Newsgroup: it.comp.reti.locali
Titolo: suddividere rete o cosa? come?

ho un quesito per voi
 
al momento ho una rete del tipo 192.168.0.*
netmask 255.255.255.0
 
ho pero' un problema
tutti vedono tutti
tutti i pc della rete si vedono tra loro e tutti possono comunicare con 
tutti
 
invece quello che vorrei fare e' che ogni pc della rete puo' vedere solo 
uno dei router (per uscire su internet) e una delle stampanti (per stampare)
 
i pc non devono vedersi tra loro
 
al momento la rete e' fatta cosi:
ci sono 2 switch a 24 porte, 6 router, e 4 stampanti di rete

 ci sono 2 switch a 24 porte, 6 router, e 4 stampanti di rete
 
Il candidato unisca i puntini dall'uno al cinquantatré e commenti 
brevemente la figura che appare.
 
-- 
Andrea
 

 tutti
 
Con switch in grado di supportare tale funzionalità, in ambito 
alberghiero di usano le Private VLAN, ovvero l'isolation tra le porte.
 
Vanno definiti però molto attentamente gli scenari, rischi di creare 
problemi su servizi invece indispensabili.
 
Un'altra strada è concentrarsi sugli host con sistemi di 
endpoint/personal firewalling distribuito e così via.
 

 rischi di creare problemi su servizi invece indispensabili.
 
Per curiosità, quali?
A parte il fatto di voler accedere alle 4 stampanti da tutte le 
postazioni mi sembra che l'OP voglia proprio isolare tutti gli host, 
quindi non ci sono servizi locali da usare.
 
 
-- 
Andrea
 

 quindi non ci sono servizi locali da usare.
 
 
Tanto per iniziare le private vlan isolano tutto il traffico, anche 
quello broadcast, sia a livello 2 sia a livello 3 (è come se fosse una 
vlan per porta). Da qui è facile intuire che, tanto per citarne una, i 
Gratuitous ARP non avranno quasi alcun effetto (inteso come traffico ARP 
"in genere"), il traffico multicast (mi viene in mente parte dei servizi 
in VOIP) sarà difficoltoso e se non opportunamente configurato, il DHCP 
discovery e release potrebbe esserne inficiato.
 
Ovviamente, quindi, non basta solo isolare, ma va anche compreso cosa si 
vuol far funzionare e preservare. La rete è in dominio? Kerberos deve 
autenticarsi? I DNS dove risiedono? Una volta mappato tutto allora si 
possono usare le private vlan.
 
Personalmente le consiglierei solo in ambito alberghiero e campus. Per 
il resto gli endpoint ed i firewall distribuiti riescono ad evitare la 
promisquità.

kane ha pensato forte :

E che ci fate con 6 router?

> E che ci fate con 6 router?
 
6 abbonamenti a internet diversi

 Una volta mappato tutto allora si  possono usare le private vlan.
 
i due switch supportano le vlan
pero' non le ho mai usato perche' non mi e' chiara una cosa:
 
da quello che ho capito per ogni porta si puo' stabilire a quale vlan 
appartiene
 
ora se per esempio una stampante si imposta sulla vlan 3 per fare un 
esempio, verra' vista solamente dai pc che si trovano sulla stessa vlan, 
giusto?
 
e se volessi che le stampanti siano viste da tutti i pc??

 endpoint/personal firewalling distribuito e così via.
 
 
configurare i singoli pc con regole di firewall apposta per ogni pc e' 
un suicidio
ci sono troppi sistemi diversi
da xp a win7 a linux a freebsd  ecc ecc ecc
 
ci vuole qualche sistema indipendente dai vari sistemi operativi usati
 

 quindi non ci sono servizi locali da usare.
 
praticamente i pc normali devono solo poter stampare e collegarsi a internet
non devono vedere gli altri pc
 


Cosa intendi per "vedere"?
Non devono poter accedere alle risorse condivise?
Non devono poter determinare se un indirizzo IP è in uso?

