42939
Feb 05, 2007, updated at Feb 10, 2007 (UTC)
3553
1
0
Welcher Switch nötig?
Hallo,
ich bräuchte eine kurze Auskunft, was ein Switch können muss, um folgendes Szenario zu lösen:
Es geht darum, einige dutzend Windows-Rechner (36*2 Netzwerk-Steckdosen, also wohl 2x48-Port Switches) in einem Netzwerk zu haben, die zwar alle mit bestimmten IP-Adressen kommunizieren können müssen (File-Server, Drucker, Router ins Internet), aber untereinander aus Sicherheitgründen nicht miteinander kommunizieren dürfen sollen, da die Rechner außerhalb unseres Einflussbereichs stehen und eine durchgehende Absicherung durch Virenscanner etc. nicht gewährleistbar ist. Was wir vermeiden wollen ist, dass sich eine Windose infiziert (per USB-Stick, Website, Mail, whatever) und alle anderen im Netzwerk mitreißt.
Meine rudimentären VLAN-Erfahrungen mit einem Managed L2 Switch von Allied Telesyn sagen mir ganz dunkel, dass ich damals daran gescheitert bin, dass ein Port nur Teil eines einzelnen VLANs sein konnte, d.h. der Port, an dem der Router zum Internet hing, war nur aus einem VLAN zugänglich.
Brauche ich dafür einen L3 Switch und falls ja, wie heißt das entspr. Feature, nachdem ich suchen könnte? Ich will im Prinzip für jeden Port einstellen können, mit welchen Ports eine Kommunikation erlaubt ist (notfalls auch IP- oder MAC-Adressen). Dabei muss es aber auch die Möglichkeit der Überlappung geben.
Danke!
ich bräuchte eine kurze Auskunft, was ein Switch können muss, um folgendes Szenario zu lösen:
Es geht darum, einige dutzend Windows-Rechner (36*2 Netzwerk-Steckdosen, also wohl 2x48-Port Switches) in einem Netzwerk zu haben, die zwar alle mit bestimmten IP-Adressen kommunizieren können müssen (File-Server, Drucker, Router ins Internet), aber untereinander aus Sicherheitgründen nicht miteinander kommunizieren dürfen sollen, da die Rechner außerhalb unseres Einflussbereichs stehen und eine durchgehende Absicherung durch Virenscanner etc. nicht gewährleistbar ist. Was wir vermeiden wollen ist, dass sich eine Windose infiziert (per USB-Stick, Website, Mail, whatever) und alle anderen im Netzwerk mitreißt.
Meine rudimentären VLAN-Erfahrungen mit einem Managed L2 Switch von Allied Telesyn sagen mir ganz dunkel, dass ich damals daran gescheitert bin, dass ein Port nur Teil eines einzelnen VLANs sein konnte, d.h. der Port, an dem der Router zum Internet hing, war nur aus einem VLAN zugänglich.
Brauche ich dafür einen L3 Switch und falls ja, wie heißt das entspr. Feature, nachdem ich suchen könnte? Ich will im Prinzip für jeden Port einstellen können, mit welchen Ports eine Kommunikation erlaubt ist (notfalls auch IP- oder MAC-Adressen). Dabei muss es aber auch die Möglichkeit der Überlappung geben.
Danke!
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 50808
Url: https://administrator.de/contentid/50808
Printed on: April 16, 2024 at 19:04 o'clock
1 Comment
VLANs nützen dir da nur bedingt was, denn innerhalb eines VLANs ist wieder eine Any to Any Kommunikation möglich. Du müsstest dann so jedes einzelne Endgerät in ein eigenes VLAN stecken, was Konfig technisch ein Albtraum ist. Zumal Billigheimer unter den Switches nur eine Handvoll von VLANs unterstützen.
Auf einem Layer 3 Switch kannst du lediglich die Layer 3 Kommunikation zwischn den VLANs filtern über Accesslisten zwischen diesen IP Netzen aber innerhalb der IP Netze (VLAN Segmente) kann dann wieder jeder mit jedem wahllos kommunizieren.
Willst du das unterbinden benötigst du einen Switch der Private VLANs (sog. PVLAN Funktion) supported ! Gute Mittel- und Oberklasse Switches haben sowas ausnahmslos in ihren Features.
Was die PVLAN Funktion macht ist einfach ein Broadcast auf alle Ports innerhalb des VLANs zu unterbinden und den nur auf konfigurierte Uplink Ports zu senden. Damit funktioniert dann z.B. kein IP ARP mehr und Stationen können nicht mehr untereinander kommunizieren, da sie ARP Broadcasts zu einem Verbindungsaufbau zwingend benötigen. Eben nur auf einen oder einzelne Uplink Ports an denen dann ein Server oder Router hängen kann werden diese Broadcasts dann gesendet.
Auf einem Layer 3 Switch kannst du lediglich die Layer 3 Kommunikation zwischn den VLANs filtern über Accesslisten zwischen diesen IP Netzen aber innerhalb der IP Netze (VLAN Segmente) kann dann wieder jeder mit jedem wahllos kommunizieren.
Willst du das unterbinden benötigst du einen Switch der Private VLANs (sog. PVLAN Funktion) supported ! Gute Mittel- und Oberklasse Switches haben sowas ausnahmslos in ihren Features.
Was die PVLAN Funktion macht ist einfach ein Broadcast auf alle Ports innerhalb des VLANs zu unterbinden und den nur auf konfigurierte Uplink Ports zu senden. Damit funktioniert dann z.B. kein IP ARP mehr und Stationen können nicht mehr untereinander kommunizieren, da sie ARP Broadcasts zu einem Verbindungsaufbau zwingend benötigen. Eben nur auf einen oder einzelne Uplink Ports an denen dann ein Server oder Router hängen kann werden diese Broadcasts dann gesendet.
