Tarmoq Muhandisligi — Kurs modullari

02 /14

Static Route

+

Router'ga qaysi tarmoqqa qanday yo'l bilan borishni qo'lda, aniq ko'rsatib beriladigan marshrutlash usuli. Marshrutlashning eng asosiy va eng ishonchli shakli — undan boshlab, keyingi barcha dinamik protokollar mantig'i tushuniladi.

Nima uchun kerak

Router avtomatik ravishda faqat o'ziga bevosita ulangan tarmoqlarni biladi. Boshqa, undan uzoqdagi tarmoqqa yo'l topishi uchun unga yo'l ko'rsatish kerak — buni ikki xil qilish mumkin: dinamik protokol (RIP, OSPF va h.k.) orqali avtomatik, yoki static route orqali qo'lda, bitta buyruq bilan.

Kichik va o'zgarmas tuzilishga ega tarmoqlarda — eng oddiy va tez yechim.
Dinamik protokol ishlamaydigan yoki keraksiz joyda — masalan, bitta chiqish yo'li bo'lgan filial tarmog'ida.
Xavfsizlik talab qilinganda — router faqat siz ko'rsatgan yo'ldan boshqa hech narsani "eshitmaydi", noto'g'ri reklama qilingan marshrutdan himoyalangan.
Dinamik protokollarga zaxira (backup) yo'l sifatida — floating static route ko'rinishida.

Asosiy ko'rsatkichlar

Administrative Distance

1 Deyarli barcha dinamik protokollardan (RIP-120, OSPF-110) ishonchliroq hisoblanadi — shu sabab AD qiymati eng past

Yangilanish

Qo'lda Tarmoq topologiyasi o'zgarsa, administrator marshrutni qo'lda tuzatishi kerak

Sintaksis

Buyruq global konfiguratsiya rejimida kiritiladi va uchta asosiy qismdan iborat: manzil qayerga, niqob qancha keng, va qaysi tomonga yuborish kerak.

Router# — sintaksis

Router(config)# ip route [maqsad tarmoq] [subnet mask] [next-hop IP | chiqish interfeysi]

Eslatma: next-hop sifatida qo'shni routerning IP manzilini yoki o'z routeringizning chiqish interfeysini (masalan GigabitEthernet0/1) ko'rsatish mumkin. Ikkisining ham AD va ishlash xususiyati bir-biridan farq qiladi — Ethernet interfeysini to'g'ridan-to'g'ri ko'rsatish ARP so'rovlarini oshirib yuborishi mumkin, shu sabab amalda ko'pincha next-hop IP tavsiya etiladi.

Static route turlari

Turi	Nima uchun	Misol
Standart static route	Bitta aniq tarmoqqa yo'l	ip route 192.168.20.0 255.255.255.0 10.0.0.2
Default route	Jadvalda topilmagan barcha trafik uchun "so'nggi chora" yo'li	ip route 0.0.0.0 0.0.0.0 10.0.0.1
Summary (yig'ma) route	Bir nechta kichik tarmoqni bitta qatorga birlashtirish	ip route 192.168.0.0 255.255.252.0 10.0.0.2
Floating static route	Dinamik protokolga zaxira yo'l — AD qiymatini sun'iy oshirib beriladi	ip route 192.168.20.0 255.255.255.0 10.0.0.3 130

Sozlash — amaliy misol

Router 10.0.0.0/30 orqali qo'shni router bilan ulangan va 192.168.20.0/24 tarmog'iga trafikni shu yo'l orqali yuborishi kerak.

R1# — konfiguratsiya

R1> enable
R1# configure terminal
R1(config)# ip route 192.168.20.0 255.255.255.0 10.0.0.2
R1(config)# exit
R1# write memory // konfiguratsiyani xotiraga saqlash

Sozlashdan so'ng tekshirish

show ip route

Marshrutlash jadvalini ko'rsatadi. Static route qatori boshida S harfi bilan belgilanadi.

show running-config

Router xotirasidagi joriy konfiguratsiyada kiritilgan buyruq to'g'ri yozilganini tasdiqlaydi.

ping / traceroute

Maqsad tarmoqdagi qurilmagacha paket yetib borayotganini va qaysi yo'l bilan borayotganini amalda tekshiradi.

Afzallik va cheklovi

Afzalligi

Protokol resurs sarflamaydi, xavfsiz, to'liq nazorat administratorda, tushunish oson.

Cheklovi

Katta tarmoqda har bir routerni qo'lda sozlash amaliy emas; topologiya o'zgarganda avtomatik moslashmaydi.

03 /14

RIP

+

Routing Information Protocol — routerlar bir-biriga o'z marshrutlash jadvalini avtomatik ravishda uzatib turadigan, eng sodda dinamik marshrutlash protokoli. Distance-vector oilasining klassik vakili.

Ishlash prinsipi

RIP distance-vector algoritmiga asoslanadi: har bir router qo'shnilariga "men shu tarmoqni shuncha hop masofada bilaman" deb butun jadvalini yuboradi, qo'shnisi esa uni qabul qilib, o'z jadvaliga 1 hop qo'shib saqlaydi. Bu jarayon Bellman-Ford algoritmi asosida ishlaydi va tarmoqdagi barcha routerlar bir xil ma'lumotga kelguncha (konvergensiya) davom etadi.

Metrika — faqat hop count (necha router orqali o'tish kerak). Kanal tezligi, kechikish yoki ishonchlilik hisobga olinmaydi.
Maksimal masofa — 15 hop. 16-hop "unreachable" (yetib bo'lmaydi) deb hisoblanadi — shu sabab RIP faqat kichik tarmoqlarga mos.
Yangilanishlar har 30 soniyada barcha qo'shnilarga avtomatik yuboriladi (periodic update).

RIPv1 va RIPv2

Xususiyat	RIPv1	RIPv2
Tarmoq turi	Classful (niqobni yubormaydi)	Classless (VLSM/CIDR'ni to'liq qo'llab-quvvatlaydi)
Yangilanish uzatish	Broadcast — 255.255.255.255	Multicast — 224.0.0.9
Autentifikatsiya	Yo'q	Bor (parol bilan himoyalash mumkin)
Amalda ishlatilishi	Deyarli chiqib ketgan	Hozir ishlatiladigan versiya

Sikllardan himoya mexanizmlari

Distance-vector protokollarning eng katta xavfi — routing loop (marshrut aylanib qolishi). RIP buni bir necha mexanizm bilan oldini oladi:

Split horizon — router qaysi interfeysdan marshrut haqida xabar olgan bo'lsa, o'sha marshrutni orqaga, xuddi shu interfeysga qaytarib yubormaydi.
Route poisoning — tarmoq yo'qolganda, uni 16 (unreachable) metrikasi bilan e'lon qilib, boshqalarga darhol bildiradi.
Holddown timer — marshrut yo'qolgandan keyin bir muddat (odatda 180 soniya) o'sha tarmoq haqida yangi, ehtimol noto'g'ri xabarlarni qabul qilmay turadi.
Triggered update — topologiya o'zgarganda, navbatdagi 30 soniyani kutmasdan darhol yangilanish yuboradi.

Asosiy ko'rsatkichlar

Administrative Distance

120 Static route (1) va boshqa aksariyat protokollardan kamroq ishonchli hisoblanadi

Timerlar

30 / 180 / 240 Update / Invalid / Flush (soniyalarda)

Sozlash — amaliy misol

Router'da RIPv2 yoqiladi, avto-summarizatsiya o'chiriladi (VLSM to'g'ri ishlashi uchun) va router bevosita ulangan tarmoqlar reklama qilinadi.

R1# — konfiguratsiya

R1> enable
R1# configure terminal
R1(config)# router rip
R1(config-router)# version 2
R1(config-router)# no auto-summary
R1(config-router)# network 10.0.0.0
R1(config-router)# network 192.168.1.0
R1(config-router)# exit
R1(config)# exit
R1# write memory

Muhim: network buyrug'i router'ga "shu tarmoq bilan bevosita ulanganman, uni RIP orqali qo'shnilarga reklama qil" deb ko'rsatadi. Manzil har doim classful (to'liq) ko'rinishda kiritiladi, hatto subnetting qilingan bo'lsa ham.

Sozlashdan so'ng tekshirish

show ip protocols

RIP versiyasi, timerlar va qaysi tarmoqlar reklama qilinayotganini ko'rsatadi.

show ip route rip

Faqat RIP orqali o'rganilgan marshrutlarni, ular boshida R harfi bilan ko'rsatadi.

debug ip rip

Real vaqtda RIP yangilanishlari yuborilishi va qabul qilinishini kuzatish uchun (o'quv/diagnostika muhitida).

Afzallik va cheklovi

Afzalligi

Sozlash juda oddiy, kam resurs talab qiladi, kichik va o'rta tarmoqlarda tez ishga tushiriladi.

Cheklovi

Konvergensiya sekin, 15 hopdan katta tarmoqda ishlamaydi, kanal sifatini hisobga olmaydi — shu sabab yirik tarmoqlarda OSPF yoki EIGRP afzal ko'riladi.

04 /14

EIGRP

+

Enhanced Interior Gateway Routing Protocol — Cisco ishlab chiqqan, keyinchalik ochiq standartga aylantirilgan (RFC 7868) ilg'or marshrutlash protokoli. Distance-vector protokolning soddaligini link-state'ning tezkorligi bilan birlashtiradi.

Ishlash prinsipi

EIGRP o'zining mashhur DUAL (Diffusing Update Algorithm) algoritmi orqali ishlaydi. RIP kabi butun jadvalni emas, faqat o'zgargan qismini (partial update) qo'shnilarga yuboradi — bu kanal resursini tejaydi. Eng muhimi, DUAL har bir marshrut uchun zaxira yo'lni — feasible successor'ni oldindan hisoblab qo'yadi, shu sabab asosiy yo'l (successor) uzilganda qayta hisoblashga vaqt sarflamay, zaxiraga darhol o'tadi.

Qo'shnilar bilan aloqa — Reliable Transport Protocol (RTP) orqali, multicast 224.0.0.10 manziliga hello paketlar yuboriladi.
Metrika — composite (tarkibli): standart holatda bandwidth (kanal kengligi) va delay (kechikish) asosida hisoblanadi, zarur bo'lsa reliability, load va MTU ham qo'shilishi mumkin.
Konvergensiya juda tez — feasible successor mavjud bo'lsa, marshrut millisekundlar ichida almashadi.

Successor va Feasible Successor

Atama	Ma'nosi
Successor	Maqsad tarmoqqa eng qisqa (eng past metrikali) yo'l — hozir aktiv ishlatilayotgan marshrut
Feasible Successor	Zaxira yo'l — successor'dan uzoqroq, lekin sikl hosil qilmasligi matematik jihatdan kafolatlangan (Feasibility Condition orqali tekshiriladi)
Stuck In Active (SIA)	Feasible successor topilmasa, router qo'shnilaridan so'rov yuborib qayta hisoblaydi — bu holat "active" deb ataladi

Asosiy ko'rsatkichlar

Administrative Distance

90 / 170 Ichki (internal) EIGRP — 90, tashqi (external, boshqa protokoldan qayta taqsimlangan) — 170

Load balancing

Teng va noteng Bir xil metrikali yo'llar orasida (equal-cost) hamda variance buyrug'i bilan har xil metrikali yo'llar orasida ham (unequal-cost)

Sozlash — amaliy misol

Router'da 100-raqamli avtonom tizim (AS) ostida EIGRP yoqiladi va bevosita ulangan tarmoqlar reklama qilinadi.

R1# — konfiguratsiya

R1> enable
R1# configure terminal
R1(config)# router eigrp 100
R1(config-router)# no auto-summary
R1(config-router)# network 10.0.0.0 0.0.0.3
R1(config-router)# network 192.168.1.0 0.0.0.255
R1(config-router)# exit
R1(config)# exit
R1# write memory

Muhim: AS raqami (misolda 100) tarmoqdagi barcha EIGRP router'larida bir xil bo'lishi shart — aks holda qo'shnilik o'rnatilmaydi. Wildcard mask (0.0.0.255) subnet maskning teskarisi ekanini yodda tuting.

Sozlashdan so'ng tekshirish

show ip eigrp neighbors

Qaysi qo'shni routerlar bilan aloqa o'rnatilganini va aloqa holatini ko'rsatadi.

show ip route eigrp

EIGRP orqali o'rganilgan marshrutlarni, ular boshida D harfi bilan ko'rsatadi.

show ip eigrp topology

Successor va feasible successor'larni, ya'ni asosiy va zaxira yo'llarni birga ko'rsatadi.

Afzallik va cheklovi

Afzalligi

Juda tez konvergensiya, kam kanal resursi sarflaydi (partial update), teng va noteng yo'llar orasida load balancing qiladi.

Cheklovi

Uzoq vaqt faqat Cisco qurilmalarida ishlagan (hozir ochiq standart), OSPF'ga nisbatan sof link-state emas — katta, ko'p vendorli tarmoqlarda kamroq qo'llaniladi.

05 /14

OSPF

+

Open Shortest Path First — ochiq standart (RFC 2328) link-state marshrutlash protokoli. Yirik korporativ va provayder tarmoqlarida eng ko'p ishlatiladigan ichki marshrutlash protokoli hisoblanadi.

Ishlash prinsipi

RIP yoki EIGRP kabi faqat qo'shnidan eshitilgan ma'lumotga tayanish o'rniga, OSPF'dagi har bir router butun tarmoq topologiyasining to'liq xaritasini o'zida saqlaydi (link-state database). Bu xarita asosida Dijkstra algoritmi (SPF — Shortest Path First) yordamida har bir tarmoqqa eng qisqa yo'lni mustaqil hisoblab chiqadi.

Routerlar hello paketlar orqali qo'shnilarini topadi (multicast 224.0.0.5) va Link-State Advertisement (LSA) almashadi.
Metrika — cost, formulasi: reference bandwidth ÷ interfeys tezligi. Tezroq kanal — past cost — afzalroq yo'l.
Topologiya o'zgarganda faqat o'zgargan LSA tarqatiladi, barcha routerlar SPF'ni qayta hisoblaydi — shu sabab konvergensiya tez va aniq.

Area (zona) tuzilishi

Katta tarmoqda barcha routerlar bitta umumiy bazani saqlasa, resurs ortiqcha sarflanadi. OSPF buni area'larga bo'lish orqali hal qiladi — bu kursning "3 bosqichli iyerarxik tarmoq" mantig'iga to'g'ridan-to'g'ri mos keladi.

Element	Vazifasi
Area 0 (Backbone)	Markaziy zona — barcha boshqa zonalar shu orqali bir-biri bilan bog'lanadi
Boshqa area'lar	Har biri o'z ichidagi LSA'larni saqlaydi, tashqariga faqat xulosa (summary) yuboradi — bu resursni tejaydi
DR / BDR	Multiaccess tarmoqda (masalan, umumiy switch segmentida) LSA almashinuvini markazlashtirish uchun saylanadigan "boshqaruvchi" routerlar

Asosiy ko'rsatkichlar

Administrative Distance

110 EIGRP'dan (90) kamroq, RIP'dan (120) ko'proq ishonchli hisoblanadi

Qo'shnilik holatlari

7 bosqich Down → Init → 2-Way → ExStart → Exchange → Loading → Full

Sozlash — amaliy misol

Router'da OSPF process ishga tushiriladi va bevosita ulangan tarmoqlar Area 0'ga kiritiladi.

R1# — konfiguratsiya

R1> enable
R1# configure terminal
R1(config)# router ospf 1
R1(config-router)# network 10.0.0.0 0.0.0.3 area 0
R1(config-router)# network 192.168.1.0 0.0.0.255 area 0
R1(config-router)# exit
R1(config)# exit
R1# write memory

Eslatma: "1" — bu process-id, faqat shu router ichida lokal ahamiyatga ega, qo'shnilar bilan mos kelishi shart emas (EIGRP'dagi AS raqamidan farqli). Har bir network qatorida area raqami majburiy ko'rsatiladi.

Sozlashdan so'ng tekshirish

show ip ospf neighbor

Qo'shni routerlar va ular bilan qo'shnilik holati (masalan, Full) qaysi bosqichda ekanini ko'rsatadi.

show ip route ospf

OSPF orqali o'rganilgan marshrutlarni, ular boshida O harfi bilan ko'rsatadi.

show ip ospf interface

Har bir interfeysdagi area, cost va DR/BDR holatini batafsil ko'rsatadi.

Afzallik va cheklovi

Afzalligi

Ochiq standart (barcha vendorlarda ishlaydi), tez konvergensiya, area orqali juda katta tarmoqlarda ham yaxshi masshtablanadi.

Cheklovi

Sozlash va tushunish RIP/EIGRP'ga nisbatan murakkabroq, ko'proq CPU va xotira resursi talab qiladi, ko'p area'li loyihalashda tajriba talab etadi.

06 /14

BGP

+

Border Gateway Protocol — turli avtonom tizimlar (Autonomous System) orasida ishlaydigan, butun internetni bir-biriga bog'lab turuvchi marshrutlash protokoli. RIP, EIGRP, OSPF bitta tashkilot ichida ishlasa, BGP tashkilotlar orasida ishlaydi.

Ishlash prinsipi

BGP — path-vector protokoli: hop-count yoki cost o'rniga, har bir marshrutga qaysi avtonom tizimlar (AS) orqali o'tilganini to'liq ro'yxat (AS-PATH) sifatida saqlaydi. Bu ma'lumot orqali sikllarni avtomatik aniqlaydi — agar yo'l ro'yxatida o'zining AS raqami bo'lsa, marshrut rad etiladi.

Aloqa uchun TCP 179-portidan foydalanadi — bu unga ishonchli, tasdiqlangan yetkazishni beradi (RIP/OSPF kabi UDP yoki to'g'ridan-to'g'ri IP emas).
eBGP — turli AS'lar orasida (masalan, kompaniya bilan provayder orasida), iBGP — bitta AS ichidagi BGP routerlari orasida ishlaydi.
Eng yaxshi yo'lni tanlashda hop-count emas, ko'plab path attribute'lar (AS-PATH, LOCAL-PREF, MED, NEXT-HOP va h.k.) ketma-ket taqqoslanadi — bu orqali marshrut siyosati (policy) qo'llash imkoni beriladi.

eBGP va iBGP taqqoslash

Xususiyat	eBGP	iBGP
Ishlatilishi	Turli AS orasida (masalan, siz — provayder)	Bitta AS ichidagi BGP routerlari orasida
Administrative Distance	20	200
Odatiy TTL	1 (bevosita qo'shni bo'lishi kerak)	255 (bir nechta hop orqali ham ulanishi mumkin)
Marshrutni tarqatish qoidasi	Har doim boshqa qo'shnilarga uzatiladi	Boshqa iBGP qo'shnisiga qayta uzatilmaydi (loop oldini olish uchun)

Asosiy ko'rsatkichlar

Administrative Distance

20 / 200 eBGP — 20 (juda ishonchli), iBGP — 200 (deyarli barcha protokollardan kam ishonchli)

Transport

TCP :179 Qo'shnilik (peering) qo'lda, aniq IP manzil ko'rsatib o'rnatiladi — avtomatik topilmaydi

Sozlash — amaliy misol

R1 (AS 65001) provayder R2 (AS 65002) bilan eBGP qo'shnilik o'rnatadi va o'z tarmog'ini reklama qiladi.

R1# — konfiguratsiya

R1> enable
R1# configure terminal
R1(config)# router bgp 65001
R1(config-router)# neighbor 203.0.113.2 remote-as 65002
R1(config-router)# network 192.168.1.0 mask 255.255.255.0
R1(config-router)# exit
R1(config)# exit
R1# write memory

Muhim: network buyrug'i bu yerda reklama emas, faqat marshrutlash jadvalida allaqachon mavjud bo'lgan tarmoqni BGP orqali e'lon qilishni buyuradi — tarmoq avval static yoki IGP orqali jadvalda bo'lishi shart.

Sozlashdan so'ng tekshirish

show ip bgp summary

Barcha BGP qo'shnilari, ular bilan aloqa holati va qabul qilingan marshrutlar sonini qisqacha ko'rsatadi.

show ip bgp

To'liq BGP jadvalini — AS-PATH, next-hop va boshqa path attributelar bilan birga ko'rsatadi.

show ip route bgp

BGP orqali o'rganilgan va asosiy marshrutlash jadvaliga kiritilgan yo'llarni, ular boshida B harfi bilan ko'rsatadi.

Route-map va filtrlash asoslari

Route-map — BGP siyosatini (policy) qo'llashning asosiy quroli. U shartli mantiqqa o'xshaydi: match orqali qaysi marshrutlar tanlanishini, set orqali ularga qanday atribut biriktirilishini belgilaydi. Bu orqali qaysi yo'lni afzal ko'rish yoki qaysi marshrutni umuman reklama qilmaslikni nozik boshqarish mumkin.

LOCAL_PREF'ni oshirish — o'z AS ichida qaysi chiqish yo'li afzal ko'rilishini belgilaydi (qiymat qancha yuqori — shuncha afzal).
AS-PATH prepend — o'z AS raqamini sun'iy ravishda bir necha marta takrorlab, boshqa AS'lar uchun bu yo'lni "uzoqroq", demak kamroq afzal ko'rsatish usuli.
Ma'lum marshrutlarni umuman qo'shnilarga reklama qilmaslik — masalan, faqat ichki foydalanish uchun mo'ljallangan tarmoqlarni tashqariga chiqarmaslik.

R1# — route-map bilan LOCAL_PREF sozlash

R1(config)# ip prefix-list ICHKI seq 5 permit 192.168.1.0/24
R1(config)# route-map USTUVOR permit 10
R1(config-route-map)# match ip address prefix-list ICHKI
R1(config-route-map)# set local-preference 200
R1(config-route-map)# exit
R1(config)# router bgp 65001
R1(config-router)# neighbor 203.0.113.2 route-map USTUVOR in

Muhim: Route-map neighbor ... route-map ... in yoki out kalit so'zi bilan qo'shniga bog'lanadi — in qabul qilinayotgan, out esa reklama qilinayotgan marshrutlarga qo'llaniladi.

Afzallik va cheklovi

Afzalligi

Internet miqyosida ishonchli masshtablanadi, marshrut siyosatini juda nozik boshqarish imkonini beradi, sikllardan tabiiy himoyalangan.

Cheklovi

Ichki IGP protokollarga nisbatan konvergensiyasi sekinroq, ko'plab attributelar tufayli sozlash va nosozlikni bartaraf etish ancha murakkab.

07 /14

VLAN

+

Virtual LAN — bitta jismoniy switch'ni bir nechta mustaqil, mantiqiy tarmoqqa bo'lish texnologiyasi. Marshrutlash protokollaridan farqli o'laroq, VLAN Layer 2 darajasida — tarmoqni "bo'lish" vazifasini bajaradi.

Nima uchun kerak

Bitta switch'ga ulangan barcha qurilmalar odatda bitta umumiy broadcast domenda bo'ladi — biror qurilma broadcast yuborsa, uni hammasi eshitadi. Bu ham xavfsizlik, ham unumdorlik nuqtai nazaridan muammoli. VLAN shu domenlarni jismoniy kabellarni almashtirmasdan, faqat konfiguratsiya orqali bo'lib beradi.

Bo'limlar (buxgalteriya, IT, mehmonlar) tarmoqlarini bir-biridan jismoniy sarf-xarajatsiz ajratish.
Broadcast trafikni cheklab, tarmoq unumdorligini oshirish.
Xavfsizlikni kuchaytirish — VLAN'lar orasida trafik faqat router yoki L3 switch orqali, nazorat ostida o'tadi.
Foydalanuvchi joyini o'zgartirganda ham (masalan, boshqa xonaga ko'chganda) uning VLAN'ini kabel tortmasdan saqlab qolish.

Port turlari va VLAN toifalari

Termin	Ma'nosi
Access port	Faqat bitta VLAN'ga tegishli, odatda kompyuter yoki printerga ulanadi
Trunk port	Bir nechta VLAN trafigini bitta jismoniy link orqali, 802.1Q teg bilan tashiydi — switch'lar orasida ishlatiladi
Native VLAN	Trunk portida teglanmagan (untagged) trafik tegishli bo'lgan VLAN, odatda VLAN 1
Voice VLAN	IP-telefoniya trafigini alohida ustuvorlikda uzatish uchun ajratilgan VLAN

Asosiy ko'rsatkichlar

VLAN diapazoni

1–4094 Normal: 1–1005, Extended: 1006–4094 (VTP transparent rejimida ishlaydi)

Trunk protokoli

802.1Q Har bir frame'ga qaysi VLAN'ga tegishli ekanini bildiruvchi 4-baytli teg qo'shadi

Sozlash — amaliy misol

Switch'da 10-VLAN (Sotuv bo'limi) yaratiladi, bitta port unga access sifatida, ikkinchi switch bilan bog'lovchi port esa trunk sifatida sozlanadi.

SW1# — konfiguratsiya

SW1> enable
SW1# configure terminal
SW1(config)# vlan 10
SW1(config-vlan)# name Sotuv
SW1(config-vlan)# exit
SW1(config)# interface fastEthernet 0/1
SW1(config-if)# switchport mode access
SW1(config-if)# switchport access vlan 10
SW1(config-if)# exit
SW1(config)# interface gigabitEthernet 0/1
SW1(config-if)# switchport mode trunk
SW1(config-if)# switchport trunk allowed vlan 10,20,30
SW1(config-if)# exit
SW1# write memory

Eslatma: Turli VLAN'dagi qurilmalar bir-biri bilan bevosita gaplasha olmaydi — ular orasidagi aloqa uchun router-on-a-stick yoki Layer 3 switch orqali inter-VLAN routing sozlanishi kerak (quyida — amaliy misol).

Sozlashdan so'ng tekshirish

show vlan brief

Switch'da mavjud barcha VLAN'larni va ularga tegishli portlarni ro'yxat ko'rinishida ko'rsatadi.

show interfaces trunk

Qaysi portlar trunk rejimida ishlayotgani va ular orqali qaysi VLAN'lar o'tayotganini ko'rsatadi.

show interfaces switchport

Bitta aniq port bo'yicha — access yoki trunk rejimi, tegishli VLAN va native VLAN ma'lumotini batafsil beradi.

Inter-VLAN routing — amaliy misol

Turli VLAN'dagi qurilmalar bir-biri bilan gaplashishi uchun trafik albatta Layer 3 qurilmadan (router yoki L3 switch) o'tishi kerak. Buning ikki asosiy yo'li bor:

Usul	Qanday ishlaydi	Qachon mos
Router-on-a-stick	Router'ning bitta jismoniy interfeysida VLAN soniga qarab bir nechta subinterfeys yaratiladi, har biri o'z VLAN'iga xizmat qiladi	Kichik-o'rta tarmoq, qo'shimcha uskuna kerak emas
L3 switch (SVI)	Switch'ning o'zida har bir VLAN uchun virtual interfeys (SVI) yaratiladi va marshrutlash yoqiladi	Katta tarmoq — tezroq, kamroq kechikish bilan ishlaydi

R1# — Router-on-a-stick

R1(config)# interface gigabitEthernet 0/0.10
R1(config-subif)# encapsulation dot1Q 10
R1(config-subif)# ip address 192.168.10.1 255.255.255.0
R1(config-subif)# exit
R1(config)# interface gigabitEthernet 0/0.20
R1(config-subif)# encapsulation dot1Q 20
R1(config-subif)# ip address 192.168.20.1 255.255.255.0

SW1# — L3 switch (SVI)

SW1(config)# ip routing
SW1(config)# interface vlan 10
SW1(config-if)# ip address 192.168.10.1 255.255.255.0
SW1(config-if)# no shutdown
SW1(config-if)# exit
SW1(config)# interface vlan 20
SW1(config-if)# ip address 192.168.20.1 255.255.255.0
SW1(config-if)# no shutdown

Muhim: Router-on-a-stick'da fizik interfeysning o'zida IP manzil bo'lmaydi — faqat subinterfeyslarda. L3 switch'da esa ip routing global buyrug'i yoqilmasa, SVI'lar orasida marshrutlash umuman ishlamaydi.

VTP — VLAN Trunking Protocol

Bir nechta switch bo'lgan tarmoqda har birida VLAN'ni qo'lda, alohida-alohida yaratish noqulay. VTP bitta switch'da yaratilgan VLAN ma'lumotini avtomatik ravishda barcha boshqa switch'larga trunk orqali tarqatadi.

Rejim	Vazifasi
Server	VLAN yaratish/o'chirish mumkin, o'zgarish boshqalarga tarqatiladi
Client	VLAN yaratib bo'lmaydi, faqat server'dan kelgan ma'lumotni qabul qiladi
Transparent	O'z VLAN bazasini saqlaydi, boshqalarnikini qabul qilmaydi, lekin trunk orqali "o'tkazib yuboradi"

Ehtiyot bo'ling: VTP'ning "revision number" degan xavfli tomoni bor — agar tarmoqqa yuqori revision raqamiga ega, lekin bo'sh VLAN bazali yangi switch ulansa, u butun domendagi VLAN ma'lumotini "eskirgan" deb hisoblab, hammasini o'chirib yuborishi mumkin. Shu sabab amalda ko'pchilik tarmoq administratori VTP'ni umuman transparent rejimda ushlab turishni afzal ko'radi.

Afzallik va cheklovi

Afzalligi

Qo'shimcha jismoniy uskunasiz tarmoqni bo'linadi, xavfsizlik va unumdorlikni oshiradi, foydalanuvchi ko'chishida moslashuvchan.

Cheklovi

VLAN'lar orasidagi aloqa uchun qo'shimcha L3 qurilma yoki sozlash kerak; trunk noto'g'ri sozlansa, VLAN "sizib chiqishi" (leaking) xavfsizlik muammosiga olib kelishi mumkin.

08 /14

Access Control List

+

Access Control List (ACL) — router yoki switch orqali o'tayotgan trafikni belgilangan qoidalar asosida ruxsat berish yoki bloklash mexanizmi. Qo'shimcha uskunasiz, router'ning o'zida ishlaydigan eng oddiy xavfsizlik devori.

Ishlash prinsipi

ACL — bu qoidalar ro'yxati, har bir qoida permit (ruxsat) yoki deny (taqiq) bilan tugaydi. Router paketni interfeys orqali qabul qilganda yoki jo'natishdan oldin, ro'yxatni tepadan pastga, birinchi mos kelgan qoidagacha tekshiradi — topilgan zahoti qolgan qoidalar tekshirilmaydi.

Ro'yxat oxirida ko'rinmas implicit deny mavjud — hech qanday qoidaga mos kelmagan paket avtomatik bloklanadi.
ACL interfeysga ikki yo'nalishdan biri bilan bog'lanadi: inbound (interfeysga kirayotgan) yoki outbound (interfeysdan chiqayotgan).
Manzillar wildcard mask orqali ko'rsatiladi — subnet maskning "teskarisi" (masalan, 0.0.0.255 — /24 tarmoqni bildiradi).

ACL turlari

Turi	Nima asosida filtrlaydi	Raqam diapazoni
Standard ACL	Faqat manba (source) IP manzil	1–99, 1300–1999
Extended ACL	Manba va maqsad IP, protokol (TCP/UDP), port raqami	100–199, 2000–2699
Named ACL	Standard yoki extended — lekin raqam o'rniga nom bilan (masalan, BLOCK_GUEST)	—

Asosiy ko'rsatkichlar

Joylashtirish qoidasi

Standard — maqsadga yaqin Extended ACL esa manbaga imkon qadar yaqin joylashtirilishi tavsiya etiladi (keraksiz trafikni erta to'xtatish uchun)

Tartib

Yuqoridan pastga Birinchi mos kelgan qoida qo'llaniladi, shu sabab aniqroq (spetsifik) qoidalar yuqorida turishi kerak

Sozlash — amaliy misol

192.168.10.0/24 tarmog'idan 192.168.20.0/24 tarmog'idagi web-serverga (port 80) faqat HTTP trafik ruxsat etiladi, qolgan hamma narsa bloklanadi.

R1# — konfiguratsiya

R1> enable
R1# configure terminal
R1(config)# access-list 101 permit tcp 192.168.10.0 0.0.0.255 host 192.168.20.10 eq 80
R1(config)# access-list 101 deny ip any any
R1(config)# interface gigabitEthernet 0/0
R1(config-if)# ip access-group 101 in
R1(config-if)# exit
R1# write memory

Muhim: Ikkinchi qator (deny ip any any) texnik jihatdan shart emas — implicit deny baribir ishlaydi. Lekin uni aniq yozib qo'yish show access-lists orqali qancha paket bloklanganini ko'rish imkonini beradi, shu sabab amalda tavsiya etiladi.

Sozlashdan so'ng tekshirish

show access-lists

Barcha ACL'lar, ularning qoidalari va har bir qoidaga necha paket mos kelganini (match counter) ko'rsatadi.

show ip interface

Qaysi interfeysga, qaysi yo'nalishda (in/out) qaysi ACL bog'langanini ko'rsatadi.

ping / telnet bilan sinov

Ruxsat berilgan va taqiqlangan trafik turlarini amalda yuborib, ACL to'g'ri ishlayotganini tasdiqlash.

Named ACL — amaliy misol

Raqam o'rniga tushunarli nom ishlatish katta tarmoqda ACL'larni boshqarishni osonlashtiradi — masalan "101" emas, "BLOKLA_MEHMON" nomini ko'rib, uning vazifasini darhol tushunish mumkin. Named ACL yana bir muhim afzallikka ega: alohida qatorlarni raqam bilan o'chirish yoki qo'shish imkonini beradi, raqamli ACL esa faqat butunligicha o'chiriladi.

R1# — Named ACL konfiguratsiyasi

R1(config)# ip access-list extended BLOKLA_MEHMON
R1(config-ext-nacl)# deny ip 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255
R1(config-ext-nacl)# permit ip any any
R1(config-ext-nacl)# exit
R1(config)# interface gigabitEthernet 0/2
R1(config-if)# ip access-group BLOKLA_MEHMON in

Wildcard mask hisoblash — mashq

Wildcard mask — subnet maskning "teskarisi": har bir oktetni 255'dan ayirib topiladi. Formula oddiy: 255.255.255.255 − subnet mask = wildcard mask.

Tarmoq (CIDR)	Subnet mask	Hisoblash	Wildcard mask
/24	255.255.255.0	255−255, 255−255, 255−255, 255−0	0.0.0.255
/26	255.255.255.192	255−255, 255−255, 255−255, 255−192	0.0.0.63
/16	255.255.0.0	255−255, 255−255, 255−0, 255−0	0.0.255.255
Bitta host	255.255.255.255	255−255 (barcha oktet)	0.0.0.0 (yoki host so'zi)

Eslatma: Bitta aniq IP manzil uchun wildcard 0.0.0.0 yozish o'rniga, qulaylik uchun host [IP] kalit so'zidan foydalanish mumkin — ikkalasi ham bir xil natija beradi.

Afzallik va cheklovi

Afzalligi

Qo'shimcha uskunasiz, tekin trafik nazorati; IP, protokol va port darajasida juda nozik filtrlash imkonini beradi.

Cheklovi

Faqat statik qoidalar bilan ishlaydi (stateful emas — haqiqiy firewall'dan farqli), qoidalar tartibida xato ko'p muammoga sabab bo'ladi, extended ACL ko'proq CPU sarflaydi.

09 /14

EtherChannel

+

Ikki switch (yoki switch va router) orasidagi bir nechta jismoniy kabelni bitta mantiqiy, yuqori tezlikdagi kanalga birlashtirish texnologiyasi. Ham tezlikni oshiradi, ham zaxira yo'l yaratadi.

Nima uchun kerak

Ikki switch orasida bitta kabel yetarli tezlik bermasa, mantiqiy yechim — parallel yana bir kabel tortish. Lekin Spanning Tree Protocol (STP) sikl hosil bo'lishining oldini olish uchun ortiqcha linklardan birini avtomatik bloklab qo'yadi. EtherChannel bir nechta jismoniy portni STP nazarida bitta mantiqiy port qilib ko'rsatadi — shu sabab hech biri bloklanmaydi, barchasi bir vaqtda ishlaydi.

Umumiy o'tkazuvchanlikni bir necha baravar oshiradi (masalan, 4×1 Gbit = 4 Gbit mantiqiy kanal).
Linklardan biri uzilib qolsa, trafik avtomatik qolgan linklarga taqsimlanadi — foydalanuvchi buzilishni sezmaydi.
STP nuqtai nazaridan bitta port bo'lgani uchun, qayta hisoblash (topology change) yuz bermaydi.

Protokollar va rejimlar

Protokol	Turi	Rejimlar
PAgP	Cisco proprietary	desirable ↔ desirable/auto
LACP	Ochiq standart (IEEE 802.3ad)	active ↔ active/passive
Static ("on")	Protokolsiz, qo'lda majburlab	on ↔ on (aks holda ishlamaydi)

Bog'lash uchun shartlar

Bitta bundle'ga qo'shiladigan barcha portlar bir xil sozlamaga ega bo'lishi shart, aks holda EtherChannel o'rnatilmaydi:

Bir xil tezlik va duplex rejimi (masalan, barchasi 1 Gbit / full-duplex).
Bir xil rejim — barchasi access yoki barchasi trunk (trunk bo'lsa — bir xil allowed VLAN ro'yxati).
Bir xil native VLAN (trunk holatida).

Sozlash — amaliy misol

SW1 va SW2 orasidagi ikkita port (Gi0/1 va Gi0/2) LACP orqali bitta Port-Channel 1 ga birlashtiriladi.

SW1# — konfiguratsiya

SW1> enable
SW1# configure terminal
SW1(config)# interface range gigabitEthernet 0/1-2
SW1(config-if-range)# channel-group 1 mode active
SW1(config-if-range)# exit
SW1(config)# interface port-channel 1
SW1(config-if)# switchport mode trunk
SW1(config-if)# exit
SW1# write memory

Muhim: Ikkinchi switch (SW2) tomonida ham xuddi shu ikkita port bir xil channel-group raqami va mos rejim (active yoki passive) bilan sozlanishi shart — aks holda LACP qo'shnilik o'rnata olmaydi.

Sozlashdan so'ng tekshirish

show etherchannel summary

Qaysi portlar qaysi Port-Channel'ga birlashganini va bundle holati (SU — in use) ekanini ko'rsatadi.

show interfaces port-channel 1

Mantiqiy interfeysning umumiy holati va tezligini ko'rsatadi.

show spanning-tree

Port-Channel STP nazarida bitta yagona port sifatida, forwarding holatida ko'rinishini tasdiqlaydi.

Afzallik va cheklovi

Afzalligi

Umumiy o'tkazuvchanlikni oshiradi, avtomatik zaxiralashni beradi, STP tomonidan hech qaysi link bloklanmaydi.

Cheklovi

Ikkala tomonda sozlamalar mos kelishi shart, bitta bundle'ga qo'shiladigan portlar soni platformaga qarab cheklangan (odatda 8 tagacha).

10 /14

STP

+

Spanning Tree Protocol (IEEE 802.1D) — zaxira uchun ataylab qo'shilgan ortiqcha linklar tufayli Layer 2 darajasida hosil bo'ladigan sikllarni avtomatik aniqlab, bloklab qo'yuvchi protokol. EtherChannel'dan farqli — bu yerda ortiqcha linklar birlashtirilmaydi, ulardan biri zaxirada "kutib turadi".

Nima uchun kerak

Switch'lar orasida zaxira uchun bir nechta jismoniy yo'l qoldirish yaxshi amaliyot, lekin Layer 2'da IP kabi TTL (yashash muddati) tushunchasi yo'q — frame sikl bo'ylab abadiy aylanaveradi. Natijada broadcast storm (broadcast trafik cheksiz ko'payishi), MAC jadvalining beqarorligi va bitta frame'ning bir necha marta yetib kelishi kabi og'ir muammolar yuzaga keladi. STP shu xavfni oldindan, ortiqcha yo'lni bloklash orqali bartaraf etadi.

Switch'lar BPDU (Bridge Protocol Data Unit) xabarlari orqali bir-biri bilan "gaplashib", umumiy tarmoq daraxti (topologiya)ni tuzadi.
Tarmoqdagi eng "ishonchli" switch — root bridge — markaz sifatida tanlanadi, qolgan barcha yo'llar shu markazgacha eng qisqa masofa asosida hisoblanadi.
Ortiqcha, sikl hosil qiladigan yo'l — jismoniy uzilmaydi, faqat mantiqiy ravishda bloklanadi; asosiy yo'l uzilsa, avtomatik faollashadi.

Port rollari va holatlari

Element	Ma'nosi
Root port	Root bridge'gacha eng qisqa yo'ldagi port — har bir root bo'lmagan switch'da bitta bo'ladi
Designated port	Har bir tarmoq segmentida trafikni yo'naltiruvchi, "faol" port
Blocking (Alternate) port	Sikl hosil qilishi mumkin bo'lgan ortiqcha yo'l — trafik o'tkazmaydi, faqat BPDU tinglaydi
Forwarding holati	Port to'liq ishlayotgan, ma'lumot uzatayotgan holat — shu holatga o'tishdan oldin Listening va Learning bosqichlaridan o'tadi

Root Bridge tanlash

Barcha switch'lar Bridge ID (priority + MAC manzil) ni solishtiradi — eng kichik Bridge ID'ga ega switch root bridge bo'lib tanlanadi. Priority qiymati odatiy holda 32768, lekin administrator uni pasaytirib, xohlagan switch'ni root qilib belgilashi mumkin.

Klassik 802.1D konvergensiyasi

~30–50 soniya Max Age (20s) + Listening (15s) + Learning (15s) bosqichlari orqali

Rapid STP (802.1w)

Bir necha soniya Zamonaviy switch'larda odatiy holatda ishlatiladigan tezkor versiya

Sozlash — amaliy misol

SW1 markaziy switch sifatida barcha VLAN'lar uchun root bridge bo'lishi majburiy qilinadi va tezkor rejim (Rapid PVST+) yoqiladi.

SW1# — konfiguratsiya

SW1> enable
SW1# configure terminal
SW1(config)# spanning-tree mode rapid-pvst
SW1(config)# spanning-tree vlan 1,10,20 root primary
SW1(config)# exit
SW1# write memory

Muhim: root primary buyrug'i orqasida switch priority'sini avtomatik pasaytirib, root bridge bo'lishini kafolatlaydi. Root bridge'ni nazoratsiz, o'zi tanlashiga qo'yib berish — trafikning noqulay, sekin yo'l bo'ylab yurishiga olib kelishi mumkin.

Sozlashdan so'ng tekshirish

show spanning-tree

Har bir VLAN uchun root bridge kim ekanini, portlar rolini (root/designated/blocking) va holatini ko'rsatadi.

show spanning-tree vlan 10

Faqat bitta aniq VLAN bo'yicha batafsil STP ma'lumotini ko'rsatadi.

show spanning-tree summary

Barcha VLAN'lar bo'yicha qisqacha holat va ishlatilayotgan STP rejimini (PVST+, Rapid-PVST) ko'rsatadi.

Xavfsizlik kengaytmalari: PortFast, BPDU Guard, Root Guard

Asosiy STP mantiqidan tashqari, amaliy tarmoqlarda uchta qo'shimcha funksiya deyarli har doim yoqiladi — ular tezlikni oshiradi va tasodifiy yoki niyatli xato ulanishlardan himoya qiladi.

Funksiya	Vazifasi	Qayerda ishlatiladi
PortFast	Portni Listening/Learning bosqichlarisiz, to'g'ridan-to'g'ri Forwarding holatiga o'tkazadi	Faqat oxirgi qurilma (kompyuter, printer) ulangan access portlarda
BPDU Guard	PortFast yoqilgan portga BPDU kelsa, portni darhol err-disabled holatiga o'tkazadi	Kimdir ruxsatsiz switch ulab qo'yishining oldini olish uchun
Root Guard	Portda kutilmagan "yaxshiroq" BPDU kelsa, o'sha port root bo'lib qolishining oldini oladi	Boshqa tashkilot yoki bo'limning switch'i tasodifan root bridge bo'lib qolmasligi uchun

SW1# — konfiguratsiya

SW1(config)# interface fastEthernet 0/5
SW1(config-if)# spanning-tree portfast
SW1(config-if)# spanning-tree bpduguard enable
SW1(config-if)# exit
SW1(config)# interface gigabitEthernet 0/2
SW1(config-if)# spanning-tree guard root

Muhim: PortFast'ni hech qachon boshqa switch bilan bog'laydigan portda yoqmang — bu vaqtinchalik sikl hosil bo'lishiga olib kelishi mumkin. PortFast faqat oxirgi qurilma ulangan portlar uchun mo'ljallangan, shu sabab u ko'pincha BPDU Guard bilan birga ishlatiladi.

Afzallik va cheklovi

Afzalligi

Sikllarni avtomatik oldini oladi, administrator hech narsa qo'lda o'chirmasdan zaxira topologiyani xavfsiz saqlashga imkon beradi.

Cheklovi

Klassik 802.1D konvergensiyasi sekin; bloklangan link vaqtinchalik bekor "yotadi" — bu muammo EtherChannel yoki Rapid STP bilan yumshatiladi.

11 /14

FHRP

+

First Hop Redundancy Protocol — oddiy protokol emas, balki oila (guruh) nomi. Maqsad — foydalanuvchi kompyuterining "default gateway"i bo'lgan router uzilib qolsa ham, tarmoqdan uzilib qolmasligini ta'minlash. Ushbu oilaga uch a'zo kiradi: HSRP, VRRP va GLBP.

Muammo va umumiy yechim

Har bir kompyuter faqat bitta default gateway IP manzilini biladi. Agar shu IP manzilga ega router ishdan chiqsa, kompyuter tarmoqdan tashqariga chiqa olmay qoladi — hatto zaxira router jismonan mavjud bo'lsa ham. FHRP shu muammoni hal qiladi: bir nechta router birgalikda bitta virtual IP va virtual MAC manzilni "baham ko'radi". Kompyuterlar shu virtual manzilni gateway sifatida biladi, orqa fonda esa qaysi jismoniy router ishlayotgani muhim emas.

HSRP, VRRP, GLBP — taqqoslash

Xususiyat	HSRP	VRRP	GLBP
Kim ishlab chiqqan	Cisco (proprietary)	Ochiq standart (RFC 5798)	Cisco (proprietary)
Ish rejimi	Active / Standby	Master / Backup	Active-Active (load balancing)
Rol nomlari	Active, Standby	Master, Backup	AVG, AVF (bir nechta)
Virtual MAC	0000.0C07.ACxx	0000.5E00.01xx	0007.B400.xxyy (har bir AVF uchun alohida)
Multicast manzil	224.0.0.102 (v2)	224.0.0.18	224.0.0.102
Preemption	Odatiy o'chirilgan	Odatiy yoqilgan	Odatiy o'chirilgan
Kanal resursidan foydalanish	Faqat active router ishlaydi, standby bekor turadi	Faqat master ishlaydi, backup bekor turadi	Barcha routerlar bir vaqtda trafik tashiydi

HSRP — Hot Standby Router Protocol

Cisco'ning eng ko'p ishlatiladigan klassik yechimi: bitta router active (trafikni haqiqatda uzatadi), ikkinchisi standby (kutib turadi) rolida bo'ladi. Priority qiymati yuqoriroq router active bo'lib tanlanadi (odatiy — 100).

R1# — HSRP konfiguratsiyasi

R1(config)# interface gigabitEthernet 0/0
R1(config-if)# standby 1 ip 192.168.1.1
R1(config-if)# standby 1 priority 110
R1(config-if)# standby 1 preempt

Tekshirish: show standby brief — guruh raqami, holat (Active/Standby) va virtual IP'ni bir qatorda ko'rsatadi.

VRRP — Virtual Router Redundancy Protocol

HSRP'ga juda o'xshash, lekin ochiq standart bo'lgani uchun turli vendor qurilmalari orasida ham ishlaydi. Muhim farqi — virtual IP sifatida routerlardan birining haqiqiy IP manzilini ham ishlatish mumkin, va preemption odatiy holatda yoqilgan bo'ladi.

R1# — VRRP konfiguratsiyasi

R1(config)# interface gigabitEthernet 0/0
R1(config-if)# vrrp 1 ip 192.168.1.1
R1(config-if)# vrrp 1 priority 110

Tekshirish: show vrrp brief — guruh, rol (Master/Backup) va priority ma'lumotini ko'rsatadi.

GLBP — Gateway Load Balancing Protocol

HSRP va VRRP'ning "bitta router bekor turadi" muammosini hal qiladi. Guruhdagi bitta router AVG (Active Virtual Gateway) bo'lib, ARP so'rovlariga turli xostlarga turli virtual MAC manzillarni navbat bilan (round-robin) taqsimlaydi — natijada barcha routerlar (AVF — Active Virtual Forwarder) bir vaqtning o'zida haqiqiy trafik tashiydi.

R1# — GLBP konfiguratsiyasi

R1(config)# interface gigabitEthernet 0/0
R1(config-if)# glbp 1 ip 192.168.1.1
R1(config-if)# glbp 1 priority 110

Tekshirish: show glbp brief — AVG va barcha AVF'lar, ularning holati va yuklama taqsimotini ko'rsatadi.

Object Tracking — avtomatik almashish

Oddiy holatda active/master router faqat o'zining interfeysi butunlay o'chsagina rolni bo'shatadi. Lekin ko'p hollarda muammo boshqa joyda bo'ladi — masalan, active router ishlab turibdi, lekin uning internet tomonidagi uplink linki uzilib qolgan. Bunda u hamon "active" bo'lib qolaveradi, foydalanuvchilar esa internetga chiqa olmaydi. Object tracking aynan shu holatni kuzatib, kerak bo'lsa priority'ni avtomatik pasaytiradi — natijada rol zaxira routerga o'tadi.

R1# — HSRP + Object Tracking

R1(config)# track 1 interface gigabitEthernet 0/1 line-protocol
R1(config-track)# exit
R1(config)# interface gigabitEthernet 0/0
R1(config-if)# standby 1 priority 110
R1(config-if)# standby 1 preempt
R1(config-if)# standby 1 track 1 decrement 20

Qanday ishlaydi: Gi0/1 (uplink) interfeysi uzilib qolsa, priority avtomatik 20 birlikka pasayadi (110 → 90) — bu zaxira router'ning priority'sidan (masalan 100) past bo'lib qoladi, va zaxira router preempt orqali darhol active rolini o'z zimmasiga oladi.

Qaysi birini tanlash

Faqat Cisco muhitida

HSRP — eng keng tarqalgan, ishonchli va o'rganish uchun eng qulay standart yechim.

Aralash vendor muhitida

VRRP — ochiq standart bo'lgani uchun Cisco bo'lmagan qurilmalar bilan ham ishlaydi.

Kanal resursini to'liq ishlatish kerak bo'lsa

GLBP — barcha zaxira routerlarni bir vaqtda ishga soladi, hech biri bekor turmaydi.

Umumiy cheklov

Uchalasi ham faqat "birinchi hop"ni zaxiralaydi — tarmoqning qolgan qismidagi nosozliklarni (masalan, uzoqdagi link uzilishi) hal qilmaydi.

12 /14

NAT

+

Network Address Translation — ichki tarmoqdagi shaxsiy (private) IP manzillarni internetga chiqishda ochiq (public) IP manzilga almashtirib beruvchi mexanizm. Deyarli har bir router ushbu vazifani bajaradi — uydan tortib katta korxonagacha.

Nima uchun kerak

IPv4 manzillar soni cheklangan, dunyoda esa milliardlab qurilma bor. Yechim — har bir tashkilot ichida shaxsiy manzillar (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 — RFC 1918) dan foydalanadi, bu manzillar esa internetda to'g'ridan-to'g'ri marshrutlanmaydi. NAT chegara router'ida shu shaxsiy manzillarni bitta (yoki bir nechta) ochiq manzilga "tarjima qilib", tashqariga chiqarib beradi.

Cheklangan ochiq IP manzillarni minglab ichki qurilma orasida tejab ishlatish imkonini beradi.
Ichki tarmoq tuzilishini tashqaridan yashiradi — bu qo'shimcha xavfsizlik qatlami hisoblanadi.
Tashkilot ichki manzillash sxemasini provayderdan mustaqil, erkin tanlashga imkon beradi.

NAT turlari

Turi	Qanday ishlaydi	Qachon ishlatiladi
Static NAT	Bitta ichki IP — doim bitta aniq tashqi IP'ga bog'lanadi (1:1)	Tashqaridan doimiy manzil bilan yetib borilishi kerak bo'lgan serverlar uchun
Dynamic NAT	Ichki IP'lar ochiq IP manzillar to'plami (pool)dan navbat bilan olinadi	Ochiq IP'lar bir nechta bo'lib, ular orasida taqsimlash kerak bo'lganda
PAT (NAT Overload)	Ko'plab ichki IP — bitta ochiq IP, port raqamlari orqali farqlanadi	Amalda eng ko'p ishlatiladigan turi — uy va ofis routerlarining odatiy rejimi

Asosiy atamalar

Inside local

Ichki tarmoqdagi qurilmaning shaxsiy (private) manzili — masalan 192.168.1.10

Inside global

Shu qurilma tashqi tarmoqqa chiqqanda ko'rinadigan ochiq (public) manzili

Sozlash — amaliy misol (PAT / NAT Overload)

Ichki tarmoq (192.168.1.0/24) chegara router'ining tashqi interfeysi orqali bitta ochiq IP manzil bilan internetga chiqadi.

R1# — konfiguratsiya

R1> enable
R1# configure terminal
R1(config)# access-list 1 permit 192.168.1.0 0.0.0.255
R1(config)# interface gigabitEthernet 0/0
R1(config-if)# ip nat inside
R1(config-if)# exit
R1(config)# interface gigabitEthernet 0/1
R1(config-if)# ip nat outside
R1(config-if)# exit
R1(config)# ip nat inside source list 1 interface gigabitEthernet 0/1 overload
R1(config)# exit
R1# write memory

Muhim: Har bir interfeys aniq inside yoki outside deb belgilanishi shart — NAT aynan shu ikki chegara orasidan o'tayotgan trafikkagina qo'llaniladi. overload kalit so'zi — bu aynan PAT rejimini yoqadi.

Sozlashdan so'ng tekshirish

show ip nat translations

Hozirda faol bo'lgan barcha tarjima jadvalini — ichki va tashqi manzil-port juftliklarini ko'rsatadi.

show ip nat statistics

Nechta tarjima amalga oshirilgani, qaysi interfeys inside/outside ekanini umumiy ko'rinishda beradi.

debug ip nat

Real vaqtda har bir paket qanday tarjima qilinayotganini kuzatish uchun (o'quv/diagnostika muhitida).

Afzallik va cheklovi

Afzalligi

Ochiq IP manzillarni tejaydi, ichki tarmoq tuzilishini tashqaridan yashiradi, qo'shimcha xarajatsiz amalga oshadi.

Cheklovi

Ba'zi ilovalar (VoIP, IPsec VPN)da muammo tug'diradi, end-to-end ulanishni buzadi, nosozlikni aniqlashni murakkablashtiradi.

13 /14

DHCP

+

Dynamic Host Configuration Protocol — tarmoqqa ulangan har bir qurilmaga IP manzil va boshqa tarmoq sozlamalarini qo'lda emas, avtomatik tarzda beruvchi protokol. Har bir uy routeridan tortib korporativ tarmoqqacha ishlatiladi.

Nima uchun kerak

Har bir kompyuterga qo'lda IP manzil, subnet mask, gateway va DNS kiritish — kichik tarmoqda mumkin, lekin yuzlab-minglab qurilmali tarmoqda amaliy emas: xato ehtimoli yuqori, manzillar to'qnashib qolishi (IP conflict) mumkin. DHCP shu jarayonni to'liq avtomatlashtiradi.

Yangi qurilma tarmoqqa ulanishi bilan, hech qanday qo'lda sozlamasiz, ishlashga tayyor bo'ladi.
IP manzillar markazlashgan holda boshqariladi — kim qaysi manzilni olganini bitta joydan kuzatish mumkin.
Manzil to'qnashuvi ehtimoli deyarli yo'qoladi, chunki server har bir manzilni faqat bittaga beradi.

Ishlash jarayoni — DORA

Bosqich	Kim yuboradi	Mazmuni
Discover	Client → broadcast	"Menga IP manzil kerak" — tarmoqdagi DHCP serverni qidiradi
Offer	Server → client	Server bo'sh manzil taklif qiladi
Request	Client → broadcast	Client taklif qilingan manzilni rasman so'raydi
Acknowledge	Server → client	Server manzilni tasdiqlaydi, ijara (lease) muddati boshlanadi

Beriladigan sozlamalar

Asosiy parametrlar

IP manzil, subnet mask, default gateway, DNS server

Lease (ijara) muddati

Manzil qancha vaqt qurilmaga biriktirilib turishi — muddat tugasa, qayta so'raladi

Sozlash — amaliy misol

Router'da 192.168.1.0/24 tarmog'i uchun DHCP pool yaratiladi, birinchi 10 ta manzil (server, printer kabi statik qurilmalar uchun) chetlab o'tiladi.

R1# — konfiguratsiya

R1> enable
R1# configure terminal
R1(config)# ip dhcp excluded-address 192.168.1.1 192.168.1.10
R1(config)# ip dhcp pool OFIS
R1(dhcp-config)# network 192.168.1.0 255.255.255.0
R1(dhcp-config)# default-router 192.168.1.1
R1(dhcp-config)# dns-server 8.8.8.8
R1(dhcp-config)# lease 7
R1(dhcp-config)# exit
R1(config)# exit
R1# write memory

Muhim: excluded-address buyrug'i pool yaratilishidan oldin kiritilishi tavsiya etiladi — aks holda DHCP server chetlanishi kerak bo'lgan manzillarni ham tarqatib yuborishi mumkin. Boshqa subnet'dagi client'lar uchun oraliq router'da ip helper-address buyrug'i orqali so'rovlarni DHCP serverga yo'naltirish (DHCP relay) kerak bo'ladi.

Sozlashdan so'ng tekshirish

show ip dhcp binding

Qaysi qurilmaga qaysi IP manzil berilgani va ijara muddati qachon tugashini ko'rsatadi.

show ip dhcp pool

Pool'dagi jami, band va bo'sh manzillar sonini ko'rsatadi.

show ip dhcp conflict

Manzil to'qnashuvi aniqlangan holatlarni ro'yxat qilib beradi.

DHCP Snooping — soxta serverdan himoya

Agar tarmoqqa kimdir (bilib yoki bilmasdan) o'z router yoki noutbukini DHCP server sifatida ulab qo'ysa, u haqiqiy serverdan tezroq javob berib, foydalanuvchilarga noto'g'ri gateway yoki DNS bera boshlashi mumkin — bu orqali barcha trafikni o'zi orqali "tinglashi" (man-in-the-middle) mumkin. DHCP Snooping switch darajasida shu xavfning oldini oladi.

Har bir port trusted (ishonchli — haqiqiy DHCP serverga olib boradigan) yoki untrusted (ishonchsiz — oddiy foydalanuvchi portlari) deb belgilanadi.
Untrusted portlardan DHCP Offer/Acknowledge kabi "server" xabarlari kelsa, switch ularni avtomatik bloklaydi.
Har bir manzil qaysi portga va MAC'ga tegishli ekani "DHCP snooping binding" jadvalida saqlanadi — bu keyinchalik Dynamic ARP Inspection kabi boshqa himoya turlari uchun ham asos bo'ladi.

SW1# — konfiguratsiya

SW1(config)# ip dhcp snooping
SW1(config)# ip dhcp snooping vlan 10
SW1(config)# interface gigabitEthernet 0/1
SW1(config-if)# ip dhcp snooping trust
SW1(config-if)# exit
SW1(config)# interface range fastEthernet 0/1-24
SW1(config-if-range)# ip dhcp snooping limit rate 10

Muhim: Faqat haqiqiy DHCP serverga olib boradigan uplink port trust deb belgilanishi kerak — qolgan barcha foydalanuvchi portlari odatiy holatda (untrusted) qoladi. limit rate — bitta portdan soniyasiga necha DHCP so'rov qabul qilinishini cheklab, DHCP starvation hujumidan ham himoya qiladi.

Afzallik va cheklovi

Afzalligi

Sozlash xatolarini kamaytiradi, katta tarmoqda vaqtni tejaydi, markazlashgan boshqaruv beradi.

Cheklovi

Server ishdan chiqsa, yangi qurilmalar manzil ololmay qoladi (zaxira server tavsiya etiladi); ruxsatsiz "rogue" DHCP server tarmoqqa xavf tug'dirishi mumkin.

14 /14

ISP ga bog'lanish

+

Kursning yakuniy moduli — shu paytgacha o'rgangan barcha protokollar (static route, NAT, marshrutlash) birlashib, ichki tarmoqni haqiqiy internetga — provayder (ISP) orqali chiqarish jarayoni.

Umumiy tuzilma

Har qanday tashkilot tarmog'i tashqi dunyo bilan bitta "chegara" — edge router orqali bog'lanadi. Shu router bir tomondan ichki tarmoqqa, ikkinchi tomondan ISP kanaliga ulangan bo'ladi. Aynan shu yerda ilgari o'rgangan mavzular birlashadi: default route ISP tomonga qaratiladi, NAT ichki manzillarni ochiq manzilga aylantiradi, DNS orqali domen nomlari IP'ga o'giriladi.

ISP odatda ulanish kanalini (jismoniy yoki PPPoE) va bitta ochiq IP manzilni (statik yoki dinamik) taqdim etadi.
Ichki tarmoqdan chiquvchi barcha trafik uchun edge router'da default route ISP'ning next-hop manziliga qaratiladi.
Katta tashkilotlar bir nechta ISP bilan (multihoming) ulanib, BGP orqali eng maqbul yo'lni tanlashi mumkin — bu 06-modulda o'rganilgan BGP bilan bevosita bog'liq.

Asosiy komponentlar

Komponent	Vazifasi
Default route	Jadvalda topilmagan barcha trafikni ISP tomon yo'naltiradi
NAT / PAT	Ichki shaxsiy manzillarni ISP bergan ochiq manzilga tarjima qiladi
DNS	Foydalanuvchi kiritgan domen nomini (masalan google.com) IP manzilga aylantiradi
Floating static route	Ikkinchi (zaxira) ISP kanaliga, asosiysi uzilganda avtomatik ishga tushadigan yo'l

Sozlash — amaliy misol

Edge router ISP tomon (203.0.113.1) uchun default route oladi, ichki tarmoq uchun PAT sozlanadi va DNS server ko'rsatiladi.

EDGE-R# — konfiguratsiya

EDGE-R> enable
EDGE-R# configure terminal
EDGE-R(config)# ip route 0.0.0.0 0.0.0.0 203.0.113.1
EDGE-R(config)# ip name-server 8.8.8.8
EDGE-R(config)# access-list 1 permit 192.168.0.0 0.0.255.255
EDGE-R(config)# interface gigabitEthernet 0/1
EDGE-R(config-if)# ip nat outside
EDGE-R(config-if)# exit
EDGE-R(config)# ip nat inside source list 1 interface gigabitEthernet 0/1 overload
EDGE-R(config)# exit
EDGE-R# write memory

Muhim: Default route (0.0.0.0 0.0.0.0) — bu 02-modulda o'rganilgan static route'ning maxsus turi. Butun kurs davomida o'rganilgan mavzular — shu yakuniy bosqichda bir-biriga bog'lanadi.

Sozlashdan so'ng tekshirish

show ip interface brief

Barcha interfeyslarning IP manzili va holati (up/up) to'g'ri ekanini tezda tekshirish uchun.

ping 8.8.8.8

Internetga jismoniy ulanish mavjudligini, ya'ni ISP kanali ishlab turganini tasdiqlaydi.

ping google.com

Nafaqat ulanish, balki DNS ham to'g'ri ishlayotganini tekshiradi — domen IP'ga aylanmasa, bu qadam muvaffaqiyatsiz bo'ladi.

show ip nat translations

Ichki qurilmalarning trafigi haqiqatan ham ochiq manzilga tarjima qilinayotganini ko'rsatadi.

PPPoE autentifikatsiyasi

Ko'p provayderlar (ayniqsa DSL/optik uy-ofis ulanishlarida) oddiy Ethernet o'rniga PPPoE (PPP over Ethernet) orqali ulanishni talab qiladi — bu foydalanuvchi nomi va parol bilan autentifikatsiya qilishga imkon beradi, ya'ni ISP har bir mijozni aniq shaxslashtiradi.

EDGE-R# — PPPoE konfiguratsiyasi

EDGE-R(config)# interface gigabitEthernet 0/1
EDGE-R(config-if)# no ip address
EDGE-R(config-if)# pppoe enable
EDGE-R(config-if)# pppoe-client dial-pool-number 1
EDGE-R(config-if)# exit
EDGE-R(config)# interface dialer 1
EDGE-R(config-if)# ip address negotiated
EDGE-R(config-if)# encapsulation ppp
EDGE-R(config-if)# dialer pool 1
EDGE-R(config-if)# ppp chap hostname mijoz1
EDGE-R(config-if)# ppp chap password maxfiy123

Eslatma: ip address negotiated — bu router'ga ochiq IP manzilni ISP'dan avtomatik, muzokara orqali olishni buyuradi; provayder odatda statik IP bermaydi, dinamik tarzda beradi.

Ikkita ISP bilan zaxiralash (dual-homing)

Bitta ISP kanaliga tayanish — yagona nosozlik nuqtasi (single point of failure) yaratadi. Jiddiy tashkilotlar ikkinchi, mustaqil provayder bilan ham ulanib, birinchisi uzilganda avtomatik ikkinchisiga o'tadigan sxema quradi. Buning eng oddiy yo'li — floating static route (02-modulda o'rganilgan).

EDGE-R# — ikkinchi ISP uchun zaxira yo'l

EDGE-R(config)# ip route 0.0.0.0 0.0.0.0 203.0.113.1
EDGE-R(config)# ip route 0.0.0.0 0.0.0.0 198.51.100.1 200
EDGE-R(config)# ip sla 1
EDGE-R(config-ip-sla)# icmp-echo 8.8.8.8
EDGE-R(config-ip-sla)# frequency 5
EDGE-R(config-ip-sla)# exit
EDGE-R(config)# ip sla schedule 1 life forever start-time now
EDGE-R(config)# track 1 ip sla 1
EDGE-R(config-track)# exit
EDGE-R(config)# ip route 0.0.0.0 0.0.0.0 203.0.113.1 track 1

Qanday ishlaydi: Ikkinchi qatordagi 200 — bu sun'iy oshirilgan Administrative Distance, shu sabab ikkinchi ISP faqat birinchisi mavjud bo'lmaganda ishlatiladi. IP SLA esa doimiy ravishda 8.8.8.8'ga ping yuborib, birinchi kanalning haqiqatan ham ishlab turganini tekshirib turadi — shunchaki interfeys "up" bo'lishi yetarli emas, chunki ISP tomonidagi uzilish interfeysni "up" holatida qoldirishi mumkin.

Kurs yakuni

Tabriklaymiz. Shu nuqtaga yetib kelgan o'quvchi — eng oddiy static route'dan boshlab, dinamik marshrutlash (RIP, EIGRP, OSPF, BGP), Layer 2 texnologiyalar (VLAN, EtherChannel, STP), xavfsizlik va zaxiralash (ACL, FHRP) hamda tarmoq xizmatlari (NAT, DHCP) orqali o'tib, to'liq ishlaydigan, internetga chiqadigan korporativ tarmoq qura oladigan darajaga yetdi.

Bepul ro'yxatdan o'ting

Har bir modul — tarmoqni boshqarishning bir qatlami

Static Route

Nima uchun kerak

Asosiy ko'rsatkichlar

Sintaksis

Static route turlari

Sozlash — amaliy misol

Sozlashdan so'ng tekshirish

Afzallik va cheklovi

RIP

Ishlash prinsipi

RIPv1 va RIPv2

Sikllardan himoya mexanizmlari

Asosiy ko'rsatkichlar

Sozlash — amaliy misol

Sozlashdan so'ng tekshirish

Afzallik va cheklovi

EIGRP

Ishlash prinsipi

Successor va Feasible Successor

Asosiy ko'rsatkichlar

Sozlash — amaliy misol

Sozlashdan so'ng tekshirish

Afzallik va cheklovi

OSPF

Ishlash prinsipi

Area (zona) tuzilishi

Asosiy ko'rsatkichlar

Sozlash — amaliy misol

Sozlashdan so'ng tekshirish

Afzallik va cheklovi

BGP

Ishlash prinsipi

eBGP va iBGP taqqoslash

Asosiy ko'rsatkichlar

Sozlash — amaliy misol

Sozlashdan so'ng tekshirish

Route-map va filtrlash asoslari

Afzallik va cheklovi

VLAN

Nima uchun kerak

Port turlari va VLAN toifalari

Asosiy ko'rsatkichlar

Sozlash — amaliy misol

Sozlashdan so'ng tekshirish

Inter-VLAN routing — amaliy misol

VTP — VLAN Trunking Protocol

Afzallik va cheklovi

Access Control List

Ishlash prinsipi

ACL turlari

Asosiy ko'rsatkichlar

Sozlash — amaliy misol

Sozlashdan so'ng tekshirish

Named ACL — amaliy misol

Wildcard mask hisoblash — mashq

Afzallik va cheklovi

EtherChannel

Nima uchun kerak

Protokollar va rejimlar

Bog'lash uchun shartlar

Sozlash — amaliy misol

Sozlashdan so'ng tekshirish

Afzallik va cheklovi

STP

Nima uchun kerak

Port rollari va holatlari

Root Bridge tanlash

Sozlash — amaliy misol

Sozlashdan so'ng tekshirish

Xavfsizlik kengaytmalari: PortFast, BPDU Guard, Root Guard

Afzallik va cheklovi

FHRP

Muammo va umumiy yechim

HSRP, VRRP, GLBP — taqqoslash

HSRP — Hot Standby Router Protocol

VRRP — Virtual Router Redundancy Protocol

GLBP — Gateway Load Balancing Protocol

Object Tracking — avtomatik almashish