Віртуальні локальні мережі VLAN
1.10.Поняття VLAN
1.10.1.Основні функції VLAN
Вузли і сервери, підключені до комутаторів 2-го рівня, вважаються частиною мережевого сегмента. Така організація характеризується двома серйозними проблемами:
комутатори виконують лавинне розсилання широкомовних кадрів з усіх портів, що приводить до невиправданого використання смуги пропускання. Зі збільшенням числа пристроїв, підключених до комутатора, генерується більше широкомовного трафіку;
всі пристрої, підключені до комутатора, можуть пересилати та отимувати кадри від всіх інших пристроїв на цьому комутаторі.
При проектуванні мережі рекомендується обмежувати широкомовний трафік областю мережі, у якій він необхідний. Існують причини організаційного характеру, коли одні вузли можуть отримувати доступ один до одного, а інші ні. Для обмеження широкомовних розсилань і об'єднання вузлів у групи створюються віртуальні локальні мережі (Virtual Local Area Networks, VLAN).
VLAN – це логічний домен широкомовного розсилання, що може охоплювати кілька фізичних сегментів LAN. VLAN дозволяє адміністратору поєднувати станції по логічній функції незалежно від фізичного положення користувачів.
Кожна VLAN функціонує як окрема локальна мережа. VLAN може охоплювати один чи кілька комутаторів, що дозволяє вузлам працювати так, ніби вони знаходилися в одному сегменті.
VLAN виконують такі функції:
обмеження широкомовних розсилань;
об'єднання пристроїв у групи; пристрої, розташовані в одній VLAN, невидимі для пристроїв, розташованих в інший VLAN.
Для передачі трафіку між VLAN необхідний пристрій 3-го рівня.
1.10.2.Переваги використання VLAN
Основними перевагами використання віртуальних локальних мереж є:
Безпека – віртуальні мережі дозволяють відокремити групи, які мають важливі дані від загальної частини мережі, зменшуючи ймовірність втрат конфіденційної інформації.
Зниження витрат – економія за рахунок ефективнішого використання пропускної здатності, up-лінків, зменшення потреб модернізації мережі.
Збільшення продуктивності – поділ мереж 2-го рівня на кілька логічних робочих груп (широкомовних доменів) зменшує зайвий трафік у мережі та підвищує продуктивність роботи.
Зменшення широкомовного шторму – поділ мережі на VLAN, знижує кількість пристроїв, які можуть брати участь в поширенні широкомовного шторму. Сегментація мережі запобігає поширенню широкомовного шторму на всю мережу.
Покращення ефективності роботи ІТ-персоналу – використання VLAN спрощує управління мережею, оскільки користувачі зі схожими вимогами до мережевих ресурсів знаходяться в одній VLAN. При додаванні нового комутатора всі політики і процедури, вже налаштовані для конкретної VLAN, застосовуються при активації порта. Для певної VLAN можна задати відповідне ім’я з врахуванням їх призначення.
1.10.3.Членство у VLAN
Пристрій можна призначити у VLAN відповідно до його розташування, MAC-адреси, ІP-адреси або прикладних програм, які він використовує найчастіше. Адміністратори задають приналежність пристрою до VLAN статично або динамічно.
У випадку статичного призначення адміністратор повинен вручну призначити кожен порт комутатора у визначену VLAN. Наприклад, порт fa0/3 можна призначити в VLAN 20. Будь-який пристрій, що підключається до порту fa0/3, автоматично стає членом VLAN 20.
Цей тип приналежності до VLAN найлегше налаштувати і він найпопулярніший, але додавання, переміщення і зміна пристроїв потребує постійного втручання адміністратора. Наприклад, переміщення вузла з однієї VLAN у другу потребує або ручного перепризначення порту комутатора в нову VLAN, або переключення кабелю робочої станції в інший порт комутатора, що відноситься до нової VLAN.
Приналежність пристрою до VLAN цілком прозора для користувачів. Користувачі, які працюють із пристроєм, підключеним до порту комутатора, не знають, до якої VLAN вони належать.
Динамічна приналежність VLAN вимагає наявності сервера політик VLAN (VMPS - VLAN Management Policy Server). VMPS містить базу даних, що співставляє MAC-адреси з VLAN мережами. Коли пристрій підключається до порту, VMPS шукає його MAC-адресу у своїй базі даних і тимчасово призначає порт у відповідну VLAN.
Динамічна приналежність VLAN вимагає більш складного налаштування й організації, але формує більш гнучку структуру, ніж статична приналежність VLAN. Переміщення, додавання і зміна компонентів виконується автоматично і не вимагає втручання адміністратора. Не всі комутатори Catalyst підтримують VMPS.
1.10.4.Типи VLAN
В мережі може існувати декілька типів VLAN. Деякі з них визначаються типом трафіку, що передається, інші визначаються функціями, що виконуються. Наприклад, у випадку статичного призначення порту у визначену VLAN, така VLAN називатиметься VLAN доступу(access VLAN).
Загалом розрізняють такі типии VLAN:
Data VLAN;
Default VLAN;
Native VLAN;
Management VLAN;
Voice VLANs.
Data VLAN
VLAN даних – це VLAN налаштована для передавання лише користувацького трафіку. VLAN може передавати голосовий трафік, трафік для управління комутатором, але цей трафік не буде частиною Data VLAN. Це звичайна практика, щоб відокремити голосовий трафік та трафік управління від трафіку даних. VLAN даних іноді називають користувацькою VLAN.
Default VLAN
Всі порти комутатора стають членом VLAN за замовчуванням після початкового завантаження комутатора. Усі порти комутатора будучи членами Default VLAN знаходяться в одному домені широкомовної передачі. Це дозволяє будь-якому пристрою, підключеному до будь-якого порту комутатора, зв'язатись з іншими пристроями на інших портах комутатора. Для комутаторів Cisco Default VLAN є VLAN 1. VLAN 1 має всі функції VLAN, за винятком того, що її не можна перейменувати чи видалити. За замовчуванням, трафік 2-го рівня, такий як CDP чи STP пов'язаний з VLAN 1. З метою підвищення безпеки рекомендується змінити Default VLAN з VLAN 1 на будь-яку іншу VLAN, що в свою чергу вимагатиме налаштування всіх портів комутатора
Native VLAN
Native VLAN – це VLAN, який отримує всі кадри, які надсилаються без тега, або кадри з нерозподілених портів (не включених в жоден VLAN). 802.1q транковий порт підтримує трафік з багатьох VLAN (тегований трафік), а також трафік, який надходить не з VLAN (нелегований трафік). Якщо комутатор отримує нетеговані кадри на транковому порті він автоматично передає їх в Native VLAN. В ролі Native VLAN рекомендується використовувати VLAN 1.
В термінології інших виробнків можуть вживатися інші назви для такої VLAN. Наприклад untagged VLAN (3Com, Planet, D-link, Zyxel, HP).
Management VLAN
VLAN керування може бути будь-яка VLAN налаштована для доступу до функцій управління комутатором. VLAN 1 буде функціонувати як VLAN управління, якщо не призначити іншу VLAN в якості Management VLAN. Для VLAN керування призначається IP-адреса та маска підмережі. Керувати комутатором можна через HTTP, Telnet, SSH або SNMP.
Voice VLANs
Для передачі голосу по IP (VoIP) рекомендовано використовувати окремий VLAN, оскільки VoIP-трафік вимагає:
гарантовану смуга пропускання для забезпечення якості передачі голосу;
пріоритетності обслуговування в порівнянні з іншими типами трафіку;
затримки менше 150 мілісекунд (мс) в мережі.
Для задоволення цих вимог вся мережа повинна бути призначена для підтримкиVoIP.
|