Wykład 5: Wirtualne sieci lokalne (VLAN) i routing między VLAN-ami

Home 1: Wprowadzenie 2: Model hierarchiczny 3: Elementy sieci 4: Wysoka dostępność 5: VLAN 6: Adresacja IP 7: Routing 8: OSPF cz.I 9: OSPF cz.II 10: Bezpieczeństwo
1/24

Wirtualne sieci lokalne (VLAN) w sieci kampusowej

Przedstawienie inżynierskich zasad logicznej segmentacji sieci kampusowej za pomocą wirtualnych sieci LAN oraz routingu wielowarstwowego.

Wykład 5: Logiczna segmentacja i routing między sieciami VLAN

  • Zakres wykładu: mechanizmy segmentacji domen rozgłoszeniowych, protokół tagowania ramek oraz routing między sieciami VLAN (Inter-VLAN Routing).
  • Projektowanie podsieci: logiczna i bezpieczna izolacja ruchu użytkowników, strefy serwerowej oraz urządzeń IoT.
  • Ochrona perymetru wewnętrznego: egzekwowanie granularnych polityk bezpieczeństwa i kontrola dostępu pomiędzy segmentami.
Wirtualna sieć lokalna (Virtual Local Area Network, VLAN) to logicznie wyodrębniona sieć w warstwie łącza danych (L2), utworzona w obrębie fizycznej infrastruktury przełączników ethernetowych. Dzieli pojedynczą sieć fizyczną na wiele niezależnych domen rozgłoszeniowych, zwiększając bezpieczeństwo i efektywność wykorzystania pasma transmisyjnego.
Wirtualne sieci lokalne i logiczna segmentacja kampusu

Projektowanie nowoczesnej sieci kampusowej bez podziału na wirtualne sieci LAN jest obecnie niedopuszczalne pod względem inżynierskim i bezpieczeństwa. W płaskiej sieci każdy komputer odbiera niepotrzebny ruch rozgłoszeniowy generowany przez tysiące innych stacji roboczych, co drastycznie obniża wydajność łączy i stwarza podatność na podsłuch oraz ataki typu Man-in-the-Middle.

Wprowadzenie technologii VLAN pozwala na niezależne modelowanie topologii logicznej bez względu na fizyczne rozmieszczenie użytkowników w budynkach kampusu. Komputery należące do tego samego działu mogą znajdować się na różnych piętrach, a mimo to pracować w jednej, bezpiecznej domenie rozgłoszeniowej.

Skróty użyte w tym slajdzie:
VLAN - Virtual Local Area Network, logicznie wyodrębniona sieć lokalna w przełącznikach.
LAN - Local Area Network, lokalna sieć teleinformatyczna łącząca urządzenia w budynku.
IoT - Internet of Things, koncepcja urządzeń i czujników połączonych z siecią teleinformatyczną.
IEEE - Institute of Electrical and Electronics Engineers, instytucja standaryzująca protokół 802.1Q.

2/24

Agenda dzisiejszego wykładu

Przedstawienie harmonogramu wykładu obejmującego genezę VLAN-ów, porty dostępowe, łącza trunkowe oraz metody routingu między sieciami VLAN.

Plan spotkania

  • Podstawy segmentacji: wady płaskiej sieci L2, definicja VLAN oraz optymalizacja wielkości domen rozgłoszeniowych.
  • Łącza dostępowe i magistrale trunk: tryby pracy portów access i trunk, tagowanie ramek oraz format nagłówka IEEE 802.1Q.
  • Inter-VLAN Routing: porównanie architektury Router-on-a-Stick z przełączaniem wielowarstwowym L3 (interfejsy SVI).
Plan wykładu systematyzuje proces poznawczy: rozpoczyna się od analizy problemów fizycznych sieci niestrukturyzowanej, przechodzi przez mechanizmy znakowania ramek w warstwie 2, a kończy na metodach integracji routingu IP w warstwie 3. Zapewnia to całościowe zrozumienie architektury przełączania wielowarstwowego.
Plan wykładu o sieciach VLAN i routingu między sieciami VLAN

Układ tematyczny został zaprojektowany z myślą o stopniowym budowaniu kompetencji projektowych studentów. Rozpoczynamy od zdefiniowania domeny rozgłoszeniowej i wykazania, dlaczego duża domena L2 jest destrukcyjna dla wydajności sieci.

Następnie przechodzimy do technicznych szczegółów konfiguracji portów przełączników: od prostych portów dostępowych (Access Ports) z dedykowanym Voice VLAN dla telefonii VoIP, przez magistrale trunkowe z kontrolą bezpieczeństwa VLAN-u natywnego, aż po zaawansowaną konfigurację logicznych interfejsów SVI na przełącznikach warstwy 3.

Skróty użyte w tym slajdzie:
ROAS - Router-on-a-Stick, metoda routingu między sieciami VLAN z wykorzystaniem routera i subinterfejsów.
SVI - Switch Virtual Interface, wirtualny interfejs routowalny warstwy 3 na przełączniku.
VoIP - Voice over Internet Protocol, technologia cyfrowego przesyłania głosu przez sieć IP.
L3 - Layer 3, warstwa sieciowa modelu odniesienia OSI odpowiedzialna za adresację logiczną i routing.

3/24

Problem: płaska sieć warstwy 2

Przedstawienie problemów płaskiej sieci L2 w zakresie zalewania ruchem rozgłoszeniowym (broadcast), braku separacji i podatności na ataki podsłuchu.

Ograniczenia wydajnościowe i podatności w pojedynczej domenie rozgłoszeniowej

  • Pojedyncza gigantyczna domena rozgłoszeniowa: każda ramka rozgłoszeniowa (np. ARP, DHCP) jest bezużytecznie powielana na wszystkie porty przełączników w sieci.
  • Brak barier bezpieczeństwa: dowolne urządzenie ma bezpośredni dostęp L2 do krytycznych serwerów finansowych i kadrowych.
  • Podatność na podsłuch i ataki: brak segmentacji ułatwia ataki typu ARP Spoofing, zatruwanie tablicy CAM oraz sniffing ruchu między hostami.
Płaska sieć (Flat Network) to topologia ethernetowa, w której wszystkie urządzenia końcowe i serwery należą do jednej, wspólnej domeny rozgłoszeniowej bez logicznego podziału na segmenty. Prowadzi do degradacji pasma przez lawinowy ruch rozgłoszeniowy oraz uniemożliwia egzekwowanie polityk poufności danych.
Zagrożenia płaskiej sieci L2 z jedną domeną rozgłoszeniową

W płaskiej sieci ethernetowej przełączniki mają obowiązek powielić każdą ramkę rozgłoszeniową na wszystkie porty (Unknown Unicast / Broadcast Flooding). Gdy liczba podłączonych stacji roboczych przekracza kilkaset, ruch rozgłoszeniowy (zapytania ARP, protokoły Service Discovery mDNS, komunikaty NetBIOS) zaczyna zużywać znaczną część pasma transmisyjnego oraz wymusza ciągłe generowanie przerwań w procesorach kart sieciowych stacji roboczych.

Co gorsza, płaska sieć całkowicie uniemożliwia wdrożenie reguł zapory ogniowej pomiędzy użytkownikami. Zainfekowany laptop studenta lub gościa wpięty do sieci ma bezpośredni dostęp na poziomie warstwy 2 do systemów dziekanatu, kamer monitoringu czy systemów zarządzania budynkiem (BMS).

Skróty użyte w tym slajdzie:
ARP - Address Resolution Protocol, protokół mapowania adresów IP na adresy fizyczne MAC.
CAM - Content Addressable Memory, sprzętowa pamięć przechowująca tablicę adresów MAC.
BMS - Building Management System, zintegrowany system automatyki i monitorowania budynku.
mDNS - Multicast DNS, protokół rozgłoszeniowego wykrywania usług w lokalnym segmencie sieci.

4/24

Definicja wirtualnej sieci lokalnej (VLAN)

Przedstawienie zasady działania VLAN jako niezależnej domeny rozgłoszeniowej i mechanizmu Independent VLAN Learning.

