Vorlesung: Netzwerke WS 2007/08 Kapitel 3 Paketvermittlung Session 07

Transkript

1 Vorlesung: Netzwerke WS 2007/08 Kapitel 3 Paketvermittlung Session 07 Prof. Dr. Michael Massoth [Stand: ] 7-1

2 7-2 ACHTUNG: Probeklausur 1 am Referenzmodelle (OSI, Hybrid, TCP/IP) Hardware-Bausteine bzw. Kopplungselemente Strukturierte Verkabelung Ethernet und CSMA/CD 7-2

3 7-3 Kapitel 3: Paketvermittlung [Nicht alle Netzwerke sind direkt verbunden] Vermittlung und Weiterleitung Bridges und LAN-Switches Netzwerkdesign Virtuelle LANs 7-3

4 7-4 Lernziele heute: Bridging und Switching Zusammenschluss von LANs Lernziele im Detail: Zusammenschluss von LANs mit Hilfe von LAN-Switche und Bridges sowie die Entwicklung von großen skalierbaren Netzwerken verstehen und anwenden können 7-4

5 Paketvermittlung zwischen einzelnen LANs 7-5 Paketvermittlung zwischen einzelnen Local Area Networks (LANs) 7-5

6 Vermittlung und Weiterleitung (1) 7-6 Vermittlung (engl. Switching): Mechanismus, der die Zusammenschaltung von Verbindungsleitungen und LANs ermöglicht, um ein größeres Netzwerk zu bilden Switch (dt. Vermittler): Verfügt über mehrere Ein- und Ausgänge Sind mehrere Verbindungsleitungen angeschlossen Für jede dieser Verbindungsleitungen läuft ein entsprechendes Protokoll der Sicherungsschicht (engl. Data Link Layer, Schicht 2 bei OSI + Hybrid), um mit dem Knoten am anderen Ende zu kommunizieren Primäre Aufgabe Empfängt die auf einer Verbindungsleitung ankommenden Pakete und überträgt sie über eine andere Leitung Funktion Vermittlung (engl. Switching) und Weiterleitung (engl. Forwarding) Merke: Ein LAN-Switch (L2) ist einfach eine Bridge mit vielen Ports! 7-6

7 Definition of Switching 7-7 Data In Input Output Data Out Switching: Process of transferring data from an input interface (port) to an output interface (port) 7-7

8 Layer 2 vs. Layer 3 Switching 7-8 Routing Frame Packet Packet Table Packet Frame Packet Layer 3 Switching Layer 2 Switching Layer-X-Switch: Achtung leider nicht einheitlich definiert! Die Intention liegt im Durchschalten von PDUs der Schicht x mittels Hardware, anstatt durch Software. 7-8

9 Layer 2 Forwarding Overview 7-9 LAN Switching Destination 0002.ABCD.EF12 Frame Packet E0 E6 Switching Table MAC Adresse Output Interface AAAA.1111.BBBB Ethernet AFFC Ethernet Ethernet AA05 Ethernet ABCD.EF12 Ethernet ADB.1112 Ethernet 6 IP Address: IP Address: MAC Address: MAC Address: 0002.ABCD.EF12 7-9

10 Layer 3 Forwarding Overview 7-10 Routing Table Destination Subnet Switch Interface 5.X Fast Ether 1 Router Layer 3 Switch Frame Header E D ST S RC Data Packet Header E2 6.x Gigabit Ether 3 2.X Ethernet 2 1.X Ethernet X Ethernet 6 IP Address: IP Address:

11 What is a Broadcast? 7-11 Broadcast Frame Layer 2 Layer 3 fffff f MAC DA Protocol DA Network Send Me to Everyone Send Me to Everyone on This Subnet DA = Destination Address Note difference between broadcast on layer 2 ( Send Me to Everyone ) versus broadcast on layer 3 ( Send Me to Everyone on This Subnet ) 7-11

13 7-13 Lernziele heute: Bridging und Switching Zusammenschluss von LANs Lernziele im Detail: Zusammenschluss von LANs mit Hilfe von LAN-Switche und Bridges sowie die Entwicklung von großen skalierbaren Netzwerken verstehen und anwenden können Lern- und Transportalgorithmus sowie den Aging-Mechanismus von Bridges kennen und verstehen Micro-Segmentierung und Dedizierte LANs verstehen, unterscheiden und anwenden können 7-13

