Guide til subnetting

[ZoRaC]

40 minutter siden, ATWindsor skrev:

Men igjen, hvorfor skal det være to enheter med samme IP? Den situasjonen skaper problemer (det gjør den forsåvidt uten VLAN også), men hvorfor skulle situasjonen oppstå i utgagnspunktet om man ikke framtvinger den?

 

Hvis du setter opp DHCP, med samme scope mot to interface, så vil de dele ut IP-adresser uavhengig av hverandre - også samme IP.

 

Men, for å spørre på en annen måte - hvordan skal routeren vite hvilket interface den skal sende trafikken til hvis du har en enhet på interface 1 med 192.168.0.4 og en enhet på interface 2 med 192.168.0.5? Begge har jo da samme nettadresse og routeren vil da ikke klare å sende trafikken riktig - flere interface kan ikke ha samme nettadresse.

[ATWindsor]

9 minutes ago, ZoRaC said:

 

Hvis du setter opp DHCP, med samme scope mot to interface, så vil de dele ut IP-adresser uavhengig av hverandre - også samme IP.

 

Men, for å spørre på en annen måte - hvordan skal routeren vite hvilket interface den skal sende trafikken til hvis du har en enhet på interface 1 med 192.168.0.4 og en enhet på interface 2 med 192.168.0.5? Begge har jo da samme nettadresse og routeren vil da ikke klare å sende trafikken riktig - flere interface kan ikke ha samme nettadresse.

 

Nå henger jeg ikke helt med? Dette er jo helt vanlig oppsett på alle hjemmerutere? Om man har en maskin på en nettutgang (interface) og en annen maskin på en annen nettutgang på samme ruter, så har de samme scope, og de vil jo ikke få samme IP.

[ZoRaC]

1 minutt siden, ATWindsor skrev:

 

Nå henger jeg ikke helt med? Dette er jo helt vanlig oppsett på alle hjemmerutere? Om man har en maskin på en nettutgang (interface) og en annen maskin på en annen nettutgang på samme ruter, så har de samme scope, og de vil jo ikke få samme IP.

I de tilfellene rutes ikke trafikken, den switches. Dvs at routing-funksjonen (og brannmuren) i «router-boksen» ikke ser denne trafikken. Det blir som om du kobler utstyret til en switch, uten ha noen router i nettet i det hele tatt. For routeren er alle koblingene til «router-boksen» ett interface (som er bridget). Dvs at du ikke kan sperre trafikk mellom switchportene på «routerboksen», da denne trafikken ikke passerer gjennom brannmuren/router-funksjonen. 

[ZoRaC]

25 minutter siden, Floyd skrev:

Da tror jeg at jeg har lært noe i dag også.

Så med Vlan kan jeg sette opp flere nett / SSID på hvert access point og ha isolerte nett pr SSID, så lenge AP og router støtter dette?

 

Ja. 

[ATWindsor]

26 minutes ago, ZoRaC said:

I de tilfellene rutes ikke trafikken, den switches. Dvs at routing-funksjonen (og brannmuren) i «router-boksen» ikke ser denne trafikken. Det blir som om du kobler utstyret til en switch, uten ha noen router i nettet i det hele tatt. For routeren er alle koblingene til «router-boksen» ett interface (som er bridget). Dvs at du ikke kan sperre trafikk mellom switchportene på «routerboksen», da denne trafikken ikke passerer gjennom brannmuren/router-funksjonen. 

 

For det første, så kan vel fint trafikken rutes om den kommer utenifra, men uansett, har det noe med poenget å gjøre? som er at en DHCP-server ikke deler ut samme til forskjellige enheter bare fordi de er på to forskjellige interface? Bruker vi interface på forskjellige måter her? To PCer er jo to forskjellige interface? 

 

EDIT: Kan virke litt flisespikkende her, er ikke bare for å være vond altså, men nettverk er komplisert og det er fort gjort å tråkke feil, derfor viktig å få det riktig.

Endret 6. november 2019 av ATWindsor

[ZoRaC]

1 time siden, ATWindsor skrev:

For det første, så kan vel fint trafikken rutes om den kommer utenifra, men uansett, har det noe med poenget å gjøre? som er at en DHCP-server ikke deler ut samme til forskjellige enheter bare fordi de er på to forskjellige interface? Bruker vi interface på forskjellige måter her? To PCer er jo to forskjellige interface? 

