WIKI TKJ

Cisco : Praktikum Uji VLAN dan Diagnosa Port Salah Anggota

Revision as of 16:01, 24 October 2026 by Maintenance script (talk | contribs) (Praktikum pendamping: uji VLAN dan diagnosa port salah anggota)
(diff) ← Older revision | Latest revision (diff) | Newer revision → (diff)

🎯 Tujuan

Artikel pagi mengajarkan cara **membuat** VLAN. Sore ini kita belajar cara **membuktikan** VLAN itu benar-benar bekerja — dan cara menemukan penyebabnya saat tidak bekerja.

Setelah praktikum ini, kamu bisa:

  • Menjawab tiga pertanyaan bukti: port ini di VLAN mana, mode apa, dan VLAN-nya aktif atau tidak.
  • Sengaja membuat delapan kerusakan VLAN yang umum, lalu membaca gejalanya.
  • Membedakan gejala "kabel rusak" dari gejala "port salah VLAN" — dua hal yang terlihat sama di mata pengguna.
  • Menyimpan bukti uji dalam lembar hasil yang bisa dilampirkan ke laporan UKK.

📍 Konteks nyata

Bayangkan papan nomor kamar di sebuah hotel. Papan itu bisa dipasang di pintu yang salah. Tamu tetap punya kunci, pintu tetap terkunci rapi, lampu lorong tetap menyala — tapi tamu masuk ke kamar yang bukan miliknya.

VLAN bekerja seperti itu. Konfigurasi di switch adalah **papan nama**, bukan kenyataan jaringan. Kalau papan namanya salah, semua terlihat normal: lampu port hijau, kabel terpasang, IP di laptop tidak berubah. Yang hilang hanya satu: paket tidak sampai.

🔥 Kasus nyata: Lab TKJ sebuah SMK merapikan kabel di rak switch sepulang ujian. Enam kabel PC siswa dipindah ke port yang "kelihatan kosong". Port itu masih VLAN 1. Tiga hari kemudian 6 PC tidak bisa membuka aplikasi CBT, tapi bisa ping ke PC sebelah. Guru menyimpulkan "kabelnya jelek" dan mengganti 6 kabel — masalah tidak berubah. Penyebab sebenarnya ditemukan dalam 30 detik lewat `show interfaces status`: kolom Vlan berisi 1, bukan 10.

🧠 Konsep singkat

Satu gejala yang sama ("tidak bisa ping") bisa berasal dari lapisan yang berbeda. Karena itu kita butuh urutan pemeriksaan yang tetap, bukan tebak-tebakan.

Tiga pertanyaan bukti, selalu dalam urutan ini:

  1. Port ini terdaftar di VLAN mana? Kalau salah, tidak ada konfigurasi lain yang bisa menolong.
  2. Port ini mode access atau trunk? Salah mode berarti paket diberi tag saat seharusnya tidak, atau sebaliknya.
  3. VLAN-nya ada dan aktif? Port bisa "connected" tapi tetap tidak meneruskan paket kalau VLAN-nya tidak ada.

| Pertanyaan | Perintah bukti | Jawaban yang dicari | |---|---|---| | Port masuk VLAN mana | `show vlan brief` | Nama port muncul di kolom Ports VLAN yang benar | | Mode dan tag port | `show interfaces switchport` | Administrative Mode, Access Mode VLAN, Trunking Native VLAN | | Trunk benar-benar terbentuk | `show interfaces trunk` | Port muncul, Native vlan, Vlans allowed | | VLAN aktif | `show vlan` + `show interfaces status` | Status VLAN active, status port connected (bukan inactive) | | VTP tidak menimpa | `show vtp status` | Revision number dan jumlah VLAN sesuai harapan | | VLAN tersimpan | `show flash:` | Ada `vlan.dat` |

💡 Tips: Tempel urutan ini di dinding lab: **VLAN → mode → aktif**. Siswa yang melompat langsung ke "ganti kabel" akan menghabiskan 20 menit untuk masalah 30 detik.

