NETWORK ACCESS

ENTENDENDO E CONFIGURANDO VLAN

Através das vlans é possível segmentar os tráfegos, evitando um envio
broadcast para toda rede.
Com a VLAN o switch consegue segmentar e enviar para seus determinados
destinos.
SEGMENTAÇÃO DE DOMÍNIO DE BROADCAST
OBS: Para uma VLAN falar com outra é necessário ROTEAMENTO
É necessário fazer um tageamento nas portas para atribuir a determinada
VLAN. Isso é chamando de interface de acesso ou Access port. Pois há uma
única VLAN habilitada ali.

Switchport mode acess – Coloca a interface em modo acesso

Vlan “n°” – Cria a VLAN
Name – Dá o nome da vlan. Tem de estar dentro do modo config da VLAN
Switchport acess vlan “n°” – atribui a determinada VLAN na interface em que
estiver.
Show vlan brief – Lista as vlans criadas
Show vlan – traz tudo
Show int f0/0 switchport – Traz muitas informações das vlans na interface
ENTENDENDO E CONFIGURANDO TRUNK
Permite que várias vlans passem em uma interface de um lado para o outro.
Com isso o switch permite essas várias passagens de vlan.
O protocolo que permite isso é o ISL (cisco) ou 802.1q. É o tipo de
encapsulamento.

O header é modificado com o acréscimo do 802,1q.

Atente-se principalmente para as seguintes marcações, que são:
 VID: VLAN ID, marca os bits da vlan e sua identificação.
 Priority: Relacionado com QOS, o qual é feito uma marcação para
diferenciar os pacotes de voz e dados.

SW1
Vlan 10
Vlan 20

E0/1
swport trunk encapsu dot1q
swport mode trunk
E0/2
Swport mode acess
Swport access vlan 10
E0/3
Swport mode acess
Swport access vlan 20

LAP1
Ip address [Link]/24
SW2

E0/1
swport trunk encapsu dot1q
swport mode trunk
E0/2
Swport mode acess
Swport access vlan 10

LAP2
Ip address [Link]/24
OBS: Por default, as interfaces pertencem a vlan 1. Caso seja enviado um
pacote de um sw para outro, vai passar por isso.

Já o tráfego da VLAN 10, não vai passar, pois não há um trunk permitindo esse
deslocamento de um lado para o outro.
Funcionando no wireshark

Existe as vlans allowed on trunk, as quais podem ser habilitadas para passar
de um lado ao outro. E existe as que estão ativas e habilitadas a passar.

Swport trunk allowed vlan except 1000

Swport trunk allowed vlan1, 10

Show vlan brief

Show inter trunk
VLAN NATIVA
Existe a VLAN de gerência que é feito através do SVI, no SW-L2 só é permitido
a criação de uma vlan de ger, o qual permite o acesso remoto através da
configuração de uma interface vlan que atribui um IP nessa vlan
Já, a VLAN NATIVA, tira o header e envia a info sem tag nenhuma. Pois o trunk
sabe que é a native vlan. É atribuído a tag na entrada do outro sw. A native vlan
deve ser igual nos dois lados. A native vlan, por default é a 1.
VLAN TRUNK PROTOCOL – VTP
É um protocolo que auxilia na distribuição de vlans. O VTP permite a
configuração/importação automática de vlans para outras caixas.

O VTP vai trabalhar das seguintes formas:

 Server: É o cara que cria, edita e propaga as vlan. Envia para o domínio
todo.
 Client: Não pode criar vlan. Aqui ele apenas recebe a atualiza suas
tabelas
 Transparent: Tudo é local. Ele pode criar vlans, porém não propaga
para outras caixas, fica só pra ele. Além disso, não atualiza suas
tabelas, mas pode propagar as atualizações recebidas do server.
Revision Number: Através daqui é definido se a tabela de VTP vai ser
atualizada ou não. Funciona da seguinte forma:
Por default há um numero 0 que é somado por 1: 0+1. Ai é comparado
com o número da sua tabela e caso seja maior ele aplica a atualização.
OBS: Independente se é server, cliente ou trans. Quem propaga a
atualização é quem tiver o revision number mais alto, por isso cuidado ao
adicionar na topologia outro equip com RV mais alto que veio de fora com
uma outra tabela. No campo de batalha é apropriado deixar em
transparente.
Domínio: Para troca de informações devem estar no msm domínio, ou seja,
VTP-ABC. Inclusive o transparent que tbm propaga att.
A vários modos de VTP:
 V1: Não muda nada para o 2, só o token ring
 V2: trabalha com token ring
 V3: Muda o processo de autenticação e pode-se utilizar o extend ID
Por fim, é possível criar o VTP password para evitar que qualquer um se
associe ao domínio VTP.
DTP – DYNAMIC TRUNK PROTOCOL
Faz a negociação automática ou dinâmica - Na prática é desabilitado. Opera
em três modos:
 Auto: Apenas recebe/responde uma requisição
 On:
 Desirable: Inicia a negociação com a porta tronco
Swport mode dynamic [desirable ou auto]
Swporte nonegotiate
Show interface trunk
Show interface [interface] swport
Nas pontas de cada interface e0/0 é feito a combinação da tabela acima .
DISCOVERY PROTOCOLS - CDP e LLDP
 CISCO DISCOVERY PROTOCOL – CDP
Protocolo proprietário da cisco de layer 2 utilizado para descobrir seus
neighbors. Na descoberta ele provê: Na prática é desligado.
 Informações da plataforma
 Interface
 IP
 OS version
Ajuda, literalmente, no diagrama de rede. Já vem ligado por default.
Enable Disable

Cdp run No cdp run – Na caixa toda

Cdp timer [seconds] – De quanto em No cdp enable – apenas na interface

quanto tempo é feito um
anúncio/busca

Tempo padrão: 60 segundos “Hello”

Tempo de espera: 180 segundos -

holdtime

OBS: Ele faz a busca dos vizinhos, e caso não apareça, a depender do
tempo de espera estipulado no cdp timer, ele sai da tabelinha de
Discovery.

Show cdp neighbor

Show cdp neighbor [interface]
Show cdp neighbor [interface] detail
  Link Layer Discovery Protocol – LLDP
É um protocolo aberto definido pela IEEE – 802.1ab. É equivalente ao CDP.
Pode ser utilizado em diferentes caixas.
Enable Disable

Lldp run – Na caixa toda No lldp run – Na caixa toda

Lldp transmit – Na interface No lldp enable – apenas na interface

Lldp holdtime [seconds]

Lldp timer [seconds]

LAYER 2 ETHERCHANNEL
Permite realizar agregação/redundância de links em um bundle evitando
congestionamento.
Realiza Load Balance em diferentes algoritmos
Pode utilizar até 8 portas físicas
É recomendado que se aplica no Etherchannel as mesmas configurações de
speed e duplex
Provê loop-free, ou seja, a agregação faz com que o SPT enxergue aquilo
como uma única interface
Protocolos usados para negociação
PAgP
Protocolo proprietário da cisco. Trabalha nos seguintes modos:
 ON: Não aplica negociação, mas força a utilização do etherchannel.
 DESIRABLE: Envia mensagens PAgP para saber se alguém quer
negociar etherchannel
 AUTO: [Link] as mensagens de negociação enviadas e pode
aceitar.
LACP
Protocolo aberto da IEEE 802.3ad. Trabalha nos seguintes modos:
 ON: Não aplica negociação, mas força a utilização do etherchannel.
 Active: Envia mensagens LACP para saber se alguém quer negociar
etherchannel
 Passive: Ouve as mensagens de negociação enviadas e pode aceitar.

Entra na interface e habilita o etherchannel. As interfaces devem estar no msm

grupo. Channel-group [number] mode [mode]
Show etherchannel summary
Show spanning-tree
Se o SPT não enxergar as duas interfaces como 1 só, a outra vai estar
bloqueada. Então, faremos com que seja visto apenas como 1. Recomenda-se
utilizar o interface range, pois ai vai aplicar a todas inter iguais.

SW1
Inter range ether 0/0-1
No spaning-tree vlan 10 port-priority 64
Channel-group 1 mode passive
E0/1:
E0/0:
SW2
Inter range ether 0/0-1
No spaning-tree vlan 10 port-priority 64
Channel-group 1 mode active
E0/1:
E0/0:
Não existe mais e0/0 ou e0/1, há apenas o port group.

Show etherchannel load-balance

Dependendo da origem e destino, o tráfego pode passar por uma ou outra
interface.

Show inter port-channel 1

O bandwidth foi para 20 megas, pois foi agregado 2 links de 10.

Show etherchannel summary

LAYER 3 ETHERCHANNEL
O próprio etherchannel recebe um IP para agregação de links em camada 3 em
um SW multilayer.

