Access-portit ja trunk-yhteydet

Trunk-portti välittää useiden VLAN-verkkojen liikennettä yhden yhteyden kautta. Trunkit yhdistävät yleensä kytkimen toiseen kytkimeen tai kytkimen reitittimeen. Koska trunkissa kulkee useiden VLAN-verkkojen liikennettä, kytkimen on merkittävä jokainen kehys VLAN ID:llä, jotta vastaanottava pää tietää, mihin VLAN-verkkoon kehys kuuluu. Ilman trunkkeja kytkinten välille tarvittaisiin erillinen kaapeli jokaista VLAN-verkkoa varten, mikä ei ole käytännöllistä.

Miten trunk pitää VLAN-verkot erillään? Käyttämällä 802.1Q-merkitsemistä, joka on VLAN-merkitsemisen standardi. Kun kehys saapuu trunkkiin, kytkin lisää siihen pienen VLAN ID:n sisältävän tunnisteen. Vastaanottava kytkin lukee tunnisteen, tunnistaa kehyksen VLAN-verkon ja poistaa tunnisteen ennen kehyksen välittämistä access-porttiin. Merkitsemisen ansiosta yksi kaapeli voi välittää turvallisesti useiden VLAN-verkkojen liikennettä.

Trunkissa on yksi natiivi VLAN, jonka liikenne kulkee trunkin läpi ilman tunnistetta. Oletusarvoisesti tämä on VLAN 1. Kaikkien trunkkiin ilman tunnistetta saapuvien kehysten oletetaan kuuluvan natiiviin VLAN-verkkoon. Tietoturvan vuoksi järjestelmänvalvojat vaihtavat natiivin VLAN-verkon usein pois VLAN 1:stä ja varmistavat, että trunkin molemmat päät käyttävät samaa asetusta, koska ristiriita voi aiheuttaa liikenteen vuotamista VLAN-verkkojen välillä.

Access-portin määrittäminen on helppoa: merkitkää portti access-portiksi ja määrittäkää sen VLAN. Alla oleva esimerkki sijoittaa portin VLAN 20:een käyttäjän tietokonetta varten. Kaikki porttiin kytketyt laitteet liittyvät VLAN 20:een. Access-portit ovat VLAN-järjestelmän päätepisteitä, joihin tavalliset laitteet voidaan kytkeä ilman, että niiden tarvitsee ymmärtää merkitsemistä.

Trunk määritetään välittämään ne VLAN-verkot, joiden on kuljettava kytkinten välillä. Esimerkissä portti määritetään trunkiksi ja rajataan kahteen VLAN-verkkoon. Trunkin sallimien VLAN-verkkojen rajoittaminen on hyvä käytäntö: se vähentää yleislähetysten leviämistä ja rajoittaa altistumista, jos jonkin VLAN-verkon ei pitäisi saavuttaa tiettyä kytkintä.

Kuvitelkaa kolme kytkintä, joista jokaisessa isännöidään VLAN-verkkoja 10, 20 ja 30. Trunkkien avulla kytkinten välinen yksi kaapeli välittää kaikki kolme VLAN-verkkoa, jotka on merkitty siten, että ne pysyvät erillään. Ilman trunkkeja jokaista kytkinparia varten tarvittaisiin kolme kaapelia. Trunkit mahdollistavat VLAN-verkkojen laajentamisen koko rakennukseen tai kampusalueelle samalla, kun kaapelointi pysyy yksinkertaisena.

Erityistapauksessa molemmat ajatukset yhdistyvät: IP-puhelimen taakse on kytketty tietokone. Portti toimii pääasiassa tietokoneen datan VLAN-verkon access-porttina, mutta merkitsee samalla puheliikenteen erillistä voice VLAN -verkkoa varten. Näin yksi kaapeli voi välittää merkitsemätöntä tietokonedataa ja merkittyä puheliikennettä. Tämä on yleinen kokoonpano, jossa access- ja trunk-portin kaltainen toiminta yhdistyy samassa portissa.

Kaksi yleistä virhettä korostuu. Ensinnäkin VLAN-verkko unohdetaan sallia trunkissa, jolloin kyseisen VLAN-verkon laitteet eivät voi saavuttaa toista kytkintä. Toiseksi syntyy natiivin VLAN-verkon ristiriita, jossa trunkin molemmat päät käyttävät eri merkitsemätöntä VLAN-verkkoa. Tämä aiheuttaa outoja yhteysongelmia tai tietoturvariskejä. Kun VLAN-liikenne lakkaa selittämättömästi toimimasta kytkinten välillä, tarkistakaa ensin trunkin sallittujen VLAN-verkkojen luettelo ja natiivi VLAN.

Muistakaa roolit: access-portit yhdistävät päätelaitteita ja välittävät yhden VLAN-verkon liikennettä; trunk-portit yhdistävät kytkimiä ja välittävät useiden VLAN-verkkojen liikennettä 802.1Q-tunnisteiden avulla. Niissä on yksi merkitsemätön natiivi VLAN. Access-portit ovat ovia, joiden kautta laitteet kulkevat, ja trunkit ovat kytkinten välisiä valtateitä. Yhdessä ne mahdollistavat VLAN-verkkojen siistin ja turvallisen laajentamisen minkä tahansa kokoiseen verkkoon.

Kytkinten portit ovat access- tai trunk-portteja. Access-portti yhdistää päätelaitteen ja välittää yhden VLAN-verkon liikennettä. Trunk-portti yhdistää kytkimiä ja välittää useita VLAN-verkkoja käyttämällä 802.1Q-taggausta, joka merkitsee jokaisen kehyksen VLAN-tunnuksella. Trunkissa on yksi native VLAN, jonka liikenne kulkee ilman tagia (oletusarvoisesti VLAN 1). Trunkit mahdollistavat VLAN-verkkojen ulottamisen useisiin kytkimiin yksinkertaisella kaapeloinnilla. Jos trunkit eivät toimi oikein, tarkistakaa sallimattomat VLAN-verkot ja native VLAN -ristiriidat.