Cisco Training 200-125 CCNA v3.0. יום 14 VTP, גיזום ו-Native VLAN

היום נמשיך את הדיון שלנו ב-VLAN ונדון בפרוטוקול VTP, כמו גם במושגים של VTP Pruning ו-Native VLAN. כבר דיברנו על VTP באחד הסרטונים הקודמים, והדבר הראשון שצריך לעלות בראשכם כשאתם שומעים על VTP הוא שזה לא פרוטוקול trunking, למרות שנקרא "פרוטוקול VLAN trunking".

כידוע, ישנם שני פרוטוקולי trunking פופולריים - פרוטוקול Cisco ISL הקנייני, שאינו בשימוש כיום, ופרוטוקול 802.q, המשמש בהתקני רשת מיצרנים שונים כדי להקיף תעבורת trunking. פרוטוקול זה משמש גם במתגים של סיסקו. כבר אמרנו ש-VTP הוא פרוטוקול סנכרון VLAN, כלומר, הוא נועד לסנכרן את מסד הנתונים של ה-VLAN על פני כל מתגי הרשת.

הזכרנו מצבי VTP שונים - שרת, לקוח, שקוף. אם המכשיר משתמש במצב שרת, זה מאפשר לך לבצע שינויים, להוסיף או להסיר רשתות VLAN. מצב לקוח אינו מאפשר לך לבצע שינויים בהגדרות המתג, אתה יכול להגדיר את מסד הנתונים של VLAN רק דרך שרת ה-VTP, והוא ישוכפל בכל לקוחות ה-VTP. מתג במצב שקוף אינו מבצע שינויים במסד הנתונים של VLAN משלו, אלא פשוט עובר בעצמו ומעביר את השינויים למכשיר הבא במצב לקוח. מצב זה דומה לביטול VTP במכשיר ספציפי, הפיכתו לטרנספורטר של מידע על שינוי VLAN.

נחזור לתוכנית Packet Tracer ולטופולוגיית הרשת שנידונה בשיעור הקודם. הגדרנו רשת VLAN10 למחלקת המכירות ורשת VLAN20 למחלקת השיווק, בשילובם עם שלושה מתגים.

בין מתגים SW0 ו-SW1 תקשורת מתבצעת על גבי רשת VLAN20, ובין SW0 ל-SW2 יש תקשורת על גבי רשת VLAN10 עקב העובדה שהוספנו את VLAN10 למסד הנתונים VLAN של מתג SW1.
על מנת לשקול את פעולת פרוטוקול VTP, בואו נשתמש באחד המתגים כשרת VTP, שיהיה SW0. אם אתה זוכר, כברירת מחדל כל המתגים פועלים במצב שרת VTP. בוא נלך למסוף שורת הפקודה של המתג ונכנס לפקודת show vtp status. אתה רואה שגרסת פרוטוקול VTP הנוכחית היא 2 ומספר גרסת התצורה הוא 4. אם אתה זוכר, בכל פעם שנעשים שינויים במסד הנתונים של VTP, מספר הגרסאות גדל באחד.

המספר המרבי של רשתות VLAN נתמכות הוא 255. מספר זה תלוי במותג של מתג סיסקו הספציפי, שכן מתגים שונים יכולים לתמוך במספרים שונים של רשתות וירטואליות מקומיות. מספר ה-VLAN הקיימים הוא 7, בעוד דקה נבדוק מהן הרשתות הללו. מצב בקרת VTP הוא שרת, שם הדומיין לא מוגדר, מצב גיזום VTP מושבת, נחזור לזה בהמשך. מצבי VTP V2 ו-VTP Traps Generation מושבתים גם הם. אתה לא צריך לדעת על שני המצבים האחרונים כדי לעבור את בחינת 200-125 CCNA, אז אל תדאג לגביהם.

בואו נסתכל על מסד הנתונים של VLAN באמצעות הפקודה show vlan. כפי שכבר ראינו בסרטון הקודם, יש לנו 4 רשתות לא נתמכות: 1002, 1003, 1004 ו-1005.

זה גם מפרט את 2 הרשתות שיצרנו, VLAN10 ו-20, ואת רשת ברירת המחדל, VLAN1. כעת נעבור למתג אחר ונזין את אותה פקודה כדי להציג את סטטוס ה-VTP. אתה רואה שמספר הגרסה של המתג הזה הוא 3, הוא במצב שרת VTP וכל שאר המידע דומה למתג הראשון. כשאני נכנס לפקודה show VLAN, אני יכול לראות שביצענו 2 שינויים בהגדרות, אחד פחות מהמתג SW0, וזו הסיבה שמספר הגרסה של SW1 הוא 3. ביצענו 3 שינויים בהגדרות ברירת המחדל של הראשון מתג, לכן מספר הגרסה שלו עלה ל-4.

עכשיו בואו נסתכל על המצב של SW2. מספר הגרסה כאן הוא 1, וזה מוזר. אנחנו חייבים גרסה שנייה כי בוצע שינוי אחד בהגדרות. בואו נסתכל על מסד הנתונים של VLAN.

ביצענו שינוי אחד, יצרנו VLAN10, ואני לא יודע למה המידע הזה לא עודכן. אולי זה קרה בגלל שאין לנו רשת אמיתית, אלא סימולטור רשת תוכנה, שעשויות להיות בו שגיאות. כאשר תהיה לך הזדמנות לעבוד עם מכשירים אמיתיים תוך כדי התמחות ב-Cisco, זה יעזור לך יותר מאשר סימולטור ה-Packet Tracer. דבר שימושי נוסף בהיעדר מכשירים אמיתיים יהיה GNC3, או סימולטור רשת גרפי של סיסקו. זהו אמולטור שמשתמש במערכת ההפעלה האמיתית של מכשיר, כמו ראוטר. יש הבדל בין סימולטור לאמולטור - הראשון הוא תוכנה שנראית כמו נתב אמיתי, אבל היא לא כזו. תוכנת האמולטור יוצרת רק את המכשיר עצמו, אך משתמשת בתוכנה אמיתית להפעלתו. אבל אם אין לך את היכולת להפעיל תוכנת Cisco IOS בפועל, Packet Tracer היא האפשרות הטובה ביותר שלך.

אז, אנחנו צריכים להגדיר את SW0 כשרת VTP, בשביל זה אני נכנס למצב תצורת הגדרות גלובליות ומזין את הפקודה vtp version 2. כפי שאמרתי, אנחנו יכולים להתקין את גרסת הפרוטוקול שאנחנו צריכים - 1 או 2, בזה במקרה שאנחנו צריכים גרסה שנייה. לאחר מכן, באמצעות הפקודה vtp mode, אנו מגדירים את מצב ה-VTP של המתג - שרת, לקוח או שקוף. במקרה זה, אנו זקוקים למצב שרת, ולאחר הזנת פקודת השרת vtp mode, המערכת מציגה הודעה שהמכשיר כבר במצב שרת. לאחר מכן, עלינו להגדיר תחום VTP, עבורו אנו משתמשים בפקודה vtp domain nwking.org. למה זה נחוץ? אם יש מכשיר אחר ברשת עם מספר גרסאות גבוה יותר, כל שאר ההתקנים עם מספר גרסאות נמוך יותר מתחילים לשכפל את מסד הנתונים של VLAN מאותו התקן. עם זאת, זה קורה רק אם למכשירים יש אותו שם דומיין. לדוגמה, אם אתה עובד ב-nwking.org, אתה מציין את הדומיין הזה, אם ב-Cisco, אז את הדומיין cisco.com, וכן הלאה. שם הדומיין של מכשירי החברה שלך מאפשר לך להבחין ביניהם ממכשירים של חברה אחרת או מכל מכשיר חיצוני אחר ברשת. כאשר אתה מקצה שם דומיין של חברה למכשיר, אתה הופך אותו לחלק מהרשת של אותה חברה.

הדבר הבא לעשות הוא להגדיר את סיסמת ה-VTP. זה נחוץ כדי שהאקר, שיש לו מכשיר עם מספר גרסאות גבוה, לא יוכל להעתיק את הגדרות ה-VTP שלו למתג שלך. אני מזין את סיסמת הסיסקו באמצעות הפקודה vtp password cisco. לאחר מכן, שכפול של נתוני VTP בין מתגים יתאפשר רק אם הסיסמאות תואמות. אם נעשה שימוש בסיסמה שגויה, מסד הנתונים של VLAN לא יעודכן.

בואו ננסה ליצור עוד כמה רשתות VLAN. לשם כך, אני משתמש בפקודה config t, משתמש בפקודה vlan 200 כדי ליצור רשת מספר 200, נותן לה את השם TEST ושומר את השינויים עם פקודת היציאה. ואז אני יוצר עוד vlan 500 וקורא לזה TEST1. אם תזין כעת את הפקודה show vlan, אז בטבלת הרשתות הווירטואליות של המתג תוכל לראות את שתי הרשתות החדשות הללו, שאליהן לא מוקצה אף יציאה.

בואו נעבור ל-SW1 ונראה את סטטוס ה-VTP שלו. אנחנו רואים ששום דבר לא השתנה כאן מלבד שם הדומיין, מספר ה-VLAN נשאר שווה ל-7. אנחנו לא רואים את הרשתות שיצרנו מופיעות כי סיסמת ה-VTP לא תואמת. בואו נגדיר את סיסמת ה-VTP על המתג הזה על ידי הזנת הפקודות conf t, vtp pass וסיסמת vtp Cisco. המערכת דיווחה שמסד הנתונים של ה-VLAN של המכשיר משתמש כעת בסיסמת סיסקו. בואו נסתכל שוב על סטטוס ה-VTP כדי לבדוק אם המידע שוכפל. כפי שאתה יכול לראות, מספר ה-VLAN הקיימים גדל אוטומטית ל-9.

אם תסתכלו על מסד הנתונים של ה-VLAN של המתג הזה, תוכלו לראות שרשתות ה-VLAN200 וה-VLAN500 שיצרנו הופיעו בו באופן אוטומטי.

אותו הדבר צריך להיעשות עם המתג האחרון SW2. בוא ניכנס לפקודת show vlan - אתה יכול לראות שלא חלו בה שינויים. כמו כן, אין שינוי בסטטוס ה-VTP. כדי שהמתג הזה יעדכן את המידע, צריך גם להגדיר סיסמה, כלומר להזין את אותן פקודות כמו ל-SW1. לאחר מכן, מספר ה-VLAN בסטטוס SW2 יגדל ל-9.

בשביל זה יש VTP. זהו דבר נהדר שמעדכן אוטומטית מידע בכל התקני רשת הלקוח לאחר ביצוע שינויים בהתקן השרת. אין צורך לבצע שינויים באופן ידני במסד הנתונים של ה-VLAN של כל המתגים - השכפול מתרחש באופן אוטומטי. אם יש לך 200 מכשירי רשת, השינויים שתבצע יישמרו בכל מאתיים המכשירים בו זמנית. לכל מקרה, אנחנו צריכים לוודא ש-SW2 הוא גם לקוח VTP, אז בואו ניכנס להגדרות עם הפקודה config t ונזין את פקודת הלקוח vtp mode.

לפיכך, ברשת שלנו רק המתג הראשון נמצא במצב VTP Server, השניים האחרים פועלים במצב VTP Client. אם אני נכנס כעת להגדרות SW2 ואזין את הפקודה vlan 1000, אקבל את ההודעה: "הגדרת VTP VLAN אינה מותרת כאשר המכשיר נמצא במצב לקוח." לפיכך, איני יכול לבצע שינויים במסד הנתונים של VLAN אם המתג נמצא במצב לקוח VTP. אם אני רוצה לבצע שינויים כלשהם, אני צריך ללכת לשרת המתג.

אני הולך להגדרות מסוף SW0 ומזין את הפקודות vlan 999, שם IMRAN ויציאה. הרשת החדשה הזו הופיעה במסד הנתונים של ה-VLAN של המתג הזה, ואם אני אעבור עכשיו למסד הנתונים של מתג הלקוח SW2, אראה שאותו מידע הופיע כאן, כלומר, התרחשה שכפול.

