RT

Sieci komputerowe

VLAN

Sieci + CyberbezpieczeństwoStudia I stopnia

VLAN pozwala logicznie dzielić infrastrukturę przełączaną na oddzielne domeny rozgłoszeniowe. Ten materiał porządkuje port access, trunk, tagowanie 802.1Q, inter-VLAN routing, router-on-a-stick, SVI i diagnostykę.

VLANaccesstrunk802.1Qinter-VLAN routing

Warstwa

L2

VID

12 bitów

Porty

Access / Trunk

Między VLAN

Routing L3

Virtual LAN

VLAN - podstawy

VLAN oznacza Virtual Local Area Network. VLAN pozwala logicznie podzielić jedną fizyczną infrastrukturę przełączaną na oddzielne domeny rozgłoszeniowe.

Urządzenia mogą być fizycznie podłączone do tego samego przełącznika, ale należeć do różnych logicznych sieci. Przykładowo jeden przełącznik może obsługiwać biuro, laboratorium, sieć gościnną, VoIP oraz CCTV/IP. Podział fizyczny wymaga osobnych urządzeń lub łączy, a podział logiczny wykorzystuje wspólną infrastrukturę z konsekwentną konfiguracją VLAN na całej drodze.

VLAN zarządzający wydziela ruch administracyjny przełączników, punktów dostępowych lub kontrolerów od zwykłego ruchu użytkowników. Nadal wymaga ochrony dostępu, bezpiecznych protokołów zarządzania i właściwej polityki L3; sama nazwa VLAN-u nie tworzy zabezpieczenia.

Tabela: VLAN, Grupa, Znaczenie
VLANGrupaZnaczenie
VLAN 10Biuro / administracjaoddzielna domena rozgłoszeniowa
VLAN 20Laboratoriumoddzielna domena rozgłoszeniowa
VLAN 30Sieć gościnnadostęp zgodny z polityką organizacji
VLAN 40VoIPtelefony i osobna polityka QoS
VLAN 50CCTV/IPkamery i rejestratory w wydzielonym segmencie
01

Jeden przełącznik, wiele VLAN-ów

VLAN to segmentacja logiczna. Nie wymaga osobnego przełącznika dla każdej grupy użytkowników, ale wymaga poprawnej konfiguracji przełączników, portów i ewentualnego routingu L3.

VLAN-y rozdzielają domeny L2 nawet wtedy, gdy urządzenia są podłączone do tej samej infrastruktury fizycznej.
02

Domena rozgłoszeniowa

Broadcast Ethernet używa adresu FF:FF:FF:FF:FF:FF. W klasycznej sieci przełączanej bez VLAN-ów broadcast może zostać rozgłoszony w całej domenie L2. VLAN rozdziela domeny rozgłoszeniowe, więc broadcast z VLAN 10 nie jest automatycznie przekazywany do VLAN 20.

To nie oznacza, że VLAN sam w sobie filtruje cały ruch jak firewall. Kontrola ruchu między segmentami wymaga reguł routingu, firewalla lub ACL zależnie od architektury.

VLAN rozdziela domeny rozgłoszeniowe; nie jest jednak firewallem filtrującym cały ruch.

VID

VLAN ID

VLAN ID identyfikuje VLAN. W IEEE 802.1Q pole VID ma 12 bitów. Techniczny zakres wartości to 0-4095, ale 0 oraz 4095 mają znaczenie specjalne lub rezerwowane i nie są zwykłymi VLAN-ami użytkownika. Najczęściej spotykany zakres VLAN ID użytkownika to 1-4094, z zastrzeżeniem ograniczeń i rezerwacji danej platformy.

Tabela: Element, Wartość, Znaczenie
ElementWartośćZnaczenie
VID12 bitówVLAN Identifier w tagu 802.1Q
0specjalnenie jest zwykłym VLAN ID użytkownika
1-4094identyfikatory VLANmogą służyć jako VID; dostępność zależy od platformy
4095rezerwowanenie jest zwykłym VLAN ID użytkownika
03

Port access i trunk

Port access typowo należy do jednego VLAN-u dla ruchu użytkownika. Host końcowy zwykle nie musi wiedzieć, że port przełącznika przypisany jest do konkretnego VLAN-u. Ramki hosta mogą być untagged, a przełącznik przypisuje je do VLAN-u zgodnie z konfiguracją portu.

