Учебное Руководство » 5,3 Mi. Написанное экспертами по глобальным сетям, данное учебное. Часть первая (которая после нулевой). Подключение к оборудованию cisco. Системное администрирование. Сети для самых маленьких. Часть восьмая. Тематику cisco на хабре нельзя назвать популярной, зачастую интересные статьи остаются почти незамеченными. Но нас приятно удивил ажиотаж вокруг нашей предыдущей публикации. Больше тысячи человек добавили её в избранное, и это определённо говорит о том, что продолжение необходимо.
4464 VLANs – это виртуальные сети, которые существуют на втором уровне модели OSI. То есть, VLAN можно настроить на коммутаторе второго уровня. Если смотреть на VLAN, абстрагируясь от понятия «виртуальные сети», то можно сказать, что VLAN – это просто метка в кадре, который передается по сети. Метка содержит номер VLAN (его называют VLAN ID или VID), – на который отводится 12 бит, то есть, вилан может нумероваться от 0 до 4095.
Первый и последний номера зарезервированы, их использовать нельзя. Обычно, рабочие станции о VLAN ничего не знают (если не конфигурировать VLAN на карточках специально). О них думают коммутаторы.
На портах коммутаторов указывается в каком VLAN они находятся. В зависимости от этого весь трафик, который выходит через порт помечается меткой, то есть VLAN. Таким образом каждый порт имеет PVID ( port vlan identifier).Этот трафик может в дальнейшем проходить через другие порты коммутатора(ов), которые находятся в этом VLAN и не пройдут через все остальные порты. В итоге, создается изолированная среда (подсеть), которая без дополнительного устройства (маршрутизатора) не может взаимодействовать с другими подсетями. Зачем нужны виланы?.
Возможность построения сети, логическая структура которой не зависит от физической. То есть, топология сети на канальном уровне строится независимо от географического расположения составляющих компонентов сети. Возможность разбиения одного широковещательного домена на несколько широковещательных доменов.
То есть, широковещательный трафик одного домена не проходит в другой домен и наоборот. При этом уменьшается нагрузка на сетевые устройства. Возможность обезопасить сеть от несанкционированного доступа.
То есть, на канальном уровне кадры с других виланов будут отсекаться портом коммутатора независимо от того, с каким исходным IP-адресом инкапсулирован пакет в данный кадр. Возможность применять политики на группу устройств, которые находятся в одном вилане. Возможность использовать виртуальные интерфейсы для маршрутизации. Примеры использования VLAN. Объединение в единую сеть компьютеров, подключенных к разным коммутаторам. Допустим, у вас есть компьютеры, которые подключены к разным свитчам, но их нужно объединить в одну сеть. Одни компьютеры мы объединим в виртуальную локальную сеть VLAN 1, а другие — в сеть VLAN 2. Благодаря функции VLAN компьютеры в каждой виртуальной сети будут работать, словно подключены к одному и тому же свитчу.
Компьютеры из разных виртуальных сетей VLAN 1 и VLAN 2 будут невидимы друг для друга. Разделение в разные подсети компьютеров, подключенных к одному коммутатору. На рисунке компьютеры физически подключены к одному свитчу, но разделены в разные виртуальные сети VLAN 1 и VLAN 2. Компьютеры из разных виртуальных подсетей будут невидимы друг для друга. Разделение гостевой Wi-Fi сети и Wi-Fi сети предприятия. На рисунке к роутеру подключена физически одна Wi-Fi точка доступа. На точке созданы две виртуальные Wi-Fi точки с названиями HotSpot и Office. К HotSpot будут подключаться по Wi-Fi гостевые ноутбуки для доступа к интернету, а к Office — ноутбуки предприятия. В целях безопасности необходимо, чтобы гостевые ноутбуки не имели доступ к сети предприятия.
Для этого компьютеры предприятия и виртуальная Wi-Fi точка Office объединены в виртуальную локальную сеть VLAN 1, а гостевые ноутбуки будут находиться в виртуальной сети VLAN 2. Гостевые ноутбуки из сети VLAN 2 не будут иметь доступ к сети предприятия VLAN 1. Достоинства использования VLAN. Гибкое разделение устройств на группы. Как правило, одному VLAN соответствует одна подсеть. Компьютеры, находящиеся в разных VLAN, будут изолированы друг от друга.
Также можно объединить в одну виртуальную сеть компьютеры, подключенные к разным коммутаторам. Уменьшение широковещательного трафика в сети. Каждый VLAN представляет отдельный широковещательный домен. Широковещательный трафик не будет транслироваться между разными VLAN. Если на разных коммутаторах настроить один и тот же VLAN, то порты разных коммутаторов будут образовывать один широковещательный домен. Увеличение безопасности и управляемости сети.
В сети, разбитой на виртуальные подсети, удобно применять политики и правила безопасности для каждого VLAN. Политика будет применена к целой подсети, а не к отдельному устройству. Уменьшение количества оборудования и сетевого кабеля. Для создания новой виртуальной локальной сети не требуется покупка коммутатора и прокладка сетевого кабеля. Однако вы должны использовать более дорогие управляемые коммутаторы с поддержкой VLAN. Тэгированные и нетэгированные порты Когда порт должен уметь принимать или отдавать трафик из разных VLAN, то он должен находиться в тэгированном или транковом состоянии. Понятия транкового порта и тэгированного порта одинаковые.
Транковый или тэгированный порт может передавать как отдельно указанные VLAN, так и все VLAN по умолчанию, если не указано другое. Если порт нетэгирован, то он может передавать только один VLAN (родной). Если на порту не указано в каком он VLAN, то подразумевается, что он в нетэгированном состоянии в первом VLAN (VID 1).
Разное оборудование настраивается по-разному в данном случае. Для одного оборудования нужно на физическом интерфейсе указать в каком состоянии находится этот интерфейс, а на другом в определенном VLAN необходимо указать какой порт как позиционируется – с тэгом или без тэга. И если необходимо, чтобы этот порт пропускал через себя несколько VLAN, то в каждом из этих VLAN нужно прописать данный порт с тэгом. Например, в коммутаторах Enterasys Networks мы должны указать в каком VLAN находится определенный порт и добавить этот порт в egress list этого VLAN для того, чтобы трафик мог проходить через этот порт.
Если мы хотим чтобы через наш порт проходил трафик еще одного VLAN, то мы добавляем этот порт в egress list еще и этого VLAN. На оборудовании HP (например, коммутаторах ProCurve) мы в самом VLAN указываем какие порты могут пропускать трафик этого VLAN и добавляем состояние портов – тэгирован или нетегирован. Проще всего на оборудовании Cisco Systems. На таких коммутаторах мы просто указываем какие порты какими VLAN нетэгированы (находятся в режиме access) и какие порты находятся в тэгированном состоянии (находятся в режиме trunk). Для настройки портов в режим trunk созданы специальные протоколы. Один из таких имеет стандарт IEEE 802.1Q. Это международный стандарт, который поддерживается всеми производителями и чаще всего используется для настройки виртуальных сетей.
Кроме того, разные производители могут иметь свои протоколы передачи данных. Например, Cisco создала для свого оборудования протокол ISL ( Inter Switch Lisk). Межвлановская маршрутизация Что такое межвлановская маршрутизация? Это обычная маршрутизация подсетей.
Разница только в том, что каждой подсети соответствует какой-то VLAN на втором уровне. Что это значит. Допустим у нас есть два VLAN: VID = 10 и VID = 20.
