Modos de conmutación de puerto Ethernet en dispositivos de seguridad

Puertos y dispositivos compatibles

Juniper Networks admite funciones de conmutación en una variedad de puertos y dispositivos Ethernet (consulte la tabla 1). La compatibilidad de plataforma depende de la versión de Junos OS en su instalación. Se incluyen los siguientes puertos y dispositivos:

• Puertos Ethernet incorporados (puertos integrados Gigabit y Fast Ethernet) en los dispositivos SRX300, SRX320, SRX320 PoE, SRX340, SRX345, SRX550M y SRX1500.

• XPIM Gigabit Ethernet multipuerto en el dispositivo SRX650.

en la SRX100. dispositivos SRX220, SRX240, SRX300, SRX320, SRX340 y SRX345, puede configurar los puertos Gigabit Ethernet integrados para que funcionen como puertos conmutados o como puertos enrutados. (La compatibilidad de plataforma depende de la versión de Junos OS en su instalación).

Puente y enrutamiento integrados

El puente y enrutamiento integrados (IRB) proporciona soporte para la conmutación de capa 2 y el enrutamiento de capa 3 simultáneos dentro de la misma VLAN. Los paquetes que llegan a una interfaz de la VLAN se conmutan o enrutan en función de la dirección MAC de destino del paquete. Los paquetes con la dirección MAC del enrutador como destino se enrutan a otras interfaces de capa 3.

Protocolo de descubrimiento de capa de vínculo y descubrimiento de punto de conexión LLDP-Media

Los dispositivos usan el protocolo de detección de capa de vínculo (LLDP) y el descubrimiento de puntos de conexión de medios (MED) para aprender y distribuir información del dispositivo sobre vínculos de red. La información permite que el dispositivo identifique rápidamente una variedad de sistemas, lo que da como resultado una LAN que interopera sin problemas y de manera eficiente.

Los dispositivos compatibles con LLDP transmiten información en mensajes de valor de longitud de tipo (TLV) a los dispositivos vecinos. La información del dispositivo puede incluir detalles específicos, como la identificación del chasis y el puerto, y el nombre del sistema y las capacidades del sistema. Los TLV aprovechan esta información de parámetros que ya se configuraron en Junos OS.

LLDP-MED va un paso más allá, intercambiando mensajes de telefonía IP entre el dispositivo y el teléfono IP. Estos mensajes TLV proporcionan información detallada acerca de la política de alimentación por Ethernet (PoE). Los TLV de administración de PoE permiten que los puertos de dispositivos anuncien el nivel de potencia y la prioridad de potencia necesarios. Por ejemplo, el dispositivo puede comparar la potencia que necesita un teléfono IP que se ejecuta en una interfaz PoE con los recursos disponibles. Si el dispositivo no puede cumplir con los recursos requeridos por el teléfono IP, el dispositivo podría negociar con el teléfono hasta que se llegue a un compromiso en la energía.

Se admiten los siguientes TLV básicos:

• Identificador de chasis: la dirección MAC asociada con el sistema local.

• Identificador de puerto: la identificación del puerto especificado en el sistema local.

• Descripción del puerto: la descripción del puerto configurada por el usuario. La descripción del puerto puede tener un máximo de 256 caracteres.

• Nombre del sistema: el nombre configurado por el usuario del sistema local. El nombre del sistema puede tener un máximo de 256 caracteres.

• Descripción general de las funciones de conmutación: esta información no se puede configurar, sino que se toma del software.

• Capacidades del sistema: la función principal realizada por el sistema. Las capacidades que admite el sistema; por ejemplo, conmutación o enrutador Ethernet. Esta información no es configurable, sino que se basa en el modelo del producto.

• Dirección de administración: la dirección de administración IP del sistema local.

Se admiten los siguientes TLV LLDP-MED:

• Capacidades de LLDP-MED: un TLV que anuncia la función principal del puerto. Los valores van de 0 a 15:

  • 0: Capacidades

  • 1: Política de red

  • 2: Identificación de la ubicación

  • 3: Potencia extendida a través de equipos de abastecimiento de energía de interfaz dependiente del medio (MDI-PSE)

  • 4. Inventario

  • 5–15: reservado

• Valores de clase de dispositivo LLDP-MED:

  • 0: clase no definida

  • 1: dispositivo de clase 1

  • 2: dispositivo de clase 2

  • 3: dispositivo de clase 3

  • 4: Dispositivo de conectividad de red

  • 5–255— Reservado

  Nota:

  A partir de Junos OS versión 15.1X49-D60 y Junos OS versión 17.3R1, el protocolo de detección de capa de vínculo (LLDP) y la detección de puntos de conexión de medios LLDP (MFD) se habilitan en dispositivos SRX300, SRX320, SRX340, SRX345, SRX550M y SRX1500.

