Netzwerktechnik, Band 2

Transkript

1 Lehrbuch Netzwerktechnik, Band 2 Erweiterte Grundlagen ukhsar Khan 11. April 2010 Herausgeber: AINET Technologie- und Bildungszentrum GmbH Copyright c Alle echte vorbehalten. info@airnet.de Internet

2

3 Lektorat: Karlheinz Geyer, Bertram Hoffmann, Walter Kahrmann (technisch) Satzspiegel und Typographie: Bertram Hoffmann, ukhsar Khan Umschlaggestaltung: Jürgen Salzmann Wichtiger Hinweis Alle Angaben in diesem Lehrbuch wurden vom Autor mit größter Sorgfalt erarbeitet bzw. zusammengestellt und unter Einschaltung wirksamer Kontrollmaßnahmen reproduziert. Trotzdem sind Fehler nicht ganz auszuschließen. Der Herausgeber sowie der Autor sehen sich deshalb gezwungen, darauf hinzuweisen, daß sie weder eine Garantie noch die juristische Verantwortung oder irgendeine Haftung für Folgen, die auf fehlerhafte Angaben zurückgehen, übernehmen können. Für die Mitteilung etwaiger Fehler sind der Herausgeber und der Autor jederzeit dankbar. Internet-Adressen, Versionsund evisionsstände stellen den bei edaktionsschluss verfügbaren Informationsstand dar. Der Herausgeber und der Autor übernehmen keinerlei Verantwortung oder Haftung für Veränderungen, die sich aus nicht von ihnen zu vertretenden Umständen ergeben. ISBN , überarbeitete und erweiterte Auflage 2009 Die vorliegende Publikation ist urheberrechtlich geschützt. Alle echte, auch die der Übersetzung, vorbehalten. Kein Teil des Werkes darf in irgendeiner Form (Einscannen, Druck, Fotokopie, elektronische Form oder einem anderen Verfahren) ohne schriftliche Genehmigung des Herausgebers reproduziert, vervielfältigt oder verbreitet werden. In diesem Lehrbuch werden eingetragene Warenzeichen, Handelsnamen und Gebrauchsnamen verwendet. Auch wenn diese nicht als solche gekennzeichnet sind, gelten die entsprechenden Schutzbestimmungen. Dieses Lehrbuch wurde in keinerlei Weise von Cisco Systems gesponsert, zertifiziert oder autorisiert. Es handelt sich hierbei komplett um eine Eigenentwicklung der Airnet Technologie- und Bildungszentrum GmbH. Eine Affiliation mit Cisco Systems besteht nicht. c 2009, Airnet Technologie- und Bildungszentrum GmbH iii

4 iv c 2009, Airnet Technologie- und Bildungszentrum GmbH

5 Vorwort Aufbauend auf das Lehrbuch»Netzwerktechnik, Band 1«werden hier größtenteils Wissensvertiefungen vorgenommen. Wir geben zunächst einen fundierten Einblick in die Aufgabe der Sicherungsschicht (Data Link Layer) sowie in die Funktionsweise der Komponenten, die auf dieser Schicht arbeiten. Hierzu gehören unter anderem Verfahren wie Transparent-Bridging, das Spanning-Tree-Protokoll sowie vlans (virtuelle lans) auf Layer-2-Switches. Auch auf die Erklärung einer grundlegenden Sicherheit (Port- Security) und die des Inter-VLAN-outings haben wir in diesem Lehrbuch gedacht. Spanning-Tree-Erweiterungen von Cisco und die des IEEE bereichern die Themen der Sicherungsschicht. Wir gehen auf die drahtlose Kommunikation auf Grundlage von wlans ein, behandeln anschließend outing-themen wie vlsm, oute-summarization und rip, schwenken danach um auf generelle Funktionen wie das Filtern von Datenpaketen durch Access- Listen sowie Adressübersetzungen durch nat und pat und stellen danach Virtuelle Private Netzwerke (vpns) vor. IPv6 und SNMP stellen den letzten Teil dieses Lehrbuchs da. Hier haben wir uns jeweils auf die absoluten Grundlagen beschränkt. Studierende, die die beiden Lehrbücher»Netzwerktechnik, Band 1«und»Netzwerktechnik, Band 2«gelesen haben, sollten in der Lage sein, kleine bis mittelgroße Netzwerke aufzubauen und zu betreiben. Wir wünschen dem Leser viel Spaß! ukhsar Khan Airnet Technologie- und Bildungszentrum GmbH Oktober 2009 v

6 vi c 2009, Airnet Technologie- und Bildungszentrum GmbH

7 Inhaltsverzeichnis 1 Entwicklung des LAN-Bereichs Vom Koaxsegment zum Multilayer-Switch Der Aufbau großer Campus-LANs Grundfunktion einer Transparent-Bridge Transparent-Bridging gemäß IEEE 802.1D edundanzen in Bridging-Umgebungen Verifizieren des Spanning-Tree-Protokolls Erweiterte Spanning-Tree-Parameter Erweiterte STP-Verifizierung Der Layer-2-Switch Allgemeines Virtuelle LANs und Trunking VLAN-Trunk-Protokoll Konfigurieren und Verifizieren von Layer-2-Switches Etherchannel-Technik Konfigurieren und Verifizieren des VTP-Prunings Layer-3-outing Inter-VLAN-outing Externe outer-konfiguration Konfiguration von Multilayer-Switches Core-outing Spanning-Tree-Erweiterungen Cisco Nachteile traditioneller STP-Umgebungen nach IEEE 802.1D Uplinkfast, Backbonefast und Portfast von Cisco Per-VLAN-Spanning-Tree (PVST) Konfigurieren und Verifizieren der STP-Erweiterungen Spanning-Tree-Erweiterungen IEEE apid-spanning-tree-protokoll (STP) nach IEEE 802.1w Konfigurieren und Verifizieren von apid-pvst Multiple-STP (MSTP) nach IEEE 802.1Q Konfigurieren und Verifizieren von STP und MSTP Spanning-Tree-Optionen BPDU-Guard oot-guard vii

8 Inhaltsverzeichnis 8 Switch-Security Verwaltung mit HTTP Drahtlose Kommunikation Allgemeines zur Drahtlosen Kommunikation Standards Sicherheit Arbeitsmodi VLSM und oute-summarization Variable-Length-Subnet-Masking (VLSM) oute-summarization und Classless-Inter-Domain-outing Grundlagen und Konfiguration von IP Übersicht über IPv IPv1 Eigenschaften Konfiguration von IPv Eigenschaften von IPv Konfigurieren von IPv2 mit oute-summarization Aufbau und Anwendung von Access-Control-Listen Übersicht von Access-Control-Listen ACLs zum Filtern von Datenpaketen ACLs zur Zugriffseinschränkung auf outern Konfigurationsbeispiele Adressübersetzung durch NAT und PAT Übersicht über NAT und PAT Konfigurieren und Verifizieren von NAT und PAT Virtuelle Private Netze (Virtual Private Networks) Herkömmliche WAN-Technik VPN-Technik Kryptographie und IPSec VPNs Kryptographie Übersicht IPSec-Übersicht Grundlagen von IPv Allgemeines zu IPv IPv6-Adressen und -Adressformat Simple Network Management Protocol (SNMP) Beschreibung Knoten (Nodes) Manager und Agenten SNMPv Management Information Base (MIB) Community-Namen viii c 2009, Airnet Technologie- und Bildungszentrum GmbH

9 Inhaltsverzeichnis 18.7 Mängel von SNMPv SNMPv SNMPv emote Monitoring (MON) Glossar 249 Akronyme 251 Stichwortverzeichnis 253 Befehlsverzeichnis 257 c 2009, Airnet Technologie- und Bildungszentrum GmbH ix

10 Inhaltsverzeichnis x c 2009, Airnet Technologie- und Bildungszentrum GmbH

11 Abbildungsverzeichnis Base2, 10Base Erweiterung durch epeater epeater-egel Erweiterung durch Bridges Erweiterung durch outer Erweiterung durch Switches VLAN-Implementierung VLAN-Implementierung mit einem outer Multilayer-Switch Multilayer-Switches Netzwerkdesign Multilayer-Switches Netzwerkdesign Netzwerkausfall Netzwerkausfall Lernfunktion Filtering-Funktion Forwarding Unknown-Unicast-Flooding Broadcast-Flooding Multicast-Flooding Beispiel eines Kommunikationsablaufs Beispiel eines Kommunikationsablaufs Beispiel eines Kommunikationsablaufs Beispiel eines Kommunikationsablaufs Beispiel eines Kommunikationsablaufs Beispiel eines Kommunikationsablaufs Bridge edundanz Duplizierte Frames Inkonsistenz der MAC-Adress-Tabelle Bridging-Loop Spanning-Tree-Protokoll Aushandlung der oot-bridge Auswahl der oot-bridge Port-Parameter STP-Port-Zustände (Port States) Forward-Delay-Timer des STP Max-Age-Timer vom STP Funktion des Max-Age-Timers Ohne Max-Age-Timer Layout Beispielnetzwerk xi

12 Abbildungsverzeichnis 2.27 STP-Topologie STP-Topologie STP-Topologie STP-Topologie Konfigurations-BPDUs Topology-Change-BPDUs Beispielnetzwerk mit STP-Topologie Der Switch im Schichtenmodell Switch mit einem einzigen VLAN Switch mit zwei VLANs Physikalische LANs Virtuelle LANs Nachteile einer Switching-Umgebung Vorteil von VLANs Switchübergreifende VLANs Nachteil von VLAN-Umgebungen Statische VLANs Dynamische VLANs Dynamische VLANs Eigenschaften des VTP-Protokolls VTP-Terminologie VTP-Transparent-Modus VTP-Advertisements Configuration-evision-Nummer Einfügen eines neuen Switches Nachteil von VLAN-Umgebungen Nachteil von VLAN-Umgebungen Lösung: VTP-Pruning Layout Beispielnetzwerk Schnittstelle VLAN Quell-MAC-basiertes Load-Balancing Ziel-MAC-basiertes Load-Balancing Etherchannel-Technik Zusammenfassen von Schnittstellen Layout Beispielnetzwerk Layout des Beispielnetzwerks Logische Sichtweise Layout Beispielnetzwerk outing und Switching Status Blocking Netzausfall Netzausfall Neustart einer Endstation Uplinkfast Uplinkfast Eigenschaften Eigenschaften von Uplinkfast xii c 2009, Airnet Technologie- und Bildungszentrum GmbH

13 Abbildungsverzeichnis 5.8 Eigenschaften von Uplinkfast Backbonefast Backbonefast Portfast estriktionen von Portfast Mehrere STP-Instanzen Vorteil von PVST Eindeutige Bridge-ID pro VLAN (früher) Eindeutige Bridge-ID pro VLAN (heute) Extended-System-ID im Detail Eigenschaften der Extended-System-ID Aktivieren von Uplinkfast Aktivieren von Backbonefast Aktivieren von Portfast Optimieren von PVST Aushandlung der oot-bridge Port-ollen (Port oles) Alternate-Port/Discarding- bzw. Blocking-Zustand Netzausfall Netzausfall Proposal-Flag Agreement-Flag Konvergenzverhalten von STP Proposal-/Agreement-Funktion Link-Typen Edge-Port MST-Instanzen MST-egionen MST-Instanz STP-Kompatibilität Bridge-Priorität oot-funktion Problembeschreibung Anwendung des BPDU-Guards Konfigurieren des BPDU-Guards Problembeschreibung Anwendung des oot-guards Anwendung des oot-guards Konfigurieren des oot-guards Konsolenport Web-Interface Warum Wireless-lans? Einsatzgebiet von wlans Standard IEEE Frequenzen von IEEE a c 2009, Airnet Technologie- und Bildungszentrum GmbH xiii

14 Abbildungsverzeichnis 10.5 Weitere Standards IEEE h Standards IEEE b Übertragungsmedien Phasenmodulation Übertragungsmedien Frequenzmodulation Übertragungsmedien Amplitudenmodulation Übertragungstechniken Frequence Hopping Spread Spectrum (FHSS) Übertragungstechniken FHSS versus DSSS Theoretische Datenraten und eichweiten Standards IEEE g Übertragungstechniken OFDM Weitere Standards IEEE d Weitere Standards IEEE e Zugriffsmethode Weitere Standards IEEE f Weitere Standards IEEE i Sicherheit Open-System- und Shared-Key-Authentifizierung WEP und WEP-Schwächen WPA TKIP adius-eap Sicherheit Arbeitsmodus ADHOC Arbeitsmodus Access-Point Arbeitsmodus Point-to-Point-Bridge Arbeitsmodus Point-to-Multipoint-Bridge Arbeitsmodus Access-Point-Client Arbeitsmodus epeating-modus WDS Wireless Distributed System WDS Wireless Distributed System Verteilung der Kanäle IP-Subnetting IP-Subnetting IP-Subnetzberechnung VLSM-Subnetzberechnung VLSM-Subnetting Anzahl der outing-einträge oute-summarization Zusammenfassung innerhalb eines Oktetts Berechnung der Zusammenfassung innerhalb eines Oktetts Berechnung der Summary-Adresse und Summary-Maske Summary-Adresse und Summary-Maske Überlappende Subnetze Überlappende Subnetze Überlappende Subnetze CID und estriktionen xiv c 2009, Airnet Technologie- und Bildungszentrum GmbH

15 Abbildungsverzeichnis 12.1 Übersicht über IPv IPv1 outing-updates Invalid-Timer-Funktion Invalid-Timer-Funktion Flush-Timer in Verbindung mit Invalid-Timer Holddown-Timer Flush-Timer in Verbindung mit Holddown-Timer Konfigurieren von IPv Konfigurieren von IPv Übersicht über IPv IPv2-outing-Updates Konfigurieren von IPv Konfigurieren von IPv Definition von ACLs Einsatzgebiet von ACLs Grundsätzliche Bestimmungen Grundsätzliche Bestimmungen Grundsätzliche Bestimmungen Grundsätzliche Bestimmungen Abarbeitung der Statements Wildcard-Maske und Abkürzungen IP-Standard-ACL IP-Extended-ACL Verifizieren von ACLs Editieren von ACLs (früher) Querverweis zur ACL Incoming-/Outgoing-Datenfilter Incoming-Datenfilter Outgoing-Datenfilter Grundsätzliches zu Datenfiltern VTY-Zugriffseinschränkung Querverbindung zur ACL Zugriffseinschränkung auf outer IP-Standard-ACL IP-Extended-ACL IP-Extended-ACL NAT-Terminologie Private Adressbereiche NAT-Funktion NAT-Funktion NAT-Funktion NAT-Funktion PAT-Funktion PAT-Funktion Packet-, Frame- und Cell-Switching-Netzwerke Stand- und Wählleitungen c 2009, Airnet Technologie- und Bildungszentrum GmbH xv

16 Abbildungsverzeichnis 15.3 Internet und DSL Privates Netz Virtuelles Privates Netz (Virtual Private Network) Charakteristik eines VPN VPN-Klassen Site-to-Site-VPN emote-access-vpn Kryptographie per definitionem Secret-Key-Kryptographie Secret-Key-Kryptographie - Anforderung an Schlüsselverwaltung Secret-Key-Kryptographie - Anforderung an Schlüsselverwaltung Schlüsselverwaltung - Diffie-Hellman-Schlüsselaustausch Diffie-Hellman-Schlüsselaustausch Diffie-Hellman-Schlüsselaustausch Anforderung der Authentifizierung Authentifizierung/Datenintegrität Public-Key-Verfahren Public-Key-Infrastructure Auszug aus dem IPSec-Framework IPSec-Protokollimplementierung IPSec-Modi IPSec-Implementierung im Tunnel-Modus IPSec-Implementierung im Transport-Modus Aushandlung von Security-Parametern Security-Association & Schlüsselverwaltung Security-Associations (SAs) IKE-Phase I IKE-Phase II IPSec-Tunnel Grundsätzliches zu IPv Grundsätzliches zu IPv Grundsätzliches zu IPv6-Adressen Spezielle IPv6-Adressen Manager und Agenten MIB-1-Tree egistrierungsbaum SNMPv MON MIB xvi c 2009, Airnet Technologie- und Bildungszentrum GmbH

17 Tabellenverzeichnis 2.1 Aging-Parameter-Werte Vergleich zwischen Bridges und Switches Verhalten der VTP-Modi Port-Zustände (Port States) Portkosten-Parameter Überblick von IEEE x-Standards a versus b Grundlegende Sicherheitsfeatures Nummernbereiche von ACLs xvii

18 Tabellenverzeichnis xviii c 2009, Airnet Technologie- und Bildungszentrum GmbH

19 Verzeichnis der Beispiele 2.1 Überprüfen der MAC-Adress-Tabelle Verifizieren des Spanning-Tree-Protokolls - G1S Verifizieren des Spanning-Tree-Protokolls - G1S Verifizieren des Spanning-Tree-Protokolls - G1S BPDU Paketinhalt Verifizieren des Spanning-Tree Protokolls G1S1 Detail Verifizieren des Spanning-Tree Protokolls G1S2 Detail Verifizieren des Spanning-Tree Protokolls - G1S3 Detail Cisco-ISL IEEE 802.1Q VTP-Advertisement-equest VTP-Summary-Advertisement VTP-Subset-Advertisement IP-Konfiguration Trunk-Konfiguration G1S Trunk-Verifikation G1S VTP-Konfiguration G1S VTP-Verifikation G1S VTP-Konfiguration G1S VTP-Verifikation G1S VLAN-Konfiguration G1S VLAN-Verifikation G1S VLAN-Konfiguration G1S VLAN-Verifikation G1S Weitere Verifikationsbefehle Verifikation des Schnittstellen-Status G1S Verifikation des Switchports - G1S Komplette Konfiguration - G1S Konfiguration des Fast-Etherchannels Verifikation des Fast-Etherchannels G1S Trunk-Verifikation G1S Komplette Konfiguration G1S Verifikation des Spanning-Trees G1S Verifikation des Spanning-Trees G1S Verifikation des Spanning-Trees G1S Aktivieren des VTP-Prunings Verifizieren des VTP-Prunings Konfiguration des Cisco ISL xix

20 Verzeichnis der Beispiele 4.2 Konfiguration des IEEE 802.1Q Konfiguration des IP-outings G1S Konfiguration des IP-outings G1S VLAN-Schnittstellen G1S Verifikation des IP-outings - G1S Core-outing-Konfiguration G1S Core-outing-Konfiguration G1S Core-outing-Verifikation G1S Spanning-Tree-Verifikation G1S Spanning-Tree-Verifikation G1S Spanning-Tree Verifikation G1S Spanning-Tree-Schnittstellen-Verifikation G1S Spanning-Tree-Schnittstellen-Verifikation G1S Spanning-Tree-Schnittstellen-Verifikation G1S STP-BPDU Aktivieren des apid-pvst Aktivieren von STP und MST Verifizieren von MST und STP Verifizieren des MST Verifizieren des MST Spanning-Tree-Verifikation G1S Spanning-Tree-Verifikation G1S Spanning-Tree-Verifikation G1S Spanning-Tree-Schnittstellen-Verifikation - G1S Spanning-Tree-Schnittstellen-Verifikation - G1S Spanning-Tree-Schnittstellen-Verifikation - G1S Konfigurieren der Port-Security Verifizieren der Port-Security Verifizieren der Port-Security IPv1 Paketaufbau IP-Protokollparameter Editieren von ACLs (heute) Verifizieren von Datenfiltern Statische NAT-Konfiguration Dynamische NAT-Konfiguration PAT-Konfiguration Verifizieren von NAT und PAT Debuggen von NAT und PAT xx c 2009, Airnet Technologie- und Bildungszentrum GmbH

21 Kapitel 1 Entwicklung des LAN-Bereichs Die Entwicklung des LAN-Bereichs in den letzten zwei Jahrzehnten war gigantisch. Während Ende der 1980er Jahre bzw. sogar bis Mitte der 1990er Jahre noch viele LANs auf der Grundlage von Koaxialkabeln mit einer Übertragungsgeschwindigkeit von gerade einmal 10 Mbit/s für alle angeschlossenen Komponenten aufgebaut waren, existieren heute bereits dedizierte Verbindungen mit mehreren Gigabit pro Sekunde. Die Übertragungsgeschwindigkeit allein ist jedoch nicht ausschlaggebend. Die Effizienz eines Netzwerks wird von vielen weiteren Faktoren bestimmt. Abschnitt 1.1 auf der nächsten Seite beschreibt kurz den Entwicklungsverlauf von LANs vom Koaxialkabel bis hin zum heutigen Multilayer-Switch. Weiterhin wird in Abschnitt 1.2 auf Seite 7 dargestellt, wie große Campus-LANs strukturiert und hierarchisch aufgebaut werden. Inhaltsangabe 1.1 Vom Koaxsegment zum Multilayer-Switch Der Aufbau großer Campus-LANs

22 Kapitel 1 Entwicklung des LAN-Bereichs 1.1 Vom Koaxsegment zum Multilayer-Switch Abbildung 1.1 zeigt die zwei klassischen Koaxialkabel 10Base2 und 10Base5. 10Base2 aufgrund des geringen Kabeldurchmessers oft auch Thin-Ethernet genannt unterstützt eine maximale Segmentlänge von ca. 2 * 100 m (genau 185 m). 10Base5 aufgrund des größeren Kabeldurchmessers auch Thick-Ethernet genannt hat eine maximale Segmentlänge von 5 * 100 m. Es handelt sich hierbei jeweils um Segmente, die allen angeschlossenen Komponenten eine gemeinsame (shared) Übertragungsgeschwindigkeit von 10 Mbit/s zur Verfügung stellen. 10Base2 - max. 185 m 10Base5 - max. 500 m Abbildung 1.1: 10Base2, 10Base5 Wird die maximale Segmentlänge erreicht, kann durch sogenannte epeater eine Verlängerung des Segmentes vorgenommen werden. epeater sind Signalverstärker, die lediglich das elektrische Signal auf der physikalischen Schicht verstärken. Bis zu fünf Segmente können durch vier epeater miteinander verbunden werden. Ein weiterer epeater ist hiernach nicht mehr zulässig. (Abbildung 1.2). Abbildung 1.2: Erweiterung durch epeater Es gibt eine bekannte epeater-egel, die genannt wird. Diese egel besagt, dass fünf Segmente über vier epeater miteinander verbunden werden dürfen. Lediglich drei der insgesamt fünf Segmente dürfen aktiv sein, was bedeutet, dass nur auf drei Segmenten Komponenten angeschlossen sein dürfen. Auf zwei Segmenten dürfen keine Komponenten angeschlossen werden. Diese Segmente dienen lediglich der Verlängerung des Gesamtnetzwerks. Das Gesamtnetzwerk stellt eine große Kollisionsdomäne dar. (Abbildung 1.3 auf der nächsten Seite). Der Hauptnachteil der obigen Netzwerkumgebung besteht darin, dass keine logische Trennung vorgenommen wurde. Jede Komponente, die in einer Kollisionsdomäne angeschlossen ist, teilt sich die Bandbreite mit jeder anderen angeschlossenen Komponente. 2 c 2009, Airnet Technologie- und Bildungszentrum GmbH

23 1.1 Vom Koaxsegment zum Multilayer-Switch Abbildung 1.3: epeater-egel In einer Kollisionsdomäne darf zu einer gegebenen Zeit nur ein einziges Signal existieren. Versenden zwei Komponenten gleichzeitig Daten, kommt es zu einer Kollision. Diese muss anschließend bereinigt werden. Um die 1990er Jahre herum gab es viele solcher Netzwerkumgebungen. Diese wuchsen damals überproportional, bis gewaltige Überlastsituationen auftraten. Als Lösung hierzu wurden Bridges eingesetzt. Diese nahmen eine logische Trennung des Netzwerks auf der Sicherungsschicht (Data Link Layer) vor. So stellte zum Beispiel jeder Port einer Bridge eine eigenständige Kollisionsdomäne dar. Hierdurch war ein paralleles Datenaufkommen möglich, was zu einem effektiv höheren Durchsatz des Gesamtnetzwerks führte. Bridges hatten jedoch einen Nachteil: Sie mußten gemäß der Spezifikation IEEE 802.1D empfangene Broadcasts auf jeden Port außer dem empfangenden Port weiterleiten. Daher bildete die Bridge eine einzige Broadcast-Domäne. (Abbildung 1.4). Abbildung 1.4: Erweiterung durch Bridges Da die LAN-Protokolle, die um die 1990er Jahre eingesetzt wurden, sehr broadcastintensiv waren, gab es in den damaligen Bridging-Umgebungen eine sehr hohe Broadc 2009, Airnet Technologie- und Bildungszentrum GmbH 3

24 Kapitel 1 Entwicklung des LAN-Bereichs castlast. Je größer die Netzwerke wurden, umso größer wurde auch die Broadcastlast. Die Antwortzeiten im Netzwerk stiegen enorm an, bis eine vernünftige Kommunikation nicht mehr möglich war. Als Lösung hierfür wurden Anfang bis Mitte der 1990er Jahre verstärkt outer eingesetzt. outer bilden pro Schnittstelle eine eigenständige Broadcast-Domäne. Die Broadcasts einer Broadcast-Domäne x werden nicht in eine Broadcast-Domäne y übertragen. Der outer ist sozusagen eine Broadcast-Barriere. (Abbildung 1.5). Abbildung 1.5: Erweiterung durch outer Ein Hauptnachteil von outern ist die Verzögerungszeit während der Übertragung von Datenpaketen. outer sind Komponenten, die auf der Netzwerkschicht arbeiten, und müssen daher alle Datenpakete, die sie weiterleiten, bis zu dieser Schicht verarbeiten. Dies bedeutet im Einzelnen, dass die Datenpakete an der empfangenden Schnittstelle bis zum IP-Header zunächst entkapselt werden. Anschließend wird die IP-Adresse des Ziels aus dem IP-Header ausgelesen. Dann wird die outing-tabelle nach einem passenden Eintrag durchsucht. Sollte eine oute für die Ziel-IP-Adresse vorhanden sein, wird ermittelt, auf welcher Ausgangsschnittstelle das Datenpaket versendet werden muss. Anschließend wird das IP-Paket neu gekapselt und über die Ausgangsschnittstelle versendet. Dieser Prozess war bei den damaligen outern softwarebasierend und löste mehrere CPU-Interrupts aus. Auch diese Tatsache trug zu der höheren Verzögerungszeit während der Datenübertragung bei. Mitte der 1990er Jahre wurden Switches entwickelt. Im Prinzip funktionieren sie wie ihre Vorgänger, die Bridges. In Abbildung 1.6 auf der nächsten Seite ist zu sehen, dass auch Switches pro Interface eine eigenständige Kollisionsdomäne bilden und der gesamte Switch eine einzige Broadcast-Domäne ist. Der Hauptunterschied zu den Bridges besteht jedoch in der Übertragungszeit. Bridges waren, genauso wie outer, softwarebasierend. Dementsprechend hatten sie hohe Verzögerungszeiten während der Übertragung von Datenframes. Switches hingegen sind hardwarebasierend. Sie haben sogenannte ASIC-Chips, die das Weiterleiten von Datenframes aus der Hardware ermöglichen. Switches sind in anderen Worten hardwarebasierende Bridges. Der Datendurchsatz 4 c 2009, Airnet Technologie- und Bildungszentrum GmbH

25 1.1 Vom Koaxsegment zum Multilayer-Switch eines Switches ist um ein Vielfaches höher als der Durchsatz der alten Bridges. Abbildung 1.6: Erweiterung durch Switches Da aber bei den Switches - genauso wie bei den Bridges - die Broadcastproblematik weiterhin existiert, wurden virtuelle LANs (VLANs) eingeführt. Ein VLAN ist eine Layer-2-Broadcast-Domäne. Zwei VLANs sind zwei voneinander unabhängige Layer-2- Broadcast-Domänen. Ein VLAN x kann nicht direkt mit einem VLAN y kommunizieren, da eine logische Trennung auf der Sicherungsschicht (Layer 2) existiert. Somit bleiben die Broadcasts immer innerhalb eines VLANs. Physikalisch können sich die VLANs jedoch auf dem gleichen Switch befinden. Abbildung 1.7 zeigt einen Switch mit insgesamt vier VLANs. Mehrere Ports sind Bestandteil eines jeden VLANs. Die VLANs sind voneinander isoliert. Eine direkte Kommunikation zwischen Ports des einen VLANs mit Ports eines anderen VLANs ist nicht möglich / / 24 VLAN2 VLAN / / 24 VLAN4 VLAN1 Abbildung 1.7: VLAN-Implementierung c 2009, Airnet Technologie- und Bildungszentrum GmbH 5

26 Kapitel 1 Entwicklung des LAN-Bereichs Weiterhin ist zu sehen, dass jedem VLAN ein IP-Subnetz zugeordnet wurde. Somit ergibt sich die folgende egel: 1 VLAN = 1 Broadcast-Domäne = 1 IP-Subnetz. Ein IP-Subnetz wird einem VLAN auf die gleiche Weise zugeordnet wie einem physikalischen Segment. Genauso wie ein physikalisches Segment selbst keine IP-Adresse hat, sondern die Komponenten, die an dieses Segment angeschlossen werden, eine IP- Adresse haben, wird auch dem VLAN selbst keine IP-Adresse zugeordnet, sondern die Komponenten, die Bestandteil eines VLANs sind, erhalten eine IP-Adresse. Durch die VLAN-Implementierung werden anstelle einer großen Broadcast-Domäne viele kleine Broadcast-Domänen aufgebaut. Hierdurch kann die Broadcastlast zwar besser kontrolliert werden, jedoch besteht auch in jedem Netzwerk die Anforderung, dass viele VLANs miteinander kommunizieren müssen. An dieser Stelle ist wieder ein outer erforderlich. In Abbildung 1.8 ist ein externer outer zu sehen, der jeweils ein Interface in jedem VLAN hat. Somit ist er in der Lage, zwischen den VLANs zu routen. Diese Implementierung hat jedoch wieder den Nachteil, dass der outer softwarebasierend ist und somit sehr hohe Verzögerungszeiten während der Datenübertragung anfallen / / 24 VLAN2 VLAN / / 24 VLAN4 VLAN1 Abbildung 1.8: VLAN-Implementierung mit einem outer Eine endgültige Lösung, die allen heutigen Anforderungen im LAN-Bereich gerecht wird, stellen Multilayer-Switches bzw. Layer-3-Switches dar. Diese sind seit Ende der 1990er Jahre verfügbar. Bei einem Multilayer-Switch handelt es sich um eine Komponente, die sowohl Daten auf der Sicherungsschicht (Layer 2) als auch auf der Vermittlungsschicht (Layer 3) weiterleiten kann. Sowohl die Layer-2- als auch die Layer-3- Daten werden sehr schnell durch die Hardware verarbeitet. Hierfür stehen die bereits erwähnten ASIC-Chips zur Verfügung. Somit ist ein langsamer, externer outer für die Layer-3-Funktion nicht mehr erforderlich. Abbildung 1.9 auf der nächsten Seite zeigt unsere bekannte VLAN-Umgebung, bestehend aus vier VLANs. Daten innerhalb eines 6 c 2009, Airnet Technologie- und Bildungszentrum GmbH

27 1.2 Der Aufbau großer Campus-LANs VLANs werden vom Multilayer-Switch über den Layer 2, Daten zwischen VLANs werden über den Layer 3 weitergeleitet. Anders als bei externen outern entspricht der Datendurchsatz des Layer-3-Forwardings dem des Layer-2-Forwardings. Abbildung 1.9: Multilayer-Switch 1.2 Der Aufbau großer Campus-LANs Ein aktuelles Netzwerkdesign, das heute in vielen LANs eingesetzt wird, ist in Abbildung 1.10 zu sehen. Es besteht aus einer Netzzugangsschicht (Access Layer), kurz Zugangsschicht, und einer Verteilungsschicht (Distribution Layer). Die Zugangsschicht stellt den Zugangspunkt zum Netzwerk zur Verfügung. Hier werden Etagen-Switches eingesetzt, die den Endstationen eine optimale Anbindung an das Unternehmensnetzwerk ermöglichen. Bei den Switches der Zugangsschicht handelt es sich in der egel um Layer-2-Switches. Die Verteilungsschicht könnte aus zwei Multilayer-Switches bestehen. Hierbei handelt es sich um die Switches, die für die Gebäudeverteilung verantwortlich sind. Die Switches der Zugangsschicht werden redundant an die beiden Multilayer- Switches angeschlossen. Die Multilayer-Switches haben auch untereinander eine oder mehrere Verbindungen. Dies könnte das Netzwerkdesign innerhalb eines Gebäudes sein. Man spricht hierbei von einem Switch-Block. Netzzugangsschicht (Access Layer) Verteilungsschicht (Distribution Layer) Abbildung 1.10: Multilayer-Switches Netzwerkdesign c 2009, Airnet Technologie- und Bildungszentrum GmbH 7

28 Kapitel 1 Entwicklung des LAN-Bereichs Sollte die Anforderung bestehen, einen großen Campus zu vernetzen, könnte das Netzwerkdesign aus Abbildung 1.10 auf der vorherigen Seite zu einer Kernschicht (Core Layer) erweitert werden. Die Kernschicht wäre für die Anbindung der einzelnen Gebäude innerhalb des Campus verantwortlich. Abbildung 1.11 zeigt zwei Switch-Blöcke, die über zwei Switches auf der Kernschicht redundant miteinander verbunden sind. Jeder weitere Switch-Block würde auf die gleiche Weise angebunden werden. Netzzugangsschicht (Access Layer) Switch-Block 1 Switch-Block 2 Verteilungsschicht (Distribution Layer) Kernschicht (Core Layer) Abbildung 1.11: Multilayer-Switches Netzwerkdesign So ergibt sich eine Drei-Stufen-Hierarchie, bestehend aus Zugangs-, Verteilungs- und Kernschicht ( Access-, Distribution- und Core-Layer). Jede Schicht hat eine bestimmte Aufgabe. Wie bereits erwähnt, hat die Zugangsschicht die Aufgabe, Endstationen optimal anzubinden. Auf der Verteilungsschicht sollten die rechenintensiven Funktionen durchgeführt werden. Hierzu zählt zum Beispiel die VLAN-Terminierung und somit das Inter-VLAN-outing sowie komplexe Access-Control-Lists (Filter). Auch die oot- und die Backup-oot-Funktion des Spanning-Tree-Protokolls sollten sich auf der Verteilungsschicht abspielen. Im Normalfall wird zwischen der Verteilungs- und der Zugangsschicht über Layer 2 weitergeleitet und zwischen der Verteilungs- und der Kernschicht über Layer 3 geroutet. Jegliche Layer-2-Funktionen wie z. B. die VLANs und die Spanning-Tree-Topologie sollten an der Verteilungsschicht enden und nicht zur Kernschicht weitergereicht werden. Es soll also zwischen den einzelnen Switch-Blöcken immer über Layer 3 geroutet werden. Hierdurch wird die Broadcastlast stark eingeschränkt. Was dies alles nun genau zu bedeuten hat, wird im Laufe des Lehrbuchs näher erläutert. Bei diesem Design handelt es sich um ein mehrfach redundantes Netzwerk. Ein derartiges Netzwerkdesign hat den Vorteil, dass mehrere Teilstrecken ausfallen können, das Netzwerk aber weiterhin funktionsfähig bleibt. Auch die Konvergenzzeit spielt eine wesentliche olle im Falle eines Ausfalls. Unter Konvergenzzeit wird die Zeit verstanden, die ein Netzwerk benötigt, nach Ausfall einer Teilstrecke Alternativpfade zu aktivieren. Je geringer die Konvergenzzeit in einem Netzwerk ist, umso schneller können die Kom- 8 c 2009, Airnet Technologie- und Bildungszentrum GmbH

29 1.2 Der Aufbau großer Campus-LANs ponenten die aufgrund des Ausfalls unterbrochene Kommunikation wieder aufnehmen. Die beiden Abbildungen 1.12 und 1.13 zeigen zwei verschiedene Netzwerkausfälle. Die Daten werden dann über einen Alternativpfad übertragen. Netzzugangsschicht (Access Layer) X Verteilungsschicht (Distribution Layer) Kernschicht (Core Layer) Abbildung 1.12: Netzwerkausfall 1 Bevor jedoch auf die Einzelheiten dieses Netzwerkdesigns eingegangen werden kann, müssen wir uns noch viele Grundlagen erarbeiten. Diese werden in den nächsten Kapiteln vermittelt. Weiter hinten in diesem Lehrbuch wird auf die Feinheiten eines solchen Netzwerkdesigns eingegangen. Netzzugangsschicht (Access Layer) Verteilungsschicht (Distribution Layer) Kernschicht (Core Layer) X Abbildung 1.13: Netzwerkausfall 2 c 2009, Airnet Technologie- und Bildungszentrum GmbH 9

30 Kapitel 1 Entwicklung des LAN-Bereichs 10 c 2009, Airnet Technologie- und Bildungszentrum GmbH