{"id":36454,"date":"2019-10-31T22:11:44","date_gmt":"2019-10-31T19:11:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor\/"},"modified":"2019-10-31T22:11:44","modified_gmt":"2019-10-31T19:11:44","slug":"opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","title":{"rendered":"Optyczny prze\u0142\u0105cznik TP-Link T2600G-28SQ dla dostawc\u00f3w us\u0142ug: szczeg\u00f3\u0142owy przegl\u0105d\u00a0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Rozw\u00f3j du\u017cych miast i tworzenie aglomeracji to jeden z wa\u017cnych trend\u00f3w rozwoju spo\u0142ecznego dzisiaj. Tylko Moskwa w 2019 roku ma si\u0119 rozszerzy\u0107 o 4 miliony metr\u00f3w kwadratowych mieszka\u0144 (nie licz\u0105c 15 osiedli, kt\u00f3re do\u0142\u0105cz\u0105 w 2020 roku). Na ca\u0142ym tej ogromnej powierzchni operatorzy sieci b\u0119d\u0105 musieli zapewni\u0107 u\u017cytkownikom dost\u0119p do internetu. Mog\u0105 to by\u0107 zar\u00f3wno miejskie osiedla z g\u0119st\u0105 zabudow\u0105 wielopi\u0119trow\u0105, jak i bardziej \u201erozrzedzone\u201d osiedla domk\u00f3w jednorodzinnych. W tych przypadkach wymagania dotycz\u0105ce sprz\u0119tu nieco si\u0119 r\u00f3\u017cni\u0105. Przeanalizowali\u015bmy ka\u017cdy z tych scenariuszy i stworzyli\u015bmy uniwersalny model optycznego switcha \u2014 T2600G-28SQ. W tym po\u015bcie szczeg\u00f3\u0142owo om\u00f3wimy mo\u017cliwo\u015bci urz\u0105dzenia, kt\u00f3re b\u0119d\u0105 interesuj\u0105ce dla operator\u00f3w w ca\u0142ej Rosji.<\/p>\n

\"Optyczny
\n<\/a><\/noindex><\/p>\n

Miejsce w sieci<\/h2>\n

\nSwitch T2600G-28SQ przeznaczony jest zar\u00f3wno do pracy na poziomie dost\u0119pu w sieci, jak i do agregacji \u0142\u0105czy z innych switchy poziomu dost\u0119pu. To switch drugiego poziomu, kt\u00f3ry wykonuje prze\u0142\u0105czanie i statyczne routowanie. Je\u015bli operator ma zar\u00f3wno agregacj\u0119, jak i dost\u0119p (routowanie tylko w j\u0105drze sieci), T2600G-28SQ mo\u017cna w\u0142\u0105czy\u0107 na dowolnym z poziom\u00f3w. W przypadku dynamicznie routowanej agregacji nale\u017cy jednak uwzgl\u0119dni\u0107 pewne ograniczenia dotycz\u0105ce scenariuszy u\u017cycia.<\/p>\n

Model T2600G-28SQ to w pe\u0142ni funkcjonalny aktywny switch Ethernet bez dodatkowych ogranicze\u0144, kt\u00f3re mog\u0105 wyst\u0105pi\u0107 przy korzystaniu z technologii xPON lub podobnych. Na przyk\u0142ad, bez zagro\u017cenia nag\u0142ym spadkiem pr\u0119dko\u015bci wraz ze wzrostem liczby u\u017cytkownik\u00f3w czy z\u0142ej kompatybilno\u015bci mi\u0119dzy sprz\u0119tem r\u00f3\u017cnych producent\u00f3w i wersjami oprogramowania. Do interfejs\u00f3w urz\u0105dzenia mog\u0105 by\u0107 pod\u0142\u0105czani zar\u00f3wno u\u017cytkownicy ko\u0144cowi, jak i ni\u017csze switche dost\u0119pu z optycznymi \u0142\u0105czami uplink, takie jak model T2600G-28TS. Na schemacie poni\u017cej przedstawiono najcz\u0119\u015bciej wyst\u0119puj\u0105ce przyk\u0142ady takich po\u0142\u0105cze\u0144.<\/p>\n

\"Optyczny
\n
\nDo dost\u0119pu do sieci u\u017cytkownika ko\u0144cowego mo\u017ce by\u0107 u\u017cywane w\u0142\u00f3kno optyczne lub skr\u0119tka. Po stronie abonenta w\u0142\u00f3kno optyczne mo\u017ce by\u0107 zako\u0144czone zar\u00f3wno za pomoc\u0105 konwertera medi\u00f3w (konwerter miedzi), na przyk\u0142ad TP-Link MC220L, jak i z u\u017cyciem interfejsu optycznego w routerze SOHO.<\/p>\n

Aby pod\u0142\u0105czy\u0107 bliskiego klienta, mo\u017cna wykorzysta\u0107 cztery porty RJ-45, dzia\u0142aj\u0105ce z pr\u0119dko\u015bciami 10\/100\/1000 Mb\/s. Je\u015bli z jakiego\u015b powodu b\u0119dzie to niewystarczaj\u0105ce, operator mo\u017ce \"skonwertowa\u0107\" optyczne interfejsy switcha na miedziane. Mo\u017cna to zrobi\u0107 za pomoc\u0105 specjalistycznych \u201emiedzianych\u201d SFP z wtykiem RJ-45. Jednak takie rozwi\u0105zanie nie jest typowe.<\/p>\n

Kilka przyk\u0142ad\u00f3w z praktyki<\/h2>\n

\nAby uzyska\u0107 pe\u0142ny obraz, przedstawiamy kilka przyk\u0142ad\u00f3w u\u017cycia switchy modelu T2600G-28SQ.<\/p>\n

Podmoskiewski dostawca \u201eDIVO\u201d<\/a><\/noindex>, kt\u00f3ry opr\u00f3cz internetu oferuje us\u0142ugi telefonii i telewizji kablowej, wykorzystuje T2600G-28SQ na poziomie dost\u0119pu podczas budowy sieci w sektorze prywatnym (domki jednorodzinne i szeregowe). Po stronie klienta pod\u0142\u0105czenie odbywa si\u0119 do router\u00f3w z portem SFP oraz konwerter\u00f3w medi\u00f3w. Na chwil\u0119 obecn\u0105 routery SOHO z portem SFP nie s\u0105 produkowane w naszym kraju seryjnie, ale oczywi\u015bcie my\u015blimy o tym.<\/p>\n

Operator komunikacyjny MKS<\/a><\/noindex> z rejonu Paw\u0142owa-Posad stosuje switcha T2600G-28SQ jako \"ma\u0142\u0105 agregacj\u0119\", u\u017cywaj\u0105c switchy modeli T2600G-28TS i T2500G-10TS na poziomie dost\u0119pu.<\/p>\n

Grupa firm \u201eGwarancja\u201d<\/a><\/noindex> oferuje w po\u0142udniowo-wschodniej cz\u0119\u015bci obwodu moskiewskiego (Ko\u0142omna, Luchowice, Zarajsk, Srebrne Stawy, Jeziora) dost\u0119p do internetu, telewizj\u0119, telefoni\u0119 oraz systemy monitoringu wideo. Przybli\u017cona topologia jest tutaj podobna do tej u\u017cywanej przez MKS: T2600G-28SQ na poziomie agregacji, a T2600G-28TS i T2500G-10TS na poziomie dost\u0119pu.<\/p>\n

Dostawca SKTV<\/a><\/noindex> z Krasnoznamenka dostarcza dost\u0119p do internetu z wykorzystaniem sieci o g\u0142\u0119bokim wnikaniu \u015bwiat\u0142owod\u00f3w. U podstaw znajduje si\u0119 r\u00f3wnie\u017c T2600G-28SQ.<\/p>\n

W kolejnych sekcjach kr\u00f3tko opiszemy niekt\u00f3re mo\u017cliwo\u015bci modelu T2600G-28SQ. Aby nie rozbudowywa\u0107 materia\u0142u, kilka opcji pozostawili\u015bmy na boku: QinQ (VLAN VPN), routing, QoS itd. My\u015blimy, \u017ce b\u0119dziemy mogli do nich wr\u00f3ci\u0107 w jednym z nast\u0119pnych post\u00f3w.<\/p>\n

Mo\u017cliwo\u015bci switcha<\/h2>\n

<\/p>\n

Rezerwacja \u2013 STP<\/h3>\n

\nSTP \u2013 Protok\u00f3\u0142 Spanning Tree. Protok\u00f3\u0142 drzewa rozpinaj\u0105cego jest znany od bardzo dawna, za co nale\u017cy si\u0119 podzi\u0119kowanie szanowanej Radzie Perlman. W nowoczesnych sieciach administratorzy staraj\u0105 si\u0119 jak najbardziej unika\u0107 korzystania z tego protoko\u0142u. Tak, STP ma swoje wady. Bardzo dobrze, je\u015bli istnieje dla niego alternatywa. Jednak, jak to cz\u0119sto bywa, alternatywa tego protoko\u0142u b\u0119dzie w du\u017cej mierze zale\u017cna od dostawcy. Dlatego do dzisiaj Protok\u00f3\u0142 Spanning Tree pozostaje niemal jedynym rozwi\u0105zaniem, kt\u00f3re jest wspierane przez prawie wszystkich producent\u00f3w, a tak\u017ce znane wszystkim administratorom sieci.<\/p>\n

Prze\u0142\u0105cznik TP-Link T2600G-28SQ obs\u0142uguje trzy wersje STP: klasyczny STP (IEEE 802.1D), RSTP (802.1W) i MSTP (802.1S).<\/p>\n

\"Optyczny
\n
\nZ tych opcji dla wi\u0119kszo\u015bci ma\u0142ych dostawc\u00f3w internetowych w Polsce z powodzeniem nadaje si\u0119 zwyk\u0142e RSTP, kt\u00f3re ma jedno niezaprzeczalne zalet\u0119 nad klasyczn\u0105 wersj\u0105 \u2014 znacznie kr\u00f3tszy czas zbiegu.<\/p>\n

Najbardziej elastycznym protoko\u0142em dzisiaj jest protok\u00f3\u0142 MSTP, kt\u00f3ry wspiera sieci wirtualne (VLAN) i dopuszcza kilka r\u00f3\u017cnych drzew, co pozwala wykorzysta\u0107 wszystkie dost\u0119pne \u015bcie\u017cki zapasowe. Administrator tworzy kilka r\u00f3\u017cnych instancji drzewa (do o\u015bmiu), z kt\u00f3rych ka\u017cda obs\u0142uguje okre\u015blony zestaw sieci wirtualnych.<\/p>\n

\"Optyczny
\n
\n\"Optyczny
\n
\n\"Optyczny
\n\"Optyczny
\n
\nSzczeg\u00f3\u0142y MSTP<\/b>Pocz\u0105tkuj\u0105cy administratorzy przy korzystaniu z MSTP musz\u0105 by\u0107 bardzo ostro\u017cni. Jest to zwi\u0105zane z tym, \u017ce zachowanie protoko\u0142u wewn\u0105trz regionu i mi\u0119dzy regionami si\u0119 r\u00f3\u017cni. Dlatego przy konfigurowaniu prze\u0142\u0105cznik\u00f3w warto uwa\u017ca\u0107, aby pozosta\u0107 w ramach jednego regionu.<\/p>\n

\"Optyczny
\n
\nCzym zatem jest ten nieprzychylny region? Region w terminologii MSTP to zestaw po\u0142\u0105czonych ze sob\u0105 prze\u0142\u0105cznik\u00f3w, kt\u00f3re maj\u0105 takie same cechy: nazw\u0119 regionu, numer rewizji oraz rozdzia\u0142 sieci wirtualnych (VLAN) mi\u0119dzy instancjami protoko\u0142u.<\/p>\n

Oczywi\u015bcie protok\u00f3\u0142 Spanning Tree (ka\u017cdej wersji) pozwala nie tylko walczy\u0107 z p\u0119tlami, kt\u00f3re powstaj\u0105 podczas \u0142\u0105czenia kana\u0142\u00f3w zapasowych, ale tak\u017ce chroni\u0107 przed b\u0142\u0119dami w kablowaniu, gdy in\u017cynier celowo lub nieumy\u015blnie \u0142\u0105czy niew\u0142a\u015bciwe porty, tworz\u0105c w ten spos\u00f3b p\u0119tl\u0119.<\/p>\n

Bardziej do\u015bwiadczeni administratorzy sieci preferuj\u0105 korzystanie z r\u00f3\u017cnych dodatkowych opcji, aby chroni\u0107 protok\u00f3\u0142 STP przed atakami lub skomplikowanymi awariami. Model T2600G-28SQ oferuje szereg takich mo\u017cliwo\u015bci: Loop Protect, Root Protect, TC Guard, BPDU Protect i BPDU Filter.<\/p>\n

\"Optyczny
\n
\nPoprawne korzystanie z powy\u017cszych opcji w po\u0142\u0105czeniu z innymi obs\u0142ugiwanymi mechanizmami ochrony pozwoli stabilizowa\u0107 lokaln\u0105 sie\u0107 i uczyni\u0107 j\u0105 bardziej przewidywaln\u0105.<\/p>\n

Rezerwacja \u2013 LAG<\/h3>\n

\nLAG \u2013 Link Aggregation Group. To technologia, kt\u00f3ra pozwala po\u0142\u0105czy\u0107 kilka fizycznych kana\u0142\u00f3w w jeden logiczny. Wszystkie inne protoko\u0142y przestaj\u0105 u\u017cywa\u0107 fizycznych kana\u0142\u00f3w wchodz\u0105cych w sk\u0142ad LAG oddzielnie i zaczynaj\u0105 \"widzie\u0107\" jeden logiczny interfejs. Przyk\u0142adem takiego protoko\u0142u jest STP.<\/p>\n

\"Optyczny
\n
\nR\u00f3wnowa\u017cenie ruchu u\u017cytkownik\u00f3w mi\u0119dzy fizycznymi kana\u0142ami wewn\u0105trz logicznego odbywa si\u0119 na podstawie sumy kontrolnej. Do jej obliczenia mog\u0105 by\u0107 wykorzystywane adresy MAC nadawcy, odbiorcy, albo ich para; a tak\u017ce adresy IP nadawcy, odbiorcy, albo ich para. Informacje protoko\u0142\u00f3w czwartego poziomu (porty TCP\/UDP) nie s\u0105 brane pod uwag\u0119.<\/p>\n

Prze\u0142\u0105cznik T2600G-28SQ obs\u0142uguje statyczne i dynamiczne LAG.<\/p>\n

\"Optyczny
\n
\n\"Optyczny
\n
\nDo uzgodnienia parametr\u00f3w pracy dynamicznej grupy wykorzystuje si\u0119 protok\u00f3\u0142 LACP.<\/p>\n

Bezpiecze\u0144stwo \u2013 listy dost\u0119pu (ACL)<\/h3>\n

\nNasz prze\u0142\u0105cznik T2600G-28SQ pozwala filtrowa\u0107 ruch u\u017cytkownik\u00f3w za pomoc\u0105 list dost\u0119pu (ACL \u2013 Access Control List).<\/p>\n

Obs\u0142ugiwane listy dost\u0119pu mog\u0105 by\u0107 kilku r\u00f3\u017cnych typ\u00f3w: MAC i IP (IPv4\/IPv6), po\u0142\u0105czone, a tak\u017ce do realizacji filtracji tre\u015bci. Liczba obs\u0142ugiwanych list dost\u0119pu ka\u017cdego typu zale\u017cy od u\u017cywanego aktualnie szablonu SDM, kt\u00f3ry opisali\u015bmy w innym rozdziale.<\/p>\n

\"Optyczny
\n
\nOperator mo\u017ce wykorzysta\u0107 t\u0119 opcj\u0119 do blokowania r\u00f3\u017cnorodnego niechcianego ruchu w sieci. Przyk\u0142adem takiego ruchu mog\u0105 by\u0107 pakiety IPv6 (za pomoc\u0105 pola EtherType), je\u015bli odpowiednia us\u0142uga nie jest \u015bwiadczona; lub blokowa\u0107 SMB na porcie 445. W sieci z statycznym adresowaniem DHCP\/BOOTP ruch nie jest wymagany, dlatego za pomoc\u0105 ACL administrator mo\u017ce filtrowa\u0107 datagramy UDP na portach 67 i 68. Blokowa\u0107 lokalny ruch IPoE r\u00f3wnie\u017c mo\u017cna za pomoc\u0105 ACL. Taka blokada mo\u017ce by\u0107 potrzebna w sieciach operator\u00f3w stosuj\u0105cych PPPoE.<\/p>\n

Proces korzystania z list dost\u0119pu jest niezwykle prosty. Po utworzeniu samej listy, nale\u017cy doda\u0107 do niej odpowiedni\u0105 liczb\u0119 wpis\u00f3w, kt\u00f3rych typ zale\u017cy bezpo\u015brednio od konfigurowanej listy.<\/p>\n

Konfiguracja list dost\u0119pu<\/b>\"Optyczny
\n\"Optyczny
\n\"Optyczny
\n\"Optyczny
\n\"Optyczny
\n\"Optyczny
\n
\nWarto zauwa\u017cy\u0107, \u017ce listy dost\u0119pu mog\u0105 wykonywa\u0107 nie tylko standardowe operacje zezwalaj\u0105ce lub zakazuj\u0105ce na przej\u015bcie ruchu, ale tak\u017ce zajmowa\u0107 si\u0119 jego przekierowaniem, mirroringiem, a tak\u017ce wykonywa\u0107 jego oznakowanie lub ogranicza\u0107 go pr\u0119dko\u015bciowo.
\nPo utworzeniu wszystkich niezb\u0119dnych ACL administrator mo\u017ce je zainstalowa\u0107. Dozwolone jest do\u0142\u0105czenie listy dost\u0119pu zar\u00f3wno do bezpo\u015bredniego portu fizycznego, jak i do okre\u015blonej sieci wirtualnej.<\/p>\n

\"Optyczny
\n<\/p>\n

Bezpiecze\u0144stwo \u2013 liczba adres\u00f3w MAC<\/h3>\n

\nCzasami operatorzy maj\u0105 potrzeb\u0119 ograniczenia liczby adres\u00f3w MAC, kt\u00f3re prze\u0142\u0105cznik zapami\u0119ta na okre\u015blonym porcie. Listy dost\u0119pu pozwalaj\u0105 osi\u0105gn\u0105\u0107 ten efekt, ale wymagaj\u0105 jednocze\u015bnie wyra\u017anego wskazania samych adres\u00f3w MAC. Je\u017celi jednak nale\u017cy jedynie ograniczy\u0107 liczb\u0119 adres\u00f3w kana\u0142owych, ale nie wskazywa\u0107 ich bezpo\u015brednio, z pomoc\u0105 przyjdzie bezpiecze\u0144stwo portu.<\/p>\n

\"Optyczny
\n
\nTakie ograniczenie mo\u017ce by\u0107 konieczne, na przyk\u0142ad, w celu ochrony przed pod\u0142\u0105czeniem ca\u0142ej lokalnej sieci do jednego interfejsu prze\u0142\u0105cznika dostawcy. Nale\u017cy r\u00f3wnie\u017c zauwa\u017cy\u0107, \u017ce mamy tutaj na my\u015bli po\u0142\u0105czenie prze\u0142\u0105cznikowe, poniewa\u017c przy po\u0142\u0105czeniu za pomoc\u0105 routera po stronie klienta T2600G-28SQ zapami\u0119ta tylko jeden adres \u2013 ten, kt\u00f3ry nale\u017cy do portu WAN klienta routera.<\/p>\n

Istnieje ca\u0142a klasa atak\u00f3w skierowanych przeciwko tabeli prze\u0142\u0105czania. Mo\u017ce to by\u0107 zar\u00f3wno przepe\u0142nienie tabeli, jak i MAC-spoofing. Opcja zabezpiecze\u0144 port\u00f3w pozwala zabezpieczy\u0107 si\u0119 przed przepe\u0142nieniem tabeli mostu oraz przed atakami, kt\u00f3rych celem jest celowe ponowne nauczenie prze\u0142\u0105cznika i zanieczyszczenie jego tabeli mostu.<\/p>\n

Nie mo\u017cna zapomnie\u0107 o przestarza\u0142ym sprz\u0119cie klienckim. Cz\u0119sto zdarzaj\u0105 si\u0119 sytuacje, gdy \u017ale dzia\u0142aj\u0105ca karta sieciowa komputera lub router generuj\u0105 strumie\u0144 ramek z ca\u0142kowicie losowymi adresami nadawcy i odbiorcy. Taki strumie\u0144 mo\u017ce z \u0142atwo\u015bci\u0105 wyczerpa\u0107 CAM.<\/p>\n

Kolejnym sposobem ograniczenia liczby u\u017cywanych wpis\u00f3w w tabeli mostu jest narz\u0119dzie MAC VLAN Security, dzi\u0119ki kt\u00f3remu administrator mo\u017ce okre\u015bli\u0107 maksymaln\u0105 liczb\u0119 wpis\u00f3w dla danej sieci wirtualnej.<\/p>\n

\"Optyczny
\n
\nOpr\u00f3cz zarz\u0105dzania dynamicznymi wpisami w tabeli prze\u0142\u0105czania, administrator mo\u017ce r\u00f3wnie\u017c tworzy\u0107 wpisy statyczne.<\/p>\n

\"Optyczny
\n
\nMaksymalnie tabela mostu modelu T2600G-28SQ mo\u017ce pomie\u015bci\u0107 do 16K wpis\u00f3w.
\nKolejn\u0105 opcj\u0105, s\u0142u\u017c\u0105c\u0105 do filtrowania przesy\u0142ania ruchu u\u017cytkownik\u00f3w, jest funkcja Port Isolation, kt\u00f3ra pozwala wyra\u017anie okre\u015bli\u0107, w jakim kierunku dozwolona jest retransmisja.<\/p>\n

\"Optyczny
\n
\n\"Optyczny<\/p>\n

Bezpiecze\u0144stwo \u2013 IMPB<\/h3>\n

\nNa rozleg\u0142ych obszarach naszej ojczyzny podej\u015bcie operator\u00f3w sieciowych do kwestii bezpiecze\u0144stwa w sieci r\u00f3\u017cni si\u0119 od ca\u0142kowitego ignorowania a\u017c po maksymalne wykorzystanie wszystkich opcji wspieranych przez sprz\u0119t.<\/p>\n

Funkcje IPv4 IMPB (IP-MAC-Port Binding) oraz IPv6 IMPB umo\u017cliwiaj\u0105 ochron\u0119 przed szerokim zakresem atak\u00f3w zwi\u0105zanych z podmian\u0105 adres\u00f3w IP i MAC przez abonent\u00f3w, poprzez powi\u0105zanie adres\u00f3w IP i MAC sprz\u0119tu klienckiego z interfejsem prze\u0142\u0105cznika dostawcy. Takie powi\u0105zanie mo\u017ce by\u0107 realizowane r\u0119cznie lub przy u\u017cyciu funkcji ARP Scanning i DHCP Snooping.<\/p>\n

Podstawowe ustawienia IMPB<\/b>\"Optyczny
\n
\n\"Optyczny
\n
\n\"Optyczny
\n
\n\"Optyczny
\n
\n\"Optyczny
\n
\n\"Optyczny<\/p>\n

Warto zaznaczy\u0107, \u017ce do ochrony protoko\u0142u DHCP mo\u017cna zastosowa\u0107 specjaln\u0105 funkcj\u0119 \u2013 DHCP Filter.<\/p>\n

\"Optyczny
\n
\n\"Optyczny
\n
\nZa pomoc\u0105 tej funkcji administrator sieci mo\u017ce r\u0119cznie wskaza\u0107 te interfejsy, do kt\u00f3rych pod\u0142\u0105czone s\u0105 prawdziwe serwery DHCP. W ten spos\u00f3b fa\u0142szywe serwery DHCP nie b\u0119d\u0105 mog\u0142y wnikn\u0105\u0107 w proces negocjowania parametr\u00f3w IP.<\/p>\n

Bezpiecze\u0144stwo \u2013 DoS Defend<\/h3>\n

\nRozwa\u017cany model pozwala chroni\u0107 u\u017cytkownik\u00f3w przed wieloma znanymi i powszechnie wyst\u0119puj\u0105cymi wcze\u015bniej atakami DoS.<\/p>\n

\"Optyczny
\n
\nWi\u0119kszo\u015b\u0107 z wymienionych atak\u00f3w nie stanowi ju\u017c zagro\u017cenia dla urz\u0105dze\u0144 z nowoczesnymi systemami operacyjnymi, jednak w naszych sieciach mog\u0105 nadal wyst\u0119powa\u0107 takie, dla kt\u00f3rych ostatnia aktualizacja oprogramowania by\u0142a przeprowadzona wiele lat temu.<\/p>\n

Wsparcie dla DHCP<\/h3>\n

\nPrze\u0142\u0105cznik TP-Link T2600G-28SQ mo\u017ce pe\u0142ni\u0107 zar\u00f3wno rol\u0119 serwera DHCP, jak i relay'a, a tak\u017ce wykonywa\u0107 r\u00f3\u017cnorodn\u0105 filtracj\u0119 komunikat\u00f3w DHCP, je\u015bli jako serwer dzia\u0142a inne urz\u0105dzenie.<\/p>\n

Najprostszy spos\u00f3b na dostarczenie u\u017cytkownikom niezb\u0119dnych do pracy parametr\u00f3w IP to wykorzystanie wbudowanego w prze\u0142\u0105cznik serwera DHCP. Podstawowe parametry mo\u017cna ju\u017c przekaza\u0107 abonentom przy jego pomocy.<\/p>\n

\"Optyczny
\n
\n\"Optyczny
\n
\n\"Optyczny
\n
\nPod\u0142\u0105czyli\u015bmy nasz router SOHO Archer C6 do jednego z interfejs\u00f3w prze\u0142\u0105cznika i upewnili\u015bmy si\u0119 o pomy\u015blnym uzyskaniu adresu przez urz\u0105dzenie klienckie.<\/p>\n

Wygl\u0105da to tak<\/b>\"Optyczny
\n
\n\"Optyczny
\n
\nWbudowany w prze\u0142\u0105cznik serwer DHCP to chyba nie najbardziej skalowalne i elastyczne rozwi\u0105zanie: brak obs\u0142ugi niestandardowych opcji, brak powi\u0105zania z IPAM. Je\u015bli operator potrzebuje wi\u0119cej kontroli nad procesem przydzielania adres\u00f3w IP, to u\u017cyty zostanie jaki\u015b dedykowany serwer DHCP.<\/p>\n

T2600G-28SQ pozwala przypisa\u0107 dla ka\u017cdej u\u017cytkowniczej podsieci oddzielny dedykowany serwer DHCP, na kt\u00f3ry b\u0119d\u0105 przekierowywane komunikaty omawianego protoko\u0142u. Wyb\u00f3r podsieci odbywa si\u0119 poprzez wskazanie odpowiedniego interfejsu L3: VLAN (SVI), routed port lub port-channel.<\/p>\n

\"Optyczny
\n
\n\"Optyczny
\n
\nAby sprawdzi\u0107 dzia\u0142anie relay'a, skonfigurowali\u015bmy oddzielny router innego producenta do pracy w roli serwera DHCP, kt\u00f3rego ustawienia przedstawione s\u0105 poni\u017cej.<\/p>\n

R1#sho run | s pool\nip dhcp pool test\n  network 192.168.0.0 255.255.255.0\n  default-router 192.168.0.1\n  dns-server 8.8.8.8<\/code><\/pre>\n
\nRouter kliencki ponownie pomy\u015blnie otrzyma\u0142 adres IP.<\/p>\n
R1#sho ip dhcp binding\nBindings from all pools not associated with VRF:\nIP address          Client-ID\/           Lease expiration        Type\n                    Hardware address\/\n                    User name\n192.168.0.2         010c.8063.f0c2.6a    May 24 2019 05:07 PM    Automatic<\/code><\/pre>\n
\nPod spoilerem \u2014 zawarto\u015b\u0107 przechwyconego pakietu mi\u0119dzy prze\u0142\u0105cznikiem a dedykowanym serwerem DHCP.<\/p>\n
Zawarto\u015b\u0107 pakietu<\/b>\"Optyczny
\nNie mo\u017cna nie zauwa\u017cy\u0107 wsparcia dla opcji 82 ze strony prze\u0142\u0105cznika. Po jej w\u0142\u0105czeniu prze\u0142\u0105cznik b\u0119dzie dodawa\u0142 informacje o interfejsie u\u017cytkownika, z kt\u00f3rego otrzymano komunikat DHCP Discover. Ponadto model T2600G-28SQ pozwala skonfigurowa\u0107 polityk\u0119 przetwarzania dodawanych informacji przy wstawieniu opcji nr 82. Wsparcie dla tej opcji mo\u017ce by\u0107 przydatne w sytuacji, gdy abonent musi otrzyma\u0107 ten sam adres IP, niezale\u017cnie od tego, jaki identyfikator klienta (client-id) zg\u0142asza.
\nNa poni\u017cszym rysunku przedstawiono komunikat DHCP Discover (przes\u0142any przez rel\u00e9) z dodan\u0105 opcj\u0105 nr 82.<\/p>\n
Komunikat z opcj\u0105 nr 82<\/b>\"Optyczny
\nOczywi\u015bcie, opcji nr 82 mo\u017cna zarz\u0105dza\u0107 r\u00f3wnie\u017c bez pe\u0142nej konfiguracji rel\u00e9 DHCP, odpowiednie ustawienia przedstawione s\u0105 w podpunkcie \u201eDHCP L2 Relay\u201d.<\/p>\n
\"Optyczny
\n
\n\"Optyczny
\n
\nA teraz zmie\u0144my ustawienia serwera DHCP, aby zademonstrowa\u0107 dzia\u0142anie opcji nr 82.<\/p>\n
R1#sho run | s dhcp\nip dhcp pool test\n\u00a0network 192.168.0.0 255.255.255.0\n\u00a0default-router 192.168.0.1\n\u00a0dns-server 8.8.8.8\n\u00a0class option82_test\n\u00a0\u00a0address range 192.168.0.222 192.168.0.222\nip dhcp class option82_test\n\u00a0relay agent information\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0relay-information hex 010e010c74702d6c696e6b5f746573740208000668ff7b66f675\nR1#sho ip dhcp binding\nBindings from all pools not associated with VRF:\nIP address\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 Client-ID\/          \u00a0 \u00a0 Lease expiration        Type\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Hardware address\/\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0User name\n192.168.0.222 \u00a0 \u00a0 \u00a0 010c.8063.f0c2.6a   \u00a0 \u00a0 May 24 2019 05:33 PM    Automatic<\/code><\/pre>\n
Tak to mniej wi\u0119cej wygl\u0105da<\/b>\"Optyczny
\nFunkcja DHCP interface relay b\u0119dzie pomocna w sytuacji, gdy na prze\u0142\u0105czniku nie tylko znajduje si\u0119 interfejs L3 po\u0142\u0105czony z okre\u015blon\u0105 sieci\u0105, ale te\u017c ten interfejs ma przypisany adres IP. W przypadku braku adresu na takim interfejsie z pomoc\u0105 przychodzi funkcja DHCP VLAN relay. Informacje o podsieci w tym przypadku s\u0105 pobierane z interfejsu domy\u015blnego, co oznacza, \u017ce przestrzenie adresowe w wielu wirtualnych sieciach b\u0119d\u0105 identyczne (zachodz\u0105ce na siebie).<\/p>\n
\"Optyczny
\n
\nCz\u0119sto operatorzy r\u00f3wnie\u017c chc\u0105 zabezpieczy\u0107 abonent\u00f3w przed przypadkowym lub z\u0142o\u015bliwym w\u0142\u0105czeniem serwera DHCP na sprz\u0119cie klienta. Dyskusj\u0119 na ten temat postanowili\u015bmy przenie\u015b\u0107 do jednego z rozdzia\u0142\u00f3w po\u015bwi\u0119conych kwestiom bezpiecze\u0144stwa.<\/p>\n
IEEE 802.1X<\/h3>\n
\nJednym ze sposob\u00f3w uwierzytelniania u\u017cytkownik\u00f3w w sieci jest wykorzystanie protoko\u0142u IEEE 802.1X. Popularno\u015b\u0107 tego protoko\u0142u w sieciach operator\u00f3w telekomunikacyjnych w Polsce ju\u017c maleje, ale nadal jest stosowany g\u0142\u00f3wnie w lokalnych sieciach du\u017cych firm do uwierzytelniania wewn\u0119trznych u\u017cytkownik\u00f3w organizacji. W prze\u0142\u0105czniku T2600G-28SQ znajduje si\u0119 wsparcie dla 802.1X, wi\u0119c w razie potrzeby dostawca mo\u017ce \u0142atwo go wykorzysta\u0107.<\/p>\n
Do dzia\u0142ania protoko\u0142u IEEE 802.1X potrzebne s\u0105 trzy podmioty: sprz\u0119t kliencki (supplicant), prze\u0142\u0105cznik dost\u0119pu dostawcy (authenticator) oraz serwery uwierzytelniania (zazwyczaj serwery RADIUS).<\/p>\n
\"Optyczny
\n
\nPodstawowa konfiguracja po stronie operatora jest niezwykle prosta. Wystarczy wskaza\u0107 adres IP u\u017cywanego serwera RADIUS, na kt\u00f3rym b\u0119dzie przechowywana baza danych u\u017cytkownik\u00f3w, a tak\u017ce wybra\u0107 interfejsy, dla kt\u00f3rych wymagana jest autoryzacja.<\/p>\n
Podstawowa konfiguracja 802.1X<\/b>\"Optyczny
\n\"Optyczny
\n\"Optyczny
\n\"Optyczny
\n\"Optyczny
\n
\nPo stronie klienta wymagana jest r\u00f3wnie\u017c niewielka konfiguracja. Wszystkie nowoczesne systemy operacyjne ju\u017c zawieraj\u0105 niezb\u0119dne oprogramowanie. W razie potrzeby mo\u017cna r\u00f3wnie\u017c zainstalowa\u0107 i u\u017cywa\u0107 aplikacji TP-Link 802.1x Client \u2013 aplikacji umo\u017cliwiaj\u0105cej uwierzytelnienie klienta w sieci.<\/p>\n
Podczas pod\u0142\u0105czania komputera u\u017cytkownika bezpo\u015brednio do sieci dostawcy, nale\u017cy aktywowa\u0107 ustawienia uwierzytelniania dla karty sieciowej, kt\u00f3ra jest u\u017cywana do po\u0142\u0105czenia.<\/p>\n
\"Optyczny
\n
\n\"Optyczny
\n
\n\"Optyczny
\n
\nJednak obecnie do sieci operatora najcz\u0119\u015bciej nie jest pod\u0142\u0105czony bezpo\u015brednio komputer u\u017cytkownika, lecz pewien router SOHO, kt\u00f3ry zapewnia funkcjonowanie lokalnej sieci abonenta (zar\u00f3wno segment\u00f3w przewodowych, jak i bezprzewodowych). W takim przypadku wszystkie ustawienia protoko\u0142u 802.1X musz\u0105 by\u0107 wykonywane bezpo\u015brednio na routerze.<\/p>\n
\"Optyczny
\n
\nUwa\u017camy, \u017ce w sieciach operator\u00f3w ten spos\u00f3b uwierzytelniania jest nies\u0142usznie zapomniany. Tak, sztywne przypisanie abonenta do portu prze\u0142\u0105cznika mo\u017ce by\u0107 prostszym rozwi\u0105zaniem z punktu widzenia konfiguracji sprz\u0119tu u\u017cytkownika. Jednak je\u015bli konieczne jest u\u017cycie loginu i has\u0142a, to 802.1X b\u0119dzie mniej obci\u0105\u017caj\u0105cym protoko\u0142em w por\u00f3wnaniu z wykorzystywanymi po\u0142\u0105czeniami opartymi na tunelach PPTP\/L2TP\/PPPoE.<\/p>\n
PPPoE ID Insertion<\/h3>\n
\nWielu u\u017cytkownik\u00f3w, nie tylko w naszym kraju, ale i na ca\u0142ym \u015bwiecie nadal woli u\u017cywa\u0107 maksymalnie prostych hase\u0142. Niestety, przypadki kradzie\u017cy danych logowania nie s\u0105 rzadko\u015bci\u0105. Je\u015bli operator w swojej sieci u\u017cywa protoko\u0142u PPPoE do uwierzytelniania u\u017cytkownik\u00f3w, prze\u0142\u0105cznik TP-Link T2600G-28SQ pomo\u017ce rozwi\u0105za\u0107 problem zwi\u0105zany z wyciekiem danych logowania. Osi\u0105ga si\u0119 to poprzez dodanie specjalnej etykiety do wiadomo\u015bci PPPoE Active Discovery. W ten spos\u00f3b dostawca mo\u017ce uwierzytelnia\u0107 abonenta nie tylko na podstawie loginu i has\u0142a, ale tak\u017ce dodatkowych danych. Takimi dodatkowymi danymi s\u0105 adres MAC urz\u0105dzenia klienckiego oraz interfejs prze\u0142\u0105cznika, do kt\u00f3rego jest pod\u0142\u0105czone.<\/p>\n
\"Optyczny
\n
\nNiekt\u00f3rzy operatorzy z zasady chc\u0105 uniemo\u017cliwi\u0107 abonentowi (para login i has\u0142o) mo\u017cliwo\u015b\u0107 poruszania si\u0119 po sieci. Funkcja PPPoE ID Insertion pomo\u017ce i w tym przypadku.<\/p>\n
IGMP<\/h3>\n
\nProtok\u00f3\u0142 IGMP (Internet Group Management Protocol) istnieje ju\u017c od kilku dekad. Jego popularno\u015b\u0107 jest ca\u0142kowicie zrozumia\u0142a i \u0142atwa do wyja\u015bnienia. Jednak w interakcji IGMP bior\u0105 udzia\u0142 dwie strony: komputer u\u017cytkownika (lub inne urz\u0105dzenie, na przyk\u0142ad STB) oraz router IP, kt\u00f3ry obs\u0142uguje okre\u015blony segment sieci. Prze\u0142\u0105czniki w \u017caden spos\u00f3b nie uczestnicz\u0105 w tej wymianie. Jednak ostatnie stwierdzenie nie jest ca\u0142kiem prawdziwe. W nowoczesnych sieciach jest to zupe\u0142nie nieprawdziwe. Wsparcie protoko\u0142u IGMP ze strony prze\u0142\u0105cznik\u00f3w jest niezb\u0119dne dla optymalizacji przesy\u0142ania ruchu grupowego. Nas\u0142uchuj\u0105c ruchu u\u017cytkownika, prze\u0142\u0105cznik wykrywa w nim wiadomo\u015bci IGMP Report, dzi\u0119ki kt\u00f3rym okre\u015bla porty do przesy\u0142ania ruchu grupowego. Opisane opcje nazywaj\u0105 si\u0119 IGMP Snooping.<\/p>\n
\"Optyczny
\n
\n\"Optyczny
\n
\n\"Optyczny
\n
\nWsparcie protoko\u0142u IGMP mo\u017ce by\u0107 u\u017cywane nie tylko do optymalizacji ruchu jako takiego, ale tak\u017ce do identyfikacji abonent\u00f3w, kt\u00f3rym mo\u017ce by\u0107 \u015bwiadczona okre\u015blona us\u0142uga, na przyk\u0142ad IPTV. Osi\u0105gni\u0119cie zamierzonego celu mo\u017cna zrealizowa\u0107 zar\u00f3wno przez r\u0119czne skonfigurowanie parametr\u00f3w filtrowania, jak i poprzez wykorzystanie uwierzytelniania.<\/p>\n
\"Optyczny
\n
\n\"Optyczny
\n\"Optyczny
\n
\nWsparcie ruchu grupowego na prze\u0142\u0105cznikach TP-Link jest zrealizowane do\u015b\u0107 elastycznie. Wszystkie parametry mog\u0105 by\u0107 na przyk\u0142ad ustalone dla ka\u017cdej wirtualnej sieci z osobna.<\/p>\n
\"Optyczny
\n
\n\"Optyczny
\n
\nJe\u015bli do jednego interfejsu routera pod\u0142\u0105czonych jest kilka podsieci, w kt\u00f3rych znajduj\u0105 si\u0119 odbiorcy ruchu grupowego, router ten b\u0119dzie zmuszony wys\u0142a\u0107 kilka kopii pakiet\u00f3w przez ten interfejs (po jednej dla ka\u017cdej wirtualnej sieci). 
\nOptymalizacja procedury przesy\u0142ania ruchu grupowego w tym przypadku mo\u017ce odbywa\u0107 si\u0119 za pomoc\u0105 technologii MVR \u2013 Multicast VLAN Registration.<\/p>\n
\"Optyczny
\n
\n\"Optyczny
\n
\nSedno rozwi\u0105zania polega na utworzeniu jednej wirtualnej sieci, kt\u00f3ra \u0142\u0105czy wszystkich odbiorc\u00f3w. Jednak ta wirtualna sie\u0107 jest u\u017cywana wy\u0142\u0105cznie do ruchu grupowego. Takie podej\u015bcie umo\u017cliwia routerowi wysy\u0142anie tylko jednej kopii ruchu grupowego przez interfejs.<\/p>\n
DDM, OAM i DLDP<\/h3>\n
\nDDM \u2013 Digital Diagnostic Monitoring. W trakcie eksploatacji modu\u0142\u00f3w optycznych cz\u0119sto zachodzi potrzeba monitorowania stanu samego modu\u0142u, a tak\u017ce optycznego kana\u0142u, do kt\u00f3rego jest pod\u0142\u0105czony. W tej sytuacji pomo\u017ce funkcja DDM. Dzi\u0119ki niej in\u017cynierowie operatora mog\u0105 \u015bledzi\u0107 temperatur\u0119 ka\u017cdego wspieraj\u0105cego t\u0119 funkcjonalno\u015b\u0107 modu\u0142u, napi\u0119cie na nim i pr\u0105d, a tak\u017ce moce wysy\u0142anych i odbieranych sygna\u0142\u00f3w optycznych.<\/p>\n
\"Optyczny
\n
\nUstawienie prog\u00f3w dla opisanych wcze\u015bniej parametr\u00f3w pozwoli generowa\u0107 zdarzenie w przypadku ich przekroczenia.<\/p>\n
Konfiguracja prog\u00f3w dzia\u0142ania DDM<\/b>\"Optyczny
\n\"Optyczny
\n\"Optyczny
\n
\nOczywi\u015bcie administrator mo\u017ce przegl\u0105da\u0107 bie\u017c\u0105ce warto\u015bci wskazanych parametr\u00f3w.<\/p>\n
\"Optyczny
\n
\nPrze\u0142\u0105cznik TP-Link T2600G-28SQ ma aktywny system ch\u0142odzenia powietrzem. Co wi\u0119cej, nigdy nie mieli\u015bmy do czynienia z przegrzewaniem modu\u0142\u00f3w SFP w naszych prze\u0142\u0105cznikach, zwi\u0105zanym z g\u0119sto\u015bci\u0105 port\u00f3w. Jednak je\u015bli czysto teoretycznie dopu\u015bci\u0107 tak\u0105 mo\u017cliwo\u015b\u0107 (na przyk\u0142ad z powodu jakiego\u015b problemu wewn\u0105trz modu\u0142u SFP), administrator zostanie natychmiast powiadomiony o potencjalnie niebezpiecznej sytuacji za pomoc\u0105 DDM. Niebezpiecze\u0144stwo dotyczy oczywi\u015bcie nie samego prze\u0142\u0105cznika, lecz diody\/lazera wewn\u0105trz SFP, poniewa\u017c wraz ze wzrostem jego temperatury mo\u017ce dochodzi\u0107 do degradacji mocy emitowanego sygna\u0142u optycznego, co prowadzi do obni\u017cenia bud\u017cetu optycznego.<\/p>\n
Warto r\u00f3wnie\u017c zauwa\u017cy\u0107, \u017ce prze\u0142\u0105czniki TP-Link nie maj\u0105 \u201efunkcji\u201d vendor lock, co oznacza, \u017ce wspierane s\u0105 wszelkie kompatybilne modu\u0142y SFP, co oczywi\u015bcie b\u0119dzie bardzo wygodne dla administrator\u00f3w sieci.<\/p>\n
OAM \u2014 Operacja, Administracja i Utrzymanie (IEEE 802.3ah). OAM to protok\u00f3\u0142 drugiego poziomu modelu OSI, s\u0142u\u017c\u0105cy do monitorowania i diagnozowania usterek w sieciach Ethernet. Dzi\u0119ki temu protoko\u0142owi switch mo\u017ce \u015bledzi\u0107 wydajno\u015b\u0107 konkretnego po\u0142\u0105czenia i b\u0142\u0119dy, generowa\u0107 powiadomienia, aby administrator sieci m\u00f3g\u0142 skuteczniej zarz\u0105dza\u0107 sieci\u0105.<\/p>\n
Podstawowa konfiguracja OAM<\/b>\"Optyczny
\n\"Optyczny
\n\"Optyczny
\n\"Optyczny
\n
\nSzczeg\u00f3\u0142y dzia\u0142ania OAM<\/b>Dwa s\u0105siednie urz\u0105dzenia, kt\u00f3re wspieraj\u0105 OAM, wymieniaj\u0105 si\u0119 okresowo wiadomo\u015bciami za pomoc\u0105 OAMPDU, kt\u00f3re wyst\u0119puj\u0105 w trzech typach: Informacyjne, Powiadomienie o zdarzeniu oraz Kontrola p\u0119tli. Dzi\u0119ki informacyjnym OAMPDU s\u0105siednie switche przesy\u0142aj\u0105 sobie wzajemnie informacje statystyczne oraz dane okre\u015blone przez administratora. Ten typ wiadomo\u015bci jest r\u00f3wnie\u017c u\u017cywany do utrzymywania po\u0142\u0105czenia przez protok\u00f3\u0142 OAM. Wiadomo\u015bci Powiadomienie o zdarzeniu s\u0105 wykorzystywane przez funkcj\u0119 monitorowania po\u0142\u0105czenia do informowania drugiej strony o wyst\u0105pieniu awarii. Wiadomo\u015bci Kontrola p\u0119tli s\u0142u\u017c\u0105 do okre\u015blania p\u0119tli na \u0142\u0105czu.<\/p>\n
Poni\u017cej wymieniamy g\u0142\u00f3wne mo\u017cliwo\u015bci, jakie oferuje protok\u00f3\u0142 OAM:<\/p>\n