Zanim przejdziemy do podstaw sieci VLAN, proszę wszystkich o wstrzymanie tego filmu, kliknięcie ikony w lewym dolnym rogu, gdzie jest napisane Konsultant ds. sieci, przejście do naszej strony na Facebooku i polubienie jej. Następnie wróć do filmu i kliknij ikonę Króla w prawym dolnym rogu, aby zasubskrybować nasz oficjalny kanał YouTube. Stale dodajemy nowe serie, teraz dotyczy to kursu CCNA, następnie planujemy rozpocząć kurs lekcji wideo CCNA Security, Network+, PMP, ITIL, Prince2 i opublikować te wspaniałe serie na naszym kanale.
Dlatego dzisiaj porozmawiamy o podstawach sieci VLAN i odpowiemy na 3 pytania: czym jest sieć VLAN, dlaczego potrzebujemy sieci VLAN i jak ją skonfigurować. Mam nadzieję, że po obejrzeniu tego samouczka wideo będziesz w stanie odpowiedzieć na wszystkie trzy pytania.
Co to jest sieć VLAN? VLAN to skrót od wirtualnej sieci lokalnej. W dalszej części tego samouczka sprawdzimy, dlaczego ta sieć jest wirtualna, ale zanim przejdziemy do sieci VLAN, musimy zrozumieć, jak działa przełącznik. Przypomnimy sobie niektóre pytania omawiane na poprzednich lekcjach.
Najpierw omówmy, czym jest domena wielokrotnych kolizji. Wiemy, że ten 48-portowy przełącznik ma 48 domen kolizyjnych. Oznacza to, że każdy z tych portów lub urządzenia podłączone do tych portów może komunikować się z innym urządzeniem na innym porcie w niezależny sposób, nie wpływając na siebie nawzajem.
Wszystkie 48 portów tego przełącznika jest częścią jednej domeny rozgłoszeniowej. Oznacza to, że jeśli do wielu portów podłączonych jest wiele urządzeń, a jedno z nich transmituje, informacja pojawi się na wszystkich portach, do których podłączone są pozostałe urządzenia. Dokładnie tak działa przełącznik.
To tak, jakby ludzie siedzieli w tym samym pokoju blisko siebie i gdy jeden z nich powiedział coś głośno, wszyscy inni to usłyszeli. Jest to jednak całkowicie nieskuteczne – im więcej osób pojawi się w pomieszczeniu, tym zrobi się głośniej, a obecni przestaną się słyszeć. Podobna sytuacja ma miejsce w przypadku komputerów – im więcej urządzeń jest podłączonych do jednej sieci, tym większa staje się „głośność” transmisji, co nie pozwala na nawiązanie efektywnej komunikacji.
Wiemy, że jeśli jedno z tych urządzeń jest podłączone do sieci 192.168.1.0/24, wszystkie pozostałe urządzenia są częścią tej samej sieci. Switch musi być także podłączony do sieci o tym samym adresie IP. Ale tutaj przełącznik, jako urządzenie warstwy 2 OSI, może mieć problem. Jeśli dwa urządzenia są podłączone do tej samej sieci, mogą łatwo komunikować się ze swoimi komputerami. Załóżmy, że nasza firma ma „złego faceta”, hakera, którego narysuję powyżej. Poniżej mój komputer. Hakerowi bardzo łatwo jest więc włamać się do mojego komputera, ponieważ nasze komputery są częścią tej samej sieci. To jest problem.
Jeśli należę do kierownictwa administracyjnego i ten nowy facet będzie miał dostęp do plików na moim komputerze, to wcale nie będzie dobrze. Oczywiście mój komputer ma zaporę sieciową, która chroni przed wieloma zagrożeniami, ale hakerowi nie będzie trudno ją ominąć.
Drugie niebezpieczeństwo, które istnieje dla każdego członka tej domeny rozgłoszeniowej, polega na tym, że jeśli ktoś będzie miał problem z transmisją, zakłócenia te będą miały wpływ na inne urządzenia w sieci. Chociaż wszystkie 48 portów można podłączyć do różnych hostów, awaria jednego hosta wpłynie na pozostałych 47, a to nie jest to, czego potrzebujemy.
Aby rozwiązać ten problem, używamy koncepcji VLAN, czyli wirtualnej sieci lokalnej. Działa to bardzo prosto, dzieląc ten jeden duży 48-portowy przełącznik na kilka mniejszych.
Wiemy, że podsieci dzielą jedną dużą sieć na kilka małych, a sieci VLAN działają w podobny sposób. Dzieli przełącznik 48-portowy na przykład na 4 przełączniki po 12 portów, z których każdy jest częścią nowej podłączonej sieci. Jednocześnie możemy wykorzystać 12 portów do zarządzania, 12 portów do telefonii IP i tak dalej, czyli podzielić przełącznik nie fizycznie, ale logicznie, wirtualnie.
Przydzieliłem trzy niebieskie porty na górnym przełączniku dla niebieskiej sieci VLAN10 i przypisałem trzy pomarańczowe porty dla VLAN20. Zatem cały ruch z jednego z tych niebieskich portów będzie kierowany tylko do pozostałych niebieskich portów, bez wpływu na pozostałe porty tego przełącznika. Ruch z pomarańczowych portów będzie rozkładany podobnie, czyli tak jakbyśmy korzystali z dwóch różnych fizycznych przełączników. Zatem sieć VLAN jest sposobem na podzielenie przełącznika na kilka przełączników dla różnych sieci.
Na górze narysowałem dwa przełączniki, tutaj mamy sytuację, że na lewym przełączniku podłączone są tylko porty niebieskie dla jednej sieci, a na prawej tylko porty pomarańczowe dla innej sieci, a przełączniki te nie są ze sobą w żaden sposób połączone .
Załóżmy, że chcesz użyć większej liczby portów. Wyobraźmy sobie, że mamy 2 budynki, każdy z własną kadrą zarządzającą, a do zarządzania służą dwa pomarańczowe porty dolnego przełącznika. Dlatego potrzebujemy, aby te porty były podłączone do wszystkich pomarańczowych portów innych przełączników. Podobnie sytuacja wygląda w przypadku portów niebieskich - wszystkie niebieskie porty górnego przełącznika należy podłączyć do innych portów o podobnym kolorze. Aby to zrobić musimy fizycznie połączyć te dwa przełączniki w różnych budynkach oddzielną linią komunikacyjną; na rysunku jest to linia pomiędzy dwoma zielonymi portami. Jak wiemy, jeśli dwa przełączniki są fizycznie połączone, tworzymy szkielet, czyli magistralę.
Jaka jest różnica między zwykłym przełącznikiem a przełącznikiem VLAN? To nie jest duża różnica. Kiedy kupujesz nowy przełącznik, wszystkie porty są domyślnie skonfigurowane w trybie VLAN i są częścią tej samej sieci, oznaczonej jako VLAN1. Dlatego też, gdy podłączymy dowolne urządzenie do jednego portu, zostanie ono podłączone do wszystkich pozostałych portów, ponieważ wszystkie 48 portów należy do tej samej sieci VLAN1. Ale jeśli skonfigurujemy niebieskie porty do pracy w sieci VLAN10, pomarańczowe porty w sieci VLAN20 i zielone porty w VLAN1, otrzymamy 3 różne przełączniki. Zatem korzystanie z trybu sieci wirtualnej pozwala nam logicznie grupować porty w określone sieci, dzielić transmisje na części i tworzyć podsieci. W tym przypadku każdy z portów określonego koloru należy do osobnej sieci. Jeśli niebieskie porty działają w sieci 192.168.1.0, a pomarańczowe porty działają w sieci 192.168.1.0, to pomimo tego samego adresu IP, nie będą one ze sobą połączone, ponieważ logicznie będą należeć do różnych przełączników. A jak wiemy, różne przełączniki fizyczne nie komunikują się ze sobą, chyba że są połączone wspólną linią komunikacyjną. Dlatego tworzymy różne podsieci dla różnych sieci VLAN.
Chciałbym zwrócić uwagę na fakt, że koncepcja VLAN dotyczy tylko przełączników. Każdy, kto jest zaznajomiony z protokołami enkapsulacji, takimi jak .1Q lub ISL, wie, że ani routery, ani komputery nie mają żadnych sieci VLAN. Podłączając komputer np. do jednego z niebieskich portów, w komputerze nic nie zmieniasz, wszystkie zmiany zachodzą dopiero na drugim poziomie OSI, czyli poziomie przełącznika. Gdy skonfigurujemy porty do pracy z konkretną siecią VLAN10 lub VLAN20, przełącznik tworzy bazę danych VLAN. „Zapisuje” w swojej pamięci, że porty 1,3 i 5 należą do VLAN10, porty 14,15 i 18 należą do VLAN20, a pozostałe zaangażowane porty należą do VLAN1. Dlatego jeśli część ruchu pochodzi z niebieskiego portu 1, trafia tylko do portów 3 i 5 tej samej sieci VLAN10. Przełącznik przegląda swoją bazę danych i widzi, że jeśli ruch pochodzi z jednego z pomarańczowych portów, powinien trafiać tylko do pomarańczowych portów VLAN20.
Jednak komputer nic nie wie o tych sieciach VLAN. Kiedy podłączymy 2 przełączniki, pomiędzy zielonymi portami powstaje łącze trunkingowe. Termin „trunk” odnosi się tylko do urządzeń Cisco; inni producenci urządzeń sieciowych, np. Juniper, używają terminu Tag port lub „port tagowany”. Myślę, że nazwa Port Tag jest bardziej odpowiednia. Gdy ruch pochodzi z tej sieci, trunk przekazuje go do wszystkich portów kolejnego przełącznika, czyli łączymy dwa przełączniki 48-portowe i otrzymujemy jeden przełącznik 96-portowy. Jednocześnie, gdy wysyłamy ruch z VLAN10, zostaje on otagowany, czyli otrzymuje etykietę informującą, że jest przeznaczony tylko dla portów sieci VLAN10. Drugi przełącznik po odebraniu tego ruchu odczytuje tag i rozumie, że jest to ruch specjalnie dla sieci VLAN10 i powinien trafiać tylko do niebieskich portów. Podobnie „pomarańczowy” ruch dla sieci VLAN20 jest znakowany, aby wskazać, że jest on przeznaczony dla portów VLAN20 na drugim przełączniku.
Wspomnieliśmy również o enkapsulacji i tutaj istnieją dwie metody enkapsulacji. Pierwszym z nich jest .1Q, czyli organizując trunk, musimy zapewnić enkapsulację. Protokół enkapsulacji .1Q to otwarty standard opisujący procedurę znakowania ruchu. Istnieje inny protokół o nazwie ISL, łącze Inter-Switch, opracowany przez firmę Cisco, który wskazuje, że ruch należy do określonej sieci VLAN. Wszystkie nowoczesne przełączniki współpracują z protokołem .1Q, więc po wyjęciu nowego przełącznika z pudełka nie trzeba używać żadnych poleceń enkapsulacji, ponieważ domyślnie realizuje to protokół .1Q. Tym samym po utworzeniu trunku automatycznie następuje enkapsulacja ruchu, co pozwala na odczyt tagów.
Teraz zacznijmy konfigurować sieć VLAN. Stwórzmy sieć w której będą 2 switche i dwa urządzenia końcowe - komputery PC1 i PC2, które połączymy kablami do switcha #0. Zacznijmy od podstawowych ustawień przełącznika Basic Configuration.
W tym celu należy kliknąć na przełącznik i przejść do interfejsu wiersza poleceń, a następnie ustawić nazwę hosta, wywołując ten przełącznik sw1. Przejdźmy teraz do ustawień pierwszego komputera i ustawmy statyczny adres IP 192.168.1.1 oraz maskę podsieci 255.255. 255.0. Nie ma potrzeby podawania adresu bramy domyślnej, ponieważ wszystkie nasze urządzenia znajdują się w tej samej sieci. Następnie zrobimy to samo dla drugiego komputera, przypisując mu adres IP 192.168.1.2.
Wróćmy teraz do pierwszego komputera, aby pingować drugi komputer. Jak widać, ping powiódł się, ponieważ oba te komputery są podłączone do tego samego przełącznika i domyślnie należą do tej samej sieci VLAN1. Jeśli teraz przyjrzymy się interfejsom przełącznika, zobaczymy, że wszystkie porty FastEthernet od 1 do 24 i dwa porty GigabitEthernet są skonfigurowane w sieci VLAN nr 1. Jednak tak nadmierna dostępność nie jest potrzebna, dlatego wchodzimy w ustawienia przełącznika i wpisujemy komendę show vlan, aby zajrzeć do bazy danych sieci wirtualnej.
Widzisz tutaj nazwę sieci VLAN1 i fakt, że wszystkie porty przełącznika należą do tej sieci. Oznacza to, że możesz podłączyć się do dowolnego portu i wszyscy będą mogli ze sobą „rozmawiać”, ponieważ są częścią tej samej sieci.
Zmienimy tę sytuację, w tym celu najpierw utworzymy dwie sieci wirtualne, czyli dodamy VLAN10. Aby utworzyć sieć wirtualną, użyj polecenia takiego jak „numer sieci vlan”.
Jak widać przy próbie utworzenia sieci system wyświetlił komunikat z listą poleceń konfiguracyjnych VLAN, które należy wykonać w celu wykonania tej akcji:
wyjdź – zastosuj zmiany i wyjdź z ustawień;
nazwa – wprowadź niestandardową nazwę VLAN;
nie – anuluj polecenie lub ustaw je jako domyślne.
Oznacza to, że przed wpisaniem polecenia create VLAN należy wpisać polecenie name, które włącza tryb zarządzania nazwami, a następnie przystąpić do tworzenia nowej sieci. W takim przypadku system podpowiada, czy można przypisać numer VLAN z zakresu od 1 do 1005.
Zatem teraz wpisujemy polecenie utworzenia VLANu o numerze 20 - vlan 20, a następnie nadajemy mu nazwę dla użytkownika, która pokazuje, jaki to rodzaj sieci. W naszym przypadku używamy nazwy polecenie Pracownicy, czyli sieć dla pracowników firmy.
Teraz musimy przypisać konkretny port do tej sieci VLAN. Wchodzimy w tryb ustawień przełącznika int f0/1, następnie ręcznie przełączamy port w tryb Access za pomocą komendy switchport mode access i wskazujemy, który port należy przełączyć w ten tryb – jest to port dla sieci VLAN10.
Widzimy, że po tym kolor punktu połączenia pomiędzy PC0 a przełącznikiem, czyli kolor portu, zmienił się z zielonego na pomarańczowy. Gdy zmiany ustawień zaczną obowiązywać, zmieni kolor ponownie na zielony. Spróbujmy pingować drugi komputer. Nie dokonaliśmy żadnych zmian w ustawieniach sieciowych komputerów, nadal mają one adresy IP 192.168.1.1 i 192.168.1.2. Ale jeśli spróbujemy pingować PC0 z komputera PC1, nic nie zadziała, ponieważ teraz te komputery należą do różnych sieci: pierwsza do VLAN10, druga do natywnej VLAN1.
Wróćmy do interfejsu przełącznika i skonfigurujmy drugi port. Aby to zrobić, wydam polecenie int f0/2 i powtórzę te same kroki dla VLAN 20, co podczas konfigurowania poprzedniej sieci wirtualnej.
Widzimy, że teraz dolny port przełącznika, do którego podłączony jest drugi komputer, również zmienił kolor z zielonego na pomarańczowy – musi upłynąć kilka sekund, zanim zmiany w ustawieniach zaczną obowiązywać i ponownie zmieni kolor na zielony. Jeśli ponownie zaczniemy pingować drugi komputer, nic nie będzie działać, ponieważ komputery nadal należą do różnych sieci, tylko PC1 jest teraz częścią VLAN1, a nie VLAN20.
W ten sposób podzieliłeś jeden przełącznik fizyczny na dwa różne przełączniki logiczne. Widzisz, że teraz kolor portu zmienił się z pomarańczowego na zielony, port działa, ale nadal nie odpowiada, ponieważ należy do innej sieci.
Dokonajmy zmian w naszym obwodzie - odłączmy komputer PC1 od pierwszego przełącznika i podłączmy go do drugiego przełącznika, a same przełączniki połączmy kablem.
Aby nawiązać między nimi połączenie wejdę w ustawienia drugiego przełącznika i utworzę VLAN10, nadając mu nazwę Management, czyli sieć zarządzająca. Następnie włączę tryb dostępu i określę, że ten tryb jest przeznaczony dla sieci VLAN10. Teraz kolor portów, przez które podłączone są przełączniki, zmienił się z pomarańczowego na zielony, ponieważ oba są skonfigurowane w sieci VLAN10. Teraz musimy utworzyć łącze między obydwoma przełącznikami. Obydwa te porty to porty Fa0/2, dlatego należy utworzyć łącze trunkingowe dla portu Fa0/2 pierwszego przełącznika za pomocą polecenia trunk w trybie switchport. To samo należy zrobić dla drugiego przełącznika, po czym między tymi dwoma portami tworzy się łącze trunkingowe.
Teraz, jeśli chcę pingować PC1 z pierwszego komputera, wszystko się ułoży, ponieważ połączenie między PC0 a przełącznikiem #0 to sieć VLAN10, między przełącznikiem #1 a PC1 jest również VLAN10, a oba przełączniki są połączone trunkiem .
Jeśli więc urządzenia znajdują się w różnych sieciach VLAN, to nie są ze sobą połączone, ale jeśli znajdują się w tej samej sieci, wówczas ruch może być swobodnie wymieniany między nimi. Spróbujmy dodać jeszcze jedno urządzenie do każdego przełącznika.
W ustawieniach sieciowych dodanego komputera PC2 ustawię adres IP na 192.168.2.1, a w ustawieniach PC3 adres będzie 192.168.2.2. W takim przypadku porty, do których podłączone są te dwa komputery, zostaną oznaczone jako Fa0/3. W ustawieniach przełącznika nr 0 ustawimy tryb dostępu i wskażemy, że ten port jest przeznaczony dla VLAN20, to samo zrobimy dla przełącznika nr 1.
Jeśli użyję polecenia switchport access vlan 20, a sieć VLAN20 nie została jeszcze utworzona, system wyświetli błąd typu „Access VLAN nie istnieje”, ponieważ przełączniki są skonfigurowane do pracy tylko z VLAN10.
Stwórzmy VLAN20. Używam polecenia „show VLAN”, aby wyświetlić bazę danych sieci wirtualnej.
Widać, że domyślną siecią jest VLAN1, do której podłączone są porty Fa0/4 do Fa0/24 oraz Gig0/1, Gig0/2. Sieć VLAN o numerze 10, o nazwie Zarządzanie, jest podłączona do portu Fa0/1, a sieć VLAN o numerze 20, domyślnie o nazwie VLAN0020, jest podłączona do portu Fa0/3.
W zasadzie nazwa sieci nie ma znaczenia, najważniejsze jest to, że nie jest powtarzana dla różnych sieci. Jeśli chcę zmienić nazwę sieci przypisaną domyślnie przez system, używam polecenia vlan 20 i nadaję nazwę Pracownicy. Mogę zmienić tę nazwę na inną, np. IPphone, a jeśli wykonamy polecenie ping na adres IP 192.168.2.2, zobaczymy, że nazwa VLAN nie ma znaczenia.
Ostatnią rzeczą, o której chcę wspomnieć, jest cel zarządzania własnością intelektualną, o którym mówiliśmy na ostatniej lekcji. W tym celu używamy polecenia int vlan1 i wpisujemy adres IP 10.1.1.1 oraz maskę podsieci 255.255.255.0, a następnie dodajemy polecenie no Shutdown. Przydzieliliśmy Management IP nie dla całego przełącznika, a jedynie dla portów VLAN1, czyli przypisaliśmy adres IP, z którego zarządzana jest sieć VLAN1. Jeśli chcemy zarządzać VLAN2, musimy stworzyć odpowiedni interfejs dla VLAN2. W naszym przypadku są to niebieskie porty VLAN10 i pomarańczowe porty VLAN20, które odpowiadają adresom 192.168.1.0 i 192.168.2.0.
VLAN10 musi mieć adresy znajdujące się w tym samym zakresie, aby mogły się z nim łączyć odpowiednie urządzenia. Podobne ustawienie należy dokonać dla sieci VLAN20.
To okno wiersza poleceń przełącznika pokazuje ustawienia interfejsu dla VLAN1, czyli natywnej sieci VLAN.
Aby skonfigurować Management IP dla VLAN10, musimy utworzyć interfejs int vlan 10, a następnie dodać adres IP 192.168.1.10 i maskę podsieci 255.255.255.0.
Aby skonfigurować VLAN20 musimy utworzyć interfejs int vlan 20, a następnie dodać adres IP 192.168.2.10 i maskę podsieci 255.255.255.0.
Dlaczego jest to konieczne? Jeśli komputer PC0 i lewy górny port przełącznika #0 należą do sieci 192.168.1.0, PC2 należy do sieci 192.168.2.0 i jest podłączony do natywnego portu VLAN1, który należy do sieci 10.1.1.1, wówczas PC0 nie może nawiązać połączenia komunikują się z tym przełącznikiem poprzez protokół SSH, ponieważ należą do różnych sieci. Dlatego też, aby PC0 mógł komunikować się z przełącznikiem poprzez SSH lub Telnet, musimy mu przyznać dostęp Access. Dlatego potrzebujemy zarządzania siecią.
Powinniśmy móc powiązać PC0 za pomocą SSH lub Telnetu z adresem IP interfejsu VLAN20 i dokonać wszelkich potrzebnych zmian poprzez SSH. Zatem adres IP zarządzania jest niezbędny specjalnie do konfiguracji sieci VLAN, ponieważ każda sieć wirtualna musi mieć własną kontrolę dostępu.
W dzisiejszym filmie omówiliśmy wiele zagadnień: podstawowe ustawienia przełącznika, tworzenie sieci VLAN, przypisywanie portów VLAN, przypisywanie adresu IP zarządzania dla sieci VLAN i konfigurowanie łączy trunkingowych. Nie wstydź się, jeśli czegoś nie rozumiesz, jest to naturalne, ponieważ VLAN to bardzo złożony i szeroki temat, do którego powrócimy w przyszłych lekcjach. Gwarantuję, że z moją pomocą możesz zostać mistrzem VLAN, ale celem tej lekcji było wyjaśnienie Ci 3 pytań: czym są sieci VLAN, po co je potrzebujemy i jak je skonfigurować.
Dziękujemy za pobyt z nami. Podobają Ci się nasze artykuły? Chcesz zobaczyć więcej ciekawych treści? Wesprzyj nas składając zamówienie lub polecając znajomym, 30% zniżki dla użytkowników Habr na unikalny odpowiednik serwerów klasy podstawowej, który został przez nas wymyślony dla Ciebie: (dostępne z RAID1 i RAID10, do 24 rdzeni i do 40 GB DDR4).
Dell R730xd 2 razy tańszy? Tylko tutaj w Holandii! Dell R420 — 2x E5-2430 2.2 GHz 6C 128 GB DDR3 2x960 GB SSD 1 Gb/s 100 TB — od 99 USD! Czytać o
Źródło: www.habr.com