Configurer les ports access et les trunk
Définition
Un port access appartient à un seul VLAN et transporte des trames sans tag: c'est le mode d'un port connecté à un PC, une imprimante ou un AP. Un port trunk appartient à plusieurs VLANs et ajoute le tag 802.1Q à chaque trame sauf celle du native VLAN: c'est le mode d'un lien vers un autre switch ou vers un routeur. Le DTP (Dynamic Trunking Protocol, protocole Cisco propriétaire) négocie ce rôle entre deux ports voisins.
Contexte
Le thème 2.1.a du blueprint 200-301 exige de configurer et vérifier des ports access data et voice, le thème 2.2.a des ports trunk. En salle machine comme en production, la quasi-totalité des incidents de VLAN mal routé viennent d'un port resté access là où un trunk était attendu, ou d'un trunk dont l'allowed list ne contient pas le VLAN.
Les modes de port
S1(config-if)# switchport mode access ! force access, un seul VLAN
S1(config-if)# switchport mode trunk ! force trunk, ne négocie plus
S1(config-if)# switchport mode dynamic auto ! attend un voisin désireux (défaut Catalyst)
S1(config-if)# switchport mode dynamic desirable ! pousse la négociation trunk
S1(config-if)# switchport nonegotiate ! ne plus émettre de DTP
Matrice DTP entre voisins (réflexe à connaître):
| S1 \ S2 | access | dynamic auto | dynamic desirable | trunk |
|---|---|---|---|---|
| access | access | access | access | échec côté trunk |
| dynamic auto | access | access (lien mort trunk) | TRUNK | trunk |
| dynamic desirable | access | TRUNK | TRUNK | trunk |
| trunk | échec | trunk | trunk | trunk |
Règle de terrain: côté serveur ou AP, forcer les deux extrémités (mode trunk + nonegotiate) et ne jamais laisser DTP décider.
Port access data + voice
Un téléphone IP est un petit switch interne: l'AP ou le téléphone reçoit le PC sur son port aval. Le switch offre deux VLANs sur un seul câble grâce à switchport voice vlan:
S1(config)# interface GigabitEthernet1/0/5
S1(config-if)# switchport mode access
S1(config-if)# switchport access vlan 10 ! le PC: data
S1(config-if)# switchport voice vlan 20 ! le téléphone: voix, taggé CoS
S1(config-if)# mls qos trust cos ! faire confiance à 802.1p du téléphone
La voix sort taggée 802.1Q depuis le téléphone, la data du PC sort sans tag et hérite du switchport access vlan. Sans la commande voice vlan, le téléphone tombe dans le VLAN data et les flux RTP perdent leur priorité.
Port trunk vers un switch ou un AP
S1(config-if)# switchport trunk encapsulation dot1q ! inutile sur les plateformes récentes, uniquement dot1q
S1(config-if)# switchport mode trunk
S1(config-if)# switchport trunk native vlan 99
S1(config-if)# switchport trunk allowed vlan 10,20,99
Un AP Cisco autonome ou léger se câble généralement en access avec un VLAN natif pour le management; un switch distant se câble en trunk. Le lien montant du switch d'accès vers la distribution est toujours un trunk: un câble, tous les VLANs.
Vérification systématique
S1# show interfaces GigabitEthernet1/0/5 switchport
Name: Gig1/0/5
Switchport: Enabled
Administrative Mode: static access
Operational Mode: static access
Access Mode VLAN: 10 (ADMIN_DATA)
Trunking Native Mode VLAN: 1 (default)
Voice VLAN: 20 (VOIX)
S1# show dtp interface GigabitEthernet1/0/24
Port Operational Negotiation Admin Oper Status ...
Gi1/0/24 yes desirable trunk trunk
show interfaces status résume tout: la colonne Vlan affiche T pour trunk, le numéro pour access.
Exemple concret
Sur un campus, l'armoire du 2e étage: 24 postes en VLAN 10 sur Gi1/0/1 à Gi1/0/24, port Gi1/0/48 en trunk vers le switch de distribution avec native VLAN 99 et allowed 10,20,99. Un technicien branche un portable sur Gi1/0/48 "pour tester": le portable obtient une adresse dans le sous-réseau management, voit les switches de tout le site et scanne le VLAN 20. Le port n'avait ni nonegotiate ni restriction physique. Les bonnes pratiques: ports unused errdisabled ou en access dans un VLAN poubelle, trunk verrouillé, et port security sur chaque port accès.