cisco programmeren switch

[Verwijderd]

We hebben drie switchen in ons netwerk, de hoofdswitch is een Cisco 3560G en daar zijn twee 2960G switchen op verbonden. Om ons netwerk mooi gescheiden te houden, hebben we via een vtp server op de hoofdswitch vlan's aangemaakt. aan de andere twee switchen zijn printers en computers verbonden. printers staan in de range 192.168.20.50 tot 100 en zitten in vlan 20 en computers in de range 192.168.20.100 - 254 en ze zitten in vlan 30. Nu is het probleem dat de computers niet meer kunnen pingen met de printers. Wat doe ik dan verkeerd? Ik heb een trunk lijn aangemaakt op de 3 switchen. Ik heb de vtp server juist opgezet want de vtp clients krijgen de vlan's doorgestuurd. ook heb ik op iedere interface van de switch een switchport access vlan .. gezet. Is er dan nog iets belangrijks wat ik vergeten ben?

[MisterH75]

Heb je ook al routing ingesteld?

[CyBeR]

Ja: VLANs zorgen nu juist dat je niet kunt praten met elkaar zonder router. Je moet 't zien als dat je met VLANs twee (of meer) losse, fysiek gescheiden, netwerken maakt. Om onderling te kunnen praten moet je een router hebben en moeten de VLANs verschillende subnets hebben. Die 3560G kan volgens mij wel intervlan routing doen (geef 'm in elk vlan een ip adres, zet ip routing aan, wijs naar dat ip als default gateway), maar je hebt nog niet echt twee verschillende subnets.

Waarom je voor zo'n klein netwerkje je printers en computers wilt scheiden is me niet helemaal duidelijk overigens.

[Verwijderd]

nee heb routing nog niet ingesteld maar als ik een ping verstuur van een pc naar een printer op een andere switch dan komt dit pakket tot aan de switch en dan wordt dit alleen maar verstuurd naar de computers uit dezelfde vlan? komt dit omdat ik routing nog niet ingesteld heb?

Edit: Ohja, zowel de printers als de computers hebben het subnet 255.255.255.0, kan dit een fout zijn? of mag dit?

[ Voor 17% gewijzigd door Verwijderd op 18-11-2009 09:29 ]

[sander85]

Je werkt op een 192.168.20.0/24 netwerk. En beide netwerken wil je aan elkaar koppelen. In het ene vlan een andere range dan in het andere vlan. Je kan de vlan eventueel bridgen, maar wat is je voordeel dan van de vlans?

_{Sorry voor het vele aanpassen, ik las de eerste post verkeerd, ik nam aan dat het om 2 verschillende IP-netwerken ging (Dus 192.168.0.0/24 en 192.168.20.0/24 bijvoorbeeld) ging. Dan is routering nodig. Nu blijkt dat het 2 maal 192.168.20.0/24 is, dan is routering niet nodig, enkel een koppeling op laag 2, een bridge.}

[ Voor 143% gewijzigd door sander85 op 18-11-2009 09:35 ]

[Mike2k]

met ^^

Waarom wil je voor die paar computers en printers verschillende vlans aanmaken? Als je dit zou doen om bijv een management netwerk te scheiden van een productie netwerk...oke...maar voor dit ?

Ik zou het gewoon lekker in 1 grote range gooien...DHCP instellen en reserveringen maken voor elke printer...job well done...

Verwijderd schreef op woensdag 18 november 2009 @ 09:28:
nee heb routing nog niet ingesteld maar als ik een ping verstuur van een pc naar een printer op een andere switch dan komt dit pakket tot aan de switch en dan wordt dit alleen maar verstuurd naar de computers uit dezelfde vlan? komt dit omdat ik routing nog niet ingesteld heb?

Ja.

Edit: Ohja, zowel de printers als de computers hebben het subnet 255.255.255.0, kan dit een fout zijn? of mag dit?

Dan snap ik helemaal niet waarom je verschillende vlans aangemaakt hebt...

