НАЗНАЧЕНИЕ VLAN
Смысл использования VLAN – это очень скучная тема. Есть три возможные причины:
*️⃣ Необходимо разделение по группам безопасности. Пример: отделить трафик одного отдела от трафика другого отдела.
*️⃣ Необходимо разделение по типам трафика. Пример: выделение IP-телефонии, видеонаблюдения и т.д. в отдельные VLAN'ы.
*️⃣ Необходимо ограничение широковещательного домена. Требуется в очень больших сетях.
Все остальное – это, по сути, производные или другие названия озвученных выше причин.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
Смысл использования VLAN – это очень скучная тема. Есть три возможные причины:
*️⃣ Необходимо разделение по группам безопасности. Пример: отделить трафик одного отдела от трафика другого отдела.
*️⃣ Необходимо разделение по типам трафика. Пример: выделение IP-телефонии, видеонаблюдения и т.д. в отдельные VLAN'ы.
*️⃣ Необходимо ограничение широковещательного домена. Требуется в очень больших сетях.
Все остальное – это, по сути, производные или другие названия озвученных выше причин.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
👍37🔥5
СХЕМА ДЛЯ СЛЕДУЮЩЕГО ВОПРОСА
Между всеми устройствами, относящимися к любой одной и той же VLAN, есть связь друг с другом. Связь между устройствами из разных VLAN выполняется через маршрутизатор. На маршрутизаторе и коммутаторах настроено использование VLAN. Компьютеры отправляют нетегированные кадры, IP-телефоны отправляют тегированные кадры, любые устройства, находящиеся за беспроводными точками доступа, отправляют нетегированные кадры. Настройки делались по принципу "необходимый минимум". На схеме есть, как минимум, по одному порту каждого типа: нетегированный, тегированный и гибридный.
Нетегированные порты (untagged) также известны как порты доступа (access), а тегированные порты (tagged) также известны как транки (trunk).
P.S. Access-порт = untagged-порт.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
Между всеми устройствами, относящимися к любой одной и той же VLAN, есть связь друг с другом. Связь между устройствами из разных VLAN выполняется через маршрутизатор. На маршрутизаторе и коммутаторах настроено использование VLAN. Компьютеры отправляют нетегированные кадры, IP-телефоны отправляют тегированные кадры, любые устройства, находящиеся за беспроводными точками доступа, отправляют нетегированные кадры. Настройки делались по принципу "необходимый минимум". На схеме есть, как минимум, по одному порту каждого типа: нетегированный, тегированный и гибридный.
Нетегированные порты (untagged) также известны как порты доступа (access), а тегированные порты (tagged) также известны как транки (trunk).
P.S. Access-порт = untagged-порт.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
👍5
НЕТЕГИРОВАННЫЕ ПОРТЫ ВО VLAN
Нетегированный порт – порт, который принимает и отправляет только нетегированные кадры, которые могут принадлежать только к одному VLAN ID.
Нетегированные порты (untagged) также известны как порты доступа (access port).
Нетегированные порты чаще всего используются для подключения конечных устройств. Но бывают и исключения.
На приведенной схеме нетегированными (access) портами являются: SW1 ether2, SW2 ether2.
Теоретически SW2 ether2 можно настроить на отправку тегированных кадров, но это не будет иметь практического смысла. Так как в таком случае для доставки кадров от беспроводных клиентов к кадрам надо будет добавить тег, несмотря на то что в приведенной топологии можно обойтись и без этого.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
Нетегированный порт – порт, который принимает и отправляет только нетегированные кадры, которые могут принадлежать только к одному VLAN ID.
Нетегированные порты (untagged) также известны как порты доступа (access port).
Нетегированные порты чаще всего используются для подключения конечных устройств. Но бывают и исключения.
На приведенной схеме нетегированными (access) портами являются: SW1 ether2, SW2 ether2.
