В настоящее время я настраиваю сетевой коммутатор (HP procurve-8212) с нуля. Для начала я пытаюсь настроить простое соединение LAN и WAN. У меня есть интернет-провайдер, который предоставляет мне шлюз, который я могу использовать для доступа к глобальной сети.
Поэтому я немного запутался в некоторых основных концепциях, касающихся IP-адреса самого коммутатора. Таким образом, очевидно, что для самого коммутатора требуется IP-адрес, если к нему должны получить доступ другие устройства в сети (кроме прямого последовательного соединения). Теперь установить IP-адрес для коммутатора легко, но мне не ясно, должен ли IP-адрес коммутатора быть внутренним адресом локальной сети, например 10.0.0.1 или что-то в этом роде, или внешний IP-адрес в глобальной сети, который находится в диапазоне статических IP-адресов, назначенных мне моим интернет-провайдером. Или, в-третьих, если мне нужно настроить несколько VLAN, одну для LAN и одну для WAN - или, возможно, все вышеперечисленное возможно, но есть разные компромиссы / последствия для безопасности.
Итак, чтобы просто поэкспериментировать с базовой конфигурацией, я назначил коммутатору адрес LAN 10.0.0.1 и дал маску подсети 255.0.0.0 для сети / 8, охватывающей 10.0.0.0–10.255.255.255. (Я все это изменю позже, но я просто пытаюсь поэкспериментировать с базовой конфигурацией.) И я даю коммутатору адрес шлюза, предоставленный моим интернет-провайдером. Все это является частью единой VLAN по умолчанию.
Это работает на стороне LAN. Я настраиваю все устройства, подключенные к коммутатору, со статическим IP-адресом, и теперь все устройства могут пинговать коммутатор, а также пинговать друг друга.
Однако я не могу получить доступ к WAN. Насколько я понимаю, коммутатор должен быть настроен на использование шлюза, предоставленного моим интернет-провайдером, а затем любое устройство, подключенное к коммутатору, должно использовать адрес самого коммутатора в качестве шлюза. (Опять же, позже я добавлю промежуточный брандмауэр, но пока я просто экспериментирую с базовой конфигурацией.)
Итак, я понимаю, что для произвольного компьютера, подключенного к коммутатору, если я статически назначу этому компьютеру IP-адрес локальной сети, а затем настрою этот компьютер на использование IP-адреса локальной сети коммутатора в качестве шлюза, то компьютер должен иметь возможность для доступа в Интернет (поскольку коммутатор является его шлюзом, а шлюз коммутатора - это шлюз, предоставляемый провайдером).
Однако я не могу проверить связь с действительными интернет-адресами с компьютера, подключенного к коммутатору. (У меня еще не работает DNS, но я получаю IP-адрес google.com со своего смартфона, а затем пытаюсь пропинговать его, и это не работает.)
Опять же, я могу проверить связь с IP-адресом коммутатора (который является IP-адресом локальной сети), а также я могу выполнить проверку связи с любым IP-адресом по локальной сети, но я не могу получить доступ к Интернету с любого устройства, подключенного к коммутатору.
Итак, здесь есть несколько недоразумений, поэтому мне трудно сформулировать это в один связный вопрос, но моя лучшая попытка сделать это была бы:
Должен ли IP-адрес коммутатора быть адресом LAN или WAN (или каковы последствия этого), и как следует настроить коммутатор, чтобы любое устройство, подключенное к коммутатору, могло получить доступ в Интернет?
Указывает ли сам мой вопрос, что мне здесь не хватает какой-то ключевой концепции? Я подозреваю, что мне здесь не хватает ключевой концепции (возможно, мне нужно указать правила маршрутизации или маршрут по умолчанию?), Но, поскольку я не знаю, что это за концепция, сложно сформулировать конкретный вопрос по этому поводу.
Указывает ли сам мой вопрос, что мне здесь не хватает какой-то ключевой концепции?
Да. Вы имеете дело с коммутатором: это не маршрутизатор. Вы можете использовать L2, который для
Коммутатор L3, такой как HP Procurve 8212, дополнительно может
Но вы не можете использовать его здесь как шлюз, так как он не годится преобразование сетевых адресов (NAT) между общедоступными и частными сетями. Ваш роутер должен это делать.
Чего вам не хватает, так это шлюза / брандмауэра с поддержкой NAT. Вам нужен сервер с несколькими сетевыми портами, на котором работает что-то вроде pfsense или Untangle, такое устройство, как Watchguard или Sonicwall, или настоящий маршрутизатор, например HP MSR-50 или Cisco ISR.
