-
HINTERGRUND DER ERFINDUNG
-
1. Gebiet der Erfindung
-
Die
vorliegende Erfindung betrifft allgemein Kommunikationsnetzwerke
und genauer Kommunikationssysteme mit verschiedenen Typen virtueller lokaler
Netzwerke und festgelegten Vorrangsregeln zur Zuordnung eines bestimmten
passenden virtuellen lokalen Netzwerks zu einem Kommunikationspaket.
-
2. Besprechung der betroffenen
Technik
-
Lokale
Netzwerke (LANs) werden dazu verwendet die Kommunikation zwischen
einer Anzahl von Benutzern zu vereinfachen. Einzelne LANs können über Brücken miteinander
verbunden werden, um es einer größeren Anzahl
von Benutzern zu gestatten untereinander zu kommunizieren. Diese
gebrückten
LANs können überdies
mit anderen gebrückten
LANs durch die Verwendung von Routern verbunden werden, um noch
größere Kommunikationsnetzwerke
zu bilden.
-
1 stellt
ein beispielhaftes gekoppeltes gebrücktes LAN-System dar. Die Bezugszeichen 10, 20, 30 etc.
bezeichnen einzelne LANs, Brücken
zwischen LANs werden mit den Bezugszeichen 5, 15, 25 und 35 bezeichnet.
Ein Router zwischen dem gebrückten
LAN 100 und dem gebrückten
LAN 200 ist mit dem Bezugszeichen 300 bezeichnet.
In dem abgebildeten gebrückten
LAN-System kann ein Benutzer A mit einem Benutzer B kommunizieren
ohne LAN 10 zu verlassen. Falls der Benutzer A mit einem Benutzer
C im LAN 20 oder einem Benutzer D im LAN 30 kommunizieren
will, wird die Kommunikation über
die Brücken 5 und 15 übertragen.
-
Falls
Benutzer A mit Benutzer E kommunizieren will, muß die Kommunikation über den
Router 300 zum gebrückten
LAN 200 geroutet werden. Wie dem Fachmann bekannt ist,
arbeiten Brücken
auf der Schicht 2 des OSI Netzwerkmodels und verbinden zwei
LANs in transparenter Weise. Für
die Benutzer A und C ist es transparent, daß die Kommunikation zwischen
ihnen über
die Brücke 5 geleitet
wird, da Brücken
der Schicht 2 die Pakete nicht verändern, mit der Ausnahme, soweit
dies notwendig ist, um dem Typ des Ziel-LAN zu entsprechen. Will
der Benutzer A dagegen mit Benutzer E kommunizieren, muß die Kommunikation über den
Router 300 geleitet werden, der auf Level 3 des
Netzwerkmodels arbeitet. Daher fließt die Kommunikation über Router
mit einer viel langsameren Geschwindigkeit als die Kommunikation über eine
Brücke
und daher wird die Kommunikation durch die Router geregelt.
-
LAN
Netzwerkadministratoren versuchen daher im allgemeinen häufig miteinander
kommunizierende Benutzer untereinander durch gebrückte LANs
zu verbinden. Wird das gebrückte
LAN jedoch zu groß,
wird es nicht handhabbar und es wird verschiedene gut bekannte Probleme
aufweisen. Folglich werden Router eingesetzt, um gebrückte LANs miteinander
zu verbinden, so daß die
gebrückten LANs
selbst in einer akzeptablen Größe gehalten werden
können.
Dies führt
zu Verzögerungen
in den Kommunikationen zwischen Benutzern, die über den Router 300 übertragen
werden. Müssen
beispielsweise in 1 Benutzer E und Benutzer A
häufig kommunizieren,
wäre es
vorteilhaft, LAN 10 und LAN 50 eher über eine
Brücke
als über
den Router 300 miteinander zu verbinden. Dies würde eine
Neuverkabelung des Systems erfordern, was kostspielig ist und unter
vielen Umständen
undurchführbar
sein kann, wie etwa falls die Benutzer A und E nur für einen
begrenzten Zeitraum häufig
kommunizieren müssen.
-
Vor
kurzem wurden virtuelle LANs (VLANs) entwickelt, um die Schwachstellen
in untereinander verbundenen gebrückten LAN-Systemen des in 1 dargestellten
Typs zu beheben. VLANs gestatten es LANs, in praktisch jeder gewünschten
Weise gebrückt
zu werden, das heißt,
unabhängig
von der physikalischen Topologie, mit in der Schicht 2 arbeitenden
Switches. Die Switche sind daher für den Benutzer transparent.
Außerdem
kann die Brückenstruktur
von LANs wie gewünscht
verändert
werden ohne, daß das
Netzwerk neu verkabelt werden muß. Da Teilnehmer eines VLAN
nicht zu Teilnehmern eines anderen VLAN übertragen können, wird de facto eine Firewall
eingeführt,
um eine Sicherheit bereitzustellen, die in einem festverkabelten
untereinander verbundenen gebrückten
LAN-System nicht erreichbar wäre.
Entsprechend stellen VLAN-Systeme viele Vorteile gegenüber untereinander
verbundenen gebrückten
LAN-Systemen bereit.
-
Beispielsweise
werden wie in 2 dargestellt, einzelne LANs 10, 20, 30, 40, 50, 60, 70, 80, 90,
(10-90) durch Schicht-2-Switche 5', 15', 25', 35', 45', (5'-55') untereinander
verbunden. Eine Netzwerkmanagementstation (NMS) 290 steuert
die Verbindungen zwischen den einzelnen LANs derart, daß LANs leicht
zu anderen LANs langfristig oder kurzfristig gebrückt werden
können,
ohne, daß das
Netzwek neu verkabelt werden muß.
Wie in 2 dargestellt, hat die NMS 290 zwei VLANs
konfiguriert, indem die Switche 5'-55' so
instruiert, beispielsweise programmiert, und dabei konfiguriert
werden, daß die
LANs 10-60 über
die Switche 5', 15', 55', 35' miteinander über Brücken verbunden
werden, um das VLAN 100' zu
bilden, und die LANs 70-90 über die Switche 45' und 55' miteinander über Brücken verbunden
werden, um das VLAN 200' zu
bilden. Dies ist möglich, da,
anders als die Brücken 5-35 in 1,
die nur zwei Ports umfassen und daher nur dazu in der Lager sind,
Information von einem LAN zu einem anderen LAN zu übertragen,
die Switche 5'-55' mehrere Ports haben
und durch die NMS 290 programmierbar sind, so daß das Netzwerk
in jeder beliebigen Weise konfiguriert und neu konfiguriert werden
kann, indem einfach die Switch-Anweisungen
ausgetauscht werden.
-
Wie
in 2 dargestellt ist, wurde der Switch 55' dazu angewiesen
Kommunikationen von Benutzer A im LAN 10 zu Benutzer E
in LAN 50 zu übertragen,
da beide Benutzer innerhalb des VLAN 100' angelegt sind. Benutzer A darf
jedoch nicht mit den Benutzern H oder F kommunizieren, da diese
Benutzer nicht innerhalb der Benutzergruppe des VLAN 100' angelegt sind.
Dies verbietet es jedoch den Benutzern F und H, die beide Teilnehmer
des VLAN 200' sind,
nicht, miteinander über
die Switche 45' und 55' zu kommunizieren.
-
Wenn
eine Veränderung
der Netzwerkkonfiguration gewünscht
ist, ist dies leicht ausführbar,
indem von der NMS 290 Befehle an die betroffenen Switche 5'-55' ausgegeben
werden. Falls dies gewünscht
wird, kann beispielsweise Benutzer H leicht zum VLAN 100' hinzugefügt werden,
indem einfach das VLAN 100' von
der NMS 290 neu konfiguriert wird. Die NMS 290 gibt
eine Anweisung an den Switch 55' aus, die den Switch 55' dazu anweist,
einen Kommunikationsfluß zwischen
den Benutzern A-D und E und dem Benutzer H über den Switch 55' zuzulassen,
das heißt
das LAN 90 in das VLAN 100' aufzunehmen und es aus dem VLAN 200' zu entfernen.
-
Da
die Switche 5'-55' Schicht-2-Switche sind,
ist eine durch die Switche gebildete Brücke für die Benutzer innerhalb des
VLAN transparent. Dadurch werden die normalerweise mit Routern,
wie etwa dem Router 300 in 1, verbundenen Übertragungsverzögerungen
vermieden. Die Flexibilität des
VLAN liegt in seiner Fähigkeit
begründet
seine Netzwerkkonfiguration über
Software auf der NMS 290 steuern zu können. Genauer erzeugt und überträgt die NMS 290,
in Übereinstimmung
mit ihren programmierten Anweisungen, Signale, um die Switche 5'-55' dazu anzuweisen
die gewünschte
VLAN-Konfiguration zu bilden.
-
In
einem herkömmlichen
LAN-Protokoll enthält
ein Kommunikationspaket 400 wie in 3 dargestellt
eine Zieladresse 118 mit sechs Byte, eine Quelladresse 116 und
Nachrichtdaten 112. Das Paket 400 enthält auch
einen Hinweis auf das betroffene LAN-Protokoll, die Protokollkennung 114.
-
5 stellt
ein Schema eines herkömmlichen
VLAN-Systems dar. Das VLAN-System umfaßt LANs 205-260, die
durch Switche 270-280 an ein Hochgeschwindigkeits-LAN-Backbone
oder Trunk 265 angeschlossen sind. Eine NMS 290 ist über das LAN 260 mit
den Switchen 270-280 verbunden. Die NMS ist beispielhaft über das
LAN 260 verbunden und könnte
mit den Switchen 270-280 über jedes andere der LANs 205-260 verbunden
sein. Über
einen Trunk-Port 315 ist eine Trunk-Station 285 an
das Hochgeschwindigkeits-LAN-Backbone 265 angeschlossen.
Die LANs 205-215 und 225-235 haben ausgewählte Teilnehmer
E-G beziehungsweise H-J. Jedes LAN 205-260 ist über einen
Access-Port 305 an einen der Switche 270-280 angeschlossen.
Beispielsweise ist Switch 270 über den Access-Port 305 an
das LANs 205-220 angeschlossen.
-
Jeder
Switch ist dazu fähig,
ein über
einen Access-Port 305 angeschlossenes LAN mit einem über einen
Access-Port 305 angeschlossenen anderen LAN zu verbinden.
Beispielsweise kann der Switch 270 durch die NMS 290 dazu
angewiesen werden LAN 205 und LAN 215 miteinander
zu verbinden, indem ein VLAN konfiguriert wird, das die LANs 205 und 215 einschließt, wodurch
zwischen den Teilnehmern E und H eine Kommunikation ermöglicht wird.
-
Jeder
Switch ist über
das Hochgeschwindigkeits-LAN-Backbone 265 auch dazu fähig, ein über einen
Access-Port 305 angeschlossenes LAN mit einem über einen
Access-Port 305 an einen anderen Switch angeschlossenen
LAN zu verbinden. Beispielsweise können die Switche 270 und 275 durch die
NMS 290 dazu angewiesen werden, die LANs 205 und 230 miteinander
zu verbinden, indem ein VLAN konfiguriert wird, das die LANs 205 und 230 enthält, wodurch
zwischen Teilnehmer E im LAN 205 und Teilnehmer I im LAN 230 eine
Kommunikation ermöglicht
wird.
-
4 stellt
ein VLAN-Kommunikationspaket 400' dar, das ähnlich dem in 3 dargestellten LAN-Kommunikationspaket 400 ist,
außer,
daß ein VLAN-Header zum Paket
hinzugefügt
wurde. Der VLAN-Header wird vom anfänglichen Switch, zu dem das
Nachrichtenpaket geschickt wird, hinzugefügt. Der VLAN-Header kennzeichnet
das resultierende Paket als ein "VLAN" oder "getaggtes" Paket und repräsentiert
das bestimmte VLAN, von dem das Paket stammt. Der VLAN-Header enthält, wie
dargestellt, eine Zieladresse 126, die dieselbe Adresse
wie die Zieladresse 118 ist, eine Quelladresse 124,
die dieselbe Adresse wie die Quelladresse 116 ist, eine
Protokollkennung 122 und ein VLAN-Tag 120, das
das betroffene VLAN kennzeichnet.
-
Falls
beispielsweise die LANs 205, 220 und 230 in 5 innerhalb
eines einzigen VLAN liegen und Teilnehmer E im LAN 205 mit
Teilnehmer I im LAN 230 kommunizieren will, wird die Nachricht 400 in 3 an
den Access-Port 305 des Switch 270 geschickt.
Basierend auf zuvor von der NMS 290 erhaltenen Anweisungen,
bestimmt der Switch, daß das LAN 205 in
das betroffene VLAN fällt
und fügt
demgemäß den passenden
VLAN-Header zum Paket hinzu, um wie in 4 dargestellt,
das Paket 400' zu bilden.
Das Paket 400' wird
dann über
den Trunk-Port 315 zum Hochgeschwindigkeits-LAN-Backbone 265 gesendet
und von den Switchen 275 und 280 detektiert.
-
Da
Switch 280 keine Access-Ports hat, die an LANs innerhalb
des betroffenen VLANs angeschlossen sind, verwirft der Switch 280 das
Paket 400'.
Switch 275 erkennt jedoch den VLAN-Header des Pakets 400' als zu einem
VLAN gehörig,
das das LAN 230 enthält.
Der Switch 275 entfernt daher den VLAN- Header und sendet das Paket, das jetzt
als das Paket 400 in 3 erscheint,
an das LAN 230, über
das der Teilnehmer I die Nachricht erhält.
-
Viele
Trunk-Stationen, wie etwa die Trunk-Station 285, sind nicht
dazu fähig,
VLAN-Header zu erkennen. Da zwischen einer Trunk-Station und dem
Trunk kein programmierbarer Switch liegt, werden Kommunikationen,
das heißt
Pakete, mit einem VLAN-Header von der Trunk-Station außerdem ignoriert
und/oder verworfen. Daher sind in einem herkömmlichen VLAN-System, wie etwa
dem in 5 dargestellten, die Trunk-Stationen, beispielsweise
die Trunk-Station 285,
Teil einer Standardgruppe.
-
Die
Standardgruppe ist eine Gruppe von Systembenutzern oder Endgeräten, die
in keinem VLAN liegen. Für
ein von einem Systembenutzer aus der Standardgruppe gesendeten Kommunikationspaket
stellt der anfängliche
Switch, an den das Paket gesendet wird, fest, daß der Systembenutzer zu keinem
VLAN gehört
und fügt
daher keinen VLAN-Header hinzu.
-
Die
NMS 290 des in 5 dargestellten Systems ist
dazu fähig,
verschiedene VLAN-Typen zu konfigurieren, wie dem Fachmann bekannt
ist. VLANs können
beispielsweise port-basiert, adress-basiert, protokoll-basiert,
port-und-protokoll-basiert
oder adress-und-protokoll-basiert sein. Wenn die NMS 290 ein
VLAN konfiguriert, weist die NMS die betroffenen Switche an, für am Switch
ankommende Pakete das VLAN zu identifizieren. Das Identifizieren
des passenden VLAN für
ein Paket, befähigt
den Switch dazu, das Paket über
das passende VLAN zu übertragen.
-
Für ein port-basiertes
VLAN konfiguriert die NMS das VLAN so, daß es LANs einbezieht, die an bestimmten
Access-Ports 305 bestimmter Switche angeschlossen sind.
Die NMS weist jeden bestimmten Switch dazu an, für ein Paket, basierend auf
dem Access-Port, an dem das Paket empfangen wird, das VLAN zu identifizieren.
-
Für ein adress-basiertes
VLAN konfiguriert die NMS 290 das VLAN so, daß es bestimmte
Adressen einschließt.
Wenn ein Switch über
einen Access-Port 305, der eine der bestimmten Adressen umfaßt, an ein
LAN angeschlossen ist, weist die NMS den Switch dazu an, für ein Paket,
wenn dieses am Access-Port empfangen wird, basierend auf der im Paket
enthaltenen Quelladresse 116, das VLAN zu identifizieren.
-
Für ein protokoll-basiertes
VLAN konfiguriert die NMS das VLAN basierend auf der Fähigkeit
eines Systembenutzers Kommunikationen nach einem bestimmten Protokoll
zu übertragen
und zu empfangen, unabhängig
davon, ob das Protokoll proprietär
oder offen ist. Die NMS weist die Switche dazu an, basierend auf
der im Paket, das an einem Access-Port 305 empfangen wird,
enthaltenen Protokollkennung 114, das VLAN zu identifizieren.
-
Für port-und-protokoll-basierte
VLANs, weist die NMS 290 die Switche, die bestimmte Access-Ports
einschließen,
dazu an, für
ein Paket, basierend auf dem Access-Port, an dem das Paket empfangen
wird, und der im empfangenen Paket enthaltenen Protokollkennung 114,
das VLAN zu identifizieren. Für
adress-und-protokoll-basierte
VLANs weist die NMS 290 die an bestimmte Adressen angeschlossenen
Switche dazu an, für
das Paket, basierend auf der Quelladresse 116 und der im
Paket enthaltenen Protokollkennung 114, das VLAN zu identifizieren.
-
6 stellt
ein System mit verschiedenen LANs 205-260 dar, die von
der NMS 290 in herkömmlicher
Weise in eine Anzahl verschiedener Typen von VLANs 800-1200 konfiguriert
sind. Das VLAN 800 ist ein port-basiertes VLAN, das die
LANs 210, 235 und 240 einschließt. Das
VLAN 900 ist ein adress-basiertes
VLAN, das die Adressen K, V, L, N, U, Q, R, S und T einschließt. Das
VLAN 1000 ist ein protokoll-basiertes VLAN, das das Protokoll
P1 einschließt.
Das protokoll-basierte VLAN 1000 ist in 6 nicht
explizit dargestellt, da jedes Paket dem VLAN 1000 zugeordnet
werden kann, wenn das Paket eine Protokollkennung für das Protokoll
P1 enthält.
Wie der Name "protokoll-basiert" impliziert, ist
das VLAN 1000 unabhängig
von der Adresse des Systembenutzers oder vom an das LAN, in dem
der Systembenutzer sitzt, angeschlossenen Port. Das VLAN 1100 ist
ein port-und-protokoll-basiertes VLAN, das die LANs 235, 240, 245 und 250 und
das Protokoll P1 einschließt.
Schließlich
ist das VLAN 1200 ein adress-und-protokoll-basiertes VLAN,
das die Adressen K, L, M, U, Q, T und das Protokoll P1 einschließt.
-
Die
Darstellung der VLANs 1100 und 1200 in 6 dient
nur dem Zweck der Beschreibung, da das VLAN auch durch das Protokoll
P1 festgelegt ist. Damit ein von einem der LANs 235-250 übertragenes Paket
dem port-und-protokoll-basierten
VLAN 1100 zugeordnet wird, muß das Paket eine Protokollkennung
für das
Protokoll P1 enthalten. Damit ein von einem der Adressen K, L, M,
U, Q oder T übertragenes Paket
dem adress-und-protokoll-basierten VLAN 1200 zugeordnet
wird, muß das
Paket entsprechend eine Protokollkennung für das Protokoll P1 enthalten. Die
LANs 1100 und 1200 sind in 6 als solche
abgebildet, um die Konfiguration verschiedener VLAN-Typen zu veranschaulichen.
-
Wie
aus dem System in 6 zu erkennen ist, überlappen
einige der VLANs. Beispielsweise wird ein von der Adresse K übertragenes
Paket dem adress-basierten VLAN 900 und dem port-basierten VLAN 800 zugeordnet,
da sich die Adresse K im LAN 210 befindet, das im VLAN 800 enthalten
ist. Wenn ein von der Adresse K übertragenes
Paket eine Protokollkennung für
das Protokoll P1 enthält,
kann das Paket außerdem
dem VLAN 1000 zugeordnet werden. Ein weiteres Überlappungsbeispiel
betrifft Pakete, die vom LAN 240 übertragen werden, die dem port-basierten
VLAN 800 zugeordnet werden und ebenfalls dem protokoll-basierten
VLAN 1000 und dem port-und-protokoll-basierten VLAN 1100 zugeordnet
werden können,
wenn das Paket eine Protokollkennung für das Protokoll P1 enthält. Die
mit einer Überlappung
verbundenen Probleme werden nachfolgend besprochen.
-
Im
Hinblick auf die verschiedene VLAN-Typen muß jeder der Switche 270-280 so programmiert werden,
daß er
alle verschiedenen Kommunikationseigenschaften berücksichtigt,
die notwendig sind, um ein an einem Access-Port empfangenes Paket
zuzuordnen. Beispielsweise ist Switch 270 so programmiert,
daß er
den Port, die Adresse und auch das Protokoll berücksichtigt, um zu bestimmen,
ob eine Kommunikation, die über
einen seiner Access-Ports empfangen wird, mit einem VLAN-Header,
der das VLAN 800, 900, 1000 oder 1200 repräsentiert,
getaggt werden soll. Switch 275 muß so programmiert werden, daß er den
Port, die Adresse und das Protokoll berücksichtigt, um zu bestimmen,
ob eine Kommunikation, die über
einen seiner Access-Ports empfangen wird, mit einem VLAN-Header,
der das VLAN 800, 900, 1000, 1100 oder 1200 repräsentiert,
getaggt werden soll. Switch 280 muß so programmiert werden, daß er den
Port, die Adresse und das Protokoll berücksichtigt, um zu bestimmen,
ob eine Kommunikation, die über
einen seiner Access-Ports empfangen wird, mit einem VLAN-Header,
der das VLAN 900, 1000, 1100 oder 1200 repräsentiert,
getaggt werden soll.
-
In
jedem der oben aufgeführten
Fälle ist
zu bemerken, daß die
Switche so programmiert werden müssen,
daß sie
einige Eigenschaften gemeinsam berücksichtigen. Beispielsweise
müssen
die Switche 270 und 280 so programmiert werden,
daß sie
die Adresse und das Protokoll gemeinsam berücksichtigen, um sicherzustellen,
daß Kommunikationen,
die von der Adresse K beziehungsweise den Adressen Q und T empfangen
werden, richtig mit einem das VLAN 1200 repräsentierenden
VLAN-Header getaggt werden. Die Switche 275 und 280 müssen so programmiert
werden, daß sie
den Port und das Protokoll gemeinsam berücksichtigen, um sicherzustellen,
daß von
den LANs 235 und 240, beziehungsweise 245 und 250 empfangene
Kommunikationen richtig mit einem das VLAN 1100 repräsentierenden VLAN-Header
getaggt werden.
-
Obwohl
es bekannt ist, basierend auf Eigenschaften wie den zuvor beschriebenen,
verschiedene VLAN-Typen innerhalb eines VLAN-Systems zu konfigurieren,
treten beim Versuch solche Systeme zu programmieren Probleme auf.
Genauer treten unter bestimmten Umständen VLAN-Überlappungen auf, wie in 6 dargestellt
ist. Eine Überlappung
tritt auf, wenn ein an einem Switch empfangenes Kommunikationspaket
mehr als einem VLAN zugeordnet werden kann. Wenn eine Überlappung
auftritt, kann es sein, daß ein
Switch nicht weiß,
welches VLAN von mehreren VLANs verschiedenen Typs zur Übertragung
einer empfangenen Kommunikation identifiziert werden soll. Konsequenterweise
ist der Switch unsicher, welcher VLAN-Header zur Kommunikation hinzugefügt werden
soll.
-
Überlappung
kann einen Grad der Unsicherheit verursachen, welche Benutzer in
einem System mit mehreren VLANs miteinander kommunizieren können und
welche Benutzer nicht miteinander kommunizieren können. Noch
kritischer ist es, daß durch Überlappung
das Ziel des Netzwerkmanagers beim Konfigurieren dieser VLANs nicht
erreicht werden kann. Konkret kann es sein, daß bestimmte Teile des Netzes,
die miteinander kommunizieren können
sollten, dazu nicht fähig
sind, während
andere Teile des Netzes, die nicht miteinander kommunizieren können sollten,
dazu fähig
sein können.
-
Beispielsweise
für die
VLAN-Konfigurationen in 6 könnte Switch 275, wenn
er eine Kommunikation mit einer Protokollkennung für das Protokoll P1
vom LAN 235 empfängt,
die Kommunikation entweder dem VLAN 800, 1000 oder 1100 zuordnen,
da 235 so programmiert wird, daß es den Port, das Protokoll
und den Port und das Protokoll gemeinsam berücksichtigt. Entsprechend könnte Switch 280,
wenn er eine Kommunikation mit einer Protokollkennung für das Protokoll
P1 vom Systembenutzer mit der Adresse Q aus dem LAN 245 empfängt, die
Wahl treffen sie entweder dem VLAN 900, 1000, 1100 oder 1200 zuzuordnen,
da Switch 280 so programmiert wird, daß er die Adresse, das Protokoll,
den Port und das Protokoll gemeinsam und die Adresse und das Protokoll
gemeinsam berücksichtigt.
Bei jeder von den Switchen 275 und 280 in den
oben beschriebenen Szenarien getroffenen Wahl wird das Verbindungsschema
angeschlossener Systembenutzer in verschiedener Weise eingeschränkt. Daher
müssen diese Überlappungsbereiche
in deterministischer Weise und von jedem Switch in derselben Weise
aufgelöst
werden, um sinnvolle Konfigurations- und Kommunikationsfähigkeiten
zu haben.
-
Ein
beispielhaftes VLAN-System ist im DRAFT STANDARD P802.1Q/D7, IEEE
STANDARDS FOR LOCAL AND METROPOLITAN AREA NETWORKS: VIRTUAL BRIDGED
LOCAL AREA NETWORKS, 3 October 1997, XP002103631 (im folgenden Standardentwurf
p802.1Q/D7) beschrieben. Der Standardentwurf P802.1Q/D7 beschreibt
ein VLAN-System, das zwei VLAN-erkennende Brücken umfaßt, die direkt an eine Trunk-Verbindung
angeschlossen sind, wobei jede VLAN-erkennende Brücke über Access-Verbindungen
auch an ein oder mehrere VLAN-nicht-erkennende Endgeräte angeschlossen
ist. Alle über
die Trunk-Verbindung übertragenen
Rahmen, selbst die von einem Endgerät, das an eine Access-Verbindung
angeschlossen ist, stammenden, werden mit einem VLAN-Header getaggt, der
die VLAN-ID enthält.
-
Der
Standardentwurf p802.1Q/D7 beschreibt des weiteren Hybridverbindungen,
die zusätzlich
dazu, daß sie
direkt an VLAN-erkennende Brücken
angeschlossen sind, auch an VLAN-nicht-erkennende Endgeräte angeschlossen
sind. Um eine Kommunikation mit den direkt an die Hybridverbindung
angeschlossenen VLAN-nicht-erkennenden Endgeräten zu gestatten, können sowohl
VLAN-getaggte als auch nicht-getaggte Rahmen auf einer Hybridverbindung übertragen
werden. Für
ungetaggten Verkehr wird für
ein port-basiertes VLAN die VLAN-Zugehörigkeit durch eine PVID festgelegt,
die dem empfangenden Port zugeteilt ist. Somit werden nicht getaggte
Rahmen, die von einem Port empfangen werden, dem VLAN zugeordnet,
dessen PVID diesem Port zugeteilt ist.
-
Dementsprechend
existiert ein Bedarf für
ein VLAN-System, das dazu fähig
ist, verschiedene VLAN-Typen zu konfigurieren, wobei sichergestellt ist,
daß Kommunikationen,
die von VLAN-Überlappungsbereichen
empfangen werden, zweifellos zugeordnet, getaggt und mit dem richtigen
VLAN-Tag übertragen
werden, was zu einem Systemverhalten führt, das vorhersagbar ist und
das in Übereinstimmung
mit den Erwartungen an die Netzwerkverbindungsstruktur zum Zeitpunkt
der Konfiguration dieser VLANs ist.
-
ZUSAMMENFASSUNG
DER ERFINDUNG
-
Dementsprechend
stellt die vorliegende Erfindung Vorrangsregeln bereit, um Kommunikationen innerhalb
verschiedener VLAN-Typen zu leiten, um ein vorhersagbares und gewünschtes
Netzwerkverhalten bereitzustellen, wenn es Bereiche des Netzwerks
gibt, in denen Überlappung
in VLAN-Konfigurationen auftritt, und um Konfliktauflösungen durch Switche
im VLAN-System zu gestatten.
-
Vorteilhafterweise
werden Switche bereitgestellt, die, innerhalb eines zur Konfiguration
mehrerer VLAN-Typen fähigen
VLAN-Systems und basierend auf vordefinierten Vorrangsregeln, Kommunikationen zu
Empfängern
routen.
-
Vorteilhafterweise
routen Switche innerhalb eines zur Konfiguration mehrerer VLAN-Typen
fähigen
VLAN-Systems Kommunikationen in sicherer Weise zu Empfängern. Physikalische
Sicherheit wird dadurch sichergestellt, daß port-basierten VLAN-Zuordnungen
ein höherer
Vorrang als anderen Typen der VLAN-Zuordnung gegeben wird.
-
Gemäß einem
Aspekt der vorliegenden Erfindung wird ein Switch nach Anspruch
1 bereitgestellt, zur Verwendung in einem virtuellen Kommunikationssystem,
das mehrere lokale Netzwerke aufweist, die durch mehrere Switche
miteinander verbunden sind, um in verschiedene Typen virtueller
lokaler Netzwerke konfigurierbar zu sein. Die verschiedenen Typen
virtueller lokaler Netzwerke können
beispielsweise port-basierte Netzwerke, adress-basierte Netzwerke,
protokoll-basierte Netzwerke, port-und-protokoll-basierte Netzwerke und adress-und-protokoll-basierte
Netzwerke umfassen. Der Switch ist vorzugsweise ein rekonfigurierbarer Multiport-Switch
und umfaßt
einen ersten Kommunikationsport, beispielsweise ein Access-Port,
der direkt an ein lokales Netzwerk angeschlossen ist, und einen
zweiten Kommunikationsport, beispielsweise ein Trunk-Port, der mit
anderen Systemswitchen typischerweise über ein Backbone-LAN oder Trunk
verbunden ist. Eine Switchsteuerung detektiert eine Kommunikation
vom lokalen Netzwerk am ersten Port und identifiziert basierend
auf Vorrangsregeln für
verschiedene Typen virtueller lokaler Netzwerke ein virtuelles lokales
Netzwerk, über
das die Kommunikation zu übertragen
ist. Der Switch ist des weiteren dazu fähig, zur Kommunikation ein
das identifizierte virtuelle lokale Netzwerk repräsentierendes VLAN-Tag
hinzuzufügen,
um eine VLAN-Kommunikation zu bilden, und die VLAN-Kommunikation
zur Übertragung über das
ermittelte virtuelle lokale Netzwerk zum zweiten Kommunikationsport
zu leiten, wobei die verschiedenen Typen virtueller lokaler Netzwerke
Netzwerke umfassen, die wenigstens teilweise auf Ports basieren,
und wobei die Vorrangsregeln einem wenigstens teilweise auf Ports
basierenden virtuellen lokalen Netzwerk Vorrang vor jedem anderen virtuellen
lokalen Netzwerktyp geben. Vorzugsweise geben die Vorrangsregeln
(i) den port-und-protokoll-basierten
virtuellen Netzwerken Vorrang vor den port-basierten Netzwerken
geben, (ii) den port-basierten virtuellen Netzwerken Vorrang vor
den adress-und-protokoll-basierten virtuellen Netzwerken, (iii)
den adress-und-protokoll-basierten
virtuellen Netzwerken Vorrang vor den adress-basierten virtuellen
Netzwerken und (iv) den adress-basierten virtuellen Netzwerken Vorrang
vor den protokoll-basierten virtuellen Netzwerken.
-
Typischerweise
enthält
die Kommunikation wenigstens eine Quelladresse und eine Protokollkennung,
die die Switchsteuerung zusammen mit dem Port, an dem die Kommunikation
empfangen wird, detektiert, um das VLAN zu identifizieren. Nachdem das
VLAN identifiziert wurde, fügt
die Switchsteuerung einen VLAN-Tag, der das identifizierte VLAN
repräsentiert,
hinzu, um eine VLAN-Kommunikation
zu bilden. Die Switchsteuerung leitet dann die VLAN-Kommunikation zur Übertragung über das identifizierte
virtuelle lokale Netzwerk zum zweiten Kommunikationsport.
-
Gemäß weiterer
Aspekte der Erfindung kann ein virtuelles Kommunikationssystem implementiert werden,
das mehrere Switche vom oben beschriebenen Typ verwendet. Ein mit
den mehreren Switchen verbundener Netzwerkmanager ist dazu fähig, wie oben
beschrieben, virtuelle lokale Netzwerke verschiedenen Typs zu konfigurieren.
-
Gemäß einem
weiteren Aspekt der Erfindung wird ein Verfahren zur Kommunikation
in einem Kommunikationssystem gemäß Anspruch 10 bereitgestellt,
wobei das Kommunikationssystem, mehrere lokale Netzwerke aufweist,
die durch mehrere Switche miteinander verbunden sind, um in verschiedene Typen
virtueller lokaler Netzwerke konfigurierbar zu sein, wobei das Verfahren
folgendes umfaßt:
feststellen einer Kommunikation von einem lokalen Netzwerk, Identifizieren
eines virtuellen lokalen Netzwerks, über das die Kommunikation zu übertragen ist,
basierend auf Vorrangsregeln für
verschiedene Typen virtueller lokaler Netzwerke, wobei die verschiedenen
Typen virtueller lokaler Netzwerke Netzwerke umfassen, die wenigstens
teilweise auf Ports basieren und wobei die Vorrangsregeln einem
wenigstens teilweise auf Ports basierenden virtuellen lokalen Netzwerk
Vorrang vor jedem anderen virtuellen lokalen Netzwerktyp geben,
Hinzufügen
eines das ermittelte virtuelle lokale Netzwerk repräsentierenden
VLAN-Tags zu der Kommunikation, um eine VLAN-Kommunikation zu bilden, und Übertragen
der VLAN-Kommunikation über
das ermittelte virtuelle lokale Netzwerk.
-
Gemäß noch einem
weiteren Aspekt der vorliegenden Erfindung wird ein System zur Zuordnung eines
VLAN zu einem Paket, das an einem Switch empfangen wird, gemäß Anspruch
18 bereitgestellt, wobei der Switch Teil eines Kommunikationsnetzwerks
ist, das einen oder mehrere Switche und ein oder mehrere verschiedene
LANs umfaßt,
wobei das System folgendes umfaßt:
Mittel zum Identifizierens eines Access-Ports, an dem das Paket
empfangen wird, Mittel zum Bestimmen einer oder mehrerer VLAN-Kennzeichnungen
für das
Paket, basierend auf einer oder mehreren Eigenschaften des empfangenen
Pakets, wobei wenigstens eine der Kennzeichnungen auf dem identifizierten
Access-Port basierend bestimmt wird, Mittel zum Bestimmen, daß von der
einen oder den mehreren bestimmten VLAN-Kennzeichnungen eine wenigstens
teilweise auf dem identifizierten Access-Port basierende VLAN-Kennzeichnung
eine VLAN-Kennzeichnung höchster Priorität ist, wobei
eine derartige Bestimmung gemäß einer
vordefinierten Hierarchie bestimmt wird, die die zumindest teilweise
auf dem identifizierten Access-Port basierende VLAN-Kennzeichnung
als die VLAN-Kennzeichnung
höchster Priorität festlegt,
und Mittel, um dem Paket das wenigstens teilweise auf dem identifizierten
Access-Port basierende VLAN zuzuordnen.
-
KURZE BESCHREIBUNG DER
ZEICHNUNGEN
-
Diese
und viele andere Vorteile der vorliegenden Erfindung werden leicht
erkennbar, wenn dasselbe mit Bezug auf die beigefügte Zeichnung besser
verständlich
wird, in der die Bezugszahlen durchweg ähnliche oder entsprechende
Teile bezeichnen, wobei:
-
1 eine
bekannte LAN-Konfiguration darstellt;
-
2 eine
bekannte VLAN-Konfiguration darstellt;
-
3 ein
herkömmliches
LAN-Nachrichtenpaket darstellt;
-
4 ein
herkömmliches
VLAN-Nachrichtenpaket darstellt;
-
5 ein
schematisches Diagramm eines herkömmlichen VLAN-Systems darstellt;
-
6 verschiedene
VLAN-Typen darstellt, die in konventioneller Weise aus den in 5 dargestellten
LANs konfiguriert wurden;
-
7 ein
VLAN-System gemäß der vorliegenden
Erfindung darstellt;
-
8 einen
Switch darstellt, der in dem in 7 dargestellten
VLAN-System gemäß der vorliegenden
Erfindung verwendet werden kann;
-
9 die
in 7 abgebildeten LANs darstellt, die gemäß der vorliegenden
Erfindung in verschiedene VLAN-Typen konfiguriert sind;
-
10 ein
Ablaufdiagramm der von dem in 8 abgebildeten
Switch gemäß der vorliegenden Erfindung
ausgeführten
Schritte darstellt; und
-
11 die
Vorrangsreihenfolge gemäß der vorliegenden
Erfindung darstellt.
-
DETAILLIERTE BESCHREIBUNG
-
7 stellt
ein virtuelles Kommunikationssystem oder Netzwerk gemäß der vorliegenden
Erfindung dar. Das Netzwerk umfaßt mehrere lokale Netzwerke
(LANs) 205-260, die über
mehrere rekonfigurierbare Multiport-Switche 270', 275' und 280', die alle über ein
Hochgeschwindigkeits-Backbone-LAN 265, oft als der Trunk
bezeichnet, zusammenhängen, miteinander
verbunden sind. Jedes LAN außer
dem Backbone-LAN 265 ist über einen Access-Port 305 an
einen der Switche 270', 275' oder 280' angeschlossen,
während
das Backbone-LAN 265 über
einen Trunk-Port 315 an jeden Switch angeschlossen ist.
Eine Netzwerkmanagementstation (NMS) 290', die eine Workstation mit darauf
geladener Netzwerkmanagement-Software sein kann, verwaltet das Netzwerk,
indem sie das Netzwerk über
die Switche 270', 275' und 280' konfiguriert,
um ein oder mehrere virtuelle lokale Netzwerke (VLANs) zu bilden.
Eine Trunkstation 285 ist über einen Trunk-Port 315 an das
Backbone-LAN 265 angeschlossen. Die Trunkstation 285 kann
beispielsweise ein Netzwerkserver oder eine andere Netzwerkressource
sein, zu dem oder der einige oder alle der Teilnehmer der LANs 205-260 von
Zeit zu Zeit oder kontinuierlich einen Hochgeschwindigkeitszugang
fordern, wie im Stand der Technik bekannt ist. Jeder der Switche 270', 275' und 280' ist dazu fähig, über das
Backbone-LAN 265 Teilnehmer aus jedem der LANs 205-260 mit
Teilnehmern aus dem einen oder den mehreren anderen LANs innerhalb
der von der NMS 290' konfigurierten VLANs
zu verbinden.
-
Wie
in 8 dargestellt, umfaßt jeder der Switche 270', 275' und 280' eine Steuerungskonsole 288 mit
einem Steuerungsmodul 284 und einem Speicher 286 zum
Speichern und Verarbeiten von Steuerungs- und VLAN- Konfigurationsanweisungen. Diese
Daten können
anfänglich
in den in den Switch programmiert oder durch die NMS 290' zum Switch übertragen
werden. Das Steuerungsmodul 284 umfaßt einen Kontroller 284a zur
Steuerung des Switchinggeräts 282.
Ein Detektor 284b detektiert ein Kommunikationspaket, das
vom Backbone 265 über einen
Trunk-Port 315 oder von einem LAN, das über einen Access-Port 305 direkt
an den Switch angeschlossen ist, empfangen wird.
-
Kommunikationen
vom Backbone 265 können
einen VLAN-Header vom zuvor mit Bezug auf 4 beschriebenen
Typ enthalten oder auch nicht. Beispielsweise werden Kommunikationen
von einem Systembenutzer, der ein Teilnehmer der Standardgruppe
ist, von einem Switch, der über
einen Access-Port 305 an
das LAN angeschlossen ist, in dem sich der Systembenutzer befindet,
nicht mit einem VLAN-Header getaggt. Wie oben beschrieben, ist die Standardgruppe
eine Gruppe von Systembenutzern, die zu keinem VLAN gehören. Mit
Bezug auf 6, wäre ein Systembenutzer innerhalb
der Standardgruppe ein Systembenutzer, der nicht Teil des port-basierten
VLAN 800, des adress-basierten VLAN 900, des protokoll-basierten
VLAN 1000, des port-und-protokoll-basierten
VLAN 1100 oder des adress-und-protokoll-basierten VLAN 1200 ist.
Beispielsweise wäre
ein Systembenutzer, der zum VLAN 205 gehört und der
ein Kommunikationspaket mit einem anderen Protokoll als P1 sendet,
ein Teilnehmer aus der Standardgruppe. Falls somit ein Systembenutzer
in der Standardgruppe ist, werden Kommunikationen von diesem Systembenutzer
zu Systembenutzern anderer LANs nicht getaggt. Für das in 8 dargestellte
Netzwerk können
Kommunikationen von der NMS 290' durch die Switche 270', 275' und 280' verschieden
detektiert werden. Die Detektoren 284b der Switche 270' und 275' detektieren
Kommunikationen von der NMS 290' über das Backbone-LAN 265 an
einem Trunk-Port 315, während der
Detektor 284b des Switch 280' Kommunikationen von der NMS 290' am mit dem
LAN 260 verbundenen Access-Port 305 detektiert.
-
Der
Detektor 284b eines Switch detektiert alle Kommunikationen über das
Backbone-LAN 265, die das Steuerungsmodul 284 in
folgender Weise behandelt. Falls eine detektierte Kommunikation
an einen Netzwerkempfänger
in irgendeinem der an einen Access-Port des betroffenen Switch angeschlossen LANs
lieferbar ist, weist der Kontroller 284a des betroffenen
Switch das Switchinggerät 282 an,
die Kommunikation vom Trunk-Port 315 zum betroffenen Access-Port 305 zu übertragen.
Genauer weist der Kontroller 284a des betroffenen Switch
das Switchinggerät 282 an,
die Nachricht an das betroffene LAN zu übertragen, falls die detektierte
Kommunikation an den Empfänger
richtig adressiert und von einem autorisierten Teilnehmer des Systems
weitergeleitet ist. Ein autorisierter Teilnehmer ist ein Teilnehmer
des VLAN, das den Empfänger
umfaßt.
Im Fall, daß der
Empfänger
ein Teilnehmer aus der Standardgruppe ist, ist ein autorisierter
Teilnehmer jedoch jeder andere Teilnehmer des Systems, da der Teilnehmer
kein Teilnehmer irgendeines VLAN ist.
-
Das
Steuerungsmodul 284 umfaßt auch einen Tagger 284c zum
Taggen von Kommunikationen, die über
einen Access-Port 305 empfangen werden zur Übertragung
von einem Teilnehmer zu einem anderen Teilnehmer eines konfigurierten
VLAN, indem ein VLAN-Header zu ihnen hinzugefügt wird. Der Tagger 284c entfernt
auch den VLAN-Header von einer Kommunikation, die vom Trunk-Port 315 des
Switch empfangen wird und die an einen Teilnehmer in einem LAN,
das über
einen Access-Port an den Switch angeschlossen ist, weiterzuleiten
ist. Genauer wirft der Tagger 284c durch das Entfernen
des VLAN-Headers von der Kommunikation den Tag ab, bevor die Kommunikation
zum passenden Ausgangsport 305 übertragen wird, das heißt bevor
der Kontroller 284a das Switchinggerät 282 dazu anweist,
die Kommunikation vom Trunk-Port 315 zum Access-Port 305 zu übertragen.
-
Falls
die detektierte Kommunikation über
einen Access-Port 305 des Switch empfangen wurde und richtig
adressiert und an eine Netzwerkadresse auf irgendeinem der anderen
an den Switch angeschlossenen LANs lieferbar ist, weist der Kontroller 284a des
Switch das Switchinggerät 282 an,
die Nachricht vom Eingabe-Access-Port 305 zum betreffenden
Ausgabe-Access-Port 305 zu übertragen. In solch einem Fall,
bei dem der Sender und Empfänger jeweils
Teilnehmer eines an denselben Switch angeschlossenen LAN sind, ist
es nicht notwendig zur Kommunikation einen VLAN-Header hinzuzufügen, bevor
sie zum Ausgabe-Port 305 geleitet wird. Falls jedoch eine
solche Kommunikation zu einem oder mehreren über Access-Ports direkt an
andere Switche angeschlossene LANs innerhalb des betroffenen VLAN
multicast-übertragen
werden soll, wird die Kommunikationsausgabe vom Trunk-Port 315 des betroffenen
Switch natürlich
wie oben besprochen vor der Übertragung über den
Trunk 265 vom Tagger getaggt.
-
Entsprechend
werden alle Kommunikationen zwischen LANs innerhalb konfigurierter
VLANs an das passende Empfänger-LAN
weitergeleitet. Dies wird durch das Identifizieren von Kommunikationen zwischen
LANs innerhalb konfigurierter VLANs und das Taggen der Kommunikationen,
außer
für solche zwischen
LANs, die über
einen Access-Port an denselben Switch angeschlossen sind, mit einem VLAN-Header
erreicht.
-
Die
NMS 290' ist
dazu fähig,
VLANs mit verschiedenen Typen zu konfigurieren. Genauer kann die
NMS 290' VLANs
konfigurieren oder festlegen, die port-basiert, adress-basiert,
protokoll-basiert, port-und-protokoll-basiert und adress-und-protokoll-basiert
sind. Die NMS 290' weist
die Switche 270'-280' entsprechend
der Konfigurationen der verschiedenen VLAN-Typen an. Jeder der Switche 270'-280' ist so programmiert,
daß er
die betreffenden Eigenschaften jeder über einen Access-Port empfangenen
Kommunikation berücksichtigt,
um den passende VLAN-Tag festzustellen, der vor der Übertragung über den
Trunk-Port 315 zum
Hochgeschwindigkeits-LAN-Backbone oder Trunk 265 zur Kommunikation
hinzuzufügen
ist. Diese Anweisungen können
im Speicher 286 des Switch gespeichert werden, wie in 8 dargestellt,
und vom Switchsteuerungsmodul 284 dazu verwendet werden,
um festzustellen, welcher Tag zu einer an einem Access-Port 305 empfangenen
Kommunikation hinzuzufügen
ist.
-
Jeder
der Switche 270'-280' ist so programmiert,
daß er
eine Vorrangsreihenfolge verwendet, um zweifelsfrei das passende
VLAN zur Übertragung der
empfangenen Kommunikation zu ermitteln. Genauer ist jeder der Switche 270'-280' so programmiert,
daß er
die Kommunikation mit dem VLAN-Header,
das heißt
dem VLAN-Tag, taggt, der das VLAN, das port-und-protokoll-basiert ist, vor
irgendeinem anderen VLAN repräsentiert.
Falls daher eine von einem der LANs empfangene Kommunikation als
möglicherweise
zu einem port-und-protokoll-basierten oder
einem anderen VLAN-Typ gehörend
identifiziert wird, gibt der Switch dem port-und-protokoll-basierten
VLAN vor den anderen möglichen
zugehörigen VLANs
Vorrang.
-
Falls
beispielsweise, mit Bezug auf 9, der Switch 280' eine Kommunikation
mit einer Protokollkennung für
das Protokoll P1 von einem Benutzer im LAN 250 empfängt, identifiziert
der Switch die Kommunikation als sowohl zu einem port-und-protokoll-basierten
als auch zu einem protokoll-basierten VLAN
gehörig.
Der Switch 280' wird
entsprechend der durch seine programmierten Anweisungen festgelegten
Vorrangsreihenfolge die Kommunikation dem port-und-protokoll-basierten
VLAN 1100 zuordnen, anstatt dem protokoll-basierten VLAN 1000,
und wird dementsprechend die Kommunikation mit einem VLAN-Header
taggen, der das VLAN 1100 repräsentiert.
-
Jeder
der Switche 270'-280'ist des weiteren so
programmiert, daß er
der Identifikation einer möglichen
Zuordnung zu einem port-basierten VLAN Vorrang vor allen anderen
VLAN-Typen gibt, außer port-und-protokoll-basierten
VLANs. Falls beispielsweise Switch 270' an einem Access-Port 305 eine Kommunikation
vom LAN 210 empfängt,
das eine Quelladresse innerhalb des adress-basierten VLAN 900 enthält, beispielsweise
die Adresse K, wird Switch 270' dem Umstand Vorrang geben, daß die Kommunikation
an einem Port 305 empfangen wurde, der innerhalb des port-basierten
VLAN 800 konfiguriert ist, und er wird die Kommunikation
mit einem VLAN-Header taggen, der das VLAN 800 anstatt dem
VLAN 900 repräsentiert.
Für den
Fachmann ist es erkennbar, daß das
Festlegen sowohl port-und-protokoll-basierter VLANs als auch nur port-basierter
VLANs an den höchsten
Positionen innerhalb der Vorrangsreihenfolge, nicht nur sicherstellt,
daß die
Kommunikation über
das richtige VLAN übertragen
wird, sondern auch die Sicherheit erhöht, da protokoll-basierte und
adress-basierte VLANs von Natur aus weniger sicher sind als port-basierte VLANs.
-
Die
Switche 270'-280' sind des weiteren
so programmiert, daß adress-und-protokoll-basierten VLANs
Vorrang vor adress-basierten VLANs und protokoll-basierten VLANs gegeben wird. Falls
beispielsweise Switch 280' an
einem Access-Port 305 eine Kommunikation von einem Systembenutzer
mit einer Adresse T im LAN 260 empfängt und die Kommunikation ein
identifiziertes Protokoll hat, das mit dem dem protokoll-basierten
LAN 1000 zugeordneten Protokoll P1 übereinstimmt, wird der Switch 280' die Übereinstimmung
der Kommunikation mit dem adress-und-protokoll-basierten VLAN 1200 priorisieren
und ihr Vorrang geben vor dem adress-basierten VLAN 900 und
dem protokoll-basierten
VLAN 1000. Dementsprechend wird der Switch 280' die Kommunikation
mit dem VLAN-Header taggen, der das VLAN 1200 repräsentiert.
-
Schließlich wird
adress-basierten VLANs Priorität
oder Vorrang vor den protokoll-basierten VLANs gegeben. Falls in
Hinsicht darauf Switch 275' an
einem Access-Port 305 eine Kommunikation von einem Systembenutzer
mit einer Adresse N im LAN 230 empfängt, die eine Protokollkennung
enthält,
die mit dem Protokoll P1 übereinstimmt,
auf dem das protokoll-basierte VLAN 1000 konfiguriert ist,
wird der Switch 275' das
passende VLAN als das adress-basierte VLAN 900 anstatt
dem protokoll-basierten VLAN 1000 identifizieren und er
wird die Kommunikation entsprechend taggen. Die Vorrangsstufen sind
in 11 abgebildet.
-
10 faßt die an
jedem Switch 270'-280' durchgeführten Phasen
zusammen, um das passende VLAN richtig zu identifizieren, um eine
Kommunikation zu taggen, die von einem LAN empfangen wurde, das über Access-Port 305 direkt
an ihn angeschlossen ist. Wie in 10 gezeigt,
empfängt
der Switch, typischerweise in Form eines Pakets, in Phase 1300 eine
Kommunikation an einem Access-Port 305. In Phase 1310 werden
die Kommunikationseigenschaften durch den Detektor 284b des
Steuerungsmoduls 284 detektiert. Diese Eigenschaften umfassen
den Empfangsport, die Quelladresse und das Protokoll.
-
In
Phase 1320 bestimmt das Steuerungsmodul 284 gemäß der programmierten
Anweisungen im Speicher 286 ein oder mehrere VLAN-Zuordnungen, das
heißt
es bestimmt ein oder mehrere VLANs, denen die Kommunikation richtig
zugeordnet werden kann. Abhängig
von der Anweisung kann diese Bestimmung auf dem gemeinsam berücksichtigten Empfangsport
und Protokoll, dem Empfangsport, der gemeinsam berücksichtigten
Quelladresse und Protokoll, der Adresse und dem Protokoll beruhen.
-
Für den Fall
mehr als einer VLAN-Zuordnung, identifiziert in Phase 1330 der
betroffene Switch 270'-280'welche der VLAN-Typ-Zuordnungen basierend
auf der oben beschriebenen Vorrangsreihenfolge die höchste Priorität hat, das
heißt port-und-protokoll-basiert
vor port-basiert, port-basiert vor adress-und-protokoll-basiert, adress-und-protokoll-basiert
vor adress-basiert und adress-basiert
vor protokoll-basiert, wie in 11 dargestellt
ist.
-
In
Phase 1340 wird die Kommunikation mit dem VLAN-Header getaggt,
der das VLAN mit der höchsten
identifizierten Priorität
repräsentiert.
In Phase 1350 wird die getaggte Kommunikation über den
Trunk-Port 315 des Switch übertragen und von dort an den
oder die richtigen Empfänger
in herkömmlicher
Weise weitergeleitet.
-
Beispielsweise
würden
mit Bezug auf 9 die folgenden Phasen am Switch 275' durchgeführt werden,
wenn ein Systembenutzer mit der Adresse U im LAN 240 ein
Kommunikationspaket mit einer Protokollkennung P1 überträgt, das
an einen Systembenutzer mit der Adresse L im LAN 220 adressiert
ist, und das System so programmiert ist, daß es Pakete mit einer Protokollkennung
für das
Protokoll P1 mit dem protokoll-basierten VLAN 1000 identifiziert.
Erstens empfängt
Switch 275' das
Paket an einem Access-Port 305. Zweitens detektiert Detektor 284b des Steuerungsmoduls 284 des
Switch 275' den
Empfangsport, die Quelladresse U des Pakets und die Protokollkennung
für P1
des Pakets. Drittens bestimmt das Steuerungsmodul 284 des
Switch 275' gemäß den im
Speicher 286 abgelegten programmierten Anweisungen fünf VLAN-Zuordnungen.
Genauer bestimmt das Steuerungsmodul, daß das Paket richtig dem port-basierten
VLAN 800 zugeordnet werden kann, da der Empfangsport, an
den das LAN 240 angeschlossen ist, ein Element des VLAN 800 ist,
daß das
Paket richtig dem adress-basierten VLAN 900 zugeordnet
werden kann, da die Quelladresse U ein Element des VLAN 900 ist,
daß das Paket
richtig dem protokoll-basierten VLAN 1000 zugeordnet werden
kann, da die Protokollkennung des Pakets für P1 ist, daß das Paket
richtig dem port-und-protokoll-basierten VLAN 1100 zugeordnet werden
kann, da der Empfangsport, an dem das LAN 240 angeschlossen
ist, ein Element des VLAN 1100 ist, wenn die Protokollkennung
des Pakets für
P1 ist, und daß das
Paket richtig dem adress-und-protokoll-basierten VLAN 1200 zugeordnet
werden kann, da die Quelladresse U ein Element des VLAN 1200 ist,
wenn die Protokollkennung des Pakets für P1 ist.
-
Viertens
identifiziert das Steuerungsmodul 284 basierend auf der
wie in 11 dargestellten Vorrangsreihenfolge,
daß das
port-und-protokoll-basierte VLAN 1100 die höchste Priorität vor dem port-basierten
VLAN 800, dem adress-und-protokoll-basierten
VLAN 1200, dem adress-basierten VLAN 900 und dem
protokoll-basierten VLAN 1000 hat.
-
Fünftens taggt
der Tagger 284c des Switch 275' das Paket mit dem VLAN-Header, der das VLAN 1100 repräsentiert.
Zuletzt überträgt Switch 275' das getaggte
Paket über
den Trunk-Port 315 auf das Hochgeschwindigkeits-Backbone 265,
um es zum Systembenutzer mit der Adresse V in herkömmlicher Weise
zu übertragen.
-
Wie
oben im Detail beschrieben, stellt die vorliegende Erfindung Vorrangsregeln
zur direkten Kommunikation innerhalb verschiedener VLAN-Typen bereit. Innerhalb
von VLAN-Systemen, die dazu fähig
sind, mehrere Typen von VLANs zu konfigurieren, routen Switche Kommunikationen
basierend auf den vordefinierten Vorrangsregeln und in sicherer Weise
zu Empfängern.
-
Es
ist vom Fachmann auch zu erkennen, daß, obwohl die Erfindung oben
durch eine bevorzugte Ausführungsform
beschrieben ist, sie nicht darauf beschränkt ist. Beispielsweise kann
eine andere Ausführungsform
mit einer veränderten
Reihenfolge der beschriebenen Vorrangsregeln realisiert werden. Verschiedene
Kennzeichen und Eigenschaften der oben beschriebenen Erfindung können einzeln
oder gemeinsam verwendet werden. Obwohl die Erfindung im Zusammenhang
ihrer Umsetzung in einer bestimmten Umgebung und für bestimmte
Zwecke beschrieben wurde, erkennt der Fachmann außerdem,
daß ihre
Nützlichkeit
nicht darauf beschränkt
ist und daß die
vorliegende Erfindung vorteilhaft in jeder Anzahl von Umgebungen
und Umsetzungen verwendet werden kann.