NETGEAR MANAGED VLAN

GdiunG

Dipende da cosa vuoi ottenere, e quali e quante VLAN devono essere assegnate ad ogni porta.

Tieni presente che la VLAN isolano. Se il traffico deve passare da una VLAN ad un'altra, ad esempio per uscire su Internet, qualcosa deve fare routing tra le VLAN, o meglio, le subnet associate alle VLAN.

Se la porta del router è solo sulla VLAN x, e altre porte sono sulla y e z, queste non vedranno mai il router. Ma se assegni più VLAN alla stessa porta, il dispositivo connesso deve essere in grado di riconoscerle e gestirle.

Le VLAN non sono 'magiche', sono semplicemente dati aggiunti ai pacchetti Ethernet, scritti, letti e interpretati dai dispositivi. Però siccome modificano la dimensione dell'header, non sono trasparenti per i dispositivi che si aspettano un header Ethrnet standard.

GdiunG Non conosco come i Fritzbox gestiscano le VLAN ma se non le supportano e richiedono di utilizzare una porta dedicata per la seconda rete (LAN 4) puoi comunque farlo ma invece di avere una porta TRUNK (con le varie vlan tagged) dovrai collegare 2 cavi separati dal router allo switch:

1. porta 1-3 del router -> porta 1 dello switch (solo vlan 1 untagged)
2. porta 4 del router -> porta 2 dello switch (solo vlan 2 untagged)

Per quanto riguarda le altre porte potrai configurarle come vlan 1 oppure 2 (sempre untagged) in base a quali dispositivi vuoi che facciano parte della prima o la seconda rete.

In questo caso potrai avere in totale al massimo 2 VLAN (non 3 come nella configurazione precedente) e non potrai settare alcuna porta come tagged perché non avresti alcun dispositivo in grado di usarle.

GdiunG Per impedire l'accesso al router dalla rete W-Fi devi creare una seconda rete Wi-Fi (SSID) impostata come Guest (ospite) che abbia solo accesso a internet e non al resto. Come farlo cambia in base al router/ap che stai utilizzando.

Lato ethernet invece se il router che utilizzi non supporta nativamente le VLAN ma permette di creare una rete guest separata l'unica strada percorribile è quella che dicevo sopra (2 cavi separati e switch che usa solo VLAN untagged, una per porta). In pratica sarebbe come dividere lo switch fisico in 2 switch virtuali separati (oppure usare direttamente 2 switch fisici separati).

GdiunG se io mi connetto via cavo al wax 202 e digito l'ip del router primario, me lo trova

Questo succede perché le porte del WAX 202 si comportano come un semplice switch quindi fanno tutte parte della rete principale e visto che il dispositivo non supporta le VLAN non hai modo di isolarle.

GdiunG ok ma se un cavo viene da accesso ospite(no pagina router principale) e l'altro da lan normale non c'è il rischio che si possa accedere alla pagina del router principale

Se quella funzionalità del router (che non conosco) è pensata per tenere separata la rete principale (porte 1-3) da quella ospite (porta 4) non c'è alcun problema, ma per esserne sicuri bisogna controllare la documentazione del produttore.

Configurando lo switch come dicevo (una sola VLAN untagged per ogni porta) è come se avessi 2 switch fisicamente separati: uno per la rete principale (collegato a una delle porte 1-3 del router) e l'altro per la rete guest (collegato alla porta 4). Se colleghi un dispositivo a una porta dello switch assegnata alla VLAN 2 (ospite) esso potrà comunicare solo con la porta 4 (rete ospite) del router e gli altri dispositivi sulla stessa VLAN.

GdiunG adesso ho fatto uno schema

Dallo schema vedo che tutti i dispositivi in questione sono sotto la rete ospiti: se il router prevede il blocco dell'accesso all'interfaccia di configurazione teoricamente nessuno di quei dispositivi dovrebbe averne accesso. Alcuni router hanno anche una funzione chiamata "device isolation" (o qualcosa del genere) che serve a impedire che ogni dispositivo riesca a vedere gli altri collegati alla stessa rete, se il tuo router ce l'ha potresti usarla per permettere il solo accesso a internet.

Se quella funzione non è presente finché i dispositivi sono collegati tutti alla rete ospiti non credo sia possibile impedire che si vedano tra loro (ma dovrebbero comunque essere isolati rispetto alla rete principale).

Se hai questa esigenza io personalmente userei router, switch e AP tutti in grado di gestire le VLAN, così da poter creare delle VLAN dedicate all'utilizzo (rete principale, rete ospiti, rete IoT). Per ognuna di quelle reti poi potresti configurare delle regole di routing/nat/firewall e un SSID Wi-Fi dedicato nell'AP. In questo modo avresti totale controllo sia sui dispositivi cablati che su quelli connessi via Wi-Fi.

GdiunG Adesso provo a mettere lo switch managed collegato al fritzbox nella porta 1
Poi metto un pc nella vlan 2 e l altro in vlan 3

Se hai collegato un solo cavo dal router (dalla LAN 4 - ospiti) a una porta dello switch managed associata a una VLAN (mettiamo la VLAN 1) è normale che

GdiunG non sembrano vedersi ma internet non sembra andare

e che

GdiunG Se metto un pc collegato direttamente al router va, se lo metto nella porta 2 e 3 non va,idem in vlan 3

perché le porte associate alle VLAN 2 e 3 a tutti gli effetti non sono connesse a nulla. Visto che il router non supporta le VLAN per connettere quelle reti a internet ti serve che a una delle porte dello switch associate a quelle VLAN sia collegato un secondo cavo proveniente dal router (se per esempio la LAN principale del router è connessa alla VLAN 1 dello switch puoi collegare la LAN 4 ospiti del router alla VLAN 2 oppure 3 dello switch). Come ti dicevo in uno dei messaggi precedenti nel tuo caso sei limitato a 2 reti in totale, visto che il router permette di crearne solo 2 (LAN principale e ospiti).

GdiunG Se può servire quando ho configurato lo switch ieri,lo avevo collegato al router tramite la sua porta 3 ,non penso che sia un problema

No, quello non fa differenza.

GdiunG Edit:ho provato, non sembrano vedersi ma internet non sembra andare

Se connetti uno switch managed alla porta 4 impostata come guest dovresti usare tutte porte untagged/access su una VLAN (es. 4). In questo caso tutto il traffico dei dispositivi con porte su quella VLAN andranno su quella porta del router e da lì dovrebbero andare su internet.

Poi puoi connettere un'altra porta dello switch ad una porta differente del Fritz - questi possono usare o porte untagged/access su una VLAN diversa, o direttamente la VLAN1. Puoi fare una cosa del genere (ho chiamato VLAN 2 la VLAN principale e VLAN 4 la VLAN che deve solo accedere a Internet).

Alte impostazioni con un Fritz che non supporta le VLAN non ne puoi fare. E ricorda che le porte devono essere tutte untagged/access, se crei delle porte tagged/trunk il Fritz non riconoscerà il traffico.

GdiunG Poi metto un pc nella vlan 2 e l altro in vlan 3

Con un Fritz non puoi usare altre VLAN se vuoi farli andare su Internet, a meno che lo switch non faccia VLAN routing, ma a quel punto le VLAN sono meno isolate senza ACL sullo switch stesso.

In genere i dispositivi sulla stessa VLAN si vedono fra di loro. Se lo switch ha l'opzione port isolation si può evitare anche questo, definendo quale porta possono vedere gli altri dispositivi (in questo caso, sarebbe probabilmente la porta del router)