Newsgroup: it.comp.os.linux.sys
Titolo: [OT] visto che si parla di switch, i miei 120 minuti di panico...

 
Ho una rete mediamnete complicata, la cuo ossatura ï¿œ fatta da procurve serie
28XX, e qualche 26XX.
Ho qualche vlan, in particolare una su cui ho piazzato una rete isolata, in
cui vivono entitï¿œ esterne alla mia azienda (in particolare, una scuola).
 
Giovedï¿œ la rete smette di funzionare.
La cosa carina ï¿œ che alcuni switch non rispondevano manco ai ping, ma altro
(a valle di questi) erano perfettamente accessibili.
Alla fine, con il buon vecchio metodo del isola-e-verifica, abbiamo
identificato prima uno switch periferico, poi una porta.
 
Entrati modello SWAT nella stanza, povere maestre, abbiamo scoperto che si
erano comprate uno switchetto 5 porte da pochi euro, e per disattenzione
avevano collegato (oltre che questo a cascata del mio switch), due porte
dello switch con un cavo.
 
Col senno di poi, effettivamente gli switch che non rispondevano manco ai
ping avevano la VLAN incriminata definita, mentre quelli che rispondevano
no.
 
Ora, sto revisionando tutte le conigurazioni, ma sinceramente mi pareva di
aver giï¿œ abilitato protezioni da 'arp storm'; in generale mi chiedevo se il
fatto che gli switch non rispodevano ai ping ï¿œ dovuto a semplice
''esaurimento delle risorse'', oppure se c'ï¿œ dell'altro.
Ovviamente l'IP non sta in quella VLAN.
 
 
Grazie.
 
-- 
  Io chiedo quando sara` che l'uomo potra` imparare
  a vivere senza ammazzare e il vento si posera`	(F. Guccini)

 ''esaurimento delle risorse'', oppure se c'ï¿œ dell'altro.
 
E' dovuto al fatto che solo sugli switch su cui la VLAN ï¿œ definita
veniva inoltrato il traffico generato dal loop. La mancata risposta non
ï¿œ causata da strani problemi, ma ï¿œ causata dal fatto che c'ï¿œ troppo
traffico e quindi quando l'ASIC non riesce piï¿œ a star dietro alla mole
di dati inizia a droppare frame.
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

 Ovviamente l'IP non sta in quella VLAN.
 
Verifica di aver abilitato spanning-tree su tutti gli switch, di default 
sulla maggior parte dei modelli HP ï¿œ disabilitato.
Mi pare il tipico caso di loop e relativi switch in palla proprio per 
assenza del protocollo
 
-- 
Bye
Gianfranco Bartolini
(gianfranco punto bartolini at tiscali punto it)

 assenza del protocollo
 
Il problema ï¿œ che, per quanto mi risulta, l'STP ï¿œ efficace se lo switch
rileva un loop tra due porte, non se vede arrivare una quantitï¿œ enorme
di traffico da una sola porta (da quanto ho capito, il loop iniziava e
terminava sullo switch da 4 soldi, ergo lo switch a monte non vede il
loop). L'unica salvezza in questi casi ï¿œ la protezione da broadcast
storm (et simila).
 
Enrico

 storm (et simila).
 
Avevo inteso che il loop fosse sull'HP... diversamente concordo in pieno
 
Aggiungo inoltre che mi sono capitati switch da diversi $$$$ che 
andavano in palla in modo simile quando il luser di turno gli collegava 
switch desktop cinese del menga con voltaggi sulle porte a pene di 
segugio... ergo la parte hardware andava in tilt totale. A quei livelli 
non c'ï¿œ config software che tenga, l'unica soluzione ï¿œ la soppressione 
pubblica del responsabile :)


 di traffico da una sola porta
 
Ma in questi casi, STP non dovrebbe segare ugualmente la porta?
Se hai un loop su uno switch non protetto da STP, in teoria, lo switch a monte (con STP attivo) si vede tornare la BPDU dalla stessa porta in cui l'ha inviata e la taglia, o sbaglio ? Ovviamente lo switch non protetto si stende ugualmente ma tutti gli altri no, nel tuo caso, solo lo switch delle maestre avrebbe messo di funzionare.
 
Se così non fosse, basterebbe un qualunque switch non-stp loopato per stendere l'intera rete anche con la presenza di stp su tutti gli altri apparati.


Non sbagli.
Regola vuole che tutte le porte non-trunking attive (salvo rare eccezioni 
e con le nuove ios manco quelle) siano in portfast bdpu guard.
Per l'RSTP tutte le edge port lo sono di default.
 
--
A presto
Vinc

 Per l'RSTP tutte le edge port lo sono di default.
 
Purtroppo su HP di default sono disabilitati sia spanning-tree che 
bpdu-protection, per cui � facile cadere nella trappola se non ci si 
mette prima le mani...


 bpdu-protection
 
Curiosa questa scelta. Mi chiedo quale possa essere il motivo per tenere disattivato l'STP di default. Se c'è, male non fa. Se manca, invece, possono esserci problemi.
 
Sui cisco mi pare sia attivo di default.

 Sui cisco mi pare sia attivo di default.
 
Mi pare proprio di si, almeno per i modelli "comuni"


 dello switch con un cavo.
 
Un classico. E' capitato un paio di mesi fa a un cliente.
Tutte le porte non censite e autorizzate in shut down amministrativo e passa la paura.

 Mi pare il tipico caso di loop e relativi switch in palla proprio per assenza del protocollo
 
Può non bastare, garantito. :)

 Tutte le porte non censite e autorizzate in shut down amministrativo e passa la paura.
 
e se staccano il cavo di un pc da una porta censita e autorizzata e ci
attaccano a valle lo switch da 5 euro a cui a sua volta ci attaccano
il pc? :^)
 
bye!


"WILMAAAA! LA CLAVAAAA!"
 
Leonardo
 
-- 
Were I Glenallan's Earl this tide, and were you Roland Cheyne,
My spur would be in my horse's side, the bridle upon his mane.
If they hae twenty thousand blades and we twice ten times ten,
Yet they hae but their tartan plaids, and we're mail-clad men.


1) portsecurity
2) bpduguard
 
Se lo switch abusivo cerca di parlare STP, il tuo switch mette
immediatamente la porta in disable come effetto della 2).
Se invece � uno switch "stupido" e non si immischia in STP:
 
a) come il numero di device/mac address sulla porta supera il limite che
hai impostato in port-security, la porta va in disable
b) se anche lo switch non ospita "troppe macchine", appena qualcuno
dovesse attaccare un secondo uplink i tuoi switch vedono arrivare dei
BPDU (inoltrati bovinamente dallo switch stupido) la porta va in disable
 
Se poi ancora non dovesse bastare, 802.1x e via andare...
 


switchport port-security maximum 1
switchport port-security violation shutdown
 
Alla seconda cosa che attaccano va giu la porta

 Se poi ancora non dovesse bastare, 802.1x e via andare...
 
Se poi non vuoi scomodare radius 
.1ZAP 
http://etherkiller.org/img/etherkiller.jpg
 
:p
 
--
A presto
Vinc

 Per l'RSTP tutte le edge port lo sono di default.
 
Cisco-slang? ;-)
 
Innazitutto grazie a tutti. Metto qui il grosso delle considerazioni, visto
che mi avete stimolato parecchio.
 
Innanzitutto effettivamente non ho abilitato spanning-tree nelle sue varie
''salse'' (MSTP, mi dice la documentazione HP) perchï¿œ la topologia di rete ï¿œ
abbastanza semplice (multistellata), gli armadi sono in posti controllati, e
quindi l'unico che puï¿œ fare cavolate sono io. ;-)
Alcuni di questi tratti sono gestiti da dei trunk, ma mi sono accordo in
fase di definizione delle configurazione che alla definizione dei trunk
veniva automaticamente inserito ('spanning-tree Trk1 priority 4'), quindi
non me ne sono preoccupato.
 
Ora andando a verificare nel manuale, voce 'loop protection', vedo che
indica chiaramente che STP ï¿œ *la* soluzione ai loop, a meno di:
 - porte con autenticazione;
 - porte connesse a ''unmanaged devices'', o dispostivi che segano il
   traffico STP.
 
Quindi, a rigor di logica, ï¿œ bene comunque abilitare entrambi (anche se io
continuo a considerare l'abilitazionedi STP generalmente nella mia rete come
inutile).
 
 
Corretto? Grazie.
 
-- 
  e quanti pesci nelle orecchie adesso ho,
  contarli forse si, levarli piu' non so.		(R. Vecchioni)

 di dati inizia a droppare frame.
 
Si, esattamente quello che intendevo dire per ''esaurimento delle risorse'':
lo switch non riusciva piï¿œ a stargli dietro...
 
 
Grazie.
 
-- 
  The Twentieth Century was shaped largely by three trends: the growth of
  democracy, the growth of corporate power, and the growth of corporate
  propaganda as a means of protecting corporate power against democracy.
							(Alex Carey)

 Sui cisco mi pare sia attivo di default.
 
A quanto ho capito io, il problema ï¿œ dovuto all'inevitabile delay che hai
quanto connetti una porta, e che probabilmente manda in confusione qualche
sysadmin della domanica.
 
Insomma, il sysadmin serio (quindi non io ;) sa di che si tratta e come
gestirlo, per gli altri meglio non fare troppa confusione. ;-)
 
 
[ Oh, non sto difendendo HP... ci mancherebbe... ;))) ]
 
-- 
  Mio figlio Christian diceva che la morte doveva essere qualcosa di
  bello, visto che nessuno ritornava.		(Yolande Mukagasana)

 Alla seconda cosa che attaccano va giu la porta
 
...purtroppo non posso farlo, o almeno non posso farlo dove servirebbe.
 
Buna idea, comunque, grazie.
 
-- 
  chi si convertiva nel novanta
  ne era dispensato nel novantuno			(F. De Andre`)