802.1Q. Описание. Принцип работы.
IEEE 802.1Q — открытый стандарт, который описывает процедуру тегирования трафика для передачи информации о принадлежности к VLAN.
802.1Q помещает внутрь фрейма тег, который передает информацию о принадлежности трафика к VLAN.
802.1Q – достаточно простой стандарт, подразумевающий добавление в кадр дополнительного заголовка размером в 4 байта, и имеющего такой формат:
Tag Protocol Identifier (TPID, идентификатор протокола тегирования). Размер поля — 16 бит. Указывает какой протокол используется для тегирования. Для 802.1Q используется значение 0x8100.
Priority (приоритет). Размер поля — 3 бита. Используется стандартом IEEE 802.1p для задания приоритета передаваемого трафика.
Canonical Format Indicator (CFI, индикатор канонического формата). Размер поля — 1 бит. Указывает на формат MAC-адреса. 0 — канонический, 1 — не канонический. CFI используется для совместимости между сетями Ethernet и Token Ring.
VLAN Identifier (VID, идентификатор VLAN). Размер поля — 12 бит. Указывает какому VLAN принадлежит фрейм. Диапазон возможных значений от 0 до 4094.
Списки управления доступом. Описание. Принцип работы.
Access Control List - последовательный набор правил разрешающих или запрещающих прохождение пакета.
Маршрутизатор сравнивает параметры пакета в зависимости от информации, содержащейся в нем (адреса источника и получателя, протокольные порты и т.д.), и от параметров списка, применяемых к его содержимому. Операторы списка доступа применяются к каждому пакету последовательно, начиная с первого, до тех пор, пока не будет найдено соответствие или достигнут конец списка. При первом же совпадении маршрутизатор определяет, сбросить пакет или принять его. Поскольку после первого же совпадения прекращается проверка условий, то их порядок следования имеет важное значение. Поместив в начало списка наиболее часто встречающиеся условия, можно существенно снизить нагрузку на маршрутизатор.
Кроме фильтрации пакетов при их прохождении через интерфейсы списки доступа применяются для выделения трафика определенных хостов при его передаче по защищенному туннелю через Интернет, для перенаправления трафика по другому маршруту, для фильтрации изменений в таблицах маршрутизации, для управления доступом к виртуальным терминалам. Списки доступа могут применяться на входе в маршрутизатор и на его выходе. В первом случае сначала выполняется проверка пакета, а затем, если он пропускается, - его маршрутизация. При сбросе пакета по адресу его отправителя посылается ICMP-сообщение "хост недоступен" (host unreachable). Во втором случае пакет сначала маршрутизируется и только потом его параметры сравниваются с условиями списка.