Announcement

**harmonylove** · 13-04-2007, 05:27 PM

1. Ở Switch 1, chia VLAN 2, VLAN3. Switch 2 chia VLAN2, VLAN4 chẳng hạn, 2 switch nối với nhau bằng 1 đường trunking. Như vậy, chỉ cần VID của VLAN2 ở Switch 1 giống VID của VLAN2 ở Switch 2 thì kể như VLAN2 là chung (tức là cùng Subnet)??? Port trunk ở Switch 1 phải thuộc VLAN2, tương tự cho port trunk ở Switch 2 ?

đúng vậy! VLAN2 sẽ "phủ sóng" từ SW1 qua SW2 thông qua đường trunking, lưu ý khi thiết lập 1 port trên SW thành trunk port thì port đó không thuộc về VLAN nào cả, link giữa 2 port trunk là con đường chung cho tất cả các VLAN.

2. Trong trường hợp các Switch con Layer2 có chia VLAN2, VLAN3, VLAN4, (mỗi Switch đều chia ít nhất 2 VLAN), mỗi Switch sẽ được nối về Switch tổng bằng 1 đường Trunking (vì Switch có hỗ trợ 802.1q). Trên Switch tổng (Layer 3) thì mình có VLAN1 bao gồm Domain Controller1, Domain Controller2, File Server. Sau đó, để các VLAN khác thấy được VLAN1 (bao gồm DC, BDC và File Server), mình định làm như sau :

+ Cấu hình Routing dựa vào tính năng Routing trên Switch layer 3.
+ Cấu hình Routing trên Firewall ASA 5510 hoặc Cisco Router 2811.

Vậy thì có được không ? Có đáp ứng được yêu cầu của mình là các VLAN không thấy nhau nhưng đều thấy VLAN1 và vùng DMZ?[/

Bạn hình dung mỗi VLAN là một net/subnet hay một broacast domain (có thể "phủ" từ SW này qua SW kia) khác nhau, do đó khi thiết lập VLAN rồi thì các hosts trên các VLAN khác nhau sẽ ko thấy nhau, muốn thấy nhau thì phải có 1 router đứng giữa liên kết các VLAN lại. Tớ ko rành con ASA firewall, nhưng theo mô hình của bác thì phải chăng nó có 2 ports ethernet? 1 nối vào LAN & 1 cho vùng DMZ? Nếu vậy thì cái interface nối vào LAN (nối với SW tổng nhỉ!) phải chia ra thành các sub-interface, mỗi sub-interface "móc" vô 1 VLAN, sau đó thiết lập các địa chỉ IP subnet tương ứng cho mỗi sub-interface, bật encapsulation dot1q cho interface chính, nhưng tới đây kẹt... vì lúc này các VLAN sẽ thấy nhau hết... để ngăn cản có lẽ phải sử dụng access-list thôi! Nhưng vấn đề là áp access-list lên sub-interface có được ko nữa? (cái này phải hỏi bác nào có kinh nghiệm thôi, chứ tớ chịu, chưa thử) :D

3. Việc cấp DHCP. Mình cũng đọc tài liệu và biết rằng phải tạo nhiều scope trên DHCP Server (Windows 2003), trên Switch phải có hỗ trợ DHCP Relay Agent (trong Cisco và HP thì mình thấy có lệnh là ip helper-addresses).

Nhưng theo cách nối ở trên ( mỗi Switch layer 2 đều nối về Switch tổng bằng 1 đường Trunking) thì liệu các máy tính khi gắn vào port thuộc VLAN nào đó có nhận đúng IP trong dãy của VLAN đó (do DHCP Server cấp phát) ? Hay phải yêu cầu tất cả Switch tổng lẫn Switch con đều hỗ trợ DHCP Relay Agent ?

DHCP server của bác định đặt ở VLAN nào? VLAN1 luôn chứ? giả sử bước trên ta đã thành công (đã làm cho các VLAN đều thấy VLAN1, nhưng không được phép thấy nhau), thì tới đây chỉ cần con ASA bật chế độ DHCP relay là ok rồi, vd: 1 host A trên VLAN 2 request DHCP, nó sẽ gởi broacast packet ra khắp VLAN2, con ASA sẽ chụp lấy packet đó chuyển thành gói unicast forward qua VLAN1 đến DHCP server, DHCP server sẽ dựa vào field: gateway address trong gói yêu cầu để chọn 1 IP thích hợp trong các pools của nó và reply cho ASA, ASA lại chuyển cho host A

Announcement

Tìm giải pháp chia VLAN + 1 số thắc mắc

Tìm giải pháp chia VLAN + 1 số thắc mắc

Comment