150 likes | 351 Views
Virtualni LAN-ovi - VLAN. VLAN mreže. VLAN mreže su način logičke segmentacije mreže, koja se može dinamički mijenjati i nije ovisna o fizičkoj topologiji Sastoje se od čvorova i računala koji su spojeni u jednu LAN domenu
E N D
VLAN mreže • VLAN mreže su način logičke segmentacije mreže, koja se može dinamički mijenjati i nije ovisna o fizičkoj topologiji • Sastoje se od čvorova i računala koji su spojeni u jednu LAN domenu • Izmjena unicast, multicast i broadcast poruka samo unutar VLAN-ova • Implementacije na OSI razinama 2 i 3 • Promet između VLAN-ova mora se routati (Layer 3)
Prednosti VLAN-ova • Ograničenje broadcast prometa na VLAN • Povećana sigurnost mreže • odvajanje važnih segmenata • promet između VLAN-ova ide preko L3 uređaja • povećana sigurnost unutar LAN-a • Povećane performanse mreže • Olakšan management i administracija
VLAN 2 (Proizvodnja) VLAN 3 (Prodaja) VLAN 1 (Administracija) Kako funkcioniraju VLAN mreže? 802.1Q
Što je to VLAN? • Podjela preklopnika na više dijelova (VLAN-ova) između kojih nije moguća komunikacija 802.1Q 802.1Q Layer 3 uređaj • Svaki VLAN mora imati vlastitu IP (pod)mrežu
4 3 1 2 Pridjeljivanje VLAN mreži • Povezivanje korisnika s određenom virtualnom LAN mrežom se može napraviti: • prema portovima preklopnika • prema MAC adresama • prema identifikatoru mrežne razine (npr. IP adrese) • prema korisnikovim identifikatorima (npr. lozinka)
ULAZ VLAN VLAN A 1 A (Administracija) VLAN B 3 A (Administracija) 21 B (Marketing) Povezivanje - prema ulazima • Prednosti ovog načina povezivanja uključuju: • jednostavnost • sigurnost • Mane: • potreba za ručnom konfiguracijom promjena u VLAN mreži
MAC VLAN Port A (Administracija) ABCD 6 1 FFFE B (Marketing) VLAN B FFFE VLAN A ABCD Povezivanje - prema MAC adresama • Veća fleksibilnost u odnosu na VLAN mreže bazirane prema ulazima • Korisnici su još uvijek vezani uz fizičku opremu, odnosno fiksnu MAC adresu računala na kojem rade
IP VLAN Port 1.1.1.1 A (Administracija) 1 1.2.2.2 A (Administracija) 3 VLAN A 1.1.1.1 2.3.4.5 B (Marketing) 15 VLAN B 2.3.4.5 Povezivanje - prema protokolu ili Layer 3 adresi • Vrlo fleksibilan način povezivanja, bazira se na programskoj konfiguraciji računala • Promjenom konfiguracije sam korisnik mijenja pripadnost VLAN mreži – jednostavno, ali potencijalno nesigurno • Problemi s DHCP-om • Manji broj opreme koja podržava ovo povezivanje
Interni poslužitelj Security Server VLAN mreža Internet Povezivanje - korisnički definirano • Najfleksibilniji način povezivanja, ali ga podržava mali broj opreme • Pripadnost VLAN mreži je definirana kroz identifikaciju korisnika • Potrebno je izgraditi centraliziranu bazu podataka o korisnicima i njihovim pravima pristupa ili koristiti npr. AD autentikaciju
VLAN 2 VLAN1 VLAN 3 VLAN 1 VLAN 3 VLAN 2 Vrijeme Destination MAC Address Source MAC Address Tag Protocol Identifier Original Ether Type VLAN Tag ... Trunking port 6 okteta 6 okteta 2 okteta 2 okteta 2 okteta Označavanje okvira (VLAN trunking...) • IEEE 802.1Q CFI Flag (Canonical Format Indicator) Priority 802.1p VLAN Identifier (VID)
Inter - VLAN komunikacija • Preko Layer 3 uređaja (router ili L3 preklopnik) • centralizirano ili distribuirano usmjeravanje • Routeri danas uglavnom podržavaju 802.1Q protokol • Pomoću raznih proprietary rješenja (asimetrični VLAN-ovi, portovi koji pripadaju više VLAN-ova odjednom) • preklopnici se ne drže strogo zabrane prosljeđivanja paketa na drugi VLAN • Standardizirano rješenje - poslužitelji s IEEE 802.1Q mrežnim karticama
DHCP i VLAN-ovi • Dinamičko dodjeljivanje IP adresa radnim stanicama • Računalo prilikom uključivanja šalje broadcast na koji DHCP poslužitelj odgovara dodjeljivanjem IP adrese računalu iz definiranog raspona adresa • VLAN problem br.1: računala iz različitih VLAN-ova moraju doći do DHCP-a, usmjeravanje nije moguće • VLAN problem br.2: DHCP ne zna iz kojeg VLAN-a, time i IP (pod)mreže je došao zahtjev • Rješenje: L3 uređaj s DHCP relay funkcijom
DHCP relay • DHCP relay agent čuje DHCP broadcast, zatim šalje DHCP serveru unicast paket, koji sadrži i informaciju o IP mreži s koje je klijent poslao DHCP broadcast • DHCP server prosljeđuje DHCP relay agentu odgovarajuću IP adresu, a ovaj je prosljeđuje klijentu koji ju je i tražio • Svaki VLAN mora imati DHCP relay agenta • Najbolje rješenje: samo jedan DHCP relay agent - na routeru ili L3 preklopniku • Većina nove opreme (i preklopnici i routeri) podržava ovu mogućnost