Virtual LAN (VLAN)Virtual LAN (VLAN)

ความหมายของ VLAN

VLAN คอ การแบงกลมของสวตซภายในเลเยอร 2 ท�ไมข�นกบ ลกษณะทางกายภาพใดๆ

เราไมจาเปนท�จะตองนาสวตซมาตอกนเปน ทอดๆ เพ�อจดกลมของสวตซวาสวตซกลมน� คอกลมเดยวกน

แตเราสามารถท�จะจดกลมให สวตซท�อยหางไกลกนออกไปน�น เปน แตเราสามารถท�จะจดกลมให สวตซท�อยหางไกลกนออกไปน�น เปนสมาชกของสวตซอกกลมหน�งทางแนวตรรกกะ (Logical Design) ได

VLAN Definitions

VLANs

เปนการแบงกลมของสวตซในเชงตรรกะ (Logical Design) ในกระบวนการทางานของสวตซเลเยอร 2

แมสวตซจะสามารถลดปรมานของโดเมนปะทะ (Collision Domain) ใหเหลอเพยง 1 Collision Domain ตอ 1 พอรทของสวตซแลวกตาม แตทกพอรทของสวตซยงคงมบรอดคาสทโดเมน (Broadcast Domain) อย

ซ� งหากนาสวตซมาตอกนหลายๆ จด และมการใชงานบรอดคาสทโดเมนข�นมา น�น ซ� งหากนาสวตซมาตอกนหลายๆ จด และมการใชงานบรอดคาสทโดเมนข�นมา น�นหมายถงวายงคงท�จะมทราฟฟก(Traffic) ท�เปนสวนเกนออกมาอยด ซ� งจะทาใหระบบเนตเวรกเกดความลาชา และส�นเปลอง CPU ในการประมวลผลของอปกรณดไวซตางๆ โดยไมจาเปน

การทา VLAN จะมาชวยแกปญหาตรงจดน�ได เน�องจาก ในการทาVLAN น� จะเปนการจากดวงของ บรอดคาสทโดเมนใหอยภายในพอรท หรอ ดไวซท�เรากาหนดเทาน�น ซ� งทราฟฟกจะไมถกสงผานไปยงบรอดคาสทโดเมนอ�นๆ

VLANs

หากไมมการคอนฟกใดๆ เพ�มเตมและในทางการรกษาความปลอดภยในระบบเครอขายน�น ทกๆพอรทของสวตซถอวาเปนบรอดคาสทโดเมนเดยวกน

ซ� งทราฟฟกท�ว�งออกมาจากพอรทของสวตซหน�งๆ ทกๆ พอรทน�น สามารถท�จะมองเหนเฟรมขอมลน�นๆ ได หากวา มใครสกคนหน�งทาตวเปน สนฟเฟอรโหมด (Sniffer Mode) เพ�อดกจบขอมลไปคงไมดแน

แตถาทา VLAN แลว เราสามารถท�จะควบคมทราฟฟกใหอยในเฉพาะขอบเขตท�เราตองการได เชนเราตองการให สวตซพอรทท� 1-5 ของสวตซ 1 ซ� งอยช�นท� 1 เปนสมาชกเดยวกนกบ สวตซพอรทท� 6-8 ของสวตซ 3 ท�อยช�นท� 3 กเปนได

โดยท� ทราฟฟกจะไมถกสงออกไปยงพอรทอ�นๆ ของสวตซตวมนเอง และสวตซตวอ�นๆ อก ซ� งเปนมาตรการในการรกษาความปลอดภยเบ�องตนของระบบเนตเวรกได

VLANs

การคอนฟก VLAN น�น สามารถกระทาไดภายใน ตว IOS ของสวตซไดโดยตรง และการคอนฟก VLAN ไมจาเปนท�จะตองมการยายสายเคเบลใดๆ เพ�อจดกลมของสวตซ

ไมตองการต�งคาใดๆ ท�ตว Client เลย นอกจากหมายเลข IP Address ของ Client ท�จะตองจดสรรใหมใหแก Client ในกรณท�ตองการให Client ไปClient ท�จะตองจดสรรใหมใหแก Client ในกรณท�ตองการให Client ไปอยในตางซบเนตเทาน�น

หากตองการให VLAN น�น สามารถท�จะตดตอส�อสารระหวางกน หรอท�เรยกวา Inter VLANs น�น เราจาเปนท�จะตองมอปกรณในเลเยอร 3 เชน เราเตอร หรอ สวตซเลเยอร 3 มาชวยในการ เราททราฟฟกระหวาง VLANs กน

