Switching

Smart Rate (Multi-Gigabit Ethernet)

Diego DiasLeave a comment

As novas tecnologias de rede sem fio já exigem banda superior a velocidade das portas Gigabit Ethernet para os uplinks. O movimento dos serviços críticos também para o acesso wireless, como ferramentas e aplicações em nuvem, serviços multimídia e colaboração, demandam por velocidade intermediária entre as interfaces Ethernet de 1Gbs e 10Gb para o tráfego de rede quando se utiliza os padrões 802.11ac e 802.11ax (Wi-fi 5 e Wi-fi 6, respectivamente), somando a isso, inclui-se a necessidade de PoE para o tráfego acima de 1Gbs. Estes desafios possibilitaram o desenvolvimento do padrão 802.3bz (Multi-Gigabit Ethernet) e a sua rápida adoção pelo mercado.

 A tecnologia Smart Rate Multi-Gigabit Ethernet possibilita que a infraestrutura de rede atenda às necessidades das novas tecnologias de alta velocidade para interfaces de rede com velocidade de 1GbE, 2.5GbE, 5GbE e 10GbE (incluindo PoE, PoE+ e 802.3bt), utilizando o cabeamento de par trançado já existente.

Por exemplo, o padrão 802.3bz permite que o cabeamento CAT5e alcance a velocidade de 2,5Gb/s e o CAT6 alcance os 5Gbs, sem a substituição do cabeamento em uso. O padrão também fornece energia para Access Points de alta velocidade, demandada pelos novos APs 802.11ac wave 2 e 802.11ax, economizando as despesas para substituição e a complexidade da nova infraestrutura de cabeamento.

O que é o Smart Rate?

A tecnologia Multi-Gigabit Ethernet da HPE/Aruba é nomeada como Smart Rate. Ela é uma interface de rede de par trançado, interoperável com o ecossistema NBASE-T de produtos 2,5/5Gbps, bem como com dispositivos padrão de mercado de 1GbE/10GbE. Ela permite que a maioria das instalações de cabos existentes encontradas em ambientes LAN do campus forneçam conectividade, distribuam energia PoE para dispositivos conectados e protejam a rede cabeada para investimentos de novos APs para rede sem fio.

Para os switches com suporte ao IEEE 802.3bt, as portas do switch com Smart Rate fornecem até 60W de Power over Ethernet, independentemente da velocidade da porta. O mecanismo usado na interface Multi-Gigabit Ethernet para fornecer e receber energia sobre cabeamento estruturado de par trançado é totalmente compatível com as especificações IEEE 802.3bt e IEEE 802.3at PoE.

As portas Smart Rate são auto-negociáveis, o que permite que o link Ethernet se estabeleça na velocidade mais alta em uma determinada configuração de cabo. No exemplo abaixo, alguns parâmetros de configuração da velocidade da porta no ArubaOS.

Validando uma interface Smart Rate de um 335 AP:

AP-01# show interface
eth0 is up, line protocol is up
 Hardware is 5 Gigabit Ethernet, address is a8:bd:27:12:34:56
 Speed 5000Mb/s, duplex full
 Received packets                 2541229
 Received bytes                   270781542
 Receive dropped                  0
 Receive errors                   0
 Receive missed errors            0
 Receive overrun errors           0
 Receive frame errors             0
 Receive CRC errors               0
 Receive length errors            0
 Transmitted packets              176421
 Transmitted bytes                19895301
 Transmitted dropped              0
 Transmission errors              0
 Lost carrier                     0

Validando a interface smart rate de um Switch 5412r:

HP-Switch-5412Rzl2# show interfaces J24 smartrate
 Status and Counters - Smart Rate information for Port J24
  Model                   : 0x03a1
  Chip                    : 0xb4b3
  Firmware                : 2.b.9
  Provisioning            : 0x0003
  Current SNR Margin (dB) |      Chan1      Chan2      Chan3      Chan4
                                  9.4       10.7        6.9        8.2
  Minimum SNR Margin (dB) |      Chan1      Chan2      Chan3      Chan4
                                  8.5       10.2        6.5        7.4
  Ethernet FCS errors            : 0
  Uncorrected LDPC errors        : 0

  Corrected LDPC erros
  LDPC iteration 1  : 2810815821
  LDPC iteration 2  : 1589277
  LDPC iteration 3  : 0
  LDPC iteration 4  : 0
  LDPC iteration 5  : 0
  LDPC iteration 6  : 0
  LDPC iteration 7  : 0
  LDPC iteration 8  : 0
    0  | Number of RFI Cancellation Events.
    0  | Number of Link Recovery Events.
    0  | Accumulated time (ms) spent in Fast Retrain.

  Established link speed                 : 5G NBASE-T
  Number of attempts to establish link   : 1
  Uptime since link was established      : 2021 seconds
  Local Port advertised capabilities
  1000BASE-T | 2.5G NBASE-T | 5G NBASE-T | 2.5GBASE-T | 5GBASE-T | 10GBASE-T
  Yes        | Yes          | Yes        | Yes        | Yes      | Yes
  Link Partner advertised capabilities
  1000BASE-T | 2.5G NBASE-T | 5G NBASE-T | 2.5GBASE-T | 5GBASE-T | 10GBASE-T
  Yes        | Yes          | Yes        | No         | No       | No

Até o próximo post!

Referências

Click to access SO_SmartRate.pdf

https://en.wikipedia.org/wiki/2.5GBASE-T_and_5GBASE-T

https://www.versatek.com/blog/ieee-802-3bz-breaking-1-gbps-barrier-without-recabling/

https://blogs.arubanetworks.com/solutions/go-faster-with-new-aruba-2930m-smart-rate-switches/

https://community.arubanetworks.com/t5/Wireless-Access/AP-335-smart-rates-port-info/td-p/286547

Whitepaper: Turbo Charging Cabling Infrastructures – HPE SMART RATE MULTI-GIGABIT ETHERNET TECHNOLOGY

Comware7: IP Source Guard

Diego DiasLeave a comment

A funcionalidade IP Source Guard (IPSG) configurada em Switches impede ataques spoofing na LAN utilizando uma tabela com registros de endereços da rede para comparar os pacotes legítimos. A feature descarta pacotes que não correspondem à tabela de endereços legítimos.

As consultas efetuadas com os endereços legítimos podem conter:

• IP-interface.
• MAC-interface.
• IP-MAC-interface.
• IP-VLAN-interface.
• MAC-VLAN-interface.
• IP-MAC-VLAN-interface.

Os registros consultados pelo IP Source Guard podem ser estáticos ou dinâmicos. Por exemplo, se um host falsifica o endereço IP ou MAC de um host para ataques MITM ou DoS, a feature identificará o frame falsificado e o descartará.

As entradas (bindings) de IPSG estáticas são adequados para cenários onde existem poucos hosts em uma LAN e seus endereços IP são configurados manualmente. Por exemplo, você pode configurar em uma interface que se conecta a um servidor. Esse registro permite que a interface receba pacotes apenas do servidor.

Os registros IPSG estático em uma interface implementam as seguintes funções:

• Filtrar pacotes IPv4 ou IPv6 de entrada na interface.

• Cooperar com a detecção de ataques ARP no IPv4 para verificação de validade do usuário.

Ligações IPSG estáticas são específicas da interface. Uma ligação IPSG estática vincula o endereço IP, MAC, VLAN ou qualquer combinação dos itens na visualização da interface.

Configuração estática

[DeviceB] interface gigabitethernet 1/0/1
[DeviceB-GigabitEthernet1/0/1] ip verify source ip-address mac-address
[DeviceB-GigabitEthernet1/0/1] ip source binding mac-address 0001-0203-0407
[DeviceB-GigabitEthernet1/0/1] quit
#
[DeviceB] interface gigabitethernet 1/0/2
[DeviceB-GigabitEthernet1/0/2] ip verify source ip-address mac-address
[DeviceB-GigabitEthernet1/0/2] ip source binding ip-address 192.168.0.1 mac-address 0001-0203-0406
[DeviceB-GigabitEthernet1/0/2] quit
#

Output

[DeviceB] display ip source binding static
Total entries found: 2
IP Address  MAC Address    Interface    VLAN Type
192.168.0.1 0001-0203-0406 GE1/0/2       N/A Static
N/A         0001-0203-0407 GE1/0/1       N/A Static

IPSG com DHCP Snooping

A feature DHCP Snooping permite a proteção da rede contra Servidores DHCP não autorizados. O comando dhcp-snooping configurado globalmente, faz o Switch filtrar as mensagens DHCP Offer e DHCP Ack, encaminhadas pelo falso Servidor DHCP. A configuração atribui para todas as portas do Switch como untrusted (não confiável) – sendo necessário a configuração manual do servidor DHCP como trust (confiável).

Uma vez em funcionamento o DHCP Snooping popula uma tabela que contém o endereço IP liberado pelo servidor DHCP com o endereço MAC do host e essa tabela pode ser utilizada pelo IPSG para proteção de ataques spoofing.

As consultas IPSG que forem baseadas no serviço DHCP são adequadas para cenários em que os hosts da rede local obtêm o endereço IP através do DHCP. O IPSG com DHCP Snooping fará apenas a leitura dos endereços fornecidos via DHCP da tabela dhcp-snooping.

Configurando o IPSG com DHCP Snooping

[Device] dhcp snooping enable
#
[Device] interface gigabitethernet 1/0/2
[Device-GigabitEthernet1/0/2] dhcp snooping trust
[Device-GigabitEthernet1/0/2] quit
# 
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip verify source ip-address mac-address
# Enable recording of client information in DHCP snooping entries on GigabitEthernet 1/0/1.
[Device-GigabitEthernet1/0/1] dhcp snooping binding record
[Device-GigabitEthernet1/0/1] quit

Output

[Device] display ip source binding dhcp-snooping
Total entries found: 1
IP Address MAC Address Interface VLAN Type
192.168.0.1 0001-0203-0406 GE1/0/1 1 DHCP snooping

Referência

HPE FlexNetwork MSR Router Series – Comware 7 Security Configuration Guide

Comware 7: Scripts TCL e Python

Diego DiasLeave a comment

Uma novidade bem legal da versão 7 do Comware (Sistema Operacional de Switches e Roteadores HP) é o suporte para scripts TCL e Python.

Um grupo de HPN criou um repositório dos scripts no GITHUB https://github.com/networkingdvi/HPN-Scripting#hpn-scripting

O repositório é totalmente free e para ter contato com a galera, acesse: http://abouthpnetworking.com/2014/06/22/hpn-scripting-on-github/

abração

Switches ArubaOS: Segurança nos botões frontais

Diego DiasLeave a comment

Os switches Aruba usam botões Reset e Clear no painel frontal para permitir que os usuários reiniciem (reset) a configuração do switch para o padrão de fábrica ou para redefinir a senha do console (clear). Esses recursos criam um risco de segurança e para ambientes não controlados ao switch. Recomenda-se que os administradores desabilitem esses recursos.

É importante entender que desativar esses recursos restringe severamente as opções da equipe de TI para recuperar um switch em cenários que não se possui as credenciais de acesso.

Esses botões permitem que um simples clip de papel possa limpar as senhas (clear). O botão clear não apaga a configuração e não desliga o switch, apenas apaga as senhas.

switch(config)# no front-panel-security password-clear
switch(config)# no front-panel-security factory-reset

Observações

– Pressionar o botão Clear por um segundo redefine a(s) senha(s) configurada(s) no switch.

– Pressionar o botão Reset sozinho por um segundo faz com que o switch seja reinicializado.

– Você também pode usar o botão Reset junto com o botão Clear (Reset + Clear) para restaurar o padrão de fábrica configuração do switch.

– Para validar utilize show front-panel-security

Referências

ArubaOS-Switch Hardening Guide for 16.06

Aruba 2930F / 2930M Access Security Guide for ArubaOS-Switch

HP v1910 – Port Isolation group

Diego DiasLeave a comment

A feature port isolate permite ao administrador isolar portas do Switch dentro de um grupo para impossibilitar a comunicação das máquinas pertencentes ao grupo, de uma maneira fácil e prática. A comunicação das interfaces do Switch configuradas com port isolation group ocorrerá somente com as portas que não possuem o comando aplicado.

O  Switch HP v1910 suporta apenas um único grupo de isolamento (até o momento) que é criado automaticamente pelo sistema como grupo 1. Não é possível remover o grupo e nem criar outros grupos de isolamento.

Não há nenhuma restrição no número de portas atribuídos a um port isolation group .

Por exemplo, se você possui 3 servidores de diferentes cliente em um mesmo Switch na porta Giga1/0/2, Giga1/0/3 e Giga1/0/4 e em uma mesma VLAN, mas não quer permitir a conexão entre eles,configure as portas 2 , 3 e 4  do Switch como port isolation group para limitar a comunicação entre os servidores.

Imaginando nesse mesmo exemplo que o roteador esteja na porta Giga1/0/1 do Switch (porta não configurada como port isolation group), a comunicação das máquinas com esse roteador /firewall ocorrerá normalmente.

Para configurar via web selecione Security > Port Isolate Group e clique em Modify…

Comware: DHCP Relay Agent

Diego DiasLeave a comment

A feature DHCP Relay permite ao Switch L3 ou Roteador encaminhar as mensagens DHCP em broadcast em unicast para determinado servidor, possibilitando assim utilização de um único servidor DHCP para toda a LAN.

Devido ao fato das solicitações de endereço IP ao servidor DHCP ocorrerem em broadcast, o Switch L3/Roteador configurado com a feature DHCP Relay encaminhará as mensagens ao Servidor DHCP em Unicast ( que está em uma VLAN diferente do host) .

O servidor DHCP entregará ao cliente o escopo correto baseado na interface IP de origem (alterada e inserida no cabeçalho DHCP).

Para o administrador do servidor DHCP bastará apenas criar os escopos no servidor.

Configurando o DHCP Relay

<SwitchA>system-view
[SwitchA] dhcp enable
! Ativando o DHCP
[SwitchA] dhcp relay server-group 1 ip 10.1.1.1
! Adicionando o servidor DHCP 10.1.1.1 dentro do grupo 1.
[SwitchA] interface vlan-interface 2
[SwitchA-Vlan-interface2] ip address 10.1.1.254 255.255.255.0
[SwitchA-Vlan-interface2] quit
[SwitchA] interface vlan-interface 40
[SwitchA-Vlan-interface40] ip address 10.2.2.254 255.255.255.0
[SwitchA-Vlan-interface40] dhcp select relay
!Ativando o DHCP relay agent na VLAN-interface 40
[SwitchA-Vlan-interface40] dhcp relay server-select 1
! Correlacionando a VLAN-interface 40 para o grupo DHCP 1

Obs: as configurações de DHCP Relay podem variar dependendo do modelo do Switch. A configuração acima foi executada em um Switch HP modelo 4800.

Configurando Link-Aggregation/Etherchannel entre Cisco IOS e HP Comware

Diego DiasLeave a comment

A agregação de diversas interfaces Ethernet (portas físicas) para a utilização de uma única porta lógica com o intuito de prover redundância e aumento de banda é uma atividade muito comum em redes de médio e grande porte .

Infelizmente o nome atribuído pelos fabricantes não segue um padrão, mas por outro lado todos possuem as mesmas funções citadas anteriormente:Etherchannel, Port-channel, Link-Aggregation, Bridge-Aggregation, Trunk  [ nome dado antigamente para agregação de portas. (Não confundam com a utilização de interface Trunk atribuída pelos Switches Cisco e 3Com. Os Switches Procurve ainda utilizam essa terminologia) ]  e etc.

Existem algumas formas de estabelecer a agregação de portas, como por exemplo:

– Manual : sem a certificação do meio por protocolos auxiliares
– PAgP : Protocolo disponível em equipamentos Cisco
– LACP : Protocolo padrão IEEE,  disponível quase todos Switches gerenciáveis.

Modos de formação de um Etherchannel em Switches Cisco

Cisco(config-if)# channel-group 1 mode ?
  active Enable LACP unconditionally
  auto       Enable PAgP only if a PAgP device is detected
  desirable  Enable PAgP unconditionally
  on         Enable Etherchannel only
  passive    Enable LACP only if a LACP device is detected

No Script abaixo mostraremos a configuraçaõ de Link Aggregation/Etherchannel entre um Switch Cisco IOS e um Switch HP baseado no Comware:

Switch Comware

#
interface Bridge-aggregation 1
link-aggregation mode dynamic
! Estabelecendo a conexão do Link-Aggregation utilizando o protocolo LACP
#
interface gigabitEthernet 1/0/1
port link-aggregation group 1
! Atribuindo a porta para negociar a agregação via protocolo LACP
#
interface gigabitEthernet 1/0/2
port link-aggregation group 1
! Atribuindo a porta para negociar a agregação via protocolo LACP

Switch Cisco IOS

!
interface port-channel 1
!
interface gigabitEthernet 1/10
channel-group 1 mode active
! Estabelecendo a conexão do Etherchannel utilizando o protocolo LACP
!
interface gigabitEthernet 1/11
channel-group 1 mode active
! Estabelecendo a conexão do Etherchannel utilizando o protocolo LACP
!

Comandos Show e Display

Switch Comware

[HPN]display link aggregation verbose
Aggregation Interface: Bridge-Aggregation1
Aggregation Mode: Dynamic
Loadsharing Type: Shar
System ID: 0x8000, 3822-d6a2-5c00

Local:
  Port             Status  Priority Oper-Key  Flag
----------------------------------------------------
GE1/0/1       S       32768    8         {ACDEF}
GE1/0/2       S       32768    8         {ACDEF}

Remote:
Actor Partner Priority Oper-Key SystemID Flag
------------------------------------------------------------
GE1/0/1 516 32768 45 0x8000, 4055-39d4-8e13 {ACDEF}
GE1/0/2 517 32768 45 0x8000, 4055-39d4-8e13 {ACDEF}

Switch Cisco IOS

Cisco#show etherchannel summary
Flags:  D - down        P - bundled in port-channel
        I - stand-alone s – suspended
        H - Hot-standby (LACP only)
        R - Layer3      S - Layer2
        U - in use      f - failed to allocate aggregator
        M - not in use, minimum links not met
        u - unsuitable for bundling
        w - waiting to be aggregated
        d - default port
Number of channel-groups in use: 2
Number of aggregators:           2
Group  Port-channel  Protocol    Ports
------+-------------+-----------+--------------------------
1     Po1(SU)        LACP      Gi1/10(P)  Gi1/11(P)

Não esqueça!!!

Sempre quando for necessario a alteração de VLANs das portas do Link Aggregation/Etherchannel faça a alteração somente na interface virtual ( port channel/ bridge-aggregation), que a configuração será replicada para as interfaces físicas.
Mantenha a consistência de VLANs nas 2 pontas do Link Aggregation/Etherchannel.

Use velocidades de portas idênticas como: interfaces 1Gb com interfaces 1G e interfaces 10Gb com interfaces 10Gb e assim por diante…

Comware: Utilizando sub-interfaces nos Rotadores HP

Diego DiasLeave a comment

A utilização de sub-interfaces em Roteadores permite a multiplexação/divisão de um único link físico em múltiplos links lógicos.

Como exemplo nos cenários abaixo, o Roteador poderá atuar tanto como Gateway para roteamento entre as VLANs X e Y no cenário A para casos em que o Roteador possua possua poucas portas disponíveis, por exemplo; como também em casos para rotear pacotes sem que as redes X e Y tenham acesso uma a outra com a utilização de VRFs , chamadas de VPN-Instance nos Roteadores HPN ( para o cenário B).

Para configurar uam sub-interface em um Roteador 8800, utilize o “.”(ponto) + o id da VLAN após o numero indicativo da porta em uma interface no modo routed.

[Roteador]interface Ten-GigabitEthernet 2/1/1.?

#

Segue um exemplo da configuração para o cenário A

interface Ten-GigabitEthernet 2/1/1.30
description VLAN_X
ip adress 192.168.20.1 255.255.255.0
quit
#
interface Ten-GigabitEthernet 2/1/1.31
description VLAN_Y
ip adress 192.168.30.1 255.255.255.0
quit
#

Em alguns modelos de Roteadores como a Serie 6600 será necessário configurar o VLAN ID, com a configuração do vlan-type dot1q vid [id da vlan] dentro da sub-interface, isto em razão do SO do Roteador não entender que é explicito o ID da VLAN no número da sub-interface. Roteadores Cisco funcionam da mesma forma.

interface Ten-GigabitEthernet 2/1/1.30
description VLAN_X
ip adress 192.168.20.1 255.255.255.0
vlan-type dot1q vid 30
quit
#
interface Ten-GigabitEthernet 2/1/1.31
description VLAN_Y
ip adress 192.168.30.1 255.255.255.0
vlan-type dot1q vid 31
quit
#

… então como as sub-interfaces estão diretamente conectadas, as rotas são adicionadas à tabela de roteamento, o equipamento fará  o roteamento de pacotes.

Já para o segundo cenário, a mesma configuração é válida, bastando apenas configurar a sub-interface com a configuração da vpn-instance antes de configurar o endereço IP.

#Criando a VRF para o cliente X
ip vpn-instance clientex
 route-distinguisher 65000:1
 vpn-target 65000:1 export-extcommunity
 vpn-target 65000:1 import-extcommunity
#
#Criando a VRF para o cliente Y
ip vpn-instance clientey
 route-distinguisher 65000:2
 vpn-target 65000:2 export-extcommunity
 vpn-target 65000:2 import-extcommunity
#
interface Ten-GigabitEthernet 2/1/1.30
description 
ip binding vpn-instance clientex
ip adress 192.168.20.1 255.255.255.0
quit
#
interface Ten-GigabitEthernet 2/1/1.31
description VLAN_Y
ip binding vpn-instance clientey
ip adress 192.168.30.1 255.255.255.0
quit
#
# as configurações do compartimento WAN de cada VRF foram omitidas
#

 obs: Uma rede não será roteada para outra a menos que estejam na mesma VRF.

Já para a configuração do Switch basta apenas configurar a interface como trunk permitindo as vlans correspondente. Se o Roteador for da Serie 6600 a configuração vlan-type dot1q vid … também será necessária (para o segundo cenário).

Um grande abraço