VLAN'er findes overalt. Du kan finde dem i de fleste organisationer med et korrekt konfigureret netværk. I tilfælde af at det ikke var indlysende, står VLAN for, "Virtual Local Area Network", og de er allestedsnærværende i ethvert moderne netværk ud over størrelsen på et lille hjem eller meget lille kontornetværk.
Der er et par forskellige protokoller, hvoraf mange er leverandørspecifikke, men i sin kerne gør hver VLAN meget den samme ting, og fordelene ved VLAN-skala, når dit netværk vokser i størrelse og organisatorisk kompleksitet.
Disse fordele er en stor del af, hvorfor VLAN'er er så stærkt afhængige af professionelle netværk i alle størrelser. Faktisk ville det være vanskeligt at administrere eller skalere netværk uden dem.
Fordelene og skalerbarheden af VLAN'er forklarer, hvorfor de er blevet så allestedsnærværende i moderne netværksmiljøer. Det ville være vanskeligt at administrere eller skalere endda moderat komplekse netværk med brugeren af VLAN'er.
Hvad er et VLAN?
hurtige links
- Hvad er et VLAN?
- Hvordan det virker
- VLAN vs. subnet
- IP-adresse Subnet
- VLAN
- VLAN vs. subnet
- Fordele ved VLAN'er
- Statiske vs. dynamiske VLAN'er
- Statisk VLAN
- Dynamisk VLAN
- Opsætning af et VLAN
- Hvad du har brug for
- Router
- Administreret switch
- Client Network Interface Cards (NIC'er)
- Grundlæggende konfiguration
- Opsætning af routeren
- Konfiguration af switches
- Tilslutning af klienter
- Hvad du har brug for
- VLAN derhjemme
Okay, så du kender forkortelsen, men hvad er egentlig et VLAN? Det grundlæggende koncept skal være velkendt for alle, der har arbejdet med eller brugt virtuelle servere.
Tænk et øjeblik på, hvordan virtuelle maskiner fungerer. Flere virtuelle servere findes inden for et fysisk stykke hardware, der kører et operativsystem og hypervisor for at oprette og køre de virtuelle servere på den enkelt fysiske server. Gennem virtualisering er du i stand til effektivt at omdanne en enkelt fysisk computer til flere virtuelle computere, der hver er tilgængelige til separate opgaver og brugere.
Virtuelle LAN'er fungerer på samme måde som virtuelle servere. En eller flere administrerede switches kører softwaren (svarende til hypervisorsoftware), der giver kontakterne mulighed for at oprette flere virtuelle switches inden for et fysisk netværk.
Hver virtuelle switch er sit eget selvstændige netværk. Den største forskel mellem virtuelle servere og virtuelle LAN'er er, at virtuelle LAN'er kan distribueres over flere fysiske hardwarestykker med et udpeget kabel kaldet en bagagerum.
Hvordan det virker
Forestil dig, at du driver et netværk til en voksende lille virksomhed, tilføjer medarbejdere, deler i separate afdelinger og bliver mere kompleks og organiseret.
For at svare på disse ændringer opgraderede du til en 24-port switch for at rumme nye enheder på netværket.
Du kan overveje at bare køre et Ethernet-kabel til hver af de nye enheder og kalde den udførte opgave, men problemet er, at fillagring og tjenester, der bruges af hver afdeling, skal holdes adskilt. VLAN'er er den bedste måde at gøre det på.
I switchens webgrænseflade kan du konfigurere tre separate VLAN'er, en for hver afdeling. Den enkleste måde at opdele dem på er ved portnumre. Du kan tildele porte 1-8 til den første afdeling, tildele porte 9-16 til den anden afdeling og til sidst tildele porte 17-24 g til den sidste afdeling. Nu har du organiseret dit fysiske netværk i tre virtuelle netværk.
Softwaren på kontakten kan styre trafikken mellem klienterne i hver VLAN. Hver VLAN fungerer som sit eget netværk og kan ikke interagere direkte med de andre VLAN'er. Nu har hver afdeling sit eget mindre, mindre rod og mere effektive netværk, og du kan administrere dem alle gennem det samme stykke hardware. Dette er en meget effektiv og omkostningseffektiv måde at styre et netværk på.
Når du har brug for, at afdelingerne skal kunne interagere, kan du få dem til at gøre det via routeren på netværket. Routeren kan regulere og kontrollere trafik mellem VLAN'erne og håndhæve stærkere sikkerhedsregler.
I mange tilfælde er afdelingerne nødt til at arbejde sammen og interagere. Du kan implementere kommunikation mellem de virtuelle netværk gennem routeren, indstille sikkerhedsregler for at sikre passende sikkerhed og privatliv for de enkelte virtuelle netværk.
VLAN vs. subnet
VLAN'er og undernet er faktisk ret ens og tjener lignende funktioner. Både undernet og VLAN'er opdeler netværk og udsendelsesdomæner. I begge tilfælde kan interaktion mellem underafdelinger kun ske gennem en router.
Forskellene mellem dem kommer i form af deres implementering og hvordan de ændrer netværksstruktur.
IP-adresse Subnet
Undernet findes i lag 3 i OSI-modellen, netværkslaget. Undernet er en konstruktion på netværksniveau og håndteres med routere, der organiserer omkring IP-adresser.
Routere udskærer en række IP-adresser og forhandler forbindelserne mellem dem. Dette lægger al stress fra netværksstyring på routeren. Undernet kan også blive kompliceret, når dit netværk skaleres op i størrelse og kompleksitet.
VLAN
VLAN'er finder deres hjem på lag 2 af OSI-modellen. Datalinkniveauet er tættere på hardware og mindre abstrakt. Virtuelle LAN'er emulerer hardware, der fungerer som individuelle switches.
Imidlertid er virtuelle LAN'er i stand til at opdele udsendte domæner uden at skulle oprette forbindelse tilbage til en router, idet nogle af administrationsbyrderne fra routeren fjernes.
Da VLAN'er er deres egne virtuelle netværk, skal de opføre sig noget, som om de har en indbygget router. Som et resultat indeholder VLAN'er mindst et undernet og kan understøtte flere undernet.
VLAN'er distribuerer netværksbelastning og. flere kontakter kan håndtere trafik inden for VLAN'er uden at involvere routeren, hvilket skaber et mere effektivt system.
Fordele ved VLAN'er
På nuværende tidspunkt har du allerede set et par af fordelene, som VLAN'er bringer til bordet. Bare i kraft af det, de gør, har VLAN'er en række værdifulde egenskaber.
VLAN'er hjælper med sikkerhed. Kompartalisering af trafikken begrænser enhver mulighed for uautoriseret adgang til dele af et netværk. Det hjælper også med at stoppe spredningen af ondsindet software, hvis nogen finder vej til netværket. Potentielle indtrængende kan ikke bruge værktøjer som Wireshark til at snuse pakker overalt ud over det virtuelle LAN, de er på, hvilket også begrænser denne trussel.
Netværkseffektivitet er en stor aftale. Det kan spare eller koste en virksomhed tusinder af dollars at implementere VLAN'er. Opdeling af udsendelsesdomæner øger netværkseffektiviteten meget ved at begrænse antallet af enheder, der er involveret i kommunikation på én gang. VLAN mindsker behovet for at distribuere routere til at styre netværk.
Ofte vælger netværksingeniører at konstruere virtuelle LAN'er pr. Servicebasis og adskiller vigtig eller netværksintensiv trafik som et Storage Area Network (SAN) eller Voice over IP (VOIP). Nogle switches giver også en administrator mulighed for at prioritere VLAN'er, hvilket giver flere ressourcer til mere krævende og manglende kritisk trafik.
Det ville være forfærdeligt at skulle bygge et uafhængigt fysisk netværk for at adskille trafikken. Forestil dig den snoede kabelføring, som du bliver nødt til at kæmpe for at foretage ændringer. Det er for at sige intet for de øgede hardwareomkostninger og strømtrækning. Det ville også være vildt ufleksibelt. VLAN'er løser alle disse problemer ved at virtualisere flere kontakter på et enkelt stykke hardware.
VLAN'er giver en høj grad af fleksibilitet til netværksadministratorer gennem en praktisk software-grænseflade. Sig to afdelinger skifte kontor. Skal it-personalet bevæge sig rundt i hardware for at imødekomme ændringen? Nej. De kan bare tildele porte på omskifterne til de rigtige VLAN'er. Nogle VLAN-konfigurationer kræver ikke engang det. De ville tilpasse sig dynamisk. Disse VLAN'er kræver ikke tildelte porte. I stedet er de baseret på MAC- eller IP-adresser. Uanset hvad, er der ingen blanding af kontakter eller kabler påkrævet. Det er meget mere effektivt og omkostningseffektivt at implementere en softwareløsning for at ændre placeringen af et netværk end at flytte den fysiske hardware.
Statiske vs. dynamiske VLAN'er
Der er to grundlæggende typer VLAN'er, kategoriseret efter, hvordan maskiner er forbundet til dem. Hver type har styrker og svagheder, der skal tages i betragtning baseret på den særlige netværkssituation.
Statisk VLAN
Statiske VLAN'er kaldes ofte portbaserede VLAN'er, fordi enheder slutter sig sammen ved at oprette forbindelse til en tildelt port. Denne vejledning har hidtil kun brugt statiske VLAN'er som eksempler.
Ved opsætning af et netværk med statiske VLAN'er, deler en ingeniør en switch op ved dens porte og tildeler hver port til et VLAN. Enhver enhed, der opretter forbindelse til den fysiske port, tilsluttes VLAN.
Statiske VLAN'er giver meget enkle og lette at konfigurere netværk uden for meget afhængighed af software. Det er dog svært at begrænse adgangen inden for en fysisk placering, fordi en enkeltperson simpelthen kan tilslutte. Statiske VLAN'er kræver også en netværksadministrator for at ændre porttildelinger, hvis nogen på netværket ændrer fysiske placeringer.
Dynamisk VLAN
Dynamiske VLAN'er er meget afhængige af software og tillader en høj grad af fleksibilitet. En administrator kan tildele MAC- og IP-adresser til specifikke VLAN'er, hvilket tillader ubevægelig bevægelse i det fysiske rum. Maskiner i et dynamisk virtuelt LAN kan flytte overalt i netværket og forblive på det samme VLAN.
Selvom dynamiske VLAN'er er uovervindelige med hensyn til tilpasningsevne, har de nogle alvorlige ulemper. En high-end switch skal påtage sig rollen som en server, der er kendt som en VLAN Management Policy Server (VMPS (til at gemme og levere adresseoplysninger til de andre switches på netværket. En VMPS, ligesom enhver server, kræver regelmæssig styring og vedligeholdelse og er underlagt mulig nedetid.
Angribere kan forfalske MAC-adresser og få adgang til dynamiske VLAN'er og tilføje en anden potentiel sikkerhedsudfordring.
Opsætning af et VLAN
Hvad du har brug for
Der er et par grundlæggende elementer, som du har brug for for at oprette et VLAN eller flere VLAN'er. Som nævnt tidligere er der en række forskellige standarder, men den mest universelle er IEEE 802.1Q. Det er den, dette eksempel vil følge.
Router
Teknisk set behøver du ikke en router for at opsætte en VLAN, men hvis du vil have flere VLAN'er til at interagere, har du brug for en router.
Mange moderne routere understøtter VLAN-funktionalitet i en eller anden form. Hjemme routere understøtter muligvis ikke VLAN eller understøtter det kun i en begrænset kapacitet. Tilpasset firmware som DD-WRT understøtter det mere grundigt.
