philipp711
Goto Top

Brocade ICX7250 LAG und tagged VLAN

Hallo Leute,

hätte eine kurze Frage zur Konfiguration eines Brocade ICX7250. Zur Erhöhung der Ausfallsicherheit und verbesserung der Performance möchte ich die Server über LACP an das Switch anbinden. Außerdem müssen teilweise mehrere VLANs (tagged) über den LAG transportiert werden.

Meine Frage: Wie wird dies konfiguriert?

Von anderen Switch-Herstellern kenne ich es so: Sobald eine LAG erstellt wurde erscheint dieses Objekt auch in der Port-Liste und diesem Objekt können dann (wie bei einzelnen Ports) die VLans mit Tag angefügt werden. Muss ich bei Brocade jeden Port einzeln anfassen?

Danke!

Content-Key: 334800

Url: https://administrator.de/contentid/334800

Printed on: December 4, 2022 at 12:12 o'clock

Member: clSchak
Solution clSchak Apr 11, 2017 updated at 06:56:11 (UTC)
Goto Top
Hi

die switche erkennen das selbst wenn das vom Server kommt an der Stelle muss nichts weiter eingestellt werden, kannst aber zur Sicherheit machen.

Bei den Brocade Switche editierst du mehrere Ports wie folgt:


VLANs ähnlich

Port Channel / LAG

Die VLANS liegen an dem Port an und nicht an dem LAG, bei den Switchen ist die Einstellung des primary Ports entscheidend welche VLANs dort anliegen.

Ich habe hier jetzt nur die Ausszüge aus einer Config unserer Switche genommen, ggf. die Werte nach deinen Bedürfnissen anpassen. Im Core Bereich sind bei uns alle Switche und alle Ports (außer Uplinks / LAG) exakt gleich eingerichtet. Da wir hier VMWare einsetzen und die Maschinen ohne Probleme hin und her geschoben werden (können) müssen haben wir uns für den Weg entschieden - kommt ja kein Nutzer direkt an die Endgeräte face-wink.

Gruß
@clSchak
Member: aqui
Solution aqui Apr 11, 2017 updated at 07:06:53 (UTC)
Goto Top
Ein Switch ist immer ein Mann !!! face-wink
Meine Frage: Wie wird dies konfiguriert?
Das ist kinderleicht
Muss ich bei Brocade jeden Port einzeln anfassen?
Jein. Brocade hält es hier so wie auch alle Websmart Switches im Billigsektor. Du musst zuerst dafür sorgen das die Ports der Port Gruppe alle eine identische Konfiguration haben was Tagging usw. anbetrifft.
Dann bindest du die Ports in eine LAG Gruppe und fertig.
Das sieht dann in der Praxis so aus. (Beispiel mit 2 LAGs a zwei Ports auf Server (untagged) und Uplink auf weiteren Switch (tagged)):
Ports definieren:
!
vlan 1 name DEFAULT-VLAN by port
spanning-tree 802-1w
management-vlan
default-gateway 192.168.1.254 1
!
vlan 10 name Server by port
tagged ethe 1/1/11 to 1/1/12
untagged ethe 1/3/1 to 1/3/2
spanning-tree 802-1w
!
vlan 20 name Clients by port
tagged ethe 1/1/11 to 1/1/12
untagged ethe 1/1/1 to 1/1/10
spanning-tree 802-1w


Dann den LAG über die Ports definieren:
!
lag Server-1 dynamic
ports ethernet 1/3/1 to 1/3/2
primary-port 1/3/1
deploy
port-name "LACP LAG auf Server1" ethernet 1/3/1
!
lag Switch-2 dynamic
ports ethernet 1/1/11 to 1/1/12
primary-port 1/1/11
deploy
port-name "LACP LAG auf Switch-2" ethernet 1/1/11
!


Fertig, das wars.
Eigentlich kinderleicht und ist auch leicht verständlich und gut dokumentiert hier zu finden:
http://www.brocade.com/content/html/en/configuration-guide/FI_08030_L2/ ...
Member: clSchak
clSchak Apr 11, 2017 at 06:58:12 (UTC)
Goto Top
@aqui du musst kein Management VLAN definieren face-wink und mit "untagged" sollte man eher nicht arbeiten, damit verbaut man sich einfach zuviel und bei Config Änderungen, wenn z.B. das Access VLAN von dem Port geändert werden muss ist so viel zu aufwendig :o
Member: aqui
aqui Apr 11, 2017 updated at 07:07:41 (UTC)
Goto Top
Warst wieder einen Tick schneller... face-wink
Das stimmt wenn der TO einen Server betreibt der als Hypervisor arbeitet oder in mehreren VLANs liegen soll. Bei einem einfach angebundenen Server reicht aber auch m.E. ein untagged Port. Aber du hast Recht...kommt darauf an wie statisch seine Umgebung ist.

Deine Konfig hat aber den kosmetischen Fehler das du statische LAGs definierst. Die arbeiten dann ohne LACP. Der TO oben schrieb aber das er LACP LAGs machen will und dann muss er sie dynamisch auslegen in der Konfig.
Außerdem nimmt man heute kein Steinzeit Spanning Tree mehr sondern RSTP mit .1w...ist aber natürlich kosmetisch.

Das mit dem Management VLAN stimmt natürlich ist nicht zwingend, sollte man im L2 Betrieb der ICXe aber immer machen, denn sonst kann jeder Hansel aus jedem beliebigen VLAN auf die Management IP zugreifen.
Normal will man das als Netzwerk Admin aber nicht !
Zwingend ist das nicht, da hast du recht. Es ist aber sicherer face-wink
Member: clSchak
clSchak Apr 11, 2017 at 08:04:16 (UTC)
Goto Top
der Befehl "span 802" -> spanning-tree 802.1w

ich schreib das nie aus face-smile ist aber definitiv 802.1w.

Probleme mit der Sicherheit bekommt man eher wenn man auf Telnet und nicht via SSH arbeitet - aber auch eine persönliche Einstellung wie man es möchte (SSH bei den FWS / FCX ist ziemlich bescheiden - die Tastatureingabe verhält sich dann so als wäre man per Konsolenkabel angeschlossen). Unser Management Netz wird nicht geroutet, wir haben hier eigene Server für Administrierung die "mit einem Bein" im Management Netz hängen und man nur so an die Geräte rankommt.

Und ja, im Backend haben wir nur statische Lags, das wird einmal verkabelt, festgemacht und nur gelöst wenn Hardware getauscht wird (ein hoch auf Klettband und Kabelbinder! face-smile )
Member: aqui
aqui Apr 11, 2017 updated at 08:12:23 (UTC)
Goto Top
die Tastatureingabe verhält sich dann so als wäre man per Konsolenkabel angeschlossen
Du sprichst das Backspace Verhalten an, oder ??
Das kannst du mit 2 Maßnahmen fixen. Entweder TeraTerm verwenden oder anderen SSH Client oder in PuTTY das Backspace Verhalten im Setup einstellen. Dann klappts auch wunderbar mit SSH am FWS und FCX face-wink
Deine Management Lösung ist natürlich Bilderbuch ! face-smile
Member: clSchak
clSchak Apr 11, 2017 at 08:44:09 (UTC)
Goto Top
JA das mit Backspace face-wink - ok, das werde ich dann mal Umstellen für die Gerätegruppe. Die neueren haben das nicht mehr.

Aber back 2 TO:
Wenn es die um Ausfallsicherheit geht, hast du hier auch 2 Switche oder nur einen im Einsatz? (pers. Anmerkung: die PSU Einheit als 2. Netzteil ist bei Brocade extrem teuer - für uns schon fast ein Grund den Hersteller zu wechseln, du kannst fast günstiger ein 7450 mit 2. Netzteil kaufen wie eine PSU Einheit (je Switch gerechnet).

Wenn du nur einen Switch hast und an diesem nur Server angeschlossen werden, würde ich alle Ports komplett gleich einstellen, dann kannst die Server überall anschließen (die 10G Ports sind dann 1/2/1 - 1/2/8 sofern du die 8 Port Lizenz hast) und musst nicht erst alle abgleichen.

Ich würde zu dem das "DEFAULT VLAN" auf eine andere ID verschieben (default-vlan-id 777) und dann VLAN ID:1 separat einrichten

Eine einzelner Port sieht in etwa so aus:

Ein VLAN ist so eingestellt bei uns:

Anmerkung hier: wir haben die Rootbridges der VLANs von Hand eingestellt, damit uns keine "Edge" Switche uns "in die Suppe" spucken und wir damit sicherstellen, dass diese immer auf einen der Core Switche bleibt.

Grundeinstellungen bei den Switchen:


Das ist so im groben eine Config bei uns - wobei wir im Core Bereich ausschließlich VDX Systeme im Einsatz haben.
Member: aqui
aqui Apr 11, 2017 updated at 08:58:34 (UTC)
Goto Top
Vorbildliche Konfig !
Wo wir jetzt dabei sind könnte man noch
aaa authentication web-server default local
web-management https
web-management connection-receive-timeout 30
web-management session-timeout 1800

hinzufügen für die Klicki Bunti Fraktion face-wink
Und ein stp-bpdu-guard auf den Links damit nicht einer mit einem Blödmarkt Switch die vorbildliche STP Hierarchie stört und ein no snmp-server enable traps link-change an den Kupfer Endgeräteports damit der SNMP Traphost nicht vollgemüllt wird wenn die Mitarbeiter am Feierabend den Rechner ausschalten. face-wink

So nun hat der TO aber ne Druckbetankung an Konfig Tipps bekommen und muss vermutlich erstmal Luft holen und das sacken lassen face-big-smile
Member: clSchak
clSchak Apr 11, 2017 updated at 09:08:33 (UTC)
Goto Top
bpdu-guard ist auf den Edge Ports aktiv, ich hab jetzt configs von Uplink Switches ausgelesen face-wink - nicht jeder Switch hat hier 10G auf wenn ich das gerne hätte face-smile.

Und das Webinterface haben wir auf keinen Switch aktiv, braucht man im Regelfall auch nicht, ich wüsste jetzt auch nicht wie das von den einzelnen Switche aussieht face-smile.
Member: aqui
aqui Apr 11, 2017 at 09:13:58 (UTC)
Goto Top
braucht man im Regelfall auch nicht,
Gilt für uns Netzwerker (real networkers do CLI) face-smile
Aber andere Klicki Bunti Verseuchte sehen das bekanntlich ganz anders face-big-smile
Member: Philipp711
Philipp711 Apr 12, 2017 at 05:44:06 (UTC)
Goto Top
Vielen Dank für die Antworten!