Ports Isolation vraagstuk

[Anoniem: 155683]

Hoi,

Ik heb deze switch en gebruik deze om mijn glasvezelsignaal te onderscheiden (KPN) van VLAN 4 voor TV en VLAN 6 voor internet.

Nu heb ik dus op fysieke poort 2 de trunk gemaakt (tagged, VLAN 4 en 6)
Op poort 4 heb ik VLAN 4 untagged naar mijn digitale tv ontvanger
Op poort 6 heb ik VLAN 6 untagged naar mijn router

Nu wilde ik poorten 1, 3, 5, 7, 8, en de SFP (poort 9) isoleren met een "Port Isolate Group"
Dit wil ik omdat ik deze poorten dan kan gebruiken voor VLAN1. (default) en daar mogelijk mijn thuisnetwerk op kan zetten en extra kabels hier in kan klikken omdat mijn router maar 4 LAN poorten heeft en ik 7 aansluitpunten in huis heb/gebruik.

Nu staat er dit over in de manual:

"Usually, Layer 2 traffic cannot be forwarded between ports from different VLANs. However, Layer 2 data transmission between ports within and outside the isolation group is supported"

zie: https://www.manualslib.co...1910.html?page=415#manual

Ik kan me niet aan de indruk onttrekken dat mijn data feitelijk dan zichtbaar is voor mijn ISP ?
Of heb ik het mis?

Een andere manual van de HP 1920 verwoordt het net iets anders:

"Within the same VLAN, ports in an isolation group can communicate with those outside the isolation
group at Layer 2"

https://www.manualslib.co...itch-Series.html?page=453

VRAAG:

Is deze poort isolate group wel zo veilig?
Ik wil absoluut geen verkeer van de poorten 1, 3, 5, 7, 8, 9 naar de fysieke poorten 2, 4, 6 hebben.
Mijn prive -en zakelijke data zijn mij heilig.

Alvast dank voor het lezen van deze vraag en uw genomen moeite op voorhand.

vr.gr. Jan

[CyBeR]

Isolation groups mag je negeren. Niet configureren. Als je VLAN1 instelt zoals je beschrijft (dus niet op poorten 2, 4 en 6 zetten) gaat 't goed.

[Anoniem: 155683]

Hoi CyBeR,

Dank voor je snelle reactie.

Is het veilig genoeg om die poorten alleen op VLAN1 te laten staan / in te stellen en dus de poorten 2, 4, 6 gewoon tagged alleen te laten staan op hun vlans ?

Uiteraard maak ik van vlan poorten 2, 4 en 6 geen hybride poorten met een (un)tag naar VLAN 1.

Mijn theoretisch denkvermogen zegt dat het OK is, maar ben gewoon beetje panisch met privedata en veiligheid.

[CyBeR]

Ja.

[Wim-Bart]

Poort isolatie is heel save. Ik zou me er maar geen zorgen over maken. Wat je wel moet doen is:

• VLAN 1 niet naar de WAN poort van je router en niet naar de KPN verbinding toe. VLAN 1 = Management VLAN, je kan VLAN 1 veilig doorzetten over de trunk
• Configureer poort 4 en 6 als "access poort"
• Zorg ervoor dat je alle andere VLAN's geen IP adressen geeft.
• Maak voor ieder doel een separaat vlan aan.

[Anoniem: 155683]

Wim-Bart, ik heb dat al idd zo ingesteld. (untagged is per definitie een access poort als je het niet als hybride instelt toch?

Alleen VLAN1 heeft een IP anders kan ik de switch niet beheren

Dank voor je comment, alleen... ben je nou voor Port isolation of neutraal?
CyBeR is er niet perse voor, die vertrouwt VLAN's op zichzelf.

Tot slot, ik heb nog steeds geen antwoord of mijn data nu echt veilig is.
Mag ik veronderstellen dat de data alleen overdraagbaar is tussen fysieke poorten als ze bij eenzelfde VLAN zijn gekoppeld?

"Layer 2 traffic cannot be forwarded between ports from different VLANs. However, Layer 2 data transmission between ports within and outside the isolation group is supported"

[CyBeR]

Port isolation is bedoeld om poorten in hetzelfde VLAN te zetten maar ze toch niet met elkaar te kunnen laten praten. Dat is niet wat jij wilt.

VLANs alleen zijn voldoende hiervoor.

Tot slot, ik heb nog steeds geen antwoord of mijn data nu echt veilig is.

Dat heb je wel.

"Layer 2 traffic cannot be forwarded between ports from different VLANs. However, Layer 2 data transmission between ports within and outside the isolation group is supported"

Dit betekent dat poorten in verschillende VLANs niet met elkaar kunnen praten, en poorten in hetzelfde VLAN maar binnen én buiten (dus de een wel en de ander niet) in een isolation group wel. Dat is een beetje raar opgeschreven aangezien dat feitelijk weinig met elkaar te maken heeft. (Twee poorten die beide in een isolation group zitten kunnen niet met elkaar praten.)

[ Voor 77% gewijzigd door CyBeR op 28-05-2017 14:10 ]

[Equator]

Move naar Netwerken