Oggi continueremo a esplorare le VLAN e discuteremo del protocollo VTP, così come dei concetti di VTP Pruning e VLAN Nativa. In uno dei video precedenti abbiamo già parlato di VTP, e la prima cosa che dovrebbe venire in mente quando si sente parlare di VTP è che non è un protocollo di trunking, nonostante sia chiamato 'protocollo di trunking VLAN'.
Come sapete, ci sono due protocolli di trunking popolari: il protocollo proprietario Cisco ISL, che non è più utilizzato, e il protocollo 802.1Q, utilizzato nei dispositivi di rete di diversi produttori per incapsulare il traffico di trunking. Questo protocollo è anche impiegato negli switch Cisco. Abbiamo già detto che il VTP è un protocollo di sincronizzazione delle VLAN, ovvero è progettato per sincronizzare il database delle VLAN in tutti gli switch della rete.
Abbiamo menzionato diverse modalità di VTP: server, client e trasparente. Quando un dispositivo utilizza la modalità server, è possibile apportare modifiche, aggiungere o rimuovere VLAN. La modalità client non consente di modificare le impostazioni dello switch; è possibile configurare il database VLAN solo tramite il server VTP, e verrà replicato su tutti i client VTP. Lo switch in modalità trasparente non apporta modifiche al proprio database VLAN, ma semplicemente trasmette e passa le modifiche al successivo dispositivo in modalità client. Questa modalità è simile a disattivare il protocollo VTP su un dispositivo specifico, trasformandolo in un trasportatore di informazioni sui cambiamenti delle VLAN.
Torniamo al programma Packet Tracer e alla topologia di rete trattata nella lezione precedente. Abbiamo configurato la rete VLAN10 per il reparto vendite e la rete VLAN20 per il reparto marketing, collegandole tramite tre switch.
La connessione tra gli switch SW0 e SW1 avviene sulla rete VLAN20, mentre tra SW0 e SW2 avviene sulla rete VLAN10 grazie all'aggiunta di VLAN10 al database VLAN dello switch SW1.
Per esaminare il funzionamento del protocollo VTP, utilizziamo uno degli switch come server VTP, prendiamo SW0. Se ricordi, per impostazione predefinita tutti gli switch operano in modalità server VTP. Accediamo al terminale della riga di comando dello switch e digitiamo il comando show vtp status. Puoi vedere la versione attuale del protocollo VTP – 2 e il numero di revisione della configurazione 4. Se ricordi, ogni volta che vengono apportate modifiche al database VTP, il numero di revisione aumenta di uno.
Il numero massimo di reti VLAN supportate è 255. Questo numero dipende dal modello specifico dello switch Cisco, poiché diversi switch possono supportare un numero diverso di reti virtuali locali. Il numero di reti VLAN esistenti è 7, tra un momento esamineremo quali sono queste reti. La modalità di gestione VTP è server, il nome del dominio non è impostato, la modalità VTP Pruning è disattivata, ci torneremo più tardi. Anche le modalità VTP V2 e VTP Traps Generation sono disattivate. Per l'esame 200-125 CCNA non è necessario conoscere le ultime due modalità, quindi non preoccuparti di esse.
Diamo un'occhiata al database VLAN, per cui utilizziamo il comando show vlan. Come abbiamo già visto nel video precedente, abbiamo 4 reti non supportate: 1002, 1003, 1004 e 1005.
Qui sono elencate anche 2 reti che abbiamo creato, VLAN10 e 20, e la rete predefinita VLAN1. Ora passiamo a un altro switch e immettiamo lo stesso comando per visualizzare lo stato VTP. Vedete che il numero di revisione di questo switch è 3, è in modalità VTP-server e tutte le altre informazioni sono simili a quelle del primo switch. Quando immetterò il comando show VLAN, vedrò che abbiamo effettuato 2 modifiche nelle impostazioni, una in meno rispetto allo switch SW0, ecco perché il numero di revisione di SW1 è 3. Abbiamo effettuato 3 modifiche nelle impostazioni predefinite del primo switch, quindi il suo numero di revisione è aumentato a 4.
Ora guardiamo lo stato di SW2. Qui il numero di revisione è 1, e questo è strano. Dovremmo avere una seconda revisione, perché è stata effettuata 1 modifica nelle impostazioni. Controlliamo il database VLAN.
