Huawei RSTP ve MSTP Yapılandırması

Merhabalar,

Yukarıda gördüğünü basit bir topoloji üzerinden Huawei switch için STP/RSTP yapılandırması ile beraber port security yapılandırmasını göstereceğim. Ardından Farklı bir topoloji üzerinden MSTP yapılandırması anlatacağım.

Öncelikle SW1 üzerinde STP/RSTP yapılandırması ile başlayalım. Topolojimiz içerisinde SW1 “Root” olarak ayarlanacaktır.

<SW1> system-view

[SW1] stp mode rstp

[SW1] stp root primary

[SW1] stp pathcost-standard legacy

Warning: The path cost of the current process will be set to the default value because the path cost standard is changed

[SW1] interface GE 1/0/0

[SW1-GE1/0/0] stp root-protection

Info: The root protection function takes effect only on a designated port. Configuring root protection on a port that functions as the designated port in all instances is recommended.

[SW1-GE1/0/0] port link-type trunk

[SW1-GE1/0/0] undo shutdown

[SW1-GE1/0/0] quit

[SW1] interface GE 1/0/1

[SW1-GE1/0/0] stp root-protection

Info: The root protection function takes effect only on a designated port. Configuring root protection on a port that functions as the designated port in all instances is recommended.

[SW1-GE1/0/0] port link-type trunk

[SW1-GE1/0/0] undo shutdown

[SW1-GE1/0/0] quit

[SW1] stp enable

SW1 yapılandırmasında öncelikle “stp mode rstp” komutu ile STP modunu RSTP olarak tanımlıyoruz. Devamında “stp root primary” komutu ile SW1 cihazını birincil root switch olarak tanımlıyoruz.

Daha sonra “stp parhcost-standard legacy” komutu ile maliyet hesaplaması yapacak olan standartı tanımlıyoruz. Bu uygulamamızda “legacy” komutu ile huawei tarafından kullanılan bir algoritmayı kullanıyoruz. “legacy” haricinde “dot1qt” ve “dot1d-1998” standartlarını da kullanabilirsiniz. Komutu girdikten sonra altında çıkan uyarı bize bu yapılandırma ile yol maliyet standartının değiştiğini ve bu standart a göre maliyet hesaplamasının varsayılan değerine ayarlanacağını bildiriyor. Bu aşamada diğer cihazlarında aynı maliyet hesaplama standartın da olması gerekmektedir bu nedenle yazmış olduğumuz komutu diğer cihazlara da tanımlamamız gerekmektedir.

Legacy Maliyet Değer Aralığı : 1–200000

Dot1qt (IEEE 802.1T) Maliyet Değer Araliği : 1–2000000

Dot1d-1998 (IEEE 802.1d) Maliyet Değer Aralığı : 1–65535

Maliyet hesaplama standart ı tanımlandıktan sonra “interface GE 1/0/0” komutu ile “root port” olarak çalışacak portun içerisine giriyoruz ve “stp root-protection” komutunu çalıştırıyoruz. Bu sayede “GE 1/0/0” portunu korumaya alarak topoloji üzerindeki yanlış bağlantılar veya kötü niyetli girişimlerden dolayı yüksek önceliğe sahip BPDU paketlerinin alınması durumunda bazı aksaklıkla veya döngüler oluşabilir bunun önüne geçmek için “GE 1/0/0” portunu korumaya alarak “root port” olarak tanımlıyoruz ve bu özelliğini değiştirilemez hale getirmiş oluyoruz.

Eğer root koruması olan portlar üzerinden yüksek öncelikli BPDU iletimi yapılırsa port üzerinden iletişim kesilir ve “Forward Delay” süresi dolmadan yüksek öncelikli BPDU paketi almaz ise port tekrar otomatik olarak aktif hale gelecektir.

“stp root-protection” komutunu çalıştırdıktan sonra karşımıza çıkan uyarıda bizlere yapılandırmış olduğumuz root korumasının sadece tanımlanan port için geçerli olacağını ve aynı işleve sahip diğer portlar üzerinde de aynı tanımlamanın yapılması öneriliyor.

