Oggi continueremo a esaminare i VLAN e discuteremo del protocollo VTP, oltre ai concetti di VTP Pruning e Native VLAN. In uno dei video precedenti abbiamo già parlato del VTP, e la prima cosa che deve venire in mente quando si sente parlare di VTP è che non è un protocollo di trunking, nonostante venga chiamato "protocollo di trunking VLAN".
Come sapete, esistono due protocolli di trunking popolari – il protocollo Cisco ISL, che non è più in uso oggi, e il protocollo 802.1Q, che viene utilizzato nelle apparecchiature di rete di diversi produttori per incapsulare il traffico di trunking. Questo protocollo è anche utilizzato negli switch Cisco. Abbiamo già detto che il VTP è un protocollo di sincronizzazione VLAN, ovvero è destinato a sincronizzare il database VLAN in tutti gli switch della rete.
Abbiamo menzionato i vari modalità VTP – server, client, transparent. Se un dispositivo utilizza la modalità server, questo consente di apportare modifiche, aggiungere o rimuovere VLAN. La modalità client non consente di apportare modifiche alle impostazioni dello switch; è possibile configurare il database VLAN solo tramite un server VTP, e verrà replicato su tutti i client VTP. Uno switch in modalità transparent non apporta modifiche al proprio database VLAN, ma semplicemente trasmette e inoltra le modifiche al successivo dispositivo in modalità client. Questa modalità è simile a disattivare il protocollo VTP su un dispositivo specifico, trasformandolo in un trasportatore di informazioni sui cambiamenti VLAN.
Tornando al programma Packet Tracer e alla topologia di rete esaminata nella lezione precedente. Abbiamo configurato la rete VLAN10 per il reparto vendite e la rete VLAN20 per il reparto marketing, collegandole tramite tre switch.
Tra gli switch SW0 e SW1 c'è un collegamento sulla rete VLAN20, mentre tra SW0 e SW2 c'è un collegamento sulla rete VLAN10 grazie al fatto che abbiamo aggiunto VLAN10 nel database VLAN dello switch SW1.
Per esaminare il funzionamento del protocollo VTP, utilizziamo uno degli switch come server VTP, poniamo che sia lo SW0. Se ricordi, di default tutti gli switch operano in modalità server VTP. Accediamo al terminale della riga di comando dello switch e digitiamo il comando show vtp status. Vedete la versione attuale del protocollo VTP – 2 e il numero di revisione della configurazione è 4. Se ricordi, ogni volta che vengono apportate modifiche al database del VTP, il numero di revisione aumenta di uno.
Il numero massimo di reti VLAN supportate è 255. Questo numero dipende dal modello specifico dello switch Cisco, poiché diversi switch possono supportare varie quantità di reti locali virtuali. Attualmente, il numero di reti VLAN esistenti è 7; tra un minuto esamineremo di cosa si tratta. La modalità di gestione VTP è server, il nome del dominio non è stato impostato, la modalità di VTP Pruning è disabilitata, ci torneremo più tardi. Sono disabilitate anche le modalità VTP V2 e VTP Traps Generation. Non è necessario conoscere queste ultime due modalità per superare l’esame 200-125 CCNA, quindi potete non preoccuparvene.
Diamo un'occhiata al database VLAN usando il comando show vlan. Come abbiamo già visto nel video precedente, abbiamo 4 reti non supportate: 1002, 1003, 1004 e 1005.
Qui sono anche elencate 2 reti create da noi, VLAN10 e 20, e la rete predefinita VLAN1. Ora andiamo su un altro switch e inseriamo lo stesso comando per visualizzare lo stato VTP. Vedete che il numero di revisione di questo switch è 3, è in modalità VTP-server e tutte le altre informazioni sono simili a quelle del primo switch. Quando inserisco il comando show VLAN, vedo che abbiamo apportato 2 modifiche alle impostazioni, una in meno rispetto allo switch SW0, ed ecco perché il numero di revisione di SW1 è 3. Abbiamo effettuato 3 modifiche alle impostazioni predefinite del primo switch, quindi il suo numero di revisione è aumentato a 4.
Ora diamo un'occhiata allo stato di SW2. Il numero di revisione qui è 1, ed è strano. Dovremmo avere una seconda revisione, perché è stata effettuata 1 modifica alle impostazioni. Controlliamo il database VLAN.
Abbiamo apportato una modifica creando la rete VLAN10, e non capisco perché queste informazioni non si siano aggiornate. Potrebbe essere successo perché non abbiamo una rete reale, ma un simulatore di rete software, nel quale potrebbero verificarsi degli errori. Quando avrai l'opportunità di lavorare con dispositivi reali durante la pratica nel reparto della Cisco, questo ti aiuterà molto di più rispetto al simulatore Packet Tracer. Un'altra cosa utile in assenza di dispositivi reali sarà GNC3, o simulatore grafico di rete Cisco. Questo è un emulatore che utilizza il vero sistema operativo del dispositivo, ad esempio, un router. Tra simulatore ed emulatore c'è una differenza: il primo è un programma che sembra un vero router, ma non lo è. L'emulatore crea solo il dispositivo software, ma utilizza un vero software per il suo funzionamento. Ma se non hai la possibilità di lavorare con il vero software Cisco IOS, la scelta migliore sarà Packet Tracer.
Quindi, dobbiamo configurare SW0 come server VTP, per farlo entro in modalità di configurazione globale e inserisco il comando vtp version 2. Come ho detto, possiamo impostare la versione del protocollo che ci serve – 1 o 2, in questo caso abbiamo bisogno della seconda versione. Successivamente, con il comando vtp mode impostiamo la modalità VTP dello switch – server, client o transparent. In questo caso abbiamo bisogno della modalità server, e dopo aver inserito il comando vtp mode server, il sistema restituisce un messaggio che indica che il dispositivo è già in modalità server. Ora dobbiamo configurare il dominio VTP, per fare ciò utilizziamo il comando vtp domain nwking.org. A cosa serve? Se nella rete c'è un altro dispositivo con un numero di revisione più alto, tutti gli altri dispositivi con un numero inferiore iniziano a replicare il database VLAN da quel dispositivo. Tuttavia, ciò accade solo se i dispositivi hanno lo stesso nome di dominio. Ad esempio, se lavori in nwking.org, devi specificare questo dominio, se in Cisco, il dominio cisco.com e così via. Il nome di dominio dei dispositivi della tua azienda consente di distinguerli dai dispositivi di altre aziende o da qualsiasi altro dispositivo esterno alla rete. Se assegni un nome di dominio aziendale a un dispositivo, lo rendi parte della rete di quella azienda.
La cosa successiva da fare è impostare la password VTP. Serve a impedire che un hacker, in possesso di un dispositivo con un numero di revisione maggiore, possa copiare le proprie impostazioni VTP sul tuo switch. Immetto la password cisco utilizzando il comando vtp password cisco. Dopo questo, la replicazione dei dati VTP tra gli switch sarà possibile solo se le password corrispondono. Se viene utilizzata una password errata, non ci saranno aggiornamenti nel database VLAN.
Proviamo a creare alcune VLAN in più. Per farlo, utilizzo il comando config t, con il comando vlan 200 creo una rete con il numero 200, le assegno il nome TEST e salvo le modifiche con il comando exit. Successivamente creo un'altra rete vlan 500 e la chiamo TEST1. Se ora immetto il comando show vlan, nella tabella delle reti virtuali dello switch si possono vedere queste due nuove reti, a cui non è associata alcuna porta.
Passiamo a SW1 e controlliamo il suo stato VTP. Vediamo che qui non è cambiato nulla, tranne il nome del dominio, il numero delle reti VLAN è rimasto pari a 7. Non vediamo la comparsa delle reti che abbiamo creato, perché la password VTP non corrisponde. Impostiamo la password VTP su questo switch, immettendo in sequenza i comandi conf t, vtp pass e vtp password cisco. Il sistema ha restituito un messaggio che indica che il database VLAN del dispositivo ora utilizza la password cisco. Diamo un'altra occhiata allo stato VTP per verificare se la replicazione delle informazioni è avvenuta. Come potete vedere, il numero delle VLAN esistenti è aumentato automaticamente a 9.
Se guardiamo il database VLAN di questo switch, possiamo notare che sono automaticamente apparse le reti VLAN200 e VLAN500 che abbiamo creato.
La stessa cosa deve essere fatta con l'ultimo switch SW2. Immettiamo il comando show vlan: vedete che non ci sono state modifiche. Analogamente, non ci sono cambiamenti nello stato VTP. Affinché questo switch aggiorni le informazioni, è necessario impostare anche la password, ovvero immettere gli stessi comandi utilizzati per SW1. Dopo questo, il numero delle reti VLAN nello stato di SW2 aumenterà a 9.
Ecco a cosa serve il protocollo VTP. È una grande invenzione che garantisce l'aggiornamento automatico delle informazioni in tutti i dispositivi di rete client dopo aver apportato modifiche nel dispositivo server. Non è necessario inserire manualmente le modifiche nel database VLAN di tutti gli switch: la replicazione avviene automaticamente. Se hai 200 dispositivi di rete, le modifiche apportate verranno salvate simultaneamente su tutti e duecento i dispositivi. Per precauzione, dobbiamo assicurarci che SW2 sia anche un client VTP, quindi entreremo nelle impostazioni con il comando config t e inseriremo il comando vtp mode client.
In questo modo, nella nostra rete solo il primo switch è in modalità VTP Server, mentre gli altri due funzionano in modalità VTP Client. Se adesso accedo alle impostazioni di SW2 e inserisco il comando vlan 1000, riceverò il messaggio: «la configurazione VTP VLAN non è consentita quando il dispositivo è in modalità client». Pertanto, non posso apportare alcuna modifica al database VLAN se lo switch è in modalità VTP client. Se voglio apportare delle modifiche, devo passare allo switch server.
Accedo alle impostazioni del terminale SW0 e inserisco i comandi vlan 999, name IMRAN e exit. Questa nuova rete è apparsa nel database VLAN di questo switch e se ora accedo al database dello switch client SW2, vedrò che qui è comparsa la stessa informazione, ovvero è avvenuta la replicazione.
Come ho detto, VTP è una grande parte del software, ma se usato in modo errato, questo protocollo può compromettere l'intera rete. Pertanto, è necessario prestare molta attenzione alla rete dell'azienda se il nome del dominio e la password VTP non sono impostati. In questo caso, tutto ciò di cui ha bisogno un hacker è collegare il suo switch alla presa di rete a muro, connettersi a qualsiasi switch dell'ufficio tramite il protocollo DTP e poi, utilizzando il trunk creato, aggiornare tutte le informazioni tramite il protocollo VTP. Così, l'hacker potrà eliminare tutte le reti VLAN importanti, approfittando del fatto che il numero di revisione del suo dispositivo è superiore al numero di revisione degli altri switch. In tal modo, gli switch dell'azienda sostituiranno automaticamente tutte le informazioni del database VLAN con quelle replicate dallo switch malevolo, e l'intera rete crollerà.
Questo è legato al fatto che i computer sono collegati a un particolare porto dello switch tramite un cavo di rete, al quale è legata la rete VLAN 10 o la rete VLAN 20. Se queste reti vengono rimosse dal database LAN dello switch, esso disconnetterà automaticamente il porto appartenente alla rete non esistente. Di solito, la rete di un'azienda può collassare proprio perché gli switch disconnettono semplicemente i porti associati a VLAN che sono state rimosse durante un aggiornamento.
Per evitare che si verifichi un problema del genere, è necessario impostare un nome di dominio e una password VTP oppure utilizzare la funzione Cisco Port Security, che consente di gestire gli indirizzi MAC dei porti degli switch imponendo varie restrizioni sul loro utilizzo. Ad esempio, se qualcuno tenta di cambiare un indirizzo MAC, il porto si disconnetterà immediatamente. Presto esploreremo più in dettaglio questa funzione degli switch Cisco; per ora è sufficiente sapere che Port Security aiuta a garantire che VTP sia protetto da potenziali attacchi.
Riassumendo, la configurazione del VTP comprende la scelta della versione del protocollo – 1 o 2 – e la definizione della modalità VTP – server, client o transparent. Come già detto, quest'ultima modalità non aggiorna il database VLAN del dispositivo stesso, ma trasmette semplicemente tutte le modifiche ai dispositivi adiacenti. Di seguito sono riportati i comandi per impostare il nome di dominio e la password: vtp domain e vtp password .
Ora parliamo delle impostazioni del VTP Pruning. Se guardiamo la topologia della rete, possiamo vedere che tutti e tre gli switch hanno lo stesso database VLAN, il che significa che le reti VLAN10 e VLAN20 fanno parte di tutti e tre gli switch. Tecnologicamente, lo switch SW2 non ha bisogno della rete VLAN20, poiché non ha porte associate a questa rete. Tuttavia, a prescindere da ciò, tutto il traffico inviato dal computer Laptop0 attraverso la rete VLAN20 arriva allo switch SW1 e da lì tramite trunk si dirige verso le porte di SW2. Il tuo compito principale come specialista di rete è fare in modo che venga trasmesso il minor numero possibile di dati superflui. Devi garantire il passaggio dei dati necessari, ma come limitare la trasmissione delle informazioni che non sono utili a questo dispositivo?
Devi assicurarti che il traffico destinato ai dispositivi della rete VLAN20 non arrivi alle porte di SW2 tramite il trunk quando non necessario. In altre parole, il traffico Laptop0 deve arrivare a SW1 e poi ai computer della rete VLAN20, ma non deve uscire oltre il trunk destro di SW1. Questo può essere garantito tramite il VTP Pruning.
Per questo dobbiamo accedere alle impostazioni del server VTP SW0, perché, come già detto, le impostazioni VTP possono essere effettuate solo tramite il server, entrare nelle impostazioni globali di configurazione e digitare il comando vtp pruning. Poiché Packet Tracer è solo un programma di simulazione, nei suoi suggerimenti per la riga di comando non esiste tale comando. Tuttavia, quando digito vtp pruning e premo 'Invio', il sistema mi comunica che la modalità vtp pruning non è disponibile.
Utilizzando il comando show vtp status, vedremo che la modalità VTP Pruning è nello stato disabled, quindi dobbiamo renderla disponibile, impostandola su enable. Facendo ciò, attiviamo la modalità VTP Pruning su tutti e tre gli switch della nostra rete all'interno del dominio di rete.
Permettetemi di ricordarvi cos'è il VTP Pruning. Quando attiviamo questa modalità, lo switch server SW0 informa lo switch SW2 che sulle sue porte è configurata solo la rete VLAN10. Dopo di che, lo switch SW2 informa lo switch SW1 che non ha bisogno di alcun traffico oltre al traffico destinato alla rete VLAN10. Ora, grazie al VTP Pruning, lo switch SW1 è a conoscenza che non deve inviare traffico VLAN20 tramite il trunk SW1-SW2.
Per voi come amministratori di rete è molto comodo. Non è necessario inserire manualmente i comandi, poiché lo switch è sufficientemente intelligente da inviare esattamente ciò che è richiesto a ciascun dispositivo di rete. Se domani posizionate un'altra filiale del dipartimento marketing nell'edificio accanto e collegate la sua rete VLAN20 allo switch SW2, questo switch informerà immediatamente lo switch SW1 che ora ha a disposizione le reti VLAN10 e VLAN20, e richiederà di trasferirgli il traffico per entrambe le reti. Queste informazioni vengono costantemente aggiornate su tutti i dispositivi, rendendo la comunicazione più efficiente.
C'è un altro modo per specificare il passaggio del traffico: utilizzare un comando che consente la trasmissione dei dati solo per la VLAN specificata. Accedo alle impostazioni dello switch SW1, dove mi interessa la porta Fa0/4, e inserisco i comandi int fa0/4 e switchport trunk allowed vlan. Poiché so già che SW2 ha solo VLAN10, posso dire allo switch SW1 di far passare solo il traffico per questa rete sul suo trunk, utilizzando il comando allowed vlan. In questo modo, ho configurato la porta trunk Fa0/4 per trasmettere solo il traffico per VLAN10. Questo significa che questa porta non permetterà il passaggio del traffico VLAN1, VLAN20 o di qualsiasi altra rete, tranne quella specificata.
Potresti chiederti quale sia la soluzione migliore da utilizzare: VTP Pruning o il comando allowed vlan. La risposta è soggettiva, poiché in alcuni casi ha senso utilizzare il primo metodo, mentre in altri il secondo. Come amministratore di rete, spetta a te scegliere la soluzione ottimale. In alcuni casi, configurare la porta per far passare il traffico di una certa VLAN può essere vantaggioso, in altri può essere controproducente. Per la nostra rete, l'uso del comando allowed vlan può essere giustificato se non intendiamo cambiare la topologia della rete. Ma se in futuro qualcuno vorrà aggiungere a SW2 un gruppo di dispositivi che utilizzano VLAN20, sarà più ragionevole applicare la modalità VTP Pruning.
Quindi, la configurazione di VTP Pruning consiste nell'usare i seguenti comandi. Il comando vtp pruning garantisce l'uso automatico di questa modalità. Se desideri configurare manualmente il VTP Pruning per la porta trunk affinché consenta il passaggio del traffico di una VLAN specifica, utilizzi il comando per selezionare il numero della porta trunk interface , per attivare la modalità trunk switchport mode trunk e per abilitare il passaggio del traffico di una rete specifica mediante il comando switchport trunk allowed vlan .
Nell'ultimo comando possono essere utilizzati 5 parametri. All significa che è consentito il passaggio del traffico di tutte le reti VLAN, none significa che il passaggio del traffico per tutte le VLAN è vietato. Se si utilizza il parametro add, è possibile aggiungere il passaggio del traffico per un'altra rete. Ad esempio, abbiamo autorizzato il traffico VLAN10 e con il comando add è possibile autorizzare anche il passaggio del traffico della rete VLAN20. Il comando remove consente di rimuovere una delle reti, ad esempio, se si utilizza il parametro remove 20, rimarrà solo il passaggio del traffico VLAN10.
Ora consideriamo il native VLAN. Abbiamo già detto che il native VLAN rappresenta una rete virtuale per il passaggio del traffico non taggato attraverso una specifica porta trunk.
Accedo alle impostazioni di una porta specifica, come indicato dall'intestazione della riga di comando SW(config-if)#, e utilizzo il comando switchport trunk native vlan , ad esempio, VLAN10. Ora tutto il traffico della rete VLAN10 passerà attraverso il trunk senza tag.
Torniamo alla topologia logica della rete nella finestra di Packet Tracer. Se utilizzo il comando switchport trunk native vlan 20 per la porta dello switch Fa0/4, tutto il traffico della rete VLAN20 passerà attraverso il trunk Fa0/4 – SW2 non taggato. Quando lo switch SW2 riceverà questo traffico, penserà: «questo è traffico non taggato, quindi devo dirigerlo verso la rete native VLAN». Per questo switch, il native VLAN è la rete VLAN1. Le reti 1 e 20 non sono collegate, ma poiché è in uso la modalità native VLAN, abbiamo la possibilità di indirizzare il traffico VLAN20 verso una rete completamente diversa. Tuttavia, questo traffico sarà non incapsulato e le reti devono continuare a corrispondere.
Consideriamo questo con un esempio. Entrerò nelle impostazioni di SW1 e utilizzerò il comando switchport trunk native vlan 10. Ora qualsiasi traffico VLAN10 uscirà dalla porta trunk non taggato. Quando raggiungerà la porta trunk SW2, lo switch capirà che deve dirigerlo verso VLAN1. A causa di questa decisione, il traffico non potrà raggiungere i computer PC2, 3 e 4, poiché sono collegati alle porte di accesso dello switch destinate alla VLAN10.
Tecnicamente, ciò genererà un messaggio di sistema che informa che il native VLAN della porta Fa0/4, che fa parte della VLAN10, non corrisponde alla porta Fa0/1, che fa parte della VLAN1. Questo significa che le porte indicate non potranno operare in modalità trunk a causa della discrepanza del native VLAN.
Grazie per rimanere con noi. Ti piacciono i nostri articoli? Vuoi vedere più contenuti interessanti? Supportaci effettuando un ordine o raccomandandoci ai tuoi amici, Sconto del 30% per gli utenti di Habra su un'analoga unica di server entry-level, che abbiamo ideato per te: (sono disponibili opzioni con RAID1 e RAID10, fino a 24 core e fino a 40GB DDR4).
Dell R730xd a metà prezzo? Solo da noi nei Paesi Bassi! Dell R420 — 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — a partire da $99! Leggi di
Fonte: habr.com
