» VLAN

Цитата:

Ну L2-коммутаторы у вас есть в каждой организации, как я понял. Зачем покупать ещё?

на данный момент на каждом этаже стоят неуправляемые коммутаторы которые планируется заменить для того чтобы разгородить сеть

Разгородить можно фаерволом.

Именно фаерволлом на L3.
А неуправляемые коммутаторы можно и не заменять (если одна организация = один свитч).

Цитата:

Разгородить можно фаерволом.

системник не хотелось бы ставить, только если другие варианты не подойдут


Цитата:

Именно фаерволлом на L3.
А неуправляемые коммутаторы можно и не заменять (если одна организация = один свитч).

нет, менять все таки придецца, хотя бы часть... потому как коммутатор идет на этаж, а не на организацию

если я правильно понял оптимальных варианта получается два:
1й) коммутаторы 2го уровня + системник в качестве роутера/фаервола
2й) коммутаторы 2го уровня + центральный коммутатор 3го уровня

посоветуйте, пожалуйста, варианты комплектов коммутаторов L2+L3 по моделям

goletsa
если не затруднит, напиши пожалуйста по каким терминам искать матчасть по FreeBSD под системник-роутер/фаирволл

В смысле матчасть? Железо?

Для роута гигабита достаточно будет как я думаю чтонить типа P4 - 2GHz (или даже меньше) + интеловская гигабитная сетевуха( меньше проц будет грузить и аппаратно ест вланы).

моно собрать на базе какойнить простой мамки, камешка E2100 к примеру.
В общем чисто на роут должно хватить.

Ибо P2-300 MHz в одной из точек у меня свободно роутит стомегабитный сегмент сети.



Добавлено:
Из L3 свичей сталкивался только с Zyxel GS-4012F
Но он стоит 20-30к

вариант с кампом куда лучше.

Цитата:

системник не хотелось бы ставить

Ну фаервол (L3) - это не обязательно PC.


Цитата:

посоветуйте, пожалуйста, варианты комплектов коммутаторов L2+L3 по моделям

D-Link DES-3028(3052)/3526(3550) на L2
D-Link DGS-3612(3627) на L3
Всё оборудование можно взять на тестирование в местном представительстве D-Link.

Цитата:

В смысле матчасть? Железо?

я имел ввиду документацию по настройке роутинга под FreeBSD

Добавлено:

Цитата:

Ну фаервол (L3) - это не обязательно PC.

ну как я понимаю нужен ведь не только фаервол, нужно ведь еще и Vlan-ы связать и наверное маршруты прописать... наверное железные фаервол не подойдет

Цитата:

D-Link DGS-3612(3627) на L3

Ого. 34К
Проще поставить камп


Цитата:

я имел ввиду документацию по настройке роутинга под FreeBSD

FreeBSD Handbook

Цитата:

D-Link DGS-3612(3627) на L3

а что-то типа D-Link DGS-3312SR не подойдет?

Цитата:

нужно ведь еще и Vlan-ы связать и наверное маршруты прописать... наверное железные фаервол не подойдет

Для этого L3-коммутатор как раз и предназначен.


Цитата:

Проще поставить камп

Ну а если прикинуть, то сколько стоит стоечный сервак с 12ю интерфейсами?


Цитата:

а что-то типа D-Link DGS-3312SR не подойдет?

Да должен, смотрите его описание.

Цитата:

Ну а если прикинуть, то сколько стоит стоечный сервак с 12ю интерфейсами?

Все равно функционал не тот.
У кампа больше возможностей.

Цитата:

Все равно функционал не тот.
У кампа больше возможностей.

согласен, но во сколько раз их не было бы больше они без умения ими пользоваться бесполезны)
а изучать ща xNix у меня просто нет времени
потому надеюсь все таки сделать на коммутаторах

Есть публичная сеть в 256 адресов. Есть шлюз на Linux, поддреживающий VLAN, есть несколько свичей второго уровня. Задача такая. Раздавать клиентам (изолированным в VLANах) максимальное количество адресов. Если разбить пул на группы по 4 адреса, то получиться максимум 64 клиента. Перерасход публичных адресов - громадный. Как это можно проще реализовать, так чтобы раздать как можно большее количество адресов, при этом обеспечить контроль "от подмены адреса"???

Вопрос такой:
Есть Switch 3com 4210. У него только 1 vlan-интерфейс, для управления.

Нужно реализовать :
1) порты 2-5, 7-9, 12-20 видели порт 10
2) при этом порты 8 и 9 не видели порты 2-4 и 14-20.

есть варианты портов access/hybrid/trunk. голову сломал, ничего работающего не получилось
неужели нужно на каждой сетевухе ставить дополнения к дровам и ставить ей принадлежность к какому-то vlan ? а как быть, если она должна оказаться в разных vlan но при одном IP ?

Funtik_Vintik

Цитата:

если она должна оказаться в разных vlan но при одном IP ?

Цитата:

по порту (Port-based, 802.1Q): порту коммутатора вручную назначается одна VLAN. В случае, если одному порту должны соответствовать несколько VLAN (например, если соединение VLAN проходит через несколько свитчей), то этот порт должен быть членом транка. Только одна VLAN может получать все пакеты, не отнесённые ни к одной VLAN (в терминологии 3Com, Planet, Zyxel,HP — untagged, в терминологии Cisco — native VLAN).

