Enne kui me läheme VLAN põhialuste juurde, palun panema selle video pausile, klõpsake vasakus alumises nurgas olevale ikoonile, kus on kirjas Networking consultant, minge meie Facebooki lehele ja tehke seal meeldimine. Seejärel naaske video juurde ja klõpsake paremas alumises nurgas olevale kuninga ikoonile, et tellida meie ametlik kanal YouTube'is. Me täiendame pidevalt uusi seeriaid, praegu on see seotud CCNA kursusega, seejärel plaanime alustada CCNA Security, Network+, PMP, ITIL, Prince2 videokursustega ning avaldada need suurepärased seeriad meie kanalis.
Nii et täna räägime VLAN põhialustest ja vastame kolmele küsimusele: mis on VLAN, milleks me vajame VLAN-i ja kuidas seda seadistada. Loodan, et pärast selle video vaatamist suudate vastata kõigile kolmele küsimusele.
Mis on VLAN? VLAN on lühend väljendist 'virtuaalne kohalike piirkondade võrk'. Edasi liikudes uurime, miks see võrk on virtuaalne, kuid enne VLAN-ile üleminekut peame aru saama, kuidas lüliti töötab. Kordame veel mõned küsimused, mida arutasime eelmistel tundidel.
Esiteks arutame, mis on Multiple Collision Domain ehk kollisioonidomeen. Me teame, et see 48-portiline lüliti omab 48 kollisioonidomeeni. See tähendab, et iga üksik port või sellele portile ühendatud seade saab omavahel suhelda, mõjutamata teisi seadmeid teistel portidel.
Kõik 48 porti selle lüliti puhul kuuluvad ühe laiekirjutusdomeeni ehk Broadcast Domain'i. See tähendab, et kui mitu seadet on ühendatud mitmesse porti ja üks neist teeb laiekirjutuse, siis see jõuab kõigile portidele, kuhu teised seadmed on ühendatud. Just nii lüliti töötab.
See on nagu inimesed, kes istuvad ühes ruumis koos, ja kui üks neist räägib valju häälega, kuulevad seda kõik teised. Kuid see on täiesti ebatõhus - mida rohkem inimesi ruumis on, seda valjemaks see muutub ja kohalolijad lõpetavad teiste kuulmise. Sarnane olukord tekib ka arvutitega - mida rohkem seadmeid on ühes võrgus, seda rohkem suureneb laiekirjutuse 'valjus', mis takistab tõhusat suhtlemist.
Me teame, et kui üks neist seadmetest on ühendatud võrku 192.168.1.0/24, siis kõik ülejäänud seadmed kuuluvad samuti sellesse võrku. Lüliti peab samuti olema ühendatud võrku sama IP-aadressiga. Kuid siin võib lülitil kui 2. taseme OSI seadmel tekkida probleem. Kui kaks seadet on ühendatud ühte võrku, saavad nad kergesti omavahel ühendust võtta. Oletame, et meie ettevõttes töötab „halb tüüp“, häkker, keda ma enne joonistasin. Tema all on minu arvuti. Nii et sellel häkkeril on väga lihtne pääseda minu arvutisse, kuna meie arvutid kuuluvad ühte võrku. See on probleem.
Kui ma kuulun administratiivjuhtkonda, ja see uus tüüp saab juurdepääsu failidele minu arvutis, siis ei ole see üldse hea. Loomulikult on minu arvutis tulekahju seina, mis kaitseb paljude ohtude eest, kuid häkker ei leia seda raskeks ületada.
Teine oht, mis on olemas kõigile, kes on selle levivõrgu liikmed, seisneb selles, et kui kellegil on probleeme levivõrgus, mõjutab see häire teisi võrgu seadmeid. Kuigi kõiki 48 porti saab ühendada erinevatele hostidele, mõjutab ühe hosti rike ülejäänud 47, mis pole just soovitav.
Selle probleemi lahendamiseks kasutame VLANi kontseptsiooni, ehk virtuaalset lokaalset võrku. See töötab väga lihtsalt, jagades selle ühe suure 48-portilise lüliti mitmeks väiksemaks lülitiks.
Me teame, et alamvõrgud jagavad ühe suure võrgu mitmeks väiksemaks võrguks, ja VLAN toimib sarnaselt. See jagab 48-portilise lüliti näiteks neljaks lülitiks, millel on 12 porti, igaühel neist on uus liikuv võrk. Sel viisil saame kasutada 12 porti haldusteks, 12 porti IP-telefoniks ja nii edasi, st jagada lüliti mitte füüsiliselt, vaid loogiliselt, virtuaalselt.
Ma olen eraldanud kolm sinist sadamat ülemises lülitikus VLAN10 'sinise' võrgu jaoks ja kolme oranži sadama VLAN20 jaoks. Seega saab mis tahes liiklus nendelt sinistelt sadamatelt suunduda ainult teistele sinistele sadamatele, mõjutamata teiste lüliti sadamate liiklust. Sarnasel viisil levib liiklus oranžidelt sadamatelt, mis tähendab, et me kasutame justkui kahte erinevat füüsilist lülitit. Seega on VLAN viis lüliti jagamiseks mitmeks lülitiks erinevate võrgustike jaoks.
Ma joonistasin üles kaks lülitit, kus me näeme olukorda, kus vasakul lülitil on kasutusel ainult siniste sadamate ühendused ühe võrgu jaoks ja paremal ainult oranžide teise võrgu jaoks, ning need lülitid ei ole omavahel seotud.
Oletame, et soovite kasutada rohkem sadamaid. Kujutame ette, et meil on kaks hoonet, milles kummaski on oma halduspersonal, ja kaks oranži sadamat alumises lülitikus on kasutusel haldamiseks. Seetõttu peame tagama, et need sadamad oleksid ühendatud kõigi teiste lülitite oranžide sadamatega. Sarnane olukord on siniste sadamatega – kõik ülemise lüliti sinised sadamad peavad olema ühendatud teiste sama värvi sadamatega. Selleks peame füüsiliselt ühendama need kaks lülitit erinevates hoonetes eraldi ühendusjoonega, nagu joonisel on näidatud kahe rohelise värvi sadama vahel. Nagu te teate, kui kaks lülitit on füüsiliselt ühendatud, siis moodustub meil tronks või trunk.
Mis on siis tavalise ja VLAN-lülituse vahe? Erinevus pole sugugi suur. Kui ostate uue lüliti, on kõik portid vaikimisi seadistatud VLAN-režiimis ja kuuluvad ühte võrku, mida nimetatakse VLAN1-ks. Seetõttu, kui ühendame seadme mõnele pordile, on see ühendatud kõigi teiste portidega, kuna kõik 48 porti kuuluvad ühte virtuaalsesse VLAN1-võrku. Kuid kui seadistame sinised pordid töötama VLAN10-võrgus, oranžid VLAN20-võrgus ja rohelised VLAN1-võrgus, siis saame kolm erinevat lülitit. Seega võimaldab virtuaalvõrgu režiimi kasutamine meil loogiliselt rühmitada porte konkreetsetesse võrkudesse, jagada raadiosageduslikku edastust osadeks ja luua alamvõrke. Iga konkreetse värvi port kuulub eraldi võrku. Kui sinised pordid töötavad 192.168.1.0-võrgus ja oranžid pordid töötavad 192.168.1.0-võrgus, siis vaatamata samale IP-aadressile ei ole nad omavahel seotud, kuna nad kuuluvad loogiliselt erinevatesse lülititesse. Ja nagu me teame, ei suhtle erinevad füüsilised lülitid omavahel, kui nad pole ühendatud ühise sidekanaliga. Nii loome erinevad alamvõrgud erinevate VLAN-ide jaoks.
Soovin juhtida teie tähelepanu, et VLAN-konseptsioon kehtib ainult lülititele. Need, kes on tuttavad kapseldamisprotokollidega nagu .1Q või ISL, teavad, et ei ruuterite ega arvutite puhul ei ole VLAN-e. Kui ühendate oma arvuti näiteks mõnele sinisele pordile, ei muuda te arvutis midagi, kõik muutused toimuvad ainult OSI teisel tasemel, lüliti tasemel. Kui seadistame pordid töötama konkreetse VLAN10 või VLAN20 võrgu jaoks, loob lüliti VLAN-andmebaasi. Ta "salvestab" oma mällu, et pordid 1, 3 ja 5 kuuluvad VLAN10, pordid 14, 15 ja 18 on osa VLAN20-võrgust ning kõik ülejäänud kasutatavad pordid kuuluvad VLAN1-võrku. Seetõttu, kui mõni liiklus tuleb siniselt pordilt 1, jõuab see ainult selle sama VLAN10 võrgu portidele 3 ja 5. Lüliti "vaatab" oma andmebaasi ja näeb, et kui liiklus tuleb ühelt oranžilt pordilt, peab see tohiks jõuda ainult oranžide portide VLAN20 võrku.
Siiski ei tea arvuti VLAN võrke. Kui ühendame kaks lülitit, siis tekib roheliste portide vahel trunki ühendus. Termin "trunk" on asjakohane ainult Cisco seadmete jaoks, teised võrguseadmestiku tootjad, nagu Juniper, kasutavad terminit Tag port ehk "märgistatud port". Minu arvates on nimi Tag port sobivam. Kui tästä võrgust väljub liiklus, edastab trunk selle kõikidele järgmise lüliti portidele, mis tähendab, et ühendame kaks 48-portsed lülitit ja saame ühe 96-portsed lüliti. Samal ajal, kui saadame liiklust VLAN10-st, muutub see märgistatud liikluseks, mis tähendab, et see varustatakse sildiga, mis näitab, et see on mõeldud ainult VLAN10 võrgu portidele. Teine lüliti, saades selle liikluse, loeb silti ja mõistab, et see on liiklus VLAN10 võrgu jaoks ja peab minema ainult sinistele portidele. Samamoodi on "oranž" liiklus VLAN20 jaoks varustatud sildiga, mis näitab, et see on mõeldud VLAN20 portide jaoks teises lülitis.
Mainisime ka kapseldamist ning siin on kaks kapseldamise meetodit. Esimene neist on .1Q, see tähendab, et kui me korraldame trunki, peame tagama kapseldamise. Kapseldamisprotokoll .1Q on avatud standard, mis kirjeldab liikluse sildistamise protseduuri. On ka teine protokoll nimega ISL, Inter-Switch link, mis on välja töötatud Cisco poolt ja näitab liikluse kuuluvust konkreetsele VLAN-ile. Kõik kaasaegsed lülitid töötavad .1Q protokolliga, seega ei pea te uue lülitiga koos mingeid kapseldamis käske kasutama, kuna vaikimisi teostatakse kapseldamine .1Q protokolliga. Nii et pärast trunki loomist toimub liikluse kapseldamine automaatselt, mis võimaldab silte lugeda.
Nüüd liikume VLAN võrgu seadistamise juurde. Loome võrgu, kus on 2 lülitit ja kaks lõppseadet – arvutid PC1 ja PC2, mille ühendame lüliti #0-ga kaablitega. Alustame lüliti põhiseadistustega Basic Configuration.
Selleks klikkime lülitile ja sisenege käsureale ning seame hostinime, nimetades selle lüliti sw1. Nüüd liigume esimese arvuti seadistuste juurde ja määrame staatilise IP-aadressi 192.168.1.1 ja alamvõrgu maski 255.255.255.0. Vaikimisi jäägate aadress ei ole vajalik, kuna kõik meie seadmed asuvad samas võrgus. Järgmiseks teeme sama teise arvuti jaoks, määrates sellele IP-aadressi 192.168.1.2.
Nüüd naaseme esimese arvuti juurde, et pingi teise arvuti. Nagu näeme, õnnestus pingimine, kuna mõlemad arvutid on ühendatud sama lülitiga ja kuuluvad vaikimisi VLAN1 sama võrgu alla. Kui nüüd vaatame lüliti liideseid, näeme, et kõik FastEthernet pesad alates 1. kuni 24. ja kaks GigabitEthernet pesad on seadistatud VLAN #1-le. Kuid selline ülemäärane kättesaadavus ei ole vajalik, seetõttu sisene me lüliti seadistustesse ja sisestame käsu show vlan, et vaadata virtuaalsete võrkude andmebaasi.
Siin näete VLAN1 võrgunime ja seda, et kõik lüliti pesad kuuluvad sellesse võrgusse. See tähendab, et saate ühendada mis tahes pesasse ja kõik nad saavad omavahel 'suhelda', kuna kuuluvad sama võrgu alla.
Muudame seda olukorda, loome esmalt kaks virtuaalset võrku, lisades VLAN10. Virtuaalse võrgu loomiseks kasutatakse käsku kujul 'vlan võrgu number'.
Nagu näete, andis süsteem sõnumi VLAN konfiguratsioonikäskude loendiga, kui proovite võrgua luua:
exit – muudatuste rakendamiseks ja seadistustest väljumiseks;
name – virtuaalse võrguga kasutajanime sisestamiseks;
no – käsu tühistamiseks või selle vaikeseade taastamiseks.
See tähendab, et enne, kui siseneme käsu loomiseks VLAN, peame esmalt sisestama käsu name, mis aktiveerib nimetuse haldamise režiimi, ja seejärel liikuda uue võrgu loomise juurde. Samal ajal annab süsteem vihje, et VLAN võrgu number saab määrata vahemikus 1 kuni 1005.
Nii et nüüd sisestame käsu luua VLAN võrk numbriga 20 – vlan 20, ja seejärel määrame sellele kasutajanime, mis näitab, mis võrk see on. Meie puhul kasutame käsku name Employees, ehk ettevõtte töötajate võrk.
Nüüd peame määrama selle VLANi jaoks konkreetse sadama. Siseneme lüliti seadistusrežiimi int f0/1, seejärel lülitame sadama käsuga switchport mode access manuaalselt Access-režiimi ja määrame, millist sadamat me tahame sellele režiimile anda – see on sadam VLAN10 võrgu jaoks.
Näeme, et pärast seda muutus PC0 ja lüliti ühenduspunkti värv, sadama värv, rohelisest oranžiks. See muutub jälle roheliseks, kui seadistuste muutused jõustuvad. Proovime teist arvutit pingida. Me ei ole teinud mingeid muudatusi arvutite võrguseadetes, neil on endiselt IP-aadressid 192.168.1.1 ja 192.168.1.2. Aga kui me proovime arvutist PC0 pingida arvutit PC1, ei õnnestu meil see, sest nüüd kuuluvad need arvutid erinevatesse võrkudesse: esimene VLAN10 juurde, teine – native VLAN1 juurde.
Naaseme lüliti liidese juurde ja seadistame teise sadama. Selleks sisestan käsu int f0/2 ja korran VLAN 20 võrgu jaoks samu samme nagu eelmise virtuaalse võrgu seadistamisel.
Näeme, et nüüd on lüliti alumine sadam, kuhu on ühendatud teine arvuti, samuti muutnud oma värvi rohelisest oranžiks – peab mööduma paar sekundit, enne kui seadistuste muutused jõustuvad ja see muutub jälle roheliseks. Kui proovime jälle teist arvutit pingida, ei õnnestu meil see, sest arvutid kuuluvad endiselt erinevatesse võrkudesse, ainult et PC1 on nüüd osa mitte VLAN1-st, vaid VLAN20-st.
Nii oleme jaganud ühe füüsilise lüliti kaheks erinevaks loogiliseks lülitiks. Näete, et nüüd on sadama värv muutunud oranžist roheliseks, port töötab, kuid seda ei saa ikkagi pingida, kuna see kuulub teise võrku.
Teeme muudatusi meie skeemis – lahutame arvuti PC1 esimesest lülitist ja ühendame selle teise lülitiga, samal ajal ühendame lülitid kaabli abil.
Kuna luua nendevaheline ühendus, sisenen teise lüliti seadistustesse ja loon VLAN10, andes sellele nimeks Management, see tähendab haldussüsteem. Seejärel lülitan sisse Access-režiimi ja määran, et see režiim on mõeldud VLAN10 võrgule. Nüüd on portide värv, mille kaudu lülitid on ühendatud, muutunud oranžist roheliseks, kuna nad on mõlemad seadistatud VLAN10-ks. Nüüd peame looma trunki nende kahe lüliti vahel. Mõlemad need portide on Fa0/2, seega tuleb trunk luua esimese lüliti Fa0/2 porti, kasutades käsku switchport mode trunk. Sama tuleb teha teise lüliti jaoks, pärast mida tekib nende kahe pordi vahele trunk.
Nüüd, kui ma tahan esimeselt arvutile PC1 pingida, õnnestub see, sest ühendus PC0 ja lüliti #0 vahel on VLAN10, samuti VLAN10 lüliti #1 ja PC1 vahel, ning mõlemad lülitid on ühendatud trunkiga.
Seega, kui seadmed asuvad erinevates VLAN võrkudes, ei ole nad omavahel ühendatud, kuid kui nad asuvad samas võrgus, siis on nende vahel vaba liiklus. Proovime lisada igale lülitile veel ühe seadme.
Lisatud arvuti PC2 võrguseadetesse määran IP-aadressiks 192.168.2.1 ja PC3 seadistustes aadressiks 192.168.2.2. Samuti saavad need kaks arvutit ühendatud portideks Fa0/3. Lüliti #0 seadistustes seame Access-režiimi ja määrame, et see port on mõeldud VLAN20-ks, ning teeme sama ka lüliti #1 jaoks.
Kui ma kasutan käsku switchport access vlan 20, aga VLAN20 võrku pole veel loodud, annab süsteem veateate „Access VLAN does not exist”, kuna lülitid on seadistatud ainult VLAN10 töötama.
Loome VLAN20. Kasutan käsku „show vlan”, et vaadata virtuaalsete võrkude andmebaasi.
Nähtaval, et vaikimisi võrguks on VLAN1, kuhu on ühendatud portide Fa0/4 kuni Fa0/24 ja Gig0/1, Gig0/2. Virtuaalvõrk numbri 10 nimega Management on ühendatud porti Fa0/1, ja VLAN numbri 20 vaikimisi nimega VLAN0020 on ühendatud porti Fa0/3.
Põhimõtteliselt ei oma võrgu nimi tähtsust, tähtis on, et see ei korduks erinevates võrkudes. Kui ma soovin muuta võrgu nime, mille süsteem määrab vaikeväärtusena, kasutan käsku vlan 20 ja name Employees. Võin selle nime muuta teisteks, näiteks IPphones, ja kui me pingime IP-aadressi 192.168.2.2, näeme, et VLANi nimi ei oma mingit tähendust.
Viimane asi, millest soovin rääkida, on Management IP määramine, millest rääkisime eelmisel tunnil. Selleks kasutame käsku int vlan1 ja sisestame IP-aadressi 10.1.1.1 ja alamvõrgu maski 255.255.255.0 ning seejärel lisame käsu no shutdown. Me määrasime Management IP mitte kogu lülitile, vaid ainult VLAN1 portidele, see tähendab, et määrasime IP-aadressi, mille kaudu toimub VLAN1 haldamine. Kui soovime VLAN2 haldamist, peame looma vastava liidese VLAN2 jaoks. Meie puhul on sinised portid VLAN10 ja oranžid portid VLAN20, millele vastavad aadressid 192.168.1.0 ja 192.168.2.0.
VLAN10 peab olema aadressidega, mis asuvad samas vahemikus, et sobivad seadmed saaksid sellele ühenduda. Sarnane seadistamine peab olema tehtud ka VLAN20 jaoks.
Selles lüliti käsurea aknas on näidatud liidese seadistused VLAN1 jaoks, see tähendab native VLAN.
VLAN10 Management IP määramiseks peame looma liidese int vlan 10 ja seejärel lisama IP-aadressi 192.168.1.10 ja alamvõrgu maski 255.255.255.0.
VLAN20 seadistamiseks peame looma liidese int vlan 20 ja seejärel lisama IP-aadressi 192.168.2.10 ja alamvõrgu maski 255.255.255.0.
Miks see vajalik on? Kui arvuti PC0 ja lüliti #0 ülemine vasak port kuuluvad võrgule 192.168.1.0, arvuti PC2 kuulub võrgule 192.168.2.0 ja on ühendatud native VLAN1 porti, millel on aadress 10.1.1.1, siis PC0 ei saa SSH-protokolli kaudu selle lülitiga ühendust, kuna nad kuuluvad erinevatesse võrkudesse. Seetõttu, et PC0 saaks lülitiga ühendust SSH või Telneti kaudu, peame andma sellele Access juurdepääsu. Just selleks on meil vajalik võrgu haldamine.
Me peame olema võimelised ühendama PC0 SSH või Telneti kaudu VLAN20 liidese IP-aadressiga ja tegema vajalikud muudatused SSH kaudu. Seega on Management IP vajalik just VLANi seadistamiseks, kuna igal virtuaalsel võrgul peab olema oma halduspääs.
Täna videoes arutame mitmeid teemasid: lüliti põhiseaded, VLAN-võrkude loomine, VLAN-portide määramine, VLAN-võrkude haldamise IP määramine ja trunkide seadistamine. Ärge muretsege, kui te midagi ei mõistnud, see on loomulik, sest VLAN on väga keeruline ja ulatuslik teema, millega naaseme järgmistes tundides. Ma garanteerin, et koos minuga saate VLAN-i "meistriteks", kuid selle tunni eesmärk oli selgitada teile kolme küsimust: mis on VLAN-võrgud, miks on need vajalikud ja kuidas neid seadistada.
Aitäh, et olete meiega. Kas teile meeldivad meie artiklid? Kas soovite näha rohkem huvitavat sisu? Toetage meid tellimuse esitamise või tuttavatele soovitamisega, 30% allahindlus Habr'i kasutajatele ainulaadsele sissetuleku tasemel serverile, mille oleme teie jaoks välja mõelnud: (saadaval RAID1 ja RAID10 variandid, kuni 24 tuuma ja kuni 40GB DDR4).
Dell R730xd kaks korda odavam? Ainult meie juures Hollandis! Dell R420 — 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — alates $99! Lugege sellest
Allikas: habr.com