ทาไมตองใช VLAN

เพ�มประสทธภาพของเครอขาย ในเครอขายปกตจะมการสง Broadcast จานวนมาก ทาใหเกด Congestion และ VLAN สามารถชวยเพ�มประสทธภาพของเครอขายได โดยจากดใหสงขอมล Broadcast ไปยงผท�อยใน VLAN เดยวกนเทาน�น

งายตอการบรหารการใชงาน VLAN อานวยความสะดวกในการบรหารจดการโครงสรางของระบบเครอขายใหงาย มความยดหยน และเสยคาใชจายนอย โดยเพยงเปล�ยนโครงสรางทาง Logical เทาน�น ไมจาเปนตองเปล�ยนโครงสรางทางเพยงเปล�ยนโครงสรางทาง Logical เทาน�น ไมจาเปนตองเปล�ยนโครงสรางทางกายภาพ

เพ�มการรกษาความปลอดภยมากข�น เน�องจากการตดตอระหวางอปกรณเครอขายจะสามารถทาไดภายใน VLAN เดยวกนเทาน�น ถาตองการท�จะตดตอขาม VLAN ตองตดตอผานอปกรณคนหาเสนทางหรอสวตชเลเยอร 3

VLAN แบบ Portbase และ Tagbase VLAN คอการจดพอรตท�มอยในเนตเวรค มาแบงกลมกน เพ�อจากดขอบเขตของ

การรบและสงขอมล ขอมลสามารถจะไหลจากพอรตหน�งไปยงอกพอรตหน�งได ถาพอรตปลายทางน�นอยในสมาชก VLAN เดยวกบพอรตตนทาง ไมวาเฟรมขอมลน�นจะเปน Broadcast, Multicast หรอ Unicast กเปนไปตามขอกาหนดน�

พอรตใดพอรตหน�ง สามารถเปนสมาชกของ VLAN ใดกได แลวแตกาหนดและยงสามารถเปนสมาชกของหลาย ๆ VLAN ไดดวย เชนเราตองการแบงเนตเวรคสามารถเปนสมาชกของหลาย ๆ VLAN ไดดวย เชนเราตองการแบงเนตเวรคออกเปน 3 กลม กลมละ 5 เคร�อง สามารถจะจด VLAN ไดวา

• VLAN 1 ประกอบดวยสมาชกไดแก พอรต 1 ถงพอรต 5 และพอรต 16

• VLAN 2 ไดแกพอรต 6 ถงพอรต 10 และพอรต 16

• VLAN กลมสดทายกจะมพอรต 11 ถงพอรต 15 และพอรต 16

จะเหนวาพอรต 16 เปนสมาชกของท�ง 3 VLAN หมายความวาพอรต 16 จะถกนาไปเสยบกบเซรฟเวอรน�นเอง

แบบ Portbase และ Tagbase

ถา VLAN กลมไหนมเคร�อง 5 เคร�องวธคงสภาพของ VLAN ไว แตถาจานวนเคร�องมากข�น เราจะใชวธการขยายพอรตโดยการ Uplink เชน ถากลม 2 มเคร�องมากข�น เรากจะใชพอรต 6 มา Uplink ไปหาสวตชธรรมดากได ลกษณะการเช�อมตอ VLAN แบบน� เขาใจงาย จดงาย ไมยงยาก และดแลงาย ซ�งเราเรยกวาเปน VLAN แบบ Port base คอใชยงยาก และดแลงาย ซ�งเราเรยกวาเปน VLAN แบบ Port base คอใชพอรตเปนตวกาหนดวาจะเปนสมาชกของ VLAN ใด

แบบ Portbase และ Tagbase

VLAN แบบ Port base กมขอจากด เชน เม�อเราจะตองจดเนตเวรคขนาดใหญ เชน เราตองการจะใหเคร�องจานวน 50 เคร�องอยใน VLAN เดยวกน และแยกออกจากเคร�องอก 50 เคร�อง ใหเปนอก VLAN หน�ง เราตองเอาสวตชหลายตว มาพวงหรอ Uplink กนเปนใหเกดเปน VLAN ขนาดใหญหลาย ๆ วง ซ� ง VLAN แบบ Port base น�นไมสามารถรองรบไดแน จะตองไปใช VLAN แบบ Tag base แทน

Tag แปลวาปาย หมายความวาแพกเกตขอมลใดกตามท�จะถกสงจากพอรตหน�งไป Tag แปลวาปาย หมายความวาแพกเกตขอมลใดกตามท�จะถกสงจากพอรตหน�งไปยงอกพอรตหน�ง จะตองมการ"แปะปาย" เพ�อแจงวาแพกเกตน�นเปนของ VLAN ใด(ถกสงออกจากพอรตตนทางท�อยในสงกด VLAN ใด)

พอรตใดกตามท�จะรบแพกเกตน�นไวหรอจะยอมใหแพกเกตน�นว�งทะลผานตวเองหรอไม (เชน พอรต Uplink) มนจะตองตรวจดดวยวา แพกเกตน�นมปาย ระบวาเปน VLAN เดยวกบตวเองหรอไม ถาไมใช กไมใหแพกเกตผานหรอไมใหว�งเขามาในพอรตได

Tag Base VLAN

ดวยวธการ Tag หรอแปะปายลงไปในแพกเกตน� จะทาใหแพกเกตสามารถจะว�งจากสวตชตวหน�ง ทะลผานพอรต Uplink ไปยงสวตชอกตวหน�งได จะทะลตอไปไดเร�อย ๆ โดยไมหลง VLAN โดยตลอดเสนทางการว�งผานน�น พอรตทก ๆ พอรตจะตองสงกดสมาชกเดยวกบ VLAN ของแพกเกตน�นVLAN ของแพกเกตน�น

VLAN แบบ Tag base เปนระบบท�จดการไมงายนก มเง�อนไขและรายละเอยดคอนขางมาก ถาเราศกษาลกลงไปใน VLAN แบบ Tag base เชน Ingress port, Egress port, Forbidden port, Fix ID, GARP, GVRP ฯลฯ

รปแบบการ Encapsulation ของ VLAN

เน�องจากเฟรมท�ว�งผาน Trunk Port ระหวางสวตซน�น มโอกาสท�เฟรมน�นๆ จะเปนของ VLAN ใดๆ กได ดงน�นสวตซแตละตวจาเปนท�จะตองหาเทคนคบางอยางในการท�จะทาใหสวตซปลายทางสามารถจาแนกไดวาทราฟฟกท�มนไดรบเขามาน�นเปนของ VLAN ใด

เทคนคท�วาน�นคอ การเพ�มฟลดขอมลเขาไปในเฟรมมาตรฐานของสวตซ เทคนคท�วาน�นคอ การเพ�มฟลดขอมลเขาไปในเฟรมมาตรฐานของสวตซ เพ�อใชในการจาแนก (Identified) วาทราฟฟกน� เปนของ VLAN ใด

ซ�งการเพ�มฟลดเขาไปในเฟรมน� ถอเปนการ Encapsulation เพ�มเตมเขาไปในเฟรม ซ�งเทคนคในการ Encapsulation ของ VLAN น�จะมอยดวยกน สองแบบ คอ 802.1Q และ ISI

รปแบบการ Encapsulation ของ VLAN

802.1Q (IEEE Standard) เทคนคของ IEEE 802.1Q จะใชวธการเพ�มฟลดพเศษขนาด 4 Bytes เขาไปแทรกระหวางเฟรม และสามารถนาไปใชในเทคนคของNative VLAN ได (หมายถง เฟรมท� ตดสวนของ IEEE 802.1Q ออก เพ�อจาแนกใหมนเปนทราฟฟกพเศษ เชน การทา Voice QoS)

ISL (Inter Switch Link: Cisco Proprietary) ISL จะเพ�มฟลดขนาด 26 Bytes เขาไปท�ดานหนาสดของเฟรม และ ตอทายจาก CRC (พดอกนยหน�งคอ

เพ�มฟลดขนาด เขาไปท�ดานหนาสดของเฟรม และ ตอทายจาก CRC (พดอกนยหน�งคอ Encapsulation หอหมเฟรมใหมท�งหมดดวย ISL Field)

การ Encapsulation ท�งสองแบบน�จะกระทาท� Egress Port (พอรท ขาออก) และ สวตซท�จะพจารณาเฟรมน� จะพจารณาหลงจากท�รบเฟรมเขามาทางพอรทขาเขา หรอ Ingress Port

มาตรฐานของ VLAN คอ 802.1Q

เปนมาตรฐานในการนาขอมลของ VLAN membership ใสเขาไปใน Ethernet Frame หรอท�เรยกวา การ Tagging

ถกพฒนาเพ�อแกปญหาเร�องการบรหารจดการดานเครอขายท�เพ�มข�น เชน การกระจายเครอขายใหญๆ ใหเปนสวนยอยๆ (Segment) ทาใหไมสญเสยแบนวธใหกบการ broadcast และ multicast มากเกนไป

เปนการรกษาความปลอดภยระหวางสวนยอยตางๆ ภายในเครอขายใหสงข�น เปนการรกษาความปลอดภยระหวางสวนยอยตางๆ ภายในเครอขายใหสงข�นอกดวย

การตอเตมเฟรม (tagging Frame) ดวยมาตรฐาน 802.1Q น�นจะทาในระดบ Data-Link layer

การทา VLAN Tagging น�นจะเปนการเปล�ยนรปแบบของ Ethernet Frame มาตรฐาน 802.3 ใหเปนรปแบบใหมท�เปนมาตรฐาน 802.3 ac

