VoIP und Converged Communications

Transkript

1 VoIP und Converged Communications Christian Engel Partner Account Manager West 2008 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.

2 Agenda VoIP Power over Ethernet Quality of Service LLDP-MED VoIP over Wireless LAN Command from the center Softwareüberblick IDM Identity Driven Manager SFlow Essentiell für VoIP 2

3 Power over Ethernet (PoE) IEEE 802.3af (2003) PSE Power Sourcing Equipment Gerät welches die Leistung liefert (44 to 57 V Gleichspannung) PD Powered Device Enderäte die die Leistung benötigen IP Telefone Wireless Access Points IP-basierende Videokameras, Aufladbare PDAs, Tablet PCs, ProCurve Implementation: Die PoE Spannung wird über die Datenpaare bei 10/100 Base-T geliefert, damit PoE selbst über eine Spar- bzw. Split-Verkabelung funktioniert. 3

4 Erkennung und Klassifizierung Erkennungsphase Es wird eine kleine Spannung an den stromgebenden Adern (2.8 to 10V) angelegt. Ein Gerät was mit Spannung zu versorgen ist repräsentiert eine Widerstand (19 to 26.5 KΩ) and eine Kapazität (150 nf) Dauer der Erkennung 0,5 sec Die Endgeräte können eine Leistungsklasse zurückmelden. Class bis 15.4 Watts 4.0 Watts 7.0 Watts 15.4 Watts Reserved for Future Use 4

5 HP ProCurve Switche mit PoE ProCurve Switch PWR ProCurve Switch PWR Geringe PoE Portdichte Access-Points, Kleine Arbeitsgruppen, Videoüberwachungskameras Hohe PoE Portdichte IP Telefone und Access-Points in kleinen bis mittleren Unternehmen Geschwindigkeit 10/100 ProCurve Switch PWR ProCurve Switch 3500yl, 5400zl, 8212zl Hohe PoE Portdichte mit Gigabit PoE und intelligenten Layer 2/3/4 Funktionen Kostengünstige Gigabit PoE Lösung Flexibel und hochverfügbar im Chassis als auch Standalone Wirespeed Aufrüstbar auf 10GbE 5

6 Quality of Service Klassifizierung Es muss festgelegt werden welcher Verkehr priorisiert wird. Zuweisen diesen Verkehrsarten in interne Klassen (Queues) Queueing Höher priorisierter Verkehr bekommt eine größere ausgehende Bandbreite als niedrig priorisierter Verkehr. Markieren Wie sollen die Pakete, die den Switch verlassen markiert sein, damit andere Switche wissen, wie sie sie zu priorisieren haben. Layer 2: IEEE 802.1p Layer 3: IP ToS oder DiffServ (DSCP) 6

7 Quality of Service Verkehr wird klassifiziert und in die entsprechenden Klassen (Queues) geschickt. Für jede Klasse ist eine minimale prozentuale Bandbreite reserviert. Der Switch kann die Priorität im ausgehenden Verkehr auf Layer-2 (802.1p) auf Layer-3 (ToS, DSCP) markieren. Klassifizierung 7 Queueing (ausgehend) 4 (höchste Priorität) Eingansgport 4 Ausgangsport (Normale Priorität) 1 (niedrigste Priorität) Ausgehende Frames werden markiert 7

8 Weighted Round Robin Queueing (ausgehend) Im Weighted Round Robin Verfahren bekommt jede Queue einen Teil der Bandbreite pro Bearbeitungszyklus. Die Gewichtung basiert auf der Anzahl von Paketen unabhängig von ihrer Größe. Wenn alle Queues gefüllt sind werden sie nach der Reihenfolge ihrer Priorität bearbeitet. Queue 4 (hoch) Queue 3 (mittel) Queue 2 (Normal) Queue 1 (klein) 8

9 Garantierte minimale Bandbreiten Serie 3500yl, 5400zl, 6200yl, 8212zl, 5300xl Pro Port Bandbreitenkontrolle Ausgehend garantiertes Minimum Sprache Minimale Konfigurationseinheit Schritte in 1% für 3500yl, 5400zl, 6200yl, 8212zl Serien Daten Setzt man alle Werte auf Null so erreicht man ein sogen. Strict Queueing Pakete in Queues mit niedriger Priorität werden nicht verarbeitet, solange Pakete in höheren Queues zur Übertragung anstehen. 9

