Разделить сеть на 2 подсети...

[Fepsis]

Здравствуйте, господа!


Ситуация следующая:

Имеется сеть (~50 ПК), ОС в основном Windows XP Home Edition, поэтому сеть построена на рабочих группах.
Вся сеть питается интернетом от одного роутера D-Link DIR-100 (IP: 192.168.1.1).

На роутере отключено DHCP, на компьютерах следующим образом настроены сетевухи:

IP-адрес: 192.168.1.xxx
Маска подсети: 255.255.255.0
Основной шлюз: 192.168.1.1
DNS-сервер: 192.168.1.1

В сетке несколько рабочих групп, пусть, для определённости, 2 группы "GOOD" и "BAD".

Задача следующая:

Нужно "изолировать" группу "BAD", то есть сделать так, чтобы пользователи группы "BAD" не могли смотреть общие ресурсы группы "GOOD". Но при этом, чтобы интернет продолжал работать от роутера.


В общем то изолировать группу можно, задав компьютерам из "BAD" другой диапазон адресов, например 192.168.2.xxx, в этом случае файлы группы "GOOD" не шарятся, но тогда не знаю, как настроить интернет... Вариант

IP-адрес: 192.168.2.xxx
Маска подсети: 255.255.255.0
Основной шлюз: 192.168.1.1
DNS-сервер: 192.168.1.1

естественно не работает...

Подскажите, как настроить интернет на компьютерах с адресами 192.168.2.xxx через роутер с адресом 192.168.1.1 (я предполагаю, что тут с маской подсети нужно колдовать, хотя не уверен), либо может предложите другое решение задачи...


Спасибо!

[kfor]

Vlan я думаю поможет, притом у этого роутера есть поддержка.

Вот кстати из коментов.

38
Envek написал:
июля 10, 2011 в 17:42

Здравствуйте, подскажите, может ли DIR-100 работать ОДНОВРЕМЕННО маршрутизатором и VLAN-свичом. Т.е. на WAN порт ловить интернет, а остальные порты разделить на изолированные подсети (чтобы друг другу не ходили, а в интернет могли)?
39
XasaH написал:
июля 11, 2011 в 10:43

Есть под него прошивка под triple play – попробуйте её.


http://nastroisam.ru/dir-100-vlan/

[nicco]

Private VLAN.

[dupD0M]

а как такой роутер тянет сколько народу ~50????у меня дир300 бедолага не может со смартом и ноутом толково справится!хотя у меня торенты запрещены провом...
ТС колдуй с прошивками..стандартная толку не даст вообще..

[Fepsis]

До роутера руки пока не дошли... Возник вопрос:

если настраивать VLAN, то, как я понял, каждый лан порт роутера будет держать свою подсеть..?! То есть, чтобы изолировать подсеть, её придётся вешать на один лан порт роутера..?! Так ли это..??! И если так, то мне скорее всего этот вариант не подойдёт...


Есть ли какие другие варианты...?! Мне лично проще было бы перенастроить сетевухи компьютеров группы "BAD", но опять же что делать с доступом в интернет, не знаю...

dupD0M, роутер нормально держит, проблем особых не наблюдается...

[kfor]

Сообщение от Fepsis

До роутера руки пока не дошли... Возник вопрос:

если настраивать VLAN, то, как я понял, каждый лан порт роутера будет держать свою подсеть..?! То есть, чтобы изолировать подсеть, её придётся вешать на один лан порт роутера..?! Так ли это..??! И если так, то мне скорее всего этот вариант не подойдёт...


Есть ли какие другие варианты...?! Мне лично проще было бы перенастроить сетевухи компьютеров группы "BAD", но опять же что делать с доступом в интернет, не знаю...

dupD0M, роутер нормально держит, проблем особых не наблюдается...

Я бы ваапще взял мега старый комп и поднял бы на нём фряху и отделил бы одну подсеть от другой. Либо на всех компах где шары настраивать фаерволл на блокировку другой подсети.

[kavabango]

Вообще от >50 компов уже рекомендуется поднимать контроллер домена.
Иначе только как kfor говорит.
Тогда, кстати, можно не разделять на подсети. Раз IP статические, ставить squid прозрачно и разрешать выходить только определенным адресам. Либо блокировать фаерволом

[destiny]

Сообщение от Fepsis

В общем то изолировать группу можно, задав компьютерам из "BAD" другой диапазон адресов, например 192.168.2.xxx, в этом случае файлы группы "GOOD" не шарятся, но тогда не знаю, как настроить интернет... Вариант

IP-адрес: 192.168.2.xxx
Маска подсети: 255.255.255.0
Основной шлюз: 192.168.1.1
DNS-сервер: 192.168.1.1

естественно не работает...

ну дык потому что маска тогда уже должна быть 255.255.252.0.
но это никак никого ни от чего не произолирует, ибо обращение \\192.168.1.10\ пройдёт.
и если хочешь извращаться на уровне роутера, то включай DHCP, включай, например, присвоение IP-ов по MAC-у и настраивай в роутере файрвол (если он там есть), или поставь по фаеру на каждый GOOD-комп и настрой его.

[bloodAngel]

Сообщение от dupD0M

а как такой роутер тянет сколько народу ~50????у меня дир300 бедолага не может со смартом и ноутом толково справится!хотя у меня торенты запрещены провом...
ТС колдуй с прошивками..стандартная толку не даст вообще..

не гани , у меня длинк Дир 300 тянул ПК, два ноута и смарт !

[Fepsis]

В общем проблему решил, получилось всё красиво...


Я хоть и предполагал, что с помощью настройки маски можно проблему решить, но как точно не знал (нужно будет почитать про это дело)... Спасибо destiny за маску "255.255.252.0"

Собственно сначала попробовал перенастроить компы группы "BAD" так:

IP-адрес: 192.168.2.xxx
Маска подсети: 255.255.252.0
Основной шлюз: 192.168.1.1
DNS-сервер: 192.168.1.1

хз почему, но не прокатило... Интернета не было... Потом подумал, раз "255.255.252.0" охватывает и 192.168.1.xxx и 192.168.2.xxx, попробую вбить эту маску на роутере... И О ЧУДО!!!!!!

В данный момент компьютеры группы "BAD":

IP-адрес: 192.168.2.xxx
Маска подсети: 255.255.255.0
Основной шлюз: 192.168.1.1
DNS-сервер: 192.168.1.1

группы "GOOD":

IP-адрес: 192.168.1.xxx
Маска подсети: 255.255.255.0
Основной шлюз: 192.168.1.1
DNS-сервер: 192.168.1.1

роутер:

IP-адрес: 192.168.1.1
Маска подсети: 255.255.252.0

Причём пинговать они друг друга пингуют, но в сетевом окружении доступа друг к другу у них нет, что мне, собственно и было нужно... Надеюсь такая настройка не повлечёт за собой каких либо глюков...


Всем спасибо за помошь!!!