Можно про VLAN «на пальцах»?

Question

[other_letter]

Приступаю к переводу обычной плоской сети на VLAN
Цель - ну, например, чтобы юзеры не расшаривали свои папки. Да много чего, в основном по секьюрности.

Имеется:
1. подопытный свитч HP 2610, умеет ажно до 256 vlan`ов.
2. парочка ПК, с которыми можно экспериментировать
3. ну и рабочая сетка

В перспективе:
а. IP-телефоны (которые соответственно должны будут быть подвязаны на выделенный для телефонии vlan)
б. офис по соседству с примерно такой же сеткой (сейчас объединены через VPN)

Честно прочитано много руководств как общих по Vlan, так и по ProCurve в частности. Всякие мануалы и впечатления тех, кто внедрял...

Но в голове - каша.

Можете подсказать материал или пояснять на пальцах?
1. Vlan бывают транковые и нет. В чём разница, зачем? Может, ещё какие бывают?
2. Железка на пакеты вешает ярлык vlan`а, верно? Там айдишник и всё такое. Другая железка берёт этот айдишник и сравнивает со своими, верно? Значит, vlan`ы на двух железках должны иметь одинаковые айдишники?
3. Иногда вижу, что надо настраивать дополнительно и сами ПК. Зачем? Вроде всё железки делать должны.

Ну и вот такой пример.
Есть ПК 1,2,3. 1 - это админ. Есть файловая помойка 4.
Берём и делаем vlan`ы с портами:
vlan1 - 1,2,3,4 - это чтобы админ мог админить
vlan2 - 2,4 - это комп 2 чтобы пользовался файлопомойкой
...но в таком случае тот же 3 будет видеть всё? Он же входит в vlan1.

В общем... каша.

Answer 1

[Андрей]

1. Vlan бывают транковые и нет. В чём разница, зачем? Может, ещё какие бывают?
Транковый вилан (точнее, транковый порт) добавляет к каждому исходящему и читает из входящего тэг, который состоит из 2 байт, максимальное количество виланов там - 4096. По этому тэгу оборудование определяет принадлежность пакета к той или иной виртуальной сети. Так же порт может быть настроен так, что в него "выходят" пакеты, принадлежащие определённому вилану, но выходят они уже БЕЗ тэга, а коммутатор просто знает, что пакеты этого порта будут принадлежать такому-то вилану. Это называется "без тэга, но в вилане". :)

2. Железка на пакеты вешает ярлык vlan`а, верно? Там айдишник и всё такое. Другая железка берёт этот айдишник и сравнивает со своими, верно? Значит, vlan`ы на двух железках должны иметь одинаковые айдишники?
Другая ситуация - есть линк между коммутаторами, и нужно чтобы один и тот же вилан был видим на обоих коммутаторах - тогда вешаем на пакеты тэг и отправляем их туда. По тэгам, опять же, будет определена принадлежность трафика, и он будет правильно разделен. Конечно, в этом случае ID одного и того же вилана должен быть одинаков на обоих коммутаторах, иначе пакеты просто потеряются (не вдаваясь в подробности). Ну и таким образом через один линк можно передавать любое количество виланов, в пределах 4096 и мощности оборудования.

3. Иногда вижу, что надо настраивать дополнительно и сами ПК. Зачем? Вроде всё железки делать должны.
Всё верно. Если настроено, что "порт принадлежит 3-му вилану без тэга" - ПК увидит этот пакет без тэгов и даже ничего не заподозрит, без всяких костылей и танцев с бубном, но внутри коммутатора он будет явно выделен в вилан. Если же необходимо послать на ПК, например, несколько виланов на одну сетевую карту (мало ли, ограничения какие-нибудь), то можно один вилан послать без тэга (хоть и не обязательно), а остальные - в тэге. В этом случае нужны дрова на сетевую карту, которые поддерживают виланы, и с их помощью будут созданы виртуальные интерфейсы по одному на каждый тэгированный вилан. Их количество определяется Вашей настройкой (добавляется вилан -> появляется интерфейс).

Чтобы народ, находящийся в разных виланах, видел друг друга, необходимо, чтобы в обоих виланах висело по одному интерфейсу роутера (в простейшем случае - одного и того же роутера) в качестве шлюза, и роутер уже будет переправлять трафик между виланами и подсетями. Ну а дальше на роутере можно и безопасность накрутить, т.к. единственная точка "перехода" трафика между виланами - будет этот роутер. Без этого роутера ПК в разных виланах друг друга не увидят.

Comments

[other_letter]

Реально самый дельный отклик, спасибо. Если позволите - вопросы.
11. Без тега, но в вилане это тот самый untagged?
12. Есть в вилане есть порты с тэгом и без оных - собственно в чём разница? Допустим, два ПК с тэгами и два - бьез. Кто-то кого-то не будет "видеть"?
13. Если железок в виланами две (неодинаковые, но для примера - НР и Д-Линк примерно одного уровня) и на обеих есть виланы office2 и boss - то это будут как бы общие виланы, так? Конечно, при условии, что на обеих железках есть порт, который входит в вилан.
14. Касательно примера с настройкой сетевухи - а нет ли проблем, что некто, обладающий локальным админом и знающий id-шники vlan-ов таким макаром пролезет куда не нужно? Или я неправильно понимаю и такая настройка никак не влияет на свитч?
15. Часто в примерах вижу разделение адресации в разных виланах. Это зачем? Просто для простоты?

[Андрей]

11. Да, приставка "un" - что-то вроде "не". Без тэга может быть только один вилан, т.к. иначе будет непонятно, какой трафик каким виланом метить
12. Чтобы ПК понимал трафик с тэгом, ему нужно уметь обрабатывать метки на уровне драйверов. Если он это не умеет - тэгированный трафик он не увидит. Но можно указать, что в 1 и 2 портах вилан №1 без тэга, а в 3 и 4 портах - вилан №2 без тэга, и компы, вставленные в 1 и 2 порт будут видеть друг друга, но никак не увидят тех, кто вставлен в 3 и 4 порты. Ну и наоборот. Сам же тэг нужен ТОЛЬКО тогда, когда по одному порту надо отправить 2 и более виланов. Просто чтобы не путались.
13. Технология виланов стандартизирована (802.1q) и любое оборудование, которое умеет виланы, совместимо с другим оборудованием, которое тоже их умеет. Не важно, какой производитель, главное, чтобы у вилана office2 был некий ID, который был одинаковым _на обоих_ коммутаторах. Ну и с boss та же песня.
14. Ты сам задаёшь, какие виланы и как будут видны на порту. Если ты указал, что на порт выходит только 15-й вилан, то злоумышленник, подключенный к этому порту, не получит доступ ни в 3-й вилан, ни в 500-й, ни в какой, кроме 15-го. Если конечно злоумышленник будет знать логин/пароль от коммутатора, он может посмотреть какие там виланы, нужные вывести в свой порт, и только после этого получить к ним доступ. Но это уже проблема изоляции интерфейса управления.
15. Нет. Если в разных виланах будет одинаковая подсеть, то компьютеры из этих виланов никогда не увидят друг друга между виланами. Разные подсети используются только для того, чтобы можно было "попасть" друг к другу через маршрутизацию, т.к. при разных сетях не будет никаких конфликтов. В общем, одинаковые сети создают много проблем :)

[other_letter]

с п.15 надо будет ещё подумать и разобраться, но надеюсь, что сам смогу.
Вкратце - нужно всё же разделять (пока не понял зачем, если честно).

Непонятно ещё "никогда не увидят друг друга между виланами, если в одной подсети". По идее их же и делят чтобы они не видели. Нет? В каких случаях может тогда быть нужна эта маршрутизация? И как она будет работать, если виланы-то разные? Аль нужен роутер, который будет входить в эти разные виланы?

Пожалуйста, обрисуйте что нужно, чтобы было, допустим, 3 вилана - порты 11+12, 21+22 и 31+32, но при этом был некий порт 40, где будет комп админа, который будет иметь возможнсть "ходить" всюду.
Я хочу понять - его надо будет включать во все виланы? Или создавать какой-то отдельный?

======
Ещё раз - спасибо. Другие просто кидают ссылки в стиле "читай маны/факи", но у меня как раз после оных (в том числе и по этим ссылкам) и породилась каша.

[Андрей]

Деление сети на виланы делается далеко не только, чтобы они "не видели" друг друга. На самом деле эта "невидимость" лишь один из эффектов. По сути, 2 vlan работают в точности как 2 разных неуправляемых свича, НЕ соединенные парч-кордом, в которые подключены разные компы. В одном свиче живет подсеть, скажем, 192.168.0.0/24, в другом - 192.168.1.0/24. Что нужно, чтобы быть одновременно в 2х сетях? Есть 2 варианта:

1. кинуть 2 патч-корда к компу от обоих свичей, воткнуть в 2 сетевухи у себя на компе, настроить на одной сетку .0.0, на другой .1.0 соответственно, и сидеть видить их всех и радоваться жизни. Но допустим внезапно у нас обе сети (считай, в разных свичах или виланах) - 192.168.0.0/24. Как твой комп определит, где реально находится айпишник, скажем, 192.168.0.37? В какую сетевуху надо отправлять пакет? А ведь он не может догадаться, он может это только вычислить! А вычислить-то не может, т.к. одно и то же и там, и там.. Так вот, здесь начинается конфликт: нельзя, чтобы на 2 разные сетевухи была настроена одна и та же сеть. Винда, например, в этом случае гневно ругается. Поэтому идеологически не правильно в разных виланах делать одно и то же адресное пространство. Подсети должны быть везде разные, иначе захочется что-то объединить, и придется полностью переделывать структуру сети, что не является правильным проектированием сети тру-одмином :)

2. Поставить роутер, воткнуть в него 2 патч-корда из тех свичей, в одной сети дать ему айпишник, например, 192.168.0.1, в другой - 192.168.1.1, после этого - на всех компах прописать шлюзом этот роутер (конечно же тот айпишник, который соответствует сети компа), и через роутер эти 2 подсети будут успешно общаться и видеть друг друга. А дальше уже можно извращаться: добавить сеть 192.168.3.0 и прыгнуть туда своим админским компом, и опять же радоваться :)

Так вот, описывая эти ситуации виланами, а не на свичами - первый вариант - это тегированные виланы на одну сетевуху админа (либо 2 нетегированных порта патчами с одного свича на 2 сетевухи админа), а второй вариант - просто 1 нетегированный линк с отдельной (.3.0) подсетью, когда на свиче настроены IP интерфейсы в каждом из виланов. Но здесь есть подводный камень: свич сам должен уметь L3 помимо L2, чтобы иметь возможность создавать маршрутизируемые интерфейсы в нескольких виланах, иначе он будет уметь только виланы без интерфейсов, а объединять их придется внешним роутером!
По сути в примере со свичами то же самое, только физически реализация разная :)

Второй вариант в несколько раз лучше, но тянет за собой необходимость настройки фаервола на этом роутере. Компы в пределах свича конечно всегда будут видеть друг друга, но если не надо, чтобы сеть 192.168.0.0/24 не видела 192.168.1.0/24 - на РОУТЕРЕ создаётся правило вида "deny 192.168.0.0/24 192.168.1.0/24" и в другую сторону, вешается на один или оба интерфейса, и сети друг друга видеть перестают, однако админ в сети 192.168.3.0 их прекрасно видит, и они видят админа.
В первом варианте конечно можно сделать подобный эффект, но это надо настраивать на компе админа функции роутера, а это уже совсем другие дебри.

>"Пожалуйста, обрисуйте что нужно"
Вот, в принципе всё это соединяется интерфейсами роутера и настройкой шлюзов, и по умолчанию будет разрешен любой трафик. Остается просто подумать, кто что не должен делать, и правилами фаервола (обычно в коммутаторах называются Access-list) позапрещать всё что не надо.

[Андрей]

>3 вилана - порты 11+12, 21+22 и 31+32, но при этом был некий порт 40, где будет комп админа, который будет иметь возможнсть "ходить" всюду
Ладно, распишу :)
port 11,12 - vlan 100 untagged
port 21,22 - vlan 101 untagged
port 31,32 - vlan 102 untagged
port 40 - vlan 103 untagged

На виланах внутри коммутатора (если умеет L3):
vlan 100 - interface 192.168.0.1/24
vlan 101 - interface 192.168.1.1/24
vlan 102 - interface 192.168.2.1/24
vlan 103 - interface 192.168.3.1/24

ACL:
deny ip 192.168.0.0/24 192.168.1.0/24
deny ip 192.168.0.0/24 192.168.2.0/24
deny ip 192.168.0.0/24 192.168.3.0/24
deny ip 192.168.1.0/24 192.168.0.0/24
deny ip 192.168.1.0/24 192.168.2.0/24
deny ip 192.168.1.0/24 192.168.3.0/24
deny ip 192.168.2.0/24 192.168.0.0/24
deny ip 192.168.2.0/24 192.168.1.0/24
deny ip 192.168.2.0/24 192.168.3.0/24
deny ip 192.168.3.0/24 192.168.0.0/24
deny ip 192.168.3.0/24 192.168.1.0/24
deny ip 192.168.3.0/24 192.168.2.0/24

эти правила запрещают хождение всего трафика между виланами 100, 101 и 102 (заметь, в правилах указываются не виланы, а подсети, из которых уже в процессе вычисляются виланы!), но не запрещают всем взаимно видеть админа в 4-й подсети, т.к. нет правил, запрещающих это.
P.S. номера виланов и сети взяты от балды, а вообще могут быть любыми в доступных пределах.

[other_letter]

Но ведь можно завести порт админа во все нетэгированые виланы и просто дать сетевухе по айпишнику во всех подсетях, так?
Я упорно думаю над способом выкрутиться из ситуации, не обрезая сеть на подсети - а то придётся думать над почтовиком, документооборотом, бэкапом, файлопомойкой и так далее. Конечно, их можно выделить в разные подсети и разрешить трафик...

Я, кстати, правильно понял, что если на виланах не задавать айпишники - то видеть друг друга никто не сможет?

Вот что не даёт покоя...
А если будет так:
port 11,12,40 - vlan 100 untagged
port 21,22,40 - vlan 101 untagged
...и не будет разделения на подсети...то порт 40 будет видеть и тех и тех, а остальные - только соседа и 40-ой, верно?
Свитч в этом разе разберётся где кто находится, если все в одной подсети?

И вот ещё такая непонятка.
Вот сделал я вилан на 2 порта. Остальные порты не в вилане. В таком случае у меня (для простоты) всё равно типа-два-свитча (вилан и всё остальное)?

[Андрей]

>завести порт админа во все нетэгированые виланы
Нетегированный вилан на порту может быть _только один_, остальные должны быть с тегом. Иначе как входящий на порт трафик разделить по виланам? Нужно или несколько сетевух (для untagged), или одна с поддержкой виланов (для tagged).

>Я упорно думаю над способом выкрутиться из ситуации, не обрезая сеть на подсети
Простого варианта этого добиться нет. Или разделять на подсети, или фильтровать трафик на оборудовании, которое это умеет, но для этого нужно, чтобы все компы и сервера были вставлены в единственную железку, и придумывать кучу правил, в которых потом легко будет запутаться

>если на виланах не задавать айпишники - то видеть друг друга никто не сможет
Вилан - это считай отдельное обособленное от других виланов пространство. В тупо созданном вилане может работать 2-3-4 компа, но если нужно ходить между виланами или в инет, то придется делать шлюз

>А если будет так:
Опять же, так сделать просто не получится, коммутатор или не даст, или не будет правильно работать с такой настройкой

>Остальные порты не в вилане
Если портам не указан вилан - они работать не будут, входящие на порт пакеты просто наткнутся на пустоту вместо дальнейшей обработки. Нужно, чтобы хоть что-то было. На сброшенном по умолчанию коммутаторе все порты находятся в 1-м вилане, поэтому и работают из коробки

Answer 2

[Сергей]

habrahabr.ru/post/138043

Answer 3

[Валентин]

Читаем сети для самых маленьких.

Answer 4

[Жека]

Рекомендую посмотреть видеоурок про виланы, вбиваете в ютюбе курс молодого бойца, (не смотрите что там на оборудовании циско, все разсматриваеться на общих примерах) выбираете урок по виланам там само доходчиво и очень интересно рассказываеться про виланы, и не только про виланы есть много уроков про сети в целом.

Answer 5

[Disen]

xgu.ru/wiki/VLAN