Лекція 16 Технології віртуальних мереж vlan

VLAN

Віртуальні локальні мережі були створені для вирішення питання розподілу повноважень та впровадження політик безпеки без використання дорогих рішень та приладів. VLAN дозволяє розділяти користувачів не за їх територіальною приналежністю, а за логічним розподілом функцій та призначення. Наприклад, в одній кімнаті можуть знаходитись люди, що є менеджерами з різних напрямків. Для того, щоб розділити їх доступ до ресурсів їх можна під єднати до різних пристроїв, але що робити якщо вони знаходяться в різних будинках? Відповідь є створення VLAN. На сьогоднішній день основним методом створення VLAN є призначення порта комутатора до цього VLAN. Таким чином користувачі, які логічно під’єднані до одного VLAN мають однакову політику безпеки і допусків. Також вони будуть мати одну підмережу, оскільки для з’єднання VLAN використовуються тільки маршрутизатори або маршрутизуючі комутатори.

Основні переваги VLAN:

1. Безпека – групи користувачів, що мають важливі дані є відокремлені від решти мережі, що зменшує шанс маніпуляцій інформацією;

2. Зменшення вартості – непотрібно використовувати дороге обладнання та відбувається економія портів на комутаторах;

3. Краща продуктивність – розділяючи комутовану мережу на більшу кількість менших доменів бродкастів зменшується кількість непотрібного трафіку в мережі;

4. Обмеження розповсюдження бродкаст штормів – бродкаст шторм буде розповсюджуватись тільки в межах VLAN і не буде впливати на інші VLAN;

5. Спрощення керування мережею – VLAN робить керування мережею простішим, оскільки користувачі з подібними вимогами до мережі будуть в одному VLAN. Коли додається новий комутатор в мережу, то вся політика безпеки, що застосована до конкретного VLAN буде скопійована на нового користувача, що додається у VLAN. Наприклад VLAN 10 може бути названа «Менеджери», а VLAN 30 «Керівники».

6. Полегшення розподілу ресурсів – VLAN об’єднують користувачів , що мають подібні вимоги до мережі. Наприклад, є нелогічним об’єднати користувачів, що працюють з потоковим відео і користувачів, що працюють з великими файлами.

Нормальний діапазон VLAN

Використовується в маленьких і середніх компаніях. Номера VLAN з 1-1005. Номера 1002 до 1005 зарезервовані Token Ring and FDDI VLANs. Номера 1 and 1002 to 1005 на більшості обладнання створюються автоматично і не можуть бути видалені. VLAN trunking protocol (VTP) може працювати тільки з нормальним діапазоном VLAN.

Розширений діапазон VLAN

Дозволяє сервіс провайдерам розширити інфраструктуру якщо не вистачає нормального діапазону. Номера 1006 до 4094 розширений діапазон. Мають менше можливостей ніж нормальний діапазон.

Типи VLAN:

VLAN для даних (Data VLAN)– ця VLAN призначена для передачі трафіку згенерованого користувачами. Голосовий трафік та дані для керування обладнанням можуть передаватись але не будуть частиною цієї VLAN. Інколи цю VLAN називають користувацькою. Загальною є практика розділення голосового трафіку та даних для керування обладнанням від цієї VLAN;

VLAN по замовчуванню або дефаулт VLAN (default VLAN) – всі порти свіча при початковій роботі з ним належать ції VLAN. Для більшості обладнання це є VLAN 1. Основною особливістю цієї VLAN є те, що ви неможете перейменувати чи видалити цю VLAN. За замовчуванням весь трафік є асоційований з цією VLAN. З питань безпеки хорошою практикою є змінити дефаулт VLAN, оскільки всі знають, що вона є VLAN 1. Всі порти, що не використовуються повинні бути виключені та переведені у VLAN іншу ніж 1.

Native VLAN – ця VLAN призначена на 802.1Q транк порту. Транк порт – це порт, що підтримує трафік від багатьох VLAN разом з нетегованим трафіком. 802.1Q транк порт приймає весь нелегований трафік у Native VLAN. Хорошою практикою є використання VLAN іншої ніж 1 як Native VLAN. Така конфігурація використовувалась раніше для під’єднанян ІР телефонів до свіча.

Management VLAN- по замовчуванню це є VLAN 1. Проте весь трафік для конфігурування пристроїв в цілях безепеки повинен знаходитись в окремій VLAN. Всі пристрої навіть комутатори мають ІР адресу для керування. Це не означає, що комутатори будуть використовувати її для прийняття рішень по комутації, але ця адреса буде використовуватись для віддаленого керування, наприклад, через Telnet або SSH.

Voice VLAN – окрема VLAN потрібна для передачі голосу через ІР. Для ефективної передачі голосу потрібно:

1. Гарантований бендвіз для забезпечення якості;

2. Пріоритет передачі над іншими типами трафіку;

3. Можливість гарантованої передачі при перевантаженій мережі;

4. Затримки менші ніж 150 мілісекунд через мережу.

Для задоволення таких вимог вся мережа повинна бути розроблена для підтримки голосу через ІР.

ПРИКЛАД ПРО СВІЧ, ІР ТЕЛФОН, КОМП’ЮТЕР.

Типи мережевого трафіку:

1. Менеджмент трафік (команди, різноманітні апдейти протоколів, віддалене керування і т.д.);

2. ІР телефонія (сигнальні повідомлення для дозвону, підтримки і завершення дзвінка разом з голосом);

3. ІР малтикаст (птокове відео і т.д.) все, що відсилається до малтикаст груп;

4. Нормальні дані (трафік, що відноситься до створення і збереження файлів, друк, е-мейл і т.д.);

5. Scavenger – все що непотрібне в мережі (ігри, розважальні програми і тд.);

Режими порта на комутаторі:

1. Статичні VLAN – порт вручну призначається до VLAN.

2. Динамічні VLAN – цей режим не використовується на сьогоднішній день. Динамічне призначення VLAN конфігурується на спеціальному сервері «Сервер керування членством у VLAN». Влани прив’язуються до МАС адреси хоста, що буде у цій VLAN. Коли хост підключається до комутатора той автоматично призначає порт до VLAN у якій повинен бути хост;

3. Голосова VLAN – порт який знаходиться у голосовому режимі підтримує ІР телефони, що під’єднані до нього.

Приклад без транку передачі даних

Прикад з транком передачі даних.