Jak nastavit VLAN na switchi?

17.8.2010 12:29 | jiné výplody

Zdravim

Potrebuju radu jak nastavit VLAN na switchi, snazim se jak vul a nic... Je to spis o HW, tak radsi do blogu, to asi bude lepsi...

Cilem je jeden port na switchu nastavit jako netagovany VLAN 16 (zapojen bullet s vychozim FW) a jako tagovany poslat pres uplink port do routeru.

Takze v default VLAN 1 mam vsechny porty ve switchi untagged vyjma portu 16.

Port 16 jsem dal do vlanu 16 jako Untagged a uplinkovej port jako Tagged.

V routeru pak mam eth0 (to vlastne odpovida VLAN 1) a "vconfig add eth0 16" mam eth0.16 a tam jsem ocekaval provoz pouze z portu 16.

Pak jsem nekde vygooglil ze ten uplink port musim nastavit jako trunk. tak jsem tenhle jeden port nastavil do trunku 1.

Ale porad to nejde, neco delam asi spatne...

Díky, Zdeněk        

Komentáře

[kotyz]

me zas nejde na jednom pocitaci ze tri sitova tiskarna. tiskarna je pripojena v routeru kterej je pripojenej ve switchi a v nem je pripojeny i to pc z kteryho to nejde. saskoval sem tam v tom routeru cosi s port forwardingem a stejne to neslo. ten tvuj problem bude o nejakej level vejs, takze tohle by snad bylo mozny relativne snadno rozlousknout. kdo mi to vyresi, tak za to neco (jeste nevim co) dostane ...

[Zdeněk Štěpánek]

Resenim bude vyhazet zbytecny routery a NATy atd... Respektive routery prenastavit tak aby nebyly routery.

Musis to popsat trochu podrobnejc, nejlepe kdyz namalujes obrazek.

Zdenek

[kotyz]

kdyz sem v routeru vypnul nat tak mi prestal jit internet.

[kotyz]

Příloha:

• nakres.png (79193 bytů)

obrazek bych mel ...

[kotyz]

a ted co mam udelat, aby slo tisknout i z PC1?

[VSi]

1) ROUTER vyhoď, resp. ho použij jako switch (nejjednodušším způsobem tak, že dáš všechny kabely do LAN portů). Pak PC2, PC3 a tiskárna musí mít IP z rozsahu 192.168.1.X

2) Nebo PC1 zapoj taky za ROUTER, aby měl IP z rozsahu 192.168.10.X

3) Nebo na PC1 nastav směrovací pravidlo:

ip r a 192.168.10.0/24 via 192.168.1.150

(musí se spustit vždycky znova po restartu)

Možnost 1) je asi nejlepší, pokud můžeš libovolně využívat IP adresy z rozsahu 192.168.1.X .

[kotyz]

kazdy pc je v jiny mistnosti (akorat pc3 s tiskarnou a routerem sou ve stejny mistnosti) a switch je o patro vejs na pude (ten sem tam daval pred tejdnem, predtim nebylo pc1 pripojeny k netu nekolik mesicu a jeste predtim bylo pripojeny tim zpusobem, ze na pude byl router od isp, ale ten uz tam taky neni, misto toho vede z anteny rovnou jeden jedinej lan kabel). kabely uz sou natazeny a hejbat se s nima nebude, to by se muselo zase vrtat pres dve zdi a tahat 50 metru kabelu podel zdi (aby se neplazil prostredkem mistnosti).

[VSi]

No tak buď zapoj ten router jako switch (tj. WAN port nevyužiješ), a pro PC2, PC3 a tiskárnu použij adresy 192.168.1.152,153,154 (to možná budeš muset domluvit s ISP). Nebo na PC1 spusť ten příkaz z bodu 3.

Ještě by byla další možnost, možná vůbec nejlepší: prostě prohodit ROUTER a SWITCH. Muselo by se změnit jenom nastavení PC1 (asi na DHCP, předpokládám, že ROUTER delá DHCP server).

[DjAARA]

Podle nákresu bych jako nejjednodušší řešení viděl záměnu přepínače a směrovače, kdy pak budou všechny počítače za NAT-em v jedné síti.