• Política de red: un TLV que anuncia la configuración de VLAN del puerto y los atributos asociados de capa 2 y capa 3. Los atributos incluyen el identificador de política, los tipos de aplicación, como voz o transmisión de video, el etiquetado de VLAN 802.1Q, y los bits de prioridad 802.1p y puntos de código Diffserv.

• Ubicación del punto de conexión: un TLV que anuncia la ubicación física del punto de conexión.

• Potencia extendida a través de MDI: un TLV que anuncia el tipo de alimentación, la fuente de alimentación, la prioridad de alimentación y el valor de potencia del puerto. Es responsabilidad del dispositivo PSE (dispositivo de conectividad de red) anunciar la prioridad de alimentación en un puerto.

LLDP y LLDP-MED deben configurarse explícitamente en uPIM (en modo de conmutación mejorado) en puertos base en dispositivos SRX100, SRX210, SRX240, SRX300, SRX320, SRX340 y SRX345 y módulos de interfaz física de Gigabit Backplane (GPIM) en dispositivos SRX650. (La compatibilidad de plataforma depende de la versión de Junos OS en su instalación). Para configurar LLDP en todas las interfaces o en una interfaz específica, utilice la lldp instrucción en el nivel de jerarquía [set protocols]. Para configurar LLDP-MED en todas las interfaces o en una interfaz específica, utilice la lldp-med instrucción en el nivel de jerarquía [set protocols].

Tipos de puertos de conmutación

Los puertos, o interfaces, en un conmutador funcionan en modo de acceso o en modo de troncalización.

Una interfaz en modo de acceso se conecta a un dispositivo de red, como una computadora de escritorio, un teléfono IP, una impresora, un servidor de archivos o una cámara de seguridad. La interfaz en sí pertenece a una sola VLAN. Las tramas transmitidas a través de una interfaz de acceso son tramas Ethernet normales.

Las interfaces troncales administran el tráfico de varias VLAN, lo que multiplexa el tráfico para todas esas VLAN sobre la misma conexión física. Las interfaces troncalizadas se utilizan generalmente para interconectar conmutadores entre sí.

uPIM en cadena

No puede combinar varios uPIM para que actúen como un único conmutador integrado. Sin embargo, puede conectar uPIM en el mismo chasis externamente conectando físicamente un puerto en un uPIM a un puerto en otro uPIM en forma de conexión en cadena.

Dos o más uPIM conectados en cadena crean un único conmutador con un recuento de puertos mayor que cualquiera de los uPIM individuales. Un puerto en cada uPIM se utiliza únicamente para la conexión. Por ejemplo, si conecta en cadena un uPIM de 6 puertos y un uPIM de 8 puertos, el resultado funciona como un uPIM de 12 puertos. Cualquier puerto de un uPIM se puede usar para la conexión en cadena.

Configure la dirección IP para solo uno de los uPIM conectados en cadena, convirtiéndolo en el uPIM principal. El uPIM secundario enruta el tráfico al uPIM principal, que lo reenvía al motor de enrutamiento. Esto provoca un aumento de la latencia y caídas de paquetes debido a un exceso de suscripción del vínculo externo.

Solo se admite un vínculo entre los dos uPIM. La conexión de más de un vínculo entre uPIM crea una topología de bucle, que no se admite.

Etiquetado de VLAN Q-in-Q

La tunelización Q-in-Q, definida por el estándar IEEE 802.1ad, permite a los proveedores de servicios en redes de acceso Ethernet extender una conexión Ethernet de capa 2 entre dos sitios de cliente.

En la tunelización Q-in-Q, a medida que un paquete viaja de una VLAN de cliente (C-VLAN) a una VLAN de un proveedor de servicios, se agrega una etiqueta 802.1Q específica del proveedor de servicios al paquete. Esta etiqueta adicional se utiliza para dividir el tráfico en las VLAN de servicio definidas por el proveedor de servicios (S-VLAN). La etiqueta 802.1Q original del cliente en el paquete se mantiene y transmite de forma transparente, pasando a través de la red del proveedor de servicios. A medida que el paquete abandona la S-VLAN en la dirección descendente, se elimina la etiqueta 802.1Q adicional.

Hay tres maneras de asignar C-VLAN a una S-VLAN:

• Agrupación todo en uno: utilice la dot1q-tunneling instrucción en el nivel de jerarquía [edit vlans] para asignar sin especificar VLAN de cliente. Todos los paquetes de una interfaz de acceso específica se asignan a la S-VLAN.

• Agrupación varios a uno: utilice la customer-vlans instrucción en el nivel de jerarquía [edit vlans] para especificar qué C-VLAN se asignan a la S-VLAN.

• Asignación de C-VLAN en una interfaz específica: utilice la mapping instrucción en el nivel de jerarquía [edit vlans] para asignar una C-VLAN específica en una interfaz de acceso especificada a la S-VLAN.

En la tabla 2 , se enumera la asignación de C-VLAN a S-VLAN admitida en los firewalls de la serie SRX. (La compatibilidad de plataforma depende de la versión de Junos OS en su instalación).

Las interfaces IRB se admiten en VLAN Q-in-Q para dispositivos SRX210, SRX240, SRX340, SRX345 y SRX650. Los paquetes que llegan a una interfaz IRB en una VLAN Q-in-Q se enrutan independientemente de si el paquete tiene una o dos etiquetas. Los paquetes enrutados salientes contienen una etiqueta S-VLAN solo cuando salen de una interfaz troncal; Los paquetes salen de la interfaz sin etiqueta cuando salen de una interfaz de acceso. (La compatibilidad de plataforma depende de la versión de Junos OS en su instalación).

En una implementación Q-in-Q, los paquetes de clientes de interfaces descendentes se transportan sin ningún cambio a las direcciones MAC de origen y destino. Puede deshabilitar el aprendizaje de la dirección MAC tanto en el nivel de la interfaz como en el de VLAN. Deshabilitar el aprendizaje de dirección MAC en una interfaz deshabilita el aprendizaje para todas las VLAN a las cuales pertenece esa interfaz. Cuando desactive el aprendizaje de dirección MAC en una VLAN, se vaciarán las direcciones MAC que ya se hayan aprendido.

En dispositivos SRX100, SRX210, SRX240, SRX300, SRX320, SRX340, SRX345 y SRX650 (con compatibilidad de plataforma que depende de la versión de Junos OS en su instalación), en la Ethernet agregada de capa 3, no se admiten las siguientes características:

• Encapsulaciones (como CCC, VLAN CCC, VPLS y PPPoE)

• J-Web

• A partir de la versión 19.4R2 de Junos OS, puede configurar el LLDP en interfaces Ethernet redundantes (reth). Utilice el comando para configurar LLDP en la set protocol lldp interface <reth-interface> interfaz reth.

• En SRX550M dispositivos, la interfaz Ethernet agregada (ae) con la interfaz miembro XE no se puede configurar con la familia de conmutación Ethernet.

• En dispositivos SRX300, SRX320, SRX340, SRX345 y SRX550M, la compatibilidad con Q-in-Q en una interfaz de capa 3 tiene las siguientes limitaciones:

  • El doble etiquetado no se admite en interfaces reth y ae.

  • El enrutamiento multitopología no se admite en el modo de flujo ni en los clústeres de chasis.

  • Las tramas con etiqueta dual no se admiten en encapsulaciones (como CCC, TCC, VPLS y PPPoE)

  • En las interfaces lógicas de capa 3, input-vlan-map, output-vlan-map, inner-rangey inner-list no son aplicables

  • Solo se admiten TPID con 0x8100 y el número máximo de etiquetas es 2.

  • Las tramas con etiqueta dual solo se aceptan para interfaces lógicas con familias IPV4 e IPv6.

• En dispositivos SRX100, SRX210, SRX240, SRX300, SRX320, SRX340, SRX345 y SRX650 (con compatibilidad de plataforma que depende de la versión de Junos OS en su instalación), en la interfaz de VLAN enrutada (RVI), no se admiten las siguientes características:

  • SI-SI (ISO de familia)

  • Encapsulaciones (ya sea CCC, VLAN CCC, VPLS, PPPoE, etc.) en interfaces VLAN

  • CLNS

  • DVMRP

  • Cambio en MAC de interfaz VLAN

  • G-ARP

  • Cambio de ID de VLAN para interfaz VLAN