Porty dostępowe i łącza trunk

Gdy mają już Państwo sieci VLAN, porty przełącznika dzielą się na dwa główne rodzaje: porty dostępowe i porty trunk. Port dostępowy przenosi ruch jednego VLAN-u i służy do podłączania urządzeń końcowych. Port trunk przenosi jednocześnie ruch wielu VLAN-ów i służy do łączenia przełączników. Znajomość tej różnicy jest niezbędna do budowania sieci VLAN obejmującej wiele przełączników i jest częstym tematem egzaminacyjnym.

Port dostępowy należy dokładnie do jednego VLAN-u. Podłącza się do niego urządzenie końcowe — komputer, drukarkę lub telefon — a urządzenie trafia do przypisanego VLAN-u. Urządzenie nie wie, że istnieją sieci VLAN; po prostu wysyła i odbiera zwykłe ramki. Przełącznik w tle przypisuje wszystko, co pojawia się na tym porcie, do jego jedynego VLAN-u. Większość portów w budynku to porty dostępowe.

Port trunk przenosi ruch wielu VLAN-ów jednym łączem. Trunki zwykle łączą jeden przełącznik z drugim albo przełącznik z routerem. Ponieważ trunk współdzieli wiele VLAN-ów, przełącznik musi oznaczyć każdą ramkę identyfikatorem VLAN-u, aby druga strona wiedziała, do którego VLAN-u należy. Bez trunków między przełącznikami potrzebny byłby osobny kabel dla każdego VLAN-u, co byłoby niepraktyczne.

Jak trunk rozróżnia sieci VLAN? Dzięki oznaczaniu 802.1Q, czyli standardowi oznaczania VLAN-ów. Gdy ramka wchodzi do trunku, przełącznik dodaje niewielki znacznik zawierający identyfikator VLAN-u. Przełącznik odbierający odczytuje znacznik, rozpoznaje VLAN ramki i usuwa znacznik przed przekazaniem ramki do portu dostępowego. To właśnie oznaczanie pozwala bezpiecznie przenosić wiele VLAN-ów jednym kablem.

Trunk ma jeden natywny VLAN, którego ruch przechodzi przez trunk bez oznaczenia. Domyślnie jest to VLAN 1. Każda ramka docierająca do trunku bez znacznika jest uznawana za należącą do natywnego VLAN-u. Ze względów bezpieczeństwa administratorzy często zmieniają natywny VLAN z VLAN 1 na inny i dbają o zgodność ustawień po obu stronach trunku, ponieważ niezgodność może powodować wyciek ruchu między VLAN-ami.

Konfiguracja portu dostępowego jest prosta: należy ustawić tryb dostępowy i przypisać port do VLAN-u. Poniższy przykład pokazuje port umieszczony w VLAN 20 dla komputera użytkownika. Wszystko, co zostanie do niego podłączone, dołączy do VLAN 20. Porty dostępowe są punktami końcowymi systemu VLAN, do których podłącza się zwykłe urządzenia niewymagające znajomości mechanizmu oznaczania.

Trunk konfiguruje się tak, aby przenosił VLAN-y, które muszą być przesyłane między przełącznikami. W przykładzie port jest ustawiony jako trunk i ograniczony do dwóch VLAN-ów. Ograniczenie listy VLAN-ów dozwolonych na trunku jest dobrą praktyką: zmniejsza rozprzestrzenianie się rozgłoszeń i ogranicza ekspozycję, jeśli dany VLAN nie powinien docierać do konkretnego przełącznika.

Wyobraźmy sobie trzy przełączniki, z których każdy obsługuje VLAN-y 10, 20 i 30. Dzięki trunkom jeden kabel między przełącznikami przenosi wszystkie trzy VLAN-y, a oznaczenia utrzymują ich separację. Bez trunków potrzebne byłyby trzy kable na każdą parę przełączników. To właśnie trunki pozwalają skalować sieci VLAN na cały budynek lub kampus, zachowując prostotę okablowania.

Szczególny przypadek łączy oba rozwiązania: telefon IP z komputerem podłączonym za nim. Port działa głównie jako port dostępowy dla VLAN-u danych komputera, ale dodatkowo oznacza ruch głosowy osobnym VLAN-em dla telefonii. Dzięki temu jednym kablem można przesyłać nieoznaczone dane komputera i oznaczony ruch głosowy telefonu — jest to częsta konfiguracja łącząca działanie portu dostępowego i trunku na jednym porcie.

Wyróżniają się dwa częste błędy. Po pierwsze, pominięcie VLAN-u na liście dozwolonych trunku, przez co urządzenia w tym VLAN-ie nie mogą komunikować się z urządzeniami podłączonymi do innego przełącznika. Po drugie, niezgodność natywnego VLAN-u, gdy oba końce nie zgadzają się co do VLAN-u używanego dla nieoznaczonego ruchu, co powoduje nietypowe problemy z łącznością lub zagrożenia bezpieczeństwa. Gdy ruch VLAN-u tajemniczo przestaje działać między przełącznikami, najpierw należy sprawdzić listę dozwolonych VLAN-ów trunku i natywny VLAN.

Należy pamiętać o rolach: porty dostępowe łączą urządzenia końcowe i przenoszą jeden VLAN; porty trunk łączą przełączniki i przenoszą wiele VLAN-ów za pomocą znaczników 802.1Q, z jednym nieoznaczonym natywnym VLAN-em. Porty dostępowe są drzwiami, przez które przechodzą urządzenia, a trunki — autostradami między przełącznikami. Razem pozwalają czysto i bezpiecznie rozciągać sieci VLAN na sieci o dowolnej wielkości.

Sprawdź swoją wiedzę o portach.

Porty przełącznika to porty dostępowe albo trunk. Port dostępowy łączy urządzenie końcowe i przenosi jeden VLAN. Port trunk łączy przełączniki i przenosi wiele sieci VLAN, używając tagowania 802.1Q do oznaczania każdej ramki identyfikatorem VLAN. Trunk ma jeden natywny VLAN, który jest przesyłany bez tagu (domyślnie VLAN 1). Trunki pozwalają rozciągać sieci VLAN na wiele przełączników przy użyciu prostego okablowania. Gdy trunki działają nieprawidłowo, należy sprawdzić niedozwolone sieci VLAN oraz niezgodność natywnego VLAN-u.