Çapraz VLAN Görünürlük

Bir VLAN'ı nasıl yapabileceğimi (A olarak isimlendirelim) başka bir VLAN (nasıl B olsun) görsem ve B VLAN'ın A VLAN görmemesini istiyorum.

Bu yapılandırmayı Windows sunucusu için istediğim için söylüyorum.

VLAN'lar iki ayrı ayrı ağla aynı şekilde çalışır: birbirlerini varsayılan olarak " görmezler " ve yalnızca bir yönlendirici aracılığıyla iletişim kurabilirler (her ikisi de VLAN'ları yapılandırılmış, muhtemelen "etiketli" arayüzler olarak). Dolayısıyla, belirli iletişim türlerini önlemek istiyorsanız, yönlendiricinin güvenlik duvarı kurallarında bunu yapardınız.

Ve genel olarak, sen yapmak VLAN konfigürasyonu destekleyen bir anahtar gerekir. (Windows bunu ancak Hyper-V VM'ler için de bir anahtar görevi gördüğü zaman yapabilir.) VLAN'ları doğrudan son ana bilgisayarlara yapılandırmak iyi bir fikir değildir - bunları zorlayacak hiçbir şey yoksa, o zaman çok güvenli değildir.

(Ayrıca, Hyper-V "sanal anahtar" modunu saymazken, Windows aslında yerel VLAN yapılandırmasına sahip değildir. Bazı sürücüler bunu sağlar; bazı sürücüler yapmaz; bazı sürücüler VLAN etiketini yok sayarak tüm paketleri kabul eder ... Linux ve BSD'ler bu konuda daha esnektir.)

Örneğin (bunun gerçekten iyi olup olmadığından emin değilsiniz ancak teknik olarak çalışıyor):

• Anahtar:

  • Bağlantı noktası 1 (VLAN etiketli 10, 20) → yönlendirici
  • Port 2 (etiketsiz VLAN 10) → sunucu
  • Port 3 (etiketsiz VLAN 20) → masaüstü bilgisayar

• Router (Linux örneği):

  • "Eth0" arayüzü (etiketsiz) - hiçbir şey (belki yönetim IP? Dunno)
  • "Eth0.10" arayüzü (VLAN 10) - adres 192.168.10.1/24
  • "Eth0.20" arayüzü (VLAN 20) - adres 192.168.20.1/24
  • Güvenlik duvarı yeni bağlantılara izin verecek şekilde yapılandırıldı 192.168.10.0/24, ancak yalnızca her şeyden beklenen yanıtları verdi. (Linux'ta "FORWARD" zinciri ve "-m state" ile iptables olur)

• Sunucu:

  • "Ethernet" arayüzü - adres 192.168.10.3/24

• Masaüstü bilgisayar:

  • "Ethernet" arayüzü - adres 192.168.20.7/24