Nowy sposób na filtrowanie ruchu w Junosie

Numer 143 to gratka dla pasjonatów sieci! Dowiedz się, jak switch wpływa na ramkę 802.1Q, o sposobie filtrowania ruchu oraz jak wykrywać niezgodności VLAN na trunk. Sprawdź szczegóły CVE-2024-6387 (regreSSHion) i jak zmienia się czas dla integratorów technologii!
Nowy sposób na filtrowanie ruchu w Junosie

Pamiętaj, że jeśli e-mail wyświetla się tylko częściowo (szczególnie w Gmailu), trzeba kliknąć na "Pokaż całą wiadomość" na dole, żeby przeczytać wszystko.

Co zrobi niezarządalny switch z ramką 802.1Q?

802.1Q-Tagged Frames Through Unmanaged Switch – Forwarded or Dropped? – Daniels Networking Blog

Rozpoczynamy naszą podróż w głąb zagadnień związanych z tagowaniem VLAN, aby lepiej zrozumieć, jak ramki tagowane zgodnie z 802.1Q różnią się od ramek nieoznakowanych.

Czym jest tagowanie?

Tagowanie VLAN, zgodnie ze standardem 802.1Q, pozwala na identyfikację ramek w sieciach wirtualnych (VLAN). Jest to istotne w środowiskach sieciowych, gdzie segmentacja ruchu jest kluczowa dla zapewnienia bezpieczeństwa i efektywnego zarządzania siecią.

  1. Standard 802.1Q dodaje dodatkowe cztery bajty do ramki Ethernet, zawierające informacje o protokole tagowania oraz kontrolę tagu.
  2. Tag Protocol Identifier (TPID) to pole identyfikujące tagowanie VLAN w ramce.
  3. Tag Control Information (TCI) zawiera priorytet, informację o DEI oraz ID VLAN.

Różnice między ramkami oznakowanymi a nieoznakowanymi

  • W ramkach oznakowanych TPID zastępuje pole EtherType w ramkach nieoznakowanych.
  • W przypadku ramek oznakowanych TPID przyjmuje wartość 0x8100, a EtherType pozostaje (np. 0x0800 dla IPv4).

Co powinien zrobić niezarządzany przełącznik z ramką oznakowaną 802.1Q?

  • Niezarządzany przełącznik powinien przekazywać ramkę bez modyfikacji, nawet jeśli nie rozumie tagowania VLAN.
  • Ramka oznakowana pozostaje ważna, a nieznany EtherType nie jest podstawą do odrzucenia lub zmiany ramki.

W świetle omówionych zagadnień jasne staje się, że niezarządzane przełączniki powinny przekazywać ramki 802.1Q. Różnica pomiędzy zawartością pola EtherType oraz długością ramki nie powinna wpływać na sposób obsługi ramki. Teoria, teoria, ale pamiętaj, że nikt nie zabroni producentowi sprzętu zastosowania własnego podejścia do tematu.

Wykrywanie niezgodności native VLAN na łączu trunk

Detecting Mismatched Native VLANs – Daniels Networking Blog

Prawdopodonie nie raz spotkałeś się z komunikatem o niezgodności native VLAN na trunku. Jak dokładnie jest to wykrywane? Istnieją dwia protokoły, które wykrywają taką sytuację:

  • CDP

CDP to protokół stworzony przez Cisco, który pozwala urządzeniom sieciowym na informowanie się wzajemnie o swoim istnieniu oraz o konfiguracji. W przypadku niezgodności native VLAN na trunku, CDP raportuje błąd, ale nie podejmuje żadnych działań korygujących.

%CDP-4-NATIVE_VLAN_MISMATCH: Native VLAN mismatch discovered on GigabitEthernet0/0 (2), with SW1 GigabitEthernet0/0 (1)
  • STP (PVST+)

W wariantach STP takich jak PVST+, BPDUs zawierają informacje o VLAN-ie, z którego pochodzą, co umożliwia porównanie ich z tym, na którym zostały odebrane. W przypadku niezgodności native VLAN, STP blokuje oba VLANy.

%SPANTREE-2-RECV_PVID_ERR: Received BPDU with inconsistent peer vlan id 1 on GigabitEthernet0/0 VLAN2.
%SPANTREE-2-BLOCK_PVID_PEER: Blocking GigabitEthernet0/0 on VLAN0001. Inconsistent peer vlan.
%SPANTREE-2-BLOCK_PVID_LOCAL: Blocking GigabitEthernet0/0 on VLAN0002. Inconsistent local vlan.

Co ciekawe, takie porty są w stanie Broken BKN* o typie *P2p PVID_Inc

Wykrywanie niezgodności native VLAN na łączu trunk jest kluczowe dla zachowania stabilności sieci. CDP informuje jedynie o problemie, natomiast STP w wersji PVST+ podejmuje konkretne działania blokujące, aby zapobiec ewentualnym pętlom i przeciekom między różnymi VLANami.

Trochę śmiechu

CVE-2024-6387 (regreSSHion)

OpenSSH Vulnerability: CVE-2024-6387 FAQs and Resources | Qualys, Inc.
Discover what the OpenSSH vulnerability, CVE-2024-6387, is as well as resources and tools to help detect and mitigate vulnerabilities in your network.

Luka w opgrogramowaniu openSSH 8.5p1 do 9.8p1, nazwana "regreSSHion", pozwalna na zdalne nieuwierzytelnione wykonanie kodu. Łataj szybko swoje serwerki.

Czas zmian dla integratora technologii sieciowych

Czas zmian dla integratora technologii sieciowych - TELKO.in
W Polsce i w Europie widać już kres technologii HFC/DOCSIS. Sieci te działają i będą utrzymywane jeszcze przez wiele lat, ale na większy rozwój…

Wywiad z Bartoszem Kajutem na temat przyszłości technologii HFC/DOCSIS. Jakie są plany oraz co i kiedy mogłoby ją zastąpić.

Świetnie! Udało ci się pomyślnie zarejestrować.
Witaj z powrotem! Zalogowałeś się pomyślnie.
Pomyślnie subskrybowałeś Inna Sieć.
Twój link wygasł.
Sukces! Sprawdź swoją skrzynkę e-mailową, aby uzyskać magiczny link do logowania.
Sukces! Twoje informacje rozliczeniowe zostały zaktualizowane.
Twoje informacje rozliczeniowe nie zostały zaktualizowane.