Mac Based VLAN auf einem GS724Tv4

[Mt523]

Liebe Netgear Community,

ich bin grade dabei mich mit einem GS724Tv4 und MAC-basiertem VLAN auseinanderzusetzen und habe da wahrscheinlich ein Verständnisproblem.
Während das normale Port-basierte VLAN problemlos funktioniert hänge ich an der Funktion "MAC Based VLAN".
Die Funktion "MAC Based VLAN" wird im Handbuch auf Seite 92 so beschrieben, dass es sich um eine systemweite Zuorndungstabelle handelt die über alle Port angewendet wird. Auf Basis der Quell-MAC-Adresse erfolgt die VLAN zuordnung.

Welches Ziel habe ich?
Mein eigentliches Ziel ist es, Endgeräten auf Basis deren MAC-Adresse ein VLAN zuzuordnen. Dies soll allerdings unabhängig vom Switch-Port sein.
Wenn im Switch eine MAC-Adresse definiert ist, soll das Endgerät dem entsprechenden einem VLAN zugeordnet werden unabhängig an welchem Port es angesteckt wird. Alle nicht im Switch definierten MAC-Adressen sind dem default VLAN 1 zuzuordnen.

Meine Fragen an euch:
- Bin ich mit meiner Zielvorstellung und dem Mac Based VLAN auf einem völlig falschen Dampfer unterwegs?
- Wie funktioniert das Mac Based VLAN auf einem Netgear-Switch im Zusammenspiel mit den Ports?

Vielen Dank im Voraus

[Mt523 · Accepted solution]

Lieber WojciechKrz,

ich habe etwas länger gebraucht, um das Problem zu untersuchen.

Eine Firewall konnte nicht das Problem sein. Diese würde einen Ping generell blockieren unabhängig vom Switch-Port. Computer1 und Computer3 sind ürigens Raspberry Pis die standardmäßig ohne Firewall laufen.

Da ich mir nicht mehr zu helfen wusste, habe ich am Ende den Switch auf die Werkseinstellungen zurückgesetzt und komplett neu konfiguriert. Seitdem funktioniert auch das MAC-based VLAN.

Vielen Dank für die Unterstützung

[Wojciech_K]

Hallo @Mt523,

willkommen in der NETGEAR Community.

1. Hast du schon VLANs erstellt?

2. Der Artikel erklärt, wie es funktioniert:

https://kb.netgear.com/de/21586/Was-ist-ein-MAC-basiertes-VLAN-und-wie-funktioniert-es-mit-meinem-Ma...

Mit freundlichen Grüßen

WojciechKrz
NETGEAR Team

[Mt523]

Lieber WojciechKrz,

die VLANs sind erstellt und eingerichtet.

Deswegen hatte ich geschrieben, dass das Port-basierte VLAN problemlos funktioniert.

Der geteilte Artikel beschriebt das selbe wie das Benutzerhandbuch des Switch. Über den weiterführenden Link (https://kb.netgear.com/21597/How-do-I-assign-a-MAC-based-VLAN-using-the-web-interface-on-my-managed-... wird auch beschreiben, wie es eingerichtet wird. Ich verstehe in diesem Artikel aber den Punk 3 nicht.

Wieso muss ich einen einzelnen Port einem VLAN zuweisen, wenn das doch über die MAC-Adresse passieren soll?

Vielen Dank im Voraus

[Wojciech_K]

Hallo @Mt523,

vielen Dank für Deine Antwort.

Ich teste es morgen und gebe Bescheid.

Mit freundlichen Grüßen

WojciechKrz
NETGEAR Team

[Wojciech_K]

Hallo @Mt523,

vielen Dank für Deine Antwort.

1. Der Punkt Nr. 3 ist erforderlich, weil es im Artikel angenommen wird, dass der Port 1/0/23 der Uplink-Port ist.

2. Ich machte einen Test mit dem GS724Tv4. An dem GS724Tv4 schloss ich zwei Notebooks an. Das Hauptnotebook war immer am Port Nr. 1 angeschlossen. Das andere Notebook war am Port Nr. 11 angeschlossen.

2.1. Ich erstellte das VLAN 20 und wies ihm die Ports Nr. 20–24 als «Untagged» zu. Ich änderte auch ihre PVIDs von 1 auf 20.

2.2. Die Ports Nr. 20–24 entfernte ich aus dem VLAN 1.

2.3. Ich fügte die MAC-Adresse des zweiten Notebooks in «Switching > VLAN > Advanced > MAC Based VLAN».

2.4. Ich wechselte das Notebook vom Port Nr. 11 zum Port Nr. 23. Das Notebook wurde zum VLAN 20 zugewiesen.

2.5. Um sicher zu sein wechselte ich vom Port Nr. 23 zum Port Nr. 11; die PVID des Ports Nr. 11 ist 1, nicht 20. Jedoch wurde das Notebook wieder zum VLAN 20 zugewiesen.

Mit freundlichen Grüßen

WojciechKrz
NETGEAR Team

[Mt523]

Lieber WojciechKrz,

herzlichen Dank für den ausführlichen Test.

Ich glaube jetzt zu verstehen, wie der Netgear-Switch mit der MAC-zuordnung arbeitet. Ich werde das gleich mal testen.

Gestatten Sie mir eine letzte Frage, nur damit ich das richtig verstehe.

Bis Punkt 2.2 sind wir ja beim Port-based VLAN.

Eine ähnlich Konfiguration hatte ich auch getestet, nur mit einem Unterschied. Ich habe den letzten Teil des Punkt 2.1 (setzen der PVID) nicht durchgeführt. Bei mir hatten also alle Ports die PVID 1. In dieser Konfiguration funktioniert die MAC-Zuordnung nicht.

Kann es sein, dass pro VLAN mindestens ein Port mit der PVID des entsprechenden VLAN gesetz sein muss?

Also ich muss bei VLAN 20 mind. einen Port mit der PVID 20 haben und bei VLAN 30 mind. einen Port mit der PVID 30, damit die MAC-Zuordnung funktioniert. Sehe ich das richtig?

Vielen Dank und freundliche Grüße

[Wojciech_K]

Hallo @Mt523,

vielen Dank für Deine Antwort.

Wenn alle VLANs die gleiche PVID haben und alle Ports in allen VLANs als «[U]ntagged» markiert sind, gibt es keine Separation.

Mit freundlichen Grüßen

WojciechKrz
NETGEAR Team

[Mt523]

Lieber Herr WojciechKrz,

ich habe den Test nachgebaut, kann das Ergebnis aber nicht ganz nachvollziehen.
Eine Frage vorweg:
Wie haben Sie den Punkt 2.5 durchgeführt? Wie haben sie verifiziert, dass trotz PVID 1 VLAN 20 zugeordnet wurde?

Damit wir von den gleichen Voraussetzungen ausgehen können, hier erst einmal meine Konfiguration:

Mein Test besteht aus 3 Computern von denen 2 immer fest mit den Ports verbunden sind. Lediglich einer wechselt die Ports (zwischen 11 und 23). Die Verbindungstest erfolgen auf Layer 3 mittel Ping.
Mein Versuchsaufbau ist:
Port 1 Computer1 mit fest IP 192.168.0.15/24
Port 11 Computer2 (MAC-Adresse 00:11:22:33:44:55) mit fest IP 192.168.0.30/24
Port 21 Computer3 mit fester IP 192.168.0.16/24

Nach der beigefügten Konfiguration sind die Ports 20-24 fest im VLAN 20. Das ist ja das übliche Vorgehen beim Port-based VLAN.

Bei den folgenden Test ist Computer1 immer am Port 1 und Computer3 immer am Port 21.

In diesem Testumfeld ist nur die MAC-Adresse des Computer2 in der Liste des MAC-based VLAN (mit VLAN 20) eingetragen.
Computer2 an Port 11
Ping auf Comuter1 und Computer3 nicht erfolgreich.

Computer2 an Port 23
Ping auf Comuter1 nicht erfolgreich. Ping auf Comuter3 erfolgreich.

Computer2 wieder an Port 11
Ping auf Comuter1 und Computer3 nicht erfolgreich.

In diesem Testumfeld ist die MAC-Adresse des Computer2 und Computer 3 in der Liste des MAC-based VLAN (mit VLAN 20) eingetragen.
Computer2 an Port 11
Ping auf Comuter1 und Computer3 nicht erfolgreich.

Computer2 an Port 23
Ping auf Comuter1 nicht erfolgreich. Ping auf Comuter3 erfolgreich.

Computer2 wieder an Port 11
Ping auf Comuter1 und Computer3 nicht erfolgreich.

In dem folgenden Testumfeld habe ich alle MAC-Adressen aus MAC-based VLAN entfernt, sodass nur noch das Port-based VLAN funktioniert. Dieses Szenario dient nur als Kontrolle.
Computer2 an Port 11
Ping auf Comuter1 erfolgreich. Ping auf Computer3 nicht erfolgreich.

