Inter-VLAN Routing with a Router: Router-on-a-Stickڕێدۆزیی نێوان VLANـەکان بە ڕێدۆز: ڕێدۆزی تاکقۆڵ

VLANs keep groups apart: PCs in VLAN 10 and VLAN 20 cannot ping each other, even on the same switch (test the isolation). That is on purpose — each VLAN is its own broadcast domain and has its own subnet. To let them talk, under control, something must route packets from one subnet to the other. A switch that only switches frames cannot do it; you need a layer 3 device. This is inter-VLAN routing.

VLANـەکان گرووپەکان لە یەک جیا دەهێڵنەوە: PCـەکانی ⁦VLAN 10⁩ و ⁦VLAN 20⁩ ناتوانن پینگ بۆ یەکتر بکەن، تەنانەت لەسەر هەمان سویچ (جیاکردنەوەکە تاقی بکەرەوە). ئەمە بە ئەنقەستە — هەر VLANـێک پاوانی پەخشی (Broadcast domain) خۆیەتی و ژێرڕایەڵەی خۆی هەیە. بۆ ئەوەی قسە بکەن، بە کۆنترۆڵەوە، دەبێت شتێک پاکێتەکان لە ژێرڕایەڵەیەکەوە بۆ ئەوی تر ڕێدۆزی (Routing) بکات. سویچێک کە تەنیا فرەیم (Frame) دەگوازێتەوە ناتوانێت ئەمە بکات؛ ئامێرێکی چینی 3ت پێویستە. ئەمە ڕێدۆزیی نێوان VLANـەکانە.

There are three ways: one router interface per VLAN (the old way), router-on-a-stick (this lesson) and a layer 3 switch (next lesson). How a router chooses where to send a packet is in how packets are routed.

سێ ڕێگە هەیە: بۆ هەر VLANـێک نێوبەستەیەکی ڕێدۆز (ڕێگا کۆنەکە)، ڕێدۆزی تاکقۆڵ (ئەم وانەیە) و سویچی چینی 3 (وانەی داهاتوو). ڕێدۆز چۆن بڕیار دەدات پاکێتێک بۆ کوێ بنێرێت لە پاکێتەکان چۆن ڕێدۆزی دەکرێنـدایە.

The first solution was simple: give the router one physical interface per VLAN. G0/0 is cabled to an access port of VLAN 10 and gets 192.168.10.1; G0/1 is cabled to an access port of VLAN 20 and gets 192.168.20.1. Each interface is the default gateway of its VLAN. It works, but a router has only a few interfaces, and every new VLAN needs another interface, another cable and another switch port. Cisco’s CCNA course teaches it only to explain the idea; it is not used in switched networks today.

یەکەم چارەسەر ساکار بوو: بۆ هەر VLANـێک یەک نێوبەستەی فیزیکی بدە بە ڕێدۆز. ⁦G0/0⁩ بە دەرچەیەکی دەستڕاگەیشتنی (Access port) ⁦VLAN 10⁩ دەبەسترێت و ⁦192.168.10.1⁩ وەردەگرێت؛ ⁦G0/1⁩ بە دەرچەیەکی دەستڕاگەیشتنی ⁦VLAN 20⁩ دەبەسترێت و ⁦192.168.20.1⁩ وەردەگرێت. هەر نێوبەستەیەک دەروازەی بنەڕەتیی VLANـەکەیەتی. کار دەکات، بەڵام ڕێدۆز تەنیا چەند نێوبەستەیەکی هەیە و هەر VLANـێکی نوێ نێوبەستە، کێبڵ و دەرچەیەکی (Port) تری سویچ دەوێت. کۆرسی CCNAـی Cisco تەنیا بۆ ڕوونکردنەوەی بیرۆکەکە فێری دەکات؛ ئەمڕۆ لە ڕایەڵەی (Network) سویچکراودا بەکار نایەت.

A layer 3 switch is the fastest answer, but it costs more; a router you already have can do the job instead. Router-on-a-stick joins the router to the switch with one cable configured as an 802.1Q trunk (trunks). Inside the router, that one interface is split into one logical subinterface per VLAN, and each subinterface is the gateway of its VLAN. The router hangs on the switch by a single “stick” — hence the name.

سویچی چینی 3 خێراترین وەڵامە، بەڵام گرانترە؛ ڕێدۆزێک کە پێشتر هەتە دەتوانێت لە جیاتی ئەو کارەکە بکات. ڕێدۆزی تاکقۆڵ ڕێدۆز بە یەک کێبڵ بە سویچەوە دەبەستێت کە وەک ترەنکی ⁦802.1Q⁩ ڕێک خراوە (ترەنکەکان). لە ناو ڕێدۆزەکەدا، ئەو یەک نێوبەستەیە بۆ هەر VLANـێک دابەش دەکرێت بە یەک ژێرنێوبەستەی لۆجیکی و هەر ژێرنێوبەستەیەک دەروازەی بنەڕەتیی VLANـەکەی خۆیەتی. ڕێدۆزەکە بە تاکە «قۆڵێک» بە سویچەکەوە هەڵدەواسرێت — بۆیە بە کوردی پێی دەڵێین ڕێدۆزی تاکقۆڵ.

A subinterface is a logical interface made by dividing one physical interface into several virtual ones, each with its own settings. Its name is the physical name, a dot and a number: G0/0.10. Each subinterface gets its own VLAN tag (encapsulation dot1Q 10), its own IP address and mask, and other settings such as a description. The number after the dot is only a name; making it equal to the VLAN ID keeps the configuration easy to read.

ژێرنێوبەستە نێوبەستەیەکی لۆجیکییە کە بە دابەشکردنی یەک نێوبەستەی فیزیکی بۆ چەند دانەیەکی گریمانەیی دروست دەکرێت، هەریەکەیان بە ڕێکخستنەکانی (Configuration) خۆیەوە. ناوەکەی ناوی فیزیکییەکە، خاڵێک و ژمارەیەکە: G0/0.10. هەر ژێرنێوبەستەیەک تاگی VLANـی (VLAN tag) خۆی (encapsulation dot1Q 10)، ناونیشانی IP (IP address) و ماسکی ژێرڕایەڵەی (Subnet mask) خۆی و ڕێکخستنی تری وەک وەسف وەردەگرێت. ژمارەی دوای خاڵەکە تەنیا ناوە؛ یەکسانکردنی لەگەڵ ژمارەی VLAN ڕێکخستنەکە ئاسان دەخوێنرێتەوە.

Build this in Packet Tracer: a router R1 (a 1941 or 2911, interface G0/0) cabled to the G0/1 port of a 2960 switch, SW1. PCs on Fa0/1–5 are in VLAN 10, PCs on Fa0/6–10 in VLAN 20. VLAN 99 is the management VLAN for the switch’s own address. VLAN 999 is the native VLAN: unused, with no ports and no address, and kept apart from management, as Cisco’s hardening advice recommends. Each VLAN has one subnet and one gateway address, and that address lives on the router. An older 2811 router names the port FastEthernet0/0 — then type fa0/0 instead of g0/0.

ئەمە لە Packet Tracer دروست بکە: ڕێدۆزی ⁦R1⁩، ⁦1941⁩ یان ⁦2911⁩، بە نێوبەستەی ⁦G0/0⁩ و بە دەرچەی ⁦G0/1⁩ـی سویچێکی ⁦2960⁩، ⁦SW1⁩ بەستراوە. PCـەکانی سەر ⁦Fa0/1–5⁩ لە ⁦VLAN 10⁩دان و PCـەکانی سەر ⁦Fa0/6–10⁩ لە ⁦VLAN 20. VLAN 99⁩ VLANـی بەڕێوەبردنە بۆ ناونیشانی خودی سویچەکە. ⁦VLAN 999⁩ VLANـی ڕەسەنە: بەکارنەهێنراوە، بێ دەرچە و بێ ناونیشان. هەروەها لە بەڕێوەبردن جیا کراوەتەوە، وەک ئامۆژگاریی Cisco بۆ پاراستن. هەر VLANـێک یەک ژێرڕایەڵە و یەک ناونیشانی دەروازەی بنەڕەتیی هەیە و ئەو ناونیشانە لەسەر ڕێدۆزەکەیە. ڕێدۆزی کۆنتری ⁦2811⁩ ناوی دەرچەکە ⁦FastEthernet0/0⁩ـە — ئەوکاتە لە جیاتی g0/0 بنووسە fa0/0.