🧩 Istilah penting

| Istilah | Arti sederhana | |---|---| | Access port | Port yang melayani satu VLAN, frame keluar tanpa tag | | Trunk port | Port yang membawa banyak VLAN, frame diberi tag 802.1Q | | Tag 802.1Q | Label 4 byte berisi nomor VLAN, disisipkan ke frame | | Native VLAN | Satu-satunya VLAN di trunk yang frame-nya tidak diberi tag | | VLAN aktif | VLAN yang ada di database switch dan tidak di-suspend | | Port inactive | Port "connected" tapi VLAN-nya tidak ada, jadi tidak meneruskan paket | | Allowed VLAN | Daftar VLAN yang boleh lewat sebuah trunk | | DTP | Protokol negosiasi otomatis access/trunk antar switch Cisco | | VTP | Protokol sinkronisasi daftar VLAN antar switch | | Revision number | Nomor versi database VTP; yang lebih tinggi menang | | `vlan.dat` | File di flash tempat definisi VLAN 1–1005 disimpan | | Port parkir | Port tidak terpakai yang sengaja dimasukkan VLAN khusus lalu di-`shutdown` |

📊 Angka penting: tag 802.1Q = 4 byte, VID 12 bit → 4096 nilai, 4094 yang bisa dipakai (0 dan 4095 dicadangkan). Frame Ethernet bertag maksimal 1522 byte.

🔧 Praktik: membuktikan port benar-benar di VLAN yang benar

Praktik ini memakai **dua switch** dan **empat PC**. Kita tidak memakai router, karena tujuannya membuktikan isolasi VLAN — bukan membuat VLAN saling terhubung.

Topologi: 

SW1: Fa0/1-10  -> VLAN 10 (SISWA)      Fa0/24 -> trunk ke SW2
     Fa0/11-20 -> VLAN 20 (GURU)       Fa0/23 -> port parkir VLAN 999
SW2: Fa0/1-10  -> VLAN 10 (SISWA)      Fa0/24 -> trunk ke SW1
     Fa0/11-20 -> VLAN 20 (GURU)

PC-A 192.168.10.11/24  di SW1 Fa0/1     PC-C 192.168.20.11/24 di SW1 Fa0/11
PC-B 192.168.10.12/24  di SW2 Fa0/1     PC-D 192.168.20.12/24 di SW2 Fa0/11

🔹 Persiapan dan baseline bukti

  1. Di kedua switch, buat VLAN 10, 20, dan 999, lalu beri nama.
  2. Jadikan Fa0/1–10 access VLAN 10, Fa0/11–20 access VLAN 20 di kedua switch.
  3. Jadikan Fa0/24 trunk di kedua switch, batasi `allowed vlan 10,20,999`.
  4. Matikan DTP di trunk dengan `switchport nonegotiate`, dan set `vtp mode transparent` di kedua switch.
  5. Simpan dengan `copy running-config startup-config`, lalu rekam baseline.
vlan 10
 name SISWA
vlan 20
 name GURU
vlan 999
 name PARKIR
exit
interface range FastEthernet0/1-10
 switchport mode access
 switchport access vlan 10
interface range FastEthernet0/11-20
 switchport mode access
 switchport access vlan 20
interface FastEthernet0/24
 switchport mode trunk
 switchport trunk allowed vlan 10,20,999
 switchport nonegotiate
interface FastEthernet0/23
 switchport mode access
 switchport access vlan 999
 shutdown

Baseline yang harus benar sebelum lanjut: 

show vlan brief
show interfaces trunk
show interfaces switchport
show vtp status

🧪 Uji cepat: PC-A harus bisa ping PC-B (beda switch, VLAN 10 sama), dan PC-A harus **gagal** ping PC-C (beda VLAN). Kalau PC-A bisa ping PC-C, VLAN-mu belum terpisah — hentikan praktik dan periksa lagi.

