SSH (Secure Shell) یوه رمزیزه شبکې پروتوکول دی چې د دوه وسیلو ترمنځ د اړیکو لپاره خوندی چینل چمتو کوی، چې عموماً د ناپاکو شبکو لکه انټرنېټ له لارې اړیکه نیول کیږی. دا په پراخه کچه د سرورونو اداره کولو، ریموټ مدیریت، او د فایلونو د لېږدولو لپاره کارول کیږی. SSH ټولې اړیکې رمز کوی، چې پکې د کاروونکی اسناد هم شامل دی، چې دا د پخوانیو پروتوکولونو لکه Telnet او FTP لپاره خوندی بدیل جوړوی. SSH په اړه ټولیزه کتنه: SSH څه دی؟ SSH یوه پروتوکول دی چې د لرې لګون او د قوماندې پرمخ وړلو لپاره کارول کیږی، او همدارنګه د فایلونو د لېږدولو لپاره د کمپیوټرونو ترمنځ. د SSH اصلی هدف دا دی چې د یو خوندی لاره چمتو کړی ترڅو له ناپاکو شبکو لکه انټرنېټ څخه د لرې سیستمونو ته لاسرسی او مدیریت وکړی. SSH د Telnet، rlogin، او نورو ناپاکو شبکې خدماتو ځای ناستی دی، کوم چې معلومات (په ځانګړې توګه رمزونه) په واضح ډول لیږدوی. SSH د دې لپاره رمزیزه کولو څخه کار اخلی ترڅو اړیکه د کلاینت او سرور ترمنځ خوندی شی. د SSH اصلی برخې SSH درې اصلی برخې لری: SSH کلاینت: دا هغه پروګرام دی چې د محلی ماشین پر مهال فعالیت کوی او د لرې ماشین سره د اړیکې غوښتنه کوی. SSH سرور: دا هغه پروګرام دی چې په لرې ماشین کې روان دی او د SSH اړیکو لپاره انتظار کوی. SSH پروتوکول: دا د هغو قواعدو مجموعه ده چې ټاکی څنګه د SSH کلاینت او سرور ترمنځ اړیکه وشی. SSH څنګه کار کوی SSH د خوندی اړیکو لپاره د سمې او نامناسبې رمزیزې کرپتوګرافۍ ترکیب کاروی: نامناسبه رمزیزه کول: د تایید لپاره کارول کیږی. کلاینت یوه عامه/خصوصی کلید جوړیږی، او سرور د عامه کلید څخه استفاده کوی ترڅو کلاینت تایید کړی. سمې رمزیزه کول: د معلوماتو د لیږد لپاره د دې کارول کیږی، چیرې چې کلاینت او سرور د سمو رمزیزو کلیدونو شریکوی. د SSH معمول اړیکه لاندې مراحل لری: تایید: کلاینت د سرور سره د یوه پټ کلمې یا د عامه-کلید تایید له لارې تایید کوی. رمزیزه کول: کله چې تایید شو، ټولې وروسته اړیکې رمزیزه کیږی. درستتیا: SSH د هش کولو څخه کار اخلی ترڅو ډاډ ترلاسه کړی چې معلومات د لیږد پر مهال نه دی بدلې شوی. د SSH تایید میتودونه SSH مختلف تایید میتودونه ملاتړ کوی: د پټ کلمې پراساس تایید: کاروونکی د پټ کلمې له لارې تایید کوی. که څه هم ساده دی، دا میتود د بریټفورس حملو لپاره حساس دی. عامه-کلید تایید: یو خوندی میتود دی چیرې چې کلاینت د رمزیزو کلیدونو یوه جوړه (عامه او خصوصی) تولیدوی. سرور د کلاینت عامه کلید ذخیره کوی، او تایید هغه وخت ترسره کیږی کله چې کلاینت ثابته کړی چې هغه د خصوصی کلید مالک دی. د میزبان پراساس تایید: دا د عامه-کلید تایید سره ورته دی، مګر تایید د کلاینت د میزبان ماشین پراساس ترسره کیږی. د دوه فاکتوره تایید (2FA): په ځینو تنظیماتو کې، SSH کولی شی د دوه فاکتوره تایید میکانیزم سره یو ځای شی ترڅو امنیت زیات کړی. د SSH بندرونه ډیفالټ بندر: SSH عموماً د اړیکو لپاره د 22 بندر کاروی. که څه هم دا د امنیت د زیاتولو لپاره (د حملو مخنیوی لپاره) د نورو بندرونو ته هم بدلیدای شی. د SSH کمانډونه او وسایل SSH څو ګټور کمانډونه او وسایل لری: ssh: اصلی کمانډ دی چې د SSH اړیکه د لرې سرور سره پرانیزی. مثال: ssh user@hostname scp (Secure Copy Protocol): د فایلونو د کاپی کولو لپاره کارول کیږی د محلی او لرې ماشین ترمنځ. مثال: scp file.txt user@hostname:/remote/directory/ sftp (Secure File Transfer Protocol): د SSH له لارې د فایلونو لیږد لپاره پروتوکول دی. مثال: sftp user@hostname ssh-keygen: د SSH کلیدونو جوړولو وسیله (عامه او خصوصی کلیدونه). مثال: ssh-keygen -t rsa -b 2048 ssh-agent: یو پروګرام دی چې خصوصی کلیدونه د SSH تایید لپاره په حافظه کې ساتی. ssh-add: د SSH کلیدونو ته د SSH ایجنټ سره اضافه کول. د SSH کلید جوړه SSH کلید جوړه لاندې برخې لری: خصوصی کلید: دا کلید د کلاینت ماشین کې خوندی پاتې کیږی او هیڅکله شریک نه کیږی. عامه کلید: دا کلید د سرور سره شریک کیږی ترڅو تایید کولو اجازه ورکړی. عامه کلید په لرې سرور کې په ~/.ssh/authorized_keys فایل کې ځای پرځای کیږی، او خصوصی کلید په محلی ماشین کې پاتې کیږی. د SSH کلید تایید ترتیب کول د SSH کلید جوړه جوړه کړئ: د ssh-keygen څخه کار واخلئ ترڅو کلید جوړه جوړه کړئ. مثال: bash Copy code ssh-keygen -t rsa -b 2048 عامه کلید سرور ته کاپی کړئ: د عامه کلید (~/.ssh/id_rsa.pub) د سرور په ~/.ssh/authorized_keys فایل کې کاپی کړئ. تاسو کولی شئ ssh-copy-id څخه استفاده وکړئ: bash Copy code ssh-copy-id user@hostname د اړیکې ازمویښت: د عامه کلید کاپی کولو وروسته، تاسو کولی شئ پرته له پټ کلمې اړیکه ونیسئ: bash Copy code ssh user@hostname عام SSH تنظیمات د پټ کلمې تایید بندول: د امنیت د زیاتولو لپاره، تاسو کولی شئ د پټ کلمې پراساس تایید په سرور کې د sshd_config فایل ته تعدیل ورکړئ او داسې تنظیم کړئ: bash Copy code PasswordAuthentication no د ډیفالټ بندر بدلول: د نورو امنیتی ګټو لپاره، تاسو کولی شئ د SSH ډیفالټ بندر له 22 څخه بل کوم نمبر ته بدل کړئ. د Port لارښوونه په /etc/ssh/sshd_config کې تعدیل کړئ. د کارونکی لاسرسی محدودول: تاسو کولی شئ محدود کړئ چې کوم کاروونکی د SSH له لارې د ننوتلو اجازې لری د AllowUsers یا DenyUsers لارښوونو سره په sshd_config فایل کې. د SSH امنیتی ځانګړتیاوې SSH د څو امنیتی ځانګړتیاوو سره ډیزاین شوی: رمزیزه کول: ټول معلومات چې د SSH پرمهال تبادله کیږی، رمز کیږی، ترڅو حساس معلومات د مداخله کولو څخه خوندی شی. د درستتیا معاینه: SSH د هش کولو الګورېتمونو څخه کار اخلی ترڅو د معلوماتو درستتیا ډاډمنه کړی. مستقبل خوندیتیا: SSH د آینده خوندیتوب ملاتړ کوی، چې ډاډ ورکوی که خصوصی کلید وروسته له دې چې ټک شوی وی، د تیرې اړیکې خوندی پاتې شی. پورټ فارورډینګ: SSH د نورو پروتوکولونو (لکه HTTP یا MySQL) د خوندی اړیکو لپاره پورټ فارورډ کولو له لارې تونل جوړولی شی. د ځایی پورټ فارورډینګ: دا د دې وړتیا ورکوی چې یو خدمت د لرې سرور په لور ځایی پورټ ته وړاندې شی. د لرې پورټ فارورډینګ: دا د دې وړتیا ورکوی چې د محلی خدمت ته د SSH سرور له لارې لاسرسی ورکړل شی. SSH vs. نور پروتوکولونه SSH vs. Telnet: SSH د Telnet پرتله ډیر خوندی دی، ځکه چې Telnet ټول معلومات (شامل رمزونه) په ښکاره ډول لیږدوی، خو SSH ټولې اړیکې رمزیزه کوی. SSH vs. FTP: FTP هم معلومات په ښکاره ډول لیږدوی، خو SFTP (چې د SSH له لارې روان دی) فایلونو ته خوندی لېږد راوړی. SSH vs. RDP: د ریموټ ډیسټاپ پروتوکول (RDP) د ګرافیکی ریموټ لاسرسی لپاره کارول کیږی، پداسې حال کې چې SSH عموماً د قوماندې کرښه لپاره او د لرې مدیریت لپاره کارول کیږی. د SSH عام کارونې د سرور ریموټ مدیریت: اداری کاروونکی د SSH له لارې سرورونه په خوندی توګه مدیریت کوی. فایل لېږد: د scp یا sftp له لارې کاروونکی کولی شی فایلونه په خوندی توګه د ماشینونو ترمنځ لیږد کړی. تونل جوړونه: SSH اکثره د نورو شبکې پروتوکولونو یا غوښتنلیکونو لپاره د رمزیزو تونلونو جوړولو لپاره کارول کیږی. اتوماتیک کول او سکریپټینګ: SSH په اتوماتیک سکریپټونو کې معمولاً کارول کیږی ترڅو لرې سیستمونه مدیریت کړی. د SSH غوره کړنلارې د پیاوړی رمزیزې کولو کارول: همېشه د پیاوړی، عصری رمزیزې کولو الګورېتمونو څخه کار واخلئ لکه RSA (2048-بټ یا لوړه) یا ECDSA د کلیدونو لپاره. د روت ننوتنه محدودول: د مستقیم روت ننوتلو بندول د SSH له لارې د PermitRootLogin no تنظیمولو سره. د کلید پراساس تایید کارول: هرکله چې ممکنه وی، د پټ کلمې پرځای د SSH کلیدونه وکاروئ. د SSH سافټویر تازه ساتل: د SSH سرور او کلاینت سافټویر منظم ډول تازه کړئ ترڅو زیانمنۍ حل کړئ. ناکارې تایید میتودونه بندول: که تاسو د پټ کلمې پراساس تایید نه کاروئ، نو دا باید بند شی ترڅو د حملې ساحه محدوده شی. د SSH ستونزې حل کول د SSH خدمت حالت چک کول: په سرور کې، د systemctl status ssh څخه کار واخلئ ترڅو وګورئ چې SSH خدمت روان دی. د فایروال ترتیبات چک کول: ډاډ ترلاسه کړئ چې فایروال د SSH بندر باندې ترافیک اجازه ورکوی. د مفصل آګاهی فعالول: که اړیکه کې ستونزه وی، د -v اختیار سره د SSH کارول د ډیر تفصیل لپاره: bash Copy code ssh -v user@hostname SSH یو مهم وسیله ده د خوندی ریموټ لاسرسی او فایل لېږد لپاره، چې په پراخه کچه په شبکې اداره، DevOps، او د انټرنېټ پرمخ تلونکو اړیکو کې کارول کیږی. HSRP (Hot Standby Router Protocol) یوه ځانګړې پروتوکول دی چې د Cisco لخوا ډیزاین شوی دی تر څو د شبکې کې لوړ شتون او باور وړتیا یقینی کړی او د IP روتینګ لپاره فالتو توب برابر کړی. دا د "ورچوئل روټر" جوړولو ته اجازه ورکوی چې د شبکې کوربه میزبانانو لخوا د ډیفالټ گیټ وې لپاره کارول کیدی شی. که چېرې یوه روټر په ډله کې ناکام شی، بل روټر دا رول خپلوی، چې د شبکې د شتون لپاره دوامداره شتون برابروی او لږ ځنډ سره. دلته د HSRP په اړه یوه مفصله کتنه ده: HSRP څه شی دی؟ HSRP یوه پروتوکول دی چې د څو روټرونو ته اجازه ورکوی ترڅو د شبکې په کې د یوې ورچوئل روټر په توګه کار وکړی او په داسې حال کې د ډیفالټ گیټ وې لپاره فالتو توب برابر کړی چې که یو روټر شتون ونلری. دا عموماً د شبکې په کې د ډیفالټ گیټ وې لپاره د فالتو توب برابروونکی دی، چې د روټر د ناکامیدو په صورت کې د کلاینت وسیلو ته ادامه ورکوی. د HSRP کلیدی اجزاء ورچوئل IP پته: یوه ورچوئل IP پته چې د شبکې کوربه لپاره د ډیفالټ گیټ وې په توګه کارول کیږی. دا پته د یوه روټر پورې اړه نلری، بلکه د HSRP ډله کې ټولو روټرونو لخوا شریکوی. ورچوئل MAC پته: یوه ځانګړې MAC پته چې د ورچوئل IP پته سره تړلې وی. لکه څنګه چې ورچوئل IP، دا هم د HSRP ډلې ټولو روټرونو لخوا شریکوی. HSRP ډله: څو روټرونه کولی شی یو HSRP ډلې ته پورې اړه ولری. هره ډله د یوه ځانګړی ګروپ نمبر (1-255) لخوا پیژندل کیږی. فعال روټر: هغه روټر چې اوس مهال د ورچوئل IP پته لپاره ټرافیک لیږدوی. چمتووالې روټر: هغه روټر چې که فعال روټر ناکام شی، د هغه ځای نیسی. هیلو پیکټونه: دا څوکل نه پیکټونه دی چې روټرونه د خپل وضعیت (فعال یا چمتووالې) د نورو روټرونو سره شریکوی. HSRP څنګه کار کوی؟ HSRP د څو روټرونو د یوځای کار کولو لپاره تنظیم شوی دی تر څو د یو ورچوئل روټر په توګه کار وکړی. دا ورچوئل روټر د ورچوئل IP او MAC پتې ته ټاکل کیږی چې د شبکې د تجهیزاتو لپاره د ډیفالټ گیټ وې په توګه کارول کیږی. دغه روټرونه د هیلو پیکټونو تبادله کوی ترڅو د هر روټر وضعیت معلوم کړی او یو فعال روټر ټاکی. فعال روټر: هغه روټر چې ټرافیک لیږدوی او پیکټونه د ورچوئل IP پتې څخه او ورته لیږی. چمتووالې روټر: هغه روټر چې د فعال روټر څارنه کوی. که فعال روټر ناکام شی، چمتووالې روټر د فعال روټر رول خپلوی. نور روټرونه (Backup Routers): روټرونه چې په HSRP کې برخه اخلی مګر نه فعال نه هم چمتووالې دی. HSRP روټرونه هر وخت د هیلو پیکټونو تبادله کوی ترڅو د وضعیت معلومات وساتی. که فعال روټر هیلو پیکټونه نه لېږی (مثلاً که ناکام شی)، چمتووالې روټر په اوتومات ډول د فعال روټر رول خپلوی. د HSRP حالتونه HSRP پروتوکول مختلف حالتونه لری ترڅو د روټرونو رولونه وټاکی: Initial: د پیل حالت، کله چې روټر لا HSRP نه دی پیل کړی. Learn: روټر د ورچوئل IP پته زده کولو لپاره انتظار کوی. Listen: روټر د نورو روټرونو څخه د هیلو پیکټونو لپاره غوږ نیسی خو لا فعال یا چمتووالې روټر نه دی. Speak: روټر هیلو پیکټونه لېږی او د فعال یا چمتووالې روټر کیدو هڅه کوی. Standby: روټر چمتووالې روټر دی، د فعال روټر د ناکامیدو په صورت کې د هغه رول خپلولو ته چمتو دی. Active: روټر فعال روټر دی، چې په فعاله توګه پیکټونه لیږدوی. د HSRP ټایمرونه HSRP څو ټایمرونه لری ترڅو د روټرونو ترمنځ د اړیکې کنټرول وکړی: Hello ټایمر: Hello ټایمر د دې وخت په توګه تعریف کوی چې یوه روټر څومره وخت وروسته د نورو روټرونو لپاره هیلو پیکټونه لیږی. د دې ټایمر ډیفالټ ارزښت 3 ثانیې دی. Hold ټایمر: دا ټایمر تعریفوی چې یوه روټر څومره وخت وروسته باید د هیلو پیکټونه نه ترلاسه کولو په صورت کې د فعال روټر ناکام ګڼی. د دې ټایمر ډیفالټ ارزښت 10 ثانیې دی. HSRP نسخې HSRP دوه لوی نسخې لری: HSRP Version 1 (HSRPv1): په زړو Cisco وسایلو کې ډیفالټ. یوازې د 24 بټ سبنیټ ماسک ملاتړ کوی (کلاسیک آدرس کولو). یوازې لومړی 256 HSRP ډلې (گروپ نمبرونه 0-255) ملاتړ کوی. HSRP Version 2 (HSRPv2): د 32 بټ سبنیټ ماسک ملاتړ کوی (کلاسلس آدرس کولو). د نورو HSRP ډلو ملاتړ کوی (0-4095). د امنیتی ځانګړتیاو لکه MD5 تصدیق ملاتړ. د IP پته ځای مناسب او مؤثره کارول. د HSRP لومړیتوب HSRP روټرونه کولی شی یو لومړیتوب ارزښت ولری چې د فعال او چمتووالې روټر ټاکنې کې مرسته کوی. هغه روټر چې تر ټولو لوړ لومړیتوب ارزښت لری د فعال روټر په توګه ټاکل کیږی. د HSRP Preemption Preemption اجازه ورکوی چې یو روټر چې لوړ لومړیتوب لری د فعال روټر رول ترلاسه کړی که هغه بیا شتون ولری. د دې امکان لپاره، "preempt" فعالول اړین دی. د HSRP امنیتی تدابیر HSRP د ځینو بریدونو سره مخ کیدای شی که چېرې سم تنظیم نه وی: Spoofing: یوه تهاجمی ښکارندوی کولی شی HSRP هیلو پیکټونه جعل کړی او د failover پروسه مختل کړی. Man-in-the-Middle: که یوه تهاجمی یوه HSRP روټر کنټرول کړی، نو دوی کولی شی د ورچوئل روټر لپاره د ترافیک لاسرسی وکړی. د دې خطرونو د کمولو لپاره اړینه ده چې: د HSRP تصدیق (لکه MD5 تصدیق) وکارول شی. د ACLs (د لاسرسی کنټرول لیست) کارول. د روټرونو لپاره قوی پاسورډونه وکارول. د HSRP بدیلونه VRRP (Virtual Router Redundancy Protocol): یو غیر ملکیت پروتوکول چې د HSRP ورته فعالیتونه وړاندې کوی. GLBP (Gateway Load Balancing Protocol): د Cisco پروتوکول دی چې نه یوازې فالتو توب وړاندې کوی بلکه د څو روټرونو ترمنځ بار توازن هم کوی. د HSRP کارونې حالتونه د ډیفالټ گیټ وې فالتو توب: HSRP د پای ته رسوونکو تجهیزاتو لپاره د ډیفالټ گیټ وې لپاره ډیر شتون ورکوی. د روټر Failover: دا ډاډمن کوی چې که یو روټر مات شی، بل روټر په اوتومات ډول خپل رول اخلی. د حساسو غوښتنلیکونو لپاره لوړ شتون: ډاډ ترلاسه کول چې شبکې سرچینې حتی د روټر د ناکامیدو په صورت کې شتون لری. پایله: HSRP یوه پیاوړې پروتوکول ده چې د شبکې لپاره روټر فالتو توب او باور وړتیا وړاندې کوی. دا د شبکې کوربه ته اجازه ورکوی چې تل یو فعال ډیفالټ گیټ وې ته لاسرسی ولری، حتی که یو روټر ناکام شی. BPDU Guard یوه ځانګړتیا ده چې په Spanning Tree Protocol (STP) کې کارول کیږی ترڅو د شبکې د لوپونو څخه د احتمالی مخنیوی لپاره د شبکې سویچونو څخه ساتنه وکړی. BPDU Guard د دې لپاره ډیزاین شوې چې د BPDU (Bridge Protocol Data Units) څخه ساتنه وکړی، چې د STP پروسې د کنټرول پیغامونو په توګه کار کوی ترڅو د شبکې توپولوژی لوپ-آزاد وساتی. دا ځانګړتیا ډاډ ورکوی چې یوازې مشروع STP ریښې برجونه او ټاکل شوی برجونه کولی شی په STP پروسه کې برخه واخلی. د BPDU Guard یوه بشپړه کتنه: BPDU Guard څه شی دی؟ BPDU Guard یوه امنیتی ځانګړتیا ده چې د ایتھرنیټ سویچونو کې کارول کیږی ترڅو د Spanning Tree Protocol (STP) بشپړتیا وساتی. دا عموماً په Access Ports کې تنظیمیږی ترڅو د داسې آلو یا ناسم تنظیماتو له لارې چې BPDU لېږدوی، د شبکې STP عملیات له ګډوډۍ څخه وژغوری. کله چې BPDU Guard په پورټ کې فعال شی، سویچ لاندې اقدامات ترسره کوی: پورټ بندول: که چیرې سویچ په پورټ کې هر ډول BPDU کشف کړی، نو سمدستی به پورټ بند کړی او په error-disabled حالت کې به یې واچوی. پورټ بیا باید په لاسی توګه بیا فعال شی. د Spanning Tree بدلونونه مخنیوی کوی: BPDU Guard د شبکې STP توپولوژۍ کې ناڅاپی بدلونونه مخنیوی کوی. BPDU Guard څنګه کار کوی؟ د Spanning Tree Protocol (STP) په شبکه کې د لوپونو د مخنیوی لپاره د BPDU لېږد ته اړتیا لری. په عادی شبکه کې، یوازې هغه شبکه آلې لکه سویچونه (چې په STP کې برخه اخلی) باید BPDU ولېږدوی. BPDU Guard ډاډ ورکوی چې هیڅ غیر مجاز آله د STP توپولوژۍ ته نه داخل شی او BPDU لېږدوی. BPDU Guard داسې کار کوی: د BPDU کشف کول: کله چې BPDU Guard په پورټ کې فعال شی، سویچ د هر ډول BPDU د ترلاسه کولو لپاره ګوری. د BPDU ترلاسه کول: که چیرې BPDU د BPDU Guard فعال پورټ ته ورسیږی، نو پورټ سمدستی err-disabled (error-disabled) ته ځی. د ساتنې فعالیت: دا ځانګړتیا د شبکې د توپولوژۍ د سم تنظیم څخه د تخریب یا حملو مخنیوی کوی. BPDU Guard په Access Ports کې BPDU Guard عموماً په Access Ports کې کارول کیږی - هغه پورټونه چې پای کارونکی وسایل لکه کمپیوټرونه، لپټاپونه یا تلیفونونه ورسره نښلول شوی دی. دا آلې باید هیڅکله BPDU نه لېږدوی ځکه چې دوی د Spanning Tree پروسې برخه نه دی. بیلګه: که یو کاروونکی یوه سویچ د Access پورټ سره نښلوی (پرځای د Trunk یا Uplink پورټ څخه)، دغه سویچ ممکن BPDU لېږدوی چې کولی شی د STP پروسه ګډوډ کړی او لوپونه یا ناسم توپولوژی پریکړې رامینځته کړی. BPDU Guard او BPDU Filtering BPDU Guard او BPDU Filtering دواړه د BPDU ترافیک اداره کولو لپاره کارول کیږی، خو د دوی چلند مختلف دی: BPDU Guard: کله چې BPDU ترلاسه شی، پورټ بندوی او د err-disabled حالت ته ځی. BPDU Filtering: یوازې BPDU ترافیک د لاسه ورکوی، پرته له دې چې پورټ بند کړی. د BPDU Guard تنظیم کول BPDU Guard عموماً په Access Ports کې تنظیمیږی. دا کولی شی په ځانګړو پورټونو یا په ټول سویچ کې فعال شی. لاندې طریقه ده: په ځانګړی پورټ کې BPDU Guard فعالول: bash Copy code Switch(config)# interface gigabitEthernet 0/1 Switch(config-if)# spanning-tree bpduguard enable په ټوله سویچ کې BPDU Guard فعالول: bash Copy code Switch(config)# spanning-tree portfast bpduguard default د BPDU Guard عمل: Error Disabled حالت کله چې BPDU Guard په پورټ کې BPDU کشف کړی، پورټ د err-disabled حالت ته ځی. دا مانا ده چې پورټ بند شوی او باید په لاسی توګه بیا فعال شی. د BPDU Guard کارونې حالتونه د لوپونو جوړولو مخنیوی: که یوه سویچ په غلطۍ سره د Access پورټ سره ونښلول شی، BPDU Guard به پورټ بند کړی. د Rogue سویچونو پروړاندې امنیت: دا د Rogue سویچونو د پیوستولو مخنیوی کوی چې د STP توپولوژۍ کې ګډوډی رامینځته کوی. د شبکې د وېشلو ملاتړ: BPDU Guard په لویو شبکو کې کارول کیږی ترڅو یوازې مجاز آلې د STP پروسې برخه شی. د BPDU Guard غوره کړنې په ټولو Access پورټونو کې BPDU Guard فعالول ترڅو ډاډ ترلاسه شی چې هیڅ Rogue سویچ د STP توپولوژۍ باندې تاثیر نلری. BPDU Guard سره PortFast کارول: کله چې PortFast کارول کیږی، پورټ به سمدستی د Forwarding حالت ته انتقال شی او د STP نور مراحل لکه Listening او Learning ته اړتیا نلری. د BPDU Guard محدودیتونه لائیکی مداخلې ته اړتیا لری: کله چې پورټ د BPDU Guard له امله err-disabled شی، باید په لاسی توګه بیا فعال شی. د غیر ارادی بندولو احتمال: که BPDU Guard په غلطۍ سره په داسې پورټ کې فعال شی چیرې چې مشروع BPDU ته اړتیا وی (لکه د سویچ سره اړیکه لرونکی پورټ)، نو پورټ به بند شی. BPDU Guard او نور امنیتی ځانګړتیاوې Root Guard: دا د STP امنیتی ځانګړتیا ده چې د یوې غیر ریښې برج څخه د ریښې برج کیدو مخنیوی کوی. Loop Guard: Loop Guard د لوپونو د مخنیوی لپاره کار کوی او د loop-inconsistent حالت کې بند ساتی. BPDU Filtering: BPDU Filtering یوازې BPDU ترافیک پټوی، خو BPDU Guard به پورټ بند کړی که BPDU کشف کړی. پایله: BPDU Guard یوه مهمه ځانګړتیا ده چې د شبکې د Spanning Tree Protocol (STP) عملیات خوندی کوی، د Rogue آلو د شبکې توپولوژۍ خرابولو څخه مخنیوی کوی. دا په ځانګړی ډول د Access پورټونو لپاره ګټوره ده چې باید یوازې پای آلې ورسره نښلول شی. BPDU Guard د شبکې د STP بشپړتیا ساتلو لپاره خورا مهمه ده. سپیننگ ټری پروتوکول (STP) یوه شبکه پروتوکول ده چې په ایتھرنیټ شبکو کې د لوپونو مخنیوی لپاره ډیزاین شوې ده. دا ډاډمنوی چې د شبکې ترمنځ یوازې یو فعال لاره شتون لری، چې د کثیرې لارې شتون له امله د خپرولو طوفانونو او نورو مسلو مخه نیسی. STP په اصل کې د ډاکټر رادیا پرلمان لخوا په 1985 کې پراختیا موندلې وه او د معاصر سویچ شبکو لپاره یو مهم پروتوکول دی. د سپیننگ ټری پروتوکول (STP) بشپړ کتنه: سپیننګ ټری پروتوکول څه دی؟ STP د OSI ماډل په دویمه طبقه (د ډیټا لینک طبقه) کې کار کوی ترڅو په ایتھرنیټ چاپیریالونو کې د لوپونو مخه ونیسی. کله چې سویچونه په شبکه کې وصل شی، عموماً د شبکې د باور لپاره د لایډنسی ډولونه عملی کیږی. خو، د سویچونو ترمنځ د کثیرې لارې شتون کولی شی لوپونه رامنځته کړی چې د خپرولو طوفانونو، د MAC پته جدول کې بې ثباتۍ او نورو شبکې مشکلاتو سبب شی. STP د یوه ریښه پلور (Root Bridge) ټاکلو له لارې کار کوی او غوره لاره ټاکی له ریښه پلور څخه نورو سویچونو ته. بیا ځینې لارې بندوی ترڅو د لوپونو مخه ونیسی او یوازې یوه فعاله لاره پاتې شی. STP څنګه کار کوی؟ STP د BPDUs (Bridge Protocol Data Units) تبادله کوی ترڅو د شبکې توپولوژی په اړه معلومات شریک کړی. د دې معلوماتو پراساس، سویچونه ټاکی چې کومې لارې بندې شی او کومې لارې فعاله پاتې شی ترڅو لوپونه مخنیوی شی. مهم مفاهیم: ریښه پلور (Root Bridge): هغه سویچ چې د شبکې توپولوژی مرکزی ټکی دی. ټولې لارې د دې سویچ څخه حساب کیږی. ریښه پورټ (Root Port - RP): هغه پورټ په غیر ریښه سویچ کې چې د ریښه پلور ته د رسیدو غوره لاره ده. مقرر شوی پورټ (Designated Port - DP): هغه پورټ په سویچ کې چې د یوې ځانګړې شبکې برخې ته ترافیک لیږی. بند شوی پورټ: هغه پورټ چې په بند حالت کې دی ترڅو لوپونه مخنیوی شی. د پلور ID (Bridge ID - BID): هر سویچ لپاره یوازینی پیژندونکی دی. دا د لومړیتوب ارزښت (چې 32768 دی) او د سویچ MAC پته څخه جوړ شوی دی. د STP مرحلې: د ریښه پلور ټاکل: هر سویچ یو BPDU استوی چې پکې خپل Bridge ID (لومړیتوب + MAC پته) شامل دی. هغه سویچ چې ټیټ Bridge ID لری، د ریښه پلور په توګه ټاکل کیږی. ریښه پلور د سپیننګ ټری توپولوژی مرکزی ټکی دی، او ټولې لارې حساب کیږی له دې سویچ څخه. د لارو ټاکنه: وروسته له دې چې ریښه پلور ټاکل شی، هر سویچ د ریښه پلور ته د رسیدو غوره لاره ټاکی. هغه سویچ چې د ریښه پلور ته د رسیدو لپاره تر ټولو ټیټه لګښت لاره لری، د ریښه پورټ (RP) په توګه ټاکل کیږی. د اضافی لارو بندول: اضافی لارې چې لوپونه رامنځته کولای شی، بندې کیږی. دا لارې یوازې په هغه صورت کې فعالې کیږی که اصلی لاره ناکامه شی. د کنورجنس: کله چې د توپولوژی تغییرات رامنځته شی (لکه د لینک ډاون یا د نوی سویچ اضافه کول)، STP د غوره لارو محاسبه کوی او بندې یا فعالې لارې په اړتیا سره بدلونوی ترڅو لوپونه مخنیوی شی. د STP حالتونه STP د سویچ پورټونه په لاندې حالتونو کې ځای پر ځای کوی: بندول (Blocking): پورټ فریمونه نه استوی او د فعال توپولوژۍ برخه نه دی. دا پورټ د BPDUs اوریدل یا استول نه کوی. ګوریدل (Listening): پورټ د BPDUs لپاره غوږ نیسی ترڅو ډاډ ترلاسه کړی چې هیڅ لوپ وجود نلری مخکې له دې چې فریمونه استوی. زده کول (Learning): پورټ د MAC پته زده کوی او د MAC پته جدول جوړوی، خو لاهم فریمونه استوی نه. مخکینی (Forwarding): پورټ بشپړ فعال دی او فریمونه استوی ترمنځ وسایلو. دا د BPDUs لپاره غوږ نیسی هم. غیرفعال (Disabled): پورټ د ادارې لخوا بند شوی دی. د STP ټایمرونه STP د څو ټایمرونو کاروی ترڅو د حالتونو انتقال وخت تنظیم کړی. د دې ټایمرونو لپاره ډیفالټ ارزښتونه عموماً: Hello Time: هغه وخت چې د BPDUs ترمنځ استول کیږی. ډیفالټ ارزښت یې 2 ثانیې دی. Max Age: هغه وخت چې سویچ به یې انتظار کوی مخکې له دې چې BPDU زړې وپېژنی. ډیفالټ ارزښت یې 20 ثانیې دی. Forward Delay: هغه وخت چې پورټ په ګوریدل او زده کولو حالتونو کې تېر کړی مخکې له دې چې مخکینی حالت ته لاړ شی. ډیفالټ ارزښت یې 15 ثانیې دی. د STP ډولونه د STP مختلفې واریانتونه او غزونې شتون لری چې مختلفو شبکې اړتیاوو ته ځواب ورکوی: IEEE 802.1D (کلاسیک STP): د STP اصلی نسخه چې د IEEE لخوا معیار شوی، د لایه 2 لپاره د لوپ مخنیوی او توپولوژۍ مدیریت لپاره. Rapid Spanning Tree Protocol (RSTP) - IEEE 802.1w: د STP پرمختللې نسخه چې د ټیټې وخت سره د کنورجنس د حل کولو وړتیا لری. Multiple Spanning Tree Protocol (MSTP) - IEEE 802.1s: یوه پروتوکول چې اجازه ورکوی څو STP instances تنظیم شی. Per-VLAN Spanning Tree (PVST): یو سیسکو ځانګړی پروتوکول چې د هر VLAN لپاره بېلابېل STP instances چلوی. Per-VLAN Spanning Tree Plus (PVST+): د PVST پراختل شوې نسخه چې د 802.1Q لپاره ملاتړ لری. د STP پورټ رولونه د پورټ رولونه د سویچ په سپیننګ ټری کې د هر پورټ دنده بیانوی: ریښه پورټ (Root Port - RP): هغه پورټ چې د غیر ریښه سویچ کې د ریښه پلور ته د رسیدو لپاره غوره لاره ده. مقرر شوی پورټ (Designated Port - DP): هغه پورټ چې د شبکې ځانګړې برخې ته ترافیک لیږی. بند شوی پورټ (Blocked Port): هغه پورټ چې بند شوی دی ترڅو لوپونه مخنیوی شی. د STP لاره ټاکل په STP کې غوره لاره د لاندې معیارونو پراساس ټاکل کیږی: Bridge ID: ټیټه Bridge ID غوره کیږی. لګښت: هر سویچ پورټ ته د لګښت ارزښت ټاکل شوی چې د بندر د عرضې پراساس دی. ټیټه لګښت غوره لاره ده. Root Path Cost: د سویچ څخه د ریښه پلور ته ټولیزه لګښت لاره. د STP ریښه پلور ټاکل د ریښه پلور ټاکل یو جدی پروسه ده: هر سویچ په لومړیو کې ځان ریښه پلور ګڼی. هر سویچ د BPDU سره خپل Bridge ID استوی. سویچونه د خپلو Bridge IDs په پرتله کولو کې BPDU استوی. هغه سویچ چې ټیټه Bridge ID لری، د ریښه پلور ټاکل کیږی. وروسته له دې، هر سویچ د ریښه پلور لپاره د غوره لارې محاسبه کوی. د STP تنظیمات د STP تنظیمات پر سویچونو باندې تنظیم او تنظیم کولای شی، لکه د Bridge Priority بدلول چې د ریښه پلور ټاکلو باندې تاثیر لری او د لارو لګښتونه. د STP برخې کې د پورټونو تنظیمات او عیب لګونه: د STP وضعیت کتل: show spanning-tree (د STP ټول معلومات) show spanning-tree vlan [vlan-id] (د یوه خاص VLAN لپاره STP معلومات) د STP امنیتی تدابیر STP د امنیت لپاره ځینې خطرونه لری