2 Internet Verbindung getrennt verwalten

[JeGr]

Dann post ggf. mal die Regeln von den LANs (VLANs) und wie die konfiguriert sind.

[Kira1989]

So das sind meine Konfiguration, Die 2 VLAN muss ich noch richtig Konfigurieren und nicht so offen lassen ich weiß aber ich will erst die 2 Probleme beseitigen.


[JeGr]

OK da hast du ein ganz anderes Problem. Kannst du noch deine Interface-Übersicht posten (Zuweisung von Hardware Interfaces auf Namen)?

Wenn du das LAN nämlich in VLANs splittest, solltest du kein normales "LAN" mehr haben, das macht wenig Sinn.

[Kira1989]

Wurde oben eingefügt.

Heißt das ich Mus WAN1 mit VLAN1 machen und WAN2 mit VLAN2 machen oder ist das dann auch falsch.

[JeGr]

OK genau das dachte ich mir. Du musst die Zuordnung LAN -> vr0 löschen.

Da du auf dem HP Switch das Interface der pfSense LAN ja (hoffentlich) so eingerichtet hast, dass es NUR 10 und 20 mit T hat (also tagged), müssen auch getaggte Pakete versendet werden. Sprich die pfsense braucht die vr0_vlan10/20 interfaces, die du schon eingerichtet hast. Damit hast du zwei virtuelle Interfaces (LANs) auf einem Port. Dann solltest du aber den Port selbst (vr0) nicht mehr untagged eingebunden haben.

Jetzt brauchst du lediglich bei VLAN1/2 die Allow Regeln, die auf das entsprechende Gateway gehen (WAN/WAN2) so wie dus eingerichtet hast. Die Block Regel darunter ist eigentlich unnötig, denn du verbietest VLAN1 address (pfSense IP des VLAN1) auf genau das Gleiche (also VLAN1 IP auf VLAN1 IP).

Was du eigentlich willst, ist noch eine Block Regel:

• Block - IPv4 - VLAN1_network - * - VLAN2_network - * - * - none (auf VLAN1)
• Block - IPv4 - VLAN2_network - * - VLAN1_network - * - * - none (auf VLAN2)

Diese Regel muss dann VOR die allow Regel. Dann sollte auch der Traffic von VLAN1<->VLAN2 geblockt sein (wichtig ist network, nicht address und IPv4 any, nicht TCP only, sonst würde Ping oder UDP Traffic noch funktionieren).

Dann sollte es auch klappen wie gewollt.

[Kira1989]

So Funktioniert auch Die regeln, Nun habe ich wider ein Anderes Problem auch wenn mein 2. Internet erstmal ausgesteckt ist kann ich mit VLAN20 immer noch ins Internet wo eigentlich Offline sein sollte oder eine Fehlermeldung kommen müsste. Kann das sein wenn die 2. Internet Verbindung offline geht oder weg ist das er dann die 1. nimmt.

[JeGr]

Wenn du es so eingerichtet hast, ja.

[Kira1989]

Das habe ich eigentlich nicht eingestellt Habe Nirgends MULTI-Wan eingerichtet oder Irgend ein Tiger.

Um Die Vlan IP Adressen zu bekommen muss man auch noch andere VLAN fähige Switche haben oder kann man normale Switche nutzen.

Ich Habe noch eine Frage ich glaube ich Weiß die Antwort schon denke ich aber ich frage Gerne noch mall wo anders, Wenn die Firewall 100Mbit LAN Port´s haben und ich Werde nun Überall Die Switche die alten wo wir hier haben auf Neue Switche umstellen z.B wie der HP Switch, Bringt das eigentlich was. Ich Denke erst wen man Die Firewall auf  Gigabit umstellt dann bringt es was, aber wenn man es erstmal Läst ist man ja dann auch schon Gewabnet mit den Ganzen Switche wenn ich die nun umbaue.

[Kira1989]

Guten Morgen,

Ist es So richtig das ich Die Ganze alten Switche um tauschen Müsste in den neuen Switche die VLAN Support sind oder irre ich mich dort wider, weil Eigentlich Müsste es ja dann Funktionieren wenn ich den VLAN Switche dann hinstelle müsste es ja funktionieren. und die Accespoint´s sind dann auch vlan supportet.

[JeGr]

Nein, muss nicht. Wie schon (mehrfach) gesagt, würde es genügen, einen "dummen" Switch mit Clients von LAN A an einen Port des HPs zu kaskadieren, der die Pakete auf VLAN 10 taggt und dito mit LAN B und VLAN 20.

Dazu muss der Port auf dem HP wo bspw. der dumme Switch mit Clients aus LAN A hängt auf VLAN 10 untagged und alle anderen VLANs als Excluded stehen. Adäquat für LAN B / VLAN 20.

[Kira1989]

Warte mall Das was ich Grade geschrieben habe, habe ich Grade nochmal nach geschaut so habe ich es ja schon eingestellt.

VLAN10 und VLAN20 sind ein mall Untage und die Ganze andere sind dann Excluded.

Aber Komisch ist es das ich den "Dummen Switch" in den Untage reinsteckt Bekomme ich von dem Switch keine IP adresse.

[Kira1989]

WAN1----+      +VLAN10------+D.Switch+----Andere PC
	|	|
pfsense +------+Hp
	|      |
WAN2----+      +------VLAN20

Wo die pfsense zum HP rein geht ist Taged und wo VLAN10 und VLAN20 raus kommt ist untagged und die Restliche ports sind Excuded. so muss es doch Funktionieren. Oder muss ich Den Port wo der Switch rein kommt Taggen.

[Kira1989]

					WAN/Internet            WAN2/internet2
					 |                       |
					 |                       |
					 |                       |
					 |                       |
                       172.16.0.1 pfSense+ - - - - - + - - - - - +pfSense 172.16.1.1
					 |           |           |
					 |           |           |
					 |           |           |
					 |           |           |
					 |           |           |
					 |           |           |
					 |           |           |
					 |           |           |
                    172.16.0.x Lan ------+           |           +------ LAN 2 172.16.1.x
				               Server/Druckserver/DB/Soundarchive
							   172.16.0.x
							   172.16.1.x

So Müsste es Doch eigentlich auch Funktionieren Dass man 2 Unterschiedliche Internet Verbindung hat sind Getrennt und man kann über ein Gerät beide Firewall´s Steuern und die Andere Leute Können Dann auch Drucken oder auf die Datenbanken sich verbinden.
Das Mit dem VLAN Würde Funktionieren wenn man das Finanzielle hätte.

[JeGr]

Ich verstehe leider das neue Schaubild nicht. Sind da jetzt plötzlich 2 pfSense am Start?
Warum? Der oben geschilderte Fall funktioniert bei korrektem Setup ohne Probleme. Verstehe die neuerliche Umgestaltung nicht. Wenn ständig was umgebaut wird, kann es ja nicht funktionieren.