Wstęp

Strona ta powstała w celu przedstawienia switcha zarządzalnego oraz pokazanie podstawowej konfiguracji tego urządzenia. Konfiguracja ta będzie ukazana na switchu firmy TP-Link

Teoria

Dział ten zawiera pojęcia związane z switchem

Co to jest switch?

Przełącznik(ang.switch) – urządzenie łączące segmenty sieci komputerowej pracujące głównie w drugiej warstwie modelu ISO/OSI (łącza danych), jego zadaniem jest przekazywanie ramki między segmentami sieci z doborem portu przełącznika, na który jest przekazywana.

Metoda działania switch'a

Przełącznik w sieci Ethernet analizuje adresy MAC nadawcy i odbiorcy przychodzącej ramki. Adres MAC nadawcy jest wykorzystywany do prowadzenia tablicy skojarzeń, zawierającej adresy MAC i odpowiadające im porty przełącznika, tablica ta może zawierać 4096, 8192, a nawet 16384 wpisów. By zapewnić dostosowywanie się przełącznika do zmian w sieci ważność wpisu wygasa jeżeli przez określony czas nie napływają ramki z danym MAC nadawcy. Po otrzymaniu ramki przełącznik szuka adresu MAC odbiorcy w tablicy skojarzeń, jeżeli adres nie występuje w niej, to ramka wysyłana jest na wszystkie porty z wyjątkiem źródłowego, gdy jest znany, to tylko na port określony w tablicy skojarzeń. Przez przesyłanie ramki tylko na jeden port przełączniki ograniczają domenę kolizyjną do pojedynczego portu, dzięki czemu są w stanie zapewnić każdemu hostowi podłączonemu do portu osobny kanał transmisyjno-nadawczy, nie zaś współdzielony, jak to jest w przypadku koncentratora.

Tryby przekazywania ramek

Przekazywanie ramek przez przełącznik może się odbywać w różnych trybach. W przełącznikach zarządzalnych istnieje możliwość wyboru odpowiedniego trybu. Wśród dostępnych trybów znajdują się:

cut-through – najmniejsze opóźnienie, przesyła ramki bezzwłocznie bez sprawdzania ich poprawności
store and forward – największe opóźnienie, przed przesłaniem sprawdza sumy kontrolne nadesłanych ramek
fragment free – rozwiązanie pośrednie, sprawdza wyłącznie poprawność nagłówka ramki
przełączanie adaptacyjne – na podstawie obciążenia wybierany jest jeden z powyższych wariantów

Po co stosujemy switch'a?

Dlaczego warto zainwestować w switch? Przede wszystkim dlatego, że świetnie się on sprawdza w sieciach z nieco większą ilością użytkowników. Przełącznik sieciowy każdemu użytkownikowi sieci przydziela część pasma sieciowego - dzięki temu dane są przesyłane szybciej i nie następują niechciane przerwy w transferze. Zaletą switcha jest również fakt, iż może on obsługiwać tylko sieci LAN, ale także wirtualne (WLAN).

Po co konfigurujemy switch'a?

Skonfigurowany przełącznik – „switch” – pozwoli na znaczne uelastycznienie struktury połączeń – m.in. brak konieczności stosowania połączeń typu „magistrala”, bardziej naturalne łączenie urządzeń do centralnego punktu w połączeniach typu „gwiazda” – dzięki temu osiągnięto łatwość zmian, reorganizacji stanowisk pracy itp.

Konfiguracja

Dział ten zawiera przykładową konfiguracje switcha

Połączenie z switchem

Nasz komputer musi być w tej samej podsieci, co przełącznik. W przypadku, gdy nasza sieć lokalna pracuje w innej podsieci należy podłączyć komputer do przełącznika i skonfigurować kartę sieciową zgodnie z parametrami sieci ustawionymi w przełączniku. Switch nie pełni roli serwera DHCP, więc nie przydzieli naszej karcie sieciowej parametrów sieciowych. My przyjmiemy adres 192.168.0.4:

W celu połączenia się z przełącznikiem uruchomimy przeglądarkę internetową i wpiszemy adres: 192.168.0.1. Przeglądarka powinna wyświetlić stronę jak poniżej:

Wpisujemy nazwę użytkownika (domyślnie admin) oraz hasło (domyślnie admin) i otrzymujemy dostęp do konfiguracji przełącznika sieciowego. Na zrzucie pokazano stronę konfiguracyjną przełącznika TP-LINK TL-SL2210.Do naszego przykładowego przełącznika podłączone są dwa inne urządzenia. Jedno na porcie „1”, drugie na porcie „7”.

