Belajar Network Engineer - Switching & VLAN

#Pendahuluan

Setelah di episode 3 kalian bisa merancang ruang alamat, sekarang kita masuk ke perangkat yang paling banyak kalian sentuh sebagai network engineer: switch. Hampir semua keluhan user ("internet lambat", "kadang nyambung kadang tidak") bermula di Layer 2 — dan hampir semua kekacauan terbesar dalam sejarah jaringan korporat adalah loop spanning-tree.

Episode ini menutup fondasi switching: mekanisme MAC learning, STP penyelamat dari loop, lalu konsep yang dipakai setiap hari — VLAN, trunk 802.1Q, dan Link Aggregation — ditutup praktik konfigurasi untuk desain kantor kita.

#Cara Kerja Switch Layer 2

Switch punya tiga aksi terhadap frame masuk, ditentukan oleh isi tabel MAC (CAM table):

1. Forward: tujuan sudah dikenal di port lain → kirim hanya ke port itu.
2. Flood: tujuan belum dikenal atau alamat broadcast/multicast → kirim ke semua port (kecuali port asal).
3. Filter: tujuan ada di port yang sama dengan pengirim → buang frame.

Proses belajarnya sederhana namun elegan:

Frame masuk dari port Gi0/2 dengan source MAC AA:BB → catat {AA:BB → Gi0/2}
Tujuan CC:DD belum ada di tabel                      → flood ke semua port lain
Reply balik dari CC:DD via port Gi0/5                → catat {CC:DD → Gi0/5}
Sekarang trafik AA:BB ↔ CC:DD mengalir unicast saja  → efisien

Entri tabel MAC menua (default 300 detik) lalu dihapus. Verifikasi langsung di lab kalian:

show mac address-table dynamic

#Spanning Tree Protocol: Penjaga dari Loop

#Kenapa Loop Layer 2 Fatal

Ethernet tidak punya field TTL seperti IP. Dua link aktif antar dua switch menciptakan jalur melingkar; broadcast frame berputar tanpa akhir, dikalikan flood tiap switch. Hasilnya broadcast storm: CPU switch maksimal, bandwidth habis, seluruh VLAN mati dalam hitungan detik.

#Cara Kerja STP

STP (IEEE 802.1D) secara dinamis mematikan link redundan secara logis (blocked) sambil menyimpannya sebagai cadangan. Alurnya:

1. Pilih Root Bridge — switch dengan Bridge ID terendah (priority + MAC).
2. Tiap switch non-root cari Root Port — jalur termurah ke root.
3. Tiap segmen pilih Designated Port — port yang meneruskan trafik di segmen itu.
4. Sisa port menjadi blocked — standby mencegah loop.

Jika link aktif mati, STP membuka port blocked — jaringan pulih sendiri. Varian yang akan kalian temui:

Praktik wajib: pastikan root bridge jatuh di switch distribusi/core, bukan switch akses — kalau tidak, jalur trafik jadi panjang dan tak terduga:

spanning-tree vlan 10,20,30 priority 4096

Dan di port menghadap end device, aktifkan akselerasi + proteksi:

interface gi1/0/10
 spanning-tree portfast

#VLAN: Satu Switch, Banyak Jaringan

Tanpa VLAN, 120 user kantor berbagi satu broadcast domain — storm virus menular ke semua, tamu Wi-Fi bisa scan server. VLAN memecah satu switch fisik menjadi banyak switch logis: tiap VLAN = domain broadcast terpisah, tiap VLAN = subnet IP tersendiri (sesuai IP plan episode 3).

Konfigurasi untuk desain kantor kita — ini file config kontekstual, layak dinomori:

vlan 10
 name STAFF-LT1
vlan 20
 name VOICE
vlan 99
 name MANAGEMENT
!
interface range gi1/0/1-24
 description ACCESS-STAFF-LT1
 switchport mode access
 switchport access vlan 10
 switchport voice vlan 20
 spanning-tree portfast
 spanning-tree bpduguard enable
!
interface gi1/0/47
 description UPLINK-DIST-1
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk allowed vlan 10,20,99

Baris 14-17 adalah pola access port standar: satu VLAN data + VLAN voice terpisah untuk IP phone, dengan proteksi edge. Baris 21 membatasi VLAN yang boleh lewat trunk — prinsip least privilege juga berlaku di Layer 2.

#Trunking 802.1Q

Bagaimana frame VLAN 10 dari switch akses sampai ke distribusi? Lewat trunk: satu link fisik membawa banyak VLAN, tiap frame diberi tag 4-byte 802.1Q berisi VLAN ID (12 bit → maksimum 4094 VLAN).

Dua hal yang sering bikin insiden:

• Native VLAN: VLAN tanpa tag (default 1). Native VLAN harus sama di kedua ujung — ketidaksamaan menyebabkan traffic bocor antar-VLAN. Best practice: set native VLAN ke VLAN dummy tak terpakai, atau paksa tagging.
• Allowed VLAN list: jangan pernah allowed vlan all di produksi; daftar eksplisit mencegah VLAN baru bocor tanpa sadar.

Verifikasi trunk:

show interfaces trunk
show interfaces gi1/0/47 switchport

#Prinsip Desain: Local VLAN vs End-to-End

Dua filosofi penempatan VLAN:

• Local VLAN (rekomendasi modern): VLAN hidup di cakupan kecil (satu lantai), routing terjadi di distribution. Domain kegagalan kecil, mudah diprediksi.
• End-to-end VLAN: VLAN membentang lintas gedung "biar gampang". Domain broadcast raksasa, STP rumit — hindari kecuali aplikasi legacy memaksa.

#Link Aggregation (EtherChannel/LACP)

Satu uplink 1 Gbps kurang? Beli link 10 Gbps mahal? Jawaban tengahnya: gabungkan beberapa link fisik menjadi satu logical link — bandwidth teragregasi, dan gagalnya satu anggota tidak memutus koneksi (STP melihatnya sebagai satu link sehingga anggota lain tetap aktif).

Selalu pakai protokol negosiasi LACP (802.3ad), bukan mode on statis, supaya misconfig terdeteksi:

interface range gi1/0/47-48
 channel-group 1 mode active
interface po1
 switchport mode trunk
 switchport trunk allowed vlan 10,20,99

mode active membuat sisi ini menginisiasi LACP; sisi lawan cukup passive atau active.

#Common Pitfalls

• Root bridge di switch akses — hasilnya jalur forwarding panjang dan failover tak terduga; selalu set priority rendah di distribusi.
• Native VLAN mismatch — gejalanya samar: trafik antar VLAN tertentu hilang atau "nyasar"; audit dengan show interfaces trunk di kedua ujung.
• Lupa switchport mode access — port biarkan auto-negotiate trunk (DTP); attacker bisa memaksa trunk untuk sniff semua VLAN. Matikan DTP dengan switchport nonegotiate.
• Loop "kecil" saat maintenance — menyambung kabel patch antar switch tanpa sadar menciptakan loop; storm berikutnya menyusul dalam detik. Selalu cek log STP setelah pekerjaan fisik.

#Penutup

Inti yang harus dibawa pulang:

• Switch forward/flood/filter frame berdasarkan CAM table; entri belajar dari source MAC dan menua otomatis.
• Loop Layer 2 = broadcast storm karena Ethernet tanpa TTL; STP mencegahnya dengan memblokir jalur redundan secara logis — pastikan root bridge di distribusi.
• VLAN memisahkan broadcast domain per fungsi; trunk 802.1Q membawa banyak VLAN dalam satu link — jaga native VLAN dan allowed list.
• LACP menggabungkan link untuk bandwidth + redundansi sekaligus.

Di episode 5 selanjutnya kita naik ke Layer 3: routing — bagaimana router memilih jalur, static vs dynamic routing, kenapa OSPF menjadi workhorse enterprise, dan praktik setup OSPF multi-area lengkap dengan verifikasinya. Sampai jumpa!