VLAN: red de área local virtual. Introducción. VLAN nativa

Y conmutadores que le permiten crear varias redes locales virtuales en una interfaz de red física (Ethernet, interfaz Wi-Fi). Las VLAN se utilizan para crear una topología de red lógica que es independiente de la topología física.

Ejemplos de uso de VLAN

Conexión de computadoras conectadas a diferentes conmutadores en una sola red.
Digamos que tiene computadoras que están conectadas a diferentes conmutadores, pero es necesario combinarlas en una sola red. Conectaremos algunas computadoras a una red local virtual VLAN 1 y otras a una red VLAN 2. Gracias a la función VLAN, las computadoras de cada red virtual funcionarán como si estuvieran conectadas al mismo conmutador. Las computadoras de diferentes redes virtuales VLAN 1 y VLAN 2 serán invisibles entre sí.

Dividir las computadoras conectadas al mismo conmutador en diferentes subredes.
En la figura, las computadoras están conectadas físicamente al mismo conmutador, pero separadas en diferentes redes virtuales VLAN 1 y VLAN 2. Las computadoras de diferentes subredes virtuales serán invisibles entre sí.

Separación de la red Wi-Fi para invitados y la red Wi-Fi empresarial.
En la figura, un punto de acceso Wi-Fi está conectado físicamente al enrutador. En el lugar se han creado dos puntos Wi-Fi virtuales con los nombres HotSpot y Office. Las computadoras portátiles de los invitados se conectarán a HotSpot a través de Wi-Fi para acceder a Internet, y las computadoras portátiles empresariales se conectarán a Office. Por motivos de seguridad, es importante que los portátiles invitados no tengan acceso a la red empresarial. Para hacer esto, las computadoras empresariales y el punto Wi-Fi virtual de Office se combinan en una red local virtual VLAN 1, y las computadoras portátiles invitadas se ubicarán en una red virtual VLAN 2. Las computadoras portátiles invitadas de la red VLAN 2 no tendrán acceso a Red empresarial VLAN 1.

Ventajas de usar VLAN

División flexible de dispositivos en grupos
Como regla general, una VLAN corresponde a una subred. Las computadoras ubicadas en diferentes VLAN estarán aisladas entre sí. También puede combinar computadoras conectadas a diferentes conmutadores en una red virtual.

Reducir el tráfico de transmisión en la red.
Cada VLAN representa un dominio de difusión independiente. El tráfico de transmisión no se transmitirá entre diferentes VLAN. Si configura la misma VLAN en diferentes conmutadores, los puertos de diferentes conmutadores formarán un dominio de transmisión.

Mayor seguridad y capacidad de gestión de la red.
En una red dividida en subredes virtuales, es conveniente aplicar políticas y reglas de seguridad para cada VLAN. La política se aplicará a toda la subred, en lugar de a un dispositivo individual.

Reducir el número de equipos y cables de red.
Para crear una nueva red local virtual, no es necesario comprar un conmutador ni instalar un cable de red. Sin embargo, debería utilizar conmutadores administrados más caros con soporte VLAN.

Imaginemos esta situación. Disponemos de una oficina para una pequeña empresa con 100 ordenadores y 5 servidores. Al mismo tiempo, esta empresa emplea varias categorías de empleados: gerentes, contables, encargados de personal, especialistas técnicos, administradores. Es necesario que cada departamento trabaje en su propia subred. ¿Cómo delimitar el tráfico de esta red? En general, existen dos métodos de este tipo: el primer método es dividir el conjunto de direcciones IP en subdivisiones y asignar su propia subred para cada departamento, el segundo método es utilizar una VLAN.

VLAN (Red de área local virtual) es un grupo de nodos de red cuyo tráfico, incluida la transmisión, está completamente aislado a nivel de enlace de datos del tráfico de otros nodos de la red. En las redes modernas, VLAN es el mecanismo principal para crear una topología de red lógica que es independiente de su topología física.

La tecnología VLAN se define en IEEE 802.1q, un estándar abierto que describe el procedimiento de etiquetado para transmitir información de membresía de VLAN. 802.1q coloca una etiqueta dentro de una trama Ethernet que transmite información sobre la membresía del tráfico en una VLAN.

Veamos los campos de VLAN TAG:

• TPID (Identificador de protocolo de etiqueta): identificador de protocolo de etiquetado. Indica qué protocolo se utiliza para etiquetar. Para 802.1Q el valor es 0x8100.
• Prioridad - prioridad. Se utiliza para establecer la prioridad del tráfico transmitido (QoS).
• CFI (Indicador de formato canoncial): indica el formato de la dirección MAC (Ethernet o Token Ring).
• VID (identificador de VLAN): identificador de VLAN. Indica a qué VLAN pertenece la trama. Puede establecer un número del 0 al 4094.

Al enviar tramas, la computadora no sabe en qué VLAN se encuentra; el conmutador lo hace. El conmutador sabe a qué puerto está conectada la computadora y, en base a esto, determinará en qué VLAN se encuentra esta computadora.

El conmutador tiene dos tipos de puertos:

• Puerto etiquetado (etiquetado, troncal): un puerto a través del cual se puede transmitir o recibir el tráfico de varios grupos de VLAN. Cuando se transmite a través de un puerto etiquetado, se agrega una etiqueta VLAN a la trama. Se utiliza para conectarse a conmutadores, enrutadores (es decir, aquellos dispositivos que reconocen etiquetas VLAN).
• Puerto sin etiquetar (sin etiquetar, acceso): el puerto a través del cual se transmiten tramas sin etiquetar. Se utiliza para conectarse a nodos finales (computadoras, servidores). Cada puerto sin etiquetar está en una VLAN específica. Al transmitir tráfico desde este puerto, la etiqueta VLAN se elimina y el tráfico sin etiquetar va a la computadora (que no reconoce la VLAN). De lo contrario, cuando se recibe tráfico en un puerto sin etiquetar, se le agrega una etiqueta VLAN.

Configuración de VLAN en el switch administrado Dlink DES-3528

La serie de conmutadores xStack DES-3528/3552 incluye conmutadores de acceso L2+ apilables que conectan de forma segura a los usuarios finales con redes de grandes empresas y de pequeñas y medianas empresas (SMB). Los conmutadores proporcionan apilamiento físico, enrutamiento estático, soporte para grupos de multidifusión y funciones de seguridad avanzadas. Todo esto hace de este dispositivo una solución de nivel de acceso ideal. El conmutador se integra fácilmente con conmutadores centrales L3 para formar una estructura de red de varios niveles con una red troncal de alta velocidad y servidores centralizados. Los conmutadores de la serie DES-3528/3552 están equipados con 24 o 48 puertos Ethernet de 10/100 Mbps y admiten hasta 4 puertos de enlace ascendente Gigabit Ethernet.

Veamos los principios de configuración de VLAN en conmutadores Dlink administrados. Durante el trabajo, estudiaremos formas de crear, eliminar, cambiar VLAN y agregar diferentes tipos de puertos (etiquetados y sin etiquetar).

La conexión al conmutador se realiza a través del puerto de la consola utilizando el programa HyperTerminal.

Usando el comando show vlan, veremos información sobre las VLAN existentes.

En la figura anterior, puede ver que inicialmente solo se crea una VLAN predeterminada en el conmutador, denominada predeterminada. El comando show vlan muestra los siguientes campos:

• VID: identificador de VLAN
• Tipo de VLAN – tipo de VLAN
• Puertos miembros – puertos participantes
• Puertos estáticos – puertos estáticos
• Puertos etiquetados actuales: puertos etiquetados actuales
• Puertos actuales sin etiquetar – puertos actuales sin etiquetar
• Puertos etiquetados estáticos: puertos etiquetados estáticos
• Puertos estáticos sin etiquetar: puertos estáticos sin etiquetar
• Entradas totales – entradas totales
• Nombre de VLAN: nombre de VLAN
• Anuncio – estado

Creemos una nueva VLAN, en la que se usan las iniciales AA como nombre y el número 22 como identificador. Para hacer esto, usaremos el comando crear vlan.

La nueva VLAN aún no incluye un solo puerto. Usando config vlan, cambiaremos la VLAN AA para que aparezcan en ella los puertos etiquetados 10, 14-17 y los puertos no etiquetados 2-5.

Usando el comando show vlan mostraremos información sobre las VLAN creadas.

Se sabe que los puertos etiquetados se pueden incluir en varias VLAN y los puertos no etiquetados solo se pueden incluir en una VLAN. Actualmente, tanto los puertos etiquetados como los no etiquetados se incluyen en la VLAN y VLAN AA predeterminadas. Usando el comando config vlan, eliminaremos todos los puertos utilizados en VLAN AA de la VLAN predeterminada.

En la figura anterior puede ver que ahora los puertos 2-5, 10, 14-17 están solo en VLAN AA.

Consideremos dividir la red en diferentes VLAN. Se ha montado un circuito en el armario de cableado y se ha configurado la subred 10.0.0.0 /8.

En el momento inicial, todas las computadoras están en la misma subred y hacen ping entre sí. Es necesario separarlos para que PC22, PC20, PC18 estén en una VLAN y PC 19, PC21 estén en otra VLAN. Para ello, creamos dos VLAN:

• VLAN=10 denominada net1 (PC18, PC20, PC22)
• VLAN=20 denominada net2 (PC19, PC21)

Con base en el diagrama, se desarrolló un plan de configuración de puertos para los conmutadores. Se tuvo en cuenta que era necesario utilizar puertos no etiquetados para las computadoras y puertos etiquetados para las conexiones entre conmutadores. Al configurar los conmutadores, los puertos etiquetados se colocaron en VLAN=10 y VLAN=20, y los puertos sin etiquetar se colocaron solo en la VLAN a la que pertenece la computadora.

En cada uno de los conmutadores, debe configurar los puertos de acuerdo con el diagrama. La siguiente figura muestra un ejemplo de configuración de SW5. Primero, se crea una vlan con el identificador net1 y la etiqueta 10. Luego, creamos la segunda vlan net2 con la etiqueta 20. Después de eso, agregamos los puertos del switch a las vlan correspondientes. El puerto 1 está conectado a la PC22, que se encuentra en la VLAN 10. Esto significa que 1 puerto quedará sin etiquetar. El segundo puerto según el diagrama está conectado a SW4 y debe pasar a través de 10 y 20 VLAN.

Los conmutadores restantes se configuran de manera similar.

Usando el comando show vlan, veremos cada una de las VLAN que creamos.

La funcionalidad de los conmutadores modernos le permite organizar redes virtuales (VLAN) para crear una infraestructura de red flexible.

Actualmente, las redes VLAN aún no se utilizan mucho, especialmente en pequeñas redes corporativas. Esto se debe en gran medida al hecho de que configurar conmutadores para organizar redes VLAN es una tarea muy difícil, especialmente si la infraestructura de la red incluye varios conmutadores. Además, la configuración de los conmutadores al crear redes VLAN, así como la configuración de otras funciones, puede diferir significativamente entre conmutadores de diferentes empresas, por lo que fabricantes conocidos de equipos de red, como Cisco, HP, 3Com , Allied Telesyn, Avaya, organizan cursos especiales sobre cómo trabajar con sus equipos. Está claro que simplificar la configuración de su equipo, hacer que este proceso sea intuitivo y sencillo, y más aún desarrollar acuerdos comunes y una interfaz única para configurar equipos de diferentes fabricantes claramente no redunda en interés de los propios fabricantes, pero los usuarios sí lo están. capaz de comprender de forma independiente muchas de las capacidades de los conmutadores. Por lo tanto, en este artículo veremos las capacidades de los conmutadores modernos para organizar redes virtuales y hablaremos sobre los principios básicos de su configuración.

Propósito de las redes virtuales

Una VLAN virtual (Virtual LAN) es un grupo de nodos de red que forman un dominio de tráfico de difusión (Broadcast Domain). Esta definición es bastante correcta, pero no muy informativa, por lo que intentaremos interpretar el concepto de red virtual de una manera un poco diferente.

Al crear una red local basada en un conmutador, a pesar de la posibilidad de utilizar filtros personalizados para limitar el tráfico, todos los nodos de la red representan un único dominio de transmisión, es decir, el tráfico de transmisión se transmite a todos los nodos de la red. Por lo tanto, el conmutador inicialmente no restringe el tráfico de transmisión y las redes en sí, construidas según este principio, se denominan planas.

Aislar nodos de red individuales a nivel de enlace de datos utilizando tecnología de red virtual le permite resolver varios problemas simultáneamente. En primer lugar, las redes virtuales mejoran el rendimiento de la red al localizar el tráfico de transmisión dentro de la red virtual y crear una barrera contra las tormentas de transmisión. Conmuta paquetes de difusión (así como paquetes de multidifusión y desconocidos) dentro de una red virtual, pero no entre redes virtuales.

En segundo lugar, aislar las redes virtuales entre sí a nivel de enlace le permite aumentar la seguridad de la red al hacer que algunos recursos sean inaccesibles para ciertas categorías de usuarios.

Tipos de redes virtuales

Desde la aparición del estándar generalmente aceptado para organizar redes virtuales IEEE 802.1Q, cada fabricante de equipos de red ha utilizado su propia tecnología de organización de VLAN. Este enfoque tenía un inconveniente importante: las tecnologías de un fabricante eran incompatibles con las tecnologías de otras empresas. Por lo tanto, al construir redes virtuales basadas en varios conmutadores, era necesario utilizar únicamente equipos de un fabricante. La adopción del estándar de red virtual IEEE 802.1Q permitió superar el problema de incompatibilidad, pero todavía hay conmutadores que no son compatibles con el estándar IEEE 802.1Q o, además de la capacidad de organizar redes virtuales según IEEE. Estándar 802.1Q, proporciona otras tecnologías.

Hay varias formas de construir redes virtuales, pero hoy en día los conmutadores implementan principalmente tecnología de agrupación de puertos o utilizan la especificación IEEE 802.1Q.

Redes virtuales basadas en agrupación de puertos.

Este método de creación de redes virtuales es bastante sencillo y, por regla general, no causa problemas. Cada puerto del switch está asignado a una u otra red virtual, es decir, los puertos se agrupan en redes virtuales. La decisión de reenviar un paquete de red en esta red se basa en la dirección MAC del destinatario y su puerto asociado. Si conecta la PC de un usuario a un puerto asignado para pertenecer a una red virtual específica, por ejemplo, VLAN#1, entonces esta PC pertenecerá automáticamente a la red VLAN#1. Si hay un conmutador conectado a este puerto, todos los puertos de este conmutador también pertenecerán a la VLAN#1 (Fig. 1).

Arroz. 1. Redes virtuales creadas utilizando tecnología de agrupación de puertos basada en un conmutador

Cuando se utiliza la tecnología de agrupación de puertos, el mismo puerto se puede asignar simultáneamente a varias redes virtuales, lo que permite implementar recursos compartidos entre usuarios de diferentes redes virtuales. Por ejemplo, para implementar el acceso compartido a una impresora de red o servidor de archivos entre usuarios de redes virtuales VLAN#1 y VLAN#2, el puerto del conmutador al que está conectada la impresora de red o servidor de archivos debe asignarse simultáneamente a VLAN#1 y VLAN. #.2 (Figura 2).

Arroz. 2. Crear un recurso compartido entre varias redes virtuales utilizando tecnología de agrupación de puertos

La tecnología descrita tiene una serie de ventajas en comparación con el uso del estándar IEEE 802.1Q, pero también tiene sus desventajas.

Las ventajas incluyen la facilidad de configuración de redes virtuales. Además, no requiere que los nodos finales de la red admitan el estándar IEEE 802.1Q y, dado que la mayoría de los controladores de red Ethernet no admiten este estándar, puede resultar más fácil organizar una red basada en la agrupación de puertos. Además, con tal organización de redes virtuales, pueden cruzarse, lo que permite crear recursos de red compartidos.

La tecnología para crear redes virtuales basadas en agrupación de puertos se utiliza cuando se utiliza un solo conmutador o una pila de conmutadores con gestión unificada. Sin embargo, si la red es lo suficientemente grande y está construida sobre varios conmutadores, las posibilidades de organizar redes virtuales basadas en la agrupación de puertos tienen limitaciones significativas. En primer lugar, esta tecnología no escala bien y en la mayoría de los casos se limita a un solo conmutador.

Consideremos, como ejemplo, una situación en la que la red se construye sobre la base de dos conmutadores que admiten la tecnología de organización de redes virtuales basada en agrupación de puertos (Fig. 3).

Arroz. 3. Implementación de redes virtuales basadas en agrupación de puertos mediante dos conmutadores

Sea necesario que algunos de los puertos del primer y segundo switch pertenezcan a la VLAN#1, y la otra parte pertenezca a la VLAN#2. Para hacer esto, es necesario, en primer lugar, que ambos conmutadores permitan no solo organizar redes virtuales en función de la agrupación de puertos, sino también distribuir dichas redes a varios conmutadores (no todos los conmutadores tienen tal función), y en segundo lugar, que tantos conmutadores físicos conexiones a medida que se crean redes virtuales. Veamos dos conmutadores de seis puertos. Deje que los puertos 1 y 2 en el primer conmutador pertenezcan a la VLAN#1 y los puertos 3 y 4 a la VLAN#2; en el segundo conmutador, los puertos 1, 2 y 3 se asignan a la VLAN#1, y el puerto 4 se asigna a la VLAN#2. Para que los usuarios de la VLAN n.° 1 en el primer conmutador se comuniquen con los usuarios de la VLAN n.° 1 en el segundo conmutador, los conmutadores deben estar conectados con puertos que pertenecen a la VLAN n.° 1 (por ejemplo, el puerto 5 en el primer y segundo conmutador debe asignarse a la VLAN#1). De manera similar, para comunicarse entre los usuarios de la VLAN#2 del primer conmutador y los usuarios de la VLAN#2 del segundo conmutador, debe vincular estos conmutadores a través de los puertos asignados a la VLAN#2 (este podría ser el puerto 6 en ambos conmutadores). Así, el problema de la escalabilidad de las redes virtuales basadas en tecnología de agrupación de puertos se resuelve (aunque no en todos los casos) estableciendo conexiones redundantes entre conmutadores.

Redes virtuales basadas en el estándar IEEE 802.1Q

Si tiene una infraestructura de red desarrollada con muchos conmutadores, la tecnología IEEE 802.1Q será una solución más eficaz para crear redes virtuales. En las redes virtuales basadas en el estándar IEEE 802.1Q, la información sobre la pertenencia de las tramas Ethernet transmitidas a una red virtual particular está integrada en la propia trama transmitida. Así, el estándar IEEE 802.1Q define cambios en la estructura de la trama Ethernet que permiten que la información VLAN se transmita a través de la red.

