KabelBW und statische IPs

[jahonix]

@JeGr:

mit einer Switchkaskade könnte es dann tatsächlich hinhauen. […] hört sich aber mighty overdosed an für den Erfolg

Wieso?
Der OP hatte IMHO die Einschränkung, aus platz- und thermischen Gründen nur eine ALIX/APU verwenden zu können.
Mit den Kisten habe ich doch kaum eine andere Chance, als es in dieser Form zu konfigurieren.

@JeGr:

Wenn man für alle IPs die gleiche MAC angeben kann, wäre es eine interessante Variante, die zusätzlichen IPs statisch zu konfigurieren

Warum sollte das funktionieren können, wenn man die MACs in einem Web-Interface des Providers vorher konfigurieren muss?
Dabei hilft es jetzt auch nicht, über die generelle Sinnhaftigkeit dieses Vorgehens zu diskutieren. Nur mal so präventiv.

[JeGr]

@tpf: Das wurde zwischendurch behauptet/in der Raum geworfen, da ich selbst kein Business Kunde bin konnte/kann ich dazu nichts sagen :)

@jahonix:

Wieso?
"overdosed", da mit zwei vorgeschalteten Switches wovon einer noch intelligent mit VLANs sein muss und entsprechend wirre Verkabelung. Wenn Platzgründe das Problem des OP sind, könnten zwei Switches und der Kabelsalat ja durchaus ein Argument sein. War aber nicht negativ/abwertend gemeint, nur eben ziemlich aufwändig für "möchte eigentlich nur 4 IPs haben".

Warum sollte das funktionieren können, wenn man die MACs in einem Web-Interface des Providers vorher konfigurieren muss?
Da ich zumindest einmal in der Vergangenheit KabelBW Business bei einer Firma hatte, weiß ich, dass man damals zumindest eine Zeit lang das Interface auch statisch konfigurieren konnte, es gab aber in unregelmäßigen Abständen dann immer mal wieder Probleme (Routing o.ä.) so dass das eben nicht empfohlen ist. Die Idee - die ja nicht funktionieren wird, da @tpf ja schon gezeigt hat, dass es nicht möglich ist - war dann lediglich darauf zu vertrauen, dass so lange eine IP wenigstens dynamisch konfiguriert ist, es nicht so problematisch ist die anderen statisch zu konfigurieren, da hoffentlich meist das gleiche Gateway o.ä. definiert wird.

Ist aber nun ebenfalls egal, da wir ja nun sehen, dass es überhaupt nicht möglich ist. Hätte mich auch stark gewundert, denn da die IPs per DHCP vergeben werden, würde jeder DHCP Server streiken wenn man ihn mit 4 gleichen MACs für unterschiedliche IPs füttert. :)

Trotzdem eine interessante Diskussion, vor allem die Idee mit dem Switch. :)

[tpf]

Servus,
also ich hatte das ja auch versucht, als ich Dual-WAN mittels KabelBW und T-Com aufgebaut habe. Als ich auf der pfS manuell die MAC für das VLAN-Interface geändert habe, wurde gleichzeitig auch die MAC des Partent-Interface geändert. Das kam dann zwar die angedachte IP von KabelBW, funktionierte aber sonst nicht. Das kann zwar auch andere Gründe gehabt haben, ich habe es dann aber nicht weiter untersucht sondern mit der alten MAC einfach weiter gemacht. Ich habe einen 8-Port VLAN-Switch, gebe KabelBW und T-COM jeweils untagged auf einem Port rein und gebe sie tagged auf einem Port an die pfS.

[doejohn]

@JeGr:

Wozu DHCP? Statisch konfigurieren un feddich! IMHO ist DHCP das geringste Problem…
Nicht bei Unitymedia / KabelBW. Da gab es schon häufiger Probleme, wenn die IP statisch konfiguriert ist, weil man etwaige Gateway oder Routing Änderungen dann nicht mitbekommt.

Stimmt… Daran hatte ich nun nicht gedacht.

Dann könnte ich auf diesem Interface einfach 110.0.0.0/7 konfigurieren, und alles wäre gut. Ich sehe nicht, was dagegen sprechen würde.
Nope, geht nicht. Außer du sägst dir mal kurz instant das komplette 110/111.er Netz ab, denn du würdest alle Adressen verlieren. Da deine pfSense dann denkt, dass die Adressen bei ihr direkt auf dem WAN Interface lokal erreicht werden können, würde sie diese nie mehr an den Default-Router weiterreichen.

