DHCP và Access list tren Vlan?

[linhmoi]

Chào các bạn, mình có sơ đồ mạng như hình sau:
a/ Mình thực hiện chia 4 vlan, cấu hình dhcp và vlan routing ok hết, các máy pc đều nhận được IP động từ router. Cho mình hỏi các pc trong từng vlan, làm cách nào mà lại nhận IP động một cách chính xác do router cấp phát cho từng vlan vậy các bạn? Vd mình tạo ra 4 pool range Ip cấp cho từng vlan, vậy router dựa vào đâu mà cấp ip động chính xác cho từng pc?
b/ mình muốn làm access-list kieu standar và extended sao cho các máy pc ko ping thấ nhau đươc?
mình mới học CCNA nên có nhiều vấn đề mình chưa hiểu rõ, mong Thầy và các bạn giúp mình, thanks!!

[hunterlove_113]

Up cấu hình lên tham khảo được ko bạn....

[linhmoi]

vấn đề mình chỉ cần biết rằng tại sao như vậy thôi, nên nhờ các a em giai thích dùm mình, chứ về phần config thì mình làm ok. Có điều mình vẫn chưa hiểu cớ chế cấp dhcp cho từng vlan như thế nào thôi, nói tóm lại là, biết làm config nhưng ko biết giải thích

[luancb]

Khi PC trong vlan 2 chẳng hạn, gửi Discover để xin IP, đó đóng frame gửi lên Sw, Sw nhận frame từ cổng nào là biết frame đó thuộc vlan mấy ( trong cấu hình switch có cấu hình cổng F0/ access vlan 2)

Sw sẽ đóng tag-vlan id 2 và gửi qua đường trunk lên Router, router bạn có chia sub-int, routing cho các vlan, và sub-int này có đặt IP, vd chia 4 sub-int, trong đó vlan 2 là 192.168.2.1/24 đi ( cổng sub-int có cấu hình encap dot1q 2)

Router sẽ dựa vào tag-vlan id 2, tương ứng với sub-int F0/0.2

Router sẽ lookup các pool IP tương ứng, xem có pool IP nào ứng với IP của sub-int f0/0.2, nên sẽ cấp đúng lớp mạng

Còn về yêu cầu thứ 2 của bạn, là ko cho các PC cùng vlan hay khác vlan ko dc ping lẫn nhau ???

[linhmoi]

cảm ơn a Luan nhé, giờ em đã hiểu được câu a
còn câu b là các pc khác vlan ko được truy cập lẫn nhau hay nói cách khác là cấm tuyệt đối các trafic luôn, pc cua vlan nao thì chỉ có pc đó thấy nhau thôi, với lại em không biết áp access-list theo chiều in hay out nữa vì chỉ có một con router. Nhờ a Luân chỉ giúp em tiếp nhé, thanks

[luancb]

Vậy là bạn muốn cấm các PC khác vlan truy cập nhau, hay chỉ cấm ping thôi?

Và các user trong các vlan đều đi được internet hay sao ? Bạn nêu rõ yêu cầu ra chút nha,

Còn nếu cấm truy cập qua lại giữa các vlan thì quá dễ

[linhmoi]

yêu cầu của em là cần viết access-list các máy pc khác vlan không ping và truy cập qua lại nhau được nhưng vẫn ra được internet, nhờ a Luân chỉ giúp dùm!

[luancb]

Vậy mình ví dụ, các vlan 1,2,3,4 tương ứng IP lân lượt là 192.168.1.0, 2.0, 3.0, 4.0

Trên R, bạn viết ACL như sau :

R(config)#acc-list 100 deny ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
R(config)#acc-list 100 deny ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255
R(config)#acc-list 100 deny ip 192.168.1.0 0.0.0.255 192.168.4.0 0.0.0.255
R(config)#acc-list 100 permit ip any any
ACL này gán lên sub-int vlan 1, chiều IN

R(config)#acc-list 101 deny ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
R(config)#acc-list 101 deny ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255
R(config)#acc-list 101 deny ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255
R(config)#acc-list 101 permit ip any any
ACL này gán lên sub-int vlan 2 chiều IN

....

TƯơng tự cho 2 ACL nữa cấm vlan 3, vlan 4... tới đây bạn đã hiểu chưa ?

[linhmoi]

vấy là a Luân đang viết access-list kiểu extended phải không? hèn gì nghĩ mãi câu lệnh viết standar access-list kô biết viết như thế nào? vậy cho em hỏi với cách viết ở trên thì khi áp dụng vô theo chiều out thì có khác biệt gì không a? em cảm a nhiềuu nhé!

[luancb]

ACL viết ra phải gán lên cổng, khi gán chiều IN, thì những packet chạy đến cổng này sẽ xét, còn chiều OUT là những packet gửi ra khỏi cổng này mới được xét

Với yêu cầu của bạn, hoàn toàn có thể viết ACL standard

R(config)# acc-list 1 deny 192.168.2.0 0.0.0.255
R(config)# acc-list 1 deny 192.168.3.0 0.0.0.255
R(config)# acc-list 1 deny 192.168.4.0 0.0.0.255
R(config)# acc-list 1 permit any
ACL này gán lên sub-int vlan 1, chiều OUT

R(config)# acc-list 2 deny 192.168.1.0 0.0.0.255
R(config)# acc-list 2 deny 192.168.3.0 0.0.0.255
R(config)# acc-list 2 deny 192.168.4.0 0.0.0.255
R(config)# acc-list 2 permit any
ACL này gán lên sub-int vlan 2, chiều OUT

.... tương tự cho vlan 3,4

[huytrungpro]

Như thế này muốn cấm các vlan thông nhau thì làm thế nào vậy anh,vẫn để cho các vlan thông internet ạ. em cảm ơn