主页 / server / 问题 / 1049247
Accepted
Arseni Mourzenko
Asked: 2021-01-11 02:22:24 +0800 CST

为什么我看到来自另一个 VLAN 上的计算机的单播数据包？

  • 772

我（仍在）尝试在 3 级交换机（Netgear GS516TP）上正确配置 VLAN。

基本场景：VLAN 10、11、12 三个 VLAN，分别有 3 个端口和 3 台机器。

  • 10.0.10.5，连接到端口g10，属于VLAN 10。
  • 10.0.11.5，连接到端口g11，属于VLAN 11。
  • 10.0.12.5，连接到端口g12，属于VLAN 12。

在此处输入图像描述

VLAN 10 具有未标记的端口 g10、g11 和 g12。

在此处输入图像描述

VLAN 11 具有未标记的端口 g10 和 g11。同样，VLAN 12 具有未标记的端口 g10 和 g12。

在此处输入图像描述

目标是让属于 VLAN 11 和 VLAN 12 的机器能够与 VLAN 10 中的机器通信。但是，来自 VLAN 11 的机器应该对 VLAN 12 中的机器一无所知（反之亦然）。

当所有三台机器都使用网络掩码 255.255.0.0 时，路由配置设置如下：

在此处输入图像描述

现在，问题。当我从 10.0.10.5 向 10.0.11.5 发送 TCP 或 UDP 数据包时（例如通过 do nc -n 10.0.11.5 100），我可以在属于 VLAN 12 的机器上运行的 Wireshark 中看到这个数据包。它不能反过来工作，但是，即从 10.0.11.5 发送的数据包在 VLAN 12 中不可见。

我应该怎么做才能使来自 VLAN 11 的以机器为目标的数据包永远不会到达属于 VLAN 12 的端口？

routing vlan netgear

2 个回答

  1. Best Answer

    默认情况下，每个端口仅使用 L2 信息来决定如何处理数据包（L2 == MAC == 网桥）。该决定不考虑 L3，即它不知道 VLAN 的 IP 范围。

    如果您为 VLAN 启用路由，并且入站单播数据包的 MAC DA [目标地址] 是内部网桥路由器接口的 MAC DA [目标地址]，则该数据包将被路由。

    您分配给 VLAN 的 IP 地址（在上一个屏幕截图中可见）不会自行“捕获”数据包。您需要设置您的服务器以实际将数据包发送到该“内部网桥路由器接口”；通常，这是通过在服务器上添加路由表条目来完成的：

    (on 10.0.10.5):
10.0.11.0/24 dev eth0 via 10.0.10.1

    只有发往该“内部网桥路由器接口”的数据包才会移动到另一个 VLAN。

    在我的例子中，一步一步：

    1. 在 10.0.10.5 你做ping 10.0.11.5
    2. 服务器询问“谁有 10.0.10.1”
    3. 开关说“MAC 10:da:12:34 有 10.0.10.1”
    4. 服务器发送一个数据包 SOURCE 10.0.10.5 DEST 10.0.11.5 MAC_DEST 10:da:12:34
    5. 看到这样的 MAC_DEST 的交换机决定更改分配给该数据包的 VLAN
    6. 交换机还将 MAC_DEST 更改为属于 10.0.11.5 的 MAC_DEST

    （这就是任何数据包转发在以太网上的工作方式 - 没有特定于 Netgear。）

    可能，您不需要一个端口位于多个 VLAN 中（我实际上没有检查）。

    另外，设置路由 -> IP -> 路由模式=是

    Netgear 支持：什么是 VLAN 路由

    • 4

  2. 你不能那样做，你需要特殊的 VLAN 功能（端口隔离等），或者你需要用路由器来做。

    这里发生的情况是，当一个数据包（嗯，以太网帧）进入一个端口时，它会从该端口的 PVID 中获取其 VLAN id。然后它从也在同一个 VLAN 上的其他端口发出。（除非交换机当然只会将其转发到一个特定端口，如果它有一个为该特定 VLAN 存储的目标 MAC 的端口。它可能不会，因为所有端口都在不同的 VLAN 上，所以目的地不是可以在发送帧的 VLAN 中找到。）

    这意味着，通过端口 10 发送到交换机的所有内容都可以出现在端口 11 和 12 上，但通过端口 11 或 12 发送的所有内容只能进入端口 10。

    端口隔离/受保护端口/类似功能的作用是，它们会阻止单个 VLAN 内的帧转发，但某些特殊端口除外。使用这种功能，您可以将所有端口放在一个 VLAN 中，并将端口 10 标记为特殊端口，以便它可以向/从 11 和 12 发送/接收流量。但该功能会将 11 和 12 彼此隔离.

    另一种选择是将 VLAN 11 和 VLAN 12 作为标记 VLAN 带到端口 10 上的机器上。然后，在那台机器上，您可以为 VLAN 创建不同的 IP 接口，让它与两者进行通信。如果机器上没有设置路由，11 和 12 无法相互通信。当然，这台机器仍然需要支持 VLAN。

    当然，如果 Netgear 本身可以充当 VLAN 之间的路由器，那也可以。您只需要为每台机器设置 VLAN，安排路由并在 11 和 12 之间添加过滤（防火墙）。

    • 3

相关问题