Trenner der Netzstruktur per VLans

[Maik 10]

Hallo ans Board..

Wir haben in unserer Zweigstelle eine Aufgabenstellung zum Trenner der internen Netzstruktur per VLans.

Wie kann ich bestimmte Ports eines Catalyst 4500 für diverse VLAN's konfigurieren und gegeneinander ausschließen?

4 Unterrichtsräume, 1 Server (soll für alle verfügbar sein..) einen Port zum DSL-Router für den gemeinsamen Internetzugang.

Im Moment habe ich eine IP vergeben an VLAN1 (Default)

Leider fehlt miir noch ein wenig Praxis

 

Wie kann ich so etwas umsetzen???

 

Vielen Dank für die Hilfe..

[Otaku19 33]

erst mal dei vlan erstellen und am besten auch ordentlich bennen, dann die jeweiligen interfaces den vlans zurordnen

[#9370 10]

für jedes VLAN ein L3 Interface konfigurieren und mittels ACL am VLAN Intf (wird in HW gemacht) abschotten. Problem: nicht stateful -> Antwort muss berücksichtigt werden. Sollte aber für die Anforderung kein Problem sein.

Eine zweite Möglichkeit wäre mittels vrfs: Für jedes VLAN ein L3 Interface konfigurieren und dieses in ein eigenes vrf geben (eigene Routing Tabelle pro vrf). Den Uplink zur Firewall als Trunk konfigurieren, der die VLANs transportiert. Der erste Punkt an dem die VLANs zusammenkommen ist an der Firewall und die weiß wer was darf.

 

/#9370

[Maik 10]

Wie würde dabei die Eingabe der Befehle lauten um die Lösung 1 bzw. 2 zu realisieren?

Bin wie gesagt noch nicht so sehr vertraut mit der Materie..

 

Viele Grüße

 

Maik

[#9370 10]

Wie würde dabei die Eingabe der Befehle lauten um die Lösung 1 bzw. 2 zu realisieren?

Bin wie gesagt noch nicht so sehr vertraut mit der Materie..

 

Dann würde ich auf Variante 2 verzichten, da es relativ komplex wird.

 

Zu Variante 1:

 

access-list 101 deny ip any network vlan2

access-list 101 permit ip any any

 

access-list 102 deny ip any network vlan1

access-list 102 permit ip any any

 

interface vlan1

ip address x.x.x.x y.y.y.y

ip access-group 101 in

interface vlan2

ip address z.z.z.z a.a.a.a

ip access-group 102 in

 

Mit der obing schematischen Config können User aus Vlan1 nicht auf Vlan2 zugreifen und umgekehrt. Sie können aber auf den Server und ins Internet.

 

/#9370