Opções de configuração do switch

Escolha um servidor de autenticação para validar nomes de usuário e senhas, certificados ou outros fatores de autenticação fornecidos pelos usuários.

• Mist Auth — Configure o Juniper Mist Access Assurance, um serviço de autenticação baseado em nuvem, em seu switch. Para que essa opção funcione, você deve usar uma porta com autenticação dot1x ou MAB. Para obter mais informações, consulte o Guia do Juniper Mist Access Assurance.

• RADIUS — Selecione esta opção para configurar um servidor de autenticação RADIUS e um servidor de contabilidade, para habilitar a autenticação de porta dot1x no nível do switch. Para que a autenticação de porta dot1x funcione, você também precisa criar um perfil de porta que use a autenticação dot1x e atribuir esse perfil a uma porta no switch.

  Os números de porta padrão são:

  • Porta 1812 para o servidor de autenticação

  • Porta 1813 para o servidor de contabilidade

Depois de selecionar um servidor de autenticação, configure detalhes adicionais para o servidor selecionado, conforme necessário. Você pode configurar informações que incluem:

• Tempo limite — Duração em segundos após a qual a solicitação de autenticação atinge o tempo limite.

• Retries— Número de novas tentativas permitidas.

• Temporizadores aprimorados — Por padrão, os switches da Série EX têm um alcance de 30 a 60 segundos para vários temporizadores de comunicação entre o switch e o dispositivo cliente. Ativar esta opção aumenta esses temporizadores entre 2 e 10 segundos. Você pode modificá-los ainda mais alterando o tempo limite e as novas tentativas do servidor de autenticação.

• Balanceamento de carga (aplicável apenas ao RADIUS) — Por padrão, os switches da Série EX usam o primeiro servidor RADIUS. Essa opção randomiza a configuração da ordem dos servidores por switch. Isso garante o balanceamento de carga em vários servidores RADIUS.

• Intervalo Provisório — Especifique a frequência (em segundos) na qual o servidor de autenticação é atualizado com informações sobre uma sessão de usuário ativa.

• Endereço de origem (aplicável somente ao Mist Auth) — Selecione uma rede de origem. Essa rede deve fazer parte de uma interface de Camada 3 ou IRB criada com um endereço IP estático.

• Porta de solicitação dinâmica — Especifique uma alteração na porta de autorização (CoA).

set system authentication-order radius
set system radius-server radius-server-IP port 1812
set system radius-server radius-server-IP secret secret-code
set system radius-server radius-server-IP source-address radius-Source-IP
set system login user remote class class

set system login user RO class read-only
set system login user OP class operator
set system login user SU class super-user
set system login user remote full-name "default remote access user template"
set system login user remote class read-only

Para usar a autenticação TACACS+ no dispositivo, você deve configurar informações sobre um ou mais servidores TACACS+ na rede. Você também pode configurar a contabilidade TACACS+ no dispositivo para coletar dados estatísticos sobre os usuários que fazem login ou logout de uma LAN e enviar os dados para um servidor de contabilidade TACACS+.

Além disso, você pode especificar uma função de usuário para usuários autenticados TACACS+ na configuração do switch. As seguintes funções de usuário estão disponíveis: Nenhum, Administrador, Leitura, Helpdesk. Quando os usuários autenticados pelo TACACs+ não têm uma conta de usuário configurada no dispositivo local, o Junos atribui a eles uma conta de usuário chamada "remoto" por padrão.

O intervalo de portas suportado para TACACS+ e servidores de contabilidade é de 1 a 65535.

Defina as configurações do servidor de nomes de domínio (DNS). Você pode configurar até três endereços IP DNS e sufixos em formato separado por vírgulas.

Configure o Simple Network Management Protocol (SNMP) no switch para oferecer suporte ao gerenciamento e monitoramento de rede. Você pode configurar o SNMPv2 ou SNMPv3. Aqui estão as opções de SNMP que você pode configurar:

• Opções em SNMPv2 (V2)

  • Geral — Especifique o nome do sistema, localização, informações de contato administrativo e uma breve descrição do sistema gerenciado. Ao usar o SNMPv2, você tem a opção de especificar o endereço de origem para pacotes de interceptação SNMP enviados pelo dispositivo. Se você não especificar um endereço de origem, o endereço da interface de saída será usado por padrão.

  • Cliente — Defina uma lista de clientes SNMP. Você pode adicionar várias listas de clientes. Essa configuração inclui um nome para a lista de clientes e endereços IP dos clientes (em formato separado por vírgulas). Cada lista de clientes pode ter vários clientes. Um cliente é um prefixo com máscara /32.

  • Grupo de interceptação — Crie um grupo nomeado de hosts para receber as notificações de interceptação especificadas. Pelo menos um grupo de interceptações deve ser configurado para que as interceptações SNMP sejam enviadas. A configuração inclui os seguintes campos:

    • Nome do grupo — Especifique um nome para o grupo de armadilhas.

    • Categorias — Escolha na lista de categorias a seguir. Você pode selecionar vários valores.

      • autenticação

      • chassi

      • Configuração

      • ligação

      • operações remotas

      • Roteamento

      • Serviços

      • Comece

      • vrrp-eventos

    • Destinos — Especifique os endereços IP de destino. Você pode especificar vários destinos.

    • Versão — Especifique o número da versão das armadilhas SNMP.

  • Comunidade — Defina uma comunidade SNMP. Uma comunidade SNMP é usada para autorizar clientes SNMP por seu endereço IP de origem. Ele também determina a acessibilidade e as permissões (somente leitura ou leitura/gravação) para objetos MIB específicos definidos em uma exibição. Você pode incluir uma lista de clientes, informações de autorização e uma visualização na configuração da comunidade.

  • View(Aplicável a SNMPv2 e SNMPv3)— Defina uma visualização MIB para identificar um grupo de objetos MIB. Cada objeto na exibição compartilha um prefixo OID (identificador de objeto comum). As exibições MIB permitem que um agente tenha mais controle sobre o acesso a ramificações e objetos específicos em sua árvore MIB. Uma exibição é composta por um nome e uma coleção de OIDs SNMP, que podem ser explicitamente incluídos ou excluídos.

• Opções em SNMPv3 (V3)

  • Geral — Especifique o nome do sistema, localização, informações de contato administrativo e uma breve descrição do sistema gerenciado. Ao usar o SNMPv2, configure uma ID de mecanismo, que serve como um identificador exclusivo para entidades SNMPv3. Você tem a opção de usar o endereço MAC do dispositivo como o ID do mecanismo. O uso do endereço MAC garante a exclusividade e a estabilidade do ID do mecanismo sem muita intervenção manual.

  • USM — Defina as configurações do modelo de segurança baseado no usuário (USM). Essa configuração inclui um nome de usuário, um tipo de autenticação e um tipo de criptografia. Você pode configurar um mecanismo local ou um mecanismo remoto para o USM. Se você selecionar um mecanismo remoto, especifique um identificador de mecanismo em formato hexadecimal. Esse ID é usado para calcular o resumo de segurança para autenticar e criptografar pacotes enviados a um usuário no host remoto. Se você especificar a opção Mecanismo Local, a ID do mecanismo especificada na guia Geral será considerada. Se nenhuma ID de mecanismo for especificada, a névoa local será configurada como o valor padrão.

  • VACM — Defina um modelo de controle de acesso baseado em visualização (VACM). Um VACM permite definir privilégios de acesso para um grupo. Você pode controlar o acesso filtrando os objetos MIB disponíveis para operações de leitura, gravação e notificação usando uma exibição predefinida (você deve definir as exibições necessárias primeiro na guia Exibições). Cada exibição pode ser associada a um modelo de segurança específico (v1, v2c ou usm) e nível de segurança (autenticado, privacidade ou nenhum). Você também pode aplicar configurações de segurança (você tem a opção de usar as configurações de USM já definidas aqui) ao grupo de acesso das configurações de Segurança para Grupo.

  • Notificar— Selecione destinos de gerenciamento SNMPv3 para notificações e especifique o tipo de notificação. Para configurar isso, atribua um nome à notificação, escolha os destinos ou tags que devem receber as notificações e indique se deve ser uma notificação de interceptação (não confirmada) ou informada (confirmada).

