Guest User!

You are not Sophos Staff.

This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

UTM unreachable upon switch VLAN activation

Setup:

  • UTM Home 9.3 on Intel D2500CC MB (2 NICs)
  • Switch: Netgear GS108T (v2). UTM connected to port 8.
  • Couple of wireless access points


My goal is to use one of the wireless access points for guest wireless. The network is currently 'flat' (no VLANs etc).

I figured I could create a couple of VLANs on the switch and worry about the UTM later. However, I'm running into a few issues:

[LIST=1]
  • When I tag packets on port 8 the UTM becomes unreachable (any VLAN).
  • Only traffic on the default VLAN seems to be able to connect to the UTM. 
[/LIST]

So far I have tried:

(PC on port 1, WAP on port 7)

[FONT="Courier New"]
Single VLAN:

------------------------------
1)
VLAN 1
1 2 3 4 5 6 7 8
U U U U U U U U
(able  to connect to UTM on any port (1-7))
------------------------------
2)
VLAN 1
1 2 3 4 5 6 7 8
T T T T T T T U
(able  to connect to UTM on any port (1-7))
------------------------------
3)
VLAN 1
1 2 3 4 5 6 7 8
U U U U U U U T
(unable  to connect to UTM on any port (1-7))
------------------------------
4)
VLAN 1
1 2 3 4 5 6 7 8
T T T T T T T T
(unable  to connect to UTM on any port (1-7))
------------------------------

Multiple VLANs (1, 200)

------------------------------
5)
VLAN 1
1 2 3 4 5 6 7 8
U - - - - - - U
(able  to connect to UTM)

VLAN 200
1 2 3 4 5 6 7 8
- - - - - - U U
(unable  to connect to UTM)
------------------------------
6)
VLAN 1
1 2 3 4 5 6 7 8
T - - - - - - U
(able  to connect to UTM)

VLAN 200
1 2 3 4 5 6 7 8
- - - - - - T U
(unable  to connect to UTM)
------------------------------
7)
VLAN 1
1 2 3 4 5 6 7 8
T - - - - - - T
(unable  to connect to UTM)

VLAN 200
1 2 3 4 5 6 7 8
- - - - - - T T
(unable  to connect to UTM)
------------------------------
8)
VLAN 1
1 2 3 4 5 6 7 8
U - - - - - - T
(unable  to connect to UTM)

VLAN 200
1 2 3 4 5 6 7 8
- - - - - - U T
(unable  to connect to UTM)
------------------------------
[/FONT]

What I am missing?


This thread was automatically locked due to age.
  • Hi Arie,

    I'm assuming that in your diagrams (nice work btw) that U = Untagged (no VLAN tags), and that T = Tagged (VLAN tags sent and expected by the switch). When you turn on tagged packets, have you made a corresponding change to your interface definition on the UTM? Perhaps you could post a couple of screenshots of your interfaces page so we can see how it's set up?

    I haven't played with that model of switch before so I don't know what it will do with untagged packets appearing on a trunk port. It should put them in a native VLAN (normally VLAN 1) but it's possible the switch is either expecting everything to be tagged, or for you to explicitly configure a native vlan.
  • Yes - U denotes untagged and T tagged ports.

    I have not (yet) made any changes to the UTM. However, I didn't think that it would have problems with tagged packets. Apparently it does, though.

    Since I only have two NICs on the UTM it's a bit awkward to configure VLANs on the same NIC I'm using to manage the box. I read somewhere that version 9.3 might allow VLAN and non-VLAN instances on the same NIC, but I can't find any documentation on that beyond some vaguely worded statement in the announcement of 9.3.

    I figured that for the interim I could simply configure VLANs on the switch (option 5 in my post), but for some reason VLAN 200 isn't connecting to the UTM. Not sure whether traffic on that VLAN is even leaving the switch, though.
  • VLAN 1 is reserved in the UTM - is that your issue?  Exact version of UTM - 9.305?

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • That's good to know about VLAN 1 - I'll avoid using that.

    However, even if the UTM can't accept traffic from VLAN 1 shouldn't it still accept traffic from VLAN 200?

    Will the UTM always refuse packets with VLAN tags if there's no interface specifically configured for VLANs (type: Ethernet VLAN))?

    By the way, I'm running version 9.305-4.
  • "Will the UTM always refuse packets with VLAN tags if there's no interface specifically configured for VLANs" - correct - a basic Ethernet rule.  With 9.3xx, you should be able to add a VLAN 200 interface to the same NIC as your Internal interface.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • That's good to know. Sounds like it's time for me to take a formal networking class...
    Over the years I've migrated from development to app hosting and until now I've been mostly living in L7/L6.
  • Regarding adding VLAN interfaces in 9.3.x, does that mean that I can leave the regular interface in place?
  • "...does that mean that I can leave the regular interface in place?"  That's my understanding.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • It's all working now - thank you all for your help!
Share Feedback
×

Submitted a Tech Support Case lately from the Support Portal?