Umstellung Interface LAN auf VLAN - Regelportierung?

[Fidibus]

Moin,
nun komme ich nicht mehr umhin, ich muss nun auch zu Hause VLAN's einführen.
Ich möchte dazu an der pfsense (protectli FW4C) das LAN Interface umkonfigurieren.
Nun habe ich auf dem LAN Interface ein Haufen Regeln aktiv.
Ich erwarte, dass es nach dem Konfigurieren der VLAN's unter dem LAN-IF keinen echten Zugriff mehr auf das Regelwerk des LAN-IF gibt oder gar eine Portierung des Regelwerks auf ein VLAN meiner Wahl geht.
Ich habe im Moment keine Vorstellung, wie das Umkonfigurieren ohne großen Aufwand machen kann.
Hat einer 'ne Idee?

 

[the other]

Moinsen,
ich würde da zunächst gar nicht so viel umändern...
LAN belassen, dann die VLANs einrichten (LAN als tragendes Netz).
Für diese wirst du dann eh alles neu zurecht zerren müssen, da default Regel "alles blocken" gilt und du ja verkehr zwischen den VLANs mit Regeln individuell einrichten musst.

Sollte eigentlich alles recht gut umzusetzen sein.

 

[Fidibus]

Moin,
danke für deine aufmunternden Worte .
Ich interpretiere das mal so:
Wenn ich das IF LAN mit VLANs belege, bleibt erst einmal alles am Funktionieren, da LAN mit VLAN Id 1 als default und normal nicht unbedingt zu verwenden versehen wird?
Allle "zusätzlich" konfigurierten VLANs mit anderen Id's tauchen in der Firewall erst ein mal als leere IF auf?
Im DHCP können jeweils die vorgesehen Netzbereiche den VLAN-ID-IF's die IP-Adressen bereitstellen.
Dann ist klar, wie schrittweise migriert werden kann.
Für micht essentiell die Frage - ist das so, dass LAN funktional bleibt.
Irgendwann muss ich dann ja auch trunk konfigirieren oder ist das bereits mit dem Konfigurieren der VLANs "erledingt"?

 

[the other]

Moinsen,
öhm, du "belegst" da eigentlich nicht LAN...
Vielmehr setzt du neue Interfaces an, davor eben die VLANs.
Alles unter Interfaces > VLANs. Dazu eben dann die neuen VLANs einem (idR dem LAN Interface) zuteilen.
Die VLANs "sitzen" dann auf dem LAN Interface (dies trägt die VLANs)...
Einfach mal die VLANs anlegen, dann Interface zuteilen und berichten, wenn es nicht gelingen mag.

 

[the other]

Moinsen,
ergänzend zu deinen Fragen:

Allle "zusätzlich" konfigurierten VLANs mit anderen Id's tauchen in der Firewall erst ein mal als leere IF auf?

Du legst erst die VLANs mit ID usw an, das hat zunächst nichts mit den Intefaces zu tun.
Sagen wir dein LAN ist auf ix0 Interface. Die VLANs sind angelegt. Jetzt weist du ein neues Interface zu als parentinterface eben mit ix0, legst da dann das jeweilige VLAN drauf und benennst es.

Für micht essentiell die Frage - ist das so, dass LAN funktional bleibt.

Ja, an dem Interface änderst du ja nix, du erstellst lediglich neue "opt1, 2, ..." Interfaces. Die allerdings musst du dann mit Regeln einrichten, denn default funktioniert nur auf dem LAN interface alles out of the box. Für weitere Interfaces gilt dagegen zunächst DENY ALL.

Und zum Trunk Port: das ist der Pfsense zunächst völlig egal. Das wird am switch eingestellt.

 

[Fidibus]

Moin,
danke, ich glaube meine Frage aus deinen Ausführungen beantwortet zu sehen.
Meine Befürchtung war, dass mit dem Zuweisen von VLANs auf das IF LAN genau das native LAN sozusagen weg ist.
Ich werde berichten!

 

[blurrrr]

Wenn ich das IF LAN mit VLANs belege, bleibt erst einmal alles am Funktionieren, da LAN mit VLAN Id 1 als default und normal nicht unbedingt zu verwenden versehen wird?

Das ist ja auch Sinn und Zweck von VLANs, ansonsten könntest Du ja auch alles über physikalische Netzwerk-Erweiterungen abbilden. So geht es primär darum, dass über eine "vorhandene" physikalische Infrastruktur diverses abgebildet werden kann. Meine Firewall privat hat z.B. nur 2 Ports (WAN+LAN). Auf dem LAN-Interface sind etliche VLANs. Teilen sich natürlich die maximale Geschwindigkeit des physikalischen Ports, insbesondere bei Traffic zwischen den einzelnen internen VLANs, was für mich privat aber vollkommen ausreicht.

 

[the other]

Moinsen,
DAS

Auf dem LAN-Interface sind etliche VLANs. Teilen sich natürlich die maximale Geschwindigkeit des physikalischen Ports, insbesondere bei Traffic zwischen den einzelnen internen VLANs,

war für mich auch ein Grund, die pfsense hardware aufzurüsten. Der Trunk zum switch läuft jetzt auf 10 Gbit SPF+...
Hab ich schon gesagt, dass mein 2. Vorname "Overkill" lautet?
Hat zwar vorher bei 1 Gbit auch nie gestört, aber hey...haben statt brauchen und so.

 

[Fidibus]

Danke für eure Antworten.

 

[the other]

Moinsen,
...und? Schon ausprobiert?
Sag Bescheid, falls es konkret irgendwo haken sollte. Ich selber finde ja die Konfiguration am switch immer nerviger als an der pfsense: da ist alles kurz und knapp, doof ist die immer wieder unterschiedliche Implementierung der unterschiedlichen Hersteller, das ist am Anfang immer ein wenig trial and error.

 

[Fidibus]

schon ausprobiert?

Natürlich nicht. Ich möchte das natürlich gedanklich gut vorbereitet haben, da es - wie immer - eine Operation am offenen Herzen wird. Der Rest der Netznutzer hat wenig Verständnis, wenn es nicht funktioniert
Außerdem muss der Preis für den gewählten Switch noch einmal fallen.

 

[blurrrr]

Der Rest der Netznutzer hat wenig Verständnis, wenn es nicht funktioniert

Denke, Du hast da etwas falsch verstanden. Grundsätzlich kannst Du erstmal ein VLAN auf einem Interface anlegen (tagged), da ändert sich für alle anderen Benutzer erstmal "garnichts". Lass mich das evtl. mal anders formulieren: Du hast eine Wohnung, in welcher auch andere Familienmitglieder wohnen. Dort gibt es einen Flur (Firewall), von welchem es a) nach draussen geht (Wohnungstür) und b) in div. andere Zimmer. Nun ist Dir das alles zu klein und Du baust noch ein Zimmer an. Dieses Zimmer benötigt natürlich auch eine Tür. Frage: Werden andere Bewohner nun durch diese zusätzliche Tür (und das zusätzliche Zimmer) in irgendeiner Art und Weise beeinträchtigt? Ich denke, das kann man nun verneinen. Ebenso verhält es sich mit dem VLAN. Nur weil da jetzt ein VLAN (mehr) ist, ändert es erstmal nichts an den bereits vorhandenen Dingen. Das wird erst so sein, wenn Du anfängst, Dinge aus dem anderen Zimmern in das neue Zimmer zu verfrachten. Dann müssen die Bewohner halt auch für bestimmte Dinge in das andere Zimmer. Ebenso verhält es sich dann, wenn Du irgendwelche Dinge aus dem primären Netz in das zusätzliche Netz packst, sofern diese Dinge denn ebenfalls von den Mitbewohnern genutzt werden.

EDIT: Mach vorher einfach nochmal ein Backup, dann kannst Du auch ganz flott wieder zurück zum ursprünglichen Zustand.

 

[Fidibus]

Moin,
hier werde ich nun tätig.
Ich habe mir als "Coreswitch" einen TP-Link TL-SG1016PE genommen.
Parallel zur Recherche frage ich einfach schon mal die Wissenden:
Arbeitet die pfsense mit 802.1Q und tagged die die Pakete?
Auf dem TP-Link kann ich auch so etwas wie Port Based VLAN einstellen....
Ich hab gedacht, VLAN mal vor Urzeiten verstanden zu haben....

 

[blurrrr]

Arbeitet die pfsense mit 802.1Q und tagged die die Pakete?

Wenn Du es entsprechend konfigurierst, ist dem so.

Auf dem TP-Link kann ich auch so etwas wie Port Based VLAN einstellen....

Unterstützt IEEE802.1q, schauste vielleicht mal hier rein: tp-link.com - How to configure 802.1Q VLAN on TP-Link Easy Smart/Unmanaged Pro Switches.

Ich hab gedacht, VLAN mal vor Urzeiten verstanden zu haben....

Wichtig ist erstmal, dass Du den Unterschied zwischen tagged und untagged kennst.

