[Netzwerk] IP-Netzwerktopologie in Verbindung mit KNX

[xcalibur]

Hallo zusammen,

wie man an meinem gestrigen Post sehen kann, beschäftige ich mich gerade mit der Topologie meines Netzwerks. Das Gebäude besteht aus 3 Wohnungen und dem Keller.

Im Keller steht der ein POE-Switch (VLAN-fähig), an den die IP-Router der 3 Wohnungen, der HS und die Wetterstation angeschlossen werden. Dieser dient dann quasi als Backbone für den KNX-Bus.

Jede Wohnung hat ein separates LAN und einen separaten DSL-Anschluss (d.h. auch Fritzbox in jeder Wohnung).

Um Funktionen wie bspw. Programmierung über WLAN, Visu über Ipad / Iphone, ... nutzen zu können, möchte die "normalen" LANs der Wohnungen mit dem "KNX-LAN" verbinden.
Was ich aber natürlich verhindern möchte ist, dass Wohnung 1 auf das LAN von Whg 2 und 3 zugreifen kann.
Die Wohnungen sollen also auf ihr separates LAN, den HS und die KNX Linie mit der Wetterstation zugreifen können.

Ich hab schon gegooglet und einige Artikel gelesen, bin mir aber noch nicht sicher, was die beste Lösung ist... und das Wissen aus dem Studium scheint sich aufgrund Verbachlässigung verabschiedet zu haben ;-)

Welche Lösung würdet ihr vorschlagen?
Ich tendiere bis jetzt zum Aufbau von verschiedenen VLANs.

Grüße
Christian

[Gaston]

Welche Lösung würdet ihr vorschlagen?
Ich tendiere bis jetzt zum Aufbau von verschiedenen VLANs.

Bei mir hängt der KNX in einem eigenen VLAN und ist per Router mit den anderen Netzen vebunden.

Aufteilen per VLAN sollte in deinem fall auch gehen sofern der Switch "richtiges" VLAN (sprich Layer-2, nciht Layer-1) beherscht. Die Konfiguration ist dabei abhängig davon ob alle Wohnunmgen und der KNX a m gleichen Switch hängen oder ob die Wohnungen zuerst an einem Switch zusammengeführt werden und dann per uplink zum "KNX-Switch" geführt werden.

Wäre der KNX auch auf zwei Switches aufgeteilt (was bei Dir nicht der Fall ist) würde es nur funktionieren wenn die Switches overlapping VLANs beherschen.

Gruss,
Gaston

[xcalibur]

Bei mir hängt der KNX in einem eigenen VLAN und ist per Router mit den anderen Netzen vebunden.

Aufteilen per VLAN sollte in deinem fall auch gehen sofern der Switch "richtiges" VLAN (sprich Layer-2, nciht Layer-1) beherscht. Die Konfiguration ist dabei abhängig davon ob alle Wohnunmgen und der KNX a m gleichen Switch hängen oder ob die Wohnungen zuerst an einem Switch zusammengeführt werden und dann per uplink zum "KNX-Switch" geführt werden.

Wäre der KNX auch auf zwei Switches aufgeteilt (was bei Dir nicht der Fall ist) würde es nur funktionieren wenn die Switches overlapping VLANs beherschen.

Gruss,
Gaston

Hallo Gaston,

danke für deine Antwort... dann war ich mit der Grundidee ja nicht ganz auf dem falschen Dampfer.

Mein Switch der Wahl ist der hier: GS108PE
Konnte keine Info finden, auf welchem Layer das VLAN arbeitet.

Davon steht einer im Keller, auf diesem laufen die 3 Wohnungen, HS und KNX-Linie der Wetterstation zusammen, also alle am gleichen Switch.

Vom Switch im Keller geht es jeweils in die Wohnungen.
Dort zunächst auch auf einen GS108PE, von dort aus weiter an den IP-Router auf die Netzwerkdosen der Wohnung und die Fritzbox.

Für die Konfiguration der VLANs wird also der Switch im Keller verantwortlich sein.
Da die VLANs ja alle im selben Switch abgebildet werden, benötige ich einen Router?
Bei der Frage komm ich auf keinen grünen Zweig... nach jedem Artikel denk ich wieder andersrum ;-)
Laut dem Bild unten sollt ich ja keinen brauchen?
(Quelle:http://www.cisco.com/univercd/cc/td/...h_c/xcvlan.htm)





Grüße
Christian

[Gaston]

Um es sauber zu machen bräuchte man einen Router, ja. Aber im Fall des KNX geht es auch anders.

Der GS108 sollte Layer2 VLAns 802.3Q beherschen. ich habe auch Netgears im einsatz (1xGS724-T und 5xGS716-T im spanning tree)

Du erstellst 4 VLANs, z.B.:

1. VLAN 11: Wohnung 1
2. VLAN 12: Wohnung 2
3. VLAN 13: Wohnung 3
4. VLAN 20: KNX

Dann weist due die Ports den einzelnen VLANs als untagged (U) zu:

• VLAN11: Wohnung1,IP Router Wohnung 1
• VLAN12: Wohnung2,IP Router Wohnung 2
• VLAN13: Wohnung3,IP Router Wohnung 3
• VLAN20: Alle 3 IP Router (Backbone)
• Die entsprechenden porst bim default VLAN (1) abwählen

zuletzt die VPIDs:

• Port von Wohnung 1 + Port seines KNX-Routers: VPID=11
• Port von Wohnung 2 + Port seines KNX-Routers: VPID=12
• Port von Wohnung 3 + Port seines KNX-Routers: VPID=13

Die VPIDs sind in dieser Konfiguration allerdings nicht so wichtig.

Gruss,
Gaston

[xcalibur]

Dann weist due die Ports den einzelnen VLANs als untagged (U) zu:

• VLAN11: Wohnung1,IP Router Wohnung 1
• VLAN12: Wohnung2,IP Router Wohnung 2
• VLAN13: Wohnung3,IP Router Wohnung 3
• VLAN20: Alle 3 IP Router (Backbone)
• Die entsprechenden porst bim default VLAN (1) abwählen

Perfekt, dass es ohne Router geht... das macht die Sache etwas einfacher.

Danke für die Aufstellung, leider tauchen da HS und KNX Linie 4 (Wetterstation) nicht auf. Müsste das dann folgendermaßen aussehen?

• VLAN11: Wohnung1,IP Router Wohnung 1, HS
• VLAN12: Wohnung2,IP Router Wohnung 2, HS
• VLAN13: Wohnung3,IP Router Wohnung 3, HS
• VLAN20: Alle 3 IP Router (Backbone) + IP Router Wetterstation + HS

Meine Überlegungen:
-Um die Visu auf dem HS aufrufen zu können, muss ich aus dem VLAN jeder Wohnung auf den HS kommen

-Die Wetterstation muss sich mit anderen KNX-Komponenten und dem HS unterhalten können.

Passt das so?

Edit: Noch eine Frage: was sind VPIDs? haben eben gegooglet aber nur irgendwas mit TV-Einstellungen gefunden

[Gaston]

Perfekt, dass es ohne Router geht... das macht die Sache etwas einfacher.

Wie gesagt: gehen ja, sauber nein

Danke für die Aufstellung, leider tauchen da HS und KNX Linie 4 (Wetterstation) nicht auf. Müsste das dann folgendermaßen aussehen?

Autsch, die sind mir glatt entgangen. Deine Aufstellung schein in ordnung zu sein. Allerdings ist die Sache mit dem gemeinsamen HS genau das warum diese Lösung nicht sauber ist.

Du musst den Wohnungen dasnn das netz vorschreiben und hoffen dass sich jeder daran hält. Das Hausnetz wäre dann z.B. 10.1.0.0/16 und du weit jeder Wohnung einen Adressraum zu, 10.1.1.0-255, 10.1.2.0-255,10.1.3.0-255. Der gemeinsame Bereicj ist dann z.B. 10.1.0.0-255.

Der HS hätte dann z.B. Adresse 10.1.0.10.

Aber dies sind keine separaten Netze denn es gibt ja kein Router. Somit hat jedes gerät die Netzwerkmaske 255.255.0.0

Hat z.B. der PC in Wohnung 1, die Adresse 10.1.1.1 und der Bewohner von Wohnung 2 hat nicht aufgepasst und die gleiche Adresse benutz funktioniert die Kommunikation mit dem HS nicht wenn beide zusammen drauf zugreifen.

Edit: Noch eine Frage: was sind VPIDs? haben eben gegooglet aber nur irgendwas mit TV-Einstellungen gefunden

Ähm....*hust* *hust*... ,sorry ich meinte natürlich PVID, nicht VPID.
Gruss,
Gaston

[xcalibur]

Hallo gaston,

Bei dem von dir geschilderten fall hätte w2 ja keinen zugriff auf sein netz und internet, richtig?
Zudem holt sich der ottonormaluser sicher per dhcp eine ip. Ich stimm dir zu, nicht ganz sauber, aber ich denk das risko wäre erträglich.
Zumal w2 ja auch in deinem fall keinen zugriff auf w1 hätte, auch wenn er die ip von dort einstellt.

Korrigier mich bitte, wenn ich etwas falsches schreib.

Wie sieht denn eine saubere lösung mit router aus?
Gibts an diesen spezielle anforderungen oder tuts da bspw. Eine alte fritzbox?

[Gaston]

Bei dem von dir geschilderten fall hätte w2 ja keinen zugriff auf sein netz und internet, richtig?

Doch, Internet und eigenes netz würden funktionieren da alle Wohnungen ja aus TCP/IP sicht das gleiche Netz teilen (10.1.0.0/255.255.0.0). Also funktioniert auch eine Adresse die eigentlich zu W1 gehört auch in W2.

Zudem holt sich der ottonormaluser sicher per dhcp eine ip.

Auch der muss richtig konfiguriert sein .

Ich stimm dir zu, nicht ganz sauber, aber ich denk das risko wäre erträglich.

Ich bin zwar kein Freund unsauberer Lösungen, aber Ich stimme Dir da zu.

Zumal w2 ja auch in deinem fall keinen zugriff auf w1 hätte, auch wenn er die ip von dort einstellt.

Jop

Wie sieht denn eine saubere lösung mit router aus?
Gibts an diesen spezielle anforderungen oder tuts da bspw. Eine alte fritzbox?

Nein, Fritzbox kann das soweit Ich weis nicht. Dies trifft allerdings auf die meisten (alle?) 0-8-15 Internet Router zu. Diese routen nur zwischen Internet und Internen Netz.

Da müsste schon ein Cisco oder Lancom Router der 500€ Klasse her der auch zwischen internen Netzen routen und filtern kann.

Spätestens wenn IPv6 standard wird muss ein Router her.

Gruss,
Gaston

[swiss]

Hmm..

Kurze Frage an der Stelle. Wenn ihr jetzt eifach ein B-Klassen Netzwerk mit der Subnetzmaske 255.255.0.0 einrichtet, können aber alle Geräte untereinander frei kommunizieren. Da es ja keine Firewall oder sonstige Filter gibt, die die einzelnen Wohnungen von einander trennen ist es doch theoretisch kein Problem z.B. einfach die Internetleitung des "Nachbarn" anzuzapfen. Ich weiss nicht ob mir das recht wäre.

Das Problem ist auch, dass dan jeder "Zugangspunkt" so eingerichtet werden muss, dass die VLAN's stimmen. Wenn die Bewohner da selber einfach anfangen ihr Netzwerk mit Swich oder WLAN AP's zu erweitern gibt's wider haufenweise neue Probleme.

Oder verstehe ich da was falsch.

[Gaston]

Oder verstehe ich da was falsch.

So isses . Aber die aufgeworfenen Fragen sind durchaus berechtigt.

Kurze Frage an der Stelle. Wenn ihr jetzt eifach ein B-Klassen Netzwerk mit der Subnetzmaske 255.255.0.0 einrichtet, können aber alle Geräte untereinander frei kommunizieren. Da es ja keine Firewall oder sonstige Filter gibt, die die einzelnen Wohnungen von einander trennen ist es doch theoretisch kein Problem z.B. einfach die Internetleitung des "Nachbarn" anzuzapfen. Ich weiss nicht ob mir das recht wäre.

Das VLAN ist die "Firewall". Bei VLANs gibt es für den Switch "ingress" und "egress" Pakte. Erstere sind solche die von aussen in den Switch kommen, "egress" die die den Switch verlassen.

In der Konfiguration hier arbeiten wir mit "untagged" Paketen also nur lokal auf dme Switch. Wenn ein Paket in einem Port ankommt leitet der Switch diesen an alle Ports weiter die im gleichen VLAN sind wie der eingehene Port.

Da zwei Wohnung nicht im zusammen in einem VLAN sind geht auch kein Paket vn einer Wohnung zu anderen.

Auf TCP/IP Layer wäre es somit theoretisch möglich dass alle Geräte miteinander Kommunizieren, aber die netze sind durch die VLANs getrennt.

Das Problem ist auch, dass dan jeder "Zugangspunkt" so eingerichtet werden muss, dass die VLAN's stimmen. Wenn die Bewohner da selber einfach anfangen ihr Netzwerk mit Swich oder WLAN AP's zu erweitern gibt's wider haufenweise neue Probleme.

Nein, die einzelnen Teilnehmer haben in dieser Konfiguration keine Kenntniss über die VLANs (untagged).

Gruss,
Gaston

[swiss]

Ach soo. Danke für die Erklärung. Dann baraust du also nur einen VLAN fähigen Switch im Keller der die einzelnen VLAN'S trennt und dazwischen Vermitteln kann (für den HS) interessant. Das werde ich bei Gelegenheit auch mal mit meinem OpenWRT einrichten.

[xcalibur]

Ach soo. Danke für die Erklärung. Dann baraust du also nur einen VLAN fähigen Switch im Keller der die einzelnen VLAN'S trennt und dazwischen Vermitteln kann (für den HS) interessant. Das werde ich bei Gelegenheit auch mal mit meinem OpenWRT einrichten.

Ja, genau... um die Lösung richtig sauber zu machen, d.h. die Wohnungen in verschiedene Subnetze zu unterteilen, wäre dann neben dem Switch auch ein Router notwendig.
Hierzu würde ich dann einen kleinen Rechner aufsetzen, der als Fileserver dienen kann und gleichzeitig auch das Routing übernimmt.

Mir ist die letzten Tage nochmal eine Lösung eingefallen, die den Konfigurationsaufwand deutlich reduziert.
Nur das LAN der Wohnung 1 wird physikalisch mit dem "Bus-LAN" verbunden, hierüber bekommt der HS dann Internet-Zugang.
Die LANs der Wohnungen 2 und 3 sind physikalisch völlig unabhängig vom "Bus-LAN", d.h. die IP-Router sind nicht mit dem "normalen" LAN verbunden.
Der Zugriff auf den HS läuft in den Wohnungen 2 und 3 dann über Internet.

Würde gerne eure Meinungen dazu hören...

Grüße
Christian

[Gaston]

Der Zugriff auf den HS läuft in den Wohnungen 2 und 3 dann über Internet.

Würde gerne eure Meinungen dazu hören...

Im Eingangspost hats Du geschrieben dass eins der anvisierten Zoile ist dass die Wohnungen Ihren Bus programieren können. Auch wenn dies per iETS über den HS gehen würde, so würde Ich es doch vermeiden wollen diese Funktion über Internet anzubieten.

Gruss,
Gaston

[xcalibur]

Das war dann ein missverständnis, nicht jede wohnung muss ihren bus programmieren können.
Für mich ists ausreichend, wenn alle linien von einer wohnung aus programmiert werden können.
Das würde ja über dir lan-anbindung funktionieren.

Programmieren über inet ist keine gute idee, da stimm ich zu.
Daher möcht ich derzeit nur die visu so aufrufen... Für den zweck taugt das doch, oder?

Gesendet von meinem GT-I9100 mit Tapatalk

[Gaston]

Daher möcht ich derzeit nur die visu so aufrufen... Für den zweck taugt das doch, oder?

Klar. Visu auf Internet um von Unterwegs drauf zugreifen zu können möcht eman eh meistens haben. Somit nur ein weiterer logischer Schritt. Und solange es nur um die Visu geht m.E. besser als die VLAN Lösung da es keine sich einschleichende Konfigurationsfehler geben kann die Netzzugriff zwischen den Wohnungen zuliessen.

Gruss,
Gaston