Giới hạn máy chủ trên mạng

Tôi đang cần một số lời khuyên về mạng và hy vọng một số bạn sẽ có thể giúp tôi. Mạng của tôi được hiển thị trong sơ đồ khối này: Bộ chuyển mạch ethernet của Microchip, kiểu KSZ9897, là bộ chuyển mạch lớp 2 được quản lý. Công tắc này có nhiều tính năng, chẳng hạn như nó hỗ trợ IEEE 802.1X (xác thực dựa trên cổng và lọc Danh sách điều khiển truy cập (ACL)) và IEEE 802.1Q (VLAN). Tất cả các máy chủ đều là PC chạy Windows 10. Tôi cần những điều sau đây:

• Các máy chủ 1A, 1B và 1C phải có cùng một địa chỉ IP cố định (điều này là do quá trình khởi tạo, trong đó các máy chủ 2A, 2B và 2C chưa biết chúng nằm trong Đơn vị A, Đơn vị B hay Đơn vị C. Thông tin này được truyền đạt từ Máy chủ 1, đó là lý do tại sao tôi cần Máy chủ 1A, 1B và 1C có cùng địa chỉ IP để Máy chủ 2 biết nơi gửi yêu cầu nhận dạng)
• Máy chủ 1A có thể giao tiếp với Máy chủ 2A và không có máy chủ nào khác
• Máy chủ 2A có thể giao tiếp với tất cả các máy chủ ngoại trừ Máy chủ 1B và Máy chủ 1C
• Máy chủ 1B có thể giao tiếp với Máy chủ 2B và không có máy chủ nào khác
• Máy chủ 2B có thể giao tiếp với tất cả các máy chủ ngoại trừ Máy chủ 1A và Máy chủ 1C
• Máy chủ 1C có thể giao tiếp với Máy chủ 2C và không có máy chủ nào khác
• Máy chủ 2C có thể giao tiếp với tất cả các máy chủ ngoại trừ Máy chủ 1A và Máy chủ 1B

Hiện tại, tất cả các máy chủ đều nằm trên cùng một mạng con, giả sử 192.168.1.X, mặt nạ mạng con 255.255.255.0. Ý tưởng đầu tiên của tôi là cung cấp cho các máy chủ 1A, 1B và 1C một địa chỉ IP trên một mạng con khác, chẳng hạn như 192.168.2.1 và cung cấp cho các máy chủ 2A, 2B và 2C một địa chỉ IP bí danh trên cùng một mạng con đó. Bằng cách này, Máy chủ 2 sẽ có thể giao tiếp trên cả hai mạng con. Tuy nhiên, điều này sẽ không hoạt động, ví dụ: Máy chủ 2A sẽ có thể giao tiếp với cả 1B và 1C. Điều này sẽ khiến các địa chỉ trùng lặp IP trên cùng một mạng con. Nhưng việc đặt Máy chủ 1A, Máy chủ 1B và Máy chủ 1C trên ba mạng con khác nhau cũng là một vấn đề do vấn đề nhận dạng được nêu ở điểm đầu tiên trong danh sách.Đối với tôi, nó giống như một vấn đề về con gà và quả trứng, nhưng hy vọng rằng tôi đang thiếu thứ gì đó có thể khắc phục được sự cố, có thể là Vlan, kiểm soát truy cập hoặc thứ gì đó khác.

Tùy thuộc vào những gì công tắc đó thực sự hỗ trợ cho ACL (không thể tìm thấy bất kỳ hướng dẫn nào), các ACL gắn cổng sẽ thực hiện thủ thuật - không cần Vlan hoặc định tuyến. Tôi giả sử các máy chủ được định cấu hình tĩnh, không có DHCP. Cú pháp có thể khác nhau nhưng tôi hy vọng bạn hiểu ý. Chỉ cần áp dụng ACL cho tất cả các cổng trên tất cả các công tắc. Ngoài ra, áp dụng ACL cho VLAN mặc định cũng có thể hoạt động.

• máy chủ 1A-5A sử dụng địa chỉ IP 192.168.1.1/24 - 192.168.1.5/24
• máy chủ 1B-5B sử dụng địa chỉ IP 192.168.1.11/24 - 192.168.1.15/24
• máy chủ 1C-5C sử dụng địa chỉ IP 192.168.1.21/24 - 192.168.1.25/24
• máy chủ 1D-5D sử dụng địa chỉ IP 192.168.1.31/24 - 192.168.1.35/24

ACL:

1000 giấy phép ip 192.168.1.1/32 192.168.1.2/32
1010 từ chối ip 192.168.1.2/32 192.168.1.11/32
1020 từ chối ip 192.168.1.2/32 192.168.1.21/32
1030 cho phép ip 192.168.1.2/32 bất kỳ
1040 cho phép ip 192.168.1.11/32 192.168.1.12/32
1050 từ chối ip 192.168.1.12/32 192.168.1.1/32
1060 từ chối ip 192.168.1.12/32 192.168.1.21/32
1070 cho phép ip 192.168.1.12/32 bất kỳ
1080 cho phép ip 192.168.1.21/32 192.168.1.22/32
1090 từ chối 192.168.1.22/32 192.168.1.1/32
1100 từ chối 192.168.1.22/32 192.168.1.11/32
1110 giấy phép 192.168.1.22/32 bất kỳ

Lưu ý rằng có một ngụ ý từ chối bất kỳ ở cuối ACL, vì vậy nếu bạn không cho phép một cách rõ ràng điều gì đó thì nó sẽ bị từ chối. Bạn cần phải cho phép cả hai hướng của một giao tiếp - ACL là không trạng thái. Các quy tắc được đánh giá trên một phù hợp đầu tiên cơ sở từ trên xuống dưới, vì vậy nếu trước đó phủ nhận trận đấu, một tiếp theo cho phép làm gì không được sử dụng.

Nếu công tắc không chấp nhận /32 (không có bit ký tự đại diện) bạn cần sử dụng 0.0.0.0 thay thế. Các bit ký tự đại diện không có quan hệ trực tiếp với mặt nạ mạng con. Thay vào đó, chúng xác định các bit bị bỏ qua khi so khớp. 192.168.1.2/31 hoặc 192.168.1.2 0.0.0.1 khớp với 192.168.1.2 và 192.168.1.3. 192. 192.168.1.3 0.0.0.2 khớp với 192.168.1.1 và 192.168.1.3.