Przełącznik, VLAN-y i zapora — kurs INF.02: Sieci lokalne

Co dziś robimy

1. 4 minPrzełącznik: co robi z ramką Ramka o znanym adresie docelowym trafia wprost na jeden port; ramka o nieznanym adresie…
2. 5 minAdres IP przełącznika i podsieć zarządzania Do zarządzania z innej sieci potrzebna jest jeszcze brama domyślna .
3. 4 minVLAN: co to jest i po co się dzieli Numer VLAN-u, czyli identyfikator, mieści się w zakresie 1–4094 .
4. 3 minPort dostępowy i port trunk teza, kod i pytanie kontrolne
5. 4 minTagowanie 802.1Q Pułapka praktyczna: na porcie trunkowym ramka bez tagu też może się pojawić i wtedy…
6. 5 minTagged, Untagged i PVID w panelu WWW Untagged / Tagged decyduje o tym, co przełącznik robi z ramką, gdy wysyła ją z portu na…
7. 5 minZadanie egzaminacyjne: przełącznik krok po kroku Kolejność ma znaczenie w dwóch miejscach.
8. 3 minRouting między VLAN-ami Różnica w zadaniu jest taka, że adres IP dostaje router , a nie przełącznik — i to jest…
9. 3 minVTP, STP i tematy, których praktyka nie sprawdza VTP — pozwala jednemu przełącznikowi rozgłosić całą bazę VLAN-ów do pozostałych, więc…
10. 3 minZapora sieciowa: reguły czytane od góry Zapory dzielą się na bezstanowe , które patrzą tylko na każdą pojedynczą ramkę, i stanowe…
11. 3 minCo jeszcze warto wiedzieć o przełączniku teza, kod i pytanie kontrolne
12. 5 minPodsumowanie bilet wyjściowy i zadanie domowe

Przełącznik: co robi z ramką

Przełącznik pracuje w warstwie drugiej i jego zadaniem jest przesyłanie ramek do właściwego portu , a nie do wszystkich. W tym celu trzyma tablicę, w której zapamiętuje, pod jakim adresem MAC i na którym porcie widział każde urządzenie.

• Ramka o znanym adresie docelowym trafia wprost na jeden port; ramka o nieznanym adresie, taka jak rozgłoszeniowa, leci na wszystkie porty swojego VLAN-u oprócz tego, z…
• Domyślnie przełącznik nie dzieli domeny rozgłoszeniowej — wszystkie jego porty w domyślnym VLAN 1 należą do jednej wspólnej domeny.
• Dopiero wydzielenie sieci wirtualnych (VLAN) dzieli przełącznik na osobne domeny rozgłoszeniowe (każdy VLAN to osobna domena).
• To, co przełącznik robi, to dzielenie domeny kolizyjnej: każdy port jest osobnym, dzięki czemu pełne dupleks działa na każdym z osobna.

Adres IP przełącznika i podsieć zarządzania

Przełącznik z warstwy drugiej ramki przełącza bez znajomości adresów IP. Adres IP jest mu potrzebny do jednego celu: żeby dało się nim zarządzać — zalogować, podejrzeć tablicę MAC, sprawdzić, który port w której VLAN leży.

• Do zarządzania z innej sieci potrzebna jest jeszcze brama domyślna .
• Działa dokładnie tak jak przy komputerze: przełącznik musi wiedzieć, komu oddać pakiet, którego nie da się dostarczyć w obrębie sieci zarządzania.
• To są trzy pozycje, które przełącznik dostaje w każdym arkuszu, w którym w ogóle się pojawia.
• Nie pomijaj bramy domyślnej tylko dlatego, że zadanie zawiera słowo „jeśli jest wymagana” — jeśli jest tam zapisana, znaczy że punktowy.

VLAN: co to jest i po co się dzieli

VLAN (wirtualna sieć lokalna) to podział jednego przełącznika na kilka niezależnych sieci, z których każda ma własną domenę rozgłoszeniową . Komputery w VLAN 10 nie odbierają rozgłoszeń z VLAN 20, mimo że fizycznie wychodzą z jednego…

• Numer VLAN-u, czyli identyfikator, mieści się w zakresie 1–4094 .
• VLAN 1 istnieje w każdym przełączniku od razu po wyjęciu z fabryki — to jednak konfiguracja domyślna, a nie zalecenie projektowe.
• Dzięki temu administracyjny podział sieci na działy działa bez fizycznego rozdzielania kabli.
• W dobrze zaprojektowanej sieci VLAN 1 zostawia się nieużywany, a zarządzanie wydziela na osobny VLAN zarządzający.

Tagged, Untagged i PVID w panelu WWW

W konsoli Cisco wpisujesz po prostu access albo trunk . Jednak na egzaminie praktycznym INF.02 przełącznik konfigurujesz niemal zawsze przez przeglądarkę (GUI w sprzęcie TP-Link, D-Link czy MikroTik).

