Denne artikel beskriver, hvordan du konfigurerer routing-VLAN'er på en NETGEAR-administreret switch med delt adgang til internettet.
Bemærk: Trinnene og skærmbillederne i denne artikel gælder for administrerede NETGEAR-switche, der kører firmwareversion 11 og nyere.
I dette eksempel er der konfigureret tre VLAN'er på kontakten:
- VLAN 10/netværk 192.168.10.0 (maske 255.255.255.0)/porte 1-10
- VLAN 20/netværk 192.168.20.0 (maske 255.255.255.0)/porte 11-20
- VLAN 30/netværk 192.168.30.0 (maske 255.255.255.0)/porte 21-28
Enhederne i hvert VLAN har tilladelse til at kommunikere med enheder i andre VLAN'er, fordi routing er aktiveret på switchen. Denne Inter-VLAN-kommunikation kan begrænses ved hjælp af valgfrie adgangskontrollister eller ACL'er (beskrevet senere i denne artikel).
Enhederne i hvert VLAN får adgang til internettet via den internetgateway, der er forbundet i VLAN 10. I dette eksempel er internetgatewayen ikke konfigureret til at være VLAN-opmærksom. Switchen dirigerer trafik mellem VLAN'er, fra enhederne i VLAN'er 10, 20 og 30 til internet-gateway'en og tilbage.
Nedenfor finder du et simpelt diagram, der viser en oversigt over netværket.
Opret VLAN'erne.
- Log på kontaktens administrationsside.
- Gå til Ruteplanlægning - VLAN - VLAN Statisk routing Wizard.
- Indtast VLAN-id'et, IP-adressen og netværksmasken for VLAN'et. I dette eksempel er disse værdier:
VLAN ID: 10
IP Address: 192.168.10.254
Network Mask: 255.255.255.0 - Vælg de porte, der skal føjes til VLAN'et. Porte, der tilsluttes slutenheder som f.eks. pc'er, skal markeres som umærkede (U). Porte, hvor trafik for flere VLAN'er sendes til andre VLAN-bevidste enheder, skal markeres som taggede (T).
- Klik Apply (Anvend). Bemærk dette vil fjerne de valgte porte fra standard-VLAN (VLAN 1). Hvis du administrerer switchen via en port i VLAN 1, skal du passe på ikke at omkonfigurere den port, som du administrerer switchen for.
- Klik på OK, når du bliver bedt om det i vinduet Global IP routing mode.
- Gentag trin 1-6 for at oprette VLAN'er 20 og 30.
Konfigurer DHCP-serveren (valgfrit).
Hvis du har brug for, at switchen skal fungere som DHCP-server for VLAN'er, skal du følge trinnene i dette afsnit. Hvis ikke, skal du gå videre til afsnittet Tilføj en standardrute .
- Log på kontaktens administrationsside.
- Gå til System - tjenester.
- Under DHCP Server - DHCP Server Configuration skal du indstille Admin Mode til Enable (Admin. tilstand) og klikke på Apply(Anvend).
- Under DHCP Server - DHCP Pool Configuration skal du oprette en ny DHCP-pulje for hvert VLAN. Se skærmbilledet nedenfor for at få et eksempel på, hvordan du opretter en DHCP-pulje. Den standardrouteradresse, der bruges til hver pulje, er IP-adressen på den tilsvarende VLAN-grænseflade, f.eks. til VLAN 10, er den 192.168.10.254.
Bemærk: Når Indbindingstype er indstillet til dynamisk, er tilknytningen mellem en DHCP-pulje og et VLAN baseret på den IP-adresse og netværksmaske, der er tildelt VLAN'et. Hvis du vil knytte en DHCP-pulje til et VLAN, skal du kontrollere, at netværksadressen for puljen svarer til netværksadressen for VLAN VLAN 10 i dette eksempel er f.eks. tildelt IP-adressen 192.168.10.254 og netværksmasken 255.255.255.0. Dette har en netværksadresse på 192.168.10.0. Når du opretter DHCP-puljen til VLAN 10, skal du sikre dig, at netværksadressen er 192.168.10.0 med netværksmaske 255.255.255.0. Switchen tildeler automatisk DHCP-puljen til det tilsvarende VLAN (VLAN 10 i dette tilfælde). - Klik på Tilføj.
- Gentag trin 1-6 for at oprette DHCP-puljer for VLAN'er 20 og 30.
- Gå til DHCP-server - DHCP-serverkonfiguration.
- Tilføj de IP'er, der er i brug, og som ikke bør tilbydes af DHCP-serveren, i afsnittet Ekskluderet adresse. I dette eksempel er de adresser, vi ekskluderer:
192.168.10.1
192.168.10.254
192.168.20.254 192.168.30.254
Tilføj en standardrute.
Dette er nødvendigt for at instruere switchen i at sende trafik, der ikke er beregnet til de lokale VLAN'er, til internetgatewayen.
- Log på kontaktens administrationsside.
- Gå til Ruteplanlægning - Rutetabel - grundlæggende - Rutekonfiguration.
- Vælg Standard i rullemenuen Rutetype.
- Indtast IP-adressen på internetgatewayen i adressen Næste Hop (192.168.10.1 i dette eksempel).
- Klik på Tilføj.
Tilføj statiske ruter på internetgatewayen.
Tilføjelse af statiske ruter til internetgatewayen er nødvendig for at sikre, at internetgatewayen er opmærksom på, hvordan trafik returneres til enheder i VLAN'er, der ikke er direkte forbundet til den (VLAN'er 20 og 30 i dette eksempel). I dette eksempel viser vi, hvordan du tilføjer statiske ruter på en NETGEAR ProSAFE-firewall. Konfigurationen af andre internet-gateways vil variere en smule. Kontakt leverandøren af din internetgateway for at få yderligere oplysninger.
- Log på administrationssiden for ProSafe-firewall'en.
- Gå til Netværkskonfiguration - Ruteplanlægning.
- Klik på Tilføj.
- Indtast en statisk rute for VLAN 20 som vist nedenfor, og klik på Anvend.
- Gentag processen for VLAN 30. Den påkrævede konfiguration for VLAN 30 i dette eksempel er:
Destinations-IP-adresse: 192.168.30.0
Subnet Mask: 255.255.255.0
Interface: LAN
Gateway IP Address: 192.168.10.254
Bemærk:Det er ikke nødvendigt at oprette en statisk rute for VLAN 10, fordi internetgatewayen i dette eksempel er forbundet direkte til VLAN 10 på switchen.
Konfigurer adgangskontrollister (valgfrit).
Tilføj ACL'er (Access Control Lists) for at forhindre uønsket Inter-VLAN-kommunikation. Vi vil f.eks. tillade, at enhederne i VLAN 20 kommunikerer med internetgatewayen, men vi forhindrer kommunikation med andre enheder i VLAN'er 10 og 30.
Opret ACL'erne.
- Log på kontaktens administrationsside.
- Gå til Security-ACL-Advanced-IP ACL.
- Indtast et id på 101 under IP ACL-tabel, og klik derefter på Tilføj. Vi vil bruge ACL 101 til VLAN 10.
- Gentag trin 1-3 for at tilføje yderligere ACL'er 102 og 103. Vi vil bruge ACL 102 til VLAN 20 og ACL 103 til VLAN 30.
Føj regler til ACL 101 (til VLAN 10).
- Gå til Security-ACL-Advanced-IP Extended Rules.
- Vælg 101 i rullemenuen ACL-id/navn.
- Klik på Tilføj.
- Konfigurer den første regel på følgende måde (ignorer felterne, der ikke er angivet nedenfor):
Sekvensnummer: 10
handling: Afvis
src: IP-adresse 192.168.10.0 0.0.0.0.255
DST: IP-adresse 192.168.20.0 0.0.0.255 - Klik Apply (Anvend).
- Klik på Tilføj.
- Konfigurer den 2. Regel på følgende måde (ignorer felterne, der ikke er angivet nedenfor):
Sekvensnummer: 20
handling: Afvis
src: IP-adresse 192.168.10.0 0.0.0.0.255
DST: IP-adresse 192.168.30.0 0.0.0.255 - Klik Apply (Anvend).
- Klik på Tilføj.
- Konfigurer den 3. Regel på følgende måde (ignorer de felter, der ikke er angivet nedenfor):
Sekvensnummer: 30
handling: Tillad
match hver: True - Klik Apply (Anvend).
Føj regler til ACL 102 (til VLAN 20).
- Vælg 102 i rullemenuen ACL-id/navn.
- Klik på Tilføj.
- Konfigurer den første regel på følgende måde (ignorer felterne, der ikke er angivet nedenfor):
Sekvensnummer: 10
handling: Tilladelse
src: IP-adresse 192.168.20.0 0.0.0.255
DST: Vært 192.168.10.1 - Klik Apply (Anvend).
- Klik på Tilføj.
- Konfigurer den 2. Regel på følgende måde (ignorer felterne, der ikke er angivet nedenfor):
Sekvensnummer: 20
handling: Afvis
src: IP-adresse 192.168.20.0 0.0.0.0.255
DST: IP-adresse 192.168.10.0 0.0.0.255 - Klik Apply (Anvend).
- Klik på Tilføj.
- Konfigurer den 3. Regel på følgende måde (ignorer felterne, der ikke er angivet nedenfor):
Sekvensnummer: 30
handling: Afvis
src: IP-adresse 192.168.20.0 0.0.0.0.255
DST: IP-adresse 192.168.30.0 0.0.0.255 - Klik Apply (Anvend).
- Klik på Tilføj.
- Konfigurer den 4. Regel på følgende måde (ignorer felterne, der ikke er angivet nedenfor):
Sekvensnummer: 40
handling: Tillad
match hver: Sandt - Klik Apply (Anvend).
- Klik på Tilføj.
Føj regler til ACL 103 (til VLAN 30).
- Vælg 103 i rullemenuen ACL-id/navn.
- Klik på Tilføj.
- Konfigurer den første regel på følgende måde (ignorer felterne, der ikke er angivet nedenfor):
Sekvensnummer: 10
handling: Tilladelse
src: IP-adresse 192.168.30.0 0.0.0.255
DST: Vært 192.168.10.1 - Klik Apply (Anvend).
- Klik på Tilføj.
- Konfigurer den 2. Regel på følgende måde (ignorer felterne, der ikke er angivet nedenfor):
Sekvensnummer: 20
handling: Afvis
src: IP-adresse 192.168.30.0 0.0.0.0.255
DST: IP-adresse 192.168.10.0 0.0.0.255 - Klik Apply (Anvend).
- Klik på Tilføj.
- Konfigurer den 3. Regel på følgende måde (ignorer felterne, der ikke er angivet nedenfor):
Sekvensnummer: 30
handling: Afvis
src: IP-adresse 192.168.30.0 0.0.0.0.255
DST: IP-adresse 192.168.20.0 0.0.0.0.0.255 - Klik Apply (Anvend).
- Klik på Tilføj.
- Konfigurer den 4. Regel på følgende måde (ignorer felterne, der ikke er angivet nedenfor):
Sekvensnummer: 40
handling: Tillad
match hver: Sandt - Klik Apply (Anvend).
- Klik på Tilføj.
Føj ACL'er til portene.
- Gå til Security-ACL-Advanced-IP Binding Configuration.
- Vælg ACL ID 101 i rullemenuen ACL ID.
- Vælg alle porte i VLAN 10 (undtagen den port, der opretter forbindelse til internetgatewayen).
- Klik Apply (Anvend).
- Gentag trin 1-3 for at anvende hvert ACL-id på de korrekte porte (dvs. anvende ACL 102 på portene i VLAN 20 og anvende ACL 103 på portene i VLAN 30).