[ Voor 48% gewijzigd door Mike2k op 18-11-2009 09:33 . Reden: quote toegevoegd ]

[Verwijderd]

ja de hoofdswitch heeft wel een functie om te routeren dus dan zal ik dat daar maar eens aanzetten zeker. sander85, je hebt net je bericht aangepast maar wat stond er van de gateway van de computers?

[Verwijderd]

We willen dit doen omdat het bedrijf op 2 vestigingen gelegen is en om zo de computers van de vestiging gescheiden te houden van de andere.

[Mike2k]

Verwijderd schreef op woensdag 18 november 2009 @ 09:31:
ja de hoofdswitch heeft wel een functie om te routeren dus dan zal ik dat daar maar eens aanzetten zeker. sander85, je hebt net je bericht aangepast maar wat stond er van de gateway van de computers?

Nee.
Je spant het paard achter de wagen. Wat je je eerst af moet vragen is WAAROM heb je die vlans. Die zijn totaal overbodig.
Vervolgens, je kan nu intervlan routering wel aanzetten, maar waarom zou je de hoofdswitch extra belasten terwijl het geen enkele toegevoegde waarde heeft ?

Verwijderd schreef op woensdag 18 november 2009 @ 09:33:
We willen dit doen omdat het bedrijf op 2 vestigingen gelegen is en om zo de computers van de vestiging gescheiden te houden van de andere.

Dan is je setup nog steeds verkeerd! Je maakt dan dus 2 vlans aan, 1 voor elke vestiging, waar je al je printers en computers in zet.

Nog steeds niet nodig om je computer in het ene en je printers in het andere vlan te zetten...

[ Voor 29% gewijzigd door Mike2k op 18-11-2009 09:36 . Reden: Wederom quote toegevoegd ]

[Verwijderd]

Fastex schreef op woensdag 18 november 2009 @ 09:30:
met ^^

Waarom wil je voor die paar computers en printers verschillende vlans aanmaken? Als je dit zou doen om bijv een management netwerk te scheiden van een productie netwerk...oke...maar voor dit ?

Ik zou het gewoon lekker in 1 grote range gooien...DHCP instellen en reserveringen maken voor elke printer...job well done...


[...]

Ja.

[...]

Dan snap ik helemaal niet waarom je verschillende vlans aangemaakt hebt...

Ja dat was toch juist mijn vraag of dit de fout was. Anders moeten we ons subnet aanpassen en dit eens eerst berekenen met een VLSM calculator en dan indien nodig het subnet voor iedere vlan aanpassen

[sander85]

Je maakt 2 vlans met hetzelfde IP-netwerk. Als je deze aan elkaar wilt koppelen ben je je functionaliteit van 2 losse vlans kwijt. Maak daarom 2 aparte IP-netwerken aan, zoals 192.168.0.0/24 op vlan 20 en 192.168.1.0/24 op vlan 30. Deze kan je middels een routering via de hoofdswitch aan elkaar koppelen en zodoende goed van elkaar scheiden.

[ Voor 3% gewijzigd door sander85 op 18-11-2009 09:38 ]

[Verwijderd]

Als je toch met vlan's wilt werken, waarom stel je dan je twee vlan's niet in met een andere ip range. Ik zou twee verschillende ranges gebruiken. je hebt nu je 24 bits subnet verdeelt over twee vlan's.
maak twee verschillende ranges aan en routeer naar de lans die je wilt bereiken.
Ook ik vraag me af waarom zo omslachtig als het makkelijker en simpeler kan.
Moet switchport access vlan niet switchport mode access zijn?

[Verwijderd]

Fastex schreef op woensdag 18 november 2009 @ 09:34:
[...]

Nee.
Je spant het paard achter de wagen. Wat je je eerst af moet vragen is WAAROM heb je die vlans. Die zijn totaal overbodig.
Vervolgens, je kan nu intervlan routering wel aanzetten, maar waarom zou je de hoofdswitch extra belasten terwijl het geen enkele toegevoegde waarde heeft ?


[...]