 Non devono poter determinare se un indirizzo IP è in uso?
 
non devono proprio vederli..
cioe' ammesso che qualcuno faccia ping ip di un altro pc deve rispondere 
come se fosse irragiungibile
 
l'altro giorno e' successo un casino perche' qualcuno ha preso un virus 
e il virus e' passato tramite rete su altri pc
allora per evitare che possa succedere di nuovo voglio tenere separati i 
computer
 
quello che non capisco e' se e' possibile o no
 
 
cioe' se una stampante deve essere accessibile da piu' computer, cio' 
comporta necessariamente che anche i computer possano vedersi tra loro?

 e il virus e' passato tramite rete su altri pc
 
Cryptolocker?
 
 
-- 
Andrea
 


yes
 

 e se volessi che le stampanti siano viste da tutti i pc??
 
il supporto alle vlan non include il supporto alle private vlan. sono 
comunque due cose differenti pur basandosi sull'802.1q


io direi teslacrypt 3, visto che è passato dalle share di rete. però 
comunque direi che qui alla base c'è un problema di fondo... perchè le 
share erano pubbliche?

 6 abbonamenti a internet diversi
 
allora hai un punto di routing, tipo un firewall? in quel caso fai fare 
a lui le eccezioni alle vlan

 comunque due cose differenti pur basandosi sull'802.1q
 
sono due switch hp 1810g-24 j9450a
 

 share erano pubbliche?
 
in che senso pubbliche?
su un pc con windows c'era lanciato un server ftp per condividere una 
directory piena di documenti con cui si accede con nome utente e password
e tutti i file sono stati criptati

 a lui le eccezioni alle vlan
 
no non c'e' un firewall dove passa tutto il traffico
ogni pc ha impostato un router e esce su internet
non viene filtrato niente


Il problema è proprio questo: evidentemente ciascun utente aveva il 
diritto di scrivere su tutti i file. Cosa c'entra separare i singoli PC 
se poi tutti devono andare a leggere e scrivere in una share condivisa?
 
Alcune azioni utili a ridurre i danni potrebbero essere:
 
- una solida politica di backup;
- formazione degli utenti (vabbé);
- separare se possibile i file di ciascun utente dagli altri.

 se poi tutti devono andare a leggere e scrivere in una share condivisa?
 
 
nooo
ognuno salva i propri documenti sul proprio computer
solo che uno aveva condiviso una directory per fatti suoi per poter 
accedere da un altro pc...
cmq se i pc sono separati si vive meglio..
 
come si puo' fare?
 


 
Prima di andare sulle private vlan, io inizierei da un dominio AD e 
dall'abbassamento delle autorizzazioni da admin a user per gli utenti.
 
Se "ognuno salva su di se", il karma informatico è bene che ti abbia 
colpito con teslacrypt. Scherzi a parte, salvare su di un server comune 
di migliora di molto:
- l'affidabilità hardware
- le politiche di backup
- il ripristino temporale dei file (sante shadow copy, a patto di 
gestire correttamente il server)
 
 
Su un'auto non puoi pensare a mettere il filtro dell'aria sportivo se 
sotto hai il telaio con la ruggine.

 e se volessi che le stampanti siano viste da tutti i pc??
includi in ogni Vlan le porte dello switch a cui ono collegate le 
stampanti....

 come si puo' fare?
 
se non puoi usare le pvlan come ti è già stato suggerito, io penserei
di fare n vlan e gestirei la comunicazione (o la non comunicazione)
tra loro tramite un router/firewall.
 
 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente


e secondo te
1) le stampanti leggono i tag vlan?
2) le stampanti consentono l'attribuizione di 40 ip diversi?
 
maddai... forse quelle del cern.

 reservation,
 
se l'utente ha permessi di amministrazione, la dhcp reservation serve a 
ben poco. e comunque non risolve il problema.
 


Come ti hanno detto creare un dominio e gestire più strettamente quello 
che ciascuno può fare.
Secondo me risolvere con le vlan potrebbe anche essere possibile ma è 
piuttosto complicato.

 che ciascuno può fare.
 
con la varietà di OSs che ha descritto?? 
e poi siamo sicuri che possa mettere mano a tutti i pc? 


 come si puo' fare?
 
