Тема 15. Что такое VLAN 802.1Q?

• VLAN позволяет разделить пользователей на разные коммутаторы для удобства администрирования и безопасности.  

• Это уменьшает широковещательный трафик и улучшает работу коммутаторов.  

• Первые технологии VLAN назывались Port-Based VLAN.  

• VLAN позволяет организовать логические группы портов, которые пересылают кадры только между выделенными портами.  

• Это создает иллюзию нескольких коммутаторов для пользователей.  

• Пример: маршрутизатор с двумя интерфейсами, каждый из которых работает с отдельной сетью.  

• VLAN уменьшает широковещательный трафик, так как кадры не покидают свои сегменты.  

• Пример с 24 портами: 480 кадров при использовании одного коммутатора, 240 кадров при разделении на две части.  

• Чем меньше сегментированы сети, тем меньше широковещательного трафика.  

• Возникает вопрос, как соединять коммутаторы с разными VLAN.  

• Концепция магистрали или транка позволяет использовать один линк для передачи множества VLAN.  

• Важно, чтобы кадры не смешивались при передаче по одному линку.  

• Концепция VLAN позволяет улучшить администрирование, безопасность и уменьшить широковещательный трафик.  

• VLAN часто называют "dot1q" на английском, что стало нарицательным.  

• Транковые порты используются для настройки оборудования.  

• Понятие "802.1Q" связано с транковыми портами.  

• В пакете-фрейме добавляется поле "тэг" для идентификации VLAN.  

• Поле "тэг" содержит номер VLAN.  

• VLAN нумеруются от 1 до 4096.  

• Биты приоритета позволяют передавать критически важный трафик в первую очередь.  

• Поле "тип" дублирует поле "тэг".  

• Коммутатор использует поле "тип" для идентификации VLAN.  

• Номер VLAN помогает коммутатору понять, к какой группе относится кадр.  

• Разные производители используют разные термины для тегированных и нетегированных портов.  

• Cisco, Juniper и Huawei называют транк, а Dell, HP и другие - тегированный порт.  

• Нетегированные порты называются "акцесс" у Cisco и "антеджет" у Dell, HP.  

• Коммутатор принимает кадры без тэга и добавляет его внутри.  

• Кадры с тэгом обрабатываются в транковой магистрали.  

• Коммутатор должен знать, какие VLAN он может обрабатывать.  

• Коммутаторы могут иметь ограничения на количество VLAN.  

• Все порты по умолчанию находятся в первом VLAN.  

• Современные управляемые коммутаторы поддерживают VLAN.  

• Первый VLAN часто запрещают использовать из-за его ненастроенности.  

• Ненастроенные порты могут быть связаны между собой, что небезопасно.  

• Все новые коммутаторы имеют первый VLAN по умолчанию.  

• Cisco использовала технологию ISL до появления стандарта 802.1Q.  

• При настройке портов нужно указывать метод инкапсуляции.  

• Разные производители могут использовать разные методы инкапсуляции.  

• Коммутатор обрабатывает VLAN с тегами.  

• В таблице MAC-адресов VLAN отображаются с тегами.  

• Даже если коммутатор не настроен, все порты VLAN обрабатываются с тегами.  

• Можно назначить VLAN без тегов для передачи в транке.  

• Обычно это первый VLAN, но можно назначить другой номер.  

• Это может быть полезно для протоколов, решающих проблемы с петлями.  

• Коммутатор должен знать все VLAN, чтобы работать с ними.  

• Можно запретить или разрешить прием определенных VLAN.  

• VLAN обрабатываются и попадают на выходные порты.  

• Некоторые коммутаторы имеют ограниченное количество VLAN.  

• VLAN изолированы друг от друга, как отдельные сети.  

• Для связи между VLAN требуется маршрутизация.  

• Для маршрутизации между VLAN нужен маршрутизатор или L3 коммутатор.  

• Маршрутизатор может обрабатывать пакеты между VLAN.  

