al3x

na schon per einfachem ping

doch doch VLAN1 default funktioniert immer!

Was in Fall 1 nicht funktioniert, ist dass ich

- per VLAN2 nicht von A oder B auf X komme

- und dass ich von X aus zwar die an A und B angeschlossenen Geräte erreichen kann, aber eben keine die direkt an den untagged Ports von X hängen

Moin,

nein die UL bestehen immer aus einem Kabel. Ich konnte das Problem beheben, in dem ich X an B angeschlossen habe. Ganz klar ist mir das zwar noch nicht, aber es funktioniert jetzt.

Hier noch mal zum Verständnis der Aufbau, beim Tagging für 1 habe ich mich vertan, stimmt also nicht im Ausgangspost - sorry:

Switch/Port/Tagging,VLAN

So funktioniert es nicht:

X/24/T,2+U,1 -------- A/23/T,2+U,1

                                 A/24/T,2+U,1 ------------------------------B/24/T,2+U,1

So geht es:

X/24/U,1 ----------------A/23/U,1

X/23/T,2 -----------------------------------------------------------------B/23/T/2

                                 A/24/T,2+U,1 -------------------------------B/24/T,2+U,1

Eigentlich doch ein Loop, wäre es durch die VLANS nicht "getrennt"!? :suspect:

Ja ...und WIE ist richtig?

1)kein VLAN2-Interface -> X kann Client an untagged Port nicht pingen, B aber schon

2)mit VLAN2-Interface

-> X kann Client an untagged Port pingen und B, aber keine untagged Ports an B

-> von B kann man X nicht pingen

Die Frage ist, wieso komm ich von B nicht nach X, aber zB von B nach A, der genau wie X konfiguriert ist!?

Das scheint doch ein Routingproblem zu sein?! Alles was zu VLAn2 gehört wird nach B geleitet und von B müsste es doch über die Uplinks zu X gehen...oder sehe ich das falsch?

VLAN ist auf X in dem Fall zwingend notwendig, da es sep. Geräte sind, die nicht ins default (V)LAN gehören.

 

Wesentlich ist aber das grundsätzliche Funktionieren, daran scheint es aber zu hapern.

....also ich denke schon, dass ich die Grundlagen der Materie verstehe. Nur hier stehe ich iwie auf dem Schlauch.

 

Die Konfiguration des Routings auf den 19xx, auf einem Switch zwischen zwei VLAN, damit hatte ich schon mal ein echtes Problem, das funktionierte nicht so wie gedacht. Ich hab dann im Web eine trickreiche Anleitung dazu gefunden. Mals sehen, ob ich die wiederfinde.

....das wäre super.

 

 

Und jetzt muss ich (nochmals) fragen, zwischen welchen VLAN-Interfaces soll denn geroutet werden, zwischen denen  von VLAN 1 und VLAN 2?

...naja, eigentlich müsste ja nicht geroutet werden, alle anderen Bereiche auf den Switches im Netz funktionieren ja mit VLAN 2.

durch den tagged uplink wollte ich ja lediglich das VLAN2 von A auf X weiterspannen. aber ich komme von X ja nicht "raus".

vielleicht versuch ich die Tage mal X statt an A an B zu hängen......

@lefg: alles HP Switche, 3000er/4000er, bis auf den 1910er

@DocData: und wie wäre die korrekte Vorgehensweise?

@magheinz: hm naja, in der Firewall sind ja die Routen drin, und es funktioniert ja auch ...eben bis auf den zusätzlichen Switch.

Firewall-IP = 192.168.1.254

Route:

192.168.2.0 --> 192.168.1.250 (Switch B  )

Switch X: default GW = 192.168.1.254

-> dann müsste es doch nach Switch B geroutet werden

-> B findet lokal nix, also geht es zum Uplink zu A

-> A schickt zu Uplink auf X

 

W as ist das aber mit default GW = Firewall (ID 1), was soll es bedeuten? Geht von jedem Switch ein Kabel zu einer Firewall?

 

 

Nächste Frage, funktioniert VLAN 2 von einem untagged Port(ID 2) des Switch X zu einem untagged Port(ID2) des Switch B und auch weiter zu Switch A?