Funtik_Vintik

Цитата:

а как быть, если она должна оказаться в разных vlan но при одном IP ?

здесь нужно что-то типа ассиметрик-влан или траффик сегментейшн. такие штуки у длинков описаны. при простом таггед/унтаггед это нерешаемая задача.

Цитата:

здесь нужно что-то типа ассиметрик-влан или траффик сегментейшн. такие штуки у длинков описаны

и ни 3com ни cisco это не поддерживают,
на дорогих моделях cisco работает private vlan, когда внутри одного вилана создаются группы компьютеров и эти группы друг друга не видят.

Насколько я понял, нечто наподобие того что хотелось бы можно реализовать через ACL, но имеющаяся модель 4210 судя по документации, накладывает acl только на управление коммутатором
Вообще эта модель какая-то урезаная типа вроде и есть всё, но самые интересные нюансы не поддерживаются

Это коммутатор второго уровня, поэтому без внешнего маршрутизатора никакие игры с виланами не помогут, в нем наверняка есть port isolate (при его включении на нескольких портах они не будут видны друг другу), кроме того он поддерживает фильтрацию MAC-адресов, а значит, зная МАКи подключенных к нему устройств можно описать любую логику.

наконец контора купила управляемый свич DES-1210-52!
До этого купили WI-FИ тд для холла (чтоб гости пользовались), но не получился его "приватизировать", т.е. чтоб гости через WI-FI не смогли приникнуть в локальную сеть.
Теперь как я понял, это можно реализовать с помощью VLAN.
вот только не знаю как))
А если честно - не представляю как это можно делать. есть какой то материал у кого не будь, или видеокурс, чтоб читать/смотреть?

contrafack
задай поиск и найдешь обязательно
К.Кларк, К.Гамильтон. Принципы коммутации в локальных сетях Cisco
И пусть не пугает слово Cisco, этим принципам следуют все производители сетевого оборудования

contrafack Качай отсюда: Принципы коммутации в локальных сетях Cisco
Цитата:

купили WI-FИ

Что за зверь? Если есть возможность перешить его прошивкой DD-WRT, то там задача создания хотспота решается в полпинка.

помогите изучить на практике построение VLAN...
теорию я прочитал, теперь практика...
допустим имеется одно ранговая сеть в центре которой стоит DES3526 и
сервер для раздачи интернета...сеть 10.0.0.0.24
допустим в сети 10 машин, нужно разбить их на VLAN, то есть по пять машин...
не каждую в VLAN а по пять...
для этой задачи достаточно оборудования или еще что то нужно?
на сколько хватает моих знаний на порту куда подключено 5 машин нужно
поднимать VLAN, поменять IP пяти машинам отличный от других пяти машин...
и что дальше, хотя бы на пальцах или где можно почитать в примерах?

vlary

спасибо за ссылку. а видеокурс нету? на торрентах много есть видеокурсы по CISCO, но не знаю в каком курсе про VLAN рассказывают.
а то читать книгу долго буду, а время жмет как бэ )) но я его почитаю со временем. все же на русском читать более понятно для меня, чем на англисйком слушать. просто видео - по быстрому учит.
А хот-спот там стоит 3COM Wireless 7760 11a/b/g PoE Access Point


Вряд ли получиться тут что то делать. да там даже свой DHCP нету (( вот думаю можно ли с свича "предосатвить" DHCP для WI-FI клиентов ? при этом, что они будут работать изолировано, но в качестве шлюза будет являться корпоративный прокси сервер.
VLAN сможет справиться с этом?
по позже нарисую красиво схему как все есть и что хочу делать.

Цитата:

а видеокурс нету?

Предпочитаю читать, на слух плохо усваиваю

Цитата:

можно ли с свича "предосатвить" DHCP для WI-FI клиентов ?

Со свича не знаю, думаю лучше взять какой-нибудь дешевый D-Link типа DIR- 300, перешить в DD-WRT и организовать все на нем. Либо комп с линуксом.

vlh

Цитата:

в центре которой стоит DES3526 и

конкретно у DES3526 ассиметрик вилан есть.

но всё таки не очень понятна задача.
машины из разных виланов не должны друг друга видеть - это понятно.
а в интернет они должны все ходить или только некоторые?

если нужна полная изоляция одних машин от других то и ассиметрик вилан не нужен и адреса менять не надо.

Цитата:

roma
но всё таки не очень понятна задача.
машины из разных виланов не должны друг друга видеть - это понятно.
а в интернет они должны все ходить или только некоторые?

нужно изолировать клиентов между портами, интернет должен быть у всех...

P.S.
я могу сделать проще, включить Трафик Сегменеуйшен на 3526,
но я хочу научится делать VLAN....

vlh

Цитата:

нужно изолировать клиентов между портами, интернет должен быть у всех...

вот при "классических" виланах (и только делением на виланы) такого добиться нельзя.

Почему нельзя.
vlan на порт и друг друга они не увидят.

нужно настроить на Винде доступ в VLAN. Имеет сервер к которому должен обращаться другой комп, но вся беда в том что получается что на пути к серверу 2 шлюза.
1 шлюз имеет адрес 128.127.2.8 он смотрит на комп и на 2 шлюз который имеет адрес 128.127.2.100
подскажите как это настроить на Винде