[Cisco]- Tìm hiểu về Port Channel, EtherChannel, và LAG (tên gọi chung)

 

Tổng Quan Công Nghệ EtherChannel (LAG / Port Channel)

I. Mô Hình EtherChannel

Ví dụ minh họa cấu hình EtherChannel giữa hai Switch Cisco C9300 nhằm tăng băng thông và đảm bảo dự phòng.

Kênh Logic	Port Vật Lý (Switch-1)	Chế độ	Mục đích
Po1	Gi1/0/15, Gi1/0/18	mode on	Gộp 2 cổng thành kênh 2Gbps
Po2	Gi1/0/37, Gi1/0/39	mode on	Gộp 2 cổng thành kênh 2Gbps khác

Chế độ 'mode on' là cấu hình tĩnh, không dùng giao thức thương lượng (LACP/PAgP). Cả hai đầu phải cấu hình giống nhau hoàn toàn.

II. Kiểm Tra EtherChannel

Lệnh kiểm tra chính:

show etherchannel summary

Cột	Giá trị	Ý nghĩa
Po1/Po2	SU	S: Layer 2, U: Đang hoạt động
Protocol	None	Đúng vì dùng mode on (không có giao thức)
Ports	P	Các port đang tham gia vào kênh

Test dự phòng: Rút một dây cáp → kênh vẫn hoạt động (SU), chứng tỏ tính năng chịu lỗi hiệu quả.

III. Phân Biệt Các Thuật Ngữ

Thuật Ngữ	Tên Đầy Đủ	Phạm Vi Sử Dụng	Giải thích
LAG	Link Aggregation Group	Chuẩn IEEE (802.3ad/1ax)	Tên gọi chung cho công nghệ gộp cổng
EtherChannel	EtherChannel	Cisco	Tên thương mại của Cisco cho LAG
Port Channel	Port Channel	Cisco IOS	Giao diện logic quản lý nhóm cổng

Giao thức thiết lập phổ biến:

Giao Thức	Loại	Chế độ hoạt động
PAgP	Cisco	desirable / auto
LACP	Chuẩn IEEE	active / passive
Tĩnh	Thủ công	mode on

IV. Kết Nối Switch Layer 2 và Layer 3

Có thể cấu hình EtherChannel giữa Switch L2 và L3, nhưng phải dùng chế độ Layer 2 (thường là trunk).

Thiết Bị	Cấu Hình Bắt Buộc	Lý Do
Switch Layer 2	switchport mode trunk	Chỉ xử lý frame (MAC/VLAN)
Switch Layer 3	no switchport + trunk	Hạ cấp giao diện về L2 để tương thích với L2

 Tại Sao nên dùng Chế độ động (LACP/PAgP)?

Các chế độ động (active/passive hoặc desirable/auto) được ưu tiên hơn chế độ Tĩnh vì:

1. Tự động kiểm tra: Nếu cấu hình không đồng nhất (ví dụ: tốc độ hoặc Trunk/Access mode khác nhau), LACP/PAgP sẽ không thiết lập kênh, ngăn ngừa các lỗi Loop hoặc lỗi chuyển tiếp dữ liệu nghiêm trọng.

2. Khả năng chịu lỗi tốt hơn: Giao thức thường xuyên gửi các gói tin PDU để xác nhận đối tác vẫn còn kết nối và hoạt động. Nếu đối tác không phản hồi, kênh sẽ được đánh dấu là Down.

Lời khuyên: Luôn sử dụng LACP (active/passive) bất cứ khi nào có thể vì nó là tiêu chuẩn mở và có cơ chế kiểm tra lỗi mạnh mẽ hơn.

Tổng Kết Trạng Thái

Port-Channel 1 hiện đang hoạt động (SU) và sử dụng giao thức LACP để quản lý.

Cả hai cổng vật lý (Et0/0 và Et0/1) đều ở trạng thái (P), có nghĩa là chúng đang hoàn toàn tham gia vào liên kết tổng hợp.

