Ma folytatjuk a VLAN-ok áttekintését, és foglalkozunk a VTP protokollal, valamint a VTP Pruning és a Native VLAN fogalmaival. Az egyik korábbi videónkban már beszéltünk a VTP-ről, és az első dolog, ami eszébe jut, amikor a VTP-ről hall, az az, hogy nem egy trunking protokoll, annak ellenére, hogy "VLAN trunking protokollnak" nevezik.
Ahogy tudja, két népszerű trunking protokoll létezik – a már nem használt Cisco ISL tulajdonosi protokoll és a 802.q protokoll, amely különböző gyártók hálózati eszközeiben használatos a trunking forgalom encapsulálására. Ezt a protokollt Cisco switchekben is alkalmazzák. Márt említettük, hogy a VTP egy VLAN szinkronizációs protokoll, ami azt jelenti, hogy a VLAN adatbázis szinkronizálására szolgál a hálózat összes switchében.
Említettük a különböző VTP módokat – server, client, transparent. Ha egy eszköz server módot használ, lehetőséget ad a VLAN-ok módosítására, hozzáadására vagy eltávolítására. A client mód nem engedélyezi a switch beállításainak módosítását, a VLAN adatbázis csak a VTP serveren keresztül állítható be, és az minden VTP clientre replikálódik. A transparent módú switch nem változtat a saját VLAN adatbázisán, csupán átengedi és továbbítja a VLAN változásait a következő, client módban lévő eszköznek. Ez a mód hasonló a VTP protokoll letiltásához egy adott eszközön, így az csak információkat szállít a VLAN változásairól.
Térjünk vissza a Packet Tracer programhoz és az előző órán tárgyalt hálózati topológiához. Beállítottuk a VLAN10 hálózatot az értékesítési osztály számára, és a VLAN20 hálózatot a marketing osztály számára, három switch összekapcsolásával.
A SW0 és SW1 switchek között a VLAN20 hálózaton keresztül, míg a SW0 és SW2 között a VLAN10 hálózaton keresztül létesül kapcsolat, mivel hozzáadtuk a VLAN10-et az SW1 switch VLAN adatbázisához.
A VTP protokoll működésének megértéséhez használjuk az egyik switchet VTP serverként, legyen ez a SW0. Ha emlékszik, alapértelmezés szerint minden switch VTP server módban működik. Lépjünk be a switch parancssori termináljába, és írjuk be a show vtp status parancsot. Láthatja a VTP protokoll aktuális verzióját – 2-t, és a konfigurációs revision számát, amely 4. Ha emlékszik, minden alkalommal, amikor a VTP adatbázisába változtatásokat hajtanak végre, a revision szám eggyel nő.
A VLAN-ok maximális támogatott száma 255. Ez a szám a telepített Cisco switch típusától függ, mivel különböző switch-ek eltérő számú virtuális helyi hálózatot támogathatnak. Jelenleg 7 VLAN létezik, egy perc múlva megnézzük, hogy melyek ezek. A VTP üzemmód – szerver, a domain név nincs megadva, a VTP Pruning üzemmód ki van kapcsolva, erről később beszélünk. A VTP V2 és a VTP Traps Generation üzemmódok is ki vannak kapcsolva. A 200-125 CCNA vizsgához nincs szükség tudni a két utolsó üzemmódról, így ezzel nem kell foglalkoznia.
Nézzük meg a VLAN adatbázist, ehhez használjuk a show vlan parancsot. Ahogy az előző videóban már láttuk, 4 nem támogatott hálózatunk van: 1002, 1003, 1004 és 1005.
Itt felsorolva van 2 általunk létrehozott VLAN hálózat, a VLAN10 és a VLAN20, valamint az alapértelmezett hálózat, a VLAN1. Most térjünk át egy másik switch-re, és adjuk ki ugyanazt a parancsot a VTP állapotának megtekintéséhez. Látja, hogy ennek a switch-nek a revíziószáma 3, szerver üzemmódban van, és minden egyéb információ az első switch-éhez hasonló. Amikor kiadom a show VLAN parancsot, meglátom, hogy 2 módosítást hajtottunk végre a beállításokban, ami eggyel kevesebb, mint a SW0 switch-é, ezért a SW1 revíziós száma 3. 3 módosítást hajtottunk az első switch alapértelmezett beállításaiban, így a revízió száma 4-re nőtt.
Most nézzük meg az SW2 állapotát. Itt a revízió száma 1, és ez furcsa. Második revízióra kellene lennie, mert 1 változtatást hajtottunk végre a beállításokon. Nézzük meg a VLAN adatbázist.
Változást hajtottunk végre a VLAN10 hálózat létrehozásával, és nem értem, miért nem frissült ez az információ. Lehet, hogy ez azért történt, mert nincsenek igazi eszközeink, hanem egy szoftveres hálózati szimulátorral dolgozunk, ami tartalmazhat hibákat. Amikor lehetőségetek nyílik valódi eszközökkel dolgozni a Cisco vállalatnál végzett gyakorlati munka során, ez sokkal hasznosabb lesz, mint a Packet Tracer szimulátor. Egy másik hasznos eszköz a valódi eszközök hiányában a GNS3, vagyis a Cisco hálózati grafikus szimulátor. Ez egy emulátor, amely a készülék valódi operációs rendszerét használja, például egy routerét. Van különbség a szimulátor és az emulátor között - az előbbi olyan program, amely úgy néz ki, mint egy igazi router, de valójában nem az. Az emulátor szoftveresen csak magát az eszközt hozza létre, de annak működéséhez valódi szoftvert használ. De ha nincs lehetőségetek az igazi Cisco IOS szoftverrel dolgozni, a legjobb választás a Packet Tracer lesz.
Tehát be kell állítanunk a SW0-t VTP szerverként, ehhez belépek a globális konfigurációs üzemmódba, és beírom a vtp version 2 parancsot. Ahogy mondtam, beállíthatjuk a szükséges protokollverziót - 1 vagy 2, ebben az esetben a második verzióra van szükségünk. A vtp mode paranccsal megadjuk a VTP üzemmódját a switchnek – lehet szerver, kliens vagy transparent. Ebben az esetben szerver üzemmódra van szükségünk, és a vtp mode server parancs beírása után a rendszer üzenetet ad, hogy az eszköz már szerver módban van. Ezt követően be kell állítanunk a VTP domaint, amelyhez a vtp domain nwking.org parancsot használjuk. Mire van szükség? Ha a hálózatban van egy másik eszköz, amelynek magasabb a revíziószáma, az összes többi eszköz, amelynek alacsonyabb a revíziószáma, kezd el másolni a VLAN adatbázist erről az eszközről. Ez azonban csak abban az esetben történik, ha az eszközök azonos domain névvel rendelkeznek. Például, ha az nwking.org hálózatában dolgozik, akkor ezt a domaint adja meg, ha a Cisco-nál, akkor a cisco.com domaint, és így tovább. A vállalat eszközeinek domain neve lehetővé teszi számukra, hogy megkülönböztessék őket más cégek eszközeitől vagy bármilyen más külső hálózati eszköztől. Ha egy eszköznek a cég domain nevét adja meg, akkor annak a cég hálózatának a részévé válik.
A következő lépés a VTP jelszó beállítása. Erre azért van szükség, hogy egy hacker, aki egy magasabb revíziószámú eszközzel rendelkezik, ne tudja lemásolni a VTP beállításait a switchemre. A jelszót a vtp password cisco paranccsal adom meg. Ezt követően a VTP adatok replikációja a switchek között csak akkor lehetséges, ha a jelszavak meg egyeznek. Ha helytelen jelszót használnak, a VLAN adatbázis frissítése nem fog megtörténni.
