WIKI TKJ

Cisco : Konfigurasi VLAN di Switch Cisco

Bayangkan satu gedung sekolah dengan satu lorong panjang. Semua pintu kelas terbuka ke lorong yang sama, jadi siswa kelas TKJ bisa masuk ke ruang guru, dan suara bising dari satu kelas bocor ke semua kelas lain.

    • VLAN** adalah cara memotong lorong itu jadi beberapa lorong terpisah tanpa menambah kabel sedikit pun. Satu switch fisik tetap satu kotak, tapi di dalamnya berdiri beberapa "switch virtual" yang tidak saling melihat.

Artikel ini melanjutkan Cisco : Dasar CLI Cisco IOS (Mode dan Konfigurasi Awal). Kalau kemarin kamu belajar berdiri di lantai yang benar, sekarang kamu belajar membangun lantainya.

🎯 Tujuan

Setelah membaca dan mempraktikkan artikel ini, kamu diharapkan mampu:

  • Menjelaskan kenapa VLAN ada dan apa yang berubah di dalam switch.
  • Membuat VLAN di switch Cisco beserta namanya.
  • Mengubah port menjadi **access port** dan memasukkannya ke VLAN tertentu.
  • Membuat **trunk** ke switch atau router lain dengan daftar VLAN yang diizinkan.
  • Memverifikasi hasil konfigurasi dengan `show vlan brief`, `show interfaces trunk`, dan `show interfaces switchport`.
  • Mengenali gejala salah VLAN tanpa harus menebak-nebak.

📍 Konteks nyata

Di lab sekolah, satu switch 24 port biasanya dipakai bersama: 20 port untuk PC siswa, 2 port untuk PC guru, 1 port ke router, 1 port ke server.

Masalahnya, semua port itu lahir dengan setelan yang sama, yaitu masuk ke **VLAN 1**. Akibatnya PC siswa bisa saling ping dengan PC guru, dan PC siswa bisa membuka halaman admin server kalau passwordnya lemah.

  • 🔥 Kasus nyata: Sebuah SMK punya 36 PC siswa dan 8 PC di ruang guru yang semuanya menempel di satu switch 48 port. Selama 3 minggu, guru mengeluh bisa membuka folder *shared* milik siswa dan sebaliknya. Ternyata tidak ada satu pun port yang dipindah dari VLAN 1. Setelah VLAN 10 (siswa) dan VLAN 20 (guru) dipasang, keluhan itu hilang tanpa membeli perangkat baru.
  • 💡 Tips: VLAN bukan tembok anti-hacker. VLAN memisahkan lalu lintas biasa, tapi antar-VLAN tetap butuh router dan aturan firewall kalau mau benar-benar dibatasi.

🧠 Konsep singkat

Port switch secara default adalah satu **broadcast domain**: satu paket broadcast dari satu PC disebar ke semua port. VLAN memecah broadcast domain itu jadi beberapa bagian.

Yang perlu kamu pegang: **satu VLAN = satu jaringan logis**. Dua PC di VLAN berbeda tidak bisa ping langsung, walaupun kabelnya menancap di switch yang sama.

🔹 Access port dan trunk port

Ada dua peran port yang wajib kamu bedakan sebelum mengetik perintah.

  • **Access port** dipakai untuk menancapkan perangkat akhir: PC, printer, access point. Port ini hanya mengerti satu VLAN, dan frame yang keluar dari port ini **tidak diberi tag**.
  • **Trunk port** dipakai untuk menyambung switch ke switch atau switch ke router. Port ini membawa banyak VLAN sekaligus, dan frame diberi **tag 802.1Q** berisi nomor VLAN.
Hal Access port Trunk port
Dipakai untuk PC, printer, AP switch ke switch, switch ke router
Jumlah VLAN satu (VLAN akses) banyak (sesuai daftar *allowed*)
Tag di frame tidak ada 4 byte tag 802.1Q
Perintah kunci `switchport mode access` `switchport mode trunk`
Salah pasang efeknya PC tidak dapat IP yang benar banyak VLAN "hilang" di seberang

🔹 Apa isi tag 802.1Q

Saat frame menyeberang trunk, switch menyisipkan **4 byte** tag di antara alamat MAC sumber dan field tipe. Isinya:

  • **TPID** 16 bit, bernilai `0x8100`, penanda "ini frame bertag".
  • **Priority** 3 bit, untuk prioritas QoS (8 level).
  • **CFI/DEI** 1 bit.
  • **VID** 12 bit, nomor VLAN-nya.

