Switch

5-Port-Switch

Switch mit 50 Ethernet-Ports

Überblick

• Ein Switch ist ein Gerät in einem Computernetzwerk, das andere Geräte miteinander verbindet.
• Mehrere Datenkabel werden an einen Switch angeschlossen, um die Kommunikation zwischen verschiedenen Netzwerkgeräten zu ermöglichen.
  • Switches verwalten den Datenfluss über ein Netzwerk, indem sie ein empfangenes Netzwerkpaket nur an das eine oder die mehreren Geräte senden, für die das Paket bestimmt ist.
  • Jedes mit einem Switch verbundene Netzwerkgerät kann anhand seiner Netzwerkadresse identifiziert werden, sodass der Switch den Verkehrsfluss lenken und so die Sicherheit und Effizienz des Netzwerks maximieren kann.

Rolle in einem Netzwerk

• Switches werden am häufigsten als Netzwerkverbindungspunkt für Hosts am Rand eines Netzwerks verwendet.
• In hierarchischen Internetworking-Modell werden Switches auch tiefer im Netzwerk verwendet, um Verbindungen zwischen den Switches am Rand herzustellen.

Überbrückung (Bridging)

A modular network switch with three network modules (a total of 24 Ethernet and 14 Fast Ethernet ports) and one power supply.

• Moderne Switches verwenden hauptsächlich Ethernet-Schnittstellen.
• Die Kernfunktion eines Ethernet-Switches besteht darin, eine Multiport-Layer-2-Überbrückung bereitzustellen.
• Layer-1-Funktionalität ist in allen Switches zur Unterstützung der höheren Schichten erforderlich. Viele Switches führen auch Operationen auf anderen Ebenen aus.
  • Ein Gerät, das mehr als nur überbrücken kann, wird als Multilayer-Switch bezeichnet.
  • Ein Schicht-2-Netzwerkgerät ist ein Multiport-Gerät, das Hardwareadressen und MAC-Adressen verwendet, um Daten auf der Datenverbindungsschicht (Schicht 2) zu verarbeiten und weiterzuleiten.

Funktionsweise

Ein Switch zur Verknüpfung zweier Netzwerksegmente

• Im Folgenden wird, sofern nicht anders gekennzeichnet, von Layer-2-Switches ausgegangen.
• Die einzelnen Ein-/Ausgänge, die sogenannten „Ports“, eines Switches können unabhängig voneinander Daten empfangen und senden.
  • Diese sind entweder über einen internen Hochgeschwindigkeitsbus (Backplane-Switch) oder kreuzweise miteinander verbunden (Matrix Switch).
  • Datenpuffer sorgen dafür, dass nach Möglichkeit keine Frames verlorengehen.

Source Address Table

• Ein Switch muss im Regelfall nicht konfiguriert werden.
• Empfängt er ein Frame nach dem Einschalten, speichert er die MAC-Adresse des Senders und die zugehörige Schnittstelle in der Source Address Table (SAT).
• Wird die Zieladresse in der SAT gefunden, so befindet sich der Empfänger im Segment, das an der zugehörigen Schnittstelle angeschlossen ist.
• Das Frame wird dann an diese Schnittstelle weitergeleitet.
• Sind Empfangs- und Zielsegment identisch, muss das Frame nicht weitergeleitet werden, da die Kommunikation ohne Switch im Segment selbst stattfinden kann.
  • Falls die Zieladresse (noch) nicht in der SAT ist, muss das Frame an alle anderen Schnittstellen weitergeleitet werden.
  • In einem IPv4-Netz wird der SAT-Eintrag meist bereits während der sowieso nötigen ARP-Adressenanfragen vorgenommen.
  • Zunächst wird aus der ARP-Adressenanfrage eine Zuordnung der Absender-MAC-Adresse möglich, aus dem Antwort-Frame erhält man dann die Empfänger-MAC-Adresse.