Abbiamo effettuato una modifica, creando una rete VLAN10, e non capisco perché queste informazioni non si siano aggiornate. Forse è dovuto al fatto che non abbiamo una rete reale, ma un simulatore di rete software che può avere errori. Quando avrai l'opportunità di lavorare con dispositivi reali durante la pratica nel reparto dell'azienda Cisco, questo ti aiuterà molto più di quanto possa fare un simulatore come Packet Tracer. Un'altra risorsa utile in assenza di veri dispositivi è GNC3, o il simulatore grafico di rete Cisco. Questo emulatore utilizza il sistema operativo reale del dispositivo, come un router. Esiste una differenza tra simulatore ed emulatore: il primo è un programma che appare come un vero router, ma non lo è. L'emulatore crea solo softwaremente il dispositivo stesso, ma utilizza il vero software per farlo funzionare. Tuttavia, se non hai la possibilità di lavorare con il vero software Cisco IOS, la migliore opzione sarà Packet Tracer.
Quindi, dobbiamo configurare SW0 come server VTP. Per fare questo, accedo alla modalità di configurazione globale e inserisco il comando vtp version 2. Come ho detto, possiamo impostare la versione del protocollo che ci serve - 1 o 2, in questo caso abbiamo bisogno della seconda versione. Poi, con il comando vtp mode, definiamo la modalità VTP dello switch: server, client o transparent. In questo caso, abbiamo bisogno della modalità server e, dopo aver inserito il comando vtp mode server, il sistema restituisce un messaggio che indica che il dispositivo è già in modalità server. Successivamente, dobbiamo configurare il dominio VTP, per cui utilizziamo il comando vtp domain nwking.org. A cosa serve? Se nella rete esiste un altro dispositivo con un numero di revisione maggiore, tutti gli altri dispositivi con un numero inferiore iniziano a replicare il database VLAN da questo dispositivo. Tuttavia, questo avviene solo se i dispositivi hanno lo stesso nome di dominio. Ad esempio, se stai lavorando in nwking.org, indichi questo dominio, se in Cisco, il dominio cisco.com e così via. Il nome di dominio dei dispositivi della tua azienda consente di distinguerli dai dispositivi di un'altra azienda o da qualsiasi altro dispositivo esterno nella rete. Se assegni al dispositivo il nome di dominio dell'azienda, lo rendi parte della rete di quell'azienda.
Il prossimo passo consiste nell'impostare la password VTP. Questa è necessaria affinché un hacker, possedendo un dispositivo con un numero di revisione maggiore, non possa copiare le proprie impostazioni VTP sul tuo switch. Inserisco la password cisco utilizzando il comando vtp password cisco. Da questo momento in poi, la replicazione dei dati VTP tra gli switch sarà possibile solo se le password coincideranno. Se viene utilizzata una password errata, gli aggiornamenti del database VLAN non avverranno.
Proviamo a creare ancora alcune VLAN. A tal fine, utilizzo il comando config t, poi creo la VLAN 200 con il comando vlan 200, le assegno il nome TEST e salvo le modifiche con il comando exit. Successivamente, creo un'altra rete VLAN 500 e la chiamo TEST1. Se adesso inserisco il comando show vlan, posso vedere nella tabella delle VLAN virtuali dello switch queste due nuove reti, a cui non è associata alcuna porta.
Passiamo da SW1 e controlliamo il suo stato VTP. Notiamo che qui non è cambiato nulla, tranne il nome di dominio, il numero delle VLAN rimane 7. Non vediamo apparire le VLAN che abbiamo creato, perché la password VTP non corrisponde. Impostiamo la password VTP su questo switch, introducendo le comandi in sequenza: conf t, vtp pass e vtp password con la password sisco. Il sistema ha restituito un messaggio che afferma che il database VLAN del dispositivo ora utilizza la password sisco. Diamo un'altra occhiata allo stato VTP per verificare se l'informazione è stata replicata. Come potete vedere, il numero delle VLAN esistenti è aumentato automaticamente a 9.
Se guardiamo il database VLAN di questo switch, vediamo che le VLAN create da noi, VLAN200 e VLAN500, sono apparse automaticamente.
La stessa cosa deve essere fatta con l'ultimo switch SW2. Inseriamo il comando show vlan – vedete che non ci sono state modifiche. Non ci sono modifiche nemmeno nello stato VTP. Per fare in modo che questo switch aggiorni le informazioni, è necessario configurare anche la password, quindi inserire gli stessi comandi utilizzati per SW1. Dopo ciò, il numero delle VLAN nello stato di SW2 aumenterà a 9.
Ecco a cosa serve il protocollo VTP. È uno strumento eccellente che garantisce l'aggiornamento automatico delle informazioni in tutti i dispositivi di rete client dopo le modifiche apportate al dispositivo server. Non devi apportare manualmente le modifiche al database VLAN di tutti gli switch: la replicazione avviene automaticamente. Se hai 200 dispositivi di rete, le modifiche apportate verranno salvate simultaneamente su tutti e duecento i dispositivi. Per sicurezza, dobbiamo assicurarci che SW2 sia anche un client VTP, quindi accediamo alle impostazioni con il comando config t e digitiamo il comando vtp mode client.
In questo modo, nella nostra rete, solo il primo switch è in modalità VTP Server, mentre gli altri due operano in modalità VTP Client. Se adesso entro nelle impostazioni di SW2 e digito il comando vlan 1000, riceverò il messaggio: «La configurazione VTP VLAN non è consentita quando il dispositivo è in modalità client». Pertanto, non posso apportare modifiche al database VLAN se lo switch è in modalità client VTP. Se voglio apportare delle modifiche, devo passare allo switch server.
Accedo alle impostazioni del terminale SW0 e inserisco i comandi vlan 999, name IMRAN ed exit. Questa nuova rete è apparsa nel database VLAN di questo switch, e se ora passo al database dello switch cliente SW2, vedrò che qui è apparsa la stessa informazione, il che significa che si è verificata la replicazione.
Come ho detto, il VTP è una parte eccellente del software, ma se usato in modo errato, questo protocollo può compromettere l'intera rete. Pertanto, è necessario prestare molta attenzione con la rete dell'azienda, se il nome del dominio e la password VTP non sono impostati. In questo caso, tutto ciò di cui ha bisogno un hacker è collegare il suo switch alla presa di rete sulla parete, connettersi a qualsiasi switch di ufficio tramite il protocollo DTP e poi, utilizzando il trunk creato, aggiornare tutte le informazioni tramite il protocollo VTP. In questo modo, l'hacker può eliminare tutte le importanti reti VLAN, approfittando del fatto che il numero di revisione del suo dispositivo è superiore al numero di revisione degli altri switch. A quel punto, gli switch dell'azienda sostituiranno automaticamente tutte le informazioni del database VLAN con le informazioni replicate dallo switch malevolo, e tutta la vostra rete crollerà.
Questo è dovuto al fatto che i computer sono collegati a un particolare porto dello switch tramite un cavo di rete, a cui è associata la rete VLAN 10 o la rete VLAN 20. Se queste reti vengono rimosse dal database LAN dello switch, esso disabiliterà automaticamente la porta appartenente alla rete inesistente. Di solito, la rete di un'azienda può cadere proprio perché gli switch disconnettono le porte associate alle VLAN che sono state rimosse durante un aggiornamento.
Per prevenire il verificarsi di un problema simile, è necessario impostare il nome di dominio e la password VTP o utilizzare la funzione Cisco Port Security, che consente di gestire gli indirizzi MAC delle porte degli switch imponendo diverse restrizioni sul loro utilizzo. Ad esempio, se qualcuno non autorizzato tenta di modificare l'indirizzo MAC, la porta si disabiliterà immediatamente. Presto ci approcceremo a questa funzione degli switch Cisco; per ora, è sufficiente sapere che la Port Security garantisce che il VTP sia protetto da potenziali attacchi.
Riassumiamo cosa comporta la configurazione del VTP. Si tratta della selezione della versione del protocollo – 1 o 2, e dell'assegnazione della modalità VTP – server, client o transparent. Come già detto, quest'ultima modalità non aggiorna il database VLAN del dispositivo stesso, ma trasmette semplicemente tutte le modifiche ai dispositivi limitrofi. Di seguito sono riportati i comandi per assegnare un nome di dominio e una password: vtp domain e vtp password .
