Вопрос по применению VLAN в сети

[Susanin]

Привет всем.

 

Такая вот ситуация:

Есть небольшая ДС (100 PC). Большая часть клиентов расположена недалеко от серверной (разводка кабелем) + филиал в нескольких километрах от офиса (радиолинк). Встал вопрос об разграничении пользователей по группам. Проанализировал возможные решения. Самый лучший вариант видится в применении VLAN на группу.

Как я понял (поправьте, если не прав), VLAN бывают:

1. По портам (легкость настройки, но действует только в пределах данного свича, нет возможности создания стандартной схемы - клиенты не видят друг дргуга, но все видят сервер - так как нельзя серверный порт включить в несколько VLAN одновременно (или я не прав ??);

2. На основе тегов (возможно создание схемы отдельные клиенты - сервер, возможно распространение VLAN на другой коммутатор) но для доступа клиентов к одному порту (сервер) необходимо на этом сервере поднимать по виртуальному интерфейсу для каждого VLAN. В дополнение получим возможность разграничения доступа и полный контроль над пакетами клиентов (вплоть до возможности прохождения пакетов между клиентами из разных VLAN).

3. Ассиметричные VLAN - похоже на п.1 , но с возможностью включения одного порта в несколько VLAN. Встречал такое только в некторых моделях коммутаторов D-Link.

 

В результате - самое гибкое и масштабируемое решение - п.2.

Т.е. ставим в серверной свич с поддрежкой хотя бы 32 VLAN. Близлежащих клиентов разделяем на этом-же свиче, а в дальнем офисе ставим другой свич, на который с центрального пробрасываем VLAN-ы и там уже их раздаем по портам. Но тогда между тем-же серверным свичом и сервером надо ставить роутер.

Но как поведет себя PC-роутер с линухой, если на её борту поднять хотя бы 20 виртуальных интерфейсов ?? (если у кого есть такой опыт - очень прошу, поделитесь..).

 

Собственно вопрос - есть ли другое (не PC-роутер с Линухой) решение для обеспечения доступа клиентам из разных VLAN к одному серверу ?

 

Может быть для этого подойдет коммутатор 3 уровня (например 3Com 3226) с поднятием на каждом из портов своего VLAN и навешиванием на этот порт IP ? но как тогда сделать проброс VLAN в дальний офис ?

 

Заранее спасибо за помощь.

[Barsick]

нельзя серверный порт включить в несколько VLAN одновременно

можно

[Susanin]

нельзя серверный порт включить в несколько VLAN одновременно

можно

Интересно. А как ?

[Barsick]

Каждый порт свича может быть членом любого вилана, или даже всех виланов

клиенты не видят друг дргуга, но все видят сервер

Такая схема реализуется в свиче за $13 одним касанием паяльника

[Susanin]

2 Barsick:

Ок. А потом как этот поток VLAN-ов разобрать на сервере ?? поднимать интерфейс для каждого из VLAN ?

[UglyAdmin]

А никак - никакого потока не возникает, всё идёт как шло, только между юзерскими портами трафик не бегает. Это портовые виланы.

[Alek Aaz]

2Susanin

Честно говоря я не спец по VLANам, но

ИМХО.

Роутер вообще не нужен, если твоя задача только разделить по группам юзеров и сервак у тебя один.

Скажем можно серверный свич - 2-го уровня с поддержкой как портовых вланов так и тегируемых. На одном порту включаешь поддержку тегируемых вланов для сервера, еще на одном порту включаешь поддержку тегируемых вланов для удаленного офиса, на остальные порты назначаешь вланы для местных юзеров. В удаленый офис пихаешь свич с портовыми вланами и одним тегируемым портом.

Радиолинк должен поддерживать проброс тегируемых вланов.

Если нужно считать, то между серверным свичем и сервером надо втыкать роутер.

[sadmitry]

Боюсь что радиолинк тегированные вланы не пропустит.

[Susanin]

2Susanin

Честно говоря я не спец по VLANам, но

ИМХО.

Роутер вообще не нужен, если твоя задача только разделить по группам юзеров и сервак у тебя один.

Скажем можно серверный свич - 2-го уровня с поддержкой как портовых вланов так и тегируемых. На одном порту включаешь поддержку тегируемых вланов для сервера, еще на одном порту включаешь поддержку тегируемых вланов для удаленного офиса, на остальные порты назначаешь вланы для местных юзеров. В удаленый офис пихаешь свич с портовыми вланами и одним тегируемым портом.

Радиолинк должен поддерживать проброс тегируемых вланов.

Если нужно считать, то между серверным свичем и сервером надо втыкать роутер.

НО эта схема предполагает поднятие все тех-же виртуальных интерфейсов на сервере, по одному на каждый VLAN. Т.е. это схема для того случая, что если тока один сервак. А если их несколько - то опять упираемся в роутер. Кроме того, даже если это один сервер, сколько таких виртуальных интерфейсов выдержит линух ?? Мне даже 15 интерфейсов поднимать уже страшно.

 

Пока вижу наиболее приемлимое решение - L3 свитч.

 

По поводу радиолинка - да, это вопрос.. надо посмотреть документацию на счет поддержки 1.q