Обучение Cisco 200-125 CCNA v3.0. Ден 11. Основи на VLAN

Преди да започнем с основите на VLAN, моля, паузирайте това видео, натиснете иконата в долния ляв ъгъл, където пише Networking consultant, посетете нашата Facebook страница и оставете лайк там. След това се върнете към видеото и натиснете иконата на King в десния долен ъгъл, за да се абонирате за нашия официален YouTube канал. Постоянно добавяме нови серии, в момента това са уроците по CCNA, след това планираме да започнем курса по CCNA Security, Network+, PMP, ITIL, Prince2 и да публикуваме тези страхотни серии на нашия канал.

И така, днес ще говорим за основите на VLAN и ще отговорим на 3 въпроса: какво е VLAN, защо ни е необходима VLAN и как да я настроим. Надявам се, че след като изгледате това видео, ще можете да отговорите на всичките три въпроса.

Какво е VLAN? VLAN е съкращение от "виртуална локална мрежа". В хода на нашия урок ще разгледаме защо тази мрежа е виртуална, но преди да преминем към VLAN, трябва да разберем как работи суичът. Отново ще повторим някои от въпросите, които обсъдихме в предишните уроци.

Първо, нека обсъдим какво представлява Multiple Collision Domain, или домен на колизии. Знаем, че този суич с 48 порта има 48 домена на колизии. Това означава, че всеки от тези портове или устройства, свързани към тях, могат да взаимодействат с друго устройство на другия порт независимо, без да оказват влияние един на друг.

Всички 48 порта на този суич са част от един широковещателен домен Broadcast Domain. Това означава, че ако няколко устройства са свързани към няколко порта, и едно от тях извършва широковещателно предаване, то то ще се появи на всички портове, свързани с останалите устройства. Точно така работи суичът.

Представете си, че хората седят в една стая близо един до друг, и когато един от тях говори силно, другите го чуват. Но това е напълно неефективно – колкото повече хора се присъединяват в стаята, толкова по-шумна става, и присъстващите спират да се чуват. Подобна ситуация се случва и с компютрите – колкото повече устройства се свързват в една мрежа, толкова повече "шум" от широковещателните предавания се появява, което препятства ефективната комуникация.

Знаем, че ако едно от тези устройства е свързано към мрежата 192.168.1.0/24, всички останали устройства също са част от същата мрежа. Свитчът също трябва да бъде свързан с мрежа с подобен IP адрес. Но тук свитчът, като устройство от 2-ро ниво на OSI, може да срещне проблем. Ако две устройства са свързани в една и съща мрежа, те лесно могат да комуникират помежду си. Да предположим, че в нашата компания има „лошо момче“, хакер, който е илюстриран по-горе. Под него е моят компютър. Така че на този хакер му е много лесно да проникне в моя компютър, тъй като нашите компютри са част от една и съща мрежа. Ето в какво се състои проблемът.

Ако аз принадлежа към административното ръководство и този нов човек успее да получи достъп до файловете на моя компютър, това ще бъде много лошо. Разбира се, на моя компютър има защитна стена, която предпазва от много заплахи, но на хакера няма да му е трудно да я заобиколи.

Втората опасност, която съществува за всички, които са членове на този широковещателен домейн, е, че ако някой има проблеми с широковещателната предаване, това смущение ще засегне и другите устройства в мрежата. Въпреки че всичките 48 порта могат да бъдат свързани към различни хостове, повредата в работата на един хост ще повлияе на останалите 47, което не желаем.
За да решим този проблем, използваме концепцията VLAN, или виртуална локална мрежа. Тя работи много просто, разделяйки този един голям свитч с 48 порта на няколко по-малки свитча.

Знаем, че подмрежите разделят една голяма мрежа на няколко малки мрежи и VLAN работи по аналогичен начин. Тя разделя 48-портовия свитч, например, на 4 свитча с по 12 порта, всеки от които е част от новосъздадена присъединена мрежа. По този начин можем да използваме 12 порта за управление, 12 порта за работа с IP телефония и т.н., тоест да разделим свитча не физически, а логически, виртуално.

Определих три порта на горния суич, обозначени в синьо, за „синята“ мрежа VLAN10, а три оранжеви порта назначих за VLAN20. По този начин целият трафик от един от тези сини порта ще стига само до другите сини порта, без да засяга останалите портове на този суич. По аналогичен начин ще се разпространява и трафикът от оранжевите портове, тоест сякаш използваме два различни физически суича. Така VLAN е начин за разделяне на суича на няколко суича за различни мрежи.

Нарисувах два суича отгоре, тук имаме ситуация, в която на левия суич са активирани само сините портове за една мрежа, а на десния — само оранжевите за друга мрежа, и тези суичи не са свързани помежду си.

Нека предположим, че искате да използвате повече портове. Да кажем, че имаме 2 сгради, в които всяка има свой управляващ екип, и два оранжеви порта на долния суич се използват за управление. Затова е необходимо тези портове да бъдат свързани с всички оранжеви портове на другите суичи. Аналогична е ситуацията и със сините портове – всички сини портове на горния суич трябва да имат връзка с останалите портове от същия цвят. За да постигнем това, трябва физически да свържем тези два суича в различни сгради с отделна връзка, на рисунка това е линията между два портa в зелено. Както знаем, ако два суича са физически свързани, образуваме магистрална връзка, или транк.

Каква е разликата между обикновен и VLAN суич? Не е голяма разликата. Когато купите нов суич, по подразбиране всичките портове са настроени в режим VLAN и са част от една мрежа, обозначена като VLAN1. Затова, когато свържем устройство към един порт, то се свързва с всички останали портове, понеже всичките 48 порта принадлежат на една виртуална мрежа VLAN1. Но ако настроим сините портове да работят в мрежа VLAN10, оранжевите – в мрежа VLAN20, а зелените – в VLAN1, то получаваме 3 различни суича. Така, използването на режима на виртуална мрежа ни позволява логически да групираме портовете под конкретни мрежи, да разделяме широковещателната предаване на части и да създаваме подсети. При това, всеки от портовете с конкретен цвят принадлежи на отделна мрежа. Ако сините портове работят в мрежа 192.168.1.0 и оранжевите портове работят в мрежа 192.168.1.0, то независимо от идентичния IP адрес, те няма да бъдат свързани помежду си, тъй като логически принадлежат на различни суичове. Както знаем, различни физически суичове не комуникират помежду си, ако не са свързани с обща линейна връзка. По този начин създаваме различни подсети за различни VLAN.

Искам да обърна внимание, че концепцията за VLAN важи само за суичове. Всеки, който е запознат с протоколите за инкапсулация, като .1Q или ISL, знае, че нито рутерите, нито компютрите имат VLAN. Когато свързвате компютъра си, например, към един от сините портове, не променяте нищо в компютъра – всички промени се случват само на второ ниво на OSI, на нивото на суича. Когато настройваме портовете да работят с конкретна мрежа VLAN10 или VLAN20, суичът създава база данни на VLAN. Той "записва" в паметта си, че портовете 1, 3 и 5 принадлежат на VLAN10, портовете 14, 15 и 18 са част от мрежата VLAN20, а останалите заети портове са част от мрежата VLAN1. Следователно, ако някакъв трафик излиза от син порт 1, той попада само на портовете 3 и 5 в същата мрежа VLAN10. Суичът "гледа" в своята база данни и вижда, че ако трафикът идва от един от оранжевите портове, той трябва да постъпи само на оранжевите портове в мрежата VLAN20.

Компютърът обаче не знае нищо за тези VLAN мрежи. Когато свързваме 2 суича, между зелените портове се образува транк. Терминът „транк“ е актуален само за устройства на компанията Cisco, докато други производители на мрежови устройства, като Juniper, използват термина Tag port или „теглиран порт“. Смятам, че името Tag port е по-подходящо. Когато трафикът излиза от тази мрежа, транкът го предава на всички портове на следващия суич, тоест свързваме два 48-портови суича и получаваме един 96-портов суич. При това, когато изпращаме трафик от VLAN10, той става теглиран, тоест снабден с етикет, който показва, че е предназначен само за портовете на мрежата VLAN10. Вторият суич, получавайки този трафик, прочита етикета и разбира, че това е трафик само за мрежата VLAN10 и трябва да постъпи само на сините портове. По същия начин „оранжевият“ трафик за VLAN20 е снабден с етикет, който указва, че е предназначен за портовете на VLAN20 на втория суич.

Също така споменахме инкапсуляция и тук има два метода за инкапсуляция. Първият е .1Q, т.е. когато организираме транк, трябва да осигурим инкапсулация. Протоколът за инкапсуляция .1Q е открит стандарт, описващ процедурата за етикиране на трафика. Съществува и друг протокол на име ISL, Inter-Switch link, разработен от компанията Cisco, който указва на принадлежността на трафика към определена VLAN. Всички съвременни суичове работят с протокола .1Q, така че, когато получите нов суич от кутията, не е необходимо да използвате никакви команди за инкапсулация, тъй като по подразбиране тя се осъществява от протокола .1Q. Така след създаването на транка инкапсулацията на трафика се извършва автоматично, което позволява прочитането на етикетите.

Сега да преминем към настройването на мрежата VLAN. Ще създадем мрежа, в която ще има 2 суича и две крайни устройства – компютри PC1 и PC2, които ще свържем с кабели към суич #0. Нека да започнем с основните настройки на суича Basic Configuration.

Щракваме върху суича и влизаме в командния интерфейс, след което задаваме името на хоста, наричайки този суич sw1. Сега ще преминем към настройките на първия компютър и ще зададем статичен IP-адрес 192.168.1.1 и маска на подмрежата 255.255.255.0. Адресът на шлюза по подразбиране не е необходим, тъй като всички наши устройства са в една и съща мрежа. След това ще направим същото за втория компютър, задавайки му IP-адрес 192.168.1.2.

Сега се връщаме на първия компютър, за да пингуваме втория компютър. Както виждате, пингът премина успешно, тъй като и двата компютъра са свързани към един и същи суич и са част от една и съща мрежа по подразбиране VLAN1. Ако сега погледнем интерфейсите на суича, ще видим, че всички FastEthernet портове от 1 до 24 и два GigabitEthernet порта са настроени на VLAN #1. Но такава излишна достъпност не е необходима, затова влизаме в настройките на суича и въвеждаме командата show vlan, за да видим базата данни на виртуалните мрежи.

Тук виждате името на мрежата VLAN1 и това, че всички портове на суича принадлежат на тази мрежа. Това означава, че можете да се свържете към всеки порт и всички те ще могат да "комуникират" помежду си, тъй като са част от една и съща мрежа.

Ние ще променим тази ситуация, за което първо ще създадем две виртуални мрежи, т.е. ще добавим VLAN10. За създаване на виртуалната мрежа се използва команда вида „vlan номер на мрежата“.
Както виждате, при опит за създаване на мрежата, системата издаде съобщение с списък на командите за конфигуриране на VLAN, които трябва да се използват за това действие:

exit – прилагане на промените и излизане от настройките;
name – въвеждане на присвоено от потребителя име на VLAN;
no – отмяна на командата или настройка по подразбиране.

Това означава, че преди да въведете командата за създаване на VLAN, трябва да въведете командата name, която включва режима на управление на имената, а след това да преминете към създаването на новата мрежа. При това системата дава подсказка, че номерът на VLAN може да бъде назначен в диапазона от 1 до 1005.
И така, сега въвеждаме командата за създаване на VLAN номер 20 – vlan 20, а след това задаваме име на потребителя, което показва каква е мрежата. В нашия случай използваме командата name Employees, или мрежа за служителите на компанията.

Сега трябва да зададем конкретен порт за този VLAN. Влизаме в режим настройки на превключвателя int f0/1, след което ръчно прехвърляме порта в режим Access с командата switchport mode access и посочваме кой точно порт трябва да се преведе в този режим – това е портът за мрежа VLAN10.

