Thứ Hai, 12 tháng 12, 2016

Bầu chọn Root Bridge


Process of STP
1. Bầu chọn ROOT Bridge dự trên BridgeID thấp nhất
2. Bầu chọn Root Port trên mỗi Non-Root Bridge (RootPort = closet path to Root Bridge, upstream)
3. Bầu chọn  Designated Port trên mỗi phân đoạn hay vlan ( DesignatedPort = downstream)

Bầu chọn BridgeID (8 bytes)

Bridge ID = Bridge Priority (2 byte) + MAC Address (6 bytes)

  • Bridge Priority = Priority (4 higher bits) + VLAN ID ( 12 lower bits)
  •  
  • Priority value = 32768 (default), ( value from 0-61440, each increments of 4096)
  • System ID Extension (VLAN ID) = 0-4095
  • MAC Address = 6 bytes MAC Address of Switch

Nguyên tắc lựa chọn là: theo thứ tự Priority Value. Nếu the same Priority Thì chọn MAC Address để so sánh. Lấy giá trị Lowest. Còn giá trị System ID Extension chính là VLAN-ID, mỗi VLAN sẽ có 1 STP.
vd: VLAN 10 có 2 Switch có:
BID SW1 = Priority value + VLAN-ID = 32768 + 10 = 32778
BID SW2 = Priority Value + VLAN-ID = 4096 + 10 = 4106
==> SW2 sẽ làm RootBridge

Để chỉ định Switch nào làm RootBridge ==> sửa đổi Priority Value
§ spanning- tree vlan 10 root [primary/secondary]
§ Spanning-tree vlan 10 priority <priority-values from 0 - 61440 in increments of 4096>


Trường hợp RootID = Bridge ID ==> nghĩa là bạn đang đứng trên con RootBridge.
Nếu bạn đứng trên Non-RootBridge gõ lệnh show spanning-tree vlan 10 ==> show ra RootID là Switch khác,

 Bình Chọn Designated Port
 
Sau khi bình chọn Root Port – mô hình mạng vẫn có thể xảy ra loop , vì trên 1 phân đoạn mạng vẫn có thể 2 Port của 2 switch khác nhau gởi tin qua lại dẫn đến hiện tượng loop như khi chưa chạy Spanning Tree. Theo đó, trên 1 phân đoạn mạng, chỉ có thể 1 port hoạt động và đó chính là khái niệm Designated Port.
Swich sẽ chọn Designated Port dựa vào giá trị Root Patch Cost đi về Root Switch.
Khi một con switch nhận được BPDU từ một switch khác trên cùng 1 phân đoạn mạng hoặc từ 1 switch kết nối trực tiếp với nó có giá trị Root Patch Cost thấp hơn giá trị mà nó nhận từ gói BPDU khác thì ngay lập tức switch sẽ cho Port đấu với láng giềng là Designated cho phân đoạn mạng đó.
Sau khi đã chọn được Port làm Designated Port cho 1 phân đoạn mạng, Port còn lại trong phân đoạn mạng đó sẽ là Alternative Port hay đúng hơn là Port bị Block.

Bảng cost của cổng :

Speed Port CostComment
10 Mbps 100Ethernet
20 Mbps 56EtherChannel
30 Mbps 47EtherChannel
40 Mbps 41EtherChannel
50 Mbps 35EtherChannel
54 Mbps 33802.11 wireless
60 Mbps 30EtherChannel
70 Mbps 26EtherChannel
80 Mbps 23EtherChannel
100 Mbps 19Fast Ethernet
200 Mbps 12Fast EtherChannel
300 Mbps 9Fast EtherChannel
400 Mbps 8Fast EtherChannel
500 Mbps 7Fast EtherChannel
600 Mbps 6Fast EtherChannel
700 Mbps 5Fast EtherChannel
800 Mbps 5Fast EtherChannel
1 Gbps 4Gigabit Ethernet
2 Gbps 3Gigabit EtherChannel
10 Gbps 210G Ethernet
20 Gbps 120G EtherChannel
40 Gbps 140G EtherChannel


Thứ Năm, 23 tháng 6, 2016

Config Switch layer 3

Chú ý :
- để gán ip cho switch layer 3 phải có câu lệnh : no switchport rồi mới gán ip bình thường
- để switch layer 3 có thể hoạt động định tuyến phải có câu lệnh : ip routing
- interface vlan dùng được để định tuyến. Interface vlan nó chỉ up khi có cổng assign vào vlan đó.

Thứ Tư, 25 tháng 5, 2016

if you want to shine, you need to sparkle today

Etherchannel




Fast EtherChannel

Công nghệ EtherChannel của Cisco cho phép kết hợp các kết nối Etheret thành một bó (bundle) để tăng băng thông. Mỗi bundle có thể bao gồm từ hai đến tám kết nối Fast Ethernet hay Gigabit Ethernet, tạo thành một kết nối luận lý gọi là FastEtherChannel hay Gigabit EtherChannel. Kết nối này cung cấp một băng thông lên đến 1600Mbps hoặc 16 Gbps.

Công nghệ này được xem là một cách đơn giản để nâng cấp kết nối giữa các switch mà không cần phải mua phần cứng mới. Ví dụ, một kết nối Fast Ethernet (có throughput là 200Mbps) có thể mở rộng lên đến 8 kết nối FE (1600Mbps) để trở thành một kết nối FastEtherChannel. Nếu lưu lượng lưu lượng tăng quá mức này, quá trình nâng cấp có thể lại bắt đầu với một kết nối Gigabit Ethernet. Sau đó, ta có thể lại tiếp tục mở rộng kết nối này lên thành GigabitEtherChannel. Quá trình này có thể được lập lại với việc tiếp tục chuyển sang kết nối 10Gbps. Bình thường, việc có nhiều kết nối giữa các switch tạo ra khả năng bị bridging loops. EtherChannel sẽ tránh tình huống này bằng cách xem cả một bundle như là một kết nối đơn duy nhất, hoặc là access, hoặc là trunk.

