GB Network Switch Port Configuration Forklaret

 

Hvorfor havnehastighedsforhandlinger mislykkes (og hvad du faktisk kan gøre)

 

Her er det, ingen fortæller dig, når du starter: automatisk-forhandling på Gigabit-porte fungerer anderledes, end det gjorde på 10/100-grænseflader. IEEE 802.3ab-specifikationen kræver, at 1000BASE-T-forbindelser udelukkende fungerer i fuld-duplekstilstand. Der er ingen mulighed for halv-duplex ved gigabit-hastigheder. Periode.

Så når du ser en port sidde fast ved 100 Mbps og spekulerer på, hvad der gik galt, er synderen normalt en af ​​tre ting:

Kablet. Cat5 understøtter muligvis teknisk gigabit over korte ture, men jeg har set ingeniører spilde timer på at fejlfinde, før nogen endelig byttede Cat5e eller Cat6. Alle fire par skal afsluttes korrekt-ikke kun to, som du kunne slippe af sted med ved Fast Ethernet-hastigheder.

En tvungen indstilling i den ene ende. Hvis nogen konfigurerede hastigheden til 100 på uplink-switchen, mens din port står på auto, vil du have en dårlig dag. Den automatiske-forhandlingsside falder tilbage til parallel detektering, og den mekanisme sorterer ikke elegant ud i parametre, som du havde håbet.

Dårlige SFP-moduler. Især med fiber uplinks. Ikke alle transceivere spiller godt med alle leverandører-nogle switche bliver virkelig kræsne med hensyn til, hvad de vil acceptere i disse slots.

 

Kom ind i grænsefladekonfiguration

 

Stien til grænsefladekonfigurationstilstand er enkel nok på Cisco IOS. Du starter med at skrive enable ved den indledende prompt, og indtast derefter configure terminal for at nå global konfigurationstilstand. Derfra, angivelse af grænseflade GigabitEthernet0/1, bringer dig ind i grænsefladekonfigurationskonteksten for den specifikke port.

Når du først er der, er indstilling af hastighed og duplex ligetil. Hastighed 1000-kommandoen låser porten til gigabit-drift, mens duplex fuld sikrer tovejs samtidig transmission. De fleste administratorer lader begge parametre stå automatisk, hvilket fungerer fint for adgangsporte, der forbinder til slutbrugerarbejdsstationer.- Moderne NIC'er håndterer forhandling uden dramatik. Men inter-switch links fortjener mere eftertanke-nogle netværksteams hardkoder dem for at eliminere en variabel mere under fejlfinding af udfald.

Værd at bemærke: når du låser hastighed 1000 ind, afviser porten noget langsommere. En bærbar computer med et skævt NIC falder ikke tilbage til 100 Mbps; det vil simpelthen ikke forbindes overhovedet. Det er nogle gange den adfærd, du ønsker. Ofte er det ikke.

 

 

VLAN-tildeling: Adgangsporte og trunks

 

Det er her, konfigurationen bliver interessant-og hvor fejlene hober sig hurtigst op.

En adgangsport hører til præcis ét VLAN. Indgående rammer ankommer umærkede; switchen forbinder dem med det VLAN, du har angivet. Du opnår dette ved at gå ind i grænsefladen, udstede switchport-tilstandsadgang for at definere porttypen og derefter switchport-adgang vlan 10 (eller hvilket VLAN-nummer der er gældende) for at udføre tildelingen.

Trunkporte fører trafik til flere VLAN'er samtidigt. Hver frame får en 802.1Q header, der identificerer hvilket VLAN den tilhører. Undtagelsen er det native VLAN-dets rammer krydser stammen umærket. Konfiguration involverer indstilling af switchport mode trunk, derefter definering af det native VLAN med switchport trunk native vlan 99 og endelig begrænsning af, hvilke VLAN'er der krydser linket ved hjælp af switchport trunk tilladt vlan efterfulgt af din komma-separerede liste over VLAN ID'er.

Det tillod VLAN-specifikation betyder mere, end folk er klar over. Trunks tillader som standard alle VLAN'er-hver enkelt fra 1 til 4094. Det er sjældent, hvad du ønsker. Beskær aggressivt.

 

Native VLAN-uoverensstemmelser

Når Switch A's trunk bruger native VLAN 1, mens Switch B bruger native VLAN 99, lander umærkede rammer i forskellige VLAN'er på hver side. Spændende træberegninger bliver forvirrede. Enheder mister forbindelsen på måder, der virker næsten tilfældige.

