Memoire Online - Mise en oeuvre par simulation d'une infrastructure réseau virtuel vlan

· La couche PHYSIQUE (PHYSICAL LAYER) : transmet des flux de bits bruts sur le support de communication. La couche PHYSIQUE est en relation directe avec la carte réseau.

· La durée de chaque bit, les caractéristiques de l'impulsion électrique ou optique

Les caractéristiques des premiers réseaux EHERNET ont servi de base pour l'élaboration de la norme IEEE 802.3. La norme IEEE 802.3 décrit la méthode d'accès au réseau CSMA/CD et concerne les sous-couches LLC (Logical Link Control) et MAC (Medium Access Control), lesquelles font parties des couches LIAISON et PHYSIQUE du modèle OSI ; le but de ces deux couches c'est de garantir la compatibilité entre divers périphériques finaux. Maintenant, tous les réseaux ETHERNET satisfassent à la norme IEEE 802.3. La norme IEEE 802.3 a été publiée en 1990 par le comité IEEE (Institute of Electrical and Electronics Ingineers), et concerne les réseaux ETHERNET câblés.

Les réseaux locaux définissent des méthodes d'accès au support de transmission, encore appelées niveau MAC (medium access control). Deux types de méthodes d'accès sont utilisés : l'accès aléatoire et l'accès déterministe.

Dans les méthodes d'accès aléatoire, les machines - ou stations -, avant d'émettre un message, se mettent à l'écoute du support (ou canal) afin de détecter une transmission en cours. Du fait des délais de propagation, une collision peut se produire entre des messages émis par plusieurs stations, même si chaque station a écouté au préalable et n'a pas détecté d'émission. La méthode d'accès aléatoire la plus connue est celle du réseau Ethernet, appelée CSMA/CD (Carrier Sense Multiple Access/Collision Detection). La durée d'une collision y est minimale, mais le temps nécessaire pour émettre un message ne peut pas être garanti. Dès qu'une collision est détectée par toutes les stations émettrices, la transmission en cours est interrompue. Les retransmissions sont effectuées après un temps de durée aléatoire qui dépend, entre autres, du nombre de tentatives de chaque station. Après seize tentatives infructueuses, la station abandonne l'émission. L'intérêt de CSMA/CD est sa très grande simplicité de mise en oeuvre. De plus, elle s'est adaptée à des débits de plus en plus élevés et à des configurations physiques et logiques multiples.

Les méthodes d'accès déterministe utilisent un jeton qui alloue successivement le droit d'émission à toutes les stations. Les jetons sont des messages spécifiques qui circulent de manière déterminée entre les stations. Une station qui reçoit et reconnaît le jeton peut alors accéder au support. Elle passe aussitôt le jeton à la station suivante si elle n'a rien à émettre ou dès qu'elle a terminé son émission. Chaque station doit donc être en mesure de gérer la réception et le passage du jeton. L'intérêt des méthodes à jetons est de garantir à chaque station un droit d'émission périodique et une absence de collision. Elles nécessitent une gestion spécifique et une surveillance complexe de la circulation des jetons (détection de perte et stratégies de régénération du jeton). Si ces techniques permettent la mise en oeuvre d'applications à contraintes temporelles, elles n'ont pas su évoluer vers des débits plus élevés, en raison de leur complexité.

Les deux couches basses du modèle OSI (LIAISON et PHYSIQUE) définissent la façon dont plusieurs ordinateurs peuvent utiliser simultanément le réseau sans interférer les uns avec les autres. Le comité de normalisation 802 a voulu définir plus en détail ces deux couches.

La couche LIAISON a été divisée en deux sous couches : Certaines normes de la spécification 802 concernent les sous-couches LLC ou MAC.

· L'adressage (la sous couche MAC ajoute un entête et un code à la trame reçue).

§ Contrôle d'accès aux supports : quand la trame est reçue contenant un code, le noeud récepteur crée un CRC (contrôle de redondance cyclique) pour le comparer à celui de la trame reçue ; si ces deux calculs de CRC correspondent donc la trame à été reçue sans erreurs.

Pendant le processus de transmission des données, celles-ci sont découpées en paquets ou trames. Les trames d'un même réseau ETHERNET se ressemblent toutes, mais elles sont différentes des trames qui appartiennent à d'autres types de réseaux.

