Mise en réseau de couche 2

Une trame est une unité de données de protocole, la plus petite unité de bits sur un réseau de couche 2. Les trames sont transmises et reçues à partir d’appareils sur le même réseau local (LAN). Les bits Unilke, les trames ont une structure définie et peuvent être utilisés pour la détection d’erreurs, les activités du plan de contrôle, etc. Tous les cadres ne contiennent pas de données utilisateur. Le réseau utilise certaines trames pour contrôler la liaison de données elle-même.

Au niveau de la couche 2, unicast fait référence à l’envoi de trames d’un nœud à un seul autre noeud, tandis que multicast désigne l’envoi de trafic d’un noeud à plusieurs noeuds, et la diffusion fait référence à la transmission de trames à tous les noeuds d’un réseau. Un domaine de diffusion est une division logique d’un réseau dans laquelle tous les nœuds de ce réseau peuvent être atteints au niveau de la couche 2 par une diffusion.

Les segments d’un réseau local peuvent être reliés au niveau de la trame à l’aide de ponts. Le pontage crée des domaines de diffusion distincts sur le réseau local, créant des VLAN, qui sont des réseaux logiques indépendants qui regroupent les périphériques associés en segments de réseau distincts. Le regroupement des équipements sur un VLAN est indépendant de l’emplacement physique des équipements sur le LAN. Sans pontage ni VLAN, tous les équipements du LAN Ethernet se trouvent dans un seul domaine de diffusion, et tous les équipements détectent tous les paquets sur le LAN.

Le transfert consiste à transférer des paquets d’un segment de réseau à un autre par les nuds du réseau. Sur un VLAN, une trame dont l’origine et la destination se trouvent dans le même VLAN n’est transférée qu’au sein du VLAN local. Un segment de réseau est une partie d’un réseau informatique dans laquelle tous les appareils communiquent à l’aide de la même couche physique.

La couche 2 contient deux sous-couches :

• Sous-couche LLC (Logical Link Control), responsable de la gestion des liaisons de communication et du trafic des trames.

• La sous-couche MAC (Media Access Control), qui régit l’accès du protocole au support réseau physique. En utilisant les adresses MAC attribuées à tous les ports d’un commutateur, plusieurs périphériques sur la même liaison physique peuvent s’identifier de manière unique.

  Les ports, ou interfaces, d’un commutateur fonctionnent en mode d’accès, accès balisé ou mode trunk :

  • Les ports en mode d’accès se connectent à un périphérique réseau tel qu’un ordinateur de bureau, un téléphone IP, une imprimante, un serveur de fichiers ou une caméra de sécurité. Le port lui-même appartient à un seul VLAN. Les trames transmises via une interface d’accès sont des trames Ethernet normales. Par défaut, tous les ports d’un commutateur sont en mode d’accès.

  • Les ports en mode d’accès étiqueté se connectent à un périphérique réseau tel qu’un ordinateur de bureau, un téléphone IP, une imprimante, un serveur de fichiers ou une caméra de sécurité. Le port lui-même appartient à un seul VLAN. Les trames transmises via une interface d’accès sont des trames Ethernet normales. Par défaut, tous les ports d’un commutateur sont en mode d’accès. Le mode d’accès balisé prend en charge le cloud computing, en particulier les scénarios incluant des machines virtuelles ou des ordinateurs virtuels. Étant donné que plusieurs ordinateurs virtuels peuvent être inclus sur un serveur physique, les paquets générés par un serveur peuvent contenir une agrégation de paquets VLAN provenant de différentes machines virtuelles sur ce serveur. Pour s’adapter à cette situation, le mode d’accès balisé renvoie les paquets vers le serveur physique sur le même port en aval lorsque l’adresse de destination du paquet a été apprise sur ce port en aval. Les paquets sont également renvoyés vers le serveur physique sur le port en aval lorsque la destination n’a pas encore été apprise. Par conséquent, le troisième mode d’interface, l’accès balisé, présente certaines caractéristiques du mode d’accès et certaines caractéristiques du mode trunk :

  • Les ports en mode trunk gèrent le trafic de plusieurs VLAN et multiplexent le trafic de tous ces VLAN sur la même connexion physique. Les interfaces trunk sont généralement utilisées pour interconnecter des commutateurs à d’autres appareils ou commutateurs.

    Lorsque le VLAN natif est configuré, les trames qui ne portent pas de balises VLAN sont envoyées via l’interface trunk. Si des paquets transitent d’un périphérique à un commutateur en mode d’accès et que vous souhaitez ensuite envoyer ces paquets à partir du commutateur via un port trunk, utilisez le mode VLAN natif. Configurez le VLAN unique sur le port du commutateur (qui est en mode d’accès) en tant que VLAN natif. Le port trunk du commutateur traitera alors ces trames différemment des autres paquets balisés. Par exemple, si trois VLAN, 10, 20 et 30, sont attribués à un port trunk, le VLAN 10 étant le VLAN natif, les trames du VLAN 10 qui quittent le port trunk à l’autre extrémité n’ont pas d’en-tête (balise) 802.1Q. Il existe une autre option VLAN native. Le commutateur peut ajouter et supprimer des balises pour les paquets non balisés. Pour ce faire, vous devez d’abord configurer le VLAN unique en tant que VLAN natif sur un port connecté à un périphérique en périphérie. Ensuite, attribuez une balise d’identification VLAN à l’unique VLAN natif sur le port connecté à un appareil. Enfin, ajoutez l’ID VLAN au port trunk. Désormais, lorsque le commutateur reçoit le paquet non étiqueté, il ajoute l’ID que vous avez spécifié et envoie et reçoit les paquets étiquetés sur le port trunk configuré pour accepter ce VLAN.

En incluant les sous-couches, la couche 2 du QFX Series prend en charge les fonctionnalités suivantes :

• Trafic unicast, multicast et broadcast.

• Combler.

• VLAN 802.1Q : également connu sous le nom de balisage VLAN, ce protocole permet à plusieurs réseaux pontés de partager de manière transparente la même liaison réseau physique en ajoutant des balises VLAN à une trame Ethernet.

• L’extension des VLAN de couche 2 à plusieurs commutateurs à l’aide du protocole STP (Spanning Tree Protocol) empêche la boucle à travers le réseau.

• Apprentissage MAC, y compris l’apprentissage MAC par VLAN et la suppression de l’apprentissage de couche 2 : ce processus permet d’obtenir les adresses MAC de tous les nœuds d’un réseau

• Agrégation de liens : ce processus regroupe des interfaces Ethernet au niveau de la couche physique pour former une interface de couche de liaison unique, également connue sous le nom de groupe d’agrégation de liens (LAG) ou de bundle LAG

  REMARQUE :

  L’agrégation de liens n’est pas prise en charge sur les équipements NFX150.

• Contrôle de tempête sur le port physique pour la monodiffusion, la multidiffusion et la diffusion

  REMARQUE :

  Le storm control n’est pas pris en charge sur les appareils NFX150.

• Prise en charge de STP, y compris 802.1d, RSTP, MSTP et Root Guard

Un VLAN (Virtual LAN) est un ensemble de nœuds de réseau regroupés pour former des domaines de diffusion distincts. Sur un réseau Ethernet qui est un LAN unique, tout le trafic est transféré à tous les nœuds du LAN. Sur les VLAN, les trames dont l’origine et la destination se trouvent dans le même VLAN sont transmises uniquement au sein du VLAN local. Les trames qui ne sont pas destinées au VLAN local sont les seules à être transférées vers d’autres domaines de diffusion. Les VLAN limitent ainsi la quantité de trafic circulant sur l’ensemble du LAN, réduisant ainsi le nombre possible de collisions et de retransmissions de paquets au sein d’un VLAN et sur l’ensemble du LAN.

Sur un réseau local Ethernet, tous les nuds du réseau doivent être physiquement connectés au même réseau. Sur les VLAN, l’emplacement physique des nœuds n’a pas d’importance ; Vous pouvez donc regrouper les équipements réseau comme bon vous semble, par exemple par service ou fonction métier, par type de nuds ou par emplacement physique. Chaque VLAN est identifié par un seul sous-réseau IP et par une encapsulation IEEE 802.1Q standardisée.

Pour identifier le VLAN auquel appartient le trafic, toutes les trames d’un VLAN Ethernet sont identifiées par une balise, comme défini dans la norme IEEE 802.1Q. Ces trames sont étiquetées et encapsulées avec des balises 802.1Q.

Pour un réseau simple qui n’a qu’un seul VLAN, tout le trafic a la même balise 802.1Q. Lorsqu’un LAN Ethernet est divisé en VLAN, chaque VLAN est identifié par une balise 802.1Q unique. La balise est appliquée à toutes les trames afin que les noeuds du réseau recevant les trames sachent à quel VLAN appartient une trame. Les ports trunk, qui multiplexent le trafic entre plusieurs VLAN, utilisent la balise pour déterminer l’origine des trames et l’endroit où les transférer.

Le mode transparent de couche 2 permet de déployer le pare-feu sans modifier l’infrastructure de routage existante. Le pare-feu est déployé sous la forme d’un commutateur de couche 2 avec plusieurs segments VLAN et fournit des services de sécurité au sein de segments VLAN. Secure Wire est une version spéciale du mode transparent de couche 2 qui permet un déploiement « bump-in-wire ».

Un périphérique fonctionne en mode transparent lorsque des interfaces sont définies en tant qu’interfaces de couche 2. L’équipement fonctionne en mode routage (mode par défaut) si aucune interface physique n’est configurée en tant qu’interfaces de couche 2.

Pour les pare-feu SRX Series, le mode transparent fournit des services de sécurité complets pour les capacités de commutation de couche 2. Sur ces pare-feu SRX Series, vous pouvez configurer un ou plusieurs VLAN pour effectuer une commutation de couche 2. Un VLAN est un ensemble d’interfaces logiques qui partagent les mêmes caractéristiques d’inondation ou de diffusion. À l’instar d’un LAN virtuel (VLAN), un VLAN s’étend sur un ou plusieurs ports de plusieurs équipements. Ainsi, le pare-feu SRX Series peut fonctionner comme un commutateur de couche 2 avec plusieurs VLAN qui font partie du même réseau de couche 2.

En mode transparent, le pare-feu SRX Series filtre les paquets qui traversent l’équipement sans modifier les informations source ou de destination dans les en-têtes de paquets IP. Le mode transparent est utile pour protéger les serveurs qui reçoivent principalement du trafic provenant de sources non fiables, car il n’est pas nécessaire de reconfigurer les paramètres IP des routeurs ou des serveurs protégés.

En mode transparent, tous les ports physiques de l’équipement sont affectés à des interfaces de couche 2. Ne faites pas transiter le trafic de couche 3 par l’équipement. Les zones de couche 2 peuvent être configurées pour héberger des interfaces de couche 2, et des politiques de sécurité peuvent être définies entre les zones de couche 2. Lorsque des paquets transitent entre des zones de couche 2, des stratégies de sécurité peuvent être appliquées à ces paquets.

Tableau 1 répertorie les fonctionnalités de sécurité prises en charge et celles qui ne le sont pas en mode transparent pour la commutation de couche 2.

En outre, les pare-feu SRX Series ne prennent pas en charge les fonctionnalités de couche 2 suivantes en mode transparent de couche 2 :

• Protocole Spanning Tree (STP), RSTP ou MSTP : il est de la responsabilité de l’utilisateur de s’assurer qu’il n’existe pas de boucles d’inondation dans la topologie du réseau.

• Surveillance IGMP (Internet Group Management Protocol) : protocole de signalisation hôte-routeur pour IPv4 utilisé pour signaler leur appartenance à un groupe de multidiffusion aux routeurs voisins et déterminer si des membres du groupe sont présents pendant la multidiffusion IP.

• VLAN à double balise ou identificateurs de VLAN IEEE 802.1Q encapsulés dans des paquets 802.1Q (également appelés marquage VLAN « Q in Q ») : seuls les identifiants VLAN non étiquetés ou à balise unique sont pris en charge sur les pare-feu SRX Series.

• L’apprentissage VLAN non qualifié, où seule l’adresse MAC est utilisée pour l’apprentissage au sein du VLAN : l’apprentissage VLAN sur les pare-feu SRX Series est qualifié, c’est-à-dire que l’identifiant VLAN et l’adresse MAC sont utilisés.

De plus, sur les équipements SRX100, SRX110, SRX210, SRX220, SRX240, SRX300, SRX320, SRX340, SRX345, SRX550 ou SRX650, certaines fonctionnalités ne sont pas prises en charge. (La prise en charge de la plate-forme dépend de la version de Junos OS dans votre installation.) Les fonctionnalités suivantes ne sont pas prises en charge pour le mode transparent de couche 2 sur les périphériques mentionnés :

• G-ARP sur l’interface de couche 2

• Surveillance des adresses IP sur n’importe quelle interface

• Trafic de transit par la CISR

• Interface IRB dans une instance de routage

• Gestion du trafic de couche 3 par l’interface IRB

  REMARQUE :

  L’interface IRB est une pseudo-interface et n’appartient pas à l’interface reth et au groupe de redondance.

• Mode transparent de couche 2 sur le concentrateur de ports du module de ligne SRX5000
• Comprendre les flux IPv6 en mode transparent sur les équipements sécurisés
• Présentation des clusters de châssis en mode transparent de couche 2 sur les équipements de sécurité
• Configuration de la gestion hors bande sur les pare-feu SRX Series
• Commutation Ethernet
• Exceptions de commutation de couche 2 sur les équipements SRX Series

Le trafic unicast inconnu est constitué de trames unicast avec des adresses MAC de destination inconnues. Par défaut, le commutateur inonde ces trames unicast qui voyagent dans un VLAN vers toutes les interfaces membres du VLAN. Le transfert de ce type de trafic vers des interfaces du commutateur peut déclencher un problème de sécurité. Le réseau local est soudainement inondé de paquets, ce qui crée un trafic inutile qui entraîne de mauvaises performances du réseau, voire une perte totale du service réseau. C’est ce qu’on appelle une tempête de circulation.

Pour éviter une tempête, vous pouvez désactiver le flooding de paquets unicast inconnus vers toutes les interfaces en configurant un VLAN ou tous les VLAN pour transférer tout trafic unicast inconnu vers une interface trunk spécifique. (Cela permet de canaliser le trafic unicast inconnu vers une interface unique.)

Le trafic de diffusion de couche 2 reste à l’intérieur des limites d’un réseau local (LAN) ; connu sous le nom de domaine de diffusion. Le trafic de diffusion de couche 2 est envoyé au domaine de diffusion à l’aide d’une adresse MAC FF :FF :FF :FF :FF :FF. Chaque périphérique du domaine de diffusion reconnaît cette adresse MAC et transmet le trafic de diffusion aux autres périphériques du domaine de diffusion, le cas échéant. La diffusion peut être comparée à l’unicast (envoi de trafic à un seul nœud) ou à la multicast (distribution simultanée du trafic à un groupe de nœuds).

Toutefois, le trafic de diffusion de couche 3 est envoyé à tous les périphériques d’un réseau à l’aide d’une adresse réseau de diffusion. Par exemple, si votre adresse réseau est 10.0.0.0, l’adresse du réseau de diffusion est 10.255.255.255. Dans ce cas, seuls les périphériques appartenant au réseau 10.0.0.0 reçoivent le trafic de diffusion de couche 3. Les appareils qui n’appartiennent pas à ce réseau abandonnent le trafic.

La radiodiffusion est utilisée dans les situations suivantes :

• Le protocole ARP (Address Resolution Protocol) utilise la diffusion pour mapper les adresses MAC aux adresses IP. ARP lie dynamiquement l’adresse IP (l’adresse logique) à l’adresse MAC correcte. Avant que les paquets unicast IP puissent être envoyés, ARP découvre l’adresse MAC utilisée par l’interface Ethernet où l’adresse IP est configurée.

• Le protocole DHCP (Dynamic Host Configuration Protocol) utilise la diffusion pour attribuer dynamiquement des adresses IP aux hôtes d’un segment de réseau ou d’un sous-réseau.

• Les protocoles de routage utilisent la diffusion pour annoncer des itinéraires.

Un trafic de diffusion excessif peut parfois créer une tempête de diffusion. Une tempête de diffusion se produit lorsque des messages sont diffusés sur un réseau et que chaque message invite un nœud récepteur à répondre en diffusant ses propres messages sur le réseau. Ceci, à son tour, suscite d’autres réponses qui créent un effet boule de neige. Le réseau local est soudainement inondé de paquets, ce qui crée un trafic inutile qui entraîne de mauvaises performances du réseau, voire une perte totale du service réseau.

À compter de Junos OS version 15.1X49-D10 et de Junos OS version 17.3R1, certaines instructions de configuration CLI de couche 2 sont améliorées et certaines commandes sont modifiées. Tableau 18 et Tableau 19 fournir des listes des commandes existantes qui ont été déplacées vers de nouvelles hiérarchies ou modifiées sur les pare-feu SRX Series dans le cadre de cet effort d’amélioration de la CLI. Les tableaux ne sont fournis qu’à titre de référence de haut niveau. Pour plus d’informations sur ces commandes, consultez Explorateur CLI.

bridge-domains bridge-domain--name {
    ...
    }
}

vlans vlans-name {
    ...
    }
}

bridge-domains bridge-domain--name {
    vlan-id-list [vlan-id] ;
}

vlans vlans-name {
    vlan members [vlan-id] ;
}

bridge-options {
    interface interface-name { 
        encapsulation-type;
        ignore-encapsulation-mismatch;
        pseudowire-status-tlv;
        static-mac mac-address {
            vlan-id vlan-id;
        }
    }
    mac-table-aging-time seconds;
    mac-table-size {
        number;
        packet-action drop;
    }
}

switch-options {
    interface interface-name { 
        encapsulation-type;
        ignore-encapsulation-mismatch;
        pseudowire-status-tlv;
        static-mac mac-address {
            vlan-id vlan-id;
        }
    }
    mac-table-aging-time seconds;
    mac-table-size {
        number;
        packet-action drop;
    }
}

bridge {
    block-non-ip-all;
    bpdu-vlan-flooding;
    bypass-non-ip-unicast;
    no-packet-flooding {
        no-trace-route;
    }
}

ethernet-switching {
    block-non-ip-all;
    bpdu-vlan-flooding;
    bypass-non-ip-unicast;
    no-packet-flooding {
        no-trace-route;
    }
}

family {
    bridge {
        bridge-domain-type (svlan| bvlan);
    ...

family {
    ethernet-switching {
    ...

...
routing-interface  irb.0;
...

...
l3-interface  irb.0;
...

Le mode nouvelle génération de couche 2, également appelé logiciel de couche 2 amélioré (ELS), est pris en charge sur les routeurs ACX5048, ACX5096 et ACX5448 pour configurer les fonctionnalités de couche 2. Les configurations et commandes d’affichage de l’interface de ligne de commande de couche 2 pour les routeurs ACX5048, ACX5096, ACX5448, ACX710, ACX7100, ACX7024 et ACX7509 diffèrent de celles des autres routeurs ACX Series (ACX1000, ACX1100, ACX2000, ACX2100, ACX2200 et ACX4000) et des routeurs MX Series.

Tableau 20 montre les différences dans la hiérarchie CLI pour la configuration des entités de couche 2 en mode nouvelle génération de couche 2.

Tableau 21 montre les différences entre show les commandes pour les entités de couche 2 en mode nouvelle génération de couche 2.