Gaur VLANei buruzko eztabaida jarraituko dugu eta VTP protokoloa eztabaidatuko dugu, baita VTP Pruning eta Native VLAN kontzeptuak ere. Dagoeneko VTPri buruz hitz egin dugu aurreko bideoetako batean, eta VTPri buruz entzutean burura etorri behar zaizun lehenengo gauza da ez dela trunking protokoloa, "VLAN trunking protocol" deitu arren.
Dakizuenez, bi trunking protokolo ezagun daude: jabedun Cisco ISL protokoloa, gaur egun erabiltzen ez dena, eta 802.q protokoloa, hainbat fabrikatzailetako sareko gailuetan erabiltzen dena trunking trafikoa kapsulatzeko. Protokolo hau Cisco etengailuetan ere erabiltzen da. Dagoeneko esan dugu VTP VLAN sinkronizazio protokolo bat dela, hau da, VLAN datu-basea sareko switch guztietan sinkronizatzeko diseinatuta dago.
VTP modu desberdinak aipatu ditugu: zerbitzaria, bezeroa, gardena. Gailuak zerbitzari modua erabiltzen badu, honek aldaketak egin, gehitu edo ken ditzakezu VLANak. Bezero-moduak ez dizu aukera ematen switch-ezarpenetan aldaketak egiteko, VLAN datu-basea VTP zerbitzariaren bidez soilik konfigura dezakezu eta VTP bezero guztietan errepikatuko da. Modu gardenean dagoen etengailu batek ez du aldaketarik egiten bere VLAN datu-basean, baizik eta berez igarotzen da eta aldaketak hurrengo gailura transferitzen ditu bezero moduan. Modu hau gailu zehatz batean VTP desgaitzearen antzekoa da, VLAN aldaketen informazioaren garraiatzaile bihurtuz.
Itzuli gaitezen Packet Tracer programara eta aurreko ikasgaian aztertutako sare-topologiara. Salmenta sailerako VLAN10 sare bat eta marketin sailerako VLAN20 sare bat konfiguratu ditugu, hiru switchekin konbinatuz.
SW0 eta SW1 etengailuen artean komunikazioa VLAN20 sarearen bidez egiten da, eta SW0 eta SW2 artean VLAN10 sarearen bidez dago komunikazioa, SW10 switch-eko VLAN datu-basean VLAN1 gehitu dugulako.
VTP protokoloaren funtzionamendua kontuan hartzeko, erabil dezagun etengailuetako bat VTP zerbitzari gisa, izan bedi SW0. Gogoratzen baduzu, lehenespenez etengailu guztiek VTP zerbitzari moduan funtzionatzen dute. Goazen etengailuaren komando lerroko terminalera eta sartu show vtp status komandoa. Uneko VTP protokoloaren bertsioa 2 dela ikusten duzu eta konfigurazioaren berrikuspen zenbakia 4 dela. Gogoratzen baduzu, VTP datu-basean aldaketak egiten diren bakoitzean, berrikuspen zenbakia bat handitzen da.
Onartutako VLANen gehienezko kopurua 255 da. Kopuru hori Cisco etengailu zehatzaren markaren araberakoa da, etengailu ezberdinek sare birtualen tokiko kopuru desberdinak onartzen baitituzte. Dauden VLAN kopurua 7 da, minutu batean sare hauek zein diren aztertuko dugu. VTP kontrol modua zerbitzaria da, domeinu izena ez dago ezarrita, VTP inausketa modua desgaituta dago, geroago itzuliko gara honetara. VTP V2 eta VTP Traps Sorkuntza moduak ere desgaituta daude. Ez duzu azken bi moduen berri izan behar 200-125 CCNA azterketa gainditzeko, beraz, ez kezkatu haietaz.
Ikus dezagun VLAN datu-baseari show vlan komandoa erabiliz. Aurreko bideoan ikusi genuen bezala, onartzen ez diren 4 sare ditugu: 1002, 1003, 1004 eta 1005.
Guk sortu ditugun 2 sareak ere zerrendatzen ditu, VLAN10 eta 20, eta lehenetsitako sarea, VLAN1. Orain joan gaitezen beste etengailu batera eta sartu komando bera VTP egoera ikusteko. Ikusten duzu etengailu honen berrikuspen-zenbakia 3 dela, VTP zerbitzari moduan dagoela eta gainerako informazio guztia lehen etengailuaren antzekoa dela. Show VLAN komandoa sartzen dudanean, ezarpenetan 2 aldaketa egin ditugula ikusten dut, SW0 etengailua baino bat gutxiago, horregatik SW1-ren berrikuspen-zenbakia 3 da. Lehenengoaren ezarpen lehenetsietan 3 aldaketa egin ditugu. etengailua, beraz, bere berrikuspen-zenbakia 4ra igo zen.
Ikus dezagun orain SW2-ren egoera. Hemen berrikuspen-zenbakia 1 da, eta hori bitxia da. Bigarren berrikuspena egin behar dugu ezarpenen aldaketa 1 egin delako. Ikus dezagun VLAN datu-basea.
Aldaketa bat egin genuen, VLAN10 sortuz, eta ez dakit zergatik ez zen eguneratu informazio hori. Agian hau gertatu da ez dugulako benetako sarerik, software-sare-simulatzaile bat baizik, akatsak izan ditzakeelako. Cisco-n praktikatzen ari zaren bitartean benetako gailuekin lan egiteko aukera duzunean, Packet Tracer simulagailua baino gehiago lagunduko dizu. Benetako gailurik ezean beste gauza erabilgarria GNC3 edo Cisco sare-simulatzaile grafikoa izango litzateke. Gailu baten benetako sistema eragilea erabiltzen duen emuladorea da hau, bideratzaile bat adibidez. Simulatzaile baten eta emuladore baten artean aldea dago: lehena benetako bideratzaile baten itxura duen programa da, baina ez da bat. Emulatzaileen softwareak gailua bera bakarrik sortzen du, baina benetako softwarea erabiltzen du hura funtzionatzeko. Baina benetako Cisco IOS softwarea exekutatzeko gaitasunik ez baduzu, Packet Tracer da zure aukerarik onena.
Beraz, SW0 VTP zerbitzari gisa konfiguratu behar dugu, horretarako ezarpen orokorren konfigurazio moduan sartu eta vtp bertsioa 2 komandoa sartzen dut. Esan bezala, behar dugun protokoloaren bertsioa instalatu dezakegu - 1 edo 2, honetan. bigarren bertsioa behar badugu. Ondoren, vtp mode komandoa erabiliz, etengailuaren VTP modua ezarri dugu - zerbitzaria, bezeroa edo gardena. Kasu honetan, zerbitzari modua behar dugu, eta vtp mode server komandoa sartu ondoren, sistemak mezu bat bistaratzen du gailua zerbitzari moduan dagoeneko dagoela dioen. Ondoren, VTP domeinu bat konfiguratu behar dugu, eta horretarako vtp domain nwking.org komandoa erabiltzen dugu. Zergatik da beharrezkoa? Sarean berrikuspen-zenbaki handiagoa duen beste gailu bat badago, berrikuspen-zenbaki txikiagoa duten beste gailu guztiak VLAN datu-basea gailu horretatik erreplikatzen hasiko dira. Hala ere, hori gailuek domeinu-izen bera badute bakarrik gertatzen da. Adibidez, nwking.org-en lan egiten baduzu, domeinu hau adieraziko duzu, Cisco-n bada, orduan cisco.com domeinua, eta abar. Zure konpainiako gailuen domeinu-izenak beste konpainia bateko gailuetatik edo sareko kanpoko beste edozein gailuetatik bereiz ditzakezu. Enpresa baten domeinu-izena gailu bati esleitzen diozunean, enpresa horren sarearen parte bihurtzen duzu.