На втором уровне эти VLAN осуществляют разбиение одной сети на две подсети. Хосты, которые находятся в этих подсетях не видят друг друга. То есть, трафик полностью изолирован. Для того, чтобы хосты могли взаимодействовать между собой, необходимо смаршрутизировать трафик этих VLAN. Для этого нам необходимо на третьем уровне каждому из VLAN присвоить интерфейс, то есть прикрепить к ним IP-адрес. Например, для VID = 10 IP address будет 10.0.10.1/24, а для VID = 20 IP address – 10.0.20.1/24.
Эти адреса будет дальше выступать в роли шлюзов для выхода в другие подсети. Таким образом, мы можем трафик хостов с одного VLAN маршрутизировать в другой VLAN. Что дает нам маршрутизация VLAN по сравнению с простой маршрутизацией посетей без использования VLAN? А вот что:.
Возможность стать членом другой подсети на стороне клиента заблокирована. То есть, если хост находится в определенном VLAN, то даже, если он поменяет себе адресацию с другой подсети, он всеравно останется в том VLAN, котором он был. Это значит, что он не получит доступа к другой подсети. А это в свою очередь обезопасит сеть от «плохих» клиентов. Мы можем поместить в VLAN несколько физических интерфейсов коммутатора.
То есть, у нас есть возможность на коммутаторе третьего уровня сразу настроить маршрутизацию, подключив к нему клиентов сети, без использования внешнего маршрутизатора. Либо мы можем использовать внешний маршрутизатор подключенный к коммутатору второго уровня, на котором настроены VLAN, и создать столько сабинтерфейсов на порте маршрутизатора, сколько всего VLAN он должен маршрутизировать. Очень удобно между первым и третьим уровнями использовать второй уровень в виде VLAN. Удобно подсети помечать как VLAN с определенными интерфейсами. Удобно настроить один VLANн и поместить в него кучу портов коммутатора.
И вообще, много чего удобно делать, когда есть VLAN. Список источников:.
Виктор Чумачев – известный московский художник, который сотрудничает с «Системным администратором» уже несколько лет. Именно его забавные и воздушные, как ИТ, иллюстрации украшают многие серьезные статьи в журнале. Работы Виктора Чумачева хорошо знакомы читателям в России («Комсомольская правда», «Известия», «Московские новости», Коммерсант и др.) и за рубежом (США, Германия). Каждый раз, получая новый рисунок Виктора, мы в редакции улыбаемся. А улыбка, как известно, смягчает душу.
Поэтому смотрите на его рисунки – и пусть у вас будет хорошее настроение! АНДРЕЙ МАРКЕЛОВ Базовая настройка маршрутизатора Cisco начального уровня Устав бороться дома с несогласным стабильно работать маршрутизатором DLink 624+, я наконец решил поменять это недорогое, но проблемное устройство на что-нибудь более надежное. Необходимо было выполнение следующих типичных для дома или небольшого офиса функций:. подключение до пяти сетевых устройств (реально у меня одновременно работало не больше двух, требующих выхода за пределы домашней сети);. развитый брандмауэр и сетевая трансляция адресов (NAT);.
DHCP-сервер;. поддержка протокола Point-to-Point Protocol over Ethernet (PPPoE), по которому осуществлялось подключение к провайдеру;.
надежность и возможность мониторинга состояния маршрутизатора, которой так не хватало в DLink 624+. В итоге я остановил свой выбор на младшем маршрутизаторе модельного ряда компании Cisco Systems. Далее я приведу описание процесса базовой настройки маршрутизатора, которое может послужить отправной точкой для самостоятельного конфигурирования домашней/офисной «кошки» UNIX- или Windows-администратором, ранее не работавшим с оборудованием Cisco. Подключение Для первоначальной настройки маршрутизатора необходимо подключиться к консольному порту на задней панели устройства. Консольный порт с разъемом RJ-45 представляет собой обыкновенный асинхронный последовательный порт TIA/EIA-232. Для подключения к ПК вам понадобится помимо так называемого rollover-кабеля, идущего в комплекте с маршрутизатором, переходник к DB-9, и, естественно, COM-порт на рабочей станции.
Установка соединения осуществляется со стандартными значениями – 9600 бод/8 бит данных/1 стоп бит/без проверки четности и контроля прохождения. В Windows-системах вы можете использовать утилиту HyperTerminal, а в Linux – cu или minicom. В дальнейшем, когда маршрутизатору будет присвоен IP-адрес, вы сможете обращаться к нему по протоколам telnet или ssh, но первый раз без консольного подключения не обойтись. Итак, даем с рабочей станции команду на подключение, и после нажатия оказываемся в командной строке маршрутизатора. Router Теперь необходимо перейти в привилегированный режим, в котором и будем осуществлять настройку: Routerenable Router# Нужно заметить, что в дальнейшем мы установим на вход в привилегированный режим маршрутизатора пароль, ну а пока что свежекупленное устройство должно пустить нас без дополнительных вопросов.
Следующий шаг – удаляем имеющуюся конфигурацию, находящуюся во флэш-памяти, и перезагружаем маршрутизатор (рис. 1): Router#erase startup-config Router#reload Рисунок 1 За ходом перезагрузки можно наблюдать по появляющимся сообщениям в окне терминала. По окончании процесса перезагрузки снова заходим в командную строку и переходим в привилегированный enable-режим. После чего можно приступить к конфигурированию маршрутизатора. Базовые настройки Для начала присвоим маршрутизатору имя. Переходим в глобальный конфигурационный режим и в нем используем команду hostname: Router#configure terminal Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#hostname Home Home(config)# Как мы видим, отображение приглашения несколько изменилось. Теперь займемся безопасностью. Отключим управление маршрутизатором через http и https, а также проприетарный Cisco Discovery Protocol, который нам в данном случае абсолютно не нужен.
Home(config)#no ip http server Home(config)#no ip http secure-server Home(config)#no cdp run Теперь включим режим хранения паролей в файле конфигурации устройства в зашифрованном виде: Home(config)#service password-encryption После чего можно задать и сами пароли. Для начала на консольное подключение: Home(config)#line con 0 Home(config-line)#password пароль Home(config-line)#login Home(config-line)#exit Home(config)# Затем таким же способом, но уже на подключение с помощью telnet. Вместо команды line con 0 в этом случае будет line vty 0 4, остальное останется неизменным.
Зададим также пароль, который маршрутизатор будет спрашивать у уже подключившегося пользователя при попытке перейти из пользовательского в привилегированный режим командой enable: Home(config)#enable secret парольenableрежима Думаю, к этому моменту я привел достаточно примеров того, как выглядит работа с командной строкой маршрутизатора Cisco и в оставшейся части статьи, чтобы избегать повторов, я просто буду ссылаться на соответствующие строки конфигурации маршрутизатора, приведенной в конце материала. Настройка интерфейсов и PPPoE Поскольку мы настраиваем маршрутизатор, то, естественно, у него имеется минимум два интерфейса. Внутренний – Ethernet0 и внешний Ethernet1. Определяются они в строках 31-35 и 37-43 соответственно. Для внутреннего интерфейса мы задаем IP-адрес 192.168.0.88 и маску 255.255.255.0, а для внешнего указываем команду: no ip address.
Все внешние параметры будут получены через PPPoE (строки 42 и 43). Для того чтобы закрыть обсуждение ethernet-интерфейсов, но несколько забегая вперед, обращаю внимание на строчку 33, где указан внутренний интерфейс для NAT. В строках с 45 по 55 приведено описание интерфейса Dialer0.
Это виртуальный интерфейс, через который и осуществляется подключение к PPPoE. Хочу обратить особое внимание на 53 и 54 строки, где нужно задать имя и пароль, выданные вам провайдером. А также на строку 55 – без которой маршрутизатор не получит IP-адресов DNS-серверов провайдера. Помимо описания Dialer0 к настройке PPPoE относятся также строки 25-29 и 77. За более подробной информацией я рекомендую обратиться к документации и сайту. Последнее, о чем необходимо упомянуть, – строка 59, где задается маршрут по умолчанию, указывающий на Dialer0.
Настройка NAT, DHCP и брандмауэра Переходим к настройке NAT. Тут в IOS все достаточно просто.
Помимо 33 строки, про которую уже упоминалось во время разбора конфигурации внутреннего интерфейса, за NAT отвечают строки 57 и 64. Как мы видим, 57 строка ссылается на 64, в которой описан так называемый access-list, определяющий внутренние IP-адреса, которые мы будем транслировать во внешний на интерфейсе Dialer0. С помощью тех же «листов доступа» мы в строках с 65 по 76 на Dialer0 организуем простейший межсетевой экран, безусловно пропуская icmp, www, smtp, pop3, ftp и dns-трафик. Также при уже установленной tcp-сессии будем принимать пакеты с номером порта, большим чем 1023.
Кроме того, в строке 49 определен IP-адрес рабочей станции, с которой разрешен доступ по telnet для управления маршрутизатором. Если вам понадобится подкорректировать правила – опять же смотрите документацию. Последнее, что мы рассмотрим, – это настройку DHCP-сервера. В строке 17 мы указываем область, выделенную под статические IP-адреса.
В нее должен попасть и IP-адрес внутреннего интерфейса маршрутизатора. В строках 19 – 23 описан пул адресов нашего DHCP-сервера. Командой import all клиентам передаются полученные через Dialer0 сетевые настройки. В качестве шлюза по умолчанию выступает внутренний интерфейс с IP-адресом 192.168.0.88.
Рисунок 2 Полный конфигурационный лист В заключение статьи приведу полную конфигурацию маршрутизатора, полученную по команде show running-config. Договор купли продажи скачать бесплатно. В листинге вы можете увидеть часть команд, которые не были описаны в статье, они или были сформированы самим устройством или не имеют принципиального значения для первого знакомства с маршрутизатором.
Cisco Packet Tracer Для Чайников
Для уточнения значения этих команд рекомендую обратиться к документации. 01: version 12.3 02: no service pad 03: service timestamps debug uptime 04: service timestamps log uptime 05: service password-encryption 06:! 07: hostname Home 08:! 09: enable secret xxxxxx 10: enable password xxxxxx 11:! 12: username homeuser password xxxxxx 13: aaa new-model 14:!
Cisco Asa Для Чайников
15: aaa session-id common 16: ip subnet-zero 17: ip dhcp excluded-address 192.168.0.1 192.168.0.90 18:! 19: ip dhcp pool CLIENT 20: import all 21: network 192.168.0.0 255.255.255.0 22: default-router 192.168.0.88 23: lease 0 2 24:! 25: vpdn enable 26:! 27: vpdn-group 1 28: request-dialin 29: protocol pppoe 30:!
31: interface Ethernet0 32: ip address 192.168.0.88 255.255.255.0 33: ip nat inside 34: ip tcp adjust-mss 1452 34: no cdp enable 35: hold-queue 32 in 36:! 37: interface Ethernet1 38: no ip address 39: no ip unreachables 40: ip tcp adjust-mss 1452 41: duplex auto 42: pppoe enable 43: pppoe-client dial-pool-number 1 44:! 45: interface Dialer0 46: ip address negotiated 47: ip access-group 110 in 48: ip mtu 1492 49: ip nat outside 50: encapsulation ppp 51: dialer pool 1 52: dialer-group 1 53: ppp chap hostname homehostname 54: ppp chap password xxxxxx 55: ppp ipcp dns request 56:! 57: ip nat inside source list 102 interface Dialer0 overload 58: ip classless 59: ip route 0.0.0.0 0.0.0.0 Dialer0 60: no ip http server 61: no ip http secure-server 62:!