Newsgroup: it.comp.reti.locali
Titolo: VLAN

Salve a tutti
 
Sono alle prese per la prima volta con la gestione di VLAN, in 
particolare sullo switch Netgear gs724t-v4.
Il manuale "ufficiale" è piuttosto carente e, per certe cose, rimanda a 
pagine web che si riferiscono ad altri modelli, quindi non mi ritrovo.
 
Qualcuno conosce una guida il più possibile "passo-passo" almeno per la 
prima infarintura?
In particolare serve: la separazione delle varie VLAN (e fin qui, ci 
ero arrivato), l'utilizzo di risorse comuni (stampanti, router) ed in 
generale la gestione del routing tra VLAN in modo da diminuire il più 
possibile la superficie d'attacco
 
Grazie

 possibile la superficie d'attacco
 
in linea di massima: dividi in vlan quello che vuoi dividere (es.
stampanti su una vlan, server su un'altra e pc su un'altra ancora.
Wifi lan su una vlan e wifi guest su un'altra vlan...)
assegni ad ogni vlan una subnet e abiliti il routing (sullo switch se
lo supporta o sul tuo router) tra le subnet che si devono parlare.
Se il routing lo fa lo switch avrai poi una vlan dedicata al firewall
che fa uscire tutto il traffico non locale verso il firewall. In
questo modo puoi usare tutte le porte in untagged.
Se il routing invece lo fa il firewall o il router esterno, puoi
uscire con un cavo per ogni vlan e andare sulle interfacce fisiche del
fw/router oppure dovrai fare in modo che tutte le vlan abbiano una
porta in comune con tutte le vlan impostate come tagged... da qui esci
con un singolo cavo verso il fw/router. Sul fw/router dovrai
configurare le interfacce relative...
il tutto a grandi linee...
 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente

 Wifi lan su una vlan e wifi guest su un'altra vlan...)
 
[CUT]
 
Problema n.1
Ho creato le VLAN, ma quale gateway devo impostare sui client?
Ho provato mettendo l'IP dell'intefaccia della VLAN, ma anche creando 
una regola di routing che permetta traffico tra quella VLAN e un'altra, 
le due reti non si vedono

 le due reti non si vedono
 
bhe qui entriamo nel discorso configurazione, e non conoscendo il
prodotto non ti so aiutare granchč.
In linea di massima se il tuo switch fa da router allora č corretto
impostare lui come gateway, ma... entrambe le reti hanno lo switch
come gateway?
per provare se il routing gira puoi provare con un ping lanciato dalla
console dello switch... un ping che parta dall'interfaccia di una vlan
verso l'altra vlan, mi aspetto che ci sia risposta.


 verso l'altra vlan, mi aspetto che ci sia risposta.
 
Ammetto che sulle VLAN mi mancano le basi, ma mi aspettavo che ci 
fossero delle regole generali comuni a tutti gli switch L3 (Cisco a 
parte...).
La mia situazione è la seguente:
La mia rete "principale" è 
192.168.10.0/24
 (il router ha IP 
192.168.10.1)
Assegno allo switch un IP della mia rete (sulla VLAN 1), lo vi collego 
un paio di pc e, ovviamente, il resto della rete e chiaramente funziona 
tutto.
Se creo una VLAN 20, con rete 
192.168.20.0/24
, la assegno ad alcune 
porte delle switch (untagged), vi collego uno dei pc (assegnandogli IP 
fisso e, come gateway, l'IP assegnato a quella VLAN), creo una route 
statica che dice che tutto il traffico della rete 192.168.20.0 vada 
verso il router aziendale (192.168.10.1, sul Netgear viene definito 
come "next hop"), lo switch mi blocca perché considera la rete 
192.168.10.0 come rete di management e non mi fa creare la regola.
 
Se alla VLAN 1 assegno un ip di altra classe (192.168.0.x) e creo la 
VLAN 10 per la rete 192.168.10.0, mi fa creare la route, ma i pc non 
navigano lo stesso.
 
Ho seguito una decina di tutorial ma con nessuno di questi sono 
riuscito a cavare un ragno dal buco

 Assegno allo switch un IP della mia rete (sulla VLAN 1)
e allora assegna un ip che non c'entri nulla con la tua rete, serve solo 
a gestire lo switch.... anche di altra classe.... io per il management 
adotto indirizzi su classe B e poi utilizzo una macchina che abbia la 
possibilità di colloquiare (ammesso di avere una rete come la tua in 
classe C) con quell'indirizzamento qualora volessi gestire lo switch....

