Brücke zwischen zwei VLANS finden

Wird schwierig.
Du kannst allerdings den STP-Modus von PVST auf RSTP wechseln und dann die Switches abhoppeln, wo STP dann einen der zwei Uplink-Ports zu dem Tischswitch blockt und anhand dieser Info über den entsprechenden Verteiler zu dem jeweiligen Büro gelangen, um dem Kollegen seinen Switch dann um die Ohren zu hauen :D



Damit löst man lediglich das Symptom und nicht das Problem ansich, dass im Netzwerk ein gefährlicher Loop und ein unerzogener Mitarbeiter existieren.

Es gibt noch andere Symptomsheiler, z.B. auf dem Core-Switch eine Extended-ACL erstellen, dass DHCP nicht überspringen darf, etc.

Hallo,

Mittels Firewallregeln und/oder Switch ACLs kann man das aber glaube ich schnell unterbinden das ein Netz auf
das andere zugreifen darf und dann sollte das auch schnell behoben sein!

Das ist der GAU für solche VLANs, aber man kann ja auch alle ungenutzen Ports sperren und dann kann niemand
mehr etwas anschließen bzw. es läuft dann ins leere.

ARP-Watch, logfiles der Switche, aber später sollte man sich einmal über LDAP und Radius Server Rollen einen Überblick verschaffen
und damit dann dem Treiben ein Ende bereiten, das wäre mir zu brenzlig wenn da mal am Freitag high noon in der Firma ist und dann
hat keiner mehr Telefon und/oder PC Zugriff das bleibt ja nur wieder an Dir hängen!

Und wo enden die bitte? An einem oder zwei Core Switch(en)? Man könnte auch einmal über die Installation von IDS Sensoren
nachdenken und dann darüber herausfinden was nicht funktioniert oder zusätzlich noch eine PRTG VM oder richtig auf einem
Server installiert eine Monitorlösung laufen lassen die dann genauen Aufschluss über das Verhalten gibt.

Gruß
Dobby

Hallo,


Der switch wird aber vermutlich am Arbeitsplatz angeschlossen sein mit je einem Kabel in die Netzwerkdose für den PC und eins in die Dose vom Telefon und Telefon und PC in den Switch.
Wenn müsste man in den Switchen was einschalten, das nicht erlaubte Geräte erkennt und dann die Ports dicht macht.

Gruß

Chonta

Das ist auch tatsächlich so, das kann man mittels eines Radius Servers und Switchen erledigen, die an ein und dem selben
Switch Port Multi-Auth. unterstützen, dann kann man nicht nur ein gerät dort authentisieren und einen kleinen Switch wie hier
in diesem Fall und dann wieder mehrere Geräte, denn das funktioniert dann nicht mehr, man kann das zwar noch so machen
nur wird dann obwohl es nur ein Switch Port ist mehrmals aufgefordert sich gegen den Radius Server zu authentisieren.

Ebenso kann man das auch mittels eines oder sogar zusätzlich mit einem LDAP Server erledigen und dann ist das auch
erledigt.

Gruß
Dobby

Das setzt aber voraus das der TO Catalyst Switches im Einsatz hat und NICHT Ciscos SG xyz Billigserie.
Leider war der TO aber nicht in der Lage das verwechslungssicher zu benennen da er nur pauschal von "Cisco" spricht.
Damit ist nicht klar ob Catalysten oder Billig. Die Billigserie supportet KEIN PVSTP (Per VLAN Spanning Tree) wie es bei den Catalysten Standard ist.

Man kann aber sehr leicht rausbekommen an welchem Port die Bridge gesteckt ist.
Lies einfach per CLI oder SNMP die Mac Adress Datenbank im Switch aus (Mac Forwarding Database). show mac ist das CLI Kommando dazu.
Wenn du dann an einem Switchport mehr als die üblichen 1 oder 2 Mac Adressen siehst (also 10 oder mehr), dann ist das der fälschlich gesteckte Port.
Du solltest dir in der Tat dringenst Gedanken über Port Security machen. 802.1x supportet nun jeder Dödelswitch mittlerweile. DHCP Snooping usw. auch. Eine Kompination von beidem elimiert solche User gemachten Probleme vollständig !

Diese "Ausrede" hören wir gefühlte 5-mal am Tag hier im Forum
Aber gut wenns nun gefixt ist. Dann mach das Netzwerk jetzt wasserdicht