Giải thích về cấu hình cổng chuyển mạch mạng GB

 

Tại sao đàm phán tốc độ cổng không thành công (Và bạn thực sự có thể làm gì)

 

Đây là điều không ai nói với bạn khi bạn mới bắt đầu:-tự động đàm phán trên cổng Gigabit hoạt động khác với trên giao diện 10/100. Đặc tả IEEE 802.3ab yêu cầu các kết nối 1000BASE{6}}T chỉ hoạt động ở chế độ song công hoàn toàn-. Không có tùy chọn song công một nửa ở tốc độ gigabit. Giai đoạn.

Vì vậy, khi bạn thấy một cổng bị kẹt ở tốc độ 100 Mbps và tự hỏi điều gì đã xảy ra, thủ phạm thường là một trong ba điều sau:

Cáp. Về mặt kỹ thuật, Cat5 có thể hỗ trợ gigabit trong thời gian ngắn, nhưng tôi đã thấy các kỹ sư lãng phí hàng giờ để khắc phục sự cố trước khi cuối cùng có người đổi sang Cat5e hoặc Cat6. Tất cả bốn cặp cần được kết thúc một cách chính xác-không chỉ hai cặp như bạn có thể thực hiện ở tốc độ Fast Ethernet.

Một thiết lập bắt buộc ở một đầu. Nếu ai đó định cấu hình tốc độ thành 100 trên công tắc đường lên trong khi cổng của bạn ở chế độ tự động, thì bạn sẽ có một ngày tồi tệ. Bên-thương lượng tự động quay lại phát hiện song song và cơ chế đó không sắp xếp các tham số một cách khéo léo theo cách bạn mong muốn.

Mô-đun SFP xấu. Đặc biệt với các đường lên cáp quang. Không phải tất cả các bộ thu phát đều hoạt động tốt với tất cả các nhà cung cấp-một số bộ chuyển mạch thực sự kén chọn về những gì họ sẽ chấp nhận trong các khe cắm đó.

 

Bắt đầu cấu hình giao diện

 

Đường dẫn vào chế độ cấu hình giao diện đủ đơn giản trên Cisco IOS. Bạn bắt đầu bằng cách gõ kích hoạt ở dấu nhắc ban đầu, sau đó nhập cấu hình thiết bị đầu cuối để đến chế độ cấu hình chung. Từ đó, việc chỉ định giao diện GigabitEthernet0/1 sẽ đưa bạn vào bối cảnh cấu hình giao diện cho cổng cụ thể đó.

Khi bạn đã ở đó, việc cài đặt tốc độ và in hai mặt rất đơn giản. Lệnh tốc độ 1000 sẽ khóa cổng ở chế độ hoạt động gigabit, trong khi chế độ song công hoàn toàn đảm bảo truyền đồng thời hai chiều. Hầu hết quản trị viên để cả hai tham số ở chế độ tự động, điều này hoạt động tốt đối với các cổng truy cập kết nối với máy trạm của người dùng cuối-. Các NIC hiện đại xử lý việc đàm phán mà không có kịch tính. Tuy nhiên, các liên kết chuyển đổi giữa- đáng được suy nghĩ nhiều hơn-một số nhóm mạng mã hóa cứng những liên kết đó để loại bỏ thêm một biến trong quá trình khắc phục sự cố ngừng hoạt động.

Đáng lưu ý: khi bạn khóa tốc độ 1000, cổng sẽ từ chối mọi thứ chậm hơn. Một máy tính xách tay có NIC không ổn định sẽ không quay trở lại tốc độ 100 Mbps; nó chỉ đơn giản là không liên kết gì cả. Đó đôi khi là hành vi bạn muốn. Thường thì không.

 

 

Phân công Vlan: Cổng truy cập và trung kế

 

Đây là lúc cấu hình trở nên thú vị-và là nơi xảy ra lỗi nhanh nhất.

Một cổng truy cập thuộc về chính xác một VLAN. Các khung hình đến không được gắn thẻ; switch liên kết chúng với bất kỳ VLAN nào bạn đã chỉ định. Bạn thực hiện việc này bằng cách vào giao diện, cấp quyền truy cập chế độ cổng chuyển mạch để xác định loại cổng, sau đó truy cập cổng chuyển mạch vlan 10 (hoặc bất kỳ số Vlan nào được áp dụng) để thực hiện nhiệm vụ.

Các cổng trung kế mang lưu lượng truy cập cho nhiều Vlan cùng một lúc. Mỗi khung có một tiêu đề 802.1Q xác định nó thuộc về VLAN nào. Ngoại lệ là VLAN gốc-các khung của nó đi qua đường trục mà không được gắn thẻ. Cấu hình bao gồm việc thiết lập đường trục chế độ cổng chuyển mạch, sau đó xác định Vlan gốc bằng vlan gốc của cổng chuyển mạch vlan 99 và cuối cùng hạn chế các Vlan nào đi qua liên kết bằng cách sử dụng vlan được phép của đường trục cổng chuyển mạch, theo sau là danh sách ID Vlan được phân tách bằng dấu phẩy-.

Điều đó cho phép đặc tả VLAN quan trọng hơn mọi người nhận ra. Theo mặc định, các đường trục cho phép tất cả các VLAN-từ 1 đến 4094. Đó hiếm khi là điều bạn muốn. Cắt tỉa một cách tích cực.

 

Vlan gốc không khớp

Khi đường trục của Switch A sử dụng VLAN 1 gốc trong khi Switch B sử dụng VLAN 99 gốc, các khung không được gắn thẻ sẽ nằm trong các VLAN khác nhau ở mỗi bên. Tính toán cây bao trùm bị nhầm lẫn. Các thiết bị mất kết nối theo những cách gần như ngẫu nhiên.

CDP nắm bắt được điều này và ghi lại cảnh báo, nhưng bạn phải thực sự xem nhật ký. Và CDP cần được kích hoạt, điều mà một số chính sách bảo mật nghiêm cấm. Vì vậy, sự không phù hợp nằm ở đó, gây ra sự kỳ lạ liên tục, cho đến khi cuối cùng ai đó nghĩ ra cách so sánh cấu hình.

 

Nguyên tắc cơ bản về bảo mật cổng

 

Bảo mật cổng hạn chế địa chỉ MAC nào có thể gửi lưu lượng truy cập qua giao diện. Kịch bản cổ điển: ngăn ai đó rút phích cắm máy tính để bàn được chỉ định của họ và thay vào đó kết nối thiết bị cá nhân.

Quá trình thiết lập bắt đầu bằng việc bật tính năng này thông qua bảo mật cổng chuyển đổi-trên giao diện. Sau đó, bạn xác định số lượng địa chỉ MAC mà cổng có thể chấp nhận-cổng switchport-bảo mật tối đa 2 cho phép hai thiết bị. Phản hồi vi phạm sẽ được chỉ định tiếp theo; cổng switchport-tắt vì vi phạm bảo mật sẽ yêu cầu switch tắt hoàn toàn cổng khi xuất hiện các MAC trái phép. Cuối cùng, switchport port-security mac-địa chỉ cố định sẽ hướng dẫn switch tự động tìm hiểu các địa chỉ và ghi chúng vào cấu hình đang chạy.

Tùy chọn dính thực sự tiện dụng. Switch sẽ học địa chỉ MAC một cách linh hoạt và ghi chúng vào cấu hình đang chạy. Sau khi lưu, những địa chỉ đó sẽ tồn tại khi khởi động lại mà không cần nhập thủ công.

Các chế độ vi phạm xác định điều gì xảy ra khi MAC trái phép xuất hiện:

Việc tắt máy sẽ đưa cổng vào trạng thái-bị vô hiệu hóa. Giao thông dừng hoàn toàn. Ai đó phải khôi phục thủ công hoặc bạn cần tập lệnh EEM xử lý khôi phục tự động.

Hạn chế giảm lưu lượng truy cập từ MAC vi phạm nhưng vẫn giữ cho cổng hoạt động. Một thông báo nhật ký hệ thống ghi lại sự kiện. Thiết bị hợp pháp tiếp tục hoạt động.

Bảo vệ hoạt động như hạn chế nhưng không tạo ra nhật ký. Im lặng thất bại. Tôi không phải là người hâm mộ-bạn sẽ không biết chuyện gì đã xảy ra cho đến khi có ai đó phàn nàn.

Đau đầu thường xuyên: Điện thoại IP có PC kết nối-ở phía sau. Đó là hai địa chỉ MAC thông qua một cổng. Nếu bạn đặt mức tối đa là 1, cổng sẽ tắt ngay khi PC gửi khung. Tính đến các tình huống VLAN thoại khi đặt các giới hạn này.

 

 

Sự không khớp song công: Kẻ giết người hiệu suất thầm lặng

 

Cấu hình sai song công hoàn toàn-song công so với một nửa{1}}song công không làm gián đoạn kết nối hoàn toàn. Họ làm suy giảm nó dần dần. Các gói va chạm khi không nên. Bộ đếm va chạm muộn leo lên. Việc truyền lại được tích lũy. Người dùng báo cáo rằng "mạng chậm", nhưng ping hoạt động tốt và không có gì rõ ràng bị hỏng.

Kiểm tra bộ đếm giao diện bằng lệnh hiển thị giao diện, theo sau là mã định danh cổng cụ thể. Tìm kiếm các xung đột muộn, lỗi đầu vào, lỗi CRC, lỗi runt. Một cổng gigabit hoạt động tốt chạy song công-hoàn toàn sẽ hiển thị các số 0 trên các trường này. Bất cứ điều gì khác cần điều tra.

Trường hợp không khớp điển hình: một mặt được mã hóa cứng thành song công hoàn toàn-, mặt còn lại ở chế độ tự động. Phía tự động không thể xác định chính xác chế độ song công vì đầu từ xa không tham gia đàm phán. Nó được mặc định ở chế độ song công một nửa như một phương án dự phòng an toàn. Bây giờ bạn có một bên truyền và nhận đồng thời trong khi bên kia cho rằng cần phải đợi im lặng trước khi gửi. Những va chạm xảy ra liên tục.

Cách khắc phục rất đơn giản: khớp cài đặt ở cả hai đầu. Cả hai đều tự động hoặc cả hai đều được định cấu hình rõ ràng cho cùng một giá trị.

 

Kiểm soát bão phát sóng

 

Một cơn bão phát sóng sẽ san phẳng hoàn toàn một mạng lưới. Một thiết bị được định cấu hình sai hoặc một vòng chuyển mạch bị vô hiệu hóa cây bao trùm sẽ làm tràn lưu lượng phát sóng vào kết cấu. Mọi switch đều sao chép nó. Mọi cổng đều chuyển tiếp nó. Mức sử dụng CPU tăng đột biến trên toàn bộ cơ sở hạ tầng.

Kiểm soát bão cung cấp khả năng điều tiết. Trong chế độ cấu hình giao diện, bạn chỉ định-mức phát sóng kiểm soát bão theo sau là tỷ lệ phần trăm-ví dụ 20,00-để giới hạn lưu lượng phát sóng ở ngưỡng đó. Các lệnh tương tự tồn tại cho lưu lượng multicast và unicast. Chỉ thị tắt hành động kiểm soát bão yêu cầu công tắc vô hiệu hóa cổng khi vượt quá ngưỡng; Ngoài ra, bẫy tạo cảnh báo SNMP trong khi vẫn giữ cổng hoạt động.

Mức này đại diện cho phần trăm băng thông của cổng. Khi lưu lượng phát sóng vượt quá 20% của liên kết gigabit-tức là tốc độ phát sóng là 200 Mbps-cổng sẽ hành động. Tắt máy là tích cực nhưng hiệu quả.

Tôi không định cấu hình kiểm soát bão trên mỗi cổng. Nó thêm sự phức tạp trong hoạt động. Nhưng đối với các lớp truy cập trong môi trường không thể đoán trước-sàn sản xuất, ký túc xá đại học, phòng hội nghị-nó đã hơn một lần chứng minh được giá trị của mình.

 

Bảo vệ PortFast và BPDU

 

Cây kéo dài mất 30 đến 50 giây để chuyển một cổng từ chặn sang chuyển tiếp. Độ trễ đó bảo vệ chống lại các vòng lặp trong các kết nối chuyển đổi-sang-chuyển đổi nơi cấu trúc liên kết thay đổi quan trọng. Đối với các cổng-người dùng cuối mà ai đó chỉ muốn cắm vào và lấy địa chỉ IP, điều đó thật khó chịu.

PortFast bỏ qua trạng thái nghe và học. Bạn bật tính năng này trên giao diện có cổng-cây bao trùm và cổng bắt đầu chuyển tiếp ngay khi thiết lập liên kết.

Rủi ro: nếu ai đó cắm một công tắc không được quản lý vào cổng đó thì có khả năng bạn đã tạo ra một vòng lặp. PortFast không tắt cây bao trùm-cổng vẫn xử lý BPDU. Nhưng nó chuyển tiếp lưu lượng truy cập ngay lập tức thay vì chờ đợi.

BPDU Guard bổ sung khả năng bảo vệ. Việc bật tính năng này thông qua bật-cây bpduguard mở rộng trên giao diện có nghĩa là mọi BPDU nhận được sẽ kích hoạt lỗi ngay lập tức-bị vô hiệu hóa. Nếu BPDU đến cổng này thì có gì đó không ổn-không nên có một công tắc khác ở đó. Bạn sẽ nhận được cảnh báo nhưng mạng vẫn nguyên vẹn.

Mặc định chung sẽ tự động áp dụng các tính năng này trên tất cả các cổng truy cập. Trong chế độ cấu hình chung, mặc định portfast cây mở rộng- sẽ bật PortFast trên toàn cầu, trong khi mặc định bpduguard portfast cây mở rộng-cây sẽ kích hoạt BPDU Guard trên cùng các cổng đó. Các cổng trung kế được loại trừ khỏi các giá trị mặc định này. Đó là đường cơ sở hợp lý cho các lớp truy cập doanh nghiệp.

 

 

EtherChannel: Tổng hợp các liên kết

 

Khi một kết nối gigabit không cung cấp đủ băng thông giữa các thiết bị chuyển mạch, EtherChannel sẽ gộp nhiều cổng vật lý vào một giao diện logic. Hai, bốn hoặc tám cổng được tổng hợp lại với nhau, xuất hiện dưới dạng một liên kết duy nhất để tính toán cây bao trùm.

LACP xử lý việc đàm phán bằng tiêu chuẩn 802.3ad. Bạn chọn các giao diện vật lý-sử dụng phạm vi giao diện GigabitEthernet0/1 - 4 để định cấu hình nhiều cổng cùng một lúc-sau đó gán chúng cho một nhóm kênh có chế độ kênh-nhóm 1 đang hoạt động. Sau khi thoát khỏi cấu hình phạm vi, bạn tự định cấu hình giao diện logic bằng cách nhập Cổng giao diện-kênh1 và áp dụng các cài đặt mong muốn, điển hình là đường trục chế độ cổng chuyển mạch cho các liên kết chuyển mạch liên{11}}.

Đầu từ xa cần cấu hình phù hợp. Hoạt động-hoạt động tích cực. Hoạt động-thụ động. Bị động-thụ động không-cả hai bên đều đợi bên kia bắt đầu.

Phân phối lưu lượng truy cập trên các liên kết thành viên sử dụng thuật toán băm, thường dựa trên địa chỉ IP hoặc địa chỉ IP đích-nguồn. Các luồng riêng lẻ vẫn đi qua các liên kết vật lý đơn lẻ; switch không phân chia các phiên TCP trên nhiều đường dẫn. Việc truyền tệp lớn giữa hai máy chủ sử dụng một liên kết thành viên bất kể bạn đã nhóm bao nhiêu liên kết.

 

Cấu hình VLAN thoại

 

Điện thoại IP thêm phức tạp. Điện thoại cần đặt trên VLAN thoại để xử lý QoS, trong khi PC được kết nối qua cổng chuyển tiếp của nó sẽ truy cập VLAN dữ liệu. Cả hai thiết bị đều có chung một cổng chuyển đổi vật lý.

Cấu hình bao gồm việc đặt cổng làm cổng truy cập với quyền truy cập chế độ cổng chuyển mạch, chỉ định Vlan dữ liệu thông qua truy cập cổng chuyển mạch vlan 10, sau đó chỉ định riêng Vlan thoại bằng cách sử dụng cổng chuyển mạch thoại vlan 50. Điện thoại nhận được chỉ định Vlan thông qua CDP hoặc LLDP-MED và gắn thẻ lưu lượng truy cập tương ứng. PC gửi các khung không được gắn thẻ vào VLAN dữ liệu. Mọi thứ hoạt động thông qua một lần chạy cáp.

Điều này có nghĩa là hai địa chỉ MAC trên một cổng. Cài đặt bảo mật cổng phải phù hợp với cả hai, nếu không bạn sẽ mất thời gian khôi phục các giao diện bị lỗi{1}}bị vô hiệu hóa mỗi khi cơ sở di chuyển bàn làm việc.

 

Tự động-MDIX

 

Cáp bắt chéo so với cáp thẳng- từng là vấn đề quan trọng. Kết nối công tắc này với công tắc khác bằng cáp-thẳng trên thiết bị cũ hơn và liên kết sẽ không xuất hiện-bạn cần một thiết bị chéo.

Giao diện Gigabit Ethernet hiện đại có tính năng-MDIX tự động phát hiện hệ thống dây điện cần thiết và bù đắp bên trong. Tính năng này được điều khiển thông qua mdix auto trong chế độ cấu hình giao diện và được bật theo mặc định trên hầu hết các phần cứng hiện tại của Cisco. Một số thiết bị cũ và một số thiết bị-không phải của Cisco thiếu tính năng này. Nếu liên kết từ chối thiết lập và bạn đã loại trừ khả năng cáp bị hư hỏng, hãy thử đổi sang thiết bị chéo trước khi cho rằng cổng bị lỗi.

 

Các lệnh xác minh hữu ích

 

Các lệnh tôi chạy liên tục:

Lệnh hiển thị trạng thái giao diện cung cấp thông tin tổng quan nhanh-được kết nối và không kết nối, gán VLAN, tốc độ, song công trên tất cả các cổng trong một chế độ xem.

Các giao diện hiển thị đang chạy theo sau là một mã định danh cổng cụ thể sẽ cung cấp các bộ đếm chi tiết: gói đầu vào/đầu ra, lỗi, rớt hàng đợi, thời gian xóa cuối cùng.

Lệnh hiển thị bảng địa chỉ mac-theo sau là cổng sẽ hiển thị địa chỉ MAC nào đã được học trên giao diện đó.

Đối với trạng thái cây bao trùm, hiển thị giao diện cây bao trùm hiển thị vai trò STP và chi phí đường dẫn của cổng.

Lệnh hiển thị trung kế giao diện liệt kê tất cả các trung kế đang hoạt động với các Vlan được phép và đang hoạt động của chúng.

Trạng thái bảo mật cổng xuất phát từ giao diện bảo mật-cổng hiển thị, báo cáo số lượng vi phạm và địa chỉ hiện đã học được.

Bạn có thể chuyển đầu ra thông qua include để lọc. Chạy lệnh trạng thái bằng một đường ống để chỉ bao gồm các cổng được kết nối có liên kết hoạt động. Tiết kiệm việc cuộn qua các trang có giao diện bị vô hiệu hóa.

 

Đang khôi phục lỗi-Các cổng bị vô hiệu hóa

 

Một cổng hiển thị lỗi-bị vô hiệu hóa. Trước khi nảy nó, hãy hiểu tại sao. Lệnh hiển thị trạng thái giao diện hiển thị trạng thái hiện tại, trong khi hiển thị khôi phục có thể sửa lỗi hiển thị cơ chế khôi phục nào được định cấu hình và bộ hẹn giờ của chúng.

Các yếu tố kích hoạt phổ biến bao gồm vi phạm an ninh cổng, kích hoạt BPDU Guard, liên kết vỗ quá mức và lỗi UDLD phát hiện các sự cố sợi đơn hướng.

Phục hồi tự động có thể được cấu hình ở chế độ cấu hình chung. Lệnh nguyên nhân tất cả khôi phục có thể lỗi cho phép khôi phục tự động cho tất cả các loại kích hoạt, trong khi khoảng thời gian khôi phục có thể lỗi là 300 đặt bộ hẹn giờ thử lại thành 300 giây.

Nếu không được cấu hình khôi phục tự động thì cần phải có sự can thiệp thủ công. Nhập bối cảnh cấu hình giao diện, tắt máy để vô hiệu hóa cổng về mặt quản trị, sau đó không tắt máy để khởi động lại.

Việc-bật lại một cách mù quáng mà không điều tra đảm bảo rằng bạn sẽ sớm thực hiện lại được. Nếu BPDU Guard được kích hoạt thì có nghĩa là ai đó đã cắm vào công tắc. Nếu bảo mật cổng được kích hoạt, một thiết bị trái phép sẽ xuất hiện. Nguyên nhân cơ bản cần giải quyết.

 

Quan sát kết thúc

 

Cấu hình cổng GB không phức tạp về mặt khái niệm nhưng các chi tiết sẽ được tích lũy. Việc gán VLAN bị bỏ sót, cài đặt đường trục không chính xác, giới hạn bảo mật cổng không tính đến điện thoại IP-những sơ suất nhỏ dẫn đến tình trạng ngừng hoạt động nghiêm trọng.

Ghi lại cấu hình của bạn. Dán nhãn cổng vật lý rõ ràng. Xây dựng các mẫu cho các tình huống phổ biến và áp dụng chúng một cách nhất quán.

Kiểm tra các thay đổi trong thời gian bảo trì bất cứ khi nào có thể. Đó là lời khuyên hiển nhiên. Đó cũng là lời khuyên mà tôi đã bỏ qua vào lúc 3 giờ chiều vào một ngày thứ Ba ngẫu nhiên, với những kết quả hoàn toàn có thể đoán trước được.