Vandag sal ons voortgaan met ons oorweging van VLAN en die VTP-protokol bespreek, sowel as die konsepte van VTP-snoei en Native VLAN. Ons het reeds in een van die vorige video's oor VTP gepraat, en die eerste ding wat by jou moet opkom wanneer jy van VTP hoor, is dat dit nie 'n trunking-protokol is nie, ten spyte van wat genoem word "VLAN-trunking-protokol".
Soos u weet, is daar twee gewilde trunking-protokolle - die eie Cisco ISL-protokol, wat nie vandag gebruik word nie, en die 802.q-protokol, wat in netwerktoestelle van verskeie vervaardigers gebruik word om trunking-verkeer in te kap. Hierdie protokol word ook in Cisco-skakelaars gebruik. Ons het reeds gesê dat VTP 'n VLAN-sinchronisasieprotokol is, dit wil sê, dit is ontwerp om die VLAN-databasis in alle netwerkskakelaars te sinchroniseer.
Ons het verskillende VTP-modusse genoem - bediener, kliënt, deursigtig. As die toestel bedienermodus gebruik, laat dit jou toe om veranderinge aan te bring, VLAN's by te voeg of te verwyder. Die kliëntmodus laat jou nie toe om veranderinge aan die skakelaarinstellings aan te bring nie, jy kan die VLAN-databasis slegs deur die VTP-bediener instel, en dit sal op alle VTP-kliënte gerepliseer word. 'n Skakelaar in deursigtige modus maak nie veranderinge aan sy eie VLAN-databasis nie, maar gaan eenvoudig deur homself en dra die veranderinge oor na die volgende toestel in kliëntmodus. Hierdie modus is soortgelyk aan die deaktivering van die VTP-protokol op 'n spesifieke toestel, om dit in 'n VLAN-veranderingsinligtingvervoerder te verander.
Kom ons keer terug na die Packet Tracer-program en na die netwerktopologie wat in die vorige les bespreek is. Ons het die VLAN10-netwerk vir die verkoopsafdeling en die VLAN20-netwerk vir die bemarkingsafdeling gekonfigureer, deur hulle met drie skakelaars te kombineer.
Skakelaars SW0 en SW1 kommunikeer oor VLAN20, en tussen SW0 en SW2 kommunikeer oor VLAN10 as gevolg van die feit dat ons VLAN10 by die VLAN-databasis van skakelaar SW1 gevoeg het.
Om die werking van die VTP-protokol te oorweeg, kom ons gebruik een van die skakelaars as 'n VTP-bediener, laat dit SW0 wees. As jy onthou, werk alle skakelaars by verstek in VTP-bedienermodus. Kom ons gaan na die switch command line terminal en voer die show vtp status opdrag in. Jy sien die huidige weergawe van die VTP-protokol - 2 en die konfigurasie-hersieningsnommer 4. As jy onthou, elke keer as 'n verandering aan die VTP-databasis gemaak word, verhoog die hersieningsnommer met een.
Die maksimum aantal ondersteunde VLAN's is 255. Hierdie getal hang af van die handelsmerk van 'n spesifieke Cisco-skakelaar, aangesien verskillende skakelaars 'n ander aantal VLAN's kan ondersteun. Die aantal bestaande VLAN's is 7, in 'n minuut sal ons kyk wat hierdie netwerke is. VTP-beheermodus is bediener, geen domeinnaam is gestel nie, VTP-snoeimodus is gedeaktiveer, ons sal later hierna terugkom. Die VTP V2 en VTP Traps Generation modes is ook gedeaktiveer. Jy hoef nie van die laaste twee modusse te weet om die 200-125 CCNA-eksamen af te lê nie, so jy hoef nie daaroor bekommerd te wees nie.
Kom ons kyk na die VLAN-databasis deur die show vlan-opdrag te gebruik. Soos ons in die vorige video gesien het, het ons 4 nie-ondersteunde netwerke: 1002, 1003, 1004 en 1005.
Dit lys ook die 2 netwerke wat ons geskep het, VLAN10 en 20, en die versteknetwerk, VLAN1. Kom ons gaan nou na 'n ander skakelaar en voer dieselfde opdrag in om die VTP-status te sien. Jy kan sien dat die hersieningsnommer van hierdie skakelaar 3 is, dit is in VTP-bedienermodus, en alle ander inligting is soortgelyk aan die eerste skakelaar. Wanneer ek die show VLAN-opdrag uitreik, sien ek dat ons 2 veranderinge in die instellings gemaak het, een minder as die SW0-skakelaar, en daarom is die hersieningsnommer van SW1 3. Ons het 3 veranderinge aan die verstekinstellings van die eerste skakelaar gemaak, so sy hersieningsgetal het tot 4 toegeneem.
Kom ons kyk nou na die status van SW2. Die hersieningsnommer hier is 1, wat vreemd is. Ons moet 'n tweede hersiening hê, want daar was 1 verandering aan die instellings. Kom ons kyk na die VLAN-databasis.
Ons het een verandering gemaak deur VLAN10 te skep, en ek weet nie hoekom hierdie inligting nie opgedateer is nie. Miskien het dit gebeur as gevolg van die feit dat ons nie 'n regte netwerk het nie, maar 'n sagteware-netwerksimulator, wat foute kan hê. Wanneer jy die kans kry om met regte toestelle te werk tydens jou praktyk by Cisco, sal dit jou meer help as die Packet Tracer-simulator. Nog 'n nuttige ding in die afwesigheid van regte toestelle is GNC3, of die Cisco Graphical Network Simulator. Dit is 'n emulator wat die regte bedryfstelsel van 'n toestel gebruik, soos 'n router. Daar is 'n verskil tussen 'n simulator en 'n emulator - eersgenoemde is 'n program wat soos 'n regte router lyk, maar nie is nie. Die emulator skep programmaties slegs die toestel self, maar gebruik regte sagteware om dit te laat loop. Maar as jy nie die vermoë het om met regte Cisco IOS-sagteware te werk nie, is Packet Tracer jou beste opsie.
Dus, ons moet SW0 as 'n VTP-bediener instel, hiervoor gaan ek na die globale instellings konfigurasiemodus en voer die vtp weergawe 2 opdrag in. Soos ek gesê het, kan ons die protokol weergawe wat ons benodig - 1 of 2, in hierdie stel geval ons 'n tweede weergawe nodig het. Vervolgens, met die vtp-modus-opdrag, stel ons die VTP-skakelaarmodus in - bediener, kliënt of deursigtig. In hierdie geval het ons bedienermodus nodig, en nadat die vtp-modus-bedieneropdrag ingevoer is, wys die stelsel 'n boodskap dat die toestel reeds in bedienermodus is. Vervolgens moet ons die VTP-domein konfigureer, waarvoor ons die vtp-domein nwking.org-opdrag gebruik. Hoekom is dit nodig? As daar 'n ander toestel op die netwerk is met 'n hoër hersieningsnommer, begin alle ander toestelle met 'n laer hersieningsnommer die VLAN-databasis vanaf daardie toestel repliseer. Dit gebeur egter net wanneer die toestelle dieselfde domeinnaam het. Byvoorbeeld, as jy by nwking.org werk, spesifiseer jy hierdie domein, as by Cisco, dan die cisco.com-domein, ensovoorts. Die domeinnaam van jou maatskappy se toestelle laat jou toe om hulle te onderskei van toestelle van 'n ander maatskappy of enige ander eksterne toestelle op die netwerk. Wanneer jy 'n toestel 'n maatskappy-domeinnaam gee, maak jy dit deel van daardie maatskappy se netwerk.
Die volgende ding om te doen is om die VTP-wagwoord in te stel. Dit is nodig sodat 'n hacker, wat 'n toestel met 'n groot hersieningsnommer het, nie sy VTP-instellings na jou skakelaar kan kopieer nie. Ek voer die cisco-wagwoord in met behulp van die vtp-wagwoord cisco-opdrag. Daarna sal replikasie van VTP-data tussen skakelaars slegs moontlik wees as die wagwoorde ooreenstem. As 'n verkeerde wagwoord gebruik word, sal die VLAN-databasis nie opgedateer word nie.
Kom ons probeer nog 'n paar VLAN's skep. Om dit te doen, gebruik ek die config t-opdrag, skep 'n netwerk met die nommer 200 met die vlan 200-opdrag, gee dit die naam TEST en stoor die veranderinge met die exit-opdrag. Dan skep ek nog 'n vlan 500 en noem dit TEST1. As jy nou die show vlan-opdrag invoer, dan kan jy in die tabel van virtuele netwerke van die skakelaar hierdie twee nuwe netwerke sien waaraan geen poorte toegewys is nie.
Kom ons gaan voort vanaf SW1 en sien sy VTP-status. Ons sien dat niks hier verander het nie, behalwe vir die domeinnaam, die aantal VLAN's bly gelyk aan 7. Ons sien nie die voorkoms van die netwerke wat ons geskep het nie, want die VTP-wagwoord stem nie ooreen nie. Kom ons stel die VTP wagwoord op hierdie skakelaar deur die conf t, vtp pass en vtp wagwoord cisco opdragte in volgorde in te voer. Die stelsel het berig dat die toestel se VLAN-databasis nou die cisco-wagwoord gebruik. Kom ons kyk weer na die VTP-status om te sien of die inligting gerepliseer is. Soos u kan sien, het die aantal bestaande VLAN's outomaties tot 9 toegeneem.
As jy na die VLAN-databasis van hierdie skakelaar kyk, kan jy sien dat die VLAN200- en VLAN500-netwerke wat ons geskep het outomaties daarin verskyn het.
Dieselfde moet met die laaste skakelaar SW2 gedoen word. Kom ons voer die show vlan-opdrag in - jy kan sien dat geen veranderinge daarin plaasgevind het nie. Net so is daar geen verandering in die status van die VTP nie. Om hierdie skakelaar die inligting op te dateer, moet jy ook 'n wagwoord opstel, dit wil sê, voer dieselfde opdragte in as vir SW1. Daarna sal die aantal VLAN's in die SW2-status na 9 toeneem.
Dit is waarvoor die VTP-protokol is. Dit is 'n wonderlike kenmerk wat inligting outomaties in alle kliëntnetwerktoestelle bywerk nadat veranderinge aan die bedienertoestel aangebring is. Jy hoef nie handmatig veranderinge aan die VLAN-databasis van alle skakelaars te maak nie - replikasie vind outomaties plaas. As jy 200 netwerktoestelle het, sal jou veranderinge gelyktydig op al 2 toestelle gestoor word. Net vir ingeval, ons moet seker maak dat SWXNUMX ook 'n VTP-kliënt is, so kom ons gaan na die instellings met die config t-opdrag en voer die vtp-modus-kliëntopdrag in.
Dus, in ons netwerk is slegs die eerste skakelaar in VTP-bedienermodus, die ander twee werk in VTP-kliëntmodus. As ek nou die SW2-instellings betree en die vlan 1000-opdrag invoer, sal ek 'n boodskap ontvang: "VTP VLAN-konfigurasie word nie toegelaat wanneer die toestel in kliëntmodus is nie." Ek kan dus geen veranderinge aan die VLAN-databasis maak as die skakelaar in VTP-kliëntmodus is nie. As ek enige veranderinge wil maak, moet ek na die skakelbediener gaan.
Ek gaan na die instellings van die SW0-terminaal en voer die vlan 999 in, noem IMRAN en uitgang-opdragte. Hierdie nuwe netwerk het in die VLAN-databasis van hierdie skakelaar verskyn, en as ek nou na die SW2-skakelaarkliëntdatabasis gaan, sal ek sien dat dieselfde inligting hier verskyn het, dit wil sê replikasie het plaasgevind.