Meddix ha spiegato il 29/06/2021 :

Allora, sono arrivato al bandolo della matassa, almeno per come serve a 
me.
Partivo da un presupposto sbagliato, e cioè che VLAN diverse dovessero 
per forza essere anche su subnet diverse.
In realtà, con la configurazione "di base", tutte le VLAN lavorano 
sulla stessa classe e la discriminante la fanno solo la "membership" 
della porta.
 
In soldoni:
 la VLAN 1 resta untagged su tutte le porte (e vi si collega il router)
 la VLAN 10 si imposta untagged sulle porte da 1 a 10
 la VLAN 20 si imposta untagged sulle porte da 11 a 20 e sulla 1
 
Si imposta il PVID:
 La porta 1, con PVID 1, resta membro di tutte le VLAN (1,10,20)
 Le porte 2-10, con PVID 10, sono membro delle VLAN 1 e 10
 Le porte 11-20, con PVID 20, sono membro delle VLAN 1 e 20
 
In questo modo, tutti i client collegati alle diverse VLAN potranno 
raggiungere il router ma, pur ottenendo IP della stessa classe, se 
collegati a VLAN diverse, non si parlano tra loro
 
Il prossimo passo sarà capire la differenza tra untagged e tagged, ma 
ci arriverò quando mi servirà

 navigano lo stesso.
 
quando imposti il routing, devi verificare che funzioni in entrambi i
sensi.
se il tuo router internet riceve qualcosa da una rete che non conosce,
come fa a rispondere? Devi insegnare al router come trovare la rete.
Il tuo router sa come trovare la 192.168.10.0?


 ci arriverņ quando mi servirą
 
bhe secondo me era da capire prima e non dopo, ma se il giochino
funziona...


 funziona...
 
Hai anche ragione, e me lo studierò perché sicuramente mi servirà

 Allora, sono arrivato al bandolo della matassa, 
 
O almeno così credevo.
La cosa che aveva funzionato sullo switch Netgear, non ha funzionato su 
un HP.
 
Lo scopo è quello di isolare tra loro tre tipologie di apparati, ma che 
nel contempo, tutti possano accedere ad internet
 
Ho creato 3 VLAN (10, 20 e 30)
La porta 1 ha PVID 1 ed è UNTAGGED su tutte le VLAN (e qui è collegato 
il router)
La porta 2 ha PVID 10 ed è UNTAGGED sulle VLAN 1 e 10
La porta 3 ha PVID 20 ed è UNTAGGED sulle VLAN 1 e 20
La porta 4 ha PVID 30 ed è UNTAGGED sulle VLAN 1 e 30
 
Mi aspettavo che gli apparati connessi alle porte 2, 3 e 4 potessero 
raggiungere il router connesso sulla porta 1, e che non si vedessero 
tra loro, invece nisba.
 
Cosa sbaglio?

Scriveva Skywalker Senior sabato, 02/04/2022:

Aggiungo che oltre ad aver funzionato sul Netgear di allora, ha 
funzionato anche su un HP (JG960A) recente.
Lo switch su cui mi sta dando problemi è un HP un po' più datato 
(JG923A).

> La porta 4 ha PVID 30 ed è UNTAGGED sulle VLAN 1 e 30
 
C'è qualcosa che non torna: una porta non può essere UNTAGGED su più
di una VLAN.
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 di una VLAN.
 
Eppure sul Netgear e sull'altro HP è così, e funziona.
Comunque potrei sbagliarmi...
Quindi come va configurata una porta affinché possa essere 
raggiungibile da più VLAN?

 raggiungibile da più VLAN?
 
TAGGED su tutte, oppure UNTAGGED su una sola e TAGGED sulle altre.
 
Se, per ipotesi, ci fossero due VLAN UNTAGGED su una porta, come farebbe lo switch a capire a quale delle due VLAN in questione assegnare un pacchetto senza TAG?
 
Mi pare a rovescio la configurazione che descrivi: è la porta collegata al router che dovrebbe avere tutte le VLAN taggate per "parlare" colle varie partizioni dello switch.
 

 partizioni dello switch.
 
Eppure c'è qualcosa che non mi torna. Ho seguito il tuo consiglio su 
tre porte di esempio.
 
Ho messo la porta 1 su PVID 1 e l'ho impostata come TAGGED su VLAN 10, 
20, 30 e 40
 
Sulla porta 2 ho messo PVID 40 e UNTAGGED per  VLAN 1
 
Sulla porta 3 ho messo PVID 10 e UNTAGGED per  VLAN 1
 
Morale: l'apparato connesso alla porta 2 raggiunge internet, mentre 
quello su porta 3, no
 
Perché?

Sulla porta 3 ho messo PVID 10 e UNTAGGED per  VLAN 1
 
Non riesco a capire il comportamento differente, ma queste sono porte
che usano i dispositivi, giusto?
Mettile UNTAGGED sulla rete di riferimento, altrimenti ti finiscono
sulla VLAN 1.


 sulla VLAN 1.
 
Quindi PVID 40/UNTAGGED 40
     e PVID 10/UNTAGGED 10?
 
Mentre la porta 1 resta PVID 1/TAGGED 10 e 40?

Mentre la porta 1 resta PVID 1/TAGGED 10 e 40?
 
Fondamentalmente, TAGGED 10 e 40.
Ti serve una comunicazione UNTAGGED sulla VLAN1 tra i due apparati?


 ha interfacce virtuali? Chi è il gateway delle varie reti?
 
 
Lasciamo perdere per ora il router, parliamo di device generici che 
devono o non devono vedersi, in base alle VLAN a cui si collegano.
 
Se io volessi che dei PC connessi alla VLAN 20 vedano quelli connessi 
alla VLAN 1, come devo configurare le porte dove si collegano i primi e 
i secondi?
Credevo di aver capito che bastasse impostare quelle porte come 
UNTAGGED sulle VLAN che dovevano parlarsi tra loro ma, mentre la cosa 
ha funzionato su un Netgear GS724T, mi sta dando problemi su un HPE 
1920 (JG923A - un po' vecchiotto).

 (JG923A - un po' vecchiotto).
scusa se mi intrometto ma una botta di google no? 
https://tinyurl.com/3n242rd5
 

Dopo dura riflessione, Meddix ha scritto :

Scusa se ti rispondo ma... non pensi che non l'abbia già fatto?
Sono settimane che scartabello siti, e tutti danno informazioni utili 
solo sulla carta, che non mi aiutano per niente.
Se chiedo sul NG è proprio perché sul web non trovo una risposta 
specifica per il mio caso.
 
In sostanza, avrei bisogno di una sorta di "vademecum" generale per 
capire come configurare le porte (PVID, TAG, UNTAG) per 
permettere/impedire la comunicazione tra due VLAN (e senza impostare 
subnet differenti, cosa che invece sembra il requisito "sine qua non" 
su quasi tutti i siti che ho trovato)

 su quasi tutti i siti che ho trovato)
 
pvid e untag sostanzialmente sono la stessa cosa. se imposti un pvid e
imposti una vlan diversa in untag il pvid dovrebbe avere la
precedenza.
di solito si ha proprio un certo numero di vlan, associate ad un certo
numero di subnet connesse tra loro attraverso o lo switch stesso (se è
L3) o tramite un router esterno.
questo router potrà avere un certo numero di porte fisiche sulle
rispettive vlan (e in questo caso sullo switch avrai tutte porte
untag) o avrà delle interfaccie virtuali su ogni vlan su una singola
porta fisica (e in questo caso lo switch avrà una porta impostata in
tagged su tutte le vlan)
Quello che vuoi fare tu è un po' anomalo... una singola subnet su più
vlan ma che devono usare lo stesso router per navigare. Onestamente a
meno di switch che ragionano in modo differente non saprei come fare,
neanche mettendo mano al router (visto che hai una sola subnet)
 
quando hai fatto la configurazione che funzionava, sei sicuro che le
vlan fossero isolate?
 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,


1920 (JG923A - un po' vecchiotto).
 
Mi convince poco il fatto che abbia funzionato, per il motivo appena
detto.


 detto.
 
Eppure è così, e non con apparati enterprise da 5000€, ma con dei 
router Netgear da poche centinaia di € e anche meno (un GS724T che è 
quello principale, e alcuni piccoli GS308E periferici).
 