Próbáljunk létrehozni még néhány VLAN-t. Ehhez a config t parancsot használom, a vlan 200 paranccsal létrehozom a 200-as számú hálózatot, nevet adok neki: TEST, és a változtatásokat az exit paranccsal mentem. Ezután létrehozok egy újabb hálózatot, a vlan 500-at, és TEST1-re nevezem. Ha most megadom a show vlan parancsot, akkor a switch virtuális hálózati táblázatában láthatjuk ezeket az új hálózatokat, amelyekhez nem kapcsolódik egyetlen port sem.
Térjünk át az SW1-re, és nézzük meg a VTP állapotát. Látjuk, hogy itt semmi nem változott, kivéve a tartomány nevét; a VLAN hálózatok száma továbbra is 7. Nem látjuk az általunk létrehozott hálózatokat, mert a VTP jelszava nem egyezik. Állítsuk be a VTP jelszót ezen a switcheken, a következő parancsok egyesével történő megadásával: conf t, vtp pass, vtp password cisco. A rendszer üzenetet küldött, hogy az eszköz VLAN adatbázisa most a cisco jelszót használja. Nézzük meg újra a VTP állapotát, hogy ellenőrizzük, megtörtént-e az információ replikáció. Ahogy látható, a meglévő VLAN-ok száma automatikusan 9-re nőtt.
Ha megnézzük ennek a switchnek a VLAN adatbázisát, látható, hogy automatikusan megjelentek az általunk létrehozott VLAN200 és VLAN500 hálózatok.
Ugyanezt kell elvégezni az utolsó SW2 switchnel is. Adjuk meg a show vlan parancsot – látható, hogy benne nem történt semmilyen változás. Hasonlóképpen, a VTP állapotában sincsenek változások. Ahhoz, hogy ez a switch frissítse az információt, a jelszót is be kell állítani, vagyis be kell írni ugyanazokat a parancsokat, mint az SW1-nél. Ezt követően a VLAN-ok száma a SW2 állapotában 9-re nő.
Erre való a VTP protokoll. Ez egy nagyszerű eszköz, amely automatikusan frissíti az információkat az összes kliens hálózati eszközben, miután módosításokat hajtunk végre a szerver eszközön. Nincs szükség arra, hogy manuálisan frissítsük a VLAN adatbázisát minden kapcsolón – a replikáció automatikusan megtörténik. Ha 200 hálózati eszközünk van, a végrehajtott módosítások egy időben kerülnek mentésre az összes kétszáz eszközön. Minden esetre győződjünk meg róla, hogy az SW2 is VTP-kliens, ezért lépjünk be a beállításokhoz a config t parancs segítségével, és írjuk be a vtp mode client parancsot.
Így a hálózatunkban csak az első kapcsoló van VTP Server módban, a másik kettő VTP Client módban működik. Ha most belépek az SW2 beállításaiba és beírom a vlan 1000 parancsot, akkor azt az üzenetet kapom: «VTP VLAN konfiguráció nem engedélyezett, amikor az eszköz client módban van». Így nem tudok változást végrehajtani a VLAN adatbázisban, ha a kapcsoló VTP-kliens módban van. Ha változtatásokat szeretnék végrehajtani, át kell váltanom a szerver kapcsolóra.
Belépek az SW0 terminálbeállításaiba, és beírom a vlan 999, name IMRAN és exit parancsokat. Ez az új hálózat megjelent ennek a kapcsolónak a VLAN adatbázisában, és ha most átváltok a kliens kapcsoló SW2 adatbázisába, akkor látni fogom, hogy itt ugyanaz az információ jelent meg, tehát replikáció történt.
