Что и как присваивает номера vlan для подсетей?

Question

[satoo]

Есть устоявшаяся практика: присваивать номер vlan номеру подсети (речь по небольшие сети, понятно ограничение на количество vlan на разном оборудовании и пр.).

Т.е.:
для 172.30.10.0/24 vlan будет 10 или 110 (может с каким-то "префиксом" для разделения разных сетей),
для 172.30.14.0/24 vlan будет 14 или 114

В принципе это не на что не влияет кроме как на удобство в настройке, а значит уменьшает вероятность появления человеческой ошибки.

А если нам надо разбить подсеть /24 на 10 подсетей, то кто как именует vlan в таком случае?

Comments

[pfg21]

тег vlan вклеивается в кадр ethernet.
так что в разных vlan ip не пересекаются, могут быть хоть идентичными :)
так что настраивай как хочет твоей душе угодно :)

[Valentin Barbolin]

10.9.30.0/24 - 930
10.11.20.0/24 - 1120
10.13.50.0/24 - 1350

10.15.10.0/24 - 1510
10.15.20.0/24 - 1520
10.15.30.0/24 - 1530
10.15.40.0/24 - 1540

[hint000]

Есть устоявшаяся практика

Про такое не слышал.
Но у меня другая практика - с "уличными" адресами. По адресу ул. Кирова, д. 48 - подсеть 48, по адресу ул. Сухарная, д. 98 - подсеть 98, и т.п. (иногда с модификаторами). Минус в том, что офис переехал по новому адресу, а подсеть осталась старая, и уже не всем будет понятно "так исторически сложилось".

[satoo]

вы используете вланы по географическим адресам? и одну подсеть на клиента?

имхо это очень плохая практика (даже для подсетей). начиная с пересечения адресов, заканчивая переездом, что вы указали.

[satoo]

Valentin Barbolin, да, примерно так и именуем. а теперь разбейте 10.15.40.0/24 - 1540 на 10 подсетей и укажите вланы, когда рядом есть 10.15.39.0/24, 10.15.41.0/24

[Valentin Barbolin]

satoo,

10.15.40.0/24 - 1540 на 10 подсетей

В это и заключается планирование, что бы таких ситуаций не было. У меня нет потребности крошить сети меньше /24.

[satoo]

Valentin Barbolin, если организация развивается, то план рано или поздно станет не актуальным/не удобным. иногда надо разбить подсеть на подсети меньше чем /24 (для сохранении агрегации маршрутов, например). но это отход от вопроса

[Valentin Barbolin]

satoo, Это все равно вопрос планирования. Ты предложил вариант 10.15.39.0/24, 10.15.41.0/24 и этим сам выстрелил себе в ногу.

Я изначально закладывают по 10 подсетей развером /24 в резерв
10.15.10.0/24 - 1510
10.15.20.0/24 - 1520

если какой-то филиал, отдел или сеть будет расти, то рядом можно добавить еще /24 сеть
10.15.10.0/24 - 1510
10.15.11.0/24 - 1511
10.15.12.0/24 - 1512
10.15.13.0/24 - 1513

Я так же заложил вариант, если моя сеть будет расти до /21 например.
ipcalc 10.15.10.0/20
Network: 10.15.8.0/21
HostMin: 10.15.8.1
HostMax: 10.15.15.254
Broadcast: 10.15.15.255
Hosts/Net: 2046

В моем плане нарезание сети меньше /24 это крайний случай, не надо вставлять себе палки в колеса.

[satoo]

у меня вопрос не планирования. планировать я умею, было бы понимание что и куда может вырасти. у меня вопрос в был в другом. (кстати, 10 плохо агрегируется, тогда уж 8/12/16 ;) )

конкретный пример для чего это нужно: было 2 устройства. разбросаны по зданию, подключаются к акцесным коммутаторам. устройства не должны видеть друг-друга. теперь, никто и никогда бы не подумал через много лет - нарисовалось +~50 таких устройств. "в резерве" было еще 14 подсетей /24 (запас в 8 раз).

коммутаторы port isolation/PVLAN не умеют. выделять дополнительно 48 /24 подсетей?

Answer 1

[Akina]

Есть устоявшаяся практика: присваивать номер vlan номеру подсети

Вот честно - слышал, но никогда не мог понять. Как по мне - хрень голимая. Качественное документирование куда как полезнее.

Более того, никогда не понимал и горячее желание иметь одну подсеть на вилан. Но тут хотя бы понять можно, почему.

понятно ограничение на количество vlan на разном оборудовании

Если оборудование не поддерживает стандарт, который определяет 4к различных VLAN, то разумнее его не использовать - кто знает, что оно ещё делает не по стандарту...

Comments

[Станислав Бушуев]

VLAN по сути это широковещательный домен, который очень хорошо совпадает с IP-подсетью в контексте администрирования: у клиентских устройств скорее всего единые права доступа, поэтому в голове модель сети проще и меньше вероятность ошибок допустить.

[Станислав Бушуев]

Ещё по 802.1q устройства, которые поддерживают менее максимального количества VLANов, вполне стандартные, например свитч может поддерживать настройку всего 128 VLAN'ов максимум, при условии, что каждый из них может иметь VID в диапазоне 1…4094.

[Akina]

Станислав Бушуев,

например свитч может поддерживать настройку всего 128 VLAN'ов максимум, при условии, что каждый из них может иметь VID в диапазоне 1…4094

Это как раз соответствует стандарту. У меня вон сетевая на компе вообще только один влан разрешает (хочешь больше - прикрепляй виртуальные интерфейсы) - и я её вовсе не считаю нестандартом.

VLAN по сути это широковещательный домен

Сам по себе, голышом - да. Но как только появляются дополнительные настройки - скажем, то же изолирование портов,- как всё становится не столь очевидно.

[Станислав Бушуев]

Akina, я как раз и написал, что это стандартное поведение, просто это частая ошибка, когда путают ёмкость таблицы VLAN'ов и их идентификаторы.
А изоляция портов уже больше опирается на то. что по сути VLAN описывается в стандарте как набор направленных деревьев распространения кадров.

[Akina]

Станислав Бушуев,

А изоляция портов уже больше опирается на то. что по сути VLAN описывается в стандарте как набор направленных деревьев распространения кадров.

Какая связь-то? Что VLAN, что изоляция портов - и то, и другое есть средство ограничения трансляции пакетов с одного порта на другой. Две системы фильтров, работающие абсолютно независимо. И каждая из них может запретить трансляцию пакета с порта А на порт Б, даже если все остальные системы фильтрации его пропускают. При этом изоляция даже не заглядывает в пакет...

Так что я просто не понимаю, что значит "изоляция портов опирается на VLAN"

[Станислав Бушуев]

Это значит, что в стандарте VLAN не описан как широковещательный домен, т. е. если бы так было написано, то режим изоляции портов просто противоречил бы этому и это было поведение, которое не соответствует стандарту.
Т. е. если бы у тебя два порта доступа входили в один VLAN и между ними была настроена изоляция, то по старому определению VLAN'а широковещательный пакет из одного должен был быть виден во втором, что противоречит изоляции.
Поэтому определение VLAN'а изменили, чтобы и такое поведение захватить.

[Akina]

Станислав Бушуев,

Это значит, что в стандарте VLAN не описан как широковещательный домен

VLAN - это понятия уровня L2, где ни доменов, ни широковещания тупо ещё нет. Или речь о пакете на нулевой МАС?

Т. е. если бы у тебя два порта доступа входили в один VLAN и между ними была настроена изоляция, то по старому определению VLAN'а широковещательный пакет из одного должен был быть виден во втором, что противоречит изоляции.

С какого это перепугу виден? даже если эти порты не изолированы, то разные VLAN не дают пакету пройти с одного на другой.

PS. Под термином "изоляция портов" я имею в виду Traffic Segmentation. То есть ограничение портов, на которые могут форвардиться пакеты с данного порта. Соответственно если порт X не числится в разрешённых для форвардинга у порта Y, то пакет с порта Y ни при каких обстоятельствах не будет отправлен в порт X. Хоть там VLAN, хоть что...

[asmelnik]

Akina,

VLAN - это понятия уровня L2, где ни доменов, ни широковещания тупо ещё нет. Или речь о пакете на нулевой МАС?

Это L2, но в остальном вы "слегка" заблуждаетесь.
Ethernet-- он концептуально широковещательный, это заложено в основу его архитектуры :)
И MAC "FF:FF:FF:FF:FF:FF" -- зарезервирован именно как BROADCAST.
А термин "домен" имеет несколько трактовок в зависимости от контекста.
Вот как минимум 3
Домен - Широковещательный (чаще всего в Ethernet сетях, хотя изначально у Ethernet были альтернативы).
Домен- как пространство имен в DNS
Домен - Windows как собрание участников безопасности (все объекты Active Directory), имеющих единый центр (который называется контроллером домена)....

Answer 2

[Drno]

да как хочешь так и называй. главное чтобы ты сам понимал

Answer 3

[Дмитрий]

Нумерация нужна только человеку, чтобы не запутаться во всем многообразии вланов. Естественно привязываешься к октету, чтобы не забыть. Лишь бы не пересекались номера в разных сегментах

Answer 4

[Александр]

К примеру по адресу сети,
192.168.1.0/28 - vlan 100
192.168.1.16/28 - vlan 116

Comments

[satoo]

тоже делал такое, но что делать, когда 172.30.220.0 и 172.31.210.0?
речь идет, в основном, о 172.16.0.0/12, но чаще всего с маской 24

[Александр]

Вести подробную документацию, но наверняка при таких масштабах сети можно уже будет завести всё через маршрутизацию и уйти на третий уровень.

[satoo]

документация есть, но есть человеческий фактор. чем меньше вероятность возникновения человеческой ошибки, тем лучше

Answer 5

[Руслан Федосеев]

Имея IPAM систему - как угодно. Просто храните соответствие в каком влане какая сеть.
В качестве IPAM системы в простейшем случае может выступать лист бумаги, файлик текстовый в блокноте, экселевская таблица, какая нить специализированная система....

Comments

[satoo]

для больших сетей ipam есть, а для небольших сетей, где ~20 подсетей он не особо нужен, если везде /24 маска. но, бывает, из-за "домовитости ;)" хочется какую-то "гостевую" сетку разбить на более мелкие. вот тут-то и вопрос возникает.

да и глаз иногда может подсказать, когда рука "промахнулась", что для 172.29.31.0/24 стоит влан 32 или 132 - т.е. не похожий на номер сети

Answer 6

[d-stream]

Зачастую vlan 0 и 1 - могут иметь "особое" значение, да ещё и трактуемое разными вендорами по-разному.
А сетевые сегменты - от нуля.
Не будь специфики с "1" - можно было бы играть в "номер сети/подсети +1", но вот "+2" - уже не очень удобно...
Отсюда практика 100+номер
У домовых провайдеров есть риск что можно и в 1024 планку упереться - там от 2 начинают нумеровать