Kategorie Brocade

TechTalk CeBIT Spezial – Review aktueller Datacenter-Themen

Am 20.04.2017 findet bei michael wessel in Hannover der TechTalk Spezial zu aktuellen Datacenter-Themen statt.

Ich werde an diesem Tag ebenfalls referieren.

Bei Zeit und Interesse, kommen Sie gerne auf einen Kaffee und spannende topaktuelle Gespräche zu Netzwerk, Storage und Security vorbei!

Wo geht die Reise hin? Was erwartet Sie und Ihre Kollegen demnächst? Erleben Sie bei michael wessel, wie sich das Rechenzentrum entwickeln wird. Sehen Sie flexible Infrastrukturen für SAP HANA Workloads und lassen Sie sich auf den aktuellsten Stand bringen, für welche Bedrohungsszenarien Sie sich rüsten müssen und welche aktuellen Entwicklungen das Netzwerk verändern. Von Multi-Gigabit-Infrastrukturen und entsprechender Hardware über DDOS-as-a-Service und CEO-Frauds bis hin zu unfassbaren SAP HANA-Workloads mit HPE-Produkten wird viel Neues vorgestellt. Im Nachgang sind Gespräche zu den Themen und anderen News im Datacenter-Umfeld sehr willkommen.

Freuen Sie sich auf interessante Gespräche und spannendes Hintergrundwissen im Datacenter-Umfeld. Zur Anmeldung nutzen Sie gerne den folgenden Link:

http://www.michael-wessel.de/artikel/veranstaltungen/techtalk-cebit-spezial-review-aktueller-data-center-themen/

Agenda

9:00 Uhr BUSINESSFRÜHSTÜCK
9:30 Uhr BEGRÜSSUNG & ÜBERBLICK 
9:45 Uhr RASEND SCHNELL, UNVERSCHÄMT HOCHVERFÜGBAR, UNSCHLAGBAR SICHER.
Multi-Gigabit-Ethernet-Infrastruktur vom Backend bis zum Server
Daniel Lengies, michael wessel
10:20 Uhr SIND SIE SICHER? AKTUELLE GEFAHREN UND WIE SIE IHNEN BEGEGNEN KÖNNEN
DDoS-as-a-Service zum Schnäppchenpreis, gezieltes Social Engineering &  CEO-Frauds, Artificial Security Intelligence & SIEM
Daniel Lengies, michael wessel
10:45 Uhr KAFFEEPAUSE
11:00 Uhr COMPOSABLE INFRASTRUCTURE
HPE Synergy mit SAP HANA
Hubertus Schulz, Hewlett Packard Enterprise
12:00 Uhr AUSKLANG

Networking: PoE unter der Lupe

Um Geräte im Netzwerk mit Strom zu versorgen, wurde die Technologie PoE entwickelt. PoE steht für Power over Ethernet. Der Vorteil dabei: PoE-Geräte können (idealerweise) alle mit dem gleichen Standard bedient werden, sodass ein Netzteilwildwuchs ausbleibt bzw. ausbleiben sollte. Dafür wurden unterschiedliche Quasi-Standards  und festgelegte Industriestandards definiert, die ich in diesem Post einmal umreißen möchte.

Grundsätzlich gibt es zwei Möglichkeiten, ein PoE-Endgerät mit Strom zu versorgen:

  1. Über einen PoE-fähigen Switch
  2. Über einen (oft beiliegenden) PoE-Injektor
Funktionsprinzip eines PoE-Injektors

Funktionsprinzip eines PoE-Injektors

Bei Variante 1 ist Voraussetzung, dass der Switch pro Port eine bestimmte Leistung in Watt bereitstellen kann. Zudem sollte das Datenblatt des Switches die Industriestandards IEEE 802.3af und 802.3at unterstützen, um eine hohe Kompatibilität zu bieten. Es ist dennoch zu prüfen, um das Endgerät ebenfalls mit diesen Spezifikationen aufwarten kann.

Bei Variante 2 kommt es drauf an, ob ein PoE-Injektor mitgeliefert wurde. Wenn nicht, sind hier die genauen technischen Voraussetzungen zu prüfen. Ein PoE-Injektor ist ein kleines Gerät, das über einen Netzstromanschluss (meist eine Buchse für einen Kaltgerätestecker) und zwei RJ-45-Ports verfügt. Der erste Port wird zum Einspeisen des Datensignals auf Seite des Switches verwendet, der andere liefert das eingespeiste Datensignal und die über den Netzstrom eingespeiste Spannung an das Endgerät.

Phasen in der PoE-Kommunikation

Um einen reibungslosen PoE-Betrieb gewährleisten zu können, ist die Kommunikation zwischen Endgerät und Switch ebenfalls standardisiert worden. In der ersten Phase findet die Detektion statt. Hier wird festgestellt, ob das Endgerät einen definierten Widerstand aufweist. In dieser Phase laufen noch nicht mehr als 10,1 Volt über die Netzwerkleitung. In der Folgestufe wird die Leistungsklasse ermittelt, welcher Standard genutzt wird, indem der Widerstand genau gemessen wird. Es folgt der Startup mit bis zu 42 Volt, bei dem erstmalig die Stromversorgung aktiviert wird. Im normalen Versorgungsmodus wird das Gerät permanent mit Strom versorgt. Die Spannung liegt in der letzten Phase zwischen 36 Volt und 57 Volt.

Quasi-Standards

Leider gibt und gab es viele Hersteller, die sich teils bis heute nicht an IEEE-Standards halten. Da sind beispielsweise Kamerahersteller oder die Hersteller einzelner Access Points zu nennen, die sich über jedweden Standard hinwegsetzen und ihr eigenes Ding durchziehen. Warum? Meist, um Kosten in der Zertifizierung und Entwicklung des Produktes zu sparen. Schade eigentlich. Es würde vieles leichter machen, wenn Standards eingehalten werden. Somit kursieren unterschiedliche “Standards” vereinzelter Hersteller, die nicht das PoE-Siegel tragen, aber angeben, dass sie über Ethernet-Kabel mit Strom versorgt werden können. Der Haken daran? Oft variiert die Spannung sehr stark, sodass nicht ausgeschlossen werden kann, dass man das Endgerät grillt, wenn man es an einen echten PoE-Port anschließt.

Passives PoE

Und da ist einer, dieser “Quasi-Standards”. Vom Hersteller Ubiquiti allerdings in alle Produkte integriert, bietet dieser Standard Kompatibilität innerhalb des UniFi-Portfolios. Andere Hersteller von Switchen z.B. orientieren sich allerdings nicht an dem Gusto von einem anderen Hersteller, sondern an IEEE-Standards. Schließt man also Geräte, die nur passives PoE unterstützen an ein einen PoE- oder PoE+-Switch eines anderen Herstellers, sollte man prüfen, ob der mitgelieferte PoE-Injektor eventuell die bessere Stromquelle für den Access Point ist. Anders als bei PoE/PoE+ wird hier auf Basis von 24V Energie verteilt.

IEEE 802.3af

Der erste Standard, der verabschiedet wurde. Die Speisung mit Stromsignalen ist hier möglich, sobald mind. CAT-3-Kabel Verwendung finden. Dabei wird zwischen 44V und 54V, zumeist 48V Spannung gearbeitet. Die Leistung wurde hier in vier Klassen unterteilt, wobei über einen RJ-45-Port laut Spezifikation nicht mehr als 15,4 W übertragen werden dürfen. Die Aufteilung der Leistungsklassen findest Du weiter unten.

IEEE 802.3at

Der zweite, heute aktuelle Standard. Die Speisung mit Stromsignalen ist hier möglich, sobald mind. CAT-5-Kabel Verwendung finden. Dabei wird zwischen 44V und 54V, zumeist 48V Spannung gearbeitet. Die Leistung wurde hier in fünf Klassen unterteilt, wobei über einen RJ-45-Port laut Spezifikation nicht mehr als 25,5 W übertragen werden dürfen. Die Aufteilung der Leistungsklassen findest Du weiter unten.

Leistungsklassen nach IEEE

In der folgenden Tabelle sind die Leistungsklassen aufgeführt, in die PoE und PoE+ aufgeteilt worden sind. Die Tabelle stammt vom aktuellen Wikipedia-Eintrag. Die meisten der aktuellen PoE-Endgeräte liegen durch die notwendige Leistungsaufnahme des Gerätes in Klasse 3 oder 4. Geräte, die einen Stromverbrauch wie er in Klasse 4 aufgeführt ist, aufweisen, müssen vollständig 802.3at-compliant sein.

Klasse Verfügbare Leistung am versorgten Gerät Klassifizierungssignatur
0 0,44–12,96 W 0 bis 4 mA
1 0,44–3,84 W 9 bis 12 mA
2 3,84–6,49 W 17 bis 20 mA
3 6,49–12,95 W 26 bis 30 mA
4 12,95-25,50 W (nur 802.3at/Typ 2) 36 bis 44 mA

Networking: RADIUS-Authentifizierung mit LDAP auf Brocade ICX-Switchen

Auf Switchen kann man durch die Möglichkeit, via Radius LDAP-Accounts zum Login zu nutzen, die Sicherheit erhöhen und gleichzeitig die Usability steigern, da man sich nicht mehr hunderte von einzelnen Kennwörtern mit den dazugehörigen Benutzeraccount merken muss, sondern mit dem gewohnten Kennwort von beispielsweise einem Windows-Domänennutzer arbeiten kann.

Brocade bietet auf seinen Switchen der ICX-Serie dieses Feature und ich werde Euch kurz zeigen, wie es auf der CLI zu aktivieren ist.

Eintragen des Radius-Servers

radius-server host 192.168.10.2
auth-port 1645 acct-port 1646
radius-server key RADIUSPASSWD

Aktivieren des Logons via Radius-User svc_radius

aaa authentication login default radius
localusername svc_radius pri 0 password RADIUSPASSWD
Voraussetzung für die Verwendung der Authentifizierung via AD-Credentials ist neben dem autorisierten Benutzer auch ein Server, auf dem die NPS-Rolle (RADIUS & Authentifizierungsdienste) installiert worden ist. Dieser stellt das Bindeglied zwischen dem RADIUS-Protokoll und dem Active Directory dar.

Brocade: Tips zur Basis-Konfiguration der ICX-Serie

Für die Grundeinrichtung eines Brocade-ICX-Stacks sind folgende Steps empfehlenswert. Diese sind natürlich pro Installation gesondert zu betrachten und hier nur beispielhaft aufgeführt. In der ein oder anderen Konfiguration wird sich sicher mehr finden – doch soll dies als solide Basis für eine Grundeinrichtung dienen.

Um das Management-VLAN festzulegen, sind beispielhaft für VLAN 99 folgende Schritte nötig:

ICX6610-48 Switch(config)#vlan 99
ICX6610-48 Switch(config-vlan-99)#tagged ethe 1/1/46
Added tagged port(s) ethe 1/1/46 to port-vlan 99.
ICX6610-48 Switch(config-vlan-99)#management-vlan
ICX6610-48 Switch(config-vlan-99)# default-gateway 192.168.10.1
ICX6610-48 Switch(config-vlan-99)#exit
Der Switch braucht noch ein paar Grundinformationen, um sinnvoll – also nachvollziehbar konfiguriert zu sein. Das heißt, er muss noch einen Hostnamen verpasst bekommen, eine Management-IP und gegebenenfalls noch in SNMP-Communities aufgenommen werden. auch Protokolle, wie cdp und hitless-failover sind durchaus sinnvoll. Zuletzt vergebe ich ein Kennwort. Je nach Konfiguration und Anforderung kann hier natürlich auch RADIUS genutzt werden. Dazu muss allerdings zusätzlich AAA konfiguriert werden. Im Beispiel die Grundkonfiguration mit lokaler Authentifizierung. Auch sollte statt Telnet SSH für das Management genutzt werden, womit Zugangsdaten nicht mehr im Klartext übermittelt werden. Auch für ssh ist vorher das Generieren eines Keys und die Konfiguration von AAA notwendig.

ICX6610-48 Switch(config)#hostname SW007-KG-SRV-Stack
SW007-KG-SRV-Stack(config)#ip address 192.168.100.7 255.255.255.0
SW007-KG-SRV-Stack(config)#cdp run
SW007-KG-SRV-Stack(config)#hitless-failover enable
SW007-KG-SRV-Stack(config)#snmp-server community [Communit-PW] rw
SW007-KG-SRV-Stack(config)#enable telnet pass [Telnet-PW]

Ebenfalls sinnvoll kann sein, LLDP zu aktivieren. Über LLDP können ebenso wie via CDP die benachbarten Geräte erkannt werden. Es ist so möglich, ein Netzwerk – auch bei mangelhafter Dokumentation mit Zugriff auf die Systeme zu erforschen.
Der Switch läuft in diesem Fall im Switching-Image.

Brocade ICX: Ports gleichzeitig mehreren VLANs hinzufügen

Um Switchen VLANs beizubringen, sind ein paar Basics notwendig. So auch bei Brocades ICX-Serie. Bei Brocade wird zwischen drei VLAN-Tagging-Typen unterschieden:
  • Access (ein einziges, ungetaggtes VLAN)
  • Trunk (mehrere VLANs getaggt, im Gegensatz zu Cisco kein native/untagged VLAN)
  • Hybrid (wie Trunk mit einem ungetaggten VLAN)
Um an einem Switch des Herstellers Brocade VLANs Ports zuzuordnen, kann man die folgenden Befehle nutzen. Man muss dazu auf Konfigurationsebene eingeloggt und authentifiziert sein. Statt tagged kann man auch

ICX6610-48 Switch#enable
No password has been assigned yet…

ICX6610-48 Switch#config terminal
ICX6610-48 Switch(config)#vlan 10
ICX6610-48 Switch(config-vlan-10)# tagged ethe 1/1/1 to 1/1/6
Added tagged port(s) ethe 1/1/1 to 1/1/6 to port-vlan 10.
Der Operator “[Ethernet-Port] to [Ethernet-Port]” ist dabei vergleichbar mit dem interface-range-Befehl bei Cisco. Es kann eine Konfiguration so auf mehrere aufeinanderfolgende Ports angewandt werden, ohne jeden Port explizit in der Konfiguration zu nennen. Nicht aufeinanderfolgende Ports müssen explizit nacheinander mit Angabe des Ports im Schema [Stacking-ID/Slot/Interface], also für den zweiten Switch im Stack auf dem ersten der RJ-45-Ports so: ethernet 2/1/1.

Um gleichzeitig mehrere VLANs den gleichen Ports zuzuweisen, kann man folgende Befehle verwenden. Dabei können auch Port-Ranges und mehrere Interfaces gleichzeitig getaggt werden.

ICX6610-48 Switch(config-vlan-10)#vlan 20 30 40
ICX6610-48 Switch(config-mvlan-20*40)#tagged eth 1/1/1
Added tagged port(s) ethe 1/1/1 to port-vlan 20.
Added tagged port(s) ethe 1/1/1 to port-vlan 30.
Added tagged port(s) ethe 1/1/1 to port-vlan 40.
ICX6610-48 Switch(
config-mvlan-20*40)#

 

Certified: Brocade BCNE

Nun darf ich mich Brocade Certified Networking Engineer nennen. Nachdem ich mich mit den Produkten des Herstellers bereits immer wieder mal ein wenig und zeitweise etwas mehr befasst habe, habe ich mich entschlossen, den BCNE in Angriff zu nehmen. Hat geklappt.

bcne-2016

Der BCNE umfasst Campus-Networking-Thematiken, vorwiegend in ISO/OSI-Layer eins bis drei. Bei Gelegenheit folgt der BCNP.

Skip to content