Tweet
Khi học CCNA, mình từng nghĩ Switch chỉ có nhiệm vụ chuyển tiếp frame và chạy VLAN, Trunk hay STP. Nhưng sau khi thực hành bài lab này, mình mới thấy một chiếc Cisco Switch còn có rất nhiều cơ chế giúp bảo vệ toàn bộ hệ thống mạng trước những sự cố hoặc thiết bị không mong muốn.
Lab mình thực hiện gồm 3 Cisco Switch kết nối với nhau bằng đường trunk, kết hợp triển khai VTP, Spanning Tree và các tính năng bảo mật Layer 2 như Port Security, SPAN, BPDU Guard và Root Guard. Mỗi phần đều được mình kiểm tra bằng các lệnh show để quan sát sự thay đổi của Switch thay vì chỉ cấu hình rồi chuyển sang bước tiếp theo.
Bước 1: Đồng bộ VLAN bằng VTP và cấu hình STP
Mình bắt đầu bằng việc cấu hình các đường kết nối giữa ba Switch ở chế độ 802.1Q Trunk, đồng thời tắt DTP để tránh việc các cổng tự động thương lượng.
Sau đó, SW1 được cấu hình làm VTP Server, còn SW2 và SW3 là VTP Client. Chỉ cần tạo VLAN 10 và VLAN 20 trên SW1, vài giây sau mình kiểm tra lại bằng show vlan brief thì toàn bộ VLAN đã tự động xuất hiện trên hai Switch còn lại.
Tiếp theo là cấu hình Spanning Tree. Thay vì để mặc định, mình chia Root Bridge cho từng VLAN:
VLAN 10: SW1 là Primary Root.
VLAN 20: SW2 là Primary Root.
Khi chạy show spanning-tree, mình thấy mỗi VLAN đều có Root Bridge đúng như thiết kế. Điều này giúp cân bằng lưu lượng và cũng là cách triển khai khá phổ biến trong mạng doanh nghiệp.
Bước 2: Thử nghiệm Port Security – Chỉ cho phép đúng thiết bị được kết nối
Đây là phần mình thích nhất vì có thể nhìn thấy ngay kết quả sau mỗi lần thử.
Đầu tiên, mình cấu hình Port Security trên cổng kết nối với PC và giới hạn tối đa 1 địa chỉ MAC. Sau khi cắm PC đầu tiên, Switch học MAC bình thường. Tuy nhiên, khi rút dây và thay bằng một máy khác, cổng lập tức chuyển sang trạng thái err-disabled.
Kiểm tra bằng show port-security, mình thấy bộ đếm vi phạm tăng lên và interface đã bị khóa đúng như cấu hình.
Sau đó mình thử lại với chế độ Sticky MAC kết hợp Violation Restrict. Lần này Switch vẫn chặn thiết bị lạ nhưng không shutdown cổng. Thay vào đó, Switch ghi nhận vi phạm và tiếp tục duy trì hoạt động của interface.
Qua hai lần thử, mình hiểu rõ sự khác nhau giữa các chế độ Shutdown và Restrict. Trong môi trường doanh nghiệp, việc chọn chế độ nào sẽ phụ thuộc vào mức độ bảo mật cũng như yêu cầu vận hành của hệ thống.
Bước 3: Sử dụng SPAN để theo dõi lưu lượng mạng
Nếu Port Security giúp bảo vệ Access Port thì SPAN (Switched Port Analyzer) lại là công cụ rất hữu ích khi cần phân tích lưu lượng.
Trong bài lab, mình cấu hình một cổng làm Source Port và một cổng khác làm Destination Port. Sau đó cắm máy tính chạy Wireshark vào cổng Destination.
Ngay khi gửi Ping hoặc truyền dữ liệu qua Source Port, toàn bộ lưu lượng đều được mirror sang máy phân tích. Đây là tính năng mình thấy cực kỳ hữu ích khi xử lý sự cố, kiểm tra ứng dụng hoặc phân tích các gói tin trong mạng.
Kiểm tra bằng show monitor session, mình có thể xác nhận phiên SPAN đã hoạt động đúng và lưu lượng được sao chép chính xác.
Bước 4: Kiểm tra BPDU Guard – Bảo vệ Access Port
Một tình huống khá thực tế là người dùng tự ý cắm thêm một Switch nhỏ vào ổ mạng trong văn phòng.
Để mô phỏng điều này, mình bật PortFast và BPDU Guard trên Access Port, sau đó kết nối thêm một Switch khác.
Kết quả xảy ra gần như ngay lập tức. Khi Switch mới gửi BPDU đầu tiên, interface chuyển sang trạng thái err-disabled và ngừng hoạt động.
Ban đầu mình khá bất ngờ vì cổng bị shutdown nhanh như vậy, nhưng sau khi tìm hiểu mới hiểu đây chính là cơ chế Cisco sử dụng để bảo vệ Spanning Tree. Nếu không có BPDU Guard, chỉ một Switch cắm nhầm cũng có thể làm thay đổi topology của toàn mạng.
Sau khi cấu hình cơ chế tự động khôi phục, chỉ cần gỡ thiết bị vi phạm ra thì cổng sẽ hoạt động trở lại mà không cần cấu hình lại.
Bước 5: Root Guard – Ngăn Switch khác chiếm quyền Root Bridge
Phần cuối của bài lab là Root Guard.
Mình thử cấu hình một Switch khác có Priority thấp hơn để xem liệu nó có thể trở thành Root Bridge hay không.
Nếu không bật Root Guard thì đúng như dự đoán, Switch mới có thể thay đổi cấu trúc Spanning Tree.
Tuy nhiên, sau khi kích hoạt Root Guard trên cổng kết nối, interface chuyển sang trạng thái Root-Inconsistent thay vì cho phép BPDU tiếp tục đi qua. Khi thiết bị ngừng gửi BPDU, cổng tự động quay lại trạng thái Forwarding mà không cần can thiệp thêm.
Đây là một cơ chế rất hay vì vừa bảo vệ Root Bridge hiện tại, vừa không làm mất cấu hình của interface.
Điều mình rút ra sau bài lab
Điểm mình thích nhất ở bài thực hành này là các tính năng không đứng riêng lẻ mà bổ trợ cho nhau trong cùng một hệ thống mạng.
VTP giúp quản lý VLAN tập trung.
STP đảm bảo mạng không xảy ra loop.
Port Security kiểm soát thiết bị đầu cuối.
SPAN hỗ trợ phân tích và xử lý sự cố.
BPDU Guard bảo vệ Access Port khỏi các Switch không mong muốn.
Root Guard giữ ổn định Root Bridge của toàn hệ thống.
Nếu chỉ học lý thuyết, những khái niệm này khá khó hình dung. Nhưng khi tự cấu hình, tạo tình huống vi phạm rồi quan sát kết quả bằng các lệnh kiểm tra, mình mới hiểu rõ cách Cisco Switch phản ứng trong từng trường hợp.
Đây là một bài lab rất đáng thực hành cho những bạn đang học CCNA hoặc chuẩn bị lên CCNP ENCOR, bởi hầu hết các tính năng này đều xuất hiện rất nhiều trong hệ thống mạng doanh nghiệp thực tế.
Lab mình thực hiện gồm 3 Cisco Switch kết nối với nhau bằng đường trunk, kết hợp triển khai VTP, Spanning Tree và các tính năng bảo mật Layer 2 như Port Security, SPAN, BPDU Guard và Root Guard. Mỗi phần đều được mình kiểm tra bằng các lệnh show để quan sát sự thay đổi của Switch thay vì chỉ cấu hình rồi chuyển sang bước tiếp theo.
Bước 1: Đồng bộ VLAN bằng VTP và cấu hình STP
Mình bắt đầu bằng việc cấu hình các đường kết nối giữa ba Switch ở chế độ 802.1Q Trunk, đồng thời tắt DTP để tránh việc các cổng tự động thương lượng.
Sau đó, SW1 được cấu hình làm VTP Server, còn SW2 và SW3 là VTP Client. Chỉ cần tạo VLAN 10 và VLAN 20 trên SW1, vài giây sau mình kiểm tra lại bằng show vlan brief thì toàn bộ VLAN đã tự động xuất hiện trên hai Switch còn lại.
Tiếp theo là cấu hình Spanning Tree. Thay vì để mặc định, mình chia Root Bridge cho từng VLAN:
VLAN 10: SW1 là Primary Root.
VLAN 20: SW2 là Primary Root.
Khi chạy show spanning-tree, mình thấy mỗi VLAN đều có Root Bridge đúng như thiết kế. Điều này giúp cân bằng lưu lượng và cũng là cách triển khai khá phổ biến trong mạng doanh nghiệp.
Bước 2: Thử nghiệm Port Security – Chỉ cho phép đúng thiết bị được kết nối
Đây là phần mình thích nhất vì có thể nhìn thấy ngay kết quả sau mỗi lần thử.
Đầu tiên, mình cấu hình Port Security trên cổng kết nối với PC và giới hạn tối đa 1 địa chỉ MAC. Sau khi cắm PC đầu tiên, Switch học MAC bình thường. Tuy nhiên, khi rút dây và thay bằng một máy khác, cổng lập tức chuyển sang trạng thái err-disabled.
