Обучение на Cisco 200-125 CCNA v3.0. Ден 11: Основи на VLAN

Преди да навлезем в основите на VLAN, бих помолил всички вас да спрете на пауза това видео, да щракнете върху иконата в долния ляв ъгъл, където пише Мрежов консултант, да отидете на нашата страница във Facebook и да го харесате там. След това се върнете към видеоклипа и щракнете върху иконата на King в долния десен ъгъл, за да се абонирате за нашия официален канал в YouTube. Ние непрекъснато добавяме нови серии, сега това се отнася за курса на CCNA, след това планираме да започнем курс от видео уроци CCNA Security, Network+, PMP, ITIL, Prince2 и да публикуваме тези прекрасни серии на нашия канал.

И така, днес ще говорим за основите на VLAN и ще отговорим на 3 въпроса: какво е VLAN, защо се нуждаем от VLAN и как да го конфигурираме. Надявам се, че след като изгледате този видео урок, ще можете да отговорите и на трите въпроса.

Какво е VLAN? VLAN е съкращение за виртуална локална мрежа. По-късно в този урок ще разгледаме защо тази мрежа е виртуална, но преди да преминем към VLAN, трябва да разберем как работи превключвателят. Ще прегледаме някои от въпросите, които обсъждахме в предишните уроци.

Първо, нека обсъдим какво е домейн с множество сблъсъци. Знаем, че този комутатор с 48 порта има 48 домейна на колизия. Това означава, че всеки от тези портове или устройства, свързани към тези портове, могат да комуникират с друго устройство на различен порт по независим начин, без да се засягат едно друго.

Всички 48 порта на този комутатор са част от един Broadcast Domain. Това означава, че ако няколко устройства са свързани към множество портове и едно от тях излъчва, то ще се появи на всички портове, към които са свързани останалите устройства. Точно така работи превключвателят.

Сякаш хората седяха в една стая близо един до друг и когато един от тях каза нещо силно, всички останали го чуха. Това обаче е напълно неефективно – колкото повече хора се появяват в стаята, толкова по-шумно ще става и присъстващите вече няма да се чуват. Подобна ситуация възниква при компютрите - колкото повече устройства са свързани към една мрежа, толкова по-голяма става „силата на звука“ на излъчването, което не позволява да се установи ефективна комуникация.

Знаем, че ако едно от тези устройства е свързано към мрежата 192.168.1.0/24, всички останали устройства са част от същата мрежа. Суичът също трябва да бъде свързан към мрежа със същия IP адрес. Но тук превключвателят, като OSI слой 2 устройство, може да има проблем. Ако две устройства са свързани към една и съща мрежа, те могат лесно да комуникират с компютрите на другите. Да приемем, че нашата компания има „лош човек“, хакер, когото ще нарисувам по-горе. Отдолу е моят компютър. Така че за този хакер е много лесно да проникне в моя компютър, защото компютрите ни са част от една и съща мрежа. Това е проблема.

Ако принадлежа към административното управление и този нов човек има достъп до файлове на моя компютър, това изобщо няма да е добре. Разбира се, моят компютър има защитна стена, която предпазва от много заплахи, но за хакер не би било трудно да я заобиколи.

Втората опасност, която съществува за всеки, който е член на този излъчващ домейн, е, че ако някой има проблем с излъчването, тази намеса ще засегне други устройства в мрежата. Въпреки че всичките 48 порта могат да бъдат свързани към различни хостове, отказът на един хост ще засегне останалите 47, което не е това, от което се нуждаем.
За да разрешим този проблем, използваме концепцията за VLAN или виртуална локална мрежа. Работи много просто, като разделя този един голям 48-портов комутатор на няколко по-малки комутатора.

Знаем, че подмрежите разделят една голяма мрежа на няколко малки мрежи и VLAN работят по подобен начин. Той разделя 48-портов комутатор, например, на 4 комутатора с 12 порта, всеки от които е част от нова свързана мрежа. В същото време можем да използваме 12 порта за управление, 12 порта за IP телефония и т.н., тоест да разделим комутатора не физически, а логически, виртуално.

Разпределих три сини порта на горния комутатор за синята мрежа VLAN10 и зададох три оранжеви порта за VLAN20. По този начин всеки трафик от един от тези сини портове ще отива само към другите сини портове, без да засяга другите портове на този комутатор. Трафикът от оранжевите портове ще се разпределя по подобен начин, тоест все едно използваме два различни физически комутатора. Така VLAN е начин за разделяне на комутатора на няколко комутатора за различни мрежи.

Начертах два суича отгоре, тук имаме ситуация, в която на левия суич са свързани само сини портове за една мрежа, а отдясно – само оранжеви портове за друга мрежа и тези суичове не са свързани помежду си по никакъв начин .

Да приемем, че искате да използвате повече портове. Нека си представим, че имаме 2 сгради, всяка със собствен управленски персонал, и два оранжеви порта на долния превключвател се използват за управление. Следователно имаме нужда тези портове да бъдат свързани към всички оранжеви портове на други комутатори. Подобна е ситуацията и със сините портове - всички сини портове на горния комутатор трябва да бъдат свързани към други портове с подобен цвят. За да направим това, трябва физически да свържем тези два комутатора в различни сгради с отделна комуникационна линия; на фигурата това е линията между двата зелени порта. Както знаем, ако два комутатора са физически свързани, ние образуваме гръбнак или ствол.

Каква е разликата между обикновен и VLAN комутатор? Не е голяма разликата. Когато купувате нов комутатор, по подразбиране всички портове са конфигурирани в режим VLAN и са част от една и съща мрежа, обозначена като VLAN1. Ето защо, когато свържем което и да е устройство към един порт, то се оказва свързано към всички останали портове, защото всичките 48 порта принадлежат към една и съща VLAN1. Но ако конфигурираме сините портове да работят в мрежата VLAN10, оранжевите портове в мрежата VLAN20 и зелените портове във VLAN1, ще получим 3 различни комутатора. По този начин използването на режим на виртуална мрежа ни позволява логично да групираме портове в конкретни мрежи, да разделяме излъчванията на части и да създаваме подмрежи. В този случай всеки от портовете с определен цвят принадлежи към отделна мрежа. Ако сините портове работят в мрежата 192.168.1.0, а оранжевите портове работят в мрежата 192.168.1.0, тогава въпреки същия IP адрес, те няма да бъдат свързани помежду си, защото логично ще принадлежат към различни суичове. И както знаем, различните физически комутатори не комуникират помежду си, освен ако не са свързани с обща комуникационна линия. Така че създаваме различни подмрежи за различни VLAN.

Бих искал да обърна внимание на факта, че концепцията за VLAN се прилага само за комутатори. Всеки, който е запознат с протоколи за капсулиране като .1Q или ISL, знае, че нито рутерите, нито компютрите имат VLAN. Когато свържете компютъра си например към един от сините портове, вие не променяте нищо в компютъра, всички промени се случват само на второто OSI ниво, нивото на превключвателя. Когато конфигурираме портовете да работят с конкретна VLAN10 или VLAN20 мрежа, комутаторът създава VLAN база данни. Той „записва“ в паметта си, че портове 1,3 и 5 принадлежат към VLAN10, портове 14,15 и 18 са част от VLAN20, а останалите включени портове са част от VLAN1. Следователно, ако някакъв трафик произхожда от син порт 1, той отива само към портове 3 и 5 на същата VLAN10. Комутаторът преглежда своята база данни и вижда, че ако трафикът идва от един от оранжевите портове, той трябва да отива само към оранжевите портове на VLAN20.

