É possível configurar uma VLAN privada em um switch e ainda acessar cada servidor através de um IP público?

Question

Tenho certeza de que esse é um problema de rede muito básico / comum. Eu tenho 1 servidor web e 2 servidores de banco de dados que estão localizados em um data center. Eu recebi 10 endereços IP públicos e tenho um Cisco Switch de 1 porta com 1 GB (suporta os modos L2 e L3).

Atualmente, esses três servidores estão conectados ao switch e são configurados com IPs públicos, não há VLAN e não estou usando nenhum recurso avançado no switch. O servidor da Web usa 2 NICs adicionais para cruzar os dois servidores de banco de dados, cada um independentemente conectado ao comutador e acessível em um IP público.

Agora preciso adicionar possivelmente mais 2 servidores da Web, por isso preciso configurar uma rede interna privada ( 192.168.1.xxx ) no switch para que todos os servidores possam se comunicar, mas também preciso poder acessar cada um deles. respectivo servidor através de um IP público, por para a Administração de Área de Trabalho Remota, também ocasionalmente preciso acessar mais de 1433 para fazer interface com um SQL Server.

Minha pergunta é: isso pode ser feito usando apenas um switch ou eu preciso de um roteador? Cada servidor tem um mínimo de 2 NICs, cada servidor precisa de 2 conexões para o switch, uma para o intervalo de IP interno e uma para o acesso externo?

Desculpe se perdi todos os detalhes pertinentes.

    

Answer 1

O que você está pedindo é possível alcançar com VLANs. Será até possível em alguns switches não gerenciados, embora um switch gerenciável lhe dê mais opções.

Você pode deixar seus IPs públicos na VLAN não marcada, o que significa que o segmento de IP público funcionará normalmente e não precisará de alterações de configuração no roteador do outro lado do switch.

Em seguida, em cada host, você cria uma interface virtual para uma tag de VLAN e a utiliza para seu segmento interno. Por exemplo, se você usa o Linux, o comando a usar poderia ser vconfig add eth0 10 , o que criaria uma interface chamada eth0.10 e enviaria e receberia pacotes com a tag VLAN número 10. Você pode abrir essas interfaces virtuais em cada host, da mesma forma que se eles fossem uma interface física.

Se for um switch não gerenciado capaz de trocar pacotes marcados, então não há nada mais para isso.

Se for um switch gerenciado, pode não permitir os pacotes marcados por padrão. Nesse caso, você teria que ativar a tag VLAN em cada porta na configuração do switch. Um switch gerenciado oferece algumas outras opções.

Se você tiver portas sobressalentes no switch, você pode escolher que elas sejam usadas para as portas, que estão atualmente conectadas através de cabo crossover. Antes de conectá-los, você precisa configurar as VLANs no switch.

Você pode configurar todas as portas usadas atualmente para usar a VLAN 1 como não marcada e a VLAN 2 como marcada. E você poderia configurar as portas a serem conectadas ao lado para usar a VLAN 2 como não marcada e a VLAN 1 como marcada.

Em seguida, você pode conectar cada uma dessas portas ao switch em vez de usar um cabo crossover. Dessa forma, você pode começar com as VLANs sem precisar reconfigurar os servidores imediatamente.

O próximo servidor que você adicionar poderia ter apenas uma conexão de rede, que poderia ter acesso a ambas as VLANs. Nesse ponto, você teria que decidir qual VLAN estaria sem tag, se algum deles.

    

Answer 2

Você vai querer um firewall. Algo como um firewall Cisco ASA 5505 fornecerá a você a capacidade de NAT público para endereços IP privados e permite que você use o bloco completo de endereços IP que foram alocados.

Quando você re-IP seus hosts, você ainda pode manter VLANs no seu switch e executar o tráfego ligado à Internet através do Cisco ASA.