WAN Dual-VLAN (Internet/VOIP) Setup - Internet-Traffic auf VOIP-VLAN unterbinden

[MartinJu]

Hallo,

wir werden auf Glasfaser umgestellt und OpnSense soll die FritzBox ersetzen. Die FritzBox soll später nur die Telefonie übernehmen.

Ausgangslage:
- Opnsense Vers. 23.1
- Netzwerkdiagramm
   - Provider --- Modem --- OpnSense --- Switch [--- FritzBox (VOIP)]

- Der Provider erwartet Internet-Verkehr auf VLAN 10, VOIP auf VLAN 20
- igc0 ist WAN-Port, igc1 ist LAN-Port
- VLAN 10 für Internet ist eingerichtet (Parent igc0), PPPOE-Einwahl ebenfalls, IP-Adresse wird per DHCP vom Provider gezogen
- VLAN 10 ist bei Interface/Assignments als WAN zugewiesen.
- VLAN 20 für VOIP ist eingerichtet (Parent igc0), IP-Adresse wird per DHCP vom Provider bezogen.

Bei deaktiviertem Interface für das VOIP-VLAN funktioniert der Zugriff auf das Internet problemlos.

Problem:
Sobald ich das Interface für das VOIP-VLAN aktiviere, läuft sämtlicher Verkehr über dieses Interface. Damit funktioniert dann natürlich sämtlicher Internet-Verkehr nicht mehr.

Frage:
Was muss ich tun, damit sämtlicher Verkehr nach außen (später mit Ausnahme der FritzBox) bei aktiviertem VOIP-VLAN nur über das Internet-VLAN 10 läuft?

Zusatzfrage:
Ist es besser, bei den Assignments WAN als separates Interface mit Zuordnung zu igc0 (physischer WAN-Port) stehen zu lassen und VLAN10 als eigenes Interface zuzuweisen? Bei meinen Tests (mit deaktiviertem VOIP-VLAN) hat beides funktioniert.

[vpx]

Rein aus Interesse, braucht ihr die Fritz!Box weil es eine alte ISDN-Telefonanlage ist und die Fritz!Box noch einen S0-Bus hat?

[MartinJu]

Die FritzBox hat bisher vDSL inkl. Telefonie und DECT-Basis übernommen. Den Telefonie-Teil möchte ich weiter benutzen.

Aber soweit bin ich ja noch nicht. Bei meinem aktuellen Problem spielt die FritzBox keine Rolle, da ich mich ja nur auf der OpnSense befinde.

[MartinJu]

Ich antworte mir mal selbst 

Das Problem ist, dass beim Aktivieren des VOIP-VLAN das dahinter liegende Gateway als Default Gateway gesetzt wird. Dies bedeutet, dass alle Pakete nach außen, an dieses Gateway geroutet werden.

Ich habe mir nun geholfen durch eine Anpassung der Priority der Gateways, d.h. dass VOIP-Gateway bekommt eine niedrige Priority (= hohe Zahl = 254), das Internet-VLAN eine höhere Priority (= niedrigere Zahl).

Von hier aus arbeite ich mich nun weiter vor. Ideen, Anregungen, Kommentare willkommen!

[vpx23]

Du müsstest ja noch ein VLAN für die Telefonanlage erstellen (z.B. 50), sonst weiß sie ja gar nicht wohin die Pakete gehen sollen.

Der Internet-Traffic würde dann über das Default-VLAN 1 laufen. Im VLAN 50 kannst du dann das Gateway vom WAN VLAN 20 eintragen und bei LAN das Gateway vom WAN VLAN 10.