Обучение Cisco 200-125 CCNA v3.0. Ден 14. VTP, Pruning и Native VLAN

Днес ще продължим с разглеждането на VLAN и ще обсъдим протокола VTP, както и понятията VTP Pruning и Native VLAN. В едно от предишните видеа вече говорихме за VTP и първото, което трябва да ви дойде на ум, когато чуете за VTP, е, че това не е протокол за транкинг, въпреки че се нарича „протокол за транкинг VLAN“.

Както знаете, съществуват два популярни протокола за транкинг – ненужния днес собствен протокол Cisco ISL и протокол 802.1q, който се използва в мрежови устройства на различни производители за инкапсулация на транкинг трафик. Този протокол също се прилага в комутаторите на Cisco. Вече говорихме, че VTP е протокол за синхронизация на VLAN, тоест той е предназначен за синхронизиране на базата данни VLAN във всички комутатори в мрежата.

Споменахме различните режими на VTP – сървър, клиент, прозрачност. Ако устройството използва режим на сървър, това позволява изменения, добавяне или премахване на VLAN. Режимът на клиента не позволява извършване на изменения в настройките на комутатора, можете да настроите базата данни VLAN само чрез VTP сървър и тя ще бъде репликирана на всички VTP клиенти. Комутаторът в режим на прозрачност не извършва изменения в собствената си база данни VLAN, а просто пропуска и предава измененията на следващото устройство, което е в режим на клиент. Този режим е подобен на деактивиране на протокола VTP на конкретно устройство, превръщайки го в преносител на информация за измененията в VLAN.

Нека се върнем към програмата Packet Tracer и към топологията на мрежата, разгледана в предишния урок. Настроихме мрежата VLAN10 за отдела по продажби и мрежата VLAN20 за отдела по маркетинг, свързвайки ги с три комутатора.

Връзката между комутаторите SW0 и SW1 се осъществява по мрежата VLAN20, а между SW0 и SW2 – по мрежата VLAN10, благодарение на това, че добавихме VLAN10 в базата данни VLAN на комутатора SW1.
За да разгледаме работата на протокола VTP, нека използваме един от комутаторите като VTP сървър, нека това бъде SW0. Ако си спомняте, по подразбиране всички комутатори работят в режим на VTP сървър. Нека влезем в терминала на командния ред на комутатора и въведем командата show vtp status. Виждате текущата версия на протокола VTP – 2 и номера на ревизията на конфигурацията 4. Ако си спомняте, всеки път, когато в базата данни VTP се извършват изменения, номерът на ревизията се увеличава с единица.

Максималният брой поддържани VLAN мрежи е 255. Това число зависи от конкретната марка на Cisco превключвателя, тъй като различните превключватели могат да поддържат различен брой локални виртуални мрежи. Броят на съществуващите VLAN мрежи е 7, след минута ще разгледаме какви са тези мрежи. Режимът на управление VTP е сървър, името на домейна не е зададено, режимът VTP Pruning е изключен, ще се върнем към това по-късно. Режимите VTP V2 и VTP Traps Generation също са деактивирани. За успешно полагане на изпита 200-125 CCNA не е необходимо да знаете за последните два режима, така че не се тревожете за тях.

Нека да погледнем базата данни на VLAN, като използваме командата show vlan. Както вече видяхме в предишното видео, имаме 4 неподдържани мрежи: 1002, 1003, 1004 и 1005.

Тук също са изброени 2 създадени от нас мрежи VLAN10 и 20, и мрежата по подразбиране VLAN1. Сега да преминем към другия превключвател и да напишем същата команда, за да видим състоянието на VTP. Виждате, че номерът на ревизията на този превключвател е 3, той е в режим на VTP-сървър и цялата останала информация е подобна на първия превключвател. Когато напиша командата show VLAN, ще видя, че сме направили 2 промени в настройките, с една по-малко от превключвателя SW0, затова номерът на ревизията на SW1 е равен на 3. Ние проведохме 3 промени в настройките на първия превключвател по подразбиране, затова номерът на ревизията му се е увеличил до 4.

