In den vorherigen Kapiteln haben wir uns mit den grundlegenden Konzepten der Datenübertragung auf Layer 2 des OSI-Modells befasst. Wir haben die Struktur von Frames, MAC-Adressierung und die Protokolle ARP/RARP kennengelernt, die für die Kommunikation auf der Sicherungsschicht unerlässlich sind. In diesem Kapitel werden wir uns nun mit einem weiteren zentralen Element moderner Netzwerke auseinandersetzen: den Switching-Technologien und den damit verbundenen Content Addressable Memory (CAM) Tabellen.
Switches haben die Netzwerkkommunikation revolutioniert, indem sie die Effizienz von lokalen Netzwerken erheblich verbessert haben. Im Gegensatz zu ihren Vorgängern, den Hubs, leiten Switches Datenframes gezielt nur an den Port weiter, an dem sich der Zielhost befindet, anstatt den Verkehr an alle Ports zu senden. Diese gezielte Weiterleitung basiert auf der Verwendung von CAM-Tabellen, die MAC-Adressen den entsprechenden Switch-Ports zuordnen.
In diesem Kapitel werden wir die verschiedenen Switching-Technologien, ihre Funktionsweise und ihre Evolution untersuchen. Wir werden die Struktur und Verwaltung von CAM-Tabellen im Detail betrachten und verstehen, wie Switches Frames weiterleitungsentscheidungen treffen. Darüber hinaus werden wir moderne Aspekte wie Multilayer-Switching, Quality of Service (QoS) und Switching-Sicherheit kennenlernen, die in aktuellen Netzwerkinfrastrukturen eine wichtige Rolle spielen.
Das Verständnis dieser Technologien ist für jeden Netzwerkadministrator unerlässlich, da Switches das Rückgrat moderner Netzwerke bilden – von kleinen Heimnetzwerken bis hin zu komplexen Rechenzentrumsinfrastrukturen.
Um die Bedeutung von Switches und ihre revolutionäre Wirkung auf Netzwerke zu verstehen, ist es hilfreich, ihre historische Entwicklung zu betrachten.
In den frühen Tagen der Ethernet-Netzwerke waren Hubs (auch Repeater oder Multiport-Repeater genannt) die Standardgeräte für die Verbindung mehrerer Computer in einem LAN. Hubs arbeiten auf der physikalischen Schicht (Layer 1) des OSI-Modells und haben eine sehr einfache Funktionsweise:
Diese einfache “Repeater-Funktion” hat mehrere signifikante Einschränkungen:
Diese Einschränkungen führten zur Entwicklung intelligenterer Netzwerkgeräte.
Bridges waren die ersten Geräte, die eine selektivere Weiterleitung von Frames ermöglichten. Im Gegensatz zu Hubs arbeiten Bridges auf der Sicherungsschicht (Layer 2) und können daher MAC-Adressen lesen und verarbeiten:
Bridges bieten mehrere Vorteile gegenüber Hubs: - Sie reduzieren unnötigen Netzwerkverkehr durch gezielte Weiterleitung. - Sie teilen Kollisionsdomänen, was die Anzahl der Kollisionen reduziert. - Sie lernen automatisch die Netzwerktopologie.
Switches können als Multi-Port-Bridges betrachtet werden. Der Hauptunterschied besteht darin, dass Switches Hardware-basierte Weiterleitungsentscheidungen in Echtzeit treffen können, während frühe Bridges oft softwarebasiert waren und langsamer arbeiteten. Moderne Switches bieten zahlreiche fortschrittliche Funktionen:
Mit diesen Funktionen haben Switches die Art und Weise, wie LAN-Kommunikation funktioniert, grundlegend verändert. Sie ermöglichen eine effizientere Bandbreitennutzung, reduzieren Latenz und unterstützen größere Netzwerke bei gleichzeitig verbesserter Leistung.
Das Kernkonzept des Switching ist die intelligente Weiterleitung von Frames basierend auf MAC-Adressen. Der grundlegende Betrieb eines Switches umfasst mehrere Schlüsselprozesse:
Switches bauen ihre MAC-Adresstabellen dynamisch auf, indem sie den Netzwerkverkehr beobachten:
Dieser Lernprozess läuft kontinuierlich und automatisch ab, wodurch der Switch stets über eine aktuelle “Karte” des Netzwerks verfügt.
Nachdem ein Frame empfangen wurde, trifft der Switch eine Weiterleitungsentscheidung basierend auf der Ziel-MAC-Adresse:
Diese gezielte Weiterleitung ist der Hauptvorteil von Switches gegenüber Hubs und sorgt für eine effizientere Nutzung der Netzwerkbandbreite.
Ein oft übersehener, aber wichtiger Aspekt des Switchings ist die Filterfunktion:
Die Filterfunktion verbessert die Netzwerkeffizienz und kann zur Netzwerksicherheit beitragen.
Je nach Implementierung können Switches in verschiedenen Modi arbeiten:
Store-and-Forward: Der Switch empfängt den gesamten Frame, überprüft ihn auf Fehler (CRC) und leitet ihn dann weiter. Dieser Modus bietet die höchste Fehlerprüfung, fügt aber eine gewisse Latenz hinzu.
Cut-Through: Der Switch beginnt mit der Weiterleitung, sobald er genug vom Frame empfangen hat, um die Ziel-MAC-Adresse zu lesen (typischerweise die ersten 6-8 Bytes nach der Präambel). Dies reduziert die Latenz, erlaubt aber die Weiterleitung fehlerhafter Frames.
Fragment-Free: Ein Kompromiss zwischen den beiden anderen Modi. Der Switch wartet auf die ersten 64 Bytes des Frames (die minimale Ethernet-Framegröße), um die meisten Kollisionsfragmente zu erkennen, und leitet dann weiter. Dies bietet eine moderate Fehlerprüfung bei reduzierter Latenz.
Die Wahl des Modus hängt von den spezifischen Anforderungen des Netzwerks ab, wobei moderne Hochleistungsnetze oft Store-and-Forward bevorzugen, da die Latenzunterschiede bei hohen Geschwindigkeiten minimal sind.
Die internen Architekturen von Switches haben sich im Laufe der Zeit weiterentwickelt, um höhere Geschwindigkeiten und Portdichten zu unterstützen. Die Switching-Fabric, also der interne Pfad, über den Daten von einem Port zu einem anderen übertragen werden, ist ein kritischer Aspekt der Switch-Architektur.
In frühen Switch-Designs teilten sich alle Ports einen gemeinsamen internen Bus:
Diese Architektur ist einfach und kostengünstig, aber ein potenzieller Engpass in Hochleistungsnetzwerken, da die maximale Durchsatzkapazität des Switches durch die Bandbreite des Busses begrenzt ist.
Eine Verbesserung gegenüber dem Shared-Bus-Design ist die Shared-Memory-Architektur:
Shared-Memory-Designs sind effizient bei der Nutzung des Pufferspeichers, da dieser dynamisch auf die Ports aufgeteilt wird, je nach aktuellem Bedarf.
Die Crossbar-Architektur ermöglicht parallele Datenübertragungen zwischen verschiedenen Port-Paaren:
Crossbar-Switches bieten hohen Durchsatz und sind gut für Hochleistungsanwendungen geeignet, bei denen mehrere gleichzeitige Übertragungen erforderlich sind.
Für Switches mit sehr hoher Portdichte werden oft mehrstufige Switching-Fabrics eingesetzt:
Diese Architekturen werden häufig in Hochgeschwindigkeits-Core-Switches und Rechenzentrumsgeräten eingesetzt.
Bei der Bewertung von Switch-Architekturen sind mehrere Leistungsmetriken zu berücksichtigen:
Gesamtdurchsatz: Die maximale Datenmenge, die der Switch pro Zeiteinheit verarbeiten kann, typischerweise in Gbps oder Packets per Second (PPS) gemessen.
Blockierungsverhalten: Gibt an, ob und unter welchen Umständen der Switch Verkehr blockieren muss.
Latenz: Die Verzögerung, die ein Frame beim Durchlaufen des Switches erfährt.
Puffergröße: Die Menge an Speicher, die für die Zwischenspeicherung von Frames verfügbar ist, wenn Ausgangspuffer temporär überlastet sind.
Head-of-Line Blocking: Tritt auf, wenn ein Frame an der Spitze einer Warteschlange den Fortschritt nachfolgender Frames blockiert, die für andere nicht-blockierte Ziele bestimmt sind.
Die Wahl der Switching-Architektur hängt von den spezifischen Anforderungen des Netzwerks ab, einschließlich Portdichte, Verkehrsmuster und Budget-Überlegungen.
Content Addressable Memory (CAM) ist ein spezialisierter Speichertyp, der in Switches verwendet wird, um MAC-Adresstabellen effizient zu implementieren. Im Gegensatz zu herkömmlichem RAM, bei dem ein bestimmter Speicherort durch seine Adresse angesprochen wird, ermöglicht CAM das Abrufen von Daten durch ihren Inhalt. Diese Eigenschaft macht CAM ideal für die schnelle Suche nach MAC-Adressen in Switching-Anwendungen.
Eine typische CAM-Tabelle in einem Ethernet-Switch enthält mehrere Felder für jeden Eintrag:
In VLAN-Umgebungen ist die Kombination aus MAC-Adresse und VLAN-ID der eindeutige Schlüssel, da dieselbe MAC-Adresse in verschiedenen VLANs unterschiedlichen Ports zugeordnet sein kann.
CAM bietet gegenüber herkömmlichem RAM entscheidende Vorteile für Switching-Anwendungen:
Parallele Suche: CAM kann alle Einträge gleichzeitig durchsuchen, was die Suche nach einer MAC-Adresse zu einer Operation mit konstanter Zeit (O(1)) macht, unabhängig von der Tabellengröße. Bei herkömmlichem RAM würde eine sequenzielle oder Hash-basierte Suche erforderlich sein, die signifikant langsamer wäre.
Deterministische Leistung: Die gleichbleibende Suchzeit gewährleistet deterministische Leistung auch bei großen Tabellen oder hohem Datenverkehr.
Hardware-Implementierung: CAM ist direkt in Hardware implementiert, was extrem schnelle Suchvorgänge ermöglicht – oft innerhalb eines einzigen Taktzyklus.
Die Nachteile von CAM sind: - Höhere Kosten pro Bit im Vergleich zu traditionellem RAM - Höherer Energieverbrauch - Begrenzte Kapazität
Diese Nachteile erklären, warum CAM-Tabellen in Switches typischerweise eine begrenzte Größe haben, die von der Preisklasse und dem Einsatzzweck des Switches abhängt.
Eine Weiterentwicklung des klassischen CAM ist das Ternary Content Addressable Memory (TCAM), das neben 0 und 1 auch einen dritten Zustand “X” (Don’t Care) unterstützt. TCAM wird oft für komplexere Switching-Funktionen verwendet:
TCAM ist noch teurer und energieintensiver als reguläres CAM, bietet aber unübertroffene Flexibilität für erweiterte Netzwerkfunktionen.
Der Lernprozess für MAC-Adressen in der CAM-Tabelle läuft wie folgt ab:
Dieser Lernprozess erfolgt automatisch und kontinuierlich, während der Switch Datenverkehr verarbeitet.
Um zu verhindern, dass die CAM-Tabelle mit veralteten Einträgen überfüllt wird, implementieren Switches einen Alterungsmechanismus:
Dieser Mechanismus stellt sicher, dass die Tabelle aktuell bleibt und Platz für neue Einträge verfügbar ist. Die Aging-Zeit kann auf den meisten Switches konfiguriert werden, je nach den spezifischen Anforderungen des Netzwerks.
Neben dynamisch gelernten Einträgen unterstützen die meisten Switches auch statische Einträge, die manuell konfiguriert werden:
Statische Einträge: Diese werden administrativ konfiguriert und unterliegen nicht dem Aging-Prozess. Sie bleiben bestehen, bis sie manuell entfernt werden oder der Switch neu gestartet wird (je nach Implementierung).