Dan is je setup nog steeds verkeerd! Je maakt dan dus 2 vlans aan, 1 voor elke vestiging, waar je al je printers en computers in zet.

Nog steeds niet nodig om je computer in het ene en je printers in het andere vlan te zetten...

We hebben op dit moment 6 vlan's:
management
printers_vestiging1
computers_vestiging1
printers_vestiging2
computers_vestiging2
servers

[Mike2k]

Verwijderd schreef op woensdag 18 november 2009 @ 09:39:
[...]


We hebben op dit moment 6 vlan's:
management
printers_vestiging1
computers_vestiging1
printers_vestiging2
computers_vestiging2
servers

En die computers en printers vlan's moet je gewoon samenvoegen...heeft absoluut geen toegevoegde waarde om deze in een apart vlan te zetten.

[Verwijderd]

Fastex schreef op woensdag 18 november 2009 @ 09:44:
[...]


En die computers en printers vlan's moet je gewoon samenvoegen...heeft absoluut geen toegevoegde waarde om deze in een apart vlan te zetten.

oke, daar kan ik me nog wel in vinden. maar dan is het dus nog nodig om andere ip netwerken te gebruiken per vlan?
bv. 192.168.10.0 -> servers
192.168.20.0 -> printers en computers vestiging 1
192.168.30.0 -> printers en computers vestiging 2

[Mike2k]

Nee hoor...je zou ook dezelfde ranges kunnen gebruiken maar deze scheiden door subnetmask te gebruiken....bijv 192.168.0.0/26... Daar kan je gewoon 50 computertjes in kwijt...

Maar, voor het overzicht is vlan wel makkelijk...

[Verwijderd]

Verwijderd schreef op woensdag 18 november 2009 @ 09:47:
[...]


oke, daar kan ik me nog wel in vinden. maar dan is het dus nog nodig om andere ip netwerken te gebruiken per vlan?
bv. 192.168.10.0 -> servers
192.168.20.0 -> printers en computers vestiging 1
192.168.30.0 -> printers en computers vestiging 2

Nee volgens mij niet nodig.
Hoe ik het zou oplossen (in volgorde van verbinding)

• 192.168.20.0 -> printers en computers en servers vestiging 1
• switch
• router
• wan
• router
• switch
• 192.168.30.0 -> printers en computers vestiging 2

[Verwijderd]

Als de beste man 2 verschillende VLAN's wil hebben voor computers en printers is dat een keuze. Ik begrijp
niet dat er hier gezegd wordt dat dat omlachtig is en "fout".

Juist door functionele groepen te gebruiken (VLAN's) is het makkelijker de Access-Lists op te bouwen. Immers
waarom zou je printers ook internet toegang geven?

Samengevat heb je zoals in posts al genoemd nodig:

- 2 VLANs (of 3, of 6, of 100) met elk een eigen IP range

- Elk VLAN een Interface geven als er verkeer naar gerouteerd moet worden, anders houd je het
gewoon als "laag 2" VLAN (IP adres dient dan als gateway voor dat subnet).

- Routing aanzetten op 3560 (commando: ip routing)

- VTP heb je al aanstaan (password op zetten, en naam van VTP domain uniek maken, lees: non-default)

[Mike2k]

Verwijderd schreef op woensdag 18 november 2009 @ 09:53:
Als de beste man 2 verschillende VLAN's wil hebben voor computers en printers is dat een keuze. Ik begrijp
niet dat er hier gezegd wordt dat dat omlachtig is en "fout".

Juist door functionele groepen te gebruiken (VLAN's) is het makkelijker de Access-Lists op te bouwen. Immers
waarom zou je printers ook internet toegang geven?

Printers toegang tot internet...

"Gij zult uw VLANS met mate gebruiken"

Als je de printers geen gateway geeft hebben ze helemaal geen toegang tot internet

Wikipedia: KISS-principe

[ Voor 6% gewijzigd door Mike2k op 18-11-2009 10:00 ]

[Verwijderd]

Fastex schreef op woensdag 18 november 2009 @ 09:59:
[...]


Printers toegang tot internet...

"Gij zult uw VLANS met mate gebruiken"

Als je de printers geen gateway geeft hebben ze helemaal geen toegang tot internet

Wikipedia: KISS-principe

Mensen krijgen het altijd benauwd als er een VLAN bij moet komen, alsof het hele design op zijn kop gaat?
Een paar extra VLAN's om het logisch te houden is KISS. Anders had die 3560G maar geen switch moeten
worden, dan had de TS een Hub kunnen halen in een 2e hands zaak

Enne....printers geen gateway geven? Waar komen die ervaringen allemaal vandaan? Je moet ook denken
aan morgen. Wat als er remote toegang komt, wat als een andere vestiging moet printen naar een andere
locatie etc.? Juist door het advies met verschillende subnetmasks in "dezelfde" IP range wordt het onnodig
complex voor iemand die geen jaren ervaring heeft met een dergelijke omgeving.

[Mike2k]

Verwijderd schreef op woensdag 18 november 2009 @ 10:13:
[...]


Mensen krijgen het altijd benauwd als er een VLAN bij moet komen, alsof het hele design op zijn kop gaat?
Een paar extra VLAN's om het logisch te houden is KISS. Anders had die 3560G maar geen switch moeten
worden, dan had de TS een Hub kunnen halen in een 2e hands zaak

Enne....printers geen gateway geven? Waar komen die ervaringen allemaal vandaan? Je moet ook denken
aan morgen. Wat als er remote toegang komt, wat als een andere vestiging moet printen naar een andere
locatie etc.? Juist door het advies met verschillende subnetmasks in "dezelfde" IP range wordt het onnodig
complex voor iemand die geen jaren ervaring heeft met een dergelijke omgeving.

Aha, toekomst gericht bezig dus...zodat als er een kleine wijziging komt je gelijk al die access-lists door mag worstelen voor je wijzigingetje...Ik heb niets tegen VLANS, wel als ze overbodig gebruikt worden zoals in dit geval...

Zet nou gewoon je computers en printers in hetzelfde vlan...bespaart je een hoop gezeik...

[Verwijderd]

Verwijderd schreef op woensdag 18 november 2009 @ 09:53:
Als de beste man 2 verschillende VLAN's wil hebben voor computers en printers is dat een keuze. Ik begrijp
niet dat er hier gezegd wordt dat dat omlachtig is en "fout".

Juist door functionele groepen te gebruiken (VLAN's) is het makkelijker de Access-Lists op te bouwen. Immers
waarom zou je printers ook internet toegang geven?

Samengevat heb je zoals in posts al genoemd nodig:

- 2 VLANs (of 3, of 6, of 100) met elk een eigen IP range

- Elk VLAN een Interface geven als er verkeer naar gerouteerd moet worden, anders houd je het
gewoon als "laag 2" VLAN (IP adres dient dan als gateway voor dat subnet).

- Routing aanzetten op 3560 (commando: ip routing)

- VTP heb je al aanstaan (password op zetten, en naam van VTP domain uniek maken, lees: non-default)

How iemand die me gelijk geeft ivm met mijn printers en computers
Dus L_i_Q_u_i_D hoe zou jij het doen, voor iedere vlan een aparte IP range of zou jij het doen zoals fastex vermeldde?
je zou ook dezelfde ranges kunnen gebruiken maar deze scheiden door subnetmask te gebruiken....bijv 192.168.0.0/26

[Verwijderd]

Verwijderd schreef op woensdag 18 november 2009 @ 10:24:
[...]


How iemand die me gelijk geeft ivm met mijn printers en computers
Dus L_i_Q_u_i_D hoe zou jij het doen, voor iedere vlan een aparte IP range of zou jij het doen zoals fastex vermeldde?
je zou ook dezelfde ranges kunnen gebruiken maar deze scheiden door subnetmask te gebruiken....bijv 192.168.0.0/26

Dat met subnetmasks kan sowieso, dan maak je de subnetjes kleiner. Daar is dus niks fout aan, maar dan
nog zou IK het in verschillende VLANs zetten met elk een eigen gateway in het subnet. Computers hebben
niks te zoeken op printers: de printopdracht moet aankomen, dat is belangrijk. Dus je zou het nog verder door
kunnen trekken en alleen de printserver (als je die hebt) met de printers laten communiceren.