Switched LANs – Mechanismen

• Ein Ethernet-Frame enthält die Zieladresse nach der so genannten Datenpräambel in den ersten 48 Bits (6 Bytes).
• Mit der Weiterleitung an das Zielsegment kann also schon nach Empfang der ersten sechs Bytes begonnen werden, noch während das Frame empfangen wird.
  • Ein Frame ist 64 bis 1518 Bytes lang, in den letzten vier Bytes befindet sich zur Erkennung von fehlerhaften Frames eine CRC-Prüfsumme (zyklische Redundanzprüfung).
  • Datenfehler in Frames können erst erkannt werden, nachdem das gesamte Frame eingelesen wurde.
• Je nach den Anforderungen an die Verzögerungszeit und Fehlererkennung kann man daher Switches unterschiedlich betreiben:

Cut-through

• Adresstabelle wird angesprochen, sobald die Zieladresse eingelesen ist
• Weiterleitung des Datenpakets, sobald der Weg geschaltet ist
• Geringe Latenzzeit
• Keine Fehler erkennen

Store and Forward

• Datenpaket wird zunächst vollständig eingelesen und zwischengespeichert
• Kontrolle der CRC-Prüfsumme und Ausführen von Filterfunktionen

Hybrides Switching

• Kombination von Cut Through / Store and Forward
• Auswahl abhängig von Fehlerrate

Predictive Switching

• Pfad in Schaltmatrix wird hergestellt, bevor Zieladresse vollständig eingelesen
• Basierend auf den vorher geschalteten Pfaden

Ausprägungen

Port-Switching

• Nur ein Gerät pro Port (eine MAC-Adresse)
• Jedes Gerät erhält volle Bandbreite
• Schneller Table-Lookup möglich

Segment-Switching

• Mehrere Adressen pro Port zulässig
• Bandbreite wird jedem Segment zur Verfügung gestellt

Bank-Switching

• Mehrere Ports teilen sich die eine bestimmte Übertragungrate

Weitere Switching-Verfahren

Layer-3-Switching

• Integration von Routing und Switching
• Weiterleitung von Paketen anhand der Analyse der Felder des Schicht-3-Protokolls

Layer-4-Switching

• Erweiterung des Layer-3-Switchings um Analyse der Felder der Schicht 4 (z.B. Portnummernvon TCP)
• Priorisierung bestimmter Anwendungen

IP Switching

• IP-Switch = Kombination aus IP-Router (RIP, OSPF, BGP) und Layer-2-Switch
• Zunächst konventionelles IP-Routing
  • Längeranhaltende Verkehrsflüsse werden erkannt, klassifiziert und gekennzeichnet
  • Unter Umgehung der Router wird danach auf Schicht 2 durch das Netz „geswitcht“

Typen

A 5-port layer-2 switch without management functionality

A rack-mounted 24-port 3Com switch

A couple of managed D-Link Gigabit Ethernet rackmount switches, connected to the Ethernet ports on a few patch panels using Category 6 patch cables (all equipment is installed in a standard 19-inch rack)

Nicht verwaltete Switches

• haben keine Konfigurationsoberfläche oder Optionen.
• Sie sind Plug and Play.
• Sie sind in der Regel die kostengünstigsten Switches und werden daher häufig in kleinen Büro- / Home-Office-Umgebungen verwendet.
• Nicht verwaltete Switches können auf dem Desktop oder im Rack montiert werden.

Verwaltete Switches

• Zu den gängigen Verwaltungsmethoden gehören:
  • Eine (Command Line Interface, CLI), auf die über die serielle Konsole Telnet zugegriffen wird.
  • Secure Shell, ein eingebetteter.
  • SNMP-Agent (Simple Network Management Protocol), der die Verwaltung über eine Remote-Konsole ermöglicht.
  • Management Station.
  • Eine Weboberfläche für die Verwaltung über einen Webbrowser.

• Beispiele für Konfigurationsänderungen, die von einem verwalteten Switch aus vorgenommen werden können, sind:
• Aktivieren von Funktionen wie Spanning Tree Protocol oder Portspiegelung, Festlegen der Portbandbreite, Erstellen oder Ändern von virtuellen LANs (VLANs) usw.

