Commutateur optique TP-Link T2600G-28SQ pour les fournisseurs de services : examen détaillé 

L'expansion des grandes villes et la formation d'agglomérations est l'une des tendances importantes du développement social aujourd'hui. Rien qu'à Moscou, en 2019, 4 millions de mètres carrés de logements doivent être construits (sans compter les 15 localités qui seront intégrées d'ici 2020). Sur tout ce vaste territoire, les opérateurs de télécommunications devront fournir un accès à Internet aux utilisateurs. Cela peut inclure des quartiers urbains à forte densité de construction ainsi que des lotissements plus « dispersés ». Pour ces cas, les exigences en matière d'équipement varient légèrement. Nous avons analysé chacun de ces scénarios et créé un modèle universel de commutateur optique - T2600G-28SQ. Dans cet article, nous allons examiner en détail les capacités de l'appareil, qui seront intéressantes pour les opérateurs de télécommunications à travers la Russie.

Place dans le réseau

Le commutateur T2600G-28SQ est conçu à la fois pour le travail au niveau d'accès dans le réseau et pour l'agrégation des liens d'autres commutateurs de niveau d'accès. C'est un commutateur de niveau 2 qui effectue la commutation et le routage statique. Si un opérateur a mis en place à la fois l'agrégation commutée et l'accès (routage uniquement dans le cœur du réseau), le T2600G-28SQ s'intégrera à n'importe quel niveau. En cas d'agrégation routée de manière dynamique, il faut néanmoins prendre en compte certaines limitations concernant les scénarios d'utilisation.

Le modèle T2600G-28SQ est un commutateur Ethernet actif complet sans limitations supplémentaires liées à l'utilisation de technologies xPON ou similaires. Par exemple, sans risque de chute significative de la vitesse avec l'augmentation du nombre d'utilisateurs ou de mauvaise compatibilité entre les équipements de différents fournisseurs et leurs firmwares. Les interfaces de l'appareil peuvent être connectées à la fois par des utilisateurs finaux et à des commutateurs d'accès inférieurs avec des uplinks optiques, par exemple, le modèle T2600G-28TS. Dans le schéma ci-dessous, les exemples les plus courants de telles connexions sont présentés.

Pour accéder au réseau d'un utilisateur final, une fibre optique ou un câble à paires torsadées peut être utilisé. Du côté de l'abonné, la fibre optique peut être terminée à l'aide d'un convertisseur de média (convertisseur de média), par exemple, TP-Link MC220L; ou en utilisant une interface optique dans un routeur SOHO.

Pour connecter un client localisé à proximité, il est possible d'utiliser quatre ports RJ-45 fonctionnant à des vitesses de 10/100/1000 Mbps. Si, pour une raison quelconque, cela ne s'avère pas suffisant, l'opérateur peut « convertir » les interfaces optiques du commutateur en interfaces cuivre. Cela peut être réalisé à l'aide de SFP spécial « cuivre » avec un connecteur RJ-45. Toutefois, cette solution ne peut pas être considérée comme typique.

Quelques exemples pratiques

Pour donner une image complète, présentons quelques exemples d'utilisation des commutateurs du modèle T2600G-28SQ.

Fournisseur de la région de Moscou « DIVO », qui, en plus de l'internet, propose des services de téléphonie et de télévision par câble, utilise le T2600G-28SQ au niveau d'accès pour construire des réseaux dans le secteur privé (maisons individuelles et maisons en rangée). Côté client, la connexion se fait via des routeurs avec port SFP, ainsi que des médiaconvertisseurs. Actuellement, les routeurs SOHO avec port SFP ne sont pas fabriqués en série chez nous, mais nous y réfléchissons, bien sûr.

Opérateur de télécommunications MKS du district de Pavlovo-Posadskiy utilise des commutateurs T2600G-28SQ pour une « petite agrégation », utilisant les commutateurs des modèles T2600G-28TS et T2500G-10TS au niveau d'accès.

Le groupe de sociétés « Garantiya » fournit dans le sud-est de la région de Moscou (Kolomna, Lyukhovitsy, Zaraysk, Serebryanyye Prudy, Ozyory) un accès à Internet, à la télévision, à la téléphonie, ainsi qu'à des systèmes de vidéosurveillance. La topologie approximative ici est la même que pour MKS : T2600G-28SQ au niveau d'agrégation, et T2600G-28TS et T2500G-10TS au niveau d'accès.

Le fournisseur SKTV de Krasnoznamensk offre un accès à Internet grâce à un réseau à forte pénétration de la fibre optique. Il repose également sur le T2600G-28SQ.

Dans les sections suivantes, nous décrirons brièvement certaines des fonctionnalités du modèle T2600G-28SQ. Pour ne pas gonfler le matériau, plusieurs options ont été laissées de côté : QinQ (VLAN VPN), routage, QoS, etc. Nous pensons qu'il sera possible d'y revenir dans un des prochains posts.

Fonctionnalités du commutateur

Redondance – STP

STP – Protocole de l'Arbre de Couverture. Ce protocole est connu depuis longtemps, et nous devons cela à la respectée Radia Perlman. Dans les réseaux modernes, les administrateurs essaient d'éviter d'utiliser ce protocole. Oui, le STP a ses défauts. Et il est très bon qu'il existe une alternative. Cependant, comme cela arrive souvent, l'alternative à ce protocole dépendra fortement du fournisseur. C'est pourquoi le Protocole de l'Arbre de Couverture reste encore aujourd'hui l'une des seules solutions prises en charge par presque tous les fabricants, et il est également connu de tous les administrateurs réseau.

Le commutateur TP-Link T2600G-28SQ prend en charge trois versions du STP : le STP classique (IEEE 802.1D), le RSTP (802.1W) et le MSTP (802.1S).

Parmi ces options, le RSTP ordinaire convient parfaitement à la plupart des petits fournisseurs d'accès Internet en Russie, car il présente un avantage indiscutable par rapport à la version classique : un temps de convergence considérablement réduit.

Le protocole le plus flexible aujourd'hui est le MSTP, qui prend en charge les réseaux virtuels (VLAN) et permet plusieurs arbres différents, ce qui permet d'utiliser tous les chemins de secours disponibles. L'administrateur crée plusieurs instances d'arbres différentes (jusqu'à huit), chacune gérant un ensemble spécifique de réseaux virtuels.

Les subtilités du MSTPLes administrateurs débutants utilisant le MSTP doivent être très prudents. Cela est dû au fait que le comportement du protocole à l'intérieur d'une région et entre différentes régions est différent. Par conséquent, lors de la configuration des commutateurs, il est crucial de rester dans le cadre d'une seule région.

Qu'est-ce que cette fameuse région ? En termes de MSTP, une région est un ensemble de commutateurs interconnectés qui partagent les caractéristiques suivantes : le nom de la région, le numéro de révision et la répartition des réseaux virtuels (VLAN) entre les instances du protocole.

Bien sûr, le Protocole de l'Arbre de Couverture (quelle que soit sa version) permet non seulement de lutter contre les boucles qui se produisent lors de la connexion de chemins de secours, mais aussi de se protéger contre les erreurs de câblage, lorsque l'ingénieur relie intentionnellement ou involontairement des ports incorrects, créant ainsi une boucle par ses actions.

Les administrateurs réseau plus expérimentés préfèrent utiliser diverses options supplémentaires pour protéger le protocole STP contre les attaques ou les situations d'urgence complexes. Le modèle T2600G-28SQ offre tout un éventail de ces fonctionnalités : Loop Protect, Root Protect, TC Guard, BPDU Protect et BPDU Filter.

Une utilisation correcte des options énumérées ci-dessus, en conjonction avec d'autres mécanismes de protection pris en charge, permettra de stabiliser le réseau local et de le rendre plus prévisible.

Réservation – LAG

LAG – Link Aggregation Group. Il s'agit d'une technologie permettant de regrouper plusieurs canaux physiques en un seul canal logique. Tous les autres protocoles cessent d'utiliser les canaux physiques compris dans le LAG séparément et commencent à « voir » une seule interface logique. Un exemple de tel protocole est le STP.

La répartition du trafic utilisateur entre les canaux physiques à l'intérieur du logique se fait sur la base d'une somme de contrôle. Pour son calcul, on peut utiliser les adresses MAC de l'expéditeur, du destinataire, ou leur paire ; ainsi que les adresses IP de l'expéditeur, du destinataire, ou leur paire. Les informations des protocoles de niveau quatre (ports TCP/UDP) ne sont pas prises en compte.

Le commutateur T2600G-28SQ prend en charge les LAG statiques et dynamiques.

Pour négocier les paramètres de fonctionnement du groupe dynamique, le protocole LACP est utilisé.

Sécurité – listes d'accès (ACL)

Notre commutateur T2600G-28SQ permet de filtrer le trafic utilisateur à l'aide de listes d'accès (ACL – Access Control List).

Les listes d'accès prises en charge peuvent être de plusieurs types différents : MAC et IP (IPv4/IPv6), combinées, ainsi que celles pour la filtrage de contenu. Le nombre de listes d'accès prises en charge pour chaque type dépend du modèle SDM utilisé actuellement, que nous avons décrit dans une autre section.

L'opérateur peut utiliser cette option pour bloquer divers types de trafic indésirable sur le réseau. Un exemple de ce type de trafic pourrait être des paquets IPv6 (à l'aide du champ EtherType), si le service correspondant n'est pas fourni ; ou bloquer SMB sur le port 445. Dans un réseau ayant une adresse statique, le trafic DHCP/BOOTP n'est pas nécessaire et l'administrateur peut filtrer les datagrammes UDP sur les ports 67 et 68 à l'aide des ACL. La mise en place d'un blocage de trafic IPoE local est également possible avec des ACL. Ce type de blocage peut être nécessaire dans les réseaux des opérateurs utilisant PPPoE.

Le processus d'utilisation des listes d'accès est très simple. Après la création de la liste elle-même, il est nécessaire d'ajouter le nombre requis d'enregistrements, dont le type dépend directement de la liste à configurer.

Configuration des listes d'accès






Il convient de noter que les listes d'accès peuvent non seulement effectuer des opérations classiques de permission ou d'interdiction de passage du trafic, mais également rediriger, dupliquer le trafic, ainsi que le re-marquer ou limiter sa vitesse.
Une fois que toutes les ACL nécessaires ont été créées, l'administrateur peut procéder à leur installation. Il est possible d'attacher la liste d'accès à un port physique spécifique ou à un réseau virtuel particulier.

Sécurité – nombre d'adresses MAC

Il arrive parfois que les opérateurs aient besoin de limiter le nombre d'adresses MAC que le commutateur apprend sur un port donné. Les listes d'accès permettent d'atteindre cet objectif, mais nécessitent l'indication explicite des adresses MAC elles-mêmes. Si l'on doit simplement limiter le nombre d'adresses de canal sans spécifier les adresses de manière explicite, la sécurité de port peut être une solution.

Cette restriction peut être nécessaire, par exemple, pour protéger contre la connexion d'un réseau local entier à une seule interface de commutateur du fournisseur. Il convient également de préciser qu'il s'agit d'une connexion commutée, car lors d'une connexion via un routeur, le T2600G-28SQ n'apprendra qu'une seule adresse – celle appartenant au port WAN du routeur client.

Il existe toute une classe d'attaques visant la table de commutation. Cela peut être un débordement de table ou du MAC-spoofing. L'option de sécurité de port permettra de se protéger contre le débordement de la table de pont et les attaques visant à rééduquer intentionnellement le commutateur, empoisonnant sa table de pont.

Il convient également de mentionner les équipements clients qui tombent simplement en panne. Il n'est pas rare que des cartes réseau ou des routeurs mal fonctionnels créent un flux de trames avec des adresses d'expéditeur et de réception complètement aléatoires. Un tel flux peut facilement épuiser le CAM.

Un autre moyen de limiter le nombre d'enregistrements utilisés dans la table de pont est l'outil MAC VLAN Security, qui permet à l'administrateur de spécifier le nombre maximal d'enregistrements pour un réseau virtuel donné.

En plus de gérer les enregistrements dynamiques dans la table de commutation, l'administrateur peut également créer des enregistrements statiques.

La table de pont du modèle T2600G-28SQ peut contenir jusqu'à 16K d'enregistrements au maximum.
Une autre option destinée à filtrer le trafic utilisateur est la fonction Port Isolation, qui permet de spécifier explicitement dans quelle direction le transfert est autorisé.

Sécurité – IMPB

Dans notre vaste pays, l'approche des opérateurs de télécommunications concernant la sécurité réseau varie d'une ignorance totale à l'application maximale de toutes les options prises en charge par le matériel.

Les fonctions IPv4 IMPB (IP-MAC-Port Binding) et IPv6 IMPB permettent de se protéger contre un large éventail d'attaques liées au remplacement d'adresses IP et MAC par des abonnés, en liant les adresses IP et MAC du matériel client à l'interface du commutateur du fournisseur. Cette liaison peut être effectuée manuellement ou en utilisant les fonctions ARP Scanning et DHCP Snooping.

Paramètres principaux d'IMPB

Pour être juste, il convient de mentionner qu'une fonction spéciale – DHCP Filter – peut être utilisée pour protéger le protocole DHCP.

Grâce à cette fonction, l'administrateur réseau peut spécifier manuellement les interfaces auxquelles sont connectés de véritables serveurs DHCP. Ainsi, les serveurs DHCP frauduleux ne pourront pas s'immiscer dans le processus de négociation des paramètres IP.

Sécurité – DoS Defend

Le modèle examiné permet de protéger les utilisateurs contre plusieurs des attaques DoS les plus connues et répandues par le passé.

La plupart des attaques mentionnées ne posent plus de problème aux dispositifs dotés de systèmes d'exploitation modernes, cependant, il peut encore y avoir dans nos réseaux des appareils pour lesquels la dernière mise à jour logicielle a été effectuée il y a de nombreuses années.

Support DHCP

Le commutateur TP-Link T2600G-28SQ peut agir à la fois en tant que serveur DHCP ou relais, et effectuer une variété de filtrages des messages DHCP, si un autre dispositif joue le rôle de serveur.

Le moyen le plus simple de fournir aux utilisateurs les paramètres IP nécessaires à leur travail est d'utiliser le serveur DHCP intégré au commutateur. Grâce à lui, les paramètres de base peuvent déjà être fournis aux abonnés.

Nous avons connecté notre routeur SOHO Archer C6 à l'un des ports du commutateur et avons vérifié que l'appareil client a réussi à obtenir une adresse.

Cela ressemble à ceci



Le serveur DHCP intégré au commutateur n'est sans doute pas la solution la plus évolutive et flexible : il ne supporte pas les options non standards et n'est pas lié à un IPAM. Si l'opérateur a besoin de plus de contrôle sur le processus de distribution des adresses IP, un serveur DHCP dédié sera utilisé.

Le T2600G-28SQ permet de spécifier un serveur DHCP dédié distinct pour chaque sous-réseau utilisateur, vers lequel les messages du protocole en question seront redirigés. Le choix du sous-réseau se fait en indiquant l'interface L3 correspondante : VLAN (SVI), port routé ou port-channel.

Pour vérifier le fonctionnement du relais, nous avons configuré un routeur d'un autre fournisseur pour fonctionner en tant que serveur DHCP, dont la configuration est présentée ci-dessous.

R1#sho run | s pool
ip dhcp pool test
 network 192.168.0.0 255.255.255.0
 default-router 192.168.0.1
 dns-server 8.8.8.8

Le routeur client a de nouveau obtenu une adresse IP avec succès.

R1#sho ip dhcp binding
Bindings from all pools not associated with VRF:
IP address          Client-ID/            Lease expiration        Type
                    Hardware address/
                    User name
192.168.0.2         010c.8063.f0c2.6a     May 24 2019 05:07 PM    Automatic

Dans le spoiler — le contenu du paquet intercepté entre le commutateur et le serveur DHCP dédié.

Contenu du paquet
Il est impossible de ne pas souligner la présence du support de l'Option 82 par le commutateur. Lorsqu'il est activé, le commutateur ajoutera des informations sur l'interface utilisateur d'où le message DHCP Discover a été reçu. De plus, le modèle T2600G-28SQ permet de configurer la politique de traitement des informations ajoutées lors de l'insertion de l'option n°82. Le support de cette option peut s'avérer utile lorsqu'il est nécessaire d'attribuer la même adresse IP à un abonné, peu importe quel identifiant client (client-id) il communique.
L'illustration ci-dessous présente un message DHCP Discover (transmis par le relais) avec l'option n°82 ajoutée.

Message avec l'option n°82
Bien sûr, il est possible de gérer l'option n°82 sans configurer un relais DHCP complet, les réglages correspondants sont présentés dans la section « DHCP L2 Relay ».

Maintenant, modifions les paramètres du serveur DHCP pour démontrer le fonctionnement de l'option n°82.

R1#sho run | s dhcp
ip dhcp pool test
 network 192.168.0.0 255.255.255.0
 default-router 192.168.0.1
 dns-server 8.8.8.8
 class option82_test
  address range 192.168.0.222 192.168.0.222
ip dhcp class option82_test
 relay agent information
      relay-information hex 010e010c74702d6c696e6b5f746573740208000668ff7b66f675
R1#sho ip dhcp binding
Bindings from all pools not associated with VRF:
IP address          Client-ID/              Lease expiration        Type
                    Hardware address/
                    User name
192.168.0.222       010c.8063.f0c2.6a       May 24 2019 05:33 PM    Automatic

Voilà à peu près comme ça
La fonction de relais d'interface DHCP sera utile dans une situation où le commutateur dispose non seulement d'une interface L3 connectée à un réseau spécifique, mais où cette interface possède également une adresse IP. En cas d'absence d'adresse sur une telle interface, la fonction de relais DHCP VLAN interviendra. Dans ce cas, les informations sur le sous-réseau seront prises à partir de l'interface par défaut, ce qui signifie que les espaces d'adresses dans plusieurs réseaux virtuels seront identiques (se superposeront).

Souvent, les opérateurs doivent également protéger les abonnés contre l'activation accidentelle ou malveillante du serveur DHCP sur l'équipement client. Nous avons décidé de traiter cette fonctionnalité dans l'une des sections consacrées aux questions de sécurité.

IEEE 802.1X

L'un des moyens d'authentifier les utilisateurs sur le réseau est d'utiliser le protocole IEEE 802.1X. La popularité de ce protocole dans les réseaux des opérateurs de télécommunications en Russie est déjà en déclin, mais il est toujours principalement utilisé dans les réseaux locaux de grandes entreprises pour authentifier les utilisateurs internes de l'organisation. Le commutateur T2600G-28SQ prend en charge 802.1X, de sorte que le fournisseur peut facilement l'activer si nécessaire.

Pour faire fonctionner le protocole IEEE 802.1X, trois participants sont nécessaires : le matériel client (supplicant), le commutateur d'accès du fournisseur (authenticator) et les serveurs d'authentification (généralement des serveurs RADIUS).

La configuration de base du côté de l'opérateur est très simple. Il suffit d'indiquer l'adresse IP du serveur RADIUS utilisé, où sera stockée la base de données des utilisateurs, ainsi que de choisir les interfaces pour lesquelles l'authentification est nécessaire.

Configuration de base de 802.1X





Du côté client, une configuration minimale est également requise. Tous les systèmes d'exploitation modernes contiennent déjà le logiciel nécessaire. Toutefois, si nécessaire, il est possible d'installer et d'utiliser TP-Link 802.1x Client – une application permettant d'authentifier le client sur le réseau.

Lorsque l'ordinateur utilisateur est connecté directement au réseau du fournisseur, les paramètres d'authentification doivent être activés pour la carte réseau utilisée pour la connexion.

Cependant, actuellement, ce n'est généralement pas l'ordinateur de l'utilisateur qui se connecte directement au réseau de l'opérateur, mais plutôt un routeur SOHO qui assure le fonctionnement du réseau local de l'abonné (tant pour les segments filaires que sans fil). Dans ce cas, tous les paramètres du protocole 802.1X doivent être appliqués directement sur le routeur.

Nous avons l'impression que cette méthode d'authentification est injustement oubliée dans les réseaux des opérateurs. Oui, le lien fort de l'abonné au port du commutateur sera peut-être une solution plus simple d'un point de vue des configurations du matériel client. Mais si l'utilisation d'un identifiant et d'un mot de passe est nécessaire, alors 802.1X ne sera pas un protocole aussi lourd par rapport aux connexions basées sur des tunnels PPTP/L2TP/PPPoE.

Insertion d'ID PPPoE

De nombreux utilisateurs, non seulement dans notre pays, mais aussi dans le monde entier, préfèrent encore utiliser des mots de passe très simples. Malheureusement, les cas de vol de données d'identification ne sont pas rares. Si un opérateur utilise le protocole PPPoE pour authentifier les utilisateurs dans son réseau, le commutateur TP-Link T2600G-28SQ peut aider à résoudre le problème de fuite d'identifiants. Cela est réalisé en ajoutant une étiquette spéciale au message PPPoE Active Discovery. Ainsi, le fournisseur peut authentifier l'abonné non seulement par son identifiant et son mot de passe, mais aussi par des données supplémentaires. Ces données supplémentaires comprennent l'adresse MAC de l'appareil client, ainsi que l'interface du commutateur à laquelle il est connecté.

Certains opérateurs souhaitent en principe interdire à l'abonné (identifiant et mot de passe) de se déplacer sur le réseau. La fonction PPPoE ID Insertion peut également aider dans ce cas.

IGMP

Le protocole IGMP (Internet Group Management Protocol) existe depuis plusieurs décennies. Sa popularité est tout à fait compréhensible et facile à expliquer. Mais dans l'interaction IGMP, deux parties sont impliquées : l'ordinateur de l'utilisateur (ou tout autre appareil, comme un STB) et le routeur IP qui gère un segment spécifique du réseau. Les commutateurs ne participent pas à cet échange. Cependant, cette affirmation n'est pas tout à fait vraie. Ou plutôt, elle n'est pas tout à fait vraie dans les réseaux modernes. Le support du protocole IGMP par les commutateurs est nécessaire pour optimiser le trafic de groupe. En écoutant le trafic utilisateur, le commutateur détecte dans celui-ci les messages IGMP Report, grâce auxquels il détermine les ports pour le transfert du trafic de groupe. Cette option est appelée IGMP Snooping.

Le support du protocole IGMP peut être utilisé non seulement pour optimiser le trafic en tant que tel, mais aussi pour identifier les abonnés à qui un service particulier peut être fourni, comme l'IPTV. L'objectif souhaité peut être atteint soit par la configuration manuelle des paramètres de filtrage, soit par l'utilisation de l'authentification.

Le support du trafic de groupe sur les commutateurs TP-Link est mis en œuvre de manière assez flexible. Par exemple, tous les paramètres peuvent être définis pour chaque réseau virtuel individuellement.

Si plusieurs sous-réseaux contenant des destinataires de trafic multicast sont connectés à une seule interface de routeur, celui-ci devra envoyer plusieurs copies des paquets par cette interface (une pour chaque réseau virtuel).
On peut optimiser la procédure de transmission du trafic multicast dans ce cas à l'aide de la technologie MVR – Inscription VLAN Multicast.

L'idée de la solution est de créer un seul réseau virtuel regroupant tous les destinataires. Toutefois, ce réseau virtuel est utilisé uniquement pour le trafic multicast. Cette approche permet au routeur d'envoyer une seule copie du trafic multicast via l'interface.

DDM, OAM et DLDP

DDM – Surveillance Diagnostique Numérique. Lors de l'exploitation de modules optiques, il est souvent nécessaire de surveiller l'état même du module ainsi que celui du canal optique auquel il est connecté. La fonctionnalité DDM peut aider à cette tâche. Grâce à elle, les ingénieurs de l'opérateur peuvent suivre la température de chaque module prenant en charge cette fonctionnalité, la tension sur celui-ci et le courant, ainsi que les puissances des signaux optiques envoyés et reçus.

La configuration de seuils pour les paramètres décrits précédemment permettra de générer un événement en cas de dépassement de la plage autorisée.

Configuration des seuils de déclenchement DDM



Bien sûr, l'administrateur peut consulter les valeurs actuelles des paramètres mentionnés.

Le commutateur TP-Link T2600G-28SQ dispose d'un système de refroidissement par air actif. De plus, nous n'avons jamais rencontré de surchauffe des modules SFP dans nos commutateurs liée à la densité des ports. Cependant, si l'on suppose théoriquement une telle possibilité (par exemple, en raison d'un problème à l'intérieur du module SFP), grâce à DDM, l'administrateur sera immédiatement averti d'une situation potentiellement dangereuse. Le danger ici, il va sans dire, n'est pas pour le commutateur lui-même, mais pour le diode/laser à l'intérieur du SFP, car l'augmentation de sa température peut entraîner une dégradation de la puissance du signal optique émis, ce qui diminuera le budget optique.

Il convient également de noter que les commutateurs TP-Link n'ont pas de « fonction » de verrouillage de fournisseur, ce qui signifie que tous les modules SFP compatibles sont supportés, ce qui est bien sûr très pratique pour les administrateurs réseau.

OAM — Opération, Administration et Maintenance (IEEE 802.3ah). OAM est un protocole de niveau 2 du modèle OSI, conçu pour le monitoring et le dépannage des réseaux Ethernet. Avec ce protocole, un commutateur peut surveiller la performance d'une connexion donnée et les erreurs, générer des alertes afin que l'administrateur réseau puisse gérer le réseau de manière plus efficace.

Configuration de base de l'OAM




Détails de fonctionnement de l'OAMDeux appareils adjacents supportant l'OAM échangent périodiquement des messages en envoyant des OAMPDU, qui se présentent sous trois types : Informationnel, Notification d'Événement et Contrôle de Boucle. Grâce aux OAMPDU informatifs, les commutateurs voisins échangent des informations statistiques, ainsi que des données définies par l'administrateur. Ce type de message est également utilisé pour maintenir la connexion via le protocole OAM. Les messages de Notification d'Événement sont utilisés par la fonction de monitoring de connexion pour avertir l'autre partie des pannes survenues. Les messages de Contrôle de Boucle servent à identifier une boucle sur la ligne.

Nous avons décidé d'énumérer ci-dessous les principales fonctionnalités offertes par le protocole OAM :

• monitoring de l'environnement (détection et comptage des trames erronées),

• RFI – Indication de Défaillance à Distance (envoi de notification de panne sur le canal),

• Boucle à Distance (test du canal pour mesurer la latence, la variation de la latence (jitter), et le nombre de trames perdues).

Une autre option demandée sur les commutateurs optiques est la capacité à détecter les problèmes sur le canal de communication, rendant le canal unidirectionnel, c'est-à-dire que les données ne peuvent être envoyées que dans un sens. Nos commutateurs utilisent le protocole DLDP – Device Link Detection Protocol pour détecter les liaisons unidirectionnelles. Il convient de noter que le protocole DLDP est pris en charge à la fois sur les interfaces optiques et cuivrées, mais nous pensons qu'il sera le plus sollicité lors de l'utilisation de lignes en fibre optique.

Lors de la détection d'un canal unidirectionnel, le commutateur peut automatiquement désactiver l'interface problématique, ce qui entraînera une reconstruction de l'arbre STP et l'utilisation de canaux de communication de secours.

Nous disposons de modules SFP qui assurent la réception et la transmission du signal sur une seule fibre. Ils fonctionnent exclusivement par paires et utilisent pour la transmission au sein de la paire un signal optique à des longueurs d'onde différentes. Un exemple est la paire TL-SM321A et TL-SM321B. L'utilisation de ce type de module signifie que la défaillance d'une fibre entraînera la non-fonctionnalité complète de tout le canal optique. Cependant, même sur de tels canaux, le protocole DLDP sera nécessaire, car, bien que cela se produise très rarement, un canal peut avoir des caractéristiques de transparence différentes pour différentes longueurs d'onde. Le problème le plus probable est la transparence variable du canal en fonction de la direction de propagation de la lumière. Un réfectogramme peut aider à détecter ces problèmes, mais c'est une autre histoire.

LLDP

Dans les grandes entreprises ou les réseaux opérateurs, il y a périodiquement des problèmes de mise à jour de la documentation réseau ou d'inexactitudes dans sa rédaction. Un administrateur réseau peut se retrouver dans une situation où il doit déterminer quel équipement opérateur est réellement connecté à tel ou tel port de commutateur. Le protocole LLDP – Link Layer Discovery Protocol (IEEE 802.1AB) vient à la rescousse.

Paramètres de fonctionnement de LLDP






Nos commutateurs prennent en charge le protocole LLDP non seulement pour détecter des commutateurs voisins ou d'autres dispositifs réseau, mais aussi pour déterminer leurs capacités.

Les homologues en cuivre de notre commutateur peuvent utiliser LLDP-MED pour simplifier la procédure de connexion des téléphones IP. Grâce à cette option, le commutateur PoE peut également négocier les paramètres d'alimentation avec l'appareil alimenté. Nous en avons déjà parlé en détail dans l'un de nos anciens articles.

SDM et réinscription

Pratiquement tous les commutateurs modernes traitent les trames et paquets passants sans utiliser le processeur central. Le traitement (calcul de la somme de contrôle, application des listes d'accès et réalisation d'autres vérifications de sécurité, ainsi que la prise de décision sur le commutage/routage) est effectué à l'aide de circuits spécialisés, permettant ainsi d'atteindre des vitesses élevées pour le trafic utilisateur. Le commutateur discuté permet de traiter le trafic à la vitesse des liaisons. Cela signifie que les performances de l'appareil sont suffisantes pour transmettre des données aux vitesses maximales possibles de tous les ports en même temps. Le modèle T2600G-28SQ dispose de 24 ports downlink (vers les utilisateurs) fonctionnant à des vitesses de 1 Gbit/s, ainsi que de 4 ports uplink (vers le cœur du réseau) à 10 Gbit/s. De plus, la capacité de la commutation du commutateur est de 128 Gbit/s, ce qui est suffisant pour traiter le maximum de trafic entrant.

Pour être juste, il convient de noter que la capacité de la matrice de commutation est de 95,2 millions de paquets par seconde. Cela signifie qu'en utilisant des trames de la longueur minimale de seulement 64 octets, la capacité totale de l'appareil atteindre 97,5 Gbit/s. Cependant, un tel profil de trafic est pratiquement incroyable pour les réseaux de télécommunications.

Qu'est-ce que la sursouscriptionUne autre question importante est le rapport entre les vitesses des canaux montants et descendants (sursouscription). Ici, il est clair que tout dépend de la topologie. Si l'administrateur utilise tous les quatre interfaces 10 GE pour se connecter au cœur du réseau et les regroupe en utilisant la technologie LAG (Link Aggregation Group) ou Port-Channel, la vitesse obtenue en direction du cœur sera de 40 Gbit/s, ce qui est plus que suffisant pour satisfaire les besoins de tous les abonnés connectés. De plus, il n'est pas nécessaire que les quatre liaisons montantes soient connectées à un seul appareil physique. La connexion peut se faire à une pile de commutateurs ou à deux appareils regroupés en cluster (à l'aide de la technologie vPC ou d'autres similaires). Dans ce cas, il n'y a pas de sursouscription.

Il est possible d'utiliser simultanément les quatre canaux montants non seulement en les combinant grâce à LAG. Un effet similaire peut être obtenu en configurant correctement MSTP, mais c'est une autre histoire.

Une autre méthode courante de connexion L2 consiste à utiliser deux LAG indépendants (un allant vers chaque commutateur d'agrégation). Dans ce cas, il est probable qu'un des liens virtuels soit bloqué par le protocole STP (lors de l'utilisation de STP ou RSTP). Le rapport de souscription sera de 5:6.

Une situation moins fréquente, mais néanmoins possible : le T2600G-28SQ est connecté par des canaux indépendants à un ou plusieurs commutateurs en amont. Le protocole STP/RSTP laissera seulement un tel lien dans un état non bloqué. Le rapport de souscription sera de 5:12.

Devoir avec astérisque : calculer le rapport de souscription pour les situations décrites dans la section STP, où nous avons étudié un exemple de topologie où deux commutateurs d'accès sont connectés à un appareil d'agrégation et reliés entre eux.

Les circuits intégrés programmables, grâce auxquels une telle vitesse de transfert est atteinte, représentent une ressource assez coûteuse, c'est pourquoi nous essayons d'optimiser leur utilisation en répartissant correctement les ressources entre les différentes fonctions. La gestion de la répartition est assurée par le SDM - Switch Database Management.

La répartition se fait à l'aide du profil SDM. Actuellement, trois profils listés ci-dessous sont disponibles à l'utilisation.

• Le profil Default propose une solution équilibrée, permettant l'utilisation des listes de contrôle d'accès MAC et IP, ainsi que des entrées de détection ARP.
• Le profil EnterpriseV4 permet de maximiser les ressources disponibles pour les listes de contrôle d'accès MAC et IP.
• Le profil EnterpriseV6 alloue une partie des ressources pour l'utilisation des listes de contrôle d'accès IPv6.

Pour appliquer le nouveau profil, il est nécessaire de redémarrer le commutateur.

Conclusion

Selon le positionnement initial, ce commutateur conviendra parfaitement aux opérateurs de télécommunications ayant pour mission d'assurer l'accès à un réseau sur de grandes distances. L'appareil peut être utilisé à la fois au niveau d'accès, par exemple, dans des lotissements et des maisons de ville, et pour l'agrégation de canaux provenant de commutateurs d'accès situés dans des immeubles d'habitation ; c'est-à-dire partout où des connexions à des objets distants sont nécessaires. Lors de l'utilisation de canaux de communication optiques, l'abonné connecté peut se trouver à plusieurs kilomètres de distance.

Du côté des clients, les liaisons optiques peuvent être terminées sur de petits commutateurs avec des interfaces optiques, ou sur des convertisseurs de média.

Le grand nombre de protocoles et d'options pris en charge permettra d'utiliser le T2600G-28SQ dans un réseau Ethernet d'opérateur avec n'importe quelle topologie et tout ensemble de technologies et de services fournis. Le commutateur est géré à distance via une interface web ou une ligne de commande. Si une configuration locale est nécessaire, un port console peut être utilisé, dans le modèle T2600G-28SQ il y en a deux : RJ-45 et micro-USB. Comme petite note négative, on peut mentionner l'absence de prise en charge du stacking et d'une seconde alimentation. Cependant, en dehors des centres de données des fournisseurs, la disponibilité d'une seconde ligne électrique est déjà rare.

Parmi ses avantages, citons le prix bas, un grand nombre de ports optiques d'abonné, la présence d'up-links optiques 10 GE, ainsi que quatre ports combinés et un transfert de trafic à des vitesses de médium.

Source : habr.com