{"id":36454,"date":"2019-10-31T22:11:44","date_gmt":"2019-10-31T19:11:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor\/"},"modified":"2019-10-31T22:11:44","modified_gmt":"2019-10-31T19:11:44","slug":"opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","title":{"rendered":"Optischer Switch TP-Link T2600G-28SQ f\u00fcr Serviceprovider: detaillierte \u00dcbersicht\u00a0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Expansion gro\u00dfer St\u00e4dte und die Bildung von Agglomerationen ist einer der wichtigen Trends der sozialen Entwicklung heute. Allein Moskau soll im Jahr 2019 um 4 Millionen Quadratmeter Wohnfl\u00e4che wachsen (und das sind nicht einmal die 15 Siedlungen, die bis 2020 angeschlossen werden). In diesem riesigen Gebiet m\u00fcssen die Telekommunikationsanbieter den Nutzern Zugang zum Internet bereitstellen. Dies k\u00f6nnen sowohl st\u00e4dtische Wohngebiete mit dichter Mehrfamilienh\u00e4usern als auch \u201elockere\u201c Wochenendsiedlungen sein. In diesen F\u00e4llen unterscheiden sich die Anforderungen an die Ausstattung etwas. Wir haben jedes dieser Szenarien analysiert und ein universelles Modell eines optischen Switches \u2013 T2600G-28SQ \u2013 entwickelt. In diesem Beitrag werden wir die M\u00f6glichkeiten des Ger\u00e4ts im Detail beleuchten, die f\u00fcr Telekommunikationsanbieter in ganz Russland von Interesse sind.<\/p>\n

\"Optischer
\n<\/a><\/noindex><\/p>\n

Platz im Netzwerk<\/h2>\n

\nDer Switch T2600G-28SQ ist sowohl f\u00fcr den Zugriff auf Netzwerke als auch f\u00fcr die Aggregation von Verbindungen anderer Zugriffsswitches konzipiert. Dies ist ein Switch der zweiten Ebene, der Switching und statisches Routing durchf\u00fchrt. Wenn der Anbieter sowohl Aggregation als auch Zugang auf schaltbare Weise eingerichtet hat (Routing nur im Kernnetz), passt sich der T2600G-28SQ an jede dieser Ebenen an. Bei dynamisch gerouteter Aggregation m\u00fcssen jedoch einige Einschr\u00e4nkungen hinsichtlich der Nutzungsszenarien ber\u00fccksichtigt werden.<\/p>\n

Das Modell T2600G-28SQ ist ein vollst\u00e4ndiger aktiver Ethernet-Switch ohne zus\u00e4tzliche Einschr\u00e4nkungen, die bei der Verwendung von xPON-Technologien oder \u00e4hnlichem entstehen. Zum Beispiel ohne die Gefahr einer drastischen Geschwindigkeitsreduktion mit zunehmender Anzahl von Nutzern oder schlechter Kompatibilit\u00e4t zwischen Ger\u00e4ten unterschiedlicher Anbieter und Firmware. An die Schnittstellen des Ger\u00e4ts k\u00f6nnen sowohl Endnutzer als auch untergeordnete Zugriffsswitches mit optischen Uplinks angeschlossen werden, zum Beispiel das Modell T2600G-28TS. Im Diagramm unten sind die h\u00e4ufigsten Beispiele solche Verbindungen dargestellt.<\/p>\n

\"Optischer
\n
\nF\u00fcr den Zugang zum Netz des Endnutzers kann sowohl ein optisches Kabel als auch ein verdrilltes Paar verwendet werden. Auf der Seite des Abonnenten kann das optische Kabel entweder durch einen Medienkonverter (Media Converter), zum Beispiel TP-Link MC220L, oder mit einem optischen Schnittstelle in einem SOHO-Router abgeschlossen werden.<\/p>\n

Um einen nahen klienten zu verbinden, k\u00f6nnen vier RJ-45-Ports verwendet werden, die mit Geschwindigkeiten von 10\/100\/1000 Mbit\/s arbeiten. Sollte dies aus irgendeinem Grund nicht ausreichen, kann der Betreiber die optischen Schnittstellen des Switches in kupferne umwandeln. Dies kann mit speziellen \u201ekupfernen\u201c SFP-Modulen mit RJ-45-Anschluss erfolgen. Diese L\u00f6sung ist jedoch nicht als Standard zu bezeichnen.<\/p>\n

Einige Beispiele aus der Praxis<\/h2>\n

\nUm das Bild zu vervollst\u00e4ndigen, bringen wir einige Beispiele f\u00fcr die Verwendung von Switches des Modells T2600G-28SQ.<\/p>\n