Sticky MAC-Adressen: Ein Hybrid zwischen dynamischen und statischen Einträgen. Der Switch lernt die MAC-Adresse dynamisch, aber der Eintrag wird dann in der Konfiguration “festgeschrieben” und vor dem Altern geschützt.
Secure MAC-Adressen: Einträge, die im Rahmen von Port-Security-Funktionen definiert werden, um zu kontrollieren, welche Geräte an bestimmten Ports kommunizieren dürfen.
Administratoren können auch direkte Operationen an der CAM-Tabelle durchführen:
Eine der wichtigsten Einschränkungen von CAM-Tabellen ist ihre begrenzte Größe. Typische Eintragskapazitäten reichen von einigen Tausend MAC-Adressen bei einfachen Switches bis zu Hunderttausenden bei Enterprise-Geräten.
Wenn die CAM-Tabelle voll ist, können verschiedene Strategien angewendet werden:
Least Recently Used (LRU): Der am längsten nicht aktualisierte Eintrag wird entfernt, um Platz für einen neuen zu schaffen.
Ablehnung neuer Einträge: Neue unbekannte MAC-Adressen werden nicht in die Tabelle aufgenommen, was zu verstärktem Flooding-Verhalten führt.
Alarme und Benachrichtigungen: Der Switch kann Administratoren warnen, wenn die CAM-Tabelle einen kritischen Füllstand erreicht.
CAM-Tabellenüberlauf kann ein Zeichen für: - Ein zu großes Broadcast-Domain mit zu vielen Geräten - Einen möglichen MAC-Flooding-Angriff - Fehlerhafte Netzwerkgeräte, die schnell ihre MAC-Adressen wechseln
In solchen Fällen können Netzwerksegmentierung durch VLANs, Port-Security oder andere Sicherheitsmaßnahmen erforderlich sein.
Für Netzwerkadministratoren ist die Überprüfung und Analyse von CAM-Tabellen ein wichtiges Diagnosewerkzeug:
Auf Cisco-Switches:
show mac address-tableAuf HP/Aruba-Switches:
show mac-addressAuf Juniper-Switches:
show ethernet-switching tableDie Ausgabe zeigt typischerweise: - MAC-Adressen - Zugehörige Ports - VLAN-Informationen - Eintragstyp (dynamisch/statisch) - Aging-Informationen
Durch die Analyse dieser Informationen können Administratoren: - Die physische Topologie des Netzwerks verstehen - Unbekannte oder unerwartete Geräte identifizieren - Probleme mit der Gerätemobilität diagnostizieren - MAC-Flapping-Probleme erkennen (eine MAC-Adresse, die schnell zwischen Ports wechselt) - Die Wirksamkeit von Sicherheitsmaßnahmen überprüfen
Für optimale Switch-Leistung können verschiedene Aspekte der CAM-Tabellenverwaltung angepasst werden:
Aging-Zeit: Anpassung basierend auf der Netzwerkstabilität und -dynamik.
MAC-Adressen-Limits pro Port: Begrenzung der Anzahl der MAC-Adressen, die von einem einzelnen Port gelernt werden können, um MAC-Flooding-Angriffe zu verhindern.
VLAN-spezifische Optimierungen: In Umgebungen mit vielen VLANs kann die CAM-Tabellenkapazität für bestimmte VLANs priorisiert werden.
Hardware-Ressourcen-Verteilung: Bei fortschrittlichen Switches kann die Verteilung von TCAM-Ressourcen zwischen verschiedenen Funktionen (Switching, ACLs, QoS) optimiert werden.
Diese Optimierungen sollten auf Basis einer gründlichen Analyse der spezifischen Netzwerkanforderungen und des beobachteten Verhaltens vorgenommen werden.
