Zanim przejdziemy do podstaw VLAN, proszę wszystkich, aby zatrzymali to wideo, kliknęli ikonę w lewym dolnym rogu, gdzie napisano Networking consultant, weszli na naszą stronę na Facebooku i tam kliknęli „Lubię to”. Następnie wróćcie do wideo i kliknijcie ikonę King w prawym dolnym rogu, aby subskrybować nasz oficjalny kanał na YouTube. Ciągle dodajemy nowe serie, obecnie dotyczy to kursu CCNA, a następnie planujemy rozpocząć kurs wideo CCNA Security, Network+, PMP, ITIL, Prince2 i publikować te wspaniałe serie na naszym kanale.
Dziś porozmawiamy o podstawach VLAN i odpowiemy na 3 pytania: czym jest VLAN, dlaczego potrzebujemy VLAN i jak go skonfigurować. Mam nadzieję, że po obejrzeniu tego wideo będziecie mogli odpowiedzieć na wszystkie trzy pytania.
Czym jest VLAN? VLAN to skrót od „wirtualna sieć lokalna”. W dalszej części naszego lekcji omówimy, dlaczego ta sieć jest wirtualna, ale zanim przejdziemy do VLAN, musimy zrozumieć, jak działa switch. Jeszcze raz powtórzymy niektóre z zagadnień, które omawialiśmy podczas poprzednich lekcji.
Najpierw omówmy, czym jest Multiple Collision Domain, czyli domena kolizji. Wiemy, że ten switch na 48 portów ma 48 domen kolizji. Oznacza to, że każdy z tych portów lub urządzeń podłączonych do tych portów może współdziałać z innym urządzeniem na innym porcie niezależnie, nie mając na siebie nawzajem wpływu.
Wszystkie 48 portów tego switcha stanowi część jednego szerokiego domeny Broadcast Domain. Oznacza to, że jeśli kilka urządzeń jest podłączonych do kilku portów, a jedno z nich wykonuje szeroką transmisję, to ona pojawi się we wszystkich portach, do których podłączone są pozostałe urządzenia. Tak działa switch.
Jest to jakby ludzie siedzieli w jednym pomieszczeniu blisko siebie, a kiedy jedna osoba mówi coś głośno, słyszą to wszyscy pozostali. Jednak jest to zupełnie nieefektywne – im więcej osób pojawi się w pomieszczeniu, tym głośniej się staje, a obecni przestają się słyszeć. Podobna sytuacja występuje z komputerami – im więcej urządzeń jest podłączonych do jednej sieci, tym większa staje się „głośność” szerokiego nadawania, co uniemożliwia efektywną komunikację.
Wiadomo nam, że jeśli jedno z tych urządzeń jest podłączone do sieci 192.168.1.0/24, wszystkie inne urządzenia również są częścią tej samej sieci. Przełącznik również musi być podłączony do sieci z takim samym adresem IP. Jednak w przypadku przełącznika jako urządzenia warstwy 2 modelu OSI może pojawić się problem. Jeśli dwa urządzenia są podłączone do tej samej sieci, mogą łatwo komunikować się ze sobą. Załóżmy, że w naszej firmie pracuje „zły człowiek”, haker, którego wcześniej nakreśliłem. Poniżej znajduje się mój komputer. Hakerowi bardzo łatwo jest włamać się do mojego komputera, ponieważ nasze komputery są częścią tej samej sieci. Oto w czym tkwi problem.
Jeśli przynależę do kierownictwa administracyjnego, a ten nowy chłopak będzie mógł uzyskać dostęp do plików na moim komputerze, nie będzie to w porządku. Oczywiście, mój komputer jest zabezpieczony przez zaporę, chroniącą przed wieloma zagrożeniami, ale hakerowi z łatwością uda się ją obejść.
Drugie zagrożenie, jakie istnieje dla wszystkich, którzy są członkami tej samej domeny rozgłoszeniowej, polega na tym, że jeśli u kogoś wystąpią problemy z transmisją rozgłoszeniową, ta zakłócenie wpłynie na inne urządzenia w sieci. Choć wszystkie 48 portów może być podłączonych do różnych hostów, awaria jednego hosta wpłynie na pozostałe 47, czego zupełnie nie chcemy.
Aby rozwiązać ten problem, korzystamy z koncepcji VLAN, czyli wirtualnej sieci lokalnej. Działa ona bardzo prosto, dzieląc ten dużą 48-portowy przełącznik na kilka mniejszych przełączników.
Wiadomo nam, że podsieci dzielą jedną dużą sieć na kilka mniejszych, a VLAN działa w podobny sposób. Dzieli 48-portowy przełącznik na przykład na 4 przełączniki po 12 portów, z których każdy jest częścią nowej dołączonej sieci. W ten sposób możemy wykorzystać 12 portów do zarządzania, 12 portów do pracy z telefonami IP i tak dalej, czyli podzielić przełącznik nie fizycznie, a logicznie, wirtualnie.
Wyodrębniłem trzy porty na górnym przełączniku, oznaczone na niebiesko, dla "niebieskiej" sieci VLAN10, a trzy pomarańczowe porty przeznaczyłem dla VLAN20. W ten sposób każdy ruch z jednego z tych niebieskich portów będzie kierowany tylko do innych niebieskich portów, nie wpływając na pozostałe porty tego przełącznika. Podobnie będzie się rozprzestrzeniać ruch z pomarańczowych portów, co oznacza, że korzystamy jakby z dwóch różnych fizycznych przełączników. Tak więc VLAN jest sposobem dzielenia przełącznika na kilka przełączników dla różnych sieci.
Narysowałem dwa przełączniki na górze, tutaj mamy sytuację, w której na lewym przełączniku wykorzystywane są tylko niebieskie porty dla jednej sieci, a na prawym - tylko pomarańczowe dla innej sieci, i te przełączniki nie są ze sobą w żaden sposób połączone.
Załóżmy, że chcesz wykorzystać więcej portów. Wyobraźmy sobie, że mamy 2 budynki, w każdym z nich własny zespół zarządzający, a dwa pomarańczowe porty dolnego przełącznika są używane do zarządzania. Dlatego potrzebujemy, aby te porty były połączone ze wszystkimi pomarańczowymi portami innych przełączników. Podobna sytuacja dotyczy niebieskich portów - wszystkie niebieskie porty górnego przełącznika muszą mieć połączenie z pozostałymi portami w tym samym kolorze. Aby to osiągnąć, musimy fizycznie połączyć te dwa przełączniki w różnych budynkach oddzielną linią komunikacyjną, na rysunku jest to linia między dwoma portami w kolorze zielonym. Jak wiemy, jeśli dwa przełączniki są ze sobą fizycznie połączone, tworzy się nam magistrala lub trunk.
Jaka jest więc różnica między zwykłym a przełącznikiem VLAN? Różnica jest niewielka. Kiedy kupujesz nowy przełącznik, domyślnie wszystkie porty są skonfigurowane w trybie VLAN i są częścią jednej sieci oznaczonej jako VLAN1. Dlatego, gdy podłączasz jakieś urządzenie do jednego z portów, jest ono połączone ze wszystkimi pozostałymi portami, ponieważ wszystkie 48 portów należy do jednej wirtualnej sieci VLAN1. Jednak gdy skonfigurujemy niebieskie porty do pracy w sieci VLAN10, pomarańczowe w sieci VLAN20, a zielone w VLAN1, otrzymamy 3 różne przełączniki. W ten sposób zastosowanie trybu wirtualnej sieci pozwala nam logicznie grupować porty w konkretne sieci, dzielić transmisję rozgłoszeniową na części i tworzyć podsieci. Każdy z portów w danym kolorze należy do oddzielnej sieci. Jeśli niebieskie porty będą działały w sieci 192.168.1.0, a pomarańczowe w sieci 192.168.1.0, to pomimo identycznego adresu IP, nie będą ze sobą związane, ponieważ logicznie będą należały do różnych przełączników. Jak wiadomo, różne fizyczne przełączniki nie komunikują się ze sobą, jeśli nie połączone są wspólną linią komunikacyjną. W ten sposób tworzymy różne podsieci dla różnych VLAN.
Chcę zwrócić uwagę, że koncepcja VLAN dotyczy tylko przełączników. Kto jest zaznajomiony z protokołami enkapsulacji, takimi jak .1Q lub ISL, wie, że ani routery, ani komputery nie mają VLAN. Kiedy podłączasz swój komputer, na przykład do jednego z niebieskich portów, nie zmieniasz nic w komputerze, wszystkie zmiany zachodzą tylko na drugim poziomie OSI, na poziomie przełącznika. Kiedy konfigurujemy porty do pracy z konkretną siecią VLAN10 lub VLAN20, przełącznik tworzy bazę danych VLAN. „Zapisuje” w swojej pamięci, że porty 1, 3 i 5 należą do VLAN10, porty 14, 15 i 18 są częścią sieci VLAN20, a pozostałe zaangażowane porty są częścią sieci VLAN1. Dlatego jeśli jakiś ruch pochodzi z niebieskiego portu 1, trafia tylko na porty 3 i 5 tej samej sieci VLAN10. Przełącznik „sprawdza” swoją bazę danych i widzi, że jeśli ruch pochodzi z jednego z pomarańczowych portów, powinien trafiać tylko na pomarańczowe porty sieci VLAN20.
Jednak komputer nic nie wie o tych sieciach VLAN. Gdy łączymy 2 przełączniki, między zielonymi portami tworzy się trunk. Termin „trunk” jest aktualny tylko dla urządzeń firmy Cisco, a inni producenci urządzeń sieciowych, tacy jak Juniper, używają terminu Tag port, czyli „port tagowany”. Uważam, że nazwa Tag port jest bardziej odpowiednia. Kiedy z tej sieci wychodzi ruch, trunk przesyła go do wszystkich portów następnego przełącznika, czyli łączymy dwa 48-portowe przełączniki i otrzymujemy jeden 96-portowy przełącznik. Przy tym, gdy wysyłamy ruch z VLAN10, staje się on tagowany, czyli jest oznaczony etykietą, która pokazuje, że jest przeznaczony tylko dla portów sieci VLAN10. Drugi przełącznik, otrzymując ten ruch, odczytuje etykietę i rozumie, że to ruch przeznaczony wyłącznie dla sieci VLAN10 i musi trafić tylko na niebieskie porty. Podobnie „pomarańczowy” ruch dla VLAN20 jest oznaczony etykietą, która wskazuje, że jest przeznaczony dla portów VLAN20 drugiego przełącznika.
Wspomnieliśmy również o inkapsulacji, a tutaj mamy dwa metody inkapsulacji. Pierwsza to .1Q, czyli gdy organizujemy trunk, musimy zapewnić inkapsulację. Protokół inkapsulacji .1Q to otwarty standard opisujący procedurę tagowania ruchu. Jest też inny protokół nazwany ISL, Inter-Switch Link, opracowany przez firmę Cisco, który wskazuje na przynależność ruchu do określonej VLAN. Wszystkie nowoczesne przełączniki działają z protokołem .1Q, więc po dostarczeniu nowego przełącznika z pudełka, nie musisz używać żadnych poleceń inkapsulacji, ponieważ domyślnie jest ona realizowana przez protokół .1Q. Tak więc po utworzeniu trunku inkapsulacja ruchu odbywa się automatycznie, co pozwala na odczyt etykiet.
Teraz przejdźmy do konfiguracji sieci VLAN. Stworzymy sieć, w której będą 2 przełączniki i dwa urządzenia końcowe – komputery PC1 i PC2, które połączymy kablami z przełącznikiem #0. Zaczniemy od podstawowych ustawień przełącznika Basic Configuration.
Aby to zrobić, klikniemy na przełącznik i wejdziemy do interfejsu wiersza poleceń, a następnie ustawimy nazwę hosta, nazywając ten przełącznik sw1. Teraz przejdźmy do ustawień pierwszego komputera i przypiszmy statyczny adres IP 192.168.1.1 oraz maskę podsieci 255.255.255.0. Adres bramy domyślnej nie jest potrzebny, ponieważ wszystkie nasze urządzenia znajdują się w tej samej sieci. Następnie wykonamy to samo dla drugiego komputera, przypisując mu adres IP 192.168.1.2.
Teraz wrócimy do pierwszego komputera, aby wykonać ping do drugiego komputera. Jak widać, pingowanie zakończyło się powodzeniem, ponieważ oba te komputery są podłączone do tego samego przełącznika i są częścią tej samej sieci domyślnej VLAN1. Jeśli teraz spojrzymy na interfejsy przełącznika, zobaczymy, że wszystkie porty FastEthernet od 1 do 24 oraz dwa porty GigabitEthernet są skonfigurowane na VLAN #1. Jednak ta nadmierna dostępność nie jest potrzebna, więc wchodzimy w ustawienia przełącznika i wprowadzamy polecenie show vlan, aby zobaczyć bazę danych wirtualnych sieci.
Widzicie tutaj nazwę sieci VLAN1 i to, że wszystkie porty przełącznika należą do tej sieci. Oznacza to, że można podłączyć się do dowolnego portu, a wszystkie one będą mogły 'rozmawiać' ze sobą, ponieważ są częścią tej samej sieci.
Zmieniemy tę sytuację, zaczynając od utworzenia dwóch wirtualnych sieci, tj. dodamy VLAN10. Aby stworzyć wirtualną sieć, używamy polecenia w formacie 'vlan numer sieci'.
Jak widać, podczas próby utworzenia sieci system wyświetlił komunikat z wykazem poleceń konfiguracyjnych VLAN, które należy wykorzystać do tego działania:
exit – zastosować zmiany i wyjść z ustawień;
name – wprowadzić użytkownikową nazwę VLAN;
no – anulować polecenie lub ustawić je na domyślną.
Oznacza to, że przed wprowadzeniem polecenia utworzenia VLAN, należy wprowadzić polecenie name, które włącza tryb zarządzania nazwami, a następnie przejść do tworzenia nowej sieci. Przy tym system informuje, że numer sieci VLAN można przypisać w zakresie od 1 do 1005.
Zatem teraz wprowadzamy polecenie stworzenia sieci VLAN o numerze 20 – vlan 20, a następnie przypisujemy jej nazwę użytkownika, która pokazuje, co to za sieć. W naszym przypadku używamy polecenia name Employees, czyli sieć dla pracowników firmy.
Teraz musimy przypisać konkretny port do tej VLAN. Wchodzimy w tryb konfiguracji switcha int f0/1, następnie ręcznie przełączamy port w tryb Access poleceniem switchport mode access i wskazujemy, który port ma zostać przestawiony w ten tryb – to port dla sieci VLAN10.
Widzimy, że po tym kolor punktu połączenia PC0 i switcha, kolor portu zmienił się z zielonego na pomarańczowy. Ponownie stanie się zielony, gdy ustawienia wejdą w życie. Spróbujemy pingować drugi komputer. Nie wprowadzaliśmy żadnych zmian w ustawieniach sieci dla komputerów, nadal mają adresy IP 192.168.1.1 i 192.168.1.2. Ale jeśli spróbujemy pingować komputer PC1 z komputera PC0, nic nam się nie uda, ponieważ teraz te komputery należą do różnych sieci: pierwszy do VLAN10, drugi – do native VLAN1.
Wracamy do interfejsu switcha i konfigurujemy drugi port. W tym celu wprowadzę polecenie int f0/2 i powtórzę dla sieci VLAN 20 te same kroki, co przy konfiguracji poprzedniej wirtualnej sieci.
Widzimy, że teraz dolny port switcha, do którego podłączony jest drugi komputer, również zmienił kolor z zielonego na pomarańczowy – musi minąć kilka sekund, zanim zmiany w ustawieniach wejdą w życie i znowu stanie się zielony. Jeśli ponownie uruchomimy pingowanie drugiego komputera, nic nam się nie uda, ponieważ komputery nadal należą do różnych sieci, tylko PC1 teraz jest częścią nie VLAN1, a VLAN20.
W ten sposób podzieliliście jeden fizyczny switch na dwa różne logiczne switche. Widzicie, że teraz kolor portu zmienił się z pomarańczowego na zielony, port działa, ale nadal nie można go pingować, ponieważ należy do innej sieci.
Wprowadzimy zmiany w naszej schemie – odłączymy komputer PC1 od pierwszego switcha i podłączymy go do drugiego switcha, a same switche połączymy kablem.
Aby nawiązać między nimi połączenie, wejdę w ustawienia drugiego switcha i stworzę VLAN10, nadając mu nazwę Management, czyli sieć zarządzająca. Następnie włączę tryb Access i wskażę, że ten tryb jest przeznaczony dla sieci VLAN10. Teraz kolor portów, przez które połączone są switche, zmienił się z pomarańczowego na zielony, ponieważ oba są skonfigurowane na VLAN10. Teraz musimy utworzyć trunk między obiema switchami. Oba te porty to Fa0/2, dlatego należy utworzyć trunk dla portu Fa0/2 pierwszego switcha, używając komendy switchport mode trunk. To samo trzeba zrobić dla drugiego switcha, po czym między tymi dwoma portami utworzy się trunk.
Teraz, jeśli chcę pingować z pierwszego komputera komputer PC1, wszystko zadziała, ponieważ połączenie między PC0 a switchem #0 to sieć VLAN10, między switchem #1 a PC1 również VLAN10, a oba switche są połączone trunkiem.
Jeśli urządzenia znajdują się w różnych sieciach VLAN, nie są ze sobą połączone, natomiast jeśli w jednej sieci, można swobodnie wymieniać się ruchem. Spróbujmy dodać do każdego switcha jeszcze jedno urządzenie.
W ustawieniach sieci dodanego komputera PC2 ustawię adres IP 192.168.2.1, a w ustawieniach PC3 - adres 192.168.2.2. Przy tym porty, do których podłączone są te dwa komputery, będą miały oznaczenie Fa0/3. W ustawieniach switcha #0 ustawimy tryb Access i wskażemy, że port ten jest przeznaczony dla VLAN20, to samo zrobimy dla switcha #1.
Jeśli użyję komendy switchport access vlan 20, a sieć VLAN20 jeszcze nie została utworzona, system zgłosi błąd typu „Access VLAN does not exist”, ponieważ switche są skonfigurowane tylko do pracy z VLAN10.
Stwórzmy VLAN20. Użyję komendy „show vlan”, aby zobaczyć bazę danych wirtualnych sieci.
Widzisz, że domyślną siecią jest VLAN1, do której podłączone są porty od Fa0/4 do Fa0/24 oraz Gig0/1, Gig0/2. Wirtualna sieć pod numerem 10 o nazwie Management jest podłączona do portu Fa0/1, a sieć VLAN pod numerem 20 o nazwie domyślnej VLAN0020 jest podłączona do portu Fa0/3.
W zasadzie nazwa sieci nie ma znaczenia, byleby była unikalna dla różnych sieci. Jeśli chcę zmienić nazwę sieci, którą system przypisuje domyślnie, używam polecenia vlan 20 i name Employees. Mogę zmienić tę nazwę na inną, na przykład IPphones, a jeśli spingujemy adres IP 192.168.2.2, zobaczymy, że nazwa VLAN nie ma żadnego znaczenia.
Ostatnia rzecz, którą chcę wspomnieć, to przypisanie adresu zarządzania (Management IP), o którym mówiliśmy na ostatniej lekcji. W tym celu używamy polecenia int vlan1 i wpisujemy adres IP 10.1.1.1 oraz maskę podsieci 255.255.255.0, a następnie dodajemy polecenie no shutdown. Przypisaliśmy adres zarządzania nie do całego switcha, ale tylko do portów VLAN1, czyli przypisaliśmy adres IP, z którego zarządzamy siecią VLAN1. Jeśli chcemy zarządzać VLAN2, musimy stworzyć odpowiedni interfejs dla VLAN2. W naszym przypadku mamy niebieskie porty VLAN10 i pomarańczowe porty VLAN20, którym przypisane są adresy 192.168.1.0 i 192.168.2.0.
VLAN10 powinna mieć adresy mieszczące się w tym samym zakresie, aby mogły do niej podłączać się odpowiednie urządzenia. Podobne ustawienia powinny być skonfigurowane również dla VLAN20.
W tym oknie wiersza poleceń switcha przedstawione są ustawienia interfejsu dla VLAN1, czyli native VLAN.
Aby skonfigurować adres zarządzania dla VLAN10, musimy stworzyć interfejs int vlan 10, a następnie dodać adres IP 192.168.1.10 i maskę podsieci 255.255.255.0.
Aby skonfigurować VLAN20, musimy stworzyć interfejs int vlan 20, a następnie dodać adres IP 192.168.2.10 i maskę podsieci 255.255.255.0.
Dlaczego to jest ważne? Jeśli komputer PC0 i lewy górny port switcha #0 należą do sieci 192.168.1.0, PC2 należy do sieci 192.168.2.0 i jest podłączony do portu native VLAN1, który należy do sieci 10.1.1.1, to PC0 nie może nawiązać połączenia z tym switchem za pomocą protokołu SSH, ponieważ należą do różnych sieci. Dlatego, aby PC0 mógł skontaktować się ze switchem przez protokół SSH lub Telnet, musimy zapewnić mu dostęp (Access). Oto dlaczego potrzebujemy zarządzania siecią.
Musimy mieć możliwość połączenia się z PC0 za pomocą SSH lub Telnet z adresem IP interfejsu VLAN20 i wprowadzenia wszystkich potrzebnych nam zmian przez SSH. Tak więc adres zarządzania jest niezbędny do konfiguracji VLAN, ponieważ każda wirtualna sieć musi mieć swoje własne zarządzanie dostępem.
W dzisiejszym wideo omówiliśmy wiele kwestii: podstawowe ustawienia switcha, tworzenie sieci VLAN, przypisywanie portów VLAN, przypisywanie adresu Management IP dla sieci VLAN oraz konfigurację trunków. Nie stresuj się, jeśli czegoś nie zrozumiałeś, to naturalne, ponieważ VLAN to bardzo skomplikowany i rozległy temat, do którego będziemy wracać w kolejnych lekcjach. Gwarantuję, że z moją pomocą staniecie się "mistrzami" VLAN, ale sens tej lekcji polegał na wyjaśnieniu 3 kwestii: czym są sieci VLAN, dlaczego są nam potrzebne i jak je konfigurować.
Dziękujemy, że z nami jesteś. Czy podobają Ci się nasze artykuły? Chcesz widzieć więcej interesujących materiałów? Wspieraj nas składając zamówienie lub polecając znajomym, 30% zniżki dla użytkowników Habr na unikalny odpowiednik serwerów entry-level, który został stworzony przez nas dla Ciebie: (dostępne opcje z RAID1 i RAID10, do 24 rdzeni i do 40GB DDR4).
Dell R730xd dwa razy tańszy? Tylko u nas w Holandii! Dell R420 — 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — od 99 dolarów! Czytaj o tym
Źródło: habr.com
