Как разобраться в VLAN что тут происходит?

Question

[vitz84]

Всем привет!
сразу сори за тупой вопрос, сколько не читаю разные статьи и видео не до конца наверное понимаю работу vlan, поэтому прошу помочь разобраться что и как.

вообщем картина такая стоит коммутатор DGS-1100-24 в контору входят два провайдера один из которых предоставляет ip телефонию и все они заходят в этот коммутатор
21 порт входит провайдер 1 (интернет)
22 порт входит провайдер 2 (интернет + ip телефонию)
23 порт идет провод на микротик который поставил провайдер 2 (и с того же микротика с другого порта второй конец идет в этот же коммутатор в 16 порт)
24 идет провод на основной шлюз через который офис выходит в инет



можете мне подсказать что тут на скрине написано, ((((

Comments

[Akina]

Покажите ещё настройки Voice VLAN.

[vitz84]

Akina, это?

[Akina]

vitz84, Да, оно. Поскольку везде Disabled, то ДЛинк не рулит VoIP, это всё на Микроте.

Answer 1

[Valentin Barbolin]

Без конфигурации микротика сложно сказать что именно происходит. Но похоже что микрот занимается выдергиванием VOIP трафика и засовывает его в 33 VLAN.

Comments

[vitz84]

к микроту доступа нет к сожалению, это провайдеры, а они пипец несговорчивые(

а по поводу vlan 1,2 и 3 не подскажите что значит порты в Tagged Member Ports и Untagged Member Ports

[vitz84]

т.е. как это правильно "прочитать"

[Руслан Федосеев]

открыть СДСМ, почитать, поучиться. Тогда станет понятнее
Тегированные порты - пакеты выходят с метками вланов
нетегированные порты - пакеты выходят без меток влана.
Это если вкратце

[Valentin Barbolin]

VLAN Interface
Буду использовать слово тег вместо vlan.

Tagget only - порт пропускат только пакеты с тегом, в обе стороны, какие теги он пропускатет написано на скриншоте выше 802.1Q VLAN. Если пакет без тега, коммутатор его отбросит.

Admin all - Так же как и предыдуший порт, но когда в порт будет залетать пакет без тега, то коммутатор поставит тег указанный на скринтоше выше как unttaget для этого порта и соответственно снимет его когда пакет покинет коммутатор через порт с аналогичной конфигурацией. Если пакет покинет коммутатор через порт с конфигурацией tagget only и этот untagget тег будет разрешен на этом порту, то тег не будет снят.

untagget only - коммутатор все входящие пакеты в не зависимости от тега перемаркерует тегом указанным на скриншоте выше 802.1Q VLAN для этого порта.

У порта есть три состояния: Tagget only, Admin all, untagget only. Чаще в документации можно встретить другие термины
tagget only это trunk
Admin all это hybrid
untagget only это access или native

trunk пропускат только тегированный трафик в обе стороны, но можно ограничить какие именно теги пропускать.

access - весь входящие трафик тегирует в указанный на порту тег, если пакет покидает коммутатор через этот порт тег снимается.

hybrid - как можно понять из названия выполняет обе роли одновременно. Тегированный трафик пропускате без изменений, не теггированный маркерует тегом указанным в настройках порта.

[vitz84]

т.е. если мне нужно допустим соединить этот коммутатор с другим то я его соединяю с портом untagget only (при условии что у меня на втором коммутаторе есть тоже VLAN с ip телефонией)

[Valentin Barbolin]

vitz84,

условии что у меня на втором коммутаторе есть тоже VLAN с ip телефонией)

Ты так и не уловил как работает access (untagget). Через access порт с исходящего пакеты будет снят тег (vlan), а при входе на другой коммутатор через access порт будет назначен VLAN, который прописан в настройках второго коммутатора на этом порте. Соответственно на втором коммутаторе может быть тот же VLAN а может и другой.

По класике коммутаторы уровня L2 обеденяют через trunk порты. В таком случае на обоих коммутатор VLAN должен совпадать. Access или hybrid используют для подключения конечных устройств (компьютер, телефон, принтер)

Hybrid вчасности используют когда у тебя на одном порт подключен ПК и телефон, в таком случае на телефоне настраивают VLAN в котором должен быть его трафик, а с ПК ничего не делают он попадает в access. Но это не обязательно - это просто класическая схема, так же телефон и ПК пудут работать на untagget порте просто оба попадут в одну сеть.

