VLAN

Che cos'è una VLAN?

Il nome completo di VLAN è Virtual Local Area Network. La tecnologia VLAN può dividere la porta LAN fisica sul dispositivo in più domini di broadcast, e ogni VLAN è un dominio di broadcast. È possibile definire VLAN, fino a un massimo di 4094 VLAN. VLAN diverse hanno tag VLAN diversi. I dispositivi nella stessa VLAN possono comunicare tra loro, ma le VLAN in VLAN diverse non possono comunicare direttamente tra loro.

Perché abbiamo bisogno di VLAN?

Agli albori della tecnologia Ethernet, la rete utilizzava una divisione logica della comunicazione della rete dati simile al dominio di broadcast. Quando è presente un gran numero di dispositivi, ciò causerà gravi conflitti di dati e congestione della rete. Puoi immaginarlo: supponendo che tu debba inviare un documento sul volume delle vendite al reparto finanziario, ma la rete locale dell'azienda utilizzi la tecnologia del dominio di broadcast, tutti gli host nella rete locale lo riceveranno ogni volta che invii un file. Poiché il dominio di broadcast non può isolare i dispositivi interni, mentre lavori riceverai anche file inviati da altri colleghi che non sono correlati a te, il che provoca un enorme spreco di risorse di rete e un lavoro d'ufficio inefficiente.

Per risolvere questo problema, hai inventato la tecnologia spanning tree STP, che consente di eseguire calcoli su ciascun messaggio per garantire che esista un solo percorso attivo ottimale per il messaggio verso qualsiasi destinazione. Tuttavia, ciò comporta anche problemi. Maggiore è il numero di dispositivi, maggiore è il costo del calcolo del percorso, il che limita la scala della rete e fa anche sì che la rete converga molto lentamente.

Con la tecnologia VLAN, puoi creare una VLAN separata per l'host di ogni reparto e, ogni volta che invii un file al dominio di broadcast, non verrà inviato ad altri host al di fuori del dominio. Inoltre puoi creare host per 4094 reparti, quindi per il momento non devi preoccupartene.

Come funziona VLAN?

Gli utenti nella stessa VLAN possono essere collegati a switch diversi e in questo caso possono esserci più VLAN. Come accennato in precedenza, le VLAN sono contrassegnate per facilitarne l'identificazione. Tuttavia, alcuni dispositivi, come i computer, possono elaborare solo dati senza tag VLAN. La porta dello switch deve elaborare la trasmissione e la ricezione dei dati in modo diverso a seconda dell'oggetto della connessione, quindi la VLAN dispone di più tipi di porte.

Prendendo come esempio i dispositivi Cisco, i tipi di porta comuni sono le porte Access e Trunk.

Porta di accesso

Le porte di accesso vengono generalmente utilizzate per connettersi a dispositivi che non possono identificare i tag VLAN, come i PC, oppure quando non è necessario distinguere i frame di dati tra VLAN diverse. Quando la porta di accesso invia e riceve frame non taggati, lo switch elabora solo i frame di dati con tag VLAN. Pertanto, la porta di accesso deve aggiungere tag VLAN ai frame di dati ricevuti. Per aggiungere tag VLAN, è necessario configurare il PVID (Port Default VLAN ID).Quando la porta di accesso riceve un frame con un tag e il VID nel frame è uguale al VID (PVID) della porta, la porta di accesso può anche ricevere ed elaborare il frame.Se il VID nel frame di dati taggato ricevuto è diverso dal VID della porta, l'accesso non elaborerà i dati nel frame e li scarterà direttamente.

Prima di inviare un frame con tag, la porta di accesso rimuoverà il tag. Il motivo è che dispositivi come host o server non possono elaborare VLAN con tag.

Porta trunk

Le porte Trunk vengono generalmente utilizzate per collegare switch, router e altri dispositivi in grado di inviare e ricevere contemporaneamente frame con e senza tag. Quando una porta Trunk riceve un frame senza tag, aggiunge al frame un tag corrispondente al PVID.Quando una porta Trunk riceve un frame di dati con tag, non apporta alcuna modifica. Una porta Trunk può essere configurata con un elenco di più VLAN. Tuttavia, occorre precisare una cosa: i frame di dati che consentono l'invio dalla porta TRUNK solo al PVID non vengono contrassegnati con tag.

Applicazione della VLAN

Caso 1: Divisione basata su porte

È comune che in un edificio siano presenti più aziende, e queste aziende sono collegate allo stesso switch Layer 2. Per garantire l'indipendenza e la sicurezza dell'attività di ciascuna azienda, l'interfaccia collegata a ciascuna azienda può essere suddivisa in VLAN diverse per ottenere il completo isolamento dei dati aziendali tra le aziende.

Caso 2: Divisione basata sul segmento di rete IP

L'azienda dispone di più reparti e gli host di ciascun reparto sono configurati con segmenti di rete diversi. L'azienda desidera che le risorse di rete a cui accedono i dipendenti di ciascun reparto siano isolate le une dalle altre. La suddivisione VLAN basata sulla sottorete IP può essere configurata sullo switch aziendale Switch_1. In questo modo, i diversi segmenti di rete del server vengono suddivisi in VLAN diverse e i flussi di dati che accedono ai diversi servizi applicativi del server saranno isolati, migliorando la sicurezza.