Principi di progettazione di reti LAN Ethernet – VLAN, ridondanza, STP

In questo articolo, Principi di progettazione di reti LAN Ethernet – VLAN, ridondanza, STP, analizziamo le tecniche per progettare in modo efficiente una rete LAN Ethernet attraverso la virtualizzazione di reti LAN e la ridondanza degli switch

Indice dei contenuti

Introduzione

Nella progettazione di una LAN, a prescindere dalle dimensioni o dall’uso a cui è dedicata, si dovrebbero sempre rispettare alcuni principi di buona organizzazione strutturale:

• sicurezza: si deve suddividere la rete in reti IP distinte per gruppi di utenti diversi.

• scalabilità: la rete deve poter crescere o essere agevolmente modificata in alcune sue parti, così come devono poter essere facilmente aggiunti nuovi servizi o sostituiti elementi hardware;

• robustezza: la rete deve continuare a funzionare sia in condizioni normali sia eccezionali come alcuni malfunzionamenti hardware o software, carichi estremi di traffico, attacchi di tipo Denial Of Service (DOS) o eventi imprevisti qualsiasi;

• modularità: deve essere realizzata una suddivisione funzionale in sezioni che rendano più agevoli il progetto e la manutenzione della rete;

• gerarchia: deve essere previsto l’uso di un modello gerarchico a più livelli per suddividere una realtà complessa come una rete in aree più piccole e facilmente gestibili;

ESEMPIO

Una scuola secondaria è ospitata in un edificio a due piani:

• al piano terra vi sono la dirigenza con un PC dotato di stampante e la segreteria degli insegnanti attrezzata con 2 PC, una stampante condivisa e un server in comune con la dirigenza e la segreteria degli studenti;
• sempre al piano terra vi è l’aula multimediale con un PC per il docente interconnesso al videoproiettore e una rete wireless dedicata per i tablet già configurati e disponibili per gli studenti;
• il resto del piano terra è occupato da 4 aule, ciascuna delle quali ha un PC per il docente con una smartboard;
• al primo piano vi è la segreteria degli studenti dotata di 2 PC e di una stampante condivisa;
• sempre al primo piano si trovano 8 aule, ciascuna delle quali ha un PC per il docente con una smart board;
• al primo piano ci sono anche il laboratorio di informatica e di inglese, ognuno con un PC per il docente, una smartboard e 25 PC per gli studenti che condividono una stampante.

Per tutti gli utenti della rete deve essere garantito il collegamento alla rete Internet, inoltre gli studenti utilizzando i tablet dell’aula multimediale o i PC dei laboratori di informatica e inglese accedono a due server, uno di contenuti didattici e uno di contenuti multimediali. È infine previsto che la scuola disponga di una rete Wi-Fi di servizio con accesso Internet utilizzabile dai soli docenti.Una possibile soluzione per l’infrastruttura di rete è la seguente

Utilizzando un modello minimale, come questo, sicuramente i costi sono molto bassi, ma si incorre in una serie di problemi; a titolo di esempio:

• robustezza: in caso di malfunzionamenti dello switch Principale, a tutta la rete viene impedito l’accesso alla rete Internet;
• scalabilità: l’aggiunta di un nuovo laboratorio aumenta notevolmente il carico dello switch Principale, che già avrebbe difficoltà a sostenere un picco di traffico nel caso in cui tutti i laboratori venissero usati contemporaneamente;
• sicurezza: esiste un’unica rete IP, per cui da un qualsiasi dispositivo è teoricamente possibile raggiungere qualsiasi altro dispositivo compresi i PC della dirigenza e i server;
• modularità: non si è tenuto conto né dei vincoli fisici (ci sono più collegamenti del necessario tra piani), né di quelli logici (ci sono switch dedicati a gruppi di utenti diversi).

Modello gerarchico per le reti LAN Ethernet

Per rispettare i principi enunciati in precedenza, invece, si ricorre generalmente a un modello gerarchico suddiviso in livelli (in inglese layers) distinti, in cui ogni livello fornisce specifiche funzionalità che ne definiscono il ruolo nell’ambito della rete, in modo da poter più facilmente ottimizzare le scelte in termini di prestazioni, costi e funzionalità per ogni dispositivo in virtù del ruolo svolto.

In caso di realtà molto grandi o con richieste di prestazioni elevate, il modello gerarchico viene organizzato su tre livelli:

• il livello di accesso;
• il livello di distribuzione;
• il livello centrale.

In questo caso un ruolo decisivo è giocato anche dalla ridondanza sia dei dispositivi sia dei loro collegamenti, in modo da evitare che il malfunzionamento di un singolo switch o collegamento possa isolare una parte della rete

Il livello di accesso (access layer) è il livello più vicino all’utente finale, quello che collega gli end device tra loro e ne permette l’accesso alla rete.

Il livello di distribuzione (distribution layer) aggrega e controlla il traffico proveniente dal livello di accesso, implementando le politiche di organizzazione e connessione decise nella configurazione degli switch. A questo livello la velocità degli switch deve essere naturalmente maggiore di quella degli switch del livello sottostante e può essere previsto un certo livello di ridondanza. Un’altra caratteristica di questo livello può essere la gestione delle priorità (QoS) del traffico dati da e per i livelli sottostanti. Sarebbe particolarmente opportuno prevedere anche switch di livello 3, in modo da filtrare il traffico tra switch del livello di accesso senza coinvolgere il livello centrale, che altrimenti dovrebbe gestire tutto il traffico della rete.

Il livello centrale (core layer) si occupa dello smistamento di tutto il traffico della rete da e verso le altre reti, quindi deve essere basato su switch ad alte prestazioni. Essendo il tramite verso la rete Internet deve prevedere anche l’implementazione di politiche di sicurezza, mediante filtraggio dei pacchetti in entrata e uscita; quindi, per questi motivi, diventa essenziale la ridondanza dei collegamenti e degli switch per non costituire un punto critico ed è sicuramente opportuno l’uso di switch multilayer.

OSSERVAZIONE Al livello centrale i collegamenti tra switch dovrebbero essere ad alte prestazioni (per esempio a 10 Gbps rispetto a 1 Gbps dei collegamenti con gli end device).
Al contempo potrebbero essere utilizzati tra gli switch dei collegamenti multipli visti come collegamenti unici virtuali (link aggregation) in modo da aumentare le prestazioni e introdurre una forma di ridondanza.

Nel caso più tipico in cui la rete da progettare sia di medio-piccole dimensioni, è possibile e opportuno che i livelli centrale e di distribuzione collassino di fatto in un unico livello, come illustrato di seguito

Il precedente esempio potrebbe essere strutturato conseguentemente come raffigurato qui di seguito, in cui i collegamenti tra gli switch dei laboratori e lo switch Studenti dovrebbero essere ad alte prestazioni dato che convogliano il traffico di molti PC verso i server; allo stesso modo dovrebbero esserlo i collegamenti con i server, mentre per il server delle segreterie possono essere utilizzati collegamenti standard, visto il basso numero di PC che accedono

Si vede come i principi enunciati vengano rispettati da una rete così strutturata:

• gerarchia: la rete risulta divisa in due livelli ben definiti, il livello di accesso e quello di distribuzione;
• scalabilità: l’aggiunta, per esempio, di nuovi servizi (un altro laboratorio, uno switch per il personale tecnico, …) è agevole fino a quando non si esauriscono le porte a disposizione degli switch del livello di distribuzione;
• robustezza: non esiste nell’esempio un singolo dispositivo che in caso di guasto blocchi l’intera rete anche se l’eventuale guasto del router impedisce l’accesso alla rete Internet; rispetto all’esempio iniziale, in caso di guasto a uno degli switch del livello di distribuzione, la maggior parte della rete continua a funzionare;
• modularità: nel caso in cui si decidesse di variare la politica di accesso alla rete esterna per uno o più laboratori, sarebbe sufficiente modificare la configurazione dello switch Studenti a livello di distribuzione, se invece si decidesse di aumentare le prestazioni complessive, per esempio di accesso ai server, si potrebbe pensare di sostituire uno o alcuni degli switch sempre del livello di distribuzione;
• sicurezza: ogni gruppo di utenti (Dirigenza e segreterie, Docenti, Studenti) è ora una rete IP distinta in quanto connessa a una diversa porta del router: questo permetterà anche la definizione sul router di politiche di sicurezza che filtrano il traffico tra una rete e l’altra.

OSSERVAZIONE La rete realizzata ha comunque ancora diversi limiti:

• serve un router con molte porte verso la LAN;
• ci sono molti collegamenti tra il piano terra e il piano 1;
• ci sono molti switch dei quali si usano poche porte, indipendentemente dal numero di dispositivi utilizzati nelle varie reti.

