Mise en réseau de couche 2

Une trame est une unité de données de protocole, la plus petite unité de bits sur un réseau de couche 2. Les trames sont transmises vers et reçues par des appareils sur le même réseau local (LAN). Contrairement aux bits, les trames ont une structure définie et peuvent être utilisées pour la détection d’erreurs, les activités du plan de contrôle, etc. Toutes les trames ne contiennent pas de données utilisateur. Le réseau utilise des trames pour contrôler la liaison de données elle-même.

Au niveau de la couche 2, l’unicast fait référence à l’envoi de trames d’un nœud à un seul autre nœud, tandis que le multicast désigne l’envoi de trafic d’un nœud à plusieurs nœuds, et la diffusion fait référence à la transmission de trames à tous les nœuds d’un réseau. Un domaine de diffusion est une division logique d’un réseau dans laquelle tous les nœuds de ce réseau peuvent être atteints au niveau de la couche 2 par une diffusion.

Les segments d’un LAN peuvent être reliés au niveau de la trame à l’aide de ponts. Le pontage crée des domaines de diffusion distincts sur le LAN, créant des VLAN, qui sont des réseaux logiques indépendants qui regroupent les périphériques associés en segments de réseau distincts. Le regroupement des périphériques sur un VLAN est indépendant de leur emplacement physique dans le LAN. Sans pontage ni VLAN, tous les appareils du réseau Ethernet LAN se trouvent dans un seul domaine de diffusion, et tous les appareils détectent tous les paquets sur le LAN.

Le transfert est le relais de paquets d’un segment de réseau à un autre par les nœuds du réseau. Sur un VLAN, une trame dont l’origine et la destination se trouvent dans le même VLAN est transférée uniquement dans le VLAN local. Un segment de réseau est une partie d’un réseau informatique dans laquelle chaque appareil communique en utilisant la même couche physique.

La couche 2 contient deux sous-couches :

• Sous-couche LLC (Logical Link Control), responsable de la gestion des liaisons de communication et du trafic trame.

• Sous-couche MAC (Media Access Control), qui régit l’accès des protocoles au support réseau physique. En utilisant les adresses MAC attribuées à tous les ports d’un commutateur, plusieurs équipements sur la même liaison physique peuvent s’identifier de manière unique.

  Les ports, ou interfaces, d’un commutateur fonctionnent en mode accès, accès balisé ou mode mode trunk :

  • Les ports du mode d’accès se connectent à un périphérique réseau tel qu’un ordinateur de bureau, un téléphone IP, une imprimante, un serveur de fichiers ou une caméra de surveillance. Le port lui-même appartient à un seul VLAN. Les trames transmises sur une interface d’accès sont des trames Ethernet normales. Par défaut, tous les ports d’un commutateur sont en mode accès.

  • Les ports en mode d’accès balisé se connectent à un périphérique réseau tel qu’un ordinateur de bureau, un téléphone IP, une imprimante, un serveur de fichiers ou une caméra de sécurité. Le port lui-même appartient à un seul VLAN. Les trames transmises sur une interface d’accès sont des trames Ethernet normales. Par défaut, tous les ports d’un commutateur sont en mode accès. Le mode d’accès balisé est adapté au cloud computing, en particulier aux scénarios incluant des machines virtuelles ou des ordinateurs virtuels. Étant donné que plusieurs ordinateurs virtuels peuvent être inclus sur un serveur physique, les paquets générés par un serveur peuvent contenir une agrégation de paquets VLAN provenant de différentes machines virtuelles sur ce serveur. Dans ce cas, le mode d’accès balisé renvoie les paquets au serveur physique sur le même port en aval lorsque l’adresse de destination du paquet a été apprise sur ce port en aval. Les paquets sont également renvoyés vers le serveur physique sur le port en aval lorsque la destination n’a pas encore été apprise. Par conséquent, le troisième mode d’interface, l’accès balisé, présente certaines caractéristiques du mode d’accès et certaines caractéristiques du mode mode trunk :

  • Les ports en mode trunk gèrent le trafic de plusieurs VLAN, en multiplexant le trafic de tous ces VLAN sur la même connexion physique. Les interfaces trunk sont généralement utilisées pour interconnecter des commutateurs à d’autres périphériques ou commutateurs.

    Lorsque le VLAN natif est configuré, les trames qui ne portent pas de balises VLAN sont envoyées sur l’interface trunk. Si vous êtes dans une situation où les paquets passent d’un périphérique à un commutateur en mode d’accès, et que vous souhaitez ensuite envoyer ces paquets du commutateur via un port trunk, utilisez le mode VLAN natif. Configurez le VLAN unique sur le port du commutateur (qui est en mode d’accès) en tant que VLAN natif. Le port trunk du commutateur traitera alors ces trames différemment des autres paquets balisés. Par exemple, si un port trunk a trois VLAN, 10, 20 et 30, qui lui sont attribués, le VLAN 10 étant le VLAN natif, les trames du VLAN 10 qui quittent le port trunk à l’autre extrémité n’ont pas d’en-tête (balise) 802.1Q. Il existe une autre option VLAN native. Le commutateur peut ajouter et supprimer des balises pour les paquets non balisés. Pour ce faire, vous devez d’abord configurer le VLAN unique en tant que VLAN natif sur un port attaché à un périphérique en périphérie. Ensuite, attribuez une balise d’ID de VLAN au seul VLAN natif sur le port connecté à un appareil. Enfin, ajoutez l’ID du VLAN au port trunk. Désormais, lorsque le commutateur reçoit le paquet non balisé, il ajoute l’ID que vous avez spécifié et envoie et reçoit les paquets balisés sur le port trunk configuré pour accepter ce VLAN.

En incluant les sous-couches, la couche 2 du QFX Series prend en charge les fonctionnalités suivantes :

• Trafic unicast, multicast et de diffusion.

• Pontage.

• VLAN 802.1Q : également connu sous le nom de balisage VLAN, ce protocole permet à plusieurs réseaux pontés de partager de manière transparente la même liaison réseau physique en ajoutant des balises VLAN à une trame Ethernet.

• L’extension des VLAN de couche 2 sur plusieurs commutateurs à l’aide du protocole STP (Spanning Tree Protocol) évite toute boucle sur le réseau.

• Apprentissage MAC, y compris l’apprentissage MAC par VLAN et la suppression de l’apprentissage de couche 2 : ce processus permet d’obtenir les adresses MAC de tous les nœuds d’un réseau

• Agrégation de liens : processus regroupant des interfaces Ethernet au niveau de la couche physique pour former une interface de couche de liaison unique, également connue sous le nom de groupe d’agrégation de liens (LAG) ou bundle LAG

  Remarque :

  L’agrégation de liens n’est pas prise en charge sur les appareils NFX150.

• Storm control sur le port physique pour l’unicast, le multicast et la diffusion

  Remarque :

  Le storm control n’est pas pris en charge sur les appareils NFX150.

• Prise en charge de STP, y compris 802.1d, RSTP, MSTP et Root Guard

Un VLAN (LAN virtuel) est un ensemble de nœuds de réseau regroupés pour former des domaines de diffusion distincts. Sur un réseau Ethernet qui est un réseau LAN unique, tout le trafic est transféré à tous les nœuds du LAN. Sur les VLAN, les trames dont l’origine et la destination se trouvent dans le même VLAN sont transférées uniquement à l’intérieur du VLAN local. Les trames qui ne sont pas destinées au VLAN local sont les seules à être transmises vers d’autres domaines de diffusion. Les VLAN limitent ainsi la quantité de trafic circulant sur l’ensemble du LAN, réduisant ainsi le nombre possible de collisions et de retransmissions de paquets au sein d’un VLAN et sur l’ensemble du LAN.

Sur un réseau LAN Ethernet, tous les nœuds du réseau doivent être physiquement connectés au même réseau. Sur les VLAN, l’emplacement physique des nœuds n’a pas d’importance. Par conséquent, vous pouvez regrouper les périphériques réseau de la manière qui vous convient le mieux à votre organisation, par exemple par département ou fonction commerciale, par types de nœuds réseau ou par emplacement physique. Chaque VLAN est identifié par un seul sous-réseau IP et par une encapsulation normalisée IEEE 802.1Q.

Pour identifier le VLAN auquel appartient le trafic, toutes les trames d’un VLAN Ethernet sont identifiées par une balise, telle que définie dans la norme IEEE 802.1Q. Ces trames sont balisées et encapsulées avec des balises 802.1Q.

Pour un réseau simple qui n’a qu’un seul VLAN, tout le trafic a la même balise 802.1Q. Lorsqu’un LAN Ethernet est divisé en VLAN, chaque VLAN est identifié par une balise 802.1Q unique. La balise est appliquée à toutes les trames afin que les nœuds réseau recevant les trames sachent à quel VLAN appartient une trame. Les ports trunk, qui multiplexent le trafic entre plusieurs VLAN, utilisent la balise pour déterminer l’origine des trames et où les transférer.

Le mode transparent de couche 2 permet de déployer le pare-feu sans modifier l’infrastructure de routage existante. Le pare-feu est déployé en tant que commutateur de couche 2 avec plusieurs segments VLAN et fournit des services de sécurité au sein des segments VLAN. Secure wire est une version spéciale du mode transparent de couche 2 qui permet un déploiement bump-in-wire.

Un équipement fonctionne en mode transparent lorsqu’il existe des interfaces définies comme interfaces de couche 2. L’équipement fonctionne en mode routage (mode par défaut) si aucune interface physique n’est configurée en tant qu’interfaces de couche 2.

Pour les pare-feu SRX Series, le mode transparent fournit des services de sécurité complets pour les capacités de commutation de couche 2. Sur ces pare-feu SRX Series, vous pouvez configurer un ou plusieurs VLAN pour effectuer une commutation de couche 2. Un VLAN est un ensemble d’interfaces logiques qui partagent les mêmes caractéristiques d’inondation ou de diffusion. À l’instar d’un LAN virtuel (VLAN), un VLAN s’étend sur un ou plusieurs ports de plusieurs appareils. Ainsi, le pare-feu SRX Series peut fonctionner comme un commutateur de couche 2 avec plusieurs VLAN qui participent au même réseau de couche 2.

En mode transparent, le pare-feu SRX Series filtre les paquets qui traversent l’appareil sans modifier les informations source ou de destination des en-têtes de paquets IP. Le mode transparent est utile pour protéger les serveurs qui reçoivent principalement du trafic provenant de sources non fiables, car il n’est pas nécessaire de reconfigurer les paramètres IP des routeurs ou des serveurs protégés.

En mode transparent, tous les ports physiques de l’équipement sont affectés à des interfaces de couche 2. Ne faites pas transiter le trafic de couche 3 par l’équipement. Les zones de couche 2 peuvent être configurées pour héberger des interfaces de couche 2, et des politiques de sécurité peuvent être définies entre les zones de couche 2. Lorsque les paquets circulent entre des zones de couche 2, des politiques de sécurité peuvent être appliquées à ces paquets.

Le Tableau 1 répertorie les fonctionnalités de sécurité prises en charge et non prises en charge en mode transparent pour la commutation de couche 2.

De plus, les pare-feu SRX Series ne prennent pas en charge les fonctionnalités de couche 2 suivantes en mode transparent de couche 2 :

• Spanning Tree Protocol (STP), RSTP ou MSTP : il est de la responsabilité de l’utilisateur de s’assurer qu’il n’existe aucune boucle d’inondation dans la topologie du réseau.

• Surveillance IGMP (Internet Group Management Protocol) : protocole de signalisation hôte-routeur pour IPv4 utilisé pour signaler leurs appartenances à des groupes de multicast aux routeurs voisins et déterminer si des membres du groupe sont présents pendant la multidiffusion IP.

