пробросить влан через другой влан

[DDP]

добрый день.

преамбула:

два разнесённых (в смысле на расстоянии) офиса одного предприятия. соединены оптикой и цисками 2950 через третью контору. что именно там в центре и как соединяется - неизвестно. предоставлен той конторой влан с нумером 2 и сеть 10.0.2.ххх с шлюзом 10.0.2.1 которыми и пользуемся. так что два удалённых офиса находятся в одной сети. добавились ещё два офиса, в тех же зданиях и так же разнесённых. им нужен свой влан (пусть будет 100).

амбула:

можно ли соединить добавочные офисы 100-м вланом через имеющийся влан(2), при этом не мешая другим? если можно, то каким образом и чуть подробней.

[SergeiK]

Если оператор сможет и настроит вам QinQ на своих портах - то возможно.

Иначе - нет, тэгированные пакеты будут умирать на входе, если конечно, оператор все сделал правильно.

[ram_scan]

На коленке можно слепить два бриджа на юниксах с нужным кол-вом dot1q интерфейсов, и сцепить их друг с другом через IP тоннель. Работать будет. Геморроя доставит много, особенно в плане производительности. OpenVPN такой фортель делать позволяет. В качестве временного решения выкрутиться можно.

[SergeiK]

Это уж слишком навороченно.

Если ставить L3-боксы (не важно какие даже - Cisco,linux,FreeBSD), то уж сразу на L3 мигрировать и ACL-ми доступ ограничивать, фигли бриджи да тоннели городить.

[Cr_net]

Это уж слишком навороченно.

Если ставить L3-боксы (не важно какие даже - Cisco,linux,FreeBSD), то уж сразу на L3 мигрировать и ACL-ми доступ ограничивать, фигли бриджи да тоннели городить.

+, не надо хотеть отдельные вланы, лучше поставить L3 коммутаторы в офисах и не парится, к тому же должно быть дешевле в итоге. QinQ в L2VPN, да и вообще L2VPN по идее дороже должен стоить ежемесячно, чем L3VPN.

[nashvill]

А попросить эту третью контору пробросить для вас еще один влан?

[ram_scan]

Это уж слишком навороченно.

Если ставить L3-боксы (не важно какие даже - Cisco,linux,FreeBSD), то уж сразу на L3 мигрировать и ACL-ми доступ ограничивать, фигли бриджи да тоннели городить.

Виланы не всегда нужны для того чтобы "доступ ограничивать". Иногда клиент хочет именно вилан, потому-что в гробу он видел маршрутизацию в локалке побитой территориально на две части вздыбливать. А технически дать этот вилан ему возможности нет. Способ работает, и в принципе несложный технически. Просто пионерский и не особенно производительный/надежный. Но как временное решение, чтобы клиент не свалил - годится.

[Cr_net]

Это уж слишком навороченно.

Если ставить L3-боксы (не важно какие даже - Cisco,linux,FreeBSD), то уж сразу на L3 мигрировать и ACL-ми доступ ограничивать, фигли бриджи да тоннели городить.

Виланы не всегда нужны для того чтобы "доступ ограничивать". Иногда клиент хочет именно вилан, потому-что в гробу он видел маршрутизацию в локалке побитой территориально на две части вздыбливать. А технически дать этот вилан ему возможности нет. Способ работает, и в принципе несложный технически. Просто пионерский и не особенно производительный/надежный. Но как временное решение, чтобы клиент не свалил - годится.

Да ну фигня какая то, зачем с этими бриджами на юниксах замарачиваться, тем более дешевле не будет.

L2 vpnы пионерские и дешёвые пока сеть маленькая и эти вланы на коммутаторах раздаются, а потом это уже станет глючным вплс за совершенно невменяемые деньги. Поэтому операторы, (не бывшие работники энтерпрайза) в гробу видели эти вланы и не было ещё ни одного клиента которому продавцы не смогли бы продать L3 VPN вместо "хочу влан".

[ram_scan]

А я и не говорил что это надо "навсегда" оставить. Клиент хочет влан, и клиент влан получит. Потому-чо у клиента может работать например IPX (нетварь старая у него), или есть хитрые войповые решения которые работают закрытыми протоколами по L2. Если не у одного оператора, то у другого клиент себе влан получит. Просто договориться о транзите этого вилана с коллегами не всегда получается быстро, а клиент может уйти сегодня. Каждый выбирает для себя то что ему нравится. Я показал лишь один из способов решения проблемы, и осветил его недостатки.

Edited April 10, 2008 by ram_scan

[DDP]

А попросить эту третью контору пробросить для вас еще один влан?

конечно, это самое простое решение. но оно оказалось самым сложным. ибо просят уже два месяца, но у третьей конторы мальчик, который создаёт вланы, то занят, то приболел, то сдаёт сессию, то в отпуске, то где-то отсутствует. дело в том, что людям нужно работать уже сегодня, а без сети как-то неуютно. поэтому они попросились к нам в сеть, но как их объеденить, чтоб не мешали нам и другим я не очень представляю.