Vlan

this note is a personal use.

Vlan (Virtual Lan) Vlan ဆိုတာ Lan,Broadcast,Subnet,Network တစ်ခုလို့ပြောလို့ရတယ်။ vlan ဆိုတာ physically အရလုပ်ထားတာမဟုတ်ဘူး။ vlan ၁၀ခုခွဲရင် network လဲ 10 ခုကွဲလိမ့်မယ်။vlan က layer 2 မှာအလုပ်လုပ်တယ်။ vlan ကို switch မှာ create လုပ်ရတာပဲဖြစ်တယ်။

Why Use Vlan?

ဥပမာ - vlan 5 ခုခွဲလိုက်မယ်။ vlan 5ခုခွဲလိုက်တော့ broadcast domain 5 ခုကွဲသွားမယ်။ broadcast domain တစ်ခုက လွှတ်လိုက်တဲ့ message တွေသည်တခြား broadcast domain တွေ မရောက်တော့သောကြောင့် broadcast traffic တွေကို လျှော့ချလာနိုင်တယ်။ broadcast traffic တွေလျှော့သွားတဲ့အတွက် performance ပိုကောင်းလာမယ်။ Secureပိုဖြစ်လာမယ်။ policy apply လုပ်တဲ့အခါမှာလည်းလွယ်ကူလာမယ်။ easy to management ဖြစ်လာမယ်။

How To Create Vlan?

Vlan ကို Create လုပ်ချင်ရင်နေရာ 3 နေရာ create လုပ်လို့ရတယ်။ 1. global configuration , 2. vlan database , 3. vtp server မှာလည်း လုပ်လို့ရတယ်။အဲ့ထဲက အသုံးများဆုံးကတော့ global configuration mode ကလုပ်တာပဲဖြစ်ပါတယ်။

Vlan ID = 12 bits (4096) 0 to 4095 (1 to 4094) ထိသုံးလို့ရတယ်။ဘာလို့ 4096ဖြစ်လဲဆိုတော့ သူ့အတွက်သတ်မှတ်ထားတဲ့ bits က 12bitsဖြစ်လို့။ အဲ့ဒီမှာမှ အသုံးပြုလို့ရတာက Standard Range နဲ့ Extended Range ဆိုပြီးနှစ်ပိုင်းကွဲသေးတယ်။ Standard Range = 1 to 1005 , Extendend Range = 1006 to 4094 ထိသုံးလို့ရတယ်။ ဟိုးအရင် Switch အဟောင်းတွေမှာ Extendend Range Support မလုပ်ဘူး။ အဲ့ဒီမှမှ Cisco မှာဆို စက်ရုံက ထုတ်ထဲက Default Vlan - Vlan1 ဆိုပြီးပါတယ်။နောက်ထပ် 1002 to 1005 လဲသုံးလို့မရဘူး။ အဲ့ကောင်တွေအကုန်လုံးကို ဖြတ်လို့ ပြင်လို့မရဘူး။

SW1(config)#vlan 10 SW1(config-vlan)#name IT

SW1(config-vlan)#vlan 11 SW1(config-vlan)#name HR

SW1(config-vlan)#vlan 12 SW1(config-vlan)#name ADMIN

SW1(config-vlan)#exit SW1(config)#do sh vlan bri

SW1(config-if-range)#switchport access vlan 10

SW1(config-if-range)#switchport mode access

End User တွေအတွက်ကို သုံးရင်တော့ switchport mode access ကိုရိုက်ပေးရလိမ့်မယ်။ Switch to Switch ချိတ်တဲ့ Port တွေကို switch port mode trunk ဆိုပြီး ရိုက်ပေးရလိမ့်မယ်။ဘာကြောင့်ရိုက်ပေးရလဲဆိုတော့ ciscoကထုတ်လိုက်တဲ့ switch တွေရဲ့ default mode က Dynamic Auto ဖြစ်လို့ပဲဖြစ်ပါတယ်။ အဲ့တာကြောင့်သူ့ကို access or trunk port ကို ပုံသေမှတ်လို့မရပါဘူး။သူက တစ်ဖက်ကလူရဲ့စကားကိုနားထောင်ပြီးချိန်းပါတယ်။ အဲ့တာကြောင့်သူ့ကို Dynamic Auto လို့ခေါ်တာပါ။မချိန်းပဲထားရင်ဘာဖြစ်မလဲဆိုတော့ မသမာသူတစ်ယောက်က အဲ့port နဲ့ချိတ်ပြီးTrunk Portလုပ်လိုက်ရအောင်လို့ပြောလိုက်ရင်သူက trunk ဖြစ်သွားရော။Trunk ဖြစ်သွားရင်ဘာပြသနာရှိလဲဆိုတော့ Trunk က Multiple Vlanတွေကို carry လုပ်နိုင်တယ်။access port ကတော့သက်ဆိုင်ရာvlanကိုပဲ carry လုပ်နိုင်တယ်။ နောက် command တစ်ခုကတော့ -

SW1(config-if-range)#switchport nonegotiate

ဒီ commandကလည်းရိုက်သင့်တဲ့အထဲမှာပါတယ်။ဒါကဘာလဲဆိုတော့ Attacker က trunk လုပ်ရအောင်လာပြောတယ်ဆိုတာက negotiateလာလုပ်သလိုပဲ။သူကလည်းဒီလိုပဲတခြား Switchတွေကိုnegotiateလုပ်မလားဆိုပြီးလိုက်ပြောနေတာ။ ဒါကြောင့်မလို့ negotiate requestမပို့အောင် ဒီ commandကိုလည်းရိုက်ဖို့လိုအပ်ပါတယ်။ကိုယ့်ရဲ့ port access or trunk port ဆိုတာစစ်ချင်ရင်

SW2#sh int fa0/1 switchport

ဆိုပြီးရိုက်ပြီးကြည့်နိုင်ပါတယ်။