No switchoport – Faz com que o Sw trabalhe em layer 3, permitindo atribuir um

IP. IPs diferentes em cada lado.
port-chanel load-balance - Permite alterar o load balance
PORQUE USAR O SPANNING-TREE
O Spanning-Tree Protocol (STP) impede a formação de loops quando switches ou pontes são
interligadas por vários caminhos. O Spanning-Tree Protocol implementa o algoritmo de IEEE
802.1D ao trocar mensagens BPDU com outros switches para detectar loops e, em seguida,
remove o loop ao desligar interfaces de ponte selecionadas. Esse algoritmo garante que haja
apenas um caminho ativo entre dois dispositivos de rede.

Abaixo há um loop total na rede, e com o SPT a intenção é evitar esse Bridging LOOP.

Com o uso do protocolo 802.1d demora em torno de 30 a 50 segundos a

convergência e, isso é ruim, deve ser o mais rápido possível.
O SPT deve bloquear sempre o pior caminho e deixando-o apenas para
backup
Para prevenção de loops o SPT utiliza o BPDU. É enviado a cada 2 segundos
com o cabeçalho a seguir.
 Bridge ID:
 Root ID:

Por default é realizado da seguinte forma:

Hello: A cada 2 segundos
Max Age: A cada 20 segundos. É como um HoldTime (Se não ouvir nesse
tempo, é necessário a renegociação)
Forwardin Delay:
COMO O SPT FUNCIONA?
O SW possui um mac-address da porta e da caixa. O SPT vai ser feito baseado
no da caixa. A troca de mensagens é feita por BPDU e dentro dele há os dois
seguintes:
 Bridge ID: É a identificação da caixa em que, ao total, são 8 bytes,
sendo:
o 2 bytes: Priority – É um número que varia de 4096 em 4096. 0 –
4096 – etc. Por default da caixa é o n° 32768.
o 6 bytes: Mac-Address –

OBS: O Bridge ID será a soma de Priority + Mac-Address.

 Root ID:
Regras para definir a pior rota ou qual porta bloquear
1. Root Bridge = Menor BID – o qual é a soma da OBS
2. Todas as portas do root bridge vão ser:
o Role = Designated
o Status = Forwarding
3. Escolha uma root port no não root bridge. O que sobrar vai ser Não
root bridge e haverá root port.
o A root port é escolhida através do custo da porta.O menor custo
será a root port.

4. Todo enlace tem que ter UMA (APENAS) designated port

Forrwarding State, a qual é escolhida pelo menor BID.
5. Block all Rest
SPT PORT STATES E CÁLCULO DO ROOT BRIDGE
Toda porta possui uma role e na role passa um status:
 ROLE
o Root
o Designated
o Block
 STATUS
o Disabled: Down State, simplesmente nao passa nada.
o Blocking: Apenas recebe o BPDU, não envia dados nem
adiciona MAC address
o Listening: Ela escuta o que o BPDU mandou. Envia e recebe
BPDU. Não envia e nem recebe dados. Quando para de escutar
ela vai para learning. NÃO APRENDE MAC
o Learning: Envia e recebe BPDU e aprende MAC para adicionar
na tabela. Não envia nem recebe dados
o Forwarding Delay Timer = 15-seconds: Define o tempo de
listening e learning que é por default 15 segundos. Se não recebe
nada. Apenas define o tempo.
o Forwarding: Aqui é envia e recebe dados

OBS: 15 seg em cada um + o max age. Se não achar nada entende que
não existe mais.
IMPLEMENTANDO SPT
PVST – Per-Vlan Spanning Tree = Protocolo Cisco
O número de instancias SPT depende do numero de VLANS
Efetivo onde o compartilhamento de carga é necessário
Rápida convergência
Pode ser utilizado o encapsulamento ISL e 802.1Q
BPDU é enviado para cada VLAN

Ao ligar a caixa já é possível ver BPDU rodando pelo sniffer

Há duas informações importantes:
Root Identifier: Quem é o root bridge da rede
Bridge Identifier: É o MAC da determinada caixa
O mesmo MAC nos dois acima, significa que é o root bridge.

Show SPT
Por Default funciona o PVSTP, por mais que tenha oitem do iee abaixo.
O Priority será sempre ele + o número da VLAN (Extend ID)
Há outras informações como “this brigde is the root”, hello time, max age,
[Link], etc.

