Курс Cisco 200-125 CCNA v3.0. Ден 34. Разширена концепция VLAN

Вече разгледахме локалните мрежи VLAN в уроците от Ден 11, 12 и 13 и днес ще продължим изучаването им в контекста на ICND2. Записах предишното видео, което отбеляза края на подготовката за изпита ICND1, преди няколко месеца и оттогава до днес бях много зает. Мисля, че много от вас успешно преминаха този изпит, а тези, които отложиха теста, могат да изчакат да завършат втората част на курса и да опитат да се явят на обобщаващия изпит CCNA 200-125.

С днешния видеоурок «Ден 34» започваме темата на курса ICND2. Много хора ме питат защо не разгледахме OSPF и EIGRP. Причината е, че тези протоколи не са включени в темата на курса ICND1 и се изучават при подготовка за ICND2. От днешния ден ще започнем да обхващаме темите от втората част на курса и, разбира се, ще изучим OSPF и EIGRP. Преди да започнем днешната тема, искам да говоря за структуриране на нашите видеоуроци. При разглеждането на темата ICND1 не следвах приетите шаблони, а просто логически обяснявах материала, тъй като смятах, че по този начин е по-лесно за разбиране. Сега, когато изучаваме ICND2, по искане на слушателите ще представям учебния материал в съответствие с учебния план и програмата на курса Cisco.

Ако посетите сайта на компанията, ще видите този план и че целият курс е разделен на 5 основни части:

— Технологии за комутация на локални мрежи (26% от учебния материал);
— Технологии за маршрутизация (29%);
— Технологии за глобални мрежи (16%);
— Услуги за инфраструктура (14%);
— Поддръжка на инфраструктурата (15%).

Ще започна с първата част. Ако натиснете разширяващото се меню вдясно, можете да видите детайлната тема на този раздел. Днешният видеоурок ще обхване темата на раздел 1.1: «Настройка, проверка и отстраняване на проблеми в VLAN мрежи (обикновен / разширен диапазон), обхващащи няколко суича» и подразделите 1.1а «Портове за достъп (данни и гласови съобщения)» и 1.1.b «VLAN по подразбиране».

Следващият път ще се опитам да спазвам същия принцип на изложение, т.е. всяко видеоурокче ще бъде посветено на една тема с подтемии, а ако материалът е недостатъчен, ще комбинирам темата на няколко раздела, например 1.2 и 1.3. Ако обаче материалът по раздела е много, ще го разделя на две видеа. Във всеки случай ще следваме програмата на курса, и вие лесно ще можете да сравнявате вашите записките с актуалния учебен план на Cisco.

На екрана виждате моят нов работен плот, това е Windows 10. Ако искате да подобрите работния си плот с различни джаджи, можете да видите моето видео с наименование «Pimp Your Desktop», в което разказвам как да настроите работния плот на компютъра си според вашите нужди. Видеа от този тип публикувам на друг канал, ExplainWorld, така че можете да се възползвате от линка в горния десен ъгъл и да се запознаете със съдържанието му.

Преди да започнем урока, моля, не забравяйте да споделяте моите видеа и да ги харесвате. Искам също така да напомня за нашите контакти в социалните мрежи и линкове към моите лични страници. Можете да ми пишете по имейл, а както вече казах, приоритет в получаването на личен отговор ще имат хората, които са направили дарение на нашия сайт.

Ако не сте направили дарение, няма страшно. Можете да оставяте своите коментари под видеоуроците в канала YouTube и аз ще отговарям на тях по възможност.

И така, днес, съгласно графика на Cisco, ще разгледаме 3 въпроса: ще сравним Default VLAN, или VLAN по подразбиране, с Native VLAN, или 'роден' VLAN, ще разберем какво отличава Normal VLAN (обикновен диапазон VLAN) от разширения диапазон на мрежи Extended VLAN и ще обсъдим разликата между Data VLAN (VLAN за данни) и Voice VLAN (гласова VLAN). Както казах, уже проучвахме този въпрос в предишните серии, но доста повърхностно, така че много ученици все още имат трудности да определят разликата между типовете VLAN. Днес ще го обясня така, че всички да разберат.

