REDES LOCALES VIRTUALES (VLANs) Redes LANs compartidas (Shared LANs). Características:

• La configuración de una LAN está determinada por la infraestructura física que interconecta • Los usuarios se agrupan basados en su ubicación respecto a su Hub de conexión y a como este

alambrado el closet principal de interconexiones. • La segmentación se genera típicamente mediante ruteadores que interconectan los Hubs

compartidos. Consecuencias:

• Este tipo de segmentación no agrupa a los usuarios de acuerdo al grupo de trabajo al que pertenecen o por las necesidades de ancho de banda, ya que por razones de ubicación física, por ejemplo los usuarios del departamento de ingeniería pueden estar conectados al mismo Hub que los usuarios del departamento de administración.

• De esta forma usuarios con diferentes requerimientos de ancho de banda comparten un mismo segmento.

• Además, esta segmentación implica que cada Hub que está conectado a una puerta de un ruteador tiene una dirección de subred diferente. Esto impide una asignación lógica de direcciones de red, generando problemas de seguridad.

Redes LAN conmutadas (Switched LANs). Los problemas asociados a las redes compartidas y la emergencia de switches han originado el reemplazo de la configuración tradicional de LAN por la configuración LAN conmutada Características:

• Switches reemplazan los Hubs principales ubicados en el gabinete de comunicaciones. • Se generan VLAN para proveer la segmentación tradicionalmente provista por ruteadores. La

Figura 1-1 muestra la diferencia entre segmentación tradicional y usando VLANs.

Figura 1-1: Segmentación tradicional de LANs y mediante VLANconmutadas (nm752)

Características de una VLAN

• El núcleo de una VLAN es un Switch • Una VLAN es una red conmutada que está lógicamente segmentada en base a funciones

(trabajadores de un mismo departamento), grupos de proyectos o usuarios compartiendo la misma aplicación, sin importar la ubicación física de los usuarios.

• Por ejemplo, cada puerta del switch puede asignarse a una VLAN. Las puertas que no

pertenecen a esa VLAN no comparten los broadcast. Esto mejora el comportamiento global de la red.

• La comunicación entre VLANs es provista a través de ruteo de capa 3. • Agrupando puertas y usuarios a través de múltiples switches, la VLAN puede cubrir un edificio

completo, interconectar edificios, o aun redes WAN (ver Figura 1-2)

Figura 1-2: Redes definidas logicamente (VLANs) (nm747)

Switches, el núcleo de las VLANs Los switches proveen las siguientes propiedades:

• La inteligencia para realizar filtrado y decisiones de retransmisión de paquetes, basado en métricas de la VLAN definidas por el usuario.

• La habilidad de comunicar información a otros switches o routers en la red. • En la actualidad, los switches son ubicados entre los segmentos compartidos y los ruteadores

ubicados en el backbone. En el futro, desempeñaran un rol importante en la segmentación de VLANs y baja latencia de retransmisión.

El rol del Ruteador • El rol de ruteador cambia desde el rol tradicional de proveer cortafuegos y supresión de broadcast a un

control basado en políticas, administración de broadcast y procesamiento/distribución de rutas. • Los ruteadores siguen siendo vitales para las arquitecturas conmutadas configuradas como VLANs ya

que ellos proveen la comunicación entre grupos de trabajo definidos lógicamente. • Los ruteadores proveen acceso de la VLAN a recursos compartidos tales como servidores o

computadores centrales. • Ellos también proveen la conectividad a otras partes de la red que están lógicamente segmentadas con

el esquema más convencional de subredes o permiten el acceso a sitios remotos a través de enlaces WAN.