Par exemple les trames ETHERNET II pour TCP/IP ont toutes la même structure :

La longueur d'une trame ETHERNET est comprise entre 64 et 1518 Octets. Les informations d'en-tête et de queue requièrent 18 Octets, il reste donc un espace de 46 à 1500 Octets pour les données.

Malgré que le réseau Ethernet a des avantages; mais 50% des attaques sur les réseaux proviennent de l'intérieur de l'entreprise, il est donc indispensable de garantir une certaine étanchéité entre les différents utilisateurs des services d'un réseau entreprise.

On peut considérer un réseau logique (VLAN) ce que nous allons l'étudier dans le chapitre qui suit.

L'introduction des commutateurs dans un réseau local a permis de construire, au sein d'un réseau d'entreprise, des réseaux logiquement indépendants les uns des autres. Ces réseaux logiques sont définis en fonction des centres d'intérêt de leurs utilisateurs et non en fonction de la situation géographique des stations au sein de l'entreprise. Ainsi, une communauté d'utilisateurs réunis par des centres d'intérêts communs sont regroupés au sein d'un même réseau logique ; on parle alors de réseau virtuel ou VLAN (Virtual Located Area Network).

VLAN est un groupe de services réseau qui ne sont pas limités à un segment physique ou à un commutateur LAN.

Les VLAN segmentent les réseaux commutés de manière logique sur la base des fonctions, des équipes ou de projet ou des applications de l'entreprise quelque soit l'emplacement physique ou les connexions au réseau. L'ensemble des stations de travail et des serveurs utilisés par un groupe de travail partagent le même VLAN, indépendamment de l'emplacement ou de la connexion physique.

Le principale avantage des VLAN est qu'ils permettent à l'administrateur réseau d'organiser le LAN de manière logique et non physique. Cela signifie qu'un administrateur peut effectuer toutes les opérations suivantes :

On distingue trois niveaux de VLAN selon la proximité géographique des utilisateurs du réseau virtuel et la manière dont les différentes stations appartenant au VLAN sont identifiées. Le niveau 1 relie des machines connectées au même port du commutateur ; le niveau 2 définit les machines d'un VLAN en fonction de leurs adresses MAC et le niveau 3 regroupe les machines en fonction de leurs adresses IP. Avec les VLAN de niveaux 2 et 3, les machines peuvent appartenir à plusieurs VLAN ; le commutateur contient une table de correspondance entre les VLAN et la liste des adresses associées. L'identification du VLAN utilisé est contenue dans un champ supplémentaire de la trame émise par la station.

Ce dernier est plus simple à gérer et à développer tandis que les problèmes sont résolus plus rapidement.

La conception d'un réseau hiérarchique c'est-à-dire la division du réseau en couches distinctes comme suit :

· Contrôle des périphériques qui sont autorisés à communiquer sur le réseau.

· Regroupe les données reçues à partir des commutateurs de la couche d'accès en vue de leur routage vers la destination finale.

· Délimite les domaines de diffusion via les fonctions de routage entre des VLAN définis au niveau de la couche d'accès.

· Essentielle à l'inter-connectivité entre les périphériques de la couche de distribution (disponibilité et redondance très élevée).

· Regroupe le trafic provenant de tous les périphériques de la couche distribution.

Un VLAN est un domaine de broadcast crée par un ou plusieurs commutateurs. La structure de réseau des figures qui suivent nécessite trois domaines de broadcast distincts.

§ Trois domaines de broadcast séparés sont crées.

§ Le routeur achemine le trafic entre les VLAN à l'aide du routage de couche 3.

§ Le commutateur transmet les trames aux interfaces du routeur :

· S'il s'agit de trames de broadcast.

· Si elles sont destinées à l'une des adresses MAC du routeur.

Si la station de travail 1 du VLAN Ingénierie veut envoyer des trames à la station de travail 2 du VLAN Ventes, celles-ci sont envoyées à l'adresse MAC Fa0/0 du routeur.

Le routage est effectué via l'adresse IP sur l'interface de routeur Fa0/0 pour le

VLAN Ingénierie.

Si la station de travail 1 du VLAN Ingénierie souhaite envoyer une trame à la station de travail 2 du même VLAN, l'adresse

MAC de destination de la trame est l'adresse MAC de la station de travail 2.

La mise en oeuvre de LAN virtuels sur un commutateur implique ce qui suit:

· Le commutateur doit mettre à jour une table de pontage séparée pour chaque VLAN.

· Si la trame arrive sur un port du VLAN 1, le commutateur recherche la table de pontage du VLAN 1.

· Lorsque la trame est reçue, le commutateur ajoute l'adresse source à la table de pontage si elle est inconnue.

· La destination est vérifiée, de sorte qu'une décision de transmission soit prise.

· Pour l'apprentissage et la transmission, la recherche est effectuée uniquement par rapport à la table d'adresses de ce

VLAN.

L'entête de trame ne contient pas d'informations permettant de déterminer à quel VLAN la trame doit appartenir.

Lorsque les trames Ethernet sont placées sur une agrégation elles ont besoin d'informations supplémentaires sur les VLAN aux quels elles appartiennent; il faut alors utiliser l'entête d'encapsulation 802.1Q.

802.1Q ajoute à la trame Ethernet d'origine une étiquette spécifiant le VLAN aux quels la trame doit appartienne.

· 1et 1002-1005 il se crée et ne se supprime pas et sera stocker dans le fichier VLAN.dat dans la mémoire flash.

Les administrateurs réseau sont chargés de configurer les VLAN à la fois de manière statique et dynamique :

Les administrateurs réseau effectuent une configuration port par port ; chaque port est associé à un VLAN spécifique. L'administrateur réseau est chargé de saisir les associations entre les ports et les VLAN.

Les ports sont capables de réaliser dynamiquement leur configuration VLAN. Utilisation d'une base de données logicielle d'adresse MAC (Media Acces Memory) pour les associations VLAN (que l'administrateur réseau doit préalablement définir).

Pour créer un VLAN il faut se trouver dans le mode de configuration correspondant accessible par la commande :

SWITCH (config) # INTERFACE FASTETHERNET {numéro_interface} SWITCH (config_if) # SWITCHPORT ACCESS {VLAN_num}

COMMANDE	DESCRIPTION
Configure terminal	passer en mode de configuration globale sur le commutateur.
Interface fastethernet	Passer en mode de configuration d'interface.
Switchport access	Passer à affecter le VLAN à une ou plusieurs interfaces.

Un VLAN créé reste inutilisé jusqu'à ce qu'il soit associé à des ports de commutateur.

Il est fortement recommandé de vérifier la configuration VLAN à l'aide des commandes: show VLAN, show VLAN brief, show VLAN id numéro_id.

La suppression d'un VLAN à partir d'une interface de commutateur est identique à la suppression d'une commande à partir d'un routeur.

Comme indique l'exemple dans la figure, le Fastethernet 0/9 a été assigné au VLAN à l'aide de la commande switchport Access vlan 300 en mode de configuration d'interface. Pour supprimer ce VLAN de l'interface, utilisez simplement la forme no de la commande :

Lorsqu'un VLAN est supprimé, tous les ports qui lui sont affectés deviennent inactifs. Toutefois, ces ports restent associés au VLAN supprimé jusqu'à ce qu'ils soient affectés à un nouveau VLAN.

Les premiers VLAN étaient difficiles à mettre en oeuvre sur les réseaux. La plupart des VLAN étaient définis sur chaque commutateur, ce qui signifie que la création de VLAN sur un réseau étendu était une tâche complexe. Chaque fabricant de commutateur avait une conception différente de la mise en place des VLAN sur leurs commutateurs, ce qui compliquait d'avantage le processus. Le concept d'agrégation de VLAN a été développé pour résoudre ces problèmes.

L'apparition de l'agrégation (trunking) remonte aux origines des technologies radio et de téléphonie. Dans les technologies radio, une agrégation est une ligne de communication simple qui transporte plusieurs canaux de signaux radio.

Dans l'industrie de la téléphonie, le concept d'agrégation est associé au canal ou à la voie de communication téléphonique entre deux points. L'un de ces deux points est généralement le central téléphonique.

Actuellement, le même principe d'agrégation est appliqué aux technologies de commutation de réseaux. Une agrégation est une connexion physique et logique entre deux commutateurs par lesquels le trafic réseau est acheminé.

Comme nous l'avons indiqué précédemment, une agrégation est une connexion physique et logique entre deux commutateurs par lesquels le trafic réseau est acheminé. Il s'agit d'un canal de transmission simple entre deux points. Ces points sont généralement des centres de commutation.

Dans le contexte d'un environnement de commutation VLAN, une agrégation de VLAN est une liaison point-à-point physique ou logique qui prend en charge plusieurs VLAN. L'objectif d'une agrégation de VLAN est d'économiser des ports lors de la création d'une liaison entre deux unités contenant des VLAN. La figure illustre deux VLAN répartis sur deux commutateurs (Sa et Sb). Chaque commutateur utilise deux liaisons physiques, de sorte que chaque port transporte le trafic d'un VLAN unique. Il s'agit de la méthode la plus simple de mise en oeuvre d'une communication VLAN entre commutateurs, mais elle n'offre pas une évolutivité suffisante.

L'ajout d'un troisième VLAN nécessiterait l'utilisation de deux ports additionnels, un pour chaque commutateur connecté.

Cette configuration est également inefficace en termes de partage de charges. De plus, le trafic sur certains VLAN peut ne pas justifier une liaison dédiée. Le concept d'agrégation de VLAN consiste à regrouper plusieurs liaisons virtuelles sur une liaison physique unique en permettant la transmission du trafic de plusieurs VLAN sur un câble unique entre les commutateurs.

Les tables de commutation aux deux extrémités de l'agrégation peuvent être utilisées pour prendre des décisions de transmission sur la base des adresses MAC de destination des trames. Lorsque le nombre de VLAN circulant sur l'agrégation augmente, les décisions de transmission deviennent plus difficiles à gérer. Le processus de prise de décision est ralenti car le traitement de tables de commutation volumineuses prend plus de temps.

Des protocoles d'agrégation ont été développés pour gérer efficacement le transfert de trames de différents VLAN sur une liaison physique unique. Les protocoles d'agrégation définissent un consensus pour la distribution de trames aux ports associés aux deux extrémités de l'agrégation.

Actuellement, il existe deux types de mécanismes d'agrégation: le filtrage des trames et l'étiquetage des trames. L'étiquetage des trames a été adopté par l'IEEE comme mécanisme d'agrégation standard.

Les protocoles d'agrégation qui utilisent un mécanisme d'étiquetage des trames affectent un identifiant aux trames pour faciliter leur gestion et permettre un acheminement plus rapide des trames.

La liaison physique unique entre les deux commutateurs est capable de transporter le trafic pour n'importe quel VLAN. Pour cela, chaque trame envoyée sur la liaison est étiquetée afin d'identifier le VLAN auquel elle appartient.

Pour créer ou configurer une agrégation de VLAN sur un commutateur à base de commandes Cisco IOS, configurez d'abord le port en mode d'agrégation de VLAN puis spécifiez l'encapsulation d'agrégation à l'aide des commandes suivantes:

Le protocole VTP (VLAN Trunking Protocol) a été créé par Cisco pour résoudre des problèmes opérationnels dans des réseaux commutés contenant des VLAN. C'est un protocole propriétaire Cisco.

Prenez l'exemple d'un domaine contenant des commutateurs interconnectés qui prennent en charge plusieurs VLAN. Pour mettre à jour la connectivité au sein de VLAN, il est nécessaire de configurer manuellement chaque VLAN sur chaque commutateur. Au fur et à mesure de la croissance de l'entreprise et de l'ajout de commutateurs au réseau, il convient de configurer manuellement chaque nouveau commutateur sur la base des informations VLAN. Une seule affectation de VLAN incorrecte peut engendrer deux types de problème:

· Connexions croisées entre VLAN en raison de l'incohérence des configurations VLAN

· Mauvaise configuration de VLAN sur des environnements à médias mixtes comme Ethernet et FDDI (Fiber Distributed Data Interface)

Avec VTP, la configuration VLAN est systématiquement mise à jour sur un domaine administratif commun. En outre, VTP facilite la gestion et la surveillance des réseaux VLAN.

Le rôle de VTP est de maintenir la cohérence de la configuration VLAN sur un domaine d'administration réseau commun.

VTP est un protocole de messagerie qui utilise les trames d'agrégation de couche 2 pour gérer l'ajout, la suppression et l'attribution de nouveaux noms aux VLAN sur un domaine unique. De plus, VTP autorise les changements centralisés qui sont communiqués à tous les autres commutateurs du réseau.

Les messages VTP sont encapsulés dans des trames de protocole Cisco ISL (Inter-Switch Link) ou IEEE 802.1Q, puis transmis sur des liens multi-VLAN aux autres unités. Dans les trames IEEE 802.1Q, un champ sur 4 octets est ajouté pour étiqueter les trames. Les deux formats transportent l'ID du VLAN.

Alors que les ports de commutateur sont normalement affectés à un seul VLAN, les ports multi-VLAN transportent, par défaut, les trames de tous les VLAN.

Un domaine VTP est composé d'un ou de plusieurs équipements interconnectés qui partagent le même nom de domaine VTP. Un commutateur ne peut appartenir qu'à un seul domaine VTP.

Lorsqu'un message VTP est transmis aux autres commutateurs du réseau, il est encapsulé dans une trame de protocole d'agrégation comme ISL ou IEEE 802.1Q. La figure illustre l'encapsulation générale pour VTP à l'intérieur d'une trame

ISL. L'en-tête VTP varie en fonction du type de message VTP, mais quatre éléments sont généralement inclus dans tous les messages VTP:

Les serveurs VTP peuvent créer, modifier et supprimer un VLAN et des paramètres de configuration VLAN pour l'ensemble du domaine. Les serveurs VTP enregistrent les informations de configuration VLAN dans la mémoire NVRAM du commutateur. Les serveurs VTP envoient des messages VTP par tous les ports multi-VLAN.

Les clients VTP ne peuvent pas créer, modifier ou supprimer des informations VLAN. Ce mode est utile pour les commutateurs qui manquent de mémoire pour stocker de grandes tables d'informations VLAN. Le seul rôle des clients VTP est de traiter les modifications VLAN et d'envoyer des messages VTP par tous les ports multi-VLAN.

Les commutateurs en mode transparent VTP transmettent des annonces VTP mais ignorent les informations contenues dans le message. Un commutateur transparent ne modifie pas sa base de données lors de la réception de mises à jour et il n'envoie pas de mises à jour indiquant une modification apportée à son état VLAN. Excepté pour la transmission d'annonces VTP, le protocole VTP est désactivé sur un commutateur transparent.

Les tâches de base suivantes doivent être effectuées avant de configurer le protocole VTP et les VLAN sur le réseau :

· Indiquez si ce commutateur sera un membre d'un domaine de gestion existant ou si un nouveau domaine doit être créé. Si un domaine de gestion existe, déterminez son nom et son mot de passe.

Deux versions différentes de VTP sont disponibles: la version 1 et la version 2.

Les deux versions ne peuvent pas fonctionner ensemble. Si un commutateur est configuré dans un domaine pour VTP version 2, tous les commutateurs du même domaine doivent l'être aussi. VTP version 1 est la valeur par défaut. La version 2 de VTP peut être mise en oeuvre si certaines des fonctions qu'elle offre ne sont pas proposées dans la version 1. La fonction la plus couramment utilisée est la prise en charge VLAN Token Ring.

Pour configurer la version de VTP sur un commutateur à base de commandes Cisco IOS, passez d'abord en mode base de données VLAN.

Si le commutateur installé est le premier commutateur du réseau, créez le domaine de gestion. Si le domaine de gestion a été sécurisé, configurez un mot de passe.

Le nom du domaine peut comporter entre 1 et 32 caractères. Le mot de passe peut comporter entre 8 et 64 caractères.

Pour ajouter un client VTP à un domaine VTP existant, vérifiez toujours que son numéro de révision de configuration VTP est inférieur à celui des autres commutateurs du domaine VTP. Utilisez la commande show vtp status. Les commutateurs d'un domaine VTP utilisent toujours la configuration VLAN du commutateur qui porte le numéro de révision de configuration VTP le plus élevé. Si un commutateur est ajouté et s'il porte un numéro de révision supérieur à celui du domaine VTP, il peut effacer toutes les informations VLAN du serveur et du domaine VTP.

Des VLAN peuvent être créés, supprimés et renommés à volonté sans que le commutateur transmette les modifications aux autres commutateurs. Si un grand nombre de personnes configurent des unités au sein du réseau, il est possible que deux

VLAN avec deux significations différentes mais le même identifiant soient créés.

Pour définir le mode approprié du commutateur à base de commandes Cisco IOS, utilisez la commande suivante:

Les informations affichées par la commande show vtp status. Cette commande permet de vérifier les paramètres de configuration VTP sur un commutateur à base de commandes Cisco IOS.

La commande show vtp counters. Cette commande est utilisée pour afficher des statistiques sur les annonces envoyées et reçues sur le commutateur.

Par ailleurs, la configuration est relativement simple. Il faut dans un premier temps définir la version du protocole VTP utilisé, ainsi que le nom du domaine et un mot de passe pour ce domaine. Prenons l'exemple d'un 2960 qui sera serveur pour le domaine « génieinformatique » et dont le mot de passe sera « génieinformatique » :

Notre équipement est donc maintenant déclaré en tant que serveur VTP pour le domaine tel génieinformatique. La commande show vtp status permet de voir l'état de la configuration VTP d'un équipement :

VTP Version                     : 2
Configuration Revision          : 0
Maximum VLANs supported locally : 255
Number of existing VLANs        : 5
VTP Operating Mode              : Server
VTP Domain Name                 : génieinformatique
VTP Pruning Mode                : Disabled
VTP V2 Mode                     : Enabled
VTP Traps Generation            : Disabled
MD5 digest                      : 0×75 0×51 0xC7 0×36 0×64 0xC3 0xFA 0×48
Configuration last modified by 0.0.0.0 at 3-1-93 00:02:17
Local updater ID is 0.0.0.0 (no valid interface found)
Switch #

Enfin, nous pouvons activer le « pruning » qui permet de diminuer la bande passante utilisée par le protocole en supprimant la propagation des messages de broadcast, multicast et autres messages unicast sur les liens trunk.

Créons maintenant deux VLANs 20 et 30 ce qui nous indique le résultat suivant lors d'un show vlan

VLAN Name                             Status    Ports
--- --------------------- ------ ---------------------
1    default                          active    Fa0/1, Fa0/2, Fa0/3, Fa0/4
                                                Fa0/5, Fa0/6, Fa0/7, Fa0/8
                                                Fa0/9, Fa0/10, Fa0/11, Fa0/12
                                                Fa0/13, Fa0/14, Fa0/15, Fa0/16
                                                Fa0/17, Fa0/18, Fa0/19, Fa0/20
                                                Fa0/21, Fa0/22, Fa0/23, Fa0/24
                                                Gig1/1, Gig1/2
20   VLAN0020                         active
30   VLAN0030                         active
1002 fddi-default                     active
1003 token-ring-default               active
1004 fddinet-default                  active
1005 trnet-default                    active

Sur le switch client, il suffit de rentrer exactement les mêmes commandes que pour le serveur, excepté pour le pruning qui se déclare uniquement sur le serveur VTP et la commande vtp mode server qui devient donc vtp mode client. Les deux VLANs précédemment créées seront donc automatiquement propagés sur notre client VTP.

Le VTP revision number est en fait un nombre que le switch configuré en serveur VTP incrémente unitairement à chaque ajout ou suppression de VLAN. Lorsque le domaine VTP est modifié sur le serveur VTP, ce nombre est alors réinitialisé à 0. Il pourra alors se révéler utile de vérifier ce numéro de révision pour s'assurer qu'une modification effectuée sur un serveur VTP a bien été repercuté sur les clients VTP.

L'agrégation permet la définition de nombreux VLAN en ajoutant des étiquettes aux trames pour identifier le VLAN auquel elles appartiennent.

Le protocole VTP à été créé pour résoudre les problèmes de fonctionnement dans un réseau commuté comportant des VLAN.

Mai lorsqu'une station d'extrémité dans un VLAN doit communiquer avec une station d'extrémité d'un autre VLAN ; une communication entre VLAN est nécessaire ?

Mise en oeuvre par simulation d'une infrastructure réseau virtuel vlan

VIII-11 - La couche PHYSIQUE