Logiczny podział fizycznego przełącznika

  • Logiczna separacja ruchu: przełącznik traktuje każdy VLAN jako niezależny logiczny przełącznik z własną tablicą adresów MAC.
  • Mechanizm uczenia IVL: wpisy tablicy MAC są kojarzone z konkretnym numerem VLAN ID (Independent VLAN Learning).
  • Wymóg routingu: komunikacja pomiędzy odrębnymi sieciami VLAN wymaga zaangażowania routera lub przełącznika warstwy 3 (L3).
Independent VLAN Learning (IVL) to znormalizowany w IEEE 802.1Q mechanizm uczenia się adresów MAC, w którym tablica komutacji przechowuje skojarzenia w postaci pary [VLAN ID, MAC adres] wraz z numerem portu. Dzięki temu ten sam fizyczny adres MAC może bezpiecznie występować w różnych sieciach VLAN bez ryzyka kolizji wpisów.
Podział przełącznika fizycznego na logiczne domeny VLAN

Należy sprostować uproszczenie twierdzące, jakoby każdy VLAN posiadał w urządzeniu fizycznie osobną tablicę MAC. W architekturze nowoczesnych przełączników pamięć CAM jest wspólna, lecz klucz wyszukiwania składa się z 12-bitowego identyfikatora VLAN ID oraz 48-bitowego adresu MAC. Jest to model Independent VLAN Learning (IVL), w odróżnieniu od historycznego Shared VLAN Learning (SVL).

Gdy ramka trafia na port przypisany do VLAN 10, przełącznik ogranicza rozsyłanie ramek rozgłoszeniowych i ramek nieznanych wyłącznie do innych portów należących do VLAN 10. Żadna ramka nie może przedostać się do portu przypisanego do VLAN 20 na poziomie warstwy 2, co stanowi matematyczną gwarancję izolacji segmentów.

Skróty użyte w tym slajdzie:
IVL - Independent VLAN Learning, niezależne uczenie się adresów MAC w poszczególnych VLAN-ach.
SVL - Shared VLAN Learning, współdzielone uczenie się adresów MAC pomiędzy sieciami wirtualnymi.
VID - VLAN Identifier, 12-bitowy identyfikator sieci wirtualnej przyjmujący wartości od 1 do 4094.
MAC - Media Access Control, 48-bitowy adres fizyczny interfejsu sieciowego Ethernet.

5/24

Korzyść 1: segmentacja i redukcja domeny rozgłoszeniowej

Omówienie korzyści płynących z podziału dużej sieci na mniejsze domeny rozgłoszeniowe o kontrolowanym rozmiarze.

Ograniczenie zasięgu rozgłoszeń i podniesienie wydajności

  • Izolacja rozgłoszeń: ramka rozgłoszeniowa wysłana w VLAN 10 dociera wyłącznie do urządzeń w tej samej sieci wirtualnej.
  • Odzysk zasobów pasma: eliminacja nadmiarowego ruchu rozgłoszeniowego na łączach dostępowych i szkieletowych.
  • Optymalny rozmiar podsieci: projektowanie segmentów użytkowników w granicach 200-500 hostów (np. prefiksy /24 lub /23).
Domena rozgłoszeniowa (Broadcast Domain) to logiczny obszar sieci teleinformatycznej, w którym wszystkie podłączone węzły odbierają ramki rozsyłane z adresem docelowym FF:FF:FF:FF:FF:FF. Zmniejszenie rozmiaru domeny rozgłoszeniowej poprzez wdrożenie sieci VLAN bezpośrednio redukuje obciążenie procesorów stacji roboczych.
Redukcja domeny rozgłoszeniowej i segmentacja za pomocą VLAN

Dobra praktyka projektowa w sieciach kampusowych zaleca, aby pojedyncza domena rozgłoszeniowa (VLAN) nie obejmowała więcej niż 250-500 stacji roboczych (odpowiednik prefiksu /24 lub /23). Pozwala to na zachowanie znikomego poziomu szumu rozgłoszeniowego, nieprzekraczającego 1-2% całkowitej przepustowości łącza dostępowego.

W przypadku awarii stacji roboczej (np. uszkodzona karta sieciowa generująca miliony błędnych ramek lub stacja zainfekowana robakiem sieciowym), zjawisko burzy rozgłoszeniowej zostaje uwięzione w granicach pojedynczego VLAN-u. Pozostałe segmenty kampusu funkcjonują całkowicie stabilnie i bez zakłóceń.

Skróty użyte w tym slajdzie:
ARP - Address Resolution Protocol, protokół mapowania adresów IP na fizyczne adresy MAC.
DHCP - Dynamic Host Configuration Protocol, protokół automatycznej konfiguracji sieciowej hostów.
QoS - Quality of Service, mechanizmy zarządzania jakością i priorytetyzacją ruchu.
LLDP - Link Layer Discovery Protocol, otwarty protokół rozgłaszania tożsamości urządzeń w warstwie 2.

6/24

Korzyść 2: bezpieczeństwo i kontrola dostępu

Przedstawienie wirtualnych sieci LAN jako podstawy kontroli dostępu, separacji ról i architektury Zero Trust.

Budowanie perymetrów bezpieczeństwa i separacja ról

  • Separacja ról użytkowników: wydzielenie niezależnych sieci dla studentów, kadry naukowej, gości i administracji uczelni.
  • Ochrona infrastruktury krytycznej: umieszczenie interfejsów zarządzania przełączników, kontrolerów i serwerów w dedykowanym, odizolowanym VLAN-ie zarządzającym.
  • Punktowe egzekwowanie polityk: scentralizowana kontrola i filtrowanie ruchu między segmentami na zaporach sieciowych i listach ACL.
Segmentacja bezpieczeństwa to architektura sieciowa polegająca na logicznym rozdzieleniu zasobów o różnym poziomie wrażliwości za pomocą sieci VLAN oraz zapór ogniowych. Uniemożliwia bezpośrednią komunikację pomiędzy nieuprawnionymi użytkownikami a chronionymi systemami bazodanowymi.
Separacja ról i ochrona infrastruktury za pomocą VLAN-ów

Z punktu widzenia bezpieczeństwa VLAN tworzy sztywną barierę warstwy 2. Jeśli użytkownik podłączony do sieci kampusowej spróbuje wykonać skanowanie portów lub atak podsłuchu ARP na serwery dziekanatu umieszczone w innym VLAN-ie, pakiety nie trafią do celu bezpośrednio przez przełącznik, lecz zostaną skierowane do bramy domyślnej.

Na bramie domyślnej (routerze lub przełączniku L3 wyposażonym w listy ACL bądź zaporze NGFW) inżynier bezpieczeństwa może precyzyjnie zdefiniować reguły zezwalające wyłącznie na wybrany ruch (np. tylko port TCP 443 do dedykowanego portalu) i blokujące wszystkie pozostałe próby połączeń.

Skróty użyte w tym slajdzie:
ACL - Access Control List, lista kontroli dostępu filtrująca pakiety na podstawie reguł.
NGFW - Next-Generation Firewall, zapora nowej generacji z głęboką inspekcją aplikacji.
ZTA - Zero Trust Architecture, model bezpieczeństwa zakładający brak domyślnego zaufania do urządzeń.
SSH - Secure Shell, szyfrowany protokół bezpiecznego zarządzania urządzeniami sieciowymi.

7/24

Korzyść 3: elastyczność struktury i Voice VLAN

Przedstawienie elastyczności logicznej sieci VLAN oraz technologii Voice VLAN dla aparatów telefonicznych VoIP.

