ทำไมอุปกรณ์ไม่สามารถใช้กับ VLAN ที่แตกต่างกัน แต่ในเครือข่ายย่อยเดียวกันสื่อสาร?

ฉันมีคำถามเกี่ยวกับการสลับ ฉันมีอุปกรณ์สองเครื่องเชื่อมต่อกับสวิตช์ที่มีที่อยู่ IP 192.168.5.20 และ 192.168.5.10 อุปกรณ์ทั้งสองมีคำนำหน้าเหมือนกัน / 24 นั่นหมายความว่าพวกเขาอยู่ในซับเน็ตเดียวกัน

หากฉันแบ่งอุปกรณ์เหล่านี้เป็น VLANs (10 และ 20) ที่แตกต่างกันบนสวิตช์อุปกรณ์จะไม่สื่อสารแม้ว่าจะอยู่ในเครือข่ายย่อยเดียวกัน ทำไมถึงเกิดขึ้น?

หนึ่งในสิ่งที่ VLAN ทำคือใช้สวิตช์ทางกายภาพและแบ่งมันออกเป็นสวิตช์ "เสมือน" ที่เล็กกว่าหลายตัว

ความหมายนี้แสดงให้เห็นทางกายภาพของหนึ่งสวิตช์และสอง VLANs:

มีความเหมือนกันในการดำเนินการกับการอธิบายเชิงตรรกะของทอปอโลยีนี้:

แม้ว่าที่อยู่ IP ในรูปที่ 2 อยู่ใน Subnet เดียวกันคุณจะสังเกตเห็นว่าไม่มี "ลิงก์" ระหว่างสวิตช์เสมือนสองสวิตช์ (เช่น VLANs) ดังนั้นจึงไม่มีวิธีที่เป็นไปได้ที่โฮสต์ A / B สามารถสื่อสารกับโฮสต์ C ได้ / D

เพื่อให้โฮสต์ในภาพที่ 2 สามารถสื่อสารกับอุปกรณ์อื่นได้คุณจะต้องใช้อุปกรณ์บางประเภทในการสื่อสารจาก "สวิตช์" หนึ่งไปยังอีกอุปกรณ์หนึ่ง อุปกรณ์ที่มีอยู่สำหรับวัตถุประสงค์นั้นคือเราเตอร์ - ดังนั้นเราเตอร์จึงจำเป็นสำหรับการรับส่งข้อมูลเพื่อข้ามขอบเขต VLAN:

และเนื่องจากวิธีการทำงานของ Router แต่ละติดต่อเราเตอร์จะต้องมีเป็นของตัวเองที่ไม่ซ้ำกัน IP ซับเน็ต นั่นคือเหตุผลว่าทำไม VLAN ทุกตัวจึงต้องการ IP ซับเน็ตที่เป็นเอกลักษณ์ของตัวเอง - เพราะหากการสื่อสารใด ๆ เกิดขึ้นระหว่าง VLAN เหล่านั้นจะต้องมีซับเน็ตที่ไม่ซ้ำกัน

ภาพดังกล่าวจากบล็อกของฉันคุณสามารถอ่านข้อมูลเพิ่มเติมเกี่ยวกับVLANs เป็นแนวคิดที่นี่และเกี่ยวกับการกำหนดเส้นทางระหว่าง VLANs ที่นี่

จุดรวมของ Virtual LAN คือการสร้างเลเยอร์ 2 LAN แยกกันบนอุปกรณ์ฟิสิคัลเดียว

มันเหมือนกับการสร้างกำแพงหุ้มเกราะและป้องกันเสียงในห้องเพื่อสร้าง 2 ห้อง ผู้คนในแต่ละครึ่งของห้องไม่สามารถสื่อสารกับผู้คนในอีกครึ่งหนึ่งของห้องเดิมได้อีกต่อไป

ดังนั้นคุณมีโฮสต์สองแห่งบนเครือข่าย L2 สองเครือข่ายโดยไม่มีสิ่งใดที่อนุญาตให้พวกเขาสื่อสาร

โปรดทราบว่าในกรณีส่วนใหญ่มันไม่เหมาะสมที่จะใช้ซับเน็ตเดียวกันบน VLAN สองตัวที่แตกต่างกัน กรณีมาตรฐานคือการเชื่อมโยงเครือข่าย IP กับ VLAN

เครือข่ายย่อย IP เหตุผลกลุ่มโฮสต์ - โฮสต์ภายในเครือข่ายย่อยเดียวกันใช้การเชื่อมต่อชั้นที่ 2 ของพวกเขาที่จะพูดคุยโดยตรงกับแต่ละอื่น ๆ การพูดคุยกับโฮสต์บนซับเน็ตอื่นจำเป็นต้องใช้เกตเวย์ / เราเตอร์

VLANs โฮสต์กลุ่มทางกายภาพ - โฮสต์ภายใน VLAN / โดเมนการออกอากาศ / ส่วน L2 เดียวกันสามารถพูดคุยกันได้โดยตรง โฮสต์ใน VLAN ต่างๆไม่สามารถทำได้ (อย่าตีฉัน - กลุ่มร่างกายไม่ถูกต้องจริงๆ แต่มันเป็นจุดของฉัน)

ดังนั้นเมื่อสองโฮสต์อยู่ในเครือข่ายย่อย IP เดียวกัน แต่ใน VLANs / broadcast domains / เครือข่าย L2 ที่แตกต่างกันพวกเขาไม่สามารถสื่อสารได้: host ต้นทางสันนิษฐานว่าปลายทางอยู่ภายในเครือข่าย L2 ท้องถิ่นดังนั้นจึงพยายาม ARP ที่อยู่ปลายทาง (หรือ การแก้ปัญหา NDP สำหรับ IPv6)

ARP ทำงานโดยการส่งคำขอเป็นการออกอากาศไปยังเครือข่าย L2 ในพื้นที่และโฮสต์ที่มีคำตอบที่อยู่ IP ที่ร้องขอพร้อมที่อยู่ MAC เนื่องจากโฮสต์ปลายทางอยู่นอกเครือข่ายท้องถิ่นจึงไม่เคยได้ยินคำขอ ARP และ ARP ล้มเหลว

แม้ว่าแหล่งข้อมูลจะรู้ที่อยู่ MAC ของปลายทางและสร้างเฟรมที่ส่งไปยัง MAC นั้นจะไม่สามารถเข้าถึงปลายทางได้เนื่องจากอยู่นอกเครือข่าย L2 MAC จากนอกเครือข่าย L2 ในพื้นที่นั้นไร้ความหมายและไร้ประโยชน์

ประกอบกับคำตอบที่มีอยู่ซึ่งครอบคลุมคำถามจากมุมมองการออกแบบและทฤษฎี ...

แทนที่จะถามว่า " ทำไมพวกเขาถึงไม่สื่อสารกันล่ะ " ให้ถามว่า " จะเกิดอะไรขึ้นเมื่อพวกเขาพยายามสื่อสาร"

ก่อนอื่นการกำหนดค่า VLAN บนสวิตช์หมายความว่าอย่างไร ในตัวอย่างของเรามีซ็อกเก็ตบางตัวที่กำหนดค่าเป็น VLAN 10 และบางอันได้กำหนดค่า VLAN 20 คำจำกัดความของ VLAN คือซ็อกเก็ตบน VLAN เดียวกันเท่านั้นที่เชื่อมต่อ นั่นหมายความว่าเฟรมที่ได้รับบนพอร์ตใน VLAN ที่กำหนดนั้นจะถูกส่งไปยังพอร์ตของ VLAN เดียวกันเท่านั้น

  10  10  20  20  10  20       VLAN of port
   1   2   3   4   5   6       Port number
===+===+===+===+===+===+===
   |   |   |   |   |   |
   A   B   C   D   E   F       Hosts

ในแผนภาพนี้เรามีหกโฮสต์พอร์ต 1, 2, 5 อยู่บน VLAN 10, พอร์ต 3, 4, 6 อยู่บน VLAN 20

สมมติว่าโฮสต์ A ถูกกำหนดค่าแบบคงที่เป็น 192.168.5.10/24 และ F ถูกกำหนดค่าแบบคงที่เป็น 192.168.5.20/24 จากคำถาม สมมติว่า B ถึง E มีที่อยู่การกำหนดค่าคงที่อื่น ๆ (ไม่สำคัญว่าจะเป็นอะไร)

ถ้า A ส่ง Ping 192.168.5.20 มันกำหนดว่ามันอยู่ใน / 24 ดังนั้นสิ่งแรกที่เกิดขึ้นคือคำขอ ARP: WHO HAS 192.168.5.20 ถูกส่งเป็นการออกอากาศอีเธอร์เน็ต

สวิตช์รับสัญญาณออกอากาศบนพอร์ต 1 นี่คือ VLAN 10 ดังนั้นจึงส่งสัญญาณออกอากาศออกจากพอร์ต 2 และ 5 พอร์ตอื่นใน VLAN 10 โฮสต์ B และ E ได้รับคำขอ ARP และไม่สนใจเนื่องจากไม่ใช่ที่อยู่ของพวกเขา

แค่นั้นแหละ.

จะไม่มีการตอบกลับ ARP สิ่งต่อไปที่เกิดขึ้นจะเป็นการหมดเวลาใน A แล้วตามด้วยการร้องขอ ARP ซ้ำแล้วซ้ำอีกจนกว่าแอปพลิเคชันจะยกเลิก

โฮสต์ที่เสียบเข้ากับสิ่งอื่นนอกเหนือจากพอร์ต VLAN 10 จะไม่เห็นอะไรเลยไม่ว่าจะเป็นที่อยู่ IP ใด เห็นได้ชัดว่ารวมถึง F ซึ่งเป็น 192.168.5.20

ฉันคาดหวังให้คุณมีความเข้าใจที่ดีเกี่ยวกับการปิดบังซับเน็ต เมื่อคุณมี VLAN แยกกันคุณจะต้องมีช่วงที่อยู่ IP ที่ไม่ซ้ำกับซับเน็ตมันไม่จำเป็น

VLAN เป็น LAN แยกต่างหาก แต่เป็นเสมือน LAN เสมือนจริงสำหรับการแยกเครือข่ายในสวิตช์เดียวกันมันจะสร้างโดเมนออกอากาศแยกต่างหากในสวิตช์ของคุณ แต่เมื่อคุณสร้าง LAN เสมือนด้วย ip เดียวกันมันก็ไร้ประโยชน์

นอกจากนั้นคุณต้องกำหนดค่า Intervlan Routing บนสวิตช์ของคุณ

พิจารณาสิ่งที่เกิดขึ้นเมื่อคุณมี LAN ที่บ้านและคอมพิวเตอร์ที่มี IP 192.168.2.1 เพื่อนของคุณตามถนนยังมี LAN ที่บ้านของเขาและคอมพิวเตอร์ที่มี IP 192.168.2.2 พวกเขาอยู่ในซับเน็ตเดียวกันดังนั้นทำไมพวกเขาไม่สามารถพูดคุยกันได้

ในตัวอย่างเช่นสาเหตุนั้นแตกต่างจากที่คุณถาม

แต่ VLAN ได้ผลลัพธ์เดียวกัน - แบ่งเซกเมนต์เครือข่ายที่เลเยอร์ที่สอง

ประเด็นของฉันคือเราสามารถเห็นได้อย่างง่ายดายว่าความจริง "ที่อยู่ IP อยู่ในซับเน็ตเดียวกัน" นั้นไม่เพียงพอสำหรับการพิจารณาว่าแพ็คเก็ตอาจกำหนดเส้นทางระหว่างพวกเขาหรือไม่ โทโพโลยีพื้นฐานมีส่วนในการเล่นเช่นกัน

การทำสิ่งนี้ให้สุดขีดที่ชั้นล่างสุดคุณต้องใช้วัสดุทางกายภาพ (ดีโอเคหรืออากาศ: D) เพื่อขนส่งข้อมูล คอมพิวเตอร์ของคุณสามารถอยู่ในบ้านเดียวกันในเครือข่ายย่อยเดียวกัน แต่ไม่สามารถเชื่อมต่อทางกายภาพ (หรือมีลิงค์ไร้สาย) จากนั้นคุณจะไม่คาดหวังว่าจะส่งแพ็คเก็ต

จุดของ VLANs คือการแบ่งส่วนเครือข่าย คุณยังสามารถทำสิ่งเดียวกันได้ด้วยการใช้ซับเน็ต เนื่องจากเครือข่ายย่อยของคุณแบ่งออกเป็น 2 VLAN ต่างกันอุปกรณ์ของคุณจึงไม่สามารถสื่อสารบนเครือข่าย L2 ได้ คุณสามารถตั้งค่าอินเทอร์เฟซ IRB บนสวิตช์เพื่ออนุญาตการสื่อสารระหว่าง VLANs หรือคุณสามารถกำหนดเส้นทางการรับส่งข้อมูลผ่านไฟร์วอลล์และอนุญาตการสื่อสารแบบเลือกระหว่าง VLAN เป็นการดีที่คุณควรออกแบบเครือข่ายของคุณให้มีเครือข่ายย่อยที่แตกต่างกันสำหรับแต่ละ VLAN และจากนั้นไฟร์วอลล์การรับส่งข้อมูลระหว่าง VLANs หวังว่านี่จะช่วยได้

เมื่อมีการเชื่อมต่อ Ethernet ดำเนินการมากขึ้นกว่า VLAN เดี่ยวหนึ่ง แต่ของ VLANs ผู้ที่ต้องได้รับการติดแท็ก แท็ก VLAN ที่สอดคล้องกับมาตรฐาน IEEE 802.1Q จะถูกวางไว้ในเฟรม Ethernet ในตำแหน่งที่ EtherType ของเฟรมจะเป็นปกติ ส่วนแรกของแท็ก VLAN คือตัวระบุโปรโตคอลแท็กซึ่งเป็นค่าคงที่ของ 0x8100 ดังนั้นอุปกรณ์ที่ไม่รู้จักแท็ก IEEE 802.1Q หรือกำหนดค่าให้ไม่คาดหวังว่าจะเห็นเฟรมที่ติดแท็กและคิดว่า "นี่ไม่ใช่ IPv4, ARP หรือ IPv6 Ethertype 0x8100 นี้เป็นสิ่งที่แตกต่างไปจากเดิมอย่างสิ้นเชิง ฉันคิดว่าฉันไม่เข้าใจเลยดีกว่าที่จะไม่สนใจ "

สวิตช์สนับสนุน VLAN สามารถกรองแพ็คเก็ตที่ออกไปยังแต่ละพอร์ตด้วยแท็ก VLAN ของพวกเขาและสามารถเลือกแท็ก VLAN จากแท็ก VLAN ที่เลือกหนึ่งอันจากการรับส่งข้อมูลขาออกจากพอร์ตนั้น (และเพิ่มแท็ก VLAN ไปยังทราฟฟิก เพื่อให้ทราฟฟิกใด ๆ ของ VLAN ที่เลือกจะปรากฏเป็นทราฟฟิกอีเทอร์เน็ต pre-802.1Q ธรรมดาสำหรับอุปกรณ์ที่เชื่อมต่อกับพอร์ตนั้น VLAN ที่เลือกเช่นนี้รู้จักกันในชื่อVLAN ดั้งเดิมสำหรับพอร์ตนั้น

มาตรฐาน 802.1Q ช่วยให้พอร์ต Ethernet รองรับ VLAN ดั้งเดิมและจำนวนแท็ก VLAN ใด ๆ ในเวลาเดียวกัน แต่ฉันเข้าใจว่าการมีพอร์ตผ่านทั้งเฟรมอีเทอร์เน็ตที่ติดแท็กและไม่ติดแท็กในเวลาเดียวกันเป็นการกำหนดค่าที่ไม่น่าสนใจ: จะต้องจำไว้ว่าหนึ่งใน VLANs ในพอร์ต / NIC นั้นแตกต่างจากที่อื่น ๆ ทั้งหมดและจำเป็นต้องกำหนดค่าแตกต่างกัน มีแนวโน้มที่จะผิดพลาด

ซิสโก้ในคำศัพท์พอร์ตสวิทช์สามารถกำหนดค่าเป็นทั้งพอร์ตการเข้าถึงหรือเป็นพอร์ตลำต้น พอร์ตการเข้าถึงจะให้การเข้าถึง VLAN เดียวและแท็ก VLAN ถูกถอดออกจากทราฟฟิกขาออกโดยอัตโนมัติและเพิ่มในทราฟฟิกขาเข้าสำหรับพอร์ตนั้น ในทางกลับกันช่องพอร์ตจะผ่านการรับส่งข้อมูลในชุด VLAN ที่กำหนดค่าได้ แต่ทราฟฟิกทั้งหมดจะถูกติดแท็กด้วย VLAN

ดังนั้นในกรณีของอุปกรณ์สองเครื่องในสอง VLAN ที่ต่างกันบนสวิตช์เดียวกันทั้งสองใช้ที่อยู่บนเครือข่ายย่อย IP เดียวกัน สิ่งที่เกิดขึ้นจะขึ้นอยู่กับว่าพอร์ตสวิตช์ (และอินเตอร์เฟสเครือข่ายบนอุปกรณ์) ได้รับการกำหนดค่าเกี่ยวกับ VLANs อย่างไร

1. ) สลับพอร์ตเป็นพอร์ตการเข้าถึงอุปกรณ์ที่ไม่ทราบถึง VLAN: พอร์ตสวิตช์จะกรองการรับส่งข้อมูลของ "ตรงกันข้าม" VLAN และอุปกรณ์จะไม่เห็นการรับส่งข้อมูลของกันและกัน สิ่งนี้ทำให้เกิดคำถามว่าควรคำนึงถึงพวกเขาว่า "อยู่ในส่วนเครือข่ายเดียวกัน" หรือไม่

2. ) สลับพอร์ตเป็นพอร์ต trunk ที่ตั้งค่าให้ส่งผ่านทั้ง VLAN, อุปกรณ์ที่ไม่ได้รับการตระหนักถึง VLAN: อุปกรณ์แต่ละตัวจะคิดว่า "ทำไมอุปกรณ์อื่น ๆ ถึงส่งฉันแปลก ๆ Ethertype 0x8100 สิ่งที่ฉันไม่ได้พูดอย่างนั้น"

3. ) สลับพอร์ตเป็นพอร์ต trunk ที่ตั้งค่าให้ส่งผ่าน VLAN เพียงอันเดียวเท่านั้นอุปกรณ์ VLAN ที่รับรู้: คุณจะต้องระบุหมายเลข VLAN ในการกำหนดค่าเครือข่ายของอุปกรณ์ด้วย แต่ผลลัพธ์ที่ได้จะเหมือนกับในกรณี # 1: อุปกรณ์จะไม่เห็นการรับส่งข้อมูลของกันและกัน

4. ) สลับพอร์ตเป็นพอร์ต trunk ที่ตั้งค่าให้ส่งผ่านทั้ง VLANs, อุปกรณ์ที่รับรู้ VLAN แต่กำหนดค่าเป็น VLANs ที่แตกต่างกัน: ตอนนี้มันเป็นเลเยอร์สนับสนุน VLAN ในอุปกรณ์ที่ตัวกรองทำการกรอง และ # 3: ทราฟฟิกของอุปกรณ์ "ตรงกันข้าม" จะไม่เข้าถึงเลเยอร์โปรโตคอล IP ในสแต็กเครือข่ายโปรโตคอลของอุปกรณ์

5. ) สลับพอร์ตเป็นพอร์ต trunk ที่ตั้งค่าให้ส่งผ่านทั้ง VLAN, อุปกรณ์ที่กำหนดค่าด้วยการรับรู้ VLAN, ทั้งสอง VLAN ที่กำหนดค่าไว้ในอุปกรณ์ นี่คือสิ่งที่คุณต้องการ ตอนนี้อุปกรณ์จะแสดงอย่างมีประสิทธิภาพบน VLAN ทั้งสอง

เนื่องจาก VLAN ทั้งสองนั้นมีความแตกต่างกันในระดับอีเธอร์เน็ต แต่ใช้ IP ซับเน็ตเดียวกันสิ่งที่เกิดขึ้นจะขึ้นอยู่กับวิธีการกำหนดเส้นทาง IP ของอุปกรณ์ รายละเอียดที่สำคัญที่สำคัญคือสแต็ค IP ได้รับการออกแบบให้ใช้โมเดลโฮสต์ที่แข็งแกร่งหรือโมเดลโฮสต์ที่อ่อนแอและแนวคิดของ VLANs ได้ถูกรวมเข้ากับระบบได้อย่างไร

ตัวอย่างเช่น Linux จะแสดง VLAN ที่ติดแท็กที่กำหนดค่าใด ๆ เป็น NIC เสมือนพิเศษซึ่งจะแสดงสถานะการเชื่อมโยงของ NIC จริง แต่จะทำหน้าที่เป็นอิสระที่สุดเท่าที่จะเป็นไปได้ทางเทคนิค ดังนั้นจะเหมือนกับว่าคุณมี NIC สองตัวที่เสียบเข้ากับสองส่วนเครือข่ายทางกายภาพที่แยกจากกันพร้อมกับเครือข่ายย่อย IP ที่ทับซ้อนกัน 100%: ระบบอาจได้รับปริมาณข้อมูลขาเข้าได้ดี แต่จะถือว่า NIC ที่เชื่อมต่อกับเครือข่ายย่อย IP ปลายทางนั้นดี โฮสต์อื่นใน IP ซับเน็ตนั้นและจะใช้ NIC (เสมือนเฉพาะ VLAN) ที่เกิดขึ้นเป็นครั้งแรกในตารางเส้นทาง ... และดังนั้นการกำหนดค่าอาจหรืออาจไม่ทำงานขึ้นอยู่กับลำดับที่ส่วนต่าง ๆ ของ การกำหนดค่า NIC และ VLAN ได้รับการเริ่มต้น คุณต้องใช้ Linux '

การใช้ IP ซับเน็ตเดียวกันบนสองเซ็กเมนต์ที่แตกต่างกันนั้นเป็นปัญหาของเลเยอร์ -3 ไม่ว่าการแยกเซกเมนต์ที่เลเยอร์ 2 นั้นจะเป็นฟิสิคัล (= NIC แยกจริง) หรือโลจิคัล (= สร้างด้วย VLANs) ปัญหาของเลเยอร์ -3 จะต้องแก้ปัญหาเลเยอร์ -3: การใช้เราเตอร์หรือกล่องอื่น ๆ เพื่อสมมาตร - NAT หนึ่งในเครือข่ายย่อยเพื่อลบ IP ซับเน็ตที่ทับซ้อนกันจะสง่างามกว่าการพยายามจัดการกับอุปกรณ์แต่ละตัว