مقدمه

با گسترش شبکه‌های رایانه‌ای و افزایش تعداد کاربران، تجهیزات شبکه نیز به‌صورت چشمگیری پیشرفته‌تر شده‌اند. یکی از مهم‌ترین این تجهیزات، سوئیچ لایه سه (Layer 3 Switch) است که قابلیت‌های یک سوئیچ لایه دو را با امکانات مسیریابی (Routing) در لایه شبکه ترکیب می‌کند. این ویژگی باعث شده است که سوئیچ‌های لایه سه به یکی از اجزای اصلی شبکه‌های سازمانی، مراکز داده و زیرساخت‌های بزرگ تبدیل شوند.

در گذشته برای برقراری ارتباط بین شبکه‌های مختلف یا VLANها از روتر استفاده می‌شد، اما امروزه سوئیچ‌های لایه سه با بهره‌گیری از سخت‌افزارهای قدرتمند و پردازنده‌های اختصاصی، عملیات مسیریابی را با سرعت بسیار بالا انجام می‌دهند. به همین دلیل، علاوه بر کاهش تأخیر در انتقال داده‌ها، عملکرد کلی شبکه نیز بهبود می‌یابد.

سوئیچ‌های لایه سه سیسکو با استفاده از سیستم‌عامل Cisco IOS مجموعه‌ای گسترده از قابلیت‌ها را در اختیار مدیران شبکه قرار می‌دهند. امکاناتی مانند مسیریابی ایستا و پویا، مسیریابی بین VLANها (Inter-VLAN Routing)، ایجاد لیست‌های کنترل دسترسی (ACL)، مدیریت ترافیک، افزونگی و بسیاری از قابلیت‌های امنیتی، این تجهیزات را به انتخابی مناسب برای شبکه‌های متوسط و بزرگ تبدیل کرده است.

در این فصل ابتدا با مفهوم سوئیچ لایه سه و تفاوت آن با سوئیچ لایه دو آشنا خواهید شد. سپس مزایا، قابلیت‌ها و کاربردهای این نوع سوئیچ در شبکه‌های امروزی بررسی می‌شود تا دید مناسبی نسبت به نقش آن در طراحی و پیاده‌سازی شبکه‌های حرفه‌ای به دست آورید.

معرفی سوئیچ لایه سه سیسکو

سوئیچ لایه سه (Layer 3 Switch) دستگاهی است که علاوه بر انجام وظایف سوئیچینگ در لایه دوم مدل OSI، قادر است عملیات مسیریابی در لایه سوم را نیز انجام دهد. این دستگاه می‌تواند بسته‌های IP را میان شبکه‌ها یا VLANهای مختلف هدایت کند، بدون آنکه برای این کار به یک روتر مجزا نیاز باشد.

سوئیچ‌های لایه سه سیسکو از جدول‌های مسیریابی (Routing Table)، پروتکل‌های مسیریابی و رابط‌های منطقی (SVI) برای انتقال داده‌ها استفاده می‌کنند و به دلیل بهره‌گیری از پردازش سخت‌افزاری (Hardware-Based Forwarding)، سرعت بسیار بیشتری نسبت به روترهای سنتی در محیط‌های LAN ارائه می‌دهند.

تفاوت سوئیچ لایه دو و لایه سه

سوئیچ لایه دو تنها بر اساس آدرس MAC فریم‌ها را در یک شبکه محلی جابه‌جا می‌کند و امکان برقراری ارتباط مستقیم بین VLANهای مختلف را ندارد. در مقابل، سوئیچ لایه سه علاوه بر استفاده از آدرس MAC، از آدرس‌های IP نیز برای مسیریابی بسته‌ها بهره می‌گیرد و قادر است ارتباط بین شبکه‌های مختلف را برقرار کند.

به بیان ساده، سوئیچ لایه دو برای انتقال داده در داخل یک VLAN مناسب است، در حالی که سوئیچ لایه سه علاوه بر این وظیفه، ارتباط بین VLANها و شبکه‌های مختلف را نیز برقرار می‌کند. به همین دلیل، در شبکه‌های سازمانی معمولاً از سوئیچ‌های لایه سه در لایه توزیع (Distribution Layer) یا هسته (Core Layer) استفاده می‌شود.

مزایا و کاربردهای سوئیچ لایه سه

استفاده از سوئیچ لایه سه مزایای متعددی به همراه دارد که از مهم‌ترین آن‌ها می‌توان به افزایش سرعت مسیریابی، کاهش تأخیر، حذف نیاز به روتر مجزا برای ارتباط بین VLANها، مدیریت ساده‌تر شبکه و مقیاس‌پذیری بیشتر اشاره کرد.

این تجهیزات در سازمان‌ها، دانشگاه‌ها، مراکز داده، شرکت‌های بزرگ، بانک‌ها، بیمارستان‌ها و سایر شبکه‌هایی که دارای چندین VLAN یا زیرشبکه هستند، کاربرد گسترده‌ای دارند. همچنین با پشتیبانی از پروتکل‌های مسیریابی مانند OSPF، EIGRP و RIP، امکان طراحی شبکه‌های بزرگ و پیچیده را فراهم می‌کنند.

در ادامه این کتاب، تمامی مراحل پیکربندی سوئیچ لایه سه سیسکو، از تنظیمات اولیه تا راه‌اندازی قابلیت‌های پیشرفته، همراه با دستورات Cisco IOS و مثال‌های عملی به‌صورت گام‌به‌گام آموزش داده خواهد شد.

آشنایی با معماری سوئیچ لایه سه

سوئیچ لایه سه (Layer 3 Switch) یکی از تجهیزات پیشرفته شبکه است که قابلیت‌های سوئیچینگ در لایه دوم و مسیریابی در لایه سوم مدل OSI را به‌صورت هم‌زمان ارائه می‌دهد. این دستگاه با ترکیب عملکرد یک سوئیچ و یک روتر، امکان انتقال سریع داده‌ها در شبکه‌های محلی و همچنین برقراری ارتباط میان شبکه‌ها و VLANهای مختلف را فراهم می‌کند.

برخلاف روترهای سنتی که بخش زیادی از عملیات مسیریابی را توسط پردازنده مرکزی (CPU) انجام می‌دهند، سوئیچ‌های لایه سه سیسکو از تراشه‌های اختصاصی (ASIC) برای پردازش بسته‌ها استفاده می‌کنند. این معماری باعث می‌شود عملیات مسیریابی با سرعتی نزدیک به سرعت سوئیچینگ انجام شود و تأخیر انتقال داده‌ها به حداقل برسد.

نحوه عملکرد سوئیچ لایه سه

سوئیچ لایه سه هنگام دریافت یک فریم اترنت، ابتدا اطلاعات لایه دوم را بررسی می‌کند. اگر مقصد در همان VLAN قرار داشته باشد، فریم تنها بر اساس جدول آدرس‌های MAC (MAC Address Table) به پورت مناسب ارسال می‌شود. این فرآیند همان سوئیچینگ لایه دوم است.

اما اگر مقصد در یک VLAN یا شبکه دیگر باشد، سوئیچ وارد فرآیند مسیریابی می‌شود. در این حالت، بسته IP استخراج شده و مقصد آن با استفاده از جدول مسیریابی (Routing Table) بررسی می‌شود. سپس سوئیچ بهترین مسیر را انتخاب کرده، بسته را با یک هدر لایه دوم جدید کپسوله (Encapsulate) می‌کند و آن را از رابط مناسب ارسال می‌نماید.

به‌عنوان مثال، فرض کنید یک رایانه در VLAN 10 قصد برقراری ارتباط با رایانه‌ای در VLAN 20 را دارد. مراحل انجام این ارتباط به شرح زیر است:

رایانه مبدأ بسته را به درگاه پیش‌فرض (Default Gateway) خود ارسال می‌کند.
رابط مجازی VLAN 10 (SVI) روی سوئیچ بسته را دریافت می‌کند.
سوئیچ جدول مسیریابی را بررسی کرده و مسیر مناسب به VLAN 20 را پیدا می‌کند.
در صورت نیاز، آدرس MAC مقصد از طریق پروتکل ARP به‌دست می‌آید.
بسته با هدر جدید لایه دوم ساخته شده و از طریق رابط VLAN 20 به مقصد ارسال می‌شود.

تمامی این مراحل در مدت زمانی بسیار کوتاه و عمدتاً توسط سخت‌افزار انجام می‌شود.

اجزای سخت‌افزاری سوئیچ لایه سه

سوئیچ‌های لایه سه از چندین بخش سخت‌افزاری تشکیل شده‌اند که هر یک وظیفه مشخصی را بر عهده دارند.

1. پردازنده مرکزی (CPU)

پردازنده مرکزی مسئول اجرای سیستم‌عامل Cisco IOS، پردازش دستورات مدیریتی، اجرای پروتکل‌های مسیریابی و انجام عملیات کنترلی است. در شرایط عادی، CPU مسئول ارسال مستقیم همه بسته‌های داده نیست، بلکه بیشتر وظایف مدیریتی و کنترلی را انجام می‌دهد.

2. حافظه RAM

حافظه RAM اطلاعات موقتی مانند جدول‌های مسیریابی، جدول ARP، جدول MAC، فایل‌های در حال اجرا و فرآیندهای سیستم را نگهداری می‌کند. با خاموش شدن دستگاه، اطلاعات موجود در RAM از بین می‌روند.

3. حافظه Flash

حافظه Flash محل ذخیره سیستم‌عامل Cisco IOS و فایل‌های موردنیاز دستگاه است. این حافظه غیرفرار بوده و پس از خاموش شدن دستگاه نیز اطلاعات خود را حفظ می‌کند.

4. حافظه NVRAM

پیکربندی ذخیره‌شده (Startup Configuration) در حافظه NVRAM قرار می‌گیرد. هنگام روشن شدن سوئیچ، این تنظیمات بارگذاری شده و به پیکربندی فعال (Running Configuration) تبدیل می‌شوند.

5. تراشه‌های ASIC

ASIC (Application-Specific Integrated Circuit) مهم‌ترین بخش سخت‌افزاری سوئیچ لایه سه محسوب می‌شود. این تراشه‌ها عملیات سوئیچینگ و بخش عمده‌ای از مسیریابی را به‌صورت سخت‌افزاری انجام می‌دهند. استفاده از ASIC باعث افزایش چشمگیر سرعت پردازش، کاهش بار پردازنده مرکزی و افزایش ظرفیت انتقال داده می‌شود.

6. رابط‌های شبکه (Interfaces)

رابط‌های فیزیکی دستگاه برای اتصال کاربران، سرورها و سایر تجهیزات شبکه استفاده می‌شوند. این رابط‌ها می‌توانند به‌صورت Access، Trunk یا Routed Port پیکربندی شوند.

7. گذرگاه داخلی (Switch Fabric)

Switch Fabric مسیر ارتباطی بسیار پرسرعتی است که تمامی پورت‌ها و تراشه‌های داخلی را به یکدیگر متصل می‌کند. این بخش وظیفه انتقال داده میان پورت‌ها را با حداقل تأخیر بر عهده دارد.

فرآیند سوئیچینگ و مسیریابی

عملکرد سوئیچ لایه سه را می‌توان در چند مرحله خلاصه کرد:

مرحله اول: دریافت فریم

پس از دریافت فریم، سوئیچ صحت اطلاعات لایه دوم را بررسی کرده و آدرس MAC مقصد را استخراج می‌کند.

مرحله دوم: تصمیم‌گیری

اگر مقصد در همان VLAN باشد، سوئیچ از جدول MAC استفاده کرده و فریم را مستقیماً به پورت مقصد ارسال می‌کند.

در صورتی که مقصد در شبکه دیگری قرار داشته باشد، سوئیچ وارد فرآیند مسیریابی می‌شود.

مرحله سوم: بررسی جدول مسیریابی

سوئیچ آدرس IP مقصد را با جدول Routing مقایسه می‌کند تا بهترین مسیر خروجی را پیدا کند.

مرحله چهارم: بازنویسی هدر

پس از انتخاب مسیر، هدر لایه دوم حذف شده و هدر جدیدی متناسب با شبکه مقصد ایجاد می‌شود. در این مرحله، در صورت نیاز، جدول ARP برای یافتن آدرس MAC مقصد یا گره بعدی (Next Hop) مورد استفاده قرار می‌گیرد.

مرحله پنجم: ارسال بسته

در نهایت، بسته از طریق رابط مناسب به مقصد یا روتر بعدی ارسال می‌شود.

راه‌اندازی اولیه سوئیچ

پس از نصب فیزیکی سوئیچ در رک و اتصال کابل‌های برق و شبکه، اولین مرحله، انجام پیکربندی اولیه دستگاه است. این تنظیمات، پایه و اساس مدیریت و بهره‌برداری از سوئیچ را تشکیل می‌دهند و شامل اتصال به کنسول، ورود به محیط خط فرمان (CLI)، تعیین نام دستگاه، تنظیم رمزهای عبور و ذخیره پیکربندی می‌شوند. انجام صحیح این مراحل باعث می‌شود مدیر شبکه بتواند در ادامه، تنظیمات پیشرفته مانند ایجاد VLAN، مسیریابی، امنیت و سایر قابلیت‌های سوئیچ را با اطمینان انجام دهد.

اتصال به کنسول (Console Connection)

در زمان راه‌اندازی اولیه، سوئیچ هنوز آدرس IP ندارد و امکان مدیریت آن از طریق شبکه وجود ندارد. به همین دلیل، اولین ارتباط با دستگاه از طریق پورت Console انجام می‌شود.

برای اتصال به کنسول، به تجهیزات زیر نیاز دارید:

سوئیچ سیسکو
کابل Console (USB یا RJ-45، بسته به مدل سوئیچ)
رایانه یا لپ‌تاپ
نرم‌افزار شبیه‌ساز ترمینال مانند PuTTY، Tera Term یا SecureCRT

پس از اتصال کابل Console به سوئیچ و رایانه، نرم‌افزار ترمینال را با تنظیمات زیر اجرا کنید:

پارامتر	مقدار
Speed (Baud Rate)	9600
Data Bits	8
Parity	None
Stop Bits	1
Flow Control	None

پس از برقراری ارتباط، با فشردن کلید Enter، اعلان (Prompt) سوئیچ نمایش داده می‌شود.

نمونه:

Switch>

علامت > نشان می‌دهد که کاربر در حالت User EXEC Mode قرار دارد.

ورود به محیط CLI

سیستم‌عامل Cisco IOS دارای چندین سطح دسترسی است که هرکدام برای انجام وظایف خاصی استفاده می‌شوند.

1. User EXEC Mode

این حالت پایین‌ترین سطح دسترسی است و بیشتر برای مشاهده وضعیت دستگاه استفاده می‌شود.

نمونه اعلان:

Switch>

2. Privileged EXEC Mode

برای ورود به این حالت از دستور زیر استفاده می‌شود:

Switch> enable
Switch#

در این سطح می‌توان تنظیمات دستگاه را مشاهده، فایل‌ها را مدیریت و وارد حالت پیکربندی شد.

3. Global Configuration Mode

برای ورود به حالت پیکربندی از دستور زیر استفاده کنید:

Switch# configure terminal
Switch(config)#

از این بخش می‌توان تقریباً تمامی تنظیمات سوئیچ را انجام داد.

برای خروج از این حالت:

Switch(config)# end

یا

Switch(config)# exit

تنظیم نام دستگاه (Hostname)

یکی از اولین اقدامات پس از راه‌اندازی، تغییر نام پیش‌فرض دستگاه است. انتخاب نام مناسب باعث می‌شود در شبکه‌هایی که چندین سوئیچ وجود دارد، شناسایی تجهیزات ساده‌تر باشد.

برای تغییر نام دستگاه:

Switch(config)# hostname Core-SW1

خروجی:

Core-SW1(config)#

در این مثال، نام سوئیچ به Core-SW1 تغییر یافته است.

نکات مهم در انتخاب Hostname:

از نام‌های معنادار استفاده کنید.
نام می‌تواند بیانگر محل نصب یا نقش دستگاه باشد.
از فاصله (Space) استفاده نکنید.
استفاده از حروف، اعداد و خط تیره (-) مجاز است.

نمونه نام‌های مناسب:

Core-SW1
Dist-SW01
Access-SW3
Tehran-Core
Branch1-SW

تنظیم رمزهای عبور

برای جلوگیری از دسترسی افراد غیرمجاز، باید برای بخش‌های مختلف سوئیچ رمز عبور تعریف شود.

تنظیم رمز حالت Privileged

Core-SW1(config)# enable secret Cisco@123

دستور enable secret رمز عبور را به‌صورت رمزنگاری‌شده ذخیره می‌کند و نسبت به دستور enable password امنیت بیشتری دارد.

تنظیم رمز Console

Core-SW1(config)# line console 0
Core-SW1(config-line)# password Console@123
Core-SW1(config-line)# login
Core-SW1(config-line)# exit

از این پس، هنگام اتصال از طریق کنسول، دستگاه درخواست رمز عبور خواهد کرد.

تنظیم رمز خطوط VTY (Telnet/SSH)

Core-SW1(config)# line vty 0 15
Core-SW1(config-line)# password VTY@123
Core-SW1(config-line)# login
Core-SW1(config-line)# exit

در محیط‌های عملیاتی، استفاده از SSH به جای Telnet توصیه می‌شود، زیرا SSH اطلاعات را به‌صورت رمزنگاری‌شده منتقل می‌کند.

رمزنگاری تمامی رمزهای عبور

برای جلوگیری از نمایش رمزها به‌صورت متن ساده در فایل پیکربندی، دستور زیر را اجرا کنید:

Core-SW1(config)# service password-encryption

ذخیره تنظیمات

تمامی تغییرات انجام‌شده ابتدا در حافظه RAM و در قالب Running Configuration ذخیره می‌شوند. در صورت خاموش یا راه‌اندازی مجدد دستگاه، این تنظیمات از بین خواهند رفت؛ بنابراین باید آن‌ها را در حافظه NVRAM ذخیره کرد.

برای ذخیره تنظیمات از دستور زیر استفاده کنید:

Core-SW1# copy running-config startup-config

یا به‌صورت خلاصه:

Core-SW1# write memory

در صورت موفقیت، پیغام زیر نمایش داده می‌شود:

[OK]

بررسی تنظیمات انجام‌شده

پس از پایان پیکربندی اولیه، بهتر است تنظیمات بررسی شوند.

نمایش پیکربندی جاری

Core-SW1# show running-config

نمایش پیکربندی ذخیره‌شده

Core-SW1# show startup-config

بررسی نام دستگاه

Core-SW1# show running-config | include hostname

بررسی نسخه سیستم‌عامل

Core-SW1# show version

پیکربندی اولیه شبکه

پس از انجام تنظیمات اولیه سوئیچ، مانند تعیین نام دستگاه و تنظیم رمزهای عبور، نوبت به پیکربندی تنظیمات شبکه می‌رسد. مهم‌ترین بخش این مرحله، اختصاص یک آدرس IP مدیریتی به سوئیچ است تا مدیر شبکه بتواند بدون نیاز به اتصال مستقیم از طریق پورت Console، دستگاه را از راه دور مدیریت کند.

در سوئیچ‌های سیسکو، برخلاف رایانه‌ها یا روترها، آدرس IP معمولاً به یک رابط مجازی VLAN (Switch Virtual Interface یا SVI) اختصاص داده می‌شود. این رابط برای مدیریت دستگاه مورد استفاده قرار می‌گیرد و امکان دسترسی از طریق پروتکل‌هایی مانند SSH، Telnet (در صورت فعال بودن) و SNMP را فراهم می‌کند.

اگر مدیر شبکه قصد داشته باشد سوئیچ را از شبکه‌ای خارج از VLAN مدیریتی مدیریت کند، باید علاوه بر آدرس IP، درگاه پیش‌فرض (Default Gateway) نیز پیکربندی شود تا بسته‌ها بتوانند به شبکه‌های دیگر هدایت شوند.

تنظیم آدرس IP مدیریتی

در اغلب شبکه‌ها، VLAN 1 به‌عنوان VLAN پیش‌فرض وجود دارد؛ اما از نظر امنیتی توصیه می‌شود یک VLAN اختصاصی برای مدیریت تجهیزات شبکه ایجاد شود. در این مثال، از VLAN 10 به‌عنوان VLAN مدیریتی استفاده می‌کنیم.

ابتدا VLAN موردنظر را ایجاد می‌کنیم.

Switch(config)# vlan 10
Switch(config-vlan)# name Management
Switch(config-vlan)# exit

سپس رابط مجازی VLAN را ایجاد کرده و آدرس IP را به آن اختصاص می‌دهیم.

Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.10.2 255.255.255.0
Switch(config-if)# no shutdown
Switch(config-if)# exit

در این مثال:

192.168.10.2 آدرس IP مدیریتی سوئیچ است.
255.255.255.0 ماسک شبکه است.
دستور no shutdown رابط را فعال می‌کند.

نکته: اگر هیچ پورتی در VLAN 10 فعال نباشد، رابط VLAN نیز در وضعیت Down باقی خواهد ماند. بنابراین باید حداقل یک پورت فعال به این VLAN اختصاص داده شود.

اختصاص پورت به VLAN مدیریتی

برای اینکه رابط VLAN فعال شود، یکی از پورت‌های سوئیچ را به VLAN مدیریتی اختصاص می‌دهیم.

Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# no shutdown
Switch(config-if)# exit

اکنون با اتصال یک دستگاه به این پورت، رابط VLAN 10 فعال خواهد شد.

پیکربندی درگاه پیش‌فرض (Default Gateway)

اگر مدیر شبکه از همان شبکه محلی به سوئیچ متصل شود، نیازی به تعریف Default Gateway نیست. اما اگر مدیریت سوئیچ از شبکه‌ای دیگر انجام شود، باید درگاه پیش‌فرض مشخص شود.

در سوئیچ‌های لایه دو از دستور زیر استفاده می‌شود:

Switch(config)# ip default-gateway 192.168.10.1

در این مثال، 192.168.10.1 آدرس روتر یا سوئیچ لایه سه است که ارتباط با سایر شبکه‌ها را برقرار می‌کند.

تفاوت سوئیچ لایه دو و لایه سه در تنظیم Gateway

یکی از نکات مهمی که باید به آن توجه داشت، تفاوت نحوه پیکربندی درگاه پیش‌فرض در سوئیچ‌های لایه دو و لایه سه است.

در سوئیچ لایه دو، از دستور ip default-gateway استفاده می‌شود، زیرا این نوع سوئیچ قابلیت مسیریابی ندارد و تنها برای دسترسی مدیریتی به یک درگاه پیش‌فرض نیاز دارد.

اما در سوئیچ لایه سه، پس از فعال‌سازی قابلیت مسیریابی با دستور زیر:

Switch(config)# ip routing

دستور ip default-gateway دیگر کاربردی ندارد. در این حالت، مسیر پیش‌فرض باید در جدول مسیریابی تعریف شود.

نمونه:

Switch(config)# ip route 0.0.0.0 0.0.0.0 192.168.10.1

این دستور تمامی بسته‌هایی را که مقصد آن‌ها در جدول مسیریابی وجود ندارد، به آدرس 192.168.10.1 ارسال می‌کند.

بررسی تنظیمات

پس از انجام پیکربندی، لازم است صحت تنظیمات بررسی شود.

نمایش وضعیت رابط‌های IP

Switch# show ip interface brief

نمونه خروجی:

Interface              IP-Address      Status      Protocol
Vlan10                 192.168.10.2    up          up
GigabitEthernet0/1     unassigned      up          up

اگر وضعیت Status و Protocol برابر up باشد، رابط به‌درستی فعال شده است.

مشاهده تنظیمات رابط VLAN

Switch# show running-config interface vlan 10

این دستور تنظیمات کامل رابط VLAN را نمایش می‌دهد.

بررسی VLANها

Switch# show vlan brief

در خروجی این دستور می‌توان VLANهای ایجادشده و پورت‌های عضو هر VLAN را مشاهده کرد.

بررسی جدول مسیریابی

در سوئیچ‌های لایه سه، برای مشاهده جدول مسیریابی از دستور زیر استفاده می‌شود:

Switch# show ip route

وجود مسیرهای متصل (Connected) و مسیر پیش‌فرض (Default Route) نشان‌دهنده پیکربندی صحیح مسیریابی است.

آزمایش ارتباط با دستور Ping

برای اطمینان از برقراری ارتباط شبکه، می‌توان از دستور Ping استفاده کرد.

Switch# ping 192.168.10.1

در صورت پیکربندی صحیح، پاسخ مشابه زیر دریافت می‌شود:

!!!!!
Success rate is 100 percent (5/5)

بررسی اطلاعات نسخه سیستم‌عامل

Switch# show version

این دستور اطلاعاتی مانند مدل دستگاه، نسخه Cisco IOS، میزان حافظه و مدت زمان روشن بودن دستگاه را نمایش می‌دهد.

نکات مهم

برای افزایش امنیت، از VLAN 1 به‌عنوان VLAN مدیریتی استفاده نکنید.
آدرس IP مدیریتی را از یک شبکه مشخص و مستندسازی‌شده انتخاب کنید.
در سوئیچ‌های لایه سه، پس از فعال‌سازی ip routing، از Static Route یا پروتکل‌های مسیریابی استفاده کنید و به دستور ip default-gateway اتکا نکنید.
پس از پایان پیکربندی، تنظیمات را با دستور copy running-config startup-config ذخیره کنید.
برای مدیریت از راه دور، به‌جای Telnet از SSH استفاده کنید.

مدیریت VLAN

یکی از مهم‌ترین قابلیت‌های سوئیچ‌های سیسکو، امکان ایجاد و مدیریت شبکه‌های محلی مجازی (Virtual Local Area Network یا VLAN) است. VLAN به مدیر شبکه این امکان را می‌دهد که بدون توجه به موقعیت فیزیکی کاربران، آن‌ها را در شبکه‌های منطقی مختلف قرار دهد. این قابلیت باعث افزایش امنیت، کاهش ترافیک Broadcast، بهبود عملکرد شبکه و ساده‌تر شدن مدیریت آن می‌شود.

در یک شبکه سنتی، تمام دستگاه‌های متصل به یک سوئیچ در یک دامنه Broadcast قرار دارند. در چنین شرایطی، پیام‌های Broadcast به تمام پورت‌های سوئیچ ارسال می‌شوند که می‌تواند باعث افزایش ترافیک و کاهش کارایی شبکه شود. با استفاده از VLAN، شبکه به چندین دامنه Broadcast مستقل تقسیم می‌شود و هر VLAN مانند یک شبکه مجزا عمل می‌کند.

به عنوان مثال، در یک سازمان می‌توان کاربران واحدهای مالی، منابع انسانی، فناوری اطلاعات و فروش را در VLANهای جداگانه قرار داد. در این حالت، هر واحد تنها ترافیک مربوط به شبکه خود را دریافت می‌کند و ارتباط بین VLANها تنها از طریق یک دستگاه لایه سه امکان‌پذیر خواهد بود.

مفهوم VLAN

هر VLAN دارای یک شناسه عددی (VLAN ID) است که برای شناسایی آن استفاده می‌شود. این شناسه عددی بین 1 تا 4094 قرار دارد، اگرچه همه این مقادیر برای استفاده عمومی در دسترس نیستند.

برخی از VLANهای مهم عبارت‌اند از:

VLAN ID	توضیح
1	VLAN پیش‌فرض سوئیچ
1002 تا 1005	VLANهای رزرو شده برای Token Ring و FDDI
2 تا 1001	VLANهای معمولی (Normal Range)
1006 تا 4094	VLANهای توسعه‌یافته (Extended Range)

نکته: از نظر امنیتی، توصیه می‌شود از VLAN 1 برای کاربران یا مدیریت شبکه استفاده نشود.

ایجاد VLAN

برای ایجاد یک VLAN ابتدا وارد حالت پیکربندی شده و شناسه VLAN را مشخص می‌کنیم.

در مثال زیر VLAN شماره 10 ایجاد می‌شود.

Switch(config)# vlan 10
Switch(config-vlan)# exit

با اجرای این دستور، VLAN 10 در پایگاه داده VLAN سوئیچ ایجاد می‌شود.

در صورت نیاز می‌توان چندین VLAN را نیز ایجاد کرد.

Switch(config)# vlan 10
Switch(config)# vlan 20
Switch(config)# vlan 30
Switch(config)# vlan 40

در این مثال چهار VLAN مستقل روی سوئیچ ایجاد شده است.

نام‌گذاری VLAN

برای مدیریت آسان‌تر شبکه، بهتر است برای هر VLAN یک نام مناسب انتخاب شود. این نام معمولاً بیانگر بخش یا واحد سازمانی است.

به عنوان مثال:

Switch(config)# vlan 10
Switch(config-vlan)# name Management

Switch(config)# vlan 20
Switch(config-vlan)# name Finance

Switch(config)# vlan 30
Switch(config-vlan)# name HR

Switch(config)# vlan 40
Switch(config-vlan)# name Sales

در این مثال:

VLAN 10 برای مدیریت تجهیزات
VLAN 20 برای واحد مالی
VLAN 30 برای منابع انسانی
VLAN 40 برای واحد فروش

در نظر گرفته شده است.

انتخاب نام مناسب باعث می‌شود در شبکه‌های بزرگ، شناسایی VLANها بسیار ساده‌تر باشد.

اختصاص پورت به VLAN

پس از ایجاد VLAN، باید پورت‌های موردنظر به آن اختصاص داده شوند. پورت‌هایی که تنها متعلق به یک VLAN هستند، Access Port نامیده می‌شوند.

به عنوان مثال، برای قرار دادن پورت GigabitEthernet0/5 در VLAN 20:

Switch(config)# interface GigabitEthernet0/5
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 20
Switch(config-if)# no shutdown
Switch(config-if)# exit

در این مثال:

پورت در حالت Access قرار گرفته است.
تمامی ترافیک این پورت متعلق به VLAN 20 خواهد بود.
پورت فعال شده است.

اختصاص هم‌زمان چند پورت

در بسیاری از مواقع لازم است چندین پورت به یک VLAN اختصاص داده شوند.

برای این منظور از دستور Interface Range استفاده می‌شود.

نمونه:

Switch(config)# interface range GigabitEthernet0/1-10
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 20
Switch(config-if-range)# no shutdown

اکنون تمامی پورت‌های 1 تا 10 عضو VLAN 20 هستند.

حذف یک پورت از VLAN

برای بازگرداندن یک پورت به VLAN پیش‌فرض می‌توان از دستور زیر استفاده کرد:

Switch(config)# interface GigabitEthernet0/5
Switch(config-if)# no switchport access vlan

یا مستقیماً VLAN پیش‌فرض را تعیین کرد:

Switch(config-if)# switchport access vlan 1

حذف VLAN

برای حذف کامل یک VLAN از سوئیچ از دستور no vlan استفاده می‌شود.

نمونه:

Switch(config)# no vlan 30

در این مثال VLAN شماره 30 حذف خواهد شد.

توجه: پیش از حذف VLAN، بهتر است مطمئن شوید که هیچ پورتی عضو آن نیست و این VLAN در سناریوهای عملیاتی مورد استفاده قرار نمی‌گیرد.

ویرایش VLAN

برای تغییر نام یک VLAN کافی است مجدداً وارد تنظیمات آن شوید.

نمونه:

Switch(config)# vlan 20
Switch(config-vlan)# name Accounting

اکنون نام VLAN از Finance به Accounting تغییر کرده است.

همچنین در صورت نیاز می‌توان ویژگی‌های دیگر VLAN را نیز ویرایش کرد.

دستورات نمایش VLAN

پس از پایان پیکربندی، بهتر است تنظیمات بررسی شوند.

نمایش تمامی VLANها

Switch# show vlan brief

نمونه خروجی:

VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------
1    default                          active    Gi0/24
10   Management                       active    Gi0/1
20   Finance                          active    Gi0/2, Gi0/3
30   HR                               active    Gi0/4
40   Sales                            active    Gi0/5

این دستور اطلاعات زیر را نمایش می‌دهد:

شماره VLAN
نام VLAN
وضعیت VLAN
پورت‌های عضو

نمایش اطلاعات یک VLAN خاص

Switch# show vlan id 20

این دستور فقط اطلاعات مربوط به VLAN 20 را نمایش می‌دهد.

نمایش تنظیمات در فایل پیکربندی

Switch# show running-config

یا

Switch# show running-config | section vlan

این دستور تنها بخش مربوط به VLANها را نمایش می‌دهد.

بررسی وضعیت پورت‌ها

Switch# show interfaces status

این دستور وضعیت تمامی پورت‌ها و VLAN مربوط به هر پورت را نمایش می‌دهد.

نکات مهم در مدیریت VLAN

برای هر بخش سازمان، VLAN جداگانه‌ای ایجاد کنید.
از نام‌های معنادار و استاندارد برای VLANها استفاده کنید.
از استفاده VLAN 1 برای کاربران یا مدیریت شبکه خودداری کنید.
VLANهای بلااستفاده را حذف کنید تا امنیت و نظم شبکه افزایش یابد.
پس از هر تغییر، تنظیمات را با دستور copy running-config startup-config ذخیره کنید.
مستندسازی شماره VLANها، نام آن‌ها و پورت‌های عضو، مدیریت شبکه را در آینده بسیار آسان‌تر می‌کند.

پیکربندی لینک Trunk

در شبکه‌های مبتنی بر VLAN، معمولاً بیش از یک سوئیچ وجود دارد و کاربران هر VLAN ممکن است به سوئیچ‌های مختلف متصل باشند. اگر بین سوئیچ‌ها از یک لینک معمولی (Access) استفاده شود، تنها ترافیک یک VLAN از آن عبور خواهد کرد. در چنین شرایطی برای هر VLAN باید یک لینک فیزیکی مجزا بین سوئیچ‌ها ایجاد شود که علاوه بر افزایش هزینه، مدیریت شبکه را نیز پیچیده می‌کند.

برای حل این مشکل از لینک Trunk استفاده می‌شود. لینک Trunk این امکان را فراهم می‌کند که ترافیک چندین VLAN به‌طور هم‌زمان از طریق یک اتصال فیزیکی واحد منتقل شود. این قابلیت یکی از مهم‌ترین ویژگی‌های سوئیچ‌های سیسکو است و در طراحی شبکه‌های سازمانی، مراکز داده و شبکه‌های بزرگ کاربرد فراوانی دارد.

در استاندارد IEEE 802.1Q، هر فریم هنگام عبور از لینک Trunk با یک برچسب (Tag) شامل شناسه VLAN علامت‌گذاری می‌شود. این برچسب به سوئیچ مقصد اعلام می‌کند که فریم متعلق به کدام VLAN است تا بتواند آن را به درستی پردازش و به پورت مناسب ارسال کند.

مفهوم Trunk

Trunk نوعی لینک ارتباطی است که می‌تواند ترافیک چندین VLAN را به‌صورت هم‌زمان حمل کند. برخلاف Access Port که تنها عضو یک VLAN است، یک پورت Trunk قادر است بسته‌های مربوط به چندین VLAN را ارسال و دریافت کند.

در یک شبکه معمولی، لینک‌های Trunk معمولاً در موارد زیر استفاده می‌شوند:

اتصال دو سوئیچ به یکدیگر
اتصال سوئیچ به سوئیچ لایه سه
اتصال سوئیچ به روتر (Router-on-a-Stick)
اتصال سوئیچ به سرورهایی که از VLAN Tagging پشتیبانی می‌کنند
اتصال سوئیچ به تجهیزات مجازی‌سازی مانند VMware ESXi یا Hyper-V

در استاندارد IEEE 802.1Q، فریم‌های اترنت قبل از ارسال روی لینک Trunk، یک برچسب ۴ بایتی دریافت می‌کنند که شامل شناسه VLAN است. این فرآیند VLAN Tagging نام دارد.

تفاوت Access Port و Trunk Port

ویژگی	Access Port	Trunk Port
تعداد VLAN	فقط یک VLAN	چندین VLAN
برچسب‌گذاری (Tagging)	ندارد	دارد (802.1Q)
کاربرد	اتصال رایانه، چاپگر، تلفن IP	اتصال سوئیچ، روتر یا سرور
نوع ترافیک	یک VLAN	چندین VLAN

به‌طور کلی، اگر یک پورت برای اتصال تجهیزات نهایی مانند رایانه یا چاپگر استفاده شود، باید در حالت Access قرار گیرد. اما اگر قرار باشد چندین VLAN از یک لینک عبور کنند، باید از Trunk استفاده شود.

استاندارد 802.1Q

استاندارد IEEE 802.1Q رایج‌ترین روش برای پیاده‌سازی لینک‌های Trunk است. در این روش، یک برچسب (Tag) به فریم اترنت اضافه می‌شود که اطلاعات مربوط به VLAN را در خود نگه می‌دارد.

این برچسب شامل اطلاعاتی مانند:

شناسه VLAN (VLAN ID)
اولویت ترافیک (Priority)
اطلاعات کنترلی

استفاده از 802.1Q باعث می‌شود چندین VLAN بتوانند از یک لینک فیزیکی مشترک عبور کنند، بدون آنکه اطلاعات آن‌ها با یکدیگر مخلوط شود.

تنظیم Trunk

فرض کنید دو سوئیچ از طریق پورت GigabitEthernet0/24 به یکدیگر متصل شده‌اند و قصد داریم این ارتباط را به‌صورت Trunk پیکربندی کنیم.

Switch(config)# interface GigabitEthernet0/24
Switch(config-if)# switchport mode trunk
Switch(config-if)# no shutdown
Switch(config-if)# exit

در این مثال:

پورت وارد حالت Trunk شده است.
تمامی VLANهای مجاز از این لینک عبور خواهند کرد.
پورت فعال شده است.

در بسیاری از سوئیچ‌های جدید سیسکو، با اجرای دستور switchport mode trunk، پروتکل 802.1Q به‌صورت خودکار انتخاب می‌شود.

تعیین Native VLAN

در لینک Trunk، بیشتر فریم‌ها دارای برچسب VLAN هستند، اما یک VLAN وجود دارد که فریم‌های آن بدون Tag ارسال می‌شوند. این VLAN، Native VLAN نام دارد.

به‌صورت پیش‌فرض، VLAN 1 به‌عنوان Native VLAN در نظر گرفته می‌شود؛ اما به دلایل امنیتی، توصیه می‌شود از VLAN دیگری استفاده شود.

ابتدا VLAN موردنظر را ایجاد می‌کنیم:

Switch(config)# vlan 99
Switch(config-vlan)# name Native
Switch(config-vlan)# exit

سپس آن را به‌عنوان Native VLAN روی لینک Trunk تنظیم می‌کنیم:

Switch(config)# interface GigabitEthernet0/24
Switch(config-if)# switchport trunk native vlan 99

از این پس، فریم‌های مربوط به VLAN 99 بدون برچسب روی لینک Trunk ارسال خواهند شد.

نکته مهم: مقدار Native VLAN باید در هر دو سمت لینک Trunk یکسان باشد. عدم تطابق آن می‌تواند باعث بروز خطاهای ارتباطی و حتی مشکلات امنیتی شود.

محدود کردن VLANهای مجاز

به‌طور پیش‌فرض، تمامی VLANها اجازه عبور از لینک Trunk را دارند. در بسیاری از شبکه‌ها، این موضوع ضرورتی ندارد و بهتر است فقط VLANهای موردنیاز مجاز شوند. این کار علاوه بر افزایش امنیت، موجب کاهش ترافیک غیرضروری نیز می‌شود.

برای مثال، اگر تنها VLANهای 10، 20 و 30 باید از لینک عبور کنند:

Switch(config)# interface GigabitEthernet0/24
Switch(config-if)# switchport trunk allowed vlan 10,20,30

برای افزودن VLAN جدید:

Switch(config-if)# switchport trunk allowed vlan add 40

برای حذف یک VLAN:

Switch(config-if)# switchport trunk allowed vlan remove 20

و برای مجاز کردن همه VLANها:

Switch(config-if)# switchport trunk allowed vlan all

محدود کردن VLANهای مجاز یکی از بهترین روش‌ها برای افزایش امنیت و بهینه‌سازی عملکرد شبکه است.

دستورات بررسی Trunk

پس از پایان پیکربندی، لازم است وضعیت لینک Trunk بررسی شود.

نمایش وضعیت تمامی لینک‌های Trunk

Switch# show interfaces trunk

نمونه خروجی:

Port        Mode         Encapsulation  Status    Native VLAN
Gi0/24      on           802.1q         trunking  99

Port        Vlans allowed on trunk
Gi0/24      10,20,30

Port        Vlans in spanning tree forwarding state
Gi0/24      10,20,30

این دستور اطلاعات مهمی مانند وضعیت Trunk، نوع کپسوله‌سازی، Native VLAN و VLANهای مجاز را نمایش می‌دهد.

بررسی تنظیمات یک پورت

Switch# show running-config interface GigabitEthernet0/24

بررسی وضعیت سوئیچ‌پورت

Switch# show interfaces GigabitEthernet0/24 switchport

این دستور اطلاعاتی مانند حالت Access یا Trunk، Native VLAN و VLANهای مجاز را نمایش می‌دهد.

بررسی VLANها

Switch# show vlan brief

این دستور VLANهای موجود در سوئیچ را نمایش می‌دهد، اما پورت‌های Trunk در لیست اعضای VLAN نمایش داده نمی‌شوند، زیرا هم‌زمان به چندین VLAN سرویس می‌دهند.

نکات مهم

از استاندارد IEEE 802.1Q برای پیکربندی Trunk استفاده کنید.
از VLAN 1 به‌عنوان Native VLAN استفاده نکنید.
Native VLAN را در هر دو سمت لینک یکسان تنظیم کنید.
فقط VLANهای موردنیاز را روی لینک Trunk مجاز کنید.
پس از هر تغییر، تنظیمات را ذخیره کنید:

Switch# copy running-config startup-config

به‌صورت دوره‌ای با دستور show interfaces trunk وضعیت لینک‌های Trunk را بررسی کنید.

پیکربندی رابط مجازی VLAN (SVI)

رابط مجازی VLAN یا Switch Virtual Interface (SVI) یکی از مهم‌ترین قابلیت‌های سوئیچ‌های لایه سه سیسکو است. این رابط یک Interface منطقی است که به یک VLAN اختصاص داده می‌شود و امکان اختصاص آدرس IP به آن را فراهم می‌کند. برخلاف رابط‌های فیزیکی، SVI به یک پورت خاص وابسته نیست، بلکه نماینده کل یک VLAN در سوئیچ است.

از SVI برای اهداف مختلفی استفاده می‌شود که مهم‌ترین آن‌ها عبارت‌اند از:

مدیریت سوئیچ از طریق شبکه
برقراری ارتباط بین VLANها (Inter-VLAN Routing)
استفاده به‌عنوان دروازه پیش‌فرض (Default Gateway) برای دستگاه‌های داخل VLAN
اجرای پروتکل‌های مسیریابی
اعمال برخی قابلیت‌های امنیتی و مدیریتی

در سوئیچ‌های لایه سه، هر VLAN که نیاز به مسیریابی داشته باشد، باید دارای یک SVI با آدرس IP منحصربه‌فرد باشد. این آدرس معمولاً به‌عنوان Gateway دستگاه‌های عضو آن VLAN تنظیم می‌شود.

مفهوم SVI

رابط مجازی VLAN یک Interface منطقی است که مستقیماً به یک VLAN متصل می‌شود. زمانی که یک بسته از یک VLAN وارد سوئیچ می‌شود و مقصد آن در VLAN دیگری قرار دارد، SVI بسته را دریافت کرده و پس از بررسی جدول مسیریابی، آن را به VLAN مقصد هدایت می‌کند.

به عنوان مثال، فرض کنید سه VLAN در شبکه وجود دارد:

VLAN	نام	آدرس Gateway
10	Management	192.168.10.1/24
20	Finance	192.168.20.1/24
30	HR	192.168.30.1/24

در این سناریو، هر VLAN دارای یک SVI است و رایانه‌های هر VLAN از آدرس IP مربوط به SVI به‌عنوان دروازه پیش‌فرض استفاده می‌کنند.

ایجاد Interface VLAN

قبل از ایجاد SVI، باید VLAN موردنظر روی سوئیچ وجود داشته باشد. اگر VLAN ایجاد نشده باشد، ابتدا آن را ایجاد می‌کنیم.

Switch(config)# vlan 10
Switch(config-vlan)# name Management
Switch(config-vlan)# exit

اکنون می‌توان رابط مجازی VLAN را ایجاد کرد.

Switch(config)# interface vlan 10

با اجرای این دستور، وارد محیط پیکربندی SVI مربوط به VLAN 10 می‌شویم.

اعلان (Prompt) به شکل زیر تغییر می‌کند:

Switch(config-if)#

از این لحظه، تمامی تنظیمات مربوط به Interface VLAN در این بخش انجام می‌شود.

اختصاص آدرس IP به SVI

پس از ایجاد Interface VLAN، باید یک آدرس IP به آن اختصاص داده شود.

Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.10.1 255.255.255.0

در این مثال:

VLAN شماره 10 دارای آدرس 192.168.10.1 است.
ماسک شبکه 255.255.255.0 تعیین شده است.
این آدرس به‌عنوان Gateway دستگاه‌های عضو VLAN 10 استفاده خواهد شد.

به همین روش می‌توان برای سایر VLANها نیز SVI ایجاد کرد.

نمونه:

Switch(config)# interface vlan 20
Switch(config-if)# ip address 192.168.20.1 255.255.255.0
Switch(config-if)# exit

Switch(config)# interface vlan 30
Switch(config-if)# ip address 192.168.30.1 255.255.255.0
Switch(config-if)# exit

اکنون هر VLAN دارای یک دروازه پیش‌فرض اختصاصی است.

فعال‌سازی Interface

پس از اختصاص آدرس IP، باید رابط فعال شود.

Switch(config)# interface vlan 10
Switch(config-if)# no shutdown

اگر رابط با موفقیت فعال شود، پیغام زیر نمایش داده می‌شود:

%LINK-5-CHANGED: Interface Vlan10, changed state to up

چرا ممکن است SVI فعال نشود؟

گاهی با وجود اجرای دستور no shutdown، وضعیت Interface همچنان Down باقی می‌ماند.

رایج‌ترین دلایل عبارت‌اند از:

1. هیچ پورتی عضو VLAN نیست.

اگر VLAN هیچ پورت فعالی نداشته باشد، SVI نیز فعال نخواهد شد.

نمونه:

Switch(config)# interface GigabitEthernet0/5
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# no shutdown

2. تمامی پورت‌های VLAN غیرفعال هستند.

اگر همه پورت‌های عضو VLAN در وضعیت Shutdown باشند، SVI نیز Down خواهد بود.

3. لینک فیزیکی قطع است.

در صورتی که کابل شبکه متصل نباشد یا دستگاه مقابل خاموش باشد، ممکن است Interface VLAN فعال نشود.

4. VLAN حذف شده است.

اگر VLAN مربوطه حذف شود، رابط مجازی نیز از دسترس خارج خواهد شد.

فعال‌سازی قابلیت مسیریابی

در سوئیچ‌های لایه سه، تنها ایجاد SVI کافی نیست. برای اینکه سوئیچ بتواند بین VLANها مسیریابی انجام دهد، باید قابلیت IP Routing فعال شود.

Switch(config)# ip routing

پس از اجرای این دستور، سوئیچ قادر خواهد بود بسته‌ها را بین Interfaceهای VLAN مختلف مسیریابی کند.

بررسی وضعیت SVI

پس از پایان پیکربندی، باید وضعیت Interface بررسی شود.

مشاهده تمامی Interfaceها

Switch# show ip interface brief

نمونه خروجی:

Interface              IP-Address      Status      Protocol

Vlan10                 192.168.10.1    up          up
Vlan20                 192.168.20.1    up          up
Vlan30                 192.168.30.1    up          up

در این خروجی:

Status وضعیت فیزیکی Interface را نشان می‌دهد.
Protocol وضعیت پروتکل را نمایش می‌دهد.

اگر هر دو مقدار up باشند، رابط به‌درستی فعال است.

مشاهده تنظیمات یک Interface

Switch# show running-config interface vlan 10

این دستور تنظیمات کامل SVI را نمایش می‌دهد.

مشاهده اطلاعات Interface

Switch# show interfaces vlan 10

در خروجی این دستور اطلاعات زیر قابل مشاهده است:

وضعیت Interface
آدرس IP
میزان ترافیک ورودی و خروجی
تعداد خطاها
سرعت پردازش

بررسی جدول مسیریابی

پس از ایجاد SVI، مسیرهای متصل (Connected Routes) به جدول Routing اضافه می‌شوند.

Switch# show ip route

نمونه خروجی:

C    192.168.10.0/24 is directly connected, Vlan10
C    192.168.20.0/24 is directly connected, Vlan20
C    192.168.30.0/24 is directly connected, Vlan30

حرف C نشان‌دهنده مسیرهای متصل (Connected) است.

آزمایش ارتباط

برای اطمینان از عملکرد صحیح SVI، می‌توان از دستور Ping استفاده کرد.

Switch# ping 192.168.20.10

یا از یک رایانه در VLAN 10، آدرس Gateway را بررسی کرد:

C:\> ping 192.168.10.1

در صورت پیکربندی صحیح، پاسخ موفق دریافت خواهد شد.

بهترین روش‌ها (Best Practices)

برای استفاده بهینه از SVI، رعایت نکات زیر توصیه می‌شود:

برای هر VLAN تنها یک SVI ایجاد کنید.
از یک طرح آدرس‌دهی منظم و مستندسازی‌شده استفاده کنید.
آدرس SVI را به‌عنوان Default Gateway دستگاه‌های همان VLAN تنظیم کنید.
پس از ایجاد SVI، قابلیت ip routing را در سوئیچ لایه سه فعال کنید.
از VLAN اختصاصی برای مدیریت تجهیزات شبکه استفاده کنید و از به‌کارگیری VLAN 1 برای این منظور خودداری نمایید.
به‌صورت منظم وضعیت Interfaceها را با دستورات مانیتورینگ بررسی کنید.

فعال‌سازی قابلیت مسیریابی (IP Routing)

یکی از مهم‌ترین ویژگی‌های سوئیچ‌های لایه سه سیسکو، قابلیت مسیریابی (Routing) بین شبکه‌های مختلف است. این قابلیت باعث می‌شود سوئیچ علاوه بر انجام عملیات سوئیچینگ در لایه دوم، بتواند بسته‌های IP را نیز در لایه سوم مدل OSI مسیریابی کند. به همین دلیل، سوئیچ‌های لایه سه می‌توانند وظایفی را که پیش‌تر تنها توسط روترها انجام می‌شد، با سرعت بسیار بالا و با استفاده از پردازش سخت‌افزاری (ASIC) انجام دهند.

به‌صورت پیش‌فرض، حتی اگر برای VLANهای مختلف رابط مجازی (SVI) ایجاد و آدرس IP تعریف شده باشد، سوئیچ لایه سه بسته‌ها را بین آن‌ها مسیریابی نمی‌کند. برای فعال شدن این قابلیت، باید دستور ip routing در حالت پیکربندی سراسری (Global Configuration Mode) اجرا شود.

فعال‌سازی IP Routing، سوئیچ را از یک دستگاه صرفاً لایه دوم به یک دستگاه با قابلیت مسیریابی در لایه سوم تبدیل می‌کند. پس از فعال شدن این قابلیت، سوئیچ می‌تواند بین VLANها ارتباط برقرار کرده، از مسیرهای ایستا (Static Route) یا پروتکل‌های مسیریابی پویا مانند OSPF و EIGRP استفاده کند و جدول مسیریابی (Routing Table) را مدیریت نماید.

مفهوم Routing در سوئیچ لایه سه

مسیریابی فرآیندی است که طی آن یک دستگاه شبکه، بهترین مسیر را برای انتقال بسته‌های IP از مبدأ به مقصد انتخاب می‌کند. این تصمیم بر اساس اطلاعات موجود در جدول مسیریابی (Routing Table) گرفته می‌شود.

در سوئیچ لایه سه، زمانی که یک بسته از یک VLAN وارد دستگاه می‌شود و مقصد آن در VLAN دیگری قرار دارد، مراحل زیر انجام می‌شود:

سوئیچ بسته را از طریق رابط مجازی VLAN (SVI) دریافت می‌کند.
آدرس IP مقصد از داخل بسته استخراج می‌شود.
جدول مسیریابی بررسی می‌شود تا بهترین مسیر مشخص گردد.
در صورت نیاز، جدول ARP برای یافتن آدرس MAC مقصد یا گره بعدی (Next Hop) بررسی می‌شود.
هدر لایه دوم جدید ایجاد شده و بسته از رابط مناسب ارسال می‌شود.

به دلیل استفاده از تراشه‌های ASIC، این فرآیند با سرعت بسیار بالایی انجام می‌شود و تأثیر کمی بر عملکرد شبکه دارد.

نقش جدول مسیریابی

جدول مسیریابی مجموعه‌ای از مسیرهایی است که سوئیچ برای رسیدن به شبکه‌های مختلف از آن‌ها استفاده می‌کند. این جدول می‌تواند شامل موارد زیر باشد:

مسیرهای متصل (Connected Routes)
مسیرهای ایستا (Static Routes)
مسیرهای پویا که توسط پروتکل‌های مسیریابی ایجاد می‌شوند.
مسیر پیش‌فرض (Default Route)

هر زمان که بسته‌ای وارد سوئیچ شود، مقصد آن با این جدول مقایسه شده و بهترین مسیر انتخاب می‌شود.

فعال کردن IP Routing

در سوئیچ‌های لایه سه، قابلیت مسیریابی به‌صورت پیش‌فرض غیرفعال است. برای فعال‌سازی آن کافی است دستور زیر اجرا شود:

Switch(config)# ip routing

این دستور در حالت Global Configuration Mode اجرا می‌شود.

پس از اجرای این دستور:

ارتباط بین VLANها امکان‌پذیر می‌شود.
جدول Routing فعال خواهد شد.
سوئیچ می‌تواند مسیرهای ایستا و پویا را مدیریت کند.
قابلیت استفاده از پروتکل‌های مسیریابی مانند OSPF و EIGRP فراهم می‌شود.

نکته: اگر دستور ip routing اجرا نشود، حتی در صورت پیکربندی صحیح SVIها، دستگاه‌های موجود در VLANهای مختلف قادر به برقراری ارتباط با یکدیگر نخواهند بود.

نمونه پیکربندی

در مثال زیر، دو VLAN با رابط‌های مجازی مربوطه ایجاد شده‌اند و سپس قابلیت مسیریابی فعال می‌شود.

Switch(config)# vlan 10
Switch(config-vlan)# exit

Switch(config)# vlan 20
Switch(config-vlan)# exit

Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.10.1 255.255.255.0
Switch(config-if)# no shutdown
Switch(config-if)# exit

Switch(config)# interface vlan 20
Switch(config-if)# ip address 192.168.20.1 255.255.255.0
Switch(config-if)# no shutdown
Switch(config-if)# exit

Switch(config)# ip routing

در این سناریو:

VLAN 10 دارای Gateway برابر با 192.168.10.1
VLAN 20 دارای Gateway برابر با 192.168.20.1

است و پس از فعال شدن ip routing، کاربران این دو VLAN می‌توانند با یکدیگر ارتباط برقرار کنند.

تفاوت IP Routing و IP Default-Gateway

یکی از اشتباهات رایج، استفاده از دستور ip default-gateway در سوئیچ‌های لایه سه است.

در سوئیچ لایه دو:

Switch(config)# ip default-gateway 192.168.10.254

این دستور تنها برای دسترسی مدیریتی به سوئیچ استفاده می‌شود، زیرا سوئیچ لایه دو قابلیت مسیریابی ندارد.

اما در سوئیچ لایه سه، پس از فعال شدن ip routing، باید مسیر پیش‌فرض به‌صورت زیر تعریف شود:

Switch(config)# ip route 0.0.0.0 0.0.0.0 192.168.10.254

این مسیر به سوئیچ اعلام می‌کند که بسته‌های مربوط به شبکه‌های ناشناخته را به آدرس 192.168.10.254 ارسال کند.

بررسی جدول مسیریابی

پس از فعال‌سازی IP Routing، اولین مرحله بررسی جدول مسیریابی است.

برای مشاهده جدول Routing از دستور زیر استفاده کنید:

Switch# show ip route

نمونه خروجی:

Gateway of last resort is not set

C    192.168.10.0/24 is directly connected, Vlan10
C    192.168.20.0/24 is directly connected, Vlan20
L    192.168.10.1/32 is directly connected, Vlan10
L    192.168.20.1/32 is directly connected, Vlan20

در این خروجی:

C (Connected) نشان‌دهنده شبکه‌هایی است که مستقیماً به سوئیچ متصل هستند.
L (Local) آدرس IP خود رابط (SVI) را نشان می‌دهد.

اگر مسیر پیش‌فرض نیز تعریف شده باشد، خروجی مشابه زیر خواهد بود:

S*   0.0.0.0/0 [1/0] via 192.168.10.254

در اینجا:

S بیانگر مسیر ایستا (Static Route) است.
* نشان‌دهنده مسیر پیش‌فرض (Default Route) است.

بررسی وضعیت قابلیت IP Routing

برای اطمینان از فعال بودن قابلیت مسیریابی می‌توان از دستورات زیر استفاده کرد.

نمایش پیکربندی جاری:

Switch# show running-config | include ip routing

اگر خروجی زیر نمایش داده شود:

ip routing

به این معناست که قابلیت مسیریابی فعال است.

همچنین می‌توان وضعیت رابط‌های VLAN را بررسی کرد:

Switch# show ip interface brief

نمونه خروجی:

Interface              IP-Address      Status      Protocol

Vlan10                 192.168.10.1    up          up
Vlan20                 192.168.20.1    up          up

وجود وضعیت up/up نشان می‌دهد که رابط‌ها آماده انجام عملیات مسیریابی هستند.

آزمایش عملکرد مسیریابی

پس از پایان پیکربندی، لازم است عملکرد مسیریابی بررسی شود.

فرض کنید:

رایانه اول در VLAN 10 دارای آدرس 192.168.10.100
رایانه دوم در VLAN 20 دارای آدرس 192.168.20.100

باشد.

Gateway هر دستگاه به ترتیب برابر است با:

VLAN 10 → 192.168.10.1
VLAN 20 → 192.168.20.1

اکنون از رایانه VLAN 10 دستور زیر اجرا می‌شود:

C:\> ping 192.168.20.100

در صورت پیکربندی صحیح، پاسخ دریافت خواهد شد و ارتباط بین دو VLAN برقرار می‌شود.

خطاهای رایج

در هنگام فعال‌سازی قابلیت مسیریابی ممکن است با مشکلات زیر مواجه شوید:

فراموش کردن اجرای دستور ip routing
غیرفعال بودن رابط‌های SVI (وضعیت Down)
نداشتن هیچ پورت فعال در VLAN
تنظیم نادرست آدرس Gateway روی رایانه‌ها
استفاده از آدرس IP یا Subnet Mask اشتباه
نبود مسیر پیش‌فرض برای دسترسی به شبکه‌های خارجی
اعمال ACL که مانع عبور ترافیک بین VLANها شده باشد.

بهترین روش‌ها (Best Practices)

قبل از فعال‌سازی IP Routing، از صحت تنظیمات VLANها و SVIها اطمینان حاصل کنید.
برای هر VLAN از یک طرح آدرس‌دهی منظم استفاده کنید.
در شبکه‌های بزرگ، علاوه بر مسیرهای ایستا، از پروتکل‌های مسیریابی پویا استفاده کنید.
پس از هر تغییر، جدول مسیریابی را بررسی کنید.
تنظیمات را با دستور copy running-config startup-config ذخیره کنید.
عملکرد ارتباط بین VLANها را با دستورات ping و traceroute آزمایش کنید.

مسیریابی بین VLANها (Inter-VLAN Routing)

یکی از مهم‌ترین مزایای استفاده از سوئیچ‌های لایه سه سیسکو، امکان مسیریابی بین VLANها (Inter-VLAN Routing) است. همان‌طور که می‌دانیم، هر VLAN یک شبکه منطقی مستقل و یک دامنه Broadcast جداگانه محسوب می‌شود. به همین دلیل، دستگاه‌های موجود در VLANهای مختلف به‌صورت پیش‌فرض قادر به برقراری ارتباط با یکدیگر نیستند.

برای مثال، اگر رایانه‌ای در VLAN 10 بخواهد با سروری در VLAN 20 ارتباط برقرار کند، این ارتباط تنها زمانی امکان‌پذیر خواهد بود که یک دستگاه لایه سه، مانند سوئیچ لایه سه یا روتر، عملیات مسیریابی را انجام دهد.

در گذشته، برای برقراری ارتباط بین VLANها از روش Router-on-a-Stick استفاده می‌شد که در آن یک روتر از طریق یک لینک Trunk به سوئیچ متصل می‌شد. اما امروزه، با استفاده از سوئیچ‌های لایه سه، عملیات مسیریابی مستقیماً در داخل سوئیچ انجام می‌شود. این روش علاوه بر افزایش سرعت، موجب کاهش تأخیر، کاهش هزینه تجهیزات و ساده‌تر شدن مدیریت شبکه می‌شود.

مفهوم Inter-VLAN Routing

Inter-VLAN Routing فرآیندی است که طی آن بسته‌های IP از یک VLAN به VLAN دیگر هدایت می‌شوند. این فرآیند توسط رابط‌های مجازی VLAN (SVI) انجام می‌شود.

هر VLAN دارای یک رابط مجازی (SVI) با یک آدرس IP مشخص است که به‌عنوان دروازه پیش‌فرض (Default Gateway) دستگاه‌های آن VLAN عمل می‌کند.

فرض کنید در شبکه زیر سه VLAN وجود دارد:

VLAN	نام	شبکه	Gateway
10	Management	192.168.10.0/24	192.168.10.1
20	Finance	192.168.20.0/24	192.168.20.1
30	Sales	192.168.30.0/24	192.168.30.1

در این سناریو:

کاربران VLAN 10 از آدرس 192.168.10.1 به‌عنوان Gateway استفاده می‌کنند.
کاربران VLAN 20 از آدرس 192.168.20.1 استفاده می‌کنند.
کاربران VLAN 30 نیز از آدرس 192.168.30.1 استفاده می‌کنند.

زمانی که یک رایانه در VLAN 10 بسته‌ای را برای یک رایانه در VLAN 20 ارسال می‌کند، بسته ابتدا به Gateway یعنی SVI مربوط به VLAN 10 ارسال می‌شود. سوئیچ لایه سه جدول مسیریابی را بررسی کرده و پس از تعیین مسیر مناسب، بسته را از طریق SVI مربوط به VLAN 20 به مقصد ارسال می‌کند.

نحوه عملکرد Inter-VLAN Routing

مراحل انجام این فرآیند به شرح زیر است:

رایانه مبدأ تشخیص می‌دهد که مقصد در شبکه دیگری قرار دارد.
بسته IP به Gateway پیش‌فرض ارسال می‌شود.
رابط مجازی VLAN (SVI) بسته را دریافت می‌کند.
سوئیچ جدول مسیریابی را بررسی می‌کند.
در صورت نیاز، جدول ARP برای یافتن آدرس MAC مقصد یا گره بعدی بررسی می‌شود.
سوئیچ هدر لایه دوم را بازنویسی می‌کند.
بسته از طریق رابط VLAN مقصد ارسال می‌شود.

به دلیل انجام این عملیات توسط تراشه‌های ASIC، فرآیند مسیریابی با سرعت بسیار بالا و بدون ایجاد بار قابل توجه روی پردازنده مرکزی انجام می‌شود.

مراحل پیکربندی Inter-VLAN Routing

در این بخش، یک سناریوی عملی برای پیاده‌سازی ارتباط بین دو VLAN ارائه می‌شود.

مرحله اول: ایجاد VLANها

ابتدا VLANهای موردنظر را ایجاد می‌کنیم.

Switch(config)# vlan 10
Switch(config-vlan)# name Management
Switch(config-vlan)# exit

Switch(config)# vlan 20
Switch(config-vlan)# name Finance
Switch(config-vlan)# exit

مرحله دوم: اختصاص پورت‌ها به VLANها

یک پورت را به VLAN 10 و پورت دیگری را به VLAN 20 اختصاص می‌دهیم.

Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# no shutdown
Switch(config-if)# exit

Switch(config)# interface GigabitEthernet0/2
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 20
Switch(config-if)# no shutdown
Switch(config-if)# exit

مرحله سوم: ایجاد رابط‌های مجازی (SVI)

اکنون برای هر VLAN یک SVI ایجاد می‌کنیم.

Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.10.1 255.255.255.0
Switch(config-if)# no shutdown
Switch(config-if)# exit

Switch(config)# interface vlan 20
Switch(config-if)# ip address 192.168.20.1 255.255.255.0
Switch(config-if)# no shutdown
Switch(config-if)# exit

مرحله چهارم: فعال‌سازی قابلیت مسیریابی

برای اینکه سوئیچ بتواند بسته‌ها را بین VLANها مسیریابی کند، دستور زیر را اجرا کنید.

Switch(config)# ip routing

این دستور یکی از مهم‌ترین مراحل پیکربندی است و بدون آن، ارتباط بین VLANها برقرار نخواهد شد.

مرحله پنجم: پیکربندی رایانه‌ها

اکنون آدرس‌های IP دستگاه‌های متصل به سوئیچ را تنظیم می‌کنیم.

رایانه اول

پارامتر	مقدار
IP Address	192.168.10.100
Subnet Mask	255.255.255.0
Default Gateway	192.168.10.1

رایانه دوم

پارامتر	مقدار
IP Address	192.168.20.100
Subnet Mask	255.255.255.0
Default Gateway	192.168.20.1

پس از این مرحله، هر دو رایانه آماده برقراری ارتباط خواهند بود.

بررسی جدول مسیریابی

برای مشاهده مسیرهای ایجادشده از دستور زیر استفاده کنید.

Switch# show ip route

نمونه خروجی:

C    192.168.10.0/24 is directly connected, Vlan10
L    192.168.10.1/32 is directly connected, Vlan10

C    192.168.20.0/24 is directly connected, Vlan20
L    192.168.20.1/32 is directly connected, Vlan20

در این خروجی:

C نشان‌دهنده شبکه‌های مستقیماً متصل (Connected) است.
L نشان‌دهنده آدرس IP رابط‌های مجازی (Local) است.

بررسی وضعیت رابط‌های VLAN

برای مشاهده وضعیت SVIها از دستور زیر استفاده کنید.

Switch# show ip interface brief

نمونه خروجی:

Interface              IP-Address      Status      Protocol

Vlan10                 192.168.10.1    up          up
Vlan20                 192.168.20.1    up          up

اگر وضعیت هر دو ستون Status و Protocol برابر up باشد، رابط آماده انجام عملیات مسیریابی است.

آزمایش ارتباط بین VLANها

پس از پایان پیکربندی، لازم است ارتباط بین VLANها بررسی شود.

آزمایش با دستور Ping

از رایانه موجود در VLAN 10 دستور زیر را اجرا کنید.

C:\> ping 192.168.20.100

در صورت پیکربندی صحیح، پاسخ مشابه زیر دریافت خواهد شد.

Reply from 192.168.20.100: bytes=32 time<1ms TTL=128

همچنین می‌توان از رایانه VLAN 20 نیز ارتباط را بررسی کرد.

C:\> ping 192.168.10.100

آزمایش با Traceroute

برای مشاهده مسیر عبور بسته‌ها از دستور زیر استفاده کنید.

C:\> tracert 192.168.20.100

در این سناریو معمولاً تنها یک گام (Hop) مشاهده می‌شود، زیرا عملیات مسیریابی مستقیماً در سوئیچ لایه سه انجام می‌شود.

بررسی جدول ARP

برای مشاهده آدرس‌های MAC یادگرفته‌شده از دستور زیر استفاده کنید.

Switch# show ip arp

این دستور نشان می‌دهد که سوئیچ چگونه آدرس‌های IP را به آدرس‌های MAC نگاشت کرده است.

خطاهای رایج

در صورت برقرار نشدن ارتباط بین VLANها، موارد زیر را بررسی کنید:

فعال نبودن دستور ip routing
خاموش بودن رابط‌های SVI
نداشتن پورت فعال در VLAN
تنظیم نادرست آدرس IP یا Subnet Mask
تنظیم اشتباه Default Gateway روی رایانه‌ها
قرار نگرفتن پورت‌ها در VLAN صحیح
اعمال ACL که مانع عبور ترافیک شده باشد.
وجود مشکل در لینک‌های Trunk بین سوئیچ‌ها (در صورت استفاده از چند سوئیچ).

بهترین روش‌ها (Best Practices)

برای هر VLAN یک SVI با آدرس IP منحصربه‌فرد ایجاد کنید.
از یک طرح آدرس‌دهی استاندارد و قابل مستندسازی استفاده کنید.
آدرس SVI را به‌عنوان Default Gateway دستگاه‌های همان VLAN تنظیم کنید.
پس از هر تغییر، وضعیت SVIها و جدول مسیریابی را بررسی کنید.
در شبکه‌های بزرگ، برای کنترل دسترسی بین VLANها از ACL استفاده کنید.
تنظیمات را پس از اتمام پیکربندی ذخیره کنید.

Switch# copy running-config startup-config

پیکربندی Routed Port

در سوئیچ‌های لایه سه سیسکو، پورت‌ها به‌صورت پیش‌فرض در حالت Switchport قرار دارند؛ یعنی به‌عنوان پورت لایه دوم عمل کرده و برای اتصال دستگاه‌های نهایی یا عضویت در VLANها مورد استفاده قرار می‌گیرند. اما در بسیاری از سناریوهای شبکه، نیاز است یک پورت به‌جای انجام عملیات سوئیچینگ، مانند یک رابط روتر عمل کند. در این حالت، پورت به Routed Port تبدیل می‌شود.

Routed Port یک رابط لایه سوم است که مستقیماً دارای آدرس IP می‌شود و در فرآیند مسیریابی شرکت می‌کند. این نوع پورت برخلاف رابط‌های مجازی VLAN (SVI)، به هیچ VLANی تعلق ندارد و برای ارتباط مستقیم بین دو دستگاه لایه سه، مانند دو سوئیچ لایه سه یا یک سوئیچ لایه سه و یک روتر، استفاده می‌شود.

استفاده از Routed Port باعث ساده‌تر شدن طراحی شبکه، کاهش وابستگی به VLANها در لینک‌های بین تجهیزات لایه سه و افزایش کارایی در شبکه‌های بزرگ می‌شود.

Routed Port چیست؟

Routed Port پورتی است که قابلیت‌های سوئیچینگ لایه دوم روی آن غیرفعال شده و به یک رابط لایه سوم تبدیل می‌شود. پس از این تغییر، می‌توان مانند یک رابط روتر، برای آن آدرس IP تعریف کرد و از آن برای ارسال و دریافت بسته‌های IP استفاده نمود.

ویژگی‌های Routed Port عبارت‌اند از:

عملکرد در لایه سوم مدل OSI
امکان اختصاص مستقیم آدرس IP
عدم عضویت در هیچ VLAN
امکان استفاده در پروتکل‌های مسیریابی مانند OSPF، EIGRP و RIP
مناسب برای اتصال تجهیزات لایه سه به یکدیگر

تفاوت Routed Port و Switchport

ویژگی	Switchport	Routed Port
لایه عملکرد	لایه دوم	لایه سوم
عضویت در VLAN	دارد	ندارد
امکان اختصاص IP	خیر (به‌طور مستقیم)	بله
مناسب برای	اتصال کاربران و تجهیزات نهایی	اتصال روترها و سوئیچ‌های لایه سه
قابلیت مسیریابی	ندارد	دارد

به‌طور معمول، پورت‌های Access و Trunk از نوع Switchport هستند، در حالی که Routed Port مانند یک رابط فیزیکی در روتر عمل می‌کند.

موارد استفاده از Routed Port

در شبکه‌های سازمانی، Routed Port معمولاً در سناریوهای زیر استفاده می‌شود:

اتصال دو سوئیچ لایه سه
اتصال سوئیچ لایه سه به روتر
اتصال سوئیچ به فایروال
اتصال به تجهیزات مراکز داده
ایجاد لینک‌های نقطه‌به‌نقطه (Point-to-Point)

در این سناریوها، نیازی به ایجاد VLAN یا لینک Trunk نیست و ارتباط مستقیماً در لایه سوم برقرار می‌شود.

تبدیل پورت سوئیچ به Routed Port

برای تبدیل یک پورت از حالت Switchport به Routed Port، از دستور no switchport استفاده می‌شود.

فرض کنید قصد داریم پورت GigabitEthernet0/1 را به یک Routed Port تبدیل کنیم.

Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# no switchport

پس از اجرای این دستور، پورت دیگر عضو هیچ VLANی نخواهد بود و آماده دریافت آدرس IP است.

نکته: دستور no switchport فقط روی سوئیچ‌هایی که از قابلیت Routed Port پشتیبانی می‌کنند (مانند بسیاری از سوئیچ‌های لایه سه سیسکو) قابل استفاده است.

اختصاص آدرس IP به Routed Port

پس از تبدیل پورت به Routed Port، می‌توان مانند یک رابط روتر، آدرس IP را به آن اختصاص داد.

در مثال زیر، آدرس 10.1.1.1/30 برای پورت تعریف شده است.

Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# ip address 10.1.1.1 255.255.255.252
Switch(config-if)# no shutdown

در این مثال:

آدرس IP برابر 10.1.1.1
ماسک شبکه برابر 255.255.255.252 (/30)
پورت فعال شده است.

استفاده از شبکه‌های /30 یا /31 برای لینک‌های نقطه‌به‌نقطه، یکی از روش‌های متداول برای صرفه‌جویی در آدرس‌های IP است.

سناریوی عملی

فرض کنید دو سوئیچ لایه سه با یک کابل به یکدیگر متصل شده‌اند.

سوئیچ اول

Switch1(config)# interface GigabitEthernet0/1
Switch1(config-if)# no switchport
Switch1(config-if)# ip address 10.1.1.1 255.255.255.252
Switch1(config-if)# no shutdown

سوئیچ دوم

Switch2(config)# interface GigabitEthernet0/1
Switch2(config-if)# no switchport
Switch2(config-if)# ip address 10.1.1.2 255.255.255.252
Switch2(config-if)# no shutdown

در این حالت، هر دو سوئیچ از طریق یک لینک لایه سوم به یکدیگر متصل شده‌اند و می‌توانند مسیرهای شبکه را با یکدیگر تبادل کنند.

افزودن مسیرهای مسیریابی

اگر در دو سمت لینک، شبکه‌های متفاوتی وجود داشته باشد، باید مسیرهای لازم تعریف شوند.

برای مثال، اگر در سوئیچ اول شبکه 192.168.10.0/24 و در سوئیچ دوم شبکه 192.168.20.0/24 قرار داشته باشد، مسیرهای زیر تعریف می‌شوند.

روی سوئیچ اول

Switch1(config)# ip route 192.168.20.0 255.255.255.0 10.1.1.2

روی سوئیچ دوم

Switch2(config)# ip route 192.168.10.0 255.255.255.0 10.1.1.1

در شبکه‌های بزرگ، معمولاً به‌جای مسیرهای ایستا از پروتکل‌های مسیریابی پویا مانند OSPF یا EIGRP استفاده می‌شود.

بررسی عملکرد Routed Port

پس از پایان پیکربندی، لازم است وضعیت پورت بررسی شود.

مشاهده وضعیت Interface

Switch# show ip interface brief

نمونه خروجی:

Interface              IP-Address      Status      Protocol

GigabitEthernet0/1     10.1.1.1        up          up

اگر وضعیت Status و Protocol هر دو up باشند، لینک به‌درستی فعال شده است.

مشاهده تنظیمات Interface

Switch# show running-config interface GigabitEthernet0/1

این دستور تنظیمات کامل رابط را نمایش می‌دهد.

بررسی جدول مسیریابی

Switch# show ip route

در خروجی این دستور، مسیرهای متصل (Connected)، مسیرهای ایستا (Static) و مسیرهای پویا (در صورت وجود) نمایش داده می‌شوند.

آزمایش ارتباط

برای اطمینان از صحت پیکربندی، از دستور Ping استفاده کنید.

Switch# ping 10.1.1.2

در صورت موفقیت، پاسخ مشابه زیر دریافت خواهد شد.

!!!!!
Success rate is 100 percent (5/5)

همچنین می‌توان ارتباط با شبکه‌های دوردست را نیز بررسی کرد.

Switch# ping 192.168.20.1

خطاهای رایج

در هنگام پیکربندی Routed Port ممکن است با مشکلات زیر مواجه شوید:

فراموش کردن اجرای دستور no switchport
تعریف اشتباه آدرس IP یا Subnet Mask
فعال نکردن پورت با دستور no shutdown
عدم فعال‌سازی قابلیت ip routing
نبود مسیر مناسب در جدول مسیریابی
خرابی کابل یا قطع بودن لینک فیزیکی
اعمال ACL که مانع عبور ترافیک شده باشد.

بهترین روش‌ها (Best Practices)

برای لینک‌های نقطه‌به‌نقطه از شبکه‌های /30 یا /31 استفاده کنید.
از نام‌گذاری مناسب برای رابط‌ها و مستندسازی آدرس‌های IP بهره ببرید.
برای اتصال بین تجهیزات لایه سه، به‌جای Trunk در صورت عدم نیاز به حمل VLANها، از Routed Port استفاده کنید.
پس از هر تغییر، وضعیت رابط و جدول مسیریابی را بررسی کنید.
در شبکه‌های بزرگ، از پروتکل‌های مسیریابی پویا به‌جای تعداد زیادی مسیر ایستا استفاده کنید.
تنظیمات را پس از اتمام پیکربندی با دستور زیر ذخیره کنید:

Switch# copy running-config startup-config

پیکربندی مسیرهای ایستا (Static Routing)

مسیریابی ایستا (Static Routing) یکی از ساده‌ترین و پرکاربردترین روش‌های مسیریابی در شبکه‌های مبتنی بر IP است. در این روش، مدیر شبکه مسیرهای موردنیاز را به‌صورت دستی در جدول مسیریابی (Routing Table) دستگاه تعریف می‌کند. برخلاف پروتکل‌های مسیریابی پویا مانند OSPF یا EIGRP، در مسیریابی ایستا هیچ‌گونه تبادل اطلاعات مسیریابی بین تجهیزات شبکه انجام نمی‌شود و تمامی مسیرها توسط مدیر شبکه مدیریت می‌شوند.

در سوئیچ‌های لایه سه سیسکو، مسیرهای ایستا پس از فعال‌سازی قابلیت IP Routing قابل استفاده هستند. این نوع مسیریابی معمولاً در شبکه‌های کوچک، شبکه‌های شعب (Branch Office)، ارتباط با اینترنت، ایجاد مسیر پشتیبان و یا شبکه‌هایی با ساختار ثابت به‌کار می‌رود.

مفهوم Static Route

مسیر ایستا (Static Route) مسیری است که به‌صورت دستی در جدول مسیریابی تعریف می‌شود و مشخص می‌کند بسته‌های مربوط به یک شبکه خاص از چه مسیری یا از طریق کدام همسایه (Next Hop) ارسال شوند.

هر مسیر ایستا از سه بخش اصلی تشکیل شده است:

شبکه مقصد (Destination Network)
Subnet Mask
آدرس Next Hop یا رابط خروجی (Exit Interface)

به‌عنوان مثال، اگر شبکه 192.168.20.0/24 از طریق روتر با آدرس 10.1.1.2 قابل دسترسی باشد، مسیر ایستا به شکل زیر تعریف می‌شود:

Switch(config)# ip route 192.168.20.0 255.255.255.0 10.1.1.2

در این دستور:

192.168.20.0 شبکه مقصد است.
255.255.255.0 ماسک شبکه است.
10.1.1.2 آدرس روتر یا سوئیچ بعدی (Next Hop) است.

مزایا و معایب Static Routing

مزایا

پیکربندی ساده در شبکه‌های کوچک
عدم مصرف پهنای باند برای تبادل اطلاعات مسیریابی
مصرف کمتر پردازنده و حافظه
امنیت بیشتر، زیرا مسیرها به‌صورت خودکار تغییر نمی‌کنند.
کنترل کامل مدیر شبکه بر مسیرها

معایب

نیاز به پیکربندی دستی تمامی مسیرها
دشوار بودن مدیریت در شبکه‌های بزرگ
عدم تطبیق خودکار با تغییرات توپولوژی
افزایش احتمال خطای انسانی

ایجاد Static Route

برای تعریف یک مسیر ایستا از دستور زیر استفاده می‌شود:

Switch(config)# ip route Network Mask Next-Hop

فرض کنید شبکه زیر وجود دارد:

شبکه محلی: 192.168.10.0/24
شبکه مقصد: 192.168.20.0/24
آدرس همسایه: 10.1.1.2

دستور پیکربندی به شکل زیر خواهد بود:

Switch(config)# ip route 192.168.20.0 255.255.255.0 10.1.1.2

اکنون هر بسته‌ای که مقصد آن شبکه 192.168.20.0/24 باشد، به آدرس 10.1.1.2 ارسال خواهد شد.

استفاده از رابط خروجی

در برخی موارد، به‌جای آدرس Next Hop می‌توان رابط خروجی را مشخص کرد.

نمونه:

Switch(config)# ip route 192.168.20.0 255.255.255.0 GigabitEthernet0/1

این روش معمولاً در لینک‌های Point-to-Point استفاده می‌شود.

استفاده هم‌زمان از Next Hop و رابط خروجی

برای افزایش دقت در فرآیند مسیریابی، می‌توان هر دو مقدار را مشخص کرد.

Switch(config)# ip route 192.168.20.0 255.255.255.0 GigabitEthernet0/1 10.1.1.2

در این حالت، سوئیچ هم رابط خروجی و هم همسایه بعدی را می‌شناسد.

مسیر پیش‌فرض (Default Route)

در بسیاری از شبکه‌ها، لازم نیست برای تمام شبکه‌های موجود یک مسیر جداگانه تعریف شود. در چنین شرایطی از مسیر پیش‌فرض (Default Route) استفاده می‌شود.

مسیر پیش‌فرض به دستگاه اعلام می‌کند که اگر مقصد بسته در جدول مسیریابی وجود نداشت، آن را به کدام مسیر ارسال کند.

قالب دستور:

Switch(config)# ip route 0.0.0.0 0.0.0.0 Next-Hop

مثال:

Switch(config)# ip route 0.0.0.0 0.0.0.0 10.1.1.2

در این مثال، تمامی بسته‌هایی که مقصد آن‌ها در جدول مسیریابی یافت نشود، به آدرس 10.1.1.2 ارسال می‌شوند.

این نوع مسیر معمولاً برای اتصال به اینترنت یا شبکه‌های خارج از سازمان استفاده می‌شود.

سناریوی عملی

فرض کنید یک سوئیچ لایه سه دارای شبکه‌های زیر است:

شبکه	آدرس
VLAN10	192.168.10.0/24
لینک بین دو سوئیچ	10.1.1.0/30
شبکه شعبه	192.168.20.0/24

سوئیچ دوم دارای آدرس 10.1.1.2 است.

برای دسترسی به شبکه شعبه، دستور زیر اجرا می‌شود:

Switch(config)# ip route 192.168.20.0 255.255.255.0 10.1.1.2

و برای دسترسی به اینترنت:

Switch(config)# ip route 0.0.0.0 0.0.0.0 10.1.1.2

در این سناریو، شبکه محلی از طریق مسیرهای متصل (Connected) در دسترس است و سایر شبکه‌ها از طریق مسیرهای ایستا یا مسیر پیش‌فرض قابل دسترسی خواهند بود.

حذف مسیر ایستا

در صورت نیاز به حذف یک مسیر، کافی است دستور را با پیشوند no اجرا کنید.

نمونه:

Switch(config)# no ip route 192.168.20.0 255.255.255.0 10.1.1.2

پس از اجرای این دستور، مسیر از جدول مسیریابی حذف خواهد شد.

بررسی جدول Routing

پس از تعریف مسیرها، باید از ثبت صحیح آن‌ها در جدول مسیریابی اطمینان حاصل کرد.

برای مشاهده جدول مسیریابی از دستور زیر استفاده کنید:

Switch# show ip route

نمونه خروجی:

Gateway of last resort is 10.1.1.2 to network 0.0.0.0

C    192.168.10.0/24 is directly connected, Vlan10
L    192.168.10.1/32 is directly connected, Vlan10
C    10.1.1.0/30 is directly connected, GigabitEthernet0/1
S    192.168.20.0/24 [1/0] via 10.1.1.2
S*   0.0.0.0/0 [1/0] via 10.1.1.2

در این خروجی:

C (Connected): شبکه‌های متصل مستقیم
L (Local): آدرس IP رابط‌های دستگاه
S (Static): مسیرهای ایستا
S*: مسیر پیش‌فرض (Default Route)

بررسی یک مسیر خاص

برای مشاهده اطلاعات مربوط به یک شبکه خاص می‌توان از دستور زیر استفاده کرد:

Switch# show ip route 192.168.20.0

این دستور تنها اطلاعات مربوط به همان مسیر را نمایش می‌دهد.

آزمایش عملکرد مسیرها

پس از پیکربندی، بهتر است عملکرد مسیرها بررسی شود.

استفاده از Ping

Switch# ping 192.168.20.1

در صورت دریافت پاسخ، مسیر به‌درستی پیکربندی شده است.

استفاده از Traceroute

Switch# traceroute 192.168.20.1

این دستور مسیر عبور بسته‌ها تا مقصد را نمایش می‌دهد و برای عیب‌یابی بسیار مفید است.

خطاهای رایج

در زمان پیکربندی مسیرهای ایستا ممکن است با مشکلات زیر روبه‌رو شوید:

وارد کردن اشتباه آدرس شبکه مقصد
استفاده از Subnet Mask نادرست
تعریف اشتباه آدرس Next Hop
فعال نبودن رابط خروجی
فراموش کردن اجرای دستور ip routing
قطع بودن لینک بین دو دستگاه
نبود مسیر برگشتی (Return Route) در سمت مقابل

بهترین روش‌ها (Best Practices)

از Static Route در شبکه‌های کوچک و پایدار استفاده کنید.
برای لینک‌های نقطه‌به‌نقطه از آدرس‌دهی /30 یا /31 بهره ببرید.
مسیرهای تعریف‌شده را مستندسازی کنید.
پس از هر تغییر، جدول مسیریابی را بررسی نمایید.
برای شبکه‌های بزرگ و دارای تغییرات مداوم، از پروتکل‌های مسیریابی پویا استفاده کنید.
پس از پایان پیکربندی، تنظیمات را ذخیره کنید.

Switch# copy running-config startup-config

پیکربندی پروتکل‌های مسیریابی پویا

در شبکه‌های کوچک، استفاده از مسیریابی ایستا (Static Routing) روشی ساده و مناسب برای انتقال بسته‌های IP است؛ اما با افزایش تعداد روترها، سوئیچ‌های لایه سه و شبکه‌های متصل، مدیریت مسیرهای ایستا بسیار دشوار و زمان‌بر خواهد شد. در چنین شرایطی از پروتکل‌های مسیریابی پویا (Dynamic Routing Protocols) استفاده می‌شود.

پروتکل‌های مسیریابی پویا به تجهیزات شبکه این امکان را می‌دهند که به‌صورت خودکار اطلاعات مربوط به شبکه‌های متصل را با یکدیگر تبادل کرده، بهترین مسیرها را محاسبه کنند و در صورت بروز تغییر در توپولوژی شبکه، جدول مسیریابی را بدون دخالت مدیر شبکه به‌روزرسانی نمایند.

سوئیچ‌های لایه سه سیسکو از پروتکل‌های مختلفی مانند RIP، OSPF و EIGRP پشتیبانی می‌کنند. انتخاب هر پروتکل به اندازه شبکه، ساختار سازمان، نیازهای عملیاتی و امکانات مورد انتظار بستگی دارد.

مزایای استفاده از پروتکل‌های مسیریابی پویا

مهم‌ترین مزایای این پروتکل‌ها عبارت‌اند از:

یادگیری خودکار مسیرهای جدید
حذف مسیرهای نامعتبر در صورت قطع ارتباط
کاهش نیاز به پیکربندی دستی
انتخاب بهترین مسیر بر اساس معیارهای هر پروتکل
افزایش مقیاس‌پذیری شبکه
کاهش احتمال خطاهای انسانی

مقایسه پروتکل‌های RIP، OSPF و EIGRP

ویژگی	RIP	OSPF	EIGRP
نوع پروتکل	Distance Vector	Link State	Advanced Distance Vector
معیار انتخاب مسیر	تعداد Hop	Cost	Bandwidth و Delay
حداکثر Hop	15	بدون محدودیت عملی	بدون محدودیت عملی
سرعت همگرایی	کم	زیاد	بسیار زیاد
مناسب برای	شبکه‌های کوچک	شبکه‌های متوسط و بزرگ	شبکه‌های سازمانی سیسکو

پیکربندی RIP

Routing Information Protocol (RIP) یکی از قدیمی‌ترین پروتکل‌های مسیریابی پویا است. این پروتکل از نوع Distance Vector بوده و معیار انتخاب مسیر در آن، تعداد پرش (Hop Count) است.

در RIP، مسیری که تعداد Hop کمتری داشته باشد، به‌عنوان بهترین مسیر انتخاب می‌شود. حداکثر تعداد Hop در این پروتکل ۱۵ است؛ بنابراین برای شبکه‌های بزرگ مناسب نیست.

امروزه معمولاً از نسخه RIPv2 استفاده می‌شود، زیرا از مسیریابی بدون کلاس (Classless Routing)، احراز هویت و ارسال اطلاعات از طریق Multicast پشتیبانی می‌کند.

فعال‌سازی RIP

فرض کنید سوئیچ دارای دو شبکه زیر است:

192.168.10.0/24
192.168.20.0/24

پیکربندی RIP به شکل زیر انجام می‌شود:

Switch(config)# router rip
Switch(config-router)# version 2
Switch(config-router)# no auto-summary
Switch(config-router)# network 192.168.10.0
Switch(config-router)# network 192.168.20.0

در این پیکربندی:

پروتکل RIP فعال شده است.
نسخه ۲ انتخاب شده است.
خلاصه‌سازی خودکار (Auto Summary) غیرفعال شده است.
دو شبکه در فرآیند مسیریابی شرکت می‌کنند.

بررسی وضعیت RIP

Switch# show ip protocols

نمایش مسیرهای یادگرفته‌شده:

Switch# show ip route

در جدول Routing، مسیرهای RIP با حرف R مشخص می‌شوند.

نمونه خروجی:

R    192.168.30.0/24 [120/1] via 10.1.1.2

پیکربندی OSPF

Open Shortest Path First (OSPF) یکی از پرکاربردترین پروتکل‌های مسیریابی پویا در شبکه‌های سازمانی است. این پروتکل از نوع Link State بوده و با استفاده از الگوریتم Shortest Path First (SPF) بهترین مسیر را محاسبه می‌کند.

OSPF سرعت همگرایی بالایی دارد، از طراحی سلسله‌مراتبی (Hierarchical Design) پشتیبانی می‌کند و برای شبکه‌های متوسط و بزرگ انتخاب مناسبی است.

یکی از مفاهیم مهم در OSPF، Area است. تمامی تجهیزات باید حداقل به Area 0 یا Backbone Area متصل باشند.

فعال‌سازی OSPF

در مثال زیر، شناسه فرآیند (Process ID) برابر 1 و همه شبکه‌ها در Area 0 قرار دارند.

Switch(config)# router ospf 1

Switch(config-router)# router-id 1.1.1.1

Switch(config-router)# network 192.168.10.0 0.0.0.255 area 0

Switch(config-router)# network 192.168.20.0 0.0.0.255 area 0

Switch(config-router)# network 10.1.1.0 0.0.0.3 area 0

در این مثال:

فرآیند OSPF با شناسه 1 ایجاد شده است.
Router ID برابر 1.1.1.1 تعیین شده است.
سه شبکه در Area 0 قرار گرفته‌اند.

بررسی وضعیت OSPF

نمایش همسایه‌ها:

Switch# show ip ospf neighbor

نمایش رابط‌های OSPF:

Switch# show ip ospf interface

نمایش جدول Routing:

Switch# show ip route

مسیرهای OSPF با حرف O نمایش داده می‌شوند.

نمونه:

O    192.168.30.0/24 [110/2] via 10.1.1.2

پیکربندی EIGRP

Enhanced Interior Gateway Routing Protocol (EIGRP) یک پروتکل مسیریابی پیشرفته است که توسط سیسکو توسعه داده شده است. این پروتکل از الگوریتم DUAL (Diffusing Update Algorithm) برای انتخاب بهترین مسیر استفاده می‌کند و سرعت همگرایی بسیار بالایی دارد.

EIGRP معیارهای مختلفی مانند:

پهنای باند (Bandwidth)
تأخیر (Delay)
قابلیت اطمینان (Reliability)
بار ترافیکی (Load)

را در محاسبه بهترین مسیر در نظر می‌گیرد.

فعال‌سازی EIGRP

فرض کنید شماره سیستم خودمختار (AS Number) برابر 100 است.

Switch(config)# router eigrp 100
Switch(config-router)# no auto-summary
Switch(config-router)# network 192.168.10.0 0.0.0.255
Switch(config-router)# network 192.168.20.0 0.0.0.255
Switch(config-router)# network 10.1.1.0 0.0.0.3

در این پیکربندی:

EIGRP با شماره AS برابر 100 فعال شده است.
خلاصه‌سازی خودکار غیرفعال شده است.
سه شبکه در فرآیند مسیریابی شرکت می‌کنند.

بررسی وضعیت EIGRP

نمایش همسایه‌ها:

Switch# show ip eigrp neighbors

نمایش توپولوژی:

Switch# show ip eigrp topology

نمایش جدول Routing:

Switch# show ip route

مسیرهای EIGRP با حرف D نمایش داده می‌شوند.

نمونه:

D    192.168.30.0/24 [90/30720] via 10.1.1.2

حرف D از نام الگوریتم DUAL گرفته شده است.

مشاهده همسایگی‌ها و مسیرها

یکی از مهم‌ترین مراحل پس از پیکربندی پروتکل‌های مسیریابی، بررسی همسایه‌ها (Neighbors) و مسیرهای یادگرفته‌شده است. اگر همسایگی بین تجهیزات تشکیل نشود، تبادل اطلاعات مسیریابی نیز انجام نخواهد شد.

مشاهده جدول مسیریابی

Switch# show ip route

این دستور تمامی مسیرهای متصل، ایستا و پویا را نمایش می‌دهد.

مشاهده اطلاعات پروتکل‌های مسیریابی

Switch# show ip protocols

این دستور اطلاعاتی مانند:

پروتکل فعال
زمان ارسال Update
شبکه‌های اعلان‌شده
فاصله اداری (Administrative Distance)

را نمایش می‌دهد.

مشاهده همسایه‌های OSPF

Switch# show ip ospf neighbor

مشاهده همسایه‌های EIGRP

Switch# show ip eigrp neighbors

مشاهده جدول توپولوژی EIGRP

Switch# show ip eigrp topology

خطاهای رایج

در صورت تبادل نشدن مسیرها، موارد زیر را بررسی کنید:

فعال نبودن قابلیت ip routing
قرار نگرفتن رابط‌ها در پروتکل مسیریابی
تنظیم اشتباه Wildcard Mask
تفاوت شماره Area در OSPF
تفاوت شماره AS در EIGRP
قطع بودن لینک فیزیکی
غیرفعال بودن Interfaceها
اعمال ACL یا تنظیمات امنیتی که مانع تبادل اطلاعات شده‌اند.

بهترین روش‌ها (Best Practices)

در شبکه‌های کوچک از RIP فقط برای اهداف آموزشی یا سناریوهای ساده استفاده کنید.
برای شبکه‌های سازمانی، OSPF یکی از بهترین گزینه‌ها است.
در محیط‌هایی که تجهیزات عمدتاً سیسکو هستند، EIGRP عملکرد بسیار مناسبی ارائه می‌دهد.
برای هر دستگاه یک Router ID یکتا تعریف کنید.
پس از هر تغییر، همسایگی‌ها و جدول مسیریابی را بررسی کنید.
از خلاصه‌سازی مسیرها (Route Summarization) در شبکه‌های بزرگ برای کاهش حجم جدول‌های مسیریابی استفاده کنید.
پس از پایان پیکربندی، تنظیمات را ذخیره نمایید.

Switch# copy running-config startup-config

پیکربندی DHCP

در شبکه‌های رایانه‌ای، اختصاص دستی آدرس IP به تمامی دستگاه‌ها کاری زمان‌بر و مستعد خطا است، به‌ویژه در شبکه‌های بزرگ که تعداد کاربران و تجهیزات به‌طور مداوم تغییر می‌کند. برای حل این مشکل از پروتکل DHCP (Dynamic Host Configuration Protocol) استفاده می‌شود.

DHCP سرویسی است که به‌صورت خودکار اطلاعات موردنیاز برای اتصال دستگاه‌ها به شبکه را در اختیار آن‌ها قرار می‌دهد. این اطلاعات شامل آدرس IP، Subnet Mask، Default Gateway، آدرس DNS Server و سایر پارامترهای شبکه است.

سوئیچ‌های لایه سه سیسکو می‌توانند علاوه بر انجام عملیات مسیریابی، در بسیاری از مدل‌ها به‌عنوان DHCP Server نیز عمل کنند و آدرس‌های IP را به کاربران اختصاص دهند. همچنین این سوئیچ‌ها قادرند درخواست‌های DHCP را از یک VLAN به سرور DHCP موجود در VLAN دیگر ارسال کنند که این قابلیت با استفاده از DHCP Relay یا دستور ip helper-address پیاده‌سازی می‌شود.

آشنایی با DHCP

DHCP بر اساس مدل Client/Server کار می‌کند. زمانی که یک دستگاه جدید به شبکه متصل می‌شود، هنوز آدرس IP ندارد؛ بنابراین از طریق پیام‌های Broadcast درخواست دریافت تنظیمات شبکه را ارسال می‌کند.

فرآیند دریافت آدرس IP از DHCP در چهار مرحله انجام می‌شود که به آن DORA گفته می‌شود:

Discover: کلاینت درخواست دریافت آدرس IP را ارسال می‌کند.
Offer: سرور DHCP یک آدرس IP پیشنهادی ارائه می‌دهد.
Request: کلاینت درخواست استفاده از آن آدرس را ارسال می‌کند.
Acknowledgment (ACK): سرور درخواست را تأیید کرده و تنظیمات را به کلاینت اختصاص می‌دهد.

این فرآیند به‌صورت کاملاً خودکار انجام می‌شود و نیازی به دخالت مدیر شبکه ندارد.

مزایای استفاده از DHCP

استفاده از DHCP مزایای متعددی دارد که مهم‌ترین آن‌ها عبارت‌اند از:

اختصاص خودکار آدرس IP
کاهش خطاهای ناشی از تنظیمات دستی
جلوگیری از تکراری شدن آدرس‌های IP
مدیریت متمرکز آدرس‌دهی
صرفه‌جویی در زمان مدیریت شبکه
امکان تغییر سریع تنظیمات شبکه

ایجاد DHCP Server

در بسیاری از سوئیچ‌های لایه سه سیسکو می‌توان سرویس DHCP را مستقیماً روی سوئیچ فعال کرد.

پیش از ایجاد Pool، بهتر است آدرس‌هایی که نباید به کاربران اختصاص داده شوند (مانند Gateway یا سرورها) از محدوده DHCP حذف شوند.

به عنوان مثال:

Switch(config)# ip dhcp excluded-address 192.168.10.1 192.168.10.20

در این مثال، آدرس‌های 192.168.10.1 تا 192.168.10.20 از فرآیند تخصیص حذف می‌شوند.

ایجاد DHCP Pool

پس از تعیین آدرس‌های مستثنا، باید یک DHCP Pool ایجاد شود.

فرض کنید قصد داریم برای VLAN 10 آدرس IP توزیع کنیم.

Switch(config)# ip dhcp pool VLAN10
Switch(dhcp-config)# network 192.168.10.0 255.255.255.0
Switch(dhcp-config)# default-router 192.168.10.1
Switch(dhcp-config)# dns-server 8.8.8.8
Switch(dhcp-config)# domain-name company.local

در این پیکربندی:

VLAN10 نام Pool است.
محدوده شبکه برابر 192.168.10.0/24 است.
Gateway کاربران 192.168.10.1 خواهد بود.
آدرس DNS برابر 8.8.8.8 تعیین شده است.
دامنه پیش‌فرض شبکه نیز مشخص شده است.

در صورت وجود چند VLAN، معمولاً برای هر VLAN یک DHCP Pool جداگانه ایجاد می‌شود.

ایجاد چند DHCP Pool

به عنوان مثال:

Switch(config)# ip dhcp pool Finance
Switch(dhcp-config)# network 192.168.20.0 255.255.255.0
Switch(dhcp-config)# default-router 192.168.20.1
Switch(dhcp-config)# dns-server 8.8.8.8

Switch(config)# ip dhcp pool HR
Switch(dhcp-config)# network 192.168.30.0 255.255.255.0
Switch(dhcp-config)# default-router 192.168.30.1
Switch(dhcp-config)# dns-server 8.8.8.8

در این مثال، هر VLAN دارای محدوده آدرس‌دهی و Gateway مخصوص به خود است.

تنظیم DHCP Relay (IP Helper Address)

یکی از محدودیت‌های DHCP این است که پیام DHCP Discover به‌صورت Broadcast ارسال می‌شود و Broadcastها از روتر یا سوئیچ لایه سه عبور نمی‌کنند.

فرض کنید:

DHCP Server در VLAN 100 قرار دارد.
کاربران در VLAN 10 قرار دارند.

در این حالت، کاربران قادر به دریافت آدرس IP نخواهند بود، مگر اینکه قابلیت DHCP Relay فعال شود.

برای این منظور، روی رابط VLAN کاربران دستور ip helper-address اجرا می‌شود.

نمونه:

Switch(config)# interface vlan 10
Switch(config-if)# ip helper-address 192.168.100.10

در این مثال:

192.168.100.10 آدرس DHCP Server است.
تمامی درخواست‌های DHCP از VLAN 10 به این سرور ارسال می‌شوند.

در صورت وجود چند VLAN، باید این دستور روی SVI هر VLAN به‌صورت جداگانه پیکربندی شود.

نحوه عملکرد DHCP Relay

فرآیند کار به شکل زیر است:

کلاینت پیام DHCP Discover را به‌صورت Broadcast ارسال می‌کند.
سوئیچ لایه سه پیام را دریافت می‌کند.
دستور ip helper-address پیام را به یک پیام Unicast تبدیل می‌کند.
درخواست به DHCP Server ارسال می‌شود.
پاسخ سرور به سوئیچ بازمی‌گردد.
سوئیچ پاسخ را به کلاینت ارسال می‌کند.

به این ترتیب، کاربران VLANهای مختلف نیز می‌توانند از یک DHCP Server مرکزی استفاده کنند.

بررسی عملکرد DHCP

پس از پایان پیکربندی، باید عملکرد سرویس بررسی شود.

