सिस्को पर निजी वीएलएएन को कॉन्फ़िगर करना

इस आलेख में, हम इस तरह की एक दिलचस्प तकनीक पर विचार करेंगे, मेरी राय में, सिद्धांत और व्यवहार में निजी वीएलएएन ।

सबसे पहले, आइए याद करें कि वीएलएएन क्या हैं। वीएलएएन - एक अलग सबनेट, एक अलग प्रसारण डोमेन, का उपयोग तार्किक नेटवर्क विभाजन, प्रसारण डोमेन के प्रतिबंध, सुरक्षा, आदि के लिए किया जाता है।

आमतौर पर नेटवर्क को वीएलएएन में विभाजित किया जाता है, फिर एक राउटर-ऑन-द-स्टिक या मल्टीलेवल स्विच (स्तर 3 के किसी भी उपकरण) का उपयोग करके, रूटिंग को सक्षम किया जाता है (सभी ट्रैफ़िक की अनुमति है), और फिर, एक्सेस कंट्रोल सूचियों का उपयोग करते हुए, यह किसके साथ और किसके द्वारा पंजीकृत किया गया है प्रोटोकॉल को "संवाद" करने की अनुमति है (या आपके संगठन की सुरक्षा नीति की आवश्यकताओं के आधार पर ट्रैफ़िक नियंत्रण लागू किया जाता है, जैसा कि सिस्को ट्यूटोरियल में लिखा जाएगा)।

लेकिन क्या करना है, उदाहरण के लिए, नेटवर्क पहले से ही विभाजित, खंडित है, लेकिन सर्वर या होस्ट समूहों को एक दूसरे से अलग करने की आवश्यकता है?

सिस्को, अन्य विक्रेताओं की तरह, एक ही सबनेट पर स्थित मेजबानों के बीच यातायात अग्रेषण को सीमित करने या वीएलएएन के भीतर यातायात को नियंत्रित करने में मदद करने के लिए अतिरिक्त उपकरण हैं। इसके लिए, निजी वीएलएएन, वीएलएएन एक्सेस सूची और संरक्षित पोर्ट का सबसे अधिक उपयोग किया जाता है।

यह ध्यान दिया जाना चाहिए कि सिस्को पर निजी वीएलएएन को नेक्सस मॉडल, साथ ही 3560 और पुराने के बाद से कैटलिस्ट पर समर्थित है।

पहला उदाहरण।

युवा मॉडलों के स्विच में निजी वलान किनारे जैसी कोई चीज होती है। इसे बहुत सरल रूप से कॉन्फ़िगर किया गया है - इंटरफ़ेस कॉन्फ़िगरेशन मोड से, हम कमांड (config-if) #switchport संरक्षित करते हैं, परिणामस्वरूप, इन पोर्ट से जुड़े होस्ट्स को स्तर 2 से एक दूसरे से अलग किया जाएगा (यानी, वे भौतिक रूप से एक ही स्विच से जुड़े होंगे, हो एक ही सबनेट पर, लेकिन एक दूसरे को "नहीं" देखेंगे, जबकि अन्य सभी मेजबान "देखेंगे")। इस तंत्र की कमियों में से एक यह है कि इसमें स्विच के लिए एक स्थानीय मान है और यह पैमाने पर नहीं है। (यदि हम स्विच ए को कनेक्ट करते हैं और बी को एक ट्रंक के साथ जोड़ते हैं, उदाहरण के लिए, तो स्विच ए का संरक्षित पोर्ट स्विच के संरक्षित पोर्ट को "देख" सकता है। बी)।

आइए हम निजी वीएलएएन पर अधिक विस्तार से ध्यान दें। लेख का मुख्य लक्ष्य आपको यह बताना है कि निजी वीएलएएन को कैसे कॉन्फ़िगर करें, शब्दावली को समझें, और यह भी एक सामान्य विचार प्राप्त करें कि उन्हें कहां उपयोग करना है।

दूसरा उदाहरण।

पहले उदाहरण में, नेटवर्क पहले से ही वीएलएएन में विभाजित है, लेकिन अचानक मेजबान अलगाव की आवश्यकता थी, मुझे क्या करना चाहिए? आप कहेंगे कि सब कुछ बहुत सरल है: हम उन होस्ट को हटा देते हैं जिन्हें अलग-अलग वीएलएएन में अलग-थलग करने की आवश्यकता होती है, रूटिंग को सक्षम करने और एक्सेस कंट्रोल सूचियों का उपयोग उन्हें एक-दूसरे से अलग करने के लिए किया जाता है। ऐसा करने के लिए, बस कुछ और सबनेट बनाएं और बस। लेकिन, अचानक आप एक ऐसे संगठन में काम करते हैं, जहां आईपी एड्रेसिंग का बहुत सख्त पदानुक्रम है और सिर्फ एक और निजी सबनेट प्राप्त करना इतना आसान नहीं है या आपके पास मुफ्त वीएलएएन नहीं है?

कैटलन स्विट्स के लिए वीएलएएन सपोर्ट मैट्रिक्स
स्विच का प्रकार	अधिकतम संख्या वीएलएएन का	वीएलएएन आईडी रेंज
उत्प्रेरक 2940	4	1-1005
उत्प्रेरक 2960/2955	250	1-4094।
उत्प्रेरक 2960	255	1-4094।
उत्प्रेरक 2970/2550/3560/3750	1005	1-4094।
उत्प्रेरक 2848G / 2980G / 4000/4500	4094	1-4094।
उत्प्रेरक 6500	4094	1-4094।

अंजीर। - DMZ में सर्वर अलगाव।

तीसरा उदाहरण।

आप एक प्रदाता के रूप में काम करते हैं और बड़ी संख्या में ग्राहकों के लिए वेब होस्टिंग सेवाएं प्रदान करते हैं, आप एक ही नेटवर्क पर वेब सर्वर डालते हैं, और यह पता चलता है कि कोई अलगाव नहीं है, वे सभी एक दूसरे के प्रसारणों को "सुन" सकते हैं, अर्थात फ़ायरवॉल के माध्यम से फ़िल्टरिंग के बिना यातायात संचारित करें। यदि कोई हैकर सर्वर में से किसी एक को प्राप्त कर सकता है, तो वह सभी सर्वरों पर हमला कर सकता है, पूरे सर्वर फार्म को "डाल" सकता है। और, ज़ाहिर है, ग्राहक अपने सर्वर को एक-दूसरे से अलग करना चाहते हैं। PVLAN विशेष रूप से उन प्रदाताओं के लिए प्रासंगिक है जो क्लाइंट पृथक्करण के लिए एक प्रकार की सेवा के रूप में परत 2 कनेक्शन प्रदान करते हैं। क्लाइंट, निश्चित रूप से, क्लाइंट बी में जाने के लिए उसका प्रसारण नहीं चाहता है। आप समझते हैं कि किस तरह का सुरक्षा छेद यहां खुल रहा है। एक नया वीएलएएन जोड़कर इस स्थिति से बाहर निकलने का पारंपरिक तरीका यहां उपयुक्त नहीं है (विधि प्रति ग्राहक एक वीएलएएन है), हम अधिकतम वीएलएएन 4094 माइनस आरक्षित लोगों के लिए स्केलेबिलिटी पर भरोसा करते हैं। दूसरी समस्या, क्योंकि वीएलएएन एक अलग सबनेट है, आपको सबनेटिंग से निपटने की आवश्यकता है और यह प्रत्येक सबनेट (सबनेट और ब्रॉडकास्ट) में 2 और पते जोड़ने के लिए एक दया है, क्योंकि ये "सफेद" पते हैं :)।

इन स्थितियों में, निजी वीएलएएन बचाव के लिए आते हैं।

थोड़ी शब्दावली। निजी वीएलएएन में विभाजित हैं:

• प्राथमिक - प्राथमिक, मुख्य वीएलएएन
• माध्यमिक - माध्यमिक वीएलएएन (अलग-अलग और समुदाय के 2 प्रकार हैं), उन सभी को प्राथमिक वीएलएएन से संबंधित होना चाहिए

पोर्ट में विभाजित हैं:

• प्रमुख - यह बंदरगाह "सब कुछ" देखता है और यह "देखता है" सभी को, मुख्य और सभी माध्यमिक वीएलएएन से बंधा होना चाहिए।
• निजी vlan होस्ट निम्न में से हो सकता है:
• • पृथक वीएलएएन- "देखता है" केवल एक आश्रित बंदरगाह है, इसके पृथक वलान में भी अन्य बंदरगाहों को "नहीं" देखता है। इसके पृथक वीएलएएन और प्राथमिक वीएलएएन से बंधा होना चाहिए
  • कम्युनिटी वीएलएएन- दिए गए कम्युनिटी वीलन में केवल पोर्ट्स को देखता है, जो कि उसका है और प्रोमिसियस पोर्ट है। अपने समुदाय वीएलएएन और प्राथमिक वीएलएएन से बंधा होना चाहिए।

सामान्य नियम

केवल एक पृथक वलान एक होनहार बंदरगाह के लिए बाध्य किया जा सकता है। यदि आप कई अलग-थलग vlan चाहते हैं, तो प्रत्येक vlan के साथ एक अलग प्रोमिसल पोर्ट अवश्य जुड़ा होना चाहिए।

आमतौर पर केवल एक अलग वलान बनाया जाता है, चाहे कितने भी मेजबान हों, वे एक दूसरे को वैसे भी नहीं देखेंगे।

अलग-अलग वीएलएएन के विपरीत, कई समुदाय वीएलएएन को एक सुविधाजनक बंदरगाह पर मैप किया जा सकता है।

निम्नलिखित टोपोलॉजी पर विचार करें:

- सभी डिवाइस एक ही 10.0.0.0/24 वीएलएएन 10 सबनेट पर हैं।
- आर 4 और आर 5 को एक दूसरे से अलग किया जाना चाहिए और आर 2, आर 3 - यानी। केवल राउटर इंटरफ़ेस तक पहुंच होनी चाहिए।
- आर 2 और आर 3 को आर 4, आर 5 से अलग किया जाना चाहिए, लेकिन एक-दूसरे और राउटर को देखें।



सबसे पहले, 2 मामूली वीएलएएन, 101 समुदाय वीएलएएन और 102 पृथक वीएलएएन बनाएं। हम वीएलएएन 10 को मुख्य बनायेंगे और सेकेंडरी वालों को इसमें बाँधेंगे (कमांड इनपुट का क्रम मायने नहीं रखता)।

SW1 (config)# vlan 101 private-vlan community ! vlan 102 private-vlan isolated ! vlan 10 private-vlan primary private-vlan association 101-102 

की जाँच करें:

 SW1#sh vlan private-vlan Primary Secondary Type Ports _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ 10 101 community 10 102 isolated 

अगला, हमें वीएलएएन के साथ बंदरगाहों को जोड़ना होगा।

इंटरफ़ेस कॉन्फ़िगरेशन मोड से, हम पहले इसे निजी वलान होस्ट बनाते हैं (हम यह बताते हैं कि यह एक असामान्य पोर्ट है), दूसरी कमांड के साथ हम इसे अलग और प्राथमिक वीएलएएन से बाँधते हैं।

 interface FastEthernet1/0/11 description SW1 <-> R2 switchport private-vlan host-association 10 101 switchport mode private-vlan host spanning-tree portfast end 

सादृश्य द्वारा, हम इंटरफ़ेस fa1 / 0/4 सेट करते हैं

 interface FastEthernet1/0/4 description SW1 <-> R3 switchport private-vlan host-association 10 101 switchport mode private-vlan host spanning-tree portfast end 

हम एक ही चीज़ को fa1 / 0/9 पर लिखते हैं - पहले हम उसे बताते हैं कि वह एक निजी व्लान होस्ट है और इसलिए कि वह समझता है कि वह सामुदायिक व्लान 102 से संबंधित है, हम इसे बांधते हैं, और इसे मुख्य रूप से बांधना भी नहीं भूलते हैं। VLANu।

 interface FastEthernet2/0/2 description SW1 <-> R6 switchport private-vlan mapping 10 101-102 switchport mode private-vlan promiscuous 

इसी तरह fa1 / 0/9 को कॉन्फ़िगर करें

 interface FastEthernet2/0/11 description SW1 <-> R5 switchport private-vlan host-association 10 102 switchport mode private-vlan host spanning-tree portfast 

Fa2 / 0/2 इंटरफ़ेस, क्योंकि हम चाहते हैं कि सभी मेजबान इसे "देखें" और "देखें" हर कोई, मोड को सुविधाजनक और एक नियम के रूप में सेट करें, इसे मुख्य और सभी माध्यमिक वीएलएएन से टाई करें।

 interface FastEthernet2/0/2 description SW1 <-> R6 switchport private-vlan mapping 10 101-102 switchport mode private-vlan promiscuous 

पोर्ट एसोसिएशन की जाँच:

 SW1#sh vlan private-vlan Primary Secondary Type Ports _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ 10 101 community Fa1/0/4, Fa1/0/11, Fa2/0/2 10 102 isolated Fa1/0/9, Fa2/0/2, Fa2/0/11 

अगला चरण वैकल्पिक है, हम उस पृथक और सामुदायिक होस्ट को सत्यापित करने के लिए एक L3 SVI बनाते हैं और इसे "पोर्ट" भी देख सकते हैं।

 SW#sh run int vlan 10 | beg int interface Vlan10 ip address 10.0.0.1 255.255.255.0 private-vlan mapping 101-102 end SW#sh int vlan 10 private-vlan mapping Interface Secondary VLANs _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ vlan 10 101,102 SW1# 

और अब मजेदार हिस्सा यह है कि यह सब कैसे काम करता है ।

चलो स्विच पर मैक एड्रेस टेबल को देखते हैं, यह असामान्य दिखता है। यह पता चलता है कि मेजबान मैक जिन बंदरगाहों से प्राप्त किया गया था, वे एक साथ प्राथमिक और माध्यमिक वीएलएएन से जुड़े हैं!

अलग-अलग vlan 102 में R4 और R5 होस्ट राउटर इंटरफ़ेस के अलावा कुछ भी क्यों नहीं देख सकते हैं? ध्यान दें कि अलग-अलग वलान स्विच के 102 के भीतर इन मेजबानों के मैक पते को BLOCKED के रूप में चिह्नित किया गया है, जबकि vlan 102 के भीतर राउटर के प्रांतीय इंटरफ़ेस का मैक पता सामान्य डायनामिक के समान है।

अब देखते हैं कि रूटर का इंटरफ़ेस, सभी इंटरफेस के साथ "संचार" के रूप में चिह्नित क्यों किया जा सकता है, तथ्य यह है कि यह उन्हें प्राथमिक वीएलएएन 10 (मैक एड्रेस टेबल में पहली 5 लाइनें) के माध्यम से देख सकता है।

  SW#sh arp Protocol Address Age (min) Hardware Addr Type Interface Internet 10.0.0.2 8 0014.a925.72a0 ARPA Vlan10 pv 101 Internet 10.0.0.3 5 0014.a925.4cd8 ARPA Vlan10 pv 101 Internet 10.0.0.1 - 0014.a98c.87c1 ARPA Vlan10 Internet 10.0.0.6 70 0014.a909.78d1 ARPA Vlan10 Internet 10.0.0.4 4 0014.a909.7870 ARPA Vlan10 pv 102 Internet 10.0.0.5 4 0014.a925.6460 ARPA Vlan10 pv 102 SW#sh mac-address-table Mac Address Table _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ Vlan Mac Address Type Ports _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ All 0100.0ccc.cccc STATIC CPU .... 10 0014.a909.7870 DYNAMIC pv Fa1/0/9 10 0014.a909.78d1 DYNAMIC Fa2/0/2 10 0014.a925.4cd8 DYNAMIC pv Fa1/0/4 10 0014.a925.6460 DYNAMIC pv Fa2/0/11 10 0014.a925.72a0 DYNAMIC pv Fa1/0/11 101 0014.a909.78d1 DYNAMIC pv Fa2/0/2 101 0014.a925.4cd8 DYNAMIC Fa1/0/4 101 0014.a925.72a0 DYNAMIC Fa1/0/11 102 0014.a909.7870 BLOCKED Fa1/0/9 102 0014.a909.78d1 DYNAMIC pv Fa2/0/2 102 0014.a925.6460 BLOCKED Fa2/0/11 SW1# 

अगले लेख में, हम निजी वीएलएएन की मापनीयता की सूक्ष्मता पर विचार करेंगे, दोनों इस तकनीक का समर्थन करने वाले स्विच के बीच, और साधारण स्विच के माध्यम से / जो कि निजी वीएलएएन (नहीं, फ्रेम के दोहरे टैगिंग नहीं है) और "विशेष" चड्डी के प्रकार के रूप में भी नहीं जानते हैं। ।