Vlans : Tagged - Untagged - Yes - No - Help :)

[IT-worX]

Beste,

Ik heb thuis een dual WAN setup (2x VDSL2) met pfsense en een HP 2626 switch.
Nu er wat extra's bijkomt, blijkt dat niet alles meer werkt zoals het hoort... Kan iemand dit samen met mij even uitpluizen?

Huidige situatie
- VDSL2 50/6mbit EDPnet
- VDSL2 30/4.5mbit OpenWeb
- HP 2626 switch
- PFsense 2.0.1 op een atom D510MB, 2GB ram, 1x80GB hdd
- 2x Meraki MR12 AP (wifi)

Aangemaakte VLAN's
ID 1 - Default_VLAN
tagged ports : 26
untagged ports : 3-8

ID 10 - LAN
tagged ports :26
untagged ports : 9-22

ID 11 - uplink01
tagged ports : 26
untagged ports : 1

ID 12 - uplink02
tagged ports : 26
untagged ports : 2

ID 1001 - privatewifi
tagged ports : 22-24, 26
untagged ports : none

ID 1002 - publicwifi
tagged ports : 22-24, 26
untagged ports : none

ID 1002 - trustedwifi
tagged ports : 22-24, 26
untagged ports : none

Gebruik poorten HP2626
1 : modem01
2 : modem02
3 tem 8 : eventueel latere uplinks *ahum*
9 tem 20 : LAN
21-22-23-24 : Meraki Wifi (2 effectief, 2 voorbehouden)
25 : gigabit richting 24poorts unmanaged gigabit switch - LAN
26 : gigabit richting pfsense router

Interne IP ranges in gebruik
10.0.0.0/24 : LAN => OK
10.101.0.0/24 : private-wifi (werkt via vlan1001) => OK
10.102.0.0/24 : public-wifi (werkt via vlan1002) => OK
10.103.0.0/24 : trusted-wifi (werkt via vlan1003) => OK
192.168.1.0/24 : DHCP van modem01 om deze te beheren => OK
192.168.2.0/24 : DHCP van modem02 om deze te beheren => OK

Externe IP ranges in gebruik
217.145.41.147 (fixed IP OpenWeb, verkrijgt pfsense via PPPoE via VLAN11 op poort 1) => OK
85.234.198.205 (fixed IP EDPNet, verkrijgt pfsense via PPPoE via VLAN12 op poort 2) => OK
85.234.209.144/29 : extra IP range dat toekomt op het EDPnet adres (zie vorige regel) => Niet OK

Vraagstelling
Ik heb de iprange 85.234.209.144/29 toegevoegd op de pfsense, waarvan 85.234.209.145 het IP is van pfsense. Deze kan ik perfect pingen vanuit een ander netwerk. Als ik op mijn pc (om te testen) het IP 85.234.209.146 ingeeft met subnetmask 255.255.255.248 en gateway 85.234.209.145 dan werkt er...niks! Ik kan mezelf (.146) pingen, maar de gateway (.145) niet. Vandaar mijn idee dat het ligt aan de VLANS.
Tot nu toe heb ik mijn pc enkel aangesloten op de unmanaged 24 poort gigabit switch (die verbonden is met poort 25 van de HP2626) en op poort 9 van de HP262 zelf.

Reden
Ik kan mijn huidige server dan uit DCO halen, en deze thuis draaien. Echter maak ik gebruik van DirectAdmin, en is een public IP uit de extra /29 IPrange dus zeker nodig. Met 1:1 NAT heb ik een andere /29 IP range werkende gekregen, doch dit is niet gewenst voor deze range.

[redbeenl]

Als ik het goed begrijp wil je een apart DMZ maken met een externe adres reeks zodat je niet hoeft te natten, klopt dat? Als je dat wil doen dan moet de ip reeks 85.234.209.144/29 door de provider naar het ip van je firewall gerouteerd worden (85.234.198.205). Ik ga er nu even vanuit dat je firewall VLAN support heeft. Op je firewall maak je een aparte vlan interface aan (bijv. VLAN 20) en deze geef je ip 85.234.209.145, dit VLAN maak je ook aan op de HP switch. Je maakt nu een untagged poort waar je je laptop of server in hangt. Nu moet je de firewall op ip 85.234.209.145 kunnen pingen vanaf je server 85.234.209.146.

Succes!

[IT-worX]

De firewall (pfsense dus) heeft inderdaad vlan support, want alle andere ingestelde netwerken (bvb voor mijn wifi etc) werken perfect. Alleen heb ik schrik dat ik hier en daar tagged/untagged heb fout staan en dat het daarmee niet werkt. De IP-range die ik wil routeren is inderdaad ingesteld als "next hop" op mijn IP van EDPnet (85.234.198.205).