Scusate se dico la mia a 3d già iniziato ma... qualsiasi forma di 
separazione della rete non ti salverà MAI dall'utente (skilled) che 
mette in condivisione via FTP una sua cartella.
Tutti i cryptolocker agiscono sulle cartelle su cui si ha permesso di 
scrittura, e in tal caso, anche se isoli i pc tra loro, se quella 
cartella è stata mappata su un pc che si becca l'infezione, sarà 
comunque raggiungibile (facendo il giro lungo, via internet).
Mi spiego meglio: se io in ufficio metto in condivisione via FTP una 
cartella, e su un altro pc in ufficio faccio in modo che quella 
cartella venga vista come un normale disco di rete (collegandomi via 
FTP e mappandola su una lettera), se sul PC2 mi becco un crypto, mi 
fumo anche i dati del PC1 (naturalmente solo della cartella 
incriminata). Questo avviene anche se i due pc sono isolati tra loro a 
livello LAN, ma hanno accesso ad internet (come vuoi fare tu, da quanto 
ho capito)

 ma hanno accesso ad internet (come vuoi fare tu, da quanto ho capito)
 
Se i due host sono isolati, e non si vedono proprio a livello IP, come 
fai a montare questo disco di rete?
 
Io ho capito che l'OP vuole impedire qualsiasi forma di interazione di 
rete tra gli host utenti isolandoli.
In questo panorama non c'è modo per le postazioni di interagire quindi 
niente dischi di rete condivisi, indipendentemente dal protocollo che 
scegli.
 
 
-- 
Andrea
 

Andrea D'Amore ha spiegato il 09/02/2016 :

Ha specificato che l'utente "colpevole" aveva montato un server FTP. 
Teoricamente da un altro pc si può collegare la cartella condivisa via 
FTP e mapparla su una lettera. In questo modo tale cartella è 
aggredibile da un eventuale crypto... con buona pace dell'isolamento

 ho capito)
 
si, ma se io per qualsiasi ragione ho una share con accesso in
scrittura a tutti, mi trovo in albergo, un altro cliente dell'albergo
fa partire il crypto, se i pc non sono isolati c'è la possibilità che
venga criptata anche la mia share. Se invece sono isolati questo non
può avvenire. 


 aggredibile da un eventuale crypto... con buona pace dell'isolamento
 
 
aspetta un attimo, se i client sono isolati come fa il crypto a
criptare i dati su un altro client?
il client dovrebbe essere in vpn con l'altro client... (perchč dubito
che l'OP stia pubblicando l'ip del client con l'ftp attivo).
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,



 
No, non siamo sicuri. E' una ipotesi poiché mi era sembrato che fosse un 
ambiente Windows.
Comunque volendo affidarsi alle vpn dovrebbe crearne per ogni pc e poi 
collegare alle porte in trunk uno o più router appositamente configurati 
per condividere i collegamenti Internet e le stampanti. Insomma una 
configurazione non proprio banale...

 che l'OP stia pubblicando l'ip del client con l'ftp attivo).
 
Ci sono molti modi per pubblicare una propria cartella sul web senza 
che un amministratore di rete (che non abbia applicato regole più 
stringenti) lo sappia. Applicativi come Dropbox e simili ormai sono 
all'ordine del giorno.
 
Nel caso specifico i pc in LAN erano ancora visibili tra loro, quindi 
la condivisione poteva anche essere "semplice" SMB, ma lui ha 
specificato che l'utente aveva installato un server FTP.
Io ho solo fatto notare che, anche isolando i PC tra loro in LAN, un 
utente avrebbe comunque potuto condividere (via FTP o con altri 
servizi) una propria cartella via web, e questa sarebbe stata 
vulnerabile.

 può avvenire. 
 
Si, questo si... diciamo che l'utente "skilled" che se la va a 
cercare... si merita anche la criptazione dei dati (evidentemente non 
era poi così skilled)...

 ambiente Windows.
 
ci sono pc con windows (la maggior parte), poi quelli con linux 
principalmente debian e centos
poi c'e' qualche freebsd e forse qualche mac se non li hanno sostituiti gia'
 
 


cioe' i pc devono essere collegati a internet per navigare, ma non e' 
che devono connettere un'unita' tipo z: alla cartella condivisa di un 
altro pc via internet..
 
 
p.s.: quando e' stato preso il virus in questione, la cartella ftp non 
era montata come drive, anzi non e' mai stata montata come drive
qualche volta ci si era acceduti direttamente da internet explorer 
digitando ftp://.....
 
 
 
 


NON CI DEVONO ESSERE DISCHI CONDIVISI!!!!
ognuno deve poter fare quello che gli pare ma solo in locale
 
 
 

 ftp://.....
 
Sicuro che la cartella FTP fosse stata aperta solo nel browser e non, 
per esempio, tramite una finestra di Explorer (non Internet Explorer)?

 per esempio, tramite una finestra di Explorer (non Internet Explorer)?
 
si forse era explorer, cioe' dalla barra di risorse del computer
credo non sia stata messa la spunta neanche su salva password
 
la cosa strana e' che ha colpito solo un server ftp su windows (cui si 
accedeva con nome utente e password) e non ha colpito un server ftp su 
linux con accesso anonimo sia in lettura che in scrittura
mah

 2) le stampanti consentono l'attribuizione di 40 ip diversi?
e che c'entra????, hai 40 diverse subnet in giro? allora sei il CERN, 
potevi dirlo prima....
 

 configurazione non proprio banale...
 
la configurazione in se è banale, piuttosto diciamo che è laboriosa da
mettere in piedi.


 
"kane" <ka...@kane.kane> ha scritto nel messaggio 
news:n9dbu5$nl2$1...@gioia.aioe.org...

Scusate il semi-OT...
Anch'io ho visto un paio di comportamento strani  di Cryptolocker e 
TeslaCrypt.
 
Il primo circa 6-7 mesi fa.
E' stato colpito un pc (secondo le modalità note di Cryptolocker: 
crittografati tutti i files di testo, .doc, .pdf , etc.)
E' stata colpita una share di rete (su cui l'utente aveva permesso di 
scrittura)
E' stato colpito un secondo pc...ma  (stranezza) solo parzialmente.
Alcuni files erano codificati, altri no...
eppure questa seconda macchina e' veloce quanto la prima, forse di piu'.
Come puo' esser stato interrotto il processo di codifica?
 
 
Il secondo comprortamento strano l'ho verificato l'ultima volta una 
settimana fa circa.
In una rete di pc windows  c'e' una cartella "cartina di tornasole" che ho 
lasciato appositamente
con permesso di scrittura libero a tutti. All'interno ho messo qualche .pdf 
senza importanza.
Periodicamente,diciamo una volta al mese , trovo i pdf crittografati.
Nella rete tutti i pc funzionano normalmente...nessun utente segnala 
problemi.
 
Possibile che il TeslaCript agisca solo sulle share accessibili e non possa 
far nulla
al pc dove viene eseguito? forse per l'opposizione di qualche antivirus?....
Oppure piu'  semplicemenete c'e' un utente che fa il furbo....
si becca il virus e senza dir nulla ricarica tutto da qualche  backup?
 
ciao
fm
 
 
 
 
 
--- news://
freenews.netfront.net/
 - complaints: 
ne...@netfront.net
 ---

 si becca il virus e senza dir nulla ricarica tutto da qualche  backup?
 
 
Scusate, io non entro nel dettaglio, ma amministrare una rete significa 
anche IMPORRE delle regole, che queste siano o meno spiacevoli agli 
utenti. E se la sicurezza di un'infrastruttura significa dare permessi 
limitati a chi ti paga lo stipendio, tu devi farlo comunque.
 
Sempre più spesso, e qui apriamo una parentesi, vedo EDP estremamente 
dotati tecnicamente ma terribilmente soggiogati dai loro utenti. Se 
firmi e ti assumi la responsabilità informatica dell'infrastruttura, si 
fa come dici tu. Punto.
 
Guardate che imporre delle regole "socialmente inaccettabili" spesso è 
più complesso di farlo tecnicamente, ma un EDP non può esimersi da 
questo passaggio.
 


Temo tu abbia qualche confusione, se su una singola porta devo vedere 
N+1 vlan, allora devo utilizzare i tag 802.1q e l'apparato deve avere 
una network su ogni vlan.
Salvo io non stia parlando di switch L2 e tu di switch L3. Allora 
semplicemente non ci siamo capiti perchè tu stai demandando il routing 
allo switch. Ma l'OP ha detto di avere i 1800 HP, che sono L2.
 
PS: 40 network si fanno in un attimo se hai banalmente un'azienda 
multisede o dei negozi in giro, non credere sia raro.
 
ciao,


 
Per semplificare metterei una macchina linux a gestire il tutto, come la 
vedi?

stavo pensando di fare cosi:
 
i pc limitati vengono impostati con ip del tipo 192.168.0.* e netmask 
255.255.255.255
 
i router e le stampanti con ip 192.168.0.* e netmask 255.255.255.0
 
e imposto le rotte statiche verso i router e le stampanti sui singoli pc
 


Non che ci voglia molto ad un utente con diritti amministrativi per fare 
quello che gli pare eh...


Io (penso) di aver sistemato le cose così ad un cliente:
server w2012 con 2 partizioni, una di uso (visibile agli utenti) ed una non 
condivisa.
Il server copia la partizione condivisa e i client su quella di backup (il 
tutto con cobian 11)
La partizione di backup viene poi salvata via ftp su un nas qnap visibile 
solo via ftp e (ovviamente) con user e pass residenti solo sul cobian
 
Dovrebbe essere abbastanza sicuro e comunque mantenere una ridondanza dei 
dati per poter ritornare se non al giorno prima ad avere comunque un sistema 
usabile
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 


Ti do perfettamente ragione su tutto.
 
Tuttavia ...
nel caso in oggetto (classica piccola azienda italiana)
 il problema non e' tanto il privilegiare
le richieste degli utenti rispetto alla sicurezza dell'azienda,
ma il fatto che  l'unico con  potere decisionale ha cultura informatica pari 
a zero.
 
Penso di aver sintetizzato  la situazione in poche parole.
 
Le problematiche di sicurezza sono solo una delle  conseguenze,
altre possono essere investimenti sbagliati, risultato di acquisti
di beni e servizi fatti piu' o meno a casaccio...


 usabile
 
sarebbe bastato abilitare le shadow copy per avere maggiore retention, 
maggiore granularità e minore occupazione di spazio. Ovviamente 
mantenendo il backup sul supporto separato.
 


si, è una idea abbastanza poco utile. a questo punto fai tutto da un 
endpoint, tipo sophos o karspersky. e pace.

 vedi?
 
cosa ci metti per fare il routing delle n vlan direi che non conta
molto. Se ti trovi bene con linux andrà bene una macchina linux, io ci
metterei un firewall in formato scatolotto, magari un bel utm così
gestiamo anche eventuali criptolocker che ci possano essere in giro.


 quello che gli pare eh...
 
gli utenti dei pc non sono smanettoni
in genere non ci capiscono molto

 usabile
 
Il problema è che dipende sempre da quando ti accorgi dell'infezione. 
Ho clienti che mi hanno chiamato CINQUE GIORNI DOPO, quando ormai anche 
un eventuale versioning sarebbe stato già sputtanato

kane ci ha detto :

Probabilmente perché mentre l'azione di criptaggio era in atto, la 
prima cartella FTP era aperta in Explorer (quindi disponibile come 
qualsiasi altra cartella locale), mentre l'altra no

kane ha spiegato il 10/02/2016 :

A parte quello che si è aperto un server FTP... :-P

 altra cartella locale), mentre l'altra no
 
 
assolutamente
dal pc pc infetto si era acceduti al server ftp (poi criptato) solo una 
volta, varie settimane prima dell'infezione

>

Delle due, l'una:
O siamo di fronte ad una variante di crypto che riesce a pescare 
credenziali e percorsi di rete dal pc che infetta e poi se ne va in 
giro per il web a scovare tali indirizzi, e quindi "si salvi chi può", 
perché non c'è backup online, offline, remoto o locale che si 
salverebbe...
Oppure ti ricordi male, o hai inavvertitamente salvato le credenziali e 
lasciato un collegamento aperto...
 
Il rasoio di Occam mi fa protendere per la seconda ipotesi (senza 
offesa... tutti possiamo confonderci)

 allo switch. Ma l'OP ha detto di avere i 1800 HP, che sono L2.
 
no sto proprio parlando di uno switch L2, in un procurve 1800 sto, 
mentre scrivo, creando una vlan e rendo memri della vlan solo le porte 
(dello switch) che mi interessano...
 
per cui basta fare n vlan per quanti pc vi sono e rendere membri della 
vlan solo quello che si deve vedere... normalmente il router su cui c'e' 
gateway e simili e la stampante oltre che il singolo pc nel caso di 
specie...
 
il tutto senza fare nessuna rete o sottorete ma lasciando 
nell'indirizzamento di un normalissimo /24 il tutto

 nell'indirizzamento di un normalissimo /24 il tutto
 
e secondo te il router si lascerebbe configurare con n interfacce
virtuali tutte con la stessa network??
 
qualcosa non mi torna...


 qualcosa non mi torna...
mi spieghi dove avrei scritto che il router deve avere n interfacce 
virtuali??
 
non ti perdere nei meandri del networking le vlan sono una 
configurazione dello switch L2 e lì termina il discorso, una sola subnet 
/24 ad esempio la classica 192.168.0.pippo e tanti bei cavi che vanno 
dai vari pc allo switch....

 dai vari pc allo switch....
 
potrei essere d'accordo con te se ogni porta appartenesse al massimo
ad una vlan, ma qui hai la porta della stampante e del router che
devono stare su un certo numero di vlan.
Se la stampante non č configurabile con le vlan, vuol dire che deve
stare su una porta untagged, come farebbe invece a riconoscere le vlan
tagged?
 
ho capito cosa vuoi dire, ma non capisco come lo attui (ammesso che si
possa). Che poi, per come lo faresti tu se una porta č condivisa tra
piů vlan (quella della stampante per es), e c'č comunque un'unica
subnet, chi impedirebbe alle due vlan di comunicare?
 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,


 lasciato un collegamento aperto...
 
il segno di spunta su salva password non e' stato messo
questo al 100%
 
per collegamento aperto cosa intendi di preciso?
la finestra di explorer per l'accesso all'ftp era stata chiusa giorni prima
la directory ftp non e' mai stata montata in locale come unita (tipo z:)
 
quindi direi nessun collegamento aperto
 
 
p.s: la directory ftp non era accessibile da internet solo dalla rete 
interna..
almeno quello..
non oso immaginare cosa puo' succedere quando tutti saranno collegati a 
internet in ipv6
ci sara' una strage di criptazione
hahahha
 

 devono stare su un certo numero di vlan.
 
mi accodo alla richiesta
non ho mai approfondito le vlan perche' non ho mai capito questo passo
come si fa a rendere la stampante visibile a tutti e non rendere 
visibili tra loro i pc
 

 subnet, chi impedirebbe alle due vlan di comunicare?
 
con il 1800 siamo a layer 2 quindi niente definizione di rete, ok?
 
si attua semplicemente configurando - SULLO SWITCH . una vlan xxx e per 
questa metti le spuntine alle porte che desideri facciano parte della 
vlan...
 
quindi ad esempio se il router è connesso alla porta 1 e la stampante 
alla 5 e vuoi che due pc (o uno solo) vedano il router per internet (o 
per altro) e la stampante spunti la 1 la 5 e anche le porte dei due pc e 
via cosi per altra vlan in cui continui a spuntare le porte stampante e 
router e le porte del relativo/i pc...

 router e le porte del relativo/i pc...
 
ma tu questa cosa l'hai provata?
 
e comunque se la porta 5 č condivisa da tutte le vlan (tutte le vlan
devono stampare) come fai a fare in modo che le vlan non si parlino?



come vuole fare meddix non l'ho ancora capito, io farei n vlan di cui
una per le stampanti, metterei un firewall attestato su tutte le vlan
per autorizzare/negare il routing tra le vlan (che devono avere subnet
diverse) e poi dietro il firewall metterei tutte le linee internet, in
modo da poter agire anche sul traffico internet se serve...
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,



 
Secondo me sulla porta untagged bisogna metterci un router che consenta 
l'accesso ai modem e alle stampanti. Come scritto altrove un box con 
linux/bsd sarebbe adatto allo scopo.