Ahogy mondtam, a VTP nagyszerű része a szoftvernek, de helytelen használat esetén ez a protokoll képes megzavarni az egész hálózat működését. Ezért nagyon óvatosnak kell lenned a céges hálózattal, ha a VTP domain név és jelszó nincsenek beállítva. Ebben az esetben a hackernek csak annyira van szüksége, hogy a kapcsolóját csatlakoztassa a falon található hálózati aljzathoz, és csatlakozzon bármelyik irodai kapcsolóhoz DTP protokollal, majd a létrehozott trunk segítségével frissítse az összes adatot VTP protokollon keresztül. Így a hacker törölni tudja az összes fontos VLAN hálózatot, kiaknázva azt, hogy az ő eszközének a revíziós száma magasabb, mint a többi kapcsoló száma. Ekkor a céges kapcsolók automatikusan felülírják a VLAN adatbázis összes információját a rosszindulatú kapcsolóról replikált információkkal, és az egész hálózatod összeomlik.
Ez azért van, mert a számítógépek hálózati kábel segítségével csatlakoznak a kapcsoló egy adott portjához, amelyhez a VLAN 10 vagy VLAN 20 hálózat van hozzárendelve. Ha ezeket a hálózatokat eltávolítják a kapcsoló LAN adatbázisból, akkor az automatikusan lekapcsolja a nem létező hálózathoz tartozó portot. Egy cég hálózata általában azért roppan össze, mert a kapcsolók egyszerűen lekapcsolják a VLAN-hoz kapcsolt portokat, amelyeket a legutóbbi frissítés során távolítottak el.
A probléma előfordulásának megelőzése érdekében be kell állítani a VTP domain nevet és jelszót, vagy használhatja a Cisco Port Security funkciót, amely lehetővé teszi a kapcsolók portjainak MAC-címének kezelését, különböző használati korlátozások bevezetésével. Például, ha valaki megpróbálja megváltoztatni a MAC-címet, a port azonnal lekapcsolódik. Hamarosan közelebbről is megismerkedünk ennek a Cisco kapcsolók funkciónak a részleteivel, de most annyit kell tudnia, hogy a Port Security biztosítja, hogy a VTP védve legyen a támadókkal szemben.
Összefoglalva, mit jelent a VTP beállítása. Ez a protokoll verziójának – 1 vagy 2 – kiválasztását, a VTP üzemmódjának – szerver, kliens vagy átlátható – kijelölését jelenti. Ahogy már említettem, az utolsó üzemmód nem frissíti az eszköz VLAN adatbázisát, hanem egyszerűen továbbítja az összes változást a szomszédos eszközöknek. Az alábbi parancsok a domain név és jelszó kijelölésére szolgálnak: vtp domain és vtp password .
Most beszéljünk a VTP Pruning beállításairól. Ha megnézzük a hálózat topológiáját, látható, hogy mindhárom kapcsolónak ugyanaz a VLAN adatbázisa van, ami azt jelenti, hogy a VLAN10 és VLAN20 hálózatok mindhárom kapcsoló részei. Technikailag a SW2 kapcsolónak nincs szüksége a VLAN20 hálózatra, mert nincsenek ehhez a hálózathoz tartozó portjai. Ennek ellenére az összes forgalom, amely a Laptop0 számítógépről a VLAN20 hálózaton keresztül halad, a SW1 kapcsolóra érkezik, és onnan trunk-on keresztül jut el a SW2 portjára. A feladatod, mint hálózati szakember, az, hogy a lehető legkevesebb felesleges adatot továbbíts a hálózaton. Biztosítania kell a szükséges adatok átvitelét, de hogyan korlátozhatja az átvitt információt, amelyre az adott eszköznek nincs szüksége?
Meg kell győződnie arról, hogy a VLAN20 hálózat eszközeinek szánt forgalom nem érkezik meg a SW2 portjaira trunkon, amikor erre nincs szükség. Ez azt jelenti, hogy a Laptop0 forgalmának el kell jutnia az SW1-hez, majd a VLAN20 hálózat számítógépeire, de nem szabad átlépnie a SW1 jobb trunk portját. Ezt a VTP Pruning segítségével valósíthatjuk meg.
