הפרדת רשת ליחידת דיור

[eyalpo]

בהמשך לפוסט שפירסמתי כאן:
https://www.hometheater.co.il/vt293462.html
יש לי נתב VTECH של בזק שתומך בהפרדת רשתות ע"פ פורטים, קינפגתי אותו והכל עובד מצוין, כלומר: אין גישה מהרשת של היחידה לרשת של הבית.

התגלגל לידי סוויצ' LINKSYS LGS308 (מדריך ) וחשבתי להשתמש בו כדי לשכלל עוד יותר את המצב (מה שחסר לי זה שליטה על ה bandwidth שהדייר יכול לקבל) וככה גם להבין יותר את נושא ה VLANs ואיך הם עובדים.
אז זה הסטאפ:
- ראוטר VTECH מחובר בפורט 1 ל LGS308.
- ביחידה יש ראוטר פשוט של EDIMAX שמחבר לפורט 8 של ה LGS . הגדרתי בפורט הזה bandwidth control והגבלתי הקצב. הכל עובד.
- שאר הפורטים ב LGS מחוברים לחדרים אחרים בבית ושם יש סוויצים פשוטים שמחברים טלויזיה+מחשב+מדפסת וכו'

עכשיו אני מנסה להשתמש ביכולות ה VLAN כדי לוודא שאי אפשר להגיע מהרשת של היחידה לרשת שלי. יצרתי שני VLANs נוספים מעבר ל Default אבל לא ברור לי מה עושים עם שאר ההגדרות (Taggged\Untagged) וסוגי הפורטים (Access\Trunk\General)

מישהו יכול לכוון?

[Hava972]

אתה צריך להוסיף רק VLAN אחד מעבר לDEFAULT, נקרא לו למשל VLAN GUEST או 2
על אותו פורט שיוצא ליחידה תגדיר Access ו TAG

ואז לאותו פורט אין גישה ל DEFAULT VLAN ולהיפך

[eyalpo]

העניין הוא שהיחידה צריכה גישה לאינטרנט. כלומר: פורט 1 שמחובר לראוטר של בזק צריך להיות זמין גם ליחידה וגם לשאר הרכיבים בבית (פורטים 2-7) אבל עדיין צריכה להשמר ההפרדה בין פורט 8 לבית (2-7)
עדכנתי את ההודעה הראשונה עם שרטוט שאולי יעזור להבהיר

[sys_admin]

על אותו פורט שיוצא ליחידה תגדיר Access ו TAG

ואז לאותו פורט אין גישה ל DEFAULT VLAN ולהיפך

...

·

מה שכתבת כאן, זה דבר והיפוכו. אנסה להסביר למה. מצב של PORT כ ACCESS קובע שזה פורט "גישה", שזה אומר שמחוברים עליו לקוחות רשת רגילים. פורט כזה לא יכול ולא אמור להיות TAGGED , אלה רק UNTAGGED. וגם, אם הוא הייה מגדיר TAGGED פורט לפורט שמתחברים עליו התקני רשת רגילים, אז גם בהתקני רשת האלה הייה צורך להגדיר תיוג. שזה מן הסתם לא הגיוני ולא נתמך ברוב ההתקני רשת רגילים.

[sys_admin]

@eyalpo
·
את התשובה לשאלה כבר כיבלת במלואה בשרשור הזהה הקודם שפתחת בהקשר זה. מן הסתם שמאז היא לא השתנתה. אנסה לתמצת אותה עוד פעם. אתה צריך נתב שתומך ב VLANS ולהגדיר עליו שני ממשקי VLANS , שאחד יהיה לבית והשני יהיה ליחידת דיור. על ידי הגדרות ניתוב ו FW אתה מגדיר שכל אחד מהם מקושר לאינטרנט, אבל לא מקושר אחד לשני. על אחד הפורטים של הנתב אתה מגדיר את VLAN TRUNK עם ה VLANS המתאימים ומחבר אותו לפורט של המתג שגם הוא יוגדר כ VLAN TRUNK עם אותם ה VLANS . על שאר הפורטים של המתג אתה מגדיר לאיזה VLAN מבין השניהם הם יהיו שייכים. זהו.

[eyalpo]

@sys_admin
השאלה שלי שונה. אתה אומר שאני צריך נתב אבל מה שאני שואל בעצם זה אם אפשר לפתור את זה *לא* ברמת הנתב אלא בהגדרות בסוויצ'
כמו שאמרתי בהתחלה, באמת עשיתי את מה שהציעו בשרשור הקודם בעזרת קונפיגורציה בנתב וזה עבד. הבעיה היא שאין לי שם תמיכה ב bandwidth control ולכן רציתי לנסות לעשות את ההפרדה ב switch עצמו (ה LGS308 הוא סוויצ שמאפשר הגדרת VLANs).
השאלה שלי היא אם אפשר לעשות את הכל ב switch כאשר החיבור נעשה כמו בתרשים למעלה?

