Обучение на Cisco 200-125 CCNA v3.0. Ден 14 VTP, подрязване и собствен VLAN

Днес ще продължим нашата дискусия за VLAN и ще обсъдим VTP протокола, както и концепциите за VTP Pruning и Native VLAN. Вече говорихме за VTP в едно от предишните видеоклипове и първото нещо, което трябва да ви хрумне, когато чуете за VTP, е, че той не е трънкинг протокол, въпреки че се нарича „VLAN трънкинг протокол“.

Както знаете, има два популярни транкинг протокола - собственият протокол Cisco ISL, който не се използва днес, и протоколът 802.q, който се използва в мрежови устройства от различни производители за капсулиране на транкинг трафик. Този протокол се използва и в комутаторите на Cisco. Вече казахме, че VTP е протокол за синхронизиране на VLAN, тоест той е предназначен да синхронизира VLAN базата данни във всички мрежови комутатори.

Споменахме различни VTP режими - сървър, клиент, прозрачен. Ако устройството използва сървърен режим, това ви позволява да правите промени, да добавяте или премахвате VLAN. Режимът на клиент не ви позволява да правите промени в настройките на превключвателя, можете да конфигурирате VLAN базата данни само чрез VTP сървъра и тя ще бъде репликирана на всички VTP клиенти. Превключвател в прозрачен режим не прави промени в собствената си VLAN база данни, а просто преминава през себе си и прехвърля промените към следващото устройство в клиентски режим. Този режим е подобен на деактивирането на VTP на конкретно устройство, превръщайки го в преносител на информация за промяна на VLAN.

Нека се върнем към програмата Packet Tracer и мрежовата топология, разгледана в предишния урок. Конфигурирахме VLAN10 мрежа за търговския отдел и VLAN20 мрежа за маркетинговия отдел, комбинирайки ги с три комутатора.

Комуникацията между комутаторите SW0 и SW1 се осъществява през мрежата VLAN20, а между SW0 и SW2 има комуникация през мрежата VLAN10 поради факта, че добавихме VLAN10 към VLAN базата данни на комутатор SW1.
За да разгледаме работата на VTP протокола, нека използваме един от комутаторите като VTP сървър, нека бъде SW0. Ако си спомняте, по подразбиране всички комутатори работят в режим VTP сървър. Нека отидем в терминала на командния ред на комутатора и въведете командата show vtp status. Виждате, че текущата версия на протокола VTP е 2, а номерът на ревизията на конфигурацията е 4. Ако си спомняте, всеки път, когато се правят промени в базата данни на VTP, номерът на ревизията се увеличава с единица.

Максималният брой поддържани VLAN е 255. Този брой зависи от марката на конкретния комутатор на Cisco, тъй като различните комутатори могат да поддържат различен брой локални виртуални мрежи. Броят на съществуващите VLAN е 7, след минута ще разгледаме какви са тези мрежи. Режимът на управление на VTP е сървър, името на домейна не е зададено, режимът на VTP съкращаване е деактивиран, ще се върнем към това по-късно. Режимите VTP V2 и VTP Traps Generation също са деактивирани. Не е необходимо да знаете за последните два режима, за да преминете изпита 200-125 CCNA, така че не се притеснявайте за тях.

Нека да разгледаме VLAN базата данни с помощта на командата show vlan. Както вече видяхме в предишното видео, имаме 4 неподдържани мрежи: 1002, 1003, 1004 и 1005.

Той също така изброява 2 мрежи, които създадохме, VLAN10 и 20, и мрежата по подразбиране, VLAN1. Сега нека преминем към друг превключвател и въведете същата команда, за да видите състоянието на VTP. Виждате, че ревизионният номер на този превключвател е 3, той е в режим VTP сървър и цялата друга информация е подобна на първия превключвател. Когато вляза в командата show VLAN, виждам, че сме направили 2 промени в настройките, една по-малко от превключвателя SW0, поради което номерът на ревизия на SW1 е 3. Направихме 3 промени в настройките по подразбиране на първия превключвател, следователно неговият ревизионен номер се увеличи на 4.

