In dit artikel wordt beschreven hoe u routeringsVLAN's configureert op een NETGEAR Managed Switch met gedeelde toegang tot internet.
Opmerking: De stappen en schermafbeeldingen in dit artikel zijn van toepassing op NETGEAR managed switches met firmwareversie 11 en hoger.
In dit voorbeeld zijn er drie VLAN's geconfigureerd op de switch:
- VLAN 10 / netwerk 192.168.10.0 (masker 255.255.255.0) / poorten 1 - 10
- VLAN 20 / netwerk 192.168.20.0 (masker 255.255.255.0) / poorten 11 - 20
- VLAN 30 / netwerk 192.168.30.0 (masker 255.255.255.0) / poorten 21 - 28
De apparaten in elke VLAN mogen communiceren met apparaten in andere VLAN's omdat routering is ingeschakeld op de switch. Deze inter-VLAN-communicatie kan worden beperkt door het gebruik van optionele access control-lijsten of ACL's (verderop in dit artikel beschreven).
De apparaten in elke VLAN hebben toegang tot internet via de internetgateway die is verbonden in VLAN 10. In dit voorbeeld is de internetgateway niet geconfigureerd als VLAN Aware. De switch routeert het verkeer tussen VLAN's, van de apparaten in VLAN's 10, 20 en 30 naar de internetgateway en terug.
Hieronder volgt een eenvoudig diagram met een overzicht van het netwerk.
Maak de VLAN's.
- Meld u aan bij de beheerpagina van de switch.
- Ga naar Routing - VLAN - VLAN Static Routing Wizard.
- Voer de VLAN ID, het IP-adres en het netwerkmasker voor de VLAN in. In dit voorbeeld zijn deze waarden:
VLAN ID: 10
IP Address: 192.168.10.254
Network Mask: 255.255.255.0 - Selecteer de poorten die u aan de VLAN wilt toevoegen. Poorten die verbinding maken met eindapparaten zoals pc's moeten worden gemarkeerd als untagged (u). Poorten waarop verkeer voor meerdere VLAN's naar andere VLAN-apparaten wordt verzonden, moeten worden gemarkeerd als gelabeld (T).
- Klik op Toepassen. Opmerking: Hiermee worden de geselecteerde poorten verwijderd uit de standaard-VLAN (VLAN 1). Als u de switch beheert via een poort in VLAN 1, moet u oppassen dat u de poort waarmee u de switch beheert niet opnieuw configureert.
- Klik op OKwanneer het venster Global IP Routing mode (Algemene IP-routeringsmodus) wordt weergegeven.
- Herhaal stap 1 t/m 6 om VLAN's 20 en 30 te maken.
Configureer de DHCP-server (optioneel).
Als u wilt dat de switch functioneert als DHCP-server voor de VLAN's, volgt u de stappen in dit gedeelte. Als dit niet het geval is, gaat u verder naar het gedeelte een standaardroute toevoegen.
- Meld u aan bij de beheerpagina van de switch.
- Ga naar systeem - Services.
- Stel onder DHCP Server - DHCP Server Configuration(DHCP-server configureren) de modus Admin (beheerder) in op Enable (inschakelen) en klik op Apply(Toepassen)
- Maak onder DHCP-server - DHCP-poolconfiguratieeen nieuwe DHCP-pool voor elke VLAN. Raadpleeg de schermafbeelding hieronder voor een voorbeeld van hoe u een DHCP-pool kunt maken. Het standaard routeradres dat voor elke pool wordt gebruikt, is het IP-adres van de corresponderende VLAN-interface, bijvoorbeeld voor VLAN 10 is dit 192.168.10.254.
Opmerking: Als Type binding is ingesteld op dynamisch, wordt de koppeling tussen een DHCP-pool en een VLAN gebaseerd op het IP-adres en netwerkmasker dat aan de VLAN is toegewezen. Als u een DHCP-pool wilt koppelen aan een VLAN, moet u ervoor zorgen dat het netwerkadres van de pool overeenkomt met het netwerkadres van de VLAN. In dit voorbeeld wordt bijvoorbeeld aan VLAN 10 het IP-adres 192.168.10.254 en het netwerkmasker 255.255.255.0 toegewezen. Dit heeft een netwerkadres van 192.168.10.0. Zorg er bij het maken van de DHCP-pool voor VLAN 10 voor dat het netwerkadres 192.168.10.0 met netwerkmasker 255.255.255.0 is. De switch wijst automatisch de DHCP-pool toe aan de bijbehorende VLAN (in dit geval VLAN 10). - Klik op Toevoegen.
- Herhaal stap 1 t/m 6 om DHCP-pools te maken voor VLAN's 20 en 30.
- Ga naar DHCP Server - DHCP Server Configuration.
- Voeg in het gedeelte uitgesloten adres de IP's toe die in gebruik zijn en niet door de DHCP-server mogen worden aangeboden. In dit voorbeeld zijn de adressen die we uitsluiten:
192.168.10.1
192.168.10.254
192.168.20.254
192.168.30.254
Voeg een standaardroute toe.
Dit is nodig om de switch te instrueren om al het verkeer dat niet bestemd is voor de lokale VLAN's naar de internetgateway te sturen.
- Meld u aan bij de beheerpagina van de switch.
- Ga naar Routing - Routing Table - Basic - Route Configuration.
- Kies Standaard in de vervolgkeuzelijst Routetype.
- Voer in het veld Next Hop Address (volgende Hop-adres) het IP-adres van de internetgateway in (in dit voorbeeld 192.168.10.1).
- Klik op Toevoegen.
Statische routes toevoegen aan de internetgateway.
De toevoeging van statische routes aan de internetgateway is noodzakelijk om ervoor te zorgen dat de internetgateway weet hoe verkeer moet worden teruggegeven aan apparaten in VLAN's die er niet rechtstreeks op zijn aangesloten (VLAN's 20 en 30 in dit voorbeeld). In dit voorbeeld laten we zien hoe statische routes op een NETGEAR ProSAFE-firewall kunnen worden toegevoegd. De configuratie van andere internetgateways zal enigszins verschillen. Raadpleeg de leverancier van uw internetgateway voor meer informatie.
- Meld u aan bij de beheerpagina van de ProSAFE-firewall.
- Ga naar Netwerkconfiguratie - Routing.
- Klik op Toevoegen.
- Voer een statische route in voor VLAN 20 zoals hieronder weergegeven en klik op Toepassen.
- Herhaal deze procedure voor VLAN 30. De vereiste configuratie voor VLAN 30 in dit voorbeeld is:
Doel-IP-adres: 192.168.30.0
Subnetmasker: 255.255.255.0
Interface: LAN
-gateway IP-adres: 192.168.10.254
Opmerking:Het is niet nodig om een statische route voor VLAN 10 te maken, omdat de internetgateway in dit voorbeeld rechtstreeks is verbonden met VLAN 10 op de switch.
access control-lijsten configureren (optioneel).
Voeg access control-lijsten (ACL's) toe om ongewenste interVLAN-communicatie te voorkomen. We willen bijvoorbeeld toestaan dat de apparaten in VLAN 20 communiceren met de internetgateway, maar communicatie met andere apparaten in VLAN's 10 en 30 voorkomen.
Maak de ACL's.
- Meld u aan bij de beheerpagina van de switch.
- Ga naar Beveiliging - ACL - Geavanceerd - IP ACL.
- Voer onder tabel IP ACL een ID van 101 in en klik op Toevoegen. We zullen ACL 101 gebruiken voor VLAN 10.
- Herhaal stap 1 t/m 3 om extra ACL's 102 en 103 toe te voegen. We gebruiken ACL 102 voor VLAN 20 en ACL 103 voor VLAN 30.
Voeg regels toe aan ACL 101 (voor VLAN 10).
- Ga naar Beveiliging - ACL -Geavanceerd - IP uitgebreide regels.
- Kies 101 in het vervolgkeuzemenu ACL ID/name.
- Klik op Toevoegen.
