Tagging im virtuellen Netzwerk

Transkript

1 Tagging im virtuellen Netzwerk Virtuelle Netzwerke über mehrere Switches Johannes Ernst Marktplatz Furtwangen / [email protected] Semester Seminararbeit Wissenschaftliches Arbeiten Herr Wahl WS09/

2

3 Zusammenfassung i Zusammenfassung Mit VLAN (Virtual Local Area Network) kann eine Segmentierung von physikalischen Netzwerken vorgenommen werden, die dabei in mehrere logische Teilnetze aufgeteilt werden, womit eine Trennung der Netze realisiert wird. Die Netze können untereinander nur noch per Routing kommunizieren, das durch Tagging der Ethernet Frames erweitert wird und dabei eine Bildung von logischen Netzen über mehrere Switches hinweg ermöglicht. Dabei können dem jeweiligen VLAN nur noch einzelne Ports an einem Switch zugeordnet werden. Mit dieser Seminararbeit möchte ich mich mit diesem Thema befassen und die jeweiligen Komponenten analysieren, ebenso die Verfahren, die dieser Technik beim Tagging zu Grunde liegen. Desweiteren werde ich mich mit der Umsetzung und dem Betrieb dieser Technik beschäftigen, die heute auch bei IPTV eingesetzt wird.

4

5 Inhaltsverzeichnis iii Inhaltsverzeichnis Zusammenfassung Inhaltsverzeichnis Abkürzungsverzeichnis i iii iv 1 Einleitung VLAN, was ist das? Grundlagen Netzwerk Hardware Protokolle OSI-Referenzmodell Tagging Was ist Tagging? Zweck Einrichtung & Umgang VLAN im Einsatz Trends & Ziele Fazit 11 Literaturverzeichnis 13 Eidesstattliche Erklärung 15

6

7 Abkürzungsverzeichnis v Abkürzungsverzeichnis Bit Binary digit ID Nummer des VLANs IEEE Institute of Electrical and Electronics Engineers IP Internet Protocol IPTV Internet Protocol Television LAN Local Area Network MAC Media-Access-Control-Adresse, Ethernet-ID oder Airport-ID OSI Open Systems Interconnection SoHo Small Office, Home Office Gruppenbezeichnung für Hardware im IT-Bereich Tag Markierung des Ethernet-Frames im Header mit der VLAN-ID TCP/IP Transmission Control Protocol / Internet Protocol ToS Type of Service VLAN Virtual Local Area Network VLT Trunkport VoIP Voice over IP

8

9 1. Einleitung 1 1 Einleitung In der heutigen Zeit steigt der Einsatz technischer Geräte zuhause rasant an. Zudem sind diese immer häufiger nicht mehr voneinander getrennt, sondern vernetzt. So nimmt auch die Vernetzung im häuslichen Netzwerk immer weiter zu. Es befinden sich nun Spielkonsolen, PCs, Drucker oder auch Mediaplayer im häuslichen Netzwerk. Dabei ist das erst der Anfang, der Trend geht immer weiter zur kompletten Vernetzung aller Geräte mit Ethernet in einem Haus, in dem sich dann auch Kühlschränke, Waschmaschinen und Türen ein gemeinsames Netzwerk teilen. Doch was geschieht, wenn es zu viele Geräte werden? Es muss eine Lösung her, die die Gerätegruppen trennen kann. Deshalb ist in unserer Zeit die Technik VLAN in aller Munde. Mit genau dieser Technik beschäftigen wir uns nun. 1.1 VLAN, was ist das? Bei einem Netzwerk, in dem sich viele verschiedene Systeme befinden, kann es oft zu Problemen kommen. Dort spammen die im Netzwerk befindlichen Geräte sich gegenseitig mit Broadcast-Paketen zu oder benötigen ungeheure Bandbreiten. Das erzeugt ziemlich viele Störungen. Um dieses Verhalten zu unterdrücken, und auch um Dienste und Geräte in einer Gruppe zu isolieren, nutzt man heute die Technologie VLAN, sprich das Virtual Local Area Network. Ich werde es künftig nur noch mit VLAN abkürzen. Dabei wird ein physikalisches Netzwerk in mehrere logische Netzwerke getrennt, die untereinander isoliert und somit auch komplett voneinander getrennt sind. Das wird dadurch erreicht, dass die Pakete eines VLAN nicht in ein anderes übertragen werden. Dabei nutzen sie dieselbe Infrastruktur und können sich über mehrere Netzwerkkomponenten wie Switches oder Router ausbreiten und dabei nur einzelne Ports auf einem der Geräte belegen, oder aber auch nur einzelne Dienste. Diese Technologie wird heute oft in der IP-Telefonie genutzt, bei der die Datenströme sehr zeitkritische Elemente sind, die nicht auf andere Pakete warten können, da sich sonst Störungen im Telefonat bemerkbar machen.

10

11 2. Grundlagen 3 2 Grundlagen Bevor wir uns das VLAN genau ansehen, oder genauer gesagt das Tagging der einzelnen Pakete, müssen wir erst einmal den Aufbau des VLAN verstehen sowie den Prozess, der abläuft, und die nötigen Komponenten und ihren Einsatz im Netzwerk. Das VLAN basiert auf dem Standard IEEE 802.1q auf Schicht 2 des OSI-Referenzmodells, das das Trennen von Diensten oder Netzwerkports voneinander beschreibt. Das wird erreicht, in dem Broadcast-Domänen eingerichtet werden, was die Sicherheit erhöht sowie den Netzwerkverkehr reduziert und gegen Datenverlust schützt. Dabei wird ein physikalisches Netzwerk genutzt, auf das weitere logische Broadcast- Domains (=VLAN) aufgespannt werden, unabhängig davon, an welchem Switch sich das Gerät befindet. Die Pakete können nun nicht mehr von VLAN 1 in VLAN 2 gelangen, außer man routet zwischen den Netzwerken, was man per Firewall und gewissen Regeln strikt reglementieren kann. Mit dieser Technik wird das Ziel von 80 Prozent Subnet und 20 Prozent geroutetem Verkehr erreicht. Solange der Datenverkehr im Subnet bleibt, handelt es sich nur um geswitchten Traffic, sobald dieser in ein anderes VLAN gelangt wird geroutet. Außerdem ersetzt man so teure Hardware wie Router, die dasselbe könnten, für die jedoch die Kosten bei großer Portanzahl extrem steigen Netzwerk Ein Netzwerk ist eine Verknüpfung von Geräten, die untereinander kommunizieren, und wird zum Transport von Daten eingesetzt. Das Prinzip ist einfach und genial: Ein Gerät fragt nach Information, das andere sendet diese. Dabei werden auf Basis von Paketen die Informationen aufgeteilt und versendet. Es gibt viele Arten und Protokolle, auf denen ein Netzwerk basieren kann, wie Token-Ring, Ethernet und andere. Dabei kann das Netzwerk als Ring existieren oder aber auch als Sternverkabelung. In der Regel wird VLAN heute auf Basis des Ethernet-Standards aufgebaut. Dabei 1 Jens Dittrich, VLANs, 2000, Seite 25 2 Benjamin Benz & Lars Reimannn(2006): VLAN: Virtuelles LAN,

12 4 2. Grundlagen kommen Verkabelungen per Kupfer oder Glasfaser zum Einsatz. Die Netzwerkkapazitäten gehen von 10 Mbit/s bis 100 Gbit/s und werden über beide Arten realisiert Hardware Aber welche Komponenten sind wichtig, um ein Netzwerk aufzubauen? Denn meist stellt ein Gerät nur einen Netzwerkport zur Verfügung, worüber es mit maximal einem weiteren Gerät kommunizieren könnte. Genutzt werden in der heutigen Zeit Switches, Router oder Bridges. 4 Repeater werden meist nur noch im Wireless LAN eingesetzt, der Hub hat in der heutigen Zeit komplett seine Bedeutung verloren und wurde vom Switch abgelöst. Ein Hub sollte heute nicht mehr eingesetzt werden, da eine Mischung aus Hubs und Swiches zu einer Belastung führen kann. Switch Wir sehen uns jetzt die Switches etwas genauer an. Ein Switch basiert auf der Technik des Hubs, nur dass an jedem Port eine Bridge vorgeschaltet ist. Im Switch befindet sich meist ein Hochgeschwindigkeitsbus oder eine Matrix, die die Datenleitungen zwischen den Ports regelt. Der Unterschied zwischen einem Hub und einem Switch ist, dass der Hub alle eingegangen Pakete an alle Ports sendet, der Switch liest das Ziel aus dem Paket, die MAC-Adresse, und sendet diese an den entsprechenden Port, der der MAC-Adresse zugewiesen ist. Es gibt zwei Arten von Switches. Diejenigen, die ohne weitere Intelligenz auskommen sind Layer2-Switches, die nur auf den Layerebenen des OSI Modells 1 (Physical) und 2 (Data Link) arbeiten, sowie die Layer3-Switches, die eine gesonderte Intelligenz integriert haben und somit über den Layer 3, der Network-Schicht, verfügen. Diese Ebene ermöglicht dem Switch, die Pakete zu analysieren und zu unterscheiden. Früher wurde mit den Layer2-Switches ein Port basierendes VLAN erstellt, bei dem stur einzelne Ports bzw. die MAC-Adressen in eine Broadcast-Domain, sprich dem VLAN, zusammen geschaltet wurden. Wobei mit den Layer3-Switches ein Dienst basierendes VLAN oder auch tagged VLAN aufgebaut werden kann, bei dem sich einzelne Dienste wie VoIP in einem VLAN befinden und nicht mehr von Netzwerkport abhängig sind. 5 3 Rüdiger Schreiner, Computer-Netzwerke, 2009, Seite 3 4 Rüdiger Schreiner, Computer-Netzwerke, 2009, Seite Rüdiger Schreiner, Computer-Netzwerke, 2009, Seite 54

13 2. Grundlagen 5 Router Router sind meist nicht mehr nötig in einem VLAN, außer es muss zwischen zwei dieser logischen Netzwerke geroutet werden, was in heutiger Zeit auch die meisten Switches übernehmen können. Interessanter wird es auf Basis von Triple-Play- Anschlüssen, die eine Priorisierung für den Videotraffic benötigen. Dabei werden die Videopakete mit einem VLAN-Tag versehen. Deshalb erhalten die Router eine nötige Kompatibilität, die die einzelnen Ports zu einem VLAN hinzufügen kann, meist ein extra gekennzeichneter Netzwerkanschluss für den Medienreceiver. Der Port ist dann diesem VLAN zugeordnet. 2.2 Protokolle VLAN verknüpft lediglich die Ports oder MAC-Adressen zu einem logischen Netzwerk, unabhängig vom Protokoll, das im Netzwerk eingesetzt wird. 6 Das am häufigsten verwendete Protokoll ist das TCP/IP, das heute die größte Verbreitung hat OSI-Referenzmodell Das OSI-Referenzmodell ist die Designgrundlage für Kommunikationsprotokolle. Dabei ist es in 7 Schichten, den Layern, unterteilt. Es beschreibt die verschiedenen Ebenen eines Kommunikationsprotokolls von der physikalischen Schicht zur Anwendungsschicht. Die wichtigsten Schichten bzw. die, auf die VLAN aufbaut ist die Schicht 2 (Data Link) und die Schicht 3 (Network). 8 6 Benjamin Benz & Lars Reimannn(2006): VLAN: Virtuelles LAN, 7 Rüdiger Schreiner, Computer-Netzwerke, 2009, Seite Rüdiger Schreiner, Computer-Netzwerke, 2009, Seite 4

14

15 3. Tagging 7 3 Tagging Statt nur einzelne Ports zu einem VLAN zusammenzufügen ist es heute oft nötig, dass nur gewisse Dienste über ein extra VLAN kommunizieren. Zudem befinden sich nun zig Geräte in einem VLAN, das sich nicht nur über einen Switch erstreckt, sondern über zig Switches, die im ganzen Haus oder im gesamten Unternehmen verteilt sind. Dort ist die Port und MAC bezogene Lösung nicht mehr einsetzbar oder aber viel zu aufwändig. Durch das Tagging der Ethernet-Frames im VLAN wird dies schnell und einfach gelöst. 3.1 Was ist Tagging? Das Tagging wird für das Dienst basierende VLAN oder auch tagged VLAN benötigt. Anders als beim Port basierenden VLAN werden hier die Ethernet-Frames mit einem Tag nach IEEE 802.1q mit der Länge von 4 Byte, also einer Markierung versehen, die das Frame einem VLAN zuordnet. Über ein weiteres Feld, das ToS-Feld mit der Länge von 3 Bit, kann die Priorisierung vorgenommen werden. Diese Markierungen werden benötigt, damit der Switch weiß, welchem VLAN das Paket angehört. Auch werden diese Tags bei VLANs über mehrere Switche benötigt, dabei werden die Switche mit Trunks verbunden und die darüber gesendeten Frames mit einem VLAN-Tag versehen. Andere Switches, die das Frame erhalten, leiten es dann in das passende VLAN weiter. Beim Tagging muss jedoch zwischen einem Empfänger mit Tagging-Unterstützung und ohne Tagging-Unterstützung unterschieden werden. Bei Geräten mit der Unterstützung für den Standard werden die Tags vom sendenden Gerät vorgenommen, der Switch leitet es dann an den jeweiligen Empfänger. Eine Anpassung durch den Switch ist nicht notwendig. Bei einem Gerät ohne diese Unterstützung - dies versendet sogenannte Native Frames ohne einen Tag - nimmt der Switch, an dem das Gerät hängt, die Änderung des Frames vor und leitet es ins Zielnetz weiter. Am Switch, an dem der Empfänger angeschlossen ist, der auch keine Tags unterstützt, wird das Tag wieder vom Switch entfernt und an den Empfänger als Native Frame gesendet. Beim Mischbetrieb lernt der Switch die VLANs, denn dieser ordnet beim ersten Frame mit einem Tag den Port dem passenden VLAN zu. Bei unterschiedlichen Tags, in kurzer Zeit, wird dieser auf einen VLT, sprich Trunkport umgestellt.

16 8 3. Tagging 3.2 Zweck Mit dem Tagging schafft man es endlich, die Dienste in verschiedene VLANs einzuordnen. Dabei ist es möglich, das Gerät nicht nur einem VLAN zuzuordnen, sondern vielen. Was den Vorteil hat, sich nicht mehr auf einen Port pro VLAN beschränken zu müssen. Die Sicherheit, die daraus resultiert, ist sehr nützlich in einem Netzwerk, denn nun können Telefongespräche in einem anderen VLAN ablaufen als zum Beispiel der Internetverkehr, und damit ist es möglich, die Gespräche vor Abhören zu sichern. Telefonie auf Basis der IP-Technologie wird nun häufig in Unternehmen genutzt. Da die Telefonie jedoch ein Medium ist, das sehr latenzkritisch ist, wird sie in VLAN integriert, um einer Störung durch andere Dienste zu entgehen. Weiterer Nutzen ist die Trunk-Funktionalität zur Vernetzung mehrerer Switches, dort wird nun nicht mehr ein Uplink-Port pro VLAN benötigt, sondern nur noch die sogenannten Trunks, bei denen der Datenfluss verschiedener Netzwerke über eine Verbindung wie Glasfaser fließt und dabei doch getrennt ist. Damit wird ermöglicht, dass sich ein VLAN nicht nur auf einen Switch beschränkt, sondern auf alle Geräte. Einzige Einschränkung: Die Infrastruktur muss kompatibel zueinander sein. Ein anderer Zweck für die Nutzung des Tagging ist die Trennung von Internetverkehr und Multicast-Videotraffic, der auf Verzögerung und Datenverlust sehr kritisch reagiert. Als Beispiel sehen wir uns die Telekom an, der dortige Namen für dieses Vorgehen lautet Zielnetzarchitektur. Dort wird die VLAN ID 8 genutzt, um den Multicast- Traffic für das Fernsehen (IPTV) getrennt zu übertragen. Der restliche Traffic befindet sich im VLAN mit der ID Einrichtung & Umgang Der Umgang mit einem VLAN ist nicht besonders schwierig. Es arbeitet ähnlich wie Subnetze, benötigt am Anfang jedoch eine große Konfigurierungsphase. Bei der Einrichtung müssen alle Geräte oder auch Ports einem VLAN zugeordnet werden, denkbar ist hier auch die Einrichtung eines Default"-Netzwerkes, das alle Geräte ohne besondere Eigenschaften enthält. Dies arbeitet dann wie ein physikalisches Netzwerk. Alle anderen Geräte werden dann dem jeweiligen Netzwerk zugeordnet. Wichtig dabei ist, dass jeder Switch alle virtuellen Netzwerke kennt, damit bei einer Lösung mit mehreren Switches auch das Paket von Switch A nach Switch B findet. Das ist aber nicht so einfach, da ein Informationsaustausch nicht standardisiert ist und es somit nur proprietäre Lösungen gibt. Hier kocht jeder Hersteller sein eigenes Süppchen. Also ist es wichtig, schon bei der Planung und Einrichtung darauf zu achten, dass die Komponenten kompatibel sind. Nach der Einrichtung ist die Wartung, wie bei einem Abteilungswechsel, einfach und schnell umgesetzt.

17 4. VLAN im Einsatz 9 4 VLAN im Einsatz Die Technik wird heute oft eingesetzt. Fast alle erhältlichen Layer3-Switches können mit der VLAN-Technologie umgehen und unterstützen meist auch die verschiedenen Verfahren. Das Kosten-Argument tritt hier nicht so stark in Erscheinung. Da auch einfache und billige Switches aus dem SoHo-Bereich diese Techniken integriert haben, findet VLAN auch in kleinen Firmen großen Anklang. Haupteinsatzort ist heute aber noch die Telefonie oder Videoübertragung, da es bei diesen beiden Diensten um sehr zeitkritische Übertragungen handelt, bei der kaum Datenverlust oder hohe Latenzen eintreten sollen und dürfen. Deshalb fügt man diese in VLANs, damit sie vom normalen Datenverkehr nicht gestört werden und ein Abhören erschwert wird, was auch einen Sicherheitsaspekt ist. Einziger Negativ- und Kritikpunkt sind die Verfahren zum Austauschen der angeschlossen VLANs untereinander. Dort muss man bei VLANs, die über mehrere Switches arbeiten, auf die Kompatibilität achten. Es ist meist nötig, alle Switches von einem Hersteller zu beziehen, damit dieser Austausch reibungslos funktioniert Trends & Ziele Jetzt, wo die virtuellen Netzwerke den Weg in die Firmen gefunden haben, wird auch der private Bereich interessant, da erstens die Hardware ziemlich billig ist und zweitens VLAN große Vorteile bringt. So können sich die Geräte der Kinder in einem Netzwerk befinden, und die System des Büros in einem anderem. Damit können Viren oder Trojaner, die sich vielleicht auf den Systemen der Kinder befinden, nicht Einfluss auf wichtige Komponenten nehmen und überspringen. Auch bei der weiteren, immer mehr voranschreitenden Vernetzung im Haus sollte vielleicht die Heizung oder Überwachungstechnik nicht direkt vom Internet aus erreichbar sein, oder von unsicheren Rechnern. Dort würde dann ein VLAN Anwendung finden, das sich schnell ohne Änderung der physikalischen Verbindungen variieren lässt. Auch hält die Technik Einzug in die Rechenzentren, dabei wird der Trend jedoch angeheizt von der Virtualisierung bzw. den vservern, da dort für die jeweiligen Routingmethoden und die Migration auf mehrere Hostsysteme ein VLAN nötig ist. 1 Benjamin Benz & Lars Reimannn(2006): VLAN: Virtuelles LAN,

18

19 5. Fazit 11 5 Fazit Virtuelle Netzwerke, die auf Tagging setzen, sind sehr nützlich. Die Einrichtung hält sich in Grenzen, und die Verwaltung und Änderungen lassen sich in wenigen Augenblicken durch Konfigurationswerkzeuge schnell umsetzen. Damit wird die Umstellung einer Abteilung inklusive der notwendigen Arbeiten an der Netzwerkinfrastruktur nicht mehr zur Monsteraufgabe. Man kann zudem feststellen, dass die Technik immer weiter Einzug in die Haushalte erfährt. Auch im professionellen Bereich wird die Technik weiter voranschreiten. Sie wird auch weitere Funktionen mit sich bringen, die das Handling verbessern werden. Wünschen würde ich mir, dass die Kommunikation für den Austausch der Netzwerke auch mit Produkten verschiedener Hersteller klappt, was dann in einer Standardisierung abschließt. Denn die Inkompatibilität ist ein großes Manko, das Nutzer dieser Technik schnell ins Straucheln bringen kann. Das wird auch noch durch die Konfigurationsoberfläche verstärkt, die den Anwender oft und schnell verwirrt. Dennoch ist eines nicht zu bestreiten: Die Funktionalität von virtuellen Netzwerken mit Tagging- Technologie ist für Netzwerkadministratoren und Nutzer eine wunderbare Technik.

20

21 Literaturverzeichnis 13 Literaturverzeichnis [BR06] BENZ, Benjamin ; REIMANN, Lars: VLAN: Virtuelles LAN [Dit00] DITTRICH, Jens: VLANs. International Thomson Publishing Company, 2000 [Har07] HARNISCH, Carsten: Routing & Switching. 3. Auflage. bhv Verlag, 2007 [Sch09] SCHREINER, Rüdiger: Computer-Netzwerke. 3. Auflage. Carl HANSER Verlag München, 2009

22

23 Eidesstattliche Erklärung 15 Eidesstattliche Erklärung Ich versichere, dass ich die vorstehende Arbeit selbständig verfasst und hierzu keine anderen als die angegebenen Hilfsmittel verwendet habe. Alle Stellen der Arbeit die wörtlich oder sinngemäß aus fremden Quellen entnommen wurden, sind als solche kenntlich gemacht. Die Arbeit wurde bisher in gleicher oder ähnlicher Form in keinem anderen Studiengang als Prüfungsleistung vorgelegt oder an anderer Stelle veröffentlicht. Ich bin mir bewusst, dass eine falsche Erklärung rechtliche Folgen haben kann. Furtwangen, 14. Januar 2010, Johannes Ernst Ort, Datum, Unterschrift