Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » VLAN

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26

Открыть новую тему     Написать ответ в эту тему

Invader Zim

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
urodliv
вот
https://fex.net/#!128143310199
 

Цитата:
Всё можно сделать. Главное знать как

Та то понятно. Просто если ты помнишь особенности специфических железок это одно, а я ничего сложнее домашнего роутера не настраивал, посмотрел на интерфейс микротиков и чуть в обморок не упал

Всего записей: 101 | Зарегистр. 20-09-2011 | Отправлено: 11:18 21-11-2017
urodliv



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Invader Zim
Значит так. Ты хочешь всех начальников в одну подсеть "загнать". Зачем? Это бессмысленно.
Кстати, перечитал всю переписку. Я до сих пор не понимаю, зачем ты всех хочешь "разогнать" по VLAN`ам. Если у тебя есть отдельный файл-сервер, то отбери у пользователей административные права и закрой все "шары" на локальных машинах. А на файл-серевере уже разграничивай доступ к каталогам для различных групп.
А если всё-таки хочется vlan`ов, то:
1. разграничивать надо по функционалу;
2. port-base VLAN при такой архитектуре бессмысленен;
3. VLAN на основе 802.1q потребует подключения управляемого устройства в местах, где сходятся трафики различных групп;
4. VLAN на основе MAC-адресов потребует оборудования другого уровня, нежели вы предлагаете.

----------
Очень скоро еда станет совершенно безвкусной, и тогда этот недостаток придётся компенсировать хорошо развитым воображением.

Всего записей: 6692 | Зарегистр. 29-04-2009 | Отправлено: 18:06 21-11-2017
Invader Zim

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
urodliv

Цитата:
Я до сих пор не понимаю, зачем ты всех хочешь "разогнать" по VLAN`ам

ну, типа каждый отдел в свою подсеть и ограничить доступ между подсетями, оставить доступ только к необходимым ресурсам типа файлового сервера и сервера с 1с и типа того. Для безопасности в общем. Или предлагаешь тупо всем статику прописать в пределах одной сети?
 

Цитата:
А на файл-серевере уже разграничивай доступ к каталогам для различных групп.  

на серваке NAS4Free(FreeBSD) для хранения резервных копий и небольшой помойки, я ещё не разобрался как, кроме как по айпи адресу, ограничивать доступ
 

Цитата:
3. VLAN на основе 802.1q потребует подключения управляемого устройства в местах, где сходятся трафики различных групп;  
4. VLAN на основе MAC-адресов потребует оборудования другого уровня, нежели вы предлагаете.

 
Т.е  MikroTik RB2011UiAS-2HnD-IN в качестве роутера и TP-LINK TL-SG2008, TP-LINK TL-SG105E как управляемые свичи не подойдут?
Интерес перевести всю сеть на Гигабит, а то архивы по 8Гб на 100Мб сетке льются по пол часа.
 
ЗЫ: конец года, бюджетники, надо потратить оставшееся бабло, хотелось бы потратить с умом..

Всего записей: 101 | Зарегистр. 20-09-2011 | Отправлено: 08:01 22-11-2017
goletsa



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Invader Zim

Цитата:
Т.е  MikroTik RB2011UiAS-2HnD-IN

Это очень смешной роутер для роутинга вланов на гигабитных скоростях.
Архитектуру его посмотрите сначала.
 
 
Добавлено:

Цитата:
на серваке NAS4Free(FreeBSD) для хранения резервных копий и небольшой помойки, я ещё не разобрался как, кроме как по айпи адресу, ограничивать доступ  

Он умеет терминировать вланы напрямую.

Всего записей: 5801 | Зарегистр. 21-06-2005 | Отправлено: 02:06 24-11-2017
Invader Zim

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Это очень смешной роутер для роутинга вланов на гигабитных скоростях.  
Архитектуру его посмотрите сначала.  

Т.е 50 пользователей разбить на 10 подсетей с помощью вланов этот роутер на вытянет?  
 
А если без вланов, подсети прописать статикой на ПК а на уровне роутера запретить локальный трафик между подсетями кроме определённых серверов, так можно?

Всего записей: 101 | Зарегистр. 20-09-2011 | Отправлено: 14:40 24-11-2017
goletsa



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Invader Zim

Цитата:
Т.е 50 пользователей разбить на 10 подсетей с помощью вланов этот роутер на вытянет?  
 

Дело не в подсетях, дело в объемах трафика и количестве пакетов в секунду.
Он тупо не отроутит через себя много трафика за счет кукурузности процессора и внутренней архитектуры  
   
теоретически на больших пакетах может он гиг до 5 портового свича сможет утилизировать, но маловероятно, я бы ставил на несколько сотен мегабит.

Всего записей: 5801 | Зарегистр. 21-06-2005 | Отправлено: 17:58 24-11-2017
Invader Zim

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Он тупо не отроутит через себя много трафика за счет кукурузности процессора и внутренней архитектуры  

блин, а что надо-то ставить чтоб выжать гигабит, из недорогого?
сейчас стоит дир300 который давно пора выкинуть в форточку

Всего записей: 101 | Зарегистр. 20-09-2011 | Отправлено: 22:46 24-11-2017
alexnov66



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Invader Zim

Цитата:
блин, а что надо-то ставить чтоб выжать гигабит, из недорогого?  

Возмите хотя бы такой
 
RB3011UiAS-RM
 
Тест вашей модели и этой

Всего записей: 1237 | Зарегистр. 29-08-2005 | Отправлено: 03:27 25-11-2017 | Исправлено: alexnov66, 04:05 25-11-2017
Invader Zim

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Возмите хотя бы такой  
 
RB3011UiAS-RM  

 
к сожалению в стоечном исполнении мне не подходит, ставить некуда
 
кстати, есть RB750Gr3 который по характеристикам вроде как круче(MT7621A 880 МГц, 2 ядра и 4 потока, RAM:256 MB), он мощнее RB2011UiAS-2HnD-IN в плане выжать гигабит по сетке?

Всего записей: 101 | Зарегистр. 20-09-2011 | Отправлено: 11:02 25-11-2017 | Исправлено: Invader Zim, 11:13 25-11-2017
vlary



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Invader Zim
А зачем тебе гонять гигабиты через роутер?
С маршрутизацией между VLAN лучше всего справится свич L3.
Что касается бюджетности решения, то тут бы я подумал о его
необходимости как таковой, которая далеко не очевидна.
Вряд ли сеть вашей конторы достигла таких размеров, что нуждается в фрагментации.
А если речь идет о разделе прав доступа, то это дешевле и проще
решить с помощью программных средств.

----------
Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек

Всего записей: 17280 | Зарегистр. 13-06-2007 | Отправлено: 11:07 25-11-2017
Invader Zim

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
А зачем тебе гонять гигабиты через роутер?  

После вирусных атак всяких шифровальщиков у меня главная задача настроить создание резервных копий пользовательских данных(документы и т.д) и хранить их(1 копия архива у самого пользователя на ПК, 1 на серваке который под NAS4Free(FreeBSD), и 1 на внешнем ХДД), большие архивы по 5-10Гбайт долго льются на сервак по 100Мб сетке, на 1Гб если не в 10 то в 3-5 раз точно быстрее.
 

Цитата:
С маршрутизацией между VLAN лучше всего справится свич L3.  

я так понимаю с TP-LINK TL-SG2008 и TP-LINK TL-SG105E я в пролёте? они только Л2?
 

Цитата:
Вряд ли сеть вашей конторы достигла таких размеров, что нуждается в фрагментации.  
 

я хочу запретить трафик между подсетями, т.е чтобы к расчётному отделу(пускай будет 192,168,2,0/24) никто вообще не мог долезть, у них внутри подсети есть возможность пользоваться шарами/сетевыми принтерами и т.д, а другие отделы ничего не должны об этом знать. В этом я вижу хоть какую-то безопасность, возможно я заблуждаюсь.
 

Цитата:
А если речь идет о разделе прав доступа, то это дешевле и проще  
решить с помощью программных средств.
 

это на ПК юзеров в виндовом(или другом) фаерволле разрешить трафик только из своей подсети? ммм... как-то мне кажется что на уровне железа будет надёжней

Всего записей: 101 | Зарегистр. 20-09-2011 | Отправлено: 11:36 25-11-2017
Paromshick



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Invader Zim

Цитата:
После вирусных атак всяких шифровальщиков у меня главная задача настроить создание резервных копий пользовательских данных(документы и т.д)
Это вам лучше тему приподнять какую-то, связанную с правильной организацией файловой службы на предприятии. Интересно будет. Хранить же и бэкапить всё локальное фало юзеров, и некошерно, и не феншуйно.

Цитата:
я так понимаю с TP-LINK TL-SG2008 и TP-LINK TL-SG105E я в пролёте? они только Л2?
Гуглить модели, естественно, лень, но маршрутизируется только IP. А это L3 Есть дешевый выход\вход. Поставить межу подсетями роутер аля венда с включенным компонентом routing and remote access. 2008 - вполне. Две платы по 1G спасут отца русской демократии.

Цитата:
В этом я вижу хоть какую-то безопасность, возможно я заблуждаюсь.  

Если будет роутинг, то безопасность состоит лишь в том, что они не будут "стоять с плакатами" в сети, мол у меня шара. Прочее же останется, как было.

Цитата:
это на ПК юзеров в виндовом(или другом) фаерволле разрешить трафик  

Не надо вам никаких стенок. Мозги сломаете и процессор перегреете

----------
Скучно

Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 12:44 25-11-2017
Invader Zim

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Это вам лучше тему приподнять какую-то, связанную с правильной организацией файловой службы на предприятии. Интересно будет.

ткните носом где почитать
 

Цитата:
Хранить же и бэкапить всё локальное фало юзеров, и некошерно, и не феншуйно.  

не "всё", только то что относится к рабочим документам
бэкапы разностные пару раз в неделю
 

Цитата:
Гуглить модели, естественно, лень, но маршрутизируется только IP.

http://www.tp-linkru.com/products/details/cat-40_TL-SG2008.html#specifications
есть только про "Функции 2 уровня"
 

Цитата:
Поставить межу подсетями роутер аля венда с включенным компонентом routing and remote access. 2008 - вполне. Две платы по 1G спасут отца русской демократии.  

я правильно понимаю что сеть будет вида
интернет провайдер ---- роутер ---- "венда с включенным компонентом routing and remote access" ---- гигабитный свич ---- подсеть№1/подсеть№2/подсеть№3....  
 

Цитата:
Если будет роутинг, то безопасность состоит лишь в том, что они не будут "стоять с плакатами" в сети, мол у меня шара. Прочее же останется, как было.  

как тогда сделать как я хочу - огородить подсети друг от друга? вланами как я понимаю?
 

Цитата:
Не надо вам никаких стенок. Мозги сломаете и процессор перегреете  

Не, ну постебались и хватит "А если речь идет о разделе прав доступа, то это дешевле и проще  
решить с помощью программных средств."  только сейчас дошло что скорее всего имеется ввиду домен с АД
 

Всего записей: 101 | Зарегистр. 20-09-2011 | Отправлено: 14:23 25-11-2017
vertex4

Moderator
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

Цитата:
венда с включенным компонентом routing and remote access

это самый бредовый вариант. ещё и безумно дорогой. Если уж хочется отдельный программный роутер - это linux, или pfsence из более простых

Всего записей: 10393 | Зарегистр. 29-01-2006 | Отправлено: 14:48 25-11-2017
Invader Zim

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
pfsence из более простых

пробовал, устанавливал версию 2,3 на старом пк собранном из говна и палок(атлон 1,8/1гб озу/риалтековские сетевухи), работать то оно у меня заработало, но ума как разбить локалку на подсети не хватило, у пользователей рандомно инет с локалкой отваливались, видимо намудрил с VirtualIP
 
если городить более-менее адекватный роутер на pfsence, какое железо надо для маршрутизации 50 клиентов(стационарные ПК) на 1Гбит + 50 через беспроводные точки доступа?
Dell PowerEdge T30 (210-AKHI) - такого хватит?

