Antes de começarmos os fundamentos de VLAN, eu gostaria de pedir a todos vocês para pausar este vídeo, clicar no ícone no canto inferior esquerdo, onde está escrito Networking consultant, acessar nossa página no Facebook e deixar um like lá. Em seguida, volte ao vídeo e clique no ícone do Rei no canto inferior direito para se inscrever em nosso canal oficial no YouTube. Estamos constantemente adicionando novas séries, atualmente estamos focando no curso CCNA, e em seguida pretendemos iniciar o curso de vídeo-aulas de CCNA Security, Network+, PMP, ITIL, Prince2 e publicar essas maravilhosas séries em nosso canal.
Então, hoje vamos falar sobre os fundamentos de VLAN e responder a três perguntas: o que é VLAN, por que precisamos de VLAN e como configurá-la. Espero que após assistir a este vídeo, você consiga responder a todas as três perguntas.
O que é VLAN? VLAN é a sigla para "rede local virtual". Ao longo da nossa aula, veremos por que essa rede é virtual, mas antes de irmos para a VLAN, precisamos entender como funciona um switch. Vamos rever algumas das questões que discutimos nas aulas anteriores.
Primeiro, vamos discutir o que é um Multiple Collision Domain, ou domínio de colisões. Sabemos que este switch de 48 portas possui 48 domínios de colisão. Isso significa que cada uma dessas portas ou dispositivos conectados a essas portas pode interagir com outro dispositivo em outra porta de forma independente, sem causar impacto entre si.
Todas as 48 portas deste switch são partes de um único Broadcast Domain. Isso significa que, se vários dispositivos estiverem conectados a várias portas, e um deles realizar uma transmissão de broadcast, ela aparecerá em todas as portas às quais os outros dispositivos estão conectados. É assim que o switch funciona.
É como se as pessoas estivessem sentadas em uma sala próximas umas das outras, e quando uma delas fala algo alto, todos os outros podem ouvir. No entanto, isso é completamente ineficiente — quanto mais pessoas aparecem na sala, mais barulhenta ela se torna e os presentes começam a não se ouvir mais. Uma situação semelhante ocorre com os computadores — quanto mais dispositivos se conectam a uma rede, maior se torna o "volume" do broadcast, o que impede uma comunicação eficaz.
Sabemos que se um desses dispositivos estiver conectado à rede 192.168.1.0/24, todos os outros dispositivos fazem parte dessa mesma rede. O switch também deve estar conectado a uma rede com o mesmo endereço IP. No entanto, aqui o switch, como dispositivo de camada 2 do modelo OSI, pode enfrentar um problema. Se dois dispositivos estiverem conectados à mesma rede, eles podem facilmente se comunicar entre si. Suponha que exista um "cara mau" trabalhando em nossa empresa, um hacker, que desenhei acima. Abaixo dele está meu computador. Então, esse hacker pode facilmente invadir meu computador, pois nossos computadores fazem parte da mesma rede. É aí que está o problema.
Se eu fizer parte da administração, e esse novo funcionário conseguir acessar os arquivos no meu computador, isso não será nada bom. Claro, meu computador possui um firewall que protege contra muitas ameaças, mas será fácil para o hacker contorná-lo.
O segundo perigo, que afeta todos os que são membros desse domínio de broadcast, é que se alguém tiver problemas com a transmissão de broadcast, essa interferência impactará outros dispositivos na rede. Embora todas as 48 portas possam estar conectadas a hosts diferentes, uma falha em um host afetará os outros 47, o que não é desejável.
Para resolver esse problema, usamos o conceito de VLAN, ou rede local virtual. Isso funciona de forma muito simples, dividindo esse grande switch de 48 portas em vários switches menores.
Sabemos que sub-redes dividem uma grande rede em várias redes menores, e as VLANs funcionam de maneira semelhante. Elas dividem um switch de 48 portas, por exemplo, em 4 switches de 12 portas, cada um dos quais faz parte de uma nova rede conectada. Dessa forma, podemos usar 12 portas para gerenciamento, 12 portas para funcionamento de telefonia IP e assim por diante, ou seja, dividimos o switch não fisicamente, mas logicamente, virtualmente.
Eu destaquei três portas do switch superior, marcadas em azul, para a rede VLAN10 "azul", enquanto três portas laranjas foram designadas para a VLAN20. Assim, qualquer tráfego de uma dessas portas azuis será enviado apenas para outras portas azuis, sem afetar as demais portas deste switch. Da mesma forma, o tráfego das portas laranjas será isolado, como se estivéssemos usando dois switches físicos distintos. Portanto, o VLAN é uma maneira de dividir um switch em vários switches para diferentes redes.
Desenhei dois switches no topo, onde temos a situação em que no switch da esquerda estão ativas apenas as conexões das portas azuis para uma rede, enquanto no switch da direita estão ativas apenas as portas laranjas para outra rede, e esses switches não estão de forma alguma conectados entre si.
Suponha que você queira usar mais portas. Imagine que temos 2 edifícios, cada um com sua própria equipe de gerenciamento, e duas portas laranjas do switch inferior são usadas para gerenciamento. Portanto, precisamos que essas portas estejam conectadas a todas as portas laranjas de outros switches. Uma situação semelhante se aplica às portas azuis - todas as portas azuis do switch superior devem estar conectadas às demais portas de mesma cor. Para isso, precisamos conectar fisicamente esses dois switches em edifícios diferentes, através de uma linha de conexão separada, que é a linha azul entre duas portas verdes no diagrama. Como sabemos, se dois switches estão fisicamente conectados, formamos um tronco, ou trunk.
Qual é a diferença entre um switch comum e um switch VLAN? A diferença não é muito grande. Quando você compra um novo switch, por padrão, todas as portas estão configuradas no modo VLAN e fazem parte de uma única rede, designada como VLAN1. É por isso que, ao conectar um dispositivo a uma porta, ele fica conectado a todas as outras portas, pois as 48 portas pertencem a uma única rede virtual, VLAN1. Mas se configurarmos as portas azuis para operar na rede VLAN10, as laranjas na rede VLAN20, e as verdes na VLAN1, teremos 3 switches distintos. Dessa forma, o uso do modo de rede virtual nos permite agrupar logicamente as portas sob redes específicas, dividir a transmissão de broadcast em partes e criar sub-redes. Cada uma das portas de uma determinada cor pertence a uma rede separada. Se as portas azuis funcionarem na rede 192.168.1.0 e as portas laranjas também funcionarem na rede 192.168.1.0, apesar do mesmo endereço IP, elas não estarão conectadas entre si, pois pertencem logicamente a switches diferentes. E como sabemos, switches físicos diferentes não se comunicam entre si, a menos que estejam conectados por um link comum. Assim, criamos diferentes sub-redes para diferentes VLANs.
Gostaria de chamar a sua atenção para o fato de que o conceito de VLAN se aplica apenas a switches. Aqueles que estão familiarizados com protocolos de encapsulamento, como .1Q ou ISL, sabem que nem roteadores nem computadores têm VLANs. Quando você conecta seu computador, por exemplo, a uma das portas azuis, você não altera nada no computador; todas as alterações ocorrem apenas na segunda camada do modelo OSI, a camada do switch. Ao configurarmos portas para operar com uma rede específica VLAN10 ou VLAN20, o switch cria um banco de dados VLAN. Ele 'registra' em sua memória que as portas 1, 3 e 5 pertencem à VLAN10, as portas 14, 15 e 18 são parte da rede VLAN20, enquanto as demais portas utilizadas fazem parte da rede VLAN1. Portanto, se algum tráfego sair da porta azul 1, ele só chega às portas 3 e 5 dessa mesma rede VLAN10. O switch 'consulta' seu banco de dados e vê que, se o tráfego vem de uma das portas laranjas, ele deve ser direcionado apenas para as portas laranjas da rede VLAN20.
No entanto, o computador não sabe nada sobre essas redes VLAN. Quando conectamos 2 switches, um tronco se forma entre as portas verdes. O termo "tronco" é relevante apenas para dispositivos da Cisco; outros fabricantes de equipamentos de rede, como a Juniper, utilizam o termo Tag port, ou "porta etiquetada". Eu considero que o nome Tag port é mais apropriado. Quando o tráfego sai dessa rede, o tronco o transmite para todas as portas do próximo switch, ou seja, conectamos dois switches de 48 portas e obtemos um switch de 96 portas. Assim, quando enviamos tráfego da VLAN10, ele se torna etiquetado, ou seja, recebe uma etiqueta que indica que é destinado apenas às portas da VLAN10. O segundo switch, ao receber este tráfego, lê a etiqueta e entende que se trata de tráfego destinado à VLAN10 e deve ser direcionado apenas às portas azuis. Da mesma forma, o tráfego "laranja" para a VLAN20 é etiquetado, indicando que é destinado às portas da VLAN20 do segundo switch.
Também mencionamos a encapsulação, e existem dois métodos de encapsulação. O primeiro é o .1Q, ou seja, quando organizamos um tronco, devemos garantir a encapsulação. O protocolo de encapsulação .1Q é um padrão aberto que descreve o procedimento de etiquetagem do tráfego. Existe outro protocolo chamado ISL, Inter-Switch Link, desenvolvido pela Cisco, que indica a qual VLAN pertence o tráfego. Todos os switches modernos utilizam o protocolo .1Q, portanto, ao retirar um novo switch da caixa, você não precisa usar nenhum comando de encapsulação, pois, por padrão, isso é feito pelo protocolo .1Q. Assim, após criar o tronco, a encapsulação do tráfego ocorre automaticamente, permitindo a leitura das etiquetas.
Agora vamos começar a configurar a rede VLAN. Vamos criar uma rede que terá 2 switches e dois dispositivos finais – os computadores PC1 e PC2, que conectaremos ao switch #0 com cabos. Começaremos com as configurações básicas do switch Configuração Básica.
Para isso, vamos clicar no switch e acessar a interface de linha de comando, e então vamos definir o nome do host, chamando esse switch de sw1. Agora, vamos para as configurações do primeiro computador e definiremos o endereço IP estático 192.168.1.1 e a máscara de sub-rede 255.255.255.0. O endereço do gateway padrão não é necessário, pois todos os nossos dispositivos estão na mesma rede. Em seguida, faremos exatamente a mesma coisa para o segundo computador, atribuindo-lhe o endereço IP 192.168.1.2.
Agora voltaremos ao primeiro computador para fazer um ping no segundo computador. Como vemos, o ping foi bem-sucedido porque esses dois computadores estão conectados ao mesmo switch e fazem parte da mesma rede, que é a VLAN1 por padrão. Se olharmos agora para as interfaces do switch, veremos que todas as portas FastEthernet de 1 a 24 e duas portas GigabitEthernet estão configuradas para a VLAN #1. No entanto, essa acessibilidade excessiva não é necessária, então acessamos as configurações do switch e digitamos o comando show vlan para ver o banco de dados das redes virtuais.
Aqui você pode ver o nome da rede VLAN1 e que todas as portas do switch pertencem a essa rede. Isso significa que você pode conectar-se a qualquer porta, e todas elas poderão 'comunicar-se' entre si porque fazem parte da mesma rede.
Vamos mudar essa situação; para isso, primeiro criaremos duas redes virtuais, ou seja, adicionaremos a VLAN10. Para criar uma rede virtual, utiliza-se um comando do tipo 'vlan número da rede'.
Como você pode ver, ao tentar criar a rede, o sistema exibiu uma mensagem com uma lista de comandos de configuração de VLAN que precisam ser usados para essa ação:
exit – aplicar as mudanças e sair das configurações;
name – inserir um nome personalizado para a VLAN;
no – cancelar o comando ou restaurá-lo para o padrão.
Isso significa que, antes de inserir o comando para criar a VLAN, você deve inserir o comando name, que ativa o modo de gerenciamento de nomes, e então proceder para criar uma nova rede. O sistema informa que o número da VLAN pode ser atribuído dentro do intervalo de 1 a 1005.
Então, agora digitamos o comando para criar a VLAN número 20 – vlan 20, e depois definimos um nome para o usuário que indique do que se trata essa rede. No nosso caso, utilizamos o comando name Employees, ou rede para os funcionários da empresa.
Agora precisamos atribuir uma porta específica a essa VLAN. Entramos no modo de configuração do switch int f0/1, em seguida, mudamos manualmente a porta para o modo Access com o comando switchport mode access e indicamos qual porta deve ser alterada para esse modo – esta é a porta para a rede VLAN10.
Podemos ver que, após isso, a cor do ponto de conexão PC0 e do switch, a cor da porta, mudou de verde para laranja. Ela voltará a ser verde assim que as mudanças nas configurações entrarem em vigor. Vamos tentar fazer pingar o segundo computador. Não fizemos nenhuma alteração nas configurações de rede dos computadores, eles ainda têm os endereços IP 192.168.1.1 e 192.168.1.2. Mas se tentarmos fazer ping do computador PC0 para o computador PC1, não teremos sucesso, porque agora esses computadores pertencem a diferentes redes: o primeiro à VLAN10, o segundo – à VLAN nativa 1.
Vamos voltar à interface do switch e configurar a segunda porta. Para isso, vou digitar o comando int f0/2 e repetir para a rede VLAN 20 os mesmos passos que fizemos ao configurar a rede virtual anterior.
Podemos ver que agora a porta inferior do switch, à qual o segundo computador está conectado, também mudou sua cor de verde para laranja – levará alguns segundos até que as mudanças nas configurações entrem em vigor e ela volte a ser verde. Se tentarmos novamente pingar o segundo computador, não conseguiremos, porque os computadores ainda pertencem a redes diferentes, apenas PC1 agora faz parte não da VLAN1, mas da VLAN20.
Dessa forma, você dividiu um switch físico em dois switches lógicos diferentes. Você vê que agora a cor da porta mudou de laranja para verde, a porta está funcionando, mas ainda não é possível fazer ping, porque pertence a outra rede.
Vamos fazer alterações em nosso esquema – desconectaremos o computador PC1 do primeiro switch e conectaremos ao segundo switch, e os switches serão conectados por um cabo.
Para estabelecer a conexão entre eles, vou acessar as configurações do segundo switch e criar o VLAN10, nomeando-o de Management, ou seja, a rede de gerenciamento. Em seguida, ativarei o modo Access e indicarei que esse modo é destinado à rede VLAN10. Agora a cor das portas, através das quais os switches estão conectados, mudou de laranja para verde, pois ambos estão configurados para VLAN10. Agora precisamos criar um trunk entre os dois switches. Ambas essas portas são Fa0/2, portanto, precisamos criar um trunk para a porta Fa0/2 do primeiro switch, usando o comando switchport mode trunk. A mesma coisa deve ser feita para o segundo switch, após o que um trunk será formado entre essas duas portas.
Agora, se eu quiser fazer um ping do primeiro computador para o PC1, tudo funcionará, porque a conexão entre o PC0 e o switch #0 é a rede VLAN10, entre o switch #1 e o PC1 também é VLAN10, e ambos os switches estão conectados por um trunk.
Assim, se os dispositivos estiverem em redes VLAN diferentes, eles não estarão conectados entre si, enquanto que se estiverem na mesma rede, haverá livre troca de tráfego entre eles. Vamos tentar adicionar mais um dispositivo a cada switch.
Nas configurações de rede do computador adicionado PC2, vou definir o endereço IP como 192.168.2.1, e nas configurações do PC3 – como 192.168.2.2. Nesse caso, as portas às quais esses dois PCs estão conectados receberão a designação Fa0/3. Nas configurações do switch #0, estabeleceremos o modo Access e indicaremos que essa porta é destinada para VLAN20, e faremos o mesmo para o switch #1.
Se eu usar o comando switchport access vlan 20 e a rede VLAN20 ainda não tiver sido criada, o sistema retornará um erro do tipo "Access VLAN does not exist”, porque os switches estão configurados para operar apenas com VLAN10.
Vamos criar a VLAN20. Usarei o comando "show vlan" para visualizar o banco de dados das redes virtuais.
Você vê que a rede padrão é VLAN1, à qual estão conectadas as portas de Fa0/4 a Fa0/24 e Gig0/1, Gig0/2. A rede virtual de número 10, chamada Management, está conectada à porta Fa0/1, enquanto a rede VLAN de número 20, chamada padrão VLAN0020, está conectada à porta Fa0/3.
Basicamente, o nome da rede não importa, desde que não se repita para redes diferentes. Se eu quiser substituir o nome da rede que o sistema atribui por padrão, eu uso o comando vlan 20 e nome Employees. Posso mudar esse nome para outro, como IPphones, e se fizermos um ping no IP 192.168.2.2, veremos que o nome da VLAN não tem relevância.
A última coisa que quero mencionar é a atribuição do Management IP, sobre a qual falamos na última aula. Para isso, usamos o comando int vlan1 e inserimos o IP 10.1.1.1 e a máscara de sub-rede 255.255.255.0, e em seguida adicionamos o comando no shutdown. Atribuímos o Management IP não para o switch inteiro, mas apenas para as portas VLAN1, ou seja, atribuímos um IP a partir do qual gerenciamos a rede VLAN1. Se quisermos gerenciar a VLAN2, precisamos criar a interface correspondente para a VLAN2. No nosso caso, temos as portas azuis VLAN10 e as portas laranja VLAN20, que correspondem aos endereços 192.168.1.0 e 192.168.2.0.
A VLAN10 deve ter endereços localizados na mesma faixa, para que os dispositivos correspondentes possam se conectar a ela. Uma configuração semelhante deve ser realizada para a VLAN20.
Nesta janela do prompt de comando do switch, estão mostradas as configurações da interface para a VLAN1, ou seja, a native VLAN.
Para configurar o Management IP para a VLAN10, precisamos criar a interface int vlan 10 e, em seguida, adicionar o IP 192.168.1.10 e a máscara de sub-rede 255.255.255.0.
Para configurar a VLAN20, precisamos criar a interface int vlan 20 e, em seguida, adicionar o IP 192.168.2.10 e a máscara de sub-rede 255.255.255.0.
Por que isso é necessário? Se o PC0 e a porta superior esquerda do switch #0 pertencem à rede 192.168.1.0, o PC2 pertence à rede 192.168.2.0 e está conectado à porta native VLAN1, que pertence à rede 10.1.1.1, então o PC0 não consegue se conectar a esse switch pelo protocolo SSH, porque pertencem a redes diferentes. Portanto, para que o PC0 consiga se conectar ao switch pelo protocolo SSH ou Telnet, precisamos fornecer acesso. É para isso que precisamos do gerenciamento da rede.
Precisamos ser capazes de conectar o PC0 via SSH ou Telnet ao IP da interface VLAN20 e fazer quaisquer alterações necessárias via SSH. Portanto, o Management IP é essencial para a configuração da VLAN, pois cada rede virtual deve ter seu próprio gerenciamento de acesso.
No vídeo de hoje, discutimos muitas questões: configurações básicas do switch, criação de redes VLAN, atribuição de portas VLAN, atribuição de IP de gerenciamento para redes VLAN e configuração de trunks. Não se preocupe se você não entender tudo, isso é natural, pois VLAN é um tópico muito complexo e abrangente, ao qual voltaremos nas próximas aulas. Eu garanto que, com a minha ajuda, você poderá se tornar um "mestre" em VLAN, mas o objetivo desta aula era esclarecer três perguntas: o que são redes VLAN, por que precisamos delas e como configurá-las.
Obrigado por estar conosco. Você gosta dos nossos artigos? Quer ver mais materiais interessantes? Apoie-nos fazendo um pedido ou recomendando a amigos, 30% de desconto para usuários do Habra em um análogo único de servidores de entrada, que foi desenvolvido para você: (disponíveis opções com RAID1 e RAID10, até 24 núcleos e até 40GB DDR4).
Dell R730xd pela metade do preço? Somente conosco na Holanda! Dell R420 — 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — a partir de $99! Leia sobre
Fonte: habr.com
