Как пробросить IP с одного VLANв другой VLAN?

Question

[nazarkokoko]

Добрый день!

Сразу говорю что чайник.

Описание задачи:

Есть два свитча (управляемые), которые соединены с межсетевым экраном (Dlink DFL-860e).

В одном свитче поднят VLAN 2 (сеть 192.168.102.0)

В другом свитче VLAN 6 (сеть 192.168.106.0)

Вопрос в следующем:

Нужно на Dlink DFL-860e создать правило, чтобы сеть ...102 видела в 106 только одну IP (192.168.106.150, стоит DVR). И чтобы DVR видел полностью 102 сеть

Comments

[Дмитрий]

Что, собственно, не получается сделать?

[nazarkokoko]

Дмитрий, создать правило, я не айтишник, а врач, а айтишника нету. Только начал разбиратся в сетях

[Akina]

Точно разные VLAN? не просто разные подсети?

А на Dlink DFL-860e тоже есть эти VLAN? Соответственно на портах, которые соединяют Dlink и Микротик - эти VLAN tagged, да?

[nazarkokoko]

Akina, разные

[nazarkokoko]

VLAN tagged - да

[Akina]

Значит, эти виланы надо соединять нетегованными. Либо внутри длинка на отдельном бридже, если он такое умеет, либо делать два нетегованных порта и соединять их патчем (и отключить на этих портах детект локальной петли, само собой). Ну и на вилане, где DVR (6-й) пиши правило, что входящие-исходящие разрешены только для адреса DVR.

[nazarkokoko]

Akina, бриджи он не умеет. Там нужно просто правило. А я не умею и не понимаю.
А как это правило должно быть? На примере

[nazarkokoko]

hint000, и что здесь прописывать?

[DDwrt100]

nazarkokoko, Шлюзы по умолчанию на dlink ? сейчас ничего не ходит ?

[nazarkokoko]

DDwrt100, Шлюзы на длинку (102.5 и 106.5), из 102.ххх сети пинг идет на шлюз 106

[DDwrt100]

nazarkokoko, вы зашли в не правильную вкладку, вам нужен ACL Листы доступа. Маршруты на dlink уже есть на эти сети.

[nazarkokoko]

DDwrt100, маршруты эсть такие

ACL нету , ноя так понял что это ACCESS

[DDwrt100]

Policies → Firewalling → Rules → Main IP Rules вот тут должно располагаться

[nazarkokoko]

Это я уже и сам понял, просто незнаю что здесь писать?

[DDwrt100]

nazarkokoko, в Action какие варианты есть ? так же в Source какие интерфейсы есть ?
В целом вам надо выбрать permit в Action, в Source интерфейс с которого идет трафик , в нетворк адрес откуда идет ,
в Destination так же только куда идет.

Что то типа Action permit(Accept)
Source interface vlan 2 192.168.102.0/24
Destination interface vlan6 192.168.106.150/32

[nazarkokoko]

DDwrt100,

пинг из 102 в 106.150 не идет
давал и allow и другой вариант (permit нету). Давал и all services

[DDwrt100]

nazarkokoko, правило выглядит верным. Что покажет команда tracert -d 192.168.106.150 ? с 192.168.102.0 на 192.168.106.150

[nazarkokoko]

DDwrt100,
DDwrt100, Превышен интервал ожидания для запроса.

[DDwrt100]

nazarkokoko, какие операционные системы на машинах? можно сюда выложить настройки интерфейсов, маска , шлюз, ip адрес ?

[nazarkokoko]

DDwrt100,
Я так понял тут еще что-то непускает.
Машины на Windows. Все шлюзы (192.168.102.5 и 192.268.106.5) прописаны на Dlink DFL-860e, Сети тоже (VLAN_2_NET, VLAN_6_NET)
LAN102:
IP - 192.168.102.1 (веду с него пинг)
255.255.255.0 (маска)
192.168.102.5 (шлюз)
LAN106:
IP - 192.168.106.150 (веду с него пинг. есть утилита в DVR)
255.255.255.0 (маска)
192.168.106.5 (шлюз)

НО !! Сейчас увидел, сеть 102 видит (идет пинг) шлюз 106.5, но не видит DVR, а DVR видит сеть 106, но не видит свой шлюз 106.5 и не видит 102 сеть.
Сам экран Dlink DFL-860e видит и 102 сеть и 106 (DVR) и шлюзы тоже - пинг идет везде.

Выходит что свитч не пускает из сети 106 до 102?

[DDwrt100]

nazarkokoko, DVR это фаервол, так что это нормально то что он может не позволять пинговать себя или с себя не видит свои интерфейсы.

Тоесть у нас сейчас ситуация DVR видит сеть 106 но не видит сеть 102? относительно 102 DVR вообще ничего не видит или какие то хосты видны ?

[nazarkokoko]

DDwrt100, DVR - 'это видеорегистратор (192,168,106,150), он видит всех в 106 сети , но не видит ни шлюз (192,168,106,5) на DFL (фаервол) ни 102 сеть.
Хотя фаервол видит всех.
Видеорегистратор из 106 сети не видит совсем 102

Я так понял что он не видит совсем шлюз на сетевом экране.
Хотя я уже прописал другое правило "наоборот".
allow vlan6/vlan_6_hirurg vlan2/vlan_2-net all-service

[DDwrt100]

nazarkokoko, если фаервол видит всех , то и все видят фаервол.
Если есть возможность, поставьте на место DVR какой нибудь компьютер, не забудте выключить фаерволы на этой машине. Посмотрите будет ли проходить пинг.