procurve 交换机的多个 vlan 问题

Question

我有一个 cisco asa5505 作为我的 rtr/fw(10.1.3.254)。我有 vlan 1 和 vlan 3。

Vlan 1 是我默认的所有访问 vlan。VLAN 3 是我的 Guest(dmz) VLAN。

当我的笔记本电脑插入我的 procurve 上的端口 42 时，我似乎无法获得 dhcp ip 地址。我已经将我的笔记本电脑直接插入防火墙，它得到了一个 dhcp ip（防火墙是 dhcp 服务器）。防火墙插入端口 41。只有 vlan3 需要通过端口 41。

我确定我有一个笨蛋配置问题，但是我已经准备好拔掉我剩下的一点点头发了。

    vlan 1
       name "Computers"
       forbid 45
       untagged 1-41,43-44
       ip helper-address 10.1.1.16
       ip address 10.1.1.1 255.255.255.0
       tagged 46-48
       no untagged 42,45
       exit
   vlan 3
       name "Guest Wireless"
       ip helper-address 10.1.3.254
       ip address 10.1.3.1 255.255.255.0
       tagged 41-42,44-48
       exit

Answer 1

因此，您正在遭受“标记”和“未标记”流量之间非常普遍的新手混淆。我们都去过那里。

术语“标记”适用于交换机端口，意思是“从这个 VLAN 的这个端口出去的数据包将有一个 802.1q 标头，上面写着“这是一个 VLAN 的数据包<foo>”，并且“我将接受进入这个端口的数据包有一个 802.1q 标头，上面写着“这是 VLAN 的数据包<foo>”。这很好，因为这是让多个交换机都“知道”数据包在同一个 VLAN 上的唯一方法。然而，当您将数据包发送到不期望它的设备时，它并不是那么好。这种情况最常发生在您插入通用计算机时，但当连接到该端口的交换机不期望标记流量时，它也会导致问题。

另一方面，“未标记”的 VLAN 意味着“从这个端口传出这个（未标记的）VLAN 的数据包将没有802.1q 标头，它们看起来就像 VLAN 从未发生过一样”，以及“进入的数据包”此端口将承载在 VLAN 上<untagged>”。实际上，这看起来与“哑（无 VLAN）交换机”配置相同，并且通常是边缘设备所期望的。

在考虑 VLAN 时，您必须问自己的问题是“这条电缆两端的两个设备是否都知道它们会被告知该流量是该 VLAN 的一部分？”。如果“是”，则标记它。如果没有，你就没有。

在您的情况下，我几乎可以肯定您插入端口 42 的设备不期待带有 VLAN 标记的流量，因此它会以安静的“WTF？”丢弃这些数据包。和扬起的眉毛。您可以在该端口上取消标记该 VLAN，或者告诉设备它应该从 VLAN 的角度查看该流量。顺便说一下，终端设备通常可以做到这一点；例如，我们使用它来标记 VLAN 一直到我们的 VPS 服务器（并将 VLAN 标记到基于 Linux 的路由器、防火墙、负载平衡器和一些最终客户设备上）。