Dotaz: VLAN + switch = ako preboha na to?

[Peter]

Přílohy:

• 1.jpeg (123692 bytů)
• 2.jpeg (131793 bytů)

Dobrý deň vám všetkým prajem.

Prvykrát v živote som dostal úlohu nastaviť VLAN na pobočke. Potrebujeme totižto 2 oddelené siete (192.168.11.0/24 a 192.168.12.0/24) ale do servera už nemôžeme pridať ďalšiu fyzickú kartu. Takže som sa to snažil urobiť takto:

Server je CentOS 5.10 a vnútorná sieť je na eth1. Switch je Asus GigaX1024i. Nainštaloval som vconfig a zmenil konfiguračné súbory siete

staré nastavenie:

/etc/sysconfig/network-scripts/ifcfg-eth1

DEVICE=eth1                              
TYPE=Ethernet                            
BOOTPROTO=static                         
IPADDR=192.168.11.254                    
NETMASK=255.255.255.0                    
NETWORK=192.168.11.0                     
BROADCAST=192.168.11.255                 
ONBOOT=yes                               
HWADDR=00:11:3B:18:43:63

nové nastavenie:

/etc/sysconfig/network-scripts/ifcfg-eth1

DEVICE=eth1
TYPE=Ethernet
BOOTPROTO=none                              
ONBOOT=yes                                  
HWADDR=00:11:3B:18:43:63

/etc/sysconfig/network-scripts/ifcfg-eth1.10

DEVICE=eth1.10                                
TYPE=Ethernet                                 
BOOTPROTO=static                              
IPADDR=192.168.11.254                         
NETMASK=255.255.255.0                         
NETWORK=192.168.11.0                          
BROADCAST=192.168.11.255                      
ONBOOT=yes                                    
VLAN=yes                                      
HWADDR=00:11:3B:18:43:63

/etc/sysconfig/network-scripts/ifcfg-eth1.20

DEVICE=eth1.20                                
TYPE=Ethernet                                 
BOOTPROTO=static                              
IPADDR=192.168.12.254                         
NETMASK=255.255.255.0                         
NETWORK=192.168.12.0                          
BROADCAST=192.168.12.255                      
ONBOOT=yes                                    
VLAN=yes                                      
HWADDR=00:11:3B:18:43:63

Pochopiteľne, že som nezabudol na /etc/init.d/network restart ktorý prebehol v poriadku

Bringing up loopback interface:                            [  OK  ]
Bringing up interface eth0:                                [  OK  ]
Bringing up interface eth1:                                [  OK  ]
Bringing up interface eth1.10:  Added VLAN with VID == 10 to IF -:eth1:-
                                                           [  OK  ]
Bringing up interface eth1.20:  Added VLAN with VID == 20 to IF -:eth1:-
                                                           [  OK  ]

Na switchi som medzi tým nastavil to čo je v dvoch priložených obrázkoch (a to fakt netuším, že či je to dobre, ale možno mám zradu aj v nastavení servera - preto sa pýtam). Dôležité informácie sú:

Port 24 je pripojený do eth1 na serveri
Port 23 je pripravený pre ďalší switch (zatiaľ tam nie je)
Port 22-21 by mala byť sieť 192.168.12.0/24
Port 20-1 by mala byť sieť 192.168.11.0/24

Na PC som nenastavoval vôbec nič špecifické - je tam proste štandartné windows nastavenie s DHCP klientom

Samozrejme ale bohužiaľ po aplikácii vyššie uvedeného sieť nejde - to znamená, že sa nepingnem ani zo servera na pc a ani z pc na server.

Budem nadosmrti zaviazaný každej dobrej duši ktorá mi s tým pomôže. Vopred vám veľmi pekne ďakujem.

Odpovědi

[NN]

Na obrazku to neni videt, ale port 24 musi byt tagovany pro VLAN 10 a 20(tag).

[Max]

Tak tak, také mně to udeřilo do oka. Aby server viděl obě sítě, je potřeba, aby port ve switchi, do kterého je připojen, byl otagovaný pro obě VLANy, které má vidět.
Standardně jsou dvě varianty portů : tagged a untagged.
untagged - port je součástí jedné VLAN a do takového portu se připojují standardně klientská PC, či servery apod.
tagged - port může být součástí více VLAN, používá se k propojení mezi switchema, aby se mezi nimi dalo přenášet více VLAN jedním kabelem a také např. k připojení serveru, který potřebuje vidět do více VLAN.

Měl by jsi tedy mít :
untagged (VLAN10): 1-20
untagged (VLAN20): 21-22
tagged (VLAN10, VLAN20): 23-24

Zdar Max

[Max]

Jinak osobně mám zkušenost se switchi 3com a HP a ctím základní pravidlo : nepoužívat gui pro konfiguraci, ale případně jen pro monitoring (dívání se na logy, přehled základního nastavení apod).
Je to z toho důvodu, že nikdy 100% nevíš, co nějaké gui klikátko všechno udělá a mám tu zkušenost, že ani gui klikátko všechno neukáže.
Zdar Max

[Peter]

No o tom untagged a tagged som zamozrejme veľa toho počítal, takisto sa spomínal aj trunk, ... ale na tomto blbom switchi mám len padajúci CNM (proste fakt som sa nedopracoval k nejakému cmd) a nastaviť v tej sekcii môžem len port-based a tag-based s VID. Ak pridám nejaký port-based port, tak sa tento port vymaže s Default VLAN a ani na ňom nemôžem nastaviť VID. Takže fakt netuším ani aký je rozdiel medzi týmito dvoma možnosťami (port a tag based). No a na Asus Support, technik ostal vyhúkaný, že čo od neho chcem - proste úžas nad úžas.

Ďakujem.

[Peter]

OK, na to aký je rozdiel medzi port a tag based som už prišiel. Ale na tom switchi fakt nevidím možnosť nastaviť tagged a untagged, alebo trunk, ...

[Max]

Viz :ASUS : How to configure VLAN in the switch?
z toho je patrné, že v podání ASUSu je "Port-based VLAN" = untagged, tag-based VLAN = tagged
Zdar Max

[Peter]

Ibaže keď vyberiem možnosť Port, tak nemôžem zadať VID. Čiže teraz to vyzeralo takto (samozrejme ale, že to nefungovalo):

Default VLAN: 23,24
Port-Based: 1-20
Port-Based: 21-22
10: 23,24
20: 23,24

[Max]

To už vypadá líp, jen by ještě neměly být ty porty v default VLAN.
Zdar Max

[R]

Lenze nevidim ziadne prepojenie medzi tymi port-based a tagged VLAN.

[Max]

Pravda, už jsem úplně slepej.
Zdar Max

[Peter]

Tak, tak ako vraví kolega, nevidím tam žiadne prepojenie a ako vravím - pri port-based variante nemôžem zadať už nič iné okrem samotného portu. VID môžem zadať len pri tag-based.

Skúšal som takéto niečo - hral som sa len s port-based:

pridal som porty 1-20,23,24 a dostal som

Default VLAN: 21,22
Port Based: 1-20,23,24

potom som pridal porty 21,22,23,24 a dostal som

Default VLAN:
Port Based: 1-20,23,24
Port Based: 21,22,23,24
Port Based: 1-24

[Max]

A webové rozhraní to nemá? Dle manuálu by to mít mělo. A dle manuálo by tam mělo jít nastavit hafo věcí. Nebude tedy chybka v tom?
Zdar Max

[Max]

Jinak aktuální firmware to má, že?
Zdar Max

[Peter]

No, vyzerá to tak, že som sa trápil absolútne zbytočne: http://support.asus.com/faq/detail.aspx?SLanguage=en&p=10&m=GigaX1024i&s=1&hashedid=Au2mQg99fd3DKcDc&os=&no=98A373E8-0712-D554-7CF8-E6B9FCCFD01B

Žiadne web rozhranie, žiaden firmware, iba blbé CNM. Ak budeš taký láskavý, tak mi prosím Ťa potvrď moju domienku. Ide totižto o to, že ja mám GigaX1024i a toto čo má web rozhranie je GigaX1024i+

Veľmi pekne Ti ďakujem za trpezlivosť.

[Max]

Aha, mno, tak to potom smolík :-/
Zdar Max

[Libor Chocholaty]

Sorry že prudím, ale co si koupit nějakej aspoň trochu normální switch, co VLANy umí nastavit aspoň trochu přirozeně? Děsně mě tam zarazily ty volby:

• Unicast packet Inter-VLAN leaky
• ARP broadcast Inter-VLAN leaky

atd. To jako znamená, že máš zapnuté, že packety příslušných typů prosakují mezi VLANama a je to tak schválně? Viz příručka str 37 (http://www.handbucher.com/manuals/36369/asus-gigax1024p.html?page=37):
8. Unicast packet inter-VLAN leaky: to enable the packet to be forwarded to a destination port (L2 table hit) at different VLAN.
9. ARP broadcast packet inter-VLAN leaky: to enable ARP frame to broadcast to all switch ports.
Třeba Edge-core ES3528M jsou za par šlupek a je to přesně ten typ nastavit a zapomenout.

[R]

Tiez ma to zarazilo. Ten switch vyzera byt hrozna sracka. Uz len to ovladanie iba cez utilitu pre Windows o niecom hovori...

Ale hadam sa to nejako podari rozchodit a potom uz do toho nehrabat.

[drunkezz]

potrebujes to dostat to stavu ze

PORT BASED; 1-20

Port Based: 22-21

Tagged 23,24

a Imo potom budes mat niekde dalsie nastavenie ze mas dve port-based grupy a niekde im nastavis VID

D.

[Peter]

Mimochodom, na samotnom serveri netreba ešte niečo iné nastaviť? Niečo vo firewall-i, na sieťovke, v klientskom pc, ...? Stači len nastaviť vlan v ifcfg-eth...?

[R]

Co je v tom CNM ta zelena "LED" s onacenim Port, resp. Tag?

[Peter]

Příloha:

• 3.jpeg (121340 bytů)

Tak momentálne mám na switchi nastavené 3 VLAN-y:

Default VLAN (to bude asi 1): porty 1-24 (táto VLAN sa nedá vymazať ani upravovať)
10: 1-20,23,24
20: 21,22,23,24

Ak dám pôvodný konfigurák na eth1 - teda 192.168.11.0/24 bez vlan tak v pohode zo servera pingnem napriklad 192.168.11.1. V momente ale keď dám ten konfigurák s vlan (10), tak už ten ping nejde.

Ďakujem

[Max]

Ještě je v tom klikátku divná jedna věc. Když se přiřadí port do VLANy, tak zmizí z default VLAN, ale to tvé klikátko jej v default VLAN stále ukazuje, což by značilo, že jsou v default VLAN porty jako untagged a v jednotlivých vlanách jako tagged a pak se to samozřejmě bude chovat dost divně.
Tzn., port může být jednou jako untagged a jen v jedné VLAN, ale přitom může být v jiných VLANách jako tagged - to konfigurace dovoluje, ale neviděl bych to jako šťastné řešení (nenapadá mně, proč tak činit).
Zdar Max

[pet]

Na serveru musíš zapnout podporu VLAN (802.1q) a správně ji nastavit. Bude to chtít více studování, doporučuji např. http://www.samuraj-cz.com/clanek/vlan-virtual-local-area-network/. O pokročilém síťování jsem se na tomto webu dověděl strašně moc.

[rats]

1. Udelej si ty VLAN konfiguraky strucnejsi. Staci ti tohle

DEVICE = BRIDGE = VLAN =

2. cat /proc/net/vlan/config musi vypisovat tohle:

eth1.10 | 10 | eth1 eth1.20 | 20 | eth1

Pokud ne, nemuze ti to fungovat.

3. Podporu 802.1q neni treba nikde explicitne povolovat, kod je soucasti jadra uz dlouho. Leda by sis zkompiloval kernel bez nej... vconfig je zastaraly, ale poslouzi, novejsi ip umi totez:

vconfig add eth1 10 ip link add link eth1 name eth1.10 type vlan id 10

4. Ten switch je ... na nic. Doporuceni zni se ho zbavit.

Toto je spolecne s bridgovanim a bondovanim naprosto zakladni sitarska operace s interfacy na L2, kterou si lze predstavit...

[frr]

Mno... zažil jsem spoustu různých síťovacích takykrabiček, kterým zřejmě programoval firmware jakýsi diletant / mlamoj / frikulín, který dané oblasti sice naprosto nerozumí, ale má za zády nejspíš docela silného investora, takže se to dostalo na trh. Většinou to přivanulo z Asie. Moje rada zní: pokud spatříte příznaky tohoto, zahoďte ten krám i s rukama a kupte si něco, co funguje. Snadno ušetříte svému zaměstnavateli peníze za svůj drahocený čas. Ve Vašem případě odhadem stačí úspora cca 2-3 dnů a prachy na nový switch jsou doma.

Asus... mi přijde jako firma, která možná dělá dobré motherboardy a snad i grafiky, ale kromě toho se montuje do spousty oblastí, kterým nerozumí, a výsledkem jsou paskvily tohoto kalibru. Třeba to má i hezký klikací kabátek, ale jenom na první pohled. Na druhý pohled je zřejmé, že vespod fuj.

Mimochodem... pokud má nějaká trochu chytrá krabička klikací konfigurační utilitu jakožto nativní aplikaci pod Windows, tak je to pro mě další důvod dát ruce pryč. Výrobci se totiž obvykle nijak nesnaží udržovat/dokumentovat vzájemně kompatibilní verze firmwaru na krabičce a pod Windows, z čehož plyne spousta vcelku pochopitelných bugů. Čest výjimkám, kde to relativně funguje a dokonce třeba napříč verzemi (Mikrotik, další nebudu jmenovat).

Moje oblíbená levná značka switchů je D-Link. Jejich websmart switche jsou velmi v pohodě. Pokud se bavíme o 24port modelech tak mě napadá z poslední doby DGS-1100-24 nebo DGS-1210-28, ale mám po baráku pár kousků o 1-2 generace zpátky. Je možné, že byste tomu nějaké blechy v kožichu našel, ale základní VLANy fungují myslím správně.

Podobně pohodové budou odhadem websmart switche značek Netgear, Linksys a SMC - shodné čipsety a podobná sada vlastností jako hardware D-Link.

=> nemusíte kupovat zrovna HP nebo Cisco.

Ty levné switche mívají uvnitř hejno "vodnatých" elektrolytických kondíků, ale s tím se asi nedá nic moc dělat... pár let to poběží a pak je na Vás, jestli to vyhodíte nebo repasujete.