Aktive Netzkomponenten

Transkript

1 Unterrichtsmaterial Aktive Netzkomponenten outer und Switches von Cisco ukhsar Khan 10. April 2010 Herausgeber: AINET Technologie- und Bildungszentrum GmbH Copyright c Alle echte vorbehalten. info@airnet.de Internet

2

3 Lektorat: Bertram Hoffmann, Walter Kahrmann (technisch) Satzspiegel und Typographie: Bertram Hoffmann, ukhsar Khan Umschlaggestaltung: Jürgen Salzmann Wichtiger Hinweis Alle Angaben in diesem Lehrbuch wurden vom Autor mit größter Sorgfalt erarbeitet bzw. zusammengestellt und unter Einschaltung wirksamer Kontrollmaßnahmen reproduziert. Trotzdem sind Fehler nicht ganz auszuschließen. Der Herausgeber sowie der Autor sehen sich deshalb gezwungen, darauf hinzuweisen, daß sie weder eine Garantie noch die juristische Verantwortung oder irgendeine Haftung für Folgen, die auf fehlerhafte Angaben zurückgehen, übernehmen können. Für die Mitteilung etwaiger Fehler sind der Herausgeber und der Autor jederzeit dankbar. Internet-Adressen, Versionsund evisionsstände stellen den bei edaktionsschluss verfügbaren Informationsstand dar. Der Herausgeber und der Autor übernehmen keinerlei Verantwortung oder Haftung für Veränderungen, die sich aus nicht von ihnen zu vertretenden Umständen ergeben. ISBN , überarbeitete und erweiterte Auflage 2009 Die vorliegende Publikation ist urheberrechtlich geschützt. Alle echte, auch die der Übersetzung, vorbehalten. Kein Teil des Werkes darf in irgendeiner Form (Einscannen, Druck, Fotokopie, elektronische Form oder einem anderen Verfahren) ohne schriftliche Genehmigung des Herausgebers reproduziert, vervielfältigt oder verbreitet werden. In diesem Lehrbuch werden eingetragene Warenzeichen, Handelsnamen und Gebrauchsnamen verwendet. Auch wenn diese nicht als solche gekennzeichnet sind, gelten die entsprechenden Schutzbestimmungen. Dieses Lehrbuch wurde in keinerlei Weise von Cisco Systems gesponsert, zertifiziert oder autorisiert. Es handelt sich hierbei komplett um eine Eigenentwicklung der Airnet Technologie- und Bildungszentrum GmbH. Eine Affiliation mit Cisco Systems besteht nicht. Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH iii

4 iv Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

5 Vorwort Dieses Lehrbuch vermittelt Grundkenntnisse und gibt darüber hinaus tiefgehenden und fundierten Einblick in Techniken, die zum Aufbau und Betrieb großer LANs erforderlich sind. Hierbei ist auch die historische Entwicklung angefangen bei den Koaxialkabeln 10Base2 und 10Base5 über Bridges, outer und Layer-2-Switches der LAN-Technik berücksichtigt, damit der Leser versteht, warum Multilayer-Switches heute bevorzugt eingesetzt werden. Beginnend mit einer grundlegenden Beschreibung von Cisco-outern und -Switches wird insbesondere das Spanning-Tree-Protokoll besonders detailliert dargestellt. Auch Layer-3-Funktionen wie Inter-VLAN-outing und HSP bilden einen wesentlichen Teil des Lehrbuchs. Zuletzt wird noch der Aufbau und die Anwendung von Zugriffs-Filtern sowie eine Basissicherheit auf Cisco-Switches behandelt. In der Hoffnung, dass es uns gelungen ist, ein praxisnahes, übersichtliches und gut leserliches Lehrbuch zu veröffentlichen, wünschen wir dem Leser viel Spaß! ukhsar Khan Airnet Technologie- und Bildungszentrum GmbH Oktober 2009 v

6 vi Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

7 Inhaltsverzeichnis 1 Entwicklung des LAN-Bereichs Vom Koaxsegment zum Multilayer-Switch Der Aufbau großer Campus-LANs Basiskonfiguration von Cisco-outern Konfigurationsquellen Konfigurationsmodi Grundfunktionalitäten Basisbefehle Basiskonfiguration von Cisco-Switches Konfigurationsquellen Konfigurationsmodi Basisbefehle Verwaltung von Cisco-outern Startsequenz IOS und Konfigurationsverwaltung Umgang mit dem Konsolen-Port Umgang mit Debugging Verwalten von Telnet-Sitzungen Cisco Discovery Protocol (CDP) Verwaltung von Cisco-Switches Allgemeines IOS und Konfigurationsverwaltung Grundfunktion einer Transparent-Bridge Transparent-Bridging gemäß IEEE 802.1D edundanzen in Bridging-Umgebungen Verifizieren des Spanning-Tree-Protokolls Erweiterte Spanning-Tree-Parameter Erweiterte STP-Verifizierung Der Layer-2-Switch Allgemeines Virtuelle LANs und Trunking VLAN-Trunk-Protokoll Konfigurieren und Verifizieren von Layer-2-Switches Etherchannel-Technik Konfigurieren und Verifizieren des VTP-Prunings vii

