Newsgroup: it.comp.reti.locali
Titolo: Ancora VLAN - non ne esco più!

Ho tentato un approccio diverso da un cliente che necessita di isolare 
degli apparati (NVR+telecamere) dal resto della rete.
 
Sul router (Fortigate) ho una subnet diversa (192.168.3.x) ad una porta 
fisica l'ho collegata allo switch principale, su una porta impostata 
come Trunk con PVID 30 (E SOLO QUELLO... non è taggata, untaggata su 
nessun'altra VLAN).
Sempre sullo switch ho impostato un'altra porta come Access port su 
VLAN 30 (e solo quella). Fatta prova con mio PC, connesso a tale porta 
riceve un IP della subnet corretta, vede correttamente il router, esce 
in internet, e ovviamente non vede tutto il resto della rete. Cambiato 
a mano l'IP dell'NVR e connesso a quella porta, funziona perfettamente.
Fin qui tutto bene, il comportamento è quello che mi aspetto.
 
Ora devo collegare un'altro NVR, connesso su un altro switch, che è 
connesso alla sede tramite un ponte radio fatto con apparati Mikrotik 
(il fornitore, che si è anche occupato della configurazione, mi 
assicura che la connessione è trasparente e trasporta le info sulle 
VLAN).
Su entrambi gli switch, le porte a cui è connesso il ponte radio sono 
impostate come Trunk per tutte le VLAN. La porta del secondo switch, a 
cui è collegato l'NVR (al quale ho cambiato a mano l'IP con la subnet 
corretta) è impostata come Access port su VLAN 30, esattamente come 
quella che funziona sullo switch principale, ma così l'apparato non 
risulta raggiungibile.
 
Io non ci capisco più niente!

 risulta raggiungibile.
 
a occhio il giro sembra corretto. 
La modifica che proverei a fare è mettere in tagged sulle vlan che
servono le due porte connesse al ponte radio (semplicemente perchè non
so cosa si intende esattamente per trunk, parliamo di cisco?)
 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente

 autorizzate al passaggio?
 
Sto aspettando risposta dal tecnico che le ha configurate. Ai tempi mi 
aveva assicurato che fossero del tutto trasparenti.

 aveva assicurato che fossero del tutto trasparenti.
 
se è un ponte puro dovrebbe esserlo...


 configurare...
 
Per le porte connesse alle periferiche di quella subnet ho fatto così. 
Sono tutte Access port con PVID 30, anche quella che va al fortigate.
Le uniche in trunk sono quelle connesse al ponte radio (ho risentito il 
tecnico che me l'ha configurato, e mi ha assicurato che è completamente 
trasparente, si comporta come se fosse un semplice cavo UTP e fa 
passare tutto). L'unica alternativa sarebbe metterle come Hybrid port e 
taggando tutte le VLAN che devono passare. Sullo switch principale 
posso provare a farlo senza problemi, ma per impostarlo sullo switch 
remoto preferisco essere lì materialmente, perché se per qualche 
ragione perdo la connessione, devo essere in grado di collegarmi 
fisicamente

 Le uniche in trunk sono quelle connesse al ponte radio (ho risentito il 
 
si, ma porta in trunk cosa significa per te?
sei sicuro che passano le vlan (e non parlo di ponte, parlo solo degli
switch)?


 switch)?
 
Ho letto info discordanti sugli HP. Sembra che alcuni modelli 
considerino l'impostazione "trunk" così come è comunemente indicata, 
cioè una porta su cui transitano tutte le VLAN, mentre su altri è per 
il Link Aggregation

 il Link Aggregation
 
hpe ha varie anime, ma al di fuori di cisco di solito un trunk è un
link aggregation.
ti faccio un esempio di una vlan su un mio switch aruba:
 
vlan 30
   name "ISCSI"
   untagged 40-42	> porte che tu chiami access
   tagged 1-16		> porte che tu chiami trunk
   no ip address
   jumbo
 
 
io farei la stessa cosa sui tuoi switch (non ne sono certo ma credo
che abbiano una configurazione simile)
Eventualmente incolla la tua conf che vediamo se si riesce a capire
l'inghippo.


il Link Aggregation
 
Sugli HP con cui ho avuto a che fare, il "trunk" č un insieme di
collegamenti aggregati.
 
