Routage inter-vlan,switch N3, etherchannel

Si le pilote de carte réseau du serveur de sauvegarde gère le lacp, je suppose qu'il gère aussi les vlans, tu dois donc pouvoir configurer deux interfaces virtuelles, une dans chaque vlan de serveur.
si tu passes à 6, ça peut poser des problèmes de scalabilité effectivement, il vaut mieux reconcevoir tout:
Le routeur peut effectivement s'occuper du routage des serveurs vers internet, mais ne doit pas router les deux entre eux et doit gérer les vlan.
Si le routeur ne gère pas les vlans, il ne faut pas faire de vlans, ça ne sert à rien.
Après si le but est de montrer que tu sais utiliser un switch L3 pour configurer des ACL, tu peux faire comme tu as prévu car ça n'est alors qu' un problème d' ACL.
Une solution plus scalable serait d' isoler le réseau de sauvegarde dans un vlan et l'accès extérieur des serveurs dans un autre par serveur mais ça implique que chaque serveur gère deux vlan .

Si le pilote de carte réseau du serveur de sauvegarde gère le lacp, je suppose qu'il gère aussi les vlans, tu dois donc pouvoir configurer deux interfaces virtuelles, une dans chaque vlan de serveur.
si tu passes à 6, ça peut poser des problèmes de scalabilité effectivement, il vaut mieux reconcevoir tout:
En effet, il y a bien une option pour gérer les VLAN avec les drivers mais je ne savais pas trops a quoi ça pouvait servir! Qu'est-ce que tu veut dire par "des problèmes de scalabilité" tu as l'air de bien aimer ce mot :)

Le routeur peut effectivement s'occuper du routage des serveurs vers internet, mais ne doit pas router les deux entre eux et doit gérer les vlan.
Je pensais en effet laisser le routeur s'occuper seulement de l'accès au net et laisser les la gestion du routage inter VLAN au switch L3 car le routeur ne gère par les VLAN me semble t-il de mémoire (routeur adsl sagem de base).

Si le routeur ne gère pas les vlans, il ne faut pas faire de vlans, ça ne sert à rien.
Tu vas me trouver peut-être lourd, mais je ne comprend pas pour quoi les Vlans ne servent a rien si c'est pas le routeur qui les gère? Quand est-ce que les VLans sont ils utiles alors?
Quel est alors la différence entre mettre les 2 serveurs client dans des vlan ou bien seuelemnt dans des sous réseaux différent

Peut-on avec un switch L3 faire du routage sans que les différents réseaux soit dans des VLAN exactement comme un routeur? Pour moi il ne peut router uniquement qu'entre VLAN et pas entre des réseaux en dehors de Vlans. Sinon a quoi servent encore les routeurs aujourd'hui car un switch L3 serait un routeur géant avec 24 ou 48 pattes alors qu'un routeur en à en générale que 2 ou 3?

Une solution plus scalable serait d' isoler le réseau de sauvegarde dans un vlan et l'accès extérieur des serveurs dans un autre par serveur mais ça implique que chaque serveur gère deux vlan .
Encore du scalable ;)
Moi je pensais au début mettre le serveur de sauvegarde dans un VLan10 le serveur1 dans un Vlan 20 et le serveur 2 dans un Vlan30 et le routeur ???.
Maintenant tu dis qu'il faudrait alors que chaque serveur gère 2 Vlans. Pourquoi? si le switch route les VLAN


Actuellement je suis vraiment dans le brouillard complet avec ces histoire de VLANs!
Je crois que ce qui n'est pas encore clair pour moi en ce qui concerne les vlans c'est a quel niveau ils interviennent? et ce que ça apporte ou pas pour chaque couche L2 et L3

scalable:
https://en.wikipedia.org/wiki/Scalability
c'est basé sur l'anglais, en français le mot le plus proche, c'est extensibilité, mais ça fait plus penser à un élastique qu'à un réseau en croissance.

Peut-on avec un switch L3 faire du routage sans que les différents réseaux soit dans des VLAN exactement comme un routeur? Pour moi il ne peut router uniquement qu'entre VLAN et pas entre des réseaux en dehors de Vlans. Sinon a quoi servent encore les routeurs aujourd'hui car un switch L3 serait un routeur géant avec 24 ou 48 pattes alors qu'un routeur en à en générale que 2 ou 3?

oui, bien sûr, sur un cisco, la commande est no switchport et configurer une adresse ip sur le port (ça devient une interface de routage).
Le reste c'est parce que tu ne connais que les petits routeurs d'accès, mais des grosses machines comme un 6500 ou un 7600 un 12000 ou pire un CRS1 pour se limiter à cisco sont de vrais routeurs avec quelques centaines d'interfaces parfois et des millions de paquets/seconde
les vlans servent essentiellement à limiter les domaines de broadcast, ils peuvent avoir un rôle sur la sécurité, mais minime en bloquant les connexions par protocoles non routables (netbeui par exemple autrefois).
Faire des vlans dans un réseau de 1000 machines a un sens , mais des vlans avec 3 machines, ça n'en a pas.
Reste qu'il est plus facile de filtrer par routage qu' autrement, mais un firewall est plus adapté au filtrage bien entendu qu'un routeur, ils peuvent être très efficaces aussi en pont.
dans votre réseau,
les serveurs des clients sont sur internet (web) ou dans des vpn ?

arf,
un 851 ....
on est loin du 3550 avec un lacp sur 2 ports giga ...
Ce shéma est meilleur globalement,
le problème pour la sécurité, c'est ton routeur central, pas le 3550 Si les serveurs ont 2 cartes réseau, tu devrais en avoir une vers votre réseau interne et une vers le routeur 2 et deux réseaux ip sur chaque serveur.

le routeur avec ces 100 Mbits/s est une solution temporaire que j'ai mis en place pour pouvoir sauvegarder certain fichier des serveurs clients en attendant de passer par un switch Gbits.
Sur le schéma ci-dessus le 3550 n'est pas encore implanté, ce sont des switch 100Mbits aussi.
moi ce qui me gênait c'était de laisser tous les serveurs client dans un même sous réseau!
C'est pour ça que je pensais casser l'architecture existante pour la remplacer par des VLAN et un switch comme montré dans le premier schéma simplifié.

Voilà le schéma actuel et final que je pensais mettre en place pour rendre indépendant les serveurs clients entre eux mais pouvoir les sauvegarder sur le serveur prévus à cet effet.

http://lsda26.free.fr/Visio-reseau%20origine%20acorel%20et%20souhait%e9.pdf

Je sais plus trop quoi en penser maintenant.

Bon,
tu satures un peu là, je crois.
l'arp n'est pas bloqué par le non routage, au contraire c'est le routage qui bloque les broadcast ARP.
Et on peut faire de la commutation L2 avec plusieurs réseaux IP dans le même vlan, mais les broadcast seront vus de tout le monde.
en fait,
tu devrais faire comme tu as dit en fonction de ton existant, mais sans vlan: Sur ton 3550 12T, tu peux te faire des réseaux /30 sur chaque serveur (y compris celui de sauvegarde) ça revient au même que de faire des vlans si tu fais du routage par port.
avec tous ces petits /30, tu auras loisir de mettre des ACL dans tous les sens pour bloquer le traffic indésirable.
Comme c'est un réseau en production, avec des serveurs hébergeant des clients extérieurs en plus, commence par y aller mollo: autorise tout ce qui existe actuellement et réduis progressivement, ne fais pas de grand soir qui t'obligera certainement à revenir en arrière totalement.

En effet je sature là!

Et on peut faire de la commutation L2 avec plusieurs réseaux IP dans le même vlan, mais les broadcast seront vus de tout le monde.
tu parle des broadcast L2 ou L3?

Sur ton 3550 12T, tu peux te faire des réseaux /30 sur chaque serveur (y compris celui de sauvegarde) ça revient au même que de faire des vlans si tu fais du routage par port.
En gros dans ce cas le switch va uniquement faire office de gros routeur pouvant router 12 réseau max c'est ça (1 sous réseau par port)?

Le but était au final de manipuler quand même les vlan pour présenter ça pour une PTI car la manipulation des ACLs je l'est fait dans une autre PTI justement( pour l'implantation du routeur 851). Mais j'ai l'impression que je maîtrise pas du tout les vlans et surtout que je ne vois pas la différence entre des vlan et des sous réseau!

