Prima di iniziare con i fondamenti del VLAN, vi chiederei di mettere in pausa questo video, cliccare sull'icona nell'angolo in basso a sinistra, dove c'è scritto Networking consultant, visitare la nostra pagina Facebook e mettere un like. Poi tornate al video e cliccate sull'icona King nell'angolo in basso a destra per iscrivervi al nostro canale ufficiale su YouTube. Aggiungiamo costantemente nuove serie; attualmente ci occupiamo del corso CCNA, poi prevediamo di avviare il corso di video lezioni CCNA Security, Network+, PMP, ITIL, Prince2 e pubblicheremo queste fantastiche serie sul nostro canale.
Oggi parleremo dei fondamenti del VLAN e risponderemo a tre domande: cos'è il VLAN, perché abbiamo bisogno del VLAN e come configurarlo. Spero che dopo aver visto questo video sarete in grado di rispondere a tutte e tre le domande.
Cos'è il VLAN? VLAN è l'acronimo di "rete locale virtuale". Durante la lezione esamineremo perché questa rete è considerata virtuale, ma prima di passare al VLAN, dobbiamo capire come funziona uno switch. Rivedremo alcune delle questioni che abbiamo trattato nelle lezioni precedenti.
Iniziamo discutendo cosa sia un dominio di collisione multiplo. Sappiamo che questo switch a 48 porte ha 48 domini di collisione. Ciò significa che ciascuna di queste porte o i dispositivi collegati a queste porte possono interagire con altri dispositivi su porte diverse in modo indipendente, senza influenzarsi a vicenda.
Tutte le 48 porte di questo switch fanno parte di un unico dominio di broadcast. Ciò significa che se più dispositivi sono collegati a più porte e uno di essi invia un messaggio di broadcast, questo apparirà su tutte le porte a cui sono collegati gli altri dispositivi. Questo è il modo in cui funziona uno switch.
È come se le persone fossero sedute nella stessa stanza, vicine l'una all'altra, e quando uno di loro parla ad alta voce, tutti gli altri lo sentono. Tuttavia, questo è completamente inefficace: più persone ci sono nella stanza, più diventa rumorosa e i presenti smettono di sentirsi. Una situazione analoga si verifica con i computer: più dispositivi si connettono a una rete, maggiore è la "volume" della trasmissione broadcast, il che impedisce una comunicazione efficace.
Sappiamo che se uno di questi dispositivi è connesso alla rete 192.168.1.0/24, tutti gli altri dispositivi fanno parte della stessa rete. Anche lo switch deve essere collegato a una rete con lo stesso indirizzo IP. Ma qui, lo switch, essendo un dispositivo di livello 2 OSI, potrebbe avere un problema. Se due dispositivi sono connessi alla stessa rete, possono facilmente comunicare tra loro. Supponiamo che nella nostra azienda ci sia un "ragazzo cattivo", un hacker, che ho descritto sopra. Sotto di lui c'è il mio computer. Ebbene, per questo hacker è molto facile infiltrarsi nel mio computer, poiché i nostri computer fanno parte della stessa rete. Questo è il problema.
Se appartenessi alla dirigenza, e questo nuovo ragazzo potesse accedere ai file sul mio computer, non sarebbe affatto una buona cosa. Certo, sul mio computer c'è un firewall che protegge da molte minacce, ma per un hacker non sarebbe difficile aggirarlo.
Il secondo rischio, presente per chiunque faccia parte di questo dominio di broadcasting, è che se si verificano problemi con la trasmissione, tale interferenza influenzerà altri dispositivi della rete. Sebbene tutti e 48 i porti possano essere collegati a diversi host, il malfunzionamento di un host avrà ripercussioni sugli altri 47, cosa che vogliamo assolutamente evitare.
Per affrontare questo problema, utilizziamo il concetto di VLAN, ovvero rete locale virtuale. Funziona in modo molto semplice, dividendo questo grande switch a 48 porte in diversi switch di dimensioni più ridotte.
Sappiamo che le subnet dividono una grande rete in diverse piccole reti, e la VLAN funziona in modo analogo. Essa divide lo switch a 48 porte, ad esempio, in 4 switch da 12 porte, ognuno dei quali fa parte di una nuova rete connessa. In questo modo, possiamo utilizzare 12 porte per la gestione, 12 porte per la telefonia IP e così via, ovvero suddividere lo switch non fisicamente, ma logicamente, in modo virtuale.
Ho assegnato tre porte superiori dell'interruttore, contrassegnate in blu, alla rete "blu" VLAN10, mentre tre porte arancioni sono designate per VLAN20. In questo modo, tutto il traffico proveniente da una di queste porte blu raggiungerà solo altre porte blu, senza influenzare le altre porte dell'interruttore. Analogamente, il traffico proveniente dalle porte arancioni si comporterà nello stesso modo, come se stessimo utilizzando due diversi interruttori fisici. Così, VLAN è un modo per suddividere un interruttore in più interruttori per reti differenti.
Ho disegnato due interruttori nella parte superiore, qui abbiamo una situazione in cui sull'interruttore di sinistra sono attive solo le connessioni delle porte blu per una rete, mentre su quello di destra sono attive solo le porte arancioni per un'altra rete, e questi interruttori non sono collegati tra loro.
Supponiamo che tu voglia utilizzare più porte. Immagina di avere 2 edifici, ciascuno con il proprio personale di gestione, e due porte arancioni dello switch inferiore utilizzate per la gestione. Pertanto, è necessario collegare queste porte a tutte le porte arancioni di altri switch. La stessa situazione si applica alle porte blu: tutte le porte blu dello switch superiore devono essere collegate alle altre porte dello stesso colore. Per fare ciò, dobbiamo collegare fisicamente questi due switch in diversi edifici tramite una linea di comunicazione, come illustrato nel disegno, che rappresenta la linea tra due porte di colore verde. Come sappiamo, se due switch sono connessi fisicamente, si crea un trunk.
Qual è la differenza tra uno switch normale e uno switch VLAN? Non c'è una grande differenza. Quando acquisti un nuovo switch, per impostazione predefinita tutte le porte sono configurate in modalità VLAN e fanno parte di una rete, designata come VLAN1. Ecco perché, quando colleghiamo un dispositivo a una porta, esso risulta connesso a tutte le altre porte, dato che tutte le 48 porte appartengono alla stessa rete virtuale VLAN1. Tuttavia, se configuriamo le porte blu per funzionare nella rete VLAN10, quelle arancioni nella rete VLAN20 e quelle verdi in VLAN1, otteniamo 3 switch diversi. L'uso della modalità VLAN ci consente quindi di raggruppare logicamente le porte in reti specifiche, separare il traffico broadcast in parti e creare sottoreti. Ogni porta di un colore specifico appartiene a una rete separata. Se le porte blu operano nella rete 192.168.1.0 e le porte arancioni nella stessa rete 192.168.1.0, nonostante gli indirizzi IP identici, non saranno collegate tra loro, poiché logicamente appartengono a switch diversi. E come sappiamo, switch fisici diversi non comunicano tra loro se non sono collegati tramite una linea di comunicazione comune. Così facendo, creiamo diverse sottoreti per diverse VLAN.
Vorrei richiamare la vostra attenzione sul fatto che il concetto di VLAN si applica solo agli switch. Chi è familiare con i protocolli di incapsulamento, come .1Q o ISL, sa che né i router né i computer possiedono VLAN. Quando colleghi il tuo computer, ad esempio, a una delle porte blu, non cambi nulla nel computer; tutte le modifiche avvengono solo al secondo livello OSI, quello dello switch. Quando configuriamo le porte per lavorare con una rete VLAN10 o VLAN20 specifica, lo switch crea un database VLAN. Essa "memorizza" che le porte 1, 3 e 5 appartengono a VLAN10, le porte 14, 15 e 18 fanno parte della rete VLAN20, mentre le altre porte coinvolte sono parte della rete VLAN1. Pertanto, se un traffico proviene dalla porta blu 1, esso raggiunge solo le porte 3 e 5 della stessa rete VLAN10. Lo switch "consulta" il suo database e vede che se il traffico proviene da una delle porte arancioni, deve andare solo alle porte arancioni della rete VLAN20.
Tuttavia, il computer non ha conoscenza di queste reti VLAN. Quando colleghiamo 2 switch, tra le porte verdi si crea un trunk. Il termine "trunk" è valido solo per i dispositivi Cisco, mentre altri produttori di dispositivi di rete, come Juniper, usano il termine Tag port, o "porta etichettata". Ritengo che il termine Tag port sia più appropriato. Quando il traffico esce da questa rete, il trunk lo trasmette a tutte le porte del successivo switch, permettendo di unire due switch da 48 porte in uno da 96 porte. In questo modo, quando inviamo traffico da VLAN10, esso viene etichettato, cioè riceve un'etichetta che indica che è destinato solo alle porte della rete VLAN10. Il secondo switch, ricevuto questo traffico, legge l'etichetta e comprende che si tratta di traffico specifico per la rete VLAN10 e deve essere inviato solo alle porte blu. Allo stesso modo, il traffico "arancione" per VLAN20 è contrassegnato da un'etichetta che indica che è destinato alle porte VLAN20 del secondo switch.
Abbiamo anche menzionato l'incapsulamento, ed esistono due metodi di incapsulamento. Il primo è .1Q, ovvero quando organizziamo un trunk, dobbiamo garantire l'incapsulamento. Il protocollo di incapsulamento .1Q è uno standard aperto che descrive la procedura di tagging del traffico. Esiste anche un altro protocollo chiamato ISL, Inter-Switch Link, sviluppato da Cisco, che indica a quale VLAN appartiene il traffico. Tutti gli switch moderni supportano il protocollo .1Q, quindi, quando si riceve uno switch nuovo di zecca, non è necessario utilizzare alcun comando di incapsulamento, poiché di default viene effettuato dal protocollo .1Q. Pertanto, una volta creato il trunk, l'incapsulamento del traffico avviene automaticamente, consentendo di leggere i tag.
Ora procediamo alla configurazione della rete VLAN. Creeremo una rete con 2 switch e due dispositivi finali - i computer PC1 e PC2, che collegheremo via cavi allo switch #0. Iniziamo con le impostazioni di base dello switch Configurazione di base.
Facciamo clic sullo switch e accediamo all'interfaccia della riga di comando, quindi impostiamo il nome host, chiamando questo switch sw1. Adesso passiamo alle impostazioni del primo computer e impostiamo un indirizzo IP statico 192.168.1.1 e una maschera di sottorete 255.255.255.0. L'indirizzo del gateway predefinito non è necessario, poiché tutti i nostri dispositivi si trovano nella stessa rete. Successivamente, faremo esattamente la stessa cosa per il secondo computer, assegnandogli l'indirizzo IP 192.168.1.2.
Ora torniamo al primo computer per pingare il secondo computer. Come possiamo vedere, il ping è andato a buon fine perché entrambi questi computer sono collegati allo stesso switch e fanno parte della stessa rete, VLAN1 per impostazione predefinita. Se ora guardiamo le interfacce dello switch, vediamo che tutte le porte FastEthernet da 1 a 24 e due porte GigabitEthernet sono configurate su VLAN #1. Tuttavia, questa eccessiva disponibilità non è necessaria, quindi entriamo nelle impostazioni dello switch e inseriamo il comando show vlan per controllare il database delle reti virtuali.
Qui vedete il nome della rete VLAN1 e che tutte le porte dello switch appartengono a questa rete. Ciò significa che è possibile collegarsi a qualsiasi porta e tutte potranno "comunicare" tra loro perché fanno parte della stessa rete.
Cambieremo questa situazione, perciò prima creeremo due reti virtuali, ovvero aggiungeremo VLAN10. Per creare una rete virtuale si utilizza un comando del tipo «vlan numero rete».
Come vedete, nel tentativo di creare una rete, il sistema ha restituito un messaggio con un elenco dei comandi di configurazione VLAN da utilizzare per questa azione:
exit – applicare le modifiche e uscire dalle impostazioni;
name – inserire un nome personalizzato per la VLAN;
no – annullare il comando o reimpostarlo ai valori di default.
Ciò significa che prima di inserire il comando per creare la VLAN, è necessario inserire il comando name, che attiva la modalità di gestione dei nomi, e poi passare alla creazione della nuova rete. Il sistema fornisce un suggerimento che il numero della rete VLAN può essere assegnato nell'intervallo da 1 a 1005.
Dunque, ora diamo il comando per creare una rete VLAN con il numero 20 – vlan 20, e poi impostiamo un nome per l'utente che indichi di quale rete si tratta. Nel nostro caso utilizziamo il comando name Employees, o rete per i dipendenti dell'azienda.
Ora dobbiamo assegnare a questa VLAN una porta specifica. Entriamo nella modalità di configurazione dello switch int f0/1, successivamente impostiamo manualmente la porta in modalità Access con il comando switchport mode access e indichiamo quale porta deve essere tradotta in questa modalità – è la porta per la rete VLAN10.
Osserviamo che dopo ciò il colore del punto di connessione PC0 e dello switch, il colore della porta, è cambiato da verde a arancione. Tornerà di nuovo verde appena le modifiche delle impostazioni entreranno in vigore. Proviamo a pingare il secondo computer. Non abbiamo effettuato alcuna modifica alle impostazioni di rete dei computer, continuano ad avere gli indirizzi IP 192.168.1.1 e 192.168.1.2. Ma se proviamo a pingare il computer PC1 da PC0, non ci riusciremo, perché ora questi computer appartengono a reti diverse: il primo a VLAN10, il secondo – alla VLAN nativa 1.
Torniamo all'interfaccia dello switch e configuriamo la seconda porta. Per fare questo, digiterò il comando int f0/2 e ripeterò per la rete VLAN 20 gli stessi passaggi effettuati durante la configurazione della rete virtuale precedente.
Possiamo vedere che ora la porta inferiore dello switch, a cui è collegato il secondo computer, ha cambiato colore da verde a arancione – ci vorranno alcuni secondi affinché le modifiche alle impostazioni abbiano effetto e torni di nuovo verde. Se proviamo a pingare nuovamente il secondo computer, non avremo successo, poiché i computer appartengono ancora a reti diverse, solo che ora il PC1 fa parte di VLAN20 e non più di VLAN1.
In questo modo, hai suddiviso uno switch fisico in due switch logici distinti. Puoi notare che ora il colore della porta è cambiato da arancione a verde, la porta è attiva, ma non risponde comunque al ping, poiché appartiene a un'altra rete.
Apportiamo le modifiche al nostro schema: scollegheremo il computer PC1 dal primo switch e lo collegheremo al secondo switch, mentre collegheremo gli switch tra loro con un cavo.
Per stabilire una connessione tra di loro, entrerò nelle impostazioni del secondo switch e creerò VLAN10, assegnandole il nome Management, cioè la rete di gestione. Poi attiverò la modalità Access e indicherò che questa modalità è destinata alla rete VLAN10. Adesso il colore delle porte, attraverso cui sono collegati gli switch, è cambiato da arancione a verde, poiché entrambi sono configurati su VLAN10. Ora dobbiamo creare un trunk tra i due switch. Entrambe queste porte sono Fa0/2, quindi dobbiamo creare un trunk per la porta Fa0/2 del primo switch, utilizzando il comando switchport mode trunk. La stessa operazione deve essere eseguita per il secondo switch, dopo di che tra queste due porte verrà formato un trunk.
Ora, se voglio pingare dal primo computer al computer PC1, tutto funzionerà, poiché la connessione tra PC0 e lo switch #0 è sulla rete VLAN10, tra lo switch #1 e PC1 c'è anche VLAN10, e entrambi gli switch sono connessi tramite un trunk.
Quindi, se i dispositivi si trovano in reti VLAN diverse, non sono collegati tra loro, mentre se sono nella stessa rete, possono scambiare liberamente traffico. Proveremo ad aggiungere un ulteriore dispositivo a ciascun switch.
Nelle impostazioni di rete del computer aggiunto PC2 imposterò l'indirizzo IP 192.168.2.1, mentre nelle impostazioni di PC3 ci sarà l'indirizzo 192.168.2.2. Inoltre, le porte a cui sono collegati questi due PC verranno contrassegnate come Fa0/3. Nelle impostazioni dello switch #0 imposteremo la modalità Access e indicheremo che questa porta è destinata a VLAN20, e faremo lo stesso per lo switch #1.
Se utilizzo il comando switchport access vlan 20 e la rete VLAN20 non è ancora stata creata, il sistema restituirà un errore del tipo "Access VLAN does not exist", poiché gli switch sono configurati per lavorare solo con VLAN10.
Creiamo la VLAN20. Utilizzo il comando "show vlan" per visualizzare il database delle reti virtuali.
Vedete che la rete predefinita è VLAN1, a cui sono collegati le porte da Fa0/4 a Fa0/24 e Gig0/1, Gig0/2. La rete virtuale numero 10 con il nome Management è collegata alla porta Fa0/1, mentre la rete VLAN numero 20, chiamata VLAN0020, è collegata alla porta Fa0/3.
In linea di principio, il nome della rete non è importante, l'importante è che non si ripeta per reti diverse. Se voglio sostituire il nome della rete che il sistema assegna per impostazione predefinita, utilizzo il comando vlan 20 e name Employees. Posso cambiare questo nome con un altro, ad esempio IPphones, e se pingo l'indirizzo IP 192.168.2.2, vedremo che il nome VLAN non ha alcuna importanza.
L'ultima cosa che voglio menzionare è l'assegnazione dell'IP di gestione, di cui abbiamo parlato nell'ultima lezione. Per questo usiamo il comando int vlan1 e inseriamo l'indirizzo IP 10.1.1.1 e la subnet mask 255.255.255.0, quindi aggiungiamo il comando no shutdown. Abbiamo assegnato l'IP di gestione non all'intero switch, ma solo alle porte VLAN1, cioè abbiamo assegnato un indirizzo IP da cui gestire la rete VLAN1. Se vogliamo gestire VLAN2, dobbiamo creare l'interfaccia corrispondente per VLAN2. Nel nostro caso ci sono porte blu VLAN10 e porte arancioni VLAN20, che corrispondono agli indirizzi 192.168.1.0 e 192.168.2.0.
La VLAN10 deve avere indirizzi situati nello stesso intervallo, affinché i dispositivi corrispondenti possano connettersi ad essa. Una configurazione simile deve essere effettuata anche per la VLAN20.
In questa finestra del terminale dello switch vengono mostrate le impostazioni dell'interfaccia per VLAN1, cioè la native VLAN.
Per configurare l'IP di gestione per VLAN10, dobbiamo creare l'interfaccia int vlan 10 e poi aggiungere l'indirizzo IP 192.168.1.10 e la subnet mask 255.255.255.0.
Per configurare VLAN20, dobbiamo creare l'interfaccia int vlan 20 e poi aggiungere l'indirizzo IP 192.168.2.10 e la subnet mask 255.255.255.0.
Perché è necessario? Se il computer PC0 e la porta in alto a sinistra dello switch #0 appartengono alla rete 192.168.1.0, PC2 appartiene alla rete 192.168.2.0 ed è collegato alla porta native VLAN1, che appartiene alla rete 10.1.1.1, PC0 non può stabilire una connessione con questo switch tramite SSH, poiché appartengono a reti diverse. Pertanto, affinché PC0 possa comunicare con lo switch tramite SSH o Telnet, dobbiamo fornirgli accesso. Questo è il motivo per cui abbiamo bisogno della gestione della rete.
Dobbiamo essere in grado di collegare PC0 a SSH o Telnet con l'indirizzo IP dell'interfaccia VLAN20 e fare le modifiche necessarie tramite SSH. Pertanto, l'IP di gestione è necessario proprio per configurare la VLAN, poiché ogni rete virtuale deve avere la propria gestione degli accessi.
Nel video di oggi abbiamo trattato molte questioni: le impostazioni principali dello switch, la creazione di reti VLAN, l'assegnazione delle porte VLAN, l'assegnazione dell'IP di gestione per le reti VLAN e la configurazione dei trunk. Non lasciatevi scoraggiare se non avete capito qualcosa, è naturale, perché le VLAN sono un argomento molto complesso e vasto, su cui torneremo nelle prossime lezioni. Vi garantisco che con il mio aiuto potrete diventare dei "maestri" delle VLAN, ma lo scopo di questa lezione era chiarirvi tre domande: che cosa sono le reti VLAN, a cosa servono e come configurarle.
Grazie per rimanere con noi. Ti piacciono i nostri articoli? Vuoi vedere più contenuti interessanti? Supportaci effettuando un ordine o raccomandando ai tuoi amici. Sconto del 30% per gli utenti di Habr su un'alternativa unica ai server entry-level, progettata da noi per te: (disponibili opzioni con RAID1 e RAID10, fino a 24 core e fino a 40GB DDR4).
Dell R730xd a metà prezzo? Solo da noi nei Paesi Bassi! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — a partire da $99! Scopri di più su
Fonte: habr.com