Niezależność od topologii fizycznej i wydzielony kanał dla telefonii VoIP

  • Logiczna mobilność: przeniesienie pracownika do innego pokoju wymaga jedynie zmiany przypisania portu w przełączniku.
  • Wydzielony Voice VLAN: odseparowanie ruchu aparatów telefonicznych IP od komputerów PC na pojedynczym kablu miedzianym.
  • Gwarancja jakości QoS: automatyczne oznaczanie i honorowanie wyższych priorytetów 802.1p (CoS) oraz DSCP dla wrażliwego na opóźnienia ruchu głosowego VoIP.
Voice VLAN (Auxiliary VLAN) to wyspecjalizowana technologia w przełącznikach ethernetowych umożliwiająca jednoczesne podłączenie telefonu VoIP oraz komputera PC do jednego portu fizycznego za pomocą wbudowanego w telefon miniprzełącznika. Ruch głosowy jest automatycznie tagowany i priorytetyzowany, podczas gdy ruch stacji roboczej pozostaje nietagowany.
Działanie Voice VLAN i jednoczesna obsługa telefonu i komputera

W tradycyjnej sieci podłączenie telefonu VoIP wymagałoby ułożenia dwóch oddzielnych kabli miedzianych ze szafy dystrybucyjnej do każdego biurka (jeden dla telefonu, drugi dla stacji roboczej), co podwaja koszty okablowania strukturalnego. Technologia Voice VLAN eliminuje ten wymóg: kabel ze ściany trafia do telefonu IP, a komputer podłącza się kablem krosowym bezpośrednio do gniazda PC w telefonie.

Telefon IP komunikuje się z przełącznikiem za pomocą protokołu CDP (Cisco Discovery Protocol) lub LLDP-MED, dowiadując się, w jakim VLAN-ie ma przesyłać pakiety głosu. Ramki głosowe są wysyłane z 4-bajtowym tagiem 802.1Q oznaczonym priorytetem CoS=5, podczas gdy pakiety danych z komputera są przesyłane w postaci nietagowanej w ramach domyślnego Data VLAN.

Skróty użyte w tym slajdzie:
CDP - Cisco Discovery Protocol, własnościowy protokół wykrywania urządzeń sąsiednich firmy Cisco.
LLDP-MED - Link Layer Discovery Protocol for Media Endpoint Devices, otwarty standard konfiguracji urządzeń multimedialnych.
CoS - Class of Service, 3-bitowe pole priorytetu w nagłówku ramki IEEE 802.1Q.
PoE - Power over Ethernet, technologia zasilania aparatów telefonicznych bezpośrednio z portu przełącznika.

8/24

Jak to działa? Porty dostępowe (Access Ports)

Wyjaśnienie działania portu dostępowego, procesu dodawania i usuwania tagów oraz zachowania kart sieciowych.

Przypisanie stacji końcowej do domeny rozgłoszeniowej

  • Pojedyncza przynależność: port dostępowy (access) przypisany jest do pojedynczego określonego VLAN-u danych.
  • Obsługa stacji roboczych: komputery wysyłają i odbierają standardowe ramki nietagowane, nie mając świadomości istnienia sieci VLAN.
  • Wewnętrzne tagowanie: przełącznik kojarzy ramkę z danym VLAN-em wewnętrznie, a do stacji końcowej wysyła standardową ramkę nietagowaną.
Port dostępowy (Access Port) to interfejs przełącznika sieciowego skonfigurowany do obsługi urządzeń końcowych (komputerów, drukarek, kamer), który przypisuje cały nietagowany ruch przychodzący do jednej, predefiniowanej sieci VLAN. Ramki opuszczające port dostępowy w kierunku stacji roboczej mają usuwane znaczniki 802.1Q.
Zasada działania portu dostępowego i dodawanie znacznika VLAN

Standardowe karty sieciowe (NIC) montowane w komputerach PC i laptopach nie potrafią poprawnie interpretować ramek ze znacznikiem 802.1Q - w większości systemów operacyjnych ramka tagowana jest odrzucana przez sterownik jako uszkodzona lub niezgodna ze standardem Ethernet II. Dlatego zadaniem portu dostępowego jest całkowite ukrycie struktury VLAN-ów przed urządzeniem końcowym.

Gdy ramka nietagowana wnika do portu dostępowego, kontroler ASIC przełącznika nanosi wewnętrzny znacznik VLAN ID w matrycy komutacyjnej. Po podjęciu decyzji o przekazaniu i skierowaniu ramki do portu wyjściowego stacji docelowej w tym samym VLAN-ie, układ przełączający zdejmuje znacznik i wysyła do komputera czystą, standardową ramkę Ethernet.

Skróty użyte w tym slajdzie:
NIC - Network Interface Card, fizyczna karta sieciowa zainstalowana w komputerze.
ASIC - Application-Specific Integrated Circuit, wyspecjalizowany układ scalony matrycy komutacyjnej.
FCS - Frame Check Sequence, 32-bitowa suma kontrolna CRC weryfikująca integralność ramki Ethernet.
MTU - Maximum Transmission Unit, maksymalny dopuszczalny rozmiar pakietu przesyłanego w sieci.

9/24

Przykład: konfiguracja portu dostępowego (Cisco IOS)

Przedstawienie składni wiersza poleceń Cisco IOS w zakresie tworzenia sieci VLAN i konfiguracji portu dostępowego.

Deklaracja bazy VLAN oraz konfiguracja interfejsu z Voice VLAN

Poniższy listing przedstawia wzorcową procedurę utworzenia sieci wirtualnych w bazie przełącznika oraz przypisania portu do VLAN-u danych i głosu:

  • Deklaracja bazy VLAN: utworzenie identyfikatorów 10 i 150 oraz nadanie czytelnych etykiet tekstowych w systemie IOS.
  • Konfiguracja portu: wymuszenie stałego trybu dostępowego (switchport mode access) oraz przypisanie VLAN-u danych i pomocniczego Voice VLAN.
  • Ochrona portu: wyłączenie negocjacji dynamicznej (switchport nonegotiate) oraz włączenie funkcji PortFast i BPDU Guard.
Switch(config)# vlan 10
Switch(config-vlan)# name KADRY
Switch(config-vlan)# vlan 150
Switch(config-vlan)# name TELEFONY_VOIP
Switch(config-vlan)# exit

Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# description STACJA_ROBOCZA_PC_01
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# switchport voice vlan 150
Switch(config-if)# switchport nonegotiate
Switch(config-if)# spanning-tree portfast edge
Switch(config-if)# spanning-tree bpduguard enable
Switch(config-if)# trust device cisco-phone
Switch(config-if)# auto qos voip cisco-phone
Baza VLAN (VLAN Database) to zbiór informacji konfiguracyjnych przechowywany w pamięci flash przełącznika w pliku vlan.dat, zawierający listę utworzonych identyfikatorów VLAN ID, ich nazwy oraz stany operacyjne. Jest niezależna od pliku konfiguracyjnego startup-config.
Konfiguracja portu dostępowego i Voice VLAN w systemie Cisco IOS

Zwróćmy uwagę na komendę switchport nonegotiate. Wyłącza ona wysyłanie ramek Dynamic Trunking Protocol (DTP). Domyślnie porty przełączników Cisco próbują negocjować utworzenie magistrali trunkingowej, co w przypadku podłączenia złośliwego komputera pozwala na wykonanie ataku VLAN Hopping (Switch Spoofing) i uzyskanie nieautoryzowanego dostępu do wszystkich sieci wirtualnych.

Wprowadzenie jawnego trybu access, wyłączenie negocjacji DTP oraz włączenie mechanizmu BPDU Guard stanowi żelazny kanon bezpiecznej konfiguracji każdego portu dostępowego w sieci kampusowej.

Skróty użyte w tym slajdzie:
DTP - Dynamic Trunking Protocol, protokół Cisco automatycznie negocjujący stan magistrali trunk na porcie.
BPDU - Bridge Protocol Data Unit, ramka kontrolna protokołu drzewa rozpinającego STP.
VoIP - Voice over Internet Protocol, telefonia cyfrowa realizowana przez sieć pakietową IP.
CLI - Command Line Interface, interfejs wiersza poleceń urządzeń sieciowych.

10/24

Problem: łączenie przełączników z wieloma VLAN-ami

Przedstawienie problemu łączenia przełączników w architekturze wielo-VLAN i nieefektywności dedykowanych kabli fizycznych.

Wyzwanie skalowalności połączeń międzyprzełącznikowych

  • Mnożenie kabli fizycznych: konieczność dedykowania osobnego kabla miedzianego dla każdego VLAN-u w tradycyjnym podejściu.
  • Wyczerpanie portów przełączników: brak wystarczającej liczby fizycznych interfejsów przy obsłudze kilkunastu lub kilkudziesięciu sieci wirtualnych.
  • Naruszenie ekonomii projektu: zwielokrotnienie liczby kabli i kosztów urządzeń przy braku logicznej agregacji ruchu na łączach międzyprzełącznikowych.
Wieloprzewodowe połączenie międzyprzełącznikowe to naiwna metoda realizacji komunikacji wielu sieci VLAN polegająca na łączeniu przełączników tyloma osobnymi kablami fizycznymi, ile sieci wirtualnych skonfigurowano w systemie. Jest całkowicie nieskalowalna i nieakceptowalna w sieciach kampusowych.
Problem łączenia przełączników osobnymi kablami dla każdego VLAN-u

Gdyby każdy VLAN wymagał dedykowanego kabla fizycznego pomiędzy przełącznikiem dostępowym a dystrybucyjnym, w sieci posiadającej 30 VLAN-ów musielibyśmy poświęcić aż 30 cennych portów uplink w każdym przełączniku wyłącznie na połączenia międzywęzłowe. Rozwiązanie takie jest całkowitym absurdem inżynierskim.

Rozwiązaniem tego problemu jest technika multipleksowania w dziedzinie czasu na poziomie warstwy 2, czyli łącze trunkowe (Trunk Port), które pozwala na przesyłanie ruchu setek różnych sieci wirtualnych przez pojedyncze, szybkie łącze światłowodowe lub miedziane.

Skróty użyte w tym slajdzie:
LAG - Link Aggregation Group, grupa zagregowanych łączy fizycznych zwiększająca przepustowość magistrali.
GbE - Gigabit Ethernet, standard sieciowy o przepustowości 1 Gb/s zdefiniowany w IEEE 802.3ab/802.3z.
TDM - Time-Division Multiplexing, technika zwielokrotnienia w dziedzinie czasu w tradycyjnych sieciach telekomunikacyjnych.
CAPEX - Capital Expenditure, nakłady inwestycyjne ponoszone na infrastrukturę kablową.

11/24

Rozwiązanie: porty trunkowe (Trunk Ports)

Przedstawienie koncepcji portu trunkowego jako magistrali przenoszącej ruch wielu VLAN-ów za pomocą tagowania ramek.

Magistrala wielousługowa i współdzielenie fizycznego łącza

  • Współdzielenie łącza fizycznego: pojedynczy kabel światłowodowy lub miedziany przenosi ruch wszystkich zdefiniowanych sieci VLAN.
  • Oznaczenie przynależności (Tagging): wstawienie do nagłówka ramki Ethernet czterobajtowego znacznika zawierającego identyfikator VLAN ID.
  • Identyfikacja w węźle docelowym: odczytanie znacznika przez przełącznik odbiorczy i skierowanie ramki do właściwej lokalnej domeny rozgłoszeniowej.
Port trunkowy (Trunk Port / Magistrala) to interfejs przełącznika ethernetowego skonfigurowany do jednoczesnego przesyłania ruchu wielu wirtualnych sieci LAN przez pojedyncze połączenie fizyczne. W celu rozróżnienia przynależności poszczególnych pakietów ramki są znakowane za pomocą znormalizowanego tagu IEEE 802.1Q.
Zasada działania łącza trunkowego łączącego przełączniki

Łącze trunkowe działa na podstawie prostej i niezawodnej reguły: gdy ramka należąca do danego VLAN-u musi opuścić przełącznik w drodze do innego przełącznika, układ komutacyjny wstrzykuje w nagłówek Ethernet dodatkowy 4-bajtowy znacznik zawierający numer VLAN-u (VLAN ID).

Przełącznik odbierający ramkę po drugiej stronie łącza analizuje wprowadzony znacznik, usuwa go (lub przekazuje dalej w magistrali szkieletowej) i wie dokładnie, do której domeny rozgłoszeniowej należy dany pakiet, co uniemożliwia pomieszanie danych pochodzących z różnych sieci.

Skróty użyte w tym slajdzie:
VID - VLAN Identifier, 12-bitowy numer identyfikacyjny wirtualnej sieci lokalnej w nagłówku ramki.
DTP - Dynamic Trunking Protocol, własnościowy protokół Cisco automatycznie negocjujący stan magistrali trunkowej.
SFP+ - Enhanced Small Form-factor Pluggable, moduł transceivera optycznego zapewniający transfer 10 Gb/s.
MTU - Maximum Transmission Unit, maksymalny dopuszczalny rozmiar pakietu w warstwie łącza danych.

12/24

Protokół tagowania: IEEE 802.1Q

Przedstawienie standardu IEEE 802.1Q jako uniwersalnego protokołu tagowania ramek w wieloproducentowych sieciach kampusowych.

Międzynarodowy standard znakowania ramek ethernetowych

  • Otwarty standard przemysłowy: pełna interoperacyjność pomiędzy przełącznikami różnych producentów zgodnie ze standardem IEEE 802.1Q.
  • Wycofanie protokołów własnościowych: całkowite wyparcie historycznego i narzutowego protokołu Cisco ISL (Inter-Switch Link).
  • Koncepcja Native VLAN: obsługa pojedynczego, wyznaczonego VLAN-u przesyłanego przez łącze trunk w postaci tradycyjnej (bez tagu 802.1Q).
IEEE 802.1Q to ujednolicony standard międzynarodowy definiujący architekturę wirtualnych sieci mostkowanych oraz strukturę 4-bajtowego tagu wstrzykiwanego do nagłówka ramki Ethernet. Umożliwia multipleksowanie do 4094 niezależnych sieci VLAN na pojedynczym fizycznym łączu transmisyjnym.
Standard IEEE 802.1Q i znakowanie ramek na łączu trunk

W latach 90. firma Cisco stosowała własnościowy protokół ISL (Inter-Switch Link), który całkowicie obudowywał oryginalną ramkę w nowy 26-bajtowy nagłówek i 4-bajtową sumę kontrolną, co wprowadzało duży narzut pasma. Standard IEEE Std 802.1Q: Bridges and Bridged Networks rozwiązał ten problem w sposób znacznie bardziej ekonomiczny: tag jest wstrzykiwany bezpośrednio do wnętrza oryginalnej ramki Ethernet.

Kluczowym elementem standardu 802.1Q jest pojęcie VLAN-u natywnego (Native VLAN). Domyślnie jest to VLAN 1. Ramki należące do VLAN-u natywnego są przesyłane przez magistralę trunk bez żadnego tagu, co zapewnia wsteczną kompatybilność ze starymi urządzeniami niewspierającymi tagowania.

Skróty użyte w tym slajdzie:
ISL - Inter-Switch Link, historyczny protokół enkapsulacji trunkingu firmy Cisco.
VLAN - Virtual Local Area Network, sieć wirtualna zdefiniowana w standardzie 802.1Q.
FCS - Frame Check Sequence, suma kontrolna ramki Ethernet przeliczana po dodaniu tagu.
IEEE - Institute of Electrical and Electronics Engineers, międzynarodowe stowarzyszenie inżynierów.

13/24

Struktura 4-bajtowego tagu IEEE 802.1Q

Przedstawienie szczegółowej struktury bitowej 4-bajtowego znacznika 802.1Q oraz znaczenia poszczególnych pól.

Pola nagłówka: TPID, PCP, DEI oraz VLAN ID

  • Pole TPID (Tag Protocol Identifier, 16 bitów): stała wartość 0x8100 wskazująca, że za adresem źródłowym MAC znajduje się nagłówek tagu 802.1Q.
  • Pole TCI (Tag Control Information, 16 bitów): zawiera 3-bitowy priorytet PCP (802.1p), 1-bitowy wskaźnik DEI oraz 12-bitowy identyfikator VID.
  • Zakres identyfikatorów VID (12 bitów): przestrzeń adresowa pozwalająca na zdefiniowanie do 4094 unikalnych identyfikatorów sieci wirtualnych.
Tag IEEE 802.1Q to 32-bitowe pole wstawiane pomiędzy pole EtherType a pole danych ramki Ethernet. Składa się z identyfikatora protokołu TPID (0x8100) oraz informacji sterującej TCI, w skład której wchodzi priorytet jakości usług PCP, flaga odrzucenia DEI oraz 12-bitowy numer wirtualnej sieci VLAN ID.
Struktura bitowa 4-bajtowego tagu IEEE 802.1Q

Pole PCP (Priority Code Point) ma kluczowe znaczenie dla jakości usług (QoS) w warstwie 2. Jego 3 bity pozwalają na zdefiniowanie 8 klas priorytetu (od 0 do 7) zgodnie z dawnym standardem IEEE 802.1p. Przełączniki sieciowe mogą na tej podstawie umieszczać pakiety wrażliwe na opóźnienia (np. głos z Voice VLAN oznaczony priorytetem 5) w kolejkach priorytetowych o niskich opóźnieniach (Priority Queue).

Pole VLAN ID o długości 12 bitów daje teoretycznie 4096 wartości. Wartość 0 jest zarezerwowana (ramka przenosi tylko informację o priorytecie bez numeru VLAN), a wartość 4095 jest zarezerwowana do celów specjalnych. W efekcie inżynier ma do dyspozycji przestrzeń numeracyjną od 1 do 4094 (podzieloną na zakres standardowy 1-1005 oraz rozszerzony 1006-4094).

Skróty użyte w tym slajdzie:
TPID - Tag Protocol Identifier, 16-bitowe pole identyfikujące obecność tagu (wartość 0x8100).
PCP - Priority Code Point, 3-bitowe pole definiujące klasę priorytetu ramki w warstwie 2.
DEI - Drop Eligible Indicator, 1-bitowa flaga wskazująca pakiety, które mogą zostać odrzucone w przypadku przeciążenia.
VID - VLAN Identifier, 12-bitowe pole identyfikujące docelową sieć wirtualną ramki.

14/24

Przykład: konfiguracja i zabezpieczenie portu trunkowego

Przedstawienie reguł bezpiecznej konfiguracji portu trunkowego, przycinania VLAN-ów oraz zmiany VLAN-u natywnego.

Dobre praktyki wdrażania magistrali trunk w Cisco IOS

Poniższa konfiguracja przedstawia wzorcowe zabezpieczenie magistrali trunk łączącej przełącznik dostępowy z dystrybucyjnym:

  • Wymuszenie trybu trunk: jawna deklaracja enkapsulacji dot1q oraz trybu trunk bez polegania na zawodnej autonegocjacji.
  • Zmiana VLAN-u natywnego: przestawienie Native VLAN z domyślnego VLAN 1 na dedykowany, nieużywany identyfikator (np. VLAN 999) w celu ochrony przed atakami VLAN Hopping.
  • Przycinanie VLAN-ów (VLAN Pruning): jawne ograniczenie listy przesyłanych sieci za pomocą dyrektywy switchport trunk allowed vlan.
Switch(config)# vlan dot1q tag native   ! Globalna ochrona przed atakiem Double Tagging
Switch(config)# interface TenGigabitEthernet0/1
Switch(config-if)# description UPLINK_DO_DYSTRYBUCJI
Switch(config-if)# switchport trunk encapsulation dot1q   ! (na starszych modelach)
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk native vlan 999
Switch(config-if)# switchport trunk allowed vlan 10,20,30,150
Switch(config-if)# switchport nonegotiate
Przycinanie VLAN-ów (VLAN Pruning) to mechanizm filtrowania polegający na zdefiniowaniu ścisłej listy sieci wirtualnych, których ruch może być przesyłany przez dany port trunkowy. Zapobiega niepotrzebnemu rozsyłaniu ramek rozgłoszeniowych do przełączników, na których dany VLAN w ogóle nie występuje.
Bezpieczna konfiguracja magistrali trunk w przełączniku Cisco

Pozostawienie domyślnego VLAN 1 jako natywnego na portach trunkowych stwarza poważne ryzyko przeprowadzenia ataku Double Tagging (podwójne tagowanie 802.1Q). W ataku tym napastnik generuje ramkę z dwoma znacznikami: zewnętrznym (VLAN 1) i wewnętrznym (np. VLAN 20 - sieć administratorów). Pierwszy przełącznik zdejmuje znacznik zewnętrzny i wysyła ramkę w magistralę trunk w postaci nietagowanej, a kolejny przełącznik interpretuje drugi znacznik i kieruje pakiet do chronionego VLAN-u 20.

Skuteczną obroną przed tym wektorem ataku jest zmiana VLAN-u natywnego na nieużywany identyfikator (np. VLAN 999), do którego nie są przypisane żadne porty dostępowe stacji roboczych, oraz zdefiniowanie restrykcyjnej listy dozwolonych VLAN-ów (switchport trunk allowed vlan). Dodatkowo włączenie globalnego tagowania VLAN-u natywnego (vlan dot1q tag native) wraz z switchport nonegotiate całkowicie neutralizuje ataki typu Switch Spoofing oraz Double Tagging.

Skróty użyte w tym slajdzie:
DTP - Dynamic Trunking Protocol, protokół automatycznej negocjacji trunkingu.
VLAN - Virtual Local Area Network, sieć wirtualna.
CLI - Command Line Interface, interfejs tekstowy konfiguracji urządzeń.
Q-in-Q - Technologia podwójnego tagowania ramek zdefiniowana w standardzie IEEE 802.1ad.

15/24

Problem: komunikacja między różnymi VLAN-ami

Wyjaśnienie, dlaczego przełącznik L2 nie może przekazywać ruchu pomiędzy różnymi VLAN-ami i uzasadnienie konieczności routingu.

Konieczność przekroczenia bariery warstwy 2

  • Sztywna izolacja warstwy 2: stacje w różnych VLAN-ach nie mogą wymieniać ramek bezpośrednio, nawet w obrębie tego samego przełącznika.
  • Odmienne podsieci logiczne: każda sieć VLAN przeznaczona do komunikacji routowanej otrzymuje unikalną, dedykowaną podsieć IP.
  • Rola urządzenia L3: wymiana pakietów wymaga wyznaczenia ścieżki routingu oraz modyfikacji nagłówków L2 (deenkapsulacji i reenkapsulacji).
Routing między sieciami VLAN (Inter-VLAN Routing) to proces przekazywania pakietów sieciowych pomiędzy odrębnymi wirtualnymi sieciami LAN realizowany w warstwie sieciowej (L3) modelu OSI. Wymaga urządzenia posiadającego interfejsy w każdej z komunikujących się podsieci lub logiczne podinterfejsy.
Problem komunikacji między sieciami VLAN i konieczność urządzenia warstwy 3

Z punktu widzenia adresacji IP każdy VLAN, w którym urządzenia mają komunikować się z resztą świata, stanowi odrębną podsieć IP (np. VLAN 10 to 192.168.10.0/24, a VLAN 20 to 192.168.20.0/24). Warto jednak pamiętać, że podsieć IP i VLAN to dwa różne pojęcia z różnych warstw modelu OSI - możliwe jest istnienie VLAN-u L2 bez jakiejkolwiek adresacji IP (np. w sieciach przemysłowych lub kamerowych).

Gdy komputer w VLAN 10 chce wysłać pakiet do stacji w VLAN 20, jego stos sieciowy stwierdza, że adres docelowy znajduje się w obcej podsieci. Komputer nie wysyła zapytania ARP o adres MAC stacji docelowej, lecz kieruje ramkę do swojej bramy domyślnej (Default Gateway), oczekując, że urządzenie L3 przekieruje pakiet.

