Proxmox 2ten Management IP im VLAN

S

sallos

Active Member
Jan 20, 2019
10
0
41
42
Moin,

ich möchte eine 2te IP im VAN 154 haben damit der Host ein Backup auf eine Freigabe schieben kann.

Aber ich bekomme es nicht hin das der im VLAN 154 erreichbar wird.


Die VM's haben alle in der Hardware den VLAN TAG 154 und hängen an der Bright DMZ_LAN.



Code: 
auto lo
iface lo inet loopback

iface nic0 inet manual

iface nic1 inet manual

iface nic2 inet manual

iface nic3 inet manual

iface nic4 inet manual

iface idrac inet manual

auto vmbr0
iface vmbr0 inet static
        address 192.168.100.2/24
        bridge-ports nic0
        bridge-stp off
        bridge-fd 0
#Config

auto DMZ_LAN
iface DMZ_LAN inet manual
        bridge-ports nic2 nic3
        bridge-stp off
        bridge-fd 0
        bridge-vlan-aware yes
        bridge-vids 2-4094
#DMZ

auto DMZ_LAN.154
iface DMZ_LAN.154 inet static
        address 10.49.154.20/24
        gateway 10.49.154.1
 
Moin, mir fällt auf, dass nic2 und nic3 direkt als zwei Ports in der Bridge hängen, ohne Bond. Sind beide Ports am Switch gesteckt? Dann hast du mit bridge-stp off im Prinzip eine Schleife bzw. der Switch sieht die MAC vom Host abwechselnd an zwei Ports. Bei den VMs fällt das manchmal weniger auf als beim Host selbst. Ich würde da einen Bond draus machen (LACP, wenn der Switch das kann, sonst active-backup) und den Bond in die Bridge hängen.

Das VLAN-Interface würde ich so anlegen:
Code: 
auto vlan154
iface vlan154 inet static
        address <IP>/<Maske>
        vlan-raw-device DMZ_LAN
Welche IP und welches Netz sollen da rein? Ein Gateway trägst du da nur ein, wenn die Freigabe nicht direkt im Netz von VLAN 154 liegt. Sonst hängt dein Default-Gateway nämlich in der DMZ und nicht im Config-Netz. Hast du nach der Änderung ifreload -a gemacht? Und was zeigen ip -br a und bridge vlan show? Kommst du vom Host aus per Ping an die Freigabe?
 
Moin,

die beiden Ports bridge-ports nic2 nic3 hängen an einen Stack der Umgeschaltet wird. Also so ein FailOver teil.


auto vlan154
iface vlan154 inet static
address 10.49.154.20/24
gateway 10.49.154.1

ohne den Punkt?


ifreload -a ja habe ich gemacht wird auf ohne Fehler ausgeführt. Auch der ifcheck sagt ok.


Ne ich kann weder meine Freigabe noch einen der VM's Anpingen. Die liegen alle im Gleichen Netz und im gleichen von.
 
Vor der Änderung:


Code: 
root@MSR-SRV-DMZ-HOST:~# ip -br a
lo               UNKNOWN        127.0.0.1/8 ::1/128
nic0             UP             
nic1             DOWN           
nic2             UP             
nic3             UP             
idrac            DOWN           
vmbr0            UP             192.168.100.2/24 fe80::8218:44ff:fede:cfc/64
DMZ_LAN          UP             fe80::8218:44ff:fede:cfe/64
tap100i0         UNKNOWN       
DMZ_LANv154      UP             
nic3.154@nic3    UP             
nic2.154@nic2    UP             
fwbr100i0        UP             
fwpr100p0@fwln100i0 UP             
fwln100i0@fwpr100p0 UP             
tap101i0         UNKNOWN       
fwbr101i0        UP             
fwpr101p0@fwln101i0 UP             
fwln101i0@fwpr101p0 UP             
tap102i0         UNKNOWN       
fwbr102i0        UP             
fwpr102p0@fwln102i0 UP             
fwln102i0@fwpr102p0 UP             
tap103i0         UNKNOWN       
fwbr103i0        UP             
fwpr103p0@fwln103i0 UP             
fwln103i0@fwpr103p0 UP             
DMZ_LAN.154@DMZ_LAN UP             10.49.154.20/24 fe80::8218:44ff:fede:cfe/64




Code: 
vmbr0             1 PVID Egress Untagged
DMZ_LAN           1 PVID Egress Untagged
                  154
tap100i0          1 PVID Egress Untagged
DMZ_LANv154       1 PVID Egress Untagged
nic3.154          1 PVID Egress Untagged
nic2.154          1 PVID Egress Untagged
fwbr100i0         1 PVID Egress Untagged
fwpr100p0         1 PVID Egress Untagged
fwln100i0         1 PVID Egress Untagged
tap101i0          1 PVID Egress Untagged
fwbr101i0         1 PVID Egress Untagged
fwpr101p0         1 PVID Egress Untagged
fwln101i0         1 PVID Egress Untagged
tap102i0          1 PVID Egress Untagged
fwbr102i0         1 PVID Egress Untagged
fwpr102p0         1 PVID Egress Untagged
fwln102i0         1 PVID Egress Untagged
tap103i0          1 PVID Egress Untagged
fwbr103i0         1 PVID Egress Untagged
fwpr103p0         1 PVID Egress Untagged
fwln103i0         1 PVID Egress Untagged
 
Ja, ohne Punkt, dann aber mit vlan-raw-device DMZ_LAN dazu. Ehrlich gesagt geht dein DMZ_LAN.154 aber genauso, das ist nur Geschmackssache und wird nicht die Ursache sein. Das Gateway kannst du drin lassen, auf vmbr0 hast du ja keins eingetragen.

Ich tippe eher auf die zwei Ports. Bei einem Stack sind beide Switches für den Host ein einziger Switch. Wenn nic2 und nic3 ohne Bond in der Bridge hängen und beide Link haben, lernt der Stack die Host-MAC mal am einen und mal am anderen Port, und die Antworten kommen nicht zurück. Dass die VMs untereinander trotzdem laufen, schließt das nicht aus. Zum Testen einfach mal ein Kabel ziehen oder nic3 aus bridge-ports nehmen, ifreload -a und nochmal pingen. Wenn es dann geht, machst du aus nic2/nic3 einen Bond: active-backup geht ohne Switch-Config, LACP über beide Stack-Member können die meisten Stacks auch.

Wenn es auch mit einem Port nicht geht, lass mal beim Pingen tcpdump -eni nic2 vlan 154 laufen und schau, ob die ARP-Requests getaggt rausgehen und ob was zurückkommt. Und schick bitte die Ausgabe von ip -br a und bridge vlan show, die fehlen noch.
 
Moin,

mit deiner Änderung das gleiche.


Meine VM sind aber von Aussen erreichbar...

Ich bekomme es nur irgendwie nicht hin den Host mit in das VLAN zu bringen





Code: 
auto DMZ_LAN
iface DMZ_LAN inet manual
        bridge-ports nic2 nic3
        bridge-stp off
        bridge-fd 0
        bridge-vlan-aware yes
        bridge-vids 2-4094
#DMZ

auto vlan154
iface vlan154 inet static
        address 10.49.154.20/24
        gateway 10.49.154.1
        vlan-raw-device DMZ_LAN


root@MSR-SRV-DMZ-HOST:~# ip -br a
lo               UNKNOWN        127.0.0.1/8 ::1/128
nic0             UP             
nic1             DOWN           
nic2             UP             
nic3             UP             
idrac            DOWN           
vmbr0            UP             192.168.100.2/24 fe80::8218:44ff:fede:cfc/64
DMZ_LAN          UP             fe80::8218:44ff:fede:cfe/64
tap100i0         UNKNOWN       
DMZ_LANv154      UP             
nic3.154@nic3    UP             
nic2.154@nic2    UP             
fwbr100i0        UP             
fwpr100p0@fwln100i0 UP             
fwln100i0@fwpr100p0 UP             
tap101i0         UNKNOWN       
fwbr101i0        UP             
fwpr101p0@fwln101i0 UP             
fwln101i0@fwpr101p0 UP             
tap102i0         UNKNOWN       
fwbr102i0        UP             
fwpr102p0@fwln102i0 UP             
fwln102i0@fwpr102p0 UP             
tap103i0         UNKNOWN       
fwbr103i0        UP             
fwpr103p0@fwln103i0 UP             
fwln103i0@fwpr103p0 UP             
vlan154@DMZ_LAN  UP             10.49.154.20/24 fe80::8218:44ff:fede:cfe/64

bridge vlan show:
vmbr0             1 PVID Egress Untagged
DMZ_LAN           1 PVID Egress Untagged
                  154
tap100i0          1 PVID Egress Untagged
DMZ_LANv154       1 PVID Egress Untagged
nic3.154          1 PVID Egress Untagged
nic2.154          1 PVID Egress Untagged
fwbr100i0         1 PVID Egress Untagged
fwpr100p0         1 PVID Egress Untagged
fwln100i0         1 PVID Egress Untagged
tap101i0          1 PVID Egress Untagged
fwbr101i0         1 PVID Egress Untagged
fwpr101p0         1 PVID Egress Untagged
fwln101i0         1 PVID Egress Untagged
tap102i0          1 PVID Egress Untagged
fwbr102i0         1 PVID Egress Untagged
fwpr102p0         1 PVID Egress Untagged
fwln102i0         1 PVID Egress Untagged
tap103i0          1 PVID Egress Untagged
fwbr103i0         1 PVID Egress Untagged
fwpr103p0         1 PVID Egress Untagged
fwln103i0         1 PVID Egress Untagged
 
