Než začneme s základy VLAN, prosím, pozastavte toto video, klikněte na ikonu v levém dolním rohu, kde je napsáno Networking consultant, přejděte na naši Facebook stránku a dejte nám tam like. Poté se vraťte k videu a klikněte na ikonu Krále v pravém dolním rohu, abyste se přihlásili k našemu oficiálnímu kanálu na YouTube. Pravidelně přidáváme nové série, aktuálně se jedná o kurz CCNA, poté plánujeme zahájit kurz video lekcí CCNA Security, Network+, PMP, ITIL, Prince2 a publikovat tyto úžasné série na našem kanálu.
Takže dnes si povíme o základech VLAN a odpovíme na tři otázky: co je VLAN, proč potřebujeme VLAN a jak ji nastavit. Doufám, že po shlédnutí této video lekce budete schopni odpovědět na všechny tři otázky.
Co je VLAN? VLAN je zkratka pro "virtuální lokální síť". Během našeho lekce si vysvětlíme, proč je tato síť virtuální, ale než se dostaneme k VLAN, musíme pochopit, jak funguje switch. Ještě jednou si zopakujeme některé z otázek, které jsme probírali v předchozích lekcích.
Nejprve si povíme, co to je Multiple Collision Domain, nebo doména kolizí. Víme, že tento switch s 48 porty má 48 domén kolizí. To znamená, že každý z těchto portů nebo zařízení připojených k těmto portům může komunikovat s jiným zařízením na jiném portu nezávisle na sobě, aniž by na sebe navzájem měly vliv.
Všech 48 portů tohoto switche je součástí jedné širokopásmové domény Broadcast Domain. To znamená, že pokud je několik zařízení připojeno k několika portům a jedno z nich provádí širokopásmový přenos, tak se tento přenos objeví na všech portech, ke kterým jsou připojena ostatní zařízení. Takto funguje switch.
To je jako kdyby lidé seděli v jedné místnosti blízko sebe, a když jeden z nich něco nahlas říká, slyší ho všichni ostatní. Nicméně, to je naprosto neefektivní – čím více lidí se v místnosti objeví, tím hlučnější bude a přítomní přestanou slyšet jeden druhého. Podobná situace nastává s počítači – čím více zařízení se připojuje k jedné síti, tím větší se stává "hlasitost" širokopásmového vysílání, což brání efektivní komunikaci.
Víme, že pokud je jedno z těchto zařízení připojeno k síti 192.168.1.0/24, všechna ostatní zařízení jsou součástí téže sítě. Switch by měl být také připojen ke stejné síti s tímto IP adresou. Ale zde může switch jako zařízení druhé úrovně OSI narazit na problém. Pokud jsou dvě zařízení připojena k jedné síti, mohou snadno komunikovat navzájem. Představme si, že v naší firmě pracuje 'špatný kluk', hacker, kterého jsem nakreslil nahoře. Dole pod ním je můj počítač. Tento hacker se může snadno dostat do mého počítače, protože naše počítače jsou součástí jedné sítě. To je problém.
Pokud jsem součástí administrativy a tento nový kluk bude mít přístup k souborům na mém počítači, nebude to vůbec dobré. Samozřejmě, že na mém počítači je firewall, který chrání před mnoha hrozbami, ale hackerovi nebude dělat problém ho obejít.
Druhá hrozba, která existuje pro všechny členy této vysílací domény, spočívá v tom, že pokud někdo zažije potíže s vysíláním, tento rušivý signál ovlivní ostatní zařízení v síti. Ačkoli může být všech 48 portů připojeno k různým hostitelům, selhání jednoho hostitele ovlivní zbylých 47, což rozhodně nechceme.
Pro vyřešení tohoto problému používáme koncept VLAN, neboli virtuální lokální síť. Funguje to velmi jednoduše, rozděluje tento velký 48-portový switch na několik menších switchů.
Víme, že podsítě dělí jednu velkou síť na několik malých sítí, a VLAN funguje podobně. Rozděluje 48-portový switch například na 4 switche po 12 portech, z nichž každý je součástí nové připojené sítě. Tímto způsobem můžeme použít 12 portů pro správu, 12 portů pro IP telefonii a tak dále, tedy rozdělit switch ne fyzicky, ale logicky, virtuálně.
