PDA

View Full Version : segmentare una rete

frhell
21-09-2005, 06:38
come si fa con un router 4 porte a segmentare una rete del tipo:
ho 2 aule corsi...la prima deve andare in internet (e ci va) con gw 192.168.0.1,nella seconda aula solo un pc ci deve andare e come gateway questo ha 192.168.2.1 ....com'è possibile?
V4N3X
21-09-2005, 08:05
Ciao. Direi che è impossibile: il Gateway è unico, a meno che nella rete non ci siano altri dispositivi dedicati a creare e interconnettere segmenti di rete (router). Potresti cominciare, invece, col creare 2 gruppi di lavoro differenti per le 2 aule, ma assegnando sempre lo stesso gateway. ;)
frhell
21-09-2005, 08:09
ma c'è un router
V4N3X
21-09-2005, 08:31
Si, ma uno solo; io dicevo 2. Appunto perche ce ne sta solo uno, l'indirizzo del gateway deve essere unico. Non puoi assegnare 2 gateway diversi.
frhell
23-09-2005, 19:07
eppure c'è un solo router(cisco) ma le due aule hanno due gw diversi...
V4N3X
23-09-2005, 23:21
Se è Cisco le cose cambiano:sai dirmi il modello del router?
CH1CC0
24-09-2005, 07:40
molti router permettono di configurare degli ip secondari sulla stessa interfaccia.
Cisco è una di queste.

Potresti fare in questo modo:

Ip primario 192.168.0.1
Ip secondario 192.168.2.1
(il comando da usare per aggiungere un ip secondario ad un'interfaccia è lo stesso dell'ip normale, solo che alla fine aggiungi "secondary")
es: ip address 192.168.2.1 255.255.255.0 secondary.
In questo modo hai segmentato la rete.

Il problema che resta è quello di impedire l'accesso ad internet alla seconda rete (il router non fa distinzioni tra le 2 network se non glielo chiedi espressamente).
Per fare ciò, dovresti applicare un'access-list fatta ad hoc
es:
access-list 100 permit ip 192.168.0.0 0.0.0.255 any (questa regola dice che la prima network può andare dappertutto)
access-list 100 permit ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255 (questa dice che la seconda network può raggiungere la prima)

Il deny implicito che c'è alla fine, dice che entrambe le network possono fare solo ciò che è stato esplicitamente espresso nell'acl.

Ah, alla fine devi applicare l'acl nell'interfaccia (in input), quindi:
ip access-group 100 in

Ciao e buon divertimento :D