主页 / server / 问题 / 1061770
Accepted
Paul Ryan
Asked: 2021-04-28 12:57:35 +0800 CST

在围绕 HP Procurve 2824 交换机构建的多 VLAN 设置中加入 DMZ

  • 772

我是网络的 n00b，我需要帮助来找出设置拓扑所需的步骤。我有以下要求：

(1)一个安全 VPN，它将成为我的主要 LAN 网络，其中所有流出的流量都通过 OpenVPN 加密，并通过伪装我的位置的 AirVPN 端点流出到互联网。

(2) DMZ - 用于为需要远程访问的服务器和其他设备提供一个不受限制的区域。我希望在我的 DMZ 后面的 Debian 上运行 Nextcloud（也可以通过安全 VPN 访问），并认为从 Let's Encrypt 获得免费的 SSL/TLS 证书并强制执行 MFA 就足够了，而不是把它放在 VPN 后面并强迫用户开火- 在获得访问权限之前升级他们的 VPN 客户端。

(3)访客网络- 这将有效地暴露我的本地未加密不安全 ISP 线路及其 DNS 服务器。我想主要向需要互联网访问的访问者授予访问权限，但如果 AirVPN 出于任何原因出现故障，也可以将其作为备份。它的主要目的是防止访问我的所有本地资源，例如文件服务器等。

我有以下硬件/服务： • 来自我的 ISP 的静态 IP 地址和支持 VLAN 的交换机 (HP Procurve 2824)。（我尽可能地重置它，但意识到我买错了控制台电缆。我正在等待正确的到货）。• 我的 ISP 提供的华为 ONT WIFI 调制解调器/路由器 • 一个华硕 ADSL WIFI 路由器，我希望纯粹用于我的内部网络。• NUC8i5BEK 迷你电脑，用于托管 Nextcloud 和其他任何建议

对于我正在尝试的可行和智慧的建议，我将不胜感激。我看到许多其他网络配置也包括管理 VLAN。我是否可以将其视为矫枉过正，因为有权访问安全 VLAN 的个人很可能也可以物理访问这些服务器？

在 Procurve 交换机上设置 VLAN 是我发现最令人生畏的部分，因此我应该确保的任何提示或关键步骤将不胜感激。

我认为 Nextcloud 设置很简单，但所有其他与网络相关的技术（例如 AirVPN 和 Open VPN）都是我通过搜索假设适合我的需求的，不应被视为表明我可以远程配置他们。因此，我欢迎所有要避免的建议、提示和陷阱。

networking vlan openvpn hp-procurve

1 个回答

  1. Best Answer

    对于我正在尝试的可行和智慧的建议，我将不胜感激。

    你可以这样做。真正的智慧在于我们自己；我们需要做的就是向内一瞥并寻找它。

    我看到许多其他网络配置也包括管理 VLAN。

    最有可能的是，您不需要一个。只要您不必保护您的管理基础架构，您就不必将其分离。

    在 Procurve 交换机上设置 VLAN 是我觉得最令人生畏的部分

    您将被交换机 CLI 的简单性和效率所启发。SSH 将是一个很好的工具。在线获取 shell，将您的上下文更改为enable并输入您的愿望。

    命名你的接口（从configure上下文开始）

    interface 1
    name "Server1"
    exit
 interface 2
    name "Server2"
    exit

    创建您的 VLAN并添加一些端口（从configure上下文开始）

    vlan 3
   name "VPN-LAN"
   untagged 10-20
   tagged 1
   exit
vlan 4
   name "DMZ"
   tagged 1
   untagged 20-24
   exit

    ness的咒语untagged将这些端口上的设备相互连接 - 将交换机切割成多个，随意。

    一个端口上的多个 VLAN 需要进行tagged配置。能够说 VLAN 语言的连接设备将能够与它们交谈。

    一个端口可以untagged在一个 VLAN 中（没有 vlan ID 的数据包将以这种方式获得一个）和tagged多个 VLAN（只有在已经标记的情况下才会通过流量）。

    我认为 Nextcloud 设置很简单 [...]

    可能是这种情况，但您将需要一个路由器 - 或者在大多数情况下，网络的主人会暗示使用 - 防火墙。这样的设备应该能够通过标记自己的流量来连接（并且很可能是 L3-Separate）您的网络王国。

    我们希望您在掌握网络拓扑管理和设计的更深奥秘方面有一段激动人心的旅程。

    • 2

相关问题