Dies ist eine alte Version des Dokuments!
VLAN tagging
Nutzen
Was sind eigentlich VLANs? Stell dir vor, du willst drei Netzwerke von Node A nach Node B bringen. Netzwerk1 könnte zum Beispiel dein privates Netz sein, Netzwerk2 ist das Freifunk-Client-Netz, welches dein x86-Offloader aussendet, und Netzwerk3 ist dein Mesh-Netz, über die deine anderen Nodes vom Offloader ihr Internet beziehen.
Nun müsstest du eigentlich drei Kabel von A nach B ziehen ODER du nutzt VLANs. Das V steht für virtuell. Je nach Konfiguration kannst du damit auch Netzwerkkarten an verschiedenen Geräten sparen.
Grundlagen (IEEE 802.1Q)
Ein VLAN-Datenpaket unterscheidet sich ein wenig von einem „normalen“ Datenpaket. Es besitzt ein optionales VLAN-Tag, welches angibt, in welchem VLAN (1-4094) sich es befindet.
Weitere Informationen auf https://de.wikipedia.org/wiki/IEEE_802.1Q
Ein VLAN-Datenpaket bezeichnet man als „tagged“, ein Datenpaket ohne VLAN als „untagged“.
Normale Switche leiten alle Pakete richtig weiter. Endgeräte, wie zum beispiel ein PC, können diese normalerweise ncht verwerten. Sie verwerfen alle „tagged“ Pakete und verwenden nur die „untagged“ Pakete.
Grundlagen (Beispiel)
Aber wie kann dan ein normaler Computer auf das Client Netz oder das Private Netz zugreifen?
Man definiert sich zuerst verschiedene VLANs z.B.
- untagged: privates LAN
- tagged VLAN 1: Mesh-Netz
- tagged VLAN 2: Client-Netz
- tagged VLAN 3: Netz für Internet of Things-Geräte (Das S von IoT steht für Sicherheit, deshalb sollte man sie eventuell nicht im gleichen Netz laufen lassen wie alles andere)
Nun nehmen wir uns zwei Freifunk-Router z.B. TP-WR1043 (Gigabittauglich). Beide erhalten folgende Konfiguration: Switchport 0 (gelb): privates Netz Switchport 1 (gelb): Mesh-Netz Switchport 2 (gelb): Client-Netz Switchport 3 (gelb): IoT-Netz WANport (blau): Trunk-Netz
Die Switchports geben die jeweilen VLANs untagged raus. Der WAN-Port erhält alle VLANs tagged und das untagged private Netz.
Am ersten Switch speist man nun an den Switchports die einzelnen LANs ein und verbindet ihn mit dem zweiten Switch über die WAN-Ports. Beim zweiten Switch fallen nun die Netze raus.
Schließt sich jemand z.B. an den Switchport 2 an, hat er nur Zugriff auf das Client netz und kann nicht auf Geräte zugreifen, die z.B. im privatem Netz sind.
