Dzisiaj będziemy kontynuować dyskusję na temat sieci VLAN i omówimy protokół VTP, a także koncepcje VTP Pruning i Native VLAN. O VTP mówiliśmy już w jednym z poprzednich filmów i pierwszą rzeczą, która powinna przyjść Ci na myśl, gdy usłyszysz o VTP, jest to, że nie jest to protokół trunkingowy, mimo że nazywany jest „protokołem trunkingowym VLAN”.
Jak wiadomo, istnieją dwa popularne protokoły trunkingu - autorski protokół Cisco ISL, który nie jest dziś używany, oraz protokół 802.q, który jest stosowany w urządzeniach sieciowych różnych producentów do enkapsulacji ruchu trunkingowego. Protokół ten jest również stosowany w przełącznikach Cisco. Powiedzieliśmy już, że VTP jest protokołem synchronizacji VLAN, to znaczy służy do synchronizacji bazy danych VLAN na wszystkich przełącznikach sieciowych.
Wspomnieliśmy o różnych trybach VTP - serwer, klient, przezroczysty. Jeśli urządzenie korzysta z trybu serwerowego, umożliwia to wprowadzanie zmian, dodawanie lub usuwanie sieci VLAN. Tryb klienta nie pozwala na wprowadzanie zmian w ustawieniach przełącznika, bazę danych VLAN możesz skonfigurować tylko poprzez serwer VTP i będzie ona replikowana na wszystkich klientach VTP. Przełącznik w trybie przezroczystym nie wprowadza zmian we własnej bazie danych VLAN, ale po prostu przechodzi przez siebie i przekazuje zmiany do następnego urządzenia w trybie klienta. Ten tryb przypomina wyłączenie VTP na konkretnym urządzeniu, zamieniając je w transporter informacji o zmianach VLAN.
Wróćmy do programu Packet Tracer i topologii sieci omówionej w poprzedniej lekcji. Skonfigurowaliśmy sieć VLAN10 dla działu sprzedaży i sieć VLAN20 dla działu marketingu, łącząc je z trzema przełącznikami.
Pomiędzy przełącznikami SW0 i SW1 komunikacja odbywa się po sieci VLAN20, natomiast pomiędzy SW0 i SW2 komunikacja po sieci VLAN10 ze względu na fakt, że dodaliśmy VLAN10 do bazy VLAN przełącznika SW1.
Aby rozważyć działanie protokołu VTP wykorzystajmy jeden z przełączników jako serwer VTP, niech będzie to SW0. Jeśli pamiętasz, domyślnie wszystkie przełączniki działają w trybie serwera VTP. Przejdźmy do terminala wiersza poleceń przełącznika i wprowadźmy polecenie show vtp status. Widzisz, że bieżąca wersja protokołu VTP to 2, a numer wersji konfiguracji to 4. Jeśli pamiętasz, za każdym razem, gdy wprowadzane są zmiany w bazie danych VTP, numer wersji zwiększa się o jeden.
Maksymalna liczba obsługiwanych sieci VLAN wynosi 255. Liczba ta zależy od marki konkretnego przełącznika Cisco, ponieważ różne przełączniki mogą obsługiwać różną liczbę lokalnych sieci wirtualnych. Liczba istniejących sieci VLAN wynosi 7, za minutę sprawdzimy, jakie to sieci. Tryb kontroli VTP to serwer, nazwa domeny nie jest ustawiona, tryb czyszczenia VTP jest wyłączony, wrócimy do tego później. Tryby generowania pułapek VTP V2 i VTP są również wyłączone. Nie musisz znać dwóch ostatnich trybów, aby zdać egzamin CCNA 200-125, więc nie przejmuj się nimi.
Przyjrzyjmy się bazie danych sieci VLAN za pomocą polecenia show vlan. Jak już widzieliśmy w poprzednim filmie, mamy 4 nieobsługiwane sieci: 1002, 1003, 1004 i 1005.
Zawiera także listę 2 utworzonych przez nas sieci, VLAN10 i 20, oraz sieci domyślnej, VLAN1. Przejdźmy teraz do innego przełącznika i wprowadźmy to samo polecenie, aby wyświetlić status VTP. Widzisz, że numer wersji tego przełącznika to 3, jest on w trybie serwera VTP, a wszystkie inne informacje są podobne do pierwszego przełącznika. Kiedy wpisuję polecenie show VLAN, widzę, że dokonaliśmy 2 zmian w ustawieniach, o jedną mniej niż przełącznik SW0, dlatego numer wersji SW1 to 3. Dokonaliśmy 3 zmian w ustawieniach domyślnych pierwszego przełącznika, dlatego jego numer wersji wzrósł do 4.
Przyjrzyjmy się teraz statusowi SW2. Numer wersji to 1, co jest dziwne. Musimy mieć drugą wersję, ponieważ wprowadzono 1 zmianę ustawień. Spójrzmy na bazę danych VLAN.
Wprowadziliśmy jedną zmianę, tworząc VLAN10 i nie wiem, dlaczego ta informacja nie została zaktualizowana. Być może stało się tak dlatego, że nie mamy prawdziwej sieci, ale programowy symulator sieci, w którym mogą występować błędy. Jeśli podczas stażu w Cisco będziesz mieć możliwość pracy na prawdziwych urządzeniach, pomoże Ci to bardziej niż symulator Packet Tracer. Kolejną przydatną rzeczą w przypadku braku prawdziwych urządzeń byłby GNC3, czyli graficzny symulator sieci Cisco. Jest to emulator korzystający z prawdziwego systemu operacyjnego urządzenia, takiego jak router. Istnieje różnica między symulatorem a emulatorem - ten pierwszy to program, który wygląda jak prawdziwy router, ale nim nie jest. Oprogramowanie emulatora tworzy tylko samo urządzenie, ale do jego obsługi wykorzystuje prawdziwe oprogramowanie. Jeśli jednak nie masz możliwości uruchomienia rzeczywistego oprogramowania Cisco IOS, najlepszym rozwiązaniem będzie Packet Tracer.
Musimy więc skonfigurować SW0 jako serwer VTP, w tym celu wchodzę w tryb konfiguracji ustawień globalnych i wpisuję polecenie vtp wersja 2. Jak powiedziałem, możemy zainstalować potrzebną nam wersję protokołu - 1 lub 2, w tym na wypadek, gdybyśmy potrzebowali drugiej wersji. Następnie za pomocą polecenia vtp mode ustawiamy tryb VTP przełącznika – serwerowy, kliencki lub przezroczysty. W tym wypadku potrzebny jest nam tryb serwerowy i po wpisaniu komendy serwer vtp mode system wyświetla komunikat, że urządzenie jest już w trybie serwerowym. Następnie musimy skonfigurować domenę VTP, dla której używamy polecenia vtp domain nwking.org. Dlaczego jest to konieczne? Jeśli w sieci znajduje się inne urządzenie z wyższym numerem wersji, wszystkie pozostałe urządzenia z niższym numerem wersji rozpoczynają replikację bazy danych VLAN z tego urządzenia. Dzieje się tak jednak tylko wtedy, gdy urządzenia mają tę samą nazwę domeny. Na przykład, jeśli pracujesz w nwking.org, wskazujesz tę domenę, jeśli w Cisco, to domenę cisco.com i tak dalej. Nazwa domeny urządzeń Twojej firmy pozwala na odróżnienie ich od urządzeń innej firmy lub od jakichkolwiek innych urządzeń zewnętrznych w sieci. Kiedy przypiszesz nazwę domeny firmy do urządzenia, czynisz je częścią sieci tej firmy.
Następną rzeczą do zrobienia jest ustawienie hasła VTP. Jest to potrzebne, aby haker posiadający urządzenie o wysokim numerze wersji nie mógł skopiować swoich ustawień VTP na Twój przełącznik. Wprowadzam hasło Cisco za pomocą polecenia vtp hasło cisco. Następnie replikacja danych VTP pomiędzy przełącznikami będzie możliwa tylko wtedy, gdy hasła będą zgodne. Jeśli zostanie użyte nieprawidłowe hasło, baza danych VLAN nie zostanie zaktualizowana.
Spróbujmy utworzyć więcej sieci VLAN. Aby to zrobić, używam polecenia config t, używam polecenia vlan 200, aby utworzyć sieć o numerze 200, nadaję jej nazwę TEST i zapisuję zmiany poleceniem exit. Następnie tworzę kolejny vlan 500 i nazywam go TEST1. Jeśli teraz wpiszesz polecenie show vlan, to w tabeli sieci wirtualnych przełącznika zobaczysz te dwie nowe sieci, do których nie jest przypisany ani jeden port.
Przejdźmy do SW1 i zobaczmy jego status VTP. Widzimy, że nic się tutaj nie zmieniło poza nazwą domeny, liczba sieci VLAN pozostaje równa 7. Nie widzimy utworzonych przez nas sieci, ponieważ hasło VTP nie pasuje. Ustawmy hasło VTP na tym przełączniku, wpisując kolejno polecenia conf t, vtp pass i vtp hasło Cisco. System zgłosił, że baza danych VLAN urządzenia używa teraz hasła Cisco. Przyjrzyjmy się jeszcze raz statusowi VTP, aby sprawdzić, czy informacje zostały zreplikowane. Jak widać, liczba istniejących sieci VLAN automatycznie wzrosła do 9.
Jeśli zajrzysz do bazy danych VLAN tego przełącznika, zobaczysz, że automatycznie pojawiły się w niej utworzone przez nas sieci VLAN200 i VLAN500.
To samo należy zrobić z ostatnim przełącznikiem SW2. Wejdźmy w komendę show vlan - widać, że nie zaszły w niej żadne zmiany. Podobnie nie ma zmian w statusie VTP. Aby ten przełącznik aktualizował informacje, należy także ustawić hasło, czyli wprowadzić te same polecenia, co dla SW1. Następnie liczba sieci VLAN w statusie SW2 wzrośnie do 9.
Właśnie po to jest VTP. To wspaniała rzecz, która automatycznie aktualizuje informacje we wszystkich klienckich urządzeniach sieciowych po wprowadzeniu zmian w urządzeniu serwerowym. Nie musisz ręcznie wprowadzać zmian w bazie danych VLAN wszystkich przełączników – replikacja odbywa się automatycznie. Jeśli masz 200 urządzeń sieciowych, wprowadzone zmiany zostaną zapisane na wszystkich dwustu urządzeniach jednocześnie. Na wszelki wypadek musimy się upewnić, że SW2 jest także klientem VTP, więc przejdźmy do ustawień za pomocą polecenia config t i wprowadźmy polecenie klienta trybu vtp.
Zatem w naszej sieci tylko pierwszy przełącznik pracuje w trybie Serwera VTP, pozostałe dwa działają w trybie Klienta VTP. Jeśli teraz wejdę w ustawienia SW2 i wprowadzę polecenie vlan 1000, otrzymam komunikat: „konfigurowanie VTP VLAN nie jest dozwolone, gdy urządzenie jest w trybie klienta”. Dlatego nie mogę dokonać żadnych zmian w bazie danych VLAN, jeśli przełącznik znajduje się w trybie klienta VTP. Jeśli chcę dokonać jakichkolwiek zmian, muszę przejść do serwera przełączającego.
Wchodzę w ustawienia terminala SW0 i wpisuję komendy vlan 999, nadaję nazwę IMRAN i wychodzę. Ta nowa sieć pojawiła się w bazie VLAN tego przełącznika i jeśli teraz wejdę do bazy danych przełącznika klienta SW2, to zobaczę, że tutaj pojawiła się ta sama informacja, czyli nastąpiła replikacja.
Jak powiedziałem, VTP to świetne oprogramowanie, ale niewłaściwe użycie może zakłócić działanie całej sieci. Dlatego należy zachować szczególną ostrożność podczas obsługi sieci firmowej, jeśli nazwa domeny i hasło VTP nie są ustawione. W tym przypadku wystarczy, że haker włoży kabel swojego przełącznika do gniazdka sieciowego w ścianie, połączy się z dowolnym biurowym przełącznikiem za pomocą protokołu DTP, a następnie korzystając z utworzonego łącza, zaktualizuje wszystkie informacje za pomocą protokołu VTP . W ten sposób haker może usunąć wszystkie ważne sieci VLAN, wykorzystując fakt, że numer wersji jego urządzenia jest wyższy niż numer wersji innych przełączników. W takim przypadku przełączniki firmy automatycznie zastąpią wszystkie informacje z bazy danych VLAN informacjami zreplikowanymi ze złośliwego przełącznika, a cała sieć ulegnie awarii.
Dzieje się tak dlatego, że komputery podłączane są kablem sieciowym do konkretnego portu przełącznika, do którego przypisana jest sieć VLAN 10 lub VLAN20. Jeśli te sieci zostaną usunięte z bazy danych LAN przełącznika, nastąpi automatyczne wyłączenie portu należącego do nieistniejącej sieci. Zwykle sieć firmowa może się załamać właśnie dlatego, że przełączniki po prostu wyłączają porty powiązane z sieciami VLAN, które zostały usunięte podczas następnej aktualizacji.
Aby zapobiec wystąpieniu takiego problemu, należy ustawić nazwę domeny VTP i hasło lub skorzystać z funkcji Cisco Port Security, która pozwala zarządzać adresami MAC portów przełącznika, wprowadzając różne ograniczenia w ich użyciu. Na przykład, jeśli ktoś inny spróbuje zmienić adres MAC, port natychmiast przestanie działać. Wkrótce przyjrzymy się bliżej tej funkcji przełączników Cisco, ale na razie wszystko, co musisz wiedzieć, to to, że Port Security pozwala mieć pewność, że VTP jest chroniony przed atakującym.
Podsumujmy, czym jest ustawienie VTP. Jest to wybór wersji protokołu - 1 lub 2, przypisanie trybu VTP - serwer, klient lub przezroczysty. Jak już powiedziałem, ten drugi tryb nie aktualizuje bazy danych VLAN samego urządzenia, a po prostu przesyła wszystkie zmiany do sąsiednich urządzeń. Poniżej znajdują się polecenia służące do przypisania nazwy domeny i hasła: domena vtp <nazwa domeny> i hasło vtp <hasło>.
Porozmawiajmy teraz o ustawieniach czyszczenia VTP. Jeśli spojrzysz na topologię sieci, zobaczysz, że wszystkie trzy przełączniki mają tę samą bazę danych VLAN, co oznacza, że VLAN10 i VLAN20 są częścią wszystkich 3 przełączników. Technicznie rzecz biorąc, przełącznik SW2 nie potrzebuje VLAN20, ponieważ nie posiada portów należących do tej sieci. Niezależnie jednak od tego cały ruch wysyłany z komputera Laptop0 poprzez sieć VLAN20 dociera do przełącznika SW1 i stamtąd przechodzi przez trunk do portów SW2. Twoim głównym zadaniem jako specjalisty ds. sieci jest dbanie o to, aby przez sieć przesyłanych było jak najmniej niepotrzebnych danych. Musisz zadbać o transmisję niezbędnych danych, ale jak ograniczyć przesyłanie informacji, które nie są potrzebne urządzeniu?
Należy upewnić się, że ruch przeznaczony dla urządzeń w sieci VLAN20 nie przepływa do portów SW2 przez łącze trunkingowe, gdy nie jest to potrzebne. Oznacza to, że ruch Laptop0 powinien dotrzeć do SW1, a następnie do komputerów w sieci VLAN20, ale nie powinien wychodzić poza prawy port trunk SW1. Można to osiągnąć za pomocą przycinania VTP.
Aby to zrobić musimy przejść do ustawień serwera VTP SW0, ponieważ jak już mówiłem ustawień VTP można dokonać tylko poprzez serwer, przejdź do globalnych ustawień konfiguracyjnych i wpisz komendę vtp pruning. Ponieważ Packet Tracer jest tylko programem symulacyjnym, w wierszu poleceń nie ma takiego polecenia. Jednakże, gdy wpisuję vtp pruning i naciskam Enter, system informuje mnie, że tryb czyszczenia vtp jest niedostępny.
Używając polecenia show vtp status, zobaczymy, że tryb czyszczenia VTP jest w stanie wyłączonym, dlatego musimy go udostępnić, przesuwając go do pozycji włączonej. Po wykonaniu tej czynności aktywujemy tryb czyszczenia VTP na wszystkich trzech przełącznikach naszej sieci w domenie sieciowej.
Przypomnę, czym jest przycinanie VTP. Kiedy włączymy ten tryb, serwer przełącznika SW0 poinformuje przełącznik SW2, że na jego portach skonfigurowana jest tylko sieć VLAN10. Następnie przełącznik SW2 informuje przełącznik SW1, że nie potrzebuje żadnego ruchu innego niż ruch przeznaczony dla sieci VLAN10. Teraz, dzięki VTP Pruning, przełącznik SW1 ma informację, że nie musi wysyłać ruchu VLAN20 wzdłuż łącza SW1-SW2.
Jest to bardzo wygodne dla Ciebie jako administratora sieci. Nie musisz ręcznie wprowadzać poleceń, ponieważ przełącznik jest na tyle inteligentny, że wysyła dokładnie to, czego potrzebuje konkretne urządzenie sieciowe. Jeśli jutro umieścisz inny dział marketingu w sąsiednim budynku i podłączysz jego sieć VLAN20 do przełącznika SW2, przełącznik ten natychmiast poinformuje przełącznik SW1, że ma teraz VLAN10 i VLAN20 i poprosi go o przekazywanie ruchu dla obu sieci. Informacje te są stale aktualizowane na wszystkich urządzeniach, dzięki czemu komunikacja jest bardziej wydajna.
Istnieje inny sposób określenia transmisji ruchu - polega to na użyciu polecenia, które pozwala na transmisję danych tylko dla określonej sieci VLAN. Wchodzę w ustawienia przełącznika SW1, gdzie interesuje mnie port Fa0/4 i wpisuję komendy int fa0/4 i switchport trunk zezwolenie vlan. Ponieważ już wiem, że SW2 ma tylko VLAN10, mogę powiedzieć SW1, aby zezwalał tylko na ruch dla tej sieci na swoim porcie trunku, używając polecenia dozwolonego vlan. Zaprogramowałem więc port trunk Fa0/4 tak, aby przenosił ruch tylko dla VLAN10. Oznacza to, że ten port nie będzie przepuszczał dalszego ruchu z sieci VLAN1, VLAN20 ani żadnej innej sieci niż określona.
Być może zastanawiasz się, czego lepiej użyć: przycinania VTP czy dozwolonego polecenia vlan. Odpowiedź jest subiektywna, ponieważ w niektórych przypadkach warto zastosować pierwszą metodę, a w innych drugą. Jako administrator sieci musisz wybrać najlepsze rozwiązanie. W niektórych przypadkach decyzja o zaprogramowaniu portu tak, aby zezwalał na ruch z określonej sieci VLAN, może być dobra, ale w innych może być zła. W przypadku naszej sieci użycie dozwolonego polecenia vlan może być uzasadnione, jeśli nie zamierzamy zmieniać topologii sieci. Jeśli jednak ktoś będzie chciał później dodać grupę urządzeń korzystających z VLAN2 do SW 20, bardziej wskazane byłoby skorzystanie z trybu czyszczenia VTP.
Dlatego konfiguracja czyszczenia VTP wymaga użycia następujących poleceń. Polecenie czyszczenia vtp umożliwia automatyczne użycie tego trybu. Jeśli chcesz skonfigurować czyszczenie VTP portu trunk, aby umożliwić ręczne przekazywanie ruchu w określonej sieci VLAN, użyj polecenia, aby wybrać interfejs numeru portu trunku <#>, włączyć tryb przełączania łącza trunkingowego i zezwolić na transmisję ruchu do określonej sieci za pomocą polecenia VLAN dozwolonego łącza trunkport .
W ostatnim poleceniu możesz użyć 5 parametrów. Wszystko oznacza, że transmisja ruchu dla wszystkich sieci VLAN jest dozwolona, brak – transmisja ruchu dla wszystkich sieci VLAN jest zabroniona. Jeśli użyjesz parametru add, możesz dodać przepustowość ruchu dla innej sieci. Na przykład zezwalamy na ruch VLAN10, a za pomocą polecenia add możemy również przepuszczać ruch VLAN20. Polecenie usuwania pozwala usunąć jedną z sieci, przykładowo, jeśli użyjesz parametru usuń 20, pozostanie tylko ruch VLAN10.
Przyjrzyjmy się teraz natywnej sieci VLAN. Powiedzieliśmy już, że natywna sieć VLAN to sieć wirtualna służąca do przepuszczania nieoznaczonego ruchu przez określony port trunk.
Wchodzę w ustawienia konkretnego portu wskazane w nagłówku wiersza poleceń SW(config-if)# i używam polecenia switchport trunk native vlan <numer sieci>, na przykład VLAN10. Teraz cały ruch w sieci VLAN10 będzie przechodził przez nieoznaczone łącze trunk.
Wróćmy do topologii sieci logicznej w oknie Packet Tracer. Jeśli użyję natywnego polecenia vlan 20 trunkport trunk na porcie przełącznika Fa0/4, wówczas cały ruch w sieci VLAN20 będzie przepływał przez łącze trunkingowe Fa0/4 – SW2 bez oznaczenia. Kiedy przełącznik SW2 odbierze ten ruch, pomyśli: „jest to ruch nieoznaczony, co oznacza, że powinienem skierować go do natywnej sieci VLAN”. W przypadku tego przełącznika natywną siecią VLAN jest sieć VLAN1. Sieci 1 i 20 nie są w żaden sposób połączone, ale ponieważ używany jest natywny tryb VLAN, mamy możliwość skierowania ruchu VLAN20 do zupełnie innej sieci. Jednak ten ruch będzie niekapsułkowany, a same sieci muszą nadal pasować.
Spójrzmy na to na przykładzie. Przejdę do ustawień SW1 i użyję natywnego polecenia switchport trunk trunk vlan 10. Teraz cały ruch VLAN10 będzie wychodził z portu trunk bez oznaczenia. Kiedy dotrze do portu trunk SW2, przełącznik zrozumie, że musi przekazać go do VLAN1. W wyniku tej decyzji ruch nie będzie mógł dotrzeć do komputerów PC2, 3 i 4, ponieważ są one podłączone do portów dostępowych przełącznika przeznaczonych dla VLAN10.
Technicznie rzecz biorąc, spowoduje to, że system zgłosi, że natywna sieć VLAN portu Fa0/4, który jest częścią VLAN10, nie pasuje do portu Fa0/1, który jest częścią VLAN1. Oznacza to, że określone porty nie będą mogły działać w trybie trunk z powodu niedopasowania natywnej sieci VLAN.
Dziękujemy za pobyt z nami. Podobają Ci się nasze artykuły? Chcesz zobaczyć więcej ciekawych treści? Wesprzyj nas składając zamówienie lub polecając znajomym, 30% zniżki dla użytkowników Habr na unikalny odpowiednik serwerów klasy podstawowej, który został przez nas wymyślony dla Ciebie: (dostępne z RAID1 i RAID10, do 24 rdzeni i do 40 GB DDR4).
Dell R730xd 2 razy tańszy? Tylko tutaj w Holandii! Dell R420 — 2x E5-2430 2.2 GHz 6C 128 GB DDR3 2x960 GB SSD 1 Gb/s 100 TB — od 99 USD! Czytać o
Źródło: www.habr.com