CDP và LLDP: dựng topology từ thông tin thiết bị
Dựng topology từ CDP và LLDP bằng cặp cổng, định danh và thời điểm thu thập. Đối chiếu hai đầu, ghi phần chưa xác minh và kiểm tra dịch vụ bằng phép thử riêng.
Hồ sơ ghi uplink của SW2 đi tới SW1 cổng 24, nhưng người trực thấy nhãn dây “CORE-23”. Trước khi thay trunk hoặc rút dây, cần biết cổng đang nối tới thiết bị nào. CDP và LLDP cung cấp thông tin láng giềng ngay trên liên kết, giúp kiểm tra chéo nhãn, cấu hình và sơ đồ.
Bảng neighbor là một tập bằng chứng có thời điểm. Nó không phải bản đồ đầy đủ của mọi máy trong mạng, cũng không chứng minh thiết bị bên kia đáng tin. Bài viết dựng topology từ hai đầu liên kết, ghi rõ điều gì đã xác nhận và điều gì vẫn cần kiểm tra.
1. Bắt đầu từ một đường nối và câu hỏi cần trả lời
Ví dụ biên tập có SW2 Gi1/0/24 nối SW1 Gi1/0/23 bằng một dây Ethernet. SW1 nối R1 qua cổng khác; SW2 còn nối điện thoại IP và máy người dùng. Không có tunnel hay thiết bị chuyển tiếp discovery đặc biệt. Người vận hành được phép đọc cấu hình và có phiên SSH tới SW1, SW2.
Mục tiêu đầu tiên là xác minh đúng cặp cổng SW2–SW1, không phải quét toàn hệ thống. Địa chỉ quản trị minh họa của SW1 là 192.168.99.11, SW2 là 192.168.99.12, thuộc mạng quản trị riêng. Chúng không có nghĩa hai cổng trunk Gi1/0/24 và Gi1/0/23 được gán các địa chỉ IP ấy.
Cuộn ngang khi cần, hoặc chạm sơ đồ để mở ảnh gốc.
Các lệnh là minh họa Cisco IOS/IOS XE; trường hiển thị, trạng thái mặc định và hỗ trợ giao thức tùy model/release. Bài chưa ghi nhận output từ phần cứng thật. Với mạng đa hãng, LLDP thường là điểm bắt đầu thuận tiện hơn, nhưng vẫn phải xác minh đối tác có hỗ trợ và cho phép gửi/nhận.
2. CDP và LLDP trao đổi gì, tới đâu?
CDP là giao thức khám phá Layer 2 của Cisco. LLDP là giao thức chuẩn mở, trao đổi thông tin bằng các TLV, tức trường kiểu, độ dài và giá trị. Thiết bị quảng bá định danh, cổng và khả năng trên từng liên kết. Trong phạm vi Ethernet thông thường của bài, thông tin giúp nhận ra neighbor trực tiếp, không đi theo bảng route để khám phá router ở nhiều hop phía sau.
Không cần IP cùng subnet để hiểu bản tin discovery ở Layer 2. Tuy vậy, muốn SSH tới địa chỉ quản trị nhận được vẫn cần IP, route, policy và thông tin xác thực phù hợp. Thấy một management address không đồng nghĩa có quyền đăng nhập hoặc địa chỉ ấy đang truy cập được từ vị trí hiện tại.
Ở LLDP, Chassis ID và Port ID có kiểu định danh. Chassis ID có thể là MAC hoặc dạng khác; Port ID không nhất thiết là tên interface giống giao diện CLI. System name cũng có thể thiếu hoặc thay đổi. Bởi vậy nên lưu cả giá trị lẫn kiểu, tránh dùng một chuỗi tên làm khóa tài sản duy nhất.
Tài liệu LLDP của Cisco giải thích các TLV và giới hạn xác thực. Bảng diễn giải bên dưới là hướng dẫn đọc bằng chứng do biên tập xây dựng, không phải kết quả phát hiện của một công cụ.
3. Đọc cặp local port và remote port trước địa chỉ quản trị
Giả sử tại SW2 thu được bản ghi CDP minh họa:
! Dữ liệu biên tập, không phải output kiểm thử
Thời điểm thu: T0
Thiết bị được đọc: SW2
Local interface: GigabitEthernet1/0/24
Device ID: SW1.example.test
Remote port: GigabitEthernet1/0/23
Management address: 192.168.99.11
Holdtime còn lại: 132 giâyCâu có thể viết vào hồ sơ là: “Tại T0, SW2 nhận quảng bá SW1.example.test trên Gi1/0/24; neighbor khai báo cổng Gi1/0/23.” Từ đó hình thành giả thuyết cặp cổng. Đọc SW1 để tìm bản ghi ngược: local Gi1/0/23, neighbor SW2, remote Gi1/0/24. Nếu khớp trong cùng khoảng thu thập và phù hợp dây/cấu hình, có cơ sở mạnh hơn để xác nhận đường nối.
Cuộn ngang khi cần, hoặc chạm sơ đồ để mở ảnh gốc.
Holdtime hoặc TTL trong bảng thể hiện thời gian giữ thông tin theo giao thức và cách thiết bị hiển thị. Bản ghi có thể còn sau khi một đường vừa mất, trước khi hết hạn hoặc được cập nhật. Con số 132 ở ví dụ không phải chu kỳ gửi mặc định. Ghi giờ thu và quan sát sự làm mới thay vì coi một lần chụp là hiện trạng vĩnh viễn.
CDP có thể quảng bá IP từ một interface khác nếu cổng liên quan không có IP. Hướng dẫn CDP của Cisco nêu điều kiện này. Vì thế ping được 192.168.99.11 chỉ bổ sung bằng chứng đường IP quản trị, không chứng minh trunk VLAN người dùng đang chuyển đúng.
4. Thu thập thông tin bằng lệnh đọc trước khi bật thêm giao thức
Trên switch Cisco, bắt đầu bằng trạng thái và bảng neighbor. Một số lệnh detail có thể cần cú pháp chọn interface khác theo release; dùng trợ giúp ? ngay trên thiết bị.
show clock
show cdp
show cdp interface
show cdp neighbors
show cdp neighbors detail
show lldp
show lldp interface
show lldp neighbors
show lldp neighbors detail
show interfaces GigabitEthernet1/0/24
show interfaces descriptionLưu output nguyên bản trong nơi được phép, rồi trích các trường cần cho sơ đồ. Đừng công khai toàn bộ inventory, địa chỉ quản trị và phiên bản phần mềm trong ảnh hỗ trợ gửi ra ngoài. Đối chiếu với quy trình quản trị SSH để bảo vệ hồ sơ và truy cập thiết bị.
Nếu LLDP chưa hoạt động và chính sách cho phép, cấu hình minh họa để bật toàn cục rồi gửi/nhận trên cổng cần khảo sát là:
! Chỉ dùng sau khi rà soát phạm vi các cổng sẽ quảng bá
configure terminal
lldp run
interface GigabitEthernet1/0/24
lldp transmit
lldp receive
endlldp run có phạm vi toàn cục. Tùy mặc định từng cổng, nó có thể làm nhiều interface bắt đầu quảng bá; không được coi mẫu này chỉ tác động một cổng. Rà soát và hạn chế transmit/receive trên các cổng không tin cậy theo chính sách trước khi bật. Tương tự, CDP có cdp run toàn cục và cdp enable ở interface.
Hướng dẫn LLDP/LLDP-MED trên Catalyst 9300 là nguồn cho cú pháp và phạm vi cấu hình. Không tắt giao thức hàng loạt như một bước thử lỗi: thiết bị thoại hoặc hệ thống quản lý có thể phụ thuộc thông tin discovery/policy đang trao đổi.
5. Chuyển bảng neighbor thành topology có thể kiểm tra lại
Dựng bản đồ theo liên kết, không chỉ danh sách tên thiết bị. Mỗi dòng cần thiết bị/cổng local, định danh/cổng remote, giao thức, thời điểm và mức xác minh. Với ví dụ, một dòng xác nhận SW2 Gi1/0/24 ↔ SW1 Gi1/0/23. Đường SW1 tới R1 phải đọc từ SW1 hoặc đầu R1, chưa thể suy ra chỉ từ bảng của SW2.
Hợp nhất CDP và LLDP cẩn thận. Cùng một neighbor có thể xuất hiện hai giao thức, tên rút gọn ở một bảng và FQDN ở bảng khác. So Chassis ID, serial từ nguồn được phép, cặp cổng và hồ sơ thiết bị trước khi gộp; cũng không tự coi hai tên giống nhau là hai thiết bị giống nhau.
Với EtherChannel, lưu cả cặp cổng vật lý và quan hệ thành viên Port-channel. Discovery và dữ liệu người dùng có thể được xử lý trên các interface khác nhau theo nền tảng. Hai bản ghi neighbor không mặc nhiên là hai uplink độc lập dưới STP. Kiểm tra summary và partner LACP để diễn giải đúng.
Điện thoại IP có thể nằm giữa máy tính và switch, còn nhiều máy người dùng không phát LLDP. Không có dòng máy tính trong neighbor table chưa có nghĩa máy không nối mạng. Bảng MAC và nhãn dây bổ sung góc nhìn khác: MAC có thể được học từ thiết bị phía sau một bridge, nên bảng MAC cũng không tự cung cấp bản đồ cáp đầy đủ.
Trong hồ sơ vận hành, dùng ký hiệu khác nhau cho liên kết đã đọc hai đầu, chỉ thấy một phía và suy luận từ tài liệu cũ. Ghi phần chưa truy cập thay vì vẽ chắc chắn. Khi có thay đổi, mốc thu thập giúp người sau phân biệt sơ đồ quá hạn với cấu hình đang sai.
6. Có neighbor vẫn lỗi mạng, không có neighbor vẫn có thể truyền
Nếu CDP/LLDP thấy đúng switch nhưng VLAN 20 không hoạt động, tiếp tục kiểm tra trunk, allowed list, VLAN active và STP của VLAN 20. Discovery nhận được không chứng minh mọi VLAN đã thông, cũng không chứng minh routing hay HTTPS hoạt động. Chẩn đoán theo bài VLAN/trunk và STP với đúng context.
Cuộn ngang khi cần, hoặc chạm sơ đồ để mở ảnh gốc.
Nếu bảng trống, các khả năng gồm không hỗ trợ giao thức, bị tắt toàn cục/cổng, chỉ gửi hoặc chỉ nhận, chưa hết thời gian chờ quảng bá, lỗi vật lý hoặc cơ chế lọc/trung gian. Kiểm tra interface trước, đọc cấu hình hai phía, chờ theo timer thực tế rồi thu lại. Không lấy bảng trống làm lý do khởi động lại switch.
Nếu một phía thấy còn phía kia không thấy, kiểm tra transmit/receive từng đầu và tuổi bản ghi. Một bản tin đi được một chiều không chứng minh cả đường dữ liệu hai chiều hoàn toàn tốt. So counters và trạng thái quang/cáp, đồng thời loại trừ việc hai output được thu ở hai thời điểm khác nhau sau thay đổi dây.
Nếu tên neighbor lạ, giữ bản ghi cùng log và xác minh dây/tài sản qua nguồn độc lập trước khi truy cập. CDP/LLDP quảng bá thông tin, không xác thực quyền sở hữu thiết bị. LLDP-MED có thể mang policy cho endpoint hỗ trợ, nhưng không biến neighbor thành thiết bị đã được cấp quyền truy cập mạng. Không SSH bằng thông tin nhạy cảm tới một địa chỉ chỉ vì nó xuất hiện trong quảng bá.
7. Hồ sơ nghiệm thu và câu hỏi tự kiểm tra
Trong lab, ghi bảng hai đầu và đánh dấu đúng cặp cổng trên sơ đồ. Thay description của một interface rồi so với Port ID/port description thực tế để thấy các trường có thể khác nhau. Nếu thử ngắt cáp, chỉ làm trên liên kết lab, quan sát thời điểm interface down và bản ghi hết hạn; không dự đoán TTL bằng một số mặc định chung.
- Phân biệt local interface, remote port, Chassis ID và management address.
- Giữ timestamp, giao thức và tuổi bản ghi trong dữ liệu nguồn.
- Đối chiếu bản ghi ngược, dây và định danh trước khi xác nhận liên kết.
- Ghi riêng điều kiện trunk/STP/routing và phép thử ứng dụng.
- Đánh dấu nhánh chưa xác minh; hạn chế quảng bá theo chính sách.
PDF trang vật lý 79–95 là nền về CDP và ghi nhận topology. Bài bổ sung LLDP, giới hạn tin cậy và cách xác minh hai đầu theo Cisco; thay cách truy cập Telnet cũ bằng tham chiếu SSH. Tình huống, dữ liệu 132 giây và sơ đồ đều do biên tập dựng, chưa phải quan sát thực tế. Sau bài này, bạn cần trả lời được: khi SW2 thấy SW1 nhưng không thấy R1, dữ kiện nào còn thiếu trước khi vẽ đường SW1–R1?