Suche Switch mit Port-basierter IP Zuweisung (oder ähnliches)

Theoretisch hätte ich gesagt Port Based VLAN zu nutzen, aber ich glaube dann müssen die Clienten trotzdem noch manuell ihre IP zugewiesen bekommen, oder?

Ansonsten könnte es damit klappen. Dann wäre nur weiterhin wichtig eine DHCP Lease Time von ein paar Sekunden nicht zu überschreiten und dürfte die Geräte niemals in einer anderen Reihenfolge anschließen, da die Reihenfolge dann die Vergabe der IP-Adresse widerspiegeln würde.

Da ich aber keinen managebaren Switch hab kann ich es leider nicht testen.

Ganz ehrlich? Jedes zu prüfende Gerät vorab mit MAC Adresse Dokumentieren - somit hast du auf Dauer immer weniger Arbeit. Anhand dessen weißt du immer welches Gerät welche IP Gerade bekommen hat.
Die Einzige Möglichkeit über die IP Adresse zu wissen an welchem Port das Gerät hängt ginge nur mittels VLANs und selbst dann gibt es durchaus noch Probleme.
Der DHCP Verteilt nunmal anhand der MAC Adresse. Da wird dir so eine kurze Leasetime nichts bringen. Sobald ein Gerät auch nur etwas zu früh angeschlossen wird, in einer anderen Reihenfolge abgeklemmt oder schlicht einfach etwas träger ist, ist das System kapputt.

Über VLAN Könntest du es Regeln - brauchst aber einen Routing Fähigen Switch bzw gleich ne Firewall / Firewall VM auf dem PrüfPC, der das Routing übernimmt. Somit kannst du ja jedem Port ein eigenes VLAN geben, aber irgendwer muss das Routing vornehmen. Und immer die gleiche End-IP Kann je nach Anwendungsfall auch nicht funktionieren. eine zu kurze Leasetime hat auch negative Folgen.

Ich habe solche Aufgaben auch immer wieder und gehe Simpel den MAC Adressen Weg. Geringster Aufwand und sauberste Möglichkeit ohne Störeinflüsse usw. Und der 'Aufwand' die IP nachzusehen ist verschwindend gering, dafür wird gleich alles anständig dokumentiert.
Noch einfach mit Unifi Switche da ich ja direkt seh welches Gerät wo angeschlossen ist

Zitat von noob_at_pc

Ich habe solche Aufgaben auch immer wieder und gehe Simpel den MAC Adressen Weg. Geringster Aufwand und sauberste Möglichkeit ohne Störeinflüsse usw.

So wie ich ihn verstehe besteht aber das Problem darin, dass es niemals wiederkehrende MAC-Adressen geben wird.
Zudem glaube ich verstanden zu haben, dass er weder IP, noch MAC aus den zu prüfenden Geräten ausgelesen werden können.

ja klar, wiederkehrende MAC Adresse wäre ja auch komisch geht eher drum die Gerät eindeutig zu identifizieren im Netz und sauber zu dokumentieren. Ich schau mir die MAC an und sehe dann im DHCP welche MAC welche IP bekommen hat. Aber so ein Gerät ohne MAC Adressen aufkleben? Ja gut, das kann es geben.
Die Info kann dir aber der Switch geben - MAC Adresstabelle gibt's immer bei einem managed Switch

Aber ohne das sind früher oder später Probleme da und die versuche ich einfach so weit wie möglich zu vermeiden.
Selbst wenn er pro Port ein VLAN mit einem DHCP von 1 IP Adresse und Leasetime von ca. dem gesamten Vorgang gibt wie 10 Minuten - irgendwann wird ein Gerät auch nur eine milisekunde zu früh angeschlossen und bäm der DHCP ist voll Gerät bekommt keine IP. Nur eines der möglichen Probleme dabei. Alternativproblem - der Vorgang benötigt 3 Sekunden länger als die Leasetime und wenn das Endgerät dumm ist will es sich über DHCP eine neue IP Holen, hängt kurz und das während der Datenübertragung im Flashvorgang -> du hast Elektroschrott... Nur 2 von den bereits erfahrenen möglichen Problemen, wir können das gerne ausweiten
Daher der einzig eindeutige Weg (für mich) mit möglichst wenig Störmöglichkeiten ist über die MAC Adresse, dann kann kein Fehler auftreten und ist die sauberste Art und Weise.

Aber sicher nicht die einzige Lösung

sicher, dass man das automatisieren kann.

ich hätte für den Vorgang genommen:

• Firewall der Wahl, kann auch als VM sein
• managed Switch der per skript / API o.Ä. ansprechbar ist

Pro Port 1 VLAN definieren
DHCP leasezeit z.B. 1h reicht denke? je nach Vorgangsdauer mit außreichend nachlaufzeit einfach und mit gut und gerne 10-100 Adressen. Je nach Umfang halt
DHCP macht die Firewall - über script kann man viele Firewalls ansprechen und die gewünschten Daten auslesen.

ist halt Bastel, Skriptbauarbeit - je nach Aufwand / Menge lohnt sich das natürlich. Immer auslesen welche ist die neuste vergeben IP mit Zeitstempel damit man nochmal gegen prüfen kann ob es sich wirklich um das Gerät handeln kann oder es sich vlt noch garkeine IP gezogen hat Irgendetwas benötigt man halt um sicher zu gehen, dass das Gerät auch wirklich das ist was ich will.
Zum perfektionieren kann man per Skript noch die MAC Adresse aus Switch sowie FW holen und vergleichen vom Zeitstempel her.

