Switches ArubaOS – Voice VLANs

A utilização de VLANs (Virtual Local Area Network) na rede local permite que uma rede física seja dividida em várias redes lógicas dentro de um Switch.

A utilização de uma VLAN especifica para voz permite a aplicação de diferentes politicas devido as necessidades do tráfego de voz, como por exemplo a implementação de QoS para esse serviço.

Nesse video comentamos o uso de voice vlan e do device profile em Switches ArubaOS.

Os desafios do Loop Guard em Switches HP, Officeconnect, ArubaOS, CX, Instant On

A interoperabilidade entre switches de diferentes fabricante é um desafio para os administradores de rede. As incorporações da indústria e as novas demandas tecnológicas trazem um desafio extra para aprender a gerenciar diferentes switches do mesmo fabricante. A funcionalidade Loop Guard do spanning-tree possui diferentes nomes entre diferentes sistemas operacionais e exigem uma leitura minuciosa dos guias de configuração dos fabricantes para cada modelo de Switch e seus novos releases.

Nesse vídeo fazemos a comparação do Loop Guard e as pequenas variações de nome para a mesma funcionalidades em Switches do fabricante HP/Aruba:

HP 1910 – Loop Protection https://support.hpe.com/hpesc/public/docDisplay?docId=emr_na-c02965327
HP 1920 – Loop Protection https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=c04463799
HP 1920S- Loop Guard https://oss.arubase.club/wp-content/uploads/2019/09/HPE-OfficeConnect-1920S-Configuration-Guide.pdf
ArubaOS – Loop-guard https://techhub.hpe.com/eginfolib/networking/docs/switches/WB/15-18/5998-8156_wb_2926_atmg/content/ch05s08.html
ArubaCX – Loop-guard https://www.arubanetworks.com/techdocs/AOS-CX/10.08/HTML/l2_bridging_4100i-6000-6100-6200/Content/Chp_stp/mstp_cmds/spa-tre-loo-gua.htm
Comware – loop-protection https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=a00041113en_us

Switches ArubaOS – Protocolo LLDP

O protocolo LLDP(802.1AB) permite que dispositivos de rede como Servidores, Switches e Roteadores, descubram uns aos outros. O LLDP opera na camada de enlace do modelo OSI (camada 2) permitindo que informações básicas como hostname, versão do Sistema Operacional , endereço da interface, entre outros, sejam aprendidas dinamicamente por equipamentos diretamente conectados.

Com o LLDP podemos fazer o mapeamento de quais equipamentos conectam entre si e em quais portas, como também o aprendizado dinâmico para configurações de voice vlan, etc.

O mais bacana do Link Layer Discovery Protocol (LLDP) é a integração entre equipamentos de diversos fabricantes;

Para habilitar o LLDP em Switches ArubaOS digite:

Switch(config)# lldp run

Para desabilitar utilize o comando “no”:

Switch(config)# no lldp run

Para visualizar os dispositivos detectados digite show lldp info remote-service:

Switch# show lldp info remote-device

 LLDP Remote Devices Information

  LocalPort | ChassisId                 PortId PortDescr SysName
  --------- + ------------------------- ------ --------- ----------------------
   23       | SW_LAB_DIEGO.internal... Fas...
   23       | 0c 27 24 0b 82 aa         Fa0/47 FastEt... SW_LAB_DIEGO.inter...
   24       | SW_LAB_ DIEGO.internal... Fas...
   24       | 0c 27 24 0b 82 aa         Fa0/48 FastEt... SW_LAB_DIEGO.inter...

Para visualizar as informações locais:

Switch(config)# show lldp info local-device
 LLDP Local Device Information
  Chassis Type : mac-address
  Chassis Id   : a0 1d 48 37 a2 e7
  System Name  : Switch
  System Description : HP J9773A 2530-24G-PoEP Switch, revision YA.16.10.00...
  System Capabilities Supported: bridge
  System Capabilities Enabled: bridge
  Management Address  :
     Type: ipv4
     Address: 192.168.100.8

Até logo!

Switches ArubaOS – Economizando energia com Energy Efficient Ethernet

Para atender às necessidades de eficiência energética de uma rede campus, a Aruba, tem projetado switches com recursos de economia de energia tanto no hardware quanto no software para redução no consumo de energia de switch/módulos, portas e LEDs.

O Energy Efficient Ethernet (EEE) é um padrão de camada física (IEEE 802.3az) que reduz o consumo de energia da rede em períodos ociosos. Com o padrão, a economia de energia é alcançada tanto no switch transmissor quanto no equipamento receptor. Para isso as extremidades do link precisam suportar o 802.3az com a utilização do pacote LLDP-TLV, contendo o status EEE e as mudanças negociadas em ambos lados do link. Assim, a economia de energia acontece em tempo real e pode ser realizada em todos os equipamentos da rede.

Configurando o Energy Efficient Ethernet:

Switch(config)# interface <PORT-LIST> energy-efficient-ethernet

Removendo a configuração de Energy Efficient Ethernet:

Switch(config)# no interface <PORT-LIST> energy-efficient-ethernet

Comando show energy-efficient-ethernet

Switch(config)# show energy-efficient-ethernet

  Port  | EEE Config Current Status txWake(us)
  —– + ———- ————– ———-
  1     | Enabled    Active         17
  2     | Enabled    Inactive       –
  3     | Enabled    Inactive       –

Switches 3810M e 5400R

Os switches 3810M e 5400R possuem funcionalidades para economia de energia para seus módulos. Uma informação interessante é que se o slot do módulo não estiver preenchido, a energia ainda será fornecida ao slot mesmo quando não estiver em uso.

Desativar a energia do módulo permite economizar uma quantidade considerável de energia. Uma vez que a energia do slot é desativada, o slot não estará mais funcional até que a energia esteja de volta.

Desabilitando a energia no flexible-module do Switch 3810M

3810M(config)# savepower flexible-module <SLOT-ID> member <STACK-MEMBER>

Habilitando a energia no Flexible-module do Switch 3810M:

3810M(config)# no savepower flexible-module <SLOT-ID> member <STACK-MEMBER>

Desabilitando a energia no modulo do Switch 5400R:

5400R(config)# savepower module
SLOT-LIST Slot id, range, or ‘all’.

Habilitando a energia no modulo do Switch 5400R:

5400R(config)# no savepower module
SLOT-LIST Slot id, range, or ‘all’

Desligar os leds do switch

Os LEDs no switch fornecem informações visuais do status da atividade de link e outras informações. Desligar os LEDs do switch quando não for necessário, ajuda a economizar energia, especialmente em grandes implantações onde alguns watts por switch podem somar um valor considerável. Ativar esse recurso desliga todos os LEDs do switch, exceto o LED de energia principal. Isso inclui todos os LEDs de link e modo de porta, bem como todos os LEDs de status.

Desligar os LEDs:

3810M(config)# savepower led

Ligar os LEDs:

3810M(config)# no savepower led

Comando show savepower led

Switch(config)# show savepower led
LED Save Power Information
Configuration Status : Enabled

Desligue as portas não utilizada

Este recurso de economia de energia coloca as portas não utilizadas em um modo de baixa potência quando as portas não estão conectadas à algum equipamento. Em um cenário comum a porta provisiona energia, mesmo quando não há conexão. Os comandos CLI permitem habilitar/desativar esse recurso colocando a porta automaticamente em modo de baixa potência, quando as portas não estão conectadas.

Configurando enconomia de energia nas portas:

Switch(config)# savepower port-low-pwr

Verificando a configuração port-low-pwr:

Switch(config)# show savepower port-low-pwr
 Port Save Power Information
 Configuration Status : Enabled

Referência

Technical Whitepaper: Aruba Switch Green Feature

Switches ArubaOS – Informações dos transceivers

Para exibir informações detalhadas de diagnóstico do transceptor de interface, digite o comando show interfaces transceiver [número da porta]:

switch(config)# show interfaces transceiver 21
Transceiver Technical information:
Port Type Product Serial Part
Number Number Number
21 1000SX J4858C xxxxxx 1990-3657

Para mais informações utilize “detail”:

switch(config)# show interfaces transceiver 21 detail
Transceiver in 21
Interface index : 21
Type : 1000SX
Model : J4858C
Connector type : LC
Wavelength : 850nm
Transfer distance : 300m (50um), 150m (62.5um),
Diagnostic support : DOM
Serial number : -------
Status Temperature : 50.111C 
Voltage : 3.1234V 
TX Bias : 6mA TX 
Power : 0.2650mW, -5.768dBm 
RX Power : 0.3892mW, -4.098dBm 

Para visualizar todas as interfaces digite: show interfaces transceiver all ou show tech transceivers

Switches ArubaOS – BPDU Protection

O BPDU Protection é um recurso de segurança projetado para proteger a topologia do STP impedindo que pacotes BPDU não esperados/planejados entrem no domínio STP.

Em uma implementação típica, a proteção BPDU seria aplicada a portas conectadas a dispositivos de usuário final que não executam STP. Se os pacotes STP BPDU forem recebidos em uma porta protegida, o recurso desabilitará essa porta e alertará o gerenciador de rede por meio de um trap SNMP.

Configuração

  1. Habilitar o BPDU Guard na interface A4 do switch e configurar timeout do BPDU para 60s.
spanning-tree A4 bpdu-protection
spanning-tree bpdu-protection-timeout 60
spanning-tree trap errant-bpdu

Conectar um notebook na porta A4 e verificar que a porta fica em forwarding.

  HP-5406zl(config)# show spanning-tree | i A4
BPDU Protected Ports : A4    
A4     100/1000T  | 20000     128  Forwarding   | c09134-eeec00 2    Yes No 
  • Conectando um switch de acesso no lugar do notebook na porta A4 e validando o bloqueio da porta
  HP-5406zl(config)# show spanning-tree | i A4
  BPDU Protected Ports : A4                                    
   A4     100/1000T  | 20000     128  BpduError   | 2    Yes No 
  • Remover o switch e conectar o notebook na porta A4. A porta deve retornar a forwarding após o timeout do BPDU configurado.

No log temos a indicação da porta desabilitando ao receber um BPDU. Em um segundo momento, após desconectar o switch de acesso e conectar o notebook) a porta voltou após o timeout configurado:

W 11/05/22 18:12:34 00840 stp: port A4 disabled - BPDU received on protected port.
I 11/05/22 18:12:34 00898 ports: BPDU protect(5) has disabled port A4 for 60  seconds
I 11/05/15 18:12:34 00077 ports: port A4 is now off-line
I 11/05/22 18:13:34 00900 ports: port A4 timer (5) has expired
I 11/05/22 18:13:38 00435 ports: port A4 is Blocked by STP
I 11/05/22 18:13:41 00076 ports: port A4 is now on-line

Vídeo: Switches ArubaOS – Protegendo o Spanning-Tree

O protocolo Spanning-Tree é bastante vulnerável a ataques pela simplicidade de sua arquitetura e falta de mecanismos de autenticação. O protocolo STP não impede em sua arquitetura que um novo switch adicionado à rede seja configurado erradamente com a prioridade 0 (zero) e que dessa forma possa tomar o lugar do switch root, ocasionando uma nova convergência da LAN para a topologia a partir do novo Switch Root.

Os ataques ao protocolo STP geralmente têm como objetivo assumir a identidade do switch root da rede, ocasionando assim cenários de indisponibilidade na rede. Programas como o Yersinia permitem gerar esse tipo de ataque. Há também cenários em que usuários adicionam switches não gerenciados e hubs (propositadamente ou não) com o intuito de fornecer mais pontos de rede em ambientes que deveriam ser controlados.

Funcionalidades comentadas no video para mitigar os ataques ao STP, são: Root Guard, BPDU Protection (BPDU guard) com STP admin-edged-port (portfast) e loop guard.

Switches ArubaOs – Configurando um Range de Interfaces

Os switches ArubaOS permitem o agrupamento de portas  para determinadas configurações, como por exemplo, atribuir uma VLAN a diversas portas ao mesmo tempo.

Segue abaixo uma dica que pode agilizar a vida de muitos administradores:

switch# configure terminal
switch(config)# interface 9-10
! agrupando  as portas 9 e 10 para configuração
switch(eth-9-10)# untagged 2
! configurando as portas para participarem da VLAN 2
switch(eth-9-10)# dldp enable
! habilitando o dldp nas portas 9 e 10
switch(eth-9-10)# exit
switch(config)#
switch(config)# interface 11-15,17
! agrupando  as portas 11, 12, 13, 14,15 e 17 para configuração 
switch(eth-11-15,17)# untagged vlan 5
! configurando as portas para participarem da VLAN 5 

Validando a configuração com o comando show running-config structured :

switch(config)# show running-config structured | begin interface 9
interface 9
   dldp enable
   untagged vlan 2
   exit
interface 10
   dldp enable
   untagged vlan 2
   exit
interface 11
   untagged vlan 5
   exit
interface 12
   untagged vlan 5
   exit
interface 13
   untagged vlan 5
   exit
interface 14
   untagged vlan 5
   exit
interface 15
   untagged vlan 5
   exit
interface 16
   untagged vlan 1
   exit
interface 17
   untagged vlan 5
   exit

Até logo!