On SW1 the VLANs and access ports are as in the VLAN lesson. The port to the router, G0/1, must be a trunk: the router has to receive every VLAN’s frames with their tags. A router does not speak DTP, so set the mode by hand with switchport mode trunk (a port left in dynamic auto would stay an access port) and turn DTP off with switchport nonegotiate. The switch’s own management address goes into VLAN 99, with R1 as its default gateway (the switch’s management address).

لەسەر ⁦SW1⁩ VLAN و دەرچەکانی دەستڕاگەیشتن وەک وانەی VLANـن. دەرچەی بەرەو ڕێدۆز، ⁦G0/1⁩، دەبێت ترەنک بێت: ڕێدۆزەکە دەبێت فرەیمەکانی هەموو VLANـێک بە تاگەکانیانەوە وەربگرێت. ڕێدۆز بە DTP قسە ناکات، بۆیە بارەکە بە دەست بە switchport mode trunk دابنێ (دەرچەیەک کە لە dynamic auto بمێنێتەوە دەرچەی دەستڕاگەیشتن دەمێنێتەوە) و بە switchport nonegotiate DTP بکوژێنەوە. ناونیشانی بەڕێوەبردنی خودی سویچەکە دەچێتە ناو ⁦VLAN 99⁩، بە ⁦R1⁩ وەک دەروازەی بنەڕەتیی (ناونیشانی بەڕێوەبردنی سویچ).

First switch on the physical interface with no shutdown — router interfaces start administratively down, and every subinterface stays down while its parent is down. The physical interface needs no IP address. Then, for each VLAN, create the subinterface, give it its VLAN with encapsulation dot1Q, and then its gateway address. The order matters: IOS accepts an IP address on a LAN subinterface only after the encapsulation.

سەرەتا نێوبەستەی فیزیکی بە no shutdown هەڵبکە — نێوبەستەکانی ڕێدۆز بە administratively down دەست پێ دەکەن و هەموو ژێرنێوبەستەیەک تا دایکەکەی down بێت down دەمێنێتەوە. نێوبەستەی فیزیکی پێویستی بە ناونیشانی IP نییە. پاشان بۆ هەر VLANـێک، ژێرنێوبەستەکە دروست بکە، بە encapsulation dot1Q VLANـەکەی بدەرێ و دواتر ناونیشانی دەروازە بنەڕەتییەکەی. ڕیزبەندییەکە گرنگە: IOS تەنیا دوای encapsulation ناونیشانی IP لەسەر ژێرنێوبەستەیەکی LAN وەردەگرێت.

IOS accepts unique abbreviations here too: int g0/0.10 and encap dot1q 10 work. A router already routes between its connected networks — ip routing is on by default on routers, so you do not need to type it (it is needed on layer 3 switches).

IOS لێرەشدا کورتکراوەی (Abbreviation) بێهاوتا وەردەگرێت: int g0/0.10 و encap dot1q 10 کار دەکەن. ڕێدۆز پێشتر لە نێوان ئەو ڕایەڵانەی پێیەوە بەستراون ڕێدۆزی دەکات — ip routing لەسەر ڕێدۆزەکان بە بنەڕەت هەڵکراوە، بۆیە پێویست ناکات بینووسیت (لەسەر سویچی چینی 3 پێویستە).

Frames of the native VLAN cross the trunk without a tag, so the router must know which subinterface owns untagged frames. encapsulation dot1Q 999 native marks subinterface G0/0.999 for that job. It must match the switch’s switchport trunk native vlan 999, and it needs no IP address, because nothing should live in VLAN 999. Older configurations often left the native VLAN at 1 and wrote encapsulation dot1Q 1 native; good practice uses an unused VLAN such as 999, apart from the management VLAN 99 (why).

