Можно ли по мак адресу присвоить Vlan ID Cisco?

Question

[Sedmoy]

На предприятии есть камеры разбросаны через разные маршрутизаторы из которых только два управляемых. Во главе всего, стоит cisco swr-3750g, он видит все мак адреса камер. Можно ли сделать так чтобы cisco присваивал vlanID по мак адресу?
Просто перебирать всю сеть физически, это дорого и просто нереально долго получится а камеры нужно убрать в другую подсеть

Answer 1

[SunTechnik]

1. Не бывает неуправляемых маршрутизаторов.
Наверное, имелось ввиду коммутаторы.

2. Как строить Mac-based vlan: https://nag.wiki/plugins/servlet/mobile?contentId=...

Но в соответствующий vlan переводится порт коммутатора. Соответственно все оборудование на данном порту должно быть одного типа (камеры или нет). Тагированный трафик, иногда, проходит нормально через неуправляемых коммутаторы, но в конечной точке все равно должно стоять управляемые оборудование, чтобы сделать порт нетагированным.

3. Непонятна задача, которую решаете. Если задача перевести камеры в отдельную ip-сеть, это можно сделать и на одном L2-сегменте (хотя и неправильно).

Общий вывод: просто так - ничего не выйдет. Нужна карта подключений. Может, путем оптимизаций, и получится решить задачу.

Comments

[Sedmoy]

1. да, ошибся
2. в этом и вся соль что разбить по портам не получится, я про это и писал предприятие довольно большое и камеры в разных зданиях. тянуть их по новой что бы разбить по портам на циске это мазахизм )
по этому и интересовал вариант с определением по маку, чтобы не ковырять всю физическую сеть
3. почитаю

[SunTechnik]

Мазохизм - строить сеть уровня предприятия на неуправляемых коммутаторах.

По одному поводу можно передать несколько vlan, (Тагированный порт) но с обоих концов должно стоять управляемые оборудование.

Одти надо от задачи: какую проблему хотите решить...

[SunTechnik]

Если надо просто в отдельную ip - подсеть, то просто накладывает её на тот же L2 сегмент.
Единственное, могут быть проблемы с настройкой dhcp.

Но Вам никуда не даётся в будущем от замены оборудования, так как сейчас у Вас нет активного резервирования линков, нормальной диагностики сети итд..

[SunTechnik]

Порт коммутатора (управляемого) может быть:
1. Untarget vlan (не тагированный порт)
Это значит, что Vlan присвоен на уровне коммутатора. Конечное оборудование не требует дополнительных настроек.
Гарантированно можно подключать не управляемый коммутатор. Всё оборудование в одном vlan.

2. Target vLan (Тагированный порт) танковый порт в терминах Cisco.

В кадре ethernet есть дополнительное поле, в котором указан номер vlan.

Оборудование должно понимать данный формат и требует настройки для указания в каком vlan работать.
В частности, может использоваться для передачи по одному поводу нескольких vlan.

3. Гибридный режим. Когда есть оба типа пакетов на порту.

Поведение неуправляемого коммутатора при работе с тагированный портами не регламитировано. Обычно, передаёт пакет как есть. Это значит, что дальше либо само оборудование должно понимать тагированный vlan, либо должен стоять управляемый коммутатор, который отдаст нужный vlan на конкретный порт как нетагированный.

Умеет ли камера работать с тагированным vlan — надо читать на неё документацию.

Vlan и подсеть - это средства решения задачи. (за исключением - команды от руководителя)

Задачи: обеспечить безопасность, обеспечение пропускной способности, расширение адресов.

В целом, Ваши рассуждения верны.
Ещё одно: Условно, vlan настраивается на каждом коммутаторе отдельно. Нет общей глобальной настройки.
Поэтому надо самому отслеживать согласование типа портов.

Answer 2

[Akina]

Существуют port-based VLAN и MAC-based VLAN.
Первый - это когда определённый VLAN назначается порту коммутатора статически.
Второй - это когда VLAN назначается порту в зависимости от MAC-адреса подключенного к порту оборудования.
Оба варианта работают, само собой, только с нетегованными пакетами, то есть на чисто клиентских либо гибридных портах, но не на транковых.

Вроде бы второй вариант - именно то, что нужно. Но есть подвох. Всё зависит от того, как именно реализован протокол на конкретном устройстве. Потому как возможны два варианта.

Первый - это когда пакет от хоста направляется в VLAN в зависимости от MAC узла-источника. В этом случае получится именно то, что нужно.

Второй вариант (достаточно старый, по-моему, сейчас нигде не реализуется) - это когда порт коммутатора включается в VLAN, определяемый (первым) найденным на данном порте MAC клиента, и в дальнейшем не изменяется. Конечно, этот вариант не подходит. А потому на имеющемся оборудовании просто надо либо проверить на практике, либо почитать в мануале (впрочем, обычно этот момент не описывается), какой из вариантов реализован.

Есть ещё третий вариант, хотя на самом деле первый. Это Voice VLAN. Эта возможность имеется не на всяком оборудовании, но если имеется, то она однозначно работает по первому варианту. То есть можно тот VLAN, в котором камеры, объявить Voice VLAN, и получить решение задачи.

-------------------------------------

С другой стороны, если практически вся сеть строится на неуправляемых коммутаторах, какой вообще великий смысл в этом мероприятии? гораздо разумнее сделать нормальный проект сети и заменить всё это неуправляемое г.. на управляемые коммутаторы. Причём необязательно гнуть пальцы и брать именно сиськи - нет смысла переплачивать за шильдик со знаменитым брэндом, лучше за те же деньги купить пару резервных коммутаторов. Заодно описанная проблема сама собой рассосётся.

Comments

[Sedmoy]

Voice Vlan не автоматом разве телефоны захватывает? (что то такое читал где то)
Схватит ли он камеры?

[Valentin Barbolin]

Sedmoy,

а что бы они определялись вланом и вот тут проблема с коммутаторами меня и стопорит

пф пф пф пф.

Вообще нет ограничения использовать разные подсети в рамкаж одного VLAN. Можно на маршрутизаторе назначить еще один GW на том же интерфейсе и подсеть камер можно будет маршрутизировать, хоть в интернет хоть в VPN.

MAC-based VLAN в теории должен решить твою задачу.

[Akina]

Sedmoy,

Voice Vlan не автоматом разве телефоны захватывает?

Нет. В настройках коммутатора прописывается список МАС, и именно они перенаправляются в Voice VLAN.