Коммутаторы
Общие функции коммутаторов 2 -го уровня D-Link • Общие функции коммутаторов 3 -го уровня D-Link
Требования к современным сетям < Производительность < Функциональность < Надежность < Масштабируемость < Безопасность < Управляемость
Общие функции коммутаторов 2 -го уровня • Поддержка IEEE 802. 1 Q VLAN (на основе меток) • Приоритезация пакетов IEEE 802. 1 p и 4 очереди • Spanning Tree Protocol (IEEE 802. 1 D) • Rapid Spanning Tree protocol (IEEE 802. 1 w) • Контроль широковещательных штормов • Поддержка объединения портов в транк - Link Aggregation (IEEE 802. 3 ad Static mode) • Зеркалирование портов (трафик множества портов на один выбранный порт) • TFTP/BOOTP/DHCP клиент • Поддержка TELNET, встроенный WEB-сервер • CLI – интерфейс командной строки • IGMP для ограничения широковещательных доменов в VLAN • SNMP v 1/v 3
Общие функции коммутаторов 2 -го уровня • RMON (4 группы: Statistics, History, Alarm, и Event) • Два уровня паролей – пароль пользователя и резервный пароль • Профиль доступа и приоритезация трафика • Сегментация трафика • Контроль полосы пропускания • Функция Port Security (ограничение кол-ва MAC на заданном порту) • Контроль доступа IEEE 802. 1 x на основе портов/MAC-адресов • Журналирование событий при помощи Syslog • Поддержка TACACS, RADIUS, SSH • Обновление ПО и сохранение файла конфигурации на внешнем носителе
Хост1 Хост 2 Хост 3
Хост1 Хост 2 Хост 3
Хост 1 Хост2 Передача данных Хост 3
Хост 1 Адрес: H 1 Хост 2 Хост 3 H 2 H 3
Хост 1 Хост 2 Фрейм Хост 3
Хост 1 Хост 2 Хост 3 OSI 7 -Уровневая модель Приложений Представления Фрейм Сессионный Транспортный Сетевой Data Link Канальный Физический
Хост 1 Хост 2 Хост 3 OSI 7 -Уровневая модель Приложений Представления Фрейм Сессионный Транспортный Сетевой LLC Канальный Data Link MAC Физический
Хост 1 Хост 2 Хост 3 OSI 7 -Уровневая модель Приложений Представления Сессионный Транспортный SA DA Сетевой LLC Канальный Data Link MAC Физический
Хост 1 Хост 2 Хост 3 OSI 7 -Уровневая модель Приложений Представления Сессионный Транспортный SA DA SA=H 1 Сетевой LLC Канальный Data Link MAC Физический
Хост 1 Хост 2 Хост 3 OSI 7 -Уровневая модель Приложений Представления Сессионный Транспортный SA DA SA=H 1 Сетевой DA=H 3 LLC Канальный Data Link MAC Физический
Хост 1 Хост 2 Хост 3 OSI 7 -Уровневая модель Приложений Представления Сессионный Уникальный MAC адрес: 0 x 002048001234 Транспортный SA DA SA=H 1 Сетевой DA=H 3 LLC Канальный Data Link MAC Физический
Хост 1 Хост 2 Хост 3 OSI 7 -Уровневая модель Приложений Представления Сессионный Транспортный SA DA SA=H 1 Сетевой DA=H 3 LLC Канальный Data Link MAC Физический
Концентратор Работают на физическом уровне. Выполняют передачу пакетов на все порты. Производится усиление электрического сигнала. Концентратор
Коммутатор Работают на канальном уровне. Строят таблицу коммутации. Выполняют передачу пакетов на требуемый порт. Производится регенерация пакета передачей.