Нека разгледаме каква е разликата между Default VLAN и Native VLAN. Ако вземете напълно нов комутатор Cisco с фабрични настройки, той ще има 5 VLAN – VLAN1, VLAN1002, VLAN1003, VLAN1004 и VLAN1005.

VLAN1 е VLAN по подразбиране за всички устройства Cisco, а VLAN 1002-1005 са резервирани за Token Ring и FDDI. Мрежата VLAN1 не може да бъде изтрита или преименувана, не могат да се добавят интерфейси и всички портове на суича по подразбиране принадлежат на тази мрежа, докато не бъдат конфигурирани по различен начин. По подразбиране всички суичове могат да комуникират помежду си, тъй като всички са част от VLAN1. Ето какво означава „VLAN по подразбиране“ или Default VLAN.

Ако влезете в настройките на суича SW1 и назначите два интерфейса за мрежата VLAN20, те ще станат част от мрежата VLAN20. Преди да започнем днешния урок, настоятелно ви съветвам да прегледате споменатите по-горе епизоди 11, 12 и 13, защото няма да повтарям какво е VLAN и как функционират.

Искам само да напомня, че няма автоматично да се приписват интерфейси на мрежата VLAN20, докато не я създадете, затова първо трябва да влезете в режима на глобална конфигурация на суича и да създадете VLAN20. Можете да погледнете конзолата на настройките CLI и да разберете какво имам предвид. След като назначите тези 2 порта за работа с VLAN20, компютрите PC1 и PC2 ще могат да комуникират помежду си, тъй като и двата ще принадлежат на една и съща мрежа VLAN20. Но компютърът PC3 все още ще е част от VLAN1 и затова няма да може да се свърже с компютрите от мрежата VLAN20.

Имаме втори суич SW2, един от интерфейсите на който е назначен за работа с VLAN20, и компютър PC5 е свързан към този порт. При такава схема на свързване PC5 не може да се свърже с PC4 и PC6, но тези два компютъра могат да комуникират помежду си, тъй като принадлежат на една и съща мрежа VLAN1.

И двата суича са свързани чрез транк през съответно конфигурираните портове. Няма да повтарям, просто ще кажа, че всички портове на суича по подразбиране са настроени на режим транкинг по протокола DTP. Ако свържете компютър към някой порт, този порт ще използва access mode. Ако искате да преведете порта, към който е свързан PC3, в този режим, трябва да въведете командата switchport mode access.

Така че, ако свържете два суича помежду си, те ще образуват транк. Двата горни порта на SW1 ще пропускат трафик само за VLAN20, долният порт – само за трафик VLAN1, но транк-съединението ще пропуска през себе си целия трафик, преминаващ през суича. По този начин трафикът и за VLAN1, и за VLAN20 ще постъпва към SW2.

Както знаете, VLAN мрежите имат локално значение. Следователно SW2 знае, че трафикът, който постъпва на порт VLAN1 от PC4, може да бъде изпратен на PC6 само чрез порт, който също принадлежи на VLAN1. Въпреки това, когато един суич изпраща трафик на друг суич чрез трак, той трябва да използва механизъм, който да обясни на втория суич какъв трафик е това. Такъв механизъм е мрежата Native VLAN, която е свързана с трак порта и пропуска трафик с таг.

Както вече казах, суичът има само една мрежа, която не може да бъде променяна – това е мрежата по подразбиране VLAN1. Но по подразбиране Native VLAN е VLAN1. Какво представлява Native VLAN? Това е мрежата, която пропуска нетагиран трафик VLAN1, но щом трафик от друга мрежа, в нашия случай VLAN20, постъпи на трак порта, той задължително се тагира. Всеки фрейм има адрес на дестинация DA, адрес на източника SA и VLAN таг, съдържащ идентификатора на мрежата VLAN ID. В нашия случай този идентификатор показва, че трафикът принадлежи към VLAN20, следователно той може да бъде изпратен само през порт VLAN20 и предназначен за PC5. Може да се каже, че Native VLAN решава дали трафикът да бъде тагиран или нетагиран.