14 Bridges und erweiterte LANs 7-14 A B C Port 1 Bridge Port 2 X Y Z LANs haben physikalische Beschränkungen (z.b m) Verbinde zwei oder mehr LANs mit einer Bridge Accept-and-Forward-Strategy Schicht-2-Verbindung auf MAC-Ebene Fügt keinen zusätzlichen Header dazu 7-14

15 Bridges von 802.x nach 802.y (1) 7-15 Betrieb einer LAN-Bridge von WLAN (802.11) nach Ethernet (802.3) Eine Bridge die k verschiedene LANs verbindet, hat auch k verschiedene MAC-Teilschichten und Bitübertragungsschichten, d.h. je eine pro Typ 7-15

16 Lernalgorithmus von Bridges 7-16 Source in Tabelle gefunden Ja Nein Source und Port in Tabelle eintragen und Timer setzen Merke: Die Adresstabelle einer Bridge sollte je Port so groß sein, dass alle angeschlossenen Stationen des Netzwerks gelernt werden können Timer neu setzen Ende 7-16

17 Lernende Bridges 7-17 A B C Bridge Port 1 Port 2 Pakete (Frames) nicht weiterleiten, wenn nicht unbedingt nötig Aufbau und Wartung einer Weiterleitungstabelle Host Port A 1 X Y Z Lernen der Netztopologie und Einträge in die Weiterleitungstabelle basieren auf den Quell- Adressen: B 1 C 1 Weiterleitungstabelle muss nicht komplett sein X 2 Y 2 Z 2 Unbekannte Zieladressen werden an alle aktiven Ports bzw. in alle angeschlossenen Segmente geschickt 7-17

18 Backward Learning CAAAAAA 00000CCCCCCC Port1 Bridge Port 2 MAC Adresse Port 00000CAAAAAA CCCCCCC CBBBBBB CDDDDDD 2 Hash-Tabelle 00000CBBBBBB 00000CDDDDDD Backward Learning (dt. rückwärtsgerichtetes Lernen) 7-18

19 Bridging Beispiel (1) 7-19 B X Bridge Bridge lernt: A ist auf dieser Seite, C ist auf dieser Seite, Kein forward C erkennt seine Adresse, kopiert Frame C A Frame to C Ausgangssituation: Der Bridge sind A, B und C bekannt. 7-19

20 Bridging Beispiel (2) 7-20 B B erkennt seine Adresse, kopiert Frame Bridge Bridge lernt: A ist auf dieser Seite, B ist auf der anderen Seite, forward C A Frame to B Ausgangssituation: Der Bridge sind A, B und C bekannt. 7-20

21 Bridging Beispiel (3) 7-21 B Bridge C Frame to B Bridge lernt: A ist auf dieser Seite, B nicht bekannt, flooding A Ausgangssituation: Der Bridge sind A und B nicht bekannt. 7-21

22 Transportalgorithmus von Bridges 7-22 Nein Frame empfangen auf Port X (+ FCS ok) Dest. in Tabelle gefunden Richtung = Port X Nein Frame weiterleiten Ja Frame vernichten Verschiedene Fälle: (1) Frame kommt auf demselben Port an, der mit der Zieladresse assoziiert ist Frame wird als lokaler Verkehr erkannt und nicht weitergeleitet (2) Die Quelladresse des Frames ist auf einem anderen Port angekommen als der, mit dem die Zieladresse assoziiert ist Frame wird als segmentübergreifender Verkehr erkannt und auf assoziiertem Port weitergeleitet (3) Zieladresse nicht in Adresstabelle vorhanden Weiterleitung auf allen aktiven Ports 7-22

23 Layer 2 LAN-Switches 7-23 A2:02:42 Port 1 A2:02:42 Port 2 77:C6:0F Port 1 Port 2 77:C6:0F Port 4 FF:08:C3 D2:04:A1 00:C4:34 Port 3 Port 4 HUB FF:08:C3 D2:04:A1 00:C4:

24 Layer 2 LAN-Switches 7-24 Switches haben einen Speicher mit einer Liste von Adressen zu jedem Port Pakete werden nicht an alle Computer weitergeleitet, sondern nur an den Port, in dessen Liste die Ziel-Adresse ist Diese Listen werden vom Switch automatisch aufgebaut Wesentliche Funktionselemente eines Ethernet-Switches sind: Adresstabelle Portbezogene Paketweiterleitung Defaultpaketweiterleitung bei Quelladresse unbekannt und Broadcast Filtersetzung Redundanzschaltung durch Unterstützung des IEEE-802.1D- Spanning-Tree-Algorithmus 7-24

25 Layer 2 LAN-Switches 7-25 LAN-Switches sind Produkte, die Merkmale von modularen Hubs und Multiport-Bridges in sich vereinen Funktionsmerkmale von Hubs übernommen: Hohe Portkonzentration (viele Micro-Segmente, Einzelbenutzer, Serverfarmen) Möglichkeit Endgeräte und Server direkt an den Port anzuschließen Niedriger Preis je Port Funktionselemente von Bridges übernommen: Volle LAN-Kapazität pro Port Hohe Switching Kapazität (durch ASICS-Prozessoren) Lastentrennung zwischen den einzelnen Ports Fehlereingrenzung auf MAC-Ebene (bei Store-and-Forward-Geräten) 7-25

26 Switch und Stern-Topologie 7-26 Merke: Ein Switch ermöglicht eine Stern-Topologie 7-26

27 Micro-Segmentierung und Dedizierte LANs 7-27 Micro-Segmentierung: Aufgrund der steigenden Anzahl der Endbenutzer und dem Bandbreitenhunger etablierter Anwendungen wurde die Micro- Segmentierung eingeführt Höchstes 10 bis 24 Benutzer werden an ein Micro-Segment angebunden Dediziertes LAN (engl. dedicated LAN): Konsequente Weiterentwicklung der Idee der Micro- Segmentierung Mit einem einzigen angebundenen Endgeräte, wie z.b. einem Server oder einer Workstation Jedes Gerät hat eine eigene peer-to-peer Switchanbindung 7-27

29 Repeater, Hubs, Bridges, Switches, Routers & Gateways 7-29 Wiederholung und Erinnerung: (a) Which device is in which layer. (b) Frames, packets, and headers. 7-29

30 Hubs, Bridges and Switches 7-30 (a) A hub. (b) A bridge. (c) a switch. (a) A hub. (b) A bridge. (c) A switch. 7-30

31 Topologien im Überblick

32 Netzwerkdesign (1) 7-32 [James F. Kurose und Keith W. Ross, Computernetze, Abb. 5.28, S. 423] Drei Ethernet-LANs sind über ein Hub verbunden 7-32

33 Netzwerkdesign (2) 7-33 [KR, Abb. 5.29, S. 425] Drei über eine Bridge verbundene LANs 7-33

34 Netzwerkdesign (3) 7-34 Frage an das Auditorium (typische Prüfungsfrage): Bitte vervollständigen Sie das unten folgende Netzwerkdesign. Welches HW-Netzelement wählen Sie für das Rechteck in der Mitte? Bitte begründen Sie Ihre Wahl. 7-34

35 Netzwerkdesign (4) 7-35 [KR, Abb. 5.36] Netzwerk mit einer Kombination aus Hubs, Ethernet- Switch und einem Router 7-35

36 Ethernet-Netze: Zusammenfassung 7-36 Alle Rechner, die durch Repeater verbunden sind, gehören zur gleichen Kollisionsdomäne. Repeater werden eingesetzt, um Segmente zu verlängen oder um unterschiedliche Medien (Koax, TP, LWL) auf der untersten Schicht 1 miteinander zu verbinden. Eine Bridge verbindet Segmente auf der Schicht 2 und eröffnet eine neue Kollisionsdomäne. Sie kann unterschiedliche Zugriffsverfahren miteinander koppeln. Switches verdrängen die Bridges im LAN. Switches bauen zwischen Rechner und Switch-Port dedizierte und parallele Verbindungen auf und stellen dem Rechner somit die volle Bandbreite zur Verfügung. Switches stellen oft für den Backbone- oder Server-Port hohe Bandbreite zur Verfügung. Backbone-Switches verbinden Segmente mit Servern. Router werden benötigt, um ein LAN mit einem anderen Netzen zu koppeln. Router arbeiten auf der Schicht

37 Probeklausur Nr FLIX Flix (Spiegel-Online) 7-37

39 7-39 Lernziele heute: Virtuelle LANs Lernziele im Detail: Virtuelle LANs verstehen, erklären und anwenden können Die wichtigsten VLAN-Gruppierungsmöglichkeiten zur Trennung von logischer und physikalischer LAN-Struktur verstehen, unterscheiden und anwenden können IEEE 802.1Q Standard für VLANs verstehen und erklären können 7-39

