I dag fortsætter vi med at se på VLAN og diskutere VTP-protokollen samt begreberne VTP Pruning og Native VLAN. I en af de tidligere videoer talte vi allerede om VTP, og det første, der skal komme til at tænke på, når du hører om VTP, er, at det ikke er en trunking-protokol, selvom det kaldes "VLAN trunking-protokol".
Som du ved, findes der to populære trunking-protokoller – den i dag ikke brugte proprietære Cisco ISL-protokol og 802.1Q-protokollen, som bruges i netværksenheder fra forskellige producenter til at kapsle trunking-trafik. Denne protokol anvendes også i Cisco switches. Vi har allerede nævnt, at VTP er en VLAN-synkroniseringsprotokol, hvilket betyder, at den er designet til at synkronisere VLAN-databasen på tværs af alle switches i netværket.
Vi har nævnt forskellige VTP-tilstande – server, klient, transparent. Hvis en enhed bruger server-tilstand, tillader det ændringer, tilføjelser eller sletninger af VLAN. Klienttilstanden tillader ikke ændringer i switchens indstillinger; du kan kun konfigurere VLAN-databasen gennem VTP-serveren, og det vil blive replikeret på alle VTP-klienter. En switch i transparent tilstand foretager ikke ændringer i sin egen VLAN-database, men sender blot information om ændringer videre til den næste enhed, der er i klienttilstand. Denne tilstand ligner det at deaktivere VTP-protokollen på en bestemt enhed, hvilket gør den til en transportør af oplysninger om VLAN-ændringer.
Lad os vende tilbage til Packet Tracer-programmet og netværkstopologien, som blev drøftet i den tidligere lektion. Vi har konfigureret netværket VLAN10 til salgsafdelingen og netværket VLAN20 til marketingafdelingen, og vi har forbundet dem via tre switches.
Der er forbindelse mellem switches SW0 og SW1 via netværket VLAN20, og mellem SW0 og SW2 via netværket VLAN10, da vi har tilføjet VLAN10 til VLAN-databasen på switchen SW1.
For at se, hvordan VTP-protokollen fungerer, lad os bruge en af switches som VTP-server, lad os sige SW0. Hvis du husker, fungerer alle switches som standard i VTP-server-tilstand. Lad os gå ind i switchens kommandolinjeterminal og indtaste kommandoen show vtp status. Du kan se den aktuelle VTP-protokolversion – 2 og konfigurationsrevisionens nummer 4. Hvis du husker, stiger revisionsnummeret med én hver gang der foretages ændringer i VTP-databasen.
Det maksimale antal understøttede VLAN-netværk er 255. Dette tal afhænger af mærket af den specifikke Cisco-switch, da forskellige switche kan understøtte forskellige antal lokale virtuelle netværk. Antallet af eksisterende VLAN-netværk er 7; om et minut vil vi se, hvilke netværk det er. VTP-styringstilstand er server, domænenavnet er ikke angivet, VTP Pruning-tilstand er deaktiveret, vi vender tilbage til dette senere. VTP V2 og VTP Traps Generation-tilstande er også deaktiveret. Du behøver ikke at vide om de sidste to tilstande for at bestå eksamen 200-125 CCNA, så du kan ignorere dem.
Lad os se på VLAN-databasen, for hvilket vi bruger kommandoen show vlan. Som vi allerede har set i den tidligere video, har vi 4 ikke-understøttede netværk: 1002, 1003, 1004 og 1005.
Her er også listet de 2 VLAN, vi har oprettet, VLAN10 og 20, samt standardnetværket VLAN1. Lad os nu gå til en anden switch og indtaste den samme kommando for at se status for VTP. Du kan se, at revisionsnummeret på denne switch er 3, den er i VTP-servertilstand, og al anden information er den samme som den første switch. Når jeg indtaster kommandoen show VLAN, vil jeg se, at vi har foretaget 2 ændringer i indstillingerne, én mindre end på switch SW0, derfor er revisionsnummeret for SW1 3. Vi har foretaget 3 ændringer i standardindstillingerne for den første switch, så dens revisionsnummer er steget til 4.
Lad os nu se på status for SW2. Revisionsnummeret her er 1, og det er mærkeligt. Vi burde have en anden revision, fordi der er foretaget 1 ændring i indstillingerne. Lad os se på VLAN-databasen.
