بایگانی دسته: سوئیچینگ

مطالب و مقالات مربوط به آموزش های سوئیچینگ switching سیسکو ، تکنولوژی های سوئیچینگ CEF – STP – VTP – RSTP – Fast Switching – Vlan – Trunk – Port Security و پیاده سازی انواع استراکچرهای شبکه های سوئیچینگ سیسکو

qinq سیسکو

Q-in-Q Tunnel چیست ؟

5 پاسخ
سیسکو Q-in-Q Tunnel چیست

سیسکو Q-in-Q Tunnel چیست

Q-in-Q Tunnel چیست ؟

شناخت و کانفیگ و پیاده سازی Q-in-Q VLAN Tunnels توسط سوئیچ سیسکو

Q-in-Q Tunnel یکی از راه حل های سیسکو جهت انتقال VLAN های مشتریان توسط سرویس پرواید ها است .

شما تصور کنید که یک مشتری با چند دفتر و شعبه در مکان های مختلف جغرافیای ، نیازمند ، ارتباط بین دفاتر خود و انتقال VLAN های مجموعه ، بین تمامی شعبات خود است . این سازمان به یک سرویس پروایدر مراجعه و دفاتر و مراکز مختلف خود را با گسترش و پراکندگی جغرافیای اعلام کرده و نیازمند ارتباط بین دفاتر و همچنین انتقال VLAN های داخلی خود بین دفاتر است ، چنانچه سرویس پروایدر بخواهد ، VLAN های داخلی مشترک را روی شبکه خود تعریف و انتقال دهد ، به مشکلات و گرفتاری های فراوانی برخورد کرده و همچنین توان مدیریت VLAN ها از مشتری صلب میشود ، و عملا این کار امکان پذیر نخواهد بود ، برای مثال تصور کنید این مشتری بر روی شبکه داخلی خود 100 عدد VLAN داشته باشد و خواهان انتقال این VLAN ها نیز باشد ، راه اول این است که پروایدر یک ارتباط ترانک در تمامی شعبات و مراکز اتصال به شبکه در اختیار متقاضی قرار دهد ، که با توجه با مغایرت ها و تداخل ها ، مشکلات امنیتی و بار اضافی مدیریتی ، عملا این روش امکان پذیرنخواهد بود ، لذا سیسکو برای چنین شرایطی Q-in-Q Tunnel را پیشنهاد میدهد .

Q-in-Q Tunnel در واقع نوعی تانلینگ یا به بیان صحیح تر Double Tagging است ، بدین مفهوم که پروایدر vlan های مشترک را در یک VLAN که با آن اختصاص میدهد ، Encapsulate میکند ، یا تگ میزند ، در واقع یک بار tag برای VLAN که پروایدر به مشترک اختصاص میدهد و tag دیگر مربوط به VLAN های خود مشترک است ، tag داخلی بیانگر VLAN های مشترک و tag بیرونی مربوط به VLAN ایست که سرویس پروایدر به آن مشتری اختصاص میدهد ، به این روش double Tagging و یا tag Stacking اتلاق میگردد .

خب تا اینجا پیش رفتیم که پروایدر در هر branch به مشترک یک پورت با یک vlan مثلا 10 اختصاص میدهد ، و خود مشترک vlan های 1 تا 100 را در مجموعه خود دارد . داستان بدین منوال پیش میرود که وقتی یک پکت از سمت مشتری به پورت سرویس پروایدر میرسد ، که در ایتجا مثلا vlan 10 به مشترک اختصاص داده شده است ، در هنگام عبور از شبکه سرویس پروایدر مادامی که از trunk port ها عبور میکند ، tag خارجی که همان tag مربوط به 10 vlan سرویس پروایدر است ، برداشته و براساس آن ترافیک ، سوئیچ سیسکو و پراسس های مربوطه انجام و دوباره آن tag به آن پکت چسبانده شده تا به پورت خروجی برسد . در پورت خروجی که همان تانل پورت نیز گفته میشود ، دوباره metro tag یا همان tag مربوطه به 10 vlan سرویس پروایدر برداشته و پکت ها با tag مربوط به vlan های سمت مشترک ارسال میشود .

در Q-in-Q Tunnel ، سوئیچ سیسکو فارغ از تگ داخلی عمل میکند ، یعنی با پکت ، مثل یک پکت معمولی چه یک پکت dot 1Q که tag داشته و چه یک پکت بدون tag ، و این در مورد ترافیک های non tagged مثل Native VLAN Frame مشکلات اجرایی را در بر خواهد داشت و سوئیچ سیسکو فقط اقدام به forward پکت مربوطه خواهد کرد .