Provider aus der Region Moskau \u201eDIVO\u201c<\/a><\/noindex>, die neben Internet auch Telefonie- und Kabel-TV-Dienste anbieten, nutzen den T2600G-28SQ als Zugangsebene beim Aufbau von Netzwerken in Wohngebieten (Einfamilienh\u00e4user und Reihenh\u00e4user). Vom Kunden aus erfolgt die Verbindung zu Routern mit SFP-Anschluss sowie Medienkonvertern. Momentan werden bei uns keine SOHO-Router mit SFP-Anschluss serienm\u00e4\u00dfig hergestellt, aber wir denken nat\u00fcrlich dar\u00fcber nach.<\/p>\n

Telekommunikationsanbieter MKS<\/a><\/noindex> aus dem Bezirk Pawlowsk-Posad verwendet Switches T2600G-28SQ als \u201ekleine Aggregation\u201c, unter Verwendung von Switches der Modelle T2600G-28TS und T2500G-10TS f\u00fcr den Zugang.<\/p>\n

Die Unternehmensgruppe \u201eGarantie\u201c<\/a><\/noindex> bietet im S\u00fcdosten der Region Moskau (Kolomna, Luhowizy, Sarajsk, Silberne Teiche, \u00d6sser) Zugang zum Internet, TV, Telefonie und Videosurveillance-Systeme an. Die ungef\u00e4hre Topologie hier \u00e4hnelt der von MKS: T2600G-28SQ auf der Aggregationsebene und T2600G-28TS sowie T2500G-10TS auf der Zugangsebene.<\/p>\n

Provider SKTV<\/a><\/noindex> aus Krasnoznamensk bietet Internetzugang \u00fcber ein Netzwerk mit tiefem Glasfaser-Einsatz an. Auch hier basieren die Systeme auf T2600G-28SQ.<\/p>\n

In den folgenden Abschnitten werden wir einige Funktionen des Modells T2600G-28SQ kurz beschreiben. Um das Material nicht aufzubl\u00e4hen, lassen wir einige Optionen wie QinQ (VLAN VPN), Routing, QoS usw. au\u00dfen vor. Wir glauben, dass wir in einem der n\u00e4chsten Beitr\u00e4ge darauf zur\u00fcckkommen k\u00f6nnen.<\/p>\n

Funktionen des Switches<\/h2>\n

<\/p>\n

Redundanz \u2013 STP<\/h3>\n

\nSTP \u2013 Spanning Tree Protocol. Der Spanning-Tree-Protokoll ist schon sehr lange bekannt, daf\u00fcr geb\u00fchrt Dank der angesehenen Radia Perlman. In modernen Netzwerken versuchen Administratoren, die Verwendung dieses Protokolls zu vermeiden. Ja, STP hat seine Nachteile. Es ist jedoch vorteilhaft, wenn es eine Alternative gibt. Wie so oft h\u00e4ngt die Alternative zu diesem Protokoll stark vom Anbieter ab. Deshalb bleibt das Spanning Tree Protocol bis heute fast die einzige L\u00f6sung, die von nahezu allen Herstellern unterst\u00fctzt wird und allen Netzwerkadministratoren bekannt ist.<\/p>\n

Der TP-Link Switch T2600G-28SQ unterst\u00fctzt drei STP-Versionen: klassisches STP (IEEE 802.1D), RSTP (802.1W) und MSTP (802.1S).<\/p>\n

\"Optischer
\n
\nF\u00fcr die meisten kleinen Internetanbieter in Russland ist das normale RSTP in der Regel ausreichend, da es im Vergleich zur klassischen Version einen unbestreitbaren Vorteil hat \u2014 eine deutlich k\u00fcrzere Konvergenzzeit.<\/p>\n

Das flexibelste Protokoll ist derzeit MSTP, das virtuelle Netzwerke (VLAN) unterst\u00fctzt und mehrere verschiedene B\u00e4ume zul\u00e4sst, sodass alle verf\u00fcgbaren Backup-Pfade genutzt werden k\u00f6nnen. Der Administrator erstellt mehrere unterschiedliche Instanzen des Baums (bis zu acht), wobei jede bestimmte virtuelle Netzwerke bedient.<\/p>\n

\"Optischer
\n
\n\"Optischer
\n
\n\"Optischer
\n\"Optischer
\n
\nDetailfragen zu MSTP<\/b>Anf\u00e4ngeradministratoren m\u00fcssen beim Einsatz von MSTP sehr vorsichtig sein. Das liegt daran, dass sich das Verhalten des Protokolls innerhalb eines Bereichs und zwischen den Bereichen unterscheidet. Daher sollten beim Konfigurieren der Switches darauf geachtet werden, dass man innerhalb eines bestimmten Bereichs bleibt.<\/p>\n

\"Optischer
\n
\nWas genau ist dieser ber\u00fcchtigte Bereich? Ein Bereich im Sinne von MSTP ist eine Gruppe von miteinander verbundenen Switches, die die folgenden Merkmale gemeinsam haben: Name des Bereichs, Versionsnummer und die Verteilung der virtuellen Netzwerke (VLAN) zwischen den Protokollinstanzen.<\/p>\n

Nat\u00fcrlich erm\u00f6glicht das Spanning Tree Protocol (in jeder Version) nicht nur das Bek\u00e4mpfen von Schleifen, die beim Anschluss von Backup-Kan\u00e4len entstehen, sondern sch\u00fctzt auch vor Verkabelungsfehlern, wenn ein Ingenieur absichtlich oder versehentlich die falschen Ports verbindet und so selbst eine Schleife schafft.<\/p>\n

Erfahrene Netzwerkadministratoren ziehen es vor, verschiedene zus\u00e4tzliche Optionen zu nutzen, um das STP-Protokoll vor Angriffen oder komplexen Notf\u00e4llen zu sch\u00fctzen. Das Modell T2600G-28SQ bietet eine Reihe solcher Funktionen: Loop Protect, Root Protect, TC Guard, BPDU Protect und BPDU Filter.<\/p>\n

\"Optischer
\n
\nDie richtige Nutzung der oben genannten Optionen in Kombination mit anderen unterst\u00fctzten Sicherheitsmechanismen wird dazu beitragen, das lokale Netzwerk zu stabilisieren und vorhersehbarer zu gestalten.<\/p>\n

Redundanz \u2013 LAG<\/h3>\n

\nLAG \u2013 Link Aggregation Group. Dies ist eine Technologie, die es erm\u00f6glicht, mehrere physische Kan\u00e4le zu einem logischen zu kombinieren. Alle anderen Protokolle h\u00f6ren auf, die in LAG enthaltenen physischen Kan\u00e4le einzeln zu verwenden, und beginnen, ein logisches Interface zu \u201esehen\u201c. Ein Beispiel f\u00fcr ein solches Protokoll ist STP.<\/p>\n

\"Optischer
\n
\nDie Verteilung des Benutzerdatenverkehrs zwischen den physischen Kan\u00e4len innerhalb des Logischen erfolgt auf der Grundlage einer Hashsumme. F\u00fcr die Berechnung k\u00f6nnen die MAC-Adressen des Senders, des Empf\u00e4ngers oder deren Paar sowie die IP-Adressen des Senders, des Empf\u00e4ngers oder deren Paar verwendet werden. Informationen der Protokolle der vierten Ebene (TCP\/UDP-Ports) werden nicht ber\u00fccksichtigt.<\/p>\n

Der Switch T2600G-28SQ unterst\u00fctzt sowohl statische als auch dynamische LAG.<\/p>\n

\"Optischer
\n
\n\"Optischer
\n
\nZur Aushandlung der Betriebsparameter der dynamischen Gruppe wird das LACP-Protokoll verwendet.<\/p>\n

Sicherheit \u2013 Zugriffskontrolllisten (ACL)<\/h3>\n

\nUnser Switch T2600G-28SQ erm\u00f6glicht das Filtern des Benutzerdatenverkehrs mittels Zugriffskontrolllisten (ACL \u2013 Access Control List).<\/p>\n

Unterst\u00fctzte Zugriffskontrolllisten k\u00f6nnen verschiedenen Typen angeh\u00f6ren: MAC und IP (IPv4\/IPv6), kombinierte sowie zur Durchf\u00fchrung von Inhaltsfilterung. Die Anzahl der unterst\u00fctzten Zugriffskontrolllisten jedes Typs h\u00e4ngt vom derzeit verwendeten SDM-Template ab, das wir in einem anderen Abschnitt beschrieben haben.<\/p>\n

\"Optischer
\n
\nDer Betreiber kann diese Option nutzen, um unerw\u00fcnschten Datenverkehr im Netzwerk zu blockieren. Ein Beispiel f\u00fcr solchen Datenverkehr sind IPv6-Pakete (mithilfe des EtherType-Feldes), wenn der entsprechende Dienst nicht bereitgestellt wird; oder um SMB \u00fcber Port 445 zu blockieren. In einem Netzwerk mit statischer DHCP\/BOOTP-Adressierung wird kein Datenverkehr ben\u00f6tigt, weshalb der Administrator mit Hilfe von ACL UDP-Datagramme \u00fcber die Ports 67 und 68 filtern kann. Auch der lokale IPoE-Datenverkehr kann mithilfe von ACL blockiert werden. Solch eine Blockierung kann in Netzwerken von Betreibern, die PPPoE anwenden, erforderlich sein.<\/p>\n

Der Prozess der Verwendung von Zugriffskontrolllisten ist denkbar einfach. Nach der Erstellung der Liste m\u00fcssen die gew\u00fcnschten Eintr\u00e4ge hinzugef\u00fcgt werden, deren Typ direkt von der konfigurierten Liste abh\u00e4ngt.<\/p>\n

Konfiguration von Zugriffskontrolllisten<\/b>\"Optischer
\n\"Optischer
\n\"Optischer
\n\"Optischer
\n\"Optischer
\n\"Optischer
\n
\nEs sollte beachtet werden, dass Zugriffskontrolllisten nicht nur die \u00fcblichen Operationen zum Erlauben oder Verhindern von Datenverkehr ausf\u00fchren k\u00f6nnen, sondern auch dessen Umleitung, Spiegelung sowie die Umbenennung oder Geschwindigkeitsbegrenzung des Datenverkehrs \u00fcbernehmen k\u00f6nnen.
\nNachdem alle erforderlichen ACL erstellt wurden, kann der Administrator deren Installation durchf\u00fchren. Es ist erlaubt, eine Zugriffskontrollliste sowohl an einen physischen Port als auch an ein bestimmtes virtuelles Netzwerk anzuh\u00e4ngen.<\/p>\n

\"Optischer
\n<\/p>\n

Sicherheit \u2013 Anzahl der MAC-Adressen<\/h3>\n

\nManchmal ben\u00f6tigen Betreiber eine Einschr\u00e4nkung der Anzahl der MAC-Adressen, die ein Switch an einem bestimmten Port lernen kann. Zugriffskontrolllisten erm\u00f6glichen diesen Effekt, erfordern jedoch die explizite Angabe der MAC-Adressen. Wenn nur die Anzahl der Kanaladressen begrenzt werden soll, dies jedoch nicht explizit angegeben werden soll, kommt die Port-Sicherheit ins Spiel.<\/p>\n

\"Optischer
\n
\nEine solche Einschr\u00e4nkung kann beispielsweise erforderlich sein, um zu verhindern, dass ein ganzes lokales Netzwerk an einem einzigen Schnittstelle des Switches des Anbieters angeschlossen wird. Es sei erw\u00e4hnt, dass es sich hier um eine Switch-Verbindung handelt, da beim Anschluss \u00fcber einen Router auf der Clientseite T2600G-28SQ nur eine Adresse lernen wird \u2013 das MAC-Adresse, das dem WAN-Port des Client-Routers geh\u00f6rt.<\/p>\n

Es gibt eine ganze Klasse von Angriffen auf die Switching-Tabelle. Dazu geh\u00f6ren sowohl das \u00dcberlaufen der Tabelle als auch MAC-Spoofing. Die Port-Sicherheitsoption hilft, sich vor dem \u00dcberlaufen der Bridge-Tabelle und vor Angriffen zu sch\u00fctzen, die darauf abzielen, den Switch absichtlich umzuprogrammieren und seine Bridge-Tabelle zu vergiften.<\/p>\n

Es ist unm\u00f6glich, auch die fehlerhafte Endger\u00e4tehardware nicht zu erw\u00e4hnen. Es kommt h\u00e4ufig vor, dass eine schlecht funktionierende Netzwerkkarte oder ein Router einen Datenstrom mit v\u00f6llig zuf\u00e4lligen Quell- und Zieladressen erzeugt. Ein solcher Datenstrom kann CAM leicht ersch\u00f6pfen.<\/p>\n

Ein weiteres Mittel zur Begrenzung der Anzahl der verwendeten Eintr\u00e4ge in der Bridge-Tabelle ist das MAC VLAN Security-Tool, mit dem der Administrator die maximale Anzahl von Eintr\u00e4gen f\u00fcr ein bestimmtes virtuelles Netzwerk festlegen kann.<\/p>\n

\"Optischer
\n
\nNeben der Verwaltung dynamischer Eintr\u00e4ge in der Switching-Tabelle kann der Administrator auch statische Eintr\u00e4ge erstellen.<\/p>\n

\"Optischer
\n
\nDie Bridge-Tabelle des Modells T2600G-28SQ kann maximal bis zu 16K Eintr\u00e4ge aufnehmen.
\nEine weitere Funktion zur Filterung des Benutzerdatenverkehrs ist die Port-Isolation, mit der ausdr\u00fccklich festgelegt werden kann, in welcher Richtung die Weiterleitung erlaubt ist.<\/p>\n

\"Optischer
\n
\n\"Optischer<\/p>\n

Sicherheit \u2013 IMPB<\/h3>\n

\nIn unserer weiten Heimat variiert der Ansatz der Telefonanbieter zur Gew\u00e4hrleistung der Netzsicherheit von v\u00f6lliger Ignoranz bis hin zur maximalen Nutzung aller vom Equipment unterst\u00fctzten Optionen.<\/p>\n

Die IPv4 IMPB (IP-MAC-Port-Bindung) und IPv6 IMPB erm\u00f6glichen es, sich vor einer ganzen Reihe von Angriffen, die mit der Manipulation von IP- und MAC-Adressen durch Endbenutzer zusammenh\u00e4ngen, zu sch\u00fctzen, indem sie die IP- und MAC-Adressen der Endger\u00e4te an den Interface des Providers bindet. Diese Bindung kann manuell oder mithilfe der Funktionen ARP Scanning und DHCP Snooping erfolgen.<\/p>\n

Haupteinstellungen IMPB<\/b>\"Optischer
\n
\n\"Optischer
\n
\n\"Optischer
\n
\n\"Optischer
\n
\n\"Optischer
\n
\n\"Optischer<\/p>\n

