Réseaux de couche 2

Une trame est une unité de données de protocole, la plus petite unité de bits d’un réseau de couche 2. Les trames sont transmises et reçues par les équipements du même réseau local (LAN). Unilke bits, les trames ont une structure définie et peuvent être utilisées pour la détection des erreurs, les activités du plan de contrôle, etc. Toutes les trames ne transportent pas de données utilisateur. Le réseau utilise certaines trames pour contrôler lui-même la liaison de données.

Au niveau de la couche 2, l’unicast fait référence à l’envoi de trames d’un nœud à un autre nœud, tandis que le multicast désigne l’envoi de trafic d’un nœud vers plusieurs nœuds, et la diffusion fait référence à la transmission de trames à tous les nœuds d’un réseau. Un domaine de diffusion est une division logique d’un réseau dans laquelle tous les nœuds de ce réseau peuvent être atteints au niveau de la couche 2 par une diffusion.

Les segments d’un LAN peuvent être reliés au niveau de la trame à l’aide de ponts. Le pontage crée des domaines de diffusion distincts sur le LAN, créant des VLAN, qui sont des réseaux logiques indépendants qui regroupent les équipements associés en segments de réseau distincts. Le regroupement des équipements sur un VLAN est indépendant de l’emplacement physique des équipements dans le LAN. Sans pontage ni VLAN, tous les équipements du LAN Ethernet sont dans un seul domaine de diffusion, et tous les équipements détectent tous les paquets sur le LAN.

Le transfert est le relais de paquets d’un segment vers un autre par les nœuds du réseau. Sur un VLAN, une trame dont l’origine et la destination sont dans le même VLAN sont transférés uniquement dans le VLAN local. Un segment de réseau est une partie d’un réseau informatique dans lequel chaque équipement communique à l’aide de la même couche physique.

La couche 2 contient deux sous-couches :

• Sous-couche de contrôle des liaisons logiques (LLC), qui est responsable de la gestion des liaisons de communication et de la gestion du trafic de trame.

• Sous-couche MAC (Media Access Control), qui régit l’accès du protocole au support réseau physique. En utilisant les adresses MAC attribuées à tous les ports d’un commutateur, plusieurs équipements sur la même liaison physique peuvent s’identifier de manière unique.

  Les ports ou interfaces d’un commutateur fonctionnent en mode d’accès, d’accès balisé ou de tronc :

  • Les ports du mode d’accès se connectent à un équipement réseau tel qu’un ordinateur de bureau, un téléphone IP, une imprimante, un serveur de fichiers ou une caméra de sécurité. Le port lui-même appartient à un seul VLAN. Les trames transmises sur une interface d’accès sont des trames Ethernet normales. Par défaut, tous les ports d’un commutateur sont en mode d’accès.

  • Les ports marqués du mode d’accès se connectent à un équipement réseau tel qu’un ordinateur de bureau, un téléphone IP, une imprimante, un serveur de fichiers ou une caméra de sécurité. Le port lui-même appartient à un seul VLAN. Les trames transmises sur une interface d’accès sont des trames Ethernet normales. Par défaut, tous les ports d’un commutateur sont en mode d’accès. Le mode d’accès balisé s’adapte au cloud computing, notamment aux machines virtuelles et aux ordinateurs virtuels. Étant donné que plusieurs ordinateurs virtuels peuvent être inclus sur un serveur physique, les paquets générés par un serveur peuvent contenir une agrégation de paquets VLAN provenant de différentes machines virtuelles sur ce serveur. Pour faire face à cette situation, le mode d’accès balisé renvoie les paquets au serveur physique sur le même port en aval lorsque l’adresse de destination du paquet a été apprise sur ce port en aval. Les paquets sont également répercutés vers le serveur physique sur le port en aval lorsque la destination n’a pas encore été apprise. Par conséquent, le troisième mode d’interface, l’accès balisé, présente certaines caractéristiques du mode d’accès et certaines caractéristiques du mode trunk :

  • Les ports du mode trunk gèrent le trafic de plusieurs VLAN, en multiplexant le trafic de tous ces VLAN sur la même connexion physique. Les interfaces de tronc sont généralement utilisées pour interconnecter des commutateurs à d’autres équipements ou commutateurs.

    Une fois le VLAN natif configuré, les trames qui ne portent pas de balises VLAN sont envoyées par l’interface de tronc. Si vous avez une situation où des paquets passent d’un équipement à un commutateur en mode d’accès, et que vous souhaitez ensuite envoyer ces paquets à partir du commutateur sur un port trunk, utilisez le mode VLAN natif. Configurez le VLAN unique sur le port du commutateur (qui est en mode d’accès) en tant que VLAN natif. Le port trunk du commutateur traitera alors ces trames différemment des autres paquets balisés. Par exemple, si un port trunk a trois VLAN, 10, 20 et 30, qui lui sont assignés avec VLAN 10 étant le VLAN natif, les trames sur VLAN 10 qui quittent le port trunk à l’autre extrémité n’ont pas d’en-tête (balise) 802.1Q. Il existe une autre option VLAN native. Vous pouvez demander au commutateur d’ajouter et de supprimer des balises pour les paquets non marqués. Pour ce faire, vous devez d’abord configurer le VLAN unique en tant que VLAN natif sur un port connecté à un équipement de périphérie. Ensuite, attribuez une balise d’ID VLAN au VLAN natif unique sur le port connecté à un équipement. Enfin, ajoutez l’ID VLAN au port d’agrégation. Maintenant, lorsque le commutateur reçoit le paquet non balisé, il ajoute l’ID que vous avez spécifié et envoie et reçoit les paquets balisés sur le port trunk configuré pour accepter ce VLAN.

Y compris les sous-couches, la couche 2 du QFX Series prend en charge les fonctionnalités suivantes :

• Trafic unicast, multicast et de diffusion.

• Combler.

• VLAN 802.1Q : également connu sous le nom de balisage VLAN, ce protocole permet à plusieurs réseaux pontés de partager de manière transparente la même liaison réseau physique en ajoutant des balises VLAN à une trame Ethernet.

• L’extension des VLAN de couche 2 sur plusieurs commutateurs à l’aide du protocole STP (Spanning Tree Protocol) empêche les boucles sur l’ensemble du réseau.

• Apprentissage MAC, y compris l’apprentissage MAC par VLAN et la suppression de l’apprentissage de couche 2 – Ce processus permet d’obtenir les adresses MAC de tous les nœuds d’un réseau

• Agrégation de liaisons : groupe de processus d’interfaces Ethernet au niveau de la couche physique pour former une interface de couche de liaison unique, également appelée groupe d’agrégation de liens (LAG) ou offre LAG

  REMARQUE :

  L’agrégation de liaisons n’est pas prise en charge sur les équipements NFX150.

• Contrôle storm sur le port physique pour l’unicast, le multicast et la diffusion

  REMARQUE :

  Le contrôle de tempête n’est pas pris en charge sur les équipements NFX150.

• Prise en charge STP, notamment 802.1d, RSTP, MSTP et Root Guard

Le mode transparent de couche 2 permet de déployer le pare-feu sans modifier l’infrastructure de routage existante. Le pare-feu est déployé en tant que commutateur de couche 2 avec plusieurs segments VLAN et fournit des services de sécurité dans les segments VLAN. Secure Wire est une version spéciale du mode transparent de couche 2 qui permet un déploiement sans fil.

Un équipement fonctionne en mode transparent lorsqu’il existe des interfaces définies comme des interfaces de couche 2. L’équipement fonctionne en mode route (mode par défaut) s’il n’y a pas d’interfaces physiques configurées en tant qu’interfaces de couche 2.

Pour les équipements SRX Series, le mode transparent fournit des services de sécurité complets pour les capacités de commutation de couche 2. Sur ces équipements SRX Series, vous pouvez configurer un ou plusieurs VLAN pour effectuer une commutation de couche 2. Un VLAN est un ensemble d’interfaces logiques qui partagent les mêmes caractéristiques d’inondation ou de diffusion. Comme un LAN virtuel (VLAN), un VLAN s’étend sur un ou plusieurs ports de plusieurs équipements. Ainsi, l’équipement SRX Series peut fonctionner comme un commutateur de couche 2 avec plusieurs VLAN qui participent au même réseau de couche 2.

En mode transparent, l’équipement SRX Series filtre les paquets qui traversent l’équipement sans modifier aucune des informations de source ou de destination dans les en-têtes de paquets IP. Le mode transparent est utile pour protéger les serveurs qui reçoivent principalement du trafic de sources non fiables, car il n’est pas nécessaire de reconfigurer les paramètres IP des routeurs ou des serveurs protégés.

En mode transparent, tous les ports physiques de l’équipement sont assignés aux interfaces de couche 2. Ne pas acheminer le trafic de couche 3 à travers l’équipement. Les zones de couche 2 peuvent être configurées pour héberger des interfaces de couche 2, et des stratégies de sécurité peuvent être définies entre les zones de couche 2. Lorsque des paquets circulent entre des zones de couche 2, des stratégies de sécurité peuvent être appliquées à ces paquets.

Tableau 1 répertorie les fonctionnalités de sécurité prises en charge et non prises en charge en mode transparent pour la commutation de couche 2.

En outre, les équipements SRX Series ne prennent pas en charge les fonctionnalités de couche 2 suivantes en mode transparent de couche 2 :

• Protocole STP (Spanning Tree Protocol), RSTP ou MSTP : il incombe à l’utilisateur de s’assurer qu’aucune boucle d’inondation n’existe dans la topologie du réseau.

• Surveillance IGMP (Internet Group Management Protocol) : protocole de signalisation de l’hôte vers le routeur pour IPv4 utilisé pour signaler leurs appartenances à des groupes multicast aux routeurs voisins et déterminer si les membres du groupe sont présents pendant le multicast IP.

• VLAN à double balisage ou identifiants VLAN IEEE 802.1Q encapsulés dans des paquets 802.1Q (également appelés balisage VLAN « Q dans Q ») : seuls les identifiants VLAN à balisage unique ou non sont pris en charge sur les équipements SRX Series.

• Apprentissage VLAN non qualifié, où seule l’adresse MAC est utilisée pour l’apprentissage au sein du VLAN . L’apprentissage VLAN sur les équipements SRX Series est qualifié ; c’est-à-dire que l’identifiant VLAN et l’adresse MAC sont utilisés.

De plus, sur les équipements SRX100, SRX110, SRX210, SRX220, SRX240, SRX300, SRX320, SRX340, SRX345, SRX550 ou SRX650, certaines fonctionnalités ne sont pas prises en charge. (La prise en charge de la plate-forme dépend de la version junos OS de votre installation.) Les fonctionnalités suivantes ne sont pas prises en charge pour le mode transparent de couche 2 sur les équipements susmentionnés :

• G-ARP sur l’interface de couche 2

• Surveillance des adresses IP sur n’importe quelle interface

• Trafic de transit par IRB

• Interface IRB dans une instance de routage

• Gestion de l’interface IRB du trafic de couche 3

  REMARQUE :

  L’interface IRB est une pseudo-interface et n’appartient pas au groupe d’interface de reth et de redondance.

• Mode transparent de couche 2 sur le concentrateur de ports de module de ligne SRX5000
• Comprendre les flux IPv6 en mode transparent sur les équipements de sécurité
• Présentation des clusters de châssis en mode transparent de couche 2 sur les équipements de sécurité
• Configuration de la gestion hors bande sur les équipements SRX
• Commutation Ethernet
• Exceptions de commutation de couche 2 sur les équipements SRX Series

Le trafic unicast inconnu se compose de trames unicast avec des adresses MAC de destination inconnues. Par défaut, le commutateur inonde ces trames unicast qui se déplacent dans un VLAN vers toutes les interfaces membres du VLAN. Le transfert de ce type de trafic vers les interfaces du commutateur peut déclencher un problème de sécurité. Le LAN est soudainement inondé de paquets, créant ainsi un trafic inutile qui entraîne des performances réseau médiocres ou même une perte complète de service réseau. C’est ce que l’on appelle une tempête de trafic.

Pour éviter une tempête, vous pouvez désactiver l’inondation de paquets unicast inconnus vers toutes les interfaces en configurant un VLAN ou tous les VLAN afin de transférer tout trafic unicast inconnu vers une interface de tronc spécifique. (Cela canalise le trafic unicast inconnu vers une interface unique.)

Le trafic de diffusion de couche 2 reste à l’intérieur d’un réseau local (LAN) ; connu sous le nom de domaine de diffusion. Le trafic de diffusion de couche 2 est envoyé au domaine de diffusion à l’aide d’une adresse MAC de FF:FF:FF:FF:FF:FF. Chaque équipement du domaine de diffusion reconnaît cette adresse MAC et transmet le trafic de diffusion à d’autres équipements du domaine de diffusion, le cas échéant. La diffusion peut être comparée à l’unicast (envoi de trafic vers un nœud unique) ou au multicast (livraison simultanée de trafic à un groupe de nœuds).

Cependant, le trafic de diffusion de couche 3 est envoyé à tous les équipements d’un réseau à l’aide d’une adresse de réseau de diffusion. Par exemple, si votre adresse réseau est 10.0.0.0, l’adresse du réseau de diffusion est 10.255.255.255. Dans ce cas, seuls les équipements appartenant au réseau 10.0.0.0 reçoivent le trafic de diffusion de couche 3. Les équipements qui n’appartiennent pas à ce réseau abandonnent le trafic.

La diffusion est utilisée dans les situations suivantes :

• Le protocole ARP (Address Resolution Protocol) utilise la diffusion pour mapper les adresses MAC aux adresses IP. ARP lie dynamiquement l’adresse IP (l’adresse logique) à l’adresse MAC correcte. Avant que les paquets unicast IP ne puissent être envoyés, ARP découvre l’adresse MAC utilisée par l’interface Ethernet où l’adresse IP est configurée.

• Le protocole DHCP (Dynamic Host Configuration Protocol) utilise la diffusion pour attribuer dynamiquement des adresses IP aux hôtes d’un segment ou d’un sous-réseau.

• Les protocoles de routage utilisent la diffusion pour annoncer les routes.

Un trafic de diffusion excessif peut parfois créer une tempête de diffusion. Une tempête de diffusion se produit lorsque des messages sont diffusés sur un réseau et chaque message invite un nœud de réception à répondre en diffusant ses propres messages sur le réseau. Cela, à son tour, invite à d’autres réponses qui créent un effet boule de neige. Le LAN est soudainement inondé de paquets, créant ainsi un trafic inutile qui entraîne des performances réseau médiocres ou même une perte complète de service réseau.

À partir des versions 15.1X49-D10 et 17.3R1 de Junos OS, certaines instructions de configuration CLI de couche 2 sont améliorées et certaines commandes sont modifiées. Tableau 18 et Tableau 19 fournir des listes de commandes existantes qui ont été déplacées vers de nouvelles hiérarchies ou modifiées sur les équipements SRX Series dans le cadre de cet effort d’amélioration de la CLI. Les tableaux sont fournis comme référence de haut niveau uniquement. Pour obtenir des informations détaillées sur ces commandes, consultez l’Explorateur CLI.

bridge-domains bridge-domain--name {
    ...
    }
}

vlans vlans-name {
    ...
    }
}

bridge-domains bridge-domain--name {
    vlan-id-list [vlan-id] ;
}

vlans vlans-name {
    vlan members [vlan-id] ;
}

bridge-options {
    interface interface-name { 
        encapsulation-type;
        ignore-encapsulation-mismatch;
        pseudowire-status-tlv;
        static-mac mac-address {
            vlan-id vlan-id;
        }
    }
    mac-table-aging-time seconds;
    mac-table-size {
        number;
        packet-action drop;
    }
}

switch-options {
    interface interface-name { 
        encapsulation-type;
        ignore-encapsulation-mismatch;
        pseudowire-status-tlv;
        static-mac mac-address {
            vlan-id vlan-id;
        }
    }
    mac-table-aging-time seconds;
    mac-table-size {
        number;
        packet-action drop;
    }
}

bridge {
    block-non-ip-all;
    bpdu-vlan-flooding;
    bypass-non-ip-unicast;
    no-packet-flooding {
        no-trace-route;
    }
}

ethernet-switching {
    block-non-ip-all;
    bpdu-vlan-flooding;
    bypass-non-ip-unicast;
    no-packet-flooding {
        no-trace-route;
    }
}

family {
    bridge {
        bridge-domain-type (svlan| bvlan);
    ...

family {
    ethernet-switching {
    ...

...
routing-interface  irb.0;
...

...
l3-interface  irb.0;
...

Le mode nouvelle génération de couche 2, également appelé Logiciel de couche 2 améliorée (ELS), est pris en charge sur les routeurs ACX5048, ACX5096 et ACX5448 pour la configuration des fonctionnalités de couche 2. Les configurations CLI de couche 2 et les commandes d’show pour les routeurs ACX5048, ACX5096, ACX5448 et ACX710 diffèrent de celles des autres routeurs ACX Series (ACX1000, ACX1100, ACX2000, ACX2100, ACX2200 et ACX4000) et des routeurs MX Series.

Tableau 20 affiche les différences dans la hiérarchie CLI pour la configuration des fonctionnalités de couche 2 dans le mode de nouvelle génération de couche 2.

Tableau 21 affiche les différences dans show les commandes des fonctionnalités de couche 2 dans le mode de nouvelle génération de couche 2.