forum.opennet.ru - "Один Vlan имеет доступ в другой Vlan" (9)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"Один Vlan имеет доступ в другой Vlan"

Форум Маршрутизаторы CISCO и др. оборудование. (Диагностика и решение проблем)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Один Vlan имеет доступ в другой Vlan"	+/–
Сообщение от SlavikSG (ok) on 05-Окт-12, 12:24
Прошу не судить строго. Я совсем новичок в коммутаторах и построения сетей. Имею такой вопрос: Не понимаю, что я делаю не так... Беру два коммутатора. Агрегация (QTech QSW-8300) и Доступ (QTech QSW-2800). Создаю и там и там два Влана. Один "Влан 7" для управления, другой "Влан 5" клиентский. Клиентский "Влан 5" имеет на Агрегации IP-адрес 192.168.11.1. Этот адрес является шлюзом для клиента и клиент к нему имеет полный доступ. Пингует его, и через него же имеет интернет и так далее... Для влана управления создан "Влан 7". С подсетью 192.168.0.0. Это адреса 192.168.0.101 (Агрегация) и 192.168.0.102 (Доступ). Оба свича соединены между собой транковыми портами. Клиенту я вручную прописываю IP-адрес 192.168.11.5 и тут получается заковыка, которая мне не ясна. Клиент прекрасно пингует (то есть имеет доступ) в свой родной "Влан 5" на Агрегации И ПРИ ЭТОМ ОН ТАК ЖЕ ПРЕКРАСНО ПИНГУЕТ и адрес чужого "Влана 7" Агрегации - 192.168.0.101. И мало того, через эту же Агрегацию при этом еще пингует и свой коммутатор доступа, адрес 192.168.0.102. Не понимаю, почему такое происходит. Ведь "Влан 5" и "Влан 7" - это есть разные Вланы, с разными подсетями. Почему клиент имеет доступ из своего клиентского "Влана 5" в чужой "Влан 7"???!!! Разве такое должно происходить? И как это поправить? В тесте принимают участие только три железки. Два свича и клиентский хост. Сервер не подключаю. Вот максимально мои укороченные рабочие конфиги: АГРЕГАЦИЯ: enable config ! vlan 7 name management interface vlan 7 ip address 192.168.0.101 255.255.255.0 ! interface ethernet 1/0/13 switchport mode trunk combo-forced-mode copper-forced exit ! vlan 5 interface vlan 5 ip address 192.168.11.1 255.255.255.0 exit ДОСТУП: enable config ! vlan 7 name management interface vlan 7 ip address 192.168.0.102 255.255.255.0 ! interface ethernet 1/1 switchport mode trunk exit ! vlan 5 interface ethernet 1/5 switchport access vlan 5 exit
Ответить \| Правка \| Cообщить модератору

Оглавление

Один Vlan имеет доступ в другой Vlan, Николай, 12:35 , 05-Окт-12, (1)

Один Vlan имеет доступ в другой Vlan, fantom, 12:54 , 05-Окт-12, (2)

Один Vlan имеет доступ в другой Vlan, SlavikSG, 13:07 , 05-Окт-12, (3)

Один Vlan имеет доступ в другой Vlan, fantom, 13:29 , 05-Окт-12, (4)

Один Vlan имеет доступ в другой Vlan, SlavikSG, 14:41 , 05-Окт-12, (5)

Один Vlan имеет доступ в другой Vlan, Den, 15:12 , 05-Окт-12, (6)
Один Vlan имеет доступ в другой Vlan, fantom, 15:53 , 05-Окт-12, (7)

Один Vlan имеет доступ в другой Vlan, SlavikSG, 16:19 , 05-Окт-12, (8)

Один Vlan имеет доступ в другой Vlan, Николай, 18:57 , 05-Окт-12, (9)

Сообщения по теме [Сортировка по времени | RSS]

1. "Один Vlan имеет доступ в другой Vlan" +/–

Сообщение от Николай (??) on 05-Окт-12, 12:35

пингуете вы потому как прписан гетвей и на гетвее у вас есть и ИП другого влана который прекрасно роутиться :)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Один Vlan имеет доступ в другой Vlan" +/–

Сообщение от fantom (ok) on 05-Окт-12, 12:54

> пингуете вы потому как прписан гетвей и на гетвее у вас есть
> и ИП другого влана который прекрасно роутиться :)
VLAN - l2,
ip - L3,
пинги из одного влана в другой попадают не по вине коммутатора, а по вине маршрутизатора - вот на нем и думайте что делать....

