S'explica la configuració del port del commutador de xarxa GB

 

Per què fallen les negociacions de velocitat del port (i què podeu fer realment)

 

Això és el que ningú us diu quan esteu començant: la-negociació automàtica als ports Gigabit funciona de manera diferent que a les interfícies 10/100. L'especificació IEEE 802.3ab requereix que les connexions 1000BASE-T funcionin exclusivament en mode dúplex complet-. No hi ha cap opció semi-dúplex a velocitats gigabit. Període.

Així, quan veus un port bloquejat a 100 Mbps i et preguntes què ha fallat, el culpable sol ser una de les tres coses:

El cable. Cat5 podria suportar tècnicament gigabit en tirades curtes, però he vist com els enginyers perden hores resolent problemes abans que algú finalment intercanviés Cat5e o Cat6. Els quatre parells s'han d'acabar correctament-no només dos com podríeu sortir-vos-en amb velocitats Fast Ethernet.

Una configuració forçada en un extrem. Si algú ha configurat la velocitat a 100 a l'interruptor d'enllaç ascendent mentre el vostre port està automàtic, passareu un mal dia. La part de la-negociació automàtica torna a la detecció paral·lela, i aquest mecanisme no ordena els paràmetres amb gràcia de la manera que esperaries.

Mòduls SFP incorrectes. Sobretot amb enllaços ascendents de fibra. No tots els transceptors funcionen bé amb tots els venedors-alguns interruptors són realment exigents sobre què acceptaran en aquestes ranures.

 

Entrant a la configuració de la interfície

 

El camí al mode de configuració de la interfície és prou senzill a Cisco IOS. Comenceu escrivint enable a la sol·licitud inicial i, a continuació, introduïu configure terminal per arribar al mode de configuració global. A partir d'aquí, especificar la interfície GigabitEthernet0/1 us introdueix al context de configuració de la interfície per a aquest port específic.

Un cop hi esteu, configurar la velocitat i el dúplex és senzill. L'ordre de velocitat 1000 bloqueja el port a l'operació gigabit, mentre que el duplex complet garanteix la transmissió simultània bidireccional. La majoria dels administradors deixen ambdós paràmetres en automàtic, cosa que funciona bé per als ports d'accés que es connecten a les estacions de treball-d'usuari final. Les NIC modernes gestionen la negociació sense drama. Però els enllaços entre-switch mereixen més reflexió-alguns equips de xarxa els codifiquen per eliminar una variable més durant la resolució de problemes d'interrupció.

Val la pena tenir en compte: un cop bloquegeu la velocitat 1000, el port rebutja qualsevol cosa més lent. Un portàtil amb una NIC escamosa no tornarà a baixar a 100 Mbps; simplement no enllaçarà en absolut. De vegades, aquest és el comportament que vols. Sovint no ho és.

 

 

Assignació de VLAN: ports d'accés i troncals

 

Aquí és on la configuració es fa interessant-i on els errors s'acumulen més ràpidament.

Un port d'accés pertany exactament a una VLAN. Els fotogrames entrants arriben sense etiquetar; el commutador els associa amb qualsevol VLAN que hàgiu especificat. Aconseguiu-ho entrant a la interfície, emetent l'accés en mode switchport per definir el tipus de port i, a continuació, accedir a switchport vlan 10 (o qualsevol número de VLAN que s'apliqui) per fer l'assignació.

Els ports troncals transporten trànsit per a diverses VLAN simultàniament. Cada fotograma rep una capçalera 802.1Q que identifica a quina VLAN pertany. L'excepció és la VLAN nativa-els seus marcs creuen el tronc sense etiquetar. La configuració implica establir el tronc del mode switchport, després definir la VLAN nativa amb la vlan nativa del tronc del switchport 99 i, finalment, restringir quines VLAN travessen l'enllaç mitjançant la vlan permesa del tronc del switchport seguida de la vostra llista d'ID de VLAN separada per comes-.

Això va permetre que l'especificació de VLAN importa més del que la gent s'adona. Els troncs permeten totes les VLAN de manera predeterminada-cada una de l'1 a la 4094. Poques vegades és el que voleu. Podar de manera agressiva.