Skróty użyte w tym slajdzie:
L2 - Layer 2, warstwa łącza danych odpowiedzialna za przełączanie wewnątrz domeny rozgłoszeniowej.
L3 - Layer 3, warstwa sieciowa odpowiedzialna za routing pakietów pomiędzy podsieciami.
ARP - Address Resolution Protocol, protokół rozwiązywania adresów w sieci lokalnej.
IP - Internet Protocol, podstawowy protokół adresowania logicznego w sieciach komputerowych.

16/24

Inter-VLAN Routing: metoda Router-on-a-Stick (ROAS)

Przedstawienie architektury Router-on-a-Stick, zasady działania subinterfejsów oraz ograniczeń wydajnościowych tej metody.

Jedno fizyczne łącze trunkowe i wirtualne subinterfejsy

  • Pojedyncze łącze fizyczne: router połączony z przełącznikiem za pomocą pojedynczej magistrali trunk (standard IEEE 802.1Q).
  • Subinterfejsy logiczne: podział fizycznego portu routera na logiczne interfejsy z dedykowaną enkapsulacją dot1q i adresem IP.
  • Wąskie gardło (Bottleneck): dwukrotne przesyłanie pakietu przez to samo łącze fizyczne (ingress i egress), co ogranicza skalowalność w dużych kampusach.
Router-on-a-Stick (ROAS) to metoda realizacji routingu między sieciami VLAN, w której pojedynczy fizyczny interfejs routera zostaje skonfigurowany jako magistrala trunkowa 802.1Q z logicznymi podinterfejsami (subinterfaces). Każdy podinterfejs pełni rolę bramy domyślnej dla przypisanej mu sieci VLAN.
Architektura Router-on-a-Stick z subinterfejsami logicznymi

W architekturze Router-on-a-Stick pojedynczy fizyczny interfejs routera (np. GigabitEthernet0/0) zostaje podzielony na logiczne subinterfejsy (np. Gi0/0.10, Gi0/0.20). Na każdym subinterfejsie inżynier definiuje polecenie encapsulation dot1q wskazujące powiązany numer VLAN-u oraz przypisuje adres IP stanowiący bramę domyślną dla stacji w tym segmencie.

Główną wadą metody ROAS jest zjawisko ruchu tam i z powrotem (hairpinning): pakiet z VLAN 10 wędruje kablem do routera, router analizuje nagłówek IP, dekrementuje TTL i odsyła pakiet tym samym kablem fizycznym w ramce z tagiem VLAN 20. Przy dużym natężeniu ruchu łącze do routera staje się poważnym wąskim gardłem wydajnościowym. Architektura Router-on-a-Stick charakteryzuje się poważnym ograniczeniem przepustowości wynikającym z natury interfejsu jednoramiennego (One-Armed Router). Pakiety wymieniane pomiędzy dwoma VLAN-ami muszą zostać przesłane fizycznym kablem do routera, przetworzone programowo przez procesor routingu i odesłane tym samym kablem z nowym tagiem VLAN. W efekcie każde 1 Gb/s ruchu inter-VLAN generuje 2 Gb/s obciążenia interfejsu fizycznego. Z tego względu w nowoczesnych sieciach kampusowych metoda ROAS została całkowicie wyparta przez przełączniki wielowarstwowe (L3 Switching) ze sprzętowym przełączaniem CEF w układach ASIC.

Skróty użyte w tym slajdzie:
ROAS - Router-on-a-Stick, routing między sieciami VLAN z wykorzystaniem routera i łącza trunk.
TTL - Time to Live, pole nagłówka pakietu IP zmniejszane przez router o 1 przy każdym przeskoku.
VLAN - Virtual Local Area Network, sieć wirtualna.
MAC - Media Access Control, adres sprzętowy karty sieciowej.

17/24

Przykład: konfiguracja Router-on-a-Stick (Cisco IOS)

Przedstawienie składni poleceń Cisco IOS w konfiguracji subinterfejsów na routerze dla metody ROAS.

Praktyczna deklaracja subinterfejsów na routerze brzegowym

Poniższy listing przedstawia wzorcową sekwencję uruchomienia subinterfejsów dla sieci VLAN 10 i VLAN 20 na porcie fizycznym routera:

  • Aktywacja portu nadrzędnego: włączenie interfejsu fizycznego bez przypisanego adresu IP za pomocą no shutdown.
  • Deklaracja enkapsulacji: powiązanie subinterfejsu logicznego z numerem sieci VLAN dyrektywą encapsulation dot1q.
  • Konwencja nazewnictwa: dopasowanie numeru subinterfejsu do numeru VLAN (np. .10 dla VLAN 10) to dobra praktyka inżynierska, choć technicznie decyduje wyłącznie parametr dot1q.
Router(config)# interface GigabitEthernet0/0
Router(config-if)# no ip address
Router(config-if)# no shutdown

Router(config)# interface GigabitEthernet0/0.10
Router(config-subif)# encapsulation dot1q 10
Router(config-subif)# ip address 192.168.10.1 255.255.255.0

Router(config)# interface GigabitEthernet0/0.20
Router(config-subif)# encapsulation dot1q 20
Router(config-subif)# ip address 192.168.20.1 255.255.255.0
Subinterfejs (Logical Subinterface) to wirtualny interfejs tworzony programowo w ramach jednego fizycznego portu routera. Posiada własny adres IP, maskę podsieci oraz przypisaną regułę enkapsulacji 802.1Q, zachowując się w tablicy routingu jak w pełni niezależny port fizyczny.
Konfiguracja subinterfejsów na routerze Cisco w metodzie ROAS

Warto zwrócić uwagę studentów na krytyczną zależność kolejności poleceń: w systemie Cisco IOS przed przypisaniem adresu IP na subinterfejsie należy bezwzględnie w pierwszej kolejności zdefiniować typ enkapsulacji (encapsulation dot1q ). Próba przypisania adresu IP przed zdefiniowaniem enkapsulacji zostanie odrzucona przez parser z błędem składni.

Podkreślmy także, że numer subinterfejsu po kropce (np. Gi0/0.10) jest jedynie identyfikatorem logicznym dla administratora - może być dowolną liczbą całkowitą z dopuszczalnego zakresu. Stosowanie numeru odpowiadającego numerowi VLAN ID jest jednak powszechnym i zalecanym standardem inżynierskim ułatwiającym utrzymanie dokumentacji.

Skróty użyte w tym slajdzie:
ROAS - Router-on-a-Stick, routing między sieciami VLAN z wykorzystaniem routera.
IOS - Internetwork Operating System, system operacyjny routerów i przełączników Cisco.
IP - Internet Protocol, protokół warstwy sieciowej modelu OSI.
CLI - Command Line Interface, interfejs tekstowy wiersza poleceń.

18/24

Inter-VLAN Routing: przełączniki warstwy 3 (L3 Switching)

Przedstawienie routingu między sieciami VLAN na przełącznikach warstwy 3 jako standardu projektowego w nowoczesnych kampusach.

Routing ze sprzętową akceleracją w matrycy przełączającej (Wire-Speed)

  • Sprzętowa komutacja pakietów: routing realizowany bezpośrednio w sprzętowych układach ASIC z pełną przepustowością portów (wire-speed).
  • Eliminacja wąskiego gardła: brak konieczności wysyłania ruchu do zewnętrznego routera - komutacja wewnątrz matrycy przełącznika.
  • Wysoka skalowalność i gęstość: zdolność do bezstratnego routowania setek gigabitów na sekundę ruchu inter-VLAN w warstwie dystrybucji i rdzenia.
Przełączanie wielowarstwowe (Multilayer Switching / L3 Switching) to technologia komutacji pakietów IP realizowana sprzętowo przez wyspecjalizowane układy scalone ASIC przełącznika sieciowego. Łączy wydajność przełączania warstwy 2 z inteligentnym wyznaczaniem tras warstwy 3 bez wprowadzania opóźnień programowych.
Routing między sieciami VLAN w przełączniku warstwy 3 z matrycą ASIC

W klasycznym kampusie metoda Router-on-a-Stick jest obecnie stosowana jedynie w bardzo małych oddziałach lub sieciach laboratoryjnych. W nowoczesnych projektach rolę bramy domyślnej dla stacji roboczych przejmują przełączniki warstwy dystrybucji (Multilayer Switches), które realizują routing pakietów IPv4 i IPv6 z prędkością fizycznego łącza (Wire-Speed). Wymagania formalne dla routerów IPv4 standaryzuje dokument IETF RFC 1812.

Dzięki technologii Cisco Express Forwarding (CEF) oraz pamięciom TCAM, operacje dekrementacji TTL, przeliczania sumy kontrolnej nagłówka oraz podmiany adresów MAC w ramce Ethernet wykonywane są w sprzętowych potokach przetwarzania bez angażowania głównego procesora urządzenia.

Skróty użyte w tym slajdzie:
ASIC - Application-Specific Integrated Circuit, dedykowane układy scalone przetwarzające pakiety w locie.
CEF - Cisco Express Forwarding, zaawansowana architektura sprzętowego routingu pakietów.
TCAM - Ternary Content Addressable Memory, ultraszybka pamięć sprzętowa przechowująca tablice tras i reguły ACL.
TTL - Time to Live, pole nagłówka pakietu IP.

19/24

Switched Virtual Interface (SVI) i reguła Autostate

Przedstawienie wirtualnych interfejsów SVI, ich roli jako bramy domyślnej oraz reguły Autostate decydującej o stanie interfejsu.

Wirtualne interfejsy routowalne warstwy 3 w przełączniku

  • Interfejs SVI (Switch Virtual Interface): wirtualny interfejs warstwy 3 przypisany do danego VLAN-u, pełniący rolę bramy domyślnej dla podsieci.
  • Reguła Autostate: interfejs SVI przechodzi w stan up/up tylko wtedy, gdy przynajmniej jeden powiązany port fizyczny jest aktywny i znajduje się w stanie STP Forwarding.
  • Wysoka niezawodność: interfejs SVI pozostaje aktywny (up/up), dopóki przynajmniej jeden port przypisany do danego VLAN-u znajduje się w stanie operacyjnym (mechanizm Autostate).
Switched Virtual Interface (SVI) to logiczny, routowalny interfejs warstwy 3 zdefiniowany w oprogramowaniu przełącznika wielowarstwowego, skojarzony z określonym numerem VLAN. Umożliwia routing pakietów pomiędzy różnymi sieciami wirtualnymi oraz służy do zarządzania urządzeniem przez sieć IP.
Architektura interfejsów SVI i mechanizm reguły Autostate

Reguła SVI Autostate jest niezwykle ważnym mechanizmem ochrony topologii. Zapobiega sytuacji, w której router rozgłasza w protokołach routingu osiągalność danej podsieci, podczas gdy do powiązanego VLAN-u nie jest podłączone ani jedno działające urządzenie. Jeśli wszystkie porty przypisane do VLAN 10 zostaną odłączone, interfejs Vlan10 automatycznie przechodzi w stan down/down, a powiązana trasa jest usuwana z tablicy routingu.

Aby SVI osiągnął stan up/up, spełniony musi być warunek: VLAN musi istnieć w bazie vlan.dat, nie może być w stanie suspended, oraz przynajmniej jeden port dostępowy lub trunkowy przypisany do tego VLAN-u musi być w stanie fizycznym up oraz stanie logicznym STP Forwarding. Jeżeli na przełączniku skonfigurowano port SPAN (monitoring) lub analizator ruchu, który nie powinien sztucznie podtrzymywać stanu sieci pod nieobecność stacji roboczych, należy wykluczyć go poleceniem: switchport autostate exclude.

Skróty użyte w tym slajdzie:
SVI - Switched Virtual Interface, wirtualny interfejs warstwy sieciowej przypisany do VLAN-u.
STP - Spanning Tree Protocol, protokół drzewa rozpinającego kontrolujący stan portów.
OSPF - Open Shortest Path First, protokół dynamicznego routingu stanu łącza.
IP - Internet Protocol, protokół warstwy sieciowej.

20/24

Przykład: konfiguracja SVI na przełączniku L3 (Cisco IOS)

Przedstawienie składni włączenia routingu IP oraz deklaracji interfejsów SVI na przełączniku wielowarstwowym.

Praktyczna aktywacja routingu IP i deklaracja bram domyślnych

Poniższa sekwencja poleceń demonstruje globalną aktywację przekazywania pakietów IPv4 oraz konfigurację interfejsów bramy dla dwóch sieci VLAN:

  • Krytyczne polecenie ip routing: globalne włączenie mechanizmu przekazywania pakietów IP (bezwzględnie wymagane na przełącznikach warstwy 3).
  • Konfiguracja interfejsów interface Vlan: przypisanie adresacji IP i aktywacja logicznych bram domyślnych dla użytkowników.
  • Weryfikacja stanu: kontrola poprawności adresacji i routingu za pomocą komend show ip interface brief oraz show ip route.
Switch_L3(config)# ip routing     ! Krytyczne polecenie: włącza routing IPv4 na przełączniku!

Switch_L3(config)# interface Vlan10
Switch_L3(config-if)# description BRAMA_DOMYSLNA_VLAN_10
Switch_L3(config-if)# ip address 192.168.10.1 255.255.255.0
Switch_L3(config-if)# no shutdown

Switch_L3(config)# interface Vlan20
Switch_L3(config-if)# description BRAMA_DOMYSLNA_VLAN_20
Switch_L3(config-if)# ip address 192.168.20.1 255.255.255.0
Switch_L3(config-if)# no shutdown
Globalne polecenie ip routing to instrukcja konfiguracyjna aktywująca tablicę routingu oraz silnik przekazywania pakietów warstwy 3 w systemie operacyjnym przełącznika. Bez wydania tego polecenia przełącznik działa wyłącznie jako urządzenie warstwy 2, ignorując zdefiniowane interfejsy SVI jako bramy tranzytowe.
Konfiguracja interfejsów SVI i aktywacja routingu w Cisco IOS

Najczęstszym błędem popełnianym przez początkujących inżynierów konfigurujących przełącznik wielowarstwowy jest skonfigurowanie interfejsów interface Vlan10 i Vlan20 z poprawnymi adresami IP, a następnie zapomnienie o wydaniu globalnego polecenia ip routing. W takim stanie przełącznik odpowiada na zapytania ping wysyłane do jego własnych adresów SVI, lecz nie przekazuje ani jednego pakietu pomiędzy VLAN-ami.

Po włączeniu routingu pakiety pomiędzy sieciami wirtualnymi są przełączane wewnątrz matrycy sprzętowej ASIC w czasie mierzonym w nanosekundach. Pozwala to na pełną integrację setek gigabitów ruchu kampusowego bez ryzyka przeciążenia procesora.

Skróty użyte w tym slajdzie:
SVI - Switched Virtual Interface, wirtualny interfejs routowalny przełącznika.
ASIC - Application-Specific Integrated Circuit, wyspecjalizowane układy scalone przetwarzające pakiety.
CLI - Command Line Interface, interfejs tekstowy wiersza poleceń.
IP - Internet Protocol, protokół warstwy sieciowej.

21/24

Podsumowanie wykładu

Podsumowanie zasad podziału na wirtualne sieci LAN, magistral trunkowych oraz routingu między sieciami VLAN.

Kluczowe filary segmentacji w sieci kampusowej

  • Logiczna segmentacja: izolacja domen rozgłoszeniowych i separacja ról użytkowników za pomocą sieci VLAN (IEEE 802.1Q).
  • Wydajny transport szkieletowy: łącza trunkowe z zabezpieczonym VLAN-em natywnym i przycinaniem list allowed vlan.
  • Nowoczesny Inter-VLAN Routing: przełączanie wielowarstwowe L3 z interfejsami SVI w warstwie dystrybucji jako wzorcowy model architektoniczny kampusu.
Zintegrowana architektura segmentacji wielowarstwowej to połączenie wirtualnych sieci LAN w warstwie dostępu z wydajnym routingiem sprzętowym na interfejsach SVI w warstwie dystrybucji. Gwarantuje bezpieczeństwo zasobów, optymalizację pasma transmisyjnego oraz skalowalność całego ekosystemu kampusowego.
Podsumowanie zasad segmentacji VLAN i routingu wielowarstwowego

Podsumowując materiał wykładu, należy zapamiętać fundamentalną regułę projektowania sieci kampusowych: sieć warstwy 2 powinna być tak mała, jak to tylko możliwe, a routing warstwy 3 powinien znajdować się tak blisko użytkownika, jak to ekonomicznie uzasadnione. Ogranicza to zasięg domen rozgłoszeniowych i eliminuje ryzyko rozległych awarii STP.

