Prácticas PRÁCTICA 6. VLANs: Virtual Local Area Networks

Transcripción

1 Redes de Área Local e Interconexión de Redes Prácticas PRÁCTICA 6. VLANs: Virtual Local Area Networks 1. Introducción Una VLAN (Virtual Local Area Network) o red virtual es un grupo flexible de dispositivos que se encuentran en cualquier sitio de una red de computadores pero que se comunican como si estuvieran en el mismo segmento físico. Con las VLANs se puede segmentar la red sin restringirse a las conexiones físicas. Las ventajas que nos pueden aportar las VLANs son entre otras: Proporcionan una segmentación de la red flexible (escalabilidad). Es muy fácil cambiar y mover dispositivos en la red (mejor gestión de recursos) Facilidad de encontrar y aislar averías Proporcionan seguridad extra (los dispositivos sólo pueden comunicarse directamente con otros dispositivos que están en la misma VLAN) Control de tráfico de broadcast Separación de protocolos Q (VLAN Tagging) Es una modificación al estándar de Ethernet. El protocolo IEEE 802.1Q fue un proyecto del grupo de trabajo 802 de IEEE para desarrollar un mecanismo que permita a múltiples redes con puentes para compartir transparentemente el mismo medio físico sin problemas de interferencia entre las redes que comparten el medio (Trunking). Es Página 1

2 también el nombre actual del estándar establecido en este proyecto y se usa para definir el protocolo de encapsulamiento usado para implementar este mecanismo en redes Ethernet. Permite identificar a una trama como proveniente de un equipo conectado a una red determinada. Una trama perteneciente a una VLAN sólo se va a distribuir a los equipos que pertenezcan a su misma VLAN, por lo que: Separamos dominios de Broadcast Separamos usuarios Formato de la trama Q en realidad no encapsula la trama original sino que añade 4 bytes al encabezado Ethernet original. El valor del campo EtherType se cambia a 0x8100 para señalar el cambio en el formato de la trama. Formatos de trama (tradicional) y 802.1Q La VLAN tag se inserta en la trama Ethernet entre el campo Source MAC Address y el campo Length. Los primeros 2 bytes del VLAN tag consisten en el Tag Type" (tipo de tag) de 802.1Q y siempre está puesto a 0x8100. Los últimos 2 bytes contienen la siguiente información: Los primeros 3 bits son el campo User Priority Field que pueden ser usados para asignar un nivel de prioridad. El próximo bit es el campo Canonical Format Indicator (CFI) usado para indicar la presencia de un campo Routing Information Field (RIF). Los restantes 12 bits son el VLAN Identifier (VID) que identifica de forma única a la VLAN a la cual pertenece la trama Ethernet. Con el agregado del VLAN tag, el estándar 802.3ac permitió que la longitud máxima de la trama Ethernet fuese extendida de 1518 a 1522 bytes Configuración en los Switches Existen dos tipos de puertos: 1. Puertos de acceso Se conectan las estaciones directamente. Mapean el puerto a una VLAN programada. Cuando entra una trama Ethernet se le añade el TAG de 802.1Q. Página 2

3 Cuando sale una trama 802.1Q se le quita el TAG 2. Puertos 1Q Trunk Se utilizan para conectar Switches entre si y que pase la infomación de VLANs a través de ellos Las tramas que le llegan y que salen llevan el Tag 802.1Q VLANs nativas. El punto 9 del estándar define el protocolo de encapsulamiento usado para multiplexar varias VLAN a través de un solo enlace, e introduce el concepto de las VLAN nativas. Las tramas pertenecientes a las VLAN nativas no se modifican cuando se envían por medio del trunking. Las VLAN nativas también se conocen con el nombre de "VLAN de administración", dado que desde los ordenadores conectados a dichas VLANs serán desde los que configuraremos los switches y podremos administrar las VLANs. Los fabricantes generalmente distribuyen sus equipos con la VLAN id 1 configurada como VLAN nativa, VLAN por defecto y VLAN de administración. Esto quiere decir que por defecto, todos los puertos del Switch pertenecen a la VLAN 1. Si un puerto lo añadimos a otra VLAN creada posteriormente, dejará por tanto de pertenecer a la VLAN de administración. Solo se puede tener una VLAN nativa por puerto. 2. Objetivos de la práctica El aula dispone de la siguiente electrónica de red para la realización de la práctica (del fabricante 3Com): Switches SW-1, SW-2, SW-3 y SW-4 modelo 3Com SuperStack II 610 (24 puertos a 10Mbps) Switches SW-5, SW-6 y SW-7 modelo 3Com SuperStack II 1100 (24 puertos a 10Mbps) Se trata de dividir el laboratorio en VLANS (grupos de 2 PC s), además tendremos reservado un PC por cada switch que utilicemos, que se utilizarán para la administración del switch correspondiente, por lo que deberá estar conectado a la VLAN 1 ó VLAN de administración. En VLAN (grupo), uno de los PCs ejecutará el capturador de tramas Ethereal y el otro lanzará difusiones de paquetes con la utilidad NMAP. El objetivo consistirá en crear y administrar las VLANs, y ver cómo funciona la comunicación entre equipos de una misma VLAN y entre equipos de VLANs diferentes haciendo capturas de tráfico. La práctica se estructurará en las siguientes secciones: 2.1 Comunicación intra-switch. Crearemos 2 redes virtuales (VLANs) con 2 puertos cada una en un mismo Switch y veremos si los equipos conectados al mismo se pueden Página 3

