Sieci VLAN są wszędzie. Można je znaleźć w większości organizacji z odpowiednio skonfigurowaną siecią. W przypadku, gdy nie było to oczywiste, VLAN oznacza „Virtual Local Area Network” i są wszechobecne w każdej nowoczesnej sieci poza wielkością małego domu lub bardzo małej sieci biurowej.
Istnieje kilka różnych protokołów, z których wiele jest specyficznych dla dostawców, ale u ich podstaw każda sieć VLAN robi to samo i korzyści wynikające ze skali VLAN wraz ze wzrostem wielkości sieci i złożoności organizacyjnej.
Te zalety są dużą częścią tego, dlaczego sieci VLAN są tak bardzo zależne od profesjonalnych sieci różnej wielkości. Bez nich zarządzanie i skalowanie sieci byłoby trudne.
Korzyści i skalowalność sieci VLAN wyjaśniają, dlaczego stały się tak wszechobecne w nowoczesnych środowiskach sieciowych. Trudno byłoby zarządzać lub skalować nawet umiarkowanie złożone sieci z użytkownikiem sieci VLAN.
Co to jest VLAN?
Szybkie linki
- Co to jest VLAN?
- Jak to działa
- VLAN vs. podsieć
- Podsieć adresu IP
- VLAN
- VLAN vs. podsieć
- Zalety sieci VLAN
- Statyczne a dynamiczne sieci VLAN
- Statyczny VLAN
- Dynamiczna sieć VLAN
- Konfigurowanie sieci VLAN
- Czego potrzebujesz
- Router
- Managed Switch
- Karty sieciowe klienta (NIC)
- Podstawowa konfiguracja
- Konfigurowanie routera
- Konfigurowanie przełączników
- Łączenie klientów
- Czego potrzebujesz
- VLAN w domu
Okej, więc znasz akronim, ale czym dokładnie jest VLAN? Podstawowa koncepcja powinna być znana każdemu, kto pracował lub korzystał z serwerów wirtualnych.
Zastanów się przez chwilę, jak działają maszyny wirtualne. Wiele serwerów wirtualnych znajduje się na jednym fizycznym sprzęcie, na którym działa system operacyjny i hiperwizor, aby tworzyć i uruchamiać serwery wirtualne na pojedynczym serwerze fizycznym. Dzięki wirtualizacji możesz skutecznie przekształcić pojedynczy komputer fizyczny w wiele komputerów wirtualnych, z których każdy jest dostępny do oddzielnych zadań i użytkowników.
Wirtualne sieci LAN działają w taki sam sposób jak wirtualne serwery. Jeden lub więcej zarządzanych przełączników uruchamia oprogramowanie (podobne do oprogramowania hypervisor), które pozwala przełącznikom tworzyć wiele wirtualnych przełączników w ramach jednej sieci fizycznej.
Każdy przełącznik wirtualny jest własną niezależną siecią. Główną różnicą między wirtualnymi serwerami a wirtualnymi sieciami LAN jest to, że wirtualne sieci LAN można rozdzielić na wiele fizycznych elementów sprzętu za pomocą specjalnego kabla zwanego pniem.
Jak to działa
Wyobraź sobie, że prowadzisz sieć dla rozwijającej się małej firmy, dodajesz pracowników, dzielisz się na osobne działy i stajesz się bardziej złożony i zorganizowany.
Aby zareagować na te zmiany, uaktualniono do przełącznika 24-portowego, aby pomieścić nowe urządzenia w sieci.
Można rozważyć uruchomienie kabla Ethernet do każdego z nowych urządzeń i wywołanie zadania wykonanego, ale problemem jest to, że pamięć plików i usługi używane przez każdy dział muszą być oddzielone. Sieci VLAN są najlepszym sposobem na to.
W interfejsie internetowym przełącznika można skonfigurować trzy oddzielne sieci VLAN, po jednej dla każdego działu. Najprostszym sposobem na podzielenie ich jest według numerów portów. Możesz przypisać porty 1-8 do pierwszego działu, przypisać porty 9-16 do drugiego działu, a na koniec przypisać porty 17–24 g do ostatniego działu. Teraz zorganizowałeś sieć fizyczną w trzy sieci wirtualne.
Oprogramowanie na przełączniku może zarządzać ruchem między klientami w każdej sieci VLAN. Każda sieć VLAN działa jak własna sieć i nie może bezpośrednio oddziaływać z innymi sieciami VLAN. Teraz każdy dział ma swoją mniejszą, mniej zagraconą i bardziej wydajną sieć, a Ty możesz zarządzać nimi wszystkimi za pomocą tego samego sprzętu. Jest to bardzo wydajny i opłacalny sposób zarządzania siecią.
Jeśli potrzebujesz, aby działy mogły współpracować, możesz to zrobić za pośrednictwem routera w sieci. Router może regulować i kontrolować ruch między sieciami VLAN oraz egzekwować silniejsze reguły bezpieczeństwa.
W wielu przypadkach działy będą musiały współpracować i współdziałać. Można zaimplementować komunikację między sieciami wirtualnymi za pośrednictwem routera, ustawiając reguły bezpieczeństwa, aby zapewnić odpowiednie bezpieczeństwo i prywatność poszczególnych sieci wirtualnych.
VLAN vs. podsieć
Sieci VLAN i podsieci są w rzeczywistości dość podobne i pełnią podobne funkcje. Zarówno podsieci, jak i sieci VLAN dzielą sieci i domeny rozgłoszeniowe. W obu przypadkach interakcje między poddziałami mogą zachodzić tylko przez router.
Różnice między nimi wynikają z ich implementacji i zmiany struktury sieci.
Podsieć adresu IP
Podsieci istnieją w warstwie 3 modelu OSI, warstwie sieciowej. Podsieci są konstrukcją na poziomie sieci i są obsługiwane przez routery, organizujące się wokół adresów IP.
Routery wykreślają zakresy adresów IP i negocjują połączenia między nimi. To powoduje stres związany z zarządzaniem siecią na routerze. Podsieci mogą się również komplikować w miarę powiększania się i zwiększania złożoności sieci.
VLAN
Sieci VLAN znajdują swój dom w warstwie 2 modelu OSI. Poziom łącza danych jest bliższy sprzętowi i mniej abstrakcyjny. Wirtualne sieci LAN emulują sprzęt działający jako pojedyncze przełączniki.
Jednak wirtualne sieci LAN są w stanie rozbijać domeny rozgłoszeniowe bez konieczności ponownego łączenia się z routerem, co obciąża router.
Ponieważ sieci VLAN są ich własnymi sieciami wirtualnymi, muszą zachowywać się trochę tak, jakby miały wbudowany router. W rezultacie sieci VLAN zawierają co najmniej jedną podsieć i mogą obsługiwać wiele podsieci.
Sieci VLAN rozkładają obciążenie sieci oraz. wiele przełączników może obsługiwać ruch w sieciach VLAN bez angażowania routera, dzięki czemu system jest bardziej wydajny.
Zalety sieci VLAN
Do tej pory widziałeś już kilka zalet sieci VLAN. Z racji tego, co robią, sieci VLAN mają wiele cennych atrybutów.
Sieci VLAN pomagają w bezpieczeństwie. Podział ruchu na przedziały ogranicza wszelkie możliwości nieautoryzowanego dostępu do części sieci. Pomaga także powstrzymać rozprzestrzenianie się złośliwego oprogramowania, jeśli jakikolwiek znajdzie się w sieci. Potencjalni intruzi nie mogą używać narzędzi takich jak Wireshark do wykrywania pakietów w dowolnym miejscu poza wirtualną siecią LAN, co ogranicza to zagrożenie.
Wydajność sieci to wielka sprawa. Wdrożenie sieci VLAN może zaoszczędzić lub kosztować firmę tysiące dolarów. Rozdzielanie domen rozgłoszeniowych znacznie zwiększa wydajność sieci, ograniczając liczbę urządzeń uczestniczących w komunikacji jednocześnie. VLAN zmniejsza potrzebę wdrażania routerów do zarządzania sieciami.
Często inżynierowie sieci decydują się na budowę wirtualnych sieci LAN na podstawie usługi, oddzielając ważny lub intensywny ruch sieciowy, taki jak Storage Area Network (SAN) lub Voice over IP (VOIP). Niektóre przełączniki pozwalają również administratorowi na ustalenie priorytetów sieci VLAN, zapewniając więcej zasobów bardziej wymagającemu i krytycznemu ruchowi.
Byłoby okropnie musieć zbudować niezależną sieć fizyczną, aby oddzielić ruch. Wyobraź sobie zawiły plątaninę okablowania, z którą będziesz musiał walczyć, aby wprowadzić zmiany. To nie znaczy nic o zwiększonym koszcie sprzętu i poborze mocy. Byłby również niezwykle nieelastyczny. Sieci VLAN rozwiązują wszystkie te problemy, wirtualizując wiele przełączników na jednym sprzęcie.
Sieci VLAN zapewniają administratorom sieci dużą elastyczność dzięki wygodnemu interfejsowi oprogramowania. Powiedz, że dwa departamenty zmieniają biura. Czy pracownicy IT muszą przemieszczać się po sprzęcie, aby uwzględnić zmianę? Nie. Mogą po prostu ponownie przypisać porty przełączników do właściwych sieci VLAN. Niektóre konfiguracje VLAN nawet tego nie wymagałyby. Dynamicznie się dostosowują. Te sieci VLAN nie wymagają przypisanych portów. Zamiast tego są oparte na adresach MAC lub IP. Tak czy inaczej, nie trzeba tasować przełączników ani kabli. Znacznie bardziej wydajne i opłacalne jest wdrożenie rozwiązania programowego w celu zmiany lokalizacji sieci niż przeniesienie fizycznego sprzętu.
Statyczne a dynamiczne sieci VLAN
Istnieją dwa podstawowe typy sieci VLAN, podzielone według sposobu podłączenia do nich maszyn. Każdy typ ma mocne i słabe strony, które należy wziąć pod uwagę w zależności od konkretnej sytuacji w sieci.
Statyczna sieć VLAN
Statyczne sieci VLAN są często nazywane sieciami VLAN opartymi na portach, ponieważ urządzenia łączą się, łącząc się z przypisanym portem. W tym przewodniku do tej pory wykorzystano jedynie statyczne sieci VLAN jako przykłady.
Podczas konfigurowania sieci ze statycznymi sieciami VLAN inżynier dzieliłby przełącznik według portów i przypisywał każdy port do sieci VLAN. Każde urządzenie, które łączy się z tym portem fizycznym, dołączy do tej sieci VLAN.
Statyczne sieci VLAN zapewniają bardzo proste i łatwe do skonfigurowania sieci bez nadmiernego polegania na oprogramowaniu. Jednak trudno jest ograniczyć dostęp w fizycznej lokalizacji, ponieważ dana osoba może po prostu podłączyć. Statyczne sieci VLAN wymagają również administratora sieci do zmiany przypisania portów, na wypadek, gdyby ktoś w sieci zmienił fizyczne lokalizacje.
Dynamiczna sieć VLAN
Dynamiczne sieci VLAN w dużym stopniu opierają się na oprogramowaniu i zapewniają dużą elastyczność. Administrator może przypisywać adresy MAC i IP do określonych sieci VLAN, umożliwiając nieograniczony ruch w przestrzeni fizycznej. Maszyny w dynamicznej wirtualnej sieci LAN mogą poruszać się w dowolnym miejscu w sieci i pozostawać w tej samej sieci VLAN.
Chociaż dynamiczne sieci VLAN są bezkonkurencyjne pod względem możliwości adaptacji, mają jednak poważne wady. Przełącznik wysokiej klasy musi pełnić rolę serwera zwanego VLAN Management Policy Server (VMPS (do przechowywania i dostarczania informacji o adresie do innych przełączników w sieci. VMPS, jak każdy serwer, wymaga regularnego zarządzania i konserwacji) i może podlegać możliwym przestojom.
Atakujący mogą sfałszować adresy MAC i uzyskać dostęp do dynamicznych sieci VLAN, co stanowi kolejne potencjalne wyzwanie bezpieczeństwa.
Konfigurowanie sieci VLAN
Czego potrzebujesz
Istnieje kilka podstawowych elementów potrzebnych do skonfigurowania sieci VLAN lub wielu sieci VLAN. Jak wspomniano wcześniej, istnieje wiele różnych standardów, ale najbardziej uniwersalnym jest IEEE 802.1Q. To będzie ten przykład.
Router
Technicznie rzecz biorąc, nie potrzebujesz routera, aby skonfigurować VLAN, ale jeśli chcesz współdziałać z wieloma VLAN, będziesz potrzebował routera.
Wiele nowoczesnych routerów obsługuje funkcje VLAN w takiej czy innej formie. Domowe routery mogą nie obsługiwać sieci VLAN lub obsługiwać ją tylko w ograniczonej pojemności. Niestandardowe oprogramowanie układowe, takie jak DD-WRT, obsługuje je dokładniej.
Mówiąc o niestandardowych, nie potrzebujesz gotowego routera do pracy z wirtualnymi sieciami LAN. Niestandardowe oprogramowanie routera jest zwykle oparte na systemie operacyjnym uniksowym, takim jak Linux lub FreeBSD, więc możesz zbudować własny router, korzystając z jednego z tych systemów operacyjnych typu open source.
Wszystkie potrzebne funkcje routingu są dostępne dla systemu Linux. Możesz także skonfigurować instalację systemu Linux, aby dostosować router do swoich potrzeb. Aby uzyskać więcej funkcji, zobacz pfSense. pfSense to doskonała dystrybucja FreeBSD zbudowana jako solidne rozwiązanie routingu typu open source. Obsługuje sieci VLAN i zawiera zaporę ogniową, aby lepiej zabezpieczyć ruch między sieciami wirtualnymi.
Niezależnie od wybranej trasy upewnij się, że obsługuje ona funkcje VLAN, których potrzebujesz.
Managed Switch
Przełączniki są sercem sieci VLAN. Są tam, gdzie dzieje się magia. Jednak potrzebujesz przełącznika zarządzanego, aby skorzystać z funkcjonalności VLAN.
Aby osiągnąć wyższy poziom, dosłownie dostępne są przełączniki zarządzane w warstwie 3. Przełączniki te są w stanie obsłużyć część ruchu sieciowego warstwy 3 i mogą w niektórych sytuacjach zastąpić router.
Należy pamiętać, że te przełączniki nie są routerami, a ich funkcjonalność jest ograniczona. Przełączniki warstwy 3 zmniejszają prawdopodobieństwo opóźnienia sieci, które może być krytyczne w niektórych środowiskach, w których krytyczne jest posiadanie sieci o bardzo niskim opóźnieniu.
Karty sieciowe klienta (NIC)
Karty sieciowe używane na komputerach klienckich powinny obsługiwać standard 802.1Q. Są szanse, że tak, ale jest coś, na co należy spojrzeć, zanim przejdziemy do przodu.
Podstawowa konfiguracja
Oto najtrudniejsza część. Istnieją tysiące różnych możliwości konfiguracji sieci. Żaden pojedynczy przewodnik nie może objąć ich wszystkich. U ich podstaw idee niemal każdej konfiguracji są takie same, podobnie jak ogólny proces.
Konfigurowanie routera
Możesz zacząć na kilka różnych sposobów. Możesz podłączyć router do każdego przełącznika lub do każdej sieci VLAN. Jeśli wybierzesz tylko każdy przełącznik, musisz skonfigurować router, aby różnicował ruch.
Następnie możesz skonfigurować router do obsługi ruchu przechodzącego między sieciami VLAN.
Konfigurowanie przełączników
Zakładając, że są to statyczne sieci VLAN, możesz przejść do narzędzia zarządzania siecią VLAN przełącznika za pośrednictwem interfejsu internetowego i rozpocząć przypisywanie portów do różnych sieci VLAN. Wiele przełączników korzysta z układu tabeli, który umożliwia sprawdzenie opcji portów.
Jeśli używasz wielu przełączników, przypisz jeden z portów do wszystkich sieci VLAN i ustaw go jako port trunk. Zrób to na każdym przełączniku. Następnie użyj tych portów, aby połączyć się między przełącznikami i rozdzielić sieci VLAN na wiele urządzeń.
Łączenie klientów
Wreszcie pozyskiwanie klientów w sieci jest dość oczywiste. Podłącz komputery klienckie do portów odpowiadających sieciom VLAN, na których chcesz je obsługiwać.
VLAN w domu
Chociaż może to nie być postrzegane jako logiczna kombinacja, sieci VLAN mają w rzeczywistości świetną aplikację w domowej przestrzeni sieciowej, sieciach gości. Jeśli nie masz ochoty konfigurować sieci WPA2 Enterprise w domu i indywidualnie tworzyć poświadczenia logowania dla znajomych i rodziny, możesz użyć sieci VLAN, aby ograniczyć dostęp gości do plików i usług w sieci domowej.
Wiele domowych routerów wyższej klasy i niestandardowe oprogramowanie układowe routera obsługuje tworzenie podstawowych sieci VLAN. Możesz skonfigurować gościnną sieć VLAN z własnymi danymi logowania, aby Twoi znajomi mogli połączyć swoje urządzenia mobilne. Jeśli router obsługuje tę funkcję, gościnna sieć VLAN stanowi świetną dodatkową warstwę zabezpieczeń, która zapobiega zepsuciu czystej sieci przez laptopa z przyjacielem z wirusami.
