Hari ini kita akan melanjutkan pembahasan kita tentang VLAN dan membahas tentang protokol VTP, serta konsep VTP Pruning dan Native VLAN. Kita telah membicarakan tentang VTP di salah satu video sebelumnya, dan hal pertama yang terlintas di benak Anda ketika mendengar tentang VTP adalah bahwa ini bukanlah protokol trunking, meskipun disebut sebagai βprotokol trunking VLAN.β
Seperti yang Anda ketahui, ada dua protokol trunking yang populer - protokol Cisco ISL, yang tidak digunakan saat ini, dan protokol 802.q, yang digunakan pada perangkat jaringan dari berbagai produsen untuk merangkum lalu lintas trunking. Protokol ini juga digunakan di switch Cisco. Kami telah mengatakan bahwa VTP adalah protokol sinkronisasi VLAN, yang dirancang untuk menyinkronkan database VLAN di semua switch jaringan.
Kami menyebutkan mode VTP yang berbeda - server, klien, transparan. Jika perangkat menggunakan mode server, ini memungkinkan Anda melakukan perubahan, menambah atau menghapus VLAN. Mode klien tidak memungkinkan Anda untuk membuat perubahan pada pengaturan switch, Anda dapat mengkonfigurasi database VLAN hanya melalui server VTP, dan itu akan direplikasi pada semua klien VTP. Switch dalam mode transparan tidak membuat perubahan pada database VLAN-nya sendiri, namun hanya melewati dirinya sendiri dan mentransfer perubahan ke perangkat berikutnya dalam mode klien. Mode ini mirip dengan menonaktifkan VTP pada perangkat tertentu, mengubahnya menjadi pengangkut informasi perubahan VLAN.
Mari kita kembali ke program Packet Tracer dan topologi jaringan yang dibahas pada pelajaran sebelumnya. Kami mengonfigurasi jaringan VLAN10 untuk departemen penjualan dan jaringan VLAN20 untuk departemen pemasaran, menggabungkannya dengan tiga sakelar.
Antara switch SW0 dan SW1 komunikasi dilakukan melalui jaringan VLAN20, dan antara SW0 dan SW2 terdapat komunikasi melalui jaringan VLAN10 karena kami menambahkan VLAN10 ke database VLAN switch SW1.
Untuk mempertimbangkan pengoperasian protokol VTP, mari kita gunakan salah satu switch sebagai server VTP, biarlah SW0. Jika Anda ingat, secara default semua switch beroperasi dalam mode server VTP. Mari pergi ke terminal baris perintah sakelar dan masukkan perintah tampilkan status vtp. Anda melihat versi protokol VTP saat ini adalah 2 dan nomor revisi konfigurasinya adalah 4. Jika Anda ingat, setiap kali ada perubahan pada database VTP, nomor revisinya bertambah satu.
Jumlah maksimum VLAN yang didukung adalah 255. Jumlah ini bergantung pada merek switch Cisco tertentu, karena switch yang berbeda dapat mendukung jumlah jaringan virtual lokal yang berbeda. Jumlah VLAN yang ada adalah 7, sebentar lagi kita akan melihat apa saja jaringan tersebut. Mode kontrol VTP adalah server, nama domain tidak disetel, mode Pemangkasan VTP dinonaktifkan, kita akan membahasnya lagi nanti. Mode VTP V2 dan VTP Traps Generation juga dinonaktifkan. Anda tidak perlu mengetahui dua mode terakhir untuk lulus ujian CCNA 200-125, jadi jangan khawatir.
Mari kita lihat database VLAN menggunakan perintah show vlan. Seperti yang telah kita lihat di video sebelumnya, kami memiliki 4 jaringan yang tidak didukung: 1002, 1003, 1004 dan 1005.
