Problème de configuration des VLAN sur le commutateur Netgear

J'essaie de configurer un VLAN sur mon commutateur Netgear (GS105E). Je veux créer deux réseaux distincts et je veux que les deux aient un accès Internet.

My setup is 

    modem
    connected to
    router  WRT54G (with dd-wrt)
    connected to
    Netgear switch  

J'ai configuré le port 1 et le port 5 en tant que vlan1 et le port 2 sur le port 4 en tant que vlan2. J'ai branché un câble du routeur au port 5 et l'ordinateur sur le port 1 dispose d'un accès Internet. Cependant, les ordinateurs du port 2 au port 4 n'ont pas d'accès Internet. Ai-je fait quelque chose de mal?

ps: J'avais essayé de créer des VLAN avec le routeur, mais sans succès. J'ai donc décidé d'utiliser un commutateur pour faire le travail.

Dans un commentaire sur une autre réponse à cette question, vous avez déclaré: "En outre, lorsque j'ai essayé de configurer vlan dans mon routeur, tout fonctionnait parfaitement, sauf que l'ordinateur vlan2 ne pouvait ouvrir que certains sites Web."

Vous avez peut-être appris que votre routeur utilisait des VLAN dans le logiciel plutôt que dans le matériel.

Le matériel Ethernet qui ne connaît pas les VLAN (avant 802.3ac et 802.1Q) s'attend à une taille de trame maximale de 1518 octets (charge utile de 1 500 octets, plus 14 octets d'en-tête et 4 octets de fin de contrôle de contrôle CRC). Mais l'en-tête du VLAN est de 4 octets. Par conséquent, pour conserver la même charge utile maximale de 1 500 octets, la plupart des protocoles de couche supérieure s'attendent à ce que les réseaux Ethernet soient capables, la taille maximale de la trame Ethernet a été étendue à 1522 octets dans 802.3ac (faisant maintenant partie de 802.3-2008). . Mais de nombreux systèmes d'exploitation ont compris que vous pouviez créer des VLAN dans le logiciel sur l'hôte même si vous ne disposiez pas de matériel compatible VLAN, mais vous deviez réduire la taille de la charge utile (le MTU IP) à 1496 au lieu de 1500 pour faire de la place pour 4 octets. En-tête de VLAN avec un ancien matériel ne pouvant gérer que des trames de 1518 octets.

Alors! Une solution de contournement au problème qui vous rendait fou pendant deux jours aurait pu être de régler les MTU de tous vos ordinateurs sur le réseau local virtuel 2 (y compris votre routeur) pour qu’ils utilisent 1496 au lieu de 1 500, car cela ressemble à votre routeur utilisait des réseaux locaux virtuels dans le logiciel .

Ce qui se serait passé lors du chargement de certains sites Web, c’est que le navigateur Web ou le serveur Web a tenté d’envoyer un datagramme IP de 1 500 octets de taille maximale de charge utile Ethernet, mais que cela aurait dû devenir une trame Ethernet de 1522 octets. que le matériel de votre routeur ne pouvait pas gérer, il a donc été abandonné. Les sites pouvant être chargés sans nécessiter l'envoi ou la réception de datagrammes IP de plus de 1 500 octets (y compris les sites utilisant des MTU inférieurs ou les sites où Path MTU Discovery fonctionnait bien) continueraient à se charger correctement.

Cela me semble juste. Vous avez les ports 2 et 4 sur leur propre vLAN, alors oui, ils agissent comme s'ils étaient connectés à un commutateur séparé (celui qui n'est connecté à aucun des autres ports, c'est ce que font les vLAN).

Si vous voulez que tout ait accès à Internet, ils devront tous être connectés au routeur. Cela devrait avoir du sens. Vous avez donc besoin des deux vLAN connectés au routeur. Vous pouvez le faire de deux manières:

1. Deux connexions physiques du routeur, une à chaque vLAN.
2. Utilisez un seul port dans lequel les deux vLAN sont connectés dans la configuration avec balises au lieu de sans balises (c'est ce que vous utilisez pour les ports "normaux", mais un port peut avoir au plus un vlan "sans balises"). Si vous faites cela, le routeur devra être programmé pour comprendre les paquets vLAN étiquetés qu'il reçoit, ce ne sont pas de longs paquets "normaux".

En outre, vous indiquez que vous avez déjà tenté quelque chose pour séparer les réseaux locaux mais que vous avez échoué. Je suppose que vous avez fait quelque chose pour les séparer, mais le routeur n’a été programmé avec aucune sorte de contrôle d’accès pour empêcher les deux réseaux de se parler. Si vous procédez comme ci-dessus et que le routeur ne dispose toujours pas de contrôle d'accès, vous vous retrouverez probablement dans la même situation.

En outre, vous devez utiliser deux sous-réseaux IP différents, un pour chacun des vLAN. Vous ne pouvez pas utiliser le même sous-réseau sur les deux. Par exemple, vous pouvez utiliser 192.168.1.0/24 sur l'un et 192.168.2.0/24 sur l'autre.

Vous devez démarrer DHCP et DNS sur  vlan2, et évidemment permettre le transfert et le NAT pour cela vlan2.