Før vi dykker ned i grundlæggende VLAN, vil jeg bede jer alle om at sætte denne video på pause, klikke på ikonet i nederste venstre hjørne, hvor der står Networking consultant, gå ind på vores Facebook-side og likke den. Så kan I vende tilbage til videoen og klikke på ikonet King i nederste højre hjørne for at abonnere på vores officielle YouTube-kanal. Vi tilføjer løbende nye serier, og lige nu drejer det sig om CCNA-kurset, hvorefter vi har planer om at starte en serie af videolektioner om CCNA Security, Network+, PMP, ITIL, Prince2 og offentliggøre disse fantastiske serier på vores kanal.
I dag vil vi tale om grundlæggende VLAN og besvare tre spørgsmål: hvad er VLAN, hvorfor har vi brug for VLAN, og hvordan konfigurerer man det. Jeg håber, at efter at have set dette videokursus, vil I kunne svare på alle tre spørgsmål.
Hvad er VLAN? VLAN er en forkortelse for "virtuel lokalnetværk". I løbet af vores lektion vil vi se på, hvorfor dette netværk er virtuelt, men inden vi går videre til VLAN, skal vi forstå, hvordan en switch fungerer. Vi vil endnu engang repetere nogle af de spørgsmål, vi har diskuteret i tidligere lektioner.
Først vil vi diskutere, hvad Multiple Collision Domain er, eller kollisionsdomenet. Vi ved, at denne switch med 48 porte har 48 kollisionsdomener. Det betyder, at hver af disse porte eller enheder, der er tilsluttet disse porte, kan interagere med en anden enhed på en anden port uafhængigt, uden at de påvirker hinanden.
Alle 48 porte på denne switch er en del af et enkelt broadcastdomæne. Det betyder, at hvis flere enheder er tilsluttet forskellige porte, og en af dem foretager en broadcast, så vil den være synlig på alle de porte, som de andre enheder er tilsluttet. Det er sådan, switchen fungerer.
Det er ligesom hvis folk sad i et rum tæt på hinanden, og når én af dem taler højt, så hører alle andre det. Men det er slet ikke effektivt – jo flere mennesker der kommer ind i rummet, jo mere støjende vil det blive, og de tilstedeværende vil stoppe med at kunne høre hinanden. En lignende situation opstår med computere - jo flere enheder der tilsluttes et netværk, desto højere bliver "volumen" af broadcast, hvilket forhindrer effektiv kommunikation.
Vi ved, at hvis en af disse enheder er tilsluttet netværket 192.168.1.0/24, så er alle de andre enheder en del af det samme netværk. Switchen skal også være tilsluttet et netværk med samme IP-adresse. Men her kan switchen, som en enhed på OSI-lag 2, få problemer. Hvis to enheder er tilsluttet det samme netværk, kan de nemt kommunikere med hinandens computere. Antag, at der er en 'slem fyr', en hacker, som jeg nævnte tidligere, ansat i vores virksomhed. Under ham er min computer. Det er derfor meget nemt for denne hacker at få adgang til min computer, da vores computere er en del af det samme netværk. Det er problemet.
Hvis jeg tilhører ledelsen, og denne nye fyr kan få adgang til filerne på min computer, ville det ikke være godt. Selvfølgelig har jeg en firewall på min computer, der beskytter mod mange trusler, men det ville være let for hackeren at omgå den.
Den anden fare, der eksisterer for alle, der er medlemmer af dette broadcast-domæne, er, at hvis nogen oplever problemer med broadcasting, vil denne forstyrrelse påvirke de andre enheder i netværket. Selvom alle 48 porte kan være tilsluttet forskellige værter, vil et problem med én vært påvirke de øvrige 47, hvilket vi bestemt ikke ønsker.
For at løse dette problem bruger vi konceptet VLAN eller virtuel lokalnetværk. Det fungerer meget enkelt ved at opdele denne store 48-porte switch i flere mindre switches.
Vi ved, at subnet kan opdele et stort netværk i flere små netværk, og VLAN fungerer på samme måde. Det opdeler en 48-porte switch for eksempel i 4 switches med 12 porte, hvor hver enkelt er en del af et nyt tilsluttet netværk. På denne måde kan vi bruge 12 porte til administration, 12 porte til IP-telefoni og så videre, hvilket betyder, at vi deler switchen ikke fysisk, men logisk, virtuelt.
Jeg har markeret tre porte på den øverste switch, der er angivet med blå farve, til det "blå" netværk VLAN10, og de tre orange porte til VLAN20. Dermed vil al trafik fra en af disse blå porte kun gå til andre blå porte, uden at påvirke de øvrige porte på denne switch. Ligeledes vil trafikken fra de orange porte blive distribueret, hvilket betyder, at vi næsten bruger to forskellige fysiske switches. VLAN er således en metode til at opdele switchen i flere switches til forskellige netværk.
Jeg har tegnet to switches ovenfor, her har vi en situation, hvor de blå porte på venstre switch kun bruges til ét netværk, mens kun de orange porte på højre switch bruges til et andet netværk, og disse switches er ikke forbundet med hinanden.
Lad os sige, at du ønsker at bruge flere porte. Forestil dig, at vi har 2 bygninger, hver med sit eget ledelsesteam, og to orange porte på den nederste switch bruges til styring. Derfor skal vi sørge for, at disse porte er forbundet med alle orange porte fra andre switches. Det samme gælder for de blå porte – alle blå porte på den øverste switch skal have forbindelse til de øvrige porte af samme farve. For dette skal vi fysisk forbinde disse to switches i forskellige bygninger med en separat ledning, som på tegningen er linjen mellem de to porte i grøn farve. Som vi ved, dannes der en trunk, eller trunk-link, når to switches er fysisk forbundet.
Hvad er forskellen mellem en almindelig switch og en VLAN switch? Forskellen er ikke så stor. Når du køber en ny switch, er alle porte som standard indstillet til VLAN-tilstand og tilhører ét netværk, der betegnes VLAN1. Derfor, når vi tilslutter en enhed til en af portene, er den også forbundet med alle de andre porte, fordi alle 48 porte tilhører det samme virtuelle netværk VLAN1. Men hvis vi indstiller de blå porte til at arbejde i VLAN10-netværket, de orange i VLAN20, og de grønne i VLAN1, får vi tre forskellige switches. På den måde gør brugen af virtual network-tilstand det muligt at gruppere porte logisk under specifikke netværk, adskille broadcast-trafik i segmenter og skabe subnetværk. Hver port af en bestemt farve tilhører et separat netværk. Hvis de blå porte arbejder i netværket 192.168.1.0, og de orange porte også arbejder i netværket 192.168.1.0, så vil de ikke være forbundet, selvom de har den samme IP-adresse, fordi de logisk vil tilhøre forskellige switches. Som vi ved, kommunikerer forskellige fysiske switches ikke med hinanden, medmindre de er forbundet med en fælles forbindelseslinje. På den måde skaber vi forskellige subnetværk for forskellige VLANs.
Jeg vil gerne gøre opmærksom på, at VLAN-konceptet kun gælder for switches. Dem, der kender til indkapslingsprotokoller som .1Q eller ISL, ved, at hverken routere eller computere har VLAN. Når du f.eks. tilslutter din computer til en af de blå porte, ændrer du ikke noget i computeren; alle ændringer sker kun på det andet lag af OSI, switch-laget. Når vi indstiller porte til at arbejde med et specifikt VLAN10 eller VLAN20, opretter switchen en VLAN-database. Den "skriver" i sin hukommelse, at porte 1, 3 og 5 tilhører VLAN10, porte 14, 15 og 18 er en del af VLAN20, og de øvrige brugte porte er dele af VLAN1-netværket. Så hvis noget trafik kommer fra den blå port 1, går det kun til porte 3 og 5 i det samme VLAN10-netværk. Switchen "ser" i sin database og ser, at hvis trafikken kommer fra en af de orange porte, skal den kun sendes til de orange porte i VLAN20-netværket.
Men computeren ved ikke noget om disse VLAN-netværk. Når vi forbinder 2 switches, dannes der en trunk mellem de grønne porte. Termen "trunk" er kun relevant for Cisco-enheder, mens andre netværksproducenter som Juniper bruger termen Tag port eller "tagget port". Jeg mener, at betegnelsen Tag port er mere passende. Når trafik forlader dette netværk, sender trunk det til alle porte på den næste switch, hvilket betyder, at vi forbinder to switches med 48 porte og får en switch med 96 porte. Når vi sender trafik fra VLAN10, bliver den tagget, hvilket betyder, at den får en etiket, der viser, at den kun er beregnet til portene i VLAN10-netværket. Den anden switch, der modtager denne trafik, læser tagget og forstår, at det er trafik til netværket VLAN10 og kun skal tilgå de blå porte. På samme måde er den "orange" trafik for VLAN20 tagget med en etiket, der angiver, at den er beregnet til portene i VLAN20 på den anden switch.
Vi nævnte også inkapsling, og der er to metoder til inkapsling. Den første er .1Q, hvilket betyder, at når vi organiserer en trunk, skal vi sikre inkapsling. Inkapslingsprotokollen .1Q er en åben standard, der beskriver proceduren for tagging af trafik. Der er også en anden protokol kaldet ISL, Inter-Switch Link, udviklet af Cisco, som angiver, at trafikken tilhører en bestemt VLAN. Alle moderne switches arbejder med .1Q-protokollen, så når du får en ny switch ud af boksen, behøver du ikke bruge nogen inkapslingskommandoer, fordi det automatiseres af .1Q-protokollen som standard. Dermed sker trafikinkapslingen automatisk efter oprettelsen af trunk, hvilket muliggør læsning af tags.
Lad os nu begynde at konfigurere VLAN-netværket. Vi opretter et netværk med 2 switches og to endepunkter – computerne PC1 og PC2, som vi forbinder med kabler til switch #0. Lad os starte med de grundlæggende indstillinger for switchen Basic Configuration.
For this, we will click on the switch and enter the command line interface, then set the hostname, calling this switch sw1. Now we will move on to the settings of the first computer and assign a static IP address of 192.168.1.1 and a subnet mask of 255.255.255.0. The default gateway is not needed because all our devices are in the same network. Next, we will do the same for the second computer, assigning it an IP address of 192.168.1.2.
Now we return to the first computer to ping the second computer. As we can see, the ping was successful because both of these computers are connected to the same switch and are part of the same default network VLAN1. If we look at the switch interfaces now, we will see that all FastEthernet ports from 1 to 24 and two GigabitEthernet ports are configured to VLAN #1. However, such excessive availability is unnecessary, so we enter the switch settings and type the command show vlan to look at the virtual network database.
Here you can see the name of the VLAN1 network and that all the switch ports belong to this network. This means you can connect to any port, and they will all be able to 'communicate' with each other because they are part of the same network.
We will change this situation; for this, we will first create two virtual networks, that is, we will add VLAN10. To create a virtual network, we use a command in the form of 'vlan network number'.
As you can see, when trying to create a network, the system issued a message listing the VLAN configuration commands that need to be used for this action:
exit – apply changes and exit the settings;
name – enter a custom VLAN name;
no – cancel the command or reset it to default.
This means that before entering the command to create a VLAN, you need to enter the name command, which activates the naming management mode, and then proceed to create a new network. At this point, the system prompts that the VLAN number can be assigned within the range from 1 to 1005.
So now we enter the command to create the VLAN numbered 20 – vlan 20, and then assign it a user name that indicates what type of network this is. In our case, we use the command name Employees, or the network for company employees.
Vi skal nu tildele en specifik port til denne VLAN. Vi går ind i switchens konfigurationstilstand med kommandoen int f0/1, derefter sætter vi manuelt porten i Access-tilstand med kommandoen switchport mode access og angiver, hvilken port der skal overføres til denne tilstand – dette er porten for netværket VLAN10.
Vi kan se, at efter dette ændrede farven på forbindelsespunktet mellem PC0 og switchen, farven på porten, sig fra grøn til orange. Den vil igen blive grøn, så snart ændringerne træder i kraft. Vi vil forsøge at pinge den anden computer. Vi har ikke foretaget nogen ændringer i netværksindstillingerne for computere; de har stadig IP-adresserne 192.168.1.1 og 192.168.1.2. Men hvis vi forsøger at pinge computer PC1 fra PC0, vil det ikke lykkes, fordi disse computere nu tilhører forskellige netværk: den første til VLAN10, den anden til native VLAN1.
Lad os vende tilbage til switchens interface og konfigurere den anden port. For at gøre dette vil jeg indtaste kommandoen int f0/2 og gentage de samme trin for netværket VLAN 20 som ved konfigurationen af det tidligere virtuelle netværk.
Vi kan se, at den nederste port på switchen, som den anden computer er tilsluttet, også har ændret sin farve fra grøn til orange – det skal gå nogle sekunder, før ændringerne træder i kraft, og den bliver grøn igen. Hvis vi forsøger at ping den anden computer igen, vil det stadig ikke lykkes, fordi computerne stadig tilhører forskellige netværk, kun PC1 er nu en del af VLAN20, ikke VLAN1.
Således har du opdelt en fysisk switch i to forskellige logiske switches. Du kan se, at farven på porten nu har ændret sig fra orange til grøn, porten er blevet aktiv, men kan stadig ikke pinges, fordi den tilhører et andet netværk.
Lad os ændre vores opsætning – vi frakobler computer PC1 fra den første switch og tilslutter den til den anden switch, mens vi forbinder switchene med et kabel.
For at oprette forbindelse mellem dem, går jeg ind i indstillingerne for den anden switch og opretter VLAN10, som jeg kalder Management, altså administrationsnetværket. Derefter aktiverer jeg Access-tilstanden og angiver, at denne tilstand er beregnet til VLAN10-netværket. Nu er farven på de porte, som switches er forbundet igennem, ændret fra orange til grøn, fordi de begge er indstillet til VLAN10. Nu skal vi oprette en trunk mellem de to switches. Begge disse porte er Fa0/2, så vi skal oprette en trunk for Fa0/2-porten på den første switch ved at bruge kommandoen switchport mode trunk. Det samme skal gøres for den anden switch, hvorefter der opstår en trunk mellem disse to porte.
Nu, hvis jeg ønsker at pinge fra den første computer til PC1, vil det lykkes, fordi forbindelsen mellem PC0 og switch #0 er VLAN10-netværket, mellem switch #1 og PC1 også VLAN10, og begge switches er forbundet med en trunk.
Så hvis enhederne er placeret i forskellige VLAN-netværk, er de ikke forbundet med hinanden, men hvis de er i det samme netværk, kan der ske fri trafikudveksling imellem dem. Lad os prøve at tilføje en enhed til hver switch.
I netværksindstillingerne for den tilføjede computer PC2 vil jeg sætte IP-adressen til 192.168.2.1, og i indstillingerne for PC3 vil adressen være 192.168.2.2. Samtidig vil de porte, som disse to PC'er er tilsluttet, få betegnelsen Fa0/3. I indstillingerne for switch #0 vil vi sætte Access-tilstanden og angive, at denne port er beregnet til VLAN20, og det samme vil vi gøre for switch #1.
Hvis jeg bruger kommandoen switchport access vlan 20, og VLAN20-netværket endnu ikke er oprettet, vil systemet give en fejlmeddelelse af typen "Access VLAN does not exist", fordi switches kun er indstillet til at arbejde med VLAN10.
Lad os oprette VLAN20. Jeg bruger kommandoen "show vlan" for at se databasen over virtuelle netværk.
Du kan se, at standardnetværket er VLAN1, til hvilken porte fra Fa0/4 til Fa0/24 samt Gig0/1 og Gig0/2 er tilsluttet. Det virtuelle netværk nummer 10 med navnet Management er tilsluttet port Fa0/1, og VLAN-netværket nummer 20 med det standardnavn VLAN0020 er tilsluttet port Fa0/3.
