{"id":36454,"date":"2019-10-31T22:11:44","date_gmt":"2019-10-31T19:11:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor\/"},"modified":"2019-10-31T22:11:44","modified_gmt":"2019-10-31T19:11:44","slug":"opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","title":{"rendered":"Switch ottico TP-Link T2600G-28SQ per i fornitori di servizi: una panoramica dettagliata\u00a0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'espansione delle grandi citt\u00e0 e la formazione di agglomerati sono uno dei principali trend dello sviluppo sociale oggi. Solo Mosca, nel 2019, dovrebbe espandersi di 4 milioni di metri quadrati di abitazioni (senza contare i 15 comuni che si uniranno entro il 2020). Su quest'ampia area, gli operatori di telecomunicazioni dovranno fornire accesso a Internet agli utenti. Si possono trattare sia i quartieri urbani con alta densit\u00e0 di costruzione che i pi\u00f9 'dispersi' villaggi di villeggiatura. In questi casi, i requisiti per l'attrezzatura variano. Abbiamo analizzato ciascuno di questi scenari e creato un modello universale di switch ottico: il T2600G-28SQ. In questo post, esamineremo in dettaglio le funzionalit\u00e0 del dispositivo che saranno interessanti per gli operatori di telecomunicazioni in tutta la Russia.<\/p>\n

\"Switch
\n<\/a><\/noindex><\/p>\n

Posto nella rete<\/h2>\n

\nLo switch T2600G-28SQ \u00e8 progettato sia per l'accesso alla rete che per l'aggregazione dei link da altri switch di accesso. Si tratta di uno switch di secondo livello che esegue switching e routing statico. Se l'operatore ha implementato sia l'aggregazione switch che l'accesso (routing solo nel core della rete), il T2600G-28SQ si adatter\u00e0 a qualsiasi livello. Nel caso di aggregazione dinamicamente routata, \u00e8 comunque necessario considerare alcune limitazioni negli scenari di utilizzo.<\/p>\n

Il modello T2600G-28SQ \u00e8 un completo switch Ethernet attivo senza restrizioni aggiuntive, che sorgerebbero con tecnologie xPON o simili. Ad esempio, non ci sono minacce di una brusca caduta della velocit\u00e0 con l'aumento del numero di utenti o di scarsa compatibilit\u00e0 tra attrezzature di diversi fornitori e firmware. Le porte del dispositivo possono essere collegate sia a utenti finali che a switch di accesso sottostanti con uplink ottici, come il modello T2600G-28TS. Nello schema sottostante sono illustrati i casi di connessione pi\u00f9 comuni.<\/p>\n

\"Switch
\n
\nPer l'accesso alla rete dell'utente finale pu\u00f2 essere utilizzata una fibra ottica o un cavo twisted pair. Sul lato del cliente, la fibra ottica pu\u00f2 essere terminata sia tramite un convertitore di media (media converter), come il TP-Link MC220L, sia utilizzando un'interfaccia ottica in un router SOHO.<\/p>\n

Per collegare un cliente vicinissimo, \u00e8 possibile utilizzare quattro porte RJ-45 che operano a velocit\u00e0 di 10\/100\/1000 Mbit\/s. Se per qualche motivo ci\u00f2 non fosse sufficiente, l'operatore pu\u00f2 \"convertire\" le interfacce ottiche dello switch in rame. Ci\u00f2 pu\u00f2 essere fatto utilizzando SFP \"in rame\" specializzati con connettori RJ-45. Tuttavia, questa soluzione non pu\u00f2 essere definita standard.<\/p>\n

Alcuni esempi pratici<\/h2>\n

\nPer completezza, presenteremo alcuni esempi di utilizzo degli switch modello T2600G-28SQ.<\/p>\n

Provider della regione di Mosca \"DIVO\"<\/a><\/noindex>, che oltre a internet offre servizi di telefonia e TV via cavo, utilizza il T2600G-28SQ a livello di accesso nella costruzione di reti nel settore residenziale (ville e case a schiera). Dal lato del cliente, la connessione avviene tramite router con porta SFP e convertitori di media. Attualmente, router SOHO con porta SFP non vengono prodotti in serie da noi, ma stiamo sicuramente valutando questa possibilit\u00e0.<\/p>\n

Operatore di telecomunicazioni MKC<\/a><\/noindex> di Pavlovo-Posad utilizza switch T2600G-28SQ come \u00abpiccola aggregazione\u00bb, impiegando switch dei modelli T2600G-28TS e T2500G-10TS a livello di accesso.<\/p>\n

Gruppo di aziende \u00abGaranzia\u00bb<\/a><\/noindex> offrono nel sud-est della regione di Mosca (Kolomna, Lukhovitsy, Zaraysk, Serpukhov, Ozyory) accesso a internet, TV, telefonia, sistemi di videosorveglianza. La topologia qui \u00e8 simile a quella di MKC: T2600G-28SQ a livello di aggregazione e T2600G-28TS e T2500G-10TS a livello di accesso.<\/p>\n

Fornitore SKTV<\/a><\/noindex> di Krasnoznamensk offre accesso a internet tramite una rete con fibra ottica a profondit\u00e0 di penetrazione elevata. Anche alla base di questa rete ci sono T2600G-28SQ.<\/p>\n

Nei seguenti paragrafi descriveremo brevemente alcune delle funzionalit\u00e0 del modello T2600G-28SQ. Per non allungare il materiale, abbiamo tralasciato alcune opzioni: QinQ (VLAN VPN), instradamento, QoS e altro. Pensiamo che sar\u00e0 possibile tornare su di essi in uno dei prossimi post.<\/p>\n

Funzionalit\u00e0 dello switch<\/h2>\n

<\/p>\n

Ridondanza \u2013 STP<\/h3>\n

\nSTP \u2013 Spanning Tree Protocol. Il protocollo di albero di copertura \u00e8 noto da molto tempo, grazie alla stimata Radia Perlman. Negli attuali reti, gli amministratori cercano in ogni modo di evitare l'uso di questo protocollo. S\u00ec, lo STP ha dei difetti. E sarebbe ottimo avere un'alternativa. Tuttavia, come spesso accade, l'alternativa a questo protocollo dipender\u00e0 fortemente dal fornitore. Pertanto, fino ad oggi, lo Spanning Tree Protocol rimane quasi l'unica soluzione supportata da praticamente tutti i produttori, ed \u00e8 anche conosciuta da tutti gli amministratori di rete.<\/p>\n

Lo switch TP-Link T2600G-28SQ supporta tre versioni di STP: STP classico (IEEE 802.1D), RSTP (802.1W) e MSTP (802.1S).<\/p>\n

\"Switch
\n
\nPer la maggior parte dei piccoli fornitori di servizi Internet in Russia, la versione standard RSTP \u00e8 del tutto adeguata, poich\u00e9 offre un indiscutibile vantaggio rispetto alla versione classica: tempi di convergenza significativamente pi\u00f9 brevi.<\/p>\n

Il protocollo pi\u00f9 flessibile al giorno d'oggi \u00e8 MSTP, che supporta le reti virtuali (VLAN) e consente diversi alberi, permettendo l'uso di tutti i percorsi di riserva disponibili. L'amministratore pu\u00f2 creare fino a otto istanze diverse di alberi, ciascuna delle quali gestisce un insieme specifico di reti virtuali.<\/p>\n

\"Switch
\n
\n\"Switch
\n
\n\"Switch
\n\"Switch
\n
\nDettagli su MSTP<\/b>Gli amministratori alle prime armi devono prestare particolare attenzione quando utilizzano MSTP. Questo perch\u00e9 il comportamento del protocollo all'interno di una regione e tra le diverse regioni pu\u00f2 variare. Pertanto, durante la configurazione degli switch, \u00e8 fondamentale rimanere all'interno di un'unica regione.<\/p>\n

\"Switch
\n
\nChe cos'\u00e8 questa famosa regione? In termini di MSTP, una regione \u00e8 un insieme di switch collegati tra loro, che condividono le seguenti caratteristiche: nome della regione, numero di revisione e distribuzione delle reti virtuali (VLAN) tra le istanze del protocollo.<\/p>\n

Naturalmente, il protocollo Spanning Tree (di qualsiasi versione) non solo permette di prevenire i loop che si verificano quando si collegano i canali di riserva, ma protegge anche da errori di cablaggio, quando un ingegnere collega intenzionalmente o involontariamente porte sbagliate, creando cos\u00ec un loop.<\/p>\n

Gli amministratori di rete pi\u00f9 esperti preferiscono utilizzare diverse opzioni aggiuntive per proteggere il protocollo STP da attacchi o situazioni di emergenza complesse. Il modello T2600G-28SQ offre un'intera serie di tali funzionalit\u00e0: Loop Protect, Root Protect, TC Guard, BPDU Protect e BPDU Filter.<\/p>\n

\"Switch
\n
\nUn uso corretto delle opzioni sopra elencate insieme ad altri meccanismi di protezione supportati consentir\u00e0 di stabilizzare la rete locale e renderla pi\u00f9 prevedibile.<\/p>\n

Ridondanza \u2013 LAG<\/h3>\n

\nLAG \u2013 Link Aggregation Group. \u00c8 una tecnologia che consente di unire pi\u00f9 canali fisici in un unico canale logico. Tutti gli altri protocolli smettono di utilizzare i canali fisici inclusi nel LAG separatamente e iniziano a 'vedere' un'unica interfaccia logica. Un esempio di tale protocollo \u00e8 STP.<\/p>\n

\"Switch
\n
\nIl bilanciamento del traffico degli utenti tra i canali fisici all'interno del logico avviene sulla base di una somma hash. Per il suo calcolo si possono utilizzare gli indirizzi MAC del mittente, del destinatario o la loro coppia; cos\u00ec come gli indirizzi IP del mittente, del destinatario o la loro coppia. Le informazioni dei protocolli di quarto livello (porte TCP\/UDP) non vengono considerate.<\/p>\n

Lo switch T2600G-28SQ supporta LAG statici e dinamici.<\/p>\n

\"Switch
\n
\n\"Switch
\n
\nPer la negoziazione dei parametri di funzionamento del gruppo dinamico viene utilizzato il protocollo LACP.<\/p>\n

Sicurezza \u2013 liste di accesso (ACL)<\/h3>\n

\nIl nostro switch T2600G-28SQ consente di filtrare il traffico degli utenti tramite liste di accesso (ACL \u2013 Access Control List).<\/p>\n

Le liste di accesso supportate possono essere di diversi tipi: MAC e IP (IPv4\/IPv6), combinate e per la filtrazione dei contenuti. Il numero di liste di accesso supportate per ciascun tipo dipende dal modello SDM attualmente in uso, descritto in un'altra sezione.<\/p>\n

\"Switch
\n
\nL'operatore pu\u00f2 utilizzare questa opzione per bloccare vari tipi di traffico indesiderato nella rete. Un esempio di tale traffico pu\u00f2 essere rappresentato dai pacchetti IPv6 (utilizzando il campo EtherType) se il servizio corrispondente non \u00e8 fornito; oppure bloccare SMB sulla porta 445. In una rete con indirizzamento statico, il traffico DHCP\/BOOTP non \u00e8 necessario, quindi con l'ACL l'amministratore pu\u00f2 filtrare i datagrammi UDP sulle porte 67 e 68. \u00c8 possibile bloccare anche il traffico locale IPoE tramite ACL. Questa funzione potrebbe essere richiesta nelle reti degli operatori che utilizzano PPPoE.<\/p>\n

Il processo di utilizzo delle liste di accesso \u00e8 estremamente semplice. Dopo aver creato la lista, \u00e8 necessario aggiungere il numero desiderato di voci, il cui tipo dipende direttamente dal foglio configurato.<\/p>\n

Configurazione delle liste di accesso<\/b>\"Switch
\n\"Switch
\n\"Switch
\n\"Switch
\n\"Switch
\n\"Switch
\n
\n\u00c8 importante notare che le liste di accesso possono eseguire non solo operazioni normali di autorizzazione o di blocco del traffico, ma anche gestirne il reindirizzamento, il mirroring, oltre a rielaborarne le etichette o limitarne la velocit\u00e0.
\nDopo che tutte le ACL necessarie sono state create, l'amministratore pu\u00f2 procedere con la loro installazione. \u00c8 possibile collegare la lista di accesso sia a una porta fisica specifica che a una rete virtuale definita.<\/p>\n

\"Switch
\n<\/p>\n

Sicurezza \u2013 numero di indirizzi MAC<\/h3>\n

\nTalvolta gli operatori devono limitare il numero di indirizzi MAC che uno switch pu\u00f2 apprendere su una porta specifica. Le liste di accesso consentono di ottenere questo effetto, ma richiedono l'indicazione esplicita degli stessi indirizzi MAC. Se \u00e8 sufficiente limitare solo il numero di indirizzi di porta senza specificarli esplicitamente, pu\u00f2 essere utile la sicurezza della porta.<\/p>\n

\"Switch
\n
\nQuesta limitazione pu\u00f2 essere necessaria, ad esempio, per proteggere una rete locale intera da un collegamento a una singola interfaccia dello switch del provider. \u00c8 importante specificare che si tratta di una connessione commutata, poich\u00e9, con un router sul lato cliente, il T2600G-28SQ apprender\u00e0 solo un indirizzo: quello MAC appartenente alla porta WAN del router cliente.<\/p>\n

Esiste un'intera categoria di attacchi mirati contro la tabella di commutazione. Questi possono includere overflow della tabella e MAC-spoofing. L'opzione di sicurezza della porta permetter\u00e0 di proteggere contro l'overflow della tabella del ponte e contro attacchi che mirano a riapprendere il commutatore, avvelenando la sua tabella dei ponti.<\/p>\n

Non si pu\u00f2 non menzionare l'hardware cliente che presenta semplicemente guasti. Non sono rari i casi in cui una scheda di rete malfunzionante di un computer o un router creano uno flusso di frame con indirizzi di mittente e destinatario completamente casuali. Questo flusso pu\u00f2 facilmente esaurire la CAM.<\/p>\n

Un altro modo per limitare il numero di registrazioni utilizzate nella tabella bridge \u00e8 lo strumento MAC VLAN Security, che consente all'amministratore di specificare il numero massimo di registrazioni per una determinata rete virtuale.<\/p>\n

\"Switch
\n
\nOltre a gestire le registrazioni dinamiche nella tabella di commutazione, l'amministratore pu\u00f2 anche creare registrazioni statiche.<\/p>\n

\"Switch
\n
\nLa tabella bridge del modello T2600G-28SQ consente di contenere fino a 16K registrazioni.
\nUn'altra opzione progettata per filtrare il traffico degli utenti \u00e8 la funzione Port Isolation, che consente di specificare esplicitamente in quale direzione \u00e8 consentito il passaggio.<\/p>\n

\"Switch
\n
\n\"Switch<\/p>\n

Sicurezza \u2013 IMPB<\/h3>\n

\nNel vasto panorama della nostra patria, l'approccio degli operatori di telecomunicazioni alle questioni di sicurezza in rete varia da un completo ignorare a un'applicazione massima di tutte le opzioni supportate dall'hardware.<\/p>\n

Le funzionalit\u00e0 IPv4 IMPB (IP-MAC-Port Binding) e IPv6 IMPB offrono protezione contro una vasta gamma di attacchi legati alla sostituzione degli indirizzi IP e MAC da parte degli utenti, vincolando gli indirizzi IP e MAC delle apparecchiature client all'interfaccia dello switch del fornitore. Questo vincolo pu\u00f2 essere effettuato manualmente o utilizzando le funzioni di ARP Scanning e DHCP Snooping.<\/p>\n

Impostazioni principali dell'IMPB<\/b>\"Switch
\n
\n\"Switch
\n
\n\"Switch
\n
\n\"Switch
\n
\n\"Switch
\n
\n\"Switch<\/p>\n

Per completezza, va detto che per la protezione del protocollo DHCP pu\u00f2 essere utilizzata una funzione specifica: DHCP Filter.<\/p>\n

\"Switch
\n
\n\"Switch
\n
\nCon questa funzione, l'amministratore di rete pu\u00f2 indicare manualmente le interfacce a cui sono collegati i veri server DHCP. In questo modo, i server DHCP falsi non potranno infiltrarsi nel processo di negoziazione dei parametri IP.<\/p>\n

Sicurezza \u2013 Difesa DoS<\/h3>\n

\nIl modello preso in considerazione consente di proteggere gli utenti da alcune delle pi\u00f9 note e diffuse attacchi DoS.<\/p>\n

\"Switch
\n
\nLa maggior parte degli attacchi sopra menzionati non rappresenta pi\u00f9 una minaccia per i dispositivi con sistemi operativi moderni, tuttavia, nelle nostre reti possono ancora esserci dispositivi per i quali l'ultimo aggiornamento del software \u00e8 stato effettuato molti anni fa.<\/p>\n

Supporto DHCP<\/h3>\n

\nLo switch TP-Link T2600G-28SQ pu\u00f2 fungere sia da server DHCP che da relay, e pu\u00f2 anche effettuare una variet\u00e0 di filtrazioni dei messaggi DHCP, se un altro dispositivo funge da server.<\/p>\n

Il modo pi\u00f9 semplice per fornire agli utenti i parametri IP necessari per il lavoro \u00e8 utilizzare il server DHCP integrato nello switch. I parametri principali possono gi\u00e0 essere forniti agli utenti attraverso questo.<\/p>\n

\"Switch
\n
\n\"Switch
\n
\n\"Switch
\n
\nAbbiamo collegato il nostro router SOHO Archer C6 a una delle interfacce dello switch e abbiamo confermato con successo l'assegnazione dell'indirizzo al dispositivo client.<\/p>\n

Ecco come appare<\/b>\"Switch
\n
\n\"Switch
\n
\nIl server DHCP integrato nello switch potrebbe non essere la soluzione pi\u00f9 scalabile e flessibile: non supporta opzioni personalizzate e non \u00e8 integrato con IPAM. Se l'operatore ha bisogno di maggior controllo sul processo di assegnazione degli indirizzi IP, sar\u00e0 necessario utilizzare un server DHCP dedicato.<\/p>\n

Il T2600G-28SQ consente di specificare un server DHCP dedicato separato per ogni sottorete utente, a cui verranno reindirizzati i messaggi del protocollo discusso. La selezione della sottorete avviene indicando l'interfaccia L3 corrispondente: VLAN (SVI), porta instradata o port-channel.<\/p>\n

\"Switch
\n
\n\"Switch
\n
\nPer verificare il funzionamento del relay, abbiamo configurato un router separato di un altro fornitore per funzionare come server DHCP, le cui impostazioni sono riportate di seguito.<\/p>\n

R1#sho run | s pool\nip dhcp pool test\n network 192.168.0.0 255.255.255.0\n default-router 192.168.0.1\n dns-server 8.8.8.8<\/code><\/pre>\n
\nIl router client ha nuovamente ottenuto con successo un indirizzo IP.<\/p>\n
R1#sho ip dhcp binding\nBindings from all pools not associated with VRF:\nIndirizzo IP\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 Client-ID\/          \u00a0 \u00a0 Scadenza del lease        Tipo\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Indirizzo hardware\/\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Nome utente\n192.168.0.2 \u00a0 \u00a0 \u00a0 \u00a0 010c.8063.f0c2.6a   \u00a0 \u00a0 24 Mag 2019 05:07 PM    Automatico<\/code><\/pre>\n
\nSotto il disclaimer \u2014 il contenuto del pacchetto intercettato tra lo switch e il server DHCP dedicato.<\/p>\n
Contenuto del pacchetto<\/b>\"Switch
\n\u00c8 impossibile non notare il supporto per l'Option 82 da parte dello switch. Quando attivata, lo switch aggiunger\u00e0 informazioni sull'interfaccia utente da cui \u00e8 stato ricevuto il messaggio DHCP Discover. Inoltre, il modello T2600G-28SQ consente di configurare la politica di gestione delle informazioni aggiunte con l'inserimento dell'opzione n. 82. La presenza del supporto per questa opzione pu\u00f2 essere utile quando \u00e8 necessario fornire lo stesso indirizzo IP, indipendentemente dall'identificatore client (client-id) comunicato.
\nNell'immagine qui sotto \u00e8 mostrato il messaggio DHCP Discover (trasmesso dal relay) con l'aggiunta dell'opzione n. 82.<\/p>\n
Messaggio con l'opzione n. 82<\/b>\"Switch
\nNaturalmente, \u00e8 possibile gestire l'opzione n. 82 anche senza configurare un relay DHCP completo, le relative impostazioni sono presentate nella sottosezione \u00abDHCP L2 Relay\u00bb.<\/p>\n
\"Switch
\n
\n\"Switch
\n
\nAdesso cambiamo le impostazioni del server DHCP per dimostrare il funzionamento dell'opzione n. 82.<\/p>\n
R1#sho run | s dhcp\nip dhcp pool test\n\u00a0network 192.168.0.0 255.255.255.0\n\u00a0default-router 192.168.0.1\n\u00a0dns-server 8.8.8.8\n\u00a0class option82_test\n\u00a0\u00a0address range 192.168.0.222 192.168.0.222\nip dhcp class option82_test\n\u00a0relay agent information\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0relay-information hex 010e010c74702d6c696e6b5f746573740208000668ff7b66f675\nR1#sho ip dhcp binding\nBindings from all pools not associated with VRF:\nIP address\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 Client-ID\/          \u00a0 \u00a0 Lease expiration        Type\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Hardware address\/\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0User name\n192.168.0.222 \u00a0 \u00a0 \u00a0 010c.8063.f0c2.6a   \u00a0 \u00a0 May 24 2019 05:33 PM    Automatic<\/code><\/pre>\n
Ecco come si presenta<\/b>\"Switch
\nLa funzione di relay DHCP per interfacce sar\u00e0 utile quando su uno switch sia presente non solo un'interfaccia L3 connessa a una rete specifica, ma anche quando quest'interfaccia dispone di un indirizzo IP. In assenza di un indirizzo su tale interfaccia, sar\u00e0 utile la funzione di relay DHCP per VLAN. In questo caso, le informazioni sulla sottorete verranno prese dall'interfaccia predefinita, il che significa che gli spazi indirizzabili in pi\u00f9 reti virtuali saranno identici (completi).<\/p>\n
\"Switch
\n
\nSpesso gli operatori hanno bisogno di proteggere gli abbonati da attivazioni errate o malevole del server DHCP sull'attrezzatura client. Abbiamo deciso di trattare questa funzione in una delle sezioni dedicate alle questioni di sicurezza.<\/p>\n
IEEE 802.1X<\/h3>\n
\nUno dei metodi per l'autenticazione degli utenti in rete \u00e8 l'uso del protocollo IEEE 802.1X. La popolarit\u00e0 di questo protocollo nelle reti degli operatori di telecomunicazioni in Russia \u00e8 gi\u00e0 in calo, ma \u00e8 ancora utilizzato principalmente nelle reti locali delle grandi aziende per autenticare gli utenti interni dell'organizzazione. Lo switch T2600G-28SQ supporta il 802.1X, quindi il provider pu\u00f2 facilmente attivarlo se necessario.<\/p>\n
Per il funzionamento del protocollo IEEE 802.1X sono necessari tre partecipanti: l'attrezzatura del cliente (supplicant), lo switch di accesso del provider (authenticator) e i server di autenticazione (di solito server RADIUS).<\/p>\n
\"Switch
\n
\nLa configurazione di base da parte dell'operatore \u00e8 estremamente semplice. \u00c8 necessario solo specificare l'indirizzo IP del server RADIUS utilizzato, sul quale sar\u00e0 memorizzato il database degli utenti, e scegliere le interfacce per le quali \u00e8 necessaria l'autenticazione.<\/p>\n
Configurazione di base per 802.1X<\/b>\"Switch
\n\"Switch
\n\"Switch
\n\"Switch
\n\"Switch
\n
\nDalla parte del cliente \u00e8 necessaria solo una configurazione minima. Tutti i moderni sistemi operativi contengono gi\u00e0 il software necessario. Tuttavia, se necessario, \u00e8 possibile installare e utilizzare il client TP-Link 802.1x, un'applicazione che consente l'autenticazione del cliente nella rete.<\/p>\n
Quando si collega un PC direttamente alla rete del provider, \u00e8 necessario attivare le impostazioni di autenticazione per la scheda di rete utilizzata per la connessione.<\/p>\n
\"Switch
\n
\n\"Switch
\n
\n\"Switch
\n
\nTuttavia, attualmente alla rete dell'operatore non \u00e8 solitamente collegato direttamente il computer dell'utente, ma un router SOHO che garantisce il funzionamento della rete locale dell'abbonato (sia per il segmento cablato che per quello wireless). In questo caso, tutte le impostazioni del protocollo 802.1X devono essere eseguite direttamente sul router.<\/p>\n
\"Switch
\n
\nCi sembra che questo metodo di autenticazione sia ingiustamente dimenticato nelle reti operate. S\u00ec, il vincolo rigido dell'utente alla porta dello switch potrebbe sembrare una soluzione pi\u00f9 semplice dal punto di vista della configurazione dell'hardware utente. Tuttavia, se l'uso di nome utente e password \u00e8 necessario, il protocollo 802.1X non sar\u00e0 cos\u00ec pesante rispetto alle connessioni basate su tunnel PPTP\/L2TP\/PPPoE.<\/p>\n
Inserimento ID PPPoE<\/h3>\n
\nMolti utenti, non solo nel nostro paese, ma anche in tutto il mondo, continuano a preferire l'uso di password estremamente semplici. Sfortunatamente, i casi di furto di credenziali non sono rari. Se un operatore utilizza il protocollo PPPoE per l'autenticazione degli utenti nella propria rete, lo switch TP-Link T2600G-28SQ pu\u00f2 aiutare a risolvere il problema legato alla fuga di credenziali. Questo viene realizzato tramite l'aggiunta di un'etichetta speciale al messaggio PPPoE Active Discovery. In questo modo, il provider pu\u00f2 autenticare l'utente non solo tramite nome utente e password, ma anche con dati aggiuntivi. Questi dati aggiuntivi includono l'indirizzo MAC del dispositivo client, cos\u00ec come l'interfaccia dello switch a cui \u00e8 connesso.<\/p>\n
\"Switch
\n
\nAlcuni operatori desiderano in linea di principio vietare all'utente (coppia di nome utente e password) la possibilit\u00e0 di spostarsi nella rete. La funzione PPPoE ID Insertion pu\u00f2 aiutare anche in questo caso.<\/p>\n
IGMP<\/h3>\n
\nIl protocollo IGMP (Internet Group Management Protocol) \u00e8 in uso da diversi decenni. La sua popolarit\u00e0 \u00e8 del tutto comprensibile e facile da spiegare. Tuttavia, nel funzionamento dell'IGMP partecipano due parti: il PC dell'utente (o qualsiasi altro dispositivo, come un STB) e il router IP che gestisce un determinato segmento di rete. Gli switch non partecipano a questo scambio. Tuttavia, quest'ultima affermazione non \u00e8 del tutto corretta, o almeno non lo \u00e8 nelle reti moderne. Il supporto del protocollo IGMP da parte degli switch \u00e8 necessario per ottimizzare la trasmissione del traffico multicast. Ascoltando il traffico degli utenti, lo switch rileva i messaggi IGMP Report, grazie ai quali determina le porte per la trasmissione del traffico multicast. Questa opzione \u00e8 chiamata IGMP Snooping.<\/p>\n
\"Switch
\n
\n\"Switch
\n
\n\"Switch
\n
\nIl supporto del protocollo IGMP pu\u00f2 essere utilizzato non solo per ottimizzare il traffico in s\u00e9, ma anche per identificare gli abbonati a cui pu\u00f2 essere fornito un determinato servizio, ad esempio l'IPTV. \u00c8 possibile raggiungere l'obiettivo desiderato sia configurando manualmente i parametri di filtraggio, sia utilizzando l'autenticazione.<\/p>\n
\"Switch
\n
\n\"Switch
\n\"Switch
\n
\nIl supporto del traffico multicast sugli switch TP-Link \u00e8 implementato in modo piuttosto flessibile. Ad esempio, tutti i parametri possono essere impostati per ogni rete virtuale separatamente.<\/p>\n
\"Switch
\n
\n\"Switch
\n
\nSe pi\u00f9 sottoreti sono collegate a un'unica interfaccia del router, in cui si trovano i destinatari del traffico multicast, il router sar\u00e0 costretto a inviare pi\u00f9 copie dei pacchetti attraverso questa interfaccia (una per ciascuna rete virtuale). 
\nIn questo caso, \u00e8 possibile ottimizzare la procedura di inoltro del traffico multicast utilizzando la tecnologia MVR \u2013 Registrazione VLAN Multicast.<\/p>\n
\"Switch
\n
\n\"Switch
\n
\nIl principio della soluzione consiste nel creare una rete virtuale unificata per tutti i destinatari. Tuttavia, questa rete virtuale \u00e8 utilizzata esclusivamente per il traffico multicast. Questo approccio consente al router di inviare solo una copia del traffico multicast attraverso l'interfaccia.<\/p>\n
DDM, OAM e DLDP<\/h3>\n
\nDDM \u2013 Digital Diagnostic Monitoring. Durante l\u2019uso dei moduli ottici, \u00e8 spesso necessario monitorare le condizioni del modulo stesso e del canale ottico a cui \u00e8 collegato. La funzione DDM facilita questo compito. Grazie a essa, gli ingegneri dell\u2019operatore possono monitorare la temperatura di ciascun modulo che supporta questa funzionalit\u00e0, la tensione e la corrente, cos\u00ec come la potenza del segnale ottico inviato e ricevuto.<\/p>\n
\"Switch
\n
\nImpostare i livelli di soglia per i parametri sopra descritti consentir\u00e0 di generare un evento nel caso in cui superino il range consentito.<\/p>\n
Configurazione delle soglie di attivazione DDM<\/b>\"Switch
\n\"Switch
\n\"Switch
\n
\nNaturalmente, l\u2019amministratore pu\u00f2 visualizzare i valori attuali dei parametri indicati.<\/p>\n
\"Switch
\n
\nLo switch TP-Link T2600G-28SQ \u00e8 dotato di un sistema di raffreddamento attivo. Inoltre, non abbiamo mai riscontrato il surriscaldamento dei moduli SFP nei nostri switch, legato alla densit\u00e0 delle porte. Tuttavia, se per pura teoria si dovesse ipotizzare tale possibilit\u00e0 (ad esempio, a causa di un problema all'interno del modulo SFP), con l'aiuto del DDM l'amministratore sar\u00e0 immediatamente avvisato di una situazione potenzialmente pericolosa. Il rischio qui, ovviamente, non riguarda lo switch stesso, ma il diodo\/laser all'interno dell'SFP, poich\u00e9 l'aumento della temperatura pu\u00f2 portare a una degradazione della potenza del segnale ottico emesso, risultando in una riduzione del budget ottico.<\/p>\n
Va notato che gli switch TP-Link non presentano la \"funzione\" di vendor lock, ovvero supportano tutti i moduli SFP compatibili, il che sar\u00e0 molto utile per gli amministratori di rete.<\/p>\n
OAM \u2014 Operazione, Amministrazione e Manutenzione (IEEE 802.3ah). OAM \u00e8 un protocollo di secondo livello del modello OSI, progettato per monitorare e diagnosticare guasti nelle reti Ethernet. Grazie a questo protocollo, uno switch pu\u00f2 tenere traccia delle prestazioni di una connessione specifica e degli errori, generando avvisi affinch\u00e9 l'amministratore di rete possa gestire la rete in modo pi\u00f9 efficace.<\/p>\n
Configurazione di base di OAM<\/b>\"Switch
\n\"Switch
\n\"Switch
\n\"Switch
\n
\nDettagli sul funzionamento di OAM<\/b>Due dispositivi adiacenti che supportano OAM scambiano periodicamente messaggi inviando OAMPDU, che possono essere di tre tipi: Informativo, Notifica Evento e Controllo Loopback. Con OAMPDU informativi, gli switch vicini inviano statistiche tra loro, oltre a dati definiti dall'amministratore. Questo tipo di messaggio \u00e8 utilizzato anche per mantenere la connessione tramite il protocollo OAM. I messaggi di Notifica Evento vengono utilizzati dalla funzione di monitoraggio della connessione per informare l'altra parte di eventuali malfunzionamenti. I messaggi di Controllo Loopback vengono utilizzati per identificare eventuali loop sulla linea.<\/p>\n
Di seguito abbiamo deciso di elencare le principali funzionalit\u00e0 offerte dal protocollo OAM:<\/p>\n