VLAN dela upp nätverk

Kan datorn alls komma ut på nätet. Det ser ut som att den bara får kommunicera med sig själv.

VLAN 2 i Netgear switchen bör ha tillgång till port 4 plus din uplink port. Uplink porten bör dessutom inte vara Untaged, för säger du Untaged så kommer inte VLAN id't att synas från din Cisco.

På Ciscon borde du göra samma config för din uplink port samt sätta upp två DHCP-servrar för dina båda nät om du vill ha den funktionen. Men det tror jag iofs inte behövs egentligen.

Kör du vlan trunk mellan switch och router?

Hur ser konfen ut i routern? Har du två LAN-interface och trunk mot switchen?

Du måste ha trunk eller vlan2 passing på länk mellan switch och router annars droppas trafiken. Sedan så har du inter vlan routing igång vilket betyder att de kommer nå varann inom lan i vilket fall som helst bara att det routas via IP.

Du skriver att du har en dator kopplad till port 4, så då är den inte uplink. Uplink är den port som är kopplad till din Cisco.

Vill du ha mer hjälp så får du ge mer detaljer om vilka portar du har kopplat saker i. Och sedan kommer du även att behöva konfigurera Ciscon till att hantera flera VLAN samt routing biten som du också fått tips om innan.

Det är nog lika bra att sätta sig och läsa på om VLAN osv. För jag gissar att du kommer att behöva underhålla denna lösningen i framtiden också. Kanske lika bra att försöka fatta vad man håller på med.

Jag måste bara fråga....

Men anledningen är att du vill att den "bortkopplade" datorn / VLAN -punkten bara skall få komma åt Internet?

.. Annars kan man ju bara dra ut ETH-kabeln

Om man ska vara kinkig så är Q-taggen 32 bitar varav VID (vlan-id) är 12 bitar.
http://en.wikipedia.org/wiki/IEEE_802.1Q

Och det är inte riktigt sant att det behövs routing.
Om det behövs routing eller inte avgörs av ip-nivån, ligger två hostar på samma ip-nät så kommer ingen routing att ske.

Man kan leka lite med arp entries med det är lite överkurs.

Sedan så beror det lite på hur man ser det för själva processen är layer-3 där inkommande trafik encapsuleras om och skickas ut på samma nät och troligtvis interface på routern, men det sker ändå en routing process. Och det är på så sätt du lurar vlan eftersom det verkar som det kommer utifrån och inte inom samma lan även om det är uppdelat i vlan.

Taged och Untaged talar helt enkelt om ifall utgående paket ska ha kvar VLAN-idt i paketet. Har man Untaged på så kommer VLANen att stanna inom switchen. Med Taged så finns det möjlighet för en annan switch att läsa av VLAN på inkommande paket och agera efter det.

Nu är det överkurs men nej, du behöver inte routing för att skicka trafik mellan två vlan. I dess enklaste form fixar man det genom att helt sonika switcha ihop vlan:en, två "accessport" tillhörande olika vlan kopplas ihop i en vanlig switch. Dina två vlan kommer nu ha L2-konnektivitet, två hostar kan ARP:a varandra och skicka trafik via direkt via mac-adresser utan att passera en router.

Men hela resonemanget är lite lätt akademiskt. Att sätta upp olika vlan utan att samtidigt göra en L3-separation verkar vara lite knasigt. En massa jobb i onödan. Så håller man på med vlan så bör man även separera på L3-nivå.

Hur det fungerar är ganska så enkelt. En switch jämnfört med en hubb har bryggor mellan varje port, sedan så styrs det med en mac-address tabell så switchen vet vilken port som går till vilken mac-address. Detta är viktigt att veta för varje vlan har en egen mac-address tabell. Så varje frame som kommer in med en vlan2 tagg förs in i vlan2 tabellen.

Så om en vlan3 taggad frame kommer in på switchen så läser den bara vlan3 tabellen, det vet inte om vart det skall skickas vidare i de andra vlan'en och det är på så sätt du separerar. Och även på så sätt du kan leka lite med "överkurs" och lägga till statiska arp inlägg så vlan2 kan nå vlan3 t.ex

Så om du taggar i ditt nätkort så kommer det vara tagget så länge du inte använder vlan1 (native vlan) vilket som inte är taggat.

Sedan så finns det självklart mer... som t.ex Privata Vlan med isolerade portar, community portar och promiscious portar och även QinQ med dubbel taggade vlan(tror cisco kallar det vlan tunnling). Men det är ingenting jag tänker gå in specifikt på eftersom vi redan spårat ut lite och inte har något med original frågan från TS.

Dock finns det ingen som helst poäng i att köra tagged mot en dator. Pratar vi en server med VMware är det en helt annan sak för då kan man vilja ha in mer än ett VLAN mot den, men mot en dator är det tveksamt. Kanske om du kör VMware workstation, någon Hyper-V eller liknande, men annars känns det som sagt oerhört överkurs.

Förhoppningsvis har alla switchar en separat CAM-tabell (mac adress-lista) per VLAN, men jag har varit med om switchar som inte haft det vilket i extrema fall skapat stora problem.

Jag förstår inte hur statiska ARP-inlägg skulle göra att man kan få från ett VLAN till ett annat faktiskt.

Jag ska precis till att konfigurera så att VLAN200 på en switch skall bli VLAN 1200 på en annan switch, men det gör jag genom att på den första switchen sätta VLAN 200 untagged på en port och fysiskt koppla ihop den porten med en annan port som har vlan 1200 untagged. På så sätt "trollar" jag så att vlan 200 och 1200 blir samma. Det är dock väldigt ovanligt, men beror på att vi har flera kunder som använder VLAN 200 och därför måste jag ta in kund nummer två som vlan 1200 istället. På respektive sidor finns det många switchar och accesspunkter som har vlan 200 definerat, så det är tyvärr lite för jobbigt att göra rätt och byta 200 till 1200 över hela linjen.

Q-in-Q är ju kung:) Dock har det en tendens att bli rätt bökigt om man jobbar med sådana. Alla tillverkare är tyvärr inte lika bekväma med det som cisco utan många gånger får man "loopa" ut med en kabel för att plocka ut yttre tag. Suck.

Du kan kalla det routing om du vill, men man lägger det i en L3 distributions switch och även definiera i vilket vlan denna entry skall existera, så om trafiken kommer in så läser den arp entry i den specifika vlan cam tabellen och skickar vidare.

Sedan så kan du alltid använda statiska cam entries, som du lägger till själv och på så sätt hoppa mellan vlan utan routing. Kanske värt att poängtera att detta skulle göras av nätverkstekniker/administratörer, det är ingenting man gör som hemanvändare mot sin ISP. Sedan så finns alltid vlan-hopping "attacker", men sådant borde inte fungera i moderna nätverk med säkerhets protokoll.

Det mesta går att göra om man har vilja och ork att lära sig, även om det kan anses vara avancerade "ful" lösningar och det ger dig även en inblick om du verkligen förstår nåt eller inte. Sedan vad Madtop skrev är en enklare ful lösning i ett praktiskt utförande, ja teoretiskt sätt så kommer trafiken skickas vidare i den lilla hem switchen och ej taggas, men ger t.ex anställda ett enkelt sätt att komma in på ett annat vlan nät för åtkomst.

Jag tror nog du har en definition av routing som skiljer sig från andras.

Om ett paket behöver routas eller inte avgörs av IP-nivån: två hostar som sitter på samma ip-nät når varandra utan routing. Faktum är de endast kan nå varandra utan routing.

Host1 192.168.1.2/24 kopplas till vlan2
Host2 192.168.1.3/24 kopplas till vlan3

I valfri switch sätter du upp:
portA untagged vlan2
portB untagged vlan3

När/om du patchar ihop portA och portB så kan Host1 och Host2 nå varandra utan routing.
Hostarna har direkt L2-konnektivitet och kan ARP:a varandra, de behöver inte passera en router för att skicka paket mellan sig.

Så din "router" har mao ersatts av en TP-kabel.

Absolut, men som någon skrev så har man då fullständigt förlorat poängen med att ha två olika VLAN. I mitt exempel var det för att det är två vitt skilda miljöer och VLAN 200 och 1200 måste användas på respektive miljö, men annars ser jag verkligen inte någon poäng med att "kortsluta" två VLAN i varandra.

Mitt inlägg var ett svar på det felaktiga påståendet "För att ta sig mellan olika VLAN krävs routing - period". Och det är ju inte sant - det funkar lika bra med tex en TP-kabel.

Måhända ett rent akademiskt resonemang - men inte mindre sant för det.