[Verwijderd]

Verwijderd schreef op woensdag 18 november 2009 @ 10:31:
[...]


Dat met subnetmasks kan sowieso, dan maak je de subnetjes kleiner. Daar is dus niks fout aan, maar dan
nog zou IK het in verschillende VLANs zetten met elk een eigen gateway in het subnet. Computers hebben
niks te zoeken op printers: de printopdracht moet aankomen, dat is belangrijk. Dus je zou het nog verder door
kunnen trekken en alleen de printserver (als je die hebt) met de printers laten communiceren.

Daar is dus niks fout aan, maar dan nog zou IK het in verschillende VLANs zetten met elk een eigen gateway in het subnet?? Je bedoelt dus eigenlijk gewoon voor iedere VLAN een eigen IP-range gebruiken. Maar ik zit dan nog met een vraag, als je iedere VLAN een eigen gateway geeft, hoe kan je er dan voor zorgen dat deze toch nog beide op het internet kunnen. Waar moet zoiets dan geprogrammeerd worden

[Verwijderd]

[b][message=32946405,noline]Calimero_ schreef op woensdag 18 november 2009

Daar is dus niks fout aan, maar dan nog zou IK het in verschillende VLANs zetten met elk een eigen gateway in het subnet?? Je bedoelt dus eigenlijk gewoon voor iedere VLAN een eigen IP-range gebruiken. Maar ik zit dan nog met een vraag, als je iedere VLAN een eigen gateway geeft, hoe kan je er dan voor zorgen dat deze toch nog beide op het internet kunnen. Waar moet zoiets dan geprogrammeerd worden

De gateway is de Layer 3 switch (3560G). Daar staat nu ook een route naar het Internet in, of in ieder geval
naar de router/firewall die het Internet verzorgt. Wat je moet onthouden: als jij routing aanzet op de 3560G, dan zal elk subnet/VLAN naar het Internet kunnen als dat VLAN een IP adres heeft. Hier hoef je dus niks extra voor te programmeren. Wat ik nog wel zou doen, is de printer range (of welk ander subnet dat niet met het Internet hoeft te communiceren) blokkeren in de firewall (of geen NAT regel voor definiëren).

clients/printers ----> verbonden met 2960 ----> verbonden met 3560 ----> verbonden met Internet Router/FW

clients/printers ----> hebben als gateway -----> de 3560 met het VLAN IP waar ze inzitten ---> 3560 routeert

[Mike2k]

Moet je kijken hoeveel vragen het op roept...En dan nog beweren dat het KISS is ?

Wordt een leuke als je dit gaat overdragen...en Calimero...waarom probeer je vast te houden aan je vlan idee?
Iedereen hier, met uizondering van Liquid, geeft aan dat het overbodig is...

Computers hebben
niks te zoeken op printers: de printopdracht moet aankomen, dat is belangrijk.

Je spreekt jezelf in 1 zin tegen...

[Verwijderd]

Ah oke, dat is echt een duidelijke uitleg. Nu begrijp ik wat je bedoelt. Nu heb ik nog een laatste vraag, je zegt: geef iedere vlan een IP adres,
1) hoe doe je dat? welk commando?
2) ik heb ook een VLAN management aangemaakt die ik op de koppel aan de ethernetpoorten waardoor de verschillende switchen met elkaar verbonden zijn:

S1(config)#interface vlan 99
S1(config-if)#ip address 172.17.99.11 255.255.255.0

S2(config)#interface vlan 99
S2(config-if)#ip address 172.17.99.12 255.255.255.0

S3(config)#interface vlan 99
S3(config-if)#ip address 172.17.99.13 255.255.255.0

S1(config)#interface range fa0/1
S1(config-if-range)#switchport mode trunk
S1(config-if-range)#switchport trunk native vlan 99
S1(config-if-range)#no shutdown
S1(config-if-range)#end

Is dit goed gedaan of is dit gewoon niet nodig ( ja ik moeilijk uitleggen waarvoor het precies is, misschien snap je wat ik bedoel)

[sander85]

Fastex schreef op woensdag 18 november 2009 @ 10:50:
[...]

Je spreekt jezelf in 1 zin tegen...

Dus enkel de printserver moet bij zowel de computers en de printers komen. Deze moet in 2 vlans opgenomen zijn. De printserver ontvangt dan de printopdrachten van het vlan waar de clients in zitten waarna de printserver vervolgens zorgt voor de communicatie met de printers. De clients hoeven dan direct niets te doen op de printers, alleen opdrachten van de printserver ontvangen.

Sterker nog, voor het vlan waar de printers op zitten is dan geen routering nodig, aangezien de printers niet op internet hoeven.

Dit kan gedaan worden door de printserver van 2 netwerkkaarten te voorzien waar op elke netwerkaart een enkele vlan binnenkomt of met een netwerkkaart een trunk aan te leggen met daarop beide vlans.

[ Voor 29% gewijzigd door sander85 op 18-11-2009 11:07 . Reden: Toevoeging dat er geen routering nodig is voor printer-netwerk ]

[Verwijderd]

Fastex schreef op woensdag 18 november 2009 @ 10:50:
Moet je kijken hoeveel vragen het op roept...En dan nog beweren dat het KISS is ?

Wordt een leuke als je dit gaat overdragen...en Calimero...waarom probeer je vast te houden aan je vlan idee?
Iedereen hier, met uizondering van Liquid, geeft aan dat het overbodig is...

[...]

Je spreekt jezelf in 1 zin tegen...

Als je maar de helft Quote wel ja Ik zei daarbij dat de printers printopdrachten moeten kunnen ontvangen,
van de printserver. Dat is in de meeste organisaties zo, en om die reden hoeft een PC niet direct bij de printer te kunnen. Er zijn 10 mogelijkheden om iets in te richten, maar dat neemt niet weg dat er een logische opzet moet zijn. Morgen komen er IP telefoons, Wifi, Video devices etc...allemaal in 1 VLAN of broadcast domain gaan plaatsen??? Je moet een netwerk bouwen op de groei en ontwikkeling, niet op de
vraag van vandaag, want dan loop je een keer vast.

Enne, overdracht van 1 VLAN of 6? Maakt dat uit? Als je duidelijk aangeeft in je documentatie dat ze er
zijn (en vooral waarom!) is het (althans voor mij) veel helderder dan: we hebben 1 VLAN waar we alles in gedumpt hebben, en de IP reeksen die we gebruiken zijn.........etc etc etc. Ik heb meer klanten die het
niet begrepen omdat alles zo "plat" was ingericht, dan na een fatsoenlijk ontwerp. VLANs en subnetten
die bij elkaar horen zijn juist de triggers om iets te onthouden.

Nogmaals, ik zeg niet dat de rest fout is...ik zeg alleen dat ik dat nooit bij een klant zou implementeren op
die manier.

[Mike2k]

Het wordt al makkelijker...nu gaan we de server uitrusten met extra hardware...

[Verwijderd]

Verwijderd schreef op woensdag 18 november 2009 @ 10:58:

Is dit goed gedaan of is dit gewoon niet nodig ( ja ik moeilijk uitleggen waarvoor het precies is, misschien snap je wat ik bedoel)

Ik begrijp prima wat je bedoelt, je hebt een management netwerk/VLAN of transport netwerk gemaakt
(good for you!). Ook verstandig om hier niet VLAN nr 1 voor te gebruiken Voor de rest blijf ik erbij dat
je deze lijn door kunt zetten (zo groot of zo klein als je zelf wilt), zolang de logica er is WAAROM je een
VLAN gebruikt.