GB Konfigurace portu síťového přepínače Vysvětlena

 

Proč selhávají vyjednávání o rychlosti portů (a co vlastně můžete dělat)

 

Tady je věc, kterou vám nikdo neřekne, když začínáte: automatické{0}}vyjednávání na gigabitových portech funguje jinak než na rozhraních 10/100. Specifikace IEEE 802.3ab vyžaduje, aby připojení 1000BASE-T fungovala výhradně v plně-duplexním režimu. Neexistuje žádná možnost polovičního-duplexu při gigabitových rychlostech. Období.

Takže když vidíte, že port je zaseknutý na 100 Mbps a divíte se, co se pokazilo, viníkem je obvykle jedna ze tří věcí:

Kabel. Cat5 může technicky podporovat gigabit v krátkých sériích, ale viděl jsem, jak inženýři ztrácejí hodiny řešením problémů, než někdo konečně vymění Cat5e nebo Cat6. Všechny čtyři páry musí být správně ukončeny-ne jen dva, jak byste mohli vyjít s rychlostí Fast Ethernet.

Nucené nastavení na jednom konci. Pokud někdo nakonfiguroval rychlost na uplinkovém přepínači na 100, zatímco váš port sedí na auto, budete mít špatný den. Strana automatického-vyjednávání se vrací k paralelní detekci a tento mechanismus neřeší elegantně parametry tak, jak byste doufali.

Špatné moduly SFP. Zejména u optických uplinků. Ne všechny transceivery hrají dobře u všech prodejců-některé přepínače jsou skutečně vybíravé, co do těchto slotů přijmou.

 

Vstup do konfigurace rozhraní

 

Cesta do režimu konfigurace rozhraní je na Cisco IOS dostatečně jednoduchá. Začněte tím, že na úvodní výzvu napíšete enable a poté vstoupíte do konfiguračního terminálu, abyste dosáhli režimu globální konfigurace. Odtud se zadáním rozhraní GigabitEthernet0/1 dostanete do kontextu konfigurace rozhraní pro tento konkrétní port.

Jakmile jste tam, nastavení rychlosti a duplexu je jednoduché. Příkaz rychlosti 1000 uzamkne port na gigabitový provoz, zatímco duplexní plný zajišťuje obousměrný simultánní přenos. Většina administrátorů nechává oba parametry na auto, což funguje dobře pro přístupové porty připojující se k pracovním stanicím koncových-uživatelů. Moderní síťové karty zvládají vyjednávání bez dramatu. Ale mezi-přepínače si zaslouží více zamyšlení-některé síťové týmy je pevně kódují, aby při odstraňování problémů s výpadky eliminovaly ještě jednu proměnnou.

Za zmínku: jakmile uzamknete rychlost 1000, port odmítne cokoliv pomalejšího. Notebook s nefunkční síťovou kartou neklesne zpět na 100 Mbps; prostě se to vůbec nespojí. To je občas chování, které chcete. Často tomu tak není.

 

 

Přiřazení VLAN: Přístup k portům a kmenům

 

Zde začíná být konfigurace zajímavá-a kde se chyby hromadí nejrychleji.

Přístupový port patří právě jedné VLAN. Příchozí snímky přicházejí neoznačené; přepínač je spojí s jakoukoli VLAN, kterou jste zadali. Toho dosáhnete tak, že vstoupíte do rozhraní, vydáte přístup v režimu přepínače, abyste definovali typ portu, a poté proveďte přiřazení přístupu k přepínači vlan 10 (nebo libovolné číslo VLAN).

Trunk porty přenášejí provoz pro více VLAN současně. Každý rámec dostane hlavičku 802.1Q identifikující, ke které VLAN patří. Výjimkou je nativní VLAN-její rámce procházejí kmenem bez označení. Konfigurace zahrnuje nastavení trunku režimu switchportu, pak definování nativní VLAN s switchport trunk nativní vlan 99 a nakonec omezení, které VLAN procházejí linkou pomocí switchport trunk povolené vlan, za kterým následuje váš seznam ID VLAN oddělených čárkou-.

To umožnilo, že specifikace VLAN je důležitější, než si lidé uvědomují. Kmeny ve výchozím nastavení povolují všechny sítě VLAN-každé od 1 do 4094. To je zřídka to, co chcete. Agresivně prořezávejte.

 

Neshody nativních VLAN

Když kmen přepínače A používá nativní VLAN 1, zatímco přepínač B používá nativní VLAN 99, neoznačené rámce přistávají na různých VLAN na každé straně. Výpočty kostry jsou zmatené. Zařízení ztrácejí konektivitu způsoby, které vypadají téměř náhodně.

CDP to zachytí a zaznamená varování, ale musíte se skutečně podívat na protokoly. A je potřeba povolit CDP, což některé bezpečnostní zásady zakazují. Takže ten nesoulad tam sedí a způsobuje občasné podivnosti, dokud někoho konečně nenapadne porovnat konfigurace.

 

Základy zabezpečení přístavu

 

Zabezpečení portu omezuje, které adresy MAC mohou odesílat provoz přes rozhraní. Klasický scénář: zabránit někomu v odpojení přiřazeného desktopu a místo toho připojit osobní zařízení.

Nastavení začíná povolením funkce prostřednictvím zabezpečení portu{0}}přepínače v rozhraní. Poté definujete, kolik MAC adres by měl port tolerovat-přepínač portu-maximální zabezpečení 2 umožňuje dvě zařízení. Dále je specifikována odpověď na porušení; switchport port-vypnutí narušení bezpečnosti sděluje přepínači, aby port úplně deaktivoval, když se objeví neautorizované adresy MAC. Nakonec adresa portu switchport-security mac-sticky dává přepínači pokyn, aby se dynamicky naučil adresy a zapsal je do běžící konfigurace.

Lepkavá možnost je opravdu užitečná. Přepínač se dynamicky učí MAC adresy a zapisuje je do běžící konfigurace. Po uložení tyto adresy přežijí restartování bez ručního zadání.

Režimy porušení určují, co se stane, když se objeví neautorizovaná MAC:

Vypnutí uvede port do chybně{0}}deaktivovaného stavu. Doprava se úplně zastaví. Někdo to musí ručně obnovit, nebo potřebujete skript EEM, který zpracuje automatické obnovení.

Omezit pokles provozu z problematické MAC adresy, ale ponechá port funkční. Událost zaznamená zpráva syslog. Legitimní zařízení nadále funguje.

Protect funguje jako omezení, ale negeneruje žádný protokol. Tiché selhání. Nejsem fanoušek,-nepoznáte, že se něco stalo, dokud si někdo nebude stěžovat.

Opakující se bolesti hlavy: IP telefony s PC-za sebou v řetězci. To jsou dvě MAC adresy přes jeden port. Pokud jste nastavili maximum na 1, port se vypne v okamžiku, kdy počítač odešle rámec. Při nastavování těchto limitů zohledněte scénáře hlasové VLAN.

 

 

Duplex Mismatches: The Quiet Performance Killer

 

Nesprávná konfigurace plně -duplexu versus polovičního{1}}duplexu připojení přímo nenaruší. Postupně to degradují. Pakety se srazí, když by neměly. Počítadla pozdních kolizí stoupají. Opakované přenosy se hromadí. Uživatelé hlásí, že „síť je pomalá“, ale ping funguje dobře a nic zjevného se nezdá být poškozené.

Zkontrolujte čítače rozhraní pomocí příkazu show interface následovaného specifickým identifikátorem portu. Hledejte pozdní kolize, vstupní chyby, CRC chyby, runty. Zdravý gigabitový port běžící plně-duplexně zobrazuje v těchto polích nuly. Cokoli jiného vyžaduje vyšetření.

Typický scénář nesouladu: jedna strana je napevno zakódována na plný{0}}duplex, druhá strana je ponechána automaticky. Automatická strana nemůže správně určit duplexní režim, protože vzdálený konec se neúčastní vyjednávání. Výchozí nastavení je poloviční-duplex jako bezpečnostní záložní. Nyní máte jednu stranu, která vysílá a přijímá současně, zatímco druhá strana si myslí, že před odesláním musí počkat na ticho. Ke kolizím dochází neustále.

Oprava je přímočará: nastavení shody na obou koncích. Buď oba automaticky, nebo oba explicitně nakonfigurované na stejné hodnoty.

 

Vysílat Storm Control

 

Vysílaná bouře zcela srovná síť. Jedno nesprávně nakonfigurované zařízení nebo přepínací smyčka se zakázaným spanning tree zaplaví síť přenosem vysílání. Každý přepínač to replikuje. Každý port to přeposílá. Využití CPU stoupá napříč celou infrastrukturou.

Storm control poskytuje škrcení. V režimu konfigurace rozhraní určíte-úroveň vysílání řízení bouře následovanou procentem-řekněme 20:00-, abyste omezili provoz vysílání na této hranici. Podobné příkazy existují pro multicast a unicast provoz. Direktiva vypnutí akce storm-control říká přepínači, aby deaktivoval port, když jsou překročeny prahové hodnoty; alternativně trap generuje výstrahu SNMP a zároveň udržuje port naživu.

Úroveň představuje procento šířky pásma portu. Když přenos vysílání překročí 20 % gigabitového spojení-to je 200 Mb/s vysílání-, port zareaguje. Vypínání je agresivní, ale účinné.

Nekonfiguruji Storm control na každém jednotlivém portu. Přidává to provozní složitost. Ale pro přístupové vrstvy v nepředvídatelných prostředích-výrobních podlaží, univerzitních kolejí, konferenčních místností- se to více než jednou osvědčilo.

 

PortFast a BPDU Guard

 

Přechod portu z blokování na předávání trvá 30 až 50 sekund. Toto zpoždění chrání před smyčkami v připojení-k{4}}přepínači, kde záleží na změně topologie. U portů koncových{6}}uživatelů, kde se někdo chce jen připojit a získat IP adresu, je to frustrující.

PortFast obchází stavy poslechu a učení. Povolíte jej na rozhraní se spanning-tree portfast a port se začne přesměrovávat ihned po vytvoření odkazu.

Riziko: pokud někdo do tohoto portu zapojí nespravovaný přepínač, potenciálně jste vytvořili smyčku. PortFast nezakazuje spanning tree-port stále zpracovává BPDU. Ale místo čekání okamžitě přesměruje provoz.

BPDU Guard přidává ochranu. Povolení pomocí spanning-tree bpduguard enable na rozhraní znamená, že jakýkoli přijatý BPDU spouští okamžité err-disable. Pokud na tento port dorazí BPDU, je něco v nepořádku-neměl by tam být další přepínač. Dostanete upozornění, ale síť zůstane nedotčena.

Globální výchozí hodnoty aplikují tyto funkce na všechny přístupové porty automaticky. V režimu globální konfigurace spanning-tree portfast default povolí PortFast univerzálně, zatímco spanning-tree portfast bpduguard default aktivuje BPDU Guard na stejných portech. Trunk porty jsou vyloučeny z těchto výchozích nastavení. Je to rozumný základ pro vrstvy podnikového přístupu.

 

 

EtherChannel: Agregování odkazů

 

Pokud jediné gigabitové připojení neposkytuje dostatečnou šířku pásma mezi přepínači, EtherChannel sdružuje více fyzických portů do jednoho logického rozhraní. Dva, čtyři nebo osm portů agregovaných dohromady, které se objevují jako jediný odkaz na výpočty spanning tree.

LACP zpracovává vyjednávání pomocí standardu 802.3ad. Vyberete fyzická rozhraní-pomocí rozsahu rozhraní GigabitEthernet0/1 - 4 ke konfiguraci více portů současně-a poté je přiřadíte ke skupině kanálů s aktivním režimem-skupiny kanálů 1. Po opuštění konfigurace rozsahu nakonfigurujete samotné logické rozhraní zadáním rozhraní Port-channel1 a použitím požadovaných nastavení, obvykle kmene režimu switchport pro mezipřepínací propojení.

Vzdálený konec vyžaduje odpovídající konfiguraci. Aktivní-aktivní funguje. Aktivní-pasivní funguje. Pasivní-pasivní-obě strany nečekají věčně, až ta druhá začne.

Distribuce provozu mezi odkazy členů používá algoritmus hash, obvykle založený na zdrojových-cílových adresách MAC nebo IP. Jednotlivé toky stále procházejí jednotlivými fyzickými spoji; přepínač nerozděluje relace TCP na více cest. Přenos velkého souboru mezi dvěma servery používá jeden členský odkaz bez ohledu na to, kolik jste jich sbalili.

 

Konfigurace hlasové VLAN

 

IP telefony zvyšují složitost. Telefon potřebuje umístění na hlasové VLAN pro QoS ošetření, zatímco PC připojené přes jeho průchozí port by mělo přistát na datové VLAN. Obě zařízení sdílejí jeden fyzický port přepínače.

Konfigurace zahrnuje nastavení portu jako přístupového portu s přístupem v režimu switchportu, přiřazení datové VLAN prostřednictvím switchport access vlan 10 a následné specifikování hlasové VLAN samostatně pomocí switchport voice vlan 50. Telefon obdrží přiřazení VLAN přes CDP nebo LLDP-MED a podle toho označí svůj provoz. PC posílá neoznačené rámce, které přistávají v datové VLAN. Vše funguje přes jediný kabel.

To znamená dvě MAC adresy na jednom portu. Nastavení zabezpečení portu musí vyhovovat obojímu, jinak budete trávit čas obnovou chybně-deaktivovaných rozhraní pokaždé, když zařízení přesune stůl.

 

Auto{0}}MDIX

 

Zkřížené kabely versus rovné-průchozí, na kterých záleží. Připojte přepínač k přepínači pomocí přímého{2}}kabelu na starším zařízení a odkaz se neobjeví-potřebujete křížení.

Moderní rozhraní Gigabit Ethernet s automatickým{0}}MDIX detekují požadované zapojení a interně kompenzují. Tato funkce se ovládá pomocí mdix auto v režimu konfigurace rozhraní a ve výchozím nastavení je povolena na většině aktuálního hardwaru Cisco. Některá starší zařízení a určitá zařízení, která nejsou -Cisco, tuto funkci postrádají. Pokud se spojení odmítne navázat a vyloučili jste poškození kabelu, zkuste přejít na křížený, než předpokládáte selhání portu.

 

Užitečné ověřovací příkazy

 

Příkazy, které spouštím neustále:

Příkaz show interfaces status poskytuje rychlý přehled-připojeno versus nepřipojeno, přiřazení VLAN, rychlost, duplex na všech portech v jednom zobrazení.

Spuštění rozhraní show následovaná specifickým identifikátorem portu poskytuje podrobné čítače: vstupní/výstupní pakety, chyby, poklesy ve frontě, čas posledního vymazání.

Příkaz show mac address-table interface následovaný portem odhalí, které adresy MAC byly na tomto rozhraní naučeny.

U stavu spanning tree zobrazuje rozhraní show spanning{0}}stromu roli STP portu a cenu cesty.

Příkaz show interfaces trunk vypíše všechny aktivní trunky s jejich povolenými a aktivními VLAN.

Stav zabezpečení portu pochází z rozhraní zabezpečení -zobrazit port, které hlásí počty porušení a aktuálně získané adresy.

Výstup můžete zahrnout do kanálu pro filtrování. Spuštění příkazu status s kanálem pro zahrnutí připojených zobrazí pouze porty s aktivními odkazy. Ušetří procházení stránkami zakázaných rozhraní.

 

Obnova Err{0}}zakázaných portů

 

Port ukazuje err-deaktivován. Než to odhodíte, pochopte proč. Příkaz show interfaces status odhaluje aktuální stav, zatímco show errdisable recovery zobrazuje, které mechanismy obnovy jsou nakonfigurovány a jejich časovače.

Mezi běžné spouštěče patří narušení zabezpečení portů, aktivace BPDU Guard, nadměrné prolamování spojení a selhání UDLD detekující problémy s jednosměrnými vlákny.

Automatické obnovení je konfigurovatelné v režimu globální konfigurace. Příkaz errdisable recovery způsobit všechny umožňuje automatické obnovení pro všechny typy spouštění, zatímco errdisable recovery interval 300 nastavuje časovač opakování na 300 sekund.

Bez nakonfigurované automatické obnovy je nutný ruční zásah. Zadejte kontext konfigurace rozhraní, proveďte vypnutí, abyste port administrativně deaktivovali, a poté žádné vypnutí, abyste jej znovu aktivovali.

Znovu naslepo{0}}povolte bez zjišťování záruk, že to brzy uděláte znovu. Pokud se spustil BPDU Guard, někdo zapojil spínač. Pokud se aktivovalo zabezpečení portu, objevilo se neautorizované zařízení. Je třeba řešit základní příčinu.

 

Závěrečné pozorování

 

Konfigurace portu GB není koncepčně složitá, ale podrobnosti se hromadí. Zmeškané přiřazení VLAN, nesprávné nastavení trunku, bezpečnostní limit portů, který nezohledňuje-malá přehlédnutí IP telefonu, se stávají významnými výpadky.

Zdokumentujte své konfigurace. Jasně označte fyzické porty. Vytvářejte šablony pro běžné scénáře a aplikujte je konzistentně.

Testujte změny během období údržby, kdykoli je to možné. To je jasná rada. Je to také rada, kterou jsem v 15:00 náhodného úterý ignoroval, se zcela předvídatelnými výsledky.