🔹 Uji A: port salah VLAN

Pindahkan kabel PC-B dari SW2 Fa0/1 ke Fa0/2. Port Fa0/2 belum pernah dikonfigurasi, jadi masih VLAN 1.

Gejala yang muncul:

  • Lampu port hijau, laptop tetap punya IP `192.168.10.12`.
  • Ping ke PC-A gagal total.
  • Ping ke PC lain di VLAN 1 (kalau ada) berhasil.

Baca buktinya: 

show interfaces status
show vlan brief
show interfaces switchport FastEthernet0/2

Temuan: kolom Vlan pada Fa0/2 berisi `1`, dan `show vlan brief` menampilkan Fa0/2 di daftar VLAN 1 — bukan VLAN 10.

Perbaikan: `interface FastEthernet0/2` → `switchport mode access` → `switchport access vlan 10`.

⚠️ Hati-hati: IP di laptop tidak berubah, jadi pengguna akan bersumpah "jaringan yang rusak, bukan kabel saya". Selalu buktikan lewat sisi switch, jangan lewat cerita pengguna.

🔹 Uji B: VLAN belum ada, port jadi inactive

Di SW1, hapus VLAN 20 sementara port Fa0/11–20 masih diset ke VLAN 20. 

configure terminal
no vlan 20
end
show interfaces status
show vlan brief

Gejala: Fa0/11 berstatus `inactive` (bukan `connected`), dan VLAN 20 hilang dari `show vlan brief`. Di PC-C, ping ke PC-D gagal.

Perbaikan: buat ulang VLAN 20 dengan `vlan 20` dan `name GURU`. Status port kembali `connected` tanpa perlu menyentuh port satu per satu.

💡 Tips: Status `inactive` adalah tanda paling jujur bahwa masalahnya di database VLAN, bukan di kabel. Kalau statusnya `notconnect`, itu urusan kabel atau port mati.

📊 Angka penting: di switch dengan VTP mode client, switch **tidak boleh** membuat VLAN lokal. Mengetik `switchport access vlan 50` untuk VLAN yang tidak ada akan gagal dan port tetap inactive. Di mode server atau transparent, switch justru membuat VLAN otomatis dengan pesan `% Access VLAN does not exist. Creating vlan 50`.

🔹 Uji C: access dan trunk tertukar

Di SW2, ubah Fa0/24 dari trunk menjadi access VLAN 10. 

interface FastEthernet0/24
 switchport mode access
 switchport access vlan 10
end
show interfaces trunk

Gejala: `show interfaces trunk` di SW2 kosong. Ping PC-A ke PC-B gagal. Tapi ping antar-PC di switch yang sama (misalnya PC-A ke PC-C) tetap seperti biasa — dan inilah yang sering menipu: "jaringan separuh jalan".

Perbaikan: kembalikan `switchport mode trunk` di SW2.

⚠️ Hati-hati: kalau satu sisi access dan sisi lain trunk, frame bertag dari sisi trunk akan dibuang oleh port access. Pengecualian yang bikin bingung: trafik native VLAN (default VLAN 1) tetap lewat tanpa tag, sehingga sebagian trafik bisa "kebetulan" lolos.

🔹 Uji D: allowed VLAN di trunk kurang

Kembalikan trunk, lalu di SW2 batasi hanya VLAN 10 dan 999. 

interface FastEthernet0/24
 switchport trunk allowed vlan 10,999
end
show interfaces trunk

Gejala yang khas: VLAN 10 antar-switch **normal**, VLAN 20 antar-switch **mati**. Ping PC-C ke PC-D gagal, tapi PC-C ke PC-A (satu switch) tetap jalan.

Bukti ada di baris `Vlans allowed on trunk` — VLAN 20 tidak tercantum. Perbaikan: `switchport trunk allowed vlan add 20`, atau set ulang daftar lengkap.