مشاهده DHCP Pool

Switch# show ip dhcp pool

نمونه خروجی:

Pool VLAN10 :

Network : 192.168.10.0/24

Leased addresses : 12

Available addresses : 232

این دستور اطلاعاتی مانند:

تعداد آدرس‌های اختصاص‌یافته
تعداد آدرس‌های آزاد
محدوده شبکه

را نمایش می‌دهد.

مشاهده آدرس‌های اختصاص‌یافته

Switch# show ip dhcp binding

نمونه خروجی:

IP address      Client-ID

192.168.10.21   0100.1b2c.3d4e.5f
192.168.10.22   0100.5c6d.7e8f.90

این دستور تمامی آدرس‌های اختصاص‌یافته به کلاینت‌ها را نمایش می‌دهد.

مشاهده تنظیمات DHCP

Switch# show running-config | section dhcp

این دستور تمامی تنظیمات مربوط به DHCP را نمایش می‌دهد.

بررسی وضعیت رابط VLAN

Switch# show ip interface brief

اطمینان حاصل کنید که رابط VLAN مربوطه در وضعیت up/up قرار دارد.

آزمایش از سمت کلاینت

در سیستم‌عامل Windows می‌توان از دستورات زیر استفاده کرد.

دریافت آدرس جدید:

C:\> ipconfig /renew

نمایش اطلاعات:

C:\> ipconfig /all

در صورت پیکربندی صحیح، کلاینت باید آدرس IP، Gateway و DNS را از DHCP دریافت کند.

خطاهای رایج

در صورت دریافت نکردن آدرس IP توسط کاربران، موارد زیر را بررسی کنید:

فعال نبودن رابط VLAN
اشتباه بودن محدوده DHCP Pool
فراموش کردن تعیین Default Gateway
تعریف نکردن دستور ip helper-address
اشتباه بودن آدرس DHCP Server
تمام شدن آدرس‌های موجود در Pool
وجود ACL که مانع عبور ترافیک DHCP شده باشد.
فعال نبودن سرویس DHCP روی سرور

بهترین روش‌ها (Best Practices)

برای هر VLAN یک DHCP Pool مجزا ایجاد کنید.
آدرس Gateway، سرورها و تجهیزات مدیریتی را با دستور ip dhcp excluded-address از محدوده DHCP خارج کنید.
از یک DHCP Server مرکزی همراه با قابلیت DHCP Relay در شبکه‌های بزرگ استفاده کنید.
محدوده‌های آدرس‌دهی را مستندسازی کنید.
وضعیت Poolها و آدرس‌های تخصیص‌یافته را به‌صورت دوره‌ای بررسی کنید.
پس از پایان پیکربندی، تنظیمات را ذخیره نمایید.

Switch# copy running-config startup-config

امنیت سوئیچ‌های لایه سه سیسکو

امنیت یکی از مهم‌ترین جنبه‌های طراحی و مدیریت شبکه‌های کامپیوتری است. هرچند سوئیچ‌های لایه سه سیسکو قابلیت‌های پیشرفته‌ای مانند مسیریابی، مدیریت VLANها و اجرای پروتکل‌های مسیریابی را فراهم می‌کنند، اما در صورت عدم پیکربندی صحیح، می‌توانند به یکی از نقاط آسیب‌پذیر شبکه تبدیل شوند.

تهدیداتی مانند دسترسی غیرمجاز به تجهیزات، حملات جعل آدرس MAC، حملات DHCP، حملات ARP Spoofing و ایجاد حلقه‌های شبکه (Loop) از جمله مخاطراتی هستند که می‌توانند امنیت و پایداری شبکه را تحت تأثیر قرار دهند.

سیسکو مجموعه‌ای از قابلیت‌های امنیتی را در سیستم‌عامل Cisco IOS ارائه کرده است که با استفاده صحیح از آن‌ها می‌توان تا حد زیادی از این تهدیدات جلوگیری کرد. در این فصل با مهم‌ترین این قابلیت‌ها آشنا می‌شویم.

فعال‌سازی SSH

یکی از مهم‌ترین اقدامات امنیتی، استفاده از SSH (Secure Shell) برای مدیریت از راه دور سوئیچ است. SSH تمام اطلاعات، از جمله نام کاربری و رمز عبور، را به‌صورت رمزنگاری‌شده منتقل می‌کند و از شنود اطلاعات جلوگیری می‌کند.

برخلاف Telnet که اطلاعات را به‌صورت متن ساده ارسال می‌کند، SSH امنیت بسیار بالاتری دارد و در تمامی شبکه‌های سازمانی استفاده از آن توصیه می‌شود.

پیش‌نیازهای فعال‌سازی SSH

قبل از فعال‌سازی SSH باید موارد زیر پیکربندی شوند:

تعیین نام دستگاه (Hostname)
تعیین نام دامنه (Domain Name)
ایجاد کلیدهای RSA
ایجاد حساب کاربری محلی

نمونه پیکربندی

Switch(config)# hostname SW-Core

Switch(config)# ip domain-name company.local

Switch(config)# crypto key generate rsa modulus 2048

Switch(config)# username admin privilege 15 secret Cisco@123

Switch(config)# ip ssh version 2

Switch(config)# line vty 0 15
Switch(config-line)# login local
Switch(config-line)# transport input ssh
Switch(config-line)# exit

در این مثال:

نام دستگاه تعیین شده است.
کلید RSA با طول 2048 بیت ایجاد شده است.
SSH نسخه 2 فعال شده است.
فقط کاربران محلی اجازه ورود دارند.
دسترسی از طریق SSH امکان‌پذیر است.

غیرفعال کردن Telnet

Telnet یکی از قدیمی‌ترین روش‌های مدیریت تجهیزات شبکه است، اما اطلاعات را بدون رمزنگاری منتقل می‌کند. به همین دلیل، مهاجمان می‌توانند با شنود ترافیک شبکه، نام کاربری و رمز عبور مدیر شبکه را به دست آورند.

بهترین روش، غیرفعال کردن کامل Telnet و استفاده انحصاری از SSH است.

نمونه پیکربندی

Switch(config)# line vty 0 15
Switch(config-line)# transport input ssh

در صورت نیاز به غیرفعال کردن کامل Telnet:

Switch(config)# line vty 0 15
Switch(config-line)# transport input none

Port Security

یکی از رایج‌ترین تهدیدها، اتصال دستگاه‌های غیرمجاز به پورت‌های سوئیچ است.

قابلیت Port Security این امکان را فراهم می‌کند که فقط تعداد مشخصی از آدرس‌های MAC روی یک پورت مجاز باشند.

اگر دستگاه ناشناخته‌ای به آن پورت متصل شود، سوئیچ می‌تواند:

بسته‌ها را حذف کند.
هشدار ثبت کند.
یا پورت را غیرفعال کند.

نمونه پیکربندی

Switch(config)# interface GigabitEthernet0/10
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 2
Switch(config-if)# switchport port-security violation shutdown
Switch(config-if)# switchport port-security mac-address sticky

در این مثال:

حداکثر دو آدرس MAC مجاز هستند.
آدرس‌های MAC به‌صورت خودکار ذخیره می‌شوند.
در صورت تخلف، پورت Shutdown می‌شود.

بررسی وضعیت

Switch# show port-security

Switch# show port-security interface GigabitEthernet0/10

BPDU Guard

یکی از خطرناک‌ترین مشکلات شبکه‌های سوئیچینگ، ایجاد Loop است.

پروتکل Spanning Tree Protocol (STP) برای جلوگیری از Loop طراحی شده است. اما اگر یک سوئیچ غیرمجاز به یکی از پورت‌های کاربران متصل شود، ممکن است بسته‌های BPDU ارسال کرده و توپولوژی STP را تغییر دهد.

قابلیت BPDU Guard در صورت دریافت BPDU روی پورت‌های کاربران، آن پورت را به حالت Err-Disabled می‌برد.

پیکربندی روی یک پورت

Switch(config)# interface GigabitEthernet0/5
Switch(config-if)# spanning-tree bpduguard enable

فعال‌سازی سراسری

Switch(config)# spanning-tree portfast bpduguard default

PortFast

در حالت عادی، پورت‌های سوئیچ هنگام فعال شدن، مراحل Listening و Learning را طی می‌کنند که ممکن است حدود ۳۰ ثانیه طول بکشد.

برای پورت‌هایی که به تجهیزات نهایی مانند رایانه، چاپگر یا تلفن IP متصل هستند، این تأخیر ضروری نیست.

قابلیت PortFast باعث می‌شود پورت مستقیماً وارد وضعیت Forwarding شود.

نمونه پیکربندی

Switch(config)# interface GigabitEthernet0/8
Switch(config-if)# spanning-tree portfast

فعال‌سازی PortFast فقط برای پورت‌هایی که به تجهیزات نهایی متصل هستند توصیه می‌شود و نباید روی لینک‌های بین سوئیچ‌ها اعمال شود.

DHCP Snooping

یکی از حملات رایج در شبکه، راه‌اندازی یک DHCP Server جعلی (Rogue DHCP Server) است.

در این حمله، مهاجم پاسخ درخواست‌های DHCP کاربران را ارسال کرده و تنظیمات اشتباه مانند Gateway یا DNS مخرب را به آن‌ها اختصاص می‌دهد.

قابلیت DHCP Snooping تنها به پورت‌های مورد اعتماد (Trusted Ports) اجازه ارسال پاسخ‌های DHCP را می‌دهد.

فعال‌سازی DHCP Snooping

ابتدا قابلیت را فعال می‌کنیم.

Switch(config)# ip dhcp snooping

سپس VLANهای موردنظر را مشخص می‌کنیم.

Switch(config)# ip dhcp snooping vlan 10,20,30

اکنون پورتی که به DHCP Server متصل است، Trusted می‌شود.

Switch(config)# interface GigabitEthernet0/24
Switch(config-if)# ip dhcp snooping trust

تمامی پورت‌های کاربران به‌صورت پیش‌فرض غیرقابل اعتماد (Untrusted) باقی می‌مانند.

بررسی وضعیت

Switch# show ip dhcp snooping

Dynamic ARP Inspection (DAI)

حمله ARP Spoofing یا ARP Poisoning یکی از رایج‌ترین حملات لایه دوم است.

در این حمله، مهاجم با ارسال پاسخ‌های جعلی ARP، خود را به‌عنوان Gateway معرفی می‌کند و ترافیک کاربران را رهگیری یا تغییر می‌دهد.

قابلیت Dynamic ARP Inspection (DAI) با بررسی بسته‌های ARP و مقایسه آن‌ها با اطلاعات ذخیره‌شده توسط DHCP Snooping، از پذیرش پاسخ‌های جعلی جلوگیری می‌کند.

فعال‌سازی DAI

ابتدا DAI را برای VLAN موردنظر فعال می‌کنیم.

Switch(config)# ip arp inspection vlan 10

سپس پورت متصل به Gateway یا سوئیچ بالادستی را Trusted می‌کنیم.

Switch(config)# interface GigabitEthernet0/24
Switch(config-if)# ip arp inspection trust

بررسی وضعیت

Switch# show ip arp inspection

سایر توصیه‌های امنیتی

برای افزایش امنیت سوئیچ‌های لایه سه، رعایت نکات زیر نیز توصیه می‌شود:

برای تمامی حساب‌های مدیریتی از رمزهای عبور قوی استفاده کنید.
رمزهای عبور را با دستور enable secret به‌جای enable password تعریف کنید.
از VLAN اختصاصی برای مدیریت تجهیزات استفاده کنید.
دسترسی مدیریتی را با استفاده از ACL فقط به مدیران شبکه محدود کنید.
سرویس‌ها و پروتکل‌های غیرضروری را غیرفعال کنید.
سیستم‌عامل Cisco IOS را به‌طور منظم به‌روزرسانی کنید.
گزارش‌ها و رویدادهای امنیتی را به‌صورت دوره‌ای بررسی کنید.
از پروتکل امن SSH نسخه 2 برای مدیریت تجهیزات استفاده کنید.

بررسی تنظیمات امنیتی

پس از پیکربندی قابلیت‌های امنیتی، بهتر است وضعیت آن‌ها بررسی شود.

Switch# show running-config

بررسی SSH:

Switch# show ip ssh

بررسی Port Security:

Switch# show port-security

بررسی DHCP Snooping:

Switch# show ip dhcp snooping

بررسی Dynamic ARP Inspection:

Switch# show ip arp inspection

بررسی وضعیت STP:

Switch# show spanning-tree

بهترین روش‌ها (Best Practices)

برای مدیریت از راه دور فقط از SSH نسخه 2 استفاده کنید.
Telnet را به‌طور کامل غیرفعال نمایید.
روی تمامی پورت‌های کاربران، Port Security را فعال کنید.
PortFast و BPDU Guard را روی پورت‌های متصل به تجهیزات نهایی فعال کنید.
برای جلوگیری از DHCP Serverهای جعلی، از DHCP Snooping استفاده نمایید.
قابلیت Dynamic ARP Inspection را برای مقابله با حملات ARP Spoofing فعال کنید.
پیکربندی امنیتی را به‌صورت دوره‌ای بازبینی و آزمایش کنید.
پس از اعمال تغییرات، تنظیمات را ذخیره کنید.

Switch# copy running-config startup-config

پیکربندی EtherChannel

در شبکه‌های سازمانی، معمولاً بین سوئیچ‌ها یا بین سوئیچ و سرور، حجم زیادی از ترافیک جابه‌جا می‌شود. اگر تنها از یک لینک فیزیکی برای این ارتباط استفاده شود، علاوه بر محدود بودن پهنای باند، در صورت قطع شدن آن لینک، ارتباط نیز به‌طور کامل از بین خواهد رفت.

برای رفع این مشکل، فناوری EtherChannel در تجهیزات سیسکو ارائه شده است. EtherChannel این امکان را فراهم می‌کند که چندین لینک فیزیکی اترنت به‌صورت یک لینک منطقی واحد تجمیع شوند. در نتیجه، علاوه بر افزایش پهنای باند، افزونگی (Redundancy) نیز فراهم می‌شود و در صورت قطع یکی از لینک‌ها، ارتباط شبکه از طریق سایر لینک‌ها ادامه خواهد یافت.

به عنوان مثال، اگر چهار لینک یک گیگابیتی در قالب یک EtherChannel تجمیع شوند، پهنای باند منطقی تا ۴ گیگابیت بر ثانیه افزایش می‌یابد. البته این افزایش به معنای ارسال یک جریان داده با سرعت ۴ گیگابیت نیست، بلکه ترافیک بین لینک‌ها بر اساس الگوریتم‌های توزیع بار (Load Balancing) تقسیم می‌شود.

EtherChannel در شبکه‌های سازمانی، مراکز داده و ارتباطات بین سوئیچ‌های توزیع (Distribution) و هسته (Core) کاربرد گسترده‌ای دارد.

EtherChannel چیست؟

EtherChannel فناوری‌ای است که چندین پورت فیزیکی را در قالب یک Port-Channel یا رابط منطقی واحد ترکیب می‌کند. از دید پروتکل‌هایی مانند Spanning Tree Protocol (STP)، مجموعه لینک‌های عضو EtherChannel تنها به‌عنوان یک لینک منطقی دیده می‌شود. این ویژگی باعث می‌شود بدون ایجاد حلقه (Loop)، بتوان از چندین لینک هم‌زمان استفاده کرد.

مهم‌ترین مزایای EtherChannel عبارت‌اند از:

افزایش پهنای باند
افزونگی و تحمل خطا (Fault Tolerance)
توزیع بار بین لینک‌ها
ساده‌تر شدن مدیریت لینک‌ها
کاهش تأثیر STP بر لینک‌های موازی

شرایط ایجاد EtherChannel

برای تشکیل یک EtherChannel موفق، تمامی پورت‌های عضو باید ویژگی‌های یکسانی داشته باشند. مهم‌ترین این شرایط عبارت‌اند از:

سرعت (Speed) یکسان
حالت Duplex یکسان
نوع لینک (Access یا Trunk) یکسان
VLAN و Native VLAN یکسان (در صورت Trunk بودن)
قرار داشتن روی یک سوئیچ فیزیکی (مگر در فناوری‌هایی مانند StackWise یا Virtual Switching)

در صورت وجود اختلاف در این تنظیمات، EtherChannel تشکیل نخواهد شد.

انواع پروتکل‌های EtherChannel

سیسکو از سه روش برای ایجاد EtherChannel پشتیبانی می‌کند:

روش	استاندارد	توضیح
Static (Mode On)	ندارد	بدون استفاده از پروتکل مذاکره
PAgP	اختصاصی سیسکو	برقراری EtherChannel بین تجهیزات سیسکو
LACP	IEEE 802.3ad / 802.1AX	استاندارد و سازگار با تجهیزات مختلف

در شبکه‌های امروزی، استفاده از LACP به دلیل استاندارد بودن، بیش از سایر روش‌ها توصیه می‌شود.

پیکربندی LACP

LACP (Link Aggregation Control Protocol) یک پروتکل استاندارد IEEE است که برای ایجاد و مدیریت خودکار EtherChannel استفاده می‌شود.

دو حالت اصلی در LACP عبارت‌اند از:

حالت	توضیح
Active	آغازکننده مذاکره برای تشکیل EtherChannel
Passive	فقط به درخواست Active پاسخ می‌دهد

برای تشکیل EtherChannel، حداقل یکی از دو سمت باید در حالت Active باشد.

نمونه پیکربندی

فرض کنید قصد داریم پورت‌های GigabitEthernet0/1 و GigabitEthernet0/2 را در قالب یک EtherChannel با شماره 1 تجمیع کنیم.

سوئیچ اول

Switch1(config)# interface range GigabitEthernet0/1-2
Switch1(config-if-range)# channel-group 1 mode active
Switch1(config-if-range)# exit

Switch1(config)# interface Port-channel1
Switch1(config-if)# switchport mode trunk
Switch1(config-if)# no shutdown

سوئیچ دوم

Switch2(config)# interface range GigabitEthernet0/1-2
Switch2(config-if-range)# channel-group 1 mode passive
Switch2(config-if-range)# exit

Switch2(config)# interface Port-channel1
Switch2(config-if)# switchport mode trunk
Switch2(config-if)# no shutdown

در این مثال:

دو لینک فیزیکی به یک Port-Channel تبدیل شده‌اند.
از LACP برای مذاکره استفاده شده است.
رابط منطقی در حالت Trunk قرار گرفته است.

حالت‌های مختلف LACP

حالت سمت اول	حالت سمت دوم	نتیجه
Active	Active	تشکیل EtherChannel
Active	Passive	تشکیل EtherChannel
Passive	Passive	تشکیل نمی‌شود

به همین دلیل، استفاده از حالت Active/Active یا Active/Passive توصیه می‌شود.

پیکربندی PAgP

Port Aggregation Protocol (PAgP) پروتکلی اختصاصی شرکت سیسکو برای ایجاد EtherChannel است. این پروتکل تنها بین تجهیزات سیسکو کار می‌کند و مشابه LACP، وضعیت لینک‌ها را بررسی کرده و در صورت سازگار بودن تنظیمات، آن‌ها را در یک EtherChannel قرار می‌دهد.

دو حالت اصلی PAgP عبارت‌اند از:

حالت	توضیح
Desirable	آغازکننده مذاکره
Auto	پاسخ‌دهنده به درخواست

نمونه پیکربندی

سوئیچ اول

Switch1(config)# interface range GigabitEthernet0/3-4
Switch1(config-if-range)# channel-group 2 mode desirable

سوئیچ دوم

Switch2(config)# interface range GigabitEthernet0/3-4
Switch2(config-if-range)# channel-group 2 mode auto

در این مثال، EtherChannel شماره 2 با استفاده از PAgP تشکیل می‌شود.

حالت‌های مختلف PAgP

حالت سمت اول	حالت سمت دوم	نتیجه
Desirable	Desirable	تشکیل EtherChannel
Desirable	Auto	تشکیل EtherChannel
Auto	Auto	تشکیل نمی‌شود

پیکربندی EtherChannel به‌صورت Static

در این روش، هیچ پروتکل مذاکره‌ای استفاده نمی‌شود و مدیر شبکه مستقیماً EtherChannel را ایجاد می‌کند.

Switch(config)# interface range GigabitEthernet0/5-6
Switch(config-if-range)# channel-group 3 mode on

این روش ساده است، اما اگر تنظیمات دو سمت یکسان نباشد، احتمال بروز مشکلات ارتباطی بیشتر خواهد بود.

بررسی وضعیت EtherChannel

پس از پایان پیکربندی، باید از تشکیل صحیح EtherChannel اطمینان حاصل کرد.

نمایش خلاصه وضعیت

Switch# show etherchannel summary

نمونه خروجی:

Group  Port-channel  Protocol    Ports
------+------------- ---------- --------------------
1      Po1(SU)       LACP        Gi0/1(P) Gi0/2(P)

در این خروجی:

Po1 نشان‌دهنده Port-Channel شماره 1 است.
SU یعنی رابط در حال استفاده (In Use) و لایه دوم (Layer 2) است.
P یعنی پورت عضو EtherChannel است.

نمایش اطلاعات کامل

Switch# show etherchannel detail

این دستور اطلاعات کاملی درباره اعضای گروه، پروتکل مورد استفاده و وضعیت هر لینک نمایش می‌دهد.

بررسی رابط Port-Channel

Switch# show interfaces port-channel 1

این دستور وضعیت رابط منطقی، میزان ترافیک و آمار مربوط به Port-Channel را نمایش می‌دهد.

بررسی وضعیت Trunk

اگر Port-Channel در حالت Trunk باشد، می‌توان از دستور زیر استفاده کرد.

Switch# show interfaces trunk

خطاهای رایج

در هنگام پیکربندی EtherChannel ممکن است با مشکلات زیر مواجه شوید:

متفاوت بودن سرعت یا Duplex پورت‌ها
تفاوت در حالت Access و Trunk
تفاوت در VLANهای مجاز یا Native VLAN
استفاده از شماره Channel متفاوت در دو سمت
ناسازگاری حالت‌های LACP یا PAgP
خرابی یکی از لینک‌های فیزیکی
قرار گرفتن پورت‌ها در وضعیت Shutdown

بهترین روش‌ها (Best Practices)

در شبکه‌های جدید، از LACP به‌جای PAgP استفاده کنید.
قبل از ایجاد EtherChannel، از یکسان بودن تنظیمات تمام پورت‌های عضو اطمینان حاصل کنید.
تنظیمات Trunk یا Access را روی رابط Port-Channel اعمال کنید، نه روی تک‌تک پورت‌های عضو.
پس از پیکربندی، با دستور show etherchannel summary وضعیت EtherChannel را بررسی کنید.
لینک‌های عضو EtherChannel را از نظر سرعت، Duplex و سلامت فیزیکی به‌صورت دوره‌ای کنترل کنید.
پس از پایان پیکربندی، تنظیمات را ذخیره نمایید.

Switch# copy running-config startup-config

EtherChannel یکی از مهم‌ترین فناوری‌های سوئیچ‌های سیسکو برای افزایش پهنای باند، ایجاد افزونگی و بهبود پایداری ارتباطات است. این فناوری با تجمیع چندین لینک فیزیکی در قالب یک رابط منطقی، امکان استفاده بهینه از منابع شبکه را فراهم می‌کند. EtherChannel از سه روش Static، PAgP و LACP پشتیبانی می‌کند که در میان آن‌ها، LACP به دلیل استاندارد بودن و سازگاری با تجهیزات مختلف، گزینه پیشنهادی برای بیشتر شبکه‌های امروزی است. آشنایی با نحوه پیکربندی، بررسی وضعیت و عیب‌یابی EtherChannel، از مهارت‌های ضروری هر مدیر شبکه و متخصص تجهیزات سیسکو به شمار می‌رود.

پیکربندی Spanning Tree Protocol (STP)

در شبکه‌های مبتنی بر سوئیچ، برای افزایش پهنای باند و ایجاد افزونگی (Redundancy)، معمولاً بین سوئیچ‌ها بیش از یک لینک فیزیکی برقرار می‌شود. اگرچه این طراحی باعث افزایش قابلیت اطمینان شبکه می‌شود، اما در صورت عدم وجود مکانیزمی برای کنترل مسیرها، احتمال ایجاد حلقه (Loop) در شبکه وجود خواهد داشت.

وجود Loop می‌تواند مشکلاتی مانند طوفان Broadcast (Broadcast Storm)، ارسال چندباره فریم‌ها (Duplicate Frames)، ناپایداری جدول MAC Address و در نهایت از کار افتادن شبکه را به همراه داشته باشد.

برای جلوگیری از این مشکلات، از Spanning Tree Protocol (STP) استفاده می‌شود. STP با شناسایی لینک‌های اضافی، برخی از آن‌ها را به‌صورت موقت در حالت Blocking قرار می‌دهد و تنها مسیرهای بدون حلقه را فعال نگه می‌دارد. در صورت قطع شدن یکی از لینک‌های فعال، STP به‌طور خودکار یکی از لینک‌های غیرفعال را فعال کرده و ارتباط شبکه را حفظ می‌کند.

STP چیست؟

Spanning Tree Protocol (STP) یک پروتکل لایه دوم است که در استاندارد IEEE 802.1D تعریف شده و وظیفه اصلی آن جلوگیری از ایجاد حلقه در شبکه‌های سوئیچینگ است.

STP با تبادل پیام‌هایی به نام BPDU (Bridge Protocol Data Unit) بین سوئیچ‌ها، توپولوژی شبکه را بررسی کرده و بهترین مسیرها را انتخاب می‌کند.

مراحل اصلی عملکرد STP عبارت‌اند از:

انتخاب Root Bridge
انتخاب Root Port در هر سوئیچ
انتخاب Designated Port در هر سگمنت
قرار دادن سایر پورت‌ها در حالت Blocking

به این ترتیب، تنها یک مسیر فعال بین دو نقطه از شبکه باقی می‌ماند.

انتخاب Root Bridge

یکی از مهم‌ترین مراحل STP، انتخاب Root Bridge است. تمامی تصمیمات STP بر اساس این سوئیچ گرفته می‌شود.

انتخاب Root Bridge بر اساس Bridge ID (BID) انجام می‌شود که از دو بخش تشکیل شده است:

Bridge Priority
MAC Address

سوئیچی که کمترین Bridge ID را داشته باشد، به‌عنوان Root Bridge انتخاب می‌شود.

به‌صورت پیش‌فرض، مقدار Priority برابر 32768 است. اگر Priority دو سوئیچ برابر باشد، سوئیچی که MAC Address کوچک‌تری دارد، Root Bridge خواهد شد.

برای کنترل فرآیند انتخاب Root Bridge، مدیر شبکه می‌تواند مقدار Priority را به‌صورت دستی تغییر دهد.

نمونه پیکربندی:

Switch(config)# spanning-tree vlan 10 priority 4096

یا استفاده از دستور ساده‌تر:

Switch(config)# spanning-tree vlan 10 root primary

برای تعیین Root Bridge پشتیبان نیز می‌توان از دستور زیر استفاده کرد:

Switch(config)# spanning-tree vlan 10 root secondary

وضعیت‌های مختلف پورت در STP

در نسخه کلاسیک STP، هر پورت هنگام فعال شدن مراحل زیر را طی می‌کند:

وضعیت	توضیح
Blocking	جلوگیری از ایجاد حلقه، عدم ارسال داده
Listening	بررسی BPDUها و آماده‌سازی برای ارسال
Learning	یادگیری آدرس‌های MAC بدون ارسال داده
Forwarding	ارسال و دریافت داده
Disabled	پورت غیرفعال

مدت زمان همگرایی (Convergence) در STP کلاسیک ممکن است بین ۳۰ تا ۵۰ ثانیه باشد.

پیکربندی STP

به‌صورت پیش‌فرض، STP روی بیشتر سوئیچ‌های سیسکو فعال است. با این حال، می‌توان نوع اجرای آن را تغییر داد.

برای انتخاب حالت PVST:

Switch(config)# spanning-tree mode pvst

برای انتخاب Rapid PVST:

Switch(config)# spanning-tree mode rapid-pvst

برای استفاده از MST:

Switch(config)# spanning-tree mode mst

Rapid PVST+

Rapid PVST+ نسخه پیشرفته STP در تجهیزات سیسکو است که بر پایه استاندارد IEEE 802.1w توسعه یافته است.

مهم‌ترین تفاوت Rapid PVST+ با STP کلاسیک، کاهش زمان همگرایی است. در حالی که STP ممکن است تا ۵۰ ثانیه برای بازیابی شبکه زمان نیاز داشته باشد، Rapid PVST+ معمولاً در کمتر از چند ثانیه به وضعیت پایدار می‌رسد.

مزایای Rapid PVST+ عبارت‌اند از:

همگرایی بسیار سریع‌تر
بازیابی سریع لینک‌های قطع‌شده
پشتیبانی از یک نمونه STP برای هر VLAN
مناسب برای شبکه‌های سازمانی

فعال‌سازی Rapid PVST+

Switch(config)# spanning-tree mode rapid-pvst

برای تعیین Root Bridge:

Switch(config)# spanning-tree vlan 10 root primary

MST (Multiple Spanning Tree)

در شبکه‌هایی که تعداد زیادی VLAN وجود دارد، اجرای یک نمونه STP برای هر VLAN می‌تواند باعث افزایش مصرف پردازنده و حافظه شود.

Multiple Spanning Tree (MST) که بر اساس استاندارد IEEE 802.1s توسعه یافته است، این مشکل را با گروه‌بندی چند VLAN در یک Instance برطرف می‌کند.

به‌عنوان مثال:

VLANهای 10 و 20 در Instance 1
VLANهای 30 و 40 در Instance 2

در نتیجه، به‌جای اجرای چهار نمونه STP، تنها دو Instance اجرا می‌شود.

پیکربندی MST

ابتدا حالت MST را فعال می‌کنیم.

Switch(config)# spanning-tree mode mst

سپس وارد تنظیمات MST می‌شویم.

Switch(config)# spanning-tree mst configuration
Switch(config-mst)# name Campus
Switch(config-mst)# revision 1
Switch(config-mst)# instance 1 vlan 10,20
Switch(config-mst)# instance 2 vlan 30,40
Switch(config-mst)# end

در این مثال:

نام Region برابر Campus است.
Revision برابر 1 تعیین شده است.
VLANهای 10 و 20 در Instance 1 قرار گرفته‌اند.
VLANهای 30 و 40 در Instance 2 قرار دارند.

در تمام سوئیچ‌های عضو یک Region، مقادیر Name، Revision و نگاشت VLANها به Instanceها باید یکسان باشد.

PortFast

برای پورت‌هایی که به رایانه، چاپگر یا تلفن IP متصل هستند، می‌توان از قابلیت PortFast استفاده کرد تا پورت بدون طی مراحل طولانی STP مستقیماً وارد وضعیت Forwarding شود.

Switch(config)# interface GigabitEthernet0/10
Switch(config-if)# spanning-tree portfast

استفاده از PortFast فقط روی پورت‌های متصل به تجهیزات نهایی توصیه می‌شود.

BPDU Guard

اگر روی پورتی که PortFast فعال است، بسته BPDU دریافت شود، احتمال اتصال یک سوئیچ غیرمجاز وجود دارد.

برای جلوگیری از این وضعیت، قابلیت BPDU Guard را فعال می‌کنیم.

Switch(config)# interface GigabitEthernet0/10
Switch(config-if)# spanning-tree bpduguard enable

یا به‌صورت سراسری:

Switch(config)# spanning-tree portfast bpduguard default

دستورات بررسی STP

پس از پایان پیکربندی، لازم است وضعیت STP بررسی شود.

مشاهده وضعیت کلی STP

Switch# show spanning-tree

این دستور اطلاعاتی مانند:

Root Bridge
وضعیت پورت‌ها
نقش هر پورت
هزینه مسیر (Cost)

را نمایش می‌دهد.

مشاهده وضعیت یک VLAN

Switch# show spanning-tree vlan 10

این دستور اطلاعات مربوط به STP در VLAN 10 را نمایش می‌دهد.

بررسی Root Bridge

Switch# show spanning-tree root

این دستور مشخص می‌کند که Root Bridge کدام سوئیچ است.

بررسی رابط‌ها

Switch# show spanning-tree interface GigabitEthernet0/1

این دستور وضعیت STP روی یک رابط خاص را نمایش می‌دهد.

بررسی تنظیمات MST

Switch# show spanning-tree mst

نمایش اطلاعات Region و Instanceهای MST.

بررسی خلاصه STP

Switch# show spanning-tree summary

این دستور خلاصه‌ای از وضعیت STP و قابلیت‌های فعال را نمایش می‌دهد.

خطاهای رایج

در هنگام پیکربندی STP ممکن است با مشکلات زیر مواجه شوید:

انتخاب ناخواسته Root Bridge
متفاوت بودن تنظیمات MST Region بین سوئیچ‌ها
فعال کردن PortFast روی لینک بین دو سوئیچ
غیرفعال بودن BPDU Guard روی پورت‌های کاربران
تفاوت در تنظیمات Trunk یا VLANها
ایجاد Loop به دلیل پیکربندی اشتباه

بهترین روش‌ها (Best Practices)

Root Bridge را به‌صورت دستی روی سوئیچ Core یا Distribution تعیین کنید.
در شبکه‌های جدید از Rapid PVST+ یا MST به‌جای STP کلاسیک استفاده کنید.
PortFast را فقط روی پورت‌های متصل به تجهیزات نهایی فعال کنید.
BPDU Guard را همراه با PortFast فعال نمایید.
در پیاده‌سازی MST، تنظیمات Region را روی همه سوئیچ‌ها یکسان نگه دارید.
پس از هر تغییر، وضعیت STP را با دستورات بررسی کنترل کنید.
در پایان پیکربندی، تنظیمات را ذخیره نمایید.

Switch# copy running-config startup-config

Spanning Tree Protocol (STP) یکی از مهم‌ترین فناوری‌های شبکه‌های سوئیچینگ است که با جلوگیری از ایجاد حلقه، پایداری و عملکرد صحیح شبکه را تضمین می‌کند. نسخه‌های جدیدتر مانند Rapid PVST+ و MST با کاهش زمان همگرایی و بهینه‌سازی مصرف منابع، گزینه‌های مناسب‌تری برای شبکه‌های امروزی هستند. آشنایی با نحوه انتخاب Root Bridge، نقش پورت‌ها، پیکربندی STP، Rapid PVST+ و MST، به همراه استفاده از قابلیت‌هایی مانند PortFast و BPDU Guard، از مهارت‌های ضروری برای طراحی، پیاده‌سازی و نگهداری شبکه‌های مبتنی بر سوئیچ‌های لایه سه سیسکو محسوب می‌شود.

win11 workshop113