Тренинг Cisco 200-125 CCNA v3.0. Ден 34. Разширена концепция VLAN

Вече разгледахме локалните мрежи VLAN в видеоуроците Ден 11, 12 и 13 и днес продължаваме изучаването им, съобразно темата на ICND2. Записах предишното видео, което ознаменува края на подготовката за изпита ICND1, преди няколко месеца и през цялото това време до днешния ден бях много зает. Мисля, че много от вас успешно преминаха този изпит, а тези, които отложиха тестването, могат да изчакат края на втората част на курса и да опитат да се явят на комплексния изпит CCNA 200-125.

С днешния видеоурок «Ден 34» започваме темата на курса ICND2. Много хора ме питат защо не разгледахме OSPF и EIGRP. Истината е, че тези протоколи не са включени в темата на курса ICND1 и се изучават при подготовката за ICND2. От днешния ден ще започнем да обхващаме темите от втората част на курса и, разбира се, ще изучим протоколите OSPF и EIGRP. Преди да започнем днешната тема, искам да разкажа за структурирането на нашите видеоуроци. При изложението на темата ICND1 не се придържах към утвърдени шаблони, а просто логически обяснявах материала, тъй като смятах, че този подход е по-лесен за разбиране. Сега, при изучаването на ICND2, по искане на слушателите ще започна да представям учебния материал в съответствие с учебния план и програмата на курса Cisco.

Ако влезете на сайта на компанията, ще видите този план и че целият курс е разбит на 5 основни части:

— Технологии за комутация на локални мрежи (26% учебен материал);
— Технологии за маршрутизация (29%);
— Технологии за глобални мрежи (16%);
— Инфраструктурни услуги (14%);
— Поддръжка на инфраструктурата (15%).

Ще започна с първата част. Ако натиснете на разширяващото се меню вдясно, можете да видите детайлната тематика на този раздел. Днешният видеоурок ще обхване темата на раздел 1.1: «Настройка, проверка и отстраняване на проблеми на мрежи VLAN (обикновен / разширен диапазон), обхващащи няколко суичове» и подразделите 1.1а «Портове за достъп (данни и гласови съобщения)» и 1.1.b «VLAN по подразбиране».

По-нататък ще се опитам да спазвам същия принцип на изложение, тоест всеки видеоурок ще бъде посветен на една тема с подкатегории, а ако материалът е недостатъчен, ще обединя теми от няколко раздела в един урок, например 1.2 и 1.3. Ако обаче материалът по раздела е много, ще го разделя на два видеа. Във всеки случай ще следваме програмата на курса и вие лесно ще можете да сравнявате записите си с актуалния учебен план на Cisco.

Виждате на екрана моя нов работен плот, това е Windows 10. Ако искате да усъвършенствате работния си плот с различни джаджи, можете да видите видеото ми с името „Pimp Your Desktop“, в което обяснявам как да настроите работния плот на компютъра си според нуждите си. Видеа от такъв тип качвам на друг канал, ExplainWorld, така че можете да използвате линка в горния десен ъгъл и да се запознаете с неговото съдържание.

Преди да започнем урока, ви моля да не забравяте да споделяте видеата ми и да слагате лайкове. Искам също така да ви напомня за нашите контакти в социалните мрежи и линковете към моите лични страници. Можете да ми пишете на имейл, и както вече казах, хората, направили дарение на нашия сайт, ще имат приоритет в получаването на личен отговор.

Ако не сте направили дарение, нищо страшно, можете да оставяте коментарите си под видеоуроците на канала в YouTube, и аз ще отговарям на тях по възможност.

И така, днес, според графика на Cisco, ще разгледаме 3 въпроса: ще сравним Default VLAN, или VLAN по подразбиране, с Native VLAN, или 'роден' VLAN, ще разберем с какво Normal VLAN (обичайният диапазон VLAN) се различава от разширения диапазон на мрежите Extended VLAN и ще разгледаме разликата между Data VLAN (VLAN за данни) и Voice VLAN (гласова VLAN). Както казах, вече сме разглеждали този въпрос в предишни серии, но доста повърхностно, затова все още много ученици трудно определят разликата между типовете VLAN. Днес ще обясня това, така че на всички да им стане ясно.

Нека разгледаме в какво се състои разликата между Default VLAN и Native VLAN. Ако вземете напълно нов комутатор Cisco с фабрични настройки, той ще има 5 VLAN – VLAN1, VLAN1002, VLAN1003, VLAN1004 и VLAN1005.

VLAN1 е VLAN по подразбиране за всички устройства Cisco, а VLAN 1002-1005 са резервирани за Token Ring и FDDI. Мрежата VLAN1 не може да бъде изтрита или преименувана, не могат да се добавят интерфейси към нея и всички портове на суича по подразбиране принадлежат на тази мрежа, докато не бъдат конфигурирани по друг начин. По подразбиране всички суичове могат да комуникират помежду си, защото всички те са част от VLAN1. Ето какво означава „VLAN по подразбиране“ или Default VLAN.

Ако влезете в конфигурацията на суича SW1 и назначите два интерфейса за мрежата VLAN20, те ще станат част от мрежата VLAN20. Преди да започнем днешния урок, горещо ви съветвам да прегледате споменатите по-горе серии 11, 12 и 13 дни, защото няма да повторя какво е VLAN и как работят.

Само да напомня, че не можете автоматично да приписвате интерфейси на мрежата VLAN20, преди да я създадете, така че първо трябва да влезете в глобалния режим на конфигурация на суича и да създадете VLAN20. Можете да погледнете конзолата за настройки CLI и да разберете какво имам предвид. След като назначите тези 2 порта за работа с VLAN20, компютрите PC1 и PC2 ще могат да комуникират помежду си, тъй като и двете ще принадлежат на една и съща мрежа VLAN20. Но компютърът PC3 все още ще бъде част от VLAN1 и затова няма да може да се свърже с компютрите от мрежата VLAN20.

Имаме втори суич SW2, един от интерфейсите на който е назначен за работа с VLAN20 и компютър PC5 е свързан към този порт. При такава схема на свързване, PC5 не може да комуникира с PC4 и PC6, но същевременно тези два компютъра могат да общуват помежду си, тъй като принадлежат на една и съща мрежа VLAN1.

И двата суича са свързани с транк чрез портове, конфигурирани съответно. Няма да се повтарям, само ще кажа, че всички портове на суича по подразбиране са настроени в режим на транкинг чрез протокола DTP. Ако свържете компютър към някой порт, той ще използва режим access. Ако искате да превключите порта, свързан с PC3, в този режим, трябва да въведете командата switchport mode access.

И така, ако свържете двата суича помежду си, те ще образуват транк. Двата горни порта на SW1 ще пропускат трафик само за VLAN20, а долният порт – само за трафик VLAN1, но транк-свързването ще пропуска цял трафик, който преминава през суича. Така SW2 ще получава трафик както от VLAN1, така и от VLAN20.

Както помните, мрежите VLAN имат локално значение. Затова SW2 знае, че трафикът, постъпил на порт VLAN1 от PC4, може да бъде изпратен до PC6 само през порт, който също принадлежи на VLAN1. Но когато един суич изпраща трафик на друг суич по транк, той трябва да използва механизъм, който да обясни на втория суич какъв е този трафик. Като такъв механизъм се използва мрежата Native VLAN, която е свързана към транк порта и пропуска трафика с етикет.

Както вече споменах, суичът има само една мрежа, която не подлежи на промяна – това е мрежата по подразбиране VLAN1. Но по подразбиране Native VLAN и е VLAN1. Какво е Native VLAN? Това е мрежа, която пропуска неетикетирания трафик на VLAN1, но щом на транк порта постъпи трафик от друга мрежа, в нашия случай VLAN20, той задължително получава етикет. Всеки кадър има адрес на целта DA, адрес на източника SA и VLAN етикет, съдържащ идентификатор на мрежата VLAN ID. В нашия случай този идентификатор показва, че трафикът е от VLAN20, затова може да бъде изпратен само през порт VLAN20 и е предназначен за PC5. Можем да кажем, че Native VLAN определя дали трафикът трябва да бъде етикетиран или не.

Запомнете, че VLAN1 по подразбиране е мрежата Native VLAN, защото по подразбиране всички портове използват VLAN1 като Native VLAN за предаване на неетикетиран трафик. Въпреки това, мрежата Default VLAN е само VLAN1, единствената мрежа, която не може да бъде променена. Ако суичът получи неетикетирани кадри на транковия порт, той автоматично ги причислява към Native VLAN.

По-просто казано, в суичовете на Cisco като Native VLAN може да се използва всяка VLAN, например VLAN20, а като Default VLAN може да се използва само VLAN1.

В този случай може да се появи проблем. Ако сменим Native VLAN на транк порта на първия суич на VLAN20, портът ще помисли: „това е Native VLAN, следователно трафикът не трябва да бъде сленгово обозначен“ и ще изпрати нетагнат трафик от мрежата VLAN20 чрез транка на втория суич. Суич SW2, получавайки този трафик, ще каже: „страхотно, този трафик няма етикет. Според моите настройки, моята Native VLAN е VLAN1, следователно трябва да изпратя този нетагнат трафик в мрежата VLAN1“. По този начин, SW2 ще насочи получения трафик само към PC4 и PC-6, въпреки че е предназначен за PC5. Това ще създаде голям проблем с безопасността, тъй като ще смесва трафика на VLAN. Затова на двата транк порта винаги трябва да се настройва една и съща Native VLAN, т.е. ако Native VLAN за транк порта на SW1 е VLAN20, то същата VLAN20 трябва да бъде зададена и на транк порта на SW2.

Такава е разликата между Native VLAN и Default VLAN, и трябва да помните, че всички Native VLAN в транка трябва да съвпадат (бележка на преводача: затова е по-добре да използвате мрежа, различна от VLAN1, за Native VLAN).

Нека разгледаме това от гледна точка на суича. Можете да влезете в суича и да напишете командата show vlan brief, след което ще видите, че всички портове на суича са свързани с Default VLAN1.

По-долу са показани 4 допълнителни мрежи VLAN: 1002, 1003, 1004 и 1005. Те също са Default VLAN, можете да го видите по техните обозначения. Те са мрежи по подразбиране, защото са резервирани за конкретни мрежи - Token Ring и FDDI. Както виждате, те са в активно състояние, но не се поддържат, защото мрежите на посочените стандарти не са свързани със суича.

Обозначението „default“ за мрежа VLAN 1 не може да бъде променяно, тъй като това е мрежата по подразбиране. Тъй като по подразбиране всички портове на суича принадлежат на тази мрежа, всички суичове могат да се свързват помежду си по подразбиране, т.е. без необходимост от допълнителна конфигурация на портовете. Ако искате да свържете суича към друга мрежа, влизате в режим на глобални настройки и създавате тази мрежа, например, VLAN20. Натискайки „Enter“, преминавате към настройките на създадената мрежа и можете да й присвоите име, например, Management, след което излизате от настройките.

Ако в момента използвате командата show vlan brief, ще видите, че имаме нова мрежа VLAN20, за която няма съответстващи портове на превключвателя. За да зададете конкретен порт на тази мрежа, трябва да изберете интерфейс, напр. int e0/1, да влезете в настройките на този порт и да въведете командите switchport mode access и switchport access vlan20.

Ако помолите системата да покаже състоянието на мрежите VLAN, ще видите, че сега порт Ethernet 0/1 е предназначен за мрежата Management, тоест автоматично е преместен тук от областта на портовете, зададени по подразбиране за VLAN1.

Запомнете, че всеки access-порт може да има само една Data VLAN, следователно не може едновременно да обслужва две мрежи VLAN.

Сега да погледнем на Native VLAN. Използвам командата show int trunk и виждам, че порт Ethernet0/0 е зададен под транк.

Не ми беше необходимо да правя това специално, защото протоколът DTP автоматично е назначил този интерфейс за транкинг. Портът е в режим desirable, инкапсулация по типа n-isl, състояние на порта – транкинг, мрежа – Native VLAN1.

