Тренинг Cisco 200-125 CCNA v3.0. Ден 11. Основи VLAN

Преди да започнем с основите на VLAN, бих искал да помоля всички вас да спрат видеото, да кликнат върху иконката в долния ляв ъгъл, където пише Networking consultant, да посетят нашата Facebook страница и да ни поставят лайк. След това се върнете обратно на видеото и натиснете иконката на King в долния десен ъгъл, за да се абонирате за нашия официален YouTube канал. Ние постоянно добавяме нови серии, в момента става въпрос за курса CCNA, след това планираме да стартираме курс по CCNA Security, Network+, PMP, ITIL, Prince2 и да публикуваме тези страхотни серии на нашия канал.

И така, днес ще говорим за основите на VLAN и ще отговорим на три въпроса: какво е VLAN, защо ни е необходима VLAN и как да я настроим. Надявам се, че след като изгледате този видеоурок, ще можете да отговорите на всички три въпроса.

Какво е VLAN? VLAN е съкращение на термина "виртуална локална мрежа". По-късно в урока ще разгледаме защо тази мрежа е виртуална, но преди да преминем към VLAN, трябва да разберем как работи комутаторът. Още веднъж ще повторим някои от въпросите, които обсъдихме в предишните уроци.

Първо, нека обсъдим какво представлява Multiple Collision Domain, или домен на колизия. Знаем, че този комутатор с 48 порта има 48 домена на колизия. Това означава, че всяко от тези портове или устройства, свързани към тях, може да взаимодейства с друго устройство на друго порт независимо, без да оказва влияние помежду си.

Всички 48 порта на този комутатор са част от един широковещателен домен Broadcast Domain. Това означава, че ако множество устройства са свързани на няколко порта и едно от тях извършва широковещателна предаване, то тя ще се появи на всички портове, на които са свързани останалите устройства. Именно така работи комутаторът.

Представете си, че хората седят в една стая близо един до друг, и когато един от тях говори силно, всички останали го чуват. Въпреки това, това е напълно неефективно – колкото повече хора влизат в стаята, толкова по-шумично става и присъстващите спират да се чуват. Аналогична ситуация възниква и с компютрите – колкото повече устройства са свързани в една мрежа, толкова по-висок става "обемът" на широковещателната предаване, което не позволява да се установи ефективна комуникация.

Знаем, че ако едно от тези устройства е свързано към мрежата 192.168.1.0/24, всички останали устройства са част от същата мрежа. Комутаторът също трябва да бъде свързан към мрежата с такъв IP адрес. Но тук се появява проблем за комутатора като устройство от второ ниво на OSI. Ако две устройства са свързани към една мрежа, те лесно могат да комуникират помежду си. Да предположим, че в нашата компания работи „лошото момче“, хакер, който нарисувах по-горе. Отдолу под него е моят компютър. Така че, на този хакер му е много лесно да проникне в моя компютър, тъй като нашите компютри са част от една и съща мрежа. В това е проблемът.

Ако принадлежа на административното ръководство и този нов човек успее да получи достъп до файловете на моя компютър, това ще бъде много лошо. Разбира се, на моя компютър има защитна стена, която защитава от много заплахи, но на хакера няма да му бъде трудно да я заобиколи.

Втората опасност, съществуваща за всички, които са членове на този широковещателен домейн, е, че ако се появят проблеми с широковещателната предавка, това смущение ще повлияе на другите устройства в мрежата. Въпреки че всички 48 порта могат да бъдат свързани към различни хостове, повреда в работата на един хост ще повлияе на останалите 47, което изобщо не ни трябва.
За да решим този проблем, използваме концепцията VLAN, или виртуална локална мрежа. Тя работи много просто, разделяйки този един голям 48 портов комутатор на няколко по-малки комутатора.

Знаем, че подсетите разделят една голяма мрежа на няколко малки мрежи, а VLAN работи по аналогичен начин. Тя разделя 48- портовия комутатор, например, на 4 комутатора по 12 порта, всеки от които е част от нова присъединена мрежа. По този начин можем да използваме 12 порта за управление, 12 порта за работа с IP телефония и т.н., тоест да разделим комутатора не физически, а логически, виртуално.

