Tänään jatkamme VLAN-keskustelujamme ja keskustelemme VTP-protokollasta sekä VTP-karsinnan ja alkuperäisen VLANin käsitteistä. Puhuimme jo VTP:stä yhdessä edellisistä videoista, ja ensimmäinen asia, jonka pitäisi tulla mieleesi, kun kuulet VTP:stä, on, että se ei ole johtoyhteysprotokolla, vaikka sitä kutsutaan "VLAN trunking protocoliksi".
Kuten tiedät, on olemassa kaksi suosittua johtoverkkoprotokollaa - patentoitu Cisco ISL -protokolla, jota ei käytetä nykyään, ja 802.q-protokolla, jota käytetään eri valmistajien verkkolaitteissa runkoliikenteen kapseloimiseen. Tätä protokollaa käytetään myös Ciscon kytkimissä. Olemme jo sanoneet, että VTP on VLAN-synkronointiprotokolla, eli se on suunniteltu synkronoimaan VLAN-tietokanta kaikkien verkkokytkimien välillä.
Mainitsimme erilaiset VTP-tilat - palvelin, asiakas, läpinäkyvä. Jos laite käyttää palvelintilaa, voit tehdä muutoksia, lisätä tai poistaa VLAN-verkkoja. Asiakastila ei salli sinun tehdä muutoksia kytkimen asetuksiin, voit määrittää VLAN-tietokannan vain VTP-palvelimen kautta, ja se replikoidaan kaikissa VTP-asiakkaissa. Läpinäkyvässä tilassa oleva kytkin ei tee muutoksia omaan VLAN-tietokantaansa, vaan vain kulkee itsensä läpi ja siirtää muutokset seuraavaan asiakastilassa olevaan laitteeseen. Tämä tila on samanlainen kuin VTP:n poistaminen käytöstä tietystä laitteesta, jolloin se muutetaan VLAN-muutostietojen kuljettajaksi.
Palataanpa Packet Tracer -ohjelmaan ja edellisellä oppitunnilla käsiteltyyn verkkotopologiaan. Konfiguroimme myyntiosastolle VLAN10-verkon ja markkinointiosastolle VLAN20-verkon yhdistäen ne kolmella kytkimellä.
Kytkimien SW0 ja SW1 välillä kommunikointi tapahtuu VLAN20-verkon yli ja SW0:n ja SW2:n välillä VLAN10-verkon kautta, koska lisäsimme VLAN10:n kytkimen SW1 VLAN-tietokantaan.
VTP-protokollan toiminnan huomioon ottamiseksi käytetään yhtä kytkimistä VTP-palvelimena, olkoon se SW0. Jos muistat, oletusarvoisesti kaikki kytkimet toimivat VTP-palvelintilassa. Siirrytään kytkimen komentorivipäätteeseen ja kirjoitetaan show vtp status -komento. Näet nykyisen VTP-protokollan version 2 ja kokoonpanon versionumeron 4. Jos muistat, aina kun VTP-tietokantaan tehdään muutoksia, versionumero kasvaa yhdellä.
Tuettujen VLAN-verkkojen enimmäismäärä on 255. Tämä määrä riippuu tietyn Cisco-kytkimen merkistä, koska eri kytkimet voivat tukea eri määriä paikallisia virtuaaliverkkoja. Olemassa olevien VLAN-verkkojen määrä on 7, minuutin kuluttua katsomme, mitä nämä verkot ovat. VTP-ohjaustila on palvelin, verkkotunnuksen nimeä ei ole asetettu, VTP:n karsintatila on poistettu käytöstä, palaamme tähän myöhemmin. Myös VTP V2- ja VTP Traps Generation -tilat on poistettu käytöstä. Sinun ei tarvitse tietää kahdesta viimeisestä tilasta läpäistäksesi 200-125 CCNA-kokeen, joten älä huolehdi niistä.
Katsotaanpa VLAN-tietokantaa käyttämällä show vlan -komentoa. Kuten näimme jo edellisessä videossa, meillä on 4 verkkoa, joita ei tueta: 1002, 1003, 1004 ja 1005.
Siinä luetellaan myös kaksi luomaamme verkkoa, VLAN2 ja 10, sekä oletusverkko, VLAN20. Siirrytään nyt toiseen kytkimeen ja anna sama komento nähdäksesi VTP-tilan. Näet, että tämän kytkimen versionumero on 1, se on VTP-palvelintilassa ja kaikki muut tiedot ovat samanlaisia kuin ensimmäisessä kytkimessä. Kun syötän show VLAN -komennon, huomaan, että olemme tehneet 3 muutosta asetuksiin, yksi vähemmän kuin kytkin SW2, minkä vuoksi SW0:n versionumero on 1. Olemme tehneet 3 muutosta ensimmäisen oletusasetuksiin. kytkin, joten sen versionumero nousi 3:ään.
Katsotaanpa nyt SW2:n tilaa. Versionumero tässä on 1, mikä on outoa. Meillä on oltava toinen versio, koska 1 asetusmuutos tehtiin. Katsotaanpa VLAN-tietokantaa.
Teimme yhden muutoksen luomalla VLAN10:n, enkä tiedä, miksi näitä tietoja ei päivitetty. Ehkä tämä tapahtui, koska meillä ei ole oikeaa verkkoa, vaan ohjelmistoverkkosimulaattori, jossa voi olla virheitä. Kun sinulla on mahdollisuus työskennellä oikeiden laitteiden kanssa työskennellessään Ciscossa, se auttaa sinua enemmän kuin Packet Tracer -simulaattori. Toinen hyödyllinen asia todellisten laitteiden puuttuessa on GNC3 tai graafinen Ciscon verkkosimulaattori. Tämä on emulaattori, joka käyttää laitteen, kuten reitittimen, todellista käyttöjärjestelmää. Simulaattorilla ja emulaattorilla on ero - edellinen on ohjelma, joka näyttää oikealta reitittimeltä, mutta ei sitä ole. Emulaattoriohjelmisto luo vain laitteen itse, mutta käyttää sitä todellista ohjelmistoa. Mutta jos sinulla ei ole kykyä käyttää todellista Cisco IOS -ohjelmistoa, Packet Tracer on paras vaihtoehto.
Joten meidän on määritettävä SW0 VTP-palvelimeksi, tätä varten menen globaalien asetusten määritystilaan ja syötän komennon vtp version 2. Kuten sanoin, voimme asentaa tarvitsemamme protokollaversion - 1 tai 2, tähän jos tarvitsemme toisen version. Seuraavaksi asetamme vtp mode -komennolla kytkimen VTP-tilan - palvelin, asiakas tai läpinäkyvä. Tässä tapauksessa tarvitsemme palvelintilan, ja vtp mode -palvelinkomennon syöttämisen jälkeen järjestelmä näyttää viestin, että laite on jo palvelintilassa. Seuraavaksi meidän on määritettävä VTP-toimialue, jota varten käytämme vtp domain nwking.org -komentoa. Miksi tämä on välttämätöntä? Jos verkossa on toinen laite, jolla on suurempi versionumero, kaikki muut laitteet, joilla on pienempi versionumero, alkavat replikoida VLAN-tietokantaa kyseisestä laitteesta. Tämä tapahtuu kuitenkin vain, jos laitteilla on sama verkkotunnus. Jos työskentelet esimerkiksi osoitteessa nwking.org, ilmoita tämä toimialue, jos Ciscossa, niin verkkotunnus cisco.com ja niin edelleen. Yrityksesi laitteiden verkkotunnuksen avulla voit erottaa ne toisen yrityksen laitteista tai muista verkon ulkoisista laitteista. Kun määrität laitteelle yrityksen verkkotunnuksen, teet siitä osan kyseisen yrityksen verkkoa.
Seuraava asia on asettaa VTP-salasana. Sitä tarvitaan, jotta hakkeri, jolla on korkea versionumero, ei voi kopioida VTP-asetuksiaan kytkimellesi. Annan cisco-salasanan vtp-salasana cisco-komennolla. Tämän jälkeen VTP-tietojen replikointi kytkimien välillä on mahdollista vain, jos salasanat täsmäävät. Jos käytetään väärää salasanaa, VLAN-tietokanta ei päivity.