Se agrega una etiqueta de 4 bytes a la trama Ethernet; dichas tramas se denominan tramas etiquetadas. Los bits adicionales contienen información sobre la pertenencia de la trama Ethernet a la red virtual y su prioridad (Fig. 4).

La etiqueta de trama agregada incluye un campo TPID (Identificador de protocolo de etiqueta) de dos bytes y un campo TCI (Información de control de etiqueta) de dos bytes. El campo TCI, a su vez, consta de los campos Prioridad, CFI y VID. El campo Prioridad de 3 bits especifica ocho posibles niveles de prioridad de trama. El campo VID (VLAN ID) de 12 bits es el identificador de la red virtual. Estos 12 bits le permiten definir 4096 redes virtuales diferentes, pero los ID 0 y 4095 están reservados para uso especial, por lo que se pueden definir un total de 4094 redes virtuales en el estándar 802.1Q. El campo CFI (Indicador de formato canónico) de 1 bit está reservado para indicar otros tipos de tramas de red (Token Ring, FDDI) transmitidas a través de la red troncal de Ethernet y siempre es 0 para las tramas de Ethernet.

Cambiar el formato de la trama Ethernet significa que los dispositivos de red que no admiten el estándar IEEE 802.1Q (dichos dispositivos se denominan Tag-unaware) no pueden funcionar con tramas en las que se insertan etiquetas y, hoy en día, la gran mayoría de los dispositivos de red (en particular, Ethernet redes) -controladores de nodo final de red) no son compatibles con este estándar. Por lo tanto, para garantizar la compatibilidad con dispositivos que admiten el estándar IEEE 802.1Q (dispositivos compatibles con etiquetas), los conmutadores IEEE 802.1Q deben admitir ambas tramas Ethernet tradicionales, es decir, tramas sin etiquetar y tramas etiquetadas.

El tráfico entrante y saliente, dependiendo del tipo de origen y destinatario, puede estar formado por tramas Tagged y Untagged, sólo en este caso se puede lograr la compatibilidad con dispositivos externos al switch. El tráfico dentro del switch siempre está formado por paquetes etiquetados.

Por lo tanto, para admitir diferentes tipos de tráfico y para que el tráfico interno del conmutador se forme a partir de paquetes etiquetados, las tramas en los puertos de recepción y transmisión del conmutador deben traducirse de acuerdo con reglas predefinidas.

Echemos un vistazo más de cerca al proceso de transmisión de una trama a través del interruptor (Fig. 5).

En relación con el tráfico, cada puerto del conmutador puede ser tanto una entrada como una salida. Una vez que la trama es recibida por el puerto de entrada del conmutador, la decisión sobre su procesamiento posterior se toma en función de las reglas predefinidas del puerto de entrada (reglas de ingreso). Dado que la trama recibida puede ser del tipo Etiquetada o Sin Etiquetar, las reglas del puerto de entrada determinan qué tipos de tramas deben ser aceptadas por el puerto y cuáles deben filtrarse. Son posibles las siguientes opciones: recibir sólo fotogramas del tipo Etiquetado, recibir sólo fotogramas del tipo Sin etiquetar, recibir fotogramas de ambos tipos. De forma predeterminada, todos los conmutadores están configurados según las reglas del puerto de entrada para poder aceptar ambos tipos de tramas.

Arroz. 5. Proceso de reenvío de tramas en un conmutador compatible con IEEE 802.1Q

Si las reglas del puerto de entrada determinan que puede recibir una trama etiquetada, que contiene información sobre la pertenencia a una red virtual específica (VID), entonces esta trama se transmite sin modificaciones. Y si se determina la capacidad de trabajar con marcos del tipo Sin etiquetar, que no contienen información sobre la pertenencia a una red virtual, primero el puerto de entrada del conmutador convierte dicho marco al tipo Etiquetado (recuerde que dentro del switch todas las tramas deben tener etiquetas sobre pertenencia a la red virtual).

Para hacer posible esta conversión, a cada puerto del conmutador se le asigna un PVID (identificador de VLAN de puerto) único, que determina si el puerto pertenece a una red virtual específica dentro del conmutador (de forma predeterminada, todos los puertos del conmutador tienen el mismo PVID=1). Un marco del tipo Sin etiquetar se convierte en un tipo Etiquetado, para lo cual se complementa con una etiqueta VID (Fig. 6). El valor del campo VID de la trama sin etiquetar entrante se establece igual al valor de PVID del puerto entrante, es decir, todas las tramas sin etiquetar entrantes se asignan automáticamente a la red virtual dentro del conmutador al que pertenece el puerto entrante.

Después de que todas las tramas entrantes se hayan filtrado, transformado o dejado sin cambios según las reglas del puerto de entrada, la decisión de reenviarlas al puerto de salida se basa en reglas de reenvío de paquetes predefinidas.

La regla para reenviar paquetes dentro de un conmutador es que los paquetes solo se pueden reenviar entre puertos asociados con la misma red virtual. Como ya se señaló, a cada puerto se le asigna un identificador PVID, que se utiliza para convertir las tramas no etiquetadas recibidas, así como para determinar si el puerto pertenece a una red virtual dentro del conmutador con el identificador VID=PVID. Por lo tanto, los puertos con los mismos ID dentro del mismo conmutador están asociados con la misma red virtual. Si se construye una red virtual sobre la base de un conmutador, entonces el identificador del puerto PVID, que determina su pertenencia a la red virtual, es suficiente. Es cierto que las redes creadas de esta manera no pueden superponerse, ya que a cada puerto del conmutador solo corresponde un identificador. En este sentido, las redes virtuales creadas no tendrían la misma flexibilidad que las redes virtuales basadas en puertos. Sin embargo, el estándar IEEE 802.1Q fue diseñado desde el principio para construir una infraestructura de red virtual escalable que incluya muchos conmutadores, y esta es su principal ventaja sobre la tecnología VLAN basada en puertos. Pero para extender la red más allá de un único conmutador, los ID de puerto por sí solos no son suficientes, por lo que cada puerto puede asociarse con varias redes virtuales que tienen diferentes VID.

Si la dirección de destino del paquete coincide con un puerto de conmutador que pertenece a la misma red virtual que el paquete en sí (el paquete VID y el puerto VID o el paquete VID y el puerto PVID pueden ser iguales), entonces dicho paquete se puede transmitir. Si la trama transmitida pertenece a una red virtual con la cual el puerto de salida no está conectado de ninguna manera (el VID del paquete no coincide con el PVID/VID del puerto), entonces la trama no se puede transmitir y se descarta.

