Cisco VLAN

Virtual LAN är alla broadcastdomäner som är partitionerade och isolerade på lager 2 i ett nätverk. Vill man managera VLAN på många Cisco-switchar centralt kan man använda VTP.

Standard: 1-1005 (1002-1005 är reserverade)

Extended: 1006-4094

Konfiguration

Stäng ett VLAN lokalt i switchen och suspenda det i VTP.

vlan 20
 shutdown
 state suspend

Show

show vlan brief
show vlan internal usage

Trunking

802.1q

Vitlista VLAN

switchport trunk allowed vlan 1-5,8

Tagga alla frames på en trunk

vlan dot1q tag native
show vlan dot1q tag native

Dubbeltaggning på router

int gi2
 mtu 1504
int gi2.10
 encapsulation dot1q 10 second-dot1q 100,101

DTP

Med Dynamic Trunking Protocol går det att förhandla med andra sidan om ett interface ska vara trunk eller ej. DTP advertisements skickas var 60:e sekund och innehåller VTP domain name så de måste matcha. DTP är påslaget default.

Stänga av DTP

switchport nonegotiate

Verify

show interfaces gi0/24 switchport

Private VLAN

Vanligtvis kan allt i ett VLAN nå övrigt i samma VLAN obehindrat men det kan finnas situationer när man vill begränsa konnektivitet inom en broadcastdomän. För att lösa det togs protected ports fram. Om en port var protected kunde den endast nå portar som inte var protected i det VLANet, dvs två protected portar kan aldrig prata med varandra. Detta funkade lokalt inom switchen men ej mellan switchar och var därför inte så praktiskt i miljöer med fler än en switch. För att lösa det implementerades Private VLAN (RFC 5517). Detta används vanligtvis hos service providers som vill segmentera kunder från varandra men bara använda ett IP-nät. PVLAN är en mekanism som delar upp ett VLAN (primary) i secondary VLANs. Secondary VLAN finns i två varianter, isolated och community. Secondary VLAN måste tillhöra exakt ett primary VLAN. Det kan finnas flera community men isolated får det bara finnas ett av per primary.

Inom en PVLAN-domän finns det tre separata porttyper. Varje porttyp har sin egen unika uppsättning regler som reglerar en ansluten enhets förmåga att kommunicera med andra anslutna enheter inom samma private VLAN.
Isolated port: En isolated port kan inte prata med någon annan port i private VLAN-domänen med undantag för promiscuous ports.

Community port: En community port är en del av en grupp med portar. Portar i en community kan ha L2 kommunikation med varandra och kan även prata med en promiscuous port.

Promiscuous port: En promiscuous port kan prata med alla andra typer av portar och tillhör primary VLANet.

Private VLAN fungerar över trunklänkar och därmed mellan switchar. Kommer en frame från ett secondary VLAN och ska skickas över en trunklänk så taggas den med sitt VLAN ID. Kommer det en frame på en promiscuous port så taggas den med primary VLAN. Dvs om en frame ska från en isolated port på en switch till en promiscuous port på en annan och sedan tillbaka kommer den ha olika VLAN-taggar på dit och tillbakavägen, såkallad assymetrisk VLAN-taggning. Det sker aldrig någon dubbeltaggning men switcharna måste ändå ha stöd för private VLAN och vara konfade likadant (PVLAN-mässigt) annars vet inte switcharna hur VLANen är associerade med varandra.

Det finns undantag till detta beteende t.ex. om man har en router-on-stick så vet inte den vad PVLAN är. Då kan man använda promiscuous PVLAN trunk och på den skickas det aldrig ut något som är taggat med ett secondary VLAN utan allt skrivs om till primary VLAN ID. Det finns även isolated PVLAN trunk.

Konfiguration

vtp mode transparent

Alternativt kan VTP version 3 användas.

VLAN

vlan 100
 private-vlan primary
vlan 101
 private-vlan isolated
vlan 102
 private-vlan community
vlan 100
 private-vlan assoc 101,102

Port

interface f0/1
 switchport mode private-vlan promiscuous
 switchport private-vlan mapping 100 101-102
interface f0/2
 switchport mode private-vlan host
 switchport private-vlan host-association 100 101

Verify

show vlan private-vlan

Q-in-Q

802.1Q tunneling

Database mode

Är gammalt och stöds inte längre på alla switchar.

vlan database
 vlan 20 name Old-school
apply