Sieci VLAN - część 2
A
ącza Trunk
protokoły VTP, DTP
A
ącza typu Trunk
Inter-VLAN Routing
Opracowano na podstawie
CCNA 3 version 3.0
Znakowanie sieci VLAN (Tagging) Znakowanie sieci VLAN (Tagging)
" Znakowanie sieci VLAN pozwala na przenoszenie w pojedynczym łączu
" Następnie ramka jest przekazywana na odpowiedni port na podstawie
fizycznym ruchu pochodzącego z wielu sieci VLAN.
identyfikatora VLAN tej ramki oraz zawartego w niej docelowego adresu
 Pozwala to na tworzenie sieci VLAN obejmujących porty na osobnych fizycznie
MAC.
przełącznikach
" W momencie przekazania tej ramki do portu do którego przyłączona jest
" Gdy na porcie przełącznika odbierana jest ramka z dołączonej do tego
stacja docelowa VLAN ID jest z niej usuwany i ramka w zwykłej postaci
portu stacji, to przełącznik dodaje do niej unikalny identyfikator związany z
dociera do urządzenia.
siecią VLAN do której należy ten port przełącznika.
" A
ącze w którym przesyłane są oznakowane ramki określane jest jako łacze
typu trunk.
3 4
Znakowanie sieci VLAN (Tagging) Znakowanie VLAN
Bez znakowania ramek każdy VLAN musi mieć osobne
fizyczne połaczenie pomiędzy przełącznikami
Jedno fizyczne łącze z ramkami oznakowanymi
" W praktyce można spotkać dwie metody znakowania
ramek: ISL (Inter-Switch Link) stanowiącą własne
" Znakowanie VLAN pozwala na przesył w jednym łączu
(proprietary) rozwiązanie Cisco oraz IEEE 802.1Q.
fizycznym ramek pochodzących z różnych sieci VLAN.
" W nowych urządzeniach używa się przede wszystkim
znakowania 802.1Q.
5 6
1
.
ISL (Enkapsulacja
Znakowanie VLAN
ramki)
ISL 802.1Q
Rozwiązanie własne Standard ogólny
Enkapsulacja w zewnętrznych Znakowanie (dodawanie nowych pól)
ramkach otrzymanych ramek
Niezależne od protokołu warstwy 2 Zależne od protokołu warstwy 2
" Ramka Ethernet jest enkapsulowana w zewnętrznej ramce zawierającej
nagłówek z identyfikatorem VLAn.
" Metody znakowania ramek w łączach trunk:
" Enkapsulacja ISL jest wykonywana przez przełącznik przed wysłaniem
 ISL (Inter-Switch Link)  Cisco Proprietary ramki na łącze typu trunk.
 IEEE 802.1Q " Przełącznik usuwa enkapsulację ISL przed przed wysłaniem ramki na
 zwykłe łącze.
" 802.1Q jest obecnie rekomendowane przez Cisco i może być
używane w sieciach z przełącznikami różnych firm. " Dodawany jest 26-bajtowy nagłówek zawierający 10-bitowy identyfikator
VLAN.
" Uwaga: Niektóre starsze urządzenia Cisco obsługują tylko ISL,
podczas gdy nowe zazwyczaj tylko 802.1Q. " Dodatkowo dokładana jest końcówka z 4-bajtową sumą kontrolną CRC.
 Suma ta stanowi dodatkowy element kontrolny używany na łączu
trunk (wewnętrzna ramka zawiera włąsną sumę CRC w polu FCS).
7 8
Znakowanie ramek - ISL Znakowanie ramek - ISL
DA - Destination Address
TYPE - Frame Type
" DA stanowi 40-bitowy adres docelowy.
" Pole TYPE wskazuje rodzaj enkapsulowanej ramki wewnętrznej.
" Używana wartość to multicastowy adres: 0x01_00_0C_00_00.
" Używane wartości pola TYPE to:
" Taka wartość adresu (pierwsze 40 bitów) stanowi dla odbiorcy ramki
0000 Ethernet
informację, że jest to ramka ISL.
0001 Token-Ring
0010 FDDI
0011 ATM
9 10
Znakowanie ramek - ISL Znakowanie ramek - ISL
SA - Source Address
" Jest to adres z
ródłowy ramki ISL.
