Rozwój dużych miast i tworzenie aglomeracji to jeden z ważnych trendów rozwoju społecznego dzisiaj. Tylko Moskwa w 2019 roku ma się rozszerzyć o 4 miliony metrów kwadratowych mieszkań (nie licząc 15 osiedli, które dołączą w 2020 roku). Na całym tej ogromnej powierzchni operatorzy sieci będą musieli zapewnić użytkownikom dostęp do internetu. Mogą to być zarówno miejskie osiedla z gęstą zabudową wielopiętrową, jak i bardziej „rozrzedzone” osiedla domków jednorodzinnych. W tych przypadkach wymagania dotyczące sprzętu nieco się różnią. Przeanalizowaliśmy każdy z tych scenariuszy i stworzyliśmy uniwersalny model optycznego switcha — T2600G-28SQ. W tym poście szczegółowo omówimy możliwości urządzenia, które będą interesujące dla operatorów w całej Rosji.
Miejsce w sieci
Switch T2600G-28SQ przeznaczony jest zarówno do pracy na poziomie dostępu w sieci, jak i do agregacji łączy z innych switchy poziomu dostępu. To switch drugiego poziomu, który wykonuje przełączanie i statyczne routowanie. Jeśli operator ma zarówno agregację, jak i dostęp (routowanie tylko w jądrze sieci), T2600G-28SQ można włączyć na dowolnym z poziomów. W przypadku dynamicznie routowanej agregacji należy jednak uwzględnić pewne ograniczenia dotyczące scenariuszy użycia.
Model T2600G-28SQ to w pełni funkcjonalny aktywny switch Ethernet bez dodatkowych ograniczeń, które mogą wystąpić przy korzystaniu z technologii xPON lub podobnych. Na przykład, bez zagrożenia nagłym spadkiem prędkości wraz ze wzrostem liczby użytkowników czy złej kompatybilności między sprzętem różnych producentów i wersjami oprogramowania. Do interfejsów urządzenia mogą być podłączani zarówno użytkownicy końcowi, jak i niższe switche dostępu z optycznymi łączami uplink, takie jak model T2600G-28TS. Na schemacie poniżej przedstawiono najczęściej występujące przykłady takich połączeń.
Do dostępu do sieci użytkownika końcowego może być używane włókno optyczne lub skrętka. Po stronie abonenta włókno optyczne może być zakończone zarówno za pomocą konwertera mediów (konwerter miedzi), na przykład TP-Link MC220L, jak i z użyciem interfejsu optycznego w routerze SOHO.
Aby podłączyć bliskiego klienta, można wykorzystać cztery porty RJ-45, działające z prędkościami 10/100/1000 Mb/s. Jeśli z jakiegoś powodu będzie to niewystarczające, operator może "skonwertować" optyczne interfejsy switcha na miedziane. Można to zrobić za pomocą specjalistycznych „miedzianych” SFP z wtykiem RJ-45. Jednak takie rozwiązanie nie jest typowe.
Kilka przykładów z praktyki
Aby uzyskać pełny obraz, przedstawiamy kilka przykładów użycia switchy modelu T2600G-28SQ.
Podmoskiewski dostawca , który oprócz internetu oferuje usługi telefonii i telewizji kablowej, wykorzystuje T2600G-28SQ na poziomie dostępu podczas budowy sieci w sektorze prywatnym (domki jednorodzinne i szeregowe). Po stronie klienta podłączenie odbywa się do routerów z portem SFP oraz konwerterów mediów. Na chwilę obecną routery SOHO z portem SFP nie są produkowane w naszym kraju seryjnie, ale oczywiście myślimy o tym.
Operator komunikacyjny z rejonu Pawłowa-Posad stosuje switcha T2600G-28SQ jako "małą agregację", używając switchy modeli T2600G-28TS i T2500G-10TS na poziomie dostępu.
Grupa firm oferuje w południowo-wschodniej części obwodu moskiewskiego (Kołomna, Luchowice, Zarajsk, Srebrne Stawy, Jeziora) dostęp do internetu, telewizję, telefonię oraz systemy monitoringu wideo. Przybliżona topologia jest tutaj podobna do tej używanej przez MKS: T2600G-28SQ na poziomie agregacji, a T2600G-28TS i T2500G-10TS na poziomie dostępu.
Dostawca z Krasnoznamenka dostarcza dostęp do internetu z wykorzystaniem sieci o głębokim wnikaniu światłowodów. U podstaw znajduje się również T2600G-28SQ.
W kolejnych sekcjach krótko opiszemy niektóre możliwości modelu T2600G-28SQ. Aby nie rozbudowywać materiału, kilka opcji pozostawiliśmy na boku: QinQ (VLAN VPN), routing, QoS itd. Myślimy, że będziemy mogli do nich wrócić w jednym z następnych postów.
Możliwości switcha
Rezerwacja – STP
STP – Protokół Spanning Tree. Protokół drzewa rozpinającego jest znany od bardzo dawna, za co należy się podziękowanie szanowanej Radzie Perlman. W nowoczesnych sieciach administratorzy starają się jak najbardziej unikać korzystania z tego protokołu. Tak, STP ma swoje wady. Bardzo dobrze, jeśli istnieje dla niego alternatywa. Jednak, jak to często bywa, alternatywa tego protokołu będzie w dużej mierze zależna od dostawcy. Dlatego do dzisiaj Protokół Spanning Tree pozostaje niemal jedynym rozwiązaniem, które jest wspierane przez prawie wszystkich producentów, a także znane wszystkim administratorom sieci.
Przełącznik TP-Link T2600G-28SQ obsługuje trzy wersje STP: klasyczny STP (IEEE 802.1D), RSTP (802.1W) i MSTP (802.1S).
Z tych opcji dla większości małych dostawców internetowych w Polsce z powodzeniem nadaje się zwykłe RSTP, które ma jedno niezaprzeczalne zaletę nad klasyczną wersją — znacznie krótszy czas zbiegu.
Najbardziej elastycznym protokołem dzisiaj jest protokół MSTP, który wspiera sieci wirtualne (VLAN) i dopuszcza kilka różnych drzew, co pozwala wykorzystać wszystkie dostępne ścieżki zapasowe. Administrator tworzy kilka różnych instancji drzewa (do ośmiu), z których każda obsługuje określony zestaw sieci wirtualnych.
Szczegóły MSTPPoczątkujący administratorzy przy korzystaniu z MSTP muszą być bardzo ostrożni. Jest to związane z tym, że zachowanie protokołu wewnątrz regionu i między regionami się różni. Dlatego przy konfigurowaniu przełączników warto uważać, aby pozostać w ramach jednego regionu.
Czym zatem jest ten nieprzychylny region? Region w terminologii MSTP to zestaw połączonych ze sobą przełączników, które mają takie same cechy: nazwę regionu, numer rewizji oraz rozdział sieci wirtualnych (VLAN) między instancjami protokołu.
Oczywiście protokół Spanning Tree (każdej wersji) pozwala nie tylko walczyć z pętlami, które powstają podczas łączenia kanałów zapasowych, ale także chronić przed błędami w kablowaniu, gdy inżynier celowo lub nieumyślnie łączy niewłaściwe porty, tworząc w ten sposób pętlę.
Bardziej doświadczeni administratorzy sieci preferują korzystanie z różnych dodatkowych opcji, aby chronić protokół STP przed atakami lub skomplikowanymi awariami. Model T2600G-28SQ oferuje szereg takich możliwości: Loop Protect, Root Protect, TC Guard, BPDU Protect i BPDU Filter.
Poprawne korzystanie z powyższych opcji w połączeniu z innymi obsługiwanymi mechanizmami ochrony pozwoli stabilizować lokalną sieć i uczynić ją bardziej przewidywalną.
Rezerwacja – LAG
LAG – Link Aggregation Group. To technologia, która pozwala połączyć kilka fizycznych kanałów w jeden logiczny. Wszystkie inne protokoły przestają używać fizycznych kanałów wchodzących w skład LAG oddzielnie i zaczynają "widzieć" jeden logiczny interfejs. Przykładem takiego protokołu jest STP.
Równoważenie ruchu użytkowników między fizycznymi kanałami wewnątrz logicznego odbywa się na podstawie sumy kontrolnej. Do jej obliczenia mogą być wykorzystywane adresy MAC nadawcy, odbiorcy, albo ich para; a także adresy IP nadawcy, odbiorcy, albo ich para. Informacje protokołów czwartego poziomu (porty TCP/UDP) nie są brane pod uwagę.
Przełącznik T2600G-28SQ obsługuje statyczne i dynamiczne LAG.
Do uzgodnienia parametrów pracy dynamicznej grupy wykorzystuje się protokół LACP.
Bezpieczeństwo – listy dostępu (ACL)
Nasz przełącznik T2600G-28SQ pozwala filtrować ruch użytkowników za pomocą list dostępu (ACL – Access Control List).
Obsługiwane listy dostępu mogą być kilku różnych typów: MAC i IP (IPv4/IPv6), połączone, a także do realizacji filtracji treści. Liczba obsługiwanych list dostępu każdego typu zależy od używanego aktualnie szablonu SDM, który opisaliśmy w innym rozdziale.
