כיצד להגדיר לאן וירטואלי (vlan)

VLANs נמצאים בכל מקום. אתה יכול למצוא אותם ברוב הארגון עם רשת מוגדרת כראוי. למקרה שזה לא היה ברור, VLAN מייצג "רשת מקומית וירטואלית", והם נמצאים בכל מקום ברשת מודרנית מעבר לגודל של בית זעיר או רשת משרדית קטנה מאוד.

ישנם כמה פרוטוקולים שונים, שרבים מהם ספציפיים לספק, אך בבסיסה, כל VLAN עושה את אותו הדבר והיתרונות של סולם VLAN ככל שהרשת שלך גדלה בגודל ובמורכבות הארגונית.

היתרונות הללו הם חלק גדול מהסיבה של רשתות VLAN כל כך מסתמכות על ידי רשתות מקצועיות בכל הגדלים. למעשה, יהיה קשה לנהל או לשנות קנה מידה של רשתות בלעדיהן.

היתרונות והמדרגיות של VLANs מסבירים מדוע הם הפכו כל כך נפוצים בסביבות רשת מודרניות. יהיה קשה לנהל או לשנות את הגודל של רשתות מורכבות יחסית בינוני עם VLANs.

מה זה VLAN?

קישורים מהירים

• מה זה VLAN?
• איך זה עובד
  • VLAN לעומת רשת משנה
    • רשת משנה של כתובת IP
    • VLAN
• יתרונות VLAN
• VLANs סטטיים לעומת דינמיים
  • VLAN סטטי
  • VLAN דינמי
• הגדרת VLAN
  • מה אתה צריך
    • נתב
    • מתג מנוהל
    • כרטיסי ממשק לקוח ברשת (NIC)
  • תצורה בסיסית
    • הגדרת הנתב
    • קביעת תצורה של המתגים
    • חיבור לקוחות
• VLAN בבית

אוקיי, אז אתה יודע את ראשי התיבות, אבל מה בדיוק VLAN? הרעיון הבסיסי צריך להיות מוכר לכל מי שעבד עם שרתים וירטואליים או השתמש בהם.

חשבו לרגע איך מכונות וירטואליות עובדות. שרתים וירטואליים מרובים שוכנים בתוך פיסת חומרה פיזית אחת שמפעילה מערכת הפעלה ו- hypervisor כדי ליצור ולהפעיל את השרתים הווירטואליים בשרת הפיזי הבודד. באמצעות וירטואליזציה אתה מסוגל להפוך אפקטיבי מחשב פיזי אחד למספר מחשבים וירטואליים הזמינים עבור משימות ומשתמשים נפרדים.

רשתות LAN וירטואליות פועלות באופן זהה לשרתים וירטואליים. בוררים מנוהלים אחד או יותר מפעילים את התוכנה (בדומה לתוכנת hypervisor) המאפשרת למתגים ליצור מתגים וירטואליים מרובים ברשת פיזית אחת.

כל מתג וירטואלי הוא רשת עצמאית משלו. ההבדל העיקרי בין שרתים וירטואליים לרשתות LAN וירטואליות הוא שניתן להפיץ רשתות LAN וירטואליות על גבי חלקי חומרה פיזיים מרובים באמצעות כבל ייעודי הנקרא תא מטען.

איך זה עובד

דמיין שאתה מנהל רשת לעסק קטן וגדל, מוסיף עובדים, מחלק למחלקות נפרדות והופך מורכב ומסודר יותר.

כדי להגיב לשינויים אלה שדרגת למתג בן 24 פורטים בכדי להתאים מכשירים חדשים ברשת.

כדאי לשקול פשוט להפעיל כבל אתרנט לכל אחד מהמכשירים החדשים ולהתקשר למשימה שנעשתה, אך הבעיה היא שיש לשמור על נפרד אחסון הקבצים והשירותים המשמשים כל מחלקה. מכשירי VLAN הם הדרך הטובה ביותר לעשות זאת.

בממשק האינטרנט של המתג, באפשרותך להגדיר שלושה VLANs נפרדים, אחד לכל מחלקה. הדרך הפשוטה ביותר לחלק אותם היא על ידי מספרי נמל. אתה יכול להקצות יציאות 1-8 למחלקה הראשונה, להקצות יציאות 9-16 למחלקה השנייה ולבסוף להקצות יציאות 17-24 גרם למחלקה האחרונה. כעת ארגנת את הרשת הפיזית שלך לשלוש רשתות וירטואליות.

