Dotaz: Zyxel GS1920 - problem s Guest VLAN

[GeorgeWH]

Zdravim.

Snazim sa rozbehat guest VLAN na switchi zyxel gs1920-24 v2 (ked sa pouzivatel neautentifikuje cez 802.1x). Ono mi to tak napoly funguje aj nefunguje.

Nefunguje to, ked nastavim membership portu pre danu VLAN (ci uz privatnu alebo guest) na "Normal" (podla manualu sluzi pre dynamicke priradenie portu do VLAN v pripade GVRP - nepouzivam), ani ked nastavim na "Forbidden" (tu je to logicke, ze to nefunguje). Ani v jednom pripade klient nedostane IP cez DHCP (ani v privatnej VLAN po uspesnej autentifikacii, ani po neuspesnej po priradeni do guest VLAN).

Jediny pripad, kedy to funguje (ale zle) je, ked nastavim pre dany port membership v oboch VLAN-nach na "Fixed" - vtedy cez DHCP dostanem IP zo spravneho rozsahu, ale vzdy vidim trafik aj z druhej VLAN - to znamena, ze ked som overeny a teda v privatnej VLAN, tak na sietovke vidim trafik z guest VLAN a naopak. Ked si nastavim IP adresu z tej druhej VLAN-y (ktoru by som nemal vidiet), tak komunkacia nefunguje.

PVID portu je nastavene na ID privatnej VLAN-y.

Podla mna je cely problem v tom, ze akonahle nastavim membership "Fixed" na nejaku VLAN (v tomto pripade access port, takze netagovany), tak uz tam switch posiela packety z danej VLAN, bez ohladu na to, ci som alebo nie som overeny - preto ich tam vidim. Nastavenie PVID funguje ok, lebo ked som overeny, tak mam IP z privatnej VLAN a ked nie som, tak mam IP z guest VLAN a komunikacia funguje.

Povodne som si myslel, ze staci pre port nastavit membership a PVID privatnej VLAN-y (co sa aplikuje po overeni klienta) a v pripade neoverenia switch automaticky/dynamicky clenstvo z privatnej VLAN odoberie, prida ho do guest a zmeni aj PVID - toto ale nefunguje.

A teraz je otazka, ci mam ja nieco zle nastavene, alebo je to bug vo switchi, alebo...?

Nemate s tym niekto skusenost?

Vdaka.

---

---

Odpovědi

[NN]

Nemas ten port prirazeny do privatni VLAN ve "VLAN Port Setup"? Tady dole je popsany navod.

[GeorgeWH]

Ano, mam tam nastavene PVID privatnej VLAN.

Ale na tom fore riesia priradenie do VLAN cez RADIUS, takze access portom nenastavuju membership ani PVID, vsetko to switch nastavuje dynamicky. Ja mam ale membership a PVID pevne (inac by mi po autentifikacii nefungoval net) a zmenit sa to ma len v pripade neuspesnej autentifikacie.

[GeorgeWH]

Tak z podpory mi odpisali, ze je to takto by design, takze s tym asi nic nespravim. Aj ked podla mna to je bezpecnostna chyba, pretoze v guest VLAN-e vidim ARP a IP broadcasty z privatnej VLAN, a ak by som mal nahodou overovanie na portoch nastavene podla MAC adresy, tak...

[V.]

Neni to chyba, je to vlastnost.

[GeorgeWH]

No ved mi to podtvdili aj na supporte, ale podla mna je to chyba (to je jedno, ci umyslena alebo nie), pretoze vidim to, co nemam a v principe to viac-menej rusi cely vyznam rozdelovania siete do vlan.