Ich würde sowieso sagen: Besorg was Du besorgen willst. Danach belässt Du bisheriges so wie es ist und nutzt anderweitige ungenutzte Ports zum rumspielen und testen. "Sollte" dabei etwas schief laufen, ist die restliche Infrastruktur davon nicht betroffen

 

[Fidibus]

Moin,
vielleicht verstehe ich es ja falsch, vielleicht hat einer Erfahrungen.
Naach dem Install-Link von @blurrrr hätte ich bei der

erwartet, dass VLAN 1 default auf allen liegt.
Wenn ich jetzt VLAN10 "trunke", scheint VLAN 1 raus zu fliegen.
Also brauche ich doch 802.1Q VLAN Configuration, da scheint zumindest anzeigemäßig alles zu passen:

Würdet ihr das auch so sehen?

 

[blurrrr]

erwartet, dass VLAN 1 default auf allen liegt.

"untagged" gibt es halt nur "1x" je Port. Hast Du 16 Ports und packst 2 Ports "untagged" in ein anderes VLAN, sind diese beiden Ports logischerweise nicht mehr (untagged) im Default-VLAN.

Bei Deinem 2. Screenshot sieht es da halt schon anders aus: Alle Ports ohne VLAN-Tag (untagged) sind dem VLAN1 zugeordnet. Anderweitige Pakete, welche bereits ein VLAN-Tag besitzen (tagged) werden gemäß - sofern den Ports zugeordnet - dort auch entsprechend verarbeitet und weitergeleitet.

Du hast nun das VLAN10 "tagged" auf alle Ports gelegt. Hat das irgendeinen konkreten Hintergrund? Ich kenne nun Deine Umgebung/Infrastruktur nicht, aber... Ich male einfach mal 3 Szenarien an die Wand:

1) WLAN: Du hast mehrere VLAN-fähige Accesspoints (sagen wir einfach mal 3 Stück), welche jeweils 4 verschiedene SSIDs bereitstellen, wobei jede SSID in ein anderes Netz führt. Die Firewall übernimmt dabei die Bereitstellung der jeweiligen Netze und Netzdienste (z.B. DHCP). Somit wären es in Summe erstmal 4 weitere VLANs, welche an den Switch-Ports (an welchen die Accesspoints hängen) jeweils als "tagged" definiert werden und zusätzlich auch am Uplink-Port des Switches (Firewall). An den Accesspoints werden dann die unterschiedlichen SSIDs den gewünschen VLANs zugeordnet. Somit ist die komplette Strecke durchweg "tagged". Allerdings - hier im Beispiele - eben beim Switch nur an 4 Ports (1x Firewall (Uplink) + 3x Accesspoint).

2) Proxmox-Host und div. VMs sollen in VLANs untergebracht werden: Hier ist es eigentlich noch einfacher, denn in diesem Beispiel sind es lediglich 2 Switch-Ports, welche involviert sind (1x Firewall + 1x PVE-Host). Die Zuordnung der VLANs für die VMs findet auf dem PVE-Host statt. Somit sind lediglich nur die tagged-VLANs auf den 2 Switchports zu definieren.

3) Ein 4 Clients ohne großes Gefummel in ein VLAN verfrachten: Hier bietet sich dann halt "untagged" an. Firewall halt wieder "tagged" auf dem Switch und die 4 Ports für die Endgeräte dann eben untagged ins gewünschte VLAN. Vorteil ist hierbei halt, dass die Endgeräte nicht konfiguriert werden müssen (ggf. können sie auch garnicht VLAN-technisch konfiguriert werden, wie sie es z.B. bei "tagged" müssten). Hier wären also in Summe 5 Ports involviert.

Du hast jetzt allerdings "alle" Ports auf VLAN10 (tagged) stehen, daher die Nachfrage

Was Deine Frage angeht, kann sein, dass es wie bei einem meiner Switche ist (das hat mich echt richtig genervt), da gibt es einen "einfachen" und einen "erweiterten" Modus. Der einfache scheint einfach nur durchweg portbased (untagged) zu sein. Von daher bist Du mit 802.1Q schon genau richtig aufgehoben

 

[Fidibus]

"untagged" gibt es halt nur "1x" je Port. Hast Du 16 Ports und packst 2 Ports "untagged" in ein anderes VLAN, sind diese beiden Ports logischerweise nicht mehr (untagged) im Default-VLAN.

Das sieht hiere in der Beschreibung anders aus:

Du hast nun das VLAN10 "tagged" auf alle Ports gelegt.

Nein, auf 1 und (getrennt duch Komma) 16.
1x Uplink zum Router (Pfssens, LAN-Port) und einmal downstream zu einem AP, der die 2 Netze "Ver-WLAN't".
Ich möchte VLAN 1 nutzen, um nicht die gesamte bestehende Infrastruktur anzufassen.
VLAN 10 wird das erste zusätzliche Netz über pfsense LAN-Port.

 

[blurrrr]

Sorry, wer lesen kann, ist klar im Vorteil