Tutorial til konfiguration af inter-VLAN-routing

Virtuelt lokalt netværk(VLAN), ligesom navnet antyder, giver netværksadministratorer mulighed for logisk (stort set) at segmentere et LAN i forskellige broadcast-domæner.

Fremkomsten af ​​VLAN medførte sikkerhed, enkelhed og fleksibilitet til LAN. Det førte også til en reduktion i mængden af ​​administrative overhead, der kræves for at styre et multi-switch-miljø. Forestil dig den enorme kompleksitet, der ville have karakteriseret nutidens LAN – flere switche, adgangspunkter, routere og selvfølgelig flere kabler. Dette fører naturligvis til højere samlede ejeromkostninger for hver LAN-opsætning.

Et VLAN er et broadcast-domæne, hvilket betyder, at computere på separate VLAN'er ikke er i stand til at kommunikere uden indgriben fra en routingenhed. Når værter i et VLAN skal kommunikere med værter i et andet VLAN, skal trafikken dirigeres gennem en routingenhed. Denne proces er kendt som inter-VLAN-routing. For at kunne udveksle oplysninger mellem VLAN'er skal du bruge en router eller en Layer 3-switch. Der er tre mulige måder at implementere inter-VLAN-routing på:

1. Traditionel Inter-VLAN Routing
2. Router-on-a-stick Inter-VLAN-routing
3. Multilayer Switch Inter-VLAN Routing

Vi vil forklare hver af dem i detaljer og vise dig, hvordan du konfigurerer dem i dit netværk.

Traditionel Inter-VLAN Routing

Denne metode til inter-VLAN-routing er afhængig af en router med flere fysiske grænseflader. Hvert interface er normalt forbundet til switchen, en for hvert VLAN. Switch-portene, der er forbundet til routeren, placeres i adgangstilstand, og hver router-interface kan derefter acceptere trafik fra det VLAN, der er forbundet med det switch-interface, som det er forbundet til, og trafik kan dirigeres til de andre VLAN'er, der er forbundet med de andre interfaces. Dette betyder, at hver af routerens grænseflade-IP-adresser derefter bliver standardgateway-adressen for hver vært i hvert VLAN.

Lad os tage et kig på diagrammet vist i figur 1.0 nedenfor. Hvis vært A på VLAN 10 ønsker at sende en besked til vært B på VLAN 20, vil den tage følgende trin:

1. Vært A kontrollerer, om destinationens IP-adresse er i dens VLAN; hvis den ikke er det, vil trafikken blive videresendt til dens standardgateway på interface Fa0/0 på routeren.
2. Vært A sender derefter en ARP-anmodning til switchen for at bestemme MAC-adressen for Fa0/0-grænsefladen på routeren. Når routeren svarer, sender Host A rammen til routeren som en unicast-besked, hvor den derefter sendes direkte ud af trunkgrænsefladen til routeren.
3. Når routeren modtager rammen, bestemmer den destinationens IP-adresse og interface fra routingtabellen.
4. Routeren sender derefter en ARP-anmodning ud af interfacet, der er forbundet til destinations-VLAN (VLAN 20), hvilket svarer til interface Fa0/1 på routeren.
5. Når switchen modtager beskeden, oversvømmer den den til sine porte, som derefter udløser Host B til at svare med sin MAC-adresse.
6. Routeren bruger derefter den indsamlede information til endelig at videresende beskeden til Host B på VLAN 20 som en unicast-ramme gennem switchen.

For at konfigurere traditionel inter-VLAN-routing på en Cisco-enhed, i overensstemmelse med diagrammet vist i figur 1.0 ovenfor, skal du bruge IP-adresserne vist i tabel 1.0 og følge nedenstående trin:

Trin 1: Opret VLAN'er (VLAN'er 10 og 20) på switchen

Trin 2: Tildel VLAN'erne til at skifte port

Nu på dette trin, når du prøver at pinge mellem vært A og vært B, mislykkes pinget, fordi de to pc'er er på separate netværk, og routeren endnu ikke er konfigureret til inter-VLAN-routing, så de kan ikke kommunikere med hinanden. Vores næste trin er at konfigurere inter-VLAN-routing for at muliggøre kommunikation mellem VLAN'erne.

Trin 3: Konfigurer IP-adresserne på routeren

Nu på dette tidspunkt, hvis du prøver at pinge mellem vært A og vært B, vil det lykkes, fordi de to VLAN'er nu er forbundet gennem routeren.

Traditionel inter-VLAN-routing er tilfældigvis den tidligste form for inter-VLAN-routing. Denne metode til inter-VLAN-routing er imidlertid ikke effektiv. Det er arkaisk og anvendes ikke længere i nutidens skiftede netværk. Dette skyldes, at routere har et begrænset antal fysiske grænseflader, der kan bruges til at oprette forbindelse til forskellige VLAN'er. Derfor, efterhånden som antallet af VLAN'er stiger på et netværk, bliver tilgangen med at have én routers fysiske grænseflade pr. VLAN uholdbar på grund af en routers iboende hardwarebegrænsninger. For at overvinde nogle af de problemer, der er forbundet med traditionel inter-VLAN-routing, blev en ny metode kendt som router-on-a-stick opfundet.

Router-on-a-stick Inter-VLAN-routing

En router-on-a-stick er en metode til inter-VLAN-routing, hvor routeren er forbundet til switchen ved hjælp af en enkelt fysisk grænseflade, deraf navnet router-on-a-stick. De fleste moderne inter-VLAN-routingimplementeringer er designet ved hjælp af denne metode. I modsætning til den traditionelle inter-VLAN-routingmetode kræver router-on-stick ikke flere fysiske grænseflader på både routeren og switchen. I stedet gør routerens operativsystem det muligt at konfigurere routergrænsefladen til at fungere som et trunklink, som derefter forbindes til en switchport, der er konfigureret i trunk-tilstand. Dette indebærer, at der kun kræves én fysisk grænseflade på routeren og switchen til at rute pakker mellem flere VLAN'er. IEEE 802.1Q (Dot1q)-protokol – som definerer et system med VLAN-tagging for Ethernet-rammer, bruges til at levere VLAN-understøttelse af flere leverandører. Før introduktionen af ​​802.1Q-standarden blev der brugt flere proprietære protokoller såsom Cisco Inter-Switch Link (ISL) og 3Coms Virtual LAN Trunk (VLT).

Det enkelte fysiske interface på routeren er knyttet til logiske (virtuelle) undergrænseflader, som kan konfigureres med flere IP-adresser, der svarer til VLAN'erne på switchen. Hvert subinterface er konfigureret til forskellige undernet svarende til deres VLAN-tildeling for at lette logisk routing. Routeren udfører inter-VLAN-routing ved at acceptere trafik fra alle VLAN'er. Det bestemmer derefter destinationsnetværket baseret på kilde- og destinations-IP'en i pakkerne. Efter en routingbeslutning er truffet baseret på destinations-VLAN'et, videresender den datarammerne til switchen med den korrekte VLAN-information gennem den samme fysiske grænseflade, der bruges til at modtage trafikken.

Lad os tage et kig på diagrammet vist i figur 2.0 nedenfor. Hvis vært A på VLAN 10 ønsker at sende en besked til vært B på VLAN 20, er trinene som følger:

1. Vært A sender sin unicast-trafik til switchen.
2. Switchen mærker derefter unicast-trafikken som stammende på VLAN 10 og videresender den ud af dens trunklink til routeren.
3. Routeren accepterer den mærkede unicast-trafik på VLAN 10 og dirigerer den til VLAN 20 ved hjælp af dens konfigurerede undergrænseflader.
4. Unicast-trafikken er tagget med VLAN 20, da den sendes ud af routergrænsefladen til switchen.
5. Switchen fjerner unicast-rammens VLAN-tag og videresender rammen direkte til Host B på port Fa0/3.

For at konfigurere router-på-en-stick inter-VLAN-routing på en Cisco-enhed, i overensstemmelse med diagrammet vist i figur 2.0 ovenfor, skal du bruge IP-adresserne vist i tabel 2.0 og følge nedenstående trin:

Trin 1: Opret VLAN'er (VLAN'er 10 og 20) på switchen

Trin 2: Tildel VLAN'erne til at skifte porte

Trin 3: Konfigurer IP-adresserne på routeren

Et ping mellem vært A og vært B vil være vellykket, fordi de to VLAN'er nu er forbundet via routeren.

Router-on-a-stick-metoden til inter-VLAN-routing har også nogle begrænsninger, såsom skalerbarhed og forsinkelsesproblemer. For at overvinde disse problemer udviklede Cisco et bedre alternativ: Multilayer Switch Inter-VLAN Routing.

Multilayer Switch Inter-VLAN Routing

Multilayer Switch Inter-VLAN Routing er en metode til inter-VLAN routing, hvor en anden slags switch kendt som en multilayer switch bruges til at udføre routingfunktioner. En multilagsswitch er en hybridenhed, der kombinerer en switchs funktioner med en router, som gør den i stand til at fungere på både Layer 2 (L2) og Layer 3 (L3) af OSI-modellen, deraf navnet multilayer. I modsætning til router-on-a-stick inter-VLAN-routingmetoden, kræver en multilayer switch inter-VLAN-routing ikke en dedikeret router - alt sker inde i switchen. Multilayer switche udfører alle VLAN-routingfunktioner på netværket og erstatter derved behovet for dedikerede routere eller trunklinks.

For at aktivere en flerlagsswitch til at udføre routingfunktioner, bruges logiske (virtuelle) grænseflader kendt som Switch Virtual Interface (SVI), en for hvert VLAN. SVI, også kendt som VLAN-grænsefladen, er en virtuel routet grænseflade, der forbinder et VLAN på enheden til Layer 3-routingmotoren i den samme enhed og kan konfigureres med flere IP-adresser, der svarer til VLAN'erne på switchen. Hver SVI er konfigureret til forskellige undernet svarende til deres tildelte VLAN for at lette logisk routing.

Når flerlagsswitchen modtager en pakke i et VLAN beregnet til Layer 2-switchen, udfører flerlagsswitchen routing. Lad os tage et kig på diagrammet vist i figur 3.0 nedenfor:

Hvis vært A i VLAN 10 ønsker at sende en besked til vært B i VLAN 20, er trinene som følger:

1. Vært A sender sin unicast-trafik til den direkte tilsluttede L2-switch.
2. L2-switch mærker unicast-trafikken som stammende på VLAN 10 og videresender den til L3-switchen via trunklinket.
3. L3-switchen fjerner VLAN-tagget og videresender unicast-trafikken internt til den virtuelle VLAN 10-grænseflade.
4. L3-switchen dirigerer internt unicast-trafikken til dens VLAN 20 virtuelle interface og tagger derefter trafikken igen, som den derefter videresender tilbage til L2-switchen via trunklinket.
5. L2-switch fjerner unicast-rammens VLAN-tag og videresender rammen direkte til Host B på port fa0/3.

For at konfigurere multi-layer switch inter-VLAN routing på en Cisco-enhed, i overensstemmelse med diagrammet vist i figur 3.0 ovenfor, skal du bruge IP-adresserne vist i tabel 3.0 og følge nedenstående trin:

Trin 1: Opret VLAN'er (VLAN'er 10 og 20) på L2-switchen

Trin 2: Tildel VLAN'erne til L2-switchportene

Trin 3: Aktiver L3-routing og opret VLAN'er (VLAN'er 10 og 20) på L3-switchen

Trin 4: Konfigurer Switch VLAN Interfaces (SVI)

Trin 5: Konfigurer en routet port til tilslutning til firewallen på L3-switchen

Igen vil et ping mellem vært A og vært B være vellykket, fordi de to VLAN'er nu er forbundet med hinanden gennem flerlagsswitchen. Multilayer switch inter-VLAN routing er hurtigere og mere skalerbar end nogen anden inter-VLAN routing implementering. Dette skyldes, at routere er begrænset af antallet af tilgængelige fysiske grænseflader eller porte, samt mængden af ​​trafik, der kan rummes på trunklinket på én gang. En flerlagsswitch erstatter dog ikke helt funktionaliteten af ​​en router, da routere understøtter en lang række andre supplerende funktioner og muligheder. Tabellen nedenfor er en sammenligning af de forskellige diskuterede inter-VLAN-routingmetoder.

Ofte stillede spørgsmål om Inter-VLAN-routing

Hvad er inter-VLAN-routing?

Du kan videresende trafik fra et virtuelt LAN til et andet, og denne teknik kaldes inter-VLAN-routing.

Hvad er fordelen ved inter-VLAN-routing?

VLAN'er kan bruges til at håndhæve sikkerhed ved at skabe forskellige zoner med sikkerhedsniveauer for forskellige brugere eller applikationer. Men i mange tilfælde er det stadig nødvendigt for trafik at passere fra et VLAN til et andet.

Forestil dig for eksempel, at du ønsker at opretholde to separate netværk på dit websted, fordi du har brug for stærk sikkerhed for det ene og begrænset adgang. Forestil dig dog, at du har én administrator for begge netværk, og du placerer den admin-konto på det øverste sikkerhedsnetværk. Denne administrator skal stadig have adgang til det andet netværk. Ved at virtualisere de to netværk til den samme infrastruktur reducerer du omkostningerne, og du kan stadig have den samme type trafikgennemstrømning takket være inter-VLAN-routing.

Hvad er de tre metoder til inter-VLAN-routing?

Der er tre typer inter-VLAN-routing, og disse er:

• Ældre Inter-VLAN-routing Bruger en router med flere Ethernet-stik, der forbinder hver til en switch-port i forskellige VLAN'er. Trafik kan derefter rute fra et VLAN til et andet gennem routeren.
• Router-på-en-stick Kun én router Ethernet-grænseflade er nødvendig, og denne er knyttet til en switch som en trunkforbindelse. Hvert VLAN defineres via software som en undergrænseflade med trafik mærket i overensstemmelse hermed. Således bliver al trafik for alle VLAN'er sorteret i routeren og kan gentagges for at flytte den fra et VLAN til et andet.
• Switched Virtual Interfaces (SVI'er) Denne teknik kører på en Layer 3 switch. Dette er den mest almindelige metode, der bruges i dag, og den minder meget om Router-on-a-Stick-metoden. Hvert VLAN får en virtuel grænseflade i switchen, og så trafik kan få tags ombyttet i enheden for at flytte fra VLAN til en anden.