Vi har foretaget én ændring ved at oprette VLAN10, og jeg ved ikke, hvorfor denne information ikke blev opdateret. Måske skyldes det, at vi ikke har et rigtigt netværk, men en software-simulator, hvor der kan være fejl. Når du får mulighed for at arbejde med rigtige enheder under praktikforløbet i Cisco-afdelingen, vil det hjælpe dig mere end Packet Tracer-simulatoren. En anden nyttig ting, når du ikke har rigtige enheder, er GNS3, eller Cisco Network Simulator. Dette er en emulator, der bruger den rigtige operativsystemsoftware til enheden, som f.eks. en router. Der er en forskel mellem simulator og emulator – den første er et program, der ser ud som en rigtig router, men ikke er det. Emulatoren skaber programmatisk kun selve enheden, men bruger den rigtige software til at fungere. Men hvis du ikke har mulighed for at arbejde med den rigtige Cisco IOS-software, vil Packet Tracer være den bedste mulighed.
Så vi skal konfigurere SW0 som en VTP-server. For at gøre dette går jeg ind i global konfigurationsindstilling og indtaster kommandoen vtp version 2. Som jeg nævnte, kan vi indstille den version af protokollen, vi har brug for – 1 eller 2, i dette tilfælde har vi brug for version to. Derefter angiver vi med kommandoen vtp mode, hvilken VTP-tilstand switchen skal være i – server, klient eller transparent. I dette tilfælde har vi brug for servertilstanden, og efter indtastning af kommandoen vtp mode server viser systemet en besked om, at enheden allerede er i servertilstand. Derefter skal vi konfigurere VTP-domenet, hvilket vi gør med kommandoen vtp domain nwking.org. Hvorfor er dette vigtigt? Hvis der er en anden enhed i netværket med et højere revisionsnummer, begynder alle andre enheder med et lavere revisionsnummer at replikere VLAN-databasen fra denne enhed. Dette sker dog kun, hvis enhederne har det samme domænenavn. For eksempel, hvis du arbejder i nwking.org, angiver du dette domæne; hvis inden for Cisco, så domænet cisco.com osv. Domænenavnet på dine virksomhedsenheder gør det muligt at adskille dem fra enheder fra andre virksomheder eller almindelige eksterne netværksenheder. Hvis du tildeler enheden et domænenavn fra virksomheden, bliver den en del af dette netværk.
Det næste skridt er at indstille VTP-adgangskoden. Den er nødvendig for at sikre, at en hacker med en enhed med et større revisionsnummer ikke kan kopiere sine VTP-indstillinger til din switch. Jeg indtaster adgangskoden cisco med kommandoen vtp password cisco. Herefter vil replikationen af VTP-data mellem switches kun være mulig, hvis adgangskoderne matcher. Hvis en forkert adgangskode anvendes, vil VLAN-databaseopdateringen ikke finde sted.
Lad os prøve at oprette et par flere VLAN. For dette bruger jeg kommandoen config t, ved at anvende kommandoen vlan 200 opretter jeg netværk nummer 200, tildeler det navnet TEST, og gemmer ændringerne med kommandoen exit. Derefter opretter jeg et andet netværk vlan 500 og kalder det TEST1. Hvis jeg nu indtaster kommandoen show vlan, kan man se disse to nye netværk i tabellen over virtuelle netværk, som ikke har fået tildelt nogen porte.
Lad os skifte til SW1 og se på dens VTP-status. Vi ser, at der her ikke er sket nogen ændringer, bortset fra domænenavnet; antallet af VLAN-netværk er stadig 7. Vi ser ikke de netværk, vi har oprettet, fordi VTP-adgangskoden ikke matcher. Lad os indstille VTP-adgangskoden på denne switch ved sekventielt at indtaste kommandoerne conf t, vtp pass og vtp password cisco. Systemet meddelte, at VLAN-databasen på enheden nu bruger adgangskoden cisco. Lad os igen se på VTP-status for at kontrollere, om informationsreplikationen er lykkedes. Som du kan se, er antallet af eksisterende VLAN automatisk steget til 9.
Hvis man ser på VLAN-databasen på denne switch, kan man se, at de netværk VLAN200 og VLAN500 automatisk er blevet tilføjet.
Det samme skal gøres med den sidste switch, SW2. Vi indtaster kommandoen show vlan – du kan se, at der ikke er sket nogen ændringer. Der er heller ikke sket ændringer i VTP-status. For at denne switch kan opdatere oplysningerne, skal adgangskoden også indstilles, hvilket vil sige at man skal indtaste de samme kommandoer som for SW1. Derefter vil antallet af VLAN-netværk i status for SW2 stige til 9.
Dette er, hvad VTP-protokollen er til. Det er et fremragende værktøj, der sikrer automatisk opdatering af informationen på alle klientnetværksenheder efter ændringer i serverenheden. Du behøver ikke at indtaste ændringer manuelt i VLAN-databasen på alle switches – replikationen sker automatisk. Hvis du har 200 netværksenheder, vil de ændringer, der er foretaget, blive gemt samtidig på alle to hundrede enheder. For en sikkerheds skyld skal vi sikre, at SW2 også er VTP-klient, så lad os gå ind i indstillingerne med kommandoen config t og indtaste kommandoen vtp mode client.
Således er kun den første switch i vores netværk i VTP Server-tilstand, mens de to andre fungerer i VTP Client-tilstand. Hvis jeg nu går ind i indstillingerne på SW2 og indtaster kommandoen vlan 1000, vil jeg få en meddelelse: "VTP VLAN-konfiguration er ikke tilladt, når enheden er i client-tilstand." Dermed kan jeg ikke foretage ændringer i VLAN-databasen, hvis switchen er i VTP-klienttilstand. Hvis jeg ønsker at foretage nogle ændringer, skal jeg skifte til switch-server.
Jeg går ind i terminalindstillingerne på SW0 og indtaster kommandoerne vlan 999, name IMRAN og exit. Dette nye netværk er dukket op i VLAN-databasen for denne switch, og hvis jeg nu går ind i databasen for switch-klienten SW2, vil jeg se, at den samme information også er til stede her, hvilket betyder, at replikationen har fundet sted.
Som jeg nævnte, er VTP en fremragende del af software, men ved forkert brug kan denne protokol forstyrre hele netværket. Derfor skal du være meget forsigtig med virksomhedens netværk, hvis VTP-domænenavnet og adgangskoden ikke er indstillet. I dette tilfælde er alt, hvad hackeren behøver, at tilslutte sin switch til stikkontakten på væggen, oprette forbindelse til en hvilken som helst kontorswitch via DTP-protokollen og derefter, ved at bruge den etablerede trunk, opdatere al information via VTP-protokollen. På den måde kan hackeren slette alle vitale VLAN-netværk, idet han udnytter, at revisionsnummeret på hans enhed er højere end revisionsnummeret på de øvrige switches. Med dette vil virksomhedens switches automatisk erstatte hele VLAN-databasen med information replikere fra den ondsindede switch, og hele dit netværk vil kollaps.
Dette skyldes, at computere er tilsluttet en bestemt switchport via netværkskablet, som er knyttet til VLAN 10 eller VLAN 20-netværket. Hvis disse netværk fjernes fra switchens LAN-database, vil den automatisk deaktivere den port, der tilhører det ikke-eksisterende netværk. Normalt kan virksomhedens netværk kollapse, fordi switche simpelthen deaktiverer de porte, der er forbundet til VLAN, der er blevet fjernet ved en opdatering.
For at forhindre, at dette problem opstår, skal du angive et domænenavn og VTP-adgangskode, eller bruge funktionen Cisco Port Security, som gør det muligt at styre MAC-adresserne på switchenes porte ved at indføre forskellige begrænsninger for deres anvendelse. For eksempel, hvis en uautoriseret person forsøger at ændre MAC-adressen, vil porten straks blive deaktiveret. Snart vil vi dykke dybere ind i denne funktion af Cisco-switchen, men nu er det nok at vide, at Port Security sikrer, at VTP er beskyttet mod angribere.
Lad os opsummere, hvad VTP-konfigurationen omfatter. Det indebærer valg af protokolversion – 1 eller 2, samt at angive VTP-tilstand – server, klient eller transparent. Som jeg allerede har nævnt, opdaterer den sidste tilstand ikke VLAN-databasen på enheden, men videregiver blot alle ændringer til naboelementerne. Her er kommandoerne til at angive domænenavnet og adgangskoden: vtp domain og vtp password .