della serie cosa è il genio...
Il crypto l'han già preso con la vecchia rete e quindi sanno che se succede 
qualcosa devono chiamarmi subito e comunque spengere il nas di backup


 gestiamo anche eventuali criptolocker che ci possano essere in giro.
si si aspetta tu!

 ognuno deve poter fare quello che gli pare ma solo in locale
 
e allora non ti occorre nulla altro, se non vi sono condivisioni il 
crypto in transito non sembra in grado di esplorare la rete per conto 
suo..... sperém!

 si si aspetta tu!
 
si, sto aspettando che mi spieghi il discorso delle vlan, sono
curioso.
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,


 curioso.
fai prima a comprarti un 1800 e cliccare sulle caselline di spunta....


ma se poi non funziona come dice l'OP ti mando la fattura e lo paghi
tu...
 
comunque, il manuale parla di vlan come al solito: tagged e
untagged... quindi caselline o meno il concetto è sempre lo stesso
(una porta potrà avere massimo una vlan untagged e n vlan tagged).
Ora, o c'è qualche modalità che non conosco (non conosco gli switch HP
nel dettaglio, quindi può anche essere) ma se lavorano come descritto
sopra non riesco a capire come si possa far funzionare quello che hai
descritto tu.
 
Se tu non hai voglia di spiegarlo, a sto punto chiedo ad altri che
conoscono i 1800 di HP di spiegarmelo.
 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,


 vlan...
 
Ogni vlan deve essere un dominio di broadcast differente, ciò che vuoi 
fare tu è un'alterazione del concetto delle vlan quantomeno "estremo".
 
 
Le vlan sono di livello 2, ma la teoria vuole che vi siano a livello 3 
classi differenti, per poi consentire un naturale routing, è evidente.
 
 
Tipico esempio:
vlan 10: 
192.168.10.0/24
 
vlan 20: 
192.168.20.0/24
 
 
se ho dei punti di incontro, qualcuno in grado di leggere il tag 802.1q 
avrà un ip per interfaccia virtuale su vlan differente. Pace.
 
 
Nel tuo caso stai facendo confluire tutto su un apparato ignaro dello 
stato della rete.
 
 
Ad ogni modo mi accodo alla domanda del buon mirko, l'hai mai provato? 
Ti rispondo io: no. Perchè se l'avessi fatto avresti visto che non puoi 
"untaggare" una porta su più vlan. Quindi il router risponderebbe 
comunque sempre e solo ad una vlan, e non a tutte quelle dove gli metti 
la spunticina. E se tagghi più vlan sulla stessa porta, il router DEVE 
avere un'interfaccia (virtuale, eth0:10, eth0:20, ad esempio) per vlan.
 
Se ho capito cosa hai in mente di fare.

 conoscono i 1800 di HP di spiegarmelo.
 
guarda, ho risposto sopra. è una configurazione impossibile in quanto, 
OVVIAMENTE, il numero di vlan untagged applicabili ad una singola porta 
è UNA. Quindi non è perseguibile una convergenza senza che il router non 
si sia creato delle interfacce virtuali per vlan.
 
spuntine o freccette a parte, la teoria bisogna conoscerla.
 
 

 spuntine o freccette a parte, la teoria bisogna conoscerla.
 
ho letto la risposta, ed č esattamente quello che mi aspettavo...
Grazie.
Se perň meddix vuole spiegarci meglio il suo concetto, lo leggo molto
volentieri.
 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,


FTP
 
No, se i PC sono isolati non ci si collega.
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 No, se i PC sono isolati non ci si collega.
 
Ho dimenticato di specificare "via internet", ma mi sembrava ormai 
chiaro che mi riferissi a quella via

 chiaro che mi riferissi a quella via
 
ma serve quel minimo di configurazione sul router/firewall per
pubblicare su internet un server ftp...
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,


pubblicare su internet un server ftp...
 
Alla fine mi viene il dubbio che lui intenda un servizio su internet,
uno spazio ftp a cui accedono entrambi gli utenti.
Ma saremmo molto lontano dal concetto di "accedere da un PC a un
altro".
