Comprendere la Virtual LAN Technology (VLAN)

Cosa è una VLAN e perché viene usata?

In termni tecnici, una VLAN (virtual local area network) è una LAN virtuale. Questa tecnologia è in grado di suddividere e isolare logicamente una o più LAN fisiche in più domini di trasmissione. Ogni dominio di trasmissione è considerato come una VLAN. In genere, solo i dispositivi appartenenti alla stessa VLAN possono comunicare tra loro. Perché si usano le VLAN? Prima della VLAN, esisteva un unico dominio di trasmissione sulla rete specificata, chiamato LAN (local area work). Come mostra la seguente topologia di applicazione LAN, per comunicare con l'host B, l'host A trasmette la sua richiesta ARP (address resolution protocol) a tutti gli switch e agli altri host della stessa rete locale.

Tuttavia, quando la rete è bombardata da host e switch, è probabile che si verifichi una tempesta di broadcast. Di conseguenza, la CPU degli host e la larghezza di banda dell'intera rete saranno fortemente consumate. La VLAN fornisce una soluzione a questo problema.

Configurando le VLAN, è possibile dividere una rete in diversi domini di trasmissione. I pacchetti inviati dalle postazioni di lavoro su un segmento di rete vengono trasmessi da bridge o switch che non inoltrano i conflitti ma trasmettono a ogni dispositivo di rete. Questo semplifica molte delle potenziali complicazioni causate dalle Lans, tra cui l'eccessivo traffico di rete e i conflitti. In questo modo, le risorse di rete e la larghezza di banda saranno notevolmente risparmiate, migliorando la flessibilità e le prestazioni della rete.

Tipi di VLAN

In genere, esistono cinque tipi di VLAN standard:VLAN basata sull'interfaccia, VLAN basata sull'indirizzo MAC, VLAN basata sulla subnet IP, VLAN basata sul protocollo e VLAN basata sui criteri.

VLAN basata sull'interfaccia

La VLAN basata sull'interfaccia, detta anche VLAN basata sulla porta, è una tecnologia che consente agli amministratori di rete di assegnare manualmente le VLAN per ogni porta dello switch. È adatta a una rete di piccole dimensioni senza la necessità di modificare frequentemente l'infrastruttura di rete.

VLAN basata sull'indirizzo MAC

La VLAN basata sull'indirizzo MAC si riferisce all'assegnazione di VLAN in base agli indirizzi MAC di origine dei frame. L'applicazione di questa tecnologia può migliorare notevolmente la sicurezza e la flessibilità della rete. Anche se gli utenti cambiano spesso sede fisica, l'amministratore di rete non dovrà riconfigurare le VLAN.

VLAN basata su subnet IP

VLAN basata su subnet IP può assegnare le VLAN in base alle subnet IP dei dispositivi. Si tratta di una soluzione efficace per una rete pubblica con una maggiore richiesta di mobilità e gestione semplificata e una minore richiesta di sicurezza. Con questa tecnologia, gli utenti possono unirsi automaticamente a un nuovo ID VLAN dopo che il loro IP è stato modificato.

VLAN basata su protocollo

Usata su una rete con più protocolli, la VLAN basata su protocollo può assegnare le VLAN in base ai tipi di protocollo e ai formati di incapsulamento dei frame.

VLAN basata su criteri

La VLAN basata sui criteri può essere descritta come una combinazione delle precedenti. Può assegnare le VLAN in base a criteri come combinazioni di indirizzi MAC e indirizzi IP. La combinazione di politiche per realizzare il controllo dell'accesso inter-VLAN migliora notevolmente la sicurezza e la flessibilità della rete.

Come funziona la VLAN?

Comunicazione intra-VLAN

La comunicazione intra-VLAN si riferisce alla comunicazione tra utenti dello stesso segmento di rete e della stessa VLAN. In generale, questo tipo di VLAN si applica a due scenari: la comunicazione intra-VLAN attraverso lo stesso dispositivo e la comunicazione intra-VLAN attraverso più dispositivi. Indipendentemente dal tipo, l'intero processo di trasmissione si svolge principalmente attraverso le seguenti due fasi:

1. La richiesta ARP inviata dall'host sorgente: prima dell'invio, l'host sorgente confronta il proprio indirizzo IP con quello della designazione. Se l'host sorgente trova che si trovano nello stesso segmento di rete, ottiene l'indirizzo MAC dell'host di destinazione e riempie il campo MAC del frame con l'indirizzo MAC ottenuto. Al contrario, il pacchetto broadcast deve essere inviato al gateway. L'indirizzo MAC del gateway verrà utilizzato dall'host sorgente come indirizzo MAC di destinazione.

2. Aggiunta e rimozione di tag VLAN durante la comunicazione tra dispositivi: Quando i frame vengono elaborati in uno switch, i tag VLAN devono essere trasportati.

Comunicazione inter-VLAN

Poiché i pacchetti di broadcast sono limitati nella stessa VLAN, gli host di VLAN diverse non sono in grado di comunicare direttamente tra loro nel livello 2. Per questo motivo, si ricorre al routing inter-VLAN che può inoltrare il traffico di rete da una VLAN all'altra. Per risolvere questo problema si ricorre quindi al routing inter-VLAN, che può inoltrare il traffico di rete da una VLAN all'altra. Per abilitare l'instradamento tra diverse VLAN sono disponibili tre opzioni:

Instradamento inter-VLAN con interfacce fisiche separate

Questo metodo di routing inter-VLAN consiste nel collegare una porta aggiuntiva di ogni VLAN a un router. Ogni VLAN ha bisogno di una porta fisica sul router, il che comporta un costo elevato dei router. Pertanto, questo tipo di routing inter-VLAN è stato raramente utilizzato a causa del costo elevato e della scarsa scalabilità.

Router-on-a-Stick per l'instradamento inter-VLAN

Questo tipo di routing VLAN consente a un'unica interfaccia fisica di realizzare l'inoltro del traffico tra VLAN. Dopo aver configurato il collegamento tra il router e lo switch come trunk link, il router può ricevere frame con tag VLAN sull'interfaccia trunk dallo switch collegato e inoltrare i pacchetti instradati verso destinazioni con tag VLAN attraverso la stessa interfaccia.

Instradamento inter-vLAN con switch Layer 3

L'ultimo metodo consiste nell'utilizzare switch di livello 3 con funzione di routing. Gli utenti devono creare una SVI (Switch Virtual Interface) per ogni VLAN e configurare un indirizzo IP. Questo indirizzo IP può essere utilizzato dai computer come gateway predefinito. In questo modo, i pacchetti di una VLAN saranno inviati alla SVI per essere instradati alle altre VLAN e realizzare la comunicazione inter-VLAN.

Vantaggi della VLAN

La VLAN riduce le dimensioni dei domini di broadcasting.

Confinando i domini di trasmissione, si impedisce alle stazioni finali di una VLAN di ascoltare o ricevere trasmissioni non destinate a loro. Inoltre, se un router non è collegato tra le VLAN, le stazioni finali di una VLAN non possono comunicare con le stazioni finali delle altre VLAN. Il confinamento dei domini di trasmissione in una rete riduce in modo significativo il traffico.

La VLAN può migliorare la sicurezza della rete.

I confini virtuali creati da una VLAN possono essere attraversati solo dai router. Pertanto, l'accesso alla VLAN può essere limitato utilizzando misure di sicurezza standard basate su router. Inoltre, le VLAN possono migliorare la sicurezza della rete attraverso il filtraggio dei pacchetti. Gli amministratori di rete controllano ogni porta e le risorse che consentono di utilizzare, separando i gruppi con dati sensibili dal resto della rete e riducendo la possibilità di fuga di informazioni riservate.

Le VLAN sono facili da gestire.

La VLAN facilita la gestione della rete perché gli utenti con esigenze di rete simili condividono la stessa VLAN. Quando viene fornito un nuovo switch, è possibile aggiungere o modificare rapidamente i nodi di rete nella pagina di gestione web dello switch. Tutte le politiche e le procedure configurate per una specifica VLAN vengono implementate quando vengono assegnate le porte. Il personale IT può inoltre identificare facilmente la funzionalità di una VLAN assegnandole un nome appropriato.

La VLAN facilita la gestione di altri dispositivi.

Le VLAN semplificano la gestione di progetti e applicazioni e aggregano utenti e dispositivi di rete per supportare le esigenze aziendali o geografiche. Disporre di funzionalità separate facilita la gestione di progetti o l'utilizzo di applicazioni dedicate, mentre i dispositivi possono essere raggruppati logicamente in base alla funzionalità piuttosto che alla posizione.