作者HiJimmy (嗨 吉米)
看板MIS
標題[請益] FortiGate VLan trunk port
時間Tue Jan 14 00:22:24 2025
需求主要是將辦公用內網跟監視器內網走在一條線上
比較特別是用OPENWRT+fotigate混種網路
這裡算做個紀錄，還有一些似懂非懂地問題，要請教個問有經驗的人
OA內網 VLAN10
NVR內網 VLAN20
機型60F 韌體版本7.4.6
一開始照著網路上說明做
1.系統管理>基本設定>VLAN交換模式
開啟VLAN交換功能
原為硬體交換器，改完重新開機就變成VLAN交換器
2.將實體internal4、internal5從internal群組拆出來
3.檢查internal VLAN ID是不是需要的值(VLAN10)，修改成需要的值
4.將一個實體internal4加入 VLAN20 與設定的IP
5.將一個實體internal5加入VLAN10 VLAN20
6.如果VLAN要相通需加入策略互通
OPEWNRT(DSA)很簡單，只要在編輯network>interfaces>device的br.device
開啟Bridge VLAN filtering內的Enable VLAN filtering
要加幾個VLAN就新增，access port 就選U，trunk port就選T
PVID功能沒用過我就不會用，我就用上面兩個
以上網路上教學，全部都做了
就是這樣設定，OPENWRT管理頁面只能連上幾秒就再也不上，
但是有線網路是算半通的吧，DHCP沒法用，設定IP能上網
無線怎樣都不行
後來無意間找到用CLI設定只要幾行指令，就能變成trunk port
5是不用做的，主要指令就是選擇實體port
然後"set trunk enable" 就完成了..
其他都不用設定，設定完成如下圖，多了一個功能Ethernet Trunk
https://i.imgur.com/bgedYj5.png
那個功能我在GUI找不到
1.主要是想問這樣做是正確的嗎?原廠說明書沒找到跟這一樣的做法
2.GUI在哪裡能找到設定的方法?
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 36.235.164.191 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/MIS/M.1736785346.A.B7E.html
1F：→ asdfghjklasd: 這算我使用的日常.你設錯了,再來建議畫架構圖 01/14 12:59
架構如下
60f
wan----數據機
interlnal(VLAN 20)=>internal1-----電腦
三個綁一個交換器 =>internal2
=>internal3
獨立一個 intrelnal4(VLAN 40)-----NVR
獨立一個 intrelnal5(trunk)-----OPENWRT WAN
OPENWRT
(WAN trunk 20T 40T)
LAN(20U)=>LAN1----電腦
=>LAN2----L2 switch
=>LAN3
=>WIFI
NVR(40U)=>LAN4
※ 編輯: HiJimmy (36.235.164.191 臺灣), 01/14/2025 23:41:26
2F：推 lovespre: VLAN TAG和firewall policy檢查下 01/16 06:53
3F：→ deadwood: 看你的架構是想把這兩台防火牆設備當作兩台L3 switch用 02/26 21:08
4F：→ deadwood: 但是據我所知這是不可行的，防火牆不同實體介面上就算 02/26 21:09
5F：→ deadwood: 貼上相同Vlan tag也不會L2透通 02/26 21:09
6F：→ deadwood: fortigate是透過建立虛擬交換機讓不同實體介面L2透通 02/26 21:10
7F：→ deadwood: 但是實體介面成為hardware switch成員後，就不能把VLAN 02/26 21:11
8F：→ deadwood: Tag貼在那個介面上了。 所以你想的架構跟硬體設計衝突 02/26 21:11
9F：→ deadwood: 建議買台中古可支援vlan的交換機吧，一兩千應該有 02/26 21:13
目前兩個多月都是正常，因為流量也不大，最大的應該是資料同步跟NVR的監視器
fortigate的設計邏輯，跟openwrt和pfsense不相似，必須得適應一下
如果開硬體式交換器，確實是沒辦法用VLAN tag
也不能像pfsense一樣用eth1.X當作tag使用
網路上找到的範例很少人這樣搞，通常都是一個PORT一個區塊
是因為這個主要是防火牆功能?
※ 編輯: HiJimmy (36.235.138.105 臺灣), 03/02/2025 15:30:57
10F：→ asdfghjklasd: 因為他是台L3 設備~~ 03/02 20:08
11F：推 d79418: 在每個Port下個別建立Vlan子介面給Vlan id,這些Port再與 05/14 08:26
12F：→ d79418: OPENWRT、OA網路相連呢？再透過設定路由及政策的方式讓兩 05/14 08:26
13F：→ d79418: 個網段相通？ 05/14 08:26