Сега нека да разгледаме състоянието на SW2. Номерът на ревизията тук е 1, което е странно. Трябва да имаме втора ревизия, защото беше направена 1 промяна на настройките. Нека да разгледаме VLAN базата данни.

Направихме една промяна, създавайки VLAN10 и не знам защо тази информация не беше актуализирана. Може би това се случи, защото нямаме реална мрежа, а софтуерен мрежов симулатор, който може да има грешки. Когато имате възможност да работите с реални устройства, докато стажувате в Cisco, това ще ви помогне повече от симулатора на Packet Tracer. Друго полезно нещо при липсата на реални устройства би било GNC3 или графичен мрежов симулатор на Cisco. Това е емулатор, който използва реалната операционна система на устройство, като например рутер. Има разлика между симулатор и емулатор - първият е програма, която изглежда като истински рутер, но не е такъв. Софтуерът на емулатора създава само самото устройство, но използва реален софтуер, за да го управлява. Но ако нямате възможност да стартирате действителния софтуер на Cisco IOS, Packet Tracer е най-добрият вариант.

И така, трябва да конфигурираме SW0 като VTP сървър, за това влизам в режима за конфигуриране на глобалните настройки и въвеждам командата vtp версия 2. Както казах, можем да инсталираме версията на протокола, от която се нуждаем - 1 или 2, в това в случай, че имаме нужда от втора версия. След това, използвайки командата vtp mode, задаваме VTP режима на комутатора - сървър, клиент или прозрачен. В този случай се нуждаем от сървърен режим и след като въведете командата vtp mode server, системата извежда съобщение, че устройството вече е в сървърен режим. След това трябва да конфигурираме VTP домейн, за който използваме командата vtp domain nwking.org. Защо е необходимо това? Ако в мрежата има друго устройство с по-висок ревизионен номер, всички останали устройства с по-нисък ревизионен номер започват да репликират VLAN базата данни от това устройство. Това обаче се случва само ако устройствата имат едно и също име на домейн. Например, ако работите в nwking.org, посочвате този домейн, ако в Cisco, тогава домейна cisco.com и т.н. Името на домейна на устройствата на вашата компания ви позволява да ги различавате от устройства на друга компания или от други външни устройства в мрежата. Когато присвоите име на домейн на компания към устройство, вие го правите част от мрежата на тази компания.

Следващото нещо, което трябва да направите, е да зададете VTP парола. Това е необходимо, така че хакер, който има устройство с висок ревизионен номер, да не може да копира своите VTP настройки на вашия комутатор. Въвеждам паролата на cisco с помощта на командата vtp password cisco. След това репликацията на VTP данни между комутаторите ще бъде възможна само ако паролите съвпадат. Ако се използва грешна парола, VLAN базата данни няма да се актуализира.

Нека се опитаме да създадем още VLAN. За да направя това, използвам командата config t, използвам командата vlan 200, за да създам мрежа с номер 200, давам й име TEST и запазвам промените с командата exit. След това създавам друг vlan 500 и го наричам TEST1. Ако сега въведете командата show vlan, тогава в таблицата на виртуалните мрежи на комутатора можете да видите тези две нови мрежи, към които не е назначен нито един порт.

Нека да преминем към SW1 и да видим неговия VTP статус. Виждаме, че нищо не се е променило тук, освен името на домейна, броят на VLAN остава равен на 7. Не виждаме мрежите, които създадохме, да се показват, защото VTP паролата не съвпада. Нека зададем VTP паролата на този превключвател чрез последователно въвеждане на командите conf t, vtp pass и vtp password Cisco. Системата съобщи, че VLAN базата данни на устройството вече използва паролата на Cisco. Нека да разгледаме отново състоянието на VTP, за да проверим дали информацията е репликирана. Както можете да видите, броят на съществуващите VLAN автоматично се увеличи до 9.

Ако погледнете VLAN базата данни на този превключвател, можете да видите, че мрежите VLAN200 и VLAN500, които създадохме, се появяват автоматично в нея.

Същото трябва да се направи с последния превключвател SW2. Нека въведем командата show vlan - виждате, че в нея не са настъпили промени. По същия начин няма промяна в състоянието на VTP. За да може този превключвател да актуализира информацията, вие също трябва да зададете парола, тоест да въведете същите команди като за SW1. След това броят на VLAN в статус SW2 ще се увеличи до 9.

За това е VTP. Това е страхотно нещо, което автоматично актуализира информацията във всички клиентски мрежови устройства, след като са направени промени в сървърното устройство. Не е необходимо ръчно да правите промени в VLAN базата данни на всички комутатори - репликацията се извършва автоматично. Ако имате 200 мрежови устройства, направените от вас промени ще бъдат запазени на всичките двеста устройства едновременно. За всеки случай трябва да се уверим, че SW2 също е VTP клиент, така че нека отидем в настройките с командата config t и въведете командата vtp mode client.

По този начин в нашата мрежа само първият комутатор е в режим VTP сървър, другите два работят в режим VTP клиент. Ако сега вляза в настройките на SW2 и въведа командата vlan 1000, ще получа съобщението: „конфигурирането на VTP VLAN не е разрешено, когато устройството е в клиентски режим.“ По този начин не мога да правя никакви промени в VLAN базата данни, ако комутаторът е в режим VTP клиент. Ако искам да направя някакви промени, трябва да отида на сървъра за превключване.

Отивам до настройките на терминала SW0 и въвеждам командите vlan 999, именувам IMRAN и излизам. Тази нова мрежа се появи в VLAN базата данни на този комутатор и ако сега отида в базата данни на клиентския комутатор SW2, ще видя, че тук се е появила същата информация, тоест репликацията е настъпила.

Както казах, VTP е страхотен софтуер, но ако се използва неправилно, може да наруши цяла мрежа. Следователно трябва да бъдете много внимателни, когато боравите с фирмената мрежа, ако името на домейна и VTP паролата не са зададени. В този случай всичко, което хакерът трябва да направи, е да включи кабела на своя комутатор в мрежов контакт на стената, да се свърже с всеки офис комутатор, използвайки DTP протокола и след това, използвайки създадения trunk, да актуализира цялата информация, използвайки VTP протокола . По този начин хакерът може да изтрие всички важни VLAN, като се възползва от факта, че ревизионният номер на неговото устройство е по-висок от ревизионния номер на други комутатори. В този случай превключвателите на компанията автоматично ще заменят цялата информация за базата данни на VLAN с информация, копирана от злонамерения превключвател, и цялата ви мрежа ще се срине.

Това се дължи на факта, че компютрите са свързани чрез мрежов кабел към конкретен порт на комутатора, към който е присвоен VLAN 10 или VLAN20. Ако тези мрежи бъдат изтрити от LAN базата данни на комутатора, това автоматично ще деактивира порта, принадлежащ на несъществуващата мрежа. Обикновено мрежата на компанията може да се срине точно защото превключвателите просто дезактивират портове, свързани с VLAN, които са били премахнати по време на следващата актуализация.

За да предотвратите възникването на такъв проблем, трябва да зададете име и парола на VTP домейн или да използвате функцията Cisco Port Security, която ви позволява да управлявате MAC адресите на портовете на комутатора, като въвеждате различни ограничения върху използването им. Например, ако някой друг се опита да промени MAC адреса, портът незабавно ще спре. Ще разгледаме по-подробно тази функция на комутаторите на Cisco много скоро, но засега всичко, което трябва да знаете е, че Port Security ви позволява да се уверите, че VTP е защитен от нападател.

Нека обобщим какво представлява VTP настройката. Това е избор на версия на протокола - 1 или 2, задаване на VTP режим - сървър, клиент или прозрачен. Както вече казах, последният режим не актуализира VLAN базата данни на самото устройство, а просто предава всички промени на съседните устройства. Следват командите за задаване на име на домейн и парола: vtp домейн <име на домейн> и vtp парола <парола>.

