ประโยชน์ที่ได้รับจากการสร้างและแบ่ง VLAN
- จำกัดขอบเขตการแพร่กระจายของบรอดคาสต์ทราฟฟิกไม่ให้ส่งผลกระทบต่อประสิทธิภาพโดยรวมของเน็ตเวิร์ก โดยปกติ หลายๆแอปพลิเคชันบนเน็ตเวิร์ก รวมทั้งไดรเวอร์ของโปรโตคอลต่างๆ เช่น ไดรเวอร์ของ TCP/IP ,IPX/SPX มักจะมีการส่งบรอดคาสต์เฟรมออกมาเป็นระยะๆ เพื่อประโยชน์ต่างๆอันเอื้ออำนวยต่อการปฏิบัติงานของมัน ถึงแม้บรอดคาสต์ทราฟฟิกจะมีประโยชน์ แต่ในเวลาเดียวกัน มันก็ส่งผลกระทบต่อประสิทธิภาพโดยรวมได้ หากไม่มีการจำกัดขอบเขตของบรอดคาสต์ทราฟฟิก
| ทำไมบรอดคาสต์ทราฟฟิกจึงมีผลต่อประสิทธิภาพของเน็ตเวิร์ก ?
1. เพราะบรอดคาสต์เฟรมเป็นเฟรมพิเศษที่ “บังคับ” ให้ทุกๆ เครื่องในบรอดคาสต์โดเมนนั้นๆ ต้องรับเอาบรอดคาสต์เฟรมไปใส่ไว้ในบัฟเฟอร์ของเน็ตเวิร์กการ์ดของตน และทำการประมวลผลบรอดคาสต์เฟรมด้วยการส่งสัญญาณไปอินเตอร์รัพป์ซีพียูของเครื่องเละให้ไดรเวอร์ของโปรโตคอลในเลเยอร์ 3 เป็นผู้ประมวลผลต่อไม่ว่าตนเองจะมีหรือไม่มีส่วนเกี่ยวข้องใดๆ กับเนื้อหาภายในเฟรมนั้นๆ ก็ตาม ภายหลังหากพบว่าตนเองจำเป็นต้องมีส่วนร่วมกับเนื้อหาภายในบรอดคาสต์เฟรมนั้นๆ มันก็จะส่งแพ็กเก็ตออกมาเละส่งต่อให้ไดรเวอร์ของโปรโตคอลในเลเยอร์ที่สูงกว่าต่อไป (ตามหลักการ De-encapsulate ของ OSI Model) แต่หากพบว่าตนเองไม่มีส่วนเกี่ยวข้องใดๆเลยกับเฟรมดังกล่าว มันก็จะโยนทิ้ง(discard)บรอดคาสต์เฟรมนั้นๆทิ้งไป ปัญหาที่เราสนใจในที่นี้ก็คือ หากมันต้องคอยรับ บรอดคาสต์เฟรมอยู่เป็นระยะๆ ตลอดเวลา ซีพียูของเครื่องคอมพิวเตอร์ก็จะต้องถูกอินเตอร์รัพป์อยู่ตลอดเวลาให้ทำการประมวลผลบรอดคาสต์เฟรม และเม้จะเป็นเน็ตเวิร์กการ์ดสมัยใหม่ที่มีส่วนประมวลผลในตัวหรือมีซีพียูความเร็วสูงก็ตาม มันก็จะต้องเสียเวลาและเพิ่มโหลดโดยไม่จำเป็น
2. เพราะบรอดคาสต์เป็นเฟรมพิเศษที่เมื่อสวิตซ์ได้รับเฟรมดังกล่าวแล้ว มันจำเป็นต้องส่งผ่าน (forword)บรอดคาสต์เฟรมออกไปที่ทุกๆพอร์ต เพื่อให้ทุกๆ เครื่องที่ต่ออยู่กับสวิตซ์ได้รับบรอดคาสต์เฟรม นี่เท่ากับเป็นการส่งเฟรมออกไปแย่งใช้งานแบนวิธ (bandwidth) ของพอร์ตอื่นๆ การแบ่ง VLAN เท่ากับเป็นการจำกัดปริมาณพอร์ตที่บรอดคาสต์ทราฟฟิกต้องถูกส่งออกไปให้น้อยลง
|
- สามารถสร้างกลไกด้านความปลอดภัยได้ง่ายขึ้น เช่น การสร้าง ACL บนอุปกรณ์ในเลเยอร์ 3 และการลดความเสี่ยงเกี่ยวกับการดักจับทราฟฟิก
| ทำไมการแบ่ง VLAN จึงช่วยเพิ่มความปลอดภัย ?
1. ดังที่ได้กล่าวไปแล้วตอนต้น (หัวข้อ “ความสัมพันธ์ระหว่าง VLAN กับโปรโตคอล TCP/IP”) แล้วว่า การแบ่งแยก VLAN เท่ากับเป็นการแบ่งแยกซับเน็ตแอดเดรสของเครื่องคอมพิวเตอร์ และเครื่องคอมพิวเตอร์ใน VLAN หนึ่งๆ จำเป็นต้องส่งแพ็กเก็ตไปยังอุปกรณ์ในเลเยอร์ที่ 3 อย่างเช่น เร้าเตอร์หรือสวิตซ์เลเยอร์ 3 ก่อน เพื่อให้อุปกรณ์ดังกล่าวช่วยส่งผ่านแพ็กเก็ตไปให้ถึงเครื่องคอมพิวเตอร์ใน VLAN ปลายทาง ในจังหวะที่แพ็กเก็ตกำลังถูกเร้าต์ (route) อยู่บนอุปกรณ์ดังกล่าว เราสามารถเซต Access Control List (ACL)บนเร้าเตอร์เพื่อตรวจเช็กเงื่อนไขต่างๆ ของแพ็กเก็ตและทราฟฟิกต่างๆ ได้ก่อนที่จะยินยอมให้ส่งผ่านออกไปยัง VLAN ปลายทาง
2. โดยปกติทราฟฟิกที่อยู่ใน VLAN เดียวกันมีโอกาสถูกดักจับได้ด้วยเทคนิคการ “Spoofing” ต่างๆ การแบ่งแยกเน็ตเวิร์กออกมาเป็น VLAN ใหม่จะช่วยลดความเสี่ยงการโจมตีด้วยเทคนิค “Spoofing”
ตัวอย่างหนึ่งของการแบ่ง VLAN เพื่อเพิ่มความปลอดภัยได้แก่ การแบ่งแยกกลุ่มของเซิร์ฟเวอร์ออกไปอยู่ใน VLAN ต่างหากเฉพาะ เพื่อที่ว่าจะได้สามารถประยุกต์ใช้ ALC บนสวิตซ์เลเยอร์ 3 เพื่ออนุญาตหรือปฏิเสธการเข้าถึงเซิร์ฟเวอร์จากเครื่องคอมพิวเตอร์บางเครื่องหรือจากบาง VLAN ได้ หรือเพื่อควบคุมประเภทของทราฟฟิกที่สามารถรับส่งกับเซิร์ฟเวอร์ได้ ถ้าหากไม่แบ่ง VLAN ให้กับกลุ่มเซิร์ฟเวอร์ เราจะไม่มีทางใช้ ACL เพื่อทำงานดังกล่าวได้ เพราะเซิร์ฟเวอร์กับไคลแอนต์จะอยู่ในซับเน็ตเวิร์กเดียวกัน และสามารถสื่อสารกันได้โดยตรงโดยไม่ผ่านสวิตซ์เลเยอร์ 3
|
- ผู้ใช้สามารถเคลื่อนย้ายไป VLAN (หรือ Subnet) อื่นๆ ได้โดยเพียงแค่เปลี่ยนคอนฟิกกูเรชันของสวิตซ์และบนโปรโตคอล TCP/IP บนเครื่องเพียงนิดเดียว โดยไม่ต้องมีการย้ายสายเคเบิ้ลใดๆเลย
- ระบบสามารถรองรับการขยายตัวในอนาคตได้โดยง่าย บางท่าน เมื่อเริ่มต้นออกแบบและติดตั้งเน็ตเวิร์กก็เซตให้ทั้งหมดอยู่ภายใต้ VLAN เดียวกันไป ครั้นต่อๆ มาเครื่องคอมพิวเตอร์เพิ่มปริมาณมากขึ้นเรื่อยๆ ส่งผลให้ปริมาณบรอดคาสต์ทราฟฟิกมีมากขึ้น และถูก FLOOD แพร่กระจายไปทั่วถึงกันทุกๆชั้น ในลักษณะที่เรียกว่า “FLAT NETWORK” ครั้นพอจะแบ่งเป็น VLAN ย่อยๆ ก็อาจมาติดปัญหาหลายๆเรื่อง เช่น เรื่องของ IP Address ที่จัดสรรให้กับเครื่องต่างๆ โดยเฉพาะเซิร์ฟเวอร์ ระบบงานสำคัญที่ถูกเซตไว้แล้ว IP Address ที่อยู่บนเครื่องเซิร์ฟเวอร์เหล่านี้อาจมีความจำเป็นต้องเปลี่ยนแปลงไปหลังจากอิมพลีเมนต์ VLAN ขึ้นมาซึ่งกลายเป็นภาระยุ่งยาก เพราะบางทีก็เปลี่ยนไม่ได้เนื่องจาก IP Address ได้ถูก “hard code” เข้าไปในแอปพลิเคชันโปรแกรมแล้ว เป็นต้น ถ้าหากมีการวางแผนแบ่ง VLAN ไว้ก่อน ในอนาคตหากมีการเพิ่มขยายระบบออกไปเช่น มีการเชื่อมต่อสวิตซ์ใหม่ให้กับสวิตซ์ตัวเดิมหรือมีปริมาณเครื่องคอมพิวเตอร์มากขึ้น ก็ไม่ต้องกังวลว่าปริมาณเครื่องที่เพิ่มขึ้นจะส่งผลกระทบต่อประสิทธิภาพโดยรวมของเน็ตเวิร์ก
อ่านต่อ : ตัวอย่างหลักเกณฑ์การออกแบบ VLAN
ความคิดเห็น