כפי שאמרתי, VTP היא תוכנה מצוינת, אבל אם משתמשים בה בצורה לא נכונה, היא עלולה לשבש רשת שלמה. לכן, עליך להיות זהיר מאוד בעת הטיפול ברשת החברה אם שם הדומיין וסיסמת ה-VTP לא מוגדרים. במקרה זה, כל מה שההאקר צריך לעשות הוא לחבר את הכבל של המתג שלו לשקע רשת בקיר, להתחבר לכל מתג משרדי באמצעות פרוטוקול DTP ולאחר מכן, באמצעות הטראנק שנוצר, לעדכן את כל המידע באמצעות פרוטוקול VTP . בדרך זו, האקר יכול למחוק את כל רשתות ה-VLAN החשובות, תוך ניצול העובדה שמספר הגרסה של המכשיר שלו גבוה ממספר הגרסה של מתגים אחרים. במקרה זה, המתגים של החברה יחליפו אוטומטית את כל מידע מסד הנתונים של VLAN במידע המשוכפל מהמתג הזדוני, וכל הרשת שלך תקרוס.

זאת בשל העובדה שמחשבים מחוברים באמצעות כבל רשת ליציאת מתג ספציפית אליה מוקצה VLAN 10 או VLAN20. אם רשתות אלו יימחקו ממסד הנתונים של ה-LAN של המתג, זה ישבית אוטומטית את היציאה השייכת לרשת הלא קיימת. בדרך כלל, רשת של חברה יכולה לקרוס בדיוק בגלל שהמתגים פשוט משביתים יציאות הקשורות לרשתות VLAN שהוסרו במהלך העדכון הבא.

על מנת למנוע מבעיה כזו התרחשות, עליך להגדיר שם תחום וסיסמא של VTP או להשתמש בתכונת Cisco Port Security, המאפשרת לך לנהל את כתובות ה-MAC של יציאות מתג, תוך הצגת הגבלות שונות על השימוש בהן. לדוגמה, אם מישהו אחר ינסה לשנות את כתובת ה-MAC, היציאה תיפול מיד. אנו נסקור מקרוב את התכונה הזו של מתגי סיסקו בקרוב מאוד, אך לעת עתה כל מה שאתה צריך לדעת הוא ש-Port Security מאפשר לך לוודא ש-VTP מוגן מפני תוקף.

בואו נסכם מהי הגדרת VTP. זוהי הבחירה של גרסת הפרוטוקול - 1 או 2, הקצאת מצב VTP - שרת, לקוח או שקוף. כפי שכבר אמרתי, המצב האחרון לא מעדכן את מסד הנתונים של ה-VLAN של המכשיר עצמו, אלא פשוט מעביר את כל השינויים למכשירים שכנים. להלן הפקודות להקצאת שם דומיין וסיסמה: vtp domain <שם דומיין> וסיסמת vtp <סיסמה>.

עכשיו בואו נדבר על הגדרות גיזום VTP. אם אתה מסתכל על טופולוגיית הרשת, אתה יכול לראות שלכל שלושת המתגים יש את אותו מסד נתונים VLAN, מה שאומר ש-VLAN10 ו-VLAN20 הם חלק מכל 3 המתגים. מבחינה טכנית, מתג SW2 אינו זקוק ל-VLAN20 מכיוון שאין לו יציאות השייכות לרשת זו. עם זאת, ללא קשר לכך, כל התעבורה הנשלחת ממחשב Laptop0 דרך רשת VLAN20 מגיעה למתג SW1 וממנו עוברת דרך הטראנק ליציאות SW2. המשימה העיקרית שלך כמומחה רשת היא להבטיח שכמה שפחות נתונים מיותרים מועברים דרך הרשת. עליך לוודא שהנתונים הדרושים מועברים, אך כיצד ניתן להגביל את העברת המידע שאינו נחוץ למכשיר?

עליך לוודא שהתעבורה המיועדת להתקנים ב-VLAN20 אינה זורמת ליציאות SW2 דרך תא המטען כאשר היא אינה נדרשת. כלומר, תעבורת Laptop0 צריכה להגיע ל-SW1 ולאחר מכן למחשבים ב-VLAN20, אך לא לעבור מעבר ליציאת הטראנק הימנית של SW1. ניתן להשיג זאת באמצעות גיזום VTP.

לשם כך, עלינו לעבור להגדרות של שרת ה-VTP SW0, כי כפי שכבר אמרתי, ניתן לבצע הגדרות VTP רק דרך השרת, עבור להגדרות התצורה הגלובלית והקלד את פקודת ה-vtp pruning. מכיוון ש-Packet Tracer היא רק תוכנית סימולציה, אין פקודה כזו בהנחיות שורת הפקודה שלה. עם זאת, כאשר אני מקליד vtp pruning ולוחץ Enter, המערכת אומרת לי שמצב vtp pruning אינו זמין.

באמצעות הפקודה show vtp status, נראה שמצב VTP Pruning נמצא במצב מושבת, ולכן עלינו להפוך אותו לזמין על ידי הזזתו למצב ההפעלה. לאחר שעשינו זאת, אנו מפעילים את מצב גיזום VTP בכל שלושת המתגים של הרשת שלנו בתוך תחום הרשת.
הרשו לי להזכיר לכם מהו גיזום VTP. כאשר אנו מפעילים מצב זה, שרת המתגים SW0 מודיע למתג SW2 שרק VLAN10 מוגדר ביציאות שלו. לאחר מכן, מתג SW2 אומר למתג SW1 שהוא אינו זקוק לשום תעבורה מלבד תעבורה המיועדת ל-VLAN10. כעת, הודות ל-VTP Pruning, למתג SW1 יש את המידע שהוא לא צריך לשלוח תעבורת VLAN20 לאורך הטראנק SW1-SW2.

זה מאוד נוח לך כמנהל רשת. אתה לא צריך להזין פקודות באופן ידני מכיוון שהמתג חכם מספיק כדי לשלוח בדיוק את מה שהתקן הרשת הספציפי צריך. אם מחר תשים מחלקת שיווק נוספת בבניין הבא ותחבר את רשת ה-VLAN20 שלה למתג SW2, המתג הזה יגיד מיד למתג SW1 שיש לו כעת VLAN10 ו-VLAN20 ויבקש ממנו להעביר תעבורה לשתי הרשתות. מידע זה מתעדכן כל הזמן בכל המכשירים, מה שהופך את התקשורת ליעילה יותר.

ישנה דרך נוספת לציין את העברת התעבורה - זה להשתמש בפקודה המאפשרת העברת נתונים רק עבור ה-VLAN שצוין. אני עובר להגדרות של switch SW1, שם אני מעוניין בפורט Fa0/4, ומזין את הפקודות int fa0/4 ו- switchport trunk allowed vlan. מכיוון שאני כבר יודע של-SW2 יש רק VLAN10, אני יכול להגיד ל-SW1 לאפשר רק תעבורה עבור הרשת הזו ביציאת הטראנק שלו באמצעות הפקודה המותרת vlan. אז תכנתתי את יציאת המטען Fa0/4 לשאת תעבורה רק עבור VLAN10. משמעות הדבר היא שיציאה זו לא תאפשר תעבורה נוספת מ-VLAN1, VLAN20, או כל רשת אחרת מלבד זו שצוינה.

אולי אתה תוהה במה עדיף להשתמש: גיזום VTP או פקודת vlan המותרת. התשובה היא סובייקטיבית מכיוון שבמקרים מסוימים הגיוני להשתמש בשיטה הראשונה, ובאחרים הגיוני להשתמש בשיטה השנייה. כמנהל רשת, זה תלוי בך לבחור את הפתרון הטוב ביותר. במקרים מסוימים, ההחלטה לתכנת יציאה כך שתאפשר תעבורה מ-VLAN ספציפי יכולה להיות טובה, אך במקרים אחרים היא יכולה להיות גרועה. במקרה של הרשת שלנו, השימוש בפקודה vlan המותר עשוי להיות מוצדק אם אנחנו לא מתכוונים לשנות את טופולוגיית הרשת. אבל אם מישהו ירצה מאוחר יותר להוסיף קבוצת מכשירים המשתמשים ב-VLAN2 ל-SW 20, כדאי יותר להשתמש במצב VTP Pruning.

לכן, הגדרת גיזום VTP כרוכה בשימוש בפקודות הבאות. פקודת הגיזום vtp מספקת שימוש אוטומטי במצב זה. אם ברצונך להגדיר גיזום VTP של יציאת טראנק כדי לאפשר לתעבורה של VLAN ספציפי לעבור באופן ידני, השתמש בפקודה כדי לבחור את ממשק מספר יציאת המטען <#>, להפעיל את מצב ה-Trunk מצב Switchport ולאפשר העברת תעבורה לרשת ספציפית באמצעות פקודת vlan המותרת switchport trunk .

בפקודה האחרונה ניתן להשתמש ב-5 פרמטרים. הכל אומר שהעברת תעבורה עבור כל ה-VLAN מותרת, אף אחת - העברת תעבורה עבור כל ה-VLAN אסורה. אם אתה משתמש בפרמטר הוספה, תוכל להוסיף תפוקת תעבורה עבור רשת אחרת. לדוגמה, אנו מאפשרים תעבורת VLAN10, ובעזרת הפקודה add נוכל גם לאפשר מעבר של תעבורת VLAN20. הפקודה remove מאפשרת להסיר אחת מהרשתות, לדוגמה, אם תשתמש בפרמטר remove 20, רק תעבורת VLAN10 תישאר.

עכשיו בואו נסתכל על ה-VLAN המקורי. כבר אמרנו ש-Native VLAN היא רשת וירטואלית להעברת תעבורה לא מתויגת דרך יציאת טראנק ספציפית.

אני נכנס להגדרות היציאה הספציפיות כפי שמצוין בכותרת שורת הפקודה SW(config-if)# ומשתמש בפקודה switchport trunk native vlan <מספר רשת>, למשל VLAN10. כעת כל התעבורה ב-VLAN10 תעבור דרך תא המטען הלא מתויג.

נחזור לטופולוגיית הרשת הלוגית בחלון Packet Tracer. אם אני משתמש בפקודה switchport trunk native vlan 20 על switchport Fa0/4, אז כל התעבורה ב-VLAN20 תזרום דרך Fa0/4 - SW2 trunk ללא תיוג. כאשר מתג SW2 מקבל את התעבורה הזו, הוא יחשוב: "זו תעבורה לא מתויגת, מה שאומר שאני צריך לנתב אותה ל-VLAN המקורי." עבור מתג זה, ה-VLAN המקורי הוא רשת VLAN1. רשתות 1 ו-20 אינן מחוברות בשום צורה, אך מכיוון שמשתמשים במצב VLAN מקורי, יש לנו הזדמנות לנתב תעבורת VLAN20 לרשת אחרת לגמרי. עם זאת, תעבורה זו לא תהיה מכוסה, והרשתות עצמן עדיין חייבות להתאים.

בואו נסתכל על זה עם דוגמה. אני אכנס להגדרות של SW1 ואשתמש בפקודה switchport trunk native vlan 10. כעת כל תעבורת VLAN10 תצא מיציאת ה- trunk ללא תיוג. כאשר הוא יגיע ליציאת טראנק SW2, המתג יבין שעליו להעביר אותו ל-VLAN1. כתוצאה מהחלטה זו, התעבורה לא תוכל להגיע למחשבים PC2, 3 ו-4, מכיוון שהם מחוברים ליציאות הגישה של המתגים המיועדות ל-VLAN10.

מבחינה טכנית, זה יגרום למערכת לדווח שה-VLAN המקורי של יציאה Fa0/4, שהוא חלק מ-VLAN10, אינו תואם ליציאה Fa0/1, שהיא חלק מ-VLAN1. המשמעות היא שהיציאות שצוינו לא יוכלו לפעול במצב טראנק עקב אי התאמה VLAN מקורית.

תודה שנשארת איתנו. האם אתה אוהב את המאמרים שלנו? רוצים לראות עוד תוכן מעניין? תמכו בנו על ידי ביצוע הזמנה או המלצה לחברים, 30% הנחה למשתמשי Habr על אנלוגי ייחודי של שרתים ברמת הכניסה, שהומצא על ידינו עבורכם: כל האמת על VPS (KVM) E5-2650 v4 (6 ליבות) 10GB DDR4 240GB SSD 1Gbps החל מ-$20 או איך לשתף שרת? (זמין עם RAID1 ו-RAID10, עד 24 ליבות ועד 40GB DDR4).

Dell R730xd זול פי 2? רק כאן 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV החל מ-$199 בהולנד! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - החל מ-$99! לקרוא על כיצד לבנות תשתיות קורפ. מחלקה עם שימוש בשרתי Dell R730xd E5-2650 v4 בשווי 9000 יורו עבור אגורה?

מקור: www.habr.com