GB tarmoqni o'zgartirish porti konfiguratsiyasi tushuntirilgan

 

Nima uchun port tezligi bo'yicha muzokaralar muvaffaqiyatsiz tugadi (va siz aslida nima qila olasiz)

 

Ishni boshlaganingizda hech kim sizga aytmaydi: Gigabit portlarida avtomatik muzokaralar-10/100 interfeyslardagidan boshqacha ishlaydi. IEEE 802.3ab spetsifikatsiyasi 1000BASE{6}}T ulanishlari faqat toʻliq-dupleks rejimida ishlashini talab qiladi. Gigabit tezlikda yarim-dupleks varianti yo‘q. Davr.

Shunday qilib, 100 Mbit / s tezlikda tiqilib qolgan portni ko'rsangiz va nima noto'g'ri bo'lganiga hayron bo'lsangiz, aybdor odatda uchta narsadan biri bo'ladi:

Kabel. Cat5 qisqa muddatlarda gigabitni texnik jihatdan qo'llab-quvvatlashi mumkin, ammo men muhandislar Cat5e yoki Cat6-ni almashtirishdan oldin muammolarni bartaraf etish uchun soatlab vaqt sarflashlarini kuzatdim. To'rt juftlik ham to'g'ri tugatilishi kerak-fast Ethernet tezligida qochib qutula oladigan ikkitasi emas.

Bir uchida majburiy sozlash. Agar sizning portingiz avtomatik rejimda o'tirganda kimdir yuqoriga ulanish tugmachasida tezlikni 100 ga sozlagan bo'lsa, kuningiz yomon bo'ladi. Avtomatik{3}}kelishuv tarafi parallel aniqlashga qaytadi va bu mexanizm parametrlarni siz kutgandek nozik tarzda tartiblamaydi.

Yomon SFP modullari. Ayniqsa, tolali ulanishlar bilan. Hamma qabul qiluvchi qurilmalar ham hamma sotuvchilar bilan yaxshi oʻynamaydi-baʼzi kalitlar oʻsha slotlarda nimani qabul qilishini tanlab olishadi.

 

Interfeys konfiguratsiyasiga kirish

 

Interfeysni sozlash rejimiga o'tish yo'li Cisco IOS da etarlicha sodda. Dastlabki so'rovda yoqish ni yozishdan boshlaysiz, so'ngra global konfiguratsiya rejimiga o'tish uchun konfiguratsiya terminalini kiriting. U yerdan GigabitEthernet0/1 interfeysini belgilash sizni ushbu port uchun interfeys konfiguratsiyasi kontekstiga olib boradi.

U erga kelganingizdan so'ng, tezlik va dupleksni sozlash juda oddiy. Tezlik 1000 buyrug'i portni gigabit ishlashiga qulflaydi, dupleks to'liq esa ikki tomonlama bir vaqtning o'zida uzatishni ta'minlaydi. Aksariyat administratorlar ikkala parametrni ham avtomatik rejimda qoldiradilar, bu oxirgi{3}}foydalanuvchining ish stantsiyalariga ulanadigan kirish portlari uchun yaxshi ishlaydi. Zamonaviy NIClar dramasiz muzokaralar olib boradi. Biroq,{6}}almashtirish havolalari haqida ko'proq o'ylash kerak-ba'zi tarmoq guruhlari uzilishlar bilan bog'liq muammolarni bartaraf etishda yana bir o'zgaruvchini yo'q qilish uchun ularni qattiq kodlaydi.

E'tiborga olish kerak: 1000 tezlikda qulflanganingizdan so'ng, port sekinroq bo'lgan narsani rad etadi. Xiralashgan NICli noutbuk 100 Mbit/s tezlikka tushmaydi; u umuman bog'lanmaydi. Bu ba'zan siz xohlagan xatti-harakatdir. Ko'pincha bunday emas.

 

 

VLAN tayinlash: kirish portlari va magistrallari

 

Bu yerda konfiguratsiya qiziqroq boʻladi-va bu yerda xatolar tezroq toʻplanadi.

Kirish porti aynan bitta VLANga tegishli. Kiruvchi kadrlar tegsiz keladi; kalit ularni siz ko'rsatgan VLAN bilan bog'laydi. Siz buni interfeysga kirib, port turini aniqlash uchun kommutatsiya rejimiga ruxsat berish orqali, keyin tayinlash uchun vlan 10 (yoki har qanday VLAN raqami qo'llaniladi) o'tish portiga kirish orqali erishasiz.

Magistral portlar bir vaqtning o'zida bir nechta VLAN uchun trafikni olib yuradi. Har bir kadr qaysi VLANga tegishli ekanligini aniqlaydigan 802.1Q sarlavhasini oladi. Istisno - mahalliy VLAN-uning ramkalari yorliqsiz magistralni kesib o'tadi. Konfiguratsiya kommutatsiya rejimi magistralini oʻrnatishni, soʻngra mahalliy VLAN-ni switchport trunk native vlan 99 bilan aniqlashni va nihoyat, qaysi VLAN-larning kommutator magistraliga ruxsat berilgan vlan yordamida havolani kesib oʻtishini cheklashni, soʻngra vergul bilan ajratilgan VLAN identifikatorlari roʻyxatini oʻz ichiga oladi.

Bu VLAN spetsifikatsiyasi odamlar tushunganidan ko'ra muhimroq bo'lishiga imkon berdi. Magistrallar sukut bo'yicha barcha VLAN-larga-1 dan 4094 gacha bo'lgan har biriga ruxsat beradi. Bu kamdan-kam hollarda siz xohlagan narsadir. Agressiv tarzda kesing.

 

Mahalliy VLAN nomuvofiqligi

Switch A ning magistrali mahalliy VLAN 1 dan foydalansa, B esa mahalliy VLAN 99 dan foydalansa, yorliqsiz ramkalar har tomondan turli VLAN-larga tushadi. Yopiq daraxt hisoblari chalkashib ketadi. Qurilmalar deyarli tasodifiy ko'rinadigan tarzda ulanishni yo'qotadi.

CDP buni ushlaydi va ogohlantirishni qayd qiladi, lekin siz aslida jurnallarga qarashingiz kerak. Ba'zi xavfsizlik siyosati taqiqlagan CDP-ni yoqish kerak. Shunday qilib, nomuvofiqlik u erda o'tirib, vaqti-vaqti bilan g'alatilikni keltirib chiqaradi, toki kimdir nihoyat konfiguratsiyalarni solishtirishni o'ylaydi.

 

Port xavfsizligi asoslari

 

Port xavfsizligi qaysi MAC manzillari interfeys orqali trafik yuborishini cheklaydi. Klassik stsenariy: kimdir o'ziga tayinlangan ish stolini elektr tarmog'idan uzib, o'rniga shaxsiy qurilmani ulashiga yo'l qo'ymaslik.

Sozlash funksiyani interfeysdagi switchport porti-xavfsizligi orqali yoqish bilan boshlanadi. Keyin port necha MAC manziliga bardosh berishi kerakligini aniqlaysiz{2}}switchport port-xavfsizlik maksimal 2 ikkita qurilmaga ruxsat beradi. Buzilish to'g'risidagi javob keyingi ko'rsatiladi; switchport port-xavfsizlik buzilishining oʻchirilishi kalitga ruxsatsiz MAClar paydo boʻlganda portni butunlay oʻchirib qoʻyishni bildiradi. Nihoyat, switchport port-security mac-adres yopishqoq kalitga manzillarni dinamik ravishda o‘rganish va ularni ishlayotgan konfiguratsiyaga yozishni buyuradi.

Yopishqoq variant chindan ham qulay. Kalit MAC manzillarini dinamik ravishda o'rganadi va ularni ishlaydigan konfiguratsiyaga yozadi. Saqlagandan so'ng, ushbu manzillar qo'lda kiritilmasdan qayta yuklanganda omon qoladi.

Buzilish rejimlari ruxsatsiz MAC paydo bo'lganda nima sodir bo'lishini aniqlaydi:

Oʻchirish portni xato-oʻchirilgan holatga keltiradi. Trafik butunlay to'xtaydi. Kimdir uni qo'lda tiklashi kerak yoki sizga avtomatik tiklash uchun EEM skripti kerak bo'ladi.

Cheklash qoidabuzar MAC-dan trafikni pasaytiradi, lekin portning ishlashini ta'minlaydi. Syslog xabari voqeani yozib oladi. Qonuniy qurilma ishlashda davom etmoqda.

Protect cheklash kabi ishlaydi, lekin jurnal yaratmaydi. Ovozsiz muvaffaqiyatsizlik. Men muxlis emasman-kimdir shikoyat qilmaguncha hech narsa bo‘lganini bilmay qolasiz.

Takroriy bosh og'rig'i: IP-telefonlar, ularning orqasida shaxsiy kompyuterlar- zanjirband qilingan. Bu bitta port orqali ikkita MAC manzili. Agar siz maksimal qiymatni 1 ga o'rnatgan bo'lsangiz, kompyuter ramka yuborgan paytda port o'chadi. Ushbu cheklovlarni o'rnatishda ovozli VLAN stsenariylarini hisobga oling.

 

 

Dupleks nomuvofiqliklar: sokin ishlash qotili

 

Toʻliq{0}}dupleks va yarim-dupleks notoʻgʻri konfiguratsiyalar ulanishni toʻliq buzmaydi. Ular uni asta-sekin yomonlashtiradilar. Paketlar to'qnashmasligi kerak bo'lganda to'qnashadi. Kech to'qnashuv hisoblagichlari ko'tariladi. Qayta uzatishlar to'planadi. Foydalanuvchilar "tarmoq sekin" deb xabar berishadi, lekin ping yaxshi ishlaydi va hech narsa buzilgan ko'rinmaydi.

Interfeys hisoblagichlarini ko'rsatish interfeysi buyrug'idan so'ng maxsus port identifikatoridan foydalanib tekshiring. Kechiktirilgan to'qnashuvlarni, kiritish xatolarini, CRC xatolarini, yugurishlarni qidiring. To'liq{2}}dupleks ishlaydigan sog'lom gigabit port bu maydonlar bo'ylab nollarni ko'rsatadi. Boshqa har qanday narsa tergovga muhtoj.

Odatiy mos kelmaslik stsenariysi: bir tomoni toʻliq{0}}dupleksga qattiq kodlangan, ikkinchi tomoni avtomatik rejimda qoldirilgan. Avtomatik tomon dupleks rejimini to'g'ri aniqlay olmaydi, chunki masofaviy uchi muzokaralarda ishtirok etmaydi. Birlamchi xavfsizlik sifatidagi birlamchi -dupleks. Endi siz bir tomonda bir vaqtning o'zida uzatish va qabul qilish imkoniyatiga egasiz, boshqa tomon yuborishdan oldin jim turishni kutish kerak deb hisoblaydi. To'qnashuvlar doimiy ravishda sodir bo'ladi.

Tuzatish juda oddiy: ikkala uchida ham mos sozlamalar. Ikkala avtomatik yoki ikkalasi ham bir xil qiymatlarga aniq sozlangan.

 

Bo'ronni nazorat qilish

 

Eshittirish bo'roni tarmoqni mutlaqo tekislaydi. Bitta noto‘g‘ri sozlangan qurilma yoki o‘chirish daraxti o‘chirilgan kommutatsiya halqasi matoni translyatsiya trafigi bilan to‘ldiradi. Har bir kalit uni takrorlaydi. Har bir port uni uzatadi. Protsessordan foydalanish butun infratuzilmada keskin oshadi.

Bo'ron nazorati o'chirishni ta'minlaydi. Interfeys konfiguratsiyasi rejimida siz ushbu chegaradagi translyatsiya trafigini cheklash uchun-bo'ronni nazorat qilish darajasini va keyin foizni-aytaylik, 20.00-ko'rsatasiz. Shunga o'xshash buyruqlar multicast va unicast trafik uchun mavjud. Bo'ronni nazorat qilish bo'yicha harakatni o'chirish direktivasi chegaralar oshib ketganda, kalitga portni o'chirishni aytadi; muqobil ravishda, trap portni tirik ushlab turganda SNMP ogohlantirishini yaratadi.

Daraja port tarmoqli kengligining foizini bildiradi. Translyatsiya trafigi gigabit havolasining 20% ​​dan oshib ketganda{2}}bu 200 Mbit/s translyatsiya-porti chora ko'radi. O'chirish agressiv, ammo samarali.

Men har bir portda bo'ron nazoratini sozlamayman. Bu operatsion murakkablikni oshiradi. Lekin oldindan aytib bo'lmaydigan muhitda-ishlab chiqarish qavatlari, universitet turar joylari, konferentsiya zallari-dagi kirish qatlamlari uchun bu bir necha bor isbotlangan.

 

PortFast va BPDU Guard

 

Portni blokirovkadan yo'naltirishga o'tish uchun 30-50 soniya vaqt ketadi. Bu kechikish, topologiya oʻzgarishi muhim boʻlgan-ulanishlarni-oʻtishdagi halqalardan himoya qiladi. Kimdir shunchaki tarmoqqa ulanmoqchi va IP manzilini olmoqchi bo'lgan oxirgi{6}}foydalanuvchi portlari uchun bu asabiylashadi.

PortFast tinglash va o'rganish holatlarini chetlab o'tadi. Uni kengaytmali daraxt portfast-ga ega interfeysda faollashtirasiz va havola o‘rnatilgandan so‘ng port darhol yo‘naltirishni boshlaydi.

Xavf: agar kimdir boshqarilmaydigan kalitni ushbu portga ulab qo'ysa, siz potentsial tsikl yaratgan bo'lasiz. PortFast kengaytmali daraxt-ni o‘chirmaydi, port hali ham BPDU’larni qayta ishlaydi. Lekin u kutish o'rniga darhol tirbandlikni yo'naltiradi.

BPDU Guard himoya qo'shadi. Uni interfeysda spanning daraxti bpduguard faollashtirish- orqali yoqish har qanday qabul qilingan BPDU darhol xato-o‘chirishni ishga tushirishini bildiradi. Agar BPDU bu portga kelsa, nimadir noto'g'ri-u yerda boshqa kalit bo'lmasligi kerak. Siz ogohlantirish olasiz, lekin tarmoq buzilmagan holda qoladi.

Global standart sozlamalar ushbu xususiyatlarni barcha kirish portlarida avtomatik ravishda qo'llaydi. Global konfiguratsiya rejimida -daraxt portfastining sukut bo‘yicha kengayishi PortFast-ni universal tarzda yoqadi, -daraxt portfastining sukut bo‘yicha kengaytirilishi esa o‘sha portlarda BPDU Guard-ni faollashtiradi. Magistral portlar bu standart sozlamalardan chiqarib tashlangan. Bu korporativ kirish qatlamlari uchun asosli asosdir.

 

 

EtherChannel: havolalarni yig'ish

 

Bitta gigabitli ulanish kalitlar o'rtasida etarli tarmoqli kengligi ta'minlamasa, EtherChannel bir nechta jismoniy portlarni bitta mantiqiy interfeysga to'playdi. Ikki, to'rt yoki sakkizta portlar birgalikda yig'ilib, daraxt hisoblari uchun yagona havola sifatida paydo bo'ladi.

LACP 802.3ad standarti yordamida muzokaralarni boshqaradi. Bir vaqtning oʻzida bir nechta portlarni sozlash uchun-GigabitEthernet0/1 - 4 interfeys diapazoni yordamida jismoniy interfeyslarni tanlaysiz-soʻngra ularni 1-guruh rejimi faol kanal-boʻlgan kanal guruhiga tayinlaysiz. Diapazon konfiguratsiyasidan chiqqaningizdan so‘ng, siz port-kanal1 interfeysiga kirib, kerakli sozlamalarni qo‘llash orqali mantiqiy interfeysning o‘zini sozlaysiz.

Masofaviy uchi mos keladigan konfiguratsiyaga muhtoj. Faol-faol ishlar. Faol{3}}passiv ishlar. Passiv-passiv-ikki tomon ham bir-birining boshlanishini abadiy kutmaydi.

Aʼzolar havolalari boʻyicha trafik taqsimoti odatda manba{0}}maqsadli MAC yoki IP manzillariga asoslangan xesh algoritmidan foydalanadi. Individual oqimlar hali ham bitta jismoniy aloqalarni kesib o'tadi; kalit TCP seanslarini bir nechta yo'llarga ajratmaydi. Ikki server o'rtasida katta hajmdagi fayllarni uzatishda siz qancha to'plaganingizdan qat'i nazar, bitta a'zo havolasidan foydalaniladi.

 

Ovozli VLAN konfiguratsiyasi

 

IP telefonlar murakkablikni oshiradi. Telefon QoS bilan ishlov berish uchun ovozli VLAN-ga joylashtirilishi kerak, shu bilan birga uning o'tish porti orqali ulangan shaxsiy kompyuter ma'lumotlar VLAN-ga tushishi kerak. Ikkala qurilma ham bitta jismoniy kommutator portiga ega.

Konfiguratsiya portni kommutator rejimiga kirish imkoniyatiga ega kirish porti sifatida oʻrnatishni, VLAN maʼlumotlarini kommutatorga kirish vlan 10 orqali belgilashni va keyin switchport ovozli vlan 50 yordamida ovozli VLANni alohida belgilashni oʻz ichiga oladi. Telefon oʻzining VLAN tayinlanishini CDP yoki LLDP-MED orqali oladi va shunga mos ravishda uning trafigini teglaydi. Kompyuter VLAN ma'lumotlariga tushadigan yorliqsiz ramkalarni yuboradi. Hamma narsa bitta kabel orqali ishlaydi.

Bu bitta portda ikkita MAC manzilini bildiradi. Port xavfsizligi sozlamalari ikkalasiga ham mos kelishi kerak, aks holda jihozlar stolni har ko‘chirganda, xato-o‘chirilgan interfeyslarni tiklashga vaqt sarflaysiz.

 

Avtomatik-MDIX

 

Kesishgan kabellar toʻgʻridan-toʻgʻri-oʻtish uchun ishlatiladi. Eski uskunada to'g'ridan-to'g'ri{2}}kabel orqali o'tish uchun kalitni ulang va havola chiqmaydi-sizga krossover kerak edi.

Avtomatik{0}}MDIXga ega zamonaviy Gigabit Ethernet interfeyslari kerakli simlarni aniqlaydi va ichki kompensatsiya qiladi. Funktsiya interfeys konfiguratsiyasi rejimida mdix auto orqali boshqariladi va u ko'pchilik joriy Cisco apparatlarida sukut bo'yicha yoqilgan. Ba'zi eski qurilmalar va ba'zi -Cisco bo'lmagan qurilmalarda bu xususiyat mavjud emas. Agar havola o'rnatishdan bosh tortsa va siz kabelning shikastlanishini istisno qilsangiz, port ishlamay qolgan deb taxmin qilishdan oldin krossoverga almashtirib ko'ring.

 

Foydali tekshirish buyruqlari

 

Men doimo bajaradigan buyruqlar:

Interfeyslar holatini koʻrsatish buyrugʻi bir koʻrinishda barcha portlar boʻylab ulangan va ulanmagan{0}}va VLAN tayinlash, tezlik, dupleksni tez koʻrish imkonini beradi.

