Enne kui alustame VLANi põhikontseptsioonidega, palun pauseerige see video, klõpsake vasakus alaoja nurgas ikoonil, kus on kirjas Networking consultant, külastage meie Facebooki lehte ja pani seal meeldimise. Siis naaske video juurde ja klõpsake paremas alanurgas kuninga ikoonil, et tellida meie ametlik YouTube'i kanal. Me lisame pidevalt uusi seeriaid, praegu keskendume CCNA kursusele, seejärel plaanime alustada CCNA Security, Network+, PMP, ITIL, Prince2 videoõpikute seeriatega ja jagada neid uskumatuid seeriaid meie kanalil.
Nii et täna räägime VLANi põhialustest ja vastame kolmele küsimusele: mis on VLAN, miks on VLAN vajalik ja kuidas seda seadistada. Loodan, et pärast seda videoõpetuse vaatamist suudate vastata kõigile kolmele küsimusele.
Mis on VLAN? VLAN on lühend terminist "virtuaalne lokaalvõrk". Käesoleva tunni edenedes uurime, miks see võrk on virtuaalne, kuid enne VLANile üleminekut peame mõistma, kuidas lüliti töötab. Kordame veel mõned küsimused, mida oleme arutanud eelnevatel tundidel.
Alustame Multiple Collision Domain'ist, ehk kolisjonide domeenist. Teame, et see 48-portine lüliti omab 48 kolisjonide domeeni. See tähendab, et igaüks neist portidest või nendega ühendatud seadmest saab omavahel sõltumatult suhelda, mõjutamata üksteist.
Kõik selle lüliti 48 porti kuuluvad ühte laiaulatuslikku domeeni (Broadcast Domain). See tähendab, et kui mitmed seadmed on ühendatud mitmesse porti ja üks neist edastab laiaulatuslikku signaali, siis see ilmneb kõigil portidel, kuhu on ühendatud ülejäänud seadmed. Just nii toimib lüliti.
See on nagu inimesed, kes istuvad ühes toas üksteisele lähedal ja kui keegi neist räägib valjult, kuulevad seda kõik teised. Kuid see on täiesti ebaefektiivne – mida rohkem inimesi toas on, seda valjemaks see muutub ja kohalolijad lakkavad üksteist kuulmast. Sarnane olukord tekib arvutite vahel – mida rohkem seadmeid on ühte võrku ühendatud, seda suuremaks muutub „valjus” laiale edastamisele, mis takistab tõhusat suhtlemist.
Me teame, et kui üks neist seadmetest on ühendatud võrku 192.168.1.0/24, siis kõik teised seadmed kuuluvad samuti sellesse võrku. Lüliti peab olema ühendatud võrku sama IP-aadressiga. Kuid lüliti, olles II taseme OSI seade, võib sellega seoses tekkida probleem. Kui kaks seadet on ühendatud ühe ja sama võrku, saavad nad omavahel hõlpsasti suhelda. Oletame, et meie ettevõttes töötab "halb poiss", häkker, kelle ma olen ülal kujutanud. Allpool tema all on minu arvuti. Niisiis on sellel häkkeril minu arvutisse sisenemine äärmiselt lihtne, kuna meie arvutid kuuluvad ühte võrku. See ongi probleem.
Kui ma kuulun administratiivjuhtimise alla ja see uus tüüp suudab pääseda minu arvuti failidele, pole see sugugi hea. Muidugi on minu arvutis tulemüür, mis kaitseb paljude ohtude eest, kuid häkkeril ei ole seda üldse keeruline ringi hiilida.
Teine oht, mis ähvardab kõiki, kes kuuluvad sellele laialdasele edastusdomeenile, seisneb selles, et kui kellegi edastuses tekib tõrge, mõjutab see segadus ka teisi võrguseadmeid. Kuigi kõik 48 porti võivad olla ühendatud erinevate hostidega, mõjutab ühe hosti rike ülejäänud 47, mis on küllaltki problemaatiline.
Selle probleemi lahendamiseks kasutame VLAN-i, ehk virtuaalset kohaliku võrgu süsteemi. See töötab väga lihtsalt, jagades selle üheainsa 48-pordise lüliti mitmeks väiksemaks lülitiks.
Teame, et alamvõrgud jagavad ühe suure võrgu mitmeks väiksemaks võrguks, ja VLAN toimib sarnaselt. See jagab 48-pordise lüliti näiteks 4 lülitiks, millest igaühel on 12 porti, ja igaühega on ühendatud uus alamvõrk. Sel viisil saame kasutada 12 porti halduseks, 12 porti IP-telefonideks ja nii edasi, ehk jagada lülitit mitte füüsiliselt, vaid loogiliselt, virtuaalselt.
Ma määrasin kolm sinist ülemise lüliti porti „sinise” VLAN10 võrgu jaoks ja kolm oranži porti VLAN20 jaoks. Seega, kogu liiklus ühel neist sinistest portidest jõuab ainult teistele sinistele portidele, mõjutamata teiste lüliti porte. Samamoodi levib liiklus oranžidelt portidelt, justkui kasutaksime kahte erinevat füüsilist lülitit. Seega, VLAN on viis lüliti jagamiseks mitmeks lülitiks erinevate võrkude jaoks.
Käesolevaga joonistasin kaks lülitit üksteise peale: vasakul lülitil on kaasatud vaid siniste portide ühendused ühe võrgu jaoks ja paremal lülitil vaid oranžid teise võrgu jaoks, ning need lülitid ei ole omavahel mingil moel seotud.
Oletame, et soovite kasutada rohkem porte. Kujutame ette, et meil on 2 hoonet, milles igas on oma haldustöötajad, ja kaks oranži all-switchi porti, mida kasutatakse haldamiseks. Seetõttu peame tagama, et need portid oleksid ühendatud kõigi teiste lülitite oranžide portidega. Sarnane olukord on ka siniste portidega – kõik sinised ülemise lüliti portid peavad olema seotud teiste sama värvi portidega. Selleks peame füüsiliselt ühendama need kaks lülitit erinevates hoonetes eraldi sideliiniga, millel on joonisel kahe rohelise värvi porti vaheline joon. Nagu me teame, kui kaks lülitit on füüsiliselt ühendatud, moodustame me trunki või pealiini.
Mis seisneb tavalise ja VLAN lüliti vahe? Suur vahe pole. Uue lüliti ostmisel on vaikimisi kõik pordid seadistatud VLAN režiimi ja kuuluvad ühte võrku, mida nimetatakse VLAN1-ks. Seetõttu, kui me ühendame seadme mõnele pordile, on see ühendatud kõigi teiste portidega, kuna kõik 48 porti kuuluvad ühte virtuaalsesse VLAN1 võrku. Kuid kui me seadistame sinised pordid tööle VLAN10 võrgus, oranžid – VLAN20 võrgus ja rohelised – VLAN1-s, saame kolm erinevat lülitit. Seega võimaldab virtuaalvõrgu režiimi kasutamine meil loogiliselt grupeerida porte konkreetsete võrkude alla, jagada laiekande edastamist osadeks ja luua alamvõrke. Sellega kuulub iga konkreetse värvi port eraldi võrku. Kui sinised pordid töötavad võrgus 192.168.1.0 ja oranžid pordid ka võrgus 192.168.1.0, siis vaatamata samale IP-aadressile, ei ole nad omavahel seotud, kuna nad kuuluvad loogiliselt erinevatesse lülititesse. Nagu me teame, ei suhtle erinevad füüsilised lülitid omavahel, kui nad pole ühitatud ühise ühendusjoonega. Seega loome erinevad alamvõrgud erinevate VLAN-ide jaoks.
Soovin pöörata tähelepanu, et VLAN-kontseptsioon kehtib ainult lülitite kohta. Kes on tuttav kapseldamisprotokollidega, nagu .1Q või ISL, teab, et lülititel ei ole VLAN-e. Kui ühendate oma arvuti näiteks ühe sinise pordiga, ei muuda te arvutis midagi, kõik muudatused toimuvad ainult OSI teisel tasemel, lüliti tasemel. Kui seadistame porte tööks konkreetse võrgu, näiteks VLAN10 või VLAN20, jaoks, loob lüliti VLAN-i andmebaasi. Ta „salvestab” oma mällu, et pordid 1, 3 ja 5 kuuluvad VLAN10, pordid 14, 15 ja 18 on osa VLAN20 võrgust, ning ülejäänud kasutatavad pordid kuuluvad VLAN1 võrku. Seetõttu, kui mõni liiklus tuleb siniselt pordilt 1, jõuab see ainult pordidele 3 ja 5 samas VLAN10 võrgus. Lüliti „vaatab” oma andmebaasi ja näeb, et kui liiklus tuleb mõnest oranžist pordist, peab see minema ainult oranžidesse VLAN20 võrgu portidesse.
Kuid arvuti ei tea midagi nende VLAN-võrkude kohta. Kui me ühendame kaks lülitit, moodustub roheliste portide vahel trunk. Termin "trunk" on asjakohane ainult Cisco seadmete puhul, muud võrgu seadmete tootjad, nagu Juniper, kasutavad terminit Tag port või "silditud port". Usun, et nimetuse Tag port kasutamine on sobivam. Kui sellest võrgust väljub liiklus, edastab trunk selle kõikidele järgmise lüliti portidele, see tähendab, et me ühendame kaks 48-portilist lülitit ja saame ühe 96-portilise lüliti. Samuti, kui edastame liiklust VLAN10-st, muutub see silditud, see tähendab, et sellele lisatakse märge, mis näitab, et see on mõeldud ainult VLAN10 võrgu portidele. Teine lüliti, saades selle liikluse, loeb märgist ja mõistab, et see on liiklus just VLAN10 võrgu jaoks ja peab minema ainult sinistele portidele. Samamoodi on "oranž" liiklus VLAN20 jaoks varustatud märgisega, mis näitab, et see on mõeldud lüliti VLAN20 portidele.
Me oleme maininud ka kapseldamist, ja siin on kaks kapseldamise meetodit. Esimene on .1Q, mis tähendab, et kui me organiseerime trunk'i, peame tagama kapseldamise. Protokoll .1Q kapseldamiseks on avatud standard, mis kirjeldab liikluse sildistamise protseduuri. On ka teine protokoll nimega ISL, Inter-Switch Link, mille on välja töötanud Cisco, mis näitab liikluse kuuluvust teatud VLAN-ile. Kõik kaasaegsed lülitid töötavad protokolliga .1Q, seega, kui toote uue lüliti karbist välja, ei pea te kasutama mingeid kapseldamise käske, kuna see toimub vaikimisi protokolli .1Q kaudu. Seega, pärast trunk'i loomist toimub liikluse kapseldamine automaatselt, võimaldades lugeda silte.
Nüüd liikume VLAN-võrgu seadistamise juurde. Loome võrgu, kus on 2 lülitit ja kaks lõppseadet – arvutid PC1 ja PC2, mille me ühendame kaablitega lülitiga #0. Alustame lüliti põhiseadistustest.
Klikkige sellel lülitil ja sisenege käsuree liidese, seejärel määrake hosti nimi, nimetades selle lüliti sw1. Jätkame esimese arvuti seadistamisega ja määrame staatilise IP-aadressi 192.168.1.1 ning alamside maski 255.255.255.0. Vaikimisi värava aadress ei ole vajalik, kuna kõik meie seadmed asuvad samas võrgus. Edasi teeme täpselt sama ka teise arvuti jaoks, määrates talle IP-aadressi 192.168.1.2.
Nüüd naeme tagasi esimese arvuti juurde, et teise arvuti pingen. Nagu näeme, ööpingimine õnnestus, kuna need kaks arvutit on ühendatud ühe ja sama lülitiga ja kuuluvad vaikimisi VLAN1 samasse võrku. Kui vaatame nüüd lüliti liideseid, näeme, et kõik FastEthernet pordid 1 kuni 24 ja kaks GigabitEthernet porti on seadistatud VLAN #1. Kuid selline ülemäärane kättesaadavus pole vajalik, seega siseneme lüliti seadistustesse ja sisestame käsu show vlan, et vaadata virtuaalsete võrkude andmebaasi.
Siin näete VLAN1 võrgunime ja seda, et kõik lüliti portid kuuluvad sellele võrgule. See tähendab, et saate ühendada ühegi pordiga ja kõik need saavad omavahel "suhelda", kuna nad on osa samast võrgust.
Muudame seda olukorda, alustuseks loome kaks virtuaalset võrku, st lisame VLAN10. Virtuaalvõrgu loomiseks kasutatakse käsku, mille vorm on "vlan võrgunumber".
Kuidas näete, kui proovite võrku luua, andis süsteem välja teate VLAN konfiguratsioonikäsudest, mida tuleb selle toimingu jaoks kasutada:
exit – rakendada muudatused ja väljuda seadistustest;
name – sisestada VLANi kasutajanimi;
no – tühistada käsk või seadistada see vaikeväärtuseks.
See tähendab, et enne VLANi loomise käsu sisestamist tuleb sisestada käsk name, mis aktiveerib nimehalduse režiimi, ja seejärel minna uue võrgu loomise juurde. Selle käigus annab süsteem vihje, et VLANi võrgunumbri võib määrata vahemikus 1 kuni 1005.
Nüüd kutsume esile VLAN võrgu numbriga 20 – vlan 20 ning määrame sellele kasutajanime, mis näitab, mis tüüpi võrk see on. Meie juhul kasutame käsku name Employees, ehk ettevõtte töötajate võrk.
Nüüd peame määrama sellele VLAN-ile konkreetse pordi. Siseneme lüliti seadistamise režiimi int f0/1, seejärel lülitame käsuga switchport mode access pordi manuaalselt Access režiimi ja määrame, milline port tuleb sinna viia – see on port VLAN10 jaoks.
Näeme, et pärast seda muutus PC0 ja lüliti vahelise ühenduse värv, port vahetus rohelisest oranžiks. See muutub taas roheliseks, kui seadistuste muudatused jõustuvad. Proovime teist arvutit pingida. Me ei ole tehtud muudatusi arvutite võrgu seadetes, neil on endiselt IP-aadressid 192.168.1.1 ja 192.168.1.2. Kuid kui proovime PC0-st PC1 pingida, siis ei õnnestu see, sest nüüd kuuluvad need arvutid erinevatesse võrkudesse: esimene VLAN10-sse, teine – native VLAN1-sse.
Naasume lüliti liidese juurde ja seadistame teise pordi. Selleks sisestan käsu int f0/2 ja kordame VLAN 20 võrgu seadistamise samme, nagu teeme eelmise virtuaalvõrgu seadistamise ajal.
Nüüd näeme, et lüliti alumine port, kuhu on ühendatud teine arvuti, on samuti muutnud oma värvi rohelisest oranžiks – peab mööduma mõni sekund, enne kui seadistuste muudatused jõustuvad ja see jälle roheliseks muutub. Kui käivitame teise arvuti pingimise uuesti, ei õnnestu see, kuna arvutid kuuluvad endiselt erinevatesse võrkudesse, ainult et PC1 on nüüd osa mitte VLAN1-st, vaid VLAN20-st.
Seega olete jaganud ühe füüsilise lüliti kaheks erinevaks loogiliseks lülitiks. Näete, et ports on nüüd oranžist muutunud roheliseks, port töötab, kuid seda ei saa ikka pingida, kuna see kuulub teise võrku.
Teeme muudatusi meie skeemis – eemaldame arvuti PC1 esimesest lülitist ja ühendame selle teise lülitiga, samal ajal ühendame need lülitid kaabliga.
Kuna ma selle vahel ühenduse loomine, siis sisenen teise lüliti seadistustesse ja loon VLAN10, nimetades selle Management, see tähendab haldusse võrku. Seejärel lülitan sisse Access režiimi ja märgin, et see režiim on mõeldud VLAN10 võrgule. Nüüd on ports, mille kaudu lülitid on ühendatud, värv muutunud oranžist roheliseks, kuna mõlemad on seadistatud VLAN10. Nüüd peame looma trunki nende kahe lüliti vahel. Need kaks porti on Fa0/2, seega tuleb trunk luua esimese lüliti porti Fa0/2, kasutades käsku switchport mode trunk. Sama tuleb teha ka teise lüliti puhul, pärast mida tekib nende kahe pordi vahele trunk.
Nüüd, kui ma tahan esimese arvutiga arvutit PC1 pingida, kõik õnnestub, kuna ühendus PC0 ja lüliti #0 vahel on VLAN10 võrk, samas kui lüliti #1 ja PC1 vahel samuti VLAN10, ning mõlemad lülitid on ühendatud trunkiga.
Seega, kui seadmed asuvad erinevates VLAN-võrkudes, siis nad ei ole omavahel ühendatud, aga kui nad on ühes võrgus, siis saavad nad vabalt vahetada liiklust. Proovime lisada igasse lülitisse veel ühe seadme.
Komplekti PC2 võrgu seadetes määran IP-aadressiks 192.168.2.1 ja PC3 seadetes 192.168.2.2. Samuti saavad portid, kuhu need kaks arvutit on ühendatud, nimetuse Fa0/3. Lüliti #0 seadetes määrame režiimi Access ja märkime, et see port on mõeldud VLAN20 jaoks, ning teeme sama ka lülitiga #1.
Kui kasutan käsku switchport access vlan 20, aga VLAN20 võrku ei ole veel loodud, annab süsteem veateate "Access VLAN does not exist", kuna lülitid on seadistatud töötama ainult VLAN10-ga.
Lähme loome VLAN20. Kasutan käsku "show vlan", et vaadata virtuaalsete võrkude andmebaasi.
Näete, et vaikevõrk on VLAN1, millele on ühendatud portide Fa0/4 kuni Fa0/24 ja Gig0/1, Gig0/2. Virtuaalne võrk numbriga 10 nimega Management on ühendatud porti Fa0/1, ning VLAN numbriga 20, mille vaikimisi nimi on VLAN0020, on ühendatud porti Fa0/3.
Tõe poolest ei oma võrgu nimi tähtsust, peamine on, et see ei korduks erinevates võrkudes. Kui ma tahan muuta vaikimisi määratud võrgu nime, kasutan käsku vlan 20 ja name Employees. Võin selle nime näiteks muuta IPphones'iks ja kui me pingime IP-aadressi 192.168.2.2, näeme, et VLAN-i nimi ei ole oluline.
Viimane asi, mida ma tahan mainida, on Management IP määramine, millest me rääkisime viimases tundis. Selleks kasutame käsku int vlan1 ja sisestame IP-aadressi 10.1.1.1 koos alamsidemaskiga 255.255.255.0, seejärel lisame käsu no shutdown. Oleme määranud Management IP mitte kogu lülitile, vaid ainult VLAN1 pordile, st IP-aadressile, millest haldatakse VLAN1 võrku. Kui soovime VLAN2 haldamist, peame looma vastava liidese VLAN2 jaoks. Meie puhul on sinised pordid VLAN10 ja oranžid pordid VLAN20, millele vastavad aadressid 192.168.1.0 ja 192.168.2.0.
VLAN10 peab omama aadresse, mis jäävad sama vahemikku, et sobivad seadmed saaksid sellele ühendada. Sarnane seadistus tuleks teha ka VLAN20 jaoks.
Selles lüliti käsurea aknas kuvatakse VLAN1 jaoks liidese seaded, st native VLAN.
Selleks, et seadistada halduse IP aadress VLAN10 jaoks, peame looma liidese int vlan 10 ning seejärel lisama IP-aadressi 192.168.1.10 ja alamvõrgu maski 255.255.255.0.
VLAN20 seadistamiseks peame looma liidese int vlan 20 ning seejärel lisama IP-aadressi 192.168.2.10 ja alamvõrgu maski 255.255.255.0.
Miks see vajalik on? Kui arvuti PC0 ja vahetu vasakpoolne port lülitis #0 kuuluvad võrku 192.168.1.0, PC2 kuulub võrku 192.168.2.0 ja on ühendatud native VLAN1 pordiga, mis kuulub võrkku 10.1.1.1, siis PC0 ei saa selle lülitiga SSH protokolli kaudu ühendust luua, kuna nad kuuluvad erinevatesse võrkudesse. Seetõttu, et PC0 saaks lülitiga SSH või Telneti kaudu suhelda, peame andma sellele juurdepääsu Access. Just sellepärast on meil vaja võrguhaldust.
Me peame olema võimelised ühendama PC0 läbi SSH või Telnet liidese VLAN20 IP-aadressiga ja tegema kõik vajalikud muudatused SSH kaudu. Seega on halduse IP vajalik just VLANide seadistamiseks, kuna igal virtuaalsel võrgul peab olema oma haldusjuurdepääs.
Selles videos arutasime palju teemasid: lüliti peamised seadistused, VLAN-võrkude loomine, VLAN-portide määramine, VLAN-võrkude haldustiheduse IP määramine ja trunkide seadistamine. Ärge muretsege, kui te midagi ei mõista, see on täiesti normaalne, sest VLAN on väga keeruline ja ulatuslik teema, mille juurde me tuleme tagasi järgmistes tundides. Ma garanteerin, et minu abiga saate te VLAN-i «meistriteks», kuid selle tunni eesmärk oli selgitada teile kolme küsimust: mis on VLAN-võrgud, miks me neid vajame ja kuidas neid seadistada.
Aitäh, et olete meiega. Kas teile meeldivad meie artiklid? Soovite rohkem huvitavat sisu? Toetage meid tellimuse vormistamise või soovituste jagamisega sõpradele. 30% soodustus Habra kasutajatele meie ainulaadsetelt entry-level serveritelt, mis on loodud just teile: (saadaval on RAID1 ja RAID10 variandid, kuni 24 südamikku ja kuni 40GB DDR4).
Dell R730xd kaks korda odavam? Ainult meie juures Hollandi turul! Dell R420 — 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — alates $99! Lugege, kuidas
Allikas: habr.com