• La comunicación a nivel de la capa 3, ya sea incorporada en el switch o provista externamente, es una

parte integral de cualquier arquitectura conmutada de alto rendimiento. • Los ruteadores externos se pueden integrar en la arquitectura conmutada con una o múltiples conexiones

backbone de alta velocidad (FDDI, Fast Ethernet o ATM). Esta conexiones proveen las siguientes ventajas:

• Un mayor troughput entre switches y ruteadores • Consolidación de un mayor número total de puertas físicas de ruteo para

comunicación entre VLANs Beneficios de VLANs • Reducción de costos de administración relacionados con movimiento, adición o cambios de usuarios. • Seguridad de la red y grupos de trabajo. • Actividad de broadcast controlada. • Reutilización de inversión existente en Hubs. • Administración y control centralizado. Reducción de costos de administración Las compañías continuamente deben reorganizarse para tratar de aumentar la productividad. Por ejemplo, en USA cada año 20 a 40% de la fuerza de trabajo es físicamente reubicada. Estos movimientos, adiciones y cambios son uno de los grandes costos de administración de una red. Muchos de ellos requieren recableado, Casi todos los movimientos requieren nueva dirección y reconfiguración de Hub o Router. Una VLAN permite compartir la dirección de red sin importar la ubicación física, siempre que su conexión se mantenga a la misma puerta del switch o que la puerta a que esté conectado (directa o indirectamente) se incorpore a la VLAN en cuestión. Esta situación se muestra en la Fig. 1-3, la cual no requiere ningún cambio de configuración física ni del ruteador.

Figura 1-3: Simplificación de los movimientos de usuarios utilizando VLANs (nm753)

Control de la actividad de bradcast. El tráfico broadcast ocurre en toda red y depende de los siguientes factores:

• Tipo de aplicaciones • Tipo de servidores • Cantidad de segmentación lógica • Uso de los recursos de la red.

• A pesar de que las aplicaciones se hallan optimizado para minimizar el número de broadcast, las

aplicaciones multimedia actuales son intensivas en bradcast o multicast. • Los broadcast pueden ser generados también por dispositivos de red o interfaces de red defectuosas. • Si no se administran adecuadamente, pueden degradar seriamente el rendimiento de una red completa o

incluso dejarlo no funcional. • La medida más efectiva contra este problema es segmentar la red adecuadamente incluyendo

cortafuegos de protección, provistos usualmente por un ruteador. • Por ello se debe considerar que al segmentar un red mediante switches, se pierde el efecto protector de

los ruteadores. • Pero, al igual que los ruteadores, las VLAN permiten establecer cortafuegos. Estos se pueden crear

asignando puertas o usuarios a grupos VLAN específicos ubicados en un mismo switch o múltiples switches interconectados. El VLAN no deja salir el tráfico broadcast fuera de su dominio (ver Fig. 1-4.)

Figura 1-4: Administrando la actividad broadcast mediante VLAs (nm754)

Mejor Seguridad de la Red Una desventaja inherente de una red compartida es que puede ser accedida fácilmente, al conectarse en una puerta cualquiera que esté disponible. Mientras más grande el dominio de broadcast, más vulnerable será la red. Por ello, una medida simple de aumentar la seguridad es segmentar la red en distintos dominios de broadcast, lo cual permite:

• Reducir el número de usuarios en una VLAN • Impedir que un usuario de una VLAN diferente se conecte a otra VLAN • Configurar todas las puertas no utilizadas a una VLAN de bajos privilegios.

Se puede asegurar seguridad adicional usando listas de acceso en el ruteador. (Ver Fig. 1-5)

Figura 1-5: Incrementando la seguridad de redes con VLANs (nm755)

1.- Definición Redes Virtuales. Existen cuatro métodos principales de definición de pertenencia a VLAN:

- VLAN por puerto - VLAN por dirección MAC - VLAN por filtro - ELAN o red emulada.

