Caisses et clients sur un commutateur
Dans une agence, un seul commutateur relie les caisses, les PC du personnel et une borne wifi pour les clients. Un portable de client ne doit jamais voir une caisse.
Acheter trois commutateurs coûte cher et prend de la place. Un VLAN découpe un commutateur en plusieurs, avec de simples réglages.
À la fin de cette leçon
Remarque
Je peux séparer deux groupes de postes sur un seul commutateur.
Mots clés
| Mot | Ce que ça veut dire | Exemple |
|---|---|---|
| Domaine de diffusion | tous les appareils qui entendent les diffusions les uns des autres | |
| VLAN | un réseau local virtuel : un commutateur qui se comporte comme plusieurs | VLAN 10 |
| Port d'accès | un port qui appartient à un seul VLAN, pour un seul appareil | |
| Port trunk | un port qui porte plusieurs VLAN vers un autre commutateur ou un routeur | |
| Étiquette | une marque sur une trame qui nomme son VLAN | |
| Routeur sur un bras | un seul câble du routeur qui porte tous les VLAN (en anglais router on a stick) |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Un commutateur est un domaine de diffusion
Un commutateur ordinaire envoie une diffusion par tous ses ports. Tous les appareils s'entendent donc.
On appelle cela un domaine de diffusion. Les appareils d'un même domaine se joignent sans routeur.
Un VLAN coupe le commutateur en plusieurs domaines de diffusion.
Rencontrer le commutateur, le routeur et les postes
vlanlab statusAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Lire la table des VLAN du commutateur
sudo ip netns exec sw bridge vlan showAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Demander à travers le commutateur, sans routeur
sudo ip netns exec h20 arping -c 2 -I eth0 10.10.0.100Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Ce que disent les trois réponses
Tous les ports sont dans le VLAN 1. La table a une ligne pour chacun des quatre ports, et une pour le pont lui-même, br0. Les postes ont deux plages d'adresses, mais le commutateur les traite comme un seul groupe.
L'arping demande « qui a cette adresse ? » à travers le commutateur. Le serveur répond les deux fois avec sa propre adresse matérielle. Rien ne sépare encore les deux groupes.
Ports d'accès et ports trunk
Un port d'accès appartient à un seul VLAN. L'appareil branché dessus ne sait rien des VLAN.
Un port trunk porte plusieurs VLAN sur un câble. Pour les distinguer, chaque trame reçoit une étiquette qui nomme son VLAN. La norme s'appelle 802.1Q.
Exemple : une table de ports
| Port | Branché sur | Mode | VLAN |
|---|---|---|---|
| 1 | Caisse une | Accès | 10 |
| 2 | Caisse deux | Accès | 10 |
| 3 | PC du personnel | Accès | 20 |
| 4 | Borne wifi clients | Accès | 30 |
| 5 | Le routeur | Trunk | 10, 20, 30 |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Un routeur relie les VLAN
Des appareils de VLAN différents ne se parlent pas à travers le commutateur. S'ils doivent se parler, un routeur doit se placer entre eux.
Un seul câble suffit. C'est un trunk, et le routeur lui donne une sous-interface par VLAN. Chaque sous-interface porte l'adresse de passerelle de son VLAN.
C'est un routeur sur un bras.
Exemple : un paquet d'un VLAN à l'autre
| Étape | Où | Étiquette |
|---|---|---|
| 1 | Le PC du personnel écrit à sa passerelle | Aucune |
| 2 | Le commutateur l'envoie au routeur | VLAN 20 |
| 3 | Le routeur trouve le réseau de la caisse et le renvoie | VLAN 10 |
| 4 | Le commutateur le remet à la caisse | Aucune |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Tenter de joindre l'autre VLAN
sudo ip netns exec h10 ping -c 2 -W 1 10.20.0.11Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Regarder l'unique câble du routeur
sudo ip netns exec r1 ip -br addr show dev eth0Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Lire où h10 envoie les autres réseaux
sudo ip netns exec h10 ip routeAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Une erreur fréquente
Attention
On croit souvent que des postes de VLAN différents se joignent quand même à travers le commutateur. Le commutateur ne franchit jamais un VLAN. Il faut un routeur, et une règle de ce routeur peut encore bloquer le trafic.
Pour aller plus loin : un troisième groupe
L'agence ajoute des caméras à l'entrée. Elles vont dans le VLAN 40, sur le port 6, avec le réseau 10.40.0.0/24.
Écrivez les lignes nouvelles et modifiées de la table de ports d'exemple. Dites quelle adresse de passerelle il faut à la nouvelle sous-interface du routeur.
Ajoutez ensuite ces lignes à PORTS dans une copie des tests. Vérifiez avec peuvent_parler qu'une caméra ne joint une caisse qu'à travers le routeur.