Konfigurationsoptionen für Switches

Wählen Sie einen Authentifizierungsserver aus, um Benutzernamen und Kennwörter, Zertifikate oder andere von Benutzern bereitgestellte Authentifizierungsfaktoren zu überprüfen.

• Mist Auth: Konfigurieren Sie Juniper Mist Access Assurance, einen Cloud-basierten Authentifizierungsservice, auf Ihrem Switch. Damit diese Option funktioniert, müssen Sie einen Port mit dot1x- oder MAB-Authentifizierung verwenden. Weitere Informationen finden Sie im Juniper Mist Access Assurance-Handbuch.

• RADIUS: Wählen Sie diese Option aus, um einen RADIUS-Authentifizierungsserver und einen Accounting-Server zu konfigurieren, um die dot1x-Portauthentifizierung auf Switch-Ebene zu aktivieren. Damit die dot1x-Portauthentifizierung funktioniert, müssen Sie auch ein Portprofil erstellen, das die dot1x-Authentifizierung verwendet, und Sie müssen dieses Profil einem Port auf dem Switch zuweisen.

  Die Standardportnummern sind:

  • Port 1812 für den Authentifizierungsserver

  • Port 1813 für den Buchhaltungsserver

set system authentication-order radius
set system radius-server radius-server-IP port 1812
set system radius-server radius-server-IP secret secret-code
set system radius-server radius-server-IP source-address radius-Source-IP
set system login user remote class class

set system login user RO class read-only
set system login user OP class operator
set system login user SU class super-user
set system login user remote full-name "default remote access user template"
set system login user remote class read-only

Um die TACACS+-Authentifizierung auf dem Gerät verwenden zu können, müssen Sie Informationen zu einem oder mehreren TACACS+-Servern im Netzwerk konfigurieren. Sie können auch die TACACS+-Abrechnung auf dem Gerät konfigurieren, um statistische Daten über die Benutzer zu sammeln, die sich bei einem LAN an- oder anmelden, und die Daten an einen TACACS+-Abrechnungsserver zu senden.

Darüber hinaus können Sie eine Benutzerrolle für TACACS+-authentifizierte Benutzer in der Switch-Konfiguration angeben. Die folgenden Benutzerrollen sind verfügbar: Keine, Admin, Lesen, Helpdesk. Wenn für die TACACs+-authentifizierten Benutzer kein Benutzerkonto auf dem lokalen Gerät konfiguriert ist, weist Junos ihnen standardmäßig ein Benutzerkonto mit dem Namen "remote" zu.

Der für TACACS+- und Buchhaltungsserver unterstützte Portbereich liegt zwischen 1 und 65535.

Konfigurieren Sie die DNS-Einstellungen (Domain Name Server). Sie können bis zu drei DNS-IP-Adressen und -Suffixe im kommagetrennten Format konfigurieren.

Konfigurieren Sie Simple Network Management Protocol (SNMP) auf dem Switch, um die Netzwerkverwaltung und -überwachung zu unterstützen. Sie können SNMPv2 oder SNMPv3 konfigurieren. Hier sind die SNMP-Optionen, die Sie konfigurieren können:

• Optionen unter SNMPv2 (V2)

  • Allgemein: Geben Sie den Namen, den Standort, die administrativen Kontaktinformationen und eine kurze Beschreibung des verwalteten Systems an. Wenn Sie SNMPv2 verwenden, haben Sie die Möglichkeit, die Quelladresse für SNMP-Trap-Pakete anzugeben, die vom Gerät gesendet werden. Wenn Sie keine Quelladresse angeben, wird standardmäßig die Adresse der ausgehenden Schnittstelle verwendet.

  • Client: Definieren Sie eine Liste von SNMP-Clients. Sie können mehrere Kundenlisten hinzufügen. Diese Konfiguration enthält einen Namen für die Clientliste und IP-Adressen der Clients (im kommagetrennten Format). Jede Client-Liste kann mehrere Clients haben. Ein Client ist ein Präfix mit der Maske /32.

  • Trap-Gruppe: Erstellt eine benannte Gruppe von Hosts, die die angegebenen Trap-Benachrichtigungen erhalten sollen. Mindestens eine Trap-Gruppe muss konfiguriert sein, damit SNMP-Traps gesendet werden können. Die Konfiguration umfasst die folgenden Felder:

    • Gruppenname: Geben Sie einen Namen für die Trap-Gruppe an.

    • Kategorien: Wählen Sie aus der folgenden Liste von Kategorien aus. Sie können mehrere Werte auswählen.

      • Authentifizierung

      • Fahrgestell

      • Konfiguration

      • verbinden

      • Remote-Betrieb

      • Routing

      • Dienste

      • Start

      • vrrp-Ereignisse

    • Ziele: Geben Sie die Ziel-IP-Adressen an. Sie können mehrere Ziele angeben.

    • Version: Geben Sie die Versionsnummer der SNMP-Traps an.

  • Community: Definieren Sie eine SNMP-Community. Eine SNMP-Community wird verwendet, um SNMP-Clients anhand ihrer Quell-IP-Adresse zu autorisieren. Außerdem werden der Zugriff und die Berechtigungen (schreibgeschützt oder Lese-/Schreibzugriff) für bestimmte MIB-Objekte bestimmt, die in einer Ansicht definiert sind. Sie können eine Client-Liste, Autorisierungsinformationen und eine Ansicht in die Community-Konfiguration aufnehmen.

  • Ansicht (gilt sowohl für SNMPv2 als auch für SNMPv3) – Definieren Sie eine MIB-Ansicht, um eine Gruppe von MIB-Objekten zu identifizieren. Jedes Objekt in der Ansicht hat ein gemeinsames OID-Präfix (Common Object Identifier). MIB-Ansichten ermöglichen es einem Agenten, mehr Kontrolle über den Zugriff auf bestimmte Zweige und Objekte innerhalb seiner MIB-Struktur zu haben. Eine Ansicht besteht aus einem Namen und einer Sammlung von SNMP-OIDs, die explizit ein- oder ausgeschlossen werden können.

• Optionen unter SNMPv3 (V3)

  • Allgemein: Geben Sie den Namen, den Standort, die administrativen Kontaktinformationen und eine kurze Beschreibung des verwalteten Systems an. Konfigurieren Sie bei Verwendung von SNMPv2 eine Modul-ID, die als eindeutiger Bezeichner für SNMPv3-Entitäten dient.

  • USM: Konfigurieren Sie die Einstellungen für das benutzerbasierte Sicherheitsmodell (USM). Diese Konfiguration umfasst einen Benutzernamen, einen Authentifizierungstyp und einen Verschlüsselungstyp. Sie können ein lokales Modul oder ein Remotemodul für USM konfigurieren. Wenn Sie ein Remotemodul auswählen, geben Sie eine Modulkennung im Hexadezimalformat an. Diese ID wird verwendet, um den Security Digest für die Authentifizierung und Verschlüsselung von Paketen zu berechnen, die an einen Benutzer auf dem Remote-Host gesendet werden. Wenn Sie die Option Lokales Modul angeben, wird die auf der Registerkarte Allgemein angegebene Modul-ID berücksichtigt. Wenn keine Modul-ID angegeben ist, wird die lokale mist als Standardwert konfiguriert.

  • VACM: Definieren Sie ein ansichtsbasiertes Zugriffssteuerungsmodell (VACM). Mit einem VACM können Sie Zugriffsrechte für eine Gruppe festlegen. Sie können den Zugriff steuern, indem Sie die MIB-Objekte, die für Lese-, Schreib- und Benachrichtigungsvorgänge verfügbar sind, mithilfe einer vordefinierten Ansicht filtern (Sie müssen die erforderlichen Ansichten zuerst auf der Registerkarte Ansichten definieren). Jede Ansicht kann einem bestimmten Sicherheitsmodell (v1, v2c oder usm) und einer bestimmten Sicherheitsstufe (authentifiziert, Datenschutz oder keine) zugeordnet werden. Sie können auch Sicherheitseinstellungen (Sie haben hier die Möglichkeit, bereits definierte USM-Einstellungen zu verwenden) über die Einstellungen Sicherheit zu Gruppe auf die Zugriffsgruppe anwenden.

  • Benachrichtigen – Wählen Sie SNMPv3-Managementziele für Benachrichtigungen aus und geben Sie den Benachrichtigungstyp an. Um dies zu konfigurieren, weisen Sie der Benachrichtigung einen Namen zu, wählen Sie die Ziele oder Tags aus, die die Benachrichtigungen erhalten sollen, und geben Sie an, ob es sich um eine Trap-Benachrichtigung (unbestätigt) oder eine Inform-Benachrichtigung (bestätigt) handeln soll.

  • Ziel: Konfigurieren Sie die Nachrichtenverarbeitungs- und Sicherheitsparameter für das Senden von Benachrichtigungen an ein bestimmtes Verwaltungsziel. Hier können Sie auch die Ziel-IP-Adresse angeben.

  • Ansicht (gilt sowohl für SNMPv2 als auch für SNMPv3) – Definieren Sie eine MIB-Ansicht, um eine Gruppe von MIB-Objekten zu identifizieren. Jedes Objekt in der Ansicht hat ein gemeinsames OID-Präfix (Common Object Identifier). MIB-Ansichten ermöglichen es einem Agenten, mehr Kontrolle über den Zugriff auf bestimmte Zweige und Objekte innerhalb seiner MIB-Struktur zu haben. Eine Ansicht besteht aus einem Namen und einer Sammlung von SNMP-OIDs, die explizit ein- oder ausgeschlossen werden können.

Weitere Informationen finden Sie unter Konfigurieren von SNMP auf Switches.

Konfigurieren Sie statische Routen. Der Switch verwendet statische Routen in folgenden Fällen:

• Es gibt keine Route mit einem besseren (niedrigeren) Präferenzwert.

• Die Route zu einem Ziel kann nicht bestimmt werden.

• Er muss Pakete weiterleiten, die nicht weitergeleitet werden können.

Mist unterstützt IPv4- und IPv6-Adressen für statische Routen. Die IPv6-Unterstützung ist für Ziel- und Next-Hop-Adressen verfügbar.

Unterstützte statische Routentypen:

• Subnetz: Wenn Sie diese Option auswählen, geben Sie die IP-Adressen für das Zielnetzwerk und den nächsten Hop an.

• Netzwerk: Wenn Sie diese Option auswählen, geben Sie ein VLAN (mit einer VLAN-ID und einem Subnetz) und die IP-Adresse des nächsten Hops an.

• Metrik: Der Metrikwert für die statische Route. Dieser Wert hilft dabei, die beste Route unter mehreren Routen zu einem Ziel zu ermitteln. Bereich: 0 bis 4294967295.

• Präferenz: Der Voreinstellungswert wird verwendet, um Routen zu Zielen in externen autonomen Systemen (ASs) oder Routing-Domänen auszuwählen. Routen innerhalb eines AS werden vom IGP ausgewählt und basieren auf der Metrik oder dem Kostenwert dieses Protokolls. Bereich: 0 bis 4294967295.

• Verwerfen: Wenn Sie dieses Kontrollkästchen aktivieren, werden an dieses Ziel adressierte Pakete verworfen. Verwerfen hat Vorrang vor anderen Parametern.

Nachdem Sie die Details angegeben haben, klicken Sie auf das Häkchen (✓) oben rechts im Fenster Statische Route hinzufügen , um die Konfiguration zur Vorlage hinzuzufügen.

Um zusätzliche Einstellungen zu konfigurieren, die nicht in der GUI der Vorlage verfügbar sind, können Sie set CLI-Befehle verwenden.

Sie können beispielsweise eine benutzerdefinierte Anmeldenachricht einrichten, um Benutzern eine Warnung anzuzeigen, die sie davon abhält, CLI-Änderungen direkt am Switch vorzunehmen. Hier ist ein Beispiel, wie Sie das machen können:

set system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

Um einen bereits hinzugefügten CLI-Befehl zu löschen, verwenden Sie den delete Befehl, wie im folgenden Beispiel gezeigt:

delete system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

• Definieren Sie einen OSPF-Bereich (Open Shortest Path First). OSPF ist ein Link-State-Routing-Protokoll, mit dem der beste Pfad für die Weiterleitung von IP-Paketen innerhalb eines IP-Netzwerks bestimmt wird. OSPF unterteilt ein Netzwerk in Bereiche, um die Skalierbarkeit zu verbessern und den Fluss von Routing-Informationen zu steuern. Weitere Informationen zu OSPF-Bereichen finden Sie in dieser Junos-Dokumentation: Konfigurieren von OSPF-Bereichen.

• Aktivieren oder deaktivieren Sie die OSPF-Konfiguration auf dem Switch.

Juniper Switches der EX- und QFX-Serie bieten hervorragende Portsicherheit, einschließlich DHCP-Snooping, ARP-Prüfung (Address Resolution Protocol) und IP-Quellschutz. Sie können diese Optionen für alle oder ausgewählte VLANs auf dem Switch über das Mist-Portal aktivieren. DHCP-Snooping muss aktiviert sein, damit DHCP-Probleme in die SLE-Metrik "Successful Connect SLE " aufgenommen werden.

DHCP-Snooping überwacht DHCP-Nachrichten von nicht vertrauenswürdigen Geräten, die mit dem Switch verbunden sind. Wenn diese Option aktiviert ist, extrahiert DHCP-Snooping die IP-Adresse und die Lease-Informationen aus den DHCP-Paketen und speichert sie in einer Snooping-Datenbank. Die Portsicherheit auf den EX-Switches verwendet diese Informationen, um DHCP-Anforderungen zu überprüfen und DHCPOFFERs zu blockieren, die auf nicht vertrauenswürdigen Ports empfangen werden (DHCP DISCOVER und DHCP REQUEST sind nicht betroffen).

• IP Source Guard funktioniert nur mit dem 802.1X-Benutzerauthentifizierungsmodus mit einem Supplicant. Er verwendet die DHCP-Datenbank, um Quell-IP-Adressen und MAC-Adressen zu überprüfen, die an einem nicht vertrauenswürdigen Port empfangen werden, und löscht die Pakete, für die keine übereinstimmenden Einträge in der Datenbank vorhanden sind.

• Die ARP-Prüfung untersucht die Quell-MAC-Adresse in ARP-Paketen, die über nicht vertrauenswürdige Ports empfangen werden. Die Adresse wird anhand der DHCP-Snooping-Datenbank validiert, und wenn die MAC-Adresse nicht gefunden werden kann, wird das Paket verworfen. Sie können die CLI verwenden, um ARP-Statistiken zu überprüfen, z. B. die Anzahl der ungültigen ARP-Pakete, die auf jeder Schnittstelle empfangen werden, und die IP- und MAC-Adressen des Absenders, indem Sie die folgenden Befehle in die CLI-Shell eingeben: show dhcp-security arp inspection statisticsund show log messages | match DAI

Standardmäßig betrachtet das DHCP-Protokoll alle Trunk-Ports als vertrauenswürdig und alle Zugriffsports als nicht vertrauenswürdig. Es wird empfohlen, einen DHCP-Server nur über einen Trunk-Port mit dem Switch zu verbinden oder, falls Sie einen Zugriffsport verwenden müssen, diesen Port im Portprofil explizit als vertrauenswürdig zu konfigurieren, da DHCP sonst nicht funktioniert.

Beachten Sie, dass, wenn Sie ein Gerät, das mit einer statischen IP-Adresse konfiguriert ist, mit einem nicht vertrauenswürdigen Port auf dem Switch verbinden, die MAC-IP-Bindung in der DHCP-Snooping-Datenbank möglicherweise nicht vorhanden ist. Die Pakete werden verworfen. Sie können diesen Befehl show dhcp-security binding in einer CLI-Shell verwenden, um DHCP-Probleme zu beheben und zu sehen, welche Bindungen in der DHCP-Snooping-Datenbank für den Switch aufgeführt sind.

Konfigurieren Sie die SYSLOG-Einstellungen, um festzulegen, wie Systemprotokollmeldungen behandelt werden. Sie können die Einstellungen so konfigurieren, dass die Systemprotokollmeldungen an Dateien, Remote-Ziele, Benutzer-Terminals oder an die Systemkonsole gesendet werden.

Hilfe zu den Konfigurationsoptionen finden Sie unter Konfigurieren des Systemprotokolls.

PORT-SPIEGELUNG

Konfigurieren Sie die Portspiegelung.

Portspiegelung ist die Fähigkeit eines Routers, eine Kopie eines Pakets zur Analyse an eine externe Hostadresse oder einen Sniffer zu senden. In der Portspiegelungskonfiguration können Sie Folgendes angeben:

• Eingabe: Die Quelle (eine Schnittstelle oder ein Netzwerk) des zu überwachenden Datenverkehrs. Zusammen mit der Eingabe können Sie angeben, ob Mist den eingehenden Datenverkehr oder den ausgehenden Datenverkehr für eine Schnittstelle überwachen soll. Wenn sowohl eingehender als auch ausgehender Datenverkehr überwacht werden sollen, fügen Sie zwei Eingabeeinträge für dieselbe Schnittstelle hinzu – einen mit dem Eingangs-Flag und den anderen mit dem Ausgangs-Flag.

• Ausgabe: Die Zielschnittstelle, auf die Sie den Datenverkehr spiegeln möchten. Sie können nicht gleichzeitig die gleiche Schnittstelle oder das gleiche Netzwerk in den Eingabe- und Ausgabefeldern angeben.

Routing-Richtlinie

Konfigurieren Sie Routing-Richtlinien für die gesamte Organisation (Organization > Switch Templates) oder für einen Standort (Site > Switch Configuration). Diese Routing-Richtlinien werden nur dann an die Switch-Konfiguration übertragen, wenn diese an das BGP-Routing-Protokoll gebunden ist. Die Routing-Richtlinien, die bereits auf der Registerkarte BGP eines Switches definiert sind, werden jetzt auf der Registerkarte Routing-Richtlinie angezeigt. Die Routing-Richtlinien sind an Protokolle wie BGP oder OSPF gebunden. Ein Framework für Routing-Richtlinien besteht aus Standardregeln für jedes Routing-Protokoll. Diese Regeln bestimmen, welche Routen das Protokoll in der Routing-Tabelle platziert und von der Routing-Tabelle ankündigt. Die Konfiguration einer Routing-Richtlinie umfasst die Definition von Begriffen, die aus Übereinstimmungsbedingungen und Aktionen bestehen, die auf übereinstimmende Routen angewendet werden sollen.

So konfigurieren Sie eine Routing-Richtlinie:

1. Klicken Sie auf der Kachel Routing-Richtlinie auf Routing-Richtlinie hinzufügen .

2. Geben Sie der Richtlinie einen Namen an, und klicken Sie dann auf Bedingungen hinzufügen.

3. Geben Sie dem Begriff einen Namen und andere Übereinstimmungsdetails an, z. B.:

   • Präfix

   • AS-Pfad

   • Protokoll

   • Community: Ein Routenattribut, das von BGP verwendet wird, um Routen mit ähnlichen Eigenschaften administrativ zu gruppieren.

   • Then: Dann: Die Aktion "Annehmen" oder "Ablehnen" wird auf die entsprechenden Routen angewendet.

   • Aktion hinzufügen: Zusätzliche Aktionen wie AS-Pfad voranstellen, Community festlegen und lokale Präferenz festlegen.

4. Klicken Sie auf das Häkchen (✓) rechts neben dem Titel Begriff hinzufügen, um den Begriff zu speichern. Sie können mehrere Begriffe hinzufügen.

5. Klicken Sie auf Hinzufügen , um die Routing-Richtlinie zu speichern.

Aktivieren Sie Switches mit Unterstützung für DHCP Option 81. Wenn diese Option auf einem Switch aktiviert ist, können die mit diesem Switch verbundenen Clients ihren vollqualifizierten Domänennamen (FQDN) an den DHCP-Server senden und dabei eine IP-Adresse anfordern. Auf diese Weise kann der DHCP-Server DNS-Einträge entsprechend aktualisieren.

Sie können die DHCP-Option 81 auch auf Standortebene (Standort - > Switch-Konfiguration) und Geräteebene (Switches > Switch-Name) aktivieren.

Mit VRF können Sie einen Switch der EX-Serie in mehrere virtuelle Routing-Instanzen unterteilen, um den Datenverkehr innerhalb des Netzwerks effektiv zu isolieren. Sie können einen Namen für das VRF definieren, die damit verknüpften Netzwerke angeben und alle zusätzlich benötigten Routen einschließen. Sie können IPv4- oder IPv6-Adressen für die zusätzliche Route angeben.

Grundeinstellungen zum Identifizieren und Aktivieren des Ports.

• Trunk: Trunk-Schnittstellen stellen in der Regel Verbindungen zu anderen Switches, APs und Routern im LAN her. In diesem Modus kann sich die Schnittstelle in mehreren VLANs befinden und Datenverkehr zwischen verschiedenen VLANs multiplexen. Geben Sie das Portnetzwerk, das VoIP-Netzwerk (falls zutreffend) und die Trunk-Netzwerke an.

• Zugriff: Standardmodus. Zugriffsschnittstellen stellen in der Regel eine Verbindung zu Netzwerkgeräten wie PCs, Druckern, IP-Telefonen und IP-Kameras her. In diesem Modus kann sich die Schnittstelle nur in einem einzelnen VLAN befinden. Geben Sie das Portnetzwerk und das VoIP-Netzwerk an (falls zutreffend).

• Portnetzwerk und VoIP-Netzwerk: Wählen Sie die VLANs für diesen Port aus.

Wählen Sie diese Option aus, um die IEEE 802.1X-Authentifizierung für die portbasierte Netzwerkzugriffssteuerung zu aktivieren. Die 802.1X-Authentifizierung wird für Schnittstellen unterstützt, die Mitglieder privater VLANs (PVLANs) sind.

Die folgenden Optionen sind verfügbar, wenn Sie die dot1x-Authentifizierung für einen Port aktivieren:

• Mehrere Supplicants zulassen: Wählen Sie diese Option aus, damit mehrere Endgeräte eine Verbindung zum Port herstellen können. Jedes Gerät wird einzeln authentifiziert.

• Dynamisches VLAN: Geben Sie dynamische VLANs an, die vom RADIUS-Serverattribut "tunnel-private-group-ID" oder "Egress-VLAN-Name" zurückgegeben werden. Diese Konfiguration ermöglicht es einem Port, eine dynamische VLAN-Zuweisung durchzuführen.

• MAC-Authentifizierung: Wählen Sie diese Option aus, um die MAC-Authentifizierung für den Port zu aktivieren. Wenn diese Option ausgewählt ist, können Sie auch ein Authentifizierungsprotokoll angeben. Wenn Sie ein Protokoll angeben, muss es von Supplicants verwendet werden, um Authentifizierungsinformationen bereitzustellen.

• Gastnetzwerk verwenden: Wählen Sie diese Option aus, um ein Gastnetzwerk für die Authentifizierung zu verwenden. Wählen Sie dann ein Gastnetzwerk aus der Dropdown-Liste aus.

• Authentifizierung umgehen, wenn der Server ausgefallen ist: Wenn Sie diese Option auswählen, können Clients dem Netzwerk ohne Authentifizierung beitreten, wenn der Server ausgefallen ist.

• Intervall für erneute Authentifizierung: In einem Switch-Portprofil, das die dot1x-Authentifizierung verwendet, können Sie einen Timer konfigurieren, der steuert, wie oft sich ein Client beim RADIUS-Server erneut authentifiziert. Der empfohlene Wert liegt zwischen 6 und 12 Stunden (21600 bis 43200 Sekunden). Der Standardwert ist 65000 Sekunden.

Sie müssen auch die folgenden Schritte ausführen, damit die dot1x-Authentifizierung funktioniert:

• Konfigurieren Sie einen RADIUS-Server für die dot1x-Authentifizierung über die Kachel Authentifizierungsserver im Abschnitt Konfiguration aller Switches der Vorlage.

• Weisen Sie einem Switch-Port ein dot1x-Portprofil zu, damit die RADIUS-Konfiguration an den Switch übertragen werden kann. Sie können dies über die Registerkarte "Port Config" im Abschnitt "Select Switches Configuration" der Vorlage tun.

  Bewegen Sie den Mauszeiger über den Port, um das Feld "RADIUS-zugewiesenes VLAN" anzuzeigen. Ports mit aktiviertem dot1x wird vom RADIUS-Server ein neues VLAN zugewiesen, wenn die 802.1x-Authentifizierung erfolgreich ist. Diese Ansicht ist besonders nützlich, wenn Sie überprüfen möchten, ob sich ein bestimmtes VLAN an einem Port nach der dot1x-Authentifizierung geändert hat.

  Abbildung 1: VLAN mit Radiuszuweisung an einem Dot1x-Port

Geschwindigkeit

Behalten Sie die Standardeinstellung "Auto" bei, oder wählen Sie eine Geschwindigkeit aus

Doppelhaus

Behalten Sie die Standardeinstellung "Auto" bei, oder wählen Sie "Halb" oder "Ganz" aus.

Der Standardwert: 0

Unterstützter Bereich: 0 bis 16383

Aktivieren Sie den Port für die Unterstützung von Power over Ethernet (PoE).

Konfigurieren Sie einen Switch mit VLAN Spanning Tree Protocol (VSTP) oder Spanning Tree pro VLAN. VSTP hilft dabei, Schleifen in Layer-2-Netzwerken auf VLAN-Basis zu vermeiden. Ein Spanning Tree pro VLAN ermöglicht ein fein abgestuftes Load Balancing. Mist empfiehlt, diese Funktion für Geräte anderer Anbieter (z. B. Cisco) zu aktivieren, die standardmäßig mit einem Spanning Tree pro VLAN arbeiten.

Diese Einstellung ist auch auf Standort- und Switch-Ebene verfügbar.

Konfigurieren Sie den Port als STP-Edge-Port (Spanning Tree Protocol), wenn Sie den BPDU-Schutz (Bridge Protocol Data Unit) auf einem Port aktivieren möchten. STP-Edge ist auf Ports aktiviert, mit denen Clients verbunden sind, die nicht am STP teilnehmen. Diese Einstellung stellt sicher, dass der Port als Edge-Port behandelt wird und schützt vor dem Empfang von BPDUs. Wenn Sie ein Nicht-Edge-Gerät an einen Port anschließen, der mit STP-Edge konfiguriert ist, wird der Port deaktiviert. Darüber hinaus wird auf der Seite "Switch Insights" das Ereignis "Port BPDU blockiert" generiert. Auf der Vorderseite der Switch-Details wird auch ein BPDU-Fehler für diesen Port angezeigt.

Sie können den Port von dem BPDU-Fehler befreien, indem Sie den Port auf der Vorderseite auswählen und dann auf BPDU-Fehler löschen klicken.

Sie sollten STP-Edge nicht am Uplink-Port aktivieren.

Sie können STP-Edge auch auf Switch-Ebene im Abschnitt "Portprofil" auf der Detailseite des Switches konfigurieren.

STP Punkt-zu-Punkt-Analyse

Mit dieser Konfiguration wird der Schnittstellenmodus in Punkt-zu-Punkt-Modus geändert. Punkt-zu-Punkt-Verbindungen sind dedizierte Verbindungen zwischen zwei Netzwerkknoten oder Switches, die einen Port mit einem anderen verbinden.

STP Kein Root-Port

Diese Konfiguration verhindert, dass die Schnittstelle zu einem Root-Port wird.

Aktivieren Sie Quality of Service (QoS) für den Port, um latenzempfindlichen Datenverkehr, wie z. B. Sprach, gegenüber anderem Datenverkehr auf einem Port zu priorisieren.

Sie haben die Möglichkeit, die QoS-Konfiguration auf der Seite "WLAN-Einstellungen" (Standort > WLANs > WLAN-Name) zu überschreiben. Um die QoS-Konfiguration außer Kraft zu setzen, aktivieren Sie das Kontrollkästchen QoS überschreiben und wählen Sie eine Wireless-Zugriffsklasse aus. Der Downstream-Datenverkehr (AP > Client) wird mit dem angegebenen Wert für die Überschreibungszugriffsklasse markiert. Die Überschreibungskonfiguration unterstützt keinen Upstream-Datenverkehr (Client > AP).

Siehe auch: QoS-Konfiguration.

Weitere Informationen finden Sie unter Grundlegendes zur Sturmsteuerung.

Aktivieren Sie Persistente (sticky) MAC-Adressen , um MAC-Adressen für vertrauenswürdige Workstations und Server, die von der Schnittstelle gelernt wurden, auch nach einem Neustart des Geräts beizubehalten. Sie können Sticky MAC für statische kabelgebundene Clients konfigurieren. Sticky MAC ist nicht für die Verwendung auf Juniper Mist AP-Schnittstellen vorgesehen und wird auch nicht für Trunk-Ports oder solche mit 802.1X-Authentifizierung unterstützt.

In Verbindung mit MAC-Limits (siehe oben) schützt Sticky MAC vor Layer 2-Denial-of-Service-Angriffen (DoS), Überlaufangriffen auf die Ethernet-Switching-Tabelle und DHCP-Hungerattacken. Gleichzeitig kann die Schnittstelle MAC-Adressen dynamisch lernen. Im Mist Portal werden diese Ereignisse auf der Seite "Einblicke" als MAC Limit Exceeded gemeldet.

Sie konfigurieren sowohl Sticky MAC als auch MAC-Limits als Teil des Portprofils für den Switch. Die allgemeine Vorgehensweise wird in diesem Video demonstriert:

Sie müssen die Option "Persistent (Sticky) MAC Learning " am unteren Rand des Konfigurationsblocks "Port Profile" explizit aktivieren, um "Sticky MAC" als Teil des Portprofils einzuschließen, das Sie der Schnittstelle zuordnen. Für MAC-Grenzwerte ist der Standardwert 0 (unbegrenzt, d. h. deaktiviert), aber Sie können ihn aktivieren, indem Sie einen Wert von bis zu 16383 zulässigen eindeutigen MAC-Adressen festlegen.

Um im Mist Portal zu sehen, welcher Wert für das MAC-Limit oder die MAC-Anzahl festgelegt wurde, wählen Sie auf der Seite Switches einen Switch aus und bewegen Sie den Mauszeiger über einen Switch-Port. Sie können sehen, welches (Port-)Profil auf die Schnittstelle angewendet wird, und somit den Sticky MAC-Status kennen.

Abbildung 2: Portdetails mit Sticky MAC

Das konfigurierte MAC-Limit und die Anzahl der erlernten MACs werden nach einigen Minuten angezeigt, während das dynamische Lernen auf der Schnittstelle fortschreitet. Im Mist Dashboard wird nur die maximale Anzahl MAC-Adresse angezeigt. Sie können jedoch jede MAC-Adresse anzeigen, die eine bestimmte Schnittstelle gelernt hat, indem Sie eine Remote-Shell für den Switch öffnen und die folgenden Junos CLI-Befehle ausführen:

show ethernet-switching table persistent-learning
show ethernet-switching table persistent-learning interface

Die MAC-Anzahl ist ein persistenter Wert, der so lange bestehen bleibt, bis die MAC-Adresse gelöscht wird (oder bis sie im Portprofil deaktiviert wird und diese Konfiguration dann an den Switch übertragen wird).

Um die MAC-Adressen einer bestimmten Schnittstelle über das Mist-Dashboard zu löschen, müssen Sie als Netzwerkadministrator oder Superuser angemeldet sein. Wählen Sie dann einfach den gewünschten Port auf der Vorderseite des Switches aus (wie in Abbildung 1 dargestellt) und klicken Sie auf die angezeigte Schaltfläche MAC löschen [Dynamisch/Persistent].

Auf der Seite "Switch Insights" wird das Ereignis als MAC Limit Reset Ereignis angezeigt.

Weitere Informationen zur Vorderseite finden Sie unter Switch-Details.

Aktivieren Sie diese Option, wenn diese Regel für alle Switches desselben Modells gelten soll. Wählen Sie dann das Modell aus.

Geben Sie die Subnetz- oder Standortvariable ein.

Geben Sie einen Wert oder ein GBP-Quell-Tag für vom Host stammende Pakete ein (Bereich: 1 bis 65535).

Klicken Sie auf + , und fügen Sie die Ressourcen hinzu, die Sie den ausgewählten Benutzern oder Gruppen zuordnen müssen. Sie können auch hier die GBT-Tags verwenden, wenn Sie diese bereits definiert haben.

Standardmäßig erhalten Benutzer Zugriff auf die hinzugefügten Ressourcen. Wenn Sie dem Benutzer den Zugriff auf bestimmte Ressourcen verweigern möchten, klicken Sie auf die Ressourcenbezeichnung, die Sie hinzugefügt haben, und legen Sie den Zugriff auf Verweigern fest.