Доброго времени суток) Подскажите пожалуйста, можно ли через транк порт как-то транслировать не все vlan'ы? На одном из vlan"ов должна висеть локалка для внутреннего пользования и необходимо чтобы маршрутизатор (шлюз в интернет) никак с этой сетью через транк порт контактировать не мог. Это возможно?

Какие устройства?

Какие устройства?

Маршрутизатор смотрящий в интернет, локальная сеть за ним разбитая по vlan'нам и ещё одна локалка внутренняя, которая не должна потенциально соприкасаться с интернетом в принципе и маршрутизатором его раздающим в том числе.

Это ответ мальчика, а не сетевого инженера

draw.io схемку рисуй

Немного занудства. У VLAN женский род, т.к. виртуальнАЯ локальнАЯ. То есть "в одной из VLAN" правильнее.

Так даже в учебниках длинк пишут:)

это не корректно

Немного занудства. У VLAN женский род, т.к. виртуальнАЯ локальнАЯ. То есть "в одной из VLAN" правильнее.

А если смотреть в первоисточник? virtual local area network у network вообще средний род.

так что VLAN это он.

в английском нет разделение в данном контексте на рода

Причем тут вообще английский?

Я писал по русски

потому что VLAN -- английская аббревиатура и нет устоявшегося, широко используемого перевода на русский этой аббревиатуры.

LAN - "локалка", т.е. "она". А "виртуальная локалка", внезапно, "он"?

коммутация - она, а коммутатор, внезапно, он

Пфф

Как хотите

мы говорим vlan, подразумеваем vlan tag, а это ну уж точно он.

"На одном из vlan"ов должна висеть локалка" = один из vlan tag'ов используется для локалки.

tag лично для себя я перевожу как "метка", то есть тоже женский род:)

Хотя тут возможны варианты

ярлык епта

может у тебя еще и матчество? ?

не стоит переводить техническую литературу дословно

@Dark_Nevis можно консультацию по дфл? у меня на нем есть два ипсека в туннельном режиме. надо из одного плеча попасть на хттп ресурс в другом плече церез дфл. Я так понимаю мне надо маскарадить. как это лучше сделать, через IP Policy или IP Rule ?

http service знает о сети 192.168.44.0/24?

не

тут не столько по дфл, сколько сначала надо топологию понять

@Dark_Nevis можно консультацию по дфл? у меня на нем есть два ипсека в туннельном режиме. надо из одного плеча попасть на хттп ресурс в другом плече церез дфл. Я так понимаю мне надо маскарадить. как это лучше сделать, через IP Policy или IP Rule ?

Нафиг маскарад? Роуминга между ними нет?

варианта два: 1) дать им знать об этой сети, маршрутом 2) если не, то нат/маскарадинг

если на циску прилетит ипсек с пакетом из локалки 44,0/24 она его отбросит. ибо полиси у нее таких нет

@Dark_Nevis можно консультацию по дфл? у меня на нем есть два ипсека в туннельном режиме. надо из одного плеча попасть на хттп ресурс в другом плече церез дфл. Я так понимаю мне надо маскарадить. как это лучше сделать, через IP Policy или IP Rule ?

Нее, тут сам ipsec не пустит его надо обманывать. Тут все решается через ip4 group на одном группа из лан и нужной сети, устанавливаем её в локал нет а на другом такую группу в remote net после это уже нат заработает

эээ

я не понял

нужно также чтобы из 55,0/24 доступ тоже остался

я планировал маскарадить его как 192,168,55,1

░где смотреть ип4 груп?

в объектах?

я планировал маскарадить его как 192,168,55,1

Скажем так, DFL не пустить в тоннель трафик с source или destination , который отсуствует в SA, или проще, если подсеть назначения не описана в remote net то хоть что не делай, dfl этот трафик н епустит

:(

план Б? поднимать в 55,0/24 РДП?

:(

А вот чтоб описать используем группы, внимательно изучаем мой первый пост

через ip4 group на одном группа из лан и нужной сети, устанавливаем её в локал нет а на другом такую группу в remote net после это уже нат заработает

я не осилил эту мысль

можно поподробнее?

