VLANen oinarrietan sartu baino lehen, guztioi eskatuko nizueke bideo hau pausatzeko, egin klik beheko ezkerreko izkinan dagoen ikonoan non Networking Consultant dioen, joan gure Facebook orrialdera eta bertan gustatu. Ondoren, itzuli bideora eta egin klik beheko eskuineko izkinan dagoen King ikonoan gure YouTube kanal ofizialera harpidetzeko. Etengabe serie berriak gehitzen ari gara, orain CCNA ikastaroari dagokio, ondoren CCNA Security, Network+, PMP, ITIL, Prince2 bideo-ikasgaien ikastaro bat hasteko asmoa dugu eta serie zoragarri hauek gure kanalean argitaratzeko.
Beraz, gaur VLANaren oinarriei buruz hitz egingo dugu eta 3 galderari erantzungo diegu: zer den VLAN bat, zergatik behar dugu VLAN bat eta nola konfiguratu. Espero dut bideo-tutorial hau ikusi ondoren hiru galderari erantzun ahal izatea.
Zer da VLAN? VLAN sare lokal birtualaren laburdura da. Tutorial honetan aurrerago ikusiko dugu sare hau zergatik den birtuala, baina VLANetara pasatu aurretik, switch bat nola funtzionatzen duen ulertu behar dugu. Aurreko ikasgaietan eztabaidatu ditugun galdera batzuk errepasatuko ditugu.
Lehenik eta behin, eztabaida dezagun zer den talka anitzeko domeinua. Badakigu 48 atakako switch honek 48 talka-domeinu dituela. Horrek esan nahi du ataka horietako bakoitzak, edo ataka horiei konektatutako gailuak, beste gailu batekin komunika daitezkeela beste portu batean modu independentean, elkarri eragin gabe.
Switch honen 48 atakak Broadcast Domain baten parte dira. Horrek esan nahi du hainbat gailu hainbat ataketara konektatuta badaude eta horietako bat igortzen ari bada, gainerako gailuak konektatuta dauden portu guztietan agertuko dela. Honela funtzionatzen du etengailu batek.
Jendea gela berean elkarren ondoan eserita egongo balitz bezala, eta batek zerbait ozen esaten zuenean, beste guztiek entzuten zuten. Hala ere, hau guztiz ez da eraginkorra: zenbat eta jende gehiago agertu gelan, orduan eta zaratatsuagoa izango da eta bertaratutakoek ez dute elkar entzungo. Antzeko egoera gertatzen da ordenagailuekin - zenbat eta gailu gehiago sare batera konektatuta, orduan eta handiagoa izango da emisioaren "ozentasuna", eta horrek ez du komunikazio eraginkorra ezartzen uzten.
Badakigu gailu horietako bat 192.168.1.0/24 sarera konektatuta badago, gainerako gailu guztiak sare bereko parte direla. Etengailua ere IP helbide bera duen sare batera konektatuta egon behar da. Baina hemen etengailuak, OSI geruza 2 gailu gisa, arazo bat izan dezake. Bi gailu sare berera konektatuta badaude, erraz komunika daitezke elkarren ordenagailuekin. Demagun gure konpainiak "tipo gaizto bat" duela, hacker bat, zeina goian marraztuko dudana. Behean nire ordenagailua dago. Beraz, oso erraza da hacker hau nire ordenagailuan sartzea, gure ordenagailuak sare bereko parte direlako. Hori da arazoa.
Kudeaketa administratiboan banaiz eta mutil berri honek nire ordenagailuko fitxategiak atzi ditzake, ez da batere ona izango. Jakina, nire ordenagailuak mehatxu askoren aurka babesten dituen suebaki bat dauka, baina ez luke zaila izango hacker batek hura saihestea.
Igorpen-domeinu honetako kide diren guztientzat dagoen bigarren arriskua da norbaitek igorpenarekin arazoren bat badu, interferentzia horrek sareko beste gailuetan eragina izatea. 48 ataka guztiak ostalari ezberdinetara konekta daitezkeen arren, ostalari baten hutsegiteak beste 47etan eragina izango du, eta hori ez da behar duguna.
