VLANs CISCO A/ RAPPEL SUR LES VLANS ET LE VTP Un VLAN peut être assimilé à un domaine de broadcast. Typiquement, dans une configuration de VLAN, chaque VLAN comprend son propre sous-réseau. Sans équipement de couche 3 (routeur), il est donc impossible pour les terminaux d'un VLAN de communiquer avec les terminaux d'un autre VLAN. Le VLAN Trunking Protocol (VTP) est nécessaire si l'on veut étendre une configuration de VLAN sur plusieurs commutateurs. Un "Trunk" est nécessaire pour une connexion entre deux commutateurs traitant des VLANs. Ce trunk représente un canal par lequel transitent les trames des différents VLANs d'un commutateur à un autre. Pour que les commutateurs "sachent" à quel VLAN appartient une trame, un étiquetage est nécessaire. C'est pourquoi on utilise un protocole d'étiquetage : ISL (Cisco) ou 802.1q (IEEE). Nous utiliserons ici le 802.1q qui est le protocole utilisé par défaut. Page 1 sur 13
B/ Configuration des VLANs Pour l'exemple, les VLANs statiques seront utilisés. Chaque port de chaque commutateur va donc être attribué à un VLAN. Pour la description des commandes, les accolades indiquent un paramètre (obligatoire), les crochets une option. 1. Création des VLANs Pour créer un VLAN, il faut se trouver dans le mode de configuration correspondant, accessible par la commande : Switch_A# vlan database A partir de ce mode, la création d'un VLAN se fait par la commande : Switch_A(vlan)# vlan {numéro} [name {nom}] Switch_A(vlan)# exit Cette dernière commande permet d'enregistrer la configuration des VLANs, qui se trouve dans le fichier vlan.dat dans la mémoire Flash. Dans une configuration de VLAN statique, les ports du commutateur doivent être attribués à un VLAN. Ceci se fait dans le mode de configuration de l'interface spécifiée : Switch_A(config)#interface fastethernet {numéro_interface} on passe dans le mode de configuration de l'interface spécifiée Switch_A(config-if)#switchport mode access spécification du mode de l'interface Switch_A(config-if)#switchport access vlan {numéro} attribution du vlan spécifié à l'interface La configuration est maintenant faite sur le commutateur Switch_A. Page 2 sur 13
2. Configuration d'un domaine VTP Pour propager automatiquement cette configuration à un deuxième commutateur, ceux-ci doivent appartenir à un domaine commun : le domaine VTP. Ce domaine est organisé hiérarchiquement : le serveur VTP diffuse ses configurations VLAN, tandis que le client VTP met à jour sa configuration VLAN en fonction des informations reçues du serveur. Considérons le commutateur Switch_A comme le serveur du domaine VTP, et le commutateur Switch_B comme le client. Les commandes nécessaires sont : Switch_A# vlan database Switch_A(vlan)# vtp domain {nom_domaine} Switch_A(vlan)# vtp server Switch_A(vlan)# exit Switch_B# vlan database Switch_B(vlan)# vtp domain {nom_domaine} Switch_B(vlan)# vtp client Switch_B(vlan)# exit Enfin, un trunk est nécessaire entre ces deux équipements. C'est en effet par celui-ci que les trames étiquetées transitent. Entre deux commutateurs, un câble croisé doit être utilisé. Un trunk est une connexion physique regroupant plusieurs connexions logiques. Dans le schéma, un câble physique laisse transiter 3 trafics logiques différents. Ceux-ci représentent les trafics propres à chaque VLAN. L'encapsulation utilisée doit également être spécifiée, à moins que le commutateur utilisé n'accepte qu'un seul protocole. Chaque commutateur doit donc configurer une des ses interfaces pour accueillir un trunk : Switch_A(config)# interface fastethernet {numéro_interface} Switch_A(config-if)# switchport mode trunk Switch_A(config-if)# switchport trunk encapsulation {dot1q isl} Page 3 sur 13
Switch_B(config)# interface fastethernet {numéro_interface} Switch_B(config-if)# switchport mode trunk Switch_B(config-if)# switchport trunk encapsulation {dot1q isl} A ce stade, la configuration VLAN du commutateur serveur est transmise au client. Il faut cependant assigner les ports du commutateur client aux VLANs spécifiés (la configuration transmise énumère seulement les VLANs crées et leurs noms) : Switch_B(config)# interface fastethernet {numéro_interface} Switch_B(config-if)# switchport mode access Switch_B(config-if)# switchport access vlan {numéro} Désormais, chaque hôte peut communiquer avec un hôte du même VLAN, connecté sur un commutateur différent. Page 4 sur 13
C/ AGREGATION DE LIENS ET DE BANDE PASSANTE : ETHERCHANNEL Généralement, il n'existe pas de switch, proposant un nombre de ports suffisants pou répondre aux besoins en machine d'un réseau. Il faut donc soit utiliser des commutateurs "stackable" ou relier entre eux plusieurs commutateurs afin d'offrir suffisamment de ports. On les relie soit avec d'un câble croisée, soit avec un câble droit via des ports "uplink". Les ports reliés par des ports croisés offrent des débits correspondant aux débits supportés par le commutateur. Les ports "uplink" ont un débit plus important, mais ils sont généralement peu nombreux. La solution consiste à cumuler la bande passante de plusieurs liens entre des commutateurs et d'offrir un partage de charge entre ports. Cette technique s'appelle "l'agrégation de lien" ou "EtherChannel" 1 ere Méthode Pour configurer un "Etherchannel" entre deux commutateurs, il suffit de relier les ports désirés sur chaque commutateur avec des câbles croisés et de rentrer la suite de commande suivante sur chaque port de chaque commutateur participant à "l'eterchannel". SW1>enable SW1#configure terminal SW1(config)#interface fastethernet {numéro_interface} SW1(config)#port group 1 distribution destination ATTENTION : IL existe une méthode alternative car la méthode précédente ne semble pas fonctionner sur tout les modèles de switch!!! Page 5 sur 13
2 nde Méthode La première étape consiste à activer le load-balancing sur le commutateur. SW1>enable SW1(config)#interface fastethernet {numéro_interface} SW1(config)#port-channel load-balance src-mac La méthode de load-balancing dans cet exemple est basée sur l adresse MAC source. La deuxième étape consiste à configurer le protocole de négociation de l'etherchannel. Il existe principalement 2 protocoles LACP et PaGP. Le premier est standardisé, le second est propriétaire Cisco. SW1(config)#>int fa0/8 SW1(config-if)#channel-protocol lacp SW1(config-if)#channel-group 1 mode active En mode de configuration de l interface, il faut activer le protocole, puis placer le port physique dans le groupe de lien (ici le groupe 1). Il existe 3 modes de négociation : On Active Passive Le mode "On" met ce port dans l agrégat même si le port de l autre switch n est pas dans un agrégat. Le mode Active place le port dans le groupe si le port de l autre switch est dans ce groupe (soit en mode "on" soit en mode "active"). Un port en mode "active" demande à appartenir au groupe. Le mode "passive" place le port dans un groupe si le port de l autre switch lui propose (soit en mode "On" soit en mode "active"). Un port en mode "passive" ne demande pas à appartenir à un groupe. Ceci implique que les ports des 2 switchs ne doivent pas être tous les deux en mode "passive". On répète cette opération de configuration sur les 4 ports de notre topologie. Page 6 sur 13
Pour voir l état de l agrégat, on peut taper la commande suivante show etherchannel summary Page 7 sur 13
D/ Spanning Tree Protocol norme IEEE 802.1D Pour assurer la tolérance de panne d'un service ou d'un périphérique, on utilise une technique consistant à doubler le service ou le périphérique en question (ex: mode raid 1 mirroring ou un disque dur contient la copie exacte d'un autre). De la même manière, pour assurer la connectivité entre plusieurs commutateurs, il est possible d'utiliser deux liens (ou plus) au lieu d'un seul. Seulement, il peut se produire une boucle dans laquelle une trame pourra tourner indéfiniment sans être détruite (contrairement aux boucles de routage ou un paquet fini par être éliminé suite à la décrémentation du champ TTL lors du passage de chaque routeur). Le protocole STP (Spanning-Tree Protocol) à été conçu pour pallier à ce problème en bloquant tous les liens entre les commutateurs à l'exception d'un seul qui permet au trafic de circuler. 