SOHO Network Design (vlan + dot1q)

[s.F 10]

Hallo zusammen,

 

Bin gerade damit beschäftigt mir Gedanken bezüglich Netzwerkstruktur zu machen. Manches scheint vielleicht etwas überdimensioniert zu wirken, aber es soll unter anderem auch dem lernen/basteln dienen.

 

Router für Netzwerk Traffic sowie PPOE Einwahl übernimmt ein handelsüblicher PC auf dem Monowall als Generic PC Version läuft. In diesem System (auf CF Card instaliert) sind 5 Nics verbaut ( 3x 100 Mbit sowie 2 alte 10 Mbit Nics).

 

Monowall basiert auf FreeBSD und besitzt sehr viele Funktionen unter anderem auch IP Filter, Routeing, 802.1Q VLAN tagging und vieles mehr.

 

Als DSL Modem fungiert zweckentfremdet ein Router von Siemens (Im Bridgemode). Dazu kommt dann noch ein älterer 4 MB Calayst Switch aus der 2900er Serie. Dieser verfügt sowohl über ein Trunking fähiges Modul als auch über eine dafür passende IOS Version (11.2(8.12)SA6).

 

Im Prinzip habe ich erstmal 4 vlans auf dem Switch angelegt.

 

DMZ , LAN , Wireless Lan und ein Netz für externe PCs (Laptops von Freunde bzw. Rechner die mir mal zu geschoben werden wenn irgendwas klemmt).

 

Nun stelle ich mir die Frage in welchem Fall genau zwischen Switch und Router 802.1Q VLAN tagging genutzt wird und wo man das besser nicht tun sollte.

 

Ich tendiere dazu auf dem Lan Interface einen Trunk für die Vlans (LAN / Wireless LAN / Testing) zu erstellen. Für die o.g 3 vlans wäre die Lan Ethernet Verbindung zum Router wohl gut geeignet um auch das Routing zwischen diesen vLans zu übernehmen.

 

DMZ käme auf ein Extra NIC zum Router ohne Trunking auf diesem Link/Port.

 

Ist es eigentlich relevant ob man auf einem Ethernet Link trunking aktiviert z.B für andere vlan's wenn diese Verbindung auch für die DMZ genutzt wird? Oder ist das absolut egal weil die Netze durch's vlan sicher getrennt sind?

 

Ein wenig Infos/Vorschläge wegen nett ... bin verwirrt

[blackbox 10]

Hi,

 

achtung - schau dich mal im Forum um - zu dem Thema gibt es diverse Posts. Es ist eine reine Sicherheitsfrage - VLAN´s gelten als relativ sicher - aber eine DMZ oder "Dark Site" würde ich immer auch ein eigenes Kabel legen und nen eigene Switch - aber das ist die Sache mit dem Sicherheitsemfinden. Man kann - muss aber nicht. Trunking immer nur dann wenn du es brauchst - sonst kann man ggf. vorgeben, das man jemand anderes ist und auf ein anderes VLAN zugreifen.

[Otaku19 33]

hm, was hat das mit Cisco zu tun ? ;)