1 / 34

Fonctionnalités avancées des VLANs

Fonctionnalités avancées des VLANs. APPERT Fabien BOUVET Adrien CHAVERON Nicolas - Ingénieurs2000 IR - 3 ème année - Février 2005. Exposé de « Nouvelles Technologies Réseaux ». Fonctionnalités avancées des VLANs. Table des matières. VLAN 802.1q 802.1s 802.1x. =. LAN A.

dreama
Télécharger la présentation

Fonctionnalités avancées des VLANs

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. Fonctionnalités avancées des VLANs APPERT Fabien BOUVET Adrien CHAVERON Nicolas - Ingénieurs2000 IR - 3ème année - Février 2005 Exposé de « Nouvelles Technologies Réseaux »

  2. Fonctionnalités avancées des VLANs Table des matières • VLAN • 802.1q • 802.1s • 802.1x

  3. = LAN A LAN B VLAN A VLAN B VLAN - Théorie 1/2 Définition : Virtual Local Area Network Utilité : Plusieurs réseaux virtuels sur un même réseau physique

  4. VLAN - Théorie 2/2 • Notions essentielles : • VLAN par défaut toujours présent • Technologie en standard sur les switchs actuels • Configuration au niveau de l’équipement • 3 types de VLAN : • par port  Niveau 1 • par adresse MAC  Niveau 2 • par sous-réseau / protocole  Niveau 3

  5. VLAN PAR DEFAUT VLAN B VLAN A VLAN – niveau 1 VLAN de niveau 1  VLAN par port  1 port du switch dans 1 VLAN  configurable au niveau de l’équipement  90% des VLAN sont des VLAN par port

  6. + - VLAN – niveau 2 VLAN de niveau 2  VLAN par adresse MAC  VLAN en fonction des adresses MAC  configurable au niveau de l’équipement indépendance de la localisation de la station difficultés de poser des règles de filtrages précises

  7. + - VLAN – niveau 3 VLAN de niveau 3  VLAN par sous-réseau ou par protocole  VLAN en fonction des adresses IP sources des datagrammes ou du type de protocole  configurable au niveau de l’équipement séparation des flux dégradation des performances

  8. VLAN - Démonstration Situation 1 : VLAN DEFAULT @MAC Serveur ? @MAC serveur  @IP Sniffer ARP Adrien ARP Serveur Nicolas ARP ARP ARP VLAN PAR DEFAUT

  9. VLAN - Démonstration Situation 1 : VLAN DEFAULT Ping serveur Ping ok Sniffer ICMP Adrien ICMP Serveur Nicolas ICMP ICMP VLAN PAR DEFAUT

  10. VLAN - Démonstration Situation 2 : Serveur dans VLAN « A » , Adrien & Nicolas dans VLAN DEFAULT Sniffer Adrien # vlan <id_vlan> name <nom_vlan> # vlan <id_vlan> untagged <n°port> Serveur Nicolas VLAN A VLAN PAR DEFAUT

  11. VLAN - Démonstration Situation 2 : Serveur dans VLAN « A » , Adrien & Nicolas dans VLAN DEFAULT Ping serveur :  Destination unreachable @MAC Serveur ? Sniffer ARP Adrien Serveur Nicolas ARP VLAN A VLAN PAR DEFAUT

  12. VLAN - Démonstration Situation 3 : Serveur & Adrien dans VLAN « A » , Nicolas dans VLAN DEFAULT Sniffer Adrien # vlan <id_vlan> untagged <n°port> Serveur Nicolas VLAN A VLAN PAR DEFAUT

  13. VLAN - Démonstration Situation 3 : Serveur & Adrien dans VLAN « A » , Nicolas dans VLAN DEFAULT Ping ok Sniffer Adrien Serveur Nicolas VLAN A VLAN PAR DEFAUT

  14. VLAN - Avantages • Performances : • Permet à des utilisateurs éloignés géographiquement de partager des données • Limite la diffusion des broadcasts • Sécurité : • Séparation des flux entre différents groupes d’utilisateurs • Finances : • 1 seul équipement pour plusieurs réseaux

  15. 802.1Q - Problématique 1/2 • Notion de vlan au niveau du commutateur • Mais jusqu’à présent, aucune notion de vlan au niveau Ethernet ni à des niveaux supérieurs • Donc comment propager l’appartenance à un VLAN d’un commutateur vers un autre ? • Problématique : lorsqu’une trame circule d’un commutateur à un autre, comment identifier son appartenance à un vlan ?

  16. 802.1Q - Problématique 2/2 DEFAULT VLAN VLAN A DEFAULT VLAN VLAN A

  17. 802.1Q - Théorie 1/2 • Objectif : Transport de plusieurs VLANs sur un lien unique, par exemple : • Commutateurs / Commutateurs • Commutateurs / Serveurs • Cela implique donc : • nécessité de définir les mêmes VLANs sur chaque commutateurs (même VLAN Id) • les trames doivent être taggées lors du transfert

  18. VLAN A 802.1Q - Théorie 2/3 Tags sur les trames DEFAULT VLAN VLAN A DEFAULT VLAN VLAN A

  19. 802.1Q - Théorie 3/3 • Extension du format Ethernet, ajout de 4 octets • Type : « 0x8100 » pour le protocole 802.1Q • 802.1Q : • Priority (3 bits) • CFI (1 bit) • VID (12 bits)

  20. 802.1Q – Démonstration 1 Adrien DEFAULT VLAN VLAN A DEFAULT VLAN VLAN A Nicolas Serveur

  21. 802.1Q – Démonstration 2 Adrien DEFAULT VLAN VLAN A DEFAULT VLAN VLAN A Nicolas Serveur

  22. 802.1Q – Démonstration 3 # vlan <id_vlan> tagged <n°port> Adrien DEFAULT VLAN VLAN A Tag 802.1Q DEFAULT VLAN VLAN A Nicolas Serveur

  23. 802.1Q - Démonstration 4 Adrien DEFAULT VLAN VLAN A DEFAULT VLAN VLAN A Nicolas Serveur

  24. 802.1Q – Démonstration Snif Snif Adrien Sniffer DEFAULT VLAN VLAN A Tag 802.1Q Nicolas DEFAULT VLAN VLAN A Serveur

  25. 802.1s - Introduction • Architecture réseau des entreprises importantes : • nombreux vlans • 802.1Q • redondance de niveau 2 : STP • liens souvent surdimensionnés • => avantages des vlans et du STP : 802.1s

  26. 802.1s - Théorie • 802.1s = MSTP = PVST • Une instance STP par vlan au lieu d’une par boite • Complexe à mettre en place (au niveau conception) • Technologie récente, pas encore supportée par tous les matériels

  27. 802.1s – Objectifs / Limitations • Objectifs : • - Meilleure utilisation des liens • Temps de convergence de 3 secondes • Redondance de niveau 2 accrue • Limitations : • - Matériels limités en nombre d’instances • - Peu de softs snmp savent gérer 802.1s

  28. R 802.1s – Exemple sans MSTP (1/2) vlan vert vlan bleu vlan rouge 1/ Configuration VLANs 2/ Configuration 802.1q 3/ Configuration STP vlan vert vlan bleu vlan rouge vlan vert vlan bleu vlan rouge

  29. R R R 802.1s – Exemple avec MSTP (2/2) 1/ Configuration instances 2/ Configuration mapping : vlan vert : vlan bleu : vlan rouge Instance #1 Instance #2 Instance #3 3/ Configuration root bridges : vlan vert : vlan bleu : vlan rouge Instance #1 Instance #2 Instance #3 : vlan vert : vlan bleu : vlan rouge Instance #1 Instance #2 Instance #3

  30. 802.1x - Introduction • Permet l’élaboration de mécanismes d’authentification et d’autorisation pour l’accès au réseau • Se développe grâce au WiFi • Norme développée à l’origine pour les VLANs • => Attribution d’un VLAN en fonction de l’identification

  31. Serveur Client 802.1x Switch d’accès Supplicant Authenticator Authentication Server 802.1x - Architecture • Avant authentification : seul trafic nécessaire à l’authentification est permis • Après authentification : tout trafic

  32. Radius EAPoL 802.1x - Protocoles Serveur Radius Client 802.1x Switch d’accès • EAP au dessus du réseau local : EAPOL (EAP over LAN) • EAP peut encapsuler plusieurs types de protocoles d’authentification : • MD5 • TLS • TTLS • Le commutateur joue le rôle de relais • Le protocole Radius encapsule les messages EAP • Le serveur Radius pourra s’appuyer soit sur sa base de donnée interne, • soit sur un annuaire LDAP

  33. 802.1x – Démonstration Adrien Switch Serveur FreeRadius Nicolas • Le fichier ‘radiusd.conf’ • ajouter l’authentification eap • Le fichier ‘client.conf’ • déclarer les switchs qui feront des requêtes vers le serveur • Le fichier ‘users’ • contient les informations de chaque utilisateur • - login • - mot de passe • - vlan affecté • - etc… ‘ Activer l’authentification 802.1x sur le port 23 ’ aaa port-access authenticator 23 aaa port-access authenticator active ‘ Définir le serveur radius, la clé d’échange et le protocole de communication ’ radius-server host 10.0.0.1 radius-server key clerezo aaa authentication port-access eap-radius • Standard sous XP, SP3 sous 2000 • Xsupplicant sous Linux ‘ Vérification des authentifications ’ Switch1# show port-access authenticator

  34. Ze End 

More Related