Trafikk til/fra Internett kan selvsagt rutes, for det er et annet interface og subnett enn de lokale nettene. 
 

Hele hensikten er jo å sikre at den nettverkskabelen som henger ute (til kamera) og er koblet til port 1 på «router-boksen» ikke kan kommunisere fritt med filserveren du har koblet til port 2. Da må du sette dem på hvert sitt interface (VLAN) for å kunne route og bruke brannmurregler mellom dem. Hvis de står i samme subnett vil all trafikk flyte fritt mellom dem. 
 

DHCP er jo helt irrelevant i denne sammenhengen...

 

Edit:

2 pc-er kan godt være koblet til samme interface på routeren, siden de 4 portene på boksen gjerne er bridget og dermed er bare ett interface. 

Endret 6. november 2019 av ZoRaC

[ATWindsor]

1 minute ago, ZoRaC said:

Trafikk til/fra Internett kan selvsagt rutes, for det er et annet interface og subnett enn de lokale nettene. 
 

Hele hensikten er jo å sikre at den nettverkskabelen som henger ute (til kamera) og er koblet til port 1 på «router-boksen» ikke kan kommunisere fritt med filserveren du har koblet til port 2. Da må du sette dem på hvert sitt interface (VLAN) for å kunne route og bruke brannmurregler mellom dem. Hvis de står i samme subnett vil all trafikk flyte fritt mellom dem. 
 

DHCP er jo helt irrelevant i denne sammenhengen...

 

Begynner vi ikke å dreie over på noe annet nå? Jeg er enig i at det er gunstigst å ha det på hvert sitt subnett, men diskuterte vi ikke om de får utdelt samme IP? DHCP er jo ikke irrelevant for det. 

[ZoRaC]

4 minutter siden, ATWindsor skrev:

 

Begynner vi ikke å dreie over på noe annet nå? Jeg er enig i at det er gunstigst å ha det på hvert sitt subnett, men diskuterte vi ikke om de får utdelt samme IP? DHCP er jo ikke irrelevant for det. 

Nei, vi diskuterte om man kan ha samme subnett på flere nettverk mot samme router. Det kan man ikke, uansett om man setter opp DHCP eller statiske IPer på enhetene så vil ikke det fungere. 
 

Du kan jo bare teste? Sett opp to identiske DHCP-scope mot hvert sitt interface (om du i det hele tatt får lov til å lage to like DHCP-scope, i Windows Server tror jeg ikke det er mulig). Så ser du at de deler ut samme IP til enheter på hvert sitt interface. 

[ATWindsor]

1 minute ago, ZoRaC said:

Nei, vi diskuterte om man kan ha samme subnett på flere nettverk mot samme router. Det kan man ikke, uansett om man setter opp DHCP eller statiske IPer på enhetene så vil ikke det fungere. 
 

Du kan jo bare teste? Sett opp to identiske DHCP-scope mot hvert sitt interface (om du i det hele tatt får lov til å lage to DHCP-scope, i Windows Server tror jeg ikke det er mulig). Så ser du at de deler ut samme IP til enheter på hvert sitt interface. 

 

Jeg tror vi snakker forbi hverandre her, hvorfor skal man sette opp to scope? En vanlig DHCP-server bruker jo samme scope mot en rekke forskjellige interfaces? La oss si du kobler en switch inn i rutere, ruteren ordner dhcp, , alle maskinene på switchen er på vlan 10, du kjører fram vlan 10 til ruteren, da vil maskinene få IP, og ingen overlapp. Enig? Så deler du opp og kjører vlan 10 på halvparten av maskinene vlan 20 på den andre halvparten, og kjører fram vlan 10 og 20 til ruteren. Er du ikke enig i at det samme vil skje da? De får en ip uten overlapp? 

[ZoRaC]

... og Google er full av tråder om at det ikke er mulig med samme subnett mot forskjellig interface. F.eks: https://superuser.com/a/1334359

[ZoRaC]

7 minutter siden, ATWindsor skrev:

La oss si du kobler en switch inn i rutere, ruteren ordner dhcp, , alle maskinene på switchen er på vlan 10, du kjører fram vlan 10 til ruteren, da vil maskinene få IP, og ingen overlapp. Enig?

Enig. 
 