Arghs! Auch daran hatte ich nicht gedacht…

@JeGr:

@Jahonix: Wow, ja mit einer Switchkaskade könnte es dann tatsächlich hinhauen. Trunk mit 4 VLANs auf VLAN Switch, dort dann 4 Einzelstrecken zu nächstem Switch/Hub wo dann final das Modem dranhängt.

Das hatte ich ja schon in #22 vorgeschlagen:
@doejohn:

Alternativ könnte man die fünf Ports des VLAN-Switches mit einem dummen 8-Port-Billig-Switch zusammenfassen, um zum Modem zu gehen.

@tpf:

Wie kommt ihr eigentlich drauf man könnte bei KabelBW mehrere IPs mit einer identischen MAC reservieren? Das geht schlicht und ergreifend nicht  ???

Jeder Service-Mitarbeiter, mit dem ich bislang telefoniert habe (mittlerweile sieben!) hat behauptet, das würde gehen.  :o Und ich bildete mir ein, der Business-Support wäre besser informiert als der Privatkunden-Support :-/
Selbst probieren konnte ich das bislang leider noch nicht…

@jahonix:

Der OP hatte IMHO die Einschränkung, aus platz- und thermischen Gründen nur eine ALIX/APU verwenden zu können.

Genau. Einen VLAN-Switch benötige ich ja sowieso. Einen zusätzlichen Billig-8-Port-Switch würde ich noch einigermassen unterbringen können. Einen PC, in den ich zwei 4-Port-Karten stecken könnte, würde ich aber auf garkeinen Fall mehr unterbringen können.
@tpf:

also, ich hatte das ja auch versucht, als ich Dual-WAN mittels KabelBW und T-Com aufgebaut habe. Als ich auf der pfS manuell die MAC für das VLAN-Interface geändert habe, wurde gleichzeitig auch die MAC des Partent-Interface geändert.

Arghs! Das würde bedeuten, dass die Lösung mit der Switch-Kaskade auch nicht funktionieren würde :-//

[jahonix]

@doejohn:

Einen zusätzlichen Billig-8-Port-Switch würde ich noch einigermassen unterbringen können.

Das muss kein zusätzlicher Switch sein. Nimm einfach 5 oder 6 Ports des vorhandenen, managed Switches und packe die in ein eigenes VLAN mit untagged Ports.
Sieht zwar immer wieder komisch aus, wenn man 2 Ports auf einem Switch mit einem short-link brückt, ist aber völlig ok.

[doejohn]

@jahonix:

@doejohn:

Einen zusätzlichen Billig-8-Port-Switch würde ich noch einigermassen unterbringen können.

Das muss kein zusätzlicher Switch sein. Nimm einfach 5 oder 6 Ports des vorhandenen, managed Switches und packe die in ein eigenes VLAN mit untagged Ports.
Sieht zwar immer wieder komisch aus, wenn man 2 Ports auf einem Switch mit einem short-link brückt, ist aber völlig ok.

Ist mir schon klar… Aber ich fasse mal zusammen, wie viele Ports ich benötige:
1 Tagged port
5 Produktiv-Netze (pro statische IP ein Netz)
5 Interface-Ports
1 DMZ

Macht in der Summe 12 Ports.

Packe ich den Kaskade-Switch auf den gleichen VLAN-Switch, müssen es schon 18 Ports sein. Switche mit 18 Ports gibt es nicht, also muss es ein 24-Port sein.

Ein 24-Port-Switch ist sowohl von den Abmessungen als auch vom Preis deutlich grösser angesiedelt als 12vlan+8billig.

BTW: wer kann einen VLAN-Switch mit 12 oder 16 Ports (gut+günstig) empfehlen?

[tpf]

@tpf:

Wie kommt ihr eigentlich drauf man könnte bei KabelBW mehrere IPs mit einer identischen MAC reservieren? Das geht schlicht und ergreifend nicht  ???

