مشکل در بلاک کردن InterVlan Routing

سلام
من یه سری سوییچ اکسس 2960 و چند تا core 3750 دارم
حدود 20 تا vlan هست که روی سوییچ core با استفاده از دستور ip routing با همدیگه ارتباط دارند

میخوام دسترسی vlan ها به همدیگه رو بگیرم
یعنی مثلا Vlan 11 که مالی ها هستند به vlan 5 که اداری ها هستند دسترسی نداشته باشند
البته کل routing نباید غیر فعال بشه چون خیلی دسترسی ها به سمت vlan سرورهاست و برخی دیگه هم باید بهرحال برقرار باشند

قبلا با جناب alafzalan صحبتهایی کردیم و به نتایجی رسیدم
موارد رو توی شبیه ساز پیاده کردم و نتیجه هم گرفتم
حالا رفتم روی خود شبکه و .. :o متاسفانه کار نمیکنه و مشکل دارم

داستان از این قراره :رنج کاربرای شبکه داخلی بین 192.168.33.0 تا 192.168.50.0 هستش و رنج سرورها هم 172.16.0.0.
خوب ! رفتم روی سوییچ Core و روی یکی از Int Vlan ها خواستم این قضیه رو تست کنم. مثلا روی وی لن اداری (45) نوشتم

[LEFT]IP Access-List Extended DenyIVR
10 Permit TCP IP Any 172.16.0.0 0.0.255.255 log

حالا روی int vlan 45
ip access-group DenyIVR IN

[RIGHT]اتفاقی که افتاده اینه که
دسترسی کاربرای این وی لن به سرورها برقراره ! دسترسیشون به بقیه وی لن ها هم قطع شده ! دسترسی بقیه وی لن ها هم به اونها قطع شده اما :blink: دسترسی کاربرا به هم وی لنی های خودشون هم قطع شده (چه هم وی لنی ها شون تو سوییچهای طبقات مختلف و اکسس های مختلف و چه هم وی لنی هاشون تو همون سوییچ اکسس که هستند)

مگر این قسمت قضیه نباید لایه 2 باشه و اصلا به سمت IVR و این حرفها نره ...
یا من ACL رو اشتباه نوشتم !!

شدیدا ممنون میشم دوستان راهنمایی بفرمایید

[/RIGHT]

[/LEFT]

سلام
صرفنظر از ACL نوشته شده، کلاینتهای توی یک VLAN باید بتونن با هم دیگه در ارتباط باشند، مشکل جای دیگه هست. آیا بین کلاینتهای توی
یک ping ، VLAN (قبل و بعد از قرار دادن ACL) دارید؟
کانفیگ Core & Access رو بزارید.

[QUOTE=aliafzalan;253730]سلام
صرفنظر از ACL نوشته شده، کلاینتهای توی یک VLAN باید بتونن با هم دیگه در ارتباط باشند، مشکل جای دیگه هست. آیا بین کلاینتهای توی
یک ping ، VLAN (قبل و بعد از قرار دادن ACL) دارید؟
کانفیگ Core & Access رو بزارید.[/QUOTE]

سلام
بله قبلش پینگ رو دارم
به محض Apply کردن اکسس لیست پینگ قطع میشه و به محض اینکه اکسس لیست رو برمیدارم دوباره برقرار میشه
بخشی از کانفیگ رو که فکر میکنم کمک میکنه میذارم
راستش به دلایلی نمیتونم همش رو بذارم
ولی فکر کنم همین قدر کفایت میکنه

version 12.2
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname SW-CORE
!
boot-start-marker
boot-end-marker
!
enable secret 5 $1$C0DF$rc5lJi0EWhbCNqbcDClmR0
!
username Admin secret 5 $1$ntlU$x6HU13wSoh7dQ6hF3ru5o/
aaa new-model
!
!
aaa authentication login default local
aaa authorization exec default local
!
!
!
aaa session-id common
switch 1 provision ws-c3750g-12s
switch 2 provision ws-c3750g-12s
switch 3 provision ws-c3750g-12s
switch 4 provision ws-c3750g-12s
system mtu routing 1500
ip subnet-zero
ip routing
no ip domain-lookup
ip domain-name Cisco.com