Soos ek gesê het, is VTP 'n wonderlike stuk sagteware, maar as dit verkeerd gebruik word, kan hierdie protokol 'n hele netwerk ontwrig. Daarom moet jy baie versigtig wees met die maatskappynetwerk as die domeinnaam en VTP-wagwoord nie gestel is nie. In hierdie geval is al wat die hacker nodig het om die kabel van sy skakelaar in 'n netwerksok teen die muur te plaas, aan enige kantoorskakelaar te koppel deur die DTP-protokol te gebruik, en dan, met behulp van die geskepde stam, al die inligting op te dateer met die VTP-protokol . Die hacker kan dus alle belangrike VLAN's verwyder, deur voordeel te trek uit die feit dat die hersieningsnommer van sy toestel hoër is as die hersieningsnommer van die res van die skakelaars. In hierdie geval sal die maatskappy se skakelaars outomaties al die inligting in die VLAN-databasis vervang met inligting wat vanaf die kwaadwillige skakelaar gerepliseer word, en jou hele netwerk sal ineenstort.
Dit is te wyte aan die feit dat rekenaars met 'n netwerkkabel gekoppel word aan 'n spesifieke skakelpoort waaraan VLAN 10 of VLAN20 gekoppel is. As hierdie netwerke van die skakelaar se LAN-databasis verwyder word, sal dit outomaties die poort wat aan die nie-bestaande netwerk behoort, deaktiveer. Gewoonlik kan 'n maatskappy se netwerk misluk juis omdat die skakelaars eenvoudig poorte sal deaktiveer wat verband hou met VLAN's wat tydens die volgende opdatering verwyder is.
Om te verhoed dat so 'n probleem voorkom, moet jy 'n VTP-domeinnaam en wagwoord instel, of die Cisco Port Security-funksie gebruik, wat jou toelaat om die MAC-adresse van skakelpoorte te beheer, wat verskeie beperkings op die gebruik daarvan instel. Byvoorbeeld, as iemand anders probeer om die MAC-adres te verander, sal die poort onmiddellik gedeaktiveer word. Ons sal binnekort hierdie kenmerk van Cisco-skakelaars van naderby leer ken, maar vir eers is dit genoeg vir jou om te weet dat Port Security jou toelaat om seker te maak dat die VTP teen 'n indringer beskerm word.
Kom ons som op wat 'n VTP-instelling is. Dit is die keuse van die protokol weergawe - 1 of 2, die opdrag van die VTP-modus - bediener, kliënt of deursigtig. Soos ek gesê het, werk laasgenoemde modus nie die VLAN-databasis van die toestel self op nie, maar stuur eenvoudig alle veranderinge na naburige toestelle oor. Die volgende is die opdragte om 'n domeinnaam en wagwoord toe te ken: vtp-domein <domeinnaam> en vtp-wagwoord <wagwoord>.
Kom ons praat nou oor die VTP-snoeiinstellings. As jy na die netwerktopologie kyk, kan jy sien dat al drie skakelaars dieselfde VLAN-databasis het, wat beteken dat VLAN10 en VLAN20 deel is van al 3 skakelaars. Tegnies het die SW2-skakelaar nie VLAN20 nodig nie, want dit het nie poorte wat met hierdie netwerk verband hou nie. Ongeag hiervan, kom alle verkeer wat vanaf die Laptop0-rekenaar via die VLAN20-netwerk gerig word, na die skakelaar SW1 en daarvandaan gaan dit deur die stam na die SW2-poorte. Jou hooftaak as netwerkspesialis is om te verseker dat so min as moontlik onnodige data oor die netwerk versend word. U moet die oordrag van die nodige data verseker, maar hoe om die oordrag van inligting wat nie deur hierdie toestel benodig word nie te beperk?
Jy moet seker maak dat verkeer wat vir VLAN20-toestelle bestem is nie die SW2-poorte deur die stam sal binnegaan wanneer dit nie nodig is nie. Dit wil sê, Laptop0-verkeer moet SW1 bereik en dan na rekenaars op die VLAN20-netwerk, maar moet nie verder as die regte stampoort van SW1 gaan nie. Dit kan bereik word met behulp van VTP snoei.
Om dit te doen, moet ons na die SW0 VTP-bedienerinstellings gaan, want, soos ek gesê het, kan VTP-instellings slegs deur die bediener gemaak word, gaan na die globale konfigurasie-instellings en tik die vtp-snoeiopdrag. Aangesien Packet Tracer net 'n simulasieprogram is, is daar nie so 'n opdrag in sy opdraglynaanwysings nie. Wanneer ek egter vtp pruning tik en enter druk, sê die stelsel dat vtp pruning nie beskikbaar is nie.
Deur die wys vtp-status-opdrag te gebruik, sal ons sien dat die VTP-snoeimodus in die gedeaktiveerde toestand is, dus moet ons dit beskikbaar stel deur dit na die aktiveerposisie te skuif. Nadat ons dit gedoen het, sal ons die VTP-snoeimodus op al drie skakelaars van ons netwerk binne die netwerkdomein aktiveer.
Laat ek jou herinner wat VTP snoei is. Wanneer ons hierdie modus aktiveer, vertel die SW0-skakelaarbediener vir die SW2-skakelaar dat slegs VLAN10 op sy poorte gekonfigureer is. Daarna vertel skakelaar SW2 vir skakelaar SW1 dat dit geen verkeer nodig het behalwe verkeer wat vir VLAN10 bestem is nie. Nou, danksy VTP-snoei, het die SW1-skakelaar die inligting wat dit nie nodig het om VLAN20-verkeer oor die SW1-SW2-stam te stuur nie.
Vir jou as netwerkadministrateur is dit baie gerieflik. Jy hoef nie opdragte handmatig in te voer nie, aangesien die skakelaar slim genoeg is om presies te stuur wat die spesifieke netwerktoestel nodig het. As jy môre 'n ander afdeling van die bemarkingsafdeling in 'n naburige gebou plaas en sy VLAN20-netwerk koppel aan skakelaar SW2, sal hierdie skakelaar onmiddellik skakelaar SW1 inlig dat hy nou VLAN10- en VLAN20-netwerke het, en vra om verkeer na dit oor te dra vir beide netwerke. Hierdie inligting word voortdurend op alle toestelle bygewerk, wat kommunikasie doeltreffender maak.
Daar is 'n ander manier om die verkeersoordrag te spesifiseer, is om 'n opdrag te gebruik wat data-oordrag slegs vir die gespesifiseerde VLAN toelaat. Ek gaan na die SW1 skakelaar instellings, waar ek belangstel in die Fa0 / 4 poort, en voer die int fa0 / 4 en switchport stam toegelate vlan opdragte. Aangesien ek reeds weet dat SW2 net VLAN10 het, kan ek vir skakelaar SW1 sê om sy stampoort slegs verkeer vir hierdie netwerk toe te laat deur die toegelate vlan-opdrag te gebruik. So, ek het die Fa0 / 4 stampoort geprogrammeer om verkeer slegs vir VLAN10 te stuur. Dit beteken dat hierdie poort nie verdere verkeer vanaf VLAN1, VLAN20 of enige ander netwerk as die gespesifiseerde een sal toelaat nie.
Jy kan vra wat is beter om te gebruik - VTP snoei of die toegelate vlan opdrag. Die antwoord is subjektief, want in sommige gevalle is dit sinvol om die eerste metode te gebruik, en in ander - die tweede. As 'n netwerkadministrateur moet jy die beste oplossing vir jouself kies. In sommige gevalle kan die besluit om die hawe te programmeer om verkeer van 'n spesifieke VLAN deur te gee, goed wees, en in sommige gevalle kan dit sleg wees. In die geval van ons netwerk, kan die gebruik van die toegelate vlan-opdrag geregverdig wees as ons nie die netwerktopologie gaan verander nie. Maar as iemand later 'n groep toestelle wat VLAN2 gebruik by SW 20 wil voeg, is dit meer gepas om die VTP-snoeimodus te gebruik.
Dus, die opstel van VTP snoei is om die volgende opdragte te gebruik. Die vtp-snoeiopdrag bied outomatiese gebruik van hierdie modus. As jy VTP-snoei van 'n stampoort wil konfigureer om verkeer vanaf 'n spesifieke VLAN handmatig toe te laat, gebruik dan die koppelvlak <#> stampoortnommer seleksie-opdrag, aktiveer die skakelpoort-modus stamhoofhoofmodus, en laat verkeer toe vir 'n spesifieke netwerk deur gebruik te maak van die switchport stam toegelaat vlan opdrag .
Daar is 5 parameters wat in die laaste opdrag gebruik kan word. Alles beteken dat verkeer vir alle VLAN's toegelaat word, geen beteken dat verkeer vir alle VLAN's geweier word nie. As jy die add-parameter gebruik, kan jy verkeer vir nog een netwerk byvoeg. Ons laat byvoorbeeld VLAN10-verkeer toe, en met die add-opdrag kan ons ook verkeer vanaf die VLAN20-netwerk toelaat om deur te gaan. Die verwyder-opdrag laat jou toe om een van die netwerke te verwyder, byvoorbeeld, as jy die verwyder-parameter 20 gebruik, sal slegs VLAN10-verkeer oorbly.
Oorweeg nou die inheemse VLAN. Ons het reeds gesê dat inheemse VLAN 'n virtuele netwerk is om ongemerkte verkeer deur 'n spesifieke stampoort te stuur.
Ek gaan na die instellings vir 'n spesifieke poort, soos aangedui deur die SW(config-if)# opdragreëlopskrif, en gebruik die switchport trunk native vlan <netwerknommer> opdrag, byvoorbeeld VLAN10. Nou sal alle VLAN10-verkeer deur die ongemerkte stam gaan.
Kom ons keer terug na die logiese netwerktopologie in die Packet Tracer-venster. As ek die switchport stam inheemse vlan 20 opdrag vir die Fa0 / 4 skakel poort gebruik, dan sal alle VLAN20 netwerk verkeer deur die Fa0 / 4 - SW2 stam ongemerk gaan. Wanneer die SW2-skakelaar hierdie verkeer ontvang, sal dit dink: "dit is ongemerkte verkeer, wat beteken dat ek dit na die inheemse VLAN-netwerk moet lei." Vir hierdie skakelaar is inheemse VLAN VLAN1. Netwerke 1 en 20 is op geen manier gekoppel nie, maar aangesien die inheemse VLAN-modus gebruik word, het ons die geleentheid om VLAN20-verkeer na 'n heeltemal ander netwerk te lei. Hierdie verkeer sal egter ongekapsuleer wees, en die netwerke self moet steeds ooreenstem.
Kom ons kyk hierna met 'n voorbeeld. Ek sal in die SW1-instellings ingaan en die switchport trunk native vlan 10-opdrag gebruik. Nou sal enige VLAN10-verkeer ongemerk uit die stampoort kom. Wanneer dit die stampoort SW2 bereik, sal die skakelaar verstaan dat dit dit na VLAN1 moet lei. As gevolg van hierdie besluit sal verkeer nie rekenaars PC2, 3 en 4 kan bereik nie, aangesien hulle gekoppel is aan die toegangspoorte van die skakelaar wat vir VLAN10 bedoel is.
Tegnies sal dit veroorsaak dat die stelsel rapporteer dat die inheemse VLAN van poort Fa0/4, wat deel is van VLAN10, nie ooreenstem met die poort Fa0/1, wat deel is van VLAN1 nie. Dit beteken dat die gespesifiseerde poorte nie in stammodus sal kan werk nie as gevolg van 'n inheemse VLAN-wanpassing.
Dankie dat jy by ons gebly het. Hou jy van ons artikels? Wil jy meer interessante inhoud sien? Ondersteun ons deur 'n bestelling te plaas of by vriende aan te beveel, 30% afslag vir Habr-gebruikers op 'n unieke analoog van intreevlakbedieners, wat deur ons vir jou uitgevind is: (beskikbaar met RAID1 en RAID10, tot 24 kerne en tot 40 GB DDR4).
Dell R730xd 2 keer goedkoper? Net hier in Nederland! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - vanaf $99! Lees van
Bron: will.com