Problemy z VLAN – brak łączności

Problemy z VLAN (brak łączności) wskazują na niezgodną konfigurację tagów 802.1Q między przełącznikiem a kartą sieciową komputera.

Problemy z VLAN – brak łączności: czym jest ten objaw

Problemy z VLAN – brak łączności pojawiają się wtedy, gdy urządzenie ma fizyczne połączenie z siecią, ale nie może dotrzeć do wybranych komputerów, drukarek, punktów dostępowych albo zasobów znajdujących się w tej samej logicznej grupie. Czasem nie działa cała komunikacja, a czasem dostęp jest ograniczony tylko do określonego segmentu. System może pokazywać aktywne połączenie przewodowe, poprawny stan karty sieciowej i adres IP, mimo że próba otwarcia strony, wysłania polecenia ping lub skorzystania z udostępnionego zasobu kończy się niepowodzeniem.

VLAN, czyli wirtualna sieć lokalna, pozwala podzielić jedną infrastrukturę fizyczną na kilka odseparowanych części. Komputer podłączony do odpowiedniego portu może zostać przypisany do konkretnego segmentu, a ruch między segmentami może być kontrolowany przez urządzenie routujące. Dzięki temu można oddzielić na przykład stanowiska pracownicze, urządzenia gościnne, sprzęt monitoringu lub telefony sieciowe, bez prowadzenia osobnego okablowania dla każdego obszaru.

Brak łączności najczęściej nie oznacza uszkodzenia samego przewodu. Przyczyną bywa niezgodność sposobu oznaczania ramek, błędne przypisanie portu, niewłaściwy profil karty sieciowej albo pomylenie numeru VLAN. Do prawidłowej oceny potrzebne jest ustalenie, w którym miejscu kończy się poprawny przepływ danych: na komputerze, porcie przełącznika, połączeniu między urządzeniami czy dopiero na bramie sieciowej.

Problemy z VLAN i 802.1Q – kontekst techniczny oraz porównania

W sieciach wykorzystujących standard 802.1Q informacja o przynależności ramki do określonego VLAN może być przenoszona w postaci znacznika. Port działający jako access zwykle przekazuje urządzeniu końcowemu ruch należący do jednego przypisanego VLAN, bez wymagania ręcznego ustawiania tagowania w komputerze. Port trunk jest przeznaczony do przenoszenia ruchu z wielu VLAN i musi mieć zgodną listę dozwolonych segmentów oraz sposób obsługi ramek nietagowanych. Jeżeli po jednej stronie oczekiwany jest ruch oznaczony, a po drugiej wysyłany jest ruch bez znacznika, komunikacja może zostać odrzucona lub trafić do niewłaściwej sieci.

Warto odróżnić trzy sytuacje. W pierwszej komputer otrzymuje adres z właściwej puli, ale nie odpowiada brama. Może to oznaczać problem z filtrowaniem ruchu, błędny gateway albo izolację portu. W drugiej komputer dostaje adres z nieprawidłowej puli, co często wskazuje na pomyłkę w przypisaniu VLAN lub działanie nie tego serwera DHCP, którego oczekiwano. W trzeciej karta sieciowa pozostaje bez adresu albo otrzymuje adres automatyczny. Wtedy należy sprawdzić, czy żądanie DHCP dociera do właściwego segmentu i czy port nie wymaga innego sposobu oznaczania ramek.

Znaczenie ma także miejsce, w którym realizowane jest tagowanie. Niektóre karty sieciowe i sterowniki pozwalają tworzyć interfejsy logiczne, a następnie przypisywać im konkretne identyfikatory VLAN. W takim układzie pominięcie konfiguracji na komputerze może przerwać komunikację, lecz ustawienie tagowania na urządzeniu, które powinno pracować jako port access, może wywołać dokładnie ten sam objaw. Nie powinno się więc kopiować ustawień z innego stanowiska bez sprawdzenia, czy oba porty oraz oba sterowniki działają według tej samej metody.

Ważne jest również odróżnienie problemu VLAN od problemu routingu. Dwa urządzenia w jednym VLAN powinny mieć możliwość komunikacji lokalnej, jeśli nie blokują jej reguły zapory lub izolacji. Komunikacja między różnymi VLAN wymaga natomiast prawidłowo działającej bramy i odpowiednich reguł. Jeżeli dostęp do urządzeń w tym samym segmencie działa, lecz nie można otworzyć zasobu w innym segmencie, nie musi to oznaczać błędnego tagowania.

Problemy z VLAN – brak łączności i typowe źródła awarii

Jednym z częstych powodów jest niezgodność numeru VLAN. Przełącznik może przypisywać port do jednego segmentu, podczas gdy w ustawieniach karty sieciowej wpisano inny identyfikator. Podobny skutek daje niezgodność listy VLAN dozwolonych na połączeniu między przełącznikami. Wówczas część segmentów działa, a jeden wybrany VLAN znika po drodze. Pomocne jest porównanie konfiguracji obu końców połączenia oraz sprawdzenie, czy wskazany segment rzeczywiście istnieje na każdym urządzeniu uczestniczącym w transmisji.

Drugą przyczyną może być tak zwany native VLAN albo VLAN domyślny. Ruch bez znacznika może być interpretowany po jednej stronie jako należący do innej sieci niż po drugiej. Na komputerze pojawia się wtedy adres z nieoczekiwanej puli, brak odpowiedzi bramy albo dostęp wyłącznie do części urządzeń. W przypadku zmiany konfiguracji przełącznika należy upewnić się, że ustawienie dotyczące ramek nietagowanych nie zostało przypadkowo zmienione na jednym z połączeń.

Problemy mogą powodować także ustawienia sterownika. Po aktualizacji systemu lub wymianie karty sieciowej funkcja VLAN może zostać wyłączona, przemianowana albo obsługiwana w inny sposób. Warto sprawdzić wersję sterownika, aktywne właściwości zaawansowane karty oraz obecność dodatkowych interfejsów logicznych. Należy przy tym unikać włączania kilku metod tagowania jednocześnie, ponieważ może to prowadzić do powielania znaczników i odrzucania ramek.

Źródłem awarii bywa również konfiguracja agregacji łączy, filtrów bezpieczeństwa, kontroli dostępu do portu lub izolacji urządzeń. Jeżeli problem zaczął się po przepięciu przewodu do innego gniazda, warto porównać przypisanie obu portów. Różne gniazda mogą należeć do innych VLAN, mimo że znajdują się w tym samym pomieszczeniu. Po podłączeniu urządzenia do portu przeznaczonego dla telefonu sieciowego, punktu dostępowego lub gości można uzyskać połączenie fizyczne, ale bez dostępu do oczekiwanych zasobów.

Nie należy pomijać zapory systemowej. Jeżeli adres IP, maska i brama są prawidłowe, lecz nie odpowiada tylko jeden typ usługi, blokada może dotyczyć portu TCP, ruchu ICMP albo udostępniania plików. W takim przypadku sam VLAN może działać poprawnie. Porównanie zachowania dwóch urządzeń podłączonych do tego samego portu pomaga ustalić, czy przyczyna leży w konfiguracji sieci, systemie operacyjnym czy konkretnym sterowniku.

Problemy z VLAN – praktyczne wskazówki diagnostyczne

Diagnostykę warto rozpocząć od zapisania objawów. Należy ustalić, czy nie działa połączenie z bramą, innymi urządzeniami w tym samym VLAN, czy tylko dostęp do innego segmentu. Trzeba również zanotować aktualny adres IP, maskę, bramę i adresy DNS, bez pochopnego zmieniania wielu ustawień naraz. Taki punkt odniesienia ułatwia późniejsze rozpoznanie, czy po każdej zmianie poprawił się zakres dostępnej komunikacji.

Na komputerze można sprawdzić stan interfejsu, tabelę routingu, odpowiedź na adres bramy oraz wynik odnowienia dzierżawy DHCP. W systemie Windows przydatne są polecenia ipconfig, ping, tracert i route print. W innych systemach stosuje się odpowiedniki o podobnym przeznaczeniu. Trzeba pamiętać, że brak odpowiedzi na ping nie zawsze oznacza brak sieci, ponieważ zapora może blokować ten rodzaj testu. Warto porównywać kilka punktów kontrolnych, a nie opierać diagnozy na jednym poleceniu.

Po stronie przełącznika należy zweryfikować status portu, przypisany VLAN, tryb pracy, dozwolone segmenty na połączeniach między urządzeniami oraz liczniki błędów. Jeżeli są dostępne statystyki, warto zwrócić uwagę na odrzucane ramki, błędy negocjacji i nietypowe przyrosty liczników. Przydatne bywa przeprowadzenie testu na innym, znanym porcie oraz podłączenie drugiego urządzenia do tego samego gniazda. Jeżeli oba urządzenia mają identyczny problem, bardziej prawdopodobna staje się przyczyna po stronie portu lub infrastruktury.

Zmiany powinny być wykonywane etapami i odnotowywane. Przed modyfikacją dobrze jest zapisać bieżącą konfigurację, aby można było wrócić do poprzedniego stanu. Nie powinno się usuwać wielu VLAN ani resetować ustawień bez kopii konfiguracji, ponieważ utrudnia to ustalenie pierwotnej przyczyny. W środowisku, w którym działają inne urządzenia, testy należy prowadzić w sposób ograniczający ryzyko przerwania ich pracy.

Pomocne może być przechwycenie ruchu i sprawdzenie, czy ramki mają oczekiwany znacznik. Taki test wymaga jednak prawidłowo wybranego miejsca pomiaru oraz znajomości ograniczeń karty sieciowej i sterownika. Sam fakt pojawienia się ramek w analizatorze nie przesądza jeszcze o poprawności konfiguracji, ponieważ trzeba ustalić, czy znaczniki, adresy źródłowe, adres docelowy i kierunek transmisji są zgodne z założeniami.

Problemy z VLAN – kiedy zgłosić się do serwisu

Zgłoszenie do serwisu jest uzasadnione, gdy brak łączności utrzymuje się mimo sprawdzenia przewodu, portu i podstawowych parametrów IP, gdy problem pojawił się po aktualizacji sterownika lub zmianie urządzenia sieciowego, a także wtedy, gdy objawy dotyczą kilku stanowisk jednocześnie. Szczególnej ostrożności wymaga sytuacja, w której nie ma pewności, czy dana zmiana dotyczy jednego portu, czy większej części infrastruktury. Błędna modyfikacja może odłączyć kolejne urządzenia albo utrudnić późniejsze odtworzenie poprawnych ustawień.

Przed przekazaniem sprzętu warto przygotować opis: kiedy wystąpiła awaria, jakie urządzenia są niedostępne, czy działa połączenie lokalne, jaki adres otrzymuje komputer oraz czy problem występuje na innym porcie. Przydatne są także zrzuty ustawień karty sieciowej, wyniki podstawowych testów oraz informacja o niedawnych zmianach. Takie dane skracają etap rozpoznania i pomagają odróżnić niezgodność VLAN od awarii przewodu, sterownika, zapory lub bramy.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie komputera, karty sieciowej, sterowników oraz współpracy urządzenia z istniejącą konfiguracją sieci. Analiza powinna obejmować zarówno objawy widoczne w systemie, jak i podstawowe zależności między portem, adresem IP oraz przypisanym segmentem. Po ustaleniu przyczyny można uporządkować ustawienia w sposób odpowiadający zastosowanemu modelowi sieci, bez przypadkowego zmieniania parametrów niezwiązanych z usterką.

Do czasu zakończenia diagnozy nie powinno się wielokrotnie przełączać tagowania, zmieniać numerów VLAN ani usuwać profili sieciowych bez zapisania bieżącego stanu. Jeżeli brak łączności dotyczy tylko jednego komputera, można tymczasowo porównać jego ustawienia z działającym urządzeniem, ale bez bezrefleksyjnego kopiowania adresu IP lub identyfikatora sprzętowego. Jeżeli problem obejmuje wiele stanowisk, bezpieczniejsze jest zebranie informacji i zaplanowanie kontroli konfiguracji całego toru połączenia.