{"id":36454,"date":"2019-10-31T22:11:44","date_gmt":"2019-10-31T19:11:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor\/"},"modified":"2019-10-31T22:11:44","modified_gmt":"2019-10-31T19:11:44","slug":"opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","title":{"rendered":"TP-Link T2600G-28SQ optisk switch til serviceudbydere: en detaljeret anmeldelse\u00a0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Udviklingen af storbyer og dannelsen af agglomerationer er en af de vigtigste sociale udviklingstrends i dag. Kun i Moskva skal der i 2019 udvides med 4 millioner kvadratmeter boligareal (uden at tage h\u00f8jde for 15 beboede steder, der skal tilsluttes i 2020). P\u00e5 hele dette enorme omr\u00e5de skal telekommunikationsoperat\u00f8rerne s\u00f8rge for, at brugerne har adgang til internettet. Dette kan v\u00e6re b\u00e5de bym\u00e6ssige kvarterer med t\u00e6t bebyggelse i h\u00f8jden og mere 'udspredte' ferieboligomr\u00e5der. Kravene til udstyret varierer afh\u00e6ngigt af disse tilf\u00e6lde. Vi har analyseret hver af disse scenarier og skabt en universel model af den optiske switch \u2014 T2600G-28SQ. I dette indl\u00e6g vil vi grundigt gennemg\u00e5 enhedens funktioner, som vil v\u00e6re interessante for telekommunikationsoperat\u00f8rer i hele Rusland.<\/p>\n

\"TP-Link
\n<\/a><\/noindex><\/p>\n

Plads i netv\u00e6rket<\/h2>\n

\nSwitch T2600G-28SQ er designet til b\u00e5de adgangsniveau i netv\u00e6rket og aggregatiing af links fra andre adgangsswitches. Det er en anden niveau switch, der udf\u00f8rer switching og statisk routing. Hvis operat\u00f8ren har b\u00e5de switching og aggregation, samt adgang (routing kun i netv\u00e6rkets kerne), vil T2600G-28SQ kunne tilpasses til hvilket som helst niveau. I tilf\u00e6lde af dynamisk routet aggregation skal man dog tage h\u00f8jde for visse begr\u00e6nsninger i brugsscenarierne.<\/p>\n

Modellen T2600G-28SQ er en fuldgyldig aktiv Ethernet-switch uden de begr\u00e6nsninger, der opst\u00e5r ved brug af teknologier som xPON eller lignende. For eksempel uden risiko for pludselig hastighedsnedgang med stigende antal brugere eller d\u00e5rlig kompatibilitet mellem udstyr fra forskellige leverand\u00f8rer og firmware. Til enhedens gr\u00e6nseflader kan b\u00e5de slutbrugere og underliggende adgangsswitches med optiske uplinks tilsluttes, for eksempel modellen T2600G-28TS. Nedenfor vises de mest almindelige eksempler p\u00e5 s\u00e5danne forbindelser.<\/p>\n

\"TP-Link
\n
\nFor at f\u00e5 adgang til netv\u00e6rket fra slutbrugeren kan enten fiberoptik eller tvistet par anvendes. P\u00e5 abonnentens side kan fiberoptikken termineres enten med en mediekonverter, for eksempel TP-Link MC220L, eller ved hj\u00e6lp af en optisk gr\u00e6nseflade i en SOHO-router.<\/p>\n

For connecting a nearby client, you can use four RJ-45 ports operating at speeds of 10\/100\/1000 Mbps. If, for some reason, this turns out to be insufficient, the operator can 'convert' the switch's optical interfaces to copper. This can be done using specialized 'copper' SFPs with RJ-45 connectors. However, such a solution cannot be considered typical.<\/p>\n

A few practical examples<\/h2>\n

\nTo complete the picture, we will provide several examples of using the T2600G-28SQ model switches.<\/p>\n

Provider in the Moscow region DIVO<\/a><\/noindex>, which, in addition to the internet, provides telephony and cable TV services, uses the T2600G-28SQ at the access level when building networks in the private sector (cottages and townhouses). From the client's side, the connection is made to routers with SFP ports, as well as media converters. Currently, SOHO routers with SFP ports are not manufactured serially here, but we are certainly considering this.<\/p>\n

Telecommunications operator MKS<\/a><\/noindex> from Pavlovsky Posad district uses T2600G-28SQ switches as 'small aggregation', using T2600G-28TS and T2500G-10TS switches at the access level.<\/p>\n

The group of companies Guarantee<\/a><\/noindex> provides internet access, TV, telephony, and video surveillance systems in the southeast of the Moscow region (Kolomna, Lukhovitsy, Zaraysk, Serebryanye Prudy, Ozyory). The approximate topology here is the same as that of MKS: T2600G-28SQ at the aggregation level, and T2600G-28TS and T2500G-10TS at the access level.<\/p>\n

Provider SKTV<\/a><\/noindex> from Krasnoznamensk provides internet access through a network with deep fiber penetration. The T2600G-28SQ is also at its core.<\/p>\n

In the following sections, we will briefly outline some capabilities of the T2600G-28SQ model. To avoid inflating the material, we left out a number of options: QinQ (VLAN VPN), routing, QoS, etc. We think we can revisit them in one of the next posts.<\/p>\n

Switch capabilities<\/h2>\n

<\/p>\n

Redundancy \u2013 STP<\/h3>\n

\nSTP \u2013 Spanning Tree Protocol. Protokollet for den b\u00e6rende (d\u00e6kkende) tr\u00e6struktur er kendt i mange \u00e5r, takket v\u00e6re den respektable Radia Perlman. I moderne netv\u00e6rk fors\u00f8ger administratorer at undg\u00e5 at bruge dette protokol s\u00e5 meget som muligt. Ja, STP har sine mangler. Og det er godt, hvis der er en alternativ l\u00f8sning. Men som det ofte er, afh\u00e6nger alternativet til dette protokol meget af leverand\u00f8ren. Derfor forbliver Spanning Tree Protocol stadig n\u00e6sten den eneste l\u00f8sning, der underst\u00f8ttes af n\u00e6sten alle producenter og som ogs\u00e5 er kendt af alle netv\u00e6rksadministratorer.<\/p>\n

TP-Link T2600G-28SQ-switchen underst\u00f8tter tre versioner af STP: den klassiske STP (IEEE 802.1D), RSTP (802.1W) og MSTP (802.1S).<\/p>\n

\"TP-Link
\n
\nAf disse muligheder er den almindelige RSTP helt passende for de fleste sm\u00e5 internetudbydere i Rusland, da den har en uomtvistelig fordel i forhold til den klassiske version \u2013 betydeligt kortere konvergeringstid.<\/p>\n

Den mest fleksible protokol i dag er MSTP, der underst\u00f8tter virtuelle netv\u00e6rk (VLAN) og tillader flere forskellige tr\u00e6strukturer, hvilket g\u00f8r det muligt at bruge alle tilg\u00e6ngelige backupstier. Administratoren opretter flere forskellige eksemplarer af tr\u00e6et (op til otte), som hver is\u00e6r betjener et bestemt s\u00e6t af virtuelle netv\u00e6rk.<\/p>\n

\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n\"TP-Link
\n
\nDetaljer om MSTP<\/b>Nybegyndere administratorer skal v\u00e6re meget opm\u00e6rksomme, n\u00e5r de bruger MSTP. Dette skyldes, at protokollets opf\u00f8rsel inden for et omr\u00e5de og mellem omr\u00e5der adskiller sig. Derfor skal man v\u00e6re opm\u00e6rksom p\u00e5 at forblive inden for et enkelt omr\u00e5de, n\u00e5r man konfigurerer switches.<\/p>\n

\"TP-Link
\n
\nHvad er s\u00e5 dette berygtede omr\u00e5de? I termerne for MSTP kaldes et omr\u00e5de et s\u00e6t af sammenkoblede switches, der har de samme egenskaber: omr\u00e5de navn, revisionsnummer og distributionen af virtuelle netv\u00e6rk (VLAN) mellem protokol eksemplarer (instanser).<\/p>\n

Selvf\u00f8lgelig g\u00f8r Spanning Tree-protokollen (i enhver version) ikke kun op med sl\u00f8jfer, der opst\u00e5r ved tilslutning af backupkanaler, men ogs\u00e5 beskyttelse mod kabelforbindelsesfejl, n\u00e5r en ingeni\u00f8r ved et uheld eller med vilje forbinder de forkerte porte og danner en sl\u00f8jfe med sine handlinger.<\/p>\n

Mere erfarne netv\u00e6rksadministratorer foretr\u00e6kker at bruge forskellige ekstra muligheder til at beskytte STP-protokollen mod angreb eller komplekse n\u00f8dsituationer. T2600G-28SQ-modellen tilbyder en hel r\u00e6kke af disse funktioner: Loop Protect, Root Protect, TC Guard, BPDU Protect og BPDU Filter.<\/p>\n