Ora parliamo delle impostazioni di VTP Pruning. Se guardiamo alla topologia della rete, possiamo vedere che tutti e tre gli switch hanno lo stesso database VLAN, ciò significa che le reti VLAN10 e VLAN20 fanno parte di tutti e tre gli switch. Tecnacamente, SW2 non ha bisogno della rete VLAN20, poiché non ha porte associate a questa rete. Tuttavia, indipendentemente da ciò, tutto il traffico indirizzato dal computer Laptop0 sulla rete VLAN20 arriva allo switch SW1 e poi tramite trunk si dirige verso le porte di SW2. Il tuo compito principale come specialista di rete è ridurre al minimo il trasferimento di dati non necessari sulla rete. Devi garantire la trasmissione dei dati necessari, ma come limitare il trasferimento di informazioni non richieste da questo dispositivo?
Devi assicurarti che il traffico destinato ai dispositivi sulla rete VLAN20 non venga inviato alle porte SW2 attraverso il trunk, quando non è necessario. In altre parole, il traffico di Laptop0 dovrebbe raggiungere SW1 e poi i computer sulla rete VLAN20, ma non deve uscire oltre la porta trunk destra di SW1. Questo può essere garantito tramite il VTP Pruning.
Per farlo, dobbiamo accedere alle impostazioni del server VTP SW0, perché come già detto, le impostazioni VTP possono essere effettuate solo tramite il server. Dobbiamo entrare nelle impostazioni globali di configurazione e digitare il comando vtp pruning. Poiché Packet Tracer è solo un simulatore, nella sua guida per la riga di comando non c'è un comando simile. Tuttavia, quando digito vtp pruning e premo 'Invio', il sistema mi avviserà che la modalità vtp pruning non è disponibile.
Utilizzando il comando show vtp status, vedremo che la modalità VTP Pruning è disabilitata, quindi dobbiamo renderla disponibile, attivandola. Facendo ciò, attiveremo la modalità VTP Pruning su tutti e tre gli switch della nostra rete all'interno del dominio di rete.
Permettimi di spiegarti cos'è il VTP Pruning. Quando attiviamo questa modalità, lo switch SW0 informa lo switch SW2 che sui suoi porti è configurata solo la rete VLAN10. Successivamente, lo switch SW2 comunica allo switch SW1 che non ha bisogno di alcun traffico tranne quello destinato alla rete VLAN10. Ora, grazie al VTP Pruning, lo switch SW1 è informato che non deve inviare traffico VLAN20 sul trunk SW1-SW2.
Per te, come amministratore di rete, questo è molto comodo. Non hai bisogno di inserire manualmente i comandi, poiché lo switch è sufficientemente intelligente da inviare esattamente ciò che è necessario per ciascun dispositivo di rete. Se domani allesti un altro reparto di marketing nell'edificio accanto e colleghi la sua rete VLAN20 allo switch SW2, questo switch informerà immediatamente lo switch SW1 che ora ha a disposizione le reti VLAN10 e VLAN20 e chiederà di ricevere traffico per entrambe le reti. Queste informazioni vengono costantemente aggiornate su tutti i dispositivi, rendendo la comunicazione più efficiente.
C'è un altro modo per specificare il passaggio del traffico: utilizzare un comando che consente la trasmissione dei dati solo per la VLAN specificata. Accedo alle impostazioni dello switch SW1, dove mi interessa la porta Fa0/4, e digito i comandi int fa0/4 e switchport trunk allowed vlan. Poiché so già che SW2 ha solo VLAN10, posso indicare allo switch SW1 di far passare solo il traffico per questa rete applicando il comando allowed vlan. In questo modo, ho programmato la porta trunk Fa0/4 per trasmettere traffico solo per VLAN10. Ciò significa che questa porta non permetterà il passaggio del traffico VLAN1, VLAN20 o di qualsiasi altra rete, eccetto quella specificata.