E quello che Cisco chiama "trunk" non ha un nome specifico, č formato
da piů VLAN impostate come "tagged" sulle porte che connettono uno
switch a un altro.
 
E' questo passaggio che non si capisce se sia stato fatto sui tuoi
switch.
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 l'inghippo.
 
Domani sono dal cliente e provo...
Grazie

 switch.
 
Giovedì sarò dal cliente a fare ulteriori prove

 Giovedì sarò dal cliente a fare ulteriori prove
se risolvi ricordati del gruppo e destina parte dell'incasso allo 
stesso.....

 stesso.....
 
non al gruppo, ma a qualche associazione che faccia del bene a chi ne
ha bisogno.
 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,


 se risolvi ricordati del gruppo e destina parte dell'incasso allo stesso.....
 
Dovrete accontentarvi della mia gratitudine (e se va bene, della 
spiegazione della soluzione)

 spiegazione della soluzione)
 
 
belle donne discinte ?
 
:-)
 
 

 Tzè...braccino corto :-P
 
Vista la miseria che mi pagano...
 
Comunque ha funzionato!
Ho impostato le porte a cui è collegato il ponte radio su PVID 1, 
modalità Hybrid, TAGGED su tutte le VLAN.
 
Ora i DVR dei due capannoni escono in internet senza vedere il resto 
della rete

 modalitŕ Hybrid, TAGGED su tutte le VLAN.
 
ma modalitŕ hybrid che vuol dire?
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,


 ma modalità hybrid che vuol dire?
 
Le modalità che mette a disposizione HP per rendere una porta TAGGED su 
diverse VLAN. L'altra è la modalità Trunk, che però abbiamo visto che 
non serve per quello. Poi c'è la modalità Access

 diverse VLAN. L'altra è la modalità Trunk, che però abbiamo visto che 
 
quindi è la modalità normale...
non riusciresti a fare un copia incolla della configurazione (o di una
parte) da cli? sono curioso...
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,


 quindi è la modalità normale... 
 
Da quello che ricordo nell'altra discussione sulle VLAN, lui stava cercando di mettere una porta UNTAGGED su più VLAN.
E' questa la modalità "anormale" che non può funzionare senza che la porta sia in Hybrid.

 E' questa la modalità "anormale" che non può funzionare senza che la porta sia in Hybrid.
 
quella era un'altra discussione però...
Bho... a me sembra il classico caso dove si complicano le cose
semplici.


 semplici.
 
Tutte le cose diventano semplici quando si trova il modo corretto di 
affrontarle. Quando si parte da zero, invece, è tutto più complicato.
 
Io ero forse partito da un presupposto sbagliato (porte untagged su più 
VLAN) perché sui Netgear che avevo visto la cosa funzionava 
(probabilmente lo switch le considera automaticamente "hybrid").
Poi gli HP mi hanno complicato la vita col fatto che usano la dicitura 
"trunk" per una cosa diversa da come viene universalmente descritta in 
tutti i tutorial che ho provato a vedere.
Comunque adesso funziona... anche per una VM all'interno di un server 
ESXi.
 
L'unica grossa differenza rispetto a come l'avevo immaginato, è che ho 
creato una subnet diversa su una porta dedicata del firewall, quindi di 
fatto non ho una porta comune a tutti per l'uscita in internet (come 
intendevo fare) ma ho due porte

 intendevo fare) ma ho due porte
 
potevi farlo anche con una sola porta e una virtual interface... :-)


 descritto.
 
confermo... è lo switch della barbie!! :-)
purtroppo non avevo tempo per giocare con lo switch, ma se ho inteso
correttamente l'access ha solo una vlan in untagged, la trunk ha una o
più vlan in tagged, mentre la hybrid ha sia una vlan in untagged e una
o più in tagged.
comunque se lo configuri nella pagina delle vlan fa tutto lui e
modifica le modalità della porte in automatico.
sul 1950 l'aggregazione si chiama link aggregation e non trunk come
sugli aruba.


 potevi farlo anche con una sola porta e una virtual interface... :-)
 
Mo'... un passo alla volta