vlan-aware und pfSense

[paulst]

Moin zusammen,

ich habe ein Problem, bei dem ich offensichtlich nicht weiter komme und eure Hilfe benötige.

Ich habe einen Proxmox-Node, auf dem eine pfSense virtualisiert läuft. Proxmox hat zwei physische Interfaces, einmal das WAN-Interface, welches ich in die pfSense durchreiche (über eine vmbr) und einen VLAN-Trunk. Aktuell habe ich auf dem Trunk mehrere Subinterfaces/VMBR für die jeweiligen VLANs, was auch soweit tadellos funktioniert.
Mehrere VMs, mein Gästenetz/WLAN und interne Geräte können alle vernünftig kommunizieren.

Ich nutze ifupdown2 auf dem Proxmox-Node

auto lo
iface lo inet loopback

iface enp1s0f1 inet manual

iface enp4s1 inet manual

iface enp1s0f0 inet manual

auto vmbr0
iface vmbr0 inet static
        address 192.168.2.7/24
        gateway 192.168.2.1
        bridge-ports enp1s0f1.300
        bridge-stp off
        bridge-fd 0
#Local Mgmt

auto vmbr2
iface vmbr2 inet manual
        bridge-ports enp1s0f0
        bridge-stp off
        bridge-fd 0
#WAN

auto vmbr1
iface vmbr1 inet manual
        bridge-ports enp1s0f1.100
        bridge-stp off
        bridge-fd 0
#DMZ

auto vmbr3
iface vmbr3 inet manual
        bridge-ports enp1s0f1.200
        bridge-stp off
        bridge-fd 0

Nun möchte ich weg von den einzelnen Subinterfaces und hin zu einem vlan-aware VMBR. Dafür habe ich jetzt folgendes konfiguriert:

auto vmbr4 iface vmbr4 inet manual bridge-ports enp1s0f1 bridge-stp off bridge-fd 0 bridge-vlan-aware yes bridge-vids 2-4094

Mit diesem VMBR habe ich versucht das Gäste-Netz testweise per VLAN direkt anzubinden.
Dies habe ich einmal rein in Proxmox konfiguriert (VMBR4 mit entsprechendem VLAN-Tag) und einmal versuchte ich, die VLANs durchzureichen und von der pfSense managen zu lassen. Dafür habe ich das VLAN in der pfSense konfiguriert und und an das GUEST-Interface angelegt.





Nun ist aber das Problem, dass ich bei beiden Wegen, keine Daten mehr durch das VLAN200 / Gästenetz bekomme. Ich hatte zum testen einen Laptop per Kabel an meinen Switch angeschlossen, bei dem nach der Umstellung weder der Ping auf das Default-Gateway bzw. die pfSense noch auf einen Host im Internet funktionierte.

Darf man die beiden Methoden Subinterfaces und VMBR mit VLAN-Tag so ohne weiteres "mischen" bzw. parallel nutzen?

An diesem Punkt bin ich mit meinem Latein am Ende und hoffe auf euch.

Vielen Dank und Grüße
Paul

 

[crmspezi]

Ich hatte das gleiche Problem schon vor 2 Jahren. Nimm bitte eine extra Netzwerkschnittstelle. Das funktioniert. Ich habe allerdings aus der Historie heraus auch VLAN1 getagt.

Hier meine Config:

# network interface settings; autogenerated
# Please do NOT modify this file directly, unless you know what
# you're doing.
#
# If you want to manage parts of the network configuration manually,
# please utilize the 'source' or 'source-directory' directives to do
# so.
# PVE will preserve these directives, but will NOT read its network
# configuration from sourced files, so do not attempt to move any of
# the PVE managed interfaces into external files!

auto lo
iface lo inet loopback

iface enp4s0f0 inet manual #failover Bond

iface enp4s0f1 inet manual #frei

iface enp4s0f2 inet manual #frei

iface enp4s0f3 inet manual #pfsense alle VLANs

iface ens7 inet manual #10G

auto bond0
iface bond0 inet manual
bond-slaves enp4s0f0 ens7
bond-miimon 100
bond-mode active-backup
bond-primary ens7

iface bond0.1 inet manual
vlan-raw-device bond0

auto vmbr0
iface vmbr0 inet manual
bridge-ports bond0
bridge-stp off
bridge-fd 0
# bridge-vlan-aware yes
bridge-vids 1-4094

auto vmbr0v1
iface vmbr0v1 inet static
address 192.168.190.44
netmask 255.255.255.0
gateway 192.168.190.10
bridge_ports bond0.1
bridge_stp off
pre-down ethtool -s $IFACE wol g
# vlan-raw-device bond0

auto vmbr1 #pfsense
iface vmbr1 inet manual
bridge-ports enp4s0f3
bridge-stp off
bridge-fd 0

 

[paulst]

Ok vielen Dank für den Hinweis, ist ja schonmal gut zu wissen, dass ich nicht der einzige mit dem Problem bin/war. Dann werde ich mir mal überlegen, wie ich das mit meinen Schnittstellen am besten ohne mischen zurecht biege

 

[crmspezi]

Du hast doch die Lösung hier. Läuft problemlos. Nur 2x Netzwerkkabel zum Switch und gut ist.

Was ist hier Dir nicht klar? Ich helfe Dir gern.

 

[paulst]

Ich habe leider nur zwei Netzwerkports und wollte die eigentlich in nem Bond zusammenpacken. Vielleicht gehe ich aber doch erstmal den Weg, dass nur einer in den Bond kommt.

Kannst du mir eventuell die Option "vlan-raw-device" erklären? Was genau macht sie?

 

[crmspezi]

• erst der Bond
• dann iface bond0.1 inet manual und vlan-raw-device bond0
  • hier wird mein VLAN1 getaggt definiert für den PVE (weil ich ungetaggtes VLAN 1 nur für NAS einsetze - kommt aus Kompatibilitätsgründen der Vergangenheit), sonst nicht notwendig, also Managementinterface und VLAN der VMs über einen Bond
• jetzt kommt auto vmbr0 des pve mit bridge-vids 1-4094 (weil ich auch VLAN 1 ungetaggt in den VM's brauche)
• dann auto vmbr0v1, die Netzwerkschnittstelle des pve
• und auto vmbr1 #pfsense ohne Definition alles zur pfSense, die die NICS selbst über VLANs definiert

vlan-raw-device kennzeichnet die übergeordnete Stelle (das rohe Interface), also den bond0, aus dem dann bond0v1 (Mit VLAN1) gemacht wird

 

[crmspezi]

Du könntest vlan-raw-device benutzen um eine Schnittstelle des bond der pfsense zuzuweisen.