Czy jeden port Ethernet może obsługiwać ruch związany z pamięcią masową i routerem za pomocą VLAN-ów?

Tak, jeden port Ethernet może obsługiwać ruch związany z pamięcią masową i routerem, jeśli każde urządzenie końcowe poprawnie obsługuje trunk VLAN 802.1Q.

W kompaktowym serwerze domowym ten sam fizyczny interfejs sieciowy (NIC) może łączyć usługę NAS, sieć zarządzania, wirtualny router, kontenery oraz izolowane VLAN-y klientów za pomocą oznaczonych podinterfejsów lub mostu obsługującego VLAN. Projekt pozostaje bezpieczny tylko wtedy, gdy port przełącznika, sieć hosta, interfejsy routera, reguły zapory, ruch natywny lub nieoznaczony, budżet przepustowości oraz ścieżka odzyskiwania są zaplanowane razem.

Potwierdź, że port jest trunkiem, a nie zwykłym portem dostępowym

Port dostępowy zwykle dostarcza jedno VLAN do urządzenia, nie wymagając od niego rozumienia tagów. Trunk przenosi ramki dla wielu VLAN-ów, więc podłączony serwer domowy, hypervisor lub router musi utworzyć odpowiadające interfejsy VLAN.

Network Academy definiuje trunk jako łącze przenoszące wiele VLAN-ów. Fizyczne łącze jest współdzielone, ale każdy oznaczony VLAN pozostaje oddzielną domeną rozgłoszeniową warstwy 2, dopóki reguły routingu lub zapory nie pozwolą na komunikację.

Sprawdź sterownik NIC, system operacyjny, wirtualny most, zarządzany przełącznik i router przed kontynuacją. Jeśli którykolwiek komponent nie może zachować tagów lub przypisać zamierzonych identyfikatorów VLAN, użyj oddzielnych portów fizycznych lub uprość projekt zamiast wymuszać częściowo świadomy trunk.

Przypisz ruch pamięci masowej, routera i zarządzania do wyraźnych VLAN-ów

Przypisz każdej roli jasny identyfikator VLAN, podsieć, zachowanie bramy i cel zapory. Na przykład zarządzanie może pozostać na jednym VLAN-ie, klienci pamięci masowej na innym, a WAN lub tranzyt routera na trzecim, jeśli topologia tego wymaga.

Dyskusja Level1Techs wyjaśnia, że router musi rozumieć tagi VLAN, aby pojedyncze oznaczone połączenie mogło zastąpić kilka fizycznych łączy dostępowych.

Dokumentuj, który ruch jest oznaczony, czy dozwolony jest jakiś natywny VLAN bez tagów oraz gdzie działają DHCP i DNS. Nie używaj tej samej podsieci na dwóch VLAN-ach ani nie zakładaj, że utworzenie tagów automatycznie tworzy routing między nimi.

Zachowaj ścieżkę zarządzania przed zmianą jedynego portu

Główne ryzyko operacyjne to zablokowanie dostępu do serwera lub routera podczas zmiany interfejsu przenoszącego zarządzanie. Zachowaj lokalną konsolę, dodatkowy USB NIC, tymczasowy port dostępu lub znany nieoznaczony VLAN odzyskiwania, dopóki trunk nie zostanie zweryfikowany.

PacketDegree pokazuje wirtualny router na jednym porcie z tagowaniem VLAN na moście hosta i dopasowaną konfiguracją trunku przełącznika. Ta elastyczność oznacza również, że jedno błędne ustawienie mostu lub VLAN może przerwać wszystkie usługi na łączu.

Wprowadzaj zmiany od infrastruktury na zewnątrz: skonfiguruj dozwolone VLAN-y na przełączniku, utwórz podinterfejsy hosta, zweryfikuj zarządzanie, a następnie podłącz usługi pamięci masowej i routera. Natychmiast wycofaj zmiany, gdy VLAN zarządzania przestanie odpowiadać, zamiast wykonywać kolejne zdalne zmiany.

Featured

ZimaCube 2 Osobisty domowy NAS w chmurze

ZimaCube2

$799.00 - $2,499.00

Buy Now

Uwzględnij wspólny budżet przepustowości i kolejek

VLAN-y oddzielają domeny rozgłoszeniowe i politykę, ale nie tworzą dodatkowej fizycznej przepustowości. Kopie pamięci masowej, routing między VLAN-ami, ruch internetowy, kopie zapasowe i usługi kontenerów konkurują o ten sam port w obu kierunkach.

Trunk może więc być logicznie segmentowany, ale nadal ulec fizycznemu zatłoczeniu. Duży zapis NAS może zapełnić kolejkę wyjściową używaną przez ruch routera, a intensywne zadanie WAN lub VPN może zmniejszyć przepustowość dostępną dla SMB, mimo że VLAN-y pozostają poprawnie izolowane.

Mierz ruch jednoczesny, a nie testuj każdy VLAN osobno. Zachowaj projekt tylko wtedy, gdy opóźnienia pod obciążeniem, utrata pakietów, przepustowość SMB i wydajność routera pozostają akceptowalne; w przeciwnym razie dodaj szybszy port, oddziel ścieżkę pamięci masowej lub wymuś kształtowanie ruchu.

Zachowaj izolację pamięci masowej w zaporze i projekcie routingu

Umieszczenie pamięci masowej i tranzytu routera na różnych VLAN-ach nie chroni NAS, chyba że router lub przełącznik warstwy 3 wymuszają reguły między nimi. Określ, które VLAN-y klientów mogą uzyskać dostęp do SMB, zarządzania, DNS, kopii zapasowych i portów aplikacji.

Przewodnik Budget Homelab po VLAN-ach opisuje powszechny wzorzec, w którym reguły zapory kontrolują dostęp do VLAN-ów po tym, jak trunk przełącznika przenosi oznaczony ruch.

Testuj zarówno z dozwolonych, jak i zablokowanych klientów. Udany projekt pozwala zaufanemu klientowi pamięci masowej dotrzeć do zamierzonego udziału, odmawia dostępu IoT lub gościom, zapobiega ekspozycji zarządzania od strony WAN i nadal umożliwia wymagane usługi infrastruktury bez szerokich reguł „zezwól na wszystko”.

Zweryfikuj trunk przed przeniesieniem produkcyjnej pamięci masowej

Testuj jeden VLAN na raz, a następnie testuj obciążenie łączne. Sprawdź DHCP, DNS, dostępność bramy, dostęp SMB, zarządzanie, sieć kontenerów, routing internetowy oraz blokowanie zapory z dokładnie tych sieci klienckich, które będą ich używać.

Przewodnik ZimaSpace dla domów z ograniczonymi portami routera dostarcza kontekst fizycznego projektu obok: zarządzany przełącznik lub szybsze łącze uplink może rozwiązać problem braku portów prościej niż zmuszanie jednego hosta do obsługi każdej roli sieciowej.

Używaj trunku na jednym porcie tylko wtedy, gdy konfiguracja jest udokumentowana, odzyskiwanie zarządzania jest potwierdzone, przepustowość wystarczająca, a polityka każdego VLAN działa pod obciążeniem. Jeśli utrata tego jednego kabla jednocześnie usunie routing, pamięć masową i administrację poza twoją tolerancję, oddziel przynajmniej jedną krytyczną rolę na inny interfejs.