Сега нека поговорим за настройките за подрязване на VTP. Ако погледнете мрежовата топология, можете да видите, че и трите комутатора имат една и съща VLAN база данни, което означава, че VLAN10 и VLAN20 са част от всичките 3 комутатора. Технически суич SW2 не се нуждае от VLAN20, защото няма портове, принадлежащи към тази мрежа. Въпреки това, независимо от това, целият трафик, изпратен от компютъра Laptop0 през мрежата VLAN20, достига до превключвателя SW1 и от него преминава през магистралата към портовете SW2. Вашата основна задача като мрежов специалист е да гарантирате, че възможно най-малко ненужни данни се предават по мрежата. Трябва да гарантирате, че необходимите данни се предават, но как можете да ограничите предаването на информация, която не е необходима на устройството?

Трябва да се уверите, че трафикът, предназначен за устройства на VLAN20, не преминава към SW2 портовете през магистралата, когато не е необходим. Това означава, че трафикът на Laptop0 трябва да достигне SW1 и след това до компютри във VLAN20, но не трябва да надхвърля десния магистрален порт на SW1. Това може да се постигне с помощта на VTP подрязване.

За да направим това, трябва да отидем в настройките на VTP сървъра SW0, защото както вече казах, VTP настройките могат да се правят само през сървъра, отидете в глобалните настройки за конфигурация и въведете командата за подрязване на vtp. Тъй като Packet Tracer е само програма за симулация, няма такава команда в подканите на нейния команден ред. Въпреки това, когато напиша vtp pruning и натисна Enter, системата ми казва, че режимът на vtp pruning не е наличен.

Използвайки командата show vtp status, ще видим, че режимът на VTP Pruning е в забранено състояние, така че трябва да го направим достъпен, като го преместим в активна позиция. След като направим това, активираме режима на VTP Pruning на трите превключвателя на нашата мрежа в мрежовия домейн.
Нека ви напомня какво е VTP резитба. Когато активираме този режим, превключващият сървър SW0 информира превключвател SW2, че само VLAN10 е конфигуриран на неговите портове. След това превключвател SW2 казва на превключвател SW1, че не се нуждае от друг трафик освен трафик, предназначен за VLAN10. Сега, благодарение на VTP Pruning, превключвателят SW1 има информацията, че не е необходимо да изпраща VLAN20 трафик по магистралата SW1-SW2.

Това е много удобно за вас като мрежов администратор. Не е нужно ръчно да въвеждате команди, защото превключвателят е достатъчно интелигентен, за да изпрати точно това, от което се нуждае конкретното мрежово устройство. Ако утре поставите друг маркетингов отдел в съседната сграда и свържете неговата VLAN20 мрежа към превключвател SW2, този превключвател незабавно ще каже на превключвател SW1, че вече има VLAN10 и VLAN20 и ще го помоли да пренасочи трафика за двете мрежи. Тази информация се актуализира постоянно на всички устройства, което прави комуникацията по-ефективна.

Има и друг начин за указване на предаването на трафик - това е да използвате команда, която позволява предаване на данни само за определената VLAN. Отивам в настройките на суич SW1, където ме интересува порт Fa0/4 и въвеждам командите int fa0/4 и switchport trunk allowed vlan. Тъй като вече знам, че SW2 има само VLAN10, мога да кажа на SW1 да разреши само трафик за тази мрежа на своя trunk порт, като използва разрешената команда vlan. Така че програмирах магистрален порт Fa0/4 да пренася трафик само за VLAN10. Това означава, че този порт няма да позволи допълнителен трафик от VLAN1, VLAN20 или друга мрежа, различна от посочената.

Може би се чудите кое е по-добре да използвате: VTP Pruning или разрешената команда vlan. Отговорът е субективен, защото в някои случаи има смисъл да се използва първият метод, а в други има смисъл да се използва вторият. Като мрежов администратор, от вас зависи да изберете най-доброто решение. В някои случаи решението да се програмира порт за разрешаване на трафик от конкретна VLAN може да бъде добро, но в други може да е лошо. В случая на нашата мрежа използването на разрешената команда vlan може да е оправдано, ако няма да променим мрежовата топология. Но ако някой по-късно иска да добави група устройства, използващи VLAN2 към SW 20, би било по-препоръчително да използва режима на VTP Pruning.

