Réseaux Haut Débits TP3: VLAN. M1 Réseaux Informatique et Applications

Transcription

1 M1 Réseaux Informatique et Applications Réseaux Haut Débits Date: 01/05/07 Auteurs: Jean-Charles Aman, Gaël Cuenot Professeurs: Philippe Pegon

2 Table des matières 1Présentation...3 2Préparation des équipements...3 3Configuration avec un commutateur Schéma de la maquette Configuration du commutateur Ajout de deux PC et tests de la configuration Interconnexion des VLANs avec un câble croisé...7 4Configuration avec deux commutateurs Schéma de la maquette Configuration du commutateur Tests de la maquette Blocage d'un VLAN sur le lien taggé Utilisation du mode VTP Annexe: configuration courante du commutateur...13 Année 2006 / 2007 Page 1

3 1 Présentation Le but de ce TP est de découvrir et manipuler les VLAN sur les commutateurs CISCO. Dans un premier temps nous n'avons travaillés que sur 1 seul commutateur pour tester une configuration simple. Puis, par la suite, nous avons travaillés avec notre binôme voisin pour tester une configuration plus complexe et tester une configuration utilisant un lien taggé. 2 Préparation des équipements Comme on ne sait pas trop quelle configuration est présente sur le switch au début du TP, il faut le préparer pour être sur que rien ne va perturber notre configuration. On va donc supprimer la configuration déjà présente puis désactiver certains protocoles propriétaires CISCO. Suppression des configurations existantes (configuration globale, configuration d'éventuels VLANs) puis redémarrage du switch: #erase startup-config #delete flash :vlan.dat #reload Désactivation des protocoles propriétaires CISCO: cdp et dtp #configure (config)# no cdp run (config)# interface range fastethernet 0/1-24 (config- if- range)# (config- if- range)# Année 2006 / 2007 Page 2

4 3 Configuration avec un commutateur 3.1 Schéma de la maquette Illustration 1: Configuration avec 1 seul commutateur Catalyst 3.2 Configuration du commutateur On désactive vtp (mode transparent): #vlan database % Warning: It is recommended to configure VLAN from config mode, as VLAN database mode is being deprecated. Please consult user documentation for configuring VTP/VLAN in config mode. (vlan)#vtp transparent Setting device to VTP TRANSPARENT mode. On crée 2 VLANs par port sur le commutateur CISCO: #vlan database % Warning: It is recommended to configure VLAN from config mode, as VLAN database mode is being deprecated. Please consult user documentation for configuring VTP/VLAN in config mode. (vlan)#vlan 2 name vlan1 VLAN 2 modified: Name: vlan1 (vlan)#vlan 3 name vlan2 VLAN 3 modified: Name: vlan2 (vlan)#exit APPLY completed. Exiting... Année 2006 / 2007 Page 3

5 On peut vérifier que les deux VLANs ont bien été créés: SW2#show vlan VLAN Name Status Ports default active Fa0/1, Fa0/2, Fa0/3, Fa0/4 Fa0/5, Fa0/6, Fa0/7, Fa0/8 Fa0/9, Fa0/10, Fa0/11, Fa0/12 Fa0/13, Fa0/14, Fa0/15, Fa0/16 Fa0/17, Fa0/18, Fa0/19, Fa0/20 Fa0/21, Fa0/23, Gi0/1, Gi0/2 2 vlan1 active Fa0/24 3 vlan2 active Fa0/22 4 ITHD2 active 5 L2LFede active 100 VLAN0100 active 200 VLAN0200 active 1002 fddi-default act/unsup 1003 token-ring-default act/unsup 1004 fddinet-default act/unsup 1005 trnet-default act/unsup VLAN Type SAID MTU Parent RingNo BridgeNo Stp BrdgMode Trans1 Trans enet enet enet enet enet enet enet fddi tr fdnet ieee trnet ibm Remote SPAN VLANs Primary Secondary Type Ports On peut maintenant attribuer des ports à ces VLANs. On place une moitié des ports dans le premier et l'autre moitié dans le second: SW2# configure SW2(config)#INTERface range fastethernet 0/1-12 SW2(config- if- range)# SW2(config- if- range)#no shutdown SW2(config- if- range)#exit SW2(config)#interface range fastethernet 0/13-24 SW2(config- if- range)# SW2(config- if- range)#no shutdown 00:34:46: %LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan1, changed state to down SW2(config- if- range)#exit Année 2006 / 2007 Page 4

6 SW2(config)#exit SW2# 00:35:12: %SYS- 5- CONFIG_I: Configured from console by console SW2#show 00:35:16: %LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan3, changed state to up Il faut maintenant vérifier que les bon ports ont bien été attribués au bon VLAN et que notre configuration est conforme à ce que l'on veut: SW2#show vlan VLAN Name Status Ports default active Gi0/1, Gi0/2 2 vlan1 active Fa0/1, Fa0/2, Fa0/3, Fa0/4 Fa0/5, Fa0/6, Fa0/7, Fa0/8 Fa0/9, Fa0/10, Fa0/11, Fa0/12 3 vlan2 active Fa0/13, Fa0/14, Fa0/15, Fa0/16 Fa0/17, Fa0/18, Fa0/19, Fa0/20 Fa0/21, Fa0/22, Fa0/23, Fa0/24 4 ITHD2 active 5 L2LFede active 100 VLAN0100 active 200 VLAN0200 active 1002 fddi-default act/unsup 1003 token-ring-default act/unsup 1004 fddinet-default act/unsup 1005 trnet-default act/unsup VLAN Type SAID MTU Parent RingNo BridgeNo Stp BrdgMode Trans1 Trans enet enet VLAN Type SAID MTU Parent RingNo BridgeNo Stp BrdgMode Trans1 Trans enet enet enet enet enet fddi tr fdnet ieee trnet ibm Remote SPAN VLANs Primary Secondary Type Ports Année 2006 / 2007 Page 5

7 3.3 Ajout de deux PC et tests de la configuration On configure et connecte 2 machines (PC) de différentes façons sur le commutateur pour effectuer quelques tests, vérifier la connectivité à l'intérieur d'un même VLAN ainsi que l'étanchéité des VLANs. Configuration IP des deux PC: pc3c131: ~# ifconfig eth pc3c132: ~# ifconfig eth On connecte maintenant les PC à deux ports attribués au même VLAN et on teste la connectivité: pc3c132: ~# ping PING ( ) 56(84) bytes of data. From icmp_seq=1 Destination Host Unreachable From icmp_seq=2 Destination Host Unreachable... le temps qu'il découvre les 2 machines bytes from : icmp_ seq=35 ttl=64 time= ms 64 bytes from : icmp_ seq=36 ttl=64 time= ms 64 bytes from : icmp_ seq=37 ttl=64 time= ms Le ping fonctionne bien correctement entre les machines dans le même VLAN, la connectivité est correcte. On peut maintenant tester l'étanchéité des VLANs, pour cela on déplace pc3c131 sur un port du commutateur affecté à l'autre VLAN et on teste la connectivité: pc3c132: ~# ping PING ( ) 56(84) bytes of data. From icmp_seq=1 Destination Host Unreachable From icmp_seq=2 Destination Host Unreachable From icmp_seq=3 Destination Host Unreachable From icmp_seq=4 Destination Host Unreachable On voit bien que le ping ne fonctionne pas entre deux VLAN différents, les VLANs sont bien étanches. 3.4 Interconnexion des VLANs avec un câble croisé Avec un câble croisé entre deux VLAN différents, les machines peuvent se ping, c'est comme si chaque VLAN était un switch différent et le câble croisé les place en cascade les rendant ainsi accessible l'un à l'autre. Année 2006 / 2007 Page 6

8 L'intérêt est de pouvoir avoir une configuration modulaire et de pouvoir au besoin relier entre eux plusieurs VLANs ou isoler une partie du réseau simplement en enlevant un câble. De plus ce type d'architecture permet de mettre en place un réseau plus sécurisé qu'une configuration simple utilisant un ou plusieurs commutateurs et un routeur/firewall. On peu réaliser des installations comme celle décrite part le schéma ci-dessous: Illustration 2: Configuration sécurisée, interconnexion de VLANs avec un pont filtrant La connexion avec l'extérieur ou un autre réseau se fait via le câble RJ45 qui arrive sur le VLAN2. Ce VLAN n'est accessible que pour l'administrateur, on peut y connecter éventuellement une station de supervision et un IDS pour surveille le trafic sur ce VLAN puisqu'il n'est pas encore filtré par un firewall. La connexion du VLAN2 aux autres VLAN (réseaux utilisateurs) se fait via un pont filtrant. Ce pont filtrant fait office de firewall mais est totalement transparent pour les utilisateurs, il apparaît comme un simple câble croisé puisqu'il ne possède pas d'adresse IP, il n'est donc pas attaquable au niveau IP. 4 Configuration avec deux commutateurs Pour cette seconde partie, nous nous regroupons avec notre binôme voisin (Mounir Martaj et Sylvain Beaux) pour avoir deux commutateurs et 4 PC. Année 2006 / 2007 Page 7

9 4.1 Schéma de la maquette Illustration 3: Configuration avec deux commutateurs Catalyst Notre partie reste identique à la première partie du TP, le premier commutateur et les machines pc3c131 et pc3c132. Les deux commutateurs sont interconnectés via un lien taggé, cela signifie que le trafic de nos deux VLANs passent par ce lien sans compromettre leur étanchéité. 4.2 Configuration du commutateur Dans un premier temps, on recommence comme au début du TP, pour être sur que notre configuration sera propre, on décide d'effacer tout trace de l'ancienne configuration. On supprime les configurations existantes sur le routeur: #erase startup-config #delete flash :vlan.dat #reload On désactive les protocoles propriétaires CISCO : cdp et dtp #configure (config)# no cdp run (config)# interface range fastethernet 0/1-24 Année 2006 / 2007 Page 8

10 (config- if- range)# (config- if- range)# On crée deux VLANs par port sur les deux commutateurs CISCO. Le but étant de relier ces deux commutateurs. Il faut faire attention et choisir les même VLANs, ici 2 et 3: #vlan database % Warning: It is recommended to configure VLAN from config mode, as VLAN database mode is being deprecated. Please consult user documentation for configuring VTP/VLAN in config mode. (vlan)#vlan 2 name vlan1 VLAN 2 modified: Name: vlan1 (vlan)#vlan 3 name vlan2 VLAN 3 modified: Name: vlan2 (vlan)#exit APPLY completed. Exiting... On place la moitié des ports sur le premier et l'autre moitié sur le second: SW2# configure SW2(config)#INTERface range fastethernet 0/1-12 SW2(config- if- range)# SW2(config- if- range)#no shutdown SW2(config- if- range)#exit SW2(config)#interface range fastethernet 0/13-24 SW2(config- if- range)# SW2(config- if- range)#no shutdown 00:34:46: %LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan1, changed state to down SW2(config- if- range)#exit SW2(config)#exit On configure en mode trunk le port qui relie les deux commutateurs: SW2(config)#interface fastethernet 0/1 SW2(config-if)#switchport trunk encapsulation dot1q SW2(config-if)#switchport mode trunk SW2#show vlan VLAN Name Status Ports default active Gi0/1, Gi0/2 2 vlan1 active Fa0/2, Fa0/3, Fa0/4, Fa0/5 Fa0/6, Fa0/7, Fa0/8, Fa0/9 Fa0/10, Fa0/11, Fa0/12 3 vlan2 active Fa0/13, Fa0/14, Fa0/15, Fa0/16 Fa0/17, Fa0/18, Fa0/19, Fa0/20 Fa0/21, Fa0/22, Fa0/23, Fa0/24 4 ITHD2 active 5 L2LFede active 100 VLAN0100 active Année 2006 / 2007 Page 9

11 200 VLAN0200 active 1002 fddi-default act/unsup 1003 token-ring-default act/unsup 1004 fddinet-default act/unsup 1005 trnet-default act/unsup VLAN Type SAID MTU Parent RingNo BridgeNo Stp BrdgMode Trans1 Trans enet enet VLAN Type SAID MTU Parent RingNo BridgeNo Stp BrdgMode Trans1 Trans enet enet enet enet enet fddi tr fdnet ieee trnet ibm Remote SPAN VLANs Primary Secondary Type Ports Tests de la maquette On connecte quatre machines, deux dans chaque VLAN, mais pas sur le même commutateur, et on vérifie la connectivité. On constate que la maquette fonctionne conformément à ce qu'on pouvais attendre. Les machines peuvent se ping à l'intérieur d'un VLAN, qu'elles soient sur le même commutateur ou pas, du moment que le VLAN est le même. Il en est de même pour l'étanchéité des VLANs, deux machines dans deux VLANs différents, qu'elles soient sur le même commutateur ou non ne peuvent pas se ping. 4.4 Blocage d'un VLAN sur le lien taggé On empêche un des deux VLAN de traverser le lien taggé. Ici, on empêche le VLAN 3 de traverser le lien: SW2(config- if- range)#switchport trunk allowed vlan 2 Après tests, on a bien constaté que le VLAN marchait bien encore sur chaque commutateur indépendamment mais plus d'un commutateur à l'autre. Année 2006 / 2007 Page 10