Ehhez be kell lépnünk a SW0 VTP szerver beállításaiba, mert, ahogyan már mondtam, a VTP beállításokat csak a szerveren lehet végezni, belépünk a globális konfigurációs beállításokba és beírjuk a vtp pruning parancsot. Mivel a Packet Tracer csupán egy szimulátor, a parancssori javaslatai között ezen parancs nincs jelen. Azonban, amikor beírom a vtp pruning parancsot és megnyomom az 'Enter' gombot, a rendszer értesít, hogy a vtp pruning mód nem elérhető.
Ha a show vtp status parancsot használjuk, láthatjuk, hogy a VTP Pruning mód disabled állapotban van, ezért elérhetővé kell tennünk, átváltva enable állapotba. Ezzel aktiváljuk a VTP Pruning módot a hálózatunk három switch-én az adott hálózati domainen belül.
Engedje meg, hogy emlékeztessem, mi is az a VTP Pruning. Amikor ezt a módot aktiváljuk, a SW0 switch-szerver értesíti a SW2 switch-et, hogy csak a VLAN10 hálózat van beállítva a portjain. Ezt követően a SW2 switch közli a SW1 switch-sel, hogy neki csak a VLAN10 hálózatra szánt forgalomra van szüksége. Most a VTP Pruning segítségével a SW1 switch tudja, hogy nem kell a VLAN20 forgalmat küldenie a SW1-SW2 trunkon.
Ez Önnek, mint hálózati adminisztrátornak, nagyon kényelmes. Nem szükséges manuálisan beírnia a parancsokat, mivel a switch elég intelligens ahhoz, hogy csak azt küldje, amire a konkrét hálózati eszköznek szüksége van. Ha holnap az szomszédos épületben egy másik marketing osztályt helyez el, és a VLAN20 hálózatát a SW2 switch-hez csatlakoztatja, ez a switch azonnal értesíti a SW1 switch-et, hogy most már a VLAN10 és a VLAN20 hálózatok vannak jelen, és kéri, hogy mindkét hálózat forgalmát továbbítsa számára. Ez az információ folyamatosan frissül az összes eszközön, ami hatékonyabbá teszi a kommunikációt.
Van egy másik mód is a forgalom pontosabb átadására — ez a parancs, amely lehetővé teszi az adatok átadását csak a megadott VLAN számára. Belépek az SW1 switch beállításaiba, ahol a Fa0/4 port érdekel, és beírom a parancsokat: int fa0/4 és switchport trunk allowed vlan. Mivel már tudom, hogy az SW2-nek csak VLAN10 van, meg tudom mondani az SW1 switchnek, hogy a trunk portja csak ennek a hálózatnak a forgalmát engedje át, a allowed vlan parancs alkalmazásával. Így beállítottam a Fa0/4 trunk portot, hogy csak a VLAN10 forgalmát továbbítsa. Ez azt jelenti, hogy ez a port nem engedi tovább a VLAN1, VLAN20 vagy bármely más hálózat forgalmát, kivéve a megadottat.
Megkérdezheti, hogy mi a jobb választás — a VTP Pruning vagy a allowed vlan parancs. A válasz szubjektív, mert bizonyos esetekben érdemesebb az első módszert alkalmazni, míg máskor a másodikat. Hálózati adminisztrátorként Önnek kell eldöntenie, mi a legjobb megoldás. Bizonyos esetekben a port forgalmának meghatározott VLAN-ra való engedélyezése jó döntés lehet, míg máskor nem. A hálózatunk esetében a allowed vlan parancs használata indokolt lehet, ha nem tervezük a hálózati topológia megváltoztatását. De ha valaki később szeretne hozzáadni egy VLAN20-at használó eszközcsoportot az SW2-höz, célszerűbb a VTP Pruning módot alkalmazni.
Tehát a VTP Pruning beállítása a következő parancsok használatát jelenti. A vtp pruning parancs automatikusan bekapcsolja ezt a módot. Ha pedig manuálisan szeretné beállítani a trunk port VTP Pruning-ját, hogy csak egy adott VLAN forgalmát engedje át, akkor használja a következő parancsokat: interface , a trunk mód aktiválásához switchport mode trunk, és az adott hálózat forgalmának engedélyezéséhez a switchport trunk allowed vlan parancsot.
Az utolsó parancsban 5 paraméter használható. Az all azt jelenti, hogy az összes VLAN forgalma engedélyezett, a none pedig azt, hogy minden VLAN forgalma tiltotta. Ha az add paramétert használja, lehetősége van hozzáadni egy új hálózat forgalmának engedélyezését. Például, ha a VLAN10 forgalma engedélyezett, az add paranccsal a VLAN20 forgalmát is engedélyezheti. A remove parancs segítségével eltávolíthat egy hálózatot, például ha a remove 20 paramétert használja, csak a VLAN10 forgalma marad.
Most nézzük meg a native VLAN-t. Már beszéltünk róla, hogy a native VLAN egy virtuális hálózat, amely a címkézetlen forgalom átvitelére szolgál egy adott trunk porton.
Belépek egy adott port beállításaiba, amelyet a parancssori fejléc SW(config-if)# jelez, és használom a switchport trunk native vlan <hálózat száma> parancsot, például VLAN10. Mostantól a VLAN10 hálózat összes forgalma címkék nélkül fog áthaladni a trunkon.
Térjünk vissza a hálózat logikai topológiájához a Packet Tracer ablakában. Ha a switchport trunk native vlan 20 parancsot használom a Fa0/4 switch porton, akkor a VLAN20 hálózat összes forgalma címkék nélkül fog átmenni a Fa0/4 trunk porton – SW2-nél. Amikor a SW2 switch megkapja ezt a forgalmat, úgy gondolja: „ez címkétlen forgalom, tehát irányítanom kell a native VLAN hálózat felé”. Ennek a switchnek a native VLAN hálózata a VLAN1. Az 1-es és a 20-as hálózatok nincsenek összekötve, de mivel native VLAN üzemmódot használunk, lehetőségünk van a VLAN20 forgalmát egy teljesen másik hálózatba irányítani. Azonban ez a forgalom nem kapszulázott, és a hálózatoknak mindenképpen meg kell egyezniük.
Nézzük meg ezt egy példán keresztül. Belépek az SW1 beállításaiba, és használom a switchport trunk native vlan 10 parancsot. Mostantól bármilyen VLAN10 forgalom címkék nélkül fog távozni a trunk portra. Amikor ez eléri a SW2 trunk portját, a switch megérti, hogy azt a VLAN1 felé kell irányítania. Ennek következtében a forgalom nem fog eljutni a PC2, 3 és 4 számítógépekhez, mivel azok a VLAN10 számára fenntartott switch access portjaira vannak csatlakoztatva.
Technikailag ez a rendszer üzenetét idézi elő, amely arról tájékoztat, hogy a Fa0/4 port native VLAN-ja, amely a VLAN10 része, nem egyezik meg a Fa0/1 porttal, amely a VLAN1 része. Ez azt jelenti, hogy az adott portok nem tudnak trunk módban működni a native VLAN eltérése miatt.
Köszönjük, hogy velünk maradnak. Tetszenek Önöknek a cikkeink? Szeretnének több érdekes anyagot látni? Támogassanak minket rendelés leadásával vagy ismerősöknek való ajánlással. 30% kedvezmény a Habr felhasználóinak az egyedülálló entry-level szervereinkre, amelyet Önöknek találtunk ki: (elérhetők RAID1 és RAID10 opciók, akár 24 magig és 40GB DDR4-ig).
Dell R730xd két alkalommal olcsóbban? Csak nálunk Hollandiában! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — 99 dollártól! Olvasd el ezt
Forrás: habr.com
