Командная строка WANFleX

Сетевые интерфейсы

Устройства "Инфинет" помимо конфигурации физических интерфейсов позволяют создавать и использовать ряд виртуальных интерфейсов. К физическим интерфейсам относятся порты Ethernet, SFP и радио, поверх которых для решения определённой задачи могут быть созданы виртуальные интерфейсы:

• PRF - псевдо-радио интерфейс, позволяющий объединить устройства в единый MINT-домен, используя проводные соединения.
• VLAN - виртуальный интерфейс, упрощающий процесс коммутации пакетов, тегированных метками VLAN.
• LAG - назначается нескольким физическим интерфейсам, чтобы они могли использоваться параллельно в качестве одного логического для увеличения общей пропускной способности и надежности передачи данных.
• SVI - виртуальный L3-интерфейс, который назначается группе коммутации для получения доступа к устройству и управления устройством через данную группу коммутации.
• TUN - используется для создания P2P туннелей между двумя маршрутизаторами. Позволяет объединять две удалённые и не связанные физически сети в единую логическую структуру (VPN – «виртуальную частную сеть»).
• TAP - используется для создания сетевого моста, работает на канальном (L2) уровне модели OSI, оперируя кадрами Ethernet.

Каждый интерфейс, как физический, так и виртуальный обладает административным статусом (up/down). После того как интерфейс был создан и произведена его конфигурация, необходимо его активировать командой "ifconfig IFNAME up", где IFNAME - имя сетевого интерфейса. 

Деактивировать интерфейс, остановив тем самым его работу, можно командой "ifconfig IFNAME down". Помимо перечисленных интерфейсов, для нужд системы используются виртуальные интерфейсы "lo0" и "null0", которые не могут быть деактивированы.

Конфигурация сетевых интерфейсов в ОС WANFleX производится командой "ifconfig". 

• Для просмотра полной информации по всем сетевым интерфейсам, используйте команду с соответствующим параметром “ifconfig -a”. 
• При необходимости посмотреть информацию для конкретного интерфейса, укажите название интерфейса, например, "ifconfig eth0". 

IP-адрес интерфейса

Неотделимым атрибутом каждого сетевого интерфейса является MAC-адрес, каждый физический интерфейс устройства имеет свой уникальный MAC-адрес, виртуальным интерфейсам назначается MAC-адрес их физического родительского интерфейса. Помимо этого, каждому физическому и виртуальному интерфейсу может быть назначен один или несколько IP-адресов. Первый адрес, назначенный на интерфейс, будет считаться основным, все остальные - дополнительными, если удаляется основной IP-адрес, то в качестве основного будет подставлен следующий за ним дополнительный IP-адрес. Для назначения интерфейсу IP-адреса используется команда "ifconfig IP/MASK", маска сети, может быть указана как длиной префикса, так и в полном виде. Если маска не указана, то IP-адресу будет назначена маска с длиной префикса /32. 

Удалить IP-адрес сетевого интерфейса позволит команда "ifconfig delete IP/MASK".

Назначим интерфейсу Ethernet IP-адрес 192.168.103.89 с маской сети /24, адрес IP 10.10.20.1, настроенный по умолчанию, удалим, выведем информацию по интерфейсу.

Помимо IP-адресов вывод команды предоставляет информацию о доступных режимах согласования порта и о текущем режиме, а так же выводит статистику интерфейса. Подробная информация о счётчиках статистики будет представлена в уроке "8. Диагностика".

Интерфейс VLAN

Виртуальный интерфейс VLAN предназначен для упрощения создания логической топологии сети, вне зависимости от физической топологии. Родительским интерфейсом может быть назначен как физический, так и виртуальный интерфейс. Как правило в качестве родительского для интерфейса VLAN используется интерфейс Ethernet, через который происходит взаимодействие с внешним сегментом сети (на границе MINT-домена).

При добавлении интерфейса VLAN в определённую группу коммутации, трафик, тегированный указанной меткой VLAN, будет автоматически отправлен в эту группу коммутации, причём далее в радио сегмент трафик будет передан без метки VLAN. Таким образом, можем выделить три сценария операций с меткой VLAN, в которых может участвовать интерфейс VLAN.

Передача VLAN

В данном сценарии, сеть с обеих сторон канала связи оперирует трафиком с идентичными метками VLAN. В группу коммутации на обоих устройствах добавлены интерфейсы vlan100 и радио. Трафик, тегированный VLAN 100, попадает в группу коммутации через интерфейс VLAN, при этом метка будет снята. Траффик передаётся через интерфейс радио нетегированным в рамках группы коммутации #100. На удалённом устройстве трафик, принятый через интерфейс радио, будет передан через интерфейс vlan100, где ему будет добавлена метка VLAN 100, во внешний сегмент.

Режим Access

В данном сценарии, на одном конце канала связи передача трафика происходит в определённом VLAN, на другом конце канала связи оборудование оперирует нетегированным трафиком, например, при использовании ПК без специальной сетевой карты. В группу коммутации одного из устройств добавлены интерфейсы vlan100 и радио, в группу коммутации другого - Ethernet и радио. Трафик, тегированный VLAN 100, попадает в группу коммутации через интерфейс VLAN, при этом метка будет снята. Траффик передаётся через интерфейс радио нетегированным в рамках группы коммутации #100. На удалённом устройстве трафик, принятый через интерфейс радио, будет передан через интерфейс Ethernet во внешний сегмент в неизменном виде.

Смена метки

В данном сценарии, на одном конце канала связи передача трафика происходит в определённом VLAN, на другом конце канала связи - в другом VLAN. В группу коммутации одного из устройств добавлены интерфейсы vlan100 и радио, в группу коммутации другого - vlan200 и радио. Трафик, тегированный VLAN 100, попадает в группу коммутации через интерфейс VLAN, при этом метка будет снята. Траффик передаётся через интерфейс радио нетегированным в рамках группы коммутации #100. На удалённом устройстве трафик, принятый через интерфейс радио, будет передан через интерфейс vlan200, где ему будет добавлена метка VLAN 200, во внешний сегмент.

Процесс настройки

Метка VLAN может быть назначена интерфейсу параметром "vlan TAG", где TAG - числовое значение в диапазоне 1-4094. Родительский интерфейс, через который осуществляется непосредственное сетевое взаимодействие назначается параметром "vlandev IFParent", где IFParent - название родительского интерфейса. Оба параметра следует вводить вместе в одной строке.

Создадим интерфейс vlan100 с родительским интерфейсом eth0, название интерфейса необязательно должно совпадать с VLAN ID, но для удобства рекомендуем использовать одинаковые значения, добавим метку VLAN 100.

Маршрут по умолчанию

При объединении нескольких сегментов локальной сети посредством маршрутизации, на устройстве необходимо прописать маршрут по умолчанию до ближайшего маршрутизатора. Команда "route" используется для создания статических маршрутов на устройстве. Для добавления нового маршрута предназначен параметр "add", удалить маршрут можно посредством параметра "delete". Указать, что заданный маршрут является маршрутом по умолчанию позволяет параметр "default".

IP-адрес ближайшего маршрутизатора 192.168.103.1, установим данный адрес в качестве маршрута по умолчанию.

Коммутация

Принципы коммутации в устройствах InfiLINK 2x2, InfiMAN 2x2, InfiLINK Evolution и InfiMAN Evolution подробно описаны в курсе "Коммутация MINT", в данном курсе будут рассмотрены базовые настройки коммутации с использованием командной строки.

В устройствах, поддерживающих протокол MINT, для коммутации использована проприетарная система групп коммутации, для которой характерны следующие принципы:

• Каждой группе может быть назначен уникальный номер в диапазоне 1-4999.
• Коммутация трафика осуществляется между интерфейсами, включенными в одну группу. Трафик может попасть в группу только через один из включённых в неё интерфейсов.
• На каждом узле можно настроить несколько групп коммутации. Каждый интерфейс устройства можно включить в несколько групп коммутации одновременно.
• Для каждой группы коммутации могут быть определены правила, регулирующие направление определенного трафика в определенную группу коммутации.
• Группы коммутации назначаются на разных узлах сети MINT. Узлы, на которых настроены одинаковые группы коммутации, составляют «зону коммутации».
• «Зона коммутации» существует только внутри одного MINT-домена.
• Достаточно создать группы коммутации только на тех узлах, где кадры приходят или уходят во внешнюю сеть относительно MINT.

Для направления входящего кадра в одну из групп коммутации используются гибкие правила, позволяющие сортировать кадры в соответствии с различными критериями, определяемыми PCAP-выражениями, такими как:

• Порты
• Метки VLAN
• Адреса (MAC/IP)
• Тип протокола
• Прочие.

Полный синтаксис PCAP-выражений доступен в статье PCAP-фильтры технической документации.

Для управления коммутацией используется команда "switch". Коммутация MINT включена на устройствах по умолчанию, если требуется использовать режим маршрутизации, коммутацию необходимо выключить командой "switch stop". Коммутатор потребуется включить если была удалена его конфигурация командой "switch destroy", либо если были удалены все группы коммутации, для запуска коммутатора используйте команду "switch start".

Статистика коммутатора доступна для отображения параметром "statistics", при необходимости вывода информации для определённой группы коммутации может быть дополнительно указан её ID.

Группы коммутации

Для конфигурации групп коммутации используется параметр "group" и уникальный номер в диапазоне 1-4999. Группа будет создана автоматически при добавлении в неё сетевых интерфейсов параметром "add IFNAME", где IFNAME - имена сетевых интерфейсов, в группу коммутации могут быть добавлены любые физические и виртуальные интерфейсы, кроме интерфейса SVI. Удаление интерфейсов производится параметром "del IFNAME". Для выполнения своих функций, группа коммутации должна быть активирована параметром "start". Чтобы удалить группу, воспользуйтесь параметром "remove".

В процессе распределения пакетов данных по группам коммутации группы просматриваются в порядке появления их в конфигурации. Выбирается первая группа, правилам которой удовлетворяет пакет, на этом просмотр заканчивается. Параметр "order N" позволяет изменить порядок следования групп, указав порядковый номер N, в котором выбранная группа будет просматриваться при распределении.

По умолчанию на устройстве создана группа коммутации #1. Для взаимодействия с удалённым устройством необходимо создать группу коммутации #6, включив в неё интерфейсы Ethernet и радио. Группу коммутации по умолчанию необходимо удалить, предварительно удалив интерфейс управления svi1, ассоциированный с этой группой.

Правила коммутации

Правила коммутации используются для определения коммутационной группы, в которую будут направлены пакеты, принятые, через проводные интерфейсы. Коммутация сетевого пакета будет осуществляться группой, правилам коммутации которой удовлетворяет данный пакет. Соответствующая группа коммутация принимает решение о необходимости пересылки пакета через указанный сетевой интерфейс.

Правила коммутации представляют собой перечень правил и решение по умолчанию. Каждое правило состоит из порядкового номера, условия и решения. При просмотре списка определяется, удовлетворяет ли пакет условию каждого правила. Если удовлетворяет, то в отношении данного пакета принимается решение этого правила. Иначе просмотр списка правил будет продолжен. Порядок просмотра правил производится в соответствии с их порядковыми номерами, по возрастанию. Если пакет не удовлетворяет условию ни одного из правил, то принимается решение по умолчанию данной группы или интерфейса.

Каждое условие включает в себя один или более элементов, сопоставляемых с определёнными параметрами пакета.

Управление списками значений

Для составления условий правила используются списки значений, содержащие набор допустимых значений, сравнение с которыми определяет выполнение условий правила. Управление списками значений выполняется с использованием параметра "list LISTNAME", где LISTNAME - уникальное имя списка значений, может состоять из произвольного сочетания букв и цифр, но не должно начинаться с цифры. Имя списка нечувствительно к регистру. Каждый список может быть отнесен к одному из типов: список сетевых интерфейсов "iface", значений MAC-адресов "mac", диапазонов целочисленных положительных значений "numrange" или выражение "match". В рамках данного курса рассмотрим составление правил с использованием "match" выражений, которые идентичны спискам значений, но состоят из единственного элемента – выражения. Выражение определяется в формате PCAP. Если выражение содержит пробелы, то оно должно быть заключено в кавычки.

Выражения "match" могут определять следующие типы значений:

• vlan – определяет соответствие идентификатору в формате VLAN ID или диапазона VLANов.
• type – определяет тип имени или номера идентификатора. Возможные значения: "host" (хост), "net" (сеть), "port" (порт) или "portrange" (диапазон портов).
• dir – определяет возможное направление приема и передачи данных объектом, указанным в качестве идентификатора: к нему и/или от него. Допускается указание следующих значений: "src" (отправитель), "dst" (получатель), "src and dst" (отправитель и получатель), "src or dst" (отправитель или получатель).
• proto – определяет тип протокола, используемого объектом, указанным в качестве идентификатора.
• Прочие. Устройства "Инфинет" позволяют создавать гибкую систему фильтрации, синтаксис всех допустимых выражений представлен подробно в статье PCAP-фильтры технической документации.

Для добавления и удаления значений в указанный список предназначены параметры "add" и "del".

Составление правил

Для управления правилами коммутации применяются следующие параметры команды "switch":

• group G - группа коммутации, к которой относится правило, где G - идентификатор группы.
• rule N - правило коммутации, где N - порядковый номер, в котором будет производиться проверка соответствия.
• Решение:
  • deny – пакет, удовлетворяющий правилу будет отброшен.
  • permit – пакет, удовлетворяющий правилу будет принят.
• Условие, определяемое списком.

Решение по умолчанию для каждой группы коммутации определяется переменными "deny | permit" без указания правила. Решение по умолчанию устанавливается автоматически в зависимости от правил группы, определённых пользователем. Если все правила запрещающие автоматически будет установлено разрешающее решение по умолчанию.

Создадим списки "Office_VLAN", в который добавим соответствие VLAN ID 100, и "ManagementIP", в который добавим подсеть IP-адресов (192.168.0.0/24), из которой будет осуществляться управление устройством. Добавим правила в созданную ранее группу коммутации #6, разрешающие прохождение трафика, соответствующего значениям в списках. Так как оба правила, установленные нами определяют пакеты, которым должно быть разрешено прохождение в группу коммутации, решение по умолчанию будет автоматически установлено в значение "deny".

Параметр "remove" позволяет удалить список значений, "flush" – удалить все значения из списка.

Коммутация VLAN

В случае когда фильтрация трафика в группу коммутации выполняется на основании меток VLAN, может быть использован более простой метод создания правил, с использованием параметра "vlan". В данном случае может быть использовано как единичное значение VLAN ID, определяемое аргументом "TAG", так и диапазон VLAN, определяемый списком типа "numrange".

Создадим группу коммутации #4, с интерфейсами eth0 и rf5.0, установим фильтр, позволяющий проходить через эту группу только пакетам, тегированным VLAN 223. Создадим группу коммутации #8, с интерфейсами eth0 и rf5.0, установим фильтр, позволяющий проходить через эту группу пакетам, тегированным VLAN 16 и 50-70. Переместим группу коммутации #8 наверх списка, чтобы трафик, приходящий через интерфейс eth0 в первую очередь проверялся на соответствие правилам этой группы.

При включенной таким образом фильтрации по VLAN, остальные правила коммутации работать для данной группы не будут.

Интерфейс SVI

На практике, часто бывает необходимо обеспечить возможность управления устройством не только через непосредственное подключение к порту Ethernet, но и, например, из радио сегмента. Для этих целей предусмотрено использование интерфейса SVI.

Интерфейс SVI является виртуальным интерфейсом третьего уровня (L3). Может быть назначен группе коммутации для получения доступа к устройству и управления им через интерфейсы добавленные в данную группу коммутации. Система поддерживает до 5000 виртуальных интерфейсов "sviN" (диапазон от 0 до 4999). 

Интерфейс SVI может быть назначен какой-либо одной группе коммутации, после чего интерфейс становится частью данной группы коммутации и может участвовать в обмене информацией с другими участниками группы. Интерфейс SVI и ни один из интерфейсов, использующих его в качестве родительского, не может быть непосредственно включен в какую-либо группу коммутации. Привязка интерфейса SVI к группе коммутации выполняется командой "svi N group G", где N - номер интерфейса SVI, G - идентификатор группы коммутации.

Организация удалённого управления

Рассмотрим распространённый пример конфигурации, когда управление устройствами должно осуществляться в выделенном VLAN. В данном сценарии мы рекомендуем отделять пользовательский трафик от служебного, для этого необходимо использовать две группы коммутации: одну - для управляющего трафика, вторую - для трафика данных. В нашем примере для трафика управления будет выделен VLAN 100, пользовательский трафик задействует диапазон идентификаторов VLAN 200-500.

По умолчанию на устройстве создана группа коммутации #1, в которую включены интерфейсы Ethernet и радио, без каких-либо дополнительных правил. В этом случае все кадры, приходящие на устройство с локального интерфейса Ethernet , будут доставляться на удаленную сторону соединения и передаваться на Ethernet интерфейс удаленного устройства, и наоборот. Такая простая конфигурация будет обеспечивать прозрачную коммутацию - все пакеты будут проходить по этому каналу без изменений: "VLAN-теги" и поля "QoS" будут сохранены.

Шаг 1. Группу коммутации по умолчанию необходимо удалить, предварительно удалив интерфейс управления svi1, ассоциированный с этой группой.

Шаг 2. Для обработки трафика, тегированного VLAN 100, создадим интерфейс vlan с тем же номером. Родительским интерфейсом должен быть назначен порт Ethernet.

Шаг 3. Создадим группу коммутации управления, для удобства установим идентификатор группы идентичный VLAN ID управления. В группу помимо интерфейса VLAN должен быть включён порт радио, для осуществления управления удалённым устройством. Никаких дополнительных.

При наличии в группе коммутации интерфейса vlan весь трафик с соответствующим VID, приходящий на родительский интерфейс, попадает в группу коммутации (т.е. дополнительные правила не требуются), при этом метка 802.1q будет снята. 

Шаг 4. Создадим интерфейс управления svi100, ассоциируем его с созданной группой, установим IP-адрес для управления 192.168.0.33/24.

Шаг 5. Создадим группу коммутации, например, 200, для передачи трафика данных, разрешив прохождение диапазона VLAN 200-500.

Порядок расположения группы коммутации управления при такой конфигурации не имеет значения.

Выведем конфигурацию устройства, чтобы убедиться в правильности настройки.

Теперь необходимо сделать такие же настройки на втором устройстве и проверить возможность соединения через VLAN 100 с каждым из устройств.

После проверки наличия доступа к устройствам в VLAN 100, по новым IP-адресам, адрес интерфейса Ethernet может быть удалён.