Client en mutliple Vlans, hoe tagging ?

[Anoniem: 149075]

Ik ben bezig met een complexe test setup en heb er al een (tweetal) topic(s) over aangemaakt.

Iets waar ik mezelf, ook na, het lezen van veel voorbeelden en tuts en documentatie over Vlans, tagging en switch documentatie, geen antwoord op kan geven is hoe om te gaan met een switch waar alleen de clients aan hangen.

Stel ik heb een switch waar Vlan 3,4,5,6 op aanwezig zijn. Deze Vlans zijn op verschillende poorten getagged en geuntagged, afhankelijk van hoe het apparaat daarachter is ingericht of wat het is. Een poort waar VM hosts op staan zou dus een Trunk zijn bijvoorbeeld omdat niet iedere server in iedere Vlan mag en je de Nics Tagged.

Ook Vlans tussen switches worden mogelijk gemaakt door de switches via Trunk poorten te connecteren en de Trunkpoorten te Taggen in iedere Vlan die je over de switches wil sharen.

Nu is de vraag alleen, hoe ga je het beste om met een client op een switch welke via een trunk op je "coreswitch" hangt bijvoorbeeld. Je zou een client kunne hebben de bij Vlan 3,4,5 mag waar iedere Vlan zijn eigen subnet heeft.

Als je een client op een bepaalde Vlan toe wil laten zal je de tag mee moeten sturen van de desbetreffende Vlan, je poort zal een trunk moeten zijn in dat geval wil je meerdere Tags mee kunnen geven. Het probleem is dat je client waarschijnlijk maar 1 IP heeft en het dus lastig maakt om op de andere subnets te komen zonder een router die complex zaken vanaf de switch terug moet routeren de switch op om in het juiste subnet te komen en dus de juiste Vlan.

Is de laaste alinea niet wat te complex in een dergelijk geval ?

[DiedX]

Sowieso is je hele tekst een complex geval

Volgens mij is het antwoord op je vraag: JA, je zal moeten routeren. Maar ik heb wel het idee dat je

A ) Het nodeloos complex maakt
B ) Je de security volledig om zeep geholpen hebt.

Wellicht is een iets hoger niveau wenselijk: welk probleem probeer je nu exact op te lossen? Is het niet handiger om VHosts (of: hostmachines) evenveel fysieke netwerkpoorten te geven als dat er VLAN's op komen?

[ Voor 0% gewijzigd door DiedX op 26-04-2013 20:50 . Reden: grrrr B) ]

[spone]

Even uitgaande van een Windows machine met Intel NICs: in drivers zit functionaliteit om meerdere virtuele NICs te maken die dan aan een VLAN gekoppeld zitten. Dus voor ieder VLAN dat je aanmaakt/gebruikt op je client heb je dan een aparte virtuele NIC. Met een eigen IP-configuratie.

Maar eigenlijk moet je dit niet willen en door middel van access ports je client toegang geven tot een VLAN, en je client niet met dit soort dingen bezig laten zijn.

[ Voor 29% gewijzigd door spone op 26-04-2013 20:58 ]

[DiedX]

Voor de duidelijkheid spone: je doelt erop dat de virtuele machines de mogelijkheid hebben om een vlan-tag op te geven? Want dan liggen we 200% op 1 lijn.

[Anoniem: 149075]

DiedX schreef op vrijdag 26 april 2013 @ 20:49:
Sowieso is je hele tekst een complex geval

Volgens mij is het antwoord op je vraag: JA, je zal moeten routeren. Maar ik heb wel het idee dat je

A ) Het nodeloos complex maakt

Hier lijkt het wel op maar een heel plat netwerk lijkt soms niet mogelijk als je echt zaken goed wil afschermen.

B ) Je de security volledig om zeep geholpen hebt.

Nog niet, dit test is momenteel Maar ik sta op het kantelpunt om het in de test om zeep te helpen en dan schiet je je doel zeker voorbij en is niet de bedoeling.

Wellicht is een iets hoger niveau wenselijk: welk probleem probeer je nu exact op te lossen? Is het niet handiger om VHosts (of: hostmachines) evenveel fysieke netwerkpoorten te geven als dat er VLAN's op komen?

Zoals je stelt, ik heb VM's met eigen netwerkkaarten die taggen. Dit zijn VM's die hun gebrigde nic getagd hebben om precies te zijn. Deze VM's zitten uiteraard op een enkele poort op de switch waar die poort dus meerdere vlans getagd heeft om de desbetreffende VM's het netwerk op te krijgen. Dit werkt prima overigens. (ook via LAGGS bijvoorveeld of trunks via de switches onderling).

Nu heb ik bijvoorbeeld een Office- en een Development Vlan waar een aangesloten client bij machines moet kunnen. Iedere Vlan heeft zijn eigen subnet en is aangesloten op een Virtuele Pfsense box welke voor iedere vlan een (virtuele) netwerkkaart heeft en direct de GW is voor dit subnet. Dit werkt echt goed en ik kan vanaf de Vm's naar buiten over de juiste GW en ook deze nics zijn getagd.

De vraag is nu hoe ik een client op beide subnets krijg gezien ik met tagged Vlans zit. Ik moet een client zijn pakketjes van de juiste tag voorzien in het juiste subnet, routing is overiges mogelijk natuurlijk.

Voor de client heb ik tevens een eigen Vlan met een eigen subnet waar ook deze PFsense box de GW is.

De reden waarom ik dat op deze manier moet doen met de Pfsense box als GW voor verschillende subnets is omdat ik op de switch ook IP's heb al GW voor bijvoorbeeld VM-storage dat de switch niet af gaat en dus als Core voor dat stuk dient. Zou de switch plat gaan dan heb je toch niets meer en ik kan zonder problemen de Pfsense box rebooten of iets applyen zonder dat de GW voor storage ineens niet beschikbaar is. Ik kan dus geen 0.0.0.0 /0 xxx.xxx.xxx.xxx op de switch toepassen voor het verkeer naar buiten.

De vraag is dus hoe gaat ik Tag 100 bij Tag 10 en 20 krijgen met 3 verschillende subnets.