7 minutter siden, ATWindsor skrev:

Jeg tror vi snakker forbi hverandre her, hvorfor skal man sette opp to scope? En vanlig DHCP-server bruker jo samme scope mot en rekke forskjellige interfaces?

Jeg har aldri vært borti DHCP-servere hvor man kan bruke samme scope mot to interface...

 

7 minutter siden, ATWindsor skrev:

Så deler du opp og kjører vlan 10 på halvparten av maskinene vlan 20 på den andre halvparten, og kjører fram vlan 10 og 20 til ruteren. Er du ikke enig i at det samme vil skje da? De får en ip uten overlapp? 

 

Et tagget VLAN er ett interface, så VLAN10 og VLAN20 er to forskjellig interface (på én kabel). Jeg tror ikke du kan konfigurere DHCP-serveren til å bruke samme scope mot begge disse interfacene, dermed må du jo ha to identiske scopes i så fall. 
 

Ble litt usikker på om ARP kanskje vil klare å holde orden på hvilke adresser som er i bruk på hvilket interface (for routing), men det tror jeg vil være veldig varierende fra router til router. DHCP tror jeg den vil slite med, om du da ikke har en DHCP-server som kan betjene flere interface. 

[ATWindsor]

8 minutes ago, ZoRaC said:

Enig. 
 

Jeg har aldri vært borti DHCP-servere hvor man kan bruke samme scope mot to interface...

 

 

Et tagget VLAN er ett interface, så VLAN10 og VLAN20 er to forskjellig interface (på én kabel). Jeg tror ikke du kan konfigurere DHCP-serveren til å bruke samme scope mot begge disse interfacene, dermed må du jo ha to identiske scopes i så fall. 
 

Ble litt usikker på om ARP kanskje vil klare å holde orden på hvilke adresser som er i bruk på hvilket interface (for routing), men det tror jeg vil være veldig varierende fra router til router. DHCP tror jeg den vil slite med, om du da ikke har en DHCP-server som kan betjene flere interface. 

 

 

Mulig jeg ser på dette "for enkelt", men sånn jeg ser det så bestemmer vlan hvilken pakke som slipper igjennom, om pakke X kjøres over en kabel med vlanet den er på, så kommer den igjennom, om ikke så kommer ikke pakka igjennom. Så en maskin på vlan 20 da ( i eksmeplet over) sender dhcp-discover, den når fram til ruteren, de forhandler, og ruteren sender beskjed til maskinen hva slags adresse den skal benytte. Senere tar en maskin på vlan10 å gjør det samme, og pakken kommer igjennom (siden både vlan 10 og 20 er kjørt fram), og ruter/dhcp-server mottar pakka, og bare kjører forhandling på samme måte. At det er et lag2-hinder som gjør at de to maskinene ikke ser hverandre er irrelevant for ruteren, den mottar dhcp-discover pakker som vanlig, bryr seg ikke om virket vlan det kommer fra, og deler ut, uten å gi samme ip til forskjellige mac-adresser?

Det er ihvertfall sånn jeg tenker det funker i mitt hode. Men er ikke det riktig?

[NilsOF]

6 timer siden, ATWindsor skrev:

sånn jeg ser det så bestemmer vlan hvilken pakke som slipper igjennom

Mnja, et vlan kan best samenlignes med en virituel patchekabel. 

 

Dhcp er et annet stygt dyr i skogen.

Jeg vet ikke helt om jeg har lyst til å gå dit i kveld ?

 

Andre stygge dyr i skogen er switcher og bridger. Egentlig samme dyret med forskjellig navn.

De fleste routerbokser støtter disse også..

 

Edit: hjernen er oppbrukt for idag, jeg glemte det store stygge NATte dyret.

Endret 6. november 2019 av NilsOF

[NilsOF]

1 time siden, NilsOF skrev:

Mnja, et vlan kan best samenlignes med en virituel patchekabel.
?

 

 

Siterer og korrigerer meg selv.

 

Et vlan er synonymt med ett helt gammeldags nettverk med switcher.

Man sparer med andre ord ikke bare noen patchekabler og porter men også switch(er).

Endret 6. november 2019 av NilsOF

[ZoRaC]

16 timer siden, ATWindsor skrev:

 

 

Mulig jeg ser på dette "for enkelt", men sånn jeg ser det så bestemmer vlan hvilken pakke som slipper igjennom, om pakke X kjøres over en kabel med vlanet den er på, så kommer den igjennom, om ikke så kommer ikke pakka igjennom. Så en maskin på vlan 20 da ( i eksmeplet over) sender dhcp-discover, den når fram til ruteren, de forhandler, og ruteren sender beskjed til maskinen hva slags adresse den skal benytte. Senere tar en maskin på vlan10 å gjør det samme, og pakken kommer igjennom (siden både vlan 10 og 20 er kjørt fram), og ruter/dhcp-server mottar pakka, og bare kjører forhandling på samme måte. At det er et lag2-hinder som gjør at de to maskinene ikke ser hverandre er irrelevant for ruteren, den mottar dhcp-discover pakker som vanlig, bryr seg ikke om virket vlan det kommer fra, og deler ut, uten å gi samme ip til forskjellige mac-adresser?

Det er ihvertfall sånn jeg tenker det funker i mitt hode. Men er ikke det riktig?

Kan hende det vil fungere i teorien - så lenge VLAN 10 og 20 har samme broadcast domain så kan det hende den klarer å tildele IP fra samme scope. I pfSense, som jeg kjører, så tror jeg ikke det er mulig, for da må to interface ha samme nettadresse. Om du setter det opp slik da, så vil du kunne få broadcaststorms, ustabil kommunikasjon mot ruteren (den sender trafikk til feil VLAN) og du vil heller ikke kunne få trafikk mellom to enheter som står i hvert sitt VLAN (ikke routbart). 
 

Men, nå er vi langt på siden av det opprinnelige spørsmålet som jeg svarte på - nemlig hvorfor man bør ha VLAN i tillegg til forskjellige subnett, i stedet for bare å dele opp nettet i subnett. 

[ATWindsor]

4 minutes ago, ZoRaC said:

Kan hende det vil fungere i teorien - så lenge VLAN 10 og 20 har samme broadcast domain så kan det hende den klarer å tildele IP fra samme scope. I pfSense, som jeg kjører, så tror jeg ikke det er mulig, for da må to interface ha samme nettadresse. Om du setter det opp slik da, så vil du kunne få broadcaststorms, ustabil kommunikasjon mot ruteren (den sender trafikk til feil VLAN) og du vil heller ikke kunne få trafikk mellom to enheter som står i hvert sitt VLAN (ikke routbart). 
 

Men, nå er vi langt på siden av det opprinnelige spørsmålet som jeg svarte på - nemlig hvorfor man bør ha VLAN i tillegg til forskjellige subnett, i stedet for bare å dele opp nettet i subnett. 

 

Vel, påstanden min er at (om utstyret støtter det), så er det greiere å legge opp alt dette med VLAN, at man ikke tjener noe på å drive med subnetting, utover å forenkle ting litt for seg selv organisatorisk.

Men igjen, snakker ikke om to interface, snakker om å tagge to vlan inn på samme interface. (og å skille trafikken er jo hele poenget nesten med vlan?)

[ZoRaC]

16 minutter siden, ATWindsor skrev:

 

Vel, påstanden min er at (om utstyret støtter det), så er det greiere å legge opp alt dette med VLAN, at man ikke tjener noe på å drive med subnetting, utover å forenkle ting litt for seg selv organisatorisk.

Men igjen, snakker ikke om to interface, snakker om å tagge to vlan inn på samme interface. (og å skille trafikken er jo hele poenget nesten med vlan?)

 

I Linux-kjernen (som de fleste routere er basert på), så er det virtuelle interface pr VLAN. Si du har ett fysisk interface (eth0), da vil du få ett virtuelt pr VLAN (eth0.10 og eth0.20).

 

Hva gjør du når du trenger å stille klokka på webkameraet du har i VLAN 10 med IP 192.168.0.2 og du har en PC i VLAN 20 med IP 192.168.0.3? Jeg åpner da i brannmuren for at TCP port 80 skal få lov å passere fra PCen sin IP til kameraet sin IP. I ditt oppsett så vil disse to nettene være 100% isolert og umulig å få routet trafikk mellom - verken med eller uten brannmur, siden de har samme nettadresse (192.168.0.1/27 f.eks). 

[ATWindsor]

2 hours ago, ZoRaC said:

 

I Linux-kjernen (som de fleste routere er basert på), så er det virtuelle interface pr VLAN. Si du har ett fysisk interface (eth0), da vil du få ett virtuelt pr VLAN (eth0.10 og eth0.20).

 

Hva gjør du når du trenger å stille klokka på webkameraet du har i VLAN 10 med IP 192.168.0.2 og du har en PC i VLAN 20 med IP 192.168.0.3? Jeg åpner da i brannmuren for at TCP port 80 skal få lov å passere fra PCen sin IP til kameraet sin IP. I ditt oppsett så vil disse to nettene være 100% isolert og umulig å få routet trafikk mellom - verken med eller uten brannmur, siden de har samme nettadresse (192.168.0.1/27 f.eks). 

Selv når du kjører tagged? Snakker ikke om untagged vlan her. Switchen min feks kan kjøre flere vlan tagged per interface. Og rimelig sikker på at det var tilfellet med feks ciscorouterene jeg har sett også. 

 

I eksemplet så løses jo det som om man har to switcher koblet til routeren? Om man vil kan de ha kontakt?

[NilsOF]

Det finnes faktisk bokser bokser som fungerer som @ATWindsor beskriver.

Og det er en vanvittig mengde av dem. Minst en pr hustand.

Felles for de alle er at absolutt alt er skrapet ned til minimum for å holde produksjons-prisen nede.

Kineserene er veldig flinke, om de kan spare ett riskorn så gjør de det.

 

 

SoCen ( system on chip) har flere nettverksinterface, hvorav en går til wifi, og en går til en swtich-brikke.

Vel og bra og ren konstruksjon, hadde produsentene bare holdt seg til dette..

Er der flere nett-intefacer på SoCen så er disse kanskje dratt ut bak også. Gjerne dratt ut bak samen med portene fra switchen.

Og blandet innimellom portene fra switchen. Man skal jo lage et billig produkt og kretskort er dyrt.. Desse flere porter bak dess bedre salgbart.

 

For å løse portkaoset og for å kunne merke en av portene som utside av NAT så taes portene bak inn til interfacet på SoCen som hvert sitt vlan. ( og det kan bli riktig hårete, alt etter som switce-brikken er laget).

 

Stakkarene som skal sømme samen dette kaoset til et produkt som er "bra nok" må da benytte seg av bridging mellom vlanene.

Linux gjør jo dette gratis.

 

Boksene man ser i hylla på butikken er det mest gjennomtenkte med hele produktet.

Det står router i store glossy bokstaver.

 

 

 

[NilsOF]

43 minutter siden, ATWindsor skrev:

Selv når du kjører tagged? Snakker ikke om untagged vlan her. Switchen min feks kan kjøre flere vlan tagged per interface. Og rimelig sikker på at det var tilfellet med feks ciscorouterene jeg har sett også. 

 

I eksemplet så løses jo det som om man har to switcher koblet til routeren? Om man vil kan de ha kontakt?

 

Er det eksempelet fra Ubiquiti du lenket til over du refererer til?

Freste fort igjennom det. De nevner vlan 100 på to switcher dær de to vlanene på hver sin switch er helt urelatert til hverandre.

I praksis er dette rett og slett farlig å gjøre. Altfor mye kan missforståes .

En glipp og vipps så har man patchet samen to helt urelaterte nettverk.

En switch ser bare taggen (dvs. nummeret) på vlanet. Den vet ikke noenting om hva som er inni vlanet.

 

Eneste grunnen til å gjenbruke vlan-nummer jeg kan tenke meg som er ok er om man vil ha likt oppsett på flere geografiske lokasjoner.

 

Har enda tilgode å plukke på ett Ciscoprodukt som ikke støtter vlan.

Antallet mulige vlan pr. interface har variert.

Endret 7. november 2019 av NilsOF

[ZoRaC]

43 minutter siden, ATWindsor skrev:

Selv når du kjører tagged? Snakker ikke om untagged vlan her. Switchen min feks kan kjøre flere vlan tagged per interface. Og rimelig sikker på at det var tilfellet med feks ciscorouterene jeg har sett også. 

 

I eksemplet så løses jo det som om man har to switcher koblet til routeren? Om man vil kan de ha kontakt?

 

Ja, men på routernivå så må den lese ett og ett VLAN, altså se det som et virtuelt interface. Routeren må jo nødvendigvis ha en IP-adresse i samme VLAN selv, for at klientene skal kunne kommunisere med den. Så i praksis får den jo da eth0.10 og eth0.20, med hver sin (eller samme, om det er mulig?) IP-adresse.

 

Spiller ingen rolle om du har 2 switcher tilkoblet hver sin port på GW, hvor ene porten er VLAN 10 og andre er VLAN 20 - du kan ikke få ruteren til å sende pakker fra den ene switchen og over til den andre så lenge begge bruker samme nettadresse (192.168.0.1/27).

[ATWindsor]

4 minutes ago, NilsOF said:

 

Er det eksempelet fra Ubiquiti du lenket til over du refererer til?

Freste fort igjennom det. De nevner vlan 100 på to switcher dær de to vlanene på hver sin switch er helt urelatert til hverandre.

I praksis er dette rett og slett farlig å gjøre. Altfor mye kan missforståes .

En glipp og vipps så har man patchet samen to helt urelaterte nettverk.

En switch ser bare taggen (dvs. nummeret) på vlanet. Den vet ikke noenting om hva som er inni vlanet.

 

Eneste grunnen til å gjenbruke vlan-nummer jeg kan tenke meg som er ok er om man vil ha likt oppsett på flere geografiske lokasjoner.

 

Har enda tilgode å plukke på ett Ciscoprodukt som ikke støtter vlan.

Antallet mulige vlan pr. interface har variert.

Jeg referer til tagged vs untagged. Tagged clan Har en egen header og gjør at du kan føre fram mange clan til samme port. Har man untagged er det bare et vlan på porten. 

[ATWindsor]

Just now, ZoRaC said:

 

Ja, men på routernivå så må den lese ett og ett VLAN, altså se det som et virtuelt interface. Routeren må jo nødvendigvis ha en IP-adresse i samme VLAN selv, for at klientene skal kunne kommunisere med den. Så i praksis får den jo da eth0.10 og eth0.20, med hver sin (eller samme, om det er mulig?) IP-adresse.

 

Spiller ingen rolle om du har 2 switcher tilkoblet hver sin port på GW, hvor ene porten er VLAN 10 og andre er VLAN 20 - du kan ikke få ruteren til å sende pakker fra den ene switchen og over til den andre så lenge begge bruker samme nettadresse (192.168.0.1/27).

 

Ja, den må være i samme vlan, men det er den jo om du kjører alle vlanene tagged in til ruteren. Vlan er jo lag 2. Hvorfor skal routeren gjøre noe forskjell på vlan mtp ip sålenge trafikken når den? 

 

Tenk to switcher som er helt unmanaged, de støtter ikke vlan. Du kobler begge til routeren. Hva er forskjellen på det og to vlan nettverksmessig? Førstnevnte funker jo fint. 

[NilsOF]

5 minutter siden, ATWindsor skrev:

Jeg referer til tagged vs untagged.

Alle vlan må ha en ren port å "ligge i" når de taes ut av en boks over en patcheport.

Man kan gjerne referere til denne rene porten som untagged.

[ZoRaC]

12 minutter siden, ATWindsor skrev:

Ja, den må være i samme vlan, men det er den jo om du kjører alle vlanene tagged in til ruteren. Vlan er jo lag 2. Hvorfor skal routeren gjøre noe forskjell på vlan mtp ip sålenge trafikken når den? 

 

Tenk to switcher som er helt unmanaged, de støtter ikke vlan. Du kobler begge til routeren. Hva er forskjellen på det og to vlan nettverksmessig? Førstnevnte funker jo fint. 

 

Forskjellen er at utstyret på de 2 switchene kommuniserer helt fritt med hverandre, routeren foretar ingen routing, den bare switcher trafikken mellom portene.

 

Med VLAN så tror jeg ikke den bare switcher mellom, siden det er tagget trafikk som kommer inn så ser routeren at dette er to forskjellige "nett". Trafikken må dermed routes og det får den ikke til når begge VLAN har samme subnett. Hvis jeg tar feil og den likevel får til å switche trafikken mellom to VLAN med samme subnett, så er det ingen routing/brannmur mellom dem og alt er helt åpnet (akkurat som med 2 fysiske switcher) - hele poenget med VLAN forsvinner jo da.