فرەیمەکانی VLANـی ڕەسەن بەبێ تاگ بە ترەنکدا تێدەپەڕن، بۆیە ڕێدۆز دەبێت بزانێت کام ژێرنێوبەستە خاوەنی فرەیمە بێ‌تاگەکانە. encapsulation dot1Q 999 native ژێرنێوبەستەی ⁦G0/0.999⁩ بۆ ئەو کارە نیشان دەکات. دەبێت لەگەڵ switchport trunk native vlan 999ـی سویچەکە یەک بگرێتەوە و پێویستی بە ناونیشانی IP نییە، چونکە هیچ شتێک نابێت لە ⁦VLAN 999⁩دا بێت. لە ڕێکخستنە کۆنەکاندا زۆرجار VLANـی ڕەسەن لە 1دا دەمایەوە و encapsulation dot1Q 1 nativeـیان دەنووسی؛ ڕێگەی باش VLANـێکی بەکارنەهێنراو بەکار دەهێنێت وەک ⁦999⁩، جیا لە VLANـی بەڕێوەبردنی ⁦99⁩ (بۆچی).

Every PC needs an address in its VLAN’s subnet, the mask 255.255.255.0 and, above all, a default gateway: the subinterface address of its own VLAN. PC1 and PC2 use 192.168.10.1, PC3 and PC4 use 192.168.20.1. Without a gateway a PC can reach only its own subnet (the default gateway). The VLANs themselves need no IP address on the switch; the PCs and the router’s subinterfaces do.

هەموو PCـێک ناونیشانێکی لە ژێرڕایەڵەی VLANـەکەیدا، ماسکی ژێرڕایەڵەی ⁦255.255.255.0⁩ و لە هەمووی گرنگتر دەروازەی بنەڕەتی پێویستە: ناونیشانی ژێرنێوبەستەی VLANـەکەی خۆی. ⁦PC1⁩ و ⁦PC2 192.168.10.1⁩ بەکار دەهێنن و ⁦PC3⁩ و ⁦PC4 192.168.20.1⁩. بەبێ دەروازەی بنەڕەتی PC تەنیا دەگاتە ژێرڕایەڵەی خۆی (دەروازەی بنەڕەتی). خودی VLANـەکان لەسەر سویچەکە پێویستیان بە ناونیشانی IP نییە؛ PCـەکان و ژێرنێوبەستەکانی ڕێدۆزەکە پێویستیانە.

PC1 (VLAN 10) pings PC3 (VLAN 20). PC1 sees that 192.168.20.11 is not in its subnet, so it sends the packet to its gateway. The frame goes up the trunk tagged 10, the router routes it from G0/0.10 to G0/0.20 and lowers the TTL by one, and the frame comes back down the same cable tagged 20. The switch removes the tag and delivers it to PC3. Every packet between two VLANs crosses the stick twice.

⁦PC1 (VLAN 10)⁩ پینگ بۆ ⁦PC3 (VLAN 20)⁩ دەکات. ⁦PC1⁩ دەبینێت ⁦192.168.20.11⁩ لە ژێرڕایەڵەکەیدا نییە، بۆیە پاکێتەکە دەنێرێت بۆ دەروازە بنەڕەتییەکەی. فرەیمەکە بە تاگی ⁦10⁩ بە ترەنکدا سەردەکەوێت، ڕێدۆزەکە لە ⁦G0/0.10⁩ـەوە بۆ ⁦G0/0.20⁩ ڕێدۆزی دەکات و TTL یەکێک کەم دەکاتەوە و فرەیمەکە بە تاگی ⁦20⁩ بە هەمان کێبڵدا دەگەڕێتەوە خوارەوە. سویچەکە تاگەکە لادەبات و دەیگەیەنێتە ⁦PC3⁩. هەموو پاکێتێکی نێوان دوو VLAN دوو جار بە قۆڵەکەدا تێدەپەڕێت.

Three checks find almost every problem. On R1, show ip interface brief must show G0/0 and every subinterface up / up, and show ip route must show one connected route (C) and one local route (L) per VLAN. On SW1, show interfaces trunk must list G0/1 as trunking with native VLAN 999 and VLANs 10, 20, 99, 999.

سێ پشکنین نزیکەی هەموو کێشەیەک دەدۆزنەوە. لەسەر ⁦R1⁩، show ip interface brief دەبێت ⁦G0/0⁩ و هەموو ژێرنێوبەستەیەک بە ⁦up / up⁩ پیشان بدات و show ip route دەبێت بۆ هەر VLANـێک یەک ڕێگەی بەستراو (Connected route) ⁦(C)⁩ و یەک ڕێگەی ناوخۆیی ⁦(L)⁩ پیشان بدات. لەسەر ⁦SW1⁩، show interfaces trunk دەبێت ⁦G0/1⁩ وەک trunking بە VLANـی ڕەسەن ⁦999⁩ و VLANـەکانی ⁦10⁩، ⁦20⁩، ⁦99⁩، ⁦999⁩ ڕیز بکات.

Now PC1 reaches PC3. The first request may time out while ARP finds the gateway’s MAC address (why the first ping fails). The replies show TTL=127: the PC starts at 128 and the router took one off, so exactly one router was on the way. tracert 192.168.20.11 on PC1 shows two hops: 192.168.10.1 (the subinterface), then PC3. Finally save the router and the switch.

ئێستا ⁦PC1⁩ دەگاتە ⁦PC3⁩. لەوانەیە یەکەم داواکاری (Request) کاتی بەسەر بچێت لە کاتێکدا ARP ناونیشانی MACـی (MAC address) دەروازەی بنەڕەتی دەدۆزێتەوە (بۆچی یەکەم پینگ سەرناکەوێت). وەڵامەکان ⁦TTL=127⁩ پیشان دەدەن: PC لە ⁦128⁩ـەوە دەست پێ دەکات و ڕێدۆزەکە یەکێکی کەم کردەوە، بۆیە ڕێک یەک ڕێدۆز لە ڕێگادا بوو. tracert 192.168.20.11 لەسەر ⁦PC1⁩ دوو باز (Hop) پیشان دەدات: ⁦192.168.10.1⁩ (ژێرنێوبەستەکە)، پاشان ⁦PC3⁩. لە کۆتاییدا ڕێدۆز و سویچەکە پاشەکەوت بکە.

Router-on-a-stick is cheap and simple, but every routed frame crosses the one link twice, all VLANs share that link’s bandwidth, the router’s software routes each packet, and a single cable or port is a single point of failure. Cisco’s CCNA course calls it a good fit for small and medium networks and says it does not scale beyond about 50 VLANs. Bigger campuses route inside a layer 3 switch (layer 3 switching). In a real network the router usually hands out the PCs’ addresses too, with one DHCP pool per VLAN (DHCP pools per VLAN).

ڕێدۆزی تاکقۆڵ هەرزان و ساکارە، بەڵام هەموو فرەیمێکی ڕێدۆزراو دوو جار بەو یەک بەستەرەدا تێدەپەڕێت، هەموو VLANـەکان پانایی باندی (Bandwidth) ئەو بەستەرە بەش دەکەن، نەرمەواڵەی (Software) ڕێدۆزەکە هەموو پاکێتێک ڕێدۆزی دەکات و تاکە کێبڵ یان دەرچەیەک تاکە خاڵی تێکچوونە (Single point of failure). کۆرسی CCNAـی Cisco دەڵێت بۆ ڕایەڵەی بچووک و مامناوەند گونجاوە و لە نزیکەی ⁦50⁩ VLAN زیاتر گەورە نابێت. کەمپەسە گەورەترەکان لە ناو سویچی چینی 3ـدا ڕێدۆزی دەکەن (سویچکردنی چینی 3). لە ڕایەڵەیەکی ڕاستەقینەدا ڕێدۆزەکە زۆرجار ناونیشانی PCـەکانیش دەدات، بە پووڵێکی ناونیشان (Address pool) بۆ هەر VLANـێک (DHCP بۆ هەر VLANـێک).

