Segregazione rete con Router Nexxt (o altra soluzione)

igoran

Ciao a Tutti,
da poco sono passato da TIM a FW su una (malmessa) FTTC (consapevole che non avrei avuto vantaggi sulla velocità ma, per lo meno, avrei risparmiato un po').
Sfortunatamente, mi è sfuggito che avrei dovuto chiedere SUBITO di poter usare il modem libero ... e così mi ritrovo con il Fastweb NeXXt.

La mia necessità è quella di segregare la rete in modo da tenere i device "di lavoro" in una VLAN diversa da quella usata per i dispositivi domestici.

Vorrei evitare di avere doppio NAT (adottando un router in cascata a quello di FW); mi chiedevo se fosse possibile attivare il Bridge Mode sul NeXXt o, qualunque altra topologia che qualcuno di Voi ha già provato (per lo stesso problema).

Grazie
Igor.

[cancellato]

igoran non mi risulta si possa attivare la bridge mode, almeno con il firmware fw, al massimo si può mettere il router in cascata in dmz, soluzione che funziona discretamente considerando, però, che alcune porte per servizi tipici (tipo voip etc) vengono riservate al sistema

[cancellato]

igoran qualunque altra topologia

L'altra alternativa per evitare il doppio NAT è fare routing fra il dispositivo che gestisce le VLAN e il NeXXt, ma questo richiede di poter impostare rotte statiche - e non so se questo è possibile.

mark129

[cancellato] L'altra alternativa per evitare il doppio NAT è fare routing fra il dispositivo che gestisce le VLAN e il NeXXt

Ma un banale switch L2 (managed) con i dispositivi da lavoro su access port taggate ed uplink al NeXXt in trunk?
(domanda ingenua mentre sto facendo tutt'altro)

[cancellato]

mark129 uplink al NeXXt in trunk?

Il problema è che cosa fa il NeXXt quando gli arrivano i pacchetti taggati, se non supporta le VLAN sulle porte LAN? Se anche fosse in grado di strippare i tag, come fa poi a mandare i pacchetti di ritorno con il tag VLAN giusto?

igoran

[cancellato] @mark129
Era quello che avrei fatto (switch L2 managed)... ma, lato NeXXt, riuscirebbe a ruotare il traffico tra le VLAN (e verso internet) ?

[cancellato]

igoran ma, lato NeXXt, riuscirebbe a ruotare il traffico tra le VLAN (e verso internet) ?

Se il NeXXt non gestisce le VLAN non credo sia in grado di farlo. Ti tocca farlo prima - ti serve un router VLAN-aware o uno switch L3.

P1R4NH4

In teoria, ma solo in teoria eh, dovrebbe essere fattibile con uno switch L3, ma è una soluzione un po' poco pulita secondo me.
E comunque ti servirebbe uno switch L3 Fully Managed puro, non quelle robe che spacciano per switch con funzioni L3. Ad esempio potresti prendere i Netgear Serie M4300 o Dlink DSG-3600 o Dell Powerconnect o, manco a dirlo, Cisco Catalyst o comunque switch con Cisco IOS.

In teoria, se non mi perdo qualche pezzo per strada così dovrebbe andare:

Router 10.10.10.1 su /22

VLAN 1 - 10.10.10.0/22 (trasporto Switch - Router)
VLAN 2 - 10.10.11.0/24 (rete lavoro)
VLAN 2 - 10.10.12.0/24 (rete domestica)

Interfacce IPv4 sullo switch

VLAN 1 - 10.10.10.2
VLAN 2 - 10.10.11.1
VLAN 2 - 10.10.11.1

Porta 1 con VLAN 1 non taggata
Porta 2-5 con VLAN 2 non taggata
Porta 6 con VLAN 2 non taggata e VLAN 3 taggata
Porta 7-10 con VLAN 3 non taggata

Nella porta 6 colleghi un Access Point Wi-Fi, configurato così:

SSID "Rete Lavoro" su VLAN 2
SSID "Rete Casa" su VLAN 3 taggata

Nelle porte 2-5 colleghi i dispositivi cablati della rete lavoro
Nelle porte 7-10 colleghi i dispositivi cablati della rete domestica
senza impostare nessuna vlan tag sul singolo dispositivo (meno perdite di tempo e supporto per device che non supportano vlan tag)
Via Wi-Fi a secondo dell'SSID a cui ti connetti esci sulla rispettiva VLAN.

Lo Switch ti fa da DHCP server per le VLAN 2 e 3
e, ovviamente il gateway dei device su VLAN 2 e 3 saranno le rispettive interfacce IPv4 (quindi sempre lo switch stesso).

Imposti la default route dello switch verso 10.10.10.1

Se lo switch riesce a fare il routing internamente bene, se non trova nulla nella tabella di routing passa il pacchetto al router sulla VLAN 1 senza alcun tag.

Se vuoi impostare regole di VLAN isolation puoi farlo con ACL sullo switch.

Dovrebbe funzionare senza mandare in crisi nessun apparato, neanche il router che non supporta vlan, in teoria, ma ci sta che nell'immaginarmi la rete e la configurazione a mente mi sia perso qualche pezzo, sarebbe da provare...
Comunque gli switch L3 costano parecchio... precchio tipo almeno un millino.

P1R4NH4

P1R4NH4 Nel messaggio di sopra indico due volte VLAN 2, ovviamente volevo dire VLAN 3 e la subnet è 10.10.12.0/24 con IPv4 10.10.12.1 .