8 Inhaltsverzeichnis 8 Layer-3-outing Inter-VLAN-outing Externe outer-konfiguration Konfiguration von Multilayer-Switches Core-outing Spanning-Tree-Erweiterungen Cisco Nachteile traditioneller STP-Umgebungen nach IEEE 802.1D Uplinkfast, Backbonefast und Portfast von Cisco Per-VLAN-Spanning-Tree (PVST) Konfigurieren und Verifizieren der STP-Erweiterungen Spanning-Tree-Erweiterungen IEEE apid-spanning-tree-protokoll (STP) nach IEEE 802.1w Konfigurieren und Verifizieren von apid-pvst Multiple-STP (MSTP) nach IEEE 802.1Q Konfigurieren und Verifizieren von STP und MSTP Spanning-Tree-Optionen BPDU-Guard oot-guard Hot-Standby-outing-Protokoll Problembeschreibung ohne HSP Übersicht und Funktionsweise des HSP Konfigurieren und Verifizieren des HSP Externe outer-konfiguration Multilayerswitch-Konfiguration Aufbau und Anwendung von Access-Control-Listen Übersicht von Access-Control-Listen ACLs zum Filtern von Datenpaketen ACLs zur Zugriffseinschränkung auf outern Konfigurationsbeispiele Switch-Security Port-Security VLAN Access Control Lists Glossar 247 Akronyme 249 Stichwortverzeichnis 251 Befehlsverzeichnis 255 viii Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

9 Abbildungsverzeichnis Base2, 10Base Erweiterung durch epeater epeater-egel Erweiterung durch Bridges Erweiterung durch outer Erweiterung durch Switches VLAN-Implementierung VLAN-Implementierung mit einem outer Multilayer-Switch Multilayer-Switches Netzwerkdesign Multilayer-Switches Netzwerkdesign Netzwerkausfall Netzwerkausfall Konsolen- und Auxiliary-Port Fernkonfiguration (emote-konfiguration) Cisco outer and Security Device Manager (SDM) SDM Startfenster (Homepage) SDM Konfiguration SDM Monitor Übersicht der Konfigurationsmodi Zugang zu den Modi Verlassen der Modi Verlassen der Modi Beenden der Konsolensitzung Online-Hilfe Online-Hilfe Abkürzen von Befehlen Enhanced Editing Enhanced Editing Befehlszeilenpuffer Schnittstellenstatus Banneranzeige Konsolenport Web-Interface Übersicht der Konfigurationsmodi VLAN-Datenbank-Konfigurationsmodus Schnittstelle Vlan ix

10 Abbildungsverzeichnis 4.1 Übersicht Startsequenz Startsequenz im Detail Startsequenz im Detail Startsequenz im Detail Startsequenz im Detail Startsequenz im Detail Startsequenz im Detail Gentle Overlay Konsolenmeldungen umleiten Debugging-Meldungen umleiten CDP-Übersicht CDP-Übersicht Gentle Overlay Lernfunktion Filtering-Funktion Forwarding Unknown-Unicast-Flooding Broadcast-Flooding Multicast-Flooding Beispiel eines Kommunikationsablaufs Beispiel eines Kommunikationsablaufs Beispiel eines Kommunikationsablaufs Beispiel eines Kommunikationsablaufs Beispiel eines Kommunikationsablaufs Beispiel eines Kommunikationsablaufs Bridge edundanz Duplizierte Frames Inkonsistenz der MAC-Adress-Tabelle Bridging-Loop Spanning-Tree-Protokoll Aushandlung der oot-bridge Auswahl der oot-bridge Port-Parameter STP-Port-Zustände (Port States) Forward-Delay-Timer des STP Max-Age-Timer vom STP Funktion des Max-Age-Timers Ohne Max-Age-Timer Layout Beispielnetzwerk STP-Topologie STP-Topologie STP-Topologie STP-Topologie Konfigurations-BPDUs Topology-Change-BPDUs Beispielnetzwerk mit STP-Topologie x Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

11 Abbildungsverzeichnis 7.1 Der Switch im Schichtenmodell Switch mit einem einzigen VLAN Switch mit zwei VLANs Physikalische LANs Virtuelle LANs Nachteile einer Switching-Umgebung Vorteil von VLANs Switchübergreifende VLANs Nachteil von VLAN-Umgebungen Statische VLANs Dynamische VLANs Dynamische VLANs Eigenschaften des VTP-Protokolls VTP-Terminologie VTP-Transparent-Modus VTP-Advertisements Configuration-evision-Nummer Einfügen eines neuen Switches Nachteil von VLAN-Umgebungen Nachteil von VLAN-Umgebungen Lösung: VTP-Pruning Layout Beispielnetzwerk Schnittstelle VLAN Quell-MAC-basiertes Load-Balancing Ziel-MAC-basiertes Load-Balancing Etherchannel-Technik Zusammenfassen von Schnittstellen Layout Beispielnetzwerk Layout des Beispielnetzwerks Logische Sichtweise Layout Beispielnetzwerk outing und Switching Status Blocking Netzausfall Netzausfall Neustart einer Endstation Uplinkfast Uplinkfast Eigenschaften Eigenschaften von Uplinkfast Eigenschaften von Uplinkfast Backbonefast Backbonefast Portfast estriktionen von Portfast Mehrere STP-Instanzen Vorteil von PVST Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH xi

12 Abbildungsverzeichnis 9.15 Eindeutige Bridge-ID pro VLAN (früher) Eindeutige Bridge-ID pro VLAN (heute) Extended-System-ID im Detail Eigenschaften der Extended-System-ID Aktivieren von Uplinkfast Aktivieren von Backbonefast Aktivieren von Portfast Optimieren von PVST Aushandlung der oot-bridge Port-ollen (Port oles) Alternate-Port/Discarding- bzw. Blocking-Zustand Netzausfall Netzausfall Proposal-Flag Agreement-Flag Konvergenzverhalten von STP Proposal-/Agreement-Funktion Link-Typen Edge-Port MST-Instanzen MST-egionen MST-Instanz STP-Kompatibilität Bridge-Priorität oot-funktion Problembeschreibung Anwendung des BPDU-Guards Konfigurieren des BPDU-Guards Problembeschreibung Anwendung des oot-guards Anwendung des oot-guards Konfigurieren des oot-guards Standard-Gateway Proxy-AP-Funktion Proxy-AP-Funktion Grundfunktionalität des HSP HSP-Failover Interface-Tracking im HSP Interface-Tracking und Failover Lastverteilung mit dem HSP Lastverteilung und Failover Aktivieren des HSP Konfigurieren von mehreren HSP-Gruppen Konfigurieren des Interface-Trackings Verändern der HSP-Timer Layout Beispielnetzwerk xii Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

13 Abbildungsverzeichnis 13.1 Definition von ACLs Einsatzgebiet von ACLs Grundsätzliche Bestimmungen Grundsätzliche Bestimmungen Grundsätzliche Bestimmungen Grundsätzliche Bestimmungen Abarbeitung der Statements Wildcard-Maske und Abkürzungen IP-Standard-ACL IP-Extended-ACL Verifizieren von ACLs Editieren von ACLs (früher) Querverweis zur ACL Incoming-/Outgoing-Datenfilter Incoming-Datenfilter Outgoing-Datenfilter Grundsätzliches zu Datenfiltern VTY-Zugriffseinschränkung Querverbindung zur ACL Zugriffseinschränkung auf outer IP-Standard-ACL IP-Extended-ACL IP-Extended-ACL Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH xiii

14 Abbildungsverzeichnis xiv Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

15 Tabellenverzeichnis 4.1 Netboot-Dateinamen Aging-Parameter-Werte Vergleich zwischen Bridges und Switches Verhalten der VTP-Modi Port-Zustände (Port States) Portkosten-Parameter Nummernbereiche von ACLs xv