[kotyz]

to me uz taky napadlo, nechavam si to v zaloze ...

[kotyz]

nebo misto toho routeru tam dat druhej switch (osmiportovej, ted uz tam mam volnej jen jeden port a kdyz pripojim jeste notebook tak zadnej. a ono je obcas treba tam toho pripojit vic), to by bylo mozna i lepsi ...

[kotyz]

na pc1 sou widle xp, tam prikaz ip asi nebude fungovat ...

zkusim prehodit ty kabely v routeru, ale vsadim se ze mi pak zase nepude net, jako kdyz sem se v tom vrtal posledne a predposledne. a domluva s isp nebude snadna ani rychla, ale ty adresy by mi asi i dal.

jinak dhcp je nastaveny vsude, ip sem nastavoval akorat routeru samotnymu, kvuli tomu ze prideloval adresy z rozsahu 192.168.1.x a byly s tim nejaky problemy.

[kotyz]

na pc1 sou win xp, takze nastavim prd, pc2, 3 a tiskarna meli puvodne adresy z rozsahu 192.168.1.x ale musel sem to zmenit, protoze pak neslo primarni dns (192.168.1.1, ani ping ani nic) a stranky se nacitali desne pomalu (sice se nacitaji porad pomalu, ale aspon uz funguje to dns). o pripojeni pc1 do routeru sem premejslel, ale to by se musel tahnout novej kabel a ten co je uz natazenej by pozbyl smyslu, muselo by se vrtat 1x nebo 2x do zdi a vubec by to bylo zbytecne pracny. ono kdyz ta tiskarna nepude, tak se nic nestane, obesli sme se na tom pc bez ni dva a pul roku, takze se obejdeme dal. ale jestli je to mozny nak udelat, tak ti CHCI!

[VSi]

I na Win XP to nastavíš v podstatě stejně:

route add 192.168.10.0 mask 255.255.255.0 192.168.1.150

tohle uložit jako .bat soubor a nejjednodušší je dát ho do "Start - Programy - Po spuštění". Jenom při instalaci tiskárny budeš muset nastavit ručně její IP adresu, protože je v jiný podsíti, a samo jí to nenajde. Ono je vůbec lepší na Windows instalovat tiskárnu úplně ručně, protože tak se tam nemá šanci dostat balast přibalenej k ovladačům.

Ale asi nejlepší by bylo prohodit ten router se switchem, jak jsem psal.

Jestli se stránky skrz router načítak pomaleji než na PC1, tak tam máš někde zásadní problém.

[kotyz]

to neni problem, na to je tam pri instalaci ovladacu dialog - vyhledat rucne tiskarnu podle ip/mac/hostname (nechytlo se mi ani jedno).

jo, to sem uz psal, ze byl problem s dns, nesel na nej ani ping, to uz sem opravil. ale stejne se mi to zda naky liny. nicmene stahovani jde normalne rychle. taky mam pocit ze na tom samym pc pod win se zadny zpomaleni nacitani stranek nekona (vsim sem si toho, ale nemeril sem to), takze to muze bejt este necim jinym, ale dal sem se tim pak uz nezabejval.

[kotyz]

tak sem to nastavil a stejne to nejde. ping na 192.168.1.150 OK (tam by mel bejt pripojenej router), na 192.168.10.140 (tiskarna) ani 192.168.10.254 (pres to se prihlasuje do webovy administrace routeru a kdyz si vytisknu konfiguraci tiskarny, figuruje tam jako default gateway) nefunguje

takze tudy cesta asi nevede (nebo jenom tohle jediny nastaveni samo o sobe nestaci). zkusim ten router docasne zapojit jako switch ...

[VSi]

Aha, on ten router vlastně dělá NAT, takže to takhle jednoduše nepůjde. Muselo by se upravit jeho nastavení, a kdo ví, jestli to vůbec jde.

