Налаштування VLAN Trunking на керованих комутаторах

Ми стикалися з ситуацією, коли після оновлення прошивки на комутаторах Cisco Catalyst 3750 компанія втратила зв'язок між відділами на 4 години. Причина — збився native VLAN на trunk-порту. Трафік управління пішов у невірний сегмент, DHCP перестав працювати, виробничий цех залишився без управління. Типова історія: native VLAN mismatch — одна з найчастіших помилок при налаштуванні VLAN trunking. Вона виникає, коли на двох кінцях trunk вказані різні native VLAN, і комутатори починають інтерпретувати нетеговані кадри в різних VLAN. Результат — втрата зв'язності, нестабільна робота протоколів управління та потенційна вразливість для атаки VLAN hopping.

Наш досвід показує, що правильне налаштування VLAN trunking — база для безпечної та відмовостійкої мережі. Ми розберемо не лише базові конфігурації на Cisco, MikroTik та Linux, але й часті помилки, яких допускають навіть досвідчені інженери. Більше 10 років ми налаштовуємо VLAN-мережі для виробничих та офісних підприємств, виконали 50+ проєктів. Гарантуємо коректну роботу та надаємо ліцензійну документацію.

Проблеми, які вирішуємо

Найчастіші проблеми, з якими до нас звертаються:

• Native VLAN mismatch — обидва кінці trunk повинні використовувати один і той же native VLAN. На Cisco це видно по повідомленню CDP-4-NATIVE_VLAN_MISMATCH. Якщо не співпадає, кадри управління (CDP, STP) потрапляють у неправильний VLAN, порушуючи топологію.
• Trunk allowed vlan неправильно заданий — якщо не використовувати ключ add, список перезаписується, і частина VLAN втрачається. Наприклад, switchport trunk allowed vlan 10 видалить всі інші. Помилка призводить до того, що пристрої в інших VLAN втрачають зв'язність через trunk.
• Неправильний pvid на access порту — пристрій не отримує IP, оскільки DHCP-сервер знаходиться в іншому VLAN. Це часто трапляється при міграції або додаванні нових портів.

Ми також вирішуємо проблеми з VTP, асиметричною маршрутизацією та неправильною конфігурацією STP у змішаних вендорних середовищах.

Чому native VLAN mismatch — найкритичніша помилка?

Кадри native VLAN передаються без тега. Якщо на одному кінці trunk native VLAN = 1, а на іншому = 999, то комутатор, відправляючи кадр управління в native VLAN, отримає на іншому кінці кадр, що інтерпретується як належний до VLAN 999. Це може викликати петлі STP, втрату CDP-сусідів і навіть відкрити доступ до керуючих VLAN для атак. У нашій практиці був випадок, коли через mismatch зловмисник зміг отримати доступ до VLAN управління через підміну native VLAN (VLAN hopping).

Як діагностувати native VLAN mismatch?

На Cisco виконайте show interfaces trunk — у виводі ви побачите native VLAN для кожного trunk. Якщо на сусідньому комутаторі він відрізняється — це mismatch. Додатково перевірте show vlan brief та show spanning-tree vlan 1 (або ваш native VLAN).

show interfaces trunk show vlan brief show spanning-tree vlan 999 

Також корисно увімкнути debbug: debug condition interface Gi1/0/48, debug sw-vlan trunk.

Як налаштувати trunk на Cisco покроково?

Розберемо реальний кейс. Клієнт: середнє виробниче підприємство, ~200 робочих місць, 5 VLAN, ядро на Cisco Catalyst 3850. Після оновлення прошивки з 16.3 до 16.9 пропав зв'язок між VLAN 10 (бухгалтерія) і VLAN 20 (склад). Діагностика показала, що на аплінку між комутаторами ядра та доступу відрізнявся native VLAN. На ядрі був native 1, на доступі — 999.

1. На комутаторі доступу: interface Gi1/0/24; switchport trunk native vlan 1.
2. Перевірили show interfaces trunk — native VLAN співпав.
3. Протестували зв'язність — проблема пішла.

