Dzisiaj kontynuujemy omawianie sieci VLAN i omawiamy protokół VTP, a także koncepcje VTP Pruning i natywnej sieci VLAN. W jednym z poprzednich filmów omawialiśmy już VTP. Pierwszą rzeczą, jaka powinna przyjść Ci do głowy, gdy słyszysz o VTP, jest to, że nie jest to protokół trunkingowy, mimo że nazywany jest „protokołem VLAN Trunking Protocol”.
Jak wiadomo, istnieją dwa popularne protokoły trunkingowe: obecnie nieużywany protokół ISL firmy Cisco oraz protokół 802.q, stosowany w urządzeniach sieciowych różnych producentów do kapsułkowania ruchu trunkingowego. Protokół ten jest również używany w przełącznikach Cisco. Powiedzieliśmy już, że VTP jest protokołem synchronizacji sieci VLAN, co oznacza, że jest przeznaczony do synchronizowania bazy danych sieci VLAN na wszystkich przełącznikach sieciowych.
Wspomnieliśmy o różnych trybach VTP – serwerze, kliencie i przezroczystym. Jeżeli urządzenie znajduje się w trybie serwera, możliwe jest wprowadzanie zmian, dodawanie lub usuwanie sieci VLAN. Tryb klienta nie umożliwia wprowadzania zmian w ustawieniach przełącznika. Można jedynie skonfigurować bazę danych VLAN za pośrednictwem serwera VTP. Baza danych zostanie zreplikowana do wszystkich klientów VTP. Przełącznik w trybie transparentnym nie wprowadza zmian w swojej własnej bazie danych VLAN, lecz po prostu przepuszcza zmiany przez siebie i przesyła je do kolejnego urządzenia, które działa w trybie klienta. Tryb ten działa podobnie do wyłączenia protokołu VTP na konkretnym urządzeniu, zmieniając je w nośnik informacji o zmianach w sieci VLAN.
Wróćmy do programu Packet Tracer i topologii sieci omówionej w poprzedniej lekcji. Skonfigurowaliśmy VLAN10 dla działu sprzedaży i VLAN20 dla działu marketingu, łącząc je trzema przełącznikami.
Przełączniki SW0 i SW1 komunikują się przez VLAN20, a przełączniki SW0 i SW2 komunikują się przez VLAN10, ponieważ dodaliśmy VLAN10 do bazy danych VLAN przełącznika SW1.
Aby rozważyć działanie protokołu VTP, użyjmy jednego z przełączników jako serwera VTP, niech będzie to SW0. Jeśli pamiętasz, domyślnie wszystkie przełączniki działają w trybie serwera VTP. Przejdźmy do wiersza poleceń przełącznika i wprowadźmy polecenie show vtp status. Jak widać, bieżąca wersja protokołu VTP to 2, a numer rewizji konfiguracji to 4. Warto pamiętać, że za każdym razem, gdy wprowadzona zostaje zmiana w bazie danych VTP, numer rewizji jest zwiększany o jeden.
Maksymalna liczba obsługiwanych sieci VLAN wynosi 255. Liczba ta zależy od marki konkretnego przełącznika Cisco, ponieważ różne przełączniki mogą obsługiwać różną liczbę sieci VLAN. Liczba istniejących sieci VLAN wynosi 7. Za chwilę przyjrzymy się bliżej tym sieciom. Tryb sterowania VTP to serwer, nazwa domeny nie jest ustawiona, tryb czyszczenia VTP jest wyłączony, do tego wrócimy później. Tryby generowania pułapek VTP V2 i VTP są również wyłączone. Nie musisz znać dwóch ostatnich trybów, aby zdać egzamin CCNA 200-125, więc się nimi nie przejmuj.
Przyjrzyjmy się bazie danych sieci VLAN korzystając z polecenia show vlan. Jak widzieliśmy w poprzednim filmie, mamy 4 nieobsługiwane sieci: 1002, 1003, 1004 i 1005.
Wymienione są w nim również dwie sieci, które utworzyliśmy: VLAN2 i 10, a także sieć domyślna: VLAN20. Teraz przejdźmy do innego przełącznika i wprowadźmy to samo polecenie, aby wyświetlić stan VTP. Jak widać, numer rewizji tego przełącznika to 1, działa on w trybie serwera VTP, a wszystkie inne informacje są takie same jak w przypadku pierwszego przełącznika. Gdy wpisuję polecenie show VLAN, widzę, że wprowadziliśmy 3 zmiany w konfiguracji, o jedną mniej niż w przypadku przełącznika SW2, dlatego numer rewizji przełącznika SW0 wynosi 1. Wprowadziliśmy 3 zmiany w ustawieniach domyślnych przełącznika 3, dlatego numer jego rewizji wzrósł do 4.
Przyjrzyjmy się teraz statusowi SW2. Numer rewizji w tym przypadku wynosi 1, co jest dziwne. Powinniśmy przeprowadzić drugą rewizję, ponieważ wprowadzono jedną zmianę ustawień. Przyjrzyjmy się bazie danych VLAN.
Wprowadziliśmy jedną zmianę: stworzyliśmy sieć VLAN10 i nie wiem, dlaczego ta informacja nie została zaktualizowana. Może to wynikać z faktu, że nie dysponujemy prawdziwą siecią, lecz symulatorem sieci programowym, który może zawierać błędy. Jeśli podczas stażu w oddziale Cisco będziesz miał okazję pracować z prawdziwymi urządzeniami, z pewnością przyda Ci się to bardziej niż symulator Packet Tracer. Inną przydatną rzeczą, jeśli nie posiadasz prawdziwych urządzeń, jest GNC3, czyli Cisco Graphical Network Simulator. Jest to emulator wykorzystujący rzeczywisty system operacyjny urządzenia, np. routera. Istnieje różnica pomiędzy symulatorem a emulatorem - ten pierwszy to program, który wygląda jak prawdziwy router, ale nim nie jest. Emulator tworzy jedynie samo urządzenie, ale do jego obsługi używa prawdziwego oprogramowania. Jeśli jednak nie masz dostępu do prawdziwego oprogramowania Cisco IOS, Packet Tracer będzie dla Ciebie najlepszym rozwiązaniem.
Musimy więc skonfigurować SW0 jako serwer VTP, w tym celu przechodzę do trybu konfiguracji globalnej i wpisuję polecenie vtp version 2. Jak już wspomniałem, możemy ustawić potrzebną nam wersję protokołu - 1 lub 2, w tym przypadku potrzebujemy drugiej wersji. Następnie za pomocą polecenia vtp mode ustawiamy tryb VTP przełącznika – serwer, klient lub transparentny. W tym przypadku potrzebny jest tryb serwera. Po wpisaniu polecenia vtp mode server system wyświetli komunikat informujący, że urządzenie jest już w trybie serwera. Następnie musimy skonfigurować domenę VTP, w tym celu używamy polecenia vtp domain nwking.org. Dlaczego jest to konieczne? Jeżeli w sieci znajduje się inne urządzenie o wyższym numerze rewizji, wszystkie pozostałe urządzenia o niższym numerze rewizji rozpoczną replikację bazy danych VLAN z tego urządzenia. Dzieje się tak jednak tylko wtedy, gdy urządzenia mają tę samą nazwę domeny. Na przykład, jeśli pracujesz w firmie nwking.org, podajesz tę domenę, jeżeli w firmie Cisco, to domeną jest cisco.com, i tak dalej. Nazwa domeny urządzeń Twojej firmy pozwala odróżnić je od urządzeń innej firmy lub innych urządzeń zewnętrznych w Twojej sieci. Przypisując urządzeniu nazwę domeny firmy, staje się ono częścią sieci danej firmy.
Następnie należy ustawić hasło VTP. Jest to konieczne, aby haker, posiadający urządzenie z wysokim numerem rewizji, nie mógł skopiować swoich ustawień VTP na Twój przełącznik. Wpisuję hasło cisco za pomocą polecenia vtp password cisco. Następnie replikacja danych VTP pomiędzy przełącznikami będzie możliwa wyłącznie, jeżeli hasła będą zgodne. W przypadku podania nieprawidłowego hasła baza danych sieci VLAN nie zostanie zaktualizowana.
Spróbujmy utworzyć więcej sieci VLAN. Aby to zrobić, używam polecenia config t, tworzę sieć o numerze 200 za pomocą polecenia vlan 200, przypisuję jej nazwę TEST i zapisuję zmiany za pomocą polecenia exit. Następnie tworzę kolejną sieć VLAN 500 i nazywam ją TEST1. Jeśli teraz wprowadzisz polecenie show vlan, zobaczysz te dwie nowe sieci w tabeli sieci wirtualnych przełącznika, do których nie jest przypisany żaden port.
Przejdźmy teraz od SW1 i przyjrzyjmy się jego statusowi VTP. Widzimy, że poza nazwą domeny nic się tutaj nie zmieniło, liczba sieci VLAN pozostała na poziomie 7. Nie widzimy utworzonych przez nas sieci, ponieważ hasło VTP nie jest zgodne. Ustawmy hasło VTP na tym przełączniku, wpisując kolejno polecenia conf t, vtp pass i vtp password cisco. System zgłosił, że baza danych VLAN urządzenia używa teraz hasła Cisco. Przyjrzyjmy się jeszcze raz statusowi VTP, aby sprawdzić, czy informacje zostały zreplikowane. Jak widać, liczba istniejących sieci VLAN automatycznie wzrosła do 9.
Jeśli spojrzysz na bazę danych VLAN tego przełącznika, zobaczysz, że automatycznie pojawiły się w niej utworzone przez nas sieci VLAN200 i VLAN500.
To samo należy zrobić z ostatnim przełącznikiem SW2. Wprowadźmy polecenie show vlan — jak widzisz, nie zaszły w nim żadne zmiany. Podobnie nie ma żadnej zmiany w statusie VTP. Aby ten przełącznik mógł aktualizować informacje, należy także ustawić hasło, czyli wpisać te same polecenia, co w przypadku SW1. Następnie liczba sieci VLAN w statusie SW2 wzrośnie do 9.
Do tego służy protokół VTP. To bardzo przydatne rozwiązanie, zapewniające automatyczną aktualizację informacji na wszystkich urządzeniach sieciowych klientów po wprowadzeniu zmian na urządzeniu serwerowym. Nie ma potrzeby ręcznego wprowadzania zmian w bazie danych VLAN wszystkich przełączników — replikacja odbywa się automatycznie. Jeśli masz 200 urządzeń sieciowych, wprowadzone przez Ciebie zmiany zostaną zapisane na wszystkich 2 urządzeniach jednocześnie. Na wszelki wypadek musimy się upewnić, że SWXNUMX jest również klientem VTP, dlatego przechodzimy do ustawień za pomocą polecenia config t i wpisujemy polecenie vtp mode client.
Dlatego w naszej sieci tylko pierwszy przełącznik działa w trybie serwera VTP, pozostałe dwa działają w trybie klienta VTP. Jeśli teraz przejdę do ustawień SW2 i wprowadzę polecenie vlan 1000, otrzymuję komunikat: „Konfiguracja sieci VLAN VTP nie jest dozwolona, gdy urządzenie znajduje się w trybie klienta”. Dlatego nie mogę wprowadzać żadnych zmian w bazie danych VLAN, jeśli przełącznik działa w trybie klienta VTP. Jeśli chcę dokonać jakichkolwiek zmian, muszę przejść do serwera przełączającego.
Przechodzę do ustawień terminala SW0 i wpisuję polecenia vlan 999, nazwę IMRAN i wychodzę. Ta nowa sieć pojawiła się w bazie danych sieci VLAN tego przełącznika i jeśli przejdę teraz do bazy danych przełącznika klienckiego SW2, zobaczę, że pojawiła się tutaj ta sama informacja, tzn. że nastąpiła replikacja.
Jak już wspomniałem, VTP to świetne oprogramowanie, ale jeśli zostanie użyte nieprawidłowo, może spowodować awarię całej sieci. W związku z tym należy zachować szczególną ostrożność podczas korzystania z sieci firmowej, jeśli nie ustawiono nazwy domeny VTP i hasła. W tym przypadku haker musi jedynie podłączyć kabel przełącznika do gniazdka sieciowego w ścianie, połączyć się z dowolnym przełącznikiem w biurze za pomocą protokołu DTP, a następnie, korzystając z utworzonego łącza, zaktualizować wszystkie informacje za pomocą protokołu VTP. W ten sposób haker może usunąć wszystkie ważne sieci VLAN, wykorzystując fakt, że numer rewizji jego urządzenia jest wyższy niż numer rewizji innych przełączników. W takim przypadku przełączniki firmy automatycznie zastąpią wszystkie informacje z bazy danych VLAN informacjami zreplikowanymi ze złośliwego przełącznika, a cała sieć ulegnie awarii.
Dzieje się tak, ponieważ komputery są połączone za pomocą kabla sieciowego z konkretnym portem przełącznika, który jest przypisany do sieci VLAN 10 lub VLAN20. Jeżeli te sieci zostaną usunięte z bazy danych sieci LAN przełącznika, automatycznie wyłączony zostanie port należący do nieistniejącej sieci. Zazwyczaj sieć firmy może się załamać właśnie dlatego, że przełączniki po prostu wyłączają porty skojarzone z sieciami VLAN, które zostały usunięte podczas kolejnej aktualizacji.
Aby zapobiec występowaniu tego problemu, należy skonfigurować nazwę domeny VTP i hasło lub skorzystać z funkcji Cisco Port Security, która umożliwia zarządzanie adresami MAC portów przełącznika, wprowadzając różne ograniczenia dotyczące ich wykorzystania. Na przykład, jeśli ktoś spróbuje zmienić adres MAC, port zostanie natychmiast wyłączony. Za chwilę omówimy tę funkcję przełączników Cisco. Na razie wystarczy, że wiesz, że funkcja Port Security pozwala upewnić się, że protokół VTP jest chroniony przed atakami.
Podsumujmy, czym jest ustawienie VTP. Wybór wersji protokołu – 1 lub 2 oraz przypisanie trybu VTP – serwer, klient lub transparentny. Jak wspomniałem, w tym drugim trybie baza danych sieci VLAN nie jest aktualizowana bezpośrednio w urządzeniu, lecz wszystkie zmiany są przekazywane sąsiednim urządzeniom. Poniżej znajdują się polecenia służące do ustawiania nazwy domeny i hasła: vtp domain <nazwa domeny> i vtp password <hasło>.
Porozmawiajmy teraz o ustawieniach przycinania VTP. Jeśli przyjrzymy się topologii sieci, zauważymy, że wszystkie trzy przełączniki mają tę samą bazę danych VLAN, co oznacza, że VLAN10 i VLAN20 są częścią wszystkich trzech przełączników. Technicznie rzecz biorąc, przełącznik SW3 nie potrzebuje sieci VLAN2, ponieważ nie posiada żadnych portów należących do tej sieci. Jednak niezależnie od tego, cały ruch kierowany z komputera Laptop20 poprzez sieć VLAN0 trafia do przełącznika SW20 i stamtąd poprzez łącze trunkingowe trafia do portów SW1. Twoim głównym zadaniem jako specjalisty ds. sieci jest zadbanie o to, aby przez sieć przesyłano jak najmniej zbędnych danych. Należy zadbać o transmisję niezbędnych danych, ale w jaki sposób ograniczyć transmisję informacji, które nie są potrzebne urządzeniu?
Należy upewnić się, że ruch przeznaczony dla urządzeń w sieci VLAN20 nie będzie kierowany do portów SW2 przez łącze magistralne, gdy nie jest to konieczne. Oznacza to, że ruch z Laptop0 powinien docierać do SW1, a następnie do komputerów w sieci VLAN20, ale nie powinien wykraczać poza prawy port magistrali SW1. Można to osiągnąć stosując przycinanie protokołu VTP.
Aby to zrobić, musimy przejść do ustawień SW0 serwera VTP, ponieważ, jak już wspomniałem, ustawienia VTP można wprowadzić tylko za pośrednictwem serwera, przejść do ustawień konfiguracji globalnej i wprowadzić polecenie vtp pruning. Ponieważ Packet Tracer jest tylko symulatorem, jego wiersz poleceń nie zawiera takiego polecenia. Jednak gdy wpisuję polecenie vtp pruning i naciskam enter, system informuje mnie, że tryb vtp pruning jest niedostępny.
Używając polecenia show vtp status możemy zobaczyć, że tryb czyszczenia VTP jest wyłączony, zatem musimy go udostępnić, ustawiając go na enable. W ten sposób włączamy tryb przycinania VTP na wszystkich trzech przełącznikach w naszej sieci, w obrębie domeny sieciowej.
Przypomnę, czym jest VTP Pruning. Po włączeniu tego trybu serwer przełączników SW0 informuje przełącznik SW2, że na jego portach skonfigurowano tylko sieć VLAN10. Następnie przełącznik SW2 informuje przełącznik SW1, że nie chce żadnego ruchu poza ruchem przeznaczonym dla sieci VLAN10. Teraz dzięki funkcji VTP Pruning przełącznik SW1 wie, że nie musi wysyłać ruchu VLAN20 przez łącze SW1-SW2.
Jest to bardzo wygodne dla Ciebie jako administratora sieci. Nie musisz ręcznie wprowadzać poleceń, ponieważ przełącznik jest na tyle inteligentny, że wysyła dokładnie takie dane, jakich potrzebuje konkretne urządzenie sieciowe. Jeśli jutro przeniesiesz inny dział marketingu do sąsiedniego budynku i podłączysz jego sieć VLAN20 do przełącznika SW2, przełącznik ten natychmiast poinformuje przełącznik SW1, że ma teraz sieci VLAN10 i VLAN20 i poprosi go o przekierowanie ruchu dla obu sieci. Informacje te są stale aktualizowane na wszystkich urządzeniach, co sprawia, że komunikacja staje się bardziej efektywna.
Innym sposobem określenia transmisji ruchu jest użycie polecenia, które zezwala na transmisję danych tylko dla określonej sieci VLAN. Wchodzę do ustawień przełącznika SW1, gdzie interesuje mnie port Fa0/4, i wpisuję polecenia int fa0/4 oraz switchport trunk allowed vlan. Ponieważ wiem już, że SW2 obsługuje tylko VLAN10, mogę polecić przełącznikowi SW1, aby zezwalał na ruch tylko dla tej sieci na swoim porcie magistrali, używając polecenia allowed vlan. Zatem zaprogramowałem port magistrali Fa0/4 tak, aby obsługiwał wyłącznie ruch sieciowy VLAN10. Oznacza to, że ten port nie będzie przepuszczał żadnego ruchu z sieci VLAN1, VLAN20 ani żadnej innej sieci poza tą określoną.
Możesz zapytać, czy lepiej jest użyć polecenia VTP Pruning czy Allowed VLAN. Odpowiedź jest subiektywna, gdyż w niektórych przypadkach sensowne jest zastosowanie pierwszej metody, a w innych – drugiej. Jako administrator sieci musisz wybrać najlepsze rozwiązanie. W niektórych przypadkach zaprogramowanie portu tak, aby przekazywał ruch z określonej sieci VLAN, może być dobrą decyzją, w innych zaś – złą. W przypadku naszej sieci użycie polecenia allowed vlan może być uzasadnione, jeśli nie zamierzamy zmieniać topologii sieci. Jeśli jednak ktoś później będzie chciał dodać grupę urządzeń korzystających z VLAN2 do SW 20, bardziej sensowne będzie użycie trybu przycinania VTP.
Konfigurowanie przycinania protokołu VTP polega na użyciu następujących poleceń. Polecenie vtp pruning umożliwia automatyczne użycie tego trybu. Jeśli chcesz skonfigurować przycinanie VTP portu magistrali w celu ręcznego przekazywania ruchu określonej sieci VLAN, użyj polecenia, aby wybrać interfejs numeru portu magistrali <#>, włączyć tryb magistrali switchport i zezwolić na transmisję ruchu określonej sieci przy użyciu polecenia switchport trunk allowed vlan. .
Ostatnie polecenie może używać 5 parametrów. „Wszystkie” oznacza, że transmisja ruchu dla wszystkich sieci VLAN jest dozwolona, „żaden” oznacza, że transmisja ruchu dla wszystkich sieci VLAN jest zabroniona. Używając parametru add możesz dodać ruch przechodzący przez inną sieć. Na przykład zezwoliliśmy na ruch dla sieci VLAN10 i używając polecenia add możemy zezwolić również na ruch dla sieci VLAN20. Polecenie remove umożliwia usunięcie jednej z sieci. Przykładowo, jeśli użyjesz parametru remove 20, pozostanie tylko ruch VLAN10.
Przyjrzyjmy się teraz natywnej sieci VLAN. Powiedzieliśmy już, że natywna sieć VLAN jest wirtualną siecią umożliwiającą przesyłanie nieoznaczonego ruchu przez konkretny port magistrali.
Przechodzę do ustawień konkretnego portu, zgodnie z nagłówkiem wiersza polecenia SW(config-if)#, i używam polecenia switchport trunk native vlan <numer sieci>, takiego jak VLAN10. Teraz cały ruch w sieci VLAN10 będzie przechodził przez nieoznaczony port.
Wróćmy do logicznej topologii sieci w oknie Packet Tracer. Jeżeli użyję polecenia switchport trunk native vlan 20 dla portu przełącznika Fa0/4, to cały ruch z sieci VLAN20 będzie przechodził przez łącze Fa0/4 – SW2 bez znaczników. Gdy przełącznik SW2 odbierze ten ruch, pomyśli: „to jest ruch nieoznaczony, więc powinienem go przesłać do natywnej sieci VLAN”. W przypadku tego przełącznika natywną siecią VLAN jest VLAN1. Sieci 1 i 20 nie są w żaden sposób połączone, ale ponieważ używany jest natywny tryb VLAN, mamy możliwość skierowania ruchu VLAN20 do zupełnie innej sieci. Jednakże ruch ten nie będzie kapsułkowany i same sieci nadal będą musiały być zgodne.
Przyjrzyjmy się temu na przykładzie. Przejdę do ustawień SW1 i użyję polecenia switchport trunk native vlan 10. Teraz cały ruch VLAN10 będzie wychodził z portu magistrali bez znaczników. Gdy sygnał dotrze do portu magistrali SW2, przełącznik będzie wiedział, że ma go przekazać do sieci VLAN1. W efekcie tej decyzji ruch nie będzie mógł dotrzeć do komputerów PC2, 3 i 4, gdyż są one podłączone do portów dostępowych przełącznika przeznaczonych dla sieci VLAN10.
Technicznie rzecz biorąc, spowoduje to, że system zgłosi, że natywna sieć VLAN portu Fa0/4, który jest częścią sieci VLAN10, nie pasuje do portu Fa0/1, który jest częścią sieci VLAN1. Oznacza to, że określone porty nie będą mogły działać w trybie magistrali ze względu na niezgodność natywnej sieci VLAN.
Dziękujemy za pobyt z nami. Podobają Ci się nasze artykuły? Chcesz zobaczyć więcej ciekawych treści? Wesprzyj nas składając zamówienie lub polecając znajomym, 30% zniżki dla użytkowników Habr na unikalny odpowiednik serwerów klasy podstawowej, który został przez nas wymyślony dla Ciebie: (dostępne z RAID1 i RAID10, do 24 rdzeni i do 40 GB DDR4).
Dell R730xd 2 razy tańszy? Tylko tutaj w Holandii! Dell R420 — 2x E5-2430 2.2 GHz 6C 128 GB DDR3 2x960 GB SSD 1 Gb/s 100 TB — od 99 USD! Czytać o
Źródło: www.habr.com
