Nebula [VLAN] - Explicación de PVID

En este artículo se explica el concepto de la PVID en nuestros conmutadores Zyxel y cómo afecta a la conectividad de sus dispositivos de red y la gestión del propio interruptor.

Con la ayuda de algunos escenarios, explicaremos como la manipulación del PVID puede determinar la correcta o incorrecta asignación de una red o incluso provocar una desconexión del switch perdiendo su capacidad de gestión.

1. Definición de PVID

2. Cómo se modifica el tráfico no etiquetado y etiquetado por la configuración del PVID?

3. ¿Cómo puede afectar el PVID del puerto de enlace ascendente a la gestión del switch?

1. Definición de PVID

PVID son las siglas de "Port VLAN ID" y se utiliza en aplicaciones VLAN y se puede utilizar para establecer un tráfico no etiquetado recibido por un puerto(s) dado(s) como miembro de una VLAN específica.

Por ejemplo, el PVID por defecto en el puerto 1 del switch es "1". Esto significa que cualquier tráfico entrante no etiquetado recibido por el switch se considerará tráfico de la VLAN1 en el switch.

Para el tráfico saliente, el switch utilizará la información de la VLAN no etiquetada a la que pertenezca el puerto.

Como parte de la facilidad de uso que se pretende en Nebula, al configurar el PVID se establecerá automáticamente el puerto como miembro no etiquetado de la misma VLAN. En este artículo utilizaremos este hecho para suponer que el PVID también está configurado como VLAN no etiquetada en el puerto.

El tráfico etiquetado con ID VLAN, por ejemplo: 3, recibido por el switch será considerado miembro de la VLAN 3, por lo tanto no será modificado y simplemente reenviado.

2. ¿Cómo se modifica el tráfico etiquetado y no etiquetado con la configuración PVID?

Ahora que el concepto de PVID está explicado, podemos echar un vistazo a los siguientes escenarios y la explicación de cada punto de conexión:

Caso nº 1

El PC A está conectado al puerto del switch A

Los PCs/laptops no son dispositivos VLAN-aware, así que cuando el PC A se conecta al switch:

• El PC enviará primero el descubrimiento DHCP como tráfico no etiquetado que se recibe en la conexión C3 del switch. Por PVID, este tráfico no etiquetado será puesto en VLAN1 cuando pase por el Switch A.
• El Switch A determina entonces qué otros puertos son realmente miembros de la VLAN1, siendo C2 uno de ellos en este caso. El switch comprueba cómo debe enviarse el tráfico desde C2, que en este caso está sin etiquetar debido a la configuración (miembro de VLAN sin etiquetar).
• Las interfaces LAN normalmente implican "tráfico no etiquetado" en las pasarelas Zyxel, por lo tanto la pasarela manejará el tráfico no etiquetado recibido en C1 como parte de la interfaz LAN1.
• Cuando la pasarela responde al PC A, el tráfico tiene una ruta similar. El tráfico sin etiquetar de LAN1 se coloca en la VLAN1 en C2 como indica PVID, y se envía sin etiquetar en C3 debido a que el puerto es miembro sin etiquetar de esa VLAN.
• El PC recibe entonces la dirección IP desde la interfaz LAN1 del Gateway y puede entonces comunicarse con esta red.

Caso nº 2

El PC B se conecta al Switch B, que tiene un PVID 100 diferente:

Al principio, podría parecer que el PC B debería obtener una IP de la VLAN100 (que no existe en el Gateway). Sin embargo, este no es el caso y aquí es donde entender el concepto de PVID es importante:

• El tráfico no etiquetado del PC B se pondrá en la VLAN100 como indica el PVID en C6.
• El Switch B determina entonces qué otros puertos son realmente miembros de la VLAN100, siendo C5 uno de ellos en este caso. El switch comprueba cómo debe enviarse el tráfico desde C5, que en este caso está sin etiquetar debido a la configuración.
• En C4, el Switch A recibe la petición de tráfico como no etiquetado, pero como se indica en el PVID, este tráfico se pondrá entonces en la VLAN1 para el Switch A y finalmente se enviará sin etiquetar a la interfaz LAN1 en el Gateway.
• Como se ve aquí, el Switch A y B manejan el tráfico sin etiquetar de diferentes maneras basadas en la configuración del PVID, pero de hecho el tráfico es siempre el mismo, alcanzando LAN1 con éxito.
• Similarmente en la respuesta de vuelta, el Switch A pone el tráfico sin etiquetar de la interfaz LAN1en la VLAN1 que luego es enviada sin etiquetar en C4. El conmutador B recibe entonces este tráficosin etiquetar en C5 y lo pone en VLAN100, que finalmente se reenvía sin etiquetar en C6 al PC.
• A continuación, el PC recibe la dirección IP de la interfaz LAN1 del gateway y puede comunicarse con esta red.

Caso nº 3

El PC C no recibe tráfico y el teléfono IP se conecta a la VLAN etiquetada:

Abordemos primero las conexiones del PC C:

• PC C envía el tráfico no etiquetado a C7 en el Switch B, que por PVID está puesto en VLAN1.
• Entonces el Switch B intenta reenviar el tráfico a otros puertos miembros de la VLAN1. Sin embargo, en este caso, no hay ningún otro puerto miembro de la VLAN. Como se ha mostrado antes, C5 es miembro de la VLAN100 sin etiquetar, por lo que el tráfico de la VLAN1 no se reenvía a través de este puerto.
• El tráfico desde el PC nunca llega al Gateway y por lo tanto el PC C no obtiene una dirección IP y no tendrá acceso a la red.

Teléfono IP conectándose a una VLAN etiquetada:

• Los teléfonos IP suelen ser etiquetados, por lo que pueden manejar tráfico etiquetado VLAN.
• En este escenario, el teléfono IP envía su tráfico ala VLAN10 etiquetada C8, por lo tanto, el PVID no afectará a este tráfico ya que ya está etiquetado, por lo que el PVID se puede establecer en otra VLAN sin problemas.
• El tráfico VLAN10 también se envía etiquetado en C5, C4 y C2, no sufriendo ninguna modificación. El tráfico llega etiquetado a la pasarela, que también tiene una interfaz etiquetada VLAN10.
• El tráfico de respuesta de la pasarela tiene de nuevo una ruta similar. Se envía etiquetado desde el Gateway, y simplemente se reenvía con su etiqueta en C2, C4, C5 y C6, llegando etiquetado al teléfono IP que puede manejar este tráfico.
• El teléfono IP puede recibir una dirección IP de la VLAN10 en la pasarela y tener comunicación con esta red.

3. ¿Cómo puede afectar el PVID del puerto de enlace ascendente a la gestión del switch?

El PVID también puede afectar a la red de gestión del propio switch.

En la configuración anterior, tanto el Switch A como el Switch B tienen una VLAN1 de gestión configurada en los ajustes de todo el sitio Nebula.

Conmutador A:

• El switch actúa como un PC que está conectado a sí mismo. El tráfico de gestión se coloca en la VLAN1, que el switch envía a C2 sin etiquetar y recibe en la LAN1 de la pasarela.
• El switch entonces recibe y es accesible en una dirección IP desde la interfaz LAN1.

Conmutador B:

• Similar al switch A, el tráfico de gestión se pone en VLAN1 cuando pasa por el switch. Sin embargo, el puerto uplink en C5 no es miembro del tráfico VLAN1, entonces la petición no es enviada fuera del Switch B.
• El Switch B no puede entonces recibir una dirección IP desde el Gateway y no está conectado a la red.

Como se muestra en el ejemplo anterior para el Switch B, es importante tener una visión completa de la configuración PVID en los puertos de enlace ascendente y su coincidencia con la VLAN de gestión.

Afortunadamente, Nebula tiene un segundo mecanismo que podría evitar que el switch B se desconecte en este caso. La función se denomina "Control de VLAN de gestión". Esta función proporciona un segundo mecanismo (además del PVID del puerto) para definir la pertenencia de los puertos a la VLAN de gestión.

Por defecto, "Todos" los puertos son miembros de la VLAN de gestión, lo que significa que el switch B en el escenario anterior seguirá teniendo el puerto C5 como miembro no etiquetado de la VLAN de gestión1, permitiendo al switch acceder a la interfaz LAN1 de la pasarela.

Tenga en cuenta que si se elimina el puerto de enlace ascendente de la lista de control de VLAN de gestión, y tampoco se tiene la VLAN de gestión como PVID del puerto de enlace ascendente, se producirá una ingobernabilidad total del switch en Nebula, y será necesario reconfigurar los ajustes y reiniciar el switch.