8. Virtuális LAN-ok. A kapcsolás alapjai, és haladó szintű forgalomirányítás. Kapcsolás alapjai, haladó forgalomirányítás

Átírás

1 A kapcsolás alapjai, és haladó szintű forgalomirányítás 8. Virtuális LAN-ok

2 1. VLAN fogalmak 2. VLAN konfigurálás 3. VLAN hibaelhárítás

3 VLAN bevezetés Jellemzők VLAN használatával eszközök és felhasználók logikailag csoportosíthatók munkakör, részleg, alkalmazás stb. szerint. Ellentétben a hagyományos LAN-szegmentációval ahol a felhasználók nem szervezhetők át munkacsoportjuk vagy sávszélesség igényük szerint. Olyan portok vagy felhasználók csoportja, amelyek azonos szórási tartományba tartoznak. Létrehozható portazonosító, MAC cím, protokoll vagy alkalmazás alapján. Alapját a LAN kapcsolók és felügyeleti szoftverek teremtik meg. Kereteket VLAN azonosítók jelölik.

4 VLAN bevezetés Jellemzők A VLAN-ok az OSI hivatkozási modell 2. és 3. rétegében működnek. A VLAN-ok közötti kommunikációt 3. rétegbeli forgalomirányítás biztosítja. A VLAN-ok módszert biztosítanak a hálózati szórások vezérlésére. A felhasználókat a rendszergazda rendeli a VLAN-okhoz. A VLAN-ok növelik a hálózat biztonságát azáltal, hogy meghatározzák, mely csomópontok kommunikálhatnak egymással.

5 VLAN bevezetés Jellemzők A VLAN címek méretezhetők, biztonságosak és hálózat könnyen menedzselhető. A VLAN topológiában lévő router biztosítja az üzenetszórási szűrőt, a biztonságot és a folyamat vezérlést. A kapcsoló nem hidal át minden forgalmat a VLAN-ok között. A forgalom csak irányított lehet két VLAN között. A VLAN üzenetszórási tartományokat készít egy vagy több switch között.

6 VLAN bevezetés Jellemzők A VLAN hálózati szolgáltatások egy csoportja, amely több fizikai szegmensre és LAN kapcsolóra is kiterjedhet A VLAN-ok logikailag szegmentálják a kapcsolt hálózatokat A VLAN-ok konfigurálása és újrakonfigurálása szoftveresen történik A VLAN-ok logikailag több szórási tartományra szegmentálják a hálózatot A kapcsolók semmilyen forgalmat nem továbbítanak a VLAN-ok között

7 Szórási tartományok Jellemzők Minden kapcsoló külön szórási tartományt hoz létre VLAN-ok portok, felhasználók és protokollok alapján definiálhatók Keretek továbbítása forgalomirányító felé Szórásos keretek A keretet a forgalomirányítónak címezték (MAC) Kapcsoló működése A kapcsoló minden VLAN-hoz külön táblát hoz létre A bejövő port határozza meg a használt táblát Tanuló és továbbító módban a keresés az adott VLAN-ra korlátozódik

8 VLAN-ok elkülönítésének módjai Keretszűrés Szűrőtáblán alapul (számos keret-tulajdonság van benne) A routerekhez hasonlóan megosztják a táblákat és ez alapján szűrnek. Nehézkes, nehezen méretezhető keretek továbbítása forgalomirányító felé Keretcímkézés Minden keret egyedi VLAN azonosítót kap a gerincen történő áthaladáshoz. Az azonosítót minden kapcsoló megvizsgálja továbbítás és szórás előtt. A célállomáshoz továbbítás előtt a keretazonosítót a kapcsoló eltávolítja. A keretcímkézés a 2. rétegben történik, ezért nem igényel hosszú feldolgozást.

9 Portközpontú VLAN-ok Jellemzők Az azonos VLAN-hoz tartozó portokra csatlakozó csomópontok VLAN-azonosítója megegyezik. felhasználók hozzárendelése port szerint történik. A VLAN-ok kezelése egyszerű. Jobb biztonságot nyújt a VLAN-ok között. A csomagok nem "szivárognak át" más tartományokba.

10 Portközpontú VLAN-ok

11 Statikus VLAN-ok Jellemzők A statikus VLAN-ok olyan portok egy kapcsolóban, melyeket statikusan egy VLAN-hoz rendelünk. A hálózati rendszergazda konfigurálja portról portra. A rendszergazda meg tudja változtatni a statikus VLAN-okat. Azok biztonságosak, könnyen konfigurálhatók és egyszerűen felügyelhetők. Az adminisztrátornak felelősségteljesen nyilvántartani kell az összerendeléseket a portok és a VLAN-ok között.

12 Dinamikus VLAN-ok Jellemzők A dinamikus VLAN-ok a kapcsolók olyan portjait jelentik, amelyek képesek automatikusan meghatározni VLAN-beli szerepüket. VLAN-ok definiálása központi felügyeleti alkalmazással történik (pl. CiscoWorks, Tivoli Netview, HP Openview, stb.) Létrehozhatók MAC cím, logikai cím, vagy protokoll alapján Kisebb adminisztráció Értesítés, ha azonosítatlan felhasználó csatlakozik Ha egy állomást kezdetben egy nem kiosztott kapcsolóporthoz csatlakoztatnak, a megfelelő kapcsoló ellenőrzi a MAC-cím bejegyzést a VLAN felügyeleti adatbázisban, és dinamikusan beállítja a portot a hozzá tartozó VLAN-konfiguráció szerint. kevesebb változtatást kell elvégezni a huzalozási központban egy felhasználó felvételekor vagy áthelyezésekor, emellett központilag értesít, ha egy ismeretlen felhasználót vesznek fel a hálózatba.

13 Dinamikus VLAN-ok

14 VLAN-ok előnyei Előnyök A LAN konfigurációja megváltoztatható A hálózati forgalom ellenőrizhető Magasabb szintű biztonság rugalmasságot biztosít, mivel a felhasználók fizikai elhelyezkedésük helyett funkciójuk szerint csoportosíthatók egy növekvő szervezetben egyszerűbben adhatók hozzá és helyezhetők át a hálózati erőforrások

15 VLAN-ok előnyei Egy VLAN felhasználói elhelyezkedésüktől függetlenül ugyanazt a hálózati címteret (vagyis IP-alhálózatot) osztják meg. A helyváltoztatás mindössze annyiból áll, hogy a felhasználót hozzákapcsolják egy VLAN-t támogató kapcsolóhoz, és beállítják a portot a megfelelő VLAN-hoz. VLAN 1 VLAN 1, VLAN 2, VLAN 3 trönk VLAN 3 VLAN 2 VLAN 3 VLAN 2

16 VLAN-ok előnyei Könnyű mozgatni a munkaállomást a LAN-on Könnyű hozzáadni egy új munkaállomást a LAN-hoz Könnyű megváltoztatni a LAN konfigurációját Könnyű vezérelni a LAN forgalmát Javul a biztonság VLAN1 ARP kérés VLAN VLAN2 VLAN VLAN nélkül: Ugyanolyan mint egy egyszerű LAN Két alhálózata van Az ARP kérések minden munkaállomáshoz eljutnak Feleslegesen emészti fel a sávszélességet VLAN-nal: Két alhálózat, És két szórási tartomány

17 VLAN típusok Port alapú Felhasználó hozzárendelése port-társítással történik Nincs keresés, maximális továbbítási teljesítmény (küldési sebesség) és biztonság Egyszerűen konfigurálható, szabályozható MAC cím alapú Felhasználók hozzárendelése MAC címen alapul Szűrést igényel, rontja a teljesítményt Rugalmasságra ad módot Nehezebb felügyelni és a hibát elhárítani Manapság ritkán alkalmazzák Protokoll alapú Logikai címek segítik a felhasználók hozzárendelését DHCP miatt manapság ritkán alkalmazzák

18 VLAN modellek End to end (végponttól végpontig ) vagy Egyetem méretű VLAN-ok Számlázás VLAN 10 Mérnökök VLAN 20 Számlázás VLAN 10 Számlázás VLAN 10 Mérnökök VLAN 20 Eladók VLAN 30 Gigabit kapcsolat VLAN trönk VLAN-ok kiosztásának az alapja az elvégzendő feladat, Mindenhol VLAN modell Ugyanolyan VLAN azonosítók mindenhol lehetnek a hálózatban, nem számít, hogy hol vannak. A magban fővonalat használnak Összetett hálózati irányítást igényel Mivel a hálózati forgalom 80 %-a a VLAN-on belül zajlik lassabb router is használható. (A routereken, vállalati szervereken, internet felé 20% zajlik)

19 VLAN modellek Helyi VLAN-ok Számlázás VLAN 10 Mérnökök VLAN 20 Számlázás VLAN 10 Számlázás VLAN 30 Mérnökök VLAN 40 Eladók VLAN 50 Gigatbit kapcsolat Pl: /24 A VLAN alapja a fizikai elhelyezkedés Minden hozzáférési réteghez külön VLAN-t rendelünk Általánosabb Az útválasztás a magban zajlik. A forgalom 80%-a zajlik a routereken míg 20% forgalom a helyi felhasználók között. Ezért egyszerűbb switch is megfelel, míg a forgalomirányítóknak sokkal erősebbeknek kell lenniük.

20 VLAN létrehozását befolyásoló tényezők - Az egy kapcsoló által kezelhető VLAN-ok száma több tényezőtől is függ: Forgalmi sémák Alkalmazások típusa Hálózatfelügyeleti elvárások Csoportok használhatósága 1. VLAN tagság azonosítása - A keret fejrésze eredeti formátumában érkezik meg a végponti készülékre, melyekben egyedi csomagazonosító található. Ezek adnak infót az egyes csomagok VLAN tagságáról. - Az Ethernet keretbe beágyazáskor vagy módosításkor bekerül a VLAN azonosító. - A csomagok továbbítása a megfelelő kapcsoló vagy forgalomirányító felé ezt követően a VLAN-azonosító és a MAC-cím alapján történik - A célállomás elérése előtt az utolsó kapcsoló eltávolítja a csomagból a VLAN-azonosítót, majd átadja azt a hozzá kapcsolódó készüléknek.

21 VLAN-ok közötti kommunikáció Kétfajta fizikai topológiai megközelítés VLAN-onként egy-egy fizikai csatlakozás Egy fizikai összeköttetésen több logikai kapcsolat (VLAN trönkölés) VLAN forgalomirányító kapcsolatok További biztonsági és felügyeleti funkciók Logikai összeköttetések esetén kisebb fizikai port-felhasználás Hozzáférést a forgalomirányító vezérli Forgalomirányítónként akár 255 VLAN is kezelhető VLAN trönkölés beágyazásai Inter-Switch Link (ISL - Inter-Switch Link, kapcsolók közötti összeköttetés) Cisco által szabadalmaztatott protokoll IEEE 802.1q szabvány szerinti keretcímkézés LAN Emuláció (LANE) arra ad lehetőséget, hogy egy ATM-hálózat Ethernet alapú hálózatot szimuláljon

23 VLAN konfigurálás Általános tudnivalók A VLAN-ok maximális száma kapcsolófüggő Az 1-es VLAN a gyári beállítások szerinti VLAN-ok egyike Az 1-es VLAN alapértelmezett (natív) Ethernet VLAN A CDP és VTP (VLAN Trunk Protocol) hirdetések továbbítása az 1-es VLAN-on belül történik A Catalyst 29xx sorozatú kapcsolók IP címe alapesetben az 1-es VLAN szórási tartományába tartozik Maximum 64 VLAN támogatása VLAN-ok konfigurálásához a kapcsolónak VTP kiszolgáló módban kell lennie Egy már létrehozott VLAN használaton kívül marad, amíg legalább egy portot hozzá nem rendelünk Alapállapotban minden Ethernet port a VLAN 1-be tartozik

24 Statikus VLAN konfigurálása Alkalmazásuk Felhasználók és készülékek mozgása ellenőrzött Portok konfigurálásához szükséges szoftver megléte Maximális teljesítmény-igény Konfigurálás VLAN adatbázis létrehozása Portok VLAN-hoz rendelése access - Azt jelenti, hogy ez a port általános hozzáférési port és nem trönk port Switch# vlan database Switch(vlan)# vlan 2 name Management Switch(vlan)# exit Switch# configure terminal Switch(config)# interface FastEthernet 0/12 Switch(config-if)# switchport access vlan 2 Switch(config-if)# exit

25 Statikus VLAN konfigurálása (példa) vlan 2 SydneySwitch(config)#interface fastethernet 0/5 SydneySwitch(config-if)#switchport access vlan 2 SydneySwitch(config-if)#exit SydneySwitch(config)#interface fastethernet 0/6 SydneySwitch(config-if)#switchport access vlan 2 SydneySwitch(config-if)#exit SydneySwitch(config)#interface fastethernet 0/7 SydneySwitch(config-if)#switchport access vlan 2 vagy SydneySwitch(config)#interface range fastethernet 0/5-7 SydneySwitch(config-if)#switchport access vlan 2 Ugye mennyivel rövidebb!

