CCNA (Cisco Certified Network Associate)

Switchler açıldıklarında ortamda ROOT BRIDGE olarak adlandırılan merkezi cihazı bulmaya çalışır. Öncelikle merkezi cihaz olarak kendisini networke tanıtır. Listening paketleri ile ortamdan da ROOT Bridge bilgilerini elde eder. Priority olarak kendisinden daha düşük değerli paket alırsa o mac adresini ROOT BRIDGE olarak kaydeder. Ortamdaki tüm switchlerin PRIORITY değerleri aynı ise bu durumda kendi aralarında en düşük MAC adresine sahip olan cihazı ROOT BRIDGE olarak kaydedeceklerdir.

• Varsayılan ayarlala çalışan bir sistemde ROOT BRIDGE en düşük mac adresine sahip cihazdır.
• Yönetici bu cihazı değiştirmek isterse PRIORITY (öncelik) değerini manuel olarak girer.

Cihazda show spanning-tree komutu kullanıldığında root bridge bilgilerini öğrenebiliriz.

Switch1#show spanning-tree
VLAN0001
Spanning tree enabled protocol ieee
Root ID Priority 32769
Address 0000.0C33.8ECC
This bridge is the root
Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 32769 (priority 32768 sys-id-ext 1)
Address 0000.0C33.8ECC
Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec
Aging Time 20

Interface Role Sts Cost Prio.Nbr Type
---------------- ---- --- --------- -------- --------------------------------
Fa0/1 Desg FWD 19 128.1 P2p
Fa0/2 Desg FWD 19 128.2 P2p
Gi0/1 Desg FWD 4 128.25 P2p
Gi0/2 Desg FWD 4 128.26 P2p

Komut kullanıldığında cihazın

• priority değeri
• Ortamdaki ROOT BRIDGE mac adresi
• Cihazın kendi BRIDGE mac adresi (en düşük mac adresi)
• STP cost değerleri öğrenilebilir.
• Cihazın port durum bilgilerine ulaşılabilir.

PORT DURUM BİLGİLERİ

ROOT PORT: Cihazın hangi porttan ROOT BRIDGE e daha kısa yol ile ulaşabildiğini belirten porttur. COST değeri en düşük porttur.

DESIGNATED PORT: En düşük cost değerini hesaplamak için kullanılan portlardır. Port iletim durumundadır.

NONDESIGNATED PORT: En yüksek değerli cost a sahip portlardır. İletim durumunda değildir.

FORWARDING PORT: Frame leri iletebilen açık portlardır.

BLOCKED PORT: LOOP (döngüyü) engellemek için kapatılan frame iletimi yapmayan ancak fiziksel olarak açık olan portlardır.

ALTERNATE PORT : Bloklanan porttur.

EDGE PORT: Portuna bir host un bağlı olduğu ve manuel tanımlamayla oluşturulabilen portlardır. Kullanım amacı STP yi hızlandırmaktır.

Seçilen ROOT BRIDGE e göre tüm cihazlar root a giden en kısa yolu açık tutmaya çalışır. Bu portu da ROOT PORT olarak atar.

Cost değerinin belirlenmesinde önemli diğer kriter ise bandwithlerdir.

Örnek tabloyu aşağıda inceleyebilirsiniz.

Switch2#show spanning-tree
VLAN0001
Spanning tree enabled protocol ieee
Root ID Priority 32769
Address 0000.0C33.8ECC
Cost 19
Port 1(FastEthernet0/1)
Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 32769 (priority 32768 sys-id-ext 1)
Address 000A.F392.3B16
Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec
Aging Time 20

Interface Role Sts Cost Prio.Nbr Type
---------------- ---- --- --------- -------- --------------------------------
Fa0/1 Root FWD 19 128.1 P2p
Fa0/2 Desg FWD 19 128.2 P2p
Fa0/4 Desg FWD 19 128.4 P2p

Komutu kullanıldıktan sonra ortamda yeni root bridge seçimi yapılmıştır.

Priority değerleri 0-61440 arasında verilir ve 4096 nın katları ile atama yapılabilir.

RSTP

STP nin daha hızlı modelidir. 802.1w networkler olarak ifade edilir.

stp de backup port 50 saniyede düzenlenirken, rstp bu süre 6 sn dir.
STP den farklı olarak Blocking(bloklama) yerine discarding (yok etme) portu kullanılır.
Yine STP deki Listening kullanılmaz.

NOT: CCNA de port role: discarding olarak çıkmışsa kullanılan protokol RSTP dir.

Edge port tanımlanırken port un birden fazla host a bağlı olması durumunda LOOP oluşur. Portun tanımlanabilmesi için

Switch(config-if)#spanning-tree portfast
%Warning: portfast should only be enabled on ports connected to a single
host. Connecting hubs, concentrators, switches, bridges, etc... to this
interface when portfast is enabled, can cause temporary bridging loops.
Use with CAUTION

%Portfast has been configured on FastEthernet0/2 but will only
have effect when the interface is in a non-trunking mode.

Switchde birden fazla arabirime komut atamak için

sw1(config)#interface range fastEthernet 0/3 - 16
sw1(config-if-range)#

gibi bir komut kullanılırsa fa0/3, fa0/4, fa0/5, fa0/6, fa0/7, fa0/8, fa0/9, fa0/10, fa0/11, fa0/12, fa0/13, fa0/14, fa0/15, fa0/16 arabirimlerinin tamamına ortak bir komut atanabilir.

Spanning Tree’yi disable etmese de portları listening learning gibi loop önleyen aşamalardan geçirmeyecek, bu da çok büyük bir hız kazancı getirecektir. Ancak bu özellik aynı zamanda kötü niyetli kişiler tarafından kullanılabilecek bir güvenlik açığıdır.

SENARYO: FA0/6 a bağlı bir pc kullanıcısı dışarıdan ortama bir switch takarsa, fa0/6 listening modda olmadığı için bu noktalarda oluşacak bir LOOP olayını farkedemeyecektir. Bu da tüm networkde LOOP a neden olacak ve network altyapısı çökecektir.

Bu senaryodaki durumu önlemek için BPDU Guard isimli bir özellik geliştirilmiştir. BPDU Guard, kısaca açıklarsak portfast enabled portlardan BPDU alınca o portu kapatma işlevini yapar. Böylece kötü amaçlı kişi switch’ini sizin network ünüze bağladığında bağlandığı port otomatik olarak kapanır.
BPDU Guard’ı port bazında aşağıdaki komutla açabilirsiniz.

Switch(config-if)#spanning-tree bpduguard enable

Ya da, global configuration mode içindeyken bu komutu yazarak aktive edebilirsiniz.

Switch(config)#spanning-tree portfast bpduguard default

ROOT GUARD:

Bunun dışında örneğin yanlış konfigüre edilmiş bir switch’in network’e bağlanması sonucu Root Bridge’iniz değişebilir. Ancak Root Bridge, networkün çok temel ve önemli bir parçası olduğundan hiçbir zaman değişmemesini sağlamanız gerekir. Bunun için de Root Guard geliştirilmiştir. Root Guard,   yalnızca Root Bridge’de (belki en fazla Backup Root Bridge’de) enable hale getirebilir.
Root Guard, Root Bridge üzerindeki portlardan, sadece hattın diğer ucundaki switchlerin root seçilmemesi gerektiğinden emin olunan portlarda enable duruma getirilir.

Örneğin yukarıdaki network e bakarsanız, seçilen Root Bridge’in yalnızca Backup R. B. ‘e giden portunda Root Guard açılmamıştır. Eski switchlere bağlanan portlarından, daha düşük priority ile Root Bridge olmak isteyen bir switch görürse Root Guard, bu pakedi aldığı portu “incostintent port” olarak işaretler ve kapatır. Böylece yanlışlıkla bir switch’in Root Bridge seçilmesini engellenmiş olur.
Aşağıdaki komutla port bazında Root Guard’ı açabilirsiniz.

Switch(config-if)# spanning-tree guard root

Burada dikkat edilmesi gereken nokta, network tamamen oturduktan sonra Root Guard özelliğini açmaktır. Eğer Spanning Tree işlemi tam olarak bitmediyse, Root Guard bazı problemlere yol açabilir. Bu nedenle Root ve Backup Root Bridge seçimi doğru olarak yapılıp işlem tamamlandıktan sonra bu özelliğin açılması gerekir.