GB ネットワーク スイッチ ポート設定の説明

 

ポート速度ネゴシエーションが失敗する理由 (そして実際にできること)

 

これは、使い始めるときに誰も教えてくれないことです。ギガビット ポートでの自動ネゴシエーションは、10/100 インターフェースでの場合とは動作が異なります。{0} IEEE 802.3ab 仕様では、1000BASE-T 接続が全二重モードでのみ動作することが要求されています。-ギガビット速度では半二重オプションはありません。-期間。

したがって、ポートが 100 Mbps でスタックしているのを見て、何が問題なのか疑問に思った場合、原因は通常、次の 3 つのうちのいずれかです。

ケーブル。 Cat5 は技術的には短期運用ではギガビットをサポートするかもしれませんが、最終的に誰かが Cat5e または Cat6 に交換するまで、エンジニアがトラブルシューティングに何時間も無駄にしているのを見てきました。高速イーサネット速度で問題なく使用できるように、2 つのペアだけでなく、4 つのペアすべてを正しく終端する必要があります。{4}}

一方の端では強制設定。ポートが自動に設定されているときに、誰かがアップリンク スイッチの速度を 100 に設定した場合、最悪の一日を過ごすことになります。自動ネゴシエーション側は並列検出に戻りますが、そのメカニズムでは期待どおりにパラメータを適切に並べ替えることはできません。-

不良 SFP モジュール。特にファイバーアップリンクの場合。すべてのトランシーバーがすべてのベンダーとうまく動作するわけではありません-一部のスイッチは、スロットに何を受け入れるかについて非常に厳しいものがあります。

 

インターフェイス設定の開始

 

Cisco IOS では、インターフェイス設定モードへのパスは非常に簡単です。最初のプロンプトで「enable」と入力し、次に「configureterminal」と入力してグローバル コンフィギュレーション モードに到達します。そこから、インターフェイス GigabitEthernet0/1 を指定すると、その特定のポートのインターフェイス設定コンテキストが表示されます。

ここまで設定できれば、速度とデュプレックスの設定は簡単です。速度 1000 コマンドはポートをギガビット動作にロックしますが、全二重は双方向の同時送信を保証します。ほとんどの管理者は両方のパラメータを auto のままにしており、エンドユーザーのワークステーションに接続するアクセス ポートには問題なく機能します。-最新の NIC は、面倒なことをせずにネゴシエーションを処理します。しかし、-スイッチ間リンクについては、もっと検討する必要があります。-一部のネットワーク チームは、停止のトラブルシューティング中にもう 1 つの変数を排除するために、スイッチ間リンクをハードコーディングしています。

注目に値する: 速度 1000 に固定すると、ポートはそれより遅いものを拒否します。不安定な NIC を搭載したラップトップは 100 Mbps に戻りません。まったくリンクしないだけです。それはあなたが望んでいる動作である場合があります。多くの場合、そうではありません。

 

 

VLAN の割り当て: アクセス ポートとトランク

 

ここが構成の興味深い点であり、-間違いが最も早く積み重なる点でもあります。

アクセス ポートは 1 つの VLAN にのみ属します。受信フレームはタグなしで到着します。スイッチは、指定した VLAN にそれらを関連付けます。これを行うには、インターフェイスに入り、スイッチポート モード アクセスを発行してポート タイプを定義し、次にスイッチポート アクセス vlan 10 (または適用される任意の VLAN 番号) を発行して割り当てを行います。

トランク ポートは、複数の VLAN のトラフィックを同時に伝送します。各フレームは、どの VLAN に属しているかを識別する 802.1Q ヘッダーを取得します。例外はネイティブ VLAN です。-そのフレームはタグなしでトランクを通過します。設定には、スイッチポート モード トランクの設定、次にスイッチポート トランク ネイティブ VLAN 99 を使用してネイティブ VLAN を定義し、最後にスイッチポート トランク許可 VLAN とその後に続く VLAN ID のカンマ区切りリストを使用して、リンクを通過する VLAN を制限することが含まれます。

このため、許可される VLAN 仕様は人々が思っている以上に重要です。トランクはデフォルトですべての VLAN を許可します。-1 から 4094 までのすべての VLAN が許可されます。これが望ましいことはほとんどありません。積極的に剪定をしましょう。

 

ネイティブ VLAN の不一致

スイッチ A のトランクがネイティブ VLAN 1 を使用し、スイッチ B がネイティブ VLAN 99 を使用する場合、タグなしフレームは両側の異なる VLAN に到着します。スパニング ツリーの計算が混乱します。デバイスは、ほぼランダムに見える方法で接続を失います。

CDP はこれを検出して警告を記録しますが、実際にログを確認する必要があります。また、CDP を有効にする必要がありますが、一部のセキュリティ ポリシーではこれが禁止されています。したがって、誰かが最終的に構成を比較しようと考えるまで、不一致がそこに残り、断続的に奇妙な現象が発生します。

 

港湾セキュリティの基礎

 

ポート セキュリティは、インターフェイス経由でトラフィックを送信できる MAC アドレスを制限します。古典的なシナリオ: 誰かが割り当てられたデスクトップを切断し、代わりに個人のデバイスを接続するのを防ぎます。

セットアップは、インターフェースのスイッチポート ポート セキュリティを介して機能を有効にすることから始まります。{0}次に、ポートが許容する MAC アドレスの数を定義します。-スイッチポート ポート-セキュリティの最大値 2 では 2 台のデバイスが許可されます。次に違反応答が指定されます。 switchport port-セキュリティ違反シャットダウンは、未承認の MAC が表示された場合にポートを完全に無効にするようスイッチに指示します。最後に、スイッチポート ポート-セキュリティ マック-アドレス スティッキーは、アドレスを動的に学習して実行コンフィギュレーションに書き込むようにスイッチに指示します。

スティッキーオプションは本当に便利です。スイッチは MAC アドレスを動的に学習し、実行コンフィギュレーションに書き込みます。保存後、これらのアドレスは手動で入力しなくても再起動後も存続します。

違反モードにより、不正な MAC が出現したときに何が起こるかが決まります。

シャットダウンすると、ポートはエラー無効状態になります。{0}交通は完全に止まります。誰かが手動で回復する必要があるか、自動回復を処理する EEM スクリプトが必要です。

攻撃的な MAC からのトラフィックのドロップを制限しますが、ポートの動作は維持します。 syslog メッセージにイベントが記録されます。正規のデバイスは引き続き動作します。

保護は制限と同様に機能しますが、ログは生成されません。サイレント失敗。私はファンではありません-誰かが文句を言うまで、何が起こったのかわかりません。

繰り返し起こる頭痛: IP 電話の背後に PC がデイジーチェーン接続されている。{0}これは、1 つのポートを介した 2 つの MAC アドレスです。最大値を 1 に設定した場合、PC がフレームを送信した瞬間にポートがシャットダウンします。これらの制限を設定するときは、音声 VLAN シナリオを考慮してください。

 

 

デュプレックスの不一致: 静かなパフォーマンスのキラー

 

全二重と半二重-の設定を間違えても、接続が完全に切断されるわけではありません。彼らはそれを徐々に劣化させます。パケットは、衝突すべきではないときに衝突します。遅延衝突カウンターが上昇します。再送信は蓄積されます。ユーザーは「ネットワークが遅い」と報告していますが、ping は正常に動作し、明らかな障害は見られません。

showinterface コマンドの後に特定のポート ID を指定して、インターフェイス カウンタを確認します。遅延衝突、入力エラー、CRC エラー、ラントを探します。全二重で動作している正常なギガビット ポートでは、これらのフィールドにゼロが表示されます。-それ以外のものは調査が必要です。

典型的な不一致シナリオ: 一方は全二重にハードコードされ、もう一方は自動のままです。{0}}リモート エンドがネゴシエーションに参加していないため、自動側は二重モードを適切に決定できません。安全性のフォールバックとして、デフォルトでは半二重になっています。-これで、一方は送信と受信を同時に行い、もう一方は送信する前に沈黙を待つ必要があると考えています。衝突は絶えず発生します。

修正は簡単です。両端の設定を一致させます。両方とも自動、また​​は両方とも明示的に同じ値に設定されます。

 

ブロードキャスト ストーム コントロール

 

ブロードキャスト ストームはネットワークを完全にフラット化します。 1 台のデバイスの設定が間違っているか、スパニング ツリーが無効になっているスイッチング ループにより、ブロードキャスト トラフィックがファブリックにフラッディングされます。すべてのスイッチがそれを複製します。すべてのポートがそれを転送します。インフラストラクチャ全体で CPU 使用率が急増します。

ストーム コントロールはスロットルを提供します。インターフェース設定モード内で、ストーム コントロールのブロードキャスト レベルを指定し、その後にそのしきい値でブロードキャスト トラフィックを制限するパーセンテージ（-たとえば 20.00）-を指定します。同様のコマンドがマルチキャスト トラフィックとユニキャスト トラフィックにも存在します。ストーム制御アクションのシャットダウン ディレクティブは、しきい値を超えた場合にポートを無効にするようにスイッチに指示します。あるいは、トラップはポートをアクティブな状態に保ちながら SNMP アラートを生成します。

レベルはポート帯域幅のパーセンテージを表します。ブロードキャスト トラフィックがギガビット リンクの 20% を超えると、-ブロードキャストの 200 Mbps に相当します-。ポートはアクションを実行します。シャットダウンは積極的ですが効果的です。

すべての単一ポートにストーム制御を設定するわけではありません。運用が複雑になります。しかし、-製造現場、大学の寮、会議室-などの予測不可能な環境におけるアクセス レイヤの場合、その価値は何度も証明されています。

 

PortFast と BPDU ガード

 

スパニング ツリーでは、ポートがブロッキングからフォワーディングに移行するまでに 30 ～ 50 秒かかります。この遅延により、トポロジの変更が重要となるスイッチ間接続のループが防止されます。{3}誰かが接続して IP アドレスを取得したいだけのエンドユーザー ポートの場合、イライラすることになります。-

PortFast は、リスニング状態と学習状態をバイパスします。スパニング ツリー ポートファストを備えたインターフェースでこれを有効にすると、リンクが確立されるとすぐにポートの転送が開始されます。-

リスク: 誰かがそのポートに管理対象外のスイッチを接続すると、ループが発生する可能性があります。 PortFast はスパニング ツリーを無効にしません。-ポートは引き続き BPDU を処理します。ただし、トラフィックは待機せずにすぐに転送されます。

BPDU ガードは保護を追加します。インターフェース上でスパニング-ツリー bpduguard enable を介してこれを有効にすると、受信した BPDU が即座にエラー-無効化をトリガーします。 BPDU がこのポートに到着した場合は、何か問題が発生しています。-そこに別のスイッチがあるべきではありません。アラートが表示されますが、ネットワークはそのまま残ります。

グローバル デフォルトでは、これらの機能がすべてのアクセス ポートに自動的に適用されます。グローバル コンフィギュレーション モードでは、スパニング- ツリーの PortFast のデフォルトは PortFast を普遍的に有効にし、スパニング- ツリーの PortFast bpduguard のデフォルトは同じポートで BPDU ガードをアクティブにします。トランク ポートはこれらのデフォルトから除外されます。これは、エンタープライズ アクセス層にとって妥当なベースラインです。

 

 

EtherChannel: リンクの集約

 

単一のギガビット接続ではスイッチ間に十分な帯域幅が提供できない場合、EtherChannel は複数の物理ポートを 1 つの論理インターフェイスにバンドルします。 2 つ、4 つ、または 8 つのポートが集約され、スパニング ツリー計算への 1 つのリンクとして表示されます。

LACP は、802.3ad 標準を使用してネゴシエーションを処理します。物理インターフェイスを選択し、-インターフェイス範囲 GigabitEthernet0/1 - 4 を使用して複数のポートを同時に設定します-。次に、それらをチャネル グループ 1 モードがアクティブなチャネル グループに割り当てます-。範囲構成を終了した後、インターフェイス Port- を入力し、目的の設定（通常はスイッチ間リンクのスイッチポート モード トランク）を適用して、論理インターフェイス自体を構成します。-

リモート エンドには一致する構成が必要です。アクティブな-アクティブな作品。能動-受動的な働き。パッシブ-パッシブ-は、双方が相手の開始を永遠に待つわけではありません。

メンバー リンク間のトラフィック分散には、通常、送信元{0}}宛先の MAC アドレスまたは IP アドレスに基づくハッシュ アルゴリズムが使用されます。個々のフローは引き続き単一の物理リンクを通過します。スイッチは TCP セッションを複数のパスに分割しません。 2 つのサーバー間の大きなファイル転送では、バンドルした数に関係なく、1 つのメンバー リンクが使用されます。

 

音声 VLAN の設定

 

IP 電話ではさらに複雑さが増します。電話機は QoS 処理のために音声 VLAN に配置する必要があり、パススルー ポート経由で接続されている PC はデータ VLAN に配置する必要があります。両方のデバイスが 1 つの物理スイッチ ポートを共有します。

設定には、スイッチポート モード アクセスを持つアクセス ポートとしてポートを設定し、スイッチポート アクセス VLAN 10 を介してデータ VLAN を割り当て、次にスイッチポート音声 VLAN 50 を使用して音声 VLAN を個別に指定することが含まれます。電話機は CDP または LLDP-MED を介して VLAN 割り当てを受信し、それに応じてトラフィックにタグ付けします。 PC はデータ VLAN に到達するタグなしフレームを送信します。単一のケーブル配線ですべてが機能します。

これは、1 つのポートに 2 つの MAC アドレスがあることを意味します。ポート セキュリティ設定は両方に対応する必要があります。そうしないと、施設がデスクを移動するたびにエラーで無効になったインターフェースを回復するのに時間を費やすことになります。{1}}

 

自動-MDIX

 

以前は、クロス ケーブルとストレート ケーブルが重要でした。{0}古い機器ではストレート ケーブルでスイッチとスイッチを接続すると、-リンクが確立されません。-クロスオーバーが必要でした。

自動 MDIX を備えた最新のギガビット イーサネット インターフェースは、必要な配線を検出し、内部で補正します。{0}この機能はインターフェイス コンフィギュレーション モードの mdix auto によって制御され、最新の Cisco ハードウェアではデフォルトで有効になっています。一部の従来の機器と特定のシスコ以外の機器にはこの機能がありません。{3}}リンクの確立が拒否され、ケーブル損傷の可能性が除外された場合は、ポート障害を想定する前に、クロスオーバーに交換してみてください。

 

便利な検証コマンド

 

私が常に実行しているコマンド:

showinterfacesstatus コマンドを使用すると、すべてのポートの接続済みと未接続、VLAN 割り当て、速度、二重通信の概要を 1 つのビューで簡単に確認できます。{0}

showinterface を実行し、その後に特定のポート識別子を指定すると、入出力パケット、エラー、キュー ドロップ、最終クリア時刻などの詳細なカウンタが表示されます。

show mac address-table Interface コマンドの後にポートを指定すると、そのインターフェースでどの MAC アドレスが学習されたかがわかります。

スパニング ツリーの状態については、スパニング ツリー インターフェースを表示すると、ポートの STP ロールとパス コストが表示されます。{0}

showinterfacestrunk コマンドは、すべてのアクティブなトランクとその許可されたアクティブな VLAN をリストします。

ポート セキュリティのステータスは、show port security インターフェースから取得されます。{0}このインターフェイスは、違反数と現在学習されているアドレスを報告します。

include を介して出力をパイプ処理してフィルタリングできます。パイプを使用して status コマンドを実行して接続を含めると、アクティブなリンクを持つポートのみが表示されます。無効化されたインターフェースのページをスクロールする手間を省きます。

 

エラー-無効なポートを回復しています

 

ポートに「errdisabled」と表示される-。バウンスする前に、その理由を理解してください。 showinterfacesstatus コマンドは現在の状態を表示し、showerrdisablerecovery は設定されている回復メカニズムとそのタイマーを表示します。

一般的なトリガーには、ポート セキュリティ違反、BPDU ガードのアクティブ化、過度のリンク フラッピング、および単方向ファイバーの問題を検出する UDLD 障害が含まれます。

自動リカバリはグローバル コンフィギュレーション モードで設定できます。 errdisable Recovery Cause all コマンドは、すべてのトリガー タイプの自動回復を有効にし、errdisable Recovery Interval 300 は再試行タイマーを 300 秒に設定します。

自動回復が構成されていない場合は、手動介入が必要です。インターフェイス設定コンテキストに入り、shutdown を発行してポートを管理上無効にし、no shutdown を発行してポートを元に戻します。

調査せずにやみくもに再度有効にすると、すぐにまた同じことを行うことになります。{0}} BPDU ガードがトリガーされた場合、誰かがスイッチを接続しました。ポートセキュリティが起動すると、不正なデバイスが出現しました。根本的な原因に対処する必要があります。

 

最終観察

 

GB ポートの構成は概念的には複雑ではありませんが、詳細は蓄積されます。 VLAN 割り当ての欠落、トランク設定の誤り、IP 電話を考慮していないポート セキュリティ制限{1}}の小さな見落としが、重大な停止につながります。

構成を文書化します。物理ポートに明確にラベルを付けます。一般的なシナリオ用のテンプレートを構築し、一貫して適用します。

可能な限りメンテナンス期間中に変更をテストしてください。それは明らかなアドバイスです。これは、私がランダムな火曜日の午後 3 時に無視したアドバイスでもあり、結果は完全に予測可能でした。