VLAN, trunking e routing tra VLAN

In questa lezione impari a

spiegare a cosa servono le VLAN
creare VLAN e assegnare le porte in modalità access
collegare gli switch con un trunk 802.1Q
far comunicare le VLAN con il router-on-a-stick

Cosa sono le VLAN

In una scuola, segreteria, laboratori e aule docenti sono collegati agli stessi switch. Senza accorgimenti formano un'unica rete: un PC di laboratorio vede i computer della segreteria, e ogni broadcast arriva a tutti.

Le VLAN (Virtual LAN) dividono una rete fisica in più reti logiche separate, come se ci fossero switch diversi. Due PC collegati allo stesso switch ma in VLAN diverse non si vedono, finché un router (o uno switch di livello 3) non li mette in comunicazione.

Schema di una rete divisa in VLAN — Una rete fisica, più reti logiche.

Perché usarle

Sicurezza: i reparti sono isolati; gli studenti non raggiungono i server della segreteria.
Prestazioni: i broadcast restano dentro la propria VLAN.
Flessibilità: per spostare un PC in un altro reparto basta cambiare la VLAN della porta, senza toccare i cavi.
Ordine: a ogni VLAN corrisponde una sottorete IP.

Regola d'oro: una VLAN = una sottorete IP. La VLAN 10 usa 192.168.10.0/24, la VLAN 20 192.168.20.0/24, e così via.

Creare le VLAN

Nel nostro esempio, una scuola con tre VLAN:

VLAN	Nome	Rete	Gateway
10	Amministrazione	192.168.10.0/24	192.168.10.1
20	Studenti	192.168.20.0/24	192.168.20.1
30	Docenti	192.168.30.0/24	192.168.30.1

SW1(config)# vlan 10
SW1(config-vlan)# name Amministrazione
SW1(config-vlan)# vlan 20
SW1(config-vlan)# name Studenti
SW1(config-vlan)# vlan 30
SW1(config-vlan)# name Docenti
SW1(config-vlan)# exit

Porte access: un dispositivo, una VLAN

Le porte a cui si collegano PC, stampanti e server sono in modalità access: appartengono a una sola VLAN.

SW1(config)# interface range FastEthernet0/1 - 8
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 10
SW1(config-if-range)# exit
SW1(config)# interface range FastEthernet0/9 - 16
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 20
SW1(config-if-range)# exit

La VLAN 1 è quella predefinita: tutte le porte ci stanno finché non le spostate. Per sicurezza, nelle reti reali non si usa per i dispositivi.

Porte trunk: tante VLAN su un cavo

Quando due switch (o uno switch e un router) devono scambiarsi il traffico di più VLAN, il collegamento diventa un trunk. Ogni frame viaggia con un'etichetta (tag) che indica a quale VLAN appartiene: lo standard è IEEE 802.1Q.

SW1(config)# interface GigabitEthernet0/1
SW1(config-if)# switchport mode trunk
SW1(config-if)# switchport trunk allowed vlan 10,20,30

Sugli switch 2960 il trunk usa solo 802.1Q. Sui modelli di livello 3, come il 3560, prima di switchport mode trunk serve switchport trunk encapsulation dot1q.

Verificare

SW1# show vlan brief
SW1# show interfaces trunk

show vlan brief elenca le VLAN e le porte access di ciascuna; le porte trunk non compaiono lì, ma in show interfaces trunk.

VTP: le VLAN propagate in automatico

Con tanti switch, creare le stesse VLAN su ognuno è noioso e rischioso. Il VTP (VLAN Trunking Protocol) di Cisco le propaga lungo i trunk.

Modalità	Cosa fa
Server	crea, modifica ed elimina le VLAN e le annuncia agli altri
Client	riceve le VLAN dal server, non può modificarle
Transparent	non partecipa: gestisce le sue VLAN e inoltra gli annunci

! sullo switch centrale
SW1(config)# vtp domain SCUOLA
SW1(config)# vtp mode server
SW1(config)# vtp password Primo2026

! sugli altri switch
SW2(config)# vtp domain SCUOLA
SW2(config)# vtp mode client
SW2(config)# vtp password Primo2026

Attenzione: uno switch con un numero di revisione più alto, collegato per sbaglio al dominio, può sovrascrivere le VLAN di tutta la rete. Per questo molte aziende preferiscono la modalità transparent e configurano le VLAN a mano.

Il routing tra VLAN: router-on-a-stick

Per far comunicare le VLAN serve un router. Invece di usare un'interfaccia fisica per ogni VLAN, si usa un solo cavo trunk e si divide l'interfaccia del router in sottointerfacce, una per VLAN: è il router-on-a-stick.

R1(config)# interface GigabitEthernet0/0
R1(config-if)# no shutdown
R1(config-if)# exit
R1(config)# interface GigabitEthernet0/0.10
R1(config-subif)# encapsulation dot1Q 10
R1(config-subif)# ip address 192.168.10.1 255.255.255.0
R1(config-subif)# interface GigabitEthernet0/0.20
R1(config-subif)# encapsulation dot1Q 20
R1(config-subif)# ip address 192.168.20.1 255.255.255.0
R1(config-subif)# interface GigabitEthernet0/0.30
R1(config-subif)# encapsulation dot1Q 30
R1(config-subif)# ip address 192.168.30.1 255.255.255.0

L'interfaccia fisica va accesa (no shutdown) ma senza indirizzo IP.
encapsulation dot1Q 10 dice alla sottointerfaccia quale tag VLAN gestire.
La porta dello switch verso il router deve essere in trunk.

Ogni PC ha come gateway l'indirizzo della sottointerfaccia della sua VLAN. Se nel router configurate anche il DHCP, servono un pool per VLAN.

Esercizi

⭐ Facile

Esercizio 1 – Isolamento. Uno switch con 4 PC: due nella VLAN 10 e due nella VLAN 20, tutti con indirizzi della stessa rete 192.168.1.0/24. Verificate che i PC della stessa VLAN si pingano e quelli di VLAN diverse no. Perché?

Soluzione

Lo switch tiene separate le VLAN anche se gli indirizzi IP sono della stessa rete: un frame della VLAN 10 non esce mai da una porta della VLAN 20. Le VLAN separano al livello 2, indipendentemente dagli indirizzi.

⭐⭐ Medio

Esercizio 2 – Due switch e un trunk. Due switch collegati da un trunk, con PC delle VLAN 10, 20 e 30 su entrambi. Configurate VTP con SW1 server e SW2 client, create le VLAN solo su SW1 e verificate con show vlan brief che compaiano anche su SW2.

⭐⭐ Medio

Esercizio 3 – Router-on-a-stick con DHCP. Aggiungete all'esercizio 2 un router con le tre sottointerfacce e un pool DHCP per ogni VLAN. Tutti i PC devono ricevere l'indirizzo in automatico e raggiungersi tra VLAN diverse.

Suggerimento per il DHCP

R1(config)# ip dhcp excluded-address 192.168.10.1 192.168.10.10
R1(config)# ip dhcp pool VLAN10
R1(dhcp-config)# network 192.168.10.0 255.255.255.0
R1(dhcp-config)# default-router 192.168.10.1

Ripetete per le VLAN 20 e 30. Il router riceve le richieste di ogni VLAN sulla sottointerfaccia corrispondente e risponde con il pool giusto.