Ini juga mencantumkan 2 jaringan yang kami buat, VLAN10 dan 20, dan jaringan default, VLAN1. Sekarang mari beralih ke switch lain dan masukkan perintah yang sama untuk melihat status VTP. Anda melihat bahwa nomor revisi saklar ini adalah 3, ini dalam mode server VTP dan semua informasi lainnya mirip dengan saklar pertama. Ketika saya memasukkan perintah show VLAN, saya dapat melihat bahwa kami telah membuat 2 perubahan pada pengaturan, satu kurang dari saklar SW0, itulah sebabnya nomor revisi SW1 adalah 3. Kami telah membuat 3 perubahan pada pengaturan default yang pertama beralih, oleh karena itu jumlah revisinya bertambah menjadi 4.
Sekarang mari kita lihat status SW2. Angka revisi di sini adalah 1, itu aneh. Harus ada revisi kedua karena ada 1 perubahan setting. Mari kita lihat database VLAN.
Kami membuat satu perubahan, membuat VLAN10, dan saya tidak tahu mengapa informasi itu tidak diperbarui. Mungkin ini terjadi karena kita tidak memiliki jaringan nyata, tetapi simulator jaringan perangkat lunak, yang mungkin mengalami kesalahan. Ketika Anda memiliki kesempatan untuk bekerja dengan perangkat nyata saat magang di Cisco, itu akan membantu Anda lebih dari sekadar simulator Packet Tracer. Hal lain yang berguna jika tidak ada perangkat nyata adalah GNC3, atau simulator jaringan Cisco grafis. Ini adalah emulator yang menggunakan sistem operasi sebenarnya dari suatu perangkat, seperti router. Ada perbedaan antara simulator dan emulator - yang pertama adalah program yang terlihat seperti router sungguhan, tetapi sebenarnya bukan router. Perangkat lunak emulator hanya membuat perangkat itu sendiri, tetapi menggunakan perangkat lunak nyata untuk mengoperasikannya. Namun jika Anda tidak memiliki kemampuan untuk menjalankan perangkat lunak Cisco IOS yang sebenarnya, Packet Tracer adalah pilihan terbaik Anda.
Jadi, kita perlu mengkonfigurasi SW0 sebagai server VTP, untuk ini saya masuk ke mode konfigurasi pengaturan global dan memasukkan perintah vtp versi 2. Seperti yang saya katakan, kita dapat menginstal versi protokol yang kita perlukan - 1 atau 2, dalam hal ini kalau-kalau kita memerlukan versi kedua. Selanjutnya, dengan menggunakan perintah mode vtp, kami mengatur mode VTP dari switch - server, klien atau transparan. Dalam hal ini, kita memerlukan mode server, dan setelah memasukkan perintah server mode vtp, sistem menampilkan pesan bahwa perangkat sudah dalam mode server. Selanjutnya kita harus mengkonfigurasi domain VTP, yang mana kita menggunakan perintah vtp domain nwking.org. Mengapa hal ini perlu? Jika ada perangkat lain di jaringan dengan nomor revisi lebih tinggi, semua perangkat lain dengan nomor revisi lebih rendah mulai mereplikasi database VLAN dari perangkat tersebut. Namun, ini hanya terjadi jika perangkat memiliki nama domain yang sama. Misalnya, jika Anda bekerja di nwking.org, Anda menunjukkan domain ini, jika di Cisco, maka domain cisco.com, dan seterusnya. Nama domain perangkat perusahaan Anda memungkinkan Anda membedakannya dari perangkat dari perusahaan lain atau dari perangkat eksternal lainnya di jaringan. Saat Anda menetapkan nama domain perusahaan ke suatu perangkat, Anda menjadikannya bagian dari jaringan perusahaan tersebut.
Hal selanjutnya yang harus dilakukan adalah mengatur password VTP. Hal ini diperlukan agar seorang hacker, yang memiliki perangkat dengan nomor revisi tinggi, tidak dapat menyalin pengaturan VTP-nya ke switch Anda. Saya memasukkan password cisco menggunakan perintah vtp password cisco. Setelah ini, replikasi data VTP antar switch hanya dapat dilakukan jika kata sandinya cocok. Jika kata sandi yang digunakan salah, database VLAN tidak akan diperbarui.
Mari kita coba membuat beberapa VLAN lagi. Untuk melakukan ini, saya menggunakan perintah config t, gunakan perintah vlan 200 untuk membuat nomor jaringan 200, beri nama TEST dan simpan perubahan dengan perintah exit. Lalu saya membuat vlan 500 lain dan menyebutnya TEST1. Jika sekarang Anda memasukkan perintah show vlan, maka dalam tabel jaringan virtual switch Anda dapat melihat dua jaringan baru ini, yang tidak memiliki satu port pun yang ditetapkan.
Mari beralih ke SW1 dan melihat status VTP-nya. Kita lihat disini tidak ada yang berubah kecuali nama domain, jumlah VLAN tetap sama dengan 7. Kita tidak melihat jaringan yang kita buat muncul karena password VTP tidak cocok. Mari kita atur kata sandi VTP pada sakelar ini dengan memasukkan perintah conf t, vtp pass, dan kata sandi vtp Cisco secara berurutan. Sistem melaporkan bahwa database VLAN perangkat sekarang menggunakan kata sandi Cisco. Mari kita lihat lagi status VTP untuk memeriksa apakah informasinya telah direplikasi. Seperti yang Anda lihat, jumlah VLAN yang ada otomatis bertambah menjadi 9.
Jika Anda melihat database VLAN switch ini, Anda dapat melihat bahwa jaringan VLAN200 dan VLAN500 yang kami buat secara otomatis muncul di dalamnya.
Hal yang sama perlu dilakukan dengan saklar terakhir SW2. Mari masukkan perintah show vlan - Anda dapat melihat bahwa tidak ada perubahan yang terjadi di dalamnya. Begitu pula dengan status VTP-nya tidak ada perubahan. Agar saklar ini dapat memperbarui informasi, Anda juga perlu mengatur kata sandi, yaitu memasukkan perintah yang sama seperti untuk SW1. Setelah ini, jumlah VLAN dalam status SW2 akan bertambah menjadi 9.
Itulah gunanya VTP. Ini adalah hal hebat yang secara otomatis memperbarui informasi di semua perangkat jaringan klien setelah perubahan dilakukan pada perangkat server. Anda tidak perlu membuat perubahan secara manual pada database VLAN semua switch - replikasi terjadi secara otomatis. Jika Anda memiliki 200 perangkat jaringan, perubahan yang Anda buat akan disimpan di dua ratus perangkat secara bersamaan. Untuk berjaga-jaga, kita perlu memastikan bahwa SW2 juga merupakan klien VTP, jadi mari masuk ke pengaturan dengan perintah config t dan masukkan perintah klien mode vtp.
Jadi, di jaringan kami hanya saklar pertama yang berada dalam mode VTP Server, dua lainnya beroperasi dalam mode VTP Client. Jika sekarang saya masuk ke pengaturan SW2 dan memasukkan perintah vlan 1000, saya akan menerima pesan: "konfigurasi VTP VLAN tidak diperbolehkan ketika perangkat dalam mode klien." Jadi, saya tidak dapat membuat perubahan apa pun pada database VLAN jika switch berada dalam mode klien VTP. Jika saya ingin melakukan perubahan apa pun, saya harus pergi ke server switch.
Saya pergi ke pengaturan terminal SW0 dan memasukkan perintah vlan 999, beri nama IMRAN dan keluar. Jaringan baru ini telah muncul di database VLAN switch ini, dan jika sekarang saya masuk ke database switch klien SW2, saya akan melihat bahwa informasi yang sama telah muncul di sini, yaitu replikasi telah terjadi.
Seperti yang saya katakan, VTP adalah perangkat lunak yang hebat, tetapi jika digunakan secara tidak benar, VTP dapat mengganggu keseluruhan jaringan. Oleh karena itu, Anda harus sangat berhati-hati saat menangani jaringan perusahaan jika nama domain dan kata sandi VTP tidak disetel. Dalam hal ini, yang perlu dilakukan peretas hanyalah menyambungkan kabel sakelarnya ke soket jaringan di dinding, menyambungkan ke sakelar kantor mana pun menggunakan protokol DTP dan kemudian, menggunakan trunk yang dibuat, memperbarui semua informasi menggunakan protokol VTP . Dengan cara ini, seorang hacker dapat menghapus semua VLAN penting, memanfaatkan fakta bahwa jumlah revisi perangkatnya lebih tinggi daripada jumlah revisi switch lainnya. Dalam hal ini, switch perusahaan akan secara otomatis mengganti semua informasi database VLAN dengan informasi yang direplikasi dari switch berbahaya, dan seluruh jaringan Anda akan runtuh.
Hal ini disebabkan oleh fakta bahwa komputer terhubung menggunakan kabel jaringan ke port switch tertentu yang ditetapkan VLAN 10 atau VLAN20. Jika jaringan ini dihapus dari database LAN switch, maka secara otomatis akan menonaktifkan port milik jaringan yang tidak ada. Biasanya, jaringan perusahaan dapat runtuh justru karena switch hanya menonaktifkan port yang terkait dengan VLAN yang dihapus pada pembaruan berikutnya.
Untuk mencegah terjadinya masalah seperti itu, Anda perlu mengatur nama domain dan kata sandi VTP atau menggunakan fitur Cisco Port Security, yang memungkinkan Anda mengelola alamat MAC port switch, memperkenalkan berbagai batasan dalam penggunaannya. Misalnya, jika orang lain mencoba mengubah alamat MAC, port akan langsung down. Kita akan segera melihat lebih dekat fitur switch Cisco ini, namun untuk saat ini yang perlu Anda ketahui adalah bahwa Keamanan Port memungkinkan Anda memastikan bahwa VTP terlindungi dari penyerang.
Mari kita rangkum apa itu pengaturan VTP. Ini adalah pilihan versi protokol - 1 atau 2, penugasan mode VTP - server, klien atau transparan. Seperti yang saya katakan, mode terakhir tidak memperbarui database VLAN perangkat itu sendiri, tetapi hanya meneruskan semua perubahan ke perangkat tetangga. Berikut ini adalah perintah untuk menetapkan nama domain dan password: vtp domain <nama domain> dan vtp password <password>.
Sekarang mari kita bicara tentang pengaturan VTP Pruning. Jika dilihat dari topologi jaringannya, terlihat bahwa ketiga switch tersebut memiliki database VLAN yang sama, artinya VLAN10 dan VLAN20 merupakan bagian dari ketiga switch tersebut. Secara teknis, switch SW3 tidak memerlukan VLAN2 karena tidak memiliki port milik jaringan ini. Namun, terlepas dari ini, semua lalu lintas yang dikirim dari komputer Laptop20 melalui jaringan VLAN0 mencapai sakelar SW20 dan dari sana melewati trunk ke port SW1. Tugas utama Anda sebagai spesialis jaringan adalah memastikan bahwa sesedikit mungkin data yang tidak perlu dikirimkan melalui jaringan. Anda harus memastikan bahwa data yang diperlukan telah dikirimkan, tetapi bagaimana Anda dapat membatasi transmisi informasi yang tidak diperlukan oleh perangkat?
Anda harus memastikan bahwa lalu lintas yang ditujukan untuk perangkat di VLAN20 tidak mengalir ke port SW2 melalui trunk jika tidak diperlukan. Artinya, lalu lintas Laptop0 harus mencapai SW1 dan kemudian ke komputer di VLAN20, namun tidak boleh melampaui port utama kanan SW1. Hal ini dapat dicapai dengan menggunakan VTP Pruning.
Untuk melakukan ini kita perlu masuk ke pengaturan server VTP SW0, karena seperti yang sudah saya katakan, pengaturan VTP hanya dapat dilakukan melalui server, masuk ke pengaturan konfigurasi global dan ketik perintah pemangkasan vtp. Karena Packet Tracer hanyalah sebuah program simulasi, tidak ada perintah seperti itu di prompt baris perintahnya. Namun, ketika saya mengetik vtp pemangkasan dan menekan Enter, sistem memberi tahu saya bahwa mode pemangkasan vtp tidak tersedia.
Dengan menggunakan perintah show vtp status, kita akan melihat bahwa mode VTP Pruning dalam keadaan nonaktif, jadi kita perlu membuatnya tersedia dengan memindahkannya ke posisi aktif. Setelah melakukan ini, kami mengaktifkan mode Pemangkasan VTP di ketiga switch jaringan kami dalam domain jaringan.
Izinkan saya mengingatkan Anda apa itu Pemangkasan VTP. Saat kami mengaktifkan mode ini, server sakelar SW0 memberi tahu sakelar SW2 bahwa hanya VLAN10 yang dikonfigurasi pada portnya. Setelah ini, saklar SW2 memberitahu saklar SW1 bahwa ia tidak memerlukan lalu lintas apa pun selain lalu lintas yang ditujukan untuk VLAN10. Sekarang, berkat VTP Pruning, saklar SW1 mempunyai informasi bahwa ia tidak perlu mengirimkan lalu lintas VLAN20 sepanjang trunk SW1-SW2.
Ini sangat nyaman bagi Anda sebagai administrator jaringan. Anda tidak perlu memasukkan perintah secara manual karena switch cukup pintar untuk mengirimkan apa yang dibutuhkan perangkat jaringan tertentu. Jika besok Anda menempatkan departemen pemasaran lain di gedung berikutnya dan menghubungkan jaringan VLAN20 ke switch SW2, switch tersebut akan segera memberitahu switch SW1 bahwa switch tersebut sekarang memiliki VLAN10 dan VLAN20 dan memintanya untuk meneruskan lalu lintas untuk kedua jaringan. Informasi ini terus diperbarui di semua perangkat, menjadikan komunikasi lebih efisien.
Ada cara lain untuk menentukan transmisi lalu lintas - ini adalah dengan menggunakan perintah yang memungkinkan transmisi data hanya untuk VLAN yang ditentukan. Saya pergi ke pengaturan saklar SW1, di mana saya tertarik pada port Fa0/4, dan memasukkan perintah int fa0/4 dan switchport trunk diperbolehkan vlan. Karena saya sudah tahu bahwa SW2 hanya memiliki VLAN10, saya dapat memberitahu SW1 untuk hanya mengizinkan lalu lintas untuk jaringan tersebut pada port trunk dengan menggunakan perintah vlan yang diizinkan. Jadi saya memprogram port trunk Fa0/4 untuk membawa lalu lintas hanya untuk VLAN10. Artinya port ini tidak akan mengizinkan lalu lintas lebih lanjut dari VLAN1, VLAN20, atau jaringan lain selain yang ditentukan.
Anda mungkin bertanya-tanya mana yang lebih baik untuk digunakan: VTP Pruning atau perintah vlan yang diizinkan. Jawabannya subjektif karena dalam beberapa kasus masuk akal untuk menggunakan metode pertama, dan dalam kasus lain masuk akal untuk menggunakan metode kedua. Sebagai administrator jaringan, terserah Anda untuk memilih solusi terbaik. Dalam beberapa kasus, keputusan untuk memprogram port untuk mengizinkan lalu lintas dari VLAN tertentu bisa jadi baik, namun di kasus lain bisa jadi buruk. Dalam kasus jaringan kita, penggunaan perintah vlan yang diizinkan mungkin dibenarkan jika kita tidak akan mengubah topologi jaringan. Namun jika nanti ada yang ingin menambahkan sekelompok perangkat menggunakan VLAN2 ke SW 20, akan lebih disarankan menggunakan mode VTP Pruning.
Jadi, menyiapkan VTP Pruning melibatkan penggunaan perintah berikut. Perintah pemangkasan vtp menyediakan penggunaan otomatis mode ini. Jika Anda ingin mengkonfigurasi VTP Pruning dari port trunk untuk memungkinkan lalu lintas VLAN tertentu lewat secara manual, maka gunakan perintah untuk memilih antarmuka nomor port trunk <#>, aktifkan trunk mode switchport mode trunk dan izinkan transmisi lalu lintas ke jaringan tertentu menggunakan perintah vlan yang diizinkan trunk switchport .
