Как настроить управляемый коммутатор. Управляемый vs неуправляемый коммутатор: Как выбрать? Управляемый vs неуправляемый коммутатор: В чем разница
В подавляющем числе домашних локальных сетей из активного оборудования используется только беспроводной роутер. Однако в случае, если вам нужно более четырех проводных подключений потребуется добавить сетевой коммутатор (хотя сегодня есть роутеры и на семь-восемь портов для клиентов). Второй распространенной причиной для приобретения этого оборудования является более удобная разводка сети. Например, вы можете установить коммутатор около ТВ, подключить к нему один кабель от роутера, а в другие порты — сам телевизор, медиаплеер, игровую приставку и другое оборудование.
Простейшие модели сетевых коммутаторов имеют всего буквально пару ключевых характеристик — число портов и их скорость. А учитывая современные требования и развитие элементной базы, можно говорить о том, что если не стоит цели экономии любой ценой или каких-то специфических требований, стоит покупать модели с гигабитными портами. Сети FastEthernet со скоростью 100 Мбит/с сегодня конечно используются, но маловероятно, что их пользователи столкнутся с проблемой нехватки портов на роутере. Хотя конечно и это возможно, если вспомнить продукты некоторых известных производителей на один или два порта для локальной сети. Тем более здесь будет уместно применение гигабитного коммутатора для увеличения производительности всей проводной локальной сети.
Кроме этого, при выборе можно также учитывать бренд, материал и дизайн корпуса, вариант реализации блока питания (внешний или внутренний), наличие и расположение индикаторов и другие параметры. Что удивительно, привычная по многим другим устройствам характеристика скорости работы в данном случае практически не имеет смысла, о чем недавно вышел . В тестах передачи данных модели совершенно разных категорий и стоимости показывают одинаковые результаты.
В этой статье мы решили коротко рассказать о том, что же может быть интересного и полезного в «настоящих» коммутаторах второго уровня (Level 2). Конечно, этот материал не претендует на максимально подробное и глубокое изложение темы, но, хочется надеяться, будет полезен тем, кто встретился с более серьезными задачами или требованиями при построении своей локальной сети в квартире, доме или офисе, чем поставить роутер и настроить Wi-Fi. Кроме того, многие темы будут изложены в упрощенном формате, отражающем только основные моменты в интересной и разнообразной теме коммутации сетевых пакетов.
Прошлые статьи серии «Строим домашнюю сеть« доступны по ссылкам:
Кроме того, полезная информация о построении сетей доступна в этом подразделе.
Теория
Для начала вспомним, как работает «обычный» сетевой коммутатор.
Эта «коробочка» имеет небольшие размеры, несколько портов RJ45 для подключения сетевых кабелей, набор индикаторов и вход питания. Она работает согласно запрограммированным производителем алгоритмам и не имеет каких-либо доступных для пользователя настроек. Используется принцип «подключил кабели — включил питание — работает». Каждое устройство (точнее его сетевой адаптер) в локальной сети имеет уникальный адрес — MAC-адрес. Он состоит из шести байтов и записывается в формате «AA:BB:CC:DD:EE:FF» с шестнадцатеричными цифрами. Узнать его можно программным способом или подсмотреть на информационной табличке. Формально считается, что этот адрес выдан производителем на этапе производства и является уникальным. Но в некоторых случаях это не так (уникальность требуется только в пределах локального сегмента сети, а поменять адрес можно без труда во многих операционных системах). Кстати, по первым трем байтам иногда можно название создателя чипа или даже всего устройства.
Если для глобальной сети (в частности Интернет), адресация устройств и обработка пакетов производится на уровне IP-адресов, то в каждом отдельном локальном сегменте сети для этого применяются MAC-адреса. Все устройства в одной локальной сети должны иметь разные MAC-адреса. Если это не так — будут проблемы с доставкой сетевых пакетов и работой сети. При этом данный низкий уровень обмена информацией реализован внутри сетевых стеков операционных систем и пользователю не требуется с ним взаимодействовать. Пожалуй, в реальности распространены буквально пара ситуаций, где может использоваться MAC-адрес. Например, при замене роутера на новом устройстве указать тот же MAC-адрес порта WAN, что был на старом. Второй вариант — включение на роутере фильтров по MAC-адресу для блокировки доступа к Интернет или Wi-Fi.
Обычный сетевой коммутатор позволяет объединить несколько клиентов для реализации обмена между ними сетевым трафиком. Причем к каждому порту может быть подключен не только один компьютер или другое устройство-клиент, но и другой коммутатор со своими клиентами. Грубо схема работы коммутатора выглядит следующим образом: при поступлении на порт пакета он запоминает MAC отправителя и записывает его в таблицу «клиенты на этом физическом порту», адрес получателя проверяется по другим таким же таблицам и при его нахождении в одной из них, пакет отправляется в соответствующий физический порт. Дополнительно предусмотрены алгоритмы для исключения петель, поиска новых устройств, проверки смены устройством порта и другие. Для реализации этой схемы не требуется какой-либо сложной логики, все работает на достаточно простых и недорогих процессорах, так что, как мы говорили выше, даже младшие модели способны показать максимальные скорости.
Управляемые или называемые иногда «умными» (Smart) коммутаторы существенно сложнее. Они способны использовать больше информации из сетевых пакетов для реализации более сложных алгоритмов их обработки. Некоторые из этих технологий могут оказаться полезными и домашним пользователям «высокого уровня» или с повышенными требованиями, а также для решения некоторых специальных задач.
Коммутаторы второго уровня (Level 2, уровень канала данных) способны учитывать при коммутации пакетов информацию, находящуюся внутри некоторых полей сетевых пакетов, в частности VLAN, QoS, мультикаст и некоторых других. Именно о таком варианте мы и поговорим в этой статье. Более сложные модели третьего уровня (Level 3) могут считаться уже маршрутизаторами, поскольку они оперируют IP-адресами и работают с протоколами третьего уровня (в частности RIP и OSPF).
Обратим внимание, что единого универсального и стандартного набора возможностей управляемых коммутаторов нет. Каждый производитель составляет собственные линейки продуктов исходя из своего представления о требованиях потребителей. Так что в каждом случае стоит обращать внимание на спецификации конкретного продукта и их соответствие поставленным задачам. Ни о каких «альтернативных» прошивках с более широкими возможностями здесь, конечно, речи нет.
В качестве примера, мы используем устройство Zyxel GS2200-8HP. Эта модель давно представлена на рынке, но вполне подойдет для данной статьи. Современные продукты этого сегмента от Zyxel в целом обеспечивают сходные возможности. В частности, актуальное устройство такой же конфигурации предлагается под артикулом GS2210-8HP.
Zyxel GS2200-8HP представляет собой восьмипортовый (в серии есть версия и на 24 порта) управляемый гигабитный коммутатор Level 2, в котором также есть поддержка PoE и совмещенные порты RJ45/SFP, а также некоторые функции более высоких уровней коммутации.
По формату его можно назвать настольной моделью, но в комплекте поставки предусмотрен дополнительный крепеж для установки в стандартную 19″ стойку. Корпус изготовлен из металла. На правом торце мы видим решетку вентиляции, а с противоположной стороны установлены два небольших вентилятора. Сзади присутствуют только вход сетевого кабеля для встроенного блока питания.
Все подключения традиционно для такого оборудования осуществляются с лицевой стороны для удобства применения в стойках с патч-панелями. Слева находится вставка с логотипом производителя и подсвечиваемым названием устройства. Далее идут индикаторы — питание, система, тревога, светодиоды статуса/активности и подачи питания для каждого порта.
Следом установлены основные восемь сетевых разъемов, а после них два RJ45 и два дублирующих их SFP с собственными индикаторами. Подобные решения являются еще одной характерной особенностью подобных устройств. Обычно SFP применяется для подключения оптических линий связи. Основным их отличием от привычной витой пары является возможность работы на существенно больших расстояниях — до десятков километров.
Из-за того, что здесь могут использоваться разные типы физических линий, непосредственно в коммутаторе установлены порты стандарта SFP, в которые необходимо доустанавливать специальные модули-трансиверы, а уже к ним подключаются оптические кабели. При этом получаемые порты не отличаются по своим возможностям от остальных, конечно если не считать отсутствия поддержки PoE. Их тоже можно использовать в режиме объединения портов, сценариях с VLAN и другими технологиями.
Завершает описание консольный последовательный порт. Он применяется для сервисного обслуживания и других операций. В частности отметим, что привычной для домашнего оборудования кнопки сброса настроек здесь нет. В сложных случаях потери контроля придется подключаться через последовательный порт и в режиме отладки перезагружать весь файл конфигурации.
Решение поддерживает администрирование через Web и командную строку, обновление прошивки, протокол 802.1x для защиты от несанкционированных подключений, SNMP для интеграции в системы мониторинга, пакеты с размером до 9216 байт (Jumbo Frames) для увеличения производительности сети, сервисы коммутации второго уровня, возможность стекирования для удобства администрирования.
Из восьми основных портов половина поддерживает PoE+ с подачей до 30 Вт на порт, а остальные четыре — PoE с 15,4 Вт. Максимальная потребляемая мощность составляет 230 Вт, из которых до 180 Вт может отдаваться через PoE.
Электронная версия руководства пользователя насчитывает более трех сотен страниц. Так что описанные в этой статье функции представляют собой лишь небольшую часть возможностей данного устройства.
Управление и контроль
В отличие от простых сетевых коммутаторов, «умные» имеют средства для удаленной настройки. В их роли чаще всего выступает привычный Web-интерфейс, а для «настоящих админов» предусмотрен доступ к командной строке со своим интерфейсом по telnet или ssh. Аналогичную командную строку можно получить и через подключение к последовательному порту на коммутаторе. Кроме привычки, работа с командной строкой имеет преимущество в виде удобной возможности автоматизации с применением скриптов. Есть также поддержка протокола FTP, что позволяет оперативно загружать файлы новых прошивок и управлять конфигурациями.
Например, вы можете проверять статус подключений, управлять портами и режимами, разрешать или запрещать доступ и так далее. Кроме того, этот вариант менее требователен к полосе пропускания (требует меньше трафика) и используемому для доступа оборудованию. Но на скриншотах конечно более красиво выглядит Web-интерфейс, так что в этой статье для иллюстраций будем использовать его. Защита обеспечивается традиционным именем/паролем администратора, есть поддержка HTTPS, а также можно настроить дополнительные ограничения на доступ к управлению коммутатором.
Заметим, что в отличие от многих домашних устройств, в интерфейсе есть явная кнопка сохранения текущей конфигурации коммутатора в его энергонезависимую память. Также на многих страницах можно использовать кнопку «Help» для вызова контекстной подсказки.
Еще один вариант контроля за работой коммутатора — использование протокола SNMP. С применением специализированных программ, вы можете получить информацию об аппаратном состоянии устройства, например температуре или пропадании линка на порту. Для крупных проектов будет полезна реализация специального режима управления несколькими коммутаторами (кластером коммутаторов) из единого интерфейса — Cluster Management.
Минимальные начальные действия при запуске устройства обычно включают в себя обновление прошивки, изменение пароля администратора и настройку собственного IP-адреса коммутатора.
Кроме того, обычно стоит обратить внимание на такие опции, как сетевое имя, синхронизация встроенных часов, отправку журнала событий на внешний сервер (например, Syslog).
При планировании схемы сети и настроек коммутатора, рекомендуется заранее просчитать и продумать все моменты, поскольку устройство не имеет встроенных средств контроля блокировок и противоречий. Например, если вы «забудете», что ранее настраивали агрегацию портов, то VLAN с их же участием могут вести себя совсем не так, как требуется. Не говоря уже о возможности потери связи с коммутатором, что особенно неприятно при удаленном подключении.
Одной из базовых «умных» функций коммутаторов является поддержка технологий агрегации (объединения) сетевых портов. Также для этой технологии применяются такие термины, как транкинг (trunking), склейка адаптеров (bonding), сопряжение (teaming). В этом случае клиенты или другие коммутаторы подключаются к этому коммутатору не одним кабелем, а сразу несколькими. Конечно, для этого требуется иметь и несколько сетевых карт на компьютере. Сетевые карты могут быть как отдельными, как и выполненными в виде одной платы расширения с несколькими портами. Обычно в данном сценарии речь идет о двух или четырех линках. Основные решаемые таким образом задачи — увеличение скорости сетевого подключения и увеличение его надежности (дублирование). Коммутатор может поддерживать сразу несколько подобных соединений в зависимости от своей аппаратной конфигурации, в частности, числа физических портов и мощности процессора. Одним из вариантов является соединение по такой схеме пары коммутаторов, что позволит увеличить общую производительность сети и исключить узкие места.
Для реализации схемы желательно использовать сетевые карты, явно поддерживающие эту технологию. Но в общем случае, реализация агрегации портов может быть выполнена и на программном уровне. Данная технология чаще всего реализуется через открытый протокол LACP/802.3ad, который применяется для контроля состояния линков и управления ими. Но встречаются и частные варианты отдельных вендоров.
На уровне операционной системы клиентов после соответствующей настройки обычно просто появляется новый стандартный сетевой интерфейс, который имеет свои MAC- и IP-адреса, так что все приложения могут работать с ним без каких-либо специальных действий.
Отказоустойчивость обеспечивается наличием нескольких физических соединений устройств. При отказе соединения, трафик автоматически перенаправляется по оставшимся линкам. После восстановления линии она снова включится в работу.
Что касается увеличения скорости, то здесь ситуация немного сложнее. Формально можно считать, что производительность умножается согласно числу используемых линий. Однако реальный рост скорости приема-передачи данных зависит от конкретных задач и приложений. В частности, если речь идет о такой простой и распространенной задаче, как чтение файлов с сетевого накопителя на компьютере, то от объединения портов она ничего не выиграет, даже если оба устройства подключены к коммутатору несколькими линками. А вот если объединение портов будет настроено на сетевом накопителе и к нему будут обращаться одновременно несколько «обычных» клиентов, то этот вариант уже получит существенный выигрыш в общей производительности.
Некоторые примеры использования и результаты тестирования приводятся в статье . Таким образом, можно говорить о том, что применение технологий объединения портов в домашних условиях будет полезным только при наличии нескольких быстрых клиентов и серверов, а также достаточно высокой нагрузки на сеть.
Настройка агрегации портов в коммутаторе обычно несложная. В частности, на Zyxel GS2200-8HP нужные параметры находятся в меню Advanced Application — Link Aggregation. Всего данная модель поддерживает до восьми групп. При этом ограничений по составу групп нет — вы можете использовать любой физический порт в любой группе. Коммутатор поддерживает как статическую схему объединения портов, так и LACP.
На странице статуса можно проверить текущие назначения по группам.
На странице настроек указываются активные группы и их тип (применяется для выбора схемы распределения пакетов по физическим линкам), а также назначение портов в нужные группы.
При необходимости включаем LACP для требуемых групп на третьей странице.
Далее нужно настроить аналогичные параметры на устройстве с другой стороны линка. В частности на сетевом накопителе QNAP это делается следующим образом — заходим в настройки сети, выбираем порты и тип их объединения.
После этого можно проверить статус портов на коммутаторе и оценить эффективность решения в ваших задачах.
VLAN
При обычной конфигурации локальной сети «гуляющие» по ней сетевые пакеты используют общую физическую среду, как потоки людей на станциях пересадок в метро. Конечно, коммутаторы в определенном смысле исключают попадание «чужих» пакетов на интерфейс вашей сетевой карты, однако некоторые пакеты, например широковещательные, способны проникнуть в любые уголки сети. Несмотря на простоту и высокую скорость работы данной схемы, встречаются ситуации, когда по некоторым причинам вам необходимо разделить определенные виды трафика. Это может быть вызвано требованиями безопасности или необходимостью обеспечения требований производительности или приоритезации.
Конечно, данные вопросы можно решить созданием отдельного сегмента физической сети — со своими коммутаторами и кабелями. Но не всегда это возможно реализовать. Здесь может пригодиться технология VLAN (Virtual Local Area Network) — логической или виртуальной локальной компьютерной сети. Для нее также может встречаться обозначение 802.1q.
В грубом приближении можно описать работу данной технологии, как использование дополнительных «меток» для каждого сетевого пакета при его обработке в коммутаторе и на конечном устройстве. При этом обмен данными работает только в пределах группы устройств с одинаковыми VLAN. Поскольку не все оборудование использует VLAN, то в схеме также используются такие операции как добавление и удаление тегов сетевого пакета при их проходе через коммутатор. Соответственно добавляется он при получении пакета с «обычного» физического порта для отправки через сеть VLAN, а удаляется при необходимости передачи пакета из сети VLAN на «обычный» порт.
В качестве примера использования данной технологии можно вспомнить мультисервисные подключения операторов — когда по одному кабелю вы получаете доступ к Интернет, IPTV и телефонию. Это встречалось ранее в ADSL-подключениях, а сегодня применяется в GPON.
Рассматриваемый коммутатор поддерживает упрощенный режим «Port-based VLAN», когда разделение на виртуальные сети проводится на уровне физических портов. Эта схема менее гибкая, чем 802.1q, но может быть удобна в некоторых конфигурациях. Отметим, что этот режим взаимоисключающий с 802.1q, а для выбора предусмотрен соответствующий пункт в Web-интерфейсе.
Для создания VLAN по стандарту 802.1q нужно на странице Advanced Applications — VLAN — Static VLAN указать имя виртуальной сети, ее идентификатор, а потом выбрать участвующие в работе порты и их параметры. Например, при подключении обычных клиентов стоит убирать из отправляемых к ним пакетов метки VLAN.
В зависимости от того, является ли это подключением клиентов или же соединением коммутаторов, на странице Advanced Applications — VLAN — VLAN Port Settings нужно настроить требуемые опции. В частности это касается добавления меток к поступающим на вход порта пакетам, разрешении трансляции через порт пакетов без тегов или с другими идентификаторами и изоляции виртуальной сети.
Контроль доступа и аутентификация
Технология Ethernet первоначально не поддерживала средств контроля доступа к физической среде. Достаточно было включить устройство в порт коммутатора — и оно начинало работать в составе локальной сети. Во многих случаях этого достаточно, поскольку защита обеспечивается сложностью прямого физического подключения к сети. Но сегодня требования к сетевой инфраструктуре существенно изменились и реализация протокола 802.1x все чаще встречается в сетевом оборудовании.
В этом сценарии при подключении к порту коммутатора клиент предоставляет свои аутентификационные данные и без подтверждения со стороны сервера контроля доступа никакой обмен информацией с сетью не происходит. Чаще всего, схема подразумевает наличие внешнего сервера, такого как RADIUS или TACACS+. Использование 802.1x обеспечивает также дополнительные возможности по контролю сетевой работы. Если в стандартной схеме «привязаться» можно только к аппаратному параметру клиента (MAC-адресу), например, для выдачи IP, установки ограничений скорости и прав доступа, то работа с аккаунтами пользователей будет более удобна в крупных сетях, поскольку позволяет обеспечить мобильность клиентов и другие возможности верхнего уровня.
Для проверки использовался сервер RADIUS на сетевом накопителе QNAP. Он выполнен в виде отдельно устанавливаемого пакета и имеет собственную базу пользователей. Для указанной задачи он вполне подходит, хотя в целом возможностей у него немного.
В качестве клиента выступал компьютер с Windows 8.1. Для использования 802.1x на нем нужно включить один сервис и после этого в свойствах сетевой карты появляется новая закладка.
Заметим, что речь в данном случае идет исключительно о контроле доступа к физическому порту коммутатора. Кроме того, не забываем, что необходимо обеспечить постоянный и надежный доступ коммутатора к серверу RADIUS.
Для реализации этой возможности в коммутаторе есть две функции. Первая, наиболее простая, позволяет ограничить входящий и исходящий трафик на указанном физическом порту.
Также этот коммутатор позволяет использовать приоритезацию для физических портов. В этом случае жестких границ для скорости нет, но можно выбрать устройства, трафик которых будет обрабатываться в первую очередь.
Вторая входит в более общую схему с классификацией коммутируемого трафика по различным критериям и является только одним из вариантов ее использования.
Сначала на странице Classifier нужно определить правила классификации трафика. В них применяются критерии Level 2 — в частности MAC-адреса, а также в данной модели можно применять и правила Level 3 — включая тип протокола, IP-адреса и номера портов.
Далее на странице Policy Rule вы указываете необходимые действия с «отобранным» по выбранным правилам трафиком. Здесь предусмотрены следующие операции: установка метки VLAN, ограничение скорости, вывод пакета на заданный порт, установка поля приоритета, отбрасывание пакета. Данные функции позволяют, например, ограничить скорости обмена данными для данных клиентов или сервисов.
Более сложные схемы могут использовать поля приоритета 802.1p в сетевых пакетах. Например, вы можете указать коммутатору сначала обрабатывать трафик телефонии, а просмотру страниц в браузерах выставить наименьший приоритет.
PoE
Еще одна возможность, которая не относится к непосредственно процессу коммутации пакетов — обеспечение питания клиентских устройств через сетевой кабель. Часто это используется для подключения IP-камер, телефонных аппаратов и беспроводных точек доступа, что позволяет сократить число проводов и упростить коммутацию. При выборе такой модели важно учитывать несколько параметров, основной из которых — используемый клиентским оборудованием стандарт. Дело в том, что некоторые производители используют собственные реализации, которые несовместимы с другими решениями и могут даже привести к поломке «чужого» оборудования. Также стоит выделять «пассивный PoE», когда осуществляется передача питания с относительно низким напряжением без обратной связи и контроля получателя.
Более правильным, удобным и универсальным вариантом будет использование «активного PoE», работающего по стандартам 802.3af или 802.3at и способного передать до 30 Вт (в новых версиях стандартов встречаются и более высокие значения). В этой схеме передатчик и получатель обмениваются между собой информацией и согласуют необходимые параметры питания, в частности потребляемую мощность.
Для проверки мы подключили к коммутатору камеру Axis, совместимую с PoE 802.3af. На лицевой панели коммутатора зажегся соответствующий индикатор подачи питания на этот порт. Далее через Web-интерфейс мы сможем проконтролировать статус потребления по портам.
Также интересна возможность управления подачей питания на порты. Поскольку если камера подключена одним кабелем и находится в труднодоступном месте, для ее перезагрузки при необходимости потребуется отключать этот кабель или на стороне камеры или в коммутационном шкафу. А здесь вы можете зайти удаленно на коммутатор любым доступным способом и просто снять галочку «подавать питания», а потом поставить ее обратно. Кроме того, в параметрах PoE можно настроить систему приоритетов для предоставления питания.
Как мы писали ранее, ключевым полем сетевых пакетов в данном оборудовании является MAC-адрес. Управляемые коммутаторы часто имеют набор сервисов, ориентированных на использование этой информации.
Например, рассматриваемая модель поддерживает статическое назначение MAC-адресов на порт (обычно эта операция происходит автоматически), фильтрацию (блокировку) пакетов по MAC-адресам отправителя или получателя.
Кроме того, вы можете ограничить число регистраций MAC-адресов клиентов на порту коммутатора, что также можно считать дополнительной опцией повышения безопасности.
Большинство сетевых пакетов третьего уровня обычно однонаправленные — идут от одного адресата одному получателю. Но некоторые сервисы применяют технологию мультикаст, когда получателей у одного пакета сразу несколько. Наиболее известный пример — это IPTV. Использование мультикаст здесь позволяет существенно сократить требования к полосе пропускания при необходимости доставки информации большому числу клиентов. Например, мультикаст 100 ТВ каналов с потоком 1 Мбит/с потребует 100 Мбит/с при любом числе клиентов. Если же использовать стандартную технологию, то 1000 клиентов потребовали бы 1000 Мбит/с.
Не будем вдаваться в подробности работы IGMP, отметим только возможность тонкой настройки коммутатора для эффективной работы при большой нагрузке данного типа.
В сложных сетях могут применяться специальные протоколы для контроля за путем прохождения сетевых пакетов. В частности, они позволяют исключить топологические петли («зацикливание» пакетов). Рассматриваемый коммутатор поддерживает STP, RSTP и MSTP и имеет гибкие настройки их работы.
Еще одной востребованной в крупных сетях функцией является защита от ситуаций типа «широковещательный шторм». Это понятие характеризует существенное увеличение широковещательных пакетов в сети, блокирующих прохождение «обычного» полезного трафика. Наиболее простым способом борьбы с этим является установка ограничений на обработку определенного числа пакетов в секунду для портов коммутатора.
Дополнительно в устройстве есть функция Error Disable. Она разрешает коммутатору отключать порты в случае обнаружения на них чрезмерного служебного трафика. Это позволяет сохранить производительность и обеспечить автоматическое восстановление работы после исправления проблемы.
Еще одна задача, связанная скорее с требованиями безопасности, — мониторинг всего трафика. В обычном режиме коммутатор реализует схему отправки пакетов только непосредственно их получателям. «Поймать» на другом порту «чужой» пакет невозможно. Для реализации этой задачи используется технология «зеркалирования» портов — на выбранных порт коммутатора подключается контрольное оборудование и настраивается отправка на этот порт всего трафика с указанных других портов.
Функции IP Source Guard, DHCP Snooping ARP Inspection также ориентированы на повышение безопасности. Первая позволяет настроить фильтры с участием MAC, IP, VLAN и номера порта, через которые будут проходить все пакеты. Вторая защищает протокол DHCP, третья автоматически блокирует неавторизованных клиентов.
Заключение
Безусловно, описанные выше возможности составляют лишь толику от доступных сегодня на рынке технологий сетевой коммутации. И даже из этого небольшого списка найти реальное применение у домашних пользователей могут далеко не все из них. Пожалуй, наиболее распространенными можно назвать PoE (например, для питания сетевых видеокамер), объединение портов (в случае крупной сети и необходимости быстрого обмена трафиком), контроль трафика (для обеспечения работы потоковых приложений при высокой нагрузке на канал).
Конечно, совсем не обязательно для решения этих задач использовать именно устройства бизнес-уровня. Например, в магазинах можно найти обычный коммутатор с PoE, объединение портов есть и в некоторых топовых роутерах, приоритезация также начинает встречаться в некоторых моделях с быстрыми процессорами и качественным программным обеспечением. Но, на наш взгляд, вариант приобретения более профессионального оборудования, в том числе и на вторичном рынке, вполне можно рассматривать и для домашних сетей с повышенными требованиями к производительности, безопасности и управляемости.
Кстати, на самом деле есть еще один вариант. Как мы говорили выше во всех «умных» коммутаторах непосредственно «ума» может быть разное количество. А у многих производителей есть серии продуктов, которые вполне укладываются в домашний бюджет и при этом способны обеспечить многие из описанных выше возможностей. В качестве примера можно упомянуть Zyxel GS1900-8HP.
Эта модель имеет компактный металлический корпус и внешний блок питания, в ней установлено восемь гигабитных портов с PoE, а для настройки и управления предусмотрен Web-интерфейс.
Прошивка устройства поддерживает агрегацию портов с LACP, VLAN, ограничение скорости портов, 802.1x, зеркалирование портов и другие функции. Но в отличие от описанного выше «настоящего управляемого коммутатора», настраивается это все исключительно через Web-интерфейс и, при необходимости, даже с использованием помощника.
Конечно, речи не идет о близости этой модели описанному выше устройству по своим возможностям в целом (в частности, здесь отсутствуют средства классификации трафика и функции Level 3). Скорее это просто более подходящий для домашнего пользователя вариант. Аналогичные модели можно найти в каталогах и других производителей.
Эволюция сетевых технологий в последние годы привела к новому устойчивому тренду в развитии систем видеонаблюдения. Из системы телевидения замкнутого контура (Сlosed Circuit Television, CCTV) видеонаблюдение все больше смещается в сторону одной из IT систем собственника. С теми же принципами передачи, обработки и хранения информации, а зачастую и с той же средой передачи данных локальной вычислительной сети (ЛВС) заказчика.
Данный тренд имеет множество положительных моментов для отрасли безопасности - унификация и, как следствие, удешевление оборудования при возрастающем функционале и технических характеристиках; высокая, ранее не достижимая степень интеграции между различными системами технической безопасности и IT системами заказчика; огромные возможности по резервированию центрального оборудования, систем хранения данных и систем передачи данных; автоматизация работы оператора системы видеонаблюдения и массовое внедрение видеоаналитических модулей и машинного зрения.
Но не стоит забывать и связанные с этим проблемы - необходимость обеспечить приоритетность в передаче данных от систем безопасности при разделении среды передачи, необходимость обеспечения информационной безопасности, а также учет нагрузки при планировании локальных вычислительной сетей.
В данной статье обсудим основные подходы к подбору сетевых коммутаторов для систем видеонаблюдения на примере оборудования ЗАО НВП “Болид”.
Коммутаторы - сердце IP системы видеонаблюдения
В системах IP видеонаблюдения сетевые коммутаторы можно сравнить с сердцем, где в роли крови выступают данные, генерируемые IP камерами. Для того, чтобы система “не болела” и данные системы видеонаблюдения гарантировано доставлялись потребителям - в мониторинговый центр и центр хранения данных - необходимо правильно спланировать ЛВС объекта и правильно настроить и сконфигурировать сетевые коммутаторы.
Принципы подбора оборудования
Первый, и, пожалуй, самый ответственный этап - подбор оборудования под конкретную задачу заказчика. Как правило, требуется подобрать минимально достаточное решение с учетом планов заказчика на дальнейшее расширение системы.
Попробуем разобраться с базовыми принципами выбора сетевых коммутаторов для видеонаблюдения.
Управляемые или неуправляемые?
Для грамотного ответа на данный вопрос придется немного погрузиться в то, как устроен процесс передачи данных в сетях связи. Проще всего для этого воспользоваться стандартной базовой эталонной моделью взаимодействия открытых систем OSI (open systems interconnection basic reference model).
Всего в модели OSI 7 уровней. Но на практике нам интересны лишь два из них: второй канальный (layer 2 data link или L2) и третий сетевой (layer 3 network или L3).
Сетевой коммутатор работает либо на 2 уровне, либо на 2 и 3 уровне по модели OSI. Разберемся, что это означает. Канальный уровень предназначен для обмена данными между узлами, находящимися в том же сегменте локальной сети. Сетевой уровень предполагает взаимодействие между разными сегментами локальной сети. Однако для систем видеонаблюдения, которые как правило физически отделены от локальных вычислительных сетей предприятия, 3 уровень модели OSI используется достаточно редко. Поэтому, несмотря на то, что управляемые коммутаторы могут поддерживать как 2 и 3 уровень модели OSI (L3) так и только 2 (L2), для систем видеонаблюдения используются коммутаторы второго уровня L2.
Теперь можно определить, чем отличаются управляемые коммутаторы от неуправляемых. Неуправляемый коммутатор – это устройство, самостоятельно передающее пакеты данных с одного порта на остальные. Но не всем устройствам подряд, а только непосредственно получателю, так как в коммутаторе есть таблица MAC-адресов. Благодаря данной таблице коммутатор "помнит", на каком порту находится какое устройство. Неуправляемый коммутатор с оптическими портами может являться альтернативой медиаконвертера с ограниченным количеством портов, например, когда необходимо конвертировать оптику и передавать пакеты данных далее сразу на несколько портов/устройств. Стоит отметить, что в данном типе коммутаторов нет web-интерфейса, именно поэтому они и называются неуправляемыми.
Самый очевидный пример использования неуправляемых коммутаторов – объединение видеорегистраторов, серверов, видеокамер, рабочих станций оператора в одну сеть.
Управляемый коммутатор – более сложное устройство, которое может работать как неуправляемый, но при этом имеет расширенный набор функций, и поддерживает протоколы сетевого управления благодаря наличию микропроцессора (по сути управляемый свитч – это узкоспециализированный компьютер). Доступ к настройкам данного типа устройства осуществляется, как правило, через WEB-интерфейс. Одно из основных преимуществ управляемого коммутатора – возможность разделения локальной сети с помощью виртуальной локальной сети (VLAN). Это необходимо если по каким-либо причинам невозможно выделить локальную сеть видеонаблюдения из общей локальной сети предприятия физически.
Управляемые коммутаторы позволяют задавать приоритет определенному трафику через механизм назначения уровней качества - QoS (quality of service).
Еще одно отличие управляемого коммутатора – протоколы резервирования, которые позволяют создавать сложные топологии, например физические кольца. При этом логическое подключение все равно остается шинным.
Таким образом, все коммутаторы можно разделить на 3 категории:
Форм фактор - Rack mount (стоечное исполнение) или DIN Rail mounts (промышленное исполнение)?
Выбор форм-фактора зависит от места установки коммутатора. Как правило, внутри здания коммутаторы устанавливаются в серверных/кроссовых. Для этого используются специальные серверные стойки либо настенные 19” шкафы. В этом случае необходимо использовать подходящий для стоек форм фактор - Rack mount.
Если требуется установить коммутатор вне здания в термошкафу - требуется компактный размер, промышленное исполнение и крепление на Din-рейку. Поэтому единственный правильный выбор - DIN Rail mounts.
“Витая пара” или “оптика”?
Это зависит от расстояния между камерой, коммутатором и сервером. Расстояние от точки терминирования “витой пары” (кабеля UTP / FTP категории 5 либо выше) в горизонтальном кроссе телекоммуникационной (рядом с сервером / регистратором) до точки терминирования в телекоммуникационной розетке (рядом с камерой видеонаблюдения) не должно превышать 90 метров (п. 5.2.1 ГОСТ Р 53246-2008 Системы кабельные структурированные).
Это не означает, что при больших расстояниях камера не сможет передать видео. Технология передачи Fast Ethernet 100BASE-TX предполагают работу на скорости до 100 Мб/с. Очевидно, что битрейт с камер меньше и следовательно длину сегмента можно увеличить. Но влияют множество факторов на конкретном объекте. Стандарты - они прежде всего для планирования сетей, для унификации. Если сертифицировать сеть на соответствие требованиям стандартов СКС (что может потребовать заказчик), то нужно соблюдать ограничения, прописанные в ГОСТ Р 53246-2008, ГОСТ Р 53245-2008 и международных ISO/IEC.
Поэтому, как правило, медная витая пара используется при расстояниях до 90 метров от камеры до коммутатора, оптоволоконный кабель - при превышении 90 метров.
| Модель | Число портов 10/100 Base-T c PoE (“медь”) | Число Up-link портов 10/100/1000 Base-T (“медь”) | Число Up-link портов 100/1000 Base-X (“оптика”) | Типы SFP модулей для “оптических” портов |
|---|---|---|---|---|
| SW-104 | 4 | 1 | 1 | 155 Мб/с 850 нм, 2 км, LC, многомодовое волокно 1,25 Гб/с 850 нм, 500 м, LC, многомодовое волокно 155 Мб/с 1310 / 1550 нм, 20 км, LC, одномодовое волокно 155 Мб/с 1550 / 1310 нм, 20 км, LC, одномодовое волокно |
| SW-108 | 8 | 1 | 1 | |
| SW-204 | 3 | 1 | 2 | 1,25 Гб/с 850nm, 500 м, LC, многомодовое волокно 1,25 Гб/с 1310 / 1550 нм, 20 км, LC, одномодовое волокно 1,25 Гб/с 1550 / 1310 нм, 20 км, LC, одномодовое волокно |
| SW-216 | 16 | 2 | 0 | - |
| SW-224 | 24 | 2 | 0 | - |
Топология сети - “звезда” или “кольцо”?
Почти всегда топология построения локальной вычислительной сети (ЛВС) для систем видеонаблюдения строится по топологии типа “звезда”. Для крупных систем идет разделение: на коммутаторы уровня доступа, к которым подключаются камеры видеонаблюдения, и на коммутатор уровня ядра сети, к которому подключаются коммутаторы уровня доступа, видеосервера, рабочие станции поста охраны. Для небольших ЛВС один коммутатор может совмещать уровень доступа и уровень ядра.
Однако бывают случаи, когда стандартная топология не является идеальной. Это относится в первую очередь к периметральным системам охранного телевидения, где очевидны преимущества кольцевой топологии: более равномерная нагрузка на каналы связи, автоматическое восстановление сети после единичного обрыва.
Коммутатор BOLID SW-204 с двумя гигабитными оптическими портами 100/1000 Base-X поддерживает стандартный протокол RSTP (Rapid spanning tree protocol) и кольцевую топологию с функционалом резервирования связи Fast Ring Network для построения локальных вычислительных сетей периметральных систем видеонаблюдения (см. рис.1).
Рисунок 1. Сравнение кольцевых топологий для построения периметральных систем видеонаблюдения.
Основное отличие RSTP и Fast Ring Network - в скорости восстановления сети после разрыва кольца. Fast Ring Network имеет гарантированное время восстановления (т.н. “время сходимости”) менее 50 мс для кольца из 30 коммутаторов. RSTP работает медленнее (время восстановления от нескольких секунд до 1-2 минут) и напрямую зависит от числа коммутаторов в кольце.
На данный момент для создания кольцевой топологии с поддержкой Fast Ring Network требуется использовать сторонние L2+ коммутаторы, поддерживающие протокол Fast Ring Network (Ring topology), однако, очередном обновлении линейки видеонаблюдения "Болид" целесообразность расширения модельного ряда коммутаторов будет рассмотрена.
* в сети заказчика должен иметься хотя бы один коммутатор L3 для выделения трафика видеонаблюдения в отдельную логическую подсеть (VLAN)** для кольцевой топологии с поддержкой Fast Ring Network в коммутаторах Болид требуется один L2+ коммутатор, остальные L2
Резервирование электропитания
При выборе коммутатора необходимо учитывать параметры сетевого электропитания. Как правило, стоечные 19” коммутаторы питаются переменным напряжением 220 VAC. Коммутаторы промышленного исполнения могут иметь различные, не всегда стандартные номиналы питающего напряжения.
Для резервирования электропитания, как правило, используют источники бесперебойного питания (ИБП) либо резервированные источники питания с батареями. Важно заранее спланировать как именно резервировать электропитание коммутатора, учитывая не только собственное потребление, но и потребление нагрузки - камер видеонаблюдения, подключенные к портам коммутатора с функцией поддержки PoE.
PoE (Power over Ethernet) - считаем бюджет по мощности
Power over Ethernet (PoE) - технология, позволяющая передавать удалённому устройству электрическую энергию вместе с данными через стандартную витую пару в сети Ethernet.
При выборе коммутатора необходимо учитывать два параметра, касающиеся использования технологии PoE:
- максимальная мощность, выделяемая коммутатором на 1 порт
- общая мощность PoE коммутатора
Максимальная мощность, выделяемая коммутатором на 1 порт не должна быть меньше потребляемой мощности ни одной из подключенных к коммутатору камер. Суммарная потребляемая мощность всех камер не должна превышать общую мощность, выделяемую коммутатором на все PoE порты. Коммутаторы "Болид" поддерживают IEEE 802.3af-2003 и IEEE 802.3at-2009. В таблице представлены данные по коммутаторам "Болид":
Классы потребление PoE IP камер Болид
Классы потребления мощности питаемых устройств приведены в таблице:
| Модель | Потребляемая мощность, не более Вт | Стандарт PoE | Класс PoE |
|---|---|---|---|
| VCI-113 | 4,5 | IEEE 802.3af-2003 | 2 |
| VCI-122 | 5,1 | IEEE 802.3af-2003 | 2 |
| VCI-123 | 5,1 | IEEE 802.3af-2003 | 2 |
| VCI-120 | 9,09 | IEEE 802.3af-2003 | 3 |
| VCI-121-01 | 13 | IEEE 802.3af-2003 | 3 |
| VCI-130 | 5,5 | IEEE 802.3af-2003 | 2 |
| VCI-143 | 6 | IEEE 802.3af-2003 | 2 |
| VCI-140-01 | 11,5 | IEEE 802.3af-2003 | 3 |
| VCI-184 | 7 | IEEE 802.3af-2003 | 2 |
| VCI-180-01 | 12,95 | IEEE 802.3af-2003 | 3 |
| VCI-212 | 4,5 | IEEE 802.3af-2003 | 2 |
| VCI-222 | 2,6 | IEEE 802.3af-2003 | 1 |
| VCI-722 | 5 | IEEE 802.3af-2003 | 2 |
| VCI-220 | 9,75 | IEEE 802.3af-2003 | 3 |
| VCI-220-01 | 10 | IEEE 802.3af-2003 | 3 |
| VCI-230 | 5,5 | IEEE 802.3af-2003 | 2 |
| VCI-830-01 | 7,5 | IEEE 802.3af-2003 | 3 |
| VCI-242 | 4 | IEEE 802.3af-2003 | 2 |
| VCI-742 | 5 | IEEE 802.3af-2003 | 2 |
| VCI-240-01 | 11,5 | IEEE 802.3af-2003 | 3 |
| VCI-884 | 4,97 | IEEE 802.3af-2003 | 2 |
| VCI-280-01 | 15 | IEEE 802.3at-2009 | 4 |
| VCI-252-05 | 6 | IEEE 802.3af-2003 | 2 |
| VCI-320 | 10 | IEEE 802.3af-2003 | 3 |
| VCI-412 | 4,5 | IEEE 802.3af-2003 | 2 |
| VCI-432 | 4,85 | IEEE 802.3af-2003 | 2 |
| VCI-627-00 | 10 | IEEE 802.3af-2003 | 3 |
| VCI-627 | 13 | IEEE 802.3at-2009 | 4 |
| VCI-628-00 | 12 | IEEE 802.3af-2003 | 3 |
| VCI-528-00 | 20 | IEEE 802.3at-2009 | 4 |
| VCI-528 | 26 | IEEE 802.3at-2009 | 5 |
| VCI-529 | 43 | IEEE 802.3at-2009 | 5 |
| VCI-529-06 | 38 | IEEE 802.3at-2009 | 5 |
| TCI-111 | 7 | IEEE 802.3af-2003 | 3 |
Интересный функционал для видеонаблюдения - PoE Management. Он, например, позволяет управлять подачей напряжения на камеру, что, например, важно для удаленной перезагрузки “зависшей” камеры. Кроме этого, поддерживаются следующие функции:
- функция приоритета по мощности для каждого порта может быть 3 степеней: низкая, средняя, высокая. В случае перегрузки системы будут отключены порты с низким приоритетом
- функция настройки порога перегрузки - в случае превышения предельно допустимой мощности, система отключит питание с порта с наименьшим приоритетом
- ручное управление включением или отключением функции PoE на порту
Условия эксплуатации - температурный диапазон, защита от импульсных перенапряжений
При выборе коммутатора приходится учитывать условия его будущей эксплуатации. Если эксплуатация идет вне помещений, то даже для термошкафов желательно подбирать камеры с расширенным температурным диапазоном до -30°С. Кроме того, при планировании локальной вычислительной сети необходимо учитывать возможность перенапряжений в линиях связи и питания. Для коммутаторов Болид предельные перенапряжения импульсных помех представлены в таблице 4:
Выводы
Подбор коммутаторов для организации локальной вычислительной сети (ЛВС) системы охранного видеонаблюдения - задача с большим числом переменных, однако достаточно простая и формализуемая. Данные, приведенные в статье помогут вам подобрать нужную модель коммутатора Болид для любой задачи - от системы видеонаблюдения офисного здания до крупной периметральной системы с промышленными коммутаторами в уличных термошкафах с подключением по оптоволоконным линиям связи с резервированием каналов кольцевой топологией организации ЛВС.
Если взять кусок патч-корда и воткнуть оба хвоста в один коммутатор, то получится петля. И в целом петля на порте коммутатора или сетевой карты - зло. Но если постараться, то и этому явлению можно найти полезное применение, например сделать сигнализацию с тревожной кнопкой.
INFO
- Rx и Tx - обозначения Receive и Transmit на схемах (приём и передача).
- Loop - англ. петля, контур, шлейф, виток, спираль.
Типичная сеть состоит из узлов, соединенных средой передачи данных и специализированным сетевым оборудованием, таким как маршрутизаторы, концентраторы или коммутаторы. Все эти компоненты сети, работая вместе, позволяют пользователям пересылать данные с одного компьютера на другой, возможно в другую часть света.
Коммутаторы являются основными компонентами большинства проводных сетей. Управляемые коммутаторы делят сеть на отдельные логические подсети, ограничивают доступ из одной подсети в другую и устраняют ошибки в сети (коллизии).
Петли, штормы и порты - это не только морские термины. Петлей называют ситуацию, когда устройство получает тот же самый сигнал, который отправляет. Представь, что устройство «кричит» себе в порт: «Я здесь!» - слушает и получает в ответ: «Я здесь!». Оно по-детски наивно радуется: есть соседи! Потом оно кричит: «Привет! Лови пакет данных!» - «Поймал?» - «Поймал!» - «И ты лови пакет данных! Поймал?» - «Конечно, дружище!»
Вот такой сумасшедший разговор с самим собой может начаться из-за петли на порте коммутатора.
Такого быть не должно, но на практике петли по ошибке или недосмотру возникают сплошь и рядом, особенно при построении крупных сетей. Кто-нибудь неверно прописал марштуры и хосты на соседних коммутаторах, и вот уже пакет вернулся обратно и зациклил устройство. Все коммутаторы в сети, через которые летают пакеты данных, начинает штормить. Такое явление называется широковещательным штормом (broadcast storm).
