Startseite > Office & Kommunikation > Der Kostensenker im WAN und LAN

Der Kostensenker im WAN und LAN

2. November 2010, 11:12 Uhr | Claudia Rayling

Fortsetzung des Artikels von Teil 2

Von der statischen zur dynamischen Virtualisierung

Technisch gesehen kommen bei der Netzwerkvirtualisierung zwei unterschiedliche Methoden zum Einsatz: Bei VLANs und Multi-SSIDs bezieht sich die Virtualisierung auf das Übertragungsmedium, das zu einem Shared-Medium umfunktioniert wird. Ein Access-Point mit mehreren SSIDs spannt beispielsweise einfach mehrere voneinander getrennte Funkzellen „nebeneinander" auf. VLANs und Multi-SSIDs werden auf der physikalischen Netzwerkebene, dem Layer 2 des OSI-Modells, realisiert. Diese Art der Virtualisierung ist auf das verkabelte oder drahtlose Unternehmensnetz, das LAN, begrenzt.

Fakt ist jedoch, dass die IP-basierte Zusammenarbeit zunehmend über die Grenzen einer Organisation und damit des LANs hinausgeht, sie verlagert sich immer mehr ins WAN. Zudem orientiert sie sich immer stärker an den Aufgaben der Mitarbeiter oder an Kommunikationsteilnehmern. Das einfachste Beispiel für das Überschreiten der Grenzen des LANs ist der Netzwerkzugang für Gäste in den eigenen Räumen: In komplexen Szenarien erhalten externe Dienstleister über das Internet Zugriff auf bestimmte Anwendungen im lokalen Netzwerk. Eine rein statische Virtualisierung, wie sie bei VLANs und Multi-SSIDs auf Layer 2 geschieht, reicht hier nicht mehr aus.

Der nächste Schritt in der Virtualisierung von Netzwerken ist daher die dynamische Virtualisierung auf Layer 3 - die Trennung der Anwendung selbst von den physikalischen Übertragungsmedien: die IP-Netzwerke und das Routing der Datenpakete zwischen diesen IP-Netzwerken. Ähnlich wie bei der Virtualisierung von Servern wird dabei als Hardware ein Router genutzt, um mehrere virtuelle Router einzurichten. Jeder dieser virtuellen Router kann speziell für sein Netzwerk konfiguriert werden.

Mit einer solch höheren Ebene der Virtualisierung können auf vorhandenen Infrastrukturen parallel ganz unterschiedliche Anwendungen mit dedizierten Einstellungen für Routing und Zugriffsberechtigungen realisiert werden. Ein Mechanismus, mit dessen Hilfe sich komplexe Virtualisierungsszenarien umsetzen lassen, ist das Advanced Routing & Forwarding (ARF) von Lancom. Hierbei werden aus einem Router bis zu 64 logische - virtuelle - „Maschinen".

Der Kern dieser Technologie ist die Option, für jede Anwendung ein eigenes IP-Netzwerk auf dem zentralen physikalischen Router einzurichten. Für jedes dieser Netzwerke können grundlegende Funktionen, wie die Firewall oder der DHCP-Server, separat konfiguriert werden. Besonders wichtig ist jedoch die Möglichkeit, über ein spezielles Tag die Einträge in der Routing-Tabelle einem IP-Netzwerk zuzuordnen: So entstehen in einem physikalischen Router mehrere virtuelle Router, deren Verhalten speziell auf das jeweilige IP-Netzwerk abgestimmt wird. Dabei werden die Tags zur Unterscheidung der Datenpakete anhand verschiedener Kriterien zugewiesen.

Bei der Einrichtung eines WLAN-Zugangs für Besucher können Gäste des Unternehmens nach der Authentifizierung automatisch mit beschränkten Rechten ausgestattet werden. Neben internen Usern lassen sich aber auch externe Unternehmen in die virtuelle Netzwerkstruktur einbinden. Wird beispielsweise einem Dienstleister ein VPN-Zugang zur Überwachung der Heizungsanlage eingerichtet, kann dieser Zugang gezielt einem anderen IP-Netz zugeordnet werden.

Um diese Form der Virtualisierung zu erreichen, müssen die verwendeten Router ARF beherrschen und die Zuordnung der IP-Netzwerke zu einer LAN- oder WLAN-Schnittstelle unterstützen, gegebenenfalls genauer spezifiziert über eine VLAN-ID. Um die Tags zur Unterscheidung der IP-Netzwerke richtig zu behandeln, müssen alle Switches und Access-Points im LAN VLAN- beziehungsweise Multi-SSID-fähig sein.
Sollen überlappende IP-Netze dann getrennt über eine WAN-Verbindung weiter übertragen werden, kommt ein zusätzliches Tunnel-Protokoll zum Einsatz: das PPTP (Point-to-Point-Tunneling-Protocol). Dadurch bleibt die LAN-seitige Trennung durch VLAN oder Multi-SSID auch bei der Übertragung via Internet komplett erhalten. Für maximale Sicherheit sorgt dabei die verschlüsselte Übertragung durch einen IPSec-VPN-Tunnel.