Modes de commutation des ports Ethernet sur les équipements de sécurité

Périphériques et ports pris en charge

Juniper Networks prend en charge les fonctions de commutation sur une variété de ports et de périphériques Ethernet (reportez-vous à la section Tableau 1). La prise en charge de la plate-forme dépend de la version de Junos OS dans votre installation. Les ports et périphériques suivants sont inclus :

• Ports Ethernet intégrés (ports Gigabit et Fast Ethernet intégrés) sur les équipements SRX300, SRX320, SRX320 PoE, SRX340, SRX345, SRX550M et SRX1500.

• Multiport Gigabit Ethernet XPIM sur l’équipement SRX650.

Sur le SRX100. SRX220, SRX240, SRX300, SRX320, SRX340 et SRX345, vous pouvez configurer les ports Gigabit Ethernet embarqués pour qu’ils fonctionnent comme des ports commutés ou routés. (La prise en charge de la plate-forme dépend de la version de Junos OS dans votre installation.)

Pontage et routage intégrés

Le pontage et routage intégrés (IRB) permet de prendre en charge simultanément le swiching de couche 2 et le routage de couche 3 au sein du même VLAN. Les paquets arrivant sur une interface du VLAN sont commutés ou acheminés en fonction de l’adresse MAC de destination du paquet. Les paquets avec l’adresse MAC du routeur comme destination sont acheminés vers d’autres interfaces de couche 3.

Protocole de découverte de la couche de liaison et découverte des points de terminaison LLDP-Media

Les équipements utilisent le protocole LLDP (Link Layer Discovery Protocol) et le protocole MED (LLDP-Media Endpoint Discovery) pour apprendre et distribuer des informations sur les liaisons réseau. Ces informations permettent à l’appareil d’identifier rapidement une variété de systèmes, ce qui se traduit par un réseau local qui interagit de manière fluide et efficace.

Les équipements compatibles LLDP transmettent des informations sous forme de messages TLV (Type Length Value) aux équipements voisins. Les informations sur l’appareil peuvent inclure des spécificités, telles que l’identification du châssis et du port, ainsi que le nom du système et les capacités du système. Les TLV exploitent ces informations à partir de paramètres qui ont déjà été configurés dans Junos OS.

LLDP-MED va encore plus loin, en échangeant des messages de téléphonie IP entre l’appareil et le téléphone IP. Ces messages TLV fournissent des informations détaillées sur la stratégie PoE (Power over Ethernet). Les TLV de gestion PoE permettent aux ports de l’équipement d’annoncer le niveau d’alimentation et la priorité d’alimentation nécessaires. Par exemple, l’appareil peut comparer la puissance requise par un téléphone IP fonctionnant sur une interface PoE avec les ressources disponibles. Si l’appareil ne peut pas répondre aux ressources requises par le téléphone IP, l’appareil peut négocier avec le téléphone jusqu’à ce qu’un compromis sur la puissance soit atteint.

Les TLV de base suivants sont pris en charge :

• Chassis Identifier (Identificateur de châssis) : adresse MAC associée au système local.

• Port identifier (identifiant de port) : identifiant de port pour le port spécifié dans le système local.

• Port Description (Description du port) : description du port configuré par l’utilisateur. La description du port ne peut pas dépasser 256 caractères.

• System Name (Nom du système) : nom du système local configuré par l’utilisateur. Le nom du système peut comporter un maximum de 256 caractères.

• Vue d’ensemble des fonctions de commutation : ces informations ne sont pas configurables, mais proviennent du logiciel.

• System Capabilities (Fonctionnalités du système) : fonction principale exécutée par le système. Les fonctionnalités prises en charge par le système ; comme une commutation ou un routeur Ethernet. Ces informations ne sont pas configurables, mais basées sur le modèle du produit.

• Adresse de gestion : adresse IP de gestion du système local.

Les TLV LLDP-MED suivantes sont prises en charge :

• LLDP-MED Capabilities (Capacités LLDP-MED) : TLV qui annonce la fonction principale du port. Les valeurs sont comprises entre 0 et 15 :

  • 0 : capacités

  • 1 – Politique du réseau

  • 2 – Identification de l’emplacement

  • 3—Alimentation étendue grâce à un équipement d’alimentation d’interface dépendant du milieu (MDI-PSE)

  • 4 – Inventaire

  • 5 à 15 : réservé

• Valeurs de classe d’équipement LLDP-MED :

  • 0 : classe non définie

  • 1 : appareil de classe 1

  • 2—Dispositif de classe 2

  • 3 : appareil de classe 3

  • 4—Périphérique de connectivité réseau

  • 5–255— Réservé

  REMARQUE :

  À partir de Junos OS version 15.1X49-D60 et Junos OS version 17.3R1, le protocole LLDP (Link Layer Discovery Protocol) et LLDP-Media Endpoint Discovery (MFD) sont activés sur les équipements SRX300, SRX320, SRX340, SRX345, SRX550M et SRX1500.

• Network Policy (Stratégie réseau) : TLV qui annonce la configuration du VLAN du port et les attributs de couche 2 et de couche 3 associés. Les attributs incluent l’identificateur de stratégie, les types d’application, tels que la voix ou la vidéo en streaming, le balisage VLAN 802.1Q, les bits de priorité 802.1p et les points de code Diffserv.

• Endpoint Location (Emplacement du point de terminaison) : TLV qui annonce l’emplacement physique du point de terminaison.

• Extended Power via MDI : TLV qui annonce le type d’alimentation, la source d’alimentation, la priorité d’alimentation et la valeur d’alimentation du port. Il est de la responsabilité de l’équipement PSE (périphérique de connectivité réseau) d’annoncer la priorité d’alimentation sur un port.

LLDP et LLDP-MED doivent être configurés explicitement sur les uPIM (en mode de commutation amélioré) sur les ports de base des équipements SRX100, SRX210, SRX240, SRX300, SRX320, SRX340 et SRX345, et sur les modules d’interface physique de fond de panier Gigabit (GPIM) sur les équipements SRX650. (La prise en charge de la plate-forme dépend de la version de Junos OS dans votre installation.) Pour configurer LLDP sur toutes les interfaces ou sur une interface spécifique, utilisez l’instruction lldp au niveau de la hiérarchie [set protocols]. Pour configurer LLDP-MED sur toutes les interfaces ou sur une interface spécifique, utilisez l’instruction lldp-med au niveau de la hiérarchie [set protocols].

Types de ports de commutation

Les ports, ou interfaces, d’un commutateur fonctionnent en mode accès ou en mode trunk.

Une interface en mode d’accès se connecte à un périphérique réseau, tel qu’un ordinateur de bureau, un téléphone IP, une imprimante, un serveur de fichiers ou une caméra de sécurité. L’interface elle-même appartient à un seul VLAN. Les trames transmises via une interface d’accès sont des trames Ethernet normales.

Les interfaces trunk gèrent le trafic de plusieurs VLAN, et multiplexent le trafic de tous ces VLAN sur la même connexion physique. Les interfaces trunk sont généralement utilisées pour interconnecter des commutateurs entre eux.

uPIM en guirlande

Vous ne pouvez pas combiner plusieurs uPIM pour agir comme un seul commutateur intégré. Toutefois, vous pouvez connecter des uPIM sur le même châssis en externe en connectant physiquement un port d’un uPIM à un port d’un autre uPIM en guirlande.

Deux uPIM ou plus connectés en série créent un seul commutateur avec un nombre de ports plus élevé que l’un ou l’autre des uPIM individuels. Un port sur chaque uPIM est utilisé uniquement pour la connexion. Par exemple, si vous connectez en série un uPIM à 6 ports et un uPIM à 8 ports, le résultat fonctionne sous la forme d’un uPIM à 12 ports. N’importe quel port d’un uPIM peut être utilisé pour la connexion en série.

Configurez l’adresse IP d’un seul des uPIM connectés en série, afin d’en faire l’uPIM principal. L’uPIM secondaire achemine le trafic vers l’uPIM principal, qui le transmet au moteur de routage. Il en résulte une certaine augmentation de la latence et des pertes de paquets dues à la sursouscription du lien externe.

Un seul lien entre les deux uPIM est pris en charge. La connexion de plusieurs liens entre des uPIM crée une topologie de boucle, qui n’est pas prise en charge.

Marquage VLAN Q-in-Q

La tunnelisation Q-in-Q, définie par la norme IEEE 802.1ad, permet aux fournisseurs de services sur les réseaux d’accès Ethernet d’étendre une connexion Ethernet de couche 2 entre deux sites clients.

Dans la tunnelisation Q-in-Q, lorsqu’un paquet transite d’un VLAN client (C-VLAN) vers le VLAN d’un fournisseur de services, une balise 802.1Q spécifique au fournisseur de services est ajoutée au paquet. Cette balise supplémentaire est utilisée pour séparer le trafic en VLAN de service définis par le fournisseur de services (S-VLAN). La balise 802.1Q d’origine du paquet est conservée et est transmise de manière transparente via le réseau du fournisseur de services. Lorsque le paquet quitte le S-VLAN en aval, la balise 802.1Q supplémentaire est supprimée.

