Ein Router / mehrere Netzwerke

es hat sich schon immer bewährt, die gewerke ton und licht möglichst zu trennen

"im kleinen rahmen" habe ich in meinem netzwerk alles was ich benötige zusammengefasst.

pultsystem, controller, computer und Dante-einheiten haben immer feste IPs.

wenn ein musiker per WLAN auf seinen monitorweg zugreifen möchte, dann bekommt er von mir eine eigene SSID, die über V-LAN vom rest getrennt läuft.

das eigene tablet zur voreinstellung der monitorwege läuft natürlich in meinem "normalen netz".

dann habe ich noch eine kamera auf der bühne, die mir die zustände der funkempfänger zeigt. es gibt zwar auch funkempfänger mit netzwerkanschluss, die waren mir aber zu teuer. eine kamera gibt mir die selbe info für weit weniger geld

wenn es etwas größer wird, dann habe ich auf der bühne ein zusätzliches laptop - damit kann ich per "Direcor" software auf die pulteinstellungen zugreifen oder die controller vor ort bedienen, oder z.b. unbekannte monitore relativ fix einmessen.

ich muss dazu sagen, dass über mein "CAT6 audio-multicore" immer eine zusätzliche netzwerkverbindung getunnelt wird (A&H dLive). ich muss also nicht extra ein netzwerk zur bühne legen, das ist schon im pultsystem vorgesehen. das macht es natürlich etwas komfortabler.

sowohl am FOH pult als auch am mixrack auf der bühne habe ich eigene switche, die ich auch konfigurieren und überwachen kann. letzteres ist zwar nicht zwingend nötig, aber ich bin da einfach ein bisschen zu viel techniker...

am pult ist sowohl ein kleiner PC als auch ein MacMini verbaut. und wenn ich einzelspuraufnahmen mache, kommt ein weiterer recher dazu (wenn die aufnahme wichtig ist und redundant sein muss, ein zweiter rechner per Dante).

ich habe also bis zu fünf rechner am start, bei ganz kleinen sachen nur zwei.

das licht steuert die band selber auf der bühne, oder es ist ein lichtmann mit eigener anlage am start. in ganz seltenen fällen (das hatte ich schon lange nicht mehr) steuere ich ein paar lampen mit einem laptop per RDP. diese verbindung läuft dann natürlich auch über mein netzwerk.

bei Bodo Felusch habe ich viel gelernt über redunante netzwerkverkabelung. für meine zwecke tut es aber eine einfache verkabelung. das einzige was ich redundant verkabele, sind meine bühnen stageboxen und die Dante geräte, die das zulassen. ach ja, der switch im Mixrack ist ebenfalls redundant mit der dLive verbunden.

mir genügt also pro laptop eine netzwerkverbindung.

wora Wie hältst du denn das Musiker-Vlan von deinem „normalen“ Netz, in dem wie ich das lese auch deine eigene Remote läuft, getrennt?

Normalerweise macht man das mit einem Router, der IP-Filterung beherrscht. Der klassische Ansatz ist hierbei die IP- und portbasierte Filterung. Technisch gesehen hat man dann 2 Interfaces am Router, die die verschiedenen VLANs bedienen. Das kann auch physisch auf einem Kabel laufen, wenn Switch und Router virtuelle Interfaces mit VLAN-Tags beherrschen. Jedes Datenpaket auf dieser Verbindung bekommt dann noch einen VLAN-Identifier vorangestellt, der angibt, für welches VLAN das Paket ist.

Der Datenfluss zwischen beiden Netzen geht dann nur über den Router. Dieser kennt alle angeschlossenen Netze und weiß, wohin er die Datenpakete weiterleiten muss.

An dieser Stelle kann man nun filtern und z. B. festlegen, dass Geräte aus dem Musiker-VLAN nur mit dem Mischpult, aber nicht mit allen anderen Geräten im anderen VLAN kommunizieren dürfen.

ich habe für die musiker ein eigenes WLAN angelegt.

dieses WLAN kommuniziert nur mit dem musiker-VLAN.

und dieses musiker-VLAN kommt wiederum nur aus einem netzwerkport meines switches, der dann mit einem port des mixracks verbunden ist.

dazu benutze ich mangaged-switche von Ubiquiti (US16 und US8).

ich habe allerdings tatsächlich noch nicht getestet, ob man über dieses WLAN nicht doch irgendwie an die anderen strukturen gelangen kann. muss ich mal nachholen.