[Akina]

Valentin Barbolin,

Hybrid вчасности используют когда у тебя на одном порт подключен ПК и телефон, в таком случае на телефоне настраивают VLAN в котором должен быть его трафик, а с ПК ничего не делают он попадает в access.

Какая-то очень старая схема... у меня все IP-телефоны такой настройки вообще не имеют, и поиск слова VLAN по техническому описанию даёт ноль результатов. А работают они все через VoiceVLAN на коммутаторе - коммутатор по МАС источника определяет принадлежность и направляет пакеты вместо прописанного на порте VLANID в тот VLAN, который настроен как VoiceVLAN. А пакеты от компьютера, имеющие другой МАС, отправляются в прописанный VLAN обычным порядком. И да, порт работает в режиме Access (и Edge).

[Valentin Barbolin]

Akina, VoiceVLAN - это отдельная тема, так как коммутатор может тегировать нужный трафик так и телефон может получить от коммутатор нужный vlan. По факту он упрощает (атоматизирует) конфигурацию порта в состояние hybrid когда коммутатор обнаруживает на порту телефон.

Классно что у тебя телефон и коммутатор поддерживает voice vlan, но не все так умеют.

поиск слова VLAN по техническому описанию даёт ноль результатов

Если поискать 802.1Q ?

[Akina]

Классно что у тебя телефон и коммутатор поддерживает voice vlan

Телефон-то тут при чём?

Если поискать 802.1Q ?

Ровно вдвое больше...

так и телефон может получить от коммутатор нужный vlan.

Вот этой фразы не понял вообще... это же не про DHCP option 132/182?

[Valentin Barbolin]

Akina,

Телефон-то тут при чём?

Как работает VoiceVlan по класике.

Когда ты включаеш voicevlan, то:

Коммутатор на этом порту:
1) разрешает тегированый трафик для этого vlan, соответственно по логике работы порт становиться гибридным т.к. он начинает пропускать тегированый и не тегированны трафик одновременно.
2) Добавляет в CDP или LLDP пакет информацию про VoiceVLAN.

Телефон
1) Ловит CDP или LLDP, достает из него номер VLAN
2) Начинает тегировать свой трафик в этот VLAN.

Ровно вдвое больше...

Давай я поищю за тебя. Вот бы узнать модель телефона)

[Akina]

Valentin Barbolin,

Вот бы узнать модель телефона)

Mitel 5312 IP Phone

Коммутатор на этом порту:
1) разрешает тегированый трафик для этого vlan, соответственно по логике работы порт становиться гибридным т.к. он начинает пропускать тегированый и не тегированны трафик одновременно.
2) Добавляет в CDP или LLDP пакет информацию про VoiceVLAN.

Ну очень странно. Коммутатор DGS-1210-28P. Настройка Voice VLAN Port Settings:
- Port = 7
- Auto Detection = Enabled
- Tagged / Untagged = Untagged
Почему при такой настройке порт вдруг начнёт работать в гибридном режиме - мне непонятно.

Вот, кстати, описание настройки такого коммутатора (правда, не PoE): https://www.dlink.ru/ru/faq/63/1741.html , в нём VoiceVLAN вообще на порте может не прописываться (см. порт 2), добавление его на порт (причём именно в untagged mode) происходит автоматически по факту изучения зарегистрированного МАС. И получается, что порт работает в забавном таком режиме, что-то вроде dual-access, то есть порт один, а МАСов и VLAN-ов на нём два... впрочем, в таком же режиме работают порты при включённом MAC-based VLAN, если к порту подключён неуправляемый коммутатор. В то же время порт 3 прописывается в VoiceVLAN явно, а МАС телефона на коммутаторе не регистрируется - но при этом теряется возможность одновременной работы и компьютера, и телефона.

А вот аналогичное описание настройки для серии 1100 - требует явного отдельного включения порта в VoiceVLAN, и именно в tagged mode: https://www.dlink.ru/am/faq/63/1828.html

И как по мне, так настройка порта 2 куда как более логична, чем порта 3.