Jeder Service-Mitarbeiter, mit dem ich bislang telefoniert habe (mittlerweile sieben!) hat behauptet, das würde gehen.  :o Und ich bildete mir ein, der Business-Support wäre besser informiert als der Privatkunden-Support :-/
Selbst probieren konnte ich das bislang leider noch nicht…

Nicht mehr, leider. Anfangs war das wirklich fähiger Support, da saßen Fachleute am Telefon. Heut sind das genau dieselben ahnungslosen Quasseltanten wie bei der Privatkundenhotline. Lief gefühlt parallel zur Fusion von Unitymedia. Ich habe gekündigt, mir langts.

Ich würde es mit statischer Konfiguration versuchen. Oder gibt es etwas was dagegen spricht?

Hier mal die mir zugewiesene Konfig. Ist ein kleines /26 Netz und ich hab die IPs 199 - 203

[JeGr]

Lief gefühlt parallel zur Fusion von Unitymedia. Ich habe gekündigt, mir langts.
Stimmt leider zum Teil, sobald man aber zu Support Level 2/3 weiterkommt, bekommt man durchaus noch fähige Leute ans Rohr, die auch mit Begriffen wie Routing, Latenzen, Lagspikes etc. was anfangen können. Da muss man aber wirklich hartnäckig bleiben und sich meistens durch die Level 1 Checkliste durchmogeln (Sind ihre Geräte direkt am Modem? Können Sie mal eines anschließen? Haben sie schonmal einen Neustart gemacht…)

Ich würde es mit statischer Konfiguration versuchen. Oder gibt es etwas was dagegen spricht?
siehe oben. Gab schon häufiger Probleme wenn intern Routen geändert wurden und sich das Default GW bspw. verändert/angepasst wird. Und im dümmsten Fall bekommt man nicht mal IPs aus dem selben Netz.

[jahonix]

@doejohn:

Packe ich den Kaskade-Switch auf den gleichen VLAN-Switch, müssen es schon 18 Ports sein. Switche mit 18 Ports gibt es nicht, also muss es ein 24-Port sein.

Nimm doch einen mit 20 Ports.

@doejohn:

Ein 24-Port-Switch ist sowohl von den Abmessungen als auch vom Preis deutlich grösser angesiedelt als 12vlan+8billig.
BTW: wer kann einen VLAN-Switch mit 12 oder 16 Ports (gut+günstig) empfehlen?

Empfehlung #1: Cisco SG300-20
Budget: TP-Link TL-SG3216 (wenn doch 16 Ports reichen)

Aber 19" sind beide, da führt wohl kein Weg herum.

[jahonix]

Naja, und dann gibt es natürlich noch das Regal mit Industrial Ethernet Switchen, zB:
http://www.cisco.com/c/en/us/products/switches/product-listing.html#IndustrialEthernetSwitches
http://kti.de/produkte/industrialethernet/switche/index.html
http://planet.com.tw/en/product/product_list.php?id=22154
http://de.moxa.com/product/Managed_Ethernet_Switches.htm
…

[doejohn]

Alles ab 16 Ports ist eben 19", und das kriege ich nicht unter.

Der SG300 wäre meine erste Wahl gewesen, aber den gibt es nur mit 10 oder 16 Ports. 10 sind zu wenig und 16 ist dann schon 19".

Hutschiene wäre ideal. Aber da ist die Auswahl sehr übersichtlich, und die Preise recht hoch. Der unmanaged KTI KFS-0840 wäre ja noch erträglich. Aber managed mit 16 Ports ist schon vierstellig…

Alternative wäre zwei 8er managed plus ein 8er unmanaged

Wer kann denn definitiv sagen, ob man den einzelnen VLANs eigene MACs zuweisen kann?

[jahonix]

Bei den Switches ist das halt wie immer:
Du hast eine sehr spezielle Anforderung und deren Lösung kostet halt mehr Geld als jeder Standard von der Stange.
Es ist lösbar. Wenn's Dir zu teuer ist, dann drehe halt an einer anderen Stellschraube. Kosten wird das immer.

@doejohn:

Wer kann denn definitiv sagen, ob man den einzelnen VLANs eigene MACs zuweisen kann?

Ausprobiert und hat funktioniert. Siehe Screenshot.
Habe meinen 3 vNICs der APU dedizierte MACs zugewiesen und das LAN gescannt. MAC sowohl von einem Host aus wie auch im ARP table der pfSense sichtbar.
Alles andere hätte mich auch überrascht.


[jahonix]

Naja, in den Segmenten melden sich die NICs mit den angegebenen MAC Adressen.
Unter  Status | Interfaces  steht hingegen die zuletzt eingegebene oder höchste MAC der Reihe bei allen betroffenen Interfaces. Nicht ganz sauber, reicht aber.

[JeGr]

@jahonix:

Solange andere Rechner alle MACs sehen und erreichen, sollte die Anzeige unter Interfaces relativ wurscht sein. Und so ich dich verstanden habe, wurde das ja von externem Host so angezeigt, ergo kommen wohl bei dem die unterschiedlichen MACs an?

[jahonix]

Yepp, ein Scan von meinem MBP mit LanScan zeigte die eingestellte MAC. Allerdings die vom LAN Segment, an dem ich auch hing. Das ist aber auch die MAC, die unter
  Status | Interfaces  für alle angezeigt wird!?? Der ARP table der pfSense hingegen zeigte das erwartete Ergebnis. Ich werde das noch einmal testen, aber nicht hier in der Firma sondern heute Abend daheim - das ist mir sicherer… ;-)

[doejohn]

@jahonix:

Naja, in den Segmenten melden sich die NICs mit den angegebenen MAC Adressen.
Unter  Status | Interfaces  steht hingegen die zuletzt eingegebene oder höchste MAC der Reihe bei allen betroffenen Interfaces.

Das würde ich für einen Bug in der Web-GUI halten.

Was zeigt denn ifconfig?

[doejohn]

Kennt jemand den D-Link DGS 1510-20? Das Teil hätte 16 Ports in einem 11"-Gehäuse, managed. Ist der brauchbar?

[jahonix]

Bislang hatte ich die noch nicht in der Hand, habe darüber jetzt mal etwas gelesen und geschaut.
Ziemlich viel Bang für den Buck inkl. 2x 10G SFP+ Ports sogar am 1510-20.

"Nur" L2, was völlig in Ordnung ist und selbst der "kleine" scheint einen Lüfter zu haben. Das fände ich sub-optimal.
Alle Geräte sind auch noch stackable.

Der Preis ist kürzlich deutlich in die Höhe geschossen (bei Google gibt es von notebooksbilliger.de sogar noch einen Link um 190,- €, der dann bei 227,90 landet) was am derzeitigen $-Kurs liegen dürfte. Immerhin plus 20%!
Wenn der bei Dir mechanisch hineinpasst, dann würde ich nicht lange warten bevor der Preis noch weiter steigt.

Fazit: Danke für den Hinweis, werde die Geräte in Zukunft mit auf dem Zettel haben.
Eine Rückmeldung von Dir wäre bestimmt hilfreich.

[jahonix]

Ach, der Preis bei nbb.de schein aktuell ganz gut zu sein.
Bei Ingram würde ich den für 195,- und bei ALSO sogar für 219,75 netto einkaufen sollten.
Da sind die 191,50 von nbb.de also völlig ok!

[Guest]

@deejohn
Der Beitrag hier ist zwar schon etwas älter, aber da das ganze ja gerade noch einmal im englischen
Teil dieses Forums als Frage gestellt wurde und es mir einfach fällt solche Sache in deutscher Sprache
klar zu stellen bzw. zu erklären, hier noch mal ein Update und eine Klarstellung der ganzen Sache!
Link

Für den Business UM Anschluss mit 5 IP Adressen benötigt man genau eine MAC Adresse und hinterlegt
danne eben genau diese in der pfSense und macht einfach fertig 1:1 NAT und leitet diese IP Adresse dann
eben auf eine private internen IP Adresse um. Das kann ein Server, eine VM oder ein Switch bzw. auch nur
Teile des Switches (VLANs) sein.

Keine Angst es ist ganz einfach und man muss auch keine IP Adresse einem VLAN zuteilen wenn man
das nicht unbedingt möchte. und ja sicherlich kann das auch mittels pfSense seriös und ohne Tricksereien
gelöst werden, gar keine Frage. Es ist ganz offensichtlich das es sich hier nur um ein Missverständnis handelt
denn man kann das auch recht einfach sogar mit der pfSense Firewall lösen. Und vorab, ja der DGS1510-20
ist zu gebrauchen, allerdings nur in kleineren KMU Umgebungen ebenso wie der SG300 von Cisco oder der
ein anderer Switch von TP-Link oder Zyxel für KMUs.

