Les réseaux virtuels VLAN

Transcription

1 Les réseaux virtuels VLAN Les VLAN autorisent, sur un même réseau physique, la réalisation de plusieurs réseaux logiques indépendant les uns des autres. La communication n est autorisée qu entre machines d un même VLAN. Les communications inter VLAN ne sont rendues possibles que par routage. En définissant des domaines de diffusion (broadcast) indépendamment de la situation géographique des systèmes, les VLAN autorisent une répartition et un partage optimal des ressources du réseau. Ils introduisent la notion de segmentation virtuelle, qui permet de constituer des sous-réseaux logiques. Chaque VLAN défini est ainsi à la fois un domaine de collision (technologie Ethernet), un domaine de broadcast (domaine de diffusion), un domaine de multicast (liaison logique point à multipoint) et un domaine d unicast (liaison logique point à point). Ainsi, un broadcast émis par une station n est diffusé que vers les stations appartenant au même VLAN. La création d'un VLAN peut se propager entre commutateurs et routeurs, s'ils font partie du même domaine VTP (Vlan Trunking Protocol). Les matériels peuvent être configurés dans l'état de serveur VTP, client VTP ou transparent VTP. Les différents niveaux de VLAN : On distingue les différents niveaux de réseaux virtuels suivants : Les VLAN de niveau 1 ou VLAN par port, ces VLAN regroupent des stations connectées à un même port du commutateur auquel est attribué un VLAN spécifique. C est le mode le plus sécurisé, un utilisateur ne peut changer sa machine de VLAN. Les VLAN de niveau 2 ou VLAN MAC, ces VLAN associent les stations dynamiquement par leur adresse MAC. De ce fait, deux stations raccordées à un même port peuvent appartenir à deux VLAN différents. est archivée dans un serveur VMPS (Vlan Managment Policy Server). Le rôle de serveur VMPS peut-être tenu Les VLANs Page 1

2 par un matériel (commutateur ou routeur) ou par une couche logicielle spécifique telle que OpenVMPS. Tous les matériels Cisco ne sont pas capables d'assurer la fonction de serveur VMPS. Les VLAN de niveau 3 ou VLAN d adresses réseaux, ces VLAN sont constitués de stations définies dynamiquement par leur adresse réseau (plage d adresses) ou par le protocole réseau employé (IP, IPX...) ou encore par le port utilisé. L identification des VLAN (802.1Q) : Lorsqu un réseau comporte plusieurs commutateurs, chaque commutateur doit pouvoir localiser toutes les machines (table d acheminement) et connaître le VLAN d appartenance de la source et du destinataire (filtrage de trafic). Lorsque le réseau est important les tables peuvent devenir très grandes et pénaliser les performances. Il est plus efficace d étiqueter les trames (les tagger). Le tag identifie le VLAN de la station source, le commutateur n a plus alors qu à connaître les VLAN d appartenance des stations qui lui sont raccordées. La norme IEEE 802.lq définit l étiquetage des trames. Etiquetage d'une trame Ethernet : Les différents champs du tag 802.1q ont la signification suivante : - la priorité du vlan, gérée par certains commutateurs de dernière génération, - CFI (Canonical Format Identifier) : à 0 et non utilisé par les réseaux ; est utilisé par les réseaux Token-ring pour signaler que les données du champ routage sont au format non canonique), - VID : VLAN identifier, correspond au numéro de VLAN (2 à 4095). VLAN 1 = natif, non taggé. La norme IEEE 802.ls définit un processus STP par VLAN, soit la possibilité dans des structures redondantes d'avoir des commutateurs racine différents selon les Vlans. VLAN par défaut, VLAN 1 ou VLAN natif Par défaut, le VLAN 1 est celui qui assigné à tous les ports d'un commutateur tant qu'ils n'ont pas été configurés autrement. Ce VLAN n'est pas taggé et permet la compatibilité avec les matériels non 802.1q. Il est obligatoire et ne peut être supprimé car c'est lui qui est Les VLANs Page 2

3 utilisé par les protocoles de "management" de couche 2 tels que VTP, CDP (Cisco Discovery Protocol) et VMPS. VLAN de management Il s'agit d'un VLAN spécifique attribué au commutateur pour qu'il devienne accessible via une adresse IP (ICMP, Telnet, SNMP, HTTP), ce peut être le VLAN 1. Qu'il existe ou non une interface physique appartenant au VLAN de management désigné, on joindra le commutateur par IP via une interface virtuelle de type VLANx. Tous les ports "access" associés à ce VLANx répondent pour l'interface virtuelle VLANx. Le protocole 802.1q par la pratique - Création d'un domaine VTP vlan database (vlan)#vtp server (vlan)#vtp domain ramses.ii (vlan)#vtp password nefertari (vlan)#vtp pruning (vlan)#exit - Visualisation de l'état du VTP show vtp VTP version: 1 Configuration revision: 4 Maximum VLANs supported locally: 1005 Number of existing VLANs: 6 VTP domain name : ramses.ii VTP password : VTP operating mode : server VTP pruning mode : Enabled VTP traps generation : Disabled Configuration last modified by: at :00:00 - Ajouter un VLAN vlan database (vlan)# vlan 20 (vlan)# name VLAN_ADMIN Les VLANs Page 3

4 - Assigner le port 0/1 du commutateur au VLAN 20 switch#interface fastethernet 0/1 switch(config-if)#switchport access vlan 20 - Assigner le port 0/2 du commutateur au mode "trunk" switch#interface fastethernet 0/2 switch(config-if)#switchport mode trunk - Vérification des associations interfaces-vlans show vlan brief VLAN Name Status Ports default active Fa0/4, Fa0/5, Fa0/6, Fa0/7, Fa0/8, Fa0/9, Fa0/10, Fa0/11, Fa0/12, Fa0/13, Fa0/14, Fa0/15, Fa0/16, Fa0/17, Fa0/18, Fa0/19, Fa0/20, Fa0/21 5 VLAN5 active Fa0/3 9 VLAN9 active Fa0/22, Fa0/ fddi-default active 1003 token-ring-default active 1004 fddinet-default active 1005 trnet-default active Quelques commandes de base pour la configuration générale des commutateurs : - Configuration de l'adresse IP (config)#interface vlan 1 (config-if)#ip address Configuration de la passerelle par défaut switch(config)#ip default-gateway Les VLANs Page 4

5 - Affichage de l'adresse IP show interface vlan 1 Vlan1 is up, line protocol is up Hardware is Cat5k Virtual Ethernet, address is 0010.f6a (bia 0010.f6a9.9800) Internet address is /24 Broadcast address is Charger une configuration dans la NVRAM copy tftp: startup-config - Sauvegarder la configuration courante dans la NVRAM copy running-config startup-config - Effacer la NVRAM erase startup-config setup - Réinitialiser le commutateur (première configuration de base) Les VLANs Page 5