• Untagged / Tagged decyduje o tym, co przełącznik robi z ramką, gdy wysyła ją z portu na zewnątrz (zdejmuje znacznik VLAN-u albo go zostawia).
• PVID (Port VLAN ID) decyduje o tym, jaką metkę VLAN-u przełącznik przykleja ramce, która wchodzi do portu z zewnątrz bez żadnego tagu (np. prosto z karty sieciowej…
• Tam w zakładce 802.1Q VLAN zamiast słów access i trunk zobaczysz trzy pojęcia: Untagged (U), Tagged (T) oraz PVID.
• Zasada działania dzieli się na dwa kierunki ruchu na porcie:

Zadanie egzaminacyjne: przełącznik krok po kroku

W arkuszach przełącznik konfiguruje się zawsze tymi samymi sześcioma ruchami.

• Kolejność ma znaczenie w dwóch miejscach.
• Adres IP ustawia się przed utworzeniem VLAN-ów, bo bez działającego zarządzania nie sprawdzisz, czy reszta konfiguracji działa — i nie zapiszesz jej pod właściwym…
• Port trunk ustawia się po utworzeniu VLAN-ów, bo przypisanie portu do nieistniejącego VLAN-u kończy się błędem albo ciszą, w zależności od producenta.

Routing między VLAN-ami

Sama VLAN to podział, a nie połączenie — ruch między VLAN-ami musi przejść przez router, bo tylko on zna adresy z warstwy trzeciej. Router dostaje po jednym interfejsie (albo podinterfejsie) na każdą VLAN i tłumaczy adresy między nimi.

• Różnica w zadaniu jest taka, że adres IP dostaje router , a nie przełącznik — i to jest najczęstsze miejsce pomyłki, bo oba urządzenia konfiguruje się po sobie i myli…
• Konfiguracja polega na utworzeniu interfejsu VLAN, nadaniu mu adresu IP i wskazaniu, do której VLAN należy.
• W arkuszach zadanie brzmi wprost: „utwórz interfejs VLAN o ID = 2 i przypisz port LAN do portu 2 z tagowaniem”, „ustaw adres IP dla interfejsu VLAN o ID = 2”, „włącz…
• Ten sam układ, który w module 9 opisany jest jako router-on-a-stick.

VTP, STP i tematy, których praktyka nie sprawdza

Dwa protokoły, o których trzeba wiedzieć, choć w arkuszach praktycznych nie występują :

• VTP — pozwala jednemu przełącznikowi rozgłosić całą bazę VLAN-ów do pozostałych, więc konfigurujesz VLAN-y tylko na jednym.
• STP, a potem RSTP — zapobiega pętli w sieci, w której są połączenia nadmiarowe. Pętla powoduje rozsyłanie kopii tej samej ramki w nieskończoność i zablokowanie sieci.
• Oba pojawiają się w teorii.
• Jeśli zostało Ci mało czasu, ucz się z tego modułu VLAN-y, porty i tagowanie, a te dwa tematy zostaw na później.

Zapora sieciowa: reguły czytane od góry

Zapora filtruje ruch między strefami: LAN, WAN i — jeśli jest — strefa DMZ dla serwera wystawionego na zewnątrz. Reguły czytasz od góry i pierwsza pasująca wygrywa , a reszty nie sprawdza się wcale.

• Zapory dzielą się na bezstanowe , które patrzą tylko na każdą pojedynczą ramkę, i stanowe , które pamiętają, co wcześniej wyszło i przepuszczają tylko odpowiedzi na to…
• Na egzaminie wystarczy zasada z praktyki: ruch zainicjowany wewnątrz wychodzi, a ruch z zewnątrz przechodzi tylko wtedy, gdy wyraźnie na niego zezwolisz — inaczej nikt…
• Kolejność jest więc nie kwestią estetyki, tylko działania: reguła „zezwól na HTTP” ustawiona po regule „zablokuj wszystko” nigdy nie zadziała, a ustawiona przed —…
• NAT, czyli tłumaczenie adresów prywatnych na publiczne, jest osobnym tematem modułu 9, ale w praktyce zaimplementowanym w tym samym urządzeniu co zapora, więc na arkuszu…

Co zabrać z lekcji

• Atom 01
• Ramka o znanym adresie docelowym trafia wprost na jeden port; ramka o nieznanym adresie, taka jak rozgłoszeniowa, leci na wszystkie porty swojego VLAN-u oprócz…
• To są trzy pozycje, które przełącznik dostaje w każdym arkuszu, w którym w ogóle się pojawia.
• Numer VLAN-u, czyli identyfikator, mieści się w zakresie 1–4094 .