3 VLANs - Virtuelle LANs

**Folie 32:** Warum VLANs
$\begin{figure} % latex2html id marker 2282 \resizebox {0.8\linewidth}{!}{\inc... ...phics[angle=270]{Folie\arabic{FolieMotivationfuervirtuelleNetze}}} \end{figure}$

Virtuelle Netze sind in aller Munde - welchen Vorteil bringt es, das aus der Betriebssystem schon bekannte Vorgehen der ``Virtualisierung'' auch auf Netzwerke zu übertragen?

Dazu sind die Anforderungen zu betrachten, die heute an Netzwerke gestellt werden. Folgende Punkte sind u.a. die Triebfeder für immer höhere Anforderungen, an größere und kleinere Netze:

Diese Anforderungen führen gerade im Management zu Problemen. Die alte ``80:20''-Regel (80% des Verkehrs sind lokal in einem LAN, nur 20% gehen darüber hinaus) gelten in Zeiten von WWW und Internet nicht mehr. Die Quellen für Daten ändern sich schnell, die physikalischen Strukturen sind nur mit großem Aufwand auch an die organisatorischen Umstrukturierungen anzupassen.

In diesem Teil soll die Virtualisierung speziell in dem Bereich der lokalen Netze betrachtet werden, den LANs. Das Ergebnis werden virtuelle LANs, sogenannte VLANs sein.

Um die oben genannten neuen Anforderungen in den Griff zu bekommen, wurde das Konzept der Virtualisierung, also der Entkopplung der physikalischen Strukturen und der logischen Strukturen, auf Netze übertragen. Konkret bedeutet dies, daß der physische Netzwerkzugang von den logischen Zugehörigkeiten zu einer Gruppe von Netzwerkbenutzern entkoppelt wird.

Die Technik der VLANs im Hinblick auf das Management kann von zwei Seiten betrachtet werden:

Vom Management her betrachtet bringt die Trennung der logischen von der physischen Konfiguration eine vom Prinzip her erhebliche Vereinfachung für den Betreiber von Netzen. LANs können flexibel und schnell über Software den aktuellen Gegebenheiten angepaßt werden, eine manuelle Änderung von Netzwerkkomponenten vor Ort ist nicht nötig. Damit kann flexibler und schneller auf Änderungswünsche reagiert werden. Dies kommt insbesondere in den Bereichen der Skalierbarkeit von Netzwerken und der höheren Sicherheit zugute.

VLANs als Technik bedürfen natürlich auch wieder eines Managements: VLANs müssen eingerichtet, verwaltet, konfiguriert und überwacht werden. Dazu sind Standards nötig, damit die Produkte verschiedener Hersteller zusammenarbeiten und diese dann von den üblichen Management-Plattformen überwacht werden können. Da, wie im Netzwerkbereich häufig, Standards die Tendenz dazu haben, sehr spät zu kommen, gibt es schon eine Vielzahl von properitären Lösungen mit properitären Management-Schnittstellen, die das Management nicht gerade einfacher machen.

Die Entwicklung von VLANs kann auch von folgender Perspektive gesehen werden. Die Anforderungen nach immer mehr Bandbreite wurde traditionell folgendermaßen gelöst: entweder man installierte eine schnellere Netztechnologie (wie z.B. Ersatz von Ethernet durch Fast Ethernet), oder der Datenverkehr wurde aufgeteilt auf immer kleinere LAN-Segmente. Beides ist nur begrenzt durchführbar, es stehen nicht unendlich schnelle Technologien zur Verfügung (teuer!), und die Aufteilung auf immer kleinere Segmente, die z.B jeweils ein eigenes Subnetz bilden, ist auch nur begrenzt möglich (Notwendigkeit von Routern, langsame Verbindung, Verschwendung von IP-Adressen). Durch den Einsatz von Switches konnten nun die LANs wieder größer werden (hohe Geschwindigkeit, kurze Verzögerungszeiten), jedoch andere Probleme entstanden, wie die nicht unbegrenzte Skalierbarkeit (Broadcasts, verwendete Protokolle, etc.). Hier kann die Entwicklung von VLANs nun weiterhelfen, in dem ein prinzipiell sehr großes Netz auf verwaltbare, übersichtliche und nach vernünftigen Kriterien zusammengestellte Subnetze, den VLANs, aufgeteilt wird.

Weitergehende Literatur: Die Literatur über Virtuelle Netze, insbesondere VLANs, ist noch recht begrenzt, es handelt sich um eine recht neue Technik. Folgende Dokumente sind als Einstieg zu empfehlen:

3.1.2 Was ist ein VLAN?

**Folie 33:** Definition von VLANs
$\begin{figure} % latex2html id marker 2301 \resizebox {0.8\linewidth}{!}{\includegraphics[angle=270]{Folie\arabic{FolieAlleswirdvirtuell}}} \end{figure}$

Um technisch zu verstehen, was ein Virtuelles LAN ist, ist es nötig, sich noch einmal zu vergegenwärtigen, was ein LAN ist. LANs sind Bereiche, die durch ein gemeinsames 'shared' Medium miteinander verbunden sind. Eine Nachricht, die eine Station innerhalb eines LANs ausgesendet wird, kann von allen an das LAN angeschlossenen Endgeräten empfangen und ggf. ausgewertet werden. LAN-Segmente können mittels Bridges miteinander verbunden sein, die entsprechende Nachrichten von einem LAN-Segment in ein anderes LAN-Segment weiterleiten.

Nachrichten, die von einem LAN in ein anderes LAN weitergeleitet werden sollen, müssen über einen Router gehen, die jetzt auf OSI-Ebene 3 die entsprechende Wegewahl vornehmen und die Nachricht entsprechend weiterleiten. Router sind aufwendiger als Bridges, da die Bestandteile einer Nachricht auf OSI-Ebene 3 verarbeitet werden müssen.

Bei VLANs wird nun die physikalische Sicht von der logischen Sicht getrennt. Grundlage für VLANs ist ein physikalisches Netz mit ``intelligenten'' Switchen, welches prinzipiell jedes Endgerät mit jedem anderen Endgerät verbinden kann. Durch eine entsprechende Konfiguration werden nun Nachrichten von einem Endgerät nur an die Endgeräte weitergeleitet, die in einem ``virtuellen'' LAN konfiguriert sind. Für diese Stationen sieht es also so aus, als würden sie ein gemeinsames Netz, ein LAN, bilden, obwohl das LAN nur eine Teilmenge des physisch vorhandenen Netzes benutzt. Damit werden Broadcasts auf eine sinnvolle Anzahl von Endsystemen begrenzt, sowie die Sicherheit erhöht, da keine Station mehr den Verkehr von anderen, der nicht für das LAN bestimmt ist, mitgehört werden kann.

3.1.3 Technische Rahmenbedingungen

**Folie 34:** Technische Rahmenbedingungen
$\begin{figure} % latex2html id marker 2312 \resizebox {0.8\linewidth}{!}{\includegraphics[angle=270]{Folie\arabic{FolieVLANsRahmenbedingungen}}} \end{figure}$

Der Begriff Switch ist hier etwas weiter gefaßt als im ATM-Bereich; gemeint ist, daß Nachrichten mittels interner Tabellen weitergeleitet werden. Diese Funktionalität kann teils durch Hardware, teils durch Software erbracht werden.

Wenn ein VLAN über einen Switch hinausgehen soll, müssen die Informationen über die Zugehörigkeiten der Pakete zu VLANs zwischen den Switchen ausgetauscht werden. Drei Verfahren sind dabei verbreitet:

Der regelmäßige Austausch von Adreßtabellen ist recht einfach zu implementieren, allerdings leider auch recht aufwendig. In großen Netzen kommt es recht schnell zu Synchronisations- und Überlastproblemen, wenn Switche regelmäßig, z.B. jede Minute, die kompletten Tabellen untereinander austauschen. Da Tabellen leicht 1000 Byte ausmachen können, ist leicht auszumalen, was hier an zusätzlichem Datenverkehr dazukommt.

Beim Frame Tagging wird direkt, wenn ein Paket zum ersten Switch gelangt, ein kurzes Datenfeld, das sogenannte ``Tag'' vorangestellt, welches beschreibt, zu welchem VLAN das Paket gehört. Dieses Verfahren hat auch wieder den Nachteil, die Last deutlich zu erhöhen, da jedes Paket mit dem Tag versehen werden muß. Problematisch ist weiterhin, wenn ein Paket bereits die maximal zulässige Länge hatte, da dann das Hinzufügen des Tags die Vorgaben des MAC-Protokolls verletzen und schließlich dazu führen würde, daß das Paket als fehlerhaft betrachtet und verworfen würde. Ein Ausweg sind hier nur herstellerspezifische Erweiterungen, die aber alle insgesamt properitär sind.

Der dritte und langsamste Ansatz, das Zeitmultiplexing, teilt die verfügbare Bandbreite auf feste Zeitslots auf. Damit erhält jedes virtuelle LAN exklusiv einen oder mehrere dieser Zeitslots zur Übertragung der Daten. Damit muß jedem Switch nur noch mitgeteilt werden, welcher Zeitslot zu welchem VLAN gehört. Damit werden sowohl die Overheads bei den einzelnen Paketen, sowie die Inkompatibilitätsprobleme vermieden, doch insgesamt wird die Bandbreite üblicherweise nur unvollständig ausgenutzt. Hier ist der Netzwerkadministrator dann gefragt, die Zuteilung der Zeitslots optimal, je nach Bedarf, zu vergeben.

3.2 Technik

3.2.1 Technische Realisierungen für VLANs

**Folie 35:** Technische Realisierungen für VLANs
$\begin{figure} % latex2html id marker 2323 \resizebox {0.8\linewidth}{!}{\inc... ...[angle=270]{Folie\arabic{FolieTechnischeRealisierungenfuerVLANs}}} \end{figure}$

Für die Realisierung von VLANs gibt es mehrere Möglichkeiten, jeweils mit eigenen Vor- und Nachteilen.

In der Folge werden nun die ersten vier Möglichkeiten ausführlicher vorgestellt.

3.2.2 Schicht 1 VLANs

**Folie 36:** Schicht 1 VLANs
$\begin{figure} % latex2html id marker 2334 \resizebox {0.8\linewidth}{!}{\includegraphics[angle=270]{Folie\arabic{SchichtaVLANs}}} \end{figure}$

Schicht 1 VLANs sind die älteste und einfachste Form der Realisierung von VLANs. Ursprünglich aus der Idee von Intelligenten Hubs kommend, können verschiedene Ports zu einer Broadcast-Domain zusammengefaßt werden. Sehr gut nachvollziehbar sind die Zuordnung der Stationen zu den einzelnen VLANs. Bei Bedarf muß man lediglich nachsehen, an welchem Port eine Station angeschlossen ist. Die Sicherheit ist hoch, da Verkehr wirklich nur an die an einem VLAN Beteiligten geht, alle Broadcasts sind nur am VLAN beteiligten Endgeräten empfangbar. Fehler können fast so einfach wie bei traditionellen LANs gesucht und gefunden werden.

Nachteil ist, daß pro Port nur ein VLAN unterstützt werden kann. Falls Endgeräte in zwei unterschiedlichen VLANs kommunizieren wollen, müssen sie dies über einen Router tun, der Geld kostet, zwei Ports benötigt und auch noch zu konfigurieren ist. Die ``Sparversion'' ist die Verwendung von mehreren Netzwerkkarten an den Endgeräten, die mit mehreren VLANs kommunizieren wollen. Der Multicast-Support ist gering, jede Nachricht wird an alle Teilnehmer eines VLANs gesendet. Wenn ein Benutzer umzieht, müssen noch wirklich Kabel umgesteckt werden. Also ist diese Lösung noch nicht sonderlich flexibel.

3.2.3 Schicht 2 VLANs

**Folie 37:** Schicht 2 VLANs
$\begin{figure} % latex2html id marker 2345 \resizebox {0.8\linewidth}{!}{\includegraphics[angle=270]{Folie\arabic{SchichtbVLANs}}} \end{figure}$

Bei Schicht-2-VLANs dienen MAC-Adressen innerhalb der Pakete als Zugehörigkeitsmerkmal zu einem VLAN. Wenn also ein Benutzer umzieht, bemerkt dieses der Switch und paßt automatisch seine Adreßtabellen an, eine manuelle Umkonfiguration entfällt. Positiv ist ebenfalls, daß mehrere Endgeräte an einem Port zu verschiedenen VLANs gehören können. Allerdings ist dadurch die Sicherheit ggf. niedriger, da Endgeräte anderer VLANs einen Teil des Verkehrs des VLANs mithören können. Des weiteren unterstützen nicht alle höheren Protokolle mehrere VLANs pro Segment, da höhere Protokolle, wie z.B. IP, davon ausgehen, daß alle Stationen an einem Segment die gleiche Netzwerkadresse haben, was hier ja nicht mehr unbedingt zutreffen muß. Es gibt Switche, die aus diesem Grund automatisch die Netzwerkadresse entsprechend anpassen, um die sonstige ``Kastration'' auf einen Schicht-1-VLAN zu umgehen. Positiv ist auch, daß Verkehr nicht mehr an alle an einem VLAN beteiligten Geräte gesendet werden muß, da ja die MAC-Adresse eindeutig ist.

