NETGEAR MANAGED VLAN

GdiunG

Nella prima schermata mostra come sono assegnata le porte in base al tag VLAN selezionato in VLAN ID. In questo caso si vede che tutte le porte sono assegnate "U" - cioè "Untagged" alla VLAN 1. Di solito la VLAN 1 è considerata la "default VLAN", esiste sempre e le porte sono associate automaticamente come untagged. Quindi se non assegnate esplicitamente ad altre VLAN, sono assegnate a questa. Se selezione le altre VLAN si vede l'assegnazione delle porte.

Come dice scorpion, i dispositivi che non sono in grado di gestire le VLAN devono essere collegati a porte untagged (dette anche "access") assegnate alla VLAN desiderata. In questo modo lo switch inserirà il tag VLAN quando un pacchetto entra, e lo rimuove quando il pacchetto esce, così che il dispositivo non sa che fa parte di una VLAN. Ovviamente all'interfaccia possono arrivare solo i pacchetti per la VLAN assegnata. È però possibile così assegnare una singola VLAN alla porta - non ci sarebbe modo altrimenti di impostare una VLAN per i pacchetti in ingresso nello switch, quale delle N assegnare?

Le porte "tagged" (dette anche "trunk") possono essere invece associate a più VLAN. In questo caso lo switch non aggiunge/rimuove il tag di un pacchetto, ma si limita a leggerlo per verificare a quale VLAN appartiene e se quindi può passare dalla porta oppure no, e a quali destinazioni può arrivare. Il dispositivo che invia o riceve il pacchetto deve però essere in grado di gestire i dati in più nel pacchetto Ethernet usati per le VLAN.

Nel tuo caso, ipotizzando di avere un router internet e 4 dispositivi su due VLAN diverse, in genere la configurazione è porte untagged per i dispositivi assegnate alle rispettive VLAN, e una porta tagged invece per il router così che il router può ricevere e inviare pacchetti per tutte le VLAN assegnate. In questo caso però l'interfaccia Ethenet del router (o di altro dispositivo connesso) deve essere in grado di ricevere e inviare i pacchetti tagged e gestire quindi le VLAN. Se non è in grado, non potrà funzionare.

GdiunG Si va benissimo, l'importante è che su ogni porta ci sia una sola VLAN untagged (che corrisponde al PVID di quella porta). Poi sulla stessa porta possono esserci più di una VLAN tagged, che saranno però utilizzabili solo se il dispositivo collegato a quella porta supporta le VLAN. Un dispositivo che non supporta le VLAN vedrà solo quella impostata come untagged e assegnata come PVID.

scorpion Nella schermata VLAN Membership dovresti togliere la VLAN 1 dalle porte da #2 a #5.

In questo messaggio dicevo di togliere la VLAN 1 dalle porte che volevi dedicare alle VLAN 2 e 3, in quanto dallo screenshot era configurata come untagged su tutte le porte dello switch, incluse quelle che vorresti usare per le altre VLAN.

--

Per semplicità nel tuo caso puoi vederla in questo modo:

1. La porta collegata al router deve includere tutte le VLAN che vuoi utilizzare, ma solo una di esse può essere impostata come untagged e PVID: nel tuo caso può essere la 1 di default. Questa porta si comporterà da TRUNK (trasporterà tutte le VLAN dal router allo switch).

2. Ogni porta alla quale collegherai dei dispositivi deve essere assegnata solo alla VLAN che desideri usare su quel dispositivo. Tale VLAN deve essere impostata come untagged e PVID di quella porta. Il dispositivo che collegherai alla porta vedrà solo ciò che è nella sua stessa VLAN, senza essere a conoscenza del fatto che esistano delle VLAN o che lo switch stia instradando il relativo traffico in una di esse.

3. Nel router devi creare le varie VLAN (sulla porta alla quale è connesso lo switch) e delle regole per indicare al router come deve comportarsi con il traffico proveniente da ciascuna VLAN. Oltre a questo, in base alle necessità, puoi configurare molte altre cose (creare diversi server DHCP per ogni rete, regole NAT, ecc.)

Sto ovviamente semplificando molto il discorso, se qualcosa non ti è chiaro chiedi pure.

GdiunG Se vuoi che le porte dell'ap non abbiano accesso all'interfaccia di gestione del router l'unica soluzione nel tuo caso sarebbe quella di collegare l'ap alla rete guest (ma perderesti l'accesso alla rete principale da tutti i dispositivi wi-fi) oppure usare 2 ap separati, uno per la rete principale e l'altro per la guest (ma non mi sembra una soluzione ottimale).

Se i dispositivi che vuoi utilizzare non sono in grado di gestire le VLAN non c'è molto altro che tu possa fare.

GdiunG oppure mi conviene fare
lan accesso ospiti--->switch unmanaged---->iot cablati ecc.

Ok, ma poi non capisco cosa intendi con:

GdiunG sempre da quello unmanaged lo collego a quello managed e poi da li ap
se faccio cosi i dispositivi cablati cosa vedono nella rete locale?
lato configurazione porte del managed tutto identico

Purtroppo non è facile risponderti senza uno schema completo di cosa vuoi ottenere.

scorpion Alcuni router hanno anche una funzione chiamata "device isolation"

Sui FRITZ!Box mi risulta disponibile soltanto lato Wi-Fi:

scorpion dovrebbero comunque essere isolati rispetto alla rete principale

Non ho mai usata la funzione ma la descrizione lo lascia supporre:

GdiunG è inutile specificare che sono intervenuto a ragion veduta, in quanto possessore di FRITZ!Box (uno di proprietà ed uno in comodato)

walt Sui FRITZ!Box mi risulta disponibile soltanto lato Wi-Fi

Si hai ragione, ho dimenticato di scrivere che mi riferivo proprio ai client Wi-Fi, hai fatto bene a specificarlo.

Su quelli cablati non vedo come possa essere implementata una cosa del genere (se i dispositivi sono nella stessa subnet/vlan) perché, a differenza di quelli connessi via Wi-Fi, essi possono comunicare tra loro direttamente senza passare dal router/ap e quindi un eventuale sistema di quel tipo non funzionerebbe.