Trước hết cần nhắc lại về mạng LAN. Mạng LAN là một mạng cục bộ (viết tắc của Local Area Network), được định nghĩa là tất cả các máy tính trong cùng một miền quảng bá (broadcast domain). Cần nhớ rằng các router (bộ định tuyến) chặn bản tin quảng bá, trong khi switch (bộ chuyển mạch) chỉ chuyển tiếp chúng. Mô hình mạng không có VLAN là một mạng phẳng (flat network) vì nó hoạt động chuyển mạch ở Lớp 2. Một mạng phẳng là một niểm quảng bá (broadcast), mỗi gói quản bá từ một host nào đó đều đến được các host còn lại trong mạng. Mỗi cổng trong switch là một miền đụng độ (collision), vì vậy người ta sử dụng switch để chia nhỏ miền collision, nhưng nó không ngăn được miền quảng bá. • Vấn đề băng thông: trong một số trường hợp một mạng Campus ở lớp 2 có thể mở thêm một số tòa nhà cao tầng nữa, hay một số người dùng tăng lên thì nhu cầu sử dụng băng thông cũng tăng, do đó khả năng thực thi của mạng cũng giảm. • Vấn đề bảo mật: mỗi người dùng nào cũng có thể thấy các người dùng khác trong cùng một mạng phẳng (flat network), do đó rất khó bảo mật. • Vấn đề về cân bằng tải: trong mạng phẳng ta không thể thực hiện truyền trên nhiều đường đi, vì lúc đó mạng dễ bị vòng lặp, tạo nên cơn bão quảng bá (broardcast storm) ảnh hưởng đến băng thông của đường truyền. Do đó không thể chia tải (còn gọi là cân bằng tải). Để giải quyết vấn đề trên, ta đưa ra giải pháp VLAN. VLAN (Virtual Local Area Network) được định nghĩa là một nhóm logic các thiết bị mạng, và được thiết lập dựa trên các yếu tố như chức năng, bộ phận, ứng dụng…của công ty. Mỗi VLAN là một mạng con logic được tạo ra trên switch, còn gọi là đoạn hay miền quảng bá (broadcast). Như đã giới thiệu ở trên, VLAN là một mạng LAN ảo. Về mặt kỹ thuật, VLAN là một miền quảng bá được tạo bởi các switch. Bình thường thì router đóng vai tạo ra miền quảng bá. Đối VLAN thì có thể tạo ra miền quảng bá. VLAN là một kỹ thuật kết hợp chuyển mạch lớp 2 và định tuyến lớp 3 để giới hạn miền đụng độ và miền quảng bá. VLAN còn được sử dụng để bảo mật giữa các nhóm VLAN theo chức năng mỗi nhóm.
Trang 1MẠNG LAN ẢO (VLAN – Vitrual Local Area Network)
1 GIỚI THIỆU
Trước hết cần nhắc lại về mạng LAN Mạng LAN là một mạng cục bộ (viết tắc của Local Area Network), được định nghĩa là tất cả các máy tính trong cùng một miền quảng bá (broadcast domain) Cần nhớ rằng các router (bộ định tuyến) chặn bản tin quảng bá, trong khi switch (bộ chuyển mạch) chỉ chuyển tiếp chúng
Mô hình mạng không có VLAN là một mạng phẳng (flat network) vì nó hoạt động chuyển mạch ở Lớp 2 Một mạng phẳng là một niểm quảng bá (broadcast), mỗi gói quản bá từ một host nào đó đều đến được các host còn lại trong mạng Mỗi cổng trong switch là một miền đụng độ (collision), vì vậy người ta sử dụng switch để chia nhỏ miền collision, nhưng nó không ngăn được miền quảng bá
• Vấn đề băng thông: trong một số trường hợp một mạng Campus ở lớp 2 có
thể mở thêm một số tòa nhà cao tầng nữa, hay một số người dùng tăng lên thì nhu cầu sử dụng băng thông cũng tăng, do đó khả năng thực thi của mạng cũng giảm
• Vấn đề bảo mật: mỗi người dùng nào cũng có thể thấy các người dùng khác trong cùng một mạng phẳng (flat network), do đó rất khó bảo mật
• Vấn đề về cân bằng tải: trong mạng phẳng ta không thể thực hiện truyền trên nhiều đường đi, vì lúc đó mạng dễ bị vòng lặp, tạo nên cơn bão quảng bá (broardcast storm) ảnh hưởng đến băng thông của đường truyền Do đó không thể chia tải (còn gọi là cân bằng tải)
Để giải quyết vấn đề trên, ta đưa ra giải pháp VLAN VLAN (Virtual Local Area Network) được định nghĩa là một nhóm logic các thiết bị mạng, và được thiết lập dựa trên các yếu tố như chức năng, bộ phận, ứng dụng…của công ty Mỗi VLAN là một mạng con logic được tạo ra trên switch, còn gọi là đoạn hay miền quảng bá
(broadcast)
Như đã giới thiệu ở trên, VLAN là một mạng LAN ảo Về mặt kỹ thuật, VLAN
là một miền quảng bá được tạo bởi các switch Bình thường thì router đóng vai tạo ra miền quảng bá Đối VLAN thì có thể tạo ra miền quảng bá
Trang 1 | 23
Trang 2VLAN là một kỹ thuật kết hợp chuyển mạch lớp 2 và định tuyến lớp 3 để giới hạn miền đụng độ và miền quảng bá VLAN còn được sử dụng để bảo mật giữa các nhóm VLAN theo chức năng mỗi nhóm.
• Phân theo nhóm user theo phòng ban, đội nhóm và các ứng dụng thường dung
• Router cung cấp thông tin liên lạc giữa các VLAN với nhau
Các nhóm port vật lý được nhóm vào một VLAN Vi dụ hình 2, port P1, P6, P4 được nhóm vào VLAN.1.VLAN.2 có các cổng P2, P3, P5 Thông tin liên lạc giữa VLAN.1
và VLAN.2 buộc thông qua router là nơi quyết định cho VLAN.1 và VLAN.2 có thể nói chuyện với nhau
Trang 2 | 23
VLAN 2
VLAN 1
P3P6
P2P1
Trang 3Một đặc tính quan trọng của mạng chuyển mạch Ethernet là mạng LAN ảo (VLAN) VLAN là một nhóm logic các thiết bị mạng hoặc user Các thiết bị mạng hoặc user được nhóm theo chức năng, phòng ban theo ứng dụng chức không theo vị trí vật lý nữa Các thiết bị trong VLAN được giới hạn chỉ thông tin lien lạc với các thiết bị trong cùng VLAN Chỉ có router cung các kết nối giữa các VLAN với nhau.
VLAN với cách phân nguồn tài nguyên và user theo logic đã làm tăng hiệu quả hoạt động của toàn hệ thống mạng Các công ty, tổ chức thường sử dụng VLAN để phân nhóm user theo logic mà không cần quan tâm đến vị trí vật lý của họ
Với VLAN, mạng có khả năng phát triển, bảo mật và quản lý tốt hơn vì router trong cấu VLAN có thể ngăn gói quảng bá, bảo mật và quản lý dòng lưu lượng mạng
VLAN là công cụ mạnh trong thiết kế cấu hình mạng Với VLAN công việc thêm bớt, chuyên đổi trong cấu trúc mạng khi cần thiết trở nên đơn giản hơn rất nhiều VLAN còn giúp gia tăng tính bảo mật và kiểm soát quảng bá lớp 3 Tuy nhiên nếu VLAN được cấu hình không đúng làm cho hoạt động mạng kém hoặc có khi không hoạt động được Do
đó khi thiết kế mạng, việc nắm được cách triển khai VLAN trên nhiều switch khác nhau
là quan trọng
2 KHÁI NIỆM VỀ VLAN
2.1 Giới thiệu về VLAN
VLAN là một nhóm các thiết bị mạng không giới hạn theo vị trí vật lý hoặc theo LAN switch mà chúng kết nối vào
