VLANs – это широковещательные домены или, если угодно, виртуальные сети, которые существуют на втором уровне модели OSI. То есть, вилан можно настроить на коммутаторе второго уровня. Если смотреть на вилан, абстрагируясь от понятия «виртуальные сети», то можно сказать, что VLAN – это просто метка в кадре, который передается по сети. Метка содержит номер вилана (его называют VLAN ID или VID), – на который отводится 12 бит, то есть, вилан может нумероваться от 0 до 4095. Первый и последний номера зарезервированы, их использовать нельзя. Рабочие станции о виланах ничего не знают. О них думают коммутаторы. На портах коммутаторов указывается в каком вилане они находятся. В зависимости от этого весь трафик, который выходит через порт помечается меткой, то есть виланом. Таким образом этот трафик может в дальнейшем проходить через другие порты коммутатора(ов), которые находятся в этом вилане и не пройдут через все остальные порты. В итоге, создается изолированная среда (подсеть), которая без дополнительного устройства (маршрутизатора) не может взаимодействовать с другими подсетями.
Зачем нужны виланы?
- Возможность построения сети, логическая структура которой не зависит от физической. То есть, топология сети на канальном уровне строится независимо от географического расположения составляющих компонентов сети.
- Возможность разбиения одного широковещательного домена на несколько широковещательных доменов. То есть, широковещательный трафик одного домена не проходит в другой домен и наоборот. При этом уменьшается нагрузка на сетевые устройства.
- Возможность обезопасить сеть от несанкционированного доступа. То есть, на канальном уровне кадры с других виланов будут отсекаться портом коммутатора независимо от того, с каким исходным IP-адресом инкапсулирован пакет в данный кадр.
- Возможность применять политики на группу устройств, которые находятся в одном вилане.
- Возможность использовать виртуальные интерфейсы для маршрутизации.
Тэгированные и нетэгированные порты
Когда порт должен уметь принимать или отдавать трафик из разных виланов, то он должен находиться в тэгированном или транковом состоянии Понятие транкового порта и тэгированного порта почти одинаковое, за исключением некоторых особенностей. Транковый порт подразумевает то, что он пропускает трафик всех виланов, а тэгированный порт может быть только для некоторых виланов. Разное оборудование настраивается по-разному в данном случае. Для одного оборудования нужно на физическом интерфейсе указать в каком состоянии находится тот или иной порт, а на другом в определенном вилане необходимо указать какой порт как позиционируется – с тэгом или без тэга. И если необходимо, чтобы этот порт пропускал через себя несколько виланов, то в каждом из этих виланов нужно прописать данный порт с тэгом. Например, в коммутаторах Enterasys Networks (бывший Cabletron Systems) мы должны указать в каком вилане находится определенный порт и добавить этот порт в egress list этого вилана для того, чтобы трафик мог проходить через этот порт. Если мы хочем чтобы через наш порт проходил трафик еще одного вилана, то мы добавляем этот порт в egress list еще и этого вилана. На оборудовании HP (например, коммутаторах ProCurve) мы в самом вилане указываем какие порты могут пропускать трафик этого вилана и добавляем состояние портов – тэгирован или не тегирован. Проще всего на оборудовании Cisco Systems. На таких коммутаторах мы просто указываем какие порты какими виланами не тэгированы (находятся в режиме access) и какие порты находятся в состоянии Trunk – передают трафик всех виланов настроенных на коммутаторе. Для настройки портов в режим trunk созданы специальные протоколы. Один из таких имеет стандарт IEEE 802.1Q. Кроме того, разные производители могут иметь свои протоколы передачи данных из разных виланов. Например, Cisco создала для свого оборудования протокол ISL (Inter Switch Lisk).
Межвиланная маршрутизация
Что такое межвиланная маршрутизация? Это обычная маршрутизация подсетей. Разница только в том, что каждой подсети соответствует какой-то VLAN на втором уровне. Что это значит. Допустим у нас есть два вилана: VLAN ID = 10 и VLAN ID = 20. На втором уровне эти виланы осуществляют разбиение одной сети на две подсети. Хосты, которые находятся в этих подсетях не видят друг друга. То есть, трафик полностью изолирован. Для того, чтобы хосты могли взаимодействовать между собой, необходимо смаршрутизировать трафик этих виланов. Для этого нам необходимо на третьем уровне каждому из виланов присвоить интерфейс, то есть прикрепить к ним IP-адрес. Например, для VID = 10 IP address будет 10.0.10.1/24, а для VID = 20 IP address – 10.0.20.1/24. Эти адреса будет дальше выступать в роли шлюзов для выхода в другие подсети. Таким образом, мы можем трафик хостов с одного вилана маршрутизировать в другой вилан. Что дает нам маршрутизация виланов по сравнению с простой маршрутизацией посетей без использования виланов? А вот что:
- Возможность стать членом другой подсети на стороне клиента заблокирована. То есть, если хост находится в определенном вилане, то даже, если он поменяет себе адресацию с другой подсети, он всеравно останется в том вилане, котором он был. Это значит, что он не получит доступа к другой подсети. А это в свою очередь обезопасит сеть от «плохих» клиентов.
- Мы можем использовать вилан на несколько физических интерфейсов коммутатора. То есть, у нас есть возможность на коммутаторе третьего уровня сразу настроить маршрутизацию, подключив к нему клиентов сети, без использования внешнего маршрутизатора. Либо мы можем использовать внешний маршрутизатор подключенный к коммутатору второго уровня, на котором настроены виланы, и создать столько сабинтерфейсов на порте маршрутизатора, сколько всего виланов он должен маршрутизировать.
- Очень удобно между первым и третьим уровнями использовать второй уровень в виде виланов. Удобно подсети помечать как виланы с определенными интерфейсами. Удобно настроить один вилан и поместить в него кучу портов коммутатора. И вообще, много чего удобно делать, когда есть виланы.
Спасено отсюда: habrahabr.ru/post/130053
И коммутаторах, позволяющая на одном физическом сетевом интерфейсе (Ethernet, Wi-Fi интерфейсе) создать несколько виртуальных локальных сетей. VLAN используют для создания логической топологии сети, которая никак не зависит от физической топологии.
Примеры использования VLAN
Объединение в единую сеть компьютеров, подключенных к разным коммутаторам .
Допустим, у вас есть компьютеры, которые подключены к разным свитчам, но их нужно объединить в одну сеть. Одни компьютеры мы объединим в виртуальную локальную сеть VLAN 1, а другие — в сеть VLAN 2. Благодаря функции VLAN компьютеры в каждой виртуальной сети будут работать, словно подключены к одному и тому же свитчу. Компьютеры из разных виртуальных сетей VLAN 1 и VLAN 2 будут невидимы друг для друга.
Разделение в разные подсети компьютеров, подключенных к одному коммутатору
.
На рисунке компьютеры физически подключены к одному свитчу, но разделены в разные виртуальные сети VLAN 1 и VLAN 2. Компьютеры из разных виртуальных подсетей будут невидимы друг для друга.
Разделение гостевой Wi-Fi сети и Wi-Fi сети предприятия
.
На рисунке к роутеру подключена физически одна Wi-Fi точка доступа . На точке созданы две виртуальные Wi-Fi точки с названиями HotSpot и Office. К HotSpot будут подключаться по Wi-Fi гостевые ноутбуки для доступа к интернету, а к Office — ноутбуки предприятия. В целях безопасности необходимо, чтобы гостевые ноутбуки не имели доступ к сети предприятия. Для этого компьютеры предприятия и виртуальная Wi-Fi точка Office объединены в виртуальную локальную сеть VLAN 1, а гостевые ноутбуки будут находиться в виртуальной сети VLAN 2. Гостевые ноутбуки из сети VLAN 2 не будут иметь доступ к сети предприятия VLAN 1.
Достоинства использования VLAN
Гибкое разделение устройств на группы
Как правило, одному VLAN соответствует одна подсеть. Компьютеры, находящиеся в разных VLAN, будут изолированы друг от друга. Также можно объединить в одну виртуальную сеть компьютеры, подключенные к разным коммутаторам.
Уменьшение широковещательного трафика в сети
Каждый VLAN представляет отдельный широковещательный домен. Широковещательный трафик не будет транслироваться между разными VLAN. Если на разных коммутаторах настроить один и тот же VLAN, то порты разных коммутаторов будут образовывать один широковещательный домен.
Увеличение безопасности и управляемости сети
В сети, разбитой на виртуальные подсети, удобно применять политики и правила безопасности для каждого VLAN. Политика будет применена к целой подсети, а не к отдельному устройству.
Уменьшение количества оборудования и сетевого кабеля
Для создания новой виртуальной локальной сети не требуется покупка коммутатора и прокладка сетевого кабеля. Однако вы должны использовать более дорогие управляемые коммутаторы с поддержкой VLAN.
Реализация VLAN в устройствах CISCO
В устройствах Cisco , протокол VTP (VLAN Trunking Protocol) предусматривает VLAN-домены для упрощения администрирования. VTP также выполняет «чистку» трафика, направляя VLAN трафик только на те коммутаторы, которые имеют целевые VLAN-порты (функция VTP pruning). Коммутаторы Cisco в основном используют протокол 802.1Q Trunk вместо устаревшего проприетарного ISL (Inter-Switch Link) для обеспечения совместимости информации.
По умолчанию на каждом порту коммутатора имеется сеть VLAN1 или VLAN управления. Сеть управления не может быть удалена, однако могут быть созданы дополнительные сети VLAN и этим альтернативным VLAN могут быть дополнительно назначены порты.
Native VLAN - это параметр каждого порта, который определяет номер VLAN, который получают все непомеченные (untagged) пакеты.
Обозначение членства в VLAN
Для этого существуют следующие решения:
- по порту (Port-based, 802.1Q): порту коммутатора вручную назначается одна VLAN. В случае, если одному порту должны соответствовать несколько VLAN (например, если соединение VLAN проходит через несколько свитчей), то этот порт должен быть членом транка . Только одна VLAN может получать все пакеты, не отнесённые ни к одной VLAN (в терминологии 3Com , Planet, D-Link , Zyxel , HP - untagged , в терминологии Cisco - native VLAN ). Свитч будет добавлять метки данной VLAN ко всем принятым кадрам не имеющим никаких меток. VLAN, построенные на базе портов, имеют некоторые ограничения.
- по MAC-адресу (MAC-based): членство в VLANe основывается на MAC-адресе рабочей станции . В таком случае свитч имеет таблицу MAC-адресов всех устройств вместе с VLANами, к которым они принадлежат.
- по протоколу (Protocol-based): данные 3-4 уровня в заголовке пакета используются чтобы определить членство в VLANe. Например, -машины могут быть переведены в первую VLAN, а AppleTalk -машины во вторую. Основной недостаток этого метода в том, что он нарушает независимость уровней, поэтому, например, переход с IPv4 на IPv6 приведет к нарушению работоспособности сети.
- методом аутентификации (Authentication based): устройства могут быть автоматически перемещены в VLAN основываясь на данных аутентификации пользователя или устройства при использовании протокола 802.1x .
Преимущества
- Облегчается перемещение, добавление устройств и изменение их соединений друг с другом.
- Достигается большая степень административного контроля вследствие наличия устройства, осуществляющего между сетями VLAN маршрутизацию на 3-м уровне.
- Уменьшается потребление полосы пропускания по сравнению с ситуацией одного широковещательного домена.
- Сокращается непроизводственное использование CPU за счет сокращения пересылки широковещательных сообщений.
- Предотвращение широковещательных штормов и предотвращение петель.
См. также
Источники
- Эндрю Таненбаум , 2003, «Computer Networks», Pearson Education International, New Jersey.
Ссылки
- IEEE’s 802.1Q standard 1998 version (2003 version)(2005 version)
- OpenWRT guide to VLANs : Provides a good beginners guide to all VLANS
- Some FAQ about the VLANs
- VLAN на Xgu.ru - подробная информация о настройке и использовании VLAN в активном сетевом оборудовании Cisco и HP ProCurve и в операционных системах Linux и FreeBSD
- Виртуальные Локальные Сети: VLAN на примере Cisco Catalyst
- Возможности современных коммутаторов по организации виртуальных сетей
Wikimedia Foundation . 2010 .
Смотреть что такое "VLAN" в других словарях:
vlan - vlan … Dictionnaire des rimes
- (от англ. Virtual Local Area Network) виртуальная локальная вычислительная сеть, известная так же как VLAN, представляет собой группу хостов с общим набором требований, которые взаимодействуют так, как если бы они были подключены к… … Википедия
vlan
- [ vlɑ̃ ] interj. 1803; onomat. ♦ Onomatopée imitant un bruit fort et sec. « Patatras ! vlan ! pif ! paf ! boum ! » (A. Daudet). Fig. (parole brutale) Et vlan ! dans les gencives (cf. Et toc). ⇒VLAN, onomat. et subst. masc. I. Onomat. }
