Cấu trúc Active Directory Phần 1

1. Active Directory là gì?

Trước hết chúng ta hãy đi tìm hiểu xem Active Directory là gì. Active Directorylà một dịch vụ thư mục (directory service) đã được đăng ký bản quyền bởi Microsoft, nó là một phần không thể thiếu trong kiến trúc Windows. Giống như các dịch vụ thư mục khác, chẳng hạn như Novell Directory Services (NDS),Active Directory là một hệ thống chuẩn và tập trung, dùng để tự động hóa việc quản lý mạng dữ liệu người dùng, bảo mật và các nguồn tài nguyên được phân phối, cho phép tương tác với các thư mục khác. Thêm vào đó, Active Directory được thiết kế đặc biệt cho các môi trường kết nối mạng được phân bổ theo một kiểu nào đó.

2. Tại sao cần thực thi Active Directory?

Có một số lý do để lý giải cho câu hỏi trên. Microsoft Active Directory được xem như là một bước tiến triển đáng kể so với Windows NT Server 4.0 domain hay thậm chí các mạng máy chủ standalone. Active Directory có một cơ chế quản trị tập trung trên toàn bộ mạng. Nó cũng cung cấp khả năng dự phòng và tự động chuyển đổi dự phòng khi hai hoặc nhiều domain controller được triển khai trong một domain.

Active Directory sẽ tự động quản lý sự truyền thông giữa các domain controllerđể bảo đảm mạng được duy trì. Người dùng có thể truy cập vào tất cả tài nguyên trên mạng thông qua cơ chế đăng nhập một lần. Tất cả các tài nguyên trong mạng được bảo vệ bởi một cơ chế bảo mật khá mạnh, cơ chế bảo mật này có thể kiểm tra nhận dạng người dùng và quyền hạn của mỗi truy cập đối với tài nguyên.

Active Directory cho phép tăng cấp, hạ cấp các domain controller và các máy chủ thành viên một cách dễ dàng. Các hệ thống có thể được quản lý và được bảo vệ thông qua các chính sách nhóm Group Policies. Đây là một mô hình tổ chức có thứ bậc linh hoạt, cho phép quản lý dễ dàng và ủy nhiệm trách nhiệm quản trị. Mặc dù vậy quan trọng nhất vẫn là Active Directory có khả năng quản lý hàng triệu đối tượng bên trong một miền.

3. Những đơn vị cơ bản của Active Directory?

Các mạng Active Directory được tổ chức bằng cách sử dụng 4 kiểu đơn vị hay cấu trúc mục. Bốn đơn vị này được chia thành forest, domain, organizational unit và site.

Forest Active Directory

• Forests: Nhóm các đối tượng, các thuộc tính và cú pháp thuộc tính trongActive Directory.

• Domain: Nhóm các máy tính chia sẻ một tập chính sách chung, tên và một cơ sở dữ liệu của các thành viên của chúng.

• Organizational unit (OU): Nhóm các mục trong miền nào đó. Chúng tạo nên một kiến trúc thứ bậc cho miền và tạo cấu trúc công ty của Active Directory theo các điều kiện tổ chức và địa lý.

• Sites: Nhóm vật lý những thành phần độc lập của miền và cấu trúc OU. Các Site phân biệt giữa các location được kết nối bởi các kết nối tốc độ cao và các kết nối tốc độ thấp, và được định nghĩa bởi một hoặc nhiều IP subnet.

Các Forest không bị hạn chế theo địa lý hoặc topo mạng. Một forest có thể gồm nhiều miền, mỗi miền lại chia sẻ một lược đồ chung. Các thành viên miền của cùng một forest thậm chí không cần có kết nối LAN hoặc WAN giữa chúng. Mỗi một mạng riêng cũng có thể là một gia đình của nhiều forest độc lập. Nói chung, một forest nên được sử dụng cho mỗi một thực thể. Mặc dù vậy, vẫn cần đến các forest bổ sung cho việc thực hiện test và nghiên cứu các mục đích bên ngoài forest tham gia sản xuất.