Je sent que cette pti vas se terminer par la démonstration de l'agrégation de lien entre le serveur de sauvegarde le switch et un autre serveur. tout ça dans des sous réseau en /30. Ça vous parait pas un peu léger?

tu parle des broadcast L2 ou L3?
les broadcast c'est toujours du L2 (trames avec premier octet impair,bit I/G à 1 en destination) même si on a une adresse broadcast au niveau du réseau IP, ça ne passe pas plus les routeurs.
Les routeurs ont même été inventés pour cela.

En gros dans ce cas le switch va uniquement faire office de gros routeur pouvant router 12 réseau max c'est ça (1 sous réseau par port)?
plus plein d'autres en vlans si tu veux :-)) rien que pour t'embrouiller mais dans le principe, ça peut être ça, oui.
le routage peut-etre fait sur un etherchannel aussi, je crois, à vérifier.

Le but était au final de manipuler quand même les vlan pour présenter ça pour une PTI car la manipulation des ACLs je l'est fait dans une autre PTI justement( pour l'implantation du routeur 851
en même temps le routage entre vlans, ce n'est que définir un plan de numérotation et coller une adresse ip sur une interface vlan, pas plus sorcier que sur une interface physique ou un CV, une interface virtuelle.

Mais j'ai l'impression que je maîtrise pas du tout les vlans et surtout que je ne vois pas la différence entre des vlan et des sous réseau!
beaucoup font l' amalgame, c'est vrai, mais ça n'est obligatoire que dans un sens:
un réseau ip ne peut pas être réparti sur plusieurs vlan, mais un vlan peut recevoir plusieurs réseaux ip, il faut bien comprendre que l'on est au L2 pour le vlan et au L3 pour IP
Les vlan ça revient à découper ton switch L2 en morceaux, en autant de petits switchs dans la même boite.
de ce fait, un vlan à 1 port ça n'existe pas (sur un switch L2) un vlan à 2 ports, c'est un câble, ça commence à devenir vrai à partir de 3 ports.

le 3550 12T est le switch que j'ai chez moi pour les tests et mes pti, au boulot je pensais leur faire acheter un 3560 24T giga pour faire le schéma finalque je vous ai donné, mais maintenant, avec tous ce que vous m'avez dis je sens que je vais pouvoir faire une croix sur le routage intervlan et vlan (vu que apparemment ça ne servirai à rien) et utiliser le 3560 seulement pour router plein de sous réseau (pour y mettre tout mes serveurs clients et mon réseau de l'entreprise) :).

La plus grosse différence c'est que les vlans font ça au niveau des trames, donc sur tous les protocoles réseau routables et non routables présent et à venir (si tout va bien).
Les routeurs ne prennent en compte que les protocoles qu'ils savent router (à la base) et bloquent tout le reste, mais on peut les configurer pour faire du "routage" multicast aussi.
Donc les vlans bloquent tout, et les routeurs bloquent tout sauf ce qu'on leur dit de router.
d'un autre côté,
on pourrait relier les vlans avec des ponts filtrants, ça existe encore sur certains switchs pour des protocoles à diffuser, mais non routables.
Les "sous" réseaux ne sont en rien étanches par eux mêmes: si il n' y a pas d' ACL, les routeurs vont acheminer le traffic qui leur est destiné de l'un à l'autre.
C'est pour cela que l'on configure des réseaux ip sur les vlans que l'on veut relier: pour pouvoir transmettre uniquement du traffic utile.

mince tu as répondu avant que je modifie mon message!
Du coup je sais pas si tu as lu ce que j'ai rajouté!

"La plus grosse différence c'est que les vlans font ça au niveau des trames, donc sur tous les protocoles réseau routables et non routables présent et à venir (si tout va bien).
Les routeurs ne prennent en compte que les protocoles qu'ils savent router (à la base) et bloquent tout le reste, mais on peut les configurer pour faire du "routage" multicast aussi.
Donc les vlans bloquent tout, et les routeurs bloquent tout sauf ce qu'on leur dit de router."

Ok donc les vlan bloques tout sauf si on les routes. mais les sous-réseau aussi tant qu'ils ne sont pas routé non?

