Reti Locali (LAN) e Reti Locali Virtuali (VLAN) A.A. 2009/2010 Walter Cerroni
Evoluzione delle reti locali (LAN) Ethernet (IEEE 802.3) 10 Mb/s CSMA/CD topologia a bus su cavo coassiale (10Base5, 10Base2) topologia a stella su doppino o fibra (10BaseT, 10BaseF) 2
Evoluzione delle reti locali (LAN) Fast Ethernet 100 Mb/s topologia a stella su doppino o fibra (100BaseT4, 100BaseTX, 100BaseFX) Gigabit Ethernet 1000 Mb/s topologia a stella su doppino o fibra (1000BaseT, 1000BaseSX, 1000BaseLX) Multi-Gigabit Ethernet standard a 10 Gb/s allo studio soluzioni a 40 Gb/s e 100 Gb/s Wireless LAN 802.11a/b/g fino a 54 Mb/s 802.11n in fase di standardizzazione 3
Interconnessione di LAN Repeater opera al livello fisico (strato 1) se è multiporta è comunemente noto come hub amplifica e rigenera il segnale ritrasmettendolo su tutte le porte ogni trama trasmessa su un segmento di LAN è ricevuta da tutti gli altri segmenti hub aa:bb:cc:dd:ee:ff hub trama diretta a aa:bb:cc:dd:ee:ff 4
Interconnessione di LAN Bridge opera al livello data-link (strato 2) può interconnettere LAN di tipo diverso convertendo i formati di trama e applicando i rispettivi protocolli di accesso multiplo separa il traffico dei diversi domini di collisione es. un Modem ADSL Wireless è un bridge tra Ethernet (802.3), Wi-Fi (802.11) e collegamento ADSL (PPPoE, PPPoA) Wi-Fi Ethernet ADSL WAN 5
Interconnessione di LAN Switch è un bridge multiporta con funzioni di commutazione trasferisce contemporaneamente trame da più porte di ingresso a più porte di uscita è costituito da un backplane ad alta velocità che interconnette le porte instrada le trame sulla base dell indirizzo MAC di destinazione trama diretta a aa:bb:cc:dd:ee:ff trama diretta a 11:22:33:44:55:66 switch switch 11:22:33:44:55:66 aa:bb:cc:dd:ee:ff 6
Interconnessione di LAN Switch è un bridge multiporta con funzioni di commutazione trasferisce contemporaneamente trame da più porte di ingresso a più porte di uscita è costituito da un backplane ad alta velocità che interconnette le porte instrada le trame sulla base dell indirizzo MAC di destinazione trama diretta a ff:ff:ff:ff:ff:ff switch switch 11:22:33:44:55:66 aa:bb:cc:dd:ee:ff 7
Transparent bridge Bridge o switch che costruisce la tabella di inoltro (forwarding database) tramite un processo di autoapprendimento quando l indirizzo MAC di destinazione non è noto, la trama viene inoltrata su tutte le porte l indirizzo MAC sorgente viene memorizzato nella tabella di inoltro con il corrispondente numero di porta MAC Porta 11:22:33:44:55:66 3 MAC Porta switch 11:22:33:44:55:66 1 trama diretta a aa:bb:cc:dd:ee:ff switch 11:22:33:44:55:66 aa:bb:cc:dd:ee:ff 8
Transparent bridge Bridge o switch che costruisce la tabella di inoltro (forwarding database) tramite un processo di autoapprendimento quando l indirizzo MAC di destinazione non è noto, la trama viene inoltrata su tutte le porte l indirizzo MAC sorgente viene memorizzato nella tabella di inoltro con il corrispondente numero di porta MAC Porta 11:22:33:44:55:66 3 aa:bb:cc:dd:ee:ff 7 switch switch MAC Porta 11:22:33:44:55:66 1 aa:bb:cc:dd:ee:ff 4 trama diretta a 11:22:33:44:55:66 11:22:33:44:55:66 aa:bb:cc:dd:ee:ff 9
Transparent bridge Bridge o switch che costruisce la tabella di inoltro (forwarding database) tramite un processo di autoapprendimento quando l indirizzo MAC di destinazione non è noto, la trama viene inoltrata su tutte le porte l indirizzo MAC sorgente viene memorizzato nella tabella di inoltro con il corrispondente numero di porta MAC 11:22:33:44:55:66 3 aa:bb:cc:dd:ee:ff 7 Porta trama diretta a aa:bb:cc:dd:ee:ff switch switch MAC Porta 11:22:33:44:55:66 1 aa:bb:cc:dd:ee:ff 4 11:22:33:44:55:66 aa:bb:cc:dd:ee:ff 10
Transparent bridge Bridge o switch che costruisce la tabella di inoltro (forwarding database) tramite un processo di autoapprendimento quando l indirizzo MAC di destinazione non è noto, la trama viene inoltrata su tutte le porte l indirizzo MAC sorgente viene memorizzato nella tabella di inoltro con il corrispondente numero di porta MAC Porta 11:22:33:44:55:66 3 aa:bb:cc:dd:ee:ff 7 01:02:03:04:05:06 7 switch 01:02:03:04:05:06 switch trama diretta a 11:22:33:44:55:66 11:22:33:44:55:66 aa:bb:cc:dd:ee:ff MAC Porta 11:22:33:44:55:66 1 aa:bb:cc:dd:ee:ff 4 01:02:03:04:05:06 8 11
Spanning tree Su topologie a maglia è necessario evitare i cicli ed ottenere un albero di ricoprimento LAN interconnesse da bridge Da A.S. Tanenbaum, Reti di Calcolatori, 4 ed. Uno spanning tree che ricopre le LAN intrconnesse 12
Interconnessione di LAN tramite switch Unico dominio broadcast Funzionalmente equivalente ad un unica LAN Router Firewall NAT 192.168.8.0/22 13
Interconnessione di LAN tramite router Domini broadcast separati Permette la separazione delle LAN per motivi di efficienza sicurezza Limitata mobilità degli host da una LAN all altra 192.168.8.0/24 Router Firewall NAT 192.168.9.0/24 192.168.10.0/23 14
Virtual LAN (VLAN) Definizione di LAN virtuali separate all interno dello stesso switch (managed) ogni VLAN rappresenta un diverso dominio broadcast host appartenenti alla stessa VLAN comunicano direttamente host su VLAN diverse comunicano tramite il router Router Firewall NAT 192.168.8.0/24 192.168.9.0/24 192.168.10.0/23 15
Classificazione delle VLAN VLAN statiche o port-based ogni porta dello switch è associata ad una VLAN un host appartiene alla VLAN corrispondente alla porta a cui è connesso per spostare un host su una diversa VLAN occorre intervenire sullo switch e modificare la VLAN corrispondente alla porta a cui l host è connesso VLAN dinamiche l appartenenza alle VLAN è stabilita in base all indirizzo dell host MAC-based IP-based un host appartiene alla corrispondente VLAN indipendentemente dalla porta a cui è connesso per spostare un host su una diversa VLAN occorre intervenire sullo switch e modificare la VLAN corrispondente all indirizzo dell host 16
IEEE 802.1Q Protocollo che permette l utilizzo delle stesse VLAN su diversi switch interconnessi tra loro Occorre specificare a quale VLAN appartiene una trama inviata ad un altro switch Etichetta (tag) nell intestazione Ethernet Da A.S. Tanenbaum, Reti di Calcolatori, 4 ed. 17
IEEE 802.1Q Il tagging 802.1Q deve essere applicato solo su collegamenti compatibili porte di switch che supportano 802.1Q interfacce di rete di host o router che supportano 802.1Q untagged trama diretta a ff:ff:ff:ff:ff:ff untagged tagged: VLAN1 18
IEEE 802.1Q Il tagging 802.1Q deve essere applicato solo su collegamenti compatibili porte di switch che supportano 802.1Q interfacce di rete di host o router che supportano 802.1Q untagged trama diretta a ff:ff:ff:ff:ff:ff (untagged) tagged: VLAN2 untagged 19
Inter-VLAN routing In teoria un router dovrebbe avere un interfaccia dedicata a ciascuna VLAN Soluzione inefficiente e poco scalabile n VLAN richiedono l uso di n interfacce sul router e n porte sullo switch Router Firewall NAT 802.1Q tagging 802.1Q tagging 192.168.8.0/24 192.168.9.0/24 192.168.10.0/23 20
Inter-VLAN routing Più efficiente e scalabile l utilizzo di interfacce virtuali, o sub-interfacce unica interfaccia fisica compatibile con il tagging 802.1Q n interfacce virtuali sulla stessa interfaccia fisica ogni sub-interfaccia utilizza il VLAN ID corrispondente alla sua VLAN 802.1Q tagging Router Firewall NAT 802.1Q tagging 802.1Q tagging 192.168.8.0/24 192.168.9.0/24 192.168.10.0/23 21
Gestione switch managed Gli switch Ethernet di tipo managed sono provvisti di software di gestione per configurarne i servizi avanzati abilitazione/disabilitazione porte gestione VLAN e tagging 802.1Q configurazione Spanning Tree Protocol impostazione monitoraggio remoto La configurazione di uno switch managed può avvenire a linea di comando (CLI) tramite accesso di tipo telnet o ssh attraverso una porta seriale o una delle porte Ethernet via web collegandosi ad un server integrato nel firmware tramite il protocollo di gestione remota SNMP 22
Collegamento alla porta seriale 23
Menu di gestione 24
Configurazione IP 25
Tabella di inoltro 26
Disabilitazione porta 27
Definizione di una VLAN 28
Associazione di una porta a una VLAN 29
Tabella di inoltro aggiornata 30
Configurazione porta con tagging 31
IEEE 802.1Q tagging con Linux Se il kernel supporta il tagging 802.1Q, è possibile utilizzare il comando vconfig per definire sub-interfacce vconfig add <interfaccia> <VLAN ID> crea una sub-interfaccia es. vconfig add eth1 3 crea una sub-interfaccia di eth1 sulla VLAN 3 chiamata eth1.3 (usare ifconfig per attivarla e per assegnarle un indirizzo IP) vconfig rem <sub-interfaccia> elimina la sub-interfaccia specificata es. vconfig rem eth1.3 32
Cattura su sub-interfaccia con tagging NOTA Molte interfacce di rete gestiscono il tagging 802.1Q direttamente a livello di firmware, per cui le trame catturate dallo sniffer risultano prive dei rispettivi tag. 33
Case study: utilizzo di VLAN statiche INTERNET 87.4.8.16/30 48 1 2 3 4 5 6 VLAN 2: SERVER 87.15.12.0/24 VLAN 3: HOST 87.15.13.0/24 34
Case study: configurazione switch Switch: Creazione delle due VLAN con ID 2 e 3 Associazione porte 3, 5,... a VLAN 2 senza tag Associazione porte 1, 2, 4, 6,... a VLAN 3 senza tag Associazione porta 48 a VLAN 2 e VLAN 3 con tag 802.1Q 35
Case study: configurazione router Router: ifconfig eth0 up vconfig add eth0 2 vconfig add eth0 3 ifconfig eth0.2 87.15.12.254/24 ifconfig eth0.3 87.15.13.254/24 ifconfig ppp0 87.4.8.17/30 route add default gw 87.4.8.18 dev ppp0 sysctl w net.ipv4.ip_forward=1 36
Esercitazione 1 Impostare il tagging 802.1Q sulle interfacce punto-punto di due host scegliendo un VLAN ID tra 2 e 254 Assegnare alle sub-interfacce appena create un IP della rete 172.30.X.0/24, dove X = VLAN ID verificare la connettività tra i due host analizzare il traffico tra i due host sia sull interfaccia principale che sulla sub-interfaccia Eliminare la sub-interfaccia da uno degli host e assegnare il suo IP ad un alias dell interfaccia puntopunto verificare la perdita di connettività e analizzare il traffico 802.1Q tagging VLAN ID = X 172.30.X.0/24 37
Esercitazione 2 Configurare le interfacce punto-multipunto di 4 host per realizzare lo schema mostrato in figura A turno rivolgersi al docente per avere accesso allo switch e configurare le VLAN richieste Verificare la connettività intra-vlan Impostare e verificare la connettività inter-vlan VLAN 2 172.30.2.0/24 untagged inter-vlan router VLAN 2,3,4 tagged VLAN 3 172.30.3.0/24 untagged VLAN 4 172.30.4.0/24 untagged 38