По-долу е посочен допустимият за транкинг диапазон на номера на мрежи VLAN 1-4094 и е уточнено, че работят мрежите VLAN1 и VLAN20. Сега ще вляза в режим на глобална конфигурация и ще набера командата int e0/0, с която ще премина към настройките на този интерфейс. Опитвам се ръчно да програмирам този порт за работа в режим транк с командата switchport mode trunk, но системата не приема командата, отговаряйки, че: „интерфейс с автоматичен режим на инкапсуляция не може да бъде преведен в режим „транк“.

Затова първо трябва да настроя типа на инкапсулацията на транка, за което използвам командата switchport trunk encapsulation. Системата предостави подсказки с възможните параметри на тази команда:

dot1q — по време на транкинг портът използва инкапсулация по стандарт 802.1q;
isl — по време на транкинг портът използва инкапсулация само на проприетарния протокол Cisco ISL;
negotiate – устройството извършва инкапсулация на транкинга с всяко устройство, свързано към този порт.

На всеки край на транка трябва да се избере един и същ тип инкапсулация. По подразбиране суитчът «от кутията» поддържа само транкинг тип dot1q, тъй като този стандарт е поддържан от почти всички мрежови устройства. Ще програмирам нашия интерфейс за инкапсулация на транкинг по този стандарт с помощта на командата switchport trunk encapsulation dot1q, след което ще използвам преди това отхвърлената команда switchport mode trunk. Сега нашият порт е програмиран в режим на транк.

Ако транкът е образуван от два свитча Cisco, по подразбиране ще се използва собственическият протокол ISL. Ако един суитч поддържа dot1q и ISL, а другият само dot1q, транкът автоматично ще бъде преведен в режим на инкапсулация dot1q. Ако отново погледнем параметрите на транкинга, ще видим, че режимът на инкапсулация на транкинга на интерфейса Et0/0 е променен от n-isl на 802.1q.

Ако въведем командата show int e0/0 switchport, ще видим всички параметри на състоянието на този порт.

Виждате, че по подразбиране VLAN1 е «родната мрежа» Native VLAN за транкинг и е възможен режим на тагиране на трафика за Native VLAN. След това използвам командата int e0/0, влизам в настройките на този интерфейс и въвеждам switchport trunk, след което системата предоставя подсказки за възможните параметри на тази команда.

Allowed означава, че ако портът е в режим на транка, ще бъдат зададени допустимите характеристики на VLAN. Encapsulation активира инкапсулацията на транкинга, ако портът е в режим на транка. Използвам параметъра native, който означава, че в режима на транка за порта ще бъдат зададени native-характеристики, и въвеждам командата switchport trunk native VLAN20. Така, в режима на транка VLAN20 ще бъде Native VLAN за този порт на първия свитч SW1.

Имаме друг суитч, SW2, за транк-порта на който като Native VLAN се използва VLAN1. В момента виждате, че протоколът CDP дава съобщение, че е открито несъответствие на Native VLAN на двата края на транка: транк-портът на първия суитч Ethernet0/0 използва Native VLAN20, а транк-портът на втория — Native VLAN1. Това илюстрира разликата между Native VLAN и Default VLAN.

Нека преминем към разглеждането на обикновен и разширен диапазон от мрежи VLAN.

Дълго време Cisco поддържаше само диапазона от номери на VLAN от 1 до 1005, като диапазонът от 1002 до 1005 по подразбиране беше резервиран за Token Ring и FDDI VLAN. Тези мрежи бяха наречени обикновени VLAN. Ако помните, VLAN ID е етикет с размер 12 бита, който позволява да зададете номер до 4096, но поради съображения за съвместимост Cisco използваше номера само до 1005.

Разширеният диапазон VLAN включва номера от 1006 до 4095. Може да се използва на стари устройства само ако те поддържат VTP v3. Ако използвате VTP v3 и разширен диапазон VLAN, трябва да деактивирате поддръжката на VTP v1 и v2, тъй като първата и втората версии не могат да работят с VLAN, когато имат номер над 1005.

Така че, ако използвате разширен VLAN за стари суичове, VTP трябва да бъде в режим 'desable' и трябва ръчно да го конфигурирате за VLAN, иначе актуализацията на базата данни на VLAN няма да може да се извърши. Ако обаче планирате да използвате разширен VLAN с VTP, ще ви е необходима трета версия на VTP.

Нека разгледаме състоянието на VTP с командата show vtp status. Виждате, че суичът работи в режим VTP v2, като е възможна поддръжка на версии 1 и 3. Присвоих му името на домейн nwking.org.

Тук е важен режимът на управление на VTP – сървър. Виждате, че максималният брой поддържани мрежи VLAN е 1005. По този начин можем да разберем, че този суич по подразбиране поддържа само обикновения диапазон VLAN.

Сега ще въведа командата show vlan brief, и ще видите VLAN20 Management, която е спомената тук, защото е част от базата данни на VLAN.

Ако сега поискам да покажа текущата конфигурация на устройството с командата show run, няма да видим никакво споменаване на VLAN, тъй като те се съдържат само в базата данни на VLAN.
След това ще използвам командата vtp mode, за да конфигурирам режима на работа на VTP. Състарените суичове имаха само три параметъра за тази команда: client, който прехвърля суича в режим на клиент, server, активиращ режима на сървър, и transparent, който прехвърля суича в режим 'прозрачен'. Тъй като на старите суичове напълно изключването на VTP беше невъзможно, в този режим суичът, оставайки част от домейна на VTP, просто спираше да приема актуализации на базата данни на мрежите VLAN, постъпващи на неговите портове по протокол VTP.

В новите комутатори се появи параметър off, който позволява напълно да се изключи режимът VTP. Нека да преведем устройството в прозрачния режим с командата vtp mode transparent и отново да прегледаме текущата конфигурация. Както виждате, сега в нея добавена запис за VLAN20. Така че, ако добавим мрежа VLAN, чийто номер попада в стандартния диапазон VLAN от 1 до 1005, и при това VTP е в режим transparent или off, то в съответствие с вътрешните политики на VLAN, тази мрежа ще бъде добавена в текущата конфигурация и в базата данни на виртуалните локални мрежи.

Нека да опитаме да добавим VLAN 3000, и ще видите, че в прозрачния режим тя също се появи в текущата конфигурация. Обикновено, ако искаме да добавим мрежа от разширения диапазон VLAN, трябва да използваме командата vtp version 3. Както виждате, и двете мрежи VLAN20 и VLAN3000 се показват в текущата конфигурация.

Ако излезем от режима transparent и включим режим сървър с командата vtp mode server, а след това отново погледнем текущата конфигурация, ще видим, че записите за VLAN напълно изчезват. Това се случва, защото всички сведения за VLAN се съхраняват само в базата данни на VLAN и могат да се преглеждат само в прозрачния режим на VTP. Тъй като включих режим VTP v3, след използването на командата show vtp status можем да видим, че максималният брой поддържани VLAN е увеличен до 4096.

Така базата данни VTP v1 и VTP v2 поддържат само стандартни VLAN с номера от 1 до 1005, а базата данни VTP v3 включва записи за разширени VLAN с номера от 1 до 4096. Ако използвате режим VTP transparent или VTP off, информацията за VLAN ще бъде добавена в текущата конфигурация. Ако искате да използвате разширения диапазон VLAN, устройството трябва да бъде в режим VTP v3. Ето каква е разликата между стандартните и разширените VLAN.

А сега ще сравним VLAN за данни и VLAN за гласова предаване. Ако помните, казах, че всеки порт може едновременно да принадлежи само на една VLAN.

Въпреки това в много случаи е необходимо да настроим порта за работа с IP телефон. В съвременните IP телефони Cisco е вграден собствен комутатор, така че можете просто да свържете телефона с кабел към стенния контакт, а с патч-кабел – към компютъра си. Проблемът е, че стенният контакт, към който е свързан портът на телефона, трябва да има две различни VLAN. Вече обсъждахме в уроците 11 и 12 какво трябва да се направи, за да се предотвратят цикли на трафик, как да се използва концепцията за „родна“ VLAN, пропускаща неетикетирания трафик, но това бяха само заобиколни решения. Окончателното решение на проблема стана концепцията за разделяне на VLAN на мрежи за данни и мрежи за гласови трафик.

В този случай обединявате всички телефонни линии в гласова VLAN. На схемата е показано, че компютрите PC1 и PC2 могат да принадлежат на червената мрежа VLAN20, компютърът PC3 – на зелената мрежа VLAN30, но всички свързани с тях IP телефони ще принадлежат на едната и съща жълта гласова мрежа VLAN50.

В действителност всеки порт на комутатора SW1 ще има едновременно 2 мрежи VLAN – за данни и за глас.

Както казах, access VLAN винаги има една VLAN, не можете да имате две VLAN на един порт. Не можете едновременно да приложите на един интерфейс командите switchport access vlan 10, switchport access vlan 20 и switchport access vlan 50. Но можете да използвате две команди за един и същ интерфейс: командата switchport access vlan 10 и командата switchport voice vlan 50. И така, тъй като IP телефонът има вграден комутатор, той може да инкапсулира и да изпраща гласовия трафик VLAN50 и едновременно да приема и изпраща в режим switchport access трафика от данните на мрежата VLAN20 към комутатора SW1. Нека видим как се конфигурира този режим.

Първо ще създадем мрежа VLAN50, а след това ще преминем към настройките на интерфейса Ethernet 0/1 и ще го програмираме в режим switchport mode access. След това последователно въвеждам командите switchport access vlan 10 и switchport voice vlan 50.

Забравих да настроя еднакъв режим VLAN за транка, така че ще премина към настройките на порта Ethernet 0/0 и ще въведа командата switchport trunk native vlan 1. Сега ще поискам да покажа параметрите на VLAN и виждате, че сега на порта Ethernet 0/1 имаме и двете мрежи – VLAN 50 и VLAN20.

Следователно, ако видите, че на един порт са разположени две VLAN, това означава, че едната от тях е гласова мрежа Voice VLAN. Не може да бъде транк, защото при разглеждане на параметрите на транка с командата show int trunk, се вижда, че транк-портът съдържа всички VLAN мрежи, включително мрежата по подразбиране VLAN1.

Може да се каже, че технически, когато създавате мрежа за данни и гласова мрежа, всеки от тези портове се държи като полутранк: за една мрежа работи като транк, а за друга като access порт.

Ако изпълните командата show int e0/1 switchport, можете да видите, че някои характеристики отговарят на двата режима на работа: имаме както static access, така и инкапсулация на транкинга. При това access mode съответства на мрежата за данни VLAN 20 Management и едновременно присъства гласовата мрежа VLAN 50.

Можете да видите текущата конфигурация, която също така ще покаже, че на този порт присъстват мрежите access vlan 20 и voice vlan 50.

Тук е разликата между мрежите Data VLAN и Voice VLAN. Надявам се, че разбрахте всичко, за което говорих, а ако не – просто прегледайте този видео урок отново.

Благодарим ви, че останахте с нас. Харесват ли ви нашите статии? Искате ли да видите повече интересни материали? Подкрепете ни, като направите поръчка или ни препоръчате на познати. 30% отстъпка за потребителите на Хабра на уникален аналог на entry-level сървъри, който създадохме специално за вас: Цялата истина за VPS (KVM) E5-2650 v4 (6 ядра) 10GB DDR4 240GB SSD 1Gbps от 20 $ или как правилно да разделите сървър. (с налични опции за RAID1 и RAID10, до 24 ядра и до 40GB DDR4).

Dell R730xd на половин цена? Всичко това само при нас 2 х Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100TB от 199 $ в Нидерландия! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — от 99 $! Чете се за това Как да построим инфраструктура от корпоративен клас с помощта на сървъри Dell R730xd E5-2650 v4 на стойност 9000 евро за малко пари?

Източник: habr.com