10 Anforderungen der IP Telephonie Plug-and-Play Inbetriebnahme Simplifiziertes Management und genaue Netzwerktopologie Genaue Gerätelokalisierung für den Notruf Schelle Identifikation und Troubleshooting für Sprachqualitätsprobleme VoIP spezifisches Inventurmanagement Herstellerunabhängigkeit, welches mir erlaubt unterschiedliche IP Telefonsysteme in meinem Netzwerk zu integrieren standardisiertes Discovery Protokoll! 10

11 LLDP-MED Geschichte... IEEE-802.1AB-2005 (Link Layer Discovery Protokoll) ist abgeschlossen und wird bereits von vielen Herstellern unterstützt. LLDP bietet Basisfunktionalitäten, welche aber für IP Telefonie und Video nicht ausreichen. LLDP-MED (Media Endpoint Discovery) Initiative wurde als Erweiterung für die besonderen Anforderungen der IP Telefonie gegründet. TIA (Telecommunications Industry Association) Hauptautoren u.a. ProCurve Standardisiert als ANSI/TIA-1057 (April 2006) 11

12 Was bietet LLDP-MED? Interoperabilität Management Fähigkeiten, welche es erlaubt herstellerunabhängige Endgeräte gemeinsam im Netzwerk zu betreiben Automatismen in der Inbetriebnahme Sprach VLAN ID Layer-2 und Layer-3 QoS Einstellungen Lokationsbasierende Dienste, wie z.b. Notruf Unterstützt internen und externer Notruf für IP Telefonie mittels Ortsangabe Detaillierte Inventarisierung und genaue Topologie Switch agiert als Proxy um Hersteller, Typ, Software, Firmware und Asset Informationen zubekommen. Dies ist deshalb wichtig, da nur wenige Endgeräte SNMP unterstützen. Erweiterte PoE Klassifizierung Genauere Rückmeldung über die benötigte PoE Leitung welches für das Management und die Backupreserve gebraucht wird. Netzwerk Troubleshooting für die IP Telefonie Erkennung von falsch aushandelten Duplex Modus Erkennung von falsch eingestellter Sprachpriorisierung 12

13 Herstellerübergreifender Nutzung von PC und IP Telefon am gleichen Port Wie konfiguriert sich das Telefon automatisch ins richtige Sprach- VLAN und wie konfiguriert das Telefon seine QoS Einstellungen? 1. Viele Telefone unterstützen herstellerspezifischen DHCP Prozess für die automatische Konfiguration Unterstützt von Avaya, Alcatel, Mitel, Siemens und ShoreTel IP Telefone Zweistufiger DHCP Prozess DHCP Server sendet auf den Daten VLAN die Sprach VLAN ID and QoS Einstellungen Telefone rebootet im Sprach VLAN und führt dort den DHCP Prozess erneut aus. 2. Einmalige manuelle Konfiguration Einstellen der Sprach VLANs und der QoS Werte am Gerät über das Netzwerk Menü 3. Automatisch mittels LLDP-MED Unterstützt von ProCurve, Avaya, Nortel, Mitel and Extreme Cisco hat es angekündigt Viele andere führenden Hersteller arbeiten daran... DHCP Server IP Netzwerk Switch Untagged Daten VLAN tagged Sprach VLAN IP Telefon Untagged Daten VLAN PC IP Telefonanlage 13

14 Wireless LAN und VoIP geht das? Die HP ProCurve WESM Lösung 2008 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.

15 5400 Product Overview Chassis Produkt ProCurve Switch 5406zl* ProCurve Switch 5412zl* 4U Alle Ports sind PoE Austauschbares Management Modul Full Layer 3 Wirespeed Konkurrenz: Cisco 45er Serie Line card slots 6 12 Maximum Gig ports U 10G ports Max/Wire speed # of power supplies Min/Max 24/12 48/24 1/2 2/4 Backplane bandwidth 346 Gbps 692 Gbps Switch throughput 214 Mpps 428 Mpps * Check web site for availability 15

16 Wireless Edge Service Module Hochverfügbare Lösung für campusweite Einsätze RADIUS Server Netzwerk Netzwerk Infrastruktur Infrastruktur Wireless Edge Services zl Module Das WESM Modul stellt die Intelligenz für die Radio Ports Zentralisiertes Management/ Konfiguration Interface zum RADIUS Server Authentifizierung und die Verschlüsselung Access Controll Listen/ VLANs ProCurve Wireless LAN System ProCurve Switch ProCurve Radio Ports 16

17 Wireless Edge Service Module Vorteile einer zentral verwalteten Umgebungen - self-healing Funktion - Dynamische Anpassung der Sendeleistung - Automatische Interferenzkontrolle 8212zl Switch mit Wireless Edge Services zl Modulen - Modul Redundanz - Traffic Priorisierung - Fast client roaming* - Einfache Administration ProCurve Switch ProCurve Radio Ports * Gilt beim Roaming zwischen Radioports innerhalb desselben Moduls 17

18 Wireless Edge Service Module Einsatzmöglichkeiten Flächendeckende Installationen - Lagerhallen (Einscannen am Gabelstapler) - Krankenhausabteilungen (elektronische Patientenakte) - Büroflächen (VoWLAN) - Besprechungsetagen (Gastzugänge) 5400zl/ 8212zl Switch mit Wireless Edge Services zl Modulen ProCurve Switch ProCurve Radio Ports 18

19 Kontrolle des Netzwerkzugangs 2008 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.

20 ProCurve Access Control Solution Migrationspfade Client Switch RADIUS Accounting Session Counters RADIUS Accounting IDM Reports Integrity Endpoint Integrity Endpoint Integrity Authorization VLAN, ACL, QoS, Rate-limit IDM Access Policy Rules Authentication Web Browser 802.1X supplicant MAC Auth WebAuth 802.1X RADIUS RADIUS 20

21 Identity Driven Manager - Beispiel Personalabteilungsserver Entwicklungsserver Netzwerkadminserver Internet Proxy Active Directory RADIUS Sever IDM Server Status Power PoE Tmp Fault Fan Test ProCurve Mdl Switc h 3500yl J8 692APoE LE D Mode Reset Act FD x Spd PoE Usr Clear EPSRPSStatusoftheBack Console SpdMode AuxiliaryP ort VLAN 2: /24 (Personalabteilung) VLAN 3: /24 (Entwicklung) VLAN 4: /24 (Netzwerkadmins) VLAN 5: /24 (Gast - Internet) VLAN 6: /24 (IP Telefonie) of=10mbps flash=10mbps on=10mbps Link Link 1 2 Mode Mode PoE-Integrated10/10/10B ase-tp orts(1-24t)-p ortsareie EE AutoMDI/MD I-X Link 13Mode Link 14Mode Dual-P ersonalityp ort10/10/10-t(t)ormini-g BIC (M) 21 T 23 T 22 T 24 T Link Link 21M Mode 22M Mode 23M 24M Use on ly one (T or M) for ea ch Por t Pr oc ur ve N et w or ki ng HP In novatio n Benutzer: hperso aeinstein hhasenau gast1 000c297837d7 (Personalabteilung) (Entwicklung) (Netzwerkadmin) (Gast) (Drucker) Port 1-4 Web auth. Port X auth. Web auth Port X auth. Port 17 MAC auth. Port X auth. Port 18 MAC auth. Empfang Meetingräume 1. Stock 2. Stock Nur Internet Zugriff Gäste Internet Zugriff Personalabteilung + Entwickung Personalabteilung + Entwicklung Entwicklung 21

22 ProCurve Command from the center Management Software 2008 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.

23 ProCurve Security Framework ProActive Defense Access Control Network Immunity Secure Infrastructure Regulatory Compliance Adaptive Edge Architecture 23

24 Command from the Center Unified Wired und Wireless Management Network Threat Management ProActive Defense Identity-Based Access Mobility Manager Network Immunity Manager Virus Throttle, sflow 3 rd Party Appliances Identity Driven Manager ProCurve NAC 800 ProCurve Manager+ Configuration Management, Monitoring, Troubleshooting 24

25 Identity Driven Manager Sicherheit und Flexibilität 2008 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.

26 Identity Driven Management für LAN und WLAN Einfache Erstellung und Verwaltung von User-Policy-Groups für optimierte Netzwerkperformance IDM ermöglicht es Reports und Log- Dateien für Audits zu erstellen Automatische und dynamische Einrichtung des Netzwerkzugang Basierend auf User-Authentifizierung Ort, Zeit, Device ID, Client Integrity VLAN Bandwidth QoS ACLs 26

27 Möglichkeiten des Reporting Information und Communication IDM Reports IDM Configuration Report User Unsuccessful Login Report User Bandwidth Report IDM Statistics Report (Login/Bandwidth) User Session History User MAC address Report Host Integrity Report Monitoring NI Reports Security Events History Report Location Security History Report Security Heat Map Report Security Event Source Report Top Offenders Report Offenders Tracking Report Location Offender Report Risikoanalyse PCM Reports Device Security History Report Device Access Security Report Port Access Security Report Password Policy Compliance Report Current credentials Report Test Communications Report Change Configuration Report Device Configuration History Report Aktivitätenkontrolle NI Reports Security Policy Report Security Policy Action Report 27

28 Network Immunity Manager 2008 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.

29 Traffic Management mit sflow sflow ist ein statistisches Sampling Verfahren, das in RFC 3176 standardisiert wurde sflow ermöglicht eine unfangreiche und detailierte Darstellung des gesamten Netzwerk Verkehrs historische Verkehrsanalyse sowie Accounting in Echtzeit MAC, IPv4, IPv6, IPX, AppleTalk, ICMP, TCP, UDP, URL (L2-L7) Input/output Port, VLAN, Prioritäten, Subnetze Wire-speed Traffic Monitoring auf jedem Port Hardware-basiertes Packet Sampling in ASICs Präzise Ergebnisse bei allen Geschwindigkeiten: 10/100/1000 Mbps, 10 Gbps Skalierbar bis mehrere Tausend Ports Überwachung ohne Einbußen auf Switch- und Netzwerkperformance Minimaler Einfluss auf CPU und Speicher Minimale Nutzung von Netzwerk Bandbreite Kein SNMP Polling 29

30 sflow Komponenten sflow Agent auf jedem Port Packet/Counter Samples sflow sflow sflow sflow Collector/Analyzer z.b. ProCurve Manager Plus, oder InMon Traffic Sentinel Always-on, Echtzeit-Messungen von jedem Port werden zu einem einzigen sflow Kollektor geschickt, welcher eine zentrale, Netzwerk-weite Übersicht bietet. Bietet Administratoren eine Netzwerkübersicht, welche sie begründete Entscheidungen treffen lässt. 30

31 sflow: Nutzen für Unternehmen 1. Performance und Fehler Management Kontrolle über Netzwerkauslastung und Applikationsperformance Troubleshooting von Netzwerk Performance Problemen 2. Security Management Auffinden und Abwehren von DoS Attacken Netzwerkweite Sicherheitsüberwachung Auffinden von Policy Violations 3. Kapazitätsplanung Reporting basierend auf Netzwerk-weiten Verkehrsflüssen: VLANs IP Subnetze oder Adressen IP Dienste (TCP und UDP) 31

32 Typische Fragen, die durch SFlow beantwortet werden können Warum ist mein Netzwerk so langsam? Funktioniert das Netzwerk wie geplannt? Sind die Policies verletzt worden? Gibt es SPAM oder DoS Attacken durch die Computer der User? Gibt es Virus oder Wurm Probleme im Netzwerk? Erhalten die User ein gutes QoS für VoIP? Wieviel Multicast Traffic habe ich im Netz? 32

33 sflow for Wireless Wired + wireless sflow Gibt dem Admin die Möglichkeit das Netzwerk Management, die Security und die Traffic Analyse Applicationen wirksam über beide Medien hinweg einzusetzen Sichtbarkeit innerhalb von traffic Top talkers, b/w consumed/app Top SSID, channel, protocol (a/b/g) Client associations, signal strength, und Auslastung sflow collector/analyzer: ProCurve Manager Plus or InMon traffic sentinel Ermöglicht es : Load balance über SSIDs/APs Identifizierung überlasteter Channel und nachgeschalteter Aktionen Troubleshooting des wireless signal, performance issues, or DoS Attacken Stellt die gewünschte Performance des Netzwerkes für Voice over WLAN sicher Network ports Wireless LAN 33 33

34 Statistics with sflow 34

35 Network Immunity Solution Architecture Edge Defense Quarantine Bandwidth Rate limiting Attacker MAC lockout Attacker Port Shutdown Copy suspicious traffic to IDS Alert Notification ProCurve PCM v2.2 Plus w/ni Manager Intrusion Response Sampled traffic (sflow) / Virus Throttle Alerts Security Alerts Intrusion Detection Security Activity Dashboard Location based Policy Enforcement Built-in Network Behavior Anomaly Detection (NBAD) Alert Suppression Offender Tracking Security Heat Map Threat Mitigation Reporting Inline Prevention Passive Detection Suspect Traffic ProCurve Network Edge Third Party Security Devices 35