Egin beharreko hurrengo gauza VTP pasahitza ezartzea da. Beharrezkoa da hacker batek, berrikuspen-zenbaki handia duen gailu bat duenak, bere VTP ezarpenak zure etengailuan kopiatu ezin dezan. Cisco pasahitza sartzen dut vtp password cisco komandoa erabiliz. Horren ondoren, VTP datuen erreplika etengailuen artean pasahitzak bat datozenean soilik posible izango da. Pasahitz okerra erabiltzen bada, VLAN datu-basea ez da eguneratuko.
Saia gaitezen VLAN gehiago sortzen. Horretarako, config t komandoa erabiltzen dut, vlan 200 komandoa erabiltzen dut 200 sare-zenbakia sortzeko, TEST izena jarri eta aldaketak irteteko komandoarekin gorde. Ondoren, beste vlan 500 bat sortzen dut eta TEST1 deitzen diot. Show vlan komandoa sartzen baduzu, aldagailuaren sare birtualen taulan bi sare berri hauek ikus ditzakezu, zeinei ez zaien ataka bakar bat esleituta.
Joan gaitezen SW1era eta ikus dezagun bere VTP egoera. Ikusten dugu hemen ez dela ezer aldatu domeinu izena izan ezik, VLAN kopurua 7 berdina izaten jarraitzen du. Ez ditugu ikusten sortu ditugun sareak agertzen, VTP pasahitza ez datorrelako bat. Ezar dezagun VTP pasahitza etengailu honetan sekuentzialki conf t, vtp pass eta vtp pasahitza Cisco komandoak sartuz. Sistemak jakinarazi zuen gailuaren VLAN datu-baseak Cisco pasahitza erabiltzen duela orain. Ikus dezagun beste begirada bat VTP egoerari informazioa errepikatu den egiaztatzeko. Ikus dezakezunez, lehendik dauden VLAN kopurua automatikoki handitu da 9ra.
Switch honen VLAN datu-baseari erreparatuz gero, guk sortutako VLAN200 eta VLAN500 sareak automatikoki bertan agertu zirela ikusiko duzu.
Gauza bera egin behar da azken SW2 etengailuarekin. Sar dezagun show vlan komandoa - bertan aldaketarik ez dela gertatu ikus dezakezu. Era berean, ez dago aldaketarik VTP egoeran. Etengailu honek informazioa eguneratzeko, pasahitz bat ere konfiguratu behar duzu, hau da, SW1-erako komando berdinak sartu. Horren ondoren, SW2 egoeran dauden VLAN kopurua 9ra igoko da.
Horretarako da VTP. Zerbitzariaren gailuan aldaketak egin ondoren bezeroen sareko gailu guztietan informazioa automatikoki eguneratzen duen gauza bikaina da. Ez duzu eskuz aldaketarik egin behar switch guztien VLAN datu-basean - erreplikazioa automatikoki gertatzen da. Sareko 200 gailu badituzu, egiten dituzun aldaketak berrehun gailu guztietan gordeko dira aldi berean. Badaezpada, ziurtatu behar dugu SW2 VTP bezero bat dela, beraz, sar gaitezen ezarpenetara config t komandoarekin eta sartu vtp mode client komandoa.
Horrela, gure sarean lehen etengailua bakarrik dago VTP Zerbitzari moduan, beste biek VTP Bezero moduan funtzionatzen dute. Orain SW2 ezarpenetara sartzen banaiz eta vlan 1000 komandoa sartzen badut, mezua jasoko dut: "VTP VLAN konfiguratzea ez da onartzen gailua bezero moduan dagoenean". Horrela, ezin dut VLAN datu-basean aldaketarik egin aldagailua VTP bezero moduan badago. Aldaketarik egin nahi badut, switch zerbitzarira joan behar dut.
SW0 terminalaren ezarpenetara joaten naiz eta vlan 999 komandoak sartzen ditut, IMRAN izena jarri eta irten. Sare berri hau switch honen VLAN datu-basean agertu da, eta orain SW2 bezeroaren switch-aren datu-basera joaten banaiz, ikusiko dut hemen informazio bera agertu dela, hau da, erreplikazioa gertatu dela.
Esan bezala, VTP software pieza bikaina da, baina gaizki erabiltzen bada, sare oso bat eten dezake. Hori dela eta, kontu handiz ibili behar duzu enpresaren sarea maneiatzen denean domeinu-izena eta VTP pasahitza ezarrita ez badaude. Kasu honetan, hackerrak egin behar duen guztia da bere etengailuaren kablea hormako sareko entxufe batera konektatzea, edozein bulegoko etengailura konektatzea DTP protokoloa erabiliz eta, ondoren, sortutako enborra erabiliz, informazio guztia eguneratzea VTP protokoloa erabiliz. . Horrela, hacker batek VLAN garrantzitsu guztiak ezaba ditzake, bere gailuaren berrikuspen-zenbakia beste etengailu batzuen berrikuspen-kopurua baino handiagoa dela aprobetxatuz. Kasu honetan, konpainiaren etengailuek automatikoki ordezkatuko dute VLAN datu-basearen informazio guztia maltzurren etengailutik errepikatutako informazioarekin, eta zure sare osoa kolapsatu egingo da.
Hau da, ordenagailuak sareko kable bat erabiliz konektatzen direlako VLAN 10 edo VLAN20 esleituta dagoen etengailu-portu zehatz batera. Sare hauek switch-aren LAN datu-basetik ezabatzen badira, automatikoki desgaituko da existitzen ez den sareari dagokion ataka. Normalean, konpainia baten sarea tolestu daiteke, hain zuzen, etengailuek hurrengo eguneratzean kendutako VLANekin lotutako atakak desgaitzen dituztelako.
Arazo hori gerta ez dadin, VTP domeinu-izen bat eta pasahitza ezarri behar dituzu edo Cisco Port Security funtzioa erabili behar duzu, switch-eko ataken MAC helbideak kudeatzeko aukera ematen duena, erabilerari hainbat murrizketa ezarriz. Adibidez, beste norbait MAC helbidea aldatzen saiatzen bada, ataka berehala jaitsiko da. Laster aztertuko dugu Cisco etengailuen funtzio hau, baina oraingoz jakin behar duzun guztia da Port Security-k VTP erasotzaile batengandik babestuta dagoela ziurtatzeko aukera ematen duela.
Labur dezagun zer den VTP ezarpena. Hau da protokoloaren bertsioaren aukeraketa - 1 edo 2, VTP moduaren esleipena - zerbitzaria, bezeroa edo gardena. Esan dudan bezala, azken modu honek ez du gailuaren VLAN datu-basea eguneratzen, baizik eta aldaketa guztiak aldameneko gailuetara transmititzen ditu. Hauek dira domeinu-izena eta pasahitza esleitzeko komandoak: vtp domain <domeinu-izena> eta vtp pasahitza <pasahitza>.
Orain hitz egin dezagun VTP Pruning ezarpenei buruz. Sarearen topologiari erreparatuz gero, ikus dezakezu hiru konmutadoreek VLAN datu-base bera dutela, hau da, VLAN10 eta VLAN20 3 etengailu guztien parte direla esan nahi du. Teknikoki, SW2 switch-ak ez du VLAN20 beharrik, ez baitu sare honetako atakarik. Hala ere, hau kontuan hartu gabe, Laptop0 ordenagailutik VLAN20 sarearen bidez bidalitako trafiko guztia SW1 etengailura iristen da eta bertatik enborretik pasatzen da SW2 portuetara. Sareko espezialista gisa zure zeregin nagusia alferrikako datu ahalik eta gutxien sarean zehar transmititzea da. Beharrezko datuak transmititzen direla ziurtatu behar duzu, baina nola mugatu gailuak behar ez duen informazioaren transmisioa?
Ziurtatu behar duzu VLAN20-ko gailuetara zuzendutako trafikoa ez dela SW2 portuetara enborretik igarotzen beharrezkoa ez denean. Hau da, Laptop0 trafikoa SW1era iritsi behar da eta gero VLAN20ko ordenagailuetara, baina ez da SW1eko eskuineko enbor atakatik haratago joan behar. Hau VTP Pruning erabiliz lor daiteke.
