Včera jsme se zabývali VLAN sítěmi ve video lekcích Dne 11, 12 a 13, a dnes budeme pokračovat ve studiu podle tématiky ICND2. Před měsícem jsem nahrál předchozí video, které ukončilo přípravu na zkoušku ICND1, a od té doby jsem byl velmi zaneprázdněn. Myslím, že mnozí z vás úspěšně složili tuto zkoušku, ti, kteří odložili testování, mohou počkat na dokončení druhé části kurzu a pokusit se složit komplexní zkoušku CCNA 200-125.
Dnešním video lekcí „Den 34“ zahajujeme tématiku kurzu ICND2. Mnozí se mě ptají, proč jsme nezahrnuli OSPF a EIGRP. Fakt je takový, že tyto protokoly nejsou zahrnuty do tématiky kurzu ICND1 a studují se při přípravě na složení ICND2. Od dnešního dne začneme pokrývat témata druhé části kurzu a samozřejmě se podíváme na OSPF a EIGRP. Než začneme dnešní téma, chtěl bych promluvit o strukturování našich video lekcí. Při přednášení tématiky ICND1 jsem se nedržel stanovených šablon, ale jednoduše jsem logicky vysvětloval materiál, protože jsem považoval, že tento způsob je pro pochopení snazší. Nyní, při studiu ICND2, budu na žádost posluchačů prezentovat studijní materiál v souladu s učebním plánem a programem kurzu Cisco.
Pokud navštívíte webovou stránku společnosti, uvidíte tento plán a také to, že celý kurz je rozdělen do pěti hlavních částí:
— Technologie přepínání místních sítí (26 % studijního materiálu);
— Technologie směrování (29 %);
— Technologie globálních sítí (16 %);
— Služby infrastruktury (14 %);
— Údržba infrastruktury (15 %).
Začnu první částí. Pokud kliknete na rozvíjecí menu na pravé straně, můžete vidět podrobnosti o tématu této sekce. Dnešní video lekce pokryje téma sekce 1.1: „Nastavení, ověření a odstraňování problémů sítí VLAN (běžný / rozšířený rozsah), pokrývající více switchů“ a podsekce 1.1a „Přístupové porty (data a hlasové zprávy)“ a 1.1.b „Výchozí VLAN“.
Dále se budu snažit držet stejný princip struktury, tedy každý video lekce bude zaměřena na jednu kapitolu s podkapitolami. Pokud bude materiálu málo, spojím témata několika kapitol do jedné lekce, například 1.2 a 1.3. Pokud však bude materiálu hodně, rozdělím ho do dvou videí. V každém případě se budeme řídit programem kurzu, a vy si snadno můžete porovnat shodu vašich poznámek s aktuálním studijním plánem Cisco.
Na obrazovce vidíte můj nový pracovní stůl, to je Windows 10. Pokud chcete vylepšit svůj pracovní stůl různými widgety, můžete se podívat na mé video s názvem „Pimp Your Desktop“, kde vysvětluji, jak přizpůsobit pracovní stůl počítače podle svých potřeb. Taková videa zveřejňuji na jiném kanálu, ExplainWorld, takže můžete využít odkaz v pravém horním rohu a seznámit se s obsahem.
Před začátkem lekce vás prosím, abyste nezapomínali sdílet má videa a dávat 'like'. Chci také připomenout naše kontakty na sociálních sítích a odkazy na mé osobní stránky. Můžete mi napsat na e-mail, a jak jsem již řekl, prioritu v obdržení mé osobní odpovědi budou mít lidé, kteří přispěli na našem webu.
Pokud jste nepřispěli, nic se neděje, můžete zanechávat své komentáře pod video lekcemi na kanálu YouTube a já na ně budu odpovídat, jakmile to bude možné.
Takže dnes, podle rozvrhu Cisco, probereme 3 otázky: porovnáme Default VLAN, tedy VLAN podle defaultu, s Native VLAN, nebo ‘rodným’ VLAN, zjistíme, čím se liší Normal VLAN (běžný rozsah VLAN) od rozšířeného rozsahu sítě Extended VLAN a prozkoumáme rozdíl mezi Data VLAN (VLAN dat) a Voice VLAN (hlasová VLAN). Jak jsem řekl, tuto otázku jsme již probrali v předchozích epizodách, ale poměrně povrchně, proto si ji dodnes mnozí studenti složitě určují. Dnes to vysvětlím tak, aby tomu všichni rozuměli.