Điều này đảm bảo bạn đang sử dụng toàn bộ băng thông của cả hai cổng và có khả năng chống lỗi (fault tolerance) tốt hơn so với khi chỉ có một cổng hoạt động.

SW1#sh run Building configuration... ! interface Port-channel1 switchport trunk encapsulation dot1q switchport mode trunk ! interface Ethernet0/0 switchport trunk encapsulation dot1q switchport mode trunk channel-group 1 mode active ! interface Ethernet0/1 switchport trunk encapsulation dot1q switchport mode trunk channel-group 1 mode active ! interface Ethernet0/2 ! interface Ethernet0/3 ! interface Vlan1 ip address 10.10.10.1 255.255.255.0 ! SW1# SW2#sh run ! hostname SW2 ! ! !interface Port-channel1 switchport trunk encapsulation dot1q switchport mode trunk ! interface Ethernet0/0 switchport trunk encapsulation dot1q switchport mode trunk channel-group 1 mode passive ! interface Ethernet0/1 switchport trunk encapsulation dot1q switchport mode trunk channel-group 1 mode passive ! interface Ethernet0/2 ! interface Ethernet0/3 ! interface Vlan1 ip address 10.10.10.2 255.255.255.0 ! ! SW2# SW2#

Hướng Dẫn Tải và Cài MikroTik CHR vào EVE-NG

Bước 1: Tải MikroTik CHR

Truy cập trang chính thức:
https://mikrotik.com/download

Tại mục Cloud Hosted Router, chọn:

• Raw disk image (file .img)
  → Đây là định dạng phù hợp nhất cho EVE-NG Community (dùng KVM).

---

Bước 2: Import vào EVE-NG

1. Tạo thư mục node MikroTik CHR:

mkdir /opt/unetlab/addons/qemu/mikrotik-chr

2. Đổi tên file .img thành hda.qcow2 và di chuyển vào thư mục:

mv chr-7.xx.img /opt/unetlab/addons/qemu/mikrotik-chr/hda.qcow2

Thay chr-7.xx.img bằng tên file bạn tải về.

3. Fix quyền để EVE-NG nhận node:

/opt/unetlab/wrappers/unl_wrapper -a fixpermissions

---

Thông Tin Đăng Nhập Mặc Định MikroTik CHR

• Username: admin
• Password: (trống — không có mật khẩu)

Sau khi đăng nhập lần đầu, bạn nên đổi mật khẩu để bảo mật:

/user set admin password=admin123

 Ví dụ: user: admin / admin123

Lab PPPoE Server (MikroTik CHR) và Sophos Firewall đóng vai trò là PPPoE Client.

 

[ INTERNET (Cloud VMnet8 / NAT) ]

                                    │ 

                                    │ DHCP Client (Ví dụ: 192.168.222.145)

                                    ▼

             ┌─────────────────────────────────────────────┐

             │            MIKROTIK CHR (ROUTER)            │

             │              (PPPoE Server)                 │

             └──────────────────────┬──────────────────────┘

                                    │ [ether1] - IP: 192.168.100.1/24

                                    │ 

                     ═══════════════╪═══════════════  <- PPPoE Tunnel

                                    │

                                    │ [PortC / WAN] - Dynamic IP (192.168.100.10 - 50)

                                    │ (Ví dụ nhận IP: 192.168.100.50)

             ┌──────────────────────┴──────────────────────┐

             │            SOPHOS XG FIREWALL               │

             │               (PPPoE Client)                │

             └──────────────────────┬──────────────────────┘

                                    │ [PortA / LAN] - IP Gateway: 172.16.16.1/24

                                    │

                                    ▼

             ┌─────────────────────────────────────────────┐

             │           MẠNG LAN SAU SOPHOS               │

             │      WinServer / Client (172.16.16.0/24)    │

             └─────────────────────────────────────────────┘

1. Tổng Quan

Lab này hướng dẫn cách cấu hình MikroTik CHR làm PPPoE Server, NAT ra Internet qua Cloud VMnet8, và cấu hình Sophos Firewall quay PPPoE để nhận IP động và truy cập Internet.

2. Chuẩn Bị Lab Trong EVE-NG

Các node cần thiết:

·       MikroTik CHR

·       Sophos Firewall

·       Cloud node (VMnet8 NAT)

Kết nối:

·       ether1 của MikroTik ↔ Sophos

·       ether2 của MikroTik ↔ Cloud VMnet8

3. Cấu Hình MikroTik CHR

3.1 Gán IP cho interface PPPoE (ether1):

/ip address
add address=192.168.100.1/24 interface=ether1

3.2 Tạo pool IP cấp cho client PPPoE:

/ip pool
add name=pppoe-pool ranges=192.168.100.10-192.168.100.50

3.3 Tạo PPP profile:

/ppp profile
add name=pppoe-profile local-address=192.168.100.1 remote-address=pppoe-pool use-encryption=no

3.4 Tạo user PPPoE:

/ppp secret
add name=sophos password=123456 service=pppoe profile=pppoe-profile

3.5 Tạo PPPoE Server trên ether1:

/interface pppoe-server server
add interface=ether1 service-name=pppoe-test default-profile=pppoe-profile disabled=no

4. Cấu Hình MikroTik Ra Internet Qua VMnet8

4.1 Nhận IP động từ VMnet8 qua DHCP:

/ip dhcp-client
add interface=ether2 disabled=no

4.2 NAT để các thiết bị phía sau MikroTik ra Internet:

/ip firewall nat
add chain=srcnat out-interface=ether2 action=masquerade

5. Cấu Hình Sophos Firewall Quay PPPoE

1.       5.1 Vào giao diện Sophos → Network → Interfaces

2.       5.2 Chọn interface kết nối đến MikroTik → Add PPPoE

3.       5.3 Nhập thông tin:

·       Username: sophos

·       Password: 123456

·       Service name: pppoe-test (hoặc để trống)

4.       5.4 Enable interface và Apply

6. Kiểm Tra Kết Nối

·       Trên MikroTik:

/log print

·       Trên Sophos:

·       Kiểm tra trạng thái PPPoE, IP nhận được, gateway.

Trên microtik >> Thêm static route về LAN sophos:

# Giả sử Sophos khi quay PPPOE nhận IP 192.168.100.50

/ip route add \

 dst-address=172.16.16.0/24 \ 

 gateway=192.168.100.50 \ 

 comment="Route ve mang LAN cua Sophos FW"

 

Thêm router cisco C7200 vào EVE

Link: https://drive.google.com/drive/folders/1Twu7QIdhZ_H0kdLCSLAAiXZABOg44_3_

Sau khi tải image về, upload lên EVE và fix permissions: c7200-adventerprisek9-mz.152-4.S6.bin

Kiểm tra kq:

Sophos FW - Cơ chế hoạt động của Dead Peer Detection (DPD) trong VPN

Cơ chế hoạt động của Dead Peer Detection (DPD)

DPD là một cơ chế được thiết kế để xác định xem một peer (đầu cuối) VPN có còn hoạt động hay không. Nó hoạt động như sau:

Gửi gói tin kiểm tra: Sophos Firewall sẽ định kỳ gửi các gói tin nhỏ (R-U-THERE messages) đến peer VPN đối diện.

Đợi phản hồi: Nó sẽ chờ đợi phản hồi (R-U-THERE-ACK messages).

Hành động khi mất kết nối:

Nếu không nhận được phản hồi trong một khoảng thời gian nhất định, Sophos sẽ coi peer đó là không thể truy cập.

Sophos sẽ thực hiện hành động được cấu hình, thường là ngắt kết nối và tự động tái khởi tạo (re-initiate) lại VPN tunnel.

