Войти
A виртуальная локальная сеть (VLAN ) - это любой широковещательный домен, который разделен и изолирован в компьютерной сети на канальном уровне (OSI level 2 ). LAN - это сокращение от локальной сети, и в этом контексте виртуальная относится к физическому объекту, воссозданному и измененному с помощью дополнительной логики. Сети VLAN применяют теги к сетевым кадрам и обрабатывают эти теги в сетевых системах, создавая внешний вид и функциональные возможности сетевого трафика, который физически находится в одной сети, но действует так, как будто он разделен между отдельными сетями. Таким образом, виртуальные локальные сети могут разделять сетевые приложения, несмотря на то, что они подключены к одной и той же физической сети, и без необходимости развертывания нескольких наборов кабелей и сетевых устройств.
VLAN позволяют администраторам сети группировать узлы вместе, даже если узлы не подключены напрямую к одному и тому же сетевому коммутатору. Поскольку членство в VLAN можно настроить с помощью программного обеспечения, это может значительно упростить проектирование сети и развертывание. Без VLAN для группировки хостов в соответствии с их ресурсами требуется перемещение узлов или переподключение каналов передачи данных. Сети VLAN позволяют устройствам, которые должны храниться отдельно, совместно использовать кабели физической сети и при этом не допускать прямого взаимодействия друг с другом. Такое управляемое совместное использование дает выигрыш в простоте, безопасности, управлении трафиком и экономии. Например, виртуальная локальная сеть может использоваться для разделения трафика внутри компании на основе отдельных пользователей или групп пользователей или их ролей (например, сетевых администраторов) или на основе характеристик трафика (например, трафик с низким приоритетом не может влиять на остальную часть сети). сети). Многие службы интернет-хостинга используют виртуальные локальные сети для разделения частных зон клиентов друг от друга, что позволяет группировать серверы каждого клиента в один сегмент сети, независимо от того, где находятся отдельные серверы в центре обработки данных. Некоторые меры предосторожности необходимы для предотвращения «утечки» трафика из данной VLAN, эксплойт, известный как скачкообразная перестройка VLAN.
. Чтобы разделить сеть на VLAN, нужно настроить сетевое оборудование. Более простое оборудование может разделять только каждый физический порт (если даже так), и в этом случае каждая VLAN работает по выделенному сетевому кабелю. Более сложные устройства могут помечать кадры с по тегами VLAN, так что одно межсоединение (trunk ) может использоваться для транспортировки данных для нескольких VLAN. Поскольку VLAN совместно используют полосу пропускания, магистраль VLAN может использовать агрегацию каналов, приоритизацию качества обслуживания или и то, и другое для эффективной маршрутизации данных.
VLAN решают такие проблемы, как масштабируемость, безопасность и управление сетью. Сетевые архитекторы настраивают VLAN для обеспечения сегментации сети. Маршрутизаторы между VLAN фильтруют широковещательный трафик, повышают сетевую безопасность, выполняют суммирование адресов и уменьшают перегрузку сети.
В сети, использующей широковещательные передачи для обнаружение службы, назначение адреса и разрешение и другие службы, поскольку количество одноранговых узлов в сети растет, частота широковещательных рассылок также увеличивается. Сети VLAN могут помочь в управлении широковещательным трафиком, формируя несколько широковещательных доменов. Разделение большой сети на более мелкие независимые сегменты снижает объем широковещательного трафика, который приходится нести каждому сетевому устройству и сетевому сегменту. Коммутаторы не могут передавать сетевой трафик между VLAN, поскольку это нарушит целостность широковещательного домена VLAN.
VLAN также могут помочь в создании нескольких сетей уровня 3 в единой физической инфраструктуре. Сети VLAN представляют собой конструкции канального уровня (уровень 2 OSI), аналогичные Интернет-протоколу (IP) подсети, которые являются сетевым уровнем ( OSI слой 3) конструкции. В среде, использующей VLAN, часто существует взаимно однозначное отношение между VLAN и IP-подсетями, хотя возможно наличие нескольких подсетей в одной VLAN.
Без возможности VLAN пользователи распределяются по сетям на основе географического расположения и ограничены физической топологией и расстояниями. VLAN могут логически группировать сети, чтобы отделить сетевое местоположение пользователей от их физического местоположения. Используя VLAN, можно контролировать шаблоны трафика и быстро реагировать на перемещения сотрудников или оборудования. VLAN обеспечивают гибкость адаптации к изменениям сетевых требований и упрощают администрирование.
VLAN могут использоваться для разделения локальной сети на несколько отдельных сегментов, например:
Общая инфраструктура, совместно используемая через магистрали VLAN, может обеспечить мера безопасности с большой гибкостью при сравнительно невысокой стоимости. Схемы качества обслуживания могут оптимизировать трафик по магистральным каналам в соответствии с требованиями реального времени (например, VoIP ) или требований с низкой задержкой (например, SAN ). Однако виртуальные локальные сети в качестве решения безопасности следует внедрять с большой осторожностью, так как они могут быть уничтожены, если не будут реализованы тщательно.
В облачных вычислениях VLAN, IP-адреса и MAC-адреса В облаке находятся ресурсы, которыми могут управлять конечные пользователи. Чтобы уменьшить проблемы с безопасностью, размещение виртуальных машин в облаке в VLAN может быть предпочтительнее, чем размещение их непосредственно в Интернете.
Сетевые технологии с возможностями VLAN включают:
После успешных экспериментов с передачей голоса по Ethernet с 1981 по 1984 год д-р У. Дэвид Синкоски присоединился к Bellcore и начал решать проблему увеличения масштаба сетей Ethernet. На скорости 10 Мбит / с Ethernet был быстрее большинства альтернатив в то время. Однако Ethernet был широковещательной сетью, и не было хорошего способа соединить несколько сетей Ethernet вместе. Это ограничивало общую пропускную способность сети Ethernet до 10 Мбит / с, а максимальное расстояние между узлами - до нескольких сотен футов.
Напротив, хотя скорость существующей телефонной сети для отдельных подключений была ограничена до 56 кбит / с (менее одной сотой скорости Ethernet), общая пропускная способность этой сети оценивалась в 1 Тбит / с (100 000 раз больше, чем Ethernet).
Хотя можно было использовать IP-маршрутизацию для соединения нескольких сетей Ethernet вместе, это было дорого и относительно медленно. Синкоски начал искать альтернативы, которые требовали меньшей обработки пакета. В процессе он независимо заново изобрел прозрачный мост, метод, используемый в современных коммутаторах Ethernet. Однако использование коммутаторов для соединения нескольких сетей Ethernet в отказоустойчивом режиме требует наличия избыточных путей через эту сеть, что, в свою очередь, требует конфигурации связующего дерева . Это гарантирует, что существует только один активный путь от любого исходного узла к любому месту назначения в сети. Это приводит к тому, что центрально расположенные коммутаторы становятся узкими местами, ограничивая масштабируемость, поскольку все больше сетей соединяются между собой.
Чтобы облегчить эту проблему, Синкоски изобрел сети VLAN, добавляя тег к каждому кадру Ethernet. Эти теги можно рассматривать как цвета, например красный, зеленый или синий. В этой схеме каждый переключатель может быть назначен для обработки кадров одного цвета и игнорирования остальных. Сети можно соединить тремя остовными деревьями, по одному для каждого цвета. Отправляя сочетание разных цветов кадра, можно улучшить совокупную пропускную способность. Синкоски называл это многодеревным мостом. Он и Чейз Коттон создали и усовершенствовали алгоритмы, необходимые для реализации системы. Этот цвет теперь известен в кадре Ethernet как заголовок IEEE 802.1Q или тег VLAN. Хотя виртуальные локальные сети обычно используются в современных сетях Ethernet, они не используются в том виде, в котором они изначально предполагались.
В 2003 году сети Ethernet VLAN были описаны в первой редакции стандарта IEEE 802.1Q. Это было расширено с помощью IEEE 802.1ad, чтобы разрешить вложенные теги VLAN в сервисе моста поставщика. Этот механизм был улучшен с помощью IEEE 802.1ah-2008.
Первые разработчики сетей часто сегментировали физические локальные сети с целью уменьшения размера области конфликтов Ethernet - тем самым повышая производительность. Когда коммутаторы Ethernet сделали это не проблемой (поскольку каждый порт коммутатора является доменом конфликтов), внимание было обращено на уменьшение размера уровня канала передачи данных широковещательного домена. Впервые сети VLAN использовались для разделения нескольких широковещательных доменов на одной физической среде. VLAN также может служить для ограничения доступа к сетевым ресурсам безотносительно к физической топологии сети.
VLAN работают на канальном уровне модели OSI. Администраторы часто настраивают виртуальную локальную сеть для прямого сопоставления с IP-сетью или подсетью, что создает впечатление задействования сетевого уровня. Как правило, виртуальным локальным сетям в пределах одной организации будут назначены разные неперекрывающиеся диапазоны сетевых адресов. Это не требование сетей VLAN. Нет проблем с отдельными VLAN, использующими идентичные перекрывающиеся диапазоны адресов (например, каждая из двух VLAN использует частную сеть 192.168.0.0/16). Однако невозможно маршрутизировать данные между двумя сетями с перекрывающимися адресами без тонкого переназначения IP, поэтому, если целью виртуальных локальных сетей является сегментация более крупной общей организационной сети, неперекрывающиеся адреса должны использоваться в каждой отдельной VLAN.
У базового коммутатора, не настроенного для VLAN, функциональность VLAN отключена или постоянно включена с VLAN по умолчанию, которая содержит все порты на устройстве в качестве членов. VLAN по умолчанию обычно использует идентификатор VLAN 1. Каждое устройство, подключенное к одному из своих портов, может отправлять пакеты любому из других. Разделение портов по группам VLAN разделяет их трафик очень похоже на подключение каждой группы с использованием отдельного коммутатора для каждой группы.
Для удаленного управления коммутатором необходимо, чтобы административные функции были связаны с одной или несколькими настроенными VLAN.
В контексте виртуальных локальных сетей термин магистраль обозначает сетевой канал, по которому передаются несколько виртуальных локальных сетей, которые идентифицируются метками (или тегами), вставленными в их пакеты. Такие соединительные линии должны проходить между помеченными портами устройств с поддержкой VLAN, поэтому они часто являются ссылками «коммутатор-коммутатор» или «коммутатор-маршрутизатор, а не ссылками на хосты. (Обратите внимание, что термин «магистраль» также используется для того, что Cisco называет «каналами»: Link Aggregation или Port Trunking ). Маршрутизатор (устройство уровня 3) служит магистралью для сетевого трафика, проходящего через разные VLAN. Тегирование используется только тогда, когда группа портов VLAN должна быть расширена на другое устройство. Поскольку связь между портами на двух разных коммутаторах осуществляется через порты восходящей связи каждого задействованного коммутатора, каждая VLAN, содержащая такие порты, также должна содержать порт восходящей связи каждого задействованного коммутатора, а трафик через эти порты должен быть помечен.
Коммутаторы обычно не имеют встроенного метода для указания ассоциаций VLAN с портами кому-либо, работающему в коммутационном шкафу. Техническому специалисту необходимо либо иметь административный доступ к устройству для просмотра его конфигурации, либо диаграммы или схемы назначения портов VLAN, которые должны храниться рядом с переключателями в каждом коммутационном шкафу.
В настоящее время для поддержки виртуальных локальных сетей наиболее часто используется протокол IEEE 802.1Q. Рабочая группа IEEE 802.1 определила этот метод мультиплексирования VLAN для обеспечения поддержки VLAN от различных поставщиков. До введения стандарта 802.1Q существовало несколько проприетарных протоколов , таких как Cisco Inter-Switch Link (ISL) и 3Com Virtual LAN Trunk. (VLT). Cisco также реализовала VLAN через FDDI, передавая информацию о VLAN в заголовке кадра IEEE 802.10, вопреки целям стандарта IEEE 802.10.
