Тренинг Cisco 200-125 CCNA v3.0. Ден 14. VTP, Pruning и Native VLAN

Днес ще продължим с разглеждането на VLAN и ще обсъдим протокола VTP, както и понятията VTP Pruning и Native VLAN. В едно от предишните видео вече говорихме за VTP и първото, което трябва да ви дойде на ум, когато чуете за VTP, е, че той не е транкинг протокол, въпреки че се нарича "протокол на транкинг VLAN".

Както знаете, съществуват два популярни транкинг протокола – несъществуващият днес проприетарен протокол Cisco ISL и протоколът 802.1Q, който се използва в мрежовите устройства на различни производители за инкапсулация на транкинг трафик. Този протокол също се използва в комутаторите Cisco. Както вече казахме, VTP е протокол за синхронизация на VLAN, тоест той е предназначен за синхронизиране на базата данни на VLAN в всички комутатори в мрежата.

Споменахме за различните режими на VTP – server, client, transparent. Ако устройството работи в режим на сървър, това позволява да се правят промени, да се добавят или премахват VLAN. Режимът на клиента не позволява да се правят промени в настройките на комутатора, можете да настроите базата данни VLAN само чрез VTP сървър и тя ще бъде репликирана на всички VTP клиенти. Комутаторът в режим transparent не прави промени в собствената си база данни на VLAN, а просто пропуска и предава промените на следващото устройство, което работи в режим client. Този режим е подобен на деактивирането на протокола VTP на конкретно устройство, превръщайки го в транспортьор на информация за промените във VLAN.

Нека се върнем към програмата Packet Tracer и топологията на мрежата, разгледана в предишния урок. Настроихме мрежа VLAN10 за отдела по продажби и мрежа VLAN20 за отдела по маркетинг, свързвайки ги чрез три комутатора.

Връзката между комутаторите SW0 и SW1 е осъществена по мрежа VLAN20, а между SW0 и SW2 – по мрежа VLAN10, благодарение на факта, че добавихме VLAN10 в базата данни VLAN на комутатора SW1.
За да разгледаме работата на протокола VTP, нека използваме един от комутаторите като VTP сървър, да речем SW0. Ако си спомняте, по подразбиране всички комутатори работят в режим на VTP сървър. Нека влезем в терминала на командния ред на комутатора и да въведем командата show vtp status. Виждате текущата версия на протокола VTP – 2 и номера на ревизията на конфигурацията 4. Ако си спомняте, всеки път, когато в базата данни VTP се правят промени, номерът на ревизията се увеличава с единица.

Максималният брой поддържани VLAN мрежи е 255. Този брой зависи от модела на конкретния Cisco комутатор, тъй като различните комутатори могат да поддържат различен брой локални виртуални мрежи. Наличните VLAN мрежи в момента са 7, след малко ще разгледаме какви са тези мрежи. Режимът на управление на VTP е сървър, името на домейна не е зададено, режимът VTP Pruning е деактивиран, ще се върнем към това по-късно. Също така режимите VTP V2 и VTP Traps Generation са деактивирани. За полагането на изпита 200-125 CCNA не е необходимо да знаете за двата последни режима, така че можете да не се притеснявате за тях.

Нека да разгледаме базата данни на VLAN, като използваме команда show vlan. Както вече видяхме в предишното видео, имаме 4 неподдържани мрежи: 1002, 1003, 1004 и 1005.

Тук също така са изброени 2 създадени от нас мрежи VLAN10 и 20 и мрежата по подразбиране VLAN1. Сега ще преминем към друг комутатор и ще въведем същата команда, за да видим статуса на VTP. Виждате, че номерът на ревизията на този комутатор е 3, той е в режим на VTP сървър и всяка друга информация е аналогична на първия комутатор. Когато въведа командата show VLAN, ще видя, че сме направили 2 промени в настройките, с едно по-малко от комутатора SW0, затова номерът на ревизията на SW1 е 3. Направили сме 3 промени в настройките по подразбиране на първия комутатор, затова номерът на ревизията му е увеличен до 4.

Сега нека да погледнем статуса на SW2. Номерът на ревизията тук е 1, което е странно. Трябва да имаме втора ревизия, тъй като е направено 1 изменение на настройките. Нека да погледнем базата данни на VLAN.

Направихме една промяна, създавайки мрежа VLAN10, и не знам защо тази информация не се обнови. Може би това се случи, защото нямаме истинска мрежа, а софтуерен симулатор на мрежата, в който могат да възникнат грешки. Когато имате възможност да работите с истински устройства по време на практиката в подразделението на Cisco, това ще ви помогне повече от симулатора Packet Tracer. Още една полезна опция при отсъствието на реални устройства е GNC3, или графичен симулатор на Cisco мрежа. Това е емулатор, който използва истинската операционна система на устройството, например, рутера. Между симулатора и емулатора има разлика – първият представлява програма, която изглежда като истински рутер, но не е такъв. Емулаторът софтуерно създава само самото устройство, но за функционирането си използва реален софтуер. Но ако нямате възможност да работите с реален софтуер Cisco IOS, най-добрият вариант ще бъде Packet Tracer.

И така, необходимо е да настроим SW0 като VTP-сървър. За целта влизам в режим на глобална конфигурация и въвеждам командата vtp version 2. Както казах, можем да зададем версията на протокола, която ни е необходима – 1 или 2, и в този случай ни е нужна втората версия. След това с командата vtp mode задаваме VTP режима на суитча – сървър, клиент или transparent. В този случай ни трябва сървърен режим и след въвеждане на командата vtp mode server системата показва съобщение, че устройството вече е в режим на сървър. След това трябва да конфигурираме VTP домейна, за което използваме командата vtp domain nwking.org. Защо е нужно това? Ако в мрежата има друго устройство с по-висок номер на ревизия, всички останали устройства с по-нисък номер започват да репликират VLAN базата данни от това устройство. Но това се случва само ако устройствата имат едно и също домейн име. Например, ако работите в nwking.org, задавате този домейн; ако в Cisco, то домейнът е cisco.com и така нататък. Доменното име на устройствата на вашата компания позволява да ги разграничите от устройствата на друга компания или от всякакви други външни устройства в мрежата. Ако присвоите на устройството доменно име на компания, вие го правите част от мрежата на тази компания.

Следващото, което трябва да направим, е да настроим VTP парола. Тя е необходима, за да не може хакер с устройство с по-висока ревизия да копира настройките си VTP в вашия суич. Ввеждам парола cisco с командата vtp password cisco. След това репликацията на данни VTP между суичовете ще бъде възможна само при съвпадение на паролите. Ако бъде използвана неправилна парола, обновленията на базата данни на VLAN няма да се случат.

Нека опитаме да създадем още няколко VLAN. За целта използвам командата config t, с командата vlan 200 създавам мрежа с номер 200, присвоявам й име TEST и запазвам промените с командата exit. След това създавам още една мрежа vlan 500 и я наричам TEST1. Ако в момента въведем командата show vlan, ще видим в таблицата на виртуалните мрежи на суича тези две нови мрежи, към които не е приписан нито един порт.

Нека преминем към SW1 и да видим статуса на VTP. Виждаме, че тук нищо не се е променило, освен името на домейна, броят на VLAN мрежите остава 7. Не виждаме появата на създадените от нас мрежи, защото паролата за VTP не съвпада. Нека зададем парола за VTP на този суич, последователно въвеждайки командите conf t, vtp pass и vtp password cisco. Системата съобщи, че базата данни на VLAN устройството вече използва паролата cisco. Нека още веднъж погледнем статуса на VTP, за да проверим дали репликацията на информацията е преминала успешно. Както виждате, броят на съществуващите VLAN автоматично се увеличи на 9.

Ако погледнем базата данни на VLAN на този суич, можем да видим, че в нея автоматично са се появили създадените от нас мрежи VLAN200 и VLAN500.

Същото трябва да направим и с последния суич SW2. Ще въведем командата show vlan – виждате, че в нея няма настъпили промени. По аналогичен начин няма промени в статуса на VTP. За да обнови информацията, този суич също трябва да настрои паролата, тоест да въведе същите команди, както за SW1. След това броят на VLAN мрежите в статуса на SW2 ще се увеличи до 9.

Ето защо е необходим протоколът VTP. Това е отличен инструмент, който осигурява автоматично обновление на информацията във всички клиентски мрежови устройства след промени в устройството-сървър. Няма нужда ръчно да въвеждате промени в базата данни VLAN на всички свитчи – репликацията става автоматично. Ако имате 200 мрежови устройства, направените промени ще бъдат запазени едновременно на всичките двестах устройства. За всеки случай трябва да се уверим, че SW2 също е VTP-клиент, затова влизаме в настройките с командата config t и въвеждаме командата vtp mode client.

Така в нашата мрежа само първият свитч е в режим VTP Server, а двата останали работят в режим VTP Client. Ако сега вляза в настройките на SW2 и въведа командата vlan 1000, ще получа съобщение: «настройката VTP VLAN не е разрешена, когато устройството е в режим client». По този начин не мога да правя никакви промени в базата данни VLAN, ако свитчът е в режим VTP клиент. Ако желая да направя промени, трябва да премина на свитча-сървър.

Влизам в настройките на терминала SW0 и въвеждам командите vlan 999, name IMRAN и exit. Тази нова мрежа се появи в базата данни VLAN на този свитч и ако сега премина в базата данни на свитча-клиент SW2, ще видя, че тук се е появила същата информация, т.е. е станала репликация.

Както казах, VTP е отлична част от софтуера, но при неправилна употреба този протокол може да наруши работата на цяла мрежа. Затова трябва да бъдете много внимателни при управлението на мрежата на компанията, ако името на домейна и паролата за VTP не са зададени. В такъв случай всичко, от което се нуждае хакерът, е да свърже кабела на своя свитч в мрежовия контакт на стената, да се свърже с който и да е офисен свитч по протокола DTP и след това, използвайки създадения транк, да обнови всички данни по протокола VTP. По този начин хакерът ще може да изтрие всички важни VLAN мрежи, използвайки факта, че номерът на ревизията на неговото устройство е по-висок от номера на ревизията на останалите свитчи. В този процес свитчовете на компанията автоматично ще заменят цялата информация в базата данни VLAN с информация, реплицирана от злонамерен свитч, и цялата ваша мрежа ще се срути.

Това е свързано с факта, че компютрите са свързани към конкретен порт на суича чрез мрежов кабел, към който е привързана мрежата VLAN 10 или мрежата VLAN20. Ако тези мрежи бъдат премахнати от базата данни на LAN суича, той автоматично ще изключи порта, принадлежащ на несъществуващата мрежа. Обикновено мрежата на компанията може да се провали именно поради факта, че суичовете просто ще изключат портовете, свързани с VLAN, които са премахнати по време на последното обновление.

За да се предотврати възникването на такъв проблем, е необходимо да се зададе домейн име и парола за VTP или да се използва функцията Cisco Port Security, която позволява управлението на MAC адресите на портовете на суичовете, въвеждайки различни ограничения за тяхното използване. Например, ако някой непознат се опита да промени MAC адреса, портът ще бъде незабавно изключен. Скоро ще се запознаем отблизо с тази функция на суичовете Cisco, а в момента е достатъчно да знаете, че Port Security гарантира, че VTP е защитен от злонамерени действия.

Да обобщим какво представлява настройката на VTP. Това е избор на версия на протокола – 1 или 2, и назначаване на режима на VTP – сървър, клиент или transparent. Както вече казах, последният режим не обновява базата данни на VLAN на самото устройство, а просто предава всички промени на съседните устройства. По-долу са командите за задаване на домейн име и парола: vtp domain и vtp password .

Сега да поговорим за настройките на VTP Pruning. Ако погледнем топологията на мрежата, можем да видим, че всички три суича имат една и съща база данни VLAN, което означава, че мрежите VLAN10 и VLAN20 са част от всички 3 суича. Технически, суичът SW2 не се нуждае от мрежата VLAN20, тъй като няма портове, свързани към тази мрежа. Въпреки това, целият трафик, насочен от компютъра Laptop0 през мрежата VLAN20, попада на суича SW1 и от него по транк минава към портовете на SW2. Основната ви задача като мрежов специалист е да направите така, че в мрежата да се предават възможно най-малко излишни данни. Трябва да осигурите предаването на нужната информация, но как да ограничите предаването на информация, която не е нужна на това устройство?

Трябва да се уверите, че трафикът, предназначен за устройствата в мрежата VLAN20, няма да преминава през портовете на SW2 през транковете, когато това не е необходимо. Тоест трафикът от Laptop0 трябва да достигне до SW1 и след това до компютрите в мрежата VLAN20, но не трябва да излиза извън десния транк-порт на SW1. Това може да се осигури с помощта на VTP Pruning.

За целта трябва да влезем в настройките на VTP-сървъра SW0, защото, както вече споменах, настройките на VTP могат да бъдат правени само чрез сървъра, влезем в глобалните настройки на конфигурацията и напишем командата vtp pruning. Тъй като Packet Tracer е просто симулационна програма, в неговите подсказки за командния ред няма такава команда. Въпреки това, когато напиша vtp pruning и натисна «Enter», системата ще ми съобщи, че режимът vtp pruning не е наличен.

Използвайки командата show vtp status, ще видим, че режимът VTP Pruning е в състояние disabled, така че трябва да го направим достъпен, като го преместим в положение enable. Като направим това, ние активираме режима VTP Pruning на всички три суича в нашата мрежа в рамките на мрежовия домейн.
Позволете ми да ви напомня какво представлява VTP Pruning. Когато активираме този режим, суич-сървърът SW0 съобщава на суич SW2, че на неговите портове е конфигурирана само мрежата VLAN10. След това суич SW2 съобщава на суич SW1, че не му е необходим никакъв трафик, освен трафика, предназначен за мрежата VLAN10. Сега благодарение на VTP Pruning, суич SW1 знае, че не трябва да изпраща трафик за VLAN20 през транка SW1-SW2.

За вас като мрежов администратор това е много удобно. Не е необходимо ръчно да въвеждате команди, тъй като суичът е достатъчно умен, за да изпраща точно това, което е необходимо за конкретното мрежово устройство. Ако утре разположите в съседната сграда още едно подразделение на отдел маркетинг и свържете тяхната мрежа VLAN20 към суича SW2, този суич веднага ще съобщи на суич SW1, че вече разполага с мрежи VLAN10 и VLAN20 и ще поиска да му предава трафика за двете мрежи. Тази информация постоянно се актуализира на всички устройства, което прави връзката по-ефективна.

Има още един начин да конкретизирате предаването на трафик – да използвате команда, която разрешава предаването на данни само за указания VLAN. Влизам в настройките на комутатора SW1, където ме интересува порт Fa0/4, и въвеждам командите int fa0/4 и switchport trunk allowed vlan. Тъй като вече знам, че SW2 има само VLAN10, мога да дам указание на комутатора SW1 да пропуска трафик само за тази мрежа, като приложа командата allowed vlan. По този начин програмирах транк-порта Fa0/4 да предава трафик само за VLAN10. Това означава, че този порт няма да пропуска трафик от VLAN1, VLAN20 или която и да е друга мрежа, освен указанията.

Можете да попитате, кое е по-добре да се използва – VTP Pruning или командата allowed vlan. Отговорът е субективен, тъй като в някои случаи има смисъл да се използва първият вариант, а в други – вторият. Като администратор на мрежа, вие сами трябва да изберете оптималното решение. В някои случаи програмирането на порт за пропускане на трафик от определен VLAN може да бъде добро решение, а в други – лошо. В случая на нашата мрежа, използването на командата allowed vlan може да бъде оправдано, ако не планираме да променим топологията на мрежата. Но ако в последствие някой реши да добави на SW2 група устройства, използващи VLAN20, по-разумно би било да се приложи режим VTP Pruning.

И така, настройката на VTP Pruning се състои в използването на следните команди. Командата vtp pruning осигурява автоматично използване на този режим. Ако искате ръчно да настроите VTP Pruning на транк-порт, за да пропуснете трафик от определен VLAN, използвате командата за избор на номер на транк-порт interface , активирате режим транк switchport mode trunk и разрешавате предаването на трафик за конкретна мрежа с командата switchport trunk allowed vlan .

В последната команда могат да се използват 5 параметра. All означава, че предаването на трафик за всички мрежи VLAN е разрешено, none – предаването на трафик за всички VLAN е забранено. Ако използвате параметъра add, можете да добавите пропуск на трафик за още една мрежа. Например, ако имаме разрешен трафик за VLAN10, с командата add можем също да разрешим пропускането на трафик за VLAN20. Командата remove позволява да се премахне една от мрежите, например, ако използвате параметър remove 20, ще остане само предаването на трафик за VLAN10.

Сега да разгледаме native VLAN. Вече казахме, че native VLAN представлява виртуална мрежа за пропускане на нетагиран трафик през конкретен транк порт.

Влизам в настройките на конкретния порт, което е показано в заглавието на командния ред SW(config-if)#, и използвам командата switchport trunk native vlan , например, VLAN10. Сега целият трафик на мрежата VLAN10 ще премине през транка без тагове.

Нека се върнем към логическата топология на мрежата в прозореца Packet Tracer. Ако използвам командата switchport trunk native vlan 20 за порта на суича Fa0/4, то целият трафик на мрежата VLAN20 ще премине през транка Fa0/4 – SW2 нетагиран. Когато суичът SW2 получи този трафик, ще помисли: "това е нетагиран трафик, следователно, трябва да го насоча към мрежата native VLAN". За този суич native VLAN е мрежата VLAN1. Мрежите 1 и 20 не са свързани, но тъй като се използва режим native VLAN, получаваме възможността да насочим трафика VLAN20 към съвсем различна мрежа. Въпреки това, този трафик ще бъде некатегориран, а самите мрежи трябва да съвпадат.

Нека разгледаме това с пример. Ще вляза в настройките на SW1 и ще използвам командата switchport trunk native vlan 10. Сега всеки трафик VLAN10 ще излиза от транк порта нетагиран. Когато достигне транк порта SW2, суичът ще разбере, че трябва да го насочи към VLAN1. В резултат на това решене, трафикът няма да може да достигне компютрите PC2, 3 и 4, тъй като те са свързани към access портовете на суича, предназначени за VLAN10.

Технически, това ще предизвика появата на системно съобщение, че native VLAN на порта Fa0/4, който е част от VLAN10, не съвпада с порта Fa0/1, който е част от VLAN1. Това означава, че посочените портове няма да могат да работят в режим транк поради несъответствие на native VLAN.

Благодарим ви, че останахте с нас. Харесват ли ви нашите статии? Искате ли да видите повече интересни материали? Подкрепете ни, като направите поръчка или ни препоръчате на познати. 30% отстъпка за потребителите на Хабра на уникален аналог на entry-level сървъри, който създадохме специално за вас: Цялата истина за VPS (KVM) E5-2650 v4 (6 ядра) 10GB DDR4 240GB SSD 1Gbps от 20 $ или как правилно да разделите сървър. (с налични опции за RAID1 и RAID10, до 24 ядра и до 40GB DDR4).

Dell R730xd на половин цена? Всичко това само при нас 2 х Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100TB от 199 $ в Нидерландия! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — от 99 $! Чете се за това Как да построим инфраструктура от корпоративен клас с помощта на сървъри Dell R730xd E5-2650 v4 на стойност 9000 евро за малко пари?

Източник: habr.com