☰

使用支持 VLAN 的可管理交换机进行设备隔离

tag-icon • tag-icon switch vlan
使用支持 VLAN 的可管理交换机进行设备隔离

我购买了一台“老式”戴尔 PowerConnect 5324 交换机（60 美元），供家庭使用。我有几台服务器（DHCP、NAT、NAS、VM 主机），想在各种内部 VLAN 之间共享一些服务器。
我有一个管理员、一个儿童、一个访客 WiFi 和一个内部 WiFi 段，它们目前彼此可见，包括所有服务器。
我一直在努力配置交换机上的端口和 VLAN。例如 - 我希望儿童 VLAN 仅访问 DHCP 和 NAT，而不是 VM 和 NAS，但我希望管理员 VLAN 访问所有（等等）。
我该如何配置服务器的端口，以仅允许某些 VLAN 访问而拒绝其他 VLAN？99% 的设备都不支持 VLAN，因此必须将 5324 端口配置为接受未标记的帧并对其进行标记，但仅限于内部 - 在它们离开端口之前需要剥离标记。

到目前为止，我尝试将端口配置为“常规”，并将 DHCPd 端口设为儿童 VLAN 和管理员 VLAN 的 U（未标记）成员，但总会出问题。
为了使这成为一个真正的挑战，我有两个支持 VLAN 的交换机 - 一个在地下室，一个在楼上，我想在它们之间中继所有 VLAN，因为我的一些“孩子”设备在楼上和楼下，以及我的“管理员”（即成人）的网段。

总结：
（1）我需要配置匹配两个交换机上的 VLAN，例如 Admin_101、Kids_133 等是否需要为两个交换机所知？
（2）我应该将连接到“管理”设备的交换机端口置于哪种模式：General/GVID 101，并将所有其他端口设置为 101 成员/未标记？
（3）我应该将连接到“儿童”设备的交换机端口置于哪种模式：General/GVID 123，并将我希望他们访问的端口设置为 123/未标记的成员？

抱歉，问题太长了。我已经在 Google 上搜索并试验了好几天，经常去地下室重置交换机以加载以前的配置，因为我无法通过 http/ssh 访问它……

任何相关的 href 将不胜感激。TIA

！

答案1

  1. 您的端点的任何端口都不需要标记。所有端点端口都应配置为访问端口。

  2. 您需要将连接到另一台交换机的交换机端口配置为中继端口。同样，连接到戴尔交换机的另一台交换机上的端口也需要配置为中继端口。

  3. 您需要一个路由器来在 VLAN 之间路由流量。

  4. 您需要为每组端点配置相应的 IP 地址。同一 VLAN 中的端点需要同一 IP 网络中的 IP 地址。每个 VLAN 中的端点不得使用与不同 VLAN 中的端点相同 IP 网络中的 IP 地址。例如，VLAN 1 中的所有设备都可以配置 192.168.1.0/24 IP 网络中的 IP 地址。VLAN 2 中的所有设备都可以配置 192.168.2.0/24 IP 网络中的 IP 地址。

  5. 是的，您需要在两个交换机上配置“匹配”的 VLAN。您还需要确保中继端口已配置为承载您配置的 VLAN 的流量。

  6. 您可以使用路由器上的 ACL 来控制（允许或限制）VLAN 之间的流量。

答案2

如果您的设备不支持 VLAN（并且它们的接口连接在不同的 VLAN 中），那么它们之间的通信只能在第 3 层实现。设置路由器并根据您的需要路由或阻止流量。

答案3

搞清楚了。因为我真的不想添加路由器。

我用 4 台主机进行了测试：2 个“客户端”和 2 个“服务器”，均不支持 VLAN。
客户端插入端口 3 和 4。
服务器插入端口 19 和 20。
将所有四个端口设为“常规”，为每个端口创建一个 VLAN（因为我模拟了 4 个逻辑网络段，151 和 152 分别用于端口 3 和 4，153 和 154 用于“服务器”端口 19 和 20）。
使端口 3 成为 VLAN 153 和 154 的成员，不加标记，使端口 4 成为 VLAN 154 的成员，仅不加标记。

结果是，客户端 1 可以看到两个服务器（在 VLAN 153/154 上的端口 19 和 20 中），而客户端 2 只能看到端口 20 中的服务器 2。

配置如下：

console# show running-config
port jumbo-frame
interface range ethernet g(3-4,19-20)
switchport mode general
exit
vlan database
vlan 151-154
exit
interface ethernet g3
switchport general pvid 151
exit
interface ethernet g4
switchport general pvid 152
exit
interface ethernet g19
switchport general pvid 153
exit
interface ethernet g20
switchport general pvid 154
exit
interface range ethernet g(3,19-20)
switchport general allowed vlan add 151 untagged
exit
interface range ethernet g(4,20)
switchport general allowed vlan add 152 untagged
exit
interface range ethernet g(3-4,19)
switchport general allowed vlan add 153 untagged
exit
interface range ethernet g(3-4,20)
switchport general allowed vlan add 154 untagged
exit
interface vlan 151
name Client151
exit
interface vlan 152
name Client152
exit
interface vlan 153
name Server153
exit
interface vlan 154
name Server154
exit
interface vlan 1
ip address 192.168.1.5 255.255.255.0
exit
ip default-gateway 192.168.1.1
ip name-server  8.8.8.8 8.8.4.4

我猜这只是限制变量和使用测试环境的问题。谢谢大家的回答！接下来，测试主干。

相关内容