Newsgroup: it.comp.reti.cisco
Titolo: Comportamento strano, forse tag vlan?

Ciao a tutti.
Sto davvero perdendo il cervello.
Questa la situazione:
- ho un firewall (ma non ha importanza che sia un firewall) che ha 2
interfacce fisiche .251 .252 e una virtuale .253 (è un cluster) su una
sottorete /24.
- le due interfacce fisiche sono connesse su due porte di un Cisco 6509
poste in access sulla vlan 8
- il Cisco 6509 ha un interface vlan sulla vlan 8 (a scopo esclusivo di
debug) .100
- il cisco 6509 è collegato ad un Cisco 3750 attraverso una porta posta in
trunk sulla quale solo allowed tutte le vlan (sia sul 3750, sia sul 6509)
- il Cisco 3750 ha un interface vlan sulla vlan 8 (a scopo esclusivo di
test) .5
- al Cisco 3750, sulla porta Fa1/0/33 (posta in access sulla vlan 8) è
collegato un Cisco 3550
- quest'ultimo cisco 3550 per me è una black box perché non posso metterci
mano (non appartiene alla mia azienda) e mi da connettività verso un'altra
sottorete; il suo indirizzo sulla mia sottorete è .254
Cosa succede.
test 1, scollego il 3550 e il 3750 e collego un portatile con indirizzo
10 sul 3550 (la black box) e pingo .254 -> risultato OK!
test 2, ricollego il 3550 e il 3750, vado in console sul 3750 e pingo .254
-> risultato OK!
test 3, sempre in console sul 3750 pingo .251, .252 e .253 -> risultato OK!
test 4, vado in console sul 6509 e pingo .251, .252, .253, .254 ->
risultato OK!
test 5, vado sul nodo fisico .252 (che non è il nodo attivo del cluster) e
pingo .251, .253, .254 -> risultato OK!
test 6, vado sul nodo fisico .251 (che è il nodo attivo del cluster) e
pingo .252, .253 -> risultato OK!
test 7, sempre sul nodo fisico .251 (che è il nodo attivo del cluster)
pingo .254 (cioè l'unica cosa che mi serve) -> risultato FAIL!
ovviamente non ho modo di vedere cosa si pinga dal .254 perché non ho
accesso a questo catalyst ma questa situazione fa in modo che io non possa
connettermi alla rete che c'è dietro il .254 tramite il mio firewall.
Vi ho riportato solo i test che descrivono meglio la situazione, ma in
realtà ho fatto vagonate di test (ho frapposto altri apparati, ho messo
porte in trunk e in access, ho messo tutte le porte "incriminate" sulla
vlan 1 di default degli apparati, ecc.) il risultato è sempre lo stesso,
il nodo attivo del mio firewall non vede il .254
Qualsiasi idea vi viene di qualsiasi tipo, è la benvenuta.
Grazie
giaconet
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

io controllerei sul firewall attivo se ha arp del 243 e se mac coincide 
con quello che vedono gli altri.
secondo me è un problema del firewall e non della rimanente parte della 
rete. a meno che non faccia strane cose sugli arp/mac che mettono in 
difficoltà il .254.
ciao



Ciao Stefano, grazie della risposta.
Allora, questo fw fa effettivamente qualcosa di strano (apparentemente),
ma se fosse poi cos� strana, perch� metterebbe in difficolt� solo il 3550
(.254) e non anche il 6509 (.100) e il 3750 (.5)?
In ogni caso la cosa "strana" che fa � questa: i nodi fisici del firewall
hanno 2 mac address ovviamente relativi alle nic, per� il nodo attivo
"perde" il suo mac address e prende un mac virtuale.
Spiego ancora meglio:
nodo1, nic5, ip .251, mac 0011.0a55.c8f1
nodo2, nic5, ip .252, mac 0011.0a52.ab42
ma non appena uno dei 2 nodi diventa attivo (ad esempio il nodo1) la
situazione diventa questa:
nodo1, nic5, ip .251, mac 0205.0505.0505
virtuale, ip .253, mac 0205.0505.0505
nodo2, nic5, ip .252, mac 0011.0a52.ab42
Mi � stato spiegato che questo funzionamente dovrebbe ridurre il tempo di
disservizio dovuto al passaggio da un nodo all'altro (il fw � uno
Stonegate della Stonesoft).
Ora, a parte capire se questa cosa serva o non serva, dia problemi o non
li dia, resta il fatto che se da uno dei 2 apparati in "mezzo" pingo i 3
indirizzi (.251, .252 e .253) li raggiungo tutti e imparo correttamente i
mac address (anche il 0205.0505.0505): perch� invece il .254 si incazza?
Cmq per rispondere alla tua richiesta, sul nodo 1 (attivo) la mia arp
table � la seguente:
x.x.x.5 dev eth5 lladdr fc:fb:fb:98:e8:c3 REACHABLE
x.x.x.100 dev eth5 lladdr ec:30:91:e2:c6:c0 REACHABLE
x.x.x.254 dev eth5 FAILED
sul nodo 2 (non attivo) ottengo invece:
x.x.x.5 dev eth5 lladdr fc:fb:fb:98:e8:c3 REACHABLE
x.x.x.100 dev eth5 lladdr ec:30:91:e2:c6:c0 REACHABLE
x.x.x.254 dev eth5 lladdr 00:0f:20:6b:98:59 REACHABLE
ciao


 table è la seguente:
