{"id":36454,"date":"2019-10-31T22:11:44","date_gmt":"2019-10-31T19:11:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor\/"},"modified":"2019-10-31T22:11:44","modified_gmt":"2019-10-31T19:11:44","slug":"opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","title":{"rendered":"Commutateur optique TP-Link T2600G-28SQ pour les fournisseurs de services : examen d\u00e9taill\u00e9\u00a0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'expansion des grandes villes et la formation d'agglom\u00e9rations est l'une des tendances importantes du d\u00e9veloppement social aujourd'hui. Rien qu'\u00e0 Moscou, en 2019, 4 millions de m\u00e8tres carr\u00e9s de logements doivent \u00eatre construits (sans compter les 15 localit\u00e9s qui seront int\u00e9gr\u00e9es d'ici 2020). Sur tout ce vaste territoire, les op\u00e9rateurs de t\u00e9l\u00e9communications devront fournir un acc\u00e8s \u00e0 Internet aux utilisateurs. Cela peut inclure des quartiers urbains \u00e0 forte densit\u00e9 de construction ainsi que des lotissements plus \u00ab dispers\u00e9s \u00bb. Pour ces cas, les exigences en mati\u00e8re d'\u00e9quipement varient l\u00e9g\u00e8rement. Nous avons analys\u00e9 chacun de ces sc\u00e9narios et cr\u00e9\u00e9 un mod\u00e8le universel de commutateur optique - T2600G-28SQ. Dans cet article, nous allons examiner en d\u00e9tail les capacit\u00e9s de l'appareil, qui seront int\u00e9ressantes pour les op\u00e9rateurs de t\u00e9l\u00e9communications \u00e0 travers la Russie.<\/p>\n

\"Commutateur
\n<\/a><\/noindex><\/p>\n

Place dans le r\u00e9seau<\/h2>\n

\nLe commutateur T2600G-28SQ est con\u00e7u \u00e0 la fois pour le travail au niveau d'acc\u00e8s dans le r\u00e9seau et pour l'agr\u00e9gation des liens d'autres commutateurs de niveau d'acc\u00e8s. C'est un commutateur de niveau 2 qui effectue la commutation et le routage statique. Si un op\u00e9rateur a mis en place \u00e0 la fois l'agr\u00e9gation commut\u00e9e et l'acc\u00e8s (routage uniquement dans le c\u0153ur du r\u00e9seau), le T2600G-28SQ s'int\u00e9grera \u00e0 n'importe quel niveau. En cas d'agr\u00e9gation rout\u00e9e de mani\u00e8re dynamique, il faut n\u00e9anmoins prendre en compte certaines limitations concernant les sc\u00e9narios d'utilisation.<\/p>\n

Le mod\u00e8le T2600G-28SQ est un commutateur Ethernet actif complet sans limitations suppl\u00e9mentaires li\u00e9es \u00e0 l'utilisation de technologies xPON ou similaires. Par exemple, sans risque de chute significative de la vitesse avec l'augmentation du nombre d'utilisateurs ou de mauvaise compatibilit\u00e9 entre les \u00e9quipements de diff\u00e9rents fournisseurs et leurs firmwares. Les interfaces de l'appareil peuvent \u00eatre connect\u00e9es \u00e0 la fois par des utilisateurs finaux et \u00e0 des commutateurs d'acc\u00e8s inf\u00e9rieurs avec des uplinks optiques, par exemple, le mod\u00e8le T2600G-28TS. Dans le sch\u00e9ma ci-dessous, les exemples les plus courants de telles connexions sont pr\u00e9sent\u00e9s.<\/p>\n

\"Commutateur
\n
\nPour acc\u00e9der au r\u00e9seau d'un utilisateur final, une fibre optique ou un c\u00e2ble \u00e0 paires torsad\u00e9es peut \u00eatre utilis\u00e9. Du c\u00f4t\u00e9 de l'abonn\u00e9, la fibre optique peut \u00eatre termin\u00e9e \u00e0 l'aide d'un convertisseur de m\u00e9dia (convertisseur de m\u00e9dia), par exemple, TP-Link MC220L; ou en utilisant une interface optique dans un routeur SOHO.<\/p>\n

Pour connecter un client localis\u00e9 \u00e0 proximit\u00e9, il est possible d'utiliser quatre ports RJ-45 fonctionnant \u00e0 des vitesses de 10\/100\/1000 Mbps. Si, pour une raison quelconque, cela ne s'av\u00e8re pas suffisant, l'op\u00e9rateur peut \u00ab convertir \u00bb les interfaces optiques du commutateur en interfaces cuivre. Cela peut \u00eatre r\u00e9alis\u00e9 \u00e0 l'aide de SFP sp\u00e9cial \u00ab cuivre \u00bb avec un connecteur RJ-45. Toutefois, cette solution ne peut pas \u00eatre consid\u00e9r\u00e9e comme typique.<\/p>\n

Quelques exemples pratiques<\/h2>\n

\nPour donner une image compl\u00e8te, pr\u00e9sentons quelques exemples d'utilisation des commutateurs du mod\u00e8le T2600G-28SQ.<\/p>\n

Fournisseur de la r\u00e9gion de Moscou \u00ab DIVO \u00bb<\/a><\/noindex>, qui, en plus de l'internet, propose des services de t\u00e9l\u00e9phonie et de t\u00e9l\u00e9vision par c\u00e2ble, utilise le T2600G-28SQ au niveau d'acc\u00e8s pour construire des r\u00e9seaux dans le secteur priv\u00e9 (maisons individuelles et maisons en rang\u00e9e). C\u00f4t\u00e9 client, la connexion se fait via des routeurs avec port SFP, ainsi que des m\u00e9diaconvertisseurs. Actuellement, les routeurs SOHO avec port SFP ne sont pas fabriqu\u00e9s en s\u00e9rie chez nous, mais nous y r\u00e9fl\u00e9chissons, bien s\u00fbr.<\/p>\n

Op\u00e9rateur de t\u00e9l\u00e9communications MKS<\/a><\/noindex> du district de Pavlovo-Posadskiy utilise des commutateurs T2600G-28SQ pour une \u00ab petite agr\u00e9gation \u00bb, utilisant les commutateurs des mod\u00e8les T2600G-28TS et T2500G-10TS au niveau d'acc\u00e8s.<\/p>\n

Le groupe de soci\u00e9t\u00e9s \u00ab Garantiya \u00bb<\/a><\/noindex> fournit dans le sud-est de la r\u00e9gion de Moscou (Kolomna, Lyukhovitsy, Zaraysk, Serebryanyye Prudy, Ozyory) un acc\u00e8s \u00e0 Internet, \u00e0 la t\u00e9l\u00e9vision, \u00e0 la t\u00e9l\u00e9phonie, ainsi qu'\u00e0 des syst\u00e8mes de vid\u00e9osurveillance. La topologie approximative ici est la m\u00eame que pour MKS : T2600G-28SQ au niveau d'agr\u00e9gation, et T2600G-28TS et T2500G-10TS au niveau d'acc\u00e8s.<\/p>\n

Le fournisseur SKTV<\/a><\/noindex> de Krasnoznamensk offre un acc\u00e8s \u00e0 Internet gr\u00e2ce \u00e0 un r\u00e9seau \u00e0 forte p\u00e9n\u00e9tration de la fibre optique. Il repose \u00e9galement sur le T2600G-28SQ.<\/p>\n

Dans les sections suivantes, nous d\u00e9crirons bri\u00e8vement certaines des fonctionnalit\u00e9s du mod\u00e8le T2600G-28SQ. Pour ne pas gonfler le mat\u00e9riau, plusieurs options ont \u00e9t\u00e9 laiss\u00e9es de c\u00f4t\u00e9 : QinQ (VLAN VPN), routage, QoS, etc. Nous pensons qu'il sera possible d'y revenir dans un des prochains posts.<\/p>\n

Fonctionnalit\u00e9s du commutateur<\/h2>\n

<\/p>\n

Redondance \u2013 STP<\/h3>\n

\nSTP \u2013 Protocole de l'Arbre de Couverture. Ce protocole est connu depuis longtemps, et nous devons cela \u00e0 la respect\u00e9e Radia Perlman. Dans les r\u00e9seaux modernes, les administrateurs essaient d'\u00e9viter d'utiliser ce protocole. Oui, le STP a ses d\u00e9fauts. Et il est tr\u00e8s bon qu'il existe une alternative. Cependant, comme cela arrive souvent, l'alternative \u00e0 ce protocole d\u00e9pendra fortement du fournisseur. C'est pourquoi le Protocole de l'Arbre de Couverture reste encore aujourd'hui l'une des seules solutions prises en charge par presque tous les fabricants, et il est \u00e9galement connu de tous les administrateurs r\u00e9seau.<\/p>\n

Le commutateur TP-Link T2600G-28SQ prend en charge trois versions du STP : le STP classique (IEEE 802.1D), le RSTP (802.1W) et le MSTP (802.1S).<\/p>\n

\"Commutateur
\n
\nParmi ces options, le RSTP ordinaire convient parfaitement \u00e0 la plupart des petits fournisseurs d'acc\u00e8s Internet en Russie, car il pr\u00e9sente un avantage indiscutable par rapport \u00e0 la version classique : un temps de convergence consid\u00e9rablement r\u00e9duit.<\/p>\n

Le protocole le plus flexible aujourd'hui est le MSTP, qui prend en charge les r\u00e9seaux virtuels (VLAN) et permet plusieurs arbres diff\u00e9rents, ce qui permet d'utiliser tous les chemins de secours disponibles. L'administrateur cr\u00e9e plusieurs instances d'arbres diff\u00e9rentes (jusqu'\u00e0 huit), chacune g\u00e9rant un ensemble sp\u00e9cifique de r\u00e9seaux virtuels.<\/p>\n

\"Commutateur
\n
\n\"Commutateur
\n
\n\"Commutateur
\n\"Commutateur
\n
\nLes subtilit\u00e9s du MSTP<\/b>Les administrateurs d\u00e9butants utilisant le MSTP doivent \u00eatre tr\u00e8s prudents. Cela est d\u00fb au fait que le comportement du protocole \u00e0 l'int\u00e9rieur d'une r\u00e9gion et entre diff\u00e9rentes r\u00e9gions est diff\u00e9rent. Par cons\u00e9quent, lors de la configuration des commutateurs, il est crucial de rester dans le cadre d'une seule r\u00e9gion.<\/p>\n

\"Commutateur
\n
\nQu'est-ce que cette fameuse r\u00e9gion ? En termes de MSTP, une r\u00e9gion est un ensemble de commutateurs interconnect\u00e9s qui partagent les caract\u00e9ristiques suivantes : le nom de la r\u00e9gion, le num\u00e9ro de r\u00e9vision et la r\u00e9partition des r\u00e9seaux virtuels (VLAN) entre les instances du protocole.<\/p>\n

Bien s\u00fbr, le Protocole de l'Arbre de Couverture (quelle que soit sa version) permet non seulement de lutter contre les boucles qui se produisent lors de la connexion de chemins de secours, mais aussi de se prot\u00e9ger contre les erreurs de c\u00e2blage, lorsque l'ing\u00e9nieur relie intentionnellement ou involontairement des ports incorrects, cr\u00e9ant ainsi une boucle par ses actions.<\/p>\n

Les administrateurs r\u00e9seau plus exp\u00e9riment\u00e9s pr\u00e9f\u00e8rent utiliser diverses options suppl\u00e9mentaires pour prot\u00e9ger le protocole STP contre les attaques ou les situations d'urgence complexes. Le mod\u00e8le T2600G-28SQ offre tout un \u00e9ventail de ces fonctionnalit\u00e9s : Loop Protect, Root Protect, TC Guard, BPDU Protect et BPDU Filter.<\/p>\n

\"Commutateur
\n
\nUne utilisation correcte des options \u00e9num\u00e9r\u00e9es ci-dessus, en conjonction avec d'autres m\u00e9canismes de protection pris en charge, permettra de stabiliser le r\u00e9seau local et de le rendre plus pr\u00e9visible.<\/p>\n

R\u00e9servation \u2013 LAG<\/h3>\n

\nLAG \u2013 Link Aggregation Group. Il s'agit d'une technologie permettant de regrouper plusieurs canaux physiques en un seul canal logique. Tous les autres protocoles cessent d'utiliser les canaux physiques compris dans le LAG s\u00e9par\u00e9ment et commencent \u00e0 \u00ab voir \u00bb une seule interface logique. Un exemple de tel protocole est le STP.<\/p>\n

\"Commutateur
\n
\nLa r\u00e9partition du trafic utilisateur entre les canaux physiques \u00e0 l'int\u00e9rieur du logique se fait sur la base d'une somme de contr\u00f4le. Pour son calcul, on peut utiliser les adresses MAC de l'exp\u00e9diteur, du destinataire, ou leur paire ; ainsi que les adresses IP de l'exp\u00e9diteur, du destinataire, ou leur paire. Les informations des protocoles de niveau quatre (ports TCP\/UDP) ne sont pas prises en compte.<\/p>\n

Le commutateur T2600G-28SQ prend en charge les LAG statiques et dynamiques.<\/p>\n

\"Commutateur
\n
\n\"Commutateur
\n
\nPour n\u00e9gocier les param\u00e8tres de fonctionnement du groupe dynamique, le protocole LACP est utilis\u00e9.<\/p>\n

S\u00e9curit\u00e9 \u2013 listes d'acc\u00e8s (ACL)<\/h3>\n

\nNotre commutateur T2600G-28SQ permet de filtrer le trafic utilisateur \u00e0 l'aide de listes d'acc\u00e8s (ACL \u2013 Access Control List).<\/p>\n

Les listes d'acc\u00e8s prises en charge peuvent \u00eatre de plusieurs types diff\u00e9rents : MAC et IP (IPv4\/IPv6), combin\u00e9es, ainsi que celles pour la filtrage de contenu. Le nombre de listes d'acc\u00e8s prises en charge pour chaque type d\u00e9pend du mod\u00e8le SDM utilis\u00e9 actuellement, que nous avons d\u00e9crit dans une autre section.<\/p>\n

\"Commutateur
\n
\nL'op\u00e9rateur peut utiliser cette option pour bloquer divers types de trafic ind\u00e9sirable sur le r\u00e9seau. Un exemple de ce type de trafic pourrait \u00eatre des paquets IPv6 (\u00e0 l'aide du champ EtherType), si le service correspondant n'est pas fourni ; ou bloquer SMB sur le port 445. Dans un r\u00e9seau ayant une adresse statique, le trafic DHCP\/BOOTP n'est pas n\u00e9cessaire et l'administrateur peut filtrer les datagrammes UDP sur les ports 67 et 68 \u00e0 l'aide des ACL. La mise en place d'un blocage de trafic IPoE local est \u00e9galement possible avec des ACL. Ce type de blocage peut \u00eatre n\u00e9cessaire dans les r\u00e9seaux des op\u00e9rateurs utilisant PPPoE.<\/p>\n

Le processus d'utilisation des listes d'acc\u00e8s est tr\u00e8s simple. Apr\u00e8s la cr\u00e9ation de la liste elle-m\u00eame, il est n\u00e9cessaire d'ajouter le nombre requis d'enregistrements, dont le type d\u00e9pend directement de la liste \u00e0 configurer.<\/p>\n

Configuration des listes d'acc\u00e8s<\/b>\"Commutateur
\n\"Commutateur
\n\"Commutateur
\n\"Commutateur
\n\"Commutateur
\n\"Commutateur
\n
\nIl convient de noter que les listes d'acc\u00e8s peuvent non seulement effectuer des op\u00e9rations classiques de permission ou d'interdiction de passage du trafic, mais \u00e9galement rediriger, dupliquer le trafic, ainsi que le re-marquer ou limiter sa vitesse.
\nUne fois que toutes les ACL n\u00e9cessaires ont \u00e9t\u00e9 cr\u00e9\u00e9es, l'administrateur peut proc\u00e9der \u00e0 leur installation. Il est possible d'attacher la liste d'acc\u00e8s \u00e0 un port physique sp\u00e9cifique ou \u00e0 un r\u00e9seau virtuel particulier.<\/p>\n

\"Commutateur
\n<\/p>\n

S\u00e9curit\u00e9 \u2013 nombre d'adresses MAC<\/h3>\n

\nIl arrive parfois que les op\u00e9rateurs aient besoin de limiter le nombre d'adresses MAC que le commutateur apprend sur un port donn\u00e9. Les listes d'acc\u00e8s permettent d'atteindre cet objectif, mais n\u00e9cessitent l'indication explicite des adresses MAC elles-m\u00eames. Si l'on doit simplement limiter le nombre d'adresses de canal sans sp\u00e9cifier les adresses de mani\u00e8re explicite, la s\u00e9curit\u00e9 de port peut \u00eatre une solution.<\/p>\n

\"Commutateur
\n
\nCette restriction peut \u00eatre n\u00e9cessaire, par exemple, pour prot\u00e9ger contre la connexion d'un r\u00e9seau local entier \u00e0 une seule interface de commutateur du fournisseur. Il convient \u00e9galement de pr\u00e9ciser qu'il s'agit d'une connexion commut\u00e9e, car lors d'une connexion via un routeur, le T2600G-28SQ n'apprendra qu'une seule adresse \u2013 celle appartenant au port WAN du routeur client.<\/p>\n

Il existe toute une classe d'attaques visant la table de commutation. Cela peut \u00eatre un d\u00e9bordement de table ou du MAC-spoofing. L'option de s\u00e9curit\u00e9 de port permettra de se prot\u00e9ger contre le d\u00e9bordement de la table de pont et les attaques visant \u00e0 r\u00e9\u00e9duquer intentionnellement le commutateur, empoisonnant sa table de pont.<\/p>\n

Il convient \u00e9galement de mentionner les \u00e9quipements clients qui tombent simplement en panne. Il n'est pas rare que des cartes r\u00e9seau ou des routeurs mal fonctionnels cr\u00e9ent un flux de trames avec des adresses d'exp\u00e9diteur et de r\u00e9ception compl\u00e8tement al\u00e9atoires. Un tel flux peut facilement \u00e9puiser le CAM.<\/p>\n

Un autre moyen de limiter le nombre d'enregistrements utilis\u00e9s dans la table de pont est l'outil MAC VLAN Security, qui permet \u00e0 l'administrateur de sp\u00e9cifier le nombre maximal d'enregistrements pour un r\u00e9seau virtuel donn\u00e9.<\/p>\n

\"Commutateur
\n
\nEn plus de g\u00e9rer les enregistrements dynamiques dans la table de commutation, l'administrateur peut \u00e9galement cr\u00e9er des enregistrements statiques.<\/p>\n

\"Commutateur
\n
\nLa table de pont du mod\u00e8le T2600G-28SQ peut contenir jusqu'\u00e0 16K d'enregistrements au maximum.
\nUne autre option destin\u00e9e \u00e0 filtrer le trafic utilisateur est la fonction Port Isolation, qui permet de sp\u00e9cifier explicitement dans quelle direction le transfert est autoris\u00e9.<\/p>\n

\"Commutateur
\n
\n\"Commutateur<\/p>\n

S\u00e9curit\u00e9 \u2013 IMPB<\/h3>\n

\nDans notre vaste pays, l'approche des op\u00e9rateurs de t\u00e9l\u00e9communications concernant la s\u00e9curit\u00e9 r\u00e9seau varie d'une ignorance totale \u00e0 l'application maximale de toutes les options prises en charge par le mat\u00e9riel.<\/p>\n

Les fonctions IPv4 IMPB (IP-MAC-Port Binding) et IPv6 IMPB permettent de se prot\u00e9ger contre un large \u00e9ventail d'attaques li\u00e9es au remplacement d'adresses IP et MAC par des abonn\u00e9s, en liant les adresses IP et MAC du mat\u00e9riel client \u00e0 l'interface du commutateur du fournisseur. Cette liaison peut \u00eatre effectu\u00e9e manuellement ou en utilisant les fonctions ARP Scanning et DHCP Snooping.<\/p>\n

Param\u00e8tres principaux d'IMPB<\/b>\"Commutateur
\n
\n\"Commutateur
\n
\n\"Commutateur
\n
\n\"Commutateur
\n
\n\"Commutateur
\n
\n\"Commutateur<\/p>\n

Pour \u00eatre juste, il convient de mentionner qu'une fonction sp\u00e9ciale \u2013 DHCP Filter \u2013 peut \u00eatre utilis\u00e9e pour prot\u00e9ger le protocole DHCP.<\/p>\n

\"Commutateur
\n
\n\"Commutateur
\n
\nGr\u00e2ce \u00e0 cette fonction, l'administrateur r\u00e9seau peut sp\u00e9cifier manuellement les interfaces auxquelles sont connect\u00e9s de v\u00e9ritables serveurs DHCP. Ainsi, les serveurs DHCP frauduleux ne pourront pas s'immiscer dans le processus de n\u00e9gociation des param\u00e8tres IP.<\/p>\n

S\u00e9curit\u00e9 \u2013 DoS Defend<\/h3>\n

\nLe mod\u00e8le examin\u00e9 permet de prot\u00e9ger les utilisateurs contre plusieurs des attaques DoS les plus connues et r\u00e9pandues par le pass\u00e9.<\/p>\n

\"Commutateur
\n
\nLa plupart des attaques mentionn\u00e9es ne posent plus de probl\u00e8me aux dispositifs dot\u00e9s de syst\u00e8mes d'exploitation modernes, cependant, il peut encore y avoir dans nos r\u00e9seaux des appareils pour lesquels la derni\u00e8re mise \u00e0 jour logicielle a \u00e9t\u00e9 effectu\u00e9e il y a de nombreuses ann\u00e9es.<\/p>\n

Support DHCP<\/h3>\n

\nLe commutateur TP-Link T2600G-28SQ peut agir \u00e0 la fois en tant que serveur DHCP ou relais, et effectuer une vari\u00e9t\u00e9 de filtrages des messages DHCP, si un autre dispositif joue le r\u00f4le de serveur.<\/p>\n

Le moyen le plus simple de fournir aux utilisateurs les param\u00e8tres IP n\u00e9cessaires \u00e0 leur travail est d'utiliser le serveur DHCP int\u00e9gr\u00e9 au commutateur. Gr\u00e2ce \u00e0 lui, les param\u00e8tres de base peuvent d\u00e9j\u00e0 \u00eatre fournis aux abonn\u00e9s.<\/p>\n

\"Commutateur
\n
\n\"Commutateur
\n
\n\"Commutateur
\n
\nNous avons connect\u00e9 notre routeur SOHO Archer C6 \u00e0 l'un des ports du commutateur et avons v\u00e9rifi\u00e9 que l'appareil client a r\u00e9ussi \u00e0 obtenir une adresse.<\/p>\n

Cela ressemble \u00e0 ceci<\/b>\"Commutateur
\n
\n\"Commutateur
\n
\nLe serveur DHCP int\u00e9gr\u00e9 au commutateur n'est sans doute pas la solution la plus \u00e9volutive et flexible : il ne supporte pas les options non standards et n'est pas li\u00e9 \u00e0 un IPAM. Si l'op\u00e9rateur a besoin de plus de contr\u00f4le sur le processus de distribution des adresses IP, un serveur DHCP d\u00e9di\u00e9 sera utilis\u00e9.<\/p>\n

Le T2600G-28SQ permet de sp\u00e9cifier un serveur DHCP d\u00e9di\u00e9 distinct pour chaque sous-r\u00e9seau utilisateur, vers lequel les messages du protocole en question seront redirig\u00e9s. Le choix du sous-r\u00e9seau se fait en indiquant l'interface L3 correspondante : VLAN (SVI), port rout\u00e9 ou port-channel.<\/p>\n

\"Commutateur
\n
\n\"Commutateur
\n
\nPour v\u00e9rifier le fonctionnement du relais, nous avons configur\u00e9 un routeur d'un autre fournisseur pour fonctionner en tant que serveur DHCP, dont la configuration est pr\u00e9sent\u00e9e ci-dessous.<\/p>\n

