Trafiği, VLAN'ı veya alt ağı segmentlere ayırmanın en iyi yolu?


13

Yaklaşık 200 düğümden oluşan orta büyüklükte bir ağımız var ve şu anda eski papatya dizimli anahtarları istiflenebilir veya şasi tarzı anahtarlarla değiştirme sürecindeyiz.

Şu anda ağımız, her biri ayrı bir alt ağda bulunan alt ağlar aracılığıyla dağılmıştır: üretim, yönetim, fikri mülkiyet (IP), vb. Alt ağlar yerine VLAN'lar oluşturmak daha faydalı olur mu?

Genel hedefimiz darboğazları önlemek, güvenlik için ayrı trafiği önlemek ve trafiği daha kolay yönetmek.


1
muhtemelen farklı vlanslarınız ayrı alt ağlara sahip olacak.
pQd

1
Evan's Bu sorunun cevabını bir süre önce sordum yararlı olabilir: serverfault.com/questions/25907/…
Kyle Brandt

Yanıtlar:


16

VLAN'lar ve alt ağlar farklı sorunları çözer. VLAN'lar Katman 2'de çalışır , böylece yayın alanlarını değiştirir (örneğin). Halbuki alt ağlar geçerli bağlamda Katman 3'tür .

Bir öneri aslında her ikisini de

Örneğin, farklı cihaz türleriniz (Geliştirme, Test, Üretim, Kullanıcılar vb.) İçin VLAN 10-15

VLAN 10, 192.168.54.x / 24 alt ağına sahip olabilirsiniz VLAN 11, 192.168.55.x / 24 alt ağına sahip olabilirsiniz

Ve bunun gibi

Bu, ağınızda bir yönlendiricinizin olmasını gerektirir.

Hangi rotaya ineceğiniz size bağlı (Ağınızı hiç olmadığı kadar iyi biliyorsunuz). Yayın alan adınızın boyutunun bir tür sorun olacağını düşünüyorsanız, VLAN kullanın. Ağ yönetimi etki alanlarınızın boyutunun (örneğin, yönetim ağınız) büyük olasılıkla / 24 üzerinden / 16'ya yakın bir ağ kullanacağını düşünüyorsanız

200 düğümünüz / 24'e sığacak, ancak bu açıkça büyüme için çok fazla alan vermiyor

Sesiyle, farklı cihaz türleri için zaten farklı alt ağlar kullanıyorsunuz. Peki, neden buna sadık kalmıyorsun? İsterseniz, her alt ağı bir VLAN'a bağlayabilirsiniz. Katman 2 segmentasyonu, ağınızın davranışının şu anda nasıl davrandığından değişmesine neden olur

Bunun potansiyel etkisini araştırmanız gerekir.


2
+1 - İstediğim her şeyi söyledi. Mevcut alt ağ tasarımınızı silerseniz, tek ek önerim / 22 veya / 23 kullanarak bir adres alanı oluşturmayı keşfetmek olacaktır. Daha fazla alt ağa ihtiyacınız olduğunu fark ederseniz muhtemelen "kaldır". Sonuçta, artık sadece / 16 veya / 24 ile sınırlı değiliz. Ardından, yayın trafiğini azaltmak için her alt ağı kendi VLAN'ına koyun.
romandas

13

(Bütün gün yoldaydım ve bunun üzerine atlamayı kaçırdım ... Yine de, oyunun sonlarına ne yapabileceğimi göreceğim.)

Genellikle Ethernet'te VLAN'lar oluşturur ve IP alt ağlarını 1'e 1 eşler. Bunu yapmamanın yolları var, ancak kesinlikle "düz bir vanilya" dünyasına yapışmak, bir VLAN oluşturmak, VLAN'da kullanmak için bir IP alt ağı düşünmek, bazı yönlendiriciye o VLAN'da bir IP adresi atamak, bu yönlendiriciyi bağlamak VLAN (fiziksel bir arabirim veya yönlendirici üzerinde sanal bir alt arabirim ile), bazı ana bilgisayarları VLAN'a bağlayın ve tanımladığınız alt ağda IP adresleri atayın ve trafiklerini VLAN'ın içine ve dışına yönlendirin.

Bunu yapmak için iyi nedenleriniz olmadıkça bir Ethernet LAN'ı alt ağlamaya başlamamalısınız. Bunun en iyi iki nedeni:

  • Performans sorunlarını azaltmak. Ethernet LAN'lar süresiz olarak ölçeklenemez. Aşırı yayınlar veya karelerin bilinmeyen hedeflere taşması ölçeklerini sınırlar. Bu koşullardan herhangi birine, Ethernet LAN'da tek bir yayın etki alanının çok büyük olması neden olabilir. Yayın trafiğinin anlaşılması kolaydır, ancak çerçevelerin bilinmeyen hedeflere taşması biraz daha belirsizdir. Anahtar MAC tablolarınızın taştığı anahtarları alırsanız, çerçevenin hedefi MAC tablosundaki girdilerle eşleşmiyorsa, anahtarlar yayın dışı kareleri tüm bağlantı noktalarından taşmaya zorlanır. Bir Ethernet LAN'da, trafik profilini nadiren barındıran (yani,

