VLAN - Virtual Local Area Network
Ivan De Marino
566/2145
566/2145
4 febbraio 2006
Una Virtual LAN, meglio conosciuta come VLAN, é una LAN realizzata logicamente: la sua struttura fisica non é quella di una normale rete di computer locale (in inglese, Local Area Network - LAN) ma una astrazione (realizzata in hardware o in software, vedremo poi bene come) che permette a computer, anche collocati in luoghi non vicini fisicamente, di comunicare come se fossero sulla stesso dominio di collisione.
Per parlare di VLAN é necessaria la conoscenza di cosa sia una LAN, dei problemi legati ai Domini di Collisione, del modo di funzionare del CSMA/CD: l’appendice A contiene documentazione sufficiente a tale scopo.
Una VLAN é una rete di computer che si comportano come se fossero connessi allo stesso cavo, malgrado essi siano connessi a diversi segmenti di LAN (quindi, su differenti Domini di Collisione (vedi A.2)). Il Network Administrator può configurare VLAN sia tramite software, sia tramite hardware, che le rende estremamente flessibili (vedi anche 1.5). Uno dei più grossi vantaggi delle VLAN emerge quando un computer viene fisicamente cambiato di locazione: esso rimane comunque collegato alla stessa VLAN senza alcuna riconfigurazione dell’hardware.
Il mondo delle VLAN é attualmente dominato dall’IEEE 802.1Q tagging protocol (vedi 2.1). Prima di esso esistevano già altri protocolli proprietari, come l’ISL di Cisco (Inter-Switch Link, una variante dell’IEEE 802.10) (vedi 2.2) e il VLT di 3Com (Virtual LAN Trunk). Attualmente si tende ad abbandonare i protocolli proprietari in favore dell’802.1Q.
Inizialmente i progettisti di rete configuravano le VLAN con lo scopo di ridurre le dimensioni del Dominio di Collisione in un ampio segmento Ethernet, aumentando di conseguenza le performance globali. Quando però gli Switch fecerò scomparire questo problema poiché, in pratica, il Dominio di Collisione era simulato e non più reale, l’attenzione fu rivolta a ridurre le dimenzioni del Dominio di Broadcast (vedi A.2.1) al livello MAC.
Le VLAN possono essere utili anche allo scopo di restringere l’accesso a delle risorse, senza bisogno di modificare la topologia fisica della rete1.
Le VLAN operano al livello 2 (il Data Link Layer) dello Stack ISO/OSI2[4]. E’ possibile però configurare delle VLAN costruite mappando direttamente gli indirizzi IP, o delle sottoreti intere, coinvolgendo, di fatto, anche il livello 3 (il Network Layer).
Nel contesto delle VLAN, il termine “trunk3” denota un collegamento della rete che trasposta VLAN multiple, identificate tramite etichette (dette “tag”) inserite nei loro pacchetti (vedi 2.1 per maggiori dettagli). Ogni “trunk” deve passare attraverso le “tagged-port” di una device abilitata alle VLAN: spesso si tratta collegamenti Switch-Switch o Switch-Router.
In pratica una VLAN viene realizzata simulando un unico Dominio di Broadcast: data una VLAN (che chiameremo VLAN A), i pacchetti che partono da macchine che appartengono ad A sono diretti a tutte e sole le macchine di A.
Il suo funzionamento é semplice e, al contempo, potente.
Possibili configurazioni Gli amminstratori di rete possono configurare VLAN in vari modi:
Metodi di identificazione su VLAN Quando uno Switch é configurato per supportare più VLAN basate su livelli superiori al primo, esiste la necessità di identificare ogni singolo pacchetto (di livello 2 o 3, a seconda delle esigenze) per poterlo “dirigere” da e verso la propria VLAN. Per astrazione si possono indicare 2 metodologie per identificare una VLAN: il Frame-Tagging e il Frame-Filtering:
L’IEEE 802.1Q é un progetto che appartiene alla famiglia di standard IEEE 802: il suo scopo é sviluppare un meccanismo per permettere a più reti collegate tramite Bridge/Switch di condividere trasparentemente lo stesso collegamento fisico di rete, senza la fuoriuscita di informazioni. IEEE 802.1Q é anche il nome del protocollo di incapsulamento1 usato per implementare questo meccanismo su reti Ethernet.
IEEE 802.1Q definisce il significato di VLAN rispetto al modello concettuale basato sul livello MAC e il protocollo IEEE 802.1D Spanning Tree[8, 9]. La documentazione ufficiale é al [10] della Bibliografia.
Questo protocollo permette anche l’intercomunicazione tra varie VLAN attraverso l’uso di dispositivi di livello 3 (come Switch Layer 3 e Router).
802.1Q non incapsula il frame originale: i dispositivi che lo implementano aggiungono un header di 2 byte all’originale pacchetto Ethernet. Il campo “EtherType” (vedi A.3) é modificato a 0x8100, denotando il nuovo formato del frame.
Confrontandolo con i metodi di identificazione al paragrafo 1.5, deduciamo che 802.1Q é un protocollo basato su Frame-Tagging.
L’header contiene i seguenti campi:
L’aggiunta di questo header al frame Ethernet richiede ovviamente il ricalcolo del valore CRC2 nel capo FCS3.
Il punto 9 dello standard definisce il protocollo usato per il multiplexing di più VLAN su un singolo collegamento, ed introduce il concetto di Native VLAN. I frame che appartengono alla Native VLAN non vengono modificate quando inviati sul “trunk” della VLAN.
Esempio Immaginiamo di avere una porta .1Q4 (chiamiamola porta A) con VLAN 2, 3 e 4 assegnate ad essa. Ipotiziamo che la VLAN 2 sia quella Native: i pacchetti della VLAN 2 che arrivano sulla porta A non vengono modificati con l’header .1Q, bensi restano dei frame Ethernet standard; i pacchetti che entrano nella porta A che non sono dotati di header .1Q vengono automaticamente diretti verso la VLAN 2.
Questo esempio ci fa capire che 1) la Native VLAN é, sostanzialmente, la “VLAN di default” e 2) che per ogni porta può esserci al massimo una sola Native VLAN.
IEEE 802.1Q definisce il GVRP, una applicazione del GARP (Generic Attribute Registration Protocol), che permette agli Switch di negoziare automaticamente l’insieme delle VLAN che devono essere create su uno specifico link.
GVRP é un protocollo di livello 2 molto utile per gli amministratori di rete: ogni volta che una VLAN viene configurata su uno Switch, il protocollo GVRP diffonde l’informazione agli altri apparati coinvolti nelle VLAN. Questo vuol dire che é sufficiente, per ogni modifica alla configurazione delle VLAN, operare su un unico Switch.
Lo standard IEEE 802.1D[8] menziona l’idea di sviluppare un protocollo per la registrazione automatica di “group membership” attraverso dispositivi come Switch o Bridge. Attualmente, quasi tutti i dispositivi che ricoprono i livelli 2 e 3 dell’OSI implementano GVRP.
La revisione del 2003 dello standard 802.1Q ha introdotto l’MSTP, inizialmente definito nell’IEEE 802.1S.
Il protocollo/algoritmo MSTP permette di costruire VLAN dalla topologia ad albero (quindi senza loop) anche in caso di VLAN multiple.
Se esiste una unica VLAN (ad esempio, quella Native (vedi 2.1.2)), il tradizionale STP5 funziona in maniera appropriata. In caso di più VLAN, la rete logica configurata da un singolo STP non é più sufficiente, poiché l’algoritmo non tiene conto di tutti i possibili Spanning Tree6[12] (d’ora in avanti “ST”) ma solo di quello corrente. L’MSTP configura uno ST separato per ogni VLAN e blocca i link ridondanti all’interno di ogni ST. Per connettere i vari ST delle VLAN, costruisce un ST gerarchicamente superiore chiamato “Common ST”.
Cisco ISL é un protocollo proprietario di Cisco che gestisce informazioni sulle VLAN come flussi di traffico tra Switch e Router.
ISL si basa sul metodo di “tagging” di Cisco ed é supportato solo da apparati attivi Cisco come Fast/Giga Ethernet Switch/Router. La dimensione del frame ISL può variare tra i 94 e i 1548 byte a causa dell’overhead del protocollo stesso.
Un protocollo sviluppato usando l’ISL é il Dynamic ISL: esso semplifica la creazione di trunk ISL tra 2 apparati Cisco Fast Ethernet connessi. In sostanza, é possibile creare un trunk VLAN basato su ISL semplicemente configurando uno solo degli estremi del canale Ethernet: DISL si occuperà di configurare da remoto l’altro apparato.
Cisco ISL ha contribuito sostanzialmente per lo sviluppo dello standard IEEE 802.1Q (vedi 2.1).
Il protocollo VTP[6] é usato per configurare e gestire VLAN su apparati Cisco. VTP può essere configurato su Switch Cisco in tre modalità:
L’amministratore di rete può modificare la configurazione delle VLAN solo sugli Switch in modalità “Server”. Dopo che le modifiche sono state applicate, esse vengono automaticamente distribuite a a tutti gli Switch del trunk VLAN: gli apparati in modalità “Transparent” reinviano le modifiche a tutti gli altri apparati ad esso collegati, scartando però la configurazione per se stessi; gli apparati in modalità “Client”, invece, applicano la modifica a se stessi e la reinviano.
L’informazione viene propagato in base a mappe di raggiungibilità ST costruite dagli stessi apparati in maniera automatica (molto simile ad MSTP (vedi 2.1.4)).
Per monitorare la configurazione sui trunk VLAN si usano i “version number”, così che un apparato in modalità “Client” applica la modifica a se stesso solo se risulta avere un version number maggiore di quello attuale. Per evitare conflitti, i version number vengono resettati quando si aggiunge un nuovo componente al trunk VLAN.
VTP, usando le mappe di raggiungibilità ST, abilita il traffico diretto solo a quegli Switch che si conosce dotati di porte per la VLAN puntata: questo permette una migliore gestione del bandwidth sul trunk, migliorando le prestazioni.
VTP può operare in modalità non autenticata: ne consegue che un attacker abbastanza esperto può inviare uno pacchetto VTP malevolo per modificare la configurazione delle VLAN o, peggio, dannegiarle. VTP é però anche dotato di una modalità che usa password cifrate con MD57 per l’autenticazione.
E’ comunque chiaro che l’uso di VTP su reti ad alto rischio é sconsigliabile, malgrado la sua indubbia utilità.
Analiziamo adesso una possibile situazione in cui l’uso delle VLAN può rivelarsi davvero utile: partiremo dalla descrizione di un proggetto di base in cui non rientrano le VLAN e procederemo evolvendo e migliorando l’infrastruttura logica (e fisica) della rete, concentrandoci sull’introduzione delle VLAN nel progetto.
Campus universitario, una rete distribuita su quattro edifici che contengono:
Vediamo una prima soluzione basata solo su un uso “elementare” di Router e Switch.
Ogni LAN (figura 3.1) risulta separata dalle altre tramite un Router e rappresenta un Dominio di Broadcast (vedi A.2.1) a se stante. Questo comporta che, in caso di necessità di espansione della rete al fine di aumentare il numero di End-System1, sarà necessario acquistare anche ulteriori Router per evitare di far crescere eccessivamente i Domini di Broadcast.
E’ importante però sottolineare che l’aumento del numero dei Router riduce sensibilmente le prestazioni della rete, dati i non trascurabili tempi di latenza (latency) di cui soffrono questi apparati2, soprattutto se confrontato con uno Switch della stessa fascia.
In questa ristrutturazione (figura 3.2) gli End-System collegati sono i medesimi e la velocità di connessione tra le sedi é aumentata grazie alle elevate capacità di una rete Full-Switched. Restano però i problemi dei Domini di Broadcast con cui non si può non fare i conti: basti pensare a tutte quelle device che fanno uso di Broadcast per segnalare la propria presenza (come le Stampanti di rete).
E’ necessario (e desiderabile) ridurre al minimo questo problema, e, magari, aumentare la flessibilità della nostra rete che, così com’é ora, é intimamente legata alla sua struttura fisica.
Introducendo le VLAN (figura 3.3) abbiamo ripristinato la stessa topologia che si trova in figura 3.1. E’ però importante notare che, in base alla marca dei prodotti scelti per realizzare le VLAN (vedi 2), cambia la modalità con cui queste VLAN possono comunicare tra di loro. Per i modelli più evoluti, é possibile passare da un dominio all’altro usanto gli Switch come dei gateway, per altri modelli può esse necessario l’utilizzo di un Router supplementare che faccia da “bridge” tra le varie VLAN.
Fin’ora però il risultato ottenuto é qualcosa che, a parte la velocità, risulta essere equivalente alla soluzione iniziale: le VLAN però sono “physical-location-indipendent”. Sfruttiamole quindi per migliorare sensibilmente il progetto.
La topologia finale (figura 3.4) ha queste caratteristiche:
E’ importante sottolineare che la connettività tra le sedi può essere realizzata in vari modi (Fibra Ottica, Giga Ethernet, ATM con LANE3), tutte dipendenti dalle esigenze e dai tipi di Switch utilizzati. Inoltre, sempre in base a questo, si può fornire connettività verso WAN pubbliche come Internet.
Evitiamo di scendere nei particolari perché questo esula dai nostri scopi.
Nel campo dell’informatica LAN è l’acronimo per il termine inglese Local Area Network, in italiano rete locale. Identifica una rete costituita da computer collegati tra loro (comprese le interconnessioni e le periferiche condivise) all’interno di un ambito fisico delimitato (ad esempio in una stanza o in un edificio (LAN casalinga o LAN ufficio), o anche in piú edifici vicini tra di loro (LAN di Campus)) che non superi la distanza di qualche chilometro. Le LAN hanno dimensioni contenute, il che favorisce il tempo di trasmissione1, che è noto in base al tipo di rete. Le LAN tradizionali lavorano tra 10 Mb/s (10Base-T) e 100 Mb/s (100Base-T), hanno bassi ritardi e pochissimi errori. Le LAN piú recenti operano fino all’ordine dei Gb/s (1000Base-T), ma sono utilizzate solo in ambienti server e/o storage di grosse dimensioni (SAN2).
10/100/1000Base-T sono implementazioni dello standard Ethernet IEEE 802.3[3]. Usano cavi twisted-pair34 con lunghezza massima che varia in base alla categoria del cavo (ormai quasi sempre CAT-5E o CAT-6 o CAT-75). I cavi sono più piccoli e più flessibili dei cavi coassiali6 su cui si basano gli standard 10Base-2 e 10Base-5. I cavi degli standard Base-T usano connettori di tipo RJ-45.
Si parla di “Dominio di Collisione” nelle reti che si basano sulla condivisione dinamica del mezzo trasmissivo: l’espressione “dominio di collisione” si riferisce ad una parte di una rete nella quale, se due apparecchiature tentassero di trasmettere contemporaneamente, avverrebbe una collisione. Per regolamentare e ridurre le collisioni l’Ethernet usa il protocollo CSMA/CD (vedere A.2.2 a pagina §).
La condivisione del mezzo trasmissimo tra più macchine é realizzata nelle reti con topologia a Bus: un solo cavo da cui “ascoltano” ed in cui “parlano” tutte le macchine della stessa rete.
Nelle reti più vecchie la topologia a BUS era realizzata fisicamente; nelle reti moderne si usa la topologia fisica a Stella ma logica a BUS: un unico apparato accentratore, che sarà il centro della stella, ha il compito di ricevere in ingresso il segnale da tutte le macchine della rete e ritrasmetterlo.
Il più famoso, ma ormai in disuso, apparato accentratore é l’Hub. Tutte le porte di un hub si trovano nello stesso dominio di collisione: esso si limita a ripetere l’informazione (anche detta frame7) che riceve a tutte le porte che possiede, indipendentemente dal fatto che il traffico sia Unicast, Multicast o Broadcast8. E’ per questo che l’Hub é definito anche “apparato passivo”: opera al livello 1 dello Stack ISO/OSI e quindi non é dotato di “intelligenza”9.
Oggi, come noto, esistono gli Switch che sono capaci di ridurre sensibilmente le collisioni, differenziando e partizionando il traffico in base alla destinazione, operando funzioni di buffering e, in generale, migliorando sensibilmente le prestazioni rispetto agli Hub. Lo Switch rientra nella categoria degli “apparati attivi” di rete: ci sono svariati modelli di Switch che operano tra i livelli 2 e 3 dello Stack OSI (ma ci sono anche di quelli che arrivano ai livelli 4-7).
La separazione di un dominio di collisione in 2 o più domini di dimensioni ridotte prende il nome di segmentazione. Si realizza utilizzando dispositivi di livello Data Link e/o Network (liv. 2 e/o 3): Bridge e Switch. Tralasciando l’approfondimento su come lavorano questi device cerchiamo di capire perchè, una volta separati i domini di collisione, possiamo ancora utilizzare le VLAN per aumentare l’efficienza della nostra rete.
Se è vero che le reti switched "ammorbidiscono" il problema delle collisioni riducendolo talvolta al minimo (i frame sono inoltrati solo sui segmenti che contengono il destination address del frame), rimane un altro problema da affrontare: i domini di broadcast. Il termine dominio di broadcast si riferisce a quella parte di una rete dove un singolo pacchetto broadcast viene trasmesso dallo switch a tutti i segmenti di rete ad esso connessi (ad es: ARP Request, NetBIOS name request, HP-IP Print, ...). Questo tipo di traffico broadcast colpisce l’intera rete poichè ciascun device che riceve un frame broadcast è costretto ad analizzarlo. E se il traffico broadcast cresce, la banda disponibile comincia a diminuire sensibilmente fino a consumarsi (dicesi broadcast storming). Per localizzare (o circoscrivere) il traffico broadcast si possono adottare 2 soluzioni:
La seconda soluzione é migliore sia in termine di numero di componenti necessarie, sia in termini economici.
CSMA/CD è l’acronimo inglese di Carrier Sense Multiple Access with Collision Detection, ovvero accesso multiplo tramite rilevamento della portante con rilevamento delle collisioni. È un’evoluzione del protocollo MAC del CSMA.
È nato per la risoluzione del conflitti di trasmissione dovuti al CSMA puro.
L’attesa esponenziale funziona in questo modo: gli adattatori aspettano un tempo casuale entro un valore massimo d (il protocollo che usa il CSMA/CD, ad esempio Ethernet, fissa tale valore). Se viene generata nuovamente una collisione il valore d viene raddoppiato, così fino a che questo è sufficientemente grande. Questa tecnica viene chiamata recessione binaria esponenziale. Avviene perché se altri adattatori sono contemporaneamente in attesa, tutti simultaneamente tenteranno di trasmettere provocando altre collisioni. Il segnale di disturbo (il jam) viene inviato per avvertire tutti gli adattatori che è avvenuta una collisione.
EtherType[14] é un campo del frame Ethernet standard. E’ utilizzato per indicare che protocollo é trasportato (incapsulato) nel frame Ethernet.
Una vecchia specifica Ethernet (probabilmente di Xerox) aveva un campo da 16 bit chiamato Length, usato per indicare la lunghezza del campo Data, benché la massima lunghezza del pacchetto fosse di 1500 byte. Le versioni 1.0 e 2.0 della specifica Ethernet di Digital/Intel/Xerox10 ha anch’essa un campo di 16 bit chiamato EtherType, con la convenzione che:
Con l’avvento della suite di standard IEEE 802[1, 2], l’header SNAP11, é usato per trasmettere l’EtherType del pacchetto per reti IEEE 802 diverse dalle Ethernet, ed anche per le reti non IEEE che usano l’header IEEE 802.2 LLC, come lo standard FDDI.
Attualmente, su reti Ethernet é utilizzata la specifica Ethernet 2.0.
|
|
Attribution-NonCommercial 2.0 Italy[15]
You are free:
Under the following conditions:
Attribution. You must give the original author credit.
Non-Commercial. You may not use this work for commercial purposes.
Your fair use and other rights are in no way affected by the above.
Complete version of the Licenses here: [15].
[1] IEEE 802 suite official website: http://www.ieee802.org/.
[2] IEEE 802 suite su Wikipedia: http://en.wikipedia.org/wiki/IEEE_802.
The IEEE 802.3 Working Group for CSMA/CD (Ethernet) based LANs: http://www.ieee802.org/3/.
Documentazione esaustiva sullo Stack ISO/OSI su Wikipedia: http://en.wikipedia.org/wiki/OSI_reference_model.
Cisco Doc. - Configuring ISL Trunks on Cisco Routers: http://www.cisco.com/warp/public/473/24.shtml.
Cisco Doc. - Configuring VTP and Virtual LANs: http://www.cisco.com/univercd/cc/td/doc/product/lan/cat5000/rel_4_2/config/vlans.htm.
3Com Superstack 3 Switch 4500: http://support.3com.com/infodeli/tools/switches/4500/DUA1756-1BAA01.pdf.
802.1D MAC Bridges Standard: http://www.ieee802.org/1/pages/802.1D-2003.html.
Documentazione sull’IEEE 802.1D su Wikipedia: http://en.wikipedia.org/wiki/IEEE_802.1D.
IEEE 802.1Q-2003 standard: http://standards.ieee.org/getieee802/download/802.1Q-2003.pdf. ISBN: 0-7381-3662-X.
Understanding Multiple Spanning Tree Protocol (Cisco Systems): http://www.cisco.com/en/US/tech/tk389/tk621/technologies_white_paper09186a0080094cfc.shtml.
Documentazione esaustiva sullo Spanning Tree su Wikipedia: http://en.wikipedia.org/wiki/Spanning_Tree_Protocol.
Cisco Documentation on LANE - LAN Emulation: http://www.cisco.com/univercd/cc/td/doc/product/software/ios113ed/113ed_cr/switch_c/xcovlane.htm.
[14] IEEE EtherType Registration Authority: http://standards.ieee.org/regauth/ethertype.
[15] CC Licenses used for this document: http://creativecommons.org/licenses/by-nc/2.0/it/deed.en_GB.