Mặc dù EtherChannel link được xem như một kết nối đơn duy nhất, kết nối này không nhất thiết phải có băng thông bằng với tổng của các kết nối thành phần. Ví dụ, giả sử một FEC được tạo ra từ 4 kết nối full-duplex, 100-Mbps. Mặc dù kết nốI FEC này có thể mang một throughput lên đến 800Mbps ( nếu mỗi kết nối là 100% load), FEC sẽ không hoạt động ở tốc độ này. Thay vào đó, lưu lượng sẽ được phân phối trên các kết nối riêng lẽ bên trong EtherChannel. Các kết nối này hoạt động ở tốc độ của nó (200Mbps) nhưng chỉ truyền những frame được gán bởi thuật toán FEC. Nếu một link bên trong một bundle là ưu tiên hơn do kết quả của thuật toán phân phối tải, kết nối thành viên này sẽ không mang lưu lượng theo một tỉ lệ tương ứng. Nói cách khác, tải không phải luôn luôn phân phối đều giữa các kết nối thành phần.

FEC còn cung cấp đặc tính dự phòng với vài kết nối vật lý. Nếu một trong những kết nối vật lý bị hỏng, lưu lượng trên link đó sẽ được tự động chuyển sang kết nối kế cận. Quá trình chuyển đổi xảy ra trong vài mili giây. Khi có nhiều kết nối tiếp tục hỏng, các lưu lượng sẽ tiếp tục chuyển sang các kết nối láng giềng khác. Khi có một kết nối thành viên được khôi phục lại, tải sẽ tự động phân phối trên các kết nối đang active. Ta có thể quan sát tiến trình này bằng cách quan sát đèn LED trên switch hoặc dùng các phần mềm như PRTG, MRTG.
Kết hợp cổng bên trong EtherChannel

EtherChannel có thể bao gồm tối đa tám kết nối vật lý của cùng kiểu phần cứng và cùng tốc độ. Một vài ràng buộc phải được đáp ứng sao cho chỉ có những kết nối tương tự là được kết hợp. Thông thường, tất cả các cổng phải thuộc về cùng một vlan. Nếu được dùng như một kết nối trunk, tất cả các cổng phải ở trong trunking, có cùng native vlan và truyền cùng một tập hợp của vlan. Mỗi cổng phải có cùng tốc độ, duplex và có cùng cấu hình spanning tree.

Phân phối lưu lượng bên trong EtherChannel


Các lưu lượng bên trong EtherChannel có thể được phân phối trên các kết nối riêng lẽ theo một cách thức xác định. Tuy nhiên, tải không nhất thiết phải được cân bằng trên tất cả các kết nối. Thay vào đó, các frame sẽ được đưa vào trên một kết nối cụ thể như là kết quả của một thuật toán hash. Việc phân phối tải qua các đường của một bundle (Etherchannel) được thực hiện theo thuật toán hashing: Thuật toán này có thể sử dụng : Địa chỉ IP nguồn, đích; Hoặc địa chỉ MAC nguồn, dích, hoặc có thể sử dụng TCP/UDP cổng. Nếu chỉ sử dụng một địa chỉ hay một cổng thì việc truyền tải qua cổng này hay cổng khác được thực hiện dựa vào các bit cuối cùng, và phụ thuộc vào số cổng của etherchannel. Nếu sử dụng cả địch, và nguồn thì thuật toán này được thực hiện nhờ phép toán XOR các bit cuối của địa chỉ.Thuật toán hash có thể dùng địa chỉ IP nguồn, địa chỉ IP đích hoặc là kết hợp của địa chi nguồn, đích, MAC nguồn, MAC đích hoặc TCP/UDP cổng. Thuật toán hash sẽ tính toán ra giá trị nhị phân, giá trị này sẽ chọn ra một kết nối trong bundle để chọn ra kết nối thành viên nào sẽ mang frame đó. Nếu chỉ một địa chỉ hay một cổng được hash, switch sẽ đẩy frame bằng cách dùng một hoặc nhiều bit thấp để đưa vào kết nối. Nếu hai địa chỉ hay cổng được hash, switch sẽ thực hiện thuật toán XOR trên một hoặc nhiều bit thấp của địa chỉ IP hoặc cổng TCP/UDP. Ví dụ, nếu kết quả phép hash bằng 0, link 0 được dùng, nếu kết quả băng 1, link 1 được dùng. Nếu một bundle dùng 4 kết nối, thuật toán hash sẽ dùng 2 bit cuối. Tương tự, một bundle có 8 kết nối sẽ dùng một thuật toán hash trên 3 bit cuối.


Cấu hình mặc định là dùng phép XOR của địa chỉ IP đích hoặc dùng phương thức src-dst-ip. Mặc định cho switch 2970 và 3560 là dùng src-mac. Nếu L3 switch được dùng trên kết nối EtherChannel, phương thức src-dst-ip luôn luôn được dùng, mặc dù nó không cấu hình được. Bình thuờng, trạng thái mặc định là việc phân phối tĩnh các frame. Tuy nhiên, bạn phải xác định khi nào thì EtherChannel là không cân bằng tuỳ theo mẫu lưu lượng. Lấy ví dụ, nếu một server nhận phần lớn các lưu lượng của FEC, địa chỉ của server (địa chỉ đích) sẽ luôn giống nhau trong nhiều phiên làm việc. Điều này làm cho một kết nối sẽ được dùng nhiều lần nếu trong thuật toán hash ta dùng địa chỉ đích IP. Để kiểm tra xem thuật toán load-balancing nào đang được thực hiện, bạn có thể dùng lệnh show etherchannel port-channel. Mỗi kết nối trong channel được hiển thị cùng với giá trị load dạng hex. Khi các cổngs được nhóm lại trong EtherChannel, sẽ không có broadcast và multicast nào được gửi ra những cổng còn lại trong channel. Các broadcast và multicast frame sẽ được load balance giống như những loại lưu lượng khác: các địa chỉ multicast và broadcast trở thành một phần của thuật toán hash.

Các giao thức bắt tay của EtherChannel


Có hai giao thức được dùng để hình thành nên EtherChannel PagP và LACP.
PagP

Các gói tin Pagp được trao đổi giữa các switch trên các cổng EtherChannel. Các thông số của switch láng giềng được xác định (như khả năng của cổng) và sẽ được so sánh với switch cục bộ. Các cổng có cùng neighbor ID và khả năng hình thành nhóm sẽ được nhóm lại với nhau thành các kết nối FEC. PagP hình thành nên EtherChannel chỉ trên những cổng được cấu hình cùng static VLAN hoặc là cùng loại trunking. Pagp cũng thay đổi các thông số động của EtherChannel nếu một trong những cổng của bundle bị thay đổi. Ví dụ nếu thông số VLAN, speed, tốc độ duplex của một cổng trong một EtherChannel bị thay đổi, Pagp sẽ thay đôi các thông số đó trong tất cả các cổng còn lại. Pagp có thể được cấu hình ở chế độ active (desirable) trong đó một switch chủ động yêu cầu switch đầu xa hình thành nên EtherChannel. Khi switch hoạt động trong chế độ passive của PAGP, switch sẽ chỉ bắt tay nếu switch đầu xa yêu cầu nó.
LACP

LACP cũng gửi các gói trên các cổng EtherChannel của switch. Tuy nhiên LACP cũng gán vai trò cổng đến các đầu cuối của EtherChannel. Các switch có độ ưu tiên thấp nhất sẽ được phép ra quuyết định về các cổng nào sẽ được tham gia vào EtherChannel ở một thời điểm. Các cổng được chọn lựa và trở thành active theo giá trị độ ưu tiên priority của nó, trong đó giá trị ưu tiên thấp sẽ có mức ưu tiên cao.
Một tập hợp 16 kết nối tiềm năg có thể được chỉ ra cho một EtherChannel. Thông qua LACP, một switch sẽ chọn lựa ra 8 cổng có độ ưu tiên thấp nhất như là các member active của EtherChannel. Các cổng còn lại sẽ nằm trong trạng thái standby và sẽ được enable nếu một trong những kết nối active bị down. Cũng giống như PaGP, LACP có thể được cấu hình trong mode active, trong đó một switch sẽ chủ động hỏi switch đằng xa bắt tay hình thành EtherChannel. Chế độ passive thì switch chỉ chủ động hình thành EtherChannel chỉ nếu switch đầu xa khởi tạo nó.
Cấu hình EtherChannel

Các lệnh cơ bản để cấu hình Etherchannel. Cấu hình PAGP Ethechannel:


Switch(config-if)#channel-protocol pagp
Switch(config-if)#channel-group number mode {on | auto | desirable }


Các chế độ này có ý nghĩa như sau:
ON: ở mode này thì Switch tự động enale etherchannel tuy nhiên nó lại không gởi hay nhận bất kỳ gói PAGP nào, do đó mà phải cấu hình on mode ở hai dầu
Auto: Switch sẽ tự động enable ethechannel nếu nó nhận được PAGP packet.
Desirable: Switch sẽ tự động cố gắng yêu cầu đầu kia chuyển kết nốI sang thành EtherChannel.

Cấu hình LACP:


Switch(config)#lacp system-priority priority
Switch(config-if)#channel-protocol lacp
Switch(config-if)#channel-group number mode {on | passive | active}
Switch(config-if)# lacp port-priority priority


Lệnh đầu tiên để xác định system priority để xác định Switch nào làm Switch điều khiển Ethechannel, hoặc nếu Priority bằng nhau thì Switch nào có điạc chỉ mac nhỏ hơn sẽ được chọn. Ta còn xác định priority của cổng để xác định xem cổng nào là active và cổng nào ở trạng thái standby. Cổng có priority nhỏ sẽ active và, lớn sẽ ở trạng thái standby. Các mode trong lệnh channel-group On, Passive, active tuần tự tương tự như On, Auto , Desirable trong PAGP


Khi các cổng được cấu hình như là thành viên của EtherChannel, switch sẽ tự động tạo ra các cổng EtherChanel. Interface này sẽ đại diện cho cả bundle


Switch(config)# interface type mod/num
Switch(config-if)# channel-protocol pagp
Switch(config-if)# channel-group number mode {on | {auto | desirable} [non-silent]}


Trên tất cả các switch của Catalyst (2970, 3560, 4500 và 6500), ta có thể cấu hình để chọn giao thức PAGp và LACP. Các model cũ hơn như 2950 có thê chi hỗ trợ Pagp. Từng interface nằm trong EtherChannel phải được cấu hình và gán cùn một nhóm duy nhất (từ 1 đến 64).