CDP fanger dette og logger en advarsel, men du skal faktisk se på loggene. Og CDP skal aktiveres, hvilket nogle sikkerhedspolitikker forbyder. Så uoverensstemmelsen sidder der og forårsager intermitterende mærkeligheder, indtil nogen endelig tænker på at sammenligne konfigurationer.

 

Grundlæggende om havnesikkerhed

 

Portsikkerhed begrænser, hvilke MAC-adresser der kan sende trafik gennem en grænseflade. Det klassiske scenarie: forhindre nogen i at tage stikket ud af deres tildelte skrivebord og tilslutte en personlig enhed i stedet.

Opsætningen begynder med at aktivere funktionen via switchport-port-sikkerhed på grænsefladen. Du definerer derefter, hvor mange MAC-adresser porten skal tolerere-switchport port-sikkerhed maksimalt 2 tillader to enheder. Overtrædelsessvaret specificeres derefter; switchport port-sikkerhedsbrud fortæller switchen om at deaktivere porten helt, når uautoriserede MAC'er vises. Endelig instruerer switchport-port-sikkerheds-mac-address sticky switchen om dynamisk at lære adresser og skrive dem ind i den kørende konfiguration.

Den klæbrige mulighed er virkelig praktisk. Switchen lærer MAC-adresser dynamisk og skriver dem ind i den kørende konfiguration. Efter lagring overlever disse adresser genstart uden manuel indtastning.

Overtrædelsestilstande bestemmer, hvad der sker, når en uautoriseret MAC vises:

Nedlukning sætter porten i fejl-deaktiveret tilstand. Trafikken stopper helt. Nogen skal gendanne det manuelt, eller du har brug for et EEM-script, der håndterer automatisk gendannelse.

Begræns dropper trafik fra den fornærmende MAC, men holder porten operationel. En syslog-meddelelse registrerer hændelsen. Den legitime enhed fortsætter med at fungere.

Protect fungerer som begrænse, men genererer ingen log. Tavs fiasko. Jeg er ikke fan-du ved ikke, at der er sket noget, før nogen klager.

En tilbagevendende hovedpine: IP-telefoner med pc'er daisy-lænket bag dem. Det er to MAC-adresser gennem én port. Hvis du har sat maksimum til 1, lukker porten ned i det øjeblik, pc'en sender en ramme. Tag højde for stemme-VLAN-scenarier, når du sætter disse grænser.

 

 

Duplex Mismatches: The Quiet Performance Killer

 

Fejlkonfigurationer af fuld-duplex versus halv-dupleks bryder ikke direkte forbindelsen. De nedbryder det gradvist. Pakker kolliderer, når de ikke burde. Sen kollisionstællere stiger. Genudsendelser akkumuleres. Brugere rapporterer, at "netværket er langsomt", men ping fungerer fint, og intet åbenlyst ser ud til at være brudt.

Kontroller grænsefladetællere ved at bruge kommandoen show interface efterfulgt af den specifikke port-id. Se efter sene kollisioner, inputfejl, CRC-fejl, rundts. En sund gigabit-port, der kører fuld-dupleks, viser nuller på tværs af disse felter. Alt andet skal undersøges.

Det typiske uoverensstemmelsesscenarie: den ene side hardkodet til fuld-dupleks, den anden side venstre ved auto. Den automatiske side kan ikke korrekt bestemme duplekstilstand, fordi den eksterne ende ikke deltager i forhandlingerne. Den er standard til halv-duplex som en sikkerhedsmæssig reserve. Nu har du den ene side, der sender og modtager samtidigt, mens den anden side mener, at den skal vente på stilhed, før den sender. Kollisioner sker konstant.

Rettelsen er ligetil: match indstillinger i begge ender. Enten er begge automatisk, eller begge er eksplicit konfigureret til de samme værdier.

 

Broadcast Storm Control

 

En broadcast-storm vil absolut flade et netværk. En forkert konfigureret enhed eller en switching-loop med spanning tree deaktiveret oversvømmer stoffet med broadcast-trafik. Hver switch replikerer den. Hver havn sender den videre. CPU-udnyttelsen stiger på tværs af hele infrastrukturen.

Stormkontrol sørger for drosling. I grænsefladekonfigurationstilstand specificerer du udsendelsesniveau for storm-efterfulgt af en procentdel-f.eks. 20.00-for at begrænse broadcast-trafik ved denne tærskel. Lignende kommandoer findes for multicast- og unicast-trafik. Direktivet om nedlukning af stormstyringshandling fortæller omskifteren at deaktivere porten, når tærsklerne overskrides; alternativt genererer trap en SNMP-alarm, mens porten holdes i live.

Niveauet repræsenterer en procentdel af portens båndbredde. Når broadcast-trafik overstiger 20 % af et gigabit-link-det er 200 Mbps broadcast-skrider porten til handling. Nedlukning er aggressiv, men effektiv.

Jeg konfigurerer ikke stormkontrol på hver enkelt port. Det tilføjer operationel kompleksitet. Men for adgangslag i uforudsigelige miljøer-fremstilling af gulve, universitetssale, konferencelokaler-har det bevist, at det er værd mere end én gang.

 

PortFast og BPDU Guard

 

Omspændende træ tager 30 til 50 sekunder at skifte en port fra blokering til videresendelse. Denne forsinkelse beskytter mod sløjfer i switch-for at-skifte forbindelser, hvor topologiændringer betyder noget. For slutbrugerporte, hvor nogen bare vil tilslutte og få en IP-adresse, er det frustrerende.

PortFast omgår lytte- og indlæringstilstandene. Du aktiverer det på en grænseflade med span-tree portfast, og porten begynder at videresende umiddelbart efter linketablering.

Risikoen: Hvis nogen tilslutter en ikke-administreret switch til den port, har du potentielt skabt en loop. PortFast deaktiverer ikke spanning tree-porten behandler stadig BPDU'er. Men den sender trafikken videre med det samme i stedet for at vente.

BPDU Guard tilføjer beskyttelse. Aktivering af det via span-tree bpduguard enable på grænsefladen betyder, at enhver modtaget BPDU udløser øjeblikkelig fejl-deaktivering. Hvis en BPDU ankommer til denne port, er der noget galt-der burde ikke være en anden switch der. Du får en advarsel, men netværket forbliver intakt.

Globale standarder anvender disse funktioner automatisk på tværs af alle adgangsporte. I global konfigurationstilstand aktiverer span-tree portfast standard PortFast universelt, mens span-tree portfast bpduguard standard aktiverer BPDU Guard på de samme porte. Trunk-porte er udelukket fra disse standardindstillinger. Det er en rimelig baseline for virksomhedsadgangslag.

 

 

EtherChannel: Aggregerende links

 

Når en enkelt gigabit-forbindelse ikke giver nok båndbredde mellem switchene, samler EtherChannel flere fysiske porte i én logisk grænseflade. To, fire eller otte porte aggregeret sammen, der vises som et enkelt link til spændingstræ-beregninger.

LACP håndterer forhandling ved hjælp af 802.3ad-standarden. Du vælger de fysiske grænseflader-ved hjælp af grænsefladeområdet GigabitEthernet0/1 - 4 for at konfigurere flere porte samtidigt-og tildeler dem derefter til en kanalgruppe med kanal-gruppe 1-tilstand aktiv. Når du har forladt rækkeviddekonfigurationen, konfigurerer du selve den logiske grænseflade ved at indtaste grænsefladeport-kanal1 og anvende dine ønskede indstillinger, typisk switchport-mode-trunk for inter-switchlinks.

Den eksterne ende skal have matchende konfiguration. Aktive-aktive virker. Aktivt-passivt virker. Passiv-passiv venter ikke-begge sider for evigt på, at den anden starter.

Trafikfordeling på tværs af medlemslinks bruger en hash-algoritme, typisk baseret på kilde-destinations-MAC eller IP-adresser. Individuelle strømme krydser stadig enkelte fysiske led; switchen opdeler ikke TCP-sessioner på tværs af flere stier. En stor filoverførsel mellem to servere bruger ét medlemslink, uanset hvor mange du har bundtet.

 

Voice VLAN-konfiguration

 

IP-telefoner tilføjer kompleksitet. Telefonen skal placeres på et stemme-VLAN til QoS-behandling, mens pc'en, der er tilsluttet gennem sin passthrough-port, skal lande på data-VLAN'et. Begge enheder deler én fysisk switchport.

Konfiguration involverer indstilling af porten som en adgangsport med switchport-tilstandsadgang, tildeling af data-VLAN via switchport-adgang vlan 10, og derefter specificering af stemme-VLAN separat ved hjælp af switchport voice-vlan 50. Telefonen modtager sin VLAN-tildeling via CDP eller LLDP-MED og tagger sin trafik i overensstemmelse hermed. Pc'en sender umærkede rammer, der lander i data-VLAN'et. Alt fungerer gennem et enkelt kabeltræk.

Det betyder to MAC-adresser på én port. Portsikkerhedsindstillinger skal rumme begge dele, ellers vil du bruge tid på at gendanne fejl-deaktiverede grænseflader, hver gang faciliteter flytter et skrivebord.

 

Auto-MDIX

 

Krydsede kabler versus lige-gennem plejede at være vigtige. Tilslut switch til switch med et lige-gennemgangskabel på ældre udstyr, og linket ville ikke komme op-du havde brug for en crossover.

Moderne Gigabit Ethernet-grænseflader med auto-MDIX registrerer de nødvendige ledninger og kompenserer internt. Funktionen styres via mdix auto i interfacekonfigurationstilstand, og den er som standard aktiveret på de fleste nuværende Cisco-hardware. Noget ældre udstyr og visse ikke-Cisco-udstyr mangler funktionen. Hvis et link nægter at etablere sig, og du har udelukket kabelskader, kan du prøve at skifte til en crossover, før du antager, at porten fejler.

 

Nyttige verifikationskommandoer

 

Kommandoer jeg kører konstant:

Vis grænsefladestatuskommandoen giver et hurtigt overblik-tilsluttet versus ikke-forbindelse, VLAN-tildeling, hastighed, dupleks på tværs af alle porte i én visning.

At køre show-grænseflader efterfulgt af en specifik portidentifikator leverer detaljerede tællere: input/output-pakker, fejl, køfald, sidste rydningstid.

Kommandoen vis mac-adresse-tabelgrænseflade efterfulgt af porten afslører, hvilke MAC-adresser der er blevet lært på denne grænseflade.

For spændingstrætilstand viser vis spændingstræ-trægrænsefladen portens STP-rolle og stiomkostninger.

Kommandoen show interfaces trunk viser alle aktive trunks med deres tilladte og aktive VLAN'er.

Portsikkerhedsstatus kommer fra vis port-sikkerhedsgrænseflade, som rapporterer antallet af overtrædelser og aktuelt lærte adresser.

Du kan røre output gennem include til filtrering. Kørsel af statuskommandoen med et rør til at inkludere tilsluttede viser kun porte med aktive links. Gemmer rulning gennem sider med deaktiverede grænseflader.

 

Gendannelse af fejl-deaktiverede porte

 

En port viser fejl-deaktiveret. Inden du kaster den, skal du forstå hvorfor. Vis interfaces statuskommandoen afslører den aktuelle tilstand, mens show errdisable recovery viser, hvilke gendannelsesmekanismer der er konfigureret og deres timere.

Almindelige triggere inkluderer portsikkerhedsbrud, BPDU Guard-aktivering, overdreven linkflapping og UDLD-fejl, der opdager ensrettede fiberproblemer.

Automatisk gendannelse kan konfigureres i global konfigurationstilstand. Kommandoen errdisable recovery cause all aktiverer automatisk gendannelse for alle triggertyper, mens errdisable recovery interval 300 indstiller genforsøgstimeren til 300 sekunder.

Uden automatisk gendannelse konfigureret er manuel indgriben påkrævet. Indtast grænsefladekonfigurationskonteksten, udsted nedlukning for administrativt at deaktivere porten, derefter ingen nedlukning for at bringe den op igen.

Blinde genaktivering-uden at undersøge, garanterer, at du snart vil gøre det igen. Hvis BPDU Guard udløste, tilsluttede nogen en kontakt. Hvis portsikkerheden blev udløst, dukkede en uautoriseret enhed op. Den underliggende årsag skal behandles.

 

Afsluttende bemærkninger

 

GB-portkonfiguration er ikke konceptuelt kompleks, men detaljerne akkumuleres. En ubesvaret VLAN-tildeling, en forkert trunkindstilling, en portsikkerhedsgrænse, der ikke tager højde for IP-telefonens-små forglemmelser vælter ind i betydelige udfald.

Dokumenter dine konfigurationer. Mærk fysiske porte tydeligt. Byg skabeloner til almindelige scenarier og anvend dem konsekvent.

Test ændringer under vedligeholdelsesvinduer, når det er muligt. Det er et oplagt råd. Det er også et råd, jeg har ignoreret kl. 15.00 på en tilfældig tirsdag, med helt forudsigelige resultater.