Lab 010 - Restricting VLANs on Trunks

          ခရီးေတြဆက္တိုက္ျဖစ္ေနေတာ့ စာတင္တာနည္းနည္းေလး က်ဲသြားတယ္။ ေဆာရီပါလို႕ ေတာင္းပန္ ပါရေစ။ ဒီေန႕ကၽြန္ေတာ္ေျပာမွာကေတာ့ Trunk ေပၚမွာ ဘယ္ VLAN ေတြကိုပဲ ေပးသြားမယ္ဆိုတဲ့ command အေၾကာင္းကိုေျပာျပေပးပါမယ္။ ဒီေတာ့ ဘာ့ေၾကာင့္ trunk ေတြေပၚမွာ vlan ေတြကို ကန္႕သန္႕ရသလဲေပါ့။ ဘာ့ေၾကာင့္လဲဆိုေတာ့ ပံုမွန္အားျဖင့္ switch ႏွစ္ခုအၾကား trunk link ကို on လိုက္ၿပီဆိုရင္ အဲဒီ trunk ေပၚမွာ VLAN 1 ကေန 1005 အထိကို အလိုေလွ်ာက္ ျဖတ္သန္းခြင့္ေပးမွာျဖစ္ပါတယ္။ ဒီေတာ့ အခ်ိဳ႕က trunk ေပၚမွာ VLAN ေတြအမ်ားႀကီး ထားလိုက္ရင္ bandwidth ကိုထိခိုက္ႏိုင္တယ္၊ security အရလည္းအားနည္း ခ်က္ေတြျဖစ္ေပၚေစတယ္လို႕ေျပာတယ္။ server site network ဘက္ကလည္း STP က မလိုအပ္တဲ့ VLAN ေတြကိုပါတြက္ခ်က္ေနရလို႕ process ပိုတယ္လို႕ေျပာၾကတယ္။ ဘာေတြပဲျဖစ္ျဖစ္ေပါ့ဗ်ာ cisco engineer တစ္ေယာက္အေနနဲ႕ မလိုအပ္တဲ့ VLAN ေတြကို restrict လုပ္ျခင္းဟာ သိထားသင့္တဲ့ topic တစ္ခုပဲျဖစ္ပါ တယ္။ အိုေခ ဒီေတာ့ trunk link အေပၚမွာ ဘယ္ VLAN ကိုပဲ သြားခြင့္ေပးမယ္ဆိုတာကို သတ္မွတ္ေပးရေအာင္။ ေအာက္က topology ကိုၾကည့္ပါ။

         

          ပံုမွာ ကၽြန္ေတာ္ vlan 3 ခုတည္ေဆာက္ထားတယ္။ ပံုမွန္ဆိုရင္ switch ႏွစ္လံုးမွာရွိတဲ့ VLAN တူတဲ့ PC ေတြသည္ အခ်င္းခ်င္း ping လို႕ရေနမယ္။ ဘာျဖစ္လို႕လည္းဆိုေတာ့ switch ႏွစ္လံုးၾကားထဲက trunk link ဟာ VLAN အားလံုးကိုျဖတ္သန္းခြင့္ျပဳထားလို႕ပဲျဖစ္ပါတယ္။ ဒါကို ကၽြန္ေတာ္ေအာက္မွာၾကည့္ျပထားပါတယ္။

          ပံုမွာေတြ႕တဲ့အတိုင္း vlan allowed on trunk ဆိုတဲ့ေအာက္မွာ 1-1005 ဆိုတာကိုေတြ႕ရမွာျဖစ္ပါ တယ္။ ဒါက ဘာကိုေျပာတာလဲဆိုေတာ့ ရွိသမွ် vlan အားလံုးကို ခြင့္ျပဳထားတယ္ဆိုတာကို ေျပာတာျဖစ္ပါ တယ္။ ဒီေတာ့ ကၽြန္ေတာ္တို႕က အဲဒီ trunk link ေပၚမွာ VLAN အားလံုးကို သြားခြင့္မေပးေတာ့ဘူး။ VLAN 10 ကိုပဲ ခြင့္ျပဳေတာ့မွာျဖစ္ပါတယ္။ ဒီေတာ့ result အေနနဲ႕ဘာျဖစ္လာမလဲဆိုေတာ့ vlan 10 ထဲကိုထည့္ထားတဲ့ PC ေတြကိုသာလွ်င္ trunk က သယ္ေဆာင္ေပးေတာ့မွာျဖစ္ပါတယ္။ ဒီေတာ့ က်န္တဲ့ vlan ထဲက PC ေတြဟာ connection ရေတာ့မွာမဟုတ္ေတာ့ပါဘူး။ အိုေခ လုပ္ရမယ့္ step ေတြကိုေျပာျပမယ္။

Step 1) ပံုမွာျပထားတဲ့အတိုင္း topology ကိုတည္ေဆာက္မယ္။

Step 2) ip address ေတြကိုေပးမယ္။ vlan ေတြတည္ေဆာက္မယ္။ ေနာက္ၿပီး switch 2 ကို VTP SERVER အျဖစ္ထားမယ္၊ switch 3 ကိုေတာ့ VTP CLIENT အျဖစ္ထားမယ္။ VTP domain name ကို techgate.com လို႕ေပးလိုက္မယ္။ VTP password ကိုေတာ့ cisco လို႕ေပးမယ္။

Step 3) အေနနဲ႕ကေတာ့ switch ႏွစ္လံုးၾကား link ကို trunk link on ေပးမယ္။ ၿပီးေတာ့ PC နဲ႕ခ်ိတ္ဆက္ထားတဲ့ port ေတြကို သက္ဆိုင္ရာ VLAN ေတြထဲကိုထည့္မယ္။

Step 4) ေနာက္ဆံုးအေနနဲ႕ trunk link ေပၚမွာ VLAN 10 ကိုပဲ allow လုပ္ၿပီး က်န္တဲ့ VLAN ေတြကို restrict လုပ္မယ္။ အားလံုးၿပီးၿပီဆိုရင္ေတာ့ VLAN 10 ထဲကိုေရာက္ေနတဲ့ PC ေတြသာလွ်င္ ping လို႕ရေတာ့မွာျဖစ္ပါတ ယ္။ က်န္တဲ့ VLAN 20 နဲ႕ 30 ထဲက PC ေတြကေတာ့ ping လို႕ရေတာ့မွာမဟုတ္ပါဘူး။ ဘာျဖစ္လို႕လည္းဆိုေ တာ့ trunk link သည္ VLAN 10 ကိုသာလွ်င္ allow လုပ္လို႕ျဖစ္ပါတယ္။

          ဒီေတာ့ step 1,2,3 ေတြကို မေျပာေတာ့ဘူးေနာ္။ ကၽြမ္းေနၿပီမဟုတ္လား။ J ဒီေတာ့ ဒီ lab ရဲ႕ အဓိကအပိုင္းျဖစ္တဲ့ step 4 ကိုပဲ ကၽြန္ေတာ္ configure လုပ္ျပပါမယ္။ 

step 4 မွာရိုက္ရမယ့္ command ေတြကေတာ့

Switch 2 နဲ႕ switch 3 ႏွစ္လံုးစလံုးမွာ

()# switchport trunk allowed vlan 10

ဒီလိုလုပ္ၿပီးတဲ့အခါမွာ #show interface trunk ဆိုတဲ့ command နဲ႕ၾကည့္ရင္ ေအာက္ပါအတုိင္း vlan allowed မွာ 10 ကိုပဲေတြ႕ရေတာ့မွာျဖစ္ပါတယ္။

ဒီလိုဆိုရင္ေတာ့ ကၽြန္ေတာ္တို႕ lab ဟာၿပီးဆံုးၿပီျဖစ္ပါတယ္။ အခက္ေတြ႕ေနမွာစိုးတဲ့အတြက္ ကၽြန္ေတာ္ lab file ကိုပါေအာက္မွာ တင္ေပးထားပါတယ္။ show run ဆိုတဲ့ command ကိုသံုးၿပီး ကၽြန္ေတာ္ configured လုပ္ထားတာေတြကိုၾကည့္ႏိုင္ပါတယ္။

Lab 10 - restricting VLANs on Trunk