Tabela: Port, Tryb, Host / grupa
PortTrybHost / grupa
Port 1access VLAN 10PC A / Administracja
Port 2access VLAN 20PC B / Studenci

Trunk może przenosić ruch wielu VLAN-ów jednym fizycznym łączem, np. między przełącznikami A i B. Nie należy traktować składni jednego producenta jako uniwersalnej dla wszystkich platform.

Tabela: Tryb, Zakres, Typowe użycie
TrybZakresTypowe użycie
Accesszwykle jeden VLAN użytkownikałącze do hosta końcowego
Trunkwiele VLAN-ówłącze przełącznik–przełącznik albo przełącznik–router
Porównanie access, trunk, routed port i SVI
TypPrzenoszony ruchTagTypowe połączeniePrzykładTypowy błąd
Accessjeden VLAN użytkownikazwykle bez tagu do hostaswitch-hostPC w VLAN 10przypisanie do złego VLAN-u
Trunkwiele dozwolonych VLAN-ówtag 802.1Q; native zależny od konfiguracjiswitch-switch lub switch-router/APVLAN 10 i 20 między przełącznikamiallowed/native mismatch
Routed portruch L3 bez funkcji switchportbrak tagu VLAN portu L2switch L3-router lub switch L3-switch L3łącze punkt-punkt z adresem IPpróba dodania do VLAN-u access
SVIinterfejs L3 reprezentujący VLANnie jest fizycznym łączem z tagiemlogiczny interfejs w przełączniku L3brama 192.168.10.1 dla VLAN 10brak aktywnego VLAN-u lub routingu L3
Access jest typowy dla hosta końcowego, trunk dla łączy niosących wiele VLAN-ów.
04

Tag 802.1Q

IEEE 802.1Q dodaje informację VLAN do ramki Ethernet na odpowiednich łączach. VLAN jest logiczną segmentacją, a 802.1Q jest standardowym mechanizmem tagowania ramek używanym do identyfikacji VLAN-ów na łączach.

Tag 802.1Q jest umieszczany w ramce Ethernet pomiędzy Source MAC a EtherType/Length oryginalnej ramki. Cały znacznik ma 4 bajty: 16-bitowy TPID oraz 16-bitowe TCI z polami PCP, DEI i VID.

Dodanie pojedynczego tagu zwiększa ramkę o 4 bajty. Standardowa ramka Ethernet bez VLAN może mieć maksymalnie 1518 B od docelowego MAC do FCS, a ramka z jednym tagiem 802.1Q może mieć 1522 B.

Tabela: Pole, Długość, Wartość, Znaczenie
PoleDługośćWartośćZnaczenie
TPID16 bitówtypowo 0x8100identyfikuje obecność znacznika 802.1Q
PCP3 bity0-7priorytet ruchu; szczegóły QoS poza zakresem
DEI1 bit0 lub 1wskazanie dopuszczalności odrzucenia
VID12 bitów1-4094 dla VLAN-ówidentyfikator VLAN; 0 i 4095 są zarezerwowane
802.1Q jest standardowym mechanizmem tagowania ramek, a nie samym procesem tworzenia VLAN-u.

Ramki

Tagged i untagged

Tagged frame zawiera informację 802.1Q identyfikującą VLAN. Untagged frame nie posiada takiego tagu VLAN w ramce. Na porcie access ruch hosta końcowego jest typowo untagged, a na trunku wiele VLAN-ów jest typowo przesyłanych jako tagged.

Szczegóły zachowania untagged, native VLAN i PVID zależą od urządzenia oraz platformy. Port access zwykle wysyła ramki bez tagu do urządzenia końcowego, natomiast trunk przenosi wiele VLAN-ów.

05

Dwa przełączniki i trunk

PC A i PC B mogą należeć do VLAN 10 mimo tego, że znajdują się na dwóch różnych przełącznikach. Trunk przenosi oznaczenie VLAN między przełącznikami. Jeżeli trunk nie pozwala na VLAN 10, komunikacja w tym VLAN-ie między przełącznikami nie zadziała poprawnie.

