LES VLANS RAPPORT DE : Ingrid Dhoneure BOUITY MASTER1 EC2LT Contexte : Nous avons un réseau local qu on doit découper en plusieurs LAN virtuel : VLAN et permettre à ces derniers de pouvoir communiquer grâce au routage inter-vlan Problématique : Difficulté dans un réseau de pouvoir gérer plusieurs équipements se trouvant Objectif : dans des zones géographiques différents. Difficulté de gérer les utilisateurs ayant les mêmes droits et se trouvant dans des zones géographiques différents Comment faire communiquer deux vlan différents Comment faire pour identifier une trame qui se trouve dans un vlan Comprendre c est quoi un vlan Faire la différence entre domaine de diffusion et domaine de collision Comprendre le fonctionnement d un hub et d un switch Pouvoir gérer le réseau local en créant des réseaux virtuels Pouvoir faire communiquer plusieurs réseaux vlan Identifier une trame qui se trouve dans un vlan Outils et méthodes de travail : GNS3 ou routeur et switch physique Wireschark pour analyser les trames Putty : logiciel de connexion (pour les équipements cisco physiques) Présentations des résultats et commentaires : Capture d écran des configurations et commentaires
1. Introduction Aujourd hui une entreprise peut occuper tout un immeuble et avoirs plusieurs secteurs répartis dans chaque niveau de l immeuble utilisant les mêmes réssources. On peut retrouver par exemple le service comptabilité au premier niveau, au troisième niveau et au dernier niveau de l immeuble. Etant dans le même réseau bien sûr ses activités sont dispersées, pour pallier à cela il y a naissance des Vlan pour faciliter le travail de l administrateur. En premier lieu nous allons voir quelques définitions des différents éléments qui feront l objet de ce document. 2. Définitions et rôles a. Domaines de diffusion : C est la zone logique d un réseau informatique composée de tous les ordinateurs et les équipements de communication qui peuvent être contactés en envoyant une trame à l'adresse de diffusion de la couche liaison. Les vlan permettent de séparer virtuellement un commutateur en plusieurs domaines de diffusion b. Domaines de collision : Un domaine de collision est une zone logique d'un réseau informatique où les paquets de données peuvent entrer en collision entre eux, dans un réseau Ethernet. Un commutateur ou un routeur crée des domaines de collisions par ports. Finalement un domaine de diffusion contient des domaines de collision. c. Requête ARP : C est un protocole qui permet de connaître l adresse MAC d un hôte à partir de son adresse IP. d. Vlan : Un Vlan est un réseau local virtuel, c est un réseau logique de niveau 2. Il permet de créer des domaines de diffusion gérés par les commutateurs indépendamment de l emplacement où se situent les nœuds, de se connecter avec un matériel adapté à un groupe logique de stations se trouvant au même endroit ou dans des zones géographiquement éloignées et aussi de regrouper les utilisateurs qui ont besoins d accéder au même réssources. e. Commutateur : un commutateur est un équipement qui ne diffuse pas les trames. Il met en relation les seuls postes concernés par l échange, avant de réémettre les trames le commutateur vérifie que si le support de communication est libre, il évite aussi les collisions contrairement à un
concentrateur. f. Hub : reçoit l information et le diffuse à tous ces ports g. Switch : C'est un équipement qui est capable d'apprendre et de retenir les adresses MAC qui se présentent sur chacun de ses ports. Hormis les trames de diffusion qui seront systématiquement répercutées sur tous les ports, il ne laissera communiquer entre eux que les ports concernés par un dialogue entre deux nœuds. C'est sa fonction principale de pont Ethernet. 3. Types de VLAN : Il existe quatre types de VLAN : Les Vlan par port (Vlan de niveau 1) : On affecte chaque port des commutateurs à un VLAN. L appartenance d une trame à un VLAN est alors déterminée par la connexion de la carte réseau à un port du commutateur. Les ports sont donc affectés statiquement à un VLAN. Si on déplace physiquement une station il faut désaffecter son port du Vlan puis affecter le nouveau port de connexion de la station au bon Vlan. Si on déplace logiquement une station (on veut la changer de Vlan) il faut modifier l affectation du port au Vlan. Les Vlan par adresse MAC (Vlan de niveau 2) : On affecte chaque adresse MAC à un VLAN. L appartenance d une trame à un VLAN est déterminée par son adresse MAC. En fait il s agit, à partir de l association Mac/VLAN, d affecter dynamiquement les ports des commutateurs à chacun des VLAN en fonction de l adresse MAC de l hôte qui émet sur ce port. L'intérêt principal de ce type de VLAN est l'indépendance vis-à-vis de la localisation géographique. Si une station est déplacée sur le réseau physique, son adresse physique ne changeant pas, elle continue d appartenir au même VLAN (ce fonctionnement est bien adapté à l'utilisation de machines portables).si on veut changer de Vlan il faut modifier l association Mac / Vlan. Les Vlan par adresse de Niveau 3 (VLAN de niveau 3) : On affecte une adresse de niveau 3 à un VLAN. L appartenance d une trame à un VLAN est alors déterminée par l adresse de niveau 3 ou supérieur qu elle contient (le commutateur doit donc accéder à ces informations).en fait, il s agit à partir de l association adresse niveau 3/VLAN d affecter dynamiquement les ports des commutateurs à chacun des VLAN. Dans ce type de VLAN, les commutateurs apprennent automatiquement la configuration des VLAN en accédant aux informations de couche 3. Ceci est un fonctionnement moins rapide que le Vlan de niveau 2. Les vlan par protocole de niveau 3
Les VLAN se font de deux manières : Attribution statique (niveau 1) C'est la méthode la plus simple et aussi la moins souple, qui consiste à attribuer un port du SWITCH à un VLAN donné, en configurant statiquement le SWITCH. Attribution dynamique (niveaux > 1) C est la méthode qui fait appel à 802.1x et à un procédé d'authentification(serveur d authentification RADIUS). Il faut disposer d un switch capable d envoyer à un serveur d authentification l adresse MAC de la station connectée à un port, en guise de "login/password". Si l'adresse MAC est connue (Authentification réussie), le serveur pourra envoyer au SWITCH le numéro du VLAN attaché à la station. Cette méthode est plus souple, puisqu'une station donnée pourra se connecter sur n'importe quel port, elle se retrouvera toujours sur le VLAN qui lui convient. a. Fonctionnement des ports : Il existe trois modes d accès au port : Mode d accès Mode trunk (étiquetage de trame) Mode dynamic ou automatique b. Rôle du vlan : Il permet : L Efficacité du réseau L Efficience La Meilleur gestion du réseau et des équipements L Augmentation de la sécurité La meilleure gérance de la communication 4. Commande : Un switch dispose d un vlan par défaut c est le VLAN 1 appelé VLAN NATIVE et il contient tous les ports par défaut a. Création de vlan : Pour créer un vlan : Switch#vlan database Switch(config)#vlan id_vlan name nom_vlan Switch#conf t Switch(config)#vlan id_vlan Switch(config-vlan)#name nom_vlan b. Attribution des ports: Switch#conf t
Switch(config)#interface fastethernet 0/5(par exemple)(pour l attribution de plusieurs ports à la fois saisir la commande:interface range fastethernet0/5-0/10 par exemple) Switch(config-if)#switchport mode access(pour le mode access) Switch(config-if)#switchport access id_vlan Switch(config-if)#no shutdown Pour rendre les ports transparents sur les switchs: mode trunk Faire : Switch#conf t Switch (config)#interface gigabitethernet 1/0/1(par exemple) Switch(config-if)#switchport mode trunk Switch(config-if)#no shutdown Pour un routage inter-vlan: Sur un routeur faire: Activer d abord l interface du routeur Routeur#conf t Routeur(config)#interface fastethernet 0/0(par exemple) Routeur(config-if)#no shutdown Faire l encapsulation: Routeur#conf t Routeur(config)#interface fastethernet 0/0.id_vlan Routeur(config-subif)#encapsulation dot1q id_vlan Routeur(config-subif)#ip address 192.168.0.254 255.255.255.0 Routeur(config-subif)#no shutdown Routeur(config-subif)#end Routeur#copy running-config startup-config Mettre les passerelles sur chacune des machines connectées au vlan c. Implémentation : Nous disposons d un switch ayant trois vlan et d un routeur pour faire le routage inter-vlan. Ici nous utiliserons trois routeurs 3700 qu on transformera en machine Un routeur 3700 qu on transformera en switch avec 16ports fastethernet propre au switch Un routeur 3700 pour le routage
d. Configuration : On commencera par créer les différents vlan au niveau du switch: Vlan 10 nommé etudiant Vlan 20 nommé prof Vlan 30 nommé admin Faire : Switch#show vlan-switch brief (pour voir les vlan crées)
Nous remarquons bien que les trois vlan sont bel et bien crées et le valn 1 par defaut contient tous les ports du fastethernet 1/0 au fastethernet 1/15 Attribution des ports aux différents vlan crées : Vlan 10 :
Vlan 20 : Vlan 30 : L attribution des autres ports aux différents vlan se feront de la même manière : On a aussi attribué les ports : Fa1/1-fa1/5 pour le vlan 10 Fa1/6-fa1/10 pour le vlan 20 Fa1/11-fa1/14 pour le vlan 30 Nous allons maintenant attribuer les adresses au différentes machines pour voir si les machines du même vlan peuvent communiquer :
Pour le Vlan 10 :192.168.10.1 Vérification : Pour le Vlan 20 : 192.168.20.6 Vérification :
Pour le Vlan 30 : Vérification : Nous avons connecté au vlan 10 un ordinateur ensuite nous allons faire un ping pour voir s ils peuvent communiquer :
Vérification : Ping du 192.168.10.1 au 192.168.10.2 du même vlan : Nous constatons que le Vlan passe pas, parce que les deux ordinateurs se trouvent dans le même vlan. Alors que le pc du vlan 10 ne peut faire un ping au pc du vlan 2à,et là on fait le routage intervlan Nous allons alors faire un routage inter-vlan pour faire communiquer les deux vlan :
Premièrement nous allons activer le port fa1/15 : Ensuite nous allons rendre transparent le lien, en activant le mode trunk au port fa1/15 Vérification :
On constate que le port fa1/15 n apparait plus sur la liste ce qui prouve qu il ya bel et bien l activation du mode trunk sur le port fa1/15. e. Configuration du routeur : Activation du port d abord : Faire l encapsulpation dot1q au vlan10 et l attibution d adresse au port fa0/0.10 du routeur :
Encapsulation dot1q au vlan 20 et l attribution d adresse au port fa0/0.20 du routeur : Encapsulation dot1q au vlan 30 et attribution d adresse au port fa0/0.30 du routeur : Vérification des adresses attribuées : Fa0/0.10
Fa0/0.20 Fa0/0.30 Nous voyons bel et bien que les adresses sont bien configurées et l encapsulation aussi. Faisons alors un ping : Du pc 192.168.10.2 au pc 192.168.10.1 : Nous constatons que les vlan 10, 20, et 30 ne communiquent pas. nous allons déclarer les routes : la passerelle faire ip route au niveau des machines :
vlan10#conf t vlan10(config)#int fa0/0 vlan10(config-if)#ip route 0.0.0.0 0.0.0.0 192.168.10.254 vlan10(config-if)#no shutdown vlan20#conf t vlan20(config)#int fa0/0 vlan20(config-if)#ip route 0.0.0.0 0.0.0.0 192.168.20.254 vlan20(config-if)#no shutdown vlan30#conf t vlan30(config)#int fa0/0 vlan30(config-if)#ip route 0.0.0.0 0.0.0.0 192.168.30.254 vlan30(config-if)#no shutdown ping du vlan10 au vlan20 : Ping du vlan10 au vlan30 : Ping du vlan 20 au vlan 10 : Ping du vlan 20 au vlan 30 :
Ping du vlan30 au vlan10 : Ping du vlan30 au vlan20 : Nous constatons que tous les ping marchent maintenant et que tous les vlan peuvent communiquer. Vérification des trames avec wirshark : Ping du vlan10 au vlan20 : La capture au niveau du lien trunk : On constate ceci :
Ici on voit les adresses mac du pc source et destination Source : C2 :03 :03 :74 :F1 :0F Destination : 01 :00 :0C :CC :CC :CD On voit aussi que le trunk a été configuré : Type : 802.1Q virtual lan(0x8100) Ensuite Faisons la capture au niveau du lien entre le pc : Source : 01 :80 :C2 :00 :00 :00 Destination :C2 :09 :13 :D4 :F1 :01 Type :0x802 5. Conclusion : En créant les vlan, le réseau sera mieux structuré, mieux géré et on pourra faire des accesslist par groupe.