\"TP-Link
\n
\nKorrekt brug af de ovenn\u00e6vnte muligheder sammen med andre underst\u00f8ttede beskyttelsesmekanismer vil stabilisere det lokale netv\u00e6rk og g\u00f8re det mere forudsigeligt.<\/p>\n

Redundans \u2013 LAG<\/h3>\n

\nLAG \u2013 Link Aggregation Group. Dette er en teknologi, der g\u00f8r det muligt at samle flere fysiske kanaler til en logisk. Alle andre protokoller stopper med at bruge de fysiske kanaler, der indg\u00e5r i LAG, hver for sig og begynder at \"se\" \u00e9n logisk interface. Et eksempel p\u00e5 en s\u00e5dan protokol er STP.<\/p>\n

\"TP-Link
\n
\nLastbalancering af brugertrafik mellem de fysiske kanaler inden for den logiske udf\u00f8res p\u00e5 grundlag af en hashv\u00e6rdi. For at beregne denne kan MAC-adresserne for senderen, modtageren, eller deres par anvendes; s\u00e5vel som IP-adresserne for senderen og modtageren, eller deres par. Oplysninger fra fjerde niveau protokoller (TCP\/UDP porte) tages ikke i betragtning.<\/p>\n

T2600G-28SQ-switchen underst\u00f8tter statiske og dynamiske LAG.<\/p>\n

\"TP-Link
\n
\n\"TP-Link
\n
\nFor at forhandle parametrene for drift af den dynamiske gruppe anvendes LACP-protokollen.<\/p>\n

Sikkerhed \u2013 adgangslister (ACL)<\/h3>\n

\nVores T2600G-28SQ-switch giver mulighed for at filtrere brugertrafik ved hj\u00e6lp af adgangslister (ACL \u2013 Access Control List).<\/p>\n

De underst\u00f8ttede adgangslister kan v\u00e6re af flere forskellige typer: MAC og IP (IPv4\/IPv6), kombinerede, samt til indholdsfiltrering. Antallet af underst\u00f8ttede adgangslister af hver type afh\u00e6nger af den SDM-skabelon, der i \u00f8jeblikket anvendes, som vi har beskrevet i et andet afsnit.<\/p>\n

\"TP-Link
\n
\nOperat\u00f8ren kan bruge denne mulighed til at blokere for forskellige u\u00f8nskede trafik i netv\u00e6rket. Et eksempel p\u00e5 s\u00e5dan trafik kan v\u00e6re IPv6-pakker (ved hj\u00e6lp af EtherType-feltet), hvis den tilsvarende tjeneste ikke leveres; eller blokere SMB ved port 445. I netv\u00e6rk med statisk adressering er DHCP\/BOOTP trafik un\u00f8dvendig, s\u00e5 med hj\u00e6lp fra ACL kan administratoren filtrere UDP-datagrammer ved portene 67 og 68. Lokalt IPoE trafik kan ogs\u00e5 blokeres via ACL. Denne blokering kan v\u00e6re efterspurgt i netv\u00e6rk fra operat\u00f8rer, der anvender PPPoE.<\/p>\n

Processen med at bruge adgangslister er meget simpel. Efter oprettelsen af selve listen skal man tilf\u00f8je det n\u00f8dvendige antal poster, hvis type afh\u00e6nger direkte af den konfigurerede liste.<\/p>\n

Konfiguration af adgangslister<\/b>\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n
\nDet er v\u00e6rd at bem\u00e6rke, at adgangslister ikke kun kan udf\u00f8re almindelige operationer vedr\u00f8rende tilladelse eller blokering af trafik, men ogs\u00e5 kan udf\u00f8re omdirigering, spejling samt udf\u00f8re omm\u00e6rkning eller begr\u00e6nse hastigheden.
\nN\u00e5r alle n\u00f8dvendige ACL'er er oprettet, kan administratoren installere dem. Det er tilladt at vedh\u00e6fte adgangslisten b\u00e5de til den fysiske port og til et specifikt virtuelt netv\u00e6rk.<\/p>\n

\"TP-Link
\n<\/p>\n

Sikkerhed \u2013 antal MAC-adresser<\/h3>\n

\nNogle gange har operat\u00f8rerne behov for at begr\u00e6nse antallet af MAC-adresser, som switchen l\u00e6rer p\u00e5 en given port. Adgangslister g\u00f8r det muligt at opn\u00e5 den \u00f8nskede effekt, men kr\u00e6ver, at de specifikke MAC-adresser angives. Hvis man kun \u00f8nsker at begr\u00e6nse antallet af kanale adresser uden at angive dem eksplicit, kan port security hj\u00e6lpe.<\/p>\n

\"TP-Link
\n
\nS\u00e5dan en begr\u00e6nsning kan v\u00e6re n\u00f8dvendig, for eksempel for at beskytte mod tilslutning af et helt lokalt netv\u00e6rk til \u00e9n switch-interface fra udbyderen. Her skal det bem\u00e6rkes, at der er tale om en switch-forbindelse, da der kun vil blive l\u00e6rt \u00e9n adresse, som er MAC-adressen til WAN-porten p\u00e5 kundens router, ved tilslutning gennem en router.<\/p>\n

Der er en hel klasse af angreb, der er rettet mod switching-tabellen. Dette kan v\u00e6re b\u00e5de overflow af tabellen og MAC-spoofing. Muligheden for port-sikkerhed giver beskyttelse mod overfyldning af bro-tabeller og angreb, der har til form\u00e5l at genl\u00e6re switchen og forgifte dens bridge-tabel.<\/p>\n

Man kan ikke undg\u00e5 at n\u00e6vne problemer med klientudstyr, der simpelthen fejler. Det er ikke ualmindeligt, at en inkompatibel netv\u00e6rkskort eller router skabe en str\u00f8m af pakker med helt vilk\u00e5rlige sender- og modtageradresser. En s\u00e5dan str\u00f8m kan let t\u00f8mme CAM.<\/p>\n

Endnu en metode til at begr\u00e6nse antallet af poster i bro-tabellen er v\u00e6rkt\u00f8jet MAC VLAN Security, hvor administratoren kan angive det maksimale antal poster for et bestemt virtuelt netv\u00e6rk.<\/p>\n

\"TP-Link
\n
\nUdover at styre de dynamiske poster i switching-tabellen kan administratoren ogs\u00e5 oprette statiske poster.<\/p>\n

\"TP-Link
\n
\nDen maksimale bro-tabel for modellen T2600G-28SQ kan rumme op til 16K poster.
\nEn anden funktion, der er designet til at filtrere brugertrafik, er Port Isolation-funktionen, som klart angiver i hvilken retning videresendelse er tilladt.<\/p>\n

\"TP-Link
\n
\n\"TP-Link<\/p>\n

Sikkerhed \u2013 IMPB<\/h3>\n

\nI vores enorme hjemplads n\u00e6rmer telekommunikationsudbydere sig sp\u00f8rgsm\u00e5let om netv\u00e6rkssikkerhed fra total ignorering til maksimal udnyttelse af alle underst\u00f8ttede udstyrsindstillinger.<\/p>\n

Funktionerne IPv4 IMPB (IP-MAC-Port Binding) og IPv6 IMPB beskytter mod en bred vifte af angreb, der involverer IP- og MAC-adresseforsyning fra abonnenter ved at binde IP- og MAC-adresserne til udstyrets switch-interface hos udbyderen. Denne binding kan ske manuelt eller ved hj\u00e6lp af funktioner som ARP Scanning og DHCP Snooping.<\/p>\n

Grundindstillinger for IMPB<\/b>\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link<\/p>\n

Retf\u00e6rdigheden m\u00e5 siges, at der kan bruges en s\u00e6rlig funktion til at beskytte DHCP-protokollen \u2013 DHCP Filter.<\/p>\n

\"TP-Link
\n
\n\"TP-Link
\n
\nMed denne funktion kan netv\u00e6rksadministratoren manuelt angive de interfaces, der er tilsluttet \u00e6gte DHCP-servere. Derved kan falske DHCP-servere ikke tr\u00e6nge ind i processen med at forhandle IP-parametre.<\/p>\n

Sikkerhed \u2013 DoS Defend<\/h3>\n

\nDen betragtede model g\u00f8r det muligt at beskytte brugerne mod flere af de mest kendte og tidligere udbredte DoS-angreb.<\/p>\n

\"TP-Link
\n
\nSt\u00f8rstedelen af de n\u00e6vnte angreb er ikke l\u00e6ngere en trussel mod enheder med moderne operativsystemer, men der kan stadig forekomme enheder i vores netv\u00e6rk, hvor den seneste softwareopdatering blev udf\u00f8rt for mange \u00e5r siden.<\/p>\n

Underst\u00f8ttelse af DHCP<\/h3>\n

\nTP-Link T2600G-28SQ-switch kan fungere b\u00e5de som DHCP-server eller rel\u00e6 samt udf\u00f8re forskellige filtreringer af DHCP-beskeder, hvis en anden enhed fungerer som server.<\/p>\n

Den nemmeste m\u00e5de at give brugerne de n\u00f8dvendige IP-parametre p\u00e5 er ved at anvende den indbyggede DHCP-server i switchen. Med denne kan de grundl\u00e6ggende parametre allerede gives til abonnenter.<\/p>\n

\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n
\nVi tilsluttede vores SOHO-router Archer C6 til en af switchens interfaces og bekr\u00e6ftede, at klientenheden modtog adressen succesfuldt.<\/p>\n

Det ser s\u00e5dan her ud<\/b>\"TP-Link
\n
\n\"TP-Link
\n
\nDen indbyggede DHCP-server i switchen er m\u00e5ske ikke den mest skalerbare og fleksible l\u00f8sning: der er ikke underst\u00f8ttelse af ikke-standardiserede muligheder, og der er ingen forbindelse til IPAM. Hvis operat\u00f8ren har brug for mere kontrol over IP-adressefordelingsprocessen, anvendes en dedikeret DHCP-server.<\/p>\n

T2600G-28SQ g\u00f8r det muligt at angive en separat dedikeret DHCP-server for hver brugerunder-netv\u00e6rk, hvortil beskeder fra den diskuterede protokol vil blive omdirigeret. Valget af under-netv\u00e6rk sker ved at angive den relevante L3-gr\u00e6nseflade: VLAN (SVI), routed port eller port-channel.<\/p>\n

\"TP-Link
\n
\n\"TP-Link
\n
\nFor at teste rel\u00e6ets funktionalitet har vi konfigureret en separat router fra en anden leverand\u00f8r til at fungere som DHCP-server, hvis indstillinger er pr\u00e6senteret nedenfor.<\/p>\n

R1#sho run | s pool\nip dhcp pool test\n\u00a0network 192.168.0.0 255.255.255.0\n\u00a0default-router 192.168.0.1\n\u00a0dns-server 8.8.8.8<\/code><\/pre>\n
\nKlientrouteren har endnu en gang modtaget en IP-adresse succesfuldt.<\/p>\n
R1#sho ip dhcp binding\nBindings fra alle puljer, der ikke er tilknyttet VRF:\nIP-adresse\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 Client-ID\/            Lease expiration        Type\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Hardware adresse\/\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Brugernavn\n192.168.0.2 \u00a0 \u00a0 \u00a0 \u00a0 010c.8063.f0c2.6a   \u00a0 \u00a0 24. maj 2019 17:07    Automatisk<\/code><\/pre>\n
\nUnder spoileren \u2014 indholdet af den opfange pakke mellem switchen og den dedikerede DHCP-server.<\/p>\n
Indholdet af pakken<\/b>\"TP-Link
\nDet er umuligt at undg\u00e5 at n\u00e6vne underst\u00f8ttelsen af Option 82 fra switchen. Ved aktivering af denne funktion vil switchen tilf\u00f8je information om brugergr\u00e6nsefladen, som DHCP Discover-beskeden blev modtaget fra. Derudover tillader modellen T2600G-28SQ at konfigurere politikken for behandling af den tilf\u00f8jede information, n\u00e5r option nr. 82 inds\u00e6ttes. Underst\u00f8ttelsen af den n\u00e6vnte option kan v\u00e6re nyttig, n\u00e5r abonnenten har brug for at f\u00e5 tildelt den samme IP-adresse, uanset hvilken klient-id han\/hun rapporterer.
\nNedenfor er et billede af DHCP Discover-beskeden (senderen) med den tilf\u00f8jede option nr. 82.<\/p>\n
Besked med option nr. 82<\/b>\"TP-Link
\nSelvf\u00f8lgelig kan du ogs\u00e5 administrere option nr. 82 uden at konfigurere en fuld DHCP-rel\u00e6; de relevante indstillinger er pr\u00e6senteret i underafsnittet \u201eDHCP L2 Relay\u201c.<\/p>\n
\"TP-Link
\n
\n\"TP-Link
\n
\nLad os nu \u00e6ndre DHCP-serverindstillingerne for at demonstrere funktionen af option nr. 82.<\/p>\n
R1#sho run | s dhcp\nip dhcp pool test\n\u00a0network 192.168.0.0 255.255.255.0\n\u00a0default-router 192.168.0.1\n\u00a0dns-server 8.8.8.8\n\u00a0class option82_test\n\u00a0\u00a0address range 192.168.0.222 192.168.0.222\nip dhcp class option82_test\n\u00a0relay agent information\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0relay-information hex 010e010c74702d6c696e6b5f746573740208000668ff7b66f675\nR1#sho ip dhcp binding\nBindings fra alle pools, ikke tilknyttet VRF:\nIP-adresse\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 Client-ID\/          \u00a0 \u00a0 Lejeudl\u00f8b        Type\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Hardware adresse\/\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Brugernavn\n192.168.0.222 \u00a0 \u00a0 \u00a0 010c.8063.f0c2.6a   \u00a0 \u00a0 24. maj 2019 05:33 PM    Automatisk<\/code><\/pre>\n
S\u00e5dan her ser det cirka ud<\/b>\"TP-Link
\nDHCP interface relay-funktionen vil v\u00e6re nyttig, n\u00e5r switchen ikke kun har en L3-interface tilsluttet et bestemt netv\u00e6rk, men ogs\u00e5 at denne interface har en IP-adresse. I tilf\u00e6lde af mangel p\u00e5 en adresse p\u00e5 en s\u00e5dan interface, vil DHCP VLAN relay-funktionen tr\u00e6de til. Information om subnettet tages i dette tilf\u00e6lde fra standardinterfacet, hvilket betyder, at adresseomr\u00e5derne i flere virtuelle netv\u00e6rk vil v\u00e6re de samme (overlappe).<\/p>\n
\"TP-Link
\n
\nOfte har operat\u00f8rer ogs\u00e5 brug for at beskytte abonnenter mod fejlagtig eller ondsindet aktivering af DHCP-servere p\u00e5 klientudstyr. Vi har besluttet at diskutere denne funktionalitet i et afsnit, der omhandler sikkerhedssp\u00f8rgsm\u00e5l.<\/p>\n
IEEE 802.1X<\/h3>\n
\nEn af metoderne til at autentificere brugere i netv\u00e6rket er brugen af protokollen IEEE 802.1X. Selvom populariteten af denne protokol i telekommunikationsnetv\u00e6rk i Rusland er faldende, anvendes den stadig prim\u00e6rt i lokale netv\u00e6rk i st\u00f8rre virksomheder til autentificering af interne brugere. I switchen T2600G-28SQ er 802.1X underst\u00f8ttet, s\u00e5 udbyderen kan nemt aktivere det hvis n\u00f8dvendigt.<\/p>\n
For at protokollen IEEE 802.1X kan fungere, kr\u00e6ves der tre deltagere: klientudstyr (supplicant), udbyderens adgangsswitch (authenticator) og autentificeringsservere (normalt RADIUS-servere).<\/p>\n