Tabela: Host, VLAN, Adres, Port
HostVLANAdresPort
PC AVLAN 10192.168.10.10SW1 access VLAN 10
PC BVLAN 10192.168.10.20SW2 access VLAN 10
PC CVLAN 20192.168.20.20SW2 access VLAN 20

Trunk nie musi przenosić wszystkich VLAN-ów. Lista allowed VLANs może pozwalać np. na VLAN 10 i VLAN 20, ale nie na VLAN 30.

Trunk przenosi oznaczenie VLAN między przełącznikami, a allowed VLAN może ograniczać, które VLAN-y przechodzą.

L2 kontra L3

VLAN a podsieć IP

Często jeden VLAN jest projektowany jako jedna podsieć IP, ale VLAN jest pojęciem warstwy 2, a podsieć IP pojęciem warstwy 3. Nie należy pisać, że VLAN to podsieć.

Tabela: VLAN, Podsieć, Brama
VLANPodsiećBrama
VLAN 10192.168.10.0/24brama domyślna (default gateway) 192.168.10.1
VLAN 20192.168.20.0/24brama domyślna 192.168.20.1
VLAN 30192.168.30.0/24brama domyślna 192.168.30.1
06

Inter-VLAN routing

Same przełączniki L2 nie wykonują automatycznie routingu między podsieciami. Aby komunikować VLAN 10 z VLAN 20, potrzebny jest routing L3 realizowany przez router albo przełącznik warstwy 3.

Tabela: VLAN, Podsieć, Brama domyślna
VLANPodsiećBrama domyślna
VLAN 10192.168.10.0/24192.168.10.1
VLAN 20192.168.20.0/24192.168.20.1

Ten temat łączy się bezpośrednio z materiałem o routingu.

Różne VLAN-y i podsieci wymagają urządzenia L3, aby komunikować się między sobą.
07

Router-on-a-stick i SVI

Router-on-a-stick to rozwiązanie, w którym router komunikuje się z wieloma VLAN-ami przez jedno fizyczne łącze trunk 802.1Q. Router posiada logiczne interfejsy lub subinterfejsy dla poszczególnych VLAN-ów.

SVI, czyli Switched Virtual Interface, na przełączniku warstwy 3 może reprezentować interfejs L3 dla określonego VLAN-u, np. SVI VLAN 10 z adresem 192.168.10.1/24 i SVI VLAN 20 z adresem 192.168.20.1/24.

Tabela: Model, Urządzenie, Opis
ModelUrządzenieOpis
Router-on-a-stickosobny routertrunk do przełącznika i logiczne interfejsy dla VLAN-ów
SVI / przełącznik L3przełącznik warstwy 3logiczne interfejsy VLAN realizują routing
Routing między VLAN-ami może być realizowany przez router z trunkiem albo przez logiczne interfejsy SVI na przełączniku L3.

Dla zainteresowanych

Native VLAN

Na niektórych platformach trunk 802.1Q może mieć koncepcję VLAN-u dla ruchu przesyłanego bez tagu, często nazywaną native VLAN. Zachowanie zależy od producenta i konfiguracji. Nie należy pisać, że VLAN 1 zawsze jest native VLAN ani że native VLAN działa identycznie na każdym sprzęcie.

W używanym w laboratorium Cisco IOS ruch native VLAN jest domyślnie wysyłany trunkiem bez tagu. Native VLAN oraz lista allowed VLAN muszą być zgodne po obu końcach łącza. Niezgodność może przypisać ruch nietagowany do innego VLAN-u, przerwać łączność lub utworzyć trudny do zauważenia problem bezpieczeństwa.

W laboratorium używamy VLAN 999 jako nieużywanego native VLAN, a nie do zwykłego ruchu użytkowników. VLAN 1 jest domyślnym VLAN-em na wielu urządzeniach Cisco, lecz nie jest uniwersalnym ustawieniem wszystkich producentów.

Składnia laboratoryjna

Cisco IOS: utworzenie VLAN-ów

Poniższe polecenia są składnią Cisco IOS używaną w Packet Tracer i NET-03. Nie należy ich traktować jako uniwersalnej składni każdego producenta przełączników.

enable configure terminal vlan 10 name STUDENCI vlan 20 name ADMIN vlan 999 name NATIVE-NIEUZYWANY

Host w VLAN 10

Cisco IOS: port access

interface FastEthernet0/1 description PC-STUDENT switchport mode access switchport access vlan 10 spanning-tree portfast spanning-tree bpduguard enable no shutdown

PortFast przyspiesza uruchomienie portu urządzenia końcowego, ale nie wyłącza STP. BPDU Guard chroni port access przed nieoczekiwanym przełącznikiem wysyłającym BPDU.