Karena tag 12 bit, nilainya 0 sampai 4095. Angka 0 dan 4095 dicadangkan, jadi praktis ada **4094 VLAN** yang bisa dipakai. Panjang frame maksimum naik dari 1518 ke **1522 byte**.

  • 📊 Angka penting: 4094 VLAN bisa dipakai. Rentang *normal* di IOS adalah 1–1005, sisanya 1006–4094 disebut VLAN *extended*. VLAN 1 dan 1002–1005 tidak bisa dihapus.

🔹 Native VLAN, si jalur tanpa tag

Di trunk 802.1Q, ada satu VLAN yang frame-nya **tidak diberi tag**, namanya **native VLAN**. Bawaannya VLAN 1.

Kalau dua sisi trunk beda native VLAN, frame tanpa tag akan dibaca masuk ke VLAN yang berbeda. Ini bukan cuma bikin bingung, tapi juga celah keamanan yang sering dipakai untuk *VLAN hopping*.

  • ⚠️ Hati-hati: Cisco akan menampilkan peringatan `%CDP-4-NATIVE_VLAN_MISMATCH` kalau native VLAN dua sisi tidak sama. Anggap ini alarm, bukan gangguan.

🔹 VTP: kemudahan yang bisa jadi bencana

Cisco punya protokol bernama **VTP** yang menyebarkan daftar VLAN ke semua switch satu domain. Switch Cisco secara bawaan hidup di mode **server**, dan setiap perubahan VLAN menaikkan **configuration revision number**.

Kalau ada switch dengan revision lebih tinggi masuk ke jaringan, switch lain akan menganggap datanya lebih baru lalu menimpanya. Inilah yang dijuluki **VTP bomb**.

  • 🔥 Kasus nyata: Switch bekas dari lab lain dicolok ke jaringan sekolah. Switch itu masih menyimpan revision 42 dengan satu VLAN saja. Dalam hitungan menit, 12 VLAN di 5 switch terhapus dan port kembali ke VLAN 1. Sekitar 200 PC kehilangan IP begitu masa *lease* habis. Pemulihannya butuh impor ulang konfigurasi, bukan sekadar restart.

Karena itu, untuk lab sekolah cara paling aman: matikan VTP dengan `vtp mode transparent` di semua switch, lalu buat VLAN manual di tiap switch.

🧩 Istilah penting

Istilah Arti sederhana
VLAN Jaringan lokal virtual di dalam switch, seperti lorong terpisah
VID Nomor VLAN (1–4094)
Access port Port satu VLAN, untuk perangkat akhir
Trunk port Port banyak VLAN, untuk antar switch/router
Tagged Frame yang membawa label nomor VLAN
Untagged Frame tanpa label, dianggap milik native VLAN
Native VLAN VLAN untuk frame tanpa tag di trunk
SVI Interface virtual (`interface vlan 10`) untuk IP manajemen
VTP Protokol Cisco penyebar daftar VLAN
DTP Protokol Cisco penawar otomatis status trunk
`vlan.dat` File di flash tempat database VLAN disimpan
ISL Trunk lama milik Cisco, sudah usang, diganti 802.1Q

🔧 Praktik: VLAN 10, 20, dan 99 di switch Cisco

Rencana kita sederhana dan mirip lab sekolah sungguhan:

  • **VLAN 10** untuk siswa, 20 port.
  • **VLAN 20** untuk guru, 4 port.
  • **VLAN 99** untuk manajemen switch.
  • Port `Gi0/24` jadi trunk ke switch lain.

