Newsgroup: it.comp.reti.cisco
Titolo: 2950 e PC con 2 IP su una singola scheda

Salve,
ancora una questione che spero non sia una FAQ.
Uno dei PC della nostra LAN deve poter lavorare su due subnet IP 
distinte (
172.16.48.0/22
 e 
192.168.5.0/21
).
Le apparecchiature attive di rete che utilizziamo sono un 3550 e vari 
2950 in cluster di cui il 3550 e` il commander.
Causa vincoli strutturali sul cablaggio che non posso rimuovere (ho a 
disposizione una sola porta di rete cablata) il PC ha a disposizione una 
sola scheda di rete su cui devo configurare due indirizzi IP.
E qui sorge il problema: le due subnet IP di cui sopra "lavorano" su due 
VLAN distinte (la 2 e la 3).
E` possibile configurare l'interfaccia del 2950 a cui e` connesso il PC 
in modo da far passare il traffico di entrambe le VLAN?
Se si, in che modo?
Ho provato a mettere la porta in trunk (premetto che sono appena 
infarinato sul concetto di trunking) come segue
interface FastEthernet0/26
  switchport trunk native vlan 3
  no ip address
  spanning-tree portfast trunk
senza pero` ottenere risultati. Il PC va solo sulla VLAN 3. Se cambio la 
native VLAN impostandola su 2 il PC, chiaramente, smette di andare sulla 
3 e va sulla 2.
Un'ultima cosa, solo la VLAN 3 ha un indirizzo IP, per cui va esclusa la 
possibilita` di far fare al 3550 il routing fra le due VLAN.
Qualcuno ha voglia di rispondere?
Grazie in anticipo.
--
Pedro

 la possibilita` di far fare al 3550 il routing fra le due VLAN.
Le VLAN non hanno mai indirizzo IP. Forse ti stai confondendo con 
l'interfaccia VlanX dello switch, che si usa per il management, e che e' 
associata alla VLAN nativa...
-- 
Ciao!
]\/[arco

 associata alla VLAN nativa...
Ne sei proprio certo? Preso dalla configurazione del 2950
!
interface Vlan3
  ip address 192.168.0.100 255.255.248.0
!
ed ecco l'output del comando show interface
2950sf-1>show interface vlan 3
Vlan3 is up, line protocol is up
   Hardware is CPU Interface, address is aaaa.bbbb.cccc (bia aaaa.bbbb.cccc)
   Internet address is 
192.168.0.100/21
   MTU 1500 bytes, BW 1000000 Kbit, DLY 10 usec,
      reliability 255/255, txload 1/255, rxload 1/255
   Encapsulation ARPA, loopback not set
   ARP type: ARPA, ARP Timeout 04:00:00
   Last input 00:00:00, output never, output hang never
   Last clearing of "show interface" counters never
   Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0
   Queueing strategy: fifo
   Output queue :0/40 (size/max)
   5 minute input rate 3000 bits/sec, 4 packets/sec
   5 minute output rate 19000 bits/sec, 21 packets/sec
      7406491 packets input, 725864374 bytes, 0 no buffer
      Received 239936 broadcasts, 0 runts, 0 giants, 8579 throttles
      0 input errors, 0 CRC, 0 frame, 0 overrun, 7 ignored
      27415653 packets output, 2614430238 bytes, 0 underruns
      0 output errors, 2 interface resets
      0 output buffer failures, 0 output buffers swapped out
In ogni caso grazie della risposta. Non esiste altra via?
--
Pedro

 !
Appunto, ti stai confondendo con la VlanX (dove X e' l'ID della vlan 
nativa) che e' una INTERFACCIA (e quindi puo' avere un indirizzo IP) 
usata principalmente, per il management dello switch. Il concetto di VLAN 
e' a ad un layer piu' basso, ed e' indipendente dal protocollo 
utilizzato, sia esso IP, IPX, SNA o chi per esso. 
Detto cio', cosi' su due piedi direi che puoi far passare tutto il 
traffico su una sola delle due vlan, e far fare intervlan routing al 
3550, con un saggio uso del proxy arp... di sicuro non ti funzioneranno 
protocolli che si basano sui messaggi broadcast, ma per il resto dovrebbe 
andare.
-- 
Ciao!
]\/[arco

 andare.
Non credo di poterlo fare in quanto il traffico delle due vlan deve 
rimanere separato. Uno dei motivi e` il seguente: abbiamo due subnet IP 
172.x.y.0/22 e 192.168.x.0/21. Le macchine che hanno indirizzo IP 
appartenente alla prima vanno sulla vlan 2 e accedono a Internet nattati 
Il nat viene svolto da un router a valle che non e` sotto la mia 
responsabilita`.
Le macchine che hanno indirizzo IP appartenente alla seconda invece 
vanno sulla vlan 3 e accedono a Internet solo tramite proxy che richiede 
autenticazione.
In questo modo le macchine della vlan 3 non hanno altra possibilita` di 
andare su rete se non passando dal proxy.
Se facessi passare tutto il traffico solo su una sola vlan se qualcuno 
riuscisse a trovare il modo di cambiare l'indirizzo IP da 192.168.x.z a 
172.x.y.z riuscirebbe a accedere alla grande rete senza piu` passare dal 
proxy e quindi senza autenticazione.
--
Pedro