Определих три порта на горния суич, обозначени с син цвят, за "синята" мрежа VLAN10, а три оранжеви порта назначих за VLAN20. По този начин, всякакъв трафик от един от тези сини портове ще постъпва само на други сини портове, без да засяга останалите портове на този суич. Аналогично, трафикът от оранжевите портове ще се разпространява, тоест сякаш използваме два различни физически суича. По този начин VLAN е метод за разделяне на суича на няколко суича за различни мрежи.

Нарисувах два суича отгоре, тук имаме ситуация, при която на левия суич са свързани само сини портове за една мрежа, а на десния — само оранжеви за друга мрежа, и тези суичи не са свързани помежду си.

Да предположим, че искате да използвате повече портове. Представете си, че имаме две сгради, във всяка от които има собствен управленски екип, и два оранжеви порта на долния суич се използват за управление. Затова трябва тези портове да бъдат свързани със всички оранжеви портове на другите суичи. Подобна ситуация е и със сините портове – всички сини портове на горния суич трябва да имат връзка с останалите портове на същия цвят. За това е необходимо физически да свържем тези два суича в различни сгради през отделна връзка, на изображението това е линията между двата порта в зелен цвят. Както знаем, ако два суича са физически свързани, образуваме магистрала или транк.

Каква е разликата между обикновен комутатор и VLAN комутатор? Всъщност разликата е малка. Когато купите нов комутатор, по подразбиране всички портове са настроени в режим VLAN и са част от една мрежа, наречена VLAN1. Затова, когато свържем устройство към един от портовете, то се свързва с всички останали портове, тъй като всички 48 порта принадлежат на една виртуална мрежа VLAN1. Но ако настроим сините портове да работят в мрежата VLAN10, оранжевите – в мрежата VLAN20, а зелените – VLAN1, ще получим 3 различни комутатора. Така използването на режим на виртуална мрежа ни позволява логически да групираме портовете под конкретни мрежи, да разделяме широковещателния трафик и да създаваме подсетки. В същото време всеки от портовете с конкретен цвят принадлежи на отделна мрежа. Ако сините портове работят в мрежата 192.168.1.0 и оранжевите портове също работят в мрежата 192.168.1.0, то въпреки идентичния IP адрес, те няма да бъдат свързани помежду си, тъй като логически принадлежат на различни комутатори. Както знаем, различните физически комутатори не комуникират помежду си, ако не са свързани с обща комуникационна линия. Така че, ние създаваме различни подсетки за различни VLAN.

Искам да обърна внимание, че концепцията за VLAN се отнася само за комутаторите. Тези, които са запознати с инкапсулационните протоколи, като .1Q или ISL, знаят, че нито рутерите, нито компютрите имат VLAN. Когато свържете компютъра си, например, към един от сините портове, вие не променяте нищо в компютъра, всички промени се извършват само на второто ниво на OSI, на ниво комутатор. Когато настройваме портовете да работят с конкретна мрежа VLAN10 или VLAN20, комутатора създава база данни VLAN. Той "записва" в паметта си, че портовете 1, 3 и 5 принадлежат на VLAN10, портовете 14, 15 и 18 са част от мрежата VLAN20, а останалите ангажирани портове са част от мрежата VLAN1. Следователно, ако трафикът идва от син порт 1, той влиза само на портовете 3 и 5 от същата мрежа VLAN10. Комутаторът "гледа" в своята база данни и вижда, че ако трафикът идва от един от оранжевите портове, той трябва да влиза само на оранжевите портове на мрежата VLAN20.

