iT邦幫忙

0

Fortiswitch 448D/248D 由Fortinet 101E接手統一管理時,每個switch port都無法與舊有switch上其他電腦相連接

FortiOS版本: 6.0.3

目前有三台Fortiswitch (switch): 448D X 1 / 248D X 2
一台Fortinet 101E

Fortiswitch 保持原廠出廠值都不做任何變動的情況下,將448D與101E相接,兩台248D與448D相接,電腦設備插上所有switch上的任一port,都能與其他port的電腦設備相連 (都同一個網段10.0.20.xx,無額外VLAN切割),且能與舊有的switch上(同網段)的電腦相連。

但是,一旦將三台switch全部切換成FortiLink的模式後,由101E接手管理時,448D/248D switch任何一個port接上電腦,都完全無法與舊有switch(無網管)上其他電腦相連接。

我看101E 上switch的設定,有一個Natural VLAN (假設名字為nv) 與Allowed VLAN (假設名字為av) 兩個預設的值,前者是0.0.0.0/0.0.0.0 後者是10.254.254.254/255.255.255.0
再Allowed VLAN那邊可以有ALL/nv/av的選項,預設是av。

無論port在allowed VLAN那選av或是All, 皆無法與舊有switch上電腦相連通。。。

想知道問題是在哪? 該怎麼設定呢?

感謝各位大大

1 個回答

0
mytiny
iT邦大師 1 級 ‧ 2019-04-29 11:33:09

請樓主務必要求銷售的SI將銷售產品的架構設定負責搞定

樓主所用FortiLink交換器架構屬於Security Fabric一環
建議您下次慎選SI,對於網路新架構應該要能掌握才行
當您描述網路能通的架構,其實就是傳統架構
把交換機當成普通HUB使用,但沒啥功能
Fortigate上介面有設網段就能網路通訊

再後來提到FortiLink使用資安鐵三角部分與Security Fabric
FortiLink會產生設備網段與vsw網段
而交換器FSW248D上串FSW448D則是用ISL(inter-switch links)
因此,所有交換器的port使用native Vlan(樓主Natural VLAN應為誤植)
都可以自行設定新VLAN(可以自行定義)
但如果設定10.0.20.xx就會衝突
需要將Fortigate介面網段先移開

在下建議使用FortiLink
這樣對於公司內網會有莫大管理及控制能力
同時網路結構圖以及資安拓譜圖都能夠自動產生
這些都是樓主購賣FortiSwitch就免費能提供的功能
只是需要好的技術服務罷了

看更多先前的回應...收起先前的回應...
bluegrass iT邦研究生 1 級 ‧ 2019-04-29 12:33:04 檢舉

猛。

yenct iT邦新手 5 級 ‧ 2019-04-30 02:27:31 檢舉

謝謝 mytiny 大大.. SI居然對我們買的產品不熟,又不找熟悉產品的代理商工程師來支援... 是有點小傻眼... 周末整整加班12小時居然搞不定整合... 我感覺,我自己找資源問、查可能都比SI回應給我的快...@@"

哈,很抱歉我沒能記住這些VLAN的名稱,回到家已經是星期日凌晨兩點半,早上11點沒睡飽又想說趕緊發文來請教版上高手們。。。=.=|||

FortiLink我們是一定會用,因為我老闆當初會願意花錢買Fortinet firewall跟switch一起,就是看上這中央控管的功能。。。XD 只是感覺等SI回應實在有點沒效率。。。廠商的工程師大概也太多專案同時進行吧...

大大您的意思是,除了switch在整合進firewall之後所產生的兩組預設VLANs (0.0.0.0/0.0.0.0 與 10.254.254.254/255.255.255.0)之外,我需要在另外單獨設一個VLAN (假設名稱定為vlan3),將vlan3裡面的IP設為10.0.20.254/255.255.255.0,然後所有的ports都選擇用vlan3在每個port的allowed VLAN上,而native VLAN這一欄則不動,這樣的理解是對的嗎?

謝謝大大

mytiny iT邦大師 1 級 ‧ 2019-04-30 11:53:12 檢舉

不對
是要將埠口的native VLAN設為vlan3

在下擔心自己習慣不好
落落長說一大堆"觀念",又不容易理解
所以就先直接說做法,細節樓主再看一下站內簡訊

有關Fortiswitch,個人認為是一種新的觀念
如果工程師拘泥於既有cisco設vlan設routing的網路概念
就會有一些認知障礙,需要再想想
但是FortiOS6.0以後
就把路由交給了SD-WAN
內網管理交給了WiFi&Switch控制器
事實上,根本就將網路結構簡化,以利於直接的控管IT&OT

不得不說,蠻多SI對於新的網路技術沒有更新
因此Security Fabric技術都出來二年了
多數SI還是將Fortigate定位在防火牆,有實作經驗的很少
並不是因為它們專案太多的緣故
(全部代理商熟悉FortiSwitch技術的猜想可能不超過10人)

賀喜樓主公司採用了新技術
在渡過初期掌握技術的階段之後
能夠更輕鬆、更清楚的掌握公司網路管理與資安

yenct iT邦新手 5 級 ‧ 2019-05-05 07:30:00 檢舉

mytiny大大您好! 謝謝您的回覆。確實,小弟前天好不容易找到出貨的代理商,電話中詢問代理商工程師,居然對口的工程師也不是很清楚怎麼設定。。。說要翻手冊之後再找時間告訴我們。。 =.=

我要發表回答

立即登入回答