Łącze między przełącznikami

Cisco IOS: trunk 802.1Q

interface GigabitEthernet0/1 description TRUNK-DO-S2 switchport mode trunk switchport trunk native vlan 999 switchport trunk allowed vlan 10,20,999 no shutdown

Polecenie switchport trunk encapsulation dot1q występuje tylko na platformach, które pozwalają wybrać typ enkapsulacji. Na części nowszych przełączników i modelach Packet Tracer może być niedostępne, dlatego nie dodajemy go automatycznie.

Sprawdź stan operacyjny

Cisco IOS: weryfikacja

show vlan brief show interfaces trunk show interfaces switchport show interfaces status show mac address-table show running-config interface FastEthernet0/1 show running-config interface GigabitEthernet0/1
Polecenia weryfikacyjne VLAN i trunk w Cisco IOS
PolecenieCo znaleźć w wyniku
show vlan brieflista VLAN-ów oraz portów access przypisanych do każdego VLAN-u
show interfaces trunkporty trunk, stan, enkapsulacja, native VLAN oraz listy VLAN allowed/active/forwarding
show interfaces switchporttryb administracyjny i operacyjny, access VLAN, native VLAN i dozwolone VLAN-y
show interfaces statusstan linku, VLAN lub tryb trunk, prędkość i typ portu
show mac address-tablewyuczone adresy MAC wraz z VLAN-em i portem
show running-config interface FastEthernet0/1rzeczywistą konfigurację portu access, PortFast i BPDU Guard
show running-config interface GigabitEthernet0/1rzeczywistą konfigurację trunku, native VLAN i allowed VLAN

Powiązania

VLAN a DHCP

Jeżeli VLAN 10 używa 192.168.10.0/24, a VLAN 20 używa 192.168.20.0/24, każda sieć może mieć własną pulę DHCP, własną bramę i własne parametry. Gdy serwer DHCP znajduje się w innej podsieci, może być potrzebny DHCP Relay.

Tabela: Element, Adresacja, Uwagi
ElementAdresacjaUwagi
VLAN 10192.168.10.0/24własna pula, brama i parametry DHCP
VLAN 20192.168.20.0/24własna pula, brama i parametry DHCP
DHCP Relaygdy serwer jest w innej podsieciprzekazuje zapytania do serwera DHCP

Wróć do materiału o DHCP, jeżeli chcesz przypomnieć sobie pule i parametry klienta.

Segmentacja

VLAN a bezpieczeństwo

VLAN pomaga w segmentacji sieci, ale VLAN ≠ Firewall. Jeżeli chcemy kontrolować, jaki ruch może przechodzić pomiędzy VLAN-ami, potrzebujemy odpowiednich reguł routingu, firewalla lub ACL zależnie od architektury.

Troubleshooting

Najczęstsze problemy VLAN

  • - port w złym VLAN-ie
  • - błędny VLAN ID
  • - trunk nie przenosi VLAN-u
  • - VLAN nie istnieje na odpowiednim przełączniku
  • - access/trunk mismatch
  • - błędna podsieć IP
  • - błędna brama
  • - brak inter-VLAN routingu
  • - błędna lista allowed VLAN
  • - problemy native/untagged
  • - firewall/ACL blokuje ruch
  • - błędna konfiguracja DHCP/Relay
08

Diagnostyka VLAN

Nie podawaj jednej komendy producenta jako uniwersalnej. Najpierw sprawdź hosta, potem port, istnienie VLAN-u, trunk, allowed VLAN, bramę domyślną, routing między VLAN-ami, firewall/ACL i DHCP/Relay.

Tabela: Krok, Co sprawdzić
KrokCo sprawdzić
1sprawdź adres IP i maskę hosta
2sprawdź przypisanie portu do VLAN-u
3sprawdź, czy VLAN istnieje
4sprawdź trunk
5sprawdź, czy VLAN jest dozwolony na trunku
6sprawdź bramę domyślną
7sprawdź routing między VLAN-ami
8sprawdź firewall/ACL
9sprawdź DHCP/Relay, jeżeli klient nie otrzymuje IP
Diagnostyka VLAN powinna być niezależna od producenta: od hosta i portu, przez trunk, po routing i DHCP.

