michifs
Mar 21, 2024, updated at Mar 22, 2024 (UTC)
view863
view10
0
Goto Top

Windows Server 2019 DHCP mit einer NIC für mehrere VLANs

GermansolvedQuestionWindows ServerNetworking Basics
Hallo zusammen, ich hoffe ihr könnt mir helfen.

Und zwar stehe ich gerade vor der Aufgabe unseren DHCP-Bereich zu vergrößern, der ist nämlich ständig am Limit.

- der physische Server 2019 ist DC, DNS und DHCP und verteilt für die Clients lediglich im Bereich von 192.168.100.80/24 bis 192.168.100.250/24
- die Adressen davor und danach sind für statische Adressvergabe für die Server vorgesehen.
- Drucker, Telefon, WLAN, etc sind bereits in eigenen VLANs und werden jeweils über 1 GBit's Ports der Firewall gerouted.

Meine Idee die Netzmaske überall auf 255.255.252.0 zu ändern habe ich wieder verworfen. (wegen der goldenen Regel eine Broadcast Domain nicht zu überfrachten).
Die ca. 50 Server und andere Geräte in ein neues VLAN zu packen ist aktuell zu umfangreich. Da die IPs teils an zuvielen anderen Stellen hart hinterlegt sind.

Meine Idee:
Nun denke ich, dass es besser wäre die Clients in ein eigenes (oder mehrere) VLANs zu packen. Dieses soll aber NICHT über die Firewall gerouted werden, da dafür der Traffic zu hoch ist.

Folgendes möchte ich erreichen:
- mein neues VLAN 2 und VLAN 3 sollen den DHCP Server im default VLAN erreichen
- außerdem sollen die neuen VLANs vollständigen Zugriff auf das default VLAN erhalten, ohne dass ich an meinen Clients & Servern routen setzen muss. D.h. also, dass der Aruba 6300M Switch das routing übernehmen soll.


2024-03-22 08_12_31-dhcp_erweitern.drawio - diagrams.net


Ich stehe aber bei folgendem auf dem Schlauch:
- ich habe verstanden, dass ich am neuen VLAN 2 mittels
conf
int vlan 2
ip helper-address 192.168.100.1
show dhcp-relay
meinen DHCP-Server verfügbar machen kann.
- ich verstehe aber noch nicht, wie ich mehrere VLANs an einer physischen NIC meines Server verfügbar machen kann.
- die NIC ist eine HPE 361i
- über das NIC-Teaming kann ich einen virtuellen Adapter einen VLAN-Tag geben
- am Switch Port ist das default VLAN untagged, hier kann ich das neue VLAN 2 (und VLAN 3) taggen

2024-03-21 11_15_33-192.168.100.245 - 192.168.100.245

- dann müsste ich einen neuen DHCP-Bereich anlegen.


Da es sich um einen DC einer Produktivumgebung handelt, möchte ich ungern einfach so drauf los konfigurieren.

Kann mein Plan so funktionieren? Was habe ich vergessen?
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 14053584742

Url: https://administrator.de/contentid/14053584742

Printed on: April 27, 2024 at 10:04 o'clock

10 Comments
Latest comment
Goto Top
Member: LordXearo
Solution LordXearo Mar 21, 2024 at 10:46:42 (UTC)
Goto Top
Hi,

ich weiss nicht ob ich dich richtig verstanden habe..... aber du brauchst deinem DHCP Server nicht weitere IP-Adressen geben, damit dieser IPs aus anderen DHCP bereichen verteilt.

Über das DHCP Relay sieht der DHCP Server, aus welchem Netz die Anfrage kommt. Wenn der DHCP Server für dieses Netz einen Bereich eingerichtet hat, vergibt der auch eine IP aus diesem Bereich.

Gruß
Xearo
Member: aqui
Solution aqui Mar 21, 2024 updated at 10:59:53 (UTC)
Goto Top
Oben steht "VLAN 0" So ein VLAN mit dieser ID ist im 802.1q Standard technisch nicht möglich, da nicht spezifiziert!!
WAS also soll das sein?? Ein dedizierter Routing Port auf dem Switch? (IP direkt auf dem Port Interface) oder hast du hier bei der VLAN ID gepatzt?

Ansonsten ist dein Weg genau richtig.
  • Segmentieren per VLANs und IP Adressen NUR für diese VLANs auf dem L3 Switch eintragen. Über die FW geroutete VLAN Segmente dürfen keinesfalls IP Adressen auf dem Switch haben! Übrigens: Hier ist hier deine o.a. Zeichnung IP routingtechnisch völlig falsch wenn du selber schreibst das die FW die bzw. einige VLANs routet. Dann gibt es niemals ein dediziertes Segment (dein falsches VLAN0) was zu Firewall geht sondern dann MUSS es ein Trunk (Tagged Uplink) sein wie es in diesem Tutorial mit einer "one armed" Firewall oder Router beschrieben ist! Irgendwie klaffen hier Realität und deine Beschreibung technisch auseinander?! 🤔
  • Im neuen Client Segment DHCP Forwarding aktivieren und den Forwarder auf die IP des zentralen DHCP Server setzen
  • Im DHCP einen weiteren Scope für das neue Segment eintragen
  • Fertisch
Was habe ich vergessen?
Nichts. Grob hast du alles richtig gemacht. Grundlegende Details dazu beschreibt das hiesige Layer3 VLAN Tutorial.

Kannst es ja einmal mit einem kleinen Raspberry Pi aus der Bastelschublade als DHCP Server vorab wasserdicht austesten ohne die Produktivsystem anfassen zu müssen:
Netzwerk Management Server mit Raspberry Pi
Lediglich ein weiterer Scope auf dem DHCP Server ist aber generell "ungefährlich". face-wink
Member: SlainteMhath
Solution SlainteMhath Mar 21, 2024 at 10:55:29 (UTC)
Goto Top
Moin,

ich gehe davon aus, das das in L3 Switch ist.
Am Switch musst du für die VLANS 1 und 2 jeweils ein IP Interface konfigurieren. Das dient dann als GW für die jeweiligen Clients. IP Helper ist passt so wie von dir eingestellt. Dem Switch musst du dann noch dein Default-GW mitteilen,
Am DHCP musst du für jedes VLAN ein Scope definieren die zur IP Adresse/netzmaske des Switches im jeweiligen VLAN passt.

lg,
Slainte
Member: michifs
michifs Mar 21, 2024 at 12:02:34 (UTC)
Goto Top
aber du brauchst deinem DHCP Server nicht weitere IP-Adressen geben, damit dieser IPs aus anderen DHCP bereichen verteilt.

Über das DHCP Relay sieht der DHCP Server, aus welchem Netz die Anfrage kommt. Wenn der DHCP Server für dieses Netz einen Bereich eingerichtet hat, vergibt der auch eine IP aus diesem Bereich.

Echt? Das ist ja genau das wo es bei mir gedanklich klemmt!.
Ich kann natürlich vom DHCP-Server aus nicht ins neue VLAN 1 pingen. Es ist ja ein neues, getrenntes Netz.

Oben steht "VLAN 0" [..] oder hast du hier bei der VLAN ID gepatzt?

Ja ich habe mich da vertan und entsprechend die Grafik angepasst.

Segmentieren per VLANs und IP Adressen NUR für diese VLANs auf dem L3 Switch eintragen. Über die FW geroutete VLAN Segmente dürfen keinesfalls IP Adressen auf dem Switch haben!

Genau! Das habe ich missverständlich dargestellt. Auf meinen L3 Switch existieren nur die VLANs die NICHT über die Firewall gerouted werden

interface vlan 1
    ip address 192.168.100.254/24
    no ip dhcp
interface vlan 2
    ip address 192.168.101.254/24
interface vlan 3
    ip address 192.168.102.254/24

was zur Firewall geht ist mit einem Trunk (Tagged Uplink) markiert

interface 1/1/40
    no shutdown
    no routing
    vlan trunk native 1
    vlan trunk allowed 4-6
Member: LordXearo
LordXearo Mar 21, 2024 at 12:22:07 (UTC)
Goto Top
Ja.....ganz wirklich war....sonst kann unser DHCP Server zaubern....

Der DHCP Server muss auch nicht das andere Netz erreichen können. Er sendet die Antwort an dem Router zurück, der das DHCP-Relay gemacht hat.
Member: michifs
michifs Mar 21, 2024 updated at 13:08:28 (UTC)
Goto Top
Zitat von @SlainteMhath:
ich gehe davon aus, das das in L3 Switch ist.
Am Switch musst du für die VLANS 1 und 2 jeweils ein IP Interface konfigurieren. Das dient dann als GW für die jeweiligen Clients. IP Helper ist passt so wie von dir eingestellt. Dem Switch musst du dann noch dein Default-GW mitteilen

Ein IP Interface habe ich nicht erstellt. Aber du meinst das so wie hier?

conf
int 1/1/1
no shutdown
ip address 192.168.151.1/30

2024-03-21 11_55_48-aruba aos-cx basics 5 - layer 3 routing with static routes - youtube – mozilla f


Das neue VLAN 1 und VLAN 2 habe ich bereits erstellt.
Zwischen den VLANs kann ich routen -> Endgeräte in den unterschiedlichen VLANs auf meinen Switch lassen sich anpingen.

Nochmal zum DHCP-Server:
Das mit Thema NIC-Teaming und Zuordnung weiterer VLANs an meinen DHCP Server ist nicht nötig?
Member: SlainteMhath
SlainteMhath Mar 21, 2024 at 13:15:52 (UTC)
Goto Top
Ein IP Interface habe ich nicht erstellt. Aber du meinst das so wie hier?
Ja.

Das mit Thema NIC-Teaming und Zuordnung weiterer VLANs an meinen DHCP Server ist nicht nötig?
Richtig. Der DHCP Relaying läuft - zumindest zwischen IP Helper und DHCP Server - rein auf Layer 3 ab.
heart1
Member: aqui
aqui Mar 21, 2024 updated at 17:34:02 (UTC)
Goto Top
Nebenbei: Für den Punkt zu Punkt Link .151er Netz musst du kein /30er "verschwenden" Mit /31ern ist das deutlich effizienter! face-wink
https://packetlife.net/blog/2008/jun/18/using-31-bit-subnets-on-point-po ...

Ja ich habe mich da vertan und entsprechend die Grafik angepasst.
Du hast aber (hoffentlich) nicht im Ernst wie im tiefsten Netzwerk Neandertal 3 einzelne Strippen von jedem VLAN separat auf die Firewall gesteckt, oder?
Sinnvollerweise macht man das in einem sauberen Design mit einem Trunk (Tagged Uplink). Idealerweise mit einem LACP LAG vom Switch um die Bandbreiten zu garantieren.
heart1
Member: michifs
michifs Mar 22, 2024 updated at 09:06:26 (UTC)
Goto Top
Punkt zu Punkt Link

Das Statische Routing muss ich doch aber nicht zusätzlich einrichten, oder? Das wäre doch nur zu erledigen, wenn keine andere Verbindung zwischen den Switches existiert? Sämtliche Aruba Switche sind in einem VSF Stack miteinander verbunden.

Ich kann die Endgeräte in den unterschiedlichen VLANs auf meinen Switch anpingen.

OFFTOPIC:
Hier das ip routing exemplarisch für den Core und einen weiteren Access-Switch:

Switch Aruba01 Management VLAN 99 IP: 192.168.99.254
Switch Aruba01 default VLAN 1 IP: 192.168.100.254


Aruba01# show ip route

Displaying ipv4 routes selected for forwarding

Origin Codes: C - connected, S - static, L - local
              R - RIP, B - BGP, O - OSPF
Type Codes:   E - External BGP, I - Internal BGP, V - VPN, EV - EVPN
              IA - OSPF internal area, E1 - OSPF external type 1
              E2 - OSPF external type 2
Flags:        F - FIB-optimized route

VRF: default

Prefix              Nexthop                                  Interface     VRF(egress)       Origin/   Distance/    Age
                                                                                             Type      Metric
--------------------------------------------------------------------------------------------------------
0.0.0.0/0           192.168.100.2 (Firewall)                 vlan1         -                 S         [1/0]        01m:01w:03d
192.168.101.0/24    -                                        vlan2         -                 C         [0/0]        -
192.168.101.254/32  -                                        vlan2         -                 L         [0/0]        -
192.168.102.0/24    -                                        vlan3         -                 C         [0/0]        -
192.168.102.254/32  -                                        vlan3         -                 L         [0/0]        -
192.168.99.0/24     -                                        vlan99        -                 C         [0/0]        -
192.168.99.254/32   -                                        vlan99        -                 L         [0/0]        -
192.168.100.0/24    -                                        vlan1         -                 C         [0/0]        -
192.168.100.254/32  -                                        vlan1         -                 L         [0/0]        -

Alle übrigen Switche sind mit dem Top of the Rack wie folgt verbunden/gerouted:

Switch Aruba02 Management VLAN 99 IP: 192.168.99.253

Aruba02# show ip route

VRF: default

Prefix              Nexthop                                  Interface     VRF(egress)       Origin/   Distance/    Age
                                                                                             Type      Metric
--------------------------------------------------------------------------------------------------------
0.0.0.0/0           192.168.99.254                           vlan99       -                 S         [1/0]        02m:03w:04d
192.168.99.0/24     -                                        vlan99       -                 C         [0/0]        -
192.168.99.253/32   -                                        vlan99       -                 L         [0/0]        -

Total Route Count : 3


Du hast aber (hoffentlich) nicht im Ernst wie im tiefsten Netzwerk Neandertal 3 einzelne Strippen von jedem VLAN separat auf die Firewall gesteckt, oder?

Selbstverständlich nicht face-smile . Ich habe die Grafik nochmal angepasst.

Das restliche Netzwerk ist ja bereits lange Produktiv und funktioniert.
Member: aqui
aqui Mar 22, 2024, updated at Mar 24, 2024 at 11:26:00 (UTC)
Goto Top
Das Statische Routing muss ich doch aber nicht zusätzlich einrichten, oder?
Wie denkst du denn sollen die beiden Netze VLAN150 und VLAN152 kommunizieren können wenn du kein dynamisches Routing (RIPv2, OSPF etc.) auf den Switches aktiviert hast?! Wie sollte Aruba Gurke 1 wissen wie sie ans 152er Netz an Gurke 2 kommt und vice versa wenn es keine Route oder kein dynamisches Routing gibt?! (Siehe Grundlagen IP Routing)!
Eigentlich eine etwas sinnfreie Frage bei dem Design... face-sad
Router 1 = Zielnetz: 192.168.152.0, Maske: 255.255.255.0, Gateway: 192.168.151.2
Router 2 = Zielnetz: 192.168.150.0, Maske: 255.255.255.0, Gateway: 192.168.151.1
GermansolvedQuestionWindows ServerNetworking Basics