После этого вы настраиваете один интерфейс на своем новом маршрутизаторе / брандмауэре с внешним адресом от вашего интернет-провайдера, подключаете его к вашему модему интернет-провайдера и настраиваете NAT для соединения. Затем вы можете назначить внутренние адреса своему коммутатору и другому порту на брандмауэре и подключить их. При настройке остальной части вашей сети попросите ваш DHCP-сервер выдать внутренний адрес брандмауэра в качестве шлюза по умолчанию.
Если задействовано несколько виртуальных локальных сетей, вам необходимо решить, будет ли межсетевой экран или коммутатор обрабатывать трафик между виртуальными локальными сетями. Это определит, нужны ли вам дополнительные (возможно, виртуальные) интерфейсы на брандмауэре (которые также настроены на этом порте коммутатора), а также то, что DHCP-сервер выдает для адреса маршрутизатора / шлюза по умолчанию и других элементов конфигурации в коммутаторе. .
Сеть обычно рассматривается в терминах «слоев». Каждый слой строится на последнем.
Провода перемещают электричество; это называется уровнем 1 или «физическим» уровнем. Это то, к чему можно прикоснуться пальцами.
Коммутаторы перемещают кадры Ethernet; это называется уровнем 2 или уровнем «канала передачи данных». Этот уровень ничего не знает об IP-адресах или маршрутизаторах. (В последнее время это «переключатель уровня 2».)
Маршрутизаторы перемещают IP-пакеты, это называется уровнем 3 или «сетевым» уровнем. Шлюз - это еще один термин для обозначения маршрутизатора. (Совсем недавно «коммутатор уровня 3» стал другим термином для маршрутизатора. Это сбивает с толку.)
В общих чертах, вы можете думать о кабелях Ethernet как о дорогах, о фреймах Ethernet как о транспортных средствах на этих дорогах, а о коммутаторах как о перекрестках со светофорами. IP-пакеты будут грузом внутри транспортных средств, а маршрутизаторы - транспортными манифестами. Выключатели и рамы (автомобили, дороги и светофоры) идут вместе, но груз и манифесты находятся за пределами возможностей людей, проектирующих дороги. (Это не идеальная аналогия.)
Номинально коммутаторы (коммутаторы уровня 2) полностью не осведомлены о сетевом / IP уровне. Для управления коммутатором (коммутатор 2 уровня) достаточно назначить IP-адрес. Более дешевые коммутаторы не управляются, и с ними вообще не будет связан IP-адрес.
Концептуально представьте управляемый коммутатор (коммутатор уровня 2) как устройство уровня 2 с миниатюрным компьютером внутри него. Часть переключателя перемещает кадры вокруг; компьютер используется для управления и подключается к внутреннему порту коммутатора с помощью короткого кабеля Ethernet. (Это не идеальная аналогия.)
Неясно, как выглядит шлюз / маршрутизатор, предоставленный вам вашим интернет-провайдером, то есть физические порты и конфигурация IP-адреса. Они могут выполнять маршрутизацию на шлюзе, они могут также выполнять NAT; или оба, или ни то, ни другое. Так что я не могу хорошо об этом говорить.
Если у вас есть общедоступный маршрутизируемый IP-адрес на порту Ethernet на шлюзе, предоставленный вашим интернет-провайдером, тогда у вас есть крошечный уголок Интернета, в который вы можете поместить все, что захотите. Это вполне может быть что-то, что вы добавили в одну VLAN на коммутаторе.
Тогда вам, вероятно, понадобится брандмауэр где-нибудь, вероятно, с NAT, для вашей частной сети. У этой модели коммутатора есть некоторые базовые возможности маршрутизации (коммутатор уровня 3), но я считаю, что ему не хватает даже возможности NAT, и, конечно, нет ничего, что я бы доверял в качестве межсетевого экрана.
Так что обычно вы получаете другое устройство, которое будет действовать как брандмауэр, и подключаете его к коммутатору. Вы бы поместили и шлюз / маршрутизатор, и брандмауэр в одну и ту же общедоступную / WAN / любую другую VLAN и назначили брандмауэру общедоступный IP-адрес в этой VLAN.
Затем вы должны установить другое соединение между брандмауэром и коммутатором для отдельной частной / локальной / любой VLAN. Это может быть со вторым кабелем и портом коммутатора, или, если брандмауэр поддерживает это, вы можете подключить все VLAN к брандмауэру на одном кабеле (иногда это называется «маршрутизатор на палке»).
Если вам нужны более конкретные ответы, задавайте более конкретные вопросы. :-)