Компютърът обаче не знае нищо за тези VLAN. Когато свързваме 2 комутатора, между зелените портове се образува ствол. Терминът „транк“ е приложим само за устройства на Cisco; други производители на мрежови устройства, като Juniper, използват термина Tag port или „маркиран порт“. Мисля, че името Tag port е по-подходящо. Когато трафикът произхожда от тази мрежа, стволът го предава към всички портове на следващия комутатор, тоест свързваме два 48-портови комутатора и получаваме един 96-портов комутатор. В същото време, когато изпращаме трафик от VLAN10, той става маркиран, тоест получава етикет, който показва, че е предназначен само за портове на мрежата VLAN10. Вторият превключвател, след като получи този трафик, чете етикета и разбира, че това е трафик специално за мрежата VLAN10 и трябва да отива само към сини портове. По подобен начин „оранжевият“ трафик за VLAN20 е маркиран, за да покаже, че е предназначен за VLAN20 портове на втория комутатор.

Споменахме също капсулирането и тук има два метода за капсулиране. Първият е .1Q, тоест, когато организираме trunk, трябва да осигурим капсулиране. Протоколът за капсулиране .1Q е отворен стандарт, който описва процедурата за маркиране на трафика. Има друг протокол, наречен ISL, Inter-Switch link, разработен от Cisco, който показва, че трафикът принадлежи към определена VLAN. Всички съвременни комутатори работят с протокола .1Q, така че когато извадите нов комутатор от кутията, не е необходимо да използвате никакви команди за капсулиране, тъй като по подразбиране това се извършва от протокола .1Q. По този начин, след създаване на ствол, автоматично се извършва капсулиране на трафика, което позволява четене на тагове.

Сега нека започнем да настройваме VLAN. Нека създадем мрежа, в която ще има 2 комутатора и две крайни устройства - компютри PC1 и PC2, които ще свържем с кабели към суич #0. Нека започнем с основните настройки на превключвателя за основна конфигурация.

За да направите това, щракнете върху превключвателя и отидете на интерфейса на командния ред и след това задайте името на хоста, като наречете този превключвател sw1. Сега нека да преминем към настройките на първия компютър и да зададем статичен IP адрес 192.168.1.1 и подмрежова маска 255.255. 255.0. Няма нужда от адрес на шлюз по подразбиране, защото всички наши устройства са в една и съща мрежа. След това ще направим същото за втория компютър, като му присвоим IP адрес 192.168.1.2.

Сега нека се върнем към първия компютър, за да изпратим ping на втория компютър. Както можете да видите, ping беше успешен, тъй като и двата компютъра са свързани към един и същ комутатор и са част от една и съща мрежа по подразбиране VLAN1. Ако сега разгледаме интерфейсите на комутатора, ще видим, че всички FastEthernet портове от 1 до 24 и два GigabitEthernet порта са конфигурирани на VLAN #1. Такава прекомерна достъпност обаче не е необходима, така че влизаме в настройките на комутатора и въвеждаме командата show vlan, за да разгледаме базата данни на виртуалната мрежа.

Тук виждате името на мрежата VLAN1 и факта, че всички портове на комутатора принадлежат към тази мрежа. Това означава, че можете да се свържете към всеки порт и всички те ще могат да „говорят“ помежду си, защото са част от една и съща мрежа.

Ще променим тази ситуация; за да направим това, първо ще създадем две виртуални мрежи, тоест ще добавим VLAN10. За да създадете виртуална мрежа, използвайте команда като „vlan network number“.
Както можете да видите, когато се опитвате да създадете мрежа, системата показва съобщение със списък от команди за конфигуриране на VLAN, които трябва да се използват за това действие:

изход – прилагане на промени и изход от настройките;
име – въведете персонализирано VLAN име;
не – отменете командата или я задайте по подразбиране.

Това означава, че преди да въведете командата за създаване на VLAN, трябва да въведете командата за име, която включва режима за управление на имена, и след това да продължите към създаване на нова мрежа. В този случай системата подканва, че VLAN номерът може да бъде присвоен в диапазона от 1 до 1005.
Сега въвеждаме командата за създаване на VLAN номер 20 - vlan 20 и след това му даваме име за потребителя, което показва какъв вид мрежа е. В нашия случай използваме името Employees команда или мрежа за служители на компанията.

