作者HiJimmy (嗨 吉米)
看板MIS
标题[请益] FortiGate VLan trunk port
时间Tue Jan 14 00:22:24 2025
需求主要是将办公用内网跟监视器内网走在一条线上
比较特别是用OPENWRT+fotigate混种网路
这里算做个纪录，还有一些似懂非懂地问题，要请教个问有经验的人
OA内网 VLAN10
NVR内网 VLAN20
机型60F 韧体版本7.4.6
一开始照着网路上说明做
1.系统管理>基本设定>VLAN交换模式
开启VLAN交换功能
原为硬体交换器，改完重新开机就变成VLAN交换器
2.将实体internal4、internal5从internal群组拆出来
3.检查internal VLAN ID是不是需要的值(VLAN10)，修改成需要的值
4.将一个实体internal4加入 VLAN20 与设定的IP
5.将一个实体internal5加入VLAN10 VLAN20
6.如果VLAN要相通需加入策略互通
OPEWNRT(DSA)很简单，只要在编辑network>interfaces>device的br.device
开启Bridge VLAN filtering内的Enable VLAN filtering
要加几个VLAN就新增，access port 就选U，trunk port就选T
PVID功能没用过我就不会用，我就用上面两个
以上网路上教学，全部都做了
就是这样设定，OPENWRT管理页面只能连上几秒就再也不上，
但是有线网路是算半通的吧，DHCP没法用，设定IP能上网
无线怎样都不行
後来无意间找到用CLI设定只要几行指令，就能变成trunk port
5是不用做的，主要指令就是选择实体port
然後"set trunk enable" 就完成了..
其他都不用设定，设定完成如下图，多了一个功能Ethernet Trunk
https://i.imgur.com/bgedYj5.png
那个功能我在GUI找不到
1.主要是想问这样做是正确的吗?原厂说明书没找到跟这一样的做法
2.GUI在哪里能找到设定的方法?
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 36.235.164.191 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/MIS/M.1736785346.A.B7E.html
1F：→ asdfghjklasd: 这算我使用的日常.你设错了,再来建议画架构图 01/14 12:59
架构如下
60f
wan----数据机
interlnal(VLAN 20)=>internal1-----电脑
三个绑一个交换器 =>internal2
=>internal3
独立一个 intrelnal4(VLAN 40)-----NVR
独立一个 intrelnal5(trunk)-----OPENWRT WAN
OPENWRT
(WAN trunk 20T 40T)
LAN(20U)=>LAN1----电脑
=>LAN2----L2 switch
=>LAN3
=>WIFI
NVR(40U)=>LAN4
※ 编辑: HiJimmy (36.235.164.191 台湾), 01/14/2025 23:41:26
2F：推 lovespre: VLAN TAG和firewall policy检查下 01/16 06:53
3F：→ deadwood: 看你的架构是想把这两台防火墙设备当作两台L3 switch用 02/26 21:08
4F：→ deadwood: 但是据我所知这是不可行的，防火墙不同实体介面上就算 02/26 21:09
5F：→ deadwood: 贴上相同Vlan tag也不会L2透通 02/26 21:09
6F：→ deadwood: fortigate是透过建立虚拟交换机让不同实体介面L2透通 02/26 21:10
7F：→ deadwood: 但是实体介面成为hardware switch成员後，就不能把VLAN 02/26 21:11
8F：→ deadwood: Tag贴在那个介面上了。 所以你想的架构跟硬体设计冲突 02/26 21:11
9F：→ deadwood: 建议买台中古可支援vlan的交换机吧，一两千应该有 02/26 21:13
目前两个多月都是正常，因为流量也不大，最大的应该是资料同步跟NVR的监视器
fortigate的设计逻辑，跟openwrt和pfsense不相似，必须得适应一下
如果开硬体式交换器，确实是没办法用VLAN tag
也不能像pfsense一样用eth1.X当作tag使用
网路上找到的范例很少人这样搞，通常都是一个PORT一个区块
是因为这个主要是防火墙功能?
※ 编辑: HiJimmy (36.235.138.105 台湾), 03/02/2025 15:30:57
10F：→ asdfghjklasd: 因为他是台L3 设备~~ 03/02 20:08
11F：推 d79418: 在每个Port下个别建立Vlan子介面给Vlan id,这些Port再与 05/14 08:26
12F：→ d79418: OPENWRT、OA网路相连呢？再透过设定路由及政策的方式让两 05/14 08:26
13F：→ d79418: 个网段相通？ 05/14 08:26