26 VLAN készítése Alapértelmezett: Dinamic desirable Ez a port trönk-ként jön be hacsak másként nem konfiguráltuk. (pl.: switchport mode access paranccsal) Megjegyzés: Amikor a switchport access vlan parancsot használjuk, a switchport mode access parancsot nem szükségszerű használni, mert a switchport access vlan parancs beállítja az interfészt access port-nak (nem trunk port) Lásd a következő fejezetben a DTP protokoll.

27 VLAN konfiguráció ellenőrzése Lehetőségek Show parancsok használata Switch# show vlan Switch# show vlan brief Switch# show vlan id 1

28 VLAN konfiguráció ellenőrzése Show VLAN vlan 1 default vlan 2 vlan 3

29 VLAN konfiguráció ellenőrzése Show VLAN brief vlan 1 default vlan 2 vlan 3

31 VLAN hibaelhárítás Általános folyamat Fizikai állapot ellenőrzése ellenőrzés CDP-vel Forgalomirányító és kapcsoló konfigurációjának ellenőrzése konfiguráció átnézése Trönkölés ellenőrzése protokollok, beágyazások egyeztetése VLAN konfiguráció ellenőrzése VLAN, STP, beágyazás átnézése Szabályok 80/20-as szabály: a forgalomnak csak 20%-a mehet a gerinchálózat felé, 80% VLAN-on belül marad Torlódás esetén túl sok forgalom terelődik egy irányba Gerinchálózatra nem szabad munkacsoportos forgalmat engedni

32 VLAN hibaelhárítás VLAN hibaelhárítási folyamat Fizikai jelzések (pl. LED jelzések) ellenőrzése Kapcsoló egyszerű konfigurációval történő indítása, majd újabb funkciók konfigurálása Első rétegbeli összeköttetések ellenőrzése Második rétegbeli összeköttetések ellenőrzése Több kapcsoló VLAN működésének ellenőrzése

33 Szórási viharok megelőzése Szórási vihar (broadcast storm) Egy porton keresztül nagyszámú szórásos csomag érkezik Szórási viharok kezelése alapértelmezés szerint le van tiltva Szórási viharok megelőzése Határértékek megfelelő szintre állítása STP forgalom mérséklése a gyökérponti híd konfigurálásával, BPDU forgalom csökkentése érdekében minden időzítőt maximális értékre célszerű állítani.(a gyökérponti híd a feszítőfa központi pontja, ez vezérli a protokoll működését.) A BPDU forgalmat a gyökérponti híd idõzítõi szabályozzák Továbbítási késleltetés 30 másodperc, max_age 40 másodperc

34 Gyakorlati problémák Problémák Trönk végpontok különböző VLAN-ban vannak Ellenőrizzük, hogy a kapcsolón és a forgalomirányítón egyaránt helyesen van-e beállítva a duplex üzemmód és a sebesség. Ezt a kapcsolón a show interface status parancssal. Az összeköttetés két végpontján más protokollok vannak megadva (pl. ISL engedélyezve van az egyik végponton, de a másikon nem) A kapcsolók már nem képesek több VLAN-t kezelni Egymással nem összekötött kapcsolócsoport, amelyeken azonos nevű VLAN-ok vannak definiálva VLAN index-ütközés, ugyanahhoz a VLAN névhez más index, vagy tartomány van rendelve a másik kapcsolón

35 VLAN hibakeresés show vlan [trunk VLAN notrunk mapping type]: VLAN-azonosító, a név, az állapot és a hozzárendelt portok jelennek meg show spanning-tree : a forgalomirányító felé a feszítőfa-algoritmus által meghatározott topológiát jeleníti meg a parancs a forgalomirányítókból és kapcsolókból álló hálózat gyökérponti hídja által alkalmazott, a feszítőfa-protokollra érvényes beállításokat jeleníti meg debug sw-vlan packets: általános információkat jelenít meg a forgalomirányító által fogadott, de azt nem támogató VLAN-csomagokról show vlans: A forgalomirányító által irányítható vagy kapcsolható VLAN-csomagok számát lehet megjeleníttetni

36 Köszönöm a figyelmet! Mártha Péter Név