spanning-tree mode pvst
spanning-tree etherchannel guard misconfig
spanning-tree extend system-id
!
vlan internal allocation policy ascending
!
ip ssh version 2
!
!
!
interface Port-channel1
speed 1000
!
interface Port-channel2
switchport trunk encapsulation dot1q
switchport trunk native vlan 900
switchport trunk allowed vlan 1-899,901-4094
switchport mode trunk
switchport nonegotiate
!
interface Port-channel3
switchport trunk encapsulation dot1q
switchport trunk native vlan 900
switchport trunk allowed vlan 1-899,901-4094
switchport mode trunk
switchport nonegotiate
speed nonegotiate
duplex full
!
بقیه etherchannel ها هم هستند که دیگه صرفنظر کردم


interface Vlan1
no ip address
!
interface Vlan101
ip address 192.168.33.1 255.255.255.0

!
interface Vlan102
ip address 192.168.34.1 255.255.255.0

!
interface Vlan103
ip address 192.168.35.1 255.255.255.0

interface Vlan150
ip address 172.16.0.1 255.255.0.0
سرورها

interface Vlan101
ip access-group DenyIVR in
!
ip classless
!
!
ip access-list extended DenyIVR
permit tcp any 172.16.0.0 0.0.255.255

راستی جناب afzalan شما قبلا این راهنمایی رو فرموده بودید

VLAN 5: 192.168.5.X
VLAN 11: 192.168.11.X

ip access-list extended test
deny ip any 192.168.11.0 0.0.0.255
permit ip any any

int vlan 5
ip access-group test in

آیا مهمه که اول deny رو بنویسیم و بعد یک permit ip any anyتهش اضافه کنیم
یا فرقی نمیکنه با حالتی که permit به سمت سرورها رو بنویسیم و ته لیست هم که خود به خود همه چیز deny میشه

سلام
در مورد ACL بالا، فرقی نمیکنه - شما اول permit رو بنویس، آخر ACL هم که deny هست پس بقیه پکتها drop میشن.
کانفیگ سوئیچ Access رو هم بزارید، احتمالا مشکل از اونجا باشه.
خیلی عجیبه که حتی پورتهای متعلق به [I]یک [/I]VLAN توی [I]یک [/I]سوئیچ هم نمیتونن همدیگه رو Ping کنند :eh:

[QUOTE=aliafzalan;253806]سلام
در مورد ACL بالا، فرقی نمیکنه - شما اول permit رو بنویس، آخر ACL هم که deny هست پس بقیه پکتها drop میشن.
کانفیگ سوئیچ Access رو هم بزارید، احتمالا مشکل از اونجا باشه.
خیلی عجیبه که حتی پورتهای متعلق به [I]یک [/I]VLAN توی [I]یک [/I]سوئیچ هم نمیتونن همدیگه رو Ping کنند :eh:[/QUOTE]

سلام
کانفیگ سوییچ اکسس هیچ چیز خاصی نداره
دو تا پورت ترانک شدن به سمت Core (با etherchannel)
یه تعداد هم کلاینت داریم که توی وی لن های مربوطه هستند
ضمنا همه سوییچها VTP Master هستند


خدمتتون عرض کردم
کلاینتهایی که من تست کردم توی دو تا سوییچ اکسس مختلف ولی خوب توی یه وی لن بودند
فردا همین قضیه رو در مورد هم وی لنی ها توی یه سوییچ اکسس تست میکنم (که البته این مطلوب من نیست و اگر هم درست باشه کمکی به من نمیکنه)
از روی کانفیگها نکته خاصی به نظرتون نمیرسیه

[QUOTE=mhdganji;253722] (چه هم وی لنی ها شون تو سوییچهای طبقات مختلف و اکسس های مختلف و [B]چه هم وی لنی هاشون تو همون سوییچ اکسس که هستند[/B])

[/QUOTE]

شما خودتون نوشتید توی یک سوئیچ هم نمیتونن همدیگه رو ping کنند، برای همین من تعجب کردم ! :cool:
من همین سناریو رو توی شرکت انجام دادم و داره کار میکنه (البته Etherchannel نداریم و VTP داریم)
فردا که تست کردید نتیجه رو بنویسید.
اگه تونستید یه تست انجام بدید، یک پورت روی سوئیچ Core رو عضو همین VLAN کنید، ببینید اون ping میشه.

ممنون میشم اینجا ادامه بحث رو ببینید
نتایج تست رو اینجا نوشتم


[url]http://forum.persiannetworks.com/f63/t34512.html[/url]