  • Destino — Configure os parâmetros de processamento e segurança de mensagens para enviar notificações a um destino de gerenciamento específico. Você também pode especificar o endereço IP de destino aqui.

  • View(Aplicável a SNMPv2 e SNMPv3)— Defina uma visualização MIB para identificar um grupo de objetos MIB. Cada objeto na exibição compartilha um prefixo OID (identificador de objeto comum). As exibições MIB permitem que um agente tenha mais controle sobre o acesso a ramificações e objetos específicos em sua árvore MIB. Uma exibição é composta por um nome e uma coleção de OIDs SNMP, que podem ser explicitamente incluídos ou excluídos.

Para obter mais informações, consulte Configurar SNMP em Switches.

Configure rotas estáticas. O switch usa rotas estáticas quando:

• Ele não tem uma rota com um valor de preferência melhor (menor).

• Ele não pode determinar a rota para um destino.

• Ele precisa encaminhar pacotes que não podem ser roteados.

A Mist oferece suporte a endereços IPv4 e IPv6 para rotas estáticas. O suporte a IPv6 está disponível para endereços de destino e de próximo salto.

Tipos de rotas estáticas suportadas:

• Sub-rede — Se você selecionar essa opção, especifique os endereços IP para a rede de destino e o próximo salto.

• Rede — Se você selecionar essa opção, especifique uma VLAN (contendo um ID de VLAN e uma sub-rede) e o endereço IP do próximo salto.

• Métrica — O valor da métrica para a rota estática. Esse valor ajuda a determinar a melhor rota entre várias rotas para um destino. Faixa: 0 a 4294967295.

• Preferência — o valor de preferência é usado para selecionar rotas para destinos em sistemas autônomos (ASs) externos ou domínios de roteamento. As rotas dentro de um AS são selecionadas pelo IGP e são baseadas na métrica ou no valor de custo desse protocolo. Faixa: 0 a 4294967295.

• Descartar — Se você marcar essa caixa de seleção, os pacotes endereçados a esse destino serão descartados. Descartar tem precedência sobre outros parâmetros.

Depois de especificar os detalhes, clique na marca de seleção (✓) no canto superior direito da janela Adicionar rota estática para adicionar a configuração ao modelo.

Para definir quaisquer configurações adicionais que não estejam disponíveis na GUI do modelo, você pode usar os comandos set CLI.

Por exemplo, você pode configurar uma mensagem de login personalizada para exibir um aviso aos usuários, aconselhando-os a não fazer nenhuma alteração na CLI diretamente no switch. Aqui está um exemplo de como você pode fazer isso:

set system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

Para excluir um comando da CLI que já foi adicionado, use o delete comando, conforme mostrado no exemplo a seguir:

delete system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

Para obter mais informações, consulte .. /mapa do tópico/manage-template-settings-wired-assurance.html#id_ppv_5hg_hzb.

• Defina uma área Open Shortest Path First (OSPF). OSPF é um protocolo de roteamento de estado de enlace usado para determinar o melhor caminho para o encaminhamento de pacotes IP em uma rede IP. O OSPF divide uma rede em áreas para melhorar a escalabilidade e controlar o fluxo de informações de roteamento. Para obter mais informações sobre áreas OSPF, consulte esta documentação do Junos: Configuração de áreas OSPF.

• Habilite ou desabilite a configuração do OSPF no switch (no nível do switch).

Para obter mais informações sobre como configurar o OSPF por meio do Mist, consulte Configuração de OSPF para Switches.

Os switches da série EX e da série QFX da Juniper oferecem excelente segurança de porta, incluindo snooping de DHCP, inspeção do protocolo de resolução de endereços (ARP) e IP Source Guard. Você pode habilitar essas opções para todas as VLANs ou VLANs selecionadas no switch a partir do portal da Mist. O rastreamento de DHCP deve ser habilitado para que os problemas de DHCP sejam incluídos na SLE de conexão bem-sucedida com fio.

