kubertransaksie
Skakel en oorbrug RouterOS v7 Boek
Studiemateriaal vir die MTCSWE-sertifiseringskursus opgedateer na RouterOS v7
$19,97
Voeg by mandjie
Laag 2 wankonfigurasies: Pakkievloei met hardeware-aflaai en MAC-leer
- Mauro Escalante
- Daar is geen kommentaar nie
- Deel hierdie artikel
Facebook
Twitter
LinkedIn
WhatsApp
telegram
Oorweeg die volgende scenario: 'n Brug is gekonfigureer met die opsie om hardeware aflaaig geaktiveer om netwerkwerkverrigting op 'n RouterOS-toestel te maksimeer. As gevolg van hierdie konfigurasie funksioneer die toestel as 'n skakelaar in plaas van 'n eenvoudige brug op sagtewarevlak.
Dit verbeter werkverrigting deur die skakelaarskyfie toe te laat om pakketaanstuur tussen poorte te hanteer, eerder as om die toestel se SVE dit te laat doen.
opset
/interface bridge
add name=bridge1
/interface bridge port
add bridge=bridge1 hw=yes interface=ether1 learn=yes
add bridge=bridge1 hw=yes interface=ether2 learn=yes
probleem
Wanneer gereedskap soos snuffelhonde o Torch Om pakkies op die netwerk vas te vang, word 'n anomalie waargeneem: slegs sommige pakkies is sigbaar, gewoonlik dié wat uitgesaai/multicast. Dit is as gevolg van hoe die skakel chip hanteer verkeer in 'n opset met hardeware aflaai.
MAC-leer vs gasheertabel
El skakel chip hou 'n tabel van MAC-adresse en gepaardgaande poorte bekend as die "gasheertabel" in stand. Elke keer as 'n pakkie aangestuur moet word, raadpleeg die skakelaarskyfie hierdie tabel om te bepaal watter poort gebruik moet word om die pakkie aan te stuur. As die bestemming MAC-adres nie in die tabel gevind word nie, word die pakkie na alle poorte oorstroom, insluitend die SVE-poort.
As die bestemmings-MAC-adres dus reeds aangeleer is en in die tabel is, kan die skakelaarskyfie die pakkie direk aanstuur sonder om deur die SVE te gaan. Dit beteken dat die pakket nie sigbaar sal wees vir gereedskap soos snuffelhonde o Torch, wat pakkies op die SVE-vlak vaslê.
simptome
- Pakkette nie sigbaar in Sniffer of Torch nie.
- Filtreerreëls werk dalk nie soos verwag nie.
Oplossing
Om hierdie probleem op te los, is dit moontlik om reëls van te gebruik ACL (Toegangsbeheerlys) om sekere pakkies na die SVE te kopieer of te herlei. Byvoorbeeld, jy kan 'n reël opstel wat 'n kopie van pakkies wat vir 'n spesifieke MAC-adres bestem is na die SVE stuur vir ontleding.
/interface ethernet switch rule
add copy-to-cpu=yes dst-mac-address=4C:5E:0C:4D:12:4B/FF:FF:FF:FF:FF:FF
ports=ether1 switch=switch1
Daar moet kennis geneem word dat die stuur van pakkies na die SVE vir verwerking die las op die SVE sal verhoog, wat die algehele werkverrigting van die toestel kan beïnvloed.
El hardeware aflaai Dit is 'n kragtige tegniek om netwerkwerkverrigting te verbeter, maar dit kom met sekere beperkings in terme van sigbaarheid en beheer op die SVE-vlak. Vir gebruiksgevalle wat pakkieanalise of -filtrering vereis, word bykomende konfigurasie soos ACL-reëls vereis om te verseker dat die nodige pakkies deur die SVE verwerk word.
Bykomende oorwegings
1. Verkeersprioritisering:
In meer komplekse netwerke wil jy dalk QoS (Quality of Service) implementeer om sekere soorte verkeer te prioritiseer. Dit vereis gewoonlik dat pakkies deur die SVE gaan, wat kan bots met 'n hardeware-aflaaikonfigurasie.
2. sekuriteit:
Hardeware-aflaai kan die vermoë beperk om sterker sekuriteitsmaatreëls te implementeer, soos Deep Packet Inspection (DPI), omdat pakkies dalk nie deur die SVE gaan nie.
3. SVE kapasiteit:
Dit is noodsaaklik om die verwerkingskapasiteit van die SVE in ag te neem wanneer verkeer na dit herlei word. Te veel pakkies wat vir verwerking op die SVE gestuur word, kan dit oorweldig, wat lei tot 'n afname in algehele stelselwerkverrigting.
4. Verenigbaarheid:
Nie alle toestelle en skakelskyfies ondersteun hardeware-aflaai of het dieselfde vermoëns nie. Maak seker dat jou hardeware die kenmerke ondersteun wat jy wil gebruik.
5. Fermware/sagteware-opdaterings:
Maak seker dat jy 'n weergawe van RouterOS gebruik wat al die kenmerke ondersteun wat jy wil implementeer. Kwessies en beperkings kan tussen verskillende weergawes verskil.
Gevorderde oplossings
Vir meer komplekse scenario's is dit moontlik om API's of skrifte te gebruik om die byvoeging en verwydering van ACL-reëls te outomatiseer op grond van sekere gebeurtenisse of toestande. Dit kan veral nuttig wees in dinamiese omgewings waar bestemming MAC-adresse gereeld kan verander.
Opsomming
Hardeware-aflaai is 'n effektiewe tegniek om netwerkwerkverrigting te verbeter, maar dit het sy uitdagings wanneer dit kom by gedetailleerde verkeersbeheer en diagnose.
Gereedskap soos Sniffer of Torch is minder effektief in hierdie konteks omdat baie pakkies op die skakelaarskyfievlak aangestuur word en nooit die SVE bereik nie.
Met noukeurige beplanning en die gebruik van kenmerke soos ACL is dit egter moontlik om prestasie te balanseer met diagnostiese en sekuriteitsbehoeftes.
Kort kennisvasvra
Wat dink jy van hierdie artikel?
Durf jy jou aangeleerde kennis evalueer?
Aanbevole boek vir hierdie artikel
Verwante poste
Verwante poste
Mikrolaboratoriums
(ML-001) Hoe om verskeie publieke of private IP's op die randroeteerder behoorlik te bestuur
$8,99
(ML-002) Maniere om publieke IP-adresse aan kliënte met MikroTik toe te ken
$9,99
(ML-003) Gids om internetuitgangsroetes met twee of meer verskaffers op te stel (failover en rekursie in PCC-balansering)
$8,99
(ML-004) Filtreer implementeringstrategieë om toegang tot webblaaie met MikroTik te beperk
$7,99
Ander onderwerpe wat jou kan interesseer
Maniere om IPv6-adressering toe te wys (Deel 2)
Maart 25, 2024
Maniere om IPv6-adressering toe te wys (Deel 1)
Maart 11, 2024
Wil jy 'n onderwerp voorstel?
Elke week plaas ons nuwe inhoud. Wil jy hê ons moet oor iets spesifiek praat?
Opkomende aanlyn kursusse
MTCINE Aanlyn
$187,00
MTCNA aanlyn
$187,00
MTCRE Aanlyn
$187,00
Pak 4 MikroTik RouterOS-boeke
$68,47
