Cisco Training 200-125 CCNA v3.0. Ден 11: Основи на VLAN

Пред да навлеземе во основите на VLAN, би ве замолил сите да го паузирате видеото, да кликнете на иконата во долниот лев агол каде што пишува Networking consultant, да отидете на нашата Фејсбук страница и да го лајкнете таму. Потоа вратете се на видеото и кликнете на иконата Крал во долниот десен агол за да се претплатите на нашиот официјален канал на YouTube. Постојано додаваме нови серии, сега ова се однесува на курсот CCNA, потоа планираме да започнеме курс за видео лекции CCNA Security, Network+, PMP, ITIL, Prince2 и да ги објавиме овие прекрасни серии на нашиот канал.

Значи, денес ќе разговараме за основите на VLAN и ќе одговориме на 3 прашања: што е VLAN, зошто ни е потребен VLAN и како да го конфигурираме. Се надевам дека откако ќе го погледнете ова видео туторијал ќе можете да одговорите на сите три прашања.

Што е VLAN? VLAN е кратенка за виртуелна локална мрежа. Подоцна во ова упатство ќе погледнеме зошто оваа мрежа е виртуелна, но пред да преминеме на VLAN, треба да разбереме како функционира прекинувачот. Ќе разгледаме некои од прашањата за кои разговаравме во претходните лекции.

Прво, да разговараме што е домен со повеќекратен судир. Знаеме дека овој прекинувач со 48 порти има 48 домени за судир. Ова значи дека секоја од овие порти, или уредите поврзани со овие порти, можат да комуницираат со друг уред на различна порта на независен начин без да влијаат еден на друг.

Сите 48 порти на овој прекинувач се дел од еден домен за емитување. Ова значи дека ако повеќе уреди се поврзани на повеќе порти и еден од нив се емитува, тој ќе се појави на сите порти на кои се поврзани преостанатите уреди. Ова е точно како функционира прекинувачот.

Како луѓето да седат во иста просторија блиску еден до друг, а кога некој од нив ќе каже нешто гласно, сите други можеле да го слушнат. Сепак, ова е сосема неефикасно - колку повеќе луѓе се појавуваат во собата, толку таа ќе стане побучна и присутните повеќе нема да се слушаат. Слична ситуација се јавува со компјутерите - колку повеќе уреди се поврзани на една мрежа, толку е поголема „гласноста“ на емитувањето, што не дозволува да се воспостави ефективна комуникација.

Знаеме дека ако еден од овие уреди е поврзан на мрежата 192.168.1.0/24, сите други уреди се дел од истата мрежа. Прекинувачот исто така мора да биде поврзан на мрежа со иста IP адреса. Но, тука прекинувачот, како уред со OSI слој 2, може да има проблем. Ако два уреди се поврзани на иста мрежа, тие лесно можат да комуницираат едни со други компјутери. Да претпоставиме дека нашата компанија има „лош човек“, хакер, кого ќе го нацртам погоре. Под него е мојот компјутер. Така, многу е лесно овој хакер да упадне во мојот компјутер бидејќи нашите компјутери се дел од истата мрежа. Тоа е проблемот.

Ако припаѓам на административен менаџмент и овој нов човек може да пристапи до датотеките на мојот компјутер, тоа нема да биде воопшто добро. Се разбира, мојот компјутер има заштитен ѕид кој штити од многу закани, но на хакер не би му било тешко да го заобиколи.

Втората опасност што постои за секој што е член на овој домен за емитување е дека ако некој има проблем со емитувањето, тие пречки ќе влијаат на другите уреди на мрежата. Иако сите 48 порти можат да се поврзат со различни хостови, неуспехот на еден хост ќе влијае на другите 47, што не е она што ни треба.
За да го решиме овој проблем го користиме концептот VLAN, или виртуелна локална мрежа. Работи многу едноставно, делејќи го овој голем прекинувач со 48 порти на неколку помали прекинувачи.

Знаеме дека подмрежите делат една голема мрежа на неколку мали мрежи, а VLAN-овите работат на сличен начин. Тој го дели прекинувачот со 48 порти, на пример, на 4 прекинувачи од 12 порти, од кои секоја е дел од нова поврзана мрежа. Во исто време, можеме да користиме 12 порти за управување, 12 порти за IP телефонија и така натаму, односно да го делиме прекинувачот не физички, туку логично, виртуелно.

Доделив три сини порти на горниот прекинувач за сината VLAN10 мрежа и доделив три портокалови порти за VLAN20. Така, секој сообраќај од една од овие сини порти ќе оди само до другите сини порти, без да влијае на другите порти на овој прекинувач. Сообраќајот од портокаловите пристаништа ќе се распределува слично, односно како да користиме два различни физички прекинувачи. Така, VLAN е начин на поделба на прекинувачот на неколку прекинувачи за различни мрежи.

Нацртав два прекинувачи горе, овде имаме ситуација кога на левиот прекинувач се поврзани само сини порти за една мрежа, а на десната - само портокалови порти за друга мрежа и овие прекинувачи не се поврзани еден со друг на никаков начин. .

Да речеме дека сакате да користите повеќе порти. Да замислиме дека имаме 2 згради, секоја со свој менаџерски персонал, а за управување се користат две портокалови порти на долниот прекинувач. Затоа, ни треба овие порти да се поврзат со сите портокалови порти на другите прекинувачи. Ситуацијата е слична со сините порти - сите сини порти на горниот прекинувач мора да бидат поврзани со други порти со слична боја. За да го направите ова, треба физички да ги поврземе овие два прекинувачи во различни згради со посебна комуникациска линија; на сликата, ова е линијата помеѓу двете зелени пристаништа. Како што знаеме, ако два прекинувачи се физички поврзани, формираме 'рбет или багажникот.

Која е разликата помеѓу обичен и VLAN прекинувач? Не е голема разликата. Кога купувате нов прекинувач, стандардно сите порти се конфигурирани во VLAN режим и се дел од истата мрежа, означена VLAN1. Затоа кога поврзуваме кој било уред на една порта, тој завршува поврзан со сите други порти бидејќи сите 48 порти припаѓаат на истиот VLAN1. Но, ако ги конфигурираме сините порти да работат на мрежата VLAN10, портокаловите порти на мрежата VLAN20 и зелените порти на VLAN1, ќе добиеме 3 различни прекинувачи. Така, користењето на режимот на виртуелна мрежа ни овозможува логично да ги групираме портите во одредени мрежи, да ги делиме емитувањата на делови и да создаваме подмрежи. Во овој случај, секоја од портите со одредена боја припаѓа на посебна мрежа. Ако сините порти работат на мрежата 192.168.1.0, а портокаловите порти на мрежата 192.168.1.0, тогаш и покрај истата IP адреса, тие нема да бидат поврзани една со друга, бидејќи логично ќе припаѓаат на различни прекинувачи. И како што знаеме, различни физички прекинувачи не комуницираат едни со други освен ако не се поврзани со заедничка линија за комуникација. Така создаваме различни подмрежи за различни VLAN.

Би сакал да го привлечам вашето внимание на фактот дека концептот VLAN се однесува само на прекинувачите. Секој кој е запознаен со протоколите за енкапсулација како што се .1Q или ISL знае дека ниту рутерите ниту компјутерите немаат никакви VLAN-и. Кога ќе го поврзете вашиот компјутер, на пример, на една од сините порти, не менувате ништо во компјутерот, сите промени се случуваат само на второто ниво на OSI, нивото на прекинувачот. Кога ги конфигурираме портите да работат со одредена VLAN10 или VLAN20 мрежа, прекинувачот создава VLAN база на податоци. Тој „запишува“ во својата меморија дека портите 1,3 и 5 припаѓаат на VLAN10, портите 14,15 и 18 се дел од VLAN20, а останатите вклучени порти се дел од VLAN1. Затоа, ако одреден сообраќај потекнува од сината порта 1, тој оди само до портите 3 и 5 од истиот VLAN10. Прекинувачот гледа во неговата база на податоци и гледа дека ако сообраќајот доаѓа од една од портокаловите порти, тој треба да оди само до портокаловите порти на VLAN20.

Сепак, компјутерот не знае ништо за овие VLAN. Кога поврзуваме 2 прекинувачи, се формира багажникот помеѓу зелените порти. Терминот „багажникот“ е релевантен само за уредите на Cisco; другите производители на мрежни уреди, како што е Juniper, го користат терминот Tag port или „означена порта“. Мислам дека името Таг порта е посоодветно. Кога сообраќајот потекнува од оваа мрежа, багажникот го пренесува до сите порти на следниот прекинувач, односно поврзуваме два прекинувачи со 48 порти и добиваме еден прекинувач со 96 порти. Во исто време, кога испраќаме сообраќај од VLAN10, тој станува означен, односно добива ознака која покажува дека е наменет само за пристаништа на мрежата VLAN10. Вториот прекинувач, откако го доби овој сообраќај, ја чита ознаката и разбира дека ова е сообраќај специјално за мрежата VLAN10 и треба да оди само до сините порти. Слично на тоа, „портокаловиот“ сообраќај за VLAN20 е означен за да покаже дека е наменет за портите VLAN20 на вториот прекинувач.

Спомнавме и капсулација и тука има два методи на инкапсулација. Првиот е .1Q, односно кога организираме багажникот, мора да обезбедиме инкапсулација. Протоколот за енкапсулација .1Q е отворен стандард кој ја опишува постапката за означување на сообраќајот. Постои уште еден протокол наречен ISL, Inter-Switch link, развиен од Cisco, што покажува дека сообраќајот припаѓа на специфичен VLAN. Сите модерни прекинувачи работат со протоколот .1Q, така што кога ќе извадите нов прекинувач од кутијата, не треба да користите никакви команди за енкапсулација, бидејќи по дифолт тоа се врши со протоколот .1Q. Така, по креирањето на багажникот, сообраќајната енкапсулација се случува автоматски, што овозможува читање на ознаките.

Сега да започнеме со поставување на VLAN. Ајде да создадеме мрежа во која ќе има 2 прекинувачи и два крајни уреди - компјутери PC1 и PC2, кои ќе ги поврземе со кабли за да се префрли #0. Да почнеме со основните поставки на прекинувачот за основна конфигурација.

За да го направите ова, кликнете на прекинувачот и одете до интерфејсот на командната линија, а потоа поставете го името на домаќинот, повикувајќи го овој прекинувач sw1. Сега да преминеме на поставките на првиот компјутер и да ја поставиме статичката IP адреса 192.168.1.1 и маската на подмрежата 255.255. 255.0. Нема потреба од стандардна адреса на портата бидејќи сите наши уреди се на иста мрежа. Следно, ќе го сториме истото за вториот компјутер, доделувајќи му ја IP адресата 192.168.1.2.

Сега да се вратиме на првиот компјутер за да го пингуваме вториот компјутер. Како што можете да видите, пингот беше успешен бидејќи и двата од овие компјутери се поврзани на истиот прекинувач и стандардно се дел од истата мрежа VLAN1. Ако сега ги погледнеме интерфејсите на прекинувачот, ќе видиме дека сите порти FastEthernet од 1 до 24 и две GigabitEthernet порти се конфигурирани на VLAN #1. Сепак, таквата прекумерна достапност не е потребна, затоа влегуваме во поставките на прекинувачот и ја внесуваме командата show vlan за да ја погледнеме базата на податоци на виртуелната мрежа.

Овде го гледате името на мрежата VLAN1 и фактот дека сите порти за прекинувачи припаѓаат на оваа мрежа. Ова значи дека можете да се поврзете на која било порта и сите тие ќе можат да „разговараат“ меѓу себе бидејќи се дел од истата мрежа.

Ќе ја промениме оваа ситуација; за да го направиме ова, прво ќе создадеме две виртуелни мрежи, односно ќе додадеме VLAN10. За да креирате виртуелна мрежа, користете команда како „vlan network number“.
Како што можете да видите, при обидот да се создаде мрежа, системот прикажа порака со список на команди за конфигурација на VLAN што треба да се користат за оваа акција:

излез – примени промени и излези од поставките;
име – внесете прилагодено име на VLAN;
не - откажете ја командата или поставете ја како стандардна.

Ова значи дека пред да ја внесете командата Create VLAN, мора да ја внесете командата за име, која го вклучува режимот за управување со имиња, а потоа да продолжите да креирате нова мрежа. Во овој случај, системот бара дека бројот на VLAN може да се додели во опсег од 1 до 1005.
Така, сега ја внесуваме командата за креирање на VLAN број 20 - vlan 20, а потоа му даваме име за корисникот, што покажува за каква мрежа се работи. Во нашиот случај, го користиме името Employees команда или мрежа за вработените во компанијата.

Сега треба да доделиме одредена порта на овој VLAN. Влегуваме во режимот за поставки на прекинувачот int f0/1, потоа рачно ја префрламе портата во режим на пристап користејќи ја командата за пристап до режимот на прекинувачот и означуваме која порта треба да се префрли на овој режим - ова е пристаништето за мрежата VLAN10.

Гледаме дека после ова бојата на точката за поврзување помеѓу PC0 и прекинувачот, бојата на портата, се промени од зелена во портокалова. Повторно ќе стане зелено штом ќе стапат на сила промените на поставките. Ајде да се обидеме да направиме пинг на вториот компјутер. Не сме направиле никакви промени во мрежните поставки за компјутерите, тие сè уште имаат IP адреси од 192.168.1.1 и 192.168.1.2. Но, ако се обидеме да направиме пинг PC0 од компјутерот PC1, ништо нема да работи, бидејќи сега овие компјутери припаѓаат на различни мрежи: првиот на VLAN10, вториот на мајчин VLAN1.

Да се ​​вратиме на интерфејсот на прекинувачот и да ја конфигурираме втората порта. За да го направите ова, ќе ја издадам командата int f0/2 и ќе ги повторам истите чекори за VLAN 20 како што правев кога ја конфигурирав претходната виртуелна мрежа.
Гледаме дека сега долната порта на прекинувачот, на која е поврзан вториот компјутер, исто така ја промени својата боја од зелена во портокалова - мора да поминат неколку секунди пред да стапат на сила промените во поставките и повторно да стане зелено. Ако почнеме повторно да го пингуваме вториот компјутер, ништо нема да работи, бидејќи компјутерите сè уште припаѓаат на различни мрежи, само PC1 е сега дел од VLAN1, а не VLAN20.
Така, вие сте поделиле еден физички прекинувач на два различни логички прекинувачи. Гледате дека сега бојата на портата е сменета од портокалова во зелена, портата работи, но сепак не реагира бидејќи припаѓа на друга мрежа.

Ајде да направиме промени во нашето коло - исклучете го компјутерот PC1 од првиот прекинувач и поврзете го на вториот прекинувач, а самите прекинувачи поврзете ги со кабел.

За да воспоставам врска меѓу нив, ќе влезам во поставките на вториот прекинувач и ќе создадам VLAN10, давајќи му го името Управување, односно мрежа за управување. Потоа ќе го овозможам режимот за пристап и ќе наведам дека овој режим е за VLAN10. Сега бојата на портите преку кои се поврзани прекинувачите е променета од портокалова во зелена бидејќи и двете се конфигурирани на VLAN10. Сега треба да создадеме багажникот помеѓу двата прекинувачи. И двете од овие порти се Fa0/2, така што треба да креирате багажникот за портата Fa0/2 на првиот прекинувач користејќи ја командата за багажникот на режимот на прекинувач. Истото мора да се направи и за вториот прекинувач, по што се формира багажникот помеѓу овие две порти.

Е сега, ако сакам да го пингувам PC1 од првиот компјутер, се ќе успее, бидејќи врската помеѓу PC0 и прекинувачот #0 е VLAN10 мрежа, помеѓу прекинувачот #1 и PC1 е исто така VLAN10, и двата прекинувачи се поврзани со багажникот .

Значи, ако уредите се наоѓаат на различни VLAN, тогаш тие не се поврзани еден со друг, но ако се на иста мрежа, тогаш сообраќајот може слободно да се разменува меѓу нив. Ајде да се обидеме да додадеме уште еден уред на секој прекинувач.

Во мрежните поставки на додадениот компјутер PC2, ќе ја поставам IP адресата на 192.168.2.1, а во поставките на PC3, адресата ќе биде 192.168.2.2. Во овој случај, портите на кои се поврзани овие два компјутери ќе бидат означени Fa0/3. Во поставките на прекинувачот #0 ќе го поставиме режимот за пристап и ќе покажеме дека оваа порта е наменета за VLAN20, а истото ќе го направиме и за прекинувачот #1.

Ако ја користам командата за пристап до прекинувачот vlan 20, а VLAN20 сè уште не е создаден, системот ќе прикаже грешка како „Пристапот до VLAN не постои“ бидејќи прекинувачите се конфигурирани да работат само со VLAN10.

Ајде да создадеме VLAN20. Ја користам командата „покажи VLAN“ за да ја прегледам базата на податоци на виртуелната мрежа.

Можете да видите дека стандардната мрежа е VLAN1, на која се поврзани портите Fa0/4 до Fa0/24 и Gig0/1, Gig0/2. VLAN број 10, наречен Управување, е поврзан со портата Fa0/1, а VLAN број 20, по дифолт именуван VLAN0020, е поврзан со портата Fa0/3.

Во принцип, името на мрежата не е важно, главната работа е што не се повторува за различни мрежи. Ако сакам да го сменам името на мрежата што системот стандардно го доделува, ја користам командата vlan 20 и именувам Employees. Можам да го сменам ова име во нешто друго, како што се IPphones, и ако ја пингиме IP адресата 192.168.2.2, можеме да видиме дека името VLAN нема никакво значење.
Последното нешто што сакам да го спомнам е целта на менаџмент IP, за која зборувавме во последната лекција. За да го направите ова, ја користиме командата int vlan1 и ја внесуваме IP адресата 10.1.1.1 и маската на подмрежата 255.255.255.0 и потоа ја додаваме командата без исклучување. Ја доделивме IP адресата за управување не за целиот прекинувач, туку само за VLAN1 портите, односно ја доделивме IP адресата од која се управува со мрежата VLAN1. Ако сакаме да управуваме со VLAN2, треба да создадеме соодветен интерфејс за VLAN2. Во нашиот случај, има сини VLAN10 порти и портокалови VLAN20 порти, кои одговараат на адресите 192.168.1.0 и 192.168.2.0.
VLAN10 мора да има адреси лоцирани во истиот опсег за да можат соодветните уреди да се поврзат со него. Слична поставка мора да се направи за VLAN20.

Овој прозорец на командната линија за прекинувач ги прикажува поставките за интерфејсот за VLAN1, односно мајчин VLAN.

За да ја конфигурираме IP адресата за управување со VLAN10, мора да создадеме интерфејс int vlan 10, а потоа да ја додадеме IP адресата 192.168.1.10 и маската на подмрежата 255.255.255.0.

За да го конфигурираме VLAN20, мора да создадеме интерфејс int vlan 20, а потоа да ја додадеме IP адресата 192.168.2.10 и маската на подмрежата 255.255.255.0.

Зошто е ова потребно? Ако компјутерот PC0 и горната лева порта на прекинувачот #0 припаѓаат на мрежата 192.168.1.0, PC2 припаѓа на мрежата 192.168.2.0 и е поврзан со домашната порта VLAN1, која припаѓа на мрежата 10.1.1.1, тогаш PC0 не може да воспостави комуникација со овој прекинувач преку протоколот SSH бидејќи припаѓаат на различни мрежи. Затоа, за да може PC0 да комуницира со прекинувачот преку SSH или Telnet, мора да му дозволиме пристап за пристап. Ова е причината зошто ни треба управување со мрежата.

Треба да можеме да го поврземе PC0 користејќи SSH или Telnet за IP адресата на интерфејсот VLAN20 и да ги направиме сите потребни промени преку SSH. Така, менаџмент IP е неопходна специјално за конфигурирање на VLAN, бидејќи секоја виртуелна мрежа мора да има своја контрола на пристап.

Во денешното видео, разговаравме за многу прашања: основни поставки на прекинувачот, креирање VLAN, доделување VLAN порти, доделување ИП за управување со VLAN и конфигурирање на трупови. Не се срамете ако нешто не разбирате, ова е природно, бидејќи VLAN е многу сложена и широка тема на која ќе се навратиме во следните лекции. Гарантирам дека со моја помош можете да станете VLAN мајстор, но целта на оваа лекција беше да ви разјасниме 3 прашања: што се VLAN, зошто ни се потребни и како да ги конфигурираме.

Ви благодариме што останавте со нас. Дали ви се допаѓаат нашите написи? Сакате да видите поинтересна содржина? Поддржете не со нарачка или препорака на пријатели, 30% попуст за корисниците на Habr на уникатен аналог на сервери на почетно ниво, кој го измисливме ние за вас: Целата вистина за VPS (KVM) E5-2650 v4 (6 јадра) 10GB DDR4 240GB SSD 1Gbps од 20 долари или како да споделите сервер? (достапен со RAID1 и RAID10, до 24 јадра и до 40 GB DDR4).

Dell R730xd 2 пати поевтин? Само овде 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 телевизор од 199 долари во Холандија! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - од 99 долари! Прочитајте за Како да се изгради инфраструктурна корп. класа со употреба на сервери Dell R730xd E5-2650 v4 вредни 9000 евра за денар?

Извор: www.habr.com