© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE I Chapter 6 1 VLANs LAN Switching and Wireless – Chapter 3

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 2 Objectives  VLANs in a converged network  Trunking VLANs in a converged network  Configuration of VLANs on switches  Troubleshooting misconfigurations in VLANs

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 3 Introduction to VLANs Umíme si představit, že do jedné skupiny počítačů budou patřit ty, které jsou připojené na jeden přepínač. Bude to např. v rámci jednoho patra, kde sídlí lidé, kteří k sobě nějak patří, třeba ředitelství, vývoj, ekonomický úsek... Ale co když všichni vývojáři sedí v přízemí a jednoho museli posadit do 1. patra? Pak se hodí mít možnost seskupovat libovolně, i jinak, než jen podle přepínačů.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 4 VLANs VLANs logically segment switched networks based on an organization's functions, project teams, or applications as opposed to a physical or geographical basis. VLAN umožňují dělit síť logicky podle funkce organizace, projektových týmů nebo aplikací, nejen na základě fyzického nebo prostorového uspořádání.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 5 Broadcast Domains Toto je klasické uspořádání bez VLAN. Každé oddělení má svůj switch, který všechny svoje počítače obsluhuje jako jednu broadcast doménu. Každé oddělení (tj. každý switch) má svoji síť s jinou adresou. Jednotlivé sítě odděluje / spojuje router.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 6 Example: 3 Broadcast Domains, 3 VLANs Stejné požadavky ve stejném podniku, ale řešené pomocí VLAN. Všichni sdílejí jeden společný switch. Jsou od sebe odděleni pomocí VLAN. Komunikaci mezi VLAN zajišťuje router.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 7 Jsou zde tři sítě s různými adresami. Počítače jsou takto logicky seskupeny bez ohledu na to, jak jsou fyzicky nadrátovány k přepínačům. Síťová vrstva – jede se podle IP adres. Datová – podle MAC adres. Fyzická – konektory, kabely,... Example: 3 Broadcast Domains, 3 VLANs

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 8 VLANs in a Converged Network Types of VLANs Typy VLAN Data Default Native Management Voice Datová Přednastavená Původní, přirozená Řídicí Hlasová

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 9 VLANs in a Converged Network Datová VLAN je konfigurovaná jen pro přenos dat, která generují uživatelé. Nedávají se do ní hlasová data ani data pro řízení a správu sítě. Někdy se jí také říká „uživatelská“ = „user“ VLAN. Data VLAN = Datová VLAN

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 10 VLANs in a Converged Network Default VLAN je ta, ke které patří všechny porty po prvním zapnutí přepínače. U přepínačů Cisco je default VLAN po prvním zapnutí VLAN1. Není možné ji přejmenovat ani vymazat. Kvůli bezpečnosti je dobré toto změnit a udělat default VLAN z některé jiné VLAN. Default VLAN = Přednastavená VLAN

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 11 VLANs in a Converged Network Native VLAN je ta, do které patří trunk interfaces = hlavní rozhraní, v obrázku F0/1, F0/3, F0/5. Jsou to rozhraní, po kterých běží provoz všech VLAN. Native VLAN má v obrázku číslo 99. Framy pocházející z jednotlivých VLAN dostávají na vstupu do sítě značky (tags), jsou značkované (tagged). Podle těchto značek jsou pak rozdělovány do správných VLAN při výstupu ze sítě Q je protokol, kterým je toto značkování řízeno. Dostane-li se do sítě frame neoznačený (untagged), je umístěn do native VLAN. Zařízení, připojená k native VLAN (např. PC vlevo nahoře), generují framy neoznačené (untagged). Native VLAN = původní, přirozená VLAN Asi měl být vybarvený i tento spoj.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 12 VLANs in a Converged Network Řídicí (management) VLAN je kterákoliv, které jsme přiřadili IP adresu a tím jí dali schopnost řídit přepínač. Přes tuto IP adresu můžeme přepínač ovládat pomocí HTTP, Telnet, SSH nebo SNMP. Po prvním zapnutí přepínače je řídicí (management) VLAN1. Kvůli bezpečnosti je vhodné to změnit. Management VLAN = Řídicí VLAN Asi měl být vybarvený i tento spoj.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 13 VLANs in a Converged Network po prvním zapnutí (out-of-the-box) je VLAN1 data VLAN default VLAN management VLAN po prvním zapnutí do ní patří všechny porty nelze ji vymazat nelze ji přejmenovat jde po ní řídicí provoz vrstvy 2, např. CDP, STP, nelze to změnit Zvláštní úloha VLAN1

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 14 VLANs in a Converged Network FunkceOut-of-the-boxPo konfiguraci Data VLANVLAN1VLAN20, VLAN30 Default VLANVLAN1VLAN30 Native VLANNení žádná, protože switch má všechny interface rovnocenné, žádné trunk interfaces VLAN99 Management VLANVLAN1VLAN99 Řídicí provoz vrstvy 2VLAN1 Příklad konfigurace VLAN – viz předchozí obrázky

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 15 VLANs in a Converged Network VLANVlastnosti Data VLANBěhají po nich data generovaná uživateli. Default VLANPatří do ní všechny porty, které jsme nepřeřadili jinam. Native VLANPatří do ní trunk interfaces. Management VLANMá IP adresu. Shrnutí VLAN

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 16  VLAN port membership modes VLANs in a Converged Network Static VLAN - Ports are manually assigned to a VLAN. Static VLANs are configured using the Cisco CLI or with GUI management applications. Statická VLAN – Porty se ručně přiřadí do VLAN. Je to nejobvyklejší způsob. Statické VLAN se konfigurují pomocí příkazového řádku nebo pomocí grafického rozhraní.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 17  VLAN port membership modes VLANs in a Converged Network Dynamic port VLAN membership is configured using a special server called a VLAN Membership Policy Server (VMPS). With the VMPS, you assign switch ports to VLANs dynamically, based on the source MAC address. When you move a host from a port on one switch to a port on another switch, the switch dynamically assigns the new port to the proper VLAN. Dynamická VLAN – Porty přiřazuje do VLAN server, zvaný VLAN Membership Policy Server (VMPS). Porty se přiřazují dynamicky podle MAC adresy. Když se PC přestěhuje na jiný port a dokonce jiný switch, server automaticky přiřadí port do správné VLAN.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 18  VLAN port membership modes VLANs in a Converged Network Voice VLAN - A port is configured so that it can support an IP phone. You need to first configure a VLAN for voice and a VLAN for data. The network must be configured to transmit the voice traffic with a priority. When a phone is first plugged into a switch port that is in voice mode, the switch port provides the phone with the appropriate voice VLAN ID and configuration. The IP phone tags the voice frames with the voice VLAN ID and the network forwards all voice traffic through the voice VLAN. Hlasová VLAN – Port se konfiguruje tak, aby podporoval IP telefon. Nejdřív musíme vytvořit jednu VLAN pro hlas a jednu pro data. Síť musí být konfigurována tak, aby hlasový provoz přenášela přednostně. Když poprvé připojíme IP telefon k portu v hlasovém módu, switch poskytne telefonu jeho VLAN ID a konfiguraci. IP telefon pak značkuje svoje rámce tímto přiděleným ID a síť hlasové rámce přenáší po hlasové VLAN. Hlasová Datová

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 19 Broadcast domains without VLANs VLANs in a Converged Network V síti bez VLAN tvoří všechny počítače jednu velkou broadcast doménu, protože jsou všechny v jedné síti: / 24. Broadcasty se šíří do všech počítačů v celé síti.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 20 Broadcast domains without VLANs VLANs in a Converged Network I kdyby ale nepatřily všechny PC do jedné sítě, jako tady: Vlevo je síť x, vpravo je síť x. Když levý horní chce poprvé pingnout levý dolní (tj. ve své vlastní síti), tak ARP broadcast dostanou všichni, tj. i ti vpravo.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 21 Broadcast domains with VLANs VLANs in a Converged Network Je-li síť rozdělena na VLAN, každý broadcast se šíří jen v rámci své VLAN. V síti na obrázku zatím není vyřešena komunikace mezi VLAN – není tam router. Viz video

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 22 Broadcast domains with VLANs VLANs in a Converged Network Tady už je router. Komunikace může být intra-VLAN (uvnitř VLAN) a inter- VLAN (mezi VLAN). Když se komunikuje uvnitř VLAN, tak ARP request (žádost o zjištění neznámé MAC adresy ke známé IP adrese) proběhne jako broadcast jen v rámci jedné VLAN. Viz video

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 23 Broadcast domains with VLANs VLANs in a Converged Network Když se komunikuje mezi VLAN, např. z VLAN10 do VLAN20, tak router na ARP request odpoví MAC adresou svého portu, což je pro odesílající PC default gateway. PC to tedy pošle na default gateway = router. Když pak v dalším kroku router dostane paket s cílovou IP adresou do VLAN20, rozešle do VLAN20 ARP request a zjistí si MAC adresu cílového počítače. Na tu pak pošle frame a v něm zabalený paket. Viz video

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 24 Broadcast domains with VLANs VLANs in a Converged Network Podobně to funguje s přepínačem, který umí přepínat na vrstvě 3, tj. podle IP adres. Viz video SVI = Switch Virtual Interface

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 25 Trunking VLANs Jak by to bylo bez trunků: Pro každou VLAN musí být mezi přepínači jeden fyzický spoj a na každém přepínači jeden port, protože „obyčejné“ porty v módu access je možno přiřadit jen do jedné VLAN. S přidáním každé další VLAN ubude na každém přepínači nejméně jeden port, který se pro ni musí vyhradit. (Černá propojka je pro management a native VLAN 99.)

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 26 Trunking VLANs S trunky: Pro všechny VLAN stačí jeden společný spoj – trunk.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 27 How a trunk works Trunking VLANs Když PC z některé datové VLAN vyšle frame, přepínač označí frame značkou, zvanou VLAN ID. S touto značkou frame putuje přes trunky mezi přepínači, a podle značky přepínače poznají, do které VLAN frame patří. Když potom frame opouští poslední přepínač na své cestě, má vstoupit do některé datové VLAN a dojít do cílového PC, poslední přepínač značku z framu vyndá, aby z ní cílový PC nebyl zmatený. Viz video

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 28 Switch port trunking modes Trunking VLANs The port is in an unconditional (always on) trunking state. Both periodically send DTP frames, called advertisements. Oba periodicky vysílají DTP informace. The port goes in trunking state only if the remote port is configured to be trunk or desirable. DTP = Dynamic Trunking Protocol, Cisco proprietary => ostatní to neumí. Periodicky vysílá svoje DTP informace (advertisments), ale zůstává v trunking módu. Periodicky vysílá svoje DTP informace. Přejde do trunking módu, pokud ten na druhé straně je trunk nebo je ochoten se jím stát. Jinak zůstává v access módu.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 29 Switch port trunking modes Trunking VLANs Jak to dopadne, když oba podporují DTP, a jeden je nastavený tak a druhý tak: Je mi to jednoChci být trunkJsem TrunkJsem Access Nastavíme-li na jedné straně tvrdě Access a na druhé Trunk, bude to průchozí (patrně v módu Access), ale není to zdravé. Proto se to nedoporučuje.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 30 Configuring VLANs  Configuring trunks and VLANs Vytvoř VLAN Přiřaď porty Ověř VLAN Umožni trunk Ověř trunk

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 31 IOS commands to create a VLAN Configuring VLANs

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 32 IOS commands used to verify VLANs Configuring VLANs

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 33 IOS commands used to create a trunk Configuring VLANs Vytvoř trunkKterá VLAN bude native (tj. půjde po ní provoz více sítí). Když tento příkaz vůbec nezadáme, native bude VLAN1. Bude to fungovat, ale nebude to bezpečné. Které VLAN budou na tomto trunku povolené. Když tento příkaz vůbec nezadáme, budou povolené všechny.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 34 Troubleshooting Problems with VLANs and trunks Na jednom portu je určená jako native VLAN 99, na jiném VLAN 100 Na jednom portu je trunk mód zapnutý, na protějším vypnutý VLAN a IP adresy nejdou dohromady Nevyjmenovali jsme všechny sítě, které na tomto trunku chceme povolit (příkaz „switchport trunk allowed vlan add...“)

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 35 Problems with VLANs and trunks Takto je to zapojeno, tak to chceme. Proč to nejde? Viz další snímek. Troubleshooting

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 36 Problems with VLANs and trunks Zde hlásí mismatch => něco k sobě nepasuje a to 100 na S3 a 99 na S1 Toto je příčina: Na S3 je jako native VLAN 100 místo VLAN 99 Řešení: Troubleshooting

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 37 Troubleshooting procedure to fix a problem Takto je to zapojeno, tak to chceme. Proč to nejde? Viz další snímek. Troubleshooting

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 38 Troubleshooting procedure to fix a problem Troubleshooting S1 i S3: Oběma je to jedno (dynamic auto) => nastaví se do módu access, nikoliv trunk.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 39 Troubleshooting procedure to fix a problem Troubleshooting Řešení: Oběma nebo aspoň jednomu vnutíme mód trunk.

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 40 Summary  VLANS Allow to logically group devices Used to segment broadcast domains Benefits of VLANs » Cost reduction » Security » Higher performance » Better management » Broadcast reduction

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 41 Summary  Types of Traffic on a VLAN Data Voice Network protocol Network management  Communication between different VLANs requires the use of routers

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 42 Summary  Trunks A common conduit used by multiple VLANS for intra- VLAN communication  IEEE 802.1Q (dot1q) –The standard trunking protocol –Uses frame tagging to identify the VLAN to which a frame belongs –Does not tag native VLAN traffic

© 2006 Cisco Systems, Inc. All rights reserved.Cisco PublicITE 1 Chapter 6 43