12 5 Utilisation du mode VTP On reprend le même schéma de maquette et la même configuration que pour la partie précédente. Les VLANs sont identiques et donc déjà configurés. Le principe du mode VTP est qu'un commutateur est en mode serveur et les autres en mode client. La configuration ou modification des VLANs sur le serveur est propagée aux autres commutateurs via le lien trunk. On active vtp, nous sommes le serveur. SW2(config)#vtp mode server Setting device to VTP SERVER mode SW2(config)#vtp domain vtt Changing VTP domain name from NULL to vtt SW2(config)#vtp password tprli Setting device VLAN database password to tprli On n'a pas besoin de recréer les VLANs et de placer les machines étant donné que le serveur (nous) l'as déjà effectuer lors de la configuration précédente. On teste la connectivité: pc3c132: ~# ping PING ( ) 56(84) bytes of data. 64 bytes from : icmp_ seq=1 ttl=64 time=0.172 ms 64 bytes from : icmp_ seq=2 ttl=64 time=0.165 ms 64 bytes from : icmp_ seq=3 ttl=64 time=0.167 ms ping statistics packets transmitted, 3 received, 0% packet loss, time 1998ms rtt min/avg/max/mdev = 0.165/ 0.168/ 0.172/ ms Le ping fonctionne au sein du même VLAN pc3c132: ~# ping PING ( ) 56(84) bytes of data. From icmp_seq=1 Destination Host Unreachable From icmp_seq=2 Destination Host Unreachable From icmp_seq=3 Destination Host Unreachable ping statistics packets transmitted, 0 received, +3 errors, 100% packet loss, time 4013ms, pipe 3 Le ping fonctionne donc bien au sein d'un même VLAN, mais il ne fonctionne pas entre deux VLAN différents, l'étanchéité est bonne. On peu savoir facilement si on a la même révision (si la configuration est bien la même que sur le serveur) des VLAN grâce à la commande show vtp status: Année 2006 / 2007 Page 11

13 SW2#show vtp status VTP Version : 2 Configuration Revision : 0 Maximum VLANs supported locally : 1005 Number of existing VLANs : 11 VTP Operating Mode : Server VTP Domain Name : vtt VTP Pruning Mode : Disabled VTP V2 Mode : Disabled VTP Traps Generation : Disabled MD5 digest : 0x05 0xE7 0x6E 0x62 0x63 0x3A 0x84 0xC0 Configuration last modified by at :00:00 Local updater ID is on interface Vl2 (lowest numbered VLAN interface found) Si on ajoute une nouveau VLAN on va voir la révision passer de 0 à 1: SW2#configure terminal Enter configuration commands, one per line. End with CNTL/ Z. SW2(config)#vlan 10 SW2(config- vlan)# name vlan10 SW2(config- vlan)# exit SW2#show vtp status VTP Version : 2 Configuration Revision : 1 Maximum VLANs supported locally : 1005 Number of existing VLANs : 12 VTP Operating Mode : Server VTP Domain Name : vtt VTP Pruning Mode : Disabled VTP V2 Mode : Disabled VTP Traps Generation : Disabled MD5 digest : 0xC4 0x2D 0x86 0x8C 0x3B 0x01 0x43 0xE7 Configuration last modified by at :00:32 Local updater ID is on interface Vl2 (lowest numbered VLAN interface found) 6 Annexe: configuration courante du commutateur Configuration du commutateur pour la question 4, montage avec deux commutateur et 4 machines mais sans VTP: SW2#show running-config Building configuration... Current configuration : 3555 bytes Année 2006 / 2007 Page 12

14 version 12.2 no service pad service timestamps debug uptime service timestamps log uptime no service password-encryption hostname SW2 no aaa new- model vtp mode transparent ip subnet-zero ip routing no ip domain-lookup no file verify auto spanning- tree mode pvst spanning- tree extend system- id vlan internal allocation policy ascending vlan 2 name vlan1 vlan 3 name vlan2 vlan 4 name ITHD2 vlan 5 name L2LFede vlan 100,200 interface FastEthernet0/1 switchport trunk encapsulation dot1q switchport trunk allowed vlan 2,3 switchport mode trunk interface FastEthernet0/2 interface FastEthernet0/3 Année 2006 / 2007 Page 13

15 interface FastEthernet0/4 interface FastEthernet0/5 interface FastEthernet0/6 interface FastEthernet0/7 interface FastEthernet0/8 interface FastEthernet0/9 interface FastEthernet0/10 interface FastEthernet0/11 interface FastEthernet0/12 interface FastEthernet0/13 interface FastEthernet0/14 Année 2006 / 2007 Page 14

16 interface FastEthernet0/15 interface FastEthernet0/16 interface FastEthernet0/17 interface FastEthernet0/18 interface FastEthernet0/19 interface FastEthernet0/20 interface FastEthernet0/21 interface FastEthernet0/22 interface FastEthernet0/23 interface FastEthernet0/24 interface GigabitEthernet0/1 Année 2006 / 2007 Page 15

17 interface GigabitEthernet0/2 interface Vlan1 no ip address interface Vlan2 ip address interface Vlan3 ip address router rip redistribute connected network network network ip classless ip http server ip http secure- server no cdp run snmp-server community public RO snmp-server community master RW control-plane line con 0 line vty 0 4 password cisco no login line vty 5 15 password cisco no login end Année 2006 / 2007 Page 16