Adres IP

Jak widać pierwsza zakładka „System info” wyświetla podstawowe informacje o urządzeniu. Adres IP przełącznika to 192.168.0.1/24, oznacza to, że urządzenie nie miało zmienionego adresu IP w stosunku do ustawień fabrycznych. Pierwszym krokiem będzie ustawienie adresu IP urządzenia na zgodny z adresacją naszej sieci LAN. Można to zrobić w zakładce: „System IP”.Jak widać możliwe jest ustawienie statycznego adresu IP, jak również jego dynamiczna konfiguracja z serwera DHCP. Dodatkowa informacja przydatna w późniejszym terminie, to identyfikator sieci VLAN, w ramach której będzie widzialny przełącznik. Jest to jeden z elementów bezpieczeństwa sieci, który zostanie omówiony później. Kolejną informacją, którą należy uzupełnić podczas konfiguracji przełącznika jest opis urządzenia. Poniżej pokazano zakładkę umożliwiającą ustawienie opisu urządzenia.

Opis urządzenia

Pokazane poniżej informacje nie mają żadnego technicznego wpływu na funkcjonowanie przełącznika. Są one jednak niezbędne do zachowania przejrzystości budowanej sieci LAN. Ułatwiają identyfikację urządzenia oraz jego lokalizację. Dysponując urządzeniami rozmieszczonymi w różnych pomieszczeniach, czy budynkach warto wiedzieć które urządzenie w danej chwili konfigurujemy.

Synchronizacja czasu

Kolejny element, który należy skonfigurować do prawidłowego funkcjonowania urządzenia, to synchronizacja czasu. Przełącznik może synchronizować czas systemowy z komputerem, z którego jest konfigurowany. Możliwe jest ręczne ustawienie czasu. Najlepszym jednak rozwiązaniem jest automatyczna synchronizacja czasu systemowego przełącznika z serwerem NTP. Synchronizacja czasu z serwerem NTP jest możliwa po włączeniu odpowiedniej opcji w zakładce pokazanej poniżej oraz odpowiednim skonfigurowaniu adresu IP i bramy domyślnej by przełącznik miał dostęp do sieci Internet.

Zarządzanie użytkownikami

Po wykonaniu wstępnej konfiguracji urządzenia należy przejść do zakładki „User Management”, gdzie możemy zarządzać użytkownikami. Przełącznik może mieć dwa rodzaje użytkowników: goście, administratorzy. Konta gości umożliwiają wyświetlenie podstawowych danych statystycznych. Konta administracyjne umożliwiają zarządzanie przełącznikiem. Możemy założyć dodatkowe konta administracyjne. Najważniejsze jednak jest ustawienie hasła dla podstawowego konta administratora. Na zrzucie poniżej pokazano zakładkę umożliwiającą zarządzanie użytkownikami.
Jak widać możliwe jest utworzenie nowego użytkownika, lub edycja ustawień już istniejącego. Po wykonaniu powyższych operacji przełącznik zarządzalny jest gotowy do wpięcia go do sieci LAN. Adres IP przełącznika nie będzie powodował konfliktów w sieci, urządzenie będzie posiadało określoną nazwę oraz wpisaną lokalizację zgodną z rzeczywistością, konto administratora zostanie zabezpieczone hasłem znanym administratorowi sieci lokalnej. Tak przygotowany – skonfigurowany przełącznik zarządzalny ma jednak jedną podstawową wadę: Niczym nie różni się od przełącznika niezarządzalnego. By wykorzystać możliwości, jakie daje posiadanie przełącznika zarządzalnego, należy dodatkowo skonfigurować urządzenie w zależności od wymagań administratora sieci LAN.

Separacja portów

Pierwszym elementem, który może mieć wpływ na bezpieczeństwo sieci LAN jest separacja portów. Poniżej pokazano zakładkę umożliwiającą ustawienie separacji portów przełącznika.
Izolacja portów ma zabezpieczyć poszczególne segmenty sieci przed przesyłaniem danych pomiędzy nimi. Dysponując przełącznikiem, do którego podłączone są komputery z np. księgowości oraz magazynu, w prosty sposób możemy rozdzielić obie grupy ustawiając na przełączniku na których portach podłączone są komputery z jednej grupy, a na których z drugiej. Dokładniej określamy dla każdego z portów przełącznika do których portów może przesyłać informacje, a do których nie. W celu ustawienia izolacji portów ustawiamy kolejno dla każdego z nich listę portów, do których może przesyłać dane. Przykładowo wybieramy port 2, następnie poniżej zaznaczamy port 1,3,4,5. Po zapisaniu ustawień dane z portu 2 będą mogły zostać przesłane do portów 1,3,4,5, natomiast porty 6,7,8,9,10 nie otrzymają informacji nawet w sytuacji, gdy logicznie (zgodnie z adresacją sieci) powinny tam trafić. Izolację portów możemy traktować jako okrojoną wersję VLAN.

Parametry poszczególnych portów

Kolejnym elementem konfiguracyjnym jest ustawienie parametrów pracy poszczególnych portów. W zakładce „Port Config”. Można tam określić sposób funkcjonowania poszczególnych portów. Prędkość oraz rodzaj transmisji. Domyślnie wszystkie porty mają ustawioną opcję autonegcjacji połączenia. Możemy jednak wymusić konkretną prędkość transmisji oraz pracę w pełnym dupleksie lub półdupleksie. Poniżej pokazano zakładkę konfiguracyjną parametrów portów przełącznika.
Jak widać możliwe jest programowe wyłączenie portu, oraz włączenie kontroli przepływu danych. Dobrą praktyką jest również opisanie poszczególnych portów w taki sposób, by można było łatwo określić połączenie urządzenia z innymi elementami sieci LAN.

Filtrowanie DHCP

Użyteczną opcją konfiguracji portów jest możliwość zablokowania rozgłaszania komunikatów DHCP. W zakładce „DHCP Filtering” możemy określić na którym porcie podłączony jest serwer DHCP. Poniżej pokazano zakładkę konfiguracyjną filtra DHCP.
Filtrowanie DHCP należy włączyć w dwóch krokach. W pierwszym określa się, czy w ogóle filtrujemy ruch DHCP, a w drugim określamy na których portach go udostępniamy. Filtrowanie ruchu DHCP zabezpiecza sieć LAN przed przypadkowym podłączeniem nieuprawnionego serwera przydzielającego nieprawidłowe parametry sieciowe komputerom klienckim.

Przypisanie MAC do konkretnych portów przełącznika

Kolejnym elementem zwiększającym bezpieczeństwo sieci LAN jest określenie adresów MAC kart sieciowych i przypisanie ich do konkretnych portów przełącznika. Przyporządkowanie adresu MAC utrudnia podłączenie nieuprawnionego komputera do sieci LAN. Na zrzucie poniżej pokazano zakładkę konfiguracyjną filtrowania adresów MAC komputerów klienckich.
Jak widać na zrzucie można określić statycznie adres MAC komputera klienckiego i przypisać go do określonego portu. Po wykonaniu powyższej operacji komputer będzie mógł korzystać z zasobów sieciowych wyłącznie poprzez wskazany port.

VLAN

Do tworzenia VLAN-ów wykorzystuje się konfigurowalne lub zarządzalne przełączniki, umożliwiające podział jednego fizycznego urządzenia na większą liczbę urządzeń logicznych, przez separację ruchu między określonymi grupami portów. Komunikacja między VLAN-ami jest możliwa, gdy w VLAN-ach tych partycypuje port należący do routera lub z wykorzystaniem przełączników warstwy trzeciej. W przełącznikach konfigurowalnych zwykle spotyka się tylko najprostszą formę VLAN-ów, wykorzystującą separację grup portów.

Najważniejszą rzeczą podczas konfiguracji VLAN'u jest to by nie być podpięty pod port objęty konfigurowanym VLAN'em.

Opcje tagowania w VLAN

TRUNK: Port trunk może być obsługiwany przez wiele sieci VLAN i wykorzystywany do kaskadowego podłączenia urządzeń sieciowych (np. dwóch przełączników). Domyślna opcja dla Egress rule to TAG. GENERAL: Porty ogólne również mogą być udostępnione dla wielu sieci VLAN. Domyślna opcja dla Egress rule to UNTAG (komputery przeważnie akceptują tylko nietagowane ramki). ACCESS: Port ten może być przypisany do jednego identyfikatora sieci VLAN. Poniższy rysunek przedstawia dla przykładu sposób konfiguracji opcji Link Type dla portu 1:

Backup ustawień

Tworząc konfigurację przełącznika warto mieć możliwość jej zapisania oraz odtworzenia w zależności od potrzeb. Funkcję tę znajdziemy w zakładce „System Tools”.

W ramach „System Tools” możliwe jest wykonanie kopii konfiguracji urządzenia poprzez zakładkę „Config Backup”. Strzałką zaznaczono pozycję menu „Save Config”. Jest to opcja odpowiedzialna za zapisanie ustawień przełącznika w jego pamięci. Dopiero po zapisaniu bieżących ustawień w pamięci przełącznika możliwe jest wykonanie kopii ustawień konfiguracyjnych na dysk komputera. Dysponując natomiast plikiem konfiguracyjnym możemy go wczytać z wykorzystaniem zakładki „Config Restore”. Wykonywanie kopii bezpieczeństwa urządzenia ma dwie podstawowe zalety: w przypadku błędnej konfiguracji możliwe jest odzyskanie ostatniej poprawnie konfiguracji, możliwe jest przeniesienie konfiguracji na inne urządzenie w przypadku wymiany, lub konfiguracji kolejnego przełącznika.

Switch zarządzalny