Der Fairness halber sei erw\u00e4hnt, dass f\u00fcr den Schutz des DHCP-Protokolls eine spezielle Funktion, der DHCP-Filter, angewendet werden kann.<\/p>\n

\"Optischer
\n
\n\"Optischer
\n
\nMit dieser Funktion kann der Netzwerkadministrator manuell angeben, welche Interfaces mit echten DHCP-Servern verbunden sind. So k\u00f6nnen gef\u00e4lschte DHCP-Server nicht in den Prozess der IP-Parameter-Aushandlung eindringen.<\/p>\n

Sicherheit \u2013 DoS Defender<\/h3>\n

\nDas betrachtete Modell sch\u00fctzt Benutzer vor mehreren der bekanntesten und fr\u00fcher verbreiteten DoS-Attacken.<\/p>\n

\"Optischer
\n
\nDie meisten der genannten Angriffe sind f\u00fcr Ger\u00e4te mit modernen Betriebssystemen nicht mehr bedrohlich, jedoch k\u00f6nnen in unseren Netzwerken nach wie vor Ger\u00e4te vorkommen, deren letzte Softwareaktualisierung vor vielen Jahren durchgef\u00fchrt wurde.<\/p>\n

DHCP-Unterst\u00fctzung<\/h3>\n

\nDer TP-Link T2600G-28SQ-Switch kann sowohl als DHCP-Server als auch als Relay fungieren und verschiedene DHCP-Nachrichten filtern, wenn ein anderes Ger\u00e4t als Server agiert.<\/p>\n

Der einfachste Weg, den Benutzern die erforderlichen IP-Parameter zur Verf\u00fcgung zu stellen, besteht darin, den im Switch integrierten DHCP-Server zu aktivieren. Die grundlegenden Parameter k\u00f6nnen damit bereits an die Teilnehmer \u00fcbergeben werden.<\/p>\n

\"Optischer
\n
\n\"Optischer
\n
\n\"Optischer
\n
\nWir haben unseren SOHO-Router Archer C6 an eines der Interfaces des Switches angeschlossen und best\u00e4tigt, dass das Clientger\u00e4t erfolgreich eine Adresse erhalten hat.<\/p>\n

So sieht es aus<\/b>\"Optischer
\n
\n\"Optischer
\n
\nDer im Switch integrierte DHCP-Server ist wohl nicht die skalierbarste und flexibelste L\u00f6sung: Es gibt keine Unterst\u00fctzung f\u00fcr benutzerdefinierte Optionen, und die Verbindung zu IPAM fehlt. Wenn der Betreiber mehr Kontrolle \u00fcber den Prozess der IP-Adressverteilung ben\u00f6tigt, wird ein dedicated DHCP-Server verwendet.<\/p>\n

T2600G-28SQ erm\u00f6glicht es, f\u00fcr jedes Benutzer-Subnetz einen separaten dedizierten DHCP-Server anzugeben, an den die Nachrichten des besprochenen Protokolls weitergeleitet werden. Die Auswahl des Subnetzes erfolgt durch Angabe des entsprechenden L3-Interfaces: VLAN (SVI), gerouteter Port oder Port-Channel.<\/p>\n

\"Optischer
\n
\n\"Optischer
\n
\nUm die Funktionalit\u00e4t des Relays zu \u00fcberpr\u00fcfen, haben wir einen separaten Router eines anderen Anbieters konfiguriert, der als DHCP-Server fungieren soll. Die Einstellungen sind unten dargestellt.<\/p>\n

R1#sho run | s pool\nip dhcp pool test\n network 192.168.0.0 255.255.255.0\n default-router 192.168.0.1\n dns-server 8.8.8.8<\/code><\/pre>\n
\nDer Client-Router hat erneut erfolgreich eine IP-Adresse erhalten.<\/p>\n
R1#sho ip dhcp binding\nBindings from all pools not associated with VRF:\nIP address          Client-ID\/           Lease expiration        Type\n                    Hardware address\/\n                    User name\n192.168.0.2         010c.8063.f0c2.6a    May 24 2019 05:07 PM    Automatic<\/code><\/pre>\n
\nUnter dem Spoiler befindet sich der Inhalt des abgefangenen Pakets zwischen dem Switch und dem dedizierten DHCP-Server.<\/p>\n
Inhalt des Pakets<\/b>\"Optischer
\nEs ist erw\u00e4hnenswert, dass der Switch Option 82 unterst\u00fctzt. Bei Aktivierung f\u00fcgt der Switch Informationen zur Benutzeroberfl\u00e4che hinzu, von der die DHCP Discover-Nachricht empfangen wurde. Dar\u00fcber hinaus erm\u00f6glicht das Modell T2600G-28SQ die Konfiguration der Richtlinie zur Verarbeitung der hinzugef\u00fcgten Informationen beim Einf\u00fcgen von Option Nr. 82. Die Unterst\u00fctzung dieser Option kann n\u00fctzlich sein, wenn einem Abonnenten dieselbe IP-Adresse zugewiesen werden muss, unabh\u00e4ngig davon, welche Client-ID er meldet.
\nIm folgenden Bild ist die von einem Relay \u00fcbertragene DHCP Discover-Nachricht mit der hinzugef\u00fcgten Option Nr. 82 zu sehen.<\/p>\n
Nachricht mit Option Nr. 82<\/b>\"Optischer
\nNat\u00fcrlich kann die Option Nr. 82 auch ohne eine vollst\u00e4ndige DHCP-Relay-Konfiguration verwaltet werden. entsprechende Einstellungen sind im Unterpunkt \u201eDHCP L2 Relay\u201c enthalten.<\/p>\n
\"Optischer
\n
\n\"Optischer
\n
\nNun \u00e4ndern wir die Einstellungen des DHCP-Servers, um die Funktion der Option Nr. 82 zu demonstrieren.<\/p>\n
R1#sho run | s dhcp\nip dhcp pool test\n network 192.168.0.0 255.255.255.0\n default-router 192.168.0.1\n dns-server 8.8.8.8\n class option82_test\n address range 192.168.0.222 192.168.0.222\nip dhcp class option82_test\n relay agent information\n relay-information hex 010e010c74702d6c696e6b5f746573740208000668ff7b66f675\nR1#sho ip dhcp binding\nBindings from all pools not associated with VRF:\nIP address          Client-ID\/              Lease expiration        Type\n                    Hardware address\/\n                    User name\n192.168.0.222       010c.8063.f0c2.6a      May 24 2019 05:33 PM    Automatic<\/code><\/pre>\n
So k\u00f6nnte das aussehen<\/b>\"Optischer
\nDie Funktion des DHCP Interface Relay ist n\u00fctzlich, wenn der Switch nicht nur \u00fcber ein L3-Interface verf\u00fcgt, das mit einem bestimmten Netzwerk verbunden ist, sondern auch, wenn dieses Interface eine IP-Adresse hat. Fehlt eine Adresse auf einem solchen Interface, kommt die Funktion des DHCP VLAN Relay ins Spiel. Die Informationen \u00fcber das Subnetz stammen in diesem Fall vom Standardinterface, sodass Adressr\u00e4ume in mehreren virtuellen Netzwerken identisch (\u00fcberlappen) sind.<\/p>\n
\"Optischer
\n
\nH\u00e4ufig m\u00fcssen Betreiber auch Abonnenten davor sch\u00fctzen, versehentlich oder b\u00f6swillig einen DHCP-Server auf der Kundenausr\u00fcstung zu aktivieren. Diese Funktionalit\u00e4t haben wir in einen Abschnitt \u00fcber Sicherheitsfragen ausgelagert.<\/p>\n
IEEE 802.1X<\/h3>\n
\nEine der Methoden zur Authentifizierung von Benutzern im Netzwerk ist die Verwendung des IEEE 802.1X-Protokolls. Die Beliebtheit dieses Protokolls in den Kommunikationsnetzen in Russland nimmt zwar ab, es wird jedoch immer noch haupts\u00e4chlich in lokalen Netzwerken gro\u00dfer Unternehmen zur Authentifizierung interner Benutzer verwendet. Der Switch T2600G-28SQ unterst\u00fctzt 802.1X, daher kann der Anbieter ihn bei Bedarf problemlos aktivieren.<\/p>\n
F\u00fcr den Betrieb des IEEE 802.1X-Protokolls sind drei Teilnehmer erforderlich: die Client-Ausr\u00fcstung (supplicant), der Zugangsswitch des Anbieters (authenticator) und die Authentifizierungsserver (in der Regel RADIUS-Server).<\/p>\n
\"Optischer
\n
\nDie Grundkonfiguration aufseiten des Anbieters ist \u00e4u\u00dferst einfach. Es muss lediglich die IP-Adresse des verwendeten RADIUS-Servers angegeben werden, auf dem die Benutzerdatenbank gespeichert wird, sowie die Schnittstellen ausgew\u00e4hlt werden, f\u00fcr die eine Authentifizierung erforderlich ist.<\/p>\n
Grundkonfiguration 802.1X<\/b>\"Optischer
\n\"Optischer
\n\"Optischer
\n\"Optischer
\n\"Optischer
\n
\nAuch auf der Clientseite ist eine minimale Konfiguration erforderlich. Alle modernen Betriebssysteme enthalten bereits die notwendige Software. Bei Bedarf kann jedoch auch der TP-Link 802.1x Client installiert und verwendet werden \u2013 eine Anwendung, die die Authentifizierung des Clients im Netzwerk erm\u00f6glicht.<\/p>\n
Beim Anschluss des Endbenutzers direkt an das Netzwerk des Anbieters m\u00fcssen die Authentifizierungseinstellungen f\u00fcr die Netzwerkkarte aktiviert werden, die f\u00fcr die Verbindung verwendet wird.<\/p>\n
\"Optischer
\n
\n\"Optischer
\n
\n\"Optischer
\n
\nIn der heutigen Zeit wird jedoch in der Regel nicht der Computer des Benutzers direkt an das Netzwerk des Anbieters angeschlossen, sondern ein SOHO-Router, der den Betrieb des lokalen Netzwerks des Abonnenten (sowohl kabelgebunden als auch kabellos) gew\u00e4hrleistet. In diesem Fall m\u00fcssen alle Einstellungen f\u00fcr das 802.1X-Protokoll direkt am Router vorgenommen werden.<\/p>\n
\"Optischer
\n
\nWir sind der Meinung, dass diese Authentifizierungsmethode in Anbieternetzen zu Unrecht in Vergessenheit geraten ist. Ja, die starre Bindung des Abonnenten an den Port des Switches wird vielleicht eine einfachere L\u00f6sung aus Sicht der Einstellungen der Benutzerhardware sein. Aber wenn die Verwendung von Benutzername und Passwort erforderlich ist, wird 802.1X nicht so schwerf\u00e4llig sein im Vergleich zu den verwendeten Verbindungen auf Basis von PPTP\/L2TP\/PPPoE-Tunneln.<\/p>\n
PPPoE ID Einf\u00fcgung<\/h3>\n
\nViele Nutzer, nicht nur in unserem Land, sondern weltweit, bevorzugen immer noch extrem einfache Passw\u00f6rter. Und leider sind F\u00e4lle von Diebstahl von Anmeldedaten keine Seltenheit. Wenn der Betreiber in seinem Netzwerk das PPPoE-Protokoll zur Authentifizierung von Benutzern nutzt, kann der TP-Link T2600G-28SQ-Switch helfen, das Problem des Datenlecks zu l\u00f6sen. Dies wird erreicht, indem eine spezielle Kennzeichnung zur PPPoE Active Discovery-Nachricht hinzugef\u00fcgt wird. Auf diese Weise kann der Anbieter den Abonnenten nicht nur anhand von Benutzername und Passwort, sondern auch anhand zus\u00e4tzlicher Daten authentifizieren. Zu diesen zus\u00e4tzlichen Daten geh\u00f6ren die MAC-Adresse des Client-Ger\u00e4ts sowie der Switch-Port, an den es angeschlossen ist.<\/p>\n
\"Optischer
\n
\nEinige Anbieter m\u00f6chten im Grunde dem Abonnenten (Kombination aus Benutzername und Passwort) die M\u00f6glichkeit verbieten, sich im Netzwerk zu bewegen. Die Funktion PPPoE ID Insertion hilft auch in diesem Fall.<\/p>\n
IGMP<\/h3>\n
\nDas IGMP-Protokoll (Internet Group Management Protocol) existiert schon seit mehreren Jahrzehnten. Seine Popularit\u00e4t ist durchaus nachvollziehbar und leicht zu erkl\u00e4ren. Doch beim IGMP-Austausch sind zwei Seiten beteiligt: der PC des Benutzers (oder ein anderes Ger\u00e4t, z. B. STB) und der IP-Router, der einen bestimmten Netzwerkbereich bedient. Switches sind an diesem Austausch nicht beteiligt. Allerdings ist diese Aussage nicht ganz korrekt. Oder in modernen Netzwerken ganz und gar nicht korrekt. Die Unterst\u00fctzung des IGMP-Protokolls durch Switches ist notwendig, um die Weiterleitung von Multicast-Datenverkehr zu optimieren. Indem der Switch den Benutzerdatenverkehr \u00fcberwacht, erkennt er IGMP Report-Nachrichten, mit denen er die Ports f\u00fcr die Weiterleitung von Multicast-Datenverkehr bestimmt. Diese Funktion wird als IGMP Snooping bezeichnet.<\/p>\n
\"Optischer
\n
\n\"Optischer
\n
\n\"Optischer
\n
\nDie Unterst\u00fctzung des IGMP-Protokolls kann nicht nur zur Optimierung des Datenverkehrs selbst verwendet werden, sondern auch zur Bestimmung von Abonnenten, die einen bestimmten Dienst, z. B. IPTV, erhalten k\u00f6nnen. Das gew\u00fcnschte Ziel kann sowohl durch manuelle Anpassung der Filterparameter als auch durch Authentifizierung erreicht werden.<\/p>\n
\"Optischer
\n
\n\"Optischer
\n\"Optischer
\n
\nDie Unterst\u00fctzung f\u00fcr Multicast-Datenverkehr auf TP-Link-Switches ist ziemlich flexibel umgesetzt. Beispielsweise k\u00f6nnen alle Parameter f\u00fcr jedes virtuelle Netzwerk einzeln festgelegt werden.<\/p>\n
