Wat in de wereld van networking ook zeer interessant is en mooi om in de praktijk te brengen is, zijn vLAN’s

Maar wat is een vLAN eigenlijk ?
Een vLAN is simpel gezegd een Virtual LAN.
Je kunt als je verschillende subnets wilt implementeren voor verschillende toepassingen of apparaten er voor kiezen om fysieke switches te gaan gebruiken.
Dat werkt prima, maar als je 20 subnets hebt, wordt het er niet praktischer op om 20 switches te gaan inzetten.
Voor de kosten hoef je het niet te doen evenals het beheren ervan.
vLAN’s gebruiken is effectief, flexibel en makkelijk te implementeren.

Om gebruik te kunnen maken van vLAN’s heb je een managed Switch nodig. Een switch die je dus kunt beheren.
Het is het noodzakelijk dat je een Layer 2 Switch hebt aangezien vLAN’s op layer 2 (Data link layer) van het OSI model opereren :

Een vLAN is niks anders als een virtuele switch. Op een managed switch is het mogelijk om in 1 fysieke switch meerdere virtuele switches te configureren en daar poorten aan toe te wijzen.
We gaan nu niet héél erg diep op het vLAN gebeuren in, maar we pakken even een paar praktische voorbeelden erbij wat we met vLAN’s kunnen bereiken.

Doelstelling :

Hierboven zien we Switch A en Switch B
Elke switch heeft 3 vLAN’s 1,2 en 3
Switches A en B zijn met elkaar verbonden met een Trunk. Een trunk is het transport van vLAN’s tussen verschillende switches.
in een vLAN kennen we Tagged en Untagged poorten.
een tag is niets anders als een label aan netwerkverkeer zodat duidelijk is bij welk vLAN dit verkeer hoort.
Een trunk zal dus altijd Tagged zijn verkeer afleveren anders weet de ontvangende switch natuurlijk niet bij welk vLAN dit hoort.
Alle 3 VLAN’s zijn gescheiden, dus apparaten in vLAN_1 kunnen niet “kijken” in VLAN_2 of VLAN_3

Het voordeel in dit voorbeeld is dat we met 2 switches die we bijvoorbeeld op 2 sites hebben geplaatst, 3 subnets kunnen afleveren, maar dat kunnen er net zo goed 30 zijn.

TRUNKS :
Tagged vs. Untagged :
Een trunk zal dus altijd zijn verkeer tagged afleveren en ontvangen om de pakketjes in het juiste vLAN terecht te laten komen.
Untagged poorten zijn in de meeste gevallen bedoeld voor de endpoints zoals computers, laptops, printers etc.
Soms kun je een endpoint ook Tagged aansluiten zoals bijvoorbeeld een WiFi Access Point die meerdere SSID’s uit laat komen op meerdere vLAN’s

In de praktijk :
Laten we eens een config voorbeeldje pakken :

We loggen in op een HP 24 poorts Procurve managed switch waarbij poort 23 en 24 als trunk wordt ingericht naar Switch B
Poort 1-10 is voor vlan_1
Poort 11-20 is voor vlan_2
Poort 21-22 is voor vlan_3

Om de switch te configgen gebruiken we het commando conf t gevolgd door enter
Vervolgens de volgende commando’s (elke regel gevolgd door enter):

trunk Trk1 23-24 trunk
vlan 1
tagged Trk1
untagged 1-10
vlan 2
tagged Trk1
untagged 11-20
vlan 3
tagged Trk1
untagged 21-22
wr mem

Bovenstaande config kun je op Switch B ook laden aangezien we voor dit voorbeeld voor gelijke configs gaan.
Nu kun je een netwerkkabel in poort 24 van beide switches steken om de trunk te activeren.
In Switch A kun je een computer in poort 1-10 (VLAN_1) prikken en op Switch B ook en ze zullen met elkaar kunnen communiceren.
Prik je de computer in Switch A op poort 11-20 (VLAN_2), dan zul je merken dat ze niet meer kunnen communiceren ; ze bevinden zich in verschillende netwerken.
Wanneer je de computer op Switch B in poort 11-20 prikt, zitten de computers weer in hetzelfde vLAN en is communicatie weer mogelijk.

Een tip :
Wanneer je twijfelt of een configuratie wel of niet gaat werken op een switch, kun je eerst de config uitwerken in notepad en dan kopieer en plak je de config in de CLI van de switch.
Gebruik het commando wr mem dan nog niet ! dit zorgt er namelijk voor dat de config wordt vastgelegd.
Wanneer je je zelf buitensluit van de switch kom je er namelijk niet meer gemakkelijk bij wat vaak tot het resetten van de switch leidt.
Mocht het gebeuren dat na het configgen de switch onbereikbaar wordt, haal je gewoon de spanning van de switch en dan weer opnieuw opstarten.
Alle niet opgeslagen wijzigingen zijn dan weg en de switch start weer op met de laatst opgeslagen configuratie.

Routering inrichten op de switch :
We gaan een stapje verder….
Wanneer je een layer 3 switch hebt, kun je verkeer ook gaan routeren waardoor je dus een switch als router in kunt zetten.
Indien je gebruik maakt van meerdere vLAN’s kun je de switch als router gaan gebruiken om daarmee je Firewall/Internet router te ontlasten.

Voor het gemak pakken we voorgaande config er even bij en passen deze aan door de rode commando’s toe te voegen :
Om de configuratie overzichtelijk te houden, kunnen we vLAN’s ook namen geven, deze zijn in het groen weergegeven
Let op : We gebruiken 10.0.0.254 als onze internet router, dat wordt dus de default gateway voor de switch waar het niet routeerbare verkeer naar toe gestuurd wordt

Switch A :

ip routing
ip route 0.0.0.0 0.0.0.0 10.0.0.254
trunk Trk1 23-24 trunk
vlan 1
name “SERVER VLAN”
ip address 10.0.0.1 255.255.255.0
tagged Trk1
untagged 1-10
vlan 2
name “WERKSTATION VLAN”
ip address 10.1.0.1 255.255.255.0
tagged Trk1
untagged 11-20
vlan 3
name “GASTEN VLAN”
ip address 10.2.0.1 255.255.255.0
tagged Trk1
untagged 21-22
wr mem

Switch B kunnen we ongewijzigd laten tenzij we gebruik willen maken van failover en VRRP mits de switch dit ondersteund.
Op de clients is het nu van belang dat daar de default gateway nu naar het ip adres van Switch wijst en dat is weer afhankelijk van in welk vLAN je zit met de client.
Nu is het ook mogelijk om tussen de verschillende vLAN’s te communiceren.
Wanneer Switch A verkeer ontvangt wat niet routeerbaar is naar 1 van de vLAN’s, dan gooit de switch dat op zijn default gateway naar 10.0.0.254 zodat deze dit verkeer kan afhandelen.

Nog een stapje verder :
Wanneer je met meerdere vLAN’s werkt, heb je zeer waarschijnlijk ook een DHCP Server draaien in je netwerk.
Als we er in dit voorbeeld vanuit gaan dat in VLAN 1 o.a. je DHCP Server draait, zal een device in VLAN 2 en 3 bij het broadcasten naar een DHCP server geen antwoord ontvangen en dus ook geen ip adres krijgen.
Dit kunnen we oplossen middels het volgende :
Er van uitgaande dat je DHCP Server op 10.0.0.200 draait :
1) Maak op je DHCP Server verschillende scopes aan voor de vLAN’s, dus een scope voor het netwerk 10.0.0.0/24, 10.1.0.0/24 en 10.2.0.0/24
2) Log weer in op de switch en zet deze met conf t in configuratie modus.
3) Voeg bij elk gedefinieerd vLAN een ip helper-address toe. Dit Helper address zorgt ervoor dat DHCP broadcasts worden doorgestuurd naar het opgegeven adres.

Praktisch voorbeeld :

ip routing
ip route 0.0.0.0 0.0.0.0 10.0.0.254
trunk Trk1 23-24 trunk
vlan 1
name “SERVER VLAN”
ip address 10.0.0.1 255.255.255.0
tagged Trk1
untagged 1-10
vlan 2
ip helper-address 10.0.0.200
name “WERKSTATION VLAN”
ip address 10.1.0.1 255.255.255.0
tagged Trk1
untagged 11-20
vlan 3
ip helper address 10.0.0.200
name “GASTEN VLAN”
ip address 10.2.0.1 255.255.255.0
tagged Trk1
untagged 21-22

En tot slot : wr mem

Met deze configuratie kunnen devices in vLAN 2 en 3 dus een IP Adres ophalen van de DHCP Server in vLAN 1

Je kunt vLAN’s ook “omgekeerd” gebruiken wanneer je bijvoorbeeld verschillende vestigingen hebt en middels een Dark Fiber (eigen, dedicated glasvezel verbinding) gekoppeld zijn.
Hier krijg je namelijk ook vLAN’s toegekend.
Zorg er voor dat je een mini GBic module (glasvezel module) in je switch hebt zitten. Maak daar een trunk van en maak vLAN’s aan die je toegewezen hebt gekregen van je Dark Fiber leverancier.
De Trunk laat je tagged uitkomen in alle vLAN’s en voila !

Tot zover de introductie tot vLAN’s !

Mocht je vragen hebben hierover, laat het even weten ! Misschien kan ik je helpen 🙂

Voor het inrichten van een failover naar een backup switch kun je het volgende gebruiken :

“Hoofd” Switch :

Switch natuurlijk eerst in config mode zetten d.m.v. conf t

Eerst VrrP activeren :

router vrrp
virtual-ip-ping
ipv4 enable
exit

Daarna kun je per vLAN VrrP aanzetten :

vlan 2000
name “VLAN_TEST”
untagged 1-12
ip address 10.0.0.1 255.255.255.0
vrrp vrid 1
virtual-ip-address 10.0.0.1
priority 255
enable
exit
exit

Geef het vLAN een fysiek IP-Adres en ken hier een virtual ip address aan toe
vrrp vrid is het virtuele router id, ik gebruik zelf voor elk vlan een nieuw ID.
Priority 255 is de hoogste prioriteit. Wanneer je meerdere switches hebt, kun je de prio’s inrichten en daarmee aangeven welke switch de hoofdswitch wordt na uitvallen van de master.

“Failover” Switch :

Ook hier eerst de switch in config mode zetten en zoals hierboven vrrp activeren.

Daarna het vLAN inrichten :

vlan 2000
name “VLAN_TEST”
untagged 1-12
ip address 10.0.0.2 255.255.255.0
vrrp vrid 1
virtual-ip-address 10.0.0.1
enable
exit
exit

Bijna hetzelfde dus, alleen het fysieke IP adres is natuurlijk anders.

Als alles goed gaat, kun je met “sh vrrp” de status bekijken :

VRRP Virtual Router Statistics Information

Vlan ID : 2000
Virtual Router ID : 1
Protocol Version : 2
State : Backup
Up Time : 20 days
Virtual MAC Address : 00005e-000108
Master’s IP Address : 10.0.0.1
Associated IP Addr Count : 1 Near Failovers : 0
Advertise Pkts Rx : 1797107 Become Master : 1
Zero Priority Rx : 0 Zero Priority Tx : 0
Bad Length Pkts : 0 Bad Type Pkts : 0
Mismatched Interval Pkts : 0 Mismatched Addr List Pkts : 0
Mismatched IP TTL Pkts : 0 Mismatched Auth Type Pkts : 0

Gefeliciteerd ! Je hebt nu een failover gemaakt.