 

Incoherències de VLAN natives

Quan el tronc de l'Switch A utilitza la VLAN 1 nativa mentre que l'Switch B utilitza la VLAN 99 nativa, els marcs sense etiquetar aterren a diferents VLAN a cada costat. Els càlculs de l'arbre spanning es confonen. Els dispositius perden connectivitat de maneres que semblen gairebé aleatòries.

CDP detecta això i registra un avís, però realment heu de mirar els registres. I CDP s'ha d'habilitar, cosa que algunes polítiques de seguretat prohibeixen. Per tant, el desajust es troba allà, provocant estranyesa intermitent, fins que finalment algú pensa comparar configuracions.

 

Fonaments de seguretat portuària

 

La seguretat del port restringeix quines adreces MAC poden enviar trànsit a través d'una interfície. L'escenari clàssic: evitar que algú desconnecti l'escriptori assignat i connecti un dispositiu personal.

La configuració comença amb l'habilitació de la funció mitjançant la seguretat del port de commutació-a la interfície. A continuació, definiu quantes adreces MAC ha de tolerar el port-port de commutació-seguretat màxim 2 permet dos dispositius. La resposta a la violació s'especifica a continuació; switchport port-apagat per infracció de seguretat indica al commutador que desactivi completament el port quan apareguin MAC no autoritzats. Finalment, switchport port-seguretat mac-address sticky indica al commutador que aprengui adreces de manera dinàmica i les escrigui a la configuració en execució.

L'opció enganxosa és realment útil. El commutador aprèn les adreces MAC de forma dinàmica i les escriu a la configuració en execució. Després de desar, aquestes adreces sobreviuen als reinicis sense introduir manualment.

Els modes d'infracció determinen què passa quan apareix un MAC no autoritzat:

L'apagada posa el port a l'estat err-desactivat. El trànsit s'atura completament. Algú l'ha de recuperar manualment, o necessiteu un script EEM que gestioni la recuperació automàtica.

Restringeix el trànsit del MAC infractor, però manté el port operatiu. Un missatge de syslog registra l'esdeveniment. El dispositiu legítim continua funcionant.

Protect funciona com restrict, però no genera cap registre. Falla silenciosa. No sóc un fan-no sabràs que ha passat res fins que algú es queixi.

Un maldecap recurrent: telèfons IP amb ordinadors-encadenats darrere d'ells. Són dues adreces MAC a través d'un port. Si heu establert el màxim a 1, el port s'apaga en el moment que l'ordinador envia una trama. Teniu en compte els escenaris de VLAN de veu quan establiu aquests límits.

 

 

Incompatibilitats dúplex: The Quiet Performance Killer

 

Les configuracions incorrectes-duplex complet versus la meitat{1}}dúplex no trenquen la connectivitat del tot. El van degradant a poc a poc. Els paquets xoquen quan no haurien de ser. Els comptadors de col·lisió tardans pugen. Les retransmissions s'acumulen. Els usuaris informen que "la xarxa és lenta", però el ping funciona bé i no sembla que no hi hagi res obvi.

Comproveu els comptadors de la interfície mitjançant l'ordre show interface seguida de l'identificador de port específic. Busqueu col·lisions tardanes, errors d'entrada, errors CRC, runts. Un port gigabit saludable que s'executa en dúplex-complet mostra zeros en aquests camps. Qualsevol altra cosa necessita investigació.

L'escenari de desajustament típic: una cara codificada en dur a -duplex complet, l'altra cara deixada en mode automàtic. El costat automàtic no pot determinar correctament el mode dúplex perquè l'extrem remot no participa en la negociació. El valor predeterminat és mig-dúplex com a alternativa de seguretat. Ara teniu una banda transmetent i rebent simultàniament, mentre que l'altra banda creu que ha d'esperar el silenci abans d'enviar. Les col·lisions es produeixen constantment.

La solució és senzilla: coincideix amb la configuració dels dos extrems. Tots dos automàtics o tots dos configurats explícitament amb els mateixos valors.

 

Emissió de control de tempestes

 

Una tempesta de difusió aplanarà absolutament una xarxa. Un dispositiu mal configurat o un bucle de commutació amb l'arbre spanning desactivat inunda el teixit amb trànsit de difusió. Cada interruptor ho replica. Cada port l'envia. La utilització de la CPU augmenta a tota la infraestructura.

El control de la tempesta proporciona l'acceleració. Dins del mode de configuració de la interfície, especifiqueu el nivell d'emissió de control de tempesta-seguit d'un percentatge-per exemple 20.00-per limitar el trànsit d'emissió en aquest llindar. Hi ha ordres similars per al trànsit multicast i unicast. La directiva d'aturada de l'acció de control de tempestes diu al commutador que inhabiliti el port quan es superin els llindars; alternativament, trap genera una alerta SNMP mentre manté el port viu.

El nivell representa un percentatge de l'amplada de banda del port. Quan el trànsit d'emissió supera el 20% d'un enllaç gigabit-és a dir 200 Mbps d'emissió-, el port actua. L'aturada és agressiva però efectiva.

No configure el control de tempestes a tots els ports. Afegeix complexitat operativa. Però per a les capes d'accés en entorns impredictibles-plantes de fabricació, residències universitàries, sales de conferències-s'ha demostrat la seva vàlua més d'una vegada.

 

PortFast i BPDU Guard

 

L'arbre d'abast triga de 30 a 50 segons a fer la transició d'un port del bloqueig al reenviament. Aquest retard protegeix contra els bucles a les connexions de commutació-per-en què els canvis de topologia són importants. Per als-ports d'usuari final on algú només vol connectar-se i obtenir una adreça IP, és frustrant.

PortFast passa per alt els estats d'escolta i aprenentatge. L'activeu en una interfície amb spanning-arbre portfast i el port comença a reenviar-se immediatament quan s'estableix l'enllaç.

El risc: si algú connecta un commutador no gestionat a aquest port, possiblement heu creat un bucle. PortFast no desactiva l'arbre d'abast-el port encara processa les BPDU. Però reenvia el trànsit immediatament en lloc d'esperar.

BPDU Guard afegeix protecció. Activar-lo mitjançant l'habilitació de bpduguard de l'arbre-spanning a la interfície significa que qualsevol BPDU rebuda activa una erra-desactivació immediata. Si arriba una BPDU a aquest port, hi ha alguna cosa malament-no hi hauria d'haver cap altre commutador. Rebràs una alerta, però la xarxa es manté intacta.

Els valors predeterminats globals apliquen aquestes funcions a tots els ports d'accés automàticament. En el mode de configuració global, spanning-tree portfast default activa PortFast de manera universal, mentre que spanning-tree portfast bpduguard default activa BPDU Guard en aquests mateixos ports. Els ports troncals estan exclosos d'aquests valors predeterminats. És una línia de base raonable per a les capes d'accés empresarial.

 

 

EtherChannel: Agregació d'enllaços

 

Quan una única connexió gigabit no proporciona prou amplada de banda entre commutadors, EtherChannel agrupa diversos ports físics en una interfície lògica. Dos, quatre o vuit ports agregats junts, que apareixen com un enllaç únic per als càlculs de l'arbre que abasta.

LACP gestiona la negociació mitjançant l'estàndard 802.3ad. Seleccioneu les interfícies físiques-mitjançant l'interval d'interfícies GigabitEthernet0/1 - 4 per configurar diversos ports simultàniament-i, a continuació, assigneu-les a un grup de canals amb el mode de canal-grup 1 actiu. Després de sortir de la configuració d'interval, configureu la interfície lògica en si introduint la interfície Port-canal1 i aplicant la configuració desitjada, normalment el tronc en mode switchport per als enllaços entre-switch.

L'extrem remot necessita una configuració coincident. Treballs actius-actius. Obres actives-passives. Passiu-passiu no-ambdues parts esperen per sempre que l'altra s'iniciï.

La distribució del trànsit entre els enllaços dels membres utilitza un algorisme hash, que normalment es basa en adreces MAC o IP de destinació{0}}origen. Els fluxos individuals encara travessen enllaços físics individuals; el commutador no divideix les sessions TCP en diversos camins. Una transferència de fitxers gran entre dos servidors utilitza un enllaç de membre, independentment de quants n'hagis agrupat.

 

Configuració de la VLAN de veu

 

Els telèfons IP afegeixen complexitat. El telèfon necessita col·locar-se en una VLAN de veu per al tractament de QoS, mentre que l'ordinador connectat a través del seu port de pas hauria d'aterrar a la VLAN de dades. Tots dos dispositius comparteixen un port de commutació físic.

