2910 VLAN间路由部分工作

Question

我正在慢慢地尝试解决我继承的ip范围问题。

目前，一切都在100.100.100.x上。我正在慢慢地把东西移到10.12.x.x范围内。目前，我在100.100.100.222上的Watchguard防火墙正在为用户做我的工作，我想更改一下，这样，100.100.100.79上的Pro曲线就可以代替路由了。

第一阶段是在VLAN 99 10.12.99.1上建立到防火墙的第二个连接，所以因特网接入可以工作，我已经让它在VLAN 123上工作了。

这是我的vlan设置。

VLAN ID Name                 | Status     Voice Jumbo
------- -------------------- + ---------- ----- -----
1       DEFAULT_VLAN         | Port-based No    No
20      ISCSI                | Port-based No    No
99      DMZ                  | Port-based No    No
121     Client_PCs           | Port-based No    No
122     Production           | Port-based No    No
123     Servers              | Port-based No    No

我可以在VLAN 1和123之间切换。我不能在VLAN 122和123之间切换。

这是我正在运行的配置；J9145A配置编辑器；在发布#W.14.38上创建的

hostname "AKS-BROX-SW2"
module 1 type J9145A
interface 24
   name "LINK TO FP"
exit
trunk 19-22 Trk1 LACP
trunk 6-9 Trk2 LACP
ip default-gateway 100.100.100.222
ip routing
vlan 1
   name "DEFAULT_VLAN"
   untagged 1-3,5,10,24,Trk1-Trk2
   ip address 100.100.100.79 255.255.255.0
   no untagged 4,11-18,23
   exit
vlan 20
   name "ISCSI"
   untagged 11-18
   ip address 172.16.230.253 255.255.255.0
   tagged Trk1
   exit
vlan 121
   name "Client_PCs"
   ip address 10.12.1.254 255.255.255.0
   tagged Trk2
   exit
vlan 122
   name "Production"
   ip address 10.12.2.254 255.255.255.0
   tagged 1-2,5,10-11,Trk2
   exit
vlan 123
   name "Servers"
   ip address 10.12.3.254 255.255.255.0
   tagged 1-2,4-5,10-11,Trk2
   exit
vlan 99
   name "DMZ"
   untagged 23
   ip address 10.12.99.254 255.255.255.0
   exit
fault-finder bad-driver sensitivity high
fault-finder bad-transceiver sensitivity high
fault-finder bad-cable sensitivity high
fault-finder too-long-cable sensitivity high
fault-finder over-bandwidth sensitivity high
fault-finder broadcast-storm sensitivity high
fault-finder loss-of-link sensitivity high
fault-finder duplex-mismatch-HDx sensitivity high
fault-finder duplex-mismatch-FDx sensitivity high
timesync sntp
sntp unicast
sntp server priority 1 192.146.137.13 3
ip route 0.0.0.0 0.0.0.0 10.12.99.1
ip route 10.12.1.0 255.255.255.0 10.12.99.1
ip route 10.12.2.0 255.255.255.0 10.12.99.1
ip route 10.12.3.0 255.255.255.0 10.12.99.1
ip route 100.100.100.0 255.255.255.0 10.12.99.1
snmp-server community "snmp-public" operator
snmp-server community "monitor" operator
spanning-tree
spanning-tree 4 path-cost 41000
spanning-tree Trk1 priority 4
spanning-tree Trk2 priority 4
spanning-tree priority 7
no autorun
password manager

最后但并非最不重要的是.

                               IP Route Entries

  Destination        Gateway         VLAN Type      Sub-Type   Metric     Dist.
  ------------------ --------------- ---- --------- ---------- ---------- -----
  0.0.0.0/0          10.12.99.1      99   static               1          1
  10.12.1.0/24       Client_PCs      121  connected            1          0
  10.12.2.0/24       Production      122  connected            1          0
  10.12.3.0/24       Servers         123  connected            1          0
  10.12.99.0/24      DMZ             99   connected            1          0
  100.100.100.0/24   DEFAULT_VLAN    1    connected            1          0
  127.0.0.0/8        reject               static               0          0
  127.0.0.1/32       lo0                  connected            1          0
  172.16.230.0/24    ISCSI           20   connected            1          0

我不能让VLAN 122和VLAN 123互相交谈，所以我假设路由是错误的，但是如果我试图添加一条路由.

ip路由10.12.2.0/24 10.12.3.254

我知道这个错误。10.12.3.254不能同时交换IP地址和路由网关。

我一定有错误的配置，但我不知道它是什么。

谢谢

Answer 1

一个2910与激活的ip routing路由，从和到任何VLAN，它有一个IP地址分配。

因此，如果一个节点不能从另一个VLAN子网到达一个VLAN子网，那么它很可能不在正确的VLAN中。

ip route 10.12.2.0/24 10.12.3.254无法工作，因为10.12.2.0/24已经在本地连接，10.12.3.254是交换机本身--您不能告诉它路由回自己。

另外，

ip route 0.0.0.0 0.0.0.0 10.12.99.1
ip route 10.12.1.0 255.255.255.0 10.12.99.1
ip route 10.12.2.0 255.255.255.0 10.12.99.1
ip route 10.12.3.0 255.255.255.0 10.12.99.1
ip route 100.100.100.0 255.255.255.0 10.12.99.1

别说得通。所有这些子网都是本地的，不能在其他地方路由。

顺便说一句:固件版本14.38是古老的(2011年之前，我们购买了2910).

PS:您正在将IP地址绑定到所有VLAN，包括iSCSI和DMZ --如上所述，2910将在所有这些网络中路由，这肯定不是有意的。您需要移除这些IP地址，并在其他地方的VLAN之间路由/筛选，或者配置ACL，以便在过滤其他所有内容的同时允许通信量。注意，2910不允许VLAN，只允许端口ACL。