3. VLANS
1. VLANS
Objetivos
- Conocer los principios de creación de una VLAN.
- Analizar los pasos para la configuración de una VLAN.
- Identificar las estructuras y diferencias entre las principales configuraciones de VLAN.
Identificación de VLANS
La Red Virtual de Area Local, surge de la necesidad de crear múltiples redes Ethernet sin necesidad de contar
con múltiples concentradores o conmutadores Ethernet.
Las VLAN se identifican por un VLAN ID o identificador de VLAN que no es más
que un número entero.
Las VLAN Ethernet al ser dominios de colisión aislados, no se pueden
comunicar sin el apoyo de enrutador y simulan estructuras Ethernet
completamente aisladas. De esta forma las VLAN aislan el tráfico Ethernet y
separan el concepto de red Ethernet de la red física. Ahora una red Ethernet
puede ser implementada en un conmutador Ethernet sin chocar e interferir
con otras VLAN en el mismo conmutador y sin la necesidad de varios
conmutadores.
VLANS
Esto es así por el crecimiento que sufrieron las redes Ethernet.
En el pasado las implementaciones de redes Ethernet no requerían de protocolos Capa 3 (como ejemplo
NetBEUI que implementa varios servicios de red, entre ellos compartido de archivos e impresoras y envío de
mensajes).
i
3
4. VLANS
Este tipo de aplicaciones Ethernet usan la difusión o broadcast para muchos
de sus métodos.
Este tipo de tráfico de difusión comenzó a crecer desmesuradamente en la
medida que los PC de escritorio se hacían populares en las empresas. Al
crecer el número de PCs en la red, el desempeño de la red en su conjunto
decae
Estrategias para VLANS
Una primera estrategia fue separar las redes y hacer puentes Ethernet (bridges). Este camino llevo al
desarrollo de los conmutadores Ethernet que no son más que puentes Ethernet de n puertos.
Un puente Ethernet puede comunicar dos redes Ethernet recordando las direcciones MAC de cada una de las
redes que conoce. Esto en realidad se hizo para atacar el crecimiento inicial y evitó que el tráfico
unidreccional (unicast) en un medio compartido como Ethernet saturara la red. Así se pudieron hacer redes
Ethernet más grandes. Luego vendrían los denominados conmutadores Ethernet.
Debilidades de VLANS
Una de las debilidades de las aplicaciones de redes implementadas en Capa 2 era que difícilmente eran
enrutables, no podían cruzar y atravesar los nuevos enrutadores IP.
Las aplicaciones fueron migradas y así NetBEUI se convirtió en NetBIOS sobre TCP/IP y se separaron las redes
usando VLANs complementadas por enrutadores.
El tráfico de difusión fue confinado a la VLAN.
i
4
5. VLANS
También se dice que son "dominios de broadcast" dado que el tráfico de broadcast a nivel 2 no se difunde
entre las diferentes VLANs sino que se queda limitado al conjunto de puertos (físicos o virtuales) que
pertenecen a cada una de las VLANs.
Configuración
Existe un tipo de configuración para una puerta en particular que no debe
pertenecer a ninguna vlan, es la puerta que conecta, en este caso, con el
router.
Esta puerta debe configurarse en modo trunk, lo que indica que por esa
puerta pasaran las diferentes vlans que se permitan.
Configuración de un switch
1. Lo primero es crear las Vlans en la base de datos:
#vlan database
(vlan)#vlan 10 name alumnos
(vlan)#apply
2. Luego Asociamos puertas a las Vlans:
#conf term
(config)#interface range fastEthernet 0/6 - 10
(config-if-range)switchport mode access
(config-if-range)switchport access vlan 10
i
5
6. VLANS
3. Dejamos en modo trunk la puerta Fa 0/24
#conf term
(config)#interface fastEthernet 0/24
(config-if)#switchport mode trunk
(config-if)#switchport trunk allowed vlan 1,10
Configuración de Router
Una vez ya configurado el switch, cambiamos al router.
Dependerá del tipo de router que se esté configurando los comandos a ingresar, sin embargo, el concepto a
aplicar será el mismo.
Crear las vlans en la base de datos (igual que en el switch).
Habilitar una interfaz
Para habilitar la vlan en una subinterfaz:
#conf term
(config)#interface fastethernet 0/1.1
(config-sub-if)# ip addres 172.16.16.1 255.255.255.0
(config-sub-if)# encapsulation dot1q 10
(config-sub-if)# no shutdown
i
6
7. VLANS
Comprobación del funcionamiento
Para comprobar el correcto funcionamiento de las vlans y del enrutamiento, vamos a conectar los PCs a
diferentes puertos del switch. Asignaremos una IP a cada equipo definiendo como gateway (o puerta de
enlace) el IP de la subinterfaz del router definida para la vlan a la cual ingresamos el PC. Luego con el
comando ping debemos probar la conectividad.
Lo mismo para las conexiones inalámbricas.
Configuración de VLANs en switches
Para configurar una VLAN en switches se deben seguir los siguiente pasos:
1. Crea una vlan llamada prueba
2. Configura la ip en la vlan que se acaba de crear (prueba)
3. Activa el parámetro ipforwarding. IP forwarding re-envía paquetes de una red a otra, si no se activa
este comando, la red local no podrá comunicarse con internet (u otra red) y viceversa.
4. Activa el parámetro ipforwarding. IP forwarding re-envía paquetes de una red a otra, si no se activa
este comando, la red local no podrá comunicarse con internet (u otra red) y viceversa.
5. Elimina el puerto 17 de la vlan por default del switch llamada como tal "default" si no se elimina el
puerto no se podrá agregar a otra vlan a menos que sea con un tag
6. Configura un default gateway para el switch todos los paquetes que sean destinados a otras redes
que no se encuentren en la tabla de ruteo se enviaran al "default gateway"
Para probar la configuración:
a) Configurar la pc con una ip de la misma red ejemplo 192.168.16.5 y conectarla al puerto 17
del switch
b) Probar comunicación con ping desde y hacia el switch
i
7
8. VLANS
Asignación de IP
Una VLAN no sirve de mucho si no se ha asignado una dirección IP,
máscara de red la subred, y el puerto de miembros.
En condiciones normales se asignan las direcciones IP al segmento de
red en la configuración de routers, interfaces individuales o grupos de
interfaces (llamados canales).
Cuando usemos VLAN, los interfaces son miembros de VLAN y no tienen direcciones IP individuales, y, en
general, no tienen listas de acceso a ellos. Estas características son generalmente reservadas para los
interfaces VLAN.
Puentes y switches
Una de las grandes virtudes de bridges y switches es su sencillez de
manejo. Debido a su funcionamiento transparente es posible realizar
una compleja red, incluso con enlaces WAN si se utilizan bridges
remotos, sin tener que configurar ningún router.
A finales de los ochenta se puso de moda la idea de desarrollar grandes
redes, incluso a nivel de redes nacionales, basadas únicamente en el
uso de puentes transparentes.
Inconvenientes
Sin embargo pronto se vio que esta estrategia tenía dos inconvenientes serios:
1- Los bridges propagan el tráfico broadcast y multicast.
2- La transparencia de los bridges hace difícil establecer mecanismos de control, protección y filtrado
de tráfico, por lo que las redes muy grandes basadas en bridges se hacen inmanejables.
i
8
9. VLANS
LANs virtuales o VLANs: Los puertos
Los bridges propagan el tráfico broadcast y multicast
Generalmente los protocolos orientados a redes locales hacen un uso exhaustivo de este tipo de frames,
especialmente los broadcast, para anunciar todo tipo de servicios. Incluso el protocolo de red IP, emplea
broadcasting para la resolución de direcciones. La proliferación de tráfico broadcast en una red es
especialmente grave por el ancho de banda desperdiciado por el consumo de ciclos de CPU que se produce
en todos los nodos de la red. Éste no es el caso con los frames multicast, ya que cuando un frame multicast
no incumbe a una estación, es descartado por la interfaz.
La transparencia de los bridges hace difícil establecer mecanismos de control, protec-
ción y filtrado de tráfico, por lo que las redes muy grandes basadas en bridges se hacen
inmanejables.
Además, en los casos en que se requieren controles o mecanismos de administración se han de utilizar
direcciones MAC que no tienen ningún prefijo común que permita referirse o identificar una parte de la red,
ya que la asignación no ha seguido ningún criterio geográfico ni corresponde con la topología de la red.
Grupos de trabajo
Organización
por piso para
los cuatro
grupos de trabajo
i
9
10. VLANS
Como consecuencia de esto la creación de grandes redes locales está desaconsejada y es práctica habitual
en estos casos separar mediante routers las diversas partes de la red.
Éste es el caso en un campus o gran edificio.
Los routers, son equipos de comunicaciones que actúan a nivel de red, aislando los frames broadcast y
multicast (es decir, no los retransmite por sus otras interfaces como lo hace un bridge o switch) y facilitando
la administración al agregar las direcciones de nivel de red y un ordenamiento lógico de más alto nivel. Se
puede observar entonces que un router, por el hecho de aislar los broadcast, genera tantos dominios de
broadcast como interfaces tenga.
División de redes
Dividir una red local con criterios geográficos resulta relativamente sencillo, ya que normalmente la topología
del cableado permite realizar esa división de manera directa.
Por ejemplo, si se quiere dividir en varias una red local que abarca el campus de una universidad, se puede
crear una LAN por edificio con switches en cada edificio e interconectar cada edificio a una interfaz diferente
de un router que interconecte todo el campus, para así aislar los dominios de broadcast y mantener
comunicadas todas las LANs.
División lógica
Sin embargo, a menudo se requiere realizar una división lógica de acuerdo a criterios funcionales, que no
siempre coinciden con la ubicación física.
Por ejemplo, en el caso de una universidad se podría pensar por razones de eficiencia y seguridad en crear
una red para investigación, otra para docencia, otra para estudiantes y una última para tareas
administrativas.
i
10
11. VLANS
Organización con múltiples switches
Normalmente habrá varios edificios en los que habrá que dotar una serie de puestos de cada una de las
cuatro redes mencionadas, en cuyo caso habría que instalar en los correspondientes armarios de cableado
switches independientes e interconectarlos entre sí por separado. Esto provoca una red compleja y muy
cara, ya que en muchos casos habrá equipos subutilizados.
Organización usando múltiples switches para los cuatro grupos de trabajo
Redes aisladas
El problema que se presenta es simple, se desea tener redes aisladas, a nivel de enlace, para los cuatro
grupos de trabajo mencionados.
i
11
12. VLANS
La solución es sencilla si se dispone de espacios físicos contiguos para todos los miembros de un mismo grupo,
como por ejemplo, un edificio o piso para administración, otro para alumnos, etc. Pero, generalmente esto
no sucede y existe una mezcla de usuarios en un mismo edificio y/o piso.
La solución pasará entonces por la mencionada opción de tener por cada piso y/o edificio un switch para cada
grupo de trabajo, con el fin de nunca mezclar los tráficos, y lograr la conectividad entre las cuatro LANes
usando un router de cuatro interfaces que permita comunicarlas a un nivel superior (nivel de red).
Solución a redes aisladas
La solución a este problema es la creación de redes locales virtuales, o VLANs.
Las VLANs son una forma de realizar una partición lógica de un switch en otros más pequeños, de forma que
aunque se trata de un solo equipo, se dividen los puertos en grupos que son completamente independientes
entre sí. Un switch que tiene la capacidad de generar VLANs se puede considerar como un switch que, por
software, se convertirá en tantos switches como VLANs se creen, es decir, si se crean las cuatro VLANs
necesarias para el ejemplo en un switch, esto se puede ver como si se hubieran comprado cuatro switches
y cada uno de ellos genera una LAN para cada grupo de trabajo, y los tráficos, a nivel de enlace, nunca se
mezclarán entre las VLANs, pues la única forma de hacerlo es utilizando un router que comunique, a nivel
de red, las cuatro VLANs generada.
Switches con capacidades Vlans
Un switch con capacidades de VLANs es entonces un generador de diversos dominios de broadcast. La
funcionalidad o soporte de VLANs está disponible hoy en día en la mayoría de los switches del mercado.
Suponiendo el caso anterior, que se ha decidido dividir la red de campus en cuatro VLANs: I (de investigación),
D (de docencia), E (de estudiantes) y A (de administración). Si se tiene un switch de 24 puertos en un una
caja de cableado y se plantea la necesidad de suministrar servicio a 8 equipos de la VLAN I, 4 de la D, 4 de
i
12
13. VLANS
la E y 4 de la A, se podría asignar, por ejemplo, los puertos 1 a 8 a la VLAN I, 9 a 12 a la VLAN D, 13 a 16 a
la VLAN E y 17 a 20 a la VLAN A, dejando los puertos 21 a 24 libres para futuras ampliaciones o para conectar
las interfaces de un router, etc.
Comportamiento de switches
A partir de ese momento, el switch se comportará como cuatro switches virtuales de 4 puertos cada uno, los
correspondientes a las tres VLANs y un cuatro correspondiente a los puertos no asignados. De esta forma, se
puede asignar puertos a una u otra VLAN de forma flexible en función de las necesidades.
VLANs y Trunk
Organización usando VLANs y enlaces Trunk para los grupos de trabajo.
i
13
14. VLANS
Conexión VLANS
Queda por resolver aún la conexión de las cuatro VLANs con el resto de la red.
Una posibilidad sería asignar los puertos 21 a 24 a cada una de las cuatro VLANs y conectarlos a cuatro puertos
del switch principal del edificio creando también cuatro VLANs. Siguiendo este sistema, se llegaría al router
del campus donde un switch con puertos en las cuatro VLANs se conectaría a cuatro interfaces físicas
diferentes del router. Aunque físicamente las cuatro VLANs comparten los switches, sigue habiendo cuatro
redes separadas en el cableado, ya que nunca viajan por un mismo cable frames de VLANs diferente.
Cabe también pensar en un nivel adicional de optimización en el que se compartiera un mismo cable para
diferentes VLANs. Esto permitiría un ahorro considerable en el número de puertos consumidos en los enlaces
troncales, especialmente cuando se manejan muchas VLANs.
Por ejemplo, se podría emplear sólo un puerto, por ejemplo el 21, para conectar las cuatro VLANs, liberando
así los puertos 22 a 24 para otros usos.
Configuración enlace trunk
Esta situación se denomina configurar un enlace trunk o troncal. Debiera ser lógico, que los enlaces Trunk
suelan ser de mayor capacidad que los puertos normales del switch ya que soportan un tráfico más elevado.
Por ejemplo, en un switch de puertos a 10 Mbps el enlace trunk típicamente será de 100 Mbps y en uno con
puertos de 100 Mbps será de Gigabit Ethernet.
Los enlaces Trunk suponen un cambio importante en el funcionamiento de los switches, ya que al mezclar
frames de diferentes VLANs por el mismo cable es preciso marcarlas o etiquetarlas de alguna manera a fin
de poder entregarlas a la VLAN adecuada en el otro extremo.
i
14
15. VLANS
El marcado se hace añadiendo un campo nuevo en el header del frame MAC, lo que hace que el tamaño del
frame Ethernet supere ligeramente la longitud máxima de 1500 bytes en algunos casos, ya que un switch
puede recibir un frame de 1500 bytes y si lo ha de enviar por un enlace trunk tendrá que incorporarle la
etiqueta correspondiente, pues en ningún caso está permitido fragmentar el frame original.
Etiquetas Vlans
Hoy en día existe un formato estándar para colocar las etiquetas de VLAN que
es el conocido como IEEE 802.1q que es el que utilizan prácticamente la
totalidad de los equipos actuales.
De esta forma es posible diseñar complejas redes con VLANs utilizando
equipos de diferentes fabricantes.
Propiedades de Vlans
Una propiedad interesante de las VLANs es la posibilidad de configurar
interfaces virtuales en los hosts. Suponiendo que, en el caso analizado con
las cuatro VLANs, I, D, E y A, se tiene un servidor que se desea esté accesible
de forma directa en las cuatro VLANs, de forma que cualquier host de
cualquiera de las VLANs pueda acceder a él sin necesidad de pasar por un
router.
Conexión al servidor
Una posible solución sería conectar al servidor mediante cuatro interfaces de red y conectar cada una de ellas
a un puerto del switch asignado a cada una de las VLANs. Cada interfaz recibiría una dirección de red
correspondiente a la VLAN en la que se encuentra. Sin embargo, esta solución se hace inmanejable si aumenta
el número de VLANs. Otra posibilidad, más interesante, sería configurar una interfaz de red del servidor
como tres interfaces virtuales y conectarla a un puerto trunk del switch.
i
15
16. VLANS
Para esto se necesita disponer de drivers con soporte de IEEE 802.1q para la interfaz de red y el sistema
operativo que se esté utilizando.
Posibilidades de configuración de un nodo
La pertenencia o membresía de un nodo a una cierta VLAN no sólo es configurable por puerto, en general se
tienen las siguientes posibilidades:
VLANS Nivel 1
Corresponde a las VLAN ya mencionadas, donde la pertenencia está asociada al puerto al que esté conectado
un equipo. Son llamadas también VLAN por puerto, y tienen una tabla en la que asocian el número de puerto
con el VLAN ID.
Su principal desventaja es que no permite movilidad, ya que si un usuario se cambia, se debe reasignar el
puerto para que éste siga en la misma VLAN.
i
16
17. VLANS
VLAN de Nivel 2
Son VLANs en las que la membresía se basa en la dirección MAC que tiene el equipo a conectar, y por lo
tanto, el frame emitido. En este caso, el equipo mantiene una tabla en la que existe una relación entre MAC
y VLAN ID, lo que permite movilidad para los usuarios.
Otra forma de clasificar los usuarios de las VLAN es usando el campo Protocol Type del frame, y si por
ejemplo, el protocolo de red usado es IP, el frame se asocia a la VLAN 1, si es IPX, se asocia a la VLAN 2, etc.
Por lo tanto, el equipo mantiene una tabla en la que existe una relación entre el protocolo de nivel de red
y el VLAN ID.
VLAN de Nivel 3
En este caso, las VLAN se asocian a la dirección de red o de subred que tenga el equipo. Por ejemplo, todos
los equipos cuya dirección de red sea 152.74.20.0 se asocian a la VLAN 1, los que tengan la dirección de red
152.74.21.0 se asocian a la VLAN 2, etc. En este caso, la tabla que se mantiene es de dirección de red y VLAN
ID. El hecho de observar la dirección de red dentro del frame no implica que el equipo haga routing, sino que
es esa información la que sirve para la clasificación de los equipos. La ventaja de hacer esto es que si un
usuario se mueve, no necesita reconfigurar los parámetros de red del equipo, y la desventaja es el mayor
tiempo de procesamiento de la información antes de reenviar el frame.
VLAN de Nivel Superior
También es posible definir VLAN basándose, por ejemplo, en el tipo de aplicación o de servicio que está
encapsulado en el frame. Así, por ejemplo, podría tenerse una VLAN para todos los frames que tengan datos
de FTP, otra para los que tengan datos HTTP, etc.
i
17
18. VLANS
Organización e interconexión de Vlans
La Tabla muestra un resumen de la organización e interconexión de LANs usando los distintos equipos de
nivel físico y de enlace vistos hasta el momento, y su relación con los dominios de colisión y de broadcast.
Dominio de difusión
Una red LAN define un dominio de difusión con puentes y
conmutadores que conectan todos los nodos finales.
Todos los nodos de la red LAN reciben las difusiones, pero no así los
nodos situados fuera de ella.
i
18
19. VLANS
Conexión lógica
Una red LAN virtual (VLAN) define una conexión lógica, en lugar de la
conexión física que define una red LAN. Una red VLAN permite crear
particiones lógicas de una red LAN de manera que el dominio de difusión de
la red VLAN esté limitado a los nodos y conmutadores que son miembros de
ella.
Ventajas de Vlans
Las redes VLAN ofrecen las siguientes ventajas:
- Una mayor seguridad mediante el aislamiento del tráfico dentro de los nodos que son miembros de
la red VLAN.
- Conservación del ancho de banda, al limitar el dominio de difusión a la red VLAN en lugar de la red
LAN completa.
- Mayor facilidad de administración para las migraciones de nodos y los cambios de topología de la red.
19
20. VLANS
2. Diseño de red
Diseño de red
Existen muchas estructuras organizativas y muchas formas de diseñar la
arquitectura de las redes, sin embargo, hay dos modelos que son los más
utilizados en el diseño de las redes. Se trata de la arquitectura de
conmutación multinivel, que suele ser útil para la sede central de la
organización, y la arquitectura para las sucursales pequeñas.
Arquitectura multinivel
En la figura se muestra un ejemplo de una arquitectura multinivel, que se suele utilizar cuando hay un nivel
público de sitio Web y un nivel de base de datos de servidor.
i
20
21. VLANS
Conexiones
Empezando por el lado de la red orientado al público y adentrándonos a partir de este punto, el primer
segmento es una red de borde con un enrutador de borde orientado a Internet y que proporciona una primera
función de servidor de seguridad. Seguidamente, nos encontramos un conmutador que une el enrutador a un
servidor de seguridad perimetral, el cual ofrece una mayor protección.
El servidor de seguridad perimetral, a su vez, está conectado mediante un conmutador a servidores Web de
la red perimetral y los servidores Web están conectados mediante otro conmutador a un servidor de seguridad
interno.
El servidor de seguridad interno enlaza mediante un conmutador a los servidores internos y los PC de usuario
de la red del servidor. En la ilustración anterior, se muestra un diseño lógico, pero la distribución física de
los conmutadores podría ser de redes VLAN separadas en el mismo conmutador.
Es preferible que el conmutador de borde sea un dispositivo separado ya que se encuentra en una zona menos
segura. El conmutador que funciona como servidor también puede estar constituido por varios conmutadores
en función de si se prefiere un solo conmutador de gran capacidad o varios conmutadores más pequeños.
Arquitectura pequeñas sucursales
En la figura se muestra una arquitectura adecuada para pequeñas sucursales.
Esta arquitectura consta de tres dispositivos de red: un módem, un enrutador y un conmutador. Estos tres
dispositivos pueden estar combinados en dos dispositivos o en uno solo en función de la conexión de la red.
Los enrutadores más económicos, generalmente, incorporan un conmutador Ethernet con función de servidor
de seguridad, mientras que para las conexiones de banda ancha también puede incorporarse un módem al
enrutador.
21
22. VLANS
3. Resumen
VLANs
1.
- Las VLAN se identifican por un VLAN ID o identificador de VLAN que no es más que un número entero.
- Un puente Ethernet puede comunicar dos redes Ethernet recordando las direcciones MAC de cada una
de las redes que conoce.
- Una de las debilidades de las aplicaciones de redes implementadas en Capa 2 es que difícilmente son
enrutables, no pueden cruzar y atravesar los nuevos enrutadores IP.
2.
- Una de las grandes virtudes de bridges y switches es su sencillez de manejo. Debido a su
funcionamiento transparente es posible realizar una compleja red, incluso con enlaces WAN si se
utilizan bridges remotos, sin tener que configurar ningún router.
- El uso de puentes transparentes tiene dos inconvenientes los bridges propagan el tráfico broadcast
y multicast y la transparencia de los bridges hace difícil establecer mecanismos de control, protección
y filtrado de tráfico.
3.
- Dividir una red local con criterios geográficos resulta relativamente sencillo, ya que normalmente la
topología del cableado permite realizar esa división de manera directa.
- Los enlaces Trunk suponen un cambio importante en el funcionamiento de los switches, ya que al
mezclar frames de diferentes VLANs por el mismo cable es preciso marcarlas o etiquetarlas de alguna
manera a fin de poder entregarlas a la VLAN adecuada en el otro extremo.
i
22
23. VLANS
- La pertenencia o membresía de un nodo a una cierta VLAN no sólo es configurable por puerto, en
general se tienen las siguientes posibilidades: VLANS Nivel 1, VLANS Nivel 2, VLANS Nivel 3 y VLANS
Nivel superior.
4.
- Una red LAN define un dominio de difusión con puentes y conmutadores que conectan todos los nodos
finales. Todos los nodos de la red LAN reciben las difusiones, pero no así los nodos situados fuera de
ella.
- Las ventajas de las redes LAN son una mayor seguridad mediante el aislamiento del tráfico dentro
de los nodos que son miembros de la red VLAN, conservación del ancho de banda, al limitar el dominio
de difusión a la red VLAN en lugar de la red LAN completa, mayor facilidad de administración para
las migraciones de nodos y los cambios de topología de la red.
i
23