Mia personalissima interpretazione:
- porta senza assegnazioni: passi solo se vieni dalla stessa VLAN.
- porta UNTAGGED: so che vieni da una VLAN con PVID diverso dal mio, ho 
istruzioni di lasciarti passare, e poi non me ne frega niente di dove 
vai.
- porta TAGGED: so che vieni da una VLAN con PVID diverso dal mio, ho 
istruzioni di lasciarti passare, ma poi puoi andare solo sulle VLAN con 
PVID x, y e z (o con TAG o UNTAG di quelle VLAN).
 
 
Sul GS724T ho impostato tutte le porte connesse agli altri switch su 
PVID 1 e TAGGED su tutte le VLAN.
Idem le porte, connesse allo switch centrale, sui GS308E.
In questo modo, da quanto ho capito, vengono considerate porte "trunk".
 
Ora, se imposto un PVID 5 sulla porta 5 del 724 e sulla porta 5 del 
308, gli apparati connessi a tali porte non raggiungeranno quelli 
connessi alle altre porte dei due switch, ma se una di queste ultime 
(ad esempio, la 1 del 724, dove è collegato il router) la metto come 
UNTAGGED per la VLAN 5, quei due apparati riescono ad accedere ad 
internet.
 
Se poi creo la VLAN 6 e assegno il PVID 6 alla porta 6 dei due switch e 
ancora, metto UNTAGGED 6 sulla porta 1 del 724, succederà la stessa 
cosa: gli apparati su VLAN 5 si vedranno tra loro, quelli su VLAN 6 si 
vedranno tra loro, VLAN 5 e 6 NON si parleranno, ma tutti gli apparati 
rusciranno ad accedere ad internet. Questo è il mio scopo. E coi 
Netgear funziona.
Quello che non capisco è perché la stessa cosa non avvenga sugli HP

 vlan fossero isolate?
 
Si. Dal server (VLAN 10) non raggiungo più, per esempio, il DVR delle 
telecamere (VLAN 20), ma il DVR riesce ad accedere ad internet (la 
porta a cui è connesso il router ha PVID 1, ed è UNTAGGED per VLAN 10 e 
20)

 quello principale, e alcuni piccoli GS308E periferici).
 
il punto probabilmente è questo. Apparati poco ligi agli standard.
switch che possano avere una porta con due vlan in untagged secondo me
hanno qualcosa che non va... e sarebbe proprio carino capire come
ragionano.


Quello che non capisco è perché la stessa cosa non avvenga sugli HP
 
A questo punto ti credo, ma non saprei come replicare la cosa su HP.


Valerio Vanni ha pensato forte :

Allora partiamo da un altro presupposto.
Sugli switch "normali", è obbligatorio che diverse VLAN abbiano diverse 
subnet, e per farle comunicare tra loro servono per forza regole di 
routing sullo switch? Perché se è così, vado dal cliente e gli dico che 
c'è da rivoluzionare la rete e riprogettarla da zero, il che costerà 
n-mila € e non so quanto tempo ci si metterà.
O, in alternativa, potrà anche comunicare all'ente certificatore, che è 
il soggetto che gli ha "imposto" di partizionare la rete anche se 
parliamo di un'azienda con sì e no 10 persone, che può serenamente 
andarsene a quel paese.

andarsene a quel paese.
 
Questa non è male, gli si può dedicare la canzone di Alberto Sordi ;-)


Per lo piů ti parlo di HP, non ho configurato VLAN su altri.
 
Per HP, ho trovato questa guida:
 
https://support.hpe.com/hpesc/public/docDisplay?docId=mmr_kc-0102233
 
 
Il tipo di porta che servirebbe a te (per l'accesso al router) č
quello "ibrido". Trovi qualcosa del genere nell'interfaccia?


 quello "ibrido". Trovi qualcosa del genere nell'interfaccia?
 
Si, infatti le porte passano da "access" a "hybrid" quando le marco 
come UNTAGGED su altre VLAN.

 Però una domanda mi sorge... versione fw dello switch?
 
I due HP su cui sto lavorando sono un JG960A ver. D (fw: 7.1.070 
Release 3506P11 di gennaio 2021. L'ultimo disponibile è di luglio 2021, 
che mi appresterò ad aggiornare) ed un più datato JG923A ver. A (fw: 
5.20.R1121, è l'ultimo disponibile, di aprile 2019)