Каковы недостатки One-armed router?

Question

[kxx]

Есть Cubietruck с одним портом gigabit ethernet и управляемый коммутатор (все порты gigabit) , поддерживающий 802.1Q. Хочу заменить старый постоянно зависающий роутер на эту связку: в vlan1 будут провод от провайдера и Cubietruck, в vlan2 будут соответственно CT и локальная сеть. Cubietruck - в роли one-armed router и торрентокачалки/minidlna/NAS для локальной сети.
Насколько жизнеспособна подобная схема? Есть ли какие-то принципиальные проблемы? Тут получается, что веб-интерфейс коммутатора будет доступен и в подсети провайдера. Насколько это небезопасно?

Answer 1

[throughtheether]

Насколько жизнеспособна подобная схема?

Вполне жизнеспособна, для "домашнего" использования (если смотреть со стороны клиента во влане 2, download+upload в сумме ограничен гигабитом, хотя, думаю, гораздо раньше, чем вы упретесь в это ограничение, истощатся ресурсы cubieboard).

Есть ли какие-то принципиальные проблемы?

Принципиальных нет, только нюансы. В случае использование оборудования cisco, например, я бы заменил влан 1 на любой другой.

Тут получается, что веб-интерфейс коммутатора будет доступен и в подсети провайдера. Насколько это небезопасно?

Если будет доступен - то это небезопасно, с возможными последствиями от подбора пароля и изменения настроек вашего коммутатора до потенциальных DoS-атак. В качестве защиты или измените настройки доступа к веб-интерфейсу (уже упомянутый management vlan, acl, и т.д.) или вообще отключите его, если есть возможность настройки коммутатора через консоль.

Comments

[kxx]

Вопрос по реализации. Как будет правильнее: сделать один vlan-интерфейс на cubietruck в vlan100 (для локальной сети) и второй vlan-интерфейс в vlan200 (для сети провайдера) или для локальной сети оставить eth0, а для сети провайдера сделать vlan-интерфейс?

[throughtheether]

или для локальной сети оставить eth0, а для сети провайдера сделать vlan-интерфейс?

Если я вас правильно понял, это соотносится с разделением трафика в зависимости от того, тегированы фреймы или нет (а ля "native vlan").
Я бы в транке между cubietruck и коммутатором тегировал бы трафик в обоих вланах, то есть:

сделать один vlan-интерфейс на cubietruck в vlan100 (для локальной сети) и второй vlan-интерфейс в vlan200 (для сети провайдера)

[throughtheether]

Хотя вполне может быть, что проявится какая-то linux-специфика, о которой я [пока] не знаю. Пока поддерживаю вариант с двумя сабинтерфейсами.

[kxx]

Спасибо, так и сделал.

Answer 2

[Сергей Петриков]

Если не нужны большие скорости - работать будет. Большинство коммутаторов умеют вешать свою управляху на отдельном вилане, зовется менеджмент вилан, просто не отдавайте этот вилан в сторону провайдера.