И така, настройването на VTP подрязване включва използването на следните команди. Командата за подрязване на vtp осигурява автоматично използване на този режим. Ако искате да конфигурирате VTP отрязване на магистрален порт, за да позволите на трафика на конкретна VLAN да преминава ръчно, след това използвайте командата, за да изберете интерфейса с номер на магистрален порт <#>, активирайте магистралния канал на режима на превключвател на порт на главния канал и разрешете предаването на трафик към конкретна мрежа с помощта на командата switchport trunk allowed vlan .

В последната команда можете да използвате 5 параметъра. Всички означава, че предаването на трафик за всички VLAN е разрешено, нито едно – предаването на трафик за всички VLAN е забранено. Ако използвате параметъра за добавяне, можете да добавите пропускателна способност на трафика за друга мрежа. Например, разрешаваме VLAN10 трафик, а с командата add можем също така да позволим VLAN20 трафик да преминава. Командата за премахване ви позволява да премахнете една от мрежите, например, ако използвате параметъра за премахване 20, ще остане само VLAN10 трафик.

Сега нека да разгледаме собствената VLAN. Вече казахме, че native VLAN е виртуална мрежа за преминаване на немаркиран трафик през конкретен trunk порт.

Отивам в конкретните настройки на порта, както е посочено от заглавката на командния ред SW(config-if)#, и използвам командата switchport trunk native vlan <мрежов номер>, например VLAN10. Сега целият трафик на VLAN10 ще преминава през немаркирания ствол.

Нека се върнем към топологията на логическата мрежа в прозореца Packet Tracer. Ако използвам командата switchport trunk native vlan 20 на комутационен порт Fa0/4, тогава целият трафик на VLAN20 ще тече през Fa0/4 – SW2 trunk без етикет. Когато превключвател SW2 получи този трафик, той ще си помисли: „това е немаркиран трафик, което означава, че трябва да го насоча към собствената VLAN.“ За този превключвател собствената VLAN е мрежата VLAN1. Мрежи 1 и 20 не са свързани по никакъв начин, но тъй като се използва собствен VLAN режим, имаме възможност да насочваме VLAN20 трафик към напълно различна мрежа. Този трафик обаче ще бъде некапсулиран и самите мрежи все още трябва да съвпадат.

Нека да разгледаме това с пример. Ще вляза в настройките на SW1 и ще използвам командата switchport trunk native vlan 10. Сега всеки VLAN10 трафик ще излиза от trunk порта немаркиран. Когато достигне trunk порт SW2, комутаторът ще разбере, че трябва да го препрати към VLAN1. В резултат на това решение трафикът няма да може да достигне до компютри PC2, 3 и 4, тъй като те са свързани към портовете за достъп на комутатора, предназначени за VLAN10.

Технически, това ще накара системата да докладва, че родният VLAN на порт Fa0/4, който е част от VLAN10, не съвпада с порт Fa0/1, който е част от VLAN1. Това означава, че посочените портове няма да могат да работят в магистрален режим поради несъответствие на родния VLAN.

Благодарим ви, че останахте с нас. Харесвате ли нашите статии? Искате ли да видите още интересно съдържание? Подкрепете ни, като направите поръчка или препоръчате на приятели, 30% отстъпка за потребителите на Habr за уникален аналог на сървъри от начално ниво, който беше измислен от нас за вас: Цялата истина за VPS (KVM) E5-2650 v4 (6 ядра) 10GB DDR4 240GB SSD 1Gbps от $20 или как да споделите сървър? (предлага се с RAID1 и RAID10, до 24 ядра и до 40GB DDR4).

Dell R730xd 2 пъти по-евтин? Само тук 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV от $199 в Холандия! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - от $99! Прочети за Как да изградим инфраструктура Corp. клас с използване на сървъри Dell R730xd E5-2650 v4 на стойност 9000 евро за стотинка?

Източник: www.habr.com