Kiểm tra bằng show port-security, mình thấy bộ đếm vi phạm tăng lên và interface đã bị khóa đúng như cấu hình.
Sau đó mình thử lại với chế độ Sticky MAC kết hợp Violation Restrict. Lần này Switch vẫn chặn thiết bị lạ nhưng không shutdown cổng. Thay vào đó, Switch ghi nhận vi phạm và tiếp tục duy trì hoạt động của interface.
Qua hai lần thử, mình hiểu rõ sự khác nhau giữa các chế độ Shutdown và Restrict. Trong môi trường doanh nghiệp, việc chọn chế độ nào sẽ phụ thuộc vào mức độ bảo mật cũng như yêu cầu vận hành của hệ thống.
Bước 3: Sử dụng SPAN để theo dõi lưu lượng mạng
Nếu Port Security giúp bảo vệ Access Port thì SPAN (Switched Port Analyzer) lại là công cụ rất hữu ích khi cần phân tích lưu lượng.
Trong bài lab, mình cấu hình một cổng làm Source Port và một cổng khác làm Destination Port. Sau đó cắm máy tính chạy Wireshark vào cổng Destination.
Ngay khi gửi Ping hoặc truyền dữ liệu qua Source Port, toàn bộ lưu lượng đều được mirror sang máy phân tích. Đây là tính năng mình thấy cực kỳ hữu ích khi xử lý sự cố, kiểm tra ứng dụng hoặc phân tích các gói tin trong mạng.
Kiểm tra bằng show monitor session, mình có thể xác nhận phiên SPAN đã hoạt động đúng và lưu lượng được sao chép chính xác.
Bước 4: Kiểm tra BPDU Guard – Bảo vệ Access Port
Một tình huống khá thực tế là người dùng tự ý cắm thêm một Switch nhỏ vào ổ mạng trong văn phòng.
Để mô phỏng điều này, mình bật PortFast và BPDU Guard trên Access Port, sau đó kết nối thêm một Switch khác.
Kết quả xảy ra gần như ngay lập tức. Khi Switch mới gửi BPDU đầu tiên, interface chuyển sang trạng thái err-disabled và ngừng hoạt động.
Ban đầu mình khá bất ngờ vì cổng bị shutdown nhanh như vậy, nhưng sau khi tìm hiểu mới hiểu đây chính là cơ chế Cisco sử dụng để bảo vệ Spanning Tree. Nếu không có BPDU Guard, chỉ một Switch cắm nhầm cũng có thể làm thay đổi topology của toàn mạng.
Sau khi cấu hình cơ chế tự động khôi phục, chỉ cần gỡ thiết bị vi phạm ra thì cổng sẽ hoạt động trở lại mà không cần cấu hình lại.
Bước 5: Root Guard – Ngăn Switch khác chiếm quyền Root Bridge
Phần cuối của bài lab là Root Guard.
Mình thử cấu hình một Switch khác có Priority thấp hơn để xem liệu nó có thể trở thành Root Bridge hay không.
Nếu không bật Root Guard thì đúng như dự đoán, Switch mới có thể thay đổi cấu trúc Spanning Tree.
Tuy nhiên, sau khi kích hoạt Root Guard trên cổng kết nối, interface chuyển sang trạng thái Root-Inconsistent thay vì cho phép BPDU tiếp tục đi qua. Khi thiết bị ngừng gửi BPDU, cổng tự động quay lại trạng thái Forwarding mà không cần can thiệp thêm.
Đây là một cơ chế rất hay vì vừa bảo vệ Root Bridge hiện tại, vừa không làm mất cấu hình của interface.
Điều mình rút ra sau bài lab
Điểm mình thích nhất ở bài thực hành này là các tính năng không đứng riêng lẻ mà bổ trợ cho nhau trong cùng một hệ thống mạng.
VTP giúp quản lý VLAN tập trung.
STP đảm bảo mạng không xảy ra loop.
Port Security kiểm soát thiết bị đầu cuối.
SPAN hỗ trợ phân tích và xử lý sự cố.
BPDU Guard bảo vệ Access Port khỏi các Switch không mong muốn.
Root Guard giữ ổn định Root Bridge của toàn hệ thống.
Nếu chỉ học lý thuyết, những khái niệm này khá khó hình dung. Nhưng khi tự cấu hình, tạo tình huống vi phạm rồi quan sát kết quả bằng các lệnh kiểm tra, mình mới hiểu rõ cách Cisco Switch phản ứng trong từng trường hợp.
Đây là một bài lab rất đáng thực hành cho những bạn đang học CCNA hoặc chuẩn bị lên CCNP ENCOR, bởi hầu hết các tính năng này đều xuất hiện rất nhiều trong hệ thống mạng doanh nghiệp thực tế.
Attached Files