Всего записей: 101 | Зарегистр. 20-09-2011 | Отправлено: 15:07 25-11-2017
vlary



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Invader Zim
Цитата:
ткните носом где почитать
Юзай фильтр и поиск. Вот давнишняя тема:
Дизайн файлового хранилища  
Если есть конкретные вопросы, можешь ее приподнять.
А вообще-то каждый строит это под свои потребности и возможности,
потому каких-то стандартов здесь нет.
Цитата:
только сейчас дошло что скорее всего имеется ввиду домен с АД  
Ну, если народу в конторе более 50 человек, можно и про АД подумать.
Но одним АД перечень  не ограничивается. Даже используя рабочие группы или Самбу,
доступ можно вполне разделять и ограничивать.    
 


----------
Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек

Всего записей: 17280 | Зарегистр. 13-06-2007 | Отправлено: 15:37 25-11-2017
Paromshick



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
vertex4
Все так озабочены набиванием карманов МС, как будто здесь в подвале нет варезника. Ржунимагу. Надоело. Бредите и безумствуете именно именно вы, пингвинствующие. Давно уже  из нищебродов-энтузиастов превратились в заевшихся снобов, а всё туда же... Поучать. При этом не помогать. А у самих, у чад, - венда ворованная
 
Invader Zim
Насчет роутинга, организовывайте как хотите, конечно. Железное решение всяко лучше. Только уточняйте в доках, что там и как. Вам внутренний роутер нужен, а не интернет шлюз. Интернет шлюз оставьте интернету.
Выносные решения могут быть любые. Если вам нужен дружественный интерфейс, подробные инструкции на русском, многочисленное коамьюнити, долго осваивать новое, ловить кучу лулзов, получать советы типа "ты ламер" и просительно ждать ответов гуру, то это  - linux. В противном случае, ответ вам понятен. У МС 10 летний срок жизни продуктов, после этого они практически списываются с баланса и "подтянуть" за них могут только в пингвинских мечтах. Если вам критично, то 2000AS поставьте и тоже самое будет. 2003. Далее по списку. Ставите 2 интерфейса в каждую подсеть, указываете их шлюзами на клиентах (route add -p подсеть адрес или DHCP), включаете компонент, и выбираете РОУТЕР. Это всё. НЕ NAT. Роутер. Стоит - пыхтит себе. Вы спокойно и не торопясь познаете азы маршрутизации.
Совсем кртично? Мыльницу роутящую.
Очень очень критично? Так, пардон, тысяч за ... немного очень критичный вопрос решается покупкой l3 switch. На Маркете -полно, там ицены.
Только не ставьте то, что вам включит всё самое лучшее вас не спросив. На скорость не выйдете и гиморой наживёте.
Но лучше купите то, что вам надо.
Впрочем, я не уверен, что вам это надо.
 

Цитата:
ткните носом где почитать  

Кнопка есть: создать тему Там можно будет обссудить
Цитата:
не "всё", только то что относится к рабочим документам  
и как оно превращается во "всё подряд".
Почему доки должны храниться централизовано на сервере.
Как они там должны быть разложены.
Дедуплицированы.
Тенево закопированы
Реплицированы
Забэкаплены.
Чем.
Кто это умеет из коробки
 
Это всё - "носом"

Цитата:
 правильно понимаю что сеть будет вида  

не правильно. Достаточно загуглить... Дайте я погуглю за вас... Вот... То можно в картинках увидеть, что шлюз - где-то сбоку. Именно шлюз инета. В центре - роутер, да, шлюз, но: для кажлой подсети и не инета.
Опять же, это не вилан... это офтоп...
 

Цитата:
вланами как я понимаю?

Если вы воткнете бухгалтерию в один свитч, а менеджеров в другой, то вы отгородите их виланами. Только железными. Решение - 1 в 1. Только в случае софтового, у вас виртуальные свитчи будут жить в железных. Понятно, да...
Если вы дадите им общий шлюз интернета,  -- то это то решение, которое вы имеете в виду.
Если вы на этом шлюзе, шлюзе интернета, попробуете зароутить свитчи\подсети между собою, то - наживете гимор (это не стёб) процетнов так 75 даю. И процессор здесь реально задействуется. Хороший межсетевой экран с хорошей скоростью стоит хороших денег. Офтоп опять же. Сабж же в том, что он внутри сети - не нужен.
Если же вы, воткнёте свои свитчи в какой-то внутренний  роутер, а уже в этот роутер воткнете шлюз инернета, то вы получите классическую сеть, разделенную на подсети и имеющую интернет.
Тогда.
Каждая подсеть имеет шлюз по умолчанию - роутер. Он-то и знает, на каком интерфейсе у него какая подсеть и роутит их. Другие о других - судят рано - "за пределами подсети" - пакет на шлюз по умолчанию.
Если запрос в подсеть, которая не имеется в таблице, то роутится на 0.0.0.0 - ваш шлюз инета.
Это принцип, алгоритм с основными условными переходами.
Приятного прочтения.

----------
Скучно

Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 16:16 25-11-2017 | Исправлено: Paromshick, 16:26 25-11-2017
Invader Zim

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
А вообще-то каждый строит это под свои потребности и возможности,  
потому каких-то стандартов здесь нет.  

 
У меня на данный момент потребность перевести всю сеть на гигабит и ограничить трафик между отделами, даже если в отделе два сотрудника.  
И у меня такое чувство, что каждый раз когда я пытаюсь объяснить зачем я хочу ограничить пользователей меня просто не слышат, или я не так объясняю. Взять ту же ситуацию с шифровальщиком пЭтей - если кто-то поймает на своём ПК шифровальщик он сразу полезет дальше по всей сети, а если он ограничен подсетью из двух-пяти машин? потери ведь существенно меньшие.  
А если взять не бухгалтерию, а здание больницы в семь этажей и десятком отделений? задача ведь аналогичная - как изолировать отделения в сети друг от друга. Как и на каком железе это сделать я и спрашиваю совета, вот.

Всего записей: 101 | Зарегистр. 20-09-2011 | Отправлено: 16:17 25-11-2017
Paromshick



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Поправил чуть. Отвлекали, панимашь.
 
Добавлено:
Invader Zim
В принципе, вы правы насчет виланов. Но насчет шифровальщиков не совсем. Патчить надо вовремя

----------
Скучно

Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 16:26 25-11-2017
Invader Zim

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Paromshick
Т.е приблизительно так оно должно выглядеть?
 
-Интернет провайдер
 
--Роутер-шлюз интернета(какую железку надо? простого SOHO тплинка/длинка хватит?); получает инет от провайдера и передаёт его дальше на внутренний роутер
 
---внутренний роутер гигабитный на 5 портов(типа RB750Gr3); 1ым портом соединён с роутером интернета, 2-5 порты подключены к управляемым свичам типа TP-LINK TL-SG2008/TP-LINK TL-SG105E
 
----управляемый свич (TP-LINK TL-SG2008/TP-LINK TL-SG105E); 1ым портом соединён с внутренним гигабитным роутером, на 2ом порте назначен вилан кабель от которогу уходит в отдел к сотрудникам одного отдела, на 3ем порте назачен другой вилан кабель от которого уходит в другой отдел к другим сотрудникам, на 4-8 портах аналогично для каждого отдела свой вилан
 
-----неуправляемый гигабитный свич(TP-Link TL-SG1008D) в отделе с сотрудниками; 1ым портом соединён с управляемым свичём, портами со 2-8 соединён с ПК пользователей.
 
------ПК пользователей получают настройки сети от вилана управляемого свича
 
Так? Какая подсеть привязана к какому вилану настраивается на внутреннем роутере?
 
Добавлено:
Походу я тупанул с управляемыми свичами, TP-LINK TL-SG2008 это Л2 свичи, и их надо заменить на Л3 типа как советовали выше RB3011UiAS-RM (вообще у микротика непонятно разделение, вроде есть именно Л3 CRS112-8G-4S-IN, но лучше он или хуже от RB3011UiAS-RM я не пойму), а уже в отделы ставить Л2 типа TP-LINK TL-SG2008.  
Так? или я в очередной раз всё не так додумал ?

Всего записей: 101 | Зарегистр. 20-09-2011 | Отправлено: 17:16 25-11-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » VLAN


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru