Ethernet-Port-Switching-Modi auf Sicherheitsgeräten

Unterstützte Geräte und Ports

Juniper Networks unterstützt Switching-Funktionen auf einer Vielzahl von Ethernet-Ports und -Geräten (siehe Tabelle 1). Die Plattformunterstützung hängt von der Junos OS-Version in Ihrer Installation ab. Die folgenden Ports und Geräte sind enthalten:

• Integrierte Ethernet-Ports (integrierte Gigabit- und Fast-Ethernet-Ports) der Geräte SRX300, SRX320, SRX320 PoE, SRX340, SRX345, SRX550M und SRX1500.

• Multiport-Gigabit-Ethernet-XPIM auf dem SRX650-Gerät.

Auf der SRX100. SRX220-, SRX240-, SRX300-, SRX320-, SRX340- und SRX345-Geräten können Sie die integrierten Gigabit-Ethernet-Ports so einstellen, dass sie entweder als Switched-Ports oder als geroutete Ports betrieben werden. (Die Plattformunterstützung hängt von der Junos OS-Version in Ihrer Installation ab.)

Integriertes Bridging und Routing

Integriertes Bridging and Routing (IRB) bietet Unterstützung für gleichzeitiges Layer-2-Swiching und Layer-3-Routing innerhalb desselben VLANs. Pakete, die auf einer Schnittstelle des VLAN ankommen, werden basierend auf der MAC-Zieladresse des Pakets geswitcht oder geroutet. Pakete mit der MAC-Adresse des Routers als Ziel werden an andere Layer-3-Schnittstellen weitergeleitet.

Link Layer Discovery Protocol und LLDP-Media Endpoint Discovery

Geräte verwenden Link Layer Discovery Protocol (LLDP) und LLDP-Media Endpoint Discovery (MED), um Geräteinformationen über Netzwerkverbindungen zu lernen und zu verteilen. Die Informationen ermöglichen es dem Gerät, eine Vielzahl von Systemen schnell zu identifizieren, was zu einem LAN führt, das reibungslos und effizient zusammenarbeitet.

LLDP-fähige Geräte übertragen Informationen in TLV-Nachrichten (Type Length Value) an Nachbargeräte. Zu den Geräteinformationen können Besonderheiten gehören, wie z. B. die Kennung des Gehäuses und der Anschlüsse sowie der Systemname und die Systemfunktionen. Die TLVs nutzen diese Informationen aus Parametern, die bereits im Junos-Betriebssystem konfiguriert wurden.

LLDP-MED geht noch einen Schritt weiter und tauscht IP-Telefonie-Nachrichten zwischen dem Gerät und dem IP-Telefon aus. Diese TLV-Nachrichten enthalten detaillierte Informationen zur PoE-Richtlinie (Power over Ethernet). Mit den PoE-Management-TLVs können die Geräteports die erforderliche Leistungsstufe und Leistungspriorität ankündigen. So kann das Gerät beispielsweise den Strombedarf eines IP-Telefons, das an einer PoE-Schnittstelle betrieben wird, mit den verfügbaren Ressourcen vergleichen. Wenn das Gerät die vom IP-Telefon benötigten Ressourcen nicht erfüllen kann, kann das Gerät mit dem Telefon verhandeln, bis ein Kompromiss bei der Stromversorgung erreicht wird.

Die folgenden grundlegenden TLVs werden unterstützt:

• Chassis Identifier (Gehäusekennung): Die MAC-Adresse, die dem lokalen System zugeordnet ist.

• Port-Kennung: Die Port-ID für den angegebenen Port im lokalen System.

• Portbeschreibung: Die vom Benutzer konfigurierte Portbeschreibung. Die Portbeschreibung darf maximal 256 Zeichen lang sein.

• Systemname: Der vom Benutzer konfigurierte Name des lokalen Systems. Der Systemname darf maximal 256 Zeichen lang sein.

• Übersicht über die Switching-Funktionen: Diese Informationen können nicht konfiguriert werden, sondern werden aus der Software übernommen.

• Systemfunktionen: Die primäre Funktion, die vom System ausgeführt wird. Die Funktionen, die das System unterstützt; zum Beispiel Ethernet-Switching oder -Router. Diese Informationen sind nicht konfigurierbar, sondern basieren auf dem Modell des Produkts.

• Verwaltungsadresse: Die IP-Verwaltungsadresse des lokalen Systems.

Die folgenden LLDP-MED-TLVs werden unterstützt:

• LLDP-MED-Funktionen: Eine TLV, die die primäre Funktion des Ports ankündigt. Die Werte reichen von 0 bis 15:

  • 0 – Funktionen

  • 1 – Netzwerkrichtlinie

  • 2 – Identifizierung des Standorts

  • 3—Erweiterte Stromversorgung durch mediumabhängige Schnittstellen-Stromversorgungsgeräte (MDI-PSE)

  • 4 – Inventar

  • 5–15 – Reserviert

• LLDP-MED-Geräteklassenwerte:

  • 0 – Klasse nicht definiert

  • 1 – Gerät der Klasse 1

  • 2 – Gerät der Klasse 2

  • 3 – Gerät der Klasse 3

  • 4 – Netzwerkkonnektivitätsgerät

  • 5–255— Reserviert

  HINWEIS:

  Ab Junos OS Version 15.1X49-D60 und Junos OS Version 17.3R1 sind Link Layer Discovery Protocol (LLDP) und LLDP-Media Endpoint Discovery (MFD) auf SRX300-, SRX320-, SRX340-, SRX345-, SRX550M- und SRX1500-Geräten aktiviert.

• Netzwerkrichtlinie - Eine TLV, die die Port-VLAN-Konfiguration und die zugehörigen Layer-2- und Layer-3-Attribute ankündigt. Zu den Attributen gehören die Richtlinienkennung, Anwendungstypen wie Sprach- oder Videostreaming, 802.1Q-VLAN-Tagging sowie 802.1p-Prioritätsbits und Diffserv-Codepunkte.

• Endpunktstandort: Eine TLV, die den physischen Standort des Endpunkts ankündigt.

• Erweiterte Stromversorgung über MDI: Ein TLV, das den Stromtyp, die Stromquelle, die Strompriorität und den Energiewert des Ports ankündigt. Es liegt in der Verantwortung des PSE-Geräts (Network Connectivity Device), die Energiepriorität an einem Port bekannt zu geben.

LLDP und LLDP-MED müssen explizit auf uPIMs (im erweiterten Switching-Modus) auf Basisports auf SRX100-, SRX210-, SRX240-, SRX300-, SRX320-, SRX340- und SRX345-Geräten sowie auf Gigabit-Backplane-GPIMs (Physical Interface Modules) auf SRX650-Geräten konfiguriert werden. (Die Plattformunterstützung hängt von der Junos OS-Version in Ihrer Installation ab.) Um LLDP auf allen Schnittstellen oder auf einer bestimmten Schnittstelle zu konfigurieren, verwenden Sie die lldp Anweisung auf der Hierarchieebene [set protocols]. Um LLDP-MED auf allen Schnittstellen oder auf einer bestimmten Schnittstelle zu konfigurieren, verwenden Sie die lldp-med Anweisung auf der Hierarchieebene [set protocols].

Arten von Switch-Ports

Die Ports oder Schnittstellen eines Switches werden entweder im Zugriffsmodus oder im Trunk-Modus betrieben.

Eine Schnittstelle im Zugriffsmodus stellt eine Verbindung zu einem Netzwerkgerät her, z. B. einem Desktop-Computer, einem IP-Telefon, einem Drucker, einem Dateiserver oder einer Überwachungskamera. Die Schnittstelle selbst gehört zu einem einzelnen VLAN. Bei den Frames, die über eine Zugriffsschnittstelle übertragen werden, handelt es sich um normale Ethernet-Frames.

Trunk-Schnittstellen verarbeiten den Datenverkehr für mehrere VLANs und multiplexen den Datenverkehr für alle diese VLANs über dieselbe physische Verbindung. Trunk-Schnittstellen werden im Allgemeinen verwendet, um Switches miteinander zu verbinden.

uPIM in einer Daisy-Chain

Es ist nicht möglich, mehrere uPIMs zu einem integrierten Switch zu kombinieren. Sie können uPIMs auf demselben Chassis jedoch extern verbinden, indem Sie einen Port auf einem uPIM physisch in einer Reihe mit einem Port auf einem anderen uPIM verbinden.

Zwei oder mehr in Reihe geschaltete uPIMs ergeben einen einzelnen Switch mit einer höheren Portanzahl als die einzelnen uPIMs. Ein Port an jedem uPIM wird ausschließlich für die Verbindung verwendet. Wenn Sie z. B. ein uPIM mit 6 und ein uPIM mit 8 Ports in Reihe schalten, wird das Ergebnis als uPIM mit 12 Ports ausgeführt. Jeder Port eines uPIM kann für Daisy-Chaining verwendet werden.

Konfigurieren Sie die IP-Adresse nur für eines der in Reihe geschalteten uPIMs, sodass es sich um das primäre uPIM handelt. Das sekundäre uPIM leitet den Datenverkehr an das primäre uPIM weiter, das ihn an die Routing-Engine weiterleitet. Dies führt zu einem gewissen Anstieg der Latenz und Paketverlusten aufgrund einer Überbelegung des externen Links.

Es wird nur eine Verknüpfung zwischen den beiden uPIMs unterstützt. Durch die Verbindung von mehr als einer Verbindung zwischen uPIMs wird eine Schleifentopologie erstellt, die nicht unterstützt wird.

Q-in-Q-VLAN-Tagging

Q-in-Q-Tunneling, definiert durch den IEEE 802.1ad-Standard, ermöglicht es Service Providern in Ethernet-Zugangsnetzwerken, eine Layer-2-Ethernet-Verbindung zwischen zwei Kundenstandorten zu erweitern.

Beim Q-in-Q-Tunneling wird dem Paket ein Service Provider-spezifisches 802.1Q-Tag hinzugefügt, wenn es von einem Kunden-VLAN (C-VLAN) zum VLAN eines Service Providers übertragen wird. Dieses zusätzliche Tag wird verwendet, um den Datenverkehr in Service-Provider-definierte Service-VLANs (S-VLANs) zu trennen. Das ursprüngliche 802.1Q-Kunden-Tag des Pakets bleibt erhalten und wird transparent über das Netzwerk des Dienstanbieters übertragen. Wenn das Paket das S-VLAN in Downstream-Richtung verlässt, wird das zusätzliche 802.1Q-Tag entfernt.

Es gibt drei Möglichkeiten, C-VLANs einem S-VLAN zuzuordnen:

• All-in-One-Bündelung: Verwenden Sie die Anweisung auf der Hierarchieebene [edit vlans], um eine dot1q-tunnelingZuordnung ohne Angabe von Kunden-VLANs vorzunehmen. Alle Pakete von einer bestimmten Zugriffsschnittstelle werden dem S-VLAN zugeordnet.

• Many-to-one-Bündelung: Verwenden Sie die customer-vlans Anweisung auf der Hierarchieebene [edit vlans], um anzugeben, welche C-VLANs dem S-VLAN zugeordnet werden.

• Mapping von C-VLAN auf einer bestimmten Schnittstelle: Verwenden Sie die mapping Anweisung auf der Hierarchieebene [edit vlans], um ein bestimmtes C-VLAN auf einer bestimmten Zugriffsschnittstelle dem S-VLAN zuzuordnen.

Tabelle 2 listet die Zuordnung von C-VLAN zu S-VLAN auf, die von Firewallsder SRX-Serie unterstützt wird. (Die Plattformunterstützung hängt von der Junos OS-Version in Ihrer Installation ab.)

IRB-Schnittstellen werden in Q-in-Q-VLANs für SRX210-, SRX240-, SRX340-, SRX345- und SRX650-Geräte unterstützt. Pakete, die über eine IRB-Schnittstelle in einem Q-in-Q-VLAN eingehen, werden unabhängig davon weitergeleitet, ob es sich um ein einfach oder doppelt getaggtes Paket handelt. Die ausgehenden gerouteten Pakete enthalten nur beim Verlassen einer Trunk-Schnittstelle ein S-VLAN-Tag. Die Pakete verlassen die Schnittstelle unmarkiert, wenn sie eine Zugriffsschnittstelle verlassen. (Die Plattformunterstützung hängt von der Junos OS-Version in Ihrer Installation ab.)

In einer Q-in-Q-Bereitstellung werden Kundenpakete von nachgeschalteten Schnittstellen ohne Änderungen an den Quell- und Ziel-MAC-Adressen übertragen. Sie können das Erlernen von MAC-Adressen sowohl auf Schnittstellenebene als auch auf VLAN-Ebene deaktivieren. Durch das Deaktivieren des Lernens von MAC-Adressen auf einer Schnittstelle wird das Lernen für alle VLANs deaktiviert, in denen diese Schnittstelle Mitglied ist. Wenn Sie das Erlernen von MAC-Adressen in einem VLAN deaktivieren, werden bereits gelernte MAC-Adressen geleert.

Auf SRX100-, SRX210-, SRX240-, SRX300-, SRX320-, SRX340-, SRX345- und SRX650-Geräten (mit Plattformunterstützung je nach Junos OS-Version in Ihrer Installation) werden auf dem aggregierten Layer-3-Ethernet die folgenden Funktionen nicht unterstützt:

• Kapselungen (z. B. CCC, VLAN, CCC, VPLS und PPPoE)

• J-Web

• Ab Junos OS Version 19.4R2 können Sie LLDP auf redundanten Ethernet-Schnittstellen (reth) konfigurieren. Verwenden Sie den set protocol lldp interface <reth-interface> Befehl, um LLDP auf der reth-Schnittstelle zu konfigurieren.

• Auf SRX550M Geräten kann die aggregierte Ethernet-Schnittstelle (ae) mit XE-Mitgliedsschnittstelle nicht mit der Ethernet-Switching-Familie konfiguriert werden.

• Auf SRX300-, SRX320-, SRX340-, SRX345- und SRX550M-Geräten gelten für die Q-in-Q-Unterstützung auf einer Layer-3-Schnittstelle die folgenden Einschränkungen:

  • Doppeltes Tagging wird auf reth- und ae-Schnittstellen nicht unterstützt.

  • Multitopologie-Routing wird im Flow-Modus und in Chassis-Clustern nicht unterstützt.

  • Dual-Tagged-Frames werden auf Kapselungen (wie CCC, TCC, VPLS und PPPoE) nicht unterstützt.

  • Auf logischen Layer-3-Schnittstellen input-vlan-mapsind , output-vlan-map, inner-rangeund inner-list nicht anwendbar

  • Es werden nur TPIDs mit 0x8100 unterstützt, und die maximale Anzahl von Tags beträgt 2.

  • Dual-Tagged-Frames werden nur für logische Schnittstellen der IPV4- und IPv6-Familien akzeptiert.

• Auf SRX100-, SRX210-, SRX240-, SRX300-, SRX320-, SRX340-, SRX345- und SRX650-Geräten (mit Plattformunterstützung je nach Junos OS-Version in Ihrer Installation) werden die folgenden Funktionen auf der gerouteten VLAN-Schnittstelle (RVI) nicht unterstützt:

  • IS-IS (ISO-Familie)

  • Verkapselungen (Ether CCC, VLAN CCC, VPLS, PPPoE usw.) auf VLAN-Schnittstellen

  • CLNS

  • DVMRP

  • Änderung der MAC-Adresse der VLAN-Schnittstelle

  • G-ARP

  • VLAN-ID für VLAN-Schnittstelle ändern