pfSense如何创建和配置VLAN

虚拟局域网(VLAN)是一组逻辑上的设备和用户,这些设备和用户并不受物理位置的限制,可以根据功能、部门及应用等因素将它们组织起来,相互之间的通信就好像它们在同一个网段中一样,由此得名虚拟局域网。VLAN是一种比较新的技术,工作在OSI参考模型的第2层和第3层,一个VLAN就是一个广播域,VLAN之间的通信是通过第3层的路由器来完成的。与传统的局域网技术相比较,VLAN技术更加灵活,它具有以下优点: 网络设备的移动、添加和修改的管理开销减少;可以控制广播活动;可提高网络的安全性。

在计算机网络中,一个二层网络可以被划分为多个不同的广播域,一个广播域对应了一个特定的用户组,默认情况下这些不同的广播域是相互隔离的。不同的广播域之间想要通信,需要通过一个或多个路由器。这样的一个广播域就称为VLAN。

在这篇文章中,我将介绍如何在pfSense中创建和配置一个VLAN。 配置完成后,可以允许(或阻止)该VLAN与其他VLAN之间的通信,每个VLAN将能够共享相同的Internet连接。配置分以下几下步骤:

  • 在24端口交换机上创建一个静态VLAN。
  • 将该VLAN从交换机中继到pfSense上的LAN接口。
  • 为该VLAN分配一个24位掩码的私有IP子网。

我们假定:

  • pfSense已经正确安装,并为现有LAN接口提供了基本的Internet连接。
  • 分配给LAN接口的网卡支持IEEE 802.1Q VLAN标识。
  • 连接到局域网接口的交换机能够支持基于端口的VLAN的创建、配置和中继。

本文中使用的软件版本如下:

  • pfSense2.4.2-RELEASE-P1(AMD64)

本文中使用的交换机是Ciscor的SG200-26,千兆以太网端口,基于Web的管理界面,同时支持多达256个基于端口和IEEE 802.1Q标识的VLAN。

每个交换机及其相关的管理接口不一定相同,你可以参照本文中的说明进行适当的调整,来配置你自己的交换机。

    现在,我们来开始配置。

    交换机配置

    静态VLAN(通常称为“基于端口”的VLAN)是通过将交换机端口分配给预先配置的VLAN标识符来创建的。 在这个例子中,我将在交换机上配置一个静态VLAN并为其指定一个VLAN ID 50。你也可以使用2到4094之间的任何正整数来表示VLAN ID,但应避免使用VLAN ID 1和4095,因为一般来说,大多数交换机默认将所有端口分配给VLAN ID 1, 并将VLAN ID 4095作为“丢弃”VLAN。

    首先导航到VLAN Management->Create VLAN并选择“Add”。在“VLAN ID”字段中输入值50,并在“VLAN Name”字段中输入一个名称来表示该特定VLAN。 在这个例子中,我使用了名称“vlan50”。完成后,点击“Apply”。 (见下图)

    在将特定端口的成员资格分配给我们的新VLAN之前,我们必须首先将该端口配置为“Access”端口或“Trunk”端口。Access端口是只有一个VLAN成员的端口。 这种类型的端口通常用于连接通常不知道VLAN成员资格的终端设备,或者是因为它们的NIC不能将以太网帧标记为VLAN ID,或者它们没有配置为这样做。 配置为Access端口的交换机端口在将以太网帧发送到设备之前,将删除所有VLAN信息。 另一方面,Trunk端口可以承载多个VLAN流量,通常用于将交换机连接到其他交换机或路由器。 通常情况下,小型企业级交换机(如Cisco SG200)默认将每个端口指定为Trunk端口。

    为了让本示例简单明了,我们假设连接到交换机的设备没有配置。在本例中,我们将端口19配置为Access端口,并将其分配给新创建的VLAN中的成员资格。 此外,我们还假设目前使用端口25将交换机连接到pfSense LAN接口,并将其配置为Trunk端口,并将它分配给新创建的VLAN中的成员资格。

    导航到VLAN Management->Interference Settings,选择端口19,然后选择“EDIT”。 将接口VLAN模式从“Trunk”更改为“Access”,然后选择“Apply”(见下图)。 现在按照类似的步骤将端口2配置为Access端口。

    接下来,导航至VLAN Management->Port VLAN Membership,选择端口19,然后选择“加入VLAN”。 由于接入端口可以作为untagged添加到单个VLAN,我们需要先删除交换机自动分配给每个端口(通常是VLAN 1)的默认VLAN。 突出显示VLAN 1,方法是左键单击,然后选择箭头图标将其从接口中删除。 现在突出显示VLAN 50,然后选择箭头图标将其添加到接口,确保从“Tagged”下的选项中选择“Untagged”。 完成后选择“Apply”(见下图)。

    将交换机端口19配置为Access端口并加入到VLAN 50中,同时配置连接到pfSense LAN 接口的端口25, 此端口将配置为Trunk端口并加入到VLAN 50中。