Сега да погледнем статуса на SW2. Номерът на ревизията тук е 1 и това е странно. Трябва да имаме втора ревизия, защото беше направена 1 промяна в настройките. Да видим базата данни на VLAN.

Направихме една промяна и създадохме VLAN10, но не знам защо информацията не се обнови. Може би причината е, че нямаме истинска мрежа, а софтуерен симулатор, в който могат да се появят грешки. Когато имате възможност да работите с истински устройства по време на практиката във филиала на Cisco, това ще ви помогне повече, отколкото симулатора Packet Tracer. Още нещо полезно при отсъствието на реални устройства е GNS3, графичен симулатор на мрежата Cisco. Това е емулатор, който използва истинската операционна система на устройството, като например рутер. Между симулатора и емулатора има разлика – първият представлява програма, която изглежда като истински рутер, но не е такъв. Емулаторът софтуерно възпроизвежда самото устройство, но за функционирането му използва истински софтуер. Но ако нямате възможност да работите с реалния софтуер Cisco IOS, най-добрият вариант е Packet Tracer.

И така, трябва да настроим SW0 като VTP-сървър, затова влизам в режима на глобалната конфигурация и въвеждам команда vtp version 2. Както казах, можем да зададем нужната версия на протокола – 1 или 2, в случая ни трябва втората версия. След това с командата vtp mode задаваме VTP режима на превключвателя – сървър, клиент или transparent. В този случай ни трябва режим сървър и след въвеждането на командата vtp mode server системата показва съобщение, че устройството вече е в режим сървър. Следващото, което трябва да направим, е да настроим VTP-домейн, за което използваме командата vtp domain nwking.org. Защо е необходимо? Ако в мрежата има друго устройство с по-висок номер на ревизия, всички останали устройства с по-нисък номер започват да реплицират базата данни на VLAN от това устройство. Въпреки това, това се случва само ако устройствата имат еднакво домейн име. Например, ако работите в nwking.org, задавате това домейн име, ако в Cisco, то домейн сisco.com и така нататък. Домейн името на устройствата на вашата компания позволява да ги отличите от устройствата на друга компания или всякакви други внешни устройства в мрежата. Ако зададете на устройството домейн име на компанията, то го правите част от мрежата на тази компания.

Следващото нещо, което трябва да направите, е да зададете VTP паролата. Тя е нужна, за да предотврати хакер, който притежава устройство с по-висока ревизия, да копира настройките на VTP на вашия суич. Въвеждам парола cisco, използвайки командата vtp password cisco. След това репликацията на данни VTP между суичовете ще бъде възможна само при съвпадение на паролите. Ако бъде използвана неправилна парола, актуализациите на базата данни VLAN няма да се извършат.

Нека опитаме да създадем още няколко VLAN. За целта използвам командата config t, с командата vlan 200 създавам мрежа с номер 200, задавам ѝ име TEST и запазвам промените с командата exit. След това създавам още една мрежа vlan 500 и я наричам TEST1. Ако сега въведете командата show vlan, в таблицата на виртуалните мрежи на суича ще можете да видите тези две нови мрежи, към които не е приписан нито един порт.

Нека да преминем към SW1 и да видим неговия VTP статус. Виждаме, че тук няма промени, освен името на домейна, числото на VLAN мрежите остава 7. Не виждаме появата на създадените от нас мрежи, защото VTP паролата не съвпада. Нека зададем VTP паролата на този суич, като последователно въведем командите conf t, vtp pass и vtp password сisco. Системата изпрати съобщение, че базата данни на VLAN устройството сега използва паролата сisco. Нека отново погледнем статуса на VTP, за да проверим дали репликацията на информацията е преминала. Както виждате, броят на съществуващите VLAN от автоматично се увеличи на 9.

Ако погледнем базата данни VLAN на този суич, можем да видим, че автоматично се появиха създадените от нас мрежи VLAN200 и VLAN500.

Същото трябва да се направи и с последния суич SW2. Въвеждаме командата show vlan – виждате, че няма настъпили промени. По подобен начин няма промени и в статуса на VTP. За да обнови информацията, този суич също трябва да зададе парола, т.е. да въведе същите команди, както за SW1. След това броят на VLAN мрежите в статуса на SW2 ще се увеличи на 9.

Ето за какво служи протоколът VTP. Това е страхотен инструмент, който осигурява автоматично обновяване на информацията във всички клиентски мрежови устройства след извършване на промени в устройството-сървър. Не е необходимо ръчно да въвеждате промени в базата данни VLAN на всички суичове – репликацията става автоматично. Ако имате 200 мрежови устройства, внесените промени ще бъдат запазени едновременно на всичките двеста устройства. За всеки случай трябва да се уверим, че SW2 също е VTP клиент, затова влизаме в настройките с командата config t и въвеждаме командата vtp mode client.

По този начин в нашата мрежа само първият суич е в режим VTP Server, а другите два работят в режим VTP Client. Ако сега вляза в настройките на SW2 и въведа командата vlan 1000, ще получа съобщение: "настройката на VTP VLAN не е разрешена, когато устройството е в режим client". Следователно, не мога да правя никакви промени в базата данни VLAN, ако суичът е в режим VTP клиент. Ако искам да направя някакви промени, трябва да премина на суича-сървър.

Влизам в настройките на терминала SW0 и въвеждам командите vlan 999, name IMRAN и exit. Тази нова мрежа се появи в базата данни VLAN на този суич и ако сега прехвърля в базата данни на клиента SW2, ще видя, че тук също е налична същата информация, тоест е настъпила репликация.

Както казах, VTP е отлична част от софтуера, но при неправилна употреба този протокол може да наруши работата на цяла мрежа. Затова трябва много внимателно да се отнасяте към мрежата на компанията, ако името на домейна и паролата на VTP не са зададени. В този случай всичко, от което хакерът се нуждае, е да свърже кабела на своя суич в мрежовия контакт на стената, да се свърже с всякакъв офисен суич по протокол DTP и след това, използвайки създадения транк, да обнови цялата информация по протокол VTP. Така хакерът може да изтрие всички важни VLAN мрежи, разчитайки на факта, че номерът на ревизията на устройството му е по-висок от номера на ревизията на останалите суичове. В този момент, суичовете на компанията автоматично ще заменят информацията от базата данни VLAN с информация, репликирана от злонамерения суич, и цялата ви мрежа ще рухне.

Това е свързано с факта, че компютрите са свързани към конкретен порт на свич с помощта на мрежов кабел, към който е прикрепена мрежа VLAN 10 или VLAN 20. Ако тези мрежи бъдат премахнати от базата данни на LAN свича, той автоматично ще деактивира порта, принадлежащ на несъществуваща мрежа. Обикновено мрежата на фирмата може да се срине именно защото свичовете просто ще изключат портовете, свързани с VLAN мрежи, които са били изтрити по време на последното обновление.

За да предотвратите възникването на такъв проблем, е необходимо да зададете доменно име и парола за VTP или да използвате функцията Cisco Port Security, която позволява управление на MAC адресите на портовете на свичовете, налагайки различни ограничения за тяхното използване. Например, ако някой непознат опита да промени MAC адреса, портът моментално ще се изключи. Скоро ще се запознаем по-отблизо с тази функция на свичовете Cisco, а в момента е достатъчно да знаете, че Port Security гарантира, че VTP е защитен от атаки.

Нека обобщим какво представлява настройката на VTP. Това е избор на версия на протокола – 1 или 2, задаване на режима на VTP – сървър, клиент или прозрачна. Както вече споменах, последният режим не обновява базата данни на VLAN на устройството, а просто предава всички промени на съседните устройства. По-долу са командите за задаване на доменно име и парола: vtp domain и vtp password .

