Порты доступа и транковые соединения

После создания VLAN порты коммутатора делятся на два основных типа: порты доступа и магистральные порты. Порт доступа передаёт трафик одной VLAN и подключает конечные устройства. Магистральный порт передаёт трафик многих VLAN одновременно и соединяет коммутаторы. Понимание этой разницы необходимо для построения любой сети VLAN с несколькими коммутаторами и часто проверяется на экзаменах.

Порт доступа принадлежит ровно одной VLAN. К нему подключают конечное устройство — PC, принтер или телефон, — и оно оказывается в назначенной VLAN. Устройство не знает о существовании VLAN: оно просто отправляет и принимает обычные кадры. Коммутатор незаметно связывает всё, что проходит через этот порт, с его единственной VLAN. Большинство портов в здании являются портами доступа.

Магистральный порт передаёт трафик нескольких VLAN по одному соединению. Магистральные соединения обычно используются между коммутаторами или между коммутатором и маршрутизатором. Поскольку магистральный канал общий для многих VLAN, коммутатор должен пометить каждый кадр идентификатором VLAN, чтобы другая сторона знала, куда его отнести. Без магистральных соединений между коммутаторами потребовался бы отдельный кабель для каждой VLAN, что непрактично.

Как магистральный канал не смешивает VLAN? С помощью маркировки 802.1Q — стандарта маркировки VLAN. Когда кадр поступает в магистральный канал, коммутатор добавляет небольшую метку с идентификатором VLAN. Принимающий коммутатор считывает метку, определяет VLAN кадра и удаляет метку перед передачей кадра на порт доступа. Именно маркировка позволяет безопасно передавать множество VLAN по одному кабелю.

У магистрального канала есть одна собственная VLAN, трафик которой проходит без маркировки. По умолчанию это VLAN 1. Любой кадр, поступивший в магистральный канал без метки, считается принадлежащим собственной VLAN. Для повышения безопасности администраторы часто меняют собственную VLAN с VLAN 1 на другую и проверяют, что обе стороны магистрального соединения используют одинаковую настройку, поскольку несоответствие может привести к утечке трафика между VLAN.

Настроить порт доступа просто: назначьте ему режим доступа и укажите его VLAN. В примере ниже порт помещён в VLAN 20 для пользовательского PC. Всё, что подключено к этому порту, присоединяется к VLAN 20. Порты доступа являются конечными точками системы VLAN, к которым обычные устройства подключаются без необходимости понимать маркировку.

Магистральный порт настраивают для передачи VLAN, которым нужно перемещаться между коммутаторами. В примере порт переводится в магистральный режим, а список разрешённых VLAN ограничивается двумя. Ограничивать VLAN, которым разрешено проходить по магистральному каналу, — хорошая практика: это уменьшает распространение широковещательных сообщений и ограничивает область воздействия, если определённая VLAN не должна достигать конкретного коммутатора.

Представьте три коммутатора, на каждом из которых работают VLAN 10, 20 и 30. При использовании магистральных соединений один кабель между коммутаторами передаёт все три VLAN, помечая их так, чтобы они оставались раздельными. Без магистральных соединений потребовалось бы по три кабеля между каждой парой коммутаторов. Именно магистральные соединения позволяют масштабировать VLAN на всё здание или кампус, сохраняя простую кабельную инфраструктуру.

Особый случай объединяет оба подхода: IP-телефон, за которым подключён PC. Порт в основном работает как порт доступа для VLAN данных PC, но также помечает голосовой трафик для отдельной голосовой VLAN. Благодаря этому один кабель передаёт немаркированные данные PC и маркированный голосовой трафик телефона — это распространённая схема, сочетающая поведение порта доступа и магистрального порта.

Особенно часто встречаются две ошибки. Первая — забыть разрешить VLAN на магистральном канале, из-за чего устройства этой VLAN не могут связаться с другим коммутатором. Вторая — несоответствие собственной VLAN, когда две стороны используют разные VLAN для немаркированного трафика, что приводит к непредсказуемым проблемам со связью или рискам безопасности. Если трафик VLAN необъяснимо не проходит между коммутаторами, сначала проверьте список разрешённых VLAN на магистральном канале и собственную VLAN.

Запомните роли: порты доступа соединяют конечные устройства и передают одну VLAN; магистральные порты соединяют коммутаторы и передают множество VLAN с помощью меток 802.1Q, используя одну немаркированную собственную VLAN. Порты доступа — это двери, через которые проходят устройства, а магистральные порты — шоссе между коммутаторами. Вместе они позволяют аккуратно и безопасно растянуть VLAN на сеть любого размера.

Порты коммутатора бывают портами доступа или транковыми портами. Порт доступа подключает конечное устройство и передаёт данные одной VLAN. Транковый порт соединяет коммутаторы и передаёт данные множества VLAN, используя маркировку 802.1Q, чтобы указать для каждого кадра его идентификатор VLAN. У транка есть одна собственная VLAN, данные которой передаются без метки (по умолчанию VLAN 1). Транки позволяют растянуть VLAN на несколько коммутаторов, используя простую кабельную схему. Если транки работают неправильно, проверьте запрещённые VLAN и несоответствие собственных VLAN.