התוכנה במתג יכולה לנהל את התנועה בין הלקוחות בכל VLAN. כל VLAN פועל כרשת משלו ואינו יכול ליצור קשר ישיר עם VLANs האחרים. כעת, לכל מחלקה יש רשת קטנה יותר, עמוסה ויעילה יותר משלה, ותוכלו לנהל את כולם באמצעות אותה פיסת חומרה. זוהי דרך יעילה מאוד וחסכונית לניהול רשת.

כאשר אתה זקוק למחלקות בכדי להיות באינטראקציה, אתה יכול לגרום להם לעשות זאת דרך הנתב ברשת. הנתב יכול לווסת ולפקח על התנועה בין רשתות ה- VLAN ולאכוף כללי אבטחה חזקים יותר.

במקרים רבים המחלקות יצטרכו לעבוד יחד ולקיים אינטראקציה. אתה יכול ליישם תקשורת בין הרשתות הווירטואליות דרך הנתב, הגדרת כללי אבטחה כדי להבטיח אבטחה ופרטיות הולמות של הרשתות הווירטואליות הבודדות.

VLAN לעומת רשת משנה

VLAN ותתי רשת הם למעשה די דומים ומשמשים פונקציות דומות. שתי תת-רשתות ו- VLAN מחלקות רשתות ותחומי שידור. בשני המקרים, אינטראקציות בין חלוקות משנה יכולות להתרחש רק באמצעות נתב.

ההבדלים ביניהם מגיעים בצורה של יישוםם ואיך הם משנים את מבנה הרשת.

רשת משנה של כתובת IP

תת-רשתות קיימות בשכבה 3 של OSI Model, שכבת הרשת. רשתות משנה הן מבנה ברמת הרשת ומטופלות באמצעות נתבים, תוך התארגנות סביב כתובות IP.

הנתבים חותרים טווחי כתובות IP ומנהלים משא ומתן על הקשרים ביניהם. זה מציב את כל הלחץ של ניהול רשת על הנתב. תת-רשתות יכולות גם להיות מסובכות ככל שהרשת שלך מתארכת בגודל ובמורכבות.

VLAN

אנשי VLAN מוצאים את ביתם בשכבה 2 של דגם OSI. רמת קישור הנתונים קרובה יותר לחומרה ופחות מופשטת. רשתות LAN וירטואליות מחקות חומרה הפועלת כמתגים שונים.

עם זאת, רשתות LAN וירטואליות מסוגלות לפרק דומיינים משודרים מבלי להזדקק להתחבר לנתב, ומורידים חלק מהעומסים הניהוליים מהנתב.

מכיוון ש- VLAN הם רשתות וירטואליות משלהם, עליהם להתנהג במקצת כאילו יש להם נתב מובנה. כתוצאה מכך, רשתות VLAN מכילות לפחות רשת משנה אחת ויכולות לתמוך ברשתות משנה מרובות.

רשתות VLAN מפיצות עומס רשת, ו-. מתגים מרובים יכולים להתמודד עם תנועה בתוך VLAN מבלי לערב את הנתב, מה שמייצר מערכת יעילה יותר.

יתרונות VLAN

בשלב זה כבר ראית כמה יתרונות שה- VLAN מביא לשולחן. בדיוק מכוח מה שהם עושים, ל- VLAN יש מספר תכונות חשובות.

מכשירי VLAN מסייעים באבטחה. תנועת החלוקה מגבילה כל הזדמנות לגישה בלתי מורשית לחלקי רשת. זה גם עוזר להפסיק את התפשטות התוכנה הזדונית, אם מישהו ימצא את דרכה ברשת. פורצים פוטנציאליים לא יכולים להשתמש בכלים כמו Wireshark כדי לרחרח מנות בכל מקום מעבר לרשת ה- LAN הווירטואלית בה הם נמצאים, ומגביל גם את האיום הזה.

יעילות רשת היא עניין גדול. זה יכול לחסוך או לעלות עסק אלפי דולרים ליישום VLAN. פירוק דומיינים משודרים מגביר מאוד את יעילות הרשת על ידי הגבלת מספר המכשירים המעורבים בתקשורת בפעם אחת. VLAN מקטין את הצורך בפריסת נתבים לניהול רשתות.

לעתים קרובות, מהנדסי רשת בוחרים לבנות רשתות LAN וירטואליות על בסיס שירות, תוך הפרדה בין תנועה חשובה או אינטנסיבית לרשת כמו רשת שטח אחסון (SAN) או Voice over IP (VOIP). מתגים מסוימים מאפשרים למנהל גם לתעדף VLAN, תוך מתן משאבים רבים יותר לתעבורה תובענית יותר וחסרת ביקורת.

יהיה נורא צורך לבנות רשת פיזית עצמאית כדי להפריד בין התנועה. דמיין את סבך הכבלים המפותל שאתה צריך להילחם בו כדי לבצע שינויים. זה לא אומר דבר עבור עלות חומרה מוגברת ומשיכת כוח. זה גם יהיה בלתי גמיש בפראות. VLAN פותר את כל הבעיות הללו על ידי וירטואליזציה של מתגים מרובים על פיסת חומרה אחת.

VLANs מספקים מידה גבוהה של גמישות למנהלי רשת באמצעות ממשק תוכנה נוח. נניח ששתי מחלקות מחליפות משרדים. האם צוות ה- IT צריך להסתובב בחומרה כדי להתאים את השינוי? לא. הם יכולים פשוט להקצות מחדש יציאות במתגי ה- VLAN הנכונים. כמה תצורות VLAN אפילו לא ידרשו זאת. הם היו מסתגלים באופן דינמי. VLANs אלה אינם דורשים יציאות שהוקצו להם. במקום זאת, הם מבוססים על כתובות MAC או IP. כך או כך, אין צורך בטרוף של מתגים או כבלים. הרבה יותר יעיל וחסכוני ליישם פיתרון תוכנה כדי לשנות את מיקום הרשת מאשר להזיז את החומרה הפיזית.

VLANs סטטיים לעומת דינמיים

ישנם שני סוגים בסיסיים של VLAN, המסווגים לפי דרכם המחוברת של מכונות אליהם. לכל סוג יש נקודות חוזק וחולשה שיש לקחת בחשבון בהתבסס על מצב הרשת הספציפי.

VLAN סטטי

לרוב מכונים VLAN סטטי כ- VLAN מבוסס יציאה מכיוון שמכשירים מצטרפים על ידי חיבור ליציאה שהוקצתה. מדריך זה השתמש רק VLAN סטטי כדוגמאות עד כה.

בהקמת רשת עם VLAN סטטי, מהנדס היה מחלק מתג לפי יציאותיו ומקצה כל יציאה ל- VLAN. כל מכשיר שמתחבר לאותה יציאה פיזית יצטרף לאותו VLAN.

רשתות VLAN סטטיות מספקות תצורת רשתות פשוטות וקלות מאוד ללא הסתמכות רבה מדי על תוכנה. עם זאת, קשה להגביל את הגישה במיקום פיזי מכיוון שאדם יכול פשוט לחבר. VLAN סטטי מחייב גם מנהל רשת לשנות מטלות יציאה במקרה שמישהו ברשת ישנה מיקומים פיזיים.

VLAN דינמי

VLANs דינמיים מסתמכים במידה רבה על תוכנה ומאפשרים גמישות גבוהה. מנהל מערכת יכול להקצות כתובות MAC ו- IP ל- VLAN ספציפיים, מה שמאפשר תנועה ללא פגע במרחב הפיזי. מכונות ברשת LAN וירטואלית דינאמית יכולות לנוע בכל מקום ברשת ולהישאר על אותו VLAN.

אמנם מכשירי VLAN דינמיים הם בלתי מנוצחים מבחינת יכולת ההסתגלות, אך יש להם כמה חסרונות רציניים. מתג מתקדם צריך לקחת על עצמו את התפקיד של שרת המכונה שרת מדיניות ניהול VLAN (VMPS) (לאחסון ומסירת פרטי כתובת לשאר המתגים ברשת. VMPS, כמו כל שרת, דורש ניהול ותחזוקה שוטפים. וכפוף לשבתה אפשרית.

התוקפים יכולים לזייף כתובות MAC ולקבל גישה ל- VLAN דינמי, ולהוסיף אתגר אבטחה פוטנציאלי נוסף.

הגדרת VLAN

מה אתה צריך

ישנם כמה פריטים בסיסיים שאתה צריך כדי להגדיר VLAN או VLAN מרובים. כאמור, ישנם מספר תקנים שונים, אך האוניברסלי ביותר הוא IEEE 802.1Q. זה זה שדוגמא זו תגיע אחריו.

נתב

מבחינה טכנית, אינך זקוק לנתב כדי להגדיר VLAN, אך אם אתה רוצה שמספר VLAN יפעל ביניהם, אתה זקוק לנתב.

נתבים מודרניים רבים תומכים בפונקציונליות VLAN בצורה כזו או אחרת. נתבים ביתיים עשויים לא לתמוך ב- VLAN או רק לתמוך בו בקיבולת מוגבלת. קושחה מותאמת אישית כמו DD-WRT אכן תומכת בה באופן יסודי יותר.

אם כבר מדברים על התאמה אישית, אינך זקוק לנתב מחוץ למדף כדי לעבוד עם רשתות LAN וירטואליות. קושחת נתב מותאמת אישית מבוססת בדרך כלל על מערכת הפעלה דמוי Unix כמו לינוקס או FreeBSD, כך שתוכלו לבנות נתב משלכם באמצעות אחת מאותן מערכות הפעלה של קוד פתוח.

כל פונקציונליות הניתוב הדרושה לכם זמינה עבור לינוקס, ותוכלו להגדיר התאמה אישית של התקנת לינוקס כדי להתאים את הנתב שלכם לשרת את הצרכים הספציפיים שלכם. למידע שמושלם יותר עם התכונות, בדוק את pfSense. pfSense היא הפצה מצוינת של FreeBSD הבנויה כפתרון ניתוב קוד פתוח חזק. הוא תומך ב- VLAN וכולל חומת אש כדי לאבטח טוב יותר את התנועה בין הרשתות הווירטואליות שלך.

בכל מסלול שתבחרו, וודאו שהוא תומך בתכונות VLAN הנחוצות לכם.

מתג מנוהל

מתגים הם בליבת רשת VLAN. הם המקום בו הקסם קורה. עם זאת, אתה זקוק למתג מנוהל על מנת לנצל את הפונקציונליות של VLAN.

כדי לקחת דברים ברמה גבוהה יותר, תרתי משמע, ישנם מתגים מנוהלים של שכבה 3 זמינים. מתגים אלה מסוגלים לטפל בתעבורת רשת 3 שכבה ויכולים לתפוס את מקומו של נתב במצבים מסוימים.

חשוב לזכור שהמתגים הללו אינם נתבים, והפונקציונליות שלהם מוגבלת. בוררי שכבה 3 אכן מקטינים את הסבירות לחביון רשת שיכולים להיות קריטיים בסביבות מסוימות בהן יש חשיבות לקיומה של רשת חביון נמוכה מאוד.

כרטיסי ממשק לקוח ברשת (NIC)

על נתוני ה- NIC שבהם אתה משתמש במכונות הלקוח שלך לתמוך ב- 802.1Q. רוב הסיכויים שהם כן, אבל זה משהו שצריך לבדוק לפני שאתה קדימה.

תצורה בסיסית

הנה החלק הקשה. ישנן אלפי אפשרויות שונות כיצד ניתן להגדיר את תצורת הרשת שלך. אף מדריך לא יכול לכסות את כולם. בלבם, הרעיונות שמאחורי כמעט כל תצורה זהים, וכך גם התהליך הכללי.

הגדרת הנתב

אתה יכול להתחיל בעבודה בכמה דרכים שונות. אתה יכול לחבר את הנתב לכל מתג או לכל VLAN. אם תבחר רק כל מתג, תצטרך להגדיר את הנתב כדי לבדל את התנועה.

לאחר מכן באפשרותך להגדיר את הנתב לטיפול בתעבורת מעבר בין VLAN.

קביעת תצורה של המתגים

בהנחה שמדובר ב- VLAN סטטי, אתה יכול להיכנס לכלי הניהול של VLAN של המתג דרך ממשק האינטרנט שלו ולהתחיל להקצות יציאות ל- VLAN שונים. מתגים רבים משתמשים בפריסת טבלה המאפשרת לבדוק אפשרויות של היציאות.

אם אתה משתמש במתגים מרובים, הקצה אחת מהיציאות לכל VLAN שלך והגדר אותה כיציאת תא מטען. עשה זאת בכל מתג. לאחר מכן, השתמש ביציאות אלה כדי להתחבר בין המתגים ולהפיץ את ה- VLAN שלך על גבי התקנים מרובים.

חיבור לקוחות

לבסוף, קבלת לקוחות ברשת זה די מובן מאליו. חבר את מכונות הלקוח שלך ליציאות התואמות את ה- VLAN שברצונך שיהיו עליהם.

VLAN בבית

למרות שזה אולי לא נראה כשילוב הגיוני, ל- VLAN יש אפליקציה נהדרת במרחב הרשתות הביתיות, ברשתות אורחים. אם לא מתחשק לך להקים רשת WPA2 Enterprise בבית שלך וליצור בנפרד אישורי כניסה לחברים ובני משפחתך, אתה יכול להשתמש ב- VLAN כדי להגביל את הגישה שיש לאורחים שלך לקבצים והשירותים ברשת הביתית שלך.

נתבים ביתיים מתקדמים רבים ותוכנת קושחת נתבים בהתאמה אישית תומכים ביצירת VLAN בסיסי. אתה יכול להגדיר VLAN אורח עם פרטי כניסה משלו כדי לאפשר לחברים שלך לחבר את המכשירים הניידים שלהם. אם הנתב שלך תומך בו, VLAN אורח הוא שכבת אבטחה נוספת שנועדה למנוע מהמחשב הנייד המכונן הנגיף של חברך להבריג את הרשת הנקיה שלך.