Сега да поговорим за настройките на VTP Pruning. При разглеждане на топологията на мрежата, можем да видим, че и трите свича имат една и съща база данни VLAN, което означава, че мрежите VLAN10 и VLAN20 са част от всички 3 свича. Технически, свичът SW2 не се нуждае от мрежа VLAN20, тъй като няма портове, свързани с тази мрежа. Въпреки това, целият трафик, насочен от компютъра Laptop0 през мрежата VLAN20, достига до свича SW1 и от него по транка постъпва на портовете на SW2. Основната ви задача като мрежов специалист е да осигурите, че през мрежата се предават колкото е възможно по-малко ненужни данни. Трябва да осигурите предаване на необходимите данни, но как да ограничите предаването на информация, която не е нужна на това устройство?

Трябва да се уверите, че трафикът, предназначен за устройствата в мрежата VLAN20, не постъпва на портовете на SW2 през транка, когато това не е необходимо. Тоест, трафикът от Laptop0 трябва да достига до SW1 и оттам до компютрите в мрежата VLAN20, но не трябва да излиза извън десния транков порт на SW1. Това може да бъде осигурено с помощта на VTP Pruning.

За целта трябва да влезем в настройките на VTP-сервера SW0, тъй като, както вече споменах, настройките на VTP могат да се извършват само чрез сървър. Трябва да отидем в глобалните настройки на конфигурацията и да въведем командата vtp pruning. Тъй като Packet Tracer е просто симулационна програма, в нейните подсказки за командния ред такава команда не съществува. Обаче, когато напиша vtp pruning и натисна 'Вход', системата ще съобщи, че режимът vtp pruning не е наличен.

Използвайки командата show vtp status, ще видим, че режимът VTP Pruning е в състояние disabled, затова трябва да го направим наличен, превключвайки в положение enable. Като го направим, активираме режима VTP Pruning на всичките три суича в нашата мрежа в рамките на мрежовия домейн.
Позволете ми да напомня какво е VTP Pruning. Когато активираме този режим, суич-сървър SW0 уведомява суич SW2, че на неговите портове е конфигурирана само мрежата VLAN10. След това суич SW2 информира суич SW1, че не му е нужен никакъв трафик освен трафика, предназначен за мрежата VLAN10. Сега благодарение на VTP Pruning суич SW1 има информация, че не е необходимо да изпраща трафик VLAN20 през транка SW1-SW2.

За вас като мрежов администратор това е много удобно. Не е нужно ръчно да въвеждате команди, тъй като суичът е достатъчно умен, за да изпраща точно това, което е необходимо за конкретното мрежово устройство. Ако утре поместите в съседната сграда още едно подразделение на маркетинговия отдел и свържете неговата мрежа VLAN20 със суич SW2, този суич незабавно ще уведоми суич SW1, че вече разполага с мрежи VLAN10 и VLAN20 и ще поиска да му се предава трафик за двете мрежи. Тази информация постоянно се обновява на всички устройства, което прави комуникацията по-ефективна.

Има още един начин да конкретизирате предаването на трафик – да използвате команда, която разрешава предаване на данни само за указаната VLAN. Влизам в настройките на суича SW1, където ме интересува порт Fa0/4, и въвеждам командите int fa0/4 и switchport trunk allowed vlan. Тъй като вече знам, че SW2 има само VLAN10, мога да укажа на суича SW1 да пропуска само трафика за тази мрежа, прилагаща командата allowed vlan. По този начин програмирах транк-порта Fa0/4 да предава трафика само за VLAN10. Това означава, че този порт няма да пропусне трафика VLAN1, VLAN20 или друга мрежа, освен указаната.

Можете да попитате, какво е по-добре да се използва – VTP Pruning или командата allowed vlan. Отговорът е субективен, тъй като в някои случаи е уместно да се използва първият метод, а в други – вторият. Като мрежов администратор, вие сами трябва да изберете оптималното решение. В някои случаи решението да програмирате порта да пропуска трафика на определена VLAN може да бъде добро, а в други – лошо. В случая на нашата мрежа използването на командата allowed vlan може да бъде оправдано, ако не смятаме да променяме топологията на мрежата. Но ако в бъдеще някой иска да добави към SW2 група устройства, използващи VLAN20, по-практично би било да приложим режим VTP Pruning.