Тегирование как ISL, так и IEEE 802.1Q выполняет явное тегирование - сам фрейм тегируется информацией VLAN. ISL использует процесс внешней маркировки, который не изменяет кадр Ethernet, в то время как 802.1Q использует внутреннее поле кадра для маркировки и, следовательно, изменяет базовую структуру кадра Ethernet. Эта внутренняя маркировка позволяет IEEE 802.1Q работать как на каналах доступа, так и на магистральных каналах с использованием стандартного оборудования Ethernet.
Согласно IEEE 802.1Q максимальное количество VLAN в данной сети Ethernet составляет 4094 (4096 значений, предоставленных 12-битным полем VID минус зарезервированные значения на каждом конце диапазона, 0 и 4 095). Это не налагает такого же ограничения на количество IP-подсетей в такой сети, поскольку одна VLAN может содержать несколько IP-подсетей. IEEE 802.1ad увеличивает количество поддерживаемых VLAN, добавляя поддержку нескольких вложенных тегов VLAN. Мост кратчайшего пути (IEEE 802.1aq) расширяет ограничение VLAN до 16 миллионов.
Связь между коммутаторами (ISL) - это проприетарный протокол Cisco, используемый для соединения коммутаторов и поддержки информации VLAN при передаче трафика между коммутаторами по магистральным каналам. ISL предоставляется как альтернатива IEEE 802.1Q. ISL доступен только на некотором оборудовании Cisco и объявлен устаревшим.
VLAN Trunking Protocol (VTP) - это проприетарный протокол Cisco, который распространяет определение VLAN на весь локальный вычислительная сеть. VTP доступен в большинстве продуктов семейства Cisco Catalyst. Сравнимый стандарт IEEE, используемый другими производителями, - это протокол регистрации GARP VLAN (GVRP) или более поздний протокол регистрации нескольких VLAN (MVRP).
Протокол регистрации нескольких VLAN - это приложение протокола множественной регистрации, которое позволяет автоматически настраивать информацию о VLAN на сетевых коммутаторах. В частности, он предоставляет метод для динамического обмена информацией о VLAN и настройки необходимых VLAN.
Мост по кратчайшему пути позволяет использовать до 16 миллионов по сравнению с ограничением в 4094 VLAN с 802.1Q.
Членство в VLAN может быть установлено статически или динамически.
Статические VLAN также называются VLAN на основе портов. Статические назначения VLAN создаются путем назначения портов VLAN. Когда устройство входит в сеть, оно автоматически принимает VLAN порта. Если пользователь меняет порты и ему требуется доступ к той же VLAN, сетевой администратор должен вручную назначить порт для VLAN для нового соединения.
Динамические сети VLAN создаются с помощью программного обеспечения или протокола. С помощью сервера политики управления VLAN (VMPS) администратор может динамически назначать порты коммутатора VLAN на основе такой информации, как исходный MAC-адрес устройства, подключенного к порту, или имя пользователя, используемое для входа на это устройство.. Когда устройство входит в сеть, коммутатор запрашивает у базы данных членство в VLAN порта, к которому подключено устройство. Методы протокола включают протокол регистрации нескольких VLAN (MVRP) и несколько устаревший протокол регистрации VLAN GARP (GVRP).
В коммутаторе, поддерживающем VLAN на основе протокола, трафик может обрабатываться на основе его протокола. По сути, это разделяет или перенаправляет трафик от порта в зависимости от конкретного протокола этого трафика; трафик любого другого протокола не пересылается на порт. Это позволяет, например, автоматически разделять трафик IP и IPX в сети.
Кросс-соединение VLAN (CC или VLAN-XC) - это механизм, используемый для создания коммутируемых VLAN, VLAN CC использует кадры IEEE 802.1ad, где S Tag используется в качестве метки как в MPLS. IEEE одобряет использование такого механизма в части 6.11 IEEE 802.1ad-2005.