Zadania

Zadania tematyczne

Odpowiedzi ukryte

Najpierw rozwiąż zadania samodzielnie. Odpowiedzi rozwiń dopiero wtedy, gdy masz własny wynik.

Zadanie 1łatwyPodziel firmę na VLAN 10, VLAN 20 i VLAN 30 dla administracji, studentów i gości.
Sprawdź odpowiedź: Przykład: VLAN 10 Administracja, VLAN 20 Studenci, VLAN 30 Goście. Każdy VLAN jest osobną domeną rozgłoszeniową L2.
Zadanie 2łatwyKtóry port powinien być access: port do PC czy łącze między przełącznikami?
Sprawdź odpowiedź: Typowy port do PC jest portem access przypisanym do jednego VLAN-u użytkownika.
Zadanie 3łatwyKtóry port powinien być trunk: port do hosta czy połączenie przełącznik–przełącznik?
Sprawdź odpowiedź: Typowe połączenie między przełącznikami jest trunkiem, jeżeli ma przenosić wiele VLAN-ów.
Zadanie 4średniCzy hosty VLAN 10 i VLAN 20 mogą komunikować się bez routingu L3?
Sprawdź odpowiedź: Nie w typowym projekcie. Różne VLAN-y są oddzielnymi domenami L2, a komunikacja między nimi wymaga routingu L3.
Zadanie 5średniWyjaśnij różnicę VLAN vs subnet.
Sprawdź odpowiedź: VLAN jest pojęciem warstwy 2, a podsieć IP pojęciem warstwy 3. Często projektuje się jeden VLAN jako jedną podsieć, ale to nie jest to samo.
Zadanie 6łatwyCo oznacza tagged frame?
Sprawdź odpowiedź: To ramka zawierająca tag 802.1Q z informacją identyfikującą VLAN, m.in. pole VID.
Zadanie 7średniCo się stanie, gdy trunk między przełącznikami nie przenosi VLAN 20?
Sprawdź odpowiedź: Ruch VLAN 20 nie przejdzie tym trunkiem, więc hosty VLAN 20 po przeciwnych stronach mogą nie komunikować się poprawnie.
Zadanie 8średniZaprojektuj VLAN 10 → 192.168.10.0/24 i VLAN 20 → 192.168.20.0/24.
Sprawdź odpowiedź: Przykładowo: VLAN 10 ma bramę domyślną 192.168.10.1, a VLAN 20 bramę domyślną 192.168.20.1.
Zadanie 9średniWskaż bramę domyślną dla VLAN 10 i VLAN 20 w przykładzie routingu między VLAN-ami.
Sprawdź odpowiedź: VLAN 10: 192.168.10.1. VLAN 20: 192.168.20.1.
Zadanie 10trudniejszyZnajdź błąd: dwa przełączniki mają VLAN 10, ale trunk nie pozwala VLAN 10.
Sprawdź odpowiedź: Błędem jest lista allowed VLAN na trunku. VLAN 10 musi być dozwolony, aby ruch VLAN 10 przeszedł między przełącznikami.

Pytania kontrolne

Zatrzymaj się i odpowiedz

  1. 1Czym jest VLAN?
  2. 2Czym jest broadcast domain?
  3. 3Czym różni się access od trunk?
  4. 4Czym jest 802.1Q?
  5. 5Czym jest tagged frame?
  6. 6Czy VLAN jest tym samym co podsieć?
  7. 7Po co inter-VLAN routing?
  8. 8Czym różni się router-on-a-stick od SVI?

VLAN i RSTP w praktyce

Przejdź do laboratorium

W ćwiczeniu zbudujesz trójkąt trzech przełączników, skonfigurujesz VLAN 10, 20 i 999, trunki z listą allowed VLAN oraz Rapid PVST+, a następnie zmierzysz rekonwergencję po kontrolowanej awarii łącza.

NET-03 — VLAN, trunk 802.1Q oraz STP/RSTP

Ochronę portów dostępowych w VLAN 10, bazę bindingów DHCP oraz kontrolowane testy DAI, IP Source Guard i BPDU Guard znajdziesz w CYB-03 — Ochrona warstwy drugiej.

Lista: Sieci komputerowe
NAT i PATWi-Fi