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Один Vlan имеет доступ в другой Vlan" +/–

Сообщение от SlavikSG (ok) on 05-Окт-12, 13:07

> пингуете вы потому как прписан гетвей и на гетвее у вас есть
> и ИП другого влана который прекрасно роутиться :)
Да это я понимаю, что все упирается в шлюз 192.168.11.1, находящийся в Агрегации во "Влане 5". Я не понимаю ПОЧЕМУ это самый адрес из Vlan 5 имеет доступ в чужой Vlan 7!!! Это что, так и должно быть? Разве Вланы не должны быть изолированы друг от друга в коммутаторе?! Тем более Вланы с разными подсетями.

> пинги из одного влана в другой попадают не по вине коммутатора, а
> по вине маршрутизатора - вот на нем и думайте что делать....
Получается, что "Коммутатор Агрегации" как таковой - он же есть маршрутизатор ПО УМОЛЧАНИЮ? То есть как бы объединяет внутри себя все Вланы между собой? И это так и должно быть? Или я что-то совсем не понимаю.
Сори еще раз. Совсем я чайник в этих делах. :(

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Один Vlan имеет доступ в другой Vlan" +/–

Сообщение от fantom (ok) on 05-Окт-12, 13:29

>[оверквотинг удален]
> Агрегации во "Влане 5". Я не понимаю ПОЧЕМУ это самый адрес
> из Vlan 5 имеет доступ в чужой Vlan 7!!! Это что,
> так и должно быть? Разве Вланы не должны быть изолированы друг
> от друга в коммутаторе?! Тем более Вланы с разными подсетями.
>> пинги из одного влана в другой попадают не по вине коммутатора, а
>> по вине маршрутизатора - вот на нем и думайте что делать....
> Получается, что "Коммутатор Агрегации" как таковой - он же есть маршрутизатор ПО
> УМОЛЧАНИЮ? То есть как бы объединяет внутри себя все Вланы между
> собой? И это так и должно быть? Или я что-то совсем
> не понимаю.
Не понимаете..
IP пакет (пинг например) "помещается" в езернет фрейм, фрейм попадает в влан 5 на коммутаторе доступа, коммутатор отправляет его внутри влана5 на агрегацию, на шлюзе из фрейма "извлекается" IP пакет и анализируется IP адрес назначения, IP назначения доступен через влан7;
Шлюз формирует новый фрейм, в который помещает все тот же ip пакет (заметьте - пакет тот же самый, а вот фрейм НОВЫЙ) и отправляет его в влан7, коммутатор доступа получает этот фрейм СО СТОРОНЫ АГРЕГАЦИИ и благополучно вынимает из него ip пакет, формирует ответный пакет, помещает его в фрейм, отправляет на агрегацию, шлюз вынимает пакет из фрейма пришедшего в влан7, помещает его в фрейм для влана 5 и отправляет рабочей станции.
Собственно изоляцию vlan-ов проверить просто - вынимаете все шнурки из коммутатора доступа и подключаете один единственный - ваш копм который в влане 5, и пытаетесь пропинговать ip коммутатора, размышляете над полученными результатами. ;)
> Сори еще раз. Совсем я чайник в этих делах. :(
Простите, заметно. ;)
Учите матчасть...

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

5. "Один Vlan имеет доступ в другой Vlan" +/–

Сообщение от SlavikSG (ok) on 05-Окт-12, 14:41

> Учите матчасть...
Матчасть со всех своих страниц, черным по белому, учит меня тому, что Вланы НЕ ДОСТУПНЫ друг другу по определению! Это аксиома! А тут выходит форменное нарушение всех "законов физики". :) Читаю вас и получается следующее:
> ...IP назначения доступен через влан7
В общем я кажись врубаюсь. Получается, что если залезть внутрь железки, то все адреса созданные в ней (из самых разных Вланов и подсетей) будут доступны друг другу. Поэтому выходит, что если корректно подключиться к этой железке хостом и назначить этому хосту ЛЮБОЙ IP-адрес из этой железки в качестве шлюза, то начиная с этого момента, хост будет пинговать через этот, назначенный ему шлюз, АБСОЛЮТНО ВСЕ адреса из этой железки. Естественно, если они находятся в состоянии "UP".
Ну, хоть сейчас-то я правильно понял? :)

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "Один Vlan имеет доступ в другой Vlan" +/–

Сообщение от Den (??) on 05-Окт-12, 15:12

>> Учите матчасть...
1. Изучит на досуге модель OSI
2. Что такое L3 коммутаторы
3. Отличие протоколов ethernet, arp, ip
4. Маршрутизация между вланами.
И тогда вопросы сами отпадут.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "Один Vlan имеет доступ в другой Vlan" +/–

Сообщение от fantom (ok) on 05-Окт-12, 15:53

>> Учите матчасть...
> Матчасть со всех своих страниц, черным по белому, учит меня тому, что
> Вланы НЕ ДОСТУПНЫ друг другу по определению! Это аксиома! А тут
> выходит форменное нарушение всех "законов физики". :) Читаю вас и получается
> следующее:
>> ...IP назначения доступен через влан7
Эх... учить вас и учить :)
VLANы НЕ ДОСТУПНЫ друг другу по определению!!! и это правильно и так оно и есть на самом деле... НО!!! для уровня 2!!!!! модели osi !!!!!!
А ip - это уровень 3 !!!!!!
Если хотите полной изоляции - vrf вам в помощь!
> В общем я кажись врубаюсь. Получается, что если залезть внутрь железки, то
> все адреса созданные в ней (из самых разных Вланов и подсетей)
> будут доступны друг другу. Поэтому выходит, что если корректно подключиться к
> этой железке хостом и назначить этому хосту ЛЮБОЙ IP-адрес из этой
> железки в качестве шлюза, то начиная с этого момента, хост будет
> пинговать через этот, назначенный ему шлюз, АБСОЛЮТНО ВСЕ адреса из этой
> железки. Естественно, если они находятся в состоянии "UP".
> Ну, хоть сейчас-то я правильно понял? :)
В первом приближении :)
именно чтобы КОНТРОЛИРОВАТЬ подобное придуманы файрволы, брандмаузеры и фильтры IP-ов/портов/протоколов.....
вы можете на шлюзе контролировать доступ из одной сети в другую, если все запихнуть в один vlan - вы лишитесь возможности подобного контроля.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

8. "Один Vlan имеет доступ в другой Vlan" +/–

Сообщение от SlavikSG (ok) on 05-Окт-12, 16:19

> В первом приближении :)
Ну, хоть в первом приближении. И то слава Богу! :)
Ведь это получается, как будто в обычный комп-сервер воткнуть пять сетевых карт, всем сетевушкам назначить IP-адреса из разных подсетей и подключиться к этому компу другим компом-клиентом. Стоит назначить клиенту шлюз из любого IP адреса сервера, как он начнет видеть все пять сетевых карт. Именно эта аналогия мне понятнее всего. Именно она и работает в коммутаторе. Именно в это я и не врубался. Думал, что в коммутаторе все гораздо сложнее. А он, зараза, тот же комп (ну, почти)... :)
Можно вопрос не по теме?
Я вообще правильно делаю, что довожу клиентский Влан через все коммутаторы до Агрегации и потом даю клиенту шлюз от этой самой Агрегации? Ну, при условии, что у меня в сети только только Агрегация и Доступы. Ядра нет. То есть сам подход верный, если строить небольшую сеть IPoE? Типа, Влан на абонента, или Влан на дом... Так, в принципе, нужно делать?
> именно чтобы КОНТРОЛИРОВАТЬ подобное придуманы файрволы, брандмаузеры и фильтры IP-ов/портов/протоколов.....
ACL (он же фаервол), конечно буду юзать! И контролировать и прочее... Просто думал, что я в принципе, что-то не так строю.
> все запихнуть в один vlan - вы лишитесь возможности подобного контроля.
Ну, и конечно один Влан на всех юзать глупо. :)

