Switch LLDP Yapılandırması: Port Tespiti ve Güvenlik

Switch LLDP yapılandırması, switch’in hangi portundan komşusuna ne anlatacağına ve hangi porttan dinleyeceğine karar vermektir. Çoğu switch LLDP’yi fabrikadan her portta açık getirir; lab switch’imde 52 portun 52’sinde gönderim ve alım açıktı. Yapılandırmanın işi bu açıklığı port port ayırmaktır: ağ cihazları arasında açık, kullanıcı portlarında kapalı, telefon portlarında LLDP-MED’le.

Bu yazıda lab switch’imde üç şey yapıyorum:

1. Kartın içeriğini seçmek. Bir portun komşusuna hangi bilgileri anlatacağını değiştiriyorum.
2. Gönderimi ve alımı kapatmak. Kullanıcı portundaki ayarı ve kapatmanın yan etkilerini ölçüyorum.
3. Port tespiti. Komşu tablosundan hangi portun nereye gittiğini okuyorum.

Kümenin benzetmesiyle switch bir süpermarket şubesidir ve LLDP, şubenin yan dükkâna kendini tanıttığı karttır. Yapılandırma, bu kartın hangi kapıda verileceğine ve üstüne ne yazılacağına karar vermektir.

Bu yazı, switch yapılandırma rehberimizdeki kontrol listesinin 16. adımıdır ve Kurumsal Network Kurulumu hizmetimizin switch tarafına aittir. Aynı işi müşterilerimizin ağında nasıl yürüttüğümüzü switch kurulumu ve VLAN yapılandırma hizmeti sayfamızda anlattık. LLDP’nin nasıl çalıştığını, 30 saniyelik temposunu ve fabrika ayarında neden bir güvenlik sorusu olduğunu LLDP nedir yazımızda ölçtük.

Switch LLDP Yapılandırmasından Önce: Hangi Port Ne Anlatacak?

LLDP’nin fabrika ayarı her portu aynı tutar. Doğru ayrım ise porta göre yapılır:

1. Ağ cihazları arasındaki portlar. Switch’ten switch’e, firewall’a ve erişim noktasına giden portlarda LLDP açık kalır; port haritası bu portlardan çıkar.
2. Kullanıcı portları. Gönderim kapatılır, alım açık kalabilir. Switch yine de prize takılan cihazın anlattığını okur, kendi kartını vermez.
3. IP telefon portları. Gönderim açık kalır, çünkü telefona ses VLAN’ını LLDP-MED söyler. LLDP-MED’in ne olduğunu LLDP yazısının LLDP-MED bölümünde anlattık.

Bu ayrımı yapmadan önce portların hangi cihaza gittiğini bilmek gerekir. Portlarınızı henüz haritalamadıysanız aşağıdaki doğrulama bölümüyle başlayın.

Switch LLDP Yapılandırması: Kartın İçeriğini Seçmek

Önce bir portun bugün komşusuna ne anlattığına bakın.

Modeme giden portun tablosu şöyle:

gmsw01#show lldp interface Gi1/0/1
LLDP Interface Configuration
Interface  Link    Transmit  Receive   Notify    TLVs     Mgmt
---------  ------  --------  --------  --------  -------  ----
Gi1/0/1    Up      Enabled   Enabled   Disabled  0,1      N
TLV Codes: 0- Port Description,   1- System Name
           2- System Description, 3- System Capabilities

TLVs 0,1 portun zorunlu blokların yanına yalnız port açıklamasını ve sistem adını eklediğini, Mgmt N yönetim adresini eklemediğini söylüyor. Kartın içeriği port başına bir ayardır. Boş ve kapalı bir portta (Gi1/0/47) sistem açıklamasını, yetenekleri ve yönetim adresini de gönderilecek bloklara ekledim:

configure
interface Gi1/0/47
lldp transmit-tlv sys-desc sys-cap
lldp transmit-mgmt
exit
exit

gmsw01#show lldp interface Gi1/0/47
LLDP Interface Configuration
Interface  Link    Transmit  Receive   Notify    TLVs     Mgmt
---------  ------  --------  --------  --------  -------  ----
Gi1/0/47   Down    Enabled   Enabled   Disabled  0,1,2,3  Y
...

Bu hâliyle port, switch’in modelini ve yazılım sürümünü taşıyan sistem açıklamasını ve yönetim adresini de anlatırdı. Ağ cihazları arasındaki bir portta bu bilgi port haritasını zenginleştirir. Kullanıcı portunda ise bir saldırgana hangi açığı arayacağını söyler; aynı bilginin SNMP’de de sızdığını switch sıkılaştırma yazımızda gösterdik.

Switch LLDP Gönderimini Kapatmak: Kullanıcı Portları

Kartın içeriği ağ cihazları arasındaki portların ayarıydı. Kullanıcı portlarında ise kart hiç verilmez. Gönderimi kapatan satır tektir:

configure
interface Gi1/0/47
no lldp transmit
exit
exit

Bu satırdan sonra portun yapılandırmasına kendiliğinden ikinci bir satır eklendi:

gmsw01#show running-config interface Gi1/0/47
shutdown
switchport access vlan 999
no lldp transmit
no lldp med
no isdp enable

Satırların üçü de ayrı bir şey söylüyor:

1. no lldp transmit benim yazdığım satır. Port artık komşusuna kart vermiyor.
2. no lldp med satırını ben yazmadım. Gönderimi kapatmak LLDP-MED’i de kapattı. Telefon portunda bu satır telefonun ses VLAN’ını öğrenmesini engeller.
3. no isdp enable satırını ayrıca ben ekledim. Lab switch’im LLDP’nin yanında CDP uyumlu bir ikinci protokol de çalıştırıyor ve o protokol LLDP kapansa da aynı porttan duyuru göndermeye devam eder. İki protokolün farkını LLDP yazısının CDP bölümünde anlattık.

Kullanıcı portlarının hepsine bu satırları tek tek yazmak yerine interface range ile bir aralığa birlikte yazabilirsiniz. Ağ cihazlarına giden portları aralığın dışında bırakın.

Alım Kapatılınca Komşu Kaydı Hemen Düşer

Gönderimin ters yönü alımdır. Modeme bakan portta alımı kapattım:

configure
interface Gi1/0/1
no lldp receive
exit
exit

Komşu kaydı süresinin dolmasını beklemeden, bir sonraki okumada silinmişti. Alımı lldp receive ile yeniden açtığımda kayıt hemen gelmedi; modemin bir sonraki duyurusunu bekledi ve 13 saniye sonra döndü. Bu bekleme modemin temposuna bağlıdır, en kötü durumda yaklaşık 55 saniye sürer. Komşu tablosunda bir cihaz görünmüyorsa önce bu gecikmeyi hesaba katın.

Bu yazıdaki ayarların hepsini ölçümden sonra geri aldım; hiçbiri kaydedilmedi.

Switch LLDP Doğrulaması: Komşu Tablosuyla Port Tespiti

Yapılandırmanın asıl ödülü port tespitidir. LLDP’nin günlük kullanımı tek bir komuttur: switch’in komşu özetini okumak.

gmsw01#show lldp remote-device all
LLDP Remote Device Summary
Local
Interface RemID   Chassis ID          Port ID           System Name
--------- ------- ------------------- ----------------- -----------------
Gi1/0/1   1       62:D8:A4:A7:8E:A2   62:D1:A4:A7:2E:99

Her satır bir kabloyu anlatır: switch’in hangi portu, karşıdaki hangi cihazın hangi portuna bağlı. Karşı cihaz adını da gönderiyorsa System Name sütunu dolar ve tablo doğrudan bir port haritasına dönüşür. Karşı cihaz yalnız MAC adresi gönderiyorsa, o adresi switch’in MAC tablosunda ve ARP tablosunda arayarak cihazın IP adresine ulaşırsınız. Port haritasını belgelerde güncel tutmanın genel yöntemini BT dokümantasyonu rehberimizde anlattık.

Komşu beklediğiniz yerde görünmüyorsa şu sırayla bakın:

1. Karşı taraf LLDP konuşuyor mu? Bilgisayarların çoğu konuşmaz; tablo boş kalır ve bu bir arıza değildir.
2. Aynı protokol mü? Karşı taraf yalnız CDP konuşuyorsa LLDP tablosu boş, CDP tablosu dolu olur.
3. Aradaki cihaz ne? Yönetilmeyen bir switch ya da medya dönüştürücü, LLDP çerçevesini durdurabilir ya da tabloyu yanıltabilir.
4. Alım açık mı? Portta alım kapalıysa kayıt hemen silinir; açıldıktan sonra da komşunun bir sonraki duyurusu beklenir.

Switch LLDP Yapılandırmasında Sık Yapılan Hatalar

Port haritası eksik çıkıyorsa ya da kullanıcı portları hâlâ kart dağıtıyorsa önce şunlara bakın:

• Fabrika ayarında bırakmak. Lab switch’imde gönderim 52 portun hepsinde açıktı; prize takılan her cihaz switch’in adını öğrenir.
• Yalnız LLDP’yi kapatmak. Switch CDP ya da uyumlu bir protokol de çalıştırıyorsa o, aynı porttan duyuru göndermeye devam eder.
• Telefon portunda gönderimi kapatmak. LLDP-MED de kapanır ve telefon ses VLAN’ını öğrenemez.
• Ağ cihazı portlarında içeriği kısmak. Switch’ler arasında sistem adı ve port açıklaması gitmezse komşu tablosu port haritası olmaktan çıkar.
• Kullanıcı portunda sistem açıklaması göndermek. Model ve sürüm bilgisi prize takılan herkese gider.
• Kaydetmemek. Ayarlar yalnız çalışan yapılandırmada kalırsa switch ilk yeniden başlatmada onları kaybeder. Çalışan ve kalıcı yapılandırmanın farkını yönetilebilir switch ayarları yazımızda anlattık.

Sonuç: Switch LLDP’de Karar Port Port Verilir

Switch LLDP yapılandırması, fabrikadan her portta açık gelen komşu keşfini portun rolüne göre ayırmaktır. Lab switch’imde gönderimi kapatan tek satır LLDP-MED’i de kapattı, CDP uyumlu protokol ise ayrı bir satırla kapandı. Alımı kapatmak komşu kaydını hemen düşürdü.

Kazanç komşu tablosudur. Ağ cihazları arasında açık kalan LLDP, hangi portun nereye gittiğini kablo takip etmeden söyler.

Süpermarket şubesi kartını hangi kapıda vereceğini bilir: yan dükkâna uzatır, müşteriye uzatmaz. Switch’te o kapılar portlardır ve hangisinin yan dükkâna, hangisinin müşteriye açıldığını yapılandırmayla siz söylersiniz.

Rehberin sıradaki adımı erişim portlarını korumaktır; sıralamanın tamamı switch yapılandırma rehberimizde duruyor. LLDP’nin nasıl çalıştığını ve ölçümlerin tamamını LLDP nedir yazımızda anlattık.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn