Objetivo: Criar redes locais virtuais (VLANs) usando switches e computadores

Transcrição

1 Laboratório de IER 7 o experimento Objetivo: Criar redes locais virtuais (VLANs) usando switches e computadores Introdução LANs Ethernet (padrão IEEE e extensões) atualmente são construídas com switches para interligar os computadores e demais equipamentos de rede. Um switch apresenta como benefícios (comparado com hubs): a) atuação em nível de MAC: o switch faz o acesso ao meio com CSMA/CD ao encaminhar um quadro b) preservação da capacidade do canal: o switch encaminha um quadro somente para a porta da estação destinatária c) operação em modo full-duplex: transmissões por um mesmo cabo podem ser bidirecionais e simultâneas; consequentemente, não existe a possibilidade de colisões nesse caso. d) funcionalidades avançadas em nível MAC ou superior: como switches atuam na subcamada MAC, novas funcionalidades podem ser concebidas e adicionadas a esses equipamentos no que diz respeito ao encaminhamento dos quadros (ex: priorização, controle de acesso e controle de fluxo) e à estrutura da rede (ex: VLANs, STP). Ilustração 1: Relação entre VLANs e topologia física de LANs IEEE 802 Essas características importantes devem fazer com que uma LAN com switches tenha um desempenho superior do que com hubs, e mais recursos de gerenciamento da rede local. Por desempenho entenda-se um número menor de colisões sob tráfego intenso (ou mesma ausência total de colisões), e maior capacidade do canal vista por cada estação conectada ao switch. Por gerenciamento entende-se a capacidade de monitorar e controlar o funcionamento da rede local. LANs virtuais (VLANs Virtual LANs) são formadas por estações que, apesar de estarem em uma mesma LAN física, formam diferentes LANs lógicas isoladas umas das outras. A figura 2 ilustra um exemplo com três VLANs implantadas em um único switch. Necessariamente a implantação de VLANs depende de switches (ou pontes) com suporte ao padrão IEEE 802.1q (existem outras tecnologias, como VTP da Cisco, porém não padronizadas).

2 Ilustração 2: VLANs em um switch O padrão IEEE 802.1q possibilita que estações conectadas a diferentes switches possam fazer parte de uma mesma VLAN, como mostrado na figura 3. Esse padrão define, entre outras coisas, uma extensão ao quadro MAC para identificar a que VLAN este pertence. Essa extensão, denominada tag (etiqueta) e mostrada na figura 4, é composta por 4 bytes, e situa-se entre os campos de endereço de destino e ethertype. O identificador de VLAN (VID) ocupa 12 bits, o que possibilita portanto 4096 diferentes VLANs. Ilustração 3: VLANs em mais de um switch A configuração de VLANs em sua modalidade mais básica envolve a atribuição de portas do switch às VLANs. Como uma porta pode estar conectada tanto a um equipamento que entende

3 VLANs (como, por exemplo, um outro switch), quanto a um que não entende VLANs (como computadores em geral), a configuração de VLAN precisa levar isto em conta. No caso de conexão a equipamentos que entendem VLAN a porta deve operar em modo tagged, e caso contrário deve ser em modo untagged. No modo tagged esperam-se receber quadros com o campo tag, e o envio de quadros mantém esse campo. No modo untagged recebem-se quadros sem o campo tag, e o envio de quadros implica a remoção desse campo. Ilustração 4: Quadro com e sem tag IEEE 802.1q A rede de teste para os experimentos será composta de computadores ligados a um switch Ethernet Dlink DES-3526, que opera a 100 Mbps em modo full-duplex. Esse switch será configurado com VLANs estáticas (baseadas em portas), de forma a criar diferentes topologias virtuais. Roteiro O estudo sobre VLANs iniciará com a implantação de uma rede com estrutura típica para uma pequena empresa, como se pode ver na figura 5. Nessa rede existem duas subredes: uma contendo os servidores e outra com os computadores dos usuários. Essas subredes são interligadas por um computador com função de gateway, que também provê acesso a Internet. Devido à distribuição dos computadores e servidores, e disponibilidade de switches, as subredes serão implantadas com VLANs. Finalmente, o gateway fornecerá o serviço DHCP para a rede, e o serviço DNS para toda a rede, além de NAT. Ilustração 5: Rede do experimento 1. Conecte os oito computadores de sua bancada ao switch Dlink DES-3526 no rack correspondente. O manual desse switch está acessível ao lado do link de onde você obteve este roteiro.