O DHCP Snooping monitora as mensagens DHCP de dispositivos não confiáveis conectados ao switch. Quando ativado, o rastreamento de DHCP extrai o endereço IP e as informações de concessão dos pacotes DHCP e os armazena em um banco de dados de espionagem. A segurança de porta nos switches EX usa essas informações para verificar solicitações DHCP e bloquear DHCPOFFERs recebidos em portas não confiáveis (DHCP DISCOVER e DHCP REQUEST não são afetados).

• O IP Source Guard funciona apenas com o modo de autenticação de usuário 802.1X de suplicante único. Ele usa o banco de dados DHCP para validar endereços IP de origem e endereços MAC recebidos em uma porta não confiável e descarta os pacotes que não têm entradas correspondentes no banco de dados.

• A inspeção ARP examina o endereço MAC de origem em pacotes ARP recebidos em portas não confiáveis. Ele valida o endereço no banco de dados de espionagem DHCP e, se o endereço MAC não puder ser encontrado, o pacote será descartado. Você pode usar a CLI para verificar as estatísticas ARP, como o número de pacotes ARP inválidos que ela recebe em cada interface e os endereços IP e MAC do remetente, digitando os seguintes comandos no shell da CLI: show dhcp-security arp inspection statisticse show log messages | match DAI

Por padrão, o protocolo DHCP considera todas as portas de tronco como confiáveis e todas as portas de acesso como não confiáveis. Recomendamos que você conecte apenas um servidor DHCP ao switch usando uma porta de tronco ou, se precisar usar uma porta de acesso, certifique-se de configurar explicitamente essa porta como confiável no perfil de porta ou o DHCP não funcionará.

Observe que, se você conectar um dispositivo configurado com um endereço IP estático a uma porta não confiável no switch, a vinculação MAC-IP pode não existir no banco de dados de espionagem de DHCP; Os pacotes serão descartados. Você pode usar esse comando show dhcp-security binding em um shell da CLI para solucionar problemas de DHCP e ver quais ligações estão listadas no banco de dados de rastreamento de DHCP para o switch.

Defina as configurações de SYSLOG para definir como as mensagens de log do sistema são tratadas. Você pode definir as configurações para enviar as mensagens de log do sistema para arquivos, destinos remotos, terminais do usuário ou para o console do sistema.

Para obter ajuda com as opções de configuração, consulte Configurar o log do sistema.

ESPELHAMENTO DE PORTA

Configure o espelhamento de porta.

O espelhamento de porta é a capacidade de um roteador de enviar uma cópia de um pacote para um endereço de host externo ou um analisador de pacotes para análise.

O Mist suporta espelhamento de porta local e remoto. No espelhamento de porta local, as portas de origem e as portas de destino (porta do monitor) estão localizadas no mesmo switch de rede. No espelhamento remoto de portas, as portas de origem e as portas de destino não estão no mesmo switch. Nesse caso, a porta de origem encaminha a cópia do pacote para a porta de destino remoto através da conexão obtida pelas portas entre os dois switches.

Na configuração de espelhamento de porta, você pode especificar o seguinte:

• Entrada: A origem (uma interface ou rede) do tráfego a ser monitorado. Junto com a entrada, você pode especificar se deseja que a Mist monitore o tráfego de entrada ou o tráfego de saída de uma interface. Se você quiser que o tráfego de entrada e saída seja monitorado, adicione duas entradas de entrada para a mesma interface - uma com o sinalizador de entrada e outra com o sinalizador de saída.

• Saída: o destino para o qual você deseja espelhar o tráfego. Você pode especificar uma interface, uma rede ou um endereço IP (no caso de um destino remoto). Você não pode especificar a mesma interface ou rede nos campos de entrada e saída.

Política de roteamento

Configure políticas de roteamento para toda a organização (Modelos de organização > switch) ou para um site (Configuração de site > switch). Essas políticas de roteamento só serão enviadas para a configuração do switch se ele estiver vinculado ao protocolo de roteamento BGP. As políticas de roteamento que já estão definidas na guia BGP de um switch agora aparecerão na guia Política de roteamento. As políticas de roteamento estão vinculadas a protocolos como BGP ou OSPF. Uma estrutura de política de roteamento é composta de regras padrão para cada protocolo de roteamento. Essas regras determinam quais rotas o protocolo coloca na tabela de roteamento e anuncia a partir da tabela de roteamento. A configuração de uma política de roteamento envolve a definição de termos, que consistem em condições de correspondência e ações a serem aplicadas às rotas correspondentes.