VLAN là một segment mạng theo logic dựa trên chức năng, đội nhóm, hoặc ứng dụng của một tổ chức chứ không phụ thuộc vào vị trí vật lý hay kết nối vật lý trong mạng Tất cả các trạm và server được sử dụng bởi cùng một nhóm làm việc sẽ được đặt trong cùng VLAN bất kể vị trí hay kết nối vật lý của chúng
Mọi công việc cấu hình VLAN hoặc thay đổi cấu hình VLAN điều được thực hiện trên phần mềm mà không cần thay đổi cáp và thiết bị vật lý
Trang 3 | 23
Trang 4Một máy trạm trong một VLAN chỉ được liên lạc với file server trong cùng VLAN với
nó VLAN được nhóm theo chức năng logic và mỗi VLAN là một miền quảng bá, do
đó gói dữ liệu chỉ được chuyển mạch trong cùng một VLAN
VLAN có khả năng mở rộng, bảo mật và quản lý mạng tốt hơn Router trong cấu trúc VLAN thực hiện ngăn chặn quảng bá, bảo mật và quản lý nguồn giao thông mạng Switch không thể chuyển mạch giao thông giữa các VLAN khác nhau Giao thông giữa các VLAN phải được định tuyến qua router
Trang 4 | 23
Phân đoạn LAN theo kiểu truyền thống
LAN 1LAN 2LAN 3
Chia sẽ qua HUBChia sẽ qua HUB
Tầng 1Tầng 2
Trang 52.2 Miền quảng bá với VLAN và router.
Một VLAN là một niềm quảng bá được tạo nên một hay nhiều switch
Hình 4 cho thấy tạo 3 miền quảng bá riêng biệt trên 3 swicth như thế nào
Định tuyến Lớp 3 cho phép router chuyển gói giữa các miền quảng bá với nhau
Trong hình 5 chúng ta thấy 3 VLAN tức 3 miền quảng bá khác nhau được tạo ra trên một switch và trên một router Router sử dụng định tuyến lớp 3 để chuyển giao thông giữa 3 VLAN
Trang 5 | 23
Phòng kỹ thuậtPhòng bán hàng
Trang 6Switch trong hình.5 sẽ truyền frame lên cổng giao tiếp của router khi:
Gói dữ liệu là gói quảng bá
Gói dữ liệu có địa chỉ MAC đích là một trong các địa chỉ MAC của router
Nếu máy trạm 1 trong VLAN Kỹ thuật muốn gửi dữ liệu cho máy trạm 2 trong VLAN Bán hàng, hai máy này nằm trong 2 miền quảng bá khác nhau, thuộc hai mạng khác nhau, do đó địa chỉ MAC đích trong gói dữ liệu sẽ địa chỉ MAC của default gateway của máy trạm 1 Vì vậy địa chỉ MAC đích của gói dữ liệu sẽ là địa MAC của tổng Fa0/0 trên router Gói dữ liệu được chuyển đến router, bằng định tuyến IP, router sẽ chuyên gói đúng VLAN Bán hàng
Nếu máy trạm 1 trong VLAN Kỹ thuật muốn gửi gói dữ liệu cho máy trạm 2 trong cùng một VLAN thì địa chỉ MAC đích của gói dữ liệu sẽ chính là địa chỉ MAC của máy trạm 2
Tóm lại, switch sẽ xử lý chuyển mạch gói dữ liệu khi có chia VLAN như sau:
Đối với mỗi VLAN switch có một bảng chuyển mạch riêng tương ứng
Nếu switch nhận được gói dữ liệu từ một port nằm trong VLAN 1 chẳng hạn , thì switch sẽ tìm địa chỉ MAC đích trong bảng chuyển mạch của VLAN
mà thôi
Đồng thời switch sẽ học địa chỉ MAC nguồn trong gói dữ liệu và ghi vào bảng chuyển mạch của VLAN 1 nếu địa chỉ này chưa được biết
Sau đó switch quyến định chuyển gói dữ liệu
Switch nhận frame vào từ VLAN nào thì switch chỉ học địa chỉ nguồn của frame và tìm địa chỉ đích cho frame trong một bảng chuyển mạch tương ứng với VLAN đó
2.3 Hoạt động của VLAN
Mỗi cổng trên switch có thể gán cho một VLAN khác nhau Các cổng nằm trong cùng một VLAN sẽ chia sẻ gói quảng bá với nhau Các cổng không nằm trong cùng VLAN
sẽ không chia sẻ gói quảng bá với nhau Nhờ đó mạng LAN hoạt động hiệu quả hơn
Trang 6 | 23
Trang 7HÌNH 6:
Thành viên cố định của VLAN được xác định theo cổng Khi thiết bị kết nối vào một cổng của switch, tùy theo port thuộc loại VLAN nào thì thiết bị nằm trong VLAN đó.Mặc định, tất cả các port trên một switch đều nằm trong VLAN quản lý VLAN quản lý luôn là VLAN 1 và chúng ta không thể xóa VLAN này được
Sau đó chúng ta có thể cấu hình gán port vào các VLAN khác VLAN cung cấp băng thông tin nhiều hơn cho người dùng (user) so với mạng chia sẻ, trong mạng chia sẻ, các người dùng đầu cuối cùng chia sẻ một băng thông trong một mạng đó, càng nhiều người dùng đầu cuối trong một mạng chia sẻ thì dung lượng băng thông càng thấp hơn
và hiệu suất hoạt động càng giảm đi
Thành viên hoạt động của VLAN được cấu hình bằng phần mềm quản lý mạng VLAN hoạt động cho phép xác định thành viên dựa trên địa chỉ MAC của thiết bị kết nối vào switch chứ không còn xác định theo port nữa Khi thiết bị kết nối vào switch, switch sẽ tìm trong cơ sở dữ liệu của nó để xác định thiết bị này thuộc loại VLAN nào
Hình 7: VLAN cố định Trạm quản lý mạng
Cấu hình VLAN Server Hình 7: VLAN động
Kiểm tra địa chỉ MAC trong cơ sở dữ liệu
VLAN =??
MAX + XXXX
Trang 8• Cấu hình VLAN bằng các phần mềm VLAN quản lý tập trung
• Có thể chia VLAN theo địa chỉ MAC, logic hoặc theo loại giao thức
• Không cần quản lý nhiều ở các tủ nối dây nữa vì thiết bị kết nối vào mạng thuộc VLAN nào là tùy theo địa chỉ của thiết bị đó được gán vào VLAN đó
• Có khả năng thông báo cho quản trị mạng khi có một người dùng đầu cuối lạ, không có trong cơ sở dữ liệu kết nối vào mạng
Xác định thành viên VLAN theo cổng tức là cổng đã được gán vào VLAN nào thì thiết
bị kết nối vào cổng đó thuộc VLAN đó, không phục thuộc không phục vào thiết bị kết nối là thiết bị gì, địa chỉ bao nhiêu Với cách chia VLAN theo cổng như vậy, tất cả các người dùng kết nối vào cùng một cổng sẽ nằm trong cùng một VLAN Một người dùng hay nhiều người dùng có thể kết nối vào một cổng và sẽ không nhận thấy là có sự tồn tại của VLAN Cách chia VLAN này giúp việc quản lý đơn giản hơn vì không cần tìm trong cơ sở dữ liệu phức tạp để xác định thành viên trong mỗi VLAN
Người quản trị có trách nhiệm cấu hình VLAN bằng tay và cố định Mỗi một cổng trên switch cũng giống như một cổng trên bridge Bridge sẽ chặn luồng lưu lượng nếu nó không cần thiết phải đi ra ngoài segment Nếu gói dữ liệu cần chuyển qua bridge
và switch không biết địa chỉ đích hoặc gói nhận được là gói quảng bá thì mới chuyển ra tất cả các cổng nằm trong cùng miền quảng bá với cổng nhận gói dữ liệu vào
Trang 92.4 Ưu điểm của VLAN
Lợi ích của VLAN là cho phép người quản trị mạng tổ chức mạng theo logic chức không theo vật lý nữa Nhờ đó những công việc sau thực hiện dễ dàng hơn:
Có tính linh động cao: di chuyển máy trạm trong LAN dễ dàng
Thêm máy trạm vào LAN dễ dàng: Trên một switch nhiều cổng, có thể
có thể cấu hình VLAN khác nhau cho từng cổng, do đó dễ dàng kết nối thêm các máy tính với các VLAN
Thay đổi cấu hình LAN dễ dàng
Kiểm soát giao thông mạng dễ dàng
Gia tăng bảo mật: Các VLAN khác nhau không truy cập được vào nhau (trừ khi có khai báo định tuyến)
Tiết kiệm băng thông của mạng: do VLAN có thể chia nhỏ LAN thành các đoạn (là một vùng quảng bá) Khi một gói tin quảng bá, nó sẽ được truyền đi chỉ trong một VLAN duy nhất, không không truyền đi ở các VLAN khác nên giảm lưu lượng quảng bá, tiết kiệm băng thông đường truyền
Có 3 loại thành viên VLAN để xác định và kiểm soát việc xử lý các gói dữ liệu:
VLAN dựa trên cổng (port based VLAN): mỗi cổng (Ethernet hoặc
Fast Ethernet) được gắn với một VLAN xác định Do đó mỗi máy tính/ thiết bị host kết nối một cổng của switch đều phụ thuộc vào VLAN đó Đây là cách cấu hình VLAN đơn giản và phổ biến nhất.
Trang 9 | 23
Trang 10 Vlan theo địa chỉ MAC ( MAC address based VLAN): mỗi địa chỉ
MAC được gán tới một VLAN nhất định Cách cấu hình này rất phức tạp và khó khăn trong việc quản lý
VLAN theo giao thức (protocol based VLAN): tương tự với VLAN
dựa trên địa chỉ MAC nhưng sử dụng địa chỉ IP thay cho địa chỉ MAC Cách cấu hình này không thông dụng
Người dùng thuộc VLAN nào thì tùy theo vào port kết nối của người dùng đó
Không cần tìm trong cơ sở dữ liệu khi xác định thành viên của VLAN
Dễ dàng quản lý bằng giao diện đồ họa (GUIs) Quản lý thành viên của VLAN theo port cũng dễ dàng và đơn giản
Bảo mật tối đa giữa các VLAN
Gói dữ liệu không “rò rỉ” sang các miền khác
Dễ dàng kiểm soát qua mạng
Người dùng thuộc loại VLAN nào là tùy thuộc vào địa chỉ MAC của người dùng đó
Linh hoạt hơn như tăng độ tải lên giao thông mạng và công việc quản trị mạng
Ảnh hưởng đến hiệu suất hoạt động, khả năng hoạt động mạng và khả năng quản trị vì quản lý thành viên của VLAN theo địa chỉ MAC là một công việc phức tạp
Tiến trình xử lý như các lớp trên
Trang 10 | 23
VLAN 1
VLAN 2
MAC - based VLAN 3
VLAN 2 VLAN 1
Trang 11Số lượng VLAN phụ thuộc vào các yếu sau:
Dòng giao thông
Loại ứng dụng
Sự quản lý mạng
Sự phân nhóm
Ngoài một yếu tố quan trọng mà chúng ta cần quan tâm là kích thước của switch và sơ
đồ chia địa chỉ IP
Ví dụ: Một mạng sử dụng địa chỉ mạng có 24 bit subnet mask, như vậy mỗi subnet mask có tổng cộng 254 địa chỉ host Nên sử dụng nối tương một – một giữa VLAN và
IP subnet Do mỗi VLAN tương ứng với một IP subnet mask, có tối đa 254 thiết bị
020701 AEF1A OA032192FA2A
VLAN 2
050503G4GF2A 040404THTB3AHình 10: Xác định thành viên VLAN theo địa chỉ MAC
Trang 12Phần header của frame sẽ đóng gói lại và điều chỉnh để có thêm dòng thông tin về VLAN ID trước khi frame được truyền lên đường truyền kết nối giữa switch Công việc này gọi là dán nhãn cho frame Sau đó phần hearder của frame Sau đó, phần hearder của frame được trả lại như cũ trức khi truyền xuống thiết bị đích.
Có hai phương pháp chủ yếu dán nhãn là Intr – Switch Link (ISL) và 802.1Q.ISL từng được dùng phổ biến nhưng bây giờ đang thay thế bởi 802Q.1
2.6 Cấu hình VLAN
Cấu hình VLAN cơ bản
Trong môi trường chuyển mạch, một máy trạm chỉ nhận giao thông nào gửi đến
nó Nhờ đó, mỗi máy trạm được dành riêng và trọn vẹn băng thông cho đường truyền
và nhận Không giống như hệ thống hub chia sẽ chỉ có một máy trạm được phép truyền tại một thời điểm, mạng chuyển mạch có thể cho phép nhiều phiên giao dịch cùng một lúc trong một miền quảng bá mà không ảnh hưởng đến máy trạm khác bên trong cũng như bên ngoài miền quảng bá.Ví dụ như trên hình 11 cặp A/B, C/D, E/F có thể đồng thời liên lạc với nhau mà không ảnh hưởng đến cặp máy khác
Trang 12 | 23
3
2 1
A
E F
Hình 11: Cấu hình VLAN cơ bản
Trang 13Mỗi VLAN có một địa chỉ mạng Lớp 3 riêng: nhờ đó router có chuyến gói giữa các VLAN với nhau.
Chúng ta có thể xây dựng VLAN cho mạng từ đầu cuối – đến – đầu cuối hoặc theo giới hạn địa lý
Một VLAN từ đầu cuối – đến đầu cuối có các đặc điển sau:
Người dùng được phân nhóm VLAN hoàn toàn không phụ thuộc vào vị trí vật lý, chỉ phụ thuộc vào chức năng công việc của nhóm
Mọi user trong một VLAN điều có chung tỉ lệ giao thông 80/20(80% giao thông trong, 20% giao thông ngoài VLAN)
Khi người dùng đầu cuối di chuyển trong hệ thống mạng vẫn không thay đổi VLAN của người dùng đó
Core Layer
Fast hoặc Gigabit Ethernet
Hình 12: VLAN từ đầu cuối – đến - đầu cuối
Trang 14 Mỗi VLAN có những yêu cầu bảo mật riêng cho mọi thàng viên của VLAN đó.
Bắt đầu tầng truy cập, port trên switch được cấp xuống cho mỗi người dùng Người sử dụng di chuyển trong toàn hệ thống mạng ở mọi thời điểm nên mỗi switch đều là thành viên của mọi VLAN Switch phải dán nhãn frame khi di chuyển frame giữa các switch tầng truy cập với switch phân phối
Router ở tầng trục chính được sử dụng để định tuyến giữa các subnet Toàn bộ hệ thống này có tỷ lệ lưu lượng là 80% trong nội bộ lưu lượng trong nội bộ VLAN, 20% giao thông đi qua router đến các server toàn bộ hệ thống và đi ra internet, WAN
2.6.1 Cấu hình VLAN theo vật lý
VLAN từ đầu cuối - đến – đầu cuối cho phép phân nhóm nguồn tài nguyên sử dụng, ví dụ phân nhóm user theo server sử dụng, nhóm dự án và theo phòng ban…Mục tiêu của VLAN từ đầu cuối - đến - đầu cuối là giữ 80% giao thông trong nội bộ của VLAN
Khi các hệ thống mạng tập đoàn thực tập chung tài nguyên mạng VLAN từ đầu cuối - đến - đầu cuối rất khó thực hiện mục tiêu của mình Khi đó người dùng cần phải
sử dụng nhiều nguồn tài nguyên khác nhau không cùng nằm trong cùng VLAN với người dùng Chính vì xu hướng sử dụng và phân bố tài nguyên mạng khác đi nên hiện nay VLAN thường đượ tạo ra theo giới hạn của địa lý
Phạm vi địa lý có thể lớn bằng tòa nhà hoặc cũng có thể chỉ nhỏ với một switch Trong cấu trúc VLAN này, tỉ lượng sẽ là 20/80, 20% giao thông trong nội bộ VLAN và 80% giao thông đi ra ngoài mạng VLAN
Trang 14 | 23
