☰

关键信息：

tag-icon • tag-icon networking router switch pfsense
关键信息：

首先，非常感谢大家花时间阅读我的帖子，希望对您有所帮助！

我希望得到一些帮助，以便正确配置我的网络交换机。我认为我的问题与我的 pfSense 设置中的 VLAN 没有直接关系，而是与我的网络交换机有关，但请告诉我您的想法。

为了简单起见，我将只使用两个交换机，一旦这正常工作，我就可以对第三个交换机进行相同的更改。我很确定我的问题是我没有正确理解 VLAN 标记，所以我在寻求一些指导。目标是最终对我的网络进行分段并使 VLAN 正常工作。我有安全摄像头，我想把它们放在自己的段上，还有一些接入点，我也想为我的无线网络设置访客访问。我还为 IOT 设备设置了一个 VLAN。

目前，我只是取消标记默认 VLAN 上所有交换机上的所有端口，并允许所有流量通过，直到一切正常。我已经修修补补了一段时间，但似乎无法让它正常工作。

======================================================================

关键信息：

路由器 = pfSense 所有网络交换机 = HP Procurve 交换机（型号 2530）一个是 24 端口 GB 交换机，另一个是 24 端口 PoE。

我在所有交换机和路由器上总共配置了 5 个 VLAN，并且未使用“default_vlan”（根据最佳实践）。

======================================================================

设置如下：

我正在使用 pfSense 防火墙，并且我已经在路由器上正确配置了所有 VLAN，据我所知，防火墙设备的网络接口已插入 switch01 上的端口 1。switch01 上的端口 24 配置为中继端口，并插入 switch02 上的端口 23。

我将在下面发布两个交换机的配置，但希望您了解主端口的用途。您将在下面看到配置，但在我的测试中，我只是将一台笔记本电脑连接到 switch02 上的端口 1，只是为了看看我是否可以为其提取 dhcp 地址（只能从我的默认 vlan 中提取 IP）。我正在修改的那个特定 vlan 名为 WIFI，所以我只是想指出这一点，这样当您查看我的配置时就不会产生任何混淆。

以下是我进行了一些额外更改后交换机的当前配置。我确实意识到我不需要为每个 vlan 列出 IP，并且可以删除它们以进一步简化事情，但我想将它们放在那里只是为了测试，并排除这种情况。

======================================================================
Switch01:
======================================================================
HP-SW-01# show running-config

Running configuration:

; J9776A Configuration Editor; Created on release #YA.15.17.0007
hostname "HP-SW-01"

ip default-gateway 10.10.1.1

snmp-server community "public" unrestricted

vlan 1
   name "DEFAULT_VLAN"
   no untagged 1-28
   ip address dhcp-bootp
   exit

vlan 100
   name "100-DEFAULT"
   untagged 1-28
   ip address dhcp-bootp
   exit

vlan 200
   name "200-CAMERAS"
   tagged 1,24
   ip address 10.10.2.1 255.255.255.0
   ip helper-address 10.10.1.1
   exit

vlan 300
   name "300-GUESTWIFI"
   tagged 1,24
   ip address 10.10.3.1 255.255.255.0
   ip helper-address 10.10.1.1
   exit

vlan 400
   name "400-WIFI"
   tagged 1,24
   ip address 10.10.4.1 255.255.255.0
   ip helper-address 10.10.1.1
   exit

vlan 500
   name "500-IOT"
   tagged 1,24
   ip address 10.10.5.1 255.255.255.0
   ip helper-address 10.10.1.1
   exit
primary-vlan 100


======================================================================
Switch02:
======================================================================
HP-SW-02# show running-config

Running configuration:

; J9773A Configuration Editor; Created on release #YA.15.12.0007
hostname "HP-SW-02"

ip default-gateway 10.10.1.1

snmp-server community "public" unrestricted

vlan 1
   name "DEFAULT_VLAN"
   no untagged 1-28
   no ip address
   exit

vlan 100
   name "100-DEFAULT"
   untagged 2-28
   ip address 10.10.1.6 255.255.255.0
   exit

vlan 200
   name "200-CAMERAS"
   tagged 23
   ip address 10.10.2.1 255.255.255.0
   exit

vlan 300
   name "300-GUESTWIFI"
   tagged 23
   ip address 10.10.3.1 255.255.255.0
   exit

vlan 400
   name "400-WIFI"
   tagged 1,23
   ip address 10.10.4.1 255.255.255.0
   exit

vlan 500
   name "500-IOT"
   tagged 23
   ip address 10.10.5.1 255.255.255.0
   exit

primary-vlan 100

============================================================================== 在 pfSense（路由器）端： ================================================================================== 所有 VLan 均在 VLAN 部分中使用相同的 VLAN 标签进行配置，甚至使用描述（尽管这无关紧要）。虽然我的防火墙上确实有额外的 NIC 端口，但目前我并没有将其物理分割，而是为每个 vlan 使用 lan 端口接口。

======================================================================

以下是我提出的几个问题，可能有助于我更好地理解我所缺少的内容：

  1. 我“推测”我的路由器插入 switch01 上的端口应该是中继端口，但是否所有 VLAN 都需要标记（包括默认 VLAN）？我目前已将其设置为默认 VLAN 未标记，而所有其他 VLAN 都已标记。我尝试更改此端口以使所有 VLAN 都标记（因为我认为这是正确的方法），但随后我插入 switch01 上端口的主台式机（不是我在上面端口 1 上测试的笔记本电脑）与互联网的连接断开了。

  2. 对于所有中继端口，与上述问题相同。因此，连接到 switch02 上的端口 23 的 switch01 上的端口 24 应该是我的中继端口，这里的所有 vlan 是否都需要标记，因为我目前默认 vlan 未加标记（这是我可以让流量传递到第二个交换机的唯一方法），而所有其他 vlan 都配置为仅加标记。

  3. 我用来测试是否可以提取 dhcp 地址的笔记本电脑插入 switch02 上的端口 1，是否应将默认 vlan 设置为“否”，我是否应该仅在 WIFI vlan 上标记该端口，或者默认 vlan 是否需要保持未标记，而 WIFI vlan 应设置为已标记？我的理解是，您只想在您希望它与之通信的 vlan 上标记交换机端口。

抱歉问了这么多愚蠢的问题，但我在这里遇到了一些困难。我尝试了很多方案，但似乎什么都行不通。

感谢您的帮助！我非常感谢您的帮助！

答案1

首先你应该知道 HP 和 Cisco 对“Trunk”一词的使用不同。HP 称之为“Trunk”，而 Cisco 称之为“Etherchannel”（端口聚合）。

我将使用思科意义上的术语（VLAN 中继），因为您似乎对此感到满意。

中继端口最多可以有一个未标记的 VLAN；所有其他 VLAN 都必须标记。如果愿意，您可以标记中继上的所有 VLAN。中继链路两侧的标记配置必须匹配。

个人电脑、相机等设备ETC。不理解 VLAN 标签。因此，有 PC 的端口必须具有所需的 VLAN未标记在该端口上。例如，如果您希望将摄像头置于 VLAN 200 上，则摄像头端口上的 VLAN 200 应不带标签。

有些设备（例如 IP 电话）确实能识别标签。通常，数据 VLAN 未标记，而 VoIP VLAN 已标记。

相关内容