LAN Switching and Wireless – Chapter 3 VLANs LAN Switching and Wireless – Chapter 3

Objectives VLANs in a converged network Trunking VLANs in a converged network Configuration of VLANs on switches Troubleshooting misconfigurations in VLANs

Introduction to VLANs Umíme si představit, že do jedné skupiny počítačů budou patřit ty, které jsou připojené na jeden přepínač. Bude to např. v rámci jednoho patra, kde sídlí lidé, kteří k sobě nějak patří, třeba ředitelství, vývoj, ekonomický úsek ... Ale co když všichni vývojáři sedí v přízemí a jednoho museli posadit do 1. patra? Pak se hodí mít možnost seskupovat libovolně, i jinak, než jen podle přepínačů.

VLANs VLAN umožňují dělit síť logicky podle funkce organizace, projektových týmů nebo aplikací, nejen na základě fyzického nebo prostorového uspořádání. VLANs logically segment switched networks based on an organization's functions, project teams, or applications as opposed to a physical or geographical basis.

Broadcast Domains Toto je klasické uspořádání bez VLAN. Každé oddělení má svůj switch, který všechny svoje počítače obsluhuje jako jednu broadcast doménu. Každé oddělení (tj. každý switch) má svoji síť s jinou adresou. Jednotlivé sítě odděluje / spojuje router.

Example: 3 Broadcast Domains, 3 VLANs Stejné požadavky ve stejném podniku, ale řešené pomocí VLAN. Všichni sdílejí jeden společný switch. Jsou od sebe odděleni pomocí VLAN. Komunikaci mezi VLAN zajišťuje router.

Example: 3 Broadcast Domains, 3 VLANs Jsou zde tři sítě s různými adresami. Počítače jsou takto logicky seskupeny ... ... bez ohledu na to, jak jsou fyzicky nadrátovány k přepínačům. Síťová vrstva – jede se podle IP adres. Datová – podle MAC adres. Fyzická – konektory, kabely, ...

VLANs in a Converged Network Types of VLANs Typy VLAN Data Default Native Management Voice Datová Přednastavená Původní, přirozená Řídicí Hlasová Graphics 3.1.2.1 & 3.1.2.2

VLANs in a Converged Network Data VLAN = Datová VLAN Graphics 3.1.2.1 & 3.1.2.2 Datová VLAN je konfigurovaná jen pro přenos dat, která generují uživatelé. Nedávají se do ní hlasová data ani data pro řízení a správu sítě. Někdy se jí také říká „uživatelská“ = „user“ VLAN.

VLANs in a Converged Network Default VLAN = Přednastavená VLAN Graphics 3.1.2.1 & 3.1.2.2 Default VLAN je ta, ke které patří všechny porty po prvním zapnutí přepínače. U přepínačů Cisco je default VLAN po prvním zapnutí VLAN1. Není možné ji přejmenovat ani vymazat. Kvůli bezpečnosti je dobré toto změnit a udělat default VLAN z některé jiné VLAN.

VLANs in a Converged Network Native VLAN = původní, přirozená VLAN Asi měl být vybarvený i tento spoj. Graphics 3.1.2.1 & 3.1.2.2 Native VLAN je ta, do které patří trunk interfaces = hlavní rozhraní, v obrázku F0/1, F0/3, F0/5. Jsou to rozhraní, po kterých běží provoz všech VLAN. Native VLAN má v obrázku číslo 99. Framy pocházející z jednotlivých VLAN dostávají na vstupu do sítě značky (tags), jsou značkované (tagged). Podle těchto značek jsou pak rozdělovány do správných VLAN při výstupu ze sítě. 802.1Q je protokol, kterým je toto značkování řízeno. Dostane-li se do sítě frame neoznačený (untagged), je umístěn do native VLAN. Zařízení, připojená k native VLAN (např. PC vlevo nahoře), generují framy neoznačené (untagged).

VLANs in a Converged Network Management VLAN = Řídicí VLAN Asi měl být vybarvený i tento spoj. Graphics 3.1.2.1 & 3.1.2.2 Řídicí (management) VLAN je kterákoliv, které jsme přiřadili IP adresu a tím jí dali schopnost řídit přepínač. Přes tuto IP adresu můžeme přepínač ovládat pomocí HTTP, Telnet, SSH nebo SNMP. Po prvním zapnutí přepínače je řídicí (management) VLAN1. Kvůli bezpečnosti je vhodné to změnit.

VLANs in a Converged Network Zvláštní úloha VLAN1 po prvním zapnutí (out-of-the-box) je VLAN1 data VLAN default VLAN management VLAN po prvním zapnutí do ní patří všechny porty nelze ji vymazat nelze ji přejmenovat jde po ní řídicí provoz vrstvy 2, např. CDP, STP, nelze to změnit Graphics 3.1.2.1 & 3.1.2.2

VLANs in a Converged Network Příklad konfigurace VLAN – viz předchozí obrázky Funkce Out-of-the-box Po konfiguraci Data VLAN VLAN1 VLAN20, VLAN30 Default VLAN VLAN30 Native VLAN Není žádná, protože switch má všechny interface rovnocenné, žádné trunk interfaces VLAN99 Management VLAN Řídicí provoz vrstvy 2 Graphics 3.1.2.1 & 3.1.2.2

VLANs in a Converged Network Shrnutí VLAN VLAN Vlastnosti Data VLAN Běhají po nich data generovaná uživateli. Default VLAN Patří do ní všechny porty, které jsme nepřeřadili jinam. Native VLAN Patří do ní trunk interfaces. Management VLAN Má IP adresu. Graphics 3.1.2.1 & 3.1.2.2

VLANs in a Converged Network VLAN port membership modes Graphic 3.1.3.1 Static VLAN - Ports are manually assigned to a VLAN. Static VLANs are configured using the Cisco CLI or with GUI management applications. Statická VLAN – Porty se ručně přiřadí do VLAN. Je to nejobvyklejší způsob. Statické VLAN se konfigurují pomocí příkazového řádku nebo pomocí grafického rozhraní.

VLANs in a Converged Network VLAN port membership modes Dynamic port VLAN membership is configured using a special server called a VLAN Membership Policy Server (VMPS). With the VMPS, you assign switch ports to VLANs dynamically, based on the source MAC address. When you move a host from a port on one switch to a port on another switch, the switch dynamically assigns the new port to the proper VLAN. Dynamická VLAN – Porty přiřazuje do VLAN server, zvaný VLAN Membership Policy Server (VMPS). Porty se přiřazují dynamicky podle MAC adresy. Když se PC přestěhuje na jiný port a dokonce jiný switch, server automaticky přiřadí port do správné VLAN. Graphic 3.1.3.1

VLANs in a Converged Network VLAN port membership modes Hlasová Datová Graphic 3.1.3.1 Voice VLAN - A port is configured so that it can support an IP phone. You need to first configure a VLAN for voice and a VLAN for data. The network must be configured to transmit the voice traffic with a priority. When a phone is first plugged into a switch port that is in voice mode, the switch port provides the phone with the appropriate voice VLAN ID and configuration. The IP phone tags the voice frames with the voice VLAN ID and the network forwards all voice traffic through the voice VLAN. Hlasová VLAN – Port se konfiguruje tak, aby podporoval IP telefon. Nejdřív musíme vytvořit jednu VLAN pro hlas a jednu pro data. Síť musí být konfigurována tak, aby hlasový provoz přenášela přednostně. Když poprvé připojíme IP telefon k portu v hlasovém módu, switch poskytne telefonu jeho VLAN ID a konfiguraci. IP telefon pak značkuje svoje rámce tímto přiděleným ID a síť hlasové rámce přenáší po hlasové VLAN.

VLANs in a Converged Network Broadcast domains without VLANs Graphic 3.1.4.3 V síti bez VLAN tvoří všechny počítače jednu velkou broadcast doménu, protože jsou všechny v jedné síti: 172.17.40.0 / 24. Broadcasty se šíří do všech počítačů v celé síti.

VLANs in a Converged Network Broadcast domains without VLANs Graphic 3.1.4.3 I kdyby ale nepatřily všechny PC do jedné sítě, jako tady: Vlevo je síť 192.168.1.x, vpravo je síť 192.168.2.x. Když levý horní chce poprvé pingnout levý dolní (tj. ve své vlastní síti), tak ARP broadcast dostanou všichni, tj. i ti vpravo.

VLANs in a Converged Network Broadcast domains with VLANs Graphic 3.1.4.3 Je-li síť rozdělena na VLAN, každý broadcast se šíří jen v rámci své VLAN. V síti na obrázku zatím není vyřešena komunikace mezi VLAN – není tam router. Viz video 3.1.4.1

VLANs in a Converged Network Broadcast domains with VLANs Graphic 3.1.4.3 Tady už je router. Komunikace může být intra-VLAN (uvnitř VLAN) a inter-VLAN (mezi VLAN). Když se komunikuje uvnitř VLAN, tak ARP request (žádost o zjištění neznámé MAC adresy ke známé IP adrese) proběhne jako broadcast jen v rámci jedné VLAN. Viz video 3.1.4.2

VLANs in a Converged Network Broadcast domains with VLANs Graphic 3.1.4.3 Když se komunikuje mezi VLAN, např. z VLAN10 do VLAN20, tak router na ARP request odpoví MAC adresou svého portu, což je pro odesílající PC default gateway. PC to tedy pošle na default gateway = router. Když pak v dalším kroku router dostane paket s cílovou IP adresou do VLAN20, rozešle do VLAN20 ARP request a zjistí si MAC adresu cílového počítače. Na tu pak pošle frame a v něm zabalený paket. Viz video 3.1.4.2

VLANs in a Converged Network Broadcast domains with VLANs SVI = Switch Virtual Interface Graphic 3.1.4.3 Podobně to funguje s přepínačem, který umí přepínat na vrstvě 3, tj. podle IP adres. Viz video 3.1.4.3

Trunking VLANs Jak by to bylo bez trunků: Pro každou VLAN musí být mezi přepínači jeden fyzický spoj a na každém přepínači jeden port, protože „obyčejné“ porty v módu access je možno přiřadit jen do jedné VLAN. S přidáním každé další VLAN ubude na každém přepínači nejméně jeden port, který se pro ni musí vyhradit. (Černá propojka je pro management a native VLAN 99.) The objective listed above doesn’t make much sense to me. I’m not sure what is wanted….I think that the objective should read something like the following “ explain the role of a trunk when using multiple VLANs in a converged network.” Use graphic 3.2.1.2

Trunking VLANs S trunky: Pro všechny VLAN stačí jeden společný spoj – trunk. The objective listed above doesn’t make much sense to me. I’m not sure what is wanted….I think that the objective should read something like the following “ explain the role of a trunk when using multiple VLANs in a converged network.” Use graphic 3.2.1.2

Trunking VLANs How a trunk works Viz video 3.2.2.1 Když PC z některé datové VLAN vyšle frame, přepínač označí frame značkou, zvanou VLAN ID. S touto značkou frame putuje přes trunky mezi přepínači, a podle značky přepínače poznají, do které VLAN frame patří. Když potom frame opouští poslední přepínač na své cestě, má vstoupit do některé datové VLAN a dojít do cílového PC, poslední přepínač značku z framu vyndá, aby z ní cílový PC nebyl zmatený. Use graphic 3.2.2.1 Viz video 3.2.2.1

Trunking VLANs Switch port trunking modes DTP = Dynamic Trunking Protocol, Cisco proprietary => ostatní to neumí. Both periodically send DTP frames, called advertisements. Oba periodicky vysílají DTP informace. The port is in an unconditional (always on) trunking state. The port goes in trunking state only if the remote port is configured to be trunk or desirable. Graphic 3.2.3.1 Periodicky vysílá svoje DTP informace (advertisments), ale zůstává v trunking módu. Periodicky vysílá svoje DTP informace. Přejde do trunking módu, pokud ten na druhé straně je trunk nebo je ochoten se jím stát. Jinak zůstává v access módu.

Trunking VLANs Switch port trunking modes Jak to dopadne, když oba podporují DTP, a jeden je nastavený tak a druhý tak: Je mi to jedno Chci být trunk Jsem Trunk Jsem Access Graphic 3.2.3.1 Nastavíme-li na jedné straně tvrdě Access a na druhé Trunk, bude to průchozí (patrně v módu Access), ale není to zdravé. Proto se to nedoporučuje.

Configuring VLANs Configuring trunks and VLANs Vytvoř VLAN Přiřaď porty Ověř VLAN Umožni trunk Ověř trunk Graphic 3.3.1.1

Configuring VLANs IOS commands to create a VLAN Graphic 3.3.2.1 ( if space is an issue use the example) Graphic 3.3.2.2 (use example graphic)

Configuring VLANs IOS commands used to verify VLANs Graphic 3.3.3.1 (syntax) Graphic 3.3.3.2

Configuring VLANs IOS commands used to create a trunk Vytvoř trunk Graphic 3.3.4.1 Vytvoř trunk Která VLAN bude native (tj. půjde po ní provoz více sítí). Když tento příkaz vůbec nezadáme, native bude VLAN1. Bude to fungovat, ale nebude to bezpečné. Které VLAN budou na tomto trunku povolené. Když tento příkaz vůbec nezadáme, budou povolené všechny.

Troubleshooting Problems with VLANs and trunks Na jednom portu je určená jako native VLAN 99, na jiném VLAN 100 Na jednom portu je trunk mód zapnutý, na protějším vypnutý Graphic 3.4.1.1 VLAN a IP adresy nejdou dohromady Nevyjmenovali jsme všechny sítě, které na tomto trunku chceme povolit (příkaz „switchport trunk allowed vlan add ...“)

Troubleshooting Problems with VLANs and trunks Graphic 3.4.1.2 Graphic 3.4.1.3 Takto je to zapojeno, tak to chceme. Proč to nejde? Viz další snímek.

Troubleshooting Problems with VLANs and trunks Zde hlásí mismatch => něco k sobě nepasuje .... ... a to 100 na S3 a 99 na S1 Graphic 3.4.1.2 Graphic 3.4.1.3 Toto je příčina: Na S3 je jako native VLAN 100 místo VLAN 99 Řešení:

Troubleshooting Troubleshooting procedure to fix a problem Graphic 3.4.1.4 Takto je to zapojeno, tak to chceme. Proč to nejde? Viz další snímek.

Troubleshooting Troubleshooting procedure to fix a problem S1 i S3: Oběma je to jedno (dynamic auto) => nastaví se do módu access, nikoliv trunk. Graphic 3.4.1.4

Oběma nebo aspoň jednomu vnutíme mód trunk. Troubleshooting Troubleshooting procedure to fix a problem Řešení: Graphic 3.4.1.4 Oběma nebo aspoň jednomu vnutíme mód trunk.

Summary VLANS Allow to logically group devices Used to segment broadcast domains Benefits of VLANs Cost reduction Security Higher performance Better management Broadcast reduction

Summary Types of Traffic on a VLAN Data Voice Network protocol Network management Communication between different VLANs requires the use of routers

Summary Trunks A common conduit used by multiple VLANS for intra-VLAN communication IEEE 802.1Q (dot1q) The standard trunking protocol Uses frame tagging to identify the VLAN to which a frame belongs Does not tag native VLAN traffic