É possível ver a informação de outra caixa com o comando show spt

Tbm é posivel ver o Role, status e cost

Há como alterar a priority do SPT com o comando spanning-tree vlan “x”
priority “0,4096, etc”. Isso faz com que a tabela seja atualizada e um novo
root bridge seja eleito.
Outra opção é colocar como root primary com o comando: spt vlan “x” root
primary ou spt vlan “x” root secondary
Para o root primary ele decrementa a priority em 8192 para ter um intervalo de
4096 com o root secondary
Para o root secondary ele soma 4096 para justamente ser eleito secondary
Faça a configuração de vlans e não se esqueça do trunk para passagem das
vlans. Para realizar os testes

Há tbm o port priority e é ele quem faz o desempate para fazer o bloqueio da
porta. O número mais alto é bloqueado. Lembrando quando se dá o comando
show pt na caixa, ele olha o port priority do outro lado, ou seja, da porta da
outra caixa

A alteração pode ser feita com o comando: spt vlan “x” port-priority “valor”.
Voce faz a alteraçao na caixa atual, para surtir efeito na porta da outra caixa.
Entra na interface para fazer isso.
Sh spt interface eth “n° port” detail
Tbm há como fuçar no custo: spt cost “valor”. Já a alteração do custo é na
caixa local e nao no vizinho. Dentro da interface tbm para fazer esse comando.
Show spt root: Ver as seguintes informações

Show spt blockdports: Ver as portas bloqueadas, caso tenha na caixa

MECANISMOS DE PROTEÇÃO AO BPDU

NOTA: è bom usar no packt esse módulo

Sw1
shut
No shut
Show spt: Para capturer o status das portas
Spt portfast
Sw2

Laptop3
Inter0/2
No switchport
Ip [Link] [Link]
Laptop3
Inter 0/2
No switchoort
[Link] [Link]
Ping [Link] repeat 1000

Para que o tempo de convergência não demore é habilita o spanning-tree

portfast
Se for em modo trunk é perigoso, pois pode causar loop devido ao
procedimento que ele passa direto de block para FWD
De volta ao evng para bpdu filter e guard
Bpdu filter: ele elimina o envio e recebimento de bpdu, porem pode ter loop.
Em caso de se tirar o SPT.
Bpdu Guard: Quando recebe um BPDU a porta fica em error-disable caso é
enviado bpdu que nao era pra ter sido enviado
Sempre é colocado spt portfast na interface de acesso e bpdu guard.

Entra na interface:
Spt bpdufilter enable: Nessa interface não envia mais BPDU e desliga-se o spt
Spt bpdguard enable: Identifica que um device não deveria mandar bpdu e
coloca o estado da porta em disable. Geralmente em portas acesso

Entrar na interface do laptop e dar um swithport para simular a transmissão de

bpdu
Quando há os dois habilitados na interface o bpdu filter sobrescreve o bpdu
guard e no campo de batalha escolhe-se apenas um, de preferencia o guard
No spt bpdufilter enable
O portfast é tipicamente habilitado em portas de acesso e garante maior
agilidade na passagem de portas.

O default aplica para todas as portas acesso e não trunk

RAPID SPANNING-TREE PROTOCOL – RSTP 802.1w
Esse é o implementado na LIFE REALL !!!
Aqui a ideia é ter uma convergência de rede mais rápida. É possível diferenciar
full duplex de Half duplex.
Além disso é adicionado mais regras de portas como alternate e discarding,
backup e discarding:
 Root port
 Designated port
 Alternate port
 Backup port

 Discarding
 Learning
 Forwarding

O discarding abrange os 3 estados de portas e não aprende MAC, sendo mais

rápido na convergência.

NOTA: A maior diferença entre a convergência do 802.1d e o 802.1w é que no

“d” é feito em todos os enlaces ao mesmo tempo, já no “w” é feito de enlace em
enlace, sendo mais rápido e não parando toda a rede.
Lab no Packet

Já deixa um ping no pc
SW 0
Inter 0/2
Shut
No shut
Do show spt
SW1

Nota: Depois de feito o teste, mude para o PVSPT com o comando: spt mode
rapid-pvst. O módulo deve ser aplicado em todas as caixas
Faça o msm procedimento inicial
A perda de pacote é mínima mínima, é mt difícil ate pegar o status da porta,
pois a transição é muito mais rápida se comparado com 802.1d.