[Hava972]

בהחלט אתה יכול לפתור את זה ברמת הסויטש.
תעשה TAG ל VLAN2 וכבר בהגדרת הפורט יופיע/יחסם מה שאינך יכול לבחור,
SYSADMIN צודק, לא תוכל אפילו לבחור ACCESS, אלא רק ב TRUNK\GENERAL

[sys_admin]

@eyalpo
·

אתה יכול לעשות את זה בהגדרות מתג, רק לא על ידי שימוש במתג שיש לך, אלה בשימוש במתג מתקדם ברמה של L3. שמן הסתם הוא יהיה "טיפ טיפה" יותר מדי יקר לשימושים שלך וגם מצריך שרתים נוספים שיפעילו את התכונות הנדררשות בו.

בכל מקרה, אם לעשות מהסיפור הארוך קצר, אז כבר פעמיים הסברתי את מה שאתה צריך, והפעם אני אפילו אצייר את זה על התרשים שלך. גם בקשר לנושא של תמיכה של bandwidth control , המתג שיש לך הוא לא יכול לעזור בכלום. bandwidth control בהקשר לגישה לאינטרנט לא קשור למתג, אלה בנתב. גם את זה כתבתי כבר בשרשור הקודם. בכלל, bandwidth control ו VLANS זה שני דברים שונים.

[sys_admin]

בהחלט אתה יכול לפתור את זה ברמת הסויטש.
תעשה TAG ל VLAN2 וכבר בהגדרת הפורט יופיע/יחסם מה שאינך יכול לבחור,

...

·

טוב צריך להתחיל מזה, שלא יעזור לו ליצור VLANS במתג, אם אין נתב שיכול להזין אותם. VLAN, זה בסך הכל סוג של כבל רשת לוגי שמחבר מספר פורטים בינהם. אם אין בצד אחד נתב שיתמוך ( יתחבר ) ל VLAN כלשהוא, אז אין טעם להגדיר את VLANS כלל. אופצייה אחרת, היא שיש שני נתבים, שכל אחד מהם מתחבר ל VLAN אחר וכל אחד מהם משרת לקוחות שונים ( אבל, זה לא רלוונטי למקרה שלנו ). בכל מקרה לא יעזור להגדיר על TAG ל VLAN2 על פורט מסויים, כי זה לא נותן כלום לשימוש שלו. את התיוג ל VLAN מסויים או על כמה VLANS על אותו פורט מגדירים במקרה שמחובר לפורט זה רכיב רשת שתומך בזה ויודע וצריך להתממשק למספר VLANS במקביל, כל אחד על כרטיס רשת וירטואלי אחר. למשל זה יכול להיות נתב במקרה שלו או במקרים רחבים יותר זה יכול להיות קישור בין שני מתגים או חיבור לשרת שמחובר למספר תתי רשתות.
בכל מקרה, אפשר לסכם את הנושא, שלתייג פורט שמתחבר למחשב ביתי לא יעזור לו בכלום.

[eyalpo]

לא אמרתי בשום מקום שיש קשר בין bandwidth ל VLANs. מבחינתי הקשר היחיד הוא ששניהם נתמכים ע"י המתג שלי ולכן חשבתי שאפשר יהיה לקנפג את הכל רק בו.
הגדרתי בנתב bandwidth control על פורט 8 של 20MB ובדיקת speedtest מראה שהורדה מהרשת מגיעה למקסימום של 20. למה זה חייב להיות על הנתב?
ועכשיו שאמרת שאני צריך מתג L3 אז אני גם מבין שהנתב שלי לא מתאים לזה (בשונה מ "כבר פעמיים הסברתי את מה שאתה צריך" שלא ממש עוזר)
תודה על העזרה!

[sys_admin]

טוב אנסה פעם אחרונה. בשביל להפריד את הרשת ל VLANS , כמו שכבר כתבתי צריך גם נתב שיודע לתמוך ב VLANS וליצור בו שני תתי רשתות נפרדות. אחרת זה יהיה מיותר ולא שמיש. כל VLAN חייב להיות עם טווח כתובות משלו שהנתב מנהל ומנתב אותם, זה כל הסיפור. בקשר למתג L3 מתקדם, כתבתי שהוא יכול לעשות זה, בגלל שמתג L3 מתקדם, הוא גם נתב, רק כמו שכתבתי, הוא גם יהיה יקר לשימושים שלך וגם יצריך שרתים שיפעילו את היכולות שלו.