Horretarako, VTP zerbitzariaren SW0 ezarpenetara joan behar dugu, lehen esan bezala, VTP ezarpenak zerbitzariaren bidez bakarrik egin daitezkeelako, konfigurazio orokorreko ezarpenetara joan eta vtp pruning komandoa idatzi. Packet Tracer simulazio-programa bat besterik ez denez, ez dago komando-lerroko galderetan. Hala ere, vtp inausketa idazten dudanean eta Sartu sakatzen dudanean, sistemak esaten dit vtp inausketa modua ez dagoela erabilgarri.
Show vtp status komandoa erabiliz, VTP Pruning modua desgaituta dagoen egoeran dagoela ikusiko dugu, beraz, erabilgarri jarri behar dugu gaitzeko posiziora eramanez. Hau eginda, VTP inausketa modua aktibatzen dugu sareko domeinuko gure sareko hiru etengailuetan.
Gogorarazten dizut zer den VTP inausketa. Modu hau gaitzen dugunean, switch zerbitzari SW0 switch SW2 jakinarazten dio VLAN10 bakarrik konfiguratuta dagoela bere portuetan. Horren ondoren, SW2 switch-ak SW1 switch-ari esaten dio ez duela behar VLAN10-rako zuzendutako trafikoa ez den trafikorik. Orain, VTP Pruning-i esker, SW1 switch-ak SW20-SW1 enborrean VLAN2 trafikoa bidali behar ez duen informazioa du.
Hau oso erosoa da sareko administratzaile gisa. Ez duzu komandoak eskuz sartu behar, etengailua nahikoa adimentsua baita sareko gailu zehatzak behar duena zehazki bidaltzeko. Bihar hurrengo eraikinean beste marketin-sail bat jartzen baduzu eta bere VLAN20 sarea konektatzen baduzu SW2 aldatzeko, etengailu horrek berehala esango dio SW1-ri orain VLAN10 eta VLAN20 duela eta bi sareetarako trafikoa birbidaltzeko eskatuko dio. Informazio hori etengabe eguneratzen da gailu guztietan, komunikazioa eraginkorragoa izan dadin.
Trafikoaren transmisioa zehazteko beste modu bat dago: zehaztutako VLANerako soilik datuak transmititzeko aukera ematen duen komando bat erabiltzea da. Switch SW1 ezarpenetara joaten naiz, non Fa0/4 ataka interesatzen zait, eta int fa0/4 eta switchport trunk allow vlan komandoak sartzen ditut. Dagoeneko SW2-k VLAN10 bakarrik duela dakidanez, SW1-i esan diezaioket sare horretarako trafikoa soilik baimentzeko bere enborreko atakan baimendutako vlan komandoa erabiliz. Beraz, Fa0/4 enbor ataka programatu nuen trafikoa VLAN10-rako soilik eramateko. Horrek esan nahi du ataka honek ez duela trafiko gehiago baimenduko VLAN1, VLAN20 edo zehaztutakoa ez den beste sare batetik.
Baliteke zein den hobeto erabiltzea galdetzen ari zaren: VTP inausketa edo baimendutako vlan komandoa. Erantzuna subjektiboa da, kasu batzuetan lehenengo metodoa erabiltzeak zentzuzkoa duelako, eta beste batzuetan bigarrena erabiltzeak. Sareko administratzaile gisa, zure esku dago irtenbiderik onena aukeratzea. Zenbait kasutan, VLAN zehatz batetik trafikoa baimentzeko ataka programatzeko erabakia ona izan daiteke, baina beste batzuetan txarra izan daiteke. Gure sarearen kasuan, baimendutako vlan komandoa erabiltzea justifikatuta egon daiteke sarearen topologia aldatuko ez badugu. Baina gero norbaitek VLAN2 erabiliz SW 20ra gailu talde bat gehitu nahi badu, komenigarriagoa izango litzateke VTP Pruning modua erabiltzea.
