Технологии, применяемые при построении сетей на основе коммутаторов D-Link Основной функционал Дёмин Иван, консультант по проектам

Дополнительное деление сетевых сегментов для уменьшения трафика и перегрузок Логические группы в LAN VLAN подобны широковещательным доменам Обеспечение безопасности и разделения доступа к ресурсам Виртуальные Локальные Сети - VLAN VLAN на базе портов VLAN на базе меток IEEE 802.1q VLAN на базе протоколов IEEE 802.1v Типы VLAN

802.1q – VLAN на базе меток

Преимущества IEEE 802.1q VLAN Гибкость и удобство настройки и изменения Возможность работы протокола Spanning Tree Возможность работы с сетевыми устройствами, которые не распознают метки Устройства разных производителей, могут работать вместе Не нужно применять маршрутизаторы, чтобы связать подсети

Маркированные кадры-Tagged Frame Max. Размер маркированного кадра Ethernet 1522 байт Немаркированный кадр это кадр без VLAN маркера DASATaggedDataCRC Priority VID CFI 12-бит VLAN маркер Идентифицирует кадр, как принадлежащий VLAN

VID и PVID VID (VLAN Identifier) 12-bit часть VLAN маркера Указывает какая VLAN 12 бит определяет 4096 VLANов VID 0 и VID 4095 зарезервированы PVID (Port VID) Ассоциирует порт с VLAN Например, Порту с PVID 3, предназначены все немаркированные пакеты VLAN 3

Правила коммутации маркированных & немаркированных портов (Входящие данные) Прием данных с маркером –Проверка маркировки VID –Коммутация кадра на определенную VLAN группу Прием данных без маркера –Проверка его PVID –Коммутация кадра на определенную VLAN группу

Правила коммутации маркированных & немаркированных портов (Исходящие данные) Исходящий порт – маркированный порт –Маркировка кадра –Для идентификации кадра как принадлежащего VLAN группе Исходящий порт – немаркированный порт –Удаление маркера

Выходящие (Egress) порты Установка портов, передающих трафик в VLAN похожа на маркированные и немаркированные кадры Это означает, что VLAN кадры могут передаваться (выходить) через выходящие порты. Таким образом, порт, принадлежащий VLAN, должен быть Выходящим (Egress) портом (E)

Маркированный входящий пакет (Часть 1) Входящий пакет назначен для VLAN 2 потому, что в пакете есть маркер принадлежности Порт 5 маркирован как Выходящий для VLAN 2 Порт 7 не маркирован как Выходящий для VLAN 2 Пакеты перенаправляются на порт 5 с маркером Пакеты перенаправляются на порт 7 без маркера

Маркированный входящий пакет (Часть 2) Маркированный пакет останется без изменений Маркированный пакет потеряет маркер, т.к. он уйдет с коммутатора через немаркированный порт

Немаркированный входящий пакет (Часть 1) PVID порта 4 -> 2 Входящий немаркированный пакет назначен на VLAN 2 Порт 5 маркированный Выходящий VLAN 2 Порт 7 немаркированный Выходящий VLAN 2 Пакеты с порта 4 перенаправляются на порт5 с маркером Пакеты с порта 4 перенаправляются на порт7 без маркера

Немаркированный входящий пакет (Часть 2) Немаркированный пакет маркируется, т.к.он выходит через маркированный порт VID связан с PVID входящего порта Немаркированный пакет не изменен, т.к. выходит через немаркированный порт.

VLAN A : Computer A1, A2, A3 & A4 Switch X VID : 2 Tag Egress : Port 5 Untag Egress : Port 1 & 2 Port 1 & 2 assign PVID = 2 Switch Y VID : 2 Tag Egress : Port 1 Untag Egress : Port 2 & 3 Port 2 & 3 assign PVID = 2 VLAN B : Computer B1, B2, B3 & B4 Switch X VID : 3 Tag Egress : Port 5 Untag Egress : Port 3 & 4 Port 3 & 4 assign PVID = 3 Switch Y VID : 3 Tag Egress : Port 1 Untag Egress : Port 4 & 5 Port 4 & 5 assign PVID = Switch Y Switch X A1A2A2 B1B2A3A3 A4A4 B3B4 Разделение сети, построенной на 2-х коммутаторах на две VLAN

Ассиметричные VLAN для сетевых серверных приложений с использованием коммутатора L2

Сетевые серверные приложения и приложения с доступом в Internet Общие серверы (Почтовый сервер, файловый сервер, сервера доступа в Internet) должны быть доступны различным группам пользователей, но доступ между группами должен быть закрыт (для повышения производительности или из соображений безопасности) Решения на уровне L2: Ассиметричные VLAN или сегментация трафика Решение на уровне L3: Коммутация L3 + ACL для ограничения доступа между. Серверы V2V3V4

12345 B1B2C1C2 File Server VLAN B Computer : B1, B2 & File Server VID : 1 Untag Egress : Port 1, 2 & 3 Port 1 & 2 assign PVID = 1 VLAN C Computer : C1, C2 & File Server VID : 2 Untag Egress : Port 3, 4 & 5 Port 4 & 5 assign PVID = 2 VID : 3 Untag Egress : Port 1, 2, 3, 4 & 5 Port 3 assign PVID = 3 VLAN A Computer : B1, B2, C1, C2 & File Server Деление сети на две VLAN с предоставлением общего файл-сервера

V1: порты 1-8, нетегированные Общий(ие) сервер(ы) или шлюз Internet V2: порты 9-16, нетегированные Пользователи VLAN2 (PC или концентратор/коммутатор) V3: порты 17-24, нетегированные Пользователи VLAN3 (PC или концентратор/коммутатор) Задание и требования: 1.V2 и V3 имеют доступ в V1 для обращения к общим серверам (IPX, IP той же подсети, AppleTalk, NetBEUI и т.д.) 2.V2 и V3 имеют возможность обращения к шлюзу Internet для доступа к ресурсам Internet с использованием IP-адресов той же подсети. 3.Не должно быть доступа между V2 и V3. V x Шлюз V x Шлюз V1, Серверы x V1, Шлюз Internet ISP Пример 1: Ассиметричные VLAN

enable asymmetric_vlan create vlan v2 tag 2 create vlan v3 tag 3 config vlan v2 add untagged 1-16 config vlan v3 add untagged 1-8,17-24 config gvrp 1-8 pvid 1 config gvrp 9-16 pvid 2 config gvrp pvid 3 save Настройки PVID и VLAN: порты =============================== pvid VLAN defaultE..EE..EE..E (V1)U..UU..UU..U V2E..EE..E-..- U..UU..U-..- V3E..E-..-E..E U..U-..-U..U Тест: 1.PC в V2 имеет доступ (ping) к серверам V1 и к сети Internet. 1PC в V3 имеет доступ (ping) к серверам V1 и к сети Internet. 2PC в V2 не имеет доступа к PC в V3, и PC в V3 не имеет доступа к PC в V2. Пример 1: Ассиметричные VLAN

Ограничения ассиметричных VLAN Функция IGMP Snooping не работает при использовании ассиметричных VLAN. Решение: Коммутация L3 + ACL + Протокол маршрутизации групповых сообщений + IGMP snooping

802.1v – VLAN на базе портов и протоколов

Стандартизирован IEEE v это расширение 802.1Q (VLAN на основе портов) для предоставления возможности классификации пакетов не только по принадлежности порту, но также и по типу протокола канального уровня. Это означает, что 802.1v VLAN классифицирует пакеты по протоколу и по порту. Описание 802.1v

Тегирование кадров 802.1v Формат тегов кадров 802.1v такой же как и у 802.1q. Это, 32-х битное поле (VLAN Tag) в заголовке кадра, которое идентифицирует кадр по принадлежности к определенному VLAN или по приоритету. Максимальный размер тегированного кадра Ethernet байтов ( байта тега). Кадр без тега называется нетегированным кадром или просто кадром. DASATaggingDataCRC Priority VID CFI DASADataCRC Обычный (или нетегированный) кадр 802.1q/1p тегированный кадр Priority (1p) - 3 бита, 0-7. VID (1q/1v) - 12 бит, p.1q/1v

802.1q VLAN на основе портов (выводы) Ingress (входящий кадр): При получении тегированного кадра, значения VID/priority не меняются. При получении нетегированного кадра, добавляется тег с VID=PVID and приоритетом = приоритету по умолчанию 802.1p Внутри коммутатора (все кадры тегированы) Для VLAN, основываясь на VID, свериться с таблицей VLAN и перенаправить кадр только на порты в этом VLAN. Для priority, основываясь на заданном классе обслуживания, обработать кадр в соответствии с заданным приоритетом. Egress (исходящий кадр): Нетегированный выходной порт: Убрать тег. Тегированный выходной порт: Не менять информацию в теге так, чтобы информация 1p/1q могла быть передана на следующий, поддерживающий 802.1p/q, коммутатор.

802.1v VLAN на основе портов и протоколов (выводы) Ingress (входящий кадр): Если получен тегированный кадр, значения VID/priority остаются неизменными, в противном случае Если получен нетегированный кадр –Если тип протокола в кадре соответствует типу VLAN на основе протоколов на этом порту, VID= (VID этого VLAN на основе протоколов). –Если поля «тип протокола» нет, VID=PVID входящего порта. Добавить тег с VID и приоритетом по умолчанию 802.1p входного порта к кадру. Внутри коммутатора (все кадры тегированы) Для VLAN, основываясь на VID, свериться с таблицей VLAN и перенаправить кадр только на порты в этом VLAN. Для priority, основываясь на заданном классе обслуживания, обработать кадр в соответствии с заданным приоритетом. Egress (исходящий кадр): Нетегированный выходной порт: Убрать тег. Тегированный выходной порт: Не менять информацию в теге так, чтобы информация 1p/1q могла быть передана на следующий, поддерживающий 802.1p/q, коммутатор.

тегирован? да VID = vid тега нет поддерживает VLAN на основе протоколов? да Назначить VID исходя из протокола и порта нет VID = PVID Правило классификации VLAN тегирован? да VID = vid тега нет VID = PVID 802.1Q VLAN на основе портов Входящий кадр 802.1v VLAN на основе портов и протоколов

Поддерживаемые серией xStack типы протоколов Коммутатор поддерживает пятнадцать (15) предопределённых протоколов для настройки VLAN на основе протоколов. Пользователь также может выбрать свой протокол (не входящий в эти пятнадцать) сконфигурировав userDefined VLAN на основе протоколов. Поддерживаемыми типами протоколов для этих коммутаторов являются: IP, IPX, DEC, DEC LAT, SNAP, NetBIOS, AppleTalk, XNS, SNA, IPv6, RARP и VINES. protocol-ip, protocol-ipx802dot3 protocol-ipx802dot2 protocol-ipxSnap protocol-ipxEthernet2 protocol-appleTalk protocol-decLat protocol-decOther protocol-sna802dot2 protocol-snaEthernet2 protocol-netBios protocol-xns protocol-vines protocol-ipV6 protocol-rarp protocol-userDefined Возможна настройка до 7 VLAN на основе протоколов на каждом порту Полный список:

Задание: Порты 1-8 – это IPv6 VLAN на основе протоколов. Пользователи в этом VLAN используют протокол IPv6. В этом VLAN должны присутствовать только пакеты IPv6, а пакеты других протоколов, включая IPv4, должны отбрасываться, чем обеспечивается более высокая производительность и уровень безопасности. Пользователи IPv6 НЕ МОГУТ взаимодействовать с другими подсетями. Пользователи протокола IP x/24 Шлюз Сервер IP, x/24 Шлюз IPv6 VLAN на основе протоколов Пользователи IPv6 IPv6 VLAN Подсеть 2 Подсеть DGS-3324SR Пример 1 – Выделенный VLAN на основе протоколов

На DGS-3324SR 1. Удалить порты из default vlan. config vlan default delete 1:1-1:24 2. Создать VLAN, добавить в него соответствующие порты, а затем создать IP- интерфейс в этом VLAN. create vlan v101 tag 101 type protocol-ipV6 config vlan v101 add untagged 1-8 create vlan v102 tag 102 config vlan v102 add untagged 9-16 create ipif net /24 v102 state enabled create vlan v104 tag 104 config vlan v104 add untagged create ipif net /24 v104 state enabled На компьютерах пользователей 1.Для пользователей IPv4 подсетей 2 и 4, задать IP-адреса, маску соответствующей IP сети. Шлюз = IP-интерфейс DGS-3324SR. 2.Пользователи протокола IPv6 в своём VLAN используют конфигурацию IPv6. Пример 1 – Выделенный VLAN на основе протоколов

Пользователи протокола IP x/24 Шлюз Сервер IP, x/24 Шлюз Пользователи двух протоколов, IP и IPX x/24 Шлюз Подсеть 1 Подсеть 2 Подсеть Задание: Пользователи Подсети 1 (порты 1-8) используют два протокола. Пользователь может получить доступ к серверу IP (в Подсети 4) посредством IP-маршрутизации между подсетями (L3) и доступ к серверу IPX (на порту 24) через VLAN на основе протокола IPX (L2). DGS-3324SR Сервер/клиент IPX Пример 2 – Пользователи нескольких протоколов IPX-трафик проходит через VLAN на основе протокола IPX, L2. IP-трафик маршрутизируется между двумя VLAN на базе портов, L3.

На DGS-3324SR 1. Удалить порты из default vlan. config vlan default delete 1:1-1:24 2. Создать VLAN, добавить в него соответствующие порты, а затем создать IP-интерфейс в этом VLAN. create vlan v101 tag 101 config vlan v101 add untagged 1-8 create ipif net /24 v101 state enabled create vlan v102 tag 102 config vlan v102 add untagged 9-16 create ipif net /24 v102 state enabled create vlan v104 tag 104 config vlan v104 add untagged create ipif net /24 v104 state enabled ## создать VLAN на основе протокола IPX так, чтобы с портов 1-8 пользователи могли обращаться к серверу IPX на порт 24 create vlan v200 tag 200 type protocol-ipx802dot3 config vlan v200 add untagged 1-8, 24 На компьютерах пользователей двух протоколов 1. В ручную задать IP-адрес и маску для соответствующей IP-подсети. 2. Шлюз = IP-интерфейс DGS-3324SR 3. Настройки на сетевой карте, связанные с IPX (разрешить IPX/SPX протокол, режим клиента и т.д.). Пример 2 – Пользователи нескольких протоколов

LAN PPPoE Internet DHCP server Vlan 10 Vlan 20 Vlan 10, 20 Пользователи общаются между собой по vlan 20 и имеют доступ в Интеренет через PPPoE сервер, находящийся в vlan 10 Пример 4: PPPoE

#VLAN config vlan default delete 1-28 create vlan pppoe tag 20 config vlan pppoe add untagged 1-24 config vlan pppoe add tagged 26 create vlan base tag 10 config vlan base add tagged 26 config vlan base add untagged 1-24 #PVID config port_vlan 1-24 pvid 20 #DOT1V create dot1v_protocol_group group_id 1 group_name pppoe_disc config dot1v_protocol_group group_id 1 add protocol ethernet_ create dot1v_protocol_group group_id 2 group_name pppoe_session config dot1v_protocol_group group_id 2 add protocol ethernet_ config port dot1v ports 1-24 add protocol_group group_id 1 vlan pppoe config port dot1v ports 1-24 add protocol_group group_id 2 vlan pppoe Настройки

Приоритеты 802.1p и QoS – качество обслуживания

Стандарт IEEE 802.1p определяет приоритет пакета при помощи тэга в его заголовке. Можно задать до 8 уровней приоритета от 0 до 7. Уровень 7 определяет самый высокий приоритет. Коммутаторы поддерживают 4 очереди Class of Service на каждом порту. Для маркированных пакетов приоритет может быть изменен на одну из четырех очередей CoS. Для немаркированных пакетов приоритет выставляется исходя из приоритета, выставленного на данном порту. Протокол IEEE 802.1P

Как работает 802.1p Приоритет : Очередь : Порт : Class-0Class-1Class-2Class ……………………………. 4 очереди приоритета

Используется для того, чтобы добавить тег 802.1p/1q к нетегированному входящему кадру. Приоритет по умолчанию для каждого порта равен 0. Приоритет по умолчанию 802.1p DGS-3324SR:4# show 802.1p default_priority Command: show 802.1p default_priority Port Priority :1 0 1:2 0 1:30 Пример: Поменять приоритет по умолчанию для портов 1-4 на 7: config 802.1p default_priority 1-4 7