Computer2 an Port 23
Ping auf Comuter1 nicht erfolgreich. Ping auf Comuter3 erfolgreich.

Computer2 wieder an Port 11
Ping auf Comuter1 erfolgreich. Ping auf Computer3 nicht erfolgreich.

Die Test-Serie zeigt, dass das Port-based VLAN sauber funktioniert. Jedoch das MAC-based VLAN nicht.

Haben Sie eine Idee?

Vielen Dank und freundliche Grüße

[Mt523]

Ein Bild sagt mehr als 1000 Wort.

Hier noch einmal eine Übersicht über die physischen Verbindungen der 3 Computer.

Computer2 wechselt zwischen den Ports 11 und 23.

[Wojciech_K]

Hallo @Mt523,
vielen Dank für Ihre Antwort.

1. Ihre VLAN-Konfiguration ist mit meiner Konfiguration identisch.

2. In der Mac-Tabelle kann man sehen, welche MAC-Adressen an welchem Port und in welchem VLAN erkannt worden sind:

Switching > Address Table > Advanced

2.1. Können Sie die MAC-Adresse des Computers Nr. 2 wieder zum VLAN 20 hinzufügen?

3. Welche Firmware-Version ist auf dem GS724Tv4 installiert?

Mit freundlichen Grüßen

WojciechKrz
NETGEAR Team

[Mt523]

Lieber WojciechKrz,

jetzt kann ich Ihre Punkte vollständig nachvollziehen.

In der "Address Table" wird die MAC-Adresse von Computer2 immer mit VLAN 20 angezeigt (unabhängig vom Port).

Die unter MAC-based VLAN eingetragene MAC-Adresse wird also immer dem VLAN 20 zugeordnet. Zumindest laut dieser Anzeige. Die Tests haben jedoch gezeigt, dass dem nicht so ist.

Hier ein Bild meines Firmware standes:

Vielen Dank und freundliche Grüße

[Mt523]

Zu Ihrer Frage:

Ich weiß nicht wie ich diese verstehen soll.

Können Sie die Frage vielleicht noch einmal anders formulieren?

Ich bin grad meine Test-Szenarien noch einmal durchgegangen und habe dabei die "Address Table" beobachtet.

Wenn die MAC-Adresse des Computer2 im MAC-based VLAN eingetragen ist, wir die MAC-Adresse immer dem VLAN 20 zugewiesen, egal auf welchem Port die MAC-Adresse zu sehen ist. Dies zeigt zumindest die "Address Table" an.

Entferne ich die MAC-Adresse aus dem MAC-based VLAN, sind wir wieder beim üblichen Port-based VLAN und die MAC-Adresse wird entsprechend dem Port dem VLAN zugeordnet.

Fazit bis jetzt:

Die MAC-Adresse im MAC-based VLAN wird immer dem entsprechendem VLAN zugewiesen. Funktionieren tut das jedoch nicht, da die Kommunikation innerhalb des zugewiesenen VLAN nicht funktioniert.

[Wojciech_K]

Hallo @Mt523,
vielen Dank für Deine Antwort.

Das Problem ist in meiner Testkonfiguration nicht aufgetreten.

Kannst Du bitte Windows-Firewall auf den PCs, die sich in demselben VLAN befinden, ausschalten und den Ping noch einmal testen?

Mit freundlichen Grüßen
WojciechKrz
NETGEAR Team

[Wojciech_K]

Hallo @Mt523!

Besteht das Problem weiterhin?

Mit freundlichen Grüßen
WojciechKrz
NETGEAR Team

[Mt523 · Accepted solution]

Lieber WojciechKrz,

ich habe etwas länger gebraucht, um das Problem zu untersuchen.

Eine Firewall konnte nicht das Problem sein. Diese würde einen Ping generell blockieren unabhängig vom Switch-Port. Computer1 und Computer3 sind ürigens Raspberry Pis die standardmäßig ohne Firewall laufen.

Da ich mir nicht mehr zu helfen wusste, habe ich am Ende den Switch auf die Werkseinstellungen zurückgesetzt und komplett neu konfiguriert. Seitdem funktioniert auch das MAC-based VLAN.

Vielen Dank für die Unterstützung

[Wojciech_K]

Hallo @Mt523,

vielen Dank für die Rückmeldung.

Ich freue mich, dass das Problem gelöst ist. Ich schließe den Faden jetzt.

Mit freundlichen Grüßen
WojciechKrz
NETGEAR Team