Beraz, VTP Pruning konfiguratzeak honako komando hauek erabiltzea dakar. vtp pruning komandoak modu honen erabilera automatikoa eskaintzen du. Enbor ataka baten VTP inausketa konfiguratu nahi baduzu VLAN zehatz baten trafikoa eskuz pasatzen uzteko, erabili komandoa enbor ataka-zenbakiaren interfazea <#> hautatzeko, gaitu enbor modua switchport moduko enborra eta baimendu trafikoaren transmisioa. sare zehatz batera switchport trunk allow vlan komandoa erabiliz .
Azken komandoan 5 parametro erabil ditzakezu. Guztiak esan nahi du VLAN guztien trafiko-transmisioa onartzen dela, bat ere ez - VLAN guztien trafiko-transmisioa debekatuta dago. Gehitu parametroa erabiltzen baduzu, beste sare baterako trafiko-jarioa gehi dezakezu. Esaterako, VLAN10 trafikoa onartzen dugu, eta add komandoarekin VLAN20 trafikoa igarotzen ere utzi dezakegu. Kendu komandoak sareetako bat kentzeko aukera ematen du, adibidez, remove 20 parametroa erabiltzen baduzu, VLAN10 trafikoa bakarrik geratuko da.
Orain ikus dezagun jatorrizko VLANa. Dagoeneko esan dugu VLAN natiboa etiketatu gabeko trafikoa enbor ataka zehatz batetik pasatzeko sare birtuala dela.
SW(config-if)# komando lerroko goiburuak adierazten duen ataka zehatzetara sartzen naiz eta komandoa switchport trunk native vlan <sare-zenbakia> erabiltzen dut, adibidez VLAN10. Orain VLAN10-ko trafiko guztia etiketarik gabeko enborretik igaroko da.
Itzuli gaitezen Packet Tracer leihoko sare logikoko topologiara. Switchport trunk native vlan 20 komandoa switchport Fa0/4 atakan erabiltzen badut, orduan VLAN20-ko trafiko guztia Fa0/4 - SW2 enbor etiketatu gabe igaroko da. SW2 etengailuak trafiko hori jasotzen duenean, hauxe pentsatuko du: "etiketatu gabeko trafikoa da, hau da, jatorrizko VLANera bideratu beharko nuke". Etengailu honetarako, jatorrizko VLAN VLAN1 sarea da. 1. eta 20. sareak ez daude inola ere konektatuta, baina VLAN modu natiboa erabiltzen denez, VLAN20 trafikoa guztiz beste sare batera bideratzeko aukera dugu. Hala ere, trafiko hori kapsulatu gabe egongo da, eta sareek eurek bat egin behar dute oraindik.
Ikus dezagun adibide batekin. SW1-en ezarpenetan sartuko naiz eta switchport trunk native vlan 10 komandoa erabiliko dut. Orain VLAN10 trafikoa etiketatu gabe aterako da enbor atakatik. SW2 enbor ataka iristen denean, etengailuak ulertuko du VLAN1era birbidali behar duela. Erabaki horren ondorioz, trafikoa ezingo da PC2, 3 eta 4 ordenagailuetara iritsi, VLAN10erako zuzendutako switch sarbide-portuetara konektatuta baitaude.
Teknikoki, horrek sistemak jakinaraziko du VLAN0-aren parte den Fa4/10 atakako jatorrizko VLANa ez datorrela bat, VLAN0-aren parte den Fa1/1 atakarekin. Horrek esan nahi du zehaztutako portuek ezingo dutela enbor moduan funtzionatu VLAN jatorrizko desegokitze bat dela eta.
Eskerrik asko gurekin geratzeagatik. Gustuko dituzu gure artikuluak? Eduki interesgarri gehiago ikusi nahi? Lagun iezaguzu eskaera bat eginez edo lagunei gomendatuz, % 30eko deskontua Habr erabiltzaileentzat sarrera-mailako zerbitzarien analogo berezi batean, guk zuk asmatu duguna: (RAID1 eta RAID10-ekin erabilgarri, 24 nukleoraino eta 40 GB DDR4 arte).
Dell R730xd 2 aldiz merkeagoa? Hemen bakarrik Herbehereetan! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - 99 $-tik aurrera! Irakurri buruz
Iturria: www.habr.com