Dnes se budeme pokračovat v diskusi o VLAN a probírat protokol VTP, stejně jako pojmy VTP Pruning a Native VLAN. V jednom z předchozích videí jsme již hovořili o VTP a první, co vás napadne, když uslyšíte o VTP, je, že to není protokol pro trunking, i když se nazývá 'protokolem trunkingu VLAN'.
Jak víte, existují dva populární protokoly trunkingu – dnes již nepoužívaný proprietární protokol Cisco ISL a protokol 802.q, který se používá v síťových zařízeních různých výrobců pro inkapsulaci trunkingového provozu. Tento protokol se rovněž používá ve switchích Cisco. Již jsme zmínili, že VTP je protokol pro synchronizaci VLAN, to znamená, že je určen pro synchronizaci databáze VLAN ve všech switchech v síti.
Zmiňovali jsme různé režimy VTP – server, klient, transparentní. Pokud zařízení pracuje v režimu serveru, umožňuje to provádět změny, přidávat nebo odstraňovat VLAN. Režim klienta neumožňuje provádět změny v nastavení switche, databázi VLAN můžete nastavit pouze prostřednictvím VTP serveru a ta bude replikována na všech VTP klientech. Switch v transparentním režimu neprovádí změny ve své vlastní databázi VLAN, ale pouze propouští a přenáší změny dalšímu zařízení, které je v režimu klienta. Tento režim je podobný vypnutí protokolu VTP na konkrétním zařízení, což ho mění na přepravce informací o změnách VLAN.
Vraťme se k programu Packet Tracer a k topologii sítě, kterou jsme probrali v předchozí lekci. Nastavili jsme síť VLAN10 pro oddělení prodeje a síť VLAN20 pro marketingové oddělení, spojující je třemi switche.
Mezi switche SW0 a SW1 probíhá komunikace přes síť VLAN20, a mezi SW0 a SW2 – spojení přes síť VLAN10 díky tomu, že jsme přidali VLAN10 do databáze VLAN switche SW1.
Abychom prozkoumali fungování protokolu VTP, použijme jeden ze switchů jako VTP server, nechť je to SW0. Pokud si pamatujete, všechny switche pracují ve výchozím nastavení v režimu VTP serveru. Přihlásíme se do terminálu příkazového řádku switche a zadáme příkaz show vtp status. Vidíte aktuální verzi protokolu VTP – 2 a číslo revize konfigurace 4. Pokud si pamatujete, pokaždé, když do databáze VTP provedete změny, číslo revize se zvýší o jednu.
Maximální počet podporovaných sítí VLAN je 255. Toto číslo závisí na typu konkrétního switch Cisco, protože různé switche mohou podporovat různé počty lokálních virtuálních sítí. Počet existujících sítí VLAN je 7, za minutu se podíváme, co to jsou za sítě. Režim správy VTP je server, název domény není nastaven, režim VTP Pruning je vypnut, k tomu se vrátíme později. Také jsou deaktivovány režimy VTP V2 a VTP Traps Generation. Pro složení zkoušky 200-125 CCNA není nutné znát poslední dva režimy, takže si s tím můžete nedělat starosti.
Podívejme se na databázi VLAN, k tomu použijeme příkaz show vlan. Jak jsme viděli v předchozím videu, máme 4 nepodporované sítě: 1002, 1003, 1004 a 1005.
Zde jsou také vyjmenovány 2 námi vytvořené sítě VLAN10 a 20 a výchozí síť VLAN1. Nyní přejdeme k jinému switchi a zadáme stejný příkaz, abychom si prohlédli status VTP. Vidíte, že číslo revize tohoto switche je 3, je v režimu VTP-server a všechny ostatní informace jsou podobné prvnímu switchi. Když zadám příkaz show VLAN, uvidím, že jsme provedli 2 změny v nastaveních, o jednu méně než u switche SW0, právě proto je číslo revize SW1 3. Provedli jsme 3 změny ve výchozích nastaveních prvního switche, proto se jeho číslo revize zvýšilo na 4.
Nyní se podíváme na status SW2. Číslo revize zde je 1, a to je divné. Měli bychom mít druhou revizi, protože bylo provedeno 1 změna nastavení. Podívejme se na databázi VLAN.
Provedli jsme jednu změnu vytvořením sítě VLAN10 a nevím, proč se tyto informace neaktualizovaly. Možná je to způsobeno tím, že nemáme skutečnou síť, ale softwarový simulátor sítě, ve kterém mohou být chyby. Když budete mít možnost pracovat se skutečnými zařízeními během praxe ve společnosti Cisco, pomůže vám to víc než simulátor Packet Tracer. Další užitečnou věcí při absenci skutečných zařízení bude GNC3, tedy grafický simulátor sítě Cisco. To je emulátor, který používá skutečný operační systém zařízení, například routeru. Mezi simulátorem a emulátorem je rozdíl – první představuje program, který vypadá jako skutečný router, ale není jím. Emulátor programově vytváří pouze samo zařízení, ale pro jeho fungování používá skutečný software. Ale pokud nemáte možnost pracovat se skutečným softwarem Cisco IOS, nejlepším řešením bude Packet Tracer.
Takže potřebujeme nastavit SW0 jako VTP server. Začnu vstupem do globální konfigurační režimu a zadám příkaz vtp version 2. Jak jsem říkal, můžete nastavit verzi protokolu, kterou potřebujeme – 1 nebo 2, v tomto případě potřebujeme druhou verzi. Poté pomocí příkazu vtp mode určujeme VTP režim přepínače – server, klient nebo transparentní. V tomto případě potřebujeme režim serveru a po zadání příkazu vtp mode server systém vydá zprávu, že zařízení je již v režimu serveru. Dále musíme nastavit VTP doménu, k čemuž použijeme příkaz vtp domain nwking.org. Proč je to potřeba? Pokud v síti existuje jiné zařízení s vyšším číslem revize, všechna ostatní zařízení s nižším číslem začnou replikovat databázi VLAN z tohoto zařízení. To se však děje pouze tehdy, když mají zařízení stejné doménové jméno. Například pokud pracujete v nwking.org, uvedete tuto doménu; pokud v Cisco, tak doménu cisco.com a tak dále. Doménové jméno zařízení vaší společnosti slouží k jejich odlišení od zařízení jiné společnosti nebo jiných externích zařízení v síti. Pokud zařízení přiřadíte doménové jméno společnosti, učiníte jej součástí sítě této společnosti.
Další krok je nastavení VTP hesla. To je důležité, aby hacker, který má zařízení s vyšším revizním číslem, nemohl zkopírovat svá VTP nastavení do vašeho switche. Vkládám heslo cisco pomocí příkazu vtp password cisco. Po tomto kroku bude replikace dat VTP mezi switchemi možná pouze při shodě hesel. Pokud bude použito nesprávné heslo, aktualizace databáze VLAN nenastane.
Zkusme vytvořit ještě několik VLAN. K tomu používám příkaz config t, příkaz vlan 200 pro vytvoření sítě s číslem 200, přiřazuji jí název TEST a změny uložím příkazem exit. Poté vytvářím ještě jednu síť vlan 500 a nazývám ji TEST1. Pokud nyní zadáme příkaz show vlan, v tabulce virtuálních sítí switche uvidíme tyto dvě nové sítě, ke kterým není přiřazen žádný port.
Přejděme na SW1 a podívejme se na jeho VTP status. Vidíme, že se zde nic nezměnilo, kromě jména domény, počet VLAN zůstal na 7. Nevidíme žádný výskyt sítí, které jsme vytvořili, protože VTP heslo se neshoduje. Nastavme VTP heslo na tomto switche postupně zadáním příkazů conf t, vtp pass a vtp password cisco. Systém vyhodil zprávu, že databáze VLAN zařízení nyní používá heslo cisco. Znovu se podívejme na status VTP a ověřme, zda došlo k replikaci informací. Jak vidíte, počet existujících VLAN automaticky vzrostl na 9.
Pokud se podíváte na databázi VLAN tohoto switche, je jasné, že se tam automaticky objevily naše vytvořené sítě VLAN200 a VLAN500.
Totéž je potřeba provést s posledním switchem SW2. Zadejte příkaz show vlan – vidíte, že se v něm nijak nezměnila. Podobně nejsou žádné změny ve stavu VTP. Aby tento switch aktualizoval informace, je také nutné nastavit heslo, tedy zadat ty samé příkazy jako pro SW1. Po tomto kroku se zvýší počet VLAN v statusu SW2 na 9.
Toto je důvod, proč je protokol VTP užitečný. Je to skvělý nástroj, který zajišťuje automatickou aktualizaci informací ve všech klientských síťových zařízeních po provedení změn na zařízení-serveru. Není potřeba ručně provádět změny v databázi VLAN všech přepínačů – replikace probíhá automaticky. Pokud máte 200 síťových zařízení, provedené změny se najednou uloží na všech dvaceti zařízeních. Pro jistotu se musíme ujistit, že SW2 je také VTP klient, a proto přejdeme do nastavení pomocí příkazu config t a zadáme příkaz vtp mode client.
Takže v naší síti je pouze první přepínač v režimu VTP Server, zbývající dva fungují v režimu VTP Client. Pokud teď vstoupím do nastavení SW2 a zadám příkaz vlan 1000, zobrazí se mi zpráva: „nastavení VTP VLAN není povoleno, když je zařízení v režimu klient“. Takže nemohu provádět žádné změny v databázi VLAN, pokud je přepínač v režimu VTP klienta. Pokud chci provést nějaké změny, musím přejít na přepínač-server.
Vstupuji do nastavení terminálu SW0 a zadávám příkazy vlan 999, name IMRAN a exit. Tato nová síť se objevila v databázi VLAN tohoto přepínače, a pokud nyní přejdu do databáze přepínače-klienta SW2, uvidím, že informace jsou zde shodné, tedy došlo k replikaci.
Jak jsem řekl, VTP je skvělá součást softwaru, ale při nesprávném použití tento protokol může narušit činnost celé sítě. Proto musíte být velmi opatrní při správě sítě společnosti, pokud není nastavena doménové jméno a heslo VTP. V tomto případě vše, co hackera potřebuje, je zapojit kabel svého přepínače do síťové zásuvky na zdi, připojit se k jakémukoliv kancelářskému přepínači pomocí protokolu DTP a poté, využít vytvořený trunk, aktualizovat všechny informace protokolem VTP. Tak může hacker smazat všechny důležité sítě VLAN, protože číslo revize jeho zařízení je vyšší než číslo revize ostatních přepínačů. V této situaci přepínače společnosti automaticky nahradí všechny informace databáze VLAN informacemi replikovanými z škodlivého přepínače a celá vaše síť se zhroutí.
Tohoto je důsledkem toho, že počítače jsou pomocí síťového kabelu připojeny k určitému portu switche, ke kterému je přiřazena síť VLAN 10 nebo síť VLAN 20. Pokud budou tyto sítě odstraněny z databáze LAN switche, automaticky se port, který patří k neexistující síti, deaktivuje. Obvykle může firma zkolabovat právě proto, že switche jednoduše vypnou porty spojené s VLAN, které byly odstraněny při poslední aktualizaci.
Aby se předešlo vzniku takového problému, je nutné nastavit doménové jméno a heslo VTP, nebo využít funkci Cisco Port Security, která umožňuje řídit MAC adresy portů switchů zaváděním různých omezení jejich používání. Například, pokud se někdo pokusí změnit MAC adresu, port se okamžitě deaktivuje. Brzy se podrobněji seznámíme s touto funkcí switchů Cisco, ale nyní je dobré vědět, že Port Security zajišťuje, že VTP je chráněn před útočníky.
Shrneme, co představuje nastavení VTP. Je to výběr verze protokolu – 1 nebo 2, přiřazení režimu VTP – server, klient nebo transparentní. Jak jsem již zmínil, poslední režim neaktualizuje databázi VLAN samotného zařízení, ale pouze předává všechny změny sousedním zařízením. Následují příkazy pro nastavení doménového jména a hesla: vtp domain <jméno domény> a vtp password <heslo>.
Nyní se podíváme na nastavení VTP Pruning. Pokud se podíváte na topologii sítě, můžete vidět, že všechny tři switche mají stejnou databázi VLAN, což znamená, že sítě VLAN10 a VLAN20 jsou součástí všech 3 switchů. Technicky switch SW2 nepotřebuje síť VLAN20, protože nemá žádné porty, které by k této síti patřily. Nicméně, veškerý provoz, který směřuje z počítače Laptop0 přes síť VLAN20, prochází switchem SW1 a od něj je po trunku přenášen na porty SW2. Vaším hlavním úkolem jako síťového specialisty je zajistit, aby po síti probíhalo co nejméně nadbytečných dat. Musíte zajistit přenos potřebných dat, ale jak omezit přenos informací, které dané zařízení nepotřebuje?
Musíte zajistit, aby provoz určený pro zařízení v síti VLAN20 nedocházel k portům SW2 přes trunk, pokud to není potřeba. To znamená, že provoz z Laptop0 by měl dorazit k SW1 a poté k počítačům v síti VLAN20, ale neměl by přesahovat na pravý trunk port SW1. Toho lze dosáhnout pomocí VTP Pruning.
K tomu se musíme dostat do nastavení VTP serveru SW0, protože, jak již bylo zmíněno, nastavení VTP lze provádět pouze prostřednictvím serveru. Vstoupíme do globálních nastavení konfigurace a zadáme příkaz vtp pruning. Vzhledem k tomu, že Packet Tracer je pouze simulační program, v jeho nápovědách pro příkazový řádek není takový příkaz. Když však zadám vtp pruning a stisknu "Enter", systém oznámí, že režim vtp pruning není k dispozici.
Použitím příkazu show vtp status uvidíme, že režim VTP Pruning je ve stavu disabled, a proto ho musíme zpřístupnit přepnutím do polohy enable. Tímto aktivujeme režim VTP Pruning na všech třech switchech naší sítě v rámci síťové domény.
Dovolte mi připomenout, co je VTP Pruning. Když tento režim zapneme, switch-server SW0 informuje switch SW2, že na jeho portech je nastavená pouze síť VLAN10. Poté switch SW2 informuje switch SW1, že nepotřebuje žádný provoz kromě provozu určeného pro síť VLAN10. Nyní díky VTP Pruning má switch SW1 informaci, že nemusí posílat provoz VLAN20 přes trunk SW1-SW2.
Pro vás jako správce sítě je to velmi pohodlné. Nemusíte ručně zadávat příkazy, protože switch je dost chytrý na to, aby posílal pouze to, co potřebuje konkrétní síťové zařízení. Pokud zítra umístíte v sousední budově další oddělení marketingu a připojíte jeho síť VLAN20 k switchi SW2, tento switch okamžitě informuje switch SW1, že nyní má sítě VLAN10 a VLAN20, a požádá o přenos provozu pro obě sítě. Tyto informace se neustále aktualizují na všech zařízeních, což činí komunikaci efektivnější.
Existuje ještě jeden způsob, jak konkretizovat přenos provozu – použít příkaz, který povoluje přenos dat pouze pro danou VLAN. Přejdu do nastavení switche SW1, kde mě zajímá port Fa0/4, a zadám příkazy int fa0/4 a switchport trunk allowed vlan. Jelikož už vím, že SW2 má pouze VLAN10, mohu switchem SW1 určit, aby jeho trunkový port propouštěl pouze provoz pro tuto síť aplikováním příkazu allowed vlan. Tímto způsobem jsem naprogramoval trunkový port Fa0/4 na přenos provozu pouze pro VLAN10. To znamená, že tento port nepustí dál provoz VLAN1, VLAN20 nebo jakékoli jiné sítě kromě uvedené.
Můžete se ptát, co je lepší použít – VTP Pruning nebo příkaz allowed vlan. Odpověď je subjektivní, protože v některých případech dává smysl použít první způsob, v jiných druhý. Jako síťový administrátor byste si měli vybrat optimální řešení. V některých případech může být dobré naprogramovat port na propouštění provozu určité VLAN, v jiných ne. V případě naší sítě může být použití příkazu allowed vlan opodstatněné, pokud nemáme v plánu měnit topologii sítě. Ale pokud někdo v budoucnu plánuje přidat k SW2 skupinu zařízení využívajících VLAN20, bylo by rozumnější použít mód VTP Pruning.
Takže konfigurace VTP Pruning spočívá v používání následujících příkazů. Příkaz vtp pruning zajišťuje automatické použití tohoto režimu. Pokud však chcete ručně nakonfigurovat VTP Pruning trunkového portu na propouštění provozu určité VLAN, použijete příkaz pro výběr čísla trunkového portu interface , zapnutí trunkového režimu switchport mode trunk a povolíte přenos provozu konkrétní sítě pomocí příkazu switchport trunk allowed vlan .
V posledním příkazu lze použít 5 parametrů. All znamená, že je povolen přenos provozu všech VLAN, none – přenos provozu pro všechny VLAN je zakázán. Pokud použijete parametr add, můžete přidat propouštění provozu pro další síť. Například, máme povolený provoz VLAN10 a pomocí příkazu add můžeme také povolit propouštění provozu sítě VLAN20. Příkaz remove umožňuje odstranit jednu z VLAN, například pokud použijete parametr remove 20, zůstane pouze přenos provozu VLAN10.
Nyní se podíváme na native VLAN. Již jsme zmínili, že native VLAN představuje virtuální síť pro přenos netegovaného provozu přes konkrétní trunk port.
Přejdu do nastavení konkrétního portu, což ukazuje hlavička příkazového řádku SW(config-if)#, a použiji příkaz switchport trunk native vlan , například VLAN10. Nyní veškerý provoz sítě VLAN10 bude procházet přes trunk bez tagů.
Vraťme se k logické topologii sítě v okně Packet Tracer. Pokud použiji příkaz switchport trunk native vlan 20 pro port switche Fa0/4, veškerý provoz sítě VLAN20 projde trunkem Fa0/4 – SW2 netegovaně. Když switch SW2 obdrží tento provoz, pomyslí si: „to je netegovaný provoz, takže bych ho měl nasměrovat do sítě native VLAN“. Pro tento switch je native VLAN síť VLAN1. Sítě 1 a 20 nejsou nijak propojené, ale protože je použit režim native VLAN, máme možnost směrovat provoz VLAN20 do zcela jiné sítě. Tento provoz však bude nekapslovaný, a samotné sítě musí stále odpovídat.
Podívejme se na to na příkladu. Vstoupím do nastavení SW1 a použiji příkaz switchport trunk native vlan 10. Nyní veškerý provoz VLAN10 bude vycházet z trunk portu netegovaně. Až dorazí k trunk portu SW2, switch pochopí, že by ho měl nasměrovat do VLAN1. V důsledku tohoto rozhodnutí nebude provoz schopen dosáhnout počítačů PC2, 3 a 4, které jsou připojeny k access portům switche určeným pro VLAN10.
Technicky to vyvolá zobrazení zprávy systému, že native VLAN portu Fa0/4, který je součástí VLAN10, se neshoduje s portem Fa0/1, který je součástí VLAN1. To znamená, že uvedené porty nebudou moci pracovat v režimu trunk kvůli neshodě native VLAN.
Děkujeme, že s námi zůstáváte. Líbí se vám naše články? Chcete vidět více zajímavých materiálů? Podpořte nás objednávkou nebo doporučením známým, 30 % sleva pro uživatele Habra na jedinečný analog entry-level serverů, který jsme pro vás vymysleli: (k dispozici varianty s RAID1 a RAID10, až 24 jader a až 40GB DDR4).
Dell R730xd za polovinu ceny? Jen u nás v Nizozemsku! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — od 99 $! Čtěte o tom
Zdroj: habr.com
