11  Übungen

11.1 Switched Networks

In diesen Übungen bauen wir ein einfaches Ethernet Netzwerk auf. Dabei verwenden wir bereits IP-Adressen, welche aber zu einem späteren Zeitpunkt erklärt werden.

NoteBenötigtes Material
  • Cisco CBS220 Switch (Achtung: Richtiges Netzteil!)
  • 2–3 Ethernet-Kabel
  • Zwei Computer
  • Wireshark installiert

11.1.1 Mein erstes Switch Netzwerk

Bauen wir unser erstes lokales Netzwerk auf.

Figure 11.1: Übungsaufbau

  1. Setzen Sie den Cisco Switch auf Werkseinstellungen zurück.
    Siehe Section 10.2.1.

  2. Verbinden Sie zwei Computer mit dem Switch.

  3. Konfigurieren Sie auf beiden Computern eine statische IPv4-Adresse:

    Computer IPv4-Adresse Subnetzmaske Gateway
    PC 1 192.168.1.15 255.255.255.0 –
    PC 2 192.168.1.25 255.255.255.0 –

  4. Testen Sie die Verbindung von PC 1 zu PC 2: (Achtung Firewall)

    ping 192.168.1.15

  5. Schauen wir uns die Source Address Table auf dem Switch an. Dazu im Browser mit http://192.168.1.254 verbinden und nach MAC Address Tables -> Dynamic Addressesnavigieren.

  6. Schauen wir uns die Frames auf Layer 2 in Wireshark an. Dazu wählen wir die Schnittstelle aus, filtern den Verkehr nach “ICMP” und suchen unsere Ethernet Frames. Klicken wir das Frame an, sehen wir im unteren Bildschirm die einzelnen Layer. Unteranderem unseren Ethernet Layer.

    ImportantFragen
    • Aufgefallen, dass die Grundfunktion des Switchs funktioniert ohne Konfiguration?
    • Was passiert wenn wir den Port von PC 2 ändern?
    • Stimmt die MAC Adresse im Frame mit ihrer Computer MAC Adresse überein? (Windows: ipconfig /all)
    • Stimmt der Frameaufbau in Wireshark mit der Ethernet Definiton im Unterricht überein?
    • Wieviel Bytes hat eine MAC Adresse in Wireshark?
    • Warum nennt man einen Switch, ein Layer 2 Gerät?

11.1.2 Ein zweiter Switch

Erweitern wir unser Netzwerk mit einem weiteren Switch. Dafür nutzen wir die Switchfunktion des MikroTik RB750.

Figure 11.2: Übungsaufbau

  1. Rücksetzen des Mikrotik RB750 ohne Konfiguration. Siehe Section 9.2.1.

  2. In den Defaulteinstellungen funktionieren die Ports 2-5 als Switch. Integrieren wir also den neuen Switch in die Leitung zu PC 2, wie im obigen Bild dargestellt.

  3. Testen Sie die Verbindung von PC 1 zu PC 2:

    ping 192.168.1.15
    TipFesthalten

    Ein weiterer Switch wurde in ein bestehendes Netzwerk eingefügt. Keine Konfiguration nötig. Quasi ein “Intelligentes” Kabel dazwischen geschaltet.

    Wichtig: Das ist immernoch nur 1 Netzwerk (Broadcastdomäne). Würde man eine Nachricht an die MAC Adresse FF:FF:FF:FF:FF:FF schicken, würden sie alle Teilnehmer erhalten, unabhängig der Anzahl Switchs.

    ImportantFragen
    • Hat sich die SAT von Switch Cisco geändert?
    • Ist es möglich, dass in der SAT mehrere Einträge dem gleichen Port zugeordnet sind?