La configuració implica configurar el port com a port d'accés amb accés en mode switchport, assignar la VLAN de dades mitjançant la vlan d'accés switchport 10 i, a continuació, especificar la VLAN de veu per separat mitjançant la vlan de veu de switchport 50. El telèfon rep la seva assignació de VLAN mitjançant CDP o LLDP-MED i etiqueta el seu trànsit en conseqüència. El PC envia trames sense etiquetar que aterren a la VLAN de dades. Tot funciona mitjançant un sol cable.

Això significa dues adreces MAC en un port. La configuració de seguretat del port ha d'adaptar-se a totes dues, o passareu temps recuperant les interfícies d'error-desactivades cada vegada que les instal·lacions moguin un escriptori.

 

-MDIX automàtic

 

Els cables creuats i els cables rectes-acostumaven a importar. Connecteu l'interruptor per canviar amb un cable directe-en equips més antics i l'enllaç no s'obriria-necessiteu un crossover.

Les interfícies Gigabit Ethernet modernes amb -MDIX automàtic detecten el cablejat necessari i compensen internament. La funció es controla mitjançant mdix auto en mode de configuració de la interfície i està activada de manera predeterminada a la majoria del maquinari Cisco actual. Alguns equips heretats i alguns equips que no-no Cisco no tenen aquesta funció. Si un enllaç es nega a establir-se i heu descartat danys al cable, proveu de canviar a un crossover abans de suposar que el port falla.

 

Ordres de verificació útils

 

Ordres que executo constantment:

L'ordre show interfaces status proporciona una visió general ràpida-connectat versus notconnect, assignació de VLAN, velocitat, dúplex a tots els ports en una vista.

L'execució d'interfícies de mostra seguides d'un identificador de port específic ofereix comptadors detallats: paquets d'entrada/sortida, errors, caigudes de cua, darrera hora de neteja.

L'ordre show mac address-table interface seguida del port revela quines adreces MAC s'han après a aquesta interfície.

Per a l'estat de l'arbre spanning, mostra la interfície de l'arbre spanning-mostra la funció STP del port i el cost del camí.

L'ordre show interfaces trunk enumera tots els troncs actius amb les seves VLAN permeses i actives.

L'estat de seguretat del port prové de la interfície de seguretat del port-mostra, que informa dels recomptes d'infraccions i de les adreces apreses actualment.

Podeu canalitzar la sortida mitjançant include per filtrar. L'execució de l'ordre d'estat amb una canonada per incloure connectats només mostra els ports amb enllaços actius. Desa el desplaçament per les pàgines de les interfícies desactivades.

 

S'estan recuperant Err-ports desactivats

 

Un port mostra err-desactivat. Abans de rebotar-lo, entén per què. L'ordre show interfaces status revela l'estat actual, mentre que show errdisable recovery mostra quins mecanismes de recuperació estan configurats i els seus temporitzadors.

Els desencadenants habituals inclouen infraccions de seguretat del port, activació de BPDU Guard, ruptura excessiva d'enllaços i errors UDLD que detecten problemes de fibra unidireccional.

La recuperació automàtica es pot configurar en mode de configuració global. L'ordre de recuperació errdisable cause all activa la recuperació automàtica per a tots els tipus d'activador, mentre que l'interval de recuperació errdisable 300 estableix el temporitzador de reintents a 300 segons.

Sense la recuperació automàtica configurada, es requereix una intervenció manual. Introduïu el context de configuració de la interfície, feu l'apagada per desactivar administrativament el port i, a continuació, no apagueu-lo per tornar-lo a activar.

La re-activació a cegues sense investigar garanteix que ho tornareu a fer en breu. Si BPDU Guard es va activar, algú va connectar un interruptor. Si s'activava la seguretat del port, apareixia un dispositiu no autoritzat. Cal abordar la causa subjacent.

 

Observacions finals

 

La configuració del port GB no és conceptualment complexa, però els detalls s'acumulen. S'ha perdut una assignació de VLAN, una configuració de troncal incorrecta, un límit de seguretat del port que no té en compte les petites descuits del telèfon IP-caigudes en cascada en interrupcions importants.

Documenteu les vostres configuracions. Etiqueta clarament els ports físics. Creeu plantilles per a escenaris habituals i apliqueu-les de manera coherent.

Proveu els canvis durant les finestres de manteniment sempre que sigui possible. Això és un consell evident. També és un consell que he ignorat a les 15:00 d'un dimarts aleatori, amb resultats totalment previsibles.