iT邦幫忙

0

如何讓Vlan互通

各位前輩好,
小弟我,我是今年剛踏入這領域的實習生,
最近公司主管有拿幾台網路設備讓我玩一下,讓我自己玩玩看
希望就是能模擬做出內部網路的效果,switch切幾個vlan可以互通,設定policy,設定VPN
但目前就是卡在vlan互通的方面,找了幾台機器都無法互相ping,麻煩各位前輩的幫忙了。
https://ithelp.ithome.com.tw/upload/images/20210401/201325523azERAbSIR.png

1
補覺鳴詩
iT邦研究生 2 級 ‧ 2021-04-03 18:44:22
最佳解答

首先發問的技巧 ,資訊提供不足
你提供了防火牆"部分的設定"跟型號、韌體版本
你沒有提供 switch 的型號、韌體版本,從圖片判斷
猜測是 HP ProCurve E2620-48 48 Port 48x 10/100 + 2x 10/100/1000 + 2x SFP+ Switch J9626A
再來你的路由是設定在哪邊? fortigate 還是 switch ?
從你提供的資訊,無法得知 fortigate 跟 switch 是接什麼 port

同 bluegrass 大大所說
查閱 forti 官方文章 就算升至最新韌體 也不支援 LAG/LACP KB
所以你設定 trunk 就不對了

我這邊直接提供我的建議作法
fortigate 拿第 1 port 跟 第 switch 48 port 對接
fortigate 第 1 port
設定
vlan 1 IP 192.168.1.251/24
vlan 10 IP 192.168.10.251/24
vlan 20 IP 192.168.20.251/24
不需要設定路由,要對外的話 建立一筆 0.0.0.0/0 指到 outside gateway
建立 policy 允許通過

switch 建立 vlan 1、10、20
vlan 1、10、20 皆設定
no untagged 48
tagged 48

其他的 port
就視需要介接哪個 vlan 設定 untagged
舉例 port 1 要走 vlan 1
就在 vlan 1 設定 untagged 1

看更多先前的回應...收起先前的回應...

謝謝您的解釋,我已經能使Vlan互相通信了,您的建議我會再下次發問時再一併更改的。

bluegrass iT邦高手 1 級 ‧ 2021-04-07 09:01:52 檢舉

/images/emoticon/emoticon10.gif

mytiny iT邦大師 1 級 ‧ 2021-04-07 12:07:09 檢舉

查閱 forti 官方文章 就算升至最新韌體 也不支援 LAG/LACP

以上說法是不對的

除此外Fortigate的埠也支援vlan tag

補覺鳴詩 iT邦研究生 2 級 ‧ 2021-04-07 13:47:27 檢舉

以上說法是不對的

60D 的確官方文件沒說有支援啊 ?

另外 就我的理解 HP ProCurve trunk 的定義是 LAG/LACP
跟 cisco 的 trunk 定義 vlan tag 不同
不是指 fortigate 不支援 vlan tag

希望兩位前輩能更進一步說明到底哪邊有問題?

hsiang11 iT邦好手 1 級 ‧ 2021-04-07 17:04:53 檢舉

Forti的規格好像都100系列以上才支援Link Aggregation

補覺鳴詩 iT邦研究生 2 級 ‧ 2021-04-07 18:24:51 檢舉

官方 6.2 之後的韌體有替低階款新增支援 Link Aggregation
不過也只有這幾台低階款能上到 6.2
90E, 80E, 60E, 50E, and 30E

KB 文章在此
https://docs.fortinet.com/document/fortigate/6.2.0/new-features/226063/lacp-support-on-entry-level-e-series-devices-6-2-1

mytiny iT邦大師 1 級 ‧ 2021-04-08 11:53:36 檢舉

在6.0可以查到以下指令
To create aggregate interface - CLI:
config system interface
edit aggregate
set type aggregate
set member port4 port5 port6
set vdom root
set ip 172.20.120.100/24
set allowaccess https ssh
next
end

至於FG-60D,只是要先將softswitch
解開成各自獨立port就好

補覺鳴詩 iT邦研究生 2 級 ‧ 2021-04-08 12:37:24 檢舉

mytiny
請看 我的 30E 6.0 的 firmware 是沒有這功能的
我另一台 30E 6.2 的 firmware 就有
所以 Link Aggregation 並不是什麼機型都有
我認為我並沒有說錯 60D 在官方文件沒說有支援
實際上無法做此設定

https://ithelp.ithome.com.tw/upload/images/20210408/20102973LM43EHY2Bm.png

mytiny iT邦大師 1 級 ‧ 2021-04-08 19:12:03 檢舉

補覺鳴詩大大
在下手邊已經沒FG-60D
只記得以前是可以將它的Switch port重新解開做獨立埠
因此印象中,獨立port是可以另外做處理的(如LAG)
然後,我去找了手冊,6.0上面有相關指令(沒有說限機型)
當然,到實際設定,有可能你說的是對的
Fortigate的設備會有gen1,gen2...等版本
而FG-30E在下確實沒碰過,以您的目前實做為準
技術應實事求是,FG-60D能實作確認一下比較好

0
雷伊
iT邦高手 1 級 ‧ 2021-04-01 17:02:11

60D太舊我買不到,70D只花了我1800元
您的問題寫靜態路由即可
https://ithelp.ithome.com.tw/upload/images/20210401/20117139EzLxQuwjto.png
目的地:想通往的網段 例:192.168.10.0/24
設備:看哪個Vlan 例:Vlan10
網路閘:來源的網段的閘道 例192.168.20.251

寫錯要通知我,畢竟我也算是鱉腳網管

看更多先前的回應...收起先前的回應...

TO雷伊 關於靜態路由,我按照您的寫法,出現的是無效的網路閘位址

雷伊 iT邦高手 1 級 ‧ 2021-04-01 17:14:33 檢舉

你VLan10對VLan20的規則有開放讓他們通嗎?

有的,我是直接全部ALL,都可以允許

雷伊 iT邦高手 1 級 ‧ 2021-04-01 17:18:49 檢舉

我有重寫,你試試改192.168.20.251
然後另外寫一個路由是10 to 20的

To雷伊 還是不行呢 出現的還是要求等候逾時

雷伊 iT邦高手 1 級 ‧ 2021-04-01 17:27:20 檢舉

我還在上班沒時間實測,問題出在路由,我測完通知你,你先自己玩玩。

To雷伊 真是不好意思,真是太謝謝了

雷伊 iT邦高手 1 級 ‧ 2021-04-01 17:30:11 檢舉

靜態路由有順序,你往上調整一下

192.168.10.0/24 192.168.20.251 vlan10 距離5
192.168.20.0/24 192.168.10.251 vlan20 距離10
目前只有這兩條靜態路由

補覺鳴詩 iT邦研究生 2 級 ‧ 2021-04-03 18:47:43 檢舉

路由的順序由 距離值 決定 越小越優先
跟列表順序無關

mytiny iT邦大師 1 級 ‧ 2021-04-08 12:23:05 檢舉

路由表在距離、權值相同的狀況下
如果閘道相同,會自動啟用ECMP
若不同,會有先後順序

0
bluegrass
iT邦高手 1 級 ‧ 2021-04-01 21:23:04

歡迎加入食土

你問題出現在ICX / BROCADE上

你的TAG是放到Trk上

Trk 在ICX / ARUBA 等SWITCH 是 LAG / LACP 意思, 而60D並沒有LACP/LAG

其實, 你只需在ICX把接把FG的PORT改成Dual mode, VLAN 1一定要是untagged, 再把別的VLAN TAG上即可

FG上就基本沒什麼好設定了, 在接到ICX的UPLINK PORT上建立VLAN INTERFACE即可, 完全沒需要STATIC ROUTE

再來是FIREWALL POLICY把兩個VLAN互通即可

PS:
你ICX IP HELPER上的設定是沒有用的. 正常人都會把HELPER都設到別的SUBNET上同一SERVER上, 而你反而都指到同一VLAN的SERVER上, 同一VLAN如有DHCP那L2層面已經直接通了, IP HELPER的目的是把這些不通的 DORA L2 改成 L3 交到另一SUBNET 上 DHCP SERVER 統一處理, 別搞錯了

同業的心聲:
如果你目標是專業網 管(狗)
你畫的線路圖要好好的帶上PORT號
不然日後交接你的人會干爆你

謝謝您的幫助,您的心聲我理解了,再下一次發問時我會再把缺失的更改。

我要發表回答

立即登入回答