abs*_*ask 6 networking internet network-design vlan pfsense
与业主协会的另一名成员一起，我的任务是为我们的公寓楼设计和设置共享的高速互联网接入。我们的预算很少，希望能够做到这一点，硬件已经在手（意味着不是最先进的）。
我有超过十年的系统管理员经验，但专注于服务器端。虽然对（大部分）术语并不陌生，并且至少在设置较小的网络方面有一些实践经验，但设计这样的设置肯定超出了我的主要能力范围。
我对如何实现这一点有一个想法，但我可能没有考虑到所有因素，当然欢迎第二意见和健全性检查。
虽然这个问题是基于我的具体挑战，但我认为答案将形成一个总体上合理的方法，在预算紧张的情况下建立公平共享、分段、多租户的互联网访问。我希望这对于本网站是可以接受的。
这怎么做最好？
所有硬件至少已使用 5 年。有些是我们不久前购买的，有些是给我们的，因为它对于该公司的生产用途来说太旧了（昂贵的服务、性能等等）。
很抱歉无线电静默，但我们费了很大劲才按照我们的意愿进行网络设置。结果证明这是一个真正的 PITA，试图为每个交换机端口设置隔离，跨各种交换机。
我们获得的戴尔交换机的特定型号是少数不支持专用 VLAN 的型号之一。相反，我们获得了一个旧的 48 端口 Allied Telesis 交换机，但是虽然“私有”端口无法相互通信，但每个端口都没有与我们要求的管理网络隔离。惠普的“端口隔离”功能如宣传的那样工作，但他们没有足够的端口。
经过一番努力，我们设法获得了 1 x 48 端口和 2 x 24 端口 Cisco Catalyst 2950 - 每个都有 2 个千兆上行链路端口，其余为 100 Mbit。这有什么不同！不再需要让同一功能的不同供应商变体一起工作。
我们运行 pfSense virtual 以及一些低强度虚拟机，并且可以轻松路由 300 Mbps，而无需服务器出汗。
概括地说，这就是我们为实现目标所做的工作，也是我们目前正在运行的工作。希望这可以证明对某人有用。感谢您的输入！
这几乎是与我的问题有关的配置。我们还添加了用于远程管理访问的 OpenVPN、从 Windows PC 自动配置备份、添加了 DMZ 界面并继续微调和改进我们现在超级强大的 6 界面防火墙/路由器！:-)
我会考虑在 pfSense 中处理 VLAN 接口，而不是用 54 个它并不真正需要知道的额外 NIC（个人偏好）来弄乱 ESXi。
您没有提到任何有关您的寻址的信息，但假设您使用的是 RFC1918 私有地址（因此您拥有完全控制权），请确保寻址有意义。就我个人而言，我喜欢确保我的 VLAN 标签与我的子网匹配。在这种情况下，我会做这样的事情：
10.0.0.0/24 => Admin
10.1.101.0/24 => Apartment 1 (VLAN 101)
10.1.102.0/24 => Apartment 2 (VLAN 102)
...
10.1.154.0/24 => Apartment 54 (VLAN 154)
我向 VLAN 添加了 100，因为您不想将 VLAN 1 用于公寓 1。我还将管理和公寓子网保留在单独的 /16 中，以便您可以在如果需要，未来。
当租户希望有跨公寓流量时，您将如何处理？（例如，我和我的邻居真的是好朋友，我想和他/她分享我 NAS 上的视频）。这与其说是技术问题，不如说是政策问题。
你最终会在 pfSense 中得到很多 NIC，你必须确保不能在它们之间路由。我已经多年没有使用 pfSense，但原则上您需要设置默认的拒绝策略。这将阻止 Apt X 将流量路由到 Apt Y，而无需手动确保策略始终到位。然后创建单独的 ALLOW 策略，只让每个 apt 通过互联网连接退出。
当您使用千兆网卡时，我不明白为什么不这样做。虚拟化不会增加那么多开销。
LACP。
802.1q 是一个“标准”......取决于交换机的年龄，如果它们是在 802.1q 仍在最终确定时设计的，它们可能会做一些“奇怪”的事情，但你应该很安全。
默认拒绝策略会阻止这种情况，因此您只需要添加明确的 ALLOW 以允许它。
| 归档时间： |
|
| 查看次数： |
1999 次 |
| 最近记录： |