1 2 Virtual local area network een VLAN is een verzameling computers in een LAN die met elkaar kunnen communiceren alsof ze deel uitmaken van een enkelvoudige, geisoleerde LAN een groep eindstations en es die logisch gezien één enkel gemeenschappelijk local area network (LAN) vormen, maar zich in één of meer fysieke netwerken bevinden Belangrijkste doelstelling om een netwerk op te splitsen in een aantal VLAN s: reductie van overbelasting in een grote LAN (verbetering performantie) + vorming van virtuele werkgroepen, bijvoorbeeld per project een VLAN + grotere flexibiliteit voor gebruikers die met hun laptop van de ene plaats naar de andere plaats bewegen en toch in hetzelfde subnet willen blijven werken + afschermen van bepaalde resources (servers, printers) door deze in een aparte VLAN te plaatsen; gebruikers in andere VLAN s krijgen selectief toegang Nodig: een managed LAN segment een enkelvoudige hub of is een fysisch LAN segment (Ethernet segment) een IP eindpunt is een host en heeft een IP adres de zelf had oorspronkelijk geen IP adres een manageable heeft een eigen IP adres een LAN segment bevat gewoonlijk een IP netwerk (subnet) LAN segment 172.16.1.253 172.16.1.252 1.11 1.12 1.13 twee of meer es met elkaar verbonden vormen één fysisch LAN segment de up-link tussen de twee es kan een bottleneck vormen Twee LAN segmenten 1. coax: CSMA/CD Evolutie 2. hub: L1 (fysische laag) multi-port repeater op een poort ontvangen signaal wordt over alle poorten doorgestuurd twee of meer apparaten die tegelijk sturen: botsing (collision domain) half duplex: aangesloten appraaten kunnen niet tegelijk zenden en ontvangen 3. : L2 (data link laag) brug met kennis van L2 MAC adressen MACadres-poort mapping: weet welke apparaten aangesloten zijn ontvangen signaal wordt alleen naar de specifieke poort doorgestuurd een broadcast wordt naar alle poorten doorgestuurd (broadcast domain) full duplex: verschillende aangesloten apparaten kunnen tegelijk zenden en ontvangen 172.16.1.253 172.16.1.252 1.11 1.12 1.13 met elk verschillende IP subnetten; hosts op één subnet kunnen niet communiceren met hosts op het andere subnet (o.a. omdat er geen verbinding is) met verbinding één LAN segment 172.16.1.254 172.16.2.254 router 172.16.2.253 172.16.2.252 2.11 2.12 2.13 zelfs met een verbinding tussen de twee es: geen communicatie omdat ARP binnen het eigen subnet blijft om communicatie te hebben is een IP gateway nodig een router is een L3 (netwerk laag) apparaat
3 4 Broadcast Probleem bij een directe verbinding tussen de twee LAN subnetten elk IP subnet heeft een eigen broadcast IP adres: voor /24 is dit 172.16.1.255 en voor subnet 172.16.2.0/24 is dit 172.16.2.255 de communicatie tussen computers kan niet via de IP adressen: IP broadcasts worden omgezet naar MAC broadcasts computer 172.16.1.11 stuurt een broadcast pakket naar 172.16.1.255 dit pakket wordt ingekapseld in een ethernet frame met bestemmingsadres het broadcast MAC adres, FF:FF:FF:FF:FF:FF alle computers op het LAN segment zien deze MAC broadcast alleen computers op het /24 graven dieper in het IP pakket computers op subnet 172.16.2.0/24 ontvangen de MAC broadcast, maar negeren de IP broadcast omdat die tot een ander subnet behoort. Een LAN segment kan best slechts één IP subnet hebben: 1-op-1 mapping tussen een L2 broadcast domein (fysiche LAN segment) en een L3 broadcast domein (logisch IP subnet) communicatie tussen hosts van de verschillende VLAN s: niet via verbindingskabel gelijkaardige situatie bij LAN segment met twee es met elk een IP subnet router 172.16.1.254 172.16.2.254 172.16.1.253 1.11 1.12 2.11 2.12 een IP gateway is nodig: eventueel via een externe router subnet 172.16.2.0 VLAN een fysisch LAN segment wordt een logische VLAN een slimme L2 (IEEE 802.1Q) met een filtering database: welke poorten behoren tot welke VLAN elke poort behoort tot tenminste één VLAN: de port/native VLAN hiermee is de port VLAN ID (PVID) geassocieerd 172.16.1.253 subnet 172.16.2.0 Verbinden van slimme L2 es De VLAN s fysisch verbinden: niet aangewezen V1 V2 V3 V1 V2 V3 1.11 1.12 2.11 2.12 een tweede VLAN toevoegen vereist geen tweede creatie van een tweede VLAN op dezelfde gewenste poorten toevoegen aan de nieuwe VLAN de filtering database bevat de poort-naar-vlan toewijzing mogelijke verbindingsfouten technisch gezien: een mogelijke configuratie VLAN s zijn lokaal in de Ethernet ; er hoeft geen overeenkomst te zijn over verschillende es maar is waarschijnlijk niet de intentie