Domain controller phục vụ như các mục trong chính sách bảo mật và các nhiệm vụ quản trị. Tất cả các đối tượng bên trong một miền đều là chủ đề cho Group Policies miền rộng. Tương tự như vậy, bất cứ quản trị viên miền nào cũng có thể quản lý tất cả các đối tượng bên trong một miền. Thêm vào đó, mỗi miền cũng đều có cơ sở dữ liệu các tài khoản duy nhất của nó. Chính vì vậy tính xác thực là một trong những vấn đề cơ bản của miền. Khi một tài khoản người dùng hoàn toàn xác thực đối với một miền nào đó thì tài khoản người dùng này có thể truy cập vào các tài nguyên bên trong miền.

Active Directory yêu cầu một hoặc nhiều domain để hoạt động. Như đề cập từ trước, một miền Active Directory là một bộ các máy tính chia sẻ chung một tập các chính sách, tên và cơ sở dữ liệu các thành viên của chúng. Một miền phải có một hoặc nhiều máy domain controller (DC) và lưu cơ sở dữ liệu, duy trì các chính sách và cung cấp sự thẩm định cho các đăng nhập vào miền.

Trước kia trong Windows NT, bộ điều khiển miền chính - primary domain controller (PDC) và bộ điều khiển miền backup - backup domain controller (BDC) là các role có thể được gán cho một máy chủ trong một mạng các máy tính sử dụng hệ điều hành Windows. Windows đã sử dụng ý tưởng miền để quản lý sự truy cập đối với các tài nguyên mạng (ứng dụng, máy in và,…) cho một nhóm người dùng. Người dùng chỉ cần đăng nhập vào miền là có thể truy cập vào các tài nguyên, những tài nguyên này có thể nằm trên một số các máy chủ khác nhau trong mạng.

Máy chủ được biết đến như PDC, quản lý cơ sở dữ liệu người dùng Master cho miền. Một hoặc một số máy chủ khác được thiết kế như BDC. PDC gửi một cách định kỳ các bản copy cơ sở dữ liệu đến các BDC. Một BDC có thể có thể đóng vai trò như một PDC nếu máy chủ PDC bị lỗi và cũng có thể trợ giúp cân bằng luồng công việc nếu quá bận.

Với Windows 2000 Server, khi domain controller vẫn được duy trì, các role máy chủ PDC và BDC cơ bản được thay thế bởi Active Directory. Người dùng cũng không tạo các miền phân biệt để phân chia các đặc quyền quản trị. Bên trong Active Directory, người dùng hoàn toàn có thể ủy nhiệm các đặc quyền quản trị dựa trên các OU. Các miền không bị hạn chế bởi một số lượng 40.000 người dùng. Các miền Active Directory có thể quản lý hàng triệu các đối tượng. Vì không còn tồn tại PDC và BDC nên Active Directory sử dụng bản sao multi-master replication và tất cả các domain controller đều ngang hàng nhau.

Organizational units tỏ ra linh hoạt hơn và cho phép quản lý dễ dàng hơn so với các miền. OU cho phép bạn có được khả năng linh hoạt gần như vô hạn, bạn có thể chuyển, xóa và tạo các OU mới nếu cần. Mặc dù các miền cũng có tính chất mềm dẻo. Chúng có thể bị xòa tạo mới, tuy nhiên quá trình này dễ dẫn đến phá vỡ môi trường so với các OU và cũng nên tránh nếu có thể.
Theo định nghĩa, sites là chứa các IP subnet có các liên kết truyền thông tin cậy và nhanh giữa các host. Bằng cách sử dụng site, bạn có thể kiểm soát và giảm số lượng lưu lượng truyền tải trên các liên kết WAN chậm.

4. Infrastructure Master và Global Catalog:

Một thành phần chính khác bên trong Active Directory là Infrastructure Master.Infrastructure Master (IM) là một domain-wide FSMO (Flexible Single Master of Operations) có vai trò đáp trả trong quá trình tự động để sửa lỗi (phantom) bên trong cơ sở dữ liệu Active Directory.