    确保将端口25配置为Trunk端口,然后导航到VLAN Management->Port VLAN Membership,选择端口25,然后选择“Join VLAN”。 突出显示VLAN 50,然后选择箭头图标将其添加到接口,确保从“Tagged”下的选项中选择“Tagged”。 完成后选择“Apply”(见下图)。

    交换机的配置完成, 如果你的交换机同时支持正在运行的配置和启动配置,请确保将所做的更改保存到启动配置中,以防交换机因任何原因重新启动而丢失配置。

    pfSense配置

    现在,我们需要在pfSense中配置VLAN 50。导航到网络接口- >接口分配,并记下分配给LAN网卡的设备驱动程序名称。 在本例中,我们假定设备驱动程序的名字是“em1”(见下图)。 LAN2接口将作为我们将在下一步创建的VLAN接口的“父接口”。

    接下来,导航到网络接口->接口分配 > VLANs,选择“+添加”图标。 在随后的页面中,从“父接口”下拉列表中的选项中,选择LAN 2接口“em1”,并在“VLAN 标识”下输入值50。 在“描述”栏添加该VLAN的可选说明,然后选择“保存设置”(见下图)。

    创建VLAN接口后,返回到网络接口->接口分配,在可用网络端口中,选择“em1上的VLAN 50-opt1,点击“+ 添加”图标,然后选择“保存设置”。

    在这个例子中,我们假定pfSense已经将VLAN 50分配为OPT4。 导航到网络接口 - > OPT4并选择“启用接口”。 在“描述”栏,将“OPT4”替换为“VLAN 50”,然后从“IPv4配置类型”下拉列表中的选项中选择“静态IPv4”。 对于VLAN 50,我们将使用网络192.168.50.0/24,在此接口上分配静态IP地址192.168.50.1,并在“静态IP配置”部分下选择“24”的网络掩码。 其他参数可以保持其默认值。 完成后选择“保存设置”和“应用更改”(见下图)。

    接下来,我们需要为我们的新VLAN构建防火墙规则,以便流量可以从WAN接口入站/出站,也可以接入Internet。 导航到防火墙 - >规则策略,选择VLAN 50,选择“添加”图标创建一个新的规则。 在本例中,我们将为VLAN 50创建一个简单的出站传递规则,类似于典型的LAN出站传递规则的配置方式。动作选“通过” ,协议选“any”,源地址选“VLAN50 net”。 输入这个新建规则的描述。 其他参数可以保持其默认值。 完成后选择“保存设置”和“应用更改”(见下图)。

    除非您打算为主机设备分配静态IP地址,否则您需要为新VLAN配置DHCP服务器。导航至服务 - > DHCP服务,并选择VLAN 50接口。选择“在接口VLAN50上启用DHCP服务”,然后 输入IP地址范围。 pfSense将默认使用分配给此接口的IP地址作为网关地址。 在本例中,网关地址是192.168.50.1。 如果是其他网关,请在“网关”下输入其他网关的IP地址。 同时输入DNS地址,其他参数保持默认。 完成后选择“保存设置”。

    如果在上一步,你没有指定DNS地址,那还需要导航到服务 - > DNS转发器 - >接口,并确保DNS转发器用于响应来自客户端的查询接口包含VLAN50,然后“保存设置”并“应用更改”(见下图)。

    至此,配置完成。

    此时,LAN交换机和pfSense应配置为支持VLAN 50。要进行测试,请将主机设备(如台式机或笔记本电脑)连接到交换机上的端口19。如果按照所述配置了所有内容,则应该在为VLAN 50网络192.168.50.0/24指定的DHCP地址范围内收到一个IP地址。默认网关应该是192.168.50.1,地址为DHCP分配,DNS应该是你指定的地址,如果pfsense之前已经连接互联网,你现在应该可以正常访问网络。

    这里要注意,按照当前配置,每个VLAN都可以路由到所有其他VLAN。如果想禁止某个或某些特定VLAN的流量,则必须创建防火墙规则,明确规定路由走向。请记住,pfSense在第一次匹配的基础上评估防火墙规则(即第一个匹配数据包的规则的操作将被执行)。因此,例如,如果您想要阻止所有VLAN 50流量到达LAN,则可以在之前创建的规则之前创建一条规则,将所有VLAN 50流量路由到任何目标(见下图)。

    结论

    如果交换机和网络接口支持VLAN功能,配置pfSense的VLAN很容易。 可以简单归纳为以下几个步骤:

    • 在小型企业交换机上创建了一个静态VLAN,并将该VLAN中继到pfSense上的LAN接口。
    • 创建并添加VLAN接口,创建必要的防火墙规则。
    • 为VLAN分配了一个24位掩码的私有IP子网,使用DHCP给主机分配IP地址。
    • VLAN可以共享pfSense的Internet连接。
    • 配置pfSense来防止每个VLAN之间的通信。

