@R1D2 Hallo,

schon merkwürdig, wie ich manchmal unzulässig vereinfache und dann wiederum zu kompliziert bin.

Deine skizzierte Lösung scheint die korrekze zu sein - das probiere ich nachher direkt mal aus.

Das abgesicherte NAS soll ein Katastrophen-Cloud-Backup für meine Schwägerin (Arztpraxis) sein neben den dortigen regelmäßigen Backups. Ich möchte dies gerne bei mir einsperren,  so dass aus der normalen untrusted DMZ kein Zugriff möglich ist. Aus Sicht DMZ ist das Ding off-limits. Ich möchte aber auch, dass ein eventueller Hack dort sich erst mal totläuft, also kein Zugriff auf weitere lokale Ressourcen ohne weiteres möglich ist. Eierlegende Wollmilchsau halt... 🙄 Paranoid ich bin, wie Yoda sagen würde.

Rhein-Neckar ist nicht gerade Fahrradentfernung, aber aus Aachen auch nicht ewig weit. Welches Kaff genau?

@R1D2 So, vermelde zumindest den 80%-Erfolg - nach gefühltem 143-maligem Reset-auf-Werkseinstellung des ER.

Danke für Deine Unterstützung. Sonst hätte ich wohl nochb tagelang an der falschen Stelle geschraubt ;-).

Also:

1) Frirtz ist am ISP mkit internem LAN x.x.2.0/24

2) T2600 hat eine Portgruppe als VLAN2 ohne VIF mit Kabel auf LAN1 der Fritz als Extension, darin liegen die Dosen der Kinder am Patchfeld auf - alles untrusted.

3) Der ER ist als WAN+2LAN konfiguriert mit aktivierten NAT zur Fritz (eth0, DHCP fixed, x.x.2.10) und internem Natz (switch0, eth1-4, x.x.1.0, DHCP off - das kommt dann vom T2600). Zufällig fällt das ER-interne Netz mit dem Admin-VLAN1 (x.x.1.0, VIF x.x.1.254) des T2600 zusammen ;-) Kabel von eth1 zu untagged Port im VLAN1.

Bis hierher: Fritz ist DMZ und spricht weder mit der Oberfläche vom ER (NAT blockiert) noch mit dem Netz dahinter - gut. Aus dem x.x.1.0-Netz dahinter, sowohl direkt auf eth1-4 oder auch auf einem VLAN1-Port des T2600 spreche ich mit allen, inc. WWW und Fritz - gut.

Jetzt kommt die 80%-Lösung: Routing im T2600

4) VLAN10 auf dem T2600 (VIF x.x.10.254, mit DHCP-Pool, Standard-Gateway x.x.1.1 da hinter dem ER) klappt, allerdings muß ich eine globale default-Route 0.0.0.0 auf x.x.1.1 als statische Route einrichten, weil sonst die NAS-Systeme irgendwie einige Dienste nicht nutzten können, obwohl WWW aus dem Browser per PC problemlos klappt. Staun...

5) Das VLAN10 iat als Router-on-a-stick unter paraleller Nutzung des Ports zum ER untagged konfiguriert, so dass ich auf dem ER eine statische Rückwärtsroute zu x.x.10.0 über x.x.1.254 einrichten muss.

aber: VLAN10 ist nicht vom VLAN2 sichtbar - gut. Umgekehrt schon - auch gut ;-)

VLAN-aware habe ich nicht ans laufen bekommen... ich wünschte mir schon, die VLANx (ausser VLAN2) auf dem ER getagged ohne Routenzaubereien aufzulegen.

@R1D2 Danke für die Links. DIe hatte ich schon zum Teil angefangen, durchzustöbern: if all else fails, RTFM ;-)

Was mir zum Einstieg fehlte ist einen Gegenüberstellung der Vor- und Nachteile meiner jetzigen eher einfachen Router-on-a-stick-Lösung mit manuellen Routen (tuts ja) und den sophisticated VLAN-tags oder anderen Lösungen. Irgendeine Art "VLAN Routing for Dummies 101" - ansonsten stelle ich mir wieder magische Dinge vor, die dann doch zu Fuß gemacht werden müssen (siehe default route).

Letztlich waren meine Probleme beim jetzigen Setup weniger das, was im ER passiert, sondern ich hatte mich dämlich im T2600-VLAN10 selbst eingesperrt <augenroll>. Muss man aber erst mal finden...

Du schreibst: Die Default-Route (0.0.0.0) zum ER auf dem T2600G muss freilich vorhanden sein, wenn der Uplink zum ER untagged und somit nur in einem VLAN Member ist, wie sollte der Switch sonst wissen, wohin er external traffic vom NAS weiterleiten soll?

Äähm, ich habe den Uplink im VLAN10 und VLAN1 untagged als Member - so meinte ich den Router-on-a-stick verstanden zu haben. Ich entnehme dem obigen Satz aber: Njet. Wenn nur VLAN1 den Uplink enthält, reicht dann eine einfache Route von 10.0 auf das VIF1?

Schade wegen Ffm...

@Mike63 Stimmt, Route reicht

@Mike63 Nochmal Danke für die geduldige Hilfe.

Ich fasse mal zusammen, was ich glaube, gelernt zu haben.

In meinem primitiven Umfeld habe ich mit den statischen Route und max. 3 VLANs eine funktionierende Lösung gefunden. Das kann hier auch so bleiben, bis ggf. auf die Tatsache, dass ich leichtfertig das Admin-VLAN des T2600 produktiv für die Verbindung zum ER nutze statt ein hiervon abgesetztes weiteres VLAN.

VLANs segmentieren einen physikalischen Switch in mehrere virtuelle. Ein VIF ist der Softwareersatz für einen patchbaren Port zwischen zwei physikalischen Switchen. Wie der Traffic läuft, muss in jedem Fall definiert werden. Ein getagter Port ist hier kein Abkürzung in dem Sinn,  dass die darauf laufenden Broadcast Domains automatisch miteinander kommunizieren können, sondern nur ein Sparprogramm für ansonsten mehrere zu patchende, d.h. auch mehrere Ports auf jedem physikalischen Switch benötigende, Verbindungen zwischen den Broadcast Domains..

Super für große Netzwerke, für mein Mickymaus (ausser aus Spass- und Lerngründen) aber weitgehend überflüssig.  Ob ich jetzt Routen zwischen Subnetzen oder VIFs festlege, bleibt aufwandsmässig weitgehend gleich.

@R1D2 Danke dafür. Eigentlich wollte ich genau das aussagen. Anfangs hatte ich vermutet, das die VIFs bzw die getaggten Ports schon eine default Route zwischen den beteiligten Netzen mitbringen. Aber letztlich werden nur physikalische Kabel und Portschnittstellen eingespart. Die Routen muss ich im physikalischen und virtuellen Fall völlig analog einrichten. 

Meine jetzige Lösung bleibt also, weil sie tut, was ich will.

Möglicherweise richte ich lediglich statt des x.x.1.x-Netzes zwischen ER und T2600 noch ein anders ein, dass nicht mit dem default-Admin-VLAN1 des TP zusammenfällt.

Danach wird es noch mal spannend, wenn ich das Backup-NAS hinter den ER verlege, weil ich dann doppeltes Portforwarding einrichten muss... 🤪 Viel Raum für Fehler, insbesonder weil der zu sichernde PC weit weg von mir nur remote gewartet werden kann.

Aber was tut man nicht alles, wenn man sonst Langeweile hat 😉