Root korumasının ardından “port link-type trunk” komutu ile portu “trunk” olarak tanımlıyor ve devamında “undo shutdow” komutu ile portu açıyoruz.

1/0/0 numaralı port üzerinde gerçekleştirdiğimiz işlemlerin aynısını 1/0/1 portu üzerinde de geçekleştiriyoruz ve son olarak tüm yapılandırmaların sonunda “stp enable” komutu ile STP protokolünü aktif hale getiriyoruz.

Şimdi SW2 yapılandırmasını gerçekleştirelim.

[SW2] stp mode rstp

[SW2] stp pathcost-standard legacy

[SW2] stp bpdu-protection

[SW2] interface GE 1/0/9

[SW2-GE1/0/9] port link-type access

[SW2-GE1/0/9] stp edged-port enable

[SW2-GE1/0/9] port-security enable

[SW2-GE1/0/9] port-security maximum 1

[SW2-GE1/0/9] port-security mac-address sticky

[SW2-GE1/0/9] port-security protect-action restrict

[SW2-GE1/0/9] undo shutdown

[SW2-GE1/0/9] quit

[SW2] stp enable

SW2 yapılandırmamızda öncelikle “stp mode rstp” komutu ile STP için mod tanımladık. Ardından aynı SW1 yapılandırmasında olduğu gibi topoloji içerisindeki tüm switchlerin maliyet standartını “legacy” olarak tanımlayacağız bunun “stp pathcost-standard legacy” komutunu tanımladık ardından SW2 ve SW3 switchlerinde son kullanıcıların bağlı olduğu “Access” modunda portlar bulunmakta ve bu portları “edged” olarak tanımladığımız için bu portlar STP içerisinde BPDU mesajları almazlar. Eğer bir şekilde bu portlar bir BPDU mesajı yayınlanırsa döngü oluşmasını engellemek için “stp bpdu-protection” komutunu tanımlıyoruz ve bu sayede son kullanıcıların bağlı olduğu “edged” portlar üzerinden BPDU yayını gelirse o portlar döngü oluşmasını engellemek için otomatik olarak kapatılacaktır.

STP tanımlamalarımızı yaptıktan sonra “interface GE 1/0/9” komutu ile PC1’in bağlı olduğu porta bağlanıyoruz. Ardından “port link-type access” komutu ile portu “access” moduna alıyoruz ve “stp edged-port enable” komutu ile PC1’in bağlı olduğu portu “edged” olarak ayarlıyoruz.

Bu aşamada PC1’in bağlı olduğu port üzerine port security tanımlaması yapacağız. Öncelikle “port-security enable” komutu ile aktif hale getiriyoruz. Ardından “port-security maximum 1” komutu ile port üzerine sadece 1 adet host bağlanabileceğini tanımlıyoruz. Buradaki “1” değerinin yerine yazacağınız değer kadar host kabul edilecektir.

Bu aşamadan sonra port security için PC1’in MAC adresini otomatik alması için “port-security mac-address sticky” komutunu yazıyoruz. Buradaki “sticky” komutu port üzerine o anda bağlı olan cihazın MAC adresini alarak port security için tanımlayacaktır. Son aşamada “port-security protect-action restrict” komutu ile yapılandırdığımız port security için bir ihlal durumunda nasıl tepki vereceğini tanımlıyoruz “restrict” komutu ile ihlal durumunda portun askıya alınmasını sağlıyoruz. Tüm yapılandırmalar tamamlandıktan sonra “undo shutdown” komutu ile portu açıyor ve “stp enable” komutu ile STP aktif hale geliyor.

Şimdi aynı işlemleri SW3 içinde gerçekleştirelim.

[SW3] stp mode rstp

[SW3] stp pathcost-standard legacy

[SW3] stp bpdu-protection

[SW3] interface GE 1/0/9

[SW3-GE1/0/9] port link-type access

[SW3-GE1/0/9] stp edged-port enable

[SW3-GE1/0/9] port-security enable

[SW3-GE1/0/9] port-security maximum 1

[SW3-GE1/0/9] port-security mac-address sticky

[SW3-GE1/0/9] port-security protect-action restrict

[SW3-GE1/0/9] undo shutdown

[SW3-GE1/0/9] quit

[SW3] stp enable

Tüm yapılandırmalardan sonra SW2 üzerinde “display stp brief” komutunun çıktısını görelim.

<SW2>display stp brief

0 GE1/0/0 ROOT forwarding none 199 disable

0 GE1/0/1 DESI discarding loopback 199 disable

0 GE1/0/9 DESI forwarding bpdu 199 enable

Aynı komutu SW1 ve SW3 içinde çalıştıralım.

<SW1>display stp brief

0 GE1/0/0 DESI forwarding root 199 disable

0 GE1/0/1 DESI forwarding root 199 disable

<SW3>display stp brief

0 GE1/0/0 ROOT forwarding none 199 disable

0 GE1/0/1 DESI discarding loopback 199 disable

0 GE1/0/9 DESI forwarding bpdu 199 enable

Tüm switchlerin “display stp brief” çıktığına baktığımız zaman “Protection” bölümünde SW1 için 1/0/0 ve 1/0/1 portlarında “Root Protection” yapılandırılmış olduğunu ayrıca SW2 ve SW3 için 1/0/9 portlarında “BPDU Protection” yapılandırılmış olduğunu görebiliyoruz.

Ayrıca SW1 ile SW2 arasında ve SW1 ile SW3 arasındaki 1/0/0 portlarının her ikisinin rolünün “ROOT” olarak ayarlanmış olduğunu görüyoruz.

SW2 ile SW3 arasındaki 1/0/1 numaralı portun “discarding” olduğunu ve diğer tüm bağlantıların “forwarding” olduğunu görebiliyoruz. Ayrıca SW2 ve SW3’e bağlı PC bağlantılarının “edged” özelliğinin enable diğer tüm bağlantıların “edged” özelliğinin disable olduğunu görebiliyoruz.

RSTP yapılandırmasının ardından yukarıdaki topoloji üzerinden MSTP yapılandırmasından bahsedeceğim. İlk olarak tüm swichler üzerinde MSTP bölgesi oluşturup 2 farklı MSTI yapılandırarak başlayalım.

SW1 MSTI yapılandırması.

[SW1]stp region-configuration

[SW1-mst-region]region-name BOLGE

[SW1-mst-region]instance 1 vlan 10

[SW1-mst-region]instance 2 vlan 20

[SW1-mst-region]commint

[SW1-mst-region] check region-configuration

[SW1] stp instance 1 root primary

[SW1] stp instance 2 root secondary

SW2 MSTI yapılandırması.

[SW2]stp region-configuration

[SW2-mst-region]region-name BOLGE

[SW2-mst-region]instance 1 vlan 10

[SW2-mst-region]instance 2 vlan 20

[SW2-mst-region]commint

[SW2-mst-region] check region-configuration

[SW2] stp instance 1 root secondary

[SW2] stp instance 2 root primary

SW3 MSTI yapılandırması.

[SW3]stp region-configuration

[SW3-mst-region]region-name BOLGE

[SW3-mst-region]instance 1 vlan 10

[SW3-mst-region]instance 2 vlan 20

[SW3-mst-region]commint

[SW3-mst-region] check region-configuration

SW4 MSTI yapılandırması.

[SW4]stp region-configuration

[SW4-mst-region]region-name BOLGE

[SW4-mst-region]instance 1 vlan 10

[SW4-mst-region]instance 2 vlan 20

[SW4-mst-region] commint

[SW4-mst-region] check region-configuration

Tüm switchler üzerinde “stp mode mstp” komutu ile STP modunu MSTP olarak ayarladık. Ardından “stp region-configuration” komutu ile MSTI yapılandırması için bir bölge oluşturuyoruz. Komutu yazdıktan sonra karşımıza çıkan bilgi mesajında ise eğer “region-name” komutu ile oluşturduğumuz bölgeyi isimlendirmez isek varsayılan olarak MAC adresini bölge ismi olarak atayacak diyerek bizi bilgilendiriyor.

Bizde “region-name” komutu ile oluşturduğumuz bölgeyi isimlendiriyoruz. Son olarak “instance 1 vlan 10” komutu ile “instance 1” ile VLAN 10 eşleştirildi. “instance 2 vlan 20 ” komutu ile “instance 2” ile VLAN 20 eşleştirildi.

Son aşamada SW1 “stp instance 1 root primary” ve “stp instance 2 root secondary” komutları ile instance 1 için birincil root olurken instance 2 için ikincil root olmuş oldu ve Aynı işlemleri SW2 içinde gerçekleştirdiğimizde “stp instance 1 root secondary” ve “stp instance 2 root primary” komutlarını girerek SW2’nin instance 1 için ikincil root olurken instance 2 için birincil root olmuştur.

Şimdi SW3 üzerinde VLAN yapılandırmalarını gerçekleştirelim.

[SW3]vlan 10

[SW3-vlan10]name DATA10

[SW3-vlan10]quit

[SW3]vlan 20

[SW3-vlan20]name DATA20

[SW3-vlan20]quit

[SW3]interface GE 1/0/8

[SW3-GE1/0/8]port link-type access

[SW3-GE1/0/8]port default vlan 10

[SW3-GE1/0/8]stp edged-port enable

[SW3-GE1/0/8]undo shutdown

[SW3-GE1/0/8]quit

[SW3]interface GE 1/0/9

[SW3-GE1/0/9]port link-type access

[SW3-GE1/0/9]port default vlan 20

[SW3-GE1/0/9]stp edged-port enable

[SW3-GE1/0/9]undo shutdown

[SW3-GE1/0/9]quit

[SW3]interface GE 1/0/0

[SW3-GE1/0/0]port link-type trunk

[SW3-GE1/0/0]port trunk allow-pass vlan 10 20

[SW3-GE1/0/0] stp instance 2 cost 200000

[SW3-GE1/0/0]undo shutdown

[SW3-GE1/0/0]quit

[SW3]interface GE 1/0/2

[SW3-GE1/0/2]port link-type trunk

[SW3-GE1/0/2]port trunk allow-pass vlan 10 20

[SW3-GE1/0/2] stp instance 1 cost 200000

[SW3-GE1/0/2]undo shutdown

[SW3-GE1/0/2]quit

[SW3]stp bpdu-protection

[SW3]stp enable

Aynı işlemleri SW4 içinde gerçekleştirelim.

[SW4]vlan 10

[SW4-vlan10]name DATA10

[SW4-vlan10]quit

[SW4]vlan 20

[SW4-vlan20]name DATA20

[SW4-vlan20]quit

[SW4]interface GE 1/0/8

[SW4-GE1/0/8]port link-type access

[SW4-GE1/0/8]port default vlan 10

[SW4-GE1/0/8]stp edged-port enable

[SW4-GE1/0/8]undo shutdown

[SW4-GE1/0/8]quit

[SW4]interface GE 1/0/9

[SW4-GE1/0/9]port link-type access

[SW4-GE1/0/9]port default vlan 20

[SW4-GE1/0/9]stp edged-port enable

[SW4-GE1/0/9]undo shutdown

[SW4-GE1/0/9]quit

[SW4]interface GE 1/0/0

[SW4-GE1/0/0]port link-type trunk

[SW4-GE1/0/0]port trunk allow-pass vlan 10 20

[SW4-GE1/0/0] stp instance 1 cost 200000

[SW4-GE1/0/0]undo shutdown

[SW4-GE1/0/0]quit

[SW4]interface GE 1/0/2

[SW4-GE1/0/2]port link-type trunk

[SW4-GE1/0/2]port trunk allow-pass vlan 10 20

[SW4-GE1/0/2] stp instance 2 cost 200000

[SW4-GE1/0/2]undo shutdown

[SW4-GE1/0/2]quit

[SW4]stp bpdu-protection

[SW4]stp enable

Hem SW3’de hem de SW4’de geçekleştirdiğimiz yapılandırmalar ile her iki switch üzerinde iki adet VLAN oluşturduk oluşturduğumuz her bir VLAN için port atamalarını gerçekleştirdik. VLAN atadığımız portları “access” olarak ayarladık ve “edged” özelliğini aktif hale getirdik. Son aşamada “stp bpdu-protection” komutu ile “bpdu” koruması tanımladık.

SW3 üzerindeki 1/0/0 portunda “stp instance 2 cost 200000” komutunu yazarak “instance 2” için SW3 üzerindeki 1/0/0 portunu “yedek” durumuna gelmiş oluyor. Devamında SW4 üzerindeki 1/0/1 portunda “stp instance 1 cost 20000” komutunu yazarak “instance 1” için SW4 üzerindeki 1/0/0 portunu “yedek” durumuna getirmiş oluyoruz.

Aynı şekilde SW3 üzerindeki 1/0/2 portunda “stp instance 1 cost 200000” komutunu yazarak “instance 1” için SW3 üzerindeki 1/0/2 portunu “yedek” durumuna gelmiş oluyor. Devamında SW4 üzerindeki 1/0/1 portunda “stp instance 2 cost 20000” komutunu yazarak “instance 2” için SW4 üzerindeki 1/0/2 portunu “yedek” durumuna getirmiş oluyoruz.

Bu sayede SW3’ün 1/0/0 portu “instance 1” ve 1/0/2 portu ise “instance 2” için öncelikli duruma gelmiş oluyor. Ayrıca SW4’ün 1/0/0 portu “instance 2” ve 1/0/2 portu ise “instance 1” için öncelikli duruma geliyor.

SW3 “display stp brief” komutunun çıktısını görelim.

<SW3>display stp brief

1 GE1/0/0 ROOT forwarding none 199 disable

1 GE1/0/2 DESI forwarding none 200000 disable

1 GE1/0/8 DESI forwarding bpdu 199 enable

2 GE1/0/0 DESI forwarding none 200000 disable

2 GE1/0/2 ROOT forwarding none 199 disable

2 GE1/0/9 DESI forwarding bpdu 199 enable

Aynı şekilde SW4 için “display stp brief” komutunun çıktısını görelim.

<SW4>display stp brief

1 GE1/0/0 DESI forwarding none 200000 disable

1 GE1/0/2 ROOT forwarding none 199 disable

1 GE1/0/8 DESI forwarding bpdu 199 enable

2 GE1/0/0 ROOT forwarding none 199 disable

2 GE1/0/2 DESI forwarding none 200000 disable

2 GE1/0/9 DESI forwarding bpdu 199 enable

Her iki cihazın “display stp brief” çıktılarına bakarsak SW3 için 1/0/0 numaralı port “instance 1” için öncelikli durumda ve “root” rolüne sahip. 1/0/2 portu ise “instance 1” için askıya alınmış durumda. Buda demek oluyor ki “instance 1” yani VLAN 10 iletişimi 1/0/0 portu üzerinden iletilecektir. Aynı zamanda “instance 2” için 1/0/2 numaralı port “root” rolüne sahip iken 1/0/0 portu “instance 2” için askıya alınmış durumda. Buna göre VLAN 20 iletişimi 1/0/2 portu üzerinden iletilecektir.

Aynı şekilde SW4 için 1/0/2 numaralı portu “instance 1” için öncelikli durumda ve “root” rolüne sahiptir ve 1/0/0 portu “instance 1” için askıya alınmış durumdadır. Bu sayede SW4 üzerindeki VLAN 10 iletişimi 1/0/2 portu üzerinden iletilecektir. Ayrıca 1/0/0 portu “instance 2” için öncelikli ve “root” rolündedir ve 1/0/2 portu “instance 2” için askıya alınmış duruma gelmiştir. Bu sayede SW4 üzerinde VLAN 20 1/0/0 portu üzerinden iletilecektir.

Serdar BABAÇ / IT Specialist