1. Élection d'un ROOT BRIDGE Une topologie sans boucle ressemble à un arbre et à la base de chaque arbre, on trouve ses racines (roots). Dans un réseau commuté, un root bridge (commutateur maître) est automatiquement choisi par l'algorithme du spanning tree. Chaque commutateur a une adresse MAC et un numéro de priorité paramétrable (0x8000 par défaut), ces deux nombres constituant l'identification du bridge (nommée BID). Le BID est utilisé pour élire le root bridge en fonction des numéros de priorité, en cas d'égalité, l'adresse MAC la plus basse l'emporte, et comme toutes les adresses MAC sont uniques, un commutateur pourra toujours être élu comme root bridge. Les autres commutateurs du réseau vont alors calculer la distance la plus courte vers le root bridge en utilisant le "coût"de bande passante le plus faible. Le numéro de priorité est normalement laissé par défaut, mais l'administrateur du réseau peut s'il le souhaite modifier ce numéro pour faire élire un commutateur particulier ; dans le cas contraire, tout le processus est automatique. 2. Bridge Protocol Data Units (BPDU) Les BID et autres informations du protocole spanning tree sont transportées dans des unités de trames de données spéciales nommées BPDU (Bridge Protocol Data Units). Les BPDU sont échangées régulièrement (toutes les deux secondes) et permettent aux commutateurs de garder une trace des changements sur le réseau afin d'activer ou de désactiver les ports requis. Quand un commutateur ou un pont est raccordé au réseau, il commence par envoyer des BPDU afin de déterminer la topologie du réseau, avant de pouvoir commencer à transférer des données. 3. Élection des ROOT PORTS Un root port est un port qui sera utilisé pour transmettre les données (par opposition à un port bloqué). Chaque commutateur doit avoir un seul root port. L'élection d'un root port est effectuée d'après les champs path cost et port ID d'un paquet BPDU. En cas d'égalité, c'est le port ayant le port ID le plus faible qui sera élu. Un port bloqué peut émettre et recevoir des paquets BPDU. Les autres ports d'un commutateur sont des designated ports, ce sont eux qui transmettent les paquets BPDU. Page 8 sur 13
4. Mode des ports sur les commutateurs en STP Listening : le commutateur "écoute" les BPDU et détermine la topologie réseau. Learning : le commutateur construit une table faisant correspondre les adresses MAC aux numéros des ports. Forwarding : un port reçoit et envoie des données, opération normale. Blocking : un port provoquant une boucle, aucune donnée n'est envoyée ou reçue mais le port peut passer en mode forwarding si un autre lien tombe. Disabled : désactivé, un administrateur peut manuellement désactiver un port s'il le souhaite. Quand un client tel qu'un ordinateur, une imprimante ou un serveur est connecté au réseau, son port se mettra automatiquement d'abord en mode listening puis en mode learning, avant de se mettre en mode forwarding. Le délai entre le mode listening et forwarding est d'environ 50 secondes. Pour raccourcir le délai de 50 secondes inhérent à la connexion d'un nouveau périphérique, le Rapid STP a été développé et standardisé par la norme IEEE 802.1w qui permet à un port de commutateur de passer directement en mode forwarding. Page 9 sur 13
E/ CONFIGURATION SPECIFIQUE AU ROUTAGE INTER VLAN 1. Sur le commutateur Lorsque deux utilisateurs se trouvent sur des VLANS différents, ils se trouventen général - sur des sous-réseaux différents. Pour communiquer, ils doivent donc passer par une passerelle commune : l'interface du routeur connectée au commutateur. Pour spécifier au commutateur la passerelle utilisée pour "passer" d'un VLAN à un autre (ou plus généralement d'un sous-réseau à un autre), on utilise la commande : Switch_A(config)# ip default-gateway {adresse_ip} 2. Sur le routeur La liaison routeur-commutateur constitue également un trunk. Cette connexion regroupe en effet plusieurs liens logiques : un trafic VLAN par sous-interface, sur une liaison physique : un câble droit connectant une interface du routeur à une interface d'un commutateur. Chaque trafic de VLAN est supporté par une sous-interface du routeur. Il faut donc, pour chaque sous-interface, attribuer une adresse IP appartenant au sous-réseau du VLAN et spécifier l'encapsulation (étiquetage) utilisée: R1(config)# interface fastethernet {sous-interface} R1(config-sub)# encapsulation {dot1q isl} {numéro_vlan} R1(config-sub)# ip address {adresse_ip} {masque_sous_réseau} Chaque hôte peut désormais communiquer avec un hôte sur un VLAN différent. Lorsque le premier envoi une trame avec pour destination un sous-réseau différent du sous-réseau source, le commutateur l'encapsule et l'envoi à la passerelle par défaut. Après avoir traversé le trunk, la trame est traitée au niveau du routeur. Celui-ci la désencapsule, la réencapsule pour le VLAN de destination avant de l'envoyer sur la sous-interface correspondante. Page 10 sur 13
D. CONFIGURATION COMPLETE 1. Configuration du switch_a Création des VLANs Switch_A# vlan database Switch_A(vlan)# vlan 2 name VLAN_2 Switch_A(vlan)# vlan 3 name VLAN_3 Switch_A(vlan)# vlan 4 name VLAN_4 Switch_A(vlan)# vtp domain cisco Switch_A(vlan)# vtp server Switch_A(vlan)# exit Création des trunk Switch_A(config)# interface fastethernet 0/1 Switch_A(config-if)# switchport mode trunk Switch_A(config-if)# switchport trunk encapsulation dot1q Switch_A(config-if)# exit Switch_A(config)# interface fastethernet 0/8 Switch_A(config-if)# switchport mode trunk Switch_A(config-if)# switchport trunk encapsulation dot1q Switch_A(config-if)# exit Attribution des VLANs aux ports Switch_A(config)# interface fastethernet 0/2 Switch_A(config-if)# switchport mode access Switch_A(config-if)# switchport access vlan 2 Switch_A(config-if)# exit Page 11 sur 13
Switch_A(config)# interface fastethernet 0/3 Switch_A(config-if)# switchport mode access Switch_A(config-if)# switchport access vlan 3 Switch_A(config-if)# exit Switch_A(config)# interface fastethernet 0/4 Switch_A(config-if)# switchport mode access Switch_A(config-if)# switchport access vlan 4 Switch_A(config-if)# exit 2. Configuration du switch_b Adhésion au domaine cisco Switch_B# vlan database Switch_B(vlan)# vtp domain cisco Switch_B(vlan)# vtp client Switch_B(vlan)# exit Création du trunk Switch_B(config)# interface fastethernet 0/1 Switch_B(config-if)# switchport mode trunk Switch_B(config-if)# switchport trunk encapsulation dot1q Switch_B(config-if)# exit Switch_B(config)# interface fastethernet 0/8 Switch_B(config-if)# switchport mode trunk Switch_B(config-if)# switchport trunk encapsulation dot1q Switch_B(config-if)# exit Attribution des VLANs aux ports Switch_B(config)# interface fastethernet 0/2 Switch_B(config-if)# switchport mode access Switch_B(config-if)# switchport access vlan 2 Switch_B(config-if)# exit Switch_B(config)# interface fastethernet 0/3 Switch_B(config-if)# switchport mode access Switch_B(config-if)# switchport access vlan 3 Switch_B(config-if)# exit Switch_B(config)# interface fastethernet 0/4 Switch_B(config-if)# switchport mode access Switch_B(config-if)# switchport access vlan 4 Switch_B(config-if)# exit 3. Configuration du Routeur R1 R1(config)# interface fastethernet 0/0 R1(config-if)# ip address 200.0.0.1 255.255.255.0 R1(config-if)# exit R1(config)# interface fastethernet 0/0.2 R1(config-subif)# encapsulation dot1q 2 R1(config-subif)# ip address 10.0.0.1 255.255.255.0 R1(config-subif)# exit R1(config)# interface fastethernet 0/0.3 R1(config-subif)# encapsulation dot1q 3 R1(config-subif)# ip address 172.16.0.1 255.255.255.0 Page 12 sur 13
R1(config-subif)# exit R1(config)# interface fastethernet 0/0.4 R1(config-subif)# encapsulation dot1q 4 R1(config-subif)# ip address 192.168.0.1 255.255.255.0 R1(config-subif)# exit Normalement, les PCs situés dans les différents Vlans, doivent pouvoir communiquer bien qu'ils se trouvent sur des réseaux différents. Page 13 sur 13