» VLAN

Подскажите, как правильно сделать. На текущий момент есть локальная сеть на 192.168.1.0 , В ней есть сервера Active Directory, DHCP, WSUS, Terminal Server, SQL Server. Количество рабочих станций стало слишком много, в одной подсети уже не помещаются, плюс добавляются территориально разнесенные филиалы. Вопрос: как лучше разбить по подсетям, чтобы филиалы друг-другу не мешали, но сервера оставались общими. Чтоб не мешали - понятно, на свитче сделаю VLAN-ы, друг-друга не увидят. А как сделать чтоб сервера оставались общими? Как в филиалах сделать чтоб основной DHCP раздавал им адреса из их подсети?

MAXXL
В центре ставится один большой роутер куда заводятся все подсети\vlan'ы + тунели до удаленных офисов.
Все сервера выносятся в отдельную изолированную подсеть\vlan.

В филиалах надо лучше поднимать изолированный DHCP сервер с подсетью отличной от той которая в головном офисе чтобы при пропадании связи с центральным сервером юзеры не бегали с криками - у нас адрес не получает.
Хотя список пар адресов (мак-ип-кампутер) можно формировать скриптом на базе информации с главного DHCP сервера. Ну или настроить DHCP relay но при падении связи на время большее чем время аренды у вас начнется беготня.

В удаленные офисы лучше ставить железки типа Mikrotik Router Board (750G например) которые умеют делать тунели и обладают довольно большим функционалом.

В ядро или чтото типа RB1100\RB1000 или софтовый роутер на том же микротике под x86 с парой 1G сетевых для маршрутизации трафика между всеми сегментами сети. Рулиться все будет довольно просто.

Чтоб не мешали - понятно, на свитче сделаю VLAN-ы, друг-друга не увидят.
А как сделать чтоб сервера оставались общими? Как в филиалах сделать чтоб основной DHCP раздавал им адреса на ихние подсети.

Ребят та же задача надо разделить сети но дать всем достут к серваку на котором закручен фтп сквид почтовик.
На даный момент удалось по портам разделить сети. Для внесения сервера во все виланы были созданы аналогичные виланы на интерфейсах сервака, (результат сервак работает только в корневом вилане) но вот в чём вопрос реально ли вообще сервак включить во все виланы ??? Если да то хотя бы принципиальную схемку )))

vadkalina
Цитата:

реально ли вообще сервак включить во все виланы ???

Все зависит от свича. Если свич поддерживает членство порта в нескольких виланах - почему бы нет?

Свичи ENCORE, как бы не плохое железо, членство поддерживает.
Мне кажется я путаюсь в тагет унтагет. По моему представлению порты через которые соединены свичи должны быть унтагет, Порты через которые подключены виланы очевидно тагет причём пакеты должны ходить только маркированые. Но тут возникает вопрос если между свичами унтагет значит пакет теряет маркер при переходе на следуючий свич ? Вывод все порты должны быть тагет?
Чем толще стопка прочитаных манов тем больше каши в голове (((
http://pixs.ru/showimage/network1VL_8256970_1780246.jpg Вообщем вот что я наваял и что отказывается работать (((( Если у кого есть возможность ткните куда ковырять..

vadkalina
Для упрощения себе жизни магистральные порты можно перевести в режим vlan-trunking, тогда он будет пропускать все vlan'ы.
На сервер должны приходить только tagged пакеты чтобы их могла разделить сетевая карта.
Тоже относится и к магистралям, там должен ходить только tagged трафик.
Порты же к абонентам должны быть untagged + на них надо прописать соответсвующий pvid.
И не стоит абонентов пускать в vlan 1\pvid 1.
Это default vlan и там никого лучше не держать.

Начало проясняться. Спасибо.

Имеется сетевая карта Intel E1G42ET двухпортовая гиговая
Задача в следующем
На этой сетевухе поднято несколько VLAN сетевых интерфейсов(вирт сетевых карт), так вот можно ли как то сделать чтобы каждому адаптеру назначить свой MAC адрес
P.S. пробовал в Windows 2008 R2 Ent вот этим способом

в винде физический адрес адаптера меняется в реестре -
----------------------------раздел "HKLM\SYSTEM\CurrentControlSet\Control\Class\{4D36 E972-E325-11CE-BFC1-08002BE10318}"
Ищем наш подраздел. Подразделы описывают сетевые интерфейсы всех имеющихся сетевых адаптеров и отображаются в виде 4-х значных чисел 0000, 0001, 0002 и т.д. Не уходите в подключи Linkage и Ndi. По ключу 000x\"DriverDesc" находим нужный нам интерфейс. Он будет содержать имя сетевой карты.
Изменяем (добавляем, если нужно, тип данных - REG_SZ) ключ "NetworkAddress". Вводим новый адрес.
Не трогайте DriverDateData.
Отключаем, затем включаем сетевой интерфейс в окне "Сетевые подключения".

MAC адрес то меняется (гляжу в свитче что при смене мака на определенном VLAN мак другой), но вот сеть после этого не работает(сеть на VLAN у которого был насильно изменен MAC относительного родного мак адреса физической карточки.)

кто что думает?

muk_as
А зачем вам мак менять? С точки зрения FDB свича тройка мак-влан-порт уникальны

дело в том что у меня от вышестоящего провайдера(который ломит цены) помимо официально рарешенных каналов есть пара пользоввательскихи, все они посажены на разные вланы в свитче. так вот провайдер может увидеть что маки конечных оборудования пользователей и наших линков - совпадают. этого нельзя допустить.

muk_as В Windows нет встроенной поддержки VLAN. Она обеспечивается соответствующими драйверами, как правило - производителей данной сетевой карты. Вполне возможно, что в драйверах Intel на эту карточку разные МАКи просто не предусмотрены.
Совершенно не понятно, чем это вам мешает.
Ага, посмотрел, понял. Хочу обрадовать, что МАК-адреса видны исключительно в локальной сети, и через роутер не ходят.

muk_as

Цитата:

так вот провайдер может увидеть что маки конечных оборудования пользователей и наших линков - совпадают. этого нельзя допустить.

всмысле

Цитата:

Ага, посмотрел, понял. Хочу обрадовать, что МАК-адреса видны исключительно в локальной сети, и через роутер не ходят.

Да в общем это можно не по макам определять, маршрутизация штука тоже довольно уникальная в пределах небольших сетей.

Доброго времени суток.
Возникла проблема. В домашней сети имеется настольный комп. ОС: WinXP SP3. Ходит в инет через роутер, воткнутый в свитч. Проблем не возникает.
Имеется ноутбук, ОС: WinXP SP3. Через свитч также периодически подключается к интернету (по необходимости). Проблем до недавнего времени не возникало.
Кроме этого, имеется ноутбук у дочери, ОС: Win7 Ultimate. При необходимости подключается к тому же шлейфу, что и первый ноутбук.
Вчера столкнулся с проблемой, что ноутбук с ОС WinXP перестал входить в рабочую группу, не пускает его и все тут. Причин вроде бы нет. Думал, что ось глюканула, переустановил, благо ноут почти пустой был. Результат тот же самый. С настольного компа ноутбук вижу, а в обратную сторону никак. Флешкой файлы переносить замучаешься. Как решить проблему? Не могла ли семерка таким образом повлиять на рабочую группу?
Попасть не могу только на соседний комп, а интернет хожу без проблем.

hohkn Уж сколько раз твердили миру...
Сеть Windows 7 и XP

vlary
ну я то вижу мак адрес первого устройства которое стоит на стороне провайдера, так и они видит мой, там роутера нет там бридж, мне прямой ипшник дают. я его вписываю в сетевку влановскую, соответственно его и видит провайдер.


Добавлено:
goletsa
ну допустим юзеру дали ип для инета и мне дали ип для инета,
юзеровский ип я вписываю в 1 влановскую сетевку, свой ип в другую влановскую сетевку
соотв провайдер видит мак как юзерской сетевухи так и моей, но фишка в том что мак одинаков(тк они подкл к 1 физич сетевке с одним маком но к разным влановским сетевухам) и его ето насторожит если он заметит!

muk_as

Цитата:

ну допустим юзеру дали ип для инета и мне дали ип для инета,
юзеровский ип я вписываю в 1 влановскую сетевку, свой ип в другую влановскую сетевку
соотв провайдер видит мак как юзерской сетевухи так и моей, но фишка в том что мак одинаков(тк они подкл к 1 физич сетевке с одним маком но к разным влановским сетевухам) и его ето насторожит если он заметит!

Я вообще не понял как все организовано.
Нарисуйте с учетом тэгов и линков.

А что можно сказать о MAC-based_VLAN? долго искал в инете о этой опции, но ничего толкового не нашёл. С прочитанного понял что придётся прописать на каждом коммутаторе принадлежность каждого МАС-адреса к нужной VLAN, что достаточно муторно при наличии в сети оклоj 500 интерфейсов... но это не пугает, т.к. и так фильтрую и веду учёт всех МАСов. Меня интересует, в этом режиме возможно реализовать схему когда на один порт управляемого коммутатора L2(например DES3200) приходят пакеты от нескольких машин (МАС-в), например с порта неуправляемого коммутатора который их объединяет,.. разделить их по разным VLAN-ам и обеспечить разный доступ к ресурсам (серверам) подключенным к портам коммутатора L2?
Я понимаю что машинв подключенные к неуправляемому коммутатору будут видеть друг друга. Задача в том чтобы разделить их доступ к ресурсам используя MAC-based_VLAN.
Возможно не совсем внятно сформулировал... компенсирую схемой http://file.qip.ru/photo/MOfbSoTO/MAC-based_VLAN.html

Vovandv
Цитата:

А  что можно сказать о MAC-based_VLAN?

То, что это штука, мало какими коммутаторами поддерживаемая и мало кем используемая.
Цитата:

Задача в том чтобы разделить их доступ к ресурсам используя  MAC-based_VLAN.  

По идее, после того, как пакет с нужным МАК-ом попадет в продвинутый коммутатор, он получит тег соответствующего влана, и дальше с ним можно поступать как с любым тегированным пакетом.

Vovandv
Проще доступ к серверам ACL'ками зафильтровать чем мутить велосипеды.

Здравствуйте, нужна ваша помощь, с Vlan только пытаюсь разобраться, почитал -
Wiki Vlan вроде как суть уловил, но на практике пока нужен ваш пинок в правильном направлении.
пытаюсь сделать следующею схему, два линка от разных провайдеров --> коммутатор SPS208G --> роутер с одним WAN и LAN портом (микротик). что должно быть, на коммутаторе надо сделать два vlan например c ID 21 и 22, привязать их на 1 и 2 порт коммутатора соответственно, эти порты не должны работать между собой а могут работать только с 9-ым портом коммутатора, который я так понимаю должен быть транковым, далее роутер с этого 9-ого порта будет получать эти два vlan и на каждом поднимать свою PPPoE сессию от провайдера.
сделал скины настроек, но так как дела с этим имею впервые то что то запутался, пробовал сделать на DLink по описанию с оф. сайта вроде все правильно а вот с Linksys что то ни как.
здесь я так понимаю создается vlan, где ему нужно указать ID и все:



создал два vlan:



далее переходим в настройки портов и делаем 9-ый порт - транковым (на скине он g1), а что нужно выбрать для других портов, если например я хочу привязать 21 vlan к первому порту, а 22 vlan ко второму на сколько я понял из прочитанного то access port в cisco означает что может работать со всеми портами?



вот дальше для меня и пошла неразбериха что выбирать в настройках Port to Vlan:





и в настройках Vlan to Port:



это настройка появляется есть нажать Join Vlan:

есть вланы на основании портов, а есть вланы - ну которые просто вланы:) Первые отличаются тем, что они могут находиться в пределах одной логической сети, но дальше чем на один коммутатор это все дело не транслируется.

например:
есть у тебя сеть 192.168.0.0.24 , на всех машинах стоят айпишники из этой сети. Ты хочешь чтобы машина в порту 1 видела сервер в 9-ом порту, и машина на 2-ом порту видела сервер в 9-ом порту, но чтобы они не видели друг друга. В таком случае отлично подходит влан на основании портов. Т.е. эта штука хороша, когда у тебя 1 коммутатор. Аббревиатура PVID

второй случай, и более продвинутый - это нормальные вланы, на основе протокола 802.1q - когда к каждому пакету дописывается тег с номером влана. Коммутаторы соединяются между собой транками, получают информацию о всех влан-ах, и получается что можно пробросить один порт и одного коммутатора на другой порт другого коммутатора. Но тут есть нюанс - порты работают либо в режиме аксес, либо в режиме транк. В первом случае можно включить обычного клиента, но он будет присутствовать только в одном влане (есть исключения, например каталист XL-серии, но грубо говоря - это не стандарт)
Получается, тебе чтобы запихнуть твой микротик в 2 влана через используя один порт придется до него строить транк - иначе больше 1 влана по порту не прокинешь. А для того, чтобы он видел эти вланы прийдется поднимать виртуальные интерфейсы, они обычно называются оп номеру влана. Например vlan21, vlzn22 . И получается если у тебя 2 интфрейса, то и сети у тебя должно быть 2 - нельзя на них навешать айпишники из одно сети.

Т.е. в твоем случае проще использовать PVID

tankistua
спасибо за развернутый ответ, но вроде разобрался, я буду делать на 9-ом порту транк, потом на порту микротика поднимаем два vlan с указанием ID21 и ID22, а потом на этих vlan поднимаю PPPoE сессии к провайдерам, я так понимаю когда на микротике буду поднимать vlan с указанием ID vlanа который настроен на коммутаторе, то этот vlan на микротике будет принимать пакеты про маркированные тегом соответствующего vlanа, а пакеты с другим тегом принадлежащем другому vlan он видеть не будет.
если я то то не так понимаю, то поправьте меня.

ну если ты поднимешь 2 рррое сессии с одного устройства, то придется немного потрудиться с роутингом для клиентов.

я не сильно понял что у тебя там за махинация намечается - зачем такие сложности с двумя каналами, разными клиентами но через одну железку. Проще уж поставить 2 железки - меньше гиммороя

Цитата:

ну если ты поднимешь 2 рррое сессии с одного устройства, то придется немного потрудиться с роутингом для клиентов.

у меня сейчас поднято 5 PPPoE на 5 портах и клиенты разбиты по этим каналам, и еще куча ресурсов направлено на разные каналы, например yandex.ru у меня идет через одного провайдера куча других сайтов через второго и т.д., это не проблема для микротика.
теперь это оборудование не справляется а у нового нет столько портов, только два, один пойдет в сеть на другой как раз и будет подниматься 5 vlan.


Цитата:

я не сильно понял что у тебя там за махинация намечается - зачем такие сложности с двумя каналами, разными клиентами но через одну железку. Проще уж поставить 2 железки - меньше гиммороя

ну раз для вас проще поставить пять железок и потом еще одну которая будет всех пользователей как то разруливать по этим железкам, то не знаю, для меня проще поставить перед роутером комутатор L2 с поддержкой 802.1q.
меня интересовал вопрос правильно ли я понимаю то что хочу сделать - настроить два vlan один порт сделать транковым и потом с него роутер уже будет получать пакеты промаркированные для каждого vlan.

ну ты ж не спрашивал, что такое влан и транк.

Цитата:

ну ты ж не спрашивал, что такое влан и транк.

вообще то я спрашивал как как настроить коммутатор для моих целей, исходя их приведенных скинов.

vlh
Порты 1,2 должны быть Access и туда должен приходить untegged vlan. Так же на порте надо задать правильный PVID(чтобы метило приходящие пакеты им).
9 порт я так понимаю trunk и туда надо чтобы эти вланы приходили как tagged.
По скринам не понятно как это точно делается на вашей железке но должно получиться.

Всем добрый день!
Передо мной стоит следующая задача.
Имеется коммутатор cisco 2960, на котором подняты 2 vlan - корпоративная (192.168.2.0) и гостевая (192.168.3.0). Для гостевой vlan были закуплены точки доступа d-link 2640u
Шлюз для выхода в инет находится в корпоративной vlan и имеет адрес к примеру 192.168.2.1
Вопрос: можно ли на d-link 2640u поднять dhcp сервер чтобы он выдавал ip-адреса из сети 192.168.3.0 и пускал в инет через шлюз (192.168.2.1) расоположенный в другой vlan?
Схема: http://ifolder.ru/30247189
Спасибо!

Shemb
Что у вас по адресу 2.1? Поидее тот маршрузитор и должен управлять маршрутизацией между vlan'ами. Использовать для этих целей dsl модем бессмыслено, зачем тогда городили vlans?

Добавлено:
Хотя о чем я говорю, использовать ADSL модемы в качестве точек доступа...
ЗАЧЕМ? Там же многих возможностей просто нету.

зачем было делить сети, чтобы их потом объединять?

З.Ы. с двух разных интерфейсов одна сетка просто так приходить не может - это противоречит принципам работы tcp-ip