Redes Locales Virtuales

REDES LOCALES VIRTUALES

VLAN

Una virtual LAN (VLAN) es una red conmutada que esta

lgicamente segmentada por funciones, grupos de trabajo,
o aplicaciones, sin tener en cuenta la localizacin fsica de
los usuarios:
Ingeniera

Marketing

Contabilidad

Piso 3

ING. CESAR RODRIGUEZ NOVOA

CONSULTOR ASESOR EN PLANIFICACION Y DISEO

Piso 2

DE REDES LAN - WAN

sicctel@gmail.com
Piso 1

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

Segmentacion con VLAN

Segmentacion Tradicional

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

Cules son los componentes de las VLANs?

Switches, Routers, Servers, Management

CARACTERSTICAS
Crean una topologa virtual independiente de la fsica
Permiten agrupar a los usuarios en grupos de trabajo
flexibles
Funcionan en los niveles 2 y 3 de OSI
La comunicacin entre VLANs requiere enrutamiento
de capa 3 (routers)
Permiten controlar el tamao de los dominios de
broadcast
Necesitan administracin
Pueden ayudar a aumentar la seguridad de la red

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

Establecimiento
del Nmero de
Miembros

Switches
9Determinacin

de Miembros

Communicacin
a travs del
Fabric

Trunking de alta velocidad entre switches

Comunicaciones
Inter-VLAN

Routing Multiprotocolo

Servidores de
Communicacin

Servers

Administracin
Centralizada

Management

9Intercambio

9Intercambio

entre VLAN comunes

Inter-VLAN

9Comunicacin

Ing. Csar Rodrguez Novoa

Multi-VLAN

9Seguridad, control, administracin

Simplifica cambios y actualizaciones

sicctel@gmail.com

Redes Locales Virtuales

Los routers aslan el trfico broadcast

40

Tipos

80

VLAN

de nivel 1: Pertenencia por Puerto

9 Muchas

de las implementaciones iniciales de VLAN

definan la pertenencia a una VLAN por grupos de puertos
de conmutacin (por ejemplo, los puertos 1, 2, 3, 7 y 8 de
un conmutador pertenecen a la VLAN A, mientras que los
puertos 4, 5 y 6 pertenecen a la VLAN B).

Broadcasts/Multicasts
Tramas Por Segundo

Una VLAN
40
80

0
ARP

RIP

OSPF

ARP

RIP

OSPF

Broadcasts/Multicasts
Tramas Por Segundo

Dos VLANs

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

Por lo tanto, en muchas de estas implementaciones

iniciales, las VLAN slo eran soportadas en un nico
conmutador.
sicctel@gmail.com

Ing. Csar Rodrguez Novoa

Redes Locales Virtuales

Grupo de puertos en un unico conmutador

9 La

segunda generacin de implementaciones soportan

VLANs que se extienden por mltiples conmutadores (por
ejemplo, puertos 1 y 2 del conmutador 1 y puertos 4, 5, 6 y
7 del conmutador 2 forman la VLAN A; mientras que los
puertos 3, 4, 5, 6, 7 y 8 del conmutador 1 jjunto con los
p
puertos 1, 2, 3 y 8 del conmutador 2 forman la VLAN B).

VLAN A

Conmutador 1

Conmutador 2

1
2

8
1

VLAN B

Hub

VLAN A
Hub

Hub

VLAN B

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

Redes Locales Virtuales

Redes Locales Virtuales

9 La

agrupacin por puertos es, an hoy da, el mtodo ms

comn para definir la pertenencia a una VLAN, y su
configuracin no es muy compleja.

VLAN de nivel 2: pertenencia por direccin MAC

Las VLANs basadas en direcciones MAC permiten a los

gestores de red mover una estacin de posicin fsica en la
red, mientras que se mantiene la pertenencia de dicha
estacin a su VLAN.

Comentario

Se requiere que todos los usuarios deben ser configurados

inicialmente en, al menos, una VLAN.

La configuracin manual inicial se vuelve un gran

inconveniente cuando manejamos redes grandes

9 Comentario

por grupo de puertos no permite que varias VLAN

incluyan el mismo segmento fsico (o puerto del
conmutador).

9 VLANs

El gestor de red debe reconfigurar la pertenencia a la

VLAN cuando un usuario se mueve desde un puerto a otro.

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

Redes Locales Virtuales

Redes Locales Virtuales

VLANs basadas en direcciones MAC

Conmutador 1

Conmutador 2

00.50.8B.FD.5E.5E
(VLAN 1)

00.23.54.76.8C.EC
(VLAN 2)

Hub

00.50.32.F3.A1.21
(VLAN 2)

002.07.3E.65.54
(VLAN 2)

02.48.32.E3.CC.5C
(VLAN 1)

VLAN de nivel 3: pertenencia por direccin IP

Tienen en cuenta el tipo de protocolo (si es que se soportan

mltiples protocolos) o el tipo de direccin de nivel 3 (por
ejemplo, direcciones de subred de redes TCP/IP).
Protocolo

VLAN

IP

IPX

Conmutador 3

00.50.8B.7F.65.F3
(VLAN 1)

00.65.4E.D6.F8.44
(VLAN 2)

00.50.3E.43.65.7D
(VLAN 2)

00.45.65.9F.3C.A3
(VLAN 1)

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

Redes Locales Virtuales

Ventajas

Posibilita la particin por tipo de protocolo, lo cual puede

representar una opcin atractiva para los gestores de red que
buscan estrategias de VLANs para aislar el trfico de su red
con criterios de servicio o basados en las aplicaciones.
p

Comunicacin entre VLANs

Dos conmutadores con dos VLANs

Los usuarios pueden mover fsicamente sus estaciones sin

tener que reconfigurar la direccin de red de dicha estacin, lo
cual representa un beneficio para los usuarios.

A
1

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

Dos conmutadores con dos VLANs

9 10

7 8

9 10

7 8

9 10

16

Conexin roja-azul

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

Los

switches VLAN se interconectan mediante puertos de

mayor capacidad (trunks)

16

Esta

Conexin A-B azul

la infraestructura de VLANs estar

distribuida entre varios switches

Las tramas Ethernet rojas y azules pasan mezcladas

por el cable. Se han de etiquetar de alguna forma
para que se puedan separar al recibirlas. La forma
estndar es 802.1q

Enlace trunk

16

Normalmente,

A
7 8

9 10

Transporte VLANs entre switches

Comunicacin entre VLANs

7 8

Conexin A-B roja

La definicin de las VLANs a nivel 3 puede eliminar la

necesidad del etiquetado de tramas para comunicar a un
conmutador la informacin de pertenencia a una VLAN,
reduciendo la sobrecarga de transporte.

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

interconexin es parte del cableado backbone

La

informacin sobre la pertenencia de los usuarios a las

distintas VLANs se transmite a travs del backbone.

16

Conexin roja-azul

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

FILTRADO DE TRAMA
Existen

Cada

switch desarrolla una tabla de filtrado, que asocia

cada direccin fsica con la VLAN a la que pertenece

dos mtodos:
-

Filtrado de tramas

Los

switches comparten las tablas a travs del backbone

Etiquetado (identificacin, rotulado) de tramas

Cuando

una trama llega a un switch, ste puede

determinar a q
qu VLAN p
pertenece empleando
p
la tabla

La

informacin sobre las VLANs definidas tambin se

di ib
distribuye
a travs
del
d l backbone
b kb
entre llos di
distintos
i
switches, mediante el protocolo VTP (Vlan Trunk
Protocol)

Esta

tcnica permite filtrar en funcin de cualquier

parmetro de la trama (direccin fsica, lgica, ...)

No

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

es escalable; no se emplea actualmente

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

ETIQUETADO DE TRAMAS

Estndar VLAN802.1Q
Packet Tagging en el intercambio de VLAN comunes
Level-1 Tagging Explcito
DES SRC

FCS

DES SRC
DES SRC

FCS

FCS

SRC

DES

Data

Identificador nico en el encabezado de cada trama a medida que se

enva por todo el backbone de la red.
El id es comprendido y examinado por cada switch antes de enviar
cualquier broadcast o transmisin a otros switches, routers o dispositivos
de estacin final.
Cuando la trama sale del backbone de la red, el switch elimina el
identificador ( Slo cableado vertical ).
Funciona a nivel de Capa 2 y requiere poco procesamiento o gasto
administrativo NO SOBRECARGA Y MAYOR ESCALABILIDAD.
sicctel@gmail.com

Ing. Csar Rodrguez Novoa

VLAN ID

802.1Q

es un estndar de etiquetado de VLANs

soporta ambos 802.1Q e ISL
Cisco mapea ISL a 802.1Q dinmicamente con VTP
Cisco

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

Enlace Inter-Switch (ISL)

Etiquetado de tramas segn 802.1Q

Trama
802.3

Trama
802.1Q

Dir. MAC
Destino

Dir. MAC
Destino

Dir.
MAC Origen

Dir.
MAC Origen

Ethertype/
Longitud Datos

X8100

El Ethertype X8100
indica protocolo VLAN

Bits

Relleno
(opcional)

ASICs
CRC

Tag Ethertype/
Longitud Datos

Pri

CFI

VLAN
Ident.

12

Relleno
(opcional)

InterSwitch Link
VLAN Tag es
(ISL) porta el
aadido en el puerto id
identificador
tifi d VLAN
de Ingreso

CRC

VLAN Tag es
retirado en el puerto
de envo

Pri: Prioridad (8 niveles posibles)

CFI: Canonical Format Indicator (indica formato de direcciones MAC)
VLAN Ident.: Identificador VLAN (mximo 4096 en una misma red)

Ing. Csar Rodrguez Novoa

Manteniendo la Performance de la Red

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

de alta performance en
el establecimiento de miembros
Etiqueta cada paquete como
fue recibido (packet tagging)
Elimina lookups y tablas
Transporta multiples VLANs
a travs de un enlace
Protocolo independiente de la
estacin final
Fcilmente Administrable
Spanning Tree por VLAN
sicctel@gmail.com

VLAN ESTTICAS

VLAN DINMICAS

Son puertos en un switch que se asignan estticamente a una VLAN.

Estos puertos mantienen sus configuraciones de VLAN asignadas
hasta que se cambien ( como las rutas estticas en los routers).
Este tipo de red es segura, de fcil configuracin y monitorizacin.
Las VLAN estticas funcionan bien en las redes en las que el
movimiento se encuentra controlado y administrado.
Ing. Csar Rodrguez Novoa

sicctel@gmail.com

Las VLAN se asignan dinmicamente utilizando una aplicacin de

administracin de VLAN centralizada.
VLAN basadas en direcciones MAC, dir. Lgica o tipo de protocolo.
Menor administracin en el armario de cableado cuando se aade o traslada
un usuario
Notificacin cuando un usuario no reconocido, se agrega a la red.
Ms administracin para config. la BD y mantener exactitud de todos los
usuarios

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

USO DE HUBS: AHORRO

SEGURIDAD: VLANS +
LISTAS DE ACCESO

Permite al administrador de red:

-Limitar la cantidad de usuarios en un grupo de VLAN
-Evitar que otro usuario se conecte sin recibir antes la aprobacin de la aplicacin de
administracin de red de la VLAN
-Configurar todos los puertos no utilizados en una VLAN de bajo servicio por defecto

Cada HUB conectado a un puerto de SW permite que el segmento (

dispositivos conectados a l) pertenezca a la VLAN a la que
pertenece el puerto.
Permite relocalizar un host de un HUB a otro.

Las aplicaciones y recursos restringidos se suelen colocar en un grupo VLAN

seguro
Ing. Csar Rodrguez Novoa

sicctel@gmail.com

Beneficios VLANs

sicctel@gmail.com

VTP (Virtual Trunk Protocol)

Reducido costo administrativo

9

Ing. Csar Rodrguez Novoa

Protocolo

Simplifica los traslados, cambios y crecimiento

Reduce

propietario de CISCO

la administracion de una red switcheada

Eficiente utilizacin del Ancho de banda

Cuando
9

se construye una VLAN, esta es distribuida a

traves de todos los switches en el dominio

Mejor control de broadcasts

Seguridad de Red Mejorada

Reduce

Separado grupo de VLAN para usuarios de alta seguridad

Reubicar servidores en localizaciones seguras

la necesidad de configurar las VLANs en todas

partes

Escalabilidad y performance
9

Microsegmentos con escalabilidad

Carga de trfico distribuida

Provee mayor flexibilidad en la segmentation y organizacin

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

Ing. Csar Rodrguez Novoa

VTP: Modos

VTP: Operacion

VTP

Server. Mantiene mantiene una lista completa de

las VLANs dentro del dominio VTP. La informacion es
almacenada en memoria. El server puede agregar, borrar
y renombrar VLANs.

VTP

Client.
Client Tambien mantiene una lista completa de las
VLANs. El client no puede agregar, borrar y renombrar
VLANs. Todos los cambios deben ser realizados a traves
del VTP Server

VTP

Transparent. No participa en VTP. Sin embargo para

avisos VTP las VLANs son definidas en el switch y
almacenadas en memoria

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

VTP: Operacion

Ing. Csar Rodrguez Novoa

sicctel@gmail.com

sicctel@gmail.com

VTP

opera a traves de mensajes (multicast) enviados a

una MAC particular. Note que los avisos VTP solo viajan
por las puertas de Trunk

Se

asigna un dominio VTP, para ello se asigna un

nombre de dominio a cada switch.
switch La informacion VTP
viaja solo dentro de este dominio

Para

ello deben cumplirse las sgtes condiciones:

El switch en un dominio debe estar asignado al dominio VTP

Glos switches deben ser adyacentes
Trunking debe estar habilitado en todos los switches

Ing. Csar Rodrguez Novoa

sicctel@gmail.com