Queste problematiche verranno affrontate e risolte con l’uso delle reti LAN virtuali, le VLAN

Ridondanza nelle reti LAN

Si definisce ridondanza in una rete il processo di aggiungere collegamenti e/o dispositivi di rete per aumentarne l’accessibilità e diminuire il rischio che singoli guasti compromettano il traffico di dati lungo percorsi critici.

Nei dispositivi moderni la probabilità di guasto è bassa, quindi il guasto simultaneo di più dispositivi in una rete LAN è un evento raro, che si può normalmente trascurare. La progettazione della ridondanza in una rete LAN deve quindi evitare che il guasto di un singolo dispositivo (SPF, Single Point of Failure) ne interrompa il normale funzionamento.

La ridondanza può essere ottenuta aggiungendo sostanzialmente tre diversi elementi (FIGURA 1):

• router: in generale è l’unico punto di transito con le altre reti e un suo malfunzionamento ne pregiudica l’accesso; per poterne usare più di uno servono protocolli specifici che effettuino una virtualizzazione, come quelli definiti FHRP (First Hop Routing Protocols);
• switch: aumentarne il numero significa incrementare il numero dei potenziali percorsi per raggiungere la stessa destinazione, quindi diminuire la probabilità di guasti bloccanti; aumentare i percorsi generalmente genera dei cicli nella rete fisica, che devono essere gestiti con protocolli della famiglia STP (Spanning Tree Protocol) per non creare problemi gravi;
• collegamenti: raddoppiare, o in generale moltiplicare i collegamenti tra due dispositivi di rete, oltre ad aumentare la robustezza, permette anche di migliorare le prestazioni; la gestione di collegamenti fisici multipli come un unico collegamento virtuale è carico della tecnica di link aggregation.

Nella rete LAN di sinistra (nella figura seguente), un guasto a un qualsiasi singolo collegamento o dispositivo tra quelli contrassegnati impedisce l’accesso alla rete Internet per tutti i dispositivi della rete LAN; nella rete LAN di destra invece, l’analogo guasto singolo può essere superato con l’uso di uno degli elementi ridondanti.

Per quanto riguarda i Router, come detto, si utilizzano due router fisici che si comportano come un unico router virtuale. Sarà il protocollo FHRP utilizzato a stabilire quale tra Rtr-A ed Rtr-B dovrà essere a gestire le richieste e quindi diventare il forwarding router. L’altro diverrà lo standby router e starà inattivo fino a quando necessario, ovvero il momento in cui il forwarding router dovesse divenire non raggiungibile.

Protocollo STP

Introdurre ridondanza per aumentare robustezza e affidabilità di una rete LAN implica aumentare i possibili percorsi per raggiungere la stessa destinazione, quindi di fatto, trasformare la topologia fisica di una rete Ethernet da quella classica star/tree priva di cicli a una topologia mesh; questo passaggio introduce dei possibili cicli nei percorsi e, di conseguenza, una serie di gravi problemi:

• instabilità della tabella MAC degli switch;
• broadcast storm;
• ritrasmissione di alcuni frame.

La soluzione di questi problemi si ha utilizzando il protocollo STP.

Il protocollo STP blocca logicamente tutti i collegamenti che possono determinare dei percorsi ciclici, stabilendo un albero di copertura e, quindi, un percorso unico da ogni possibile origine a ogni possibile destinatario. Nel momento in cui la topologia della rete cambia, STP ricalcola i percorsi e determina il nuovo albero, in modo da utilizzare la ridondanza solo quando necessario.

In una rete LAN con topologia mesh che contiene dei percorsi ciclici, possono esistere diversi alberi di copertura, per esempio partendo da una rete come quella in figura

scegliendo Sw-A come radice si possono ottenere i seguenti alberi di copertura

Per determinare quali porte devono essere bloccate, STP fa uso dell’algoritmo STA (Spanning Tree Algorithm) articolato in tre passi:

• elezione dello switch root bridge;
• determinazione dei ruoli delle porte dei singoli switch;
• disabilitazione delle porte necessarie per impedire la presenza di percorsi ciclici.

Ogni switch della LAN invia dei messaggi detti BPDU (Bridge Protocol Data Unit),
trasmessi da tutte le porte per conoscere l’esistenza di altri switch e per eleggere un
root bridge nella rete (cioè la radice dell’albero logico che si verrà a creare). I BPDU contengono informazioni per:

• selezionare un solo switch come root dello Spanning Tree;
• calcolare il percorso più breve da ogni switch alla root;

• eleggere il designated switch, che per ogni LAN è lo switch più vicino alla root,
  attraverso cui passano tutte le comunicazioni della LAN;

• scegliere per ogni switch la root port, cioè l’interfaccia che dà il miglior percor-
  so verso la root.

Le porte che fanno parte dello Spanning Tree sono le designated port, le altre so-
no bloccate.
Quando si attiva l’algoritmo per la creazione dello Spanning Tree, trascorre un certo
tempo, da 30 a 50 secondi, prima che la topologia logica della rete converga, ossia che tutte le porte degli switch siano nello stato blocked o forwarding. Quando la topologia cambia, gli switch ricalcolano lo Spanning Tree.
Quando la LAN ha ottenuto la convergenza e si è creato l’albero gerarchico si hanno i seguenti elementi:

• un root bridge per LAN;
• una root port per i non root bridge;
• una designated port per segmento;
• porte non usate.

Per gli switch CISCO il protocollo è implementato e non occorre configurarlo . Nella figura seguente si vede come dopo la convergenza, siano stai designati root bridge, root port e stato delle porte. In particolare la Fa0/2 dello switch 1 è bloccata garantendo l’albero gerarchico e l’eliminazione dei cicli

Per conoscere le informazioni sul protocollo STP occorre digitare il seguente comando: show spanning-tree. La figura seguente mostra che la Fa0/2 dello switch 1 è bloccata

Simuliamo un guasto sulla Fa0/1 di switch 2 (shutdown di Fa0/1). Dopo la convergenza vediamo che Fa0/2 di switch 1 torna ad essere forwarding:

Le VLAN (Virtual LAN)

Nella realizzazione di reti LAN coesistono due aspetti contrastanti: da una parte si cerca di aggregare i dispositivi secondo una divisione logica in cui a ogni gruppo di utenti o funzionalità si fa corrispondere una rete IP, dall’altra si affronta la realtà fisica che porterebbe naturalmente ad aggregare i dispositivi secondo criteri di prossimità.

Inoltre, come sappiamo, rimane sempre il problema del dominio di collisione. L’utilizzo di Switch layer 2 definisce un unico dominio di broadcast per tutte le sue porte per cui, il fatto che un messaggio in broadcast venga inoltrato a tutte le porte di uno switch può generare un elevato traffico di rete. Quest’ultimo problema, come si è visto è possibile risolverlo con la segmentazione (subnetting).

La necessità di collegare i dispositivi tra loro tramite degli switch nel modo più semplice ed economicamente vantaggioso pur mantenendo una loro divisione in reti IP distinte viene soddisfatta con due tecniche:

• l’uso delle VLAN (Virtual LAN). Agendo opportunamente sugli switch è possibile creare diverse reti virtuali che condividono ovviamente la stessa infrastruttura fisica. La comunicazione tra host appartenenti alla stessa VLAN rimane confinata in essa definendo in questo modo tanti domini di broadcast quante sono le VLAN. Una VLAN è una suddivisione logica di un insieme di dispositivi che condividono un’infrastruttura fisica complessa ma che vengono configurati e agiscono come se appartenessero a una singola LAN separata. Una VLAN è caratterizzata da un identificatore (ID) numerico
• Layer 3 switching: quando un host su una VLAN deve comunicare con un host
  su un’altra VLAN, è necessaria la presenza di un router che interconnette le due
  VLAN, dopo di che intervengono i rispettivi switch (questo processo viene anche detto: route once, switch many). Se invece si usano switch con funzionalità di
  routing, detti switch Layer-3 (il riferimento è al livello 3 del modello OSI che si
  occupa dell’instradamento dei pacchetti), non è più necessario avere un router,
  in quanto questi switch sono in grado di leggere l’indirizzo di rete contenuto nel
  pacchetto e individuare verso quale switch inviare i pacchetti. In questo modo
  viene minimizzata l’attività di routing tra VLAN, effettuandola solo quando è assolutamente necessario

Progettazione di VLAN

La tecnica di realizzazione delle VLAN permette di raggruppare, per esempio, una o
più porte di uno switch in modo da considerarle parte di una stessa rete virtuale alla
quale possono essere aggiunte porte di altri switch.
A ogni host della LAN può essere assegnato un numero identificativo (VLAN ID)
Host con lo stesso VLAN ID si comportano come se si trovassero nella stessa rete fisica.
Vediamo con un esempio cosa significa che le VLAN permettono di raggruppare dispositivi indipendentemente dalla loro locazione fisica.
Supponiamo di dover suddividere una rete LAN in 3 aree distinte che corrispondono
a 3 diversi gruppi di utenti: gli amministrativi, i progettisti e i venditori.

La seguente figura mostra a sinistra una soluzione classica e a destra la soluzione con VLAN:

Si noti che affinché un membro del personale di vendita della VLAN 3 possa condividere delle risorse con il dipartimento della progettazione della VLAN 2, è necessario introdurre un router o scegliere uno switch Layer-3.
Tra router e switch occorrono, però, tante linee quante sono le VLAN definite, quindi sul router deve essere configurata un’interfaccia per ogni VLAN.
In questa modalità, il traffico fluisce attraverso il router come se si usassero LAN fisiche e non virtuali.
Dal momento che un router deve effettuare maggiori elaborazioni sui pacchetti rispetto a uno switch, le prestazioni che offre questa realizzazione dipendono da quanto traffico rimane all’interno di una singola VLAN e quanto deve essere instradato verso altre VLAN.
Inoltre, dedicare un’interfaccia per ogni VLAN realizzata richiede di riservare un
certo numero di porte sia sullo switch che sul router; spesso però i router di fascia
bassa non hanno un elevato numero di porte Ethernet, quindi si dovrebbe scegliere
un router più costoso.
Un’alternativa a questa realizzazione è quella di usare un trunk che vedremo nei prossimi paragrafi

Configurazione VLAN con switch singolo (untagged VLAN )

Per configurare le VLAN su un singolo switch è sufficiente indicare su ciascuna porta il numero VLAN.
Di default ogni porta dello switch è configurata in modalità access ed in questo caso, con switch singolo si realizza una Untagged VLAN port based

Il comando vlan n (dove n è l’ID della VLAN) fa precipitare lo switch nello stato “VLAN configuration mode”. La figura seguente mostra lo stato in cui si trova lo switch quando si configura una VLAN.

Ad esempio, con riferimento alla figura seguente, vogliamo configurare 2 VLAN (Amministazione e Ufficio Tecnico) utilizzando un unico switch e configurando opportunamente le porte.

Procediamo in questo modo:

creazione delle VLAN 10 e VLAN 20 e assegnazione del nome:
Switch(config)#vlan 10
Switch(config-vlan)#name Amministrazione
Switch(config)#vlan 20
Switch(config-vlan)#name UfficioTecnico

Passando alla scheda config, VLAN Database, visualizzo effettivamente la creazione delle VLAn 10 e 20

assegnazione delle interfacce alle VLAN:
– VLAN 10
Switch(config)#interface fa0/2
Switch(config-if)#switchport access vlan 10
Switch(config)#interface fa0/3
Switch(config-if)#switchport access vlan 10

– VLAN 20
Switch(config)#interface fa0/1
Switch(config-if)#switchport access vlan 20
Switch(config)#interface fa0/4
Switch(config-if)#switchport access vlan 20

verifica delle VLAN: comando: show vlan brief (dalla modalità privilegiata switch#)

Come visibile dalla figura in alto, tra le altre VLAN esiste la VLAN 1 che è la VLAN di default. La VLAN di default è la VLAN con ID 1 e viene usata per il traffico di controllo e di gestione dei dispositivi. Non può essere eliminata, né disabilitata, né modificata ed è già definita su ogni switch che gestisce le VLAN. Se non diversamente configurate, all’inizio tutte le porte degli switch sono associate alla VLAN di default.

Dopo aver indirizzato i dispositivi, nonostante appartengano alla stessa rete (192.168.0.0 / 24) se proviamo a fare un ping tra dispositivi appartenenti alla stessa VLAN vediamo che sono raggiungibili ma se proviamo a pingare dispositivi appartenenti a VLAN diverse iessi non saranno raggiungibili

Configurazione VLAN con più switch (VLAN 802.1Q tagged)

La tecnologia che permette la condivisione di VLAN a più switch si chiama trunking ed utilizza lo standard 802.1Q. Lo standard prevede di inserire ulteriori 4 byte (TAG) al frame ethernet che trasportano informazioni sulle VLAN. Le porte degli switch configurate in tal modo prendono il nome di porte trunk

• TPID (Tag Protocol IDentifier), di 2 byte, che contiene il valore esadecimale 0x8100, che indica che la trama è di tipo IEEE 802.1Q;

• TCI (Tag Control Information) o “VLAN Tag”, di 2 byte, che comprende 3 sottocampi:
  – PCP (Priority Code Point), di 3 bit, utilizzato per indicare la priorità della trama;
  – DEI (Drop Eligible Indicator), di 1 bit, che permette di ignorare la trama in caso di congestione della rete;
  – VID (VLAN IDentifier), di 12 bit, un numero (che va da 1 a 4094), che identifica la VLAN.

Ipotizziamo di “duplicare” la rete dell’esempio precedente:

Dopo aver configurato opportunamente le VLAN nel VLAN Database e le porte access del secondo switch (come fatto in precedenza) e dopo aver collegato i due switch tra loro dobbiamo configurare le porte f0/5 (nell’esempio) dei due switch in modalità trunk:

Per entrambi gli switch:

S1(config)# interface fa0/5
S1(config-if)# switchport mode trunk
S1(config-if)# no shutdown

A questo punto host collegati al primo switch possono raggiungere gli host connessi al secondo switch appartenenti alla stessa VLAN

Configurazione Inter-VLAN routing

Abbiamo visto come segmentare un’unica rete (nell’esempio la 192.168.0.0 / 24) attraverso le VLAN ( in modalità untagged) e come mettere in comunicazione dispositivi appartenenti a VLAN diverse collegati a diversi switch (trunking). Cosa accade se avessimo diverse reti logiche (ad esempio se aggiungessimo 192.168.1.0 /24) o semplicemente se volessimo far comunicare host appartenenti a VLAN diverse?

E’ necessario ovviamente un router e abbiamo a disposizione due tecniche:

• Inter-VLAN tradizionale (con un numero di connessioni fisiche tra router e uno degli switch pari al numero di VLAN)
• Router-on-a-stick (con un’unica connessione fisica tra router e uno degli switch)

Inter-VLAN tradizionale

Ipotizziamo di avere due VLAN:

• VLAN 10 docenti sulla rete 192.168.10.0 / 24
• VLAN 20 studenti sulla rete 192.168.20.0 / 24

Per gli host della VLAN 10 il default gateway sarà 192.168.10.254 mentre per gli host della VLAN 20 il default gateway sarà 192.168.20.254

Per permettere la comunicazione tra le due VLAN utilizzerò due connessioni distinte tra switch e router

La configurazione dello switch è fatta in modo analogo a quanto già detto in precedenza. le 4 interfacce saranno configurate in questo modo:

• Fa0/1, Fa0/3-> Switch(config-if)#switchport access vlan 10
• Fa0/2, Fa0/4 ->Switch(config-if)#switchport access vlan 20

Questo significa che un pacchetto proveniente dalla VLAN 10 e destinato alla VLAN 20 transiterà prima attraverso l’interfaccia Fa0/1, da qui lo switch lo inoltra verso l’interfaccia G0/0/0 del router, il router lo inoltra alla propria G0/0/1, da qui raggiungerà la Fa0/4 dello switch e, attraverso la Fa0/2 giungerà a destinazione.

Dopo aver configurato le due interfacce dei router con gli indirizzi IP del default gateway, facendo un ping dall’host docenti verso l’host studenti ne verifichiamo la raggiungibilità

Router on a stick

Per evitare l’utilizzo di diverse connessioni pari al numero di VLAN si utilizza la tecnica Router on a stick. Come è facile intuire avremo un’unica connessione fisica tra switch e router sfruttando tante sottointerfacce (o interfacce logiche) che svolgeranno le funzioni di default gateway per ogni VLAN:

Sfruttando l’”encapsulation” dello standard 802.1Q configuriamo un’unica interfaccia fisica del router (ad esempio la G0/0/0) in due interfacce logiche ed assegnamo ad esse l’indirizzo del default gateway delle due VLAN:

Router1(config)# interface G0/0/0.10
Router1(config-subinf)# encapsulation dot1q 10
Router1(config-subinf)# description VLAN docenti (opzionale)
Router1(config-subinf)# ip address 192.168.10.254 255.255.255.0
Router1(config-subinf)# no shutdown

Router1(config)# interface G0/0/0.20
Router1(config-subinf)# encapsulation dot1q 20
Router1(config-subinf)# description VLAN studenti (opzionale)
Router1(config-subinf)# ip address 192.168.20.254 255.255.255.0
Router1(config-subinf)# no shutdown

Occorre poi modificare la modalità di configurazione della Fa0/3 in trunk (da consentire il passaggio dei pacchetti di tutte le VLAN ) e verificare la raggiungibilità dei due host