BAB 6: VIRTUAL LANS (VLANS) Reza Aditya Firdaus
Cisco Certified Network Associate R&S
Masalah pada Design Jaringan
Failure Domain yang tak terbatas Broadcast Domain yang besar Banyaknya trafik MAC unicast yang tidak diketahui Trafik muticast yang tak terbatas Sulit dalam pemeliharaan Kemungkinan kelemahan keamanan
Virtual LAN (VLAN)
Definisi: Sebuah Logical Group dari Network user dan resources yang terhubung ke port switch secara administrative Dapat
memperkecil Broadcast Domain Pengelompokan berdasarkan: Lokasi
Fungsi Departemen
Aplikasi
atau protokol
Fitur dari VLAN Segmentation Flexibility Security
VLAN = Broadcast Domain = Logical Network (Subnet)
Switch dengan 3 Broadcast Domain
LAN Terhubung ke Router
VLAN pengganti batas fisik
Operasi pada VLAN
Operasi pada VLAN
Setiap Logical VLAN seperti sebuah Physical Bridge yang terpisah VLAN dapat menjangkau hingga beberapa Switch Trunk dapat membawa beberapa VLAN Trunk menggunakan enkapsulasi khusus untuk membedakan antar VLAN yang berbeda
VLAN Memberships
Static VLAN Merupakan metode yang biasa digunakan dalam membuat VLAN Lebih aman, karena VLAN dibuat secara manual oleh admin.
Dynamic VLAN Pemberian VLAN pada Node (port) secara otomatis dengan autentikasi MAC Address, Protocol, alamat network, dll VLAN Management Policy Server (VMPS) akan melakukan pemetaan (mapping) dari database MAC Address untuk pemberian VLAN.
VLAN Memberships
Static VLANs
Dynamic VLANs
Identifikasi VLAN
Access Link Sebuah
link yang merupakan bagian dari satu VLAN
Trunk Link Membawa
beberapa VLAN
Frame Tagging
Sebuah cara melacak pengguna atau Frame saat mereka melakukan perjalanan pada Switch Identifikasi
user berdasarkan VLAN ID yang diberikan VLAN ID akan dihapus sebelum keluar Trunk Link dan Access Link
Frame Tagging
Metode VLAN Identifikasi
Inter-Switch Link (ISL) Merupakan
Cisco Proprietary Bekerja hanya pada Fast Ethernet dan Gigabit Ethernet
IEEE 802.1Q Dibuat
oleh IEEE sebagai metode standar Frame Tagging Digunakan untuk trunking antara Cisco dan Non-Cisco Switch
Inter-Switch Link Protocol (ISL)
802.1Q Trunking
Native VLAN
VLAN Trunking Protocol (VTP)
Tujuan: Untuk memanage semua VLAN yang telah dikonfigurasi melalui sebuah Switch dan dipelihara secara konsisten
Memungkinkan Adminstrator untuk menambah, menghapus, dan mengganti nama VLAN
Manfaat: Konfigurasi VLAN yang konsisten Mengizinkan trunking melalui mix network Penelusuran akurat Pelaporan yang dinamis Plug-and-Play
Sebuah VTP server harus di buat untuk memanage VLAN.
Fitur VTP
Mode VTP Secara default terkonfigurasi pada switch Minimum satu server untuk satu VTP Domain Bisa membuat perubahan VLAN
Mengirim dan mem-forward VTP Advertisement Konfigurasi disimpan di NVRAM
Synchronizes Tidak bisa membuat perubahan VLAN
Bisa membuat perubahan VLAN untuk lokal saja
Menerima VTP Adversitement
Mem-forward VTP advertisement
Konfigurasi tidak disimpan di NVRAM
Konfigurasi disimpan pada NVRAM
Synchronizes
synchronize
Operasi pada VTP
VTP Advertisement dikirim sebagai Multicast Frame VTP server dan Client akan tersinkronisasi VTP Advertisement dikirim setiap 5 menit atau ketika terjadi perubahan
VTP Pruning
VTP pruning adalah fitur yang Anda gunakan untuk menghilangkan atau memangkas lalu lintas trafik yang tidak perlu
Contoh VTP Pruning: Tanpa Pruning
Pada gambar dibawah ini sebuah switch tanpa VTP Pruning diaktifkan. Port 1 pada Switch A dan port 2 pada Switch D diset sebagai RED VLAN. Jika Broadcast dikirim dari host yang terhubung ke Switch A, maka Switch A akan mengalirkan Broadcast dan setiap Switch di jaringan akan menerimanya, meskipun Switch C, E, dan F portnya tidak diset sebagai RED VLAN
Contoh VTP Pruning: Menggunakan Pruning
Broadcast traffic dari Switch A tidak akan di forward ke switch C, E, dan F karena trafik untuk RED VLAN sudah di pangkas pada link yang terlihat di gambar
Konfigurasi VLAN dan Trunk 1. 2.
3.
4.
5.
6.
Configurasi dan Verifikasi VTP Configurasi dan Verifikasi 802.1Q Trunk Buat dan modifikasi sebuah VLAN pada VTP Server Switch Terapkan Switch Port ke sebuah VLAN dan verifikasi Eksekusi penambahan, pemindahan, dan penggantian pada Server Switch jika diperlukan Simpan konfigurasi VLAN
Cara Konfigurasi VTP
VTP secara default pada Cisco Catalyst Switch:
Nama VTP Domain: None VTP Mode: Server Mode VTP Pruning: Enable atau Disable (tergantung Model) VTP Password: Null VTP Version: Version 1
Sebuah switch dapat secara otomatis menjadi bagian dari domain ketika menerima advertisement dari sebuah server Sebuah VTP Client dapat menghapus sebuah VTP Server Database jika client memiliki Revision Number lebih tinggi Sebuah Domain Name tidak dapat dihapus setelah di buat, itu hanya bisa di ganti.
Membuat VTP Domain SwitchX# configure terminal SwitchX(config)# vtp mode [ server | client | transparent ] SwitchX(config)# vtp domain domain-name SwitchX(config)# vtp password password SwitchX(config)# vtp pruning SwitchX(config)# end
Contoh: Konfigurasi dan Verifikasi VTP SwitchX(config)# vtp domain ICND Changing VTP domain name to ICND SwitchX(config)# vtp mode transparent Setting device to VTP TRANSPARENT mode. SwitchX(config)# end SwitchX# show vtp status VTP Version : 2 Configuration Revision : 0 Maximum VLANs supported locally : 64 Number of existing VLANs : 17 VTP Operating Mode : Transparent VTP Domain Name : ICND VTP Pruning Mode : Disabled VTP V2 Mode : Disabled VTP Traps Generation : Disabled MD5 digest : 0x7D 0x6E 0x5E 0x3D 0xAF 0xA0 0x2F 0xAA Configuration last modified by 10.1.1.4 at 3-3-93 20:08:05 SwitchX#
Review 802.1Q Trunking
Pastikan bahwa Native VLAN untuk 802.1Q Trunk sama untuk kedua sisi Trunk Link Pastikan Native VLAN Frame adalah untagged Sebuah Trunk Port tidak dapat menjadi Secure Port Semua 802.1Q Trunking Port pada sebuah EtherChannel Group harus memiliki konfigurasi yang sama
Konfigurasi 802.1Q Trunking SwitchX(config-if)#
switchport mode {access |
dynamic {auto | desirable} | trunk}
Konfigurasi Trunking karakteristik sebuah port
SwitchX(config-if)#
switchport mode trunk
Konfigurasi Port sebagai sebuah VLAN Trunk
Verifikasi Konfigurasi Trunk SwitchX# show interfaces interface [switchport | trunk] SwitchX# show interfaces fa0/11 switchport Name: Fa0/11 Switchport: Enabled Administrative Mode: trunk Operational Mode: down Administrative Trunking Encapsulation: dot1q Negotiation of Trunking: On Access Mode VLAN: 1 (default) Trunking Native Mode VLAN: 1 (default) . . . SwitchX# show interfaces fa0/11 trunk Port Fa0/11 Port Fa0/11 Port Fa0/11
Mode desirable
Encapsulation 802.1q
Status trunking
Native vlan 1
Vlans allowed on trunk 1-4094 Vlans allowed and active in management domain 1-13
Cara konfigurasi VLAN
Maksimum jumlah VLAN tergantung jenis Switch Umumnya Cisco Catalyst Switch mendukung 128 Spanning Tree Instance yang terpisah (satu per VLAN) VLAN 1 dalah default pada Ethernet VLAN CDP dan VTP Advertisement dikirim ke VLAN 1 IP Address dari Cisco Caltalyst Switch ada pada Management VLAN (VLAN 1) Jika menggunakan VTP, Switch harus menjadi VTP Server atau Transparent Mode untuk bisa menambah dan menghapus VLAN.
Cara Menambah dan Verifikasi VLAN SwitchX# configure terminal SwitchX(config)# vlan 2 SwitchX(config-vlan)# name switchlab99 SwitchX# show vlan [brief | id vlan-id || name vlan-name]
SwitchX# show vlan id 2 VLAN Name Status Ports ---- -------------------------------- --------- ------------------------------2 switchlab99 active Fa0/2, Fa0/12 VLAN Type SAID MTU Parent RingNo BridgeNo Stp BrdgMode Trans1 Trans2 ---- ----- ---------- ----- ------ ------ -------- ---- -------- ------ -----2 enet 100002 1500 0 0 . . . SwitchX#
Menerapkan Switch Port ke sebuah VLAN SwitchX(config-if)#switchport access [vlan vlan# | dynamic]
SwitchX# configure terminal SwitchX(config)# interface range fastethernet 0/2 - 4 SwitchX(config-if)# switchport access vlan 2 SwitchX# show vlan VLAN ---1 2
Name Status Ports -------------------------------- --------- ---------------------default active Fa0/1 switchlab99 active Fa0/2, Fa0/3, Fa0/4
Verifikasi VLAN Membership SwitchX# show vlan brief SwitchX# show vlan brief VLAN Name ---- -------------------------------1 default 2 switchlab99 3 vlan3 4 vlan4 1002 fddi-default 1003 token-ring-default
Status --------active active active active act/unsup act/unsup
VLAN ---1004 1005
Status Ports --------- ------------------------------act/unsup act/unsup
Name -------------------------------fddinet-default trnet-default
Ports ------------------------------Fa0/1 Fa0/2, Fa0/3, Fa0/4
Verifikasi VLAN Membership SwitchX(config-if)#show interfaces interface switchport
SwitchX# show interfaces fa0/2 switchport Name: Fa0/2 Switchport: Enabled Administrative Mode: dynamic auto Operational Mode: static access Administrative Trunking Encapsulation: dot1q Operational Trunking Encapsulation: native Negotiation of Trunking: On Access Mode VLAN: 2 (switchlab99) Trunking Native Mode VLAN: 1 (default) --- output omitted ----
Penambahan, Pemindahan, dan Penggantian VLAN
Ketika menggunakan VTP, Switch harus menjadi VTP Server atau Transparent Mode untuk bisa menambah, mengganti, atau menghapus VLAN Ketika anda membuat perubahan VLAN dari Switch VTP Server, maka perubahan akan dipropagasikan ke switch lain yang berada pada VTP Domain Penggantian VLAN biasanya akibat ada perubahan pada IP Network Ketika anda menghapus VLAN, setiap port pada VLAN yang tidak dipindahkan ke active VLAN tidak akan mampu berkomunikasi dengan PC lain.
Inter-VLAN routing
Pada awalnya untuk merutekan trafik antar VLAN pada sebuah jaringan non-VLAN-Trunk. Maka sebuah Router harus terhubung ke masing masing VLAN
Masalah dan Solusi Inter-VLAN
Kebutuhan perangkat End-User untuk menemukan Host yang berada di Luar VLANnya. Kebutuhan Host untuk berkomunikasi dengan VLAN lainnya. Untuk memindahkan trafik dari satu VLAN ke VLAN lainnya harus melalui sebuah Router
Interface Logic dan Fisik
Memisahkan Interface Fisik kedalam Sub-Interface
Setiap VLAN akan memiliki IP Network dan Subnet sendiri setelah dibuat Sub Interface
Konfigurasi Inter-VLAN Routing Sydney Sydney Sydney Sydney
(config)#interface FastEthernet 0/0.1 (config-subif)#description Management VLAN1 (config-subif)#encapsulation dot1q 1 (config-subif)#ip address 192.168.1.1 255.255.255.0
Sydney Sydney Sydney Sydney
(config)#interface FastEthernet 0/0.2 (config-subif)#description Accounting VLAN2 (config-subif)#encapsulation dot1q 2 (config-subif)#ip address 192.168.2.1 255.255.255.0
Sydney Sydney Sydney Sydney
(config)#interface FastEthernet 0/0.3 (config-subif)#description Accounting VLAN3 (config-subif)#encapsulation dot1q 3 (config-subif)#ip address 192.168.3.1 255.255.255.0
Contoh #1 Inter-VLAN Routing
2960#config t 2960(config)#interface fa0/1 2960(config-if)#switchport mode trunk
Contoh #2 Inter-VLAN Routing
Contoh #2 Inter-VLAN Routing Konfigurasi Switch: 2960#config t 2960(config)#int f0/1 2960(config-if)#switchport 2960(config-if)#int f0/2 2960(config-if)#switchport 2960(config-if)#int f0/3 2960(config-if)#switchport 2960(config-if)#int f0/4 2960(config-if)#switchport 2960(config-if)#int f0/5 2960(config-if)#switchport 2960(config-if)#int f0/6 2960(config-if)#switchport
mode trunk access vlan 1 access vlan 1 access vlan 3
access vlan 3 access vlan 2
Contoh #2 Inter-VLAN Routing Konfigurasi Router: ISR#config t ISR(config)#int f0/0 ISR(config-if)#no ip address ISR(config-if)#no shutdown ISR(config-if)#int f0/0.1 ISR(config-subif)#encapsulation dot1q 1 ISR(config-subif)#ip address 192.168.10.17 255.255.255.240 ISR(config-subif)#int f0/0.2 ISR(config-subif)#encapsulation dot1q 2 ISR(config-subif)#ip address 192.168.10.33 255.255.255.240 ISR(config-subif)#int f0/0.3 ISR(config-subif)#encapsulation dot1q 3 ISR(config-subif)#ip address 192.168.10.49 255.255.255.240
Contoh #3 Inter-VLAN Routing 2960#config t 2960(config)#int f0/1 2960(config-if)#switchport mode trunk 2960(config-if)#int f0/2 2960(config-if)#switchport access vlan 1 2960(config-if)#int f0/3 2960(config-if)#switchport access vlan 2 ISR#config t ISR(config)#int f0/0 ISR(config-if)#no ip address ISR(config-if)#no shutdown ISR(config-if)#int f0/0.1 ISR(config-subif)#encapsulation dot1q 1 ISR(config-subif)#ip address 172.16.10.1 255.255.255.128 ISR(config-subif)#int f0/0.2 ISR(config-subif)#encapsulation dot1q 2 ISR(config-subif)#ip address 172.16.10.254 255.255.255.128
Switch Security
Beberapa ancaman pada saat instalasi fisik: Ancaman
(serangan) pada Hardware Ancaman (serangan) dari Linkungan Ancaman (serangan) dari Listrik Ancaman (serangan) pada saat pemeliharaan
Konfigurasi Password Switch
Konfigurasi Login Banner
Mendefinisikan dan mengaktifkan banner tercustomize yang akan ditunjukkan sebelum promt username dan password
SwitchX# banner motd # " Access for authorized users only. Please enter your username and password. “#
Perbandingan Telnet dan SSH
Telnet Metode
umum yang biasa digunakan untuk remote Tidak Secure
SSH-encrypted !– The username command create the username and password for the SSH session Username cisco password cisco ! ip domain-name mydomain.com ! crypto key generate rsa ! ip ssh version 2 ! line vty 0 4 login local transport input ssh
Konfigurasi Port Security
Dibawah ini adalah contoh untuk configurasi Cisco Catalyst 2960 series
SwitchX(config-if)#switchport port-security [ mac-address macaddress | mac-address sticky [mac-address] | maximum value | violation {restrict | shutdown}] SwitchX(config)#interface fa0/5 SwitchX(config-if)#switchport mode access SwitchX(config-if)#switchport port-security SwitchX(config-if)#switchport port-security maximum 1 SwitchX(config-if)#switchport port-security mac-address sticky SwitchX(config-if)#switchport port-security violation shutdown
Verifikasi Port Security pada Catalyst 2960 Series SwitchX#show port-security [interface interface-id] [address] [ | {begin | exclude | include} expression]
SwitchX#show port-security Port Security Port Status Violation Mode Aging Time Aging Type SecureStatic Address Aging Maximum MAC Addresses Total MAC Addresses Configured MAC Addresses Sticky MAC Addresses Last Source Address Security Violation Count
interface fastethernet 0/5 : Enabled : Secure-up : Shutdown : 20 mins : Absolute : Disabled : 1 : 1 : 0 : 0 : 0000.0000.0000 : 0
Verifikasi Port Security pada Catalyst 2960 Series SwitchX#sh port-security address Secure Mac Address Table ------------------------------------------------------------------Vlan Mac Address Type Ports Remaining Age (mins) --------------------------------1 0008.dddd.eeee SecureConfigured Fa0/5 ------------------------------------------------------------------Total Addresses in System (excluding one mac per port) : 0 Max Addresses limit in System (excluding one mac per port) : 1024 SwitchX#sh port-security Secure Port MaxSecureAddr CurrentAddr SecurityViolation Security Action (Count) (Count) (Count) -------------------------------------------------------------------------Fa0/5 1 1 0 Shutdown --------------------------------------------------------------------------Total Addresses in System (excluding one mac per port) : 0 Max Addresses limit in System (excluding one mac per port) : 1024
Mengamankan Port yang tidak digunakan
Port yang tidak aman dapat menciptakan sebuah lubang keamanan Sebuah Switch yang di tancapkan pada sebuah port yang tidak digunakan akan tertambah dalam jaringan Mengamankan port yang tidak digunakan dengan menon-aktifkan interface (port)
Cara Non-Aktifkan Interface (port)
Untuk menon-aktifkan interface, menggunakan perintah shutdown pada interface configuration mode Untuk mengaktifkannya anda tinggal ketik perintah no shutdown dari mode yang sama
SwitchX(config-if)#shutdown
TERIMA KASIH
