18C3-Workshop. SwitchedEthernet. Achim Friedland 1/33. 18C3 -Switched Ethernet

Transkript

1 18C3Workshop SwitchedEthernet 1/33 18C3 Switched Ethernet

2 Probleme mit Ethernet... Hubs/Repeatersindi.A.reineSignalverstärkerauf Layer I. Hubsbesitzen i.a. keinerleiintelligenzumauf Netzwerkprobleme angemessenreagierenzukönnen. CSMA/CDistmehralsunbrauchbar beigrößeren Netzwerken (Datendurchsatz, Leitungslänge, Paketgröße, ) Hubslassensichnursehreingeschränkt managen (Prioritäten,Adressfilter, ) KeineSicherheit gegen dasmitlesen ( Sniffen ) fremderdaten (aber:needtoknow[3com], Smart Hubs CDSignal) 2/33 18C3 Switched Ethernet

3 Was wünscht man sich? Man willsoseltenwiemöglichcsma/cd verwendenmüssen BessereAuslastungdesNetzwerkes,weniger unnützer Datenverkehr NetzwerkStandardproblemesollen automatisiertgelöst werden (Schleifenauflösung,BackupLeitungen, etc.) Netzwerk/Datensicherheitsollgewährleistet werden DasNetzwerksollinseinenKnotenpunkten managebarwerden DasGanzesoll transparentfürdie bisherigen Netzteilnehmer bleiben. 3/33 18C3 Switched Ethernet

4 SwitchedEthernet (via transparentem Bridging,IEEE 802.1d) 4/33 18C3 Switched Ethernet

5 Paketformate Ethernet Frame (nach Xerox (Intel, Digital)) destination source prot. data FCS LSB 6Byte 6Byte 2Byte Byte 4Byte >1535dez IEEE Frame destination source data length D S A P S S A P C TL data FCS LSB 6Byte 6Byte 2Byte 15 Byte Byte 4Byte <1536dez DSAP =DestinationServiceAccess Point SSAP = Source ServiceAccessPoint CTL =CTL 5/33 18C3 Switched Ethernet

6 Adressformat vendorcode/oui vendorfree L S B b0 24(23) Bit Global(0) /Local(1)Bit 3Byte DMac: SMac: Group(1) /Individual(0) Bit Transparent Bridging(0) /SourceRouteBridging(1) Bit z.b. 0180c Bridge GroupAddress (STP) OUI =Organizationally Unique Identifier 6/33 18C3 Switched Ethernet

7 AutoLearning C1 Bridge C Port filteringdatabase Age LAN C C /33 18C3 Switched Ethernet

8 AutoLearning C1 C1>C3 Bridge C Port filteringdatabase Age C3 LAN C /33 18C3 Switched Ethernet

9 AutoLearning Aha, hängt anport1, kennich aber nicht... C1 Bridge C1>C3 C Port filteringdatabase Age Port LAN C C /33 18C3 Switched Ethernet

10 AutoLearning Flooding... C1 Bridge C1>C3 C Port filteringdatabase Age C1>C3 C3 Port LAN C /33 18C3 Switched Ethernet

11 AutoLearning zzzz... C1 Bridge C2>C1 C Port filteringdatabase Age C3 Port LAN C /33 18C3 Switched Ethernet

12 AutoLearning Aha, hängt anport3, hängtanport 1... C1 Bridge C2>C1 C Port filteringdatabase Age C2>C1 C3 Port 1 Port C4 LAN /33 18C3 Switched Ethernet

13 AutoLearning Forwarding... C1 C2>C1 Bridge C Port filteringdatabase Age C3 Port 1 Port C4 LAN /33 18C3 Switched Ethernet

14 AutoLearning zzzz... C1 Bridge C Port filteringdatabase Age C3>C2 C3 Port 1 Port C4 LAN /33 18C3 Switched Ethernet

15 AutoLearning Mhm, hängt amgleichen Port... C1 Bridge C3>C2 C3>C2 C Port filteringdatabase Age C3 Port 1 Port C4 LAN /33 18C3 Switched Ethernet

16 AutoLearning Filtering... C1 Bridge C3>C2 C3>C2 C Port filteringdatabase Age C3 Port 1 Port C4 LAN /33 18C3 Switched Ethernet

17 AutoLearningVorteile Sofern Rechnerdirekt an Switchesangeschlossenwerden undeine FullDuplexVerbindungmöglichist, entfällt CSMA/CD ;) Sofern Rechnerdirekt an Switchesangeschlossenwerden bekommen sienurnoch Paketediefürsiebestimmt sind... Esist kein Mitlesen/ Sniffen fremderdatenmöglich(erstmal!) Invollgeswitchen Netzwerkenkanntheo.jederRechnermit seiner vollen Bandbreite kommunizierenohneandererechnerzubeeinflussen. (AbhängigvonderBackplanederBridge) DiegelerntenMACAdressen werden miteinemtimerversehenund nachablauf dessengelöscht. AutoLearning mitswitches(transparentenbridges) funktioniert auch mit mehrerenkaskadierten Switches. 17/33 18C3 Switched Ethernet

18 AutoLearningNachteile ImgeswitchtenEthernetkönnen Paketeverlorengehen, ohnedassder Versenderdarüberinformiert wird...egal,daethernetsowiesofür garnichtsgarantiert (anders:token Bus/Ring)... Broadcasts/Multicastswerdeninhandelsüblichen Bridgesimmer geflutet...(besser: Extended FilteringRules/IEEE 802.1d) MACAdressen könnenstatischanmehrere Ports eingetragen werden. Dynamisch sollten siejedochnuraneinemport eingetragen werden. HandelüblicheImplementierungenlasseneszu,dasseineMAC Adresseanmehreren Ports gelerntwird.daskann mandazuausnutzenüberbridgeshinwegzu sniffen.alsgegenmassnahme könntenstatischemacfilteran denportsdefiniertwerden. 18/33 18C3 Switched Ethernet

19 SwitchingStrategien StoreandForward Das EthernetFrame wirdkomplett in den Cache derbridgeeingelesen, die CRC wird berechnet, verglichen und danach wird entschieden wohin das Frameweitergeleitet werden soll... Sicheres Verfahren,aberlange Verzögerung CutThrough Nur die DestinationMACAdresse wird eingelesen, die Zielports werden ausgewählt undder Rest desframes wirddirekt weitergeleitet... Deutlich kürzere Verzögerungenaber möglicherweiseweiterleitungdefekter Pakete. Funktioniert nichtbei Verbindungen zwischenportsmit unterschiedlichengeschwindigkeiten. FragmentFree Die ersten 64 Byte werdengelesen, wenn okay,dannwie CutThrough 19/33 18C3 Switched Ethernet

20 Redundante Netzwerktopologien LAN B port 1 port1 Bridge 3 Bridge 4 port 1 port 2 port2 Bridge 1 LAN E port2 port 1 Bridge 5 port 2 LANA port 1 Bridge 2 LAN C LAN D 20/33 18C3 Switched Ethernet

21 Redundante Netzwerktopologien Man willbewusst redundante Netzwerkpfade verwenden, diesobald derhauptlinkausfällt automatischaktivwerden können. Ungeplante Redundanzen (sogenannteschleifen) sollen automatisch erkannt und zu guten Redundanzengemacht werden. DasGanzesoll deterministischablaufen undreproduzierbareergebnisseliefern. FürdieNetzwerkendgerätesolldasVerwenden einesredundanten Pfades transparentbleiben(anders: SourceRouteBridging) 21/33 18C3 Switched Ethernet

22 SpanningTreeAlgorithmus Algorhyme Ithinkthat Ishallneversee Agraph morelovelythan atree. Atreewhosecrucialproperty Isloopfreeconnectivity. Atreethat must besuretospan Sopacketscan reacheverylan. First,therootmust beselected. ByID, it iselected. Leastcost pathsfromroot are traced. Inthetree,thesepathsareplaced. Ameshismadebyfolkslikeme, Thenbridges findaspanning tree. RadiaPerlman 22/33 18C3 Switched Ethernet

23 SpanningTreeAlgorithmus Bridge1 BridgeID42 RootPath Cost 00 Port ID1 Path Cost 10 Port ID2 Path Cost Bridge 1wird RootBridge 2. Bridge 1wird Designated Bridge für LANAand LAN B LANA Port ID1 Path Cost 05 Bridge5 BridgeID 83 Root PathCost 10 Port ID2 Path Cost 05 Port ID 1 Path Cost 10 Bridge3 BridgeID 45 Root PathCost 10 Port ID 2 Path Cost 10 LAN B Bridge 2wird Designated Bridge für LAN Cand LAN D Bridge 4wird Designated Bridge für LAN E bridge 2 Bridge ID 97 Root PathCost 10 Port ID 1 PathCost 05 Port ID2 PathCost 10 Port ID 3 PathCost 05 LAN C LAN D Port ID 1 PathCost 05 Bridge4 Bridge ID 57 Root PathCost 05 Port ID 2 PathCost 05 LAN E Root Port Designated Port Alternate Port ForwardingLink BlockingLink 23/33 18C3 Switched Ethernet

24 SpanningTreeAlgorithmus Bridge1 BridgeID42 RootPath Cost 00 Port ID1 Path Cost 10 Port ID2 Path Cost Bridge 3wird RootBridge 2. Bridge 3wird Designated Bridge für LAN Bund LAN E LANA Port ID1 Path Cost 05 Bridge5 BridgeID 83 Root PathCost 05 Port ID2 Path Cost 05 Port ID 1 Path Cost 10 Bridge3 BridgeID 45 Root PathCost 00 Port ID 2 Path Cost 10 LAN B Bridge 5wird Designated Bridge für LANA Bridge 2wird Designated Bridge für LAN Cand D Bridge2 Bridge ID 97 Root PathCost 15 Port ID 1 PathCost 05 Port ID2 PathCost 10 Port ID 3 PathCost 05 LAN C LAN D Port ID 1 PathCost 05 Bridge4 Bridge ID 57 Root PathCost 05 Port ID 2 PathCost 05 LAN E Root Port Designated Port Alternate Port ForwardingLink BlockingLink 24/33 18C3 Switched Ethernet

25 SpanningTreeAlgorithmus SPAläuft an...allebridgesschaltenihreportsin denblockingmodus EswerdennurConfigurationBPDUsausgetauscht. AlleBridgessenden CBPDUsindieangeschlossenenLANS aus,um sich alsmöglicherootbridgebekannt zumachen. Enthält einebridgeeine CBPDU mit niedrigererbridgeid announced siediesein Zukunft alsihrerootbridge. DieBridgemit derniedrigstenbridgeid wirdschließlichzurroot Bridgedesgesamten Netzwerkes. AlleBridgesberechnenden kürzesten Pfadvon sich zurrootbridge und wählt einenport ausüberdensiedierootbridgemit minimalen Pfadkostenerreichenkann(ROOTPort). 25/33 18C3 Switched Ethernet

26 SpanningTreeAlgorithmus Sind mehrerebridges aneinemlan angeschlossen, sovergleichen sieihrepfadkostenzurrootbridge.die mitden niedrigerenwerten wirddesignatedbridgeauf dementsprechendenlan. ImZweifelsfallentscheidet diebridgeid,danndieportid. AlleROOT PortsunddieDesigniertenPortswerdenineinenPreForwarding Modusgeschaltet(Listening, Learning).Nachdemeinigermaßensichergestellt ist,dassallenbridgesdietopologiebewußt ist wirdindenforwarding Modusgeschaltet. Ca.Alle2Sek. macht sichdierootbridgeviacbpdusaufallihren direktangeschlossenen LANsbekannt.AlleBridgesdiediese erhalten sendenebenso ihre CBPDUsüberihredesigniertenPortsaus. Empfangeneundnichterneutempfangene CBPDUswerden nach einemtimeout (ca. 20Sek) gelöscht.eswirdangenommen, dassein FehlervorliegtundeinneuerWegzurROOTBridgeberechnet. 26/33 18C3 Switched Ethernet

