Бабич А.В. Оргранизация информационных сетей: Учебное пособие

Подождите немного. Документ загружается.

Например (рис. 1), команда ip helper-address 192.168.0.1, введенная

на интерфейсе маршрутизатора FastEthernet 0/1, будет передавать

все широковещательные DHCP-сообщения серверу с сетевым адре-

сом 192.168.0.1.

DHCP Sever

IP 192 .168 .0. 1

FastEther net 0 /1

192 .168 .1.252

FastEther net 0/0

192 .168 .0.252

Рис. 1. Пример работы переадресации широковещательных пакетов

§6. Настройка DHCP на маршрутизаторе

По умолчанию, на маршрутизаторах Cisco включена функцио-

нальная возможность DHCP-сервера. Если же она не активирована,

то это возможно сделать командой:

CLI Router(config) service dhcp

Отключить данную функциональную возможность:

CLI Router(config) no service dhcp

Настройка DHCP-пула на маршрутизаторе (аналогичным обра-

зом настраиваются пулы для каждой подсети) и указание шлюза по

умолчанию для клиентов:

CLI Router(config) ip dhcp pool имя_пула

Router(config-pool) network сеть сетевая_маска

Router(config-pool) domain-name доменное_имя

Router(config-pool) dns-server IP

Router(config-pool) default-router IP

Например:

Router(config) ip dhcp pool guest

Router(config-pool) network 192.168.0.0 255.255.255.0

Router(config-pool) domain-name test.local

Router(config-pool) dns-server 192.168.0.253

Router(config-pool) default-router 192.168.0.252

Данная конфигурация будет раздавать адреса из подсети

192.168.0.0/24, с DNS-сервером 192.168.0.253, шлюзом по умолча-

нию 192.168.0.252 и доменным именем test.local.

В пуле можно описать:

Имя домена для DHCP-клиента — x domain-name.

DNS-сервер — x dns-server.

Сервер WINS для сетей x Microsoft — netbios-name-server.

Шлюз по умолчанию — x default-router.

Исключить из пула адрес интерфейса маршрутизатора и DNS-

сервера:

CLI Router(config) ip dhcp excluded-address 192.168.0.252

192.168.0.253

§7. Просмотр информации о DHCP

Просмотр информации об адресах, которые были выданы DHCP-

сервером:

CLI Router show ip dhcp binding

Router> show ip dhcp binding

Для того чтобы посмотреть, какому физическому адресу был

предоставлен тот или иной IP-адрес:

CLI Router show ip dhcp binding 192.168.0.1

Просмотр информации о конфликтах при назначении IP-адресов:

CLI Router show ip dhcp conflict

Резюме

DHCP (англ. Dynamic Host Configuration Protocol — протокол

динамической конфигурации узла) — это сетевой протокол, позво-

ляющий компьютерам автоматически получать IP-адрес и другие

параметры, необходимые для работы в сети TCP/IP. Для этого ком-

пьютер обращается к специальному серверу, называемому сервером

DHCP. Сетевой администратор может задать диапазон адресов, рас-

пределяемых среди компьютеров. Это позволяет избежать ручной

настройки компьютеров сети и уменьшает количество ошибок. Про-

токол DHCP используется в большинстве крупных (и не очень) се-

тей TCP/IP.

DHCP является расширением протокола BOOTP, использовавше-

гося ранее для обеспечения бездисковых рабочих станций IP-

адресами при их загрузке. DHCP сохраняет обратную совместимость

с BOOTP.

Вопросы и тестовые задания для контроля

По умолчанию, на маршрутизаторах Cisco протокол DHCP:1.

включен;a)

выключен;b)

не установлен.c)

2. Первый запрос, посылаемый компьютером, для запроса сетевого

адреса у DHCP-сервера:

DHCPREQUEST;a)

DHCPDECLINE;b)

DHCPDISCOVER;c)

DHCPOFFER.d)

3. Какую необходимо ввести команду для переадресации широко-

вещательных пакетов:

ip routing;a)

ip broadcast routing;b)

ip helper-address;c)

ip broadcast redirect.d)

4. В каком режиме конфигурации вводится команда для переадре-

сации широковещательных пакетов:

глобальном;a)

режиме настройки протокола маршрутизации;b)

режиме настройки интерфейса.c)

5. Для просмотра адресов, выданных DHCP-сервером, используется

команда:

show ip interface; a)

show ip adrress;b)

show ip dhcp binding;c)

show ip dhcp lease.d)

глава 3. виРТуальнЫе

локальНые СетИ (VLANs)

Рассмотрены принципы работы коммутатора второго уровня мо-

дели OSI, процесс коммутации фреймов. Произведен обзор вирту-

альных локальных сетей, рассмотрены этапы и команды их создания.

Детально изучен процесс передачи данных в разных VLAN между

двумя коммутаторами с помощью транков.

Ключевые слова: коммутатор, виртуальная локальная сеть

(VLAN), транк, фрейм.

§1. коммутация и виртуальные локальные сети (VLAN)

Изначально коммутаторы не обеспечивали возможности созда-

ния виртуальных локальных сетей, так как они использовались для

простой пересылки фреймов между устройствами. Рынок коммута-

торов начал быстро расти, когда концентраторы коллективного до-

ступа к среде передачи данных (hubs) начали не справляться с ра-

стущими запросами на расширение полосы пропускания сети в

связи с использованием приложений клиент-сервер, обеспечиваю-

щих графический интерфейс пользователя (GUI).

Ключевая разница между коммутатором и концентратором за-

ключается в том, как они работают с фреймами. Концентратор по-

лучает фрейм, затем копирует и передает (повторяет) фрейм во все

другие порты. В этом случае сигнал повторяется, в основном прод-

ляя длину сетевого сегмента до всех подключенных станций. Ком-

мутатор повторяет фрейм во все порты, кроме того, из которого этот

фрейм был получен: unicast фреймы (адресованные на конкретный

MAC-адрес), broadcast фреймы (адресованные для всех MAC-адресов

в локальном сегменте) и multicast фреймы (адресованные для на-

бора устройств в сегменте). Это делает их неприемлемыми для боль-

шого числа пользователей, так как каждая рабочая станция и сервер,

подключенный к коммутатору, должны проверять каждый фрейм

для того, чтобы определить, адресован ли фрейм им или нет. В боль-

ших сетях с большим количеством фреймов, обрабатываемых сете-

вой картой, теряется ценное процессорное время. Это приемлемо для

небольших рабочих групп, где передача данных имеет кратковре-

менную «взрывную» природу.

Коммутатор работает с фреймами «с пониманием» — он считы-

вает MAC-адрес входящего фрейма и сохраняет эту информацию в

таблице коммутации. Эта таблица содержит MAC-адреса и номера

портов, связанных с ними. Коммутатор строит таблицу в разделен-

ной памяти и поэтому он знает, какой адрес связан с каким портом.

Коммутаторы Catalyst создают эту таблицу, проверяя каждый фрейм,

попавший в память, и добавляют новые адреса, которые не были за-

несены туда ранее. Маршрутизаторы Cisco создали эту таблицу,

адресуя ее по содержимому (content-addressable memory). Эта та-

блица обновляется и строится каждый раз при включении коммута-

тора, но вы можете настраивать таймер обновления таблицы в за-

висимости от ваших нужд. Пример 1 показывает CAM-таблицу

коммутатора Catalyst 5000.

В этом примере столбец VLAN ссылается на номер VLAN, кото-

рой принадлежит порт назначения. Столбец Destination MAC ссыла-

ется на MAC-адрес, обнаруженный в порту. Помните, что один порт

может быть связан с несколькими MAC-адресами, поэтому проверь-

те количество MAC-адресов, которое может поддерживать ваш ком-

мутатор. Destination Ports описывает порт, из которого коммутатор

узнал MAC-адрес.

Далее, коммутатор проверяет MAC-адрес назначения фрейма и

немедленно смотрит в таблицу коммутации. Если коммутатор нашел

соответствующий адрес, он копирует фрейм только в этот порт; если

не может найти адрес, он копирует фрейм во все порты. Unicast

фреймы посылаются на необходимые порты, тогда как multicast и

broadcast фреймы передаются во все порты.

Коммутация была объявлена как «новая» технология, которая

увеличивает пропускную способность и производительность, но на

самом деле коммутаторы — это высокопроизводительные мосты

(bridges) с дополнительными функциями. Коммутация — это термин,

используемый в основном для описания сетевых устройств уровня 2,

которые переправляют фреймы, основываясь на MAC-адресе полу-

чателя.

Два основных метода, наиболее часто используемых производите-

лями для передачи трафика, — это cut-through и store and forward.

Коммутация cut-through обычно обеспечивает меньшее время

задержки, чем store-and-forward, потому что в этом режиме комму-

татор начинает передачу фрейма в порт назначения еще до того, как

получен полностью весь фрейм. Коммутатору достаточно того, что

он считал MAC-адреса отправителя и получателя, находящиеся в

начале Token Ring и Ethernet-фреймов. Большинство cut-through

коммутаторов начинает пересылку фрейма, получив только первые

30–40 байт заголовка фрейма.

Store and forward копирует весь фрейм перед тем, как пересы-

лать его. Этот метод дает большую задержку, но имеет больше преи-

муществ. Возможности фильтрации, управления и контроля за пото-

ком информации являются главными преимуществами этого метода.

В дополнение, неполные и поврежденные фреймы не пересылаются,

так как они не являются правильными. Коммутаторы должны иметь

буферную память для чтения и сохранения фреймов во время при-

нятия решения, что увеличивает стоимость коммутатора.

По мере улучшения технологий и захвата рынка новомодной

технологией начали возникать VLAN. Простейший путь понять вир-

туальные сети — сравнить их с физической. Физическая сеть может

состоять из конечных станций, связанных маршрутизатором (-ами),

которые используют одно физическое соединение. VLAN — это ло-

гическое комбинирование конечных станций в одном сегменте на

уровне 2 и уровне 3, которые связаны напрямую, без маршрутизато-

ра. Обычно пользователям, разделенным физически, требуется

маршрутизатор для связи с другим сегментом. Коммутаторы с воз-

можностью построения VLAN изначально были внедрены в основ-

ных учебных городках и небольших рабочих группах. Сначала ком-

мутация разрабатывалась по мере надобности, но сейчас это

является обычной практикой внедрять коммутаторы и VLAN в на-

стольных системах.

Каждая рабочая станция в VLAN (и только эти конечные стан-

ции) обрабатывают широковещательный трафик, посылаемый дру-

гим членам VLAN. Например, рабочие станции A, B, и C присоеди-

нены в VLAN 1. VLAN 1 состоит из трех коммутаторов Cisco. Все

коммутаторы расположены на разных этажах, соединены между со-

бой оптоволокном и связаны транковым протоколом. Рабочая стан-

ция A присоединена в коммутатор A, рабочая станция B —

в коммутатор B и рабочая станция C — в коммутатор C. Если

станция A посылает широковещательный пакет, станции B и C по-

лучат этот фрейм, даже если они физически присоединены в другие

коммутаторы. Рабочая станция D присоединена в коммутатор A, но

объявлена в VLAN 2. Когда D посылает широковещательный пакет,

станция A не увидит этот трафик, хотя она находится в том же физи-

ческом коммутаторе, но так как она находится не в той же виртуаль-

ной LAN, коммутатор не будет пересылать этот трафик на A. Помни-

те, что VLAN работают на уровне 2, поэтому связь между VLAN

требует принятия решений маршрутизации на уровне 3. Так же стан-

ции B и C не увидят трафик от станции D.

Виртуальные сети (VLAN) предлагают следующие преимущества:

контроль за широковещательным трафиком; x

функциональные рабочие группы; x

повышенная безопасность. x

Контроль за широковещательным трафиком

В отличие от традиционных LAN, построенных при помощи

маршрутизаторов/мостов, VLAN может быть рассмотрена как широ-

ковещательный домен с логически настроенными границами. VLAN

предлагает больше свободы, чем традиционные сети. Ранее исполь-

зуемые разработки были основаны на физическом ограничении се-

тей, построенных на основе концентраторов; в основном, физические

границы LAN-сегмента ограничивались эффективной дальностью,

на которую электрический сигнал мог пройти от порта концентрато-

ра. Расширение LAN-сегментов за эти границы требовало использо-

вания повторителей (repeaters); устройств, которые усиливали и пе-

ресылали сигнал. VLAN позволяет иметь широковещательный домен

вне зависимости от физического размещения, среды сетевого досту-

па, типа носителя и скорости передачи. Члены могут располагаться

там, где необходимо, а не там, где есть специальное соединение с

конкретным сегментом. VLAN увеличивают производительность

сети, помещая широковещательный трафик внутри маленьких и лег-

ко управляемых логических доменов. В традиционных сетях с ком-

мутаторами, которые не поддерживают VLAN, весь широковеща-

тельный трафик попадает во все порты. Если используется VLAN,

весь широковещательный трафик ограничивается отдельным широ-

ковещательным доменом.

Функциональные рабочие группы

Наиболее фундаментальным преимуществом технологии VLAN

является возможность создания рабочих групп, основываясь на

функциональности, а не на физическом расположении или типе но-

сителя. Традиционно администраторы группировали пользователей

функционального подразделения физическим перемещением пользо-

вателей, их столов и серверов в общее рабочее пространство, напри-

мер в один сегмент. Все пользователи рабочей группы имели одина-

ковое физическое соединение для того, чтобы иметь преимущество

высокоскоростного соединения с сервером. VLAN позволяет адми-

нистратору создавать, группировать и перегруппировывать сетевые

сегменты логически и немедленно, без изменения физической ин-

фраструктуры и отсоединения пользователей и серверов. Возмож-

ность легкого добавления, перемещения и изменения пользователей

сети — ключевое преимущество VLAN.

Повышенная безопасность

VLAN также предлагает дополнительные преимущества для без-

опасности. Пользователи одной рабочей группы не могут получить

доступ к данным другой группы, потому что каждая VLAN — это

закрытая, логически объявленная группа. Представьте компанию, в

которой Финансовый департамент, который работает с конфиденци-

альной информацией, расположен на трех этажах здания. Инженер-

ный департамент и отдел маркетинга также расположены на трех

этажах. Используя VLAN, члены Инженерного отдела и отдела

маркетинга могут быть расположены на всех трех этажах как члены

двух других VLAN, а Финансовый департамент может быть членом

третьей VLAN, которая расположена на всех трех этажах. Сейчас

сетевой трафик, создаваемый Финансовым департаментом, будет до-

ступен только сотрудникам этого департамента, а группы Инженер-

ного и отдела маркетинга не смогут получить доступ к конфиденци-

альным данным Финансового департамента. Очевидно, есть другие

требования для обеспечения полной безопасности, но VLAN может

быть частью общей стратегии сетевой безопасности. Показанный

ниже рисунок 2 говорит о том, как функционирование VLAN может

расширить традиционные границы.

Когда VLAN объявлены для устройств, они могут быть легко и

быстро изменены для добавления, перемещения или изменения

пользователя по мере надобности.

Сети VLAN могут быть определены:

по порту (наиболее частое использование); x

MAC-адресу (очень редко); x

идентификатору пользователя User ID (очень редко); x

сетевому адресу (редко в связи с ростом использования DHCP). x

Рис. 2. Построение VLAN через физические границы

VLAN, базирующиеся на номере порта, позволяют определить

конкретный порт в VLAN. Порты могут быть определены индивиду-

ально, по группам, по целым рядам и даже в разных коммутаторах

через транковый протокол. Это наиболее простой и часто используе-

мый метод определения VLAN; наиболее частое применение внедре-

ния VLAN, построенной на портах, когда рабочие станции использу-

ют протокол динамической настройки TCP/IP (DHCP).

VLAN, базирующиеся на MAC-адресах, позволяют пользователям

находиться в той же VLAN, даже если пользователь перемещается с

одного места на другое. Этот метод требует, чтобы администратор опре-

делил MAC-адрес каждой рабочей станции и затем внес эту информа-

цию в коммутатор. Метод может вызвать большие трудности при поис-

ке неисправностей, если пользователь изменил MAC-адрес. Любые

изменения в конфигурации должны быть согласованы с сетевым адми-

нистратором, что может вызывать административные задержки.

Виртуальные сети, базирующиеся на сетевых адресах, позволяют

пользователям находиться в той же VLAN, даже когда пользователь

перемещается с одного места на другое. Этот метод перемещает

VLAN, связывая ее с сетевым адресом уровня 3 рабочей станции для

каждого коммутатора, к которому пользователь подключен. Данный

метод может быть очень полезным в ситуации, когда важна безопас-

ность и когда доступ контролируется списками доступа в маршрути-

заторах. Поэтому пользователь «безопасной» VLAN может переехать

в другое здание, но остаться подключенным к тем же устройствам

потому, что у него остался тот же сетевой адрес. Сеть, построенная

на сетевых адресах, может потребовать комплексного подхода при

поиске неисправностей.

Тегирование трафика VLAN

Компьютер при отправке трафика в сеть даже не догадывается, в

каком VLAN'е он размещен. Об этом думает коммутатор. Последний

знает, что компьютер, который подключен к определенному порту,

находится в соответствующем VLAN'e. Трафик, приходящий на порт

определенного VLAN'а, ничем особенным не отличается от трафика

другого VLAN'а. Другими словами, никакой информации о принад-

лежности трафика определенному VLAN'у в нем нет.

Однако если через порт может прийти трафик разных VLAN'ов,

коммутатор должен его как-то различать. Для этого каждый кадр

(frame) трафика должен быть помечен каким-то особым образом. По-

метка должна говорить о том, какому VLAN'у трафик принадлежит.

Наиболее распространенный сейчас способ ставить такую пометку

описан в открытом стандарте IEEE 802.1Q. Существует также соб-

ственный протокол Cisco Systems, решающий похожие задачи, — ISL,

но его популярность значительно ниже.

IEEE 802.1Q — открытый стандарт, который описывает проце-

дуру тегирования трафика для передачи информации о принадлеж-

ности к VLAN.

Так как 802.1Q не изменяет заголовки кадра, то сетевые устрой-

ства, которые не поддерживают этот стандарт, могут передавать тра-

фик без учета его принадлежности к VLAN.

802.1Q помещает внутрь фрейма тег, который передает информа-

цию о принадлежности трафика к VLAN'у.

TPID Priority CFI VLAN ID

Рис. 3. Тег 802.1Q

Размер тега — 4 байта. Он состоит из следующих полей:

Tag Protocol Identifier (TPID) — Идентификатор протокола теги-

рования. Размер поля — 16 бит. Указывает, какой протокол исполь-

зуется для тегирования. Для 802.1q используется значение 0x8100.

Priority — приоритет. Размер поля — 3 бита. Используется

стандартом IEEE 802.1p для задания приоритета передаваемого

трафика.

Canonical Format Indicator (CFI) — Индикатор канонического

формата. Размер поля — 1 бит. Указывает на формат MAC-адреса.

1 — канонический, 0 — не канонический.

VLAN Identifier (VID) — идентификатор VLAN’а. Размер поля —

12 бит. Указывает, какому VLAN’у принадлежит фрейм. Диапазон

возможных значений VID от 0 до 4094.

При использовании стандарта Ethernet II, 802.1Q вставляет тег

перед полем «Тип протокола». Так как фрейм изменился, пересчиты-

вается контрольная сумма.

Исходный

фрейм

Адрес

получателя

Адрес

отправителя

Тип

протокола

Данные

Контрольная

сумма

Тегированный

фрейм

Адрес

получателя

Адрес

отправителя

Тег Данные

Новая

контрольная

сумма

Рис. 4. Тег do1q в Ethernet-фрейме

В стандарте 802.1Q существует понятие Native VLAN. По умол-

чанию, это VLAN 1. Трафик, передающийся в этом VLAN, не теги-

руется.

Inter Switch Link (ISL) — собственный протокол компании

Cisco Systems, предназначенный для передачи информации о при-

надлежности трафика к VLAN. ISL инкапсулирует исходный кадр

(frame), добавляя заголовок, в котором содержится информация о

принадлежности трафика к VLAN, и trailer.

Так как ISL изменяет заголовки кадра, то сетевые устройства

обязательно должны поддерживать этот протокол для того, чтобы

передавать трафик.

ISL был разработан до стандарта IEEE 802.1Q. Какое-то время

ISL поддерживался на сетевом оборудовании Cisco наряду с 802.1Q,

но сейчас не поддерживается (может встретиться только на старом

оборудовании).