[kotyz]

ted funguje v rezimu switch a net neprestal jit na zadnym z pocitacu. to je dobre. ted otestuju jeste na vsech tiskarnu, jestli to pude, router pude pryc a misto nej prijde osmiportovej switch

[kotyz]

tak to kupodivu funguje (ve smyslu ze mi neprestal jit net, tiskarnu teprv prubnu. dostal sem jinou ip, 192.168.1.152, takze by to uz ted melo fachcit).

UPDATE: fachci. tiskarna se prave instaluje

[kotyz]

Přílohy:

• screen01.png (119406 bytů)
• screen03.png (237428 bytů)

a uz to jede, uz to tiskne!

[kotyz]

Příloha:

• screen02.png (243322 bytů)

dokonce skenovani po siti funguje! awesome!

[coques]

Co ti hodi vypis "ifconfig eth0.16" ?

Mas spravne nastavene routy a priradenu IP k eth0.16? Mozes to aspon pingnut?

Ako si nastavoval ten trunk port?

Inak podla toho co pises, by to mohlo fungovat. Asi si nieco opomenul.

[VSi]

Bylo by dobré ještě doplnit typ switche. Terminologie a způsob nastavení se někdy zásadně liší podle výrobce a modelové řady.

Hlavně slovem trunk už jsem viděl označované 2 věci - "uplink" port, kde jsou dostupné všechny tagované VLAN; nebo "port channel" - spojení více portů pro rozložení zátěže nebo redundanci.

Pochopil jsem, že máš 1 port do routeru, pak 1 co má být ve VLAN 16, a ostatní VLAN 1. Jakmile se používá "uplink" s více VLANy do routeru, není dobré používat přímo eth0, ale radši eth0.1 a eth0.16 -- nemíchat na tom portu tagovaný a netagovaný provoz, i když teoreticky to asi možné je.

Jak bych postupoval s nastavením:

- na linuxu udělat eth0.1 a eth0.16, samotný eth0 bude bez IP adresy

- port switche, do kterého je připojen router: tagged VLAN 1, tagged VLAN 16

- ostatní porty: untagged, VLAN 1 nebo 16

Pak se to bude chovat jako 2 izolované switche zapojené do serveru skrze 2 síťové karty. Takhle už jsem nastavoval všelijaké switche od Cisco, HP nebo 3Com, a vždycky to nakonec šlo.

Ještě doplním, že VLAN1 se obvyle používá pro management switche, a je jepší uživatelské porty oddělit do jiné VLAN, protože pak jim lze firewallem omezit přístup na IP adresu managementu.

[SPM]

No u každýho alespoň trochu chytrýho switche jde mng interface nastavit (dokonce i na tý strašný Dy-Lině co mám doma). Už jenom proto, že VLAN1 == žádná Vlan a pak se z toho ta síť staví dost blbě...

[VSi]

Mám tu pár let starý switch 3Com s 16 Gb porty, a tam management VLAN nastavit nejde . Ale je to skutečně základní model se "simple web management", který ale na dané použití stačí. U všech ostatních, co jsem měl v ruce to myslím nastavit šlo.

VLAN1 == žádná Vlan

Nemusí nutně platit. Já teda i VLAN1 vždy na "trunk" portu nastavuju jako tagged.

[SPM]

Nemusí nutně platit. Já teda i VLAN1 vždy na "trunk" portu nastavuju jako tagged.

No a má to na nastavení nějaký vliv? :) Taknějak žiju v tom, že pakety ve vlan1 ten tag nemají, tudíž taggované a neotagovanné vypadají stejně...

[VSi]

Úplně jistý si nejsem. Ale podle mě je VLAN1 stejná jako každá jiná, jen výchozí konfigurace switche je obvykle: všechny porty netagované ve VLAN1. Tomu odpovídá i chování v Linuxu, kde provoz z tagované VLAN1 jde na ethX.1 a netagovaný provoz jde na ethX.

[rubicon]

Ono to spolu hlavně moc nesouvisí. Termín, který tuhle záležitost vysvětluje, se jmenuje nativní VLAN. Rámce patřící do ní nejsou tagovány, a je lhostejno, je-li nativní VLAN nastavena jako VLAN1 (což bývá výchozí stav, to souhlasím), nebo např. VLAN666.