CAM-Tabellen spielen eine wichtige Rolle bei verschiedenen Sicherheitsfunktionen und -bedrohungen:
MAC-Flooding-Angriffe: Ein Angreifer sendet Frames mit vielen verschiedenen gefälschten Quell-MAC-Adressen, um die CAM-Tabelle zu überfluten. Wenn die Tabelle voll ist, fällt der Switch möglicherweise in einen “Hub-Modus” zurück, indem er Frames an alle Ports weiterleitet, was Sniffing ermöglicht.
Port-Security: Diese Funktion begrenzt die Anzahl von MAC-Adressen, die an einem Port lernen darf, oder beschränkt sie auf spezifisch definierte Adressen. Verstöße können zu Alarmen oder Portabschaltungen führen.
MAC Address Notification: Switches können konfiguriert werden, um Benachrichtigungen zu senden, wenn neue MAC-Adressen gelernt oder entfernt werden, was zur Erkennung unerlaubter Geräte beitragen kann.
Dynamic ARP Inspection (DAI): In Verbindung mit DHCP Snooping verwendet diese Funktion verifizierte MAC-zu-IP-Bindungen, um ARP-Poisoning-Angriffe zu verhindern.
MAC Authentication Bypass (MAB): Verwendet MAC-Adressen als einfache Authentifizierungsmethode in Umgebungen, in denen 802.1X nicht praktikabel ist.
Eine korrekte Konfiguration und Überwachung der CAM-Tabellen-bezogenen Sicherheitsfunktionen ist ein wichtiger Teil der Netzwerksicherheitsstrategie.
Bei dieser Methode empfängt der Switch den gesamten Frame, bevor er mit der Weiterleitung beginnt:
Vorteile: - Fehlerhafte Frames werden nicht weitergeleitet, was die Netzwerkintegrität verbessert - Volle Unterstützung für QoS-Funktionen, da der komplette Frame analysiert werden kann - Möglichkeit zur Anpassung verschiedener Geschwindigkeiten zwischen den Ports
Nachteile: - Höhere Latenz, besonders bei großen Frames - Größerer Pufferspeicherbedarf
Store-and-Forward ist heute das am häufigsten implementierte Switching-Verfahren, da die niedrigere Latenz von Cut-Through bei modernen Hochgeschwindigkeitsnetzwerken weniger ins Gewicht fällt und die Fehlerfilterung wichtiger geworden ist.
Bei Cut-Through Switching beginnt der Switch mit der Weiterleitung eines Frames, bevor er vollständig empfangen wurde:
Vorteile: - Reduzierte Latenz, besonders für große Frames - Geringerer Pufferspeicherbedarf
Nachteile: - Fehlerhafte Frames werden weitergeleitet, da die CRC-Prüfung erst am Ende des Frames möglich ist - Eingeschränkte Unterstützung für QoS-Funktionen, die Informationen aus dem gesamten Frame benötigen - Möglicherweise Probleme bei der Anpassung unterschiedlicher Geschwindigkeiten
Cut-Through Switching ist besonders vorteilhaft in Umgebungen mit hohen Anforderungen an die Latenz, wie z.B. Hochgeschwindigkeits-Trading oder bestimmte industrielle Anwendungen.
Fragment-Free Switching stellt einen Kompromiss zwischen Store-and-Forward und Cut-Through dar:
Vorteile: - Erkennung von Runt Frames (Frames, die durch Kollisionen verstümmelt wurden) - Niedrigere Latenz als Store-and-Forward, aber bessere Fehlerfilterung als Cut-Through - Guter Kompromiss für viele Netzwerkumgebungen
Nachteile: - Erkennt nicht alle Arten von Fehlern, insbesondere solche am Ende des Frames - Komplexere Implementierung
Fragment-Free kann als eine verbesserte Version des Cut-Through-Modus betrachtet werden, der einige der Hauptnachteile mildert.
Viele moderne Switches implementieren adaptive Switching-Methoden, die dynamisch zwischen verschiedenen Modi wechseln können:
Diese Adaptivität ermöglicht es dem Switch, sowohl von niedriger Latenz als auch von Fehlerfilterung zu profitieren, je nach aktuellen Netzwerkbedingungen.
Während traditionelle Switches (Layer-2-Switches) Weiterleitungsentscheidungen ausschließlich basierend auf MAC-Adressen treffen, können Multilayer-Switches auch Informationen aus höheren Protokollschichten nutzen.
Layer-3-Switches kombinieren die Funktionen eines Switches mit denen eines Routers:
Vorteile: - Höhere Routing-Geschwindigkeit im Vergleich zu softwarebasierten Routern - Reduzierte Latenz für Inter-VLAN-Kommunikation - Vereinfachte Netzwerktopologie und -verwaltung - Kosteneffizienz durch Konsolidierung von Switching- und Routing-Funktionen
Layer-3-Switches verwenden spezialisierte ASIC-Hardware (Application-Specific Integrated Circuits) und TCAM, um Routing-Tabellen zu speichern und Weiterleitungsentscheidungen mit hoher Geschwindigkeit zu treffen.
Fortschrittlichere Switches können Entscheidungen basierend auf Informationen aus noch höheren Protokollschichten treffen:
Diese fortschrittlichen Switching-Techniken werden oft in spezialisierten Geräten wie Load Balancern, Web Application Firewalls (WAFs) oder Application Delivery Controllern (ADCs) implementiert.
Multilayer-Switching bietet mehrere Vorteile gegenüber traditionellen separaten Geräten für verschiedene Netzwerkschichten:
Leistung: Hardware-basierte Weiterleitungsentscheidungen auf höheren Protokollschichten sind deutlich schneller als softwarebasierte Alternativen.
Latenzreduktion: Durch die Integration mehrerer Funktionen in einem Gerät werden Netzwerksprünge reduziert, was die Gesamtlatenz verringert.
Intelligentes Traffic Management: Verkehr kann basierend auf einer Vielzahl von Kriterien gesteuert werden, einschließlich Anwendungstyp, Quelle/Ziel oder Dienstanforderungen.
Skalierbarkeit: Multilayer-Switching ermöglicht größere und komplexere Netzwerke, die dennoch effizient verwaltet werden können.
Kosten- und Platzeinsparungen: Weniger physische Geräte bedeuten niedrigere Kosten für Hardware, Strom, Kühlung und Rack-Platz.
Moderne Switches unterstützen verschiedene Port-Typen und spezielle Funktionen, um unterschiedliche Netzwerkanforderungen zu erfüllen.
In VLAN-fähigen Switches gibt es typischerweise zwei Haupttypen von Ports:
Access-Ports: - Verbinden Endgeräte wie Computer, Drucker oder IP-Telefone - Gehören zu einem einzigen VLAN - Eingehende Frames werden dem konfigurierten VLAN zugeordnet - VLAN-Tags werden beim Senden entfernt und beim Empfang (implizit) hinzugefügt
Trunk-Ports: - Verbinden Switches untereinander oder mit VLAN-fähigen Routern - Können Verkehr von mehreren VLANs transportieren - Verwenden Tags (meist nach IEEE 802.1Q-Standard), um Frames verschiedenen VLANs zuzuordnen - Ermöglichen die effiziente Nutzung physischer Links für mehrere logische Netzwerke
Die korrekte Konfiguration von Access- und Trunk-Ports ist entscheidend für die Funktion von VLAN-Umgebungen.
Besondere Port-Typen dienen der Verbindung von Switches in hierarchischen oder gestapelten Topologien:
Uplink-Ports: - Höhere Bandbreite als Standard-Ports (z.B. 10G in einem 1G-Switch) - Verbinden Switches mit übergeordneten Switches oder Routern - Oft mit erweitertem Puffer und QoS-Funktionen ausgestattet, um Überlastsituationen zu bewältigen
Stacking-Ports: - Spezielle Hochgeschwindigkeitsports für die direkte Verbindung mehrerer Switches zu einem logischen Gerät - Nutzen oft proprietäre Protokolle und Verkabelung - Ermöglichen eine einheitliche Verwaltung mehrerer physischer Switches als eine logische Einheit - Bieten häufig redundante Pfade für hohe Ausfallsicherheit
Viele moderne Switches unterstützen Power over Ethernet, das die Stromversorgung von Geräten über die Ethernet-Verkabelung ermöglicht:
Diese Funktion ist besonders nützlich für IP-Telefone, WLAN Access Points, Überwachungskameras und IoT-Geräte, da sie die Notwendigkeit separater Stromkabel eliminiert.
Moderne Switches implementieren verschiedene QoS-Mechanismen, um kritischen Verkehr zu priorisieren:
QoS-Funktionen sind besonders wichtig für konvergierte Netzwerke, die verschiedene Verkehrstypen mit unterschiedlichen Anforderungen transportieren, wie z.B. Sprache, Video und Daten.
Industrielle Umgebungen stellen besondere Anforderungen an Netzwerkgeräte:
Industrielle Ethernet-Switches implementieren daher spezielle Funktionen:
Rechenzentrumsumgebungen haben ihre eigenen spezifischen Anforderungen:
Data Center Switches bieten daher spezialisierte Funktionen:
Switches für Campus- oder Enterprise-Edge-Umgebungen fokussieren sich auf andere Aspekte:
Spezielle Funktionen umfassen:
Software-Defined Networking hat die Art und Weise, wie Netzwerke gestaltet und betrieben werden, grundlegend verändert. SDN trennt die Kontrollebene (die Entscheidung, wohin Daten gesendet werden) von der Datenebene (die tatsächliche Weiterleitung von Daten).
OpenFlow ist eines der ersten und bekanntesten Protokolle für die Kommunikation zwischen der SDN-Kontrollebene und der Datenebene:
OpenFlow-fähige Switches verwenden ihre TCAM- und Forwarding-Tabellen, um die vom Controller definierten Flow-Regeln zu implementieren.
SDN und OpenFlow verändern mehrere Aspekte des traditionellen Switchings:
Zentralisierte Kontrolle: Anstatt dass jeder Switch unabhängig Entscheidungen trifft, werden Weiterleitungsregeln zentral definiert und verteilt.
Programmierbarkeit: Netzwerkpfade und -verhalten können programmiert werden, anstatt von standardisierten Protokollen wie Spanning Tree bestimmt zu werden.
Abstrahierung: Das physische Netzwerk wird zu einer programmierbaren Ressource, ähnlich wie Rechenleistung und Speicher in virtualisierten Umgebungen.
Automatisierung: Komplexe Netzwerkänderungen können automatisiert und über APIs gesteuert werden.
Viele Enterprise-Switches unterstützen heute sowohl traditionelles Switching als auch SDN-Modi, oft mit proprietären SDN-Implementierungen neben oder anstelle von OpenFlow.
Traditionelle VLANs haben einige Einschränkungen, insbesondere die Begrenzung auf 4096 VLANs (mit 12-Bit-VLAN-IDs) und die Abhängigkeit von einer gemeinsamen Layer-2-Domäne. VXLAN und andere Overlay-Technologien wurden entwickelt, um diese Einschränkungen zu überwinden.
VXLAN (Virtual Extensible LAN) ist ein Netzwerk-Virtualisierungsprotokoll, das Layer-2-Frames in Layer-3-UDP-Pakete einkapselt:
VXLAN-Pakete werden zwischen VXLAN Tunnel Endpoints (VTEPs) ausgetauscht, die die Einkapselung und Entkapselung durchführen.
VXLAN und ähnliche Overlay-Technologien (NVGRE, Geneve) verändern mehrere Aspekte des traditionellen Switchings:
MAC-Lernverfahren: VTEPs müssen lernen, welche MAC-Adressen mit welchen Remote-VTEPs verbunden sind, entweder durch Flooding oder durch Steuerungsebenen-Protokolle.
Bandbreite und MTU: Die VXLAN-Einkapselung fügt einen Overhead von 50 Bytes hinzu, was eine Erhöhung der MTU-Größe auf dem Transportnetzwerk notwendig machen kann.
Hardware-Unterstützung: Moderne Switches implementieren VXLAN-Einkapselung und -Entkapselung in Hardware, um die Leistung zu maximieren.
Komplexität der Fehlerbehebung: Die mehrschichtige Natur von Overlay-Netzwerken fügt Komplexität bei der Diagnose von Problemen hinzu.
Overlay-Netzwerke sind besonders wichtig in Multi-Tenant-Rechenzentren und Cloud-Umgebungen, wo Tausende von logisch isolierten Netzwerken auf derselben physischen Infrastruktur laufen müssen.
Traditionell wurden für verschiedene Arten von Datenverkehr (Speicher, Cluster-Computing, regulärer Netzwerkverkehr) separate Netzwerke verwendet. Data Center Bridging (DCB) zielt darauf ab, ein konvergiertes Netzwerk zu schaffen, das allen Verkehrstypen gerecht wird.
DCB umfasst mehrere IEEE-Standards:
IEEE 802.1Qbb - Priority-based Flow Control (PFC): Eine Erweiterung von 802.3x Flow Control, die selektiv auf bestimmte Verkehrsklassen angewendet werden kann, anstatt den gesamten Port zu blockieren.
IEEE 802.1Qaz - Enhanced Transmission Selection (ETS): Ermöglicht die Zuweisung von Bandbreitenanteilen an verschiedene Verkehrsklassen und definiert unterschiedliche Scheduling-Algorithmen.
IEEE 802.1Qau - Congestion Notification: Ein End-to-End-Überlastungsverwaltungsmechanismus, der Stausituationen verhindert, bevor sie auftreten.
IEEE 802.1AB - Link Layer Discovery Protocol (LLDP): Ermöglicht Geräten, ihre Identität und Funktionen anzukündigen und zu erkennen.
DCB ermöglicht die zuverlässige Übertragung von Storage-Protokollen über Ethernet:
Diese Technologien ermöglichen die Konsolidierung von Speicher- und Netzwerkinfrastrukturen, was zu Kosten- und Verwaltungsvorteilen führt.
Switches mit DCB-Unterstützung bieten spezielle Funktionen für konvergierte Infrastrukturen:
Mit DCB können Unternehmen einheitliche Netzwerke aufbauen, die allen Anforderungen gerecht werden, anstatt separate Infrastrukturen für verschiedene Verkehrstypen zu unterhalten.
Switches spielen eine wichtige Rolle bei der Netzwerksicherheit, da sie den grundlegenden Datenfluss im Netzwerk kontrollieren. In diesem Abschnitt betrachten wir die wichtigsten Sicherheitsaspekte und -funktionen.
Port-Security ist eine grundlegende Sicherheitsfunktion, die den Zugriff auf Switch-Ports basierend auf MAC-Adressen kontrolliert:
Wenn eine Port-Security-Verletzung erkannt wird, kann der Switch verschiedene Maßnahmen ergreifen:
Port-Security ist eine wirksame Methode, um unerlaubte Geräte im Netzwerk zu erkennen und zu blockieren, sowie um MAC-Flooding-Angriffe zu verhindern.
VLAN-Hopping ist ein Angriff, bei dem ein Angreifer von einem VLAN auf ein anderes “springt”, obwohl er eigentlich darauf beschränkt sein sollte.
switchport nonegotiate)Diese Maßnahmen sind Teil der Best Practices für VLAN-Sicherheit und sollten in allen Produktionsnetzwerken implementiert werden.
DHCP Snooping ist eine Sicherheitsfunktion, die DHCP-Verkehr überwacht und DHCP-Server-Antworten von nicht autorisierten Servern blockiert:
Diese Funktion schützt vor “Rogue DHCP Server”-Angriffen, bei denen ein Angreifer einen eigenen DHCP-Server im Netzwerk platziert, um Clients falsche Netzwerkinformationen zuzuweisen.
Dynamic ARP Inspection nutzt die durch DHCP Snooping gesammelten Informationen, um ARP-Spoofing-Angriffe zu verhindern:
DAI verhindert ARP-Spoofing- und ARP-Poisoning-Angriffe, bei denen ein Angreifer falsche ARP-Informationen im Netzwerk verbreitet, um Man-in-the-Middle-Angriffe durchzuführen.