Muayyan port identifikatoridan so'ng ishlaydigan shou interfeyslari batafsil hisoblagichlarni taqdim etadi: kirish/chiqish paketlari, xatolar, navbat tushishi, oxirgi tozalash vaqti.

Mac manzilini koʻrsatish{0}}jadval interfeysi buyrugʻi va portdan keyin qaysi MAC manzillari ushbu interfeysda oʻrganilganligini koʻrsatadi.

Daraxtning kengaytirilgan holatini ko'rsatish uchun -ko'p daraxt interfeysi portning STP roli va yo'l narxini ko'rsatadi.

Show interfaces trunk buyrug‘i barcha faol magistrallarni ruxsat etilgan va faol VLAN-lari bilan ro‘yxatlaydi.

Port xavfsizligi holati qoidabuzarliklar va hozirda o‘rganilgan manzillar haqida xabar beruvchi ko‘rsatish port{0}}xavfsizlik interfeysidan olinadi.

Filtrlash uchun chiqishni qo'shish orqali o'tkazishingiz mumkin. Ulangan ulanish uchun holat buyrug'ini quvur bilan ishga tushirish faqat faol havolalarga ega portlarni ko'rsatadi. O'chirilgan interfeyslar sahifalari bo'ylab harakatlanishni saqlaydi.

 

Xato{0}}o‘chirilgan portlarni tiklash

 

Port err{0}}o‘chirilganligini ko‘rsatadi. Uni o'chirishdan oldin, nima uchun ekanligini tushunib oling. “Interfeyslar holatini ko‘rsatish” buyrug‘i joriy holatni ko‘rsatadi, xato bo‘lmagan tiklashni ko‘rsatish esa qaysi tiklash mexanizmlari va ularning taymerlari sozlanganligini ko‘rsatadi.

Umumiy qo'zg'atuvchilar orasida port xavfsizligini buzish, BPDU Guard faollashuvi, havolalarni haddan tashqari silkitish va bir tomonlama tola bilan bog'liq muammolarni aniqlaydigan UDLD nosozliklari kiradi.

Avtomatik tiklash global konfiguratsiya rejimida sozlanishi mumkin. Xato qayta tiklash sababi barcha buyruq barcha trigger turlari uchun avtomatik tiklanishni ta'minlaydi, xato bo'lmagan tiklash oralig'i 300 esa qayta urinish taymerini 300 soniyaga o'rnatadi.

Avtomatik tiklash sozlanmagan bo'lsa, qo'lda aralashuv talab etiladi. Interfeys konfiguratsiyasi kontekstini kiriting, portni ma'muriy ravishda o'chirish uchun o'chirishni e'lon qiling, keyin uni qayta tiklash uchun o'chirilmaydi.

Ko'r-ko'rona qayta yoqish-tekshirmasdan, bu tez orada yana takrorlanishiga kafolat beradi. Agar BPDU Guard ishga tushsa, kimdir kalitni ulagan. Agar port xavfsizligi yoqilsa, ruxsatsiz qurilma paydo bo'ldi. Asosiy sababni bartaraf etish kerak.

 

Yakuniy kuzatishlar

 

GB port konfiguratsiyasi kontseptual jihatdan murakkab emas, lekin tafsilotlar to'planadi. O'tkazib yuborilgan VLAN tayinlash, noto'g'ri magistral sozlamalari, IP telefon-kichik nazoratni hisobga olmaydigan port xavfsizlik chegarasi sezilarli uzilishlarga olib keladi.

Konfiguratsiyalaringizni hujjatlang. Jismoniy portlarni aniq belgilang. Umumiy stsenariylar uchun shablonlarni yarating va ularni doimiy ravishda qo'llang.

Iloji bo'lsa, parvarishlash oynalarida o'zgarishlarni sinab ko'ring. Bu aniq maslahat. Bu, shuningdek, men tasodifiy seshanba kuni soat 15:00 da men e'tiborsiz qoldirgan maslahatdir va natijani oldindan aytish mumkin.