И така, конфигурацията на VTP Pruning се състои в използването на следните команди. Командата vtp pruning осигурява автоматично включване на този режим. Ако обаче искате ръчно да конфигурирате VTP Pruning на транк-порта да пропуска трафика на определена VLAN, използвате командата за избор на номера на транк-порта interface , включване на режима на транк switchport mode trunk и разрешавате предаването на трафика на конкретната мрежа с командата switchport trunk allowed vlan .

В последната команда може да се използват 5 параметъра. All означава, че е разрешено предаването на трафика на всички мрежи VLAN, none – предаването на трафика за всички VLAN е забранено. Ако използвате параметъра add, можете да добавите предаването на трафика за още една мрежа. Например, имаме разрешен трафик за VLAN10, а с командата add можем да разрешим и предаването на трафика на мрежата VLAN20. Командата remove позволява да изтриете една от мрежите, например, ако използвате параметъра remove 20, ще остане само предаването на трафика на VLAN10.

Сега ще разгледаме native VLAN. Вече споменахме, че native VLAN представлява виртуална мрежа за пропускане на нетагиран трафик през конкретен транк-порт.

Влизам в настройките на конкретен порт, на което указва заглавието на командния ред SW(config-if)#, и използвам командата switchport trunk native vlan , например, VLAN10. Сега целият трафик от мрежата VLAN10 ще преминава през транка без тагове.

Нека се върнем към логичната топология на мрежата в прозореца Packet Tracer. Ако използвам командата switchport trunk native vlan 20 за порта на суича Fa0/4, то целият трафик от мрежата VLAN20 ще преминава по транка Fa0/4 – SW2 нетагиран. Когато суичът SW2 получи този трафик, той ще помисли: „това е нетагиран трафик, следователно трябва да го насоча към мрежата native VLAN“. За този суич native VLAN е мрежата VLAN1. Мрежите 1 и 20 не са свързани, но тъй като се използва режим native VLAN, имаме възможност да насочим трафика VLAN20 в напълно различна мрежа. Въпреки това, този трафик ще бъде некапсулиран, а самите мрежи трябва все пак да съвпадат.

Нека разгледаме това на примера. Ще вляза в настройките на SW1 и ще използвам командата switchport trunk native vlan 10. Сега всеки трафик от VLAN10 ще излиза от транк-порта нетагиран. Когато достигне транк-порта на SW2, суичът ще разбере, че трябва да го насочи към VLAN1. В резултат на това решение трафикът няма да може да достигне компютрите PC2, 3 и 4, тъй като те са свързани към access-портовете на суича, предназначени за VLAN10.

Технически, това ще предизвика появата на съобщение от системата, че native VLAN на порта Fa0/4, който е част от VLAN10, не съвпада с порта Fa0/1, който е част от VLAN1. Това означава, че посочените портове няма да могат да работят в режим транк поради несъответствие в native VLAN.

Благодарим, че останахте с нас. Харесвате ли нашите статии? Искате ли да виждате повече интересни материали? Подкрепете ни, като направите поръчка или ни препоръчате на познати, 30% отстъпка за потребителите на Хабра за уникален аналог на entry-level сървъри, създаден от нас за вас: Всичко за VPS (KVM) E5-2650 v4 (6 ядра) 10GB DDR4 240GB SSD 1Gbps от $20 или как да делим сървъра правилно? (налични опции с RAID1 и RAID10, до 24 ядра и до 40GB DDR4).

Dell R730xd два пъти по-евтин? Само при нас 2 х Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100TB от $199 в Нидерландия! Dell R420 — 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — от $99! Четете за това Как да изградим инфраструктура от корпоративен клас с прилагане на сървъри Dell R730xd Е5-2650 v4 на стойност 9000 евро за копейки?

Източник: habr.com