Das hängt davon ab, ob am Mixrack tatsächlich mehrere Interfaces verbaut sind, oder ob da ein Switch drin ist. Wenn du auf allen Netzwerkports mit der gleichen IP Zugriff hast, ist wahrscheinlich Letzteres der Fall und du hast eigentlich nur ein großes Netzwerk mit Zugriff auf alles.

das mixrack und die surface haben jeweils zwei RJ45 ports. wenn ich mich recht erinnere, dann sind da switche eingebaut.

wenn dadurch die VLANS ausgehebelt werden, dann bringt das natürlich nix. dann muss ich mir was anderes einfallen lassen.

andererseits würde ich von einem musiker jetzt auch nicht erwarten, dass er versucht das netzwerk zu hacken. schliesslich ist er ja sicher dran interessiert, dass die show ohne probleme läuft.

na ja, einen versuch war´s wert.

Wenn du dir den Switch im Mixrack gedanklich durch ein Patchkabel ersetzt, wird sehr deutlich, dass du beide Netzwerke darüber miteinander verbunden hast.

VLANs machen ja vereinfacht gesagt nix anderes, als aus einem größeren Switch mehrere kleinere. Wenn man diese jetzt wieder über Patchkabel verbindet (direkt oder indirekt), hat man natürlich ein großes Netzwerk statt mehrerer kleiner.

Wenn ich mich aber richtig erinnere, hast du doch auch das Security Gateway von Ubiquiti, oder? Damit müsste die von dir gewünschte Trennung eigentlich umsetzbar sein.

ja, ich habe das security gateway im einsatz. damit bleibt aber der flaschenhals am mixrack trotzdem erhalten, oder?

Ich war jetzt lange nicht mehr im Unify-Controller zugange: vllt gibt es in den switches die Möglichkeit 2 Vlan auf einen Anschluss zu routen.

Ich habe z.B. ein paar kleine Switches (von Netgear glaube ich), in denen man einfach einstellen kann, welche Anschlüsse miteinander kommunizieren dürfen.

Zitat von wora

ja, ich habe das security gateway im einsatz. damit bleibt aber der flaschenhals am mixrack trotzdem erhalten, oder?

Kommt drauf an, wo das USG sitzt. Wenn's am FOH steht, müsste man entweder das Mucker-WLAN vom FOH aus funken oder dieses als separates (V)LAN zur Bühne bringen. Ich weiß nicht, ob das im Netzwerktunnel der dLive geht - ich würde vermuten, dass dieser selbst schon ein VLAN ist.

Wenn das USG an der Bühne steht, sollte das weniger ein Problem sein. Mit den Ubiquiti-Sachen geht da ziemlich viel, aber das würde jetzt zu weit führen, das allgemein auf dem Handy zu tippen.

Ich kann da gerne Hilfestellung geben, wenn du Mal das Setup beschreibst.

Servus miteinander,

also ich bin jetzt auch kein Netzwerk-Überflieger im Sinne von "gelernt", aber muss mich beruflich doch täglich damit beschäftigen.

Die Sache mit dem "Musiker VLAN" finde ich ganz sympatisch. In diesem VLAN könnte z.B. ein DHCP Server werkeln um die Adressen an die Personal Devices der Mukker zu vergeben. Außerdem könnte man dann mittels Routing z.B. den Zugriff auf das Mischpult gewähren, aber Zugriffe auf den Recording Rechner, das Lichtstellpult etc. unterbinden; das erspart den Geräten ein wenig Stress auf dem Netzwerkinterface, falls irgendwelche Automatisierungen wie z.B. UPnP oder Bonjour ihr Unwesen treiben.

Es stimmt schon, wenn "untagged" Ports in irgendeiner Weise miteinander verbunden werden (z.B. über einen falsch konfigurierten, bzw. nicht konfigurierbaren Switch), dann ist das für die Katz.

Zwischen die VLANs gehört also immer ein Router. In diesem Router steckt dann auch die Firewall. Und so bekommt man die Netzwerke sauber voneinander getrennt. Über die Regeln im Router und in der Firewall kann man jetzt ganz gezielt Datenpakete die für ein Ziel in einem anderen VLAN bestimmt sind "durchleiten", also eben routen.

