+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

PPPoE и VLANs

PPPoE и VLANs, RouterOS

Mike44

Guest

08.08.2004 01:55:00

Я использую MikroTik Router 2.8 в колледже. Хочу разделить трафик по VLAN для каждого этажа общежития, используя коммутаторы, а студенты подключаются через PPPoE. Коммутатор – HP 4104gl. Пример: порт коммутатора a14=ether2 (реальный) MikroTik, порт коммутатора a15=клиент, обе порты установлены как untagged в одном VLAN, и PPPoE работает. Если устанавливать любой или оба порта как tagged, PPPoE перестает работать. Возможно ли настроить PPPoE на MikroTik и использовать VLAN-интерфейс вместо реального интерфейса для каждой службы? Возможно ли пометить VLAN-трафик на коммутаторе и донести его до MikroTik для PPPoE-доступа? Нужно разобраться с этим на этих выходных, поэтому любая помощь была бы очень кстати! Спасибо, Майк.

lastguru

Guest

08.08.2004 09:54:00

Тэггированный порт нужно настраивать только на порте, к которому подключен RouterOS. Затем нужно установить тот же VLAN ID на роутере. Если эта настройка не работает, думаю, стоит проверить, поддерживает ли твоя сетевая карта VLAN.

SA1 Guest	#3 0 08.08.2004 16:23:00 Да, это возможно. У меня примерно 50 VLAN-интерфейсов, и многие из них имеют PPPoE-сервера. Всё в порядке.

Mike44

Guest

08.08.2004 21:30:00

Как ты настраиваешь VLAN-теги на своих коммутаторах? Как я уже говорил в своем посте, я могу заставить PPPoE-запросы работать только тогда, когда оба порта сервера и порта клиента не имеют тегов, но я хотел бы, чтобы клиентские порты были помечены разными VLAN, но при этом использовался только один сетевой адаптер сервера, то есть только один порт коммутатора либо помечен, либо не помечен. Не помеченные VLAN могут быть только на одном VLAN, нельзя иметь больше одного VLAN без тегов… Сейчас я использую другой реальный интерфейс для каждого здания (всего 4) и делаю не помеченными каждый интерфейс на своем собственном VLAN — один VLAN на каждое здание… а затем каждый клиентский порт делаю не помеченным на этом VLAN на своем коммутаторе… чувствую, что это более сложная схема, чем нужно.

lastguru

Guest

08.08.2004 23:25:00

Это одно пожелание невыполнимо (и даже ненужно, если я правильно понял). "Отмеченные" порты — это порты, к которым вы подключаете компьютеры или другое сетевое оборудование, которое знает про VLAN (и ни один Windows-компьютер даже не должен поддерживать VLAN - это не недостающий функционал, так как VLAN должны поддерживаться только на маршрутизаторах и коммутаторах). Возможно, правда, что многие коммутаторы позволяют использовать только один VLAN без метки на определённом порту, так как нет необходимости в двух VLAN без метки на одном проводе. Представьте метку VLAN как 4-байтовое дополнение к обычному Ethernet-пакету. Эта метка отмечает каждый пакет как принадлежащий определённому VLAN, но поскольку это не стандартный Ethernet-фрейм, ни один компьютер не может его понять — поэтому вам нужно снять метку VLAN, чтобы стандартные компьютеры могли его понять. Коммутатор может быть настроен для группировки определённого количества портов в один VLAN, это как деление коммутатора на более мелкие части (динамические) — виртуальные коммутаторы. Каждый из этих виртуальных коммутаторов имеет порты без метки, к которым подключены клиенты. Теперь, вспомните, мы разделили сети друг от друга, так что вся идея потеряется, если мы затем поместим все эти VLAN (без метки) в один провод для подключения к маршрутизатору. Чтобы исключить необходимость в отдельной сетевой карте на маршрутизаторе для каждого из ваших VLAN, был введён механизм маркировки. Он помечает каждый пакет 4-байтовым признаком, который указывает, к какому VLAN он принадлежит. Такой порт будет называться "отмеченным" и будет подключен к оборудованию, которое поддерживает маркировку. Ещё одно замечание: отмеченные Ethernet-пакеты превышают стандартный размер Ethernet-фрейма, и некоторые сетевые карты (в основном старые) просто не могут получить такие большие фреймы, поэтому, если у вас проблемы с отмеченным портом, проверьте, поддерживает ли ваша сетевая карта IEEE802.1q VLAN tagging. В любом случае, правильное решение — иметь клиентские порты без метки (разве у них уже нет PPPoE для разделения?), а отмеченный порт (со многими VLAN) на стороне сервера.

Mike44

Guest

09.08.2004 00:11:00

Спасибо, теперь стало понятнее. PPPoE работает, но мне нужно уточнить кое-что – каждый клиент получает IP-адрес и маску подсети 255.255.255.255, что по сути означает подсеть из одного хоста. В такой конфигурации, когда вирус, вроде Blaster (nachi) или Welchia, заражает клиентскую машину и начинает сканировать подсеть, он может сканировать только 1 хост, находящийся в этой подсети, верно? Получается, что подключение клиентов по PPPoE с маской подсети 255.255.255.255 помогает не дать вирусам вроде Blaster заражать других клиентов в сети? Если это так, то я в порядке и могу переходить к исправлению других проблем. Спасибо за помощь, Майк.

SA1 Guest	#7 0 09.08.2004 07:26:00 Нет, вирусы обычно сканируют весь Интернет. У Intel есть драйверы для Windows с поддержкой VLAN для их карт, так что подключить Windows-машину к помеченному порту вполне реально.

Mike44 Guest	#8 0 09.08.2004 13:38:00 Я знаю, что вирусов, которые сканируют весь интернет, не существует, просто хочу убедиться, что правильно понимаю, как работает PPPoE, и чтобы каждый клиент находился в своей подсети 255.255.255.255. И чтобы сканировать другие компьютеры, трафик клиента должен проходить через роутер MikroTik (где я могу остановить сканирование вирусов, блокируя порты, например, 4444)…

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры