Modos de comutação de portas Ethernet em dispositivos de segurança

Dispositivos e portas com suporte

A Juniper Networks oferece suporte a recursos de comutação em uma variedade de portas e dispositivos Ethernet (ver Tabela 1). O suporte da plataforma depende da versão do Junos OS em sua instalação. As seguintes portas e dispositivos estão incluídos:

• Portas Ethernet integradas (Portas Gigabit e Fast Ethernet integradas) nos dispositivos SRX300, SRX320, SRX320, SRX320, SRX340, SRX345, SRX550M e SRX1500.

• Multiport Gigabit Ethernet XPIM no dispositivo SRX650.

No SRX100. SRX220, SRX240, SRX300, SRX320, SRX340 e SRX345, você pode definir as portas Ethernet Gigabit a bordo para operar como portas comutadas ou portas roteadas. (O suporte da plataforma depende da versão do Junos OS em sua instalação.)

Pontes e roteamento integrados

A ponte integrada e o roteamento (IRB) oferecem suporte para o roteamento simultâneo de Camada 2 e roteamento de Camada 3 dentro da mesma VLAN. Os pacotes que chegam em uma interface da VLAN são comutos ou roteados com base no endereço MAC de destino do pacote. Os pacotes com o endereço MAC do roteador como destino são roteados para outras interfaces de Camada 3.

Link Layer Discovery Protocol e LLDP-Media Endpoint Discovery

Os dispositivos usam o Link Layer Discovery Protocol (LLDP) e o LLDP-Media Endpoint Discovery (MED) para aprender e distribuir informações de dispositivos sobre links de rede. As informações permitem que o dispositivo identifique rapidamente uma variedade de sistemas, resultando em uma LAN que interopera de maneira suave e eficiente.

Dispositivos capazes de LLDP transmitem informações em mensagens de Valor de Comprimento de Tipo (TLV) para dispositivos vizinhos. As informações do dispositivo podem incluir detalhes, como identificação de chassis e portas, nome do sistema e recursos do sistema. As TLVs aproveitam essas informações dos parâmetros que já foram configurados no Junos OS.

O LLDP-MED vai um passo adiante, trocando mensagens de telefonia IP entre o dispositivo e o telefone IP. Essas mensagens TLV fornecem informações detalhadas sobre a política de Power over Ethernet (PoE). As TLVs de gerenciamento de PoE permitem que as portas do dispositivo anunciem o nível de energia e a prioridade de energia necessárias. Por exemplo, o dispositivo pode comparar a energia necessária por um telefone IP em execução em uma interface PoE com recursos disponíveis. Se o dispositivo não conseguir atender aos recursos exigidos pelo telefone IP, o dispositivo pode negociar com o telefone até que um compromisso sobre a energia seja alcançado.

As TLVs básicas a seguir são suportadas:

• Identificador de chassi — o endereço MAC associado ao sistema local.

• Identificador de porta — A identificação da porta para a porta especificada no sistema local.

• Descrição da porta — A descrição da porta configurada pelo usuário. A descrição da porta pode ser de no máximo 256 caracteres.

• Nome do sistema — o nome configurado pelo usuário do sistema local. O nome do sistema pode ser de no máximo 256 caracteres.

• Visão geral dos recursos de comutação — essas informações não são configuráveis, mas retiradas do software.

• Recursos do sistema — a função primária executada pelo sistema. Os recursos que o sistema oferece suporte; por exemplo, comutação ou roteador Ethernet. Essas informações não são configuráveis, mas baseadas no modelo do produto.

• Endereço de gerenciamento — o endereço de gerenciamento de IP do sistema local.

As TLVs LLDP-MED a seguir têm suporte:

• Recursos LLDP-MED — um TLV que anuncia a função primária da porta. Os valores variam de 0 a 15:

  • 0 — recursos

  • 1 — Política de rede

  • 2 — Identificação de localização

  • 3 — Energia estendida por meio de equipamentos de fonte de energia de interface de média dependente (MDI-PSE)

  • 4 — Inventário

  • 5-15 — Reservado

• Valores de classe de dispositivo LLDP-MED:

  • 0 — Classe não definida

  • 1 — dispositivo de classe 1

  • 2 — dispositivo de classe 2

  • 3 — dispositivo classe 3

  • 4 — dispositivo de conectividade de rede

  • 5-255 — Reservado

  Nota:

  A partir do Junos OS Release 15.1X49-D60 e Junos OS Release 17.3R1, Link Layer Discovery Protocol (LLDP) e LLDP-Media Endpoint Discovery (MFD) estão habilitados para dispositivos SRX300, SRX320, SRX340, SRX345, SRX550M e SRX1500.

• Política de rede — um TLV que anuncia a configuração VLAN de porta e atributos de Camada 2 e Camada 3 associados. Os atributos incluem o identificador de políticas, tipos de aplicativos, como voz ou streaming de vídeo, tags VLAN 802.1Q e bits de prioridade de 802.1p e pontos de código Diffserv.

• Localização do endpoint — um TLV que anuncia a localização física do endpoint.

• Energia estendida via MDI — um TLV que anuncia o tipo de energia, fonte de energia, prioridade de energia e valor de energia da porta. É responsabilidade do dispositivo PSE (dispositivo de conectividade de rede) anunciar a prioridade de energia em uma porta.

LLDP e LLDP-MED devem ser configurados explicitamente em uPIMs (no modo de comutação aprimorado) em portas base nos dispositivos SRX100, SRX210, SRX240, SRX300, SRX320, SRX340 e SRX345, e módulos de interface física gigabit backplane (GPIMs) em dispositivos SRX650. (O suporte da plataforma depende da versão do Junos OS em sua instalação.) Para configurar o LLDP em todas as interfaces ou em uma interface específica, use a lldp declaração no nível [set protocols] de hierarquia. Para configurar o LLDP-MED em todas as interfaces ou em uma interface específica, use a lldp-med declaração no nível [set protocols] de hierarquia.

Tipos de portas de switch

As portas, ou interfaces, em um switch operam no modo de acesso ou no modo tronco.

Uma interface no modo de acesso se conecta a um dispositivo de rede, como um computador desktop, um telefone IP, uma impressora, um servidor de arquivo ou uma câmera de segurança. A interface em si pertence a uma única VLAN. Os quadros transmitidos por uma interface de acesso são quadros Ethernet normais.

As interfaces de tronco lidam com o tráfego para várias VLANs, multiplexando o tráfego para todas essas VLANs pela mesma conexão física. As interfaces de tronco geralmente são usadas para interconectar switches entre si.

uPIM em uma cadeia de margaridas

Você não pode combinar vários uPIMs para agir como um único switch integrado. No entanto, você pode conectar uPIMs no mesmo chassi externamente conectando fisicamente uma porta em um uPIM a uma porta em outro uPIM de forma margarida.

Dois ou mais uPIMs encadeados juntos criam um único switch com uma contagem de portas maior do que qualquer uPIM individual. Uma única porta em cada uPIM é usada apenas para a conexão. Por exemplo, se você conectar um uPIM de 6 portas e um uPIM de 8 portas, o resultado funciona como um uPIM de 12 portas. Qualquer porta de uPIM pode ser usada para o encadeamento de margaridas.

Configure o endereço IP para apenas um dos uPIMs encadeados, tornando-o o uPIM primário. O uPIM secundário encaminha o tráfego para o uPIM primário, que o encaminha ao Mecanismo de Roteamento. Isso resulta em algum aumento na latência e quedas de pacotes devido à sobrescrição do link externo.

Apenas um link entre os dois uPIMs é suportado. Conectar mais de um link entre uPIMs cria uma topologia de loop, que não é suportada.

Tags Q-in-Q VLAN

O tunelamento Q-in-Q, definido pelo padrão IEEE 802.1ad, permite que provedores de serviços em redes de acesso Ethernet estendam uma conexão Ethernet de Camada 2 entre dois sites de clientes.

No tunelamento Q-in-Q, enquanto um pacote viaja de um VLAN do cliente (C-VLAN) para a VLAN de um provedor de serviços, uma tag 802.1Q específica para um provedor de serviços é adicionada ao pacote. Essa tag adicional é usada para segregar o tráfego em VLANs de serviços definidas por provedores de serviços (S-VLANs). A tag 802.1Q do cliente original do pacote permanece e é transmitida de forma transparente, passando pela rede do provedor de serviços. Conforme o pacote deixa o S-VLAN na direção downstream, a tag extra 802.1Q é removida.

Existem três maneiras de mapear C-VLANs para uma S-VLAN:

• Agrupamento all-in-one — Use a dot1q-tunneling declaração no nível [edit vlans] de hierarquia para mapear sem especificar as VLANs dos clientes. Todos os pacotes de uma interface de acesso específica são mapeados para o S-VLAN.

• Agrupamento de muitos para um — Use a customer-vlans declaração no nível [edit vlans] de hierarquia para especificar quais C-VLANs são mapeadas para a S-VLAN.

• Mapeamento do C-VLAN em uma interface específica — Use a mapping declaração no nível [edit vlans] de hierarquia para mapear um C-VLAN específico em uma interface de acesso especificada para o S-VLAN.

Tabela 2 lista o mapeamento C-VLAN para S-VLAN suportado em firewalls da Série SRX. (O suporte da plataforma depende da versão do Junos OS em sua instalação.)

As interfaces IRB são suportadas em VLANs Q-in-Q para dispositivos SRX210, SRX240, SRX340, SRX345 e SRX650. Os pacotes que chegam em uma interface IRB em um VLAN Q-in-Q são roteados, independentemente de o pacote ser único ou com marca dupla. Os pacotes roteados de saída contêm apenas uma tag S-VLAN ao sair de uma interface de tronco; os pacotes saem da interface sem registro ao sair de uma interface de acesso. (O suporte da plataforma depende da versão do Junos OS em sua instalação.)

Em uma implantação Q-in-Q, os pacotes de clientes de interfaces downstream são transportados sem qualquer alteração nos endereços MAC de origem e destino. Você pode desativar o aprendizado de endereço MAC tanto no nível de interface quanto no nível de VLAN. Desativar o aprendizado de endereço MAC em uma interface desativa o aprendizado para todas as VLANs das quais essa interface é um membro. Quando você desativa o aprendizado de endereço MAC em uma VLAN, os endereços MAC que já foram aprendidos ficam limpos.

Nos dispositivos SRX100, SRX210, SRX240, SRX300, SRX320, SRX340, SRX345 e SRX650 (com suporte de plataforma dependendo do lançamento do Junos OS em sua instalação), na Ethernet agregada de Camada 3, os seguintes recursos não são suportados:

• Encapsulamentos (como CCC, VLAN CCC, VPLS e PPPoE)

• J-Web

• A partir do Junos OS Release 19.4R2, você pode configurar o LLDP em interfaces redundantes de Ethernet (reth). Use o set protocol lldp interface <reth-interface> comando para configurar o LLDP na interface de reth.

• Em SRX550M dispositivos, a interface agregada de Ethernet (ae) com interface de membro XE não pode ser configurada com a família de comutação Ethernet.

• Nos dispositivos SRX300, SRX320, SRX340, SRX345 e SRX550M, o suporte Q-in-Q em uma interface de Camada 3 tem as seguintes limitações:

  • A tag dupla não é suportada em interfaces de reth e ae.

  • O roteamento multitopologia não é suportado no modo de fluxo e em clusters de chassi.

  • Os quadros com tag dupla não são suportados em encapsulamentos (como CCC, TCC, VPLS e PPPoE)

  • Em interfaces lógicas de Camada 3, input-vlan-mapoutput-vlan-mapinner-rangee inner-list não são aplicáveis

  • Apenas TPIDs com 0x8100 são suportados, e o número máximo de tags é 2.

  • Os quadros com tag dupla são aceitos apenas para interfaces lógicas com famílias IPV4 e IPv6.

• Nos dispositivos SRX100, SRX210, SRX240, SRX300, SRX320, SRX340, SRX345 e SRX650 (com suporte de plataforma dependendo da versão do Junos OS em sua instalação), na interface VLAN roteada (RVI), os seguintes recursos não são suportados:

  • IS-IS (ISO familiar)

  • Encapsulamentos (Ether CCC, VLAN CCC, VPLS, PPPoE e assim por diante) em interfaces VLAN

  • CLNS

  • DVMRP

  • Mudança MAC da interface VLAN

  • G-ARP

  • Altere o VLAN-Id para a interface VLAN