16 Tabellenverzeichnis xvi Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

17 Verzeichnis der Beispiele 2.1 Hostname Enable - und enable secret -Passwort Konsolen-Passwort Schnittstellen-Parameter Telnet-Passwort Schnittstelle aktivieren/deaktivieren Aktive Konfiguration Passwörter verschlüsseln Konfiguration speichern Startkonfiguration überprüfen AP-Cache Schnittstellen-Parameter IP-Parameter einer Schnittstelle Zusammenfassung der IP-Parameter einer Schnittstelle IP-outing-Tabelle Statische outen Netzwerktest durch Ping IP-Host DNS-Client-Konfiguration Netzwerktest durch Traceroute Banner-Konfiguration SSH-Konfiguration DHCP-Konfiguration Setup-Dialog Konfigurieren eines VLANs Verifizieren von VLANs Konfigurieren und Verifizieren der VLAN-Zugehörigkeit VLAN-Schnittstelle Geschwindigkeits- und Duplex-Einstellung Aktive Konfiguration verifizieren Konfiguration speichern Gespeicherte Konfiguration verifizieren Status der Schnittstellen überprüfen Mac-Address-Table Versionsinformationen config-register-befehl OM-Monitor Boot System -Befehl xvii

18 Verzeichnis der Beispiele 4.5 Versionsinformationen Flash-Speicherverwaltung IOS-Datei kopieren IOS-Datei löschen (neu) IOS-Datei löschen (alt) IOS-Datei kopieren Konfiguration löschen Konfiguration sichern Problem: Konsolenmeldungen Lösung: Synchrones Protokollieren (Logging Synchronous) Konsolenmeldungen abschalten Konsolenmeldungen umleiten Exec-Timeout Debugging-Optionen Debugging aktivieren Debugging abschalten Debugging-Ausgabe umleiten Debugging-Ausgabe Debugging-Ausgabe Telnet ausführen Telnet-Sitzung trennen Telnet-Zugriff überwachen CDP aktivieren/deaktivieren CDP-Nachbarn anzeigen CDP-Detailinformationen CDP-Detailinformationen CDP-Nachbarn selektieren CDP verifizieren Versionsinformationen Catalyst Versionsinformationen Catalyst Umgebungsvariablen prüfen Umgebungsvariablen konfigurieren Flash verwalten Flash löschen tar -Datei kopieren IOS kopieren Datei löschen Konfiguration löschen Konfiguration sichern Überprüfen der MAC-Adress-Tabelle Verifizieren des Spanning-Tree-Protokolls - G1S Verifizieren des Spanning-Tree-Protokolls - G1S Verifizieren des Spanning-Tree-Protokolls - G1S BPDU Paketinhalt Verifizieren des Spanning-Tree Protokolls G1S1 Detail Verifizieren des Spanning-Tree Protokolls G1S2 Detail xviii Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

19 Verzeichnis der Beispiele 6.8 Verifizieren des Spanning-Tree Protokolls - G1S3 Detail Cisco-ISL IEEE 802.1Q VTP-Advertisement-equest VTP-Summary-Advertisement VTP-Subset-Advertisement IP-Konfiguration Trunk-Konfiguration G1S Trunk-Verifikation G1S VTP-Konfiguration G1S VTP-Verifikation G1S VTP-Konfiguration G1S VTP-Verifikation G1S VLAN-Konfiguration G1S VLAN-Verifikation G1S VLAN-Konfiguration G1S VLAN-Verifikation G1S Weitere Verifikationsbefehle Verifikation des Schnittstellen-Status G1S Verifikation des Switchports - G1S Komplette Konfiguration - G1S Konfiguration des Fast-Etherchannels Verifikation des Fast-Etherchannels G1S Trunk-Verifikation G1S Komplette Konfiguration G1S Verifikation des Spanning-Trees G1S Verifikation des Spanning-Trees G1S Verifikation des Spanning-Trees G1S Aktivieren des VTP-Prunings Verifizieren des VTP-Prunings Konfiguration des Cisco ISL Konfiguration des IEEE 802.1Q Konfiguration des IP-outings G1S Konfiguration des IP-outings G1S VLAN-Schnittstellen G1S Verifikation des IP-outings - G1S Core-outing-Konfiguration G1S Core-outing-Konfiguration G1S Core-outing-Verifikation G1S Spanning-Tree-Verifikation G1S Spanning-Tree-Verifikation G1S Spanning-Tree Verifikation G1S Spanning-Tree-Schnittstellen-Verifikation G1S Spanning-Tree-Schnittstellen-Verifikation G1S Spanning-Tree-Schnittstellen-Verifikation G1S Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH xix

20 Verzeichnis der Beispiele 10.1 STP-BPDU Aktivieren des apid-pvst Aktivieren von STP und MST Verifizieren von MST und STP Verifizieren des MST Verifizieren des MST Spanning-Tree-Verifikation G1S Spanning-Tree-Verifikation G1S Spanning-Tree-Verifikation G1S Spanning-Tree-Schnittstellen-Verifikation - G1S Spanning-Tree-Schnittstellen-Verifikation - G1S Spanning-Tree-Schnittstellen-Verifikation - G1S HSP-Verifikation im Detail HSP-Verifikation im Detail Zusammengefasste HSP-Verifikation Zusammengefasste HSP-Verifikation Debugging des HSP HSP-Konfiguration G1S HSP-Konfiguration G1S HSP-Verifikation G1S HSP-Verifikation G1S HSP-Verifikation im Detail G1S HSP-Verifikation im Detail G1S Editieren von ACLs (heute) Verifizieren von Datenfiltern Konfigurieren der Port-Security Verifizieren der Port-Security Verifizieren der Port-Security Konfigurieren von VLAN-Access-Control-Lists Verifizieren von VLAN-Access-Control-Lists xx Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

21 Kapitel 1 Entwicklung des LAN-Bereichs Die Entwicklung des LAN-Bereichs in den letzten zwei Jahrzehnten war gigantisch. Während Ende der 1980er Jahre bzw. sogar bis Mitte der 1990er Jahre noch viele LANs auf der Grundlage von Koaxialkabeln mit einer Übertragungsgeschwindigkeit von gerade einmal 10 Mbit/s für alle angeschlossenen Komponenten aufgebaut waren, existieren heute bereits dedizierte Verbindungen mit mehreren Gigabit pro Sekunde. Die Übertragungsgeschwindigkeit allein ist jedoch nicht ausschlaggebend. Die Effizienz eines Netzwerks wird von vielen weiteren Faktoren bestimmt. Abschnitt 1.1 auf der nächsten Seite beschreibt kurz den Entwicklungsverlauf von LANs vom Koaxialkabel bis hin zum heutigen Multilayer-Switch. Weiterhin wird in Abschnitt 1.2 auf Seite 7 dargestellt, wie große Campus-LANs strukturiert und hierarchisch aufgebaut werden. Inhaltsangabe 1.1 Vom Koaxsegment zum Multilayer-Switch Der Aufbau großer Campus-LANs

22 Kapitel 1 Entwicklung des LAN-Bereichs 1.1 Vom Koaxsegment zum Multilayer-Switch Abbildung 1.1 zeigt die zwei klassischen Koaxialkabel 10Base2 und 10Base5. 10Base2 aufgrund des geringen Kabeldurchmessers oft auch Thin-Ethernet genannt unterstützt eine maximale Segmentlänge von ca. 2 * 100 m (genau 185 m). 10Base5 aufgrund des größeren Kabeldurchmessers auch Thick-Ethernet genannt hat eine maximale Segmentlänge von 5 * 100 m. Es handelt sich hierbei jeweils um Segmente, die allen angeschlossenen Komponenten eine gemeinsame (shared) Übertragungsgeschwindigkeit von 10 Mbit/s zur Verfügung stellen. 10Base2 - max. 185 m 10Base5 - max. 500 m Abbildung 1.1: 10Base2, 10Base5 Wird die maximale Segmentlänge erreicht, kann durch sogenannte epeater eine Verlängerung des Segmentes vorgenommen werden. epeater sind Signalverstärker, die lediglich das elektrische Signal auf der physikalischen Schicht verstärken. Bis zu fünf Segmente können durch vier epeater miteinander verbunden werden. Ein weiterer epeater ist hiernach nicht mehr zulässig. (Abbildung 1.2). Abbildung 1.2: Erweiterung durch epeater Es gibt eine bekannte epeater-egel, die genannt wird. Diese egel besagt, dass fünf Segmente über vier epeater miteinander verbunden werden dürfen. Lediglich drei der insgesamt fünf Segmente dürfen aktiv sein, was bedeutet, dass nur auf drei Segmenten Komponenten angeschlossen sein dürfen. Auf zwei Segmenten dürfen keine Komponenten angeschlossen werden. Diese Segmente dienen lediglich der Verlängerung des Gesamtnetzwerks. Das Gesamtnetzwerk stellt eine große Kollisionsdomäne dar. (Abbildung 1.3 auf der nächsten Seite). Der Hauptnachteil der obigen Netzwerkumgebung besteht darin, dass keine logische Trennung vorgenommen wurde. Jede Komponente, die in einer Kollisionsdomäne angeschlossen ist, teilt sich die Bandbreite mit jeder anderen angeschlossenen Komponente. 2 Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

23 1.1 Vom Koaxsegment zum Multilayer-Switch Abbildung 1.3: epeater-egel In einer Kollisionsdomäne darf zu einer gegebenen Zeit nur ein einziges Signal existieren. Versenden zwei Komponenten gleichzeitig Daten, kommt es zu einer Kollision. Diese muss anschließend bereinigt werden. Um die 1990er Jahre herum gab es viele solcher Netzwerkumgebungen. Diese wuchsen damals überproportional, bis gewaltige Überlastsituationen auftraten. Als Lösung hierzu wurden Bridges eingesetzt. Diese nahmen eine logische Trennung des Netzwerks auf der Sicherungsschicht (Data Link Layer) vor. So stellte zum Beispiel jeder Port einer Bridge eine eigenständige Kollisionsdomäne dar. Hierdurch war ein paralleles Datenaufkommen möglich, was zu einem effektiv höheren Durchsatz des Gesamtnetzwerks führte. Bridges hatten jedoch einen Nachteil: Sie mußten gemäß der Spezifikation IEEE 802.1D empfangene Broadcasts auf jeden Port außer dem empfangenden Port weiterleiten. Daher bildete die Bridge eine einzige Broadcast-Domäne. (Abbildung 1.4). Abbildung 1.4: Erweiterung durch Bridges Da die LAN-Protokolle, die um die 1990er Jahre eingesetzt wurden, sehr broadcastintensiv waren, gab es in den damaligen Bridging-Umgebungen eine sehr hohe Broad- Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH 3

24 Kapitel 1 Entwicklung des LAN-Bereichs castlast. Je größer die Netzwerke wurden, umso größer wurde auch die Broadcastlast. Die Antwortzeiten im Netzwerk stiegen enorm an, bis eine vernünftige Kommunikation nicht mehr möglich war. Als Lösung hierfür wurden Anfang bis Mitte der 1990er Jahre verstärkt outer eingesetzt. outer bilden pro Schnittstelle eine eigenständige Broadcast-Domäne. Die Broadcasts einer Broadcast-Domäne x werden nicht in eine Broadcast-Domäne y übertragen. Der outer ist sozusagen eine Broadcast-Barriere. (Abbildung 1.5). Abbildung 1.5: Erweiterung durch outer Ein Hauptnachteil von outern ist die Verzögerungszeit während der Übertragung von Datenpaketen. outer sind Komponenten, die auf der Netzwerkschicht arbeiten, und müssen daher alle Datenpakete, die sie weiterleiten, bis zu dieser Schicht verarbeiten. Dies bedeutet im Einzelnen, dass die Datenpakete an der empfangenden Schnittstelle bis zum IP-Header zunächst entkapselt werden. Anschließend wird die IP-Adresse des Ziels aus dem IP-Header ausgelesen. Dann wird die outing-tabelle nach einem passenden Eintrag durchsucht. Sollte eine oute für die Ziel-IP-Adresse vorhanden sein, wird ermittelt, auf welcher Ausgangsschnittstelle das Datenpaket versendet werden muss. Anschließend wird das IP-Paket neu gekapselt und über die Ausgangsschnittstelle versendet. Dieser Prozess war bei den damaligen outern softwarebasierend und löste mehrere CPU-Interrupts aus. Auch diese Tatsache trug zu der höheren Verzögerungszeit während der Datenübertragung bei. Mitte der 1990er Jahre wurden Switches entwickelt. Im Prinzip funktionieren sie wie ihre Vorgänger, die Bridges. In Abbildung 1.6 auf der nächsten Seite ist zu sehen, dass auch Switches pro Interface eine eigenständige Kollisionsdomäne bilden und der gesamte Switch eine einzige Broadcast-Domäne ist. Der Hauptunterschied zu den Bridges besteht jedoch in der Übertragungszeit. Bridges waren, genauso wie outer, softwarebasierend. Dementsprechend hatten sie hohe Verzögerungszeiten während der Übertragung von Datenframes. Switches hingegen sind hardwarebasierend. Sie haben sogenannte ASIC-Chips, die das Weiterleiten von Datenframes aus der Hardware ermöglichen. Switches sind in anderen Worten hardwarebasierende Bridges. Der Datendurchsatz 4 Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

25 1.1 Vom Koaxsegment zum Multilayer-Switch eines Switches ist um ein Vielfaches höher als der Durchsatz der alten Bridges. Abbildung 1.6: Erweiterung durch Switches Da aber bei den Switches - genauso wie bei den Bridges - die Broadcastproblematik weiterhin existiert, wurden virtuelle LANs (VLANs) eingeführt. Ein VLAN ist eine Layer-2-Broadcast-Domäne. Zwei VLANs sind zwei voneinander unabhängige Layer-2- Broadcast-Domänen. Ein VLAN x kann nicht direkt mit einem VLAN y kommunizieren, da eine logische Trennung auf der Sicherungsschicht (Layer 2) existiert. Somit bleiben die Broadcasts immer innerhalb eines VLANs. Physikalisch können sich die VLANs jedoch auf dem gleichen Switch befinden. Abbildung 1.7 zeigt einen Switch mit insgesamt vier VLANs. Mehrere Ports sind Bestandteil eines jeden VLANs. Die VLANs sind voneinander isoliert. Eine direkte Kommunikation zwischen Ports des einen VLANs mit Ports eines anderen VLANs ist nicht möglich / / 24 VLAN2 VLAN / / 24 VLAN4 VLAN1 Abbildung 1.7: VLAN-Implementierung Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH 5

26 Kapitel 1 Entwicklung des LAN-Bereichs Weiterhin ist zu sehen, dass jedem VLAN ein IP-Subnetz zugeordnet wurde. Somit ergibt sich die folgende egel: 1 VLAN = 1 Broadcast-Domäne = 1 IP-Subnetz. Ein IP-Subnetz wird einem VLAN auf die gleiche Weise zugeordnet wie einem physikalischen Segment. Genauso wie ein physikalisches Segment selbst keine IP-Adresse hat, sondern die Komponenten, die an dieses Segment angeschlossen werden, eine IP- Adresse haben, wird auch dem VLAN selbst keine IP-Adresse zugeordnet, sondern die Komponenten, die Bestandteil eines VLANs sind, erhalten eine IP-Adresse. Durch die VLAN-Implementierung werden anstelle einer großen Broadcast-Domäne viele kleine Broadcast-Domänen aufgebaut. Hierdurch kann die Broadcastlast zwar besser kontrolliert werden, jedoch besteht auch in jedem Netzwerk die Anforderung, dass viele VLANs miteinander kommunizieren müssen. An dieser Stelle ist wieder ein outer erforderlich. In Abbildung 1.8 ist ein externer outer zu sehen, der jeweils ein Interface in jedem VLAN hat. Somit ist er in der Lage, zwischen den VLANs zu routen. Diese Implementierung hat jedoch wieder den Nachteil, dass der outer softwarebasierend ist und somit sehr hohe Verzögerungszeiten während der Datenübertragung anfallen / / 24 VLAN2 VLAN / / 24 VLAN4 VLAN1 Abbildung 1.8: VLAN-Implementierung mit einem outer Eine endgültige Lösung, die allen heutigen Anforderungen im LAN-Bereich gerecht wird, stellen Multilayer-Switches bzw. Layer-3-Switches dar. Diese sind seit Ende der 1990er Jahre verfügbar. Bei einem Multilayer-Switch handelt es sich um eine Komponente, die sowohl Daten auf der Sicherungsschicht (Layer 2) als auch auf der Vermittlungsschicht (Layer 3) weiterleiten kann. Sowohl die Layer-2- als auch die Layer-3- Daten werden sehr schnell durch die Hardware verarbeitet. Hierfür stehen die bereits erwähnten ASIC-Chips zur Verfügung. Somit ist ein langsamer, externer outer für die Layer-3-Funktion nicht mehr erforderlich. Abbildung 1.9 auf der nächsten Seite zeigt unsere bekannte VLAN-Umgebung, bestehend aus vier VLANs. Daten innerhalb eines 6 Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

27 1.2 Der Aufbau großer Campus-LANs VLANs werden vom Multilayer-Switch über den Layer 2, Daten zwischen VLANs werden über den Layer 3 weitergeleitet. Anders als bei externen outern entspricht der Datendurchsatz des Layer-3-Forwardings dem des Layer-2-Forwardings. Abbildung 1.9: Multilayer-Switch 1.2 Der Aufbau großer Campus-LANs Ein aktuelles Netzwerkdesign, das heute in vielen LANs eingesetzt wird, ist in Abbildung 1.10 zu sehen. Es besteht aus einer Netzzugangsschicht (Access Layer), kurz Zugangsschicht, und einer Verteilungsschicht (Distribution Layer). Die Zugangsschicht stellt den Zugangspunkt zum Netzwerk zur Verfügung. Hier werden Etagen-Switches eingesetzt, die den Endstationen eine optimale Anbindung an das Unternehmensnetzwerk ermöglichen. Bei den Switches der Zugangsschicht handelt es sich in der egel um Layer-2-Switches. Die Verteilungsschicht könnte aus zwei Multilayer-Switches bestehen. Hierbei handelt es sich um die Switches, die für die Gebäudeverteilung verantwortlich sind. Die Switches der Zugangsschicht werden redundant an die beiden Multilayer- Switches angeschlossen. Die Multilayer-Switches haben auch untereinander eine oder mehrere Verbindungen. Dies könnte das Netzwerkdesign innerhalb eines Gebäudes sein. Man spricht hierbei von einem Switch-Block. Netzzugangsschicht (Access Layer) Verteilungsschicht (Distribution Layer) Abbildung 1.10: Multilayer-Switches Netzwerkdesign Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH 7

28 Kapitel 1 Entwicklung des LAN-Bereichs Sollte die Anforderung bestehen, einen großen Campus zu vernetzen, könnte das Netzwerkdesign aus Abbildung 1.10 auf der vorherigen Seite zu einer Kernschicht (Core Layer) erweitert werden. Die Kernschicht wäre für die Anbindung der einzelnen Gebäude innerhalb des Campus verantwortlich. Abbildung 1.11 zeigt zwei Switch-Blöcke, die über zwei Switches auf der Kernschicht redundant miteinander verbunden sind. Jeder weitere Switch-Block würde auf die gleiche Weise angebunden werden. Netzzugangsschicht (Access Layer) Switch-Block 1 Switch-Block 2 Verteilungsschicht (Distribution Layer) Kernschicht (Core Layer) Abbildung 1.11: Multilayer-Switches Netzwerkdesign So ergibt sich eine Drei-Stufen-Hierarchie, bestehend aus Zugangs-, Verteilungs- und Kernschicht ( Access-, Distribution- und Core-Layer). Jede Schicht hat eine bestimmte Aufgabe. Wie bereits erwähnt, hat die Zugangsschicht die Aufgabe, Endstationen optimal anzubinden. Auf der Verteilungsschicht sollten die rechenintensiven Funktionen durchgeführt werden. Hierzu zählt zum Beispiel die VLAN-Terminierung und somit das Inter-VLAN-outing sowie komplexe Access-Control-Lists (Filter). Auch die oot- und die Backup-oot-Funktion des Spanning-Tree-Protokolls sollten sich auf der Verteilungsschicht abspielen. Im Normalfall wird zwischen der Verteilungs- und der Zugangsschicht über Layer 2 weitergeleitet und zwischen der Verteilungs- und der Kernschicht über Layer 3 geroutet. Jegliche Layer-2-Funktionen wie z. B. die VLANs und die Spanning-Tree-Topologie sollten an der Verteilungsschicht enden und nicht zur Kernschicht weitergereicht werden. Es soll also zwischen den einzelnen Switch-Blöcken immer über Layer 3 geroutet werden. Hierdurch wird die Broadcastlast stark eingeschränkt. Was dies alles nun genau zu bedeuten hat, wird im Laufe des Lehrbuchs näher erläutert. Bei diesem Design handelt es sich um ein mehrfach redundantes Netzwerk. Ein derartiges Netzwerkdesign hat den Vorteil, dass mehrere Teilstrecken ausfallen können, das Netzwerk aber weiterhin funktionsfähig bleibt. Auch die Konvergenzzeit spielt eine wesentliche olle im Falle eines Ausfalls. Unter Konvergenzzeit wird die Zeit verstanden, die ein Netzwerk benötigt, nach Ausfall einer Teilstrecke Alternativpfade zu aktivieren. Je geringer die Konvergenzzeit in einem Netzwerk ist, umso schneller können die Kom- 8 Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH

29 1.2 Der Aufbau großer Campus-LANs ponenten die aufgrund des Ausfalls unterbrochene Kommunikation wieder aufnehmen. Die beiden Abbildungen 1.12 und 1.13 zeigen zwei verschiedene Netzwerkausfälle. Die Daten werden dann über einen Alternativpfad übertragen. Netzzugangsschicht (Access Layer) X Verteilungsschicht (Distribution Layer) Kernschicht (Core Layer) Abbildung 1.12: Netzwerkausfall 1 Bevor jedoch auf die Einzelheiten dieses Netzwerkdesigns eingegangen werden kann, müssen wir uns noch viele Grundlagen erarbeiten. Diese werden in den nächsten Kapiteln vermittelt. Weiter hinten in diesem Lehrbuch wird auf die Feinheiten eines solchen Netzwerkdesigns eingegangen. Netzzugangsschicht (Access Layer) Verteilungsschicht (Distribution Layer) Kernschicht (Core Layer) X Abbildung 1.13: Netzwerkausfall 2 Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH 9

30 Kapitel 1 Entwicklung des LAN-Bereichs 10 Copyright c 2009 Airnet Technologie- und Bildungszentrum GmbH