP und any Firewallregeln zum Testen sind für jede Bridge angelegt.

Nun bekomme ich in jedem VLAN eine IP vom DHCP, jedoch kann mein Endgerät nicht über die VLANs nach außen oder in ein anderes Netz kommunizieren.
Wenn ich im WLAN der Bridge bin, funktioniert der DHCP und die Kommunikation in andere Netze.

Hat jemand ne Idee, woher das kommt, bzw. was ich verkehrt gemacht habe?

Grüße und danke jetzt schon für die Hilfe!

Christoph

[Patrick M. Hausen]

Hast du die Tunables gesetzt, die in der Doku für die Bridge stehen, und die zwingend notwendig sind, wenn irgendwas mit Bridging funktionieren soll?

[Christoph05]

Ja, die habe ich gesetzt. Die greifen auch, da meine Bridge ohne VLANs wie erwartet funktioniert.

[Patrick M. Hausen]

Die Bridge ohne VLANs ist aber nicht auf Interfaces, auf denen auch VLANs liegen?

[Christoph05]

Doch, die Bridge ohne VLAN liegt auf den selben Ports wie die VLAN Bridges.

[Patrick M. Hausen]

Das geht nicht. Auf einem Interface, das Teil einer Bridge ist, funktionieren VLANs kategorisch nicht. Ist kein Bug. Isso.

[Christoph05]

Siehe da, reiße ich die Non-VLAN-Bridge ein, funktionieren auf einmal alle VLANs. Traumhaft, dann hast du mir schon sehr geholfen! Nun habe ich alle VLANs auf allen Schnittstellen. Kann ich nun auch eins davon als default VLAN setzen, oder verstehe ich es richtig, dass das nicht gehen würde, weil ich dann wieder ne Bridge auf einem physischen Interface habe?

Ich glaube, ich frage hier häufiger mal nach, anstatt für tage an einem Problem zu verzweifeln.

[Patrick M. Hausen]

Betreibe alle VLANs tagged. Anders gehts nicht.

[Christoph05]

Alles klar, danke dir, für die Hilfe!

[Patrick M. Hausen]

Wer das "native VLAN" in den Standard eingebracht hat, gehört erschossen