Cisco Virtual Local Area Network Teknolojileri

Cisco Virtual Local Area Network Teknolojileri – Bölüm 1

Virtual Local Area Network (VLAN ) bir switch üzerindeki portların gruplandırılmasıyla oluşturulan networkdür . Fiziksel olarak tek network gibi görünmesine rağmen VLAN uygulaması ile sanal olarak ayrı networkler yaratılır ve bu VLAN’lar fiziksel olarak ayrı networklerin birçok özelliğine sahiptir . Switch portlarının ayrı VLAN’lara atanmasıyla her VLAN ayrı bir Broadcast Domain olur yani bir VLAN’a ait portdan yapılan broadcast sadece o VLAN’a ait diğer portlara iletilir.Bunun sağlayacağı network performansının yanısıra network kaynaklarının yer , fonksiyon , departman ve hatta uygulama bazında gruplandırılmasıyla network yönetimi ve güvenliğide kolaylaştırılabilir.

Temel olarak switchler (aksi belirtilmedikçe Layer 2 switchler) collision domaini küçültürler.Bir switch’in her portu ayrı bir collision domain oluşturur . Bu switch’e hub’ın çok üzerinde bir performans sağlar.Fakat switchlerden oluşan networkümüzde collision domain sorunu çözülmüş olsada tüm network hala tek Broadcast Domain’dedir.Ethernet Networkleri yapıları gereği fazlaca broadcast kullanırlar.Bu broadcast networkdeki host sayısı optimum sayıda tutulduğu sürece bir sorun yaratmaz. Networklerde zamanla büyüyen yapılar oldukları için ilk başta tatmin edici bir büyüklüğü olan Broadcast Domain’imiz gün geçtikçe kalabalıklaşır , daha cok host daha çok broadcast yapar sonuç olarak performans ve güvenlik konusunda sorunlar yaşamaya başlayabiliriz. Flat network’de denilen Düz Network’deki temel sorun budur.

1

Düz networklerde tüm hostlar tüm server ve network kaynaklarını görürler ve bunların güvenliği için sadece password’ler kullanılır.

Bu sorunları aşmak için networkümüz bir router aracılığıyla farklı networklere bölünebilir .Routerlar varsayılan olarak broadcast geçirmezler.Dolayısıyla Broadcast Domain deki host sayısı azaltılarak daha temiz bir network yaratılır.Routerlarla ayrılmış bir networkde her network ayrı bir network kimliğine sahip olmalıdır .Bu çözüm ise VLAN uygulamasının esnekliğine sahip değildir ve kaynaklar sadece lokasyona göre gruplandırılabilir.

2

VLAN oluşturarak L2 switching prensibinin bu sorunları ortadan kaldırılabilir.VLAN oluşturarak ikinci katmanda (L2) broadcast domainleri ayırabiliriz.Her VLAN tıpkı bir routerla bölünmüş networkler gibi ayrı network kimliğine sahip olmalıdır.Böylece PC1 networke bir broadcast yaptığında bu broadcast sadece PC1 ile aynı networde olan makinalarca alınır .Dolayısıyla PC2 ve PC3 bu broadcastden etkilenmezler.

3

Yalnız VLAN oluşturmakla performans ve güvenlik konusunda yeni kazanımlar elde etsek de bunun getirdiği bazı sorunlarda vardır ki bunların başında “inter-VLAN routing” (VLAN’lar arası iletişim) gelir .Her VLAN farklı bir network olduğuna göre networklerin iletişim kurmasını sağlayacak ilave bir cihaza ihtiyaç duyarız ki bu cihaz üçüncü katmanda çalışan bir cihaz olmalıdır.Yani routerlara her durumda ihtiyacımız vardır.

VLAN sınırları (VLAN Boundries)

1 - End to End VLAN : Switch networküne yayılmış VLAN’lardan oluşan VLAN uygulamasıdır. Fonksiyon , Proje, Departman veya Uygulama bazında VLAN yaratılacaksa bu yöntem tercih edilebilir. Bir VLAN L2 switched networkünüzdeki birkaç switch üzerinde bulunabilir. Bir kullanıcı yer değiştirecekse veya yeni gelen kullanıcı için bulunduğu departmanda yer yoksa network yöneticisi kullanıcının gittiği yerdeki portu kullanıcının bulunması gereken VLAN’a ekler.80/20 network kuralının geçerli olduğu networkler için bu yapı tavsiye edilir.( 80/20 kuralı bir networkdeki toplam trafiğin 80%’inin yerel 20%’sinin network dışına giden trafik olduğu network)

4

2 – Local VLANs : Fiziksel lokasyona göre ayarlanan VLAN’lardır .VLAN üyelerinin aynı yerde bulunması durmunda kullanılır.End to End VLAN’lara göre uygulaması daha kolaydır. 80/20 kuralının 20/80 kuralına dönüşmeye başladığı günümüz networklerinde kullanıma uygundur. Şirket kaynaklarının merkezi bir networkde bulunduğu ve diğer departmanların kendi networklerinden çok dış networklerde dolaştığı bir yapı için idealdir. Yalnız bu yapı çok miktarda inter-VLAN routing trafiğine maruz kalacağı için hızlı routerlar , L3 switchler , Fast Ether Channel ,Gigabit Ether Channel ve Multi Layer Switching gibi teknolojilerle bu konudaki performans darboğazları aşılabilir.

5

VLAN üyeliği (VLAN memberships)

VLAN’lar oluşturulduktan sonra switch portlarının VLAN’lara atanması gerekir.İki temel port konfigürasyon seçeneği vardır; statik ve dinamik.Statik VLAN uygulaması kolay fakat yönetimi daha uğraş gerektiricidir.Dinamik VLAN kurulum süreci karmaşık fakat yönetimi çok daha kolaydır

1-Statik VLAN’lar (Static VLANs) : Bu tip VLAN üyeliğinde Network yöneticisi switch’in belli portlarını VLAN’a dahil eder.Bu portlar bir daha Network yöneticisi tarafından değiştirilene kadar bu VLAN’a üye kalırlar.En basit ve yaygın kullanılan VLAN üyeliği tipi budur.

6

2-Dinamik VLAN’lar (Dynamic VLANs) : Network yöneticimiz kurulum aşamasında daha fazla çalışıp networkde bulunan tüm cihazların MAC adreslerini bir veri tabanına alır ve network hostlarımızın VLAN üyeliklerini dinamik olarak gerçekleşir .Bu yöntemde MAC adresleri kullanılarak hangi cihaz hangi VLAN’a ait olacak bu belirlenir. Kullanıcı yer değiştirdiğinde yeni gittiği yerdeki switch merkezi MAC veritabanından kullanıcının hangi VLAN’a üye olduğunu bulur ve portu o VLAN’a üye yapar.Cisco VLAN Management Policy Server (VMPS) kullanılarak dinamik olarak MAC adresi – VLAN eşlemesi yapılabilir.

VLAN Tanımlama (VLAN identification)

Switch üzerindeki portlar ya Access Link yada Trunk Link mode’da olurlar .Access Link tek VLAN’a üye olan portdur.Access Link olan bir portda gidip gelen frame’lerde bulunduğu VLAN’a ait kimlik yazmaz . Trunk Link ise varsayılan olarak tüm VLAN’lara üye olan portdur .Trunk Port’lar switchler arası VLAN bilgisinin ve VLAN trafiğinin iletilmesi için kullanılır.Trunk Port’da gidip gelen tüm frame’lerde VLAN kimlikleri yazılıdır. Bir Access Link’den gelen Frame eğer switch’den çıkıp başka bir switch’e gidecekse Trunk Link’e girdiğinde Frame hangi VLAN’a ait ise o VLAN’ın kimliği eklenir böylece diğer switch’e ulaştığında hangi VLAN’a ait olduğu bilinir. Frame o VLAN’a ait Access Link’e girdiğinde de VLAN kimliği Frame ‘den sökülür.Kısaca bu Frame’lere VLAN ID eklenmesi ile gerçekleştirilir . Buna Frame tagging denir ve iki şekilde yapılabilir ; Cisco tarafından geliştirilen Inter Switch Link (ISL) ve IEEE standardı olan 802.1Q. Frame Tagging yapılan port minimum 100Mbit/s yani FastEthernet olmalıdır.

7

VLAN‘lar arası iletişim ( Inter-VLAN Routing )

Bir VLAN’a üye olan bir cihazın bir başka VLAN’daki cihazla görüşebilmesi için üçüncü katmanda ( L3 ) çalışan bir cihaza ihtiyaç vardır. L3 cihaz kullanarak VLAN’lar arası iletim sağlamaya inter-VLAN routing denir.Temel olarak bir L2 cihaza ilave edilen dahili bir yönlendirici (internal route processor) veya harici bir yönlendirici (external route processor) kullanılarak yapılabilir.VLAN dizayn edilirken önce IP subnetleri tasarlanır ve VLAN isimleri verilir. Herbir VLAN ayrı bir IP subnettir bu yüzden bir VLAN’ın tüm üyeleri aynı network kimliğine sahiptirler ve aynı default gateway’i kullanırlar .

Inter-VLAN Routing için üç yöntem kullanılır.

•

Multiple Links (Harici Routera çoklu bağlantı)

•

Router On A Stick (Harici Router’a Trunk Link)

8

•

Dahili Router Modülü (RSM ,MSM)

Multiple Links

Her VLAN için bir Router interface’i olan bir routerın varsa bu yöntemle VLAN’larını görüştürebilirsin.Bu yöntemde routerın her bacağı bir VLAN’a ait Access Link’e bağlıdır.Böylece TrunkLink’e ihtiyaç duymadan VLAN’lar arası iletişim kurulur.Her VLAN üyesi default gateway olarak o VLAN’a bağlı router interface’inin IP adresini kullanır.Bu yapı Local VLAN mimarisi için kullanılabilir.

9

Basit bir uygulama olmasına rağmen her VLAN için ayrı bir interface gerektirmesi bu çözümü özellikle fazlaca VLAN olan bir internetwork için pek uygun bir dizayn olmaktan çıkarır.Böyle bir network dizaynında (collapsed backbone) performans darboğazı muhtemelen routerdan kaynaklanacaktır Dolayısıyla kullanacağın routerın hızlı network kartlarına ve hızlı bir route processor’a sahip olması tercih edilir.Bu yapı için en iyi performans ve yeterli interface sağlayabilecek Router modelleri Cisco 4700 ve 7000 serisidir.

Router On A Stick ( Harici Router’a Trunk Link )

10

VLAN sayın fazlaysa böyle bir senaryoda her bir VLAN’a ayrı bir router interface tahsis etmek zor ve masraflı olacağı için tek router interface’i üzerinden yönlendirme yapılabilir.Bunun için routerda sub interface’ler yaratılır .Sub interface mevcut bir fiziksel interface’in birçok mantıksal interface’e bölünmesidir.Her sub interface bir VLAN’a ait IP aralığından bir IP adresine sahip olur ki bu adres aynı VLAN’daki hostların default gateway adresidir.Routera giden bu tek link birçok VLAN’a ait frame’leri taşıyacağı için Trunk Link olmalıdır.

Routerın Trunk Link’den frame alıp gönderebilmesi için Trunk Link’lerde kullanılan Frame Tagging yöntemlerinden ( ISL , 802.1q ) birini desteklemesi gerekir.Cisco routerlar ISL

11

ile birlikte tek port üzerinden inter VLAN routing yapabilirler.Dolayısıyla routerda ISL destekleyen bir interface bulunmalıdır. ( ve bu interface minimum Fast Ethernet olmalıdır.) Bu yapı için kullanılabilecek en ucuz routerlar Cisco 2600 serisidir.

Dahili Router Modülü (RSM)

Bir L2 switch’e eklenen router modülü ile switch L3 özellikler kazanır , yani networkler arası paket iletebilir.Bu yöntemde Trunk Link oluşturmak ve routera harici bağlantı yapmak gibi adımlara gerek kalmaz switch dahili olarak yönlendirme işlemini gerçekleştirir.

12

Bu yapıda router modülü switch tarafından tek interface’e sahip (ve varsayılan olarak tek bir MAC adresi kullanan) harici bir router gibi görülür. Aslında switchin bakış açısından görüntü Router On A Stick uygulaması gibidir. Dahili modüllerde switchin içinde bulunmasına rağmen aslında bağımsız bir birimmiş gibi çalışırlar. Switch içinde bulunan Route Module’e bağlanıldığında sanki harici bir routera bağlanılmış gibi bir router IOS ile karşılaşırız.Cisco Catalyst 5000 ve 6000 serisi modüler switchlere eklenen internal route processor’lar ile bu switchlere L3 kabiliyetler kazandırılabilir.

13