\"TP-Link
\n
\nDen grundl\u00e6ggende konfiguration fra operat\u00f8rens side er ekstremt simpel. Det kr\u00e6ver blot at angive IP-adressen for den anvendte RADIUS-server, hvor brugerens databaser vil blive opbevaret, samt v\u00e6lge de interfaces, der kr\u00e6ver autentificering.<\/p>\n
Grundl\u00e6ggende indstilling af 802.1X<\/b>\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n
\nFra klientens side kr\u00e6ves der ogs\u00e5 en minimal konfiguration. Alle moderne operativsystemer har allerede det n\u00f8dvendige software. Men om n\u00f8dvendigt kan TP-Link 802.1x Client installeres og bruges \u2013 en applikation, der muligg\u00f8r klientautentificering i netv\u00e6rket.<\/p>\n
N\u00e5r en brugers PC er tilsluttet direkte til udbyderens netv\u00e6rk, skal autentificeringsindstillinger aktiveres for det netv\u00e6rkskort, der bruges til forbindelsen.<\/p>\n
\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n
\nImidlertid tilsluttes der normalt ikke en brugers computer direkte til operat\u00f8rens netv\u00e6rk, men en form for SOHO-router, der muligg\u00f8r drift af abonnentens lokale netv\u00e6rk (b\u00e5de kablede og tr\u00e5dl\u00f8se segmenter). I dette tilf\u00e6lde skal alle indstillinger for protokollen 802.1X udf\u00f8res direkte p\u00e5 routeren.<\/p>\n
\"TP-Link
\n
\nVi mener, at denne autentificeringsmetode er blevet uretf\u00e6rdigt glemt i operat\u00f8rsnetv\u00e6rk. Ja, en h\u00e5rd binding af abonnenten til switchporten kan m\u00e5ske v\u00e6re en simplere l\u00f8sning med hensyn til indstillinger af brugerudstyr. Men hvis brugen af brugernavn og adgangskode er n\u00f8dvendig, vil 802.1X ikke v\u00e6re en s\u00e5 tungv\u00e6gtsprotokol sammenlignet med de anvendte forbindelser baseret p\u00e5 PPTP\/L2TP\/PPPoE-tunneller.<\/p>\n
PPPoE ID Inds\u00e6ttelse<\/h3>\n
\nMange brugere, ikke kun i vores land, men ogs\u00e5 i hele verden, foretr\u00e6kker stadig at bruge ekstremt enkle adgangskoder. Desv\u00e6rre er tilf\u00e6lde af tyveri af legitimationsoplysninger ikke sj\u00e6ldne. Hvis en operat\u00f8r bruger PPPoE-protokollen til at autentificere brugere i sit netv\u00e6rk, kan TP-Link T2600G-28SQ-switch hj\u00e6lpe med at l\u00f8se problemet med l\u00e6kage af legitimationsoplysninger. Dette opn\u00e5s ved at tilf\u00f8je en s\u00e6rlig markering til PPPoE Active Discovery-beskeden. P\u00e5 denne m\u00e5de kan udbyderen autentificere abonnenten ikke kun ved hj\u00e6lp af brugernavn og adgangskode, men ogs\u00e5 med supplerende oplysninger. Disse supplerende oplysninger inkluderer MAC-adressen p\u00e5 klientenheden samt porten p\u00e5 switchen, som den er tilsluttet.<\/p>\n
\"TP-Link
\n
\nNogle operat\u00f8rer \u00f8nsker generelt at forbyde abonnenten (bruger-id og adgangskode) muligheden for at bev\u00e6ge sig rundt i netv\u00e6rket. Funktionen PPPoE ID Insertion hj\u00e6lper ogs\u00e5 i dette tilf\u00e6lde.<\/p>\n
IGMP<\/h3>\n
\nIGMP-protokollen (Internet Group Management Protocol) har eksisteret i flere \u00e5rtier. Dens popularitet er helt forst\u00e5elig og let at forklare. Men der deltager to parter i IGMP-interaktionen: brugerens PC (eller enhver anden enhed, f.eks. STB) og IP-routeren, der betjener et bestemt netv\u00e6rk. Switches deltager ikke i denne udveksling. Dog er den sidste p\u00e5stand ikke helt korrekt. Eller i moderne netv\u00e6rk er det slet ikke korrekt. Switchens support for IGMP-protokollen er n\u00f8dvendigt for at optimere overf\u00f8rslen af multicast-trafik. Ved at lytte til brugertrafik opdager switchen IGMP Report-beskeder i den, hvormed den identificerer porte til overf\u00f8rsel af multicast-trafik. Denne beskreven mulighed kaldes IGMP Snooping.<\/p>\n
\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n
\nUnderst\u00f8ttelsen af IGMP-protokollen kan bruges ikke kun til at optimere trafik som s\u00e5dan, men ogs\u00e5 til at identificere abonnenter, der kan have adgang til en bestemt service, f.eks. IPTV. Det \u00f8nskede m\u00e5l kan opn\u00e5s b\u00e5de ved at konfigurere filtreringsparametre manuelt og ved at bruge autentificering.<\/p>\n
\"TP-Link
\n
\n\"TP-Link
\n\"TP-Link
\n
\nUnderst\u00f8ttelsen af multicast-trafik p\u00e5 TP-Link-switches er implementeret ganske fleksibelt. For eksempel kan alle parametre indstilles for hver virtuel netv\u00e6rk hver for sig.<\/p>\n
\"TP-Link
\n
\n\"TP-Link
\n
\nHvis der er flere undernetv\u00e6rk tilsluttet en enkelt routergr\u00e6nseflade, hvor modtagere af multicast-trafik er placeret, vil denne router v\u00e6re n\u00f8dt til at sende flere kopier af pakkerne gennem denne gr\u00e6nseflade (\u00e9n for hvert virtuelt netv\u00e6rk). 
\nProceduren for videresendelse af multicast-trafik kan optimeres i dette tilf\u00e6lde ved hj\u00e6lp af teknologien MVR \u2013 Multicast VLAN Registration.<\/p>\n
\"TP-Link
\n
\n\"TP-Link
\n
\nEssensen af l\u00f8sningen er, at der oprettes et enkelt virtuelt netv\u00e6rk, der forbinder alle modtagere. Dette virtuelle netv\u00e6rk bruges dog kun til multicast-trafik. Denne tilgang g\u00f8r det muligt for routeren at sende kun \u00e9n kopi af multicast-trafikken gennem gr\u00e6nsefladen.<\/p>\n
DDM, OAM og DLDP<\/h3>\n
\nDDM \u2013 Digital Diagnostic Monitoring. I l\u00f8bet af brugen af optiske moduler er det ofte n\u00f8dvendigt at overv\u00e5ge tilstanden af selve modulet samt det optiske kanal, som det er tilsluttet. Denne opgave kan l\u00f8ses ved hj\u00e6lp af DDM-funktionen. Med dens hj\u00e6lp kan operat\u00f8rens teknikere overv\u00e5ge temperaturen p\u00e5 hvert modul, der underst\u00f8tter denne funktionalitet, sp\u00e6ndingen p\u00e5 det og str\u00f8mmen, samt effekten af det sendte og modtagne optiske signal.<\/p>\n
\"TP-Link
\n
\nIndstilling af t\u00e6rskelniveauer for de tidligere n\u00e6vnte parametre vil g\u00f8re det muligt at generere en h\u00e6ndelse, hvis de overstiger det tilladte interval.<\/p>\n
Indstilling af udl\u00f8sningst\u00e6skler for DDM<\/b>\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n
\nSelvf\u00f8lgelig kan administratoren se de aktuelle v\u00e6rdier for de n\u00e6vnte parametre.<\/p>\n
\"TP-Link
\n
\nTP-Link T2600G-28SQ-switchen har et aktivt luftk\u00f8lingssystem. Desuden har vi aldrig oplevet overophedning af SFP-moduler i vores switches relateret til portt\u00e6thed. Men hvis man teoretisk set antager muligheden (f.eks. p\u00e5 grund af et problem inde i SFP-modulet), vil administratoren straks blive underrettet om en potentielt farlig situation ved hj\u00e6lp af DDM. Gefaren her er \u00e5benbart ikke for selve switchen, men for dioden\/laseren inde i SFP, da en stigning i temperaturen kan f\u00f8re til nedbrydning af den udsendte optiske signalstyrke, hvilket vil resultere i et fald i det optiske budget.<\/p>\n
Det er ogs\u00e5 v\u00e6rd at bem\u00e6rke, at TP-Link switches ikke har nogen \"vendor lock\"-funktion, hvilket betyder, at alle kompatible SFP-moduler underst\u00f8ttes, hvilket selvf\u00f8lgelig vil v\u00e6re meget praktisk for netv\u00e6rksadministratorer.<\/p>\n
OAM \u2014 Drift, Administration og Vedligeholdelse (IEEE 802.3ah). OAM er en protokol p\u00e5 det andet lag af OSI-modellen, der er designet til overv\u00e5gning og fejlfinding i Ethernet-netv\u00e6rk. Med denne protokol kan switchen overv\u00e5ge ydeevnen af en specifik forbindelse og fejl, generere meddelelser, s\u00e5 netv\u00e6rksadministratoren mere effektivt kan administrere netv\u00e6rket.<\/p>\n
Basisindstilling af OAM<\/b>\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n
\nDetaljer om OAMs funktionalitet<\/b>To naboenheder, der underst\u00f8tter OAM, foretager periodisk kommunikation ved at sende OAMPDU, som findes i tre typer: Informational, Event Notification og Loopback Control. Med informations-OAMPDU sender naboswitchene statistiske oplysninger til hinanden samt data, der er defineret af administratoren. Denne type meddelelser bruges ogs\u00e5 til at opretholde forbindelsen via OAM-protokollen. Meddelelserne Event Notification anvendes af forbindelsesoverv\u00e5gningsfunktionen til at underrette den modsatte part om opst\u00e5ede fejl. Til at detektere l\u00f8kker i linjen bruges meddelelserne Loopback Control.<\/p>\n
Nedenfor har vi valgt at n\u00e6vne de prim\u00e6re funktioner, der tilbydes af OAM-protokollen:<\/p>\n