Podívejme se, jaký je rozdíl mezi Default VLAN a Native VLAN. Pokud vezmete zcela nový Cisco switch s továrními nastaveními, bude mít 5 VLAN – VLAN1, VLAN1002, VLAN1003, VLAN1004 a VLAN1005.
VLAN1 je výchozí VLAN pro všechna zařízení Cisco a VLAN 1002–1005 jsou vyhrazeny pro Token Ring a FDDI. Síť VLAN1 nelze odstranit ani přejmenovat, není možné k ní přidávat rozhraní a všechny porty switche patří k této síti, dokud nejsou nastaveny jinak. Ve výchozím nastavení mohou všechny switche mezi sebou komunikovat, protože jsou součástí VLAN1. To je to, co znamená „výchozí VLAN“ nebo Default VLAN.
Pokud se podíváte do nastavení switche SW1 a přiřadíte dvě rozhraní k síti VLAN20, stanou se součástí sítě VLAN20. Před tím, než začnete dnešní lekci, důrazně doporučuji znovu si projít výše zmíněné epizody 11, 12 a 13, protože nebudu opakovat, co je VLAN a jak fungují.
Jen připomínám, že rozhraní nelze automaticky přiřadit k síti VLAN20, dokud ji nevytvoříte, takže nejprve musíte přejít do globální konfiguračního režimu switche a vytvořit VLAN20. Můžete se podívat na konzoli nastavení CLI a pochopit, co mám na mysli. Jakmile přiřadíte tyto 2 porty pro práci s VLAN20, počítače PC1 a PC2 si budou moci vzájemně komunikovat, protože oba budou patřit do jedné sítě VLAN20. Ale počítač PC3 stále zůstane součástí VLAN1 a proto nebude moct komunikovat s počítači v síti VLAN20.
Máme druhý switch SW2, z jehož jednoho rozhraní je přiřazeno pro VLAN20, a k tomuto portu je připojen počítač PC5. V této konfiguraci nemůže PC5 komunikovat s PC4 a PC6, ale tyto dva počítače si mohou navzájem komunikovat, protože patří do stejné sítě VLAN1.
Oba switche jsou propojeny trunkem přes správně nastavené porty. Nebudu se opakovat, jen řeknu, že všechny porty switche jsou ve výchozím nastavení nastaveny na trunkování podle protokolu DTP. Pokud k nějakému portu připojíte počítač, tento port bude používat přístupový režim. Pokud chcete převést do tohoto režimu port, k němuž je připojen PC3, musíte zadat příkaz switchport mode access.
Takže pokud spojíte dva switche navzájem, vytvoří trunk. Dva horní porty SW1 budou přenášet provoz pouze VLAN20, dolní port pouze provoz VLAN1, ale trunkové spojení bude přenášet veškerý provoz, který prochází switchem. Takto do SW2 přijde provoz jak VLAN1, tak VLAN20.
Jak víte, VLAN sítě mají místní význam. Proto SW2 ví, že provoz přicházející na portu VLAN1 od PC4 může být poslán pouze na PC6 přes port, který také patří VLAN1. Když však jeden switch posílá provoz jinému switchi přes trunk, musí použít mechanismus, který vysvětlí druhému switchi, o jaký provoz se jedná. K tomu se používá síť Native VLAN, která je připojena k trunk portu a propouští označený provoz.
Jak jsem již zmínil, switch má pouze jednu síť, která se nemění – je to výchozí síť VLAN1. Ale výchozí Native VLAN je právě VLAN1. Co je Native VLAN? Je to síť, která propouští neoznačený provoz VLAN1, ale jakmile na trunk-port přijde provoz z jakékoli jiné sítě, v našem případě VLAN20, musí být označen. Každý rámec má adresu cílového DA, adresu zdrojového SA a VLAN tag, který obsahuje identifikátor sítě VLAN ID. V našem případě tento identifikátor ukazuje, že tento provoz náleží VLAN20, a proto může být poslán pouze přes port VLAN20 a určen pro PC5. Lze říci, že Native VLAN rozhoduje, zda má být provoz označen nebo neoznačen.
Pamatujte, že VLAN1 je výchozí sítí Native VLAN, protože ve výchozím nastavení všechny porty používají VLAN1 jako Native VLAN pro přenos neoznačeného provozu. Nicméně sítí Default VLAN je pouze VLAN1, jediná síť, kterou nelze změnit. Pokud switch obdrží neoznačené rámce na trunkovém portu, automaticky je zařadí do Native VLAN.
Jednoduše řečeno, ve switchích Cisco může být jako Native VLAN použita jakákoli VLAN, například VLAN20, ale jako Default VLAN může být použita pouze VLAN1.
Můžeme se však setkat s problémem. Pokud změníme Native VLAN na trunkovém portu prvního switchu na VLAN20, port si pomyslí: „protože to je Native VLAN, tak její provoz nemusím označovat“ a odešle neoznačený provoz sítě VLAN20 přes trunk k druhému switchi. Switch SW2, když tento provoz obdrží, řekne: „skvěle, tenhle provoz nemá štítek. Podle mých nastavení, moje Native VLAN je VLAN1, což znamená, že tento neoznačený provoz musím poslat přes síť VLAN1“. Tímto způsobem SW2 nasměruje přijatý provoz pouze k PC4 a PC6, i když je určen pro PC5. To způsobí velký bezpečnostní problém, protože se smíchá provoz VLAN. Proto je důležité, aby byly na obou trunkových portech vždy nastaveny stejné Native VLAN; tedy pokud je Native VLAN pro trunk port SW1 VLAN20, pak by měla být stejná VLAN20 nastavena jako Native VLAN na trunk portu SW2.
Toto je rozdíl mezi Native VLAN a Default VLAN, a je důležité si pamatovat, že všechny Native VLAN v trunku musí být shodné (poznámka překladatele: proto je lepší používat pro Native VLAN síť jinou než VLAN1).
Podívejme se na to z pohledu switche. Můžete se přihlásit do switche a zadat příkaz show vlan brief, po kterém uvidíte, že všechny porty switche jsou připojeny k Default VLAN1.
Níže je uvedeno dalších 4 VLAN sítí: 1002, 1003, 1004 a 1005. To jsou také Default VLAN, což vidíte z jejich označení. Jsou to síťové standardy vyhrazené pro specifické sítě — Token Ring a FDDI. Jak vidíte, jsou v aktivním stavu, ale nejsou podporovány, protože k switchi nejsou připojeny sítě uvedených standardů.
Označení „default“ pro síť VLAN 1 nemůže být změněno, protože to je síť s výchozím nastavením. Protože ve výchozím nastavení patří všechny porty switche do této sítě, mohou si všechny switche vzájemně komunikovat ve výchozím nastavení, tedy bez nutnosti dodatečného nastavení portů. Pokud chcete připojit switch k jiné síti, přejdete do režimu globálních nastavení a vytvoříte tuto síť, například VLAN20. Po stisknutí „Enter“ přejdete k nastavením vytvořené sítě a můžete ji pojmenovat, například Management, a poté z nastavení vystoupit.
Pokud nyní použijete příkaz show vlan brief, uvidíte, že máme novou síť VLAN20, která není přiřazena žádnému portu přepínače. Abychom přiřadili tomuto síti konkrétní port, musíme vybrat rozhraní, například int e0/1, přejít do nastavení tohoto portu a zadat příkazy switchport mode access a switchport access vlan20.
Pokud požádáme systém o zobrazení stavu sítí VLAN, uvidíme, že port Ethernet 0/1 je nyní určen pro síť Management, což znamená, že byl automaticky přesunut sem z oblasti portů určených pro VLAN1.
Pamatujte si, že každý access-port může mít pouze jednu Data VLAN, proto nemůže současně obsluhovat dvě sítě VLAN.
Podíváme se nyní na Native VLAN. Používám příkaz show int trunk a vidím, že port Ethernet0/0 je vyhrazen pro trunk.
Nemusel jsem to dělat speciálně, protože protokol DTP automaticky přiřadil toto rozhraní pro trunking. Port je v režimu desirable, enkapsulace typu n-isl, stav portu je trunking, síť je Native VLAN1.
