MODUŁ 07

Przełącznik, VLAN-y i zapora

PPrezentacja dla nauczyciela

W arkuszu, w którym w ogóle pojawia się przełącznik, dostajesz zawsze te same sześć czynności: adres IP zarządzania, brama domyślna, utworzenie VLAN-ów, przypisanie portów dostępowych, port trunk do routera i zapis konfiguracji. Ten moduł uczy właśnie tej kolejności, pokazuje jak wygląda tag 802.1Q w ramce i wyjaśnia, dlaczego w arkuszach praktycznych nie ma zadań z zaporą jako urządzeniem.

Przełącznik: co robi z ramką

Przełącznik pracuje w warstwie drugiej i jego zadaniem jest przesyłanie ramek do właściwego portu, a nie do wszystkich. W tym celu trzyma tablicę, w której zapamiętuje, pod jakim adresem MAC i na którym porcie widział każde urządzenie.

Ramka o znanym adresie docelowym trafia wprost na jeden port; ramka o nieznanym adresie, taka jak rozgłoszeniowa, leci na wszystkie porty swojego VLAN-u oprócz tego, z którego przyszła.

Domyślnie przełącznik nie dzieli domeny rozgłoszeniowej — wszystkie jego porty w domyślnym VLAN 1 należą do jednej wspólnej domeny. Dopiero wydzielenie sieci wirtualnych (VLAN) dzieli przełącznik na osobne domeny rozgłoszeniowe (każdy VLAN to osobna domena).

To, co przełącznik robi, to dzielenie domeny kolizyjnej: każdy port jest osobnym, dzięki czemu pełne dupleks działa na każdym z osobna. Budowa i zastosowania przełącznika są w module 4, tutaj liczy się konfiguracja.

Adres IP przełącznika i podsieć zarządzania

Przełącznik z warstwy drugiej ramki przełącza bez znajomości adresów IP. Adres IP jest mu potrzebny do jednego celu: żeby dało się nim zarządzać — zalogować, podejrzeć tablicę MAC, sprawdzić, który port w której VLAN leży.

Przełącznik warstwy drugiej przełącza ramki bez adresu IP — adres IP interfejsu zarządzania jest potrzebny tylko wtedy, gdy chcesz zarządzać urządzeniem przez sieć (panel WWW, SSH, SNMP). Przełącznik warstwy trzeciej może dodatkowo mieć interfejsy logiczne VLAN (SVI) z adresami IP, używane m.in. do routingu między VLAN-ami.

Do zarządzania z innej sieci potrzebna jest jeszcze brama domyślna. Działa dokładnie tak jak przy komputerze: przełącznik musi wiedzieć, komu oddać pakiet, którego nie da się dostarczyć w obrębie sieci zarządzania.

To są trzy pozycje, które przełącznik dostaje w każdym arkuszu, w którym w ogóle się pojawia. Nie pomijaj bramy domyślnej tylko dlatego, że zadanie zawiera słowo „jeśli jest wymagana” — jeśli jest tam zapisana, znaczy że punktowy.

VLAN: co to jest i po co się dzieli

VLAN (wirtualna sieć lokalna) to podział jednego przełącznika na kilka niezależnych sieci, z których każda ma własną domenę rozgłoszeniową. Komputery w VLAN 10 nie odbierają rozgłoszeń z VLAN 20, mimo że fizycznie wychodzą z jednego urządzenia i jednego kabla.

Dzięki temu administracyjny podział sieci na działy działa bez fizycznego rozdzielania kabli.

Numer VLAN-u, czyli identyfikator, mieści się w zakresie 1–4094. VLAN 1 istnieje w każdym przełączniku od razu po wyjęciu z fabryki — to jednak konfiguracja domyślna, a nie zalecenie projektowe.

W dobrze zaprojektowanej sieci VLAN 1 zostawia się nieużywany, a zarządzanie wydziela na osobny VLAN zarządzający. W szkołach przyjmuje się konwencję dziesiątek: administracja 10, księgowość 20, uczniowie 30 — ale na egzaminie liczy się wyłącznie to, co zadanie każe wpisać, więc ID może być dowolne, w tym 200 czy 3000.

Port dostępowy i port trunk

Port dostępowy nie dodaje tagu — komputer z 2004 roku nie ma pojęcia, co to VLAN, i nic mu nie przeszkadza. Port trunk musi przenieść ramkę „do routera”, „do drugiego przełącznika”, a czasem „do AP”, więc musi oznaczyć, z którego VLAN-u ramka pochodzi.

Właśnie to robi tag.

Tagowanie 802.1Q

Tag nie jest osobną ramką — to cztery bajty wstawione w istniejącą ramkę ethernetową, zaraz po dwóch adresach MAC. Ramka z kablem dostępowego portu wygląda normalnie; dopiero na porcie trunkowym przełącznik wstawia oznaczenie i zdejmuje je przy wyjściu na port dostępowy.

Pułapka praktyczna: na porcie trunkowym ramka bez tagu też może się pojawić i wtedy zostaje zaliczana do VLAN-u natywnego, czyli tego, który na danym trunku nie jest tagowany. Dlatego zadania egzaminacyjne podają porty „z tagowaniem” i „bez tagowania” świadomie — nie są synonimami trybu portu, tylko informacją o tym, który VLAN ma być bez oznaczenia.

Tagged, Untagged i PVID w panelu WWW

W konsoli Cisco wpisujesz po prostu access albo trunk. Jednak na egzaminie praktycznym INF.02 przełącznik konfigurujesz niemal zawsze przez przeglądarkę (GUI w sprzęcie TP-Link, D-Link czy MikroTik).

Tam w zakładce 802.1Q VLAN zamiast słów access i trunk zobaczysz trzy pojęcia: Untagged (U), Tagged (T) oraz PVID.

Zasada działania dzieli się na dwa kierunki ruchu na porcie:

• Untagged / Tagged decyduje o tym, co przełącznik robi z ramką, gdy wysyła ją z portu na zewnątrz (zdejmuje znacznik VLAN-u albo go zostawia).
• PVID (Port VLAN ID) decyduje o tym, jaką metkę VLAN-u przełącznik przykleja ramce, która wchodzi do portu z zewnątrz bez żadnego tagu (np. prosto z karty sieciowej komputera).

Zadanie egzaminacyjne: przełącznik krok po kroku

W arkuszach przełącznik konfiguruje się zawsze tymi samymi sześcioma ruchami.

Poniżej układ zadania, które rzeczywiście się zdarza: przełącznik o adresie 192.168.1.144/24 z bramą domyślną 192.168.1.1, VLAN 2 i VLAN 3, przy czym port 1 jest trunkiem, a porty 2, 3 i 4 są dostępowe.

Kolejność ma znaczenie w dwóch miejscach. Adres IP ustawia się przed utworzeniem VLAN-ów, bo bez działającego zarządzania nie sprawdzisz, czy reszta konfiguracji działa — i nie zapiszesz jej pod właściwym adresem.

Port trunk ustawia się po utworzeniu VLAN-ów, bo przypisanie portu do nieistniejącego VLAN-u kończy się błędem albo ciszą, w zależności od producenta.

Routing między VLAN-ami

Sama VLAN to podział, a nie połączenie — ruch między VLAN-ami musi przejść przez router, bo tylko on zna adresy z warstwy trzeciej. Router dostaje po jednym interfejsie (albo podinterfejsie) na każdą VLAN i tłumaczy adresy między nimi.

Konfiguracja polega na utworzeniu interfejsu VLAN, nadaniu mu adresu IP i wskazaniu, do której VLAN należy.

W arkuszach zadanie brzmi wprost: „utwórz interfejs VLAN o ID = 2 i przypisz port LAN do portu 2 z tagowaniem”, „ustaw adres IP dla interfejsu VLAN o ID = 2”, „włącz routing między sieciami VLAN”. Ten sam układ, który w module 9 opisany jest jako router-on-a-stick.

Różnica w zadaniu jest taka, że adres IP dostaje router, a nie przełącznik — i to jest najczęstsze miejsce pomyłki, bo oba urządzenia konfiguruje się po sobie i myli się ich role.

VTP, STP i tematy, których praktyka nie sprawdza

Dwa protokoły, o których trzeba wiedzieć, choć w arkuszach praktycznych nie występują:

• VTP — pozwala jednemu przełącznikowi rozgłosić całą bazę VLAN-ów do pozostałych, więc konfigurujesz VLAN-y tylko na jednym. Ryzyko: zły numer wersji kasuje bazę VLAN-ów na wszystkich przełącznikach naraz, stąd na szkoleniach VTP wyłącza się.
• STP, a potem RSTP — zapobiega pętli w sieci, w której są połączenia nadmiarowe. Pętla powoduje rozsyłanie kopii tej samej ramki w nieskończoność i zablokowanie sieci. RSTP działa szybciej przy przechodzeniu z trybu awarii na normalny.

Oba pojawiają się w teorii. Jeśli zostało Ci mało czasu, ucz się z tego modułu VLAN-y, porty i tagowanie, a te dwa tematy zostaw na później.

Zapora sieciowa: reguły czytane od góry

Zapora filtruje ruch między strefami: LAN, WAN i — jeśli jest — strefa DMZ dla serwera wystawionego na zewnątrz. Reguły czytasz od góry i pierwsza pasująca wygrywa, a reszty nie sprawdza się wcale.

Kolejność jest więc nie kwestią estetyki, tylko działania: reguła „zezwól na HTTP” ustawiona po regule „zablokuj wszystko” nigdy nie zadziała, a ustawiona przed — zadziała.

Zapory dzielą się na bezstanowe, które patrzą tylko na każdą pojedynczą ramkę, i stanowe, które pamiętają, co wcześniej wyszło i przepuszczają tylko odpowiedzi na to, co wcześniej było wpuszczone. Na egzaminie wystarczy zasada z praktyki: ruch zainicjowany wewnątrz wychodzi, a ruch z zewnątrz przechodzi tylko wtedy, gdy wyraźnie na niego zezwolisz — inaczej nikt nie zdołałby pobrać strony, którą właśnie sam otworzył.

NAT, czyli tłumaczenie adresów prywatnych na publiczne, jest osobnym tematem modułu 9, ale w praktyce zaimplementowanym w tym samym urządzeniu co zapora, więc na arkuszu bywają w jednym zadaniu.

Co jeszcze warto wiedzieć o przełączniku

Te cechy nie pojawiają się w zadaniach praktycznych, ale mieszczą się w wymaganiach egzaminacyjnych dotyczących przełączników i są częste w teorii.