Mielőtt belevágnánk a VLAN alapjaiba, szeretném, ha mindenki szüneteltetné a videót, megnyomná a bal alsó sarokban található Networking consultant ikont, ellátogatna a Facebook oldalunkra és lájkolná azt. Ezután térjen vissza a videóhoz, és kattintson a jobb alsó sarokban található King ikonra, hogy feliratkozzon hivatalos YouTube csatornánkra. Folyamatosan új sorozatokat adunk hozzá, jelenleg a CCNA kurzusra vonatkozóan, majd tervezzük indulge.com CCNA Security, Network+, PMP, ITIL és Prince2 videósorozatok elindítását, és ezeket a remek sorozatokat megosztani a csatornánkon.
Ma a VLAN alapjairól fogunk beszélni, és válaszolunk három kérdésre: mi az a VLAN, miért van szükségünk VLAN-ra és hogyan állíthatjuk be azt. Remélem, hogy a videó megtekintése után mindhárom kérdésre tudni fogja a választ.
Mi az a VLAN? A VLAN a "virtuális helyi hálózat" rövidítése. Az óránk folyamán megnézzük, miért nevezhető ez a hálózat virtuálisnak, de mielőtt átérnénk a VLAN-ra, meg kell értenünk, hogyan működik a switch. Ismét áttekintjük néhány kérdést, amelyeket a korábbi órákon már tárgyaltunk.
Először beszéljünk a Többszörös Ütközési Domaínról, vagyis a ütközésekről. Tudjuk, hogy ez a 48 portos switch 48 ütközési doménával rendelkezik. Ez azt jelenti, hogy mindezek a portok, vagy a portokhoz csatlakoztatott eszközök másik porton lévő eszközzel független módon tudnak kölcsönhatásba lépni, anélkül, hogy hatással lennének egymásra.
Ennek a switchnek az összes 48 portja egyetlen Broadcast Domain részét képezi. Ez azt jelenti, hogy ha több eszköz csatlakozik több portra, és az egyik széleskörű adást végez, az a többi eszközhöz csatlakozott portokon is megjelenik. Így működik a switch.
Olyan ez, mintha az emberek egy szobában ülnek közel egymáshoz, és amikor az egyikük hangosan mond valamit, azt a többiek is hallják. Ez azonban rendkívül hatástalan – minél több ember kerül a szobába, annál zajosabb lesz, és a jelenlévők elkezdenek elveszíteni a hallásukat. Ugyanez a helyzet a számítógépekkel – minél több eszköz csatlakozik egyetlen hálózathoz, annál nagyobb lesz a széleskörű adás „hangereje”, ami megakadályozza a hatékony kommunikációt.
Tudjuk, hogy ha bármelyik eszköz csatlakozik a 192.168.1.0/24 hálózathoz, akkor minden másik eszköz is ennek a hálózatnak a részét képezi. A switchnek is ugyanazzal az IP címmel kell csatlakoznia a hálózathoz. Azonban a switch, mint a 2. szintű OSI eszköz, problémába ütközhet. Ha két eszköz csatlakozik ugyanahhoz a hálózathoz, könnyen tudnak kommunikálni egymással. Tegyük fel, hogy a cégünkben dolgozik egy „gonosz fickó”, egy hacker, akit fent ábrázoltam. Alatta található a számítógépem. Nos, ennek a hackernek nagyon könnyű bejutnia a számítógépembe, mert a mi számítógépeink ugyanannak a hálózatnak a részét képezik. Ez a probléma lényege.
Ha én az adminisztratív vezetőséghez tartozom, és ez az új srác hozzáférést kap a fájljaimhoz a számítógépemen, az nagyon kellemetlen lesz. Természetesen a számítógépemen van tűzfal, amely számos fenyegetéstől véd, de a hackernek nem okoz nehézséget, hogy megkerülje azt.