Меня удивил случай, когда установщик цифрового телевидения вот так подсоединил патч-корд (рис. 1). «Куда-то же он должен быть воткнут...» - беспомощно лепетал он.
Однако не всё так страшно. Почти в каждом приличном коммутаторе есть функция loop_detection, которая защищает устройство и его порт от перегрузок в случае возникновения петли.
Настраиваем коммутаторы
Перед тем как начинать настройку, необходимо установить физическое соединение между коммутатором и рабочей станцией.
Существует два типа кабельных соединений для управления коммутатором: соединение через консольный порт (если он имеется у устройства) и через порт Ethernet (по протоколу Telnet или через web-интерфейс). Консольный порт используется для первоначального конфигурирования коммутатора и обычно не требует настройки. Для того чтобы получить доступ к коммутатору через порт Ethernet, устройству необходимо назначить IP-адрес.
Web-интерфейс является альтернативой командной строке и отображает в режиме реального времени подробную информацию о состоянии портов, модулей, их типе и т. д. Как правило, web-интерфейс живет на 80 HTTP-порте IP-коммутатора.
Настройка DLink DES-3200
Для того чтобы подключиться к НТТР-серверу, необходимо выполнить перечисленные ниже действия с использованием интерфейса командной строки.
- Назначить коммутатору IP-адрес из диапазона адресов твоей сети с помощью следующей команды:
DES-3200# config ipif System \
ipaddress xxx.xxx.xxx.xxx/yyy.yyy.yyy.yyy.
Здесь xxx.xxx.xxx.xxx - IP-адрес, yyy.yyy.yyy.yyy. - маска подсети.
- Проверить, правильно ли задан IP-адрес коммутатора, с помощью следующей команды: DES-3200# show ipif
- Запустить на рабочей станции web-браузер и ввести в его командной строке IP- адрес коммутатора.
Управляемые коммутаторы D-Link имеют консольный порт, который с помощью кабеля RS-232, входящего в комплект поставки, подключается к последовательному порту компьютера. Подключение по консоли иногда называют подключением Out-of-Band. Его можно использовать для установки коммутатора и управления им, даже если нет подключения к сети.
После подключения к консольному порту следует запустить эмулятор терминала (например, программу HyperTerminal в Windows). В программе необходимо задать следующие параметры:
Baud rate: 9,600 Data width: 8 bits Parity: none Stop bits: 1 Flow Control: none
При соединении коммутатора с консолью появится окно командной строки. Если оно не появилось, нажми Ctrl+r , чтобы обновить окно.
Коммутатор предложит ввести пароль. Первоначально имя пользователя и пароль не заданы, поэтому смело жми клавишу Enter два раза. После этого в командной строке появится приглашение, например DES-3200#. Теперь можно вводить команды. Команды бывают сложными, многоуровневыми, с множеством параметров, и простыми, для которых требуется всего один параметр.Введи «?» в командной строке, чтобы вывести на экран список всех команд данного уровня или узнать параметры команды.
Например, если надо узнать синтаксис команды config, введи в командной строке:
Базовая конфигурация коммутатора
При создании конфигурации коммутатора прежде всего необходимо обеспечить защиту от доступа к нему неавторизованных пользователей. Самый простой способ обеспечения безопасности - создание учетных записей для пользователей с соответствующими правами. Для учетной записи пользователя можно задать один из двух уровней привилегий: Admin или User. Учетная запись Admin имеет наивысший уровень привилегий. Создать учетную запись пользователя можно с помощью следующих команд CLI:
DES-3200# create account admin/user
После этого на экране появится приглашение для ввода пароля и его подтверждения: «Enter a case-sensitive new password». Максимальная длина имени пользователя и пароля составляет 15 символов. После успешного создания учетной записи на экране появится слово Success. Ниже приведен пример создания учетной записи с уровнем привилегий Admin:
Username "dlink": DES-3200#create account admin dlink Command: create account admin dlink Enter a case-sensitive new password:**** Enter the new password again for confirmation:**** Success. DES-3200#
Изменить пароль для существующей учетной записи пользователя можно с помощью следующей команды: DES-3200# config account Ниже приведен пример установки нового пароля для учетной записи dlink:
DES-3200#config account dlink Command: config account dlink Enter a old password:**** Enter a case-sensitive new password:**** Enter the new password again for confirmation:**** Success.
Проверка созданной учетной записи выполняется с помощью следующей команды: DES-3200# show account. Для удаления учетной записи используется команда delete account .
Шаг второй. Чтобы коммутатором можно было удаленно управлять через web-интерфейс или Telnet, коммутатору необходимо назначить IP-адрес из адресного пространства сети, в которой планируется использовать устройство. IP-адрес задается автоматически с помощью протоколов DHCP или BOOTP или статически с помощью следующих команд CLI:
DES-3200# config ipif System dhcp, DES-3200# config ipif System ipaddress \ xxx.xxx.xxx.xxx/yyy.yyy.yyy.yyy.
Здесь xxx.xxx.xxx.xxx - IP-адрес, yyy.yyy.yyy.yyy. - маска подсети, System - имя управляющего интерфейса коммутатора.
Шаг третий. Теперь нужно настроить параметры портов коммутатора. По умолчанию порты всех коммутаторов D-Link поддерживают автоматическое определение скорости и режима работы (дуплекса). Но иногда автоопределение производится некорректно, в результате чего требуется устанавливать скорость и режим вручную.
Для установки параметров портов на коммутаторе D-Link служит команда config ports. Ниже я привел пример, в котором показано, как установить скорость 10 Мбит/с, дуплексный режим работы и состояние для портов коммутатора 1–3 и перевести их в режим обучения.
DES-3200#config ports 1-3 speed 10_full learning enable state enable Command: config ports 1-3 speed 10_full learning enable state enable Success
Команда show ports <список портов> выводит на экран информацию о настройках портов коммутатора.
Шаг четвертый. Сохранение текущей конфигурации коммутатора в энергонезависимой памяти NVRAM. Для этого необходимо выполнить команду save:
DES-3200#save Command: save Saving all settings to NV-RAM... 100% done. DES-3200#
Шаг пятый. Перезагрузка коммутатора с помощью команды reboot:
DES-3200#reboot Command: reboot
Будь внимателен! Восстановление заводских настроек коммутатора выполняется с помощью команды reset.
DES-3200#reset config
А то я знал одного горе-админа, который перезагружал коммутаторы командой reset, тем самым стирая все настройки.
Loop_detection для коммутаторов Alcatel interface range ethernet e(1-24) loopback-detection enable exit loopback-detection enable loop_detection для коммутаторов Dlink enable loopdetect config loopdetect recover_timer 1800 config loopdetect interval 1 config loopdetect mode port-based config loopdetect trap none config loopdetect ports 1-24 state enabled config loopdetect ports 25-26 state disabled
Грамотный админ обязательно установит на каждом порте соответствующую защиту.
Но сегодня мы хотим применить loopback во благо. У такого включения есть замечательное свойство. Если на порте коммутатора имеется петля, устройство считает, что к нему что-то подключено, и переходит в UP-состояние, или, как еще говорят, «порт поднимается». Вот эта-то фишка нам с тобой и нужна.
Loopback
Loop - это аппаратный или программный метод, который позволяет направлять полученный сигнал или данные обратно отправителю. На этом методе основан тест, который называется loopback-тест. Для его выполнения необходимо соединить выход устройства с его же входом. Смотри фото «loopback-тест». Если устройство получает свой собственный сигнал обратно, это означает, что цепь функционирует, то есть приемник, передатчик и линия связи исправны.
Устраиваем аппаратную петлю
Устроить обратную связь очень просто: соединяется канал приема и передачи, вход с выходом (Rx и Tx).
Обожми один конец кабеля стандартно, а при обжиме второго замкни жилы 2 и 6, а также 1 и 3. Если жилы имеют стандартную расцветку, надо замкнуть оранжевую с зеленой, а бело-оранжевую с бело-зеленой. Смотри рис. 3.
Теперь, если воткнешь такой «хвостик» в порт коммутатора или в свою же сетевую карту, загорится зелёненький сигнал link. Ура! Порт определил наше «устройство»!
Красная кнопка, или Hello world
Ну куда же без Hello world? Каждый должен хоть раз в жизни вывести эти слова на экран монитора! Сейчас мы с тобой напишем простейший обработчик событий, который будет срабатывать при замыкании красной кнопки. Для этого нам понадобятся только кнопка с двумя парами контактов, работающих на замыкание, витая пара и коннектор. На всякий случай приведу схему красной кнопки (рис. 4).
Паяльник в руках держать умеешь? Соединяем так, чтобы одна пара контактов замыкала оранжевую жилу с зеленой, а другая - бело-оранжевую с бело-зеленой. На всяких случай прозвони соединение мультиметром.
Все, теперь можно тестировать. Вставь обжатую часть в порт сетевой карты или в порт коммутатора. Ничего не произошло? Хорошо. Нажми кнопку. Линк поднялся? Замечательно!
Вот листинг простейшего обработчика Hello World на Cshell:
Скрипт на Cshell, генерящий Hello word #!/bin/csh # ver. 1.0 # Проверяем, запущен ли процесс в памяти if ("ps | grep "redbut" | grep -v "grep" | wc -l" <= 1) then # Указываем путь, где лежит snmp set snmpdir = "/usr/local/bin/" set community = "public" # Строка snmp set snmpcmd = "-t1 -r1 -Oqv -c $community -v1 -Cf " set mib_stat = "IF-MIB::ifOperStatus.$2" set uid = "$1" set fl = "0" # Запускаем цикл проверки порта while ("$fl" == "0"). set nowstatus = "$snmpdir/snmpget $snmpcmd $uid $mib_stat | sed "s/up/1/;s/down/0/;/Wrong/d"" if ("$nowstatus" == 1) then echo "Hello World" # Отправляем сообщение на e-mail echo "Сработала красная кнопка! Hello World!" | sendmail -f[от_кого_отправлено] [кому_отправляем] endif sleep 10 end endif exit
Скрипт запускается с помощью следующей строки:
./script.csh IP_коммутатора номер_порта.
Что привязать к обработчику событий, зависит уже от твоей фантазии. Может, это будет счетчик гостей, или тревожная кнопка, рассылающая сообщения в аське, или кнопка для отключения всех юзеров в сети - решать тебе!
Сигнализация обрыва витой пары
Я решил собрать аппаратную петлю после того, как в моей локальной сети украли несколько мешков витой пары. Встал серьезный вопрос: как мониторить витую пару?
Идея проста: надо проложить витую пару от коммутатора до подъезда и на конце замкнуть её в петлю. Это будет «растяжка», при обрыве которой исчезнет линк на порте коммутатора. Останется написать обработчик, который бы «трубил во все трубы», что линк исчез, то есть витую пару кто-то разрезал.
Чуть не забыл! В конфигурации коммутатора необходимо снять защиту loop_detection с порта, на котором установлена «растяжка».
Впрочем, ты можешь придумать петле и другое применение. Удачи!
по возможности управления. Существует три категории коммутаторов:- неуправляемые коммутаторы;
- управляемые коммутаторы;
- настраиваемые коммутаторы.
Неуправляемые коммутаторы не поддерживают возможности управления и обновления программного обеспечения.
Управляемые коммутаторы являются сложными устройствами, позволяющими выполнять расширенный набор функций 2-го и 3-го уровня модели OSI . Управление коммутаторами может осуществляться посредством Web-интерфейса, командной строки ( CLI ), протокола SNMP , Telnet и т.д.
Настраиваемые коммутаторы занимают промежуточную позицию между ними. Они предоставляют пользователям возможность настраивать определенные параметры сети с помощью интуитивно понятных утилит управления, Web-интерфейса, упрощенного интерфейса командной строки, протокола SNMP .
Средства управления коммутаторами
Большинство современных коммутаторов поддерживают различные функции управления и мониторинга. К ним относятся дружественный пользователю Web- интерфейс управления, интерфейс командной строки ( Command Line Interface , CLI ), Telnet, SNMP -управление. В коммутаторах D-Link серии Smart также реализована поддержка начальной настройки и обновления программного обеспечения через утилиту D-Link SmartConsole Utility .
Web- интерфейс управления позволяет осуществлять настройку и мониторинг параметров коммутатора, используя любой компьютер , оснащенный стандартным Web-браузером. Браузер представляет собой универсальное средство доступа и может непосредственно подключаться к коммутатору по протоколу HTTP .
Главная страница Web-интерфейса обеспечивает доступ к различным настройкам коммутатора и отображает всю необходимую информацию об устройстве. Администратор может быстро посмотреть статус устройства, статистику по производительности и т.д., а также произвести необходимые настройки.
Доступ к интерфейсу командной строки коммутатора осуществляется путем подключения к его консольному порту терминала или персонального компьютера с установленной программой эмуляции терминала. Это метод доступа наиболее удобен при первоначальном подключении к коммутатору, когда значение IP-адреса неизвестно или не установлено, в случае необходимости восстановления пароля и при выполнении расширенных настроек коммутатора. Также доступ к интерфейсу командной строки может быть получен по сети с помощью протокола Telnet.
Пользователь может использовать для настройки коммутатора любой удобный ему интерфейс управления, т.к. набор доступных через разные интерфейсы управления функций одинаков для каждой конкретной модели.
Еще один способ управления коммутатором - использование протокола SNMP (Simple Network Management Protocol ). Протокол SNMP является протоколом 7-го уровня модели OSI и разработан специально для управления и мониторинга сетевыми устройствами и приложениями связи. Это выполняется путем обмена управляющей информацией между агентами, располагающимися на сетевых устройствах, и менеджерами, расположенными на станциях управления. Коммутаторами D-Link поддерживается протокол SNMP версий 1, 2с и 3.
Также стоит отметить возможность обновления программного обеспечения коммутаторов (за исключением неуправляемых). Это обеспечивает более долгий срок эксплуатации устройств, т.к. позволяет добавлять новые функции либо устранять имеющиеся ошибки по мере выхода новых версий ПО , что существенно облегчает и удешевляет использование устройств. Компания D-Link распространяет новые версии ПО бесплатно. Сюда же можно включить возможность сохранения настроек коммутатора на случай сбоев с последующим восстановлением или тиражированием, что избавляет администратора от выполнения рутинной работы.
Подключение к коммутатору
Перед тем, как начать настройку коммутатора, необходимо установить физическое соединение между ним и рабочей станцией. Существуют два типа кабельного соединения, используемых для управления коммутатором. Первый тип - через консольный порт (если он имеется у устройства), второй - через порт Ethernet ( по протоколу Telnet или через Web- интерфейс ). Консольный порт используется для первоначальной конфигурации коммутатора и обычно не требует настройки. Для того чтобы получить доступ к коммутатору через порт Ethernet , в браузере необходимо ввести IP-адрес по умолчанию его интерфейса управления (обычно он указан в руководстве пользователя).
При подключении к медному ( разъем RJ-45 ) порту Ethernet коммутатора Ethernet -совместимых серверов, маршрутизаторов или рабочих станций используется четырехпарный кабель UTP категории 5, 5е или 6 для Gigabit Ethernet . Поскольку коммутаторы D-Link поддерживают функцию автоматического определения полярности ( MDI /MDIX), можно использовать любой тип кабеля ( прямой или кроссовый).
Рис.
2.1.
Для подключения к медному ( разъем RJ-45 ) порту Ethernet другого коммутатора также можно использовать любой четырехпарный кабель UTP категории 5, 5е, 6, при условии, что порты коммутатора поддерживают автоматическое определение полярности. В противном случае надо использовать кроссовый кабель .
Рис. 2.2.
Правильность подключения поможет определить светодиодная индикация порта. Если соответствующий индикатор горит, то связь между коммутатором и подключенным устройством установлена. Если индикатор не горит, возможно, что не включено питание одного из устройств, или возникли проблемы с сетевым адаптером подключенного устройства, или имеются неполадки с кабелем. Если индикатор загорается и гаснет, возможно, есть проблемы с автоматическим определением скорости и режимом работы (дуплекс/полудуплекс) (за подробным описанием сигналов индикаторов необходимо обратиться к руководству пользователя коммутатора конкретной модели).
Подключение к консоли интерфейса командной строки коммутатора
Управляемые коммутаторы D-Link оснащены консольным портом. В зависимости от модели коммутатора консольный порт может обладать разъемом DB-9 или RJ-45 . С помощью консольного кабеля, входящего в комплект поставки, коммутатор подключается к последовательному порту компьютера. Подключение по консоли иногда называют "Out-of-Band-подключением. Это означает, что консоль использует отличную от обычного сетевого подключения схему (не использует полосу пропускания портов Ethernet).
После подключения к консольному порту коммутатора на персональном компьютере необходимо запустить программу эмуляции терминала VT100 (например, программу HyperTerminal в Windows). В программе следует установить следующие параметры подключения, которые, как правило, указаны в документации к устройству:
Все управляемые коммутаторы обладают защитой от доступа неавторизованных пользователей, поэтому после загрузки устройства появится приглашение ввести имя пользователя и пароль. По умолчанию имя пользователя и пароль не определены, поэтому необходимо дважды нажать клавишу Enter. После этого в командной строке появится следующее приглашение, например DES-3528# . Теперь можно вводить команды.
Рис. 2.3.
Применение сетевого оборудования в промышленности требует учета параметров среды, в которой должны работать устройства. Например, оборудование, предназначенное для установки на заводах, должно выдерживать более широкий диапазон температур, вибраций, физических загрязнений и электрических помех, чем оборудование, устанавливаемое в обычных монтажных телекоммуникационных шкафах. Поскольку управление критически важными процессами может зависеть от канала Ethernet, экономическая стоимость падения связи может быть высокой, и поэтому важным критерием является высокая доступность. Промышленные коммутаторы L2 предназначены для установки на особо важных объектах, заводах и в производственных помещения. Устройства industrial ethernet могут работать при низких температурах, а также имеют повышенную устойчивость к пыли (уровень защиты IP40). Также существуют коммутаторы ip67 , имеющие полную защиту от пыли и выдерживающие погружение в воду на глубину до 1 метра (уровень защиты IP67).
Серия Gazelle - это управляемые промышленные ethernet коммутаторы , предназначенные для автоматизации производства, силовых ведомств, электроэнергетики и др. Устройства могут работать при низких температурах, а также имеют повышенную устойчивость к пыли (уровень защиты IP40 и GB/T 17626.5) и грозозащиту до 6000 вольт.
Базовая настройка коммутатора состоит из нескольких этапов: задание имени хоста и описания портов, настройка VLAN, настройка протокола кольца и включение мониторинга устройства. В следующих пунктах статьи приводятся примеры настройки.
1. Настройка описания портов и hostname
Чтобы было проще определить, какие устройства подключены к интерфейсам коммутатора, рекомендуется задавать портам параметр description . Таким образом обычно описывают, к какому оборудованию или в какое помещение идет кабель из данного порта. Это делается в режиме конфигурации интерфейса командой:
description text
Raisecom является стандартным именем хоста. Рекомендуется менять его на название устройства или места, где оно установлено.
Raisecom#hostname SwitchA
SwitchA#
2. Настройка VLAN
Основное применение VLAN заключается в разделении сети на отдельные логические сегменты. На коммутаторе создается несколько VLAN, а хосты, которые подключаются к устройству, делятся между ними. Таким образом, общаться между собой могут только узлы, находящиеся в одном VLAN. Например, финансовый и IT отделы должены быть помещены в разные подсети, чтобы они не могли получить доступ друг к другу.
Существует 2 режима интерфейса: Trunk и Access. Порты в режиме Access обычно используются для подключения пользовательских устройств, например ПК, телефонов или камер, т.е. организации услуг доступа. Такие интерфейсы пропускают в сторону клиентских устройств пакеты только с уникальным идентификатором своего VLAN и «тегируют» пакеты от них. Пакеты других VLAN отбрасываются.
Порты в режиме Trunk обычно используются для связи коммутаторов между собой. Для них настраивается список VLAN, которые им разрешено пропускать через себя, и все пакеты с тегами этих VLAN будут передаваться через такие порты. Другие пакеты будут отбрасываться.
Существует Native VLAN . Трафик этого VLAN не тегируется даже в Trunk , по умолчанию это 1-й VLAN и по умолчанию он разрешён. Эти параметры можно переопределить. Нужен Native VLAN для совместимости с устройствами, незнакомыми с инкапсуляцией 802.1q. Например, если нужно через Wi-Fi мост передать три VLAN , и один из них является VLAN управления. Если Wi-Fi-модули не понимают стандарт 802.1q, то управлять ими можно, только если этот VLAN настроить, как Native VLAN с обеих сторон.
2.1 Настройка пользовательских VLAN и VLAN управления
Обычно в целях безопасности рекомендуется разделять пользовательский трафик и трафик управления системой. Поэтому для подключения к коммутатору создают отдельный VLAN и задают в нем IP-адрес для подключения по протоколу telnet или ssh. Создадим VLAN 100 и VLAN 200, активируем их, настроим VLAN 200 для управления по адресу 192.168.4.28, а VLAN 100 как пользовательский.
Raisecom(config-gigaethernet1/1/1)#switchport access vlan 100
Raisecom(config)#interface gigaethernet 1/1/2
Raisecom(config-gigaethernet1/1/1)#switchport mode access
Raisecom(config-gigaethernet1/1/1)#switchport access vlan 200
Raisecom(config)#interface ip 1
Raisecom(config-ip1)#ip address 192.168.4.28 255.255.255.0 200
2.2 Настройка Voice VLAN
Иногда требуется разделить голосовой трафик и передачу остальных данных по разным VLAN. Можно настроить интерфейс GE 1/1/1 в режиме Trunk, пустить передачу данных по Native VLAN (VLAN 100), а голосовой трафик по Voice VLAN (VLAN 200 ). Создадим VLAN 100 и VLAN 200, активируем их, настроим VLAN 200 как Voice VLAN:
Raisecom(config)#create vlan 100,200 active
Raisecom(config)#interface gigaethernet 1/1/1
Raisecom(config-gigaethernet1/1/1)#switchport mode trunk
Raisecom(config-gigaethernet1/1/1)#switchport trunk native vlan 100
Raisecom(config-gigaethernet1/1/1)#voice-vlan 200 enable
3. Настройка протокола кольца на примере RSTP
С усложнением структуры сетей и ростом числа коммутаторов в них петли в сети Ethernet становятся большой проблемой. Из-за механизма пакетной широковещательной передачи петля заставляет сеть генерировать большие объемы данных, в результате чего снижается пропускная способность сети и оказывается серьезное влияние на пересылку обычных данных. Сетевой шторм, вызванный петлей, показан на рисунке.
Spanning Tree Protocol (STP) соответствует стандарту IEEE 802.1d и используется для удаления петель. Gazelle S1112i, на которых работает STP, будут обрабатывать пакеты Bridge Protocol Data Unit (BPDU) для выбора корневого коммутатора, корневого порта и designated порта. Интерфейс петли блокируется логически в соответствии с результатами выбора, обрезая структуру петлевой сети до древовидной структуры, которая имеет Gazelle S1112i-PWR в качестве корня. Это предотвращает непрерывное распространение, неограниченную циркуляцию пакетов в петле, широковещательные штормы и снижение производительности обработки пакетов, вызванной повторным приемом одних и тех же пакетов.
Основным недостатком STP является низкая скорость сходимости. Сходимость означает состояние, когда выбраны корневой коммутатор, корневые и designated порты, эти порты переведены в режим пропуска трафика, а остальные порты в режим блокировки трафика. Для улучшения медленной скорости сходимости STP IEEE 802.1w устанавливает протокол быстрого связующего дерева (RSTP), который ускоряет механизм изменения состояния блокировки интерфейса на состояние пересылки.
Пример настройки на Gazelle S1112i описан ниже.
Включим RSTP, поставим приоритет Switch A равным 0, и стоимость пути от Switch B к Switch A равной 10.
Включим RSTP на Switch A, Switch B, и Switch C
Raisecom#hostname SwitchA
SwitchA#config
SwitchA(config)#spanning-tree enable
SwitchA(config)#spanning-tree mode rstp
Raisecom#hostname SwitchB
SwitchB#config
SwitchB(config)#spanning-tree enable
SwitchB(config)#spanning-tree mode stp
Raisecom#hostname SwitchC
SwitchC#config
SwitchC(config)#spanning-tree enable
SwitchC(config)#spanning-tree mode stp
Настроим интерфейсы
SwitchA(config)#interface port 1
SwitchA(config-port)#exit
SwitchA(config-port)#switchport mode trunk
SwitchA(config-port)#exit
SwitchB(config-port)#exit
SwitchB(config)#interface port 2
SwitchB(config-port)#switchport mode trunk
SwitchB(config-port)#exit
SwitchC(config)#interface port 1
SwitchC(config-port)#exit
SwitchC(config)#interface port 2
SwitchC(config-port)#switchport mode trunk
SwitchC(config-port)#exit
Настроим приоритеты
SwitchA(config)#spanning-tree priority 0
SwitchA(config)#interface port 2
SwitchA(config-port)#spanning-tree extern-path-cost 10
SwitchB(config)#interface port 1
SwitchB(config-port)#spanning-tree extern-path-cost 10
4. Настройка мониторинга SNMP v2
Simple Network Management Protocol (SNMP) разработан Инженерной группой по Интернету (IETF) для решения проблем управления сетевыми устройствами, подключенными к Интернету. Через SNMP система может управлять всеми сетевыми устройствами, которые поддерживают SNMP, включая мониторинг состояния сети, изменение конфигурации сетевого устройства, и получение сетевых аварийных сигналов. SNMP является наиболее широко используемым протоколом управления сетью в TCP / IP. SNMP разделен на две части: агент и NMS. Агент и NMS взаимодействуют посредством пакетов SNMP, отправляемых через UDP.
Существует несколько версий протокола SNMP:
SNMP v1 использует механизм аутентификации имени сообщества. Имя сообщества - строка, определенная агентом, действует как пароль. Система управления сетью может подключаться к агенту только путем правильного указания имени его сообщества. Если имя сообщества, содержащееся в пакете SNMP, не будет принято Gazelle S1112i-PWR, пакет будет отброшен.
SNMP v2c также использует механизм аутентификации имени сообщества. SNMP V2c поддерживает больше типов операций, типов данных и кодов с ошибками, что позволяет лучше идентифицировать ошибки.
Рассмотрим пример настройки протокола SNMP.
Настроим IP адрес коммутатора
Raisecom#config
Raisecom(config)#interface ip 0
Raisecom(config-ip)#ip address 20.0.0.10 255.255.255.0 1
Raisecom(config-ip)#exit
Настроим SNMP v1/v2c view
Raisecom(config)#snmp-server view mib2 1.3.6.1.2.1 included
Создадим SNMP v1/v2c community
Raisecom(config)#snmp-server community raisecom view mib2 ro
Включим отправку Trap
Raisecom(config)#snmp-server enable traps
Raisecom(config)#snmp-server host 20.0.0.221 version 2c raisecom
Заключение
В статье было приведено описание индустриальных коммутаторов и их отличия от Enterprise версий. Также были перечислены основные этапы базовой настройки коммутатора ethernet с примерами команд.