Cisco SG300: Почему не проходит ping между vlan'ами?

Question

[Евгений Ферапонтов]

Cisco SG300 в L3-режиме, подняты vlan'ы, ip назначены, стоит dhcp relay и поднят dhcp сервак под win2012 с несколькими пулами. DHCP не хочет выдавать айпишники ни в каком из vlan'ов, кроме своего собственного. Более того, он не пингует ни один vlan, кроме своего собственного, хотя сам (и вся его подсеть, отведенная под серверы) пингуется отовсюду. show ip route показывает все vlan'ы как direct connected.

P.S.: Когда назначал vlan'ам порты, выставлял их в access для соответствующих vlan'ов (vlan'ы начинаются сразу на SG300, дальше идут неуправляемые коммутаторы). Может, здесь кроются какие-то подводные камни?

Заранее спасибо.

Comments

[Александр Карабанов]

Конфиг можете показать?

[Евгений Ферапонтов]

Это пинги.

config-file-header
gw-cisco
v1.3.0.62 / R750_NIK_1_3_647_260
CLI v1.0
set system mode router

file SSD indicator encrypted
@
ssd-control-start
ssd config
ssd file passphrase control unrestricted
no ssd file integrity control
ssd-control-end cb0a3fdb1f3a1af4e4430033719968c0
!
vlan database
vlan 10-11,102-104
exit
voice vlan oui-table add 0001e3 Siemens_AG_phone________
voice vlan oui-table add 00036b Cisco_phone_____________
voice vlan oui-table add 00096e Avaya___________________
voice vlan oui-table add 000fe2 H3C_Aolynk______________
voice vlan oui-table add 0060b9 Philips_and_NEC_AG_phone
voice vlan oui-table add 00d01e Pingtel_phone___________
voice vlan oui-table add 00e075 Polycom/Veritel_phone___
voice vlan oui-table add 00e0bb 3Com_phone______________
ip dhcp relay address 192.168.1.2
ip dhcp relay enable
bonjour interface range vlan 1
hostname gw-cisco
line ssh
exec-timeout 30
exit
no passwords complexity enable
username cisco password encrypted da3e01915690b57dd532a175c2d2232cc3d13350 privilege 15
ip ssh server
no ip http secure-server
!
interface vlan 10
 name netdevices
 ip address 192.168.0.1 255.255.255.0
!
interface vlan 11
 name servers
 ip address 192.168.1.1 255.255.255.0
!
interface vlan 102
 name active
 ip address 192.168.2.1 255.255.255.0
!
interface vlan 103
 name arenda
 ip address 192.168.3.1 255.255.255.0
!
interface vlan 104
 name city
 ip address 192.168.4.1 255.255.255.0
!
interface gigabitethernet1
 switchport mode access
 switchport access vlan 11
!
interface gigabitethernet2
 switchport mode access
 switchport access vlan 11
!
interface gigabitethernet3
 switchport mode access
 switchport access vlan 11
!
interface gigabitethernet4
 switchport mode access
 switchport access vlan 11
!
interface gigabitethernet5
 switchport mode access
 switchport access vlan 102
!
interface gigabitethernet6
 switchport mode access
 switchport access vlan 103
!
interface gigabitethernet7
 switchport mode access
 switchport access vlan 104
!
interface gigabitethernet9
 switchport mode access
 switchport access vlan 10
!
interface gigabitethernet10
 description CONSOLE_GOES_HERE
 switchport mode access
 switchport access vlan 10
!
exit

Вот с pastebin на всякий случай: pastebin.com/eL051wxP

[Евгений Ферапонтов]

Еще одно замечание: отовсюду пингуется только сам сервак, указанный в ip dhcp relay address . Вся его сетка не пингуется.
Короче, рутер, не смотря на ip routing(enable) и set system mode router не хочет маршрутизировать трафик. Какие есть варианты?

Answer 1

[Евгений Ферапонтов]

В общем, проблема оказалась в комплексе причин:
1) Встроенный фаерволл (брандмауэр Windows) блокировал ICMP-запросы;
2) DHCP-relay на Small Business - Цисках должен быть включен не только глобально, но и для каждого vlan'а, похоже;
3) WDS по-умолчанию слушает DHCP-порты и отвечает на запросы своими данными. Отключение службы решило проблему (если что, в его настройках есть галочки "не слушать порты DHCP");
4) В настройках тестового клиента (ноут с 8.1, сетевой из которого тыкали в разные vlan'ы) был отключен SSDP.
Всем спасибо за предоставленные ответы. В следующий раз буду внимательнее просматривать конфиги только что установленной Windows.

Answer 2

[throughtheether]

Предлагаю с маршрутизатора запустить пинг до интересующего вас сервера. Затем посмотреть, формируются ли соответствующие записи в ARP- и MAC-таблицах. В случае с Cisco IOS CLI это можно сделать так

ping 192.168.0.2
show arp
show mac address-table

В вашем случае синтаксис может немного отличаться.

Я вообще полагаю, что из отсутствия ответа на ICMP Echo-request еще не обязательно следует неполадка в маршрутизации. Насколько мне известно, в некоторых случаях (ОС Windows) встроенный фаерволл (брандмауэр) запрещает входящие пинги.

Comments

[Евгений Ферапонтов]

Брандмауэр действительно запрещал входящие пинги -- после выключения пинг стал проходить.
Но DHCP все еще не раздает ip. dhcp relay на циске включен глобально. В каждом из вланов его все равно нужно включать?

Answer 3

[Vilos]

Рекомендую вовсе отказаться от DHCP сервера на винде - сиска сама может адреса раздавать.....ну и пускай раздает.
А вашем же случае посмотрите на документацию по dhcp helper - скорее всего придется хелпер настраивать.

з.ы. На будущее...если задаете вопросы по цискам - сразу аттачите конфиги, гадать что там у вас сделно сложно.

Comments

[Евгений Ферапонтов]

Да проблема-то не в том, что он айпишники не раздает -- это скорее следствие главной проблемы -- связи между vlan'ами нет.

Answer 4

[Vilos]

На коммутаторе результат команды sh vlan - в студию!

Comments

[Евгений Ферапонтов]

Vlan Name Ports Type Authorization
---- ----------------- --------------------------- ------------ -------------
1 1 gi8,Po1-8 Default Required
10 netdevices gi9-10 static Required
11 servers gi1-4 static Required
102 active gi5 static Required
103 arenda gi6 static Required
104 city gi7 static Required

Answer 5

[Vilos]

На каком порту висит DHCP сервер?

Comments

[Евгений Ферапонтов]

Не понял вопроса.
Если Вы про физический порт коммутатора, то первый.

Answer 6

[Ян]

Включите на интерфейсах релей.
int vl 103
ip dh rel en

Answer 7

[Александр Карабанов]

А разве не надо сказать "no switchport" и назначить порту IP. Собствено вот вам статья: linkmeup.ru/blog/14.html

Comments

[Ян]

Нет, не нужно. Вы в самом начале переводите девайс в режим роутера.

[Евгений Ферапонтов]

Статья зачитана до дыр уже.