Phantom được tạo ra trên các DC, nó yêu cầu một sự tham chiếu chéo cơ sở dữ liệu giữa một đối tượng bên trong cơ sở dữ liệu riêng và một đối tượng từ miền bên trong forest. Ví dụ có thể bắt gặp khi bạn bổ sung thêm một người dùng nào đó từ một miền vào một nhóm bên trong miền khác có cùng forest. Phantom sẽ bị mất hiệu lực khi chúng không chứa dữ liệu mới cập nhật, điều này xuất hiện vì những thay đổi được thực hiện cho đối tượng bên ngoài mà Phantom thể hiện, ví dụ  như khi đối tượng mục tiêu được đặt lại tên, chuyển đi đâu đó giữa các miền, hay vị xóa. Infrastructure Master có khả năng định vị và khắc phục một số phantom. Bất cứ thay đổi nào xảy ra do quá trình sửa lỗi đều được tạo bản sao đến tất cả các DC còn lại bên trong miền.

Infrastructure Master đôi khi bị lẫn lộn với Global Catalog (GC), đây là thành phần duy trì một copy chỉ cho phép đọc đối với các domain nằm trong một forest, được sử dụng cho lưu trữ nhóm phổ dụng và quá trình đăng nhập,… Do GC lưu bản copy không hoàn chỉnh của tất cả các đối tượng bên trong forest nên chúng có thể tạo các tham chiếu chéo giữa miền không có nhu cầu phantom.

5. Active Directory và LDAP:

LDAP (Lightweight Directory Access Protocol) là một phần của Active Directory, nó là một giao thức phần mềm cho phép định vị các tổ chức, cá nhân hoặc các tài nguyên khác như file và thiết bị trong mạng, dù mạng của bạn là mạng Internet công cộng hay mạng nội bộ trong công ty.

Trong một mạng, một thư mục sẽ cho bạn biết được nơi cất trữ dữ liệu gì đó. Trong các mạng TCP/IP (gồm có cả Internet), domain name system (DNS) là một hệ thống thư mục được sử dụng gắn liền tên miền với một địa chỉ mạng cụ thể (vị trí duy nhất trong mạng). Mặc dù vậy, bạn có thể không biết tên miền nhưng LDAP cho phép bạn tìm kiếm những cụ thể mà không cần biết chúng được định vị ở đâu.

Thư mục LDAP được tổ chức theo một kiến trúc cây đơn giản gồm có các mức dưới đây:

• Thư mục gốc có các nhánh con

• Country, mỗi Country lại có các nhánh con

• Organizations, mỗi Organization lại có các nhánh con

• Organizational units (các đơn vị, phòng ban,…), OU có các nhánh

• Individuals (cá thể, gồm có người, file và tài nguyên chia sẻ, chẳng hạn như printer)

Một thư mục LDAP có thể được phân phối giữa nhiều máy chủ. Mỗi máy chủ có thể có một phiên bản sao của thư mục tổng thể và được đồng bộ theo chu kỳ.

Các quản trị viên cần phải hiểu LDAP khi tìm kiếm các thông tin trong Active Directory, cần tạo các truy vấn LDAP hữu dụng khi tìm kiếm các thông tin được lưu trong cơ sở dữ liệu Active Directory.

6. Sự quản lý Group Policy và Active Directory:

Khi nói đến Active Directory chắc chắn chúng ta phải đề cập đến Group Policy. Các quản trị viên có thể sử dụng Group Policy trong Active Directory để định nghĩa các thiết lập người dùng và máy tính trong toàn  mạng. Thiết lập này được cấu hình và được lưu trong Group Policy Objects (GPOs), các thành phần này sau đó sẽ được kết hợp với các đối tượng Active Directory, gồm có các domain và site. Đây chính là cơ chế chủ yếu cho việc áp dụng các thay đổi cho máy tính và người dùng trong môi trường Windows.

Thông qua quản lý Group Policy, các quản trị viên có thể cấu hình toàn cục các thiết lập desktop trên các máy tính người dùng, hạn chế hoặc cho phép truy cập đối với các file hoặc thư mục nào đó bên trong mạng.