4 comunicar entre ellos: primero entre los equipos de una misma VLAN y luego entre equipos de las 2 VLANs. 1. Acceder al switch 2. Crear 2 VLANs 3. Añadir 2 puertos del switch a cada VLAN 4. Mostrar la información de la VLAN 5. Hacer un ping de un PC a otro dentro de la misma VLAN. Hay comunicación? 6. Borrar un puerto de una VLAN y añadirlo a otra VLAN 7. Mostrar la información de las VLANs para ver si se ha modificado correctamente el puerto 8. Hacer un ping de un equipo a otro al cual hemos movido el puerto. Hay comunicación? 2.2 Comunicación inter-switch. En esta sección el objetivo será ver si se comunican equipos que están conectados en diferentes Switches. Para este punto veremos cómo configurar el puerto por el que estarán unidos los switches mediante un cable cruzado como un puerto Tagged (deben ser puertos 802.1x ) e indicar las VLANs que contiene. 2.3 Observar el tráfico en el Switch, y comprobar la separación de dominios broadcast que ofrecen las VLANs. Para conseguir este objetivo, uno de los PC s de cada grupo (VLAN), deberá ejecutar un analizador de protocolos, por ejemplo el ETHEREAL, y el otro equipo, lanzará un broadcast que se puede generar por ejemplo con la utilidad NMAP, disponible en Podremos observar como dentro de una misma VLAN se ve el tráfico de broadcast pero que este no pasa a las otras VLANs, ni aunque los PCs pertenecientes a las mismas estén físicamente en el mismo switch. La configuración para cada par de switches deberá ser como se indica a continuación: Dos (o más) Switches en los que se crean las VLANs. A cada VLAN se conectan 2 equipos, excepto a la VLAN 1 (administración) que sólo se conectará un PC por switch. Página 4

5 A B C D R VLAN 200 VLAN 300 VLAN q SW VLAN 200 VLAN 300 VLAN 1 SW q E F G H S Los equipos R y S pertenecen a la VLAN 1 y se usan para configurar los Switches. Comprobaremos la comunicación en los siguientes casos: A-B A-C A-E A-G Página 5

6 3. Implementación de la práctica Nota 1. Con el fin de poder dejar los switches en su estado inicial, debemos abrir un archivo Notepad en el que iremos anotando todas las acciones que ejecutemos sobre el switch para luego deshacer los cambios. Nota 2. Es necesario desactivar el Firewall de Windows. Podemos configurar los switches via web: o por Telnet: telnet dirección_ip_switch El usuario y password para los switches será: User: security. Password: security. Por defecto, la VLAN 1 viene creada (VLAN ID 1 y Local ID 1) y en ella están todos los puertos del switch. 3.1 Acceso por TELNET. Primero nos aseguraremos de que el PC que hayamos reservado para la configuración del switch esté conectado a dicho switch, para ello observaremos el número de la roseta de conexión de nuestro PC (cable amarillo) y luego comprobaremos en el armario de comunicaciones del laboratorio que haya un latiguillo de red correspondiente a dicha toma conectado al switch que queremos configurar. A continuación ya podemos teclear telnet <dir. IP del switch>. Al acceder por Telnet, lo primero que nos aparece es un menú con varias opciones (ver figura). Con la opción bridge, administramos las VLANs. A continuación, teclearemos vlan para acceder a las opciones propias de la gestión de VLANs: crear, borrar, modificar una VLAN, añadir y eliminar puertos de una VLAN y mostrar información Debemos crear 2 VLANs junto con el compañero de al lado, en el switch asignado. Una VLAN se define mediante: Un nombre VLAN: nombre descriptivo para la VLAN (ventas, contabilidad, etc.) Un VLAN ID: identificador de la VLAN creada. Un Local ID: identifica la VLAN localmente en la pila Página 6