Níže je uveden povolený rozsah čísel sítí VLAN pro trunking od 1 do 4094 a je uvedeno, že u nás fungují sítě VLAN1 a VLAN20. Nyní přejdu do globální konfiguračního režimu a zadám příkaz int e0/0, díky kterému se dostanu do nastavení tohoto rozhraní. Pokouším se ručně naprogramovat tento port pro práci v režimu trunk pomocí příkazu switchport mode trunk, ale systém příkaz nepřijímá a odpovídá, že: „rozhraní s automatickým režimem enkapsulace trunk nemůže být převedeno do režimu 'trunk'.
Proto musím nejprve nastavit typ enkapsulace trunku, k čemuž použiji příkaz switchport trunk encapsulation. Systém dal nápovědu s možnými parametry tohoto příkazu:
dot1q — během trunkingu port používá enkapsulaci trunk standardu 802.1q;
isl — během trunkingu port používá enkapsulaci trunk pouze proprietárního protokolu Cisco ISL;
negotiate – zařízení provádí enkapsulaci trunku s jakýmkoli zařízením připojeným k tomuto portu.
Na každém konci trunku by měl být vybrán stejný typ enkapsulace. Ve výchozím nastavení switch "z krabice" podporuje pouze trunking typu dot1q, protože tento standard podporují prakticky všechna síťová zařízení. Naprogramuji naše rozhraní na enkapsulaci trunkingu podle tohoto standardu pomocí příkazu switchport trunk encapsulation dot1q, po čemž použiji dříve odmítnutý příkaz switchport mode trunk. Nyní je náš port naprogramován na trunkový režim.
Pokud je trunk tvořen dvěma switchemi Cisco, ve výchozím nastavení se použije proprietární protokol ISL. Pokud však jeden switch podporuje dot1q a ISL, a druhý pouze dot1q, trunk se automaticky převede do režimu enkapsulace dot1q. Když se znovu podíváme na nastavení trunkingu, uvidíme, že se režim enkapsulace trunkingového rozhraní Et0/0 změnil z n-isl na 802.1q.
Pokud zadáte příkaz show int e0/0 switchport, uvidíte všechny parametry stavu tohoto portu.
Vidíte, že ve výchozím nastavení je VLAN1 pro trunking "nativní sítí" Native VLAN a přitom je možný režim tagování provozu Native VLAN. Dále používám příkaz int e0/0, vstupuji do nastavení tohoto rozhraní a zadávám switchport trunk, po čemž systém poskytne nápovědu možných parametrů tohoto příkazu.
Allowed znamená, že pokud je port v režimu trunku, budou nastaveny povolené charakteristiky VLAN. Encapsulation aktivuje enkapsulaci trunkingu, pokud je port v režimu trunku. Používám parametr native, který znamená, že v režimu trunku budou pro port nastaveny native-charakteristiky, a zadávám příkaz switchport trunk native VLAN20. Tímto způsobem bude VLAN20 v režimu trunku Native VLAN pro tento port prvního switche SW1.
Máme další switch, SW2, jehož trunkový port používá jako Native VLAN VLAN1. Nyní vidíte, že protokol CDP vydává zprávu, že došlo k nesouladu Native VLAN na obou koncích trunku: trunkový port prvního switche Ethernet0/0 používá Native VLAN20, zatímco trunkový port druhého — Native VLAN1. To ilustruje, v čem spočívá rozdíl mezi Native VLAN a Default VLAN.
Pojďme se nyní podívat na běžný a rozšířený rozsah sítí VLAN.
Dlouhou dobu Cisco podporovala pouze rozsah VLAN čísel od 1 do 1005, přičemž rozsah od 1002 do 1005 byl výchozí rezervován pro Token Ring a FDDI VLAN. Tyto sítě byly nazývány běžné VLAN. Pokud si pamatujete, VLAN ID představuje štítek velikosti 12 bitů, který umožňuje nastavit číslo až do 4096, nicméně z důvodu kompatibility Cisco používala pouze čísla do 1005.
Rozšířený rozsah VLAN zahrnuje čísla od 1006 do 4095. Může být použit na starších zařízeních pouze v případě, že podporují VTP v3. Pokud používáte VTP v3 a rozšířený rozsah VLAN, musíte vypnout podporu VTP v1 a v2, protože první a druhá verze nemohou fungovat s VLAN, pokud mají číslo vyšší než 1005.
Pokud tedy používáte rozšířenou VLAN pro staré switche, musí být VTP nastaveno na "desable" a musíte jej ručně nakonfigurovat pro VLAN, jinak nebude možné aktualizovat databázi VLAN. Pokud plánujete používat rozšířenou VLAN s VTP, budete potřebovat třetí verzi VTP.
Podívejme se na stav VTP pomocí příkazu show vtp status. Vidíte, že switch pracuje v režimu VTP v2, přičemž je podporována verze 1 a 3. Přiřadil jsem mu doménové jméno nwking.org.
Zde je důležitý režim správy VTP – server. Vidíte, že maximální počet podporovaných VLAN sítí je 1005. Takže je jasné, že tento switch výchozím způsobem podporuje pouze běžný rozsah VLAN.
Teď napíšu příkaz show vlan brief a uvidíte VLAN20 Management, která je zde zmíněna, protože je součástí databáze VLAN.
Pokud nyní požádám o zobrazení aktuální konfigurace zařízení příkazem show run, neuvidíme žádné zmínky o VLAN, protože se nacházejí pouze v databázi VLAN.
Další použiji příkaz vtp mode k nastavení režimu VTP. Switche starších modelů měly pro tento příkaz pouze tři parametry: client, který převede switch do režimu klienta, server, který aktivuje režim serveru, a transparent, který převádí switch do "transparentního" režimu. Protože na starých switchech nebylo možné VTP úplně vypnout, v tomto režimu switch, zůstávající v doméně VTP, jednoduše přestal přijímat aktualizace databáze VLAN sítí, které přicházely na jeho porty prostřednictvím protokolu VTP.
Nové switche obsahují parametr off, který umožňuje úplné vypnutí režimu VTP. Převeďme zařízení do transparentního režimu pomocí příkazu vtp mode transparent a znovu se podívejme na aktuální konfiguraci. Jak vidíte, nyní se do ní přidala položka o VLAN20. Tím pádem, pokud přidáme nějakou VLAN síť, jejíž číslo se nachází v běžném rozsahu VLAN od 1 do 1005, a zároveň bude VTP v režimu transparent nebo off, podle vnitřních politik VLAN bude tato síť přidána do aktuální konfigurace a do databáze virtuálních lokálních sítí.
Zkusíme přidat VLAN 3000 a uvidíte, že i v transparentním režimu se objevila v aktuální konfiguraci. Obvykle pokud chceme přidat síť z rozšířeného rozsahu VLAN, musíme použít příkaz vtp version 3. Jak vidíte, obě sítě VLAN20 a VLAN3000 jsou zobrazeny v aktuální konfiguraci.
Pokud přejdete z režimu transparentního do režimu serveru pomocí příkazu vtp mode server a poté se znovu podíváte na aktuální konfiguraci, uvidíte, že záznamy o VLAN úplně zmizely. K tomu došlo, protože veškeré informace o VLAN jsou uchovávány pouze v databázi VLAN a je možné je zobrazit pouze v transparentním režimu VTP. Jelikož jsem zapnul režim VTP v3, po použití příkazu show vtp status můžete vidět, že maximální počet podporovaných VLAN se zvýšil na 4096.
Takže databáze VTP v1 a VTP v2 podporují pouze běžné VLAN s čísly od 1 do 1005, zatímco databáze VTP v3 zahrnuje záznamy o rozšířených VLAN s čísly od 1 do 4096. Pokud používáte režim VTP transparent nebo VTP off, informace o VLAN budou přidány do aktuální konfigurace. Pokud chcete používat rozšířený rozsah VLAN, zařízení musí být v režimu VTP v3. To je rozdíl mezi běžnými a rozšířenými VLAN.
A nyní porovnáme VLAN pro data a VLAN pro hlasové přenosy. Pokud si pamatujete, řekl jsem, že každý port může současně patřit pouze k jedné VLAN.