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

9. "Один Vlan имеет доступ в другой Vlan" +/–

Сообщение от Николай (??) on 05-Окт-12, 18:57

Судя по постам человек вы упорный и это респект вам. В общем я считаю что таких работодателей надо подвешивать за ... Если уж взяли такого работника то минимально обучите его, хотя бы принципы построения. Конечно методом тыка и ошибок вы обучитесь, но узнаете не все аспекты и не все сразу будете делать верно.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Один Vlan имеет доступ в другой Vlan"	+/–
Сообщение от Николай (??) on 05-Окт-12, 12:35
пингуете вы потому как прписан гетвей и на гетвее у вас есть и ИП другого влана который прекрасно роутиться :)
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	2. "Один Vlan имеет доступ в другой Vlan"	+/–
	Сообщение от fantom (ok) on 05-Окт-12, 12:54
	> пингуете вы потому как прписан гетвей и на гетвее у вас есть > и ИП другого влана который прекрасно роутиться :) VLAN - l2, ip - L3, пинги из одного влана в другой попадают не по вине коммутатора, а по вине маршрутизатора - вот на нем и думайте что делать....
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	3. "Один Vlan имеет доступ в другой Vlan"	+/–
	Сообщение от SlavikSG (ok) on 05-Окт-12, 13:07
	> пингуете вы потому как прписан гетвей и на гетвее у вас есть > и ИП другого влана который прекрасно роутиться :) Да это я понимаю, что все упирается в шлюз 192.168.11.1, находящийся в Агрегации во "Влане 5". Я не понимаю ПОЧЕМУ это самый адрес из Vlan 5 имеет доступ в чужой Vlan 7!!! Это что, так и должно быть? Разве Вланы не должны быть изолированы друг от друга в коммутаторе?! Тем более Вланы с разными подсетями. > пинги из одного влана в другой попадают не по вине коммутатора, а > по вине маршрутизатора - вот на нем и думайте что делать.... Получается, что "Коммутатор Агрегации" как таковой - он же есть маршрутизатор ПО УМОЛЧАНИЮ? То есть как бы объединяет внутри себя все Вланы между собой? И это так и должно быть? Или я что-то совсем не понимаю. Сори еще раз. Совсем я чайник в этих делах. :(
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	4. "Один Vlan имеет доступ в другой Vlan"	+/–
	Сообщение от fantom (ok) on 05-Окт-12, 13:29
	>[оверквотинг удален] > Агрегации во "Влане 5". Я не понимаю ПОЧЕМУ это самый адрес > из Vlan 5 имеет доступ в чужой Vlan 7!!! Это что, > так и должно быть? Разве Вланы не должны быть изолированы друг > от друга в коммутаторе?! Тем более Вланы с разными подсетями. >> пинги из одного влана в другой попадают не по вине коммутатора, а >> по вине маршрутизатора - вот на нем и думайте что делать.... > Получается, что "Коммутатор Агрегации" как таковой - он же есть маршрутизатор ПО > УМОЛЧАНИЮ? То есть как бы объединяет внутри себя все Вланы между > собой? И это так и должно быть? Или я что-то совсем > не понимаю. Не понимаете.. IP пакет (пинг например) "помещается" в езернет фрейм, фрейм попадает в влан 5 на коммутаторе доступа, коммутатор отправляет его внутри влана5 на агрегацию, на шлюзе из фрейма "извлекается" IP пакет и анализируется IP адрес назначения, IP назначения доступен через влан7; Шлюз формирует новый фрейм, в который помещает все тот же ip пакет (заметьте - пакет тот же самый, а вот фрейм НОВЫЙ) и отправляет его в влан7, коммутатор доступа получает этот фрейм СО СТОРОНЫ АГРЕГАЦИИ и благополучно вынимает из него ip пакет, формирует ответный пакет, помещает его в фрейм, отправляет на агрегацию, шлюз вынимает пакет из фрейма пришедшего в влан7, помещает его в фрейм для влана 5 и отправляет рабочей станции. Собственно изоляцию vlan-ов проверить просто - вынимаете все шнурки из коммутатора доступа и подключаете один единственный - ваш копм который в влане 5, и пытаетесь пропинговать ip коммутатора, размышляете над полученными результатами. ;) > Сори еще раз. Совсем я чайник в этих делах. :( Простите, заметно. ;) Учите матчасть...
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	5. "Один Vlan имеет доступ в другой Vlan"	+/–
	Сообщение от SlavikSG (ok) on 05-Окт-12, 14:41
	> Учите матчасть... Матчасть со всех своих страниц, черным по белому, учит меня тому, что Вланы НЕ ДОСТУПНЫ друг другу по определению! Это аксиома! А тут выходит форменное нарушение всех "законов физики". :) Читаю вас и получается следующее: > ...IP назначения доступен через влан7 В общем я кажись врубаюсь. Получается, что если залезть внутрь железки, то все адреса созданные в ней (из самых разных Вланов и подсетей) будут доступны друг другу. Поэтому выходит, что если корректно подключиться к этой железке хостом и назначить этому хосту ЛЮБОЙ IP-адрес из этой железки в качестве шлюза, то начиная с этого момента, хост будет пинговать через этот, назначенный ему шлюз, АБСОЛЮТНО ВСЕ адреса из этой железки. Естественно, если они находятся в состоянии "UP". Ну, хоть сейчас-то я правильно понял? :)
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	6. "Один Vlan имеет доступ в другой Vlan"	+/–
	Сообщение от Den (??) on 05-Окт-12, 15:12
	>> Учите матчасть... 1. Изучит на досуге модель OSI 2. Что такое L3 коммутаторы 3. Отличие протоколов ethernet, arp, ip 4. Маршрутизация между вланами. И тогда вопросы сами отпадут.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	7. "Один Vlan имеет доступ в другой Vlan"	+/–
	Сообщение от fantom (ok) on 05-Окт-12, 15:53
	>> Учите матчасть... > Матчасть со всех своих страниц, черным по белому, учит меня тому, что > Вланы НЕ ДОСТУПНЫ друг другу по определению! Это аксиома! А тут > выходит форменное нарушение всех "законов физики". :) Читаю вас и получается > следующее: >> ...IP назначения доступен через влан7 Эх... учить вас и учить :) VLANы НЕ ДОСТУПНЫ друг другу по определению!!! и это правильно и так оно и есть на самом деле... НО!!! для уровня 2!!!!! модели osi !!!!!! А ip - это уровень 3 !!!!!! Если хотите полной изоляции - vrf вам в помощь! > В общем я кажись врубаюсь. Получается, что если залезть внутрь железки, то > все адреса созданные в ней (из самых разных Вланов и подсетей) > будут доступны друг другу. Поэтому выходит, что если корректно подключиться к > этой железке хостом и назначить этому хосту ЛЮБОЙ IP-адрес из этой > железки в качестве шлюза, то начиная с этого момента, хост будет > пинговать через этот, назначенный ему шлюз, АБСОЛЮТНО ВСЕ адреса из этой > железки. Естественно, если они находятся в состоянии "UP". > Ну, хоть сейчас-то я правильно понял? :) В первом приближении :) именно чтобы КОНТРОЛИРОВАТЬ подобное придуманы файрволы, брандмаузеры и фильтры IP-ов/портов/протоколов..... вы можете на шлюзе контролировать доступ из одной сети в другую, если все запихнуть в один vlan - вы лишитесь возможности подобного контроля.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	8. "Один Vlan имеет доступ в другой Vlan"	+/–
	Сообщение от SlavikSG (ok) on 05-Окт-12, 16:19
	> В первом приближении :) Ну, хоть в первом приближении. И то слава Богу! :) Ведь это получается, как будто в обычный комп-сервер воткнуть пять сетевых карт, всем сетевушкам назначить IP-адреса из разных подсетей и подключиться к этому компу другим компом-клиентом. Стоит назначить клиенту шлюз из любого IP адреса сервера, как он начнет видеть все пять сетевых карт. Именно эта аналогия мне понятнее всего. Именно она и работает в коммутаторе. Именно в это я и не врубался. Думал, что в коммутаторе все гораздо сложнее. А он, зараза, тот же комп (ну, почти)... :) Можно вопрос не по теме? Я вообще правильно делаю, что довожу клиентский Влан через все коммутаторы до Агрегации и потом даю клиенту шлюз от этой самой Агрегации? Ну, при условии, что у меня в сети только только Агрегация и Доступы. Ядра нет. То есть сам подход верный, если строить небольшую сеть IPoE? Типа, Влан на абонента, или Влан на дом... Так, в принципе, нужно делать? > именно чтобы КОНТРОЛИРОВАТЬ подобное придуманы файрволы, брандмаузеры и фильтры IP-ов/портов/протоколов..... ACL (он же фаервол), конечно буду юзать! И контролировать и прочее... Просто думал, что я в принципе, что-то не так строю. > все запихнуть в один vlan - вы лишитесь возможности подобного контроля. Ну, и конечно один Влан на всех юзать глупо. :)
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	9. "Один Vlan имеет доступ в другой Vlan"	+/–
	Сообщение от Николай (??) on 05-Окт-12, 18:57
	Судя по постам человек вы упорный и это респект вам. В общем я считаю что таких работодателей надо подвешивать за ... Если уж взяли такого работника то минимально обучите его, хотя бы принципы построения. Конечно методом тыка и ошибок вы обучитесь, но узнаете не все аспекты и не все сразу будете делать верно.
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору