Đây là cấu hình chúng tôi dùng làm khung khi bàn giao switch truy cập Catalyst 2960, 2960S, 2960-X cho văn phòng: tách VLAN cho máy trạm và camera, một cổng trunk lên switch lõi, quản lý từ xa bằng SSH thay cho Telnet. Dán được ngay sau khi máy đã xoá cấu hình cũ, chỉ cần đổi mật khẩu, địa chỉ IP và số cổng.

Mô hình mẫu

VLAN 10 (VAN-PHONG): cổng 1–20 cho máy tính.
VLAN 20 (CAMERA): cổng 21–22 cho camera hoặc đầu ghi.
VLAN 99 (QUAN-LY): IP quản lý của switch 192.168.99.11, gateway 192.168.99.1 nằm trên switch lõi hoặc router.
Cổng 24: trunk lên switch lõi, chỉ cho đi VLAN 10, 20, 99.

Trước khi dán cấu hình

Xoá cấu hình của chủ cũ: write erase, delete flash:vlan.dat, rồi reload (trả lời no khi được hỏi lưu). Chỉ write erase thì VLAN cũ vẫn còn vì nằm riêng trong vlan.dat.
Xem tên cổng bằng show interfaces status: 2960-X và 2960S đặt tên gi1/0/1; 2960 đời đầu 24 cổng 100 Mbps là fa0/1–fa0/24 và hai cổng uplink gi0/1, gi0/2.
SSH cần IOS bản mã hoá (tên file có k9, ví dụ lanbasek9). Xem bằng show version.

Cấu hình đầy đủ

! =====================================================================
! CAU HINH MAU: Switch Cisco Catalyst 2960 / 2960-X / 2960S - switch truy cap
! Nguon: https://thietbimangcu.com/cau-hinh-mau/
! - Doi MAT_KHAU_... truoc khi dan. Doi IP, VLAN, so cong cho dung mang cua ban.
! - 2960-X / 2960S dat ten cong gi1/0/1..; 2960 doi dau (24 cong 100M) la fa0/1-24 + gi0/1-2.
! =====================================================================
enable
configure terminal
!
hostname SW-ACCESS-01
no ip domain-lookup
service password-encryption
enable secret MAT_KHAU_ENABLE
username admin privilege 15 secret MAT_KHAU_ADMIN
!
! --- SSH (can IOS ban k9, vd lanbasek9) ---
ip domain-name congty.local
crypto key generate rsa modulus 2048
ip ssh version 2
!
line console 0
 login local
 logging synchronous
line vty 0 15
 login local
 transport input ssh
!
! --- VLAN ---
vlan 10
 name VAN-PHONG
vlan 20
 name CAMERA
vlan 99
 name QUAN-LY
!
! --- IP quan ly switch ---
interface vlan 99
 ip address 192.168.99.11 255.255.255.0
 no shutdown
ip default-gateway 192.168.99.1
!
! --- Cong may tram (VLAN 10) ---
interface range gi1/0/1 - 20
 description MAY-TRAM
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast
 spanning-tree bpduguard enable
!
! --- Cong camera (VLAN 20) ---
interface range gi1/0/21 - 22
 description CAMERA
 switchport mode access
 switchport access vlan 20
 spanning-tree portfast
 spanning-tree bpduguard enable
!
! --- Uplink len switch loi / router (trunk) ---
interface gi1/0/24
 description UPLINK-CORE
 switchport mode trunk
 switchport trunk allowed vlan 10,20,99
!
spanning-tree mode rapid-pvst
!
end
write memory
!
! --- Kiem tra ---
! show vlan brief
! show interfaces trunk
! show interfaces status
! show ip ssh
! show spanning-tree summary

Giải thích các khối lệnh

Bảo mật truy cập

enable secret lưu mật khẩu dạng băm, an toàn hơn enable password. Tài khoản admin dùng chung cho console và SSH nhờ login local. Dòng transport input ssh tắt hẳn Telnet, vì Telnet gửi mật khẩu dạng chữ thường qua mạng.

Cổng access và chống vòng lặp

spanning-tree portfast cho cổng máy tính lên ngay thay vì chờ khoảng 30 giây, tránh lỗi máy không nhận được IP từ DHCP lúc khởi động. bpduguard tự khoá cổng nếu ai đó cắm một switch hay bộ phát Wi-Fi vào ổ mạng tường gây vòng lặp. Mở lại cổng bị khoá bằng shutdown rồi no shutdown.

Trunk

2960 chỉ hỗ trợ chuẩn 802.1Q nên không cần (và không có) lệnh switchport trunk encapsulation. Giới hạn VLAN trên trunk bằng allowed vlan để broadcast của VLAN không dùng không tràn sang.

Rapid PVST+

Hội tụ nhanh hơn STP mặc định khi một đường đứt. Nên đặt cùng chế độ trên mọi switch trong mạng.

Tuỳ chọn: giới hạn số máy trên mỗi cổng

Muốn chặn cắm thêm thiết bị lạ vào ổ mạng, thêm vào khối cổng máy trạm:

switchport port-security
switchport port-security maximum 2
switchport port-security violation restrict
switchport port-security mac-address sticky

Chế độ restrict chỉ bỏ gói của máy vượt giới hạn và ghi log, không tắt cả cổng như mặc định shutdown.

Lỗi hay gặp

Không SSH được: chưa có ip domain-name trước khi tạo khoá RSA, hoặc IOS không phải bản k9.
Không ping được IP quản lý: VLAN 99 chưa có trên trunk của switch lõi, hoặc thiếu ip default-gateway.
Cổng báo err-disabled: BPDU Guard hoặc port-security đã khoá cổng. Xem nguyên nhân bằng show interfaces status err-disabled.

Bài liên quan

Switch dùng cho cấu hình này đang có sẵn: Cisco WS-C2960X-24TS-L, Cisco WS-C2960-24-S, Cisco WS-C2960X-24PS-L (PoE+). Xem thêm switch cũ. Bảo hành 6 tháng, hỗ trợ cấu hình từ xa miễn phí qua Zalo 0908 080 911.

Nhận bảng giá và tin hàng mới về

Kiến thức mạng

Cấu hình mẫu switch Cisco 2960 / 2960-X: VLAN, trunk, SSH (có file tải về)