Сега трябва да зададем конкретен порт на тази VLAN. Влизаме в режима на настройките на превключвателя int f0/1, след което ръчно превключваме порта в режим на достъп с помощта на командата за достъп до режим на switchport и посочваме кой порт трябва да бъде превключен в този режим - това е портът за мрежата VLAN10.

Виждаме, че след това цветът на точката на свързване между PC0 и комутатора, цветът на порта, се промени от зелен на оранжев. Той отново ще стане зелен веднага щом промените в настройките влязат в сила. Нека се опитаме да пингваме втория компютър. Не сме правили никакви промени в мрежовите настройки за компютрите, те все още имат IP адреси 192.168.1.1 и 192.168.1.2. Но ако се опитаме да пингваме PC0 от компютър PC1, нищо няма да работи, защото сега тези компютри принадлежат към различни мрежи: първият към VLAN10, вторият към собствения VLAN1.

Нека се върнем към интерфейса на комутатора и да конфигурираме втория порт. За да направя това, ще издам командата int f0/2 и ще повторя същите стъпки за VLAN 20, както направих при конфигурирането на предишната виртуална мрежа.
Виждаме, че сега долният порт на комутатора, към който е свързан вторият компютър, също е променил цвета си от зелен на оранжев - трябва да минат няколко секунди, преди промените в настройките да влязат в сила и той отново да стане зелен. Ако започнем отново да пингваме втория компютър, нищо няма да работи, защото компютрите все още принадлежат към различни мрежи, само PC1 вече е част от VLAN1, а не от VLAN20.
Така сте разделили един физически превключвател на два различни логически превключвателя. Виждате, че сега цветът на порта се е променил от оранжев на зелен, портът работи, но все още не отговаря, защото принадлежи към друга мрежа.

Нека направим промени в нашата схема - изключете компютър PC1 от първия превключвател и го свържете към втория превключвател и свържете самите превключватели с кабел.

За да установя връзка между тях, ще вляза в настройките на втория комутатор и ще създам VLAN10, давайки му името Management, тоест мрежата за управление. След това ще активирам режим на достъп и ще уточня, че този режим е за VLAN10. Сега цветът на портовете, през които са свързани комутаторите, е променен от оранжев на зелен, защото и двата са конфигурирани на VLAN10. Сега трябва да създадем ствол между двата превключвателя. И двата порта са Fa0/2, така че трябва да създадете магистрала за порта Fa0/2 на първия комутатор, като използвате командата trunk за режим switchport. Същото трябва да се направи и за втория превключвател, след което между тези два порта се образува трънк.

Сега, ако искам да пингвам PC1 от първия компютър, всичко ще се оправи, защото връзката между PC0 и суич #0 е VLAN10 мрежа, между суич #1 и PC1 също е VLAN10 и двата суича са свързани чрез магистрала .

Така че, ако устройствата са разположени на различни VLAN, те не са свързани помежду си, но ако са в една и съща мрежа, тогава трафикът може свободно да се обменя между тях. Нека се опитаме да добавим още едно устройство към всеки комутатор.

В мрежовите настройки на добавения компютър PC2 ще задам IP адреса на 192.168.2.1, а в настройките на PC3 адресът ще бъде 192.168.2.2. В този случай портовете, към които са свързани тези два компютъра, ще бъдат обозначени с Fa0/3. В настройките на суич #0 ще зададем режим на достъп и ще посочим, че този порт е предназначен за VLAN20, и ще направим същото за суич #1.

Ако използвам командата switchport access vlan 20 и VLAN20 все още не е създаден, системата ще покаже грешка като „VLAN за достъп не съществува“, тъй като комутаторите са конфигурирани да работят само с VLAN10.

Нека създадем VLAN20. Използвам командата "show VLAN", за да видя базата данни на виртуалната мрежа.

Можете да видите, че мрежата по подразбиране е VLAN1, към която са свързани портове Fa0/4 до Fa0/24 и Gig0/1, Gig0/2. VLAN номер 10, наречен Management, е свързан към порт Fa0/1, а VLAN номер 20, наречен VLAN0020 по подразбиране, е свързан към порт Fa0/3.