تگینگ در Q-in-Q Tunnel

تگینگ در Q-in-Q Tunnel

اگر بخواهیم یکبار دیگر به شکل خلاصه سناریو را مرور کنیم : یک پورت معمولی ( access ) با یک VLAN اختصاصی از سمت پروایدر به مشترک اختصاص داده میشود ، مشترک ترافیک dot1Q و تگ شده خود را با VLAN های خود به سمت سوئیچ سیسکو Edge پروایدر ارسال میکند ، سپس این ترافیک در مرز شبکه ، که همان پورت ورودی سمت پروایدر یا tunnel port ، دوباره یک metro tag جدید میخورد ، در واقع پکت ها در دل آن Encapsulate و double tagging میشوند ، سپس ترافیک پس از عبور از شبکه پروایدر که مشتمل از trunk هاست ، بر اساس شماره VLAN که پروایدر به مشترک اختصاص داده ، به سمت پورت خروجی و در واقع edge سمت دیگر هدایت و tag مربوط به vlan پروایدر از آن جدا و ترافیک dot1Q به سمت مشترک سرازیر میشود ، که شامل VLAN های خود مشترک است و سپس در سوئیچ سیسکو مشترک VLAN ها بر اساس تگ dot1Q تفکیک میشود .

سیسکو Q-in-Q Tunnel

سیسکو Q-in-Q Tunnel

بدین منوال ترافیک VLAN های یک مشترک بین سایت و شعبات مختلف آن ، توسط شبکه سوئیچینگ سرویس پروایدر ، به کمک QnQ تانلینگ ، انتقال پیدا خواهد کرد . این تکنیک کمک شایانی به سرویس پروایدر ها به منظور ترانزیت و سرویس های VLAN و ارتباطات interanet و انتقال پهنای باند جهت ارائه به سازمانها و شرکت ها و مراکز آموزشی که قصد برقراری ارتباط بین مراکز خود را داشته (بدون هزینه اضافی برای برقراری ارتباطات نقطه به نقطه ) و یا نیاز به برقراری یک ارتباط پشتیبان دارند ، می نماید . برای مثال یک مرکز آموزشی مثل دانشگاه ، با وجود تعداد زیاد ساختمان ها ( دانشکده ها و مراکز اداری ) ، برای ارتباط بین آنها ، حتی در یک شهر مثل تهران ، نیازمند نصب دکل های وایرلس و خرید تجهیزات وایرلس و مشکلات مربوط به آن و یا استفاده از سرویس های مخابراتی نظیر MPLS و … است ، لیکن میتواند با استفاده از بستر یک سرویس پروایدر و شبکه آن ، تمامی مراکز و ساختمان های خود را با کمترین هزینه به نزدیک ترین پاپ سایت سرویس پروایدر مورد نظر متصل و ترافیک شبکه و VLAN های خود را از طریق آن انتقال دهد . همچنین حتی در صورت وجود ارتباطات نقطه به نقطه ، جهت افزایش UP Time و جلوگیری از قطعی مقطعی ، میتوان  از این روش به عنوان یک مسیر جایگزین Backup Route استفاده نمود .

نکته : با توجه به افزایش 4 بایتی ،بابت اضافه شدن metro tag به پکت ها و سایز 1500 بایتی default میزان mtu سوئیچ سیسکو ، میبایست اقدام به افزایش MTU به 1504 نمائید .

سایز فریم dot1q

سایز فریم dot1q

روش کار :

کانفیگ مربوط به پورت های Edge سوئیچ سیسکو مربوطه به سرویس پروایدر

Shabake(config)# interface gigabitethernet0/1
Shabake(config-if)# switchport access vlan 10
% Access VLAN does not exist. Creating vlan 10
Shabake(config-if)# switchport mode dot1q-tunnel

 از این کامند : no vlan dot1q tag native میتوانید برای جلوگیری از tag زدن به Native Vlan استفاده کنید .

در صورتی که نیازمند به انتقال ئروتکل های لایه دویی مثل STP – CDP و امثالهم هستید ، این روش کارایی نخواهد داشت ، در این روش فقط و فقط VLAN ها با dot1Q tag زده شده و در دل یک VLAN دیگر Encapsulate میشوند ولی برای انتقال لایه 2 ای ، میبایست از Layer 2 Tunneling استفاده کنید که ان شاالله در آینده به آن خواهیم پرداخت .

