Cisco Training 200-125 CCNA v3.0. Ден 14. VTP, кастрење и мајчин VLAN

Денес ќе ја продолжиме нашата дискусија за VLAN и ќе разговараме за протоколот VTP, како и за концептите на VTP Pruning и Native VLAN. Веќе разговаравме за VTP во едно од претходните видеа, а првото нешто што треба да ви падне на ум кога ќе слушнете за VTP е дека тој не е протокол за труење, и покрај тоа што се нарекува „VLAN trunking протокол“.

Како што знаете, постојат два популарни протоколи за приклучување - комерцијалниот протокол на Cisco ISL, кој не се користи денес, и протоколот 802.q, кој се користи во мрежните уреди од различни производители за да го инкапсулира сообраќајот на багажникот. Овој протокол се користи и во Cisco прекинувачите. Веќе рековме дека VTP е протокол за синхронизација VLAN, односно е дизајниран да ја синхронизира VLAN базата на податоци низ сите мрежни прекинувачи.

Спомнавме различни VTP режими - сервер, клиент, транспарентен. Ако уредот користи режим на сервер, ова ви овозможува да направите промени, да додавате или отстранувате VLAN. Клиентскиот режим не дозволува да правите промени во поставките на прекинувачот, можете да ја конфигурирате VLAN базата на податоци само преку VTP серверот и таа ќе се реплицира на сите VTP клиенти. Прекинувачот во транспарентен режим не прави промени во сопствената VLAN база на податоци, туку едноставно поминува низ себе и ги пренесува промените на следниот уред во режим на клиент. Овој режим е сличен на оневозможување на VTP на одреден уред, претворајќи го во транспортер на информации за промена на VLAN.

Да се ​​вратиме на програмата Packet Tracer и мрежната топологија дискутирана во претходната лекција. Конфигуриравме мрежа VLAN10 за одделот за продажба и мрежа VLAN20 за одделот за маркетинг, комбинирајќи ги со три прекинувачи.

Помеѓу прекинувачите SW0 и SW1 комуникацијата се врши преку мрежата VLAN20, а помеѓу SW0 и SW2 има комуникација преку мрежата VLAN10 поради фактот што додадовме VLAN10 во VLAN базата на податоци на прекинувачот SW1.
За да ја разгледаме работата на протоколот VTP, ајде да користиме еден од прекинувачите како VTP сервер, нека биде SW0. Ако се сеќавате, стандардно сите прекинувачи работат во режим на VTP сервер. Ајде да одиме до терминалот на командната линија на прекинувачот и да ја внесеме командата за статусот show vtp. Гледате дека тековната верзија на протоколот VTP е 2, а бројот на ревизија на конфигурацијата е 4. Ако се сеќавате, секогаш кога се прават промени во базата на податоци на VTP, бројот на ревизијата се зголемува за еден.

Максималниот број на поддржани VLAN е 255. Овој број зависи од брендот на конкретниот Cisco прекинувач, бидејќи различни прекинувачи можат да поддржуваат различен број локални виртуелни мрежи. Бројот на постоечки VLAN е 7, за минута ќе погледнеме какви се овие мрежи. Режимот за контрола на VTP е сервер, името на доменот не е поставено, режимот за кастрење VTP е оневозможен, ќе се вратиме на ова подоцна. Режимите за генерирање VTP V2 и VTP Traps се исто така оневозможени. Не треба да знаете за последните два режими за да го положите испитот 200-125 CCNA, затоа не грижете се за нив.

Ајде да погледнеме во базата на податоци VLAN користејќи ја командата show vlan. Како што веќе видовме во претходното видео, имаме 4 неподдржани мрежи: 1002, 1003, 1004 и 1005.

Ги наведува и 2-те мрежи што ги создадовме, VLAN10 и 20, и стандардната мрежа, VLAN1. Сега да преминеме на друг прекинувач и да ја внесеме истата команда за да го видите статусот на VTP. Гледате дека бројот на ревизија на овој прекинувач е 3, тој е во режим на VTP сервер и сите други информации се слични на првиот прекинувач. Кога ќе ја внесам командата show VLAN, можам да видам дека направивме 2 промени во поставките, една помалку од прекинувачот SW0, поради што бројот на ревизија на SW1 е 3. Направивме 3 промени на стандардните поставки на првата прекинувач, затоа неговиот број на ревизија се зголеми на 4.

Сега да го погледнеме статусот на SW2. Бројот на ревизија овде е 1, што е чудно. Мора да имаме втора ревизија бидејќи е направена 1 промена на поставките. Да ја погледнеме базата на податоци VLAN.

Направивме една промена, креирајќи VLAN10 и не знам зошто тие информации не беа ажурирани. Можеби ова се случи затоа што немаме вистинска мрежа, туку софтверски мрежен симулатор, кој може да има грешки. Кога ќе имате можност да работите со вистински уреди додека се стажирате во Cisco, тоа ќе ви помогне повеќе од симулаторот Packet Tracer. Друга корисна работа во отсуство на вистински уреди би била GNC3, или графички Cisco мрежен симулатор. Ова е емулатор кој го користи вистинскиот оперативен систем на уред, како што е рутер. Постои разлика помеѓу симулатор и емулатор - првиот е програма што изгледа како вистински рутер, но не е таква. Софтверот за емулатор го создава само самиот уред, но користи вистински софтвер за да управува со него. Но, ако немате можност да го стартувате вистинскиот Cisco IOS софтвер, Packet Tracer е вашата најдобра опција.

Значи, треба да го конфигурираме SW0 како VTP сервер, за ова одам во режимот за конфигурација на глобалните поставки и ја внесувам командата vtp верзија 2. Како што реков, можеме да ја инсталираме верзијата на протоколот што ни треба - 1 или 2, во ова случај ни треба втора верзија. Следно, користејќи ја командата vtp mode, го поставивме режимот VTP на прекинувачот - сервер, клиент или транспарентен. Во овој случај, потребен ни е режим на сервер, а по внесувањето на командата на серверот режим vtp, системот прикажува порака дека уредот е веќе во режим на сервер. Следно, мора да конфигурираме VTP домен, за кој ја користиме командата vtp домен nwking.org. Зошто е ова потребно? Ако има друг уред на мрежата со поголем број на ревизија, сите други уреди со помал број на ревизија почнуваат да ја реплицираат VLAN базата на податоци од тој уред. Сепак, ова се случува само ако уредите имаат исто име на домен. На пример, ако работите на nwking.org, го означувате овој домен, ако во Cisco, тогаш доменот cisco.com итн. Името на доменот на уредите на вашата компанија ви овозможува да ги разликувате од уредите од друга компанија или од кои било други надворешни уреди на мрежата. Кога ќе доделите име на домен на компанија на уред, го правите дел од мрежата на таа компанија.

Следното нешто што треба да направите е да ја поставите лозинката за VTP. Потребно е за хакер, кој има уред со висок број на ревизија, да не може да ги копира неговите VTP поставки на вашиот прекинувач. Ја внесувам лозинката на cisco користејќи ја командата vtp лозинка cisco. После ова, репликацијата на VTP податоци помеѓу прекинувачите ќе биде можна само ако лозинките се совпаѓаат. Ако се користи погрешна лозинка, VLAN базата на податоци нема да се ажурира.

Ајде да се обидеме да создадеме уште неколку VLAN. За да го направам ова, ја користам командата config t, ја користам командата vlan 200 за да креирам мрежен број 200, му го дадам името TEST и ги зачувувам промените со командата за излез. Потоа креирам уште еден vlan 500 и го нарекувам TEST1. Ако сега ја внесете командата show vlan, тогаш во табелата со виртуелни мрежи на прекинувачот можете да ги видите овие две нови мрежи, на кои не е доделена ниту една порта.

Ајде да продолжиме од SW1 и да го видиме неговиот VTP статус. Гледаме дека ништо не е променето овде освен името на доменот, бројот на VLAN останува еднаков на 7. Не гледаме дека мрежите што ги создадовме се појавуваат бидејќи лозинката за VTP не се совпаѓа. Ајде да ја поставиме лозинката за VTP на овој прекинувач со последователно внесување на командите conf t, vtp pass и vtp лозинката Cisco. Системот објави дека базата на податоци VLAN на уредот сега ја користи лозинката на Cisco. Ајде уште еднаш да го погледнеме статусот на VTP за да провериме дали информацијата е реплицирана. Како што можете да видите, бројот на постоечки VLAN автоматски се зголеми на 9.

Ако ја погледнете VLAN базата на податоци на овој прекинувач, можете да видите дека мрежите VLAN200 и VLAN500 што ги создадовме автоматски се појавија во неа.

Истото треба да се направи и со последниот прекинувач SW2. Ајде да ја внесеме командата show vlan - можете да видите дека во неа не се случиле никакви промени. Исто така, нема промена во статусот VTP. За да може овој прекинувач да ги ажурира информациите, треба да поставите и лозинка, односно да ги внесете истите команди како за SW1. После ова, бројот на VLAN во статусот SW2 ќе се зголеми на 9.

За тоа е VTP. Ова е одлична работа што автоматски ги ажурира информациите во сите мрежни уреди на клиентот откако ќе се направат промени на серверскиот уред. Не треба рачно да правите промени во VLAN базата на податоци на сите прекинувачи - репликацијата се случува автоматски. Ако имате 200 мрежни уреди, промените што ќе ги направите ќе се зачуваат на сите двесте уреди во исто време. За секој случај, треба да се увериме дека SW2 е исто така VTP клиент, па ајде да одиме во поставките со командата config t и да ја внесеме командата клиентски режим vtp.

Така, во нашата мрежа само првиот прекинувач е во режим VTP Server, другите два работат во VTP Client режим. Ако сега отидам во поставките SW2 и ја внесам командата vlan 1000, ќе ја добијам пораката: „конфигурирањето на VTP VLAN не е дозволено кога уредот е во режим на клиент“. Така, не можам да направам никакви промени во базата на податоци VLAN ако прекинувачот е во режим на клиент VTP. Ако сакам да направам какви било промени, треба да одам на серверот за прекинувачи.

Одам во поставките на терминалот SW0 и ги внесувам командите vlan 999, именувам IMRAN и излегувам. Оваа нова мрежа се појави во базата на податоци VLAN на овој прекинувач и ако сега отидам во базата на податоци на клиентскиот прекинувач SW2, ќе видам дека истата информација се појавила овде, односно се случила репликација.

Како што реков, VTP е одличен софтвер, но ако се користи погрешно, може да ја наруши цела мрежа. Затоа, треба да бидете многу внимателни кога ракувате со мрежата на компанијата ако името на доменот и лозинката за VTP не се поставени. Во овој случај, сè што треба да направи хакерот е да го приклучи кабелот на неговиот прекинувач во мрежен приклучок на ѕидот, да се поврзе на кој било канцелариски прекинувач користејќи го протоколот DTP и потоа, користејќи го креираниот багажникот, да ги ажурира сите информации користејќи го протоколот VTP . На овој начин, хакерот може да ги избрише сите важни VLAN, искористувајќи го фактот дека бројот на ревизија на неговиот уред е поголем од бројот на ревизии на другите прекинувачи. Во овој случај, прекинувачите на компанијата автоматски ќе ги заменат сите информации за базата на податоци VLAN со информации реплицирани од малициозниот прекинувач и целата ваша мрежа ќе пропадне.

Ова се должи на фактот дека компјутерите се поврзани со помош на мрежен кабел до одредена порта за прекинувач на која е доделен VLAN 10 или VLAN20. Ако овие мрежи се избришат од LAN базата на прекинувачот, тој автоматски ќе ја оневозможи портата што припаѓа на непостоечката мрежа. Вообичаено, мрежата на компанијата може да пропадне токму затоа што прекинувачите едноставно ги оневозможуваат портите поврзани со VLAN-и кои беа отстранети при следното ажурирање.

За да спречите појава на таков проблем, треба да поставите име на домен VTP и лозинка или да ја користите функцијата Cisco Port Security, која ви овозможува да управувате со MAC адресите на портите на прекинувачите, воведувајќи различни ограничувања за нивната употреба. На пример, ако некој друг се обиде да ја смени MAC адресата, пристаништето веднаш ќе се спушти. Ќе ја разгледаме подетално оваа функција на Cisco прекинувачите многу наскоро, но засега сè што треба да знаете е дека Port Security ви овозможува да бидете сигурни дека VTP е заштитен од напаѓач.

Ајде да резимираме што е поставка VTP. Ова е изборот на верзијата на протоколот - 1 или 2, доделување на VTP режим - сервер, клиент или транспарентен. Како што веќе реков, вториот режим не ја ажурира VLAN базата на податоци на самиот уред, туку едноставно ги пренесува сите промени на соседните уреди. Следниве се командите за доделување име на домен и лозинка: vtp домен <име на домен> и vtp лозинка <лозинка>.

Сега да зборуваме за поставките за VTP Pruning. Ако ја погледнете мрежната топологија, можете да видите дека сите три прекинувачи имаат иста VLAN база на податоци, што значи дека VLAN10 и VLAN20 се дел од сите 3 прекинувачи. Технички, на прекинувачот SW2 не му треба VLAN20 бидејќи нема порти кои припаѓаат на оваа мрежа. Сепак, без разлика на ова, целиот сообраќај испратен од компјутерот Laptop0 преку мрежата VLAN20 стигнува до SW1 прекинувачот и од него оди преку багажникот до SW2 портите. Вашата главна задача како специјалист за мрежа е да обезбедите што помалку непотребни податоци да се пренесуваат преку мрежата. Мора да се осигурате дека се пренесуваат потребните податоци, но како можете да го ограничите преносот на информации што не му се потребни на уредот?

Мора да се погрижите сообраќајот наменет за уредите на VLAN20 да не тече до SW2 портите низ багажникот кога тоа не е потребно. Односно, сообраќајот на лаптоп 0 треба да достигне SW1, а потоа до компјутерите на VLAN20, но не треба да оди подалеку од десната багажничка порта на SW1. Ова може да се постигне со користење на VTP кастрење.

За да го направите ова, треба да одиме до поставките на серверот VTP SW0, бидејќи како што веќе реков, поставките за VTP може да се направат само преку серверот, одете до поставките за глобална конфигурација и напишете ја командата vtp pruning. Бидејќи Packet Tracer е само програма за симулација, не постои таква команда во промптите на неговата командна линија. Меѓутоа, кога пишувам vtp pruning и притискам Enter, системот ми кажува дека режимот за резидба vtp не е достапен.

Користејќи ја командата show vtp status, ќе видиме дека режимот VTP Pruning е во оневозможена состојба, па затоа треба да го направиме достапен со преместување на позицијата за овозможување. Откако го направивме ова, го активираме режимот VTP Pruning на сите три прекинувачи на нашата мрежа во доменот на мрежата.
Дозволете ми да ве потсетам што е VTP Pruning. Кога ќе го овозможиме овој режим, прекинувачот на серверот SW0 го известува прекинувачот SW2 дека само VLAN10 е конфигуриран на неговите порти. После ова, прекинувачот SW2 му кажува на прекинувачот SW1 дека не му треба никаков сообраќај освен сообраќај наменет за VLAN10. Сега, благодарение на VTP Pruning, прекинувачот SW1 има информации дека не треба да испраќа VLAN20 сообраќај долж багажникот SW1-SW2.

Ова е многу погодно за вас како мрежен администратор. Не мора рачно да внесувате команди бидејќи прекинувачот е доволно паметен за да го испрати токму она што му треба на конкретниот мрежен уред. Ако утре поставите друг оддел за маркетинг во следната зграда и ја поврзете неговата мрежа VLAN20 за да ја префрлите SW2, тој прекинувач веднаш ќе му каже на прекинувачот SW1 дека сега има VLAN10 и VLAN20 и ќе побара од него да го пренасочи сообраќајот за двете мрежи. Оваа информација постојано се ажурира на сите уреди, што ја прави комуникацијата поефикасна.

Постои уште еден начин да се одреди преносот на сообраќајот - ова е да се користи команда што дозволува пренос на податоци само за наведениот VLAN. Одам во подесувањата на switch SW1 каде што ме интересира портот Fa0/4 и ги внесувам командите int fa0/4 и switchport trunk allow vlan. Бидејќи веќе знам дека SW2 има само VLAN10, можам да му кажам на SW1 да дозволи само сообраќај за таа мрежа на нејзината багажничка порта со користење на командата дозволена vlan. Затоа ја програмирав портата за багажникот Fa0/4 да носи сообраќај само за VLAN10. Ова значи дека оваа порта нема да дозволи сообраќај од VLAN1, VLAN20 или која било друга мрежа освен наведената.

Можеби се прашувате што е подобро да се користи: VTP Pruning или дозволената команда vlan. Одговорот е субјективен бидејќи во некои случаи има смисла да се користи првиот метод, а во други има смисла да се користи вториот. Како мрежен администратор, на вас зависи да го изберете најдоброто решение. Во некои случаи, одлуката да се програмира порта за да се дозволи сообраќај од специфичен VLAN може да биде добра, но во други може да биде лоша. Во случајот со нашата мрежа, користењето на дозволената команда vlan може да биде оправдано ако не ја смениме топологијата на мрежата. Но, ако некој подоцна сака да додаде група уреди што користат VLAN2 во SW 20, би било попрепорачливо да го користи режимот VTP Pruning.

Значи, поставувањето VTP Pruning вклучува користење на следните команди. Командата vtp pruning обезбедува автоматско користење на овој режим. Ако сакате да го конфигурирате VTP Pruning на багажникот за да дозволи сообраќајот на одредена VLAN да поминува рачно, тогаш користете ја командата за да го изберете интерфејсот со број на портата на багажникот <#>, да го вклучите багажникот на режимот на прекинувачот режим на багажникот и да дозволите пренос на сообраќајот на одредена мрежа користејќи ја командата дозволена vlan багажникот на switchport .

Во последната команда можете да користите 5 параметри. Сите значи дека е дозволен пренос на сообраќај за сите VLAN, ниту еден – пренос на сообраќај за сите VLAN е забранет. Ако го користите параметарот за додавање, можете да додадете проток на сообраќај за друга мрежа. На пример, дозволуваме VLAN10 сообраќај, а со командата add може да дозволиме и VLAN20 сообраќај да минува. Командата за отстранување ви овозможува да отстраните една од мрежите, на пример, ако го користите параметарот Отстрани 20, ќе остане само сообраќајот VLAN10.

Сега да го погледнеме мајчиниот VLAN. Веќе рековме дека мајчин VLAN е виртуелна мрежа за пренесување неозначен сообраќај низ одредена порта за багажникот.

Влегувам во специфичните поставки на портата како што е означено со насловот на командната линија SW(config-if)# и ја користам командата switchport trunk native vlan <мрежен број>, на пример VLAN10. Сега целиот сообраќај на VLAN10 ќе оди преку неозначениот багажникот.

Да се ​​вратиме на логичката мрежна топологија во прозорецот Packet Tracer. Ако ја користам командата Switchport trunk native vlan 20 на прекинувачот Fa0/4, тогаш целиот сообраќај на VLAN20 ќе тече низ Fa0/4 – SW2 багажникот без ознака. Кога прекинувачот SW2 ќе го прими овој сообраќај, ќе помисли: „ова е сообраќај без ознака, што значи дека треба да го насочам кон мајчин VLAN“. За овој прекинувач, мајчин VLAN е мрежата VLAN1. Мрежите 1 и 20 не се поврзани на кој било начин, но бидејќи се користи мајчин VLAN режим, имаме можност да го насочиме сообраќајот VLAN20 на сосема друга мрежа. Сепак, овој сообраќај ќе биде неинкапсулиран, а самите мрежи сепак мора да се совпаѓаат.

Да го погледнеме ова со пример. Ќе одам во поставките на SW1 и ќе ја користам командата на оригиналниот VLAN 10 на багажникот на прекинувачот. Кога ќе стигне до багажникот SW10, прекинувачот ќе разбере дека мора да го препрати до VLAN2. Како резултат на оваа одлука, сообраќајот нема да може да стигне до компјутерите PC1, 2 и 3, бидејќи тие се поврзани со портите за пристап со прекинувач наменети за VLAN4.

Технички, ова ќе предизвика системот да пријави дека матичната VLAN на портата Fa0/4, која е дел од VLAN10, не се совпаѓа со портата Fa0/1, која е дел од VLAN1. Ова значи дека наведените порти нема да можат да работат во режим на багажникот поради природно несовпаѓање на VLAN.

Ви благодариме што останавте со нас. Дали ви се допаѓаат нашите написи? Сакате да видите поинтересна содржина? Поддржете не со нарачка или препорака на пријатели, 30% попуст за корисниците на Habr на уникатен аналог на сервери на почетно ниво, кој го измисливме ние за вас: Целата вистина за VPS (KVM) E5-2650 v4 (6 јадра) 10GB DDR4 240GB SSD 1Gbps од 20 долари или како да споделите сервер? (достапен со RAID1 и RAID10, до 24 јадра и до 40 GB DDR4).

Dell R730xd 2 пати поевтин? Само овде 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 телевизор од 199 долари во Холандија! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - од 99 долари! Прочитајте за Како да се изгради инфраструктурна корп. класа со употреба на сервери Dell R730xd E5-2650 v4 вредни 9000 евра за денар?

Извор: www.habr.com