3. Разработка логической структуры сети и формирование групп пользователей сети виртуальных сетей

1. Разбиение сети на сегменты

СКС - самая "консервативная" часть информационной системы предприятия. Любое ее изменение сопряжено с существенными материальными затратами. Однако возможность переконфигурирования инфраструктуры часто может существенно повысить управляемость и надежность всей системы. Например, объединение портов управляемых по сети устройств (коммутаторы, аварийные источники питания и т. п.) в "физически обособленную" сеть существенно повышает уровень безопасности системы, исключая доступ к таким элементам с произвольных рабочих станций. Кроме того, выделение, например, компьютеров бухгалтерии в отдельную сеть исключает доступ к ним по сети всех остальных пользователей. Подобная возможность изменения конфигурации реализуется путем создания виртуальных сетей (Virtual local area network, VLAN). VLAN представляет собой логически (программно) обособленный сегмент основной сети. Обмен

данными происходит только в пределах одной VLAN. Устройства разных VLAN не видят друг друга. Самое главное, что из одной VLAN в другую не передаются широковещательные сообщения. VLAN можно создать только на управляемых устройствах; самые дешевые модели (часто их называют офисными) такую возможность не поддерживают. Одна VLAN может объединять порты нескольких коммутаторов (VLAN с одинаковым номером на разных коммутаторах считаются одной и той же VLAN).

3.2. Варианты создание vlan

На практике существует несколько технологий создания VLAN. В простейшем случае порт коммутатора приписывается к VLAN определенного номера (port based VLAN или группировка портов). При этом одно физическое устройство логически разбивается на несколько: для каждой VLAN создается "отдельный" коммутатор. Очевидно, что число портов такого коммутатора можно легко изменить: достаточно добавить или исключить из VLAN соответствующий физический порт. Второй часто используемый способ заключается в отнесении устройства к той или иной VLAN на основе МАС-адреса. Например, так можно обосабливать камеры видеонаблюдения, IP-телефоны и т. п. При переносе устройства из одной точки подключения в другую оно останется в прежней VLAN, никакие параметры настройки менять не придется. Третий способ заключается в объединении устройств в сеть VLAN по сетевым протоколам. Например, можно "отделить" протокол IPX от IP, "поместить" их в разные VLAN и направить по различным путям. Четвертый способ создания VLAN состоит в многоадресной группировке. Примечание: Обычно рекомендуется включать магистральные порты коммутаторов (порты, соединяющие коммутаторы) во все VLAN, существующие в системе. Это значительно облетает администрирование сетевой структуры, поскольку иначе в случае отказа какого-либо сегмента и последующего автоматического изменения маршрута придется анализировать все варианты передачи данных VLAN. Важно помнить, что ошибка в таком анализе, неправильный учет какого-либо фактора приведет к разрыву VLAN. VLAN открывают практически безграничные возможности для конфигурирования сетевой инфраструктуры, соответствующей требованиям конкретной организации. Один и тот же порт коммутатора может принадлежать одновременно нескольким виртуальным сетям, порты различных коммутаторов — быть включенными в одну VLAN и т. п. На рисунке показан пример построения VLAN из компьютеров, подключенных к различным коммутаторам. Обратите внимание, что при использовании агрегированных каналов (на рисунке для связи устройств Switch 2 и Switch 3) в состав VLAN на каждом коммутаторе должны включаться именно агрегированные порты (обычно получают названия AL1, AL2 и т. д.).