Real networks have several switches. Suppose R1 hangs on a middle switch SW1, and two leaf switches hang below it: SW2 with the PCs of VLAN 10 and SW3 with the PCs of VLAN 20. It is tempting to make each middle-switch port an access port “in the VLAN of the switch behind it”. Do not: that mixes trunk on one end and access on the other, works only by accident through the native VLAN, triggers native VLAN mismatch messages, and breaks as soon as a leaf switch has PCs of both VLANs. The clean design: every link between switches, and the link to the router, is a trunk on both ends; only PC ports are access ports. Every switch knows every VLAN.

ڕایەڵەی ڕاستەقینە چەند سویچێکیان هەیە. وای دابنێ ⁦R1⁩ بە سویچێکی ناوەندی ⁦SW1⁩ـەوە هەڵواسراوە و دوو سویچی لق لە ژێریدان: ⁦SW2⁩ بە PCـەکانی ⁦VLAN 10⁩ و ⁦SW3⁩ بە PCـەکانی ⁦VLAN 20⁩. وا دەردەکەوێت هەر دەرچەیەکی سویچە ناوەندییەکە بکەیت بە دەرچەی دەستڕاگەیشتن «لە VLANـی ئەو سویچەی لە دواوەیەتی». مەیکە: ئەمە trunk لە سەرێک و access لە سەرەکەی تر تێکەڵ دەکات، تەنیا بە ڕێکەوت لە ڕێگەی VLANـی ڕەسەنەوە کار دەکات، پەیامی نەگونجانی VLANـی ڕەسەن دروست دەکات و هەر کە سویچێکی لق PCـی هەردوو VLANـەکەی هەبوو تێک دەچێت. نەخشە پاکەکە: هەموو بەستەرێکی نێوان سویچەکان و بەستەرەکەی بەرەو ڕێدۆز لەسەر هەردوو سەر ترەنکە؛ تەنیا دەرچەکانی PC دەرچەی دەستڕاگەیشتنن. هەموو سویچێک هەموو VLANـێک دەناسێت.

A gateway address belongs to one device. Look at this lab: the router’s subinterfaces have 10.1.10.1 and 10.1.20.1, and the switch was also given SVIs with exactly the same addresses. Two devices now claim one address — an IP conflict, and ARP answers from the wrong device. The PCs also had the mask 255.0.0.0 and no gateway. Remove the switch SVIs (the switch needs only a management address, in another VLAN), and give the PCs /24 masks and their gateways. The campus project has more planted mistakes to find (find the mistakes).

ناونیشانی دەروازەی بنەڕەتی هی یەک ئامێرە. سەیری ئەم تاقیکردنەوەیە بکە: ژێرنێوبەستەکانی ڕێدۆزەکە ⁦10.1.10.1⁩ و ⁦10.1.20.1⁩یان هەیە و هەمان ناونیشانەکانیش وەک SVI دراون بە سویچەکە. ئێستا دوو ئامێر داوای یەک ناونیشان دەکەن — ناکۆکیی IP و وەڵامی ARP لە ئامێری هەڵەوە. PCـەکانیش ماسکی ژێرڕایەڵەی ⁦255.0.0.0⁩ و بێ دەروازەی بنەڕەتی بوون. SVIـەکانی سویچەکە لاببە (سویچەکە تەنیا ناونیشانێکی بەڕێوەبردنی پێویستە، لە VLANـێکی تردا) و ماسکی ژێرڕایەڵەی ⁦255.255.255.0⁩ و دەروازەی بنەڕەتیی خۆیان بدە بە PCـەکان. پڕۆژەی کەمپەس هەڵەی زیاتری تێدایە بۆ دۆزینەوە (هەڵەکان بدۆزەوە).

Next: route inside the switch itself — Inter-VLAN routing with a layer 3 switch.

دواتر: لە ناو خودی سویچەکەدا ڕێدۆزی بکە — ڕێدۆزیی نێوان VLANـەکان بە سویچی چینی 3.