การ Encapsulation ของ VLAN

Tagging Ethernet Frames for VLAN Identification

เฟรม tagging ใชในการสงเฟรมขาม VLAN ผานทาง Trunk Port

Switches จะใช tag frames เพ�อใชระบ VLAN วามาจาก VLAN ใด มโปรโตคอลท�ใชใน tagging ท�ตางกน IEEE 802.1q เปนโปรโตคอลท�ไดรบความนยมมาก

โปรโตคอลใชกาหนดโครงสรางของ tagging header ท�เพ�มไปยงเฟรม โปรโตคอลใชกาหนดโครงสรางของ tagging header ท�เพ�มไปยงเฟรม

สวทชจะเพ�ม VLAN tags ไปท�เฟรมกอน frames สงไปท� trunk links และเอาtags ออกกอนจะสงตอไปยงพอรตท�ไมใช trunk ports

อกหน�งคณสมบตของ tagged คอเฟรมสามารถสงผานสวตชใดๆ ผานทาง trunk links และยงคงสงตอไปเร�อยๆ จนถง VLAN ปลายทางท�ถกตอง

Tagging Ethernet Frames for VLAN Identification

Native VLAN

Native VLAN เปน VLAN ท�ใชสาหรบบรหารจดการหรอตดตอส�อสารกนระหวางอปกณ (ในท�น�หมายถง Switch)

การทา trunk port น�น จะมการ encapsulate ของหมายเลข vlan น�นๆ และตด tag header ไปกบ frame ดวยและอปกรณปลายทาง (Switch) จะทราบวาเปนแพกเกจจาก VLAN ใด แต Native VLAN จะไมมการ ทราบวาเปนแพกเกจจาก VLAN ใด แต Native VLAN จะไมมการ encapsulate อปกรณปลายทางหากไมพบ tag header กจะเขาใจวาเปน Native VLAN

ปกตหากไมมการกาหนดหมายเลข Native VLAN อปกรณจะกาหนดให VLAN 1 เปน Native VLAN โดยอตโนมต แตเพ�อความปลอดภยควรเปล�ยนเปนหมายเลข VLAN อ�น

Native VLANs and 802.1q Tagging

เฟรมท�เปน native VLAN จะไมถกเพ�มแทก

เฟรมท�ไดรบมาไมมแทกและกลายเปน native VLAN เม�อสงตอ

หากมพอรตไมใช native VLAN และไมไดเช�อมตอกบ Trunk เฟรมท�มแทกจะถกดรอปท�งมแทกจะถกดรอปท�ง

ในสวทชของซสโก native VLAN จะเปน VLAN 1 โดยคาเร�มตน

Trunking

การเช�อมตอระหวางสวตชโดยใชสายเพยงแค 1 เสนหรอท�เราเรยกกนวา Uplink น�นเปนเร�องท�มกนมานานแลว แลวกใชงานกนมาจนถงปจจบน

ซ� ง IEEE กไดสรางมาตรฐานข�นมาใหมท�เราเรยกวา IEEE 802.3ad หรอเรยกเปนภาษาเทคนควา Aggregate Link หรอเรยกเปนภาษาทางการตลาดวา Trunking

Trunking ไมใชการเพ�มความเรว แตเปนการลดเวลา เพราะกลมของพอรตของสวตชตวหน�งจาเปนจะตองส�อสารกบกลมของพอรตของสวตชอกตวหน�ง การส�อสารกคอตวหน�งจาเปนจะตองส�อสารกบกลมของพอรตของสวตชอกตวหน�ง การส�อสารกคอการสงขอมลแลกเปล�ยนขามฝ�งกนไปมา เหมอนกบฝ�งธนฯกบฝ�งพระนคร แตมสะพานแคอนเดยวมาเช�อม ซ� งรถกจะตดเปนขบวนเพราะตอง“ เขาคว “

ดงน�นการวดความเรวของขอมลแตละช�นท�ว�งขามแตละสะพานกทาไมไดแลว แตเราจะวดจากจานวนของขอมลท�งหมดท�สามารถว�งขามสะพานท�งหมดไดใน 1 วนาท ซ� งในทางเทคนคจะไมเรยกวาเปนการวด Speed แตเปนการวดThroughput หรอความสามารถในการทะลผาน

VLAN Trunks

ทฤษฏของ Access Port และ Trunk Port

ในการสราง VLAN น�น พอรทของสวตซน�น จะทาหนาท�อย สองประเภท คอ ACCESS PORT และ TRUNK PORT

ซ�งจะมหนาท�ในการทางานตางๆ กนไปตามท� System Administrator จะเปนคนกาหนดไว

Access Port

เปนพอรทท�ทาหนาท�เช�อมตอระหวางสวตซจาก Client ไปยงสวตซ ซ�งเราจะใชสายแลนแบบสายตรง (Straight Through) ในการเช�อมตอ

พอรทท�ถกเซตใหเปน Access Port น� จะมทราฟฟกของ VLAN เพยง VLAN เดยว ท�ว�งผานออกยงพอรทน� ซ� งตวอยางในการเซตพอรทใหเปน Access Port น� คอ เปน Access Port น� คอ

• พอรทท� เซตระหวางสวตซ และ Client

• พอรทท� เซตระหวางสวตซ และ Server

• พอรทท� เซตระหวาง สวตซ และ เราเตอร (มขอแมวา เราเตอรตวท�เช�อมตอน�น จะตองไมใชเราเตอรท�ทาหนาท�ในการเราททราฟฟกของ Inter VLAN)

Trunk Port

เปนพอรททาหนาท� เช�อมตอสวตซตวอ�นๆ ท�ตองการใหเปนสมาชกของVLAN ตางๆกนมาอยดวยกน

ทาหนาท�สงผานทราฟฟกของ หลายๆ VLAN ให กระจายไปยงสวตซตวอ�นๆ ท�มพอรทท�ถกกาหนดใหเปน VLAN เดยวกนกบสวตซตวตนทางได หรอท�เรยกกนโดยท�วไปวา UPLINK PORT ได หรอท�เรยกกนโดยท�วไปวา UPLINK PORT

ตวอยางในการเซตพอรทใหเปน Trunk Port น� คอ

• พอรทท�ทาหนาท�เช�อมตอไปยงสวตซตวอ�นๆ เชน UPLINK PORT

• พอรทท�ทาหนาท�เช�อมไปยงเราเตอรตวท�ทาหนา เราททราฟฟกระหวาง VLAN

Access Port และ Trunk Port

ประโยชนท�จะไดรบจากการทา VLAN

สรางกลไกดานความปลอดภยไดงายข�น เชน การสราง Access Control List บนอปกรณ Layer3 และลดความเส�ยงการดกจบขอมล (Sniffing)

จากดการแพรกระจายของ Broadcast traffic ไมใหสงผลกระทบตอประสทธภาพโดยรวม

ผใชสามารถยายไปยง VLAN (Subnet) อ�น ดวยการเปล�ยน config ของ switch และ IP Address ของ Client ไมจาเปนตองมการยาย switch หรอ สายใด ๆ

สามารถวเคราะห ปญหาท�เกดข�นในระบบไดงายข�น เชน สามารถวเคราะห ปญหาท�เกดข�นในระบบไดงายข�น เชน

• ในระบบมการแบง VLAN ไว 3 แผนก ไดแก sale , engineer และ server วนหน�ง ผใชของ sale โทรมาแจงปญหากบ admin วาเลน Internet ไมได

• Admin ควรจะถาม user กลบไปวาคนอ�นในแผนกเปนดวยหรอไม ถาไมกแสดงวาเปนท�เคร�องของ user คนน�นคนเดยว

• แตถาหากเปนท�งแผนก กตองโทรเชคกบแผนก engineer ดวยวาเปนเหมอนกนหรอไม ถาไมเปน แสดงวาเปนท�แผนก sale แผนกเดยว ดงน�นกทาการตรวจเชคปญหาท�แผนก sale อยางเดยว

จะเหนไดวาการวเคราะหปญหางายข�นมากและการขอบเขตในการวเคราะหปญหากแคบลง ท�สาคญตอนการแกปญหากควรนาหลกการ OSI Layer เขามาชวยจะทาใหหาสาเหตไดเรวข�น

VLAN 1

VLAN โดยคาดฟอลท (Default) ทกๆ พอรทของสวตซน�น จะถกจดใหอยใน VLAN 1 หรอ ท�เรยกกนวา “Management VLAN”

เราจะไมสามารถลบ VLAN 1 น� ได และ หมายเลข VLAN น� สามารถสรางไดต�งแตหมายเลข 1 – 1005

VLAN 1

ชนดของ VLAN ม 2 ชนด

1. Static VLAN เลอกตามเลขพอรต 2. Dynamic VLAN คอการเลอกสมาชกVLAN โดยพจารณาจาก MAC address ท�ตองการ

Static VLAN

Static VLAN หรอ อกช�อหน�งคอ Port-Based Membership จะเปนการพจารณาความเปนสมาชกของ VLAN หน�งๆ โดยดจากพอรท

ซ�งพอรทของสวตซท�เช�อมตออยกบ Client น�น ถงแมวาจะเปนพอรทของสวตซเดยวกน แตหากพอรทท�งสองน�นอยคนละ VLAN กน กไมสามารถท�จะตดตอกนได หากไมมอปกรณในเลเยอร 3 มาชวยในการสามารถท�จะตดตอกนได หากไมมอปกรณในเลเยอร 3 มาชวยในการเราททราฟฟก

ซ�งการเซตพอรทแตละพอรทใหเปนสมาชกของ VLAN ใดๆ น�น จะถกกระทาแบบ Manual จาก System Administrator

Static VLAN

Dynamic VLAN

Dynamic VLAN เปนการกาหนด VLAN ใหกบเคร�อง Client โดยพจารณาจากหมายเลข MAC Address ของ Client

เม�อ Client ทาการเช�อมตอไปยงสวตซตวใดๆ สวตซท�รน Dynamic VLAN น�กจะไปหาหมายเลข VLAN ท� MAP กบ MAC Address น� จาก Database สวนกลางมาใหDatabase สวนกลางมาให

ซ�ง System Administrator สามารถท�จะเซตหมายเลข MAC Address ในการจบคกบ VLAN ไดท� VLAN Management Policy Server (VMPS)

Dynamic VLAN

รปแบบอ�นๆ ของ VLAN

1. Layer 1 VLAN : Membership by ports ในการแบง VLAN จะใชพอรตบอกวาเปนของ VLAN ใด เชนสมมตวาในสวตชท�ม 4 พอรต กาหนดให พอรต 1, 2 และ 4 เปนของ VLAN เบอร 1 และพอรตท� 3 เปนของ VLAN เบอร 2

Port VLAN Port VLAN

1 1

2 1

3 2

4 1

2. Layer 2 VLAN : Membership by MAC Address ใช MAC Address ในการแบง VLAN โดยใหสวตชตรวจหา MAC Address จากแตละ VLAN

MAC Address VLAN

1212354145121 1 1212354145121 1

2389234873743 2

3045834758445 2

5483573475843 1

3. Layer 2 VLAN : Membership by Protocol types แบง VLAN โดยใชชนดของ protocol ท�ปรากฏอยในสวนของ Layer 2 Header ดรปท� 3

Protocol VLAN

IP 1

IPX 2

4. Layer 3 VLAN : Membership by IP subnet Address แบง VLAN โดยใช Layer 3 Header น�นกคอใช IP Subnet เปนตวแบง

IP Subnet VLAN

23.2.24 1

26.21.35 2

5. Higher Layer VLAN's ทาไดโดยใชโปรแกรมประยกตหรอ service แบง VLAN เชนการใชโปรแกรม FTP สามารถใชไดใน VLAN 1 เทาน�น และถาจะใช Telnet สามารถเรยกใชไดใน VLAN 2 เทาน�น เปนตน

Protocol VLAN Protocol VLAN

FTP 1

Telnet 2

VLAN Ranges On Catalyst Switches

Catalyst 2960 และ 3560 Series switches รองรบมากกวา 4,000 VLANsแบงเปน 2 กลม:

Normal Range VLANs

• VLAN numbers from 1 through 1005

• Configurations stored in the vlan.dat (in the flash)

•Configurations stored in the vlan.dat (in the flash)

• VTP can only learn and store normal range VLANs

Extended Range VLANs

• VLAN numbers from 1006 through 4096

• Configurations stored in the running-config (in the NVRAM)

• VTP does not learn extended range VLANs

Creating a VLAN

Assigning Ports To VLANs

Assigning Ports To VLANs

Changing VLAN Port Membership

Changing VLAN Port Membership

Deleting VLANs

Verifying VLAN Information

Virtual Trunking Protocol (VTP)

ในการท�เราจะสราง VLAN หน�งๆ ข�นมาใชงานน�น เราจาเปนท�จะตองสราง VLAN ท�ตวสวตซหน�งๆ (รวมถงต�งช�อให VLAN ในบางกรณ)

ซ�งหากวา ใน Infrastructures ของเราน�น มสวตซหลายๆ ตวอยในระบบน�น การท�จะสราง VLAN ทกๆ VLAN ข�นมาน�น คงเปนเร�องท�เสยเวลามากเลยทเดยว มากเลยทเดยว

ดงน�น ทางซสโก จงมเทคนคท�จะทาใหเราสามารถออกแบบ และ สรางหมายเลข VLAN ท�จดๆ เดยว และมการกระจาย (Propagation) ไปยงสวตซตวอ�นๆ ภายในเนตเวรกของเราได

VTP Operation

เม�อเร�มแรก ตองโปรโมทสวตซตวหน�งๆ ข�นมาทาหนาท�เปน VTP Server ใหกบ สวตซทกๆตวในเนตเวรก โดยการสราง VLAN ข�นท�สวตซตวน�

เม�อเรานาสวตซตวอ�นๆ มาตอกบมนดวย (สวตซตวแรก จะตองถกเซตใหเปน VTP Server Mode และ สวตซตวตอๆ มา จะตองถกเซตเปน VTP Client Mode และมการเซตโดเมนเนมภายในสวตซใหเหมอนกน (อยางนอยท�สด ในคร� งแรกท�นาสวตซตวอ�นๆ มาตอกบ VTP Server สวตซตวอ�นๆ จาเปนท�จะตองอยในสถานะ

อยางนอยท�สด ในคร� งแรกท�นาสวตซตวอ�นๆ มาตอกบ VTP Server สวตซตวอ�นๆ จาเปนท�จะตองอยในสถานะ Client Mode จนกระท�งไดเรยนร VLAN Number เรยบรอยแลว)

เม�อเราเช�อมตอในลกษณะน�แลว ทาง VTP Server น�น จะเปนตวแพรกระจายหมายเลข VLAN ใหแก Client Switch เอง เราเพยงแตทาหนาท�เซตพอรทของสวตซน�นๆ ใหวามนอยใน VLAN ใด หรอพอรทใดท�ทาหนาท�เปน Access Port หรอ Trunk Port เทาน�น

VTP Terminology

VTP Domain เปนการรวมกลมของสวตซท�งหมดท�มการบรหารจดการ VLAN เหมอนกน มาอยดวยกน และจะม ดาตาเบสของ VLAN เปนชดเดยวกน และ สวตซจะไมแชรดาตาเบสภายในโดเมนของตน ใหแก โดเมนอ�นๆ

VTP Modes

• Server: สวตซโหมดน�จะมอสระอยางเตมท�ในการเพ�ม-ลบ VLAN น�นๆ ได

• Client: สวตซโหมดน� จะสามารถทาไดเพยงแค รบหมายเลข VLAN มาจาก VTP Server เทาน�น• Client: สวตซโหมดน� จะสามารถทาไดเพยงแค รบหมายเลข VLAN มาจาก VTP Server เทาน�น

• Transparent: สวตซโหมดน� จะไมเก�ยวของในการอพเดตหรอ รบรเก�ยวกบ สวตซตวอ�นๆ แตจะสงตอเฟรมท�ว�งผานตวมนไปยงปลายทางไดผานทางพอรท Trunk ของมน จดประสงคของ VTP Transparent Mode น� มกใชในการ Save Configurations ของสวตซ

ในการประกาศ VLAN ของ VTP Server น�น จะใชวธการสงหมายเลข VLAN และ หมายเลข VTP Advertisement ออกไปยง VTP Client อ�นๆ โดยการสงผาน Multicast IP Address ซ� ง VTP Server ท�ม VTP Advertisement ท�มคาสงสด Client จะรบฟงและ Update ขอมลตาม VTP Server น�นๆ

Configuration VTP

VTP Sever

Switch# config terminal

Switch(config)# vtp mode server

Switch(config)# vtp domain eng_group

Switch(config)# vtp password mypass

Switch(config)# end

VTP Client

Switch# config terminal

Switch(config)# vtp mode client

Switch(config)# vtp domain eng_group

Switch(config)# vtp password mypass

Switch(config)# endSwitch(config)# end Switch(config)# end

Inter-VLAN Routing

การส�อสารระหวางตาง VLANs ตองใช Router หรอ Switch Layer 3

ซ�งเทคนคการเอาเราเตอรมาใช เรยกวา “Routes on a stick” และเทคนคการเอาสวตซเลเยอร 3 มาใช เรยกวา “Switch Virtual Interface (SVI)”

รปแบบในการเช�อมตอแบบ Routes on a stick น� เราเตอรจะใชเพยง Fast Ethernet อยางนอย 1 พอรทในการตอเขากบสวตซ และ มการเซต Sub-Ethernet อยางนอย 1 พอรทในการตอเขากบสวตซ และ มการเซต Sub-Interface ท�รองรบ VLAN น�นๆ เพ�อทาหนาท�เราททราฟฟกระหวาง VLAN

ตองเซตพอรตของสวตซพอรตน�นเปน Trunk Port ดวย และพอรตของเราเตอร จะตองมการเซต Encapsulation ในแบบท� สวตซตวน�นๆ ยอมรบ

VLAN Basic LAB 1

1. สราง หมายเลข VLAN และ ช�อของ VLAN ข�นมากอน2. กาหนด port (interface) ท�ตองการใหอย VLAN น�นๆ

การสราง VLAN

• Switch 1Switch1 > enableSwitch1 # configure terminalSwitch1 (config)# vlan 2Switch1 (config-vlan)# name AdminSwitch1 (config-vlan)# vlan 3Switch1 (config-vlan)# vlan 3Switch1 (config-vlan)# name User

