GB Ağ Anahtarı Bağlantı Noktası Yapılandırmasının Açıklaması

 

Liman Hızı Görüşmeleri Neden Başarısız Olur (Ve Aslında Ne Yapabilirsiniz)

 

Başlangıçta kimsenin size söylemediği şey şu: Gigabit bağlantı noktalarında-otomatik anlaşma, 10/100 arayüzlerinde olduğundan farklı çalışır. IEEE 802.3ab spesifikasyonu, 1000BASE-T bağlantılarının yalnızca tam-dubleks modda çalışmasını gerektirir. Gigabit hızlarında yarım-çift yönlü seçeneği yoktur. Dönem.

Dolayısıyla, 100 Mbps'de sıkışmış bir bağlantı noktası gördüğünüzde ve neyin yanlış gittiğini merak ettiğinizde, suçlu genellikle üç şeyden biridir:

Kablo. Cat5 teknik olarak kısa vadede gigabit'i destekleyebilir, ancak mühendislerin nihayet Cat5e veya Cat6'yı değiştirene kadar saatlerce sorun gidermeye çalıştığını gördüm. Yüksek Ethernet hızlarında kaçabileceğiniz gibi yalnızca iki çiftin değil, dört çiftin tamamının-doğru şekilde sonlandırılması gerekir.

Bir tarafta zorunlu ayar. Bağlantı noktanız otomatikteyken birisi yukarı bağlantı anahtarında hızı 100 olarak yapılandırdıysa, kötü bir gün geçireceksiniz. Otomatik-anlaşma tarafı paralel tespite geri döner ve bu mekanizma, parametreleri umduğunuz gibi incelikli bir şekilde sıralamaz.

Kötü SFP modülleri. Özellikle fiber uplink'lerde. Tüm alıcı-vericiler tüm satıcılarla iyi anlaşamaz-bazı anahtarlar bu yuvalarda neleri kabul edecekleri konusunda gerçekten seçici davranırlar.

 

Arayüz Yapılandırmasına Giriş

 

Arayüz yapılandırma moduna giden yol Cisco IOS'ta yeterince basittir. İlk istemde etkinleştirme yazarak başlayın, ardından genel yapılandırma moduna ulaşmak için yapılandırma terminaline girin. Buradan GigabitEthernet0/1 arayüzünü belirlemek sizi söz konusu port için arayüz yapılandırma bağlamına yönlendirir.

Oraya vardığınızda, hızı ve çift yönlülüğü ayarlamak kolaydır. Hız 1000 komutu, bağlantı noktasını gigabit işlemine kilitlerken çift yönlü tam, çift yönlü eşzamanlı iletimi sağlar. Yöneticilerin çoğu her iki parametreyi de otomatik olarak bırakır; bu, son-kullanıcı iş istasyonlarına bağlanan erişim bağlantı noktaları için iyi sonuç verir. Modern NIC'ler müzakereleri drama olmadan yürütür. Ancak-anahtarlar arası bağlantılar daha fazla düşünülmeyi hak ediyor-bazı ağ ekipleri, kesinti sorunlarını giderme sırasında bir değişkeni daha ortadan kaldırmak için bunları kodluyor.

Şunu belirtmekte fayda var: Hız 1000'e kilitlendiğinde bağlantı noktası daha yavaş olan her şeyi reddeder. Sorunlu bir NIC'ye sahip bir dizüstü bilgisayar 100 Mbps'ye düşmez; hiçbir şekilde bağlantı kurmayacak. Bu bazen istediğiniz davranıştır. Çoğu zaman öyle değil.

 

 

VLAN Ataması: Erişim Bağlantı Noktaları ve Trunklar

 

Yapılandırmanın ilgi çekici hale geldiği-ve hataların en hızlı şekilde biriktiği nokta burasıdır.

Bir erişim bağlantı noktası tam olarak bir VLAN'a aittir. Gelen kareler etiketsiz olarak gelir; anahtar bunları belirttiğiniz VLAN ile ilişkilendirir. Bunu, arayüze girerek, bağlantı noktası türünü tanımlamak için anahtar bağlantı noktası modu erişimi vererek, ardından atamayı yapmak için anahtar bağlantı noktası erişim vlan 10'u (veya geçerli olan herhangi bir VLAN numarası) vererek gerçekleştirirsiniz.

Trunk bağlantı noktaları aynı anda birden fazla VLAN için trafik taşır. Her çerçeve, ait olduğu VLAN'ı tanımlayan bir 802.1Q başlığı alır. Bunun istisnası yerel VLAN'dır-çerçeveleri bagajı etiketsiz olarak geçer. Yapılandırma, anahtar bağlantı noktası modu ana hattının ayarlanmasını, ardından anahtar bağlantı noktası ana hattı yerel vlan 99 ile yerel VLAN'ın tanımlanmasını ve son olarak, anahtar bağlantı noktası ana hattına izin verilen vlan'ı ve ardından virgülle- ayrılmış VLAN kimlikleri listenizi kullanarak hangi VLAN'ların bağlantıdan geçtiğini kısıtlamayı içerir.

Bu, izin verilen VLAN spesifikasyonunun insanların düşündüğünden daha önemli olduğunu gösteriyor. Trunk'lar varsayılan olarak tüm VLAN'lara-1'den 4094'e kadar her birine izin verir. Bu nadiren istediğiniz şeydir. Agresif bir şekilde budama yapın.

 

Yerel VLAN Uyuşmazlıkları

Anahtar A'nın trunk'ı yerel VLAN 1'i kullanırken Anahtar B yerel VLAN 99'u kullandığında, etiketlenmemiş çerçeveler her iki tarafta farklı VLAN'lara yerleşir. Yayılan ağaç hesaplamaları kafa karıştırıcıdır. Cihazlar neredeyse rastgele görünen şekillerde bağlantıyı kaybediyor.

CDP bunu yakalar ve bir uyarı kaydeder, ancak aslında günlüklere bakmanız gerekir. Ayrıca bazı güvenlik politikalarının yasakladığı CDP'nin etkinleştirilmesi gerekiyor. Böylece uyumsuzluk orada duruyor ve birileri sonunda konfigürasyonları karşılaştırmayı düşünene kadar aralıklı tuhaflıklara neden oluyor.

 

Liman Güvenliğinin Temelleri

 

Bağlantı noktası güvenliği, hangi MAC adreslerinin bir arayüz üzerinden trafik gönderebileceğini kısıtlar. Klasik senaryo: birinin kendisine atanmış masaüstü bilgisayar fişini çıkarıp bunun yerine kişisel bir cihaza bağlanmasını engellemek.

Kurulum, özelliğin arayüzdeki anahtar bağlantı noktası-güvenliği aracılığıyla etkinleştirilmesiyle başlar. Daha sonra, bağlantı noktasının kaç tane MAC adresini tolere etmesi gerektiğini tanımlarsınız-anahtar bağlantı noktası bağlantı noktası-güvenliğine maksimum 2, iki cihaza izin verir. İhlal yanıtı daha sonra belirtilir; switchport bağlantı noktası-güvenlik ihlali kapatma, anahtara, yetkisiz MAC'ler göründüğünde bağlantı noktasını tamamen devre dışı bırakmasını söyler. Son olarak, switchport bağlantı noktası-güvenlik mac-adresi yapışkanı, anahtara adresleri dinamik olarak öğrenmesi ve bunları çalışan yapılandırmaya yazması talimatını verir.

Yapışkan seçeneği gerçekten kullanışlıdır. Anahtar, MAC adreslerini dinamik olarak öğrenir ve bunları çalışan konfigürasyona yazar. Kaydedildikten sonra bu adresler, manuel giriş gerekmeden yeniden başlatmalardan sağ çıkar.

İhlal modları, yetkisiz bir MAC göründüğünde ne olacağını belirler:

Kapatma, bağlantı noktasını hatalı-devre dışı duruma getirir. Trafik tamamen durur. Birisinin onu manuel olarak kurtarması gerekiyor veya otomatik kurtarmayı gerçekleştiren bir EEM komut dosyasına ihtiyacınız var.

Soruna neden olan MAC'den gelen trafiği kısıtlayın ancak bağlantı noktasını çalışır durumda tutun. Bir sistem günlüğü mesajı olayı kaydeder. Yasal cihaz çalışmaya devam eder.

Koruma, kısıtlama gibi çalışır ancak günlük oluşturmaz. Sessiz başarısızlık. Hayranı değilim-birisi şikayet edene kadar hiçbir şey olduğunu bilemezsin.

Tekrarlayan bir baş ağrısı: Arkalarına zincirlenmiş bilgisayarların- olduğu IP telefonları. Bu, bir port üzerinden iki MAC adresi demektir. Maksimum değeri 1'e ayarladıysanız, bilgisayar bir çerçeve gönderdiği anda bağlantı noktası kapanır. Bu sınırları ayarlarken ses VLAN senaryolarını hesaba katın.

 

 

Çift Taraflı Uyumsuzluklar: Sessiz Performans Katili

 

Tam-çift yönlü ve yarım-çift yönlü yanlış yapılandırmalar bağlantıyı doğrudan bozmaz. Bunu yavaş yavaş bozuyorlar. Paketler, çarpışmamaları gerektiği halde çarpışır. Geç çarpışma sayaçları yükseliyor. Yeniden iletimler birikir. Kullanıcılar "ağın yavaş olduğunu" bildiriyor, ancak ping iyi çalışıyor ve bariz hiçbir şey bozuk görünmüyor.

Gösteri arayüz komutunu ve ardından belirli bağlantı noktası tanımlayıcısını kullanarak arayüz sayaçlarını kontrol edin. Geç çarpışmaları, giriş hatalarını, CRC hatalarını, runt'ları arayın. Tam-çift yönlü çalışan sağlıklı bir gigabit bağlantı noktası, bu alanlarda sıfır gösterir. Diğer her şeyin araştırılması gerekiyor.

Tipik uyumsuzluk senaryosu: bir taraf tam-çift yönlüye sabit kodlanmış, diğer taraf otomatik olarak bırakılmıştır. Uzak uç müzakereye katılmadığından otomatik taraf çift yönlü modu doğru şekilde belirleyemiyor. Bir güvenlik önlemi olarak varsayılan olarak yarı-çift yönlüdür. Artık bir taraf aynı anda gönderip alırken, diğer taraf göndermeden önce sessizliğin beklenmesi gerektiğini düşünüyor. Çarpışmalar sürekli oluyor.

Çözümü basit: ayarları her iki uçta da eşleştirin. Her ikisi de otomatik veya her ikisi de açıkça aynı değerlere yapılandırılmış.

 

Yayın Fırtına Kontrolü

 

Bir yayın fırtınası kesinlikle bir ağı dümdüz edecektir. Yanlış yapılandırılmış bir cihaz veya yayılan ağaç devre dışı bırakılmış bir anahtarlama döngüsü, yapıyı yayın trafiğiyle doldurur. Her anahtar onu çoğaltır. Her port onu iletir. Tüm altyapıda CPU kullanımı hızla artıyor.

Fırtına kontrolü kısma sağlar. Arayüz yapılandırma modunda, yayın trafiğini bu eşikte sınırlamak için fırtına-kontrol yayın düzeyini ve ardından bir yüzdeyi-20,00-belirtirsiniz. Çok noktaya yayın ve tek noktaya yayın trafiği için benzer komutlar mevcuttur. Fırtına kontrolü eylemi kapatma yönergesi, eşikler aşıldığında anahtara bağlantı noktasını devre dışı bırakmasını söyler; alternatif olarak trap, bağlantı noktasını canlı tutarken bir SNMP uyarısı oluşturur.

Düzey, bağlantı noktası bant genişliğinin bir yüzdesini temsil eder. Yayın trafiği bir gigabit bağlantısının %20'sini aştığında-bu, yayının 200 Mb/sn'sidir-bağlantı noktası harekete geçer. Kapatma agresif ama etkilidir.

Fırtına kontrolünü her bağlantı noktasında yapılandırmam. Operasyonel karmaşıklığı artırır. Ancak öngörülemeyen ortamlardaki (üretim katları, üniversite yurtları, konferans salonları-) erişim katmanları için değeri birden fazla kez kanıtlanmıştır.

 

PortFast ve BPDU Guard

 

Yayılan ağaç, bir bağlantı noktasını engelleme durumundan iletme durumuna geçirmek 30 ila 50 saniye sürer. Bu gecikme, topoloji değişikliklerinin önemli olduğu anahtar--anahtar{-bağlantılarındaki döngülere karşı koruma sağlar. Birisinin yalnızca bağlanıp bir IP adresi almak istediği-son kullanıcı bağlantı noktaları için bu durum sinir bozucudur.

PortFast dinleme ve öğrenme durumlarını atlar. Bunu, yayılan-ağaç portfast'ına sahip bir arayüzde etkinleştirirsiniz ve bağlantı noktası, bağlantı kurulduğunda hemen iletmeye başlar.

Risk: Birisi bu bağlantı noktasına yönetilmeyen bir anahtar takarsa potansiyel olarak bir döngü oluşturmuş olursunuz. PortFast yayılma ağacını devre dışı bırakmaz-bağlantı noktası hâlâ BPDU'ları işler. Ancak trafiği beklemek yerine anında iletir.

BPDU Guard koruma sağlar. Arayüzde spanning-tree bpduguard etkinleştirme yoluyla etkinleştirilmesi, alınan herhangi bir BPDU'nun anında err-disable'ı tetikleyeceği anlamına gelir. Bu bağlantı noktasına bir BPDU ulaşırsa bir sorun var demektir-orada başka bir anahtar olmamalıdır. Bir uyarı alırsınız ancak ağ sağlam kalır.

Genel varsayılanlar bu özellikleri tüm erişim bağlantı noktalarına otomatik olarak uygular. Genel yapılandırma modunda, spanning-tree portfast varsayılanı PortFast'ı evrensel olarak etkinleştirirken, spanning-tree portfast bpduguard varsayılanı aynı bağlantı noktalarında BPDU Guard'ı etkinleştirir. Trunk bağlantı noktaları bu varsayılanların dışındadır. Kurumsal erişim katmanları için makul bir temeldir.

 

 

EtherChannel: Bağlantıları Birleştirme

 

Tek bir gigabit bağlantısı anahtarlar arasında yeterli bant genişliği sağlamadığında, EtherChannel birden fazla fiziksel bağlantı noktasını tek bir mantıksal arayüzde birleştirir. İki, dört veya sekiz bağlantı noktası bir araya toplanarak yayılan ağaç hesaplamalarına tek bir bağlantı olarak görünür.

LACP, görüşmeleri 802.3ad standardını kullanarak gerçekleştirir. Fiziksel arayüzleri -aynı anda birden fazla bağlantı noktasını yapılandırmak için GigabitEthernet0/1 - 4 arayüz aralığını kullanarak seçersiniz- ve ardından bunları, kanal-grup 1 modu etkin olan bir kanal grubuna atarsınız. Aralık yapılandırmasından çıktıktan sonra, Bağlantı Noktası-kanal1 arayüzüne girerek ve genellikle anahtarlar arası bağlantılar için anahtar bağlantı noktası modu ana hattı olmak üzere istediğiniz ayarları uygulayarak mantıksal arayüzün kendisini yapılandırırsınız.

Uzak ucun eşleşen yapılandırmaya ihtiyacı var. Aktif-aktif işler. Aktif-pasif işler. Pasif-pasif,-her iki tarafın da diğerinin başlamasını sonsuza kadar beklemesine neden olmaz.

Üye bağlantıları arasındaki trafik dağıtımı, genellikle kaynak-hedef MAC veya IP adreslerine dayalı bir karma algoritma kullanır. Bireysel akışlar hâlâ tek fiziksel bağlantılardan geçiyor; anahtar, TCP oturumlarını birden fazla yola bölmez. İki sunucu arasındaki büyük dosya aktarımında, kaç tane paketlediğinize bakılmaksızın tek bir üye bağlantısı kullanılır.

 

Ses VLAN Yapılandırması

 

IP telefonları karmaşıklığı artırır. QoS tedavisi için telefonun bir ses VLAN'ına yerleştirilmesi gerekirken, geçiş bağlantı noktası üzerinden bağlanan bilgisayarın veri VLAN'ına ulaşması gerekir. Her iki cihaz da bir fiziksel anahtar bağlantı noktasını paylaşır.

Yapılandırma, bağlantı noktasının anahtar bağlantı noktası modu erişimi olan bir erişim bağlantı noktası olarak ayarlanmasını, anahtar bağlantı noktası erişim vlanı 10 aracılığıyla veri VLAN'ının atanmasını ve ardından anahtar bağlantı noktası ses vlan'ı 50 kullanılarak ses VLAN'ının ayrı olarak belirtilmesini içerir. Telefon, VLAN atamasını CDP veya LLDP-MED aracılığıyla alır ve trafiğini buna göre etiketler. PC, veri VLAN'ına ulaşan etiketsiz çerçeveler gönderir. Her şey tek bir kablo aracılığıyla çalışır.

Bu, bir bağlantı noktasında iki MAC adresi anlamına gelir. Bağlantı noktası güvenlik ayarları her ikisine de uygun olmalıdır, aksi takdirde tesisler bir masayı her hareket ettirdiğinde hatalı-devre dışı bırakılan arayüzleri kurtarmak için zaman harcarsınız.

 

Otomatik-MDIX

 

Çapraz kablolar ve düz geçişler-eskiden önemliydi. Eski ekipmanlarda anahtardan anahtara düz bir-geçişli kabloyla bağlanırsanız bağlantı açılmazdı-bir geçişe ihtiyacınız vardı.

Otomatik-MDIX'li modern Gigabit Ethernet arayüzleri gerekli kablolamayı algılar ve dahili olarak telafi eder. Bu özellik, arayüz yapılandırma modunda mdix auto aracılığıyla kontrol edilir ve mevcut Cisco donanımlarının çoğunda varsayılan olarak etkindir. Bazı eski donanımlar ve-Cisco olmayan bazı ekipmanlar bu özelliğe sahip değildir. Bir bağlantı kurmayı reddediyorsanız ve kablonun hasar görmesini göz ardı ettiyseniz, bağlantı noktasının arızalandığını varsaymadan önce bir geçişle değiştirmeyi deneyin.

 

Yararlı Doğrulama Komutları

 

Sürekli çalıştırdığım komutlar:

Arayüz durumlarını göster komutu, tek bir görünümde tüm bağlantı noktaları arasında-bağlı ve bağlı değil, VLAN ataması, hız, çift yönlü hızlı bir genel bakış sağlar.

Belirli bir bağlantı noktası tanımlayıcısının takip ettiği gösteri arayüzlerini çalıştırmak, ayrıntılı sayaçlar sunar: giriş/çıkış paketleri, hatalar, kuyruk düşüşleri, son temizleme süresi.

show mac adresi{0}}table arayüz komutunun ardından bağlantı noktası, o arayüzde hangi MAC adreslerinin öğrenildiğini gösterir.

Yayılan ağaç durumu için, yayılan{0}}ağacı göster arayüzü, bağlantı noktasının STP rolünü ve yol maliyetini görüntüler.

Show Interfaces Trunk komutu, tüm aktif trunk'ları izin verilen ve aktif VLAN'larıyla birlikte listeler.

Bağlantı noktası güvenlik durumu, ihlal sayılarını ve o anda öğrenilen adresleri bildiren gösteri bağlantı noktası-güvenlik arayüzünden gelir.

Filtreleme için çıktıyı dahil etme yoluyla yönlendirebilirsiniz. Bağlı olanı dahil etmek için durum komutunu bir kanalla çalıştırmak yalnızca etkin bağlantılara sahip bağlantı noktalarını görüntüler. Devre dışı bırakılan arayüzlerin sayfaları arasında gezinmeyi kaydeder.

 

Hatalı-Devre Dışı Bırakılan Bağlantı Noktalarını Kurtarma

 

Bir bağlantı noktası hatalı-devre dışı görünüyor. Zıplamadan önce nedenini anlayın. Show Interfaces Status komutu mevcut durumu ortaya koyarken show errorable Recovery, hangi kurtarma mekanizmalarının yapılandırıldığını ve bunların zamanlayıcılarını görüntüler.

Yaygın tetikleyiciler arasında bağlantı noktası güvenlik ihlalleri, BPDU Guard aktivasyonu, aşırı bağlantı çırpma ve tek yönlü fiber sorunlarını tespit eden UDLD hataları yer alır.

Otomatik kurtarma genel yapılandırma modunda yapılandırılabilir. Hatalı kurtarma nedeni tüm komutu, tüm tetikleyici türleri için otomatik kurtarmayı etkinleştirirken, hatalı kurtarma aralığı 300, yeniden deneme zamanlayıcısını 300 saniyeye ayarlar.

Otomatik kurtarma yapılandırılmadığında manuel müdahale gerekir. Arayüz yapılandırma bağlamına girin, bağlantı noktasını yönetimsel olarak devre dışı bırakmak için kapatma işlemini gerçekleştirin, ardından tekrar açmak için kapatma işlemi yapmayın.

Körü körüne-incelemeden yeniden etkinleştirme, kısa süre sonra tekrar yapacağınızı garanti eder. BPDU Guard tetiklendiyse birisi bir anahtar takmış demektir. Bağlantı noktası güvenliği tetiklenirse yetkisiz bir aygıt ortaya çıktı. Altta yatan nedenin ele alınması gerekiyor.

 

Kapanış Gözlemleri

 

GB bağlantı noktası yapılandırması kavramsal olarak karmaşık değildir ancak ayrıntılar birikmektedir. Kaçırılan bir VLAN ataması, yanlış bir hat ayarı, IP telefonunu hesaba katmayan bir bağlantı noktası güvenlik sınırı-küçük gözetimler, önemli kesintilere neden olur.

Yapılandırmalarınızı belgeleyin. Fiziksel bağlantı noktalarını açıkça etiketleyin. Yaygın senaryolar için şablonlar oluşturun ve bunları tutarlı bir şekilde uygulayın.

Mümkün olduğunda bakım pencereleri sırasında değişiklikleri test edin. Bu çok açık bir tavsiye. Bu aynı zamanda rastgele bir Salı günü saat 15.00'te tamamen öngörülebilir sonuçlarla görmezden geldiğim bir tavsiye.