  • Katman 3 veya üzerindeki ana bilgisayarlar arasında hareket eden trafiği sınırlama / kontrol etme isteği. Katman 2'deki trafiği (ala Linux ebtables) inceleyerek bazı hackery'ler yapabilirsiniz, ancak bunun yönetilmesi zordur (çünkü kurallar MAC adreslerine bağlıdır ve NIC'leri değiştirmek kural değişikliklerini gerektirir) görünen, gerçekten garip davranışlara neden olabilir ( Örneğin, 2. katmandaki HTTP'nin şeffaf proxy'si garip ve eğlencelidir, ancak tamamen doğal değildir ve sorun gidermek için çok sezgisel olmayabilir) ve alt katmanlarda yapılması genellikle zordur (2. katman araçları çubuklara benzer ve katman 3+ endişeleri ile uğraşırken) Ana bilgisayar arasındaki IP (veya TCP veya UDP, vb.) Trafiğini 2. katmandaki soruna saldırmak yerine kontrol etmek istiyorsanız, alt ağlar arasında ACL'li güvenlik duvarlarını / yönlendiricileri alt ağa yapıştırmanız ve alt ağlar arasında yönlendirmelisiniz.

Bant genişliği tükenme sorunları (yayın paketlerinden veya çerçevelerin taşmasından kaynaklanmadığı sürece) tipik olarak VLAN'lar ve alt ağlarla çözülmez. Fiziksel bağlantı eksikliği (bir sunucuda çok az NIC, bir toplama grubunda çok az bağlantı noktası, daha hızlı bir bağlantı noktası hızına geçme ihtiyacı) nedeniyle oluşur ve kazanılandan bu yana VLAN'ları alt ağlar veya dağıtarak çözülemez. kullanılabilir bant genişliği miktarını arttırmaz.

Anahtarlarınızda bağlantı noktası başına trafik istatistiklerini grafik olarak çalışan MRTG gibi basit bir şey bile yoksa , iyi niyetli ama bilgisiz alt ağlarla darboğazları potansiyel olarak tanıtmaya başlamadan önce gerçekten ilk iş siparişinizdir . Ham bayt sayıları iyi bir başlangıçtır, ancak trafik profilleri hakkında daha fazla bilgi almak için hedeflenen koklama ile takip etmelisiniz.

LAN'ınızda trafiğin nasıl dolaştığını öğrendikten sonra performans nedeniyle alt ağları düşünmeye başlayabilirsiniz.

"Güvenlik" söz konusu olduğunda, uygulama yazılımınız ve devam etmeden önce nasıl konuştuğu hakkında çok şey bilmeniz gerekecek.

Birkaç yıl önce medcial bir Müşteri için resonably boyutta bir LAN / WAN için bir tasarım yaptım ve alt ağlar arasında hareket eden trafiği bir " aslında ne tür bir kaide gerektirdiğine dair çok az bilgisi olan ama "güvenlik" ile çok ilgilenen mühendis ". Gerekli TCP / UDP bağlantı noktalarını ve hedef ana bilgisayarları belirlemek için her uygulamayı incelemek için bir teklifle döndüğümde , "mühendis" den bu kadar zor olmaması gerektiğini belirten şok bir yanıt aldım. En son katman 3 varlığını erişim listesi olmadan çalıştırdıklarını duydum, çünkü tüm yazılımlarının güvenilir bir şekilde çalışmasını sağlayamadılar.

Ahlaki: Gerçekten VLAN'lar arasında paket ve akış düzeyinde erişimi denemeye ve düğmelere basmaya çalışacaksanız, uygulama yazılımı ve tel üzerinden nasıl konuştuğunu öğrenme / tersine mühendislik ile çok fazla çalışma yapmaya hazır olun. Ana bilgisayarların sunuculara erişimini sınırlamak, genellikle sunuculardaki filtreleme işleviyle gerçekleştirilebilir. Tel üzerindeki erişimi sınırlamak, güvenlik ve lull yöneticileri yanlış bir şekilde algılayabilir ve bu nedenle "Uygulamayı konuşabilen ana bilgisayarlar" ile sınırlı olduğundan uygulamayı güvenli bir şekilde yapılandırmam gerekmiyor. ağ'." Kablodaki ana bilgisayardan ana bilgisayara iletişimi sınırlamaya başlamadan önce sunucu yapılandırmanızın güvenliğini denetlemenizi öneririm.


2
/ 16'ya gitmeyi öneren cevaplardan sonra bir neden sesi gördüğüme sevindim.
pQd

4
Rasgele büyük veya küçük alt ağlara alt ağ oluşturabilirsiniz. Alt ağ / yayın etki alanındaki ana sayısının sayısını değil, önemli olan mümkün (çok uzun yeterli adres alanına sahip gibi) ana. İfade nedir - alt ağınızın boyutu değil, onu nasıl kullandığınız? > smile <
Evan Anderson

@Evan Anderson: Bunu biliyorum. ancak 64k'nin çok fazla olduğunu, muhtemelen asla kullanılmayacağını ve yönlendirme yapılması gerektiğinde [örneğin uzak DC / ofisler / vb. bağlamak için) soruna yol açabileceğini itiraf etmelisiniz.
pQd

1

Zamanın% 99'u, bir alt ağın bir VLAN'a eşdeğer olması gerekir (yani her erişim alt ağı bir ve yalnızca bir VLAN ile eşleşmelidir).

Aynı VLAN'da birden fazla IP alt ağından ana makineleriniz varsa, iki (veya daha fazla) alt ağ aynı yayın alanında olacağından VLAN'ların amacını bozarsınız.

Alternatif olarak, bir IP alt ağını birden çok VLAN'a koyarsanız, IP alt ağındaki ana bilgisayarlar, yönlendiricinizde proxy ARP etkin olmadığı sürece diğer VLAN'daki ana bilgisayarlarla iletişim kuramaz .


-1 - VLAN'lar yayın alanlarını ayırır. Çarpışma alanları, anahtarlar olarak bilinen köprüler veya çok bağlantı noktalı köprülerle ayrılır. IP alt ağlarının ve yayın / çarpışma alanlarının genel durumda birbirleriyle hiçbir ilgisi yoktur. Ethernet üzerinden IP özelinde, bir IP alt ağının tek bir yayın etki alanına eşlenmesi yaygındır (çünkü ARP, IP adreslerini Ethernet donanım adreslerine çözümlemek için kullanılan protokol yayın tabanlıdır), ancak proxy ile akıllı hile kullanmak mümkündür ARP bir alt ağa sahip olmak için birden fazla yayın alanına yayılmıştır.
Evan Anderson

@Evan: iyi bir nokta - bu bana sabahın erken saatlerinde cevap yazmayı öğretecek. :) Gerçi kalan noktalar yanında duruyorum; aynı VLAN'da birden fazla alt ağ bulunması, L2 yayın trafiğinizin birden fazla alt ağa yayılmasına neden olur; aynı alt ağ için birden fazla VLAN'a sahip olmak işe yarar, ancak proxy ARP gerçekten bundan kaçınabilmeniz için kullanmanız gereken bir şey değildir.
Murali Suriar

-1 kaldırıldı - Söylediğin her şey kesinlikle doğru. Katılıyorum, re: proxy ARP-- Zorlayıcı bir nedenim olmadıkça "gerçek dünyada" kullanmazdım.
Evan Anderson

"IP alt ağlarının ve yayın / çarpışma alanlarının genel durumda birbirleriyle hiçbir ilgisi yoktur." Hayır, kesinlikle genel durumda yaparlar. Her alt ağın bir ağ numarası ve ilişkili bir yayın adresi vardır. ARP dışında başka yayın paketleriniz var. Bu ifadeyi ağlarında çok noktaya yayın trafiğinin olup olmadığını bilmemek yanlış olur. DHCP istemcileri, DHCP sunucularını öğrenmek için IP yayınını kullanır.
Kilo

1
@Evan Anderson Burada neyi özledim. -1'inizi geri çekersiniz. Çarpışma alanları anahtar bağlantı noktaları tarafından dökülür. Bir çarpışma alanındaki 2 veya alt ağ demek saçmadır. Sanırım bir yayın alanında 2 veya daha fazla alt ağ anlamına geliyor .
JamesBarnett

-5

Çoğunlukla David Pashley ile aynı fikirdeyim :

  1. Her şey için tek / 16 kullanıyorum.
    • ancak bir Linux makinesindeki bir yazılım köprüsüyle birleştirilen birkaç VLAN'da segmentlere ayrılmıştır.
    • Bu köprüde, gruplar arasında erişimi filtrelemek için birkaç iptables kuralları var.
    • Nasıl segmentlere ayırırsanız gruplandırın IP aralıklarını kullanın, yeniden yapılandırmayı ve özel durumları kolaylaştırır.

2
Başa çıkmak için bir kabus gibi geliyor!
Evan Anderson

2
-1 Ne kadar büyük bir ağ sürdürdüğünüzü söylemediniz, eğer bir araştırma projesinden bahsediyorsanız, yaşamım boyunca bu tür bir yapılandırmayı kullanmak için bir neden düşünemiyorum. Tanım gereği alt ağlar, gruplama için kullanılan "IP aralıkları" dır. Katman 2'deki yönlendirmenizi yapmak için bir Linux kutusu kullanarak katman 3'ü yeniden keşfediyorsunuz gibi görünmektedir. Muhtemelen gereksiz karmaşıklık tarafından gizlenen sorunlar yaratacaktır. Bu, herkesin sorun gidermesine izin vermek zor bir şey yaratır.
Rik Schneider
Sitemizi kullandığınızda şunları okuyup anladığınızı kabul etmiş olursunuz: Çerez Politikası ve Gizlilik Politikası.
Licensed under cc by-sa 3.0 with attribution required.