Дәріс. Виртуалды жергілікті желі VLAN

 

Дәрістің мақсаты: магистральды байланыс технологиясын және VLAN конфигурациясын оқып үйрену.

Virtual Local Area Network (VLAN) немесе Виртуалды Жергілікті Желі – көптеген коммутаторлардың өмірін түбегейлі өзгерткен технология. Қазір бұл технология Ethernet желілеріндегі басты коммутация технологияларының бірі болып табылады. Вертуалды жергіліктіжелінің пайда болуы коммутация құралдарымен бір бірімен хабарласпайтын бірнеше топтарға бөліп бір коммутаторға қосылған қолданушыларды “виртуалды” бөлуге мүмкіншілік берді. Технология бір коммутатордың базасында тек қана белгілі бір топтардың қолданушылары арасында фреймдерді коммутациялай алатын бірнеше вертуалды логикалық коммутаторларды жасауға мүмкіндік бере алады. Топтар әртүрлі тәсілдер негізінде беріле алады, мысалы, МАС хост адресі бойынша немесе коммутатор портымен, не болмасы жұмыс алгоритмі келесідей көрсетілітін 802.1q хаттамасы арқылы. Бір топ ішіндегі клиент трафигі топтар арасында трафик тасымалы үшін маршрутизатор қажет болғанда, ешқандай шектеусіз коммутацияланады, коммутатордың өзінде бұл әкі сегментті байланыстыруға болмайды (ескерту: бұл жағдайда коммутатор OSI моделі бойынша үшінші дәреженің толық функционалы бола алмайды және дестелерді маршруттай алмайды).

Виртуалды жергілікті желілердің жіктелінуі. Виртуалды жергілікті желілердің көптеген түрлері бар, және де олардың арасындағы ерекшелігі – бұл cол не басқа станса немесе басқа құрылғы кез келген VLAN мүшесі болатын талап, бұл-мүшелікті иемдену талабы. Бірнеше мысал қарастырайық:

1) VLAN-дағы мүшелік станса қосылған порт нөмірі арқылы тағайындала алады. Осы станса хабарласатын басқа порттар да VLAN-ға қосылады.

2) VLAN нөмірі МАС құрылғы адрестерін басқара отырып белгіленуі мүмкін. Бұл жағдайда белгілі МАС адрестерінің белгілі VLAN-ға арнаулы кестені ұстау керек.

3) VLAN-ның сирек, бірақ маңызды түрлерінің бірі болып, VLAN-ға есепке қосу құрылғы беретін трафик бойынша өндірілетін желі табылады.

4) Қазір дамып жатқан бағыт қолданушылардың классификациясы және VLAN-ға тиісті логин мен пароль бойынша, бизнес-рольдер және жұмыс стансасына емес, қолданушыға қатысты басқа сипаттама бойынша олардың анықтамасы.

Есепке қосу белгісі бойынша VLAN динамикалық және статиткалық болып бөлінеді.

Статикалық VLAN – бұл сол немесе басқа VLAN-ға есепке қосуы коммутатордың жөнге келтірілуімен тығыз байланысты виртуалды жергілікті желі, және ол желі жүрісінің тәуелдігінен өзгере алмайды. Порт негізінде статикалық VLAN 5.1 суретте келтірілген.

Бұл жағдайда бір түсті порттарға жалғанатын стансалар өзара хабарласа алады, бірақ басқа түсті порттарға қосылған стансалармен хабарласа ала алмайды. Егер бір VLAN-ға қосылған станция басқа VLAN-ға тәуелді потрқа қайта жалғанған болса, станса автоматты түрде басқа VLAN-ның мүшесі болады. Есепте VLAN бір коммутатор шегіде жұмыс істейді және МАС адрестар мәліметтер базасын коммутатордың жөнге келтіруінде қолмен жазуға тура келеді.

Статикалық VLAN-ның келесі артықшылықтары бар:

- өте тез және қарапайым конфигурациялау, ол МАС адрестардың таблица жазбасымен немесе нақтылы VLAN-ға керекті порттардың қарапайым енуімен шектеледі;

- статикалық VLAN желіде жоғары дәрежелі қорғау береді, желідегі кез келген өзгертулер коммутатордағы қайта конфигурациялаумен қосылуы керек. Қауіпсіздіктің әлсіз жері болып МАС адрестердің ауыстырылуы немесе басқа тәсілдермен жойылатын коммутаторға физикалық рұқсаттама болуы мүмкін;

- жеңіл конфигурациялау және жеткілікті қарапайым жұмыс алгоритмі, өз кезегінде мониторингтің жеңілділігін қамтамасыз етеді.

Кемшіліктер ішінде ең маңыздысы әлсіз масштабирациялық болып табылады, статикалық VLAN поттар немесе МАС адрестармен бір коммутатордан артық жұмыс істемейді және stand-alone есептеуге ғана арналған, бұл желілік инфрақұрылымға компанияның осы уақыттағы талабын қайта жабады.

Динамикалық VLAN құрылғылардың қайта конфигурациясынсыз топологияның өзгеруінде автоматты түрде қайта құрыла алу қабілеті бар.

Динамикалық VLAN-ды қолдау үшін әдетте мәліметтер базасының сервері қолданады, оларда барлық құрылғылар жайлы немесе желідегі қолданушы туралы ақпарат жатыр және қолданушының пайда болуында осы базаға байланысты ол өзі жататын VLAN-ға автоматты түрде түседі. Серверлерді қолданған кезде белгілі бір VLAN-ға енуінің сипаттамаларын таңдау еркі өте қатты өседі, себебі белгілі бір VLAN-дағы аутентификация мен авторизация процессін жүргізетін коммутатор емес, толықталып өзгере алатын сервердің бағдарламалық жабдықтауы. Солай, белгілі бір VLAN-ның белгілері болып тек МАС, IP адрестары немесе хаттама типі ғана емес, сол сияқты мысалға қолданушы аты, смарт-карттар, токендер, компьютер компоненттерінің сериялық нөмірлері немесе қолданушының саусақтар ізі. Белгілі бір VLAN-ға қабылдану үшін компания желісінде қауіпсіздік деңгейін өсіретін бірнеше сипаттамалар қолданылады. Коммутаторларда VLAN-ның үш түрі қолданылуы мүмкін және кеңтаралған домендер:

- база портындағы VLAN;

- MAC-адрестар базасындағы кеңтаралған домендер;

- стандарт IEEE 802.1Q қосымша кадр алаңының таңба негізіндегі VLAN.

а) база портындағы VLAN.

База портындағы VLAN-ды қолдану кезінде порт белгілі бір VLAN-ға беріледі, ол осы портқа қандай қолданушы не компьютер қосылғанына тәуілді емес. Бұл дегеніміз осы портқа қосылған барлық қолданушы бір VLAN-ның мүшесі болады. Порттар конфмгурациясы статикалық және тек қолмен өзгере алады. Негізгі сипаттамалары:

- көбінесе бір коммутатордың шамасында ғана қолданылыды. Егер бірнеше жұмысшы тобын үлкен емес желі шамасында бір коммутатор негізінде ұйымдастыру керек болса, мысалы, техникалық бөлім және сату бөлімін таратып жіберу қажет, сонда база портындағы VLAN шешімі берілген тапсырмаға қолайлы.

- жөндеу қарапайымдылығы. Порттардың топтасу негізінде виртуалды желілерді жасау әкімшіліктен үлкен көлемді қолды жұмысты сұрамайды – бір VLAN-дағы әр портқа бір идентификатор VLAN (VLAN ID) қою жеткілікті;

- стансаның физикалық орналастыруынсыз желінің логикалық топологиясын өзгерту мүмкінділігі – бір VLAN-нан (мысалы, техникалық бөлім VLAN-ны) екінші VLAN-ға (сату бөлімі VLAN-ны) порттар жөндеуін өзгерту жеткілікті, және жұмысшы станса тез арада ресурстарды жаңа VLAN мүшелерімен бірігіп қолдануға мүмкіншілік алады. Осылай, VLAN орналастыру, өзгерту және желі өсіруі кезіндегі икемділікті қамтамасыз етеді;

- әр порт тек бір VLAN-ға кіре алады. Сондықтан, виртуалды қосалқы желілерді біріктіру үшін – бір коммутатор ішіндегідей екі коммутатор арасында – IP деңгейін қолдану қажет: әр VLAN-ның бір порты маршрутизаторға қосылады және онда дестелерді бір қосалқы желіден екіншісіне қайта сілтеу үшін маршруттау кестесі құрастырылады.

Бұл шешімнің кемшілігі болып әр VLAN-ның бір портын маршрутизаторға қосу керек және бұнда порттар мен кабельдер ысырапшыл қолданылады, оған маршрутизаторға кеткен шығындар қосылады. Берілген мәселені екі жолмен шешуге болады: біріншісі, фирмалық шешім негізінде портты бірнеше VLAN-ға қосуға мүмкіндік беретін коммутаторларды қолдану керек. Екінші жолы 3-деңгейлі коммутаторларды қолдануда мәнін береді.

б) MAC-адрестер базасындағы VLAN.

Виртуалды желілерді жасау үшін қолданылатын екінші әдіс МАС-адрестерді топтауда негізделеді. Желіде үлкен көлемді түйіндердің болу кезінде бұл әдіс әкімшіліктен үлкен көлемді жұмысты талап етеді. Әдетте ол бірнеше коммутатор негізінде виртуалды желіні құруда порттарды топтау әдісіне қарағанда икемді болып келеді. Әр коммутаторда МАС-адрестерді желіге топтау олардың бірнеше портпен байланысының қажеттілігінен құтқарады, бірақ желіде әр коммутаторға МАС-адрестарды бүркеу үлкен көлемді қолдық операциялардың орындалуын талап етеді.

МАС-адрестер базасындағы кең таралған домендер стансалардың сол кең таралған доменде конфигурация өзгертуін өзгертпей-ақ қала отырып, оның физикалық орын ауыстыруын рұқсат етеді. МАС-адрестер негізінде виртуалды желілердің өзгертуі көп уақытты алуы мүмкін – сізге VLAN адресімен 1000 құрылғыны қосу керек болады. Одан басқа MAC-адрестер құрылғыда “тас қылып қорғаулы” және үлкен территорияға таралған желіде құрылғы адрестерін анықтауға көп уақыт қажет болады.

в) база таңбасындағы VLAN – 802.1Q стандарт.

802.1q комитетінің жұмысы – бұл коммутация технологиясындағы үлкен жетістік деп айтуға болады, дамыған желелік құрылыммен берілген компаниялар саны бұл нұсқаны VLAN қолданады. Бұл технология көп желіге базалақ және сыншыл болып келеді, ол кадрларды таңбалауға негізделген – коммутация туралы шешім қабылдау үшін қызметтік ақпаратта кадрларды толықтыру. Технологияны ары қарай талқылау үшін бірнеше жаңа ұғымдарды енгізу керек:

- tagging – «таңбаланған» - 802.1q стандартымен VLAN-ның қатыстылығы туралы ақпаратты фреймге енгізу процедурасы;

- untagging – «таңбаланбаған» - 802.1q стандартымен VLAN-ның қатыстылығы туралы ақпаратты кадрдан жою процедурасы;

- ingress port – кадрлар келетін және соңында таңбасы бар болуы мен VLAN-ға қатыстылығына және де таңбалығына туралы тексеру жүргізетін кіріс;

- egress port – таңбаланған немесе таңбаланбаған туралы шешім қабылдағаннан кейінгі таңбалар бар болуына тексеруден өткен кадрлар шығатын шығыс порты.