Problema de broadcast con VLANs

Pregunta

Tengo un problema con tráfico en unos de mis switches en mi red:
Tengo una red pequeña con 10 switches y segmentada con VLANs. Estoy usando la VLAN1 para la red de servidores y 4 VLAN más para DMZ, red externa, usuarios y administración.
Mis problemas son:

• En general tengo demasiado broadcast y multicast
• Cierto tráfico de datos entre dos servidores que están conectados a un mismo switch ( y en la misma VLAN) está apareciendo en la troncal del switch; es decir al snifear una de las troncales detecto tráfico de datos entre los dos switches. El tráfico de datos no debería limitarse a la conmutación dentro del mismo switch sin interferir con las otras bocas? o estoy interpretando mal el funcionamiento de los switch? o la configuración de VLAN hace que se pierda la característica de segmentación de dominios de colisión de los switch?

Respuesta

1) Limita el broadcast en las puertas de aceso y en los enlaces ínter switch.

2) Ubica las fuentes de broadcast, particularmente que razón tienen (p.ej si son excesivas consultas ARP).

3) Con un analizador grafica o usa el PRTG (u otro software similar) para conocer el % de broadcast.

Otra respuesta

Por definicion el switch conmuta por direccion MAC, en una troncal discurre todo el trafico etiquetado con la VLAN a la que corresponde, cada VLAN es como si fuera un switch independiente por lo que sigue un switch en una VLAN determinada conmuta segun la MAC. Dicho esto el problema no es que hayas configurado VLAN en tu switch, ya que la VLAN solo es una etiqueta que se agrega para diferenciar la trama en la troncal y derivarla a los puertos asociados con esa VLAN.

Los posibles problemas pueden ser:

• Loops al interior de tu red, talves tienes switch no administrables o algun hubs que esta creando un loop por algun enlace redundante.
• Ataque de inundacion de MAC que hacen que tus switch no puedan almacenar mas direcciones MAC y reenvien el trafico a todos los puertos, lo cual segun los sintomas es muy posible.
• Cables con intermitencia, que puede estar generando conexion y desconexion por lo tanto haciendo que las tramas STP, VTP y DTP, se generen continuamente para tratar de establecer comunicacion.

Mis sugerencias:

• Activa seguridad de puerto para los clientes y si es posible amarra las mac
•  Desactiva servicios que no se utilicen en los puertos de los switch
•  Aisla el problema del broadcast revisando los consumos de recursos en los switch para saber cual es su origen
•  Instala un sistema de monitoreo de syslog que te de informacion sobre actividades de los puertos, que luego puedas revisar.

Y otra respuesta mas

Por lo que comentas, puede ser que el problema lo tengas con la configuración de los puertos de los switches, estos pueden estar en tres modos promiscuos, aislados y comunity.

Si los puertos de tus switches están en modo promiscuos, aunque tengas creadas las VLANs, el tráfico de broadcast y de multicast, pasa através de todos los puertos.
Mira está configuración.

Control o filtrado de uso de internet remoto

Pregunta


El asunto es el siguiente, en la oficina tienen pensado adquirir portatiles y contratarles un servicio de banda ancha movil (3g/GSM) el asunto es que que aqui en Mexico este tipo de servicios estan topados (hasta 5GB o 3GB de transferencia mensual), estoy buscando alguna aplicacion que me permita una vez instalada en la PC portatil bloquear ciertas paginas o incluso si es posible bloquear todo y abrir solo ciertas paginas, esto con la intencion de evitar que se acaben la cuota mensual de transferencia en usos personales y se use esto para cuestiones laborales.

¿Alguna recomendacion?

P.D. En la oficina tenemos algo similar pero por mucho menos restrictivo con un servidor linux (PfSense), pero para este caso por obvias razones no es lo que nos serviria.

Respuesta

Lo que planteas entiendo que la solucion seria establecer las politicas restrictivas a nivel local (portatiles), eso lo podes lograr con infraestructura microsoft, con un isa server (Firewall/Proxy) y cada pc debe tener instalada el cliente proxy (Isa Firewall client) cuando vos seteas ( configuras ) una regla en el servidor esa regla se baja a los clientes y el procesamiento de deny/allow se realiza en el cliente (a traves del firewall client).....con eso no tendrias consumo de ancho de banda en consultar al isa si el cliente puede o no browsear (navegar) ni tampoco consumiria si el usuario quiere realizar tareas no laborales.


Otra respuesta


Si es portatil debes instalar algo en cada equipo, debe existir alguna aplicación para MS.Para redes yo he implementado proxy bridge transparente con debian, squid y dansguardian.

Y otra respuesta

Solicita el servicio de APN a tu proveedor de telefonía, tienes que abrir un puerto y configurar el APN en cada  modem de esta forma pueden navegar como si estuvieran en tu LAN local, o si prefieres puedes instalar en cada equipo powerbroker y aplicarle políticas a cada perfil de tus equipos laptop