forum.opennet.ru - "Связь между Vlan-ами" (26)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"Связь между Vlan-ами"

Форум Открытые системы на сервере (Маршрутизация, NAT / FreeBSD)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Связь между Vlan-ами"	+/–
Сообщение от Рихард (ok) on 25-Фев-13, 19:14
Всем привет. Ситуация такая: есть два vlana, реализованные на коммутаторе dlink посредством 802.1Q. Маршрутизатор на OS FreeBSD 9.1, родительский интерфейс соединен с транковым портом. В качестве файервола используется PF. Нужно сделать так, чтобs машины из одного Vlan-a могли заходить на машины другого. Проблема в том что не могу понять механизм как это реализовать. Маршрутизация включена. Я представляю себе это так: Мне сначала надо добавить статический маршрут из одной подсети(vlan-a) в другую, а затем написать соответствующее правило в pf. Я правильно все понимаю?
Ответить \| Правка \| Cообщить модератору

Оглавление

Связь между Vlan-ами, Аноним, 20:05 , 25-Фев-13, (1)

Связь между Vlan-ами, Рихард, 20:12 , 25-Фев-13, (2)

Связь между Vlan-ами, Miha, 21:32 , 25-Фев-13, (3)
Связь между Vlan-ами, bill, 22:56 , 25-Фев-13, (4)

Связь между Vlan-ами, Рихард, 08:08 , 26-Фев-13, (5)

Связь между Vlan-ами, EugeneS, 09:26 , 26-Фев-13, (6)

Связь между Vlan-ами, Рихард, 09:31 , 26-Фев-13, (7)

Связь между Vlan-ами, EugeneS, 09:56 , 26-Фев-13, (8)

Связь между Vlan-ами, Рихард, 12:29 , 26-Фев-13, (9)

Связь между Vlan-ами, sirius, 12:37 , 26-Фев-13, (10)

Связь между Vlan-ами, Рихард, 12:52 , 26-Фев-13, (11)

Связь между Vlan-ами, sirius, 12:58 , 26-Фев-13, (12)

Связь между Vlan-ами, Рихард, 13:11 , 26-Фев-13, (13)

Связь между Vlan-ами, sirius, 13:16 , 26-Фев-13, (14)

Связь между Vlan-ами, Рихард, 13:20 , 26-Фев-13, (15)

Связь между Vlan-ами, Рихард, 13:23 , 26-Фев-13, (16)
Связь между Vlan-ами, sirius, 13:26 , 26-Фев-13, (17)

Связь между Vlan-ами, Рихард, 13:43 , 26-Фев-13, (18)

Связь между Vlan-ами, Алексей, 14:08 , 26-Фев-13, (19)
Связь между Vlan-ами, fantom, 10:45 , 05-Мрт-13, (25)

Связь между Vlan-ами, EugeneS, 14:19 , 26-Фев-13, (20)

Связь между Vlan-ами, Рихард, 17:01 , 26-Фев-13, (21)

Связь между Vlan-ами, wasist, 19:39 , 26-Фев-13, (22)

Связь между Vlan-ами, Рихард, 10:06 , 27-Фев-13, (23)

Связь между Vlan-ами, LSTemp, 14:05 , 28-Фев-13, (24)

Связь между Vlan-ами, Рихард, 10:37 , 06-Мрт-13, (26)

Сообщения по теме [Сортировка по времени | RSS]

1. "Связь между Vlan-ами" +/–

Сообщение от Аноним (??) on 25-Фев-13, 20:05

маршрутизация, так понял. Как-то так:
ifconfig vlan5 create vlan 5 vlandev xl0
ifconfig vlan100 create vlan 100 vlandev xl0
ifconfig vlan5 inet 192.168.5.1 netmask 255.255.255.0
ifconfig vlan100 inet 192.168.100.1 netmask 255.255.255.0
включить маршрутизацию, в сетях указать шлюзом bsd.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Связь между Vlan-ами" +/–

Сообщение от Рихард (ok) on 25-Фев-13, 20:12

Vlan-ы я уже создал и они благополучно функционируют, маршрутизацию включил! Мне теперь надо как раз с маршрутизацией разобраться, как правильно связь организовать из одного vlan-a в другой.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Связь между Vlan-ами" +/–

Сообщение от Miha (??) on 25-Фев-13, 21:32

> Vlan-ы я уже создал и они благополучно функционируют, маршрутизацию включил! Мне теперь
> надо как раз с маршрутизацией разобраться, как правильно связь организовать из
> одного vlan-a в другой.
А что если в мост эти вланы обьединить. Отключить фильтрацию на мемберах. Фильтровать только на самом bridge0.
У меня так организовано, только не вланы, а физ. интерфейсы.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Связь между Vlan-ами" +/–

Сообщение от bill (ok) on 25-Фев-13, 22:56

> Vlan-ы я уже создал и они благополучно функционируют, маршрутизацию включил! Мне теперь
> надо как раз с маршрутизацией разобраться, как правильно связь организовать из
> одного vlan-a в другой.
Ничего не надо организовывать. Если шлюзом на машинах установлен ip маршрутизатора, оно само "организуется".