Теоретически SW2 ether2 можно настроить на отправку тегированных кадров, но это не будет иметь практического смысла. Так как в таком случае для доставки кадров от беспроводных клиентов к кадрам надо будет добавить тег, несмотря на то что в приведенной топологии можно обойтись и без этого.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
👍16
ТЕГИРОВАННЫЕ ПОРТЫ В VLAN
Тегированный порт – порт, который принимает и отправляет тегированные кадры.
Тегированные порты (tagged) также известны как транк-порты (trunk).
Тегированные порты чаще всего используются для соединения промежуточных устройств, когда требуется по одной линии связи одновременно передавать кадры, относящиеся к разным VLAN. Таким образом возможна одновременная передача кадров, относящихся к двум, трем, четырем и более различным VLAN ID.
Через тегированные порты возможна одновременная передача:
* тегированных кадров, относящихся к разным VLAN ID;
* нетегированных кадров, относящихся к одному VLAN ID.
На приведенной схеме тегированными портами являются: SW1 ether1, SW1 ether4, SW2 ether1 и SW2 ether4.
Являются спорными портами: SW1 ether3 и SW2 ether3. Хотя тут, по классике, "все очень сложно". Почему сложно я расскажу в следующем посте.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
Тегированный порт – порт, который принимает и отправляет тегированные кадры.
Тегированные порты (tagged) также известны как транк-порты (trunk).
Тегированные порты чаще всего используются для соединения промежуточных устройств, когда требуется по одной линии связи одновременно передавать кадры, относящиеся к разным VLAN. Таким образом возможна одновременная передача кадров, относящихся к двум, трем, четырем и более различным VLAN ID.
Через тегированные порты возможна одновременная передача:
* тегированных кадров, относящихся к разным VLAN ID;
* нетегированных кадров, относящихся к одному VLAN ID.
На приведенной схеме тегированными портами являются: SW1 ether1, SW1 ether4, SW2 ether1 и SW2 ether4.
Являются спорными портами: SW1 ether3 и SW2 ether3. Хотя тут, по классике, "все очень сложно". Почему сложно я расскажу в следующем посте.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
👍16😁3👎1
ГИБРИДНЫЕ ПОРТЫ В VLAN (ИЛИ ПРОСТОР ДЛЯ ФАНТАЗИИ)
Прежде всего скажу, что при определении того, что такое "гибридный порт", появляется простор для фантазии, т.к. в стандарте относительно него ничего не сказано. В общем смысле гибридный порт и тегированный порт – это одно и то же: может быть использовано более одного VLAN ID с тегированными кадрами и один VLAN ID с нетегированными кадрами. Далее каждый вендор трактует этот термин по-своему. Например, указывая, что гибридный порт отличается от транк-порта тем, что для гибридного порта можно задать больший набор настроек.
Ниже я дам то определение гибридного порта, к которому я пришел, общаясь с официальной технической поддержкой MikroTik. При этом надо учитывать два нюанса:
* Это определение отсутствует в официальной документации.
* Это позиция именно компании MikroTik, которая не является истиной в последней инстанции.
Гибридные порты – порты, которые одновременно используются для:
* подключения конечных устройств,
* передачи тегированного трафика одной VLAN,
* передачи нетегированного трафика одной VLAN.
В таком случае мы получаем заметную разницу в определении транковых и гибридных портов.
Если исходить из данного определения, на приведенной ранее схеме гибридными портами являются SW1 ether3 и SW2 ether3.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
Прежде всего скажу, что при определении того, что такое "гибридный порт", появляется простор для фантазии, т.к. в стандарте относительно него ничего не сказано. В общем смысле гибридный порт и тегированный порт – это одно и то же: может быть использовано более одного VLAN ID с тегированными кадрами и один VLAN ID с нетегированными кадрами. Далее каждый вендор трактует этот термин по-своему. Например, указывая, что гибридный порт отличается от транк-порта тем, что для гибридного порта можно задать больший набор настроек.