Je dois être buté ou con pour pas arriver à comprendre ou voir la différence!

Il faut bien que tu intègres que tu es en train de comparer deux choses assez différentes : les Vlan sont des outils de niveau 2 gérés par des switchs.

Les sous réseaux sont une vue logique de l'adressage dans un but de routage : gerés par des routeurs mais aussi par des switchs 'avances' disposant de composants additionnels leur conférant la capacité de routage en plus de commuter. Ton 35 Cisco en est un exemple


Un routeur interconnecte des réseaux différents : chaque interface est un réseau différent : c'est pour cela qu'il bloque les broadcast. Son but est avant tout de permettre la communication entre ces réseaux : routage.

pour le dessin ?
on va faire plus simple:
prenons 2 adresses IP dans un réseau /24 très courant 192.168.1.1 et 192.168.1.130

tous les deux dans le même vlan (1) vont pouvoir discuter directement pas de souci.

Si on les met dans 2 vlans différents (1 et 2) ils ne discuteront plus, totalement isolés.

Si on relie les deux vlans par un routeur, ça ne fonctionnera pas non plus car le même réseau ip ne peut pas se trouver sur deux vlans.

il faut faire deux réseaux /25 192.168.1.0/25 avec une adresse de routeur/switchL3 dans le vlan 1 de 192.168.1.126 par exemple et 192.168.1.254/25 dans le vlan 2 par exemple pour qu'ils puissent à nouveau discuter par routage,

Pour le spanning-tree, j'avais encore en tête tes histoires de vlan :) . Si tu fais tout en routé : laisse de coté, ça ne sert à rien. (En passant, port fast est une fonction , pas un type de spanning tree)

Pour ta config port channel, ça semble ok. Si tu changes la nego des ports, pense à le faire de la même façon sur l'ensemble des ports du channel. Sinon, ça tombe.

tu veut parler du full duplex et half?

oui.

Speed / duplex / flow control / ....

Le meilleur est le full alors pourquoi en mettre un autre?

parce que parfois, tout ne se passe pas comme on le voudrait :)

Selon les constructeurs, les choses ne s'accordent pas comme on le penserait ou voudrait. Je te dis juste que SI tu changes les paramètres de port, il faut le faire partout.

Non, ce type de config est tout à fait supporté.

Tu as bien un no switchport sur tes interfaces physiques associées à ton channel ?

Effectivement, je pense que tu vas devoir configurer tes autres réseaux en routes statiques sur la fbx (vers 249) et je ne pense pas qu'ils aient prévu du rip dessus.
ça n'est quand même qu'une box, pas un vrai routeur.

Il faut que tu sipprimes les commandes switchport : tu fais du L3 là

Pour l'agrégation, le cisco va automatiquement repartir (source/destination).

Il sait aussi faire du backup : c'est à dire qu'il va utiliser moins de liens qu'il n'en dispose dans son channel. Au cas ou un lien actif tombe, il en monte un nouveau.

Par contre, je ne crois pas qu'il y ait des fonctions de débordement : en clair, tu utilises la totalité de la bande passante de ton channel actif (la répartition n'est jamais totalement équilibrée entre les différents liens : c'est fortement lié au trafic).

Dans ton cas, comme la source et la dest seront toujours identiques, il faudra peut être voir pour penser en load balance par paquets.

Et oui, si ton serveur est en etherchannel et pas tes clients, ton trafic sera bien reparti sur ton channel

je veut bien supprimer les commande switch port mais comment fait-on?

Bon j'ai fais des essais avec le câbles de chaque coté et pour le moment ya qu'en mode statique sur les serveurs que j'arrive à activer la connexion entre le switch et les serveurs.
PAr contre l'agrégation n'a pas l'air de fonctionner car quand je lance un transfert de fichier, ya qu'un seul led dur chaque channel qui clignote à fond et mon débit est le meme que sans channel.
Par contre, le transfert saute de port pendant le transfert!
Jai mis les port 1 et 2 en channel1 et les port 2 et 3 en channel 2.
Or, le transfert, commence entre le port 1 et 3 par exemple puis en cours de route ca bascule sur 2 et 3 ou 1 et 4 ou 2 et 4 ca change tout le temps. Je pense que ca doit etre le mode equilibrage de charge qui doit faire ça non?