Yritetään luoda lisää VLANeja. Käytän tätä varten config t -komentoa, käytän vlan 200 -komentoa verkkonumeron 200 luomiseen, annan sille nimen TEST ja tallenna muutokset exit-komennolla. Sitten luon toisen vlan 500:n ja kutsun sitä TEST1:ksi. Jos kirjoitat nyt show vlan -komennon, kytkimen virtuaaliverkkojen taulukossa näet nämä kaksi uutta verkkoa, joille ei ole määritetty yhtään porttia.
Siirrytään SW1:een ja katsotaan sen VTP-tila. Näemme, että mikään ei ole muuttunut tässä paitsi verkkotunnuksen nimi, VLAN-verkkojen määrä on edelleen 7. Emme näe luomiamme verkkoja, koska VTP-salasana ei täsmää. Asetetaan VTP-salasana tälle kytkimelle syöttämällä peräkkäin komennot conf t, vtp pass ja vtp password Cisco. Järjestelmä ilmoitti, että laitteen VLAN-tietokanta käyttää nyt Ciscon salasanaa. Katsotaanpa uudelleen VTP-tilaa tarkistaaksesi, onko tiedot kopioitu. Kuten näet, olemassa olevien VLAN-verkkojen määrä on kasvanut automaattisesti 9:ään.
Jos katsot tämän kytkimen VLAN-tietokantaa, voit nähdä, että luomamme VLAN200- ja VLAN500-verkot ilmestyivät siihen automaattisesti.
Sama on tehtävä viimeisen kytkimen SW2 kanssa. Syötetään show vlan -komento - näet, että siinä ei ole tapahtunut muutoksia. Samoin VTP:n tila ei muutu. Jotta tämä kytkin voi päivittää tiedot, sinun on myös asetettava salasana, eli syötettävä samat komennot kuin SW1:ssä. Tämän jälkeen SW2-tilassa olevien VLAN-verkkojen määrä kasvaa 9:ään.
Sitä varten VTP on. Tämä on hieno asia, joka päivittää automaattisesti tiedot kaikissa asiakasverkkolaitteissa, kun palvelinlaitteeseen on tehty muutoksia. Sinun ei tarvitse tehdä manuaalisesti muutoksia kaikkien kytkimien VLAN-tietokantaan - replikointi tapahtuu automaattisesti. Jos sinulla on 200 verkkolaitetta, tekemäsi muutokset tallennetaan kaikille kahdellesadalle laitteelle samanaikaisesti. Joka tapauksessa meidän on varmistettava, että SW2 on myös VTP-asiakas, joten mennään asetuksiin config t -komennolla ja kirjoitetaan vtp mode -asiakaskomento.
Näin ollen verkossamme vain ensimmäinen kytkin on VTP Server -tilassa, kaksi muuta toimivat VTP Client -tilassa. Jos siirryn nyt SW2-asetuksiin ja kirjoitan komennon vlan 1000, saan viestin: "VTP VLAN:in määrittäminen ei ole sallittua, kun laite on asiakastilassa." Näin ollen en voi tehdä muutoksia VLAN-tietokantaan, jos kytkin on VTP-asiakastilassa. Jos haluan tehdä muutoksia, minun on mentävä kytkinpalvelimelle.
Siirryn SW0-päätteen asetuksiin ja kirjoitan komennot vlan 999, nimeä IMRAN ja poistu. Tämä uusi verkko on ilmestynyt tämän kytkimen VLAN-tietokantaan, ja jos nyt menen asiakaskytkimen SW2 tietokantaan, niin huomaan, että täällä on ilmestynyt sama tieto, eli replikaatiota on tapahtunut.