Ниже я дам то определение гибридного порта, к которому я пришел, общаясь с официальной технической поддержкой MikroTik. При этом надо учитывать два нюанса:
* Это определение отсутствует в официальной документации.
* Это позиция именно компании MikroTik, которая не является истиной в последней инстанции.
Гибридные порты – порты, которые одновременно используются для:
* подключения конечных устройств,
* передачи тегированного трафика одной VLAN,
* передачи нетегированного трафика одной VLAN.
В таком случае мы получаем заметную разницу в определении транковых и гибридных портов.
Если исходить из данного определения, на приведенной ранее схеме гибридными портами являются SW1 ether3 и SW2 ether3.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
👍15🔥4
ТЕХНОЛОГИЯ VLAN
VLAN (Virtual Local Area Network) – технология, позволяющая изолировать L2-сегменты независимо от физической топологии. Технология описана в IEEE 802.1Q (dot one q).
Тег VLAN – поле, которое добавляется в кадр Ethernet для идентификации VLAN.
Нетегированный кадр – кадр, у которого отсутствует VLAN-тег.
Тегированный кадр – кадр, к которому добавлен VLAN-тег.
VLAN ID – уникальный идентификатор VLAN.
Native VLAN – VLAN ID, к которому будут отнесены кадры без VLAN-тега, пришедшие на интерфейс с поддержкой 802.1Q.
Default VLAN (терминология Cisco) – VLAN ID, к которому по умолчанию относятся все порты.
Default VLAN и Native VLAN – это не одно и то же, несмотря на то что их номера могут совпадать.
Любые коммутаторы могут коммутировать тегированные кадры. Зачастую можно встретить уточнение "но при условии, что коммутатор поддерживает кадры увеличенного размера". VLAN-тег увеличивает размер кадра на 4 байта. В наше время любые, даже самые дешевые неуправляемые коммутаторы поддерживают кадры хотя бы на несколько сотен байтов большего размера относительно максимально возможного размера кадра формата Ethernet II. Поэтому оговорка более не является актуальной.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
VLAN (Virtual Local Area Network) – технология, позволяющая изолировать L2-сегменты независимо от физической топологии. Технология описана в IEEE 802.1Q (dot one q).
Тег VLAN – поле, которое добавляется в кадр Ethernet для идентификации VLAN.
Нетегированный кадр – кадр, у которого отсутствует VLAN-тег.
Тегированный кадр – кадр, к которому добавлен VLAN-тег.
VLAN ID – уникальный идентификатор VLAN.
Native VLAN – VLAN ID, к которому будут отнесены кадры без VLAN-тега, пришедшие на интерфейс с поддержкой 802.1Q.
Default VLAN (терминология Cisco) – VLAN ID, к которому по умолчанию относятся все порты.
Default VLAN и Native VLAN – это не одно и то же, несмотря на то что их номера могут совпадать.
Любые коммутаторы могут коммутировать тегированные кадры. Зачастую можно встретить уточнение "но при условии, что коммутатор поддерживает кадры увеличенного размера". VLAN-тег увеличивает размер кадра на 4 байта. В наше время любые, даже самые дешевые неуправляемые коммутаторы поддерживают кадры хотя бы на несколько сотен байтов большего размера относительно максимально возможного размера кадра формата Ethernet II. Поэтому оговорка более не является актуальной.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
👍27🔥2
VLAN ради VLAN
Как вы знаете, я являюсь практикующим инженером, а не космонавтом-теоретиком, который пересказывает своим слушателям чужие книжки. Более чем в половине случаев клиент приходит не с проблемой, а с конкретным решением, которое он хочет реализовать. Но я придерживаюсь принципа, что клиенту надо дать не то, что он хочет, а то, что ему на самом деле нужно. Поэтому, когда я обсуждаю новые проекты, я в первую очередь интересуюсь, зачем надо сделать настройку, а не как именно клиент хочет, чтобы я ее сделал.