📊 Angka penting: bawaan `allowed vlan` adalah `ALL` yaitu 1–4094. Artinya semua VLAN boleh lewat, termasuk yang belum kamu buat. Membatasi daftar ini adalah kebiasaan baik, bukan sekadar kerapian.

🔹 Uji E: native VLAN tidak sama

Di SW2 saja, ubah native VLAN trunk menjadi 99. 

interface FastEthernet0/24
 switchport trunk native vlan 99
end
show interfaces trunk
show logging

Gejala: muncul pesan `%CDP-4-NATIVE_VLAN_MISMATCH: Native VLAN mismatch discovered on FastEthernet0/24 (99), with SW1 FastEthernet0/24 (1).` Trafik data VLAN 10 dan 20 masih jalan, jadi uji ping bisa lolos — kerusakan ini sering tidak terasa sampai ada masalah aneh.

Perbaikan: samakan native VLAN di kedua sisi, misalnya `switchport trunk native vlan 99` di SW1 dan SW2, atau kembalikan keduanya ke 1.

⚠️ Hati-hati: native VLAN mismatch bukan cuma soal rapi-tidak-rapi. Frame tanpa tag dari satu sisi bisa masuk ke VLAN yang berbeda di sisi lain — ini pintu masuk serangan VLAN hopping.

🔹 Uji F: revision number VTP menimpa

Di lab ini VTP sudah `transparent`, jadi aman. Sekarang sengaja uji risikonya di dua switch uji terpisah.

  1. Set SW1 ke `vtp mode server`, domain `LABTKJ`.
  2. Buat VLAN 30, 40, 50 di SW1, lalu catat `show vtp status` → Configuration Revision naik.
  3. Set SW2 ke `vtp mode client`, domain sama, lalu hubungkan trunk.
  4. Hapus VLAN 30 di SW1.

Gejala: VLAN 30 ikut terhapus di SW2 tanpa kamu menyentuhnya. Yang menang adalah revision number yang lebih tinggi, bukan switch yang "lebih benar".

Perbaikan: `vtp mode transparent` di semua switch lab, atau reset revision dengan mengubah domain lalu kembali.

⚠️ Hati-hati: switch bekas dari jaringan lain bisa membawa revision number besar. Begitu dicolok sebagai server, seluruh daftar VLAN jaringanmu bisa terhapus dalam hitungan detik.

🔹 Uji G: `vlan.dat` bukan `startup-config`

Ini uji yang paling sering membuat siswa kehilangan nilai praktik.

  1. Pastikan VLAN 10, 20, 999 ada. Jalankan `copy running-config startup-config`.
  2. Cek `show flash:` — ada file `vlan.dat`.
  3. Hapus file itu: `delete flash:vlan.dat`, konfirmasi, lalu `reload` tanpa menyimpan.
  4. Setelah switch hidup, cek `show vlan brief`.

Gejala: `startup-config` masih lengkap, tapi daftar VLAN hilang dan port kembali inactive. Ini membuktikan definisi VLAN 1–1005 disimpan terpisah di `vlan.dat`.

Perbaikan: buat ulang VLAN, atau pulihkan dari cadangan. Pelajarannya: `copy run start` **bukan** satu-satunya tempat VLAN disimpan.

📊 Angka penting: di switch Catalyst klasik, `erase startup-config` **tidak** menghapus `vlan.dat`. Dua perintah berbeda, dua tempat berbeda.

🔹 Uji H: port mati dan port parkir

  1. Cek port parkir: `show interfaces status` → Fa0/23 harus `disabled`, VLAN 999.
  2. Nyalakan port itu dengan `no shutdown`, lalu colok laptop. Laptop akan mendapat VLAN 999 — bukan VLAN 10.
  3. Matikan lagi, lalu uji port yang error: `show interfaces status err-disabled`.

Gejala: pengguna yang colok ke port parkir akan "dapat kabel, dapat lampu, tidak dapat jaringan". Ini memang tujuannya, tapi wajib terdokumentasi supaya tidak dilaporkan sebagai gangguan.

💡 Tips: beri `description PARKIR-JANGAN-DICOLOK` pada port parkir. Label di konfigurasi lebih dipercaya daripada ingatan orang.

🔹 Lembar hasil uji

| Uji | Gejala di pengguna | Bukti di switch | Perbaikan | |---|---|---|---| | A | Ping gagal, lampu nyala | `show interfaces status` → Vlan 1 | Set access VLAN 10 | | B | Ping gagal | Status `inactive`, VLAN hilang | Buat ulang VLAN 20 | | C | Sebagian jalur mati | `show interfaces trunk` kosong | Kembalikan mode trunk | | D | Hanya satu VLAN mati | `Vlans allowed on trunk` kurang | `allowed vlan add 20` | | E | Sering tanpa gejala | Log `NATIVE_VLAN_MISMATCH` | Samakan native VLAN | | F | VLAN hilang sendiri | Revision number tinggi | `vtp mode transparent` | | G | VLAN hilang setelah reload | `vlan.dat` tidak ada | Buat ulang + cadangkan | | H | Port "hidup" tapi tidak jalan | Status `disabled` | `no shutdown` di port benar |

🔹 Versi Packet Tracer

Di Packet Tracer, semua perintah di atas tersedia, dengan tiga catatan penting:

  • Menu **VLAN** di GUI switch hanya menampilkan VLAN yang sudah dibuat — tidak bisa dipakai untuk membuktikan mode port.
  • Perilaku `vlan.dat` tidak selalu identik dengan switch fisik. Untuk Uji G, lakukan di switch asli atau di lab virtual berbasis IOS.
  • `show interfaces switchport` di beberapa model hanya menampilkan sebagian kolom. Kalau ragu, pakai `show running-config interface Fa0/2` sebagai bukti tambahan.

🧪 Uji cepat: sebelum menutup lab, jalankan `show vlan brief` dan pastikan setiap port yang terpakai muncul di VLAN yang benar, bukan di VLAN 1.

🏭 Dipakai di dunia kerja

  • Sekolah:** lab komputer 32 PC dengan port yang sering ditukar saat perbaikan meja. Tanpa pemeriksaan `show interfaces status`, teknisi mengganti kabel yang sebenarnya sehat, dan ujian berbasis komputer tertunda.
  • Kantor:** lantai dengan VLAN karyawan dan VLAN tamu. Salah native VLAN membuat trafik tamu bocor ke jaringan internal — masalah keamanan, bukan sekadar gangguan.
  • Rumah sakit:** VLAN perangkat medis dipisah dari VLAN tamu. Port yang salah VLAN bisa membuat alat pemantau pasien tidak terkirim datanya tanpa alarm apa pun.
  • ISP dan gedung sewa:** satu trunk melayani banyak penyewa. Allowed VLAN yang salah membuat pelanggan A "hilang" sementara pelanggan lain normal — keluhan yang paling sulit direproduksi.
  • Industri:** jaringan kontrol mesin dipisah dari jaringan kantor. Port parkir dan VLAN khusus mencegah karyawan mencolok laptop ke jalur produksi.
  • Data center:** switch dirakit dari konfigurasi template. Pemeriksaan VLAN dan allowed list sebelum serah terima mencegah kesalahan yang baru terasa berminggu-minggu kemudian.

✅ Verifikasi

Jalankan berurutan, catat hasilnya di lembar kerja: 

show vlan brief
show interfaces status
show interfaces switchport
show interfaces trunk
show vtp status
show spanning-tree vlan 10
show flash:
show logging | include NATIVE

Yang harus benar di akhir praktik:

  • VLAN 10, 20, 999 ada dan berstatus `active`.
  • Semua port terpakai muncul di VLAN yang benar pada `show vlan brief`.
  • Fa0/24 di kedua switch muncul di `show interfaces trunk` dengan native VLAN yang sama.
  • `Vlans allowed on trunk` memuat 10, 20, 999 di kedua sisi.
  • Port parkir berstatus `disabled`.
  • Ping dalam VLAN berhasil, ping antar-VLAN gagal (memang begitu, karena belum ada routing).

⚠️ Kesalahan umum & troubleshooting

| Gejala | Perintah pemeriksa | Penyebab dan perbaikan | |---|---|---| | Ping gagal, lampu nyala | `show interfaces status` | Port di VLAN salah → set `switchport access vlan` | | Status port `inactive` | `show vlan brief` | VLAN belum ada atau dihapus → buat ulang VLAN | | Status port `notconnect` | `show interfaces status` | Kabel/port mati → ganti kabel atau `no shutdown` | | Status port `disabled` | `show interfaces status` | Port di-`shutdown` atau port parkir → nyalakan bila memang dipakai | | VLAN antar-switch mati | `show interfaces trunk` | Mode trunk tidak terbentuk → periksa kedua sisi | | Hanya satu VLAN mati | `Vlans allowed on trunk` | Allowed list kurang → `add <vlan>` | | Log `NATIVE_VLAN_MISMATCH` | `show interfaces trunk` + `show logging` | Native VLAN beda → samakan kedua sisi | | VLAN hilang serentak | `show vtp status` | Revision number lebih tinggi menimpa → `vtp mode transparent` | | VLAN hilang setelah reload | `show flash:` | `vlan.dat` terhapus → buat ulang dan cadangkan | | Port tidak mau jadi trunk | `show interfaces switchport` | Encapsulation `negotiate` gagal → set `switchport trunk encapsulation dot1q` | | Perubahan tidak bertahan | `show running-config` | Belum `copy run start` → simpan |

🔐 Catatan keamanan & etika

  • VLAN adalah pemisahan logika, **bukan** firewall. Dua VLAN tetap bisa saling tembus kalau ada router tanpa ACL di antaranya.
  • Native VLAN yang tidak sama, ditambah DTP yang dibiarkan aktif, adalah resep VLAN hopping. Matikan negosiasi dengan `switchport nonegotiate` dan pakai native VLAN khusus yang tidak dipakai user.
  • Jangan memakai VLAN 1 untuk data pengguna. VLAN 1 tidak bisa dihapus dan membawa trafik kontrol.
  • Port parkir harus `shutdown`, bukan hanya dimasukkan VLAN lain. Port yang hidup di VLAN khusus tetap bisa dipakai menyusup.
  • Praktik hanya di lab milik sendiri atau lab sekolah dengan izin guru. Menguji konfigurasi VLAN di jaringan orang lain termasuk pelanggaran, walau niatnya hanya "mencoba".

📌 Kesimpulan

VLAN yang benar bukan yang konfigurasinya panjang, tapi yang **bisa dibuktikan** lewat tiga pemeriksaan: port ada di VLAN yang benar, mode port sesuai, dan VLAN-nya aktif.

Delapan uji di atas sengaja membuat kesalahan yang paling sering terjadi di lapangan. Kalau kamu sudah bisa menebak penyebabnya dari gejala dan membuktikannya dengan satu perintah, keterampilan itu jauh lebih berharga daripada hafal urutan menu.

Langkah berikutnya: pelajari **Trunk & Inter-VLAN Routing (router-on-a-stick)** — cara membuat VLAN yang terpisah tetap bisa saling berkomunikasi secara terkendali.

🔗 Materi terkait

📚 Referensi

Retrieved from "https://noctkj.net/index.php?title=Cisco_:_Praktikum_Uji_VLAN_dan_Diagnosa_Port_Salah_Anggota&oldid=1472"