VLAN (аббр. от ) — виртуальная локальная компьютерная сеть. Представляет собой группу хостов с общим набором требований, которые взаимодействуют так, как если бы они были подключены к широковещательному домену независимо от их физического местонахождения. VLAN имеет те же свойства, что и локальная сеть, но позволяет конечным членам группироваться вместе, даже если они не находятся в одной физической сети. Такая реорганизация может быть сделана на основе программного обеспечения вместо физического перемещения устройств.
Обозначение членства в VLAN Для этого существуют следующие решения: по порту (, 802.1Q): порту коммутатора вручную назначается один VLAN. В случае, если одному порту должны соответствовать несколько VLAN (например, если соединение VLAN проходит через несколько сетевых коммутаторов), то этот порт должен быть членом транка. Только одна VLAN может получать все кадры, не отнесённые ни к одной VLAN (в терминологии 3Com, Planet, D-Link, Zyxel, HP — untagged, в терминологии Cisco, Juniper, Eltex — native VLAN). Сетевой коммутатор будет добавлять метки данной VLAN ко всем принятым кадрам, не имеющим никаких меток. VLAN, построенные на базе портов, имеют некоторые ограничения. по MAC-адресу (MAC-based): членство в VLAN'e основывается на MAC-адресе рабочей станции (компьютера). В таком случае сетевой коммутатор имеет таблицу MAC-адресов всех устройств вместе с VLAN'ами, к которым они принадлежат. по протоколу (Protocol-based): данные 3-4 уровня в заголовке инкапсулированного в кадр пакета используются, чтобы определить членство в VLAN'e. Например, IP-машины могут быть переведены в первую VLAN, а AppleTalk-машины - во вторую. Основной недостаток этого метода в том, что он нарушает независимость уровней, поэтому, например, переход с IPv4 на IPv6 приведет к нарушению работоспособности сети. методом аутентификации (): устройства могут быть автоматически перемещены в VLAN, основываясь на данных аутентификации пользователя или устройства при использовании протокола 802.1X.
VLAN в Cisco В устройствах Cisco протокол VTP () предусматривает VLAN-домены для упрощения администрирования. VTP также выполняет «чистку» трафика, направляя VLAN-трафик только на те коммутаторы, которые имеют целевые VLAN-порты (функция VTP pruning). Коммутаторы Cisco в основном используют протокол 802.1Q Trunk вместо устаревшего проприетарного ISL () для обеспечения совместимости информации.
По умолчанию на каждом порту коммутатора имеется сеть VLAN1- или VLAN-управления. Сеть управления не может быть удалена, однако могут быть созданы дополнительные сети VLAN и этим альтернативным VLAN могут быть дополнительно назначены порты.
Native VLAN — это параметр каждого порта, который определяет номер VLAN, который получают все непомеченные (untagged) пакеты.
В Cisco используется следующая терминология портов: access port — порт, принадлежащий одному VLAN’у и передающий нетегированный трафик. По спецификации cisco, access порт может принадлежать только одному VLAN’у, по умолчанию это первый (нетегированный) VLAN. Любой кадр, который проходит через access порт, помечается номером, принадлежащим этому VLAN’у. trunk port — порт, передающий тегированный трафик одного или нескольких VLAN’ов. Этот порт, наоборот, не изменяет тег, а лишь пропускает кадры с тегами, которые разрешены на этом порту.
Для того, чтобы передать через порт трафик нескольких VLAN, порт переводится в режим транка.
Режимы интерфейса (режим по умолчанию зависит от модели коммутатора): auto — Порт находится в автоматическом режиме и будет переведён в состояние trunk, только если порт на другом конце находится в режиме on или desirable. То есть, если порты на обоих концах находятся в режиме «auto», то trunk применяться не будет. desirable — порт находится в режиме «готов перейти в состояние trunk»; периодически передает DTP-кадры порту на другом конце, запрашивая удаленный порт перейти в состояние trunk (состояние trunk будет установлено, если порт на другом конце находится в режиме on, desirable или auto). trunk — Порт постоянно находится в состоянии trunk, даже если порт на другом конце не поддерживает этот режим. nonegotiate — порт готов перейти в режим trunk, но при этом не передает DTP-кадры порту на другом конце. Этот режим используется для предотвращения конфликтов с другим «не-cisco» оборудованием. В этом случае коммутатор на другом конце должен быть вручную настроен на использование trunk’а.
По умолчанию в транке разрешены все VLAN. Для того, чтобы через соответствующий VLAN в транке передавались данные, как минимум, необходимо, чтобы VLAN был активным. Активным VLAN становится тогда, когда он создан на коммутаторе и в нём есть хотя бы один порт в состоянии up/up.
VLAN в Windows Поддержка VLAN в Windows предоставляется как часть Hyper-V (сами виртуальные машины создавать не обязательно) или же как часть технологии NIC Teaming (также называемой LBFO), которая аналогична interface bonding в Linux.
Поддержка VLAN в Hyper-V: требует использования команд PowerShell, GUI для управления отсутствует обязательно использует pseudo-Ethernet адаптеры со своими собственными «ненастоящими» MAC-адресами, разные VLAN могут быть выведены только на разные MAC-адреса.
Shortest Path Bridging Shortest Path Bridging (IEEE 802.1aq) предлагает масштабируемость до 16 миллионов против лимита в 4096 у VLAN.
Предоставляемые возможности логическое деление коммутатора на несколько не сообщающихся между собой сетей устройство такового деления на сети с 2 или более коммутаторами без требования проведения дополнительных кабелей. асимметричные VLAN. В этом случае порт (не trunk, по кабелю движутся кадры без тега 802.1Q) подключен к одной внутренней VLAN коммутатора по входящим кадрам (она называется PVID), и к более чем одной внутренней VLAN коммутатора по исходящим кадрам. При этом может отсутствовать подключение по исходящим кадрам к PVID VLAN. через предыдущий пункт реализуется и более высокоуровневая абстракция — Promiscuous/Community/Isolated порты. В этом случае используется логическое вложение нескольких вторичных VLAN в одну первичную. Promiscuous порт (порт на первичной VLAN) может общаться с любым Promiscuous/Community/Isolated портом как на первичной, так и на любой вложенной в неё вторичной VLAN. Community порт (порт на вторичной VLAN) может общаться с любым Promiscuous портом, а также с любым Community портом в пределах своей вторичной VLAN. Isolated порт (тоже порт на вторичной VLAN, но это специальная isolated VLAN, которая может быть только одна в данной первичной VLAN) может общаться только с Promiscuous портами, и не может общаться даже с другими Isolated портами (подход «все клиенты видят сервер и не видят друг друга», часто используется в «гостевых» Wi-Fi сетях). двухуровневое вложение VLAN меток в кадр, а также трансляция значений меток «на лету». Данная технология называется QinQ, и поддерживается не во всех устройствах с поддержкой VLAN.
См. также IEEE 802.1 Технология VXLAN, технология сетевой виртуализации, созданной для решения проблем масштабируемости в больших системах облачных вычислений
Примечания
Литература Эндрю Таненбаум, 2003, «Computer Networks», Pearson Education International, New Jersey.
Ссылки RFC3069 VLAN Aggregation for Efficient IP Address Allocation IEEE’s 802.1Q standard 1998 version (2003 version )(2005 version ) Cisco’s Overview of Routing between Virtual LANs Cisco’s Bridging Between IEEE 802.1Q VLANs white paper University of California’s VLAN Information Виртуальная реальность или что такое vlan
Категория:Интернет-протоколы Категория:Виртуальные локальные сети