{"id":36454,"date":"2019-10-31T22:11:44","date_gmt":"2019-10-31T19:11:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor\/"},"modified":"2019-10-31T22:11:44","modified_gmt":"2019-10-31T19:11:44","slug":"opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","title":{"rendered":"TP-Link T2600G-28SQ Optischer Switch f\u00fcr Service-Provider: Detaillierte \u00dcbersicht\u00a0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Expansion der Gro\u00dfst\u00e4dte und die Bildung von Agglomerationen sind heute eines der wichtigen sozialen Entwicklungstrends. Allein Moskau wird im Jahr 2019 um 4 Millionen Quadratmeter Wohnraum wachsen (und das sind noch keine 15 Siedlungen, die bis 2020 angeschlossen werden). Auf diesem riesigen Gebiet m\u00fcssen die Betreiber den Nutzern Zugang zum Internet bieten. Dies k\u00f6nnen sowohl st\u00e4dtische Wohnviertel mit dichter Mehrfamilienbebauung als auch \u201elockerer\u201c gefasste Siedlungen sein. In diesen F\u00e4llen variieren die Anforderungen an die Ausstattung ein wenig. Wir haben jedes dieser Szenarien analysiert und ein universelles Modell eines optischen Switches \u2013 T2600G-28SQ \u2013 entwickelt. In diesem Beitrag werden wir die Funktionen des Ger\u00e4ts im Detail besprechen, die f\u00fcr Telekommunikationsanbieter in ganz Russland von Interesse sein werden.<\/p>\n

\"TP-Link
\n<\/a><\/noindex><\/p>\n

Platz im Netz<\/h2>\n

\nDer T2600G-28SQ Switch ist sowohl f\u00fcr den Einsatz im Zugriffsniveau des Netzwerks als auch zur Aggregation von Links von anderen Zugriffsswitches konzipiert. Es handelt sich um einen Switch der zweiten Ebene, der sowohl Switching als auch statisches Routing erm\u00f6glicht. Wenn der Anbieter sowohl Aggregation als auch Zugriff realisiert hat (Routing nur im Kernnetz), passt der T2600G-28SQ in alle Ebenen. Bei dynamisch gerouteten Aggregationen m\u00fcssen jedoch einige Einschr\u00e4nkungen in den Nutzungsszenarien ber\u00fccksichtigt werden.<\/p>\n

Das Modell T2600G-28SQ ist ein vollwertiger aktiver Ethernet-Switch ohne zus\u00e4tzliche Einschr\u00e4nkungen, die bei der Nutzung von Technologien wie xPON oder \u00e4hnlichen auftreten k\u00f6nnen. Beispielsweise gibt es keine Bedrohung durch einen pl\u00f6tzlichen Geschwindigkeitsabfall bei steigender Nutzeranzahl oder durch schlechte Kompatibilit\u00e4t zwischen Ger\u00e4ten verschiedener Anbieter und Firmware-Versionen. An die Schnittstellen des Ger\u00e4ts k\u00f6nnen sowohl Endnutzer als auch untergeordnete Zugriffsswitches mit optischen Uplinks angeschlossen werden, beispielsweise das Modell T2600G-28TS. In der folgenden Abbildung sind die g\u00e4ngigsten Beispiele solcher Verbindungen dargestellt.<\/p>\n

\"TP-Link
\n
\nF\u00fcr den Zugang zum Endbenutzer-Netzwerk kann Glasfaser oder Twisted-Pair-Kabel verwendet werden. Auf der Seite des Abonnenten kann Glasfaser entweder \u00fcber einen Medienkonverter beendet werden (wie z.B. der TP-Link MC220L) oder \u00fcber eine optische Schnittstelle in einem SOHO-Router.<\/p>\n

Um einen nahegelegenen Client anzuschlie\u00dfen, k\u00f6nnen vier RJ-45-Ports verwendet werden, die mit Geschwindigkeiten von 10\/100\/1000 Mbit\/s arbeiten. Sollte dies aus irgendeinem Grund nicht ausreichen, kann der Anbieter die optischen Schnittstellen des Switches auf Kupfer umwandeln. Dies kann mit speziellen \u201eKupfer\u201c-SFP-Modulen mit RJ-45-Stecker erfolgen. Diese L\u00f6sung kann jedoch nicht als Standard betrachtet werden.<\/p>\n

Einige Praxisbeispiele<\/h2>\n

\nUm ein vollst\u00e4ndiges Bild zu geben, f\u00fchren wir einige Beispiele f\u00fcr die Verwendung von Switches des Modells T2600G-28SQ an.<\/p>\n

Provider aus der Region Moskau \u201eDIVO\u201c<\/a><\/noindex>, der neben Internet auch Telefon- und Kabel-TV-Dienste anbietet, verwendet den T2600G-28SQ auf Zugriffsebene f\u00fcr Netzwerke im Privatsektor (Einfamilienh\u00e4user und Reihenh\u00e4user). Vom Kunden aus erfolgt die Anbindung an Router mit SFP-Port sowie Medienkonvertern. Momentan werden bei uns keine SOHO-Router mit SFP-Port in Serie produziert, jedoch denken wir nat\u00fcrlich dar\u00fcber nach.<\/p>\n

Telekommunikationsanbieter MKS<\/a><\/noindex> aus dem Bezirk Pawlowskij Posad setzt die Switches T2600G-28SQ als \u201ekleine Aggregation\u201c ein und verwendet an der Zugriffsebene die Switch-Modelle T2600G-28TS und T2500G-10TS.<\/p>\n

Gruppe von Unternehmen \u201eGarantie\u201c<\/a><\/noindex> bieten im S\u00fcdosten der Region Moskau (Kolomna, Luhowizy, Saraisk, Serebryanye Prud, Ozyory) Internetzugang, TV, Telefonie und Video\u00fcberwachungssysteme an. Die ungef\u00e4hre Topologie sieht hier \u00e4hnlich aus wie bei MKS: T2600G-28SQ auf der Aggregationsebene und T2600G-28TS sowie T2500G-10TS auf der Zugriffsebene.<\/p>\n

Provider SKTV<\/a><\/noindex> aus Krasnoznamensk bietet Internetzugang \u00fcber ein Netzwerk mit tiefem optischen Durchdringung an. Auch hier basieren die L\u00f6sungen auf dem T2600G-28SQ.<\/p>\n

In den folgenden Abschnitten werden wir einige Funktionen des Modells T2600G-28SQ kurz vorstellen. Um den Inhalt nicht zu \u00fcberladen, haben wir eine Reihe von Optionen wie QinQ (VLAN VPN), Routing, QoS und andere weggelassen. Wir denken, dass wir in einem der n\u00e4chsten Beitr\u00e4ge darauf zur\u00fcckkommen k\u00f6nnen.<\/p>\n

Funktionen des Switches<\/h2>\n

<\/p>\n

Redundanz \u2013 STP<\/h3>\n

\nSTP \u2013 Spanning Tree Protocol. Das Protokoll f\u00fcr das verbindende Baumnetzwerk ist schon seit langem bekannt, und daf\u00fcr geb\u00fchrt unser Dank der angesehenen Radia Perlman. In modernen Netzwerken versuchen Administratoren, die Verwendung dieses Protokolls zu vermeiden. Ja, STP hat seine Nachteile. Es ist gut, wenn es eine Alternative gibt. Doch wie oft der Fall, h\u00e4ngt die Alternative zu diesem Protokoll stark vom Anbieter ab. Deshalb bleibt das Spanning Tree Protocol bis heute fast die einzige L\u00f6sung, die von praktisch allen Herstellern unterst\u00fctzt wird und allen Netzwerkadministratoren bekannt ist.<\/p>\n

Der TP-Link Switch T2600G-28SQ unterst\u00fctzt drei Versionen von STP: klassisches STP (IEEE 802.1D), RSTP (802.1W) und MSTP (802.1S).<\/p>\n

\"TP-Link
\n
\nF\u00fcr die meisten kleinen Internetanbieter in Russland ist das herk\u00f6mmliche RSTP eine durchaus geeignete Option, da es im Vergleich zur klassischen Version einen entscheidenden Vorteil hat: eine deutlich k\u00fcrzere Konvergenzzeit.<\/p>\n

Der derzeit flexibelste Protokoll ist MSTP, das virtuelle Netzwerke (VLAN) unterst\u00fctzt und mehrere verschiedene B\u00e4ume zul\u00e4sst, wodurch alle verf\u00fcgbaren Backup-Pfade genutzt werden k\u00f6nnen. Der Administrator kann mehrere verschiedene Instanzen eines Baumes (bis zu acht) erstellen, die jeweils eine bestimmte Gruppe von virtuellen Netzwerken bedienen.<\/p>\n

\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n\"TP-Link
\n
\nDie Feinheiten von MSTP<\/b>Anf\u00e4ngern unter den Administratoren ist bei der Verwendung von MSTP besondere Aufmerksamkeit zu empfehlen. Dies h\u00e4ngt damit zusammen, dass das Verhalten des Protokolls innerhalb und zwischen Regionen unterschiedlich ist. Daher ist es beim Konfigurieren von Switches wichtig, darauf zu achten, dass man innerhalb einer Region bleibt.<\/p>\n

\"TP-Link
\n
\nWas ist also dieses ber\u00fcchtigte Region? In den Begriffen von MSTP bezeichnet eine Region eine Gruppe von miteinander verbundenen Switches, die die folgenden Merkmale gemeinsam haben: den Namen der Region, die Versionsnummer und die Verteilung der virtuellen Netzwerke (VLAN) zwischen den Instanzen des Protokolls.<\/p>\n

Nat\u00fcrlich erm\u00f6glicht das Spanning Tree-Protokoll (in jeder Version) nicht nur die Bek\u00e4mpfung von Schleifen, die beim Anschlie\u00dfen von Backup-Verbindungen auftreten, sondern sch\u00fctzt auch vor Kabelumschaltungsfehlern, wenn ein Ingenieur absichtlich oder versehentlich falsche Ports verbindet und dadurch Schleifen erzeugt.<\/p>\n

Erfahrene Netzwerkadministratoren ziehen es oft vor, verschiedene zus\u00e4tzliche Optionen zu nutzen, um das STP-Protokoll vor Angriffen oder komplexen Notfallszenarien zu sch\u00fctzen. Das Modell T2600G-28SQ bietet eine Reihe solcher M\u00f6glichkeiten: Loop Protect und Root Protect, TC Guard, BPDU Protect und BPDU Filter.<\/p>\n

\"TP-Link
\n
\nDie korrekte Verwendung der oben genannten Optionen in Kombination mit anderen unterst\u00fctzten Schutzmechanismen erm\u00f6glicht es, das lokale Netzwerk zu stabilisieren und vorhersehbarer zu gestalten.<\/p>\n

Redundanz \u2013 LAG<\/h3>\n

\nLAG \u2013 Link Aggregation Group. Dies ist eine Technologie, die es erm\u00f6glicht, mehrere physische Kan\u00e4le zu einem logischen Kanal zu b\u00fcndeln. Alle anderen Protokolle h\u00f6ren auf, die in den LAG eingebundenen physikalischen Kan\u00e4le einzeln zu nutzen und erkennen nur noch eine logische Schnittstelle. Ein Beispiel f\u00fcr ein solches Protokoll ist STP.<\/p>\n

\"TP-Link
\n
\nDie Lastverteilung des Benutzertraffics zwischen den physischen Kan\u00e4len innerhalb des Logischen erfolgt auf Grundlage einer Hash-Summe. F\u00fcr die Berechnung k\u00f6nnen die MAC-Adressen des Absenders, des Empf\u00e4ngers oder deren Paar verwendet werden; auch die IP-Adressen des Absenders, des Empf\u00e4ngers oder deren Paar k\u00f6nnen genutzt werden. Informationen aus den Protokollen der vierten Schicht (TCP\/UDP-Ports) werden nicht ber\u00fccksichtigt.<\/p>\n

Der Switch T2600G-28SQ unterst\u00fctzt statische und dynamische LAG.<\/p>\n

\"TP-Link
\n
\n\"TP-Link
\n
\nF\u00fcr die Abstimmung der Betriebsparameter einer dynamischen Gruppe wird das Protokoll LACP verwendet.<\/p>\n

Sicherheit \u2013 Zugriffslisten (ACL)<\/h3>\n

\nUnser Switch T2600G-28SQ erm\u00f6glicht das Filtern des Benutzertraffics mithilfe von Zugriffslisten (ACL \u2013 Access Control List).<\/p>\n

Zugriffslisten k\u00f6nnen in mehreren verschiedenen Typen vorliegen: MAC und IP (IPv4\/IPv6), kombinierte sowie f\u00fcr die Inhaltsfilterung. Die Anzahl der unterst\u00fctzten Zugriffslisten jedes Typs h\u00e4ngt vom aktuell verwendeten SDM-Template ab, das wir in einem anderen Abschnitt beschrieben haben.<\/p>\n

\"TP-Link
\n
\nDer Betreiber kann diese Option nutzen, um unerw\u00fcnschten Datenverkehr im Netzwerk zu blockieren. Ein Beispiel f\u00fcr solchen Datenverkehr sind IPv6-Pakete (mittels des Ethertype-Feldes), wenn der entsprechende Dienst nicht bereitgestellt wird, oder das Blockieren von SMB \u00fcber Port 445. In einem Netzwerk mit statischer DHCP\/BOOTP-Adressierung ist Datenverkehr nicht erforderlich, sodass der Administrator mit ACL UDP-Datenpakete \u00fcber die Ports 67 und 68 filtern kann. Lokalen IPoE-Datenverkehr kann ebenfalls mit einer ACL blockiert werden. Eine solche Blockierung kann in Netzwerken von Betreibern, die PPPoE verwenden, von Bedeutung sein.<\/p>\n

Der Prozess zur Nutzung von Zugriffslisten ist \u00e4u\u00dferst einfach. Nachdem die Liste erstellt wurde, m\u00fcssen die erforderliche Anzahl an Eintr\u00e4gen hinzugef\u00fcgt werden, deren Typ direkt vom konfigurierten Blatt abh\u00e4ngt.<\/p>\n

Konfiguration von Zugriffslisten<\/b>\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n
\nEs ist zu beachten, dass Zugangskontrolllisten nicht nur herk\u00f6mmliche Operationen zur Genehmigung oder Ablehnung des Datenverkehrs durchf\u00fchren k\u00f6nnen, sondern auch dessen Umleitung, Spiegelung sowie die Umbenennung oder Geschwindigkeitsbegrenzung des Verkehrs erm\u00f6glichen.
\nNachdem alle erforderlichen ACLs erstellt wurden, kann der Administrator sie installieren. Es ist m\u00f6glich, eine Zugangskontrollliste sowohl an einen physikalischen Port als auch an ein bestimmtes virtuelles Netzwerk anzuh\u00e4ngen.<\/p>\n

\"TP-Link
\n<\/p>\n

Sicherheit \u2013 Anzahl der MAC-Adressen<\/h3>\n

\nManchmal haben Betreiber die Notwendigkeit, die Anzahl der MAC-Adressen zu begrenzen, die ein Switch an einem bestimmten Port lernen kann. Zugangskontrolllisten erm\u00f6glichen diesen Effekt, erfordern jedoch eine explizite Angabe der MAC-Adressen. Wenn es nur darum geht, die Anzahl der Adressen zu begrenzen, ohne sie explizit anzugeben, kommt die Port-Sicherheit zur Hilfe.<\/p>\n

\"TP-Link
\n
\nEine solche Einschr\u00e4nkung kann erforderlich sein, etwa um zu verhindern, dass ein gesamtes lokales Netzwerk an eine Schnittstelle des Provider-Switches angeschlossen wird. Hier sollte erw\u00e4hnt werden, dass es sich um eine switchbasierte Verbindung handelt, da beim Anschluss \u00fcber einen Router auf der Client-Seite der T2600G-28SQ nur eine Adresse lernen kann \u2013 die MAC-Adresse, die dem WAN-Port des Client-Routers geh\u00f6rt.<\/p>\n

Es gibt eine ganze Reihe von Angriffen, die auf die Switching-Tabelle abzielen. Dazu geh\u00f6ren sowohl das \u00dcberlaufen der Tabelle als auch MAC-Spoofing. Die Funktion zur Port-Sicherheit hilft, das \u00dcberlaufen der Bridging-Tabelle und Angriffe zu verhindern, die darauf abzielen, den Switch absichtlich neu zu programmieren und seine Bridging-Tabelle zu vergiften.<\/p>\n

Man darf auch die fehlerhafte Client-Hardware nicht unber\u00fccksichtigt lassen. Es kommt h\u00e4ufig vor, dass eine nicht richtig funktionierende Netzwerkkarte eines Computers oder ein Router Datenstr\u00f6me mit v\u00f6llig willk\u00fcrlichen Absender- und Empf\u00e4ngeradressen erzeugt. Solch ein Datenstrom kann die CAM problemlos ersch\u00f6pfen.<\/p>\n

Eine weitere M\u00f6glichkeit, die Anzahl der verwendeten Eintr\u00e4ge in der Bridge-Tabelle zu begrenzen, ist das Tool MAC VLAN Security, mit dem der Administrator die maximale Anzahl von Eintr\u00e4gen f\u00fcr ein bestimmtes virtuelles Netzwerk festlegen kann.<\/p>\n

\"TP-Link
\n
\nNeben der Verwaltung dynamischer Eintr\u00e4ge in der Switching-Tabelle kann der Administrator auch statische Eintr\u00e4ge erstellen.<\/p>\n

\"TP-Link
\n
\nDie Bridge-Tabelle des Modells T2600G-28SQ kann maximal bis zu 16K Eintr\u00e4ge aufnehmen.
\nEine weitere Option zur Filterung des Benutzerverkehrs ist die Funktion Port Isolation, die es erm\u00f6glicht, ausdr\u00fccklich anzugeben, in welche Richtung die Weiterleitung gestattet ist.<\/p>\n

\"TP-Link
\n
\n\"TP-Link<\/p>\n

Sicherheit \u2013 IMPB<\/h3>\n

\nIn unserem weiten Land variiert der Ansatz der Telekommunikationsanbieter zur Gew\u00e4hrleistung der Netzwerksicherheit von vollst\u00e4ndiger Ignorierung bis zur maximalen Nutzung aller vom Ger\u00e4t unterst\u00fctzten Optionen.<\/p>\n

Die Funktionen IPv4 IMPB (IP-MAC-Port-Bindung) und IPv6 IMPB bieten Schutz vor einer Vielzahl von Angriffen, die mit der F\u00e4lschung von IP- und MAC-Adressen von Abonnenten in Verbindung stehen, indem sie IP- und MAC-Adressen der Kundenger\u00e4te an dem Switch-Interface des Anbieters binden. Diese Bindung kann manuell oder unter Verwendung von ARP-Scanning und DHCP-Snooping-Funktionen erfolgen.<\/p>\n

Haupteinstellungen IMPB<\/b>\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link<\/p>\n

Es sei fairerweise erw\u00e4hnt, dass eine spezielle Funktion \u2013 DHCP-Filter \u2013 zum Schutz des DHCP-Protokolls eingesetzt werden kann.<\/p>\n

\"TP-Link
\n
\n\"TP-Link
\n
\nMit dieser Funktion kann der Netzwerkadministrator manuell angeben, welche Interfaces mit echten DHCP-Servern verbunden sind. So wird verhindert, dass betr\u00fcgerische DHCP-Server in den Prozess der IP-Parameterverhandlung eindringen.<\/p>\n

Sicherheit \u2013 DoS-Abwehr<\/h3>\n

\nDas betrachtete Modell erm\u00f6glicht den Schutz der Nutzer vor mehreren der bekanntesten und zuvor weit verbreiteten DoS-Angriffe.<\/p>\n

\"TP-Link
\n
\nDie meisten der genannten Angriffe sind f\u00fcr Ger\u00e4te mit modernen Betriebssystemen heutzutage kaum noch bedrohlich. Dennoch k\u00f6nnen in unseren Netzwerken immer noch Systeme auftreten, die seit vielen Jahren keine Software-Updates mehr erhalten haben.<\/p>\n

DHCP-Unterst\u00fctzung<\/h3>\n

\nDer TP-Link T2600G-28SQ Switch kann sowohl als DHCP-Server als auch als Relay fungieren und bietet zudem eine Vielzahl an DHCP-Nachrichtenfiltrierungen, sofern ein anderes Ger\u00e4t als Server fungiert.<\/p>\n

Der einfachste Weg, den Nutzern die notwendigen IP-Parameter zur Verf\u00fcgung zu stellen, besteht darin, den integrierten DHCP-Server des Switches zu aktivieren. Damit k\u00f6nnen grundlegende Parameter bereits an die Abonnenten \u00fcbermittelt werden.<\/p>\n

\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n
\nWir haben unseren SOHO-Router Archer C6 mit einem der Interfaces des Switches verbunden und erfolgreich die Adresszuweisung an das Client-Ger\u00e4t \u00fcberpr\u00fcft.<\/p>\n

So sieht es aus<\/b>\"TP-Link
\n
\n\"TP-Link
\n
\nEin in den Switch integrierter DHCP-Server ist m\u00f6glicherweise nicht die skalierbarste und flexibelste L\u00f6sung: Es fehlt an Unterst\u00fctzung f\u00fcr benutzerdefinierte Optionen und die Verbindung zu IPAM ist nicht gegeben. Wenn der Betreiber jedoch mehr Kontrolle \u00fcber den Prozess der IP-Adressvergabe ben\u00f6tigt, sollte ein dedizierter DHCP-Server in Betracht gezogen werden.<\/p>\n

Der T2600G-28SQ erm\u00f6glicht es, f\u00fcr jedes benutzerdefinierte Subnetz einen separaten dedizierten DHCP-Server anzugeben, an den die betreffenden Protokollnachrichten weitergeleitet werden. Die Auswahl des Subnetzes erfolgt, indem der entsprechende L3-Schnittstelle zugeordnet wird: VLAN (SVI), gerouteter Port oder Port-Channel.<\/p>\n

\"TP-Link
\n
\n\"TP-Link
\n
\nUm das Funktionieren des Relays zu \u00fcberpr\u00fcfen, haben wir einen separaten Router eines anderen Herstellers konfiguriert, der als DHCP-Server fungiert. Die Konfiguration ist unten dargestellt.<\/p>\n

R1#sho run | s pool\nip dhcp pool test\n\u00a0network 192.168.0.0 255.255.255.0\n\u00a0default-router 192.168.0.1\n\u00a0dns-server 8.8.8.8<\/code><\/pre>\n
\nDer Client-Router hat erneut erfolgreich eine IP-Adresse erhalten.<\/p>\n
R1#sho ip dhcp binding\nBindings von allen Pools, die nicht mit VRF verbunden sind:\nIP-Adresse\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 Client-ID\/          \u00a0 \u00a0 Lease-Ablaufdatum       Typ\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Hardware-Adresse\/\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Benutzername\n192.168.0.2 \u00a0 \u00a0 \u00a0 \u00a0 010c.8063.f0c2.6a   \u00a0 \u00a0 24. Mai 2019 17:07 Uhr    Automatisch<\/code><\/pre>\n
\nUnter dem Spoiler befindet sich der Inhalt eines abgefangenen Pakets zwischen dem Switch und dem dedizierten DHCP-Server.<\/p>\n
Inhalt des Pakets<\/b>\"TP-Link
\nEs ist bemerkenswert, dass der Switch die Option 82 unterst\u00fctzt. Bei Aktivierung f\u00fcgt der Switch Informationen \u00fcber die Schnittstelle hinzu, von der die DHCP Discover-Nachricht empfangen wurde. Dar\u00fcber hinaus erm\u00f6glicht das Modell T2600G-28SQ eine Anpassung der Richtlinien f\u00fcr den Umgang mit den hinzugef\u00fcgten Informationen bei der Einf\u00fcgung der Option Nr. 82. Die Unterst\u00fctzung dieser Option kann n\u00fctzlich sein, wenn einem Client unabh\u00e4ngig von der \u00fcbermittelten Client-ID die gleiche IP-Adresse zugewiesen werden soll.
\nIm folgenden Bild ist die DHCP Discover-Nachricht (\u00fcber das Relay \u00fcbermittelt) mit der hinzugef\u00fcgten Option Nr. 82 dargestellt.<\/p>\n
Nachricht mit der Option Nr. 82<\/b>\"TP-Link
\nNat\u00fcrlich kann die Option Nr. 82 auch ohne den vollst\u00e4ndigen Konfigurationsaufbau eines DHCP-Relays verwaltet werden, die entsprechenden Einstellungen finden Sie im Unterabschnitt 'DHCP L2 Relay'.<\/p>\n
\"TP-Link
\n
\n\"TP-Link
\n
\nLassen Sie uns nun die Einstellungen des DHCP-Servers \u00e4ndern, um die Funktionsweise der Option Nr. 82 zu demonstrieren.<\/p>\n
R1#sho run | s dhcp\nip dhcp pool test\n\u00a0network 192.168.0.0 255.255.255.0\n\u00a0default-router 192.168.0.1\n\u00a0dns-server 8.8.8.8\n\u00a0class option82_test\n\u00a0\u00a0address range 192.168.0.222 192.168.0.222\nip dhcp class option82_test\n\u00a0relay agent information\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0relay-information hex 010e010c74702d6c696e6b5f746573740208000668ff7b66f675\nR1#sho ip dhcp binding\nBindings from all pools not associated with VRF:\nIP address\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 Client-ID\/          \u00a0 \u00a0 Lease expiration        Type\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Hardware address\/\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0User name\n192.168.0.222 \u00a0 \u00a0 \u00a0 010c.8063.f0c2.6a   \u00a0 \u00a0 24. Mai 2019 17:33 Uhr    Automatisch<\/code><\/pre>\n
So k\u00f6nnte es ungef\u00e4hr aussehen.<\/b>\"TP-Link
\nDie DHCP Interface Relay-Funktion ist n\u00fctzlich, wenn ein Switch nicht nur \u00fcber eine L3-Schnittstelle verf\u00fcgt, die an ein bestimmtes Netzwerk angeschlossen ist, sondern auch, wenn diese Schnittstelle eine IP-Adresse hat. Fehlt die Adresse jedoch auf einer solchen Schnittstelle, kommt die DHCP VLAN Relay-Funktion ins Spiel. In diesem Fall wird die Subnetzinfo von der Standard-Schnittstelle abgerufen, was bedeutet, dass die Adressr\u00e4ume in mehreren virtuellen Netzwerken identisch sind (sich \u00fcberlappen).<\/p>\n
\"TP-Link
\n
\nOft m\u00fcssen Betreiber auch ihre Kunden vor versehentlichem oder b\u00f6swilligem Aktivieren eines DHCP-Servers auf der Kundenausr\u00fcstung sch\u00fctzen. Diese Funktionalit\u00e4t wollen wir in einen Abschnitt auslagern, der sich mit Sicherheitsfragen besch\u00e4ftigt.<\/p>\n
IEEE 802.1X<\/h3>\n
\nEine der Methoden zur Authentifizierung von Benutzern im Netzwerk ist die Verwendung des IEEE 802.1X-Protokolls. Obwohl die Beliebtheit dieses Protokolls in den Netzwerken von Telekommunikationsanbietern in Russland bereits nachl\u00e4sst, wird es nach wie vor haupts\u00e4chlich in lokalen Netzwerken gro\u00dfer Unternehmen eingesetzt, um interne Benutzer der Organisation zu authentifizieren. Der Switch T2600G-28SQ unterst\u00fctzt 802.1X, sodass der Anbieter es bei Bedarf problemlos aktivieren kann.<\/p>\n
F\u00fcr das IEEE 802.1X-Protokoll sind drei Teilnehmer erforderlich: die Client-Hardware (Supplicant), der Zugangsswitch des Anbieters (Authentifier) und die Authentifizierungsserver (typischerweise RADIUS-Server).<\/p>\n
\"TP-Link
\n
\nDie grundlegende Konfiguration auf der Seite des Anbieters ist denkbar einfach. Es muss lediglich die IP-Adresse des verwendeten RADIUS-Servers angegeben werden, auf dem die Benutzerdatenbank gespeichert wird, sowie die Schnittstellen ausgew\u00e4hlt werden, f\u00fcr die eine Authentifizierung erforderlich ist.<\/p>\n
Grundkonfiguration 802.1X<\/b>\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n
\nVon der Client-Seite ist ebenfalls eine geringe Konfiguration erforderlich. Alle modernen Betriebssysteme verf\u00fcgen bereits \u00fcber die notwendige Software. Bei Bedarf kann jedoch der TP-Link 802.1x Client installiert und verwendet werden \u2013 eine Anwendung, die eine Authentifizierung des Clients im Netzwerk erm\u00f6glicht.<\/p>\n
Beim direkten Anschluss eines Benutzer-PCs an das Netzwerk des Anbieters m\u00fcssen die Authentifizierungseinstellungen f\u00fcr die Netzwerkkarte, die f\u00fcr die Verbindung verwendet wird, aktiviert werden.<\/p>\n
\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n
\nAllerdings wird heutzutage das Netzwerk des Betreibers in der Regel nicht direkt mit dem Computer des Nutzers verbunden, sondern \u00fcber einen sogenannten SOHO-Router, der die Funktionalit\u00e4t des lokalen Netzwerks des Abonnenten gew\u00e4hrleistet (sowohl f\u00fcr kabelgebundene als auch drahtlose Segmente). In diesem Fall m\u00fcssen alle Einstellungen f\u00fcr das 802.1X-Protokoll direkt am Router vorgenommen werden.<\/p>\n
\"TP-Link
\n
\nWir glauben, dass diese Art der Authentifizierung in Betreibernetzwerken zu Unrecht in Vergessenheit geraten ist. Ja, die feste Bindung des Nutzers an den Port des Switches k\u00f6nnte m\u00f6glicherweise die einfachere L\u00f6sung aus der Sicht der Benutzerger\u00e4teeinstellungen sein. Aber wenn die Verwendung von Login und Passwort erforderlich ist, wird 802.1X im Vergleich zu den verwendeten Verbindungen auf Basis von PPTP\/L2TP\/PPPoE kein so schwerf\u00e4lliges Protokoll sein.<\/p>\n
PPPoE ID Insertion<\/h3>\n
\nViele Nutzer, nicht nur in unserem Land, sondern weltweit, ziehen nach wie vor sehr einfache Passw\u00f6rter vor. Leider sind F\u00e4lle von Datenmissbrauch keine Seltenheit. Wenn ein Anbieter in seinem Netzwerk das PPPoE-Protokoll zur Authentifizierung der Benutzer verwendet, kann der TP-Link T2600G-28SQ Switch bei Problemen mit dem Verlust von Zugangsdaten helfen. Dies geschieht durch das Hinzuf\u00fcgen eines speziellen Tags zur PPPoE Active Discovery-Nachricht. So kann der Anbieter den Abonnenten nicht nur anhand von Benutzername und Passwort, sondern auch mit zus\u00e4tzlichen Informationen wie der MAC-Adresse des Client-Ger\u00e4ts und dem Switch-Interface, an das es angeschlossen ist, authentifizieren.<\/p>\n
\"TP-Link
\n
\nEinige Anbieter m\u00f6chten grunds\u00e4tzlich dem Abonnenten (Paar von Benutzername und Passwort) die M\u00f6glichkeit verwehren, im Netzwerk zu navigieren. Die Funktion zur PPPoE ID-Einf\u00fcgung kann auch in diesem Fall helfen.<\/p>\n
IGMP<\/h3>\n
\nDas IGMP-Protokoll (Internet Group Management Protocol) existiert bereits seit mehreren Jahrzehnten. Seine Popularit\u00e4t ist verst\u00e4ndlich und leicht nachvollziehbar. Doch an der IGMP-Interaktion sind zwei Parteien beteiligt: der PC des Benutzers (oder ein anderes Ger\u00e4t, wie z. B. ein STB) und der IP-Router, der einen bestimmten Netzwerksegment bedient. Switches sind an diesem Austausch nicht beteiligt. Allerdings ist die letzte Aussage nicht ganz korrekt. Oder in modernen Netzwerken ist sie \u00fcberhaupt nicht korrekt. Die Unterst\u00fctzung des IGMP-Protokolls durch Switches ist notwendig, um die Weiterleitung von Multicast-Verkehr zu optimieren. Indem der Switch den Benutzerverkehr \u00fcberwacht, erkennt er IGMP-Report-Nachrichten, mit denen er die Ports f\u00fcr die Multicast-Datenweiterleitung bestimmt. Diese Funktion wird als IGMP Snooping bezeichnet.<\/p>\n
\"TP-Link
\n
\n\"TP-Link
\n
\n\"TP-Link
\n
\nDie Unterst\u00fctzung des IGMP-Protokolls kann nicht nur zur Optimierung des Verkehrs eingesetzt werden, sondern auch zur Identifizierung von Abonnenten, denen bestimmte Dienste, wie z. B. IPTV, bereitgestellt werden k\u00f6nnen. Das gew\u00fcnschte Ziel kann sowohl durch manuelle Konfiguration der Filterparameter als auch durch die Verwendung von Authentifizierung erreicht werden.<\/p>\n
\"TP-Link
\n
\n\"TP-Link
\n\"TP-Link
\n
\nDie Unterst\u00fctzung von Gruppenverkehr auf TP-Link-Switches ist sehr flexibel umgesetzt. So k\u00f6nnen beispielsweise alle Parameter f\u00fcr jedes virtuelle Netzwerk separat festgelegt werden.<\/p>\n
\"TP-Link
\n
\n\"TP-Link
\n
\nWenn mehrere Subnetze, in denen sich die Empf\u00e4nger des Gruppenverkehrs befinden, an dasselbe Router-Interface angeschlossen sind, muss der Router mehrere Kopien von Paketen \u00fcber dieses Interface weiterleiten (je eine f\u00fcr jedes virtuelle Netzwerk). 
\nDie Optimierung des Gruppenverkehrs kann in diesem Fall durch die Technologie MVR \u2013 Multicast VLAN Registration \u2013 erfolgen.<\/p>\n
\"TP-Link
\n
\n\"TP-Link
\n
\nDas Kernkonzept besteht darin, ein einziges virtuelles Netzwerk zu erstellen, das alle Empf\u00e4nger vereint. Dieses virtuelle Netzwerk wird jedoch nur f\u00fcr den Gruppenverkehr verwendet. Dieser Ansatz erm\u00f6glicht es dem Router, nur eine Kopie des Gruppenverkehrs \u00fcber das Interface zu senden.<\/p>\n
DDM, OAM und DLDP<\/h3>\n
\nDDM \u2013 Digital Diagnostic Monitoring. Bei der Nutzung optischer Module ist es h\u00e4ufig erforderlich, den Zustand des Moduls sowie des angeschlossenen optischen Kanals zu \u00fcberwachen. Die Funktion DDM unterst\u00fctzt dabei. Mit ihr k\u00f6nnen die Ingenieure des Betreibers die Temperatur jedes Moduls, das diese Funktionalit\u00e4t unterst\u00fctzt, die Spannung und den Strom sowie die Leistung der gesendeten und empfangenen optischen Signale \u00fcberwachen.<\/p>\n
\"TP-Link
\n
\nDie Festlegung von Schwellenwerten f\u00fcr die zuvor beschriebenen Parameter erm\u00f6glicht es, ein Ereignis zu generieren, wenn diese den zul\u00e4ssigen Bereich \u00fcberschreiten.<\/p>\n
Konfiguration der DDM-Ausl\u00f6sungsschwellen<\/b>\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n
\nNat\u00fcrlich kann der Administrator die aktuellen Werte der angegebenen Parameter einsehen.<\/p>\n
\"TP-Link
\n
\nDer TP-Link T2600G-28SQ Switch verf\u00fcgt \u00fcber ein aktives Luftk\u00fchlungssystem. Dar\u00fcber hinaus haben wir bisher keine \u00dcberhitzung von SFP-Modulen in unseren Switches erlebt, die durch die hohe Portdichte verursacht wurde. Sollte jedoch theoretisch ein Problem mit einem SFP-Modul auftreten, wird der Administrator dank DDM sofort \u00fcber eine potenziell gef\u00e4hrliche Situation informiert. Die Gefahr besteht hier offensichtlich nicht f\u00fcr den Switch selbst, sondern f\u00fcr die Diode den Laser im SFP, da mit steigender Temperatur eine Abnahme der Leistung des optischen Signals eintreten kann, was den optischen Budget beeintr\u00e4chtigen w\u00fcrde.<\/p>\n
Es ist zudem erw\u00e4hnenswert, dass die TP-Link Switches keine \"Vendor-Lock\"-Funktion haben, das hei\u00dft, es werden alle kompatiblen SFP-Module unterst\u00fctzt, was nat\u00fcrlich sehr praktisch f\u00fcr Netzwerkadministratoren ist.<\/p>\n
OAM \u2014 Betrieb, Verwaltung und Wartung (IEEE 802.3ah). OAM ist ein Protokoll der zweiten Schicht des OSI-Modells, das zur \u00dcberwachung und zur Fehlerdiagnose in Ethernet-Netzwerken vorgesehen ist. Mit diesem Protokoll kann der Switch die Leistung einer bestimmten Verbindung und Fehler \u00fcberwachen sowie Warnmeldungen generieren, damit der Netzwerkadministrator das Netzwerk effektiver verwalten kann.<\/p>\n
Grundkonfiguration von OAM<\/b>\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n\"TP-Link
\n
\nDetails zur Funktionsweise von OAM<\/b>Zwei benachbarte Ger\u00e4te, die OAM unterst\u00fctzen, f\u00fchren regelm\u00e4\u00dfige Nachrichtenwechsel durch, indem sie OAMPDU senden, die in drei Typen unterteilt sind: Informational, Event Notification und Loopback Control. Mit den Informations-OAMPDU senden benachbarte Switches statistische Informationen sowie vom Administrator definierte Daten aneinander. Dieser Nachrichtentyp wird auch zur Aufrechterhaltung der Verbindung \u00fcber das OAM-Protokoll verwendet. Event Notification-Nachrichten kommen bei der \u00dcberwachungsfunktion zum Einsatz, um die Gegenstelle \u00fcber aufgetretene St\u00f6rungen zu informieren. Loopback Control-Nachrichten werden verwendet, um Schleifen in der Leitung zu bestimmen.<\/p>\n
Im Folgenden haben wir die wichtigsten Funktionen aufgelistet, die das OAM-Protokoll bereitstellt:<\/p>\n