A második veszély, ami mindenki számára fennáll, aki ennek a széleskörű tartomány hálózatának a tagja, az az, hogy ha valakinek problémái vannak a széleskörű átvitekkel, akkor ez a zavar más eszközökre is hatással lesz a hálózaton. Bár az összes 48 port különböző hostokhoz csatlakozhat, egy host meghibásodása befolyásolja a többi 47-et is, ami számunkra nem kívánatos.
A probléma megoldására a VLAN, azaz virtuális helyi hálózat koncepcióját használjuk. Ez nagyon egyszerűen működik, szétválasztva ezt a nagy, 48 portos switchet több kisebb switchre.
Tudjuk, hogy a subnetek egy nagy hálózatot több kisebb hálózatra osztanak, és a VLAN hasonló módon működik. Például a 48 portos switch-et négy 12 portos switchre osztja, amelyek mindegyike egy új, csatlakoztatott hálózat részét képezi. Ezenkívül használhatjuk az 12 portot a kezelésre, 12 portot az IP telefonálásra és így tovább, tehát a switch-et nem fizikailag, hanem logikailag, virtuálisan osztjuk fel.
Kijelöltem három portot a felső switchen, amelyeket kék színnel jelöltem, a "kék" VLAN10 hálózat számára, míg három narancssárga portot a VLAN20-hoz rendeltem. Így bármely forgalom ezen kék portok egyikéről kizárólag más kék portokra érkezik, anélkül, hogy a switch többi portját érintené. Hasonlóan működik a narancssárga portokkal is, tehát mintha két különálló fizikai switch-et használnánk. Így a VLAN egy módszer arra, hogy a switch-et különböző hálózatok számára több switch-re oszthassuk.
Fent két switch-et rajzoltam, itt van egy helyzet, amikor a bal switch-en csak a kék portok kapcsolatai vannak használatban egy hálózathoz, míg a jobb oldalon csak a narancssárgák egy másik hálózathoz, és ezek a switch-ek semmilyen módon nincsenek összekötve.
Tegyük fel, hogy több portot szeretnénk használni. Képzeljük el, hogy két épületünk van, mindegyikben saját adminisztratív személyzettel, és a alsó switch két narancssárga portját az adminisztrációhoz használják. Ezért szükségünk van arra, hogy ezek a portok összeköttetésben álljanak a többi narancssárga porttal más switch-ekben. Hasonló helyzet áll fenn a kék portokkal is - az összes kék portnak a felső switch-en kapcsolatban kell állnia a hasonló színű többi porttal. Ehhez fizikailag össze kell kötnünk ezeket a két switch-et külön vonalon az eltérő épületek között, amit a rajzon a két zöld színű port közötti vonal jelöl. Mint tudjuk, ha két switch fizikailag összekapcsolva van, akkor egy trunk, vagy gerinc létrejön.
Mi a különbség a hagyományos és a VLAN switch között? A különbség nem nagy. Amikor új switch-t vásárol, alapértelmezés szerint az összes port VLAN üzemmódra van beállítva, és egy hálózat részét képezi, amelyet VLAN1-ként jelölnek. Ezért amikor egy eszközt csatlakoztatunk az egyik portra, az összes többi porttal is összekapcsolódik, mert mind a 48 port az egyetlen virtuális VLAN1 hálózathoz tartozik. De ha a kék portokat VLAN10 hálózatra állítjuk, a narancssárgákat VLAN20-ra, a zöldeket pedig VLAN1-re, akkor három különböző switchet kapunk. Így a virtuális hálózati üzemmód használata lehetővé teszi a portok logikai csoportosítását bizonyos hálózatokhoz, a broadcast forgalom szétszabdalását, és alhálózatok létrehozását. Minden egyes színű port külön hálózathoz tartozik. Ha a kék portok a 192.168.1.0 hálózaton dolgoznak, és a narancssárga portok is a 192.168.1.0 hálózaton, akkor hiába van azonos IP-címük, nem fognak kapcsolódni egymáshoz, mert logikailag különböző switchekhez tartoznak. Ahogy tudjuk, a különböző fizikai switchek nem kommunikálnak egymással, kivéve ha közös kapcsolat van közöttük. Így különböző alhálózatokat hozunk létre különböző VLANokhoz.
Szeretném figyelmedbe ajánlani, hogy a VLAN koncepció csak a switchekre vonatkozik. Az, aki ismeri az enkapszulációs protokollokat, mint például .1Q vagy ISL, tudja, hogy sem a routerek, sem a számítógépek nem rendelkeznek VLAN-nal. Amikor például a számítógépet az egyik kék portra csatlakoztatja, semmit sem változtat meg a számítógépen, minden változás csak a második OSI rétegben, a switch szintjén történik. Amikor a portokat egy konkrét VLAN10 vagy VLAN20 hálózatra állítjuk be, a switch létrehozza a VLAN adatbázist. „Feljegyzi” magának, hogy az 1, 3 és 5 portok a VLAN10-hez tartoznak, a 14, 15 és 18 portok a VLAN20 hálózat részét képezik, míg a többi érintett port a VLAN1 része. Ezért ha bármilyen forgalom a kék 1-es portról érkezik, csak a 3-as és 5-ös portokra jut el a VLAN10 ezen hálózatán. A switch a saját adatbázisában ellenőrzi, és látja, hogy ha a forgalom bármelyik narancssárga portról érkezik, akkor csak a VLAN20 narancssárga portjaira kell eljutnia.
A számítógép azonban semmit sem tud az VLAN hálózatokról. Amikor összekapcsolunk 2 switch-et, zöld portok között trunk alakul ki. A „trunk” kifejezés csak a Cisco eszközeire vonatkozik, más gyártók, mint például a Juniper, a Tag port kifejezést használják, ami „címkézett port”-ot jelent. Úgy gondolom, hogy a Tag port név sokkal megfelelőbb. Amikor a forgalom elhagyja ezt a hálózatot, a trunk ezt minden portjára átadja a következő switch-nek, ami azt jelenti, hogy ha összekapcsolunk két 48 portos switch-et, egy 96 portos switch-et kapunk. Mikor forgalmat küldünk a VLAN10-ből, az címkézetté válik, tehát megkapja azt a címkét, amely megmutatja, hogy ez csak a VLAN10 hálózat portjai számára készült. A második switch, miután megkapta ezt a forgalmat, leolvassa a címkét, és megérti, hogy ez a forgalom kifejezetten a VLAN10 hálózat számára készült, és csak a kék portokra kell irányítani. Hasonlóképpen, a VLAN20 számára „narancssárga” forgalom is címkét kap, amely jelez, hogy ez a VLAN20 portjaira szól a második switch-en.
Emellett említettük az enkapszulációt, és itt két enkapszulációs módszer van. Az első a .1Q, tehát amikor trunkot szervezünk, biztosítanunk kell az enkapszulációt. Az .1Q enkapszulációs protokoll egy nyílt szabvány, amely a forgalom címkézésének eljárását írja le. Van egy másik protokoll is, az ISL, azaz Inter-Switch Link, amelyet a Cisco fejlesztett ki, és amely jelzi, hogy a forgalom egy adott VLAN-hoz tartozik. Minden modern switch az .1Q protokollal működik, így ha új switch-et hoz a dobozból, akkor nem szükséges semmilyen enkapszulációs parancsot használnia, mert alapértelmezetten .1Q protokoll szerint történik. Így, miután trunkot hozunk létre, a forgalom enkapszulációja automatikusan megtörténik, amely lehetővé teszi a címkék leolvasását.
Most pedig áttérünk a VLAN hálózat konfigurálására. Hozzunk létre egy hálózatot, amelyben 2 switch és két végberendezés – PC1 és PC2 számítógépek – található, amelyeket kábelekkel kapcsolunk össze a #0 switch-csel. Kezdjük a switch alapbeállításaival.
Ehhez kattintsunk a switche és lépjünk be a parancssori felületre, majd állítsuk be a gazdagép nevét, nevezzük el ezt a switchet sw1-nek. Most lépjünk az első számítógép beállításaihoz, és állítsunk be egy statikus IP-címet 192.168.1.1 és alhálózati maszkot 255.255.255.0. Az alapértelmezett átjáróra nincs szükség, mert minden eszközünk egy hálózaton belül van. Ezt követően ugyanezt a második számítógép számára is elvégezzük, hozzárendelve neki az IP-címet 192.168.1.2.
Most térjünk vissza az első számítógéphez, hogy pingeljük meg a második számítógépet. Ahogy látjuk, a pingelés sikeresen zajlott, mert mindkét számítógép csatlakozik ugyanahoz a switch-hez, és az alapértelmezett VLAN1 hálózat részei. Ha most megnézzük a switch interfészeit, látni fogjuk, hogy az összes FastEthernet port 1-től 24-ig és a két GigabitEthernet port a VLAN #1-re van állítva. Azonban ilyen felesleges elérhetőségre nincs szükség, ezért belépünk a switch beállításaiba, és beírjuk a show vlan parancsot, hogy megvizsgáljuk a virtuális hálózatok adatbázisát.
Itt látja a VLAN1 névvel ellátott hálózatot és azt, hogy az összes switch port ehhez a hálózathoz tartozik. Ez azt jelenti, hogy bármelyik porthoz csatlakozhatunk, és mindegyik port "kommunikálni" tud egymással, mert ugyanannak a hálózatnak a részei.
Megváltoztatjuk ezt a helyzetet, ezért először létrehozunk két virtuális hálózatot, azaz hozzáadjuk a VLAN10-et. Egy virtuális hálózat létrehozásához a "vlan hálózati szám" típusú parancsot használjuk.
Ahogy látja, a hálózat létrehozására tett kísérlet során a rendszer egy üzenetet adott vissza a VLAN konfigurációs parancsait tartalmazó listával, amelyeket ehhez a művelethez kell használni:
exit – alkalmazza a változtatásokat és lépjen ki a beállításokból;
name – írjon be egy felhasználói nevet a VLAN számára;
no – törölje a parancsot vagy állítsa vissza az alapértelmezett állapotára.
Ez azt jelenti, hogy mielőtt beírná a VLAN létrehozásához szükséges parancsot, először a name parancsot kell beírnia, amely aktiválja a névadási módot, majd lépjen tovább az új hálózat létrehozására. Ekkor a rendszer arra figyelmeztet, hogy a VLAN-hálózati szám a 1 és 1005 közötti tartományban állítható be.
Tehát most beírjuk a VLAN 20-as számú hálózat létrehozásához szükséges parancsot – vlan 20, majd felhasználói nevet adunk neki, amely megmutatja, hogy miről van szó. A mi esetünkben a name Employees parancsot használjuk, vagyis a vállalati alkalmazottak hálózata.
Most már meg kell határoznunk a VLAN számára egy konkrét portot. Belépünk a switch beállítási módjába az int f0/1 paranccsal, majd manuálisan átváltjuk a portot Access módba a switchport mode access paranccsal, és megadjuk, hogy melyik portot kell ebbe a módba állítani – ez a VLAN10 hálózat portja.
Látjuk, hogy ezután a PC0 és a switch közötti kapcsolat színének, a portnak a színe megváltozott zöldről narancssárgára. Újra zöld lesz, amint a beállítási módosítások érvénybe lépnek. Próbáljuk meg pingelni a második számítógépet. Nem végeztünk el semmilyen változtatást a számítógépek hálózati beállításaiban, továbbra is az 192.168.1.1 és 192.168.1.2 IP-címekkel rendelkeznek. De ha megpróbáljuk a PC0-ról pingelni a PC1-et, semmi nem fog sikerülni, mert ezek a számítógépek most különböző hálózatokhoz tartoznak: az első a VLAN10-hez, a második pedig a native VLAN1-hez.
Térjünk vissza a switch interfészéhez, és állítsuk be a második portot. Ehhez beírom az int f0/2 parancsot, és megismétlem a 20-as VLAN hálózatra vonatkozó lépéseket, mint az előző virtuális hálózat beállításakor.
Látjuk, hogy most a switch alsó portja, amelyhez a második számítógép csatlakozik, szintén megváltoztatta a színét zöldről narancssárgára – néhány másodpercre van szükség ahhoz, hogy a beállítások módosítása érvénybe lépjen, és újra zöld legyen. Ha újra megpróbáljuk pingelni a második számítógépet, semmi nem fog sikerülni, mert a számítógépek továbbra is különböző hálózatokhoz tartoznak, csak a PC1 már nem VLAN1-hez, hanem VLAN20-hoz tartozik.
Így egy fizikailag egy switch-et két külön logikai switch-re osztottál. Látod, hogy most a port színe narancssárgáról zöldre változott, a port működik, de még mindig nem pingelhető, mert más hálózathoz tartozik.
Változtassunk a sémán – válasszuk le a PC1-et az első switch-ről, és csatlakoztassuk a második switch-hez, míg a switch-eket kábellel összekötjük.
Ahhoz, hogy kapcsolatot létesítsek közöttük, belépek a második switch beállításaiba, és létrehozok egy VLAN10-et, amelynek a neve Management, azaz kezelőhálózat. Ezután engedélyezem az Access módot, és megadom, hogy ez a mód a VLAN10-es hálózat számára készült. Most a switch-ek közötti portok színe megváltozott narancssárgáról zöldre, mert mindkettő VLAN10-re van beállítva. Most létre kell hoznunk egy trunk kapcsolatot a két switch között. Mindkét port Fa0/2, ezért trunk kapcsolatot kell létrehoznunk az első switch Fa0/2 portján a switchport mode trunk parancs használatával. Ugyanazt el kell végezni a második switch esetében, így a két port között trunk jön létre.
Most, ha pingelni szeretnék az első számítógépről a PC1 számítógépet, az sikerülni fog, mert a kapcsolat a PC0 és a #0 switch között VLAN10-es hálózat, a #1 switch és a PC1 között is VLAN10, és a két switch trunkon keresztül van összekötve.
Tehát, ha az eszközök különböző VLAN hálózatokban helyezkednek el, akkor nincsenek kapcsolatban egymással, ha viszont ugyanabban a hálózatban vannak, szabadon válthatnak forgalmat egymás között. Próbáljuk meg minden switch-hez hozzáadni még egy-egy eszközt.
A csatlakoztatott PC2 számítógép hálózati beállításaiban 192.168.2.1 IP-címet állítok be, míg a PC3 beállításaiban 192.168.2.2 címet. E közben azok a portok, amelyekhez a két PC csatlakozik, Fa0/3 jelölést kapnak. A #0 switch beállításaiban Access módban megadjuk, hogy ez a port VLAN20 számára készült, és ugyanezt elvégezzük a #1 switch esetében is.
Ha a switchport access vlan 20 parancsot használom, és a VLAN20 még nem lett létrehozva, a rendszer hibát jelez, miszerint „Access VLAN does not exist”, mert a switch-ek csak VLAN10 működésére vannak beállítva.
Hozzuk létre a VLAN20-at. A „show vlan” parancsot használom, hogy megtekinthessem a virtuális hálózatok adatbázisát.
Látja, hogy az alapértelmezett hálózat a VLAN1, amelyhez a Fa0/4-től Fa0/24-ig és a Gig0/1, Gig0/2 portok csatlakoznak. A 10-es számú virtuális hálózat, melynek neve Management, a Fa0/1 porthoz csatlakozik, míg a 20-as számú VLAN, amelynek alapértelmezett neve VLAN0020, a Fa0/3 porthoz csatlakozik.
Elvileg a hálózat neve nem számít, a lényeg, hogy ne ismétlődjön különböző hálózatok számára. Ha szeretném megváltoztatni a hálózat nevét, amelyet a rendszer alapértelmezetten hozzárendel, a vlan 20 és a name Employees parancsot használom. Ezt a nevet megváltoztathatom egy másikra, például IPphones-ra, és ha pingeljük az 192.168.2.2 IP-címet, akkor látni fogjuk, hogy a VLAN neve nem számít.
Az utolsó dolog, amit meg szeretnék említeni, a Management IP hozzárendelés, amiről az utolsó órán beszéltünk. Ehhez az int vlan1 parancsot használjuk, és megadjuk a 10.1.1.1 IP-címet és a 255.255.255.0 alhálózati maszkot, majd hozzáadjuk a no shutdown parancsot. A Management IP-t nem az egész switchhez rendeltük, hanem csak a VLAN1 portokhoz, tehát az IP-címet, ahonnan a VLAN1 hálózatot irányítják. Ha VLAN2-t szeretnénk irányítani, létre kell hoznunk a megfelelő interfészt VLAN2 számára. A mi esetünkben vannak kék VLAN10 portok és narancssárga VLAN20 portok, amelyekhez a 192.168.1.0 és 192.168.2.0 címek tartoznak.
A VLAN10-nek ugyanabban a tartományban kell lennie, hogy a megfelelő eszközök csatlakozni tudjanak hozzá. Hasonló beállítást kell végezni a VLAN20 esetében is.
A switch parancssorában a VLAN1 interfész beállításai láthatók, azaz a natív VLAN.
A VLAN10 Management IP beállításához létre kell hoznunk az int vlan 10 interfészt, majd hozzáadni a 192.168.1.10 IP-címet és a 255.255.255.0 alhálózati maszkot.
A VLAN20 beállításához létre kell hoznunk az int vlan 20 interfészt, majd hozzáadni a 192.168.2.10 IP-címet és a 255.255.255.0 alhálózati maszkot.
Miért van erre szükség? Ha a PC0 számítógép és a switch #0 bal felső portja a 192.168.1.0 hálózathoz tartozik, a PC2 a 192.168.2.0 hálózatba tartozik és a natív VLAN1 portra van csatlakoztatva, amely a 10.1.1.1 hálózathoz tartozik, akkor a PC0 nem tud kapcsolatot létesíteni a switch-csel SSH protokollon keresztül, mert különböző hálózatokhoz tartoznak. Ezért, hogy a PC0 kapcsolatba léphessen a switch-csel SSH vagy Telnet protokollon keresztül, hozzáférést kell biztosítanunk neki. Ezért szükség van a hálózat irányítására.
Mennie kell, hogy a PC0 SSH vagy Telnet segítségével összekapcsolódjon a VLAN20 interfész IP-címével, és bármilyen szükséges módosítást elvégezhessünk SSH-n keresztül. Így a Management IP kifejezetten a VLAN beállításához szükséges, mert minden virtuális hálózatnak meg kell határoznia a saját hozzáférési irányítását.
A mai videóban sok kérdést megvitattunk: a switch alapbeállításai, VLAN hálózatok létrehozása, VLAN portok hozzárendelése, a VLAN hálózatokhoz tartozó Management IP hozzárendelése és a trunkok beállítása. Ne zavarjon, ha valamit nem értettél, ez természetes, mert a VLAN egy nagyon bonyolult és kiterjedt téma, amellyel a következő leckék során fogunk foglalkozni. Garantálom, hogy a segítségemmel "mesterévé" válhatsz a VLAN-nak, de ennek a leckének a célja az volt, hogy három kérdésre világos választ adjunk: mi is valójában a VLAN hálózatok, miért van szükség rájuk, és hogyan kell őket konfigurálni.
Köszönjük, hogy velünk maradnak. Tetszenek Önöknek a cikkeink? Szeretnének több érdekes anyagot látni? Támogassanak minket rendelés leadásával vagy ismerősöknek való ajánlással. 30% kedvezmény a Habr felhasználóinak az egyedülálló entry-level szervereinkre, amelyet Önöknek találtunk ki: (elérhetők RAID1 és RAID10 opciók, akár 24 magig és 40GB DDR4-ig).
Dell R730xd két alkalommal olcsóbban? Csak nálunk Hollandiában! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — 99 dollártól! Olvasd el ezt
Forrás: habr.com