Vybral jsem tři porty horního switche označené modrou barvou pro modrou síť VLAN10 a tři oranžové porty jsem určil pro VLAN20. Takto veškerý provoz z jednoho z těchto modrých portů bude směřovat pouze na další modré porty, aniž by se dotýkal ostatních portů tohoto switche. Podobně se bude šířit provoz z oranžových portů, jakoby se používaly dva různé fyzické switche. VLAN tedy slouží k rozdělení switche na několik switchů pro různé sítě.
Nakreslil jsem nahoře dva switche, zde máme situaci, kdy na levém switche jsou používány pouze modré porty pro jednu síť, a na pravém pouze oranžové pro jinou síť, a tyto switche nejsou nijak spojeny.
Předpokládejme, že chcete využít více portů. Představme si, že máme dvě budovy, z nichž každá má svůj vlastní správní tým, a dva oranžové porty dolního switche jsou používány pro správu. Proto potřebujeme, aby tyto porty byly spojeny se všemi oranžovými porty ostatních switchů. Podobná situace platí pro modré porty – všechny modré porty horního switche musí mít spojení s ostatními porty stejné barvy. K tomu je potřeba fyzicky propojit tyto dva switche v různých budovách samostatnou komunikační linkou, na obrázku je to linka mezi dvěma porty zelené barvy. Jak víme, pokud jsou dva switche fyzicky propojeny, vzniká nám trunk.
Jaký je tedy rozdíl mezi běžným a VLAN switch? Rozdíl není velký. Když si koupíte nový switch, všechny porty jsou ve výchozím nastavení nastaveny na režim VLAN a jsou součástí jedné sítě, označované jako VLAN1. Proto, když připojíte zařízení k jednomu portu, je spojeno se všemi ostatními porty, protože všech 48 portů patří do jedné virtuální sítě VLAN1. Pokud však nastavíme modré porty na práci v síti VLAN10, oranžové – ve síti VLAN20 a zelené – VLAN1, získáme 3 různé switche. Použití režimu virtuální sítě nám tedy umožňuje logicky seskupit porty pod konkrétní sítě, rozdělit rozhlasový přenos na části a vytvářet podsítě. Každý z portů konkrétní barvy patří do samostatné sítě. Pokud modré porty budou fungovat v síti 192.168.1.0 a oranžové porty budou fungovat v síti 192.168.1.0, i když mají stejnou IP adresu, nebudou spojeny, protože logicky patří k různým switchům. A jak víme, různé fyzické switche si mezi sebou nekomunikují, pokud nejsou spojeny společnou linkou. Tímto způsobem vytváříme různé podsítě pro různé VLAN.
Chci zdůraznit, že koncept VLAN se vztahuje pouze na switche. Ten, kdo zná protokoly enkapsulace, jako jsou .1Q nebo ISL, ví, že ani routery, ani počítače nemají žádné VLAN. Když připojíte svůj počítač například k jednomu z modrých portů, nic na počítači neměníte, všechny změny se odehrávají pouze na druhé úrovni OSI, na úrovni switche. Když nastavíme porty pro práci s konkrétní sítí VLAN10 nebo VLAN20, switch vytváří databázi VLAN. "Zapíše" si do paměti, že porty 1, 3 a 5 patří do VLAN10, porty 14, 15 a 18 jsou součástí sítě VLAN20 a ostatní zapojené porty patří do sítě VLAN1. Proto, pokud nějaký traffic pochází z modrého portu 1, dostává se pouze na porty 3 a 5 ve stejné síti VLAN10. Switch "kouká" do své databáze a vidí, že pokud traffic pochází z jednoho z oranžových portů, měl by být směrován pouze na oranžové porty sítě VLAN20.