40 Normale Verkabelung 7-40 Gebäude mit zentraler Verkabelung mit Hubs und einem Switch Idee: Nur über Software-Änderungen logische Gruppen (oder Broadcast Domains) bilden können. 7-40

41 Virtuelle LANs (1) 7-41 Was ist ein Virtuelles LAN? Definition: VLAN = Bildung einer nach bestimmten Kriterien frei definierten Broadcast Domäne auf der Basis physikalischer LAN- Segmente (oder ATM-Netze) Schicht-2-VLANs: VLANs, die rein durch Auswertung der MAC-Informationen oder Switch-Konfigurationen gebildet werden Schicht-2-VLANs sind für Endgeräte transparent, d.h. es ist keine Änderung an den Netzwerkkarten und Software für die Endgeräte erforderlich Merke: Ein Virtuelles LAN (VLAN) entspricht einer Broadcast-Domäne. 7-41

42 Einfaches VLAN Beispiel

43 Virtuelle LANs (2) 7-43 Wichtige Begriffe: Virtuelles LAN Encapsulation: Methode wie Ethernetpakete mit VLAN- Informationen versehen werden. Möglich sind hier DOT1Q (IEEE 802.1Q, alle Hersteller) und ISL (Cisco) Dot1Q (= 802.1Q): IEEE-Norm der VLAN-Informationsverpackung VLAN-TAG: VLAN-Nummer im Ethernetpaket Trunk-Port: (Cisco-Sprache) Port auf dem VLAN-Informationen ausgetauscht werden Native VLAN: Das Grund-Vlan bei DOT1Q. Dies wird IMMER nicht-getagged gesendet ISL: InterSwitchLink, Cisco-proprietäre Methode VLAN- Informationen im Ethernet-Paket zu verpacken 7-43

44 Virtuelle LANs (3) 7-44 Ein Schicht-2-VLAN gruppiert die Benutzer auf der Basis reiner MAC-Verbindungen zu einer Broadcast Domäne: Ein VLAN erhält eine ID, meistens eine Nummer (Integer-Zahl) Innerhalb des VLANs wird der Frame-Transport über MAC-Adress- Tabellen geregelt Trennung von logischer und physikalischer LAN-Struktur verschiedene Ansätze: Portbezogene VLANs VLANs nach Gruppen von MAC-Adressen VLANs nach genutzten höheren Netzwerkprotokollen (Typfeld) oder Netzwerkadressen Achtung: Netzwerkprotokolle und adressen gehören zu Schicht 3! Schichtverletzung! Layer 3 Switching ATM mit LAN-Emulation 7-44

45 Virtuelle LANs (3) 7-45 Die wichtigsten VLAN-Gruppierungsmöglichkeiten zur Trennung von logischer und physikalischer LAN-Struktur (eine Auswahl): Port-basierend: Jeder Port eines Switches wird genau einer Benutzergruppen / einem VLAN zugeordnet. Dabei kann an jedem Port genau ein Teilnehmer ( Port Switching) oder ein LAN- Segment ( Segment Switching) angeschlossen sein. MAC-basierend: Jede Ethernet-Adresse wird einem VLAN zugeordnet, d.h. die Zugehörigkeit eines Teilnehmers zu einer Benutzergruppe / zu einem VLAN wird durch die MAC-Adresse bestimmt. Netzwerkprotokoll-basierend: Jedes Netzwerkprotokoll (IP, IPX, Appletalk) wird einem VLAN zugeordnet Switching mit Netzwerkadressen (Layer 3 Switching): Hier entscheidet Information im Header der Netzwerkschicht (L3, Vermittlungsschicht) über die Gruppenzugehörigkeit, z. B. die Netzwerkadresse oder das Netzwerkprotokoll (siehe oben) 7-45

46 Gruppierungsmöglichkeiten für VLANs (1) 7-46 VLAN: Portbasierend Vorteile: Keine Info s über Rechner notwendig Feste Zuordnung Nachteile: Hoher Verwaltungsaufwand bei Änderungen (z.b. bei Rechnerumzug) Security-Problem, Port ist fest im VLAN 7-46

47 Gruppierungsmöglichkeiten für VLANs (2) 7-47 VLAN: Ethernet-Adressen (MAC) basierend Vorteile: Einfache Switchkonfiguration Bessere Security, jeder Port ist im richtigen VLAN Hardware-Gruppenbildung (z.b. Verwaltungsrechner) Nachteile: Alle Ethernetadressen müssen bekannt sein Kaum Kontrolle wo sich ein Rechner befindet Alle Trunk-Links müssen (fast) alle VLANs führen. 7-47

48 Gruppierungsmöglichkeiten für VLANs (3) 7-48 VLAN: Ethernet-Adressen (MAC) basierend 1. Link UP-Signal an Switch 2. Switch wartet auf erstes Paket vom Rechner Switch fragt Server nach VLAN-Zugehörigkeit der MAC-Adresse 4. Server liefert Antwort, VLAN A 5. Switch setzt Port auf VLAN A

49 Gruppierungsmöglichkeiten für VLANs (4) 7-49 VLAN: Netzwerkprotokoll basierend Vorteile: Trennung der Protokolle mit ihrem unterschiedlichen Broadcastverhalten Nachteile: Multiprotokoll-Rechner? IP/IPX-Adressen leichter fälschbar als Ethernet- Adressen Einsatz von DHCP nicht möglich 7-49

50 Virtuelle LANs: Beispiele 7-50 (a) Vier physikalische LANs, die mittels zweier Bridges in zwei VLANs (grau und weiß) gruppiert werden (b) Dieselben 15 Rechner mittels zweier Switches in zwei VLANS gruppiert VLAN GRAU = { A, E, G, H, I, J, K, L} 7-50

51 Frame-Weiterleitung in Virtuelle LANs 7-51 Frame-Weiterleitung in VLANs: Einfügen und Entfernen von Tags Ein Switch, der ein MAC-Paket (Frame) an einen anderen Switch weiterleitet, fügt eine Markierung (Tag) mit der VLAN-Nummer in den MAC-Header ein Ein empfangener Frame kann so genau einem VLAN zugeordnet werden Das Einfügen und Entfernen von Tags wird als Tagging und Untagging bezeichnet 7-51

52 IEEE 802.1Q Standard für VLANs (1) 7-52 Transition from legacy Ethernet to VLAN-aware Ethernet. The shaded symbols are VLAN aware. The empty ones are not. Übergang vom alten Ethernet zum VLAN-kompatiblen Ethernet die grauen Symbole erkennen VLANs, die leeren nicht Das neue Format enthält ein VLAN-Tag mit VLAN-Kennung (z.b. Farbe ) Der erste VLAN-kompatible Knoten fügt das Tag ein, der letzte entfernt es 7-52

53 IEEE 802.1Q Standard für VLANs (2) 7-53 Neu: Paar von 2-Byte-Feldern Note: Die (alt, legacy) and 802.1Q Ethernet Frame Formate. VLAN-Protocol ID: Hat immer den Wert 0x8100 (= 2 Byte Länge) Pri: 3-Bit-Feld Priorität zur Unterscheidung zwischen verschiedenen Dienstgüteanforderungen (engl. Quality of Service) CFI: Canonical Format Indicator = Kennzeichner für Standardformat VLAN-Identifier: VLAN-Kennung zur Unterscheidung der verschiedenen VLANs z.b. nach Farben (= 12 Bits Länge) 7-53

54 IEEE 802.1Q Standard für VLANs (3) 7-54 VLAN: DOT1Q (= IEEE 802.1Q) Vorteile: Herstellerübergreifend Nur 4 Byte Overhead Funktioniert auch mit Nicht- Dot1Q-Netzgeräten Priorisierung eingebaut Nachteile: Kann nur in Ethernet-Umgebung eingesetzt werden Bis vor kurzem nur eine Spanning-Tree Instanz für alle VLANs 7-54

55 Gründe für den Einsatz von VLANs 7-55 Organisation und Flexibilität: Anpassung von LANs an organisatorische Unternehmensstruktur durch Trennung von physikalischer und logischer Struktur Schaffung von gebäudeübergreifender logischer Netzstrukturen Reduktion von Netzwerklast und Performancesteigerung: Reduzierung von Broadcast-Last bei gleichzeitig niedrigem Delay durch Switching statt Routing Broadcast-Kontrolle Reduzierung von Unicast-Last durch Micro-Segmentierung Sicherheit: Umsetzung individueller Sicherheitsstrategien Alle Mitarbeiter einer Abteilung/Gruppe/Team können in einem VLAN gruppiert werden, so dass der interne Datenverkehr nicht auf andere LAN übertragen wird 7-55

56 7-56 Vielen Dank für Ihre Aufmerksamkeit! Noch Fragen? Fragen und Diskussion 7-56