Sophos không cho phép chỉnh sửa trực tiếp các profile mặc định. Do đó, để thay đổi thời gian phát hiện mất kết nối VPN, bạn cần clone (tạo bản sao) profile mặc định đó, sau đó chỉnh sửa bản sao và áp dụng nó cho VPN connection.

1. Cách clone (tạo bản sao) profile "DefaultHeadOffice"

1. Đăng nhập vào Sophos Web Admin GUI.

2. Điều hướng đến VPN > IPsec profiles.

3. Tìm profile DefaultHeadOffice trong danh sách.

4. Nhấp vào biểu tượng Clone (biểu tượng hình hai tờ giấy) nằm bên cạnh profile đó.

5. Đặt một tên mới cho profile được clone (ví dụ: MyHeadOffice_VPN_Profile).

6. Lưu lại.

Sau khi clone, bạn sẽ có một profile mới có thể chỉnh sửa được.

2. Chỉnh sửa thời gian detect ngắn nhất

1. Tiếp tục ở trang VPN > IPsec profiles, tìm đến profile mới mà bạn vừa tạo (MyHeadOffice_VPN_Profile).

2. Nhấp vào biểu tượng Edit (cây bút chì) để chỉnh sửa.

3. Tìm mục Dead Peer Detection.

4. Điều chỉnh các thông số sau để giảm thời gian phát hiện:

   • Check peer after every: Giảm giá trị này xuống mức tối thiểu có thể. Sophos thường giới hạn giá trị này để tránh gửi quá nhiều gói tin DPD.

   • Wait for response up to: Giảm giá trị này xuống thấp nhất. Đây là thời gian chờ phản hồi trước khi Sophos coi kết nối đã mất.

Lưu ý: Không nên đặt các giá trị quá thấp để tránh việc ngắt kết nối không cần thiết do độ trễ mạng tạm thời.

5. Lưu lại các thay đổi của profile.

3. Áp dụng profile mới cho kết nối VPN

1. Điều hướng đến Site-to-site VPN > IPsec.

2. Nhấp vào biểu tượng Edit của VPN connection bạn muốn thay đổi.

3. Tại mục Encryption, trong phần Profile, chọn profile mới mà bạn vừa tạo (MyHeadOffice_VPN_Profile) thay vì profile mặc định (DefaultHeadOffice).

4. Lưu lại cấu hình. 🌐

Lúc này, VPN connection của bạn sẽ sử dụng profile mới với các thông số DPD đã được điều chỉnh.

Cấu hình đúng

Để đảm bảo kết nối VPN tự động phục hồi một cách hiệu quả và không bị xung đột, bạn nên thiết lập theo mô hình "chủ động - bị động":

1. Site HQ (Trụ sở chính):

   • Gateway type: Chọn Initiate the connection.

   • When peer unreachable: Chọn Re-initiate.

   • Mục đích: HQ sẽ luôn là bên chủ động, có nhiệm vụ giám sát và khởi tạo lại kết nối khi cần.

2. Site A (Chi nhánh):

   • Gateway type: Chọn Respond only.

   • When peer unreachable: Chọn Re-initiate hoặc Disconnect.

     • Re-initiate: Cho phép site A tự động kết nối lại nếu kết nối bị ngắt từ phía nó, nhưng nó sẽ không chủ động kết nối nếu HQ không phản hồi.

     • Disconnect: Ngắt kết nối và đợi HQ chủ động kết nối lại.

Việc thiết lập này đảm bảo chỉ một bên duy nhất (HQ) chịu trách nhiệm khởi tạo kết nối, tránh tình trạng hai thiết bị "đua nhau" kết nối lại.

[Lab EVE]- VPN site to site (IPsec) với sophos FW

 

Xây dựng mô hình Lab eve như sô đồ trên.

Vào host & service:

>> Bên site HQ (headquarter) định nghĩa LAN: HQ_LAN với network: 172.16.16.0/24

>> Bên site con (Site A) định nghĩa SITEA_LAN với network: 173.17.17.0/24

Dùng wizard (thuật sĩ) để tạo IPsec connections cho 2 bên:

Chọn initate the connection tại HQ, và Site A chọn respond only để khi mất kết nối sẽ auto reconnect lại VPN nhé.

Chọn Initiate the connection chỉ ở một bên (thường là site chính, như HQ) và chọn Respond only cho bên còn lại (site phụ).

Lý do và giải thích chi tiết

Initiate the connection (Khởi tạo kết nối)

Khi bạn chọn Initiate the connection cho một site, thiết bị Sophos Firewall của site đó sẽ chủ động gửi yêu cầu kết nối VPN đến site đối diện. Nó sẽ liên tục thử lại nếu kết nối bị ngắt.

Respond only (Chỉ phản hồi)

Khi bạn chọn Respond only, thiết bị Sophos Firewall của site đó sẽ chỉ chờ đợi và chấp nhận các yêu cầu kết nối đến từ phía đối diện. Nó sẽ không tự động khởi tạo kết nối.

Tại sao nên chọn kết hợp?

Việc chọn Initiate the connection ở cả hai bên sẽ tạo ra một "cuộc đua" (race condition) khi cả hai thiết bị đều cố gắng khởi tạo kết nối đồng thời. Điều này có thể dẫn đến việc kết nối không ổn định hoặc không thể thiết lập được.

Để đảm bảo kết nối tự động phục hồi và hoạt động ổn định, bạn nên thiết lập như sau:

• Site HQ (Trụ sở chính): Chọn Initiate the connection 

• ✅. Điều này đảm bảo rằng HQ luôn là bên chủ động, sẽ tự động tái kết nối nếu VPN bị ngắt.

• Site văn phòng/chi nhánh: Chọn Respond only 

• ✅. Site này sẽ chỉ chờ và chấp nhận kết nối từ HQ.

Cấu hình này tạo ra một mô hình "Hub-and-Spoke" đơn giản, trong đó HQ đóng vai trò là "Hub" (trung tâm) và các chi nhánh là "Spoke" (nan hoa), đảm bảo sự ổn định và dễ quản lý cho toàn bộ hệ thống.

Tạo rule in/out cho VPN tại mỗi site, thêm rules cho LAN tại mỗi bên ra NET

Kiểm tra lại kết quả: từ HQ ping sang site A và ngược lại:

Lệnh cơ bản để bật SNMP (Simple Network Management Protocol) trên thiết bị Cisco.

 Đây là các lệnh cơ bản để bật SNMP (Simple Network Management Protocol) trên thiết bị Cisco.

---

Cấu hình SNMPv2c (Không bảo mật)

Đây là cách nhanh nhất để bật SNMP, sử dụng một chuỗi cộng đồng (community string) như một mật khẩu.

Router(config)# snmp-server community <community-string> RO

• <community-string>: Tên chuỗi mà bạn sẽ sử dụng để truy cập SNMP. Ví dụ: public.

• RO: Quyền chỉ đọc (Read-Only). Bạn cũng có thể dùng RW để có quyền đọc-ghi, nhưng không khuyến khích.

---

Cấu hình SNMPv3 (Có bảo mật)

Đây là phiên bản được khuyến khích vì nó hỗ trợ mã hóa và xác thực.

1. Tạo Group:

   Router(config)# snmp-server group <group-name> v3 <privacy | auth | noauth>
   

   Chọn mức bảo mật (privacy là cao nhất).

2. Tạo User:

   Router(config)# snmp-server user <user-name> <group-name> v3 auth <auth-algorithm> <auth-password> priv <priv-algorithm> <priv-password>
   

   Lệnh này tạo một người dùng, gán vào nhóm đã tạo và thiết lập mật khẩu xác thực cũng như mật khẩu mã hóa.

---

Lưu ý

• Bạn cần phải ở chế độ Global Configuration (Router(config)#) để thực hiện các lệnh trên.

• Sau khi cấu hình, hãy lưu lại bằng lệnh write memory hoặc copy running-config startup-config.