[switch] 2 netwerken switchen over 1 switch? Kan dat?

[Urk]

Misschien een stomme vraag maar is het mogelijk om bijv. over 1 switch 2 netwerken te switchen? In mijn geval een intern (192.168.x) subnet en een publiek subnet?

Ik heb al even gezocht of dat dan een VLAN betreft maar wat ik van Wikipedia lees is dat precies andersom.

Het betreft in mijn geval trouwens een Netgear GS716T gigabit switch.

[TECHcrime]

Als je een managed switch hebt (een switch met web interface of iets dergelijks) en deze heeft de functie om een VLAN te gebruiken dan kan dat.
bv:
port 1 t/m 8 - VLAN 1
port 9 t/m 12 - VLAN 2
port 12 t/m 16 - VLAN 3

[Verwijderd]

Ja hoor, maar hou er rekening mee dat iemand met een packet sniffer alle packages voorbij kan zien komen. Als het dus een publiek netwerk is dan wil je dat liever niet.

Hou er ook rekening mee dat broadcast packages ook naar alle poorten gaan en dus op beide netwerken ontvangen worden. TCP/IP is vrij hoog op de stack, alles daaronder kan dus weer gedeeld zijn.

Als je een prive netwerk op een publiek netwerk wil maken dan is daar specifiek een oplossing voor: VPN.

[Urk]

TECHcrime schreef op maandag 08 november 2010 @ 00:27:
Als je een managed switch hebt (een switch met web interface of iets dergelijks) en deze heeft de functie om een VLAN te gebruiken dan kan dat.
bv:
port 1 t/m 8 - VLAN 1
port 9 t/m 12 - VLAN 2
port 12 t/m 16 - VLAN 3

Oh wat cool! Ja, m'n NetGear GS716T is managed en beschikt over VLAN mogelijkheid volgens mij. Had eerder al kort iets over VLAN gelezen maar te kort om er goed iets van te begrijpen.

[TECHcrime]

Ik heb me ook een tijdje bezig gehouden van VLAN's.. wat TRRoads zei weet ik niet of het klopt omdat ik niet zo diep in ben gegaan, maar het zou goed kunnen.

Maar VLAN is niet zo heel moeilijk.
Let wel op! als je gebruikt maakt van een webinterface, zorg dan dat er altijd 1 port in de VLAN staat (Als je switch VLAN aankan staan alle poorten standaard op VLAN1)
Als je alle poorten eruit zou gooien zou je niet meer via een UTP port kunnen inloggen op de webinterface.
(Ik kan het weten.. zelf ook de fout gemaakt )

[Urk]

TECHcrime schreef op maandag 08 november 2010 @ 00:41:
Ik heb me ook een tijdje bezig gehouden van VLAN's.. wat TRRoads zei weet ik niet of het klopt omdat ik niet zo diep in ben gegaan, maar het zou goed kunnen.

Maar VLAN is niet zo heel moeilijk.
Let wel op! als je gebruikt maakt van een webinterface, zorg dan dat er altijd 1 port in de VLAN staat (Als je switch VLAN aankan staan alle poorten standaard op VLAN1)
Als je alle poorten eruit zou gooien zou je niet meer via een UTP port kunnen inloggen op de webinterface.
(Ik kan het weten.. zelf ook de fout gemaakt )

OK, tnx! Ja, zit nu in de VLAN config van m'n switch en zie inderdaad dat alle 16 poorten nu behoren tot VLAN1. Ik kan makkelijk een nieuwe VLAN aanmaken, maar het enige wat ik daarbij op moet geven is de naam van de VLAN en de poorten die erbij horen. Simpel lijkt me. Dus stel dat ik poort 9 t/m 16 als VLAN2 instel dan kan ik m'n interne netwerk over die poorten laten lopen? Wow dat zou echt super zijn.

In de NetGear handleiding staat een redelijk duidelijke eerste uitleg:

Adding Virtual LAN (VLAN) support to a Layer 2 switch offers some of the benefits of both bridging and routing. Like a bridge, a VLAN switch forwards traffic based on the Layer 2 header, which is fast, and like a router, it partitions the network into logical segments, which provides better administration, security and management of multicast traffic.
A VLAN is a set of end stations and the switch ports that connect them. You may have many reasons for the logical division, such as department or project membership. The only physical requirement is that the end station and the port to which it is connected both belong to the same VLAN.
Each VLAN in a network has an associated VLAN ID, which appears in the IEEE 802.1Q tag in the Layer 2 header of packets transmitted on a VLAN. An end station may omit the tag, or the VLAN portion of the tag, in which case the first switch port to receive the packet may either reject it or insert a tag using its default VLAN ID. A given port may handle traffic for more than one VLAN, but it can only support one default VLAN ID.

[Urk]

Verwijderd schreef op maandag 08 november 2010 @ 00:33:
Ja hoor, maar hou er rekening mee dat iemand met een packet sniffer alle packages voorbij kan zien komen. Als het dus een publiek netwerk is dan wil je dat liever niet.

Hou er ook rekening mee dat broadcast packages ook naar alle poorten gaan en dus op beide netwerken ontvangen worden. TCP/IP is vrij hoog op de stack, alles daaronder kan dus weer gedeeld zijn.

Als je een prive netwerk op een publiek netwerk wil maken dan is daar specifiek een oplossing voor: VPN.

Ik denk dat ik je begrijp, maar de switch moet in geval van VLAN twee netwerken aansturen, mijn publieke netwerk waar enkele servers aan hangen (eigenlijk had ik dit mijn interne netwerk moeten noemen met publieke IP's, sorry!) en mijn interne netwerk (met een 192.168.x subnet). Op beide netwerken kunnen niet zomaar clients worden ingeprikt tenzij ik daar bij ben en dus vanaf weet.
Het is dus niet bijv. zoals bij een school waar iemand een packet sniffer kan laten draaien op een client die aangesloten zit op die betreffende switch. Dat is wat je bedoeld toch?

Je 2e opmerkinge begrijp ik ook denk ik. Maare is het niet zo dat de VLAN ook een soort afscheiding maakt waardoor de broadcast packets niet op het andere netwerk aankomen?

[BHQ]

Urk schreef op maandag 08 november 2010 @ 01:18:
[...]
Je 2e opmerkinge begrijp ik ook denk ik. Maare is het niet zo dat de VLAN ook een soort afscheiding maakt waardoor de broadcast packets niet op het andere netwerk aankomen?

Jawel. Als er niet tussen de VLANs gerouteerd wordt kan er geen communicatie tussen plaatsvinden. Het is alsof je 2 fysieke switches hebt.

[Verwijderd]

Een VLAN kun je zien als een switch in een switch. Een switch met 2 VLAN's kun je zien als 2 switches naast elkaar.

Afhankelijk van de functionaliteit van je switch kun je zelf bepalen wat er wel en wat er niet gedeeld wordt tussen de VLAN's. En bijvoorbeeld op welke VLAN of zelfs welke poort je de interface van de switch kan benaderen.

Standaard zullen de meeste switches de VLAN's beschouwen als 2 volledig gescheiden switches, er is dan geen verkeer mogelijk tussen de 2 VLAN's.

[Urk]

@Jarpse en TRRoads: Bedankt voor de heldere uitleg! Het werkt als een trein!
Ik heb een port-based VLAN ingesteld, VLAN1 poort 1 t/m 8 en VLAN2 (intern netwerk) poort 9 t/m 16!

Weer wat geleerd vandaag!

Koppeling van het externe en intern netwerk gaat via een Draytek 2950 router.
Die is via de WAN poort aangesloten op mijn publieke IP netwerk. Vervolgens gaat er 1 LAN poort op de Draytek naar poort 9 op de NetGear switch in VLAN2 dus, op de overige LAN poorten van de Draytek en poorten 10 t/m 12 van de NetGear switch zitten interne netwerk apparaten aangesloten.
Dat is toch prima? Zo is het interne netwerk ook aangesloten op het publieke IP netwerk.