Виждаме, че след това цветът на точката на свързване PC0 и превключвателя, цветът на порта, се е променил от зелен на оранжев. Той отново ще стане зелен, когато промените в настройките влязат в сила. Нека опитаме да пингуваме втория компютър. Не направихме никакви промени в настроите на мрежата за компютрите, те все още имат IP адреси 192.168.1.1 и 192.168.1.2. Но ако се опитаме да пингуваме компютър PC1 от компютър PC0, няма да успеем, защото сега тези компютри принадлежат на различни мрежи: първият е към VLAN10, а вторият – към native VLAN1.

Връщаме се към интерфейса на превключвателя и настройваме втория порт. За това ще въведа командата int f0/2 и ще повторя същите стъпки за мрежа VLAN 20, както при настройването на предишната виртуална мрежа.
Виждаме, че сега долният порт на превключвателя, към който е свързан вторият компютър, също е променил цвета си от зелен на оранжев – ще отнеме няколко секунди, преди промените в настройките да влязат в сила и той отново да стане зелен. Ако отново стартираме пингуването на втория компютър, няма да успеем, защото компютрите все още принадлежат на различни мрежи, само че PC1 вече е част от VLAN20, а не VLAN1.
Така разделихте едно физическо превключвателно устройство на два различни логически превключвателя. Виждате, че в момента цветът на порта е променен от оранжев на зелен, портът е активен, но все още не може да бъде пингуван, защото принадлежи на друга мрежа.

Ще направим промени в нашата схема – ще отделим компютъра PC1 от първия превключвател и ще го свържем към втория превключвател, а самите превключватели ще ги свържем с кабел.

За да установите връзка между тях, ще вляза в настройките на втория комутатор и ще създам VLAN10, наречена Управление, тоест мрежа за управление. След това ще включа режим Access и ще подхвърля, че този режим е предназначен за мрежата VLAN10. Сега цветът на портовете, през които са свързани комутаторите, се е променил от оранжев на зелен, тъй като и двата са настроени на VLAN10. Сега трябва да създадем транк между двата комутатора. И двата порта са Fa0/2, така че трябва да създам транк за порта Fa0/2 на първия комутатор, използвайки командата switchport mode trunk. Същото трябва да се направи и за втория комутатор, след което между тези два порта ще се образува транк.

Сега, ако искам да пингна от първия компютър компютър PC1, всичко ще работи, защото връзката между PC0 и комутатор #0 е мрежата VLAN10, между комутатор #1 и PC1 също е VLAN10, а двата комутатора са свързани чрез транк.

И така, ако устройствата са разположени в различни мрежи VLAN, то те не са свързани помежду си, а ако са в една мрежа, то между тях може да се осъществява свободен обмен на трафик. Нека опитаме да добавим по едно устройство към всеки комутатор.

В настройките на добавения компютър PC2 ще задада IP адрес 192.168.2.1, а в настройките на PC3 – адрес 192.168.2.2. При това портовете, към които са свързани тези два ПК, ще получат обозначение Fa0/3. В настройките на комутатор #0 ще настроим режим Access и ще подхвърля, че този порт е предназначен за VLAN20, и същото ще направим и за комутатор #1.

Ако използвам командата switchport access vlan 20, а мрежата VLAN20 все още не е създадена, системата ще издаде грешка от вида „Access VLAN does not exist”, тъй като комутаторите са настроени да работят само с VLAN10.

Нека създадем VLAN20. Ще използвам командата „покажи VLAN”, за да прегледам базата данни на виртуалните мрежи.

Виждате, че мрежата по подразбиране е VLAN1, към която са свързани портовете от Fa0/4 до Fa0/24 и Gig0/1, Gig0/2. Виртуалната мрежа с номер 10, наречена Управление, е свързана към порт Fa0/1, а мрежата VLAN с номер 20 по подразбиране VLAN0020 е свързана към порт Fa0/3.