Počítač však o těchto VLAN sítích nic neví. Když spojíme 2 switche, mezi zelenými porty vzniká trunk. Termín „trunk“ je relevantní pouze pro zařízení společnosti Cisco, ostatní výrobci síťových zařízení, jako je Juniper, používají termín Tag port, neboli „označený port“. Domnívám se, že název Tag port je vhodnější. Když z této sítě vychází provoz, trunk ho předává na všechny porty následujícího switche, tedy spojujeme dva 48-portové switche a získáváme jeden 96-portový switch. Přičemž, když posíláme provoz z VLAN10, stává se označeným, tedy je opatřen štítkem, který ukazuje, že je určen pouze pro porty sítě VLAN10. Druhý switch, přijatý tento provoz, štítek přečte a pochopí, že jde o provoz právě pro síť VLAN10 a měl by být směrován pouze na modré porty. Stejně tak je „oranžový“ provoz pro VLAN20 opatřen štítkem, který naznačuje, že je určen pro porty VLAN20 druhého switche.
Také jsme se zmínili o enkapsulaci a zde existují dva metody enkapsulace. První je .1Q, což znamená, že když organizujeme trunk, musíme zajistit enkapsulaci. Protokol enkapsulace .1Q je otevřený standard popisující proceduru označování provozu. Existuje také jiný protokol s názvem ISL, Inter-Switch link, vyvinutý společností Cisco, který ukazuje na příslušnost provozu k určité VLAN. Všechny moderní switche pracují s protokolem .1Q, proto, když dodáte nový switch z krabice, nemusíte používat žádné příkazy pro enkapsulaci, protože defaultně je prováděna protokolem .1Q. Takže po vytvoření trunku probíhá enkapsulace provozu automaticky, což umožňuje čtení štítků.
Nyní přistupme k nastavování sítě VLAN. Vytvoříme síť, ve které budou 2 switche a dvě koncová zařízení – počítače PC1 a PC2, které spojíme kabely se switchem #0. Začneme s základními nastaveními switche Basic Configuration.
Pro to klikneme na switč a dostaneme se do rozhraní příkazového řádku, kde nastavíme název hostitele a pojmenujeme tento switč sw1. Nyní přejdeme k nastavení prvního počítače a přiřadíme mu statickou IP adresu 192.168.1.1 a masku podsítě 255.255.255.0. Adresa výchozí brány není potřeba, protože všechna naše zařízení jsou ve stejné síti. Poté provedeme totéž pro druhý počítač a přiřadíme mu IP adresu 192.168.1.2.
Nyní se vrátíme k prvnímu počítači, abychom pingovali druhý počítač. Jak vidíme, pingování proběhlo úspěšně, protože oba počítače jsou připojeny k jednomu switči a jsou součástí stejné sítě ve výchozím VLAN1. Pokud se nyní podíváme na rozhraní switche, uvidíme, že všechny porty FastEthernet od 1 do 24 a dva porty GigabitEthernet jsou nastaveny na VLAN #1. Taková nadměrná dostupnost však není potřeba, proto vstoupíme do nastavení switche a zadáme příkaz show vlan, abychom se podívali na databázi virtuálních sítí.
Vidíte zde název sítě VLAN1 a to, že všechny porty switche patří do této sítě. To znamená, že se můžete připojit k libovolnému portu a všechny budou schopny „komunikovat“ mezi sebou, protože jsou součástí jedné sítě.
Změníme tuto situaci, a to tak, že nejprve vytvoříme dvě virtuální sítě, tedy přidáme VLAN10. K vytvoření virtuální sítě se používá příkaz typu „vlan číslo sítě“.
Jak vidíte, při pokusu o vytvoření sítě systém vydal zprávu se seznamem příkazů konfigurace VLAN, které je třeba použít pro tuto akci:
exit – aplikovat změny a opustit nastavení;
name – zadat uživatelský název VLAN;
no – zrušit příkaz nebo nastavit jej na výchozí hodnotu.
To znamená, že před tím, než zadáte příkaz pro vytvoření VLAN, je potřeba zadat příkaz name, který přepne do režimu správy názvů, a poté přejít k vytvoření nové sítě. Systém přitom vydá nápovědu, že číslo sítě VLAN může být v rozmezí od 1 do 1005.
Teď tedy zadáváme příkaz pro vytvoření sítě VLAN číslo 20 – vlan 20 a pak přiřadíme uživatelské jméno, které ukazuje, co to je za síť. V našem případě použijeme příkaz name Employees, nebo síť pro zaměstnance společnosti.
