openWRT: routing zwischen 2 VLANs

[geisi]

Hallo! Ich habe einen Linksys WRT54GL und darauf openWRT-kamikaze installiert. Da der Router in einem Lokal benutzt wird, hängt ein Lokal-PC (für die Lokal-gäste), die Kassa, der Bankomat und ein Bürorechner drauf. Um nicht vollen Zugriff z.B vom Lokal-PC auf die Kassa oder auf den Bürorechner zu zulassen, habe ich die einzelnen switch-ports des wrt54gl in jeweils ein anderes vlan gegeben:

Code:

config switch eth0
        option vlan0    "0 5*"
        option vlan1    "4 5"
        option vlan2    "1 5*"
        option vlan3    "2 5*"
        option vlan4    "3 5*"


#### Loopback configuration
config interface loopback
        option ifname   "lo"
        option proto    static
        option ipaddr   127.0.0.1
        option netmask  255.0.0.0


#### LAN configuration
config interface uplink
        option ifname   "eth0.4"
        option proto    static
        option ipaddr   192.168.1.100
        option netmask  255.255.255.0

config interface gnb
        option ifname   "eth0.0"
        option proto    static
        option ipaddr   192.168.1.101
        option netmask  255.255.255.0

#### WAN configuration
config interface        wan
        option ifname   "eth0.1"
        option proto    dhcp

wie kann ich jetzt das routing zwischen VLAN0 und VLAN4 aktivieren, sodass alle pakete geroutet werden (filtern kann ichs dann ja eh über die firewall, aber zuerst muss mal das routing funktionieren)?
ich kann vom openwrt den lokalpc und den büropc pingen, nicht aber vom lokalpc den büropc (bzw. umgekehrt)

[Valle]

Äh... Widerspruch? Entweder VLAN oder Routing, aber beides ist nicht. Wenn du keine Kommunikation der beiden erlauben willst, dann lass es wie's ist. Ansonsten mach wieder ein gemeinsames Netz und filtere dann einfach über iptables.

Liebe Grüße,
Valle

[geisi]

Ich möchte es nicht so lassen, da ich z.b. vom büropc auf den lokalpc per rdc zugreifen möchte. Wenn nicht über routing, wie dann kann ich die kommunikation zwischen vlans ermöglichen ?

[Valle]

Zitat von geisi:

Ich möchte es nicht so lassen, da ich z.b. vom büropc auf den lokalpc per rdc zugreifen möchte. Wenn nicht über routing, wie dann kann ich die kommunikation zwischen vlans ermöglichen ?

Gar nicht, geht nicht. VLAN = keine Kommunikation.

Liebe Grüße,
Valentin

[generic]

Na klar geht das. Er muss sogar VLAN nutzen weil sonst der Switch den Verkehr an alle Knoten zulässt.
Port 5 ist dann der zum Router, welcher zwischen der 4 Ports vermittelt.

geisi damit du ein Routing machen kannst, musst du die Rechner in verschiedene IP Netze Packen.
oder du nutzt den Kernel als Switch und hast Rechner im gleichen Netz.

[Valle]

Also das mit dem VLAN ist mir jetzt nicht ganz klar. Hier steht doch folgenes:

Zitat:

Ein VLAN trennt physikalische Netze in Teilnetze auf, in dem es dafür sorgt, dass Datenframes eines VLANs nicht in ein anderes VLAN weitergeleitet werden und das obwohl die Teilnetze an gemeinsamen Switches angeschlossen sein können.

Also wie soll dann da Kommunikation möglich sein?

Andere Sache. Was ich eigentlich sagen wollte. ein VLAN ist doch an dieser Stelle nicht umbedingt nötig, da der Router doch sowieso 4 einzeln steuerbare Ports hat. Also kann man (IIRC auch im gleichen IP-Netz) einfach via IPTables allen unerwünschten Traffic einfach filtern. Unanbhängig davon ob das mit einem VLAN funktioniert oder nichtm ust es also doch eigentlich gar nicht nötig?

Liebe Grüße,
Valle

[generic]

Zitat von Valle:

Also wie soll dann da Kommunikation möglich sein?

Das hat was mit der Architektur des Wrt zu tun.

Dort ist ein frei programmierbarer Switch (nicht alle Routermodelle!), welcher 5(6) Ports hat.
Ports 1-4 in je ein VLAN, der 5te ist in alle 4 VLans.
Der 5 Port ist die Netzwerkkarte in den Microcontroller.
Der Port 5 ist dann Tagged.

Damit kann nun der Kernel auf die 4 einzelnen Ports zugreifen ohne das diese sich untereinander sehen.
Nun kommt der Netzwerkstack des Kernels die 4 Vlans können mit Bridging zusammen geführt werden.
Dann hat man eine weiteren "switch" und kann dann nur Pakete Filtern.
Andere Variante ohne Bridging ist dann Routing.

http://wiki.openwrt.org/doc/uci/network