Доброго дня всем!Есть FreeBSD 7.1
Делаю:
cloned_interfaces="vlan17"
ifconfig_vlan17="inet 192.168.17.1 netmask 255.255.255.0 vlan 17 vlandev re0"Вопрос:
Можно ли заставить интерфейс vlan17 принимать untagged-пакеты(не помеченные), т.е. пакеты, не принадлежащие ни к одному VLAN-у?Спасибо.
>[оверквотинг удален]
>Есть FreeBSD 7.1
>Делаю:
>cloned_interfaces="vlan17"
>ifconfig_vlan17="inet 192.168.17.1 netmask 255.255.255.0 vlan 17 vlandev re0"
>
>Вопрос:
>Можно ли заставить интерфейс vlan17 принимать untagged-пакеты(не помеченные), т.е. пакеты, не принадлежащие
>ни к одному VLAN-у?
>
>Спасибо.нет
>[оверквотинг удален]
>Есть FreeBSD 7.1
>Делаю:
>cloned_interfaces="vlan17"
>ifconfig_vlan17="inet 192.168.17.1 netmask 255.255.255.0 vlan 17 vlandev re0"
>
>Вопрос:
>Можно ли заставить интерфейс vlan17 принимать untagged-пакеты(не помеченные), т.е. пакеты, не принадлежащие
>ни к одному VLAN-у?
>
>Спасибо.Система принимает Untagged пакеты на parent interface. У тебя это re0.
Вот еще вопрос - есть 2 провайдера, входящие на FreeBSD в em1 и em2. Можно ли средствами FreeBSD навесить на входящие пакеты VLAN-теги (разные для каждого провайдера), засунуть их в if_bridge под файрвол и выпустить вовнутрь на свитч через em3. Или я совсем уж размечтался?
>Вот еще вопрос - есть 2 провайдера, входящие на FreeBSD в em1
>и em2. Можно ли средствами FreeBSD навесить на входящие пакеты VLAN-теги
>(разные для каждого провайдера), засунуть их в if_bridge под файрвол и
>выпустить вовнутрь на свитч через em3. Или я совсем уж размечтался?
>Можно.
В мост можно объединить vlan и физическую сетевуху.
ifconfig vlan20 plumb
ifconfig vlan20 vlan 20 vlandev em0
ifconfig vlan21 plumb
ifconfig vlan21 vlan 21 vlandev em0
sysctl -w net.link.ether.bridge.config=vlan20:20,em1:20,vlan21:21,em2:21
Можно и через if_bridge, можно ng_vlan и ng_bridge
Самое интересное - всё есть в манах!
>Самое интересное - всё есть в манах!Для сферических ситуаций в манах и вправду есть все :) Моя конкретная от сферической отличается. Два провайдера приходят на два интерфейса. Выйти наружу они должны через один интерфейс с VLAN-тегами и по пути еще пролезть через файрвол. Не укладжывается в голове все это пока.
>>Самое интересное - всё есть в манах!
>
>Для сферических ситуаций в манах и вправду есть все :) Моя конкретная
>от сферической отличается. Два провайдера приходят на два интерфейса. Выйти наружу
>они должны через один интерфейс с VLAN-тегами и по пути еще
>пролезть через файрвол. Не укладжывается в голове все это пока.Вообще проблемы не вижу, и зачем бридж?
2 сетевухи, фильтруешь от них траффик через файрволл.
На 3й поднимаешь 2 VLAN'а и форвардами кидаешь траффик из первой сетевухи в 1й VLAN, а из 2й - вот 2й VLAN.
Так еще и обратный трафик пропускать таким же макаром надо. И все это без айпишников на интерфейсах.
>>Самое интересное - всё есть в манах!
>
>Для сферических ситуаций в манах и вправду есть все :) Моя конкретная
>от сферической отличается. Два провайдера приходят на два интерфейса. Выйти наружу
>они должны через один интерфейс с VLAN-тегами и по пути еще
>пролезть через файрвол. Не укладжывается в голове все это пока.В приведённом примере всё именно так и происходит.
Пакеты от 1-го провайдера приходят на em1, попадают в vlan20 через мост и в тэговом виде выходят через em0.
Для 2-го провайдера аналогично через em2 и vlan21 соответственно.
Для firewall-а что vlan, что физическая сетевуха - без разницы.
Если фильтруешь l2, то в начале нужно добавить:
add 0100 allow all from any to any layer2 mac-type vlan via em0
По факту заработало так:cloned_interfaces="bridge0 bridge1 vlan2 vlan3"
ifconfig_vlan2="vlan 2 vlandev em2 up"
ifconfig_vlan3="vlan 3 vlandev em2 up"
ifconfig_bridge0="addm vlan3 addm em3 up"
ifconfig_bridge1="addm vlan2 addm em1 up"
ifconfig_em1="up"
ifconfig_em2="up"
ifconfig_em3="up"Вопрос - а будет ли работать, если это все в один бридж засандалить? Не хочется snort два раза запускать.
>[оверквотинг удален]
>ifconfig_vlan2="vlan 2 vlandev em2 up"
>ifconfig_vlan3="vlan 3 vlandev em2 up"
>ifconfig_bridge0="addm vlan3 addm em3 up"
>ifconfig_bridge1="addm vlan2 addm em1 up"
>ifconfig_em1="up"
>ifconfig_em2="up"
>ifconfig_em3="up"
>
>Вопрос - а будет ли работать, если это все в один бридж
>засандалить? Не хочется snort два раза запускать.Поздравляю!
В один бридж НЕЛЬЗЯ, почему - подумай сам.
В манах не "сферические" случаи, а наиболее типичные, такие, например, как твой.