Tutorial zur Inter-VLAN-Routing-Konfiguration

Virtuelles lokales Netzwerk(VLAN), wie der Name schon sagt, ermöglicht es Netzwerkadministratoren, ein LAN logisch (virtuell) in verschiedene Broadcast-Domänen zu segmentieren.

Das Aufkommen von VLAN brachte Sicherheit, Einfachheit und Flexibilität für das LAN. Dies führte auch zu einer Reduzierung des Verwaltungsaufwands, der für die Verwaltung einer Umgebung mit mehreren Switches erforderlich ist. Stellen Sie sich die enorme Komplexität vor, die das heutige LAN gekennzeichnet hätte – mehr Switches, Access Points, Router und natürlich mehr Kabel. Dies führt natürlich zu höheren Gesamtbetriebskosten für jedes LAN-Setup.

Ein VLAN ist eine Broadcast-Domäne, was bedeutet, dass Computer in separaten VLANs nicht ohne den Eingriff eines Routing-Geräts kommunizieren können. Immer wenn Hosts in einem VLAN mit Hosts in einem anderen VLAN kommunizieren müssen, muss der Datenverkehr über ein Routing-Gerät geleitet werden. Dieser Vorgang wird als Inter-VLAN-Routing bezeichnet. Um erfolgreich Informationen zwischen VLANs auszutauschen, benötigen Sie einen Router oder einen Layer-3-Switch. Es gibt drei Möglichkeiten, das Routing zwischen VLANs zu implementieren:

1. Traditionelles Inter-VLAN-Routing
2. Router-on-a-Stick-Inter-VLAN-Routing
3. Multilayer-Switch-Inter-VLAN-Routing

Wir erklären Ihnen jeden einzelnen im Detail und zeigen Ihnen, wie Sie ihn in Ihrem Netzwerk konfigurieren.

Traditionelles Inter-VLAN-Routing

Diese Methode des Inter-VLAN-Routings basiert auf einem Router mit mehreren physischen Schnittstellen. Normalerweise ist jede Schnittstelle mit dem Switch verbunden, eine für jedes VLAN. Die mit dem Router verbundenen Switch-Ports werden in den Zugriffsmodus versetzt und jede Router-Schnittstelle kann dann Datenverkehr von dem VLAN akzeptieren, das der Switch-Schnittstelle zugeordnet ist, mit der sie verbunden ist, und der Datenverkehr kann an die anderen VLANs weitergeleitet werden, die mit den anderen Schnittstellen verbunden sind. Das bedeutet, dass jede IP-Adresse der Router-Schnittstelle dann zur Standard-Gateway-Adresse für jeden Host in jedem VLAN wird.

Werfen wir einen Blick auf das Diagramm in Abbildung 1.0 unten. Wenn Host A in VLAN 10 eine Nachricht an Host B in VLAN 20 senden möchte, sind die folgenden Schritte erforderlich:

1. Host A prüft, ob sich die Ziel-IP-Adresse in seinem VLAN befindet; Ist dies nicht der Fall, wird der Datenverkehr an sein Standard-Gateway an der Schnittstelle Fa0/0 des Routers weitergeleitet.
2. Host A sendet dann eine ARP-Anfrage an den Switch, um die MAC-Adresse der Fa0/0-Schnittstelle am Router zu ermitteln. Sobald der Router antwortet, sendet Host A den Frame als Unicast-Nachricht an den Router, wo er dann direkt über die Trunk-Schnittstelle an den Router weitergeleitet wird.
3. Wenn der Router den Frame empfängt, ermittelt er die Ziel-IP-Adresse und Schnittstelle aus der Routing-Tabelle.
4. Der Router sendet dann eine ARP-Anfrage über die Schnittstelle, die mit dem Ziel-VLAN (VLAN 20) verbunden ist, was der Schnittstelle Fa0/1 auf dem Router entspricht.
5. Wenn der Switch die Nachricht empfängt, sendet er sie an seine Ports, was dann dazu führt, dass Host B mit seiner MAC-Adresse antwortet.
6. Der Router verwendet dann die gesammelten Informationen, um die Nachricht schließlich als Unicast-Frame über den Switch an Host B im VLAN 20 weiterzuleiten.

Um herkömmliches Inter-VLAN-Routing auf einem Cisco-Gerät gemäß dem Diagramm in Abbildung 1.0 oben zu konfigurieren, verwenden Sie die in Tabelle 1.0 gezeigten IP-Adressen und führen Sie die folgenden Schritte aus:

Schritt 1: Erstellen Sie VLANs (VLANs 10 und 20) auf dem Switch

Schritt 2: Weisen Sie die VLANs dem Switch-Port zu

Wenn Sie jetzt versuchen, einen Ping zwischen Host A und Host B durchzuführen, schlägt der Ping fehl, da sich die beiden PCs in separaten Netzwerken befinden und der Router noch nicht für das Routing zwischen VLANs konfiguriert ist, sodass sie nicht miteinander kommunizieren können. Unser nächster Schritt besteht darin, das Inter-VLAN-Routing zu konfigurieren, um die Kommunikation zwischen den VLANs zu ermöglichen.

Schritt 3: Konfigurieren Sie die IP-Adressen auf dem Router

Wenn Sie nun an dieser Stelle versuchen, einen Ping zwischen Host A und Host B durchzuführen, ist dies erfolgreich, da die beiden VLANs jetzt über den Router miteinander verbunden sind.

Das herkömmliche Inter-VLAN-Routing ist zufällig die früheste Form des Inter-VLAN-Routings. Diese Methode des Inter-VLAN-Routings ist jedoch nicht effizient. Es ist veraltet und wird in den heutigen Vermittlungsnetzen nicht mehr verwendet. Dies liegt daran, dass Router über eine begrenzte Anzahl physischer Schnittstellen verfügen, die für die Verbindung mit verschiedenen VLANs verwendet werden können. Wenn daher die Anzahl der VLANs in einem Netzwerk zunimmt, wird der Ansatz, eine physische Router-Schnittstelle pro VLAN zu haben, aufgrund der inhärenten Hardware-Einschränkungen eines Routers unhaltbar. Um einige der mit dem herkömmlichen Inter-VLAN-Routing verbundenen Probleme zu überwinden, wurde eine neue Methode namens Router-on-a-Stick erfunden.

Router-on-a-Stick-Inter-VLAN-Routing

Ein Router-on-a-Stick ist eine Methode des Inter-VLAN-Routings, bei der der Router über eine einzige physische Schnittstelle mit dem Switch verbunden ist, daher der Name Router-on-a-Stick. Die meisten modernen Inter-VLAN-Routing-Implementierungen werden mit dieser Methode entworfen. Im Gegensatz zur herkömmlichen Inter-VLAN-Routing-Methode sind beim Router-on-Stick nicht mehrere physische Schnittstellen sowohl am Router als auch am Switch erforderlich. Stattdessen ermöglicht das Betriebssystem des Routers die Konfiguration der Router-Schnittstelle als Trunk-Link, der dann mit einem Switch-Port verbunden wird, der im Trunk-Modus konfiguriert ist. Dies bedeutet, dass nur eine physische Schnittstelle am Router und am Switch erforderlich ist, um Pakete zwischen mehreren VLANs weiterzuleiten. Das Protokoll IEEE 802.1Q (Dot1q), das ein System zur VLAN-Kennzeichnung für Ethernet-Frames definiert, wird zur Bereitstellung von VLAN-Unterstützung für mehrere Anbieter verwendet. Vor der Einführung des 802.1Q-Standards wurden mehrere proprietäre Protokolle wie Cisco Inter-Switch Link (ISL) und Virtual LAN Trunk (VLT) von 3Com verwendet.

Die einzelne physische Schnittstelle auf dem Router ist mit logischen (virtuellen) Subschnittstellen verknüpft, die mit mehreren IP-Adressen konfiguriert werden können, die den VLANs auf dem Switch entsprechen. Jede Subschnittstelle ist entsprechend ihrer VLAN-Zuordnung für verschiedene Subnetze konfiguriert, um logisches Routing zu erleichtern. Der Router führt das VLAN-übergreifende Routing durch, indem er Datenverkehr von allen VLANs akzeptiert. Anschließend bestimmt es das Zielnetzwerk anhand der Quell- und Ziel-IP in den Paketen. Nachdem eine Routing-Entscheidung basierend auf dem Ziel-VLAN getroffen wurde, leitet er die Datenrahmen mit den richtigen VLAN-Informationen über dieselbe physische Schnittstelle, die zum Empfang des Datenverkehrs verwendet wurde, an den Switch weiter.

Werfen wir einen Blick auf das Diagramm in Abbildung 2.0 unten. Wenn Host A in VLAN 10 eine Nachricht an Host B in VLAN 20 senden möchte, sind folgende Schritte erforderlich:

1. Host A sendet seinen Unicast-Verkehr an den Switch.
2. Der Switch markiert dann den Unicast-Verkehr als von VLAN 10 stammend und leitet ihn über seine Trunk-Verbindung an den Router weiter.
3. Der Router akzeptiert den getaggten Unicast-Verkehr auf VLAN 10 und leitet ihn über seine konfigurierten Subschnittstellen an VLAN 20 weiter.
4. Der Unicast-Verkehr wird mit VLAN 20 gekennzeichnet, wenn er über die Router-Schnittstelle an den Switch gesendet wird.
5. Der Switch entfernt das VLAN-Tag des Unicast-Frames und leitet den Frame direkt an Host B an Port Fa0/3 weiter.

Um das Router-on-a-Stick-Inter-VLAN-Routing auf einem Cisco-Gerät gemäß dem Diagramm in Abbildung 2.0 oben zu konfigurieren, verwenden Sie die in Tabelle 2.0 gezeigten IP-Adressen und führen Sie die folgenden Schritte aus:

Schritt 1: Erstellen Sie VLANs (VLANs 10 und 20) auf dem Switch

Schritt 2: Weisen Sie die VLANs den Switch-Ports zu

Schritt 3: Konfigurieren Sie die IP-Adressen auf dem Router

Ein Ping zwischen Host A und Host B ist erfolgreich, da die beiden VLANs nun über den Router miteinander verbunden sind.

Die Router-on-a-Stick-Methode des Inter-VLAN-Routings weist auch einige Einschränkungen auf, wie z. B. Skalierbarkeits- und Latenzprobleme. Um diese Probleme zu überwinden, hat Cisco eine bessere Alternative entwickelt: den Multilayer Switch Inter-VLAN Routing.

Multilayer-Switch-Inter-VLAN-Routing

Multilayer-Switch-Inter-VLAN-Routing ist eine Methode des Inter-VLAN-Routings, bei der eine andere Art von Switch, ein sogenannter Multilayer-Switch, zur Ausführung von Routing-Funktionen verwendet wird. Ein Multilayer-Switch ist ein Hybridgerät, das die Funktionen eines Switches mit denen eines Routers kombiniert und so sowohl auf Layer 2 (L2) als auch auf Layer 3 (L3) des OSI-Modells betrieben werden kann, daher der Name Multilayer. Im Gegensatz zur Router-on-a-Stick-Inter-VLAN-Routing-Methode erfordert ein Multilayer-Switch-Inter-VLAN-Routing keinen dedizierten Router – alles geschieht innerhalb des Switches. Multilayer-Switches übernehmen alle VLAN-Routing-Funktionen im Netzwerk und ersetzen so die Notwendigkeit dedizierter Router oder Trunk-Links.

Damit ein Multilayer-Switch Routing-Funktionen ausführen kann, werden logische (virtuelle) Schnittstellen, sogenannte Switch Virtual Interface (SVI), verwendet, eine für jedes VLAN. SVI, auch VLAN-Schnittstelle genannt, ist eine virtuelle geroutete Schnittstelle, die ein VLAN auf dem Gerät mit der Layer-3-Routing-Engine innerhalb desselben Geräts verbindet und mit mehreren IP-Adressen konfiguriert werden kann, die den VLANs auf dem Switch entsprechen. Jede SVI ist für verschiedene Subnetze konfiguriert, die ihrem zugewiesenen VLAN entsprechen, um logisches Routing zu erleichtern.

Wenn der Multilayer-Switch ein Paket in einem VLAN empfängt, das für den Layer-2-Switch bestimmt ist, führt der Multilayer-Switch das Routing durch. Schauen wir uns das Diagramm in Abbildung 3.0 unten an:

Wenn Host A in VLAN 10 eine Nachricht an Host B in VLAN 20 senden möchte, sind folgende Schritte erforderlich:

1. Host A sendet seinen Unicast-Verkehr an den direkt verbundenen L2-Switch.
2. Der L2-Switch markiert den Unicast-Verkehr als von VLAN 10 stammend und leitet ihn über die Trunk-Verbindung an den L3-Switch weiter.
3. Der L3-Switch entfernt das VLAN-Tag und leitet den Unicast-Verkehr intern an die virtuelle VLAN 10-Schnittstelle weiter.
4. Der L3-Switch leitet den Unicast-Verkehr intern an seine virtuelle VLAN 20-Schnittstelle weiter und markiert den Verkehr dann neu, den er dann über die Trunk-Verbindung zurück an den L2-Switch weiterleitet.
5. Der L2-Switch entfernt das VLAN-Tag des Unicast-Frames und leitet den Frame direkt an Host B an Port fa0/3 weiter.

Um das Multi-Layer-Switch-Inter-VLAN-Routing auf einem Cisco-Gerät gemäß dem Diagramm in Abbildung 3.0 oben zu konfigurieren, verwenden Sie die in Tabelle 3.0 gezeigten IP-Adressen und führen Sie die folgenden Schritte aus:

Schritt 1: Erstellen Sie VLANs (VLANs 10 und 20) auf dem L2-Switch

Schritt 2: Weisen Sie die VLANs den L2-Switch-Ports zu

Schritt 3: Aktivieren Sie L3-Routing und erstellen Sie VLANs (VLANs 10 und 20) auf dem L3-Switch

Schritt 4: Switch-VLAN-Schnittstellen (SVI) konfigurieren

Schritt 5: Konfigurieren Sie einen gerouteten Port für die Verbindung zur Firewall auf dem L3-Switch

Auch hier ist ein Ping zwischen Host A und Host B erfolgreich, da die beiden VLANs nun über den Multi-Layer-Switch miteinander verbunden sind. Das Inter-VLAN-Routing mit Multilayer-Switches ist schneller und skalierbarer als jede andere Inter-VLAN-Routing-Implementierung. Dies liegt daran, dass Router durch die Anzahl der verfügbaren physischen Schnittstellen oder Ports sowie durch die Menge an Datenverkehr begrenzt sind, die gleichzeitig auf der Trunk-Verbindung verarbeitet werden können. Ein Multilayer-Switch ersetzt jedoch nicht vollständig die Funktionalität eines Routers, da Router eine Vielzahl weiterer zusätzlicher Funktionen und Fähigkeiten unterstützen. Die folgende Tabelle ist ein Vergleich der verschiedenen diskutierten Inter-VLAN-Routing-Methoden.

Häufig gestellte Fragen zum Inter-VLAN-Routing

Was ist Inter-VLAN-Routing?

Sie können Datenverkehr von einem virtuellen LAN zu einem anderen weiterleiten. Diese Technik wird als Inter-VLAN-Routing bezeichnet.

Was ist der Vorteil des Inter-VLAN-Routings?

VLANs können zur Durchsetzung der Sicherheit verwendet werden, indem unterschiedliche Zonen mit Sicherheitsstufen für verschiedene Benutzer oder Anwendungen erstellt werden. In vielen Fällen ist es jedoch immer noch notwendig, dass der Datenverkehr von einem VLAN zu einem anderen weitergeleitet wird.

Stellen Sie sich beispielsweise vor, dass Sie auf Ihrer Website zwei separate Netzwerke unterhalten möchten, weil Sie für eines eine starke Sicherheit und eingeschränkten Zugriff benötigen. Stellen Sie sich jedoch vor, dass Sie einen Administrator für beide Netzwerke haben und dieses Administratorkonto im Netzwerk mit der höchsten Sicherheit einrichten. Dieser Administrator benötigt weiterhin Zugriff auf das andere Netzwerk. Durch die Virtualisierung der beiden Netzwerke auf derselben Infrastruktur senken Sie die Kosten und können dank Inter-VLAN-Routing immer noch den gleichen Datendurchsatz erzielen.

Welche drei Methoden gibt es für das Inter-VLAN-Routing?

Es gibt drei Arten des Inter-VLAN-Routings:

• Legacy-Inter-VLAN-Routing Verwendet einen Router mit mehreren Ethernet-Buchsen, die jeweils mit einem Switch-Port in verschiedenen VLANs verbunden sind. Der Datenverkehr kann dann über den Router von einem VLAN zu einem anderen weitergeleitet werden.
• Router-on-a-Stick Es wird nur eine Router-Ethernet-Schnittstelle benötigt, die als Trunk-Verbindung mit einem Switch verbunden ist. Jedes VLAN wird per Software als Subschnittstelle definiert und der Datenverkehr entsprechend gekennzeichnet. Somit wird der gesamte Datenverkehr für alle VLANs im Router sortiert und kann neu markiert werden, um ihn von einem VLAN in ein anderes zu verschieben.
• Geschaltete virtuelle Schnittstellen (SVIs) Diese Technik läuft auf einem Layer-3-Switch. Dies ist heute die am häufigsten verwendete Methode und ähnelt stark der Router-on-a-Stick-Methode. Jedes VLAN erhält eine virtuelle Schnittstelle innerhalb des Switches, sodass für den Datenverkehr Tags innerhalb des Geräts ausgetauscht werden können, um von einem VLAN zu einem anderen zu wechseln.