[eyalpo]

כן כבר הבנתי את זה, לא היה צורך לחזור. רק הערתי על הגישה של התשובות שלך.

bandwidth control בהקשר לגישה לאינטרנט לא קשור למתג, אלה בנתב. גם את זה כתבתי כבר בשרשור הקודם

...

אוקיי כבר כתבת את זה בשרשור הקודם. תוכל להסביר למה ה bandwidth control על המתג לא פותר לי את הבעיה שהיחידה יכולה לזלול לי את ה bandwidth? כמו שאמרתי הניסיון שעשיתי הראה שגישה מהרשת של היחידה לא יכולה לעבור את הקצב שהגדרתי.

[sys_admin]

@eyalpo
·
למשל בגלל את הרוחב פס שרוצים להגביל זה לא את כל הרוחב פס בתוך הרשת הפנימית, אלה רק את הרוחב פס של גישה לאינטרנט ובתוך הרשת הפנימית לא צריכה להיות הגבלה כזו. ומעוד סיבות רבות ומגוונות.

[eyalpo]

אוקיי אבל במקרה שלי שברשת הפנימית יש ראוטר שמחלק כתובות, התקשורת הפנימית לא אמורה להגיע למתג. אני מבין נכון?

[sys_admin]

@eyalpo
·
ברגע שכבר קיים נתב אחד ברשת ביתית וגם קיים בה מתג, אסור שיהיה בה עוד נתב אחד שמבצע NAT באותה רשת. אחרת ייווצר מצב של Double NAT , דבר שגם פוגע בביצועי רשת, גם לא מאפשר עבודה תקינה ושימוש בשירותי אינטרנט מסוימים וגם מיותר משאר הסיבות שצריכות להיות מובנות. בכל מקרה, המתג שקיים צריך להיות מספיק בכדי לחבר את כל הנקודות רשת בבית. בדרך כלל, מתג עם 24 פורטים, זה יותר ממספיק לבית ממוצע, אפילו עם יש בו יחידת דיור. יש מקומות שצריך בהם פחות נקודות, נגיד דירות קטנות, אז יש גם מתגים קטנים יותר עם כ 16 פורטים.

[eyalpo]

המתג שיש לי אכן מחבר את כל הנקודות אבל אני משתמש בראוטרים נוספים כ Access Points כדי להגדיל את טווח הקליטה (למשל בקומה שנייה) וביחידה שמתי ראוטר אבל הגדרתי אותו גם כמחלק כתובות (כלומר מחובר ביציאת ה WAN שלו). אני מבין עכשיו שזה גורם לבעית ה Double NAT אז אהפוך גם אותו ל Access Point - תודה על ההסבר.
עדיין - כשאהפוך אותו ל AP, אני מצפה שהתקשורת הפנימית ביחידה תשאר ביחידה ולא תגיע למתג, נכון?

[sys_admin]

עדיין - כשאהפוך אותו ל AP, אני מצפה שהתקשורת הפנימית ביחידה תשאר ביחידה ולא תגיע למתג, נכון?

...

·

לא נקודת גישה, בניגוד לנתב, היא רק גשר ברמה של L2 . ובגלל זה, היא רק מגשרת בין רשת קווית לממשק האלחוטי.
אתה באמת צריך נקודת גישה בכל הבית, כולל גם ביחידת דיור בכדי לתת כיסוי של רשת אלחוטית, אבל, אם לפני זה הנתב שלך לא יבצע הפרדה של הרשת שלך לשני רשתות משנה מבודדות והמתג לא יחבר את הנקודות רשת הנדרשות לרשת מתאימה, ואם זה לא יבוצע לפני זה, לא יהיו לך שני רשתות נפרדות.

[eyalpo]

את נושא הפרדת הרשתות אני מבין. ברור לי שתהיה גישה ביניהן אם לא אעשה מה שהסברת למעלה.
הנושא של ה AP לא כזה קריטי אבל עדיין מעניין אותי להבין:
יש לי ראוטר שאני לא משתמש ביציאת ה WAN שלו אלא מחבר יציאה אחת שלו למתג החכם (ומשם לראוטר של בזק) ועוד שתי יציאות לשני PCs.
כאשר יש תקשורת בין שני ה PCs אני מצפה שכל התקשורת תעשה בתוך הנתב (שמשמש בעצם כמו מתג טיפש) ולא תעבור הלאה למתג ותחזור חזרה ואז לא אמורה להיות השפעה של bandwidth control שעשיתי במתג. נכון?

[eyalpo]

@sys_admin
רק רציתי להגיד תודה - עשיתי מה שאמרת (הגדרת ה VLANs בנתב ובמתג) והכל עובד כמו שצריך!