BPDU - BPDU and CDP Indicator
" Powinien być tu użyty 48-bitowy adres MAC interfejsu przełącznika przez który
wysyłana jest ramka ISL.
" Bit ten jest ustawiany w ramkach zawierających ISL zawierających enkapsulowane
ramki BPDU.
" Dla odbiorcy wartość ta w zasadzie nie jest potrzebna.
" Ramki BPDU (Bridge Protocol Data Unit) używane są przez algorytm STP (Spanning
VLAN - Virtual LAN ID
Tree Protocol) głównie do zapobiegania pętlom.
" Identyfikator sieci VLAN z której pochodzi ramka  wewnętrzna (enkapsulowana).
" Jest to wartość 15-bitowa pozwalająca odróżnić ramki z różnych sieci VLAN.
" Pole to jest określane jako  kolor ramki
11 12
2
Znakowanie ramek - ISL Znakowanie ramek - ISL
ENCAP FRAME - Encapsulated Frame
" Pole to zawiera niezmodyfikowaną oryginalną ramkę (łącznie z własną sumą
CRC  Suma kontrolna
CRC).
" 32-bitowa suma CRC wyliczona na całej wewnętrznej ramce.
" Długość ramki enkapsulowanej może wynosić od 1 do 24575 bajtów, co
" Służy do wykrywania na łączu trunk ramek przekłamanych.
pozwala na enkapsulację ramek Ethernet, Token Ring, FDDI.
13 14
IEEE 802.1Q Znakowanie ramek - 802.1Q
" Zawiera znacznie mniej narzutów niż ISL.
" W porównaniu z 30 bajtami dodawanymi przez ISL ISL, 802.1Q
wstawia tylko dodatkowe 4 bajty do nagłówka ramki Ethernet.
" Znacznik (tag) 802.1Q jest wstawiany przez przełącznik przed
wysłaniem ramki przez port pracujący w trybie trunk.
" Przełącznik usuwa znacznik 802.1Q przed wysłaniem ramki przez
standardowy port (nie trunk).
15 16
Znakowanie ramek - 802.1Q Operacja trunkingu
" W nagłówku ramki dodawany jest 4-bajtowy znacznik zawierający pola
TPID (Tag Protocol IDentifier) oraz TCI (Tag Control Information)
TPID
" 2-bajtowe pole TPID zawiera stałą wartość 0x8100.
" Wartość ta wskazuj, że ramka zawiera w sobie znacznik
802.1Q/802.1p. lub 802.1Q
TCI
" 2-bajtowe pole TCI zawiera następujące elementy:
- trzy bity priorytetu używane w systemach QoS (8 poziomów
priorytetu ramki od 0 do 7)
" Trunking pozwala na przesył ramek z różnych sieci VLAN przez
- Flagę kanonicznego formatu (CFI indicator), 0 = canonical, 1 =
pojedyncze fizyczne łącze.
noncanonical, wskazuje porządek bitów w enkapsulowanej ramce
" A
ącze trunk może przesyłać ramki ze wszystkich sieci VLAN lub tylko z
(szczegóły w RFC 2469 -  A Caution On the Canonical Ordering of
wybranych.
Link-Layer Addresses )
" Znacznik VLAN jest dodawany przez przełącznik przed wysłaniem ramki przez
- 12-bitowy identyfikator sieci VLAN, pozwala to zdefiniować do 4094
łącze typu trunk i usuwany przed wysłaniem ramki przez zwykły port.
sieci VLAN (wartości 0 i 4095 są zarezerwowane).
17 18
3
Operacja trunkingu Konfiguracja łącza typu trunk
Uwaga: W
przełącznikach, które
A
ącza standardowe
obsługują zarówno
802.1Q jak i ISL,
komenda
A
ącze typu trunk
switchport trunk
encapsulation
A
ącza standardowe musi być wykonana
PRZED komendą
switchport mode
trunk.
" A
ącze trunk nie należy do określonego VLANu.
" Stanowi ono rodzaj kanału dla sieci VLAN pomiędzy
przełącznikami lub przełącznikami i routerami.
19 20
Konfiguracja łącza typu trunk Konfiguracja łącza typu trunk
Tylko 802.1Q Tylko ISL
Brak komunikacji
SwitchA(config-if)switchport mode trunk
SwitchB(config-if)switchport mode trunk
Switch(config-if)switchport trunk encapsulation [dot1q|isl]
" Nie można zestawić łącza trunk pomiędzy interfejsami stosującymi
różne rodzaje znakowania.
" Komenda ta ustala rodzaj znakowania VLAN na danym interfejsie
(jeżeli obsługiwany jest więcej niż jeden).
" Możliwe opcje to:
 dot1q  IEEE 802.1Q
 isl  ISL
" Rodzaj znakowania VLAN musi być taki sam po obu stronach łącza.
21 22
.
Konfiguracja łącza typu trunk Konfiguracja łącza typu trunk
Tylko 802.1Q ISL i 802.1Q
A
ącze trunk
Switch(config-if)switchport mode [access|trunk]
" Domyślnie w przełącznikach serii Cisco 2900XL porty są
SwitchA(config-if)switchport mode trunk
skonfigurowane w trybie  access .
 W nowszych przełącznikach zazwyczaj jest to  dynamic desirable .
SwitchB(config-if)switchport mode trunk encapsulation dot1q
" W trybie  access interfejs może należeć tylko do jednej sieci VLAN.
SwitchB(config-if)switchport mode trunk
" Tryb  access jest używany w przypadkach:
 Gdy tylko jedno urządzenie jest dołączone do portu przełącznika
" Musi być wybrany rodzaj znakowania obsługiwany przez obie strony
 Do portu dołączonych jest wiele urządzeń (poprze kolejne przełączniki lub
" W przełącznikach, które obsługują zarówno 802.1Q jak i ISL,
koncentratory) i wszytskie te urządzenia należą do tej same sieci VLAN
komenda switchport trunk encapsulation musi być
" Tryb  trunk jest używany gdy:
wykonana PRZED komendą switchport mode trunk.
 Do danego interfejsu dołączony jest port innego przełącznika i łącze
powinno przenosić ruch z więcej niż jednej sieci VLAN.
23 24
4
Konfiguracja łącza typu trunk
Osobne łącza dla każdej sieci VLAN
DTP
Dynamic Trunking Protocol
Switch(config-if)switchport mode access
Switch(config-if)switchport mode trunk
Znakowane łącze wspólne dla
wszystkich sieci VLAN
25
DTP  Dynamic Trunking Protocol DTP  Dynamic Trunking Protocol
" Interfejs Ethernet przełącznika może może pracować w różnych
trybach.
 Access
 Dynamic desirable (domyślny w 2950 i 3550)
 Dynamic auto
 Trunk
 Non-negotiate
 dotq-tunnel (niedostępny w 2950.)
" W zależności od wybranego trybu interfejs może mieć na sztywno
" Tryb interfejsu wybiera się komendą switchport mode
włączony lub wyłączony tryb trunk lub może ten tryb negocjować z
dołączonym do niego portem innego urządzenia.
" Poprzednio omówione zostały dwa statyczne tryby:
" Aby automatyczne wynegocjować tryb trunk interfejsy muszą być w tej
Switch(config-if)switchport mode access
samej domenie VTP (Vlan Trunking Protocol).
Switch(config-if)switchport mode trunk
" Negocjacja trybu trunk jest zarządzana przez Dynamic Trunking
Protocol (DTP), stanowiący własny protokół Cisco typu Point-to-Point.
" Włączają one lub wyłączają na stałe tryb trunking
27 28
DTP DTP  Dynamic Trunking Protocol
Domyślny dla
2900XL
Jeżeli na jednym z połączonych portów nie zostanie
Domyślny dla Tryb domyślny:
ustalony trym access, to takie łącze pomiędzy
2950 i 3550 dynamic desirable
przełącznikami stanie się połączeniem typu trunk.
" Domyślnie interfejsy Ethernet w większości przełączników ustawione
" Domyślnie wszystkie porty skonfigurowane w trybie auto,
są w trybie dynamic desirable (m.in. w przełącznikach Catalyst 2950
co oznacza że jeżeli dany port zostanie połączony do portu
3550).
innego przełącznika skonfigurowanego też jako auto, to
 W przełączniku Catalyst 2960 domyślnym trybem jest dynamic auto
połączenie takie stanie się łaczem typu trunk.
" Tryb desirable utworzy łącze typu trunk jeżeli sąsiedni interfejs jest
" Dlatego do portów wykorzystywanych do przyłączania
ustawiony w trybie desirable, trunk, lub auto.
stacji klienckich zaleca się wykonywanie zarówno komendy
" Czyli w domyślnej konfiguracji przełącznika 2950 połączenie dwóch
portów przełączników spowoduje, że łącze takie stanie się łączem typu switchport access vlan jak i switchport mode
trunk.
access.
29 30
5
DTP  Dynamic Trunking Protocol Przypisanie portów dostępowych do VLAN
Switch(config)#interface range fa 0/11 - 15
Dynamic
Dynamic Auto Trunk Access
Switch(config-if-range)#switchport mode access
Desirable
Switch(config-if-range)#switchport access vlan 10
Dynamic
Access Trunk Trunk Access
Auto
Switch(config)#interface range fa 0/16 - 17
Dynamic
Switch(config-if-range)#switchport mode access
Trunk Trunk Trunk Access
Desirable
Switch(config-if-range)#switchport access vlan 20
Not
Trunk Trunk Trunk Trunk
recommended
" Aby uniknąć problemów z niepożądanym przejściem portu w tryb trunk,
Not
Access Access Access Access
oraz przyśpieszenia uaktywnienia się portu zaleca się ustawienie dla
recommended
portów dostępowych trybu access:
" Tabela pokazuje uzyskany tryb pracy portu przy równych kombinacjach
 switchport mode access
ustawień trybu po obu stronach łącza
 switchport access vlan n
" Ustawienie trybu access z jednej strony i trybu trunk z drugiej blokuje
transmisję przez takie łącze.
" Założono, że DTP jest aktywny po obu stronach
" show dtp interface  wyświetla aktualny stan
31 32
Przypisanie portów dostępowych do VLAN Przypisanie portów dostępowych do VLAN
Switch(config)#interface range fa 0/11 - 15 Switch(config)#interface range fa 0/11 - 15
Switch(config-if-range)#switchport access vlan 10 Switch(config-if-range)#switchport mode access
Switch(config-if-range)#end
Switch#show interface fa 0/11 switchport
Switch#show interface fa 0/11 switchport Name: Fa0/11
Name: Fa0/11 Switchport: Enabled
Switchport: Enabled Administrative Mode: static access
Administrative Mode: dynamic desirable Operational Mode: down
Operational Mode: down Administrative Trunking Encapsulation: dot1q
Administrative Trunking Encapsulation: dot1q Negotiation of Trunking: Off
Negotiation of Trunking: On Access Mode VLAN: 10 (Accounting)
Access Mode VLAN: 10 (Accounting)
Trunking Native Mode VLAN: 1 (default)
Voice VLAN: none
" Ustawienie zakresu portów w trybie access
" Negocjacja trunkingu została wyłączona.
" Bez przełączenia w tryb access interfejs próbuje negocjować tryb
trunk.
33 34
Konfiguracja sieci VLAN bez VTP
VTP
VLAN Trunking Protocol
Centralne zarządzanie sieciami VLAN.
36
6
Konfiguracja sieci VLAN poprzez VTP
VTP - VLAN Trunking Protocol
" VTP (VLAN Trunking Protocol) służy do automatycznego rozsyłania i
synchronizacji informacji o sieciach VLAN skonfigurowanych w
przełącznikach.
Komunikat
" Przełączniki przesyłają komunikaty protokołu VTP tylko w łączach typu
VTP
trunk (zarówno 802.1Q jak i ISL).
" Uwaga: VTP nie jest wymagany do poprawnej pracy sieci VLAN, ale
pozwala na uproszczenie zarządzania VLANami.
" VTP Server
 Jest to domyślny tryb VTP.
 Sieci VLAN mogą być tworzone, modyfikowane i usuwane.
" VTP Client
 Klient wykonuje polecenia serwera, jednak sam nie może inicjować
operacji tworzenia, modyfikowania i usuwania sieci VLAN.
" VTP Transparent
 Przełączniki w trybie  VTP Transparent mode nie uczestniczą w
zadaniach VTP.
37 38
Działanie protokołu VTP Działanie protokołu VTP
" Ogłoszenia VTP przesyłane są wszystkie typy połączeń trunkingowych
" Ogłoszenia VTP są rozsyłane jako ramki multicastowe.
(np. ISL, IEEE 802.1Q, IEEE 802.10, ATM LANE trunk).
" Urządzenia pracujące w trybie VTP server lub VTP client synchronizują swoje
" Istotnym parametrem funkcjonowania VTP jest numer wersji
bazy do najnowszej otrzymanej wersji konfiguracji.
konfiguracji (VTP configuration revision number).
" Ogłoszenia VTP wysyłane są co 5 minut lub po każdej zmianie.
" Jest to 32-bitowa wartość, która identyfikuje określoną wersję
konfiguracji VTP.
" Parametr ten zaczyna się od 0 i zwiększa o 1 przy każdej modyfikacji.
Po osiągnięciu wartości 4294927295 kolejna modyfikacja powoduje
powrót do 0.
" Każde urządzenie korzystające z VTP porównuje własną wartość tego
parametru z wartością otrzymaną od nadawcy komunikatu VTP.
" Na podstawie tego porównania urządzenie określa czy otrzymana
informacja jest bardziej aktualna od tego co urządzenie posiada.
" W komunikatach VTP umieszczana jest nazwa domeny VTP.
" Przełącznik ignoruje otrzymywane ogłoszenia VTP z innej domeny
niż jest w nim skonfigurowana oraz z wcześniejszą wersją
konfiguracji.
39 40
Konfiguracja VTP Wyświetlenie informacji o stanie VTP
" Konfiguracja w trybie globalnym:
status
Switch#config terminal
Switch(config)#vtp version 2
Switch(config)#vtp mode server
Switch(config)#vtp domain cisco
Switch(config)#vtp password mypassword
" Konfiguracja VTP w trybie konfiguracji VLAN (nie zalecane):
Switch#vlan database
Switch(vlan)#vtp v2-mode
Switch(vlan)#vtp server
Switch(vlan)#vtp domain cisco
Switch(vlan)#vtp password mypassword
41 42
7
Liczniki komunikatów VTP
Inter-VLAN Routing
Routing pomiędzy sieciami VLAN
" Komenda sh vtp counters wyświetla statystyki
komunikatów VTP wysyłanych i odbieranych przez
przełącznik.
43
Inter-VLAN Routing Inter-VLAN Routing  dołączenie routera
Fa 0/0 Fa 0/1
10.1.0.1/16 10.2.0.1/16
10.10.0.11/16
10.20.0.22/16
10.20.0.1/16
10.10.0.1/16
" Jedną z możliwości dołączenia routera do sieci VLAN jest
wykorzystanie osobnych interfejsów routera dla każdej sieci VLAN i
dołączenie tych interfejsów do portów przełącznika należących do
10.1.0.10/16 10.2.0.20/16 10.1.0.30/16 10.2.0.40/16
poszczególnych sieci VLAN.
DG: 10.1.0.1 DG: 10.2.0.1 DG: 10.1.0.1 DG: 10.2.0.1
" Rozwiązanie takie jest słabo skalowalne (routery mają zazwyczaj
" Jeżeli potrzebna jest komunikacja pomiędzy hostami znajdującymi się mocno ograniczoną liczbę portów).
w różnych sieciach (podsieciach) IP niezbędne jest zastosowanie
" Dodatkowo porty routera mogą być słabo wykorzystane przy
routera (podobnie jak w fizycznie oddzielonych podsieciach).
niewielkim ruchu pomiędzy VLANami.
45 46
Fizyczne i logiczne interfejsy routera Inter-VLAN Routing -  Router on a stick
10.10.0.11/16
10.20.0.22/16
10.10.0.1/16
10.20.0.1/16
R1
R1(config)#interface fastethernet 0/1.10
" Możliwe jest utworzenie w ramach fizycznego interfejsu routera tzw.
R1(config-subif)#description VLAN 10
podinterfejsów, które rozdzielą interfejs fizyczny na wiele interfejsów
R1(config-subif)#encapsulation dot1q 10
logicznych (nie wszystkie routery mają taką możliwość).
R1(config-subif)#ip address 10.10.0.1 255.255.0.0
" Dla każdego podinterfejsu można ustawić enkapsulację typu 802.1Q
(ewentualnie ISL) z określonym identyfikatorem VLAN
R1(config)#interface fastethernet 0/1.20
" Dołączenie takiego interfejsu routera do portu typu trunk w
R1(config-subif)#description VLAN 20
przełączniku powoduje, że każdy z podinterfejsów routera jest
R1(config-subif)#encapsulation dot1q 20
logicznie połączony z określoną siecią VLAN.
R1(config-subif)#ip address 10.20.0.1 255.255.0.0
R1(config)#int fastethernet 0/0.numer_podinterfejsu
47 48
8
Inter-VLAN Routing -  Router on a stick Router On A Stick: 802.1Q Trunk Link
switch(config)#interface FastEthernet 0/0
switch(config-if)#switchport trunk encapsulation dot1q
switch(config-if)#switchport mode trunk
10.10.0.11/16
10.20.0.22/16
Opcja native oznacza, że ramki z
danego VLAN nie będą znakowane
10.10.0.1/16
Router(config)#interface FastEthernet0/0
10.20.0.1/16
Router(config-if)#no shutdown
R1
Router(config)#interface FastEthernet 0/0.1
Router(config-subif)#description VLAN 1 (CDP, VTP, DTP)
Konfiguracja przełącznika:
Router(config-subif)#encapsulation dot1Q 1 native
switch(config)#interface FastEthernet 0/0
Router(config-subif)#ip address 10.10.1.1 255.255.255.0
switch(config-if)#switchport trunk encapsulation dot1q
Router(config)#interface FastEthernet 0/0.10
switch(config-if)#switchport mode trunk
Router(config-subif)#description VLAN 10
Router(config-subif)#encapsulation dot1Q 10
Router(config-subif)#ip address 10.10.10.1 255.255.255.0
Router(config)#interface FastEthernet 0/0.20
Router(config-subif)#description VLAN 20
Router(config-subif)#encapsulation dot1Q 20
49 Router(config-subif)#ip address 10.10.20.1 255.255.255.0
50
Przykładowa organizacja sieci VLAN
" Jedna z sieci VLAN może być tzw. siecią
natywną. Ramki z tej sieci na łączu trunk nie
są znakowane. Domyślnie jest to sieć VLAN
1 (powinna być taka sama na obu końcach
łącza trunk, w przeciwnym razie mogą
pojawić się dodatkowe problemy).
Przykładowa organizacja sieci VLAN
" Typowo używany do protokołów CDP, VTP,
DTP, PAgP (Port Aggregation Protocol),
LACP (Link Aggregation Protocol)
" w takim przypadku VLAN nie musi mieć
przypisanych portów fizycznych
" Nie powinien być używany do transmisji
ruchu roboczego lub zarządzającego (m.in.
ze względu na utratę klasyfikacji QoS)
Switch(config-if)#switchport trunk native vlan 1
Router(config)#interface FastEthernet 0/0.1
Router(config-subif)#description VLAN 1 (CDP, VTP, DTP)
Router(config-subif)#encapsulation dot1Q 1 native
Router(config-subif)#ip address 10.10.1.1 255.255.255.0
52
Przykładowa organizacja sieci VLAN Przykładowa organizacja sieci VLAN
" Do zarządzania urządzeniami (np. poprzez " Niewykorzystane w danej chwili porty
telnet, SSH, SNMP) zaleca się utworzenie fizyczne przełącznika zaleca się przypisać
osobnego VLAN do osobnego VLAN (tzw. Garbage VLAN)
" Dzięki temu z VLAN użytkowników nie " Stanowi to rodzaj zabezpieczenia przed
będzie możliwy dostęp administracyjny do dołączaniem urządzeń przez użytkowników
urządzeń. na własną rękę
" Garbage VLAN można
wykluczyć z łącza trunk
Switch(config)#interface range fa 0/1-24
Switch(config-if)#switchport mode access
Switch(config-if)#switchport access vlan 222
Switch(config-if)#interface fa 0/10
Switch(config-if)#switchport mode trunk
Switch(config-if)#switchport trunk allowed vlan 1, 10-222
Switch(config-if)#switchport trunk allowed vlan remove 222
53 54
9