VLAN: секреты успешной настройки и оптимизации
Содержание:
О технологии VLAN
Технология виртуализации прочно заняла свои позиции во многих сферах жизни. Ее отличительная особенность — более эффективное использование и перераспределение вычислительных ресурсов — позволила совершенствовать работу локальных сетей. Ранее ЛВС состояли из нескольких устройств, площадь размещения которых ограничивалась территорией одного помещения. Например, к одному маршрутизатору с помощью ethernet-кабеля и технологии Wi-Fi подсоединяли разные гаджеты (от компьютера до смартфона). Сегодня же в виртуальную локальную сеть VLAN (Virtual Local Area Network) возможно объединить устройства, даже если между ними имеется значительное расстояние. Также эта технология позволяет выделить из одной масштабной локальной сети некоторое количество менее объемных подсетей без приобретения лишних фрагментов аппаратной части.
Зачем нужна сеть VLAN
VLAN создают, когда появляется необходимость в:
- Гибкой конфигурации. Посредством VLAN возможно разделить ЛВС на подсети: подключить рабочие места одной подсети к различным коммутаторам либо, напротив, устройства различных подсетей — к одному свитчу.
- Повышении эффективности. Посредством VLAN подсеть разъединяют на логические участки, где все подключенные узлы способны обмениваться сообщениями посредством широковещания на канальном уровне OSI. Выстраивание системы таким образом снижает широковещательный трафик в сети, что уменьшает нагрузку на рабочие места и повышает эффективность VLAN в целом.
- Увеличении уровня безопасности. Компьютеры, размещенные в различных подсетях, не способны коммуницировать друг с другом, что минимизирует возможность незаконного проникновения. Рабочие места связываются между собой посредством маршрутизатора.
Маршрутизатор выполняет еще одну роль — настройку политик безопасности, применяемых одновременно ко всем компьютерам одной VLAN-сети.
Как используют VLAN
VLAN возможно применять в различных случаях.
| Принцип | Пример |
|---|---|
| Объединение в одну сеть устройств, которые в реальности подсоединены к отдельным коммутаторам. | В организации функционирует 2 филиала. Необходимо объединить рабочие места так, как если бы они реально находились в одной подсети. В каждом филиале имеется, например, логистический и бухгалтерский отделы. Для решения задачи создаются 2 VLAN-сети, и в одну помещаются компьютеры бухгалтеров обоих филиалов, в другую — логистов. Устройства будут функционировать так, как будто подсоединены к одному коммутатору (свитчу). |
| Распределение по разным сетям устройств, которые в реальности подсоединены к одному коммутатору. | В организации все рабочие места подсоединены к одному коммутатору. Необходимо разделить их на подсети так, чтобы они не видели друг друга. Имеются, например, бухгалтерский и IT-отделы. Для решения задачи создаются 2 VLAN-сети, и в одну помещаются компьютеры айтишников, в другую — бухгалтеров. Таким образом достигается их взаимная изолированность. |
| Изолирование сети для гостей от рабочей сети организации. | Выделение для гостей изолированной VLAN-сети позволит обезопасить конфиденциальные сведения компании. |
| Развертывание интернет-провайдерами серверов широкополосного удаленного доступа BRAS. | Посредством BRAS поставщики интернет-услуг предоставляют клиентам доступ к глобальной сети, устанавливают тарифные планы и присваивают айпи, учитывают и фильтруют трафик. |
Принципы работы
VLAN функционирует на канальном уровне модели OSI. Принадлежность подсети возможно определить по уникальному идентификатору. Сведения о нем размещены в особом теге тела Ethernet-фрейма (фрейм — один из кадров, на которые разделены передаваемые данные) VLAN-сети. Самым популярным стандартом, используемым для работы подсетей, является IEEE 802.1Q. Именно с помощью тега система выполняет следующие задачи:
- устанавливает, какой VLAN-сети принадлежит пакет данных;
- выполняет фильтрацию пакетов;
- решает, что далее делать с пакетами: убрать тег и переслать конечному абоненту, запретить передачу либо сохранить тег и передать следующему получателю.
Правила, которые устанавливают действия с конкретным пакетом, прямо связаны с режимом функционирования порта коммутатора, зависящего от параметров сетевого оборудования.
Режимы функционирования портов коммутаторов
В зависимости от того, поддерживает ли используемая в системе аппаратная часть VLAN или нет, применяются различные порты — Access либо Trunk.
| Действия | Access-порт | Trunk-порт |
|---|---|---|
| Передача трафика | Информация без тега | Информация без тега и тегированная информация |
| Присоединение пользовательских устройств | Не имеющих поддержку VLAN | Имеющих поддержку VLAN (чаще всего trunk-порт служит для создания подключения между коммутаторами) |
| Работа с информацией без тега, полученной от подключенных конечных абонентов | Добавляет Ethernet-фреймам общий тег с номером подсети, затем производит действия с тегированным пакетом | |
| Работа с информацией без тега, полученной из основной сети | Сверяет VLAN-идентификатор принимаемой информации с номером своей VLAN-сети. При совпадении передает сведения подключенным устройствам, удаляя тег, чем обеспечивает работу без поддержки VLAN. При несовпадении отбрасывает кадр, запрещая передачу из «незнакомой» подсети. | |
| Работа с тегированной информацией | — | Если VLAN-идентификатор тегированной информации данных отличается от номера порта, то коммутатор сравнивает его с перечнем «знакомых» VLAN-сетей. При совпадении информация передается следующему устройству без корректировки тега. Если же идентификатор говорит о принадлежности сведений «незнакомой» VLAN-сети, то такой пакет отбрасывается. |
Преимущества применения VLAN
Применение VLAN-технологии имеет неоспоримые преимущества:
- Повышение производительности. При назначении кадра узлу с неизвестным MAC широковещательный запрос направляется на все порты. Это отрицательно сказывается на производительности, т. к. кадры поступают на все устройства, даже туда, куда не нужно. VLAN же отправляет запрос только определенному сетевому сегменту.
- Усиление безопасности. Устройства получают доступ к информации и трафику только «своей» VLAN-сети. Ресурсы других подсетей при этом недоступны.
- Простота и удобство управления. Используя технологию VLAN, проще совершенствовать сеть, выполнять поиск и устранение неполадок.
- Уменьшение расходов. Чтобы развернуть новую подсеть, нет необходимости приобретать дополнительное сетевое оборудование, достаточно произвести настройку новой VLAN.
Поэтому технология сейчас активно применяется в организациях различного масштаба и сфер деятельности.
Разница между VLAN и VPN
Пользователи, глубоко не вникающие в тему, часто не понимают разницы между VLAN и VPN.
| VLAN | VPN |
|---|---|
| Применяют для создания групп устройств. Компьютеры могут работать от разных коммутаторов, но взаимодействовать так, как если бы были подсоединены к одному свитчу, и напротив. | Служит для выхода в частную сеть посредством ресурсов общего доступа. |
| В организациях применяют для разделения одной ЛВС на логические участки. | В организациях применяют для обмена конфиденциальной информацией с удаленными рабочими местами, т. к. сведения передаются при помощи шифрования. |
Заключение
VLAN (Virtual Local Area Network) представляет собой эффективный способ организации сетей, позволяющий улучшить их безопасность и производительность. Посредством VLAN возможно разделить одну физическую сеть на несколько логических сегментов, что повышает уровень безопасности и управляемости. Также VLAN обеспечивает гибкость в управлении трафиком и ресурсами сети, что делает ее более эффективной и масштабируемой. Внедрение VLAN может быть особенно полезным для крупных организаций с разветвленной инфраструктурой, где требуется четкое разделение трафика и управление доступом к ресурсам. Компания «АйТиСпектр» предлагает вам грамотную консультацию по вопросу развертывания и настройки VLAN, а также услуги по администрированию сетей.
Какие проблемы могут возникнуть при настройке VLAN?
Проблемы могут возникнуть из-за неправильной настройки trunk-портов, неправильного назначения портов к VLAN или конфликтов в настройках VLAN.
Можно ли использовать VLAN для сегментации трафика в облачной среде?
Да, VLAN можно использовать для сегментации трафика в облачной среде, что поможет повысить безопасность и управляемость сети.
Как проверить работоспособность VLAN?
Для проверки работоспособности VLAN можно использовать утилиты для мониторинга трафика, а также выполнять тестирование соединений между устройствами в разных подсетях.
К сожалению, когда мы в организации масштабировали сеть с использованием VLAN, у нас возникла проблема с производительностью коммутаторов, а также не хватило ресурсов для развертывания нескольких подсетей.
У нас в бухгалтерском и логистическом отделах установлены устройства разных производителей. Когда мы решили объединить их в один VLAN, возникли проблемы их совместимости и конфликты в настройках, а также стал некорректно распределяться трафик.