Una vez que las tramas dentro del conmutador se transmiten al puerto de salida, su transformación adicional depende de las reglas del puerto de salida. Como ya se mencionó, el tráfico dentro del conmutador se genera solo mediante paquetes del tipo Etiquetado, y el tráfico entrante y saliente puede generarse mediante paquetes de ambos tipos. En consecuencia, las reglas del puerto de salida (regla de control de etiquetas) determinan si las tramas etiquetadas deben convertirse al formato sin etiquetar.

Cada puerto del conmutador se puede configurar como puerto etiquetado o sin etiquetar.

Si el puerto de salida se define como Puerto Tagged, entonces el tráfico saliente será generado por tramas Tagged con información sobre la pertenencia a la red virtual. Por lo tanto, el puerto de salida no cambia el tipo de tramas, dejándolas igual que estaban dentro del switch. Al puerto especificado solo se puede conectar un dispositivo compatible con el estándar IEEE 802.1Q, como un conmutador o servidor con una tarjeta de red que admita redes virtuales de este estándar.

Si el puerto de salida del conmutador se define como Puerto sin etiquetar, todas las tramas salientes se convierten al tipo Sin etiquetar, es decir, se elimina de ellas información adicional sobre su pertenencia a la red virtual. Se puede conectar cualquier dispositivo de red a este puerto, incluido un conmutador que no sea compatible con el estándar IEEE 802.1Q o PC de cliente final cuyas tarjetas de red no admitan redes virtuales de este estándar.

Configuración de redes virtuales IEEE 802.1Q

Veamos ejemplos específicos de configuración de redes virtuales del estándar IEEE 802.1Q.

• Para crear una red VLAN de acuerdo con el estándar IEEE 802.1Q, debe hacer lo siguiente:
• establezca el nombre de la red virtual (por ejemplo, VLAN#1) y determine su identificador (VID);
• seleccione los puertos que pertenecerán a esta red virtual;
• establecer las reglas para los puertos de entrada de la red virtual (la capacidad de trabajar con tramas de todo tipo, solo con tramas sin etiquetar o solo con tramas etiquetadas);
• establecer PVID idénticos de los puertos incluidos en la red virtual;

A continuación, debe repetir los pasos anteriores para la siguiente red virtual. Cabe recordar que a cada puerto se le puede asignar solo un PVID, pero un mismo puerto puede formar parte de diferentes redes virtuales, es decir, estar asociado a varios VID simultáneamente.

Tabla 1. Configuración de las características del puerto al crear redes virtuales basadas en un conmutador

Ejemplos de construcción de redes VLAN basadas en conmutadores compatibles con el estándar IEEE 802.1Q

Ahora veamos ejemplos típicos de construcción de redes virtuales basadas en conmutadores que admiten el estándar IEEE 802.1Q.

Si solo hay un conmutador a cuyos puertos están conectadas las computadoras de los usuarios finales, para crear redes virtuales que estén completamente aisladas entre sí, todos los puertos deben declararse como puertos sin etiquetar para garantizar la compatibilidad con los controladores de red Ethernet del cliente. La pertenencia de los nodos de la red a una VLAN particular se determina especificando el identificador del puerto PVID.

Tomemos un conmutador de ocho puertos, a partir del cual se crean tres redes virtuales aisladas VLAN#1, VLAN#2 y VLAN#3 (Fig. 7). Al primer y segundo puerto del switch se les asigna PVID=1. Dado que los identificadores de estos puertos coinciden con el identificador de la primera red virtual (PVID=VID), estos puertos forman la red virtual VLAN#1 (Tabla 1). Si a los puertos 3, 5 y 6 se les asigna PVID=2 (lo mismo que el VID VLAN#2), entonces la segunda red virtual estará formada por los puertos 3, 4 y 8. La VLAN#3 se forma de manera similar en función de los puertos 5, 6 y 7. Para garantizar la compatibilidad con el equipo final (se supone que las PC de los clientes de red cuyas tarjetas de red no son compatibles con el estándar IEEE 802.1Q están conectadas a los puertos del conmutador), todos los puertos deben configurarse como Sin etiquetar.

Arroz. 7. Organización de tres redes VLAN según el estándar IEEE 802.1Q basadas en un conmutador

Si la infraestructura de red incluye varios conmutadores que admiten el estándar IEEE 802.1Q, entonces se debe utilizar un principio de configuración ligeramente diferente para la comunicación entre los conmutadores. Consideremos dos conmutadores de seis puertos que soportan el estándar IEEE 802.1Q y en base a los cuales es necesario configurar tres redes virtuales VLAN#1, VLAN#2 y VLAN#3 aisladas entre sí.

Deje que la primera red virtual incluya clientes conectados a los puertos 1 y 2 del primer conmutador y a los puertos 5 y 6 del segundo conmutador. La VLAN#2 incluye clientes conectados al puerto 3 del primer conmutador y al puerto 1 del segundo conmutador, y la VLAN#3 incluye clientes conectados a los puertos 4 y 5 del primer conmutador y a los puertos 2 y 3 del segundo conmutador. El puerto 6 del primer conmutador y el puerto 4 del segundo conmutador se utilizan para comunicarse entre los conmutadores (Figura 8).

Arroz. 8. Organización de tres redes VLAN según el estándar IEEE 802.1Q basadas en dos conmutadores

Para configurar estas redes virtuales, primero se debe definir en cada uno de los switch tres redes virtuales VLAN#1, VLAN#2 y VLAN#3, especificando sus identificadores (VID=1 para VLAN#1, VID=2 para VLAN#2 y VID=3 para VLAN#3).

En el primer conmutador, los puertos 1 y 2 deben ser parte de la VLAN#1, para lo cual a estos puertos se les asigna PVID=1. El puerto 2 del primer conmutador debe asignarse a la VLAN#2, para lo cual al identificador de puerto se le asigna el valor PVID=2. De manera similar, los puertos 5 y 6 del primer conmutador están configurados en PVID=3, ya que estos puertos pertenecen a la VLAN#3. Todos los puertos especificados en el primer conmutador deben configurarse como puerto sin etiquetar para garantizar la compatibilidad con las tarjetas de red del cliente.

El puerto 4 del primer conmutador se utiliza para comunicarse con el segundo conmutador y debe reenviar tramas de las tres redes virtuales sin modificaciones al segundo conmutador.

Por lo tanto, debe configurarse como Puerto Etiquetado e incluirse en las tres redes virtuales (asociadas a VID=1, VID=2 y VID=3). En este caso, el identificador del puerto no importa y puede ser cualquier cosa (en nuestro caso, PVID=4).

En el segundo conmutador se realiza un procedimiento similar para configurar redes virtuales. Las configuraciones de puertos de los dos conmutadores se presentan en la Tabla. 2.

Tabla 2. Configuración de las características del puerto al crear redes virtuales basadas en dos conmutadores

Los ejemplos de redes virtuales discutidos estaban relacionados con las llamadas redes virtuales estáticas (Static VLAN), en las que todos los puertos se configuran manualmente, lo cual, aunque muy visual, es bastante rutinario con una infraestructura de red desarrollada. Además, cada vez que los usuarios se mueven dentro de la red, la red debe reconfigurarse para mantener su membresía en las redes virtuales dadas, y esto, por supuesto, es extremadamente indeseable.

Existe una forma alternativa de configurar redes virtuales y las redes creadas de esta manera se denominan redes virtuales dinámicas (VLAN dinámica). En dichas redes, los usuarios pueden registrarse automáticamente en la red VLAN, para lo cual se utiliza el protocolo de registro especial GVRP (Protocolo de registro GARP VLAN).

Este protocolo define la forma en que los conmutadores intercambian información de VLAN para registrar automáticamente miembros de VLAN en los puertos de la red.

Todos los conmutadores que admiten la función GVRP pueden recibir dinámicamente información de registro de VLAN de otros conmutadores (y, por lo tanto, reenviarla a otros conmutadores), incluidos los miembros de VLAN actuales, el puerto a través del cual se puede acceder a los miembros de VLAN, etc. Para comunicarse de un conmutador a otro, el protocolo GVRP utiliza mensajes GVRP BPDU (Unidades de datos de protocolo de puente GVRP). Cualquier dispositivo habilitado para GVPR que reciba dicho mensaje puede unirse dinámicamente a la VLAN sobre la que se le notifica.

Hoy comenzaré una pequeña serie de artículos sobre VLAN. Empecemos por qué es, para qué sirve, cómo configurarlo, y luego iremos profundizando y poco a poco estudiando, si no todas, al menos la mayoría de las posibilidades que nos brindan las VLAN.

Entonces, ¿recuerda que hablamos de un concepto como? Creo que lo recuerdas. También hablamos de que existen varios tipos de direcciones: .

Basándonos en esto, hagamos un concepto introductorio más. Dominio de difusión. ¿Cómo es él?
Esta lista de dispositivos que reciben estas tramas de transmisión se denomina dominio de transmisión.

Ahora decidamos, ¿qué es una VLAN?

VLAN: red de área local virtual, es decir algún tipo de red virtual. ¿Para qué es?

VLAN nos permite separar dominios de transmisión en un conmutador. Aquellos. si tenemos un switch, asignaremos unos puertos a una VLAN y otros a otra. Y tendremos dos dominios de difusión diferentes. Por supuesto, las posibilidades no terminan ahí. Hablaré más sobre ellos, gradualmente.

En resumen, VLAN permite al administrador crear una red de manera más flexible, dividiéndola en ciertas subredes (por ejemplo, una red de contables, una red de gerentes, etc.), en otras palabras, VLAN ayuda a unir dispositivos con un conjunto común. de requisitos en un solo grupo y separarlo de otros grupos aislados similares.

Permítanme hacer una reserva de inmediato: las VLAN funcionan en el nivel OSI Capa 2.
Recordemos que cuando miramos la trama, allí no había ningún campo para VLAN. Entonces, ¿cómo se puede determinar a qué VLAN pertenece una trama en particular?

Hay varios estándares.

1. IEEE 802.1Q: este estándar está abierto. Este estándar marca una trama particular que está "vinculada" a alguna VLAN mediante etiquetado.
El etiquetado es una función del conmutador (o cualquier otro dispositivo que "entienda" la VLAN) que inserta una determinada etiqueta que consta de 4 bytes en la trama Ethernet. El procedimiento de etiquetado no cambia los datos del encabezado, por lo que los equipos que no admiten la tecnología VLAN pueden transmitir fácilmente dicha trama a lo largo de la red, preservando la etiqueta.

Así es como se verá el marco después de insertar la etiqueta VLAN.

Según su figura, vemos que la etiqueta VLAN consta de 4 campos, los describiremos:

- Identificador de protocolo de etiqueta (TPID) de 2 bytes: este es el identificador de protocolo, en nuestro caso es 802.1Q, en el formulario 16 este campo se verá así: 0x8100.

— Prioridad: campo para establecer la prioridad según el estándar 802.1p (sobre esto en los siguientes artículos). El tamaño de este campo es de 3 bits (8 valores 0-7).

— Indicador de formato canónico (CFI). Indicador de formato canónico, este campo tiene un tamaño de 1 bit. Este campo indica el formato de la dirección mac (1 es canónico, 0 no es canónico).

— ID de VLAN, esto es en realidad lo que hemos recopilado hoy :) ID de VLAN. El tamaño del campo es de 12 bits, puede tomar un valor de 0 a 4095.

Cuando se utiliza VLAN (etiquetado) según el estándar 802.1Q, se realizan cambios en la trama, por lo que es necesario recalcular el valor FCS, lo que en realidad realiza el conmutador.

El estándar 802.1Q tiene algo llamado VLAN nativa; de forma predeterminada, el ID de VLAN nativa es igual a uno (se puede cambiar), la VLAN nativa se caracteriza por el hecho de que esta VLAN no está etiquetada.

2. Inter-enlace conmutado (ISL). Un protocolo desarrollado por Cisco y que sólo se puede utilizar en sus equipos.
Este protocolo se desarrolló antes de la adopción de 802.1Q.
Actualmente, ISL ya no es compatible con hardware más nuevo, pero es posible que aún encuentres este protocolo en acción, por lo que debemos familiarizarnos con él.

A diferencia de 802.1Q, donde se realizó un etiquetado simple de la trama (insertando 4 bytes dentro de la trama), aquí se utiliza tecnología de encapsulación, es decir, se agrega un determinado encabezado que contiene información sobre la VLAN. VLAN ISL, a diferencia de 802.1Q, admite hasta 1000 VLAN.

Miremos el marco en forma gráfica para ver cómo se ve esta encapsulación.

Aquí podemos ver inmediatamente el primer inconveniente, y quizás el más básico, de ISL: aumenta la trama en 30 bytes (26 bytes de encabezado y 4 bytes de FCS).

¡Veamos el encabezado ISL con más detalle, veamos qué se almacena allí en tantos bytes!

• Dirección de destino (DA): dirección del destinatario; aquí se indica una dirección de multidifusión especial, lo que indica que la trama que se utiliza está encapsulada mediante ISL. La dirección de multidifusión puede ser 0x01-00-0C-00-00 o 0x03-00-0c-00-00.
• Tipo: longitud del campo de 4 bits, indica el protocolo que está encapsulado en la trama. Puede tomar varios valores:

0000-Ethernet
0001 - Token-Ring
0010 - FDDI
0011 - cajero automático

En nuestro caso, dado que estamos considerando Ethernet, este valor será igual a 0.

• USUARIO es una especie de análogo "simplificado" del campo Prioridad en 802.1Q, que se utiliza para establecer la prioridad de una trama. Aunque el campo ocupa 4 bits, puede tomar 4 valores (en 802.1Q - 8).
• Dirección de origen (SA) - dirección de origen; en este lugar se sustituye el valor de la dirección MAC del puerto desde el que se envió esta trama encapsulada.
• LEN - longitud del marco. Campos como DA,TYPE,USER,SA,LEN,FCS no se tienen en cuenta aquí. Por lo tanto, resulta que este valor es igual a la trama encapsulada: 18 bytes.
• AAAA03 (SNAP) - SNAP y LLC (este campo contiene el valor AAAA03).
• HSA - High Bits of Source Address - 3 bytes altos de la dirección MAC (recuerde que estos bytes contienen el código del fabricante), para Cisco es 00-00-0C
• VLAN: finalmente llegamos al campo principal. En realidad, aquí se indica el identificador de VLAN. El tamaño del campo es de 15 bits.
• BPDU: unidad de datos de protocolo de puente y protocolo de descubrimiento de Cisco. Campo para protocolos BPDU y CDP. Sabremos qué es y por qué en los siguientes artículos.
• INDX - Índice, indica el índice del puerto del remitente, utilizado con fines de diagnóstico.
• RES: Reservado para Token Ring y FDDI. Campo de reserva para Token Ring y FDDI. El campo tiene un tamaño de 16 bits. Si se utiliza el protocolo Ethernet, en este campo se colocan todos los ceros.
• El marco encapsulado es un marco normal que ha sido encapsulado. Este marco tiene sus propios campos, como DA, SA, LEN, FCS, etc.
• FCS es el ISL propio de FCS (dado que la trama se cambia por completo, se necesita una nueva verificación de trama, los últimos 4 bytes están destinados a esto).

Podemos sacar algunas conclusiones a favor de 802.1Q.

1. El etiquetado añade sólo 4 bytes a la trama, a diferencia de ISL (30 bytes).
2. 802.1Q es compatible con cualquier equipo que admita VLAN, mientras que ISL solo funciona en dispositivos Cisco, y no en todos.

En este artículo, presentamos brevemente el concepto de VLAN. A continuación veremos los detalles.

VLAN- estas son redes virtuales que existen en el segundo nivel del modelo OSI. Es decir, la VLAN se puede configurar en el segundo nivel. Si nos fijamos en las VLAN, haciendo abstracción del concepto de “redes virtuales”, podemos decir que una VLAN es simplemente una etiqueta en una trama que se transmite a través de la red. La etiqueta contiene el número de VLAN (llamado VLAN ID o VID), al que se le asignan 12 bits, es decir, la VLAN se puede numerar del 0 al 4095. El primer y el último número están reservados y no se pueden utilizar. Normalmente, las estaciones de trabajo no saben nada sobre las VLAN (a menos que configure específicamente las VLAN en las tarjetas). Los interruptores piensan en ellos. Los puertos del switch indican en qué VLAN se encuentran. Dependiendo de esto, todo el tráfico que sale por el puerto se marca con una etiqueta, es decir, una VLAN. Entonces cada puerto tiene un PVID ( identificador de puerto vlan Este tráfico puede luego pasar por otros puertos de los conmutadores que están en esta VLAN y no pasará por todos los demás puertos. Como resultado, se crea un entorno aislado (subred) que, sin un dispositivo adicional (enrutador), no puede interactuar con otras subredes.

¿Por qué se necesitan vilanes?

• La capacidad de construir una red cuya estructura lógica no depende de la física. Es decir, la topología de la red a nivel de enlace de datos se construye independientemente de la ubicación geográfica de los componentes de la red.
• La capacidad de dividir un dominio de difusión en varios dominios de difusión. Es decir, el tráfico de difusión de un dominio no pasa a otro dominio y viceversa. Esto reduce la carga en los dispositivos de red.
• La capacidad de proteger la red contra el acceso no autorizado. Es decir, a nivel de enlace, las tramas de otros vilans serán cortadas por el puerto del conmutador, independientemente de en qué dirección IP de origen esté encapsulado el paquete en esta trama.
• La capacidad de aplicar políticas a un grupo de dispositivos que se encuentran en la misma vilana.
• Capacidad de utilizar interfaces virtuales para enrutamiento.

Ejemplos de uso de VLAN

• Conexión de computadoras conectadas a diferentes conmutadores en una sola red. Digamos que tiene computadoras que están conectadas a diferentes conmutadores, pero es necesario combinarlas en una sola red. Conectaremos algunas computadoras a una red local virtual. VLAN1, y otros - a la red VLAN 2. Gracias a la función VLAN Las computadoras en cada red virtual funcionarán como si estuvieran conectadas al mismo conmutador. Computadoras de diferentes redes virtuales. VLAN1 Y VLAN 2 serán invisibles el uno para el otro.

• Dividir las computadoras conectadas al mismo conmutador en diferentes subredes. En la figura, las computadoras están conectadas físicamente al mismo conmutador, pero separadas en diferentes redes virtuales. VLAN1 Y VLAN 2. Las computadoras de diferentes subredes virtuales serán invisibles entre sí.

