Перш чым мы прыступім да асноў VLAN, я б папрасіў усіх вас паставіць гэтае відэа на паўзу, націснуць на абразок у ніжнім левым куце, дзе напісана Networking consultant, зайсці на нашу старонку Facebook і паставіць там лайк. Затым вярніцеся да відэа і націсніце на абразок King у правым ніжнім куце, каб падпісацца на наш афіцыйны канал на YouTube. Мы ўвесь час дадаем новыя серыі, цяпер гэта тычыцца курса CCNA, затым мы плануем пачаць курс відэаўрокі CCNA Security, Network +, PMP, ITIL, Prince2 і публікаваць гэтыя выдатныя серыі на нашым канале.
Такім чынам, сёння мы пагаворым аб асновах VLAN і адкажам на 3 пытанні: што такое VLAN, навошта нам патрэбна VLAN і як яе наладзіць. Я спадзяюся, што пасля прагляду гэтага відэаўрока вы зможаце адказаць на ўсе тры пытанні.
Што такое VLAN? VLAN – гэта абрэвіятура назвы "віртуальная лакальная сетка". Далей па ходзе нашага ўрока мы разгледзім, чаму гэтая сетка віртуальная, але перш чым мы пяройдзем да VLAN, нам трэба зразумець, як працуе світч. Мы яшчэ раз паўторым некаторыя з пытанняў, якія абмеркавалі на папярэдніх уроках.
Спачатку абмяркуем, што ўяўляе сабой Multiple Collision Domain, ці дамен калізій. Мы ведаем, што гэты скрутак на 48 партоў мае 48 даменаў калізій. Гэта азначае, што кожны з гэтых портаў або прылад, падлучаных да гэтых портаў, можа ўзаемадзейнічаць з іншай прыладай на іншым порце незалежнай выявай, не аказваючы сябар на сябра ніякага ўплыву.
Усе 48 партоў гэтага світача з'яўляюцца часткамі аднаго шырокавяшчальнага дамена Broadcast Domain. Гэта азначае, што калі некалькі прылад падлучаныя да некалькіх партоў, і адно з іх вядзе шырокавяшчальную перадачу, то яна з'явіцца на ўсіх партах, да якіх падлучаныя астатнія прылады. Менавіта так працуе світч.
Гэта як калі б людзі сядзелі ў адным пакоі блізка адзін да аднаго, і калі адзін з іх нешта гучна гаворыць, то яго чуюць усе астатнія. Аднак гэта зусім неэфектыўна - чым больш людзей будзе з'яўляцца ў пакоі, тым шумней яна будзе станавіцца і прысутныя перастануць чуць адзін аднаго. Аналагічная сітуацыя ўзнікае з кампутарамі - чым больш прылад падключаецца да адной сеткі, тым больш становіцца "гучнасць" шырокага вяшчання, што не дазваляе ўсталяваць эфектыўную сувязь.
Мы ведаем, што калі адна з гэтых прылад падлучана да сеткі 192.168.1.0/24, усе астатнія прылады з'яўляюцца часткай гэтай жа сеткі. Світч таксама павінен быць падлучаны да сеткі з такім жа IP-адрасам. Але тут у світаку як прылады 2 узроўня OSI можа паўстаць праблема. Калі дзве прылады падлучаны да адной сеткі, яны лёгка могуць звязацца з кампутарамі адзін аднаго. Выкажам здагадку, што ў нашай кампаніі працуе "дрэнны хлопец", хакер, якога я намалюю зверху. Знізу пад ім размешчаны мой кампутар. Дык вось, гэтаму хакеру вельмі лёгка пракрасціся ў мой кампутар, паколькі нашы кампутары з'яўляюцца часткай адной сеткі. Вось у чым праблема.
Калі я належу да адміністратыўнага кіраўніцтва, і гэты новы хлопец зможа атрымаць доступ да файлаў на маім кампутары, будзе зусім не добра. Вядома, на маім кампутары ёсць файрвол, які абараняе ад шматлікіх пагроз, але хакеру не складзе працы яго абыйсці.
Другая небяспека, якая існуе для ўсіх, хто з'яўляецца чальцом гэтага шырокавяшчальнага дамена, складаецца ў тым, што калі ў кагосьці ўзнікнуць непаладкі з шырокавяшчальнай перадачай, гэтая перашкода паўплывае на іншыя прылады сеткі. Хоць усе 48 партоў могуць быць падлучаны да розных хастаў, збой у працы аднаго хаста паўплывае на астатнія 47, што зусім нам не трэба.
Для вырашэння гэтай праблемы мы выкарыстоўваем канцэпцыю VLAN, ці віртуальную лакальную сетку. Яна працуе вельмі проста, падзяляючы гэты адзін вялікі 48-і партовы свитч на некалькі меншых світак.
Мы ведаем, што падсеткі дзеляць адну вялікую сетку на некалькі маленькіх сетак, і VLAN працуе аналагічнай выявай. Яна падзяляе 48-і партовы свитч, напрыклад, на 4 світча па 12 партоў, кожны з якіх з'яўляецца часткай новай далучанай сеткі. Пры гэтым мы можам выкарыстоўваць 12 партоў для кіравання, 12 партоў для працы IP-тэлефаніі і гэтак далей, гэта значыць падзяліць світч не фізічна, а лагічна, віртуальна.
Я вылучыў тры порта верхняга світача, пазначаных сінім колерам, для «сіняй» сеткі VLAN10, а тры аранжавых порта прызначыў для VLAN20. Такім чынам, любы трафік з аднаго з гэтых сініх партоў будзе паступаць толькі на іншыя сінія парты, не закранаючы астатніх партоў дадзенага світача. Аналагічна будзе распаўсюджвацца і трафік з аранжавых партоў, гэта значыць мы быццам бы выкарыстоўваем два розныя фізічныя світы. Такім чынам, VLAN з'яўляецца спосабам падзелу світача на некалькі світак для розных сетак.
Я намаляваў зверху два світчыкі, тут у нас ёсць сітуацыя, калі на левым світчыку задзейнічаны злучэнні толькі сініх партоў для адной сеткі, а на правым — толькі аранжавых для іншай сеткі, і гэтыя світкі ніяк не звязаны адзін з адным.
Дапусцім, вы хадзіце задзейнічаць больш партоў. Уявім, што ў нас маецца 2 будынкі, у кожным з якіх свой кіраўнічы штат, і два аранжавых порта ніжняга світаку выкарыстоўваюцца для кіравання. Таму нам трэба, каб гэтыя парты былі злучаны са ўсімі аранжавымі партамі іншых світак. Аналагічная сітуацыя з сінімі партамі - усе сінія парты верхняга світаку павінны мець сувязь з астатнімі партамі аналагічнага колеру. Для гэтага нам неабходна фізічна звязаць гэтыя два світчы ў розных будынках асобнай лініяй сувязі, на малюнку гэта лінія паміж двума партамі зялёнага колеру. Як мы ведаем, калі два світкі злучаны фізічна, у нас утворыцца магістраль, ці транк.
У чым жа заключаецца розніца паміж звычайным і VLAN світчам? Гэта не вялікая розніца. Калі вы купляеце новы світч, то па змаўчанні ўсе порты настроены на рэжым VLAN і з'яўляюцца часткай адной сеткі, якая пазначаецца як VLAN1. Вось чаму калі мы падлучаем нейкую прыладу да аднаго порта, яно апыняецца злучаным са ўсімі астатнімі портамі, таму што ўсе 48 портаў прыналежаць адной віртуальнай сетцы VLAN1. Але калі мы наладзім сінія парты на працу ў сетцы VLAN10, аранжавыя - у сетцы VLAN20, а зялёныя - VLAN1, то атрымаем 3 розных світаку. Такім чынам, выкарыстанне рэжыму віртуальнай сеткі дазваляе нам лагічна групаваць парты пад пэўныя сеткі, падзяляць шырокавяшчальную перадачу на часткі і ствараць падсеткі. Пры гэтым кожны з партоў канкрэтнага колеру належыць асобнай сетцы. Калі сінія парты будуць працаваць у сетцы 192.168.1.0 і аранжавыя парты будуць працаваць у сетцы 192.168.1.0, то не гледзячы на аднолькавы IP-адрас, яны не будуць злучаны адзін з адным, таму што лагічна будуць прыналежаць розным світкам. А як мы ведаем, розныя фізічныя світкі не маюць зносіны сябар з сябрам, калі не злучаныя агульнай лініяй сувязі. Такім чынам, мы ствараем розныя падсеткі для розных VLAN.
Жадаю звярнуць вашу ўвагу, што канцэпцыя VLAN распаўсюджваецца толькі на світчы. Той, хто знаёмы з пратаколамі інкапсуляцыі, такімі як .1Q ці ISL, ведае, што ні роўтэры, ні кампутары не маюць ніякіх VLAN. Калі вы падлучаеце свой кампутар, напрыклад, да аднаго з сініх партоў, вы нічога не змяняеце ў кампутары, усе змены адбываюцца толькі на другім узроўні OSI, узроўні світача. Калі мы наладжваем порты пад працу з пэўнай сеткай VLAN10 ці VLAN20, свитч стварае базу дадзеных VLAN. Ён "запісвае" сабе ў памяць, што порты 1,3 і 5 прыналежаць VLAN10, 14,15 і 18 порты з'яўляюцца часткай сеткі VLAN20, а астатнія задзейнічаныя порты з'яўляюцца часткамі сеткі VLAN1. Таму калі нейкі трафік зыходзіць з сіняга порта 1, ён пападае толькі на порты 3 і 5 гэтай жа сеткі VLAN10. Світч "глядзіць" у сваю базу дадзеных і бачыць, што калі трафік зыходзіць ад аднаго з аранжавых партоў, ён павінен паступаць толькі на аранжавыя парты сеткі VLAN20.
Аднак кампутар нічога не ведае аб гэтых сетках VLAN. Калі мы злучаем 2 світачы, то паміж зялёнымі партамі ўтворыцца транк. Тэрмін "транк" актуальны толькі для прылад кампаніі Cisco, астатнія вытворцы сеткавых прылад, такія, як Juniper, выкарыстоўваюць тэрмін Tag port, або "тэгаваны порт". Я лічу, што назва Tag port з'яўляецца больш прыдатным. Калі з гэтай сеткі зыходзіць трафік, транк перадае яго на ўсе парты наступнага світача, гэта значыць мы злучаем два 48 партовых світача і атрымліваем адзін 96 партовы світак. Пры гэтым, калі мы адсылаем трафік з VLAN10, ён становіцца тэгіраваным, гэта значыць забяспечваецца пазнакай, якая паказвае, што ён прызначаны толькі для партоў сеткі VLAN10. Другі свитч, атрымаўшы дадзены трафік, счытвае тэг і разумее, што гэта трафік менавіта для сеткі VLAN10 і павінен паступаць толькі на сінія парты. Сапраўды гэтак жа аранжавы трафік для VLAN20 забяспечаны тэгам, які паказвае, што ён прызначаецца для портаў VLAN20 другога світа.
Мы таксама згадалі інкапсуляцыю, і тут ёсць два метады інкапсуляцыі. Першы - гэта .1Q, гэта значыць калі мы арганізуем транк, мы павінны забяспечыць інкапсуляцыю. Пратакол інкапсуляцыі. 1Q - гэта адкрыты стандарт, які апісвае працэдуру тэгавання трафіку. Ёсць і іншы пратакол пад назовам ISL, Inter-Switch link, распрацаваны кампаніяй Cisco, які паказвае на прыналежнасць трафіку вызначанай VLAN. Усе сучасныя світчы працуюць з пратаколам .1Q, таму, дастаўшы новы світч са скрынкі, вам не трэба выкарыстоўваць ніякіх каманд інкапсуляцыі, таму што па змаўчанні яна ажыццяўляецца пратаколам .1Q. Такім чынам, пасля стварэння транка інкапсуляцыя трафіку адбываецца аўтаматычна, што дазваляе счытваць тэгі.
Цяпер давайце прыступім да налады сеткі VLAN. Створым сетку, у якой будзе 2 світачы і дзве канчатковых прылады – кампутары PC1 і PC2, якія мы злучым кабелямі са світаком #0. Пачнём з асноўных налад світача Basic Configuration.
Для гэтага пстрыкнем па світчы і зойдзем у інтэрфейс каманднага радка, а затым зададзім імя хаста, назваўшы гэты скрутг sw1. Цяпер пяройдзем да налад першага кампутара і задамо статычны IP-адрас 192.168.1.1 і маску падсеткі 255.255. 255.0. Адрас шлюза па змаўчанні не патрэбен, таму што ўсе нашы прылады знаходзяцца ў адной сетцы. Далей мы праробім усё тое ж самае для другога кампутара, прызначыўшы яму IP-адрас 192.168.1.2.
Цяпер вернемся да першага кампутара, каб прапінгаваць другі кампутар. Як бачым, пінгаванне прайшло ўдала таму што абодва гэтыя кампутары падлучаныя да аднаго світаку і з'яўляюцца часткай адной і той жа сеткі па змаўчанні VLAN1. Калі зараз паглядзець на інтэрфейсы світача, мы ўбачым, што ўсе парты FastEthernet ад 1 да 24 і два порта GigabitEthernet настроены на VLAN #1. Аднак такая залішняя даступнасць не патрэбна, таму мы ўваходзім у налады світача і ўводны каманду show vlan, каб паглядзець на базу дадзеных віртуальных сетак.
Вы бачыце тут назву сеткі VLAN1 і тое, што ўсе парты скрутка належаць гэтай сетцы. Гэта азначае, што можна падлучыцца да любога порта, і ўсе яны змогуць "мець зносіны" адзін з адным, таму што з'яўляюцца часткай адной і той жа сеткі.
Мы зменім гэтую сітуацыю, для гэтага спачатку створым дзве віртуальныя сеткі, гэта значыць дадамо VLAN10. Для стварэння віртуальнай сеткі выкарыстоўваецца каманда выгляду "vlan нумар сеткі".
Як бачыце, пры спробе стварыць сетку сістэма выдала паведамленне з пералікам каманд канфігурацыі VLAN, якія трэба выкарыстоўваць для гэтага дзеяння:
exit - прымяніць змены і выйсці з налад;
name - увесці карыстацкую назву VLAN;
no - адмяніць каманду або ўсталяваць яе па змаўчанні.
Гэта азначае, што перад тым, як увесці каманду стварыць VLAN, трэба ўвесці каманду name, якая ўключае рэжым кіравання назвамі, а затым перайсці да стварэння новай сеткі. Пры гэтым сістэма выдае падказку, што нумар сеткі VLAN можна прызначыць у дыяпазоне ад 1 да 1005 года.
Такім чынам, зараз мы ўводзім каманду стварыць сетку VLAN пад нумарам 20 - vlan 20, а затым задаем ёй назву для карыстальніка, якое паказвае, што гэта за сетку. У нашым выпадку мы выкарыстоўваем каманду name Employees, ці сетку для супрацоўнікаў кампаніі.
Цяпер нам трэба прызначыць для гэтай VLAN пэўны порт. Мы заходзім у рэжым настроек світача int f0/1, затым уручную перакладаем порт у рэжым Access камандай switchport mode access і паказваем, які менавіта порт трэба перавесці ў гэты рэжым - гэта порт для сеткі VLAN10.
Мы бачым, што пасля гэтага колер кропкі злучэння PC0 і світаку, колер порта, памяняўся з зялёнага на аранжавы. Ён зноў стане зялёным, як толькі змены налад увойдуць у сілу. Паспрабуем прапінгаваць другі кампутар. Мы не ўносілі ніякіх змен у настройкі сеткі для кампутараў, яны па-ранейшаму маюць IP-адрасы 192.168.1.1 і 192.168.1.2. Але калі мы паспрабуем з кампутара PC0 прапінгаваць кампутар PC1, у нас нічога не атрымаецца, таму што зараз гэтыя кампутары прыналежаць да розных сетак: першы да VLAN10, другі - да native VLAN1.
Вернемся да інтэрфейсу світача і наладзім другі порт. Для гэтага я ўвяду каманду int f0/2 і паўтару для сеткі VLAN 20 тыя ж крокі, што і пры наладзе папярэдняй віртуальнай сеткі.
Мы бачым, што зараз ніжні порт світаку, да якога падлучаны другі кампутар, гэтак жа памяняў свой колер з зялёнага на аранжавы - павінна мінуць некалькі секунд, перш чым змены ў наладах увойдуць у сілу і ён ізноў стане зялёным. Калі зноў запусціць пінгаванне другога кампутара, у нас нічога не атрымаецца, таму што кампутары па-ранейшаму прыналежаць да розных сетак, толькі PC1 зараз з'яўляецца часткай не VLAN1, а VLAN20.
Такім чынам, вы падзялілі адзін фізічны скруток на два розных лагічных світача. Вы бачыце, што зараз колер порта памяняўся з аранжавага на зялёны, порт зарабіў, але ўсё роўна не пінгуецца, таму што належыць да іншай сеткі.
Унясём змены ў нашу схему – адлучым кампутар PC1 ад першага світача і падлучым яго да другога світаку, а самі світкі злучым кабелем.
Для таго, каб усталяваць паміж імі сувязь, я ўвайду ў налады другога світача і ствару VLAN10, прысвоіўшы ёй назоў Management, гэта значыць сетка кіравання. Затым я ўключу рэжым Access і пакажу, што гэты рэжым прызначаны для сеткі VLAN10. Цяпер колер партоў, праз якія злучаны світкі, змяніўся з аранжавага на зялёны, таму што яны абодва настроены на VLAN10. Цяпер нам трэба стварыць транк паміж абодвума свитчамі. Абодва гэтыя порта з'яўляюцца Fa0/2, таму трэба стварыць транк для порта Fa0/2 першага світача, выкарыстаючы каманду switchport mode trunk. Тое ж самае трэба прарабіць для другога світача, пасля чаго паміж гэтымі двума партамі ўтворыцца транк.
Зараз, калі я захачу прапінгаваць з першага кампутара кампутар PC1, усё атрымаецца, таму што сувязь паміж PC0 і світчам #0 - гэта сетка VLAN10, паміж світчам #1 і PC1 таксама VLAN10, а абодва світчу злучаныя транком.
Такім чынам, калі прылады размешчаны ў розных сетках VLAN, то яны не злучаны сябар з сябрам, а калі ў адной сетцы, то паміж імі можна ажыццявіць вольны абмен трафікам. Паспрабуем дадаць да кожнай світчы яшчэ па адной прыладзе.
У сеткавых наладах дададзенага кампутара PC2 я ўсталюю IP-адрас 192.168.2.1, а ў наладах PC3 – адрас 192.168.2.2. Пры гэтым порты, да якіх падлучаныя гэтыя два ПК, атрымаюць пазначэнне Fa0/3. У наладах світача #0 мы ўсталюем рэжым Access і пакажам, што дадзены порт прызначаны для VLAN20, і тое ж самае праробім для світача #1.
Калі я выкарыстоўваю каманду switchport access vlan 20, а сетка VLAN20 яшчэ не створана, сістэма выдасць памылку выгляду "Access VLAN does not exist", таму што світчы настроены на працу толькі з VLAN10.
Давайце створым VLAN20. Я выкарыстоўваю каманду "паказаць VLAN", каб прагледзець базу дадзеных віртуальных сетак.
Вы бачыце, што сеткай па змаўчанні з'яўляецца VLAN1, да якой падлучаныя порты ад Fa0/4 да Fa0/24 і Gig0/1, Gig0/2. Віртуальная сетка пад нумарам 10 з назовам Management падлучаная да порта Fa0/1, а сетка VLAN пад нумарам 20 з назовам па змаўчанні VLAN0020 падлучаная да порта Fa0/3.
У прынцыпе, назва сеткі не мае значэння, галоўнае, каб яна не паўтаралася для розных сетак. Калі я хачу замяніць імя сеткі, якое сістэма прысвойвае па змаўчанні, я выкарыстоўваю каманду vlan 20 і name Employees. Я магу памяняць гэтае імя на іншае, напрыклад, на IPphones, і калі мы пропингуем IP-адрас 192.168.2.2, то ўбачым, што імя VLAN не мае ніякага значэння.
Апошняе, што я хачу згадаць - гэта прызначэнне Management IP, аб якім мы казалі на апошнім уроку. Для гэтага мы выкарыстоўваем каманду int vlan1 і ўводны IP-адрас 10.1.1.1 і маску падсеткі 255.255.255.0, а затым дадаем каманду no shutdown. Мы прызначылі Management IP не для ўсяго світача, а толькі для партоў VLAN1, гэта значыць прызначылі IP-адрас, з якога ажыццяўляецца кіраванне сеткай VLAN1. Калі мы жадаем ажыццявіць кіраванне VLAN2, нам трэба стварыць які адпавядае інтэрфейс для VLAN2. У нашым выпадку маюцца сінія парты VLAN10 і аранжавыя парты VLAN20, якім адпавядаюць адрасы 192.168.1.0 і 192.168.2.0.
VLAN10 павінна мець адрасы, размешчаныя ў гэтым жа дыяпазоне, каб да яе маглі падлучацца адпаведныя прылады. Аналагічная настройка павінна быць праведзена і для VLAN20.
У гэтым акне каманднага радка скрутка паказаны налады інтэрфейсу для VLAN1, гэта значыць native VLAN.
Для таго, каб наладзіць Management IP для VLAN10, мы павінны стварыць інтэрфейс int vlan 10, а затым дадаць IP-адрас 192.168.1.10 і маску падсеткі 255.255.255.0.
Для наладкі VLAN20, мы павінны стварыць інтэрфейс int vlan 20, а затым дадаць IP-адрас 192.168.2.10 і маску падсеткі 255.255.255.0.
Навошта гэта патрэбна? Калі кампутар PC0 і верхні левы порт скрутка #0 прыналежаць да сеткі 192.168.1.0, PC2 ставіцца да сеткі 192.168.2.0 і падлучаны да порта native VLAN1, які ставіцца да сеткі 10.1.1.1, то PC0 не можа ўсталяваць сувязь з гэтым світчам па пратаколе SSH, таму што яны належаць да розных сетак. Таму для таго, каб PC0 мог звязацца са світчам па пратаколе SSH або Telnet, мы павінны падаць яму доступ Access. Вось навошта нам трэба кіраванне сеткай.
Мы павінны мець магчымасць звязаць PC0 з дапамогай SSH або Telnet з IP-адрасам інтэрфейсу VLAN20 і ўнесці любыя патрэбныя нам змены праз SSH. Такім чынам, Management IP неабходны менавіта для налады VLAN, таму што кожная віртуальная сетка павінна мець сваё ўласнае кіраванне доступам.
У сённяшнім відэа мы абмеркавалі шмат пытанняў: асноўныя наладкі світа, стварэнне сетак VLAN, прызначэнне партоў VLAN, прызначэнне Management IP для сетак VLAN і наладу транкаў. Няхай вас не бянтэжыць, калі вы чагосьці не зразумелі, гэта натуральна, таму што VLAN з'яўляецца вельмі складанай і шырокай тэмай, да якой мы будзем вяртацца ў наступных уроках. Я гарантую, што з маёй дапамогай вы зможаце стаць "майстрамі" VLAN, але сэнс гэтага ўрока быў у тым, каб растлумачыць вам 3 пытанні: што такое сеткі VLAN, навошта яны нам патрэбныя і як іх наладжваць.
Дзякуй, што застаяцеся з намі. Вам падабаюцца нашыя артыкулы? Жадаеце бачыць больш цікавых матэрыялаў? Падтрымайце нас аформіўшы замову або парэкамендаваўшы знаёмым, 30% зніжка для карыстальнікаў Хабра на ўнікальны аналаг entry-level сервераў, які быў прыдуманы намі для Вас: (даступныя варыянты з RAID1 і RAID10, да 24 ядраў і да 40GB DDR4).
Dell R730xd у 2 разы танней? Толькі ў нас у Нідэрландах! Dell R420 – 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB – ад $99! Чытайце аб тым
Крыніца: habr.com