Очень часто меня просят настроить VLAN на топологии, которая приведена на схеме выше. Каждая сеть находится в своем отдельном L2- и L3-сегменте. На маршрутизаторе MikroTik интерфейсы не объединены через bridge-интерфейс. При этом каждую из трех сетей хотят вынести в свою отдельную VLAN. Не внутри отдельной сети сделать разбиение на VLAN, а именно каждую отдельную сеть вынести в одну отдельную VLAN.
Настройка VLAN на MikroTik'ах очень замороченная. Намного сложнее, чем, например, у Cisco. На вопрос "Зачем вы хотите настроить VLAN?", как правило, говорят что-то абстрактное или высказывают аргументы, которые не выдерживают никакой критики. Ниже я приведу самые популярные "аргументы" и мои ответы на них. Здесь я буду писать их, возможно, в несколько циничном виде. Клиенты получают ответы в более вежливой форме.
Аргумент: использовать VLAN – это правильно.
Ответ: полностью согласен, что использовать VLAN – это правильно. Но ведь не везде же вообще, где VLAN можно настроить.
Аргумент: нам надо ограничить прохождение широковещательного трафика между VLAN.
Ответ: так он и так уже ограничен маршрутизатором. Использование VLAN ничего дополнительного не даст.
Аргумент: нам надо настроить ограничение прохождения трафика между отделами/сетями.
Ответ: независимо от наличия или отсутствия VLAN это ограничение должно настраиваться на маршрутизаторе. Использование VLAN ничего дополнительного не даст.
Аргумент: это общепринятая практика настраивать VLAN заранее, даже если сейчас они не нужны.
Ответ: общепринятая у кого? Лично я не видел такую рекомендацию ни у одного из вендоров. Настроить что-то сейчас, чтобы потом переделывать эту настройку, которая сейчас ничего не даст.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
Как вы знаете, я являюсь практикующим инженером, а не космонавтом-теоретиком, который пересказывает своим слушателям чужие книжки. Более чем в половине случаев клиент приходит не с проблемой, а с конкретным решением, которое он хочет реализовать. Но я придерживаюсь принципа, что клиенту надо дать не то, что он хочет, а то, что ему на самом деле нужно. Поэтому, когда я обсуждаю новые проекты, я в первую очередь интересуюсь, зачем надо сделать настройку, а не как именно клиент хочет, чтобы я ее сделал.
Очень часто меня просят настроить VLAN на топологии, которая приведена на схеме выше. Каждая сеть находится в своем отдельном L2- и L3-сегменте. На маршрутизаторе MikroTik интерфейсы не объединены через bridge-интерфейс. При этом каждую из трех сетей хотят вынести в свою отдельную VLAN. Не внутри отдельной сети сделать разбиение на VLAN, а именно каждую отдельную сеть вынести в одну отдельную VLAN.
Настройка VLAN на MikroTik'ах очень замороченная. Намного сложнее, чем, например, у Cisco. На вопрос "Зачем вы хотите настроить VLAN?", как правило, говорят что-то абстрактное или высказывают аргументы, которые не выдерживают никакой критики. Ниже я приведу самые популярные "аргументы" и мои ответы на них. Здесь я буду писать их, возможно, в несколько циничном виде. Клиенты получают ответы в более вежливой форме.
Аргумент: использовать VLAN – это правильно.
Ответ: полностью согласен, что использовать VLAN – это правильно. Но ведь не везде же вообще, где VLAN можно настроить.
Аргумент: нам надо ограничить прохождение широковещательного трафика между VLAN.
Ответ: так он и так уже ограничен маршрутизатором. Использование VLAN ничего дополнительного не даст.
Аргумент: нам надо настроить ограничение прохождения трафика между отделами/сетями.
Ответ: независимо от наличия или отсутствия VLAN это ограничение должно настраиваться на маршрутизаторе. Использование VLAN ничего дополнительного не даст.
Аргумент: это общепринятая практика настраивать VLAN заранее, даже если сейчас они не нужны.
