Post on 04-Apr-2015
Les VLAN
Plan
Les VLAN Les différents VLAN (niveau 1, 2, 3) VLAN et sécurité La norme 802.1Q Spanning Tree les trunk Routage inter VLAN
Les VLAN
Intérêts : segmentation du domaine de broadcast flexibilité : travailler sur la couche 2 ou 3 du
modèle OSI sécurité : isoler les postes
VLAN niveau 1
VLAN par port étanchéité totale des VLAN => prévoir du
routage/filtrage inter-VLAN configuration parfois lourde
VLAN niveau 2
VLAN par adresse MAC un poste de travail qui se déplace peut
disposer du même VLAN sans intervention de l'administrateur
la sécurité est moindre car l'adresse MAC peut s'usurper facilement
Adaptée aux connexions Wifi avec des solutions de sécurité 802.1X
VLAN niveau 3
affectation à un VLAN en fonction de l'adresse IP
plus lents : nécessité d'analyser la paquet pour prendre la décision
usurpation encore plus facile que pour l'adresse MAC
Il est également possible de gérer l'affectation en fonction du port ou du protocole
VLAN par règles
règles d’entrée (Ingress rules) : permettent de classer une trame entrante dans un VLAN et de la filtrer,
règles d’expédition (Forwarding rules) : indiquent à qui transmettre une trame et de la filtrer,
règles de sortie (Egress rules) : indiquent sur quel port réexpédier la trame.
VLAN et sécurité
Les VLAN sont mis en œuvre dans de très nombreuse solutions de sécurité comme les NAC : Network Access Control
NAC : dispositif permettent de contrôler l’accès au réseau et de rediriger une machine non autorisée ou au comportement suspect vers un VLAN de quarantaine
La norme 802.1Q 802.1Q (1998) : mécanisme d'encapsulation
très répandu et implanté dans de nombreux équipements de marques différentes. Complexe (200 pages)
8021.Q – 2
2003 Enregistrement dynamique des VLAN –
protocole GVRP
802.1Q : le marquage
Le VLAN ID ou Tag permet de marquer une trame et d'utiliser un seul lien physique pour convoyer des trames de différents VLAN.
4093 valeurs possibles il suffit que l'équipement concerné soit
capable de prendre en charge la norme 802.1Q (routeur, switch, serveur, ...)
le lien entre les deux équipement s'appelle un trunk
802.1Q
Le marquage est fait : Par le switch (le plus courant) Par la machine
Un réseau est dit vlan-informé « VLAN-aware » s'il reconnaît les trames marquées.
Il est vlan-non-informé dans le cas contraire « VLAN-unaware »
VLAN-802.1Q - QuestionsQ : Peut-on associer une trame à plusieurs Vlan ?
R : Non. Elle ne peut être adressée qu'à une seule carte réseau associée à ce VLAN.
Q : La carte réseau d’un poste peut-elle être associée à plusieurs Vlan ?
R : Si oui, comment savoir à quel Vlan appartient une trame émise par une telle carte réseau ? Si non, comment partager l’accès à des ressources communes entre différentes Vlan ?
Q : Comment communiquer entre les Vlan ? L’étanchéité de la couche 2 implique de remonter
jusqu’à la couche 3 pour l’échange entre Vlan. Cet échange peut donc être entièrement contrôlé.
VLAN et 802.1Q – principes de base
le VLAN 1 est sur la plupart des switch le VLAN d'administration : il faut impérativement garder un port sur ce VLAN si l'on veut administrer le switch
un port non taggé n'appartient qu'à un seul VLAN
La diffusion des VLAN
La déclaration des VLAN est fastidieuse si le nombre de switch est grand
GVRP (Generic VLAN Registration Protocol) permet de diffuser des informations sur les
VLANs qui sont déclarés sur les ports d'un switch.
permet de plus de configurer dynamiquement les VLANs déclarés sur les switches et de mettre à jour la table d'association des VLANs.
VLAN – GVRP suite GVRP nécessite :
un agent GVRP qui gère les ports physique pour chaque switch, il est appelé " GVRP Participant ". Cet agent stocke des informations sur les VLANs déclarés pour les ports du switch.
La BPDU GIP (GARP Information Propagation). Elle définit les messages diffusés entre les ports en interne au switch.
La BPDU GID (Garp Information Déclaration). Elle définit les messages diffusés entre les agents de deux switchs distincts.
VTP VLAN Trunking Protocol (Cisco propriét.) permet de diffuser la déclaration des
VLANs pour les ports trunk sur l'ensemble du réseau (mode client-server)
Maintient une base de données dupliquée avec N° version et timestamp
Le serveur tient à jour une table de VLANs déclarés. Cette table est diffusée à l'ensemble des clients étant sur le même domaine VTP.
802.1Q et Linux - 1
le noyau Linux dispose d'un module 802.1Q permettant de prendre en charge des trames taggées => hote vlan-informé
Sur Debian :
aptitude install vlan
modprobe 8021q ; installation module
vconfig add eth0 100
Added VLAN with VID == 100 to IF -:eth0:-
802.1Q et Linux - 2 Les interfaces VLAN sont gérables commes
des interfaces standard sur lesquelles on peut effectuer du filtrage
eth0.100 Lien encap:Ethernet HWaddr 00:20:18:54:99:F9
inet adr:192.168.11.1 Bcast:192.168.11.255 Masque:255.255.255.0
adr inet6: fe80::220:18ff:fe54:99f9/64 Scope:Lien
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:4 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 lg file transmission:0
RX bytes:0 (0.0 b) TX bytes:344 (344.0 b)
802.1Q et Linux – 3 Il suffit maintenant d'activer le routage
echo 1 > /proc/sys/ent/ipv4/ip_forward
et d'écrire des règles iptables si l'on désire effectuer du filtrage
Extrait du fichier /etc/network/interfacesauto vlan2
iface vlan2 inet static
address 192.168.11.1
netmask 255.255.255.0
broadcast 192.168.11.255
vlan_raw_device eth0
Routage interVLAN
Par rapport à une solution classique de séparation avec des routeurs, l'utilisation des VLAN est plus simple car elle permet de limiter le nombre d'interfaces (1 lien ou carte quel que soit le nombre de VLAN/sous-réseaux)
Elle est plus souple car elle ne dépend pas de l'implantation physique.
Mais le filtrage/routage au niveau 3 reste indipensable
Schémas C. Caleca
Les autres normes liées aux VLAN
802.1D : Spanning Tree Protocol 802.1P : Class Of Service
Le protocole 802.1D
Spanning Tree Protocol : il a pour but de gérer/éviter les liens redondants au niveau 2 pour éviter les broadcast storm
STP échange régulièrement des informations (appelées des BPDU - Bridge Protocol Data Unit) pour informer des changements sur le réseau
Il n'est pas adapté à l'environnement VLAN (le VLAN 1 pour l'administration retransmet les trames STP) => STP multiple : 1 par VLAN
Spanning-Tree Schema
Spanning-Tree - Fonctionnement
Sélection d'un root switch (point central de l'arbre STP)
Construction de l'arbre des plus courts chemins vers tous les ponts et réseaux
Coût lié au débit du lien (100 Mb/s, GB/s) Interfaces dans l'arbre : laissent passer
les trames Interfaces hors de l'arbre : ne laissent pas
passer
Spanning -Tree -suite
ne gère pas les liens redondants lenteur de convergence => plusieurs
dizaines de s (30 s) => développement du RSTP (Rapid STP 802.1w)
Spanning Tree multiple : un ou plusieurs VLAN par Spanning Tree
Le protocole 802.1P - 1
permet de mettre en oeuvre la QOS (Quality Of Service) au niveau MAC
utilise le champ priorité de la norme 802.1Q
2 utilisations GMRP classes de services
Le protocole 802.1P - 2
classes de services : mémorisation des trames et envoi des trames prioritaires avant les trames non prioritaires
aucun débit garanti aucun contrôle de flux
Le protocole 802.1P - 3
Les classes de services : 7 Contrôle du réseau (network critical) 6 Voix interactive 5 Multimédia interactif 4 Application à charge controlé (streaming) 3 Service maximum (Business critical) 0 Service au mieux (Best effort) 2 Service économique (standard) 1 Arrière plan (background)
Les switches
Les caractéristiques : 802.1Q : support des VLAN 802.1X (authentification) SNMP Mirroring de ports (SPAN ou Remote SPAN
Cisco : envoi sur un port distant) Agrégation de ports (802.3ad) QOS 802.1P 802.1D : Spanning Tree
Conclusion
les VLAN sont de plus en plus utilisés et les VLAN par port ainsi que 802.1Q sont les bases de l'architecture des réseaux modernes
L'étanchéité entre les couches aux niveaux 1 et 2 implique le recours à la couche 3 pour le routrage/filtrage
Les VLAN de niveau 2 et la norme 802.1X constituent des éléments importants de l'infrastructure en particulier pour le Wifi