Der LEDE / OpenWRT-Router dupliziert ICMP- und ARP-Antworten für jedes VLAN

Ich habe ein Problem mit einem verwalteten Switch AT-GS950 / 24 von Allied Telesys. Ich habe mehrere VLANs konfiguriert und meldet seine Verwaltungs-IP über ARP für alle VLANs, was zu doppelten Pings führt, da eine Firewall, deren Pings durchlaufen, wenn sie von einem anderen VLAN kommt, die Antwort des Switch nach ihrem VLAN zu duplizieren scheint Konfig.

Im Detail: Ich habe diesen speziellen Switch (nennen wir ihn jetzt AT) und einen Router mit LEDE, der als Firewall zwischen den VLANs fungiert (nennen wir ihn jetzt LEDE). Das AT und das LEDE sind mit einem VLAN-Trunk verbunden. Hierbei handelt es sich im Wesentlichen um eine Verbindung mit jedem VLAN, das mit Tag versehen ist.

Ich habe auch einen zweiten Switch (nennen wir ihn jetzt SW), der auch mit einem Trunk-Anschluss an AT angeschlossen ist.

Jedes VLAN hat eine eigene / 24-Subnetzmaske. Alle VLAN-Verbindungen durchlaufen die LEDE und ihre Firewall, wobei der Datenverkehr derzeit auf Allow Any (Allow Any) gesetzt ist. Das AT hat VLAN 1 als Verwaltungs-VLAN und eine Verwaltungs-IP aus dem Subnetz von VLAN 1 festgelegt.

Das Phänomen, das ich jetzt erlebe, ist: Ein Computer, der sich in VLAN 1 befindet, kann das AT anpingen und erhält dafür eine Antwort. Ein Computer, der sich in einem anderen VLAN befindet, kann auch das AT anpingen, erlebt jedoch mehrere Antworten, die durch eine Verdoppelung innerhalb des LEDE-Routers verursacht werden.

Ich habe folgende Fakten zusammengetragen:

• Das AT sendet genau eine Antwort
• Die LEDE dupliziert die Antwort, so dass sie für jedes VLAN eine Antwort hat, die dann an VLAN 1 und den Ping-Computer gesendet wird
• LEDE-Ping-AT ohne explizite Schnittstellengruppe führt ebenfalls zu doppelten Antworten
• LEDE-Ping-AT mit Schnittstelle, die explizit auf eth0.1 eingestellt ist, führt zu genau einer Antwort
• Der andere Switch, SW, verursacht keine Duplikate, sondern nur eine Antwort pro Anforderung, unabhängig davon, welcher Client den Ping verursacht
• ARP-Requests von LEDE werden vom AT korrekt beantwortet, aber diese Antworten werden auch auf alle anderen VLANs übertragen. Es scheint, dass das LEDE auf eine MAC-Adresse antwortet, die in keinem der VLANs vorhanden ist.
• Dies ist nur für den AT-Switch der Fall, der der erste Sprung in meiner VLAN-Trunk / Ethernet-Kaskade ist.
• Das Netzwerk funktioniert gut neben diesen Phänomenen. Der Switch wechselt richtig, die LEDE stellt eine Firewall korrekt her, alles ist in Ordnung, abgesehen davon, dass ich mich ziemlich verwirrt habe, und einen roten Check in meiner Icinga-Instanz, die sich nicht in VLAN 1 befindet, und daher auch doppelte Antworten in der Ping-Überprüfung erhalten.

Ich bin sicher, dass ich die VLANs in der LEDE korrekt eingerichtet habe, laut den OpenWRT- und LEDE-Wikis, aber ich bin glücklich, dass ich mich als falsch erwiesen habe.

Wenn Sie zusätzliche Informationen benötigen, fragen Sie bitte nach.