| Статья о том, что такое VLANы их как их настроить. |
|
|
| Написал Administrator | |
| вторник, 07 октября 2008 | |
|
VLAN (Virtual Local Area Network) —устройства объединённые в группы, общающиеся напрямую на канальном уровне, несмотря на то что физически подключены к разным коммутаторам. А также, устройства, находящиеся в разных VLAN'ах, не видят друг друга на канальном уровне, несмотря на то что они подключены к одному коммутатору, - связь возможно только на сетевом или более высоких уровнях. Основная идея, - создание логической топологии сети не зависящей от физической топологии. Использование VLAN'ов сокращает широковещательный трафик в сети. Также имеет большое значение в безопасности сети, к примеру помогает в борьбе с ARP-spoofing'ом.
Задачи VLAN'ов. Гибкое разделение устройств на группы
Тегирование трафика VLAN Компьютер при отправке трафика в сеть даже не догадывается, в каком VLAN'е он размещён. Об этом думает коммутатор. Коммутатор знает, что компьютер, который подключен к определённому порту, находится в соответствующем VLAN'e. Трафик, приходящий на порт определённого VLAN'а, ничем особенным не отличается от трафика другого VLAN'а. Другими словами, никакой информации о принадлежности трафика определённому VLAN'у в нём нет. Однако, если через порт может прийти трафик разных VLAN'ов, коммутатор должен его как-то различать. Для этого каждый кадр (frame) трафика должен быть помечен каким-то особым образом. Пометка должна говорить о том, какому VLAN'у трафик принадлежит. Наиболее распространённый сейчас способ ставить такую пометку описан в открытом стандарте IEEE 802.1Q. Существуют проприетарные протоколы, решающие похожие задачи, например, протокол ISL (Inter Switch Link) от Cisco Systems, но их популярность значительно ниже (и снижается). 802.1Q помещает внутрь фрейма тег, который передает информацию о принадлежности трафика к VLAN'у.
Размер тега — 4 байта. Он состоит из таких полей:
При использовании стандарта Ethernet II, 802.1Q вставляет тег перед полем "Тип протокола". Так как фрейм изменился, пересчитывается контрольная сумма.
Принадлежность VLAN Порты коммутатора, поддерживающие VLAN'ы, (с некоторыми допущениями) можно разделить на два множества:
Тегированные порты нужны для того, чтобы через один порт была возможность передать несколько VLAN'ов и, соответственно, получать трафик нескольких VLAN'ов на один порт. Информация о принадлежности трафика VLAN'у, как было сказано выше, указывается в специальном теге. Без тега коммутатор не сможет различить трафик различных VLAN'ов. Если порт нетегированный в каком-то VLAN'е, то трафик этого VLAN передается без тега. Нетегированным порт может быть только в одном VLAN. Порт может быть одновременно тегированным в нескольких VLAN'ах и нетегированным в одном VLAN (только в одном VLAN). В таком случае VLAN, которому порт принадлежит как нетегированный, называется родным (native VLAN). Если порт принадлежит только одному VLAN как нетегированный, то тегированный трафик, приходящий через такой порт, должен удаляться (как правило, но не всегда). Обычно, по умолчанию все порты коммутатора считаются нетегированными членами VLAN 1. В процессе настройки или работы коммутатора они могут перемещаться в другие VLAN'ы. Существуют два подхода к назначению порта в определённый VLAN:
Настройка VLAN на коммутаторах Cisco
Терминология Cisco:
Коммутаторы Cisco ранее поддерживали два протокола 802.1Q и ISL. ISL — проприетарный протокол использующийся в оборудовании Cisco. ISL полностью инкапсулирует фрейм для передачи информации о принадлежности к VLAN'у. В современных моделях коммутаторов Cisco ISL не поддерживается. Создание VLAN'а и задание имени: sw1(config)# vlan 2 Назначение порта коммутатора в VLAN: sw1(config)# interface fa0/1 Назначение диапазона портов c fa0/4 до fa0/5 в vlan 10: sw1(config)# interface range fa0/4 - 5 Просмотр информации о VLAN'ах: switch# show vlan brief
sw1(config)# interface fa0/22 Если еще задать: sw1(config-if)# switchport trunk native vlan 5 то весь трафик принадлежащий VLAN'у 5 будет передаваться через транковый интерфейс нетегированным, а весь пришедший на транковый интерфейс нетегированный трафик будет промаркирован как принадлежащий VLAN'у 5 (по умолчанию VLAN 1) Просмотр информации о транке: sw1# show interface fa0/22 trunk или sw1# show interface fa0/22 switchport Конфигурация sw1: ! Настройка маршрутизации между VLANВсе настройки по назначению портов в VLAN, сделанные ранее для sw1, сохраняются. Дальнейшие настройки подразумевают использование коммутатора 3 уровня. При такой схеме работы никаких дополнительных настроек на маршрутизаторе не требуется. Коммутатор осуществляет маршрутизацию между сетями разных VLAN, а на маршрутизатор отправляет трафик предназначенный в другие сети. Включение маршрутизации на коммутаторе: sw1(config)#ip routing Задание адреса в VLAN. Этот адрес будет маршрутом по умолчанию для компьютеров в VLAN 2: sw1(config)#interface Vlan2 Задание адреса в VLAN 10: sw1(config)#interface Vlan10 Интерфейс fa0/10 соединен с маршрутизатором, который является маршрутизатором по умолчанию для сети. Трафик не предназначенный сетям VLAN'ов будет маршрутизироваться на R1. Перевод fa0/10 в режим интерфейса 3 уровня и задание адреса: sw1(config)#interface FastEthernet 0/10
! тут надо уточнить, что сам маршрут прописывается как раз последней строкой ip route 0.0.0.0 0.0.0.0 192.168.1.1 здесь - все запросы на все адреса направляются по адресу 192.168.1.1
Настройка VLAN на коммутаторах Hewlett-Packard ProCurve Указание количества VLAN (максимальное значение варьируется в зависимости от модели коммутатора): sw1(config)# max-vlans {количество VLAN} Создание VLAN'а, задание имени и назначение портов: sw1(config)# vlan 2 sw1(config)# vlan 10 Так как на коммутаторе sw2 нет VLAN'а 15, то мы не добавляем тегированный порт 22 в этот VLAN: sw1(config)# vlan 15 Просмотр информации о существующих VLAN'ах: sw1# sh vlan Посмотреть, какие порты принадлежат VLAN'у 2 и какой статус у порта: sw1# sh vlan 2 Посмотреть, каким VLAN'ам принадлежит порт 22: sw1# sh vlan port 22 Конфигурация sw1: vlan 1 Настройка маршрутизации между VLANВсе настройки по назначению портов в VLAN, сделанные ранее для sw1, сохраняются. Дальнейшие настройки подразумевают использование коммутатора 3 уровня. При такой схеме работы никаких дополнительных настроек на маршрутизаторе не требуется. Коммутатор осуществляет маршрутизацию между сетями разных VLAN, а на маршрутизатор отправляет трафик предназначенный в другие сети. Включение маршрутизации на коммутаторе: sw1(config)# ip routing Задание адреса в VLAN. Этот адрес должен быть прописан как маршрут по умолчанию для компьютеров в VLAN 2: sw1(config)# vlan 2 Или, другой формат задания IP-адреса в VLAN: sw1(config)# vlan 2 ip address 10.0.2.1 255.255.255.0 Просмотр информации о заданных IP-адресах и включен ли ip routing: sw1(config)# show ip Конфигурация sw1: hostname "sw1" сам маршрут прописывается командой ip route {сеть, куда идут запросы} {ip адрес, куда запросы перенаправляются}
Настройка VLAN на коммутаторах D-LINK
Создание VLAN'а: # create vlan v6 tag 6 Удаление и добавление портов в VLAN: # config vlan default delete 1-16 Просмотр информации о VLAN'ах: # show vlan Сохранение изменений в NVRAM: # save
Настройка VLAN на маршрутизаторах
Передача трафика между VLAN может осуществляться с помощью маршрутизатора. Для того чтобы маршрутизатор мог передавать трафик из одного VLAN в другой (из одной сети в другую), необходимо чтобы в каждой сети у него был интерфейс. Для того чтобы не выделять под сеть каждого VLAN отдельный физический интерфейс, создаются логические подынтерфейсы на физическом интерфейсе для каждого VLAN. На коммутаторе порт, ведущий к маршрутизатору, должен быть настроен как тегированный порт (в терминах Cisco — транк).
Настройка VLAN на маршрутизаторах Cisco На физическом интерфейсе маршрутизатора задается адрес из сети VLAN 1. По умолчанию трафик этого VLAN передается не тегированым, поэтому никаких дополнительных настроек делать не нужно. Задание адреса на физическом интерфейсе: R1(config)#interface fa0/0 Для логических подынтерфейсов необходимо указывать то, что интерфейс будет получать тегированный трафик и указывать номер VLAN соответствующий этому интерфейсу. Это задается командой в режиме настройки подынтерфейса: (config-if)#encapsulation dot1q {vlan-id} Создание логического подынтерфейса для VLAN 2: R1(config)#interface fa0/0.2 Создание логического подынтерфейса для VLAN 10: R1(config)#interface fa0/0.10 Соответствие номера подынтерфейса и номера VLAN не является обязательным условием. Однако обычно номера подынтерфейсов задаются именно таким образом, чтобы упростить администрирование.
Настройка VLAN на маршрутизаторах ProCurve Настройка физического интерфейса: R1(config)#interface eth 0/1 После задания на физическом интерфейсе инкапсуляции 802.1Q на нем нельзя задать IP-адрес (адреса задаются на подынтерфейсах). На логических подынтерфейсах необходимо указать номер VLAN и адрес. Если подынтерфейс должен передавать нетегированный трафик, то необходимо использовать опцию native (по умолчанию native VLAN 1). Создание логического подынтерфейса для VLAN 1: R1(config)#int eth 0/1.1 Создание логического подынтерфейса для VLAN 2: R1(config)#int eth 0/1.2 Пример конфигурации R1: !
источник - http://xgu.ru |
|
| Последнее обновление ( понедельник, 17 августа 2009 ) |
| < Пред. | След. > |
|---|
Комментарии