 

Das default Netz (ID1) geht über alle Switche, darin haben auch alle Switches ein Interface und ergo ist das default GW die Firewall.  Direkt mit der Firewall ist nur ein Switch (A) verbunden. 

nein, habe ich gestern noch probiert..ein ping von untagged X zu untagged A funktioniert auch nicht

ja eben. kann Switch X (HP 1910) eventuell kein sauberes VLAN-Routing?...obwohl IP-Interfaces und IP-Routing aktiv sind?!

Habe es nun mal mit einem VLAN-Interface versucht, was ja für ein inter-vlan Routing notwendig ist....also, von der Logik her sind A und X doch identisch mit ihrem uplink verbunden:

X:

uplink zu A = ID 2 tagged

Default GW = Firewall (ID 1)

|

A:

uplink zu X = ID 2 tagged

uplink zu B = ID 2 tagged

default GW = Firewall (ID 1)

|

B:

uplink zu A = ID2 tagged​

default GW = Firewall (ID 1)

In der Firewall gibt es eine Route zu 192.168.2.0 -----> B

Von A und B aus funktioniert ja alles, aber was ist bei X falsch!?

Wieso sind die uplinks "tagged"?

Zwei ids kann man nicht gleichzeitig taggen.

 

wieso nicht? uplinks zwischen Switches mit mehreren vlans sind immer getagged

untagged kann nur eine ID drüber gehen, aber tagged mehrere!

 

Die uplinks müssen trunks sein, die accessports taggen.

 

Welcher der Switche routet denn oder gibts einen "externen" router?

B routet und ist Default GW für ID 2

​ID 1 wir über die Firewall geroutet, wo als GW für ID 2 auch B eingetragen ist.

 

Wieso gibts auf zwei switchen jeweils ein layer3-interface für jedes vlan?

 

Was ist als default gateway aus Switch X eingetragen?

Switch X hat als GW die Firewall (ID 1)

Hallo zusammen, ich habe hier irgendwie ein Routingproblem und komme gerade nicht weiter.

Folgende Situation ist gegeben:

2 VLANs = "1" und "2" Switch A (.1.253, .2.253) <-------------> Switch B (.1.250,.2.250) <-------------> Switch C (.2.251)

uplink-Ports jeweils auf beiden Switches getagged für "1" und "2"

einige Ports untagged für die Endgeräte Switch B ist GW für "2"

An Switch A hängt nun ein weiterer Switch X (.1.252), der ebenfalls das VLAN "2" tagged auf dem Uplink zu A hat und einige ungetagged Ports.

Mein Problem ist nun, dass ich von X (webinterface) zwar das GW (.2.250) pingen kann, aber keine Geräte aus "2" die am Switch angeschlossen sind.

Geräte, die an Switch B hängen kann ich von X aus pingen.

Wo liegt mein Denkfehler? Ein zusätzliches Interface für "2" auf X (inter-vlan-routing)?..dann erreiche ich aber von X aus nicht mehr B!

oder kann das nur funktionieren, wenn man 2 uplinks benutzt:

--> A und C über je einen untagged Port für VLAN "2"

--> und das VLAN "1" wie gehabt über einen sep. uplink?

Es geht darum, ob und wie man Gruppenkontingente definieren kann.

Natürlich geht es um Abteilungslaufwerke und natürlich sollte jede Share ein sinnvolles Kontingent besitzen (User oder Gruppe), alles andere finde ich fahrlässig!

keiner eine Meinung?

Hi,

also mir fällt dazu nur so etwas ein:

http://mntechblog.de/verfuegbarer-speicherplatz-fuer-eine-dateifreigabe-festlegen/

Bei MS wird immer das Bsp genommen:

"Für den gemeinsam verwendeten Ordner einer Gruppe kann ein flexibles Kontingent von 500 MB festgelegt werden. Wird diese Speicherbeschränkung erreicht, werden alle Benutzer in der Gruppe per E-Mail benachrichtigt, dass das Speicherkontingent temporär auf 520 MB erweitert wurde. Sie können dann nicht benötigte Dateien löschen, um der voreingestellten Kontingentrichtlinie von 500 MB gerecht zu werden."

Wobei hier dann die Frage ist, in welcher Gruppe? Kann man mittlerweile einer Gruppe ein Kontingent zuweisen?

Guten Morgen,

ich experimentiere gerade mit dem Ressourcen-Manager von W2012 R2 rum.

