Duxo Academy
Blog ›

VLAN-y po ludzku: podział sieci i łącze zbiorcze na Cisco

· 5 min czytania

Gdy wszystkie urządzenia siedzą w jednej płaskiej sieci, każdy słyszy broadcast każdego, a księgowość i goście na Wi-Fi widzą się nawzajem. VLAN-y rozwiązują to dzieląc jeden fizyczny switch na kilka odseparowanych sieci logicznych. W tym artykule zobaczysz, po co to robić i jak skonfigurować to na switchu Cisco — krok po kroku, z komendami do sprawdzenia.

Po co dzielić sieć na VLAN-y

VLAN (Virtual LAN) to grupa portów, które switch traktuje jak osobną sieć. Trzy praktyczne powody:

Numer VLAN-u to liczba od 1 do 4094. VLAN 1 istnieje zawsze i jest domyślny — do użytku produkcyjnego raczej go się unika, bo wszystko, czego nie przeniesiesz, siedzi właśnie w nim.

Port access — wpięcie urządzenia do VLAN-u

Port, do którego wpinasz komputer czy drukarkę, to port dostępowy (po angielsku access): należy do dokładnie jednego VLAN-u i ramki wychodzą bez znacznika. Konfiguracja:

Switch(config)# vlan 10 Switch(config-vlan)# name KSIEGOWOSC Switch(config-vlan)# exit Switch(config)# interface fa0/5 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 10

Komenda switchport mode access jest ważna także dlatego, że na stałe ustawia port jako dostępowy — port nie zamieni się „sam z siebie” w łącze zbiorcze po negocjacji z sąsiednim switchem (protokół DTP). Żeby port w ogóle nie wysyłał ramek DTP, dopisuje się jeszcze switchport nonegotiate.

Łącze zbiorcze (trunk) — jak VLAN-y przechodzą między switchami

Kiedy masz dwa switche i VLAN 10 na obu, komputery w tym VLAN-ie muszą się widzieć. Osobny kabel dla każdego VLAN-u szybko skończyłby się brakiem portów — zamiast tego jeden kabel przewozi wszystkie VLAN-y naraz. Takie połączenie to łącze zbiorcze, po angielsku trunk (dosłownie „pień”, „magistrala”). Działa jak autobus, który wiezie pasażerów z wielu dzielnic jedną drogą, a każdy ma bilet z numerem swojej dzielnicy. W poleceniach Cisco i na egzaminie zawsze zobaczysz słowo trunk, dlatego warto je znać.

Jak switch na drugim końcu wie, do którego VLAN-u należy ramka? To właśnie ten „bilet”: do ramki Ethernet doklejany jest znacznik według standardu 802.1Q — 4 bajty, w tym 12-bitowy numer VLAN-u. Konfiguracja:

Switch(config)# interface gi0/1 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20

Na starszych i większych switchach (np. Catalyst 3560) przed switchport mode trunk trzeba jeszcze wybrać standard znacznika: switchport trunk encapsulation dot1q. Na popularnym w labach 2960 tej komendy nie ma, bo zna tylko 802.1Q.

Ostatnia komenda jest istotna: domyślnie łącze zbiorcze przepuszcza wszystkie VLAN-y, a świadome ograniczenie listy to podstawowa higiena bezpieczeństwa. Czego nie wypuścisz kablem, tego nie podsłuchasz.

Warto wiedzieć, że w standardzie IEEE 802.1Q istnieje native VLAN (VLAN natywny) — jedyny VLAN, którego ramek na łączu zbiorczym nie oznacza się znacznikiem. Na Cisco domyślnie to VLAN 1. Dobra praktyka to zmienić go na nieużywany VLAN (switchport trunk native vlan 999) — utrudnia to atak zwany VLAN hopping. Ustawienie musi być takie samo po obu stronach łącza; przy niezgodności switch zgłasza komunikat w konsoli (dzięki CDP). Na egzaminie CCNA pytania o native VLAN pojawiają się regularnie.

Weryfikacja — trzy komendy, które musisz znać

Switch# show vlan brief Pokazuje, które porty należą do którego VLAN-u. Pierwsze miejsce, gdzie zaglądasz, gdy „coś nie działa”.

Switch# show interfaces trunk Pokazuje aktywne łącza zbiorcze, ich tryb, VLAN natywny i dozwolone VLAN-y. Jeśli komputery z tego samego VLAN-u na dwóch switchach się nie widzą, tu sprawdzasz, czy łącze zbiorcze w ogóle działa i co przepuszcza.

Switch# show interfaces fa0/5 switchport Szczegóły jednego portu: tryb (dostępowy/zbiorczy — w wyniku access/trunk), VLAN dostępowy, VLAN natywny. Znajdziesz tu też odpowiedź, dlaczego port wpadł do VLAN-u 1 — najczęściej ktoś zapomniał komendy switchport access vlan.

A jak teraz przejść między VLAN-ami?

VLAN-y są odseparowane, więc komunikacja między nimi wymaga urządzenia trzeciej warstwy. Najprostsze rozwiązanie do nauki to router-on-a-stick: jeden fizyczny interfejs routera dzieli się na podinterfejsy, po jednym na VLAN, a łącze zbiorcze do switcha przewozi je wszystkie:

Router(config)# interface gi0/0 Router(config-if)# no shutdown Router(config)# interface gi0/0.10 Router(config-subif)# encapsulation dot1Q 10 Router(config-subif)# ip address 192.168.10.1 255.255.255.0 Router(config-subif)# interface gi0/0.20 Router(config-subif)# encapsulation dot1Q 20 Router(config-subif)# ip address 192.168.20.1 255.255.255.0

Komputer w VLAN 10 dostaje bramę 192.168.10.1, komputer w VLAN 20 — 192.168.20.1, i ruch między nimi zaczyna iść przez router. Tam też później podpinasz ACL, gdy chcesz ograniczyć, kto z kim może rozmawiać. Uwaga: sam interfejs fizyczny gi0/0 musi być włączony (no shutdown), inaczej żaden podinterfejs nie ruszy — to częsty błąd w labach. W firmowych sieciach tę rolę zwykle przejmuje przełącznik warstwy 3: interfejs SVI (interface vlan 10 + adres IP) i włączone ip routing. Idea jest ta sama — każdy VLAN dostaje swoją bramę.

Ćwiczenie: zbuduj to w Packet Tracerze

  1. Postaw dwa switche połączone portami gigabitowymi i po dwa komputery na każdym.
  2. Utwórz VLAN 10 i VLAN 20 na obu switchach. Na każdym switchu jeden komputer wpnij do VLAN 10, drugi do VLAN 20.
  3. Połączenie między switchami ustaw jako łącze zbiorcze (switchport mode trunk) z dozwolonymi VLAN-ami 10 i 20.
  4. Sprawdź show vlan brief i show interfaces trunk na obu switchach.
  5. Ping z komputera w VLAN 10 do komputera w VLAN 10 na drugim switchu powinien działać (adresy z jednej podsieci, np. 192.168.10.0/24). Do VLAN 20 jeszcze nie — dopóki nie dołożysz routera z podinterfejsami.

Jeśli dopiero zaczynasz, ten lab pasuje do czwartego tygodnia planu nauki CCNA. I rada z praktyki: samo przepisanie komend to za mało. Popsuj coś celowo — usuń VLAN z listy dozwolonych albo ustaw różne VLAN-y natywne — i zobacz w show interfaces trunk, co się zmieniło. Tak VLAN-y zostają w głowie na egzamin.