自動化を使用して VTP 爆弾を回避する

ネットワークにおける VTP とは何ですか?

VTPの意味 VLAN トランキング プロトコルは、スイッチ ネットワーク全体で VLAN 構成を自動的に管理および伝播する 2 層プロトコルです。VTP コマンドを通じて、スイッチ間でデータが送信され、データベースが同期されます。これにより、正しい VTP ドメインで VLAN 構成の一貫性が維持されます。ネットワーク技術者は、サーバーからの VTP アドバタイズメントを監視して、仮想ローカル エリア ネットワーク構成の更新がドメイン内のすべてのスイッチに適切にブロードキャストされていることを確認します。

VTP ネットワーキングは、同じ VTP ドメイン上の複数のスイッチを簡素化および自動化するため、組織では通常、VTP の使用が好まれます。個々の構成は小規模ネットワーク管理者が手動で行うには十分簡単ですが、大規模なネットワークでは、スイッチからスイッチに移動して構成する必要がないように、VTP を構成する必要があります。

デバイス間の何百ものスイッチに物理的にアクセスし、手動で設定しなければならないことを想像してみてください。VTP プロトコルは、中央サーバーから動作し、データベースを同期し、VTP サーバー モードを通じて一貫性を確保するため、設定が簡素化されます。

ネットワークが拡大し続ける組織では、VTP によって新しく追加されたスイッチの構成が保証されます。スイッチのオンボーディング プロセスが自動化されるため、管理者の手作業がエラーなく容易になります。新しい VLAN を作成すると、VTP によって自動的にそれが VTP 管理ドメイン全体に伝播されます。

自動化用の VLAN トランキング プロトコルを使用する場合、そのコア VTP 伝播機能と必須データベース同期機能により、歪んだ VLAN 構成の更新を通じて間接的に VTP ボミングが可能になることに注意してください。VTP ネットワークの問題は通常、スイッチが「VTP モード トランスペアレント」に設定されていない場合など、VTP モードがトランスペアレントでない場合に発生し、ネットワークの安定性とセキュリティに重大なリスクをもたらします。VTP ボムを防ぐ方法については、以下をお読みください。

VTP 爆弾を防ぐ古い方法

CCNA 認定資格のインクがまだ乾いていなかった頃、私は大規模な学区のスイッチ更新プロジェクトに携わっていました。顧客は、デフォルト ゲートウェイ、DNS サーバー、SNMP コミュニティ文字列、ホスト名、そして (ご想像のとおり) VTP 情報など、いくつかのパラメータを提供しましたが、ネットワークの検出は一度も行っていませんでした。インフラストラクチャを詳しく調べる時間がなかったため、どのスイッチが VTP サーバーで、そのリビジョン番号は何かを調べる代わりに、スイッチに構成を貼り付けてカットオーバーを計画しただけでした。

クローゼットのスイッチを交換しながら夜を過ごすうちに、展開は急速に進みました。とても楽しかったです。 学校は静かで、私たちを元気づけるために大量のピザとコーヒーがありました。 ホールの終わりには、私たちのお気に入りのクラシック ロック ステーションを再生する小さなステレオがありました。

史上最高のグランジ バンドは誰かと議論しているときに、警備員が立ち寄り、バスの駐車場がオフラインであると教えてくれました。 彼は防犯カメラ、電子メール、またはインターネットにアクセスできませんでした。 彼はあまり心配していなかったので、私たちもそうでした。

しかし、すべての AP が点滅し、ウォール フォンが登録されていないことを確認したとき、問題があることがわかりました。 AP と電話の接続を共有する XNUMX つのクローゼットだけで作業していましたが、建物全体がダウンしているように見えました。 実際、バスのガレージは完全に別の建物だったので、何かが深刻にホースで洗われていることはわかっていました。

VTP の設定に必要なコマンドはほんの一握りですが、すべてのスイッチを XNUMX つずつ手動で調査すると、エラーが発生しやすく、時間がかかります。

ありがたいことに、問題を理解するのにそれほど時間はかかりませんでした。 コア スイッチにログインし、いろいろ調べてみました。 スイッチに VLAN がないことを確認するのに、CCIE でいっぱいの部屋は必要ありませんでした。 さらに調査した結果、もちろん、VLAN 1 以外に、ネットワーク全体に何もないことがわかりました。

私たちは恐ろしい VTP 爆弾を経験しました。

誰かが他のすべてよりも高い VTP リビジョン番号を持つスイッチを接続し、ネットワーク全体の VLAN 構成をワイプしました。 どのスイッチが原因なのか、誰がやったのかはわかりませんでしたが、同僚がケーブル配線に集中していたので、間違いなく私でした。

VTP 爆弾は、VTP バージョン 3 の出現により、もはやそれほど深刻な問題ではないかもしれません。 ただし、VTP インシデントに対する実際の解決策は、ネットワークを完全に理解し、新しいデバイスを適切に設定することです。

VTP の設定に必要なコマンドはわずかであり、VTP がネットワーク上でどのように動作しているかを把握するために必要なコマンドもわずかです。 問題は、アクセス層に多くのデバイスがあるため、徹底的な調査が面倒で、エンジニアが簡単に却下できることです。

• Sshow VTP ステータスには、VTPvtp バージョン、リビジョン番号、正しい VTP ドメイン名、動作モードなどの情報が表示されます。
• Sshow VTP デバイスは VTP ドメインを照会し、検出された VTP サーバーとクライアントを表示します。
• show VTPvtp counters コマンドの出力は、エンジニアに特定のデバイス上の VTP アクティビティを表示します。

適度な規模のネットワークでも、エンジニアがすべてのデバイスをカバーしていることを確認するまで、スイッチからスイッチへと移動する必要があります。 せいぜい、これを手動で行うのはエラーが発生しやすく、面倒です。 最悪の場合、エンジニアはそれを完全に避けます。

VTP 爆弾を防ぐ新しい方法

NetBrain これを行う手間がなくなります — または多くのデバイスでのその他の手動構成。 これらの種類のタスクを自動化するために特別に構築された、 Runbook テクノロジー は、数回クリックするだけで、関連するすべての VTP 情報をネットワークから収集するフレームワークをエンジニアに提供します。 以下のスクリーンショットでは、 Dynamic Map 右側の検出されたネットワークの Runbook 左側は、インフラストラクチャ全体にわたる VTP 情報の収集を自動化するために使用されます。

この Dynamic Map VTP ロール、VTP サーバー、VTP クライアント、VTP トランスペアレントをハイライトします。 VTP ドメイン名、VTP モード、VTP 実行バージョン、設定バージョン、および VTP プルーニング モードは、デバイス レベルのデータ テーブルとして組み込まれています。

また、より一般的な VTP 関連の問題の XNUMX つであるパスワードの不一致も考慮してください。 これは、一度に XNUMX つのデバイスをチェックするのは非常に面倒であり、人的エラーが非常に発生しやすくなります。 なぜなら、 Runbook から動作します Dynamic Map 検出されたデバイスのすべてであり、エンジニアが実行するすべてのコマンドが含まれています。 NetBrain は、トラブルシューティング ワークフロー全体を自動化でき、数時間ではなく数秒でタスクを完了できます。

以下のスクリーンショットで、 Runbook 具体的には、Qapps と呼ばれるアクションを実行して、パスワードの不一致などの一般的な VTP 設定の問題を見つけます。

Runbookコマンドごと、デバイスごとに手動でコマンドを実行する代わりに、すべての手順を自動的に実行します。 ここでは、パスワードの不一致をチェックし、結果を Dynamic Map.

しかし、 Dynamic Map砂 Runbooks は、ワークフロー全体を強化する方法にあります。 次のスクリーンショットでは、VTP パスワードの不一致を確認した後、 Runbook 次のアクションに進み、VTP インターフェイスの不一致をチェックします。 このようにして、 Dynamic Map と Runbook コンソール接続や古いスプレッドシートを使用する代わりに、エンジニアが完全に自動化された環境を共同で作成します。

そうして Runbook 別の Qapp を自動的に実行して、インターフェイスの不一致をチェックします。これも、すべてのデバイスで一気に一挙に行われます。

同僚と私は VLAN をコア スイッチに戻し、損傷の一部を修復することができました。 不注意であることに耳を傾けましたが、最終的にはすべてを稼働させることができましたが、手動で構成するのに何時間もかかりました.

私は自分自身のVTP関連の事件を経験したので、誰かがVTPのジョークを言ってもあまり笑わなくなりました。残念ながら、その原因は私でしたが、それはVTPを理解していなかったからでも、コマンドを知らなかったからでもありません。私は十分な注意を払っていませんでした。 Dynamic Map砂 Runbooks は、ワークフロー全体を強化する方法にあります。

ネットワークの検出は面倒で時間がかかりますが、無視すると大きな問題が発生する可能性があります。 人的エラーを軽減し、痛みを抽象化する自動化ソフトウェアは、仕事を容易にするだけでなく、恐ろしい VTP 爆弾などの停止から保護します。