Hari ini kami akan meneruskan perbincangan kami tentang VLAN dan membincangkan protokol VTP, serta konsep Pemangkasan VTP dan VLAN Asli. Kami sudah bercakap tentang VTP dalam salah satu video sebelum ini, dan perkara pertama yang perlu terlintas di fikiran anda apabila anda mendengar tentang VTP ialah ia bukan protokol trunking, walaupun dipanggil "protokol trunking VLAN."
Seperti yang anda ketahui, terdapat dua protokol trunking yang popular - protokol Cisco ISL proprietari, yang tidak digunakan hari ini, dan protokol 802.q, yang digunakan dalam peranti rangkaian daripada pelbagai pengeluar untuk merangkum trafik trunking. Protokol ini juga digunakan dalam suis Cisco. Kami telah mengatakan bahawa VTP ialah protokol penyegerakan VLAN, iaitu, ia direka untuk menyegerakkan pangkalan data VLAN merentas semua suis rangkaian.
Kami menyebut mod VTP yang berbeza - pelayan, pelanggan, telus. Jika peranti menggunakan mod pelayan, ini membolehkan anda membuat perubahan, menambah atau mengalih keluar VLAN. Mod pelanggan tidak membenarkan anda membuat perubahan pada tetapan suis, anda boleh mengkonfigurasi pangkalan data VLAN hanya melalui pelayan VTP, dan ia akan direplikasi pada semua klien VTP. Suis dalam mod lutsinar tidak membuat perubahan pada pangkalan data VLANnya sendiri, tetapi hanya melalui dirinya sendiri dan memindahkan perubahan ke peranti seterusnya dalam mod klien. Mod ini serupa dengan melumpuhkan VTP pada peranti tertentu, mengubahnya menjadi pengangkut maklumat perubahan VLAN.
Mari kita kembali ke program Packet Tracer dan topologi rangkaian yang dibincangkan dalam pelajaran sebelumnya. Kami mengkonfigurasi rangkaian VLAN10 untuk jabatan jualan dan rangkaian VLAN20 untuk jabatan pemasaran, menggabungkannya dengan tiga suis.
Antara suis komunikasi SW0 dan SW1 dijalankan melalui rangkaian VLAN20, dan antara SW0 dan SW2 terdapat komunikasi melalui rangkaian VLAN10 disebabkan fakta bahawa kami menambah VLAN10 pada pangkalan data VLAN suis SW1.
Untuk mempertimbangkan pengendalian protokol VTP, mari kita gunakan salah satu suis sebagai pelayan VTP, biarkan ia SW0. Jika anda masih ingat, secara lalai semua suis beroperasi dalam mod pelayan VTP. Mari pergi ke terminal baris arahan suis dan masukkan arahan status show vtp. Anda melihat versi protokol VTP semasa ialah 2 dan nombor semakan konfigurasi ialah 4. Jika anda ingat, setiap kali perubahan dibuat pada pangkalan data VTP, nombor semakan meningkat sebanyak satu.
Bilangan maksimum VLAN yang disokong ialah 255. Nombor ini bergantung pada jenama suis Cisco tertentu, kerana suis berbeza boleh menyokong nombor rangkaian maya tempatan yang berbeza. Bilangan VLAN sedia ada ialah 7, dalam satu minit kita akan melihat apakah rangkaian ini. Mod kawalan VTP ialah pelayan, nama domain tidak ditetapkan, mod Pemangkasan VTP dilumpuhkan, kami akan kembali kepada perkara ini kemudian. Mod Penjanaan Perangkap VTP V2 dan VTP juga dilumpuhkan. Anda tidak perlu tahu tentang dua mod terakhir untuk lulus peperiksaan 200-125 CCNA, jadi jangan risau tentangnya.
Mari kita lihat pangkalan data VLAN menggunakan arahan show vlan. Seperti yang telah kita lihat dalam video sebelumnya, kami mempunyai 4 rangkaian yang tidak disokong: 1002, 1003, 1004 dan 1005.
Ia juga menyenaraikan 2 rangkaian yang kami cipta, VLAN10 dan 20, dan rangkaian lalai, VLAN1. Sekarang mari kita beralih ke suis lain dan masukkan arahan yang sama untuk melihat status VTP. Anda melihat bahawa nombor semakan suis ini ialah 3, ia berada dalam mod pelayan VTP dan semua maklumat lain adalah serupa dengan suis pertama. Apabila saya memasukkan arahan show VLAN, saya dapat melihat bahawa kami telah membuat 2 perubahan pada tetapan, satu kurang daripada suis SW0, itulah sebabnya nombor semakan SW1 ialah 3. Kami telah membuat 3 perubahan pada tetapan lalai yang pertama suis, oleh itu nombor semakannya meningkat kepada 4.
Sekarang mari kita lihat status SW2. Nombor semakan di sini ialah 1, yang pelik. Kami mesti membuat semakan kedua kerana 1 perubahan tetapan telah dibuat. Mari lihat pangkalan data VLAN.
Kami membuat satu perubahan, mencipta VLAN10, dan saya tidak tahu mengapa maklumat itu tidak dikemas kini. Mungkin ini berlaku kerana kami tidak mempunyai rangkaian sebenar, tetapi simulator rangkaian perisian, yang mungkin mempunyai ralat. Apabila anda mempunyai peluang untuk bekerja dengan peranti sebenar semasa latihan di Cisco, ia akan membantu anda lebih daripada simulator Pengesan Paket. Satu lagi perkara yang berguna jika tiada peranti sebenar ialah GNC3, atau simulator rangkaian Cisco grafik. Ini ialah emulator yang menggunakan sistem pengendalian sebenar peranti, seperti penghala. Terdapat perbezaan antara simulator dan emulator - yang pertama ialah program yang kelihatan seperti penghala sebenar, tetapi bukan satu. Perisian emulator hanya mencipta peranti itu sendiri, tetapi menggunakan perisian sebenar untuk mengendalikannya. Tetapi jika anda tidak mempunyai keupayaan untuk menjalankan perisian Cisco IOS sebenar, Packet Tracer ialah pilihan terbaik anda.
Jadi, kita perlu mengkonfigurasi SW0 sebagai pelayan VTP, untuk ini saya pergi ke mod konfigurasi tetapan global dan masukkan arahan vtp versi 2. Seperti yang saya katakan, kita boleh memasang versi protokol yang kita perlukan - 1 atau 2, dalam ini kes kami memerlukan versi kedua. Seterusnya, menggunakan arahan mod vtp, kami menetapkan mod VTP suis - pelayan, klien atau telus. Dalam kes ini, kami memerlukan mod pelayan, dan selepas memasukkan arahan pelayan mod vtp, sistem memaparkan mesej bahawa peranti sudah berada dalam mod pelayan. Seterusnya, kita mesti mengkonfigurasi domain VTP, yang mana kita menggunakan arahan domain vtp nwking.org. Mengapa ini perlu? Jika terdapat peranti lain pada rangkaian dengan nombor semakan yang lebih tinggi, semua peranti lain dengan nombor semakan yang lebih rendah mula mereplikasi pangkalan data VLAN daripada peranti itu. Walau bagaimanapun, ini hanya berlaku jika peranti mempunyai nama domain yang sama. Sebagai contoh, jika anda bekerja di nwking.org, anda menunjukkan domain ini, jika di Cisco, maka domain cisco.com, dan seterusnya. Nama domain peranti syarikat anda membolehkan anda membezakannya daripada peranti daripada syarikat lain atau daripada mana-mana peranti luaran lain pada rangkaian. Apabila anda memberikan nama domain syarikat kepada peranti, anda menjadikannya sebahagian daripada rangkaian syarikat tersebut.
Perkara seterusnya yang perlu dilakukan ialah menetapkan kata laluan VTP. Ia diperlukan supaya penggodam, yang mempunyai peranti dengan nombor semakan yang tinggi, tidak boleh menyalin tetapan VTPnya ke suis anda. Saya memasukkan kata laluan cisco menggunakan arahan vtp password cisco. Selepas ini, replikasi data VTP antara suis hanya boleh dilakukan jika kata laluan sepadan. Jika kata laluan yang salah digunakan, pangkalan data VLAN tidak akan dikemas kini.
Mari cuba buat beberapa lagi VLAN. Untuk melakukan ini, saya menggunakan arahan config t, gunakan arahan vlan 200 untuk mencipta nombor rangkaian 200, beri nama TEST dan simpan perubahan dengan arahan keluar. Kemudian saya mencipta vlan 500 lagi dan memanggilnya TEST1. Jika anda kini memasukkan arahan show vlan, maka dalam jadual rangkaian maya suis anda boleh melihat kedua-dua rangkaian baharu ini, yang mana tiada satu port pun diberikan.
Mari beralih ke SW1 dan lihat status VTPnya. Kami melihat bahawa tiada apa yang berubah di sini kecuali nama domain, bilangan VLAN kekal sama dengan 7. Kami tidak melihat rangkaian yang kami buat muncul kerana kata laluan VTP tidak sepadan. Mari kita tetapkan kata laluan VTP pada suis ini dengan memasukkan perintah conf t, vtp pass dan vtp password Cisco secara berurutan. Sistem melaporkan bahawa pangkalan data VLAN peranti kini menggunakan kata laluan Cisco. Mari kita lihat sekali lagi status VTP untuk menyemak sama ada maklumat telah direplikasi. Seperti yang anda lihat, bilangan VLAN sedia ada telah meningkat secara automatik kepada 9.
Jika anda melihat pangkalan data VLAN suis ini, anda boleh melihat bahawa rangkaian VLAN200 dan VLAN500 yang kami cipta secara automatik muncul di dalamnya.
Perkara yang sama perlu dilakukan dengan suis terakhir SW2. Mari masukkan arahan show vlan - anda dapat melihat bahawa tiada perubahan telah berlaku di dalamnya. Begitu juga, tiada perubahan dalam status VTP. Untuk membolehkan suis ini mengemas kini maklumat, anda juga perlu menyediakan kata laluan, iaitu, masukkan arahan yang sama seperti untuk SW1. Selepas ini, bilangan VLAN dalam status SW2 akan meningkat kepada 9.
Itulah gunanya VTP. Ini adalah perkara hebat yang mengemas kini maklumat secara automatik dalam semua peranti rangkaian pelanggan selepas perubahan dibuat pada peranti pelayan. Anda tidak perlu membuat perubahan secara manual pada pangkalan data VLAN semua suis - replikasi berlaku secara automatik. Jika anda mempunyai 200 peranti rangkaian, perubahan yang anda buat akan disimpan pada semua dua ratus peranti pada masa yang sama. Untuk berjaga-jaga, kita perlu memastikan bahawa SW2 juga merupakan klien VTP, jadi mari masuk ke tetapan dengan arahan config t dan masukkan arahan klien mod vtp.
Oleh itu, dalam rangkaian kami hanya suis pertama berada dalam mod Pelayan VTP, dua lagi beroperasi dalam mod Pelanggan VTP. Jika saya sekarang pergi ke tetapan SW2 dan masukkan arahan vlan 1000, saya akan menerima mesej: "mengkonfigurasi VTP VLAN tidak dibenarkan apabila peranti berada dalam mod klien." Oleh itu, saya tidak boleh membuat sebarang perubahan pada pangkalan data VLAN jika suis berada dalam mod klien VTP. Jika saya ingin membuat sebarang perubahan, saya perlu pergi ke pelayan suis.
Saya pergi ke tetapan terminal SW0 dan masukkan arahan vlan 999, namakan IMRAN dan keluar. Rangkaian baru ini telah muncul dalam pangkalan data VLAN suis ini, dan jika saya kini pergi ke pangkalan data suis pelanggan SW2, saya akan melihat bahawa maklumat yang sama telah muncul di sini, iaitu, replikasi telah berlaku.
Seperti yang saya katakan, VTP ialah perisian yang hebat, tetapi jika digunakan secara salah, ia boleh mengganggu keseluruhan rangkaian. Oleh itu, anda perlu berhati-hati semasa mengendalikan rangkaian syarikat jika nama domain dan kata laluan VTP tidak ditetapkan. Dalam kes ini, semua penggodam perlu lakukan ialah memasangkan kabel suisnya ke soket rangkaian di dinding, sambung ke mana-mana suis pejabat menggunakan protokol DTP dan kemudian, menggunakan batang yang dibuat, kemas kini semua maklumat menggunakan protokol VTP . Dengan cara ini, penggodam boleh memadam semua VLAN penting, mengambil kesempatan daripada fakta bahawa nombor semakan perantinya lebih tinggi daripada nombor semakan suis lain. Dalam kes ini, suis syarikat akan menggantikan semua maklumat pangkalan data VLAN secara automatik dengan maklumat yang direplikasi daripada suis berniat jahat, dan keseluruhan rangkaian anda akan runtuh.
Ini disebabkan oleh fakta bahawa komputer disambungkan menggunakan kabel rangkaian ke port suis tertentu yang VLAN 10 atau VLAN20 diberikan. Jika rangkaian ini dipadamkan daripada pangkalan data LAN suis, ia akan melumpuhkan port kepunyaan rangkaian yang tidak wujud secara automatik. Biasanya, rangkaian syarikat boleh runtuh dengan tepat kerana suis hanya melumpuhkan port yang dikaitkan dengan VLAN yang telah dialih keluar semasa kemas kini seterusnya.
Untuk mengelakkan masalah sedemikian daripada berlaku, anda perlu menetapkan nama domain dan kata laluan VTP atau menggunakan ciri Keselamatan Pelabuhan Cisco, yang membolehkan anda menguruskan alamat MAC port suis, memperkenalkan pelbagai sekatan ke atas penggunaannya. Sebagai contoh, jika orang lain cuba menukar alamat MAC, port akan turun serta-merta. Kami akan melihat dengan lebih dekat ciri suis Cisco ini tidak lama lagi, tetapi buat masa ini apa yang anda perlu tahu ialah Keselamatan Pelabuhan membolehkan anda memastikan bahawa VTP dilindungi daripada penyerang.
Mari kita ringkaskan apa itu tetapan VTP. Ini adalah pilihan versi protokol - 1 atau 2, penetapan mod VTP - pelayan, klien atau telus. Seperti yang telah saya katakan, mod terakhir tidak mengemas kini pangkalan data VLAN peranti itu sendiri, tetapi hanya menghantar semua perubahan kepada peranti jiran. Berikut ialah arahan untuk memberikan nama domain dan kata laluan: domain vtp <nama domain> dan kata laluan vtp <kata laluan>.
Sekarang mari kita bercakap tentang tetapan Pemangkasan VTP. Jika anda melihat topologi rangkaian, anda boleh melihat bahawa ketiga-tiga suis mempunyai pangkalan data VLAN yang sama, yang bermaksud bahawa VLAN10 dan VLAN20 adalah sebahagian daripada kesemua 3 suis. Secara teknikal, suis SW2 tidak memerlukan VLAN20 kerana ia tidak mempunyai port kepunyaan rangkaian ini. Walau bagaimanapun, tanpa mengira ini, semua trafik yang dihantar dari komputer Laptop0 melalui rangkaian VLAN20 mencapai suis SW1 dan daripadanya melalui batang ke port SW2. Tugas utama anda sebagai pakar rangkaian adalah untuk memastikan bahawa data yang tidak diperlukan sesedikit mungkin dihantar melalui rangkaian. Anda mesti memastikan bahawa data yang diperlukan dihantar, tetapi bagaimana anda boleh mengehadkan penghantaran maklumat yang tidak diperlukan oleh peranti?
Anda mesti memastikan bahawa trafik yang ditujukan untuk peranti pada VLAN20 tidak mengalir ke port SW2 melalui batang apabila ia tidak diperlukan. Iaitu, trafik Laptop0 harus mencapai SW1 dan kemudian ke komputer pada VLAN20, tetapi tidak boleh melepasi port batang kanan SW1. Ini boleh dicapai menggunakan Pemangkasan VTP.
Untuk melakukan ini, kita perlu pergi ke tetapan pelayan VTP SW0, kerana seperti yang telah saya katakan, tetapan VTP hanya boleh dibuat melalui pelayan, pergi ke tetapan konfigurasi global dan taip arahan pemangkasan vtp. Memandangkan Packet Tracer hanyalah program simulasi, tiada arahan sedemikian dalam gesaan baris arahannya. Walau bagaimanapun, apabila saya menaip pemangkasan vtp dan tekan Enter, sistem memberitahu saya bahawa mod pemangkasan vtp tidak tersedia.
Menggunakan arahan status show vtp, kami akan melihat bahawa mod Pemangkasan VTP berada dalam keadaan dilumpuhkan, jadi kami perlu menyediakannya dengan mengalihkannya ke kedudukan daya. Setelah melakukan ini, kami mengaktifkan mod Pemangkasan VTP pada ketiga-tiga suis rangkaian kami dalam domain rangkaian.
Biar saya ingatkan anda apa itu Pemangkasan VTP. Apabila kami mendayakan mod ini, suis pelayan SW0 memberitahu suis SW2 bahawa hanya VLAN10 dikonfigurasikan pada portnya. Selepas ini, suis SW2 memberitahu suis SW1 bahawa ia tidak memerlukan sebarang trafik selain daripada trafik yang dimaksudkan untuk VLAN10. Kini, terima kasih kepada Pemangkasan VTP, suis SW1 mempunyai maklumat bahawa ia tidak perlu menghantar trafik VLAN20 di sepanjang batang SW1-SW2.
Ini sangat mudah untuk anda sebagai pentadbir rangkaian. Anda tidak perlu memasukkan arahan secara manual kerana suis cukup pintar untuk menghantar dengan tepat apa yang diperlukan oleh peranti rangkaian tertentu. Jika esok anda meletakkan jabatan pemasaran lain di bangunan seterusnya dan menyambungkan rangkaian VLAN20nya untuk menukar SW2, suis itu akan segera memberitahu suis SW1 bahawa ia kini mempunyai VLAN10 dan VLAN20 dan memintanya memajukan trafik untuk kedua-dua rangkaian. Maklumat ini sentiasa dikemas kini merentas semua peranti, menjadikan komunikasi lebih cekap.
Terdapat satu lagi cara untuk menentukan penghantaran trafik - ini adalah menggunakan arahan yang membenarkan penghantaran data hanya untuk VLAN yang ditentukan. Saya pergi ke tetapan suis SW1, di mana saya berminat dengan port Fa0/4, dan masukkan arahan int fa0/4 dan switchport trunk dibenarkan vlan. Memandangkan saya sudah tahu bahawa SW2 hanya mempunyai VLAN10, saya boleh memberitahu SW1 untuk membenarkan hanya trafik untuk rangkaian itu pada port batangnya dengan menggunakan arahan vlan yang dibenarkan. Jadi saya memprogramkan port batang Fa0/4 untuk membawa trafik hanya untuk VLAN10. Ini bermakna port ini tidak akan membenarkan trafik lanjut dari VLAN1, VLAN20 atau mana-mana rangkaian lain selain daripada yang ditentukan.
Anda mungkin tertanya-tanya yang mana lebih baik untuk digunakan: VTP Pruning atau arahan vlan yang dibenarkan. Jawapannya adalah subjektif kerana dalam beberapa kes ia masuk akal untuk menggunakan kaedah pertama, dan dalam yang lain masuk akal untuk menggunakan kaedah kedua. Sebagai pentadbir rangkaian, terpulang kepada anda untuk memilih penyelesaian terbaik. Dalam sesetengah kes, keputusan untuk memprogramkan port untuk membenarkan trafik daripada VLAN tertentu boleh menjadi baik, tetapi dalam keadaan lain ia boleh menjadi buruk. Dalam kes rangkaian kami, menggunakan arahan vlan yang dibenarkan mungkin wajar jika kami tidak akan menukar topologi rangkaian. Tetapi jika seseorang kemudiannya ingin menambah sekumpulan peranti menggunakan VLAN2 ke SW 20, adalah lebih dinasihatkan untuk menggunakan mod Pemangkasan VTP.
Jadi, menyediakan VTP Pruning melibatkan penggunaan arahan berikut. Perintah pemangkasan vtp menyediakan penggunaan automatik mod ini. Jika anda ingin mengkonfigurasi Pemangkasan VTP port batang untuk membenarkan trafik VLAN tertentu melalui secara manual, kemudian gunakan arahan untuk memilih antara muka nombor port batang <#>, dayakan batang mod port suis mod batang dan benarkan penghantaran trafik ke rangkaian tertentu menggunakan trunk switchport dibenarkan arahan vlan .
Dalam arahan terakhir anda boleh menggunakan 5 parameter. Semua bermakna penghantaran trafik untuk semua VLAN dibenarkan, tiada - penghantaran trafik untuk semua VLAN adalah dilarang. Jika anda menggunakan parameter tambah, anda boleh menambah daya tampung trafik untuk rangkaian lain. Sebagai contoh, kami membenarkan trafik VLAN10, dan dengan arahan tambah kami juga boleh membenarkan trafik VLAN20 melaluinya. Perintah alih keluar membolehkan anda mengalih keluar salah satu rangkaian, contohnya, jika anda menggunakan parameter keluarkan 20, hanya trafik VLAN10 akan kekal.
Sekarang mari kita lihat VLAN asli. Kami telah mengatakan bahawa VLAN asli ialah rangkaian maya untuk menghantar trafik yang tidak ditanda melalui port batang tertentu.
Saya pergi ke tetapan port tertentu seperti yang ditunjukkan oleh pengepala baris arahan SW(config-if)# dan menggunakan command switchport trunk native vlan <network number>, contohnya VLAN10. Kini semua trafik pada VLAN10 akan melalui batang tidak berteg.
Mari kembali ke topologi rangkaian logik dalam tetingkap Packet Tracer. Jika saya menggunakan perintah vlan 20 asli trunk switchport pada port suis Fa0/4, maka semua trafik pada VLAN20 akan mengalir melalui batang Fa0/4 β SW2 tanpa tag. Apabila suis SW2 menerima trafik ini, ia akan berfikir: "ini adalah trafik tidak berteg, yang bermaksud saya harus menghalakannya ke VLAN asli." Untuk suis ini, VLAN asli ialah rangkaian VLAN1. Rangkaian 1 dan 20 tidak disambungkan dalam apa jua cara, tetapi memandangkan mod VLAN asli digunakan, kami berpeluang untuk menghalakan trafik VLAN20 ke rangkaian yang berbeza sama sekali. Walau bagaimanapun, trafik ini tidak akan dikapsulkan, dan rangkaian itu sendiri mesti masih sepadan.
Mari kita lihat ini dengan contoh. Saya akan pergi ke tetapan SW1 dan menggunakan perintah switchport trunk native vlan 10. Sekarang sebarang trafik VLAN10 akan keluar dari port trunk tanpa tag. Apabila ia mencapai port batang SW2, suis akan memahami bahawa ia mesti memajukannya ke VLAN1. Hasil daripada keputusan ini, trafik tidak akan dapat mencapai komputer PC2, 3 dan 4, kerana ia disambungkan ke port akses suis yang dimaksudkan untuk VLAN10.
Secara teknikal, ini akan menyebabkan sistem melaporkan bahawa VLAN asli port Fa0/4, yang merupakan sebahagian daripada VLAN10, tidak sepadan dengan port Fa0/1, yang merupakan sebahagian daripada VLAN1. Ini bermakna port yang ditentukan tidak akan dapat beroperasi dalam mod batang disebabkan oleh ketidakpadanan VLAN asli.
Terima kasih kerana tinggal bersama kami. Adakah anda suka artikel kami? Ingin melihat kandungan yang lebih menarik? Sokong kami dengan membuat pesanan atau mengesyorkan kepada rakan, Diskaun 30% untuk pengguna Habr pada analog unik pelayan peringkat permulaan, yang kami cipta untuk anda: (tersedia dengan RAID1 dan RAID10, sehingga 24 teras dan sehingga 40GB DDR4).
Dell R730xd 2 kali lebih murah? Hanya disini di Belanda! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - daripada $99! Baca tentang
Sumber: www.habr.com