Newsgroup: it.comp.reti.ip-admin
Titolo: Routing tra VLAN

Supponiamo di avere alcuni server con vlan dedicate:
vlan1, vlan2, vlan3, vlan4, etc etc
 
Supponiamo anche di avere un server che deve essere visto da tutti gli altri.
La soluzione più rapida sarebbe quella di mettere in trunk la porta verso il server 'comune' ed associare al server un IP per ciascuna VLAN di origine.
 
Non voglio farlo, diventerebbe una situazione ingestibile al crescere delle VLAN ed un inutile spreco di IP.
 
Pensavo quindi di attivare il routing sullo switch (ne posso rimediare uno L3) e ruotare tutto il traffico tra le VLAN.
Soluzione poco ottimale, in quanto le VLAN dei singoli server non devono dialogare tra loro, ma solo verso il server comune.
 
Devo agire obbligatoriamente di ACL, ovvero attivare il routing tra tutto e tutti e poi filtrare tramite qualche ACL oppure si può attivare solo il routing verso un dato server o meglio ancora una data vlan?
 
Il top del top, nel mio caso, sarebbe fare una cosa di sto tipo:
 
- attivare routing
- ruotare traffico da/verso la VLAN 101
- ruotare traffico da/verso la VLAN 102
- drop di tutto il resto
 
in questo modo, posso aggiungere vlan senza preoccuparmi di modificare il routing, in quanto automaticamente ruoterebbero il traffico verso la 101 e la 102 e verrebbero droppate tra di loro.
 
Si può fare? Avete un esempio supponendo un Cisco come switch (o addirittura un Extreme, ho un cliente che sembra ne dismetta uno recente)?

 
 > Supponiamo anche di avere un server che deve essere visto da tutti 
gli altri.
 > La soluzione più rapida sarebbe quella di mettere in trunk la porta 
verso il server 'comune' ed associare al server un IP per ciascuna VLAN 
di origine.
 >
 > Non voglio farlo, diventerebbe una situazione ingestibile al crescere 
delle VLAN ed un inutile spreco di IP.
 
Però anche la soluzione più pulita. Fai arrivare al server i tag, dai un 
ip per ogni vlan e DISABILITI il forwarding tra le reti (errore comune e 
che espone la rete ad evidenti vulnerabilità). Non lo vedo affatto come 
un "accrocchio", anzi..
 
 
 >
 > Devo agire obbligatoriamente di ACL, ovvero attivare il routing tra 
tutto e tutti e poi filtrare tramite qualche ACL oppure si può attivare 
solo il routing verso un dato server o meglio ancora una data vlan?
 
puoi anche fare così, ma sei sicuro che questa non sia la strada più 
farraginosa? se hai un firewall potrebbe anche andar bene, centralizzi 
il routing e le policy su di esso, ma far fare routing+ACL sullo switch 
solo per abilitare un server potrebbe farti perdere di gestibilità.
 
Ovviamente è un parere del tutto personale, ci sono varie scuole di 
pensiero, io preferisco spostare il L3 su di un firewall oppure, se non 
ne possiedo uno, mando i tag delle vlan sul server. Lo trovo più pulito 
e più "error-free".
Ovviamente ci sono situazioni in cui lo puoi fare ed altre in cui non 
puoi farlo. In questo caso non ci vedo grandi controindicazioni.

 pensiero, io preferisco spostare il L3 su di un firewall
 
Si, anche io.
 
Vorrei però evitare di dover configurare centinaia di IP (ho vagonate di VLAN, molte delle quali attivate anche solo per alcune ore) su una singola macchina.
Troppo brigoso in termini di lavoro, per questo chiedevo se fosse possibile bloccare di default il routing inter-vlan e lasciarlo solo verso una data destinazione.
 
No, le PVLAN non vanno bene, mi pare siano proprietarie cisco e la rete in questione non è interamente cisco.

 macchina.
 
Gli script sono fatti apposta, io ho server con centinaia di IP e non ci 
sono problemi.
 
-- 
  Daniele "Vihai" Orlandi
  Bieco Illuminista #184213

 sono problemi.
 
Avrei preferito evitare.
Non tanto per dover riconfigurare il server in automatico, ma per dover riconfigurare gli apparati di rete.
 
Comunque mi pare di capire che la soluzione migliore di quella di mettere il firewall in ascolto su ciascuna vlan, zero routing sullo switch e poi ruotare tutto direttamente dal firewall (i server che devono essere 'visti' dalle vlan sono molteplici, quindi un firewall è d'obbligo altrimenti dovrei usare un ip per ciascun server comune in ciascuna vlan)

 Il server dovrebbe avere in carico 700 VLAN e 700 IP.
 
Se faccio arrivare 700 VLAN su di un server io inizierei a domandarmi se 
non ho sbagliato qualcosa nell'architettura della rete e/o nella 
gestione delle risorse.
 
