Что и как присваивает номера vlan для подсетей?

Question

[satoo]

Есть устоявшаяся практика: присваивать номер vlan номеру подсети (речь по небольшие сети, понятно ограничение на количество vlan на разном оборудовании и пр.).

Т.е.:
для 172.30.10.0/24 vlan будет 10 или 110 (может с каким-то "префиксом" для разделения разных сетей),
для 172.30.14.0/24 vlan будет 14 или 114

В принципе это не на что не влияет кроме как на удобство в настройке, а значит уменьшает вероятность появления человеческой ошибки.

А если нам надо разбить подсеть /24 на 10 подсетей, то кто как именует vlan в таком случае?

Comments

[pfg21]

тег vlan вклеивается в кадр ethernet.
так что в разных vlan ip не пересекаются, могут быть хоть идентичными :)
так что настраивай как хочет твоей душе угодно :)

[Valentin Barbolin]

10.9.30.0/24 - 930
10.11.20.0/24 - 1120
10.13.50.0/24 - 1350

10.15.10.0/24 - 1510
10.15.20.0/24 - 1520
10.15.30.0/24 - 1530
10.15.40.0/24 - 1540

[hint000]

Есть устоявшаяся практика

Про такое не слышал.
Но у меня другая практика - с "уличными" адресами. По адресу ул. Кирова, д. 48 - подсеть 48, по адресу ул. Сухарная, д. 98 - подсеть 98, и т.п. (иногда с модификаторами). Минус в том, что офис переехал по новому адресу, а подсеть осталась старая, и уже не всем будет понятно "так исторически сложилось".

[satoo]

вы используете вланы по географическим адресам? и одну подсеть на клиента?

имхо это очень плохая практика (даже для подсетей). начиная с пересечения адресов, заканчивая переездом, что вы указали.

[satoo]

Valentin Barbolin, да, примерно так и именуем. а теперь разбейте 10.15.40.0/24 - 1540 на 10 подсетей и укажите вланы, когда рядом есть 10.15.39.0/24, 10.15.41.0/24

[Valentin Barbolin]

satoo,

10.15.40.0/24 - 1540 на 10 подсетей

В это и заключается планирование, что бы таких ситуаций не было. У меня нет потребности крошить сети меньше /24.

[satoo]

Valentin Barbolin, если организация развивается, то план рано или поздно станет не актуальным/не удобным. иногда надо разбить подсеть на подсети меньше чем /24 (для сохранении агрегации маршрутов, например). но это отход от вопроса

[Valentin Barbolin]

satoo, Это все равно вопрос планирования. Ты предложил вариант 10.15.39.0/24, 10.15.41.0/24 и этим сам выстрелил себе в ногу.

Я изначально закладывают по 10 подсетей развером /24 в резерв
10.15.10.0/24 - 1510
10.15.20.0/24 - 1520

если какой-то филиал, отдел или сеть будет расти, то рядом можно добавить еще /24 сеть
10.15.10.0/24 - 1510
10.15.11.0/24 - 1511
10.15.12.0/24 - 1512
10.15.13.0/24 - 1513

Я так же заложил вариант, если моя сеть будет расти до /21 например.
ipcalc 10.15.10.0/20
Network: 10.15.8.0/21
HostMin: 10.15.8.1
HostMax: 10.15.15.254
Broadcast: 10.15.15.255
Hosts/Net: 2046

В моем плане нарезание сети меньше /24 это крайний случай, не надо вставлять себе палки в колеса.

[satoo]

у меня вопрос не планирования. планировать я умею, было бы понимание что и куда может вырасти. у меня вопрос в был в другом. (кстати, 10 плохо агрегируется, тогда уж 8/12/16 ;) )

конкретный пример для чего это нужно: было 2 устройства. разбросаны по зданию, подключаются к акцесным коммутаторам. устройства не должны видеть друг-друга. теперь, никто и никогда бы не подумал через много лет - нарисовалось +~50 таких устройств. "в резерве" было еще 14 подсетей /24 (запас в 8 раз).

коммутаторы port isolation/PVLAN не умеют. выделять дополнительно 48 /24 подсетей?

Answer 1

[Akina]

Есть устоявшаяся практика: присваивать номер vlan номеру подсети

Вот честно - слышал, но никогда не мог понять. Как по мне - хрень голимая. Качественное документирование куда как полезнее.

Более того, никогда не понимал и горячее желание иметь одну подсеть на вилан. Но тут хотя бы понять можно, почему.

понятно ограничение на количество vlan на разном оборудовании

Если оборудование не поддерживает стандарт, который определяет 4к различных VLAN, то разумнее его не использовать - кто знает, что оно ещё делает не по стандарту...

Comments

[Станислав Бушуев]

VLAN по сути это широковещательный домен, который очень хорошо совпадает с IP-подсетью в контексте администрирования: у клиентских устройств скорее всего единые права доступа, поэтому в голове модель сети проще и меньше вероятность ошибок допустить.

[Станислав Бушуев]

Ещё по 802.1q устройства, которые поддерживают менее максимального количества VLANов, вполне стандартные, например свитч может поддерживать настройку всего 128 VLAN'ов максимум, при условии, что каждый из них может иметь VID в диапазоне 1…4094.

[Akina]

Станислав Бушуев,

например свитч может поддерживать настройку всего 128 VLAN'ов максимум, при условии, что каждый из них может иметь VID в диапазоне 1…4094

Это как раз соответствует стандарту. У меня вон сетевая на компе вообще только один влан разрешает (хочешь больше - прикрепляй виртуальные интерфейсы) - и я её вовсе не считаю нестандартом.

VLAN по сути это широковещательный домен

Сам по себе, голышом - да. Но как только появляются дополнительные настройки - скажем, то же изолирование портов,- как всё становится не столь очевидно.

[Станислав Бушуев]

Akina, я как раз и написал, что это стандартное поведение, просто это частая ошибка, когда путают ёмкость таблицы VLAN'ов и их идентификаторы.
А изоляция портов уже больше опирается на то. что по сути VLAN описывается в стандарте как набор направленных деревьев распространения кадров.

[Akina]

Станислав Бушуев,

А изоляция портов уже больше опирается на то. что по сути VLAN описывается в стандарте как набор направленных деревьев распространения кадров.

Какая связь-то? Что VLAN, что изоляция портов - и то, и другое есть средство ограничения трансляции пакетов с одного порта на другой. Две системы фильтров, работающие абсолютно независимо. И каждая из них может запретить трансляцию пакета с порта А на порт Б, даже если все остальные системы фильтрации его пропускают. При этом изоляция даже не заглядывает в пакет...

Так что я просто не понимаю, что значит "изоляция портов опирается на VLAN"

[Станислав Бушуев]

Это значит, что в стандарте VLAN не описан как широковещательный домен, т. е. если бы так было написано, то режим изоляции портов просто противоречил бы этому и это было поведение, которое не соответствует стандарту.
Т. е. если бы у тебя два порта доступа входили в один VLAN и между ними была настроена изоляция, то по старому определению VLAN'а широковещательный пакет из одного должен был быть виден во втором, что противоречит изоляции.
Поэтому определение VLAN'а изменили, чтобы и такое поведение захватить.

[Akina]

Станислав Бушуев,

Это значит, что в стандарте VLAN не описан как широковещательный домен

VLAN - это понятия уровня L2, где ни доменов, ни широковещания тупо ещё нет. Или речь о пакете на нулевой МАС?

Т. е. если бы у тебя два порта доступа входили в один VLAN и между ними была настроена изоляция, то по старому определению VLAN'а широковещательный пакет из одного должен был быть виден во втором, что противоречит изоляции.

С какого это перепугу виден? даже если эти порты не изолированы, то разные VLAN не дают пакету пройти с одного на другой.

PS. Под термином "изоляция портов" я имею в виду Traffic Segmentation. То есть ограничение портов, на которые могут форвардиться пакеты с данного порта. Соответственно если порт X не числится в разрешённых для форвардинга у порта Y, то пакет с порта Y ни при каких обстоятельствах не будет отправлен в порт X. Хоть там VLAN, хоть что...

[asmelnik]

Akina,

VLAN - это понятия уровня L2, где ни доменов, ни широковещания тупо ещё нет. Или речь о пакете на нулевой МАС?

Это L2, но в остальном вы "слегка" заблуждаетесь.
Ethernet-- он концептуально широковещательный, это заложено в основу его архитектуры :)
И MAC "FF:FF:FF:FF:FF:FF" -- зарезервирован именно как BROADCAST.
А термин "домен" имеет несколько трактовок в зависимости от контекста.
Вот как минимум 3
Домен - Широковещательный (чаще всего в Ethernet сетях, хотя изначально у Ethernet были альтернативы).
Домен- как пространство имен в DNS
Домен - Windows как собрание участников безопасности (все объекты Active Directory), имеющих единый центр (который называется контроллером домена)....

[Станислав Бушуев]

Akina, как правильно заметил asmelnik, Ethernet изначально широковещательный и в дальнейшем был доработан для отптимизации трафика как для юникаста, так и для мультикаста. Старые хабы, которые просто на все порты рассылали входящие пакеты до сих пор соответствуют 802.1q, например.

А разные изобретения вендоров по ограничению трафика а-ля port isolation циски потребовали доработки стандарта. Так как иначе про их коммутаторы нельзя было бы говорить, что они соответствуют стандартам 802.1*.

С какого это перепугу виден? даже если эти порты не изолированы, то разные VLAN не дают пакету пройти с одного на другой.

Я говорил именно про один VLAN.

Про домен, в стандарте раньше было понятие broadcast domain, которое было переформулировано, но осталось в описаниях IP, так как для них формально ничего не изменилось.

[Akina]

Станислав Бушуев,

Ethernet изначально широковещательный и в дальнейшем был доработан для отптимизации трафика как для юникаста, так и для мультикаста.

Что-то мы как-то о разных вещах говорим, что ли? Широковещание - это отправка без указания адресата, с тем, чтобы было доставлено всем доступным адресатам. Ethernet изначально не разработан широковещательным, а оказался широковещательным именно вследствие тогдашней аппаратной его организации. На коаксиале по-другому не получается. Но как только появились свичующие хабы, так абсолютному широковещанию в вашем смысле немедленно пришёл конец. Но это совершенно не означает, что это оборудование не соответствовало 802.1. Ибо если пакет направлен в "нулевой" или "единичный" адрес, то он безусловно транслируется на все порты. Это и есть широковещание на уровне L2. А бродкасты, мультикасты и широковещание на уровне подсети (как отправка на адрес бродкаста, так и на адрес самОй подсети - впрочем, я не помню софт, который пользуется возможностью слать на адрес подсети) или глобальной IP-сети, о чём говорит asmelnik, есть широковещание на уровне L3. Совсем другой процесс.

[Станислав Бушуев]

@Akina
Свитчи принесли с собой таблицу фильтрации FDB, которая отображает известные unicast-MACи, на порты, куда их надо отправить.
Если она не заполнена, при включении, например, то вне зависимости от типа адреса назначения пакет будет отправлен на все остальные порты VLAN'а. То же происходит при переполнении FDB -- если нет места для нового адреса, то пакет тоже будет разослан везде.
Широковещание это действие коммутаторов по умолчанию, всё остальное это только способы его ограничить для повышения производительности (и немного безопасности).
MAC-адреса делятся на unicast (которые попадают в FDB) и broadcast, в котором отдельно выделяют мультикаст-адреса.

Ещё есть отдельные соглашения как MAC-адреса связываются с IP-адресами, чтобы IP протокол корректно на Ethernet'е работал. Потому что для IP понятия броадкаста и мультикаста тоже определены и для их корректной связки с коммутаторами есть отдельные протоколы, которые определены на L3, но должны поддерживаться коммутаторами для эффективной работы.

Тот же IP-мультикаст на уровне коммутаторов, на которых нет хотя бы IGMP-снупинга будет тупо работать броадкастом, забивая всю сеть.

Чуть резюмирую: широковещание это рассылка на всех адресатов и коммутаторы имеют право это делать вне зависимости от того, какой тип адреса ты указал. Правильная их настройка как раз и заключается в том, чтобы они этого не делали.

[Akina]

Станислав Бушуев, всё вы правильно говорите. Но вот если обратиться к исходному вопросу, то всё это ну никак (для меня, во всяком случае) не объясняет, что может заставлять каждую подсеть загонять в отдельный VLAN. Ну бегает в одном влане два широковещательных IP-домена - и что? если это приводит к тому, что перегружен канал, а ничего лишнего в подсетях не бегает - тут уже не про вланы надо думать, а об агрегировании или переходе на более высокую скорость порта, да и то при условии, что матрица коммутатора справится, а то мож и оборудование следует заменить.

[Станислав Бушуев]

Akina, обычно совмещение VLAN'ов с IP-подсетями делают для удобства администрирования и усиления безопасности: IP-подсети назначают административным единицам для которых не страшно случайное получение чужих пакетов. Например, можно бухгалтерию от программистов отделить.
Защита от флудинга адресов какая-никая есть. Изоляцию портов проще настраивать и поддерживать. Трафиком проще управлять.
Это больше не технический, а административно/организационный вопрос.

[Станислав Бушуев]

Akina, почитал в соседнем вопросе про твою ситуацию:

Вот, скажем, в одном цехе имеется оборудование, которое должно иметь на одном-единственном сетевом интерфейсе пять разных сетевых адресов (причём два из них, оба /28, вообще зашиты статически, и обслуживают взаимодействие с другими агрегатами комплекса), и обязательно из разных подсетей - это обязательное требование, явно описанное в документации на оборудование. Причём tagged оно не понимает от слова "совсем". Мне что, отдельный маршрутизатор туда ставить, чтобы разогнать подсети по разным VLAN? Да шло бы оно лесом.

Вот здесь, например, один VLAN вполне обоснован и служит той же цели, что и обычное совмещение VLAN'а с IP-подсетью -- удобство администрирования и отделение трафика оборудования от другого трафика.
Оборудование всегда желательно от другого трафика ограничить, так как всегда есть опасения в надёжности его сетевой подсистемы.

Answer 2

[Drno]

да как хочешь так и называй. главное чтобы ты сам понимал

Answer 3

[Дмитрий]

Нумерация нужна только человеку, чтобы не запутаться во всем многообразии вланов. Естественно привязываешься к октету, чтобы не забыть. Лишь бы не пересекались номера в разных сегментах

Answer 4

[Александр]

К примеру по адресу сети,
192.168.1.0/28 - vlan 100
192.168.1.16/28 - vlan 116

Comments

[satoo]

тоже делал такое, но что делать, когда 172.30.220.0 и 172.31.210.0?
речь идет, в основном, о 172.16.0.0/12, но чаще всего с маской 24

[Александр]

Вести подробную документацию, но наверняка при таких масштабах сети можно уже будет завести всё через маршрутизацию и уйти на третий уровень.

[satoo]

документация есть, но есть человеческий фактор. чем меньше вероятность возникновения человеческой ошибки, тем лучше

Answer 5

[Руслан Федосеев]

Имея IPAM систему - как угодно. Просто храните соответствие в каком влане какая сеть.
В качестве IPAM системы в простейшем случае может выступать лист бумаги, файлик текстовый в блокноте, экселевская таблица, какая нить специализированная система....

Comments

[satoo]

для больших сетей ipam есть, а для небольших сетей, где ~20 подсетей он не особо нужен, если везде /24 маска. но, бывает, из-за "домовитости ;)" хочется какую-то "гостевую" сетку разбить на более мелкие. вот тут-то и вопрос возникает.

да и глаз иногда может подсказать, когда рука "промахнулась", что для 172.29.31.0/24 стоит влан 32 или 132 - т.е. не похожий на номер сети

Answer 6

[d-stream]

Зачастую vlan 0 и 1 - могут иметь "особое" значение, да ещё и трактуемое разными вендорами по-разному.
А сетевые сегменты - от нуля.
Не будь специфики с "1" - можно было бы играть в "номер сети/подсети +1", но вот "+2" - уже не очень удобно...
Отсюда практика 100+номер
У домовых провайдеров есть риск что можно и в 1024 планку упереться - там от 2 начинают нумеровать