Takže správně se to má takto:
- rámce přijaté portem přepínače s VLANx budou při přeposílání na jiné rozhraní:
a) tagovány, pokud je výstupním rozhraním trunk (mající tuto VLAN povolenu a jehož nativní VLAN != VLANx)
b) netagovány, pokud je výstupním rozhraním trunk, jehož nativní VLAN == VLANx
c) netagovány, pokud je výstupním rozhraním jiný port ve VLANx

Samozřejmě, pokud switch opouští rámec opatřený tagem, zařízení na druhém konci s tím musí počítat.

Oficiálním zdrojem je norma IEEE 802.1q, volně dostupná, odkaz je i v anglické Wikipedii.

[pavlix]

že pakety ve vlan1 ten tag nemají, tudíž taggované a neotagovanné vypadají stejně...

Jestliže se bavíme o eth rámcích, tak tagované a netagované rozhodně stejně nevypadají. Tagované obsahují navíc tag (jak název napovídá).

[SPM]

Trunk = posílat tagovaný pakety. Tedy tam kde je ten bullet, tak ho dej jako untagged 16 (access port) a u toho routeru naopak tagged 16 (= trunk port)

[frEon]

a co je to za switch? ne kazdy vyrobce si predstavuje trunk stejne jako cisco.

[Zdeněk Štěpánek]

Typ switche je Dell PowerConnect 3024, prakticky stejny firmware je i v NETGEAR FSM726, mozna i jinde...

Nastavit uplink port jako "VLAN-1 tagged" a v linuxu udelat eth0.1 me taky napadlo, ale musim to udelat lokalne, nemuzu si dovolit tohle testovat vzdalene.

Nahled jsem do manualu a "port trunking" v podani Dellu je vlastne bonding, cili to vubec nepotrebuju. Cesky manual zde:

http://support.dell.com/support/edocs/network/1j052/cz/ug/3024c34.htm#1113017

[Zdeněk Štěpánek]

Jeste dodam, ze je tam nastaveni, kde se ke kazdymu portu nastavuje VLAN ID, ktery ma dostat prijmuty paket, vychozi je 1 pro vsechny. tak jsem pro port 16 nastavil VLAN ID 16, vse ostatni nastavil jako predtim a na eth0.16 uz jsem videl prichozi pakety co tecou od zarizeni do toho portu pripojenych, ale opacne to porad neslo, nepingal jsem si.

Zdenek

[vencour]

Přeložim to do řeči, co je mi bližší.

Switch spojuje vlan, 802.1q, navzájem. Umí porty access a trunk, acces je z jedný strany ethernet a z druhý strany otagovaný jednim číslem, port trunk je z jedný strany moc vlan, z druhý strany moc vlan - ale jedna z toho se netaguje, která je "nativní", což je zřejmě ta 16. Tak tohle "jen" přeložit do terminologie daného výrobce.

[pavlix]

ale jedna z toho se netaguje, která je "nativní"

Nedoporučuju, dělá to jen bordel, kde taguju, taguju vše.

[Martin Šebek]

Ahoj,

nevím, jestli jsem tomu správně porozuměl, tak to popíšu svými slovy. Do uplinku switche máš přes tagovaný port připojený router. Do jiného portu, accessového (netagovaného), máš připojenou stanici.

Potom tedy stačí, když oba porty budou ve VLAN 16 a na accessovém portu budeš mít jako default VID nastaveno také 16. Na straně routeru se vlana zprovozní následovně (protože jsem si nikde nevšimnul konkrétního příkladu, tak jsem si IP rozsah vycucal z prstu):

# modprobe 8021q

# vconfig add eth0 16

# ip l set eth0.16 up

# ip a add 192.168.16.0/24 dev eth0.16

[Martin Šebek]

Ehm, ta IP adresa je koukám vycucaná až moc. :) Tak si do toho čtvrtého oktetu doplň cokoliv mezi 1 a 254.

[Zdeněk Štěpánek]

Ale presne takhle to mam nastaveny.

[Martin Šebek]

A když budeš poslouchat tcpdumpem na eth0.16, tak je vidět co?