Comunque, in realtà, ripensandoci a mente fresca, non sono tanto sicuro che possa funzionare, ma altrettando non saperei come fare in modo diverso.
In pratica non ci sarebbe IP Overlapping, ma una situazione di Parent-Child sulle subnet, la /22 è la parent e le /24 le child.
Tutto il problema nasce dal fatto che non sia modifibile il routing del Nexxt, perchè basterebbe avere tutte /24 e impostare delle rotte statiche sul Nexxt come segue:

10.10.11.0/24 next hop 10.10.10.2
10.10.12.0/24 next hop 10.10.10.2

Ma, siccome sul nexxt non si può impostare, se usassi tutte /24 ti ritroveresti con una comunicazione unidirezionale: dallo switch al router tutto bene, ma non al contrario, perchè il nexxt non sa dell'esistenza delle altre subnet e non sa dove trovarle.
Da qui l'dea di usare una parent subnet, così che il nexxt possa essere indotto a pensare che anche le altri classi siano sue. Il problema è che non sono affatto covinto che il routing avvenga a livello switch, cioè non sono affatto convinto che lo switch riesca a fare il routing dei pacchetti tra la parent subnet e le child, sarebbe da provare, appunto...

Però, appunto, un altro modo di farlo, senza potere toccare la tabella di routing sul nexxt e senza ricorrere ad un secondo NAT non la vedo. Le VLAN le gestisce in toto lo switch L3, quello non è più un problema, ma ora è un problema di subnetting e routing...

[cancellato]

P1R4NH4 Comunque gli switch L3 costano parecchio... precchio tipo almeno un millino.

Li trovi anche a meno se vai sulle linee "small business", e comunque hanno le funzionalità che citi. Il problema più grosso è se il NeXXt non supporta almeno rotte statiche. L'idea di fare subnetting di una /24 è anche interessante, però se il NeXXt non sa di essere su una subnet "più piccola" farà casini con alcune funzioni come i broadcast.

P1R4NH4

[cancellato] Si, vero, ma non tutti hanno questo tipo di configurabilità, quindi bisogna stare molto attenti, e comunque non meno di 2-300 euro, almeno per quello che ho visto io in giro.
Quando dici fare subnetting di una /24 intendi prendere una /24 come parent e usarla con più /26?
Perchè comunque il Nexxt ha la subnet mask modificabile per la sua LAN, quindi dirgli di lavorare su una /30 o una /26 o una /24 o /22 non è un problema. Il problema è che se vuoi fare le cose pulite ed evitare problemi di broadcast, ma non solo, devi mettere Switch e Nexxt su una Subnet loro, diciamo una /24, ma anche una /30 ci basta. Il problema è che poi il Nexxt, non avendo possibilità di definire rotte statiche, non saprebbe come arrivare alle altre subnet, quindi non passerebbe i pacchetti allo switch. Allora l'idea era di fargli credere di lavorare su una subnet più grossa, che include anche le subnet più piccole delle VLAN, così lui i pacchetti li manderebbe sulla LAN, sulla subnet grossa, ma non so se a quel punto lo switch li riuscirebbe a prendere comunque i pacchetti e a reindirizzarli verso le subnet Child che sono le VLAN. Non so, perchè i pacchetti non sarebbero indirizzati direttamente allo swtich, sarebbe da provare... Ovviamente, anche se funzionasse, il broadcast sul nexxt sarebbe sballato, ma non dovrebbe casare problemi enormi essendo tutto gestito poi dallo switch.
Dico bene o mi sono perso qualche pezzo per strada?

[cancellato]

P1R4NH4 non meno di 2-300 euro,

Sì, credo anch'io.

P1R4NH4 Perchè comunque il Nexxt ha la subnet mask modificabile per la sua LAN,

Ho scritto /24 perché non sapevo la dimensione massima della subnet supportata dal NeXXt, se ne supporta di dimensioni maggiori bene, ma rimane il problema che se la subnet sul NeXXt e sul router o switch non sono le stesse hai problemi con gli indirizzi "speciali" come il broadcast - cosa che potrebbe causare confusione.

P1R4NH4

[cancellato] Si, questo sicuramente.
Penso, quindi, che senza potere definire static route sul Nexxt non sia fattibile in una configurazione stabile.
Interessante situazione, grazie per il confronto.

igoran

Grazie ragazzi per lo sforzo ed i consigli ... credo che, a questo punto, ritornerò in TIM entro un anno e cercherò di ricordarmi di segnalare l'uso del modem libero così da non avere pìù questi problemi.

La discussione sulle VLAN è interessante ... ma sono casi limite che non riesco a seguire più di tanto (non sono un network engineer anche se ho avuto a che fare con VLAN e gestione di DC e Networking).

In ogni caso, la mia idea era quella di "prepararmi" a segmentare la rete in previsione di un passaggio (futuro, spero prossimo) alla FTTH (data prevista da TIM, 2026).

Intanto ringrazio @P1R4NH4 e @[cancellato] per il tempo speso ... non è stato inutile perchè potrei riprenderlo e provare ad implementarlo (se trovassi uno switch L3 usato, magari).

Vi tengo aggiornati :-) .

grazie
Igor.

Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈 🇵🇸
P.I. IT16712091004 - info@fibraclick.it

♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile