13 Virtual local area network

Transcriptie

1 13 Virtual local area network 13.1 Definitie Wanneer je verschillende subnets wilt implementeren voor verschillende toepassingen of apparaten, kan je er voor kiezen om fysieke es te gaan gebruiken. Maar als het bijvoorbeeld over 20 subnets hebt, is het niet praktisch om 20 es te gaan inzetten. Een vlan is een verzameling computers in een LAN die met elkaar kunnen communiceren alsof ze deel uitmaken van een enkelvoudige, geisoleerde LAN. Een vlan wordt gerealiseerd op de datalinklaag en bestaat uit een groep eindstations en es die logisch gezien één enkel gemeenschappelijk local area network (LAN) vormen, maar zich in één of meer fysieke netwerken kunnen bevinden. Op deze wijze kunnen logisch gescheiden netwerken gerealiseerd worden die fysieke hardware zoals es en bekabeling delen, wat een kostenbesparing kan betekenen. In een fysiek netwerk bestaan typisch verschillende VLAN s naast elkaar. Om gebruik te kunnen maken van vlans is een managed Switch nodig, eentje die dus beheerd kan worden. Het is het noodzakelijk dat dit een Layer 2 Switch is aangezien vlans op layer 2 (Data link layer) van het OSI model opereren : Een vlan is niks anders als een virtuele. Op een managed is het mogelijk om in 1 fysieke meerdere virtuele es te configureren en daar poorten aan toe te wijzen. Belangrijkste doelstelling om een netwerk op te splitsen in een aantal vlan s is een reductie van overbelasting in een grote LAN, dus een verbetering van performantie. Daarnaast geven vlan s de mogelijkheid om: + vorming van virtuele werkgroepen, bijvoorbeeld per project een vlan; + grotere flexibiliteit voor gebruikers die met hun laptop van de ene plaats naar de andere plaats bewegen en toch in hetzelfde subnet willen blijven werken; + afschermen van bepaalde resources (servers, printers) door deze in een aparte vlan te plaatsen; gebruikers in andere vlan s krijgen selectief toegang. VLAN s bestaan in verschillende technologieën, zoals ethernet, ATM, InfiniBand, enz Evolutie 1. coax: CSMA/CD 2. hub: L1 (fysische laag) multi-port repeater op een poort ontvangen signaal wordt over alle poorten doorgestuurd twee of meer apparaten die tegelijk sturen: botsing (collision domain) half duplex: aangesloten appraaten kunnen niet tegelijk zenden en ontvangen 3. : L2 (data link laag) brug met kennis van L2 MAC adressen MACadres-poort mapping: weet welke apparaten aangesloten zijn ontvangen signaal wordt alleen naar de specifieke poort doorgestuurd een broadcast wordt naar alle poorten doorgestuurd (broadcast domain) full duplex: verschillende aangesloten apparaten kunnen tegelijk zenden en ontvangen 120

2 LAN segment : een enkelvoudige hub of is een fysisch LAN segment (Ethernet segment) een IP eindpunt is een host en heeft een IP adres; de zelf had oorspronkelijk geen IP adres; een manageable heeft een eigen IP adres; een LAN segment bevat gewoonlijk een IP netwerk (subnet). LAN segment subnet Twee of meer es met elkaar verbonden vormen één fysisch LAN segment; de up-link tussen de twee es kan een bottleneck vormen. Twee LAN segmenten router Elk LAN segment heeft een eigen verschillend IP subnet; hosts op één subnet kunnen niet communiceren met hosts op het andere subnet (o.a. omdat er geen verbinding is). Wanneer er wel met verbinding is, wordt het één LAN segment. Maar zelfs met een verbinding tussen de twee es is er geen communicatie omdat ARP binnen het eigen subnet blijft. Om communicatie te hebben is een IP gateway nodig. Maar een router is een L3 (netwerk laag) apparaat. Broadcast : probleem bij een directe verbinding tussen de twee LAN subnetten: elk IP subnet heeft een eigen broadcast IP adres: voor subnet /24 is dit en voor subnet /24 is dit de communicatie tussen computers kan niet via de IP adressen: IP broadcasts worden omgezet naar MAC broadcasts computer stuurt een broadcast pakket naar dit pakket wordt ingekapseld in een ethernet frame met bestemmingsadres het broadcast MAC adres, FF:FF:FF:FF:FF:FF alle computers op het LAN segment zien deze MAC broadcast alleen computers op het subnet /24 graven dieper in het IP pakket 121

3 computers op subnet /24 ontvangen de MAC broadcast, maar negeren de IP broadcast omdat die tot een ander subnet behoort. Een LAN segment kan best slechts één IP subnet hebben: 1-op-1 mapping tussen een L2 broadcast domein (fysische LAN segment) en een L3 broadcast domein (logisch IP subnet). Bij een router is er geen probleem: een broadcast op het ene subnet wordt door een router niet doorgestuurd naar het andere subnet VLAN Een fysisch LAN segment wordt een logische vlan. Ethernet-vLAN s zijn logisch gescheiden netwerken op het MAC-niveau, werkend op gedeelde fysieke hardware, met gedeelde transportverbindingen. VLAN s worden dus gebruikt om logisch netwerken te definiëren los van de topologie van het fysieke netwerk. Hierdoor worden precies de juiste groepen van netwerkelementen met elkaar verbonden, gescheiden van de andere elementen. Een van de consequenties technisch gezien is dat de grootte van het broadcastdomein in de MAC-laag wordt gereduceerd: als er bijvoorbeeld een DHCP-request gebeurt in vlan X, is die request alleen zichtbaar in vlan X en niet in andere vlan s die in hetzelfde fysieke netwerk bestaan. een slimme L2 (IEEE 802.1Q) met een filtering database: welke poorten behoren tot welke VLAN elke poort behoort tot tenminste één VLAN: de port/native VLAN hiermee is de port VLAN ID (PVID) geassocieerd subnet subnet Een tweede VLAN toevoegen vereist geen tweede creatie van een tweede VLAN op dezelfde gewenste poorten toevoegen aan de nieuwe VLAN de filtering database bevat de poort-naar-vlan toewijzing De communicatie tussen hosts van de verschillende VLAN s gebeurt niet via een verbindingskabel. Het is een gelijkaardige situatie als bij LAN segment met twee es met elk een IP subnet: router subnet subnet Een IP gateway is nodig, eventueel via een externe router. 122

4 13.4 Verbinden van slimme L2 es V1 V2 V3 V4 V1 V2 V3 V4 De vlan s fysisch verbinden is niet aangewezen: technisch gezien wel een mogelijke configuratie; mogelijke verbindingsfouten; vlan s zijn lokaal in de Ethernet ; er hoeft geen overeenkomst te zijn over verschillende es; maar is waarschijnlijk niet de intentie. VLAN trunking. Elke logische vlan op een is vergelijkbaar met een afzonderlijke fysieke netwerkbridge. De vlan s worden met een uniek identificatienummer aangeduid, het VLAN ID (VID). Een station dat enkel bij vlan1 hoort kan communiceren met andere stations op vlan1, maar niet met stations die bij vlan2, 3, 4,..., enzovoort horen. Om vlan s meerdere es te laten overbruggen moet men gebruikmaken van een zogenaamde trunk. Trunks gebruiken ofwel tagging ofwel een encapsulatie van frames om verschillende vlans toch over één fysieke connectie te bedrijven. Wanneer een VLAN verschillende es bevat wordt in netwerken gebaseerd op apparatuur van Cisco gebruikelijk het VLAN Trunking Protocol (VTP) gebruikt om VLAN informatie voor elke accuraat aan te passen en te onderhouden. Een veel gebruikte standaard is 802.1Q. V1 V2 V3 V4 op elke wordt een trunk poort geconfigureerd die logisch verbonden is met de verschillende vlan s; de trunk poorten van elke worden verbonden V1 V2 V3 V4 vlan nummering door gebruik te maken van 802.1Q tags (3 prioriteitsbits en 12 VLAN ID bits) Wanneer een een ethernetframe verzendt naar een andere, wordt door de verzendende een tag met de juiste VID toegevoegd. Origineel ethernetframe: Bestemming Bron Lengte/Type Gegevens FCS Frame met tag: Bestemming Bron Tag Lengte/Type Gegevens herberekende FCS Deze tag bevat 4 elementen: Tag Protocol Identifier (TPID): vaste waarde 0x8100 op de positie van het EtherTypeveld in een gewoon ethernetframe; deze specifieke waarde identificeert het frame als een 802.1Q-frame: 123

5 Priority Code Point (PCP): (3 bits) bevat prioriteitsinformatie over het frame, gebruikt binnen IEEE 802.1P; Drop Eligible Indicator (DEI): (1 bit) geeft aan of het pakket bij netwerkverzadiging gedropt mag worden; VLAN Idemtifier (VID): (12 bits) identificeert de VLAN en is dus de kern van de tag. De ontvangende stuurt op basis van de VID in de tag het ethernetframe naar de juiste VLAN. Voorbeeld met een tagged packet (2) (4) (1) poort 17 (3) poort 12 S A S B VLAN 47 VLAN 47 Poort 17 van A en poort 12 van B zijn beide tagged leden van VLAN Een broadcast pakket wordt vanuit VLAN 47 naar A gestuurd; 2. een untagged broadcast pakket wordt gestuurd naar alle VLAN 47 poorten op A; 3. vanuit poort 17 van A wordt de broadcast als een tagged pakket met VID = 47 verstuurd naar poort 12 van B; B aanvaardt dit pakket als behorende tot VLAN 47; 4. B zendt het broadcast pakket naar alle leden van VLAN 47. Merk op. De delen van het netwerk die 802.1Q ondersteunen laten ook gewone frames zonder tags toe. Op deze wijze kunnen direct verbonden toestellen die geen lid zijn van een VLAN toch via netwerkdelen communiceren die 802.1Q ondersteunen. Switches bieden hiertoe ondersteuning: men kan doorgaans bv. specificeren dat frames die een bepaalde poort verlaten alleen een tag krijgen als ze in de verzendende behoren tot één of meer welbepaalde vlan s. De andere frames verlaten de via die poort zonder tag. Men zou zo bijvoorbeeld frames voor telefoonverkeer kunnen taggen, maar gewoon gegevensverkeer niet. Op ontvangende es kan men aan de frames die zonder tag binnenkomen dan vervolgens weer een VID toekennen. Zo ontstaat er over de gehele trunk gezien een standaard-vlan (default vlan) die zich buiten de es niet expliciet als vlan manifesteert. Voor de standaard-vlan kan men in beginsel in de es elke willekeurige VID gebruiken. Sommige fabrikanten reserveren echter vlan 1 intern in de als speciale vlan, waardoor VID 1 niet altijd geschikt is als standaard-vlan Switch met L2 en L3 functies Switching functie (L2): filtering database: poorten die aan VLAN s toegewezen zijn subnet router subnet Routing functie (L3): de gateway functie tussen de VLAN s 124

6 fysische router interfaces vervangen door virtuele router interfaces fysische verbindingen tussen router en logische verbindingen elke L2 entiteit (VLAN) heeft slechts één L3 (virtuele router) interface met slechts één IP subnet 1-op-1 mapping tussen L2 en L3 broadcast domeinen 13.6 VLAN-types Er wordt een onderscheid gemaakt tussen end-to-end vlan s en lokale vlan s. Een end-to-end vlan is functioneel georganiseerd en kan zich uitstrekken over een heel fysiek netwerk, terwijl een lokale vlan geografisch beperkt is, bijvoorbeeld tot één verdieping in een gebouw. Door de tijd heen is het gebruik verschoven van end-to-end vlan s naar lokale vlan s. End-to-end vlan. Een opdeling naar end-to-end VLAN s is functioneel bepaald. Netwerkelementen worden gegroepeerd volgens functie, niet volgens hun fysieke locatie. Voorbeelden van groepering: alle computers van gebruikers met een functie binnen een functionele afdeling zoals Onderzoek en Ontwikkeling, alle IP-telefoons, of alle printers. Een end-to-end VLAN is geografisch verspreid over het volledige netwerk heen of grote delen ervan, dus over verschillende es heen. Het strekt zich potentieel uit tot een groot geografisch gebied, bv. naar alle afdelingen van een bedrijf binnen een land. Als een toestel van een gebruiker zich op verschillende locaties met het netwerk verbindt dan blijft dit altijd in hetzelfde VLAN. De motivatie voor het gebruik van dit type van VLAN omvat zowel het vergemakkelijken van het netwerkbeheer, met name op het niveau van IP-adressen, alsook het bevorderen van de veiligheid door logisch gescheiden netwerken te maken. Er zijn diverse nadelen: Overheadframes van het VLAN worden gepropageerd binnen het hele fysieke netwerk wat globaal leidt tot veel overheadverkeer. Er is een veiligheidsrisico doordat frames over het hele netwerk beschikbaar zijn in plaats van lokaal beperkt: wie bij het fysieke netwerk kan en de getagde frames kan onderscheppen, kan proberen de informatie te compromitteren van alle VLAN s, met informatie afkomstig van het gehele netwerk. De administratie van de VLAN s zelf kan snel complex worden. Men heeft namelijk potentieel te maken met het gehele, dikwijls zeer uitgebreide netwerk van een organisatie. Lokale vlan. Op een lokale vlan worden eindstations gegroepeerd aan de hand van hun fysieke locatie en niet aan de hand van hun functie. Verkeer van een lokale vlan wordt gerouteerd naar andere netwerken in plaats van get, dus op laag 3 van het OSI-model in plaats van op laag 2. Hierdoor blijft overheadverkeer van laag 2 lokaal beperkt. Een lokale vlan wordt meestal beperkt tot één verbindingskast, of hooguit enkele. Andersom is het ook mogelijk dat verschillende lokale vlan s dergelijke kasten delen. Voorbeeld: drie verdiepingen hebben hun eigen vlan maar worden bediend door één enkele kast. VLAN s op een bepaalde, lokale worden vanwege het lokale karakter niet geconfigureerd op de andere es op het netwerk. Evolutie naar lokale vlan s. In het verleden werden vooral end-to-end vlan s ingericht aangezien netwerkontwerpers bij het ontwerpen van netwerken de 80/20 regel hanteerden voor lokaal/niet-lokaal verkeer. De 80/20 regel wil zeggen dat grosso modo 80 procent van het netwerkverkeer plaatsvindt in het eigen netwerk en slechts 20 procent naar verder gelegen netwerksegmenten. Het heeft in zo n situatie zin om een vlan te definiëren, waarin dan 80 procent van het verkeer plaatsvindt. 125

7 Ook het feit dat men in het verleden IP-adressen manueel moest toekennen en aanpassen gaf aanleiding tot het gebruik van end-to-end vlan s aangezien men op die manier de IP-administratie kon vereenvoudigen. Immers, als een toestel verplaatst werd naar een andere fysieke locatie was het dan een kwestie van zorgen dat het toestel met hetzelfde vlan verbonden bleef, waardoor het IP-adres geldig bleef. Bij verandering van VLAN zou men een verandering hebben moeten doen op het toestel zelf. Omdat men tegenwoordig IP-adressen automatisch laat toekennen via DHCP is dit echter niet meer van toepassing. Belangrijker echter is dat ook de verhouding tussen lokaal en niet-lokaal verkeer eerder 20/80 is geworden, dit door het verder doorvoeren van client-serverarchitecturen en cloud, waarbij toepassingen niet lokaal maar op een centrale plaats of in de cloud zijn geïmplementeerd. Hierdoor is het netwerkverkeer vooral met elementen buiten het netwerk. Het implementeren van end-to-end vlan s heeft daarom in waarde ingeboet: het heeft weinig waarde om toestellen binnen een over het hele fysieke netwerk verspreide vlan te houden als slechts een klein deel van het verkeer binnen het vlan zelf blijft. Tegelijkertijd heeft een end-to-end vlan nadelen wegens de complexiteit van vlan-beheer, de veiligheidsrisico s en het feit dat veel overheadverkeer door het hele fysieke netwerk propageert. Voor het moderne gebruik is een hiërarchische topologie gepast, waarin er lokaal wordt gewerkt met vlan s, dus met ing op laag 2, terwijl er voor meer globale communicatie gewerkt wordt op laag 3, via routers. Hierdoor blijft overheadverkeer lokaal en moet men echt tot het goed beveiligde kernnetwerk doordringen om al het verkeer te kunnen onderscheppen. Op het kernnetwerk kan men verder goed de capaciteit beheren voor het verkeer naar de centrale rekencentra en de cloud. Daarnaast is het beheer van dergelijke lokale vlan s relatief eenvoudig Beheer van vlan s Men kan vlan s op twee manieren beheren. Het eenvoudigste is handmatig beheer op basis van statische configuratie op elke. Op een eenvoudige 802.1Q-vLAN- kan men bepalen welke poorten tot een vlan behoren, waarbij elke poort tot meer dan één vlan kan behoren. Poorten aan de rand van het netwerk, die verbonden zijn met eindstations zijn normaal slechts geassocieerd met één enkele vlan. Poorten die verbonden zijn met andere netwerkapparatuur dienen meestal voor het doorgeven van frames voor meer dan één vlan. Dergelijke poorten worden dan ook geassocieerd met al deze vlan s. Via de poorten vindt de koppeling met een welbepaalde vlan in de plaats. Bij getagde pakketten is dat bepaald door de tag, bij niet getagde pakketten wordt dat bepaald door de Port VLAN ID (PVID) van de betreffende poort. Het beheer van de PVID s is nodig naast het associëren aan de poorten één of meer vlan s: een poort kan bijvoorbeeld deel uitmaken van vlan 1,4, 18 en 37, maar binnenkomende pakketten zonder tag kunnen slechts worden geïnjecteerd in één enkele van deze vlan s, bv. vlan 1. Dit is dus een bijkomende configuratie. Het beheren van de statische VLAN-configuratie op elke, tot op het niveau van elke poort, is dikwijls doenbaar op kleine netwerken, maar daar reeds arbeidsintensief en foutgevoelig. Deze basisvorm van beheer is niet schaalbaar en daarmee niet geschikt voor grotere netwerken. In grotere organisatie werkt men daarom met dynamische LAN s. Statische vlan. Bij een statische vlan worden vlan s statisch toegewezen aan welbepaalde poorten door een beheerder. Dit betekent dat als er op een afdeling bijvoorbeeld een printer bij komt, deze niet alleen fysiek verbonden moet worden met een bepaalde poort, maar deze poort bijvoorbeeld ook aan het vlan van de printers moet worden toegevoegd. Nog complexer is het als bv. er een speciale VLAN is voor het topmanagement en de PC van een manager verhuisd moet worden: op de plaats van oorsprong moet de configuratie van de vlan op een poort worden verwijderd, op de bestemming moet het vlan op een welbepaalde poort van een andere worden geconfigureerd. Dit is arbeidsintensief. Indien het foutief gebeurt, kan de veiligheid in het gedrang komen. In grotere organisaties is het statisch beheer van een vlan daarom in de regel geen optie. 126

8 Dynamische vlan. Bij een dynamische vlan is er geen vaste configuratie op elke. Door middel van het gebruik van een VLAN Management Policy Server (VMPS) worden MACadressen dynamisch toegewezen aan vlan s, afhankelijk van de en poort waarop het toestel met dat bepaalde MAC-adres zich verbindt. Als een toestel verhuisd wordt en zich aanmeldt op een andere poort of zelfs andere, zal het systeem op basis van het MAC-adres de vlanconfiguratie aanpassen: de vlan wordt losgekoppeld van de oude /poorten en geconfigureerd voor de nieuwe /poort. Dit is vooral efficiënt voor toestellen die regelmatig fysiek door het netwerk worden verplaatst. In grotere organisaties is een dergelijk centraal en geautomatiseerd beheer de enige optie. Een andere benadering om complexiteit te verminderen is het beperken of zelfs afschaffen van het gebruik van vlan s over een groot fysiek netwerk, om te komen tot een sterk hiërarchische topologie met lokale vlan s. In combinatie met gecentraliseerd beheer kan men aldus ook in grote organisaties met een uitgebreid netwerk de controle houden. Voorbeeld. Hiernaast zijn twee es weergegeven met elk 3 vlans 1,2 en 3. De 3 vlans zijn gescheiden, dus apparaten in vlan 1 kunnen niet kijken in VLAN 2 of VLAN 3. Het voordeel is dat we met 2 es die we bijvoorbeeld op 2 sites hebben geplaatst, 3 subnets kunnen afleveren, maar dat kunnen er net zo goed 30 zijn. Switches A en B zijn met elkaar verbonden met een Trunk. Een trunk is het transport van vlans tussen verschillende es. In een vlan kennen we Tagged en Untagged poorten. Een tag is niets anders als een label aan netwerkverkeer zodat duidelijk is bij welk vlan dit verkeer hoort. Een trunk zal dus altijd Tagged zijn verkeer afleveren anders weet de ontvangende natuurlijk niet bij welk vlan dit hoort. Untagged poorten zijn in de meeste gevallen bedoeld voor de endpoints zoals computers, laptops, printers etc. Configuratie op een HP 24 poorts Procurve managed waarbij poorten 23 en 24 als trunk worden ingericht van Switch A naar Switch B; poort 1-10 horen bij vlan 1; poort horen bij vlan 2. poort horen bij vlan 3. trunk Trk trunk vlan 1 untagged 1-10 vlan 2 untagged vlan 3 untagged Een gelijkaardige configuratie kan op Switch B gebruikt worden. De trunk wordt geactiveerd door een netwerkkabel in poort 24 van beide es te steken. In Switch A kun je een computer in poort 1-10 (VLAN 1) prikken en op Switch B ook en ze zullen met elkaar kunnen communiceren. Prik je de computer in Switch A op poort (VLAN 2), dan zul je merken dat ze niet meer kunnen communiceren ; ze bevinden zich in verschillende netwerken. Wanneer je de computer op Switch B in poort prikt, zitten de computers weer in hetzelfde vlan en is communicatie weer mogelijk. 127

9 Wanneer de layer 3 functionaliteiten heeft, kan deze ook als router ingezet worden. Wanneer er meerdere vlans zijn, wordt met een als router de Firewall/Internet router ontlast. In de volgende configuratie voor Switch A wordt als internet router gebruikt; dat is dus de default gateway voor de waar het niet routeerbare verkeer naar toe gestuurd wordt. Om de configuratie overzichtelijk te houden, worden aan de vlans ook namen gegeven. ip routing ip route trunk Trk trunk vlan 1 name "SERVER VLAN" ip address untagged 1-10 vlan 2 name WERKSTATION VLAN ip address untagged vlan 3 name GASTEN VLAN ip address untagged Switch B blijft ongewijzigd. Het is nu mogelijk om tussen de verschillende vlans te communiceren. En wanneer Switch A verkeer ontvangt wat niet routeerbaar is naar 1 van de vlans, wordt dit pakket op zijn default gateway naar gezet zodat deze dit pakket kan afhandelen. DHCP server bijvoorbeeld in vlan 1 met ip adres Een device in vlan 2 en 3 ontvangt bij het broadcasten naar een DHCP server geen antwoord en krijgt dus ook geen ip adres. Dit kan als volgt opgelost worden: 1. op de DHCP Server worden verschillende scopes gamaakt voor de vlans, dus een scope voor het netwerk /24, /24 en /24; 2. in de configuratie wordt bij vlan 2 en vlan 3 een ip helper-address toegevoegd; ip helper address dit Helper address zorgt ervoor dat DHCP broadcasts worden doorgestuurd naar het opgegeven adres. Netwerk redundantie bij een ring van drie es. Wanneer in zo n ring een link kapot gaat, kunnen de es elkaar nog bereiken via en alternatieve route. Hierbij creëren we een ring met es : Wanneer de es op deze manier aan elkaar gekoppeld zijn, wordt eigenlijk bewust een lus in het netwerk gecreëerd met een broadcast storm als gevolg dat het gehele netwerk plat kan leggen. Zo n lus kan voorkomen worden door de optie Spanning Tree in te schakelen. Spanning Tree zorgt er voor dat netwerklussen worden geblokkeerd door in het netwerk op een logische plek de link te blocken. Maar wanneer zich een kabelbreuk voordoet, detecteert Spanning Tree dit als een Network Topology Change en zorgt ervoor zorgen dat de links weer active gemaakt worden zodat het netwerk intact blijft. 128