主页 / server / 问题 / 36881
In Process
Nicolas Marengo
Asked: 2009-07-08 01:37:17 +0800 CST

WAN 上的 VLAN

  • 772

我以前从未做过 VLAN，在我们自己的 LAN 中，我使用 CISCO ASA 5505 物理创建子网。

我们现在添加了一个新站点，并要求我在 2 个站点之间创建 VPN 连接和 2 或 3 个 VLAN，这与站点 1 中的相同 VLAN 将它们放在站点 2 中。例如，将使用其中一个 vlan用于两个站点的 IP 电话。另一个 VLAN 将用于应用程序。

站点将通过 10mb 租用线路连接。

我将在两端获得一个 Cisco 2821 路由器。但我一直在寻找互联网，这是一个第 2 层路由器。

现在，最好的方法是什么？我应该请求拥有一个不同的第 3 层路由器，还是应该请求第 3 层交换机插入该路由器？

谢谢

尼科

vpn vlan wide-area-network

5 个回答

  1. 首先，Cisco 2821 只是一个路由器。我不知道你是从哪里得到这个“第 2 层路由器”业务的（该声明本身就是矛盾的说法），但 2821 是一款功能完善的 IP 路由器。

    您不想跨 VPN 扩展第 2 层广播域。你不会喜欢它的表现。

    我们将您现有的位置称为“站点 A”，将新位置称为“站点 B”。让我们称之为网络：

    • 站点 A 数据子网 - VLAN id 1 - 192.168.0.0/24
    • 站点 A 语音子网 - VLAN id 2 - 192.168.1.0/24
    • 站点 B 数据子网 - VLAN id 1 - 192.168.2.0/24
    • 站点 B 语音子网 - VLAN id 2 - 192.168.3.0/24

    在您的 2821 中，您将在站点之间设置一个 IPSEC 隧道。这是使用静态密钥的一个不错的示例：http ://www.cisco.com/en/US/tech/tk583/tk372/technologies_configuration_example09186a0080094634.shtml

    完成后，您将在每一端的路由器上创建 VLAN 接口，并在每个 VLAN 中分配路由器 IP 地址：

    站点 A 中的路由器：

    interface FastEthernet0/0
no ip address
no shutdown
interface FastEthernet0/0.1
encapsulation dot1q 1 native
ip address 192.168.0.1 255.255.255.0 
interface FastEthernet0/0.2
encapsulation dot1q 2
ip address 192.168.1.1 255.255.255.0

    站点 B 中的路由器：

    interface FastEthernet0/0
no ip address
no shutdown
interface FastEthernet0/0.1
encapsulation dot1q 1 native
ip address 192.168.2.1 255.255.255.0 
interface FastEthernet0/0.2
encapsulation dot1q 2
ip address 192.168.3.1 255.255.255.0

    假设您已经正确设置了 IPSEC 隧道，并从 NAT 中排除了正确的地址，则站点中各个子网之间的流量将被透明地加密并发送到另一端。由于它们的 VLAN 接口和静态路由表条目，每一端的路由器将自动使用适当的 VLAN 标记标记流量并将它们丢弃到以太网上。

    您需要使用中继端口配置两端的交换机以将路由器连接到，并且您必须弄清楚如何将站点 A 路由器集成到您现有的路由拓扑中：现有的 ASA-5505，但这应该给你足够的继续开始。

    • 3

  2. 你想做的真的不是推荐。在 WAN 上扩展广播域不是一个好主意。
    有两种方法可以做到这一点。如果您的站点之间有第 2 层链接，则只需使用交换机。但是当您谈论路由器时，我猜您的站点与第 3 层连接，因此您可以使用 L2TP 在第 3 层上执行第 2 层（实际上是第 4 层）。

    请看一下：
    http ://blog.dest-unreach.be/2009/05/05/ethernet-over-ip-l2tp-on-cisco
    http://www.cisco.com/en/US/docs /ios/12_0s/feature/guide/l2tpv325.html
    http://www.cisco.com/en/US/prod/collat ​​eral/iosswrel/ps6537/ps6549/ps6587/prod_white_paper0900aecd8066d3f5.html

    • 2

  3. 长距离扩展第 2 层（VLAN）通常不是一个好主意。如果传播延迟太长，您将获得很多重传（充其量）。这与 Cat-5 和光纤链路有距离限制的原因相同。对于机器发送的每个 TCP 数据包，它都期望在一定时间内返回一个 ACK​​——如果它没有得到一个，它将不得不重新传输（假设连接完全可以建立）。

    这可能是深入挖掘并提出更多问题的好时机，以尝试确定目标是什么，让可能没有技术背景的人说“我想要 vlan”。

    您当然可以在两个位置使用相同的 vlan 号，并且在中间有一个第 3 层链路。每个位置的 IP 地址会有所不同，但 vlan 号可以相同。

    如果您绝对需要这样做，则需要在这些位置之间建立第 2 层隧道。您可能还需要两端的设备来执行本地 ACK 和数据包的重新定时。

    我强烈建议您对技术和业务要求进行一些额外的调查。

    • 1

  4. -- 对于机器发送的每个 TCP 数据包，它都期望在一定时间内返回 ACK

    所以呢？TCP 甚至可以在卫星上工作（延迟约 5 秒）。它将根据需要进行调整。

    对于作者来说，L2TP 可能是一种选择，但它给路由器带来了很大的负担。就个人而言，我发现带有 Linux 和 VTUN/TAP 或 OpenVPN/TAP 的 mini-ITX 平台是更好的选择。虽然没有那么强大，但它提供了出色的正常运行时间，并且在发生故障时可以轻松且便宜地更换。

    • 1

  5. （这是假设站点之间的链接是安全的并且不需要加密。）

    您如何使用 ASA 创建子网。您是在使用子接口和 VLAN，还是为每个 LAN 段使用单独的以太网接口。

    无论如何，尽管它是糟糕的设计，但我认为交换机会比路由器更有用。您不需要路由器来连接两个站点的 VLAN，因为两端需要相同的 VLAN。路由器将有助于从一个网络连接到另一个网络。

    对于您的应用，任何可以使用 VTP（VLAN 中继协议）进行中继的第 2 层或第 3 层可管理交换机都绰绰有余。只需在双方共同的接口上来自双方的中继 VLAN 和双方相似的 VLAN 将被连接。

    • 0

相关问题