Въпреки това, компютърът не знае нищо за тези VLAN мрежи. Когато свързваме 2 суич устройства, между зелените портове се образува трак. Терминът «тракен» е актуален само за устройствата на компанията Cisco, докато другите производители на мрежови устройства, като Juniper, използват термина Tag port или «теглен порт». Смятам, че името Tag port е по-подходящо. Когато трафикът напусне тази мрежа, тракът го предава на всичките портове на следващия суич, което означава, че свързвайки два суича с 48 порта получаваме един с 96 порта. В този момент, когато изпращаме трафик от VLAN10, той става тегиран, тоест снабден е с етикет, който показва, че е предназначен само за портовете на VLAN10. Вторият суич, получавайки този трафик, прочита етикета и разбира, че трафикът е именно за мрежата VLAN10 и трябва да постъпи само на сините портове. По същия начин «оранжевият» трафик за VLAN20 е снабден с етикет, който указва, че е предназначен за портовете VLAN20 на втория суич.

Отбелязахме и инкапсулацията, и тук има два метода за инкапсулация. Първият е .1Q, тоест когато организираме трак, трябва да осигурим инкапсулация. Протоколът за инкапсулация .1Q е отворен стандарт, описващ процедурата за етикиране на трафика. Съществува и друг протокол, наречен ISL, Inter-Switch Link, разработен от компанията Cisco, който указва принадлежността на трафика към определена VLAN. Всички съвременни суич устройства работят с протокола .1Q, така че, след като извадите новия суич от кутията, не е нужно да използвате никакви команди за инкапсулация, защото по подразбиране тя се извършва от протокола .1Q. Така инкапсулацията на трафика става автоматично след създаването на трака, което позволява прочитането на етикетите.

Сега нека да преминем към настройката на мрежата VLAN. Ще създадем мрежа с 2 суича и две крайни устройства – компютри PC1 и PC2, които ще свържем с кабели към суич #0. Да започнем с основните настройки на суича Basic Configuration.

Щракнете върху суич и влезте в интерфейса на командния ред, след това задайте името на хоста, като наречете този суич sw1. Сега да преминем към настройките на първия компютър и да зададем статичен IP адрес 192.168.1.1 и маска на подмрежата 255.255.255.0. Адресът на по подразбиране не е нужен, тъй като всичките ни устройства са в една и съща мрежа. След това ще направим същото и за втория компютър, като му зададем IP адрес 192.168.1.2.

Сега се връщаме към първия компютър, за да пингираме втория компютър. Както виждаме, пингът беше успешен, защото и двата компютъра са свързани към един суич и са част от една и съща мрежа по подразбиране VLAN1. Ако сега погледнем интерфейсите на суича, ще видим, че всички портове FastEthernet от 1 до 24 и двата порта GigabitEthernet са настроени за VLAN #1. Но такава излишна достъпност не е необходима, затова влизаме в настройките на суича и въвеждаме командата show vlan, за да видим базата данни на виртуалните мрежи.

Тук виждате името на мрежата VLAN1 и че всички портове на суича принадлежат на тази мрежа. Това означава, че можете да се свържете към всеки порт и всички те ще могат да "общуват" помежду си, тъй като са част от една и съща мрежа.

Ние ще променим тази ситуация, затова първо ще създадем две виртуални мрежи, т.е. ще добавим VLAN10. За да създадете виртуална мрежа, се използва команда от вида „vlan номер на мрежата“.
Както виждате, при опит да създадете мрежа, системата издава съобщение с списък на командите за конфигурация на VLAN, които трябва да се използват за тази операция:

exit – приложете промените и излезте от настройките;
name – въведете потребителско име за VLAN;
no – отменете командата или задайте по подразбиране.

Това означава, че преди да въведете командата за създаване на VLAN, трябва да въведете командата name, която включва режим на управление на имената, след което да преминете към създаването на нова мрежа. В същото време системата предоставя подсказка, че номерът на VLAN може да бъде зададен в диапазона от 1 до 1005.
И така, сега въвеждаме командата за създаване на VLAN номер 20 – vlan 20, а след това задаваме потребителско име, което показва каква е тази мрежа. В нашия случай използваме командата name Employees, или мрежа за служителите на компанията.