По принцип името на мрежата няма значение, основното е да не се повтаря за различни мрежи. Ако искам да променя името на мрежата, което системата задава по подразбиране, използвам командата vlan 20 и име Employees. Мога да променя това име на нещо друго, като IPphones, и ако изпратим ping на IP адреса 192.168.2.2, можем да видим, че името на VLAN няма значение.
Последното нещо, което искам да спомена, е предназначението на Management IP, за което говорихме в миналия урок. За да направим това, използваме командата int vlan1 и въвеждаме IP адреса 10.1.1.1 и подмрежовата маска 255.255.255.0 и след това добавяме командата без изключване. Зададохме Management IP не за целия комутатор, а само за VLAN1 портовете, тоест зададохме IP адреса, от който се управлява VLAN1 мрежата. Ако искаме да управляваме VLAN2, трябва да създадем съответен интерфейс за VLAN2. В нашия случай има сини VLAN10 портове и оранжеви VLAN20 портове, които съответстват на адреси 192.168.1.0 и 192.168.2.0.
VLAN10 трябва да има адреси, разположени в същия диапазон, така че подходящите устройства да могат да се свързват към него. Подобна настройка трябва да се направи за VLAN20.

Този прозорец на командния ред за превключване показва настройките на интерфейса за VLAN1, тоест собствената VLAN.

За да конфигурираме IP за управление за VLAN10, трябва да създадем интерфейс int vlan 10 и след това да добавим IP адреса 192.168.1.10 и подмрежовата маска 255.255.255.0.

За да конфигурираме VLAN20, трябва да създадем интерфейс int vlan 20 и след това да добавим IP адреса 192.168.2.10 и подмрежовата маска 255.255.255.0.

Защо е необходимо това? Ако компютър PC0 и горният ляв порт на превключвател #0 принадлежат към мрежата 192.168.1.0, PC2 принадлежи към мрежата 192.168.2.0 и е свързан към родния VLAN1 порт, който принадлежи към мрежата 10.1.1.1, тогава PC0 не може да установи комуникация с този комутатор чрез протокола SSH, тъй като принадлежат към различни мрежи. Следователно, за да може PC0 да комуникира с комутатора чрез SSH или Telnet, трябва да му предоставим достъп за достъп. Ето защо се нуждаем от управление на мрежата.

Трябва да можем да обвържем PC0 с помощта на SSH или Telnet към IP адреса на интерфейса VLAN20 и да направим всички необходими промени чрез SSH. По този начин IP за управление е необходим специално за конфигуриране на VLAN, тъй като всяка виртуална мрежа трябва да има собствен контрол на достъпа.

В днешното видео обсъдихме много въпроси: основни настройки на комутатора, създаване на VLAN, присвояване на VLAN портове, присвояване на IP за управление за VLAN и конфигуриране на връзки. Не се смущавайте, ако не разбирате нещо, това е естествено, защото VLAN е много сложна и обширна тема, към която ще се върнем в следващите уроци. Гарантирам, че с моя помощ можете да станете VLAN master, но целта на този урок беше да ви изясня 3 въпроса: какво са VLAN, защо са ни необходими и как да ги конфигурираме.

Благодарим ви, че останахте с нас. Харесвате ли нашите статии? Искате ли да видите още интересно съдържание? Подкрепете ни, като направите поръчка или препоръчате на приятели, 30% отстъпка за потребителите на Habr за уникален аналог на сървъри от начално ниво, който беше измислен от нас за вас: Цялата истина за VPS (KVM) E5-2650 v4 (6 ядра) 10GB DDR4 240GB SSD 1Gbps от $20 или как да споделите сървър? (предлага се с RAID1 и RAID10, до 24 ядра и до 40GB DDR4).

Dell R730xd 2 пъти по-евтин? Само тук 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV от $199 в Холандия! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - от $99! Прочети за Как да изградим инфраструктура Corp. клас с използване на сървъри Dell R730xd E5-2650 v4 на стойност 9000 евро за стотинка?

Източник: www.habr.com