5 6 Voorbeeld met een tagged packet V1 V1 V2 V2 V3 V3 VLAN trunking op elke wordt een trunk poort geconfigureerd die logisch verbonden is met de verschillende VLAN s de trunk poorten van elke worden verbonden VLAN nummering door gebruik te maken van 802.1Q tags (3 prioriteitsbits en 12 VLAN ID bits) wanneer een een ethernetframe verzendt naar een andere, wordt door de verzendende een tag met de juiste VID toegevoegd de ontvangende stuurt op basis van de VID in de tag het ethernetframe naar de juiste VLAN (1) (2) VLAN 47 poort 17 (3) poort 12 S A VLAN 47 Poort 17 van A en poort 12 van B zijn beide tagged leden van VLAN 47. 1. Een broadcast pakket wordt vanuit VLAN 47 naar A gestuurd; 2. een untagged broadcast pakket wordt gestuurd naar alle VLAN 47 poorten op A; 3. vanuit poort 17 van A wordt de broadcast als een tagged pakket met VID = 47 verstuurd naar poort 12 van B; B aanvaardt dit pakket als behorende tot VLAN 47; 4. B zendt het broadcast pakket naar alle leden van VLAN 47. S B (4) Origineel ethernetframe: Bestemming Bron Lengte/Type Gegevens FCS Switch met L2 en L3 functies Switching functie (L2): filtering database: poorten die aan VLAN s toegewezen zijn Frame met tag: Bestemming Bron Tag Lengte/Type Gegevens herberekende FCS Deze tag bevat 4 elementen: Tag Protocol Identifier (TPID): vaste waarde 0x8100 op de positie van het EtherType-veld in een gewoon ethernetframe; deze specifieke waarde identificeert het frame als een 802.1Q-frame: Priority Code Point (PCP): (3 bits) bevat prioriteitsinformatie over het frame, gebruikt binnen IEEE 802.1P; Drop Eligible Indicator (DEI): (1 bit) geeft aan of het pakket bij netwerkverzadiging gedropt mag worden; VLAN Idemtifier (VID): (12 bits) identificeert de VLAN en is dus de kern van de tag. router 172.16.1.254 172.16.2.254 172.16.1.253 1.11 1.12 2.11 2.12 Routing functie (L3): de gateway functie tussen de VLAN s fysische router interfaces vervangen door virtuele router interfaces subnet 172.16.2.0 fysische verbindingen tussen router en logische verbindingen elke L2 entiteit (VLAN) heeft slechts één L3 (virtuele router) interface met slechts één IP subnet 1-op-1 mapping tussen L2 en L3 broadcast domeinen
7 8 End-to-end vlan VLAN-types netwerkelementen worden gegroepeerd volgens functie, niet volgens hun fysieke locatie, bv. alle printers; geografisch verspreid over het volledige netwerk, dus over verschillende es als een toestel van een gebruiker zich op verschillende locaties met het netwerk verbindt dan blijft dit altijd in hetzelfde vlan motivatie: vergemakkelijken van het netwerkbeheer (IP-adressen) en bevorderen van de veiligheid door logisch gescheiden netwerken te maken Overheadframes van het VLAN worden gepropageerd binnen het hele fysieke netwerk wat globaal leidt tot veel overheadverkeer. veiligheidsrisico: frames over het hele netwerk beschikbaar ipv. lokaal beperkt administratie van de VLAN s zelf wordt snel complex: mn heeft te maken met het gehele, dikwijls zeer uitgebreide netwerk van een organisatie Evolutie naar lokale vlan s verleden: 80/20 regel voor lokaal/niet-lokaal verkeer: grosso modo 80 procent van het netwerkverkeer plaatsvindt in het eigen netwerk en slechts 20 procent naar verder gelegen netwerksegmenten. zinvol om een vlan te definiëren waarin dan 80 procent van het verkeer plaatsvindt verleden: IP-adressen manueel toekennen en aanpassen: gebruik van end-to-end vlan s : IP-administratie vereenvoudigen tegenwoordig: IP-adressen automatisch toekennen via DHCP tegenwoordig: verhouding tussen lokaal en niet-lokaal verkeer eerder 20/80: verder doorvoeren van client-serverarchitecturen en cloud, waarbij toepassingen niet lokaal maar op een centrale plaats of in de cloud zijn geïmplementeerd: netwerkverkeer vooral met elementen buiten het netwerk Lokale vlan eindstations gegroepeerd aan de hand van hun fysieke locatie (en niet hun functie) verkeer van een lokale vlan wordt gerouteerd naar andere netwerken (ipv. get), dus op laag 3; overheadverkeer van laag 2 blijft lokaal beperkt meestal beperkt tot één verbindingskast, of hooguit enkele andersom, ook mogelijk dat verschillende lokale vlan s dergelijke kasten delen; bv. drie verdiepingen hebben hun eigen vlan maar worden bediend door één enkele kast. vlan s op een bepaalde, lokale worden vanwege het lokale karakter niet geconfigureerd op de andere es op het netwerk minder implementeren van end-to-end vlan s: weinig waarde om toestellen binnen een over het hele fysieke netwerk verspreide vlan te houden als slechts een klein deel van het verkeer binnen dat vlan zelf blijft nadelen van een end-to-end vlan (complexiteit van vlan-beheer, de veiligheidsrisico s, propageren van veel overheadverkeer door het hele fysieke netwerk) hiërarchische topologie: lokaal wordt gewerkt met vlan s (ing op laag 2), en voor meer globale communicatie wordt gewerkt op laag 3, via routers overheadverkeer blijft lokaal men moet echt tot het goed beveiligde kernnetwerk doordringen om al het verkeer te kunnen onderscheppen op het kernnetwerk: goed de capaciteit beheren voor het verkeer naar de centrale rekencentra en de cloud beheer van dergelijke lokale vlan s: relatief eenvoudig
9 10 1. statische vlan Beheer van vlan s vlan s statisch toewijzen aan welbepaalde poorten door beheerder printer: niet alleen fysiek verbinden met een bepaalde poort, maar deze poort ook aan het vlan van de printers toegevoegen speciale VLAN voor topmanagement: PC van een manager verhuizen : twee plaatsen configureren arbeidsintensief; bij fouten: veiligheid in het gedrang 2. dynamische vlan VLAN Management Policy Server: MAC-adressen dynamisch toewijzen aan vlan s, afhankelijk van de en poort waarop het toestel met dat bepaalde MAC-adres zich verbindt bij verhuis: aanmelding op een andere poort of zelfs andere : systeem past de vlan-configuratie aan op basis van het MAC-adres vooral efficiënt voor toestellen die regelmatig fysiek door het netwerk worden verplaatst Configuratie op een HP 24 poorts Procurve managed waarbij poorten 23 en 24 als trunk worden ingericht van Switch A naar Switch B; poort 1-10 horen bij vlan 1; poort 11-20 horen bij vlan 2. poort 21-22 horen bij vlan 3. trunk Trk1 23-24 trunk vlan 1 untagged 1-10 vlan 2 untagged 11-20 vlan 3 untagged 21-22 twee es met elk 3 vlans 1,2 en 3 de 3 vlans zijn gescheiden, dus apparaten in vlan 1 kunnen niet kijken in VLAN 2 of VLAN 3 Het voordeel is dat we met 2 es die we bijvoorbeeld op 2 sites hebben geplaatst, 3 subnets kunnen afleveren, maar dat kunnen er net zo goed 30 zijn. Switches A en B zijn met elkaar verbonden met een Trunk. Een trunk is het transport van vlans tussen verschillende es. Switch met layer 3 functionaliteiten: inzetten als router om de Firewall/Internet router te ontlasten ip routing ip route 0.0.0.0 0.0.0.0 10.0.0.254 trunk Trk1 23-24 trunk vlan 1 name "SERVER VLAN" ip address 10.0.0.1 255.255.255.0 untagged 1-10 vlan 2 name WERKSTATION VLAN ip address 10.1.0.1 255.255.255.0 untagged 11-20 vlan 3 name GASTEN VLAN ip address 10.2.0.1 255.255.255.0
11 12 bij een ring van drie es. Netwerk redundantie untagged 21-22 Nu mogelijk om tussen de verschillende vlans te communiceren. En wanneer Switch A verkeer ontvangt wat niet routeerbaar is naar 1 van de vlans, wordt dit pakket op zijn default gateway naar 10.0.0.254 gezet zodat deze dit pakket kan afhandelen. creatie van een lus: eventueeel broadcast storm optie Spanning Tree: netwerklus wordt geblokkeerd door in het netwerk op een logische plek de link te blocken bij een kabelbreuk detecteert Spanning Tree dit als een Network Topology Change en zorgt ervoor zorgen dat de links weer active gemaakt worden zodat het netwerk intact blijft in vlan 1 met ip adres 10.0.0.200 DHCP server Een device in vlan 2 en 3 ontvangt bij het broadcasten naar een DHCP server geen antwoord en krijgt dus ook geen ip adres. 1. op de DHCP Server worden verschillende scopes gamaakt voor de vlans, dus een scope voor het netwerk 10.0.0.0/24, 10.1.0.0/24 en 10.2.0.0/24; 2. in de configuratie wordt bij vlan 2 en vlan 3 een ip helper-address toegevoegd; ip helper address 10.0.0.200 dit Helper address zorgt ervoor dat DHCP broadcasts worden doorgestuurd naar het opgegeven adres.