Para configurar uma política de roteamento:

1. Clique em Adicionar Política de Roteamento no bloco Política de Roteamento.

2. Forneça um nome para a política e clique em Adicionar Termos.

3. Forneça um nome para o termo e especifique outros detalhes de correspondência, como:

   • Prefixo

   • Caminho AS

   • Protocolo

   • Comunidade — um atributo de rota usado pelo BGP para agrupar administrativamente rotas com propriedades semelhantes.

   • Então — Então (Aceitar ou Rejeitar) a ser aplicada nas rotas correspondentes.

   • Adicionar ação — Ações adicionais, como preceder o caminho AS, definir a comunidade e definir a preferência local.

4. Clique na marca de seleção (✓) à direita do título Adicionar termo para salvar o termo. Você pode adicionar vários termos.

5. Clique em Adicionar para salvar a política de roteamento.

Habilite switches com suporte à opção 81 DHCP. Quando essa opção está habilitada em um switch, os clientes conectados a esse switch podem enviar seu nome de domínio totalmente qualificado (FQDN) para o servidor DHCP enquanto solicitam um endereço IP. Isso permite que o servidor DHCP atualize os registros DNS de acordo.

Você também pode habilitar a opção DHCP 81 no nível do site (Configuração do switch de > do site) e do dispositivo (Switches > Nome do switch).

Com o VRF, você pode dividir um switch da Série EX em várias instâncias de roteamento virtual, isolando efetivamente o tráfego dentro da rede. Você pode definir um nome para o VRF, especificar as redes associadas a ele e incluir quaisquer rotas adicionais necessárias. Você pode especificar endereços IPv4 ou IPv6 para a rota adicional.

Configurações básicas para identificar e habilitar a porta.

• Tronco — As interfaces de tronco normalmente se conectam a outros switches, APs e roteadores na LAN. Nesse modo, a interface pode estar em várias VLANs e pode multiplexar o tráfego entre diferentes VLANs. Especifique a rede de portas, a rede VoIP (se aplicável) e as redes de tronco.

• Acesso — modo padrão. As interfaces de acesso normalmente se conectam a dispositivos de rede, como PCs, impressoras, telefones IP e câmeras IP. Nesse modo, a interface pode estar em apenas uma única VLAN.

Selecione esta opção para habilitar a autenticação IEEE 802.1X para Controle de acesso à rede baseado em porta. A autenticação 802.1X é suportada em interfaces que são membros de VLANs privadas (PVLANs).

As seguintes opções estarão disponíveis se você habilitar a autenticação dot1x em uma porta:

• Permitir vários suplicantes — Selecione esta opção para permitir que vários dispositivos finais se conectem à porta. Cada dispositivo é autenticado individualmente.

• VLAN dinâmica — Especifique VLANs dinâmicas que serão retornadas pelo atributo do servidor RADIUS 'túnel-private-group-ID' ou 'Egress-VLAN-Name'. Essa configuração permite que uma porta execute a atribuição dinâmica de VLAN.

• Autenticação MAC — Selecione esta opção para habilitar a autenticação MAC para a porta. Quando essa opção é selecionada, você também pode especificar um protocolo de autenticação. Se você especificar um protocolo, ele deverá ser usado por suplicantes para fornecer credenciais de autenticação.

• Usar rede de convidados — Selecione esta opção para usar uma rede de convidados para autenticação. Em seguida, selecione uma rede de convidados na lista suspensa.

• Ignorar a autenticação quando o servidor estiver inativo — Se você selecionar essa opção, os clientes poderão ingressar na rede sem autenticação se o servidor estiver inativo.

• Intervalo de reautenticação — Em um perfil de porta de switch que usa autenticação dot1x, você pode configurar um temporizador que controla a frequência com que um cliente se reautentica com o servidor RADIUS. O valor recomendado é de 6 a 12 horas (21600 a 43200 segundos). O valor padrão é 65000 segundos.

• Rede de rejeição de servidor — Selecione esta opção para conectar usuários a uma VLAN especificada (como a rede de convidados) no caso de o servidor de autenticação rejeitar a tentativa de autenticação do usuário. Você pode configurar essa opção no nível do switch, no nível do modelo do site ou no nível do modelo da organização.

• Rede de falha do servidor — Selecione esta opção para conectar usuários a uma VLAN especificada (como a rede de convidados) caso o servidor de autenticação não possa ser alcançado ou não responda. Você pode configurar essa opção no nível do switch, no nível do modelo do site ou no nível do modelo da organização.

Você também precisa fazer o seguinte para que a autenticação dot1x funcione:

• Configure um servidor RADIUS para autenticação dot1x no bloco Servidores de Autenticação na seção Configuração de Todos os Switches do modelo.

• Atribua um perfil de porta dot1x a uma porta de switch para que a configuração RADIUS seja enviada para o switch. Você pode fazer isso na guia Configuração de porta na seção Selecionar configuração de switches do modelo.

  Passe o mouse sobre a porta para ver o campo VLAN atribuído ao RADIUS. As portas com dot1x habilitado recebem uma nova VLAN pelo servidor RADIUS quando a autenticação 802.1x é bem-sucedida. Essa exibição é especialmente útil ao verificar se uma determinada VLAN em uma porta foi alterada após a autenticação dot1x.

  Figura 1: VLAN atribuída ao raio em uma porta Dot1x

Velocidade

Mantenha a configuração padrão, Automático, ou selecione uma velocidade

Duplex

Mantenha a configuração padrão, Automático, ou selecione Metade ou Completo.

O valor padrão: 0

Intervalo suportado: 0 a 16383

Habilite a porta para suportar Power over Ethernet (PoE).

Configure um switch com VLAN Spanning Tree Protocol (VSTP) ou por VLAN Spanning Tree. O VSTP ajuda a prevenir loops em redes de Camada 2 por VLAN. Uma árvore de abrangência por VLAN permite o balanceamento de carga refinado. A Mist recomenda habilitar esse recurso para dispositivos de outros fornecedores (por exemplo, Cisco) que operam por spanning tree por VLAN por padrão.

Essa configuração também está disponível no site e no nível do switch.

Configure a porta como uma porta de borda do Spanning Tree Protocol (STP), se quiser habilitar a proteção da Unidade de Dados do Protocolo de Ponte (BPDU) em uma porta. O STP Edge é habilitado nas portas às quais os clientes que não participam do STP estão conectados. Essa configuração garante que a porta seja tratada como uma porta de borda e protege contra a recepção de BPDUs. Se você conectar um dispositivo que não seja de borda a uma porta configurada com o STP Edge, a porta será desativada. Além disso, a página Insights do switch gera um evento BPDU de porta bloqueada. O painel frontal nos detalhes do switch também exibirá um erro de BPDU para esta porta.

Você pode limpar a porta do erro de BPDU selecionando a porta no Painel Frontal e clicando em Limpar Erros de BPDU.

Você não deve habilitar o STP Edge na porta de uplink.

Você também pode configurar o STP Edge no nível do switch, na seção Perfil da porta na página de detalhes do switch.

STP ponto a ponto

Essa configuração altera o modo de interface para ponto a ponto. Links ponto a ponto são links dedicados entre dois nós de rede, ou switches, que conectam uma porta a outra.

STP sem porta raiz

Essa configuração impede que a interface se torne uma porta raiz.

Bloquear BPDUs de STP

Normalmente habilitado em portas de borda ou de acesso onde as BPDUs não são esperadas. Quando essa opção está habilitada, a porta é desligada imediatamente se uma BPDU for recebida, ajudando a evitar possíveis loops ou configurações incorretas.

Se o STP Edge estiver ativado, Bloquear BPDUs de STP será desativado automaticamente. No entanto, a Verificação de Vivacidade de BPDU ainda pode ser configurada. Se Bloquear BPDUs do STP estiver ativado, o STP Edge e a Verificação de Vivacidade do BPDU serão desativados automaticamente.

Habilite a Qualidade de Serviço (QoS) para a porta para priorizar o tráfego sensível à latência, como voz, em vez de outro tráfego em uma porta.

Você tem a opção de substituir a configuração do QoS na página de configurações do WLAN (Site > WLANs > WLAN nome). Para substituir a configuração de QoS, marque a caixa de seleção Substituir QoS e escolha uma classe de acesso sem fio. O tráfego downstream (AP > cliente) é marcado com o valor da classe de acesso de substituição especificado. A configuração de substituição não dá suporte ao tráfego upstream (cliente > AP).

Consulte também: Configuração de QoS.

Habilite o controle de tempestade para monitorar os níveis de tráfego e descartar automaticamente pacotes de broadcast, multicast e unicast desconhecidos quando o tráfego exceder um nível de tráfego (especificado em porcentagem). Esse nível de tráfego especificado é conhecido como nível de controle de tempestade. Esse recurso impede ativamente a proliferação de pacotes e mantém o desempenho da LAN.

Ao habilitar o Storm Control, você também pode optar por excluir pacotes de broadcast, multicast e unicast desconhecidos do monitoramento.

Você também pode configurar um switch para desligar automaticamente uma porta quando o tráfego exceder o limite de controle de tempestade definido pelo usuário, marcando a caixa de seleção Shutdown Port em Action on Threshold.

Para obter mais informações, consulte Noções básicas sobre o controle de tempestade.

Habilite o MAC persistente (fixo) para reter endereços MAC para estações de trabalho e servidores confiáveis aprendidos pela interface, mesmo após a reinicialização do dispositivo. Você pode configurar o Sticky MAC para clientes com fio estáticos. O Sticky MAC não se destina ao uso em interfaces Juniper Mist AP, nem é suportado para portas de tronco ou configuradas com autenticação 802.1X.

Usado em conjunto com os limites MAC (explicados acima), o Sticky MAC protege contra ataques de negação de serviço (DoS) de Camada 2, ataques de estouro na tabela de comutação Ethernet e ataques de privação de DHCP, enquanto ainda permite que a interface aprenda dinamicamente endereços MAC. No portal da Mist, a página Insights relata esses eventos como MAC Limit Exceeded .

Você configura os limites Sticky MAC e MAC como parte do perfil de porta do switch. O procedimento geral é demonstrado neste vídeo:

Você deve habilitar explicitamente a opção Persistent (Sticky) MAC Learning , localizada na parte inferior do bloco de configuração Port Profile, para incluir o Sticky MAC como parte do Port Profile que você associa à interface. Para limites MAC, o valor padrão é 0 (ilimitado, ou seja, desabilitado), mas você pode habilitá-lo definindo um valor de até 16383 endereços MAC exclusivos permitidos.

Para ver no portal da Mist qual valor foi definido para o limite de MAC ou a contagem de MAC, selecione um switch na página Switches e passe o mouse sobre uma porta de switch. Você pode ver qual perfil (porta) é aplicado à interface e, por extensão, saber seu status Sticky MAC.

Figura 2: Detalhes da porta mostrando MAC fixo

O limite MAC configurado e o número de MACs aprendidos aparecerão após alguns minutos, à medida que o aprendizado dinâmico na interface progride. No painel da Mist, somente a contagem máxima de endereços MAC é exibida. No entanto, você pode ver todos os endereços MAC que uma determinada interface aprendeu abrindo um shell remoto no switch e executando os seguintes comandos Junos CLI:

show ethernet-switching table persistent-learning
show ethernet-switching table persistent-learning interface

A contagem de MAC é um valor persistente que permanece até que o endereço MAC seja limpo (ou até que seja desativado no perfil de porta e, em seguida, essa configuração seja enviada para o switch).

Para limpar os endereços MAC em uma determinada interface do painel do Mist, você precisa estar conectado como administrador de rede ou superusuário. Em seguida, basta selecionar a porta desejada no painel frontal do switch (conforme mostrado na Figura 1) e clicar no botão Clear MAC [Dynamic/Persistent] que aparece.

Na página Switch Insights, o evento aparece como um MAC Limit Reset evento.

Para obter mais informações sobre o painel frontal, consulte Detalhes do switch.

Ative essa opção se quiser que essa regra seja aplicada a todos os switches que têm o mesmo modelo. Em seguida, selecione o modelo.

Insira a sub-rede ou a variável de site.