Diferença entre aliasing vlan e ip da perspectiva do usuário

Question

Eu estava lendo informações sobre vlan e como gerenciá-lo no GNU / Linux.

Sempre que eu precisei adicionar uma segunda rede ao mesmo NIC físico, eu faria

ifconfig eth0:test 192.168.66.1

e com ele eu também seria capaz de acessar o 192.168.66.0/24 .

Agora, depois de ler sobre o gerenciamento de vlans, vejo que poderia ter feito

vconfig add eth0 700
ifconfig eth0.700 192.168.66.1

Eu entendo que o 802.1q também marca quadros Ethernet, mas do ponto de vista do usuário, existe alguma diferença? Quando devo usar o aliasing de ip e quando 802.1q?

    

Answer 1

Sim, existem muitas diferenças entre alias e vlan:

As VLANs são isoladas

Quando você usa o alias de IP, está apenas propiciando o novo IP na mesma rede. Pode ser da mesma sub-rede ou de uma diferente. Mas qualquer um que possa entrar em sua LAN pode acessar as duas sub-redes apenas adicionando novo IP ao PC. Você não pode gerenciá-lo e protegê-lo. Além disso, qualquer pessoa pode ouvir seu tráfego.

Quando você está usando VLANs, está criando LANs virtuais. Essas LANs são estritamente separadas, o nó de uma VLAN não pode ver a comunicação em diferentes VLANs. Você pode gerenciar a filtragem MAC no nível da VLAN, para que o usuário não possa se unir a outra VLAN apenas com a alteração do IP. Além disso, você pode propagar a VLAN apenas para algumas portas, para que você possa ter a VLAN do servidor somente na sala do servidor e no escritório de TI sem a necessidade de cabos separados.

As VLANs são apenas LANs - podem ser limitadas

Você pode fazer QoS em suas VLANs, diferentes regras de roteamento, firewalls, etc. Cada VLAN é separada entre si para que você possa lidar com isso como uma LAN real.

Você precisa de switches e roteadores compatíveis com

VLAN tag é outro cabeçalho no frame Ethernet, você tem que ter switches e roteadores que possam refletir isso. Se você usar switches sem suporte a 802.1q, sua separação não funcionará porque esses switches irão combiná-los e enviar todos os pacotes para todos.

Você pode ir mais fundo - q-in-q

Você pode marcar quadros já marcados para poder ter VLAN na VLAN. É útil quando você deseja conectar e proteger duas localidades com um ISP diferente. VLAN é uma conexão normal do ponto de vista do PC, então pode parecer que essas duas redes são uma grande rede. Essa configuração precisa de cooperação com o ISP, mas funciona muito bem.