Bugün VLAN'lar hakkındaki tartışmamıza devam edeceğiz ve VTP protokolünün yanı sıra VTP Budama ve Yerel VLAN kavramlarını tartışacağız. Önceki videolardan birinde VTP'den bahsetmiştik ve VTP'yi duyduğunuzda aklınıza gelmesi gereken ilk şey, "VLAN trunking protokolü" olarak adlandırılsa da bunun bir trunking protokolü olmadığıdır.
Bildiğiniz gibi iki popüler trunk protokolü vardır: bugün kullanılmayan tescilli Cisco ISL protokolü ve trunk trafiğini kapsüllemek için çeşitli üreticilerin ağ cihazlarında kullanılan 802.q protokolü. Bu protokol Cisco switch'lerde de kullanılmaktadır. VTP'nin bir VLAN senkronizasyon protokolü olduğunu, yani VLAN veritabanını tüm ağ anahtarları arasında senkronize etmek için tasarlandığını zaten söylemiştik.
Farklı VTP modlarından bahsettik - sunucu, istemci, şeffaf. Cihaz sunucu modunu kullanıyorsa bu, değişiklik yapmanıza, VLAN eklemenize veya kaldırmanıza olanak tanır. İstemci modu, anahtar ayarlarında değişiklik yapmanıza izin vermez, VLAN veritabanını yalnızca VTP sunucusu aracılığıyla yapılandırabilirsiniz ve tüm VTP istemcilerine kopyalanacaktır. Şeffaf moddaki bir anahtar, kendi VLAN veritabanında değişiklik yapmaz, yalnızca kendi içinden geçer ve değişiklikleri istemci modundaki bir sonraki cihaza aktarır. Bu mod, belirli bir cihazda VTP'yi devre dışı bırakmaya benzer ve cihazı VLAN değişiklik bilgilerinin taşıyıcısına dönüştürür.
Packet Tracer programına ve önceki derste tartışılan ağ topolojisine dönelim. Satış departmanı için VLAN10 ağını, pazarlama departmanı için ise VLAN20 ağını üç switch ile birleştirip yapılandırdık.
SW0 ve SW1 anahtarları arasında iletişim VLAN20 ağı üzerinden, SW0 anahtarının VLAN veri tabanına VLAN2'u eklediğimiz için SW10 ile SW10 arasında VLAN1 ağı üzerinden iletişim sağlanmaktadır.
VTP protokolünün çalışmasını dikkate almak için anahtarlardan birini VTP sunucusu olarak kullanalım, SW0 olsun. Hatırlarsanız varsayılan olarak tüm switchler VTP sunucu modunda çalışmaktadır. Switch’in komut satırı terminaline gidip show vtp status komutunu girelim. Mevcut VTP protokol versiyonunun 2, konfigürasyon revizyon numarasının ise 4 olduğunu görüyorsunuz. Hatırlarsanız VTP veritabanında her değişiklik yapıldığında revizyon numarası bir artıyor.
Desteklenen maksimum VLAN sayısı 255'tir. Farklı anahtarlar farklı sayıda yerel sanal ağı destekleyebildiğinden bu sayı, belirli Cisco anahtarının markasına bağlıdır. Mevcut VLAN sayısı 7, birazdan bu ağların ne olduğuna bakacağız. VTP kontrol modu sunucudur, alan adı ayarlanmamıştır, VTP Pruning modu devre dışıdır, bu konuya daha sonra tekrar döneceğiz. VTP V2 ve VTP Traps Generation modları da devre dışı bırakılır. 200-125 CCNA sınavını geçmek için son iki modu bilmenize gerek yok, bu yüzden onlar hakkında endişelenmeyin.
Show vlan komutunu kullanarak VLAN veritabanına bir göz atalım. Önceki videoda gördüğümüz gibi, desteklenmeyen 4 ağımız var: 1002, 1003, 1004 ve 1005.
Ayrıca oluşturduğumuz 2 ağı (VLAN10 ve 20) ve varsayılan ağ olan VLAN1'i de listeler. Şimdi başka bir switch’e geçelim ve aynı komutu girerek VTP durumunu görüntüleyelim. Bu anahtarın revizyon numarasının 3 olduğunu, VTP sunucu modunda olduğunu ve diğer tüm bilgilerin ilk anahtarla aynı olduğunu görüyorsunuz. Show VLAN komutuna girdiğimde SW2 anahtarından bir eksik olmak üzere ayarlarda 0 değişiklik yaptığımızı görüyorum, bu yüzden SW1'in revizyon numarası 3'tür. İlkinin varsayılan ayarlarında 3 değişiklik yaptık. Switch'in revizyon numarası 4'e yükseldi.
Şimdi SW2’nin durumuna bakalım. Buradaki revizyon numarası 1'dir ve bu gariptir. 1 ayar değişikliği yapıldığı için ikinci revizyon yapmamız gerekiyor. VLAN veritabanına bakalım.
VLAN10'u oluşturarak bir değişiklik yaptık ve bu bilgilerin neden güncellenmediğini bilmiyorum. Belki de bu, gerçek bir ağımız olmadığı, ancak hataları olabilecek bir yazılım ağ simülatörümüz olduğu için oldu. Cisco'da staj yaparken gerçek cihazlarla çalışma fırsatı bulduğunuzda Packet Tracer simülatöründen daha çok işinize yarayacaktır. Gerçek cihazların yokluğunda başka bir yararlı şey GNC3 veya grafiksel bir Cisco ağ simülatörü olacaktır. Bu, yönlendirici gibi bir cihazın gerçek işletim sistemini kullanan bir emülatördür. Bir simülatör ile emülatör arasında bir fark vardır; ilki, gerçek bir yönlendiriciye benzeyen ancak gerçek bir yönlendirici olmayan bir programdır. Emülatör yazılımı yalnızca cihazın kendisini oluşturur, ancak onu çalıştırmak için gerçek yazılımı kullanır. Ancak gerçek Cisco IOS yazılımını çalıştırma yeteneğiniz yoksa Packet Tracer en iyi seçeneğinizdir.
Yani SW0'ı VTP sunucusu olarak yapılandırmamız gerekiyor, bunun için global ayarlar konfigürasyon moduna girip vtp version 2 komutunu giriyorum.Dediğim gibi ihtiyacımız olan protokol versiyonunu - 1 veya 2 - buna yükleyebiliriz. durumda ikinci bir versiyona ihtiyacımız var. Daha sonra, vtp mode komutunu kullanarak anahtarın VTP modunu (sunucu, istemci veya şeffaf) ayarlıyoruz. Bu durumda sunucu moduna ihtiyacımız var ve vtp mode sunucu komutunu girdikten sonra sistem, cihazın zaten sunucu modunda olduğuna dair bir mesaj görüntülüyor. Daha sonra, vtp domain nwking.org komutunu kullandığımız bir VTP alan adı yapılandırmamız gerekiyor. Bu neden gerekli? Ağda daha yüksek revizyon numarasına sahip başka bir cihaz varsa, daha düşük revizyon numarasına sahip diğer tüm cihazlar, VLAN veritabanını o cihazdan kopyalamaya başlar. Ancak bu yalnızca cihazların aynı alan adına sahip olması durumunda gerçekleşir. Örneğin, nwking.org'da çalışıyorsanız bu etki alanını, Cisco'da çalışıyorsanız cisco.com etki alanını vb. belirtirsiniz. Şirketinizin cihazlarının alan adı, onları başka bir şirketin cihazlarından veya ağdaki diğer harici cihazlardan ayırt etmenize olanak tanır. Bir şirketin alan adını bir cihaza atadığınızda, onu o şirketin ağının bir parçası haline getirirsiniz.
Yapılacak bir sonraki şey VTP şifresini ayarlamaktır. Revizyon numarası yüksek bir cihaza sahip olan bir hackerın, VTP ayarlarını switch'inize kopyalayamaması için gereklidir. vtp şifre cisco komutunu kullanarak cisco şifresini giriyorum. Bundan sonra VTP verilerinin anahtarlar arasında kopyalanması ancak şifrelerin eşleşmesi durumunda mümkün olacaktır. Yanlış şifre kullanılması durumunda VLAN veritabanı güncellenmeyecektir.
Biraz daha VLAN oluşturmaya çalışalım. Bunun için config t komutunu kullanıyorum, vlan 200 komutunu kullanarak 200 numaralı bir ağ oluşturuyorum, buna TEST adını veriyorum ve çıkış komutuyla değişiklikleri kaydediyorum. Sonra başka bir vlan 500 oluşturup buna TEST1 adını veriyorum. Şimdi show vlan komutunu girerseniz, anahtarın sanal ağları tablosunda, tek bir bağlantı noktasının atanmadığı bu iki yeni ağı görebilirsiniz.
Şimdi SW1'e geçelim ve VTP durumunu görelim. Burada alan adı dışında hiçbir şeyin değişmediğini, VLAN sayısının 7'de kaldığını görüyoruz. VTP şifresi eşleşmediğinden oluşturduğumuz ağların göründüğünü görmüyoruz. Conf t, vtp pass ve vtp şifresi Cisco komutlarını sırayla girerek bu switch üzerinde VTP şifresini ayarlayalım. Sistem, cihazın VLAN veritabanının artık Cisco şifresini kullandığını bildirdi. Bilginin kopyalanıp kopyalanmadığını kontrol etmek için VTP durumuna bir kez daha bakalım. Görüldüğü üzere mevcut VLAN sayısı otomatik olarak 9'a çıkmıştır.
Bu switch'in VLAN veritabanına baktığınızda, içinde otomatik olarak oluşturduğumuz VLAN200 ve VLAN500 ağlarının göründüğünü görebilirsiniz.
Aynı şeyin son SW2 anahtarı için de yapılması gerekir. Show vlan komutunu girelim - içinde herhangi bir değişiklik olmadığını görebilirsiniz. Aynı şekilde VTP durumunda da bir değişiklik yok. Bu anahtarın bilgileri güncellemesi için ayrıca bir şifre ayarlamanız, yani SW1 ile aynı komutları girmeniz gerekir. Bundan sonra SW2 statüsündeki VLAN sayısı 9’a çıkacaktır.
VTP'nin amacı budur. Bu, sunucu cihazında değişiklik yapıldıktan sonra tüm istemci ağ cihazlarındaki bilgileri otomatik olarak güncelleyen harika bir şeydir. Tüm anahtarların VLAN veritabanında manuel olarak değişiklik yapmanıza gerek yoktur; çoğaltma otomatik olarak gerçekleşir. Eğer 200 ağ cihazınız varsa yaptığınız değişiklikler aynı anda iki yüz cihazın tamamına kaydedilecektir. Her ihtimale karşı SW2’nin de bir VTP client olduğundan emin olmamız gerekiyor o yüzden config t komutu ile ayarlara girip vtp mode client komutunu girelim.
Bu nedenle ağımızda yalnızca ilk anahtar VTP Sunucu modundadır, diğer ikisi VTP İstemci modunda çalışır. Şimdi SW2 ayarlarına girip vlan 1000 komutunu girersem şu mesajı alacağım: “cihaz istemci modundayken VTP VLAN'ın yapılandırılmasına izin verilmiyor.” Bu nedenle, anahtar VTP istemci modundaysa VLAN veritabanında herhangi bir değişiklik yapamam. Herhangi bir değişiklik yapmak istersem anahtar sunucusuna gitmem gerekiyor.
SW0 terminal ayarlarına gidip vlan 999 komutlarını girip IMRAN adını veriyorum ve çıkıyorum. Bu yeni ağ, bu anahtarın VLAN veritabanında belirdi ve şimdi istemci anahtarı SW2'nin veritabanına gidersem, aynı bilgilerin burada da göründüğünü, yani çoğaltmanın gerçekleştiğini göreceğim.
Söylediğim gibi VTP harika bir yazılımdır ancak yanlış kullanılırsa tüm ağı bozabilir. Bu nedenle, alan adı ve VTP şifresi ayarlanmamışsa şirket ağını yönetirken çok dikkatli olmanız gerekir. Bu durumda, bilgisayar korsanının yapması gereken tek şey, anahtarının kablosunu duvardaki bir ağ soketine takmak, DTP protokolünü kullanarak herhangi bir ofis anahtarına bağlanmak ve ardından oluşturulan trunk'ı kullanarak tüm bilgileri VTP protokolünü kullanarak güncellemektir. . Bu şekilde bir bilgisayar korsanı, cihazının revizyon numarasının diğer anahtarların revizyon numarasından daha yüksek olmasından yararlanarak tüm önemli VLAN'ları silebilir. Bu durumda şirketin anahtarları, tüm VLAN veritabanı bilgilerini otomatik olarak kötü amaçlı anahtardan kopyalanan bilgilerle değiştirecek ve tüm ağınız çökecektir.
Bunun nedeni, bilgisayarların bir ağ kablosu kullanılarak VLAN 10 veya VLAN20'nin atandığı belirli bir anahtar bağlantı noktasına bağlanmasıdır. Bu ağlar anahtarın LAN veritabanından silinirse, mevcut olmayan ağa ait bağlantı noktasını otomatik olarak devre dışı bırakacaktır. Tipik olarak bir şirketin ağı, anahtarların bir sonraki güncelleme sırasında kaldırılan VLAN'larla ilişkili bağlantı noktalarını devre dışı bırakması nedeniyle tam olarak çökebilir.
Bu tür bir sorunun oluşmasını önlemek için VTP alan adı ve şifresi belirlemeniz veya switch portlarının MAC adreslerini yönetmenizi sağlayan, kullanımlarına çeşitli kısıtlamalar getiren Cisco Port Security özelliğini kullanmanız gerekir. Örneğin, başka birisi MAC adresini değiştirmeye çalışırsa port hemen kapanacaktır. Cisco switch'lerin bu özelliğine çok yakında daha yakından bakacağız ancak şimdilik bilmeniz gereken tek şey, Port Security'nin VTP'nin bir saldırgana karşı korunduğundan emin olmanıza olanak sağlamasıdır.
VTP ayarının ne olduğunu özetleyelim. Bu, protokol sürümünün seçimi - 1 veya 2, VTP modunun atanması - sunucu, istemci veya şeffaf. Daha önce de söylediğim gibi, ikinci mod, cihazın VLAN veritabanını güncellemez, yalnızca tüm değişiklikleri komşu cihazlara iletir. Alan adı ve şifre atamak için kullanılan komutlar şunlardır: vtp domain <domain name> ve vtp şifresi <password>.
Şimdi VTP Pruning ayarlarından bahsedelim. Ağ topolojisine bakarsanız, üç anahtarın da aynı VLAN veritabanına sahip olduğunu görebilirsiniz; bu, VLAN10 ve VLAN20'nin 3 anahtarın da parçası olduğu anlamına gelir. Teknik olarak Switch SW2, bu ağa ait portlara sahip olmadığından VLAN20'ye ihtiyaç duymaz. Ancak bundan bağımsız olarak Laptop0 bilgisayarından VLAN20 ağı üzerinden gönderilen tüm trafik SW1 anahtarına ulaşır ve buradan trunk üzerinden SW2 bağlantı noktalarına gider. Bir ağ uzmanı olarak asıl göreviniz, ağ üzerinden mümkün olduğunca az gereksiz verinin iletilmesini sağlamaktır. Gerekli verilerin iletilmesini sağlamalısınız ancak cihazın ihtiyaç duymadığı bilgilerin aktarımını nasıl sınırlayabilirsiniz?
VLAN20 üzerindeki cihazlara yönelik trafiğin, gerekmediğinde trunk üzerinden SW2 bağlantı noktalarına akmamasını sağlamalısınız. Yani, Laptop0 trafiği SW1'e ve ardından VLAN20 üzerindeki bilgisayarlara ulaşmalı, ancak SW1'in sağ ana bağlantı noktasının ötesine geçmemelidir. Bu, VTP Budama kullanılarak elde edilebilir.
Bunun için VTP sunucusu SW0'ın ayarlarına gitmemiz gerekiyor çünkü daha önce de söylediğim gibi VTP ayarları sadece sunucu üzerinden yapılabiliyor, global konfigürasyon ayarlarına gidip vtp budama komutunu yazıyoruz. Packet Tracer sadece bir simülasyon programı olduğundan komut satırı istemlerinde böyle bir komut yoktur. Ancak vtp budama yazıp Enter tuşuna bastığımda sistem bana vtp budama modunun kullanılamadığını söylüyor.
show vtp status komutunu kullanarak VTP Pruning modunun devre dışı durumda olduğunu göreceğiz, bu yüzden onu etkinleştirme konumuna taşıyarak kullanılabilir hale getirmemiz gerekiyor. Bunu yaptıktan sonra, ağ etki alanı içindeki ağımızın her üç anahtarında da VTP Pruning modunu etkinleştiriyoruz.
VTP Budamanın ne olduğunu size hatırlatayım. Bu modu etkinleştirdiğimizde, anahtar sunucusu SW0, anahtar SW2'ye bağlantı noktalarında yalnızca VLAN10'un yapılandırıldığını bildirir. Bundan sonra SW2 anahtarı, SW1 anahtarına VLAN10'a yönelik trafik dışında herhangi bir trafiğe ihtiyaç duymadığını bildirir. Artık VTP Pruning sayesinde SW1 anahtarı, SW20-SW1 hattı boyunca VLAN2 trafiğini göndermesine gerek olmadığı bilgisine sahiptir.
Bu, bir ağ yöneticisi olarak sizin için çok uygundur. Anahtar, belirli bir ağ cihazının tam olarak ihtiyaç duyduğu şeyi gönderecek kadar akıllı olduğundan komutları manuel olarak girmenize gerek yoktur. Yarın bir sonraki binaya başka bir pazarlama departmanı yerleştirirseniz ve VLAN20 ağını SW2'ye bağlarsanız, bu anahtar hemen SW1 anahtarına artık VLAN10 ve VLAN20'ye sahip olduğunu söyleyecek ve ondan her iki ağ için de trafiği iletmesini isteyecektir. Bu bilgiler tüm cihazlarda sürekli olarak güncellenerek iletişimi daha verimli hale getirir.
Trafiğin aktarımını belirlemenin başka bir yolu daha vardır; bu, yalnızca belirtilen VLAN için veri aktarımına izin veren bir komut kullanmaktır. Fa1/0 bağlantı noktasıyla ilgilendiğim SW4 anahtarının ayarlarına gidiyorum ve int fa0/4 ve switchport trunk izin verilen vlan komutlarını giriyorum. SW2'nin yalnızca VLAN10'a sahip olduğunu zaten bildiğimden, izin verilen vlan komutunu kullanarak SW1'e yalnızca ana bağlantı noktasındaki o ağ için trafiğe izin vermesini söyleyebilirim. Bu yüzden Fa0/4 ana bağlantı noktasını yalnızca VLAN10 için trafik taşıyacak şekilde programladım. Bu, bu bağlantı noktasının VLAN1, VLAN20 veya belirtilen ağ dışındaki herhangi bir ağdan daha fazla trafiğe izin vermeyeceği anlamına gelir.
Hangisini kullanmanın daha iyi olduğunu merak ediyor olabilirsiniz: VTP Pruning veya izin verilen vlan komutu. Cevap özneldir çünkü bazı durumlarda ilk yöntemi kullanmak mantıklıdır, bazılarında ise ikinciyi kullanmak mantıklıdır. Bir ağ yöneticisi olarak en iyi çözümü seçmek size kalmıştır. Bazı durumlarda, bir bağlantı noktasını belirli bir VLAN'dan gelen trafiğe izin verecek şekilde programlama kararı iyi olabilir, ancak diğerlerinde kötü olabilir. Ağımız söz konusu olduğunda, ağ topolojisini değiştirmeyeceksek, izin verilen vlan komutunu kullanmak haklı olabilir. Ancak daha sonra birisi VLAN2 kullanan bir cihaz grubunu SW 20'ye eklemek isterse, VTP Pruning modunun kullanılması daha tavsiye edilir.
Dolayısıyla, VTP Pruning'in ayarlanması aşağıdaki komutların kullanılmasını içerir. Vtp budama komutu bu modun otomatik kullanımını sağlar. Belirli bir VLAN trafiğinin manuel olarak geçmesine izin vermek için bir devre bağlantı noktasının VTP Budamasını yapılandırmak istiyorsanız, devre bağlantı noktası numarası arayüzünü <#> seçmek için komutu kullanın, devre modu anahtar bağlantı noktası modu devre hattını etkinleştirin ve trafiğin iletilmesine izin verin Switchport trunk izin verilen vlan komutunu kullanarak belirli bir ağa .
Son komutta 5 parametre kullanabilirsiniz. Tümü, tüm VLAN'lar için trafik aktarımına izin verildiği, hiçbiri – tüm VLAN'lar için trafik aktarımının yasak olduğu anlamına gelir. Add parametresini kullanırsanız başka bir ağ için trafik verimi ekleyebilirsiniz. Örnek olarak VLAN10 trafiğine izin veriyoruz ve add komutu ile VLAN20 trafiğinin geçmesine de izin verebiliyoruz. Remove komutu ağlardan birini kaldırmanıza olanak tanır, örneğin, kaldır 20 parametresini kullanırsanız yalnızca VLAN10 trafiği kalacaktır.
Şimdi yerel VLAN'a bakalım. Yerel VLAN'ın, etiketlenmemiş trafiği belirli bir ana bağlantı noktası üzerinden geçirmek için kullanılan sanal bir ağ olduğunu zaten söylemiştik.
SW(config-if)# komut satırı başlığında belirtilen belirli bağlantı noktası ayarlarına giriyorum ve switchport trunk native vlan <ağ numarası> komutunu kullanıyorum, örneğin VLAN10. Artık VLAN10'daki tüm trafik etiketsiz bagajdan geçecektir.
Packet Tracer penceresindeki mantıksal ağ topolojisine dönelim. Switchport trunk native vlan 20 komutunu anahtar bağlantı noktası Fa0/4 üzerinde kullanırsam, VLAN20 üzerindeki tüm trafik Fa0/4 – SW2 trunk üzerinden etiketsiz olarak akacaktır. SW2 anahtarı bu trafiği aldığında şöyle düşünecektir: "Bu etiketsiz trafik, bu da onu yerel VLAN'a yönlendirmem gerektiği anlamına geliyor." Bu anahtar için yerel VLAN, VLAN1 ağıdır. Ağ 1 ve 20 hiçbir şekilde birbirine bağlı değil ancak native VLAN modu kullanıldığı için VLAN20 trafiğini tamamen farklı bir ağa yönlendirme imkanımız oluyor. Ancak bu trafik kapsüllenmeyecektir ve ağların yine de eşleşmesi gerekir.
Buna bir örnekle bakalım. SW1'in ayarlarına gideceğim ve switchport trunk native vlan 10 komutunu kullanacağım.Artık herhangi bir VLAN10 trafiği trunk bağlantı noktasından etiketlenmemiş olarak çıkacak. Switch, trunk portu SW2'ye ulaştığında, onu VLAN1'e iletmesi gerektiğini anlayacaktır. Bu karar sonucunda PC2, 3 ve 4 numaralı bilgisayarlar VLAN10'a yönelik anahtar erişim portlarına bağlı olduğundan trafik onlara ulaşamayacaktır.
Teknik olarak bu, sistemin, VLAN0'un parçası olan Fa4/10 bağlantı noktasının yerel VLAN'ının, VLAN0'in parçası olan Fa1/1 bağlantı noktasıyla eşleşmediğini raporlamasına neden olacaktır. Bu, yerel VLAN uyumsuzluğu nedeniyle belirtilen bağlantı noktalarının trunk modunda çalışamayacağı anlamına gelir.
Bizimle kaldığın için teşekkürler. Yazılarımızı beğeniyor musunuz? Daha ilginç içerik görmek ister misiniz? Sipariş vererek veya arkadaşlarınıza tavsiye ederek bize destek olun, Habr kullanıcıları için, bizim tarafımızdan sizin için icat ettiğimiz benzersiz bir giriş seviyesi sunucu analogunda %30 indirim: (RAID1 ve RAID10, 24 adede kadar çekirdek ve 40 GB'a kadar DDR4 ile mevcuttur).
Dell R730xd 2 kat daha mı ucuz? Sadece burada Hollanda'da! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - 99$'dan! Hakkında oku
Kaynak: habr.com