4 2. O switch deve ser configurado de forma que os computadores de usuários fiquem na VLAN 5, e os servidores fiquem na VLAN 10. Configure o switch para que as respectivas portas sejam membros de uma dessas VLANs (em modo untagged). A configuração do switch pode ser feita via sua console conectada à porta serial de algum computador, ou via interface web. A configuração de VLANs se divide em duas partes: i) A criação da VLAN no switch: usa-se o comando create vlan nome_vlan tag VID. Escolha nomes sugestivos para suas VLANs. O VID é o identificador de VLAN (5 ou 10). ii) A adição de portas às VLANs: usa-se o comando config vlan nome_vlan add untagged X, sendo X o número da porta. Talvez seja necessário antes remover a porta da VLAN default, usando-se config vlan default delete X. 3. Podem-se visualizar as VLANs configuradas usando-se o comando show vlan. 4. Teste a comunicação entre os computadores de uma mesma VLAN. Gere tráfego em broadcast (com ping -b ) e use o wireshark para verificar quais computadores recebem os quadros i.e, para identificar o domínio de broadcast. 5. Tente comunicar computadores em diferentes VLANs. Isto foi possível? 6. Quadros MAC em VLANs possuem 4 bytes a mais no cabeçalho. Isto pode ser visualizado com o wireshark e pondo-se a respectiva porta do switch em modo tagged. Faça também com que um outro computador da VLAN gere quadros em broadcast, para que a interface Ethernet do computador monitorado receba quadros e o wireshark possa mostrar então o campo tag. 7. Com as VLANs corretamente configuradas em cada switch, deve-se interligá-los para que computadores em mesmas VLANs, porém conectados a diferentes switches, possam se comunicar. A interligação entre os switches deve ser feita usando-se apenas uma porta em cada switch, a qual deve ser adicionada a ambas VLANs em modo tagged. Após essa modificação teste a comunicação entre computadores das bancadas esquerda com os da direita. 8. VLANs podem ser compostas por estações conectadas a diferentes switches. Conecte o switch de sua bancada com o da outra bancada, conforme a figura 2, e teste a comunicação entre computadores de uma mesma VLAN. Obs: lembre que a conexão entre switches deve ser em modo tagged. 9. A implantação da rede será concluída com a implantação do gateway e instalação dos servidores. O gateway deve fazer NAT entre as subredes e a rede do laboratório, servir DNS para as subredes, e prover DHCP para a subrede dos usuários. Não esqueça de habilitar a função de gateway: echo 1 > /proc/sys/net/ipv4/ip_forwarding O NAT deve ser configurado na interface de saída do gateway da seguinte forma: iptables -t nat -A POSTROUTING -o eth0 -s /26 -j SNAT to-source IP_externo_gateway iptables -t nat -A POSTROUTING -o eth0 -s /24 -j SNAT to-source IP_externo_gateway

5 Como será usada apenas uma interface de rede no gateway para interligar as subredes do laboratório, dos servidores e dos usuários, será necessário criar interfaces virtuais baseadas em VLANs. Isso implica o gateway ser um equipamento que entende VLAN IEEE 802.1q. No Linux podem-se configurar interfaces virtuais associadas a VLANs usando-se o comando vconfig add interface VID - ex: vconfig add eth0 5 adiciona à interface eth0 uma interface virtual (que vai se chamar eth0.5) para a VLAN 5. Use esse comando para criar as interfaces virtuais necessárias. Em seguida configure o endereço IP dessas interfaces normalmente. O DHCP deve prover a subrede dos usuários com IPs na faixa a , com tempo de concessão (lease time) de 1 dia. O DNS deve servir apenas como cache, e deve aceitar atender requisições somente se originadas nas subredes internas. 10. Após implantar o gateway tente acessar os servidores a partir da subrede dos usuários. Execute o wireshark na interface eth0 do gateway, de forma a observar os quadros recebidos e enviados. Note os endereços IP de origem/destino nesses quadros, além da tag IEEE 802.1q. 11. A diretoria da empresa resolveu que os diretores e gerentes devem ter seus computadores em uma subrede de uso exclusivo. Com isto ficará mais prático definir regras de policiamento de tráfego e priorização no gateway para esses computadores. Foi decidido assim criar uma nova VLAN, que terá VID 20. Aproveitou-se para mudar interligação entre o switch central e os switches das subredes, por razões de cabeamento. A figura 6 mostra os computadores da nova VLAN, cujos enlaces estão com cor verde, e a nova ligação ao switch central. Ilustração 6: Rede com a subrede dos diretores Faça as modificações necessárias para a implantação dessa nova subrede.