28. Виртуальные локальные сети.
Коммутаторы увеличивают пропускную способность сети, обеспечивая контроль и управление трафиком, в том числе с помощью пользовательских фильтров. Они могут ограничивать трафик до определенных адресов, однако широковещательный трафик передается всем сегментам. Это создает так называемую "плоскую сеть", где широковещательный трафик распространяется без ограничений.
Технология виртуальных локальных сетей (Virtual LAN, VLAN) позволяет преодолеть указанное ограничение. Виртуальной сетью называется группа узлов сети, трафик которой, в том числе и широковещательный, на канальном уровне полностью изолирован от других узлов сети (рис. 4.18).
Рис. 4.18. Виртуальные сети
Это предотвращает возможность передачи данных между разными VLAN по адресам канального уровня. Внутри отдельной VLAN коммутация происходит целенаправленно, отправляя данные только к указанным адресатам. Узлы могут быть частью нескольких VLAN, что позволяет им пересекаться в этих сетевых группах.
Технология VLAN упрощает создание изолированных сетей, которые связываются через маршрутизаторы с использованием протоколов, например IP, усиливая защиту от ошибочного трафика между сетями. Ранее для разделения сетей использовались физически изолированные сегменты или независимые сегменты на повторителях и мостах, объединяемые маршрутизаторами в одну сеть. (рис. 4.19).
Рис. 4.19. Интерсеть, состоящая из сетей, построенных на основе повторителей
Используя многосегментные концентраторы, упрощается процесс настройки сетей, избегая физической перекоммутации узлов. Коммутаторы с VLAN функцией повышают производительность и обеспечивают изоляцию отдельных сетей, что улучшает управление доступом и защиту от нежелательного трафика. Связь между разными VLAN обеспечивается либо через обычные маршрутизаторы, либо через маршрутизаторы, встроенные в коммутаторы (коммутаторы 3-го уровня). При использовании одного коммутатора для создания VLAN, порты группируются по принадлежности к различным виртуальным сетям. (рис. 4.20).
Рис. 4.20. Виртуальные сети, построенные на одном коммутаторе
При этом каждый порт приписывается той или иной виртуальной сети. Кадр, пришедший от порта, принадлежащего, например, виртуальной сети 1, никогда не будет передан порту, который не принадлежит этой виртуальной сети. Порт можно приписать нескольким виртуальным сетям, хотя на практике так делают редко - пропадает эффект полной изоляции сетей.
Группировка портов для одного коммутатора - наиболее логичный способ образования VLAN, так как виртуальных сетей, построенных на основе одного коммутатора, не может быть больше, чем портов.
Если к одному порту подключен сегмент, построенный на основе повторителя, то узлы такого сегмента не имеет смысла включать в разные виртуальные сети - все равно трафик этих узлов будет общим.
Создание виртуальных сетей на основе группирования портов не требует от администратора большого объема ручной работы - достаточно каждый порт приписать к одной из нескольких заранее поименованных виртуальных сетей. Обычно такая операция выполняется с помощью специальной программы, прилагаемой к коммутатору. Администратор создает виртуальные сети путем перетаскивания мышью графических символов портов на графические символы сетей.
Другой способ образования виртуальных сетей основан на группировании МАС - адресов. Каждый МАС - адрес, который изучен коммутатором, приписывается той или иной виртуальной сети. При существовании в сети множества узлов этот способ требует выполнения большого количества ручных операций от администратора. Однако он оказывается более гибким при построении виртуальных сетей на основе нескольких коммутаторов, чем способ группирования портов.
Описанные два подхода основаны только на добавлении дополнительной информации к адресным таблицам моста, и в них отсутствует возможность встраивания информации о принадлежности кадра к виртуальной сети в передаваемый кадр.
Остальные подходы используют имеющиеся или дополнительные поля кадра для сохранения информации и принадлежности кадра при его перемещениях между коммутаторами сети.
При этом нет необходимости запоминать в каждом коммутаторе принадлежность всех МАС - адресов интерсети виртуальным сетям.
Дополнительное поле с пометкой о номере виртуальной сети используется только тогда, когда кадр передается от коммутатора к коммутатору, а при передаче кадра конечному узлу оно удаляется. При этом модифицируется протокол взаимодействия «коммутатор - коммутатор», а программное и аппаратное обеспечение конечных узлов остается неизменным. Примеров таких фирменных протоколов много, но общий недостаток у них один - они не поддерживаются другими производителями.