CISCO Network Academy

Transkript

1 CISCO Network Academy Základy Přepínání CCNA1 - Modul 8 Vít Míchal Petr Špringl /12

2 Obsah Úvod... 2 Mosty na vrstvě 2 (L2 bridges)... 2 Přepínání na vrstvě 2 (L2 switching)... 4 Operace přepínače (Switch operation)... 4 Režimy přepínače (Switch modes)... 5 Spanning tree protokol (STP)... 6 Prostředí sdíleného média... 7 Segmentace... 8 Broadcasty na druhé vrstvě ISO/OSI modelu... 9 Broadcastové domény Tok dat (data flow) Co je segment sítě? Otázky k procvičení Úvod Za ideálních podmínek pracuje sdílený Ethernet velmi dobře. Ovšem v okamžiku, kdy vzroste počet přistupujících zařízení, se síť začne výrazně zpomalovat a začne docházet k vyššímu počtu kolizí. Pokud počet uživatelů sítě vzroste ještě více, tak vznikající kolize výrazně sníží výkon celé sítě. Mosty (bridges) byly vynalezeny za účelem řešit problémy související s kolizemi na síti. Přepínače (switches) se vyvinuly z mostů, aby mohly být používány jako hlavní technologie v moderních Ethernetových LAN sítích. Kolize a broadcasty jsou očekávané a žádané události v moderních sítích. Jsou zapracovány do schématu Ethernetu i technologií na vyšších vrstvách. Ovšem pokud jejich počet příliš vzroste, tak to má veliký dopad na výkonnost sítě. Kolizní a broadcastové domény jsou určeny k řešení takovýchto problémů. Mosty na vrstvě 2 (L2 bridges) Stejně jako jiné uzly sítě byly mosty přidány do Ethernetu, aby se zvětšil jeho rozsah. Ethernet je sdílené médium, což znamená, že může vysílat data v daném okamžiku pouze jeden uzel. S přibývajícími uzly se zvyšuje poptávka po dostupné šířce pásma (bandwidth), což zvyšuje pravděpodobnost výskytu kolizí, které způsobují nutnost znovuposlání (retransmission) dat. Řešením tohoto problému je rozdělit velké segmenty na části a tyto části izolovat jako jednotlivé kolizní domény. To je možné udělat prostřednictvím mostů (bridges). 2/12

3 obrázek č.1 Most si udržuje tabulku MAC adres a u každé má přiřazený některý ze svých portů. Na základě obsahu této tabulky pak most přepošle nebo smaže příchozí rámec. Následující kroky ilustrují činnost mostu na přikladu (viz Obrázek 1): Po spuštění mostu je jeho tabulka prázdná. Most pouze čeká na příchozí data. V okamžiku, kdy data přijdou, tak jsou mostem zpracovávána. Počítač A kontaktuje počítač B. Data jsou vysílána ve stejné kolizní doméně, tak je paket zpracováván mostem i počítačem B. Most přidá zdrojovou adresu (MAC) z rámce do své tabulky. Tato adresa je spojena s číslem portu mostu (port 1), na kterém daný paket přijal. Cílová adresa z rámce je zkontrolována s obsahem tabulky v mostu. Daná adresa není v tabulce, ačkoliv je součástí stejné kolizní domény, tak je rámec přeposlán do jiného segmentu. Adresa počítače B zatím nebyla zaznamenána v tabulce. Počítač B odpovídá počítači A. Data jsou vysílána přes celou kolizní doménu. Tedy most i počítač A přijmou rámec a zpracují ho. Most přidá zdrojovou adresu z rámce do své tabulky MAC adres a přiřadí jí číslo portu (port 1), na kterém byl paket přijat. Cílová adresa z rámce je zkontrolována s obsahem tabulky MAC adres v mostu. Tato adresa zde již je obsažena, tak je zkontrolováno přiřazené číslo portu. Toto číslo je shodné s číslem portu, na kterém byl daný paket přijat, tedy není nikam přeposílán. Počítač A kontaktuje počítač C. Data jsou vysílána ve stejné kolizní doméně, tak je 3/12

4 paket zpracováván mostem i počítačem B. Počítač B rámec zahodí, protože jemu není určen, což pozná podle cílové adresy v rámci. Most přidá zdrojovou adresu z rámce do své tabulky. Tato adresa zde již byla obsažena, tak je pouze obnovena i s přiřazeným číslem portu. Cílová adresa rámce je zkontrolována s obsahem tabulky. Pokud daná adresa není v tabulce, tak je rámec přeposlán do jiného segmentu. Adresa počítače C dosud nebyla zaznamenána. Počítač C odpovídá počítači A. Data jsou vysílána přes celou kolizní doménu. Tedy počítač D a most obdrží rámec a zpracují ho. Počítač D zahodí rámec, protože pro něj není určen. Most přidá zdrojovou adresu z rámce do své tabulky. Tato adresa nebyla dříve obsažena, proto jí musí být přiřazeno i číslo portu, na kterém byl rámec přijat (port 2). Cílová adresa rámce je zkontrolována s obsahem tabulky. Daná adresa je v tabulce, ale je přiřazena jinému portu (Port 2), než na kterém byl rámec přijat, takže je rámec přeposlán do jiného segmentu. Až bude vysílat data počítač D, tak bude jeho MAC adresa také zaznamenána do tabulky v mostu. Na tomto příkladě byly ilustrovány všechny operace, které využívají mosty ke kontrolování zasílání dat mezi kolizními doménami. Přepínání na vrstvě 2 (L2 switching) Obecně mají mosty pouze dva porty, tedy rozdělují kolizní doménu na dvě části. Všechna rozhodnutí provedena mostem jsou založena na MAC adresách adresách vrstvy 2 a nijak neovlivňují logické adresování nebo adresování na vrstvě 3. Most rozdělí kolizní doménu, ale neovlivní logickou či broadcastovou doménu. Pokud nemá síť zařízení pracující s adresami vrstvy 3 (např. směřovače), tak síť sdílí stejný broadcastový adresový prostor. Most vytvoří více kolizních domén, ale nepřidá žádnou broadcastovou doménu. Přepínač je, zjednodušeně, rychlý více portový most. Každý jeho port vytváří vlastní kolizní doménu. V síti s 20 uzly existuje 20 kolizních domén, pokud je každý uzel zapojen do vlastního portu přepínače. Pokud navíc přepínač obsahuje i uplink port, pak vytvoří 21 jednouzlových kolizních domén. Přepínač dynamicky tvoří a spravuje asociativní paměťovou (CAM) tabulku, která udržuje všechny důležité MAC informace pro každý port. Operace přepínače (Switch operation) Přepínač je, zjednodušeně, most s mnoha porty. Pokud je připojen pouze jeden uzel do portu přepínače, pak kolizní doména sdíleného média obsahuje pouze dva uzly. Tyto dva uzly v tomto malém segmentu kolizní doméně se skládají z portu přepínače a připojeného počítače. Tyto malé fyzické segmenty se nazývají mikrosegmenty. Jiná kapacita se objeví, pokud jsou připojeny pouze dva uzly. V síti používající kabeláž prostřednictvím kroucené dvoulinky je využit jeden pár vodičů pro přenos vysílaného signálu z jednoho uzlu do 4/12

5 druhého. Zvláštní pár je použit pro odpověď či příjem signálu. Je možné využívat oba páry současně. Schopnost komunikovat oběma směry v jeden okamžik je známa jako full-duplex. Většina přepínačů podporuje full-duplex komunikaci stejně jako většina síťových karet. Ve full-duplexním módu nedochází k soupeření o přenosové médium. Kolizní doména zde neexistuje. Teoreticky je šířka pásma zdvojnásobena, pokud je používána komunikace fullduplex. Dvě další technologie jako dodatek k rychlejším mikroprocesorům a pamětím umožnily vznik přepínačům. Asociativní paměť (CAM) je paměť, která pracuje opačně oproti obvyklým pamětím. Když jsou data vkládána do paměti, tak je vrácena přiřazená adresa. CAM umožňuje přepínači najít port, který je přiřazen dané MAC adrese aniž by bylo třeba vyhledávacích algoritmů. Aplikačně specifický integrovaný obvod (ASIC) je obvod s funkcionalitou optimalizovanou pro určitou činnost a umožňuje provádění softwarových operací v hardwaru. Tyto dvě technologie výrazně zredukovaly zpoždění způsobené softwarem a umožnily přepínači uchovávat data z mnoha mikrosegmentů. Zpoždění (latency) obrázek č. 2 Zpoždění vyjadřuje dobu, která uplyne mezi odesláním rámce na zdrojovém zařízení a přijetím rámce na cílovém. Mnoho různých faktorů může ovlivňovat zpoždění Média mohou dosáhnout pouze určité konečné přenosové rychlosti Zpracovávání signálu během cesty Softwarová rozhodnutí při přepínání či v implementaci protokolů Obsah rámce a umístění přepínacích rozhodnutí např. zařízení nemůže rámec směřovat dokud nebyla přečtena cílová MAC adresa. Režimy přepínače (Switch modes) Rozhodnutí o tom, jakým způsobem je rámec přeposlán na cílový port, je v kompromisu mezi zpožděním a spolehlivostí. Přepínač může začít přenos rámce ihned v okamžiku, kdy obdrží cílovou MAC adresu. Tento režim je nazýván cut-through. Výsledkem je nejnižší zpoždění způsobené přepínačem, ovšem pak nedochází k žádné kontrole chyb. Přepínač také může nejprve přijmout celý rámec, než ho odešle na cílový port. Toto dává přepínači možnost verifikovat kontrolní součet (FCS, frame check sequence). Pokud není 5/12

6 v pořádku, tak přepínač paket zahodí. Režim, kdy je paket nejprve uložen a až následně odeslán, se nazývá store-and-forward. Kompromisem mezi dvěma předchozími režim je fragment-free mód. Přepínač přečte prvních 64 bytů, které obsahují hlavičku rámce, a začne odesílat paket ještě před tím, než obdrží jeho data a kontrolní součet. Tento režim kontroluje spolehlivost adresy a LLC informace protokolu k zajištění, že data budou přenesena správně a dorazí na správné místo. Pokud je používán režim cut-through, pak musí zdrojový i cílový port pracovat na stejné rychlosti, aby nedošlo k porušení rámce. Toto se nazývá symetrickým přepínáním (symmetric switching). Pokud nepracují stejnou rychlostí, tak musí být rámec uložen než bude poslán odpovídající rychlostí asymetrické přepínání (asymmetric switching). Asymetrické přepínání se používá ke spojení sítí s různou šířkou pásma. Také je optimalizováno pro komunikaci typu klient/server, kdy komunikuje velké množství klientů s jedním serverem. Širší pásmo musí být u portu, kterému je připojen server, jinak by se jednalo o nejpomalejší místo. Spanning tree protokol (STP) Pokud je více přepínačů zapojeno do jednoduché stromové hierarchie, pak může dojít ke smyčkám během přepíná (switching loops). Navíc přepínané sítě obvykle obsahují více redundantních cest, aby se zajistila vyšší spolehlivost a snížila chybovost. Redundantní cesty jsou žádoucí, ale mají nežádoucí efekt smyčky při přepínání. Tyto smyčky mohou být důsledkem návrhu či nehody a mohou vést k broadcastovým bouřím, které zahltí celou síť. STP je standardním protokolem, který je používán pro zamezení vzniku smyček při přepínání. Každý přepínač v LAN síti, který využívá STP, posílá zprávy zvané BPDU (Bridge Protocol Data Units) ze všech svých portů, aby dal ostatním přepínačům vědet o své existenci. Tyto informace jsou používány ke zvolení kořenového mostu (root bridge) pro síť. Přepínače používají algoritmus spanning-tree k vyřešení a vypnutí redundantních cest. Každý port na přepínači používající STP je vždy v jednom z následujících stavů: Blocking blokuji; přijímá jen BPDU Listening poslouchám; tvoření aktivní topologie Learning učím se; tvoření přepínací tabulky Forwarding přeposílám; přijímaní a posílání uživatelských dat Disabled zakázaný; administrativně zakázáno Porty mění své stavy následovně: Z initialization DO blocking Z blocking DO listening NEBO DO disabled Z listening DO learning NEBO DO disabled 6/12

7 Z learning DO forwarding NEBO DO disabled Z forwarding DO disabled STP je používáno pro vytvoření logického hierarchického stromu bez smyček. Nicméně jsou ale stále dostupné alternativní cesty. Prostředí sdíleného média Uvedeme si několik příkladů sdíleného média a přímo připojených sítí: prostředí sdíleného média - se vyskytuje tam, kde je několik uzlů připojených ke stejnému médiu. Například pokud je několik počítačů fyzicky připojených ke stejnému kabelu nebo optickému vláknu. rozšířené prostředí sdíleného média - v tomto speciálním připadě sdíleného média mohou mít kabelové vodiče větší dosah. prostředí point-to-point sítě - tento typ je hojně rozšířený u připojení k internetu pomocí vztáčeného spojení. Jedná se o sdílené medium, ke kterému jsou připojeni pouze dva uzly obrázek č. 3 Kolize vznikají pouze v prostředí sdíleného média. Příkladem sdíleného média může být dálniční systém. Zde kolize vznikají. protože několik vozidel používá současně jednu kominkaci. Stejně jako na dálnici tak i v síťovém prostředí existují pravidla řídící jeho provoz. Avšak ani existence pravidel nedokáže zabránit vzniku kolizí a dopravní zácpy. 7/12

8 Kolizní domény Fyzicky propojené síťové segmetny, ve kterých může vzniknout kolize, se nazývají kolizní domény. Kolize snižují efektivitu sítě. Při vzniku kolize se všechny právě probíhající přenosy na určitou dobu přeruší. Doba přerušení je na každém síťovém zařízení jiná a je určená tzv. "backoff" algoritmem. Typy zařízení propojující jednotlivé segmenty přenosového média udávají velikost kolizní domény. Zařízení pracující na druhé nebo třetí vrstvě modelu ISO/OSI oddělují kolizní domény (segmentují síť). Zařízení první vrstvy ISO/OSI modelu, jako jsou repeatery nebo huby, se používají ke zvětšení velikosti síťového segmentu. Tím je možné připojit do segmentu další uzly. S rostoucím počtem uzlů se také zvětšuje množství dat k přenosu. Zařízení fungující na první vrstvě přeposílají všechna data do každého uzlu v kolizní doméně. S roustoucím množstvím přenosu, roste také počet kolizí. To se negativně promítá na výkonu sítě. Velikost kolizní domény upravuje tzv. pravidlo čtyř opakovačů. Toto pravidlo říká, že mezi libovolnými dvěma počitači v síti, by měly být nejvýše čtyři huby nebo opakovače. Pro správnou funkci sítí standartu 10BASE-T s opakovači, se musí počítat s tzv. round-trip zpožděním (round-trip delay). Tím zajistíme, že se všechny pracovní stanice dozví o vzniku kolize. Pravidlo čtyř opakovačů počítá se zpožděními opakovačů, propagací a síťové karty. Pokud toto pravidlo nedodržíme, překročíme tím hranici maximálního tolerovatelného zpoždění šíření kolize. Jakmile je přeneseno 64 bajtů z rámce a poté nastane kolize (tzn. že nějaká jiná stanice začne vysílat), vznikne tím tzv. pozdní kolize. Čipsety síťových karet nejsou povinny znovu přenést data při výskytu pozdních kolizí. Tyto rámce poznamenané pozdní kolizí přidávájí do sítě další zpoždění zvané "spotřební" (consumption delay). Spotřební zpoždění pochopitelně také negativně ovlivňuje výkon sítě. Pravidlo říká, že následující počty by se neměly překročit: pět segmentů síťového média čtyři opakovače nebo huby tři segmenty pro koncové síťové uzly dvě linkové sekce bez koncových uzlů jedna velká kolizní doména Pravidlo poskytuje vodítka. která udrží round-trip zpoždění v přijatelných mezích. Segmentace Okolo roku 1970 Havajská univerzita vyvíjela systém bezdrátové komunikace mezi havajskými ostrovy. Výsledkem vývoje je komunikační protokol Aloha. Ethernetový protokol je následníkem protokolu Aloha. 8/12

9 Je dobré umět rozeznat jednotlivé kolizní domény. Kolizní doména je vytvořena, pokud je několik počítačů připojeno k jednomu sdílenému médiu, které není připojené k dalšímu síťovému zařízení. Tato situace omezuje počet počítačů používajících segment. Zařízení pracující na druhé vrstvě rozdělují kolizní domény. Používají MAC adresy, které má každé ethernetové zařízení, ke kontrole distrubuce každého rámce. To umožnuje těmto zařízením řídit tok dat na druhé vrstvě. Tím se zvyšuje efektivita provozu sítě. Díky tomuto lze přenášet data na dvou segmentech zároveň, aniž by vznikla kolize. Mosty a přepínače dělí kolizní domény na dvě menší kolizní domény. Tyto menší domény mají méně koncových uzlů a tím i menší pravděpodobnost vzniku kolizí. Pokud objem dat mezi segmenty není příliš velký, most mezi segmenty stíhá všechna data bez vetších prodlev distribuovat mezi segmenty. Naopak při velkém zatížení mostu se rychlost přenosu zpomaluje a most se stává "uzkým hrdlem" síťové komunikace. Zařízení na druhé a třetí vrstvě nepřeposílají kolize. Zařízení na třetí vrstvě provádí také další funkce, které budou více popsány v sekci "broadcastové domény". Broadcasty na druhé vrstvě ISO/OSI modelu K posílání dat do všech segmentů (kolizních domén) používá protokol tzv. broadcastové a multicastové rámce. Broadcastový rámec má v políčku cílové adresy adresu 0xFFFFFFFFFFFF. Na tuto adresu reaguje káždá síťová karta. Zařízení druhé vrstvy musí přeposílat broadcastové a multicastové rámce na všechna svá rozhraní (kromě toho rozhraní na které rámec přišel). Broadcastovým zamořením (broadcast radiation) nazýváme nahromadění broadcastového a multicastového provozu od každého zařízení v síti. Oběh broadcastového zamoření může v některých případech zaplnit síť do takové míry, že nezbyde žádný prostor pro data aplikací. Tuto situaci nazýváme broadcastvou bouří (broadcast storm). Čím větší máme přepínanou síť, tím větší je pravděpodobnost vzniku broadcastové bouře. Každý broadcastový nebo multicastový rámec zatěžuje CPU koncového zařízení. Proto broadcastové zamoření snižuje výkon každého počítače v síti. Na stanici Sun SPARCstation 2 připojené do sítě pomocí vestavěné Ethernetové karty byl provedem test zátěže CPU v závislosti na broadcastovém zamoření. Výsledky ukazují, že stanice používající IP protokol může být ochromena záplavou broadcastového provozu v síti. Taková záplava vzniká například při broadcastových bouřích. Test v kontrolovaném prostředí prokázal měřitelné snížení výkonu už při stovce broadcastů a multicastů za sekundu. Koncové zařízení obvyklé nemá velký užitek ze zpracování broadcastového rámce, který pro něj nebyl určen. Tři obvyklé zdroje broadcastů a multicastů v IP sítích jsou pracovní stanice, směrovače a multicastové aplikace. Pracovní stanice používají broadcastové rámce k získání MAC adresy jiné stanice. K takovému učelu slouží ARP protokol. Na obrázku č. 4 vidíte závislost zátěže CPU počitače na počtu počítačů v síti. Tato čísla platí pro průměrnou dobře navrženou síť. obrázek č. 4 9/12

10 Představme si, že máme příliš rozhlehlou přepínanou síť, v které nějaké síťové zařízení vyšle broadcastový požadavek. Buď mu přijde tolik odpovědí, že je nebude moci zpracovat, nebo jeho původní požadavek spustí podobné požadavky na jiných zařízeních, které tímto spolehlivě zahltí síť. Například, před provedením příkazu telnet mumble.com se přeloží doménové jméno na IP adresu počítače pomocí DNS služby. Dále je potřeba zjistit MAC adresu daného počítače a to pomocí ARP dotazu zasláním broadcastového rámce. IP stanice si pamatují po dobu dvou hodim 10 až 100 IP adres. Typické vytížení ARP služby na stanici je získání 50 během dvou hodin, tedy ARP dotazů na sekundu. Při počtu 2000 koncových stanic nám vychází 14 ARP dotazů za sekundu. Směrovací protokoly se významně podílí na broadcastovém provozu sítě. Někteří administrátoři z důvodů redundance a dosažitelnosti nastaví směrovací protokol RIP na všech stanicích v síti. Při počtu 2000 stanic a 50 paketů nutných k přenosu směrovací tabulky, by stanice generovaly 3333 broadcastový dotazů za sekundu. Většina administrátorů nastavuje RIP směrování pouze na 5 až 10 směrovačů. Pro deset směrovačů a 50 paketů na směrovací tabulku vychází 16 broadcastových dotazů za sekundu. Broadcastové domény Skupina kolizních domén propojených zařízeními druhé vrstvy se nazývají broadcastové domény. V síti rozdělené na několik kolizních domén má každý host větší možnost k přístupu k médiu. Broadcasty jsou posílány zařízeními druhé vrstvy. Přehršel broadcastů snižuje efektivitu celé LAN. Zařízení třetí vrstvy nepřeposílají broadcasty. Broadcastová doména zahrnuje všechny kolizní domény, které zpracovávají stejné broadcastové rámce. Toto zahrnuje všechny uzly v síťovém segmentu ohraničeném zařízeními třetí vrstvy. Při přenosu paketu přes směrovač musí být paket zpracován druhou vrstvou. Směrování na třetí vrstvě se provádí na základě IP adresy. Aby mohl být paket směrován, musí být adresován na adresu mimo adresový prostor zdrojové sítě a směrovač musí mít definovaný odpovídající záznam v směrovací tabulce. Tok dat (data flow) Budeme se zajímat o pohyb dat skrze první, druhou a třetí vrstvu ISO/OSI modelu. Pamatujte, že data jsou na síťové vrstvě zapouzdřena se zdrojovou a cílovou IP adresou. Na linkové vrstvě jsou data zabalena do rámců se zdrojovou a cílovou MAC adresou. Platí pravidlo, že zařízení první vrstvy vždy přeposílá rámec, zatímco zařízení druhé vrstvy "chce" odeslat rámec. Jinými slovy zařízení druhé vrstvy přepošle rámec, pokud mu něco nezabrání. Zařízení třetí vrstvy nepřepošle rámec, dokud nebude muset. Zařízení na první vrstvě neprovádí žádnou filtraci, tudíž vše, co je přijato, je také odesláno. Rámec je pouze opraven (regenerován) a tím vrácen do své původní kvality. Jakýkoli segment připojený k zařízení první vrstvy se stává součástí jedné kolizní a broadcastové domény. Zařízení druhé vrstvy provádí filtrování provozu na základě MAC adres. Rámec je přeposlán jakmile je určen do neznámé destinace mimo kolizní doménu. Rámec je přeposlán také v případě, že se jedná o broadcastový, multicastový nebo unicastový rámec určený 10/12

11 k přenosu mimo kolizní doménu. Rámec není přeposlán pouze v případě, kdy jsou odesílatel a příjemce rámce ve stejné kolizní doméně. Zařízení druhé vrstvy dělí kolizní domény, ale zachovávají broadcastvoé domény. Zařízení pracující na třetí vrstvě zpracovávají datové pakety na základě cílové IP adresy. Pokud směrovač obrdží paket s cílovou adresou, pro kterou má záznam ve své směrovací tabulce, provede přeposlání paketu. Zařízení pracující na třetí vrstvě ISO/OSI modelu dělí broadcastové a kolizní domény. Co je segment sítě? V kontextu datové komunikace se používají následující definice segmentu sekce sítě ohraničená mosty, směrovači nebo přepínači v LAN používající sběrnicovou topologií segmentem nazýváme elektrický okruh, který je připojen k dalšímu pomocí opakovače výraz používaný v TCP specifikaci jako jednotka informace na transportní vrstvě Obrázek č. 5 K správnému porozumnění významu slova segment je důležitý kontext, ve kterém bylo slovo použito. Otázky k procvičení 1. Který z následujících síťových typů je hojně využíván ve vytáčených sítích? sdílené médium point-to-point rozšířené sdílené médium point-to-multipoint 2. Na jaké vrstvě modelu modelu ISO/OSI pracuje směrovač (router) a na jaké přepínač 11/12

12 (switch)? 3. Který z následujích režimů přepínače (switch) musí být použit pro asymetrické přepínání? fragment-free cut-through store-and-forward latency forwarding fast forward 4. V jakém stavu je přepínač (switch) používající STP, pokud je jeho rozhraní administrativně zakázáno? blocking listening learning forwarding disabled 5. Jak definujeme zpoždění (latency) v síti? 6. Přepínač rozděluje síť do: kolizních domén broadcastových domén kolizních a broadcastových domén 12/12