Vortrag VLANs

[Blueshark]

Hallo,

ich bin Azubi zum FISI und mein Ausbilder hat mir die Aufgabe gegeben einen Vortrag zum Thema VLAN auszuarbeiten und zu erklären, wie das in der Firma hier gelöst wurde.

Ich habe meine Ausarbeitung soweit fertig, bin aber an einigen Stellen unsicher ob die Informationen - die meistgehend aus dem Internet stammen - so auch korrekt sind/ korrekt von mir interpretiert werden.

1. Daraus resultiert ein recht magerer Vortrag (Was ist VLAN - Artne(statisch,dynamisch) - Vergleich der Arten, Vorteile/Nachteile VLAN - Nutzung in der Firma) - ich weiß leider nicht ob ich damit 10 Minuten füllen kann, weil allein die Frage was VLAN ist doch recht kurz beschrieben werden kann. Gäbe es da weitere Informationen, Themen die man aufgreifen könnte?

2. Gibt es "Nachteile" im VLAN Betrieb, die man in einem LAN Betrieb nicht hat ? Der Einzige der mir da eingefallen ist ist, dass man evtl. neuere Switche benötigt die VLAN unterstützen und dadurch evtl. die gesamte Netzwerkinfrastruktur aufbohren müsste.

3. Es gibt portbasierte (statische) und paketbasierte (dynamische) Arten. Gerade auf Wikipedia (bitte nicht hauen) wird statisch und dynamisch auch in einem eigenen Abschnitt erklärt. Neben Portbasiert und Paketbasiert. Ist das doch etwas unterschiedliches?

Wäre cool, wenn mir da der Ein oder Andere mal helfen könnte. Hab ja soweit alles selber zusammengeschrieben etc. Geht nur um die Beantwortung der Fragen, damit ich ein besseres Verständnis dafür aufbringen kann.

Gruß

Blueshark

[Crash2001]

zu 1.)

Da ich nicht weiß, wie du es erklärst, kann ich da auch nichts dazu sagen, was noch dazugehören könnte.

zu 2.)

Klar gibt es auch Nachteile.

• Das Netz wird komplexer (z.B. durch Spanning Tree per vlan, Separierung von Netzen durch die vlans, mögliche weitere Fehlerquelle beim Debuggen, Inter-vlan-Routing notwendig statt "normalem" Routing, ...).
  
• Es wird mehr Rechenleistung benötigt (Switche/Router brauchen mehr Rechenleistung)
  
• Es ist etwas mehr Overhead nötig in den Paketen (durchs vlan-Tag) => weniger Nutzlast.
  
• ISL, VLT und dot1q sind miteinander inkompatibel - ich gehe mal davon aus, ihr nutzt dot1q, oder?
  
• ...

zu 3.) Portbasierte statische vlans sind die Ursprungsform. Dabei wird ein Port fest in ein vlan "verdrahtet".

Bei einem dynamischen Port hingegen wird z.B. anhand der MAC-Adresse (oder einer anderen Authentifizierungsmethode) entschieden, in welches vlan ein Port jeweils gehängt wird - abhängig davon, welcher Rechner verbunden ist.

"Paketbasierte vlans" bedeutet nur, dass die Ethernet-Pakete tagged sind (dot1q-Tag), also anhand des Paketes festgestellt werden kann, welchem vlan sie zugeordnet sind. Im Gegensatz dazu sind die portbasierten und nicht tagged vlans, bei denen anhand des Switchports erst beim eintritt eines Paketes in den Switch das dot1q-Tag gesetzt wird. Intern sind es dann ebenfalls paketbasierte vlans - nach außen hin sieht man jedoch nicht, dass vlans genutzt werden und die angeschlossenen Geräte sprechen auch kein dot1q.

[Blueshark]

Hallo, danke für die Antwort.

Naja, Erklärung allgemein ist, dass VLANs physische Netzwerke in mehrere virtuelle Teilnetze unterteilt - das wars quasi.

•ISL, VLT und dot1q sind miteinander inkompatibel - ich gehe mal davon aus, ihr nutzt dot1q, oder?

Weiß ich leider nicht ._.

Ich dachte eher das Netz wird einfacher, weil man nicht ein riesiges LAN hat sondern die Teilnetze evtl. bei Fehlersuchen teilweise ausklammern kann etc.

Wir haben Ports teilweise mit 2 VLANs belegt. Hab aber überall gelesen portbasierte VLANs können nur einen haben, sonst sind sie Trunks? Macht das Unterschiede?

[Crash2001]

Einerseits wird das Netz einfacher, da in jedem Teilnetz durch die Unterteilung in vlans meist nur noch weniger Clients sitzen. Da das Problem aber ja meist keine Broadcaststürme o.ä. sind, sondern eher andere Probleme, wird es eher schwieriger als einfacher. Dafür hat man jedoch beim debuggen auch mehr Möglichkeiten.

Beispiel:

Zwei Switche sind miteinander verbunden. Erste Frage hier wäre, per welchem Protokoll und ob als Trunk oder nicht.

Heutzutage wäre die logische Antwort darauf wohl, dass dot1q als Protokoll verwendet wird und das ganze per Trunk realisiert wird.

Nun kann es jedoch sein, dass die eine Seite falsch konfiguriert wird. Beispielsweise fest einem vlan zugeordnet und als portbasierter Access-Port statt als Trunk-Port konfiguriert wurde, so dass der Traffic aus dem native vlan nun auf der Gegenseite plötzlich in einem anderen vlan auftaucht und der Traffic in den anderen vlans nirgends auftaucht auf Switch 2.

Genauso kann es auch sein, dass auf dem Trunk von Switch 1 das native vlan auf vlan 1 gesetzt ist und auf Switch 2 hingegen auf vlan 500. Somit käme der Traffic, der bei Switch 1 in vlan 1 rumgeht dann auf dem anderen Switch in vlan 500 an.

Oder Beispiel Spanning Tree per vlan mittels MST. HIerbei wird eine Instanz für Spanning Tree pro vlan gemacht und somit muss man dann halt vlan-spezifisch debuggen und kann nicht mehr unbedingt eine globale Aussage treffen, wo Ports geblockt werden, sondern muss dies jeweils aufs vlans runterbrechen. Wo dann die root bridge dafür liegt kann anhand von Prioritäten des vlan interfaces eingestellt werden und bei jedem vlan unterschiedlich sein.

Zudem muss so pro Port natürlich auch mehr konfiguriert werden und somit besteht eine höhere Chance darauf, dass man Fehler macht bei der Konfiguration.

Bei portbasierten vlans gibt es jeweils 2 vlans, die man nutzen kann. Das erste ist das Data-vlan und das zweite das Voice-vlan. Ich denke man kann somit auch durchaus 1 Data vlan und 1 "missbrauchtes voice vlan als Data vlan" konfigurieren. Mehr Sinn würde dann jedoch ein trunk machen, bei dem man alle vlans nutezn kann, wenn er entsprechend konfiguriert ist.

Bearbeitet 24. Oktober 2012 von Crash2001

[Blueshark]

Nja, ich weiß halt dass einige Ports in VLAN 2 und 3 sind. Andere nur in 4 und so. Ist das dann portbasierend oder paketbasierend (tagged) weil es ja immernoch mehrere Möglichkeiten pro Port gibt...

[Crash2001]

Portbasiert ist es schon, da der Port einem vlan zugeordnet ist. Ob die portbasierte Zuordnung nun jedoch statisch oder dynamisch geschieht, ist die andere Frage.

Tagged vlans existieren afaik eigentlich nur auf Trunk-Links oder innerhalb des Switches. Man kann aber natürlich einen Trunk auch derart beschneiden, dass nur noch ein vlan erlaubt ist...

Wenn du beschreiben sollst, wie das bei euch in der Firma gelöst wurde, wäre es vielleicht hilfreich, wenn du dir mal die Config-Files geben lässt und diese zusammen mit einem Netzwerkler durchgehst, damit du es auch verstehst. Ist eigentlich recht simpel das ganze, wenn man es einmal gesehen hat.

[Blueshark]

Danke dir