VLAN's zijn overal. Je kunt ze vinden in de meeste organisaties met een goed geconfigureerd netwerk. Voor het geval dat niet duidelijk was, staat VLAN voor 'Virtual Local Area Network' en ze zijn overal aanwezig in elk modern netwerk dat groter is dan een klein thuisnetwerk of een zeer klein kantoornetwerk.
Er zijn een paar verschillende protocollen, waarvan er vele leverancierspecifiek zijn, maar in de kern doet elk VLAN vrijwel hetzelfde en de voordelen van VLAN-schaal naarmate uw netwerk groeit in omvang en organisatorische complexiteit.
Die voordelen zijn een groot deel van de reden waarom VLAN's zo afhankelijk zijn van professionele netwerken van alle groottes. Het zou zelfs moeilijk zijn om netwerken te beheren of te schalen zonder deze.
De voordelen en schaalbaarheid van VLAN's verklaren waarom ze zo alomtegenwoordig zijn geworden in moderne netwerkomgevingen. Het zou moeilijk zijn om zelfs matig complexe netwerken te beheren of te schalen met de gebruiker van VLAN's.
Wat is een VLAN?
Snelle links
- Wat is een VLAN?
- Hoe het werkt
- VLAN versus Subnet
- IP-adres subnet
- VLAN
- VLAN versus Subnet
- Voordelen van VLAN's
- Statische versus dynamische VLAN's
- Statische VLAN
- Dynamisch VLAN
- Een VLAN instellen
- Wat je nodig hebt
- router
- Beheerde schakelaar
- Client Network Interface Cards (NIC's)
- Basis configuratie
- De router instellen
- De schakelaars configureren
- Clients verbinden
- Wat je nodig hebt
- VLAN thuis
Oké, dus je kent het acroniem, maar wat is precies een VLAN? Het basisconcept moet bekend zijn bij iedereen die met virtuele servers heeft gewerkt of deze heeft gebruikt.
Denk even na hoe virtuele machines werken. Meerdere virtuele servers bevinden zich in één fysiek stuk hardware waarop een besturingssysteem en hypervisor draaien om de virtuele servers op de enkele fysieke server te maken en uit te voeren. Via virtualisatie kunt u een enkele fysieke computer effectief veranderen in meerdere virtuele computers die elk beschikbaar zijn voor afzonderlijke taken en gebruikers.
Virtuele LAN's werken op vrijwel dezelfde manier als virtuele servers. Een of meer beheerde switches voeren de software uit (vergelijkbaar met hypervisor-software) waarmee de switches meerdere virtuele switches binnen één fysiek netwerk kunnen maken.
Elke virtuele switch is zijn eigen autonome netwerk. Het belangrijkste verschil tussen virtuele servers en virtuele LAN's is dat virtuele LAN's over meerdere fysieke hardwareonderdelen kunnen worden gedistribueerd met een speciale kabel die een trunk wordt genoemd.
Hoe het werkt
Stel je voor dat je een netwerk voor een groeiend klein bedrijf runt, werknemers toevoegt, opsplitst in afzonderlijke afdelingen en complexer en georganiseerd wordt.
Om op deze wijzigingen te reageren, hebt u een upgrade uitgevoerd naar een 24-poorts switch voor nieuwe apparaten in het netwerk.
U kunt overwegen om gewoon een ethernetkabel naar elk van de nieuwe apparaten te laten lopen en de taak te voltooien, maar het probleem is dat de bestandsopslag en services die door elke afdeling worden gebruikt, gescheiden moeten worden gehouden. VLAN's zijn de beste manier om dat te doen.
Binnen de webinterface van de switch kunt u drie afzonderlijke VLAN's configureren, één voor elke afdeling. De eenvoudigste manier om ze te delen is door poortnummers. U kunt poorten 1-8 toewijzen aan de eerste afdeling, poorten 9-16 toewijzen aan de tweede afdeling en ten slotte poorten 17-24 g toewijzen aan de laatste afdeling. Nu hebt u uw fysieke netwerk in drie virtuele netwerken georganiseerd.
De software op de switch kan het verkeer tussen de clients in elk VLAN beheren. Elke VLAN fungeert als zijn eigen netwerk en kan niet rechtstreeks interageren met de andere VLAN's. Nu heeft elke afdeling zijn eigen kleinere, minder rommelige en efficiëntere netwerk, en u kunt ze allemaal beheren via hetzelfde stuk hardware. Dit is een zeer efficiënte en kosteneffectieve manier om een netwerk te beheren.