Und die FW regelt dann auch zeitgleich den Verkehr über LTE Modem und das Routing zw. PrüfPC und VLANs der Geräte

Ist immer ein USB/Ethernet Adapter dazwischen?
Wenn ja, müsste dann die erscheinende MAC Adresse nicht immer 1:1 die gleiche sein?

Dann einfach den Adapter einem Port zuweisen, MAC Adresse einer IP zuweisen und das Thema wäre erledigt...oder denke ich nun zu einfach?

Das sollte sich lösen lassen mit einer Firewall (z.B. OPNsense) und einem VLAN-fähigen Switch.

Man erstellt 11 Subnetze mit jeweils unterschiedlichem Subnetzbereich in jeweils einem eigenen VLAN.
10 Subnetze haben einen eigenen DHCP-Server mit extrem niedriger Lease-Time und nur einer einzigen Adresse im Adressraum.
Für diese 10 Subnetze werden dann entsprechende Firewall-Regeln angelegt die einen Internetzugriff ermöglichen.
Das 11. Subnetz ist das Steuerungs-Netz. In dem sitzt der Steuerungs-PC.
Über entsprechende Routing-Regeln hat der PC Zugriff auf jedes VLAN und dort jeweils auf die eine IP die der DHCP-Server den zu flashenden Geräten vergibt.

Auf deiner Grafik würde die Firewall dann zwischen LTE-Router und Switch hängen.

Zitat von AcidRain

Das was du als Steuerungs-PC bezeichnest, wäre dann der Prüf-PC?

Ja genau den meinte ich.

Zitat von AcidRain

Könnte man die Firewall dann auch z.B. in einer VM auf dem Prüf-PC laufen lassen?

Ja, das geht auch. Hab OPNsense selbst in einer VM laufen hier.

Musst nur gut aufpassen dass die Netzwerkkarten dann den richtigen Schnittstellen zugewiesen sind.

Zitat von AcidRain

Und der DHCP Server, bzw. die (sind ja mehrere, wenn ich es richtig verstanden habe), würden dann auch auf dem Prüf-PC (oder ein oder mehrere extra Geräte) laufen?

Die DHCP-Server sind einfach ein Dienst der auf der OPNsense läuft und die du für jedes Subnetz/VLAN einzeln konfigurieren kannst.

in der Praxis hättest du dann z.B. die Subnetze 172.16.101.1/30 bis 172.16.110.1/30 für die zu flashenden Geräte.
Die xxx.xxx.xxx.1 ist jeweils das Gateway und zugleich die Schnittstellenadresse auf der OPNsense. Der DHCP-Server im jeweiligen Subnetz vergibt jeweils die xxx.xxx.xxx.2

Am Switch ist dann Port 1 VLAN101 zugewiesen und das angeschlossene Gerät erhält immer die 172.16.101.2. Bei Port 2 im VLAN102 immer die 172.16.102.2. usw.
Am letzten Port hängt der Prüf-PC in seinem eigenen VLAN.

Das Problem mit den VLANs ist aber, dass du dann auch routen musst und je nach dem was auf den Geräten läuft, kann das problematisch werden (Broadcast, Multicast, mDNS, etc.).

Ist denn schon Hardware vorhanden? Mit Cisco Switches lässt sich das umsetzen, dort heißt das Ganze "DHCP Server Port-Based Address Allocation". Geht soweit ich weiß aber nur mit den IOS Switches also nicht mit den günstigeren.

Zitat von kingbuzzzo

Das Problem mit den VLANs ist aber, dass du dann auch routen musst und je nach dem was auf den Geräten läuft, kann das problematisch werden (Broadcast, Multicast, mDNS, etc.).

Das lässt sich bei Bedarf mit OPNsense ebenfalls regeln.
Entweder durch entsprechende Firewall-Regeln, Port-Forwarding, oder Plugins wie dem mDNS-Repeater oder ubpbroadcastrelay.

Zitat von AcidRain

ein günstiger tp Link switch (Managed, glaube sg1016de) von nem Kollegen

Mit dem sollte das Vorhaben so wie beschrieben funktionieren. Außer VLAN-Fähigkeit (802.1q) werden da keine besonderen Funktionen benötigt.

Zitat von psychofaktory

Entweder durch entsprechende Firewall-Regeln, Port-Forwarding, oder Plugins wie dem mDNS-Repeater oder ubpbroadcastrelay.

Klar geht das alles, muss aber auch alles konfiguriert werden etc., also braucht es jemanden der Ahnung davon hat.

Zitat von kingbuzzzo

Klar geht das alles, muss aber auch alles konfiguriert werden etc., also braucht es jemanden der Ahnung davon hat.

Da gebe ich dir recht. Allerdings trifft das wohl auf alle möglichen Lösungsansätze zu. Bei einer Aufgabenstellung wie dieser ist nun mal naturgemäß ein etwas komplexerer Weg sowie etwas Know-How erforderlich.
Die DHCP Server Port-Based Address Allocation ist sicher auch eine elegante Lösung. Setzt aber auch entsprechende Hardware sowie die Kenntnis davon diese zu bedienen voraus.

Vorteil bei der OPNsense-Variante wäre halt dass es ohne zusätzliche Hardware oder Lizenzkosten auskäme, und gleichzeitig die Anforderung wer in welchem Umfang Zugriff aufs Internet hat und wer nicht mit abdecken würde.
Aber gibt natürlich auch andere Wege das umzusetzen. Bzw. falls kein Know-How vorhanden ist oder keine Bereitschaft oder Zeit sich das anzueignen lässt sich das Prinzip sicher auch mit anderen Firewall-Lösungen umsetzen.