Newsgroup: it.comp.reti.cisco
Titolo: uso curioso della segmentazione Layer 3

Ciao a tutti,
ho questa struttura:
5 catalyst 2950G 24 porte F.Eth. e 2 porte Gigabit
1 catalyst 3508G-XL 8 porte Gbit
1 router 1721 con modulo ADSL
1 pix 506e
circa 240 PC windows con relativa interfaccia ethernet in cui è stata 
impostato un indirizzo IP statico di tipo 
10.155.254.0/24
ho anche un vecchio router 3620 che potrei usare all'occorrenza
I 5 cat 2950 sono collegati al 3508 tramite fasci di fibra ottica.
Il router 1721 è collegato ad una delle f.e. di uno dei 2950 ed "esce" su 
internet tramite un modulo ADSL (ip statico).
Visto che mi sto già incasinando abbastanza così, non ho ancora inserito il 
pix ;-)
Il mio scopo è questo:
 - creare 6 vlan per limitare i domini di broadcast: ogni VLAN includerebbe 
tutte le porte di uno dei 5 switch. Poi ci sarebbe il catalyst 2950 a cui è 
collegato il router, che dovrebbe essere diviso in 2 vlan.
 - permettere a tutti i PC di uscire su internet tramite il router
 - permettere a tutti i PC di raggiungere ogni altro PC della lan (lo so che 
sembra una cretinata :-) )
Insomma tutto sto casino per cominciare a segmentare tramite layer 3 una lan 
troppo cresciuta, per poi cominciare ad usare in un secondo momento tutte le 
potenzialità dei bimbi cisco.
Dovrei rispettare questi vincoli:
 - non cambiare l'IP di nessuno dei PC collegati
 - limitare quanto più possibile il lavoro del router che già fatica 
abbastanza a far navigare tutti i pc ;-)
Io sono riuscito ad arrivare solo fino ad un certo punto e cioè:
1) configurare ogni porta Gbit utilizzata, come trunk link
2) configurare la porta a cui è attaccato il router come trunk link
3) assegnare tutte le porte del primo 2950 alla VLAN 1 (static access)
4) assegnare tutte le porte del secondo 2950 alla VLAN 2 (static access)
5) assegnare tutte le porte del terzo 2950 alla VLAN 3 (static access)
6) assegnare tutte le porte del quarto 2950 alla VLAN 4 (static access)
7) assegnare le prime 12 porte del quinto 2950 alla VLAN 5 (static access)
8) assegnare le altre 11  porte del quinto 2950 alla VLAN 6 (static access) 
[all'ultima porta f.e. è collegato il router tramite trunk link]
Avrei delle domande a questo punto:
 - come faccio a collegare tutte le VLAN tra di loro visto che il 3508 non 
(credo) è capace di fare interVLAN routing e il router non (credo) è 
abbastanza potente da occuparsi di tutto il routing?
 - se assegno a due VLAN diverse due indirizzi IP di tipo 
10.155.254.0/24
 il 
catalyst si incazza a mi mette una delle vlan in shutdown: dove posso 
studiare il perchè?
 - esiste un altro modo per limitare i domini di broadcast senza fare tutto 
sto casino?
 - dove trovo qualche spiegazione sul "routing-on-a-stick" che mi è parso di 
capire potrebbe essermi utile?
 - quanto e come di complica (o si semplifica) la situazione se inserisco il 
pix al posto del router e metto il router "dietro" al pix (il pix mi serve 
solo per proteggere in maniera basilare la lan dal web)?
 - quando imposto il pruning su un trunk link Gbit inibisco solo il traffico 
in entrata o anche quello in uscita da quella porta?
 - che succede se imposto lo stesso pruning a tutte e due le estremità del 
cavo di fibra? (scusate il linguaggio ;-) )
 - se i miei pacchetti passano attraverso uno switch "stupido" non cisco, 
perdo le informazioni sulla VLAN?
Lo so che sono un sacchissimo ;-) di domande e che molte di queste denotano 
carenze di base ma vi prego lo stesso di aiutarmi.
Grazie milleecento
blu_aqua



per far vedere le vlan tra di loro devi abilitare il protocollo di
tranking sulla porta trunk sullo switch,deve essere uguale per tutti
:isl o 802.1q.
il pix lo devi mettere dopo il router cisco cioè tra il router e
internet.
per limitare i domini di broadcast gia inserendo degli switch li
limiti,però sarebbe meglio creare delle vlan per una buona
organizzazione della rete.
penso che il 3508 sia in grado di fare intervlan come ti ho detto devi
abilitare sullo switch l'encapsulation sulla porta di trunk e vedere
,con un ping tra vlan1-2, se le due 
comunicano.se
 le configurazioni
sono giuste ci dovrebbe essere comunicazione.
ùsul problema che una delle v lan te la mette in shut down non lo so
,dovrei capire più che l'archittettura di rete ,le config degli switch
e dei router.
comunque a posto del pix puoi inserire delle acl sul router o anche
sugli switch se le supportano,che alla fine fanno lo stesso lavoro del
pix, però le puoi gestire meglio,senza avere la gestione di un altra
macchina.
se i tuoi pacchetti passano da un altro switch ,le info non delle vlan
non li perde ,l'importante che sia config l'encapsulation o
isl(proprietario cisco) o 802.1q(standard utilizzato da tutti gli altri
switch che non siano cisco) sulla porta di trunk,la maggiorparte ,che
non sia cisco,la mette auto.
spero di esserti stato utile .
se vuoi maggiori info inviami una mail 
fedepi...@gmail.com
ciao picchio81

