Dziś kontynuujemy omówienie VLAN i omówimy protokół VTP, a także pojęcia VTP Pruning i Native VLAN. W jednym z wcześniejszych filmów już mówiliśmy o VTP, a pierwszą rzeczą, która powinna przyjść ci do głowy, gdy słyszysz o VTP, jest to, że nie jest to protokół trunkingowy, pomimo że nazywa się "protokolem trunkingowym VLAN".
Jak wiesz, istnieją dwa popularne protokoły trunkingowe – nieużywany dziś protokół proprietarny Cisco ISL oraz protokół 802.q, który jest stosowany w urządzeniach sieciowych różnych producentów do enkapsulacji ruchu trunkingowego. Protokół ten jest również stosowany w przełącznikach Cisco. Już wspominaliśmy, że VTP to protokół synchronizacji VLAN, co oznacza, że służy do synchronizacji bazy danych VLAN we wszystkich przełącznikach w sieci.
Wspomnieliśmy o różnych trybach VTP – serwer, klient, transparentny. Jeśli urządzenie działa w trybie serwera, pozwala to na wprowadzanie zmian, dodawanie lub usuwanie VLAN. Tryb klienta nie pozwala na wprowadzanie zmian w ustawieniach przełącznika, możesz skonfigurować bazę danych VLAN tylko przez serwer VTP, a ona zostanie zreplikowana na wszystkich klientach VTP. Przełącznik w trybie transparentnym nie wprowadza zmian w swojej własnej bazie danych VLAN, a jedynie przepuszcza przez siebie i przekazuje zmiany następnemu urządzeniu w trybie klienta. Ten tryb przypomina wyłączenie protokołu VTP na danym urządzeniu, czyniąc je transporterem informacji o zmianach VLAN.
Wróćmy do programu Packet Tracer i do topologii sieci omówionej na poprzedniej lekcji. Skonfigurowaliśmy sieć VLAN10 dla działu sprzedaży oraz sieć VLAN20 dla działu marketingu, łącząc je trzema przełącznikami.
Między przełącznikami SW0 i SW1 odbywa się komunikacja w sieci VLAN20, a między SW0 a SW2 – komunikacja w sieci VLAN10 dzięki temu, że dodaliśmy VLAN10 do bazy danych VLAN przełącznika SW1.
Aby zbadać działanie protokołu VTP, użyjmy jednego z przełączników jako VTP-serwera, niech to będzie SW0. Jeśli pamiętasz, domyślnie wszystkie przełączniki pracują w trybie VTP-serwera. Wejdźmy do terminala wiersza poleceń przełącznika i wpiszmy polecenie show vtp status. Widzisz aktualną wersję protokołu VTP – 2 oraz numer rewizji konfiguracji 4. Jeśli pamiętasz, za każdym razem, gdy w bazie danych VTP wprowadzane są zmiany, numer rewizji zwiększa się o jeden.
Maksymalna liczba obsługiwanych sieci VLAN wynosi 255. Ta liczba zależy od modelu konkretnego przełącznika Cisco, ponieważ różne przełączniki mogą obsługiwać różną liczbę lokalnych sieci wirtualnych. Liczba istniejących sieci VLAN wynosi 7, za chwilę przyjrzymy się, co to za sieci. Tryb zarządzania VTP – serwer, nazwa domeny nie została podana, tryb VTP Pruning jest wyłączony, do tego wrócimy później. Wyłączone są także tryby VTP V2 i VTP Traps Generation. Aby zdać egzamin 200-125 CCNA, nie musisz znać dwóch ostatnich trybów, więc możesz o nie nie martwić się.
Przyjrzyjmy się bazie danych VLAN, używając polecenia show vlan. Jak już widzieliśmy w poprzednim wideo, mamy 4 nieobsługiwane sieci: 1002, 1003, 1004 i 1005.
Tutaj również wymienione są 2 utworzone przez nas sieci VLAN10 i 20 oraz domyślna sieć VLAN1. Teraz przejdźmy do innego przełącznika i wprowadźmy to samo polecenie, aby sprawdzić status VTP. Widzisz, że numer rewizji tego przełącznika wynosi 3, jest w trybie VTP-serwera, a wszystkie pozostałe informacje są podobne do pierwszego przełącznika. Kiedy wprowadzę polecenie show VLAN, zobaczę, że wprowadziliśmy 2 zmiany w ustawieniach, o jedną mniej niż w przełączniku SW0, dlatego numer rewizji SW1 wynosi 3. Wprowadziliśmy 3 zmiany w ustawieniach domyślnych pierwszego przełącznika, dlatego jego numer rewizji wzrósł do 4.
Teraz sprawdźmy status SW2. Numer rewizji wynosi tutaj 1, co jest dziwne. Powinien być drugi numer rewizji, ponieważ dokonano jednej zmiany w ustawieniach. Sprawdźmy bazę danych VLAN.
Wprowadziliśmy jedną zmianę, tworząc sieć VLAN10, i nie wiem, dlaczego ta informacja nie została zaktualizowana. Może to być spowodowane tym, że nie mamy prawdziwej sieci, a programowym symulatorem sieci, w którym mogą wystąpić błędy. Gdy będziesz miał okazję pracować z prawdziwymi urządzeniami podczas praktyk w dziale firmy Cisco, pomoże ci to bardziej niż symulator Packet Tracer. Kolejną przydatną opcją w przypadku braku dostępnych fizycznych urządzeń będzie GNC3, czyli graficzny symulator sieci Cisco. To emulator, który wykorzystuje prawdziwy system operacyjny urządzenia, na przykład routera. Istnieje różnica między symulatorem a emulatorem - pierwszy jest programem, który wygląda jak prawdziwy router, ale nim nie jest. Emulator programowo tworzy samo urządzenie, ale do jego działania wykorzystuje rzeczywiste oprogramowanie. Jeśli jednak nie masz możliwości pracy z rzeczywistym oprogramowaniem Cisco IOS, najlepszym rozwiązaniem będzie Packet Tracer.
Musimy skonfigurować SW0 jako serwer VTP, w tym celu wchodzę w tryb globalnej konfiguracji i wpisuję polecenie vtp version 2. Jak mówiłem, możemy ustawić tę wersję protokołu, którą chcemy - 1 lub 2, w tym przypadku potrzebujemy drugiej wersji. Następnie poleceniem vtp mode określamy tryb VTP dla switcha - serwer, klient lub transparentny. W tym przypadku potrzebujemy trybu serwera, a po wpisaniu polecenia vtp mode server system zgłasza, że urządzenie już znajduje się w trybie serwera. Następnie musimy skonfigurować domenę VTP, w tym celu używamy polecenia vtp domain nwking.org. Po co to potrzebne? Jeśli w sieci znajduje się inne urządzenie z większym numerem rewizji, wszystkie pozostałe urządzenia z mniejszym numerem zaczynają replikować bazę danych VLAN z tego urządzenia. Dzieje się to jednak tylko wtedy, gdy urządzenia mają tę samą nazwę domeny. Na przykład, jeśli pracujesz w nwking.org, podajesz tę domenę, jeśli w Cisco, to domenę cisco.com i tak dalej. Nazwa domeny urządzeń twojej firmy pozwala odróżnić je od urządzeń innej firmy lub wszelkich innych zewnętrznych urządzeń w sieci. Jeśli przypisujesz urządzeniu nazwę domeny firmy, czynisz je częścią sieci tej firmy.
Następnym krokiem jest ustawienie hasła VTP. Jest ono potrzebne, aby hacker z urządzeniem o wyższej wersji nie mógł skopiować swoich ustawień VTP na twój przełącznik. Wprowadzam hasło cisco za pomocą polecenia vtp password cisco. Po tym replikacja danych VTP między przełącznikami będzie możliwa tylko przy pasujących hasłach. Jeśli użyte zostanie błędne hasło, aktualizacja bazy danych VLAN nie nastąpi.
Spróbujmy stworzyć jeszcze kilka VLAN-ów. W tym celu używam polecenia config t, tworzę sieć o numerze 200 poleceniem vlan 200, nadaję jej nazwę TEST i zapisuję zmiany poleceniem exit. Następnie tworzę kolejny VLAN 500 i nazywam go TEST1. Jeśli teraz wprowadzimy polecenie show vlan, w tabeli wirtualnych sieci przełącznika można zobaczyć te dwie nowe sieci, do których nie przypisano żadnego portu.
Przejdźmy do SW1 i sprawdźmy jego status VTP. Widzimy, że nic się nie zmieniło, poza nazwą domeny, liczba VLAN-ów pozostała na poziomie 7. Nie widzimy utworzonych przez nas sieci, ponieważ hasło VTP się nie zgadza. Ustawmy hasło VTP na tym przełączniku, wprowadzając kolejno polecenia conf t, vtp pass i vtp password cisco. System wydał komunikat, że baza danych VLAN urządzenia teraz korzysta z hasła cisco. Jeszcze raz przyjrzyjmy się statusowi VTP, aby sprawdzić, czy replikacja informacji miała miejsce. Jak widać, liczba istniejących VLAN-ów automatycznie wzrosła do 9.
Jeśli spojrzymy na bazę danych VLAN tego przełącznika, to widać, że automatycznie pojawiły się stworzone przez nas sieci VLAN200 i VLAN500.
To samo musimy zrobić z ostatnim przełącznikiem SW2. Wprowadzimy polecenie show vlan – widzisz, że nie zaszły żadne zmiany. Również w statusie VTP nie ma żadnych zmian. Aby ten przełącznik zaktualizował informacje, należy również ustawić hasło, czyli wprowadzić te same polecenia, co dla SW1. Po tym liczba VLAN-ów w statusie SW2 wzrośnie do 9.
To, do czego służy protokół VTP. To świetne rozwiązanie, które umożliwia automatyczne aktualizowanie informacji na wszystkich urządzeniach sieciowych po wprowadzeniu zmian na urządzeniu serwerowym. Nie musisz ręcznie wprowadzać zmian w bazie danych VLAN wszystkich switchy – replikacja odbywa się automatycznie. Jeśli masz 200 urządzeń sieciowych, wprowadzone zmiany zostaną jednocześnie zapisane na wszystkich dwustu urządzeniach. Na wszelki wypadek musimy upewnić się, że SW2 również jest klientem VTP, więc przejdźmy do ustawień poleceniem config t i wprowadźmy polecenie vtp mode client.
W ten sposób w naszej sieci tylko pierwszy switch działa w trybie VTP Server, a dwa pozostałe w trybie VTP Client. Jeśli teraz wejdę w ustawienia SW2 i wprowadzę polecenie vlan 1000, otrzymam komunikat: „konfiguracja VTP VLAN nie jest dozwolona, gdy urządzenie znajduje się w trybie client”. Tak więc nie mogę wprowadzać żadnych zmian w bazie danych VLAN, jeśli switch działa w trybie klienta VTP. Jeśli chcę wprowadzić jakieś zmiany, muszę przełączyć się na switch serwera.
Wchodzę w ustawienia terminala SW0 i wprowadzam polecenia vlan 999, name IMRAN i exit. Ta nowa sieć pojawiła się w bazie danych VLAN tego switcha i jeśli teraz przejdę do bazy danych switcha klienta SW2, zobaczę, że pojawiły się te same informacje, czyli doszło do replikacji.
Jak wspomniałem, VTP jest doskonałym elementem oprogramowania, ale przy niewłaściwym użyciu ten protokół może zakłócić działanie całej sieci. Dlatego musisz bardzo ostrożnie podchodzić do sieci firmy, jeśli nazwa domeny i hasło VTP nie są ustawione. W takim przypadku wszystko, co potrzebuje haker, to podłączyć kabel swojego switcha do gniazdka sieciowego na ścianie, połączyć się z dowolnym switchiem biurowym przez protokół DTP, a następnie, korzystając z utworzonego trunku, zaktualizować wszystkie informacje za pomocą protokołu VTP. W ten sposób haker może usunąć wszystkie ważne sieci VLAN, wykorzystując to, że numer rewizji jego urządzenia jest wyższy niż numer rewizji pozostałych switchy. W tym przypadku switche firmy automatycznie zastąpią wszystkie informacje w bazie danych VLAN informacjami zreplikowanymi z złośliwego switcha, a cała twoja sieć się zawali.
To przysłowiowy kwestia, że komputery za pomocą kabla sieciowego są podłączone do konkretnego portu switcha, do którego przypisana jest sieć VLAN 10 lub sieć VLAN 20. Gdy te sieci zostaną usunięte z bazy danych LAN switcha, automatycznie odłączy on port należący do nieistniejącej sieci. Zwykle sieć firmy może się załamać właśnie dlatego, że switche po prostu odłączają porty związane z VLAN, które zostały usunięte przy kolejnej aktualizacji.
Aby zapobiec powstaniu takiego problemu, należy ustawić nazwę domeny i hasło VTP lub skorzystać z funkcji Cisco Port Security, która pozwala zarządzać adresami MAC portów switchy poprzez wprowadzenie różnych ograniczeń ich używania. Na przykład, jeśli ktoś obcy spróbuje zmienić adres MAC, port natychmiast zostanie odłączony. Wkrótce szczegółowo zapoznamy się z tą funkcją switchy Cisco, a teraz wystarczy, że wiesz, że Port Security zapewnia, że VTP jest chronione przed atakami.
Podsumujmy, co stanowi konfiguracja VTP. Jest to wybór wersji protokołu – 1 lub 2, oraz przypisanie trybu VTP – serwer, klient lub transparent. Jak już powiedziałem, ostatni tryb nie aktualizuje bazy danych VLAN samego urządzenia, a jedynie przekazuje wszystkie zmiany do sąsiednich urządzeń. Poniżej znajdują się komendy do przypisania nazwy domeny i hasła: vtp domain i vtp password .
Teraz porozmawiajmy o ustawieniach VTP Pruning. Jeśli spojrzysz na topologię sieci, zobaczysz, że wszystkie trzy switche mają tę samą bazę danych VLAN, co oznacza, że sieci VLAN 10 i VLAN 20 są częścią wszystkich 3 switchy. Technicznie switch SW2 nie potrzebuje sieci VLAN 20, ponieważ nie ma portów związanych z tą siecią. Jednak niezależnie od tego cały ruch, kierowany z komputera Laptop0 przez sieć VLAN 20, dociera do switcha SW1, a stamtąd przez trunk trafia do portów SW2. Twoim głównym zadaniem jako specjalisty sieciowego jest zminimalizowanie przesyłania zbędnych danych w sieci. Musisz zapewnić przesyłanie niezbędnych danych, ale jak ograniczyć przesyłanie informacji, które nie są potrzebne danemu urządzeniu?
Musisz upewnić się, że ruch przeznaczony dla urządzeń sieci VLAN20 nie będzie przesyłany na porty SW2 przez trunk, gdy nie jest to konieczne. To znaczy, że ruch z Laptop0 powinien docierać do SW1 i dalej do komputerów w sieci VLAN20, ale nie powinien wychodzić poza prawy port trunkowy SW1. Można to zapewnić za pomocą VTP Pruning.
W tym celu musimy przejść do ustawień serwera VTP SW0, ponieważ, jak już mówiłem, ustawienia VTP można dokonywać tylko przez serwer, przejść do globalnych ustawień konfiguracyjnych i wpisać polecenie vtp pruning. Ponieważ Packet Tracer to tylko program symulacyjny, nie ma takiego polecenia w jego podpowiedziach dla wiersza poleceń. Jednak kiedy wpiszę vtp pruning i naciśnę „Enter”, system poinformuje mnie, że tryb vtp pruning jest niedostępny.
Używając polecenia show vtp status, zobaczymy, że tryb VTP Pruning jest w stanie disabled, dlatego musimy go udostępnić, zmieniając na enable. Robiąc to, aktywujemy tryb VTP Pruning na wszystkich trzech switchach w naszej sieci w obrębie domeny sieciowej.
Pozwól, że przypomnę, czym jest VTP Pruning. Kiedy włączamy ten tryb, switch-serwer SW0 informuje switch SW2, że na jego portach skonfigurowana jest tylko sieć VLAN10. Następnie switch SW2 informuje switch SW1, że nie potrzebuje żadnego ruchu poza tym przeznaczonym dla sieci VLAN10. Teraz dzięki VTP Pruning switch SW1 posiada informację, że nie musi przesyłać ruchu VLAN20 przez trunk SW1-SW2.
Dla ciebie jako administratora sieci jest to bardzo wygodne. Nie musisz ręcznie wpisywać poleceń, ponieważ switch jest wystarczająco inteligentny, aby przesyłać dokładnie to, co jest wymagane przez konkretne urządzenie sieciowe. Jeśli jutro umieścisz w sąsiednim budynku jeszcze jeden oddział pracowników działu marketingu i podłączysz jego sieć VLAN20 do switcha SW2, ten switch natychmiast powiadomi switch SW1, że teraz ma sieci VLAN10 i VLAN20 i poprosi o przesyłanie ruchu dla obu sieci. Informacja ta jest na bieżąco aktualizowana na wszystkich urządzeniach, co sprawia, że komunikacja jest bardziej efektywna.
Istnieje jeszcze jeden sposób, aby sprecyzować przesył danych – można użyć polecenia, które zezwala na przesył danych tylko dla określonej VLAN. Wchodzę w ustawienia przełącznika SW1, gdzie interesuje mnie port Fa0/4, i wpisuję polecenia int fa0/4 oraz switchport trunk allowed vlan. Ponieważ już wiem, że SW2 ma tylko VLAN10, mogę powiedzieć przełącznikowi SW1, aby jego port trunk przepuszczał tylko ruch dla tej sieci, stosując polecenie allowed vlan. W ten sposób zaprogramowałem port trunk Fa0/4, aby przesyłał ruch tylko dla VLAN10. Oznacza to, że ten port nie przepuści ruchu VLAN1, VLAN20 ani żadnej innej sieci, poza wskazaną.
Możesz zapytać, co lepiej użyć – VTP Pruning czy polecenia allowed vlan. Odpowiedź jest subiektywna, ponieważ w niektórych przypadkach sensowne jest użycie pierwszego sposobu, a w innych – drugiego. Jako administrator sieci musisz samodzielnie wybrać optymalne rozwiązanie. W niektórych przypadkach programowanie portu na przepuszczanie ruchu określonej VLAN może być dobre, a w innych – złe. W przypadku naszej sieci użycie polecenia allowed vlan może być uzasadnione, jeśli nie planujemy zmieniać topologii sieci. Ale jeśli ktoś później zechce dodać do SW2 grupę urządzeń korzystających z VLAN20, bardziej rozsądne będzie zastosowanie trybu VTP Pruning.
Zatem konfiguracja VTP Pruning polega na użyciu następujących poleceń. Polecenie vtp pruning zapewnia automatyczne włączenie tego trybu. Jeśli chcesz skonfigurować VTP Pruning portu trunk, aby ręcznie przepuszczał ruch określonej VLAN, używasz polecenia wyboru numeru portu trunk interface , włączasz tryb trunk switchport mode trunk i zezwalasz na przesyłanie ruchu konkretnej sieci za pomocą polecenia switchport trunk allowed vlan .
W ostatnim poleceniu można użyć 5 parametrów. All oznacza, że dozwolona jest transmisja ruchu wszystkich sieci VLAN, none – przesyłanie ruchu dla wszystkich VLAN jest zabronione. Jeśli użyjesz parametru add, możesz dodać przesył ruchu dla jeszcze jednej sieci. Na przykład, mamy dozwolony ruch VLAN10, a poleceniem add można również zezwolić na przesyłanie ruchu sieci VLAN20. Polecenie remove pozwala usunąć jedną z sieci, na przykład, jeśli użyjesz parametru remove 20, pozostanie tylko przesyłanie ruchu VLAN10.
Teraz omówmy native VLAN. Mówiliśmy już, że native VLAN to wirtualna sieć, która przesyła nietagowany ruch przez określony port trunkowy.
Wchodzę w ustawienia konkretnego portu, na co wskazuje nagłówek wiersza poleceń SW(config-if)#, i używam polecenia switchport trunk native vlan , na przykład VLAN10. Teraz cały ruch sieci VLAN10 będzie przechodził przez trunk bez tagów.
Wróćmy do logicznej topologii sieci w oknie Packet Tracer. Jeśli użyję polecenia switchport trunk native vlan 20 dla portu switcha Fa0/4, cały ruch sieci VLAN20 będzie przechodził przez trunk Fa0/4 – SW2 jako nietagowany. Kiedy switch SW2 otrzyma ten ruch, pomyśli: „to nietagowany ruch, więc powinienem skierować go do sieci native VLAN”. Dla tego switcha native VLAN to sieć VLAN1. Sieci 1 i 20 nie są ze sobą powiązane, ale ponieważ używany jest tryb native VLAN, mamy możliwość skierowania ruchu VLAN20 do zupełnie innej sieci. Jednak ten ruch będzie niekapuslowany, a same sieci i tak muszą się zgadzać.
Przyjrzyjmy się temu na przykładzie. Wejdę w ustawienia SW1 i użyję polecenia switchport trunk native vlan 10. Teraz każdy ruch VLAN10 będzie wychodził z portu trunkowego jako nietagowany. Kiedy dotrze do portu trunkowego SW2, switch zrozumie, że musi skierować go do VLAN1. W wyniku tej decyzji ruch nie będzie mógł dotrzeć do komputerów PC2, 3 i 4, ponieważ są one podłączone do portów dostępowych switcha przeznaczonych dla VLAN10.
Technicznie spowoduje to pojawienie się komunikatu systemowego, że native VLAN portu Fa0/4, który jest częścią VLAN10, nie zgadza się z portem Fa0/1, który jest częścią VLAN1. Oznacza to, że podane porty nie będą mogły działać w trybie trunk z powodu niezgodności native VLAN.
Dziękujemy, że z nami jesteś. Czy podobają Ci się nasze artykuły? Chcesz widzieć więcej interesujących materiałów? Wspieraj nas składając zamówienie lub polecając znajomym, 30% zniżki dla użytkowników Habr na unikalny odpowiednik serwerów entry-level, który został stworzony przez nas dla Ciebie: (dostępne opcje z RAID1 i RAID10, do 24 rdzeni i do 40GB DDR4).
Dell R730xd dwa razy tańszy? Tylko u nas w Holandii! Dell R420 — 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — od 99 dolarów! Czytaj o tym
Źródło: habr.com
