Объяснение конфигурации порта сетевого коммутатора GB

 

Почему согласование скорости порта терпит неудачу (и что на самом деле можно сделать)

 

Вот о чем вам никто не скажет, когда вы только начинаете: автоматическое-согласование на гигабитных портах работает иначе, чем на интерфейсах 10/100. Спецификация IEEE 802.3ab требует, чтобы соединения 1000BASE-T работали исключительно в полнодуплексном-режиме. На гигабитных скоростях полудуплексный режим отсутствует. Период.

Поэтому, когда вы видите порт, зависший на скорости 100 Мбит/с, и задаетесь вопросом, что пошло не так, виновником обычно является одно из трех:

Кабель. Cat5 технически может поддерживать гигабитную скорость на коротких дистанциях, но я видел, как инженеры тратили часы на устранение неполадок, прежде чем кто-то наконец перешел на Cat5e или Cat6. Все четыре пары должны быть правильно терминированы,-а не только две, как это могло бы сойти с рук при использовании скоростей Fast Ethernet.

Принудительная установка на одном конце. Если кто-то настроил скорость на 100 на коммутаторе восходящей линии связи, в то время как ваш порт находится в автоматическом режиме, у вас будет плохой день. Сторона автоматического-согласования возвращается к параллельному обнаружению, и этот механизм не сортирует параметры так, как хотелось бы.

Плохие модули SFP. Особенно с оптоволоконными линиями связи. Не все трансиверы хорошо сочетаются со всеми поставщиками-некоторые коммутаторы очень требовательны к тому, что они принимают в этих слотах.

 

Переходим к настройке интерфейса

 

Путь в режим конфигурации интерфейса в Cisco IOS достаточно прост. Вы начинаете с ввода Enable в первом приглашении, затем вводите команду configure Terminal, чтобы перейти в режим глобальной конфигурации. Отсюда указание интерфейса GigabitEthernet0/1 приведет вас к контексту конфигурации интерфейса для этого конкретного порта.

Как только вы окажетесь там, настройка скорости и дуплекса станет простой задачей. Команда скорости 1000 блокирует порт для работы в гигабитном режиме, а полная дуплексная передача обеспечивает одновременную двустороннюю передачу. Большинство администраторов оставляют для обоих параметров значение auto, которое отлично подходит для портов доступа, подключаемых к рабочим станциям конечных-пользователей. Современные сетевые карты ведут переговоры без драматизма. Но связи между-коммутаторами заслуживают большего внимания-некоторые сетевые команды жестко запрограммируют их, чтобы исключить еще одну переменную во время устранения неполадок при сбоях.

Стоит отметить: как только вы заблокируете скорость 1000, порт откажется от чего-либо более медленного. Ноутбук с ненадежным сетевым адаптером не сможет вернуться к скорости 100 Мбит/с; он просто вообще не будет подключаться. Иногда это именно то поведение, которое вам нужно. Часто это не так.

 

 

Назначение VLAN: порты доступа и магистральные каналы

 

Именно здесь конфигурация становится интересной-и здесь быстрее всего накапливаются ошибки.

Порт доступа принадлежит ровно одной VLAN. Входящие кадры поступают без тегов; коммутатор связывает их с любой указанной вами VLAN. Это достигается путем входа в интерфейс, предоставления доступа к режиму порта переключения для определения типа порта, а затем доступа к порту переключения VLAN 10 (или любого другого применимого номера VLAN) для выполнения назначения.

Магистральные порты передают трафик для нескольких VLAN одновременно. Каждый кадр получает заголовок 802.1Q, определяющий, к какой VLAN он принадлежит. Исключением является собственная VLAN,-ее кадры проходят через магистраль без тегов. Конфигурация включает в себя настройку магистрали режима коммутируемого порта, затем определение собственной VLAN с помощью собственной виртуальной локальной сети коммутируемого порта 99 и, наконец, ограничение того, какие VLAN проходят по каналу, с помощью виртуальной локальной сети, разрешенной для коммутируемого порта, за которой следует список идентификаторов VLAN, разделенных запятыми-.

Это позволило спецификации VLAN иметь большее значение, чем думают люди. По умолчанию магистральные каналы разрешают все VLAN-каждую от 1 до 4094. Это редко то, что вам нужно. Обрезайте агрессивно.

 

Несовпадения собственных VLAN

Когда магистраль коммутатора A использует собственную VLAN 1, а коммутатор B использует собственную VLAN 99, нетегированные кадры попадают в разные VLAN на каждой стороне. Вычисления связующего дерева запутываются. Устройства теряют связь почти случайным образом.

CDP улавливает это и записывает предупреждение, но вам действительно нужно просмотреть журналы. Кроме того, необходимо включить CDP, что запрещено некоторыми политиками безопасности. Таким образом, несоответствие сохраняется, вызывая периодические странности, пока кто-нибудь, наконец, не додумается сравнить конфигурации.

 

Основы безопасности порта

 

Безопасность порта ограничивает MAC-адреса, которые могут отправлять трафик через интерфейс. Классический сценарий: запретить кому-либо отключать назначенный ему рабочий стол и вместо этого подключать личное устройство.

Настройка начинается с включения этой функции с помощью функции безопасности порта коммутатора-на интерфейсе. Затем вы определяете, сколько MAC-адресов должен поддерживать порт.-Порт коммутатора-Максимум безопасности 2 позволяет использовать два устройства. Далее указывается ответ на нарушение; switchport port-отключение при нарушении безопасности указывает коммутатору полностью отключить порт при появлении неавторизованных MAC-адресов. Наконец, переключатель порта-безопасности mac-адреса липкого предписывает коммутатору динамически изучать адреса и записывать их в работающую конфигурацию.

Липкий вариант действительно удобен. Коммутатор динамически запоминает MAC-адреса и записывает их в работающую конфигурацию. После сохранения эти адреса сохраняются при перезагрузке без ручного ввода.

Режимы нарушений определяют, что произойдет при появлении несанкционированного MAC:

Выключение переводит порт в состояние err-отключено. Движение полностью прекращается. Кто-то должен восстановить его вручную, или вам нужен сценарий EEM, обеспечивающий автоматическое восстановление.

Функция Restrict удаляет трафик с нарушающего MAC-адреса, но сохраняет порт в рабочем состоянии. Сообщение системного журнала записывает это событие. Законное устройство продолжает работать.

Защита работает так же, как ограничение, но не создает журнал. Тихий провал. Я не фанат-вы не узнаете, что что-то произошло, пока кто-нибудь не пожалуется.

Постоянная головная боль: IP-телефоны с последовательно-подключенными к ним компьютерами. Это два MAC-адреса через один порт. Если вы установили максимальное значение 1, порт отключится в тот момент, когда компьютер отправляет кадр. При установке этих ограничений учитывайте сценарии голосовой VLAN.

 

 

Несоответствие дуплексных режимов: тихий убийца производительности

 

Неправильные настройки полнодуплексного режима по сравнению с полудуплексным режимом-по сравнению с полудуплексным режимом полудуплекса не приводят к полной потере соединения. Они постепенно разрушают его. Пакеты конфликтуют, когда этого не должно быть. Счетчики поздних столкновений растут. Повторные передачи накапливаются. Пользователи сообщают, что «сеть работает медленно», но пинг работает нормально, и ничего очевидного не нарушено.

Проверьте счетчики интерфейса с помощью команды showinterface, за которой следует конкретный идентификатор порта. Ищите поздние коллизии, ошибки ввода, ошибки CRC, неточности. Исправный гигабитный порт, работающий в полнодуплексном режиме, показывает нули в этих полях. Все остальное требует расследования.

Типичный сценарий несоответствия: одна сторона жестко запрограммирована на полнодуплексный-дуплекс, другая сторона оставлена ​​в автоматическом режиме. Автоматическая сторона не может правильно определить дуплексный режим, поскольку удаленная сторона не участвует в согласовании. По умолчанию используется полудуплексный режим-в качестве запасного варианта безопасности. Теперь одна сторона передает и принимает одновременно, в то время как другая сторона считает, что ей нужно дождаться тишины перед отправкой. Столкновения происходят постоянно.

Решение простое: совместите настройки на обоих концах. Либо оба автоматически, либо оба явно настроены на одни и те же значения.

 

Управление широковещательным штормом

 

Широковещательный шторм полностью разрушит сеть. Одно неправильно сконфигурированное устройство или контур коммутации с отключенным связующим деревом переполняют структуру широковещательным трафиком. Каждый коммутатор повторяет это. Каждый порт пересылает его. Загрузка ЦП резко возрастает по всей инфраструктуре.

Контроль шторма обеспечивает регулирование. В режиме настройки интерфейса вы указываете уровень широковещательной передачи управления штормом-управлением, а затем процент, -скажем, 20,00-, чтобы ограничить широковещательный трафик до этого порога. Аналогичные команды существуют для многоадресного и одноадресного трафика. Директива отключения действия по контролю шторма сообщает коммутатору отключить порт при превышении пороговых значений; в качестве альтернативы, ловушка генерирует предупреждение SNMP, сохраняя при этом порт активным.

Уровень представляет собой процент пропускной способности порта. Когда широковещательный трафик превышает 20 % от гигабитного канала-это 200 Мбит/с широковещательного трафика-порт принимает меры. Выключение является агрессивным, но эффективным.

Я не настраиваю шторм-контроль на каждом порту. Это усложняет эксплуатацию. Но для уровней доступа в непредсказуемых средах-на производственных площадках, в общежитиях университетов, конференц-залах-это уже не раз доказывало свою ценность.

 

PortFast и BPDU Guard

 

Связующее дерево занимает от 30 до 50 секунд, чтобы перевести порт из режима блокировки в режим пересылки. Эта задержка защищает от образования петель в соединениях-к-коммутаторам, когда изменения топологии имеют значение. Для портов конечных-пользователей, где кто-то просто хочет подключиться и получить IP-адрес, это неприятно.

PortFast обходит состояния прослушивания и обучения. Вы включаете его на интерфейсе с протоколом связующего-дерева portfast, и порт начинает пересылку сразу после установления соединения.

Риск: если кто-то подключит к этому порту неуправляемый коммутатор, вы потенциально создадите петлю. PortFast не отключает связующее дерево-порт по-прежнему обрабатывает BPDU. Но он перенаправляет трафик немедленно, а не ждет.

BPDU Guard добавляет защиту. Включение его через связующее-дерево bpduguard Enable на интерфейсе означает, что любой полученный BPDU вызывает немедленное отключение при ошибке-. Если на этот порт поступает BPDU, значит что-то не так-там не должно быть другого коммутатора. Вы получите предупреждение, но сеть останется нетронутой.

Глобальные значения по умолчанию автоматически применяют эти функции ко всем портам доступа. В режиме глобальной конфигурации протокол spanning-tree portfast default включает PortFast универсально, а протокол spanning-tree portfast bpduguard default активирует BPDU Guard на тех же портах. Магистральные порты исключены из этих значений по умолчанию. Это разумный базовый уровень для корпоративных уровней доступа.

 

 

EtherChannel: агрегирование ссылок

 

Когда одно гигабитное соединение не обеспечивает достаточную пропускную способность между коммутаторами, EtherChannel объединяет несколько физических портов в один логический интерфейс. Два, четыре или восемь портов, объединенных вместе, представляют собой единую ссылку для вычислений связующего дерева.

LACP осуществляет согласование с использованием стандарта 802.3ad. Вы выбираете физические интерфейсы,-используя диапазон интерфейсов GigabitEthernet0/1 - 4, чтобы настроить несколько портов одновременно,-затем назначаете их группе каналов с активным режимом-группы каналов 1. После выхода из настройки диапазона вы настраиваете сам логический интерфейс, введя интерфейс Port-channel1 и применив нужные настройки, обычно это магистральный режим порта коммутатора для каналов между-коммутаторами.

Удаленный конец требует соответствующей конфигурации. Активные-активные работы. Активный-пассивный работает. Пассивный-пассивный режим не требует-обеих сторон вечно ждать, пока другая начнет действовать.

Распределение трафика по ссылкам-участникам использует алгоритм хеширования, обычно основанный на MAC- или IP-адресах источника-назначения. Отдельные потоки по-прежнему пересекают отдельные физические каналы; коммутатор не разделяет сеансы TCP по нескольким путям. При передаче большого файла между двумя серверами используется одна ссылка-участник, независимо от того, сколько их вы объединили.

 

Конфигурация голосовой VLAN

 

IP-телефоны усложняют работу. Телефону необходимо подключиться к голосовой VLAN для обработки QoS, а компьютер, подключенный через транзитный порт, должен подключиться к VLAN для данных. Оба устройства используют один физический порт коммутатора.

Конфигурация включает настройку порта в качестве порта доступа с режимом доступа к порту коммутатора, назначение VLAN для данных через виртуальную локальную сеть доступа к порту коммутатора 10, а затем отдельное указание голосовой VLAN с помощью голосовой сети коммутатора 50. Телефон получает назначение VLAN через CDP или LLDP-MED и соответствующим образом помечает свой трафик. ПК отправляет нетегированные кадры, которые попадают в VLAN данных. Все работает через один кабель.

Это означает два MAC-адреса на одном порту. Настройки безопасности порта должны соответствовать обоим параметрам, иначе вам придется тратить время на восстановление ошибочно-отключенных интерфейсов каждый раз, когда оборудование перемещает стол.

 

Авто-MDIX

 

Раньше перекрестные кабели и прямые-проходные имели значение. Подключите коммутатор к коммутатору с помощью прямого-кабеля на старом оборудовании, и соединение не появится-вам нужен кроссовер.

Современные интерфейсы Gigabit Ethernet с автоматическим-MDIX обнаруживают необходимую проводку и выполняют внутреннюю компенсацию. Эта функция управляется через mdix auto в режиме настройки интерфейса и включена по умолчанию на большинстве современных аппаратных средств Cisco. Некоторое устаревшее оборудование и определенное оборудование сторонних производителей (не-Cisco) не имеют этой функции. Если соединение не устанавливается и вы исключили повреждение кабеля, попробуйте переключиться на кроссовер, прежде чем предполагать сбой порта.

 

Полезные команды проверки

 

Команды, которые я выполняю постоянно:

Команда showinterfaces status предоставляет быстрый обзор-подключения и отсутствия подключения, назначения VLAN, скорости и дуплексного режима на всех портах в одном представлении.

Запуск интерфейсов show, за которыми следует определенный идентификатор порта, предоставляет подробные счетчики: пакеты ввода/вывода, ошибки, отбрасывания очереди, время последней очистки.

Команда show mac Address-table интерфейса, за которой следует порт, показывает, какие MAC-адреса были изучены на этом интерфейсе.

Для состояния связующего дерева в интерфейсе show spanning-tree отображается роль STP порта и стоимость пути.

Команда show Interfaces Trunk выводит список всех активных транков с указанием разрешенных и активных VLAN.

Статус безопасности порта определяется интерфейсом безопасности show port-, который сообщает о количестве нарушений и обнаруженных на данный момент адресах.

Вы можете передать вывод через include для фильтрации. Запуск команды состояния с каналом для включения подключенных каналов отображает только порты с активными каналами. Сохраняет прокрутку страниц отключенных интерфейсов.

 

Восстановление ошибочных-отключенных портов

 

Порт показывает ошибку-отключен. Прежде чем подпрыгивать, поймите, почему. Команда show Interfaces status отображает текущее состояние, а команда show errdisable Recovery отображает настроенные механизмы восстановления и их таймеры.

Общие триггеры включают нарушения безопасности порта, активацию BPDU Guard, чрезмерное колебание канала и сбои UDLD, обнаруживающие проблемы с однонаправленным оптоволокном.

Автоматическое восстановление можно настроить в режиме глобальной конфигурации. Команда errdisable Recovery Cause All включает автоматическое восстановление для всех типов триггеров, а errdisable Recovery Interval 300 устанавливает таймер повтора на 300 секунд.

Если автоматическое восстановление не настроено, требуется вмешательство вручную. Войдите в контекст конфигурации интерфейса, выполните завершение работы, чтобы административно отключить порт, а затем не выключайте его, чтобы снова включить его.

Слепое повторное включение-без проверки гарантирует, что вскоре вы повторите это снова. Если сработал BPDU Guard, кто-то подключил коммутатор. Если сработала защита порта, появилось неавторизованное устройство. Основная причина требует устранения.

 

Заключительные замечания

 

Конфигурация порта GB концептуально не сложна, но детали накапливаются. Неправильное назначение VLAN, неправильная настройка соединительной линии, ограничение безопасности порта, не учитывающее IP-телефон,-небольшие упущения приводят к серьезным сбоям в работе.

Документируйте свои конфигурации. Четко обозначьте физические порты. Создавайте шаблоны для распространенных сценариев и применяйте их последовательно.

По возможности тестируйте изменения во время периодов обслуживания. Это очевидный совет. Это также совет, который я проигнорировал в 15:00 в случайный вторник, и результат оказался вполне предсказуемым.