🚀 go-pugleaf

W dniu 16.04.2021 o 06:31, Marcin Debowski pisze:
> On 2021-04-16, Marcin Debowski <agatek@INVALID.zoho.com> wrote:
>> On 2021-04-15, Piotr Lechowicz <edithkal@gmail.com> wrote:
>>> W dniu 2021-04-15 o 05:45, Marcin Debowski pisze:
>>>> On 2021-04-15, Marcin Debowski <agatek@INVALID.zoho.com> wrote:
>>>>> Mam sieć opartą na Mikrotiku, konkretnie na hAP mini. Ta sieć jest
>>>>> dedykowana dla różnych urządzeń typu IoT, smart-srart, google home, i
>>>>> inne xiaomi, nad którymi nie do końca ma się kontrolę. Siec ta jest
>>>>> odizolowana innym routerem Mikrotiku od reszty sieci LAN, który to
>>>>> Mikrotik robi też za bramę WAN dla tego hAP i dla LAN.
>>>>>
>>>>> Część z tych IoT jest w innych niż hAP pomieszczeniach, a ściany są
>>>>> niestety grube. W tych innych pomieszczeniach jest za to LAN. I teraz
>>>>> kombinuję jak zrobić jakiś tunel z hAP przez sieć LAN do np. kolejnego
>>>>> hAP2, ale tak, aby i hAP i hAP2 nie miały dostępu do LAN. Czy
>>>>> Mikrotikowy EoIP, który normalnie stosuje się aby zrobić np. tunel przez
>>>>> sieci publiczne, się do tego nada?
>>>>>
>>>>> Nie potrafię ocenić czy to jest bezpieczne, a przy tunelu przez sieć
>>>>> publiczną nie ma to zwykle znaczenia.
>>>>
>>>> Tak jak się teraz zacząłem zastanawiać, to zdecydowanie nie jest to
>>>> bezpieczne, bo hAP2 musi być w LAN a hAP musi mieć do jego IP dostęp
>>>> (obecnie nie ma). Trzeba by to więc zrobić tak, że hAP (MAC/IP) jest
>>>> wpuszczany do LAN i może się łączyć wyłącznie z hAP2, na którym trzebaby
>>>> zrobić tez min. dwie sieci, jedną z LAN a drugą, bez routing do LAN dla
>>>> IoT.
>>>>
>>>
>>> Zejdź o poziom niżej i zrób to na VLANach.
>>> Będzie i bezpiecznie i elegancko.
>>>
>>> Oczywiście jeżeli masz switche zarządzalne chociaż w minimalnym stopniu...
>>
>> Nie mam, mógłbym rozważyć kupno, choc sprawa o tyle skomplikowana
>> (głównie cenowo), że mam sieć optyczną i skrętkę z konwersją na
>> switchach... ale sorry, bo nie znam się zupełnie na vlanach, mogę miec
>> np. 3 różne vlan'y na jednym fizycznym porcie switch'a?
Do tego właśnie służą VLANy - switch do każdego pakietu przez niego 
przechodzącego dodaje / usuwa numerek VLAN. Dzięki temu switch po 
drugiej stronie kabla wie, co z pakietem zrobić - pcha go tylko na te 
porty, gdzie ten VLAN jest zdefiniowany. Jeśli port docelowy jest typu 
access, to ma 1 VLAN i switch przy wypuszczaniu pakietów usuwa nr VLAN, 
a jeśli jest typu trunk, to może mieć wiele VLANów i switch przy 
wysyłaniu  pakietu dokleja do niego nr VLANu (to tak w dużym uproszczeniu).
> 
> Jeszcze jedno, zapewne debilne pytanie, czy wszystkie switche pomiędzy
> dwoma krańcowymi gdzie są zdefiniowane vlany, też muszą być
> zarządzalne z vlanami?
> 

Wszystkie muszą być zarządzalne.

Paweł