Wanneer u de afdelingen nodig hebt om te kunnen communiceren, kunt u ze dit laten doen via de router op het netwerk. De router kan verkeer tussen de VLAN's reguleren en regelen en strengere beveiligingsregels afdwingen.
In veel gevallen zullen de afdelingen moeten samenwerken en samenwerken. U kunt communicatie tussen de virtuele netwerken via de router implementeren en beveiligingsregels instellen om de juiste beveiliging en privacy van de afzonderlijke virtuele netwerken te waarborgen.
VLAN versus Subnet
VLAN's en subnetten zijn eigenlijk vrij gelijkaardig en hebben vergelijkbare functies. Zowel subnetten als VLAN's verdelen netwerken en zenden domeinen uit. In beide gevallen kunnen interacties tussen onderverdelingen alleen plaatsvinden via een router.
De verschillen tussen hen komen in de vorm van hun implementatie en hoe ze de netwerkstructuur veranderen.
IP-adres subnet
Subnetten bestaan op laag 3 van het OSI-model, de netwerklaag. Subnetten zijn een netwerkniveau-constructie en worden afgehandeld met routers, georganiseerd rond IP-adressen.
Routers zoeken IP-adressen uit en onderhandelen over de onderlinge verbindingen. Dit legt alle stress van netwerkbeheer op de router. Subnetten kunnen ook ingewikkeld worden naarmate uw netwerk groter en complexer wordt.
VLAN
VLAN's vinden hun thuis op laag 2 van het OSI-model. Het datalinkniveau ligt dichter bij de hardware en is minder abstract. Virtuele LAN's emuleren hardware die fungeert als individuele schakelaars.
Virtuele LAN's zijn echter in staat om uitzenddomeinen op te splitsen zonder opnieuw verbinding te hoeven maken met een router, waardoor een deel van de beheerlast van de router wordt weggenomen.
Omdat VLAN's hun eigen virtuele netwerken zijn, moeten ze zich enigszins gedragen alsof ze een ingebouwde router hebben. Als gevolg hiervan bevatten VLAN's ten minste één subnet en kunnen ze meerdere subnetten ondersteunen.
VLAN's distribueren netwerkbelasting, en. meerdere switches kunnen verkeer binnen VLAN's verwerken zonder de router te betrekken, wat zorgt voor een efficiënter systeem.
Voordelen van VLAN's
Inmiddels heb je al een aantal voordelen gezien die VLAN's met zich meebrengen. Gewoon op grond van wat ze doen, hebben VLAN's een aantal waardevolle attributen.
VLAN's helpen met beveiliging. Compartimentaliserend verkeer beperkt elke mogelijkheid voor ongeautoriseerde toegang tot delen van een netwerk. Het helpt ook om de verspreiding van schadelijke software te stoppen, mocht het zijn weg vinden naar het netwerk. Potentiële indringers kunnen geen tools zoals Wireshark gebruiken om pakketten op te zoeken op een locatie buiten het virtuele LAN waarop ze zich bevinden, waardoor die dreiging ook wordt beperkt.
Netwerkefficiëntie is een groot probleem. Het kan een bedrijf duizenden dollars besparen of kosten om VLAN's te implementeren. Het uit elkaar halen van uitzenddomeinen verhoogt de netwerkefficiëntie aanzienlijk door het aantal apparaten dat bij communicatie betrokken is in één keer te beperken. VLAN vermindert de noodzaak om routers in te zetten om netwerken te beheren.
Vaak kiezen netwerkingenieurs ervoor om virtuele LAN's per service te bouwen, waarbij belangrijk of netwerkintensief verkeer wordt gescheiden, zoals een Storage Area Network (SAN) of Voice over IP (VOIP). Sommige switches stellen een beheerder ook in staat om prioriteit te geven aan VLAN's, waardoor meer middelen worden vrijgemaakt voor meer veeleisend en ontbrekend kritiek verkeer.
Het zou verschrikkelijk zijn om een onafhankelijk fysiek netwerk te moeten bouwen om verkeer te scheiden. Stel je de ingewikkelde wirwar van kabels voor die je moet bestrijden om wijzigingen aan te brengen. Dat wil zeggen niets voor de hogere hardwarekosten en stroomverbruik. Het zou ook enorm inflexibel zijn. VLAN's lossen al deze problemen op door meerdere schakelaars op een enkel stuk hardware te virtualiseren.
VLAN's bieden een hoge mate van flexibiliteit voor netwerkbeheerders via een handige software-interface. Stel dat twee afdelingen van kantoor wisselen. Moeten de IT-medewerkers hardware verplaatsen om de verandering op te vangen? Nee. Ze kunnen poorten op de schakelaars gewoon opnieuw toewijzen aan de juiste VLAN's. Sommige VLAN-configuraties zouden dat niet eens nodig hebben. Ze zouden zich dynamisch aanpassen. Voor deze VLAN's zijn geen toegewezen poorten vereist. In plaats daarvan zijn ze gebaseerd op MAC- of IP-adressen. Hoe dan ook, er hoeft niet geschakeld te worden tussen schakelaars of kabels. Het is veel efficiënter en kosteneffectiever om een softwareoplossing te implementeren om de locatie van een netwerk te wijzigen dan om de fysieke hardware te verplaatsen.
Statische versus dynamische VLAN's
Er zijn twee basistypen van VLAN's, gecategoriseerd door de manier waarop machines erop zijn aangesloten. Elk type heeft sterke en zwakke punten waarmee rekening moet worden gehouden op basis van de specifieke netwerksituatie.
Statische VLAN
Statische VLAN's worden vaak poortgebaseerde VLAN's genoemd omdat apparaten verbinding maken door verbinding te maken met een toegewezen poort. Deze handleiding heeft tot nu toe alleen statische VLAN's gebruikt.
Bij het opzetten van een netwerk met statische VLAN's zou een ingenieur een switch door zijn poorten verdelen en elke poort aan een VLAN toewijzen. Elk apparaat dat verbinding maakt met die fysieke poort zal lid worden van dat VLAN.
Statische VLAN's bieden zeer eenvoudige en gemakkelijk te configureren netwerken zonder al te veel afhankelijk te zijn van software. Het is echter moeilijk om de toegang binnen een fysieke locatie te beperken, omdat een persoon eenvoudig kan aansluiten. Statische VLAN's vereisen ook een netwerkbeheerder om poorttoewijzingen te wijzigen in het geval dat iemand op het netwerk fysieke locaties wijzigt.
Dynamisch VLAN
Dynamische VLAN's zijn sterk afhankelijk van software en bieden een hoge mate van flexibiliteit. Een beheerder kan MAC- en IP-adressen toewijzen aan specifieke VLAN's, waardoor onbelemmerde bewegingen in de fysieke ruimte mogelijk zijn. Machines in een dynamisch virtueel LAN kunnen zich overal binnen het netwerk verplaatsen en op hetzelfde VLAN blijven.
Hoewel dynamische VLAN's onverslaanbaar zijn wat betreft aanpassingsvermogen, hebben ze enkele ernstige nadelen. Een high-end switch moet de rol van een server op zich nemen die bekend staat als een VLAN Management Policy Server (VMPS (om adresinformatie op te slaan en af te leveren aan de andere switches op het netwerk. Een VMPS, zoals elke server, vereist regelmatig beheer en onderhoud) en is onderhevig aan mogelijke downtime.
Aanvallers kunnen MAC-adressen vervalsen en toegang krijgen tot dynamische VLAN's, waardoor een nieuwe potentiële beveiligingsuitdaging wordt toegevoegd.
Een VLAN instellen
Wat je nodig hebt
Er zijn een aantal basisitems die u nodig hebt om een VLAN of meerdere VLAN's in te stellen. Zoals eerder vermeld, zijn er een aantal verschillende normen, maar de meest universele is de IEEE 802.1Q. Dat is degene die dit voorbeeld zal volgen.
router
Technisch gezien heb je geen router nodig om een VLAN in te stellen, maar als je wilt dat meerdere VLAN's met elkaar communiceren, heb je een router nodig.
Veel moderne routers ondersteunen VLAN-functionaliteit in een of andere vorm. Thuisrouters ondersteunen mogelijk geen VLAN of ondersteunen het alleen met een beperkte capaciteit. Aangepaste firmware zoals DD-WRT ondersteunt het grondiger.
Over aangepast gesproken, u hebt geen standaardrouter nodig om met uw virtuele LAN's te werken. Aangepaste routerfirmware is meestal gebaseerd op een Unix-achtig besturingssysteem zoals Linux of FreeBSD, dus u kunt uw eigen router bouwen met een van die open source besturingssystemen.
Alle routeringsfunctionaliteit die u nodig hebt, is beschikbaar voor Linux, en u kunt een Linux-installatie op maat configureren om uw router aan te passen aan uw specifieke behoeften. Kijk voor iets dat completer is met functies in pfSense. pfSense is een uitstekende distributie van FreeBSD gebouwd om een robuuste open source routing-oplossing te zijn. Het ondersteunt VLAN's en bevat een firewall om het verkeer tussen uw virtuele netwerken beter te beveiligen.
Welke route u ook kiest, zorg ervoor dat deze de VLAN-functies ondersteunt die u nodig hebt.
Beheerde schakelaar
Schakelaars vormen de kern van VLAN-netwerken. Daar gebeurt de magie. U hebt echter een beheerde switch nodig om te kunnen profiteren van de VLAN-functionaliteit.
Om dingen een niveau hoger te brengen, letterlijk, zijn er Layer 3 managed switches beschikbaar. Deze switches kunnen wat Layer 3-netwerkverkeer verwerken en kunnen in sommige situaties de plaats van een router innemen.
Het is belangrijk om te onthouden dat deze switches geen routers zijn en dat hun functionaliteit beperkt is. Laag 3-switches verminderen de kans op netwerklatentie, wat van cruciaal belang kan zijn in sommige omgevingen waar het van cruciaal belang is om een netwerk met een zeer lage latentie te hebben.
Client Network Interface Cards (NIC's)
De NIC's die u op uw clientmachines gebruikt, moeten 802.1Q ondersteunen. De kans is groot dat ze dat doen, maar het is iets om naar te kijken voordat je verder gaat.
Basis configuratie
Hier is het moeilijke gedeelte. Er zijn duizenden verschillende mogelijkheden om uw netwerk te configureren. Geen enkele gids kan ze allemaal dekken. In wezen zijn de ideeën achter vrijwel elke configuratie hetzelfde, evenals het algemene proces.
De router instellen
U kunt op verschillende manieren aan de slag. U kunt de router op elke switch of op elke VLAN aansluiten. Als u voor elke schakelaar kiest, moet u de router configureren om het verkeer te differentiëren.
Vervolgens kunt u uw router configureren om passerend verkeer tussen VLAN's af te handelen.
De schakelaars configureren
Ervan uitgaande dat dit statische VLAN's zijn, kunt u het VLAN-beheerhulpprogramma van uw switch openen via de webinterface en beginnen met het toewijzen van poorten aan verschillende VLAN's. Veel schakelaars gebruiken een tabelindeling waarmee u opties voor de poorten kunt afvinken.
Als u meerdere switches gebruikt, wijst u een van de poorten toe aan al uw VLAN's en stelt u deze in als een trunkpoort. Doe dit op elke schakelaar. Gebruik vervolgens die poorten om verbinding te maken tussen de switches en verspreid uw VLAN's over meerdere apparaten.
Clients verbinden
Ten slotte is het vrij vanzelfsprekend om klanten op het netwerk te krijgen. Sluit uw clientmachines aan op de poorten die overeenkomen met de VLAN's waarop u ze wilt hebben.
VLAN thuis
Hoewel het misschien niet als een logische combinatie wordt gezien, hebben VLAN's eigenlijk een geweldige toepassing in de thuisnetwerkruimte, gastnetwerken. Als u geen zin hebt om thuis een WPA2 Enterprise-netwerk op te zetten en individuele inloggegevens voor uw vrienden en familie te creëren, kunt u VLAN's gebruiken om de toegang van uw gasten tot de bestanden en services op uw thuisnetwerk te beperken.
Veel geavanceerde thuisrouters en aangepaste routerfirmware ondersteunen het maken van basis-VLAN's. U kunt een VLAN voor gasten instellen met eigen aanmeldingsgegevens zodat uw vrienden hun mobiele apparaten kunnen verbinden. Als uw router dit ondersteunt, is een gast-VLAN een uitstekende toegevoegde beveiligingslaag om te voorkomen dat de virusrijke laptop van uw vriend uw schone netwerk verpest.
