Minha pergunta é se tal configuração funcionaria:
Um modem a cabo, várias máquinas LAN, bem como o roteador/servidor (caixa Linux, com apenas 1 porta) conectam-se a um switch gerenciado inteligente barato, como o TP-LinkTL-SG108E. As máquinas LAN devem ser capazes de se conectar à Internet através do roteador.
Esse switch pode ser configurado de forma que as máquinas LAN recebam tráfego não marcado, mas o roteador receba seu tráfego, por exemplo, com ID de VLAN 1, e que o modem também receba tráfego não marcado, mas o roteador receba seu tráfego, por exemplo, com ID de VLAN 2 ?
Além disso, há alguma consideração de segurança ou desempenho*?
*) Estou ciente de que, como o roteador usa apenas 1 porta, a largura de banda seria dividida entre o tráfego LAN e WAN. Para isso eu faria modelagem na eth0 em ambas as direções de acordo com minhas necessidades.
Responder1
Encontrei sua pergunta porque estava pesquisando um problema de transmissão de VLAN com o roteador específico que você mencionou (TL-SG108E). Deixando esse problema de lado por enquanto, o que você está perguntando deve ser possível com VLANs nesse dispositivo ou qualquer outro "switch inteligente" compatível com VLAN.
Você definiria a porta à qual o modem a cabo se conecta como 'não marcada' para uma determinada VLAN e definiria o PVID para corresponder. Neste modo, o switch irá inserir e remover automaticamente cabeçalhos VLAN para todo o tráfego para a porta, de forma que o dispositivo não tenha ideia de que está em uma VLAN, mas outros dispositivos na rede (outros switches ou seu roteador, por exemplo) receberão as tags VLAN. E, claro, como é seu propósito, os dispositivos em VLANs diferentes não verão o tráfego de rede uns dos outros.
Você faria o mesmo para todos os outros dispositivos LAN locais, configurando-os como não marcados em uma VLAN diferente.
Então, para a porta que vai para o roteador Linux, você a definiria como uma porta marcada com ambas as VLANs, o que instrui o switch a passar os pacotes marcados com VLAN diretamente para o dispositivo. O Linux é capaz de configurar interfaces VLAN que processarão as tags VLAN e entregarão os pacotes à interface apropriada.
Nesse ponto, você pode usar iptables para rotear pacotes entre eles como desejar usando as cadeias FORWARD, como se você tivesse duas interfaces físicas na caixa Linux entre as quais deseja rotear.