توضیح انگلیسی ساده در مورد نحوه عملکرد تگ VLAN در پورت سوئیچ، اینکه چرا فروشندگان مختلف از کلمات متفاوتی برای یک چیز استفاده می کنند، و یک ناهماهنگی که باعث قطعی های مرموزتر از سایرین شده است.
پاسخ سریع: ان پورت دسترسی یک VLAN را حمل می کند و فریم ها را ارسال می کند بدون علامت; دستگاه های نهایی مانند کامپیوتر و چاپگر را به هم متصل می کند. الف پورت تنه چندین VLAN را حمل می کند و فریم ها را ارسال می کند مشخص شده است با یک هدر IEEE 802.1Q به طوری که دوردست بداند هر فریم به کدام VLAN تعلق دارد. سوئیچ ها، روترها و هایپروایزرها را به هم متصل می کند. را VLAN بومی VLAN تک ترانک است که فریم های آن ارسال می شود بدون برچسب. «علامت‌گذاری‌شده» و «بدون علامت» اتفاقی را که برای وایرفریم می‌افتد را توصیف می‌کند. “access”، “trunk” و “native” نحوه پیکربندی پورت را توضیح می دهند. سیسکو می گوید دسترسی / تنه / بومی; آروبا، اچ پی و بسیاری دیگر می گویند بدون علامت / علامت گذاری شده در هر VLAN – اما در زیر همان مکانیسم 802.1Q وجود دارد.
حقایق کلیدی در یک نگاه
- تگ VLAN یک هدر 4 بایتی 802.1Q است که در فریم اترنت درج شده است. فیلد VLAN ID 12 بیتی امکان 4094 VLAN قابل استفاده (1-4094) را فراهم می کند.
- دستگاه‌های پایانی تقریباً هرگز برچسب‌ها را نمی‌فهمند، بنابراین پورت‌های دسترسی آنها را حذف می‌کنند.
- ممکن است یک تنه وجود داشته باشد یکی VLAN بومی (بدون برچسب)؛ هر چیز دیگری روی آن مشخص شده است.
- VLAN پیش‌فرض سیسکو VLAN 1 است. بهترین روش این است که آن را به یک VLAN استفاده نشده تغییر دهید.
- الف عدم تطابق VLAN بومی بین دو انتهای ترانک، بی‌صدا دو حوزه پخش را ادغام می‌کند و هشدارهای CDP/LLDP را راه‌اندازی می‌کند.
- آروبا/HP “untagged” = سیسکو “دسترسی” یا “بومی”; Aruba/HP “tagged” = Cisco “enabled trunk VLAN.”
با قاب شروع کنید، نه از دروازه
بیشتر توضیحات با حالت های پورت شروع می شود و به همین دلیل است که مردم گیج می شوند. در عوض، با فریم اترنت شروع کنید. یک فریم معمولی هیچ ایده ای ندارد که به چه VLAN تعلق دارد. هنگامی که یک سوئیچ باید به سوییچ دیگری بگوید “این فریم VLAN 20 است”، یک تگ کوچک 802.1Q را بین آدرس MAC منبع و نوع اتر وارد می کند. تمام ترفند همین است. الف مشخص شده است فریم این هدر را حمل می کند. یک بدون علامت قاب شماره
حال حالت های پورت منطقی هستند. اینها به سادگی قوانینی هستند برای زمانی که سوئیچ یک تگ خروجی اضافه می کند و چگونه فریم های ورودی را تفسیر می کند.
پورت های دسترسی: Single VLAN، بدون برچسب
پورت دسترسی متعلق به یک VLAN است. فریم‌هایی که از دستگاه متصل می‌آیند برچسب‌گذاری نشده‌اند و سوئیچ به صورت داخلی آنها را به VLAN پورت اختصاص می‌دهد. قاب هایی که از دستگاه خارج می شوند بدون برچسب هستند. لپ تاپ، چاپگر یا دوربین هرگز هدر VLAN را نمی بیند و نیازی به آن ندارد. من یک درگاه دسترسی را مانند دری می دانم که یک اتاق پشت آن قرار دارد.
استثنای رایج VLAN صوتی است: تلفنی که یک رایانه پشت آن قرار دارد. Cisco با یک مورد خاص که در آن پورت هنوز “قابل دسترسی” است اما یک VLAN صدای دوم با برچسب گذاری شده را حمل می کند. در آروبا، شما به سادگی VLAN داده را بدون برچسب و VLAN صوتی را در همان پورت تگ می کنید – که نشان می دهد این کار به کجا می رود.
پورت های اصلی: بسیاری از VLAN ها، شامل برچسب ها
یک ترانک چندین VLAN را روی یک پیوند فیزیکی حمل می کند. از آنجایی که بخش دور باید فریم ها را به VLAN صحیح مرتب کند، هر فریم یک برچسب 802.1Q دریافت می کند – با یک استثنا که به آن خواهیم رسید. ترانک ها بین سوئیچ ها، بین یک سوئیچ و یک روتر که مسیریابی بین VLAN را انجام می دهد، و بین یک سوئیچ و یک هایپروایزر یا نقطه دسترسی که خود میزبان چندین VLAN است، زندگی می کنند. صندوق عقب راهرویی است که درهای زیادی دارد.
دو جزئیات مردم را به سمت بالا می برد. اول اینکه کانال فقط VLAN هایی را که هست پاس می کند مجاز است پوشیدن کوتاه کردن لیست سفید هم معیاری برای امنیت و هم سلامت عقل است. دوم، هر دو طرف باید در مورد آنچه مجاز است به توافق برسند، یا ترافیک VLAN به سادگی از یک طرف بدون خطا ناپدید می شود.
Native VLAN: تنها خط ورودی بدون برچسب
اینجا استثناست. 802.1Q اجازه می دهد تا یک VLAN در هر ترانک بدون برچسب حرکت کند. همین است VLAN بومی. وقتی یک فریم بدون برچسب به یک پورت ترانک می رسد، سوئیچ فرض می کند که به VLAN خودش تعلق دارد. هنگامی که یک فریم از VLAN بومی خارج می شود، سوئیچ آن را علامت گذاری نمی کند.
چرا این وجود دارد؟ سازگاری به عقب دستگاه‌های قدیمی‌تر و برخی از پروتکل‌های مدیریتی که نمی‌توانستند 802.1Q صحبت کنند، هنوز باید از یک ستون فقرات عبور می‌کردند. امروزه، بیشتر برای ایجاد مشکل وجود دارد، بنابراین بهترین کار این است که VLAN بومی را روی یک VLAN بی‌استفاده از بن‌بست در هر دو طرف تنظیم کنید – یا VLAN بومی را نیز تگ کنید، که اکثر پلتفرم‌ها از آن پشتیبانی می‌کنند.
استراحت کلاسیک: سوئیچ A فکر می کند VLAN خودش 1 است. سوئیچ B فکر می کند 99 است. فریم های بدون برچسب A را به عنوان VLAN 1 می گذارند و به B به عنوان VLAN 99 می رسند. دو شبکه نامرتبط اکنون پل شده اند، پاسخ های DHCP از سرور اشتباهی می آیند، و هیچ چیزی در گزارش ها “VLAN” نمی گوید. CDP و LLDP در مورد a هشدار می دهند عدم تطابق VLAN بومی – این هشدارها را بخوانید.
مفهوم یکسان، واژگان متفاوت
بزرگترین منبع سردرگمی فناوری نیست. این است که فروشندگان آن را از جهت های مخالف توصیف می کنند. سیسکو توضیح می دهد بندر (دسترسی یا ترانک). آروبا، اچ پی، دل و بسیاری دیگر هر کدام را توصیف می کنند ارتباط VLAN با پورت (علامت گذاری شده یا بدون علامت). Juniper هر دو را کمی انجام می دهد.
| چی میخوای | سیسکو IOS | آروبا / HP | جونیپر جونوس |
|---|---|---|---|
| یک VLAN، بدون برچسب (پورت کامپیوتر) | دسترسی در حالت سوئیچ پورت؛ سوئیچ پورت 10 دسترسی vlan | vlan 10 بدون برچسب (پورت) | دسترسی در حالت رابط؛ اعضای vlan 10 |
| بسیاری از VLAN های برچسب گذاری شده (بالا) | صندوق عقب در حالت سوئیچ پورت؛ سوئیچ پورت ترانک مجاز vlan 10,20 | vlan 10 با برچسب; vlan 20 برچسب گذاری شده است | تنه در حالت رابط؛ اعضای vlan [10 20] |
| ترانک VLAN بدون برچسب | سوئیچ پورت ترانک بومی vlan 99 | vlan 99 بدون برچسب (به علاوه دیگران برچسب گذاری شده) | native-vlan-id 99 |
| نام VLAN بدون برچسب پیش فرض | VLAN بومی | PVID / VLAN بدون برچسب | VLAN بومی |
هنگامی که این پورت آروبا را با یک VLAN بدون برچسب مشاهده کردید است یک پورت دسترسی سیسکو و یک پورت آروبا با یک VLAN بدون برچسب به علاوه چندین VLAN تگ شده است سیسکو ترانک با VLAN بومی، واژگان دیگر اهمیتی ندارد. برخی از فروشندگان مورد مختلط را الف می نامند پورت هیبریدی یا پورت مشترک; همین ایده
زاویه امنیتی: پرش VLAN
VLAN بومی نیز یک سطح حمله است. در یک علامت گذاری دوگانه یک میزبان در VLAN بومی یک فریم با دو تگ ارسال می کند. سوئیچ اول تگ بیرونی را حذف می کند (زیرا با VLAN بومی مطابقت دارد) و فریم را با تگ داخلی دست نخورده به سمت ترانک می فرستد و آن را در یک VLAN قرار می دهد که مهاجم نباید به آن برسد. این یک طرفه و وابسته به موقعیت است، اما راه حل آن ارزان است: هرگز از VLAN 1 یا هر VLAN کاربر به عنوان بومی استفاده نکنید، VLAN های بلااستفاده را از خطوط ترانک کوتاه کنید، و مذاکره ترانک خودکار (DTP سیسکو) را در پورت های رو به روی کاربر غیرفعال کنید تا لپ تاپ متصل شده نتواند با یک ترانک مذاکره کند.
روال پنج دقیقه ای عیب یابی
- حالت پورت را در هر دو طرف تأیید کنید – یک دسترسی و یک ترانک یک اتفاق رایج است.
- مقایسه لیست های مجاز VLAN. یک VLAN گم شده در هر دو طرف بی سر و صدا حذف می شود.
- بررسی کنید که VLAN های بومی مطابقت داشته باشند و به دنبال پیام های عدم تطابق CDP/LLDP بگردید.
- بررسی کنید که VLAN واقعاً در پایگاه داده VLAN در هر دو سوئیچ وجود دارد.
- برای سرورها و هایپروایزرها، تأیید کنید که کارت شبکه انتظار فریم‌های برچسب‌گذاری شده یا بدون برچسب را دارد – یک فریم برچسب‌گذاری شده به کارت شبکه‌ای که انتظار ندارد فقط یک فریم حذف شده باشد.
سوالات متداول
تفاوت بین VLAN برچسب گذاری شده و بدون برچسب چیست؟
فریم‌های VLAN برچسب‌گذاری شده دارای هدر 802.1Q هستند که VLAN را شناسایی می‌کند. فریم‌های موجود در VLAN بدون برچسب فاقد هدر هستند. پورت های دسترسی فریم های بدون برچسب ارسال می کنند. کانال ها فریم های برچسب گذاری شده را برای هر VLAN به جز VLAN خود ارسال می کنند.
آیا پورت می تواند هم دسترسی و هم ترانک باشد؟
نه در اصطلاح سیسکو، اما یک ترانک با یک VLAN بومی – یا یک پورت آروبا با یک VLAN بدون برچسب و چندین VLAN برچسب‌گذاری شده – به صورت هر دو عمل می‌کند: برای یک VLAN برچسب‌گذاری نشده، برای بقیه برچسب‌گذاری شده است. برخی از فروشندگان به این پورت هیبریدی می گویند.
آیا VLAN بومی باید VLAN 1 باشد؟
شماره VLAN 1 در همه جا پیش فرض است و ترافیک کنترلی را در بسیاری از پلتفرم ها حمل می کند. از یک VLAN استفاده نشده اختصاصی به عنوان تطبیق بومی در هر دو انتهای ترانک استفاده کنید، یا اگر پلتفرم شما اجازه می دهد VLAN خود را تگ کنید.
PVID چیست؟
پورت VLAN ID – VLAN است که سوئیچ به فریم های بدون برچسب وارد شده به یک پورت اختصاص می دهد. در یک پورت دسترسی، این VLAN دسترسی است. در یک Trunk آن VLAN بومی است. این اصطلاح در پل های آروبا، اچ پی، دل و لینوکس رایج است.
برداشت نهایی
پنج کلمه، یک مکانیسم. علامت گذاری شده و بدون علامت چارچوب را توصیف می کند. دسترسی، ترانک و بومی قوانین پورت برای کار با آن را شرح می دهد. به این پایبند باشید و CLI هر فروشنده به جای یک موضوع جدید، به یک تمرین ترجمه تبدیل خواهد شد. و هنگامی که چیزی بین دو سوییچ “فقط اجازه عبور ترافیک را نمی دهد”، ابتدا VLAN بومی را بررسی کنید – این پاسخی است که بیشتر از آن چیزی است که من بخواهم اعتراف کنم.
سلب مسئولیت: دستور دستور برای مثال ساده شده است و بسته به پلتفرم و نسخه نرم افزار متفاوت است. همیشه قبل از اعمال تغییرات در سوئیچ های تولید، اسناد فعلی فروشنده را بررسی کنید.
/Images%20(Marketing%20Only)/Blog/AP-Blog-CV.jpg "CloudVision: دهه اول")
