Problem weitere Container im Subnet aufzurufen

[octopus2903]

Ich habe auf Proxmox mehrere Container laufen. Der Rechner (Nuc) hängt im VLAN 20 auf meinem Unifi Switch.

Proxmox selbst und ein Container werden auf meinem Switch mit IP-Adressen versorgt und ich komme auf die Webinterfaces.
So sieht die Config auf der Hauptinstanz aus:

auto lo
iface lo inet loopback

iface eno1 inet manual

iface eno1.10 inet manual

auto vmbr0
iface vmbr0 inet static
        address  10.1.1.35
        netmask  255.255.255.0
        gateway  10.1.1.1
        bridge_ports eno1
        bridge_stp off
        bridge_fd 0

auto vmbr1
iface vmbr1 inet manual
        bridge_ports none
        bridge_stp off
        bridge_fd 0

auto vmbr2
iface vmbr2 inet manual
        bridge_ports none
        bridge_stp off
        bridge_fd 0

auto vmbr3
iface vmbr3 inet manual
        bridge_ports none
        bridge_stp off
        bridge_fd 0

Wobei VMBR1-3 zu Testzwecken da sind.

Ein funktionierender Container schaut so aus:


Wenn ich das bei weiteren Containern versuche, bekommen sie keine IP-Adressen auf dem Switch, obwohl ich sie statisch zugeordnet habe.
Habe es mit VMBR1 versucht, genauso mit eno1 und VLAN 10.

Was muss ich bei den weiteren Containern (Ubuntu) einstellen, umsie im gleichen Subnet zu nutzen? (aus dem Wiki werde ich nicht ganz schlau)

 

[octopus2903]

Ein weitere Container wird nun gefunden (warum auf einmal?)

So schaut es im Switch aus. Leider zeigt der Switch für den einen Container die IP nicht an:


Der PIHole geht und sieht so aus:


Das Device mit der MAC 16:6e... sieht so aus und geht nicht:


Wo ist mein Denkfehler?

 

[wolfgang]

Hallo,

Ich verstehe nicht genau was du versuchst zu machen.

Wie hast du den Switch konfiguriert?
Ich meine verwendest du einen Trunk- oder Access- Port für den Port der mit dem Proxmox VE Server verbunden ist?

Was willst du mit dem eno1.10 in dem Container?
eno1.10 ist ein VLAN Device für Debian Base Distributionen.

 

[CoolTux]

Hallo Wolfgang,

Der User kommt etwas durcheinander mit den Bezeichnungen.
Desweiteren ist zwar ein VLAN Device definiert aber nicht in die Bridge vmbr0 eingebunden. Ein Wunder das da überhaupt was geht.

@octopus2903
Ich brauche noch etwas Zeit. Bin gerade noch unterwegs. Wir schauen uns nachher Deine Konfig mal gemeinsam an. Wie schon geschrieben passt da so einiges nicht.

 

[CoolTux]

auto lo
iface lo inet loopback

iface eno1 inet manual

iface eno1.10 inet manual

auto vmbr0
iface vmbr0 inet static
address 10.1.1.35
netmask 255.255.255.0
gateway 10.1.1.1
bridge_ports eno1
bridge_stp off
bridge_fd 0

auto vmbr1
iface vmbr1 inet manual
bridge_ports none
bridge_stp off
bridge_fd 0

Du hast zwar super ein VLAN Netzwerk definiert, aber Du hast es warum auch immer nicht der Bridge vmbr0 zugewiesen. Es liegt also brach.
Für vmbr0 wäre es noch ok da Du wenigstens ein untagged Netzdevice brauchst. Bei den anderen Bridge Devices musst Du dann aber das entsprechende VLAN Device zuordnen.
Du musst aber auch die VLAN's entsprechend an den Ports des Switches zu ordnen.


Nun zu Deinem Container. Unter Name kommt der Interface Name welcher im Linux Container als Interface erscheinen soll. Im Normalfall also eth0.
Bei Bridge kommt das Bridge Device hin. also vmbr0 was bei dir untagged ist oder besser ein anderes mit vlan id da ja sicherlich anderes Subnetz.

