تهيئة شبكات VLAN والربط الجذعي وSSH في سيسكو IOS من سطر الأوامر

يمنحك هذا الدليل خطوات سطر أوامر سيسكو IOS / IOS-XE الدقيقة التي يستخدمها مهندسو سكايلاين عند إدخال محوّل كاتاليست جديد إلى الخدمة: إنشاء شبكات VLAN، وتعيين منافذ الوصول، وبناء ربط جذعي 802.1Q إلى محوّل مجاور، وتأمين الوصول الإداري عبر SSH الإصدار الثاني، وحفظ التهيئة بحيث تبقى بعد إعادة التشغيل. الأوامر أدناه قياسية عبر عائلات كاتاليست 1000 و9200 و9300 ومعظم محولات IOS-XE؛ ونشير إلى الفروق الطفيفة حيثما وُجدت.

قبل أن تبدأ: تحتاج إلى وصول عبر منفذ الكونسول أو وصول حالي إلى المحوّل، وكلمة مرور التمكين (الوضع المتميّز)، وخطة لمعرّفات VLAN وعَنونة IP. خذ دائمًا نسخة احتياطية من التهيئة الحالية قبل تغيير جهاز في بيئة الإنتاج.

1. الدخول إلى وضع التهيئة

من موجِّه الوضع المتميّز، ادخل إلى وضع التهيئة العام:

Switch> enable
Switch# configure terminal
Switch(config)#

من أفضل الممارسات ضبط اسم مضيف ذي معنى أولًا، لأن خطوة SSH لاحقًا تتطلب ذلك:

Switch(config)# hostname SW-CORE-01
SW-CORE-01(config)#

2. إنشاء شبكات VLAN وتسميتها

أنشئ كل شبكة VLAN في وضع التهيئة العام وامنحها اسمًا وصفيًا. الأسماء تجعل الشبكة موثّقة ذاتيًا:

SW-CORE-01(config)# vlan 10
SW-CORE-01(config-vlan)# name STAFF
SW-CORE-01(config-vlan)# exit
SW-CORE-01(config)# vlan 20
SW-CORE-01(config-vlan)# name VOICE
SW-CORE-01(config-vlan)# exit
SW-CORE-01(config)# vlan 30
SW-CORE-01(config-vlan)# name GUEST
SW-CORE-01(config-vlan)# exit
SW-CORE-01(config)# vlan 99
SW-CORE-01(config-vlan)# name MGMT
SW-CORE-01(config-vlan)# exit

ملاحظة: تُخزَّن تعريفات VLAN في ملف منفصل باسم vlan.dat في الذاكرة الوميضية (flash)، وليس في التهيئة الجارية أو تهيئة بدء التشغيل. وهي تبقى بعد إعادة التشغيل بشكل مستقل، لكن يجب أن تشمل النسخة الاحتياطية الكاملة للتهيئة هذا الملف دائمًا.

3. تعيين منافذ الوصول إلى شبكة VLAN

يحمل منفذ الوصول شبكة VLAN واحدة إلى جهاز طرفي مثل حاسوب أو هاتف IP أو كاميرا. اضبط الواجهة على وضع الوصول وعيّن شبكة VLAN:

SW-CORE-01(config)# interface GigabitEthernet1/0/5
SW-CORE-01(config-if)# switchport mode access
SW-CORE-01(config-if)# switchport access vlan 10
SW-CORE-01(config-if)# spanning-tree portfast
SW-CORE-01(config-if)# exit

لتهيئة نطاق من المنافذ دفعةً واحدة، استخدم صيغة interface range:

SW-CORE-01(config)# interface range GigabitEthernet1/0/1 - 24
SW-CORE-01(config-if-range)# switchport mode access
SW-CORE-01(config-if-range)# switchport access vlan 10
SW-CORE-01(config-if-range)# exit

بالنسبة لهواتف سيسكو IP التي يتصل بها حاسوب من خلفها، أضف شبكة VLAN للصوت إلى المنفذ نفسه:

SW-CORE-01(config)# interface GigabitEthernet1/0/6
SW-CORE-01(config-if)# switchport mode access
SW-CORE-01(config-if)# switchport access vlan 10
SW-CORE-01(config-if)# switchport voice vlan 20
SW-CORE-01(config-if)# exit

4. بناء ربط جذعي 802.1Q بين المحولات

يحمل الربط الجذعي عدة شبكات VLAN عبر وصلة واحدة إلى محوّل آخر. في بعض المنصات يجب أولًا ضبط تغليف الربط الجذعي على 802.1Q؛ أما في محولات كاتاليست 9000 فالتغليف يكون dot1q حصريًا وتلك الخطوة غير ضرورية، لكن تضمينها غير ضار في المنصات التي تدعمها.

