VLAN Konfiguration - 2 VLANs, 2 Switche, beide Netze isoliert

[FallenCipher]

Moin,

ich hätte mal ne Frage an die VLAN Experten unter euch. Habe folgende Situation:

Ich möchte zwei Netze in seperate VLANs unterteilen.

Netz 1 bekommt die VLAN ID 2, Netz 2 die VLAN ID 3.

Da es sich um zwei Etagen handelt existieren zwei Dell Switches. Beide sind VLAN fähig.

Auf beiden Switches sind jeweils die ersten 10 Ports Mitglied in VLAN 2 und haben als Default VLAN ID die 2 und die nächsten 10 Ports sind Mitglied in VLAN 3 und haben als Default VLAN ID die 3.

Die Ports sind jeweils als U für untagged gekennzeichnet, da nicht alle Rechner VLAN fähige Netzwerkkarten besitzen.

Der letzte Port des Switches (48) dient zur Verbindung der beiden Switches untereinander und ist Mitglied in VLAN 2 und 3 und ist als T für tagged gekennzeichnet.

Nun habe ich allerdings das Problem dass sich die beiden VLANs miteinander unterhalten können, sprich ich kann Rechner in dem jeweils anderem VLAN anpingen. Dies darf allerdings nicht sein, da die Netze isoliert von einander sein müssen.

Vielleicht kann mir jemand nen Tipp geben was ich falsch gemacht haben könnte.

[SaJu]

Hast Du auch 802.1q zusätzlich gewählt?

Vielleich wäre es auch ganz gut, wenn Du hier schreibst, was für Switches Du verwendest (Marke, Name, Sorte).

[DocInfra]

Rechner aus VLAN 2 und VLAN 3 können sich unterhalten?! Bist du sich das die Rechner nicht "zufällig" im gleichen VLAN waren?

[FallenCipher]

Hast Du auch 802.1q zusätzlich gewählt?

Da müsste ich mal schauen ob und wo man das aktivieren kann (wenn überhaupt möglich).

Vielleich wäre es auch ganz gut, wenn Du hier schreibst, was für Switches Du verwendest (Marke, Name, Sorte).

Es handelt sich um einen Dell PowerConnect 2748 und um einen Dell PowerConnect 2848.

Rechner aus VLAN 2 und VLAN 3 können sich unterhalten?! Bist du sich das die Rechner nicht "zufällig" im gleichen VLAN waren?

Habe ich mehrfach geprüft. Laut dem Switch teilt sich keiner der Ports ein VLAN bis auf den Tagged Port 48 zur Verbindung der Switches.

[SaJu]

Wenn sich die Rechner im Moment unterhalten können, probier mal port-basiertes Switching aus. Wenn auch dort sich die Switches unterhalten können, stimmt irgendetwas mit der Technik der Switches nicht.

[Crash2001]

Hmmm klingt für mich so, als ob Port 48 falsch konfiguriert wäre, oder aber, dass ein L3-Switch / Router noch im Netz vorhanden wäre, der zwischen den beiden vlans routet.

Sollte z.B. der eine Port 48 ein Accessport mit vlan 3 und der andere Port 48 ein Accessport mit vlan 2 sein, dann könnten die user im vlan 2 auf dem einen switch mit den usern in vlan 3 auf dem anderen Switch kommunizieren.

Unter anderem um so etwas zu vermeiden, nutzt man normalerweise pro vlan ein Subnet. Solltest da also evtl mal überlegen, ob du die Range nicht anpassen solltest, wenn die User aus vlan 2 im gleichen Subnet liegen wie die User in vlan 3.

Wie sieht die Config von deinem Port 48 denn aus?

So in der Art?

interface gigabitethernet0/48

switchport mode trunk

switchport trunk allowed vlan add 2,3

[Eleu]

Nun habe ich allerdings das Problem dass sich die beiden VLANs miteinander unterhalten können, sprich ich kann Rechner in dem jeweils anderem VLAN anpingen. Dies darf allerdings nicht sein, da die Netze isoliert von einander sein müssen.

Vielleicht kann mir jemand nen Tipp geben was ich falsch gemacht haben könnte.

Hallo,

gibt es denn ein Subnetz für beide VLAN`s ?

Wenn Du jeweils für jedes VLAN ein eigenes Subnetz adressierst solltest Du nicht mehr

anpingen können. Egal ob mit oder ohne VLAN.

Falls doch, kann nur ein Router im Netz sein.

Was passiert, wenn Du das untagged bei den Ports mal rausnimmst.

Ist es nicht so, dass ein VLAN fähiger Switch das VLAN - Tag am Port ohnehin entfernt ?

Gruß

Eleu

Bearbeitet 2. September 2011 von Eleu

[Crash2001]

[...]Ist es nicht so, dass ein VLAN fähiger Switch das VLAN - Tag am Port ohnehin entfernt ?[...]

Bei Access-Ports wird das Tag beim Eintritt in den Switch getaggt und beim Austritt wird das Tag wieder entfernt.

Bei Trunk-Ports wird ein Tag erwartet. Ist das Paket nicht getaggt, stammt es aus dem native vlan, das ungetaggt ist. Ist es getaggt, bleibt der Tag auch erhalten.