Management VLAN's

[HyperBart]

Ik ben terug bezig met mijn VLAN's en daar wat van bij te leren, maar ik kom tegen een blok waar ik niet omheen kan of wat ik niet begrijp.

Zoals ik het me herinner dienen die management vlan's om remote een switch te kunnen benaderen op IPvia bv telnet oid... net zoals je bij soho routers naar het ip van de router/switch/ap browsed.

Maar hoe kan dat dan, ik heb een vlan (ik hou het voorlopig bij het native man vlan, dus 1...). Moet ik dan iedere switch zijn vlan 1 interface een IP toekennen, of hoe of wat ?

[Verwijderd]

Klopt. Je kunt een switch telnetten (en SNMP'en, SSH'en, pingen) op een interface waarop hij een IP adres heeft. Een laag 2 switch heeft maximaal 1 VLAN-interface en dat gebruik je dus om de switch te beheren.
VLAN1 gebruiken heeft trouwens wat nadelen met betrekking tot beveiliging, maar zo lang het in labjes is, is dat geen enkel probleem.

[HyperBart]

aha, dus iedere vlan1 op een switch moet een IP hebben om 'm remote administrable te maken...

edit: en dat van die VLAN 1 met security en zo heb ik ook al wat gelezen, maar echt begrijpen doe ik het nog niet, wat is daar het big issue ?

[ Voor 43% gewijzigd door HyperBart op 02-06-2009 00:45 ]

[xyanide]

HyperBart schreef op dinsdag 02 juni 2009 @ 00:41:
aha, dus iedere vlan1 op een switch moet een IP hebben om 'm remote administrable te maken...

Correct, anders kan je hem ook niet remote bereiken.
Zorg ook dat je de gateway goed instelt .

edit: en dat van die VLAN 1 met security en zo heb ik ook al wat gelezen, maar echt begrijpen doe ik het nog niet, wat is daar het big issue ?

Ik denk dat hij doelt op het feit dat de switch op afstand configureerbaar is, dit kan wat beveiligingsproblemen veroorzaken met o.a. oudere IOS versies.

[ Voor 29% gewijzigd door xyanide op 02-06-2009 00:49 ]

[Verwijderd]

Default zitten alle poorten op een switch in VLAN 1 dus dan kan iedereen in dat VLAN naar de switch telnetten oid. Dit is natuurlijk niet gewenst.

[CyBeR]

Verwijderd schreef op dinsdag 02 juni 2009 @ 01:29:
Default zitten alle poorten op een switch in VLAN 1 dus dan kan iedereen in dat VLAN naar de switch telnetten oid. Dit is natuurlijk niet gewenst.

Dat is niet eens het probleem: dat is dat je, als je niet oplet, vrij simpel in VLAN 1 uit kunt komen terwijl dat mischien niet de bedoeling is.

By default zijn alle poorten overigens ook niet voorzien van 802.1q tags, dus zolang je native VLAN maar niet 1 is op de switchpoort waar je aanhangt zit je wel ok.

[ Voor 15% gewijzigd door CyBeR op 02-06-2009 02:14 ]

[HyperBart]

ik snap het nog niet volledig.
Wat is dat native vlan en dan vlan 1... de post van CyBeR begrijp ik niet echt...

[CyBeR]

Native VLAN is het vlan van een poort waartoe frames behoren die zonder 802.1q tag binnen komen. M.a.w: als je een doodnormale pc aan een switchpoort hangt, het vlan waar die in zit. Bij de standaardinstelling van zover mij bekend elke switch in de markt is dat VLAN 1. Op het moment dat VLAN 1 voor jou speciaal is (speciale rechten, weetikhet) en je let niet op dan kun je daardoor perongeluk allerlij poorten in je VLAN 1 proppen. Zeker als je gebruik maakt van dynamische vlans is dat mogelijk.

[ Voor 29% gewijzigd door CyBeR op 02-06-2009 03:31 ]

[TrailBlazer]

Plus dat je vlan 1 nooit van een trunk kan excluden. Dus als je een trunk naar een firewall maakt bijvoorbeeld dan zal deze ook altijd verkeer in vlan 1 kunnen sturen terwijl daar geen reden voor is.

[CyBeR]

Dat is dan afaik weer een Cisco-probleem.

[ Voor 7% gewijzigd door CyBeR op 02-06-2009 08:05 ]

[TrailBlazer]

Zijn er dan ook andere merken