Smart Switches

• Sind verwaltete Switches mit einem begrenzten Satz von Verwaltungsfunktionen.
• Ebenso sind "webverwaltete" Switches Switches, die in eine Marktnische zwischen nicht verwaltet und verwaltet fallen.
• Zu einem Preis, der viel niedriger ist als bei einem vollständig verwalteten Switch, bieten sie eine Webschnittstelle (und normalerweise keinen CLI-Zugriff) und ermöglichen die Konfiguration der Grundeinstellungen wie VLANs, Portbandbreite und Duplex.

Fully Managed Switches

• Verfügen Sie über alle Verwaltungsfunktionen, einschließlich CLI, SNMP-Agent und Weboberfläche.
• Sie verfügen möglicherweise über zusätzliche Funktionen zum Bearbeiten von Konfigurationen, z. B. die Möglichkeit, Konfigurationen anzuzeigen, zu ändern, zu sichern und wiederherzustellen.
• Im Vergleich zu Smart Switches verfügen Enterprise Switches über mehr Funktionen, die angepasst oder optimiert werden können und im Allgemeinen teurer sind als Smart Switches.
• Unternehmens-Switches befinden sich normalerweise in Netzwerken mit einer größeren Anzahl von Switches und Verbindungen, in denen die zentrale Verwaltung eine erhebliche Einsparung an Verwaltungszeit und -aufwand bedeutet.
• Ein stapelbarer Switch ist eine Art von einem von Unternehmen verwalteten Switch.

Verkehrsüberwachung

• Es ist schwierig, Datenverkehr zu überwachen, der über einen Switch überbrückt wird, da nur der sendende und der empfangende Port den Datenverkehr sehen können.
• Zu den Methoden, die speziell entwickelt wurden, damit ein Netzwerkanalyst den Datenverkehr überwachen kann, gehören:

Port Mirroring

• Der Switch sendet eine Kopie der Netzwerkpakete an eine Überwachungsnetzwerkverbindung.

SMON (Switch MONitoring)

• Wird von RFC 2613 beschrieben und ist ein Protokoll zur Steuerung von Einrichtungen wie der Portspiegelung.

RMON (Remote MONitoring)

• Wurde von der IETF entwickelt, um die Überwachung und Protokollanalyse von LANs zu unterstützen.
• Die ursprüngliche Version (manchmal auch als RMON1 bezeichnet) konzentrierte sich auf Informationen zu OSI Layer 1 und Layer 2 in Ethernet- und Token Ring-Netzwerken.
• Es wurde um RMON2 erweitert, das Unterstützung für die Überwachung auf Netzwerk- und Anwendungsebene bietet, und um SMON, das Unterstützung für Switched Networks hinzufügt.
  • Es handelt sich um eine Industriestandardspezifikation, die einen Großteil der Funktionen bietet, die proprietäre Netzwerkanalysatoren bieten.
  • RMON-Agenten sind in viele High-End-Switches und -Router integriert.

sFlow (sampled Flow)

• Ist ein Industriestandard für den Paketexport auf Schicht 2 des OSI-Modells.
• Es bietet eine Möglichkeit zum Exportieren abgeschnittener Pakete zusammen mit Schnittstellenzählern zum Zweck der Netzwerküberwachung.
  • Die Pflege des Protokolls wird vom sFlow.org-Konsortium durchgeführt, der maßgeblichen Quelle für die sFlow-Protokollspezifikationen.
  • Die aktuelle Version von sFlow ist v5.

