www.SAMURAJ-cz.com 

15.12.2017 Radana a Radan Translate to English by Google     VÍTEJTE V MÉM SVĚTĚ

Články

Cisco IOS 7 - konfigurace VLAN, VTP

Upraveno 23.04.2009 09:35 | vytvořeno 18.06.2007 14:12 | Samuraj - Petr Bouška |
Další popis operačního systému Cisco IOS se tentokrát věnuje důležité, a v praxi potřebné, oblasti virtuálních lokálních sítí, tedy VLAN. Teorii jsem popsal v dřívějším článku, takže nyní se jedná o praktický popis konfigurace VLAN. Zmíněny jsou také protokoly Dynamic Trunk Protocol (DTP) pro automatické vyjednávání trunků a užitečný VLAN Trunking Protocol (VTP) pro konfiguraci VLAN na jednom místě a její automatickou distribuci na ostatní switche.

O teorii, možnostech a výhodách VLAN jsem psal v článku VLAN - Virtual Local Area Network. Pár informací o konfiguraci VLAN, ve spojitosti se zařazováním portu do VLANy či trunku, jsem popsal již v článku Cisco IOS 3 - nastavení interface/portu - access, trunk, port securit. Nezmínil jsem však vlastní vytváření VLAN. V tomto článku je souhrnný popis konfigurace VLAN a věcí s tím souvisejících.

Čísla VLAN

VLANy se běžně identifikují pomocí čísla, takže máme například VLAN 10. Pro jednoduší zapamatování a orientaci se k nim ještě přiřazují jména.

Cisco switche by v posledních letech měly podporovat tyto číselné rozsahy pro VLANy. Starší zařízení nepodporují čísla nad 1005, navíc tyto VLANy nejsou přenášeny pomocí VTP a neukládají se do VLAN databáze.

VLANy popis
0 a 4095 rezervované pro systémové použití
1 defaultní VLAN, standardně obsahuje všechny porty, nedá se smazat
2-1001 běžný rozsah pro ethernetové VLANy
1002-1005 speciální defaultní VLANy pro Token Ring a FDDI, nedají se smazat
1006-4094 Extended VLAN - rozšířené VLANy pro ethernet, nejsou vždy podporovány

Vytvoření a pojmenování VLANy

Konfigurace VLAN je (u některých typů switchů) udržována v běžící konfiguraci a v souboru vlan.dat.

Novou VLANu vytvoříme následujícím příkazem, pokud již VLANa existuje, tak se přepneme do její konfigurace.

SWITCH(config)#vlan 10                      // vytvoření/přepnutí do VLAN 10

Nyní jsme v konfiguraci VLANy a můžeme nastavit několik parametrů, dobré je nastavit jméno VLANy pro snadnější orientaci.

SWITCH(config-vlan)#name net1               // pojmenování VLANy 

Z vlastností, které můžeme nastavit pro celou VLANu, zmíním pouze změnu IP MTU (maximální velikost přenášených paketů - payload rámce), standardní je 1500B pro Ethernet (rámec má velikost 1518B).

SWITCH(config-vlan)#mtu 2000                // možné hodnoty 576 až 18190 (podle typu switche)

Změny se uloží při opuštění konfigurace.

SWITCH(config-vlan)#exit                    // o úroveň výš

Zrušit VLANu můžeme standardně. Při zrušení VLANy však nedojde k odstranění vazeb, které na ni existují (jako zařazení portů do VLANy).

SWITCH(config)#no vlan 10                   // smazání VLANy 10

Pozn.: VLANu vytvoříme také tím, když ji použijeme na určitém místě. Například pokud port zařadíme do neexistující VLANy, tak se tato vytvoří.

Nastavení IP adresy pro VLANu

VLANy jsou virtuální interfacy, proto s nimi můžeme provádět řadu operací jako s klasickým interfacem (portem). Jednou z možností je nastavení IP adresy, tím vlastně nastavíme adresu switche v dané VLANě.

SWITCH(config)#interface vlan 10                          // přepnutí do konfigurace
SWITCH(config-if)#ip address 192.168.190.1 255.255.255.0  // nastavení IP adresy
SWITCH(config-if)#no shutdown                             // nahození interfacu

Switch Virtual Interface - SVI

Výše uvedená informace není přesná. Správně musíme říci, že pro každou VLANu můžeme vytvořit Switch Virtual Interface (SVI), což je ten zmiňovaný virtuální interface. VLANy a SVI však existují nezávisle na sobě, i když se provádí mapování (které může být maximálně 1:1) mezi SVI a VLANou. SVI vytvoříme prvním přístupem do něj a můžeme jej vytvořit i pro neexistující VLANu. SVI pracuje na 3. vrstvě ISO/OSI modelu a defaultně je vytvořen pro VLAN 1 (a nelze jej smazat). SVI potřebujeme, pokud chceme provádět inter VLAN routing (routovat provoz mezi VLANami) nebo umožnit IP konektivitu ke switchi (pro přístup na CLI přes telnet/SSH a podobné funkce).

SWITCH(config)#interface vlan 15        // vytvoření SVI

Pro smazání SVI použijeme

SWITCH(config)#no interface vlan 15     // smazání SVI

VLAN 1

Na switchích, které podporují VLANy, musí existovat alespoň jedna VLANa, protože každý port musí být do nějaké zařazen. Na Cisco zařízeních je to VLAN 1 a všechny porty, ve výchozím stavu, jsou do ní zařazeny.

Z bezpečnostního hlediska je dobré nepoužívat tuto defaultní VLAN 1, nebo ji použít pouze pro hostovský přístup, a pro vlastní síť vytvořit jiné VLANy.

VLAN 1 nelze smazat a nelze ji ani vypnout, což je možné u všech ostatních VLAN.

SWITCH(config-vlan)#shutdown            // vypnutí VLANy

Přiřazení portu do VLANy

Standardně jsou všechny porty zařazeny do VLAN 1. Pokud chceme nakonfigurovat přístupový port s pevným zařazením do VLANy, postupujeme následovně.

SWITCH(config)#interface f0/1                // přepnutí do konfigurace portu
SWITCH(config-if)#switchport mode access     // nastavení portu do přístupového módu
SWITCH(config-if)#switchport access vlan 10  // zařazení do VLANy 10

Voice VLAN

Pro VoIP (IP telefonie) má Cisco řadu zjednodušení. Jedním z nich je konfigurace, kdy je do portu připojen Cisco telefon (který obsahuje malý 3-portový switch) a za ním je připojeno PC. Na portu nastavíme access VLAN, do ní spadá komunikace PC, a také voice VLAN (někde označována jako auxiliary VLAN - má i více použití) , do které se zařadí komunikace telefonu. Aby vše fungovalo jak má, tak musíme použít Cisco IP telefon a na portu musí být povoleno CDP. Ve skutečnosti vše funguje tak, že se na portu nastaví trunk, access VLAN se stane native VLAN (tedy netagovaná) a komunikace telefonu použije 802.1q.

SWITCH(config-if)#switchport voice vlan 20   // zařazení hlasu do VLANy 20

Konfigurace Trunku

Aby se zachovala informace o zařazení do VLANy, a aby se přenášela data v různých VLANách mezi switchi, je třeba mezi nimi zřídit trunk. Ten se nastavuje na obou stranách, na portu, kterým jsou switche propojeny mezi sebou. Můžeme využít standard IEEE802.1q (tagování rámců) nebo Cisco proprietální ISL (zapouzdřování), které je podporováno pouze u vyšších Cisco switchů. Také je možné vyjmenovat VLANy, které se mohou trunkem přenášet, pokud příkaz neuvedeme, tak se přenáší všechny.

SWITCH(config)#interface f0/1                           // přepnutí na správný port
SWITCH(config-if)#shutdown                              // doporučeno  nejprve vypnout port
SWITCH(config-if)#switchport trunk encapsulation dot1q  // zvolím metodu rozlišování VLAN
SWITCH(config-if)#switchport trunk allowed vlan 2-200   // které VLANy se přenáší
SWITCH(config-if)#switchport trunk native vlan 10       // určení nativní VLAN
SWITCH(config-if)#switchport mode trunk                 // nastavení portu do TRUNK modu
SWITCH(config-if)#switchport nonegotiate                // nevyjednává se trunk protokolem DTP
SWITCH(config-if)#no shutdown                           // nahození portu

Pozn.: Stejnou konfiguraci je třeba provést na druhé straně. Aby se ustanovil trunk, tak je třeba dodržet několik předpokladů. Musí se jednat o Point to Point linku, porty musí mít nastavenu stejnou rychlost (speed), duplex, metodu encapsulace a nativní VLANu (u ISL se může lišit).

Dynamic Trunk Protocol (DTP)

Dynamic Trunk Protocol (DTP) slouží pro automatické vyjednávání, zda je daný port trunk. Z bezpečnostního hlediska se doporučuje tuto možnost nepoužívat, protože by některá stanice mohla vyjednat, že se jedná o trunk a pak zachytávat veškerou komunikaci.

Konfigurace DTP se provádí na každém portu.

  • Pokud nastavíme port napevno do přístupového módu (access), tak není ovlivněn DTP protokolem.
  • Pokud jej nastavíme napevno do trunk módu, tak se opět jeho mód nemůže změnit, ale on vyjednává pomocí DTP, aby se linka (druhá strana) přepnula do trunku.
  • Pokud je port v trunk módu, tak můžeme nastavit, aby negeneroval DTP rámce (a vůbec nepoužíval DTP).
SWITCH(config-if)#switchport nonegotiate
  • Poslední možností je nastavení portu do dynamického módu, kdy aktivně využívá DTP.
SWITCH(config-if)#switchport mode dynamic auto      // pokud přijde žádost, tak se přepne do trunku
SWITCH(config-if)#switchport mode dynamic desirable // posílá žádosti o vytvoření trunku

Nejvhodnější je nastavit přístupové porty napevno do módu access a trunk porty napevno do trunk módu s vypnutým vyjednáváním.

Pro zobrazení informací o DTP slouží příkazy:

SWITCH#show dtp
SWITCH#show dtp interface f0/1

Zobrazení informací o VLANach - show příkazy

SWITCH#show vlan                        // stručné info o VLAN a zařazení portů
SWITCH#show vlan id 500                 // seznam portů ve VLAN 500 a MTU pro VLANu
SWITCH#show interface vlan 10           // informace o SVI
SWITCH#show running-config vlan         // informace o VLAN z běžící  konfigurace
SWITCH#show interfaces f0/1 switchport  // informace o portu spolu s VLAN
SWITCH#show interfaces trunk            // info o truncích

VTP - VLAN Trunking Protocol

Většinou chceme, aby vytvořené VLANy existovaly v celé síti (nebo v určité části, ale ne pouze na jednom switchi). Pro přenášení dat v těchto VLANách mezi switchi se využívají trunky. Aby se však dalo s těmito VLANami pracovat, tak musí být vytvořeny na každém switchi. Při menším počtu switchů (a pokud chceme větší dohled), tyto VLANy na každém switchi nakonfigurujeme ručně (většinou to není tolik práce). Musíme však pamatovat při vytvoření nové VLANy ji opět všude nakonfigurovat.

Druhou možností je využití VLAN Trunking Protocol (VTP), což je L2 protokol, který slouží k přenášení informací o VLANách mezi switchi. VTP spravuje přidávání, mazání a přejmenování VLAN uvnitř VTP domény. VTP doména je tvořena jedním nebo více síťovými zařízeními, která mají nastaveno stejné jméno domény (volitelně i heslo) a jsou propojeny pomocí trunku.

Princip je takový, že každý switch ve VTP doméně má nastavený jeden ze tří módů

  • server - spravuje seznam všech VLAN, má jej uložen v NVRAM, může vytvářet a mazat VLANy, přijímá a odesílá advertisements přes trunky ve VTP doméně, jedná se o defaultní mód
  • klient - přijímá konfiguraci ze serveru, udržuje lokální kopii všech VLAN, kterou nelze měnit a nemá ji uloženou v NVRAM, přijímá a odesílá advertisements
  • transparentní - neúčastní se VTP, pracuje samostatně, může vytvářet i mazat VLANy, ale změny jsou lokální, přijímá advertisements a ve verzi 2 je i přeposílá (ale nesynchronizuje svoje VLANy, ani je nezveřejňuje), je to jediný mód, kde můžeme vytvářet Extended a Private VLANy, VTP a VLAN konfigurace je uložena v NVRAM

Pozn.: Konfigurace VTP, pokud je v režimu server nebo klient, se nenachází v running config.

Server rozesílá (pouze přes trunky) VTP advertisements (oznámení) každých 5 minut nebo při změně v konfiguraci. Server udržuje konfigurační revizní číslo (configuration revision number), které při každé změně zvýší o jedna. Klient při synchronizaci porovnává svoje a přijaté číslo. VTP advertisements obsahuje management domain, revision number, verzi VTP, známé VLANy a jejich parametry. Advertisements jsou tří typů, Summary, Subset a Client Request.

Pozn.: Standardizovanou obdobou VTP je protokol Generic VLAN Registration Protocol - GVRP a jeho nástupce Multiple VLAN Registration Protocol - MVRP. Na Cisco zařízeních jej však příliš nenajdeme.

Konfigurace VTP

Pro konfiguraci musíme nejprve vytvořit VTP doménu, těch může existovat více a informace se předávají pouze v rámci domény.

Pozn.: VTP pakety neprochází přes router.

SWITCH(config)#vtp domain domena1 

Volitelně můžeme nastavit heslo, které musí být na všech switchích v doméně shodné. Heslo není uloženo v running-config.

SWITCH(config)#vtp password heslo 

Jako poslední nastavíme, v jakém módu switch operuje.

SWITCH(config)#vtp mode server     // možnosti server, client, transparent

Na dnešních Cisco switchích můžeme použít VTP ve dvou verzích (VTP 1 a 2). Verze 2 navíc podporuje Token Ring, VLAN consistency check, unrecognized TLV a v Transparent modu přeposílá advertisements. Defaultní je verze 1, nastavení můžeme změnit.

SWITCH(config)#vtp version 2 

Informace o VTP zjistíme pomocí příkazů

SWITCH#show vtp status          // základní info o běhu VTP na switchi
SWITCH#show vtp counters        // statistika VTP přenosů
SWITCH#show vtp password        // zobrazí VTP heslo

VTP Pruning

Můžeme také povolit pruning. Konfiguruje se na VTP serveru a ovlivní celou doménu. Zabrání odesílání zbytečných paketů (broadcast, multicast, neznámé) na switche, kde není žádný port v dané VLANě a ani přes něj nevede funkční cesta dál.

SWITCH(config)#vtp pruning 

VLAN 1 je pruning ineligible, to znamená, že se na ni pruning neuplatňuje, VLAN 2 až 1001 je standardně pruning eligible, ale můžeme změnit konfigurací.

zobrazeno: 93617krát | Komentáře [23]

Autor:

Související články:

Cisco IOS

Velký seriál o operačním systému aktivních prvků firmy Cisco.

Pokud se Vám článek líbil, tak mne potěšíte, když uložíte odkaz na některý server:

Pokud se chcete vyjádřit k tomuto článku, využijte komentáře níže. Pokud chcete poradit s nějakým problémem či diskutovat na nějaké téma, tak použijte fórum.

Komentáře

  1. [1] Honza

    :-)bezva článek,přesně tohle sem potřeboal abych se dostal do obrazu

    Středa, 20.06.2007 08:59 | odpovědět
  2. [2] regiss

    Opravdu super, tvoje clanky jsou strucne, ale zaroven velice vystizne. Thx much ;-)

    Sobota, 14.07.2007 15:12 | odpovědět
  3. [3] Samuraj

    Děkuji. Takovéhle reakce potěší :). Ještě musím získat více čtenářů.

    Pondělí, 16.07.2007 17:54 | odpovědět
  4. [4] bf

    Nahodou (jako vzdy ;-)) jsem nasel tuhle stranku a vypada fakt skvele, ukladam do slozky s uzitecnymi odkazy! :)

    Čtvrtek, 11.10.2007 10:06 | odpovědět
  5. [5] erik

    :-) Taky me to konecne dostalo do obrazu :D

    Středa, 04.06.2008 11:05 | odpovědět
  6. [6] Jarda

    Pekne :-). Jen pripominam, ze se lze dost casto setkat se starsimi prepinaci (treba rada 2900, kde podpora konci IOSem 12.0.5-WC17). U nich zejmena VLAN a VTP konfiguruje jinak:

    SwitchA# vlan database

    SwitchA(vlan)# vlan 10 name Horni

    SwitchA(vlan)# vlan 20 name Dolni

    SwitchA(vlan)# vtp domain Cisco

    SwitchA(vlan)# vtp server

    SwitchA(vlan)# exit

    Úterý, 17.06.2008 15:59 | odpovědět
  7. [7] Yen

    Jojo,povedeny popis, diky;-) trochu me to nakoplo k pochopeni trunku a nastaveni vtp :-)

    Úterý, 24.02.2009 11:11 | odpovědět
  8. [8] davro

    U VTP by možná stálo za zmínku, že nespolupracuje s VLAN > 1005

    Pátek, 24.04.2009 10:24 | odpovědět
  9. [9] Samuraj

    odpověď na [8]davro: Pravda, pro někoho je dobré to napsat takhle jasně. Já tam mám napsáno, že pouze ve VTP Transparent je možno použít Extended VLANy.

    Pátek, 24.04.2009 10:34 | odpovědět
  10. [10] tomfi

    odpověď na [9]Samuraj:

    Bohužel termín Extended VLAN není v článku popsán a vzhledem k tomu, že to je Cisco terminologie, mohla by tato "featura" trochu zmást neznalého, koupivšího člověka :)

    Možná by se šiknul i článek o GVRP (jenom takový námět :))

    Neděle, 26.04.2009 23:41 | odpovědět
  11. [11] Samuraj

    odpověď na [10]tomfi: První kapitola Čísla VLAN, ale tam jsem to uvedl pouze česky :-).

    Pondělí, 27.04.2009 08:33 | odpovědět
  12. [12] Katka M.

    Ahoj Samuraji. Děkuji za tyto bezva IT stránky. Hodně je využívám. Je to stručné a výstižné a vím, že když zadám do vyhledávacího okénka na tvých stránkách VTP, tak mi to najde to, co mám na mysly a né jako při googlování Voda Topení Plyn :-D

    Čtvrtek, 04.03.2010 15:00 | odpovědět
  13. [13] miso

    Perfektne veci. a pomoze to nielen pri praci ale ja v skole :) zajtra mam prakticky test zo sieti a toto je presne co som potreboval. diky moc :)

    Neděle, 02.05.2010 23:52 | odpovědět
  14. [14] Longmatys

    Ještě taková drobnost, pokud někdo využívá DTP v dynamickém, tak se musí shodovat i VTP domény! Jinak se dva switche na trunku nedomluví. Další záludná věc ohledně VTP prunningu jsou trunky vůči jiným výrobcům, lehce se může stát, že okrajový Cisco switch odřízne access porty na switchi jiného výrobce...

    Podrobný Cisco popis s omáčkou: www.cisco.com/en/US/tech/tk389/tk689/technologies_tech_note09186a0080094c52.shtml

    Úterý, 11.05.2010 10:48 | odpovědět
  15. [15] Děda

    Fakt super, díky moc!!:-)

    Středa, 03.11.2010 16:34 | odpovědět
  16. [16] Michal

    Jsem právě na Cisco školení A2 a již se nedoporučuje DTP ani VTP používat, pro ty, kdo chtějí předejít problémům :)

    Raději vše pěkně ručně, ale mám pak jistotu že trunk naběhne kde má a nepřijdu o VLAN díky nějakému nově zapojenému switchi (co má stejnou doménu a vyšší rev. číslo)

    Jinak díky, skvělá práce, skvělý web!

    Středa, 23.02.2011 10:42 | odpovědět
  17. [17] Tomas

    Dobrý den,

    předem musím podotknout, že Vaše články jsou opravdu čtivé a hlavně chápavé. Mám nakonfigurovanou vlan na ciscu 2960. Kde mám na testovacím portu Gi0/47 a tam mám také nastaven i DHCP server. VLANa funguje a DHCP server mně adresy rozdává, no a kde je problém? Nemám internet...,

    V síťi mám pouze jednu gateway, takže tuto gateway jsem také určil ip default-gateway a v konfiguraci DHCP -> default-router jsem tuto gateway také uvedl, nicméně asi je něco špatně.

    Děkuji za radu

    S pozdrave

    Tomas

    Úterý, 08.11.2011 23:50 | odpovědět
  18. [18] Samuraj

    odpověď na [17]Tomas: A je ta GW připojena do té stejné VLANy? Dá se z počítače, který dostal IP adresu z toho DHCP na GW pingnout?

    Středa, 09.11.2011 09:40 | odpovědět
  19. [19] Ronald

    Ahoj, super clanky. Len mala poznamka. Defaultna vlan 1 sa da vypnut.

    Pondělí, 19.03.2012 14:54 | odpovědět
  20. [20] Samuraj

    odpověď na [19]Ronald: Tak to by mne zajímalo jak :-). Vypnout můžeme VLAN 1 interface, ale vlastní VLAN 1 nevypneme (když se o to pokusíme, tak dostaneme informaci, že to nelze).

    Pondělí, 19.03.2012 15:58 | odpovědět
  21. [21] Roland

    odpověď na [20]Samuraj:

    Mate pravdu :) Zle som to napisal. Vlan 1 interface sa da shut-nut

    Pátek, 23.03.2012 13:03 | odpovědět
  22. [22] Hrošík

    odpověď na [16]Michal: Taky mi někde říkali na školení (asi CCNA), že nemám používat VTP. Podle mě, pokud se dodrží potřebné kroky a nebudu připojovat switch se stejnou VTP doménou jako server (taky, kde bych ho přece vzal), tak je vše v pohodě. A v praxi až narazíte na síť bez VTP, tak je to dost opruz. Ted řeším jen malou část v serverovně a to je takovej bordel, když tam ručně přidávaj asi 3 lidi VLANy. O výluce to budu předělávat na VTP.

    Pátek, 29.01.2016 19:53 | odpovědět
  23. [23] Hrošík

    Máte někdo zkušenost se dvěma VTP servery v jedné VTP doméně? Zahlídl jsem, že to jde, ale nějak nemůžu najít přesné a bezpečné informace a nemám to kde otestovat. Ale přijde mi to jako dobrý nápad, kdyby VTP server switch odešel. Ale abych si celou VTP doménu nerozházel na Rev number.

    Pátek, 29.01.2016 20:53 | odpovědět
Přidat komentář

Vložit tag: strong em link

Vložit smajlík: :-) ;-) :-( :-O


Ochrana proti SPAMu, zdejte následující čtyři znaky image code

Nápověda:
  • maximální délka komentáře je 2000 znaků
  • HTML tagy nejsou povoleny (budou odstraněny), použít se mohou pouze speciální tagy (jsou uvedeny nad vstupním polem)
  • nový řádek (ENTER) ukončí odstavec a začne nový
  • pokud odpovídáte na jiný komentář, vložte na začátek odstavce (řádku) číslo komentáře v hranatých závorkách