Für das Management problematisch kann das Umgehen mit MAC-Adressen sein. Falls ein Switch keine Auto-Konfiguration unterstützt, ist das Eingeben der MAC-Adressen in die Adreßtabellen des Switches ein sehr mühseliger und fehleranfälliger Vorgang. Des weiteren ist die Zuordnung von Endgeräten zu VLANs deutlich schwieriger als bei Schicht-1-VLANs, da erst die MAC-Adresse in einer Tabelle gesucht werden muß; die Portnummer am Switch ist ja uninteressant geworden. Verschiedene Schicht-2-VLANs benötigen ebenfalls einen Router, um miteinander kommunizieren zu können; mit den gleichen Nachteilen wie bei Schicht-1-VLANs.

3.2.4 Schicht 3 VLANs

**Folie 38:** Schicht 3 VLANs
$\begin{figure} % latex2html id marker 2356 \resizebox {0.8\linewidth}{!}{\includegraphics[angle=270]{Folie\arabic{SchichtcVLANs}}} \end{figure}$

Bei Schicht-3-VLANs dienen die Schicht-3-Adressen, also z.B. die IP-Adresse, um die Zugehörigkeit zu einem VLAN zu bestimmen. Hier gehören nicht mehr Endgeräte zu einem VLAN, sondern nur noch Pakete.

Der Hauptvorteil von Schicht-3-VLANs ist, daß direkte Kommunikation zwischen verschiedenen Endgeräten verschiedener VLANs unterstützt wird, und dies ohne zusätzliche teure Router. Dies wird natürlich mit erhöhten Verarbeitungskosten in den Switches bezahlt, da ja nun mehr Informationen eines Datenpaketes auszuwerten sind. Die Konfiguration ist einfacher als bei Schicht-2-VLANs, da das umständliche Hantieren mit MAC-Adressen entfällt. Interessant ist die Möglichkeit, pro Schicht-3-Protokoll ein eigenes VLAN zu definieren, also z.B. ein eigenes VLAN für IPX, eins für AppleTalk, eins für IP, etc. Ebenfalls positiv ist der effiziente Multicast-Support, da ja dem Switch klar ist, welche Endgeräte gemeint sind.

3.2.5 Regelbasierte VLANs

**Folie 39:** Regelbasierte VLANs
$\begin{figure} % latex2html id marker 2367 \resizebox {0.8\linewidth}{!}{\includegraphics[angle=270]{Folie\arabic{SchichtdVLANs}}} \end{figure}$

Das Non plus ultra an Flexibilität sind die regelbasierten VLANs. Durch die Erstellung von Regeln lassen sich VLANs ganz einfach anhand von Port-Nummern, MAC-Adressen, Protokollen und Teile von Schicht-3-Protokollen definieren. Eine Möglichkeit wäre z.B. ein VLAN zu definieren, in dem alle Stationen enthalten sind, deren Netzwerkkarten von einer speziellen Firma sind, das IP Protokoll benutzen und zu einem speziellen IP-Subnetz gehören. Die Möglichkeiten sind hier unbeschränkt, die Konfiguration erinnert an die Konfiguration von Firewalls.

Natürlich wird dieser ``Luxus'' durch die Abarbeitung der Regeln in den Switches für jedes Paket bezahlt, was tatsächlich zu Performance-Einbußen führen kann, wenn die Switches nicht leistungsfähig genug sind. Die Konfiguration kann zu einem Geduldsspiel führen, es muß dem Administrator nicht immer klar sein, welches Bit er wo in welche Regel einbeziehen muß, um einen gewünschten Effekt zu erzielen. Die Zuordnung von Endgeräten zu VLANs ist nicht mehr leicht.

3.3 Management

**Folie 40:** Management von VLANs
$\begin{figure} % latex2html id marker 2378 \resizebox {0.8\linewidth}{!}{\includegraphics[angle=270]{Folie\arabic{FolieManagementVLANsI}}} \end{figure}$

Nun soll der Einfluß von VLANs auf Managementaspekte untersucht werden. Es gibt u.a. folgende Auswirkungen:

Problematisch beim Einsatz vorhandener Management-Werkzeuge ist die Trennung von phyischen und logischen Strukturen, da dieses noch nicht unterstützt wird. Der bekannte Managementspruch Was man nicht sehen kann, kann man nich managen findet hier noch seine Berechtigung. Langfristig sind hier erweiterte MIBs zu standardisieren, und die Managementwerkzeuge entsprechend anzupassen.

**Folie 41:** Management von VLANs
$\begin{figure} % latex2html id marker 2389 \resizebox {0.8\linewidth}{!}{\includegraphics[angle=270]{Folie\arabic{FolieManagementVLANsII}}} \end{figure}$

Insgesamt kann man sagen, daß der Einsatz von VLANs sehr von den Bedürfnissen und Wünschen abhängt. Auf diese Bedürfnisse muß sowohl die zum Einsatz kommende Technik, als auch der richtige VLAN-Typ gewählt werden. Das Nichtvorhandensein von Standards erschwert im Moment den Einsatz von VLANs über größere Gruppen hinweg, zumindest in einer heterogenen Umgebung. Der zusätzliche Level an Indirektheit ist nicht immer positiv, er erschwert die Fehlersuche und ist auch noch kaum durch gängige Management-Plattformen unterstützt. Hier ist man auf die Unterstützung des Herstellers angewiesen, dessen Switche man benutzt. Interessant wird auch, wie vorhandene Switche und Router entweder nachgerüstet oder anderswie eingebettet werden. Es ist kaum zu erwarten, daß von heute auf morgen nur VLAN-fähige Geräte innerhalb eines Netzes zur Verfügung stehen. Ein anderes Problem ist der Einsatz der üblichen Spanning-Tree-Protokolle. Diese müssen an das Vorhandensein von VLANs angepaßt werden; außerdem skalieren sie nicht unbedingt für große, geswitchte Netzwerke. Insgesamt erhöht der Einsatz von VLANs den Bedarf an Bandbreite in den Backbones, da nun die Netzlast, die innerhalb eines traditionellen Segments vorhanden war, oft über das Backbone geswitcht werden müssen, zumindest wenn die Vorteile von VLANs mit Umzügen und wechselnden Zugehörigkeiten zu VLANS ausgenutzt werden. Des weiteren ist zu beachten, daß auch die Größe eines VLANs begrenzt ist, einerseits durch den immer noch vorhandenen Broadcast-Verkehr, andererseits haben auch Switche eine Verzögerungszeit.

3.4 Aktuelle Standards

**Folie 42:** Der Standard IEEE 802.1Q
$\begin{figure} % latex2html id marker 2400 \resizebox {0.8\linewidth}{!}{\includegraphics[angle=270]{Folie\arabic{FolieStandardIEEEQ}}} \end{figure}$

Wie schon erwähnt, ist ein Hauptproblem für den Einsatz von VLANs die fehlende Standardisierung. Ein Ansatz, der versucht, möglichst viele Interoperabilitätsprobleme zu vermeiden, kommt vom IEEE: der Standard IEEE 802.1Q. Er befindet sich im Moment im Draft-Status, der endgültige Standard wird Mai 1998 erwartet.

Die Eckwerte, die sich wahrscheinlich nicht mehr ändern, sind auf der Folie dargestellt.

Ein anderer Quasi-Standard, das Inter-Switch Link Protokoll, kommt von Cisco. Da die Marktmacht von Cisco im Switching-Bereich nicht unwesentlich ist, ist es wahrscheinlich, daß der Cisco-Standard uns die nächsten Jahre noch begleiten wird.

Wer heute einen funktionierenden Standard für VLANs einsetzen will, hat tatsächlich dazu die Möglichkeit, und zwar durch den Einsatz von ATM mit der LAN Emulation, der tatsächlich herstellerübergreifenden Einsatz von VLANs ermöglicht.

3.5 Zusammenfassung VLANs

**Folie 43:** Zusammenfassung VLANs
$\begin{figure} % latex2html id marker 2414 \resizebox {0.8\linewidth}{!}{\includegraphics[angle=270]{Folie\arabic{FolieZusammenfassungVLANs}}} \end{figure}$

Was sind also die Vorteile von VLANs zusammengefaßt? Die Trennung zwischen logischen und physischen LANs ist nur ein logischer Schritt, der, richtig eingesetzt, sowohl die Administration, als auch die Skalierbarkeit vorhandener Netzwerke deutlich verbessert. Verschiedene VLAN-Typen haben verschiedene Vor- und Nachteile, die sorgsam gegeneinander abzuwägen sind. Problematisch ist die Standardisierung, ein Hoffnungsschimmer ist der Standard IEEE 802.1Q. Die vorhandenen Bandbreiten (Netzwerkkarten) können zusammen mit der Switching-Technologie deutlich besser ausgenutzt werden. Damit kann auf absehbare Zeit der Bedarf an Bandbreite auch für Multimedia-Applikationen gedeckt werden. Ein nicht unwesentlicher Faktor, die Sicherheit, spielt für viele Unternehmen eine wichtige Rolle für die Nutzung von VLANs, der Verkehr anderer VLANs kann, je nach VLAN-Typ und Anschlußart, gar nicht mehr von anderen Endgeräten mitgehört werden. Die sich aus VLANs ergebenden Management-Anforderungen sind bisher noch relativ unklar, standardisierte Lösungen gibt es noch nicht.