1 © 2004, Cisco Systems, Inc. All rights reserved. CCNA 3 v3.1 Module 8 Virtual LANs = Virtual Local Area Networks

222 © 2004, Cisco Systems, Inc. All rights reserved. Objectives VLAN Concepts VLAN Configuration Troubleshooting VLANs = Virtual Local Area Network

333 © 2004, Cisco Systems, Inc. All rights reserved. Introduction to VLANs Umíme si představit, že do jedné skupiny počítačů budou patřit ty, které jsou připojené na jeden přepínač. Bude to např. v rámci jednoho patra, kde sídlí lidé, kteří k sobě nějak patří, třeba ředitelství, vývoj, ekonomický úsek... Ale co když všichni vývojáři sedí v přízemí a jednoho museli posadit do 1. patra? Pak se hodí mít možnost seskupovat libovolně, i jinak než jen podle přepínačů.

444 © 2004, Cisco Systems, Inc. All rights reserved. VLANs VLANs logically segment switched networks based on an organization's functions, project teams, or applications as opposed to a physical or geographical basis. VLAN umožňují dělit síť logicky podle funkce organizace, projektových týmů nebo aplikací, nejen na základě fyzického nebo prostorového uspořádání.

555 © 2004, Cisco Systems, Inc. All rights reserved. Broadcast Domains Toto je klasické uspořádání bez VLAN. Každé oddělení má svůj switch, který všechny svoje počítače obsluhuje jako jednu broadcast doménu. Každé oddělení (tj. každý switch) má svoji síť s jinou adresou. Jednotlivé sítě odděluje / spojuje router.

666 © 2004, Cisco Systems, Inc. All rights reserved. Example with 3 Broadcast Domains, 3 VLANs Stejné požadavky ve stejném podniku řešené pomocí VLAN. Všichni sdílejí jeden společný switch. Jsou od sebe odděleni pomocí VLAN. Komunikaci mezi VLAN zajišťuje router.

777 © 2004, Cisco Systems, Inc. All rights reserved. Static VLANs Statické: Ručně rozdělíme porty přepínačů do VLAN. Dělení je tedy podle portů (= port-centric). Je to bezpečné, snadné na konfiguraci a dohlížení.

888 © 2004, Cisco Systems, Inc. All rights reserved. Dynamic VLANs Dynamické: VLAN jsou přiřazovány počítačům automaticky. Rozdělení do VLAN může být založeno na adresách MAC, logických adresách, nebo na typu protokolu. Když už to jednou správce zavede, má s tím méně práce, funguje to samo. Systém pozná a upozorní, když se do sítě připojí neznámý uživatel.

999 © 2004, Cisco Systems, Inc. All rights reserved. Port-Centric VLANs Jsou zde tři sítě s různými adresami. Počítače jsou takto logicky seskupeny bez ohledu na to, jak jsou fyzicky nadrátovány k přepínačům. Síťová vrstva – jede se podle IP adres. Datová – podle MAC adres. Fyzická – konektory, kabely,...

10 © 2004, Cisco Systems, Inc. All rights reserved. VLAN Configuration Staticky: Správce nastavuje port za portem. Každý port patří k určité VLAN. Správce musí vymyslet a vyťukat přiřazení portů jednotlivým VLAN. Dynamicky: Porty jsou schopné dynamicky vypracovat svoji VLAN konfiguraci. Používají k tomu SW databázi přiřazení mezi MAC adresami a VLAN, kterou musí předtím připravit správce.

11 © 2004, Cisco Systems, Inc. All rights reserved. Benefits of VLANs Easily move workstations on the LAN Easily add workstations to the LAN Easily change the LAN configuration Easily control network traffic Improve security Výhody Umožňují: přemísťovat stanice v rámci LAN přidávat stanice do LAN měnit konfiguraci LAN řídit provoz v síti zlepšit bezpečnost

12 © 2004, Cisco Systems, Inc. All rights reserved. Communicating Between VLANs Všechny VLAN musíme ke směrovači nějak připojit. Mohli bychom pro každou VLAN použít samostatný konektor na routeru. To ale brzy narazíme, protože router mívá jen 1-2 ethernetové konektory. Proto všechny logické linky od všech VLAN namixujeme do jediné fyzické linky.

13 © 2004, Cisco Systems, Inc. All rights reserved. Communicating Between VLANs Užití směrovačů na vrstvě 3 k propojení VLAN přináší tyto výhody: Přináší to další možnosti bezpečnosti a ovládání. Logické linky šetří fyzické porty. Směrovače řídí a ovládají přístup do VLAN. Jeden směrovač může obsluhovat až 255 i více VLAN.

14 © 2004, Cisco Systems, Inc. All rights reserved. VLAN Types

15 © 2004, Cisco Systems, Inc. All rights reserved. VLAN Types Podle portu Nejobvyklejší metoda konfigurace Porty jsou přiřazovány individuálně, ve skupinách, v řadách, nebo přes dva i více přepínačů Jednoduché použití Často se používá tam, kde se k přiřazování IP adres používá DHCP

16 © 2004, Cisco Systems, Inc. All rights reserved. VLAN Types Podle MAC adres Málo se dnes používá Každá adresa zvlášť se musí do přepínače naťukat a konfigurovat Uživatelé to považují za užitečné Obtížné na správu, hledání závad a řízení

17 © 2004, Cisco Systems, Inc. All rights reserved. VLAN Types Podle protokolu Konfiguruje se podobně jako typ podle MAC, ale místo toho podle IP adres Už se moc nepoužívá kvůli DHCP: Nelze seskupovat počítače do VLAN, když se neví, jaké IP adresy od DHCP dostanou.

18 © 2004, Cisco Systems, Inc. All rights reserved. Inter-Switch Link Tam, kde má rámec přecházet z jednoho přepínače do druhého, je nutno dát mu značku (tag, VLAN ID), která označuje, do které VLAN rámec patří. Když rámec opouští poslední přepínač a má se doručit počítači, značka se z něj sundá, aby počítač z ní nebyl vyděšený.

19 © 2004, Cisco Systems, Inc. All rights reserved. Inter-Switch Link Tam, kde má rámec přecházet z jednoho přepínače do druhého, je nutno dát mu značku (tag, VLAN ID), která označuje, do které VLAN rámec patří. Když rámec opouští poslední přepínač a má se doručit počítači, značka se z něj sundá, aby počítač z ní nebyl vyděšený. Používají se dva hlavní způsoby značkování rámců (frame tagging): ISL (Inter-Switch Link) je Cisco proprietary. Dříve byl nejvíce rozšířený, teď se přechází na IEEE 802.1Q (dot1q = dot one kjů = tečka jedna kvé).

20 © 2004, Cisco Systems, Inc. All rights reserved. Inter-Switch Link ISL (Inter-Switch Link) zapouzdří rámec do dalšího obalu a v hlavičce tohoto obalu je VLAN ID. Tím se rámec prodlouží. IEEE 802.1Q pozmění hlavičku rámce a do smluveného místa, které není využité, zapíše VLAN ID. Tím se rámec neprodlouží, jen pozmění.

21 © 2004, Cisco Systems, Inc. All rights reserved. = současné přenosy Concurrent Transmissions in a Switch V síti s hubem nebo koaxiálem může vysílat vždy jen jeden účastník, jinak by nastala kolize. V síti s přepínačem může běžet mnoho současných přenosů, protože přepínač pro každý z nich vyhradí samostatnou cestu.

22 © 2004, Cisco Systems, Inc. All rights reserved. End-to-End VLANs Ve VLAN end-to-end může jedna VLAN sahat od jednoho konce sítě až na druhý, viz třeba VLAN červená nebo černá. Počítače jsou seskupeny do VLAN podle společných vlastností nebo zájmů. V takové síti se předpokládá, že většina provozu se odehrává uvnitř VLAN (např. 80%) a jen malá část (např. 20%) jde ven.

23 © 2004, Cisco Systems, Inc. All rights reserved. Geograhic VLANs V geografické síti jsou počítače seskupeny do VLAN spíše podle svého umístění, než podle společných vlastností nebo zájmů. V takové síti se předpokládá, že většina provozu (např. 80%) jde ven z LAN (např. na centrální servery) a jen malá část se odehrává uvnitř VLAN (např. 20%).

24 © 2004, Cisco Systems, Inc. All rights reserved. Static VLANs Dobře pracuje tam, kde: Přesuny počítačů jsou kontrolovány, řízeny. Je k dispozici odolný SW pro správu a konfiguraci portů. Není žádoucí mít další práci s údržbou seznamů MAC adres a zákaznických filtrovacích tabulek.

25 © 2004, Cisco Systems, Inc. All rights reserved. Verifying VLAN Configuration

26 © 2004, Cisco Systems, Inc. All rights reserved. Saving VLAN Configuration Back up using the copy running-config tftp command, or you can use the HyperTerminal Capture Text feature to store the configuration settings. Vyplatí se zálohovat konfiguraci příkazem copy running-config tftp nebo pomocí zachytávací (Capture) funkce HyperTerminálu.

27 © 2004, Cisco Systems, Inc. All rights reserved. VLAN Problem Isolation

28 © 2004, Cisco Systems, Inc. All rights reserved. Problem Isolation in Catalyst Networks

29 © 2004, Cisco Systems, Inc. All rights reserved. Preventing Broadcast Storms

30 © 2004, Cisco Systems, Inc. All rights reserved. Common Problems in Troubleshooting VLANs Některé VLAN jsou definovány na jednom konci a nejsou definovány na druhém konci spoje Na obou koncích spoje jsou definovány různé protokoly, např. ISL – dot1q. Přepínače nejsou schopny provozu s více VLAN a neběží na nich trunking encapsulation protocol.

31 © 2004, Cisco Systems, Inc. All rights reserved. Common Problems in Troubleshooting VLANs Na dvou přepínačích, které nejsou propojené, jsou VLAN stejného jména. Důsledky: VLANs jsou rozděleny do dvou nebo více nepropojených částí. Pakety neprocházejí z jedné části do druhé. Možné řešení: Přejmenovat jednu VLAN.

32 © 2004, Cisco Systems, Inc. All rights reserved. Common Problems in Troubleshooting VLANs Je použito stejné jméno pro dvě VLAN, které mají různé indexy nebo domény. Provoz nepůjde tam, kde stejnojmenná síť má jiné číslo. Možná řešení: Přejmenovat jednu VLAN Vymazat obě VLAN a vytvořit jednu novou s tím jménem. Různá čísla SAID na té samé VLAN.

33 © 2004, Cisco Systems, Inc. All rights reserved. Catalyst IOS show vlan Command

34 © 2004, Cisco Systems, Inc. All rights reserved. Catalyst IOS Keyword Syntax Description

35 © 2004, Cisco Systems, Inc. All rights reserved. Catalyst IOS show spanning-tree Command

36 © 2004, Cisco Systems, Inc. All rights reserved. VLAN Troubleshooting Scenarios A trunk link cannot be established between a switch and a router Podporuje verze IOSu seskupování = trunking? (show version) Je port správně připojený, nemá hlášené chyby? (show interfaces ) Jsou na obou koncích správně nastavené duplex a rychlost? (show interface status, show interfaces) Je na fyzickém portu přepínače po jednom subinterface na každou VLAN? Je na každém subinterface správně nastavené zapouzdření, číslo VLAN, IP adresa, maska podsítě? (show interfaces, show running-config)

37 © 2004, Cisco Systems, Inc. All rights reserved. VLAN Troubleshooting Scenarios VTP is not properly propagating VLAN configuration changes.

38 © 2004, Cisco Systems, Inc. All rights reserved. VLAN Troubleshooting Scenarios Dropped packets and loops Přepínač D používá Spanning-Tree protokol firmy DEC, ostatní používají protokol IEEE. Svoje sdělení vzájemně ignorují a tak v síti budou dva kořenové přepínače: A za IEEE, D za DEC. Smyčka mezi A-B-C-D nebude odstraněna a stane se pastí na nekonečně kolující rámce.

39 © 2004, Cisco Systems, Inc. All rights reserved. Summary VLAN umožňují seskupovat počítače v síti podle funkce, aplikace,... a nejen podle fyzického umístění. VLAN zvyšují výkonnost sítě tím, že sdružují uživatele, kteří spolu často komunikují. VLAN zlepšují rozšiřitelnost, bezpečnost, správu. Směrovače filtrují broadcasty, zlepšují bezpečnost a řízení toku provozu.

40 © 2004, Cisco Systems, Inc. All rights reserved. Summary End-to-end VLAN sahá od jednoho konce sítě až na druhý. Účastníci mohou být seskupováni podle toho, jaké zdroje (např. servery) využívají. Geografická VLAN sdružuje účastníky spíše podle jejich polohy. Ve statické VLAN jsou porty přiřazovány ručně pomocí nějakého SW pro správu, nebo prací přímo na přepínači (připojení konzolou nebo telnetem). VLAN poskytují pružnost při návrhu i zavádění sítí.