1.1.- VLAN por puerto Cada puerto del conmutador (switch) puede asociarse a una VLAN Ventajas:

Facilidad de movimientos y cambios: Un movimiento supone que la estación cambia de ubicación física, pero sigue perteneciendo a la misma VLAN. Requiere reconfiguración del puerto al que se conecta la estación, salvo si se utilizan técnicas de asignación dinámica a VLAN. Un cambio implica pertenencia a una nueva VLAN sin movimiento físico. El puerto del SWITCH ha de configurarse como perteneciente la nueva VLAN y la estación puede precisar reconfiguración de la estación no será necesaria si la subred (IP, IPX, etc.) a la que pertenece está totalmente contenida en la VLAN. Cualquier operación de añadir, mover o cambiar un usuario se traduce normalmente en la reconfiguración de un puerto y algunas aplicaciones gráficas de gestión de VLANs automatizan totalmente está reasignación. Microsegmentación y reducción del dominio de broadcast: Aunque los switch permiten dividir la red en pequeños segmentos, el tráfico broadcast sigue afectando el rendimiento de las estaciones y se precisan routers o VLANs para aislar los dominios de broadcast. La definición de VLAN por puerto implica que el tráfico broadcast de una VLAN no afecta a las estaciones en el resto de las VLANs, puesto que es siempre interno a la VLAN en la que se origina. Multiprotocolo: La definición de VLAN por puerto es totalmente independiente del protocolo o protocolos utilizados en las estaciones. No existen pues limitaciones para protocolos de uso poco común como VINES, OSI, etc. o protocolos dinámicos como DHCP.

Desventajas:

Administración: Los movimientos y cambios implican normalmente una reasignación del puerto del switch a la VLAN a la que pertenece el usuario. Aunque las aplicaciones de gestión facilitan esta tarea es recomendable combinar dichas aplicaciones con mecanismos de asignación dinámica de VLAN de forma que se asignan los puertos a la VLAN en función de la dirección MAC o de otros criterios como la dirección de nivel 3.

1.2.- VLAN por dirección MAC La relación de pertenencia a la VLAN se basa en la dirección MAC. Ventajas:

Facilidad de movimientos: Las estaciones pueden moverse a cualquier ubicación física perteneciendo siempre a la misma VLAN sin que se necesite ninguna reconfiguración del switch. Multiprotocolo: No presenta ningún problema de compatibilidad con los diversos protocolos y soporta incluso la utilización de protocolos dinámicos tipo DHCP.

Desventajas:

Problemas de rendimiento y control de broadcast: Este método de definición de VLAN implica que en cada puerto del switch coexisten miembros de distintas VLANs (se evita el problema si se utilizan puertos dedicados a estaciones pues cada puerto pertenecerá a una única VLAN) por lo que cualquier tráfico broadcast afecta al rendimiento de todas las estaciones. El tráfico multicast y broadcast se propaga por todas las VLANs. Complejidad en la administración: Todos los usuarios deben configurarse inicialmente en una VLAN. El administrador de la red introduce de forma manual, en la mayoría de los casos, todas las direcciones MAC de la red en algún tipo de base de datos. Cualquier cambio o nuevo usuario requiere modificación de base de datos. Todo ello puede complicarse extremadamente con redes con un gran número de usuarios o switches. Existen soluciones alternativas para automatizar esta definición y normalmente se utiliza un servidor de configuración de forma que las direcciones MAC se copian de las tablas de direcciones de los switches a la base de datos del servidor. La

asignación dinámica de VLAN basándose en direcciones MAC es también posible, aunque su implementación puede ser muy compleja.

1.3.- VLAN por filtros La asignación a las VLANs se basa en información de protocolos de red (por ejemplo dirección IP o dirección IPX y tipo de encapsulamiento). La pertenencia a la VLAN se basa en la utilización de unos filtros que se aplican a las tramas para determinar su relación de pertenencia a la VLAN. Los filtros han de aplicarse por cada trama que entre por uno de los puertos del switch. Ventajas:

Segmentación por protocolo: es el método apropiado sólo en aquellas redes en las que el criterio de agrupación de usuarios esté basado en tipo de protocolo de nivel 3 y la segmentación física existente sea muy diferente a los patrones de direccionamiento. Asignación dinámica: tanto la definición de VLANs por dirección MAC como por protocolo de nivel 3 ayudan a automatizar la configuración del puerto del switch en una VLAN determinada.

Desventajas:

Problemas de rendimiento y control de broadcast: La utilización de las VLANs de nivel 3 requiere complejas búsquedas en tablas de pertenencia que afectan al rendimiento global de switch. Los retardos de transmisión pueden aumentar entre un 50% y un 80%. El problema de control de broadcast surge con las estaciones multiprotocolo o sistema de multistack (por ejemplo estaciones con stacks TCP/IP, IPX y AppleTalk) que pertenecen a tantas VLANs como protocolos utilizan y por lo tanto recibirán todos los broadcast provenientes de las diversas VLANs en las que están incluidas. No soporta protocolos de nivel 2 ni protocolos dinámicos: La estación necesita una dirección de nivel 3 para que el switch la asigne a una VLAN. Las estaciones que utilicen protocolos de nivel 2 como NETBIOS y LAT no podrán asignarse a una VLAN. Si existen protocolos dinámicos como DHCP y la estación no tiene configurada su dirección IP ni su router por defecto, el switch no puede clasificar la estación dentro de una VLAN. Una premisa esencial en la definición de VLANs es que el rendimiento del switch no debe degradarse debido a la existencia de VLANs. Las técnicas de marcado (identificación de paquetes pertenecientes a cada VLAN) utilizadas en la definición de VLANs por puerto permiten mantener una velocidad de transmisión

según el ancho de banda disponible (wire speed performance), y por ello ha prevalecido dicha solución en la definición del estándar 802. 1Q. Estas técnicas permiten además la asignación de un mismo puerto o tarjeta de red a varias VLANs (routers o servidores pueden aprovechar esta ventaja evitándose la utilización de tantas interfaces o tarjetas de red como VLANs existan). ISL (Inter-Switch Link) para Fast Ethernet/Token Ring y 802.10 para FDDI son dos ejemplos de técnicas de marcado.

1.4.- ELANs o redes emuladas. La relación de pertenencia a una red emulada es implícita al estándar LANE (LAN Emulation) ya que en el proceso de inicialización del LEC o cliente LANE con sus LECS o servidor de configuración, el servidor le trasmite toda la información necesaria para que el cliente se registre en una determinada LAN emulada (dirección del LES o servidor de LANE, tipo de red emulada, tamaño máximo de paquetes y nombre de ELAN). Ventajas:

Facilidad de administración: Las funciones de administración se centralizan en el LECS de forma que el administrador puede definir diversos ELANs en la red ATM y asignarlas a puertos de los switches, routers o host ATM independientemente de su ubicación física. Aquellos puertos o host que precisen pertenencer más de una ELAN podrán hacerlo siempre que sus tarjetas ATM soporten más de un LEC. Facilidad de movimientos y cambios: La pertenencia a una ELAN se mantiene aunque se produzcan movimientos y los cambios de ELAN no suponen ningún cambio físico.

Multiprotocolo: LANE es especialmente un protocolo de nivel 2 sobre ATM y por tanto totalmente independiente de los protocolos de nivel superior.

Desventajas:

Aplicable sólo a Ethernet y Token Ring: LANE define métodos de emulación para Ethernet y Token Ring únicamente. La existencia de tráfico FDDI implica técnicas de Treanslational Bridging de forma que dicho tráfico es convertido a Ethernet o Token Ring. No explota la funcionalidad ATM de QoS (Quality of Services) o calidades de servicio y una de las características esenciales de ATM a los protocolos de nivel superior es QoS. Las únicas clases de servicios soportadas por LANE son UBR (Unspecified Bit Rate) y ABR (Available Bit Rate) por ser estas las más cercanas a la naturaleza de los protocolos de nivel MAC. Este inconveniente no es tal

comparado con otras técnicas de definición de VLANs dado que el concepto de QoS no se considera en el resto de las definiciones.