Ответ: общепринятая у кого? Лично я не видел такую рекомендацию ни у одного из вендоров. Настроить что-то сейчас, чтобы потом переделывать эту настройку, которая сейчас ничего не даст.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
👍42🔥8👎4
ОСОБЕННОСТЬ ДИАПАЗОНОВ IP-АДРЕСОВ 192.0.2.0/24, 198.51.100.0/24 и 203.0.113.0/24
Данные диапазоны отличаются тем, что предназначены для использования в документации и примерах, когда нужно показать белый IP-адрес. Выделение данных диапазонов регламентируется RFC 5735, и они носят наименования TEST-NET-1, TEST-NET-2 и TEST-NET-3.
Как и диапазоны серых сетей данные адреса не должны маршрутизироваться в сети Интернет, также их не следует использовать во внутренних сетях.
Раз уж мы коснулись примеров и документации, то будет уместно вспомнить еще и RFC 2606 который регламентирует выделение доменных зон и имен для тех же самых целей.
Так в качестве примеров и использования в документации зарезервированы следующие домены верхнего уровня:
.test
.example
.invalid
.localhost
При этом следует помнить, что домен .localhost традиционно разрешается в IP-адрес петлевого интерфейса 127.0.0.1 и любое иное его использование будет конфликтовать с реально используемым сценарием.
Для документации рекомендуется использовать домен .example, а домен .test для тестирования и лабораторных сред. Основное назначение домена .invalid – это создание имен, которые очевидно являются недействительными, в тех случаях, когда есть такая явная необходимость.
Также для использования в примерах, когда нужно явно указать некоторое доменное имя зарезервированы домены:
example.com
example.net
example.org
Только эти три и никакие иные. Особенно это касается русскоязычной части сети, где для примеров любят использовать иные имена, которые не являются зарезервированными.
Но если сильно хочется русскоязычный домен, то можно использовать для примеров и документации домен верхнего уровня .испытание (xn--80akhbyknj4f).
Никакие иные адреса и доменные имена в примерах и документации использоваться не должны, особенно если они являются действительными и принадлежат иным владельцам, либо же могут быть выданы или зарегистрированы.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
Данные диапазоны отличаются тем, что предназначены для использования в документации и примерах, когда нужно показать белый IP-адрес. Выделение данных диапазонов регламентируется RFC 5735, и они носят наименования TEST-NET-1, TEST-NET-2 и TEST-NET-3.
Как и диапазоны серых сетей данные адреса не должны маршрутизироваться в сети Интернет, также их не следует использовать во внутренних сетях.
Раз уж мы коснулись примеров и документации, то будет уместно вспомнить еще и RFC 2606 который регламентирует выделение доменных зон и имен для тех же самых целей.
Так в качестве примеров и использования в документации зарезервированы следующие домены верхнего уровня:
.test
.example
.invalid
.localhost
При этом следует помнить, что домен .localhost традиционно разрешается в IP-адрес петлевого интерфейса 127.0.0.1 и любое иное его использование будет конфликтовать с реально используемым сценарием.
Для документации рекомендуется использовать домен .example, а домен .test для тестирования и лабораторных сред. Основное назначение домена .invalid – это создание имен, которые очевидно являются недействительными, в тех случаях, когда есть такая явная необходимость.
Также для использования в примерах, когда нужно явно указать некоторое доменное имя зарезервированы домены:
example.com
example.net
example.org
Только эти три и никакие иные. Особенно это касается русскоязычной части сети, где для примеров любят использовать иные имена, которые не являются зарезервированными.
Но если сильно хочется русскоязычный домен, то можно использовать для примеров и документации домен верхнего уровня .испытание (xn--80akhbyknj4f).
Никакие иные адреса и доменные имена в примерах и документации использоваться не должны, особенно если они являются действительными и принадлежат иным владельцам, либо же могут быть выданы или зарегистрированы.
🔶 ОНЛАЙН-КУРС «АРХИТЕКТУРА СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ» 🔶
👍37🔥11