Запомнете, че VLAN1 по подразбиране е мрежата Native VLAN, защото по подразбиране всички портове използват VLAN1 като Native VLAN за предаване на нетагиран трафик. Въпреки това, мрежата Default VLAN е само VLAN1, единствената мрежа, която не може да бъде променена. Ако суичът получи нетагирани фреймове на траков порт, автоматично ги причислява към Native VLAN.

По-просто казано, в суичовете на Cisco като Native VLAN може да се използва всяка VLAN, например VLAN20, докато като Default VLAN може да се използва само VLAN1.

В този случай можем да срещнем проблем. Ако сменим Native VLAN на транк порта на първия суич на VLAN20, тогава портът ще помисли: «тъй като това е Native VLAN, не е необходимо да се етикетира трафикът» и ще изпрати неетикирания трафик на мрежата VLAN20 по транка към втория суич. Суич SW2, получавайки този трафик, ще каже: «отлично, този трафик няма етикет. Според моите настройки, моята Native VLAN е VLAN1, следователно, трябва да изпратя този неетикиран трафик по мрежата VLAN1». По този начин, SW2 ще насочи получения трафик само към PC4 и PC-6, въпреки че той е предназначен за PC5. Това ще създаде голям проблем с безопасността, тъй като ще смеси трафика на VLAN. Затова на двете транкови портове винаги трябва да се настройва една и съща Native VLAN, тоест, ако Native VLAN за транковия порт SW1 е VLAN20, то тази VLAN20 трябва да бъде установена като Native VLAN на транковия порт SW2.

Ето в какво се състои разликата между Native VLAN и Default VLAN, и трябва да запомните, че всички Native VLAN в транка трябва да съвпадат (забележка на преводача: затова е по-добре да се използва мрежа, различна от VLAN1, като Native VLAN).

Нека разгледаме това от гледна точка на суича. Можете да влезете в суича и да напишете командата show vlan brief, след което ще видите, че всички портове на суича са свързани към Default VLAN1.

По-долу са показани още 4 мрежи VLAN: 1002, 1003, 1004 и 1005. Това също са Default VLAN, можете да видите това от тяхното обозначение. Те са мрежи по подразбиране, защото са резервирани за конкретни мрежи — Token Ring и FDDI. Както виждате, те са в активно състояние, но не се поддържат, тъй като мрежите на упоменатите стандарти не са свързани към суича.

Обозначението “default” за мрежата VLAN 1 не може да бъде променяно, тъй като това е мрежа по подразбиране. Тъй като по подразбиране всички портове на суича принадлежат към тази мрежа, всички суичове могат да свързват помежду си по подразбиране, тоест без необходимост от допълнителни настройки на портовете. Ако искате да свържете суич към друга мрежа, влизате в режима на глобални настройки и създавате тази мрежа, например, VLAN20. Натискайки «Enter», ще преминете към настройките на създадената мрежа и можете да ѝ зададете име, например, Management, след което да излезете от настройките.

Ако в момента използвате командата show vlan brief, ще видите, че имаме нова VLAN мрежа 20, на която не отговаря нито един от портовете на превключвателя. За да присвоите конкретен порт на тази мрежа, трябва да изберете интерфейса, например, int e0/1, да влезете в настройките на този порт и да въведете командите switchport mode access и switchport access vlan20.

Ако поискате от системата да покаже състоянието на VLAN мрежите, ще видим, че сега порт Ethernet 0/1 е предназначен за мрежа Management, т.е. е бил автоматично преместен тук от областта на портовете, предназначени по подразбиране за VLAN1.

Запомнете, че всеки access порт може да има само една Data VLAN, следователно не може едновременно да обслужва две VLAN мрежи.

Сега да погледнем на Native VLAN. Използвам командата show int trunk и виждам, че порт Ethernet0/0 е зададен за транк.

Не е нужно да правя това специално, тъй като протоколът DTP автоматично назначи този интерфейс за транкинг. Портът е в режим desirable, инкапсулацията е от тип n-isl, състоянието на порта – транкинг, мрежата – Native VLAN1.

По-долу е посочен допустимият диапазон на номерата на VLAN мрежите за транкинг 1-4094 и указано, че работят мрежите VLAN1 и VLAN20. Сега ще вляза в режим на глобална конфигурация и ще въведа командата int e0/0, чрез която ще премина към настройките на този интерфейс. Опитвам се ръчно да конфигурирам този порт да работи в режим транк с командата switchport mode trunk, обаче системата не приема командата, отговаряйки, че: „интерфейс с автоматичен режим на инкапсулация на транк не може да бъде преведен в режим 'транк'.

Затова първо трябва да настроя типа на инкапсулацията на транка, за което използвам командата switchport trunk encapsulation. Системата изведе подсказки с възможни параметри на тази команда:

dot1q — по време на транкинг портът използва инкапсулация на транка по стандарта 802.1q;
isl — по време на транкинг портът използва инкапсулация на транкинг само на собственост на Cisco ISL;
negotiate – устройството извършва инкапсулация на транкинг с всяко устройство, свързано към този порт.

На все краища транка трябва да се избере един и същ тип инкапсулация. По подразбиране комутаторът "из коробка" поддържа само транкинг от тип dot1q, тъй като този стандарт се поддържа практически от всички мрежови устройства. Ще програмирам нашия интерфейс за инкапсулация на транкинга по този стандарт с команда switchport trunk encapsulation dot1q, след което ще използвам преди това отхвърлената команда switchport mode trunk. Сега нашият порт е програмиран в режим транк.

Ако транкът е образуван от два комутатора Cisco, по подразбиране ще се използва собственическият протокол ISL. Ако един комутатор поддържа dot1q и ISL, а вторият само dot1q, транкът автоматично ще премине в режим на инкапсулация dot1q. Ако отново погледнем параметрите на транкинга, ще видим, че сега режимът на инкапсулация на транкинга на интерфейса Et0/0 е променен от n-isl на 802.1q.

Ако въведете командата show int e0/0 switchport, ще видите всички параметри на състоянието на този порт.

Виждате, че по подразбиране VLAN1 е "родна мрежа" Native VLAN за транкинга и е възможен режим на тагиране на трафика на Native VLAN. След това използвам командата int e0/0, влизам в настройките на този интерфейс и въвеждам switchport trunk, след което системата предоставя подсказки за възможните параметри на тази команда.

Allowed означава, че ако портът е в режим транк, ще се зададат допустимите характеристики на VLAN. Encapsulation активира инкапсулацията на транкинга, ако портът е в режим транк. Използвам параметър native, който означава, че в режим транк за порта ще се зададат native характеристики и въвеждам командата switchport trunk native VLAN20. По този начин, в режим транк VLAN20 ще бъде Native VLAN за този порт на първия комутатор SW1.

Имаме друг комутатор, SW2, за който Native VLAN за транк-порта е VLAN1. Сега виждате, че протоколът CDP издава съобщение, че е открито несъответствие на Native VLAN на двата края на транка: транк-портът на първия комутатор Ethernet0/0 използва Native VLAN20, а транк-портът на втория — Native VLAN1. Това илюстрира разликата между Native VLAN и Default VLAN.

Нека преминем към разглеждане на обикновения и разширения обхват на VLAN мрежите.

Дълго време Cisco поддържаше само диапазона на VLAN номера от 1 до 1005, като диапазонът от 1002 до 1005 беше резервиран по подразбиране за Token Ring и FDDI VLAN. Тези мрежи се наричаха обикновени VLAN. Ако помните, VLAN ID представлява етикет с размер 12 бит, който позволява задаването на номер до 4096, но по съображения за съвместимост Cisco използва само номера до 1005.

Разширеният диапазон на VLAN включва номера от 1006 до 4095. Може да се използва на стари устройства, само ако те поддържат VTP v3. Ако ползвате VTP v3 и разширен диапазон VLAN, трябва да деактивирате поддръжката на VTP v1 и v2, тъй като първата и втората версия не могат да работят с VLAN, ако техният номер е над 1005.

Така че, ако използвате Extended VLAN за стари суичове, VTP трябва да бъде в режим „desable“ и трябва ръчно да го настроите за VLAN, в противен случай актуализацията на базата данни VLAN няма да е възможна. Ако планирате да използвате Extended VLAN с VTP, ви е необходима трета версия на VTP.

Нека да видим състоянието на VTP с помощта на командата show vtp status. Виждате, че суичът работи в режим VTP v2, като същевременно поддържа версии 1 и 3. Аз му зададох домейн име nwking.org.

Тук важен е режимът на управление на VTP – сервер. Виждате, че максималният брой поддържани VLAN мрежи е 1005. Така можем да разберем, че този суич по подразбиране поддържа само обикновения диапазон VLAN.

Сега ще напиша командата show vlan brief, и вие ще видите VLAN20 Management, която се споменава тук, тъй като е част от базата данни VLAN.

Ако сега поискам да покажа текущата конфигурация на устройството с командата show run, няма да видим никакво споменаване на VLAN, тъй като те се съдържат само в базата данни VLAN.
След това използвам командата vtp mode, за да настроя режима на работа на VTP. Суичовете от старите модели имаха само три параметъра за тази команда: client, който превежда суича в режим клиент, server, включващ режим сервър, и transparent, който превежда суича в „прозрачен“ режим. Тъй като на старите суичове напълно да деактивирате VTP беше невъзможно, в този режим суичът, оставайки в домейна на VTP, просто спираше да приема актуализации на базата данни VLAN, постъпващи на неговите портове по протокол VTP.

В новите суичове се появи параметър off, който позволява напълно да изключим режима VTP. Нека преведем устройството в прозрачен режим с командата vtp mode transparent и отново да погледнем текущата конфигурация. Както виждате, сега в нея е добавен запис за VLAN20. Така че, ако добавим някаква VLAN мрежа с номер в обичайния диапазон VLAN от 1 до 1005, и VTP е в режим transparent или off, то в съответствие с вътрешните политики VLAN, тази мрежа ще бъде добавена в текущата конфигурация и в базата данни на виртуалните локални мрежи.

Нека опитаме да добавим VLAN 3000, и ще видите, че в прозрачния режим тя също се появи в текущата конфигурация. Обикновено, ако искаме да добавим мрежа от разширения диапазон VLAN, трябва да използваме командата vtp version 3. Както виждате, и двете мрежи VLAN20 и VLAN3000 са показани в текущата конфигурация.

Ако излезем от режима transparent и включим режима сървър с команда vtp mode server, а след това отново погледнем текущата конфигурация, ще видим, че записите за VLAN напълно са изчезнали. Това се случи, защото всички сведения за VLAN се съхраняват само в базата данни на VLAN и могат да бъдат прегледани само в прозрачния режим на VTP. Тъй като включих режима VTP v3, след използването на командата show vtp status можем да видим, че максималният брой поддържани VLAN е увеличен на 4096.

И така, базата данни VTP v1 и VTP v2 поддържат само обикновени VLAN с номера от 1 до 1005, а базата данни VTP v3 включва записи за разширени VLAN с номера от 1 до 4096. Ако използвате режим VTP transparent или VTP off, информацията за VLAN ще бъде добавена в текущата конфигурация. Ако искате да използвате разширения диапазон VLAN, устройството трябва да е в режим VTP v3. Ето в какво се състои разликата между обикновените и разширените VLAN.

А сега ще сравним VLAN за данни и VLAN за гласова предаване. Ако си спомняте, казах, че всеки порт може едновременно да принадлежи само на една VLAN.

В много случаи е необходимо да настроим порта за работа с IP телефон. В съвременните IP телефони Cisco е вграден собствен свич, затова можете просто да свържете телефона с кабел към стенния контакт, а с патч корд към компютъра си. Проблемът беше, че стенният контакт, към който се свързва порта на телефона, трябва да има две различни VLAN. Вече обсъдихме в уроците 11 и 12 какво трябва да направим, за да избегнем цикли на трафика, как да използваме концепцията за "родна" VLAN, която допуска неетикетирания трафик, но това бяха само обходни методи. Окончателното решение на проблема стана концепцията за разделяне на VLAN в мрежи за данни и мрежи за гласов трафик.

В този случай обединявате всички телефонни линии в гласова VLAN. На схемата е показано, че компютрите PC1 и PC2 могат да принадлежат на червената мрежа VLAN20, компютър PC3 – на зелената мрежа VLAN30, но всички свързани с тях IP телефони ще бъдат в една и съща жълта гласова мрежа VLAN50.

Всъщност всеки порт на свича SW1 ще има едновременно 2 мрежи VLAN – за данни и за глас.

Както казах, access VLAN винаги има една VLAN, не може да имате две VLAN на един порт. Не можете да приложите едновременно към един интерфейс командите switchport access vlan 10, switchport access vlan 20 и switchport access vlan 50. Но можете да използвате две команди за един и същи интерфейс: командата switchport access vlan 10 и командата switchport voice vlan 50. Така, тъй като IP телефонът съдържа в себе си свич, той може да инкапсулира и изпраща гласовия трафик VLAN50 и едновременно да приема и изпраща в режим switchport access трафика от мрежата VLAN20 към свича SW1. Нека видим как се настройва този режим.

Първо, ще създадем мрежа VLAN50, след което ще преминем към настройките на интерфейса Ethernet 0/1 и ще го програмираме в режим switchport mode access. След това последователно въвеждам командите switchport access vlan 10 и switchport voice vlan 50.

Забравих да настроя същия режим VLAN за транка, затова ще премина към настройките на порта Ethernet 0/0 и ще въведа командата switchport trunk native vlan 1. Сега ще помоля да ми покажете параметрите на VLAN, и виждате, че сега на порта Ethernet 0/1 имаме и двете мрежи – VLAN 50 и VLAN20.

Следователно, ако видите, че на един порт са разположени две VLAN, то това означава, че едната от тях е гласова мрежа Voice VLAN. Това не може да бъде транк, тъй като ако погледнете настройките на транка с командата show int trunk, ще видите, че транк-портът съдържа всички VLAN мрежи, включително мрежата по подразбиране VLAN1.

Може да се каже, че технически, когато създавате данна мрежа и гласова мрежа, всеки от тези портове се държи като полутранк: за една мрежа той работи като транк, за другата като access-порт.

Ако напишете командата show int e0/1 switchport, можете да видите, че някои характеристики отговарят на двата режима на работа: имаме и static access, и инкапсуляция на транкинга. В същото време режимът access mode съответства на мрежата данни VLAN 20 Management и едновременно присъства гласовата мрежа VLAN 50.

Може да се погледне текущата конфигурация, която също ще покаже, че на този порт присъстват мрежите access vlan 20 и voice vlan 50.

Въпреки това, това е разликата между мрежите Data VLAN и Voice VLAN. Надявам се, че разбирате всичко, за което говорих, ако не - просто гледайте този видеоурок отново.

Благодарим, че останахте с нас. Харесвате ли нашите статии? Искате ли да виждате повече интересни материали? Подкрепете ни, като направите поръчка или ни препоръчате на познати, 30% отстъпка за потребителите на Хабра за уникален аналог на entry-level сървъри, създаден от нас за вас: Всичко за VPS (KVM) E5-2650 v4 (6 ядра) 10GB DDR4 240GB SSD 1Gbps от $20 или как да делим сървъра правилно? (налични опции с RAID1 и RAID10, до 24 ядра и до 40GB DDR4).

Dell R730xd два пъти по-евтин? Само при нас 2 х Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100TB от $199 в Нидерландия! Dell R420 — 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — от $99! Четете за това Как да изградим инфраструктура от корпоративен клас с прилагане на сървъри Dell R730xd Е5-2650 v4 на стойност 9000 евро за копейки?

Източник: habr.com