Auszug aus der UnityMedia (UM) Seite aus Deinem Link im englischsprachigem teil dieses Forums.
Link

Sie haben sich für ein Office oder Company Produkt mit statischen IP-Adressen entschieden. Diese statischen IP-Adressen sind die Voraussetzung, um viele fortgeschrittene Internet-Dienste zu nutzen. So können Sie zum Beispiel einen eigenen Web-Server unter einer festen Adresse erreichbar machen oder ein Virtuelles Privates Netzwerk (VPN) einrichten.

Man kann die statischen IP Adressen auf zwei Arten hinterlegen oder setzen bzw. verteilen.

• Direkt auf der pfSense mit einem Modem davor die IP Adressen hinterlegen und dann via
  1:1 NAT auf die dahinter liegenden Switche, oder auch nur auf Teilen davon (Subnetz oder VLAN)
  bzw. Server oder andere Geräte via Port-Weiterleitung (Portforwarding) weiterleiten oder reichen.
• Die IP Adressen direkt am Geräte selber vergeben, also der Server erhält dann direkt die öffentliche
  und statische IP Adresse, was hier allerdings ausscheidet so wie es UM auch auf der Webseite schreibt.

Siehe dazu folgende Aussage von UM.

Eine statische Eintragung der IP-Adresse am Endgerät ist nicht möglich.

Also dem Server, dem Switch oder etwas anderem.

Jede statische IP-Adresse kann nur jeweils einem Ihrer Endgeräte mit eigener MAC-Adresse zugewiesen werden.

Und hier liegt meistens der Denkfehler, der gemacht wird! Jede statische IP Adresse kann nur einer MAC
Adresse und nicht mehreren MAC Adressen zugeordnet werden, aber alle 5 IP Adressen können einer MAC
Adresse zugeordnet werden, nämlich der vom WAN Port des Modems oder der pfSense.

Der Unitymedia DHCP Server weist der angemeldeten MAC-Adresse automatisch Ihre beantragte statische IP-Adresse zu.

Und wenn alle IP Adressen in der pfSense hinterlegt worden sind und IP- und Portweiterleitungen
konfiguriert worden sind, ebenso die eine MAC Adresse des WAN Ports am Modem oder des WAN
Ports der pfSense werden alle IP Adressen der pfSense oder dem Modem davor zugeteilt!

Hier mal ein Beispiel dazu:

Internet –- ISP > IP xx.xx.xx.50 --- Modem --- pfSense --- 1:1 NAT ---- Mail Server in DMZ mit 192.168.1.5/24
Internet --- ISP > IP xx.xx.xx.51 --- Modem --- pfSense --- 1:1 NAT ---- FTP Server in DMZ mit 192.168.1.6/24
Internet --- ISP > IP xx.xx.xx.52 --- Modem --- pfSense --- 1:1 NAT ---- Web Server in DMZ mit 192.168.1.7/24

xx.xx.xx.50:80 am WAM Port der pfSnese --- Route auf 192.168.1.5/24 und Portweiterleitung auf Port 80
xx.xx.xx.50:80 -- 192.168.1.5:80

192.168.1.5 kann ein Server ein Switch oder nur ein Teil (VLAN) eines Switches sein.
Möglich wäre auch das ein einzelner Port der pfSense einen eigenen IP Adresskreis erhält.
Auch wenn man nur "dumme" unverwaltete Switche benutzt und keine VLANs aufsetzen möchte oder kann.
Verwaltete Switche: (Routing auf der pfSense)
eth1 - WAN
eth2 - LAN 192.168.1.0/24 –- Switch 1 nicht verwaltet (unmanaged)
eth3 - OPT1 192.168.2.0/24 --- Switch 2 nicht verwaltet (unmanaged)
.....
Nicht verwaltete Switche: (VLAN oder IP Netz Routing auf dem Switch)
eth1 - WAN
eth2 - LAN 192.168.1.0/24 –- Switch 1 verwaltet (managed) VLAN10 - VLAN120
.....

Layer2 Switch:
Routing zwischen den Subnetzen oder VLANs findet auf der pfSense statt.

Layer3 Switch:
Routing zwischen den VLANs kann auf dem Switch statt finden.