Etherchannel
Để nâng cao khả năng dự phòng trong mạng Campus , ngườit ta thường kết nối 2 switch lại bằng 2 kết nối trunking . Trong đó để đảm bảo không bị loop , 1 kết nối sẽ bị block lại . Ở dạng này , ta tại một thời điểm ta chỉ có thể sử dụng một kết nối duy nhất , với kĩ thuật fast Ethernet thì một kết nối cho throughput cao nhất chỉ có thể đạt được là 200Mbps . Cisco cho ra đời một kĩ thuật mới , kĩ thuật Etherchannel cho phép ghép nhiều link song song giữa các switch lại với nhau thành một kết nối logic . Kết nối này vừa đảm bảo băng thông rất cao , vừa cung cấp khả năng dự phòng .
Etherchannel cho phép chúng ta nhóm từ 2 đến 8 link lại với nhau thành một kết nối có băng thông rất lớn .
Fast Ethernet : throughput cao nhât lên đến 1600Mbps .
Gigabit Ethernet : 16Gbps .
10-Gigabit Ethernet : 160Gbps .
Trong một “bó dây” Etherchannel , nếu có một link bị down thì Etherchannel vẫn hoạt động được bình thường . Nếu link này up trở lại thì Etherchannel cũng có khả năng phục hồi lại trạng thái forward traffic cho link này . Quá trình convergence này là transparent đối với end-user . Mặc dù trong Etherchannel gồm nhiều cặp dây nối song song với nhau nhưng STP vẫn coi Etherchannel là một kết nối logic duy nhất mà thôi . Vì thế các link bên trong channel không bị STP block .
Tuy rằng Etherchannel được coi là một kết nối duy nhất nhưng traffic đi trong chúng không thể sử dụng hết toàn bộ BW như là một kết nối vật lí bình thường được . Giả sử có 8 kết nối song song tạo nên 1 channel , nhưng ta không coi 1 channel này như là một kết nối vật lí có throughput là 160Gpbs được . Traffic sẽ được load balance trên 8 kết nối này , khả năng tối đa mà traffic được phân phối trên 8 kết nối này là 160Gbps . Tóm lại Etherchannel sẽ sử dụng tính năng phân phối traffic trên 8 kết nối này . Sự phân phối này dựa trên các thông số về source MAC , destination MAC , source ip , destination ip hoặc cả source ip và destination ip . Thậm chí cả thông số về source port và destination port ( layer 4 port TCP or UDP )

Ví dụ : packet được send từ source ip : 192.168.1.1 đến destination ip : 172.31.67.46 . Switch sẽ thực hiện phép toán XOR giữa bộ 3 bit cuối của 2 ip này để quyết định phân phối cho link nào trong channel . Địa chỉ 192.168.1.1 có 3 bit cuối là (001) sẽ được XOR với 3 bit cuối ( 110) của ip 172.31.67.46 . Tại sao dùng 3 bit cuối ? Vì tối đa có 8 link trong một channel nên ta phải dùng 3 bit để thực hiện phân phối .
Trường hợp Etherchannel có 2 link , chỉ cần dùng 1 bit sau cùng để thực hiện phép XOR , tức là 1 XOR 0 =1 . Kết quả là link 1 được sử dụng để chuyển traffic từ 192.168.1.1 đến 172.31.67.46
Trường hợp Etherchannel có 4 link , thực hiện 01 XOR 10 = 11 . Giá trị này tính ra thập phân là 3 nên link số 3 sẽ được sử dụng để chuyển traffic từ 192.168.1.1 đến 172.31.67.46
Trường hợp Etherchannel có 8 link , thực hiện 001 XOR 110 =111 . Giá trị này tính ra thập phân là 7 nên link số 7 sẽ được sử dụng . ( các link đánh số thứ tự từ 0 đến 7 ) .
Nếu một địa chỉ hoặc một port được hash thì switch sẽ sử dụng 1 hoặc nhiều bit cuối cùng của giá trị hash để quyết định phân phối cho link nào trong channel .

Để thực hiện việc nhóm các link thành một Etherchannel thì các switch phải chạy các giao thức : Port Aggregation Protocol (PAgP) – Cisco Proprietary hoặc Link Aggregation Control Protocol (LACP) – 802.1ad

Port Aggregation Protocol (PAgP) – Cisco Proprietary

PAgp là giao thức chạy giữa 2 switch , bằng cách trao đổi với nhau những message nhằm thương lượng và tự động tạo nên channel . PAgP hoạt động ở các mode sau :
- ON : mode này cho phép thiết lập Channel mà không cần phải gửi PAgP message giữa 2 switch với nhau . Etherchannel chỉ được tạo ra khi switch đối tác cũng bật chế độ ON lên .
- OFF : không cho phép tạo Etherchannel
- AUTO : mode này chỉ chờ và nhận PAgP message mà thôi , không được gửi PAgP message ra . Đây là default mode .
- DESIRABLE : mode này cho phép gửi , nhận PAgP message .
- Ngoài ra còn 2 sub-mode của DESIRABLE và AUTO là silent và non-silent . Silent mode được sử dụng khi ta kết nối với một thiết bị không hỗ trợ giao thức PAgP . Ví dụ Cisco switch kết nối với một file server , file server này không hỗ trợ PAgP nhưng ta vẫn muốn thực hiện một kết nối Etherchannel giữa switch và file server nhằm tăng băng thông . Mode silent cho phép ta thực hiện điều này . Silent dịch nôm na là “ im lặng và đồng ý “ tạo Etherchannel . Non-silent mode được sử dụng khi kết nối với một thiết bị có hỗ trợ PAgP . Default thì mode silent được sử dụng .
Các chế độ hoạt động tương ứng để tạo được Etherchannel : on-on , desirable-desirable , auto-desirable .

Cisco Proprietary hoặc Link Aggregation Control Protocol (LACP) – 802.1ad

Tương tự giống như giao thức PAgP , nhưng LACP là chuẩn mở của IEEE . Nó cho phép tạo Etherchannel với những thiết bị non-Cisco . Nó chỉ hoạt động ở 4 mode sau :

- ON : Cho phép tạo Etherchannel mà không cần chạy LACP .
- OFF : Không cho phép tạo Etherchannel .
- ACTIVE: chủ động gửi LACP message để tạo Etherchannel
- PASSIVE : Chỉ lắng nghe LACP message mà không gửi ra LACP message .
Các chế độ hoạt động tương ứng để tạo được Etherchannel : on-on , active-active , active-passive .
Đối với LACP cho phép chúng ta nhóm nhiều link lại thành 1 bundle nhưng cũng cho phép chúng ta chỉ sử dụng một số link trong bundle đó mà thôi . Các link còn lại trong bundle sẽ ở trạng thái stanby , sẽ up lên khi các link đang active bị down .
Switch(config)# lacp system-priority 100
Switch(config)# interface range gig 2/1 4 , gig 3/1 4
Switch(config-if)# channel-protocol lacp
Switch(config-if)# channel-group 1 mode active
Switch(config-if)# lacp port-priority 100
Switch(config-if)# exit
Switch(config)# interface range gig 2/5 8 , gig 3/5 8
Switch(config-if)# channel-protocol lacp
Switch(config-if)# channel-group 1 mode active
Ta sẽ gán các port ở trạng thai active có priority thấp hơn priority của port ở trạng thái stanby . Mặc định priority của các port là bằng nhau và bằng : 32768
Trong cấu hình trên ta cho phép port gig 2/1 và gig 3/1 ở trạng thái stanby . Các port 2/5 đến 2/8 và 3/5 – 3/8 là active .

Etherchannel configuration Guidelines :
- Gán tất cả các port trong cùng một channel vào một vlan duy nhất . Nếu config là trunk port thì phải cùng trunking mode . Các range vlan cho phép đi trên kết nối trunk phải giống nhau
- Không cấu hình Etherchannel là một dynamic Vlan port .
- Etherchannel sẽ không được thiết lập nếu tồn tại tính năng port-security .
- Etherchannel cũng sẽ không được thiết lập nếu một trong các port thành viên là destination port trong một SPAN session nào đó .
- Enalbe tất cả các port member trong Etherchannel . Nếu có một port thành viên bị shutdown thì traffic sẽ dồn sang các port member còn lại để chạy .
- Cấu hình port member trong Etherchannel với cùng thông số STP settings .
- Việc nhóm các port member cũng phải tuân theo luật nhóm port của EBC ( Ethernet bundle controller ) . Đối với switch 24 port thì chia ra làm 3 nhóm , mỗi nhóm 8 port . Đối với switch 12 port thì chia ra làm 3 nhóm mỗi nhóm 4 port . Hình sau đây sẽ mô ta một số cách nhóm port đúng và sai .



Đầu tiên Etherchannel muốn được tạo thành thì nhất thiết port thành viên phải có ít nhất 2 port là 2 port đầu tiên để khởi tạo Etherchannel . Ví dụ A , B , C là những cấu hình đúng để có thể khởi tạo được Etherchannel . Ví dụ A có 6 group channel được tạo . Và các group channel này đều có các port member cùng nằm trong một EBC group 4 ports . Ví dụ D sai vì không có port member là 2 port đầu tiên nhằm khởi tạo Bundle . Ví dụ Ethernet thì các port member của group channel 2 không thuộc cùng một EBC group 4 ports . ( 1-4 , 5-8 , 9-12) . Ví dụ F thì chỉ mới có 1 port member là nằm ở port thứ nhất , port thứ 2 chưa có . Tương tự ví dụ G cũng không đúng . Số port member trong 1 Etherchannel group luôn là số chắn .
Đoạn này diễn tả bằng “typing” hơi khó . Các bạn có thể nhìn hình để đoán ra qui luật .

Fast EtherChannel

EtherChannel là một công nghệ của Cisco đưa ra nhằm chia bandwidth bằng cách kết hợp hay bó (bundle) lại những link song song. Mỗi bundle có thể bao gồm từ hai đến tám kết nối Fast Ethernet (FE) hay Gigabit Ethernet (GE) để tạo thành một kết nối luận lý gọi là Fast EtherChannel (FEC) hay Gigabit EtherChannel (GEC). Kết nối này cung cấp một băng thông full-duplex lên đến 1600Mbps (8 links của FE) hoặc 16 Gbps (8 links của GE).

Công nghệ này cũng cung cấp một cách đơn giản để phát triển, mở rộng khả năng kết nối giữa các switch mà không cần phải mua phần cứng mới. Ví dụ, một kết nối Fast Ethernet (có throughput là 200Mbps) có thể mở rộng lên đến 8 kết nối Fast Ethernet (1600Mbps) để trở thành một kết nối FastEtherChannel. Nếu lưu lượng traffic tăng quá mức này, quá trình nâng cấp có thể lại bắt đầu với một kết nối Gigabit Ethernet đơn (có throughput là 2 Gbps) và kết nối này có khả năng mở rộng lên đến 8 kết nối Gigabit Ethernet để tạo thành một kết nối Gigabit EtherChannel (16 Gbps). Quá trình này có thể được lặp lại với việc tiếp tục chuyển sang kết nối 10Gbps.

Bình thường, việc có nhiều kết nối giữa các switch tạo ra khả năng bị bridging loops – một điều mà chúng ta không mong muốn. EtherChannel sẽ tránh tình huống này bằng cách xem cả một bundle như là một kết nối đơn duy nhất. Kết nối này sẽ hoạt động - hoặc là access, hoặc là trunk. Những switches hay những thiết bị ở đầu cuối của kết nối EtherChannel bắt buộc phải hiểu và cũng phải sử dụng Công nghệ EtherChannel để hoạt động đúng cách thức.

Mặc dù một kết nối EtherChannel được xem như một kết nối đơn duy nhất nhưng kết nối này không nhất thiết phải có băng thông bằng với tổng của các kết nối thành phần (kết nối vật lý thực). Ví dụ, giả sử một FEC được tạo ra từ 4 kết nối full-duplex (mỗi kết nối FE có bandwidth 100-Mbps). Mặc dù kết nối FEC này có thể sẽ mang một throughput lên đến 800Mbps ( nếu mỗi kết nối là 100% load) nhưng trên thực tế thì kết quả của FEC sẽ không hoạt động ở tốc độ này.

Thay vào đó, traffic sẽ được phân phối trên các kết nối riêng lẽ bên trong EtherChannel. Các kết nối này hoạt động ở tốc độ của nó (200Mbps) nhưng chỉ truyền những frame được gán bởi thuật toán FEC. Nếu một link bên trong một bundle là ưu tiên hơn do kết quả của thuật toán phân phối tải, kết nối thành viên này sẽ không mang traffic theo một tỉ lệ tương ứng. Nói cách khác, tải không phải luôn luôn phân phối đều giữa các kết nối thành phần.

FEC còn cung cấp đặc tính dự phòng với vài kết nối vật lý. Nếu một trong những kết nối vật lý bị hỏng, traffic trên link đó sẽ được tự động chuyển sang kết nối kế cận. Quá trình chuyển đổi xảy ra trong vài mili giây và người dùng cuối sẽ không nhận biết được điều này. Khi có nhiều kết nối tiếp tục hỏng, các traffic sẽ tiếp tục chuyển sang các kết nối láng giềng khác. Khi các kết nối thành viên được khôi phục, tải sẽ tự động được phân phối trở lại trên các kết nối đó (active link). Ta có thể quan sát tiến trình này bằng cách quan sát đèn LED trên switch hoặc dùng các phần mềm như PRTG, MRTG.

Kết hợp (bundle) port bên trong EtherChannel

EtherChannel có thể bao gồm tối đa tám kết nối vật lý của cùng kiểu phần cứng và cùng tốc độ. Có một vài cấu hình giới hạn bắt buộc bạn phải chắc rằng chỉ có những kết nối tương tự nhau thì mới được kết hợp. Thông thường, tất cả các port được kết hợp phải thuộc về cùng một VLAN. Nếu được dùng như một kết nối trunk, tất cả các port được kết hợp phải là trunk mode, có cùng native vlan và truyền qua cùng một tập hợp của VLAN. Mỗi port phải có cùng tốc độ, cùng thiết lập duplex và có cùng cấu hình spanning tree để có thể kết hợp với nhau.

Phân phối traffic bên trong EtherChannel

Các traffic bên trong EtherChannel có thể được phân phối trên các kết nối riêng lẽ theo một cách thức xác định. Tuy nhiên, tải không nhất thiết phải được cân bằng trên tất cả các kết nối. Thay vào đó, các frame sẽ được đưa vào trên một kết nối cụ thể như là kết quả của một thuật toán hash. Thuật toán hash có thể dùng địa chỉ IP nguồn, địa chỉ IP đích hoặc là kết hợp của địa chi nguồn, đích, MAC nguồn, MAC đích hoặc TCP/UDP port. Thuật toán hash sẽ tính toán ra giá trị nhị phân, giá trị này sẽ chọn ra một kết nối trong bundle để chọn ra kết nối thành viên nào sẽ mang frame đó. Nếu chỉ một địa chỉ hay một port được hash, switch sẽ đẩy frame bằng cách dùng một hoặc nhiều bit thấp để đưa vào kết nối. Nếu hai địa chỉ hay port được hash, switch sẽ thực hiện thuật toán XOR trên một hoặc nhiều bit thấp của địa chỉ IP hoặc port TCP/UDP. Ví dụ, nếu kết quả phép hash bằng 0, link 0 được dùng, nếu kết quả băng 1, link 1 được dùng. Nếu một bundle dùng 4 kết nối, thuật toán hash sẽ dùng 2 bit cuối. Tương tự, một bundle có 8 kết nối sẽ dùng một thuật toán hash trên 3 bit cuối.



Cấu hình mặc định là dùng XOR của địa chỉ IP đích hoặc dùng phương thức src-dst-ip. Mặc định cho switch 2970 và 3560 là dùng src-mac. Nếu L3 switch được dùng trên kết nối EtherChannel, phương thức src-dst-ip luôn luôn được dùng, mặc dù nó không cấu hình được. Bình thuờng, trạng thái mặc định là việc phân phối tĩnh các frame. Tuy nhiên, bạn phải xác định khi nào thì EtherChannel là không cân bằng tuỳ theo mẫu traffic. Lấy ví dụ, nếu một server nhận phần lớn các traffic của FEC, địa chỉ của server (địa chỉ đích) sẽ luôn giống nhau trong nhiều phiên làm việc. Điều này làm cho một kết nối sẽ được dùng nhiều lần nếu trong thuật toán hash ta dùng địa chỉ đích IP. Để kiểm tra xem thuật toán load-balancing nào đang được thực hiện, bạn có thể dùng lệnh show etherchannel port-channel. Mỗi kết nối trong channel được hiển thị cùng với giá trị load dạng hex. Khi các ports được nhóm lại trong EtherChannel, sẽ không có broadcast và multicast nào được gửi ra những port còn lại trong channel. Các broadcast và multicast frame sẽ được load balance giống như những loại traffic khác: các địa chỉ multicast và broadcast trở thành một phần của thuật toán hash.

Các giao thức bắt tay của EtherChannel


Có hai giao thức được dùng để hình thành nên EtherChannel PagP và LACP.

PagP

Các gói tin Pagp được trao đổi giữa các switch trên các port EtherChannel. Các thông số của switch láng giềng được xác định (như khả năng của port) và sẽ được so sánh với switch cục bộ. Các port có cùng neighbor ID và khả năng hình thành nhóm sẽ được nhóm lại với nhau thành các kết nối FEC.

PagP hình thành nên EtherChannel chỉ trên những port được cấu hình cùng static VLAN hoặc là cùng loại trunking. Pagp cũng thay đổi các thông số động của EtherChannel nếu một trong những port của bundle bị thay đổi. Ví dụ nếu thông số VLAN, speed, tốc độ duplex của một port trong một EtherChannel bị thay đổi, Pagp sẽ thay đôi các thông số đó trong tất cả các port còn lại. Pagp có thể được cấu hình ở chế độ active (desirable) trong đó một switch chủ động yêu cầu switch đầu xa hình thành nên EtherChannel. Khi switch hoạt động trong chế độ passive của PAGP, switch sẽ chỉ bắt tay nếu switch đầu xa yêu cầu nó.

LACP

LACP cũng gửi các gói trên các port EtherChannel của switch. Tuy nhiên LACP cũng gán vai trò port đến các đầu cuối của EtherChannel.

Các switch có độ ưu tiên thấp nhất sẽ được phép ra quuyết định về các port nào sẽ được tham gia vào EtherChannel ở một thời điểm. Các port được chọn lựa và trở thành active theo giá trị độ ưu tiên priority của nó, trong đó giá trị ưu tiên thấp sẽ có mức ưu tiên cao.

Một tập hợp 16 kết nối tiềm năg có thể được chỉ ra cho một EtherChannel. Thông qua LACP, một switch sẽ chọn lựa ra 8 port có độ ưu tiên thấp nhất như là các member active của EtherChannel. Các port còn lại sẽ nằm trong trạng thái standby và sẽ được enable nếu một trong những kết nối active bị down. Cũng giống như PaGP, LACP có thể được cấu hình trong mode active, trong đó một switch sẽ chủ động hỏi switch đằng xa bắt tay hình thành EtherChannel. Chế độ passive thì switch chỉ chủ động hình thành EtherChannel chỉ nếu switch đầu xa khởi tạo nó.

Cấu hình EtherChannel

Khi các port được cấu hình như là thành viên của EtherChannel, switch sẽ tự động tạo ra các cổng EtherChanel. Interface này sẽ đại diện cho cả bundle

Switch(config)# interface type mod/num
Switch(config-if)# channel-protocol pagp
Switch(config-if)# channel-group number mode {on | {auto | desirable} [non-silent]}

Trên tất cả các switch của Catalyst (2970, 3560, 4500 và 6500), ta có thể cấu hình để chọn giao thức PAGp và LACP. Các model cũ hơn như 2950 có thê chi hỗ trợ Pagp. Từng interface nằm trong EtherChannel phải được cấu hình và gán cùng một nhóm duy nhất (từ 1 đến 64).

Cấu hình LACP:

Switch(config)# lacp system-priority priority
Switch(config)# interface type mod/num
Switch(config-if)# channel-protocol lacp
Switch(config-if)# channel-group number mode {on | passive | active}
Switch(config-if)# lacp port-priority priority



Quote:
Originally Posted by longphi11 View Post
Hi

Tớ có 1 chút thắc mắc trong việc config etherchannel,mong mọi người chỉ giáo nhé

Như mọi người biết thì việc config entherchannel gồm 3 bước sau là đủ
1.S(config)#int range [interface range]
2.S(config-if-range)#channel-protocol [pagp|lacp]
3.S(config-if-range)#channel-group [group-nummber] mode [active|on|auto|desirable|passive]

Nhưng ngoài ra trong Guide của Cisco còn 1 số config nữa là

S(config)# interface port-channel [channel_number]
S(config-if)# ip address ip_address subnet_mask

Bạn nào giải thích hộ mình ý nghĩa của mấy câu lệnh trên được ko?

Thank
Chào,
Đây là cái bạn cần :
hi

cấu hình L3 EtherChannel sẽ khác với L2 Etherchannel ở thứ tự thực hiện.

Theo link này:
http://www.cisco.com/en/US/products/...8.html#1020465

khi cấu hình L3 EtherChannel, interface port-channel sẽ được tạo ra trước, gán IP address cho interface port-channel này. Sau khi port-channel đã được tạo ra, các physical interfaces mới được gán vào port-channel vừa tạo ra.

Port channel được tạo ra bằng lệnh:
Code:
Router(config)# interface port-channel port_channel_number
--->Create the port-channel interface. The group number can be from 1 to 64 (256 with Release 12.1(2)E and earlier

Trong L2 thì không cần tạo port-channel trước. Port channel sẽ được tự động tạo ra khi gán một physical interface nào đó vào channel-group:
Code:
 Router(config-if)# channel-group group port_channel_number mode {auto | desirable | on}
Vậy, đáp án cho câu hỏi của plynh là
Code:
 Router(config)# interface port-channel port_channel_number


Thứ Tư, 18 tháng 5, 2016

Hướng dẫn update Junos trên juniper srx

B1: Upload OS download từ juniper.net nên thư mục /var/tmp/   bằng phần mềm SCP
B2: Đánh lệnh dưới để thực thi update JunOS
user@host> request system software add /var/tmp/junos-srxsme-10.0R2-domestic.tgz no-copy no-validate reboot

Chủ Nhật, 3 tháng 4, 2016

Fillter log on firewall juniper

Configure Logging in Juniper Firewall Filter

Configure Logging in Juniper Firewall Filter
Juniper firewall filters are made up of terms and match conditions. A filter can contain numerous terms. A term can contain various match conditions and actions. An example of firewall rule is shown below. The rule has two terms, T1 and T2. T1 matches traffic from any source address and destination port of 22 or 443 and has the action of accept. T2 has the action of reject. So only traffic matching destination port 22 or 443 will accepted by the interface fe-0/0/2, all other traffic will be dropped. Both terms have action of syslog. Syslog command logs all the packets of the corresponding terms.
[edit firewall]
root@SRX240# show
filter TEST {
term T1 {
from {
source-address {
192.168.1.1/32;
}
destination-port [ 22 443 ];
}
then {
syslog;
accept;
}
}
term T2 {
then {
syslog;
reject;
}
}
}
The filter is applied to the interface,
[edit interfaces fe-0/0/2]
root@SRX240# show
description “CONNECTED TO INTERNET”;
unit 0 {
family inet {
filter {
input TEST;
}
address 2.2.2.2/30;
}
}
There are also other match conditions and actions. You can match traffic based on source and destination IP address, mac address, port numbers, protocol numbers, dscp number, dot1q tag, icmp type, and many other. Remember, Juniper firewall filters are stateless and unidirectional. The filters won’t track states of the connection. Similarly, it also doesn’t care about return traffic. So you have option to apply firewall filters on both inbound (input) and outbound (output) traffic of an interface. To permit or deny transient traffic, you can apply firewall filters in transient interfaces. Likewise, to permit or deny traffic to Juniper device’s routing engine, you can apply firewall filter in loopback 0 interface. For example, to block SSG login attack you can create and apply firewall filter in loopback interface.
To view the log of firewall filter, create a custom syslog of firewall facility. Here is how you do that,

Thứ Ba, 16 tháng 2, 2016

Hướng dẫn cấu hình VPN Site to Site ipsec

1.. Mô hình Lab:



Mô hình lap : Cấu hình VPN site2site cho R1 và R3 mã hóa ipsec

Có 3 router : R1,R2,R3 

trong đó R2 đóng vai trò như ISP
R1,R2 là các site.

Cấu hình R1 :

hostname R1
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
ip subnet-zero
no ip icmp rate-limit unreachable
ip cef
!
!
ip tcp synwait-time 5
!
no ip domain lookup
ip audit po max-events 100
!
!
crypto isakmp policy 1
 encr aes
 authentication pre-share
 group 2
crypto isakmp key cisco address 192.168.253.2
!
!
crypto ipsec transform-set myset esp-aes esp-sha-hmac 
!
crypto map r1-r3 10 ipsec-isakmp 
 set peer 192.168.253.2
 set transform-set myset 
 match address 101
!
!
!
!
interface FastEthernet0/0
 ip address 10.0.0.1 255.255.255.0
 ip nat outside
 duplex auto
 speed auto
 crypto map r1-r3
!
interface Serial0/0
 no ip address
 shutdown
 clock rate 2000000
!
interface FastEthernet0/1
 ip address 192.168.0.1 255.255.255.0
 ip nat inside
 duplex auto
 speed auto
!
interface FastEthernet1/0
 no ip address
 shutdown
 duplex auto
 speed auto
!
ip nat inside source list 100 interface FastEthernet0/0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 10.0.0.2
!
no ip http server
no ip http secure-server
!
access-list 100 deny   ip 192.168.0.0 0.0.0.255 192.168.1.0 0.0.0.255
access-list 100 permit ip 192.168.0.0 0.0.0.255 any
access-list 101 permit ip 192.168.0.0 0.0.0.255 192.168.1.0 0.0.0.255
no cdp log mismatch duplex
!
!

!
line con 0
 exec-timeout 0 0
 privilege level 15
 logging synchronous
line aux 0
 exec-timeout 0 0
 privilege level 15
 logging synchronous
line vty 0 4
 login
!
end


Cấu hình R2

hostname R2
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
ip subnet-zero
no ip icmp rate-limit unreachable
ip cef
!
!
ip tcp synwait-time 5
!
no ip domain lookup
ip audit po max-events 100
!
!
!
interface FastEthernet0/0
 ip address 10.0.0.2 255.255.255.0
 duplex auto
 speed auto
!
interface Serial0/0
 no ip address
 shutdown
 clock rate 2000000
!
interface FastEthernet0/1
 ip address 192.168.253.1 255.255.255.0
 duplex auto
 speed auto
!
interface FastEthernet1/0
 no ip address
 shutdown
 duplex auto
 speed auto
!
ip classless
!
no ip http server
no ip http secure-server
!
no cdp log mismatch duplex
!
!

!
!
line con 0
 exec-timeout 0 0
 privilege level 15
 logging synchronous
line aux 0
 exec-timeout 0 0
 privilege level 15
 logging synchronous
line vty 0 4
 login
!
end

Cấu hình R3:

hostname R3
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
ip subnet-zero
no ip icmp rate-limit unreachable
ip cef
!
!
ip tcp synwait-time 5
!
no ip domain lookup
ip audit po max-events 100

!
!
!
!
!
crypto isakmp policy 1
 encr aes
 authentication pre-share
 group 2
crypto isakmp key cisco address 10.0.0.1
!
!
crypto ipsec transform-set myset esp-aes esp-sha-hmac
!
crypto map r3-r1 10 ipsec-isakmp
 set peer 10.0.0.1
 set transform-set myset
 match address 101
!
!
!
!
interface FastEthernet0/0
 ip address 192.168.253.2 255.255.255.0
 ip nat outside
 duplex auto
 speed auto
 crypto map r3-r1
!
interface Serial0/0
 no ip address
 shutdown
 clock rate 2000000
!
interface FastEthernet0/1
 ip address 192.168.1.1 255.255.255.0
 ip nat inside
 duplex auto
 speed auto
!
interface FastEthernet1/0
 no ip address
 shutdown
 duplex auto
 speed auto
!
ip nat inside source list 100 interface FastEthernet0/0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 192.168.253.1
!
no ip http server
no ip http secure-server
!
access-list 100 deny   ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
access-list 100 permit ip 192.168.1.0 0.0.0.255 any
access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
no cdp log mismatch duplex
!
!

!
line con 0
 exec-timeout 0 0
 privilege level 15
 logging synchronous
line aux 0
 exec-timeout 0 0
 privilege level 15
 logging synchronous
line vty 0 4
 login
!

end



Kiểm tra mã hóa trên R1 R3 : 
R1#show crypto isakmp policy
R1#show crypto engine connections active