[ Voor 50% gewijzigd door Urk op 08-11-2010 02:08 ]

[TECHcrime]

Uhm. volgens mij, zoals je hem nu hebt, kan het publieke netwerk nog steeds verbinding maken met het interne netwerk, puur omdat ze dan via de router gaan (Ik weet niet zeker.. just spilling my mind)
Ik heb thuis ook een Draytek router en deze heeft ook een VLAN functionaliteit. Alleen anders uitgevoerd.
Als je in de router ook nog de 2 netwerken verdeeld, dan ben je helemaal veilig

Zie: http://www.silverview.nl/...netwerk/vigorbandwith.jpg

Hierbij vink je aan welke poorten er in welke VLAN moeten (Oftewel, per VLAN vink je degene aan die verbinding met elkaar mogen maken)

Mocht je nog vragen hebben hoor ik ze graag

p.s. Ik heb een Draytek Vigor 2910G

[TrailBlazer]

Wat nog een leuke feature is is dat je op een poort meerdere vlans toekan laten. Je maakt dan een zogenaamde trunk. Op een fysieke nic op je server/router kan je dan veschillende subinterfaces aanmaken. Mijn linux firewall. routeert op deze manier een stuk of 5 netwerken over een interface.

[Bloodshot]

Verwijderd schreef op maandag 08 november 2010 @ 00:33:
Ja hoor, maar hou er rekening mee dat iemand met een packet sniffer alle packages voorbij kan zien komen. Als het dus een publiek netwerk is dan wil je dat liever niet.

Hou er ook rekening mee dat broadcast packages ook naar alle poorten gaan en dus op beide netwerken ontvangen worden. TCP/IP is vrij hoog op de stack, alles daaronder kan dus weer gedeeld zijn.

Als je een prive netwerk op een publiek netwerk wil maken dan is daar specifiek een oplossing voor: VPN.

Onzin. Je kunt met een sniffer slechts alle packets van 1 VLAN voorbij zien komen als de switch aan het flooden gaat. Normaliter zie je nagenoeg niets (behalve broadcasts in het betreffende VLAN).

En broadcasts blijven binnen 1 VLAN.

Tot slot: TS vraagt om 2 netwerken te SWITCHEN. VPN is dan niet de oplossing, VLAN's wel.

[Verwijderd]

Bloodshot schreef op maandag 08 november 2010 @ 10:12:
[...]

Onzin. Je kunt met een sniffer slechts alle packets van 1 VLAN voorbij zien komen als de switch aan het flooden gaat. Normaliter zie je nagenoeg niets (behalve broadcasts in het betreffende VLAN).

En broadcasts blijven binnen 1 VLAN.

Tot slot: TS vraagt om 2 netwerken te SWITCHEN. VPN is dan niet de oplossing, VLAN's wel.

Le-zen. De TS vroeg over 2 netwerken op 1 switch. Dus niet op losse VLAN's, maar gewoon op 1 switch. Dit is prima mogelijk, maar dan wel met de beperkingen zoals ik ze geschetst heb.

Daarnaast gaf ik aan dat als hij een prive netwerk op een publiek netwerk wil hebben dat VPN daarvoor ontworpen is. Het is dus niet een antwoord op de vraag die de TS stelde, maar mogelijk wel op het probleem waarmee de TS zat.

[Bloodshot]

Verwijderd schreef op maandag 08 november 2010 @ 12:11:
[...]

Le-zen.

Le-ren van je fouten. Als je geen onzin uit zou kramen, zou ik je niet hoeven verbeteren.
Je kunt prima meerdere VLAN's op 1 switch hebben. 1 subnet per VLAN en dan heb je meerdere netwerken op 1 switch.

[ Voor 20% gewijzigd door Bloodshot op 08-11-2010 12:23 ]