Comware 7

Comware: VLAN – Trunk utilizando 802.1q (dot1q)

Diego DiasLeave a comment

A utilização de VLAN (Virtual Local Area Network) permite que uma rede física seja dividida em várias redes lógicas dentro de um Switch. A partir da utilização de VLANs, uma estação não é capaz de comunicar-se com estações que não são pertencentes a mesma VLAN (para isto, é necessário a utilização de uma sub-rede por VLAN e que o tráfego passe primeiro por um roteador para chegar a outra rede [ ou utilizando um Switch Multicamada para efetuar o Roteamento]).

Se não utilizássemos uma interface como Trunk e precisássemos passar o tráfego da VLAN para o outro Switch, seria necessário a passagem de um cabo de cada VLAN para o outro dispositivo, como no exemplo abaixo.

Como a maioria dos Switches possui entre 24 e 48 portas a solução ficaria inviável , inutilizando a maioria das portas para conexões entre os dispositivos.

O protocolo IEEE 802.1q permite utilizarmos apenas um cabo na comunicação entre os Switches, marcando cada Frame (quadro) com o ID de cada VLAN.

A marcação efetuada (chamada de TAG) adiciona aos quadros Ethernet 4 bytes no frame original e calculam um novo valor de checagem de erro para o campo FCS.

Dos valores contidos dentro do campo TAG o numero da VLAN é adicionado ao campo VLAN id permitindo a identificação da VLAN entre os Switches.

Uma observação relevante é a utilização do campo Priority (também dentro da TAG) para função de QoS em camada 2 para Ethernet, chamado de 802.1p ou CoS (Class of Services), permitindo a diferenciação de classes de serviços por Switches sem a necessidade de leitura do campo IP.

Já a comunicação entre computadores no mesmo Switch que pertencem a mesma VLAN não são “tagueadas” (untagged). Muitas placas de rede para PC’s e impressoras não são compativéis com o protocolo 802.1Q e ao receberem um frame tagged, não compreenderão o TAG de VLAN e descartarão a informação.
Os Switches que recebem na sua interface Trunk um frame com TAG, irão remover o campo e entregar o quadro ao destino sem a marcação.

A regra é bem simples para a maioria dos casos (salvo exceções):

  • Para comunicação entre Switches, configure as interfaces como Trunk ( Tagged)
  • Para comunicação entre Switches e hosts, servidores, impressoras; configure as interfaces como Access (untagged) com o ID da VLAN

Configuração

Para a maioria dos Switches H3C/3Com configure as portas como trunk da seguinte maneira:

interface GigabitEthernet 1/0/x
! acesso a interface GigabitEthernet
port link-type trunk
! configuração da interface como trunk (frames encaminhados como tagged)
port trunk permit vlan all
! configuração da porta permitindo todas as VLANs no trunk

Porta de acesso

interface GigabitEthernet 1/0/x
! acesso a interface GigabitEthernet
port link-type access
! configuração da interface como acesso (frames encaminhados como untagged)
port access vlan 2
! configuração da porta na vlan 2

Para retornar a porta de alguma VLAN para a VLAN 1, digite o comando undo port access vlan dentro da interface física.

Obs: Por default os frames da VLAN 1 não são encaminhados com TAG dentro do Trunk.

Abraços a todos!!!

Gratuitous ARP em Switches baseados no Comware

Diego DiasLeave a comment

O Protocolo ARP é utilizado na comunicação entre dispositivos em uma Rede Ethernet da mesma Sub-rede que utilizam endereços IPv4. A principal função do ARP é a tradução de endereços IP em endereços MAC. O emissor encaminha em broadcast um pacote ARP contendo o endereço IP do outro host e espera uma resposta com um endereço MAC respectivo.

Em resumo, o ARP auxilia os computadores e Switches que utilizam endereços IPv4 (endereço lógico) ,  a encontrarem o endereço mac (endereço físico) das máquinas em redes Ethernet.

Todo endereço da camada de rede, precisa do mapeamento do endereço da camada de enlace.

Assim,  todos os equipamentos de rede montam uma tabela ARP dinâmica (em redes LAN), que é atualizada de tempos em tempos (o tempo pode variar dependendo do Sistema Operacional) caso alguma máquina troque de IP, ou aprenda um endereço “velho” via DHCP.

Segue abaixo a saída da tabela ARP de uma máquina rodando windows 7.

C:\Users\comutadores>arp -a
Interface: 192.168.99.104 --- 0x10
  Internet Address      Physical Address      Type
  192.168.99.1          14-d6-4d-7e-f7-d8     dynamic
  192.168.99.100        10-3b-59-c7-62-34     dynamic
  192.168.99.102        e8-8d-28-f2-60-7b     dynamic
  192.168.99.255        ff-ff-ff-ff-ff-ff     static
  224.0.0.22            01-00-5e-00-00-16     static
  224.0.0.251           01-00-5e-00-00-fb     static
  224.0.0.252           01-00-5e-00-00-fc     static
  239.255.255.250       01-00-5e-7f-ff-fa     static
  255.255.255.255       ff-ff-ff-ff-ff-ff     static

Uma das  funções do protocolo ARP é o Gratuitous ARP, que permite o envio de requisição ou resposta (contendo o mapeamento endereço IP + endereço MAC) mesmo quando não é solicitado.

O gratuitous ARP é uma mensagem enviada geralmente para atualizar a tabela ARP.

Por exemplo, imagine que todas as máquinas de uma rede possuam como gateway um Switch de Distribuição que precisa ser substituído por um novo equipamento mais robusto e moderno. Agora, imagine que essa migração deva ocorrer de maneira quase que imperceptível por inúmeras restrições. O novo Switch é então conectado a todos os outros Switches da rede, incluindo o Switch legado, e cada vez que uma interface do Switch legado é colocada em shutdown (desligada), a mesma é configurada no Switch novo.

Pense que, uma vez que o gateway é movido para outro equipamento (com o mesmo IP) o endereço mac  deverá mudar…

A configuração do gratuitous ARP deverá auxiliar nessa questão, com o novo equipamento enviando a atualização do endereço IP + MAC para todos os dispositivos da rede.

interface Vlan-interface1
 ip address 192.168.99.1 255.255.255.0
 arp send-gratuitous-arp

Após a certificação e sucesso da migração, o comando poderá ser removido da interface vlan.

[Switch-Vlan-interface1]undo arp send-gratuitous-arp

Espero ter ajudado

Comware 7: VRF (VPN-Instance)

Diego DiasLeave a comment

A utilização de VRF (Virtual Routing and Forwarding) permite a criação de tabelas de roteamentos virtuais em Switches e Roteadores, independentes da tabela de roteamento “normal”(geralmente chamada de tabela de roteamento global [Global Routing Table]).

Da mesma forma como a utilização de VLANs em Switches Ethernet permitem a divisão de dominios de broadcasts e mapeamentos da tabela MAC, a utilização de VRF permite a virtualização da tabela de roteamento. Nos Switches e Roteadores utilizando o Sistema Operacional Comware (3Com, H3C e HP) a feature é chamada de “vpn-instance“.

Comware 7: QoS – Configurando WFQ

Diego DiasLeave a comment

Durante o congestionamento do tráfego de uma interface, alguns modelos de Qualidade de Serviço permitem administrarmos a maneira como os pacotes são enfileirados em uma interface colocando-os em filas de prioridades, restrição de limite de banda, etc.

A utilização do algoritmo de enfileiramento WFQ (Weighted Fair Queuing) nos Switches Modulares HP Serie A, permite a configuração de filas para reserva de banda para trafego diferenciado, mas que não restringem o limite de banda em caso de disponibilidade de trafego para o link.

Imaginando que o trafego seja marcado na origem e mapeado corretamente para cada uma das 8 filas de prioridade do Switch, o script abaixo demonstra a configuração da interface de saída com reserva de banda em caso de congestionamento.

Se houver banda disponível na interface, o algoritmo de encaminhamento será FIFO (Firt in, First Out).

Configurando o WFQ

interface GigabitEthernet1/0/1
 description INTERFACE_OUTBOUND_INTERNET
 qos wfq 
! Habilita WFQ na interface de saída de tráfego
 qos bandwidth queue 1 min 4096
! Reserva 4096kbps na fila 1  
qos bandwidth queue 2 min 10240 
! Reserva 10240kbps na fila 2  qos bandwidth queue 3 min 10240 
! Reserva 10240kbps na fila 3 
qos bandwidth queue 4 min 2048 
! Reserva 2048kbps na fila 4  
qos bandwidth queue 5 min 2048 
! Reserva 2048kbps na fila 5  
qos bandwidth queue 6 min 1024  
! Reserva 1024kbps na fila 6  
qos bandwidth queue 7 min 1024 
! Reserva 1024kbps na fila 7  qos trust dscp

O tráfego não marcado ( geralmente mapeado para a fila zero) utilizará o restante da banda, mas não terá a garantia de reserva.

Comware 7: Utilizando o “RBAC – Role Based Access Control”

Diego DiasLeave a comment

A feature RBAC – Role Based Access Control permite administrarmos a forma como os outros usuários locais poderão interagir com a configuração do Switch/Roteador (com o Comware 7) para os seguintes parametros:

  • VLANs
  • Interfaces (físicas e lógicas)
  • features : read/write/execute
  • comandos CLI
  • Processo da VRF (VPN instances)

Por exemplo, vamos imaginar que você queira permitir para um usuário apenas o acesso para leitura das configurações.

role name usuarioX
 rule 1 permit read feature
! A regra permitirá apenas a leitura do arquivo de configuração
quit
#
 local-user usuarioX 
 password simple 123
 service-type ssh telnet terminal
 authorization-attribute user-role usuarioX
! Vinculando a regra usuarioX 
undo authorization-attribute user-role network-operator
! removendo a regra padrão de novos usuários
 quit  
#

Caso não tenha configurado a interface VTY aplique os comandos abaixo

#
 line vty 0 63
 authentication-mode scheme
 quit
#

Durante o teste é possível acessar o modo system-view e visualizar os comandos “display”. Mas para alterar as configurações o usuário terá a permissão negada.

<pre> system
[Sw1] inter?
permission denied.
[Sw1]

O site http://abouthpnetworking.com/2014/04/03/rbac-protecting-the-bfd-mad-vlan/ nos dá um exemplo bem bacana para a criação de regras para proteger a VLAN e as interfaces do MAD BFD para o IRF.

role name sysadmin
 rule 1 permit read write execute feature
! permitindo todas as features RWX 
 vlan policy deny
  permit vlan 1 to 4000
  permit vlan 4002 to 4094
! Controlando a configuração de VLANs, permitindo todas exceto a vlan 4001
 interface policy deny
  permit interface GigabitEthernet1/0/1 to GigabitEthernet1/0/23
  permit interface GigabitEthernet2/0/1 to GigabitEthernet2/0/23
! Controlando a config. de interfaces, permitindo todas exceto as do MAD BFD.
! que são as interfaces Giga 1/0/24 e 2/0/24. 

quit
quit
#
local-user sysadmin 
 password simple hp
 service-type ssh telnet terminal
 authorization-attribute user-role sysadmin
 undo authorization-attribute user-role network-operator
#

Testes

[HP]
# Acesso restrito para as interfaces BFD MAD 
[HP]int g1/0/24
Permission denied.
# Acesso permitido para outras interfaces
interface GigabitEthernet1/0/1
 port link-mode bridge
 shutdown
# Qualquer configuração pode ser aplicada as outras interfaces
[HP-GigabitEthernet1/0/1]undo shut
[HP-GigabitEthernet1/0/1]port link-type trunk

# ...mas o 'permit vlan all' falhará (tentativa para adicionar a vlan 4001)
[HP-GigabitEthernet1/0/1]port trunk permit vlan all
Permission denied.

# A permissão para todas as outras VLANs funcionará normalmente:
[HP-GigabitEthernet1/0/1]port trunk permit vlan 1 to 4000
[HP-GigabitEthernet1/0/1]port trunk permit vlan 4002 to 4094

Até logo.

Comware: STP edged-port + BPDU-protection

Diego DiasLeave a comment

A feature edged-port permite a interface saltar os estados Listening e Learning do Spanning-Tree Protocol (STP), colocando as portas imediatamente em estado Forwarding (Encaminhamento). A configuração do stp edged-port enableforça a interface a ignorar os estados de convergência do STP, incluíndo as mensagens de notificação de mudança na topologia (mensagens TCN ).

A utilização da feature edged-port com a configuração do comando stp bpdu-protection, protege as portas configuradas como edged-port de receberem BPDUs. Ao receber um BPDU a porta entrará em shutdown.

Comware: DHCP Relay Agent

Diego DiasLeave a comment

A funcionalidade DHCP Relay permite ao Switch L3/Roteador encaminhar as mensagens DHCP em broadcast para determinado servidor além do dominio de broadcast do host, possibilitando assim utilização de um único servidor DHCP para toda a LAN.

Devido ao fato das solicitações de endereço IP ao servidor DHCP ocorrem em broadcast, o roteador configurado com a feature DHCP Relay encaminhará as mensagens ao Servidor DHCP em Unicast.

O servidor DHCP entregará ao cliente o escopo correto baseado na interface IP de origem ( inserida na mensagem DHCP). Para o administrador do servidor DHCP bastará apenas criar os escopos no servidor.

Comware 7: Captura de pacotes

Diego DiasLeave a comment

 Roque nos enviou mais uma dica interessante para os Switches HP 5800. O modelo permite a captura de pacotes no formato .pcap salvando o arquivo na memória Flash, de forma que depois copiado via TFTP para um servidor  como o  Wireshark por exemplo, o tráfego coletado poderá ser analisado.

Conforme o comando display abaixo é possível validar algumas possibilidades  (comandos de um HP 5800AF-48G com a versão do Comware 5.20.106)

<Switch>packet capture ?
acl          Specify the ACL
buffer       Packet capture buffer
buffer-size  Specify the capture buffer size
length       Specify the maximum size of entry in the buffer
mode         Specify capture mode
schedule     Schedule the capture at a specific time
start        Start to capture immediately
stop         Pause capture

Abaixo, fiz uma tradução livre do procedimento de configuração do “Configure Guide” do Switch HP 5800 em uma rede IPv4.

1. Ativando a função de captura de pacotes no Switch:
Crie a ACL 2000 permitindo pacotes com a origem 192.168.1.0/24

<Switch> system-view
[Switch] acl number 2000
[Switch-acl-basic-2000] rule permit source 192.168.1.0 0.0.0.255
[Switch-acl-basic-2000] quit
[Switch] quit

Configure o Switch para capturar pacotes baseando-sw na ACL 2000 e então inicie a captura dos pacotes.

<Switch> packet capture start acl 2000

Vizualize o status da captura dos pacotes

<Switch> display packet capture status
Current status : In process
Mode : Linear
Buffer size : 2097152 (bytes)
Buffer used : 1880 (bytes)
Max capture length : 68 (bytes)
ACL information : Basic or advanced IPv4 ACL 2000
Schedule datetime: Unspecified
Upper limit of duration : Unspecified (seconds)
Duration : 13 (seconds)
Upper limit of packets : Unspecified
Packets count : 10
The output shows that packet capture is ongoing.

2. Salvando o resultado da captura de pacotes:
Pare a captura de pacotes.

<Switch> packet capture stop
Salvando o conteúdo do buffer na memoria flash com o nome test.pcap
<Switch> packet capture buffer save test.pcap
Visualize os arquivos da memória Flash.
<Switch> dir
Directory of flash:/
0 -rw- 1860 Sep 21 2012 12:52:58 test.pcap
1 drw- - Apr 26 2012 12:00:38 seclog
2 -rw- 10479398 Apr 26 2012 12:26:39 logfile.log

Libere os recursos do sistema após finalizar a captura de pacotes

<Switch> undo packet capture

Copie o arquivo test.pcap via servidor FTP ou TFTP e analise os pacotes através de softwares como o Wireshark.

Comware 7: IRFv2 – dúvidas na configuração do irf-port

Diego DiasLeave a comment

Esses dias durante a implantação de  Switches Comware em 2 diferentes Datacenters, configurei o IRF dos Switches de duas maneiras diferentes, mas ambas utilizando 4 portas 10Gb:

No Datacenter A a configuração de IRF entre os Switches foi executada com duas irf-port em cada Switch enquanto no Datacenter B a configuração de IRF foi executada com apenas uma irf-port por Switch.

Datacenter A:

irf-port 1/1
port group interface Ten-GigabitEthernet1/0/1
port group interface Ten-GigabitEthernet1/0/2
#      
irf-port 1/2
port group interface Ten-GigabitEthernet1/0/3
port group interface Ten-GigabitEthernet1/0/4
#
irf-port 2/1
port group interface Ten-GigabitEthernet2/0/3
port group interface Ten-GigabitEthernet2/0/4
#
irf-port 2/2
port group interface Ten-GigabitEthernet2/0/1
port group interface Ten-GigabitEthernet2/0/2
#
[5900-DC-A]display irf link 
Member 1
IRF Port    Interface                       Status
1            Ten-GigabitEthernet1/0/1        UP    
             Ten-GigabitEthernet1/0/2        UP    
2            Ten-GigabitEthernet1/0/3        UP    
             Ten-GigabitEthernet1/0/4        UP   
Member 2
IRF Port    Interface                       Status
1            Ten-GigabitEthernet2/0/3        UP   
             Ten-GigabitEthernet2/0/4        UP 
2            Ten-GigabitEthernet2/0/1        UP    
             Ten-GigabitEthernet2/0/2        UP

Datacenter B:

irf-port 1/2
port group interface Ten-GigabitEthernet1/0/1
port group interface Ten-GigabitEthernet1/0/2
port group interface Ten-GigabitEthernet1/0/3
port group interface Ten-GigabitEthernet1/0/4
#
irf-port 2/1
port group interface Ten-GigabitEthernet2/0/1
port group interface Ten-GigabitEthernet2/0/2
port group interface Ten-GigabitEthernet2/0/3
port group interface Ten-GigabitEthernet2/0/4
#
[5900-DC-B]display irf link
Member 1
IRF Port    Interface                       Status
1           disable                         -
2           Ten-GigabitEthernet1/0/1         UP    
             Ten-GigabitEthernet1/0/2        UP    
             Ten-GigabitEthernet1/0/3        UP    
             Ten-GigabitEthernet1/0/4        UP   
Member 2
IRF Port    Interface                       Status
1           Ten-GigabitEthernet2/0/1         UP
             Ten-GigabitEthernet2/0/2        UP    
             Ten-GigabitEthernet2/0/3        UP   
             Ten-GigabitEthernet2/0/4        UP
 2           disable                         --

Encaminhamos as seguintes questões para o time de HPN:

–          Qual a diferença na prática entre os 2 cenários?

–          Qual dos dois seria o mais recomendado?

Recebemos a seguinte recomendação:

De fato esta pergunta é muito comum, pois como criamos duas portas virtuais IRF (x/1 e x/2), sempre existe esta dúvida no caso de implementação de um par de switches. Bem, para um par de switches, não existe diferença lógica das duas implementações e também não existe benefícios de uma ou de outra, como o exemplo abaixo destas configurações:

A diferença realmente ocorre quando você precisa configurar três ou quatro unidades, pois neste caso você precisa criar uma topologia em anel, conforme o desenho, e isso requer a configuração das portas 1 e 2 devidamente conectadas:

Contudo, novamente, para um par de switches não tem diferença.

My cents