Last edited:
Hatte deine Ausgaben in #4 übersehen, sorry, da steht aber eigentlich alles drin. Du hast ein DMZ_LANv154 mit nic2.154 und nic3.154 als Ports. Diese Bridge baut PVE selbst, wenn eine VM mit VLAN-Tag an einer Bridge startet, die zu dem Zeitpunkt noch nicht vlan-aware war. Deine VMs hängen an dieser Hilfs-Bridge, nicht an DMZ_LAN, und die geht über die Subinterfaces raus. Deshalb sind die VMs erreichbar. In bridge vlan show tauchen nic2 und nic3 als Ports von DMZ_LAN gar nicht auf, und die fwpr-Interfaces haben nur VLAN 1 statt 154. Dein vlan154 hängt damit an einer Bridge ohne Uplink und kann nirgends hin.
Am saubersten ist ein Reboot des Hosts im Wartungsfenster. Alternativ alle VMs stoppen, dann ip link del DMZ_LANv154, ip link del nic2.154 und ip link del nic3.154, danach ifreload -a und die VMs wieder starten. Ein reines ifreload -a reicht nicht, weil ifupdown2 die von PVE angelegten Interfaces nicht abbaut, die stehen ja nicht in der interfaces. Danach sollte es kein DMZ_LANv154 und keine nic2.154 mehr geben, nic2/nic3 sollten in bridge vlan show mit 2-4094 stehen und die fwpr mit PVID 154. Das mit dem Bond aus nic2/nic3 würde ich bei der Gelegenheit gleich mit erledigen, dann musst du nur einmal neu starten.
 
Moin,

morgen früh könnte ich ihn mal booten..Dann mache ich das

Was genau muss ich da eintragen beim Bond? Es gibt so einige Modis :(
Ich habe leider nix mit dem Stack zu tun das macht die IT. Hier wurde nur gesagt das schaltet so um steck dich da ein in jede Seite einmal ein... ;)

Danke für die Hilfe

Aktuelle Config:
Code: 
auto vmbr0
iface vmbr0 inet static
        address 192.168.100.2/24
        bridge-ports nic0
        bridge-stp off
        bridge-fd 0
#Config

auto DMZ_LAN
iface DMZ_LAN inet manual
        bridge-ports nic2 nic3
        bridge-stp off
        bridge-fd 0
        bridge-vlan-aware yes
        bridge-vids 2-4094
#DMZ

auto vlan154
iface vlan154 inet static
        address 10.49.154.20/24
        gateway 10.49.154.1
        vlan-raw-device DMZ_LAN
 
Nimm active-backup. Am Stack brauchst du nichts zu konfigurieren. Es ist immer nur ein Port aktiv, die MAC taucht nicht mehr an zwei Ports auf. LACP (802.3ad) wäre zwar schöner, dann muss die IT aber auf dem Stack über beide Member eine LAG für deine zwei Ports anlegen. Das würde ich nur machen, wenn die das eh anbieten. Frag kurz nach, ob die Ports schon als LAG/Port-Channel konfiguriert sind. Dann bräuchtest du nämlich LACP und active-backup würde zicken.

In der interfaces würde das dann so aussehen:
Code: 
auto bond0
iface bond0 inet manual
        bond-slaves nic2 nic3
        bond-miimon 100
        bond-mode active-backup
        bond-primary nic2

auto DMZ_LAN
iface DMZ_LAN inet manual
        bridge-ports bond0
        bridge-stp off
        bridge-fd 0
        bridge-vlan-aware yes
        bridge-vids 2-4094
#DMZ
Dein vlan154 bleibt so, wie es ist. Nach dem Reboot sollte in bridge vlan show dann bond0 mit 2-4094 stehen und kein DMZ_LANv154 mehr auftauchen. Wenn das passt, mal die Freigabe anpingen.
 
  • Like
Reactions: news
You must log in or register to reply here.
Top Bottom
Back