11.1.3 Management Switch - Port Mirroring

Ein Switch verhindert Kollisionen in dem Netzwerkverkehr isoliert wird. Das verhindert aber auch die Möglichkeit für Debugging. Dafür möchten wir aber die Switch Funktion Port Mirroring ausprobieren. Setzen wir das Netz wie folgt auf:

Figure 11.3: Übungsaufbau

  1. PC 1 ist mit Port 2 am Switch verbunden.

  2. PC 1 pingt nun den Switch selbst. Unter Windows pingt man mit dem suffix -t unendlich.

    ping 192.168.1.254 -t

  3. PC 2 startet Wireshark und stellt sicher, dass keiner der Pings auf seinem Port “gesehen” wird und lässt die Aufzeichnung laufen.

  4. PC 1 lässt den Ping laufen und verbindet sich gleichzeitig über den Browser mit dem Webinterface http://192.168.1.254. Sollte man das Login vergessen haben, erneut Rücksetzen.

  5. Navigieren zum Mirroring:
    Administration -> Diagnostics -> Port und VLAN Mirroring

    Destination Port = Wohin die gespiegelten Daten schicken
    Source Interface = Port der überwacht werden soll
    Typ = Tx and Rx (Ein- und ausgehende Pakete)

  6. Apply und auf das rechts oben blinkende Diskettensymbol klicken
    Stellt sicher, dass die Änderung nach einem Neustart erhalten bleibt.

  7. Testen Sie!

    TipFesthalten

    Nahezu jeder Managed Switch bietet die Funktion für Mirroring.

11.2 End-zu-End Kommunikation

In diesen Übungen befassen wir uns mit der IP und allem was dazu gehört, damit Pakete über Netzgrenzen gesendet werden können.

NoteBenötigtes Material
  • MikroTik RB750 (Achtung: Richtiges Netzteil!)
  • 2–3 Ethernet-Kabel
  • Zwei Computer
  • Wireshark installiert

11.2.1 IP-Adressen und Subnetzmasken

Bestimmen der Netz- und Broadcastadresse, sowie die tiefste und höchste Teilnehmeradresse für folgende IP Adressen:

  1. 192.168.75.15 /24
  2. 10.0.15.132 /28

11.2.2 ARP - Bestimmen der MAC

Schauen wir uns an, wie ein Teilnehmer die MAC-Adresse des nächsten Interfaces bestimmt. Zu diesem Zweck untersuchen wir das Address Resolution Protocol (ARP) für einen Ping nach aussen.

  1. Computer mit dem Internet verbinden

  2. Terminal als Administrator öffnen und den aktuellen ARP-Cache löschen

    arp -d *

  3. Wireshark-Aufzeichnung auf dieser Schnittstelle starten

  4. Im Terminal einen Ping absetzen

    ping 1.1.1.1

  5. Die Aufzeichnung stoppen

  6. In Wireshark möchten wir nun den ARP und ICMP(Ping) Verkehr sehen. Dazu setzen wir folgenden Filter:

    ARP || ICMP

  7. Versuchen wir den Verlauf nachzuvollziehen.

    • Was passiert zuerst?
    • An wen wird der ARP-Request resp. die ARP Response geschickt?
    • Die Destination MAC-Adresse im ARP-Request, wem gehört die?

  8. Schauen wir uns den ARP-Cache nun an. Finden wir die Destination MAC?

    arp -a
    TipFragen
    • An wen richtet sie der ARP-Request?
    • ARP-Requests passieren laufend, auch wenn der Teilnehmer bereits im Cache ist. Wieso?

11.2.3 Anwendung: Traceroute

Traceroute ist ein bekanntes Diagnosetool zur Analyse von Netzwerkpfaden. Das Prinzip ist ziemlich einfach, durch den kleveren Einsatz von TTL aus dem IP-Paket.