Il existe trois façons de mapper des C-VLAN à un S-VLAN :

• Regroupement tout-en-un : utilisez l’instruction dot1q-tunneling au niveau de la hiérarchie [edit vlans] pour mapper sans spécifier de VLAN client. Tous les paquets provenant d’une interface d’accès spécifique sont mappés au S-VLAN.

• Regroupement plusieurs-à-un : utilisez l’instruction customer-vlans au niveau de la hiérarchie [edit vlans] pour spécifier les C-VLAN qui sont mappés au S-VLAN.

• Mappage C-VLAN sur une interface spécifique : utilisez l’instruction au niveau de la hiérarchie [edit vlans] pour mapper un C-VLAN spécifique sur une interface d’accès mapping spécifiée au S-VLAN.

Tableau 2 répertorie le mappage C-VLAN à S-VLAN pris en charge par les pare-feu SRX Series. (La prise en charge de la plate-forme dépend de la version de Junos OS dans votre installation.)

Les interfaces IRB sont prises en charge sur les VLAN Q-in-Q pour les équipements SRX210, SRX240, SRX340, SRX345 et SRX650. Les paquets arrivant sur une interface IRB sur un VLAN Q-in-Q sont acheminés, qu’il s’agisse d’une simple ou d’une double balise. Les paquets acheminés sortants contiennent une balise S-VLAN uniquement lorsqu’ils quittent une interface trunk ; Les paquets quittent l’interface sans balise lorsqu’ils quittent une interface d’accès. (La prise en charge de la plate-forme dépend de la version de Junos OS dans votre installation.)

Dans un déploiement Q-in-Q, les paquets client provenant des interfaces en aval sont transportés sans aucune modification des adresses MAC source et de destination. Vous pouvez désactiver l’apprentissage de l’adresse MAC au niveau de l’interface et au niveau du VLAN. La désactivation de l’apprentissage par adresse MAC sur une interface désactive l’apprentissage pour tous les VLAN dont cette interface est membre. Lorsque vous désactivez l’apprentissage des adresses MAC sur un VLAN, les adresses MAC qui ont déjà été apprises sont vidées.

Sur les équipements SRX100, SRX210, SRX240, SRX300, SRX320, SRX340, SRX345 et SRX650 (avec une prise en charge de plate-forme en fonction de la version de Junos OS dans votre installation), sur l’Ethernet agrégé de couche 3, les fonctionnalités suivantes ne sont pas prises en charge :

• Encapsulations (telles que CCC, VLAN CCC, VPLS et PPPoE)

• J-Web

• À partir de Junos OS version 19.4R2, vous pouvez configurer le protocole LLDP sur des interfaces Ethernet redondantes (reth). Utilisez la set protocol lldp interface <reth-interface> commande pour configurer LLDP sur l’interface reth.

• Sur SRX550M équipements, l’interface Ethernet agrégée (ae) avec l’interface membre XE ne peut pas être configurée avec la famille de commutation Ethernet.

• Sur les équipements SRX300, SRX320, SRX340, SRX345 et SRX550M, la prise en charge Q-in-Q sur une interface de couche 3 présente les limitations suivantes :

  • Le double marquage n’est pas pris en charge sur les interfaces reth et ae.

  • Le routage multitopologique n’est pas pris en charge en mode flux et dans les clusters de châssis.

  • Les trames à double balise ne sont pas prises en charge sur les encapsulations (telles que CCC, TCC, VPLS et PPPoE)

  • Sur les interfaces logiques de couche 3, , , input-vlan-mapoutput-vlan-mapinner-rangeet inner-list ne s’appliquent pas

  • Seuls les TPID avec 0x8100 sont pris en charge, et le nombre maximal de balises est de 2.

  • Les trames à double balise ne sont acceptées que pour les interfaces logiques des familles IPV4 et IPv6.

• Sur les équipements SRX100, SRX210, SRX240, SRX300, SRX320, SRX340, SRX345 et SRX650 (avec prise en charge de la plate-forme en fonction de la version de Junos OS dans votre installation), sur l’interface VLAN routé (RVI), les fonctionnalités suivantes ne sont pas prises en charge :

  • IS-IS (famille ISO)

  • Encapsulations (Ether CCC, VLAN CCC, VPLS, PPPoE, etc.) sur les interfaces VLAN

  • CLNS (en anglais seulement)

  • DVMRP (en anglais seulement)

  • Changement MAC de l’interface VLAN

  • Le G-ARP

  • Modifier l’ID VLAN pour l’interface VLAN