• Это может нагружать линк, поэтому лучше использовать отдельные физические линки.  

• Создание записи в базе данных VLAN.  

• Команда "name test" позволяет задать имя VLAN.  

• Важно убедиться, что VLAN созданы и настроены правильно.  

• Настройка портов в режиме доступа.  

• Порт может работать только в одном VLAN.  

• Разные производители могут поддерживать гибридные VLAN.  

• Команда "capsule dotvlan" используется для настройки транка на коммутаторах Cisco.  

• В коммутаторах 2960 эта команда не нужна, так как используется другой протокол.  

• Без команды "capsule dotvlan" коммутатор не перейдет в режим транка.  

• Команда "allow vlan 1-2" разрешает только VLAN 1 и 2.  

• Рекомендуется задавать VLAN вручную для контроля петель и протоколов.  

• В небольших сетях можно использовать режим "allow all", но это может привести к проблемам.  

• Команда "allow all" может стереть предыдущие настройки.  

• Рекомендуется добавлять VLAN по одному через запятую.  

• Потеря управления устройством может произойти при неправильных настройках транка.  

• Команда "switch port trunk native vlan 5" позволяет передавать VLAN 5 без тега.  

• Это полезно для управления устройствами, которые не распознают тегированные VLAN.  

• Пример: каналообразующие устройства и модемы.  

• Пример с двумя коммутаторами и VLAN 200: использование VLAN без тега для доступа к сети управления.  

• Это может быть опасно из-за потенциальной дыры в безопасности.  

• Рекомендуется избегать смены номеров VLAN в одной сети.  

• Команда "show interface trunk" показывает, какие порты включены в режим транка и какие VLAN разрешены.  

• Это помогает проверить работоспособность транка и избежать проблем.  

• Cisco разработала протокол DTP для автоматического включения акцессного порта в режим транка.  

• Этот протокол позволяет коммутаторам автоматически настраивать транки без вмешательства пользователя.  

• Рекомендуется избегать использования DTP, так как это может привести к неожиданным изменениям в сети.  

• Коммутаторы могут автоматически поднимать транки без вмешательства пользователя.  

• Рекомендуется задавать режимы портов вручную, чтобы избежать неожиданных изменений.  

• Избегайте использования DTP, если это не необходимо, чтобы избежать проблем с безопасностью и удобством.  

• VTP позволяет автоматизировать создание и управление VLAN на коммутаторах Cisco.  

• VTP упрощает настройку VLAN в больших сетях, где много коммутаторов.  

• VTP использует один коммутатор как сервер, а остальные как клиенты, что упрощает управление VLAN.  

• VTP может быть опасным, если не учитывать все риски и возможные проблемы.  

• Пример: замена коммутатора привела к проблемам в сети из-за несовместимости баз VLAN.  

• Важно оценивать все риски и понимать, как работает VTP, чтобы избежать проблем.  

• VLAN Registration Protocol позволяет распространять VLAN по сети.  

• Этот протокол стандартизирован, но редко используется.  

• Он позволяет коммутаторам подключаться к VLAN и создавать связанность по VLAN.  

• Обсуждение VLAN и их использования в провайдерской среде.  

• Пример с коммутатором в подъезде, где VLAN изолируют порты пользователей.  

• Цель - предотвратить сетевые атаки между пользователями.  

• Развитие концепции VLAN Community.  

• Создание логических блоков в VLAN для безопасности.  

• Пример с серверами, которые могут быть уязвимы для атак.  

• Q-in-Q используется для разделения VLAN в коммутационной сети.  

• Пример с двумя клиентами, передающими кадры с VLAN.  

• Добавление второго номера VLAN для предотвращения конфликтов.  

• Коммутаторы должны поддерживать Q-in-Q.  

• Увеличение размера кадра на четыре байта.  

• Пример с MTU и инкапсуляцией VLAN.  

• Q-in-Q позволяет избежать конфликтов VLAN в коммутационной сети.  

• Важно понимать, что это может быть необходимо в провайдерской среде.