Technologie VLAN

Problem z płaską siecią

Rozważmy rozwijającą się firmę w jednym dużym biurze. Przy kilku pracownikach prosta sieć z jednym lub dwoma połączonymi przełącznikami może działać poprawnie. Każdy komputer jest podłączony, a urządzenia mogą się ze sobą komunikować. Taka sieć jest nazywana siecią płaską.

Jednak w miarę rozwoju firmy ten prosty projekt zaczyna sprawiać kilka problemów:

• Ruch rozgłoszeniowy i spadek wydajności: W sieci Ethernet niektóre rodzaje ruchu, znane jako rozgłoszenia (broadcasts), są wysyłane do wszystkich urządzeń w tej samej domenie rozgłoszeniowej. Wraz z dodawaniem urządzeń rośnie liczba ramek rozgłoszeniowych, na przykład zapytań ARP. Może to prowadzić do „burzy rozgłoszeniowej”, w której przetwarzanie rozgłoszeń ogranicza transmisję użytecznych danych. Wszystkie urządzenia w płaskiej sieci są częścią tej samej domeny rozgłoszeniowej.
• Brak izolacji logicznej: W sieci płaskiej nie ma wbudowanego podziału na grupy urządzeń. Pracownik działu Księgowości może uzyskać dostęp do zasobów działu Inżynierii, jeśli nie ograniczają go mechanizmy wyższych warstw. Złośliwy użytkownik lub zainfekowana maszyna może wtedy próbować uzyskać dostęp do usług w całej sieci.
• Brak elastyczności organizacyjnej: Przeniesienie pracownika z działu Sprzedaży na pierwszym piętrze do biurka na drugim piętrze może wymagać przepięcia komputera do przełącznika przypisanego do tego działu. Jest to kosztowne i czasochłonne. Wtedy fizyczna struktura ogranicza strukturę logiczną sieci.

Rozwiązaniem jest podzielenie jednej domeny rozgłoszeniowej na mniejsze domeny logiczne bez instalowania osobnego przełącznika dla każdej grupy. Tę funkcję zapewniają VLAN-y.

Czym jest VLAN? Tworzenie sieci logicznych

VLAN, czyli Wirtualna Sieć Lokalna, to technologia, która pozwala podzielić jedną fizyczną sieć LAN na wiele oddzielnych domen rozgłoszeniowych. Każdy VLAN ma własny kontekst przekazywania warstwy 2, a komunikacja między VLAN-ami wymaga funkcji warstwy 3.

Przykładowo, porty tego samego przełącznika mogą zostać przypisane do VLAN-ów Sprzedaży, Inżynierii i HR. Pracownicy Sprzedaży i Inżynierii mogą korzystać z sąsiednich gniazd, a ich rozgłoszenia pozostają w odrębnych domenach. Komunikacja między tymi VLAN-ami wymaga routingu i odpowiednich reguł dostępu.

Działanie VLAN-ów: przypisanie portów i tagowanie

VLAN-y są konfigurowane w przełącznikach, które przypisują porty i ramki do odpowiednich domen oraz utrzymują ruch warstwy 2 w obrębie VLAN-u. Podstawę stanowią przypisanie portów i tagowanie ramek.

1. Przypisanie Portu do VLAN (Porty Dostępowe)

Najprostszym sposobem na utworzenie VLAN-u jest przypisanie każdego portu na przełączniku do określonego VLAN-u. Tak skonfigurowany port nazywa się portem dostępowym (access port).

• Port dostępowy należy do tylko jednego VLAN-u.
• Jest on zazwyczaj używany do podłączania urządzeń końcowych, takich jak komputery, drukarki czy telefony IP.
• Gdy ramka wchodzi na port dostępowy, przełącznik zakłada, że należy ona do VLAN-u przypisanego do tego portu.
• Przełącznik przekaże tę ramkę tylko do innych portów, które są przypisane do tego samego VLAN-u. W warstwie 2 nie przekaże jej do portu należącego do innego VLAN-u.

Ruch z urządzenia końcowego jest zwykle odbierany bez tagu, a przełącznik przypisuje go do VLAN-u portu. Przy wysyłaniu przez port dostępowy znacznik jest zwykle usuwany, dlatego komputer końcowy nie musi obsługiwać 802.1Q. Ramka z niezgodnym tagiem na porcie dostępowym może zostać odrzucona, zależnie od konfiguracji przełącznika.

Przełącznik używa kontekstu VLAN-u dostępowego podczas uczenia adresów MAC i przekazywania ramek warstwy 2. Porty dostępowe przypisane do różnych VLAN-ów pozostają odseparowane na tym samym przełączniku.

Na przykład można skonfigurować porty 1-8 na przełączniku jako VLAN 10 (Sprzedaż), a porty 9-16 jako VLAN 20 (Inżynieria). Komputer podłączony do portu 1 może komunikować się z komputerem na porcie 5. Port 10 pozostaje poza tą komunikacją bez routingu między VLAN-ami, mimo że urządzenia są podłączone do tego samego przełącznika.

2. Komunikacja między przełącznikami: trunki i tagowanie VLAN

Przypisanie portów działa na pojedynczym przełączniku. Przy wielu przełącznikach urządzenie musi rozpoznać, czy ramka z Przełącznika B należy do VLAN 10, czy VLAN 20. Służą do tego porty trunk i tagowanie VLAN. Trunk jest zwykle łączem między urządzeniami sieciowymi, a jego konfiguracja określa listę dozwolonych VLAN-ów.

• Port trunk to port przeznaczony do łączenia przełączników z innymi przełącznikami, routerami lub serwerami.
• Port trunk może przenosić ruch dla wielu VLAN-ów jednocześnie, zgodnie z konfiguracją dozwolonych VLAN-ów.
• Przełącznik dodaje znacznik do ramek, które opuszczają trunk jako ruch tagowany. Odbierający przełącznik odczytuje tag, rozpoznaje VLAN i może przekazać ramkę do portów dostępowych tego VLAN-u.

Native VLAN: obsługa ruchu nietagowanego

W typowej konfiguracji łącza trunk 802.1Q używa się Native VLAN. Port trunk ma wtedy jeden wyznaczony VLAN dla ruchu nietagowanego, często domyślnie VLAN 1, zależnie od urządzenia i konfiguracji. Obowiązuje reguła:

Ruch należący do Native VLAN jest przesyłany przez łącze trunk bez znacznika (tagu) VLAN w typowej konfiguracji.

Przy odbiorze nietagowanej ramki na trunku przełącznik przypisuje ją do Native VLAN skonfigurowanego na tym porcie. Przy wysyłaniu ruch tego VLAN-u jest zwykle pozbawiany tagu, podczas gdy pozostałe VLAN-y są wysyłane z tagami. Obie strony trunku powinny mieć zgodną konfigurację Native VLAN, ponieważ inna wartość może sklasyfikować tę samą ramkę w różnych domenach. Obsługuje to urządzenia i łącza, które nie wysyłają tagów, na przykład starsze urządzenia lub koncentratory. W wielu wdrożeniach administratorzy wybierają dla Native VLAN nieużywany identyfikator zamiast domyślnego VLAN 1 i ustawiają tę samą wartość po obu stronach trunku, aby ograniczyć ryzyko błędnej klasyfikacji ruchu.

Zastosowanie VLAN-ów

Implementacja VLAN-ów ogranicza problemy sieci płaskich przez podział domen rozgłoszeniowych i przypisanie urządzeń do grup logicznych.

• Poprawa wydajności i kontrola rozgłoszeń: Dzieląc sieć na mniejsze domeny rozgłoszeniowe, VLAN-y ograniczają liczbę ramek, które musi przetworzyć każde urządzenie. Rozgłoszenie z VLAN 10 jest wysyłane do innych urządzeń w VLAN 10, natomiast urządzenia z pozostałych VLAN-ów go nie otrzymują. Zmniejsza to obciążenie łączy i zasobów procesorów.
• Izolacja ruchu: VLAN-y zapewniają izolację na warstwie 2. Urządzenia w różnych VLAN-ach pozostają odseparowane w ramach przełączania warstwy 2. Routing między VLAN-ami może zostać włączony, a router lub przełącznik warstwy 3 może wtedy stosować listy kontroli dostępu albo reguły zapory. Dane działu Finansów (VLAN 30) nie są rozgłaszane do działu Marketingu (VLAN 40), nawet przy wspólnych przełącznikach. Poufność wymaga dodatkowych reguł dostępu.
• Elastyczność i skalowalność: VLAN-y oddzielają logiczną strukturę sieci od jej fizycznego układu. Pracownik może przenieść komputer do innego biura, a po przypisaniu nowego portu do właściwego VLAN-u pozostanie w tej samej sieci działowej. Ułatwia to przenosiny i zmiany oraz pozwala tworzyć VLAN-y dla nowych zespołów bez prowadzenia nowych kabli.
• Uproszczona administracja: Grupowanie użytkowników i urządzeń w logiczne VLAN-y upraszcza zarządzanie. W zależności od urządzeń polityki bezpieczeństwa, QoS i kontroli dostępu mogą obejmować cały VLAN, zamiast wymagać osobnej konfiguracji każdego urządzenia.