Roteamento inter-VLAN do Netgear GS724Tv4

Question

Resumo

Estou brincando com uma LAN doméstica relativamente pequena e estou confuso e sem noção de como configurar o roteamento inter-VLAN no GS724Tv4. Eu suspeito que seja por causa de algum descuido da minha parte ou simplesmente mal-entendido sobre como o roteamento inter-VLAN deve funcionar, então eu apreciaria alguma ideia.

Intenção

Estou tentando separar logicamente a pequena LAN em várias VLANs (razões: auto-documentação, segurança, aprender algo novo) e estabelecer roteamento entre VLANs, evitando assim o cenário do roteador no bastão.

As VLANs correspondem a áreas como "Wifi", "Storage", etc. então a idéia é que uma VLAN escolhida onde minha estação de trabalho é (suponha VLAN com ID 10) possa acessar virtualmente todas VLANs, mas um cliente dentro de qualquer outra VLAN só poderia ver sua própria sub-rede e ter acesso à internet, nada mais.

Para acessibilidade à Internet, existe um roteador (pfSense instalado em uma VM), mas é irrelevante para esse problema e não o mencionará mais para reduzir o ruído.

Configuração

Extremamente simples - apenas dois clientes, duas portas e duas VLANs. O sistema operacional em ambos os lados é o Windows 7. Todos os IPs são atribuídos estaticamente. Existe um único comutador compatível com L3 entre os clientes. Não há tronqueamento configurado (nem necessário).

+---------------------------+--------------+------+------+-------------+---------------+-------------+
|          Client           |      IP      | VLAN | PVID | VLAN Member |   VLAN SVI    | Switch Port |
+---------------------------+--------------+------+------+-------------+---------------+-------------+
| Workstation (source)      | 192.168.1.40 |   10 |   10 |          10 | 192.168.1.100 | P1          |
| Workstation (destination) | 192.168.2.40 |   20 |   20 |          20 | 192.168.2.100 | P2          |
+---------------------------+--------------+------+------+-------------+---------------+-------------+

Minha expectativa é poder fazer ping da origem para o destino. Como um bônus adicional, o destino seria incapaz de pingar a Fonte.

Além disso:

1. Todas as portas estão configuradas como não marcadas
2. Os SVIs não estão em conflito com os IPs existentes (como eu determinaria se eles existiam?)
3. O roteamento de IP está ativado no roteador
4. A descoberta do roteador IP está desativada (os SVIs não são anunciados como gateways)
5. O cache do ARP do roteador registra os IPs do dispositivo em suas portas, bem como em SVIs

Resultados

1. posso fazer ping de endereços IP em uma sub-rede / VLAN específica
2. posso acessar a internet (FWIW)
3. Eu não posso executar ping em sub-redes (gateway padrão não configurado explicitamente na NIC da estação de trabalho)
4. Eu não posso executar ping em sub-redes (gateway padrão explicitamente configurado para o endereço IP do SVI na NIC da estação de trabalho)
5. Eu não posso executar ping em sub-redes (mapeiou uma porta específica para várias VLANs - por exemplo, port P1 -> VLAN member (10, 20) - isso deve ser equivalente ao entroncamento VLAN .... e foi essencialmente sacudindo a gaiola, tentando provocar alguma mudança no comportamento)

Perguntas

Eu assisti dezenas de vídeos do youtube (principalmente Cisco), li a documentação no site da Netgear e dezenas de artigos / links - e eu simplesmente não o agreguei.

Até onde eu vi, depois de configurar os SVIs no roteador Cisco, o funciona e é a coisa mais enigmática em toda essa configuração: onde está o roteamento mesa? Como ele sabe que deve rotear o tráfego da sub-rede X para a sub-rede Y? O que acontece quando você tem várias VLANs, quem pode escolher o que vai aonde e, o mais importante - como ? Como você define ACLs para VLANs?

Devo definir manualmente rotas estáticas? Eu não acho que já vi pessoas configurando-os nesses vídeos. Se eu deveria defini-los - como devo fazer isso? Como eu digo que o tráfego do SVI X deve ser roteado para o SVI Y? O Netgear fornece apenas dois campos (relevantes) por linha do SVI: IP address e Next Hop . Se eu preencher o último com, e. IP da SVI Y, como posso esperar que o acesso à internet funcione (imagino que Next Hop seria sempre o endereço do Roteador).

Tenho certeza que tenho mais perguntas, mas você pode ver que estou muito confuso aqui, então vou parar por agora. Ficaria muito grato por qualquer conselho que você possa dar - teórico ou prático.