Mais je n'arrive pas activer l'augmentation de bande passante!.

essaie directement un "no switchport" (je ne sais plus s'il va accepter).

Sinon, supprime la ligne en mettant un "no" devant (puis termine avec un "no switchport")

Pour l'équilibrage, oui, ça me semble normal : tu peux passer "show etherchannel summary " ?.

Qu'appelles tu "augmentation de la bande passante" ?

faut que je test de supprimer avant de mettre no switchport car quand j'avais voulus saisir no switchport directement il m'avait mis :
Switch(config)#interface port-channel 1
Switch(config-if)#no switchport
Command rejected: Not a convertible port.

Switch#sh etherchannel summary
Flags: D - down P - in port-channel
I - stand-alone s - suspended
H - Hot-standby (LACP only)
R - Layer3 S - Layer2
u - unsuitable for bundling
U - in use f - failed to allocate aggregator
d - default port

Number of channel-groups in use: 2
Number of aggregators: 2

Group Port-channel Protocol Ports
------+-------------+-----------+-----------------------------------------------
1 Po1(SD) LACP Gi0/1(I) Gi0/2(I)
2 Po2(SD) -

Switch#sh etherchannel
Channel-group listing:
----------------------

Group: 1
----------
Group state = L2
Ports: 2 Maxports = 16
Port-channels: 1 Max Port-channels = 16
Protocol: LACP

Group: 2
----------
Group state = L2
Ports: 0 Maxports = 8
Port-channels: 1 Max Port-channels = 1
Protocol: -


C'est bisard hier soir quand j'ai fait mes test de transfert j'etait bien en LACP dans protocol sur les 2 group


J'entends par augmentation de bande passante par le fais qu'il dois pouvoir dépasser les 120Mo/s en vitesse de transfère qui sont normalement la limite théorique pour le gigabits vu qu'avec 2 cable je devrait pouvoir ateindre les 2Gbits normalement donc 240Mo/s toujours théorique.
En pratique, avec un cable je ne dépasse pas les 55Mo/s en transfert par le switch 3550 donc j'espère pourvoir monter à 110Mo/s (avec un ssd crucial en lecture et un raid 0 logiciel avec 2disque de 1To samsung F1 de l'autre)

le "no switchport", c'est sur les interface PHYSIQUES qu'il faut le passer (G0/1, 0/2, ...).

Actuellement, ton channel et down et L2 : faut déjà régler cela car ce n'est pas bon

Pour le Giga, je ne sais pas trop d'où tu sors la limite à 120M. Pour moi, elle est beaucoup plus haute (sinon, l'interet ne serait pas bien clair !).Ca depend du type de trafic que tu envoies mais sur du imix, on va atteindre du 980M par port.

A mon sens, le 35 ne joue pas grand rôle dans tes soucis : la bande passante utilisée est plutôt du fait de tes serveurs. Je pense que ce sont eux (applicatif, ...), qui déterminent le taux de transfert.

Le 35 saura sans soucis écouler un tel trafic.

Effectivement:
pas de routes statiques sur la freebox et si je me souviens bien on ne peut pas configurer de nat sur un 3550, il faut donc rajouter un vrai routeur entre la freebox et le switch, la fbx étant en mode bridge.
sur la lb2, il ya une table de routes statiques, sur les anciennes, je ne me souviens plus.

un vlan , c'est un vlan, les niveaux 1 , 2 ou 3 ça n'existe pas, ça ne concerne que l'affectation des machines dans les vlans, pas le fonctionnement des switchs.
mais les vlans autrement que par port sont très difficiles à administrer, les constructeurs abandonnent les autres notions au profit du routage L3.
enfin,
un port d'accès non taggé a un seul vlan et un port taggé peut propager tous les vlans, il doit être connecté à un autre port taggé.
enfin,
quelqu'un qui change son adresse ip, si elle ne correspond pas au réseau du routeur ne pourra plus communiquer avec personne car le routeur ne saura pas l'accéder.
les vlans ne servent qu'à réduire les domaines de broadcast.