🔹 Persiapan topologi

  1. Siapkan satu switch Cisco (Packet Tracer 2960 juga boleh) dan satu PC.
  2. Pasang kabel console, buka terminal, masuk ke mode privileged dengan `enable`.
  3. Catat nama interface yang tersedia lewat `show ip interface brief` atau `show interfaces status`.
Switch> enable
Switch# configure terminal
Switch(config)# hostname SW-LAB1
SW-LAB1(config)#

🔹 Langkah 1: buat VLAN dan beri nama

Nama VLAN itu bukan hiasan. Saat troubleshooting jam 2 pagi, `VLAN0010` lebih sulit dibaca daripada `SISWA`. 

SW-LAB1(config)# vlan 10
SW-LAB1(config-vlan)# name SISWA
SW-LAB1(config-vlan)# exit

SW-LAB1(config)# vlan 20
SW-LAB1(config-vlan)# name GURU
SW-LAB1(config-vlan)# exit

SW-LAB1(config)# vlan 99
SW-LAB1(config-vlan)# name MANAJEMEN
SW-LAB1(config-vlan)# exit

Cek hasilnya: 

SW-LAB1(config)# do show vlan brief

VLAN 10, 20, dan 99 harus muncul walau belum ada port yang menempel. Status port-nya masih kosong, dan itu normal.

🔹 Langkah 2: jadikan port access

Sekarang pindahkan port siswa ke VLAN 10. Perhatikan urutan perintahnya: masuk ke interface, set mode, baru set VLAN. 

SW-LAB1(config)# interface range gigabitEthernet0/1-20
SW-LAB1(config-if-range)# switchport mode access
SW-LAB1(config-if-range)# switchport access vlan 10
SW-LAB1(config-if-range)# description PC-SISWA
SW-LAB1(config-if-range)# exit

SW-LAB1(config)# interface range gigabitEthernet0/21-22
SW-LAB1(config-if-range)# switchport mode access
SW-LAB1(config-if-range)# switchport access vlan 20
SW-LAB1(config-if-range)# description PC-GURU
SW-LAB1(config-if-range)# exit
  • ⚠️ Hati-hati: Kalau VLAN 10 belum dibuat, perintah `switchport access vlan 10` akan ditolak dengan pesan `Access VLAN does not exist`. Buat VLAN-nya dulu, baru pasang port.

🔹 Langkah 3: siapkan trunk ke switch atau router

Port `Gi0/24` akan membawa VLAN 10, 20, dan 99. Di beberapa switch lama, kamu perlu menetapkan enkapsulasi dulu. 

SW-LAB1(config)# interface gigabitEthernet0/24
SW-LAB1(config-if)# switchport trunk encapsulation dot1q
SW-LAB1(config-if)# switchport mode trunk
SW-LAB1(config-if)# switchport trunk allowed vlan 10,20,99
SW-LAB1(config-if)# switchport nonegotiate
SW-LAB1(config-if)# description TRUNK-KE-SW2
SW-LAB1(config-if)# exit
  • 💡 Tips: Selalu tulis daftar VLAN secara eksplisit. Membiarkan `allowed vlan all` berarti semua VLAN ikut menyeberang, termasuk VLAN yang belum kamu rencanakan.
  • ⚠️ Hati-hati: Kalau daftar *allowed* kosong, trunk tetap "up" tapi tidak ada VLAN yang lewat. Ini penyebab paling sering dari kasus "ping antar gedung tiba-tiba mati".

🔹 Langkah 4: IP manajemen di SVI

Supaya switch bisa diakses lewat jaringan, beri IP pada interface VLAN manajemen, bukan pada port fisik. 

SW-LAB1(config)# interface vlan 99
SW-LAB1(config-if)# ip address 192.168.99.2 255.255.255.0
SW-LAB1(config-if)# no shutdown
SW-LAB1(config-if)# exit

SW-LAB1(config)# ip default-gateway 192.168.99.1

Perintah `ip default-gateway` hanya berlaku untuk switch Layer 2. Kalau perangkatnya switch Layer 3, yang dipakai adalah `ip route`.

🔹 Langkah 5: matikan VTP dan DTP yang tidak perlu

Dua langkah kecil ini menyelamatkan banyak lab sekolah. 

SW-LAB1(config)# vtp mode transparent
SW-LAB1(config)# interface gigabitEthernet0/23
SW-LAB1(config-if)# switchport mode access
SW-LAB1(config-if)# switchport access vlan 999
SW-LAB1(config-if)# shutdown
SW-LAB1(config-if)# exit

Port yang tidak dipakai sebaiknya dimatikan dan "diparkir" di VLAN khusus. Kalau ada siswa iseng menancapkan laptop ke port kosong, dia tidak otomatis masuk VLAN siswa.

  • 📊 Angka penting: Di VTP transparent, daftar VLAN ikut tersimpan di `running-config`, jadi `write memory` sudah cukup. Di mode server/client, daftar VLAN disimpan di `vlan.dat` di flash.

🔹 Langkah 6: simpan konfigurasi

SW-LAB1(config)# end
SW-LAB1# copy running-config startup-config
Destination filename [startup-config]?
Building configuration...
[OK]

Jangan berhenti di `end`. Tanpa `copy run start`, semua kerja VLAN-mu hilang saat listrik padam, persis seperti yang dibahas di Cisco : Praktikum Uji Mode CLI dan Diagnosa Konfigurasi Hilang.

🔹 Versi Packet Tracer

Langkahnya sama persis, hanya medianya berbeda:

  1. Klik switch, buka tab **CLI**, tekan Enter sampai muncul prompt.
  2. Ketik `enable` lalu `configure terminal`.
  3. Salin perintah dari Langkah 1 sampai 6.
  4. Untuk melihat hasil tanpa CLI, buka tab **Config** lalu pilih **VLAN**.
  5. Simpan file `.pkt` dengan nama yang jelas, misalnya `lab-vlan-10-20-99.pkt`.

Kalau ingin membandingkan pendekatan antar vendor, artikel Mikrotik : VLAN Dasar memakai konsep yang sama dengan istilah berbeda: PVID di MikroTik mirip VLAN akses di Cisco, dan *bridge VLAN filtering* mirip tabel VLAN di switch Cisco.

🏭 Dipakai di dunia kerja

  • **Sekolah:** Lab komputer dipisah VLAN siswa dan VLAN guru supaya nilai dan file rapor tidak bisa dibuka dari PC siswa. Tanpa VLAN, satu switch 48 port menjadi satu ruang tanpa sekat.
  • **Kantor:** VLAN memisahkan telepon IP, CCTV, dan komputer staf. CCTV yang banjir broadcast tidak lagi mengganggu aplikasi keuangan.
  • **Rumah sakit:** Perangkat medis dipisah dari Wi-Fi pengunjung. Ini bukan soal kenyamanan, tapi keselamatan pasien dan kepatuhan regulasi data.
  • **ISP dan gedung sewa:** Satu kabel *backbone* membawa VLAN per penyewa. Penyewa A tidak bisa melihat trafik penyewa B walau memakai switch yang sama.
  • **Industri:** VLAN memisahkan jaringan mesin produksi dari jaringan kantor, sehingga malware dari laptop administrasi tidak menjalar ke PLC.
  • **Data center:** VLAN menjadi bahan dasar desain jaringan virtual. Kesalahan daftar *allowed VLAN* di trunk adalah penyebab outage yang sangat umum di produksi.

✅ Verifikasi

Jalankan tiga perintah ini setelah konfigurasi. Hasilnya harus cocok dengan rencana, bukan sekadar "tidak ada error". 

SW-LAB1# show vlan brief
SW-LAB1# show interfaces trunk
SW-LAB1# show interfaces gigabitEthernet0/1 switchport
Yang dicek Perintah Hasil yang benar
VLAN ada dan port menempel `show vlan brief` VLAN 10 berisi Gi0/1–Gi0/20
Trunk aktif dan daftar VLAN benar `show interfaces trunk` status `trunking`, allowed 10,20,99
Native VLAN sama di dua sisi `show interfaces trunk` kolom native VLAN identik
Port benar-benar access `show interfaces gi0/1 switchport` `Operational Mode: static access`
VLAN akses port sesuai `show interfaces gi0/1 switchport` `Access Mode VLAN: 10`
  • 🧪 Uji cepat: Dari PC di VLAN 10, ping PC lain di VLAN 10. Harus berhasil. Lalu ping PC di VLAN 20. Harus **gagal** (kecuali kamu sudah memasang router antar-VLAN). Kalau yang kedua berhasil, berarti pemisahanmu belum jalan.
  • 🧪 Uji cepat: Cek database VLAN di flash dengan `show flash:` lalu cari file `vlan.dat`. Kalau kamu memakai VTP transparent dan file ini tidak berubah, itu wajar, karena datanya ada di `running-config`.

⚠️ Kesalahan umum & troubleshooting

Gejala Penyebab umum Perbaikan
PC tidak dapat IP padahal DHCP jalan port masih VLAN 1, atau VLAN akses salah cek `show interfaces gi0/x switchport`
`Access VLAN does not exist` VLAN belum dibuat buat `vlan 10` dulu
Ping antar gedung mati setelah trunk dibuat VLAN tidak ada di daftar `allowed` `switchport trunk allowed vlan add 10,20,99`
Trunk up tapi tidak ada trafik daftar allowed kosong atau native VLAN beda cek `show interfaces trunk`, samakan native
VLAN hilang sendiri setelah switch lain dicolok VTP revision lebih tinggi `vtp mode transparent`, impor ulang konfigurasi
Port jadi `inactive` VLAN-nya dihapus saat port masih menempel buat ulang VLAN atau pindahkan port
Switch tidak bisa di-ping dari LAN SVI belum `no shutdown` atau gateway salah cek `interface vlan 99`, `ip default-gateway`
Port siswa tiba-tiba jadi trunk DTP menawar otomatis `switchport nonegotiate` dan `switchport mode access`
Konfigurasi benar tapi hilang setelah restart belum `copy run start` simpan, lalu `show startup-config`
  • ⚠️ Hati-hati: Menghapus VLAN yang masih dipakai port akan membuat port itu tidak aktif. Selalu pindahkan port dulu, baru hapus VLAN-nya.
  • 💡 Tips: Biasakan menulis rencana VLAN di kertas sebelum mengetik: nomor, nama, daftar port, dan daftar trunk. Dokumen satu halaman ini menghemat satu jam troubleshooting.

🔐 Catatan keamanan & etika

VLAN memisahkan lalu lintas, tapi bukan pengganti firewall. Tiga hal yang wajib diperhatikan:

  • **Jangan pakai VLAN 1 sebagai native VLAN.** VLAN 1 ada di semua port dan jadi sasaran empuk *VLAN hopping*. Pakai VLAN khusus yang tidak dipakai pengguna.
  • **Matikan DTP di port pengguna.** Port yang menawar otomatis bisa diubah menjadi trunk oleh perangkat jahat, lalu semua VLAN terbaca.
  • **Batasi daftar VLAN di trunk.** Prinsip *least privilege* berlaku di Layer 2, bukan cuma di akun user.
  • ⚠️ Hati-hati: Semua praktik di atas hanya boleh dilakukan di lab sendiri, Packet Tracer, atau perangkat yang kamu punya izin. Memindai dan mengubah VLAN di jaringan orang lain termasuk pelanggaran hukum, bukan "latihan".

📌 Kesimpulan

VLAN memotong satu switch fisik menjadi beberapa jaringan logis. Kuncinya cuma tiga: buat VLAN, tempel port sebagai **access**, dan sambungkan antar switch lewat **trunk** dengan daftar VLAN yang jelas.

Kalau ketiga hal itu beres, separuh masalah jaringan sekolah sudah selesai sebelum kamu menyentuh router.

Langkah berikutnya: menghubungkan VLAN yang berbeda lewat router, atau lanjut ke Cisco : Trunk dan Inter-VLAN Routing (Router-on-a-Stick) saat artikelnya tersedia.

🔗 Materi terkait

📚 Referensi

Retrieved from "https://noctkj.net/index.php?title=Cisco_:_Konfigurasi_VLAN_di_Switch_Cisco&oldid=1470"