faq обучение настройка
Текущее время: Сб авг 23, 2025 17:07

Часовой пояс: UTC + 3 часа




Начать новую тему Ответить на тему  [ Сообщений: 37 ]  На страницу Пред.  1, 2, 3
Автор Сообщение
 Заголовок сообщения:
СообщениеДобавлено: Ср июл 23, 2008 15:12 
Не в сети

Зарегистрирован: Пн сен 27, 2004 18:18
Сообщений: 1642
Откуда: Vault 13
Taras Stepanov писал(а):
Часть вписана вручную, часть может получаться автоматически (по МАС), но при этом может быть и прописана руками.

для начала - вся сеть в обязательном порядке должна быть переведена на автоматику, т.е. адреса должны получаться только через DHCP! почему? об этом ниже ...

Taras Stepanov писал(а):
Читал о DHCP Relay + Option 82 не понимаю чем эта возможность лучше от той что в сети есть DHCP-сервер?
Я так понимаю что комутаторы перехватывают DHCP-запросы и отправляют на сервер DHCP?

использование DHCP Relay уменьшает общее кол-во бродкастов в Вашей сети, т.к. DHCP запросы дальше порта свича никуда не распространяются ... при использовании Option 82 свич не просто перехватывает запросы, он попутно вставляет в них информацию о своем IP адресе и о порте с которого этот запрос пришел, что позволяет однозначно определить принадлежность порта ...

Taras Stepanov писал(а):
Тут я так понял нада чтоб был сервер авторизации?

да, но вполне возможно Вы обойдетесь и без него ;)

Taras Stepanov писал(а):
На комутаторах доступа для каждого порта будет привязка в IP-MAC Binding Table. Хоть это и трудоемкий процес, но пока другого варианта не вижу. Можете посоветовать более толковый вариант?
Как в моем случае стоит конторлировать связки IP+MAC (+Port) на главном устойстве и на комутаторах доступа?

т.к. Вы ответили на главный вопрос жизни, вселенной и вообще ... тьфу! всего треда :) то тогда перейдем к деталям ...
раз Вы думаете об IP-MAC-Port Binding, значит нахождение каждого IP адреса в сети относительно его порта известно, а раз так, то ничто, я повторюсь, ничто не мешает Вам загнать этот порт в определенный VLAN, а т.к. он будет находится в определенном VLAN, то тогда Вы сможете создать на своем 36-м свиче для него интерфейс и роутить пакеты ... voila! мы пришли к тому с чего начинали, т.е. к разделению сети на VLAN-ы ... как видите - ничего сверхестественного делать не надо будет ... стоп! но ведь Вам надо упростить себе работу по связке IP + МАС + порт? а для этого, как я уже говорил, вся сеть переводится на DHCP адресацию и когда Вы перейдете к DHCP Relay + Option 82, то тогда Вы сможете использовать IP-MAC-Port Binding в режиме DHCP Snoop-инга, при котором свич, на основе ответа DHCP сервера самостоятельно (sic!) создаст на время равное DHCP Lease Time правило для пропуска с определенного порта строго определенной связки IP+MAC, что позволит Вам не заниматься этим на агрегации ... в общем, что получается? каждый конкретный порт каждого свича будет получать свой собственный IP адрес, этот порт будет находится в том или ином VLAN образующем свою подсеть и пакеты между этими подсетями/VLAN-ами будет роутить свич именно так как ему и положено, т.е. с одного VLAN/интерфейса на другой тем самым Ваша сеть будет работать так как и работала, но при этом все будет работать правильно и красиво ... вопросы?

_________________
с уважением, БП


Вернуться наверх
 Профиль  
 
 Заголовок сообщения:
СообщениеДобавлено: Ср июл 23, 2008 15:42 
Не в сети

Зарегистрирован: Пн сен 24, 2007 19:07
Сообщений: 133
Откуда: Москва
+100500

а Guest Vlan позволит решить проблему с "мобильными юзерами"...
они перемещаясь между разными портами(неважно на сколько удалёнными друг от друга) будут всегда "включаться" в нужный vlan
причём при небольшом количестве юзеров можно понадеяться на функционал самого свитча, не устанавливая радиус сервер


Вернуться наверх
 Профиль  
 
 Заголовок сообщения:
СообщениеДобавлено: Ср июл 23, 2008 16:04 
Не в сети

Зарегистрирован: Пт июл 18, 2008 08:41
Сообщений: 23
snark писал(а):
загнать этот порт в определенный VLAN

Это значит физический порт на комутаторе доступа будет входить в VLAN на этом комутаторе, а благодаря GVRP этот VLAN будет общим с теми VLANами которые на 3627G = будет общим для ВСЕЙ сети?

snark писал(а):
вся сеть переводится на DHCP адресацию и когда Вы перейдете к DHCP Relay + Option 82, то тогда Вы сможете использовать IP-MAC-Port Binding в режиме DHCP Snoop-инга, при котором свич, на основе ответа DHCP сервера самостоятельно (sic!) создаст на время равное DHCP Lease Time правило для пропуска с определенного порта строго определенной связки IP+MAC, что позволит Вам не заниматься этим на агрегации ...

Вопрос 1:
Прочитал документачию о DHCP Relay с Option 82, "если DHCP-сервер поддерживает Option 82" как понимать? Если DHCP-сервером является UNIXовая машина то она отпадает как не совместимая с Option 82?
Или имеется ввиду однозначный переход на DHCP-сервер который нада будет поднять на 3627G?

Вопрос 2:
Мы получаем удобство в том, что привязка МАС+IP для ВСЕЙ (!) сети будет создана на DHCP-сервере?
Но при этом!!! ВСЕ-ВСЕ порты на комутаторах доступа нада будет внести в ВЛАНы которые соответствуют (получается жостко привязаны к) интерфейсу 3627?

Вопрос 3:
Если в порт на комутаторе доступа подключена машина на которой ВРУЧНУЮ вписан айпишник, то что произойдет?

Вопрос 4:
Почему когда у меня было много ВЛАНов и в каждом ВЛАНе по 1му интерфейсу, то у меня не получилось меджу ними (интерфейсами=ВЛАНами) сделать маршрутизацию?
Тоесть интерфейсы кроме главного не виделись из сети?
ВЛАНы были в конфиге так созданы:
create vlan v0 tag 2
config vlan v0 add tagged 1-27 advertisement disable
create vlan v1 tag 3
config vlan v1 add tagged 1-27 advertisement disable
Чем этот случай отличается от того что Вы говорите "пакеты между этими подсетями/VLAN-ами будет роутить свич именно так как ему и положено, т.е. с одного VLAN/интерфейса на другой тем самым Ваша сеть будет работать так как и работала"


Вернуться наверх
 Профиль  
 
 Заголовок сообщения:
СообщениеДобавлено: Ср июл 23, 2008 16:25 
Не в сети

Зарегистрирован: Пн сен 24, 2007 19:07
Сообщений: 133
Откуда: Москва
Taras Stepanov писал(а):
Это значит физический порт на комутаторе доступа будет входить в VLAN на этом комутаторе, а благодаря GVRP этот VLAN будет общим с теми VLANами которые на 3627G = будет общим для ВСЕЙ сети?

не обязательно благодаря gvrp, можно и вручную прописать те вланы и там где надо, но логика верна
Taras Stepanov писал(а):
Вопрос 1:
Прочитал документачию о DHCP Relay с Option 82, "если DHCP-сервер поддерживает Option 82" как понимать? Если DHCP-сервером является UNIXовая машина то она отпадает как не совместимая с Option 82?
Или имеется ввиду однозначный переход на DHCP-сервер который нада будет поднять на 3627G?

на unix как раз таки всё прекрасно поднимается, на том же isc dhcpd
а вот dhcpd на 3627g ничего не знает про option 82
Taras Stepanov писал(а):
Вопрос 2:
Мы получаем удобство в том, что привязка МАС+IP для ВСЕЙ (!) сети будет создана на DHCP-сервере?
Но при этом!!! ВСЕ-ВСЕ порты на комутаторах доступа нада будет внести в ВЛАНы которые соответствуют (получается жостко привязаны к) интерфейсу 3627?

да, либо заморачиваться на тему guest vlan и поднимать радиус, чтобы на основе авторизационных данных это распределение было автоматическим
Taras Stepanov писал(а):
Вопрос 3:
Если в порт на комутаторе доступа подключена машина на которой ВРУЧНУЮ вписан айпишник, то что произойдет?

не будет работать так как разрешающее правило создаётся при получении dhcp лизы, а почему он там должен быть вбит вручную ? у вас же корп сеть...
Taras Stepanov писал(а):
Вопрос 4:
Почему когда у меня было много ВЛАНов и в каждом ВЛАНе по 1му интерфейсу, то у меня не получилось меджу ними (интерфейсами=ВЛАНами) сделать маршрутизацию?
Тоесть интерфейсы кроме главного не виделись из сети?
ВЛАНы были в конфиге так созданы:
create vlan v0 tag 2
config vlan v0 add tagged 1-27 advertisement disable
create vlan v1 tag 3
config vlan v1 add tagged 1-27 advertisement disable
Чем этот случай отличается от того что Вы говорите "пакеты между этими подсетями/VLAN-ами будет роутить свич именно так как ему и положено, т.е. с одного VLAN/интерфейса на другой тем самым Ваша сеть будет работать так как и работала"

потому что у Вас не хватает знаний на тему 802.1q, на 3526 я так понимаю vlan'ы не были созданы ?


Вернуться наверх
 Профиль  
 
 Заголовок сообщения:
СообщениеДобавлено: Ср июл 23, 2008 16:40 
Не в сети

Зарегистрирован: Пн сен 27, 2004 18:18
Сообщений: 1642
Откуда: Vault 13
Taras Stepanov писал(а):
Это значит физический порт на комутаторе доступа будет входить в VLAN на этом комутаторе, а благодаря GVRP этот VLAN будет общим с теми VLANами которые на 3627G = будет общим для ВСЕЙ сети?

нет, GVRP служит для того чтобы транзитом передать VLAN через свич(и) в сети не создавая на транзитном свиче(ах) этот VLAN ... допустим в схеме:
Код:
sw1 --- sw2 --- sw3 --- sw4 --- sw5

Вы хотите чтобы юзер из VLAN на свиче sw1 работал с юзером в том же VLAN но на свиче sw5 при этом не создавая этот VLAN на свичах sw2, sw3 и sw4, для этого Вы создаете нужный Вам VLAN на свиче sw1 и sw5, а на sw2, sw3 и sw4 просто включаете GVRP на транзитных портах ... как это относится к 3627? дело в том что для транзитного VLAN нельзя создать IP интерфейс и соответственно роутить этот/эти VLAN свич не будет ... т.е., Вам надо создать VLAN и на оконечном 3526 и на 3627, а если у Вас есть между 3526 и 3627 транзитные свичи и на них нет тех VLAN которые надо передать - можете смело использовать GVRP для того чтобы "донести" VLAN от оконечного 3526 до 3627 ...


Taras Stepanov писал(а):
Прочитал документачию о DHCP Relay с Option 82, "если DHCP-сервер поддерживает Option 82" как понимать?

понимать буквально ;) т.е. если сервер не поддерживает Option 82, то ничего не выйдет ... пример? DHCP Server встроенный в M$ Windows Server ...

Taras Stepanov писал(а):
Если DHCP-сервером является UNIXовая машина то она отпадает как не совместимая с Option 82?

кто сказал что отпадает? вот Вам примерчик для ISC DHCP:
Код:
authoritative;
ddns-update-style none;

default-lease-time  1800;
max-lease-time      3600;
min-lease-time       900;

use-lease-addr-for-default-route on;
one-lease-per-client             on;

deny duplicates;
deny bootp;

option arp-cache-timeout 3600;
option netbios-node-type 1;

#-----------------------------------------------------------------------------
# подсеть без классов, классический вариант
subnet 172.16.0.0 netmask 255.255.255.0 {
    range 172.16.0.60 172.16.0.70;
    option routers 172.16.0.251;
    option domain-name-servers 172.16.0.253;
}
host host_10 { hardware ethernet 00:0f:ea:f3:42:9a; fixed-address 172.16.0.10; }
...
host host_50 { hardware ethernet 00:19:d1:8c:10:70; fixed-address 172.16.0.50; }


#-----------------------------------------------------------------------------
# описание классов которые используются при DHCP relay + option 82:

# в качестве условия берется МАС адрес свича:
class "your:switch:with:option_82:MAC:address:switch_port_number" {
    match if concat(
        binary-to-ascii(16, 8, ":", substring(option agent.remote-id, 3, 6)),
        ":",
        binary-to-ascii(10, 8, "", substring(option agent.circuit-id, 5, 1))
    ) = "your:switch:with:option_82:MAC:address:switch_port_number";
}
# сокращенная запись:
class "your:switch:with:option_82:MAC:address:switch_port_number" {
    match if concat(binary-to-ascii(16,8,":",substring(optionagent.remote-id,3,6)),":",binary-to-ascii(10,8,"",substring(optionagent.circuit-id,5,1))) = "your:switch:with:option_82:MAC:address:switch_port_number";
}

# вместо MAC-а из agent.remote-id, берем IP адрес свича из пакета:
class "your.switch.with_option_82.IP_address:switch_port_number" {
    match if concat(
        binary-to-ascii(10, 8, ".", packet(24, 4)),
        ":",
        binary-to-ascii(10, 8, "", suffix(option agent.circuit-id, 1))
    ) = "your.switch.with_option_82.IP_address:switch_port_number";
}
# сокращенная запись:
class "your.switch.with_option_82.IP_address:switch_port_number" {
    match if concat(binary-to-ascii(10,8,".",packet(24,4)),":",binary-to-ascii(10,8,"",suffix(optionagent.circuit-id,1))) = "your.switch.with_option_82.IP_address:switch_port_number";
}

# MAC адрес клиента как хар-ка класса:
class "some:your:client:hardware:MAC:address" {
    match if substring(hardware, 1, 7) = some:your:client:hardware:MAC:address;
}

# ну или любая другая запись вида:
# class "имя_класса" { всяко_разно_что_нужно_чтобы_класс_матчился; }


#-----------------------------------------------------------------------------
# подсети с классами
shared-network "clients" {
    # подсеть с железом
    # описание небходимо чтобы DHCP знал топологию сети
    subnet 10.90.90.0 netmask 255.0.0.0 { }

    # подсети с юзерами
    # для примера даны 3 подсети, чтобы было видно как прописывается classless static route
    # в каждой сети, для примера, даны 5 хостов
    subnet 192.168.1.0 netmask 255.255.255.0 {
        option routers 192.168.1.1;
        option domain-name-servers 192.168.1.1;

        pool { range 192.168.1.5; allow members of "имя_класса"; }
        pool { range 192.168.1.6; allow members of "имя_класса"; }
        pool { range 192.168.1.7; allow members of "имя_класса"; }
    }

    subnet 192.168.2.0 netmask 255.255.255.0 {
        option routers 192.168.2.1;
        option domain-name-servers 192.168.2.1;

        pool { range 192.168.2.5; allow members of "имя_класса"; }
        pool { range 192.168.2.6; allow members of "имя_класса"; }
        pool { range 192.168.2.7; allow members of "имя_класса"; }
    }

    subnet 192.168.3.0 netmask 255.255.255.0 {
        option routers 192.168.3.1;
        option domain-name-servers 192.168.3.1;

        pool { range 192.168.3.5; allow members of "имя_класса"; }
        pool { range 192.168.3.6; allow members of "имя_класса"; }
        pool { range 192.168.3.7; allow members of "имя_класса"; }
    }

    # дальше идет еще описание подсетей
    # subnet 192.168.XYZ.0 netmask 255.255.255.0 { }
    # аналогично тому что выше
}

пользуйтесь ;)

Taras Stepanov писал(а):
Или имеется ввиду однозначный переход на DHCP-сервер который нада будет поднять на 3627G?

про него сразу забудьте! не умеет он этого ...

Taras Stepanov писал(а):
Мы получаем удобство в том, что привязка МАС+IP для ВСЕЙ (!) сети будет создана на DHCP-сервере?

МАС Вам знать и не обязательно ;) Вам достаточно выдавать IP на основе порта свича, а все остальное свич сделает сам ...

Taras Stepanov писал(а):
Но при этом!!! ВСЕ-ВСЕ порты на комутаторах доступа нада будет внести в ВЛАНы которые соответствуют (получается жостко привязаны к) интерфейсу 3627?

да, Вы вносите все порты в определенные VLAN которые будут соответствовать определенным подсетям и определенным IP интерфейсам на 3627 ... это нормальное построение сети ... в этом ничего преступного нет ...

Taras Stepanov писал(а):
Если в порт на комутаторе доступа подключена машина на которой ВРУЧНУЮ вписан айпишник, то что произойдет?

произойдет то что Вам надо будет руками создать связку IP + МАС = порт

Taras Stepanov писал(а):
Почему когда у меня было много ВЛАНов и в каждом ВЛАНе по 1му интерфейсу, то у меня не получилось меджу ними (интерфейсами=ВЛАНами) сделать маршрутизацию?
Тоесть интерфейсы кроме главного не виделись из сети?

что-то было не так сделано ... процитирую свой ответ Вам из соседнего топика:
snark писал(а):
дабы Вам было проще разобраться - вот:
Код:
config vlan default delete 11-13

# подсеть 1
create vlan v11 tag 11
config vlan v11 add untagged 11

config gvrp 11 pvid 11

create ipif i11 192.168.11.1/24 v11


# подсеть 2
create vlan v12 tag 12
config vlan v12 add untagged 12

config gvrp 12 pvid 12

create ipif i12 192.168.12.1/24 v12


# подсеть 3
create vlan v13 tag 13
config vlan v13 add untagged 13

config gvrp 13 pvid 13

create ipif i13 192.168.13.1/24 v13

копируете и вставляете в консоль, втыкаете в порты 11, 12 и 13 по компьютеру, даете им IP адреса из соотв. подсетей, ставите 1-й адрес в этой подсети адресом шлюза по умолчанию, запускаете пинг друг на дружку и смотрите ...

Вы это пробывали?

Taras Stepanov писал(а):
Чем этот случай отличается от того что Вы говорите "пакеты между этими подсетями/VLAN-ами будет роутить свич именно так как ему и положено, т.е. с одного VLAN/интерфейса на другой тем самым Ваша сеть будет работать так как и работала"
тем что изначально Вы хотели не создавая VLAN-ов на клиентских свичах насоздавать кучу интерфейсов и/или навесить секондари адресов, а я предложил решение "один VLAN == одна подсеть == один IP интерфейс"

_________________
с уважением, БП


Вернуться наверх
 Профиль  
 
 Заголовок сообщения:
СообщениеДобавлено: Чт июл 24, 2008 08:38 
Не в сети

Зарегистрирован: Пт июл 18, 2008 08:41
Сообщений: 23
snark писал(а):
Вы это пробывали?
config vlan default delete 11-13
# подсеть 1
create vlan v11 tag 11
config vlan v11 add untagged 11
config gvrp 11 pvid 11
create ipif i11 192.168.11.1/24 v11
# подсеть 2
create vlan v12 tag 12
config vlan v12 add untagged 12
config gvrp 12 pvid 12
create ipif i12 192.168.12.1/24 v12


Этот вариант с привязкой к портам мне же изначально не подходит.

vxb писал(а):
на 3526 я так понимаю vlan'ы не были созданы ?

create vlan v0 tag 2
config vlan v0 add tagged 1-27 advertisement disable
create vlan v1 tag 3
config vlan v1 add tagged 1-27 advertisement disable
Так были созданы ВЛАНы на 3627G.
Но на 3526, через который я ходил на него - нет.
Теперь понятно что не правильно было это.

Всвязи с этим возникает 2 вопроса:
1. На 3627G, для обмена информацией о существующих ВЛАНах
нада для всех ВЛАНов сделать advertisement ENABLE? Тоесть при advertisement disable на 3627G, даже если я создал такие же ВЛАНы нв 3526 я бы не увидел интерфейсов в этих ВЛАНах?
На 3526 - тоже нада на всех ВЛАНах dvertisement ENABLE?

2. Соответствие ВЛАНов на разных устройств достигается чем?
Равенством имен? Или равенством VID? Или и то и то должно соответствовать?
Я так понимаю что VID имеет значение а название ВЛАНа может отличаться? (сделать то одинаковым всё не проблема, хочется понять правильно)


Вернуться наверх
 Профиль  
 
 Заголовок сообщения:
СообщениеДобавлено: Чт июл 24, 2008 13:19 
Не в сети

Зарегистрирован: Пн сен 27, 2004 18:18
Сообщений: 1642
Откуда: Vault 13
Taras Stepanov писал(а):
Этот вариант с привязкой к портам мне же изначально не подходит.

ЭТО БЫЛ ПРИМЕР! ТЕСТОВЫЙ ВАРИАНТ ТОЛЬКО ЧТОБЫ ПОКАЗАТЬ/ПОСМОТРЕТЬ КАК РАБОТАЕТ!
так видно что написано?

Taras Stepanov писал(а):
Так были созданы ВЛАНы на 3627G.
Но на 3526, через который я ходил на него - нет.
Теперь понятно что не правильно было это.

ЕМНИМС Вы изначально отказывались создавать VLAN-ы на 3526 и хотели все решить только 36-м свичом ...

Taras Stepanov писал(а):
На 3627G, для обмена информацией о существующих ВЛАНах
нада для всех ВЛАНов сделать advertisement ENABLE? Тоесть при advertisement disable на 3627G, даже если я создал такие же ВЛАНы нв 3526 я бы не увидел интерфейсов в этих ВЛАНах?
На 3526 - тоже нада на всех ВЛАНах dvertisement ENABLE?

даже если бы Вы не включали анонсирование, а параметр "advertisement" нужен только для GVRP, и вообще не включали бы оный GVRP, Вы бы всеравно видели во VLAN-ах созданных на 3526 интерфейсы созданные для этих VLAN на 3627 ...

Taras Stepanov писал(а):
Соответствие ВЛАНов на разных устройств достигается чем?
Равенством имен? Или равенством VID? Или и то и то должно соответствовать?
Я так понимаю что VID имеет значение а название ВЛАНа может отличаться? (сделать то одинаковым всё не проблема, хочется понять правильно)
соответствие достигается только номерами VID, имена VLAN ничего не значат, важен только VID!

_________________
с уважением, БП


Вернуться наверх
 Профиль  
 
Показать сообщения за:  Сортировать по:  
Начать новую тему Ответить на тему  [ Сообщений: 37 ]  На страницу Пред.  1, 2, 3

Часовой пояс: UTC + 3 часа


Кто сейчас на форуме

Сейчас этот форум просматривают: нет зарегистрированных пользователей и гости: 13


Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете добавлять вложения

Найти:
Перейти:  
Создано на основе phpBB® Forum Software © phpBB Group
Русская поддержка phpBB