Сега трябва да назначим конкретен порт за този VLAN. Влизаме в режима на настройки на суича int f0/1, след което ръчно прехвърляме порта в режим Access с командата switchport mode access и указваме, кой точно порт трябва да бъде прехвърлен в този режим – това е портът за мрежата VLAN10.

Виждаме, че след това цветът на точката на свързване между PC0 и суича, цветът на порта, се е променил от зелен на оранжев. Той отново ще стане зелен, веднага щом промените в настройките влязат в сила. Нека пробваме да пингуем втория компютър. Ние не направихме никакви промени в настройките на мрежата за компютрите, те все още имат IP адреси 192.168.1.1 и 192.168.1.2. Но ако опитаме да пингуваме компютър PC1 от компютъра PC0, нищо няма да се получи, защото сега тези компютри принадлежат на различни мрежи: първият е в VLAN10, вторият – в native VLAN1.

Нека се върнем на интерфейса на суича и да настроим втория порт. За целта ще въведа командата int f0/2 и ще повторя същите стъпки за мрежата VLAN 20, както при настройката на предишната виртуална мрежа.
Виждаме, че сега долният порт на суича, към който е свързан вторият компютър, също е променил цвета си от зелен на оранжев – трябва да минат няколко секунди, преди промените в настройките да влязат в сила и той отново да стане зелен. Ако отново стартираме пингуването на втория компютър, няма да се получи, защото компютрите все още принадлежат на различни мрежи, само че сега PC1 е част от VLAN20, а не VLAN1.
Така разделихте един физически суич на два различни логически суича. Виждате, че цветът на порта сега се е променил от оранжев на зелен, портът е активен, но все още не може да бъде пингуван, тъй като принадлежи на друга мрежа.

Нека внесем промени в нашата схема – отделяме компютъра PC1 от първия суич и го свързваме към втория суич, а самите суичове свързваме с кабел.

За да установя връзка между тях, ще вляза в настройките на втория суич и ще създам VLAN10, като му дам име Управление, т.е. мрежа за управление. След това ще включа режим Access и ще укажа, че този режим е предназначен за мрежа VLAN10. Сега цветът на портовете, свързващи суичовете, се е променил от оранжев на зелен, тъй като и двете са настроени на VLAN10. Сега ни трябва да създадем транк между двата суича. И двата порта са Fa0/2, така че трябва да създам транк за порта Fa0/2 на първия суич, използвайки командата switchport mode trunk. Същото трябва да направя и за втория суич, след което между тези два порта ще се образува транк.

Сега, ако искам да пингна компютъра PC1 от първия компютър, всичко ще се получи, защото връзката между PC0 и суич #0 е мрежа VLAN10, между суич #1 и PC1 също е VLAN10, а двата суича са свързани с транк.

И така, ако устройствата са разположени в различни мрежи VLAN, те не са свързани помежду си, а ако са в една и съща мрежа, между тях може да се осъществява свободен обмен на трафик. Нека добавим по едно устройство към всеки суич.

В настройките на добавения компютър PC2 ще задада IP адрес 192.168.2.1, а в настройките на PC3 – адрес 192.168.2.2. В същото време портовете, към които са свързани тези два ПК, ще получат обозначение Fa0/3. В настройките на суич #0 ще зададем режим Access и ще укажем, че този порт е предназначен за VLAN20, а същото ще направим и за суич #1.

Ако използвам командата switchport access vlan 20, а мрежата VLAN20 все още не е създадена, системата ще изведе грешка вида „Access VLAN does not exist“, тъй като суичовете са настроени да работят само с VLAN10.

Нека създадем VLAN20. Използвам командата „показване на VLAN“, за да видя базата данни на виртуалните мрежи.

Виждате, че мрежата по подразбиране е VLAN1, към която са свързани портовете от Fa0/4 до Fa0/24 и Gig0/1, Gig0/2. Виртуалната мрежа с номер 10, наречена Управление, е свързана към порт Fa0/1, а мрежата VLAN с номер 20 с име по подразбиране VLAN0020 е свързана към порт Fa0/3.

Всъщност, името на мрежата няма значение, стига да не се повтаря за различни мрежи. Ако искам да сменя името на мрежата, което системата задава по подразбиране, използвам командата vlan 20 и name Employees. Мога да променя това име на друго, например на IPphones, и ако пингаме IP адреса 192.168.2.2, ще видим, че името на VLAN няма значение.
Последното, което искам да спомена, е задаването на Management IP, за което говорихме на последния урок. За това използваме командата int vlan1 и въвеждаме IP адреса 10.1.1.1 и маската на подсетата 255.255.255.0, а след това добавяме командата no shutdown. Ние зададохме Management IP не за целия суич, а само за портовете на VLAN1, т.е. зададохме IP адреса, от който се управлява мрежата VLAN1. Ако искаме да управляваме VLAN2, трябва да създадем съответния интерфейс за VLAN2. В нашия случай имаме сини портове VLAN10 и оранжеви портове VLAN20, които отговарят на адресите 192.168.1.0 и 192.168.2.0.
VLAN10 трябва да има адреси, разположени в същия диапазон, за да могат към нея да се свързват съответстващите устройства. Аналогична настройка трябва да бъде направена и за VLAN20.

В този прозорец на командния ред на суича са показани настройките на интерфейса за VLAN1, т.е. native VLAN.

За да настроим Management IP за VLAN10, трябва да създадем интерфейс int vlan 10 и след това да добавим IP адреса 192.168.1.10 и маската на подсетата 255.255.255.0.

За настройка на VLAN20, трябва да създадем интерфейс int vlan 20 и след това да добавим IP адреса 192.168.2.10 и маската на подсетата 255.255.255.0.

Защо е нужно това? Ако компютърът PC0 и горният ляв порт на суич #0 принадлежат на мрежа 192.168.1.0, PC2 принадлежи на мрежа 192.168.2.0 и е свързан към порта native VLAN1, който е в мрежата 10.1.1.1, то PC0 не може да установи връзка с този суич по протокола SSH, тъй като те принадлежат на различни мрежи. Следователно, за да може PC0 да се свърже със суича чрез SSH или Telnet, трябва да му предоставим достъп Access. Ето защо ни е нужно управление на мрежата.

Трябва да можем да свържем PC0 с IP адреса на интерфейса VLAN20 чрез SSH или Telnet и да внесем всякакви нужни промени чрез SSH. По този начин, Management IP е необходим именно за настройка на VLAN, тъй като всяка виртуална мрежа трябва да има собствено управление на достъпа.

В днешното видео обсъдихме много въпроси: основни настройки на превключвателя, създаване на VLAN мрежи, назначаване на VLAN портове, задаване на Management IP за VLAN мрежи и конфигуриране на транкове. Не се тревожете, ако нещо не сте разбрали, това е нормално, тъй като VLAN е много сложна и обширна тема, към която ще се връщаме в следващите уроци. Гарантирам, че с моята помощ ще станете „майстори“ на VLAN, но основната цел на този урок беше да ви обясни три въпроса: какво представляват VLAN мрежите, защо са ни необходими и как да ги конфигурираме.

Благодарим, че останахте с нас. Харесвате ли нашите статии? Искате ли да виждате повече интересни материали? Подкрепете ни, като направите поръчка или ни препоръчате на познати, 30% отстъпка за потребителите на Хабра за уникален аналог на entry-level сървъри, създаден от нас за вас: Всичко за VPS (KVM) E5-2650 v4 (6 ядра) 10GB DDR4 240GB SSD 1Gbps от $20 или как да делим сървъра правилно? (налични опции с RAID1 и RAID10, до 24 ядра и до 40GB DDR4).

Dell R730xd два пъти по-евтин? Само при нас 2 х Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100TB от $199 в Нидерландия! Dell R420 — 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — от $99! Четете за това Как да изградим инфраструктура от корпоративен клас с прилагане на сървъри Dell R730xd Е5-2650 v4 на стойност 9000 евро за копейки?

Източник: habr.com