Sicherheit

• Beim klassischen Ethernet mit Thin- oder Thickwire genau so wie bei Netzen, die Hubs verwenden, war das Abhören des gesamten Netzwerkverkehrs noch vergleichsweise einfach.
• Switches galten zunächst als wesentlich sicherer.
• Es gibt jedoch Methoden, um auch in geswitchten Netzen den Datenverkehr anderer Leute mitzuschneiden, ohne dass der Switch kooperiert:

MAC-Flooding

• Der Speicherplatz, in dem sich der Switch die am jeweiligen Port hängenden MAC-Adressen merkt, ist begrenzt.
• Dies macht man sich beim MAC-Flooding zu Nutze, indem man den Switch mit gefälschten MAC-Adressen überlädt, bis dessen Speicher voll ist.
• In diesem Fall schaltet der Switch in einen Failopen-Modus, wobei er sich wieder wie ein Hub verhält und alle Frames an alle Ports weiterleitet.
  • Verschiedene Hersteller haben – wieder fast ausschließlich bei Switches der mittleren bis hohen Preisklasse – Schutzmaßnahmen gegen MAC-Flooding implementiert.
  • Als weitere Sicherheitsmaßnahme kann bei den meisten „Managed Switches“ für einen Port eine Liste mit zugelassenen Absender-MAC-Adressen angelegt werden.
  • Protokolldateneinheiten (hier: Frames) mit nicht zugelassener Absender-MAC-Adresse werden nicht weitergeleitet und können das Abschalten des betreffenden Ports bewirken (Port Security).

MAC-Spoofing

• Hier sendet der Angreifer Frames mit einer fremden MAC-Adresse als Absender.
• Dadurch wird deren Eintrag in der Source-Address-Table überschrieben, und der Switch sendet dann allen Datenverkehr zu dieser MAC an den Switchport des Angreifers.
• Abhilfe wie im obigen Fall durch feste Zuordnung der MACs zu den Switchports.

ARP-Spoofing

• Hierbei macht sich der Angreifer eine Schwäche im Design des ARP zu Nutze, welches zur Auflösung von IP-Adressen zu Ethernet-Adressen verwendet wird.
• Ein Rechner, der ein Frame via Ethernet versenden möchte, muss die Ziel-MAC-Adresse kennen.
• Diese wird mittels ARP erfragt (ARP-Request Broadcast).
• Antwortet der Angreifer nun mit seiner eigenen MAC-Adresse zur erfragten IP (nicht seiner eigenen IP-Adresse, daher die Bezeichnung Spoofing) und ist dabei schneller als der eigentliche Inhaber dieser Adresse, so wird das Opfer seine Frames an den Angreifer senden, welcher sie nun lesen und gegebenenfalls an die ursprüngliche Zielstation weiterleiten kann.
  • Hierbei handelt es sich nicht um einen Fehler des Switches.
  • Ein Layer-2-Switch kennt gar keine höheren Protokolle als Ethernet und kann seine Entscheidung zur Weiterleitung nur anhand der MAC-Adressen treffen.
  • Ein Layer-3-Switch muss sich, wenn er autokonfigurierend sein soll, auf die von ihm mitgelesenen ARP-Nachrichten verlassen und lernt daher auch die gefälschte Adresse, allerdings kann man einen „Managed Layer-3-Switch“ so konfigurieren, dass die Zuordnung von Switchport zu IP-Adresse fest und nicht mehr von ARP beeinflussbar ist.

Kontrollfragen

Was ist der entscheidende Unterschied zwischen einem Hub und einem Switch?

Ein Switch verhindert Datenkollisionen durch direkte Verbindungen zwischen den Stationen.

Was ist ein Multilayer Switching?

Multi-Layer-Switching bezieht sich auf jeden Switch, der Verkehr auf Schicht höher als Layer 2 weiterleitet. Ein Layer-3-Switch wird als Multilayer-Switch betrachtet, da er Frames auf Layer 2 und Pakete auf Layer 3 weiterleitet

Was ist ein VLAN?

Ein Switch kann mithilfe virtueller LANs, die als VLANs bezeichnet werden, logisch in separate Broadcast-Domänen unterteilt werden. Jedes VLAN repräsentiert unsere einzigartige Broadcast-Domain.

Warum brauchen wir einen Switch?

Um ein LAN zu erweitern, um mehrere Geräte in einem LAN zuzulassen

Was sind die Grundfunktionen eines Switch?

Weiterleiten eines Frames basierend auf der Ziel-MAC-Adresse, Aufbau eines schleifenfreien Layer-2-Netzwerks zur Bereitstellung eines redundanten Pfads.