7 Podemos crear las VLANs con ID 200 y 300 (orden create): Enter VLAN ID (2-4094) [2]: 200 Enter Local ID (2-16): 4 Enter VLAN Name [VLAN 200]: VLAN 200 Enter VLAN ID (2-4094) [2]: 300 Enter Local ID (2-16): 5 Enter VLAN Name [VLAN 300]: VLAN Añadir puertos del swicth a cada VLAN Los puertos donde están conectados los puestos de trabajo, no deben ser configurados como tagged, solo configuraremos de tal forma los puertos que usemos para conectar switches entre si. Teclear la opción addport Select VLAN ID (1-4094) [1]: 200 Select Ethernet port (1-14, all): 3 Enter tag type (none, 802.1Q) [802.1Q]: none de Tagging (si se usa o no) Información Mostrar la información de la VLAN. Con la opción detail, seleccionamos la VLAN sobre la que queremos obtener información y vemos su ID de VLAN, el ID Local, el Nombre y los puertos que contiene. Con summary aparece todo lo anterior, menos los puertos Hacer un ping de un PC a otro que pertenezca a la misma VLAN. Hay comunicación? De nuevo tendremos que asegurarnos primero de que los PCs que estamos comprobando estén conectados a los puertos de las VLAN que hemos configurado previamente (armario de red del laboratorio) Borrar un puerto de una VLAN y añadirlo a otra VLAN. Usaremos primero la opción removeport y luego addport Página 7

8 3.1.6 Mostrar la información de la VLAN como se vio en el punto para ver si se ha cambiado correctamente el puerto Hacer un ping de un PC a otro al cual hemos movido el puerto a otra VLAN. Hay comunicación? Con todo lo anterior, habríamos realizado todas las pruebas de comunicación intraswitch Crear las mismas VLANs anteriores en el otro Switch, como en el punto Configurar los puertos que unen Switches como puertos 802.1x (puertos Tagged) FORMATO: bridge vlan addport vlan_creada Puerto_tag 802.1Q Donde Puerto_tag es el puerto que une los 2 Switches con un cable cruzado bridge vlan addport q bridge vlan addport q Hacer un ping de un equipo conectado a una VLAN de un Switch a otro equipo conectado a la misma VLAN de otro Switch. Hay comunicación? Hacer un ping de un equipo conectado a una VLAN de un Switch a otro equipo conectado a una VLAN diferente de otro Switch. Hay comunicación? Con todo lo anterior, habremos realizado todas las pruebas de comunicación en VLANs inter-switch Ahora, vamos a comprobar el aislamiento de tormentas broadcast que ofrecen las VLANs. Para ello, en cada grupo (VLAN), iniciaremos el Ethereal en un PC, y comenzaremos a capturar el tráfico de la interface con IP X.X (menú capture) y en el otro PC de la VLAN lanzaremos un broadcast con la utilidad NMAP, para ello ejecutaremos la orden: NMAP x.*. Se trata de ver el tráfico cuando se comunican equipos dentro de una misma VLAN y ver si afecta la difusión a equipos de otras VLANs. 3.2 Acceso por HTTP. También se puede configurar el switch mediante un navegador. En el apartado Configuration, Advanced Stack Setup En VLANs: Vemos que por defecto, todos los puertos del Switch están en la VLAN 1. (VLANs Available) Página 8

9 Vamos a crear 2 VLAN más. Pulsar en Create de VLAN Operation VLAN Name: VLAN Q VLAN ID: 200 Local ID: 2 VLAN Name: VLAN Q VLAN ID: 300 Local ID: 3 Local ID es un identificador local para las VLANs, cuyo valor máximo es 16. Ahora podemos ver que en el desplegable tenemos 3 VLANs. Los nombres 200 y 300 no son relevantes. Podíamos haber puesto 2 y 3 por ej. Página 9

10 Página 10 Práctica 6. Virtual Local Area Networks

11 4. ANEXO Se adjunta la estructura de menús de la interface de línea de comandos del Switch: Página 11