Используется для ассоциации пользовательского приоритета 802.1p входящего кадра с одной из аппаратных очередей приоритетов на коммутаторе. Замечание: 1p = 7 обычно соответствует самой приоритетной очереди, но 1p = 0 не обязательно означает очереди с самым низким приоритетом. Приоритет кадра внутри коммутатора определяется тем, к какой очереди он приписан, а не приоритетом 1p. Пользовательский приоритет 802.1p DGS-3324SR:4# show 802.1p user_priority COS Class of Traffic Priority-0 -> Priority-1 -> Priority-2 -> Priority-3 -> Priority-4 -> Priority-5 -> Priority-6 -> Priority-7 -> config 802.1p user_priority DES-3526:4# show 802.1p user_priority COS Class of Traffic Priority-0 -> Priority-1 -> Priority-2 -> Priority-3 -> Priority-4 -> Priority-5 -> Priority-6 -> Priority-7 ->

Обработка приоритетов производится в соответствии с одним из методов, строгий или по весу. При строгом методе, кадры в очередях с высоким приоритетом обрабатываются первыми. Только тогда, когда эти очереди пусты, могут быть обработаны кадры с более низким приоритетом. Кадры с высоким приоритетом всегда получают предпочтение независимо от количества кадров в других очередях в буфере и времени, прошедшего с момента передачи последнего кадра с низким приоритетом. По умолчанию коммутатор настроен как раз на этот режим. Проблема: Пакеты в очередях с низким приоритетом могут долго не обрабатываться. Обработка приоритетов - Строгий режим (Strict Priority)

Для использования обработки приоритетов по весу, восемь очередей приоритета в коммутаторе могут быть сконфигурированы в взвешенном круговом режиме (WRR) так, чтобы кадры в буфере надолго не задерживались – обработка начинается с очереди с наивысшим приоритетом, потом переходит к более низкому и т.д., а в конце возвращается к наивысшему приоритету, и всё повторяется опять. Такой режим исключает главный недостаток строгого режима. Очередь с минимальным приоритетом уже не страдают от переполнения, поскольку всем очередям предоставляется часть пропускной способности для передачи. Это достигается заданием максимального числа кадров, которые можно передать из данной очереди приоритетов, перед тем как перейти к следующей. Это устанавливает класс обслуживания (Class of Service (CoS)) для каждой из 8-ми очередей коммутатора. Команда config scheduling может быть использована для настройки взвешенного кругового режима (WRR), который сокращает все 8 очередей приоритетов на коммутаторе. Для использования этой схемы, параметры max_packets не должны иметь значение 0. Параметр max_packet задаёт максимальное количество кадров в определённой очереди, которое может быть передано за один раз (цикл). Это обеспечивает поддержку CoS, между тем даёт возможность передавать кадры из всех очередей. Это значение можно изменять в диапазоне от 0 до 15 кадров для каждой очереди приоритетов. config scheduling {max_packet } Обработка приоритетов – Взвешенный круговой режим (Weighted Round-Robin)

802.1p Пример 1/2 Задача: На компьютерах B и D запущены приложения VoIP, и им необходимо более высокое качество обслуживания (QoS) чем другим станциям с обычными приложениями. Как: Посредством настройки портов, к которым подсоединены компьютеры с VoIP приложениями на приоритет 1p = 7 с умолчальными соответствиями 1p очередям приоритета и режимом обработки приоритетов, входящий кадр VoIP будет соответствовать классу обслуживания 3 и будет иметь более высокий приоритет, чем остальные кадры с других портов (1p = 0, класс 1) на обоих Des3526_1 и Des3526_2. T T U U U U B VoIP D VoIP A C DES3526_A DES3526_B

802.1p Пример 2/2 Конфигурация DES-3526_A 1.Перевести порт, соединяющий Des-3526_1 и 2 из untagged в tagged так, чтобы приоритеты 1p смогли быть переданы между коммутаторами. config vlan default delete 1 config vlan default add tagged 1 1.Поменять приоритет по умолчанию порта 23, к которому подключёно устройство VoIP, с 0 на 7. config 802.1p default_priority ports Пользовательский приоритет и метод обработки остаются по умолчанию. Конфигурация DES-3526_B 1.Перевести порт, соединяющий Des-3526_1 и 2 из untagged в tagged так, чтобы приоритеты 1p смогли быть переданы между коммутаторам. config vlan default delete 1 config vlan default add tagged 1 1.Поменять приоритет по умолчанию порта 24, к которому подключёно устройство VoIP, с 0 на 7. config 802.1p default_priority ports Пользовательский приоритет и метод обработки остаются по умолчанию.

Сегментация трафика

Сегментация трафика служит для разграничения доменов на уровне 2. Данная функция позволяет настраивать порты таким образом, чтобы они были изолированы друг от друга, но в то же время имели доступ к разделяемым портам, используемым для подключения сервером и магистрали сети провайдера. Данная функция может быть использована при построении сетей провайдеров.

Сегментация трафика Все компьютеры (ПК 1 – ПК 23) имеют доступ к порту uplink, но не имеют доступа друг к друг на уровне 2 Решение можно использовать для: в проектах ETTH для изоляции портов для предоставления доступа к общему серверу ETTH

V x Шлюз V x Шлюз V1, Серверы x V1, Шлюз Internet ISP V1: порты 1-8 Общий(ие) сервер(ы) V2: порты 9-16 Пользователи VLAN2 (PC или концентратор/коммутатор) V3: порты Пользователи VLAN3 (PC или концентратор/коммутатор) Задание и требования : 1.V2 и V3 имеют доступ к серверам V1 (IPX, IP той же подсети, AppleTalk, NetBEUI и т.д.) 2.V2 и V3 имеют возможность обращения к шлюзу Internet для доступа к ресурсам Internet с использованием IP-адресов той же подсети. 3.Не должно быть доступа между V2 и V3. Сегментация трафика

config traffic_segmentation 1-8 forwarding_list 1-24 config traffic_segmentation 9-16 forwarding_list 1-16 config traffic_segmentation forwarding_list 1-8,17-24 Конфигурация DES-3526

S1 порты 1-4: G1, нетегированные Общий(ие) сервер(ы) и шлюз Internet S1 порты 5-8, S2 порты 1-2, нетегированные для связи с другими коммутаторами S1 порты 9-16: G2, нетегированные Пользователи группы G2 (PC или концентратор/коммутатор) S1 порты 17-24: G3, нетегированные Пользователи группы 3 (PC или концентратор/коммутатор) S2 порт 1: uplink порт S2 порты 3-16: G4, нетегированные Пользователи группы 4 (PC или концентратор/коммутатор) S2 порты 17-24: G5, нетегированные Пользователи группы 5 (PC или концентратор/коммутатор) Задачи и требования : 1.Все группы (G2 - G5) имеют доступ к общим серверам shared (IPX, IP, AppleTalk и т.д.) или к шлюзу Internet в G1. 2.Не должно быть доступа между G2, G3, G4, G5. Пример: Сегментация трафика с двухуровневой иерархией G x Шлюз G x Шлюз G1, Серверы x G1, Шлюз Internet ISP U U G x Шлюз G x Шлюз S1 S2

config traffic_segmentation 1-4 forwarding_list 1-24 config traffic_segmentation 5 forwarding_list 1-5 config traffic_segmentation 9-16 forwarding_list 1-4, 9-16 config traffic_segmentation forwarding_list 1-4, Конфигурация S1 (Центральный коммутатор) config traffic_segmentation 1 forwarding_list 1-24 config traffic_segmentation 2-16 forwarding_list 1-16 config traffic_segmentation forwarding_list 1,17-24 Конфигурация S2 (Оконечный коммутатор)

Иерархическая сегментация трафика для изоляции портов NAT Srv … … … Internet … Коммутатор A (центральный) Коммутатор B A B C D …E F G H I J L M N O P 1) Все компьютеры (A - U) не должны иметь доступ по сети друг к другу. 2) Все компьютеры (A - U) должны иметь доступ к серверам и маршрутизатору. 3) Все коммутаторы - DES ) В сети используются IP-адреса из одной подсети (компьютеры, серверы и внутренний интерфейс маршрутизатора). Коммутатор C Коммутатор D … Q R S T U Коммутатор E Srv2Srv3

Конфигурация Коммутатор A (центральный) Коммутаторы B, C, D, E,… (другие) config traffic_segmentation 1-4 forwarding_list 1-26 config traffic_segmentation 5 forwarding_list 1-5 config traffic_segmentation 6 forwarding_list 1-4,6 config traffic_segmentation 7 forwarding_list 1-4,7 (повторить для всех портов связи с нижестоящими коммутаторами) config traffic_segmentation 1 forwarding_list 1-26 config traffic_segmentation 2-24 forwarding_list 1

Ассиметричные VLAN Необходимо глубокое понимание 802.1q VLAN Пользователи VLAN могут быть распределены между несколькими устройствами, и сервер может находиться в любом месте. Нужна поддержка расширения стандарта 802.1q (перекрывающиеся нетегированные VLAN) Может не поддерживать IGMP snooping Максимальное количество VLAN ограничено Сегментация трафика Просто, не нужно знание технологии VLAN. Пользователи VLAN не могут быть распределены между устройствами. Работает IGMP snooping. Сегментация трафика может иметь иерархичную структуру. Нет ограничений на номер VLAN. Общие серверы должны быть подключены к центральному коммутатору (при использовании иерархичной структуры) Ассиметричные VLAN по сравнению с сегментацией трафика

Протоколы «покрывающего дерева» Spanning Tree Protocols 802.1d (STP) 802.1w (RSTP) 802.1s (MSTP)

Протокол Spanning Tree Зачем нужен протокол Spanning Tree? Исключение петель Резервные связи Версии: IEEE 802.1d Spanning Tree Protocol, STP IEEE 802.1w Rapid Spanning Tree Protocol, RSTP IEEE 802.1s Multiple Spanning Tree Protocol, MSTP

Что такое сетевая петля L2 Коммутаторы (L2), объединённые в кольцо, образуют одну или несколько сетевых петель Пример 1 Пример 2Пример 3 Широковещательный пакет Примечание: Коммутаторы в этих примерах являются устройствами L2, VLAN на них не настроены, и протокол Spanning Tree не включен. Проблема: В сети L2 Ethernet не допускаются петли. Если они есть, то это может вызвать Широковещательный шторм (Broadcast Storm).

Исключение петель Широковещательный пакет Решение: Протокол Spanning Tree (STP, RSTP, MSTP) может исключить петлю или петли. Широкове щательный пакет Протокол Spanning Tree Широкове щательный пакет Блокируется порт для исключения петли Разрыв петли

Если происходит отказ основной линии, протокол Spanning Tree может включить заблокированный порт для обеспечения резервного пути. Широкове щательный пакет Протокол Spanning Tree Заблокированная линия могла быть резервной Резервная(ие) связь(и) Широкове щательный пакет Когда отказывает основная линия, заблокированный порт включается снова для обеспечения резервного пути. X

IEEE 802.1d, STP Как работает STP (802.1d): 1. Выбирается Корневой коммутатор (Root Bridge). Коммутатор с наименьшим ID становится корневым. Он должен быть один в коммутируемой сети LAN. 2. Определяется Корневой порт (Root Port) для каждого коммутатора. Порт коммутатора с наименьшим значением Стоимости пути до корневого коммутатора (Root Path Cost) назначается корневым портом. Он должен быть один у каждого коммутатора. 3. Определяется Назначенный порт (Designated Port) для каждого сегмента LAN. Порт, по которому значение стоимости пути до корневого коммутатора для сегмента LAN минимально, выбирается назначенным для данного сегмента. Каждый сегмент LAN иметь только один назначенный порт. 4. Блокируются все порты, не являющиеся корневыми или назначенными.

Пакеты BPDU содержат информацию для построения топологии сети без петель Пакеты BPDU помещаются в поле данных кадров канального уровня, например, кадров Ethernet. Они содержат несколько полей, определяющих работу STP. Среди них наиболее важные: Идентификатор коммутатора Расстояние до корневого коммутатора Идентификатор порта

Широкове щательный пакет (2) Корневые порты (3) Назначенные порты (1) Корневой коммутатор (4) Заблокировать все порты, кроме корневых и назначенных Как работает STP

Недостатки STP Основной недостаток 802.1d STP: Большое время сходимости. Протоколу STP (802.1d) обычно для этого требуется от 30 до 60 секунд. Решение: IEEE 802.1w: Протокол Rapid Spanning Tree, RSTP.

Протокол Rapid Spanning Tree, RSTP Стандартизирован IEEE 802.1w Обеспечивает серьёзный прирост скорости сходимости коммутируемой сети моментальным переводом корневых и назначенных портов в состояние продвижения кадров

В стандарте 802.1d определено 4 различных состояния портов: blocking (заблокирован), listening (прослушивание), learning (обучение), и forwarding (продвижение) d ЗаблокированПрослушиваниеОбучениеПродвижение В стандарте 802.1w определено 3 различных состояния портов 802.1w: discarding (отбрасывание), learning (обучение), и forwarding (продвижение) w ОтбрасываниеОбучениеПродвижение Состояния портов

STP (802.1d) Состояние порта RSTP (802.1w) Состояние порта Порт входит в активную топологию? Порт изучает MAC-адреса? ОтключёнОтбрасываниеНет ЗаблокированОтбрасываниеНет ПрослушиваниеОтбрасываниеНет Обучение НетДа Продвижение Да Соответствие состояния портов между 802.1d и 802.1w

Роли корневых портов Роли назначенных портов Роли альтернативных портов Роли резервных портов Роли портов

Роли альтернативных и резервных портов Эти две роли соответствуют заблокированному состоянию по стандарту 802.1d. Для заблокированного порта важнее получать BPDU, чем отсылать их в свой сегмент. Порту необходимо получать BPDU для того, чтобы оставаться заблокированным. В RSTP есть для этого две роли. Роли портов

Роли альтернативных портов Альтернативный порт – это порт заблокированный в результате получения более предпочтительных BPDU от другого коммутатора. Корневой коммутатор AB BPDU Альтернативный порт Роли портов

Роли резервных портов Резервный порт – это порт заблокированный в результате получения более предпочтительных BPDU от того же самого коммутатора, которому он принадлежит. Корневой коммутатор AB BPDU Резервный порт Роли портов

Роли альтернативных и резервных портов в протоколе RSTP Альтернативный порт – порт, который может заменить корневой порт при выходе его из строя Резервный порт – порт, который может заменить назначенный порт при выходе его из строя При отказе корневого порта, RSTP-коммутатор может практически сразу переключить альтернативный порт в корневой порт При выходе из строя назначенного порта, резервный порт может быть также быстро переведён в назначенный Роли портов

Быстрый перевод портов в состояние продвижения Новый протокол RSTP позволяет перевести порт в состояние продвижения кадров без учёта каких-либо таймеров. Таким образом появился реальный механизм обратной связи для совместимых с протоколом RSTP устройств. Для обеспечения быстрой сходимости сети, протокол оперирует двумя понятиями – пограничные порты и тип линии. 1.Пограничные порты Все порты, к которым напрямую подсоединены рабочие станции не могу создать петель в сети и, соответственно, могут быть переведены в состояние продвижения практически сразу без перехода в состояния прослушивания и обучения. 1.Тип линии (точка-точка или разделяемая) Порт функционирующий в режиме полного дуплекса рассматривается как соединение точка-точка. Порт в режиме полудуплекса воспринимается, по умолчанию, как разделяемое соединение. Быстрая сходимость сети достигается на соединениях точка-точка.

Совместимость с 802.1d A(1W)B(1W)C(1D) RSTP BPDU STP BPDU Например, коммутаторы A и B на схеме поддерживают RSTP, и коммутатор A является выделенным для данного сегмента. Устаревший коммутатор C, поддерживающий только STP также присутствует в сети. Так как коммутаторы 802.1d игнорируют RSTP BPDU и отбрасывают их, C считает, что в сегменте нет других коммутаторов и начинает посылать его BPDU формата 802.1d.

A(1W)B(1W)C(1D) STP BPDU Коммутатор A получает эти BPDU и, максимум через два интервала Hello (таймер задержки переключения), изменяет режим на 802.1d только на этом порту. В результате, C может теперь понимать BPDU А и соглашается с тем, что A является выделенным коммутатором для данного сегмента. Совместимость с 802.1d

Существует несколько таймеров STP: hello: Интервал hello – это время между Bridge Protocol Data Unit (BPDU), отсылаемыми с портов коммутатора. По умолчанию это 2 секунды, но может быть задан в диапазоне от 1 до 10 секунд. forward delay: Forward delay (задержка продвижения) это время в двух состояниях – прослушивание и обучение. По умолчанию это 15 секунд, но может быть настроена в диапазоне от 4 до 30 секунд. max age: Max age (максимальное возраст) – таймер, контролирующий время, в течение которого порт коммутатора хранит информацию о конфигурации BPDU. Это 20 секунд по умолчанию и может быть изменено в диапазоне от 6 до 40 секунд. Эти три параметра содержатся в каждом BPDU конфигурации. Также есть дополнительный временной параметр в каждой конфигурации BPDU, известный как Возраст сообщения (Message Age). Возраст сообщения это не фиксированная величина. Она представляет собой временной интервал с момента первой посылки BPDU корневым коммутатором. Корневой коммутатор будет посылать все свои BPDU с возрастом сообщения равным нулю, и все другие коммутаторы на пути BPDU будут добавлять к нему 1. В реальности, этот параметр означает как далеко Вы находитесь от корневого коммутатора, получая этот BPDU. Таймеры протокола STP

Максимальный диаметр сети Разница между 802.1d и 802.1w заключается в том, как инкрементируется параметр Возраст Сообщения. В 802.1d Возраст Сообщения – это счётчик, поддерживаемый корневым портом коммутатора и инкрементируемый им на 1. В 802.1w, значение инкрементируется на величину большую 1/16 Максимального Возраста но меньшую 1, округлённую до ближайшего целого. Предельный диаметр сети достигается, когда: ((MessageAge+HelloTime)>=MaxAge) Например, при умолчальных значениях MaxAge(20 с) и Hello (2 с), максимальный диаметр сети равен 18 переходам от корневого коммутатора, тем самым обеспечивая 37 коммутаторов в цепочке или кольце, при условии, что корневой коммутатор находится в центре.

Общие выводы: STP и RSTP Сходимость: STP, 802.1d: 30 с. RSTP, 802.1w: 2-3 с. Диаметр: STP, 802.1d: 7 переходов RSTP, 802.1w: 18 переходов 802.1w обратно совместим с 802.1d. Тем не менее, преимущество быстрой сходимости будет утеряно.

Задачи Посмотреть на практике как работает RSTP. Посмотреть в динамике состояния подключённых портов, чтобы понять принципы RSTP. PC1 пингует PC2 и PC2 пингует PC1 постоянно. Даже при отключении кабеля связность теряется не больше, чем на 1-2 секунды. (Время сходимости) Что случится после обратного подключения кабеля? Пример RSTP

PC2: PC1: Корень DGS-3324SR_A X Включить STP на обоих коммутаторах DGS-3324SR. Проверить заблокирован ли один порт DGS-3324R. PC1 и PC2 пингуют друг друга постоянно. Отсоединить кабель 1 и проверить сколько по времени (количество пропущенных ping) будет восстанавливаться связь. Подсоединить кабель 1 обратно и посмотреть сколько будет восстанавливаться связь. DGS-3324SR_B Кабель 1Кабель 2 Пример RSTP

DES-3324SR_A: config ipif System ipaddress /8 enable stp config stp version rstp # Сделать так, чтобы коммутатор A имел меньшее значение приоритета для того, чтобы он стал корневым. # Приоритет по умолчанию = config stp priority 4096 instance_id 1 config stp ports 1:5-1:24 edge true DGS-3324SR_B: config ipif System ipaddress /8 enable stp config stp version rstp config stp ports 1:5-1:24 edge true Проверка: 1. PC1 пингует PC2 и PC2 пингует PC1 постоянно. 2. Отключаем кабель 1. Связь может восстановиться через 1-2 с (потеря 1-2 ping) Время сходимости порядка 1-2 с. 3. Подсоединить кабель 1 обратно. Связь может восстановиться с потерей 1-2 ping. Настройка RSTP

Ограничение RSTP: В сети может быть только одна копия Spanning Tree (одно дерево). Если на коммутаторе сконфигурировано несколько VLAN, то все они используют одну копия этого протокола. Это значит, что все VLAN образуют одну логическую топологию, не обладающую достаточной гибкостью. Этот протокол не может поддерживать своё «дерево» для каждого VLAN. Решение: Протокол Multiple Spanning Tree, MSTP (IEEE 802.1s) Ограничение RSTP

Протокол Multiple Spanning Tree, MSTP Стандартизирован IEEE 802.1s. MSTP позволяет использовать более одной копии STP в сети с 802.1q VLAN. Он позволяет одни VLAN связать с одной копией STP, а другие с другой, обеспечивая несколько связей между коммутаторами. Также MSTP предоставляет возможность распределения нагрузки. Каждая копия (покрывающее дерево) MSTP также использует протокол RSTP для более быстрой сходимости сети.

Регионы MSTP Регион MSTP это связанная группа коммутаторов с поддержкой MSTP с одинаковой конфигурацией MST. Преимущества MSTP могут быть использованы только внутри региона. В разных регионах используется только одна копия STP для всех VLAN. Для того, чтобы добиться одинаковой конфигурации MST нужно задать следующие одинаковые параметры: 1.Конфигурационное имя 2.Конфигурационный номер ревизии 3.Карту привязки VLAN к копиям STP

Пример работы MSTP Сеть состоит из 3 коммутаторов, соединенных между собой. В сети настроены 2 VLAN с VID 10 и 20. На коммутаторе 1 VLAN 10 и 20 настроены на разных портах таким образом, что трафик для обоих VLAN 10 и 20 передается по разным соединениям. На первый взгляд, такая конфигурация достаточно обычна и хорошо подходит для балансировки нагрузки при передаче трафика двух различных VLAN. Однако в сети настроен протокол STP. Если коммутатор 3 будет выбран корневым коммутатором для STP, то соединение между коммутаторами 1 и 2 будет заблокировано. В этом случае трафик из VLAN 20 не сможет передаваться по сети. Эта проблема возникает потому, что коммутаторы рассматривают VLAN 10 и 20 как независимые сети, в то время как протокол STP рассматривает топологию сети как одну целую сеть.

Пример работы MSTP

802.1S решает поставленную задачу: Если назначить VLAN 10 на копию MSTP под номером 1, а VLAN 20 сопоставить с копией 2. Т.о. получится две независимых топологии дерева STP. Коммутатор 3 становится корневым для копии MSTP номер 2 и блокирует прохождение трафика между коммутаторами 1 и 2. В отличие от протокола 802.1D STP, это соединение блокируется только для прохождения трафика из VLAN 10. Трафик из VLAN 20 будет передаваться по этому соединению. Аналогичным образом, копия MSTP под номером 2 выберет коммутатор 2 в качестве корневого и заблокирует соединение между коммутаторами 1 и 3 для трафика из VLAN 20. Таким образом, достигается требуемая работа сети: осуществляется баланс нагрузки при передаче трафика нескольких VLAN по разным соединениям и в то же время в сети отсутствуют логические «петли».

Пример работы MSTP

Порядок настройки MSTP 1.Включить STP на каждом устройстве. 2.Изменить версию STP на MSTP. (По умолчанию RSTP) 3.Задать имя региона MSTP и ревизию. 4.Создать копию и проассоциировать VLAN. 5.Сконфигурировать приоритет STP так, чтобы явно задать корневой коммутатор. По умолчанию это Чем меньше номер, тем больше приоритет. По умолчанию, чем меньше значение MAC, тем больше вероятность стать корневым коммутатором. 6.Задать приоритеты на портах так, чтобы задать порт в VLAN, который будет заблокирован. 7.Задать пограничный порт.

Задача: Каждый VLAN образует своё покрывающее дерево. В каждой паре только одна активная линия для каждого VLAN. Если любая активная линия отказывает, вторая становится активной. MSTP Пример 1: На каждый VLAN одна копия STP v2 v3 v2 DES3324SR_A PC /24 PC /24 PC /24 PC /24 DES3324SR_B

config vlan default delete 1-20 create vlan v2 tag 2 config vlan v2 add untagged 1-12 create vlan v3 tag 3 config vlan v3 add untagged enable stp config stp version mstp config stp mst_config_id name abc config stp mst_config_id revision_level 1 create stp instance_id 2 config stp instance_id 2 add_vlan 2 create stp instance_id 3 config stp instance_id 3 add_vlan 3 ## Задать приоритет STP так, чтобы коммутатор A стал корневым. # Приоритет задаётся по правилу 4096*n, по умолчанию = config stp priority 4096 instance_id 0 config stp priority 4096 instance_id 2 config stp priority 4096 instance_id 3 ## Задать приоритеты портов так, чтобы порт 1 стал активным ## для v2, и порт 13 - для v3. ## приоритет = 16*n, по умолчанию = 128 config stp mst_ports 1 instance_id 2 priority 96 config stp mst_ports 13 instance_id 3 priority 96 config stp ports 3-12 edge true config stp ports edge true Конфигурация DES3324SR_A config vlan default delete 1-20 create vlan v2 tag 2 config vlan v2 add untagged 1-12 create vlan v3 tag 3 config vlan v3 add untagged enable stp config stp version mstp config stp mst_config_id name abc config stp mst_config_id revision_level 1 create stp instance_id 2 config stp instance_id 2 add_vlan 2 create stp instance_id 3 config stp instance_id 3 add_vlan 3 config stp ports 3-12 edge true config stp ports edge true Конфигурация DES3324SR_B MSTP Пример 1: На каждый VLAN одна копия STP

Задача: Распределение нагрузки. В V2 и V3 запущены отдельные копии RSTP. Активная линия для V2 - порт 23, а для V3 – 24 с распределением нагрузки. Если одна из линий выходит из строя, V2 и V3 используют оставшуюся в целях обеспечения отказоустойчивости. MSTP Пример 2: Распределение нагрузки v2v3 v2 Порты добавлены в V2 и V3 как tagged. DGS3324SR_A DGS3324SR_B PC /24 PC /24 PC /24 PC / T TT T

config vlan default delete 1-20 create vlan v2 tag 2 config vlan v2 add untagged 1-12 config vlan v2 add tagged create vlan v3 tag 3 config vlan v3 add untagged config vlan v3 add tagged enable stp config stp version mstp config stp mst_config_id name abc config stp mst_config_id revision_level 1 create stp instance_id 2 config stp instance_id 2 add_vlan 2 create stp instance_id 3 config stp instance_id 3 add_vlan 3 ## Задать приоритет STP так, чтобы коммутатор A стал корневым. config stp priority 4096 instance_id 0 config stp priority 4096 instance_id 2 config stp priority 4096 instance_id 3 ## Задать приоритеты портов так, чтобы порт 23 стал активным ## для v2, а порт 24 - для v3. config stp mst_ports 1:23 instance_id 2 priority 96 config stp mst_ports 1:24 instance_id 3 priority 96 config stp ports 1-20 edge true Конфигурация DGS3324SR_A config vlan default delete 1-20 create vlan v2 tag 2 config vlan v2 add tagged config vlan v2 add untagged 1-12 create vlan v3 tag 3 config vlan v3 add tagged config vlan v3 add untagged enable stp config stp version mstp config stp mst_config_id name abc config stp mst_config_id revision_level 1 create stp instance_id 2 config stp instance_id 2 add_vlan 2 create stp instance_id 3 config stp instance_id 3 add_vlan 3 config stp ports 1-20 edge true Конфигурация DGS-3324SR_B MSTP Пример 2: Распределение нагрузки ## Команды отладки для A и B show stp instance_id show stp ports

Задача: Пакеты маршрутизируются коммутатором уровня L3, в то время как MSTP функционирует на уровне L2. В обычном режиме осуществляется распределение нагрузки. Если одна линия отказывает, то используется вторая в качестве резервной. MSTP в сетях третьего уровня (Пример) v2v3 v2 L3 DGS-3324SR L2 DES3526_A T Порты связи с другими коммутаторами v3v2 T T L2 DES3526_B T T x/24 Шлюз x/24 Шлюз x/24 Шлюз x/24 Шлюз x/24 Gw= x/24 Gw= ,26

config vlan default delete 1-20 create vlan v2 tag 2 config vlan v2 add untagged 1-12 config vlan v2 add tagged create ipif ip /24 v2 create vlan v3 tag 3 config vlan v3 add untagged config vlan v3 add tagged create ipif ip /24 v3 ### Конфигурация MSTP enable stp config stp version mstp config stp mst_config_id name abc config stp mst_config_id revision_level 1 create stp instance_id 2 config stp instance_id 2 add_vlan 2 create stp instance_id 3 config stp instance_id 3 add_vlan 3 config stp ports 1-20 edge true Конфигурация DGS3324SR L3 config vlan default delete 1-24 create vlan v2 tag 2 config vlan v2 add untagged 1-8 config vlan v2 add tagged create vlan v3 tag 3 config vlan v3 add untagged 9-24 config vlan v3 add tagged ### Конфигурация MSTP enable stp config stp version mstp config stp mst_config_id name abc config stp mst_config_id revision_level 1 create stp instance_id 2 config stp instance_id 2 add_vlan 2 create stp instance_id 3 config stp instance_id 3 add_vlan 3 config stp ports 1-24 edge true Конфигурации DES3526_A и DES3526_B L2

Функция LoopBack Detection

Обнаружение «петель» на порту коммутатора: STP LoopBack Detection Ситуация, показанная на рисунке, вынуждает управляемый коммутатор постоянно перестраивать «дерево» STP при получении своего же собственного BPDU. Новая функция LoopBack Detection отслеживает такие ситуации и блокирует порт, на котором обнаружена петля, тем самым предотвращая проблемы в сети. Коммутатор уровня доступа Порт, заблокированный LoopBack Detection Неуправляемый коммутатор Петля Магистраль сети ETTH

STP LoopBack Detection (пример) Задача: Обеспечить на оконечных портах DES-3526 (edge ports) отсутствие петель в неуправляемых сегментах. Команды для настройки коммутатора: 1) enable stp (по умолчанию версия RSTP) 2) config stp ports 1-24 state enable edge true lbd enable 3) config stp lbd_recover_timer 60 (lbd_recover_timer – время, в течение которого порты не будут принимать BPDU. Оно задаётся глобально на коммутаторе. Если необходимо отключить эту функцию, то следует установить его в 0)

Обнаружение «петель» на порту коммутатора: LoopBack Detection В этой схеме необязательна настройка протокола STP на портах, где необходимо определять наличие петли. В этом случае петля определяется отсылкой с порта специального служебного пакета. При возвращении его по этому же порту порт блокируется на время указанное в таймере. Есть два режима этой функции Port-Based и VLAN-Based. Коммутатор уровня доступа Порт, заблокированный LoopBack Detection Неуправляемый коммутатор Петля Магистраль сети ETTH

LoopBack Detection (пример) Задача: Обеспечить на клиентских портах DES-3526 отсутствие петель в неуправляемых сегментах. 1-ый вариант – петля обнаруживается для порта в целом и блокируется весь порт (режим Port-Based): Команды для настройки коммутатора: 1) enable loopdetect 2) config loopdetect recover_timer 60 (lbd_recover_timer – время, в течение которого порты будут заблокированы. Оно задаётся глобально на коммутаторе. Если необходимо отключить эту функцию, то следует установить его в 0) 3) config loopdetect interval 10 (временной интервал в секундах между отсылаемыми пакетами ECTP (Ethernet Configuration Testing Ptotocol)) 4) config loopdetect mode port-based (выбор режима работы функции. При обнаружении петли будет блокироваться весь трафик по порту) 5) config loopdetect ports 1-26 state enabled

LoopBack Detection (пример) Задача: Обеспечить на клиентских портах DES-3526 отсутствие петель в неуправляемых сегментах. 2-ой вариант – петля обнаруживается для каждого VLAN-а и блокируется только трафик этого VLAN-а (режим Port-Based): Команды для настройки коммутатора: 1) enable loopdetect 2) config loopdetect recover_timer 60 (lbd_recover_timer – время, в течение которого порты будут заблокированы. Оно задаётся глобально на коммутаторе. Если необходимо отключить эту функцию, то следует установить его в 0) 3) config loopdetect interval 10 (временной интервал в секундах между отсылаемыми пакетами ECTP (Ethernet Configuration Testing Ptotocol)) 4) config loopdetect mode vlan-based (выбор режима работы функции. При обнаружении петли в VLAN будет блокироваться трафик по порту только в этом VLAN-е) 5) config loopdetect ports 1-26 state enabled

Агрегирование портов Статическое, 802.3ad LACP

Агрегирование портов используется для объединения некоторого количества портов вместе для организации одного канала с высокой пропускной способностью. Такие порты называются членами группы агрегирования, а один из портов назначается мастером группы (master port). Так как все порты агрегированной группы должны работать в одном режиме, конфигурация мастера группы распространяется на все порты в группе. Таким образом, при конфигурировании портов в группе агрегирования достаточно настроить мастер-порт. DES-3226S поддерживает группы агрегирования, каждая из которых может содержать от 2-ух до 8-ми портов, кроме группы агрегирования Gigabit, которая состоит из 2-ух (дополнительных) портов Gigabit Ethernet на модуле расширения. Агрегирование портов

Агрегирование портов - Пример Группа агрегирования Сервер В сети есть 4 клиентских PC с доступом к общему серверу. Трафик может быть разделён по 4-м агрегированным портам, посредством алгоритмов распределения нагрузки на основе MAC-адресов. Описание: Трафик между PC-1 и сервером через первый агрегированный порт. Трафик между PC-2 и сервером через второй агрегированный порт. Трафик между PC-3 и сервером через третий агрегированный порт. Трафик между PC-4 и сервером через четвёртый агрегированный порт. PC-1PC-4PC-3PC-2

1.Статический (поддерживался первыми коммутаторами D-Link) 1.IEEE 802.3ad LACP, динамический (новый) Два метода агрегирования портов

Протокол управления агрегированным каналом – Link Aggregation Control Protocol IEEE 802.3ad (LACP) используется для организации динамического агрегированного канала между коммутаторам и другим сетевым устройством. Для статических агрегированных каналов (по умолчанию они являются статическими) соединяемые коммутаторы должны быть настроены вручную, и они не допускают динамических изменений в агрегированной группе. Для динамических агрегированных каналов (назначенные LACP-совместимые порты) коммутаторы должны быть совместимы с LACP для автосогласования этих каналов. Динамический агрегированный канал обладает функцией автосогласования, если с одной стороны агрегированная группа настроена как активная (active), а с другой – как пассивная (passive). Если тип канала явно не указан, то это статическое агрегирование. Агрегированные порты могут быть либо LACP либо Static. LACP означает, что порты совместимы с LACP, т.е. могут быть подключены только к LACP- совместимому устройству. Порты в статической группе не могут динамически менять конфигурацию, и оба устройства, соединённые посредством такой группы, должны быть настроены вручную, если меняется состав группы и т.д. Статическое агрегирование портов по сравнению с LACP

Этот алгоритм (на каждом устройстве) применяется для определения того, какой порт в группе используется для передачи определённых пакетов. Существует 6 алгоритмов. По умолчанию это MAC-source. 1. mac_source (по MAC-адресу источника) 2. mac_destination (по MAC-адресу назначения) 3. mac_source_dest (по MAC-адресам источника и назначения) 4. ip_source (по IP-адресу источника) 5. ip_destination (по IP-адресу назначения) 6. ip_source_dest (по IP-адресу источника и назначения) Алгоритм агрегирования каналов

Распределение потоков по каналам транков

Настройка агрегирования каналов Для коммутатора A (порты в группе - 2, 4, 6 и 8) Рекомендации: 1. Создайте группу агрегирования create link_aggregation group_id 1 type static config link_aggregation algorithm mac_destination 2. Задайте членов этой группы config link_aggregation group_id 1 master_port 2 ports 2,4,6,8 state enabled Для коммутатора B (порты в группе - 1, 3, 5 и 7) Рекомендации: 1. Создайте группу агрегирования create link_aggregation group_id 1 config link_aggregation algorithm mac_source 2. Задайте членов этой группы config link_aggregation group_id 1 master_port 1 ports 1,3,5,7 state enabled Статическое агрегирование каналов (Пример) Сервер Группа агрегирования PC-1PC-4PC-3PC-2 Коммутатор A Коммутатор B

Динамическое (LACP) агрегирование каналов (Пример) Для коммутатора A (на портах 1-8 включено автосогласование) 1. Создайте группу агрегирования create link_aggregation group_id 1 type lacp create link_aggregation group_id 2 type lacp config link_aggregation algorithm mac_destination 2. Задайте членов этой группы config link_aggregation group_id 1 master_port 1 ports 1-2 state enabled config lacp ports 1-2 mode active config link_aggregation group_id 2 master_port 3 ports 3-4 state enabled config lacp ports 3-4 mode active Для коммутаторов B и C (на портах 1-4 включено автосогласование) 1. Создайте группу агрегирования create link_aggregation group_id 1 type lacp config link_aggregation algorithm mac_source 2. Задайте членов этой группы config link_aggregation group_id 1 master_port 1 ports 1-2 state enabled Коммутатор A Коммутатор B Коммутатор C

Алгоритм агрегирования каналов - IP (Пример) Алгоритм = ip_destination Алгоритм = ip_source Коммутатор L2 Коммутатор L x x x Шлюз по умолчанию =

Замечания: 1.Если на одном конце канала настроен LACP, на втором конце тоже должен быть LACP. Если с одной стороны LACP, а с другой статическая группа – канал работать не будет. 2.Если коммутатор, поддерживающий 802.3ad, должен быть соединён по агрегированному каналу с коммутатором, поддерживающим только статическое агрегирование, он должен быть тоже настроен в статическом режиме. 3.Если устаревший коммутатор D-Link, должен работать по агрегированному каналу с коммутатором Cisco, то коммутатор Cisco должен быть сконфигурирован в режиме 802.1q trunk (например, Cisco 3600).

Безопасность на уровне портов и защита от вторжений

Port Security (безопасность на уровне портов)

o Проверка подлинности компьютеров в сети Функция Port Security в коммутаторах D-Link позволяет регулировать количество компьютеров, которым разрешено подключаться к каждому порту. Более того, она позволяет предоставлять доступ к сети только зарегистрированным компьютерам Безопасность на уровне портов (Port Security) Эта функция специально разработана для управления сетями ETTH/ ETTB и офисными сетями Port Security Установлен предел на 4 компьютера 5 Превышено количество допустимых компьютеров. Поэтому не может получить доступ к сети ! Всё ещё не может получить доступ к сети по причине отсутствия регистрации !! Port Security

Команды: config port_security ports 1-3 admin_state enabled max_learning_addr 2 config port_security ports 4 admin_state enabled max_learning_addr 8 …

MAC 1 MAC 2 MAC 3 MAC 4 Включить Port Security на портах, и установить Max. Learning Addresses = 0 для портов, на которых необходима защита от вторжений Добавить нужные MAC- адреса в статическую таблицу MAC-адресов. MAC 5 MAC 6 MAC 7 Серверы MAC 8 MAC 9 MAC 10 Задача: Незарегистрированные на порту MAC-адреса не могут получить доступ к сети Магистраль Port Security (пример)

Команды: config port_security ports 1-24 admin_state enabled max_learning_addr 0 create fdb default ba port 2 create fdb default ba port 2 create fdb default ba port 2 create fdb default ba port 2 create fdb default ba port 8 create fdb default ba port 20 create fdb default ba port 22 create fdb default ba port 24 (…все остальные разрешённые MAC-адреса) Port Security (пример)

Port Security для защиты от вторжений Режим блокировки адресов - Непосредственный (permanent) Пример: config port_security ports 1:1-1:24 lock_address_mode Permanent Возможность включения Port Security на каждом устройстве После включения на порту Port Security, выбора режима Permanent и задания количество MAC-адресов, которое может быть изучено, эти адреса просто будут добавлены в статическую таблицу MAC-адресов. Даже после включения/выключения, эта таблица всё равно сохраняется. В таблице также содержится время, в течение которого адрес актуален. Есть возможность выбора ещё двух режимов – DeleteOnReset и DeleteOnTimeout, которые удаляют заблокированные на портах адреса соответственно после сброса устройства к заводским настройкам и по таймауту Для того, чтобы разрешить непосредственно изученный MAC на порту, отключите Port Security на этом порту.

Контроль полосы пропускания

Шаг настройки полосы пропускания на коммутаторах D-Link Модель коммутатора Шаг полосы пропускания на портах 100Base-TX Шаг полосы пропускания на портах 1000Base-T DES-35XX 1 Мбит/с8 Мбит/с DES-38XX, DGS-34XX, DGS- 36XX, DES-3028/52, DGS-31XX 64 Кбит/с DES-30XX 64 Кбит/с: до 2 Мбит/с 1 Мбит/c: от 2 Мбит/с до 100 Мбит/с 8 Мбит/с

ETTH Пример: Порт 1: Upstream (восходящий поток) = 5 Мбит/с, Downstream (нисходящий поток) = 5 Мбит/с Порт 2: 5 Мбит/с, 5 Мбит/с Порт 3: 5 Мбит/с, 5 Мбит/с Порт 4: 10 Мбит/с, 20 Мбит/с И т.д. Контроль полосы пропускания Для каждого порта Ethernet, допускается ограничивать полосу пропускания для входящего и исходящего трафика. U/D=5/5 U/D=10/20 U/D=5/5

Контроль полосы пропускания Настройка каждого порта Полоса пропускания для входящего (rx или восходящий поток) или исходящего (tx или нисходящий поток). config bandwidth_control 1-3 rx_rate 5 tx_rate 5 config bandwidth_control 4 rx_rate 10 tx_rate 20 (… для всех других портов, на которых необходим контроль за полосой пропускания)

Функции управления и мониторинга

Технология Single IP Management: Виртуальный стек

Преимущества и устройства, поддерживающие SIM Обеспечивает управление до 32 устройств через один IP адрес. В отличие от обычного стека, нет ограничения по моделям – в виртуальный стек можно включать любые модели, поддерживающие технологию SIM. Нет ограничений на расстояние между коммутаторами, нет необходимости в специальных кабелях. В стек могут быть объединены устройства, расположенные в любом месте сети. Это исключает возможность появления точки единственного отказа (single point of failure). Коммутаторы DGS-3x12SR, DES-6500, DGS/DXS-33XX, DES-35XX, DES-3828,DGS-34XX, DGS-36XX, DES-30XX, DES-3028/3052 поддерживают SIM

Как работает D-Link SIM? Коммутаторы с поддержкой SIM упрощают задачу управления, т.к. множество коммутаторов могут настраиваться, контролироваться и обслуживаться через один IP-адрес с любой рабочей станции, имеющей Web-браузер. Стек управляется как единый объект.

Как работает D-Link SIM? Просмотр топологии и всех устройств сети, входящих в виртуальный стек - в виде дерева (Tree View): отображает карту сети и соединения, месторасположения устройств стека и связи между ними. Это простое и эффективное Web-управление исключает необходимость установки дорогого ПО для SNMP-управления.

Auto-Configuration - автоконфигурация

Автоконфигурация auto-configuration При включении функции auto-configuration, коммутаторы могут: автоматически получать IP-адрес с DHCP - сервера загружать созданный заранее и сохранённый конфигурационный файл с удалённого сервера Когда функция autoconfig включена на коммутаторе, DHCP – ответ будет содержать имя конфигурационного файла и полный путь к нему. Затем коммутатор запросит файл с TFTP – сервера, указанного в ответе. Если функция autoconfig включена, то коммутатор автоматически становится DHCP – клиентом. Заранее созданный конфигурационный файл коммутатора, например, test.cfg Автоконфигурация DHCP - сервер / TFTP - сервер Все коммутаторы расположены в разных местах

Автоконфигурация: пример DHCP - сервер / TFTP - сервер DHCP - сервер: DHCP : IP Pool: TFTP - сервер: Заранее созданный конфигурационный файл коммутатора, например, test.cfg (с созданными 3-мя VLAN-ами) DES

Настройка функции автоконфигурации по шагам 1. Настройка DHCP и TFTP - серверов Установите или сконфигурируйте службу DHCP сервера, например, службу Windows 2000 Server DHCP. В этом примере используется DHCP - сервер haneWin DHCP Server. На DHCP – сервере, задайте пул IP-адресов, и IP-адрес TFTP сервера и имя конфигурационного файла коммутатора. Запустите TFTP – сервер. В этом примере используется TFTP – сервер D-Links TFTP Server. 2. Настройка коммутатора Включите функцию auto-configuration, коммутатор автоматически получит IP-адрес и связанные с ним IP-адрес TFTP – сервера и имя конфигурационного файла с DHCP – сервера, сохранит информацию и перезагрузится. После загрузки коммутатора, он обратится к TFTP – серверу для загрузки конфигурационного файла.

1. Настройка DHCP - сервера (haneWin DHCP Server) 1.1 Выберите Опции Свойства, для того, чтобы настроить DHCP – сервер. Настройка автоконфигурации Выберите

1. Настройка DHCP - сервера (haneWin DHCP Server) 1.3 Выберите Опции Профиль пользователя по умолчанию, для того, чтобы настроить DHCP – сервер. Пул IP-адресов DHCP Настройка автоконфигурации Задайте пул IP-адресов, маску подсети и т.д. IP-адрес DHCP - сервера

1.5 Задайте IP-адрес TFTP - сервера и имя конфигурационного файла коммутатора. IP-адрес TFTP - сервера Имя конфигурационного файла Настройка автоконфигурации - 3

2. Запустите TFTP-сервер D-Link TFTP Server. Если не указывать путь к файлу в настройках DHCP – сервера, то конфигурационный файл должен находиться в одной папке, что и TFTP – сервер. Настройка автоконфигурации - 4

3. Конфигурация коммутатора: 3.1 Создание файла конфигурации. test.cfg в этом примере. В нём мы создаём 3 VLAN-а. 3.2 Настройка коммутатора: enable autoconfig save reboot Настройка автоконфигурации VLAN-а 1. VLAN Default порты 1-8,25,26 2. VLAN v2 порты VLAN v3 порты После включения функции autoconfig, можно увидеть, как DHCP - сервер выдал IP-адрес коммутатору

Результаты: 1. Перед включением функции auto-configuration DES-3800:4# show switch Command: show switch Device Type : DES-3828 Fast-Ethernet Switch MAC Address : IP Address : (Manual) Subnet Mask : Default Gateway : После включения функции auto-configuration, коммутатор получит IP-адрес автоматически с DHCP – сервера. DES-3800:4# show switch Command: show switch Device Type : DES-3828 Fast-Ethernet Switch MAC Address : IP Address : (DHCP) IP-адрес поменялся на полученный по DHCP. Subnet Mask : Маска подсети поменялась на полученную по DHCP. Default Gateway : IP-адрес шлюза по умолчанию поменялся на полученный по DHCP. Результаты автоконфигурации

3. Сохраните настройки и перезагрузитесь. После перезагрузки, коммутатор начнёт загружать конфигурационный файл с TFTP – сервера автоматически. DES-3800:4# save DES-3800:4# reboot DES-3800:4# download configuration test.cfg автоматическая загрузка Command: download configuration test.cfg Connecting to server Done. Download configuration Done. DES-3800:4# DES-3800:4## DES-3800:4## DES-3828P Configuration DES-3800:4## DES-3800:4## Firmware: Build 2.00.B18 DES-3800:4## Copyright(C) D-Link Corporation. All rights reserved. DES-3800:4## DES-3800:4# Результаты автоконфигурации После перезагрузки

4. После успешного завершения загрузки и применения конфигурационного файла, коммутатор перелогинится. Затем Вы увидите, что применена конфигурация из файла test.cfg. DES-3800:4# show vlan Command: show vlan VID : 1 VLAN Name : default VLAN TYPE : static Advertisement : Enabled Member ports : 1-8,25-28 Static ports : 1-8,25-28 Current Untagged ports : 1-8,25-28 Static Untagged ports : 1-8,25-28 VID : 2 VLAN Name : v2 Member ports : 9-16 Static ports : 9-16 VID : 3 VLAN Name : v3 VLAN TYPE : static Advertisement : Disabled Member ports : ……………. Total Entries : 3 Результаты автоконфигурации

Спасибо!