Связь между VLANS без маршрутизации - 802.1Q
У меня есть сетевой видеорегистратор, к которому я могу получить доступ в своей локальной сети, я хотел бы, чтобы некоторые IP-камеры, изолированные на VLAN, имели доступ к NVR только через управляемый коммутатор 802.1Q.
Я хочу, чтобы камеры подключались к сетевому видеорегистратору без потери ресурсов маршрутизатора. Могу ли я сделать это через коммутатор с 802.1Q? Я думаю о наличии отдельных VLANS на одном /24, возможно ли это (имеет ли это смысл)? Я не совсем понимаю, как (если) я могу заставить это работать без простого метода трафика, маршрутизируемого между различными подсетями для различных VLANS.
Например, если у меня есть VLAN 14 с 192.168.110.0/24 и VLAN 16 с 192.168.110.0/24. Я поместил камеры без тегов в VLAN 14 с VPID 14, а мою локальную сеть - с VLAN 16 с VPID 16, но я также поместил свой NAS в VLAN 14 без тегов, поскольку они находятся в одном домене широковещательной передачи, и камеры могут видеть NVR..? Это проблема, которую я пытаюсь решить
2 ответа
По сути, нет, вы не можете делать то, что пытаетесь сделать.
Представьте себе отдельные VLAN как физически отдельные коммутаторы, которые НЕ связаны друг с другом. Для прохождения трафика между ними должно быть какое-то соединение. Или, если вы хотите, чтобы устройство могло обмениваться данными с обеими VLAN, его необходимо "подключить" к обеим VLAN. Кроме того, если вы хотите, чтобы что-либо могло взаимодействовать с обеими VLAN, им нужно иметь разные диапазоны IP-адресов. Наличие одной и той же подсети в обеих VLAN не позволит вам общаться с обоими. Вся идея подсети состоит в том, чтобы иметь 1 уникальную подсеть на широковещательный домен. VLAN - это автономный широковещательный домен. Просто наличие одной подсети IP в двух разных сетях не делает их частью одного и того же широковещательного домена.
Если вы хотите какую-то форму разделения без маршрутизации, то у вас есть 3 варианта.
1) поставить кулачки и NVR за брандмауэром. Вам не нужны маршрутизация, виртуальные локальные сети или даже отдельные подсети, хотя вы можете, как и большинство брандмауэров, также маршрутизаторы. В этом отношении большинство управляемых коммутаторов также являются маршрутизаторами.
2) иметь две сетевые карты в NVR или ПК, чтобы иметь это устройство в обеих VLAN. Не используйте одну и ту же IP-подсеть для обеих, иначе вы не сможете нормально общаться с обеими VLAN.
3) не используйте отдельные VLAN, просто разделите подсети и добавьте несколько IP-адресов к вашему ПК, и поместите NVR в ту же подсеть, что и камеры.
Варианты 1 и 2 предлагают гораздо больше разделения, чем вариант 3
Редактировать: если устройство имеет сетевую карту на том же наборе физически связанных коммутаторов и той же сети VLAN и той же подсети, что и другое устройство, и ни одно из устройств не использует перекрывающийся диапазон IP-адресов (он же подсеть), то да, они могут общаться с друг с другом, независимо от того, являются ли одно или оба устройства членами других VLAN или нет.
Вы, кажется, попадаете на vpid с тегами и без тегов. Это всего лишь механизмы, позволяющие определить, к какому vlan пакет должен быть подключен или из какого vlan сетевой карты будут отправляться пакеты или прослушиваться. По существу нет никакой разницы между пакетом на коммутаторе и немаркированным vpid-пакетом с тегом vlan. Если они оба имеют одинаковый номер VLAN, они будут подключены коммутатором. Если у них другой номер, они не будут подключены, то есть не будут подключены к одной и той же сети, даже если оба используют теги, без тегов или vpid. Между прочим, один сетевой порт не может иметь 2 VLAN, использующих нетегированные пакеты на одном физическом порту коммутатора. Если пакет не имеет тега, то коммутатор назначает номер по умолчанию в качестве VLAN для этого пакета, что и указывает VPID.
После подключения устройств к одним и тем же коммутаторам VLAN вы можете беспокоиться о подключении их к одному и тому же диапазону IP-адресов в этой коммутируемой сети и избежании перекрытия и противоречивых диапазонов IP-адресов.
Если вы хотите установить связь между виртуальными локальными сетями, вам необходимо реализовать какую-либо маршрутизацию между ними, поскольку в противном случае они будут полностью изолированы. Это можно сделать в зависимости от используемого вами оборудования. Например, если у вас есть коммутатор L3 CISCO, вы всегда можете включить маршрутизацию между VLAN.
Обратите внимание, что подсеть и VLAN - это не одно и то же. IP-адреса подсетей могут связываться друг с другом без использования устройств маршрутизации. VLAN потребует маршрутизации.