 Grazie in anticipo.
Prego
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

 exit
Scusate, cattiva netiquette rispondere a se stessi ma ho omesso qualcosa.
Devi sostituire fa0/1 con l'interfaccia del PC con 2 IP poi
multi vlan 2,3 deve essere preceduto da switchport quindi leggi:
config term
interface fa0/xx
switchport mode multi
switchport multi vlan 2,3
^z
Ciao


 Ciao
Ciao e grazie lo stesso. Qualche altro suggerimento?
--
Pedro

 exit
ehm, ehm... Non su un 2950 (non supporta porte in multi-vlan)... e, se 
anche fosse un vecchio 2900XL, non se vuoi fare trunk su una qualsiasi 
altra interfaccia... grossa limitazione lo so', ma tant'e'... :(
-- 
Ciao!
]\/[arco

 mia responsabilita`.
A questo penseranno delle accorte access list... usando esclusivamente 
layer2, non credo si riesca a fare... magari se ti ritrovi uno switchettino  
o un hubbettino da 4 soldi in piu'... puoi collegare l'interfaccia del PC 
allo switchettino, poi una porta al 2950-vlan3 e un'altra porta al 2950-
vlan2... altrimenti un po' di routing, supportato da adeguate ACL, lo devi 
far per forza...
-- 
Ciao!
]\/[arco




Chiedo venia. Ho ricontrollato ed hai ragione tu. 
Quando ho acquistato il 2950 chiesi se supportava il multi vlan su singola
porta e mi dissero di si, ora andando a guardare solo gli XL e senza trunking
sulle altre porte, come dicevi per l'appunto.
Per rispondere al post originario, l'unico modo e' di mettere il server su una
sua VLAN e fare routing con il 35xx che anche con la SMI (se abbastanza recente)
fa IP routing. 


Marco Matarazzo wrote:
 > A questo penseranno delle accorte access list... usando esclusivamente
 > layer2, non credo si riesca a fare... magari se ti ritrovi uno
 > switchettino o un hubbettino da 4 soldi in piu'... puoi collegare
 > l'interfaccia del PC allo switchettino, poi una porta al 2950-vlan3 e
 > un'altra porta al 2950-vlan2... altrimenti un po' di routing,
 > supportato da adeguate ACL, lo devi far per forza...
Niente hubbettini e switchettini: dopo anni di crescita disordinata 
della LAN ho imposto il rifacimento del cablaggio e la sostituzione 
delle apparecchiature attive proprio per eliminare la loro 
proliferazione. Non posso dare il cattivo essempio.
Fabio Sardone wrote:
 > Per rispondere al post originario, l'unico modo e' di mettere il
 > server su una sua VLAN e fare routing con il 35xx che anche con la 
SMI > (se abbastanza recente) fa IP routing.
Il problema non si pone in quanto il nostro 3550 ha la EMI. Pero` la 
soluzione del routing ha delle implicazioni che non mi piacciono:
Dovrei dare un indirizzo IP al 3550 anche sulla 172.x.x.0/22 (la subnet 
sulla quale lavorano tutte le macchine della vlan 2). Cio` lo renderebbe 
"visibile" a tutti i PC di quella subnet. PC che non ho modo di 
controllare in nessun modo. Cio` mi esporrebbe potenzialmente a dei 
rischi di sicurezza. Per evitare cio` dovrei su delle ACL adeguate, ma 
non sono ancora sufficientemente ferrato in materia per poterlo fare bene.
In ogni caso, grazie alle vostre risposte e suggerimenti, ho 
approfondito le mie conoscenze su VLAN e dintorni e credo che mi 
orientero` sul primo suggerimento di Marco Matarazzo (usare una scheda 
che supporti il vlan tagging).
A questo proposito, stiamo infatti per sostituire le schede di rete di 
uno dei nostri server (passeremo al gigabit). Le schede in questione 
sono delle 3Com EtherLink Server (3C980C-TXM) se non ricordo male con il 
software DynamicAccess dovrebbe essere possibile implementare la 
gestione delle vlan nel qual caso risolverei il problema semplicemente 
utilizzando i trunk.
Ho detto una grossa baggianata?
--
Pedro

 utilizzando i trunk.
Non conosco la scheda in questione, ma controlla attentamente che i driver 
per il sistema operativo che andrai ad usare, supportino i vlan tag in modo 
nativo, che possa accettare trunk, e che tu possa assegnare ad alias 
divers, vlan diverse. Cosi' risolvi sicuro!
-- 
Ciao!
]\/[arco