Zabránění Neighbors při transportu VLANou.

[sub_zero]

Z toho Zyxellu už jde linka k zákošovi a tvoji bedně každá vlastním ethernetem?

Ano.

Pak je cesta nejmenšího odporu ten Zyxell vyhodit a dát tam něco, co tuší VLANy a umí je trochu řídit. Asi ti to dá i mikrotik RB250GS (pokud 5 portů stačí). Nastavíš, že směrem k zákazníkovi se pouští (a od něj bere) jen tagovaná VLANa 222 a ostatní je odřízlé (takže port v režimu trunk). Pokud máš šanci ukacet zákazníka, ať to změní, že dál už nebude mít na portu aktivní VLAN, ale jen přímo port bez tagu, tak mu z toho uděláš access port a na té RB250GS budeš odtagovávat/tagovat co jde tím portem. K danému portu přiřadíš jen VLAN 222 a žádnou jinou a ort bude v režimu filtrace jen povolených VLAN.

250GS tu nemám, tak to zkusím to nastavit na 450ce.

Nicméně toto ti řeší jen to, co chodí jinými VLANama. Co se ti dostne přímo do té 222, to uvidí. V podstatě buď jde o ten Miktotikový Neighbor protokol (MNDP - UDP broadcast na port 5678). Ten se dá odfiltrovat v tom 250GS asi snadno.
Další věc e, co ti tam posílají jiné bedny. Může jit o Cisco CDP protokol a Mikrotik ho umí interpretovat a zobrazuje co v něm vidí v tom neighbor také. Ten nejde nad IP, posílá se na multicast MAC adresu 01:00:0C:CC:CC:CC. Tu bohužel používá řada jiných protokolů, které není vhodné moc blokovat, to je třeba filtrovat asi dle LLC AAAA03 (v RB250GS asi neuděláš). Nicméně HP switche CDP už tak 5 let neposílají, pokud tam nemáš něco historického, před cca 5-ti lety upgrade firmware vysílání CDP odřízl a nadále ho umí jen přijímat a zobrazovat (podobně jako ROS) a vysílají bonz o sobě pomocí normalizovaného LLDP. Ten jede také na MAC muticast adresy, používá jich několik v 01:80:c2:00:00:0x. Tam se nejlépe řeže pomoci ethertype 88CC. To by mohlo jít zaříznot.

Já vím, že bych měl mít u zákazníka předávací router (u většiny to tak máme), jen mě zajímalo, zda to jde řešit s bednama co máme po cestě na úrovni L2+.

[Majklik]

Pokud to je RB450G, tak v ní je stejný switch chip s RB250GS, takže to jde nastavit celé, ať to dělá switch chip také. Stovkovou RB450 jsem v ruce neměl, ale pokud je opět chip podobný třeba s RB750, tak jde to celé nastavit také, ať to dělá HW chip. Samozřejmě to jde na každém RBčku pomocí softwarového bridge, akorát to musí chroupat chudák CPU.

Jinak bych za každou cenu k záakazníkům router necpal, zvláště pokud z něj bude 20 cm kabel do routeru zákazníka, pokud není nezbytně nutný. Pokud podobného efektu dosáhnu vhodným nastavneím L2 krabic, tak router je pak zbytečně další krám navíc, co je pomalej, moc složitej, může se rozbít....

[iTomB]

Tak hod summity do jine VLAN a mas to, proste jen ten spoj na extra VLAN na nejblizsim switchi si to tam prenastav a mas to. Max klient uvidi summity, ale zadne RB. No nejspis neuvidi ani summity, pokud budou na extra vlan a on ji nebude znat, tak by se nemeli ohlasit. Tagovani by se delalo az na druhe strane spoje, ale to zas neprojdou data k tem summitum.

[Cheprer]

A neudelame to jednoduse ze by jsme na klientskym MK na wan daly ten drop na wan toho broadcastu? Neni to jednoduchy? Svym zpusobem taky dela mrdnik, kdyz spravujes klienty. :-]
Pripadne mi kvuli jednomu klientovi tam dat zbytecne MK, ale je to reseni, tzn naklad, nekomu to nevadi.
[chapu pointu co basnik myslel, ale aktualne to vyresi problem.]