V mnoha případech potřebujeme nastavit port pro práci s IP telefonem. Moderní IP telefony Cisco mají zabudovaný switch, takže můžete telefon jednoduše připojit k zásuvce na stěně a pomocí patch cordu k vlastnímu počítači. Problém spočíval v tom, že zásuvka na stěně, do které se připojuje port telefonu, musela mít dvě různé VLAN. Jak jsme již probrali v video lekcích 11 a 12, co je třeba udělat, aby se zabránilo smyčkám provozu, jak použít koncept „nativní“ VLAN, která propouští netegovaný provoz, ale to byly všechno pouze obchvatové metody. Definitivním řešením problému se stal koncept rozdělení VLAN na sítě pro datový provoz a sítě pro hlasový provoz.
V tomto případě slučujete všechny telefonní linky do hlasové VLAN. Na obrázku je znázorněno, že počítače PC1 a PC2 mohou patřit do červené sítě VLAN20, počítač PC3 do zelené sítě VLAN30, ale všechny s nimi spojené IP telefony budou patřit do jedné a té samé žluté hlasové sítě VLAN50.
Fakticky každý port switche SW1 bude mít současně 2 sítě VLAN – pro data a pro hlas.
Jak jsem již řekl, access VLAN má vždy jednu VLAN, nemůžete mít dvě VLAN na jednom portu. Nemůžete současně použít na jednom rozhraní příkazy switchport access vlan 10, switchport access vlan 20 a switchport access vlan 50. Ale můžete použít příkaz pro stejné rozhraní dvě příkazy: příkaz switchport access vlan 10 a příkaz switchport voice vlan 50. Takže, protože IP telefon obsahuje uvnitř switch, může enkapsulovat a odesílat hlasový provoz VLAN50 a současně přijímat a odesílat v režimu switchport access provoz datové sítě VLAN20 switchem SW1. Podívejme se, jak se tento režim nastavuje.
Nejprve vytvoříme síť VLAN50 a poté přejdeme k nastavení rozhraní Ethernet 0/1 a nastavíme ho na režim switchport mode access. Poté postupně zadám příkazy switchport access vlan 10 a switchport voice vlan 50.
Zapomněl jsem nastavit stejný režim VLAN pro trunk, proto přejdu k nastavení portu Ethernet 0/0 a zadám příkaz switchport trunk native vlan 1. Nyní požádám o zobrazení parametrů VLAN a vidíte, že nyní máme na portu Ethernet 0/1 obě sítě – VLAN 50 a VLAN20.
Pokud vidíte, že na jednom portu jsou umístěny dvě VLAN, znamená to, že jedna z nich je hlasová síť Voice VLAN. To nemůže být trunk, protože pokud se podíváte na parametry trunku pomocí příkazu show int trunk, zjistíte, že trunkový port obsahuje všechny VLAN sítě včetně výchozí sítě VLAN1.
Lze říci, že technicky, když vytváříte datovou síť a hlasovou síť, každý z těchto portů se chová jako polotrunk: pro jednu síť funguje jako trunk, pro druhou jako access port.
Pokud zadáte příkaz show int e0/1 switchport, můžete vidět, že některé charakteristiky odpovídají dvěma režimům provozu: máme jak static access, tak encapsulation trunking. Přitom režimu access mode odpovídá datová síť VLAN 20 Management a zároveň je přítomna hlasová síť VLAN 50.
Můžete se podívat na aktuální konfiguraci, která také ukáže, že na tomto portu jsou přítomny sítě access VLAN 20 a voice VLAN 50.
To je rozdíl mezi sítěmi Data VLAN a Voice VLAN. Doufám, že jste pochopili vše, o čem jsem hovořil, pokud ne – jednoduše se podívejte na tento video урок znovu.
Děkujeme, že s námi zůstáváte. Líbí se vám naše články? Chcete vidět více zajímavých materiálů? Podpořte nás objednávkou nebo doporučením známým, 30 % sleva pro uživatele Habra na jedinečný analog entry-level serverů, který jsme pro vás vymysleli: (k dispozici varianty s RAID1 a RAID10, až 24 jader a až 40GB DDR4).
Dell R730xd za polovinu ceny? Jen u nás v Nizozemsku! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — od 99 $! Čtěte o tom
Zdroj: habr.com
