VLAN-er er overalt. Du kan finne dem i de fleste organisasjoner med et riktig konfigurert nettverk. I tilfelle det ikke var opplagt, står VLAN for "Virtual Local Area Network", og de er allestedsnærværende i ethvert moderne nettverk utover størrelsen på et lite hjem eller veldig lite kontornettverk.
Det er noen få forskjellige protokoller, hvorav mange er leverandørspesifikke, men i kjernen gjør hver VLAN mye av det samme og fordelene med VLAN-skalaen etter hvert som nettverket ditt vokser i størrelse og organisatorisk kompleksitet.
Disse fordelene er en stor del av hvorfor VLAN-er er så sterkt avhengige av profesjonelle nettverk i alle størrelser. Det ville faktisk være vanskelig å administrere eller skalere nettverk uten dem.
Fordelene og skalerbarheten med VLAN-er forklarer hvorfor de har blitt så allestedsnærværende i moderne nettverksmiljøer. Det ville være vanskelig å administrere eller skalere selv moderat komplekse nettverk med brukeren av VLAN-er.
Hva er et VLAN?
Hurtigkoblinger
- Hva er et VLAN?
- Hvordan det fungerer
- VLAN vs. Subnet
- IP-adresse subnett
- VLAN
- VLAN vs. Subnet
- Fordeler med VLAN-er
- Statiske vs. dynamiske VLAN-er
- Statisk VLAN
- Dynamisk VLAN
- Sette opp et VLAN
- Hva trenger du
- Router
- Managed Switch
- Client Network Interface Cards (NICs)
- Grunnleggende konfigurasjon
- Sette opp ruteren
- Konfigurere bryterne
- Koble til kunder
- Hva trenger du
- VLAN hjemme
Ok, så du vet forkortelsen, men hva er egentlig et VLAN? Det grunnleggende konseptet skal være kjent for alle som har jobbet med eller brukt virtuelle servere.
Tenk et øyeblikk hvordan virtuelle maskiner fungerer. Flere virtuelle servere er innenfor ett fysisk maskinvare som kjører et operativsystem og hypervisor for å opprette og kjøre virtuelle servere på den fysiske serveren. Gjennom virtualisering er du i stand til effektivt å gjøre en enkelt fysisk datamaskin om til flere virtuelle datamaskiner som hver er tilgjengelig for separate oppgaver og brukere.
Virtuelle LAN fungerer på samme måte som virtuelle servere. En eller flere administrerte brytere kjører programvaren (ligner på hypervisor-programvare) som lar bryterne opprette flere virtuelle brytere i ett fysisk nettverk.
Hver virtuelle bryter er sitt eget, selvforsynt nettverk. Hovedforskjellen mellom virtuelle servere og virtuelle LAN er at virtuelle LAN kan distribueres over flere fysiske maskinvarestykker med en utpekt kabel som kalles en bagasjerom.
Hvordan det fungerer
Se for deg at du driver et nettverk for en voksende liten bedrift, legger til ansatte, deler inn i separate avdelinger og blir mer sammensatt og organisert.
For å svare på disse endringene oppgraderte du til en 24-porters bryter for å få plass til nye enheter i nettverket.
Du kan vurdere å bare kjøre en Ethernet-kabel til hver av de nye enhetene og kalle oppgaven som er gjort, men problemet er at fillagring og tjenester som brukes av hver avdeling, må holdes adskilt. VLAN-er er den beste måten å gjøre det på.
Innenfor nettgrensesnittet til bryteren, kan du konfigurere tre separate VLAN-er, en for hver avdeling. Den enkleste måten å dele dem på er ved portnumre. Du kan tilordne porter 1-8 til den første avdelingen, tilordne porter 9-16 til den andre avdelingen og til slutt tilordne porter 17-24 g til den siste avdelingen. Nå har du organisert det fysiske nettverket i tre virtuelle nettverk.
Programvaren på bryteren kan administrere trafikken mellom klientene i hver VLAN. Hver VLAN fungerer som sitt eget nettverk og kan ikke samhandle direkte med de andre VLAN-ene. Nå har hver avdelinger sitt eget mindre, mindre rotete og mer effektive nettverk, og du kan administrere dem alle gjennom samme maskinvare. Dette er en veldig effektiv og kostnadseffektiv måte å administrere et nettverk på.
Når du trenger at avdelingene skal kunne samhandle, kan du få dem til å gjøre det gjennom ruteren på nettverket. Ruteren kan regulere og kontrollere trafikken mellom VLAN-ene og håndheve sterkere sikkerhetsregler.
I mange tilfeller vil avdelingene trenge å samarbeide og samhandle. Du kan implementere kommunikasjon mellom de virtuelle nettverk gjennom ruteren, sette sikkerhetsregler for å sikre passende sikkerhet og personvern for de enkelte virtuelle nettverk.
VLAN vs. Subnet
VLAN-er og undernett er faktisk ganske like og har lignende funksjoner. Både undernett og VLAN-er deler opp nettverk og kringkastingsdomener. I begge tilfeller kan samhandling mellom underinndelinger bare skje gjennom en ruter.
Forskjellene mellom dem kommer i form av implementeringen og hvordan de endrer nettverksstruktur.
IP-adresse subnett
Undernett finnes i lag 3 av OSI-modellen, nettverkslaget. Undernett er et nettverkskonstruksjon og håndteres med rutere, organisering rundt IP-adresser.
Rutere har utvalg av IP-adresser og forhandler om forbindelsene mellom dem. Dette legger stresset fra nettverksadministrasjon på ruteren. Undernett kan også bli komplisert når nettverket skaleres opp i størrelse og kompleksitet.
VLAN
VLAN-er finner hjemmet sitt på lag 2 av OSI-modellen. Datalinknivået er nærmere maskinvaren og mindre abstrakt. Virtuelle LANs emulerer maskinvare som fungerer som forskjellige brytere.
Imidlertid er virtuelle LAN-er i stand til å bryte opp kringkastede domener uten å måtte koble seg tilbake til en ruter, noe som tar noen av administrasjonsbelastningene av ruteren.
Fordi VLAN-er er deres virtuelle nettverk, må de oppføre seg noe som om de har en innebygd ruter. Som et resultat inneholder VLAN-er minst ett undernett, og kan støtte flere undernett.
VLAN-er distribuerer nettverksbelastning, og. flere brytere kan håndtere trafikk i VLAN uten å involvere ruteren, noe som gir et mer effektivt system.
Fordeler med VLAN-er
Nå har du allerede sett et par av fordelene som VLAN gir bordet. Bare i kraft av det de gjør, har VLAN-er en rekke verdifulle attributter.
VLAN-er hjelper med sikkerhet. Kompartisjonerende trafikk begrenser muligheten for uautorisert tilgang til deler av et nettverk. Det hjelper også til å stoppe spredningen av ondsinnet programvare, hvis noen skulle finne veien til nettverket. Potensielle inntrengere kan ikke bruke verktøy som Wireshark for å snuse ut pakker på andre steder enn det virtuelle LANet de er på, noe som også begrenser den trusselen.
Nettverkseffektivitet er en stor avtale. Det kan spare eller koste en bedrift tusenvis av dollar å implementere VLAN-er. Å bryte opp kringkastede domener øker nettverkseffektiviteten kraftig ved å begrense antall enheter involvert i kommunikasjon på en gang. VLAN reduserer behovet for å distribuere rutere for å administrere nettverk.
Ofte velger nettverksingeniører å konstruere virtuelle LAN på en tjeneste per basis, og skiller ut viktig eller nettverksintensiv trafikk som et Storage Area Network (SAN) eller Voice over IP (VOIP). Noen brytere lar også en administrator prioritere VLAN-er, noe som gir mer ressurser til mer krevende og manglende kritisk trafikk.
Det ville være forferdelig å trenge å bygge et uavhengig fysisk nettverk for å skille ut trafikken. Se for deg den viklede kabelen som du må kjempe for å gjøre endringer. Det er for å si ingenting for de økte maskinvarekostnadene og strømtrekkingen. Det ville også være veldig ufleksibelt. VLAN-er løser alle disse problemene ved å virtualisere flere brytere på en enkelt maskinvare.
VLAN-er gir en høy grad av fleksibilitet til nettverksadministratorer gjennom et praktisk programvaregrensesnitt. Si at to avdelinger bytter kontor. Må IT-ansatte flytte rundt på maskinvare for å imøtekomme endringen? Nei. De kan bare tilordne portene på bryterne til riktige VLAN-er. Noen VLAN-konfigurasjoner vil ikke engang kreve det. De ville tilpasse seg dynamisk. Disse VLAN-ene krever ikke tildelte porter. I stedet er de basert på MAC- eller IP-adresser. Uansett er det ikke nødvendig å stokke brytere eller kabler. Det er mye mer effektivt og kostnadseffektivt å implementere en programvareløsning for å endre plasseringen av et nettverk enn å flytte den fysiske maskinvaren.
Statiske vs. dynamiske VLAN-er
Det er to grunnleggende typer VLAN-er, kategorisert etter hvordan maskiner er koblet til dem. Hver type har styrker og svakheter som bør tas i betraktning basert på den spesielle nettverkssituasjonen.
Statisk VLAN
Statiske VLAN-er blir ofte referert til som portbaserte VLAN-er fordi enheter blir med ved å koble til en tildelt port. Denne guiden har bare brukt statiske VLAN-er som eksempler hittil.
Ved å sette opp et nettverk med statiske VLAN-er, ville en ingeniør dele opp en bryter ved portene og tilordne hver port til et VLAN. Enhver enhet som kobles til den fysiske porten, blir med i VLAN.
Statiske VLAN-er gir veldig enkle og enkle å konfigurere nettverk uten for mye avhengighet av programvare. Imidlertid er det vanskelig å begrense tilgangen på et fysisk sted fordi en person ganske enkelt kan koble til. Statiske VLAN-er krever også en nettverksadministrator for å endre portoppdrag i tilfelle noen på nettverket endrer fysiske steder.
Dynamisk VLAN
Dynamiske VLAN-er er avhengige av programvare og tillater høy grad av fleksibilitet. En administrator kan tilordne MAC- og IP-adresser til spesifikke VLAN-er, noe som tillater ubehagelig bevegelse i det fysiske rommet. Maskiner i et dynamisk virtuelt LAN kan bevege seg hvor som helst i nettverket og forbli på samme VLAN.
Selv om dynamiske VLAN-er er uslåelige når det gjelder tilpasningsevne, har de noen alvorlige ulemper. En high-end bryter må påta seg rollen som en server kjent som en VLAN Management Policy Server (VMPS) (for å lagre og levere adresseinformasjon til de andre bryterne i nettverket. En VMPS, som enhver server, krever regelmessig styring og vedlikehold og er underlagt mulig driftsstans.
Angripere kan forfalske MAC-adresser og få tilgang til dynamiske VLAN-er, og legge til en annen potensiell sikkerhetsutfordring.
Sette opp et VLAN
Hva trenger du
Det er et par grunnleggende elementer som du trenger for å sette opp en VLAN eller flere VLAN-er. Som nevnt før, er det en rekke forskjellige standarder, men den mest universelle er IEEE 802.1Q. Det er den som dette eksemplet vil følge.
Router
Teknisk trenger du ikke en ruter for å sette opp et VLAN, men hvis du vil at flere VLANer skal samhandle, trenger du en ruter.
Mange moderne rutere støtter VLAN-funksjonalitet i en eller annen form. Hjemmetrutere støtter kanskje ikke VLAN eller støtter det bare i en begrenset kapasitet. Tilpasset firmware som DD-WRT støtter den mer grundig.
Når vi snakker om tilpasset, trenger du ikke en ruteplan for å fungere med de virtuelle LAN-ene. Egendefinert ruter firmware er vanligvis basert på et Unix-lignende operativsystem som Linux eller FreeBSD, slik at du kan bygge din egen ruter ved å bruke ett av disse open source-operativsystemene.
All rutingfunksjonaliteten du trenger er tilgjengelig for Linux, og du kan tilpasse konfigurering av en Linux-installasjon for å skreddersy ruteren din til å tilfredsstille dine spesifikke behov. Se på pfSense for noe som er mer funksjonsfullt. pfSense er en utmerket distribusjon av FreeBSD bygget for å være en robust open source routing-løsning. Den støtter VLAN-er og inkluderer en brannmur for bedre å sikre trafikken mellom de virtuelle nettverkene dine.
Uansett hvilken rute du velger, må du sørge for at den støtter VLAN-funksjonene du trenger.
Managed Switch
Brytere er kjernen i VLAN-nettverk. Det er der magien skjer. Du trenger imidlertid en administrert bryter for å kunne dra nytte av VLAN-funksjonaliteten.
For å ta ting et nivå høyere, bokstavelig talt, er det lag 3-administrerte brytere tilgjengelig. Disse bryterne er i stand til å håndtere litt lag 3-nettverkstrafikk og kan ta plassen til en ruter i noen situasjoner.
Det er viktig å huske på at disse bryterne ikke er rutere, og funksjonaliteten deres er begrenset. Layer 3-brytere reduserer sannsynligheten for nettverksforsinkelse, noe som kan være kritisk i noen miljøer der det er viktig å ha et nettverk med svært lav latens.
Client Network Interface Cards (NICs)
NIC-er som du bruker på klientmaskinene dine, bør støtte 802.1Q. Sjansen er at de gjør det, men det er noe å se nærmere på før du går videre.
Grunnleggende konfigurasjon
Her er den vanskelige delen. Det er tusenvis av forskjellige muligheter for hvordan du kan konfigurere nettverket. Ingen enkelt guide kan dekke dem alle. I hjertet er ideene bak nesten enhver konfigurasjon de samme, og det samme er den generelle prosessen.
Sette opp ruteren
Du kan komme i gang på et par forskjellige måter. Du kan enten koble ruteren til hver bryter eller til hver VLAN. Hvis du velger bare hver bryter, må du konfigurere ruteren for å skille trafikken.
Du kan deretter konfigurere ruteren din til å håndtere passerende trafikk mellom VLAN-er.
Konfigurere bryterne
Forutsatt at dette er statiske VLAN-er, kan du gå inn i bryterenes VLAN-administrasjonsverktøy gjennom webgrensesnittet og begynne å tilordne porter til forskjellige VLAN-er. Mange brytere bruker et bordoppsett som lar deg sjekke av alternativene for portene.
Hvis du bruker flere brytere, tilordner du en av portene til alle VLAN-ene og angi den som en bagasjeromsport. Gjør dette på hver bryter. Bruk deretter portene til å koble deg mellom bryterne og spre VLAN-ene over flere enheter.
Koble til kunder
Endelig er det ganske selvforklarende å få klienter i nettverket. Koble klientmaskinene dine til portene som tilsvarer VLAN-ene du vil ha dem på.
VLAN hjemme
Selv om det kanskje ikke blir sett på som en logisk kombinasjon, har VLAN-er faktisk en flott applikasjon på hjemmenettverksområdet, gjestenettverk. Hvis du ikke har lyst til å sette opp et WPA2 Enterprise-nettverk i hjemmet og enkeltvis opprette innloggingsinformasjon for dine venner og familie, kan du bruke VLAN-er for å begrense tilgangen til gjestene dine til filene og tjenestene på hjemmenettverket.
Mange avanserte hjemmerutere og firmware for tilpasset ruter støtter oppretting av grunnleggende VLAN-er. Du kan sette opp en gjest-VLAN med sin egen påloggingsinformasjon for å la vennene dine koble til sine mobile enheter. Hvis ruteren din støtter den, er en gjest-VLAN et flott ekstra sikkerhetslag for å forhindre at vennens virus-piskede bærbare datamaskin skader opp det rene nettverket.