R1#sho run | s pool\nip dhcp pool test\n\u00a0network 192.168.0.0 255.255.255.0\n\u00a0default-router 192.168.0.1\n\u00a0dns-server 8.8.8.8<\/code><\/pre>\n
\nLe routeur client a de nouveau obtenu une adresse IP avec succ\u00e8s.<\/p>\n
R1#sho ip dhcp binding\nBindings from all pools not associated with VRF:\nIP address\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 Client-ID\/            Lease expiration        Type\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Hardware address\/\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0User name\n192.168.0.2 \u00a0 \u00a0 \u00a0 \u00a0 010c.8063.f0c2.6a \u00a0   May 24 2019 05:07 PM \u00a0  Automatic<\/code><\/pre>\n
\nDans le spoiler \u2014 le contenu du paquet intercept\u00e9 entre le commutateur et le serveur DHCP d\u00e9di\u00e9.<\/p>\n
Contenu du paquet<\/b>\"Commutateur
\nIl est impossible de ne pas souligner la pr\u00e9sence du support de l'Option 82 par le commutateur. Lorsqu'il est activ\u00e9, le commutateur ajoutera des informations sur l'interface utilisateur d'o\u00f9 le message DHCP Discover a \u00e9t\u00e9 re\u00e7u. De plus, le mod\u00e8le T2600G-28SQ permet de configurer la politique de traitement des informations ajout\u00e9es lors de l'insertion de l'option n\u00b082. Le support de cette option peut s'av\u00e9rer utile lorsqu'il est n\u00e9cessaire d'attribuer la m\u00eame adresse IP \u00e0 un abonn\u00e9, peu importe quel identifiant client (client-id) il communique.
\nL'illustration ci-dessous pr\u00e9sente un message DHCP Discover (transmis par le relais) avec l'option n\u00b082 ajout\u00e9e.<\/p>\n
Message avec l'option n\u00b082<\/b>\"Commutateur
\nBien s\u00fbr, il est possible de g\u00e9rer l'option n\u00b082 sans configurer un relais DHCP complet, les r\u00e9glages correspondants sont pr\u00e9sent\u00e9s dans la section \u00ab DHCP L2 Relay \u00bb.<\/p>\n
\"Commutateur
\n
\n\"Commutateur
\n
\nMaintenant, modifions les param\u00e8tres du serveur DHCP pour d\u00e9montrer le fonctionnement de l'option n\u00b082.<\/p>\n
R1#sho run | s dhcp\nip dhcp pool test\n\u00a0network 192.168.0.0 255.255.255.0\n\u00a0default-router 192.168.0.1\n\u00a0dns-server 8.8.8.8\n\u00a0class option82_test\n\u00a0\u00a0address range 192.168.0.222 192.168.0.222\nip dhcp class option82_test\n\u00a0relay agent information\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0relay-information hex 010e010c74702d6c696e6b5f746573740208000668ff7b66f675\nR1#sho ip dhcp binding\nBindings from all pools not associated with VRF:\nIP address\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 Client-ID\/          \u00a0 \u00a0 Lease expiration        Type\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Hardware address\/\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0User name\n192.168.0.222 \u00a0 \u00a0 \u00a0 010c.8063.f0c2.6a   \u00a0 \u00a0 May 24 2019 05:33 PM    Automatic<\/code><\/pre>\n
Voil\u00e0 \u00e0 peu pr\u00e8s comme \u00e7a<\/b>\"Commutateur
\nLa fonction de relais d'interface DHCP sera utile dans une situation o\u00f9 le commutateur dispose non seulement d'une interface L3 connect\u00e9e \u00e0 un r\u00e9seau sp\u00e9cifique, mais o\u00f9 cette interface poss\u00e8de \u00e9galement une adresse IP. En cas d'absence d'adresse sur une telle interface, la fonction de relais DHCP VLAN interviendra. Dans ce cas, les informations sur le sous-r\u00e9seau seront prises \u00e0 partir de l'interface par d\u00e9faut, ce qui signifie que les espaces d'adresses dans plusieurs r\u00e9seaux virtuels seront identiques (se superposeront).<\/p>\n
\"Commutateur
\n
\nSouvent, les op\u00e9rateurs doivent \u00e9galement prot\u00e9ger les abonn\u00e9s contre l'activation accidentelle ou malveillante du serveur DHCP sur l'\u00e9quipement client. Nous avons d\u00e9cid\u00e9 de traiter cette fonctionnalit\u00e9 dans l'une des sections consacr\u00e9es aux questions de s\u00e9curit\u00e9.<\/p>\n
IEEE 802.1X<\/h3>\n
\nL'un des moyens d'authentifier les utilisateurs sur le r\u00e9seau est d'utiliser le protocole IEEE 802.1X. La popularit\u00e9 de ce protocole dans les r\u00e9seaux des op\u00e9rateurs de t\u00e9l\u00e9communications en Russie est d\u00e9j\u00e0 en d\u00e9clin, mais il est toujours principalement utilis\u00e9 dans les r\u00e9seaux locaux de grandes entreprises pour authentifier les utilisateurs internes de l'organisation. Le commutateur T2600G-28SQ prend en charge 802.1X, de sorte que le fournisseur peut facilement l'activer si n\u00e9cessaire.<\/p>\n
Pour faire fonctionner le protocole IEEE 802.1X, trois participants sont n\u00e9cessaires : le mat\u00e9riel client (supplicant), le commutateur d'acc\u00e8s du fournisseur (authenticator) et les serveurs d'authentification (g\u00e9n\u00e9ralement des serveurs RADIUS).<\/p>\n
\"Commutateur
\n
\nLa configuration de base du c\u00f4t\u00e9 de l'op\u00e9rateur est tr\u00e8s simple. Il suffit d'indiquer l'adresse IP du serveur RADIUS utilis\u00e9, o\u00f9 sera stock\u00e9e la base de donn\u00e9es des utilisateurs, ainsi que de choisir les interfaces pour lesquelles l'authentification est n\u00e9cessaire.<\/p>\n
Configuration de base de 802.1X<\/b>\"Commutateur
\n\"Commutateur
\n\"Commutateur
\n\"Commutateur
\n\"Commutateur
\n
\nDu c\u00f4t\u00e9 client, une configuration minimale est \u00e9galement requise. Tous les syst\u00e8mes d'exploitation modernes contiennent d\u00e9j\u00e0 le logiciel n\u00e9cessaire. Toutefois, si n\u00e9cessaire, il est possible d'installer et d'utiliser TP-Link 802.1x Client \u2013 une application permettant d'authentifier le client sur le r\u00e9seau.<\/p>\n
Lorsque l'ordinateur utilisateur est connect\u00e9 directement au r\u00e9seau du fournisseur, les param\u00e8tres d'authentification doivent \u00eatre activ\u00e9s pour la carte r\u00e9seau utilis\u00e9e pour la connexion.<\/p>\n
\"Commutateur
\n
\n\"Commutateur
\n
\n\"Commutateur
\n
\nCependant, actuellement, ce n'est g\u00e9n\u00e9ralement pas l'ordinateur de l'utilisateur qui se connecte directement au r\u00e9seau de l'op\u00e9rateur, mais plut\u00f4t un routeur SOHO qui assure le fonctionnement du r\u00e9seau local de l'abonn\u00e9 (tant pour les segments filaires que sans fil). Dans ce cas, tous les param\u00e8tres du protocole 802.1X doivent \u00eatre appliqu\u00e9s directement sur le routeur.<\/p>\n
\"Commutateur
\n
\nNous avons l'impression que cette m\u00e9thode d'authentification est injustement oubli\u00e9e dans les r\u00e9seaux des op\u00e9rateurs. Oui, le lien fort de l'abonn\u00e9 au port du commutateur sera peut-\u00eatre une solution plus simple d'un point de vue des configurations du mat\u00e9riel client. Mais si l'utilisation d'un identifiant et d'un mot de passe est n\u00e9cessaire, alors 802.1X ne sera pas un protocole aussi lourd par rapport aux connexions bas\u00e9es sur des tunnels PPTP\/L2TP\/PPPoE.<\/p>\n
Insertion d'ID PPPoE<\/h3>\n
\nDe nombreux utilisateurs, non seulement dans notre pays, mais aussi dans le monde entier, pr\u00e9f\u00e8rent encore utiliser des mots de passe tr\u00e8s simples. Malheureusement, les cas de vol de donn\u00e9es d'identification ne sont pas rares. Si un op\u00e9rateur utilise le protocole PPPoE pour authentifier les utilisateurs dans son r\u00e9seau, le commutateur TP-Link T2600G-28SQ peut aider \u00e0 r\u00e9soudre le probl\u00e8me de fuite d'identifiants. Cela est r\u00e9alis\u00e9 en ajoutant une \u00e9tiquette sp\u00e9ciale au message PPPoE Active Discovery. Ainsi, le fournisseur peut authentifier l'abonn\u00e9 non seulement par son identifiant et son mot de passe, mais aussi par des donn\u00e9es suppl\u00e9mentaires. Ces donn\u00e9es suppl\u00e9mentaires comprennent l'adresse MAC de l'appareil client, ainsi que l'interface du commutateur \u00e0 laquelle il est connect\u00e9.<\/p>\n
\"Commutateur
\n
\nCertains op\u00e9rateurs souhaitent en principe interdire \u00e0 l'abonn\u00e9 (identifiant et mot de passe) de se d\u00e9placer sur le r\u00e9seau. La fonction PPPoE ID Insertion peut \u00e9galement aider dans ce cas.<\/p>\n
IGMP<\/h3>\n
\nLe protocole IGMP (Internet Group Management Protocol) existe depuis plusieurs d\u00e9cennies. Sa popularit\u00e9 est tout \u00e0 fait compr\u00e9hensible et facile \u00e0 expliquer. Mais dans l'interaction IGMP, deux parties sont impliqu\u00e9es : l'ordinateur de l'utilisateur (ou tout autre appareil, comme un STB) et le routeur IP qui g\u00e8re un segment sp\u00e9cifique du r\u00e9seau. Les commutateurs ne participent pas \u00e0 cet \u00e9change. Cependant, cette affirmation n'est pas tout \u00e0 fait vraie. Ou plut\u00f4t, elle n'est pas tout \u00e0 fait vraie dans les r\u00e9seaux modernes. Le support du protocole IGMP par les commutateurs est n\u00e9cessaire pour optimiser le trafic de groupe. En \u00e9coutant le trafic utilisateur, le commutateur d\u00e9tecte dans celui-ci les messages IGMP Report, gr\u00e2ce auxquels il d\u00e9termine les ports pour le transfert du trafic de groupe. Cette option est appel\u00e9e IGMP Snooping.<\/p>\n
\"Commutateur
\n
\n\"Commutateur
\n
\n\"Commutateur
\n
\nLe support du protocole IGMP peut \u00eatre utilis\u00e9 non seulement pour optimiser le trafic en tant que tel, mais aussi pour identifier les abonn\u00e9s \u00e0 qui un service particulier peut \u00eatre fourni, comme l'IPTV. L'objectif souhait\u00e9 peut \u00eatre atteint soit par la configuration manuelle des param\u00e8tres de filtrage, soit par l'utilisation de l'authentification.<\/p>\n
\"Commutateur
\n
\n\"Commutateur
\n\"Commutateur
\n
\nLe support du trafic de groupe sur les commutateurs TP-Link est mis en \u0153uvre de mani\u00e8re assez flexible. Par exemple, tous les param\u00e8tres peuvent \u00eatre d\u00e9finis pour chaque r\u00e9seau virtuel individuellement.<\/p>\n
\"Commutateur
\n
\n\"Commutateur
\n
\nSi plusieurs sous-r\u00e9seaux contenant des destinataires de trafic multicast sont connect\u00e9s \u00e0 une seule interface de routeur, celui-ci devra envoyer plusieurs copies des paquets par cette interface (une pour chaque r\u00e9seau virtuel). 
\nOn peut optimiser la proc\u00e9dure de transmission du trafic multicast dans ce cas \u00e0 l'aide de la technologie MVR \u2013 Inscription VLAN Multicast.<\/p>\n
\"Commutateur
\n
\n\"Commutateur
\n
\nL'id\u00e9e de la solution est de cr\u00e9er un seul r\u00e9seau virtuel regroupant tous les destinataires. Toutefois, ce r\u00e9seau virtuel est utilis\u00e9 uniquement pour le trafic multicast. Cette approche permet au routeur d'envoyer une seule copie du trafic multicast via l'interface.<\/p>\n
DDM, OAM et DLDP<\/h3>\n
\nDDM \u2013 Surveillance Diagnostique Num\u00e9rique. Lors de l'exploitation de modules optiques, il est souvent n\u00e9cessaire de surveiller l'\u00e9tat m\u00eame du module ainsi que celui du canal optique auquel il est connect\u00e9. La fonctionnalit\u00e9 DDM peut aider \u00e0 cette t\u00e2che. Gr\u00e2ce \u00e0 elle, les ing\u00e9nieurs de l'op\u00e9rateur peuvent suivre la temp\u00e9rature de chaque module prenant en charge cette fonctionnalit\u00e9, la tension sur celui-ci et le courant, ainsi que les puissances des signaux optiques envoy\u00e9s et re\u00e7us.<\/p>\n
\"Commutateur
\n
\nLa configuration de seuils pour les param\u00e8tres d\u00e9crits pr\u00e9c\u00e9demment permettra de g\u00e9n\u00e9rer un \u00e9v\u00e9nement en cas de d\u00e9passement de la plage autoris\u00e9e.<\/p>\n
Configuration des seuils de d\u00e9clenchement DDM<\/b>\"Commutateur
\n\"Commutateur
\n\"Commutateur
\n
\nBien s\u00fbr, l'administrateur peut consulter les valeurs actuelles des param\u00e8tres mentionn\u00e9s.<\/p>\n
\"Commutateur
\n
\nLe commutateur TP-Link T2600G-28SQ dispose d'un syst\u00e8me de refroidissement par air actif. De plus, nous n'avons jamais rencontr\u00e9 de surchauffe des modules SFP dans nos commutateurs li\u00e9e \u00e0 la densit\u00e9 des ports. Cependant, si l'on suppose th\u00e9oriquement une telle possibilit\u00e9 (par exemple, en raison d'un probl\u00e8me \u00e0 l'int\u00e9rieur du module SFP), gr\u00e2ce \u00e0 DDM, l'administrateur sera imm\u00e9diatement averti d'une situation potentiellement dangereuse. Le danger ici, il va sans dire, n'est pas pour le commutateur lui-m\u00eame, mais pour le diode\/laser \u00e0 l'int\u00e9rieur du SFP, car l'augmentation de sa temp\u00e9rature peut entra\u00eener une d\u00e9gradation de la puissance du signal optique \u00e9mis, ce qui diminuera le budget optique.<\/p>\n
Il convient \u00e9galement de noter que les commutateurs TP-Link n'ont pas de \u00ab fonction \u00bb de verrouillage de fournisseur, ce qui signifie que tous les modules SFP compatibles sont support\u00e9s, ce qui est bien s\u00fbr tr\u00e8s pratique pour les administrateurs r\u00e9seau.<\/p>\n
OAM \u2014 Op\u00e9ration, Administration et Maintenance (IEEE 802.3ah). OAM est un protocole de niveau 2 du mod\u00e8le OSI, con\u00e7u pour le monitoring et le d\u00e9pannage des r\u00e9seaux Ethernet. Avec ce protocole, un commutateur peut surveiller la performance d'une connexion donn\u00e9e et les erreurs, g\u00e9n\u00e9rer des alertes afin que l'administrateur r\u00e9seau puisse g\u00e9rer le r\u00e9seau de mani\u00e8re plus efficace.<\/p>\n
Configuration de base de l'OAM<\/b>\"Commutateur
\n\"Commutateur
\n\"Commutateur
\n\"Commutateur
\n
\nD\u00e9tails de fonctionnement de l'OAM<\/b>Deux appareils adjacents supportant l'OAM \u00e9changent p\u00e9riodiquement des messages en envoyant des OAMPDU, qui se pr\u00e9sentent sous trois types : Informationnel, Notification d'\u00c9v\u00e9nement et Contr\u00f4le de Boucle. Gr\u00e2ce aux OAMPDU informatifs, les commutateurs voisins \u00e9changent des informations statistiques, ainsi que des donn\u00e9es d\u00e9finies par l'administrateur. Ce type de message est \u00e9galement utilis\u00e9 pour maintenir la connexion via le protocole OAM. Les messages de Notification d'\u00c9v\u00e9nement sont utilis\u00e9s par la fonction de monitoring de connexion pour avertir l'autre partie des pannes survenues. Les messages de Contr\u00f4le de Boucle servent \u00e0 identifier une boucle sur la ligne.<\/p>\n
Nous avons d\u00e9cid\u00e9 d'\u00e9num\u00e9rer ci-dessous les principales fonctionnalit\u00e9s offertes par le protocole OAM :<\/p>\n