Concorderai con me che non è proprio un best practices :)
 
Ma toglimi una curiosutà, tu hai mai visto più di 40-50 vlan in una 
stessa rete? Se si, erano davvero tutte giustificate o era frutto di un 
attacco di vulannite acuta cronica?

 attacco di vulannite acuta cronica?
 
Tutto dipende da cosa fai di mestiere. Se sei un fornitore di colocation
700 subnet non son poi un numero così spaziale.
 
Ciò detto, bisogna capire quale è il senso della necessità. Se si tratta
di una vlan dedicata al backup, di solito la soluzione è una nic
dedicata e una private vlan...

 attacco di vulannite acuta cronica?
 
Si, io ne ho almeno il quadruplo, con le VPS avere trilioni di VLAN è semplice.
Ma nel mio caso è diverso, tutte le vlan terminano sul firewall e da li escono su internet, anche perchè non avrei altre possibilità. 
Se vuoi far navigare 200 VLAN o fai così o non fai.

 dedicata e una private vlan...
 
Questi 'computer' devono dialogare con una manciata (per ora) di server, tra cui un backup, due resolver dns ed uno storage NFS
 
Pensavo quindi di mantenere le vlan sugli apparati senza farle dialogare (quindi L2 e basta), mettere il port-channel che guarda il firewall in trunk e veicolare li sopra tutte le VLAN.
 
Il firewall sarà accessibile da ciascuna VLAN e l'unica regola di forward
(sarà una macchina linux) è da/verso il port-channel che guarda lo switch dei server comuni:
 
|----LAN--------------|------DMZ---------|
lab --> sw --> po -> fw -> po -> sw -> srv
 
Spero si veda il disegnino.
(lab=laboratorio,sw=switch,po=portchannel,fw=firewall,srv=server)
 
Lato DMZ il problema non sussiste in quanto tutti i server sono dentro la stessa vlan
e comunque sia, sarebbero talmente pochi che anche una eventuale segregazione non comporterebbe
alcun problema.
 
Il problema è lato LAN, dove ho centinaia di VLAN da dover gestire in più punti e prevedo un
bagno di sangue.
 
(ovviamente non c'è un solo switch lato LAN ma ci son 3 switch 48 porte connessi ad un distributore ed è quest'ultimo che sarà connesso al firewall)
 
P.S: no, non ho alcuna intenzione di cambiare la rete fatta da altri. Io devo portare eventuale firewall e server da connettere a questo guazzabuglio di VLAN
 
avrei preferito attivare il routing sullo switch e bloccare, in qualche modo, il traffico da li sopra senza stare ad impazzire nel portare un firewall e doverlo configurare.

 traffico da li sopra senza stare ad impazzire nel portare un firewall e doverlo configurare.
 
E' fattibile semplicemente anche questo, ma è certamente più palloso
configurare uno switch con 200 ip che non scriptare un server Linux.
Anyway se si tratta di un Cisco tipo 3560 o 3750 non è poi difficile
gestire la cosa. Fai una singola ip acl scritta bene e la applichi a
tutte le *porte* cui sono connessi i PC. L'acl sulla porta funziona a
prescindere dalla VLAN, quindi non devi sbatterti a fare 200 acl dedicate.
 
Se 
p.es
. la DMZ ha classe IP 
192.168.0.0/24
 e le altre vlan sono
sottoreti /30 della 
10.10.0.0/16
 una cosa di questo tipo:
 
ip access-list extended FILTRAPORTA
permit icmp 10.10.0.0 0.0.255.255 192.168.0.0 0.0.0.255
permit tcp 10.10.0.0 0.0.255.255 host 192.168.0.1 eq 53
permit udp 10.10.0.0 0.0.255.255 host 192.168.0.1 eq 53
permit tcp 10.10.0.0 0.0.255.255 host 192.168.0.2 eq 1234
permit udp 10.10.0.0 0.0.255.255 host 192.168.0.2 eq 2079
deny ip 10.10.0.0 0.0.255.255 10.0.0.0 0.255.255.255
deny ip 10.10.0.0 0.0.255.255 172.16.0.0 0.240.255.255
deny ip 10.10.0.0 0.0.255.255 192.168.0.0.0 0.0.255.255
permit ip any any
 
interface range G1/0/1 - 46
ip access-group FILTRAPORTA in
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

 ip access-group FILTRAPORTA in
 
Ottimo, questo dovrebbe fare al caso mio.
Ti ringrazio.

 una eventuale ACL su VLAN, non sono mutualmente esclusive.
 
E' il bello delle acl sulle porte. L'ultima volta che l'ho usata è stato
sui 3750X per configurare un ponte radio di backup. Data la limitatezza
della banda disponibile sul ponte (200mbit contro 10gbit), sulla porta
cui è connesso ho messo un'ACL extra che sega il traffico non necessario
(come quello di replica di storage, accessi diretti al file server,
ecc.). Così il link viene gestito normalmente dallo spanning tree e sono
onorate le acl per vlan, ma se si passa sul ponte radio vengono
applicate *anche* le limitazioni extra.


 applicate *anche* le limitazioni extra.
 
Non si finisce mai di imparare.