По принцип. името на мрежата не е от съществено значение, важно е да не се повтаря за различни мрежи. Ако искам да променя името на мрежата, което системата задава по подразбиране, използвам командата vlan 20 и name Employees. Мога да променя това име на друго, например на IPphones, и ако пропингуваме IP адрес 192.168.2.2, ще видим, че името на VLAN не е от значение.
Последното, което искам да спомена, е назначаването на Management IP, за което говорихме на последния урок. За целта използваме командата int vlan1 и задаваме IP адрес 10.1.1.1 и маска на подмрежа 255.255.255.0, след което добавяме командата no shutdown. Назначихме Management IP не за целия суич, а само за портовете VLAN1, т.е. назначихме IP адрес, от който се управлява мрежата VLAN1. Ако искаме да управляваме VLAN2, трябва да създадем съответния интерфейс за VLAN2. В нашия случай имаме сини портове VLAN10 и оранжеви портове VLAN20, които съответстват на адресите 192.168.1.0 и 192.168.2.0.
VLAN10 трябва да има адреси, разположени в същия диапазон, за да могат свързаните устройства да се свързват към нея. Аналогичната настройка трябва да бъде направена и за VLAN20.

В това прозорче на командния ред на суича са показани настройките на интерфейса за VLAN1, т.е. native VLAN.

За да настроим Management IP за VLAN10, трябва да създадем интерфейс int vlan 10 и след това да добавим IP адрес 192.168.1.10 и маска на подмрежа 255.255.255.0.

За настройката на VLAN20, трябва да създадем интерфейс int vlan 20 и след това да добавим IP адрес 192.168.2.10 и маска на подмрежа 255.255.255.0.

Защо е необходимо това? Ако компютърът PC0 и горният ляв порт на суич #0 принадлежат на мрежата 192.168.1.0, PC2 принадлежи на мрежата 192.168.2.0 и е свързан към порта native VLAN1, който принадлежи на мрежата 10.1.1.1, то PC0 не може да установи свързаност с този суич по протокола SSH, защото те принадлежат на различни мрежи. Затова, за да може PC0 да се свърже с суича по протокол SSH или Telnet, трябва да му предоставим достъп Access. Ето защо ни е необходимо управление на мрежата.

Трябва да можем да свържем PC0 с помощи на SSH или Telnet с IP адреса на интерфейса VLAN20 и да направим необходимите ни промени чрез SSH. Така че, Management IP е необходим точно за настройка на VLAN, защото всяка виртуална мрежа трябва да има собствено управление на достъпа.

В днешното видео обсъждаме много теми: основните настройки на свича, създаването на VLAN мрежи, назначаването на VLAN портове, задаването на Management IP адрес за VLAN мрежите и конфигурирането на транковете. Не се притеснявайте, ако нещо не е напълно ясно; това е нормално, тъй като VLAN е много сложна и обширна тема, към която ще се върнем в следващите уроци. Гарантирам ви, че с моята помощ ще станете „майстори“ на VLAN, но целта на този урок е да ви разясни три въпроса: какво представляват VLAN мрежите, защо са ни нужни и как да ги настроим.

Благодарим ви, че останахте с нас. Харесват ли ви нашите статии? Искате ли да видите повече интересни материали? Подкрепете ни, като направите поръчка или ни препоръчате на познати. 30% отстъпка за потребителите на Хабра на уникален аналог на entry-level сървъри, който създадохме специално за вас: Цялата истина за VPS (KVM) E5-2650 v4 (6 ядра) 10GB DDR4 240GB SSD 1Gbps от 20 $ или как правилно да разделите сървър. (с налични опции за RAID1 и RAID10, до 24 ядра и до 40GB DDR4).

Dell R730xd на половин цена? Всичко това само при нас 2 х Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100TB от 199 $ в Нидерландия! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — от 99 $! Чете се за това Как да построим инфраструктура от корпоративен клас с помощта на сървъри Dell R730xd E5-2650 v4 на стойност 9000 евро за малко пари?

Източник: habr.com