Kan man kjøre tagged vlan til en "Vanlig PC"?

[ATWindsor]

Hva skjer om man kjører ett tagged vlan med to vlan til en PC uten spesiell støtte for vlan? La oss tenke oss følgende scenario:

 

Jeg har 3 PCer bak en swtich som støtter vlan, PC 1 ha vlan 10, PC 2 har vlan 20, og jeg vil ikke at de skal se hverandre, så langt er alt som det skal, men PC3 er en server, som jeg vil skal bli sett av begge. Derfor tagger jeg vlan 10 og 20 på porten til PC3, hva skjer så? Fungerer dette problemfritt, eller må jeg ha noe spesiell hardware på PCen?

[Horrorbyte]

Ehm. My bet? At du får full utveksling mellom vlan 10 og 20, dersom du i det hele tatt får konfigurert det slik. Jeg antar derimot at det skal kunne gå greit om switchen støtter trunking. Jeg har satt opp en løsning med switcher som ikke støtter det, men den var ikke spesielt sexy.

Endret 9. august 2013 av Horrorbyte

[ATWindsor]

Ehm. My bet? At du får full utveksling mellom vlan 10 og 20, dersom du i det hele tatt får konfigurert det slik. Jeg antar derimot at det skal kunne gå greit om switchen støtter trunking. Jeg har satt opp en løsning med switcher som ikke støtter det, men den var ikke spesielt sexy.

 

Hva legger du i "trunking" her? At den kjører tagged vlan, istedet for "untagged"? Trunking brukes om så mye rart... Swithcen støtter forøvrig vlan helt fint, både tagged og untagged, spørsmålet er hva som skjer når utstyret som henger på switchen ikke gjør det.

 

AtW

Endret 9. august 2013 av ATWindsor

[Horrorbyte]

Trunk between a switch and an workstation or a router: For example, in a network topology, a database server belongs to a database-VLAN whereas a Web server belongs to a Web-VLAN. For a client to talk at Level 2 with these two servers (without any routing device), two network interfaces are required, one configured in the database-VLAN, the other in the Web-VLAN. A trunking connection eliminates the need for two interfaces, and requires only one VLAN-aware network interface that will forward traffic from both VLANs.

 

Alternativet er en router, eller rett og slett to interface i maskinen.

[ATWindsor]

Så eksakt hva hva er det egentlig som feiler i ett system der PCen ikke støtter tagged vlan? (jeg regner med det er det du sikter til med trunk), kaster PCen alle pakker med vlan-id i headeren, eller vil ikke switchen sende pakker til denne porten av en eller annen grunn? Og isåfall hvorfor ikke?

 

AtW

[Horrorbyte]

[ flisespikking ] Først av alt så snakker vi ikke om pakker på lag 2. Pakker er en lag 3-greie. [ /flisespikking ]

 

Erfaringsmessig, så kan en port da kun settes til ett vlan. Vil man koble sammen flere, så må det kabler til. En kabel uten noe mellom vil bety at all trafikk kan gå mellom begge vlan. En router mellom vil kunne fungere som en brannmur for å sette grenser for hva som faktisk kan gå mellom.

[ATWindsor]

[ flisespikking ] Først av alt så snakker vi ikke om pakker på lag 2. Pakker er en lag 3-greie. [ /flisespikking ]

 

Erfaringsmessig, så kan en port da kun settes til ett vlan. Vil man koble sammen flere, så må det kabler til. En kabel uten noe mellom vil bety at all trafikk kan gå mellom begge vlan. En router mellom vil kunne fungere som en brannmur for å sette grenser for hva som faktisk kan gå mellom.

 

Hvolken port er det du snakker om her nå? Den på PCen "vet ikke hva vlan er" så den kan jo ikke sette noe vlan i det hele tatt. Og switchen vil jo alltid kunne tagge flere vlan på en pakke, selv om det er en PC bak? Eller tenker du at nå på pakkene switchen mottar fra PCen?

 

AtW

[Horrorbyte]

Jeg tenker ikke på PC-en i det hele tatt. Den bryr seg jo ikke, som du selv så fint sier. Jeg tenker på utveksling av trafikk mellom ulike vlan, og at switchen altså må kunne støtte det. Gjør den det, så er problemet løst.

 

Dersom du har utstyret, så er vel det enkleste bare å prøve seg frem dersom det ikke kjøres noe kritisk som må være tilgjengelig.

[ATWindsor]

Jeg tenker ikke på PC-en i det hele tatt. Den bryr seg jo ikke, som du selv så fint sier. Jeg tenker på utveksling av trafikk mellom ulike vlan, og at switchen altså må kunne støtte det. Gjør den det, så er problemet løst.

 

Dersom du har utstyret, så er vel det enkleste bare å prøve seg frem dersom det ikke kjøres noe kritisk som må være tilgjengelig.

 

Som sagt, switchen støtter vlan. Spørsmålet er hva som skjer når utstyret som henger på swithcen ikke gjør det. La oss si en port på switchen kjører tagged lan 10 og 20, og en port kjører untagged 10, og den tredje kjører untagged 20.

 

Altså

 

Port 1: Tagged 10, 20

Port 2 : Untagged 10

Port 3: Untagged 20

 

Hva skjer med trafikken til og fra port 1, om PCen som er på den ikke støtter vlan?

 

AtW

[Horrorbyte]

Jeg har aldri hørt om en PC som ikke støtter vlan (gitt at den har et vanlig nettverkskort). Dette foregår jo i nettverket, om du ikke har fått med deg noe jeg har gått glipp av. Dersom switchen støtter det, kan du sette opp et vlan som gir maskiner koblet til det tilgang til de to andre. PC bryr seg katta i hvordan dette fungerer. Alternativt kan du bruke to interface på PC-en (i praksis to nettverkskabler fra switch til PC), ett for hvert vlan.

[ATWindsor]

Jeg har aldri hørt om en PC som ikke støtter vlan (gitt at den har et vanlig nettverkskort). Dette foregår jo i nettverket, om du ikke har fått med deg noe jeg har gått glipp av. Dersom switchen støtter det, kan du sette opp et vlan som gir maskiner koblet til det tilgang til de to andre. PC bryr seg katta i hvordan dette fungerer. Alternativt kan du bruke to interface på PC-en (i praksis to nettverkskabler fra switch til PC), ett for hvert vlan.

 

Switchen støtter vlan, tagged og untagged. Bare anta det for resten av diskusjonen.

 

Så hva gjør switchen når den får en frame uten vlan-info inn på port 1? Vil den selv tagge den med vlan 10 og 20? Eller vil den legge den på native-vlan, eller noe annet?

 

AtW

[Gjest]

Switchen vil jo tagge pakkene og sende den videre til port 1 siden pakken ikke har tag så vil switchen sette tag på den og sende den videre til port 1 - noe jeg antar. Ny innen for dette med nettverk!

[Horrorbyte]

Når switchen mottar en frame, så tagges denne til den vlan-id-en som er satt som standard for den porten. Det skal være fint mulig å la vlan-et PC-en er koblet til ta hånd om trafikk fra begge vlan - rettere sagt la PC-en få tilgang til trafikken. Nøyaktig hvordan dette gjøres i switchen, det er jeg ærlig talt ikke helt sikker på (jeg er ikke cisco-sertifisert), og hvordan du konfigurerer det vil nok variere fra operativsystem til operativsystem. Uansett, så er dette noe som foregår i switchen - ikke i PC-en.

 

Dersom dette er noe du akter å gjennomføre i praksis, og ikke bare et tenkt scenario, så kan du jo skrive hvilken switch det er slik at noen med kjennskap til grensesnittet kan hjelpe deg.

[ZeRKoX]

Tihi. Mye spennende svar, på mange spørsmål som ikke var stilt

 

Men, for å forsøke å gi ett svar:

Dersom en PC som ikke er konfigurert for VLAN får inn en pakke med en 802.1q tag, så vil driveren for nettkortet avgjøre hva som skjer. Per default, så dropper linux slike pakker, med mindre du sier at den skal gjøre noe annet. Jeg vil tro windows har samme oppførsel.

Dersom en svitsj får inn en pakke uten 802.1q ID, på en port med flere VLAN (trunk, tagged-port, whatever), så avhenger det en del på svitsjen hva som skjer. Det som helt garantert ikke skjer, er at pakken får to VLAN. Om det er en ciscosvitsj, vil utaggede pakker havne i "native vlan". Om dette ikke er konfigurert, er det VLAN1. Om du har HP/Brocade/Force10, så er jeg ganske skråsikker på at pakken blir droppet, om ingen VLAN er konfigurert på porten som utaggede.

 

Så, å lede to vlan vha 802.1q inn til en server, som ikke bryr seg om VLAN, kommer ikke til å virke.

[ZeRKoX]

Og for å svare på originalt spørsmål:

Dersom du vil ha en server, som skal kunne snakke med klienter, uten at klientene kan snakke med hverandre, har du ett par valg:

• PVLAN: Private VLAN (cisco teknologi) lar deg ha alle maskinene i samme VLAN, slik at alle kan snakke med serveren, men uten at klientene kan snakke sammen. Har du en "nyere" Cisco Catalyst svitsj, så er dette den desidert letteste måten.
  
• Routing: Sett klientene i egne VLAN, serveren i ett eget VLAN, og på ett eller annet vis, så ruter du trafikken mellom dem. (Med en 802.1q aware router, eller en lag3 svitsj).
  
• Eller, så tagger du vlanene inn til serveren, og setter opp serveren til å tolke VLAN-tagger. Både linux og Windows kan gjøre dette. Litt avhengig av nettkortet ditt, vil dette bli gjort i software eller hardware. Første treff fra google på hvordan det gjøres i linux finnes her: http://www.edugeek.net/forums/nix/8907-howto-using-802-1q-vlans-directly-linux.html
  

[ATWindsor]

Takk for svar ZeRKoX, veldig oppklarende, jeg skjønner hvorfor de gjør det sånn, da det er litt mer ryddig i "profesjonelle" settinger å gjøre det sånn, men for ett enkelt hjemmeoppsett hadde det vært mer praktisk om driveren bare tok imot alt, og switchen tagget all utagget trafikk på porten.

 

På HP (som jeg har), så virker det som man kan sette ett untagged vlan i tillegg til tagged, antar det får det untaggede vlanet da, som du sier.

 

Ett lite spørmål til, om man har ett nettverkskort som støtter vlan, må man sette opp to "virituelle interface" med hver sin IP eller noe sånt for å ta imot flere vlan? Eller kan man bare sette det med en interface? Og må man også sette opp vlan på nettverkskortet, eller kan den ha noen slags form med "negotiation" med swtichen for å sette hvilke vlan den skal tagge på pakkene som PCen sender ut?

 

AtW

[ATWindsor]

Og for å svare på originalt spørsmål:

Dersom du vil ha en server, som skal kunne snakke med klienter, uten at klientene kan snakke med hverandre, har du ett par valg:

• PVLAN: Private VLAN (cisco teknologi) lar deg ha alle maskinene i samme VLAN, slik at alle kan snakke med serveren, men uten at klientene kan snakke sammen. Har du en "nyere" Cisco Catalyst svitsj, så er dette den desidert letteste måten.
  
• Routing: Sett klientene i egne VLAN, serveren i ett eget VLAN, og på ett eller annet vis, så ruter du trafikken mellom dem. (Med en 802.1q aware router, eller en lag3 svitsj).
  
• Eller, så tagger du vlanene inn til serveren, og setter opp serveren til å tolke VLAN-tagger. Både linux og Windows kan gjøre dette. Litt avhengig av nettkortet ditt, vil dette bli gjort i software eller hardware. Første treff fra google på hvordan det gjøres i linux finnes her: http://www.edugeek.n...ctly-linux.html
  

 

Hmm, ok, da har jeg misforstått noe om VLAN, hvorfor må switchen ha ruting funksjonalitet? Eller for å spørre på en annen måte, la oss si jeg ikke har noen ruter i oppsettet i det hele tatt (bare for enkelhets skyld), vil ikke switchen sørge for at trafikk som er på vlan 10 (tagged eller untagged) kun går til andre porter som også er på vlan 10?

 

AtW

[Horrorbyte]

Igjen, så vil det kreves routing - enten det er med router eller lag 3-switch - for å overføre mellom ulike vlan dersom switchen ikke støtter trunking og man skal ha begrensninger som gjør at man ikke bare kan f.eks. strekke en kabel mellom (som vil fjerne litt av poenget med to separate vlan).

[ATWindsor]

Igjen, så vil det kreves routing - enten det er med router eller lag 3-switch - for å overføre mellom ulike vlan dersom switchen ikke støtter trunking og man skal ha begrensninger som gjør at man ikke bare kan f.eks. strekke en kabel mellom (som vil fjerne litt av poenget med to separate vlan).

 

Switchen støtter trunking/tagged vlan, som jeg antar de fleste swticher gjør.

 

AtW

[Horrorbyte]

Vi har i hvert fall noe ræl i nettverkslaben ved NTNU som ikke støtter det. Hvor utbredt støtten er sånn ellers skal jeg ikke uttale meg om.

 

Det var for øvrig bare et svar på spørsmålet ditt. Routing er et alternativ til trunking i denne sammenheng.

 

Edit: Og ja, switchen sørger for at det i utgangspunktet holdes på de portene som er fastsatt. Routing er først aktuelt når man skal overføre trafikk mellom ulike vlan. Skal man ikke det, så trenger man ikke tenke på verken trunking eøler routing mellom vlan.

Endret 10. august 2013 av Horrorbyte