Nyní musíme přiřadit konkrétní port této VLAN. Vstupujeme do režimu nastavení přepínače int f0/1, poté ručně nastavíme port na režim Access pomocí příkazu switchport mode access a určíme, který port má být do tohoto režimu převeden – to je port pro síť VLAN10.
Vidíme, že po této změně barva spojení PC0 a přepínače, barva portu, změnila z zelené na oranžovou. Opět se stane zelenou, jakmile se změny nastavení projeví. Pokusíme se provést ping na druhý počítač. Neprováděli jsme žádné změny v nastavení sítě pro počítače, stále mají IP adresy 192.168.1.1 a 192.168.1.2. Ale když se pokusíme z počítače PC0 pingnout počítač PC1, nic se nám nepodaří, protože nyní tyto počítače patří do různých sítí: první do VLAN10, druhý do nativní VLAN1.
Vrátíme se k rozhraní přepínače a nastavíme druhý port. K tomu zadám příkaz int f0/2 a zopakuji pro síť VLAN 20 ty samé kroky, které jsem učinil při nastavování předchozí virtuální sítě.
Vidíme, že nyní dolní port přepínače, ke kterému je připojen druhý počítač, také změnil svou barvu z zelené na oranžovou – bude trvat několik sekund, než se změny v nastavení projeví a opět se stane zeleným. Pokud znovu spustíme pingování druhého počítače, nic se nám nepodaří, protože počítače stále patří do různých sítí, pouze PC1 nyní patří nikoli do VLAN1, ale do VLAN20.
Tímto jste rozdělili jeden fyzický přepínač na dva různé logické přepínače. Vidíte, že nyní barva portu změnila z oranžové na zelenou, port funguje, ale stále se nepinge, protože patří do jiné sítě.
Učiníme změny v našem schématu – odpojíme počítač PC1 od prvního přepínače a připojíme ho k druhému přepínači, a přepínače propojíme kabelem.
Aby ustanowić między nimi połączenie, wejdę w ustawienia drugiego przełącznika i stworzę VLAN10, nadając jej nazwę 'Zarządzanie', czyli sieć zarządzania. Następnie włączę tryb Access i wskażę, że ten tryb jest przeznaczony dla sieci VLAN10. Teraz kolor portów, przez które połączone są przełączniki, zmienił się z pomarańczowego na zielony, ponieważ oba są skonfigurowane na VLAN10. Teraz musimy stworzyć trunk między obiema przełącznikami. Oba te porty to Fa0/2, dlatego należy utworzyć trunk dla portu Fa0/2 pierwszego przełącznika, używając polecenia 'switchport mode trunk'. To samo należy wykonać dla drugiego przełącznika, po czym między tymi dwoma portami powstanie trunk.
Teraz, jeśli zechcę pingować z pierwszego komputera komputer PC1, wszystko zadziała, ponieważ połączenie między PC0 a przełącznikiem #0 to sieć VLAN10, pomiędzy przełącznikiem #1 a PC1 też jest VLAN10, a oba przełączniki są połączone trunkiem.
Tak więc, jeśli urządzenia znajdują się w różnych sieciach VLAN, nie są ze sobą połączone, natomiast jeśli są w tej samej sieci, możliwa jest swobodna wymiana ruchu między nimi. Spróbujmy dodać do każdego przełącznika jeszcze jedno urządzenie.
W ustawieniach sieci dodanego komputera PC2 ustawię adres IP 192.168.2.1, a w ustawieniach PC3 – adres 192.168.2.2. Przy tym porty, do których podłączone są te dwa PC, otrzymają oznaczenie Fa0/3. W ustawieniach przełącznika #0 ustawimy tryb Access i wskażemy, że dany port jest przeznaczony dla VLAN20, to samo zrobimy dla przełącznika #1.
Jeśli użyję polecenia 'switchport access vlan 20', a sieć VLAN20 jeszcze nie została utworzona, system wyświetli błąd typu 'Access VLAN does not exist', ponieważ przełączniki są skonfigurowane tylko do pracy z VLAN10.
Stwórzmy VLAN20. Użyję polecenia 'show vlan', aby zobaczyć bazę danych wirtualnych sieci.
