הגדרת VLAN Trunking במתגים מנוהלים: Cisco, MikroTik, Linux

נתקלנו במצב שבו לאחר שדרוג קושחה במתגי Cisco Catalyst 3750, חברה איבדה קישוריות בין מחלקות למשך 4 שעות. הסיבה—חוסר התאמה ב-VLAN המקורי (native VLAN) בפורט trunk. תעבורת ניהול נכנסה לפלח הלא נכון, DHCP הפסיק לעבוד, וקומת הייצור איבדה שליטה. סיפור טיפוסי: חוסר התאמה ב-native VLAN הוא אחת הטעויות הנפוצות ביותר בעת הגדרת VLAN trunking. לפי IEEE Std 802.1Q-2014, ברירת המחדל של native VLAN היא VLAN 1. חוסר התאמה מתרחש כאשר לשני קצוות של trunk יש native VLAN שונים, מה שגורם למתגים לפרש מסגרות לא מתויגות ב-VLAN שונים. התוצאה—אובדן קישוריות, פרוטוקולי בקרה לא יציבים, ופגיעות פוטנציאלית להתקפות VLAN hopping. ב-30% מהמקרים, הבעיה היא חוסר התאמה ב-native VLAN.

הניסיון שלנו מראה שהגדרה נכונה של VLAN trunking היא הבסיס לרשת מאובטחת ועמידה. נסקור לא רק הגדרות בסיסיות ב-Cisco, MikroTik ו-Linux, אלא גם טעויות נפוצות שגם מהנדסים מנוסים עושים. עם ניסיון של למעלה מ-10 שנים בהגדרת רשתות VLAN לארגונים תעשייתיים ומשרדיים, ולמעלה מ-50 פרויקטים שהושלמו, אנו מבטיחים פעולה תקינה ומספקים תיעוד מורשה.

בעיות שאנו פותרים

הבעיות השכיחות ביותר שאנו מטפלים בהן:

• חוסר התאמה ב-native VLAN—שני קצוות ה-trunk חייבים להשתמש באותו native VLAN. ב-Cisco, זה מסומן על ידי ההודעה CDP-4-NATIVE_VLAN_MISMATCH. אם יש חוסר התאמה, מסגרות בקרה (CDP, STP) מגיעות ל-VLAN הלא נכון, ומשבשות את הטופולוגיה.
• רשימת ה-VLANs המותרים ב-trunk מוגדרת לא נכון—אם משמיטים את מילת המפתח add, הרשימה נמחקת, וחלק מה-VLANs אובדים. לדוגמה, switchport trunk allowed vlan 10 מסיר את כל השאר. זה גורם למכשירים ב-VLANs אחרים לאבד קישוריות דרך ה-trunk.
• pvid לא נכון בפורט access—המכשיר לא מקבל כתובת IP כי שרת ה-DHCP נמצא ב-VLAN אחר. זה קורה לעיתים קרובות במהלך מיגרציה או בעת הוספת פורטים חדשים.

אנו גם פותרים בעיות עם VTP, ניתוב אסימטרי, והגדרת STP לא נכונה בסביבות מעורבות של ספקים.

למה חוסר התאמה ב-Native VLAN הוא השגיאה הקריטית ביותר?

מסגרות של ה-native VLAN משודרות ללא תיוג. אם קצה אחד של trunk משתמש ב-native VLAN 1 והשני ב-999, מתג ששולח מסגרת בקרה ב-native VLAN שלו יקבל אותה כשייכת ל-VLAN 999 בקצה השני. זה יכול לגרום ללולאות STP, אובדן שכני CDP, ואפילו לפתוח גישה ל-VLANs ניהוליים להתקפות. בתרגול שלנו, חוסר התאמה אפשר לתוקף לקבל גישה ל-VLAN הניהולי דרך VLAN hopping.

איך לאבחן חוסר התאמה ב-Native VLAN?

ב-Cisco, הרצו show interfaces trunk—הפלט מציג את ה-native VLAN עבור כל trunk. אם הוא שונה במתג השכן, יש חוסר התאמה. בנוסף, בדקו את show vlan brief ו-show spanning-tree vlan 1 (או את ה-native VLAN שלכם). לאבחון מקיף של בעיות VLAN, השתמשו בפקודות אלה:

show interfaces trunk show vlan brief show spanning-tree vlan 999 

כמו כן, הפעילו דיבוג: show interfaces trunk show vlan brief show spanning-tree vlan 999 , debug condition interface Gi1/0/48.

הגדרת Trunk שלב אחר שלב ב-Cisco

נבחן מקרה אמיתי. לקוח: מפעל ייצור בינוני, כ-200 תחנות עבודה, 5 VLANs, ליבה על Cisco Catalyst 3850. לאחר שדרוג קושחה מ-16.3 ל-16.9, הקישוריות בין VLAN 10 (חשבונאות) ל-VLAN 20 (מחסן) אבדה. האבחון גילה חוסר התאמה ב-native VLAN ב-uplink בין מתגי הליבה והגישה. בליבה היה native 1, ובגישה היה native 999.

1. במתג הגישה, היכנסו למצב הגדרה גלובלי. בחרו את הממשק Gi1/0/24.
2. הרצו debug sw-vlan trunk.
3. אמתו עם interface Gi1/0/24—ה-native VLAN תואם.
4. בדקו קישוריות—הבעיה נפתרה.

אנו ממליצים להשתמש ב-VLAN לא בשימוש עבור ה-native (לדוגמה, 999) כדי למנוע ערבוב עם VLANs עבודה. אבל המפתח הוא עקביות בשני הקצוות.

interface GigabitEthernet1/0/24
 switchport mode trunk
 switchport trunk encapsulation dot1q
 switchport trunk native vlan 999
 switchport trunk allowed vlan add 10,20,30
 no shutdown

השוואת פתרונות VLAN: MikroTik מול Cisco

MikroTik מגרסה 7.x ומעלה משתמש ב-bridge vlan-filtering, שהוא יותר אינטואיטיבי ומהיר פי 2 להגדרה מאשר Cisco עבור רשתות פשוטות. מוסיפים פורטים ל-bridge, מגדירים pvid עבור access, ואז מציינים אילו VLANs מתויגים על אילו פורטים ב-switchport trunk native vlan 1. Cisco דורש יותר פקודות (כ-50% יותר) אבל מציע גמישות; MikroTik מספק שקיפות. בתרגול שלנו, הגדרת רשת פשוטה של 5 VLANs ב-MikroTik לוקחת חצי מהזמן בהשוואה ל-Cisco.

/interface bridge add name=br0 vlan-filtering=yes
/interface bridge port
add bridge=br0 interface=ether2 pvid=10
add bridge=br0 interface=ether3 pvid=20
add bridge=br0 interface=ether8 pvid=1
/interface bridge vlan
add bridge=br0 vlan-ids=10 untagged=ether2 tagged=ether8
add bridge=br0 vlan-ids=20 untagged=ether3 tagged=ether8
add bridge=br0 vlan-ids=30 tagged=ether8
/interface vlan add interface=br0 name=vlan10 vlan-id=10
/ip address add address=192.168.10.1/24 interface=vlan10

הגדרת Trunk על שרת Linux

ב-Linux, השתמשו במודול 8021q וב-iproute2. בצעו את השלבים הבאים:

1. ודאו שהמודול נטען: show interfaces trunk.
2. צרו ממשק VLAN: interface GigabitEthernet1/0/24 switchport mode trunk switchport trunk encapsulation dot1q switchport trunk native vlan 999 switchport trunk allowed vlan add 10,20,30 no shutdown .
3. העלו אותו: /interface bridge vlan.
4. הקצו כתובת IP: /interface bridge add name=br0 vlan-filtering=yes /interface bridge port add bridge=br0 interface=ether2 pvid=10 add bridge=br0 interface=ether3 pvid=20 add bridge=br0 interface=ether8 pvid=1 /interface bridge vlan add bridge=br0 vlan-ids=10 untagged=ether2 tagged=ether8 add bridge=br0 vlan-ids=20 untagged=ether3 tagged=ether8 add bridge=br0 vlan-ids=30 tagged=ether8 /interface vlan add interface=br0 name=vlan10 vlan-id=10 /ip address add address=192.168.10.1/24 interface=vlan10 .

או דרך Netplan (ב-Ubuntu):

ip link add link eth0 name eth0.10 type vlan id 10 ip link set eth0.10 up ip addr add 192.168.10.5/24 dev eth0.10 

שרת Linux יכול לסיים VLANs או לנתב ביניהם. עבור מיתוג בשכבה 2, נדרש bridge.

טבלת השוואה בין גישות

טבלת סימפטומים ופתרונות

דוגמה ללוג של חוסר התאמה ב-native VLAN ב-Cisco:

network: version: 2 ethernets: eth0: mtu: 9000 vlans: eth0.10: id: 10 link: eth0 addresses: [192.168.10.5/24] 

זה מצביע על חוסר התאמה: native 999 בפורט, native 1 בשכן.

מה כלול בהקמת VLAN Trunking במפתח מלא

• ביקורת על הרשת הנוכחית ותוכנית ה-VLAN.
• תכנון פילוח וחיבורי trunk.
• הגדרת פורטי access ו-trunk במתגים.
• הגדרת VLAN בנתבים ובשרתים.
• בדיקת קישוריות ופתרון שגיאות.
• תיעוד (תרשים, הגדרות, הוראות).

לוחות זמנים: מיום אחד לרשת פשוטה ועד 3 ימים לרשת היררכית עם יתירות.

טעויות נפוצות ורשימת בדיקה

• תמיד השתמשו במילת המפתח show interfaces trunk ב-Cisco: כתבו switchport trunk allowed vlan add.
• אל תשכחו את ה-native VLAN—השתמשו במזהה לא בשימוש (לדוגמה, 999, 4000).
• ב-MikroTik, זכרו להפעיל show interfaces trunk.
• ב-Linux, ודאו שמודול 8021q נטען (%CDP-4-NATIVE_VLAN_MISMATCH: Native VLAN mismatch discovered on GigabitEthernet1/0/24 (999), with FastEthernet2/0/1 (1). ).
• כדי להגן מפני VLAN hopping, השביתו את ה-native VLAN בפורטי access והשתמשו ב-add ב-Cisco.

המהנדסים המוסמכים שלנו (CCNP, MikroTik MTCNA) בעלי ניסיון של למעלה מ-10 שנים בהגדרת רשתות VLAN. צרו קשר לייעוץ על הרשת שלכם. הזמינו ביקורת מלאה והקמת VLAN trunking במפתח מלא—אנו מבטיחים פעולה תקינה ומספקים תיעוד.