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

5. "Связь между Vlan-ами" +/–

Сообщение от Рихард (ok) on 26-Фев-13, 08:08

> Ничего не надо организовывать. Если шлюзом на машинах установлен ip маршрутизатора, оно
> само "организуется".
Это как так? На маршрутизаторе(FreeBSD) созданы интерфейсы(vlаn-ы), и на каждой машине в vlan-e в качестве шлюза указывается именно интерфейс его vlan-a. Но это никак не дает право этой машине видеть машины из другого vlan-а. Тут именно вопрос маршрутизации.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "Связь между Vlan-ами" +/–

Сообщение от EugeneS (??) on 26-Фев-13, 09:26

>> Ничего не надо организовывать. Если шлюзом на машинах установлен ip маршрутизатора, оно
>> само "организуется".
> это никак не дает право этой машине видеть машины из другого
> vlan-а.
А что Вы понимаете под словами "видеть" "заходить" . Если на уровне IP, то "все само организуется" , если же вы желаете видеть виндовые шары, то Вам наверное таки нужен мост (bridge)

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "Связь между Vlan-ами" +/–

Сообщение от Рихард (ok) on 26-Фев-13, 09:31

> А что Вы понимаете под словами "видеть" "заходить" . Если на уровне
> IP, то "все само организуется" , если же вы желаете видеть
> виндовые шары, то Вам наверное таки нужен мост (bridge)
И шары и принтеры и прочая святотень. То есть обычным прописыванием статического маршрута и правилом в файерволе(PF) тут не обойтись?

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

8. "Связь между Vlan-ами" +/–

Сообщение от EugeneS (ok) on 26-Фев-13, 09:56

>> А что Вы понимаете под словами "видеть" "заходить" . Если на уровне
>> IP, то "все само организуется" , если же вы желаете видеть
>> виндовые шары, то Вам наверное таки нужен мост (bridge)
> И шары и принтеры и прочая святотень. То есть обычным прописыванием статического
> маршрута и правилом в файерволе(PF) тут не обойтись?
Не силен в виндовых сетях, но на сколько я понимаю, компы должны быть в одном широковещательном домене (кажется так это называется), как минимум для того чтобы проходили арп запросы-ответы

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

9. "Связь между Vlan-ами" +/–

Сообщение от Рихард (ok) on 26-Фев-13, 12:29

Не добавляется статический маршрут.
В таблице уже есть два маршрута для вланов:
Destination:       Gateway:   Netif
10.0.111.0/24      link#13    vlan11
10.0.111.1         link#13    lo0
10.0.166.0/24      link#14    vlan16
10.0.166.1         link#14    lo0
пытаюсь добавить маршрут чтобы машины из vlan-а vlan166 знали через какой шлюз ходить в
vlan111:
route add 10.0.166.0/24 10.0.111.1
говорит что маршрут уже есть в таблице.
могу добавить такой маршрут:
route add 10.0.166.0 10.0.111.1
тогда связь на машинах из vlan166 совсем пропадает.
Так как же мне прописать маршрут из одной подсети в другую?


Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

10. "Связь между Vlan-ами" +/–

Сообщение от sirius (??) on 26-Фев-13, 12:37

>[оверквотинг удален]
>  lo0
> пытаюсь добавить маршрут чтобы машины из vlan-а vlan166 знали через какой шлюз
> ходить в
> vlan111:
> route add 10.0.166.0/24 10.0.111.1
> говорит что маршрут уже есть в таблице.
> могу добавить такой маршрут:
> route add 10.0.166.0 10.0.111.1
> тогда связь на машинах из vlan166 совсем пропадает.
> Так как же мне прописать маршрут из одной подсети в другую?
Смотрю за темой со вчера и удивляюсь, детский сад, нету элементарных понятий про маршрутизацию, ваш роутер и так знает где какие сети, он подключен к обоим, маршруты необходимо прописать на рабочих хостах, если этот роутер у вас один и через него еще и интернет будет, то тогда роут по умолчанию, если есть другой роутер, через который хосты видят интернет, то нужно прописать на компах в сети 10.0.166.х
route add -net 10.0.111.0/24 10.0.166.1
на компах в сети 10.0.111.х
route add -net 10.0.166.0/24 10.0.111.1
под винду команды поменяються...