Kuten sanoin, VTP on loistava ohjelmisto, mutta jos sitä käytetään väärin, se voi häiritä koko verkkoa. Siksi sinun on oltava erittäin varovainen käsitellessäsi yrityksen verkkoa, jos verkkotunnuksen nimeä ja VTP-salasanaa ei ole asetettu. Tässä tapauksessa hakkerin tarvitsee vain kytkeä kytkimensä kaapeli seinässä olevaan verkkopistorasiaan, muodostaa yhteys mihin tahansa toimistokytkimeen DTP-protokollalla ja sitten päivittää kaikki tiedot VTP-protokollalla luodun rungon avulla. . Tällä tavalla hakkeri voi poistaa kaikki tärkeät VLAN:it hyödyntäen sitä, että hänen laitteensa versionumero on suurempi kuin muiden kytkimien versionumero. Tässä tapauksessa yrityksen kytkimet korvaavat automaattisesti kaikki VLAN-tietokannan tiedot haitallisesta kytkimestä kopioiduilla tiedoilla, ja koko verkkosi romahtaa.
Tämä johtuu siitä, että tietokoneet on kytketty verkkokaapelilla tiettyyn kytkinporttiin, johon VLAN 10 tai VLAN20 on määritetty. Jos nämä verkot poistetaan kytkimen LAN-tietokannasta, se poistaa automaattisesti ei-olemassa olevaan verkkoon kuuluvan portin. Tyypillisesti yrityksen verkko voi romahtaa juuri siksi, että kytkimet yksinkertaisesti poistavat käytöstä VLAN-verkkoihin liittyvät portit, jotka poistettiin seuraavan päivityksen aikana.
Tällaisen ongelman estämiseksi sinun on asetettava VTP-toimialueen nimi ja salasana tai käytettävä Cisco Port Security -ominaisuutta, jonka avulla voit hallita kytkinporttien MAC-osoitteita ja asettaa erilaisia rajoituksia niiden käyttöön. Jos esimerkiksi joku muu yrittää muuttaa MAC-osoitetta, portti katkeaa välittömästi. Tarkastelemme tätä Ciscon kytkimien ominaisuutta lähemmin pian, mutta toistaiseksi sinun tarvitsee vain tietää, että Port Securityn avulla voit varmistaa, että VTP on suojattu hyökkääjiltä.
Tehdään yhteenveto, mitä VTP-asetus on. Tämä on protokollaversion valinta - 1 tai 2, VTP-tilan määrittäminen - palvelin, asiakas tai läpinäkyvä. Kuten jo sanoin, jälkimmäinen tila ei päivitä itse laitteen VLAN-tietokantaa, vaan yksinkertaisesti lähettää kaikki muutokset viereisiin laitteisiin. Seuraavat komennot toimialueen nimen ja salasanan määrittämiseksi: vtp domain <domain name> ja vtp password <password>.
Puhutaan nyt VTP-leikkausasetuksista. Jos katsot verkon topologiaa, voit nähdä, että kaikilla kolmella kytkimellä on sama VLAN-tietokanta, mikä tarkoittaa, että VLAN10 ja VLAN20 ovat osa kaikkia kolmea kytkimiä. Teknisesti kytkin SW3 ei tarvitse VLAN2:tä, koska sillä ei ole tähän verkkoon kuuluvia portteja. Tästä huolimatta kaikki Laptop20-tietokoneelta VLAN0-verkon kautta lähetetty liikenne kuitenkin saavuttaa SW20-kytkimen ja siitä lähtee rungon kautta SW1-portteihin. Päätehtäväsi verkkoasiantuntijana on huolehtia siitä, että verkon yli siirretään mahdollisimman vähän turhaa dataa. Sinun on varmistettava, että tarvittavat tiedot välitetään, mutta miten voit rajoittaa laitteen tarpeettoman tiedon siirtoa?
Sinun on varmistettava, että VLAN20:n laitteille suunnattu liikenne ei kulje SW2-portteihin rungon kautta, kun sitä ei tarvita. Toisin sanoen Laptop0-liikenteen tulisi saavuttaa SW1 ja sitten VLAN20:n tietokoneisiin, mutta se ei saisi ylittää SW1:n oikeanpuoleista runkoporttia. Tämä voidaan saavuttaa VTP-leikkauksella.
Tätä varten meidän on siirryttävä VTP-palvelimen SW0 asetuksiin, koska kuten jo sanoin, VTP-asetukset voidaan tehdä vain palvelimen kautta, siirry yleisiin konfigurointiasetuksiin ja kirjoita vtp pruning -komento. Koska Packet Tracer on vain simulaatioohjelma, sen komentorivikehotteissa ei ole tällaista komentoa. Kuitenkin, kun kirjoitan vtp pruning ja painan Enter, järjestelmä ilmoittaa minulle, että vtp pruning -tila ei ole käytettävissä.
Näytä vtp status -komentoa käyttämällä näemme, että VTP-leikkaustila on poissa käytöstä, joten meidän on saatava se käyttöön siirtämällä se käyttöön-asentoon. Tämän jälkeen aktivoimme VTP-leikkaustilan kaikissa kolmessa verkkomme kytkimessä verkkoalueen sisällä.
Haluan muistuttaa, mitä VTP-leikkaus on. Kun otamme tämän tilan käyttöön, kytkinpalvelin SW0 ilmoittaa kytkimelle SW2, että sen portteihin on määritetty vain VLAN10. Tämän jälkeen kytkin SW2 kertoo kytkimelle SW1, ettei se tarvitse muuta liikennettä kuin VLAN10:lle tarkoitettua liikennettä. Nyt VTP Pruningin ansiosta kytkimellä SW1 on tieto, että sen ei tarvitse lähettää VLAN20-liikennettä SW1-SW2-runkoa pitkin.
Tämä on erittäin kätevää sinulle verkonvalvojana. Sinun ei tarvitse syöttää komentoja manuaalisesti, koska kytkin on tarpeeksi älykäs lähettämään juuri sen, mitä tietty verkkolaite tarvitsee. Jos huomenna laitat toisen markkinointiosaston seuraavaan rakennukseen ja liität sen VLAN20-verkon kytkimeen SW2, kytkin ilmoittaa välittömästi kytkimelle SW1, että sillä on nyt VLAN10 ja VLAN20, ja pyytää sitä välittämään liikennettä molempiin verkkoihin. Näitä tietoja päivitetään jatkuvasti kaikissa laitteissa, mikä tehostaa viestintää.
On myös toinen tapa määrittää liikenteen siirto - tämä on käyttää komentoa, joka sallii tiedonsiirron vain määritetylle VLAN:lle. Siirryn kytkimen SW1 asetuksiin, jossa olen kiinnostunut portista Fa0/4, ja syötän komennot int fa0/4 ja switchport trunk sallittu vlan. Koska tiedän jo, että SW2:ssa on vain VLAN10, voin käskeä SW1:tä sallimaan vain kyseisen verkon liikenteen runkoportissaan käyttämällä sallittua vlan-komentoa. Joten ohjelmoin runkoportin Fa0/4 kuljettamaan liikennettä vain VLAN10:lle. Tämä tarkoittaa, että tämä portti ei salli lisäliikennettä VLAN1:stä, VLAN20:stä tai mistään muusta verkosta kuin määritetystä verkosta.
Saatat miettiä, kumpi on parempi käyttää: VTP-karsiminen vai sallittu vlan-komento. Vastaus on subjektiivinen, koska joissain tapauksissa on järkevää käyttää ensimmäistä menetelmää, ja toisissa on järkevää käyttää toista. Verkon ylläpitäjänä sinun on valittava paras ratkaisu. Joissakin tapauksissa päätös ohjelmoida portti sallimaan liikenne tietystä VLAN:ista voi olla hyvä, mutta toisissa se voi olla huono. Verkkomme tapauksessa sallitun vlan-komennon käyttö voi olla perusteltua, jos emme aio muuttaa verkon topologiaa. Mutta jos joku myöhemmin haluaa lisätä SW 2:een ryhmän VLAN20:tä käyttäviä laitteita, on suositeltavaa käyttää VTP-leikkaustilaa.
Joten VTP-leikkauksen määrittäminen edellyttää seuraavien komentojen käyttöä. Vtp-leikkauskomento mahdollistaa tämän tilan automaattisen käytön. Jos haluat määrittää runkoportin VTP:n karsimisen sallimaan tietyn VLANin liikenteen kulkemisen manuaalisesti, valitse komennolla runkoportin numeroliitäntä <#>, ota käyttöön runkotilan vaihtoportin tilan runkojohto ja salli liikenteen välittäminen. tiettyyn verkkoon switchport trunk sallittu vlan -komennolla .
