W celu odseparowania od siebie komputerów pracujących w sieci o tym samym adresie IPv4 podłączonych do przełącznika zarządzalnego należy przypisać
A. używane interfejsy do różnych VLAN-ów.
B. statyczne adresy MAC komputerów do nieużywanych interfejsów.
C. nieużywane interfejsy do różnych VLAN-ów.
D. statyczne adresy MAC komputerów do używanych interfejsów.
Pytanie z egzaminu CKE, styczeń 2020 (arkusz E.13-SG-20.01).
Komputery podłączone do używanych portów przełącznika zarządzalnego należy przypisać do różnych VLAN-ów, bo VLAN tworzy osobną domenę rozgłoszeniową warstwy 2. W praktyce działa to trochę tak, jakby jeden fizyczny switch został podzielony na kilka niezależnych przełączników logicznych. Jeżeli dwa hosty mają ten sam adres IPv4 i znajdują się w tej samej sieci warstwy 2, pojawi się konflikt adresów IP, problemy z ARP i losowe, trudne do diagnozowania zaniki komunikacji. Po przypisaniu portów access do różnych VLAN-ów ramki Ethernet, rozgłoszenia ARP i ruch lokalny nie przechodzą między tymi komputerami. Standardowo robi się to zgodnie z IEEE 802.1Q, szczególnie gdy VLAN-y mają przechodzić przez łącze trunk do innego przełącznika albo routera. Przykład z życia: komputer księgowości może być w VLAN 10, komputer gościnny w VLAN 20, mimo że fizycznie oba są wpięte do tego samego switcha. Moim zdaniem to jedna z podstawowych rzeczy, które warto dobrze rozumieć przy konfiguracji sieci firmowej. Trzeba tylko pamiętać, że przy normalnym routingu między VLAN-ami zwykle stosuje się różne podsieci IP; używanie tego samego adresu IPv4 w kilku VLAN-ach ma sens głównie wtedy, gdy te segmenty mają być naprawdę odseparowane albo stosuje się bardziej zaawansowane mechanizmy typu VRF czy NAT.
W tym zadaniu łatwo pomylić kilka mechanizmów przełącznika zarządzalnego, które brzmią technicznie, ale rozwiązują zupełnie inne problemy. Przypisywanie nieużywanych interfejsów do różnych VLAN-ów nie odseparuje komputerów, bo te komputery są przecież podłączone do portów używanych. Port, do którego nic nie jest wpięte, nie bierze udziału w ruchu tych hostów, więc jego konfiguracja nie rozwiąże konfliktu adresów IPv4 ani nie ograniczy komunikacji między aktywnymi urządzeniami. Dobra praktyka mówi co prawda, żeby nieużywane porty wyłączać administracyjnie albo przenosić do osobnego, technicznego VLAN-u bez dostępu do sieci, ale to jest zabezpieczenie porządkowe, a nie separacja dwóch działających komputerów. Statyczne przypisanie adresów MAC do interfejsów to z kolei mechanizm zbliżony do port security. Pomaga ograniczyć możliwość podłączenia obcego urządzenia do danego gniazdka, ale nie tworzy osobnej domeny rozgłoszeniowej. Jeśli dwa komputery z tym samym adresem IPv4 nadal są w tym samym VLAN-ie, będą odpowiadały na zapytania ARP dotyczące tego samego IP, a przełącznik będzie przełączał ramki na podstawie adresów MAC, nie na podstawie logiki konfliktu IP. To częsty błąd myślowy: ktoś widzi adres MAC i zakłada, że jego statyczne wpisanie rozwiąże każdy problem z identyfikacją urządzenia. Niestety nie. Jeszcze mniej sensu ma przypisywanie statycznych adresów MAC do nieużywanych interfejsów, bo nie dotyczy to aktywnych komputerów. Do separacji hostów na switchu zarządzalnym stosuje się VLAN-y skonfigurowane na portach, do których te hosty są faktycznie podłączone.