 

[octopus2903]

Danke für Eure Unterstützung!
Komischerweise laufen die Container sogar, auch wenn mein Switch sie ohne IP anzeigt. (SQL-Container habe ich in derFHEM-Hausautomatisierung) sogar laufen - warum auch immer.

Aber um sauber zu werden, was ich verstanden habe:
1. Wenn ich auf dem Switch ein VLAN auf einen Netzwerk-Port lege, muss ich explizit pro Port und nicht pro Mac-Adresse machen
2. Wenn ich einen Container einem VLAN zuweisen möchte, muss ich ein VLAN-Device definieren (z. B. eno1.10 für VLAN 10)
3. zusätzlich muss ich dieses VLAN-Device der Bridge zuweisen.
Jetzt die Frage dazu: Wie mache ich das?
Ich hatte (wie Du im FHEM-Forum an einem Beispiel gezeigt hattest) es ursprünglich so:

auto lo
iface lo inet loopback

iface eno1 inet manual

iface eno1.10 inet manual

auto vmbr0
iface vmbr0 inet static
address 10.1.1.35
netmask 255.255.255.0
gateway 10.1.1.1
bridge_ports eno1.10
bridge_stp off
bridge_fd 0

Leider habe ich damit keinen Zugriff auf den Container bekommen, wenn ich eno1.10 eingetragen (=zugeordnet?) habe. Also habe ich es nur mit eno1 versucht und es ging.
Oder meinst Du mit zuweisen noch etwas anderes?
4.) Im Container trage ich
a) unter Name das Interface ein. Ist das nun eno1 oder eno1.10? (zweites funktioniert mit meinem FHEM-Container gerade)
b) unter Bridge trage ich die Bridge aus 3.) ein.
Muss ich pro Container oder VLAN eine eigene Bridge bauen?

Sorry für die Noob-Fragen - aber ich bin nunmal einer ;-)

 

[CoolTux]

Also soweit passen Deine Aussagen.

Und nein, Du musst natürlich nicht pro Container eine Bridge machen. Aber.
Du kannst (und das würde ich Dir empfehlen) pro Subnetz eine Bridge machen. vmbr0 muss so bleiben, die Bridge muss untagged laufen. Das ist Dein Weg zu Geräten die kein VLAN können (sollte hoffentlich nur die Fritzbox sein).
Dann machst Du ein VLAN und Bridge (vmbrX) für Deine Container oder Server (meine Empfehlung) und ein VLAN für die Clients. Wichtig ist das der Proxmox Server alle VLAN's (tagged und untagged) bekommt. Entweder über einen Port am Switch oder über mehrere Ports am Switch.
Und Deine opnSense Firewall bekommt ALLE VLAN's damit die als Router fungieren kann.

 

[octopus2903]

Danke!

Kannst Du bitte noch etwas zu meinen Fragen aus den Punkten

3) Wie ordne ich VLSN Device einer Bridge zu
4a) unter "Name" eno1 oder eno1.10 eintragen?

schreiben?

 

[CoolTux]

4a) unter "Name" eno1 oder eno1.10 eintragen

Du musst natürlich der Bridge das VLAN Device geben. Also eno1.10
Aber nicht vergessen, Du brauchst zwischen vmbr1 (VLAN10) und vmbr0 (untagged) einen Router. Wenn Dein Notebook kein VLAN kann und nicht am Switch am VLAN Port hängt wird das Notebook den Container im VLAN10 nicht erreichen ohne Router.

 

[octopus2903]

Ich habe eine Ubiquiti USG 4 Pro als Router.
Das bedeutet ich richte ich der Firewall eine Route von den MAC-Adressen bzw. Netzwerken/VLANs auf das VLAN ein, die zugreifen sollen, richtig?

 

[CoolTux]

OK das geht natürlich auch. Dann müssen sich alle VLAN's in der USG treffen. Ist das ne Firewall. Weil wenn nicht kannst ja schlecht sagen wer wohin darf und wer nicht.