• VLAN à double balise ou IEEE identificateurs de VLAN 802.1Q encapsulés dans des paquets 802.1Q (également appelés balisage VLAN « Q dans Q ») : seuls les identificateurs de VLAN non balisés ou à balise unique sont pris en charge sur les pare-feu SRX Series.

• Apprentissage VLAN non qualifié, où seule l’adresse MAC est utilisée pour l’apprentissage au sein du VLAN : l’apprentissage VLAN sur les pare-feu SRX Series est qualifié ; autrement dit, l’identifiant VLAN et l’adresse MAC sont utilisés.

De plus, certaines fonctionnalités ne sont pas prises en charge sur les appareils SRX100, SRX110, SRX210, SRX220, SRX240, SRX300, SRX320, SRX340, SRX345, SRX550 ou SRX650. (La prise en charge de la plate-forme dépend de la version de Junos OS dans votre installation.) Les fonctionnalités suivantes ne sont pas prises en charge en mode transparent de couche 2 sur les appareils mentionnés :

• G-ARP sur l’interface de couche 2

• Surveillance des adresses IP sur n’importe quelle interface

• Trafic de transit par l’IRB

• Interface IRB dans une instance de routage

• Gestion du trafic de couche 3 par interface IRB

  Remarque :

  L’interface IRB est une pseudo-interface et n’appartient pas au groupe de reth interface et de redondance.

• Mode transparent de couche 2 sur le concentrateur de ports du module de ligne SRX5000
• Comprendre les flux IPv6 en mode transparent sur les équipements de Sécurité
• Comprendre les clusters de châssis en mode transparent de couche 2 sur les équipements de sécurité
• Configuration de la gestion hors bande sur les pare-feu SRX Series
• Commutation Ethernet
• Exceptions de commutation de couche 2 sur les équipements SRX Series

Le trafic unicast inconnu est constitué de trames unicast dont l’adresse MAC est inconnue. Par défaut, le commutateur inonde ces trames unicast qui voyagent dans un VLAN vers toutes les interfaces membres du VLAN. Le transfert de ce type de trafic vers les interfaces du commutateur peut déclencher un problème de sécurité. Le réseau LAN est soudainement inondé de paquets, ce qui crée un trafic inutile qui nuit aux performances du réseau, voire à une perte totale du service réseau. C’est ce qu’on appelle une tempête de trafic.

Pour éviter une tempête, vous pouvez désactiver le flooding de paquets unicast inconnus vers toutes les interfaces en configurant un ou plusieurs VLAN pour transférer tout trafic unicast inconnu vers une interface trunk spécifique. (Cette opération canalise le trafic unicast inconnu vers une interface unique.)

Le trafic de diffusion de couche 2 reste à l’intérieur des limites d’un réseau local (LAN) ; connu sous le nom de domaine de diffusion. Le trafic de diffusion de couche 2 est envoyé au domaine de diffusion à l’aide de l’adresse MAC FF :FF :FF :FF :FF :FF. Chaque équipement du domaine de diffusion reconnaît cette adresse MAC et transmet le trafic de diffusion à d’autres équipements du domaine de diffusion, le cas échéant. La diffusion peut être comparée à l’unicast (envoyer du trafic à un seul nœud) ou au multicast (fournir du trafic à un groupe de nœuds simultanément).

Le trafic de diffusion de couche 3, cependant, est envoyé à tous les périphériques d’un réseau à l’aide d’une adresse de réseau de diffusion. Par exemple, si votre adresse réseau est 10.0.0.0, l’adresse réseau de diffusion est 10.255.255.255. Dans ce cas, seuls les périphériques appartenant au réseau 10.0.0.0 reçoivent le trafic de diffusion de couche 3. Les appareils qui n’appartiennent pas à ce réseau abandonnent le trafic.

La radiodiffusion est utilisée dans les situations suivantes :

• Le protocole ARP (Address Resolution Protocol) utilise la diffusion pour mapper les adresses MAC aux adresses IP. ARP lie dynamiquement l’adresse IP (l’adresse logique) à l’adresse MAC correcte. Avant que les paquets de unicast IP puissent être envoyés, ARP découvre l’adresse MAC utilisée par l’interface Ethernet sur laquelle l’adresse IP est configurée.

• Le protocole DHCP (Dynamic Host Configuration Protocol) utilise la diffusion pour attribuer dynamiquement des adresses IP aux hôtes d’un segment ou d’un sous-réseau de réseau.

• Les protocoles de routage utilisent la diffusion pour annoncer les routes.

Un trafic de diffusion excessif peut parfois créer une tempête de diffusion. Une tempête diffusion se produit lorsque des messages sont diffusion sur un réseau et que chaque message invite un nœud récepteur à répondre en diffusant ses propres messages sur le réseau. Ceci, à son tour, suscite d’autres réponses qui créent un effet boule de neige. Le réseau LAN est soudainement inondé de paquets, ce qui crée un trafic inutile qui nuit aux performances du réseau, voire à une perte totale du service réseau.

À partir de Junos OS version 15.1X49-D10 et Junos OS version 17.3R1, certaines instructions de configuration de la CLI de couche 2 sont améliorées et certaines commandes sont modifiées. Les tableaux 18 et 19 fournissent la liste des commandes existantes qui ont été déplacées vers de nouvelles hiérarchies ou modifiées sur les pare-feu SRX Series dans le cadre de cet effort d’amélioration des CLI. Les tableaux sont fournis à titre de référence de haut niveau uniquement. Pour plus d’informations sur ces commandes, consultez Explorateur CLI.

bridge-domains bridge-domain--name {
    ...
    }
}

vlans vlans-name {
    ...
    }
}

bridge-domains bridge-domain--name {
    vlan-id-list [vlan-id] ;
}

vlans vlans-name {
    vlan members [vlan-id] ;
}

bridge-options {
    interface interface-name { 
        encapsulation-type;
        ignore-encapsulation-mismatch;
        pseudowire-status-tlv;
        static-mac mac-address {
            vlan-id vlan-id;
        }
    }
    mac-table-aging-time seconds;
    mac-table-size {
        number;
        packet-action drop;
    }
}

switch-options {
    interface interface-name { 
        encapsulation-type;
        ignore-encapsulation-mismatch;
        pseudowire-status-tlv;
        static-mac mac-address {
            vlan-id vlan-id;
        }
    }
    mac-table-aging-time seconds;
    mac-table-size {
        number;
        packet-action drop;
    }
}

bridge {
    block-non-ip-all;
    bpdu-vlan-flooding;
    bypass-non-ip-unicast;
    no-packet-flooding {
        no-trace-route;
    }
}

ethernet-switching {
    block-non-ip-all;
    bpdu-vlan-flooding;
    bypass-non-ip-unicast;
    no-packet-flooding {
        no-trace-route;
    }
}

family {
    bridge {
        bridge-domain-type (svlan| bvlan);
    ...

family {
    ethernet-switching {
    ...

...
routing-interface  irb.0;
...

...
l3-interface  irb.0;
...

Le mode nouvelle génération de couche 2, également appelé Logiciels de couche 2 améliorée (ELS), est pris en charge sur les routeurs ACX5048, ACX5096 et ACX5448 pour configurer les fonctionnalités de couche 2. Les configurations de couche 2 CLI les commandes et les commandes d’affichage pour les routeurs ACX5048, ACX5096, ACX5448, ACX710, ACX7100, ACX7024, ACX7332, ACX7348 et ACX7509 diffèrent de celles des autres routeurs ACX Series (ACX1000, ACX1100, ACX2000, ACX2100, ACX2200 et ACX4000) et des routeurs MX Series.

Le Tableau 20 présente les différences de hiérarchie CLI pour la configuration des entités de couche 2 en mode nouvelle génération de couche 2.

Le Tableau 21 présente les différences entre show les commandes des fonctions de couche 2 en mode nouvelle génération de couche 2.