Trong môi trường Ethernet LAN, tập hợp các thiết bị cùng nhận một gói broadcast bởi bất kỳ một thiết bị còn lại được gọi là một broadcast domain. Trên các switch không hỗ trợ VLAN, switch sẽ đẩy tất cả các broadcast ra tất cả các cổng, ngoại trừ cổng mà nó nhận frame. Kết quả là, tất cả các interface trên loại switch này là cùng broadcast domain. Nếu switch này kết nối đến các switch và các hub khác, các cổng trên switch này cũng sẽ trong cùng broadcast domain.
Một VLAN đơn giản là một tập hợp của các switchport nằm trong cùng broadcast domain. Các cổng có thể được nhóm vào các vlan khác nhau trên từng switch và trên nhiều switch. Bằng cách tạo ra nhiều VLAN, các switch sẽ tạo ra nhiều broadcast domains. Khi đó, khi có một broadcast được gửi bởi một thiết bị nằm trong một vlan sẽ được chuyển đến những thiết bị khác trong cùng
vlan, tuy nhiên broadcast sẽ không được forward đến các thiết bị trong vlan khác.
Mỗi Vlan nên có một ip subnet hay nói cách khác, các thiết bị trong một vlan thường dùng chung một dãy địa chỉ IP.Tuy nhiên, ta vẫn có thể đặt nhiều địa chỉ trong một vlan và dùng secondary address trên các routers để định tuyến giữa các vlan và các subnets. Bạn cũng có thể thiết kế một mạng dùng chỉ một subnets trên nhiều vlan và dùng routers với chức năng proxy-arp để chuyển traffic giữa các hosts trong các vlan này.
Private vlan có thể được xem như gồm một subnet trên nhiều vlan. Các L2 switch chuyển các frame giữa các thiết bị trên cùng một vlan nhưng nó không chuyển frame giữa các thiết bị khác vlan. Để chuyển dữ liệu giữa hai vlan, một thiết bị L3 switch hoặc routers phải được dùng.
VLAN Trunking Protocol:
VTP quảng bá các thông tin cấu hình vlan đến các switch láng giềng để các cấu hình vlan có thể được thực hiện trên một switch, trong khi tất cả các switch khác trong hệ thống mạng sẽ học thông tin vlan. VTP thường quảng bá các thông tin như vlan ID, vlan name và kiểu vlan cho từng vlan. Tuy nhiên, VTP thường không quảng bá bất cứ thông tin nào về các switchport nào trong từng vlan nào, vì vậy cấu hình kết hợp switch interface nào với vlan nào vẫn phải được cấu hình trên từng switch. Ngoài ra, sự tồn tại của vlan ID được dùng cho private vlan cũng được quảng bá, nhưng các thông tin chi tiết bên trong private vlan cũng sẽ không được quảng bá bởi VTP.
Chức năng Server mode Client Transparent
Gửi ra các thông tin quảng bá VTP
Yes No No
Xử lý các thông tin VTP nhận được để cập nhật cấu hình vlan
Yes Yes No Trung chuyển các thông tin
quảng bá của VTP
Yes Yes Yes Lưu thông tin vlan trong
NVRAM hay vlan.dat
Yes No Yes
Có thể tạo, thay đổi và xóa vlan dùng các lệnh cấu hình
Yes No Yes
Các tiến trình VTP và chỉ số revision number:
Tiến trình cập nhật của VTP bắt đầu khi người quản trị thêm vào hoặc xóa cấu hình của vlan trên VTP server. Khi cấu hình mới xuất hiện, VTP sẽ tăng giá trị VTP revision lên 1 và quảng bá toàn bộ cơ sở dữ liệu vlan với giá trị revision number mới. Khái niệm chỉ số VTP cho phép các switch biết khi nào có sự thay đổi trong cơ sở dữ liệu vlan. Khi nhận được một cập nhật VTP, nếu chỉ số VTP trong cập nhật VTP là cao hơn chỉ số revision number hiện hành, switch sẽ cho rằng có một phiên bản mới của cơ sở dữ liệu vlan.
Mặc định Cisco switch dùng chế độ VTP server nhưng switch sẽ không gửi các cập nhật VTP cho đến khi nào nó được cấu hình VTP domain name. Ở thời điểm này, server bắt đầu gửi các cập nhật VTP với các phiên bản cơ sở dữ liệu khác nhau và các chỉ số revision number khác nhau khi có thông tin cấu hình vlan database thay đổi. Tuy nhiên các VTP client thật sự không được cấu hình VTP domain name. Nếu không được cấu hình, client sẽ giả sử là nó sẽ dùng VTP domain name trong gói tin cập nhật VTP đầu tiên mà nó nhận được. Tuy nhiên, client vẫn phải cần cấu hình VTP mode. Khi cấu hình VTP, để tăng tính dự phòng, các hệ thống mạng dùng VTP thường dùng tối thiểu hai VTP server. Trong điều kiện bình thường, một sự thay đổi về vlan có thể chỉ thực hiện trên switch server và các VTP server khác sẽ cập nhật sự thay đổi này. Sau khi cập nhật xong, VTP server sẽ lưu các thông tin cấu hình vlan thường trực (ví dụ như trong NVRAM) trong khi client không lưu thông tin này.
Việc hỗ trợ nhiều VTP server gây ra một khả năng khác là việc vô tình thay đổi cấu hình vlan của hệ thống mạng. Khi một VTP Client hoặc một VTP
transparent switch kết nối lần đầu vào một hệ thống mạng thông qua kết nối trunk, nó không thể ảnh hưởng đến cấu hình hiện tại bởi vì các chế độ hoạt động này không tạo ra các gói tin cập nhật VTP. Tuy nhiên nếu một switch mới hoạt động ở chế độ VTP server được gắn vào mạng thông qua kết nối trunk, switch đó có khả năng thay đổi cấu hình vlan của các switch khác bằng chính thông tin của switch mới. Nếu switch mới có các đặc điểm sau, nó sẽ có thể thay đổi cấu hình các switch khác:
- Kết nối là trunk.
- Switch mới có cùng VTP domain.
- Chỉ số revision number là cao hơn các switch hiện có.
- Nếu mật khẩu của VTP domain là được cấu hình, mật khẩu của switch mới phải là giống. Chỉ số revision number và tên VTP domain có thể được thấy thông qua các phần mềm sniffer. Để ngăn ngừa kiểu tấn công DoS dùng VTP, hãy cài đặt mật khẩu cho VTP. Mật khẩu này thường được mã hóa dạng MD5. Ngoài ra, vài nơi triển khai chỉ đơn giản dùng VTP transparent mode trên tất cả các switch, ngăn ngừa switch khỏi việc lắng nghe các cập nhật VTP từ các switch khác.
Bài 19: