כיצד להגדיר רשת LAN וירטואלית (VLAN)

רשתות ה- VLAN נמצאות בכל מקום. אתה יכול למצוא אותם ברוב הארגונים עם רשת מוגדרת כהלכה. למקרה שזה לא היה ברור מאליו, VLAN מייצג, Virtual Local Area Network, והם נמצאים בכל מקום מודרני מעבר לגודל של בית זעיר או רשת משרדים קטנה מאוד.

ישנם מספר פרוטוקולים שונים, שרבים מהם ספציפיים לספקים, אך בבסיסו, כל VLAN עושה את אותו הדבר והיתרונות של VLAN בקנה מידה כאשר הרשת שלך גדלה בגודל ובמורכבות הארגונית.

יתרונות אלה הם חלק גדול מהסיבה לכך שרשתות מקצועיות בכל הגדלים מסתמכות כל כך על רשתות VLAN. למעשה, יהיה קשה לנהל או להגדיל רשתות בלעדיהן.

היתרונות וההדרגתיות של רשתות ה- VLAN מסבירים מדוע הם הפכו לכל כך נפוצים בסביבות רשת מודרניות. יהיה קשה לנהל או לשנות גודל של רשתות אפילו מורכבות למדי עם המשתמש ב- VLAN.

מהו VLAN?

אוקיי, אז אתה יודע את ראשי התיבות, אבל מה זה בעצם VLAN? הרעיון הבסיסי צריך להיות מוכר לכל מי שעבד עם שרתים וירטואליים או השתמש בהם.

חשבו לרגע איך מכונות וירטואליות עובדות. שרתים וירטואליים מרובים נמצאים בתוך פיסת חומרה פיזית אחת שמפעילה מערכת הפעלה ו- hypervisor כדי ליצור ולהפעיל את השרתים הווירטואליים בשרת הפיזי היחיד. באמצעות וירטואליזציה אתה יכול להפוך ביעילות מחשב פיזי יחיד למספר מחשבים וירטואליים הזמינים כל אחד למשימות ולמשתמשים נפרדים.

רשתות LAN וירטואליות פועלות כמעט באותה צורה כמו שרתים וירטואליים. מתג מנוהל אחד או יותר מריצים את התוכנה (בדומה לתוכנת hypervisor) המאפשרת למתגים ליצור מתגים וירטואליים מרובים בתוך רשת פיזית אחת.

כל מתג וירטואלי הוא הרשת העצמית שלו. ההבדל העיקרי בין שרתים וירטואליים לבין רשתות LAN וירטואליות הוא שניתן להפיץ רשתות LAN וירטואליות על פני כמה פיסות חומרה פיזיות באמצעות כבל ייעודי הנקרא trunk.

איך זה עובד

תאר לעצמך שאתה מנהל רשת לעסקים קטנים שצומחים, מוסיף עובדים, מתחלק למחלקות נפרדות והופך מורכב ומסודר יותר.

כדי לענות על שינויים אלה שדרגת למתג 24 יציאות כדי להתאים מכשירים חדשים ברשת.

אתה יכול לשקול פשוט להפעיל כבל Ethernet לכל אחד מהמכשירים החדשים ולקרוא למשימה שנעשתה, אך הבעיה היא שיש לשמור על הפרדת אחסון הקבצים והשירותים המשמשים את כל המחלקות. רשתות VLAN הן הדרך הטובה ביותר לעשות זאת.

בממשק האינטרנט של המתג תוכלו להגדיר שלושה רשתות VLAN נפרדות, אחת לכל מחלקה. הדרך הפשוטה ביותר לחלק אותם היא לפי מספרי יציאות. תוכל להקצות יציאות 1-8 למחלקה הראשונה, להקצות יציאות 9-16 למחלקה השנייה ולבסוף להקצות יציאות 17-24 גרם למחלקה האחרונה. כעת ארגנת את הרשת הפיזית שלך לשלוש רשתות וירטואליות.

התוכנה במתג יכולה לנהל את התנועה בין הלקוחות בכל VLAN. כל רשת VLAN פועלת כרשת משלה ואינה יכולה לתקשר ישירות עם רשתות ה- VLAN האחרות. כעת, לכל מחלקה יש רשת קטנה משלה, פחות עמוסה ויעילה יותר, ותוכלו לנהל את כולם באמצעות אותה חומרה. זו דרך יעילה וחסכונית מאוד לניהול רשת.

כאשר אתה זקוק למחלקות כדי לקיים אינטראקציה, אתה יכול לגרום להם לעשות זאת דרך הנתב ברשת. הנתב יכול לווסת ולשלוט בתעבורה בין רשתות ה- VLAN ולאכוף כללי אבטחה חזקים יותר.

במקרים רבים המחלקות יצטרכו לעבוד יחד ולתקשר. באפשרותך ליישם תקשורת בין הרשתות הווירטואליות דרך הנתב, ולקבוע כללי אבטחה כדי להבטיח אבטחה ופרטיות מתאימות של הרשתות הווירטואליות הבודדות.

VLAN לעומת רשת משנה

רשתות VLAN ורשתות משנה די דומות ומשרתות פונקציות דומות. שתי רשתות המשנה ו- VLAN מחלקות רשתות ומשדרות תחומים. בשני המקרים, אינטראקציות בין חלוקות משנה יכולות להתרחש רק דרך נתב.

ההבדלים ביניהם הם בצורה של יישומם וכיצד הם משנים את מבנה הרשת.

רשת משנה של כתובת IP

רשתות משנה קיימות בשכבה 3 של מודל OSI, שכבת הרשת. רשתות משנה הן מערכת ברמת רשת ומטופלות באמצעות נתבים, המתארגנות סביב כתובות IP.

נתבים מגלגלים טווחי כתובות IP ומנהלים משא ומתן על הקשרים ביניהם. זה מציב את כל הלחץ של ניהול הרשת על הנתב. רשתות משנה יכולות גם להסתבך מכיוון שהרשת שלך מתרחבת בגודל ובמורכבות.

VLAN

רשתות VLAN מוצאות את ביתן בשכבה 2 של מודל OSI. רמת קישור הנתונים קרובה יותר לחומרה ופחות מופשטת. רשתות LAN וירטואליות מחקות חומרה הפועלת כמתגים פרטיים.

עם זאת, רשתות LAN וירטואליות מסוגלות לפרק תחומי שידור מבלי להזדקק לחיבור לנתב, מה שמוריד חלק מנטל הניהול מהנתב.

מכיוון שרשתות VLAN הן רשתות וירטואליות משלהן, הן צריכות להתנהג קצת כמו שיש להן נתב מובנה. כתוצאה מכך, רשתות VLAN מכילות לפחות רשת משנה אחת ויכולות לתמוך ברשתות משנה מרובות.

רשתות VLAN מפיצות עומס רשת, ו-. מתגים מרובים יכולים להתמודד עם תעבורה בתוך רשתות VLAN מבלי לערב את הנתב, מה שהופך מערכת יעילה יותר.

כיצד להפעיל את. על

יתרונות ה- VLAN

נכון לעכשיו, כבר ראיתם כמה מהיתרונות ש- VLAN מביאים לשולחן. רק בזכות מה שהם עושים, ל- VLAN יש מספר תכונות יקרות ערך.

רשתות VLAN עוזרות באבטחה. שילוב תעבורה מגביל כל הזדמנות לגישה לא מורשית לחלקי רשת. זה גם עוזר לעצור את התפשטות התוכנות הזדוניות, אם מישהו ימצא את דרכו לרשת. פולשים פוטנציאליים אינם יכולים להשתמש בכלים כמו Wireshark בכדי לרחרח מנות בכל מקום מעבר לרשת הווירטואלית בה הם נמצאים, וכך להגביל את האיום הזה.

יעילות הרשת היא עניין גדול. זה יכול לחסוך או לעלות לאלפי דולרים ליישום רשתות VLAN. פירוק תחומי השידור מגדיל מאוד את יעילות הרשת על ידי הגבלת מספר המכשירים המעורבים בתקשורת בו זמנית. VLAN מקטין את הצורך לפרוס נתבים לניהול רשתות.

לעתים קרובות, מהנדסי רשת בוחרים לבנות רשתות LAN וירטואליות על בסיס שירות, ומפרידים בין תעבורה חשובה או אינטנסיבית ברשת כמו רשת שטח אחסון (SAN) או Voice over IP (VOIP). מתגים מסוימים מאפשרים למנהל גם לתת עדיפות לרשתות VLAN, ולתת יותר משאבים לתעבורה יותר תובענית וחסרה.

זה יהיה נורא צורך לבנות רשת פיזית עצמאית כדי להפריד בין התנועה. תארו לעצמכם את סבך הכבלים המפותל שעליכם להילחם בכדי לבצע שינויים. זה לא אומר כלום עבור עלויות החומרה המוגברות והספק הכוח. זה יהיה גם לא גמיש. רשתות VLAN פותרות את כל הבעיות הללו על ידי וירטואליזציה של מתגים מרובים על פיסת חומרה אחת.

רשתות VLAN מספקות מידה גבוהה של גמישות למנהלי רשת באמצעות ממשק תוכנה נוח. נגיד ששתי מחלקות מחליפות משרדים. האם צוות ה- IT צריך להסתובב בחומרה כדי להתאים לשינוי? לא. הם יכולים להקצות מחדש יציאות במתגים לרשתות ה- VLAN הנכונות. תצורות VLAN מסוימות אפילו לא דורשות זאת. הם היו מסתגלים דינמית. רשתות VLAN אלה אינן דורשות יציאות שהוקצו. במקום זאת, הם מבוססים על כתובות MAC או IP. כך או כך, אין צורך בדשדוש מתגים או כבלים. זה הרבה יותר יעיל וחסכוני ליישם פתרון תוכנה כדי לשנות את מיקום הרשת מאשר להזיז את החומרה הפיזית.

VLAN סטטי לעומת דינמי

ישנם שני סוגים בסיסיים של רשתות VLAN, המסווגים לפי האופן שבו מכונות מחוברות אליהם. לכל סוג יש נקודות חוזק וחולשה שיש לקחת בחשבון בהתבסס על מצב הרשת המסוים.

VLAN סטטי

רשתות VLAN סטטיות מכונות לרוב רשתות VLAN מבוססות יציאה מכיוון שהתקנים מצטרפים באמצעות חיבור ליציאה שהוקצתה. מדריך זה השתמש רק ב VLAN סטטי כדוגמאות עד כה.

בהקמת רשת עם VLAN סטטי, מהנדס יחלק מתג לפי היציאות שלו ויקצה כל יציאה ל- VLAN. כל מכשיר שמתחבר ליציאה הפיזית ההיא יצטרף לרשת ה- VLAN הזו.

רשתות VLAN סטטיות מספקות תצורות רשתות פשוטות מאוד וקלות ללא הסתמכות רבה מדי על תוכנה. עם זאת, קשה להגביל את הגישה למיקום פיזי מכיוון שאדם יכול פשוט לחבר. רשתות VLAN סטטיות גם דורשות ממנהל רשת לשנות הקצאות יציאה במקרה שמישהו ברשת ישנה מיקום פיזי.

VLAN דינמי

רשתות VLAN דינמיות נשענות במידה רבה על תוכנה ומאפשרות מידה גבוהה של גמישות. מנהל מערכת יכול להקצות כתובות MAC ו- IP למספרי VLAN ספציפיים, מה שמאפשר תנועה לא מעוגנת במרחב הפיזי. מכונות ברשת וירטואלית דינמית יכולות לנוע בכל מקום ברשת ולהישאר באותו VLAN.

למרות ש- VLAN דינמי הוא ללא תחרות מבחינת יכולת ההסתגלות, יש להם כמה חסרונות רציניים. מתג יוקרתי צריך לקחת על עצמו את התפקיד של שרת המכונה שרת מדיניות ניהול VLAN (VMPS (לאחסון ומסירת פרטי כתובת למתגים האחרים ברשת. VMPS, כמו כל שרת, דורש ניהול ותחזוקה שוטפים. ונתון להשבתה אפשרית.

תוקפים יכולים לזייף כתובות MAC ולקבל גישה לרשתות VLAN דינמיות, ולהוסיף אתגר אבטחה אפשרי נוסף.

הגדרת VLAN

מה אתה צריך

יש כמה פריטים בסיסיים שאתה צריך כדי להגדיר VLAN או מספר VLAN. כאמור, ישנם מספר סטנדרטים שונים, אך האוניברסלי ביותר הוא IEEE 802.1Q. זוהי הדוגמא שתבוא בעקבותיה.

נתב

מבחינה טכנית, אינך זקוק לנתב כדי להגדיר VLAN, אך אם ברצונך ש- VLAN מרובים יתקשרו, תצטרך נתב.

נתבים מודרניים רבים תומכים בפונקציונליות VLAN בצורה כזו או אחרת. נתבים ביתיים עשויים שלא לתמוך ב- VLAN או לתמוך בו רק בקיבולת מוגבלת. קושחה מותאמת אישית כמו DD-WRT תומכת בזה בצורה יסודית יותר.

אם כבר מדברים על מותאם אישית, אתה לא צריך נתב מדף כדי לעבוד עם רשתות ה- LAN הווירטואליות שלך. קושחת נתב מותאמת אישית מבוססת בדרך כלל על מערכת הפעלה דמוית יוניקס כמו לינוקס או FreeBSD, כך שתוכל לבנות נתב משלך באמצעות אחת מאותן מערכות הפעלה בעלות קוד פתוח.

כל פונקציות הניתוב הדרושות לך זמינות עבור לינוקס, ותוכל להגדיר אישית התקנת לינוקס כך שתתאים את הנתב שלך לשרת את הצרכים הספציפיים שלך. לקבלת משהו שמושלם יותר בתכונות, עיין ב- pfSense. pfSense היא הפצה מצוינת של FreeBSD הבנויה להיות פיתרון ניתוב קוד פתוח. הוא תומך ב- VLAN וכולל חומת אש כדי לאבטח טוב יותר את התנועה בין הרשתות הווירטואליות שלך.

בכל מסלול שתבחר, ודא שהוא תומך בתכונות ה- VLAN שאתה זקוק לו.

מתג מנוהל

מתגים הם לב ליבה של רשת VLAN. שם קורה הקסם. עם זאת, אתה זקוק למתג מנוהל על מנת לנצל את פונקציונליות ה- VLAN.

כדי לקחת דברים ברמה גבוהה יותר, תרתי משמע, ישנם מתגים מנוהלים של שכבה 3. מתגים אלה מסוגלים להתמודד עם תעבורת רשת כלשהי של שכבה 3 ויכולים לתפוס את מקומו של נתב במצבים מסוימים.

איזו אפליקציה פשוט מחקתי

חשוב לזכור שהמתגים האלה אינם נתבים, והפונקציונליות שלהם מוגבלת. מתגי שכבה 3 אכן מקטינים את הסבירות לחביון רשת אשר יכול להיות קריטי בסביבות מסוימות בהן קריטי שיש רשת חביון נמוכה מאוד.

כרטיסי ממשק רשת לקוח (NIC)

רשתות ה- NIC שבהן אתה משתמש במכונות הלקוחות שלך צריכות לתמוך ב- 802.1Q. רוב הסיכויים שהם כן, אבל זה משהו לבחון לפני שמתקדמים.

תצורה בסיסית

הנה החלק הקשה. ישנן אלפי אפשרויות שונות כיצד ניתן להגדיר את הרשת שלך. אין מדריך אחד שיכול לכסות את כולם. בלב ליבם, הרעיונות מאחורי כמעט כל תצורה זהים, וכך גם התהליך הכללי.

הגדרת הנתב

אתה יכול להתחיל בכמה דרכים שונות. באפשרותך לחבר את הנתב לכל מתג או לכל VLAN. אם תבחר רק בכל מתג, יהיה עליך להגדיר את הנתב כך שיבדיל את התנועה.

לאחר מכן תוכל להגדיר את הנתב שלך כך שיתמודד עם תעבורה עוברת בין רשתות VLAN.

קביעת תצורה של המתגים

בהנחה שמדובר ב VLAN סטטי, אתה יכול להיכנס לתוכנת הניהול VLAN של המתג שלך דרך ממשק האינטרנט שלו ולהתחיל להקצות יציאות לרשתות VLAN שונות. מתגים רבים משתמשים בפריסת טבלה המאפשרת לבדוק אפשרויות עבור היציאות.

אם אתה משתמש במספר מתגים, הקצה אחת מהיציאות לכל רשתות ה- VLAN שלך והגדר אותה כיציאת תא מטען. עשו זאת בכל מתג. לאחר מכן, השתמש ביציאות אלה כדי להתחבר בין המתגים ולהפיץ את רשת ה- VLAN שלך על פני מספר מכשירים.

חיבור לקוחות

לבסוף, קבלת לקוחות ברשת זה די מובן מאליו. חבר את מכונות הלקוחות שלך ליציאות המתאימות לרשתות ה- VLAN שאתה מעוניין בהן.

VLAN בבית

למרות שזה אולי לא נראה כשילוב הגיוני, לרשת ה- VLAN יש ממש יישום נהדר בתחום הרשת הביתית, רשתות אורחים. אם לא בא לך הקמת רשת WPA2 Enterprise בביתך ויצירת אישורי כניסה באופן אינדיבידואלי עבור חבריך ומשפחתך, באפשרותך להשתמש ב- VLAN כדי להגביל את הגישה לאורחים שלך לקבצים ולשירותים ברשת הביתית שלך.

נתבים ביתיים מתקדמים רבים ותמיכת קושחת נתבים מותאמת אישית תומכים ביצירת VLAN בסיסי. אתה יכול להגדיר VLAN אורח עם פרטי כניסה משלו כדי לאפשר לחברים שלך לחבר את המכשירים הניידים שלהם. אם הנתב שלך תומך בזה, VLAN אורח הוא שכבת אבטחה נהדרת שנועדה למנוע מהמחשב הנייד שקשור לווירוס שלך מפשל את הרשת הנקייה שלך.