{"id":36454,"date":"2019-10-31T22:11:44","date_gmt":"2019-10-31T19:11:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor\/"},"modified":"2019-10-31T22:11:44","modified_gmt":"2019-10-31T19:11:44","slug":"opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/opticheskij-kommutator-tp-link-t2600g-28sq-dlya-servis-provajderov-podrobnyj-obzor","title":{"rendered":"Comutatorul optic TP-Link T2600G-28SQ pentru furnizorii de servicii: recenzie detaliat\u0103\u00a0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Extinderea ora\u0219elor mari \u0219i formarea aglomer\u0103rilor este una dintre tendin\u021bele importante ale dezvolt\u0103rii sociale de ast\u0103zi. Doar Moscova, \u00een 2019, ar trebui s\u0103 se extind\u0103 cu 4 milioane de metri p\u0103tra\u021bi de locuin\u021be (f\u0103r\u0103 a lua \u00een calcul cele 15 localit\u0103\u021bi care se vor al\u0103tura \u00een 2020). Pe tot acest teritoriu vast, operatorii de telecomunica\u021bii vor trebui s\u0103 ofere utilizatorilor acces la internet. Acestea pot fi at\u00e2t cartiere urbane cu construc\u021bii dense, c\u00e2t \u0219i a\u0219ez\u0103ri de tip parcelat. Cerin\u021bele pentru echipamente variaz\u0103 \u00een func\u021bie de aceste situa\u021bii. Am analizat fiecare dintre aceste scenarii \u0219i am creat un model universal de comutator optic \u2013 T2600G-28SQ. \u00cen aceast\u0103 postare, vom explora \u00een detaliu func\u021bionalit\u0103\u021bile dispozitivului care vor interesa operatorii de telecomunica\u021bii din \u00eentreaga Rusie.<\/p>\n

\"Comutatorul
\n<\/a><\/noindex><\/p>\n

Loca\u021bie \u00een re\u021bea<\/h2>\n

\nComutatorul T2600G-28SQ este destinat at\u00e2t pentru func\u021bionarea la nivelul de acces \u00een re\u021bea, c\u00e2t \u0219i pentru agregarea leg\u0103turilor de la alte comutatoare de acces. Este un comutator de nivel 2 care realizeaz\u0103 comutarea \u0219i rutare static\u0103. Dac\u0103 operatorul are at\u00e2t agregare, c\u00e2t \u0219i acces comutabil (rutare doar \u00een nucleul re\u021belei), T2600G-28SQ se va integra \u00een oricare dintre aceste niveluri. \u00cen cazul unei agreg\u0103ri rutabile dinamic, trebuie totu\u0219i s\u0103 se \u021bin\u0103 cont de anumite limit\u0103ri \u00een scenariile de utilizare.<\/p>\n

Modelul T2600G-28SQ este un comutator Ethernet activ complet, f\u0103r\u0103 restric\u021bii suplimentare care apar \u00een cazul tehnologiilor xPON sau similare. De exemplu, f\u0103r\u0103 riscul unei sc\u0103deri bru\u0219te a vitezei cu cre\u0219terea num\u0103rului de utilizatori sau probleme de compatibilitate \u00eentre echipamente de la diferi\u021bi furnizori \u0219i firmware-uri. La interfe\u021bele dispozitivului se pot conecta at\u00e2t utilizatori finali, c\u00e2t \u0219i comutatoare de acces cu uplinks optice, de exemplu, modelul T2600G-28TS. \u00cen schema de mai jos sunt prezentate cele mai comune exemple de astfel de conexiuni.<\/p>\n

\"Comutatorul
\n
\nPentru accesul utilizatorului final la re\u021bea se poate utiliza fibr\u0103 optic\u0103 sau cablu cupru. La partea abonatului, fibra optic\u0103 poate fi terminat\u0103 fie printr-un convertor de mediu (mediaconvertor), de exemplu, TP-Link MC220L; fie folosind o interfa\u021b\u0103 optic\u0103 \u00eentr-un router SOHO.<\/p>\n

Pentru a conecta un client situat aproape, pot fi utilizate patru porturi RJ-45, care func\u021bioneaz\u0103 la viteze de 10\/100\/1000 Mbit\/s. Dac\u0103, din diverse motive, acest lucru se dovede\u0219te a fi insuficient, operatorul poate \u201econverti\u201d interfe\u021bele optice ale switch-ului \u00een cele de cupru. Acest lucru se poate face cu ajutorul SFP-uri specializate, cu conector RJ-45. Totu\u0219i, aceast\u0103 solu\u021bie nu poate fi considerat\u0103 tipic\u0103.<\/p>\n

C\u00e2teva exemple din practic\u0103<\/h2>\n

\nPentru a avea o imagine de ansamblu mai complet\u0103, vom prezenta c\u00e2teva exemple de utilizare a switch-urilor model T2600G-28SQ.<\/p>\n

Provider din suburbiile Moscovei \u201eDIVO\u201d<\/a><\/noindex>, care, pe l\u00e2ng\u0103 internet, ofer\u0103 servicii de telefonie \u0219i televiziune prin cablu, utilizeaz\u0103 T2600G-28SQ la nivelul de acces \u00een construirea re\u021belelor din sectorul privat (case \u0219i townhouse-uri). Din partea clientului, conexiunea se face la routere cu port SFP, precum \u0219i la convertoare de medie. \u00cen prezent, routerele SOHO cu port SFP nu sunt produse \u00een serie la noi, dar, desigur, ne g\u00e2ndim la acest lucru.<\/p>\n

Operatorul de telecomunica\u021bii MKS<\/a><\/noindex> din raionul Pavlovo-Posadski utilizeaz\u0103 switch-uri T2600G-28SQ ca \u201eo mic\u0103 agregare\u201d, folosind la acces switch-uri de modele T2600G-28TS \u0219i T2500G-10TS.<\/p>\n

Grupul de companii \u201eGARANTIA\u201d<\/a><\/noindex> ofer\u0103 \u00een sud-estul regiunii Moscova (Kolomna, Luhovi\u021bi, Zaraisk, Serpukhov, Ozery) acces la internet, TV, telefonie, sisteme de videoconferin\u021b\u0103. Topologia aproximativ\u0103 aici este similar\u0103 cu cea de la MKS: T2600G-28SQ la nivelul agreg\u0103rii, iar T2600G-28TS \u0219i T2500G-10TS la nivelul accesului.<\/p>\n

Providerul SKTV<\/a><\/noindex> din Krasnoznamen\u021bk ofer\u0103 acces la internet printr-o re\u021bea cu penetrare profund\u0103 a fibrei optice. La baza acesteia stau, de asemenea, T2600G-28SQ.<\/p>\n

\u00cen sec\u021biunile urm\u0103toare, vom descrie pe scurt c\u00e2teva posibilit\u0103\u021bi ale modelului T2600G-28SQ. Pentru a nu extinde materialul, am l\u0103sat la o parte unele op\u021biuni: QinQ (VLAN VPN), rutare, QoS etc. Credem c\u0103 ne vom putea \u00eentoarce la ele \u00eentr-unul dintre urm\u0103toarele posturi.<\/p>\n

Func\u021bionalit\u0103\u021bile switch-ului<\/h2>\n

<\/p>\n

Rezervare \u2013 STP<\/h3>\n

\nSTP \u2013 Protocolul Spanning Tree. Protocolul arborelui de leg\u0103tur\u0103 (sau acoperire) este cunoscut de foarte mult timp, datorit\u0103 doamnei Radia Perlman. \u00cen re\u021belele moderne, administratorii \u00eencearc\u0103 s\u0103 evite utilizarea acestui protocol. Da, STP are dezavantajele sale. Este bine s\u0103 existe o alternativ\u0103. Totu\u0219i, a\u0219a cum se \u00eent\u00e2mpl\u0103 adesea, alternativa acestui protocol va depinde mult de furnizor. A\u0219adar, Protocolul Spanning Tree r\u0103m\u00e2ne, \u00een continuare, aproape singura solu\u021bie care este sus\u021binut\u0103 practic de to\u021bi produc\u0103torii \u0219i care este cunoscut\u0103 de to\u021bi administratorii de re\u021bea.<\/p>\n

Switch-ul TP-Link T2600G-28SQ suport\u0103 trei versiuni STP: STP clasic (IEEE 802.1D), RSTP (802.1W) \u0219i MSTP (802.1S).<\/p>\n

\"Comutatorul
\n
\nDintre aceste op\u021biuni, RSTP obi\u0219nuit este potrivit pentru majoritatea micilor furnizori de internet din Rusia, av\u00e2nd un avantaj incontestabil fa\u021b\u0103 de versiunea clasic\u0103 \u2013 un timp de convergen\u021b\u0103 semnificativ mai mic.<\/p>\n

Cel mai flexibil protocol \u00een zilele noastre este MSTP, care suport\u0103 re\u021bele virtuale (VLAN) \u0219i permite mai multe arbori diferi\u021bi, ceea ce permite utilizarea tuturor c\u0103ilor de rezerv\u0103 disponibile. Administratorul creeaz\u0103 mai multe instan\u021be diferite ale arborelui (p\u00e2n\u0103 la opt), fiecare dintre ele deservind un set specific de re\u021bele virtuale.<\/p>\n

\"Comutatorul
\n
\n\"Comutatorul
\n
\n\"Comutatorul
\n\"Comutatorul
\n
\nNuantele MSTP<\/b>Administratorii \u00eencep\u0103tori trebuie s\u0103 fie foarte aten\u021bi c\u00e2nd utilizeaz\u0103 MSTP. Acest lucru se datoreaz\u0103 faptului c\u0103 comportamentul protocolului \u00een interiorul unui domeniu \u0219i \u00eentre domenii difer\u0103. De aceea, atunci c\u00e2nd se configureaz\u0103 switch-urile, este important s\u0103 r\u0103m\u00e2n\u0103 \u00een cadrul unui singur domeniu.<\/p>\n

\"Comutatorul
\n
\nCe este, de fapt, acest vestit domeniu? \u00cen termenii MSTP, un domeniu este un set de switch-uri conectate \u00eentre ele, care au caracteristici comune: numele domeniului, num\u0103rul de revizuire \u0219i distribu\u021bia re\u021belelor virtuale (VLAN) \u00eentre instan\u021bele protocolului.<\/p>\n

Desigur, Protocolul Spanning Tree (indiferent de versiune) permite nu doar combaterea buclelor care apar la conectarea canalelor de rezerv\u0103, ci \u0219i protejarea \u00eempotriva erorilor de cablare, atunci c\u00e2nd un inginer conecteaz\u0103, voit sau din gre\u0219eal\u0103, porturi gre\u0219ite, cre\u00e2nd bucle prin ac\u021biunile sale.<\/p>\n

Administratorii de re\u021bea mai experimenta\u021bi prefer\u0103 s\u0103 foloseasc\u0103 diverse op\u021biuni suplimentare pentru a proteja protocolul STP \u00eempotriva atacurilor sau a situa\u021biilor de urgen\u021b\u0103 complexe. Modelul T2600G-28SQ ofer\u0103 un set complet de astfel de func\u021bionalit\u0103\u021bi: Loop Protect, Root Protect, TC Guard, BPDU Protect \u0219i BPDU Filter.<\/p>\n

\"Comutatorul
\n
\nUtilizarea corect\u0103 a op\u021biunilor men\u021bionate mai sus, \u00eempreun\u0103 cu alte mecanisme de protec\u021bie suportate, va stabiliza re\u021beaua local\u0103 \u0219i o va face mai previzibil\u0103.<\/p>\n

Rezervare \u2013 LAG<\/h3>\n

\nLAG \u2013 Link Aggregation Group. Aceasta este o tehnologie care permite combinarea mai multor canale fizice \u00eentr-unul logic. Toate celelalte protocoale \u00eenceteaz\u0103 s\u0103 utilizeze canalele fizice incluse \u00een LAG separat \u0219i \u00eencep s\u0103 \"vad\u0103\" o singur\u0103 interfa\u021b\u0103 logic\u0103. Un exemplu de astfel de protocol este STP.<\/p>\n

\"Comutatorul
\n
\nDistribu\u021bia traficului utilizatorilor \u00eentre canalele fizice \u00een cadrul logic se realizeaz\u0103 pe baza unui hash. Pentru calculul s\u0103u pot fi utilizate adresele MAC ale trimis\u0103torului, destinatarului, sau perechea acestora; precum \u0219i adresele IP ale trimis\u0103torului, destinatarului, sau perechea acestora. Informa\u021biile protocoalelor de nivel patru (porturile TCP\/UDP) nu sunt luate \u00een considerare.<\/p>\n

Comutatorul T2600G-28SQ suport\u0103 LAG-uri statice \u0219i dinamice.<\/p>\n

\"Comutatorul
\n
\n\"Comutatorul
\n
\nPentru negocierea parametrilor de func\u021bionare a grupului dinamic se utilizeaz\u0103 protocolul LACP.<\/p>\n

Securitate \u2013 liste de acces (ACL)<\/h3>\n

\nComutatorul nostru T2600G-28SQ permite filtrarea traficului utilizatorilor prin intermediul listelor de acces (ACL \u2013 Access Control List).<\/p>\n

Listele de acces suportate pot fi de mai multe tipuri diferite: MAC \u0219i IP (IPv4\/IPv6), combinate, precum \u0219i pentru filtrarea con\u021binutului. Num\u0103rul de liste de acces acceptate pentru fiecare tip depinde de \u0219ablonul SDM utilizat \u00een acel moment, pe care l-am descris \u00een alt\u0103 sec\u021biune.<\/p>\n

\"Comutatorul
\n
\nOperatorul poate utiliza aceast\u0103 op\u021biune pentru a bloca diferite traficul nedorit \u00een re\u021bea. Un exemplu de astfel de trafic poate fi pachetele IPv6 (prin intermediul c\u00e2mpului EtherType), dac\u0103 serviciul corespunz\u0103tor nu este furnizat; sau blocarea SMB prin portul 445. \u00cen re\u021belele cu adresare static\u0103 DHCP\/BOOTP, traficul nu este necesar, astfel c\u0103 administratorul poate filtra datagramele UDP prin porturile 67 \u0219i 68 folosind ACL. De asemenea, traficul local IPoE poate fi interzis prin ACL. O astfel de blocare poate fi solicitat\u0103 \u00een re\u021belele operatorilor care aplic\u0103 PPPoE.<\/p>\n

Procesul de utilizare a listelor de acces este extrem de simplu. Dup\u0103 crearea listei \u00een sine, este necesar s\u0103 se adauge num\u0103rul dorit de \u00eenregistr\u0103ri, tipul c\u0103rora depinde direct de lista configurat\u0103.<\/p>\n

Configurarea listelor de acces<\/b>\"Comutatorul
\n\"Comutatorul
\n\"Comutatorul
\n\"Comutatorul
\n\"Comutatorul
\n\"Comutatorul
\n
\nEste important de men\u021bionat c\u0103 listele de acces pot efectua nu doar opera\u021biuni obi\u0219nuite de permitere sau interzicere a traficului, ci pot \u0219i redirec\u021biona, oglindi \u0219i, de asemenea, pot efectua re-eticheta sau pot limita viteza acestuia.
\nDup\u0103 ce toate ACL-urile necesare au fost create, administratorul poate s\u0103 le instaleze. Este permis\u0103 ata\u0219area listei de acces at\u00e2t la portul fizic direct, c\u00e2t \u0219i la o re\u021bea virtual\u0103 specific\u0103.<\/p>\n

\"Comutatorul
\n<\/p>\n

Securitate \u2013 num\u0103rul de adrese MAC<\/h3>\n

\nUneori, operatorii au nevoie s\u0103 limiteze num\u0103rul de adrese MAC pe care un switch le va \u00eenv\u0103\u021ba pe un anumit port. Listele de acces permit atingerea acestui efect, dar necesit\u0103 specificarea explicit\u0103 a adreselor MAC. Dac\u0103 este necesar\u0103 doar limitarea num\u0103rului de adrese de nivel de leg\u0103tur\u0103, dar f\u0103r\u0103 a le indica \u00een mod explicit, atunci port security va veni \u00een ajutor.<\/p>\n

\"Comutatorul
\n
\nAceast\u0103 limitare poate fi necesar\u0103, de exemplu, pentru a proteja \u00eempotriva conect\u0103rii unei \u00eentregi re\u021bele locale la o singur\u0103 interfa\u021b\u0103 a switch-ului furnizorului. De asemenea, este de men\u021bionat c\u0103 este vorba despre o conexiune comutat\u0103, deoarece, \u00een cazul conect\u0103rii printr-un router de partea clientului, T2600G-28SQ va \u00eenv\u0103\u021ba doar o singur\u0103 adres\u0103 \u2013 aceasta fiind MAC-ul care apar\u021bine portului WAN al routerului client.<\/p>\n

Exist\u0103 o \u00eentreag\u0103 clas\u0103 de atacuri care vizeaz\u0103 tabela de comutare. Acestea pot include fie supraaglomerarea tabelei, fie spoofing-ul MAC. Op\u021biunea de securitate a portului va ajuta la protejarea \u00eempotriva supraaglomer\u0103rii tabelei bridge \u0219i a atacurilor menite s\u0103 rescrie inten\u021bionat comutatorul, otr\u0103vindu-i tabela bridge.<\/p>\n

Nu putem s\u0103 nu men\u021bion\u0103m echipamentul clientului care se defecteaz\u0103 pur \u0219i simplu. Exist\u0103 situa\u021bii frecvente \u00een care o plac\u0103 de re\u021bea a computerului sau un router care func\u021bioneaz\u0103 gre\u0219it genereaz\u0103 un flux de cadre cu adrese complet arbitrare ale expeditorului \u0219i destinatarului. Acest flux poate epuiza cu u\u0219urin\u021b\u0103 CAM.<\/p>\n

O alt\u0103 metod\u0103 de limitare a num\u0103rului de \u00eenregistr\u0103ri utilizate \u00een tabela bridge este instrumentul MAC VLAN Security, prin care administratorul poate specifica num\u0103rul maxim de \u00eenregistr\u0103ri pentru o anumit\u0103 re\u021bea virtual\u0103.<\/p>\n

\"Comutatorul
\n
\nPe l\u00e2ng\u0103 gestionarea \u00eenregistr\u0103rilor dinamice din tabela de comutare, administratorul poate crea \u0219i \u00eenregistr\u0103ri statice.<\/p>\n

\"Comutatorul
\n
\nTabela bridge a modelului T2600G-28SQ poate suporta p\u00e2n\u0103 la 16K \u00eenregistr\u0103ri.
\nO alt\u0103 op\u021biune destinat\u0103 filtr\u0103rii traficului utilizatorilor este func\u021bia Port Isolation, care permite indicarea clar\u0103 a direc\u021biei \u00een care este permis\u0103 redirec\u021bionarea.<\/p>\n

\"Comutatorul
\n
\n\"Comutatorul<\/p>\n

Securitate \u2013 IMPB<\/h3>\n

\n\u00cen vasta noastr\u0103 patrie, abordarea operatorilor de telecomunica\u021bii fa\u021b\u0103 de problemele de securitate \u00een re\u021bea variaz\u0103 de la o ignorare total\u0103 p\u00e2n\u0103 la utilizarea maxim\u0103 a tuturor op\u021biunilor acceptate de echipament.<\/p>\n

Func\u021biile IPv4 IMPB (IP-MAC-Port Binding) \u0219i IPv6 IMPB permit protec\u021bia \u00eempotriva unei game largi de atacuri legate de substituirea adreselor IP \u0219i MAC din partea abona\u021bilor, prin legarea adreselor IP \u0219i MAC ale echipamentului client la interfa\u021ba comutatorului furnizorului. Aceast\u0103 legare poate fi realizat\u0103 manual sau prin utilizarea func\u021biilor ARP Scanning \u0219i DHCP Snooping.<\/p>\n

Set\u0103rile principale IMPB<\/b>\"Comutatorul
\n
\n\"Comutatorul
\n
\n\"Comutatorul
\n
\n\"Comutatorul
\n
\n\"Comutatorul
\n
\n\"Comutatorul<\/p>\n

Pentru corectitudine, trebuie men\u021bionat c\u0103 pentru protec\u021bia protocolului DHCP se poate utiliza o func\u021bie special\u0103 \u2013 DHCP Filter.<\/p>\n

\"Comutatorul
\n
\n\"Comutatorul
\n
\nPrin intermediul acestei func\u021bii, administratorul de re\u021bea poate specifica manual acele interfe\u021be la care sunt conectate adev\u0103ratele servere DHCP. Astfel, serverele DHCP false nu vor putea interveni \u00een procesul de negociere a parametrilor IP.<\/p>\n

Securitate \u2013 DoS Defend<\/h3>\n

\nModelul \u00een discu\u021bie permite protejarea utilizatorilor \u00eempotriva unor atacuri DoS cunoscute \u0219i r\u0103sp\u00e2ndite anterior.<\/p>\n

\"Comutatorul
\n
\nMajoritatea atacurilor enumerate nu mai reprezint\u0103 o amenin\u021bare pentru dispozitivele cu sisteme de operare moderne, \u00eens\u0103 \u00een re\u021belele noastre pot \u00eenc\u0103 exista astfel de dispozitive pentru care ultimul update de software a fost efectuat cu mul\u021bi ani \u00een urm\u0103.<\/p>\n

Suport DHCP<\/h3>\n

\nComutatorul TP-Link T2600G-28SQ poate func\u021biona at\u00e2t ca server DHCP, c\u00e2t \u0219i ca relayer, put\u00e2nd efectua diverse filtr\u0103ri ale mesajelor DHCP, dac\u0103 un alt dispozitiv ac\u021bioneaz\u0103 ca server.<\/p>\n

Cel mai simplu mod de a oferi utilizatorilor parametrii IP necesari pentru func\u021bionare este s\u0103 utiliz\u0103m serverul DHCP \u00eencorporat \u00een comutator. Principalele parametrii pot fi deja transmise abona\u021bilor prin intermediul acestuia.<\/p>\n

\"Comutatorul
\n
\n\"Comutatorul
\n
\n\"Comutatorul
\n
\nAm conectat routerul nostru SOHO Archer C6 la una dintre interfe\u021bele comutatorului \u0219i am verificat cu succes ob\u021binerea adresei de c\u0103tre dispozitivul client.<\/p>\n

A\u0219a arat\u0103<\/b>\"Comutatorul
\n
\n\"Comutatorul
\n
\nServerul DHCP \u00eencorporat \u00een comutator nu este, probabil, cea mai scalabil\u0103 \u0219i flexibil\u0103 solu\u021bie: nu exist\u0103 suport pentru op\u021biuni non-standard, lipsind o leg\u0103tur\u0103 cu IPAM. Dac\u0103 operatorul are nevoie de mai mult control asupra procesului de distribuire a adreselor IP, va fi utilizat un server DHCP dedicat.<\/p>\n

T2600G-28SQ permite specificarea unui server DHCP dedicat separat pentru fiecare subre\u021bea de utilizator, la care vor fi redirec\u021bionate mesajele protocolului discutat. Selectarea subre\u021belei se face prin specificarea interfe\u021bei L3 corespunz\u0103toare: VLAN (SVI), port rutat sau port-channel.<\/p>\n

\"Comutatorul
\n
\n\"Comutatorul
\n
\nPentru a verifica func\u021bionarea relayer-ului, am configurat un router separat de la un alt furnizor pentru a func\u021biona ca server DHCP, al c\u0103rui set\u0103ri sunt prezentate mai jos.<\/p>\n

R1#sho run | s pool\nip dhcp pool test\n network 192.168.0.0 255.255.255.0\n default-router 192.168.0.1\n dns-server 8.8.8.8<\/code><\/pre>\n
\nRouterul client a ob\u021binut din nou cu succes adresa IP.<\/p>\n
R1#sho ip dhcp binding\nBindings from all pools not associated with VRF:\nIP address          Client-ID\/               Lease expiration        Type\n                    Hardware address\/\n                    User name\n192.168.0.2          010c.8063.f0c2.6a      May 24 2019 05:07 PM    Automatic<\/code><\/pre>\n
\nSub spoiler \u2014 con\u021binutul pachetului interceptat \u00eentre comutator \u0219i serverul DHCP dedicat.<\/p>\n
Con\u021binutul pachetului<\/b>\"Comutatorul
\nEste imposibil s\u0103 nu men\u021bion\u0103m suportul pentru Op\u021biunea 82 din partea switch-ului. Activarea acesteia va face ca switch-ul s\u0103 adauge informa\u021bii despre interfa\u021ba utilizatorului de la care a fost primit mesajul DHCP Discover. \u00cen plus, modelul T2600G-28SQ permite configurarea politicii de procesare a informa\u021biilor ad\u0103ugate atunci c\u00e2nd se introduce op\u021biunea nr. 82. Suportul pentru aceast\u0103 op\u021biune poate fi util \u00een situa\u021bia \u00een care abonatul trebuie s\u0103 primeasc\u0103 aceea\u0219i adres\u0103 IP indiferent de identificatorul clientului (client-id) pe care \u00eel raporteaz\u0103.
\nImaginea de mai jos ilustreaz\u0103 mesajul DHCP Discover (transmis de relay) cu op\u021biunea nr. 82 ad\u0103ugat\u0103.<\/p>\n
Mesaj cu op\u021biunea nr. 82<\/b>\"Comutatorul
\nDesigur, se poate gestiona op\u021biunea nr. 82 \u0219i f\u0103r\u0103 a configura un relay DHCP complet, set\u0103rile corespunz\u0103toare fiind prezentate \u00een subpunctul 'DHCP L2 Relay'.<\/p>\n
\"Comutatorul
\n
\n\"Comutatorul
\n
\nAcum s\u0103 modific\u0103m set\u0103rile serverului DHCP pentru a demonstra func\u021bionarea op\u021biunii nr. 82.<\/p>\n
R1#sho run | s dhcp\nip dhcp pool test\n\u00a0network 192.168.0.0 255.255.255.0\n\u00a0default-router 192.168.0.1\n\u00a0dns-server 8.8.8.8\n\u00a0class option82_test\n\u00a0\u00a0address range 192.168.0.222 192.168.0.222\nip dhcp class option82_test\n\u00a0relay agent information\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0relay-information hex 010e010c74702d6c696e6b5f746573740208000668ff7b66f675\nR1#sho ip dhcp binding\nBindings from all pools not associated with VRF:\nIP address\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 Client-ID\/\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 Lease expiration\u00a0 \u00a0 \u00a0 Type\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Hardware address\/\u00a0\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0User name\n192.168.0.222 \u00a0 \u00a0 \u00a0 010c.8063.f0c2.6a\u00a0 \u00a0 May 24 2019 05:33 PM\u00a0 \u00a0 Automatic<\/code><\/pre>\n
A\u0219a ar trebui s\u0103 arate.<\/b>\"Comutatorul
\nFunc\u021bia de relay DHCP interface va fi util\u0103 \u00een situa\u021bia \u00een care pe switch exist\u0103 nu doar o interfa\u021b\u0103 L3 conectat\u0103 la o anumit\u0103 re\u021bea, ci \u0219i aceast\u0103 interfa\u021b\u0103 are o adres\u0103 IP. \u00cen caz contrar, \u00een lipsa unei adrese pe o astfel de interfa\u021b\u0103, va interveni func\u021bia DHCP VLAN relay. Informa\u021bia despre subre\u021bea \u00een acest caz va fi preluat\u0103 de pe interfa\u021ba implicit\u0103, adic\u0103 spa\u021biile de adresare din mai multe re\u021bele virtuale vor fi identice (se vor suprapune).<\/p>\n
\"Comutatorul
\n
\nAdesea, operatorii trebuie, de asemenea, s\u0103 protejeze abona\u021bii de activarea accidental\u0103 sau inten\u021bionat\u0103 a unui server DHCP pe echipamentul client. Discutarea acestei func\u021bionalit\u0103\u021bi am decis s\u0103 o includem \u00eentr-o sec\u021biune dedicat\u0103 problemelor de securitate.<\/p>\n
IEEE 802.1X<\/h3>\n
\nUna dintre modalit\u0103\u021bile de autentificare a utilizatorilor \u00een re\u021bea este utilizarea protocolului IEEE 802.1X. Popularitatea acestui protocol \u00een re\u021belele operatorilor de telecomunica\u021bii din Rusia este \u00een sc\u0103dere, dar este \u00eenc\u0103 folosit \u00een principal \u00een re\u021belele locale ale marilor companii pentru autentificarea utilizatorilor interni. Comutatorul T2600G-28SQ are suport pentru 802.1X, astfel \u00eenc\u00e2t, dac\u0103 este necesar, furnizorul poate s\u0103-l activeze cu u\u0219urin\u021b\u0103.<\/p>\n
Pentru func\u021bionarea protocolului IEEE 802.1X sunt necesari trei participan\u021bi: echipamentul client (suplicant), comutatorul de acces al furnizorului (autentificator) \u0219i serverele de autentificare (de obicei servere RADIUS).<\/p>\n
\"Comutatorul
\n
\nConfigurarea de baz\u0103 din partea operatorului este extrem de simpl\u0103. Este necesar doar s\u0103 se specifice adresa IP a serverului RADIUS utilizat, pe care va fi stocat\u0103 baza de date a utilizatorilor, precum \u0219i s\u0103 se aleag\u0103 interfe\u021bele pentru care este necesar\u0103 autentificarea.<\/p>\n
Configurarea de baz\u0103 802.1X<\/b>\"Comutatorul
\n\"Comutatorul
\n\"Comutatorul
\n\"Comutatorul
\n\"Comutatorul
\n
\nDin partea clientului, sunt necesare \u0219i c\u00e2teva configur\u0103ri minore. Toate sistemele de operare moderne con\u021bin deja software-ul necesar. Dar, dac\u0103 este necesar, se poate instala \u0219i folosi TP-Link 802.1X Client \u2013 o aplica\u021bie care permite autentificarea clientului \u00een re\u021bea.<\/p>\n
Atunci c\u00e2nd se conecteaz\u0103 un PC de utilizator direct la re\u021beaua furnizorului, set\u0103rile de autentificare trebuie activate pentru placa de re\u021bea utilizat\u0103 pentru conectare.<\/p>\n
\"Comutatorul
\n
\n\"Comutatorul
\n
\n\"Comutatorul
\n
\nCu toate acestea, \u00een prezent, re\u021beaua operatorului nu este de obicei conectat\u0103 direct la computerul utilizatorului, ci la un anumit router SOHO, care asigur\u0103 func\u021bionarea re\u021belei locale a abonatului (at\u00e2t segmentele cablate, c\u00e2t \u0219i cele wireless). \u00cen acest caz, toate set\u0103rile protocolului 802.1X trebuie realizate direct pe router.<\/p>\n
\"Comutatorul
\n
\nNi se pare c\u0103 \u00een re\u021belele operatorilor, aceast\u0103 metod\u0103 de autentificare este nedrept uitat\u0103. Da, legarea strict\u0103 a abonatului de portul comutatorului poate fi o solu\u021bie mai simpl\u0103 din punct de vedere al set\u0103rilor echipamentului utilizatorului. Dar, dac\u0103 utilizarea unui nume de utilizator \u0219i a unei parole este necesar\u0103, atunci 802.1X nu va fi un protocol at\u00e2t de greu comparativ cu conexiunile bazate pe tuneluri PPTP\/L2TP\/PPPoE.<\/p>\n
Inser\u021bia ID PPPoE<\/h3>\n
\nMul\u021bi utilizatori, nu doar din \u021bara noastr\u0103, ci \u0219i din \u00eentreaga lume, continu\u0103 s\u0103 prefere parolele extrem de simple. Din p\u0103cate, cazurile de furt de date de autentificare nu sunt neobi\u0219nuite. Dac\u0103 operatorul din re\u021beaua sa folose\u0219te protocolul PPPoE pentru autentificarea utilizatorilor, atunci switch-ul TP-Link T2600G-28SQ poate ajuta la rezolvarea problemei legate de scurgerea datelor de autentificare. Acest lucru se realizeaz\u0103 prin ad\u0103ugarea unei etichete speciale la mesajul PPPoE Active Discovery. Astfel, providerul poate autentifica abona\u021bii nu doar pe baza numelui de utilizator \u0219i a parolei, ci \u0219i pe baza unor date suplimentare. Aceste date suplimentare includ adresa MAC a dispozitivului client, precum \u0219i interfa\u021ba switch-ului la care este conectat acesta.<\/p>\n
\"Comutatorul
\n
\nUnii operatori doresc pur \u0219i simplu s\u0103 interzic\u0103 abonatului (perechea nume utilizator \u0219i parol\u0103) mobilitatea prin re\u021bea. Func\u021bia PPPoE ID Insertion va ajuta \u0219i \u00een acest caz.<\/p>\n
IGMP<\/h3>\n
\nProtocolul IGMP (Internet Group Management Protocol) exist\u0103 de mai multe decenii. Popularitatea sa este pe deplin \u00een\u021beleas\u0103 \u0219i u\u0219or de explicat. \u00cens\u0103, \u00een interac\u021biunea IGMP sunt implicate dou\u0103 p\u0103r\u021bi: PC-ul utilizatorului (sau orice alt dispozitiv, de exemplu, STB) \u0219i router-ul IP care deserveste un anumit segment de re\u021bea. Switch-urile nu particip\u0103 \u00een niciun fel la aceast\u0103 schimbare. Totu\u0219i, aceast\u0103 afirma\u021bie nu este complet corect\u0103. Sau nu mai este complet corect\u0103 \u00een re\u021belele moderne. Suportul protocolului IGMP din partea switch-urilor este necesar pentru optimizarea transmisiei traficului de grup. Ascult\u00e2nd traficul utilizatorilor, switch-ul identific\u0103 mesaje IGMP Report, prin care determin\u0103 porturile pentru transmiterea traficului de grup. Op\u021biunea descris\u0103 se nume\u0219te IGMP Snooping.<\/p>\n
\"Comutatorul
\n
\n\"Comutatorul
\n
\n\"Comutatorul
\n
\nSuportul protocolului IGMP poate fi utilizat nu doar pentru optimizarea traficului ca atare, ci \u0219i pentru identificarea abona\u021bilor care pot primi un anumit serviciu, cum ar fi IPTV. Se poate atinge scopul dorit at\u00e2t prin configurarea manual\u0103 a parametrilor de filtrare, c\u00e2t \u0219i prin utilizarea autentific\u0103rii.<\/p>\n
\"Comutatorul
\n
\n\"Comutatorul
\n\"Comutatorul
\n
\nSuportul pentru traficul de grup pe switch-urile TP-Link este implementat \u00eentr-un mod destul de flexibil. De exemplu, toate parametrii pot fi seta\u021bi pentru fiecare re\u021bea virtual\u0103 \u00een parte.<\/p>\n
\"Comutatorul
\n
\n\"Comutatorul
\n
\nDac\u0103 la o interfa\u021b\u0103 a routerului sunt conectate mai multe subre\u021bele, \u00een care se afl\u0103 receptorii traficului multicast, routerul va fi nevoit s\u0103 trimit\u0103 mai multe copii ale pachetelor prin acea interfa\u021b\u0103 (c\u00e2te una pentru fiecare re\u021bea virtual\u0103). 
\nOptimizarea procesului de redirec\u021bionare a traficului multicast \u00een acest caz se poate realiza prin tehnologia MVR - Multicast VLAN Registration.<\/p>\n
\"Comutatorul
\n
\n\"Comutatorul
\n
\nSolu\u021bia const\u0103 \u00een crearea unei singure re\u021bele virtuale, care une\u0219te to\u021bi receptorii. Totu\u0219i, aceast\u0103 re\u021bea virtual\u0103 este utilizat\u0103 doar pentru traficul multicast. Aceast\u0103 abordare permite routerului s\u0103 trimit\u0103 doar o singur\u0103 copie a traficului multicast prin interfa\u021b\u0103.<\/p>\n
DDM, OAM \u0219i DLDP<\/h3>\n
\nDDM \u2013 Digital Diagnostic Monitoring. \u00cen timpul exploat\u0103rii modulelor optice, adesea este necesar s\u0103 se monitorizeze starea modulului \u00eensu\u0219i, precum \u0219i a canalului optic la care este conectat. Func\u021bia DDM ajut\u0103 la aceast\u0103 sarcin\u0103. Cu ajutorul acesteia, inginerii operatorului vor putea urm\u0103ri temperatura fiec\u0103rui modul care suport\u0103 aceast\u0103 func\u021bionalitate, tensiunea la care este alimentat \u0219i curentul, precum \u0219i puterile semnalelor optice trimise \u0219i primite.<\/p>\n
\"Comutatorul
\n
\nStabilirea unor praguri pentru parametrii descri\u0219i anterior va permite generarea unui eveniment \u00een cazul \u00een care ace\u0219tia dep\u0103\u0219esc intervalul permis.<\/p>\n
Configurarea pragurilor de declan\u0219are DDM<\/b>\"Comutatorul
\n\"Comutatorul
\n\"Comutatorul
\n
\nDesigur, administratorul poate vizualiza valorile curente ale parametrelor specificate.<\/p>\n
\"Comutatorul
\n
\nSwitch-ul TP-Link T2600G-28SQ dispune de un sistem activ de r\u0103cire cu aer. Mai mult dec\u00e2t at\u00e2t, nu am \u00eent\u00e2lnit niciodat\u0103 suprainc\u0103lzirea modulelor SFP \u00een comutatoarele noastre, legate de densitatea porturilor. Totu\u0219i, dac\u0103, teoretic, s-ar putea admite o astfel de posibilitate (de exemplu, din cauza unei probleme interne a modulului SFP), atunci cu ajutorul DDM, administratorul va fi imediat notificat cu privire la o situa\u021bie poten\u021bial periculoas\u0103. Pericolul aici, evident, nu este pentru switch, ci pentru diod\u0103\/laserul din SFP, deoarece, odat\u0103 cu cre\u0219terea temperaturii sale, poate ap\u0103rea o degradare a puterii semnalului optic emis, ceea ce va duce la o sc\u0103dere a bugetului optic.<\/p>\n
De asemenea, este important de men\u021bionat c\u0103 switch-urile TP-Link nu au \u201efunc\u021bia\u201d de vendor lock, adic\u0103 sunt acceptate module SFP compatibile, ceea ce va fi, desigur, foarte convenabil pentru administratorii de re\u021bea.<\/p>\n
OAM \u2014 Operare, Administrare \u0219i Mentenan\u021b\u0103 (IEEE 802.3ah). OAM \u2013 un protocol la nivel de al doilea strat al modelului OSI, destinat monitoriz\u0103rii \u0219i c\u0103ut\u0103rii defec\u021biunilor \u00een re\u021belele Ethernet. Cu ajutorul acestui protocol, comutatorul poate urm\u0103ri performan\u021ba unei anumite conexiuni \u0219i erorile, gener\u00e2nd alerte pentru ca administratorul re\u021belei s\u0103 poat\u0103 gestiona re\u021beaua mai eficient.<\/p>\n
Configurare de baz\u0103 OAM<\/b>\"Comutatorul
\n\"Comutatorul
\n\"Comutatorul
\n\"Comutatorul
\n
\nDetalii despre func\u021bionarea OAM<\/b>Dou\u0103 dispozitive adiacente care suport\u0103 OAM efectueaz\u0103 un schimb periodic de mesaje prin trimiterea OAMPDU, care exist\u0103 \u00een trei tipuri: Informational, Event Notification \u0219i Loopback Control. Prin OAMPDU informativ, comutatoarele adiacente trimit una alteia informa\u021bii statistice, precum \u0219i date definite de administrator. De asemenea, acest tip de mesaje este folosit pentru men\u021binerea conexiunii prin protocolul OAM. Mesajele Event Notification sunt utilizate de func\u021bia de monitorizare a conexiunii pentru a informa partea opus\u0103 despre defec\u021biunile \u00eent\u00e2mpinate. Mesajele Loopback Control sunt utilizate pentru a determina o bucl\u0103 pe linie.<\/p>\n
Mai jos am decis s\u0103 enumer\u0103m principalele capabilit\u0103\u021bi oferite de protocolul OAM:<\/p>\n