Bei der Konfiguration dieser Stunts hängt sich mein Hirn dann doch regelmäßig aus. Ich habe schon verschiedene Router konfigurieren dürfen, und bei jedem Hersteller ist das komplett unterschiedlich gelöst - obwohl man technisch immer das Gleiche macht, weil das Alles so standardisiert ist wie etwas nur standardisiert sein kann.

Zur vollständigen Verwirrung stecken die ganzen "Werkzeuge" (Switching, Routing, Firewall, DHCP Server, Quality of Service usw. usf.) oft in einem physischen Gerät. Wohl dem, der ein sehr gut dokumentiertes Gerät hat, sprich Profi-Equipment oder Systeme mit dem Open Source Betriebssystem openWRT.

Um zur Ausgangsfrage zurück zu kommen:

"Best practice" Empfehlungen sind schwierig.

Wer Lust auf Netzwerkkonfiguration hat, der kann ein großes "Produktionsnetz" bauen und mit den oben genannten "Werkzeugen" eine sehr feingliedrige Zugangsverwaltung erzielen. Das macht vielleicht eher Sinn, wenn viele Teilnehmer zu erwarten sind. Dann kann man unbekannte, mitgebrachte Geräte relativ schnell in sein Netzwerk aufnehmen und per Mausklick die "Berechtigungen" konfigurieren. Nachteil: man muss echt wissen was man tut, sonst wird die Baustelle schnell frustrierend für alle Beteiligten.

Daher sieht die Praxis oft einfacher aus: jedes Gewerk baut sein eigenes Inselnetzwerk, und zwar auf Layer 1 (sprich: jeder bringt seine eigene Hardware mit).

Um ein grundlegenderes Verständnis zu bekommen hat mir die Präsentation "Introduction to IP Networking for AV Systems" von Audinate ziemlich geholfen. Das Dokument findet man inzwischen als Online Kurs, wenn man sich bei Audinate zur Dante Zertifizierung durchklickt. (Früher war das einfach ein Google Dokument, das man verlinken konnte.)

Grüßle, Schorsch

Je einen Cisco managed Switch mit 48 Ports am FOH und an der Bühne und je nach Bedarf 10G oder 20G über 2 bzw 4 Glasfaser OM3 adern.

Bei 10G eben mit maximal 10 Netzwerke konfiguriert (alle Gigabit) bei 20G nach Bedarf.

Somit laufen Network-Manager, Artnet der Omma usw alles völlig entspannt.

Weitere 2 Fasern des Glasfaser Om3 Multicores laufen über einfache Medienkonverter für 30 Euro, dann funzt auch A&H gigaAce mit ner DLive völlig problemlos (zickt zumindest bei unserem Cisco-Switch, wenn auch nicht hörbar).

Nachteil der Lösung: Midas M32 geht nur mit extrem teurer Zusatzhardware, da kann man billiger ein Netzwerkkabel extra legen.

add-on: unser Glasfasercore hat 8 Fasern und somit gehen auch noch 1 bis 2 Full-HD Videostreams völlig getrennt drüber...

und das Ding ist direkt 200m lang, also passt immer...

ganz so groß ist mein system ja nicht

Zitat von audiobo

Ich war jetzt lange nicht mehr im Unify-Controller zugange: vllt gibt es in den switches die Möglichkeit 2 Vlan auf einen Anschluss zu routen.

ich hab es jetzt auch gerade nicht vor der nase, aber wenn ich mich recht erinnere kann man je netzwerkport auswählen, welches VLAN anliegen soll - oder einfach alle. das wäre in meinem fall also praktisch, denn mehr als zwei VLAN benötige ich eher nicht.

Zitat von robert müller

Ich kann da gerne Hilfestellung geben, wenn du Mal das Setup beschreibst.

super angebot!

um den faden hier nicht allzusehr mit diesem Ubiquiti thema zu belasten, könnten wir das per PN machen?

Zitat von Volker

laufen über einfache Medienkonverter für 30 Euro, dann funzt auch A&H gigaAce mit ner DLive völlig problemlos

oh, das lese ich ja sehr gerne.

kannst du mir sagen, welche du da bentuzt hast? ich hatte da vor jahren auch mal einen test gemacht, aber mit dem von mir verwendeten material bekam ich hörbare knackser (syncfehler). deshalb hatte ich da spontan die lust verloren

Moin!

TP Link MC220L mit TL-SM311LM

Setup: C1500 mit CDM32

(angezeigte) Syncfehler (aber kein Knacksen) haben wir mit dem Cisco managed switch.

Beste Grüße,

vh