Widzicie, że domyślną siecią jest VLAN1, do której podłączone są porty od Fa0/4 do Fa0/24 oraz Gig0/1, Gig0/2. Wirtualna sieć pod numerem 10 o nazwie Zarządzanie jest podłączona do portu Fa0/1, a sieć VLAN pod numerem 20 o domyślnej nazwie VLAN0020 jest podłączona do portu Fa0/3.
V podstatě není důležité, jak se síť jmenuje, hlavně aby se neopakovala pro různé sítě. Pokud chci změnit jméno sítě, které systém automaticky přiřazuje, používám příkaz vlan 20 a name Employees. Mohu toto jméno změnit na jiné, například na IPphones, a pokud pingneme IP adresu 192.168.2.2, uvidíme, že jméno VLAN skutečně nemá žádný význam.
Poslední věc, kterou chci zmínit, je přiřazení Management IP, o kterém jsme hovořili na poslední lekci. K tomu používáme příkaz int vlan1 a zadáme IP adresu 10.1.1.1 a masku podsítě 255.255.255.0, poté přidáme příkaz no shutdown. Přiřadili jsme Management IP ne pro celý switch, ale pouze pro porty VLAN1, tedy jsme přiřadili IP adresu, ze které se spravuje síť VLAN1. Pokud chceme spravovat VLAN2, musíme vytvořit odpovídající rozhraní pro VLAN2. V našem případě máme modré porty VLAN10 a oranžové porty VLAN20, kterým odpovídají adresy 192.168.1.0 a 192.168.2.0.
VLAN10 musí mít adresy, které jsou v tomto rozsahu, aby se k ní mohly připojit odpovídající zařízení. Podobné nastavení musí být provedeno i pro VLAN20.
V tomto okně příkazového řádku switche jsou zobrazeny nastavení rozhraní pro VLAN1, tedy native VLAN.
Pro nastavení Management IP pro VLAN10 musíme vytvořit rozhraní int vlan 10 a poté přidat IP adresu 192.168.1.10 a masku podsítě 255.255.255.0.
Pro nastavení VLAN20, musíme vytvořit rozhraní int vlan 20 a poté přidat IP adresu 192.168.2.10 a masku podsítě 255.255.255.0.
Proč je to potřeba? Pokud počítač PC0 a horní levý port switche #0 patří do sítě 192.168.1.0, PC2 patří do sítě 192.168.2.0 a je připojen k portu native VLAN1, který patří do sítě 10.1.1.1, pak PC0 nemůže navázat spojení s tímto switchem přes protokol SSH, protože patří do různých sítí. Proto, aby PC0 mohl komunikovat se switchem přes protokol SSH nebo Telnet, musíme mu poskytnout přístup Access. To je důvod, proč potřebujeme správu sítě.
Musíme mít možnost propojit PC0 pomocí SSH nebo Telnet s IP adresou rozhraní VLAN20 a provést jakékoliv potřebné změny přes SSH. Tímto způsobem je Management IP nezbytné právě pro nastavení VLAN, protože každá virtuální síť musí mít svou vlastní správu přístupu.
V dnešním videu jsme probrali mnoho otázek: základní nastavení switche, vytváření VLAN sítí, přiřazení VLAN portů, přiřazení Management IP pro VLAN sítě a nastavení trunků. Nezlobte se, pokud jste něco nepochopili, je to přirozené, protože VLAN je velmi složité a rozsáhlé téma, ke kterému se vrátíme v příštích lekcích. Garantují vám, že s mojí pomocí se stanete "mistry" VLAN, ale smyslem této lekce bylo objasnit vám 3 otázky: co jsou VLAN sítě, proč je potřebujeme a jak je nastavit.
Děkujeme, že s námi zůstáváte. Líbí se vám naše články? Chcete vidět více zajímavých materiálů? Podpořte nás objednávkou nebo doporučením známým, 30 % sleva pro uživatele Habra na jedinečný analog entry-level serverů, který jsme pro vás vymysleli: (k dispozici varianty s RAID1 a RAID10, až 24 jader a až 40GB DDR4).
Dell R730xd za polovinu ceny? Jen u nás v Nizozemsku! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — od 99 $! Čtěte o tom
Zdroj: habr.com