[Zdeněk Štěpánek]

Vidim prichozi pakety od lidi, proste vsechno mozny, ale protecou jen prichozi. Na routeru bych vlastne mel videt i odchozi, ale ty uz proste k cili nedotecou.

Zdenek

[Martin Šebek]

A firewall je pro tyto testovací účely úplně vypnutý?

[Zdeněk Štěpánek]

Aha, zeby...

Ten router je zaroven igw pro 300 lidi, takze fw vypnout jaksi nemuzu, ale je fakt ze fw pracuje jen s eth0 a eth1, coz pri soucasnem systemu ze eth0 ma jen aliasy vubec nevadi, ale eth0.16 je vlastne uplne jina sitovka, takze o ni vubec nevi.

No vyzkousim.

Kazdopadne se mi snad podari levne koupit dalsi takovy switch, takze bych si to vyzkousel i na stole.

Zdenek

[Zdeněk Štěpánek]

No tak uz to funguje... Jsem blbec no...

[Martin Šebek]

Takže výchozí politika na INPUTu a FORWARDu byla na DROP? :)

[Zdeněk Štěpánek]

Jojo, bylo tam DROP a ja jsem mel na INPUTu a FORWARDu nastaven ACCEPT jen pro eth0. Takze jsem to musel nastavit i pro eth0.16 a dalsi VLANy, ktery ted delam.

[frEon]

tak s takovymi jsem se jeste nesetkal... sorry

[pavlix]

Máš v tom totální bordel, nejdřív je potřeba se rozhodnout, čeho chceš docílit, a pak to teprv začít nastavovat.

VLAN je de facto virtualizace... nejlepší pohled pro síťaře je představit si, jako kdyby měl dost peněz a místa a použil skutečný hardware.

Takže... netagované porty jsou prostě porty switchů. Číslo VLAN je číslo virtuálního switche. Příklad, mám 24-portový VLAN switch. Na portech 1-8 VLAN 1, na portech 9-16 VLAN 2, na portech 17-20 VLAN 3 a na portech 21-22 VLAN 4. Chová se to (téměř) naprosto identicky, jako dva osmiportové switche, jeden čtyřportový a jeden dvouportový.

A tagované porty? Ty patří proti tagovaným portům jiného switche. Když na port 23 dám VLAN 1 a VLAN 2 (tagované) a připojím druhý stejně konfigurovaný switch... tak kabel, který propoujuje port 23 prvního fyzického switche a druhého fyzického switche, má v sobě dva virtuální kabely (to je část z té úspory). Prostě trunk (VLAN) na trunk (VLAN) a všecko jede.

Mno... a pak je tu zvláštní případ... kdy router umí VLAN (na linuxu samozřejmě easy)... potom propojuj jedním kabelem trunk port switche a trunk port routeru... virtualizuju tak hned tolik kabelů, kolik daný port zahrnuje VLAN (obvykle všechny používané). A nejen to, virtualizuju tím i tolik fyzických rozhraní na routeru. Pravda i portů na switchi.

Tedy na linuxovém routeru musím inicializovat všechny virtuální rozhraní odpovídající těm VLAN, abych to opravdu mohl spravovat jako několik samostatných (byť virtuálních) rozhraní.

Kombinace tagovaných a netagovaných paketů na jednom portu je IMHO totální prasárna. Ne že by bylo špatné to použít v případě nouze... ale do plánování sítě to podle mě nepatří.

[Zdeněk Štěpánek]

No v zasade jsi pro me nenapsal nic noveho, jen to co uz bylo psano vyse, abych uplink port nastavil VLAN 1 Tagged a VLAN 16 Tagged. Ze proste neni dobry michat tagovany a netagovany VLANy na jednom portu.

Ale treba s HP ProCurve 2626 problem nemam, uplink do routeru VLAN 1 je Untagged a jeste je na tom 19 ruznych VLAN jako tagged. Je u toho dokonce identicky router jako v tomhle pripadu kdy to nefunguje.

Ale i tak diky.

[pavlix]

Jojo, ono taky není co nového na tom vymýšlet :). Jinak čas psaní komentáře celkem s těma ostatníma sedí.

Gratuluju, že se povedlo.