Når vi taler om brugerdefineret, behøver du ikke en router uden for hylden til at arbejde med dine virtuelle LAN'er. Brugerdefineret router-firmware er normalt baseret på et Unix-lignende operativsystem, såsom Linux eller FreeBSD, så du kan opbygge din egen router ved hjælp af en af disse open source-operativsystemer.
Al den routingfunktionalitet, du har brug for, er tilgængelig for Linux, og du kan brugerdefineret konfigurere en Linux-installation til at skræddersy din router til at imødekomme dine specifikke behov. Se pfSense for noget, der er mere funktionsmæssigt komplet. pfSense er en fremragende distribution af FreeBSD bygget til at være en robust open source routing-løsning. Det understøtter VLAN'er og inkluderer en firewall for bedre at sikre trafikken mellem dine virtuelle netværk.
Uanset hvilken rute du vælger, skal du sørge for, at den understøtter de VLAN-funktioner, du har brug for.
Administreret switch
Kontakterne er kernen i VLAN-netværk. Det er her magien sker. Du har dog brug for en administreret switch for at drage fordel af VLAN-funktionaliteten.
For at tage tingene et niveau højere, bogstaveligt talt, er der lag 3 administrerede switches tilgængelige. Disse switches er i stand til at håndtere nogle Layer 3-netværkstrafik og kan i stedet for en router i nogle situationer.
Det er vigtigt at huske, at disse switches ikke er routere, og deres funktionalitet er begrænset. Layer 3-switches mindsker sandsynligheden for netværks latency, hvilket kan være kritisk i nogle miljøer, hvor det er kritisk at have et meget lavt latensnetværk.
Client Network Interface Cards (NIC'er)
De NIC'er, du bruger på dine klientmaskiner, skal understøtte 802.1Q. Det er chancerne, de gør, men det er noget at se nærmere på, før du går videre.
Grundlæggende konfiguration
Her er den hårde del. Der er tusinder af forskellige muligheder for, hvordan du kan konfigurere dit netværk. Ingen enkelt guide kan dække dem alle. I deres hjerte er ideerne bag næsten enhver konfiguration de samme, og det samme er den generelle proces.
Opsætning af routeren
Du kan komme i gang på et par forskellige måder. Du kan enten tilslutte routeren til hver switch eller hver VLAN. Hvis du vælger kun hver switch, skal du konfigurere routeren til at differentiere trafikken.
Du kan derefter konfigurere din router til at håndtere passeret trafik mellem VLAN'er.
Konfiguration af switches
Hvis du antager, at dette er statiske VLAN'er, kan du indtaste din switch's VLAN-styringsværktøj gennem dens webgrænseflade og begynde at tildele porte til forskellige VLAN'er. Mange switches bruger et tabellayout, der giver dig mulighed for at tjekke indstillingerne for porte.
Hvis du bruger flere switches, skal du tildele en af porte til alle dine VLAN'er og indstille den som en bagagerumsport. Gør dette på hver switch. Brug derefter disse porte til at oprette forbindelse mellem switchene og sprede dine VLAN'er på flere enheder.
Tilslutning af klienter
Endelig er det temmelig selvforklarende at få klienter på netværket. Tilslut dine klientmaskiner til de porte, der svarer til de VLAN'er, du vil have dem på.
VLAN derhjemme
Selvom det måske ikke ses som en logisk kombination, har VLAN'er faktisk en god applikation i hjemmenetværksrummet, gæstenetværk. Hvis du ikke har lyst til at oprette et WPA2 Enterprise-netværk i dit hjem og individuelt oprette loginoplysninger til dine venner og familie, kan du bruge VLAN'er til at begrænse den adgang, dine gæster har til filer og tjenester på dit hjemmenetværk.
Mange hjemmereutere med højere ende og brugerdefineret router-firmware understøtter oprettelse af basale VLAN'er. Du kan konfigurere en gæstevLAN med sine egne loginoplysninger for at lade dine venner forbinde deres mobile enheder. Hvis din router understøtter den, er en gæstevLAN et godt tilføjet sikkerhedslag for at forhindre, at din vens virusspjældede bærbar computer skruer op dit rene netværk.
