Newsgroup: it.comp.reti.cisco
Titolo: vlan che non devono vedersi...

Salve,
ho creato 3 vlan su switch 2900 ed ho messo in trunk la porta 24 con la 
fastethernet di un router 2600;
quindi sul router ho creato 3 subinterface con dot1q e indirizzi :
f0/0.1 - 
192.168.1.254/24
 vlan1
f0/0.2 - 
192.168.2.254/24
 vlan2
f0/0.3 - 
192.168.3.254/24
 vlan3
sul router c'è anche un
ip route 0.0.0.0 0.0.0.0 dialer1 per la connessione internet...
lo switch ha:
ip vlan1  
192.168.2.253/24
default-gateway 192.168.1.254
la porta 24 è sulla vlan1
porte 1-6 = vlan2
porte 7-11= vlan3
FUNZIONA TUTTO! nel senso che tutti i pc delle rispettive vlan riescono ad 
andare su internet ed a vedersi con i pc delle rispettive vlan...
Il prblema è che ho implementato le vlan in modo da isolare le 3 reti...
insomma, l'idea era di isolare le 3 reti in modo che i pc di una vlan non 
vedessero i pc delle altre vlan...
Ricordavo (anni fa ho fatto un corso ccna...) che le vlan non possono 
dialogare tra loro se non c'è un router che faccia routing...
come mai le mie riescono a dialogare senza che sia stato impostato alcun 
instradamento nel router?
show ip route mi da le 3 reti direttamente connesse.... è normale vero?
qualcuno può spiegarmi ?
grazie.

 
Ciao,
come dici tu, le vlan per "vedersi" hanno bisogno di un device L3, e 
dato che ci sta collegato un router è normale che si vedano e che lo 
stesso router veda direttamente connesse le 3reti, quindi esiste già un 
routing. Se le vuoi isolare devi implementare sul router delle ACL e 
impostarle sulle sub-interface che ti interessano.
-- 
Alessandro Pensato,
AreaNetworking.it Staff
AreaNetworking Cisco Users Group
http://www.areanetworking.it/cug.php
mail: 
alessandr...@areanetworking.it
irc: irc.azzurra.org@#areanetworking
http://www.alessandro-pensato.it

 ha scritto nel messaggio 
news:450443d2$0$30241$4faf...@reader1.news.tin.it...

Grazie!
se posso approfittare ancora...
dovrei creare 3 acl, una per ogni interfaccia?
poi in ogni interfaccia mettere qualcosa tipo:
ip access-group - numeroACL- in
quindi in entrata ?
grazie ancora e scusami!

 ha scritto nel messaggio 
news:450443d2$0$30241$4faf...@reader1.news.tin.it...

ma... basterebbe creare una access-list vuota e associarla a ogni 
interfaccia?
praticamente dovrebbe negare tutto... è così?
scusami ma del corso ccna ricordo poco...
Ciao 

 
in questo modo non andrebbero manco su internet.
fai una ACL che nega tutto verso verso le reti specifiche delle vlan e 
alla fine permetti tutto, e la applichi ad ogni sub-int in uscita.
access-list 100 deny any 192.168.1.0 0.0.0.255
access-list 100 deny any 192.168.2.0 0.0.0.255
access-list 100 deny any 192.168.3.0 0.0.0.255
access-list 100 permit any any
int fa0.1
ip access-group 100 out
int fa0.2
ip access-group 100 out
int fa0.3
ip access-group 100 out


 
http://www.alessandro-pensato.it
EHIII, ma sei Alessandro Pensato?
proprio oggi mi sono ritrovato sul tuo sito... č molto interessante!
ho scaricato qualcosa ed ho letto un pň di te... complimenti!
a proposito... ma l'armadio rack che vedo nelle foto e un "fai da te?"
Vorrei tanto averne uno ma i costi sono proibitivi per me....(attualmente 
senza lavoro e famiglia da mantenere!)
Grazie cmq, gentilissimo!

 
si fatto con le sbarre per le scaffalature e delle bacchette filettate
per tenere legato tutto, una soluzione economica e funzionale.