Pada perintah terakhir Anda dapat menggunakan 5 parameter. Semua berarti transmisi lalu lintas untuk semua VLAN diperbolehkan, tidak ada β transmisi lalu lintas untuk semua VLAN dilarang. Jika Anda menggunakan parameter tambah, Anda dapat menambahkan throughput lalu lintas untuk jaringan lain. Misalnya, kami mengizinkan lalu lintas VLAN10, dan dengan perintah add kami juga dapat mengizinkan lalu lintas VLAN20 melewatinya. Perintah hapus memungkinkan Anda untuk menghapus salah satu jaringan, misalnya jika Anda menggunakan parameter hapus 20, hanya lalu lintas VLAN10 yang tersisa.
Sekarang mari kita lihat VLAN asli. Kami telah mengatakan bahwa VLAN asli adalah jaringan virtual untuk meneruskan lalu lintas yang tidak diberi tag melalui port trunk tertentu.
Saya masuk ke pengaturan port tertentu seperti yang ditunjukkan oleh header baris perintah SW(config-if)# dan menggunakan perintah switchport trunk vlan asli <nomor jaringan>, misalnya VLAN10. Sekarang semua lalu lintas di VLAN10 akan melewati trunk yang tidak diberi tag.
Mari kita kembali ke topologi jaringan logis di jendela Packet Tracer. Jika saya menggunakan perintah switchport trunk native vlan 20 pada switch port Fa0/4, maka semua trafik pada VLAN20 akan mengalir melalui trunk Fa0/4 β SW2 tanpa tanda. Ketika saklar SW2 menerima lalu lintas ini, ia akan berpikir: "ini adalah lalu lintas yang tidak diberi tag, yang berarti saya harus merutekannya ke VLAN asli." Untuk switch ini, VLAN asli adalah jaringan VLAN1. Jaringan 1 dan 20 tidak terhubung dengan cara apa pun, tetapi karena mode VLAN asli digunakan, kami memiliki kemampuan untuk merutekan lalu lintas VLAN20 ke jaringan yang sama sekali berbeda. Namun, lalu lintas ini tidak akan dienkapsulasi, dan jaringannya sendiri harus tetap cocok.
Mari kita lihat ini dengan sebuah contoh. Saya akan masuk ke pengaturan SW1 dan menggunakan perintah switchport trunk native vlan 10. Sekarang semua lalu lintas VLAN10 akan keluar dari port trunk tanpa tanda. Ketika mencapai port trunk SW2, switch akan memahami bahwa ia harus meneruskannya ke VLAN1. Akibat keputusan ini, lalu lintas tidak akan dapat menjangkau komputer PC2, 3 dan 4, karena keduanya terhubung ke port akses sakelar yang ditujukan untuk VLAN10.
Secara teknis, hal ini akan menyebabkan sistem melaporkan bahwa VLAN asli dari port Fa0/4, yang merupakan bagian dari VLAN10, tidak cocok dengan port Fa0/1, yang merupakan bagian dari VLAN1. Ini berarti port yang ditentukan tidak akan dapat beroperasi dalam mode trunk karena ketidakcocokan VLAN asli.
Terima kasih untuk tetap bersama kami. Apakah Anda menyukai artikel kami? Ingin melihat konten yang lebih menarik? Dukung kami dengan melakukan pemesanan atau merekomendasikan kepada teman, Diskon 30% untuk pengguna Habr pada analog unik dari server level awal, yang kami ciptakan untuk Anda: (tersedia dengan RAID1 dan RAID10, hingga 24 core dan hingga 40GB DDR4).
Dell R730xd 2 kali lebih murah? Hanya disini di Belanda! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - mulai $99! Membaca tentang
Sumber: www.habr.com