I princippet har netværksnavnet ikke betydning, så længe det ikke gentages for forskellige netværk. Hvis jeg ønsker at ændre det netværksnavn, som systemet tildeler som standard, bruger jeg kommandoen vlan 20 og name Employees. Jeg kan ændre dette navn til et andet, for eksempel IPphones, og hvis vi ping’er IP-adressen 192.168.2.2, vil vi se, at VLAN-navnet ikke betyder noget.
Det sidste, jeg vil nævne, er tildelingen af Management IP, som vi talte om i den seneste lektion. Til dette bruger vi kommandoen int vlan1 og indtaster IP-adressen 10.1.1.1 og subnetmasken 255.255.255.0, hvorefter vi tilføjer kommandoen no shutdown. Vi har tildelt Management IP ikke til hele switchen, men kun til VLAN1-portene, hvilket betyder, at vi har tildelt en IP-adresse, hvorfra netværket VLAN1 styres. Hvis vi ønsker at styre VLAN2, skal vi oprette et tilsvarende interface for VLAN2. I vores tilfælde er der blå porte VLAN10 og orange porte VLAN20, som har adresserne 192.168.1.0 og 192.168.2.0.
VLAN10 skal have adresser, der ligger i det samme interval, så de relevante enheder kan tilsluttes. En tilsvarende konfiguration skal også foretages for VLAN20.
I dette kommandovindue for switchen vises indstillingerne for interfacet til VLAN1, altså native VLAN.
For at konfigurere Management IP for VLAN10 skal vi oprette interfacet int vlan 10 og derefter tilføje IP-adressen 192.168.1.10 og subnetmasken 255.255.255.0.
For at konfigurere VLAN20 skal vi oprette interfacet int vlan 20 og derefter tilføje IP-adressen 192.168.2.10 og subnetmasken 255.255.255.0.
Hvorfor er dette nødvendigt? Hvis computeren PC0 og den øverste venstre port på switch #0 tilhører netværket 192.168.1.0, og PC2 tilhører netværket 192.168.2.0 og er tilsluttet native VLAN1-porten, som tilhører netværket 10.1.1.1, kan PC0 ikke kommunikere med denne switch via SSH-protokollen, fordi de tilhører forskellige netværk. Derfor, for at PC0 kan kommunikere med switchen via SSH eller Telnet, skal vi give den Access-adgang. Det er derfor, vi har brug for netværksstyring.
Vi skal være i stand til at forbinde PC0 via SSH eller Telnet med IP-adressen for interface VLAN20 og foretage de nødvendige ændringer gennem SSH. På denne måde er Management IP nødvendigt for konfigurationen af VLAN, fordi hver virtuel netværk skal have sin egen adgangsstyring.
I dagens video diskuterede vi mange emner: grundlæggende indstillinger af switchen, oprettelse af VLAN-netværk, tildeling af VLAN-porte, tildeling af Management IP til VLAN-netværk og konfiguration af trunk-link. Lad dig ikke forvirre, hvis du ikke forstod noget, det er helt naturligt, fordi VLAN er et meget komplekst og omfattende emne, som vi vil vende tilbage til i de kommende lektioner. Jeg garanterer, at med min hjælp vil du kunne blive "mestere" i VLAN, men formålet med denne lektion var at afklare tre spørgsmål: hvad er VLAN-netværk, hvorfor har vi brug for dem, og hvordan konfigurerer vi dem.
Tak fordi du er med os. Kan du lide vores artikler? Vil du se flere interessante materialer? Støt os ved at lave en bestilling eller anbefale os til dine bekendte. 30% rabat til brugere af Habr på en unik entry-level server, som vi har opfundet til dig: (tilgængelige muligheder med RAID1 og RAID10, op til 24 kerner og op til 40 GB DDR4).
Dell R730xd er 2 gange billigere? Kun hos os i Holland! Dell R420 - 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - fra 99 $! Læs om hvordan
Kilde: habr.com