[Valentin Barbolin]

Akina,

Почему при такой настройке порт вдруг начнёт работать в гибридном режиме - мне непонятно.

Все же очевидно, на одном порту телефон и ПК. Телефон тегирует свой трафик, а ПК нет. Такой смешаный трафик может обрабатывать только порт в режиме гибрид. Соответственно что бы это работало, коммутатор переключает порт в гибридный режим хотя в web интерфесе показывает его как Untagged.

Mitel 5312 IP Phone

Прикольные телефоны, судя по deploy guide нет возможно насроить vlan в самом телефоне. На телефон конфигурация vlan передается через dhcp или lldp. Что кстати редкость, но имеет право на жизнь.

[Akina]

коммутатор переключает порт в гибридный режим хотя в web интерфесе показывает его как Untagged.

Позвольте не поверить.

Представьте схему. Управляемый коммутатор, к порту подключен неуправляемый, к нему два компа с МАС адресами А и Б. На порте включен MAC-based VLAN, причём МАС-адрес А отнесён в VLAN XX, а МАС Б во VLAN YY. Коммутатор прекрасно раскидывает их по прописанным VLAN, а порт продолжает работать в режиме Access. А теперь скажите, чем эта схема отличается от случая "комп через телефон"? Почему вы решили, что порт мало того что переключается в гибридный режим, так ещё и врёт насчёт статуса порта?

PS. Кстати, завтра попробую между телефоном и коммутатором добавить неуправляемый свитч и пингануть телефон... если он реально заработал в tagged, то не должен ответить.

[Valentin Barbolin]

Akina, Твой схема тоже имеет право на жизнь, в связке с твоими телефонами. Если есть тупой хаб (именно hub, который рассылает пакеты на все порты или ты можеш зазеркалить порт) то можно подслушать трафик с помощью другого ПК и если ты увидив там vlan тег на трафике от телефона, то однозначно порт в режиме гибрид, если же тега нет, то MAC-based VLAN.

[Valentin Barbolin]

Akina, В этой статье провели эксперемент с неуправляемым коммутатором, на таких коммутатор порты 90% случая работают в режиме гибрид.

https://joshcurry.co.uk/posts/cisco-ip-phones-spoo...

Answer 2

[Дмитрий]

VLAN это не так сложно, как кажется. Это несколько сетей в одном физическом линке. У каждой сети есть уникальный тег, чтоб можно было разделить где чей трафик. Коммутаторы и маршрутизаторы эти теги в пакетах видят и правильно обрабатывают, отправляя в нужную сеть.
На первом скрине - untagged member port - порт в котором данный влан будет идти без тега, это называется нативный влан, или как обычная ситауция без вланов вовсе. Tagged member port - порт в котором указанный влан будет идти с тегом - такой порт обычно называется транк - в нем может быть несколько вланов, без тега максимум один, остальные с тегом. Соответственно, Влан1 тегирован в портах с 1 по 8 и нетегирован в портах с 9 по 19. Влан2 с тегом в 24, без тега в 22 и т.д.
По второму скрину VLAN mode - trunk и hybrid - варианты передачи тегов без нативного(trunk) и с нативным(hybrid) вланом. То есть в гибридный портах всегда есть влан без тега, остальные с тегом. В транках все с тегом - про это написано в стоkбце со значениями Tagged only. Access port - порт без тега, с одним вланом

Ну а что именно накрутили ваше провайдеры с такой конфигурацией и количеством оборудования - только им известно

Comments

[vitz84]

спасибо большое за такое большое и понятно описание, но есть вопрос.
допустим исходя з этой ситуации, если мне нужно допустим подключить к этому коммутатору просто комп или притер то я уже должен их соединять исходя из того к какому Vlan нужно отнести данные узлы или допустим как я читал есть vlan по умолчанию (если я правильно понял это сеть которая получается при обычном подключении устройств когда нет vlan) или уже пихать их согласна "плану рассадки" кто в какой сети?

и допустим я хочу еще поставить коммутатор чтобы расширить сетку
1) в первом случае там не будет ip телефонов и компов которые нужно добавить в один vlan
2) и во вторых если нужно поставить коммутатор в котором будут подсоединены сотрудники с ip телефонами и компами
как тогда правильно тут нужно подключать злы

просто логику хочу понять.

[Дмитрий]

vitz84, для начала у вас должен быть план - кого куда в какое адресное пространство вы хотите посадить. На основании плана вы настраиваете вланы под каждую задачу. Настраиваете шлюзы - один маршрутизатор может быть шлюзом нескольких сетей, имея адрес в каждой. Отдаете транки с маршрутизатора на коммутаторы в том количестве в котором они будут нужны - если не нужна телефония в конечном коммутаторе - можно такой влан в транк не добавлять. Конечных пользователей вы подключаете к коммутаторам и на коммутаторах определяете какой влан повесить на какой порт исходя из типа оборудования - телефон, комп и т.п.

Влан по умолчанию обычно имеет 1 номер - если порт не принадлежит другому влану - он принадлежит первому. Бывают ситуации, когда порт исключен из всех вланов, но это уже вырожденный вариант, в новых свитчах, которые еще никто не конфигурил, все в первом. В качестве первого влана можете использовать офисную сеть для компов пользователей, чтобы любой подключенный комп автоматически имел все необходимые ресурсы сети.

[Akina]

В качестве первого влана можете использовать офисную сеть для компов пользователей, чтобы любой подключенный комп автоматически имел все необходимые ресурсы сети.

Я бы вообще настоятельно не советовал использовать дефолтный VLAN. Лишний заборчик в безопасности никому не вредит, даже если он хиленький. Собственно, я всегда начинаю настройку коммутатора именно с того, что создаю управляющий VLAN, перекидываю в него административный интерфейс, затем очищаю список портов дефолтного VLAN, и лишь затем настраиваю всё остальное.

Answer 3

[Akina]

не до конца наверное понимаю работу vlan

VLAN в первом приближении - это не просто, а очень просто.

Первый шаг - это разделение по отдельным VLAN. Мысленно представляешь, что у тебя не один коммутатор, а несколько. Вот прям вместо коммутатора стоИт стопка один на другом. В первом - только VLANID=1, во втором VLANID=2, и так далее. Каждый коммутатор обслуживает строго один VLAN, а все остальные порты, на которых текущий VLAN отсутствует, тупо залиты цементом. Если коммутаторов несколько - то каждый в схеме размножается таким образом, а соединения между портами коммутаторов ещё и раскрашиваются, например, тегованный кабель синий, а нетегованный красный. Соответственно если у тебя есть транковая связь (гибридный или транковый порт) с каждой из сторон) - то в преобразованной схеме один кабель между такими коммутаторами размножается на несколько, каждый в схеме для своего VLAN. А если попадается случай, когда с одной стороны провода VLANID есть, а с другой стороны его нет - получается кабель, с одной стороны вставленный в порт, а с другой нет. И соответственно в схеме для именно этого VLAN связи между коммутаторами нет. Аналогично для случаев соединения "tag на untag" с одной стороны красный кабель, с другой синий, у обоих вторые концы "в воздухе", а связи нет.

Второй, дополнительный, шаг - это соединение меж собой нетегованных портов разных VLAN в преобразованной схеме, если такие соединения исходно существуют, невзирая на номера VLAN. Скажем, если на порте есть нетегованный VLANID=2 (возможно, с другими VLANID, но тегованными), и порт соединён кабелем с другим портом того же или другого коммутатора, на котором есть нетегованный VLANID=3, то в преобразованной схеме ты соединяешь соотв. порты коммутаторов разных слоёв, соответствующих этим VLAN.

Теоретически можно себе представить, что при настройке порта, один и тот же VLANID на порте прописан и как тегованный, и как нетегованный - но это явная ошибка конфигурации (если на порт придёт пакет в этом VLANID, коммутатор не знает, теговать его или нет, а дублировать пакет он просто не станет, не его это дело), и в подавляющем большинстве случаев конфигуратор такое просто не примет.

После такого разделения ты можешь смело анализировать поведение одного VLAN, не обращая внимания на существование остальных.