Thêm vào đó chúng ta cũng cầm phải hiểu GPO được sử dụng như thế nào. Group Policy Object được áp dụng theo thứ tự sau: Các chính sách máy nội bộ được sử dụng trước, sau đó là các chính sách site, chính sách miền, chính sách được sử dụng cho các OU riêng. Ở một thời điểm nào đó, một đối tượng người dùng hoặc máy tính chỉ có thể thuộc về một site hoặc một miền, vì vậy chúng sẽ chỉ nhận các GPO liên kết với site hoặc miền đó.

Các GPO được phân chia thành hai phần riêng biệt: Group Policy Template (GPT) và Group Policy Container (GPC). Group Policy Template có trách nhiệm lưu các thiết lập được tạo bên trong GPO. Nó lưu các thiết lập trong một cấu trúc thư mục và các file lớn. Để áp dụng các thiết lập này thành công đối với tất cả các đối tượng người dùng và máy tính, GPT phải được tạo bản sao cho tất cả các DC bên trong miền.

Group Policy Container là một phần của GPO và được lưu trong Active Directory trên các DC trong miền. GPC có trách nhiệm giữ tham chiếu cho Client Side Extensions (CSEs), đường dẫn đến GPT, đường dẫn đến các gói cài đặt và những khía cạnh tham chiếu khác của GPO. GPC không chứa nhiều thông tin có liên quan đến GPO tương ứng với nó, tuy nhiên nó là một thành phần cần thiết của Group Policy. Khi các chính sách cài đặt phần mềm được cấu hình, GPC sẽ giúp giữ các liên kết bên trong GPO. Bên cạnh đó nó cũng giữ các liên kết quan hệ khác và các đường dẫn được lưu trong các thuộc tính đối tượng. Biết được cấu trúc của GPC và cách truy cập các thông tin ẩn được lưu trong các thuộc tính sẽ rất cần thiết khi bạn cần kiểm tra một vấn đề nào đó có liên quan đến GP.

Domain Controller (MCSA#1)

I/ Domain
1. Domain Controller là gì?
- Domain Controller (DC) là nơi tập chung tất cả các tài khoản người dùng,máy tính để quản lí tập trung...
+VD: Một số domain  như yahoo.com,google....
- Một số loại Domain :
-Primary Domain Controller hay PDC, là một domain controller mà quản trị viên có thể ghi thông tin lên đó. Sau đó Primary domain controller sẽ cập nhật cho các domain controller khác bên trong miền. Các domain controller khác này được coi như một backup domain controller và ở trạng thái chỉ đọc những gì mà chúng được nâng cấp bởi primary domain controller. 
+Adition Domain Controller:
 Đây là một dạng Domain chạy song song với DC chính ,Giúp cho mội trường hoạt động ồn định khi DC chính bị lỗi hoặc ngừng hoạt động.
+RDC: Dạng Domain chỉ có thể đọc dữ liệu.

2.Domain Controller để làm gì?
- Lấy ví dụ của một mạng doanh nghiệp nhỏ khi không áp dụng DC,thì mọi dữ liệu được khai thác theo các tài khoản cục bộ trên máy tính, mà bất kì PC nào cũng có.
Tuy nhiên phát sinh một số vấn đề khi nhân viên di chuyển từ PC này qua PC khác hay máy tính cũ bị phá hoại,bị lỗi thì tài khoản người dùng không thể sử dụng trên máy tính mới.

+ Mặc dù Windown cho phép tạo tài khoản cục bộ trên máy mới. Nhưng điều sẽ là gánh nặng cho người quản trị ở những mô hình mạng lớn.

Nên hết sức lưu ý là domain controller cung cấp dịch vụ thẩm định (authentication)

Mô hình Domain Controller

- Domain Controller được sử dụng để khắc phục những vấn đề ấy.

- DC lưu trữ tất cả tài khoản người dùng và những tài khoản ấy có thể đăng nhập vào bất kì PC nào nằm trong hệ thống mà không cần phải tạo tài khoản người dùng trên máy tính mới.
- Người quản trị hoàn có thể điều khiển với toàn dữ liệu trong DC.
3. Thao tác với DC.

- Domain Controller tại một số bản windown server từ 2000 đến bản 2016 hiện nay thì việc duy nhất là chạy dịch vụ Active Directory.
- Active Directory hoạt động như một nơi lưu trữ các thư mục của từng các chủ thể (các chi nhánh công ty,tài khoản người dùng,website v.v.v) Giúp AD phân loại và xử lý công việc một cách tối ưu nhất.
-Active Directory cung cấp một ham chiếu, được gọi là directory service, đến tất cả các đối tượng trong một mạng, gồm có user, groups,compute,printer,policy......Có thể nói nó giống như một dạng cơ sở dữ liệu với mục đích rõ ràng và riêng biệt, tuy nhiên nó hoàn toàn không phải là một sự thay thế cho Registry của Windown.
4. Thăng cấp và cấu hình Domain Controller.

- Trước khi thăng cấp từ Server lên DC bạn cần cài đặt thống số IPv4. Để dễ dàng cho việc quản lí bạn nên đổi tên máy chủ.














     





Thăng cấp lên DC bằng câu lệnh dcpromo






















Click Next để bắt đầu cấu hình Domain.




















-Chọn Create a new domain in a forest nếu như muốn tạo một Domain mới.
-Nhớ đặt passwork cho tài khoản Adminstrator thì mới chạy cấu hình Domain

Đặt tên cho Domain và chọn phiên bản Server đang sử dụng
















Thích hợp hệ thống DNS vào DC




















Đặt mật khẩu cần cho quá trình khôi phục lại Domain.
Click Next để hoàn tát quá trình cài thăng cấp lên DC.

















Finish để hoàn tất quá trình cài đặt.

Khởi động lại máy tính.
















Sau khi thăng cấp lên DC, Server sẽ được tích hợp thêm hệ thống Active Directory service

Giao thức VTP

VTP để làm gì ????
Đồng nhất cầu hình VLAN trên hệ thống chuyển mạch.
Đồng bộ tên của các VLAN trên các SW để dễ quản lí
Các chế độ của VTP
-Server: Có thể thêm, sửa xóa và học thông tin các VLAN
-Clien: Ngược lại với mode server nhưng có thể học, gửi thông tin Vlan
-Transparent: SW là chết độ VLAN nội bộ.Có thể tạo sửa xóa thông tin vlan trong vlan nội bộ.Không học, thông tin VLAN của các mode khác.Vẫn cho phép các VLAN ngoài gửi thông tin đi ngang qua nó.
Cách hoạt động của VTP:
- Các SW muốn trao đổi thông tin với nhau phải thiết lập trước các đường trunking.
-VTP chỉ chia sẻ thông tin nế các SW cùng domain name và passwork
-Revision-number mặc định là =0 khi chưa cấu hình tăng lên 1 khi 1 lần thao tác cấu hình bất kì một sự thay đổi nào và không bao giờ giảm. Các Server và client cập nhật theo Revision-number cao nhất hay lần cấu hình  gần nhất.
-Sử dụng địa chỉ musticast dành riêng cho VTP
-Mặc định ban đầu SW  luôn luôn ở chế độ Server
-Client có thể cập nhật ngược lại cho server khi nó có Revision-number lớn hơn.Vì vậy khi cho một SW tham gia vào mạng cần để cho SW đó có số Revusion-number =0 bằng cách cho SW qua các chết độ khác hoặc tạo ra domain đè lên domain name cũ.
 Cấu hình VTP:
SW# configure ter
SW(config)# vtp mode server,client,transparent.     Chọn mode cho VTP
SW(config)# vtp domain  tendomain                        Tên doamain có phân biệt chữ hoa/thường
SW(config)# vtp passwork passssss                          Đặt pass
SW(config)# vtp pruning
SW(config)# end.

Mô hình trống Loop Spanning Tree Protocol(STP)

STP là một quá trình cắt loop.

STP sẽ cắt một kết nối quá 4 bước:

Đầu tiên BPDU (loại gói tin được sử dụng trong STP bao gồm các thông tin của SW) được gửi ra khỏi ra các cổng của SW

BPDU bao gồm các thông tin trong đó có Brige-ID dùng để xác định Root-SW..:

+ Bridge-ID(8 bytes)

 Prioty(2bytes):0-->65535 giá trị. Mặc định 32768

 MAC(6 bytes)

Đầu tiên SW nào cũng là Root-SW

1.Bầu trọn một root-SW

Xác định bằng cách so sánh các priority trên SW

(Bridge-ID) nhỏ nhất sẽ là Root-SW

Nếu như các địa chỉ priority = nhau thì sẽ xác định root-SW = địa chỉ MAC nhỏ nhất

VD: Xác định MAC nhỏ nhất từ trái qua phải

a.0010.5a0c.fd86 ---> Root-SW

b.0010.5a0c.fd87

c.0010.6000.fd86

 a<b<c

Sau khi đã bầu chọn Root-SW thì chỉ SW được bầu chọn là root-sw được phép gửi các BPDU đi các SW khác 

2.Root-port

 -Trên các SW còn lại bầu trọn Root-port để cung cấp đường về Root-SW cho SW đang xét mà có tổng patch.cost là nhỏ nhất(nhanh nhất,ngắn nhất)

a,Giá trị Cost (biến đổi theo bandwidth của cổng)

Nếu một cổng ethernet có Bandwidth là 10Mbps thì Cost sẽ có giá trị là 100

Bandwidth:100Mgps        1 Gbps       10Gbps

Cost:           19                   4                   2

Giả sử đang xét các SW đều có bandwidth là 100Mbps thì Cost trên các port sẽ là 19

b, Tính tổng patch cost

-Tính tổng patch.cost về root-sw bằng cách tính cộng patch từ sw đang xét về đến root-sw

- Trên một SW nếu có hai cổng đều có patch.cost bằng nhau xét cổng nào nối với SW gần đó có B-ID nhở hơn thì được xét là root-port

- Trường hợp trên một SW nếu có hai cổng đều có patch.cost bằng nhau xét cổng nào nối với SW gần đó có nhưng có hai đường kết nối tới SW đó thì xét 1 trong 2 đường kết nối, đường kết nối nào có cổng nhỏ hơn thì chọn làm Root-port

3.Designated port

-Tất cả các cổng của root-sw đều là Designated port

-Các cổng đầu nối với root-port đều là designated port

- Trường hợp trên một phân đoạn mạng mà các cổng đều ko phải là root-port thì sẽ xác định bằng cách tính tổng patch.cost nhỏ nhất.Cổng còn lại sẽ bị khóa.

4.Bocking Port

Sau 3 bước xác định được cổng sẽ bị khóa.

STP sử dụng 3 bộ định thời

-Hello-timer: 2s  Thời gian gửi các BPDU của root-sw

-Forward-delay timer:15s

-Max-age-timer:20s

STP port states: các trạng thái

-Disable: Cổng ở trạng thái khóa  shutdown

-Blocking: Cổng chỉ được nhận BPDU ko được gửi

không tự học địa chỉ MAC, không được forward dữ liệu

-Listening: Cổng được nhận và gửi BPDU nhưng ko học địa chỉ MAC,ko được forward data

-Learning:Cổng được nhận và gửi BPDU được học địa chỉ MAC,không được forward data

-Forwarding: full quyền.

* Sau khi quá trình STP được thực hiện và tìm ra được cổng bị khóa Thì các cổng còn lại sẽ được bộ định thời forward-delay-timer chuyển qua các trạng thái khác sau 15s --> 30s thì mới thực hiện đầy đủ các chức năng của cổng đó--> Chống loop

Cấu hình STP(SW cissco):

-STP hoạt động mặc định trên SW cissco khi hình thành vòng tròn mạng

-Không hỗ chợ STP IEEE 802.1D

-->Vì hoạt động mặc trên SW cissco nên chúng ta chỉ cần hiệu chỉnh lại các thống số STP

Nên chọn Root-SW nào là mạnh nhất không để STP tự bầu chọn

-SW (config)# spanning-tree vlan r root (primary,seconday) chỉ định làm root-sw

-SW(config)# spanning-tree vlan n priority (giá trị chia hết cho 4096) 

-Cấu hình port ở chế độ port fast để bỏ qua chế độ định thời của STP (không cần chờ đến 30s), Trước khi cấu hình port fast nên để SW ở chế độ access

-SW(config-if)# switchport mode access

-SW(config-if)# spanning-tree portfast

Các câu lệnh show về STP

-SW # show spanning-tree vlan...

Kỹ thuật đấu nối Giữa các Switch Trunking

Ở phần trình bày trước mình đã trình bày sơ qua về VLAN.Như các bạn đã biết mỗi một VLAN trên các switch khác nhau cần một được cáp để VLAN đó thông được với nhau...Vậy nếu như có khoảng 30--> 40 VLAN thì ta cần phải có đến 30--> 40 đường cáp để nối các VLAN với nhau.
-->Tốn kém và bất tiện--> Kỹ thuật Trunking có thể giải quyết vấn đề này, bằng cách chỉ cần một được cap duy nhất kể các VLAN của Switch này nối được tới VLAN đó ở Switch kia.
Tất cả các máy của Switch1 muốn gửi qua một máy tính ở một VLAN tương ứng của Switch2 đều phải qua đường Trunking.
-Đường Trunking khi nhận các luồng dữ liệu từ switch 1 sẽ phân biệt các luồng dữ liệu của từng máy bằng cách gán số VLAN của máy vào luồng dữ liệu tương ứng.
- Các thông tin VLAN(số hiệu của VLAN) trên dữ liệu được truyền đi chỉ có khi chúng di chuyền qua đường trunking.
1 .Các chuẩn(cách) để đóng gói,thêm số hiệu VLAN trunking
 -Chuẩn IEEE 802.1Q(dot1Q)
+ Các gói dữ liệu bình thường khi chưa đi qua đường Trunking có dạng
 Dest address/Source address/Len/Type/Data/FCS  (khi  dữ liệu còn ở switch)

+ Gói dữ liệu khi ở đường Trunking sẽ được thêm một trường Tag(số hiệu của VLAN)
  Dest address/Source address/Tag/Len/Type/Data/FCS
Trường Tag có 4 bytes trong đó có 12 bit dùng để đánh số hiệu VLAN
- Chuẩn Trunking ISL(Cissco)
 + Ghép thêm 26 bytes thông tin khi dữ liệu đi vào đường trunking.

VLAN(Virtual Local Area Network)

I-VLAN là gi?
-Switch: Mỗi VLAN là một switch luận lí. Nếu một switch(1 Data link) được cấu hình 3 VLan thì được hiểu như là 3 switch thu nhỏ.(quy ước các cổng cho tường vlan.) Ba switch thu nhỏ sử dụng chung một bảng MAC (3 Vlan) Bảng MAC có dạng Vlan MAC Port -1 Mạng II-Các loại VLAN (Ethernet LAN)
1.Static Vlan
 Vlan phân chia theo cổng(các VLAN được gán theo các cổng tương ứng) VLAN 1 port từ fa0/0 ---> fa0/9 Tất cả các máy tính(bất kể được đặt IP hay đĩa chỉ MAC) nào cắm vào trong vùng này thì thuộc VLAN 1
2.Dynamic Vlan
 Phân chia theo địa chỉ MAC dù cắm bất kì cổng nào của switch Cần có một VMPS Virtural manager polyci server(có thể tích hợp trên Switch hoặc đặt riêng moojht server riêng)để ánh xạ địa chỉ MAC vào một VLAN nào đó .
3Voice Vlan
Chỉ dành riêng cho hỗ trợ Voice(IP phone) và QoS VLAN số hiệu 55 được dành riêng cho IP phone VLAN số hiệu 15 được dành cho PC (có thể thuộc loại Static hoặc Dynamic VLAN)
III-Các lí do cần VLAN
-Miền lỗi không thể giới hạn:(bảo mật) Sẽ bị nhiễm virus toàn hệ thống và không thể cô lập được nếu như 1 thành phần của mạng bị nhiễm.
-Broadcast Domains quá lớn -Các phòng ban không được cô lập với nhau nên rất khó về việc quản lí. -Giúp phân mảnh mạng,chia một phòng ban ra một vùng địa lý rộng.
 -Phân biệt ưu tiên các dịch vụ bằng công nghệ QOS. IV- Cấu hình VLAN # Configure terminal config # clan 2 (0-->4095)
 (Vlan số 0 và 4095 không sử dụng)
 (1-->1001) normal range
 (1002 --> 1005) dùng cho các kiểu mạng cũ (token ring)
 (1006 4095) Vlan mở rộng.
Chỉ có thể cấu hình trên tranparent switch Luôn luôn tồn tại
VLAN 1,1002 --> 1005 không thể bỏ Mặc định:Tất cả các cổng trên switch đều thuộc VLAN 1 SwitchX# config ter
 (config)# interface range fa0/2 -4
(config-if-range)# switchport access vlan2
 Câu lệnh cấu hình có nghĩa thêm 3 cồng Fa0/2 -->4 vào vlan 2
Để xem thông tin VLAN được lưu trên file Vlan.dat # show vlan Brief