  1. Verbinden wir den Computer mit dem Internet

  2. Starten wir eine Wireshark-Aufzeichnung

  3. Öffnen wir ein Terminal und starten Traceroute:

    traceroute 1.1.1.1

  4. Stoppen der Aufzeichnung

  5. Setzen wir einen entsprechenden Wireshark-Filter:

    ip.addr == 1.1.1.1

  6. Untersuchen wir die IP-Pakete resp. den darin enthaltenen TTL-Wert.

  7. Klar wie Traceroute funktioniert?

  8. Zusatzfrage: Welches Protokoll wird überhaupt genutzt?

11.2.4 IP-Header

Verstanden wie der Header eines IP-Pakets aufgebaut ist? Nachfolgend die Wiresharkaufzeichnung eines IP-Paket-Headers - Was ist Quell- und Ziel-IP? (Hilfe: Framedefinition von IPv4)

0x45 0x00 0x01 0x2b 0x04 0x82 0x00 0x00 0xff 0x11 0x13 0x33 0xc0 0xa8 0x01 0x69 0xe0 0x00 0x00 0xfb

11.2.5 Erste Routerkonfiguration

In dieser Übung möchten wir zwei Subnetze über einen Router verbinden. In beiden Netzen ist mindestens ein Computer. Folgende Vorgaben gelten dafür:

  • Netz A: 192.168.10.0/24, Routerinterface 192.168.10.1
  • Netz B: 192.168.20.0/24, Routerinterface 192.168.20.1
  • Trennen sie alle anderen Netze (z.B. WLAN)

  1. Rücksetzen des Mikrotik RB750 ohne Konfiguration. Siehe Section 9.2.1.

    In diesem Zustand hat der Router keine IP, nur die 5 Ports zu einem Switch resp. Bridge zusammengeschaltet.

  2. Verbinden per MAC-Adresse mit dem Router über WinBox. Siehe Section 9.2.2.1.

  3. Zuerst unter Bridge die vorkonfigurierte Bridge löschen.

  4. Als erstes legen wir eine Bridge pro Netz an. Dies erlaubt uns danach dynamisch die Anzahl der zugehörigen Ports zu ändern. Navigieren wir zu Bridgeund legen die zwei Bridges NetzAund NetzB an.

  5. Im zweiten Tab Bridge -> Ports weisen wir die Ports der jeweiligen Bridge zu. Dafür möchten wir Port 2 und 3 zu Bridge NetzA und genauso Port 4 und 5 zu Bridge NetzB zuweisen.

    TipBridges

    Eine Bridge ist ein Switch. Wir haben also zwei virtuelle Switche auf dem Router angelegt. Aktuell sind diese völlig unabhängig und haben jeweils 2 Ports.

  6. Als nächstes schliessen wir unsere Bridges an jeweils einen virtuelle Routerport an(Physisch würden wir dafür ein Netzwerkkabel vom Switch an das Routerinterface ziehen).

  7. Navigieren wir zu IP -> Addresses und fügen pro Bridge ein Interface hinzu: IP: 192.168.10.1/24 für NetzA und IP: 192.168.20.1/24 für NetzB. Durch klicken auf Apply wird direkt die richtige Netzadresse angezeigt.

  8. Verbinden sie jeweils einen der Computer mit einem Netz und konfigurieren sie den Computern, eine ihrem netzentsprechende IP-Adresse, Subnetzmaske und Gateway.

  9. Testen sie ihren Aufbau systematisch.

    • Pingen sie sich selbst
    • Pingen sie ihr Gateway
    • Pingen sie das Gateway auf der anderen Seite
    • Pingen sie den anderen Computer

  10. Schauen sie sich die Einträge in IP -> Routes genauer an. Verstehen sie diese?

TipFragen
  • Nun haben wir den Router in Betrieb genommen wie auch virtuelle Bridges angelegt. Können wir dieses Setup mit physischen Routern und Switchen skizzieren?
  • Hat nun NetzA und NetzB jeweils eine separate SAT-Table? Können wir es begründen?
  • Können wir den Weg eines Layer 2 Pakets nachvollziehen, wenn ein Teilnehmer in NetzA jemanden in NetzB pingt?

11.2.6 Routing-Tabelle

Die Routing-Tabelle ist ein mächtiges Werkzeug, welches in späteren Veranstaltungen noch genauer angeschaut wird. Jetzt möchten wir aber schauen, wie sie sich verhält, wenn unser eigener Computer in mehreren Netzen ist.

  1. Wir nutzen den Aufbau von Section 11.2.5

  2. Wir lassen das WLAN getrennt und schauen die Routingtabelle an: (Beispiel Windows)

    route print

  3. Wir aktivieren das WLAN und prüfen die Routingtabelle erneut.

  4. Nun prüfen wir die Einträge und versuchen diese zu verstehen (Neue Einträge, neu auch 0.0.0.0)

  5. Pingen wir nun den Teilnehmer im anderen Netz unseres Aufbaus:

    ping 192.168.20.x

  6. Pingen wir nun unser Gateway im eigenen Netz unseres Aufbaus:

    ping 192.168.10.1

  7. Finden sie eine Erklärung, warum der Ping des Gateways funktioniert, aber der Andere fehlschlägt.

TipFragen
  • Welche Einträge sind in der Routing-Tabelle verändert worden?
  • Warum funktioniert der Ping ins andere Netz nicht mehr, wenn wir auch im WLAN verbunden sind?
  • Warum kann aber dennoch das eigene Gateway erreicht werden?
  • Warum war das bei den Übungen zum Switchnetzwerk nie ein problem?

11.3 Subnetze und Routing

In diesen Übungen befassen wir uns mit dem bilden von Subnetzen und dem daraus entstehenden Routing.

NoteBenötigtes Material
  • MikroTik RB750 Router (Achtung: Richtiges Netzteil!)
  • 2–3 Ethernet-Kabel
  • Zwei Computer
  • Wireshark installiert

11.3.1 Subnetze auf dem Router mit DHCP

Wir möchten auf unserem MikroTik Router nachfolgende Subnetze konfigurieren.

Subnetze:

  • 10.0.100.0 / 24 - Roboter (200)
  • 10.0.101.0 / 25 - Kameras (100)
  • 10.0.101.128 / 27 - Steuerungen (25)

  1. Rücksetzen des Mikrotik RB750 ohne Konfiguration. Siehe Section 9.2.1.

  2. Verbinden mit WinBox und die vorkonfigurierte Bridge löschen.
    Siehe Section 9.2.2.1

  3. Zuerst legen wir für jedes Netz eine entsprechende Bridge an (Virtueller Switch). In WinBox klicken wir dazu auf Bridge und legen folgende an:

    • Roboter
    • Kameras
    • Steuerungen

  4. Nun weisen wir jeder Bridge mindestens einen Port zu:

    Bridge Ports
    Roboter 2
    Kameras 3
    Steuerungen 4

  5. Nun geben wir jeder Bridge ein Interface am Router (Virtuell ziehen wir quasi ein Netzwerkkabel vom virtuellen Switch zum Routerinterface). Dafür navigieren wir zu IP -> Addresses. Dem Routerinterface geben wir in jedem Subnetz die tiefste Netzadresse.

    Address Network Interface
    10.0.100.1/24 10.0.100.0 Roboter
    10.0.101.1/25 10.0.101.0 Kameras
    10.0.101.129/27 10.0.101.128 Steuerungen

  6. Verbinden wir jeweils einen Laptop mit einer Routerschnittstelle und geben uns eine entsprechende IP-Adresse (IP, Subnetz und Gateway).

  7. Pingen wir einander, um die Funktion zu testen (Hinweis: An Firewall denken)

TipFragen
  • Ist der Unterschied zwischen Routeradresse und Netzadresse klar?
  • Verstehen wir die Einträge unter IP -> Routes ?

11.3.1.1 Erweiterung DHCP

Wenn wir nun unser ganzes Setup testen möchten, müssen wir bei jedem Umstecken am Router unsere IP-Konfiguration anpassen. Das wird ziemlich schnell mühsam. Aus diesem Grund konfigurieren wir für jedes Subnetz einen DHCP-Server, dieser gibt uns dann automatisch die richtigen Einstellungen.

  1. Navigieren wir in WinBox zu IP -> DHCP Server
  2. Wählen dann rechts DHCP Setup (NICHT New!)
  3. Wählen die entprechende Bridge aus
  4. Klicken uns mittels next durch die Dialoge.
  5. Entsprechend verfahren wir für jede anderes Subnetz.
  6. Wenn nun ein Client eine IP bezieht, können wir unter IP - DHCP Server - Leases alle bezogenen Adressen sehen.
TipFragen
  • Verstehen wir die Einträge des DHCP Dialogs?
  • Verstehen wir die Einträge unter Leases?

11.3.1.2 DHCP Client

Damit ein Client eine DHCP-Adresse anfordert, muss dieser erst auf DHCP eingestellt werden. In Windows passiert dies sobald man bei der IP auf automatisch beziehenstellt. Falls aber ein Client bereits eine IP bezogen hat, kann es vorkommen, dass er bei einem Wechsel nicht direkt eine neue verlangt. Dies können wir aber auch manuell triggern:

  1. Öffnen wir ein Terminal
  2. Windows: ipconfig /renew oder noch schneller ipconfig /renew "InterfaceName"
  3. Anschliessend versucht der Client vom Server eine neue Adresse zu beziehen.
  4. Das Ergebniss kann wieder unter ipconfig /all eingesehen werden.

11.3.2 Subnetze für unsere Anlage

Wir liefern eine Anlage bestehend aus Robotern, Steuerungen, Sensoren und HMI-Bedienungen an einen Kunden. Die Netzwerkintegration machen wir selbst.

Figure 11.4: Übungsaufbau

Der Kunde definiert folgende Netzangaben:

  • Zugang zum Router im Kundennetz: 172.16.20.x/24
  • Netzbereich Gesamte Anlage: 10.x.96.0/20

Hinweis: Es ist wichtig, dass jede Gruppe ein eigenes Netz hat. Darum entspricht x der verwendeten Routernummer.

Folgende Geräte müsse im Netz Platz finden:

  • 560 Roboter
  • 200 SPS Steuerungen
  • 400 IoT Sensoren
  • 50 HMI-Bedienungen

Auftrag:
Bestimmen wir für jedes Subnetz:

  • Netz- und Broadcastadresse
  • Kleinste und grösste Teilnehmeradresse
  • Anzahl Teilnehmer
TipFragen
  • Plausibilität: Liegen die Netzbereiche der Subnetze auch innerhalb des Gesamtbereichs?
  • Plausibilität: Teilnehmeranzahl sinnvoll?
  • Wir verlieren Teilnehmeradressen bei jedem neuen Subnetz, warum?
  • Wie gross ist der nicht benutze Bereich?

11.3.2.1 Integration auf dem Router

Im nächsten Schritt möchten wir die Subnetze auf unserem Mikrotik Router einrichten und direkt DHCP nutzen.

  1. Vorher bitte das WLAN trennen
  2. Nutzen wir das Schema von Section 11.3.1 für die Konfiguration und machen folgende Aufteilung:
    • Roboter - ether2
    • SPS - ether3
    • IoT - ether4
    • HMI - ether5
  3. Zusätzlich konfigurieren wir unter IP - Adresses direkt auf ether1 unsere IP aus dem Netz 172.16.20.x/24. Dieses Netz bleibt statisch konfiguriert und nutzt keinen DHCP.

11.3.2.2 Routing mit anderen Anlagennetzen

Als Krönung möchten wir uns mit einer oder mehreren anderen Gruppen zu einem grossen Netzwerk zusammenschliessen.

Ziel:
Jeder kann sich an irgend einem Netz einstecken, erhält per DHCP eine IP und kann alle anderen Teilnehmer pingen.

Figure 11.5: Übungsaufbau
  1. Tauschen sie jeweils ihre Kundennetz IP aus 172.16.20.x/24
  2. Verbinden sie sich per Netzwerkkabel - Bei mehreren Gruppen kann ein Switch dazwischengeschaltet werden.
  3. Navigieren wir zu IP -> Routes und fügen mittels New die Route zu den anderen Teams hinzu
  4. Überlegen sie sich das absolute Minimum an Information, was der Router haben muss und füllen die Felder entsprechend aus.
  5. Überlegen sie, ob sie alle Subnetze der anderen Gruppe konfigurieren müssen oder ob sie es in einem Eintrag schaffen.
  6. Testen sie per Ping ihren Erfolg!

Tipp Debugging:
Für den unwahrscheinichen Fall das es nicht direkt funktioniert. Versuchen sie Schrittweise die Interfaces zu pingen.

  1. Pingen sie ihr eigenes Gateway
  2. Pingen sie das Gateway des Ausgangs
  3. Pingen sie den Teilnehmer
  4. usw.

Gratulation, ihr erstes statisches Routing!

TipFragen
  • Spielt es eine Rolle ob sie als Route, das andere Netz eintragen oder 0.0.0.0/0?
  • Verstehen sie, wie sie die andere Gruppe mit nur einer Routingregel ansprechen können, ohne 0.0.0.0/0?

11.4 VLANs

In diesen Übungen schauen wir uns VLANs etwas näher an.

11.4.1 Erstes VLAN

In einem Netzwerk existieren 3 Computer. Alle Computer gehören zum Subnetz 192.168.1.0/24.

  1. Setzen wir den Cisco Switch auf Werkseinstellungen zurück und verbinden uns im Browser http://192.168.1.254. Siehe Section 10.2.1.

  2. Schliessen wir alle 3 Computer am Switch an und geben ihnen eine statische IP. Wir nutzen Port 1 - Port 3.

  3. Stellen wir sicher, dass sich alle Computer pingen können

  4. Schauen wir uns die VLAN einstellungen an - Default sind alle Ports im VLAN 1:

    VLAN Management -> Port VLAN Membership

  5. Erstellen wir ein neues VLAN 2 und weisen Port 2 diesem VLAN zu:

    VLAN Settings und danach Join unter Port VLAN Membership

  6. Pingen wir nun diesen Computer, schlägt es fehl.

  7. Merke! Ein VLAN ist eine eigene Broadcast-Domäne!

TipFragen
  • Spielt die IP-Konfiguration für dieses Szenario eine Rolle?
  • Ein ARP Request um den isolierten PC zu erreichen - Wer sieht diese Requests?

11.4.2 VLAN und zwei Switches

In dieser Übung möchten wir VLANs über zwei Switche hinweg aufsetzen. Dazu werden die beide Switche über eine Trunk-Leitung verbunden. Vorgabe: Auf beiden Switch gehört Port 1 zu VLAN 1 und Port 2 zu VLAN 2. Die Computer nutzen das Subnetz 192.168.1.0/24.

  1. Setzen wir zwei Cisco Switch auf Werkseinstellungen zurück. Die Switches aber noch nicht verbinden. Siehe Section 10.2.1.

  2. An jedem Switch wird ein Computer an Port 1 angeschlossen und die Switch Konfig im Browser geöffnet http://192.168.1.254.

  3. Um Konflikte zu vermeiden, weisen wir dem ersten Switch eine neue statische IP für das Webinterface zu.

    IP Configuration

  4. Auf jedem Switch unter VLAN Settings die VLANs 1 und 2 anlegen.

  5. Zusätzlich unter Interface Settings den Port 8 von Access Port zu Trunk Port wechseln

  6. Unter Port VLAN Membership die Ports entsprechend zuteilen. Speichern und die rote Diskette anklicken.

    • Port 1 -> VLAN 1
    • Port 2 -> VLAN 2
    • Port 8 -> Alle Vlans

  7. Beide Switches verbinden und sich gegenseitig pingen

  8. Dann einen der Computer auf Port 2 umstecken und erneut pingen

  9. Anschliessend beide auf Port 2 umstecken und wieder pingen

  10. Funktioniert es wie erwartet?

TipFragen
  • Welche Verbindungen führen tagged Frames und welche untagged?
  • Was passiert wenn wir ein Endgerät am Trunk-Port anschliessen?

11.4.3 Inter-VLAN Routing

In dieser Übung möchten wir zwischen drei VLANs ein Routing einrichten. Dafür nutzen wir nachfolgenden Aufbau und Hardware.

Figure 11.6: Übungsaufbau
  • 2 x Cisco Switch CBS220
  • 1 x Mikrotik RB750
  • Ethernet Kabel
  • Min. 2 Computer

11.4.3.1 Vorgaben

Router:

Port Bridge IP V-Name (ID) Subnetz DHCP-Range
ether1 MGT 192.168.1.1 VLAN1-MGT(1) 192.168.1.0/24 .100 - .254
ether2 ROBOT 192.168.20.1 VLAN20-ROBOT(20) 192.168.20.0/24 .100 - .254
ether3 IOT 192.168.30.1 VLAN30-IOT(30) 192.168.30.0/24 .100 - .254

Switch:

Switch IP VLAN1 VLAN2 VLAN3 Trunk
SwitchA 192.168.1.10/24 Ports: 1,2 Ports: 3,4 Ports: 5,6 Ports: 7,8
SwitchB 192.168.1.11/24 Ports: 1,2 Ports: 3,4 Ports: 5,6 Ports: 7,8

11.4.3.2 Setup

Die Einrichtung erfolgt gemäss nachfolgenden Schritten:

  1. WLAN trennen und die Geräte noch nicht verbinden.

  2. Rücksetzen des Mikrotik RB750 ohne Konfiguration. Siehe Section 9.2.1.

  3. Beide Switches auf Werkseinstellungen zurücksetzen. Siehe Section 10.2.1.

  4. Wir geben unserem Computer eine statische IP aus dem MGT Subnetz.

  5. Wir verbinden einen Computer mit Port 1 des Routers und richten ihn gemäss den Vorgaben ein.

  6. Wir stellen unsere IP auf automatisch und stellen sicher, dass wir die Richtige IP, SM und Gateway erhalten.

  7. Wir verbinden Switch A Port 1 mit Router Port 1 und verbinden unseren Computer mit Switch A Port 2

  8. Der Switch müsste eine IP vom DHCP-Server erhalten. Finden wir die IP über den Lease, loggen uns auf das Webinterface ein und setzen ein neues Passwort.

  9. Zuerst konfigurieren wir Switch A eine statische IP und konfigurieren im Anschluss die VLANs gemäss den Vorgaben.

  10. Verbinden wir uns mit Switch A Port 4 und prüfen, ob wir eine IP aus dem ROBOT Subnetz erhalten. (Hinweis: Renew!)

  11. Wenn das funktioniert, verbinden wir Switch B und konfigurieren ihn ebenfalls gemäss den Vorgaben.

  12. Testen! Prüfen wir ob wir auf Switch B ebenfalls eine IP vom richtigen Subnetz erhalten.

TipFragen
  • Default ist das Webinterface der Switche nur über VLAN 1 erreichbar - Warum funktioniert es von jedem Subnetz?
  • Was weiss der Router von den VLANs?
  • Was könnte man am Setup verbessern?

11.4.4 VLAN Router-on-a-Stick

In der vorangeganenen Übung sieht man deutlich, dass es sehr umständlich sein kann pro VLAN eine Verbindung zum Router zu führen. Dies können wir aber verbessern in dem wir das Prinzip von Tagged-Verbindungen auch zwischen Switch und Router einführen. Der Aufbau wirkt dadurch deutlich schlanker:

Figure 11.7: Übungsaufbau

Die Konfiguration ist dafür etwas “schwieriger”, da innerhalb einer Mikrotik Routers alles auf einem Gerät umgesetzt wird. Für ein besseres Verständnis soll Grafik Figure 11.8 dienen.

Figure 11.8: Prinzip

Als ob man separate Hardware verwenden würde, wird zuerst ein Switch (Bridge) aller Ports eingerichtet. Gewohnt werden auf diesem Switch die VLANs angelegt und den Ports zugewiesen. Dadurch hat man wieder separate Broadcast-Domänen. Danach wird eine Verbindung zwischen der Bridge und dem virtuellen Router hergestellt. Damit die Bridge resp. der Router die Frames später zuordnen kann, muss diese Verbindung getagged (Trunk) sein (CPU Interface). Am Ende des Trunks werden die VLANs auf spezifische Interface am virtuellen Router gelegt, als ob man physische Ports verwendet. Diese kann man dann analog mit IP, DHCP und alles weitere versehen.

11.4.4.1 Konfiguration

Konfiguriert werden kann dies wie folgt:

  1. Rücksetzen des Mikrotik RB750 ohne Konfiguration (Die bestehende Bridge und die Port Zuweisung entfernen). Siehe Section 9.2.1.

  2. Eine neue Bridge Switch anlegen und alle Ports erneut zuweisen.

  3. Wir möchten ether1 als Trunk Port verwenden

  4. In den Einstellungen Bridge -> Ports -> ether1 -> VLAN sieht man als PVID = 1. Also eingehende ungetagged Frames bekommen das VLAN 1.

  5. Anschliessen aktivieren wir unter unserer Bridge -> Switch -> VLAN das VLAN Filtering.

  6. Legen wir nun unsere VLANs unter Bridge -> VLANs wie folgt an:

    Bridge VLAN IDs Tagged Untagged
    Switch 1 Switch, ether1 -
    Switch 20 Switch, ether1 -
    Switch 30 Switch, ether1 -

  7. Der Switch ist bereit, legen wir die Interfaces unter Interfaces -> VLANs an.

    Name VLAN ID Interface
    VLAN1 1 Switch
    VLAN20 20 Switch
    VLAN30 30 Switch

  8. Anschliessend richten wir das Routerinterface unter IP -> Addresses für jedes VLAN ein.

    Address Network Interface
    192.168.1.1/24 192.168.1.0 VLAN1
    192.168.20.1/24 192.168.20.0 VLAN20
    192.168.30.1/24 192.168.30.0 VLAN30

  9. Ausserdem definieren wir wieder unter DHCP Server unter IP -> DHCP Server -> DHCP Setup.

    Interface Range
    VLAN1 .100 - .254
    VLAN20 .100 - .254
    VLAN30 .100 - .254

  10. Testen wir! Viel weniger Kabel, aber läuft alles noch?

11.4.5 Wireshark VLAN

Wir würden gerne die Frames in VLANs in Wireshark sehen. Alles nötige haben wir dafür bereits kennengelernt. Schaffen wir das?

Ziel:

  1. Datenverkehr einer Trunkleitung auf einen Port spiegeln (Cisco Switch - Switch Port Analyzer (SPAN))
  2. Datenverkehr mit Wireshark aufzeichnen
  3. Frames mit Tags identifizieren und die VLAN ID herauslesen Tipp: Wireshark zeigt Hex und Klartext an.
  4. Viel Erfolg!

11.5 IPv6

11.5.1 Mikrotik Router

Auch unser Mikrotik Router bietet direkt IPv6 an.

  1. Rücksetzen des Mikrotik RB750 ohne Konfiguration (Die bestehende Bridge und die Port Zuweisung entfernen). Siehe Section 9.2.1.

  2. Öffnen wir danach WinBox wird auch im Anzeigefenster ein IPv6-Adresse angezeigt.

  3. Mit Doppelklick wird die Adresse kopiert - Interessant ist die Endung mit %x?

  4. Sind wir verbunden, finden wir under IPv6 -> Addresses auch die wirklichen Adressen. Jedes Interface erhält bei Mikrotik eine IPv6 Adresse, also auch jede Bridge.

TipFragen
  • Warum braucht es die Angabe nach der IP mit %x?
  • IPv6 ist ja sehr angenehm, keine Konfiguration und ich kann mich direkt damit verbinden?
  • Haben wir sonst IPv6? z.B. Zuhause?