L'espansione delle grandi città e la formazione di agglomerati è una delle tendenze più importanti dello sviluppo sociale contemporaneo. Solo Mosca nel 2019 dovrebbe espandersi per 4 milioni di metri quadrati di abitazioni (senza contare i 15 comuni che si uniranno entro il 2020). Su tutta questa vasta area, gli operatori di telecomunicazioni dovranno fornire agli utenti l'accesso a Internet. Ciò può avvenire sia in quartieri urbani con densità edilizia elevata che in villaggi di villeggiatura più "dispersi". In questi casi, le esigenze dell'attrezzatura variano. Abbiamo analizzato ciascuno di questi scenari e creato un modello universale di switch ottico: T2600G-28SQ. In questo post esamineremo in dettaglio le funzionalità del dispositivo che interesseranno gli operatori di telecomunicazioni in tutta la Russia.
Posto nella rete
Il commutatore T2600G-28SQ è progettato sia per operare a livello di accesso nella rete, sia per aggregare i collegamenti da altri commutatori di accesso. Si tratta di un commutatore di secondo livello, che svolge funzioni di commutazione e instradamento statico. Se un operatore ha effettuato sia la commutazione che l'aggregazione e l'accesso (instradamento solo nel nucleo della rete), il T2600G-28SQ si adatta a qualsiasi livello. In caso di aggregazione dinamicamente instradata, è comunque necessario considerare alcune limitazioni relative agli scenari d'uso.
Il modello T2600G-28SQ è un vero switch Ethernet attivo senza le limitazioni aggiuntive che si verificano quando si utilizzano tecnologie xPON o simili. Ad esempio, senza il rischio di un calo improvviso della velocità con l'aumento del numero di utenti o di scarsa compatibilità tra le apparecchiature di diversi fornitori e firmware. Ai gruppi di interfaccia del dispositivo possono connettersi sia utenti finali che commutatori di accesso inferiori con uplink ottico, come il modello T2600G-28TS. Nello schema qui sotto sono rappresentati gli esempi più comuni di tali collegamenti.
Per l'accesso alla rete, l'utente finale può utilizzare fibra ottica o coppia intrecciata. Lato abbonato, la fibra ottica può essere terminata sia tramite un convertitore di media (media converter), ad esempio, TP-Link MC220L; sia utilizzando un'interfaccia ottica in un router SOHO.
Per collegare un Cliente nelle vicinanze, si possono utilizzare quattro porte RJ-45 che lavorano a velocità di 10/100/1000 Mbit/s. Se per qualche motivo ciò non fosse sufficiente, l'operatore può "convertire" le interfacce ottiche dello switch in quelle in rame. Questo può essere fatto mediante SFP "in rame" con connettore RJ-45. Tuttavia, questa soluzione non può essere considerata standard.
Alcuni esempi dalla pratica
Per completezza, presentiamo alcuni esempi di utilizzo degli switch modello T2600G-28SQ.
Provider dell'area di Mosca , che oltre a Internet offre servizi di telefonia e TV via cavo, utilizza il T2600G-28SQ a livello di accesso nella costruzione di reti nel settore privato (villette e case a schiera). Dalla parte del cliente, la connessione avviene tramite router con porta SFP e convertitori di media. Attualmente, router SOHO con porta SFP non vengono prodotti in serie da noi, ma ovviamente stiamo considerando questa possibilità.
Operatore di telecomunicazioni dalla zona di Pavlovo-Posad utilizza gli switch T2600G-28SQ come "aggregazione ridotta", utilizzando a livello di accesso gli switch modelli T2600G-28TS e T2500G-10TS.
Il gruppo di aziende offre nella parte sud-est della regione di Mosca (Kolomna, Lukhoviцы, Zaraysk, Serebryanye Prudy, Ozyory) accesso a Internet, TV, telefonia e sistemi di videosorveglianza. La topologia qui è simile a quella di MKS: T2600G-28SQ a livello di aggregazione, mentre T2600G-28TS e T2500G-10TS a livello di accesso.
Il provider di Krasnoznamensk offre accesso a Internet attraverso una rete con profonda penetrazione dell'ottica. Anche su di essa si basano i T2600G-28SQ.
Nei prossimi capitoli descriveremo brevemente alcune delle funzionalità del modello T2600G-28SQ. Per non allungare il materiale, abbiamo lasciato fuori diverse opzioni: QinQ (VLAN VPN), routing, QoS, ecc. Pensiamo che sarà possibile affrontarli in uno dei prossimi post.
Funzionalità dello switch
Ridondanza – STP
STP – Spanning Tree Protocol. Il protocollo dell'albero di spanning è conosciuto da molto tempo, grazie alla rispettabile Radia Perlman. Nei moderni network, gli amministratori cercano in ogni modo di evitare l'uso di questo protocollo. Sì, lo STP non è privo di svantaggi. Ed è molto positivo che ci sia un'alternativa. Tuttavia, come spesso accade, l'alternativa a questo protocollo dipenderà fortemente dal fornitore. Pertanto, il Spanning Tree Protocol rimane fino ad oggi praticamente l'unica soluzione supportata dalla maggior parte dei produttori e conosciuta da tutti gli amministratori di rete.
L'interruttore TP-Link T2600G-28SQ supporta tre versioni di STP: STP classico (IEEE 802.1D), RSTP (802.1W) e MSTP (802.1S).
Tra queste opzioni, per la maggior parte dei piccoli provider internet in Russia, RSTP risulta adeguato, avendo rispetto alla versione classica un innegabile vantaggio: un tempo di convergenza notevolmente ridotto.
Attualmente, il protocollo più flessibile è MSTP, che supporta reti virtuali (VLAN) e consente la creazione di diversi alberi, permettendo di utilizzare tutti i percorsi di riserva disponibili. L'amministratore crea diversi esemplari di albero (fino a otto), ognuno dei quali gestisce un determinato insieme di reti virtuali.
Aspetti tecnici di MSTPGli amministratori principianti devono prestare molta attenzione nell'uso di MSTP. Ciò è dovuto al fatto che il comportamento del protocollo all'interno di un'area e tra le aree è diverso. Pertanto, durante la configurazione degli switch, è importante assicurarsi di restare all'interno di una sola area.
Ma cos'è questa famigerata area? In termini di MSTP, un'area è un gruppo di switch collegati tra loro, che condividono le seguenti caratteristiche: nome dell'area, numero di revisione e distribuzione delle reti virtuali (VLAN) tra gli esemplari del protocollo (instance).
Naturalmente, il protocollo Spanning Tree (di qualsiasi versione) non solo combatte i loop che si creano quando si collegano canali di riserva, ma protegge anche dagli errori di cablaggio, quando un ingegnere collega intenzionalmente o involontariamente porte sbagliate, creando loop con le proprie azioni.
I network administrator più esperti preferiscono utilizzare varie opzioni aggiuntive per proteggere il protocollo STP da attacchi o situazioni di emergenza complesse. Il modello T2600G-28SQ offre un intero set di tali funzionalità: Loop Protect e Root Protect, TC Guard, BPDU Protect e BPDU Filter.
L'uso corretto delle opzioni sopra elencate, insieme ad altri meccanismi di protezione supportati, consentirà di stabilizzare la rete locale e renderla più prevedibile.
Riservazione – LAG
LAG – Link Aggregation Group. È una tecnologia che permette di combinare più canali fisici in uno logico. Tutti gli altri protocolli smettono di utilizzare i canali fisici che fanno parte del LAG separatamente e iniziano a "vedere" un'unica interfaccia logica. Un esempio di tale protocollo è STP.
Il bilanciamento del traffico degli utenti tra i canali fisici all'interno del logico avviene sulla base di un valore hash. Per il suo calcolo possono essere utilizzati gli indirizzi MAC del mittente, del destinatario o la loro coppia; così come gli indirizzi IP del mittente, del destinatario o la loro coppia. Le informazioni sui protocolli di quarto livello (porte TCP/UDP) non vengono considerate.
Lo switch T2600G-28SQ supporta LAG statici e dinamici.
Per concordare i parametri di funzionamento del gruppo dinamico viene utilizzato il protocollo LACP.
Sicurezza – elenchi di accesso (ACL)
Il nostro switch T2600G-28SQ consente di filtrare il traffico degli utenti tramite elenchi di accesso (ACL – Access Control List).
Gli elenchi di accesso supportati possono essere di diversi tipi: MAC e IP (IPv4/IPv6), combinati, nonché per l'esecuzione di filtraggio dei contenuti. Il numero di elenchi di accesso supportati di ciascun tipo dipende dal modello SDM attualmente in uso, che abbiamo descritto in un'altra sezione.
L'operatore può utilizzare questa opzione per bloccare vari tipi di traffico indesiderato nella rete. Un esempio di tale traffico potrebbe essere rappresentato dai pacchetti IPv6 (tramite il campo EtherType), se il servizio corrispondente non è fornito; oppure bloccare SMB sulla porta 445. Nelle reti con indirizzamento statico, il traffico DHCP/BOOTP non è necessario, quindi l'amministratore può filtrare i datagrammi UDP sulle porte 67 e 68 tramite ACL. È possibile bloccare anche il traffico IPoE locale utilizzando ACL. Tale blocco potrebbe essere richiesto nelle reti degli operatori che utilizzano PPPoE.
Il processo di utilizzo delle liste di accesso è estremamente semplice. Dopo aver creato la lista stessa, è necessario aggiungere il numero richiesto di voci, il cui tipo dipende direttamente dalla lista configurata.
Configurazione delle liste di accesso
È importante notare che le liste di accesso non possono eseguire solo le normali operazioni di autorizzazione o divieto di transito del traffico, ma possono anche reindirizzarlo, effettuarne il mirroring, eseguire la riallocazione o limitarne la velocità.
Una volta create tutte le ACL necessarie, l'amministratore può procedere alla loro installazione. È possibile allegare la lista di accesso sia a una porta fisica diretta sia a una rete virtuale specifica.
Sicurezza – numero di indirizzi MAC
A volte gli operatori hanno la necessità di limitare il numero di indirizzi MAC che uno switch apprende su una determinata porta. Le liste di accesso consentono di raggiungere questo obiettivo, ma richiedono l'indicazione esplicita degli indirizzi MAC stessi. Se è necessario limitare solo il numero di indirizzi di livello link, senza doverli indicare esplicitamente, allora entra in gioco la sicurezza della porta.
Tale limitazione potrebbe essere necessaria, ad esempio, per proteggere dall'attacco di intere reti locali a un'interfaccia di uno switch del fornitore. È importante precisare che si parla di una connessione commutata, perché collegando tramite un router dal lato client, il T2600G-28SQ apprenderà solo un indirizzo: quello MAC appartenente alla porta WAN del router client.
Esiste un'intera classe di attacchi mirati contro la tabella di commutazione. Questi possono includere sia il sovraccarico della tabella sia il MAC-spoofing. L'opzione di sicurezza della porta consentirà di proteggere contro il sovraccarico della tabella di bridging e dagli attacchi la cui finalità è la riapprendimento intenzionale dello switch, avvelenando la sua tabella di bridging.
Non si può non menzionare anche l'hardware client che presenta semplicemente dei guasti. Non sono rari i casi in cui una scheda di rete del computer o un router malfunzionante generano un flusso di frame con indirizzi di mittente e destinatario completamente casuali. Tale flusso può facilmente esaurire il CAM.
Un altro modo per limitare il numero di registrazioni utilizzate nella tabella di bridging è lo strumento MAC VLAN Security, con cui l'amministratore può impostare un numero massimo di registrazioni per una determinata rete virtuale.
Oltre alla gestione delle registrazioni dinamiche nella tabella di commutazione, l'amministratore può anche creare registrazioni statiche.
La tabella di bridging del modello T2600G-28SQ può contenere fino a 16K registrazioni.
Un'altra opzione destinata a filtrare il traffico utente è la funzione Port Isolation, che consente di specificare esplicitamente in quale direzione è consentito il forwarding.
Sicurezza – IMPB
Nella nostra vasta madrepatria, l'approccio degli operatori di rete alla sicurezza è variabile, che va dalla completa ignoranza all'applicazione massima di tutte le opzioni supportate dall'hardware.
Le funzioni IPv4 IMPB (IP-MAC-Port Binding) e IPv6 IMPB consentono di proteggere da una vasta gamma di attacchi legati alla sostituzione di indirizzi IP e MAC da parte degli utenti, collegando gli indirizzi IP e MAC dell'hardware client all'interfaccia dello switch del fornitore. Tale collegamento può essere effettuato manualmente, oppure utilizzando le funzioni di ARP Scanning e DHCP Snooping.
Impostazioni principali dell'IMPB
A onor del vero, vale la pena menzionare che per proteggere il protocollo DHCP può essere utilizzata una funzione speciale: DHCP Filter.
Con questa funzione, l'amministratore di rete può specificare manualmente quelle interfacce a cui sono collegati i veri server DHCP. In questo modo, i server DHCP falsi non possono intervenire nel processo di negoziazione dei parametri IP.
Sicurezza – DoS Defend
Il modello considerato consente di proteggere gli utenti da alcuni dei più noti e comuni attacchi DoS.
Gran parte degli attacchi elencati non rappresenta più una minaccia per i dispositivi con sistemi operativi moderni, tuttavia nelle nostre reti possono ancora trovarsi quelli per cui l'ultimo aggiornamento del software è stato effettuato molti anni fa.
Supporto DHCP
Lo switch TP-Link T2600G-28SQ può fungere sia da server DHCP che da relay, oltre a eseguire una varietà di filtri sui messaggi DHCP, se un altro dispositivo funge da server.
Il modo più semplice per fornire agli utenti i parametri IP necessari per il lavoro è utilizzare il server DHCP incorporato nello switch. Grazie a questo, è possibile già assegnare i parametri principali agli abbonati.
Abbiamo collegato il nostro router SOHO Archer C6 a una delle interfacce dello switch e abbiamo verificato con successo il ricevimento dell'indirizzo da parte del dispositivo client.
Ecco come appare
Il server DHCP integrato nello switch è probabilmente la soluzione meno scalabile e flessibile: non supporta opzioni non standard e non è collegato a IPAM. Se l'operatore necessita di un maggiore controllo sul processo di distribuzione degli indirizzi IP, verrà utilizzato un server DHCP dedicato.
Il T2600G-28SQ consente di specificare un server DHCP dedicato distinto per ogni sottorete utente, verso il quale verranno reindirizzati i messaggi del protocollo discusso. La scelta della sottorete avviene specificando l'interfaccia L3 corrispondente: VLAN (SVI), porta instradata o port-channel.
Per verificare il funzionamento del relay, abbiamo configurato un router separato di un altro fornitore per funzionare come server DHCP, le cui impostazioni sono riportate di seguito.
R1#sho run | s pool
ip dhcp pool test
network 192.168.0.0 255.255.255.0
default-router 192.168.0.1
dns-server 8.8.8.8Il router client ha nuovamente ottenuto con successo un indirizzo IP.
R1#sho ip dhcp binding
Bindings from all pools not associated with VRF:
IP address Client-ID/ Lease expiration Type
Hardware address/
User name
192.168.0.2 010c.8063.f0c2.6a May 24 2019 05:07 PM AutomaticNel spoiler - il contenuto del pacchetto intercettato tra lo switch e il server DHCP dedicato.
Contenuto del pacchetto
Non si può non notare la presenza del supporto per l'Opzione 82 da parte dello switch. Quando attivata, lo switch aggiungerà informazioni sull'interfaccia utente da cui è stata ricevuta la comunicazione DHCP Discover. Inoltre, il modello T2600G-28SQ permette di configurare una politica di gestione delle informazioni aggiunte durante l'inserimento dell'opzione n. 82. La presenza del supporto per questa opzione può essere utile in situazioni in cui è necessario assegnare lo stesso indirizzo IP all'utente, indipendentemente dall'identificatore del client (client-id) fornito.
Nell'immagine sottostante è presentato un messaggio DHCP Discover (trasmesso dal relay) con l'opzione n. 82 aggiunta.
Messaggio con l'opzione n. 82
Certo, è possibile gestire l'opzione n. 82 anche senza configurare un vero e proprio relay DHCP; le relative impostazioni sono presentate nel sottopunto "DHCP L2 Relay".
Ora modifichiamo le impostazioni del server DHCP per dimostrare il funzionamento dell'opzione n. 82.
R1#sho run | s dhcp
ip dhcp pool test
network 192.168.0.0 255.255.255.0
default-router 192.168.0.1
dns-server 8.8.8.8
class option82_test
address range 192.168.0.222 192.168.0.222
ip dhcp class option82_test
relay agent information
relay-information hex 010e010c74702d6c696e6b5f746573740208000668ff7b66f675
R1#sho ip dhcp binding
Bindings from all pools not associated with VRF:
IP address Client-ID/ Lease expiration Type
Hardware address/
User name
192.168.0.222 010c.8063.f0c2.6a May 24 2019 05:33 PM AutomaticEcco come appare approssimativamente
La funzione di relay dell'interfaccia DHCP sarà utile in situazioni in cui lo switch dispone non solo di un'interfaccia L3 collegata a una rete specifica, ma anche di un indirizzo IP su tale interfaccia. In assenza di un indirizzo su tale interfaccia, entrerà in gioco la funzione di relay DHCP VLAN. In questo caso, le informazioni sulla sottorete sono prese dall'interfaccia predefinita, il che significa che gli spazi degli indirizzi in più reti virtuali saranno identici (sovrapposti).
Spesso gli operatori necessitano anche di proteggere gli utenti da attivazioni errate o malevole del server DHCP sull'attrezzatura del cliente. Abbiamo deciso di approfondire questa funzionalità in una delle sezioni dedicate alle questioni di sicurezza.
IEEE 802.1X
Uno dei modi per autenticare gli utenti in rete è l'uso del protocollo IEEE 802.1X. La popolarità di questo protocollo nelle reti degli operatori di telecomunicazioni in Russia è in diminuzione, ma viene ancora utilizzato principalmente nelle reti locali delle grandi aziende per l'autenticazione degli utenti interni dell'organizzazione. Lo switch T2600G-28SQ supporta 802.1X, quindi, se necessario, il fornitore può facilmente utilizzarlo.
Per il funzionamento del protocollo IEEE 802.1X sono necessari tre partecipanti: l'attrezzatura client (supplicant), lo switch di accesso del fornitore (authenticator) e i server di autenticazione (di solito server RADIUS).
La configurazione di base da parte dell'operatore è estremamente semplice. È necessario solo specificare l'indirizzo IP del server RADIUS utilizzato, dove sarà memorizzato il database degli utenti, e selezionare le interfacce per cui è necessaria l'autenticazione.
Configurazione di base di 802.1X
Dal lato del client è necessaria anche una configurazione minima. Tutti i moderni sistemi operativi contengono già il software necessario. Ma se necessario, è possibile installare e utilizzare TP-Link 802.1x Client, un'applicazione che consente di autenticarlo in rete.
Collegando un PC dell'utente direttamente alla rete del fornitore, è necessario attivare le impostazioni di autenticazione per la scheda di rete utilizzata per la connessione.
Tuttavia, attualmente alla rete dell'operatore di solito non si collega direttamente il computer dell'utente, ma un router SOHO, che garantisce il funzionamento della rete locale dell'abbonato (sia per la parte cablata che per quella wireless). In questo caso, tutte le impostazioni del protocollo 802.1X devono essere eseguite direttamente sul router.
Ci sembra che in rete degli operatori questo metodo di autenticazione sia ingiustamente dimenticato. Sì, il legame rigido dell'abbonato alla porta dello switch potrebbe essere una soluzione più semplice dal punto di vista della configurazione delle attrezzature dell'utente. Ma se è necessaria l'uso di nome utente e password, allora 802.1X risulterà un protocollo non così pesante rispetto alle connessioni basate su tunnel PPTP/L2TP/PPPoE.
PPPoE ID Insertion
Molti utenti, non solo nel nostro paese, ma in tutto il mondo, continuano a preferire l'uso di password estremamente semplici. Purtroppo, i casi di furto di credenziali non sono rari. Se un operatore utilizza il protocollo PPPoE per l'autenticazione degli utenti nella propria rete, lo switch TP-Link T2600G-28SQ può aiutare a risolvere il problema delle fughe di credenziali. Questo viene ottenuto grazie all'aggiunta di un'etichetta speciale al messaggio PPPoE Active Discovery. In questo modo, il provider può autenticare l'utente non solo tramite nome utente e password, ma anche con ulteriori dati. Questi dati aggiuntivi includono l'indirizzo MAC del dispositivo client e l'interfaccia dello switch a cui è connesso.
Alcuni operatori desiderano in linea di principio vietare all'utente (una coppia nome utente e password) la possibilità di muoversi all'interno della rete. La funzione PPPoE ID Insertion può essere utile anche in questo caso.
IGMP
Il protocollo IGMP (Internet Group Management Protocol) esiste da oltre un decennio. La sua popolarità è completamente comprensibile e facilmente spiegabile. Ma nell'interazione IGMP sono coinvolte due parti: il PC dell'utente (o qualsiasi altro dispositivo, ad esempio, STB) e il router IP che gestisce un determinato segmento di rete. Gli switch non partecipano a questo scambio. Tuttavia, quest'ultima affermazione non è del tutto corretta. O nelle reti moderne, non è affatto corretta. Il supporto del protocollo IGMP da parte degli switch è necessario per ottimizzare il trasferimento del traffico multicast. Ascoltando il traffico degli utenti, lo switch rileva al suo interno i messaggi IGMP Report, che utilizza per determinare le porte per il trasferimento del traffico multicast. Questa opzione è chiamata IGMP Snooping.
Il supporto del protocollo IGMP può essere utilizzato non solo per ottimizzare il traffico in sé, ma anche per identificare gli utenti ai quali può essere fornito un servizio specifico, ad esempio, IPTV. È possibile raggiungere l'obiettivo desiderato sia configurando manualmente i parametri di filtraggio, sia utilizzando l'autenticazione.
Il supporto del traffico multicast sugli switch TP-Link è implementato in modo abbastanza flessibile. Ad esempio, tutti i parametri possono essere impostati per ogni rete virtuale separatamente.
Se più sottoreti con destinazioni di traffico multicast sono collegate a un'interfaccia di un router, questo router sarà costretto a inviare più copie dei pacchetti attraverso quell'interfaccia (una per ogni rete virtuale).
In questo caso, è possibile ottimizzare la procedura di invio del traffico multicast utilizzando la tecnologia MVR – Registrazione delle VLAN multicast.
Il cuore della soluzione consiste nella creazione di una rete virtuale unica che riunisce tutti i destinatari. Tuttavia, questa rete virtuale è utilizzata esclusivamente per il traffico multicast. Questo approccio consente al router di inviare solo una copia del traffico multicast attraverso l'interfaccia.
DDM, OAM e DLDP
DDM – Monitoraggio Diagnostico Digitale. Durante l'operazione dei moduli ottici, è spesso necessario monitorare lo stato sia del modulo stesso che del canale ottico a cui è collegato. La funzione DDM aiuta a gestire questo compito. Grazie a essa, gli ingegneri dell'operatore possono monitorare la temperatura di ciascun modulo che supporta questa funzionalità, la tensione e la corrente, nonché le potenze dei segnali ottici inviati e ricevuti.
Impostare limiti di soglia per i parametri descritti in precedenza permetterà di generare un evento qualora escano dai limiti consentiti.
Impostazione dei limiti di attivazione DDM
Naturalmente, l'amministratore può visualizzare i valori correnti dei parametri indicati.
Lo switch TP-Link T2600G-28SQ ha un sistema di raffreddamento ad aria attivo. Inoltre, non abbiamo mai riscontrato surriscaldamenti nei moduli SFP dei nostri switch, legati alla densità delle porte. Tuttavia, se teoricamente si dovesse considerare tale possibilità (ad esempio, a causa di qualche problema interno al modulo SFP), grazie al DDM, l'amministratore sarà immediatamente avvisato di una situazione potenzialmente pericolosa. Il pericolo, ovviamente, non è per lo switch stesso, ma per il diodo/laser interno all'SFP, poiché con l'aumento della sua temperatura potrebbe verificarsi una degradazione della potenza del segnale ottico emesso, portando a una riduzione del budget ottico.
Vale la pena notare che gli switch TP-Link non hanno la "funzione" vendor lock, ovvero supportano qualsiasi modulo SFP compatibile, il che sarà sicuramente molto conveniente per gli amministratori di rete.
OAM - Operazione, Amministrazione e Manutenzione (IEEE 802.3ah). OAM è un protocollo di secondo livello del modello OSI, progettato per il monitoraggio e la diagnosi dei guasti nelle reti Ethernet. Grazie a questo protocollo, lo switch può monitorare le prestazioni di una certa connessione e gli errori, generando avvisi affinché l'amministratore di rete possa gestire la rete in modo più efficace.
Configurazione di base di OAM
Dettagli sul funzionamento di OAMDue dispositivi adiacenti che supportano OAM effettuano uno scambio periodico di messaggi inviando OAMPDU, che possono essere di tre tipi: Informativo, Notifica di Evento e Controllo Loopback. Con gli OAMPDU informativi, gli switch vicini si inviano informazioni statistiche, così come dati definiti dall'amministratore. Questo tipo di messaggi viene anche utilizzato per mantenere attiva la connessione tramite il protocollo OAM. I messaggi di Notifica di Evento sono utilizzati dalla funzione di monitoraggio della connessione per avvisare il lato opposto di eventuali guasti. I messaggi di Controllo Loopback vengono utilizzati per rilevare un loop sulla linea.
Di seguito abbiamo elencato le principali funzionalità fornite dal protocollo OAM:
- monitoraggio dell'ambiente (rilevamento e conteggio dei frame danneggiati),
- RFI - Indicazione Remota di Guasto (invio di una notifica di guasto sul canale),
- Loopback Remoto (test del canale per misurare la latenza, la variazione della latenza (jitter), il numero di frame persi).
Un'altra opzione richiesta negli switch ottici è la possibilità di rilevare problemi nel canale di comunicazione, che fanno sì che il canale diventi simplex, ovvero che i dati possano essere inviati solo in una direzione. I nostri switch utilizzano per scopi di rilevamento dei collegamenti unidirezionali il protocollo DLDP - Device Link Detection Protocol. È giusto notare che il protocollo DLDP è supportato sia su interfacce ottiche che in rame, ma secondo noi sarà maggiormente richiesto nell'uso di linee in fibra ottica.
In caso di rilevamento di un canale unidirezionale, lo switch può disattivare automaticamente l'interfaccia problematica, il che porterà a una ristrutturazione dell'albero STP e all'utilizzo di canali di comunicazione di riserva.
Nel nostro arsenale ci sono moduli SFP che ricevono e trasmettono segnali su un'unica fibra. Funzionano esclusivamente in coppia e per la trasmissione all'interno della coppia utilizzano segnali ottici a diverse lunghezze d'onda. Un esempio è la coppia TL-SM321A e TL-SM321B. L'uso di questo tipo di moduli implica che il danneggiamento di una fibra porterà all'inoperabilità totale dell'intero canale ottico. Tuttavia, anche su tali canali, il protocollo DLDP sarà richiesto, poiché, sebbene sia un evento raro, il canale può avere diverse caratteristiche di trasparenza per diverse lunghezze d'onda. Un problema più probabile risiede nella diversa trasparenza del canale a seconda della direzione di propagazione della luce. La reflottogramma può aiutare a rilevare i problemi menzionati, ma questa è un'altra storia.
LLDP
Nelle grandi reti aziendali o di operatori, sorgono periodicamente problemi con l'obsolescenza della documentazione della rete o imprecisioni nella sua compilazione. L'amministratore di rete può trovarsi nella situazione di dover chiarire quale apparecchiatura dell'operatore sia effettivamente collegata a un determinato interfaccia dello switch. In aiuto arriva il protocollo LLDP – Link Layer Discovery Protocol (IEEE 802.1AB).
Parametri di funzionamento di LLDP
I nostri switch supportano il protocollo LLDP non solo per la rilevazione di switch vicini o altri dispositivi di rete, ma anche per determinare le loro capacità.
I nostri "fratelli" in rame dello switch possono utilizzare LLDP-MED per semplificare la procedura di collegamento dei telefoni IP. Con questa opzione, uno switch PoE può anche negoziare i parametri di alimentazione con il dispositivo alimentato. Di questo abbiamo già parlato abbastanza dettagliatamente in uno dei nostri .
SDM e ri-sottoscrizione
Praticamente tutti gli switch moderni elaborano i frame e i pacchetti in transito senza l'uso della CPU centrale. L'elaborazione (calcolo del checksum, applicazione delle liste di accesso e esecuzione di altre verifiche del sistema di sicurezza, oltre a prendere decisioni di commutazione/routing) avviene tramite circuiti integrati specializzati, consentendo di raggiungere alte velocità nel trasferimento del traffico utente. Lo switch in discussione consente di elaborare il traffico alla velocità del mezzo. Ciò significa che le prestazioni dell'apparecchio sono sufficienti per trasmettere dati alle massime velocità possibili su tutte le porte contemporaneamente. Il modello T2600G-28SQ ha 24 porte downlink (verso gli utenti), funzionanti a velocità di 1 Gbit/s, e 4 porte uplink (verso il core della rete) a 10 Gbit/s. Inoltre, le prestazioni della backplane dello switch sono di 128 Gbit/s, il che è più che sufficiente per gestire la massima quantità di traffico in ingresso.
A onor del vero, vale la pena notare che le prestazioni della matrice di commutazione sono di 95,2 milioni di pacchetti al secondo. Ciò significa che, utilizzando frame della dimensione minima di soli 64 byte, le prestazioni complessive dell'apparecchio saranno di 97,5 Gbit/s. Tuttavia, questo profilo di traffico è praticamente irrealistico per le reti degli operatori di telecomunicazioni.
Cos'è la ri-sottoscrizioneUn'altra questione importante è la proporzione tra le velocità dei canali ascendenti e discendenti (ri-sottoscrizione). Qui, chiaramente, tutto dipende dalla topologia. Se l'amministratore utilizza tutte e quattro le interfacce 10 GE per collegarsi al core della rete e le aggrega tramite tecnologia LAG (Link Aggregation Group) o Port-Channel, la velocità statistica ottenuta verso il core sarà di 40 Gbit/s, il che sarà più che sufficiente per soddisfare le esigenze di tutti gli abbonati connessi. Inoltre, non è necessario che tutti e quattro i link ascendenti siano collegati a un unico dispositivo fisico. La connessione può avvenire a uno stack di switch o a due dispositivi raggruppati in cluster (utilizzando tecnologia vPC o simili). In questo caso, non c'è ri-sottoscrizione.
Utilizzare tutti e quattro i canali ascendenti contemporaneamente non è possibile solo unendoli tramite LAG. Un effetto simile può essere ottenuto con una corretta configurazione di MSTP, ma questa è un'altra storia.
Il secondo modo spesso utilizzato per la connessione L2 è l'impiego di due LAG indipendenti (uno per ciascun switch di aggregazione). In questo caso, è probabile che uno dei collegamenti virtuali risulti bloccato dal protocollo STP (nel caso venga utilizzato STP o RSTP). La sovrapposizione sarà 5:6.
Una situazione più rara, ma comunque del tutto probabile: il T2600G-28SQ è connesso mediante canali indipendenti a uno o più switch superiori. Il protocollo STP/RSTP lascerà solo uno di questi collegamenti in uno stato non bloccato. La sovrapposizione sarà 5:12.
Compito con asterisco: calcolare la sovrapposizione per le situazioni descritte nella sezione STP, dove abbiamo considerato un esempio di topologia in cui due switch di accesso sono collegati a un dispositivo di aggregazione e tra loro.
I chip programmabili, tramite cui si ottiene una tale elevata velocità di trasferimento, sono risorse piuttosto costose, perciò ci sforziamo di ottimizzare il loro utilizzo attraverso una corretta distribuzione delle risorse tra le diverse funzioni. La distribuzione è gestita da SDM — Switch Database Management.
La distribuzione viene effettuata tramite il profilo SDM. Attualmente sono disponibili tre profili, elencati di seguito.
- Default offre una soluzione bilanciata, per l'uso di liste di accesso MAC e IP, oltre a registrazioni di rilevamento ARP.
- EnterpriseV4 consente di massimizzare le risorse disponibili per l'utilizzo delle liste di accesso MAC e IP.
- EnterpriseV6 riserva parte delle risorse per l'utilizzo delle liste di accesso IPv6.
Per applicare il nuovo profilo è necessario riavviare lo switch.
Conclusione
In base al posizionamento iniziale, questo switch è particolarmente adatto agli operatori di comunicazione che devono garantire l'accesso alla rete su lunghe distanze. Può essere utilizzato sia a livello di accesso, ad esempio in villaggi residenziali e case a schiera, sia per l'aggregazione dei canali provenienti da switch di accesso situati in edifici multipiano; quindi, ovunque siano necessarie connessioni a oggetti remoti. Utilizzando canali di comunicazione ottica, l'utente connesso può trovarsi a una distanza di diversi chilometri.
Dal lato dei clienti, i collegamenti ottici possono essere terminati su piccoli switch con interfacce ottiche o su convertitori media.
L'ampia varietà di protocolli e opzioni supportati consente di utilizzare il T2600G-28SQ in una rete Ethernet di un operatore con qualsiasi topologia e qualsiasi insieme di tecnologie e servizi offerti. Lo switch può essere gestito in remoto tramite un'interfaccia web o una riga di comando. Se è necessaria una configurazione locale, è possibile utilizzare la porta console; nel modello T2600G-28SQ ci sono due porte: RJ-45 e micro-USB. In una nota leggermente negativa, si segnala l'assenza di supporto per lo stacking e di una seconda unità di alimentazione. Tuttavia, di solito, al di fuori dei data center degli operatori, la disponibilità di una seconda linea elettrica è già rara.
Tra i suoi vantaggi, segnaliamo il prezzo competitivo, l'elevato numero di porte ottiche per gli utenti, la presenza di uplink ottici 10 GE, così come quattro porte combinate e la capacità di trasferire traffico a velocità rispettabili.
Fonte: habr.com