Gegeben sind 2 Ordner /Freigaben im ServerManager:

1. div Abteilungsordner (Ordnerverwendung = groupfiles)

2. EigeneDateien (Ordnerverwendung = userfiles)

Für die EigenenDateien habe ich Kontigente im FSRM angelegt, nur mit der Möglichkeit ein Gruppenkontigent für die Abteilungsordner zu definieren tue ich mir schwer.

Wo legt man denn fest, welche Gruppe zu welchem Ordner "gehört"?

Moin...hm...da habt ihr wohl Recht :D ....wie einfach das Leben manchmal sein kann ;)

Guten Morgen,

da die Abteilungen (OUs) teils unterschiedliche Computer-Richtlinien haben wie zB Softwareverteilung, Ordnerumleitung....

liegen die Computerobjekte in den OUs, zu denen sie gehören.

Ziel wäre nun, globale Richtlinien zu definieren, die für alle Clients gelten!

Wäre es sinnvoll eine policy anzulegen und dann alle OUs die Computer enthalten damit zu verknüpfen?

Wenn ihr andere Designvorschläge habt, bin ich ganz Ohr!? ;-)

Hallo Norbert,

du würdest also eher eine OU mit Computern anlegen und nicht die Computer in die Abteilungen verschieben?

Setz die GPO WSUS ganz nach oben unterhalb Deiner Domäne (da liegt auch meist die Default DomainPolicy).

Damit wirkt die GPO auf alles, was unterhalb oder auf gleicher Höhe liegt.

 

Mittels Gruppe filterst Du ja nur, wer dann darauf zugreifen, aber nicht, wer die GPO sehen kann.

Danach sollten die Clients die GPO WSUS sehen können und, sofern mittels Gruppe oder WMI-Filter gesetzt auch anwenden können.

 

Je nachdem auch noch ein gpupdate /force setzen. Dann wird das schneller umgesetzt.

klar, dann funktioniert es, da alle Rechner ja in der Struktur "darunter" liegen.

Ich dachte man kann das auch über eine sep. OU regeln, da in der Gruppe ja dann Objekte - sprich Rechner- drin sind..?!

Alle Rechner in diese OU zu schieben, wollte ich vermeiden. Die Computerobjekte liegen jeweils in ihrer eigenen OU (von wo sie Event. auch andere Richtlinien ziehen).

Hi,

 

befindet sich in der OU WSUS-Clients nur die Gruppe oder auch Computer Konten? Sollte sich nur die Gruppe in der OU befinden, dann ist das so richtig, was er da anzeigt ;)

 

Gruß

Jan

Ja, in der OU befindet sich eine Gruppe, deren Mitglieder alle relevanten Rechner sind!

Guten Morgen,

ich steh irgendwie grad aufm Schlauch. Folgendes Szenario:

Es existiert eine sep. OU für die WSUS-Updates, darin ist eine Sicherheitsgruppe mit allen relevanten Client-Computerkonten.

Domain

--- DomainController

--- Abteilung 1

----------- Rechner A

----------- Rechner B

----------- User X

--- Abteilung 2

----------- Rechner C

----------- User Y

--- WSUS-Clients

------------Gruppe-WSUS (Rechner A,B,C...)

Für diese OU (WSUS-Clients) gibt es eine policy (nur Computerkonfiguration), die die Einstellungen für den WSUS beinhaltet.

Die Sicherheitsgruppe ist per Sicherheitsfilterung mit dieser policy verknüpft. Authentifizierte Benutzer ist entfernt.

Wende ich gpresult oder die Gruppenrichtlinienergebnisse an, zeigt sich, dass die policy bei den Rechnern aus WSUS-Clients nicht greift!

Was hab ich übersehen?

thumps up! :thumb1:

Vielen Dank für den Exkurs!

Werde ich mir mal anschauen :jau:

Hallo Martin,

auf jeden Fall, das würde mich jetzt mal interessieren! :-)

hm okay...check.

dank dir!

Hallo Norbert,

nein, nur noch IE >10.

Wie krieg ich nun die alten Settings raus bzw. editiere sie?

->

WEnn du das unbedingt noch brauchst, dann brauchst du eine GPMC auf einem OS, welches noch den IE9 installiert hat.

achso du meinst um die GPO anzupassen? hm..oder komplett neu machen?!