Lad os nu tale om VTP Pruning-indstillingerne. Hvis vi ser på netværkstopologien, kan vi se, at de tre switche har samme VLAN-database, hvilket betyder, at VLAN10 og VLAN20 er en del af alle tre switche. Teknisk set har switchet SW2 ikke brug for VLAN20-netværket, fordi det ikke har porte, der hører til dette netværk. Men uanset dette vil al trafik, der sendes fra computeren Laptop0 over VLAN20-netværket, komme til switchet SW1 og videre via trunk til portene på SW2. Din primære opgave som netværksspecialist er at sikre, at der overføres så få unødvendige data som muligt gennem netværket. Du skal sørge for at sende de nødvendige data, men hvordan begrænser du transmissionen af information, der ikke er nødvendig for denne enhed?
Du skal sørge for, at trafik, der er beregnet til enheder i VLAN20-netværket, ikke sendes til portene på SW2 via trunk, når det ikke er nødvendigt. Det vil sige, at trafik fra Laptop0 skal nå SW1 og derefter til computere i VLAN20-netværket, men må ikke komme ud over den højre trunk-port på SW1. Dette kan sikres ved hjælp af VTP Pruning.
For dette skal vi gå ind i VTP-serverindstillingerne på SW0, fordi, som jeg allerede har nævnt, VTP-indstillinger kun kan foretages gennem serveren. Gå ind i de globale konfigurationsindstillinger og indtast kommandoen vtp pruning. Da Packet Tracer kun er et simulationsprogram, findes denne kommando ikke i dens forslag til kommandolinjen. Men når jeg indtaster vtp pruning og trykker "Enter", vil systemet informere mig om, at vtp pruning-tilstand ikke er tilgængelig.
Ved at bruge kommandoen show vtp status vil vi se, at VTP Pruning-tilstanden er disabled, så vi skal aktivere den ved at ændre til enable. Når vi gør dette, aktiverer vi VTP Pruning-tilstanden på alle tre switcher i vores netværk inden for netværksdomænet.
Lad mig minde dig om, hvad VTP Pruning er. Når vi aktiverer denne tilstand, informerer switch-serveren SW0 switchen SW2 om, at kun VLAN10-netværket er konfigureret på dens porte. Efter dette informerer switch SW2 switch SW1 om, at den ikke ønsker nogen trafik bortset fra den trafik, der er beregnet til VLAN10-netværket. Nu har switch SW1, takket være VTP Pruning, informationen om, at den ikke skal sende VLAN20-trafik gennem trunk SW1-SW2.
For dig som netværksadministrator er det meget bekvemt. Du behøver ikke at indtaste kommandoer manuelt, da switchen er smart nok til kun at sende det, der kræves af det specifikke netværksudstyr. Hvis du i morgen placerer endnu en afdeling af marketingteamet i den nærliggende bygning og forbinder dens VLAN20-netværk til switchen SW2, vil denne switch straks informere switchen SW1 om, at den nu har VLAN10- og VLAN20-netværk, og anmode om at sende trafik til begge netværk. Denne information opdateres konstant på alle enheder, hvilket gør kommunikationen mere effektiv.
Der er en anden måde at specificere trafikoverførsel på – ved at bruge en kommando, der tillader datatransmission kun for den angivne VLAN. Jeg går ind i indstillingerne for switchen SW1, hvor jeg er interesseret i port Fa0/4, og indtaster kommandoerne int fa0/4 og switchport trunk allowed vlan. Da jeg allerede ved, at SW2 kun har VLAN10, kan jeg instruere switchen SW1 til kun at tillade trafik for dette netværk ved at anvende kommandoen allowed vlan. På den måde har jeg programmeret trunk-porten Fa0/4 til kun at transmittere trafik for VLAN10. Det betyder, at denne port ikke vil videreføre trafik fra VLAN1, VLAN20 eller noget andet netværk end det angivne.
Du kan spørge, hvad der er bedst at bruge – VTP Pruning eller kommandoen allowed vlan. Svaret er subjektivt, fordi det i nogle tilfælde giver mening at bruge den første metode, og i andre den anden. Som netværksadministrator skal du selv vælge den optimale løsning. I nogle tilfælde kan beslutningen om at programmere porten til at tillade trafik fra en bestemt VLAN være god, mens den i andre tilfælde kan være dårlig. I tilfælde af vores netværk kan brugen af kommandoen allowed vlan være berettiget, hvis vi ikke har planer om at ændre netværkstopologien. Men hvis nogen senere ønsker at tilføje en gruppe enheder til SW2, der bruger VLAN20, er det mere hensigtsmæssigt at anvende VTP Pruning.
Så opsætningen af VTP Pruning involverer brug af følgende kommandoer. Kommandoen vtp pruning sikrer automatisk, at denne tilstand anvendes. Hvis du ønsker at konfigurere VTP Pruning på trunk-porten for manuelt at tillade trafik fra en bestemt VLAN, bruger du kommandoen interface for at vælge trunk-portnummeret, aktiverer trunk-tilstand med kommandoen switchport mode trunk og tillader trafikoverførsel fra det specifikke netværk med kommandoen switchport trunk allowed vlan .
I den sidste kommando kan du bruge 5 parametre. All betyder, at trafikoverførsel for alle VLAN-netværk er tilladt, none – trafikoverførsel for alle VLAN er forbudt. Hvis du bruger parameteren add, kan du tillade trafikoverførsel for endnu et netværk. For eksempel, hvis vi har trafik for VLAN10 tilladt, kan vi med kommandoen add også tillade trafik for netværket VLAN20. Kommandoen remove tillader fjernelse af et af netværkene; for eksempel, hvis du bruger parameteren remove 20, vil der kun være trafikoverførsel for VLAN10.
Lad os nu se på native VLAN. Vi har tidligere nævnt, at native VLAN er et virtuelt netværk til at transportere uetiketteret trafik gennem en bestemt trunk-port.
Jeg går ind i indstillingerne for den specifikke port, som indikeres af kommandolinjeoverskriften SW(config-if)#, og bruger kommandoen switchport trunk native vlan , for eksempel VLAN10. Nu vil al trafik på netværket VLAN10 blive sendt gennem trunk'en uden etiketter.
Lad os vende tilbage til den logiske topologi for netværket i Packet Tracer-vinduet. Hvis jeg bruger kommandoen switchport trunk native vlan 20 for switch-porten Fa0/4, så vil al trafik fra netværket VLAN20 blive sendt gennem Fa0/4 trunk'en – SW2 uetiketteret. Når switch'en SW2 modtager denne trafik, vil den tænke: "det er uetiketteret trafik, så jeg skal sende det til native VLAN-netværket". For denne switch er native VLAN netværket VLAN1. Netværkene 1 og 20 er ikke forbundet, men fordi vi bruger native VLAN-tilstanden, har vi mulighed for at sende VLAN20-trafikken til et helt andet netværk. Men denne trafik vil være uindkapslet, og selve netværkene skal stadig være ens.
Lad os se på dette med et eksempel. Jeg vil ind i indstillingerne for SW1 og bruge kommandoen switchport trunk native vlan 10. Nu vil enhver trafik fra VLAN10 komme fra trunk-porten uetiketteret. Når den når trunk-porten på SW2, vil switch'en forstå, at den skal sende det til VLAN1. Som følge heraf vil trafikken ikke kunne nå computere PC2, 3 og 4, da de er tilsluttet access-porte på switch'en designet til VLAN10.
Teknisk set vil dette forårsage en systembesked om, at native VLAN for porten Fa0/4, som er en del af VLAN10, ikke stemmer overens med port Fa0/1, som er en del af VLAN1. Dette betyder, at de angivne porte ikke kan fungere i trunk-tilstand på grund af uoverensstemmelse i native VLAN.
Tak fordi du er med os. Kan du lide vores artikler? Vil du se flere interessante materialer? Støt os ved at lave en bestilling eller anbefale os til dine bekendte. 30% rabat til brugere af Habr på en unik entry-level server, som vi har opfundet til dig: (tilgængelige muligheder med RAID1 og RAID10, op til 24 kerner og op til 40 GB DDR4).
Dell R730xd er 2 gange billigere? Kun hos os i Holland! Dell R420 - 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - fra 99 $! Læs om hvordan
Kilde: habr.com