27 SpanningTreeAlgorithmus Topologieänderungen SchalteteineBridgedenBlockierungsModuseinesihrerPorts an oderaus. SoteiltsiedieseTopologieänderung derviarootport erreichbarenbridgemit. Dieseteilt esihrer mit...usw. Gleichzeitig setzt diesebridgeeinebestätigungüberdie empfangenetämitteilung in ihrenweiterencbpdus. EmpfängtdieROOT BridgeeineTopologieänderungsnachricht, so sendet sieebenfallseinebestätigungderer. Typischerweisebraucht einstaca.3035sekunden 27/33 18C3 Switched Ethernet

28 IEEE802.1d Configuration BPDU Okt TCA protocol id (0000) version id (00) bpdu type (00) reserviert 2 root priority 6 root id 4 pathcost to root 2 bridge priority 6 bridge id 1 port priority 1 port id 2 message age 2 max age (20 sec.) 2 hello time (2 sec.) 2 forward delay (15 sec.) TC in 1/256 secs in 1/256 secs in 1/256 secs in 1/256 secs 28/33 18C3 Switched Ethernet

29 IEEE802.1d Topoloy Change BPDU Okt protocol id (0000) version id (00) bpdu type (80hex) BridgePDUs werdenimmerandieethernet MulticastAdresse 0180C gesand.AlsSourcedientjeweilsdieMACAdressedes BridgePortsüberden diebpdu versandwurde. 29/33 18C3 Switched Ethernet

30 Angriffe auf SpanningTree? Man kann sichrecht einfach zurrootbridgedesnetzwerkesernennenund durcherfundenetopologieänderungendasnetzwerk mehrmitspanningtreealsmit Forwardingbeschäftigen. IneinemgewissenUmfangist es möglichgefälschtecbpduszu versendenumalleanderen BridgeszumBlockenzuverleiten. Beides sind recht unbekannteangriffedienetterweisemit recht wenig ZutungroßeVerwirrung stiftenkönnenunddabei kaum auffallen. AlsGegenmassnahmekannSpanning Treefüralle außerinterbridgeportsdeaktiviert werden. 30/33 18C3 Switched Ethernet

31 Virtuelle LANs EthernetFramemitVLANMarkierungnachIEEE802.1q(OneLevelTagging) Tag CTL prot/ length destination source 8100 data FCS 6Byte 6Byte 2Byte 2Byte 2Byte Byte 4Byte TagControlInformation priority C FI VLAN identifier 3Bit 1Bit Canonical Format Indicator 12Bit VLANIDfließtin die CRC Berechnung ein(hohe Verzögerung möglich) Normalerweiseein SpanningTree für jedes VLAN... VLAN ist auch auf Basis IEEE (ISL) möglich 31/33 18C3 Switched Ethernet

32 IEEE802.1 Standards 802.1s 802.1w 802.1x 802.1D 802.1G 802.1Q 802.1v Multiple SpanningTrees Rapid Reconfiguration of SpanningTree Port Based NetworkAccess Control MAC bridges Remote MAC bridging Virtual LANs VLAN Classification by Protocol and Port 32/33 18C3 Switched Ethernet

33 Literatur RadiaPerlman Bridges, Router, Switches und Internetworking Protocols AddisionWesley Matthew Naugle Network Protocol Handbook McGrawHill Series on Computer Communication Dr. FranzJoachim Kauffels Lokale Netze Datacom/MITP 33/33 18C3 Switched Ethernet