Warum VLAN?

[SnoopDog]

Hallo!
Mit der IP-Adresse und der Subnetmask hat man bereits die Möglichkeit, mehrere PC`s (die sich im gleichen physikalischen Netzwerk befinden) in Teilnetze aufzuteilen.
Warum also VLAN? Was kann VLAN, was IP+Subnetmask nicht kann?
Unter Wiki habe ich die Antwort leider nicht gefunden.
Vielen Dank für Eure Unterstützung.
SnoopDog

[Christoph Jeschke]

Guten Tag,

Mit der IP-Adresse und der Subnetmask hat man bereits die Möglichkeit, mehrere
PC`s (die sich im gleichen physikalischen Netzwerk befinden) in Teilnetze
aufzuteilen.
Warum also VLAN? Was kann VLAN, was IP+Subnetmask nicht kann?
Unter Wiki habe ich die Antwort leider nicht gefunden.

Meinst du damit die Wikipedia? Wenn ja, dann solltest du den Eintrag einfach noch mal lesen, vor allem den Abschitt "Gründe und Vorteile".

Gruß
Christoph Jeschke

[SnoopDog]

Meinst du damit die Wikipedia? Wenn ja, dann solltest du den Eintrag einfach noch mal lesen, vor allem den Abschitt "Gründe und Vorteile".

Gruß
Christoph Jeschke

Zunächst einmal Danke für die schnelle Antwort.
Nun, ich habe mir den Abschnitt "Gründe und Vorteile" durchgelesen. Hierzu noch ein paar Bemerkungen:

Vorteil 1: Performance-Aspekte: So kann zum Beispiel ein bestimmter Datenverkehr, zum Beispiel VoIP, in ein VLAN gebunden werden und dieses VLAN bei der Übertragung priorisiert werden.

Heisst das nun, dass ich einem PC mehrere VLAN`s zuweisen kann?
Was ist mit "bestimmter Datenverkehr" gemeint? Kann ich einzelne Anwendungen (FTP, HTTP, POP, usw.) eine eigene VLAN zuordnen?

Vorteil 2: Häufig möchte man aber auch einfach nur Broadcast-Domänen verkleinern, so dass sich ein Broadcast nicht über das gesamte Netz ausbreitet.

Frage: kann ich diesen Vorteil nicht auch mit IP+Subnetmask erreichen?

Vorteil 3: Sicherheitsaspekte: Geswitchte Netze sind als unsicher anzusehen, denn für sie existieren eine Vielzahl von Angriffsmöglichkeiten, wie zum Beispiel ARP-Spoofing.

Frage: ist ARP-Spoofing auch dann möglich, wenn ich keine Switche, sondern nur Router einsetze?

[Christoph Jeschke]

Guten Tag,

Heisst das nun, dass ich einem PC mehrere VLAN`s zuweisen kann?

Du kannst einem (physikalischen) Port ein VLAN zuordnen.

Was ist mit "bestimmter Datenverkehr" gemeint? Kann ich einzelne Anwendungen
(FTP, HTTP, POP, usw.) eine eigene VLAN zuordnen?

Stichphrase: Quality of Service in IP-Netzen.

Frage: kann ich diesen Vorteil nicht auch mit IP+Subnetmask erreichen?

Dann müsstest du jedem Client eine eigene IP-Adresse in einem eigenen Subnetz geben. Nicht sehr ökonomisch.

Frage: ist ARP-Spoofing auch dann möglich, wenn ich keine Switche, sondern nur
Router einsetze?

ARP-Spoofing ist immer dann möglich, wenn ARP eingesetzt wird. Da ARP benötigt wird, um eine IP-Adresse gegen eine MAC-Adresse aufzulösen und der Router auch eine MAC- und IP-Adresse hat ... kannst du dir die Antwort vielleicht denken.

Gruß
Christoph Jeschke

[Sven Rautenberg]

Moin!

Nun, ich habe mir den Abschnitt "Gründe und Vorteile" durchgelesen. Hierzu noch ein paar Bemerkungen:

Vorteil 1: Performance-Aspekte: So kann zum Beispiel ein bestimmter Datenverkehr, zum Beispiel VoIP, in ein VLAN gebunden werden und dieses VLAN bei der Übertragung priorisiert werden.

Heisst das nun, dass ich einem PC mehrere VLAN`s zuweisen kann?

Kann man machen.

Was ist mit "bestimmter Datenverkehr" gemeint? Kann ich einzelne Anwendungen (FTP, HTTP, POP, usw.) eine eigene VLAN zuordnen?

Alles, was sich netzwerktechnisch eindeutig identifizieren läßt, läßt sich auf Seiten des Switches auch in ein VLAN einsortieren, wenn der das denn grundsätzlich kann.

Für kleine Netzwerke sind diese Optionen aber allesamt eher uninteressant.

Vorteil 2: Häufig möchte man aber auch einfach nur Broadcast-Domänen verkleinern, so dass sich ein Broadcast nicht über das gesamte Netz ausbreitet.

Frage: kann ich diesen Vorteil nicht auch mit IP+Subnetmask erreichen?

Ja. Und? Warum was Halbgares nutzen, wenn man VLANs haben kann?

Vorteil 3: Sicherheitsaspekte: Geswitchte Netze sind als unsicher anzusehen, denn für sie existieren eine Vielzahl von Angriffsmöglichkeiten, wie zum Beispiel ARP-Spoofing.

Frage: ist ARP-Spoofing auch dann möglich, wenn ich keine Switche, sondern nur Router einsetze?

Wie willst du denn mehr als einen Rechner an einen Router anschließen ohne Switch?

- Sven Rautenberg

[Snoopdog]

Wie willst du denn mehr als einen Rechner an einen Router anschließen ohne Switch?

Es gibt doch auch Router mit mehreren Ports ....
Oder arbeitet der Router in diesem Fall intern IMMER als Switch?

[Der Martin]

Hallo,

»» Wie willst du denn mehr als einen Rechner an einen Router anschließen ohne Switch?
Es gibt doch auch Router mit mehreren Ports ....
Oder arbeitet der Router in diesem Fall intern IMMER als Switch?

nein, dann ist es genaugenommen ein Kombigerät, das intern aus einem Router und einem Switch besteht.
Ich weiß, diese typischen DSL-Router werden immer nur als Router angepriesen, das ist aber meist nicht ganz korrekt.

So long,
 Martin

[Erwin]

Hi,

»» Es gibt doch auch Router mit mehreren Ports ....
nein, dann ist es genaugenommen ein Kombigerät, das intern aus einem
Router und einem Switch besteht.

Falsch, ein Router hat immer mind. 2 Ports!

SCNR,
  Erwin :-)

[Der Martin]

Hi Erwin,

»» »» Es gibt doch auch Router mit mehreren Ports ....
»» nein, dann ist es genaugenommen ein Kombigerät, das intern aus einem Router und einem Switch besteht.
Falsch, ein Router hat immer mind. 2 Ports!

in der Regel ja, aber nicht notwendigerweise. Ein Router kann auch zwischen zwei logischen Netzwerken routen, die dasselbe physikalische Leitungsnetz verwenden. Dann braucht er nur einen Port, dem je eine IP-Adresse in beiden logischen Netzen zugeordnet wird.

SCNR,

scnr, too
 Martin

[hotti]

hi Martin,

in der Regel ja, aber nicht notwendigerweise. Ein Router kann auch zwischen zwei logischen Netzwerken routen, die dasselbe physikalische Leitungsnetz verwenden. Dann braucht er nur einen Port, dem je eine IP-Adresse in beiden logischen Netzen zugeordnet wird.

Genau! Und damit sind wir beim Routing zwischen VLANs, Stichwort: Router on a stick. Auf dem Switch, wo die VLANs konfiguriert sind, gibt es einen Port, der alle VLANs erreicht, das ist ein Trunk-Port auf dem ge-taggte Frames laufen. Das Tagging stempelt jeden Frame mit der Nummer des VLANs, mal vereinfacht gesagt. Somit kann ein Router am TrunkPort die VLANs auseinanderhalten. Der Router hat hier nur ein physisches Interface, jedoch: in der Routerkonfiguration sind für dieses Interface den VLANs entsprechende Subinterfaces konfiguriert, hier haben wir die Zuordnung, das Interface sei Fa0:

VLAM1 => Fa0.1
VLAN2 => Fa0.2 usw.

Verständlicherweise wird am TrunkPort die Bandbreite durch die Anzahl der VLANs geteilt, aber dafür brauchts nur einen einzigen Port am Switch!

Praktisch gibts für Sowas die sogenannten Layer-3-Switch. Das sind Switche mit Routerfunktion, die mit speziellen Schaltkreisen, ASICs bestückt sind. Ansonsten können beim VLAN-Routing auf Layer 3 genauso ACLs (Access Control List) zum Einsatz kommen wie auf anderen Routern. Z.B. um neben der logischen Trennung von LANs auch die Benutzung von Anwendungen zu regeln (Webserver, DB-Server, Internet...).

Hotte

[hotti]

hi,

Frage: kann ich diesen Vorteil nicht auch mit IP+Subnetmask erreichen?

??? Du hast ein Privates Netz, z.B. 192.168/16 Mit Variable Length Subnet Mask erzeugtst Du die Subnetze und richtest damit auf dem Switch VLANs ein.

Vorteil 3: Sicherheitsaspekte: Geswitchte Netze sind als unsicher anzusehen, denn für sie existieren eine Vielzahl von Angriffsmöglichkeiten, wie zum Beispiel ARP-Spoofing.

Dagegen gibt es die Port-Security (switch).

Frage: ist ARP-Spoofing auch dann möglich, wenn ich keine Switche, sondern nur Router einsetze?

Betrachte das OSI-Schichten-Modell. Router tun auf Layer 3, Switche auf Layer 2. Im L3 trennst Du Netze und Broadcast auf IP-Ebene. Im L2 trennst Du Netze virtuell und den Broadcast auf dem physical Layer (ARP, MAC).

Hotte