Spanning Tree Protocol Пример логической петли в сети
Spanning Tree Protocol Для чего нужен протокол Spanning Tree • Избежание логических петель в сети • Резервные соединения Стандарты: • IEEE 802. 1 d Spanning Tree Protocol, STP (традиционный) • IEEE 802. 1 w Rapid Spanning Tree Protocol, RSTP (новый)
Основные определения в STP Root Bridge - Корневой (мост) коммутатор, от него строится дерево Root Port - Корневой порт - порт, который имеет по сети кратчайшее расстояние до корневого коммутатора Designated Port - Назначенный порт - порт, который имеет кратчайшее расстояние от данного сегмента сети до корневого коммутатора Designated Bridge - Назначенный мост - мост, который имеет кратчайшее расстояние от данного сегмента сети до корневого коммутатора Path Cost – Метрика, суммарное условное время на передачу данных от порта данного коммутатора до порта корневого коммутатора
Перед применением протокола STP
После применения протокола STP
Основные параметры STP Priority – Приоритет коммутатора. От 0 до 65535 Hello Time- интервал между передачей BPDU корневым коммутатором. От 1 до 10 с. Max. Age - Если по истечении интервала времени, установленного в Max. Age от корневого коммутатора все еще не пришел пакет BPDU, то ваш коммутатор начнет сам посылать пакеты BPDU. От 6 до 40 с. Forward Delay Timer – Время перед переходом порта в состояние передачи пакетов. От 4 до 30 с. Port Priority – Приоритет порта. Чем меньше значение данного параметра, тем выше вероятность, что порт станет корневым. От 0 до 255. Port Cost – «Стоимость» порта. От 1 до 65535
Изменение состояния портов в процессе работы STP Blocking (Discarding (Backup, Alternate)) – при включении все порты находятся в состоянии «Заблокирован» Listening (Discarding) - порт генерирует, принимает и передает BPDU Learning – «Обучение» , начинает принимать пакеты и на основе адресов источника строить таблицу коммутации Forwarding – Начинает продвижение пакетов Disable (Discarding) – Вручную отключен администратором
802. 1 d v. s. 802. 1 w • Время схождения: 802. 1 d: 30 сек. 802. 1 w: меньше 1 сек. • Диаметр сети: 802. 1 d и 802. 1 w: 7 переходов, 14 для типа «кольцо» • 802. 1 w обратно совместим с 802. 1 d.
802. 1 w backward compatible 802. 1 w RSTP BPDU 802. 1 d
Виртуальные Локальные Сети - VLAN • Уменьшение размера широковещательного домена. Приводит к росту производительности сети. • Сегментирование сети с целью разделения доступа к ресурсам.
Пример VLAN на базе портов VLAN 1 VLAN 2 VLAN 3
Пример VLAN на базе MAC-адресов VLAN 1 VLAN 2 0050 BABDE 2 CB 0050 BABDC 425 0050 BABDD 583 VLAN 1 VLAN 2 VLAN 1 0050 BABD 2 FC 4 VLAN 2 VLAN 1 0050 BABD 2 FC 3 0050 BABDD 2 E 8
Недостатки VLAN на базе MAC-адресов 1. Большие накладные расходы на администрирование. Администратору необходимо вручную внести все MAC адреса всех устройств сети и распределить их по VLAN. 2. При добавлении рабочей станции или замене сетевой карты её MAC адрес необходимо заново добавлять в таблицу. 3. Проблемы с мобильными гостевыми подключениями.
IEEE 802. 1 Q VLAN • Порты, входящие в один VLAN могут находиться на разных коммутаторах • Гибкость и удобство настройки и изменения • Возможность работы протокола Spanning Tree • Возможность работы с сетевыми устройствами, которые не распознают метки • Устройства разных производителей, могут работать вместе
Маркированные кадры-Tagged Frames • 12 -бит VLAN маркер • Идентифицирует кадр, как принадлежащий VLAN • Max. Размер DA SA Tag Data CRC маркированного кадра Ethernet 1522 байт • Немаркированный кадр это VID 8100 Priority CFI кадр без VLAN маркера 0 15 18 19 31
Пример для 802. 1 Q VLAN V 1 V 2 U U V 1 V 2 V 3 VLAN 2 V 1 U V 2 V 1, V 2, V 3 VLAN 1 DES-6000 V 1, V 2 T T T V 3 V 1, V 2, V 3 T DES-3624 i U U V 1 V 2 U V 3 U V 1 V 2 V 3
VID и PVID u u u VID (VLAN Identifier) 12 -bit часть VLAN маркера Указывает какая VLAN 12 бит определяет 4096 VLAN VID 0 и VID 4095 зарезервированы u u PVID (Port VID) Ассоциирует порт с VLAN
Маркированный входящий пакет (Часть 1) • Входящий пакет назначен для VLAN 2 потому, что в пакете есть маркер принадлежности • Порт 5 маркирован как Выходящий для VLAN 2 • Порт 7 не маркирован как Выходящий для VLAN 2 • Пакеты перенаправляются на порт 5 с маркером • Пакеты перенаправляются на порт 7 без маркера
Маркированный входящий пакет (Часть 2) Маркированный пакет останется без изменений Маркированный пакет потеряет маркер, т. к. он уйдет с коммутатора через немаркированный порт
Немаркированный входящий пакет (Часть 1) • PVID порта 4 -> 2 • Входящий немаркированный пакет назначен на VLAN 2 • Порт 5 маркированный Выходящий VLAN 2 • Порт 7 немаркированный Выходящий VLAN 2 • Пакеты с порта 4 перенаправляются на порт5 с маркером • Пакеты с порта 4 перенаправляются на порт7 без маркера
Немаркированный входящий пакет (Часть 2) Немаркированный пакет маркируется, т. к. он выходит через маркированный порт VID связан с PVID входящего порта Немаркированный пакет не изменен, т. к. выходит через немаркированный порт.
VLAN схема 1 Деление сети на две VLAN A VLAN B Computer : A 1 & A 2 1 2 3 4 Computer : B 1 & B 2 5 VID : 2 Untag Egress : Port 1 & 2 assign PVID = 2 VID : 3 A 1 A 2 B 1 B 2 Untag Egress : Port 4 & 5 assign PVID = 3
VLAN Схема 2 Деление сети, построенной на 2 -х коммутаторах на две VLAN A : Computer A 1, A 2, A 3 & A 4 Switch X 1 2 Switch Y 3 4 5 1 2 3 4 5 Switch X VID : 2 Tag Egress : Port 5 A 1 A 2 B 1 B 2 A 3 A 4 B 3 Untag Egress : Port 1 & 2 assign PVID = 2 VLAN B : Computer B 1, B 2, B 3 & B 4 Switch Y Switch X Switch Y VID : 2 VID : 3 Tag Egress : Port 1 Tag Egress : Port 5 Tag Egress : Port 1 Untag Egress : Port 2 & 3 Untag Egress : Port 3 & 4 Untag Egress : Port 4 & 5 Port 2 & 3 assign PVID = 2 Port 3 & 4 assign PVID = 3 Port 4 & 5 assign PVID = 3 B 4
VLAN схема 1 Деление сети на две VLAN с предоставлением общего файл-сервера: VID : 3 VLAN A File Server Computer : B 1, B 2, C 1, C 2 & File Server VLAN B 1 Untag Egress : 1, 2, 3, 4 & 5 Port 3 assign PVID = 3 2 3 4 VLAN C 5 Computer : B 1, B 2 & File Server VID : 1 Port Computer : C 1, C 2 & File Server B 1 Untag Egress : Port 1, 2 & 3 Port 1 & 2 assign PVID = 1 B 2 C 1 C 2 VID : 2 Untag Egress : Port 3, 4 & 5 Port 4 & 5 assign PVID = 2
Деление сети на две VLAN с предоставлением общего ресурса:
Поддержка IEEE 802. 1 P Стандарт IEEE 802. 1 p определяет приоритет пакета при помощи тэга в его заголовке. Можно задать до 8 уровней приоритета от 0 до 7. Уровень 7 определяет самый высокий приоритет. Коммутаторы поддерживают 4 очереди Class of Service на каждом порту. Для маркированных пакетов приоритет может быть изменен на одну из четырех очередей Co. S. Для немаркированных пакетов приоритет выставляется исходя из приоритета, выставленного на данном порту.
Как работает 802. 1 p 4 очереди приоритета Очередь: Приоритет: Порт: Class-0 Class-1 Class-2 Class-3 0 2 4 6 1 1 2 3 4 3 5 5 6 7 ………………. 7
802. 1 P приоритет по умолчанию Данный пример показывает настройку приоритета по умолчанию для пакетов, которым не было еще присвоено никакое значение приоритета.
802. 1 P приоритет, определяемый настройкой Данный экран показывает возможность настройки класса приоритета для трафика, указывая значения класса от 0 до 3 в соответствии с 8 -ю уровнями приоритета коммутатора.
Class of service QOS включает два режима работы: • STRICT (строгий) режим Когда поступают данные с высоким уровнем приоритета, устройство передает их первыми. Только после того, как завершена передача данных с высоким уровнем приоритета, начинается передача данных с более низким уровнем приоритета. • Round Robin (круговой) режим Алгоритм Qo. S начинает работу с самого высокого Qo. S для данного порта, пересылает максимальное количество пакетов, затем перемещается к следующему, более низкому уровню Qo. S.
Настройка Class of Service Max. Packets Алгоритм Qo. S начинает работу с самого высокого Qo. S для данного порта, пересылает максимальное количество пакетов, затем перемещается к следующему, более низкому уровню Qo. S. В данном поле может быть введено значение от 0 до 255. Если введен 0, коммутатор будет продолжать обрабатывать пакеты пока в очереди не останется больше пакетов. Max. Latency Максимальное время, в течении которого пакет будет оставаться в очереди Qo. S. Пакет в данной очереди не может задерживаться дольше указанного времени. Таймер отключен, если значение установлено в 0. Каждая единица данного таймера эквивалентна 16 миллисекундам.
Объединение портов в транк Link Aggregation Увеличение полосы пропускания Обеспечение отказоустойчивости Балансировка нагрузки
• Группы могут объединять только порты с одинаковой скоростью и одинаковой средой передачи • Для настройки транка достаточно настроить «связывающий порт» • Для STP транк – это один логический канал
Распределение потоков по каналам транков
Транк между коммутатором и сервером DFE-580 TX
Контроль полосы пропускания • На каждом порту Ethernet можно настроить ограничение скорости на входящий/исходящий трафик. ETTH U/D=1/50 U/D=1/10 U/D=5/100 Пример: Порт 1: Upstream = 1 Мбит/с, Downstream = 1 Мбит/с Порт 2: Upstream = 1 Мбит/с, Downstream = 10 Мбит/с Порт 3: Upstream = 1 Мбит/с, Downstream = 50 Мбит/с Порт 4: Upstream = 5 Мбит/с, Downstream = 100 Мбит/с
Контроль полосы пропускания Настройка полосы пропускания для входящего и исходящего трафика на каждом порту
Определение протокола IEEE 802. 1 x Протокол определяет доступ на основе модели Клиент/Сервер и протокол аутентификации, который не позволяет неавторизованным устройствам подключаться к локальной сети через порты коммутатора. Сервер аутентификации (RADIUS) проверяет права доступа каждого клиента, подключаемого к порту коммутатора прежде, чем разрешить доступ к любому из сервисов, предоставляемых коммутатором или локальной сетью. Сервер аутентификации RADIUS Коммутатор ……. . Клиент
Роли устройств в протоколе 802. 1 x • Клиент Коммутатор Рабочая станция (Клиент) (Authenticator) Сервер RADIUS (Сервер аутентификации ) Клиент: Это рабочая станция, которая запрашивает доступ к локальной сети и сервисам коммутатора и отвечает на запросы от коммутатора. На рабочей станции должно быть установлено клиентское ПО для 802. 1 x, например то, которое встроено в ОС Microsoft Windows XP
Роли устройств в протоколе 802. 1 x • Сервер аутентификации Коммутатор Рабочая станция (Клиент) (Authenticator) Сервер RADIUS (Сервер аутентификации) Сервер аутентификации: Сервер аутентификации проверяет подлинность клиента и информирует коммутатор предоставлять или нет клиенту доступ к локальной сетиa. . RADIUS работает в модели клиент/сервер, в которой информация об аутентификации передается между сервером и клиентами RADIUS. * Remote Authentication Dial-In User Service (RADIUS)
Роли устройств в протоколе 802. 1 x • Authenticator Коммутатор Рабочая станция (Клиент) (Authenticator) Сервер RADIUS (Сервер аутентификации) Authenticator: Authenticator работает как посредник между Клиентом и Сервером аутентификации, получая запрос на проверку подлинности от Клиента, проверяет данную информацию при помощи Сервера аутентификации, и пересылает ответ Клиенту.
Процесс аутентификации в 802. 1 X Рабочая станция (Клиент) Сервер RADIUS (Сервер аутентификации) Коммутатор (Аутентификатор) EAPOL-Start EAP-Request/Identity EAP-Response/Identity RADIUS Access-Request EAP-Request/OTP RADIUS Access-Challenge EAP-Response/OTP RADIUS Access-Request EAP-Success RADIUS Access-Accept Порт авторизован EAPOL-Logoff RADIUS Account-Stop RADIUS Ack Порт не авторизован * OTP (One-Time-Password)
Сравнение 802. 1 x на основе портов и на основе MAC-адресов 802. 1 x на основе портов После того, как порт был авторизован, любой пользователь, подключенный к порту может получить доступ к локальной сети. 802. 1 x на основе MAC-адресов Не только проверяет имя пользователя/пароль, но и проверяет максимальное кол-во MAC-адресов, доступных для работы. Если предел достигнут, то блокирует новый MAC-адрес.
Сегментация трафика служит для разграничения доменов на уровне 2. Данная функция позволяет настраивать порты таким образом, чтобы они были изолированы друг от друга, но в то же время имели доступ к разделяемым портам, используемым для подключения сервером и магистрали сети провайдера. Данная функция может быть использована при построении сетей провайдеров.
Настройка сегментации трафика Des-3226: Disable/Enable Des-3226 S: Настройка таблицы сегментации на каждом порту
Access Control Profile • ACP обеспечивает ограничение прохождения трафика через коммутатор. Для включения функции ACP пользователь должен сначала создать маску для определения того, какое поле пакета содержит признак, используемый для фильтрации и затем применить правило фильтрации, сопоставленное с маской. • Поддержка до 10 профилей и до 50 правил. (Des-3226 S, Des-3326 S)
Типа профилей доступа Ethernet: IP: • Profile ID • ID профиля • VLAN • MAC-адрес источника • Маска IP-адреса источника • MAC-адрес назначения • Маска IP-адреса получателя • 802. 1 p • DSCP • Тип Ethernet • Протоколы (ICMP, IGMP, TCP, UDP) • разрешить или запретить • Порты TCP/UDP • разрешить или запретить
Профили и правила доступа на уровне Ethernet
Профили доступа на уровне IP
Коммутатор уровня 2 Ethernet ACL – Пример Сценарий: Разрешить некоторым пользователям доступ в Интернет, основываясь на MAC-адресах Интенет-шлюз Internet DES-3226 S Интернет-шлюз: IP=10. 254. 251/8 00 -50 -BA-00 -00 -19 PC 1: Разрешен доступ в Интернет IP 10. 1. 1. 1/8, 0050 ba 6 b 18 c 8 gw=10. 254. 251 PC-1 Другие компьютеры Остальные компьютеры (Запрещен доступ в Интернет) IP: 10. x. x. x/8
Коммутатор уровня 2 Ethernet ACL – Пример Правила: Если MAC-адрес назначения = шлюза и MAC-адрес источника = разрешенный компьютер, то разрешить (можно ввести несколько таких правил для других компьютеров, которым разрешен доступ) Если MAC-адрес назначения = шлюза, то запретить Иначе (разрешить все остальное по умолчанию) # MAC 0050 ba 6 b 18 c 8 может получать доступ в Интернет и к другим компьютерам. # Компьютеры с другими MAC-адресами не могут получить доступ к Интернет, но могут получить доступ друг к другу create access_profile ethernet source_mac FF-FF-FF-FF destination_mac FF-FF-FF-FF permit profile_id 10 config access_profile_id 10 add access_id 11 ethernet source_mac 00 -50 -ba-6 b-18 -c 8 destination_mac 00 -50 -ba-00 -00 -19 # add other permitted MAC rule here. create access_profile ethernet destination_mac FF-FF-FF-FF deny profile_id 20 config access_profile_id 20 add access_id 21 ethernet destination_mac 00 -50 -ba-00 -00 -19 Тест: PC 1 может обмениваться пакетами icmp с Интернет. (Разрешенный MAC-адрес имеет доступ в Интернет) PC 2 не может обмениваться пакетами icmp с Интернет. (Другие компьютеры не имеет доступ в Интернет) PC 1 и PC 2 могут обмениваться пакетами icmp друг с другом. (Intranet OK)
Коммутатор уровня 2 IP ACL – Пример Сценарий: Разрешить некоторым пользователям доступ в Интернет, основываясь на IP-адресах Internet Интенет-шлюз IP: 192. 168. 1. 254/32 Des-3226 S • Доступ в Интернет разрешен: 192. 168. 1. 1 ~ 192. 168. 1. 63 • Остальным компьютерам разрешен доступ только в локальную сеть Другие компьютеры. 1 ~. 63 Сеть: 192. 168. 1. x
Коммутатор уровня 2 IP ACL – Пример Rules: 1. Если Dest. IP=192. 168. 1. 254/32 и Src. IP=192. 168. 1. 1/26, то доступ разрешен 2. Если Dest. IP=192. 168. 1. 254/32 и Src. IP=192. 168. 1. 1/24, то доступ запрещен 3. Иначе, по умолчанию разрешить доступ для всего остального # разрешить доступ с адресов. 1 ~. 63 на шлюз. 254 create access_profile ip destination_ip_mask 255 source_ip_mask 255. 192 permit profile_id 10 config access_profile_id 10 add access_id 11 ip destination_ip 192. 168. 1. 254 source_ip 192. 168. 1. 1 # запретить доступ с адресов. 1~. 253 на шлюз. 254 create access_profile ip destination_ip_mask 255 source_ip_mask 255. 0 deny profile_id 20 config access_profile_id 20 add access_id 21 ip destination_ip 192. 168. 1. 254 soruce_ip 192. 168. 1. 1 # Иначе, по умолчанию разрешить доступ Тест: 1. 192. 168. 1. 1 ~ 192. 168. 1. 63 имеют доступ в Интернет (через. 254) и имеют доступ друг к другу. 64 ~. 253 PC 2. . 64 ~. 253 PC имеют доступ ко всем компьютерам. 1~. 253 PC, но не имеют доступ к шлюзу. 254
Функция Port Security (Des-3226) • На каждом порту Ethernet можно контролировать максимальное кол-во MAC-адресов, которое может быть изучено. Это полезно в решениях ETTH для контроля за тем, сколько пользователей могут одновременно подключаться к Интернет. ETTH Internet Max. User = 1 Max. user = 8 Пример: Порт 1: Максимальное кол-во адресов = 1 Порт 2: Максимальное кол-во адресов = 1 Порт 3: Максимальное кол-во адресов = 1 Порт 4: Максимальное кол-во адресов = 8 И т. д.
Port Security (DES-3226 S) 1. Максимальное кол-во изученных адресов: 0 – 8 2. Если выставлен 0: отключить обучение на данном порту.
Защита от несанкционированного доступа Задача: MAC-адреса, не внесенные в список на порту не могут получить доступа к сети Магистраль сети Mac 1 Mac 2 Mac 3 Mac 4 Mac 5 Mac 6 Mac 7 Mac 8 Mac 9 mac 10 Сервера • Включить блокировку автообучения на каждом порту (DES-3226 S) • Ввести список разрешенных MAC-адресов в статическую таблицу MAC-адресов. Максимальное кол-во записей для DES-3226 S= 128. Данное значение может варьироваться в зависимости от модели коммутатора.
SNMPv 1 и SNMP v 3 Что означает 1. 3. 6. 1. 2. 1. 1. 1 D-View 1. 3. 6. 1. 2. 1. 1. 1 = “Des 3226” IP=10. 1. 1. 2/8 Для чтения = public Для чтения/записи = private IP=10. 1. 1. 1/8 SNMP community String Для чтения = public Для чтения/записи = private Проблемы протокола SNMP версии 1 • Обеспечение безопасности только на основе параметра Community String. Параметр передается в текстовом незашифрованном виде. • Содержание пакетов SNMP также в виде plain-text. • Если параметр Community String корректен, все дерево MIB может быть просмотрено или изменено. Решение: SNMP v 3
Новые возможности в SNMPv 3 • Обеспечение функций безопасности • Шифрация/Дешифрация пакетов • Возможность настройки уровня привилегий пользователя • SNMP v 3 включает следующие 4 модели: • MPD(RFC 2572) • TARGET(RFC 2573) • USM(RFC 2574): User-based Security Model • VACM(RFC 2575): View-based Access Control Model • D-View 5. 1 поддерживает SNMPv 1 и SNMP V 3. • Управляемые устройства D-Link также поддерживают SNMP v 1 & V 3.
IGMP Snooping • IGMP Snooping является функцией L 2. • IGMP snooping позволяет коммутатору отслеживать группы многоадресных рассылок основанных на сообщениях IGMP, проходящих через коммутатор и пересылать многоадресный трафик только на порты, которые его запрашивали.
Для чего нужен IGMP Snooping Сервер мультимедиа Многоадресная рассылка Передача трафика на все порты Групповой трафик X X PC PC V Члены группы многоадресной рассылки X X V
• Общие функции коммутаторов 2 -го уровня D-Link • Общие функции коммутаторов 3 -го уровня D-Link
Почему коммутатор L 3? Solution Problem Solution L-2 LAN Перегруз Switching Router перегруз L-3 Switching
Маршрутизатор Коммутатор 3 уровня • Роутер позволяет ограничить распространение широковещательных пакетов внутри одной подсети. • Недостатки: -- CPU-маршрутизация медленно -- Один линк 10 или 100 Мбит/с, разделенный между подсетями. • Ограничение распространения широковещательных пакетов в одной подсети. • Аппаратная маршрутизация со скоростью подключения • Больше одновременных подключений практически нет ограничений на полосу пропускания.
Маршрутизатор Коммутатор 3 уровня Расчет маршрута и обработка пакетов полностью осуществляется на уровне 3. После принятия решения о маршрутизации пакеты передаются аппаратным интерфейсам уровня 2. Выбор пути происходит на уровне 3, а обработка пакетов осуществляется с помощью коммутатора на уровне 2.
Общие функции коммутаторов 3 -го уровня • Бесклассовая маршрутизация - CIDR • Подсети IP • RIPv 1/RIPv 2 • OSPF v 2 • IGMP v 2 • DVMRP v 3 • PIM Dense Mode (PIM-DM) • PIM Spare Mode (PIM-SM) • Пересылка пакетов DHCP/BOOTP
DES-3326 - Основные настройки PC 1 192. 168. 0. 100 255. 0 Шлюз: 192. 168. 0. 254 3 IP сети: 192. 168. 0. 0/24 (ports 1 -8) 192. 168. 1. 0/24 (ports 9 -16) 192. 168. 2. 0/24 (ports 17 -24) Тестирование: • Прохождение PING • Проверка таблицы маршрутизации VID=1 (Default_vlan) 192. 168. 0. 254 DES-3326 192. 168. 1. 254 VID=2 Switch DES-3624 192. 168. 1. 100 255. 0 Шлюз: 192. 168. 1. 254 192. 168. 2. 254 VID=3 PC 3 192. 168. 2. 100 255. 0 Шлюз: 192. 168. 2. 254
Шаги по настройке DES-3326 1. Выбрать режим работы: Коммутация на 3 уровне 2. Сконфигурировать 802. 1 Q VLAN группы 3. Сконфигурировать PVID 4. Сконфигурировать IP-интерфейсы для каждой группы VLAN 5. Провести тест PING 6. Проверить таблицу маршрутизации
Типичные компоненты таблицы маршрутизации: n Адрес сети назначения: Часть IP адреса, описывающая сеть назначения n Маска подсети: используется для определения типа сети n IP адрес следующего скачка – интерфейс, на который направляются IP пакеты или интерфейс маршрутизатора
Статическая и динамическая маршрутизация § § § Статическая таблица маршрутизации вводится вручную Преимущества статической маршрутизации § Простота использования § Надежность § Эффективность Недостатки статической маршрутизации § Нет масштабируемости § Нет адаптации при нарушениях связей • • • Динамическая таблица маршрутизации автоматически создается и обновляется посредством протоколов маршрутизации. Бывает двух типов: Протоколы вектора расстояния: RIP: (Routing Information Protocol) v 1 или v 2 Протоколы состояния канала: OSPF (Open Shortest Path First)
PIM (Protocol Independent Multicast) PIM состоит из двух протоколов: PIM – Dense Mode (PIM-DM), и PIM – Sparse Mode (PIM-SM) PIM-DM подобен DVMRP при формировании дерева доставки PIM-DM также пересылает многоадресные пакеты на все нисходящие интерфейсы пока не получит «усекающего» сообщения. PIM-DM использует восстанавливающие сообщения для «усеченных» прежде ветвей доставки, также как и DVMRP.
Пример PIM-DM Мультимедиа сервер V 11 V 12 DES-3326 S-A DES-3326 S-B V 13 V 12 Клиент IP: 192. 168. 13. 1/24 Клиент может присоединиться к группе IGMP и получить доступ к мультимедиа серверу. Если клиент не присоединится к группе, он не сможет получать многоадресные пакеты от сервера.
Пересылка пакетов BOOTP/DHCP • Пересылка пакетов BOOTP/DHCP позволяет рабочим станциям использовать BOOTP или DHCP сервер, чтобы получать параметры TCP/IP или файл загрузки, даже если сервера не находятся в той же подсети. • Если сервера и рабочие станции находятся в разных подсетях, необходим агент пересылки на коммутаторе для передачи пакетов между клиентом и сервером.
Пересылка BOOTP/DHCP/DNS Пересылка пакетов DHCP Relay/DNS Передает запрос на сервер DHCP Сеть 1 Посылает запрос DHCP или DNS DHCP клиент Сеть 2 Сеть 3 DHCP сервер/DNS сервер
Спасибо за внимание! ftp: //ftp. dlink. ru/pub/Training/presentations/ Иван Мартынюк D-Link Украина Консультант по проектам Тел. /Факс +380 (44) 216 -91 -51 IMartynyuk@Dlink. ru www. D-Link. ua
Скачать презентацию Коммутаторы Общие функции коммутаторов 2 -го уровня
cd0d69ff67ac4b396a7b3d683a555da7.ppt