- Configureer de eerste regel als volgt (negeer de velden die hieronder niet worden vermeld):
Volgnummer: 10
Actie: Deny
src: IP Address 192.168.10.0 0.0.0.255
DST: IP Address 192.168.20.0 0.0.0.255 - Klik op Toepassen.
- Klik op Toevoegen.
- Configureer de tweede regel als volgt (negeer de velden die hieronder niet worden vermeld):
Volgnummer: 20
Actie: Deny
src: IP Address 192.168.10.0 0.0.0.255
DST: IP Address 192.168.30.0 0.0.0.255 - Klik op Toepassen.
- Klik op Toevoegen.
- Configureer de derde regel als volgt (negeer de velden die hieronder niet worden vermeld):
Volgnummer: 30
Actie: Permit
Match every: True - Klik op Toepassen.
Voeg regels toe aan ACL 102 (voor VLAN 20).
- Kies 102 in het vervolgkeuzemenu ACL ID/name.
- Klik op Toevoegen.
- Configureer de 1e regel als volgt (negeer de velden die hieronder niet worden vermeld):
Volgnummer: 10
Actie: Vergunning
bron: IP-adres 192.168.20.0 0.0.0.255
DST: Host 192.168.10.1 - Klik op Toepassen.
- Klik op Toevoegen.
- Configureer de tweede regel als volgt (negeer de velden die hieronder niet worden vermeld):
Volgnummer: 20
Actie: Deny
src: IP Address 192.168.20.0 0.0.0.255
DST: IP Address 192.168.10.0 0.0.0.255 - Klik op Toepassen.
- Klik op Toevoegen.
- Configureer de derde regel als volgt (negeer de velden die hieronder niet worden vermeld):
Volgnummer: 30
Actie: Deny
src: IP-adres 192.168.20.0 0.0.0.255
DST: IP-adres 192.168.30.0 0.0.0.255 - Klik op Toepassen.
- Klik op Toevoegen.
- Configureer de 4e regel als volgt (negeer de velden die hieronder niet worden vermeld):
Volgnummer: 40
Actie: Permit
Match Every: True - Klik op Toepassen.
- Klik op Toevoegen.
Voeg regels toe aan ACL 103 (voor VLAN 30).
- Kies 103 in het vervolgkeuzemenu ACL ID/name.
- Klik op Toevoegen.
- Configureer de 1e regel als volgt (negeer de velden die hieronder niet worden vermeld):
Volgnummer: 10
Actie: Vergunning
bron: IP-adres 192.168.30.0 0.0.0.255
DST: Host 192.168.10.1 - Klik op Toepassen.
- Klik op Toevoegen.
- Configureer de tweede regel als volgt (negeer de velden die hieronder niet worden vermeld):
Volgnummer: 20
Actie: Deny
src: IP Address 192.168.30.0 0.0.0.255
DST: IP Address 192.168.10.0 0.0.0.255 - Klik op Toepassen.
- Klik op Toevoegen.
- Configureer de derde regel als volgt (negeer de velden die hieronder niet worden vermeld):
Volgnummer: 30
Actie: Deny
src: IP-adres 192.168.30.0 0.0.0.255
DST: IP-adres 192.168.20.0 0.0.0.255 - Klik op Toepassen.
- Klik op Toevoegen.
- Configureer de 4e regel als volgt (negeer de velden die hieronder niet worden vermeld):
Volgnummer: 40
Actie: Permit
Match Every: True - Klik op Toepassen.
- Klik op Toevoegen.
Voeg de ACL's toe aan de poorten.
- Ga naar Beveiliging - ACL - Geavanceerd - Configuratie van IP-binding.
- Kies in het vervolgkeuzemenu ACL ID de optie ACL ID 101.
- Selecteer alle poorten in VLAN 10 (behalve de poort die verbinding maakt met de internetgateway).
- Klik op Toepassen.
- Herhaal stap 1 t/m 3 om elke ACL-ID toe te passen op de juiste poorten (d.w.z. ACL 102 toepassen op de poorten in VLAN 20 en ACL 103 toepassen op de poorten in VLAN 30).