Cisco Training 200-125 CCNA v3.0. יום 11: יסודות VLAN

לפני שניכנס ליסודות ה-VLAN, אבקש מכולכם להשהות את הסרטון הזה, ללחוץ על הסמל בפינה השמאלית התחתונה שבו כתוב יועץ רשתות, עבור לדף הפייסבוק שלנו ותעשה לו לייק שם. לאחר מכן חזור לסרטון ולחץ על סמל המלך בפינה השמאלית התחתונה כדי להירשם לערוץ היוטיוב הרשמי שלנו. אנחנו כל הזמן מוסיפים סדרות חדשות, עכשיו זה נוגע לקורס CCNA, ואז אנחנו מתכננים להתחיל קורס של שיעורי וידאו CCNA Security, Network+, PMP, ITIL, Prince2 ולפרסם את הסדרות הנפלאות הללו בערוץ שלנו.

אז היום נדבר על היסודות של VLAN ונענה על 3 שאלות: מהו VLAN, למה אנחנו צריכים VLAN וכיצד להגדיר אותו. אני מקווה שאחרי צפייה בסרטון הדרכה זה תוכל לענות על כל שלוש השאלות.

מה זה VLAN? VLAN הוא קיצור של רשת תקשורת מקומית וירטואלית. בהמשך המדריך הזה נבחן מדוע רשת זו היא וירטואלית, אך לפני שנעבור לרשתות VLAN, עלינו להבין כיצד מתג עובד. נסקור כמה מהשאלות שדנו בהן בשיעורים הקודמים.

ראשית, בואו נדון מהו דומיין התנגשויות מרובות. אנו יודעים שלמתג 48 יציאות זה יש 48 תחומי התנגשות. המשמעות היא שכל אחת מהיציאות הללו, או התקנים המחוברים ליציאות אלו, יכולה לתקשר עם מכשיר אחר ביציאה אחרת באופן עצמאי מבלי להשפיע זה על זה.

כל 48 היציאות של מתג זה הן חלק מתחום שידור אחד. המשמעות היא שאם מספר מכשירים מחוברים למספר יציאות ואחת מהן משדרת, היא תופיע בכל היציאות אליהן מחוברים המכשירים הנותרים. כך בדיוק עובד מתג.

זה כאילו אנשים ישבו באותו חדר קרוב זה לזה, וכשאחד מהם אמר משהו בקול, כל השאר יכלו לשמוע אותו. עם זאת, הדבר אינו יעיל לחלוטין - ככל שיופיעו יותר אנשים בחדר, כך הוא יעשה רועש יותר והנוכחים כבר לא ישמעו זה את זה. מצב דומה נוצר עם מחשבים - ככל שמתחברים יותר מכשירים לרשת אחת, כך ה"קולניות" של השידור גוברת, מה שלא מאפשר ליצור תקשורת יעילה.

אנו יודעים שאם אחד מהמכשירים הללו מחובר לרשת 192.168.1.0/24, כל שאר המכשירים הם חלק מאותה רשת. המתג חייב להיות מחובר גם לרשת עם אותה כתובת IP. אבל כאן למתג, כמכשיר OSI שכבה 2, עשויה להיות בעיה. אם שני מכשירים מחוברים לאותה רשת, הם יכולים לתקשר בקלות זה עם המחשבים של זה. בואו נניח שלחברה שלנו יש "איש רע", האקר, שאותו אצייר למעלה. מתחתיו המחשב שלי. לכן, קל מאוד להאקר הזה לפרוץ למחשב שלי מכיוון שהמחשבים שלנו הם חלק מאותה רשת. זאת הבעיה.

אם אני שייך להנהלה האדמיניסטרטיבית והבחור החדש הזה יכול לגשת לקבצים במחשב שלי, זה לא יהיה טוב בכלל. כמובן שלמחשב שלי יש חומת אש שמגינה מפני איומים רבים, אבל להאקר לא יהיה קשה לעקוף אותה.

הסכנה השנייה שקיימת עבור כל מי שחבר בדומיין השידור הזה היא שאם למישהו יש בעיה בשידור, ההפרעה הזו תשפיע על מכשירים אחרים ברשת. למרות שניתן לחבר את כל 48 היציאות למארחים שונים, כשל של מארח אחד ישפיע על 47 האחרים, וזה לא מה שאנחנו צריכים.
כדי לפתור בעיה זו אנו משתמשים במושג VLAN, או רשת מקומית וירטואלית. זה עובד פשוט מאוד, מחלק את המתג האחד הגדול הזה עם 48 יציאות למספר מתגים קטנים יותר.

אנו יודעים שרשתות משנה מחלקות רשת אחת גדולה למספר רשתות קטנות, ורשתות VLAN פועלות בצורה דומה. הוא מחלק מתג של 48 יציאות, למשל, ל-4 מתגים של 12 יציאות, שכל אחת מהן היא חלק מרשת מחוברת חדשה. יחד עם זאת, נוכל להשתמש ב-12 יציאות לניהול, 12 יציאות לטלפוניה IP וכן הלאה, כלומר לחלק את המתג לא פיזית, אלא לוגית, וירטואלית.

הקצאתי שלוש יציאות כחולות במתג העליון עבור רשת VLAN10 הכחולה, והקצתי שלוש יציאות כתומות עבור VLAN20. לפיכך, כל תעבורה מאחת מהיציאות הכחולות הללו תעבור רק ליציאות הכחולות האחרות, מבלי להשפיע על היציאות האחרות של המתג הזה. התנועה מהיציאות הכתומות תתפזר באופן דומה, כלומר, זה כאילו אנחנו משתמשים בשני מתגים פיזיים שונים. לפיכך, VLAN היא דרך לחלק מתג למספר מתגים עבור רשתות שונות.

ציירתי למעלה שני מתגים, כאן יש לנו מצב שבמתג השמאלי מחוברות רק יציאות כחולות לרשת אחת, ומצד ימין - רק יציאות כתומות לרשת אחרת, והמתגים האלה לא מחוברים זה לזה בשום אופן .

נניח שאתה רוצה להשתמש בעוד יציאות. בואו נדמיין שיש לנו 2 בניינים, כל אחד עם צוות ניהול משלו, ושתי יציאות כתומות של המתג התחתון משמשות לניהול. לכן, אנחנו צריכים שהיציאות האלה יהיו מחוברות לכל היציאות הכתומות של מתגים אחרים. המצב דומה עם יציאות כחולות - כל היציאות הכחולות של המתג העליון חייבות להיות מחוברות ליציאות אחרות בצבע דומה. לשם כך, עלינו לחבר פיזית את שני המתגים הללו בבניינים שונים עם קו תקשורת נפרד; באיור, זהו הקו בין שני היציאות הירוקים. כפי שאנו יודעים, אם שני מתגים מחוברים פיזית, אנו יוצרים עמוד שדרה, או תא מטען.

מה ההבדל בין מתג רגיל ל-VLAN? זה לא הבדל גדול. כאשר אתה קונה מתג חדש, כברירת מחדל, כל היציאות מוגדרות במצב VLAN והן חלק מאותה רשת, המכונה VLAN1. זו הסיבה שכאשר אנו מחברים כל מכשיר ליציאה אחת, הוא בסופו של דבר מחובר לכל שאר היציאות מכיוון שכל 48 היציאות שייכות לאותו VLAN1. אבל אם נגדיר את היציאות הכחולות כך שיעבדו ברשת VLAN10, היציאות הכתומות ברשת VLAN20 והיציאות הירוקות ב-VLAN1, נקבל 3 מתגים שונים. לפיכך, שימוש במצב רשת וירטואלי מאפשר לנו לקבץ באופן הגיוני יציאות לרשתות ספציפיות, לפצל שידורים לחלקים וליצור רשתות משנה. במקרה זה, כל אחת מהיציאות של צבע מסוים שייכת לרשת נפרדת. אם היציאות הכחולות פועלות ברשת 192.168.1.0 והיציאות הכתומות עובדות ברשת 192.168.1.0, אז למרות אותה כתובת IP, הן לא יחוברו זו לזו, כי באופן הגיוני הן יהיו שייכות למתגים שונים. וכידוע, מתגים פיזיים שונים אינם מתקשרים זה עם זה אלא אם הם מחוברים על ידי קו תקשורת משותף. אז אנחנו יוצרים רשתות משנה שונות עבור רשתות VLAN שונות.

ברצוני להסב את תשומת לבך לעובדה שתפיסת ה-VLAN חלה רק על מתגים. כל מי שמכיר פרוטוקולי אנקפסולציה כגון .1Q או ISL יודע שאין לנתבים ולא למחשבים רשתות VLAN. כאשר אתה מחבר את המחשב שלך, למשל, לאחת היציאות הכחולות, אתה לא משנה כלום במחשב, כל השינויים מתרחשים רק ברמת ה-OSI השנייה, רמת המתג. כאשר אנו מגדירים יציאות לעבודה עם רשת VLAN10 או VLAN20 ספציפית, המתג יוצר מסד נתונים VLAN. הוא "רושם" בזיכרון שלו שיציאות 1,3 ו-5 שייכות ל-VLAN10, יציאות 14,15 ו-18 הן חלק מ-VLAN20, ושאר היציאות המעורבות הן חלק מ-VLAN1. לכן, אם חלק מהתנועה מגיעה מיציאה כחולה 1, היא עוברת רק ליציאות 3 ו-5 של אותו VLAN10. המתג מסתכל על מסד הנתונים שלו ורואה שאם תעבורה מגיעה מאחת היציאות הכתומות, היא צריכה לעבור רק ליציאות הכתומות של VLAN20.

עם זאת, המחשב אינו יודע דבר על ה-VLAN הללו. כאשר אנו מחברים 2 מתגים, נוצר תא מטען בין היציאות הירוקות. המונח "מטען" רלוונטי רק למכשירי Cisco; יצרני מכשירי רשת אחרים, כגון Juniper, משתמשים במונח Tag port, או "Port tagged". אני חושב שהשם Tag port מתאים יותר. כאשר תעבורה מקורה מרשת זו, הטראנק משדר אותה לכל היציאות של המתג הבא, כלומר, אנו מחברים שני מתגים של 48 יציאות ומקבלים מתג אחד של 96 יציאות. יחד עם זאת, כאשר אנו שולחים תעבורה מ-VLAN10, היא הופכת לתיוג, כלומר, היא מסופקת עם תווית שמראה שהיא מיועדת רק ליציאות של רשת VLAN10. המתג השני, לאחר שקיבל את התעבורה הזו, קורא את התג ומבין שזו תעבורה ספציפית לרשת VLAN10 וצריך לעבור רק ליציאות כחולות. באופן דומה, תעבורה "כתומה" עבור VLAN20 מתויגת כדי לציין שהיא מיועדת ליציאות VLAN20 במתג השני.

הזכרנו גם אנקפסולציה וכאן יש שתי שיטות אנקפסולציה. הראשון הוא .1Q, כלומר, כאשר אנו מארגנים תא מטען, עלינו לספק אנקפסולציה. פרוטוקול .1Q encapsulation הוא תקן פתוח המתאר את ההליך לתיוג תעבורה. קיים פרוטוקול נוסף בשם ISL, Inter-Switch link, שפותח על ידי Cisco, אשר מציין כי התעבורה שייכת ל-VLAN ספציפי. כל המתגים המודרניים עובדים עם פרוטוקול .1Q, כך שכאשר אתה מוציא מתג חדש מהקופסה, אתה לא צריך להשתמש בפקודות אנקפסולציה כלשהן, כי כברירת מחדל הוא מבוצע על ידי פרוטוקול .1Q. לפיכך, לאחר יצירת טראנק, אנקפסולציה של תנועה מתרחשת באופן אוטומטי, המאפשרת קריאת תגים.

עכשיו בואו נתחיל להגדיר את ה-VLAN. בואו ניצור רשת בה יהיו 2 מתגים ושני התקני קצה - מחשבים PC1 ו-PC2, אותם נחבר בכבלים למתג #0. נתחיל עם ההגדרות הבסיסיות של מתג התצורה הבסיסית.

כדי לעשות זאת, לחץ על המתג ועבור לממשק שורת הפקודה, ולאחר מכן הגדר את שם המארח, קורא למתג זה sw1. כעת נעבור להגדרות של המחשב הראשון ונקבע את כתובת ה-IP הסטטית 192.168.1.1 ומסיכת רשת המשנה 255.255. 255.0. אין צורך בכתובת שער ברירת מחדל מכיוון שכל המכשירים שלנו נמצאים באותה רשת. לאחר מכן, נעשה את אותו הדבר עבור המחשב השני, ונקצה לו את כתובת ה-IP 192.168.1.2.

כעת נחזור למחשב הראשון כדי לעשות פינג למחשב השני. כפי שאנו יכולים לראות, הפינג הצליח מכיוון ששני המחשבים הללו מחוברים לאותו מתג והם חלק מאותה רשת כברירת מחדל VLAN1. אם נסתכל כעת על ממשקי הבורר, נראה שכל יציאות FastEthernet מ-1 עד 24 ושתי יציאות GigabitEthernet מוגדרות ב-VLAN #1. עם זאת, אין צורך בזמינות מוגזמת כזו, אז אנחנו נכנסים להגדרות המתג ונכנסים לפקודת show vlan כדי להסתכל על מסד הנתונים של הרשת הווירטואלית.

אתה רואה כאן את השם של רשת VLAN1 ואת העובדה שכל יציאות המתג שייכות לרשת זו. זה אומר שאתה יכול להתחבר לכל יציאה וכולם יוכלו "לדבר" אחד עם השני כי הם חלק מאותה רשת.

נשנה את המצב הזה; לשם כך ניצור תחילה שתי רשתות וירטואליות, כלומר, נוסיף VLAN10. כדי ליצור רשת וירטואלית, השתמש בפקודה כמו "מספר רשת vlan".
כפי שאתה יכול לראות, בעת ניסיון ליצור רשת, המערכת הציגה הודעה עם רשימה של פקודות תצורת VLAN שיש להשתמש בהן עבור פעולה זו:

יציאה - החל שינויים והגדרות יציאה;
שם - הזן שם VLAN מותאם אישית;
לא - בטל את הפקודה או הגדר אותה כברירת מחדל.

המשמעות היא שלפני שתזין את הפקודה create VLAN, עליך להזין את פקודת השם, אשר מפעילה את מצב ניהול השמות, ולאחר מכן להמשיך ליצירת רשת חדשה. במקרה זה, המערכת מבקשת שניתן להקצות את מספר ה-VLAN בטווח שבין 1 ל-1005.
אז עכשיו אנחנו מכניסים את הפקודה ליצירת VLAN מספר 20 - vlan 20, ואז נותנים לו שם למשתמש, שמראה באיזה סוג רשת מדובר. במקרה שלנו, אנו משתמשים בשם Employees command, או רשת לעובדי החברה.

כעת עלינו להקצות יציאה ספציפית ל-VLAN הזה. אנו נכנסים למצב הגדרות המתג int f0/1, ואז מעבירים באופן ידני את היציאה למצב Access באמצעות פקודת הגישה של switchport mode ומציינים איזו יציאה צריך לעבור למצב זה - זו היציאה לרשת VLAN10.

אנו רואים שאחרי זה צבע נקודת החיבור בין PC0 למתג, צבע היציאה, השתנה מירוק לכתום. הוא יהפוך לירוק שוב ברגע ששינויי ההגדרות ייכנסו לתוקף. בוא ננסה לעשות פינג למחשב השני. לא ביצענו שינויים בהגדרות הרשת של המחשבים, עדיין יש להם כתובות IP של 192.168.1.1 ו-192.168.1.2. אבל אם ננסה לעשות ping PC0 מהמחשב PC1, שום דבר לא יעבוד, כי עכשיו המחשבים האלה שייכים לרשתות שונות: הראשון ל-VLAN10, השני ל-VLAN1 המקורי.

בואו נחזור לממשק המתג ונקבע את היציאה השנייה. לשם כך, אוציא את הפקודה int f0/2 ואחזור על אותם שלבים עבור VLAN 20 כפי שעשיתי בעת הגדרת הרשת הוירטואלית הקודמת.
אנו רואים שכעת גם היציאה התחתונה של המתג, אליו מחובר המחשב השני, שינתה את צבעו מירוק לכתום - צריכות לעבור מספר שניות לפני שהשינויים בהגדרות ייכנסו לתוקף והוא יחזור להיות ירוק. אם נתחיל לעשות שוב פינג למחשב השני, שום דבר לא יעבוד, מכיוון שהמחשבים עדיין שייכים לרשתות שונות, רק PC1 הוא כעת חלק מ-VLAN1, לא VLAN20.
לפיכך, חילקתם מתג פיזי אחד לשני מתגים לוגיים שונים. אתה רואה שצבע היציאה השתנה כעת מכתום לירוק, היציאה פועלת, אך עדיין לא מגיבה כי היא שייכת לרשת אחרת.

בואו נעשה שינויים במעגל שלנו - נתק את המחשב PC1 מהמתג הראשון ונחבר אותו למתג השני, ונחבר את המתגים עצמם עם כבל.

על מנת ליצור קשר ביניהם, אכנס להגדרות של המתג השני ואצור VLAN10, ונותן לו את השם Management, כלומר רשת הניהול. אז אני אפעיל את מצב הגישה ואציין שמצב זה מיועד ל-VLAN10. כעת צבע היציאות שדרכן מחוברים המתגים השתנה מכתום לירוק מכיוון ששניהם מוגדרים ב-VLAN10. כעת עלינו ליצור תא מטען בין שני המתגים. שתי היציאות הללו הן Fa0/2, לכן עליך ליצור טראנק עבור יציאת Fa0/2 של המתג הראשון באמצעות פקודת trunk mode switchport. את אותו הדבר יש לעשות עבור המתג השני, שלאחריו נוצר תא מטען בין שתי היציאות הללו.

עכשיו, אם אני רוצה לעשות ping PC1 מהמחשב הראשון, הכל יסתדר, כי החיבור בין PC0 למתג #0 הוא רשת VLAN10, בין מתג #1 ל-PC1 הוא גם VLAN10, ושני המתגים מחוברים באמצעות טראנק .

אז, אם התקנים ממוקמים על VLANs שונים, אז הם לא מחוברים זה לזה, אבל אם הם באותה רשת, אז תעבורה ניתן להחליף בחופשיות ביניהם. בואו ננסה להוסיף עוד מכשיר אחד לכל מתג.

בהגדרות הרשת של המחשב שנוסף PC2 אקבע את כתובת ה-IP ל-192.168.2.1 ובהגדרות של PC3 הכתובת תהיה 192.168.2.2. במקרה זה, היציאות אליהן מחוברים שני המחשבים הללו יסווגו Fa0/3. בהגדרות של מתג #0 נגדיר את מצב הגישה ונציין שיציאה זו מיועדת ל-VLAN20, וכך נעשה גם עבור מתג מס' 1.

אם אני משתמש בפקודה switchport access vlan 20, ו-VLAN20 עדיין לא נוצר, המערכת תציג שגיאה כמו "Access VLAN does not exist" מכיוון שהמתגים מוגדרים לעבוד רק עם VLAN10.

בואו ניצור VLAN20. אני משתמש בפקודה "הצג VLAN" כדי להציג את מסד הנתונים של הרשת הווירטואלית.

ניתן לראות שרשת ברירת המחדל היא VLAN1, אליה מחוברות היציאות Fa0/4 עד Fa0/24 ו-Gig0/1, Gig0/2. VLAN מספר 10, בשם Management, מחובר ליציאה Fa0/1, ו-VLAN מספר 20, בשם VLAN0020 כברירת מחדל, מחובר ליציאה Fa0/3.

באופן עקרוני, שם הרשת לא משנה, העיקר שזה לא יחזור על עצמו עבור רשתות שונות. אם אני רוצה לשנות את שם הרשת שהמערכת מקצה כברירת מחדל, אני משתמש בפקודה vlan 20 ובשם Employees. אני יכול לשנות את השם הזה למשהו אחר, כמו מכשירי IPphone, ואם נפנה לכתובת ה-IP 192.168.2.2, נוכל לראות שלשם ה-VLAN אין משמעות.
הדבר האחרון שאני רוצה להזכיר הוא המטרה של Management IP, עליה דיברנו בשיעור האחרון. לשם כך אנו משתמשים בפקודה int vlan1 ונזין את כתובת ה-IP 10.1.1.1 ואת מסיכת רשת המשנה 255.255.255.0 ולאחר מכן מוסיפים את הפקודה no shutdown. הקצהנו את ה-IP לניהול לא לכל המתג, אלא רק ליציאות VLAN1, כלומר הקצנו את כתובת ה-IP שממנה מנוהלת רשת VLAN1. אם אנחנו רוצים לנהל את VLAN2, אנחנו צריכים ליצור ממשק מתאים ל-VLAN2. במקרה שלנו, ישנן יציאות VLAN10 כחולות ויציאות VLAN20 כתומות, המתאימות לכתובות 192.168.1.0 ו- 192.168.2.0.
ל-VLAN10 חייבות להיות כתובות הממוקמות באותו טווח כדי שהמכשירים המתאימים יוכלו להתחבר אליו. יש לבצע הגדרה דומה עבור VLAN20.

חלון שורת פקודה זה מציג את הגדרות הממשק עבור VLAN1, כלומר, VLAN מקורי.

על מנת להגדיר את התצורה של ניהול IP עבור VLAN10, עלינו ליצור ממשק int vlan 10, ולאחר מכן להוסיף את כתובת ה-IP 192.168.1.10 ומסיכת רשת המשנה 255.255.255.0.

כדי להגדיר את VLAN20, עלינו ליצור ממשק int vlan 20, ולאחר מכן להוסיף את כתובת ה-IP 192.168.2.10 ומסיכת רשת המשנה 255.255.255.0.

למה זה נחוץ? אם המחשב PC0 והיציאה השמאלית העליונה של מתג #0 שייכים לרשת 192.168.1.0, PC2 שייך לרשת 192.168.2.0 ומחובר ליציאת VLAN1 המקורית, השייכת לרשת 10.1.1.1, אז PC0 לא יכול להקים תקשורת עם מתג זה באמצעות פרוטוקול SSH מכיוון שהם שייכים לרשתות שונות. לכן, על מנת ש-PC0 יתקשר עם המתג באמצעות SSH או Telnet, עלינו להעניק לו גישת גישה. זו הסיבה שאנחנו צריכים ניהול רשת.

אנחנו אמורים להיות מסוגלים לקשור את PC0 באמצעות SSH או Telnet לכתובת ה-IP של ממשק VLAN20 ולבצע כל שינוי שנצטרך באמצעות SSH. לפיכך, ניהול IP נחוץ במיוחד עבור הגדרת רשתות VLAN, מכיוון שלכל רשת וירטואלית חייבת להיות בקרת גישה משלה.

בסרטון של היום, דנו בנושאים רבים: הגדרות מתג בסיסיות, יצירת רשתות VLAN, הקצאת יציאות VLAN, הקצאת ניהול IP עבור רשתות VLAN והגדרת טראנקים. אל תתביישו אם אתם לא מבינים משהו, זה טבעי, כי VLAN הוא נושא מאוד מורכב ורחב שנחזור אליו בשיעורים הבאים. אני מבטיח שבעזרתי אתה יכול להפוך למאסטר VLAN, אבל המטרה של השיעור הזה הייתה להבהיר לך 3 שאלות: מה הם VLANs, למה אנחנו צריכים אותם ואיך להגדיר אותם.

תודה שנשארת איתנו. האם אתה אוהב את המאמרים שלנו? רוצים לראות עוד תוכן מעניין? תמכו בנו על ידי ביצוע הזמנה או המלצה לחברים, 30% הנחה למשתמשי Habr על אנלוגי ייחודי של שרתים ברמת הכניסה, שהומצא על ידינו עבורכם: כל האמת על VPS (KVM) E5-2650 v4 (6 ליבות) 10GB DDR4 240GB SSD 1Gbps החל מ-$20 או איך לשתף שרת? (זמין עם RAID1 ו-RAID10, עד 24 ליבות ועד 40GB DDR4).

Dell R730xd זול פי 2? רק כאן 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV החל מ-$199 בהולנד! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - החל מ-$99! לקרוא על כיצד לבנות תשתיות קורפ. מחלקה עם שימוש בשרתי Dell R730xd E5-2650 v4 בשווי 9000 יורו עבור אגורה?

מקור: www.habr.com