การกาหนด interface ใหกบแตละ VLAN

Switch1 > enable

Switch1 # configure terminal

Switch1 (config)# interface fa0/2Switch1 (config-if)# switchport mode accessSwitch1 (config-if)# switchport access vlan 2Switch1 (config-if)# no shutdown

Switch1 (config)# interface fa0/4Switch1 (config-if)# switchport mode accessSwitch1 (config-if)# switchport access vlan 3Switch1 (config-if)# no shutdown

Switch1 (config)# interface fa0/5Switch1 (config-if)# switchport mode accessSwitch1 (config-if)# switchport access vlan 3

Switch1 (config-if)# no shutdown

Switch1 (config)# interface fa0/3Switch1 (config-if)# switchport mode accessSwitch1 (config-if)# switchport access vlan 2Switch1 (config-if)# no shutdown

Switch1 (config-if)# switchport mode accessSwitch1 (config-if)# switchport access vlan 3Switch1 (config-if)# no shutdown

Switch1 (config)# interface fa0/1Switch1 (config-if)# switchport mode trunk

การกาหนด interface ใหกบแตละ VLAN

การ config VLAN ท� switch 2 รปแบบ config เหมอนกน

สามารถ manage port หลาย port พรอมกนไดดวย range เชนSwitch2 (config)# interface range fa0/2-3Switch2 (config-if-range)# switchport mode accessSwitch2 (config-if-range)# switchport access vlan 2Switch2 (config-if-range)# switchport access vlan 2Switch2 (config-if-range)# no shutdown

ถา port ท� set ไมเรยงตอกนใช ( , ) ชวยได เชนSwitch1 (config)# interface range fa0/2 , fa0/5 , fa0/10 , fa0/20

การดสถานะของ VLAN

สามารถดสถานะของ interface และ VLAN ท� privilege mode ไดดวยคาส�ง

• show vlan หรอ

• show vlan brief

จากน�นลอง ping ด จะ ping เจอเฉพาะ VLAN ตวเองเทาน�น จากน�นลอง ping ด จะ ping เจอเฉพาะ VLAN ตวเองเทาน�น

Lab 2 InterVLAN Routing

InterVLAN Routing คอการตดตอส�อสารกนระหวาง VLAN ทาใหตางVLAN ตดตอหรอแลกเปล�ยนขอมลกนไดโดยมอปกรณ Layer 3 เปนตวเช�อมหรอเปน Gateway ใหน�นเอง

จงทาให VLAN 2 และ VLAN 3 ตดตอกนได ดวยการ Config Inter จงทาให VLAN 2 และ VLAN 3 ตดตอกนได ดวยการ Config Inter VLAN ท� Router CISCO

Lab InterVlan Routing

กาหนด IP ของ PC ตามรปดานบนVLAN 2 เปน Network 192.168.1.0/24 Gateway คอ 192.168.1.254VLAN 3 เปน Network 192.168.2.0/24 Gateway คอ 192.168.2.254

รปแบบ Config Inter VLAN บน Router CISCO

Router(config)#interface f0/0Router(config-if)#no shutdownRouter(config)#interface f0/0.1Router(config-subif)#encapsulation dot1Q VLAN IDVLAN IDRouter(config-subif)#ip address IP addresssubnet mask

เฉลย LAB Inter VLAN Routing

Switch-A ท� Fa0/6 ตอง Set เป น Port trunk

SW-A(config)#interface fastEthernet 0/6

SW-A(config-if)#switchport mode trunk

ท� Router config ท� Router config

Router1(config)#interface fastEthernet 0/0Router1(config-if)#no ip addressRouter1(config-if)#no shutdown

แบง Sub Interface และ Show ip route ผลท�ไดตามดานลางRouter1(config)#interface fastEthernet 0/0.2

Router1(config-subif)#encapsulation dot1q 2

Router1(config-subif)#ip address 192.168.1.254 255.255.255.0

Router1(config)#interface fastEthernet 0/0.3Router1(config)#interface fastEthernet 0/0.3

Router1(config-subif)#encapsulation dot1q 3

Router1(config-subif)#ip address 192.168.2.254 255.255.255.0

ใชคาส�งเพ�อแสดง routing table Router1# Show ip route

Summary

Allows an administrator to logically group devices that act as their own network

Are used to segment broadcast domains

Some benefits of VLANs include Cost reduction, security, higher performance, better managementperformance, better management

Types of Traffic on a VLAN include• Data

• Voice

• Network protocol

• Network management

Trunks A common conduit used by multiple VLANS for intra-VLAN communication

IEEE 802.1Q

• The standard trunking protocol

• Uses frame tagging to identify the VLAN to which a frame belongs• Uses frame tagging to identify the VLAN to which a frame belongs

• Does not tag native VLAN traffic