Właściwe zaplanowanie puli numeracyjnej VLAN-ów (np. konwencja, w której numer VLAN odpowiada trzeciemu oktetowi adresu IP podsieci, np. VLAN 20 = 10.1.20.0/24) znacząco upraszcza zarządzanie, diagnostykę i wdrażanie reguł list ACL w przyszłości.

Skróty użyte w tym slajdzie:
VLAN - Virtual Local Area Network, sieć wirtualna.
SVI - Switched Virtual Interface, wirtualny interfejs routowalny warstwy 3.
ROAS - Router-on-a-Stick, tradycyjna metoda routingu z routerem zewnętrznym.
ACL - Access Control List, lista reguł filtrujących pakiety w sieci.

22/24

Zapowiedź kolejnego wykładu

Przedstawienie tematyki kolejnego wykładu poświęconego planowaniu adresacji IPv4/IPv6, technice VLSM oraz usługom sieciowym DHCP i DNS.

Wykład 6: Adresowanie IP, VLSM, DHCP i DNS w środowisku kampusowym

  • Hierarchiczny plan adresacji: projektowanie struktury podsieci z wykorzystaniem masek o zmiennej długości (VLSM) i agregacji tras.
  • Automatyzacja przydziału adresów: konfiguracja usługi DHCP, agentów przekaźnika (DHCP Relay) oraz mechanizmów ochrony DHCP Snooping.
  • Rozwiązywanie nazw w kampusie: architektura wewnętrznych stref DNS, serwerów forwardujących i integracji z domeną przedsiębiorstwa.
Hierarchiczny plan adresacji IP to usystematyzowany podział puli adresowej organizacji na logiczne bloki odzwierciedlające strukturę geograficzną i funkcjonalną kampusu. Umożliwia efektywną sumaryzację tras (Route Summarization) w protokołach routingu oraz upraszcza zarządzanie politykami bezpieczeństwa.
Zapowiedź tematyki adresacji IP, VLSM i usług sieciowych

Wykład szósty przeniesie nas w świat inżynierii warstwy sieciowej (Layer 3). Szczegółowo przeanalizujemy metodykę tworzenia bezklasowych podsieci za pomocą techniki VLSM (Variable Length Subnet Masking), co pozwala na precyzyjne dopasowanie wielkości puli adresowej do rzeczywistej liczby hostów w poszczególnych VLAN-ach.

Omówimy również kluczowe usługi infrastrukturalne: architekturę wysokiej dostępności serwerów DHCP, konfigurację przekaźnika IP Helper Address na przełącznikach dystrybucyjnych oraz mechanizmy ochrony przed atakami typu Rogue DHCP Server.

Skróty użyte w tym slajdzie:
VLSM - Variable Length Subnet Masking, technika podziału sieci z maskami o zmiennej długości.
DHCP - Dynamic Host Configuration Protocol, protokół automatycznej konfiguracji hostów IP.
DNS - Domain Name System, rozproszony system mapowania nazw domenowych na adresy IP.
IP - Internet Protocol, protokół warstwy sieciowej.

23/24

Pytania i odpowiedzi (Q&A)

Podsumowanie i wyjaśnienie wątpliwości dotyczących tagowania ramek 802.1Q oraz konfiguracji interfejsów SVI.

Sesja dyskusyjna i analiza przypadków inżynierskich

  • Weryfikacja wiedzy: analiza różnic pomiędzy portem dostępowym a trunkowym oraz rola Native VLAN w bezpiecznej konfiguracji sieci.
  • Przypadki laboratoryjne: rozwiązywanie problemów ze stanem Autostate interfejsów SVI oraz procedury poprawnego uruchamiania Voice VLAN.
  • Konsultacje dydaktyczne: dostępność prowadzącego i terminy indywidualnych ćwiczeń w laboratorium sieciowym.
Sesja dyskusyjna to interaktywny etap zajęć dydaktycznych umożliwiający przeanalizowanie nietypowych zachowań przełączników sieciowych w stanach awaryjnych oraz pogłębienie wiedzy na temat mechanizmów komutacji wielowarstwowej. Służy utrwaleniu dobrych praktyk projektowych.
Sesja pytań i odpowiedzi dotycząca sieci VLAN i routingu L3

Podczas sesji pytań szczególną uwagę poświęcimy diagnostyce problemów z komunikacją między sieciami VLAN. Do najczęstszych przyczyn braku łączności należą: brak wpisania polecenia ip routing na przełączniku wielowarstwowym, niespójność identyfikatora VLAN-u natywnego po obu stronach łącza trunk oraz błędy w listach dozwolonych sieci allowed vlan.

Wszystkie prezentowane procedury konfiguracji portów access, trunk i interfejsów SVI będą samodzielnie wykonywane przez Państwa podczas najbliższych ćwiczeń laboratoryjnych na przełącznikach Cisco Catalyst.

Skróty użyte w tym slajdzie:
SVI - Switched Virtual Interface, wirtualny interfejs warstwy 3.
QA - Quality Assurance, procedury weryfikacji poprawności konfiguracji sprzętowej.
CLI - Command Line Interface, interfejs wiersza poleceń urządzeń sieciowych.
ICMP - Internet Control Message Protocol, protokół diagnostyki sieciowej wykorzystywany przez polecenie ping.

24/24

Dziękuję za uwagę

Zakończenie wykładu i wskazanie literatury uzupełniającej z zakresu wirtualnych sieci LAN i przełączania wielowarstwowego.

Zakończenie wykładu

  • Podziękowanie: za aktywny udział w analizie architektury sieci wirtualnych VLAN i technologii routingu wielowarstwowego.
  • Literatura podstawowa: Paweł Zaręba, Praktyczne projekty sieciowe, rozdział 6, Helion 2019.
  • Standardy i wytyczne branżowe: oficjalne specyfikacje IEEE 802.1Q (Bridges and Bridged Networks) oraz wytyczne projektowe Cisco CVD.
Literatura techniczna i specyfikacje standaryzacyjne to fundamentalne źródło wiedzy inżynierskiej, pozwalające na zrozumienie implementacji protokołów komutacji i routingu w rozwiązaniach różnych producentów sprzętu. Stanowi niezbędną pomoc przy projektowaniu niezawodnych i bezpiecznych sieci kampusowych.
Zakończenie wykładu piątego i literatura polecana

Praktyczne opanowanie zasad konfiguracji sieci wirtualnych VLAN, bezpiecznych magistrali trunk oraz przełączania na poziomie warstwy 3 stanowi absolutny fundament dalszej nauki w ramach kursu Projektowanie i wymiarowanie sieci klasy Campus. Wiedza ta będzie bezpośrednio weryfikowana na kolejnych laboratoriach.

Przed kolejnymi zajęciami zaleca się samodzielne przećwiczenie podziału przestrzeni adresowej IPv4 na podsieci oraz powtórzenie zasad działania protokołów ARP i ICMP w celu sprawnego przejścia do tematyki zaawansowanego adresowania IP i protokołu DHCP.

Skróty użyte w tym slajdzie:
ISBN - International Standard Book Number, unikalny międzynarodowy identyfikator książki.
IEEE - Institute of Electrical and Electronics Engineers, międzynarodowa instytucja inżynierii technicznej.
PKN - Polski Komitet Normalizacyjny, krajowa jednostka standaryzacyjna.
VLAN - Virtual Local Area Network, wirtualna sieć lokalna.

Podgląd okładki książki