nastroisam.ru

Cisco VLAN — настройка vlan на коммутаторе Cisco

Технология VLAN позволяет разделять сеть на логические сегменты. Каждый такой логический сегмент имеет свой широковещательный домен. Уникастовый, бродкастовый и мультикастовый трафик передается только между устройствами входящими в один VLAN. VLAN часто используется для разделения IP сегментов сети, с последующей маршрутизацией и фильтрацией трафика между разными VLAN на маршрутизаторе или на L3 коммутаторе.

Как настраивать VLAN на Cisco роутере можно посмотреть в статье Cisco VLAN — настройка vlan на маршрутизаторе Cisco. Здесь речь пойдёт о настройке VLAN на коммутаторах  Cisco Catalyst.

Перед настройкой VLAN на коммутаторе, необходимо определиться будет ли в сети использоваться протокол VTP (VLAN Trunking Protocol) или нет. Использование VTP облегчает управление (создание, удаление, переименовывание) VLAN-ами в сети. В случае с VTP изменение (информацию о VLAN) можно внести централизованно, на одном коммутаторе, и эти изменения распространятся на другие коммутаторы в сети. Если не использовать VTP, то изменения нужно вносить на каждом коммутаторе.

VTP накладывает свои ограничения: протокол VTP версии 1 и 2 поддерживает только базовый диапазон VLAN (c 1 по 1005), поддержка расширенного диапазона (с 1006 по 4094) возможна только в версии протокола 3. Поддержка протокола  VTP 3 версии начинается с  Cisco IOS версии 12.2(52)SE и выше. Настройку протокола VTP рассмотрим в другой статье, а в этой будем подразумевать, что не используем VTP.

Настройку VLAN на коммутаторе можно выделить в три этапа: создание VLAN, настройка портов, проверка.

1. Создание VLAN на Cisco Catalyst

Номера VLAN (VLAN ID) могут быть в диапазоне от 1 до 4094:

 1 — 1005  базовый диапазон (normal-range)

 1002 — 1005 зарезервированы для Token Ring и FDDI VLAN

 1006 — 4094 расширенный диапазон (extended-range)

 При создании или изменении VLAN можно задать следующие параметры:

На практике чаще всего, при создании VLAN задаётся только VLAN ID и VLAN name

Значения по умолчанию:

Для создания VLAN нужно:

1. Войти в привилегированный режим и ввести необходимый пароль (команда «enable«)

sw1>
sw1>enable
 Password:
sw1#

2. Переключиться в режим глобального конфигурирования (команда «configure terminal«)

sw1#
sw1#configure terminal
   Enter configuration commands, one per line. End with CNTL/Z.
sw1(config)#

 3. Создать VLAN командой «vlan id«, где id — номер VLAN (После создания, консоль окажется в режиме конфигурирования VLAN, где можно задать перечисленные выше параметры для VLAN)

sw1(config)#
sw1(config)#vlan 200
sw1(config-vlan)#

4. Задать необходимые параметры, для созданного VLAN (например имя)

sw1(config-vlan)#
sw1(config-vlan)#name TESTVLAN
sw1(config-vlan)#

Если, в режиме конфигурирования VLAN, ввести знак вопроса, то отобразятся параметры, которые можно задать для данного VLAN:

sw1(config-vlan)#?
 VLAN configuration commands:
   are          Maximum number of All Route Explorer hops for this VLAN (or zero if none specified)
   backupcrf    Backup CRF mode of the VLAN
   bridge       Bridging characteristics of the VLAN
   exit         Apply changes, bump revision number, and exit mode
   media        Media type of the VLAN
   mtu          VLAN Maximum Transmission Unit
   name         Ascii name of the VLAN
   no           Negate a command or set its defaults
   parent       ID number of the Parent VLAN of FDDI or Token Ring type VLANs
   private-vlan Configure a private VLAN
   remote-span  Configure as Remote SPAN VLAN
   ring         Ring number of FDDI or Token Ring type VLANs
   said         IEEE 802.10 SAID
   shutdown     Shutdown VLAN switching
   state        Operational state of the VLAN
   ste          Maximum number of Spanning Tree Explorer hops for this VLAN (or zero if none specified)
   stp          Spanning tree characteristics of the VLAN
   tb-vlan1     ID number of the first translational VLAN for this VLAN (or zero if none)
   tb-vlan2     ID number of the second translational VLAN for this VLAN (or zero if none)

5. Выйти из режима конфигурирования vlan (команда «exit«, либо «end» — выход из режима глобального конфигурирования)

sw1(config-vlan)#
sw1(config-vlan)#end
sw1#

Не забываем сохранять конфигурацию командой «copy running-config  startup-config» в привилегированном режиме

sw1#
sw1#copy running-config startup-config
  Destination filename [startup-config]?
  Building configuration…
[OK]

 Удалить VLAN можно командой «no vlan id» в режиме глобального конфигурирования:

sw1(config)#
sw1(config)#no vlan 200
sw1(config)#

2. Настройка портов на Cisco Catalyst

Порт на коммутаторе Cisco может находиться в одном из режимов:

 access — порт предназначен для подключения оконечного устройства. Принадлежит только одному VLAN. Входящий трафик от подключенного к порту устройства, маркируется заданным на порту VLAN. 

 trunk — порт предназначен для подключения к другому коммутатору или маршрутизатору. Порт передаёт тегированный трафик. Может передавать  трафик как одного, так и нескольких VLAN через один физический кабель.

На Cisco Catalyst можно самому задать режим порта (trunk или access), либо задать автоопределение. При автоопределении режима, порт будет согласовываться с соседом (подключенным к этому порту коммутатором или иным устройством). Согласование режима порта происходит путём передачи DTP (Dynamic Trunking Protocol) фреймов. Для успешной работы протокола DTP, необходимо, что бы интерфейсы были в одном VTP домене (либо один из VTP доменов был null, неточно)

Автоопределение режима порта задаётся командой «switchport mode dynamic auto» или «switchport mode dynamic desirable» в режиме конфигурации интерфейса.

Если на интерфейсе установлено «switchport mode dynamic auto» — то порт переходит в режим trunk, только, если порт соседнего коммутатора установлен в режим «trunk» или  «dynamic desirable«

Если на интерфейсе установлено «switchport mode dynamic desirable» — то порт переходит в режим trunk, только, если порт соседнего коммутатора установлен в режим «trunk» или  «dynamic desirable» или «dynamic auto« 

Не все устройства поддерживают DTP, либо могут некорректно передавать DTP фреймы, в таком случае лучше задать режим (access или trunk) принудительно командами «switchport mode access» или «switchport mode trunk» в режиме конфигурации интерфейса, и отключить передачу DTP фреймов командой «switchport nonegotiate«.

Конфигурация порта по умолчанию:

Настройка порта в режим автоопределения. 

Действия:

— войти в привилегированный режим (команда: «enable«)

— войти в режим глобального конфигурирования (команда: «configure terminal«)

— войти в режим конфигурирования сетевого интерфейса (команда: «interface interface-id«, где interface-id — имя и номер интерфейса, например «interface GigabitEthernet0/21»)

— задать динамический режим порта/интерфейса (команда: «switchport mode dynamic auto» или «switchport mode dynamic desirable«)

— (не обязательно) задать VLAN, который будет на интерфейсе, если порт перейдёт из режима trunk в режим access, по умолчанию VLAN 1 (команда: «switchport access vlan vlan-id«, где vlan-id — номер VLAN)

— (не обязательно) задать Native VLAN, для IEEE 802.1q транка, по умолчанию Native VLAN 1 (команда: «switchport trunk native vlan vlan-id«, где vlan-id — номер Native VLAN)

— добавить/удалить VLAN в транке, по умолчанию все номера VLAN разрешены (команды: «switchport trunk allowed vlan add vlan-list» — добавить в транк VLAN-ы перечисленные в vlan-list, «switchport trunk allowed vlan remove vlan-list» — удалить из транка VLAN-ы, перечисленные в vlan-list, в vlan-list вланы перечисляются через запятую без пробелов, а диапазоны через дефис, например 2,20,30-40,50 ). Можно сразу задать список необходимых VLAN (командой: «switchport trunk allowed vlan vlan-list«)

— включить порт/интерфейс (команда: «no shutdown«) 

— выйти из режима конфигурирования интерфейса (команда: «exit» или «end» )

 Пример:

sw1#configure terminal
  Enter configuration commands, one per line. End with CNTL/Z.
sw1(config)#interface gigabitEthernet 0/23
sw1(config-if)#switchport mode dynamic desirable
sw1(config-if)#switchport access vlan 50
sw1(config-if)#switchport trunk native vlan 100
sw1(config-if)#switchport trunk allowed vlan 2,30-35,40
sw1(config-if)#no shutdown
sw1(config-if)#end
sw1#

В данном примере порт 23 переведётся в режим trunk, если порт на соседнем коммутаторе установлен в режиме dynamic auto или dynamic disirable или trunk . В транке будут передаваться только VLAN 2, VLAN с 30 по 35 и VLAN 40. При работе порта в режиме trunk, приходящий на него не тегированный (native) трафик будет помещаться (маркироваться) в VLAN 100. Если порт на соседнем коммутаторе работает в режиме access, то интерфейс будет помещён в VLAN 50.

Настройка access порта.

VLAN на access порту может задаваться статически либо автоматически. Автоматическое назначение VLAN основывается на МАК адресе источника, используя протокол VQP (VLAN Query Protocol) и сервер VMPS (VLAN Management Policy Server). Сервером VMPS могут выступать коммутаторы только старших моделей, такие серии как Catalyst 4000, 5000 и 6500. Автоматическую настройку access порта через VQP в данной статье рассматривать не будем. Здесь будет показано только статическое задание VLAN на access порту.

Для включения access порта в необходимый VLAN, нужно сделать:

— войти в привилегированный режим (команда: «enable«)

— войти в режим глобального конфигурирования (команда: «configure terminal«)

— войти в режим конфигурирования сетевого интерфейса (команда: «interface interface-id«, где interface-id — имя и номер интерфейса)

— задать режим порта/интерфейса «access» (команда: «switchport mode access«)

— задать VLAN на порту/интерфейсе (команда: «switchport access vlan vlan-id«, где vlan-id — номер VLAN)

— включить порт/интерфейс (команда: «no shutdown«)

— выйти из режима конфигурирования интерфейса (команда: «exit» или «end» )

Пример:

Пусть к 22-му порту коммутатора подключен сервер, который необходимо поместить в 200-й VLAN

Настройка порта:

sw1>
sw1>enable
 Password:
sw1#
sw1#configure terminal
 Enter configuration commands, one per line. End with CNTL/Z.
sw1(config)#interface GigabitEthernet0/22
sw1(config-if)#switchport mode access
sw1(config-if)#switchport access vlan 200
sw1(config-if)#no shutdown
sw1(config-if)#exit
sw1(config)#exit
sw1#

Настройка trunk порта.

Настройка порта в режиме trunk идентична настройки порта в режиме автоопределения, за исключением того, что режим нужно указать не dynamic а trunk.

Пример:

sw6#
sw6#configure terminal
  Enter configuration commands, one per line. End with CNTL/Z.
sw6(config)#interface gigabitEthernet 0/23
sw6(config-if)#switchport mode trunk
sw6(config-if)#switchport trunk allowed vlan 2,30-35,40
sw6(config-if)#no shutdown
sw6(config-if)#end
sw6#

В примере задаётся транк на 23-м порту, в транке разрешены только VLAN 2, VLAN с 30 по 35 и VLAN 40

Добавление VLAN в транковый порт выполняет команда: «switchport trunk allowed vlan add VLAN_NUM«

Пример добавления вланов 100 и 200 к существующим, в транковом порту 23:

sw6#
sw6#configure terminal
  Enter configuration commands, one per line. End with CNTL/Z.
sw6(config)#interface Gi0/23
sw6(config-if)#switchport trunk allowed vlan add 100,200
sw6(config-if)#
sw6(config-if)#end
sw6#

УдалениеVLAN из транкового порта выполняет команда: «switchport trunk allowed vlan remove VLAN_NUM«

Пример удаления вланов 100 и 200 из существующих, в транковом порту 23:

sw6#
sw6#configure terminal
  Enter configuration commands, one per line. End with CNTL/Z.
sw6(config)#interface Gi0/23
sw6(config-if)#switchport trunk allowed vlan remove 100,200
sw6(config-if)#
sw6(config-if)#end
sw6#

Некоторые cisco коммутаторы поддерживают два протокола для работы с VLAN это IEEE 802.1q и ISL. Протокол ISL уже устарел и на многих современных коммутаторах не поддерживается. Поэтому предпочтительнее использовать протокол IEEE 802.1q

На таких коммутаторах, перед настройкой порта в режиме транка, нужно выбрать тип инкапсуляции dot1q (комана: «switchport trunk encapsulation dot1q» в режиме конфигурации интерфейса)

3. Проверка настройки VLAN

Посмотреть информацию о VTP  протоколе: «show vtp status«

Показать информацию обо всех VLAN на коммутаторе: «show vlan«

Посмотреть информацию об конкретном VLAN, и узнать на каких он портах: «show vlan id vlan-id«

Посмотреть режим работы порта, native vlan, access vlan и прочее: «show interfaces interface-id  switchport«

Иногда, необходимо на коммутаторе создать интерфейс 3-го уровня для VLAN. Например, для маршрутизации и фильтрации IP трафика между разными VLAN (должна быть поддержка L3 уровня как самой моделью коммутатора так и версией IOS). Либо просто создать интерфейс для управления этим коммутатором в специальном VLAN.

Сетевой интерфейс для VLAN создаётся в режиме глобального конфигурирования командой: «interface vlan-id«, где vlan-id — это номер VLAN. 

Далее консоль переходит в режим конфигурирования интерфейса, где можно задать необходимые сетевые настройки ip адрес, маску сети, повесить ACL и прочее.

Пример создания L3 интерфейса для VLAN 200:

sw1#
sw1#configure terminal
  Enter configuration commands, one per line. End with CNTL/Z.
sw1(config)#interface vlan 200
sw1(config-if)#ip address 192.168.200.1 255.255.255.0
sw1(config-if)#end
sw1#

www.adminia.ru

Настройка Private VLANs на Cisco / Habr

Для начала вспомним, что такое VLANы. VLAN – отдельная подсеть, отдельный домен бродкаста, используется для логической сегментации сети, ограничения домена широковещательной рассылки, безопасности и т.д.

Обычно сеть делится на VLANы, далее c помощью router-on-the-stick либо многоуровнего свича (любого устройства 3 уровня) включается маршрутизация (разрешается весь трафик), а потом, с помощью списков контроля доступа, прописывается кому, с кем и по какому протоколу разрешено “общаться” (или применяется контроль трафика исходя из требований политики безопасности вашей организации, как было бы написано в учебнике Cisco).

Но что же делать когда, например, сеть уже разделена, сегментирована, но возникла необходимость изолировать серверы либо группы хостов друг от друга?

У Cisco, как и других вендоров, есть дополнительные инструменты, помогающие ограничивать пересылку трафика между хостами, находящимися в пределах одной подсети или контроля трафика внутри VLAN. Для этого чаще всего используются Private VLANs (частные VLANы), VLAN access list и protected ports.

Следует отметить, что Private VLANы на Cisco поддерживаются на моделях Nexus, а так же Catalyst начиная с 3560 и старше.

Первый пример.

Остановимся более подробнее на частных VLANах. Основная цель статьи – научить настраивать частные VLANы, разобраться с терминологией, а так же получить общее представление, где их использовать.

Второй пример.

Третий пример.

В данных ситуациях на помощь приходят частные VLANы.

Немного терминологии. Частные VLANы делятся на:

• Primary – основная, главная VLAN
• Secondary – второстепенные VLANы (бывают 2 видов isolated и community), все они должны принадлежать primary VLAN

Порты делятся на:

• Promiscuous – этот порт “видят” все и он “видит” всех, должен быть привязан к основному и всем второстепенным VLANам.
• Private vlan host может принадлежать:
• • Isolated VLAN- “видит” только promiscuous порт, не “видит” другие порты даже в своей isolated vlan. Должен быть привязан к своему isolated VLANу и primary VLANу
  • Community VLAN- “видит” только порты в данной community vlan, которой он принадлежит и promiscuous порт. Должен быть привязан к своему community VLANу и primary VLANу.

Общие правила

Обычно создается только один isolated vlan, не важно, сколько там хостов, все равно они не будут видеть друг друга.

В отличие от isolated VLAN, несколько community VLAN может быть привязано к одному promiscuous порту.

Рассмотрим следующую топологию:

— Все устройства находятся в одной подсети 10.0.0.0/24 VLAN 10.
— R4 и R5 должны быть изолированы друг от друга и R2, R3 – т.е. должны иметь доступ только к интерфейсу маршрутизатора.
— R2 и R3 должны быть изолированы от R4, R5, но видеть друг друга и маршрутизатор.

Сперва создадим 2 второстепенных VLANа, 101 community VLAN и 102 isolated VLAN. VLAN 10 сделаем основной и привяжем к ней второстепенные( порядок ввода команд не имеет значения).

SW1 (config)#
vlan 101
	private-vlan community
!
vlan 102
	private-vlan isolated
!
vlan 10
	private-vlan primary
	private-vlan association 101-102

Проверим:

SW1#sh vlan private-vlan

Primary  Secondary    Type                         Ports
_ _ _ _  _ _ _ _ _ _  _ _ _ _ _ _ _ _ _ _ _ _ _ _  _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
10       101          community
10       102          isolated

Далее, мы должны ассоциировать порты c VLANами.

Из режима конфигурации интерфейса делаем его сначала private vlan host (говорим ему, что он необычный порт), второй командой привязываем его к isolated и primary VLANам

interface FastEthernet1/0/11
 description SW1 <-> R2
 switchport private-vlan host-association 10 101
 switchport mode private-vlan host
 spanning-tree portfast
end

По аналогии настраиваем интерфейс fa1/0/4

interface FastEthernet1/0/4
 description SW1 <-> R3
 switchport private-vlan host-association 10 101
 switchport mode private-vlan host
 spanning-tree portfast
end

То же самое прописываем на fa1/0/9 – сначала говорим ему, что он private vlan host и для того, что бы он понял, что он принадлежит community vlan 102, привязываем его к ней, а так же не забываем привязать его к основному VLANу.

interface FastEthernet2/0/2
 description SW1 <-> R6
 switchport private-vlan mapping 10 101-102
 switchport mode private-vlan promiscuous

Аналогично настраиваем fa1/0/9

interface FastEthernet2/0/11
 description SW1 <-> R5
 switchport private-vlan host-association 10 102
 switchport mode private-vlan host
 spanning-tree portfast

Интерфейсу fa2/0/2, так как мы хотим, что бы все хосты его “видели” и он всех “видел”, задаем режим promiscuous и по правилу привязываем его к основному и всем второстепенным VLANам.

interface FastEthernet2/0/2
 description SW1 <-> R6
 switchport private-vlan mapping 10 101-102
 switchport mode private-vlan promiscuous

Проверяем ассоциацию портов:

SW1#sh vlan private-vlan

Primary  Secondary    Type                         Ports
_ _ _ _  _ _ _ _ _ _  _ _ _ _ _ _ _ _ _ _ _ _ _ _  _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
10       101          community                    Fa1/0/4, Fa1/0/11, Fa2/0/2
10       102          isolated                     Fa1/0/9, Fa2/0/2, Fa2/0/11

Следующее действие не обязательное, создаем L3 SVI, для проверки, что isolated и community хосты могут его “видеть” так же, как и promiscuous port.

SW#sh run int vlan 10 | beg int
interface Vlan10
 ip address 10.0.0.1 255.255.255.0
 private-vlan mapping 101-102
end

SW#sh int vlan 10 private-vlan mapping
Interface  Secondary VLANs
_ _ _ _ _  _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
vlan 10    101,102
SW1#

И теперь самое интересное – как это все работает.

Взглянем на таблицу MAC-адресов на свиче, выглядит она необычно. Оказывается, MAC-адреса хостов на портах, с которых они были получены, одновременно ассоциируются с основным и второстепенным VLANами!

Почему хосты R4 и R5 в isolated vlan 102 не могут ничего “видеть” кроме интерфейса маршрутизатора? Обратите внимание, что MAC-адреса этих хостов в пределах 102 isolated vlan свич пометил, как BLOCKED, в то же время MAC-адрес promiscuous интерфейса маршрутизатора в пределах vlan 102, как обычный DYNAMIC.

Теперь давайте посмотрим, почему интерфейс маршрутизатора, помеченный, как promiscuous может “общаться” со всеми интерфейсами, дело в том, что он их может видеть через primary VLAN 10 (первые 5 строчек в таблице MAC-адресов).

 SW#sh arp
 Protocol   Address            Age (min)   Hardware Addr   Type   Interface
 Internet   10.0.0.2                 8     0014.a925.72a0  ARPA   Vlan10 pv 101
 Internet   10.0.0.3                 5     0014.a925.4cd8  ARPA   Vlan10 pv 101
 Internet   10.0.0.1                 -     0014.a98c.87c1  ARPA   Vlan10
 Internet   10.0.0.6                70     0014.a909.78d1  ARPA   Vlan10
 Internet   10.0.0.4                 4     0014.a909.7870  ARPA   Vlan10 pv 102
 Internet   10.0.0.5                 4     0014.a925.6460  ARPA   Vlan10 pv 102

 SW#sh mac-address-table
          Mac Address Table
 _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _

 Vlan   Mac Address       Type       Ports
 _ _ _  _ _ _ _ _ _       _ _ _ _    _ _ _ _
  All   0100.0ccc.cccc    STATIC     CPU
  ....
  10   0014.a909.7870    DYNAMIC pv Fa1/0/9
  10   0014.a909.78d1    DYNAMIC    Fa2/0/2
  10   0014.a925.4cd8    DYNAMIC pv Fa1/0/4
  10   0014.a925.6460    DYNAMIC pv Fa2/0/11
  10   0014.a925.72a0    DYNAMIC pv Fa1/0/11
 101   0014.a909.78d1    DYNAMIC pv Fa2/0/2
 101   0014.a925.4cd8    DYNAMIC    Fa1/0/4
 101   0014.a925.72a0    DYNAMIC    Fa1/0/11
 102   0014.a909.7870    BLOCKED    Fa1/0/9
 102   0014.a909.78d1    DYNAMIC pv Fa2/0/2
 102   0014.a925.6460    BLOCKED    Fa2/0/11
  
 SW1#

В следующей статье рассмотрим тонкости масштабируемости частных VLANов, как между свичами поддерживающими эту технологию, так и на / через обычные свичи, которые даже и не знают такого понятия, как частный VLAN (нет, нет никакого двойного тегирования фрэйма) и типы “специальных” транков.

habr.com

Настройка VLAN на Cisco

Подборка инструкций по настройке VLAN на оборудовании Cisco. Примеры конфигурирования, описания возможных проблем, настройки и параметры.

Введение в виртуальные локальные сети VLAN

Если вы совсем новичок в теме, начните с этого видео, посвященного технологии VLAN/ Пожалуй самое доступное объяснение:

Настройка VLAN в Cisco Packet Tracer

В данном уроке мы познакомимся с технологией VLAN, научимся создавать их на коммутаторах, настраивать access и trunk порты.

Одно из лучших объяснений работы VLAN на оборудовании Cisco.

У кого бесконечный «Translating….» нажмите Ctrl + Shift + 6

Добавлять VLAN в транк только «switchport trunk allowed vlan add», чтобы остальные не потерялись.

Учтите, что вы не пробросите VLAN без транка. у коммутаторов есть два режима порта, это access, используется как правило для конечных устройств (компы, принтеры, телефоны) и trunk — настраивается между свичами. Access порт тегирует входящий трафик в коммутатор и растегирует исходящий. Trunk порт не занимается тегированием, он просто прокидывает пакеты основываясь на метках влана (тегах).

Настройка VLAN+NAT+DHCP в Cisco Packet Tracer

Еще одно подробное руководство по настройке VLAN на оборудовании Cisco.

Маршрутизация между Cisco VLAN. Три варианта дизайна

В этом видео рассказывается о том, как работает маршрутизация между виртуальными сетями Virtual LAN или Vlan, которая также называется  Inter vlan routing. Подробно на уровне CCNA рассказывается какой дизайн сети выбрать, в чем преимущества и недостатки каждого варианта дизайна.

Более чем подходит для подготовке к сертификационному тесту CCNA Routing and Switching. Вам нужно разделить сеть на Vlan? Нужно настроить взаимодействие. В видео рассматриваются три варианта построения маршрутизации между Vlan. Обсуждаются плюсы и минусы каждого, а также применимость на практике.

Как настроить VLAN на коммутаторах Cisco Catalyst 2960

В этом видео показано на практике, как создать VLAN на коммутаторе Cisco 2960, переключить порты в определенный VLAN, а также передавать трафик между несколькими коммутаторами.

Настройка Native Vlan на Cisco

Native VLAN — это понятие в стандарте 802.1Q, которое обозначает VLAN на коммутаторе, где все кадры идут без тэга, т.е. трафик передается нетегированным. По умолчанию это VLAN 1. В некоторых моделях коммутаторов Сisco это можно изменить, указав другой VLAN как native.

Если коммутатор получает нетегированные кадры на транковом порту, он автоматически причисляет их к Native VLAN. И точно так же кадры, генерируемые с не распределенных портов, при попадании в транк-порт причисляются к Native VLAN.

Трафик, который принадлежит другим VLANам, тегируется с указанием соответствующего VLAN ID внутри тега.

Пример настройки VLAN 5 как native на коммутаторе Cisco

sw1(config)# interface f0/10

sw1(config-if)# switchport trunk native vlan 5

Теперь весь трафик, принадлежащий VLAN 5 будет передаваться через транковый интерфейс нетегированным, а весь пришедший на транковый интерфейс нетегированный трафик будет промаркирован как принадлежащий VLAN’у 5 (по умолчанию VLAN 1).

Из соображений безопасности (например, для защиты от VLAN Hopping) рекомендуется в транке выполнять тегирование даже для native VLAN. Включить тегирование фреймов для native VLAN глобально можно с помощью команды vlan dot1q tag native, просмотреть текущий статус тегирования можно используя команду show vlan dot1q tag native.

Switch(config)#no vlan dot1q tag native

Switch#sho vlan dot1q tag native

dot1q native vlan tagging is disabled

Настройка Voice VLAN на Cisco

Большинство IP — телефонов, включая Cisco, имеют маленький коммутатор на 3 порта внутри IP — телефона. Телефон подключается «в разрыв».

• Первый порт подключается к коммутатору;
• Второй порт подключается к компьютеру;
• Внутренний порт подключает сам телефон;

Как это все работает? Между коммутатором и телефоном у нас есть так называемый «транк». Порт на телефоне, который подключается к компьютеру, является портом доступа. Телефона передает весь трафик с компьютера на коммутатор без каких — либо меток, непомеченным. Трафик с самого телефона всегда будет помечаться, и в транке будут разрешены только два вышеупомянутых VLANа.

Если вы уже знакомы с настройкой VLANов, то создание голосового VLANа не составит для вас вообще никакого труда. Давайте настроим порт на коммутаторе, где мы будем использовать VLANы 10 и 11.

Сначала мы создаем данные VLANы:

MERION-SW1(config)#vlan 10

MERION-SW1(config-vlan)#name DATA

MERION-SW1(config-vlan)#exit

MERION-SW1(config)#vlan 11

MERION-SW1(config-vlan)#name VOICE

MERION-SW1(config-vlan)#exit

Теперь настроим интерфейс:

MERION-SW1(config)#interface GigabitEthernet 0/1

MERION-SW1(config-if)#switchport mode access

MERION-SW1(config-if)#switchport access vlan 10

MERION-SW1(config-if)#switchport voice vlan 11

MERION-SW1(config-if)#exit

Мы переключили данный порт в режим доступа и настраиваем его для VLAN 10. Команда switchport voice vlan сообщает коммутатору, чтобы он использовал VLAN 11 как голосовой VLAN.

Для того, чтобы телефон понял, какой VLAN нужно использовать, используются два протокола — Cisco Discovery Protocol (CDP) для телефонов Cisco и Link Layer Discovery Protocol (LLDP) для телефонов от других вендоров.

Справочная информация

Номера VLAN (VLAN ID)

Номера VLAN (VLAN ID) могут быть в диапазоне от 1 до 4094:

• 1 — 1005 базовый диапазон (normal-range)
• 1002 — 1005 зарезервированы для Token Ring и FDDI VLAN
• 1006 — 4094 расширенный диапазон (extended-range)

Параметры VLAN

При создании или изменении VLAN можно задать следующие параметры:

• VLAN ID — Номер VLAN
• VLAN name (name) — Имя VLAN
• VLAN type (media) — Тип VLAN (Ethernet, Fiber Distributed Data Interface [FDDI], FDDI network entity title [NET], TrBRF, или TrCRF, Token Ring, Token Ring-Net)
• VLAN state (state) — Состояние VLAN (active или suspended)
• VLAN MTU (mtu) — Максимальный размер блока данных, который может быть передан на канальном уровне
• SAID (said) — Security Association Identifier — идентификатор ассоциации безопасности (стандарт IEEE 802.10)
• Remote SPAN (remote-span) — Создание VLAN для удаленного мониторинга трафика (В дальнейшем в такой VLAN можно зеркалировать трафик с какого-нибудь порта, и передать его через транк на другой коммутатор, в котором из этого VLAN трафик отправить на нужный порт с подключенным снифером)
• Bridge identification number для TrBRF VLAN (bridge) — Идентификатор номера моста для функции TrBRF (Token Ring Bridge Relay Function). Цель функции — создание моста из колец.
• Ring number для FDDI и TrCRF VLAN (ring) — Номер кольца для типов VLAN FDDI и TrCRF (Token Ring concentrator relay functions). TrCRF называют кольца, которые включены в мост.
• Parent VLAN number для TrCRF VLAN (parent) — Номер родительского VLAN для типа VLAN FDDI или Token Ring
• Spanning Tree Protocol (STP) type для TrCRF VLAN (stp type) — Тип протокола связующего дерева (STP) для VLAN типа TrCRF
• Translational VLAN number 1 (tb-vlan1) — Номер VLAN для первичного преобразования одного типа VLAN в другой
• Translational VLAN number 2 (tb-vlan2) — Номер VLAN для вторичного преобразования одного типа VLAN в другой

Значения по умолчанию

network.msk.ru

Создание и удаление VLAN’ов на свитчах Cisco Catalyst.

Расписывать что такое VLAN и с чем его едят я не буду, т.к. если Вы читаете эту статью, значит знаете о них не по наслышке.

Ограничимся простым определением VLAN (Virtual Local Area Network) — виртуальная локальная компьютерная сеть.

VLAN возможно создавать не только на устройстах Cisco, другие справляются с этим не менее чем прилично, но тема наша посвящена именно циске, поэтому рассмотрим пример основанный на них .
 

На одном физическом устройстве можно создавать множество VLAN’ов для доступа к различным сетям.
Например Вам необходимо выделить VLAN для сети 10.10.181.0 ,  VLAN для сети 10.10.182.0 и еще один для 10.10.183.0.  Все три сети прекрасно скоммутируются на одном физическом устройстве.

Все команды, используемые в данной статье, были протестированы на свитчах cisco catalyst 3750 series, эти же команды должны работать на всех свитчах Cisco (возможно с небольшими изменениями в нумерации портов)

Создание VLAN

По умолчанию используется один VLAN, то бишь все порты свитча подключены к одной сети.
В нашем случае это сеть 10.10.182.0 с дефолтным именем VLAN1.

#show vlan

VLAN Name       Status    Ports
---- -------------------------------- --------- ------------
1    default    active    Gi1/0/1, Gi1/0/2, Gi1/0/3, Gi1/0/4
                          Gi1/0/5, Gi1/0/6, Gi1/0/7, Gi1/0/8

В следующем примере мы создадим отдельный VLAN для нашей сети и выделим под него порты с 3 по 6. Назовем VLAN как VLAN 182

config t
vlan 182
interface range gigabitEthernet 1/0/3-6
switchport access vlan 182
exit

Разберем команды:

    config t – идем в режим конфигурации (configuration mode)
    vlan 182 – создаем VLAN 182
    interface range gigabitEthernet 1/0/3-6 – указываем какие порты использовать для нашего VLAN
    swithport access vlan 182 – включаем доступ к нашему vlan 182

Помимо включения доступа к vlan182 для портов 3-6, можно также указать дополнительные конфигурационные параметры, например nonegative и mode access.

config t
interface range gigabitEthernet 1/0/3-6
switchport mode access
switchport nonegotiate
exit

Просмотрим существующие VLAN

#show vlan
VLAN Name       Status    Ports
---- -------------------------------- --------- ------------
1    default    active    Gi1/0/1, Gi1/0/2, Gi1/0/7, Gi1/0/8
182  VLAN0182   active    Gi1/0/3, Gi1/0/4, Gi1/0/5, Gi1/0/6

Как мы видим, у нас все получилось.

Удаление VLAN

Также интересно:

Если Вы допустили ошибку при создании VLAN или нужно переопределить порты на другой VLAN, вы всегда можете удалить старый.

Удаление осуществляется очень просто, мы просто переписываем порты 3-6 на дефолтный VLAN и удаляем VLAN 182

Присваеваем порты 3-6 vlan 1:

interface range gigabitEThernet 1/0/3-6
switchport access vlan 1
exit

И удаляем vlan 182:

no vlan 182

Проверяем, удален ли VLAN 182:

#show vlan

VLAN Name       Status    Ports
---- -------------------------------- --------- ------------
1    default    active    Gi1/0/1, Gi1/0/2, Gi1/0/3, Gi1/0/4
                          Gi1/0/5, Gi1/0/6, Gi1/0/7, Gi1/0/8

Ну и под конец статьи маленькое напутствие, если Вы не знаете, что та или иная команда значит и какие последствия могут наступить, не тренируйтесь на боевых цисках!  Если положите сеть, разбираться придется долго. Выделите себе какую-нибудь для тренировок и отработок навыков и вперед! =)
 

greendail.ru