Operator może wykorzystać tę opcję do blokowania różnorodnego niechcianego ruchu w sieci. Przykładem takiego ruchu mogą być pakiety IPv6 (za pomocą pola EtherType), jeśli odpowiednia usługa nie jest świadczona; lub blokować SMB na porcie 445. W sieci z statycznym adresowaniem DHCP/BOOTP ruch nie jest wymagany, dlatego za pomocą ACL administrator może filtrować datagramy UDP na portach 67 i 68. Blokować lokalny ruch IPoE również można za pomocą ACL. Taka blokada może być potrzebna w sieciach operatorów stosujących PPPoE.
Proces korzystania z list dostępu jest niezwykle prosty. Po utworzeniu samej listy, należy dodać do niej odpowiednią liczbę wpisów, których typ zależy bezpośrednio od konfigurowanej listy.
Konfiguracja list dostępu
Warto zauważyć, że listy dostępu mogą wykonywać nie tylko standardowe operacje zezwalające lub zakazujące na przejście ruchu, ale także zajmować się jego przekierowaniem, mirroringiem, a także wykonywać jego oznakowanie lub ograniczać go prędkościowo.
Po utworzeniu wszystkich niezbędnych ACL administrator może je zainstalować. Dozwolone jest dołączenie listy dostępu zarówno do bezpośredniego portu fizycznego, jak i do określonej sieci wirtualnej.
Bezpieczeństwo – liczba adresów MAC
Czasami operatorzy mają potrzebę ograniczenia liczby adresów MAC, które przełącznik zapamięta na określonym porcie. Listy dostępu pozwalają osiągnąć ten efekt, ale wymagają jednocześnie wyraźnego wskazania samych adresów MAC. Jeżeli jednak należy jedynie ograniczyć liczbę adresów kanałowych, ale nie wskazywać ich bezpośrednio, z pomocą przyjdzie bezpieczeństwo portu.
Takie ograniczenie może być konieczne, na przykład, w celu ochrony przed podłączeniem całej lokalnej sieci do jednego interfejsu przełącznika dostawcy. Należy również zauważyć, że mamy tutaj na myśli połączenie przełącznikowe, ponieważ przy połączeniu za pomocą routera po stronie klienta T2600G-28SQ zapamięta tylko jeden adres – ten, który należy do portu WAN klienta routera.
Istnieje cała klasa ataków skierowanych przeciwko tabeli przełączania. Może to być zarówno przepełnienie tabeli, jak i MAC-spoofing. Opcja zabezpieczeń portów pozwala zabezpieczyć się przed przepełnieniem tabeli mostu oraz przed atakami, których celem jest celowe ponowne nauczenie przełącznika i zanieczyszczenie jego tabeli mostu.
Nie można zapomnieć o przestarzałym sprzęcie klienckim. Często zdarzają się sytuacje, gdy źle działająca karta sieciowa komputera lub router generują strumień ramek z całkowicie losowymi adresami nadawcy i odbiorcy. Taki strumień może z łatwością wyczerpać CAM.
Kolejnym sposobem ograniczenia liczby używanych wpisów w tabeli mostu jest narzędzie MAC VLAN Security, dzięki któremu administrator może określić maksymalną liczbę wpisów dla danej sieci wirtualnej.
Oprócz zarządzania dynamicznymi wpisami w tabeli przełączania, administrator może również tworzyć wpisy statyczne.
Maksymalnie tabela mostu modelu T2600G-28SQ może pomieścić do 16K wpisów.
Kolejną opcją, służącą do filtrowania przesyłania ruchu użytkowników, jest funkcja Port Isolation, która pozwala wyraźnie określić, w jakim kierunku dozwolona jest retransmisja.
Bezpieczeństwo – IMPB
Na rozległych obszarach naszej ojczyzny podejście operatorów sieciowych do kwestii bezpieczeństwa w sieci różni się od całkowitego ignorowania aż po maksymalne wykorzystanie wszystkich opcji wspieranych przez sprzęt.
Funkcje IPv4 IMPB (IP-MAC-Port Binding) oraz IPv6 IMPB umożliwiają ochronę przed szerokim zakresem ataków związanych z podmianą adresów IP i MAC przez abonentów, poprzez powiązanie adresów IP i MAC sprzętu klienckiego z interfejsem przełącznika dostawcy. Takie powiązanie może być realizowane ręcznie lub przy użyciu funkcji ARP Scanning i DHCP Snooping.
Podstawowe ustawienia IMPB
Warto zaznaczyć, że do ochrony protokołu DHCP można zastosować specjalną funkcję – DHCP Filter.
Za pomocą tej funkcji administrator sieci może ręcznie wskazać te interfejsy, do których podłączone są prawdziwe serwery DHCP. W ten sposób fałszywe serwery DHCP nie będą mogły wniknąć w proces negocjowania parametrów IP.
Bezpieczeństwo – DoS Defend
Rozważany model pozwala chronić użytkowników przed wieloma znanymi i powszechnie występującymi wcześniej atakami DoS.
Większość z wymienionych ataków nie stanowi już zagrożenia dla urządzeń z nowoczesnymi systemami operacyjnymi, jednak w naszych sieciach mogą nadal występować takie, dla których ostatnia aktualizacja oprogramowania była przeprowadzona wiele lat temu.
Wsparcie dla DHCP
Przełącznik TP-Link T2600G-28SQ może pełnić zarówno rolę serwera DHCP, jak i relay'a, a także wykonywać różnorodną filtrację komunikatów DHCP, jeśli jako serwer działa inne urządzenie.
Najprostszy sposób na dostarczenie użytkownikom niezbędnych do pracy parametrów IP to wykorzystanie wbudowanego w przełącznik serwera DHCP. Podstawowe parametry można już przekazać abonentom przy jego pomocy.
Podłączyliśmy nasz router SOHO Archer C6 do jednego z interfejsów przełącznika i upewniliśmy się o pomyślnym uzyskaniu adresu przez urządzenie klienckie.
Wygląda to tak
Wbudowany w przełącznik serwer DHCP to chyba nie najbardziej skalowalne i elastyczne rozwiązanie: brak obsługi niestandardowych opcji, brak powiązania z IPAM. Jeśli operator potrzebuje więcej kontroli nad procesem przydzielania adresów IP, to użyty zostanie jakiś dedykowany serwer DHCP.
T2600G-28SQ pozwala przypisać dla każdej użytkowniczej podsieci oddzielny dedykowany serwer DHCP, na który będą przekierowywane komunikaty omawianego protokołu. Wybór podsieci odbywa się poprzez wskazanie odpowiedniego interfejsu L3: VLAN (SVI), routed port lub port-channel.
Aby sprawdzić działanie relay'a, skonfigurowaliśmy oddzielny router innego producenta do pracy w roli serwera DHCP, którego ustawienia przedstawione są poniżej.
R1#sho run | s pool
ip dhcp pool test
network 192.168.0.0 255.255.255.0
default-router 192.168.0.1
dns-server 8.8.8.8Router kliencki ponownie pomyślnie otrzymał adres IP.
R1#sho ip dhcp binding
Bindings from all pools not associated with VRF:
IP address Client-ID/ Lease expiration Type
Hardware address/
User name
192.168.0.2 010c.8063.f0c2.6a May 24 2019 05:07 PM AutomaticPod spoilerem — zawartość przechwyconego pakietu między przełącznikiem a dedykowanym serwerem DHCP.
Zawartość pakietu
Nie można nie zauważyć wsparcia dla opcji 82 ze strony przełącznika. Po jej włączeniu przełącznik będzie dodawał informacje o interfejsie użytkownika, z którego otrzymano komunikat DHCP Discover. Ponadto model T2600G-28SQ pozwala skonfigurować politykę przetwarzania dodawanych informacji przy wstawieniu opcji nr 82. Wsparcie dla tej opcji może być przydatne w sytuacji, gdy abonent musi otrzymać ten sam adres IP, niezależnie od tego, jaki identyfikator klienta (client-id) zgłasza.
Na poniższym rysunku przedstawiono komunikat DHCP Discover (przesłany przez relé) z dodaną opcją nr 82.
Komunikat z opcją nr 82
Oczywiście, opcji nr 82 można zarządzać również bez pełnej konfiguracji relé DHCP, odpowiednie ustawienia przedstawione są w podpunkcie „DHCP L2 Relay”.
A teraz zmieńmy ustawienia serwera DHCP, aby zademonstrować działanie opcji nr 82.
R1#sho run | s dhcp
ip dhcp pool test
network 192.168.0.0 255.255.255.0
default-router 192.168.0.1
dns-server 8.8.8.8
class option82_test
address range 192.168.0.222 192.168.0.222
ip dhcp class option82_test
relay agent information
relay-information hex 010e010c74702d6c696e6b5f746573740208000668ff7b66f675
R1#sho ip dhcp binding
Bindings from all pools not associated with VRF:
IP address Client-ID/ Lease expiration Type
Hardware address/
User name
192.168.0.222 010c.8063.f0c2.6a May 24 2019 05:33 PM AutomaticTak to mniej więcej wygląda
Funkcja DHCP interface relay będzie pomocna w sytuacji, gdy na przełączniku nie tylko znajduje się interfejs L3 połączony z określoną siecią, ale też ten interfejs ma przypisany adres IP. W przypadku braku adresu na takim interfejsie z pomocą przychodzi funkcja DHCP VLAN relay. Informacje o podsieci w tym przypadku są pobierane z interfejsu domyślnego, co oznacza, że przestrzenie adresowe w wielu wirtualnych sieciach będą identyczne (zachodzące na siebie).
Często operatorzy również chcą zabezpieczyć abonentów przed przypadkowym lub złośliwym włączeniem serwera DHCP na sprzęcie klienta. Dyskusję na ten temat postanowiliśmy przenieść do jednego z rozdziałów poświęconych kwestiom bezpieczeństwa.
IEEE 802.1X
Jednym ze sposobów uwierzytelniania użytkowników w sieci jest wykorzystanie protokołu IEEE 802.1X. Popularność tego protokołu w sieciach operatorów telekomunikacyjnych w Polsce już maleje, ale nadal jest stosowany głównie w lokalnych sieciach dużych firm do uwierzytelniania wewnętrznych użytkowników organizacji. W przełączniku T2600G-28SQ znajduje się wsparcie dla 802.1X, więc w razie potrzeby dostawca może łatwo go wykorzystać.
Do działania protokołu IEEE 802.1X potrzebne są trzy podmioty: sprzęt kliencki (supplicant), przełącznik dostępu dostawcy (authenticator) oraz serwery uwierzytelniania (zazwyczaj serwery RADIUS).
Podstawowa konfiguracja po stronie operatora jest niezwykle prosta. Wystarczy wskazać adres IP używanego serwera RADIUS, na którym będzie przechowywana baza danych użytkowników, a także wybrać interfejsy, dla których wymagana jest autoryzacja.
Podstawowa konfiguracja 802.1X
Po stronie klienta wymagana jest również niewielka konfiguracja. Wszystkie nowoczesne systemy operacyjne już zawierają niezbędne oprogramowanie. W razie potrzeby można również zainstalować i używać aplikacji TP-Link 802.1x Client – aplikacji umożliwiającej uwierzytelnienie klienta w sieci.
Podczas podłączania komputera użytkownika bezpośrednio do sieci dostawcy, należy aktywować ustawienia uwierzytelniania dla karty sieciowej, która jest używana do połączenia.
Jednak obecnie do sieci operatora najczęściej nie jest podłączony bezpośrednio komputer użytkownika, lecz pewien router SOHO, który zapewnia funkcjonowanie lokalnej sieci abonenta (zarówno segmentów przewodowych, jak i bezprzewodowych). W takim przypadku wszystkie ustawienia protokołu 802.1X muszą być wykonywane bezpośrednio na routerze.
Uważamy, że w sieciach operatorów ten sposób uwierzytelniania jest niesłusznie zapomniany. Tak, sztywne przypisanie abonenta do portu przełącznika może być prostszym rozwiązaniem z punktu widzenia konfiguracji sprzętu użytkownika. Jednak jeśli konieczne jest użycie loginu i hasła, to 802.1X będzie mniej obciążającym protokołem w porównaniu z wykorzystywanymi połączeniami opartymi na tunelach PPTP/L2TP/PPPoE.
PPPoE ID Insertion
Wielu użytkowników, nie tylko w naszym kraju, ale i na całym świecie nadal woli używać maksymalnie prostych haseł. Niestety, przypadki kradzieży danych logowania nie są rzadkością. Jeśli operator w swojej sieci używa protokołu PPPoE do uwierzytelniania użytkowników, przełącznik TP-Link T2600G-28SQ pomoże rozwiązać problem związany z wyciekiem danych logowania. Osiąga się to poprzez dodanie specjalnej etykiety do wiadomości PPPoE Active Discovery. W ten sposób dostawca może uwierzytelniać abonenta nie tylko na podstawie loginu i hasła, ale także dodatkowych danych. Takimi dodatkowymi danymi są adres MAC urządzenia klienckiego oraz interfejs przełącznika, do którego jest podłączone.
Niektórzy operatorzy z zasady chcą uniemożliwić abonentowi (para login i hasło) możliwość poruszania się po sieci. Funkcja PPPoE ID Insertion pomoże i w tym przypadku.
IGMP
Protokół IGMP (Internet Group Management Protocol) istnieje już od kilku dekad. Jego popularność jest całkowicie zrozumiała i łatwa do wyjaśnienia. Jednak w interakcji IGMP biorą udział dwie strony: komputer użytkownika (lub inne urządzenie, na przykład STB) oraz router IP, który obsługuje określony segment sieci. Przełączniki w żaden sposób nie uczestniczą w tej wymianie. Jednak ostatnie stwierdzenie nie jest całkiem prawdziwe. W nowoczesnych sieciach jest to zupełnie nieprawdziwe. Wsparcie protokołu IGMP ze strony przełączników jest niezbędne dla optymalizacji przesyłania ruchu grupowego. Nasłuchując ruchu użytkownika, przełącznik wykrywa w nim wiadomości IGMP Report, dzięki którym określa porty do przesyłania ruchu grupowego. Opisane opcje nazywają się IGMP Snooping.
Wsparcie protokołu IGMP może być używane nie tylko do optymalizacji ruchu jako takiego, ale także do identyfikacji abonentów, którym może być świadczona określona usługa, na przykład IPTV. Osiągnięcie zamierzonego celu można zrealizować zarówno przez ręczne skonfigurowanie parametrów filtrowania, jak i poprzez wykorzystanie uwierzytelniania.
Wsparcie ruchu grupowego na przełącznikach TP-Link jest zrealizowane dość elastycznie. Wszystkie parametry mogą być na przykład ustalone dla każdej wirtualnej sieci z osobna.
Jeśli do jednego interfejsu routera podłączonych jest kilka podsieci, w których znajdują się odbiorcy ruchu grupowego, router ten będzie zmuszony wysłać kilka kopii pakietów przez ten interfejs (po jednej dla każdej wirtualnej sieci).
Optymalizacja procedury przesyłania ruchu grupowego w tym przypadku może odbywać się za pomocą technologii MVR – Multicast VLAN Registration.
Sedno rozwiązania polega na utworzeniu jednej wirtualnej sieci, która łączy wszystkich odbiorców. Jednak ta wirtualna sieć jest używana wyłącznie do ruchu grupowego. Takie podejście umożliwia routerowi wysyłanie tylko jednej kopii ruchu grupowego przez interfejs.
DDM, OAM i DLDP
DDM – Digital Diagnostic Monitoring. W trakcie eksploatacji modułów optycznych często zachodzi potrzeba monitorowania stanu samego modułu, a także optycznego kanału, do którego jest podłączony. W tej sytuacji pomoże funkcja DDM. Dzięki niej inżynierowie operatora mogą śledzić temperaturę każdego wspierającego tę funkcjonalność modułu, napięcie na nim i prąd, a także moce wysyłanych i odbieranych sygnałów optycznych.
Ustawienie progów dla opisanych wcześniej parametrów pozwoli generować zdarzenie w przypadku ich przekroczenia.
Konfiguracja progów działania DDM
Oczywiście administrator może przeglądać bieżące wartości wskazanych parametrów.
Przełącznik TP-Link T2600G-28SQ ma aktywny system chłodzenia powietrzem. Co więcej, nigdy nie mieliśmy do czynienia z przegrzewaniem modułów SFP w naszych przełącznikach, związanym z gęstością portów. Jednak jeśli czysto teoretycznie dopuścić taką możliwość (na przykład z powodu jakiegoś problemu wewnątrz modułu SFP), administrator zostanie natychmiast powiadomiony o potencjalnie niebezpiecznej sytuacji za pomocą DDM. Niebezpieczeństwo dotyczy oczywiście nie samego przełącznika, lecz diody/lazera wewnątrz SFP, ponieważ wraz ze wzrostem jego temperatury może dochodzić do degradacji mocy emitowanego sygnału optycznego, co prowadzi do obniżenia budżetu optycznego.
Warto również zauważyć, że przełączniki TP-Link nie mają „funkcji” vendor lock, co oznacza, że wspierane są wszelkie kompatybilne moduły SFP, co oczywiście będzie bardzo wygodne dla administratorów sieci.
OAM — Operacja, Administracja i Utrzymanie (IEEE 802.3ah). OAM to protokół drugiego poziomu modelu OSI, służący do monitorowania i diagnozowania usterek w sieciach Ethernet. Dzięki temu protokołowi switch może śledzić wydajność konkretnego połączenia i błędy, generować powiadomienia, aby administrator sieci mógł skuteczniej zarządzać siecią.
Podstawowa konfiguracja OAM
Szczegóły działania OAMDwa sąsiednie urządzenia, które wspierają OAM, wymieniają się okresowo wiadomościami za pomocą OAMPDU, które występują w trzech typach: Informacyjne, Powiadomienie o zdarzeniu oraz Kontrola pętli. Dzięki informacyjnym OAMPDU sąsiednie switche przesyłają sobie wzajemnie informacje statystyczne oraz dane określone przez administratora. Ten typ wiadomości jest również używany do utrzymywania połączenia przez protokół OAM. Wiadomości Powiadomienie o zdarzeniu są wykorzystywane przez funkcję monitorowania połączenia do informowania drugiej strony o wystąpieniu awarii. Wiadomości Kontrola pętli służą do określania pętli na łączu.
Poniżej wymieniamy główne możliwości, jakie oferuje protokół OAM:
- monitorowanie środowiska (wykrywanie i zliczanie uszkodzonych ramek),
- RFI – Wskaźnik Zdalnej Awarji (wysyłanie powiadomienia o awarii w kanale),
- Zdalna Kontrola Pętli (testowanie kanału w celu pomiaru opóźnienia, zmienności opóźnienia (jitter), ilości utraconych ramek).
Kolejną funkcjonalnością, poszukiwaną w przełącznikach optycznych, jest możliwość wykrywania problemów w kanale komunikacyjnym, prowadzących do tego, że kanał staje się simplexowy, tzn. dane mogą być przesyłane tylko w jednym kierunku. Nasze switche wykorzystują do wykrywania jednokierunkowych połączeń protokół DLDP – Protokół Wykrywania Połączeń Urządzeń. Warto zauważyć, że protokół DLDP jest wspierany zarówno w interfejsach optycznych, jak i miedzianych, chociaż naszym zdaniem będzie najbardziej poszukiwany przy użyciu linii światłowodowych.
W przypadku wykrycia jednokierunkowego kanału, switch może automatycznie wyłączyć problematyczny interfejs, co doprowadzi do przekształcenia drzewa STP i wykorzystywania rezerwowych kanałów komunikacyjnych.
W naszej ofercie znajdują się moduły SFP, które odbierają i przesyłają sygnał przez jedno włókno. Działają one wyłącznie w parach, a do przesyłania w obrębie pary używają sygnału optycznego na różnych długościach fal. Przykładem mogą być pary TL-SM321A i TL-SM321B. W przypadku używania tego rodzaju modułów uszkodzenie jednego włókna spowoduje całkowitą awarię całego optycznego kanału. Niemniej jednak, nawet w takich kanałach protokół DLDP będzie istotny, ponieważ, chociaż zdarza się to bardzo rzadko, kanał może mieć różne charakterystyki przezroczystości dla różnych długości fal. Bardziej prawdopodobnym problemem jest różna przezroczystość kanału w zależności od kierunku propagacji światła. Wykrycie tych problemów pomoże reflektogram, ale to już zupełnie inna historia.
LLDP
W dużych sieciach korporacyjnych lub operatorskich czasami pojawiają się problemy z przestarzałą dokumentacją sieci lub błędami w jej opracowaniu. Administrator sieci może napotkać sytuację, w której musi ustalić, jakie urządzenie operatora jest faktycznie podłączone do danego interfejsu przełącznika. Z pomocą przyjdzie protokół LLDP – Link Layer Discovery Protocol (IEEE 802.1AB).
Parametry działania LLDP
Nasze przełączniki obsługują protokół LLDP nie tylko do wykrywania sąsiednich przełączników lub innych urządzeń sieciowych, ale także do określenia ich możliwości.
Miedziane odpowiedniki naszych przełączników mogą używać LLDP-MED do uproszczenia procedury podłączenia telefonów IP. Dzięki tej opcji przełącznik PoE może uzgadniać parametry zasilania z zasilanym urządzeniem. O tym szczegółowo opowiadaliśmy już w jednym z naszych .
SDM i przerejestrowanie
Praktycznie wszystkie nowoczesne przełączniki przetwarzają przechodzące ramki i pakiety bez użycia centralnego procesora. Przetwarzanie (obliczanie sumy kontrolnej, stosowanie list dostępu oraz przeprowadzanie innych kontroli systemu bezpieczeństwa, a także podejmowanie decyzji o przełączaniu/routowaniu) odbywa się za pomocą wyspecjalizowanych układów scalonych, co pozwala osiągnąć wysokie prędkości transmisji ruchu użytkowników. Opisywane przełącznik pozwala na przetwarzanie ruchu z prędkością medium. Oznacza to, że wydajność urządzenia jest wystarczająca do przesyłania danych z maksymalnymi możliwymi prędkościami wszystkich portów jednocześnie. Model T2600G-28SQ ma 24 porty downlink (w kierunku użytkowników), które działają z prędkością 1 Gb/s, oraz 4 porty uplink (w kierunku rdzenia sieci) o prędkości 10 Gb/s. Wydajność szyny przełącznika wynosi 128 Gb/s, co jest wystarczające do przetworzenia maksymalnej ilości ruchu przychodzącego.
Dla sprawiedliwości warto dodać, że wydajność matrycy przełączającej wynosi 95,2 miliona pakietów na sekundę. Oznacza to, że przy użyciu minimalnie możliwych ramek o długości zaledwie 64 bajtów całkowita wydajność urządzenia wynosi 97,5 Gb/s. Jednak taki profil ruchu jest praktycznie nieprawdopodobny w sieciach operatorów telekomunikacyjnych.
Co to jest nadsubskrypcjaInnym istotnym zagadnieniem jest stosunek prędkości kanałów uplink i downlink (nadsubskrypcja). Tutaj już, jak to oczywiste, wszystko zależy od topologii. Jeśli administrator korzysta ze wszystkich czterech interfejsów 10 GE do połączenia z rdzeniem sieci i łączy je przy użyciu technologii LAG (Link Aggregation Group) lub Port-Channel, to statystycznie uzyskana prędkość w kierunku rdzenia wynosi 40 Gb/s, co będzie więcej niż wystarczające do zaspokojenia potrzeb wszystkich podłączonych abonentów. Ponadto nie jest konieczne, aby wszystkie cztery linie uplink były podłączone do jednego fizycznego urządzenia. Połączenie może być realizowane do stosu przełączników lub do dwóch urządzeń połączonych w klaster (przy użyciu technologii vPC lub podobnych). W takim przypadku nie ma nadsubskrypcji.
Można używać wszystkich czterech kanałów wznoszących jednocześnie nie tylko przez łączenie ich za pomocą LAG. Podobny efekt można osiągnąć przez odpowiednią konfigurację MSTP, ale to już zupełnie inna historia.
Drugim często spotykanym sposobem połączenia L2 jest użycie dwóch niezależnych LAG (po jednym do każdego przełącznika agregacji). W tym przypadku jeden z wirtualnych linków najprawdopodobniej zostanie zablokowany przez protokół STP (przy użyciu STP lub RSTP). Przepustowość wyniesie 5:6.
Rzadsza, ale całkiem prawdopodobna sytuacja: T2600G-28SQ jest podłączony niezależnymi kanałami do wyższego przełącznika lub przełączników. Protokół STP/RSTP pozostawi jedynie jeden taki link w stanie odblokowanym. Przepustowość wyniesie 5:12.
Zadanie ze znakiem: obliczyć przepustowość dla sytuacji opisanych w rozdziale STP, gdzie rozpatrzyliśmy przykład topologii, w której dwa przełączniki dostępu są podłączone do jednego urządzenia agregującego i połączone ze sobą.
Programowalne układy scalone, dzięki którym osiąga się tak wysoką szybkość przesyłania, są dość kosztownym zasobem, dlatego staramy się optymalizować ich wykorzystanie poprzez odpowiednie rozdysponowanie zasobów między różnymi funkcjami. Za rozdzielenie odpowiada SDM — zarządzanie bazą danych przełącznika.
Podział odbywa się za pomocą profilu SDM. Na chwilę obecną dostępne są trzy profile, wymienione poniżej.
- Default oferuje zrównoważone rozwiązanie do używania list dostępu MAC i IP, a także zapisów detekcji ARP.
- EnterpriseV4 maksymalizuje zasoby dostępne do używania przez listy dostępu MAC i IP.
- EnterpriseV6 część zasobów przeznacza na użycie przez listy dostępu IPv6.
Aby zastosować nowy profil, konieczne jest ponowne uruchomienie przełącznika.
Podsumowanie
Zgodnie z pierwotną pozycją, ten przełącznik najlepiej pasuje do operatorów komunikacyjnych, którzy muszą zapewnić dostęp do sieci na dużych odległościach. Urządzenie może być wykorzystywane zarówno na poziomie dostępu, na przykład w osiedlach domków jednorodzinnych i w zabudowie szeregowej, jak i do agregacji kanałów pochodzących z przełączników dostępu umieszczonych w budynkach wielorodzinnych; czyli wszędzie tam, gdzie wymagane są połączenia zdalnych obiektów. Przy użyciu optycznych kanałów komunikacji podłączony abonent może znajdować się w odległości do kilku kilometrów.
Ze strony klientów optyczne łącza mogą być terminowane na małych przełącznikach z interfejsami optycznymi lub na konwerterach mediowych.
Duża liczba obsługiwanych protokołów i opcji pozwoli na wykorzystanie T2600G-28SQ w sieci Ethernet operatora z dowolną topologią i zestawem używanych technologii oraz świadczonych usług. Przełącznik jest zarządzany zdalnie za pomocą interfejsu webowego lub wiersza poleceń. W razie potrzeby lokalnej konfiguracji można użyć portu konsolowego; w modelu T2600G-28SQ są dwa: RJ-45 i micro-USB. Jako mały minus można zauważyć brak wsparcia dla łączenia w stosy oraz drugiego zasilacza. Jednakże, zazwyczaj poza centrami danych dostawców, obecność drugiej linii zasilającej będzie rzadkością.
Do jego zalet zaliczamy niską cenę, dużą liczbę optycznych portów klienckich, obecność optycznych uplinków 10 GE oraz cztery porty kombi i przesyłanie ruchu z prędkością medium.
Źródło: habr.com