2018-2-2

原文地址:http://blog.51cto.com/fxn2025/2068091

时间: 2024-11-07 07:59:57

pfSense如何创建和配置VLAN的相关文章

Cisco配置VLAN+中继代理+NAT转发上网

实验环境: 路由器 使得TP-link 设置NAT转发使用,tp-link路由器网关设置成 192.168.30.254 (核心层)Cisco 3550三层交换机(型号C3550-I5Q3L2-M)配置三个VLAN,VLAN 10.VLAN 20和VLAN 30 VLAN 10 的IP地址:192.168.10.1/24 VLAN 20 的IP地址:192.168.20.1/24 Fa0/24端口配置成Trunk端口级连汇聚层Cisco 2960交换机fa0/24端口透传VLAN 10和VLAN

        CCNA实六 创建和应用VLAN  

CCNA实六 创建和应用VLAN 环境:Windows XP  GNS3.0.7  VPCS-0.16c 目的:掌握如何创建VLAN.应用VLAN 说明:VLAN是一种将局域网设备从逻辑上划分成一个个网段,一个VLAN内部的广播和单播流量都不会转发到其他VLAN中,从而有助于控制流量.方便管理.提高网络的安全性. 步骤: 1.首先打开GNS建立工程拓扑如下 :(用一台3640路由器模拟交换机) 右键单击"SW"选择"配置" 运行VPCS.exe,然后打入"

在 ML2 中配置 Vlan Network- 每天5分钟玩转 OpenStack(93)

上一节我们学习了 Neutron Vlan Network 的原理,今天讨论如何在 ML2 配置中 enable 它. 首先在 /etc/neutron/plugins/ml2/ml2_conf.ini 中设置 vlan network 相关参数. tenant_network_types = vlan 指定普通用户创建的网络类型为 vlan. 然后指定 vlan 的范围: 上面配置定义了 label 为 “default” 的 vlan network,vlan id 的范围是 3001 -

使用H3C模拟器配置VLAN相关项目

任务1 组网需求:如 图1-1 所示,小区用户Host A.Host B.Host C分别与Device的端口GigabitEthernet 1/0/1.GigabitEthernet 1/0/2 .GigabitEthernet 1/0/3 相连, Device 设备通过GigabitEthernet 1/0/4 端口与外部网络相连.现需要实现小区用户Host A.Host B和Host C彼此之间二层报文不能互通,但可以和外部网络通信.试验拓扑图如下: 配置步骤:创建隔离组2.<Device

H3C模拟器配置VLAN

组网需求:如 图1-1 所示,小区用户Host A.Host B.Host C分别与Device的端口GigabitEthernet 1/0/1.GigabitEthernet 1/0/2 .GigabitEthernet 1/0/3 相连, Device 设备通过GigabitEthernet 1/0/4 端口与外部网络相连.现需要实现小区用户Host A.Host B和Host C彼此之间二层报文不能互通,但可以和外部网络通信.试验拓扑图如下:配置步骤:创建隔离组2.<Device> sy

HCL模拟器配置VLAN项目

任务1 1.组网需求:如 图1-1 所示,小区用户Host A.Host B.Host C分别与Device的端口GigabitEthernet 1/0/1.GigabitEthernet 1/0/2 .GigabitEthernet 1/0/3 相连, Device 设备通过GigabitEthernet 1/0/4 端口与外部网络相连.现需要实现小区用户Host A.Host B和Host C彼此之间二层报文不能互通,但可以和外部网络通信.试验拓扑图如下:使用H3C模拟器配置VLAN相关项目

ODI Studio拓扑结构的创建与配置

拓扑结构的创建与配置 一.概念解释 Topology Manager主要用来管理下面5类任务,并将信息存储在主资料库中,供所有模块共享使用. 物理体系结构: 定义各种技术及其数据服务器.物理架构.物理代理.数据服务器瞎可以建立多个物理方案,每个物理方案的实质就是schema. 逻辑体系结构: 定义各种技术及其关联的逻辑架构.逻辑代理.一个逻辑方案需要基于一个或几个物理方案,实质上就是一层抽象,是物理方案的别名. 上下文: 上下文的主要目的是实现逻辑方案多物理方案的多对多关系,比如同一逻辑架构在不

创建broker配置

1.准备工作 ■ 创建oracle11g的primary和standby库,物理standby,最大性能模式 ■ DG_BROKER_START设置为TRUE 2.创建broker配置 DGMGRL> CREATE CONFIGURATION 'DRTEST' AS PRIMARY DATABASE IS 'ora11gn1' CONNECT IDENTIFIER IS ora11gn1; DGMGRL> ADD DATABASE 'ora11gn2' AS CONNECT IDENTIFIE

使用Tcl脚本调用STC平台的Native API实现测试对象、Device、StreamBlock的创建和配置

环境配置如下: 在Windows的Conmand下操作 # # Configuration file(CommonConFig.tcl) # # Initializing the Script. # This script is used to set common configuration paramters used with the STC-300 class. #Step 1: Load Spirent TestCenter Automation API. # Type in the