Добро пожаловать в группу D-Link Russia! poiz, прочитай правила

Эмм... ну попробую... Ну вот допустим топология 192.168.10.0/24—DFL1——-DFL2—-192.168.11.0/24—router—-192.168.12.0/24

при этом не важно где должна быть сеть 192.168.12.0/24 на wan, lan DMZ и т.д.

Коллеги, доброе утро, есть вопрос по поводу DXS 3600, ткните носом, может быть, не понимаю как повесить несколько community в route-map.

на DFL 1 в качестве remote network устанавливаетм группу из 192.168.11.0/24 и 192.168.12.0/24

я не могу повлиять на плечо с циской где находятся хттп сервисы

на DFL2 устанавилваем группу ил подсетей 192.168.11.0/24 и 192.168.12.0/24 в качестве local network в тоннеле

т.е. которое по схеме получается DFL1

а вот после этого можно натить как угодно

самое левое

ну как бы если нужная подсеть отсуствует в SA.... тады ой..

если на циску прилетит ипсек с пакетом из локалки 44,0/24 она его отбросит. ибо полиси у нее таких нет

Я вот эту наркоманию с полиси не осилил и всегда делаю ипсек без этого. Просто туннель, который шифрует все, что идет внутри. В циске это вроде IPsec VTI

эээ

это как

Адреса сетей вообще никак не должны фигурировать в настройках ipsec.

Адреса сетей вообще никак не должны фигурировать в настройках ipsec.

На DFL можно такую же штуку сделать) просто там надо заморочиться с оббъектами и маршрутизацией, но это не как не совсем безопасно и имеет смысл применять пожалуй в основном с динамической маршрутизацией ШЬРЩ

ERROR: S client not available

IMHO

Вечером могу скинуть примеры настройки циско/циско и циско/микротик.

Все по другому оборудования в личку...

Ну динамическая маршрутизация разумеется должна быть

если в общий фрейм будем отстреливать

в том и прикол что циски у меня нет. у меня есть дфл. и мне нужно его настроить

в том и прикол что циски у меня нет. у меня есть дфл. и мне нужно его настроить

Ну так что мешает то настроить так между DFL и хостом hap ac2 ?

а на DFL в сторону кошки просто натить

и будет счастье..

а на DFL в сторону кошки просто натить

так я этого и хотел изначально

я планировал маскарадить его как 192,168,55,1

вот такой был план

Ну так DFL в свой тоннель в сторону кошки НИЧЕГО не пустит, если не прописать в тоннели между DFL и hap ac2 нужные адреса

вот после этого пустит и можно будет натить

мне в полиси между дфл и хап ац надо дописать 10,10,10,55 и 10,15,15,11 ?

хотя.. так не получится. 10,10,10,55 и 10,15,15,11 они же на другом ипсеке

я могу на микроте прописать маршруты для 10,10,10,55 и 10,15,15,11 ходить через 192,168,55,1

на DFL создаем IP4 группу из 192.168.55.0/24 и 10.10.10.55 и 10.15.15.11 и ставим это на тоннели в local network а на хосте hap ac2 в качестве удаленной ну или туда можно 0.0.0.0/0 вкорячить, но тупа маршрутами вручную уже разрулить..

и тут должна произойти магия

Так теоретически работать будет

и на DFL после этого можо будить натить трафик в сторону кошки

Сбросил. Не помогло. Ещё нашел проблему с переводом. Раздел Межсетевой экран/ зашита от DoS

спасибо, разрабам отписал, чет в морде поломали

и на DFL после этого можо будить натить трафик в сторону кошки

первый этап сделал.

как натить лучше, через ип полиси или ип рул?

Да без разницы, что удобнее

я политикуиспользую, уже привык

А кто скажет на dsr 500, a1, буржуйскую прошивку где брать?

А кто скажет на dsr 500, a1, буржуйскую прошивку где брать?

там же где и все остальные

tsd.dlink.com.tw

На dsr, ни разу не брал

Возьмём тама.