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

11. "Связь между Vlan-ами" +/–

Сообщение от Рихард (ok) on 26-Фев-13, 12:52

А если vlan-ов много, штук 10 и в каждом машин по 40. И нужно для каждого vlan-a организовать доступ в определенную группу подсетей. Можно как то централизованно управлять маршрутами, а не прописывать на каждой машине. Ведь на маршрутизаторе Cisco можно так делать.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

12. "Связь между Vlan-ами" +/–

Сообщение от sirius (??) on 26-Фев-13, 12:58

> А если vlan-ов много, штук 10 и в каждом машин по 40.
> И нужно для каждого vlan-a организовать доступ в определенную группу подсетей.
> Можно как то централизованно управлять маршрутами, а не прописывать на каждой
> машине. Ведь на маршрутизаторе Cisco можно так делать.
можно, для каждой подсети шлюз по умолчанию будет ip address своего влан интерфейса на фре, а в ipfw можете запретить ходить трафику между определенными виланами.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

13. "Связь между Vlan-ами" +/–

Сообщение от Рихард (ok) on 26-Фев-13, 13:11

> можно, для каждой подсети шлюз по умолчанию будет ip address своего влан
> интерфейса на фре, а в ipfw можете запретить ходить трафику между
> определенными виланами.
Все, теперь понятно. Но. У меня в принципе шлюзы так и указаны. Но трафик между вланами и так не ходит по определению. Как говорил выше вланы подняты на коммутаторе D-Link DGS 1210, простая железка второго уровня, и трафик через транковый порт на фрю идет. Таким образом получается что в ipfw (в моем случае pf)надо не запрещать трафик между вланами а разрешать?

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

14. "Связь между Vlan-ами" +/–

Сообщение от sirius (??) on 26-Фев-13, 13:16

>> можно, для каждой подсети шлюз по умолчанию будет ip address своего влан
>> интерфейса на фре, а в ipfw можете запретить ходить трафику между
>> определенными виланами.
> Все, теперь понятно. Но. У меня в принципе шлюзы так и указаны.
> Но трафик между вланами и так не ходит по определению. Как
> говорил выше вланы подняты на коммутаторе D-Link DGS 1210, простая железка
> второго уровня, и трафик через транковый порт на фрю идет. Таким
> образом получается что в ipfw (в моем случае pf)надо не запрещать
> трафик между вланами а разрешать?
ну если будет запрет то понятно ходить ничего не будет, должен быть разрешен.

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

15. "Связь между Vlan-ами" +/–

Сообщение от Рихард (ok) on 26-Фев-13, 13:20

> ну если будет запрет то понятно ходить ничего не будет, должен быть
> разрешен.
Кто должен запрещать?
1. файервол не включен
2. В таблице маршрутизации нет маршрута из одной подсети в другую.
Как в этом случае машины из двух разных вланов будут общаться между собой?

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

16. "Связь между Vlan-ами" +/–

Сообщение от Рихард (ok) on 26-Фев-13, 13:23

Нужно в ipfw писать правила для разрешения трафика между подсетями?

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

17. "Связь между Vlan-ами" +/–

Сообщение от sirius (??) on 26-Фев-13, 13:26

>> ну если будет запрет то понятно ходить ничего не будет, должен быть
>> разрешен.
> Кто должен запрещать?
> 1. файервол не включен
> Таким образом получается что в ipfw (в моем случае pf)
так в вашем случае pf включен или не включен?
> 2. В таблице маршрутизации нет маршрута из одной подсети в другую.
> 10.0.111.0/24      link#13    vlan11
> 10.0.111.1         link#13    lo0
> 10.0.166.0/24      link#14    vlan16
> 10.0.166.1         link#14    lo0
где тут нету какого-то маршрута???
> Как в этом случае машины из двух разных вланов будут общаться между
> собой?
если фаерволл выключен и ничего не фильтруется и включен роутинг (gateway_enable="YES" sysctl net.inet.ip.forwarding=1) то все будет работать.

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

18. "Связь между Vlan-ами" +/–

Сообщение от Рихард (ok) on 26-Фев-13, 13:43

> если фаерволл выключен и ничего не фильтруется и включен роутинг (gateway_enable="YES"
> sysctl net.inet.ip.forwarding=1) то все будет работать.
Хм. Вот пришел от машины из одного влана пакет на транковый порт коммутатора, который адресован в другой влан, он посмотрит его кадр, а там сказано что пакет из влана отличного от того в который он пытается попасть, и не пустит его.
Так получается что нужно вообще отказаться от вланов на коммутаторе и настраивать их чисто на фре? И там уже на фаерволе писать правила запрещающие или разрешающие трафик из определенных вланов.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

19. "Связь между Vlan-ами" +/–

Сообщение от Алексей (??) on 26-Фев-13, 14:08

> Хм. Вот пришел от машины из одного влана пакет на транковый порт
> коммутатора, который адресован в другой влан, он посмотрит его кадр, а
> там сказано что пакет из влана отличного от того в который
> он пытается попасть, и не пустит его.
> Так получается что нужно вообще отказаться от вланов на коммутаторе и настраивать
> их чисто на фре? И там уже на фаерволе писать правила
> запрещающие или разрешающие трафик из определенных вланов.
вланы оставь на коммутаторе
на фре засунь их в один bridge и там разруливай через ebtables
я так в свое время делал

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

25. "Связь между Vlan-ами" +/–

Сообщение от fantom (ok) on 05-Мрт-13, 10:45

>> если фаерволл выключен и ничего не фильтруется и включен роутинг (gateway_enable="YES"
>> sysctl net.inet.ip.forwarding=1) то все будет работать.
НАЧАЛО БРЕДЯТИНЫ!!!!!
> Хм. Вот пришел от машины из одного влана пакет на транковый порт
> коммутатора, который адресован в другой влан, он посмотрит его кадр, а
> там сказано что пакет из влана отличного от того в который
> он пытается попасть, и не пустит его.
Промежуточный конец бредятины!!!!!!
Коммутатору неведомо что там в этом пакете, т.к. коммутатор обрабатывает фреймы, он посмотрит mac назначения (т.е. мас шлюза) и благополучно отфутболит оный на шлюз, шлюз из фрейма "вынет" IP пакет, проверит IP адрес назначения и по таблице маршрутизации определит в какой интерфейс его отдать, изменнит в IP пакете поля TTL и checksumm, сформирует НОВЫЙ ФРЕЙМ и передаст его коммутатору уже в другом vlan-е, коммутатор будет обрабатывать этот фрейм уже в новом влане и по своим правилам.
Т.е. передача ОДНОГО IP пакета из одной подсети в другую для коммутатора выльется в передачу ДВУХ фреймов....

> Так получается что нужно вообще отказаться от вланов на коммутаторе и настраивать
> их чисто на фре? И там уже на фаерволе писать правила
> запрещающие или разрешающие трафик из определенных вланов.
Учите матчасть, а именно модель OSI, и чем отличается ethernet от IP...

ради эксперимента - выключите ваш файрвол и пропингуйте с машины из одного влана машинуу в другом влане (не забыв отключить брандмаузеры с файрволами и на этих машинках, чтобы icmp 100% не блокировался).

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

20. "Связь между Vlan-ами" +/–

Сообщение от EugeneS (ok) on 26-Фев-13, 14:19

>[оверквотинг удален]
> Ситуация такая: есть два vlana, реализованные на коммутаторе dlink посредством 802.1Q.
> Маршрутизатор на OS FreeBSD 9.1, родительский интерфейс соединен с транковым портом.
> В качестве файервола используется PF.
> Нужно сделать так, чтобs машины из одного Vlan-a могли заходить на машины
> другого.
> Проблема в том что не могу понять механизм как это реализовать. Маршрутизация
> включена.
> Я представляю себе это так:
> Мне сначала надо добавить статический маршрут из одной подсети(vlan-a) в другую, а
> затем написать соответствующее правило в pf. Я правильно все понимаю?
ну что Вы себе и другим мозги парите. Вы пробовали пинг из одной сети в другую ? У Вас же в виндовой сетке неработает, а по ИП больше чем уверен , все ништяк ?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

21. "Связь между Vlan-ами" +/–

Сообщение от Рихард (ok) on 26-Фев-13, 17:01

Что значит "виндовая сетка"? Машины из одной сети не пингуют машины в другой! Маршрутизация включена: gateway_enable="YES". Как мне не прописывая статику на локальных машинах настроить маршрутизацию при которой пинги будут ходить? Было предложение с мостом. А еще варианты есть?

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

22. "Связь между Vlan-ами" +/–

Сообщение от wasist on 26-Фев-13, 19:39

> Что значит "виндовая сетка"? Машины из одной сети не пингуют машины в
> другой! Маршрутизация включена: gateway_enable="YES". Как мне не прописывая статику на
> локальных машинах настроить маршрутизацию при которой пинги будут ходить? Было предложение
> с мостом. А еще варианты есть?
ЭммммХмммм... так, расскажи пожалуйста, а на виндовых машинах, которые смотрят в твои виланы, ip-адрес шлюза какой указан? смотрит ли он в твой vlan-роутер на freebsd? и если да, и ipfw ничего не блокирует, то это зовется мистикой, то есть такого не бывает.
ipfw add 1 allow ip from any to any
и если после этого ничего не запингалось - то ищи проблему в настройках виланов и коммутаторов, ага? кстати, а из сетей адреса интерфейсов сервера пингуются?

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

23. "Связь между Vlan-ами" +/–

Сообщение от Рихард (ok) on 27-Фев-13, 10:06

> ЭммммХмммм... так, расскажи пожалуйста, а на виндовых машинах, которые смотрят в твои
> виланы, ip-адрес шлюза какой указан? смотрит ли он в твой vlan-роутер
> на freebsd? и если да, и ipfw ничего не блокирует, то
> это зовется мистикой, то есть такого не бывает.
> ipfw add 1 allow ip from any to any
> и если после этого ничего не запингалось - то ищи проблему в
> настройках виланов и коммутаторов, ага? кстати, а из сетей адреса интерфейсов
> сервера пингуются?
Файервол вообще отключен. В качестве шлюза на локальных машинах указан интерфейс влана на фре. С локальных машин пингуются влан интерфейсы. Может где чего не включил?

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

24. "Связь между Vlan-ами" +/–

Сообщение от LSTemp (ok) on 28-Фев-13, 14:05

>[оверквотинг удален]
>> виланы, ip-адрес шлюза какой указан? смотрит ли он в твой vlan-роутер
>> на freebsd? и если да, и ipfw ничего не блокирует, то
>> это зовется мистикой, то есть такого не бывает.
>> ipfw add 1 allow ip from any to any
>> и если после этого ничего не запингалось - то ищи проблему в
>> настройках виланов и коммутаторов, ага? кстати, а из сетей адреса интерфейсов
>> сервера пингуются?
> Файервол вообще отключен. В качестве шлюза на локальных машинах указан интерфейс влана
> на фре. С локальных машин пингуются влан интерфейсы. Может где чего
> не включил?
Прочел все. Объяснять бесполезно. Начинайте изучение хотя бы отсюда http://ru.wikipedia.org/wiki/TCP/IP
И поймите на каком уровне стека работают протоколы маршрутизации (то есть сетевые сервисы типа ftp,http) и на каком уровне стека работают протоколы "видеть сетевое окружение и шары".
PS
L2+L3 - смотреть в первую очередь.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

26. "Связь между Vlan-ами" +/–

Сообщение от Рихард (ok) on 06-Мрт-13, 10:37

Всем спасибо за ответы!
Загвоздка как раз и была в том что по определению все должно было работать.
В общем заработало все само после тотальной перезагрузке всего.
Что это было я так и не понял, но зато уровень знаний в ходе попыток найти решение возникшей проблемы заметно повысился.
Спасибо еще раз за советы.
Критику воспринял буду расти!

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Связь между Vlan-ами"	+/–
Сообщение от Аноним (??) on 25-Фев-13, 20:05
маршрутизация, так понял. Как-то так: ifconfig vlan5 create vlan 5 vlandev xl0 ifconfig vlan100 create vlan 100 vlandev xl0 ifconfig vlan5 inet 192.168.5.1 netmask 255.255.255.0 ifconfig vlan100 inet 192.168.100.1 netmask 255.255.255.0 включить маршрутизацию, в сетях указать шлюзом bsd.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	2. "Связь между Vlan-ами"	+/–
	Сообщение от Рихард (ok) on 25-Фев-13, 20:12
	Vlan-ы я уже создал и они благополучно функционируют, маршрутизацию включил! Мне теперь надо как раз с маршрутизацией разобраться, как правильно связь организовать из одного vlan-a в другой.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	3. "Связь между Vlan-ами"	+/–
	Сообщение от Miha (??) on 25-Фев-13, 21:32
	> Vlan-ы я уже создал и они благополучно функционируют, маршрутизацию включил! Мне теперь > надо как раз с маршрутизацией разобраться, как правильно связь организовать из > одного vlan-a в другой. А что если в мост эти вланы обьединить. Отключить фильтрацию на мемберах. Фильтровать только на самом bridge0. У меня так организовано, только не вланы, а физ. интерфейсы.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	4. "Связь между Vlan-ами"	+/–
	Сообщение от bill (ok) on 25-Фев-13, 22:56
	> Vlan-ы я уже создал и они благополучно функционируют, маршрутизацию включил! Мне теперь > надо как раз с маршрутизацией разобраться, как правильно связь организовать из > одного vlan-a в другой. Ничего не надо организовывать. Если шлюзом на машинах установлен ip маршрутизатора, оно само "организуется".
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	5. "Связь между Vlan-ами"	+/–
	Сообщение от Рихард (ok) on 26-Фев-13, 08:08
	> Ничего не надо организовывать. Если шлюзом на машинах установлен ip маршрутизатора, оно > само "организуется". Это как так? На маршрутизаторе(FreeBSD) созданы интерфейсы(vlаn-ы), и на каждой машине в vlan-e в качестве шлюза указывается именно интерфейс его vlan-a. Но это никак не дает право этой машине видеть машины из другого vlan-а. Тут именно вопрос маршрутизации.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	6. "Связь между Vlan-ами"	+/–
	Сообщение от EugeneS (??) on 26-Фев-13, 09:26
	>> Ничего не надо организовывать. Если шлюзом на машинах установлен ip маршрутизатора, оно >> само "организуется". > это никак не дает право этой машине видеть машины из другого > vlan-а. А что Вы понимаете под словами "видеть" "заходить" . Если на уровне IP, то "все само организуется" , если же вы желаете видеть виндовые шары, то Вам наверное таки нужен мост (bridge)
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	7. "Связь между Vlan-ами"	+/–
	Сообщение от Рихард (ok) on 26-Фев-13, 09:31
	> А что Вы понимаете под словами "видеть" "заходить" . Если на уровне > IP, то "все само организуется" , если же вы желаете видеть > виндовые шары, то Вам наверное таки нужен мост (bridge) И шары и принтеры и прочая святотень. То есть обычным прописыванием статического маршрута и правилом в файерволе(PF) тут не обойтись?
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	8. "Связь между Vlan-ами"	+/–
	Сообщение от EugeneS (ok) on 26-Фев-13, 09:56
	>> А что Вы понимаете под словами "видеть" "заходить" . Если на уровне >> IP, то "все само организуется" , если же вы желаете видеть >> виндовые шары, то Вам наверное таки нужен мост (bridge) > И шары и принтеры и прочая святотень. То есть обычным прописыванием статического > маршрута и правилом в файерволе(PF) тут не обойтись? Не силен в виндовых сетях, но на сколько я понимаю, компы должны быть в одном широковещательном домене (кажется так это называется), как минимум для того чтобы проходили арп запросы-ответы
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	9. "Связь между Vlan-ами"	+/–
	Сообщение от Рихард (ok) on 26-Фев-13, 12:29
	Не добавляется статический маршрут. В таблице уже есть два маршрута для вланов: Destination: Gateway: Netif 10.0.111.0/24 link#13 vlan11 10.0.111.1 link#13 lo0 10.0.166.0/24 link#14 vlan16 10.0.166.1 link#14 lo0 пытаюсь добавить маршрут чтобы машины из vlan-а vlan166 знали через какой шлюз ходить в vlan111: route add 10.0.166.0/24 10.0.111.1 говорит что маршрут уже есть в таблице. могу добавить такой маршрут: route add 10.0.166.0 10.0.111.1 тогда связь на машинах из vlan166 совсем пропадает. Так как же мне прописать маршрут из одной подсети в другую?
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	10. "Связь между Vlan-ами"	+/–
	Сообщение от sirius (??) on 26-Фев-13, 12:37
	>[оверквотинг удален] > lo0 > пытаюсь добавить маршрут чтобы машины из vlan-а vlan166 знали через какой шлюз > ходить в > vlan111: > route add 10.0.166.0/24 10.0.111.1 > говорит что маршрут уже есть в таблице. > могу добавить такой маршрут: > route add 10.0.166.0 10.0.111.1 > тогда связь на машинах из vlan166 совсем пропадает. > Так как же мне прописать маршрут из одной подсети в другую? Смотрю за темой со вчера и удивляюсь, детский сад, нету элементарных понятий про маршрутизацию, ваш роутер и так знает где какие сети, он подключен к обоим, маршруты необходимо прописать на рабочих хостах, если этот роутер у вас один и через него еще и интернет будет, то тогда роут по умолчанию, если есть другой роутер, через который хосты видят интернет, то нужно прописать на компах в сети 10.0.166.х route add -net 10.0.111.0/24 10.0.166.1 на компах в сети 10.0.111.х route add -net 10.0.166.0/24 10.0.111.1 под винду команды поменяються...
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	11. "Связь между Vlan-ами"	+/–
	Сообщение от Рихард (ok) on 26-Фев-13, 12:52
	А если vlan-ов много, штук 10 и в каждом машин по 40. И нужно для каждого vlan-a организовать доступ в определенную группу подсетей. Можно как то централизованно управлять маршрутами, а не прописывать на каждой машине. Ведь на маршрутизаторе Cisco можно так делать.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	12. "Связь между Vlan-ами"	+/–
	Сообщение от sirius (??) on 26-Фев-13, 12:58
	> А если vlan-ов много, штук 10 и в каждом машин по 40. > И нужно для каждого vlan-a организовать доступ в определенную группу подсетей. > Можно как то централизованно управлять маршрутами, а не прописывать на каждой > машине. Ведь на маршрутизаторе Cisco можно так делать. можно, для каждой подсети шлюз по умолчанию будет ip address своего влан интерфейса на фре, а в ipfw можете запретить ходить трафику между определенными виланами.
	Ответить \| Правка \| ^ к родителю #11 \| Наверх \| Cообщить модератору


	13. "Связь между Vlan-ами"	+/–
	Сообщение от Рихард (ok) on 26-Фев-13, 13:11
	> можно, для каждой подсети шлюз по умолчанию будет ip address своего влан > интерфейса на фре, а в ipfw можете запретить ходить трафику между > определенными виланами. Все, теперь понятно. Но. У меня в принципе шлюзы так и указаны. Но трафик между вланами и так не ходит по определению. Как говорил выше вланы подняты на коммутаторе D-Link DGS 1210, простая железка второго уровня, и трафик через транковый порт на фрю идет. Таким образом получается что в ipfw (в моем случае pf)надо не запрещать трафик между вланами а разрешать?
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	14. "Связь между Vlan-ами"	+/–
	Сообщение от sirius (??) on 26-Фев-13, 13:16
	>> можно, для каждой подсети шлюз по умолчанию будет ip address своего влан >> интерфейса на фре, а в ipfw можете запретить ходить трафику между >> определенными виланами. > Все, теперь понятно. Но. У меня в принципе шлюзы так и указаны. > Но трафик между вланами и так не ходит по определению. Как > говорил выше вланы подняты на коммутаторе D-Link DGS 1210, простая железка > второго уровня, и трафик через транковый порт на фрю идет. Таким > образом получается что в ipfw (в моем случае pf)надо не запрещать > трафик между вланами а разрешать? ну если будет запрет то понятно ходить ничего не будет, должен быть разрешен.
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	15. "Связь между Vlan-ами"	+/–
	Сообщение от Рихард (ok) on 26-Фев-13, 13:20
	> ну если будет запрет то понятно ходить ничего не будет, должен быть > разрешен. Кто должен запрещать? 1. файервол не включен 2. В таблице маршрутизации нет маршрута из одной подсети в другую. Как в этом случае машины из двух разных вланов будут общаться между собой?
	Ответить \| Правка \| ^ к родителю #14 \| Наверх \| Cообщить модератору


	16. "Связь между Vlan-ами"	+/–
	Сообщение от Рихард (ok) on 26-Фев-13, 13:23
	Нужно в ipfw писать правила для разрешения трафика между подсетями?
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору


	17. "Связь между Vlan-ами"	+/–
	Сообщение от sirius (??) on 26-Фев-13, 13:26
	>> ну если будет запрет то понятно ходить ничего не будет, должен быть >> разрешен. > Кто должен запрещать? > 1. файервол не включен > Таким образом получается что в ipfw (в моем случае pf) так в вашем случае pf включен или не включен? > 2. В таблице маршрутизации нет маршрута из одной подсети в другую. > 10.0.111.0/24 link#13 vlan11 > 10.0.111.1 link#13 lo0 > 10.0.166.0/24 link#14 vlan16 > 10.0.166.1 link#14 lo0 где тут нету какого-то маршрута??? > Как в этом случае машины из двух разных вланов будут общаться между > собой? если фаерволл выключен и ничего не фильтруется и включен роутинг (gateway_enable="YES" sysctl net.inet.ip.forwarding=1) то все будет работать.
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору


	18. "Связь между Vlan-ами"	+/–
	Сообщение от Рихард (ok) on 26-Фев-13, 13:43
	> если фаерволл выключен и ничего не фильтруется и включен роутинг (gateway_enable="YES" > sysctl net.inet.ip.forwarding=1) то все будет работать. Хм. Вот пришел от машины из одного влана пакет на транковый порт коммутатора, который адресован в другой влан, он посмотрит его кадр, а там сказано что пакет из влана отличного от того в который он пытается попасть, и не пустит его. Так получается что нужно вообще отказаться от вланов на коммутаторе и настраивать их чисто на фре? И там уже на фаерволе писать правила запрещающие или разрешающие трафик из определенных вланов.
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	19. "Связь между Vlan-ами"	+/–
	Сообщение от Алексей (??) on 26-Фев-13, 14:08
	> Хм. Вот пришел от машины из одного влана пакет на транковый порт > коммутатора, который адресован в другой влан, он посмотрит его кадр, а > там сказано что пакет из влана отличного от того в который > он пытается попасть, и не пустит его. > Так получается что нужно вообще отказаться от вланов на коммутаторе и настраивать > их чисто на фре? И там уже на фаерволе писать правила > запрещающие или разрешающие трафик из определенных вланов. вланы оставь на коммутаторе на фре засунь их в один bridge и там разруливай через ebtables я так в свое время делал
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	25. "Связь между Vlan-ами"	+/–
	Сообщение от fantom (ok) on 05-Мрт-13, 10:45
	>> если фаерволл выключен и ничего не фильтруется и включен роутинг (gateway_enable="YES" >> sysctl net.inet.ip.forwarding=1) то все будет работать. НАЧАЛО БРЕДЯТИНЫ!!!!! > Хм. Вот пришел от машины из одного влана пакет на транковый порт > коммутатора, который адресован в другой влан, он посмотрит его кадр, а > там сказано что пакет из влана отличного от того в который > он пытается попасть, и не пустит его. Промежуточный конец бредятины!!!!!! Коммутатору неведомо что там в этом пакете, т.к. коммутатор обрабатывает фреймы, он посмотрит mac назначения (т.е. мас шлюза) и благополучно отфутболит оный на шлюз, шлюз из фрейма "вынет" IP пакет, проверит IP адрес назначения и по таблице маршрутизации определит в какой интерфейс его отдать, изменнит в IP пакете поля TTL и checksumm, сформирует НОВЫЙ ФРЕЙМ и передаст его коммутатору уже в другом vlan-е, коммутатор будет обрабатывать этот фрейм уже в новом влане и по своим правилам. Т.е. передача ОДНОГО IP пакета из одной подсети в другую для коммутатора выльется в передачу ДВУХ фреймов.... > Так получается что нужно вообще отказаться от вланов на коммутаторе и настраивать > их чисто на фре? И там уже на фаерволе писать правила > запрещающие или разрешающие трафик из определенных вланов. Учите матчасть, а именно модель OSI, и чем отличается ethernet от IP... ради эксперимента - выключите ваш файрвол и пропингуйте с машины из одного влана машинуу в другом влане (не забыв отключить брандмаузеры с файрволами и на этих машинках, чтобы icmp 100% не блокировался).
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору

20. "Связь между Vlan-ами"	+/–
Сообщение от EugeneS (ok) on 26-Фев-13, 14:19
>[оверквотинг удален] > Ситуация такая: есть два vlana, реализованные на коммутаторе dlink посредством 802.1Q. > Маршрутизатор на OS FreeBSD 9.1, родительский интерфейс соединен с транковым портом. > В качестве файервола используется PF. > Нужно сделать так, чтобs машины из одного Vlan-a могли заходить на машины > другого. > Проблема в том что не могу понять механизм как это реализовать. Маршрутизация > включена. > Я представляю себе это так: > Мне сначала надо добавить статический маршрут из одной подсети(vlan-a) в другую, а > затем написать соответствующее правило в pf. Я правильно все понимаю? ну что Вы себе и другим мозги парите. Вы пробовали пинг из одной сети в другую ? У Вас же в виндовой сетке неработает, а по ИП больше чем уверен , все ништяк ?
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	21. "Связь между Vlan-ами"	+/–
	Сообщение от Рихард (ok) on 26-Фев-13, 17:01
	Что значит "виндовая сетка"? Машины из одной сети не пингуют машины в другой! Маршрутизация включена: gateway_enable="YES". Как мне не прописывая статику на локальных машинах настроить маршрутизацию при которой пинги будут ходить? Было предложение с мостом. А еще варианты есть?
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору


	22. "Связь между Vlan-ами"	+/–
	Сообщение от wasist on 26-Фев-13, 19:39
	> Что значит "виндовая сетка"? Машины из одной сети не пингуют машины в > другой! Маршрутизация включена: gateway_enable="YES". Как мне не прописывая статику на > локальных машинах настроить маршрутизацию при которой пинги будут ходить? Было предложение > с мостом. А еще варианты есть? ЭммммХмммм... так, расскажи пожалуйста, а на виндовых машинах, которые смотрят в твои виланы, ip-адрес шлюза какой указан? смотрит ли он в твой vlan-роутер на freebsd? и если да, и ipfw ничего не блокирует, то это зовется мистикой, то есть такого не бывает. ipfw add 1 allow ip from any to any и если после этого ничего не запингалось - то ищи проблему в настройках виланов и коммутаторов, ага? кстати, а из сетей адреса интерфейсов сервера пингуются?
	Ответить \| Правка \| ^ к родителю #21 \| Наверх \| Cообщить модератору


	23. "Связь между Vlan-ами"	+/–
	Сообщение от Рихард (ok) on 27-Фев-13, 10:06
	> ЭммммХмммм... так, расскажи пожалуйста, а на виндовых машинах, которые смотрят в твои > виланы, ip-адрес шлюза какой указан? смотрит ли он в твой vlan-роутер > на freebsd? и если да, и ipfw ничего не блокирует, то > это зовется мистикой, то есть такого не бывает. > ipfw add 1 allow ip from any to any > и если после этого ничего не запингалось - то ищи проблему в > настройках виланов и коммутаторов, ага? кстати, а из сетей адреса интерфейсов > сервера пингуются? Файервол вообще отключен. В качестве шлюза на локальных машинах указан интерфейс влана на фре. С локальных машин пингуются влан интерфейсы. Может где чего не включил?
	Ответить \| Правка \| ^ к родителю #22 \| Наверх \| Cообщить модератору


	24. "Связь между Vlan-ами"	+/–
	Сообщение от LSTemp (ok) on 28-Фев-13, 14:05
	>[оверквотинг удален] >> виланы, ip-адрес шлюза какой указан? смотрит ли он в твой vlan-роутер >> на freebsd? и если да, и ipfw ничего не блокирует, то >> это зовется мистикой, то есть такого не бывает. >> ipfw add 1 allow ip from any to any >> и если после этого ничего не запингалось - то ищи проблему в >> настройках виланов и коммутаторов, ага? кстати, а из сетей адреса интерфейсов >> сервера пингуются? > Файервол вообще отключен. В качестве шлюза на локальных машинах указан интерфейс влана > на фре. С локальных машин пингуются влан интерфейсы. Может где чего > не включил? Прочел все. Объяснять бесполезно. Начинайте изучение хотя бы отсюда http://ru.wikipedia.org/wiki/TCP/IP И поймите на каком уровне стека работают протоколы маршрутизации (то есть сетевые сервисы типа ftp,http) и на каком уровне стека работают протоколы "видеть сетевое окружение и шары". PS L2+L3 - смотреть в первую очередь.
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору


	26. "Связь между Vlan-ами"	+/–
	Сообщение от Рихард (ok) on 06-Мрт-13, 10:37
	Всем спасибо за ответы! Загвоздка как раз и была в том что по определению все должно было работать. В общем заработало все само после тотальной перезагрузке всего. Что это было я так и не понял, но зато уровень знаний в ходе попыток найти решение возникшей проблемы заметно повысился. Спасибо еще раз за советы. Критику воспринял буду расти!
	Ответить \| Правка \| ^ к родителю #24 \| Наверх \| Cообщить модератору