Strukturprotokolle der Datenkommunikation

Virtuelle Netze nach IEEE 802.1Q

Ein Standardisierungsvorschlag für VLANs auf der Basis des LAN-Switchings der Schicht 2 ist IEEE 802.1Q.

802.1 ist die Gruppe innerhalb IEEE 802, die sich mit Brücken und dem LAN-Umfeld beschäftigt. Der Standard für „virtuelle Bridged LANs“ definiert eine Architektur für virtuelle brückengekoppelte LANs, die Dienste, die in brückengekoppelten VLANs zur Verfügung gestellt werden sowie die Protokolle und Algorithmen, die zur Erbringung dieser Dienste notwendig sind. Dabei greift er auf zwei andere Funktionsgruppen zurück, nämlich das MAC Bridging nach IEEE 802.1D und die Prioritätensteuerung nach IEEE 802.1D/p. Der Einsatzbereich umfasst LANs und MANs (aber nur solche nach IEEE 802.6, also z.B. praktisch ebenfalls nicht existente DQDB).

Vereinfachte Verwaltung

Man möchte eine vereinfachte Verwaltung logischer Benutzergruppen erreichen, damit auch Umzüge, Änderungen und sonstige Erweiterungen leichter durchgeführt werden können. Der Standard geht davon aus, dass Broadcasts reduziert werden müssen, um eine höhere Sicherheit zu erreichen und die Abschottung der VLANs gegeneinander zu verbessern. Man möchte alle 802.X Shared LAN-Verfahren und die sich mit dem Switching ergebenden Punkt-zu-Punkt-Verbindungen unterstützen, sowie zusätzlich Ethernet V2 und FDDI, die ja nicht zu IEEE 802.X gehören.

Zudem möchte man die Kompatibilität zu bestehenden Brücken-Konfigurationen soweit wie möglich gewährleisten. Deshalb wird eine Kennzeichnung für die Zugehörigkeit eines Paketes zu einem VLAN, das sogenannte Tag, nur eingefügt bzw. entfernt, wenn der Frame im Rahmen einer Relay-Funktion weitergeleitet wird. Wenn also ein Gerät nach IEEE 802.1Q arbeitet, aber keine VLANs definiert werden, soll die Arbeitsweise wie die einer IEEE 802.1D-Brücke aussehen.

Portbasierte VLAN-Definition

Der Standard geht von einer portbasierten VLAN-Definition aus. Dabei wird für jeden LAN-Port eine eindeutige VLAN-Identifikation (VLAN-ID) konfiguriert, die so genannte Port-Identifikation, PVID. Dies steht im Gegensatz zu den explizit getagten Frames, bei denen Pakete verschiedener VLANs auf einem physikalischen LAN transportiert werden können. Und hier unterschieden sich gerade IEEE und die industriellen Realisierungen, die alle ein Tagging für jedes Paket vorsehen und so wesentlich komfortablere VLANs realisieren können.

Das Frame-Format und die Tag-Längen wurden festgelegt. Das Tagging muss zu einer netzweit eindeutigen VLAN-Identifizierung führen, die über die gesamte Konfiguration hinweg erhalten bleibt. Und wo man schon einmal bei Verfahrenssteuerungsbits war, hat man sich auch gleich darauf verständigt, die Priorisierungsbits von IEEE 802.1D/p in IEEE 802.1Q zu übernehmen. Frames, die infolge des Taggings die maximale Framelänge überschreiten, wie sie immer im Standard definiert ist, dürfen nicht weitergeleitet werden.

Das VLAN-Architekturmodell

Die gesamte VLAN-Konfiguration benutzt einen gemeinsamen Spanning Tree Algorithmus. Die Implementierung eines separaten Spanning Tree je VLAN wurde verworfen. Auf der Grundlage der Funktionen von IEEE 802.1D/p wird Folgendes definiert: der VLAN-Dienst, ein Forwarding-Prozess für die Weiterleitung eingehender VLAN-Frames, eine Filter-Datenbank, erforderliche Protokolle für VLAN-Dienstleistung und Verteilung der VLAN-Information sowie zur Konfiguration und Verwaltung erforderliche Management-Dienste und Operationen. Daraus entstand das VLAN-Architekturmodell.

Die VLAN-ID wird per Konfiguration festgelegt und ist dann fix. Sie kann nur durch explizite Neu-Konfiguration geändert werden. Dazu sei bemerkt, dass dies den Zielen von VLANs geradezu zuwiderläuft und keinen wesentlichen Fortschritt gegenüber einfacher Brückensegmentierung bietet. Alle Hersteller, auch die mit den schwächsten VLAN-Konzepten, haben dem Kunden daher weit Komfortableres zu bieten.

Der Prozess zur Weiterleitung von VLAN-Frames, der Forwarding-Process, wird in drei Phasen nach getrennten Regeln bearbeitet, die auch die Konvertierung von Frameformaten nach verschiedenen MAC-Verfahren beinhalten. Man unterscheidet zwischen Ingress Rules für die Behandlung eingehender Frames, Forwarding oder Filter Rules für die Weiterbearbeitung sowie Egress Rules für die Ausgabe von Paketen.

802.1Q unterteilt Geräte in VLAN-fähig und VLAN-unfähig. Zugangsverbindungen (Access Links) sind LAN-Segmente, die nicht-VLAN-fähige Geräte, d.h. in der Regel Endgeräte, an eine VLAN-fähige Brücke anbinden. Alle Pakete auf Zugangs-Links werden als implizit getagt betrachtete und dürfen nicht explizit getagt werden.

Trunk-Verbindungen koppeln verschiedene VLANs über Brücken. Alle angeschlossenen Geräte müssen VLAN-fähig sein. Alle Pakete auf Trunk-Verbindungen werden explizit getagt. Schließlich gibt es hybride Verbindungen, mit denen VLAN- und nicht-VLAN-fähige Geräte angebunden werden. Deshalb können hier getagte und nichtgetagte Frames transportiert werden. Diese müssen dann jedoch definitiv unterschiedlichen VLANs zugeordnet sein.