Arazo hau konpontzeko VLAN kontzeptua edo sare lokal birtuala erabiltzen dugu. Oso sinplea da, 48 atakako etengailu handi hau hainbat etengailu txikiagotan banatuz.
Badakigu azpisareek sare handi bat hainbat sare txikitan banatzen dutela eta VLANek antzera funtzionatzen dutela. 48 atakako etengailua, adibidez, 4 atakako 12 etengailutan banatzen du, eta horietako bakoitza konektatutako sare berri baten parte da. Aldi berean, kudeaketarako 12 ataka erabil ditzakegu, IP telefoniarako 12 ataka eta abar, hau da, etengailua ez fisikoki, logikoki, birtualki zatitu.
Goiko etengailuan hiru ataka urdin esleitu nituen VLAN10 sare urdinerako, eta hiru ataka laranja esleitu nizkion VLAN20rako. Horrela, ataka urdin horietako edozein trafikoa beste portu urdinetara bakarrik joango da, switch honen beste portuetan eragin gabe. Laranja-portuetako trafikoa antzera banatuko da, hau da, bi etengailu fisiko ezberdin erabiliko bagenitu bezala da. Horrela, VLAN etengailu bat sare ezberdinetarako hainbat etengailutan banatzeko modu bat da.
Gainean bi etengailu marraztu nituen, hemen ezkerreko etengailuan sare baterako ataka urdinak bakarrik konektatzen diren eta eskuinaldean - beste sare baterako ataka laranjak bakarrik daude, eta etengailu hauek ez daude inola ere elkarren artean konektatuta. .
Demagun ataka gehiago erabili nahi dituzula. Pentsa dezagun 2 eraikin ditugula, bakoitza bere kudeaketa-langilearekin, eta beheko switcheko bi ataka laranja erabiltzen direla kudeaketarako. Hori dela eta, ataka hauek beste etengailu batzuen ataka laranja guztietara konektatu behar ditugu. Egoera antzekoa da portu urdinekin - goiko etengailuaren ataka urdin guztiak kolore antzeko beste portu batzuetara konektatuta egon behar dira. Horretarako, eraikin ezberdinetako bi etengailu hauek komunikazio-lerro bereizi batekin fisikoki konektatu behar ditugu; irudian, bi portu berdeen arteko lerroa da. Dakigunez, bi etengailu fisikoki konektatuta badaude, bizkarrezurra edo enbor bat osatzen dugu.
Zein da ohiko eta VLAN etengailu baten arteko aldea? Ez da alde handia. Switch berri bat erosten duzunean, lehenespenez, ataka guztiak VLAN moduan konfiguratuta daude eta sare bereko parte dira, VLAN1 izendatuta. Horregatik, edozein gailu ataka batera konektatzen dugunean, beste portu guztietara konektatuta geratzen da, 48 ataka guztiak VLAN1 berekoak direlako. Baina ataka urdinak VLAN10 sarean lan egiteko konfiguratzen baditugu, VLAN20 sarean portu laranjak eta VLAN1 portu berdeak, 3 etengailu ezberdin lortuko ditugu. Horrela, sare birtualaren modua erabiliz, portuak sare zehatz batzuetan logikoki taldekatzea, emisioak zatitan zatitzea eta azpisareak sortzea ahalbidetzen digu. Kasu honetan, kolore jakin bateko ataka bakoitza sare ezberdin bati dagokio. Portu urdinek 192.168.1.0 sarean funtzionatzen badute eta ataka laranjak 192.168.1.0 sarean funtzionatzen badute, IP helbide bera izan arren, ez dira elkarren artean konektatuko, logikoki etengailu desberdinetakoak izango direlako. Eta dakigunez, etengailu fisiko desberdinak ez dira elkarren artean komunikatzen, komunikazio-lerro komun baten bidez konektatuta ez badaude. Beraz, VLAN desberdinetarako azpisare desberdinak sortzen ditugu.
Zure arreta deitu nahiko nuke VLAN kontzeptua etengailuei soilik aplikatzen zaiela. .1Q edo ISL bezalako enkapsulazio-protokoloak ezagutzen dituen edonork badaki ez bideratzaileek ez ordenagailuek ez dutela VLANrik. Zure ordenagailua konektatzen duzunean, adibidez, ataka urdinetako batera, ez duzu ezer aldatzen ordenagailuan; aldaketa guztiak bigarren OSI mailan bakarrik gertatzen dira, switch mailan. Portuak VLAN10 edo VLAN20 sare zehatz batekin lan egiteko konfiguratzen ditugunean, switch-ak VLAN datu-base bat sortzen du. Bere memorian "erregistratzen" du 1,3 eta 5 atakak VLAN10koak direla, 14,15 eta 18 portuak VLAN20ren parte direla eta inplikatutako gainerako atakak VLAN1en parte direla. Hori dela eta, trafiko batzuk 1. portu urdinetik sortzen badira, VLAN3 bereko 5. eta 10. portuetara bakarrik joaten da. Etengailuak bere datu-baseari begiratzen dio eta ikusten du trafikoa ataka laranja batetik badator, VLAN20-ren ataka laranjaetara bakarrik joan beharko litzatekeela.
Hala ere, ordenagailuak ez daki ezer VLAN horiei buruz. 2 etengailu konektatzen ditugunean, enbor bat sortzen da portu berdeen artean. "Tronk" terminoa Cisco gailuetarako bakarrik da garrantzitsua; sareko beste gailuen fabrikatzaileek, Juniper adibidez, Tag portua edo "etiketatutako ataka" terminoa erabiltzen dute. Uste dut Tag port izena egokiagoa dela. Trafikoa sare honetatik sortzen denean, enborrak hurrengo switch-eko ataka guztietara transmititzen du, hau da, 48 atakako bi switch konektatzen ditugu eta 96 portuko switch bat lortzen dugu. Aldi berean, VLAN10etik trafikoa bidaltzen dugunean, etiketatu egiten da, hau da, VLAN10 sareko portuetarako soilik dagoela adierazten duen etiketa batekin hornitzen da. Bigarren etengailuak, trafiko hori jaso ondoren, etiketa irakurtzen du eta ulertzen du hori VLAN10 sarerako berariazko trafikoa dela eta ataka urdinetara bakarrik joan behar dela. Era berean, VLAN20rako trafikoa "laranja" etiketatuta dago bigarren etengailuan VLAN20 ataketara zuzenduta dagoela adierazteko.
Kapsulatzea ere aipatu dugu eta hemen kapsulatzeko bi metodo daude. Lehenengoa .1Q da, hau da, enbor bat antolatzen dugunean, kapsulazioa eman behar dugu. .1Q kapsulatzeko protokoloa trafikoa etiketatzeko prozedura deskribatzen duen estandar irekia da. Bada, Ciscok garatu duen ISL, Inter-Switch link izeneko beste protokolo bat, trafikoa VLAN zehatz batekoa dela adierazten duena. Etengailu moderno guztiek .1Q protokoloarekin funtzionatzen dute, beraz, etengailu berri bat kaxatik ateratzen duzunean, ez duzu kapsulazio komandorik erabili behar, lehenespenez .1Q protokoloak egiten baitu. Horrela, enbor bat sortu ondoren, trafikoa enkapsulatzea automatikoki gertatzen da, eta horri esker, etiketak irakur daitezke.
Orain has gaitezen VLAN konfiguratzen. Sortu dezagun sare bat, non 2 etengailu eta bi amaierako gailu egongo diren - PC1 eta PC2 ordenagailuak, kableekin konektatuko ditugun #0 aldatzeko. Has gaitezen Oinarrizko Konfigurazio etengailuaren oinarrizko ezarpenekin.
Horretarako, egin klik etengailuan eta joan komando-lerroko interfazera, eta ondoren ezarri ostalariaren izena, switch honi sw1 deituz. Orain joan gaitezen lehen ordenagailuaren ezarpenetara eta ezarri 192.168.1.1 IP helbide estatikoa eta 255.255 azpisare maskara. 255.0. Ez dago atebide-helbide lehenetsirik behar, gure gailu guztiak sare berean daudelako. Jarraian, gauza bera egingo dugu bigarren ordenagailuarekin, 192.168.1.2 IP helbidea esleituz.
Orain itzul gaitezen lehen ordenagailura bigarren ordenagailuari ping egiteko. Ikus dezakezunez, ping-a arrakastatsua izan da, bi ordenagailu hauek etengailu berdinera konektatuta daudelako eta sare bereko parte direlako lehenespenez VLAN1. Orain switch-interfazeei erreparatzen badiegu, ikusiko dugu FastEthernet ataka guztiak 1etik 24ra eta bi GigabitEthernet ataka VLAN #1-en konfiguratuta daudela. Hala ere, gehiegizko erabilgarritasuna ez da beharrezkoa, beraz, switch ezarpenetan sartu eta show vlan komandoa sartuko dugu sare birtualeko datu-basea ikusteko.
Hemen ikusten duzu VLAN1 sarearen izena eta switch-ataka guztiak sare honetakoak direla. Horrek esan nahi du edozein portutara konekta zaitezkeela eta denak elkarrekin "hitz egin" ahal izango dutela sare bereko parte direlako.
Egoera hori aldatuko dugu; horretarako, lehenik bi sare birtual sortuko ditugu, hau da, VLAN10 gehituko dugu. Sare birtual bat sortzeko, erabili "vlan network number" bezalako komando bat.
Ikus dezakezunez, sare bat sortzen saiatzean, sistemak mezu bat erakutsi zuen ekintza honetarako erabili behar diren VLAN konfigurazio komandoen zerrenda batekin:
irten - aplikatu aldaketak eta irten ezarpenak;
izena - idatzi VLAN izen pertsonalizatu bat;
ez - bertan behera utzi komandoa edo ezarri lehenetsi gisa.
Horrek esan nahi du create VLAN komandoa sartu aurretik, name komandoa sartu behar duzula, izenak kudeatzeko modua aktibatzen duena, eta ondoren sare berri bat sortzen jarraitu. Kasu honetan, sistemak VLAN zenbakia 1 eta 1005 bitarteko tartean esleitu daitekeela eskatzen du.
Beraz, orain 20 VLAN zenbakia sortzeko komandoa sartuko dugu - vlan 20, eta gero erabiltzailearen izena emango diogu, zein sare mota den erakusten duena. Gure kasuan, Langileen komandoa izena erabiltzen dugu, edo enpresako langileentzako sare bat.
Orain ataka zehatz bat esleitu behar diogu VLAN honi. Switch-en ezarpenen moduan sartzen gara int f0/1, gero eskuz aldatuko dugu ataka Sarbide modura switchport modua sartzeko komandoa erabiliz eta adieraziko dugu zein ataka aldatu behar den modu honetara - hau da VLAN10 sarerako ataka.
Honen ondoren PC0 eta switch-aren arteko konexio puntuaren kolorea, atakaren kolorea, berdetik laranjara aldatu dela ikusten dugu. Berriro berde bihurtuko da ezarpenen aldaketak eragina izan bezain laster. Saia gaitezen bigarren ordenagailuari ping egiten. Ez dugu aldaketarik egin ordenagailuen sareko ezarpenetan, oraindik 192.168.1.1 eta 192.168.1.2 IP helbideak dituzte. Baina PC0 PC1 ordenagailutik ping egiten saiatzen bagara, ez du ezerk funtzionatuko, orain ordenagailu hauek sare ezberdinetakoak baitira: lehena VLAN10-ra, bigarrena jatorrizko VLAN1-era.
Itzul gaitezen switch interfazera eta konfigura dezagun bigarren ataka. Horretarako, int f0/2 komandoa emango dut eta VLAN 20rako aurreko sare birtuala konfiguratzean egin nituen urrats berdinak errepikatuko ditut.
Ikusten dugu orain bigarren ordenagailua konektatuta dagoen etengailuaren beheko atakak ere kolorea aldatu duela berdetik laranjara; segundo batzuk igaro behar dira ezarpenen aldaketak eragina izan arte eta berriro berde bihurtu da. Bigarren ordenagailuari berriro ping egiten hasten bagara, ez du ezerk funtzionatuko, ordenagailuak oraindik sare ezberdinetakoak direlako, PC1 bakarrik da orain VLAN1ren parte, ez VLAN20.
Horrela, etengailu fisiko bat bi etengailu logiko desberdinetan banatu duzu. Ikusten duzu orain portuaren kolorea laranjatik berdera aldatu dela, ataka funtzionatzen ari dela, baina oraindik ez duela erantzuten beste sare batekoa delako.
Egin ditzagun aldaketak gure zirkuituan: deskonektatu ordenagailua PC1 lehen etengailutik eta konektatu bigarren etengailura, eta konektatu etengailuak kable batekin.
Haien arteko konexioa ezartzeko, bigarren switch-aren ezarpenetan sartuko naiz eta VLAN10 sortuko dut, Management izena emanez, hau da, kudeaketa-sarea. Ondoren, Sarbide modua gaituko dut eta modu hau VLAN10erako dela zehaztuko dut. Orain etengailuak konektatzen diren portuen kolorea laranjatik berdera aldatu da, biak VLAN10-n konfiguratuta daudelako. Orain enbor bat sortu behar dugu bi etengailuen artean. Bi ataka hauek Fa0/2 dira, beraz, lehen etengailuaren Fa0/2 atakarako enbor bat sortu behar duzu switchport moduko trunk komandoa erabiliz. Gauza bera egin behar da bigarren etengailuarekin, eta ondoren enbor bat eratzen da bi ataka horien artean.
Orain, lehen ordenagailutik PC1 ping-a egin nahi badut, dena aterako da, PC0 eta #0 switch-en arteko konexioa VLAN10 sare bat delako, #1 eta PC1 etengailuaren artean VLAN10 ere bada, eta bi etengailuak enbor baten bidez konektatuta daude. .
Beraz, gailuak VLAN desberdinetan kokatzen badira, ez daude elkarren artean konektatuta, baina sare berean badaude, trafikoa libreki trukatu daiteke haien artean. Saia gaitezen etengailu bakoitzean gailu bat gehitzen.
Gehitutako PC2 ordenagailuaren sare-ezarpenetan, IP helbidea 192.168.2.1 ezarriko dut, eta PC3-ren ezarpenetan, helbidea 192.168.2.2 izango da. Kasu honetan, bi PC horiek konektatuta dauden atakak Fa0/3 izendatuko dira. #0 etengailuaren ezarpenetan Sarbide modua ezarriko dugu eta ataka hau VLAN20rako pentsatuta dagoela adieraziko dugu, eta gauza bera egingo dugu #1 etengailuarekin.
Switchport access vlan 20 komandoa erabiltzen badut eta VLAN20 oraindik sortu ez bada, sistemak "Access VLAN ez da existitzen" bezalako errore bat bistaratuko du, etengailuak VLAN10-rekin soilik lan egiteko konfiguratuta daudelako.
Sortu dezagun VLAN20. "Show VLAN" komandoa erabiltzen dut sare birtualeko datu-basea ikusteko.
Sare lehenetsia VLAN1 dela ikus dezakezu, zeinetara Fa0/4 eta Fa0/24 eta Gig0/1, Gig0/2 portuetara konektatuta dauden. 10. VLAN zenbakia, Management izenekoa, Fa0/1 atakara konektatuta dago eta 20. VLAN zenbakia, VLAN0020 izenekoa lehenespenez, Fa0/3 atakara konektatuta dago.
Printzipioz, sarearen izenak ez du axola, gauza nagusia sare ezberdinetarako ez dela errepikatzen da. Sistemak lehenespenez esleitzen duen sarearen izena aldatu nahi badut, vlan 20 komandoa erabiltzen dut eta Langileak izendatzen ditut. Izen hau beste zerbaitera alda dezaket, IPphones adibidez, eta 192.168.2.2 IP helbideari ping egiten badugu, VLAN izenak ez duela esanahirik ikusiko dugu.
Aipatu nahi dudan azken gauza Kudeaketa IP-aren helburua da, azken ikasgaian hitz egin genuen horri buruz. Horretarako int vlan1 komandoa erabiltzen dugu eta 10.1.1.1 IP helbidea eta 255.255.255.0 azpisare maskara sartuko ditugu eta ondoren no shutdown komandoa gehituko dugu. Kudeaketa IP esleitu dugu ez switch osorako, baizik eta VLAN1 portuetarako soilik, hau da, VLAN1 sarea kudeatzen den IP helbidea esleitu dugu. VLAN2 kudeatu nahi badugu, dagokion interfazea sortu behar dugu VLAN2. Gure kasuan, VLAN10 ataka urdinak eta VLAN20 ataka laranja daude, 192.168.1.0 eta 192.168.2.0 helbideei dagozkienak.
VLAN10-ek barruti berean kokatutako helbideak izan behar ditu, gailu egokiak bertara konektatu ahal izateko. VLAN20rako antzeko ezarpena egin behar da.
Switch komando lerroko leiho honek VLAN1 interfazearen ezarpenak erakusten ditu, hau da, jatorrizko VLAN.
VLAN10-rako Kudeaketa IPa konfiguratzeko, int vlan 10 interfaze bat sortu behar dugu, eta gero 192.168.1.10 IP helbidea eta 255.255.255.0 azpisare maskara gehitu behar ditugu.
VLAN20 konfiguratzeko, int vlan 20 interfaze bat sortu behar dugu, eta ondoren 192.168.2.10 IP helbidea eta 255.255.255.0 azpisare maskara gehitu.
Zergatik da beharrezkoa? Ordenagailua PC0 eta #0 etengailuaren goiko ezkerreko ataka 192.168.1.0 sarekoak badira, PC2 192.168.2.0 sarekoa da eta jatorrizko VLAN1 atakara konektatuta dago, zeina 10.1.1.1 sarekoa dena, orduan PC0 ezin da ezarri. etengailu honekin komunikazioa SSH protokoloaren bidez sare ezberdinetakoak direlako. Beraz, PC0 SSH edo Telnet bidez etengailuarekin komunikatzeko, Sarbiderako sarbidea eman behar diogu. Horregatik behar dugu sarearen kudeaketa.
PC0 SSH edo Telnet erabiliz VLAN20 interfazearen IP helbidearekin lotu eta SSH bidez behar ditugun aldaketak egiteko gai izan beharko genuke. Beraz, Kudeaketa IP beharrezkoa da VLANak konfiguratzeko bereziki, sare birtual bakoitzak bere sarbide-kontrola izan behar duelako.
Gaurko bideoan, gai asko eztabaidatu ditugu: oinarrizko switch ezarpenak, VLANak sortzea, VLAN atakak esleitzea, VLANen Kudeaketa IP esleitzea eta trunkak konfiguratzea. Ez zaitez lotsatu zerbait ulertzen ez baduzu, hau naturala da, VLAN oso gai konplexu eta zabala baita, etorkizuneko ikasgaietan itzuliko duguna. Nire laguntzarekin VLAN maisu bihurtu zaitezkeela bermatzen dut, baina ikasgai honen helburua 3 galdera argitzea zen: zer dira VLANak, zergatik behar ditugu eta nola konfiguratu.
Eskerrik asko gurekin geratzeagatik. Gustuko dituzu gure artikuluak? Eduki interesgarri gehiago ikusi nahi? Lagun iezaguzu eskaera bat eginez edo lagunei gomendatuz, % 30eko deskontua Habr erabiltzaileentzat sarrera-mailako zerbitzarien analogo berezi batean, guk zuk asmatu duguna: (RAID1 eta RAID10-ekin erabilgarri, 24 nukleoraino eta 40 GB DDR4 arte).
Dell R730xd 2 aldiz merkeagoa? Hemen bakarrik Herbehereetan! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - 99 $-tik aurrera! Irakurri buruz
Iturria: www.habr.com