- PR -

L３スイッチでのVLAN相互通信について

1
投稿者投稿内容
月詠
会議室デビュー日: 2009/03/25
投稿数: 2
投稿日時: 2009-03-25 14:54
L３スイッチでのVLAN相互通信について

着任3年目のしがない技術者です

現在 IPの違う3つの環境のネットークをL3で統一し、相互通信を行おうとしています。

使用機器

L3スイッチ D-Link DES−3828
ルータ１ NetScreen 50
ルータ２ NetScrenn 5GT
ルータ３ 富士通

VLAN-1 172.16.*.*/255.255.00
VLAN-2 10.10.*.*/255.255.255.0
VLAN-3 192.168.*.*/255.255.255.0

各端末はデフォルトGWを各ルータに設定していますが
各端末のGWを変更せずにVLAN間で相互通信するためにはVALNの設定をどのようにしたらよいか教えていただけますか？

kaz
ぬし
会議室デビュー日: 2003/11/06
投稿数: 5403
投稿日時: 2009-03-25 15:57
こんにちは．
引用:

月詠さんの書き込み (2009-03-25 14:54) より:

現在 IPの違う3つの環境のネットークをL3で統一し、相互通信を行おうとしています。

L3 switch の機能で統一しなければならないのですか？
router は既存なのですよね？
で，その router へ gateway が向けられている LAN が VLAN-1 〜 3 なのですよね？
ではそれぞれの router の gateway として設定されていない側（external とします）
を，同一の network address にして L2 で接続して，
それぞれの router で「自分が所属していない network」の
routing table を追加すれば良いだけでは？
たらお
大ベテラン
会議室デビュー日: 2006/12/25
投稿数: 206
お住まい・勤務地: 東京・永代通り
投稿日時: 2009-03-25 16:16
要件が見えないので、適当に書いときます。

コード:
[現状構成]

(WAN)　 (WAN)　　 (WAN)
　｜　　　｜　　　　｜
　｜　　　｜　　　　｜
[NS50]　[NS5GT]　[LR???]---------------
　｜　　　｜　　　　｜　↓変更したくない
　｜172　 ｜10　　　｜192　
　｜　　　｜　　　　｜
-[L2]----[L2]------[L2]-----------------
　｜　　　｜　　　　｜　↓触りたくない※
　｜　　　｜　　　　｜
  PC　　　PC　　　　PC


[移行方式1--上位収容]
　・3台のFW、ルータを共通セグメントに収容する。
　・WAN側を含めて、2つのVLANが必要。

　　　　 (WAN)
 ＿＿＿＿_｜＿＿＿＿＿
[＿＿＿＿VLAN2＿＿＿＿]
[＿＿＿＿VLAN1＿＿＿＿]
　｜　　　｜　　　　｜
　｜　　　｜　　　　｜
　｜　　　｜　　　　｜　　→IPアドレスの変更、経路情報の追加
[NS50]　[NS5GT]　[LR???]　→▲継続使用の有無が見えないですが？
　｜　　　｜　　　　｜
　｜172　 ｜10　　　｜192　
　｜　　　｜　　　　｜
-[L2]----[L2]------[L2]-----------------
　｜　　　｜　　　　｜　↓触らない
　｜　　　｜　　　　｜
  PC　　　PC　　　　PC


[移行方式2--相互接続]
　・WANの統合は、後でできる。
　・各FW、ルータの空きインタフェースを使用。
　・L3いらないかも

(WAN)　 (WAN)　　 (WAN)
　｜　＿＿｜＿＿＿＿｜＿
　｜／　　｜／　　　｜／→L2で接続し、経路情報を追加
[NS50]　[NS5GT]　[LR???]---------------
　｜　　　｜　　　　｜　↓変更したくない
　｜172　 ｜10　　　｜192　
　｜　　　｜　　　　｜
-[L2]----[L2]------[L2]-----------------
　｜　　　｜　　　　｜　↓触りたくない※
　｜　　　｜　　　　｜
  PC　　　PC　　　　PC

_________________
＿福田太郎＿
kaz
ぬし
会議室デビュー日: 2003/11/06
投稿数: 5403
投稿日時: 2009-03-25 17:08
それぞれの router（firewall）をいきなり L3 で入れ替えて，
VLAN 間通信させた方が効率的なように思えますが，
配線が届くか？とかいった facility が見えないのでなんとも．
月詠
会議室デビュー日: 2009/03/25
投稿数: 2
投稿日時: 2009-03-25 17:43
[現状]

[NS50] [LR?] [NS5GT]
| | |
|------------| [L2]
| L2 | |
-------------- |
| |
[PC] [PC]


[構成予定]

[NS50] [LR?] [NS5GT]
　|　　　　　　|　　　　　|
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
[ L3 ]
＿＿＿＿__＿＿＿＿_＿＿＿＿＿＿
[＿VLAN1＿|＿VLAN2＿|＿＿VLAN3＿]
___________________________________
　|　　　　　　|　　　　　|
　|172　　　　　|10　　　　|192
|---------------| [L2]
| L2 |　　　　|
|---------------|　　　　|
　　　|　　　　　　　　　|
　　[PC]　　　　　　　　[PC]

こんな感じで構成したいと思っています






[ メッセージ編集済み 編集者: 月詠 編集日時 2009-03-25 17:48 ]
たらお
大ベテラン
会議室デビュー日: 2006/12/25
投稿数: 206
お住まい・勤務地: 東京・永代通り
投稿日時: 2009-03-25 21:31
構成情報ありがとうございます。
一部レイアウトが崩れてますが、要旨は理解はできます。

・FWのIPアドレス等は変更しない。
・PCのIP設定の変更はしない。
・各VLANに、従来のGWと内部経路のGWを存在させる。

この場合は、Netscreenのセグメントでは問題です。
NetscreenはFWなので、ICMPリダイレクトを返さないと思いますので、
PCのGWがNetscreenのままでは、他セグメントとの通信ができません。
例を示します。

コード:

　(WAN)
　　｜
　　｜
　[NS50]
　GW｜宛先が内部ならICMPリダイレクト
　　｜↓
　↑｜
　[L2SW]─―[L3SW]――他セグメント
　　｜┌→リダイレクト後の流れ
　　｜
　　PC

ご希望の構成と等価なトポロジです。実際にはL3の一部をL2として使います。
ICMPリダイレクトを受信したPCにはテンポラリな経路が生成されます。


したがって、
・NetscreenとLRに各セグメントの経路を追加する。
・NetscreenのLAN側のみICMPリダイレクトを出すようにする。

または、
・PCに Route addを行い内部経路のGWをL3のIPアドレスにする。


あるいは、上の要件から逸れますが、
・現状のFWのIPアドレスをL3に譲り、FWには新しいIPを付与する。
・L3にデフォルト経路を追加する。

といった措置をすることになります。
が、WANが統合されないなら、既存のWAN超えの通信に影響が出ますので、
PCにRouteAddは必須になるかと。

_________________
＿福田太郎＿
1

スキルアップ／キャリアアップ（JOB@IT）