Рекомендуємо використовувати невикористовуваний VLAN для native (наприклад, 999), щоб уникнути змішування з робочими VLAN. Але головне — узгодити на обох кінцях.

interface GigabitEthernet1/0/24
 switchport mode trunk
 switchport trunk encapsulation dot1q
 switchport trunk native vlan 999
 switchport trunk allowed vlan add 10,20,30
 no shutdown

Порівняння VLAN-рішень: MikroTik vs Cisco

MikroTik з версії 7.x використовує bridge vlan-filtering, що інтуїтивно зрозуміліше. Ви додаєте порти в bridge, задаєте pvid для access, а потім у /interface bridge vlan вказуєте, які VLAN теговані (tagged) на яких портах. Це порівняння: Cisco вимагає більше команд, але дає гнучкість, MikroTik — прозорість. У нашій практиці налаштування простої мережі з 5 VLAN на MikroTik займає в 2 рази менше часу, ніж на Cisco.

/interface bridge add name=br0 vlan-filtering=yes
/interface bridge port
add bridge=br0 interface=ether2 pvid=10
add bridge=br0 interface=ether3 pvid=20
add bridge=br0 interface=ether8 pvid=1
/interface bridge vlan
add bridge=br0 vlan-ids=10 untagged=ether2 tagged=ether8
add bridge=br0 vlan-ids=20 untagged=ether3 tagged=ether8
add bridge=br0 vlan-ids=30 tagged=ether8
/interface vlan
add interface=br0 name=vlan10 vlan-id=10
/ip address
add address=192.168.10.1/24 interface=vlan10

Налаштування trunk на Linux сервері

На Linux використовуйте модуль 8021q та iproute2. Перевірте завантаження модуля: modprobe 8021q. Потім створіть VLAN-інтерфейс:

ip link add link eth0 name eth0.10 type vlan id 10 ip link set eth0.10 up ip addr add 192.168.10.5/24 dev eth0.10 

Або через Netplan (на Ubuntu):

network: version: 2 ethernets: eth0: mtu: 9000 vlans: eth0.10: id: 10 link: eth0 addresses: [192.168.10.5/24] 

Linux-сервер може термінувати VLAN або маршрутизувати між ними. Для комутації рівня 2 потрібен bridge.

Порівняння підходів: таблиця

Таблиця симптомів і рішень

Приклад логу помилки native VLAN mismatch на Cisco:

%CDP-4-NATIVE_VLAN_MISMATCH: Native VLAN mismatch discovered on GigabitEthernet1/0/24 (999), with FastEthernet2/0/1 (1). 

Це повідомлення говорить про невідповідність: на порту native 999, а на сусідньому — 1.

Що входить у налаштування VLAN trunking під ключ

• Аудит поточної мережі та схеми VLAN.
• Проєктування сегментації та trunk-з'єднань.
• Налаштування access та trunk портів на комутаторах.
• Конфігурація VLAN на маршрутизаторах та серверах.
• Тестування зв'язності та усунення помилок.
• Документація (схема, конфіги, інструкція).

Терміни: від 1 дня для простої мережі, до 3 днів для ієрархічної мережі з резервуванням.

Типові помилки та чек-лист

• Не використовуйте add у Cisco — пишіть switchport trunk allowed vlan add 10.
• Не забувайте про native VLAN — використовуйте невикористовуваний ID (999, 4000).
• На MikroTik не забувайте вмикати vlan-filtering=yes.
• На Linux перевірте, що модуль 8021q завантажений (modprobe 8021q).
• Для захисту від VLAN hopping забороніть native VLAN на access портах та використовуйте команду switchport nonegotiate на Cisco.

Наші сертифіковані інженери (CCNP, MikroTik MTCNA) мають понад 10 років досвіду налаштування VLAN-мереж. Зв'яжіться з нами для консультації щодо вашої мережі. Замовте повний аудит та налаштування VLAN trunking під ключ — ми гарантуємо коректну роботу та надамо документацію.