Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    VLAN

    Scheduled Pinned Locked Moved Russian
    30 Posts 5 Posters 7.4k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • Q Offline
      qshiroe
      last edited by

      "Одним концом вокнуть его в порт л2 с untag vlan300, остальные же порты на этом просто свитче исп. только для vlan300 клиентов. "

      Это не будет работать т.к. например к одной розетке у пользователя через свитч могут быть подключены несколько девайсов, и грубо говоря я должен пускать в интернет только разрешенный то есть пускать один в VLAN200, остальные VLAN300

      1 Reply Last reply Reply Quote 0
      • werterW Offline
        werter
        last edited by

        Мил человек. Я исхожу из того , что вы описали ранее. А сколько у вас там еще нюансов - я не телепат.

        1 Reply Last reply Reply Quote 0
        • Q Offline
          qshiroe
          last edited by

          Да я понимаю, я это написал чтобы уточнить :) теперь остался вопрос как это реализовать

          1 Reply Last reply Reply Quote 0
          • S Offline
            Scodezan
            last edited by

            А тебе не приходило в голову, что для того чтоб пускать или не пускать в интернет VLANы не нужны?

            1 Reply Last reply Reply Quote 0
            • Q Offline
              qshiroe
              last edited by

              "Да спасибо, я то думал без них не обойтись"

              1 Reply Last reply Reply Quote 0
              • Q Offline
                qshiroe
                last edited by

                @Scodezan:

                А тебе не приходило в голову, что для того чтоб пускать или не пускать в интернет VLANы не нужны?

                Господин werter уже максимально точно описал что нужно, а именно "настроить на л2-свитче правило типа всё что не имеет маков от VLAN200 - присваивать VLAN300", для каких целей это нужно я уже разберусь, вопрос стоит "Возможно ли?" и "Как?".

                А выбранный мною способ по доступу в интернет обусловлен топологией и еще с десятком нюансов

                1 Reply Last reply Reply Quote 0
                • werterW Offline
                  werter
                  last edited by

                  @qshiroe:

                  Господин werter …

                  Товарищ, товарищ, ув. qshiroe :)

                  1 Reply Last reply Reply Quote 0
                  • R Offline
                    randreevich
                    last edited by

                    не управляемый свитч не понимает вланы
                    купите второй упр. свитч.

                    1 Reply Last reply Reply Quote 0
                    • Q Offline
                      qshiroe
                      last edited by

                      всмысли не понимает vlan ? Любой не управляемый свитч сможет передать кадр с vlan

                      1 Reply Last reply Reply Quote 0
                      • J Offline
                        Jetberry
                        last edited by

                        @qshiroe:

                        всмысли не понимает vlan ? Любой не управляемый свитч сможет передать кадр с vlan

                        Вообще-то как-бы не любой, а только тот который может пропустить фрейм размером 1522 байта, т.к. 802.1Q добавляет тэг увеличивающий размер фрейма на 4 байта.

                        1 Reply Last reply Reply Quote 0
                        • Q Offline
                          qshiroe
                          last edited by

                          это могут 90% свитчей на рынке, да и вопрос не в передаче кадра по сети, а в том как его фильтровать и маршрутизировать на L2 свитче

                          1 Reply Last reply Reply Quote 0
                          • J Offline
                            Jetberry
                            last edited by

                            Из вашего ТЗ не совсем ясно кто будет навешивать vlan-тэги. Сетевая карта терминального устройства или же L2-свитч? Если свитч, то тогда вам нужно 802.1X и RADIUS. И в этом случае есть подводные камни - на HP(например) на одном порту можно держать не более 32 авторизованных клиента. Еще есть вариант использовать ip unnambered. Но в любом случаем вам для маршрутизации нужен либо L3-свитч, либо маршрутизатор (pfSense - подойдёт). Без внятного ТЗ вам вряд ли помогут. Пока что это всё похоже на рассуждения о сферических конях в вакууме.

                            1 Reply Last reply Reply Quote 0
                            • Q Offline
                              qshiroe
                              last edited by

                              Теги вешать будет L2 свитч на основе mac

                              1 Reply Last reply Reply Quote 0
                              • S Offline
                                Scodezan
                                last edited by

                                Я всё пытаюсь уловить смысл деления на VLAN непосредственно перед pfsense.
                                Цель повысить скорость передачи за счёт разделения трафика на несколько линий передачи?
                                Или цель повысить безопасность сети? Или цель построить лабиринт, чтобы затеряться в нём?

                                1 Reply Last reply Reply Quote 0
                                • Q Offline
                                  qshiroe
                                  last edited by

                                  Цель разделить широковещательный трафик и доступ к интернету, но т.к. возможности изменить топологию сети нет, то приходится изобретать велосипед.

                                  Кстати, решение нашел: 802.1X и авторизация по MAC (у cisco технология называется MAB)

                                  1 Reply Last reply Reply Quote 0
                                  • J Offline
                                    Jetberry
                                    last edited by

                                    ТСу все равно придется заводить виланы в pfSense т.к. рутить то больше нечем. Кстати, безопасность сети будет очень сильно страдать при использовании mac-based vlan и неуправляемых коммутаторов. Вопрос "Зачем?" остается открытым.

                                    1 Reply Last reply Reply Quote 0
                                    • Q Offline
                                      qshiroe
                                      last edited by

                                      Так в PfSense они и созданы и к нему подключен коммутатор

                                      1 Reply Last reply Reply Quote 0
                                      • werterW Offline
                                        werter
                                        last edited by

                                        Доброе.
                                        Повторюсь.
                                        Настроить на л2-свитче правило, типа всё что не имеет маков от VLAN200 - присваивать VLAN300. Если такое возможно.
                                        Если и вариант с доп. свитчами (описывал ранее) не подходит, то тогда никак. Не тратьте время.

                                        1 Reply Last reply Reply Quote 0
                                        • Q Offline
                                          qshiroe
                                          last edited by

                                          Так решено ведь, ответ на все вопросы - 802.1x и MAC Authentication Bypass

                                          Можно тему закрывать.

                                          1 Reply Last reply Reply Quote 0
                                          • S Offline
                                            Scodezan
                                            last edited by

                                            qshiroe, хорошо, если ты знаешь, что делаешь.

                                            А я всё равно не понимаю зачем непосредственно перед pfsense делить трафик на два потока. Никакого преимущества это не даёт.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.