\"Optischer
\n
\n\"Optischer
\n
\nWenn an einem Router-Interface mehrere Subnetze angeschlossen sind, in denen sich Gruppenempf\u00e4nger befinden, muss dieser Router mehrere Kopien der Pakete \u00fcber dieses Interface senden (eine f\u00fcr jedes virtuelle Netzwerk). 
\nDie Optimierung des Verfahrens zur Weiterleitung von Gruppentraffic kann in diesem Fall durch die Technologie MVR \u2013 Multicast VLAN Registration \u2013 erfolgen.<\/p>\n
\"Optischer
\n
\n\"Optischer
\n
\nDie L\u00f6sung besteht darin, ein einziges virtuelles Netzwerk zu schaffen, das alle Empf\u00e4nger vereint. Dieses virtuelle Netzwerk wird jedoch nur f\u00fcr Gruppentraffic genutzt. Dieser Ansatz erm\u00f6glicht es dem Router, nur eine Kopie des Gruppentraffic \u00fcber das Interface zu senden.<\/p>\n
DDM, OAM und DLDP<\/h3>\n
\nDDM \u2013 Digital Diagnostic Monitoring. W\u00e4hrend des Betriebs von optischen Modulen ist es oft notwendig, den Zustand des Moduls sowie des optischen Kanals, an den es angeschlossen ist, zu \u00fcberwachen. Diese Aufgabe kann durch die DDM-Funktion unterst\u00fctzt werden. Damit k\u00f6nnen die Ingenieure des Betreibers die Temperatur jedes Moduls, das diese Funktionalit\u00e4t unterst\u00fctzt, die Spannung daran und den Strom sowie die Leistung der gesendeten und empfangenen optischen Signale \u00fcberwachen.<\/p>\n
\"Optischer
\n
\nDie Festlegung von Schwellenwerten f\u00fcr die zuvor beschriebenen Parameter erm\u00f6glicht es, ein Ereignis zu generieren, falls diese die zul\u00e4ssigen Bereiche \u00fcberschreiten.<\/p>\n
Konfiguration der DDM-Ausl\u00f6seschwellen<\/b>\"Optischer
\n\"Optischer
\n\"Optischer
\n
\nNat\u00fcrlich kann der Administrator die aktuellen Werte der angegebenen Parameter einsehen.<\/p>\n
\"Optischer
\n
\nDer TP-Link T2600G-28SQ Switch verf\u00fcgt \u00fcber ein aktives Luftk\u00fchlsystem. Au\u00dferdem haben wir bisher noch nie ein \u00dcberhitzen von SFP-Modulen in unseren Switches festgestellt, das mit der Portdichte zusammenhing. Sollte jedoch theoretisch eine solche M\u00f6glichkeit bestehen (z.B. aufgrund eines Problems innerhalb des SFP-Moduls), w\u00fcrde der Administrator durch DDM sofort \u00fcber eine potenziell gef\u00e4hrliche Situation informiert werden. Die Gefahr besteht hier offensichtlich nicht f\u00fcr den Switch selbst, sondern f\u00fcr die LED\/-Laser innerhalb des SFP, da mit steigender Temperatur eine Verschlechterung der Leistung des ausgestrahlten optischen Signals auftreten kann, was zu einer Verringerung des optischen Budgets f\u00fchrt.<\/p>\n
Es sei auch erw\u00e4hnt, dass die Switches von TP-Link keine \"Vendor-Lock-Funktion\" haben, das hei\u00dft, es werden alle kompatiblen SFP-Module unterst\u00fctzt, was f\u00fcr Netzwerkadministratoren nat\u00fcrlich sehr praktisch ist.<\/p>\n
OAM \u2014 Betrieb, Verwaltung und Wartung (IEEE 802.3ah). OAM ist ein zweischichtiger Protokoll des OSI-Modells, das zur \u00dcberwachung und Fehlersuche in Ethernet-Netzwerken dient. Mit diesem Protokoll kann der Switch die Leistung einer bestimmten Verbindung und Fehler \u00fcberwachen, Warnmeldungen generieren, damit der Netzwerkadministrator das Netzwerk effizienter verwalten kann.<\/p>\n
Basis-Konfiguration von OAM<\/b>\"Optischer
\n\"Optischer
\n\"Optischer
\n\"Optischer
\n
\nDetails zur Funktionsweise von OAM<\/b>Zwei benachbarte Ger\u00e4te, die OAM unterst\u00fctzen, tauschen periodisch Nachrichten aus, indem sie OAMPDU senden, die aus drei Typen bestehen: Informational, Event Notification und Loopback Control. Mit den informativen OAMPDU senden benachbarte Switches einander statistische Informationen sowie vom Administrator festgelegte Daten. Dieser Nachrichtentyp wird auch verwendet, um die Verbindung \u00fcber das OAM-Protokoll aufrechtzuerhalten. Event Notification Nachrichten werden von der \u00dcberwachungsfunktion der Verbindung verwendet, um die gegen\u00fcberliegende Seite \u00fcber aufgetretene Ausf\u00e4lle zu informieren. Loopback Control Nachrichten werden verwendet, um Schleifen in der Leitung zu erkennen.<\/p>\n
Im Folgenden m\u00f6chten wir die Hauptfunktionen auflisten, die das OAM-Protokoll bietet:<\/p>\n