Potresti chiederti quale sia meglio utilizzare: VTP Pruning o il comando allowed vlan. La risposta è soggettiva, poiché in alcuni casi ha senso usare il primo metodo e in altri il secondo. In qualità di amministratore di rete, dovresti scegliere tu stesso la soluzione ottimale. In alcune situazioni, programmare una porta per consentire il traffico di una VLAN specifica può essere vantaggioso, mentre in altre può essere svantaggioso. Nel caso della nostra rete, l'uso del comando allowed vlan può essere giustificato se non intendiamo modificare la topologia della rete. Tuttavia, se in futuro qualcuno desidera aggiungere un gruppo di dispositivi a SW 2 che utilizzano VLAN20, sarebbe più opportuno applicare il VTP Pruning.
Quindi, la configurazione del VTP Pruning consiste nell'uso dei seguenti comandi. Il comando vtp pruning garantisce l'uso automatico di questa modalità. Se desideri configurare manualmente VTP Pruning per una porta trunk per consentire il traffico di una specifica VLAN, utilizzi il comando per selezionare il numero della porta trunk interface <#>, attivi la modalità trunk con switchport mode trunk e autorizzi la trasmissione del traffico per la rete specifica con il comando switchport trunk allowed vlan <all/none/add/remove/#>.
Nell'ultima command si possono utilizzare 5 parametri. All significa che è consentito il passaggio del traffico di tutte le reti VLAN, none – il passaggio del traffico per tutte le VLAN è vietato. Se si utilizza il parametro add, è possibile aggiungere l'autorizzazione del traffico per un'altra rete. Ad esempio, abbiamo autorizzato il traffico VLAN10 e con il comando add possiamo anche autorizzare il passaggio del traffico della rete VLAN20. Il comando remove consente di rimuovere una delle reti; ad esempio, se si utilizza il parametro remove 20, rimarrà solo il passaggio del traffico VLAN10.
Ora consideriamo la native VLAN. Abbiamo già detto che la native VLAN rappresenta una rete virtuale per il passaggio del traffico non etichettato attraverso una specifica porta trunk.
Accedo alle impostazioni di una porta specifica, come indica l'intestazione della riga di comando SW(config-if)#, e utilizzo il comando switchport trunk native vlan , ad esempio, VLAN10. Ora tutto il traffico della rete VLAN10 passerà attraverso il trunk senza etichette.
Torniamo alla topologia logica della rete nella finestra di Packet Tracer. Se utilizzo il comando switchport trunk native vlan 20 per la porta dello switch Fa0/4, tutto il traffico della rete VLAN20 passerà attraverso il trunk Fa0/4 – SW2 non etichettato. Quando lo switch SW2 riceverà questo traffico, penserà: «questo è traffico non etichettato, quindi devo dirigerlo verso la rete native VLAN». Per questo switch, la native VLAN è la rete VLAN1. Le reti 1 e 20 non sono collegate tra loro, ma dato che viene utilizzato il modo native VLAN, abbiamo la possibilità di dirigere il traffico VLAN20 in una rete completamente diversa. Tuttavia, questo traffico sarà non incapsulato e le reti devono comunque corrispondere.
Analizziamo questo con un esempio. Accederò alle impostazioni di SW1 e utilizzerò il comando switchport trunk native vlan 10. Ora, qualsiasi traffico VLAN10 uscirà dal trunk port non etichettato. Quando raggiungerà il trunk port SW2, lo switch capirà che deve dirigerlo verso VLAN1. Di conseguenza, il traffico non sarà in grado di raggiungere i computer PC2, 3 e 4, poiché sono connessi a porte access dello switch, destinate a VLAN10.
Tecnicamente, questo genererà un messaggio di sistema che indica che la VLAN nativa della porta Fa0/4, che fa parte della VLAN10, non corrisponde a quella della porta Fa0/1, che è parte della VLAN1. Ciò implica che le porte indicate non saranno in grado di operare in modalità trunk a causa della discordanza nella VLAN nativa.
Grazie per rimanere con noi. Ti piacciono i nostri articoli? Vuoi vedere più contenuti interessanti? Supportaci effettuando un ordine o raccomandando ai tuoi amici. Sconto del 30% per gli utenti di Habr su un'alternativa unica ai server entry-level, progettata da noi per te: (disponibili opzioni con RAID1 e RAID10, fino a 24 core e fino a 40GB DDR4).
Dell R730xd a metà prezzo? Solo da noi nei Paesi Bassi! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — a partire da $99! Scopri di più su
Fonte: habr.com