SW-CORE-01(config)# interface GigabitEthernet1/0/48
SW-CORE-01(config-if)# switchport trunk encapsulation dot1q
SW-CORE-01(config-if)# switchport mode trunk
SW-CORE-01(config-if)# switchport trunk allowed vlan 10,20,30,99
SW-CORE-01(config-if)# switchport trunk native vlan 99
SW-CORE-01(config-if)# exit

نقاط مهمة: يحدد الأمر switchport trunk allowed vlan صراحةً شبكات VLAN التي تعبر الوصلة (وهي ممارسة أمنية فضلى — فالوضع الافتراضي هو السماح للجميع). ولإضافة أو إزالة شبكات VLAN لاحقًا دون إعادة كتابة القائمة كاملة، استخدم الكلمتين المفتاحيتين add وremove:

SW-CORE-01(config-if)# switchport trunk allowed vlan add 40
SW-CORE-01(config-if)# switchport trunk allowed vlan remove 30

ضبط شبكة VLAN الأصلية على شبكة VLAN مخصَّصة غير مستخدمة (هنا 99) بدلًا من شبكة VLAN الافتراضية رقم 1 يساعد على الحماية من هجمات القفز بين شبكات VLAN. تذكَّر أن شبكات VLAN رقم 1 ومن 1002 إلى 1005 محجوزة ولا يمكن إزالتها من الربط الجذعي.

5. تأمين الوصول الإداري عبر SSH الإصدار الثاني

يرسل Telnet بيانات الاعتماد كنص واضح ولا ينبغي استخدامه أبدًا. لتفعيل SSH تحتاج أولًا إلى اسم مضيف (تم ضبطه أعلاه)، واسم نطاق IP، ومفاتيح RSA. ولا يمكن توليد مفاتيح RSA دون تهيئة كل من اسم المضيف واسم النطاق.

SW-CORE-01(config)# ip domain name example.local
SW-CORE-01(config)# crypto key generate rsa modulus 2048

يمكن أن يتراوح المُعامل (modulus) بين 360 و4096 بت؛ و2048 هو الحد الأدنى الموصى به للإنتاج. يؤدي توليد زوج مفاتيح RSA إلى تفعيل خادم SSH تلقائيًا. بعد ذلك، افرض SSH الإصدار الثاني وأنشئ مستخدم مسؤول محليًا:

SW-CORE-01(config)# ip ssh version 2
SW-CORE-01(config)# username netadmin privilege 15 secret StrongP@ss!
SW-CORE-01(config)# enable secret AnotherStrongP@ss!

الآن طبّق تسجيل الدخول عبر SSH فقط على خطوط VTY (الوصول عن بُعد) وصادِق باستخدام قاعدة بيانات المستخدمين المحلية:

SW-CORE-01(config)# line vty 0 15
SW-CORE-01(config-line)# transport input ssh
SW-CORE-01(config-line)# login local
SW-CORE-01(config-line)# exec-timeout 10 0
SW-CORE-01(config-line)# exit

اختياريًا، شدِّد خدمة SSH أكثر:

SW-CORE-01(config)# ip ssh time-out 60
SW-CORE-01(config)# ip ssh authentication-retries 3

تحقّق من أن SSH يعمل:

SW-CORE-01# show ip ssh

6. تهيئة واجهة الإدارة

امنح المحوّل عنوان IP إداريًا قابلًا للوصول على شبكة VLAN الإدارية المخصَّصة (SVI)، واضبط بوابة افتراضية إذا كان محوّل الطبقة الثانية:

SW-CORE-01(config)# interface vlan 99
SW-CORE-01(config-if)# ip address 192.168.99.10 255.255.255.0
SW-CORE-01(config-if)# no shutdown
SW-CORE-01(config-if)# exit
SW-CORE-01(config)# ip default-gateway 192.168.99.1

7. التحقق من عملك

قبل الحفظ، تأكّد من أن كل شيء يبدو صحيحًا:

SW-CORE-01# show vlan brief
SW-CORE-01# show interfaces trunk
SW-CORE-01# show interfaces status
SW-CORE-01# show running-config interface GigabitEthernet1/0/48
SW-CORE-01# show ip ssh

يعرض الأمر show vlan brief شبكات VLAN ومنافذها المعيَّنة؛ بينما يؤكّد show interfaces trunk أي شبكات VLAN تعمل فعليًا عبر الربط الجذعي وأيها شبكة VLAN الأصلية.

8. حفظ التهيئة

لن يبقى أيٌّ مما سبق بعد انقطاع التيار حتى تنسخ التهيئة الجارية إلى تهيئة بدء التشغيل:

SW-CORE-01# copy running-config startup-config

اضغط Enter لتأكيد اسم ملف الوجهة. يمكنك أيضًا استخدام الاختصار write memory (أو ببساطة wr) في معظم إصدارات IOS. خذ نسخة احتياطية جديدة خارج الجهاز عند هذه النقطة.

هل تريد أن نتولى هذا نيابةً عنك؟

إذا كنت تفضّل أن يُصمَّم ويُنشَر ويُوثَّق من البداية إلى النهاية، فإن سكايلاين تركّب وتهيّئ وتدعم شبكات سيسكو في جميع أنحاء السعودية. وللبديل المُدار سحابيًا، اقرأ سيسكو كاتاليست مقابل ميراكي لشبكات المؤسسات السعودية، أو تصفّح فئة الشبكات في سوقنا، أو تواصل معنا على +966 50 993 9334.