 ha scritto nel messaggio 
news:1112351240.0...@f14g2000cwb.googlegroups.com...


 blu_aqua
BYEBYE
Marco F.

 collegare in testa alla struttura gerarchica(quindi al 3500)
In effetti sono convinto anch'io che 640 kbps sono un pò pochi per 240 
PC...solo che non dipende da me l'upgrade della banda... :-(
Il traffico tra il router e il resto della LAN va tranquillo...quindi non 
penso sia il caso di spostare il router sul 3508.

 
Ho poca esperienza su configurazioni di DHCP.Cmq se e` possibile
configurarlo correttamente sulle sub-interface(hai bisogno di queste
per l`intervlan routing)
Io fossi in tecercherei anche di sfruttare meglio le caratteristiche
di quel 3500 .... che forse stai sottovalutando un po` troppo .
Saluti
Marco


<SUPERCUT>
ti stai incasinando per bene eh ? : )
Secondo me, non hai bisogno di "VLANizzare" tutto quanto, pero' questo
lo puoi sapere realmente solo tu. Non conosco la tua rete e quindi la
tua azienda percio' non posso dire altro.
cerca "storm control" su 
cisco.com
 in tech docs oppure scaricati il
manuale del 2950 e fai una ricerca li'.
Imposta, come si deve, la limitazione dei broadcast (off di default)
per vedere se questa ti basta (200-250 sono il limite ma pur sempre il
limite di PC che e' bene avere "spiattellati" su una subnet)
Sappi comunque che:
i 3500 XL non fanno routing, l'IOS che fanno girare e' un IOS-L2
Come ti e' stao detto, una VLAN, una subnet, fare diversamente vuol
dire cercarsi guai nella tua situazione.
Un 1721 come router di accesso ad un'ADSL come la tua va + che bene,
non puo' essere lui il problema. Se lo e', il design della rete e'
sbagliato.
Un 1721 non puo' (seriamente) occuparsi di fare routing al Distribution
Layer, la sua FastEthernet, anche se e' 802.1q, non gliel'hanno data
per quello.
Se vuoi fare routing tra le 6 VLAN e queste "pompano pacchetti", anche
il 3620 che hai si inginocchiera' presto (e comunque sara' meglio che
abbia montato un NM-FE).
Se anche dopo aver impostato il broadcast control ti tocca andare verso
quella strada, piu' che  il routing-on-a-stick ti servira' fare MLS, e
quindi mettere in cantiere un 3550-EMI.
IMHO, potresti fare a meno del VTP e mettere tutto in transparent mode,
per sei VLAN  il VTP contribuisce solo a incasinarti un po' di + la
vita.
Idealmente dovresti avere il tempo di capire bene i seguenti (almeno) :
http://www.ciscopress.com/title/1587051508
http://www.ciscopress.com/title/1587200600
Spero di essere stata abbastanza costruttiva : )
ciao
Marialaura

ciao ragazzi ho letto tutti i post sopra e mi sembra che nessuno sia
stato tanto chiaro:
per far vedere le vlan ci vuole un router che sia configurato,come:
per prima cosa devi mettere l'interfaccia del router ,dove hai
collegato lo switch,in shut down;
poi dei abilitare le subinterface sempre sulla stessa int ethernet
cosi: int (fe 0 e) 0/0.1,e inserire l'indirizzo della vlan 1;
e così via per tutte le vlan;
per ogni subinterface abilitare l'encapsulation 802.1q e inserire alla
fine il numero della vlan es(questo esempio lo faccio per la
vlan1)configurazione sul router:
(prima vlan)
interface fastethernet 0/0;
no shutdown;
interface fastethernet 0/0.1;
encapsulation dot1q 1;
ip add 192.168.1.1 255.255.255.0;
(seconda vlan)
interface fastethernet 0/0.2;
encapsulation dot1q 2;
ip add 192.168.2.1 255.255.255.0;
e così via.
spero di essere stato chiaro.
a presto .
PICCHIO 81.


L'unica cosa chiara e' che ne sai meno di quello che ha aperto il
thread.
Ma va bene lo stesso. Internet e' bella anche per questo.
Magari poi ci spieghi anche come fai a mettere un Pix tra un accesso
Internet ADSL e il router.
Visto che sei cosi' chiaro...
Marialaura