Ik ga jouw tip meteen toepassen op alles, ik laat je het resultaat zodadelijk weten! Als ik het goed begrijp moet de VLAN tagged staat op poort 26 (pfsense) en untagged op poort 9 (PC)?

PS : het is inderdaad de bedoeling om de externe adres reeks in een DMZ te plaatsen zodat ik NAT niet nodig heb. Zo kan ik mijn server uit het DC halen en hier thuis laten werken. Daar ik directadmin gebruik, is een extern IP adres wel leuker.



//EDIT
Net geprobeerd, blijkt ook niet te werken...ping naar gateway (.145 IP) werkt eveneens niet.

VLan ID 20, Naam "servers"
Tagged : 26 (pfsense)
Untagged : 9 (pc)

[The-BosS]

Kris ik wil er wel even voor je naar kijken, maar als je het zelf nog even wil proberen heb ik alvast een tip voor je. De HP2626 heeft zowel vlan support als routing support voor binnen de vlans. Het is dus simpeler om je interne ranges door de routing van de HP2626 te laten afhandelen dan door de pfsense firewall zodat je niet nodeloos met een boel tagged vlans zit naar de pfsense.

[IT-worX]

Dennis,
Ik heb vannacht nog even zitten proberen en alles zitten nalopen, maar ik krijg er kop noch staart aan. Alles werkt perfect, alleen die IP-range wilt hij maar niet doorsturen. Als jij even wilt meekijken ernaar, graag!

[gjtje]

Poort 25 zit in het default vlan, poort 9 in lan, beide zitten niet op de wan interface van de pfsense dus als je daar de /29 op hebt geconfigureerd dan klop het dat je die niet kan pingen vanaf je PC. Je zou dan een untagged poort in vlan 12 moeten stoppen waar je de PC op aansluit. (die hangt dan dus open en bloot aan internet.

Volgens mij wil je die /29 aan een interne interface van de pfsense koppelen (vlan 10), dan kan je vanaf je PC die pfsense als router gebruiken.

[IT-worX]

gjtje:
Poort 25 zit inderdaad in de default vlan. Poort 9 staat nu, samen met poort 26 op vlan 20, waar die extra ip range is op geconfigureerd. VLAN12, wat de uplink is voor de extra ip range, heeft volgens mij niks te maken in dit verhaal, aangezien deze dient als uplink. Het is echter PFSense die de PPPoE sessie opzet. Het is maar volgens mij hé, kan zijn dat ik je verkeerd begrijp.

[redbeenl]

zie je wel het arp (/sbin/arp -na) adres van de firewall op je PC in de DMZ? Je kan ook met tcpdump aan beide kanten kijken of je verkeer ziet op de interfaces, het zou nl kunnen dat de firewall iets blokkeert.

[IT-worX]

netbeenl
Helaas kan ik dat niet testen. De pc die ik er nu aan hang om te testen is een eenvoudige netbook met winXP.
Morgen of één van de komende dagen zal er hier een atom moederbordje toekomen waar ik centOS kan op installeren dan.
Van zodra dit beschikbaar is, zal ik je tips zeker nakijken en beantwoorden in dit topic.

[IT-worX]

Ondertussen weer een stapje verder : de interface die is toegekend op de pfsense router (85.234.209.145) kan ik pingen, zowel intern als extern (vanaf mijn servers, andere verbindingen binnen BE, dus vermoedelijk wel OK). Vandaag heb ik hier een servertje erbij gezet waar ik XenServer op heb draaien (IP 85.234.209.146) dat wel intern bereikbaar is, maar extern niet.

Vermoedelijk ligt er dus een probleem met de firewall die dit nog tegenhoud.
De XenServer staat nu in een aparte vlan (20) overigens.

Hulp nog steeds van harte welkom!

Externe ping Brussel naar toegevoegde interface pfsense router (IP uit de IP range die ik wil gebruiken)

[root@noc ~]# ping 85.234.209.145
PING 85.234.209.145 (85.234.209.145) 56(84) bytes of data.
64 bytes from 85.234.209.145: icmp_seq=1 ttl=60 time=22.9 ms
64 bytes from 85.234.209.145: icmp_seq=2 ttl=60 time=22.8 ms
64 bytes from 85.234.209.145: icmp_seq=3 ttl=60 time=23.6 ms
64 bytes from 85.234.209.145: icmp_seq=4 ttl=60 time=23.3 ms
64 bytes from 85.234.209.145: icmp_seq=5 ttl=60 time=23.6 ms

Externe ping Brussel naar IP dat ik toegewezen heb op de XenServer

[root@noc ~]# ping 85.234.209.146
PING 85.234.209.146 (85.234.209.146) 56(84) bytes of data.
From 213.219.132.17 icmp_seq=1 Time to live exceeded
From 213.219.132.17 icmp_seq=2 Time to live exceeded
From 213.219.132.17 icmp_seq=3 Time to live exceeded
From 213.219.132.17 icmp_seq=4 Time to live exceeded
From 213.219.132.17 icmp_seq=5 Time to live exceeded

Interne ping naar naar toegevoegde interface pfsense router (IP uit de IP range die ik wil gebruiken)

Pingen naar 85.234.209.145 met 32 byte gegevens:

Antwoord van 85.234.209.145: bytes=32 tijd=8 ms TTL=64
Antwoord van 85.234.209.145: bytes=32 tijd=5 ms TTL=64
Antwoord van 85.234.209.145: bytes=32 tijd=6 ms TTL=64
Antwoord van 85.234.209.145: bytes=32 tijd=4 ms TTL=64

Interne ping naar IP dat ik toegewezen heb op de XenServer

Pingen naar 85.234.209.146 met 32 byte gegevens:

Antwoord van 85.234.209.146: bytes=32 tijd=13 ms TTL=63
Antwoord van 85.234.209.146: bytes=32 tijd=12 ms TTL=63
Antwoord van 85.234.209.146: bytes=32 tijd=5 ms TTL=63
Antwoord van 85.234.209.146: bytes=32 tijd=5 ms TTL=63

[The-BosS]

Kris, ik ga direct even inloggen op je pfsense firewall, ik denk dat het probleem hem in je routing zit. Je gebruikt als default vdsl de weepee verbinding en die heeft geen routing voor de extra range. Kan ook verkeerd zijn hoor maar denk dat het zo iets is.

[IT-worX]

Probleem zal ofwel de routing zijn, ofwel de firewall denk ik. Default is idd de weepee verbinding, maar voor alles ivm edpnet heb ik de gateway gezet op de edpnet verbinding. Routing in de HP2626 is trouwens nog niet in orde (nog niet echt naar gekeken).

Als je bepaalde dingen wilt weten, kan ik je altijd wel even bellen op je 058 nr, laat maar iets weten
Alvast bedankt voor de moeite!

[The-BosS]

Kris, heb je probleem opgelost heb een routing rule toegevoegd en wat routing forwards.

Ping van buitenaf naar 85.234.209.145:

PING 85.234.209.145 (85.234.209.145) 56(84) bytes of data.
64 bytes from 85.234.209.145: icmp_seq=1 ttl=62 time=41.7 ms
64 bytes from 85.234.209.145: icmp_seq=2 ttl=62 time=41.2 ms
64 bytes from 85.234.209.145: icmp_seq=3 ttl=62 time=41.1 ms
64 bytes from 85.234.209.145: icmp_seq=4 ttl=62 time=42.0 ms
64 bytes from 85.234.209.145: icmp_seq=5 ttl=62 time=41.5 ms

--- 85.234.209.145 ping statistics ---
5 packets transmitted, 5 received, 0% packet loss, time 3998ms
rtt min/avg/max/mdev = 41.106/41.530/42.010/0.375 ms

Ping van buitenaf naar 85.234.209.146:

PING 85.234.209.146 (85.234.209.146) 56(84) bytes of data.
64 bytes from 85.234.209.146: icmp_seq=1 ttl=61 time=41.5 ms
64 bytes from 85.234.209.146: icmp_seq=2 ttl=61 time=42.2 ms
64 bytes from 85.234.209.146: icmp_seq=3 ttl=61 time=41.2 ms
64 bytes from 85.234.209.146: icmp_seq=4 ttl=61 time=42.1 ms
64 bytes from 85.234.209.146: icmp_seq=5 ttl=61 time=41.4 ms

--- 85.234.209.146 ping statistics ---
5 packets transmitted, 5 received, 0% packet loss, time 3999ms
rtt min/avg/max/mdev = 41.265/41.731/42.211/0.463 ms

[IT-worX]

Inmiddels is de XenServer (dankzij Dennis) bereikbaar van buitenaf. Ook de daarop geïnstalleerde testvps'en zijn actief en zijn bereikbaar via internet vanaf andere verbindingen (getest vanuit een telenet verbinding en via 3G van Proximus). Echter zou ik nu graag het volgende bewerkstelligen, maar vind niet de opties onder pfsense...

Nu draait er één XenServer met een /29 IP range. Op de HP2626 switch heb ik vlan20 aangemaakt. Poort 26 (uplink pfsense) staat tagged, poort 9 (server) untagged.

Nu zou ik graag een tweede server erbij hangen, terug een XenServer met 5 vps'en. Ik heb dus een nieuwste /29 IP range aangevraagd (en gekregen) voor deze nieuwe server. Moet ik nu ook een nieuwe vlan maken voor deze server toe te voegen? Want op de bestaande vlan kan ik deze extra ip range niet toevoegen.

[frankske]

Kort: Ja

Lang: waarschijnlijk niet, maar dat is VIES