• Separación de la red Wi-Fi para invitados y la red Wi-Fi empresarial. En la figura, un punto de acceso Wi-Fi está conectado físicamente al enrutador. En el punto se han creado dos puntos Wi-Fi virtuales con nombres Punto de acceso Y Oficina. A Punto de acceso Las computadoras portátiles de los invitados se conectarán a través de Wi-Fi para acceder a Internet, y Oficina- portátiles empresariales. Por motivos de seguridad, es importante que los portátiles invitados no tengan acceso a la red empresarial. Para ello, se instalarán ordenadores empresariales y un punto wifi virtual. Oficina unidos en una red local virtual VLAN1 y las computadoras portátiles de los invitados estarán en una red virtual VLAN 2. Portátiles invitados de la red. VLAN 2 no tendrá acceso a la red empresarial VLAN1.

Ventajas de usar VLAN

• División flexible de dispositivos en grupos
• Como regla general, una VLAN corresponde a una subred. Las computadoras ubicadas en diferentes VLAN estarán aisladas entre sí. También puede combinar computadoras conectadas a diferentes conmutadores en una red virtual.
• Reducir el tráfico de transmisión en la red.
• Cada VLAN representa un dominio de difusión independiente. El tráfico de transmisión no se transmitirá entre diferentes VLAN. Si configura la misma VLAN en diferentes conmutadores, los puertos de diferentes conmutadores formarán un dominio de transmisión.
• Mayor seguridad y capacidad de gestión de la red.
• En una red dividida en subredes virtuales, es conveniente aplicar políticas y reglas de seguridad para cada VLAN. La política se aplicará a toda la subred, en lugar de a un dispositivo individual.
• Reducir el número de equipos y cables de red.
• Para crear una nueva red local virtual, no es necesario comprar un conmutador ni instalar un cable de red. Sin embargo, debería utilizar conmutadores administrados más caros con soporte VLAN.

Puertos etiquetados y sin etiquetar

Cuando un puerto debe poder recibir o enviar tráfico desde diferentes VLAN, debe estar en un estado etiquetado o troncalizado. Los conceptos de puerto troncal y puerto etiquetado son los mismos. Un puerto troncalizado o etiquetado puede transportar tanto VLAN especificadas individualmente como todas las VLAN predeterminadas, a menos que se especifique lo contrario. Si un puerto no está etiquetado, solo puede transportar una VLAN (nativa). Si un puerto no indica en qué VLAN se encuentra, se supone que está en un estado sin etiquetar en la primera VLAN (VID 1).

En este caso, los diferentes equipos están configurados de forma diferente. Para un equipo, debe indicar en la interfaz física en qué estado se encuentra esta interfaz y, para el otro, en una VLAN específica, debe indicar en qué puerto está ubicado, con o sin etiqueta. Y si es necesario que este puerto pase a través de varias VLAN, entonces en cada una de estas VLAN debe registrar este puerto con una etiqueta. Por ejemplo, en interruptores Redes Enterasys debemos indicar en qué VLAN se encuentra un determinado puerto y agregar este puerto a la lista de salida de esta VLAN para que el tráfico pueda pasar por este puerto. Si queremos que el tráfico de otra VLAN pase por nuestro puerto, también agregamos este puerto a la lista de salida de esta VLAN. En equipo caballos de fuerza(por ejemplo, interruptores ProCurve) en la propia VLAN, indicamos qué puertos pueden pasar tráfico desde esta VLAN y agregamos el estado de los puertos: etiquetados o sin etiquetar. Más fácil en hardware sistemas cisco. En dichos conmutadores simplemente indicamos qué puertos no están etiquetados con qué VLAN (están en acceso) y qué puertos están en el estado etiquetado (en trompa).

Para configurar puertos en modo trompa Se han creado protocolos especiales. Uno de ellos tiene el estándar IEEE 802.1Q. Este es un estándar internacional compatible con todos los fabricantes y se utiliza con mayor frecuencia para configurar redes virtuales. Además, los diferentes fabricantes pueden tener sus propios protocolos de transferencia de datos. Por ejemplo, cisco creó un protocolo para sus equipos ISL (Lista de cambios entre).

Enrutamiento Intervlan

¿Qué es el enrutamiento entre VLAN? Este es un enrutamiento de subred normal. La única diferencia es que cada subred corresponde a una VLAN de segundo nivel. Qué significa. Digamos que tenemos dos VLAN: VID = 10 y VID = 20. En el segundo nivel, estas VLAN dividen una red en dos subredes. Los hosts ubicados en estas subredes no se ven entre sí. Es decir, el tráfico queda completamente aislado. Para que los hosts se comuniquen entre sí, es necesario enrutar el tráfico de estas VLAN. Para hacer esto, necesitamos asignar una interfaz a cada VLAN en el tercer nivel, es decir, adjuntarles una dirección IP. Por ejemplo, para VID = 10 direcciones IP será 10.0.10.1/24, y para VID = 20 direcciones IP será 10.0.20.1/24. Estas direcciones actuarán además como puertas de enlace para acceder a otras subredes. Por lo tanto, podemos enrutar el tráfico del host de una VLAN a otra VLAN. ¿Qué hace el enrutamiento VLAN en comparación con el simple enrutamiento de redes sin VLAN? Esto es lo que:

• La capacidad de convertirse en miembro de otra subred en el lado del cliente está bloqueada. Es decir, si un host está en una determinada VLAN, incluso si cambia su dirección desde otra subred, seguirá estando en la VLAN en la que se encontraba. Esto significa que no obtendrá acceso a otra subred. Y esto, a su vez, protegerá la red de clientes "malos".
• Podemos colocar múltiples interfaces de conmutadores físicos en una VLAN. Es decir, tenemos la oportunidad de configurar inmediatamente el enrutamiento en un conmutador de tercer nivel conectando clientes de red a él, sin utilizar un enrutador externo. O podemos usar un enrutador externo conectado a un conmutador de segunda capa en el que se configuran las VLAN y crear tantas subinterfaces en el puerto del enrutador como VLAN totales debe enrutar.
• Es muy conveniente utilizar el segundo nivel en forma de VLAN entre el primer y tercer nivel. Es conveniente marcar subredes como VLAN con interfaces específicas. Es conveniente configurar una VLAN y colocar en ella varios puertos de conmutador. Y, en general, es conveniente hacer muchas cosas cuando hay una VLAN.