Viimeisessä komennossa voit käyttää 5 parametria. Kaikki tarkoittaa, että liikenteen siirto kaikille VLAN-verkoille on sallittu, ei mitään – liikenteen siirto kaikille VLAN-verkoille on kielletty. Jos käytät lisäysparametria, voit lisätä liikenteen läpäisevyyttä toiseen verkkoon. Sallimme esimerkiksi VLAN10-liikenteen, ja add-komennolla voimme myös päästää VLAN20-liikenteen läpi. Poista-komennolla voit poistaa yhden verkoista, esimerkiksi jos käytät Remove 20 -parametria, vain VLAN10-liikenne jää jäljelle.
Katsotaanpa nyt alkuperäistä VLAN:ia. Olemme jo sanoneet, että alkuperäinen VLAN on virtuaalinen verkko merkitsemättömän liikenteen ohjaamiseksi tietyn runkoportin kautta.
Siirryn tiettyihin porttiasetuksiin SW(config-if)#-komentorivin otsikon osoittamalla tavalla ja käytän komentoa switchport trunk native vlan <verkkonumero>, esimerkiksi VLAN10. Nyt kaikki VLAN10:n liikenne kulkee merkitsemättömän rungon kautta.
Palataan loogiseen verkkotopologiaan Packet Tracer -ikkunassa. Jos käytän Switchport trunk native vlan 20 -komentoa kytkimen portissa Fa0/4, kaikki VLAN20:n liikenne kulkee Fa0/4 – SW2-rungon läpi ilman merkintää. Kun kytkin SW2 vastaanottaa tämän liikenteen, se ajattelee: "Tämä on merkitsemätöntä liikennettä, mikä tarkoittaa, että minun pitäisi reitittää se alkuperäiseen VLANiin." Tämän kytkimen natiivi VLAN on VLAN1-verkko. Verkot 1 ja 20 eivät ole kytketty millään tavalla, mutta koska käytössä on natiivi VLAN-tila, meillä on mahdollisuus reitittää VLAN20-liikenne täysin eri verkkoon. Tämä liikenne on kuitenkin kapseloimatonta, ja itse verkkojen on silti vastattava toisiaan.
Katsotaanpa tätä esimerkin avulla. Siirryn SW1:n asetuksiin ja käytän SW10-komentoa native vlan 10. Nyt kaikki VLAN2-liikenne tulee ulos runkoportista ilman merkintää. Kun se saavuttaa runkoportin SW1, kytkin ymmärtää, että sen on välitettävä se VLAN2:lle. Tämän päätöksen seurauksena liikenne ei pääse tavoittamaan tietokoneita PC3, 4 ja 10, koska ne on kytketty VLANXNUMX:lle tarkoitettuihin kytkinportteihin.
Teknisesti tämä saa järjestelmän raportoimaan, että VLAN0:een kuuluvan portin Fa4/10 alkuperäinen VLAN ei vastaa porttia Fa0/1, joka on osa VLAN1:tä. Tämä tarkoittaa, että määritetyt portit eivät voi toimia runkotilassa alkuperäisen VLAN-epäsopivuuden vuoksi.
Kiitos, että pysyt kanssamme. Pidätkö artikkeleistamme? Haluatko nähdä mielenkiintoisempaa sisältöä? Tue meitä tekemällä tilauksen tai suosittelemalla ystäville, 30 %:n alennus Habr-käyttäjille ainutlaatuisesta lähtötason palvelimien analogista, jonka me keksimme sinulle: (saatavana RAID1:n ja RAID10:n kanssa, jopa 24 ydintä ja jopa 40 Gt DDR4-muistia).
Dell R730xd 2 kertaa halvempi? Vain täällä Alankomaissa! Dell R420 - 2x E5-2430 2.2 Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - alkaen 99 dollaria! Lukea
Lähde: will.com