Giao thức định tuyến OSPF (part2)

1/Xây dựng và cấu hình mô hình mạng với giao thức OSPF

a.Sơ đồ mạng.

R1:
f0/1 192.168.1.1/24 nối với mạng 192.168.1.0/24 qua Switch
Se0/0 192.168.4.2/30 nối với cổng Se0/0 192.168.4.1/30 của R2
Se0/1 192.168.5.1/30 nối với cổng Se0/0 192.168.5.2/30 của R3
R2:
fa0/0 192.168.2.1/24 nối với mạng 192.168.2.0/24 qua Switch
Se0/0 192.168.4.1/30 nối tới Se0/0 192.168.4.2/30 R1
Se0/1 192.168.6.1/30 nối với Se0/1 192.168.6.2/30 của R3
R3:
fa0/0 192.168.3.1/24 nối với mạng 192.168.3.0/24 qua Switch
Se0/0 192.168.5.2/30 nối tới Se0/1 192.168.5.1/30 của R2
Se0/1 192.168.6.2/30 nối tới Se0/1 192.168.6.1/30 của R3

Sơ đồ OSPF

Yêu cầu cấu hình định tuyến OSPF cho các Router để các máy tính thấy nhau.

b.Cấu hình:

Gán IP cho các Interface và Seria
R1(config)#interface fastEthernet 0/1
R1(config-if)#ip address 192.168.1.1 255.255.255.0
R1(config-if)#no shutdown

R1(config)#interface serial 0/0
R1(config-if)#ip address 192.168.4.2 255.255.255.252
R1(config-if)#no shutdown

R1(config)#interface serial 0/1
R1(config-if)#ip address 192.168.5.1 255.255.255.252

R1(config-if)#no shutdown

R2(config)#interface fa0/0
R2(config-if)#ip address 192.168.2.1 255.255.255.0

R2(config-if)#no shutdown

R2(config)#interface serial 0/0
R2(config-if)#ip address 192.168.4.1 255.255.255.252
R2(config-if)#no shutdown


R2(config)#interface se0/1
R2(config-if)#ip address 192.168.6.1 255.255.255.252
R2(config-if)#no shutdown

R3(config)#interface fa0/0
R3(config-if)#ip address 192.168.3.1 255.255.255.0

R3r(config-if)#no shutdown

R3(config)#interface se0/0
R3(config-if)#ip address 192.168.5.2 255.255.255.252

R3(config-if)#no shutdown

R3(config)#interface se0/1
R3(config-if)#ip address 192.168.6.2 255.255.255.252

R3(config-if)#no shutdown

Cấu hình OSPF

R1(config)#route ospf 1
R1(config-router)#network 192.168.1.0 0.0.0.255 area 0
R1(config-router)#network 192.168.4.0 0.0.0.3 area 0

R1(config-router)#network 192.168.5.0 0.0.0.3 area 0

R2(config)#route ospf 1
R2(config-router)#network 192.168.2.0 0.0.0.255 area 0
R2(config-router)#network 192.168.4.0 0.0.0.3 area 0

R2(config-router)#network 192.168.6.0 0.0.0.3 area 0

R3(config)#route ospf 1
R3(config-router)#network 192.168.3.0 0.0.0.255 area 0
R3(config-router)#network 192.168.5.0 0.0.0.3 area 0

R3(config-router)#network 192.168.6.0 0.0.0.3 area 0

c.Gửi gói tin ICMP đến các mạng khác

Gói tin được gửi thành công