وفقک الله 

Protected Port چیست ؟

۱ پاسخ
Protected Port چیست ؟

Protected Port چیست ؟

Protected Port چیست ؟

آموزش مفهوم Protected Port و پیاده سازی آن در سوئیچ کاتالیست سیسکو

Protected Port یکی از قالبیت های ساده ولی هیجان انگیز و کارا در سوئیچ کاتالیست سیسکو ست ، که امکان افزایش ضریب امنیتی و مدیریتی را در سوئیچ سیسکو فراهم می آورد .

به زبان ساده Protected Port قابلیتی است که ازارتباط پورت های یک VLAN یا Broadcast Domain  با یکدیگردر سوئیچ کاتالیست سیسکو جلوگیری مینماید ، به بیان دیگر ، مثلا یک سوئیچ 2960 سیسکو را در نظر بگیرید که همه پورت های آن به صورت دیفالت در یک vlan  قرار دارند ، پس همگی آنها میتوانند با هم در ارتباط باشند و مثلا از منابع و فایل های کامپیوتر هایی که به آن پورت ها متصل اند ، استفاده کنند ،، فرضا شما میخواهید پورت fast0/1 که متصل به کامپیوتر آقای X است ، با پورت fast0/12 که مربوط به کامپیوتر خانوم xxx است  ( که با هم فولدر آهنگ ها و …. را share کرده اند ) ، ارتباط نداشته باشند ولی به شبکه که به مابقی پورت های سوئیچ سیسکو 2960 متصل است دسترسی و امکان تبادل اطلاعات را داشته باشد ،، خب چه باید کرد  ؟!                                                 راه حل استفاده از قابلیت Protected Port است ، بدین ترتیب که ما پورت های fast0/1 و fast0/12 را Protected میکنیم ، بدین ترتیب ، این دو پورت با یکدیگر ( و دیگر پورت های protected ) نمیتوانند تبادل اطلاعات نموده ، لکن ، به مابقی شبکه دسترسی دارند .

Cisco Protected Port

Cisco Protected Port

به شکل کلی ، در یک Broadcast Domain سوئیچ سیسکو ، هر پورت Protected نمیتواند با هیچ پورت Protected دیگری ارتباط داشته باشه ، ولی میتواند با پورت های Unprotected ارتباط داشته باشد .

همانطور که در تصویر بالا مشاهده میکنید ، پورت های مربوط به کلاینت A و کلاینت B به شکل Protected در آمده و نمیتوانند با یکدیگر ارتباط داشته باشند ، ولی میتوانند با Server که به یک پورت Unprotected متصل است ، ارتباط داشته باشند .

برای قراردادن یک پورت سوئیچ سیسکو در حالت Protected کافیست از این کامند استفاده کنید :

AkaNet-3750ex144-f28-#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
AkaNet-3750ex144-f28(config)#interface GigabitEthernet1/0/5
AkaNet-3750ex144-f28(config-if)#switchport protected
AkaNet-3750ex144-f28(config-if)#^Z

AkaNet-3750ex144-f28#sh int gi 1/0/5 switchport
Name: Gi1/0/5
Switchport: Enabled
Administrative Mode: static access
Operational Mode: static access
Administrative Trunking Encapsulation: negotiate
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 807 (cisco asa dmz1)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: none
Administrative private-vlan mapping: none
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: none
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL
Protected: true
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Appliance trust: none
AkaNet-3750ex144-f28#

همانطور که مشاهده کردید ، در پایان خروجی دستور sh int gi 1/0/5 switchport ، قید شده است : Protected: true .

وفقک الله

آموزش ساختن sub interface روی روتر سیسکو

3 پاسخ
sub interface روتر

sub interface روتر

آموزش ساختن sub interface روی روتر سیسکو

آموزش کانفیگ vlan بر روی روتر سیسکو

sub interface در واقع همان vlan هائیست که ما بر روی یک پورت روتر سیسکو متصل به ترانک،  تعریف میکنیم ،

به بیان دیگر ، برای دسترسی به vlan های تعریف شده روی یک سوئیچ سیسکو و استفاده از inter vlan Routing توسط روتر ، میبایست یک اینترفیس روتر به یک پورت ترانک trunk از سوئیچ متصل شده و ساب اینترفیس ها با شماره متناظر vlan ها روی آن تعریف شود .

روتر های سیسکو برای ارتباطات trunk از ۲ پروتکل که یکی مختص تجهیزات سیسکو و دیگری استاندارد جهانی است ، پشنیبانی میکنند

اولی ISL یا همان Cisco Inter-Switch Link است که پروپایوتری سیسکو است ، در واقع پروتکل ‌vlan Encapsulation مختص سیسکو است که فقط توسط دستگاه های خود سیسکو و شاید بعضی دیوایس های دیگر پشتیبانی شود .

البته ISL با اقبال عمومی روبرو نشد و در حال حاضر اکثرا از پروتکل دوم  به نام 802.1Q که استاندارد جهانی است استفاده میکنند . اصولا در صنعت کامپیوتر ، معدود استاندارهای proprietary شرکت های خاص به موفقیت نایل شد ، از جمله شرکت apple که سرسختانه بر سر مواضع خود ایستاد و توانست یک استاندارد اختصاصی برای خود داشته باشد و هیچ الزامی با سازگاری با دیگر تولید کنندگان نرم افزار و سخت افزار ندارد ! و این خود سیاستی است بس خطر ناک برای وابسته کردن مشتری !

برای مثال پروتکل EIGRP – IGRP سیسکو که بسیار قوی تر از OSPF است  ، باز هم به دلیل اینکه فقط توسط خود روتر های و سوئیچ های سیسکو پشتیبانی میشود ، در اسکیل های بزرگ استفاده نمیشود ، برای مثال روتینگ داخلی شبکه ایران ، به دلیل استفاده از دیوایس های مختلف مثلا سیسکو ، هواوی ، جونیپر و … و یک دست نبودن در حال حاضر بر روی OSPF قرار دارد که به نظر من از EIGRP ضعیف تر عمل میکند ! که البته این خود باعث عدم وابستگی به یک سکوی خاص و برند خاص میشود …

خب ، با توجه به مطالب بالا ، فی الحال dot1Q یا همان 802.1q پروتکل رایج برای vlan encapsulation است .

برای کانفیگ vlan ها بر روی روتر سیسکو ، ابتدا یک اینترفیس را به یک پورت ترانک از سوئیچی که میخواهیم از vlan های تعریف شده روی آن استفاده کنیم ، متصل کرده و بدین ترتیب عمل میکنیم :

router(config)#int gig 0/0

router(config-if)#description Trunk interface

router(config-if)#exit

router(config)#int gig 0/0.10     # 10 is vlan number that determine in switch

router(config-if)#encapsulation dot1Q 10

router(config-if)#ip add 192.168.1.1 255.255.255.0

router(config-if)#exit

router(config)#int gig 0/0.20

router(config-if)#encapsulation dot1Q 20

router(config-if)#ip add 192.168.2.0 255.255.255.0

router-sub-interface

router-sub-interface

به همین سادگی و الی آخر ..

کافیست پورت gig 0/0 روتر به یک پورت ترانک از سوئیچ مربوطه متصل و vlan های ۱۰-۲۰ و .. روی آن تعریف شده باشد ، هر کلاینت میباید gateway خود را  IP روی اینترفیس روتر ست کند که ترافیک خارج از subnet برای route  شدن به سمت روتر ارسال شود .

وفقک الله

آموزش ابتدایی کانفیگ سوئیچ سیسکو

38 پاسخ
اموزش مقدماتی سیسکو

اموزش مقدماتی سیسکو

آموزش ابتدایی کانفیگ سوئیچ سیسکو 

آموزش کانفیگ و راه اندازی مقدماتی سوئیچ سیسکو

کانفیگ سوئیچ سیسکو برای راه اندازی و استفاده ، کار چندان سختی نیست ! با هم شروع کنیم …

فرض کنید یک سوئیچ سیسکو 2960 خریداری کرده اید و نیاز دارید که ابتدا یک یوزر روی آن بسازید و بتوانید با تعریف یک IP به آن تلنت کنید . یا مثلا هر پورت سوئیچ سیسکو 2960 را عضو یک VLAN نمائید ، یا یک پورت را جهت اتصال به یک سوئیچ سیسکو دیگر و یا روتر سیسکو ترانک کنید ، یا برای مثال سوئیچ شما از POE پشتیبانی میکند و میخواهید IPPhone یا IP Cam یا Wireless Radio را با آن روشن کنید …

در این مقاله سعی داریم که به شکل مقدماتی و برای رفع مقطعی مشکلات دوستان به آموزش سطحی برخی از این کاربرد ها در حد طرح کامند بپردازیم :

برای شروع ابتدا سوئیچ سیسکو را با کابل کنسول سیسکو به یک PC با پورت سریال متصل و با یک برنامه ترمینال مثل Putty به آن متصل شوید . ( میتوانید با کلیک بر روی نام putty انرا دریافت کنید )

۱- ساخت username و password و ایجاد سطح دسترسی :

switch>enable          ” ورود به محیط privilage “

switch#conf t           “وارد شدن به محیط کانفیگ “

switch(config)#aaa new-model

switch(config)#username shabake password 0 shabake

switch(config)#enable secret shabake

۲ – اختصاص دادن یک IP و default gateway به سوئیچ برای دسترسی IP :

switch(config)#int vlan 1 ( کانفیگ وی لن ۱ )

switch(config-if)#ip add 192.168.1.1 255.255.255.0 ( اختصاص آدرس )

switch(config-if)#no sh

switch(config-if)#exit

switch#vlan database

switch(vlan)#vlan 1 name shabake (ساخت وی لن ۱ )

switch(vlan)#exit

switch#conf t

switch(config)#ip default-gateway 192.168.1.2 ( آدرس روتر )

با این روش که ملاحظه کردید به راحتی میتوانید یک vlan بسازید و به آن IP اختصاص دهید ، توجه کنید که vlan 1 به شکل پیشفرض ساخته شده و تمامی پورت ها عضو vlan 1 هستند .

۳ – اختصاص هر پورت به vlan خاص :

براس مثال میخواهید چند پورت عضو Vlan خاصی باشند ، ابتدا با روش بالا vlan ها را بسازید ( Vlan database ) ، نیازی هم به اختصاص IP به هر vlan نیست ، سپس ، با روش زیر هر پورت را عضو vlan مورد نظر کنید :

switch(config)#int fas 0/1

switch(config-if)#description “connected to cisco router”

switch(config-if)#switchport access vlan 10

switch(config-if)#exit

switch(config)#int fas 0/2

switch(config-if)#description “web Server”

switch(config-if)#switchport access vlan 20

switch(config-if)#exit

ت.جه داشته باشید در هر لحظه میتوانید با دستور زیر تغییرات را زخیره کنید ، در غیر این صورت بعد از خاموش روشن کردن سوئیچ ، کانفیگی وجود نخواهد داشت !

switch#write mem

۴- کتنفیگ پورت سوئیچ سیسکو برای مود ترانک :

ترانک نوعی ارتباط است که حامل vlan هاست ! این ساده ترین نوع توضیح است ! برای مثال شما ۲ سوئیچ سیسکو دارید و روی هر سوئیچ 3 عدد vlan به شماره های 10-20-30  ، حال میخواهید nod هایی از هر سوئیچ امکان دسترسی به nod های سوئیچ دیگر که در همان vlan هستند داشته باشند .

switch-a(config)#int gi 0/1

switch-a(config-if)#description “Trunk to switch B”

switch-a(config-if)#switchport mode trunk

مشابه همین تنظیمات را در سمت دیگر نیز انجام داده و سوئیچ ها را توسط این پورت به هم متصل کنید . به همین سادگی …

۵ – استفاده از امکان POE : یکی از قابلیت های سوئیچ های سیسکو ، امکان پشتیبانی از POE یا همان استاندارد 802.3af که برق را با ولتاژ 48v به نود ارسال کرده و امکان روشن کردن دیوایس هایی که از poe پشتیبانی میکنند مثل IP Phone – IP Cam – Wireless radio  و … را دارد .

switch(config)#int fas 0/1

switch(config-if)#power inline auto

دستور فوق باعث میشود  ، در صورتی که دیوایس متصل شده به سوئیچ سیسکو قابلیت POE را دارا بود ، ولتاژ به آن ارسال شود .

خب چند نکته ، سوئیچ های سیسکو یک Vlan Database دارند که اطلاعات هر Vlan در آن ذخیره و میتوان آنرا توسط VTP ( میتوانید در مقاله ای مجزا آنرا یاد بگیرید ! ) با سایر سوئیچ های سیسکو به اشتراک گذاشت ، برای ایجاد هر Vlan حتما باید آن Vlan در vlan database موجود باشد  .

سوئیچ های لایه ۲ سیسکو قابلیت IP Routing نداشته و برای Routing میبایست از یک روتر برای inter vlan routing استفاده کرد .

سوئیچ های سیسکو به صورت پیشفرض به صورت یک سوئیچ معمولی عمل میکنند و تمامی پورت های آنها در حالت فعال و ب صورت پیشفرض عضو vlan 1 هستند ، پس میتوانید از باکس خارج کنید و به برق بزنید و استفاده کنید .

این آموزه ها فقط جنبه ابتدایی و سطحی داشته و همیشه میبایست مطالب را به صورت عمیق و کامل مطالعه فرمائید ،  دانستن کامند ممکن است ظاهرا مشکل فعلی شما را حل کند ، ولی راه حل صحیح این نیست !

وفقک الله