ICND2.Português.PDF.OCR

.', : 1-1-1-1-1

. , CISCO w

CCNAICND2 Guia Oficial de Certificação do Exame Segunda Edição -/ O-omine os tópicos dos exames ICN02 640-816 e CCNA 640-802 com este guia oficial de estudos -/ Teste seu conhecimento em diversas questões -/ Revise conceitos-chave com a Preparação para o Exame

ciscopress.com

Wendell Odom, CCIE®N° 1624 '~. -

•• •• •• •• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •• e••

.' I

~

•• •• •• •

•• •• •• •• •• •• •• •• •• •• • '.•• •• •• •• •• •• • ••

CCNAICND2 Guia Oficial de Certificação do Exame Segunda Edição

Wendell Odom, CCIE N°. 1624 ii

Rio de Janeiro.2008

CC NA ICND2 Guia Oficial de Certificação do Exame, Segunda Edição Do original CCNA ICND2 Official Exam Certification Guide, Second Editon Copyright © 2008 da Editora Alta Books Ltda.

Authorized translation trom English Language edition, entitled CCNA ICND2 Official Exam Certification Guide, Second Editon, by Wendell Odom, published by Cisco Systems, Inc. Copyright © 2008 by Cisco Systems, Inc. Portuguese Language edition published by Editora Alta Books, Copyright © 2008 by Editora Alta Books. Todos os direitos reservados e protegidos pela Lei 5988 de 14/12f73. Nenhuma parte deste livro, sem autorização prévia por escrito da editora, poderá ser reproduzida ou transmitida sejam quais forem os meios empregados: eletrônico, mecânico, fotográfico, gravação ou quaisquer outros. Todo o esforço foi feito para fornecer a mais completa e adequada informação, contudo a editora e o(s) autor(es) não assumem responsabilidade pelos resultados e usos da informação fornecida. Recomendamos aos leitores testar a informação, bem como tomar todos os cu idados necessários (como o backup), antes da efetiva utilização. Este livro não contém CD-ROM , disquete ou qualquer outra mídia.

Erratas e atualizações: Sempre nos esforçamos para entregar a você, leitor, um livro livre de erros técnicos ou de conteúdo; porém, nem sempre isso é conseguido, seja por motivo de alteração de software, interpretação ou mesmo quando alguns deslizes constam na versão original de alguns livros que traduzimos. Sendo assim, criamos em nosso site, www.altabooks.com.br. a seção Erratas, onde relataremos, com a devida correção, qualquer erro encontrado em nossos livros. Avisos e Renúncia de Direitos: Este livro é vendido como está, sem garantia de qualquer tipo, seja expressa ou impl ícita. Marcas Registradas: Todos os termos mencionados e reconhecidos como Marca Registrada e/ou comercial são de responsabilidade de seus proprietários. A Editora informa não estar associada a nenhum produto e/ou fomecedor apresentado no livro. No decorrer da obra, imagens, nomes de produtos e fabricantes podem ter sido utilizados, e desde já a Editora informa que o uso é apenas ilustrativo e/ou educativo, não visando ao lucro, favorecimento ou desmerecimento do produto/ fabricante. Produção Editorial: Editora Alta Books Coordenação Editorial: Fernanda Silveira Tradução: Tibério Novais e Lúcia Kinoshita Revisão: Carolina Menegassi Revisão Técnica: Miguel Molina Diagramação: BJ Carvalho Impresso no Brasil O código de propriedade intelectual de 1Q de Julho de 1992 proíbe expressamente o uso coletivo sem autorização dos detentores do direito autoral da obra, bem como a cópia ilegal do original. Esta prática generalizada nos estabelecimentos de ensino, provoca uma brutal baixa nas vendas dos livros a ponto de impossibilitar os autores de criarem novas obras.

Rua Viúva Cláudio, 291 - Jacaré Rio de Janeiro - RJ . CEP: 20970-031 Tel: 21 3278-8069/ Fax: 3277-1253 www.altabooks.com .br e-mail: [email protected]

•• •

•• •• •• •• •• •

•• •

•• •• •• •• ••

•• •• •

•• •• •• •• •• •• •

•• •• •• •

•• •• •• •• •• •• •• • '.•• •• •• •• •• •• •• •• •• •

'.••

Sobre o autor Wendell Odom, CCIE No 6614, já atua na indústria de comunicação em rede desde 1981. Atualmente, ensina as disciplinas de QoS, MPLS e CCNA para a Skyline Advanced Technology Services (http://www.skyline-ats.com). Wendell também trabalha como engenheiro de rede, consultor, engenheiro de sistemas, instrutor e desenvolvedor de cursos. É autor de todas as edições anteriores do CCNA Guia de Certificação do Exame, bem como do Guia de Cisco QoS Exam Certification Guide, Second Edition, Computer Networking First-Step, CCIE Routing and Switching Official Exam Certification Guide, Second Edition, e CCNA Video Mentor, todos da Cisco Press.

VI

Sobre os revisores técnicos Teri Cook (CCSI, CCDP, CCNP, CCDA, CCNA, MCT e MCSE 2000/2003: Security) tem mais de 10 anos de experiência na indústria da TI, tendo trabalhado com diferentes tipos de organizações nos setores privados e do Departamento de Defesa, oferecendo conhecimento técnico avançado em segurança e rede no projeto e implementação de ambientes computacionais complexos. Desde a obtenção de seus certificados, Teri tem se comprometido, como instrutora, a levar treinamentos de qualidade em TI a profissionais da área. Como excelente instrutora que é, utiliza a experiência da vida real para apresentar tecnologias complexas de comunicação em rede. Como instrutora de TI, Teri ministra cursos da Cisco há mais de cinco anos.

Stephen Kalman é instrutor em segurança de dados e autor (ou editor técnico) de mais de 20 livros, cursos e títulos da CBT. Seu mais recente livro é Web Security Field Guide, publicado pela Cisco Press. Além dessas responsabilidades, ele administra uma empresa de consultoria, a Esquire Micro Consultants, especializada na avaliação e resolução de problemas de segurança em rede. Kalman possui os certificados SSCP, CISSP, ISSMP, CEH, CHFI, CCNA, CCSA (Checkpoint), A+, Network+, and Security+ e é membro da Ordem dos Advogados do Estado de Nova York.

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• •• •• •

•• •• •• •• •• •• ••

•• •

•• •• •• •• •

••

•• •

VII

Dedicatórias À minha maravilhosa, amável e dedicada esposa. Muito obrigado por todo seu apoio, incentivo, amor e respeito.

VIII

Agradecimentos A equipe que ajudou a produzir este livro foi simplesmente bárbara. Todos que vieram a dar seu toque ao livro contribuíram para sua melhoria, e, de modo especial, toda a equipe foi de grande ajuda na detecção de erros que sempre fazem parte de um manuscrito. Teri e Steve realizaram excelentes trabalhos como editores técnicos. A capacidade de Teri de ver cada frase no contexto de um capítulo inteiro, ou de um livro inteiro, é esplêndida, ajudando a detectar coisas que nenhuma outra pessoa conseguiria perceber. Steve, como sempre, realizou seu excelente trabalho - algo como 5 ou 6 livros meus nos quais ele participou -, e, como de costume, acabo aprendendo muito ao ler os comentários feitos por Steve. A profundidade das críticas sobre este livro foi muito melhor que qualquer outro livro meu graças a Teri eSteve; muito obrigado! Drew Cupp teve a "oportunidade" de desenvolver um de meus livros pela primeira vez em muito tempo. As visões e opiniões de Drew funcionaram maravilhosamente, e este novo par de olhos sobre os materiais copiados da edição anterior serviu para fortalecer ainda mais essas partes. Tudo isso em meio aos malabarismos feitos dentro de um prazo apertado - obrigado, Drew, pelo excelente trabalho! A maravilhosa, e geralmente oculta, equipe de produção também desempenhou um esplêndido trabalho. Ao perceber que tinha retrabalhado algo, eu imediatamente pensava "Por que não escrevi isso antes?", o que me fez valorizar a equipe que temos na Cisco Press. O processo de edição da cópia final, revisão de figuras e de páginas exigiu grande esforço - principalmente com relação às iniciativas adicionais de qualidade que foram implementadas. Muito obrigado a todos vocês! Brett Bartow novamente foi o editor executivo do livro, como em quase todos os livros que ajudei a escrever. Brett, como de costume, realizou seu excelente trabalho, com muita paciência, sendo meu defensor de várias maneiras. Brett, muito obrigado por todas as coisas que fez, em todos os níveis, para nos ajudar a obter o sucesso juntos. Além disso, há outras pessoas que não trabalharam diretamente no livro, mas que também colaboraram para sua execução. Obrigado a Frank Knox pelas discussões sobre os exames, sobre os motivos pelos quais eles são tão difíceis e como lidar com a resolução de problemas. Obrigado a Rus Healy pela ajuda com a parte sobre "wireless" (sem fio). Obrigado a Mikes, da Skyline, por fazer com que eu conseguisse cumprir o meu prazo para finalizar este livro (e o livro ICNDl). Meus agradecimentos também às equipes de cursos e de exames da Cisco pela excelente comunicação e interação sobre as alterações feitas nos cursos e exames. E, como sempre, minha gratidão especial ao meu Senhor e Salvador Jesus Cristo - obrigado por me ajudar a regozijar-me em TI até mesmo no momento em que fazia a revisão final de 1400 páginas de manuscrito em apenas algumas semanas!

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •

• •• •• •• •• •• •• •

•• •• •• •

•• •• •• •• •• •• ••

•• •• •• •• •

IX

Resumo do conteúdo Prefácio Introdução

xxiii xxiv

Parte I: LAN Switching Capítulo 1 LANs virtuais Capítulo 2 Protocolo Spanning Tree Capítulo 3 Resolvendo problemas de LAN Switching

5 43 81

Parte 11: Roteamento IP Capítulo 4 Roteamento IP: rotas estáticas e conectadas Capítulo 5 VLSM e sumarização de rotas Capítulo 6 Listas de controle de acesso IP Capítulo 7 Resolvendo problemas de roteamento IP

117 145 165 195

Parte 111: Configuração e resolução de problemas relativos a protocolos de roteamento Capítulo Capítulo Capítulo Capítulo

8 Teoria dos protocolos de roteamento 9 OSPF 10 EIGRP 11 Resolvendo problemas em protocolos de roteamento

221 249 273 295

Parte IV: Redes de longa distância (WAN) Capítulo Capítulo Capítulo Capítulo

12 WANs ponto-a-ponto 13 Conceitos de Frame Relay 14 Configuração e resolução de problemas de Frame Relay 15 Redes privadas virtuais

315 333 351 379

Parte V: Escalando o espaço de endereçamento IP Capítulo 16 Tradução de endereços de rede Capítulo 171P versão 6

393 415

Parte VI: Preparação final Capítulo 18 Preparação final

447

Parte VII: Apêndices Apêndice A Respostas para os questionários "Eu já conheço isto?" Apêndice B Tabela de conversão de decimal para binário Apêndice C Atualizações no exame ICND2 Versão 1.0 Glossário Indice Remissivo

Parte VII: (Disponível no website da editora: www.altabooks.com.br) Apêndice D Subnetting Pratice (Disponível em inglês) Apêndice E Subnetting Reference Pages (Disponível em inglês) Apêndice F Additional Scenarios (Disponível em inglês) Apêndice G Sub-redes: 25 perguntas práticas (Disponível em português) Apêndice H Endereçamento e Sub-redes IP (Disponível em português) Apêndice I Configuração de WAN (Disponível em português) Apêndice J Tabelas de Memória (Disponível em português) Apêndice K Resposta das Tabelas de Memória (Disponível em português) Apêndice L ICND2 Open-Ended Question (Disponível em inglês)

455 465 469 471 484

x

Conteúdo Prefácio ................................................................................................................................... xxiii Introdução ............................................................................................................................. xxiv

Parte I: LAN Switching Capítulo 1 LANs virtuais ............................................................................................. 5 " co nheço IstO. . ?" .. .......................... ..................................................................................................... .. 5 . ,. "Eu Ja Quesllonano Tópicos fundamentais .................................................................................................................................................... 7 . Conceitos de LANs virtuais ............................................................................................................................................... 8 Trunking com ISL e 802.1Q ........................................................................................... ................................................ 9 ISL ...................................................................................................................................................................... 10 IEEE 802.1Q ...................................................................................................................................................... 10 Comparação entre ISL e 802.1Q ........................................... ......................................................... .................... 11 Sub-redes IP e VLANs ...................................................................................................................................... 12 VLAN Trunking Protocol (VTP) (Protocolo de Trunking de VLAN) ............................................................... 12 Operação VTP normal utilizando os modos VTP servidor e cliente .................................................................. 13 Três requisitos para que o VTP opere entre dois switches ................................................................................ 14 Evitando o VTP utilizando o modo VTP transparente ........................................................................................ 15 Armazenando a configuração da VLAN ........................................................................................................... 15 Versões VTP ............................................................................................................................................................. 16 VTP Pruning .............................................................................................................................................................. 16 Resumo dos recursos VTP ....................................................................................................................................... 17 Configuração e verificação de VLANs e Trunking de VLAN ............................................................................... ........ 17 Criando VLANs e atribuindo VLANs de acesso a uma interface ................... .... ....................................................... 18 Exemplo 1 de configuração de VLANs: configuração completa de VLANs ........................................................... 18 Exemplo 2 de configuração de VLANs: configuração resumida de VLANs ........................................................... 20 Configuração do Trunking de VLAN .......... .......... .................................................................................................... 21 Controlando quais VLANs podem ser aceitas em um trunk .................................................................................... 25 Trunking com Telefones Cisco IP ............................................................................................................................. 26 Protegendo VLANs e o Trunking ............................................................................................................................. 27 Configuração e verificação do VTP ................................................................................................................................ 28 Usando VTP: configurando servidores e clientes ........................................................................................................ 28 Cuidados ao sair da configuração VTP padrão ...... ...................................................................................................... 31 Evitando o VTP: configurando o modo transparente ............................ ....................................................................... 32 Resolvendo problemas de VTP .................................................................................................................................... 32 Determinando por que o VTP não está funcionando atualmente .............................................................................. 33 Problemas ao conectar novos switches e criar trunks .............................................................................................. 37 Evitando problemas de VTP através das práticas ideais .......................................................................................... 38 Atividade de preparação para o exame ..................................................................................................................... 39 Revise todos os tópicos-chave .............. ........................................................................................................................... 39 Complete as tabelas e listas usando a memória ............................................................................................................... 40 Definições de termos-chave ............................................................................................................................................ 40 Referência aos comandos para verificar sua memória ................................................................................................... 40

Capítulo 2 Protocolo Spanning Tree (Spanning Tree Protocol) .............................. 43 Questionário "Eu já conheço isto?" ................................................................................................................................. 43

Tópicos fundamentais .................................................................................................................................................. 45

• •• •• •• •• •• •• •• •• •• •• •• •• •• ••• •• •• •• •• •• •• ••

• •• •

•• •• •• •

•• •• •• •• •• •• •• •• •• •• •• ••

•• •• •• •• •

XI Protocolo Spanning Tree (IEEE 802.1d) ... ............ ........ ........ .. ... .... ........... ................ ....... ........ ........ .......... ...................... 46 A necessidade de Spanning Tree .................... .............. ...... ........... ...... ..... ......... ........................ ... ........ ........................ 46 A função do IEEE 802.1d Spanning Tree ... ....... .... .... ........ ...................... ..................... .... ......................... ......... ... ...... 47 Como funciona o Spanning Tree ................................ ........ .......... .............. ................................................. ..... ............ 48 Bridge ID STP e Helio BPDU ................... ........ ...... ......... ... .......... .. ........ ........ ... ..... .......... ...... .......... ....................... 49 Escolhendo o switch raiz ....... .......... ........ .................................................................................... .................... .......... 50 Escolhendo a porta raiz de cada switch .. ........ .... ...... ............................................ .................... ............ .................... 51 Escolhendo a porta designada em cada segmento de LAN ...................................................................................... 52 Reagindo a mudanças na rede .................... ........ ........ ...... ..... .... ...... ................... ..... ..... .... ........ ................... ....... ...... 53 Recursos STP opcionais ............................................................................................................................................ 55 EtherChannel .................................... .......................... .... ..... .. .. ........... .......... ......... ........ .... ........................................ 55 PortFast .................. ........................................ ....... ... .... ........... .... ............ ....... ...... ....... ................. .... ........ ......... ........ 56 Segurança do STP .. ....... ................ .................... ....... ................. ........ .... ... ... ...... ...... ..... ... ... .. ..... ............ .................... 56 Rapid STP (IEEE 802.1w) .................... .... .... ............ .... ........ ..... .... ..................... ...... ......... ...... .... .... ............... ......... ........ 57 Tipos de links e edges RSTP ..................................... .............................. .... .... ..... ... ..... .... .............. .......... ... ....... .... .... .. 57 Estados das portas RSTP .. .... .... ..... ................... .... .. .. ... ...... ............. .... ... .......... ....... ..... ......... .......... ....................... .... .. 58 Funções das portas RSTP ...... .. .. ..................................... ........ .. ......... ......... .... ......... .... .... ............................................ 59 Convergência do RSTP .... ................................................. .... ................. ............ ...... ... ............... .............. ... ........ .. ... .. .. 60 Comportamento do tipo edge e PortFast ................................................................................................................... 60 Tipo link compartilhado .. ................................ ........ ............. ...................... ..... ... .... ... .......... ...... ...... .......... ... ..... .......... 60 Tipo link ponto-a-ponto .......... ... ..... ........ ... ..... .... .... ....... .... .... .. ........ ......................... ........... ........ ...... ....... .. ........... ..... 60 Exemplo de convergência RSTP .... ........ ................................................ ................. ... ..... ..... ..... ......... ....................... 61 Configuração e verificação do STP ................................................ .......... ............. ...... ... ....... ................... ......... .......... .... 63 Múltiplas instâncias do STP ..... .......... ...... ..................... ............... .... .... ...................... ................. ......................... ........ 63 Opções de configuração que influenciam a topologia do Spanning Tree ............... .... ......................... ..... .................... 64 Extensão do bridge ID e do System ID .................................................................................................................... 64 Custos "per-VLAN" das portas ... ..... ....... .... .... ...... ................... .... ....... ....................................... ....... ............ ..... ...... 65 Resumo das opções de configuração do STP ................ ... ..... .......................... ....... ........ ........ .... ........ ........... ..... .... .. 65 Verificando a operação padrão do STP .......... .......... ................................................................................................... 65 Configurando os custos das portas do STP e a prioridade do switch .. ............. .......... ...... ......... ............... .... ..... ........... 67 Configurando o PortFast e o BPDU Guard ..... ............ ....... ....... ........ ...... ... ........ ........................ ........ ................. ........ 69 Configurando o EtherChannel ......... ... .... .... ................ ................. .... ....... .... ...................... ........ .... ...... ...... .................... 69 Configurando o RSTP ........... ........ ............... .... ..... .... ...................... ...... ..... ...................... ....... ......... ................... ......... 70 Resolvendo problemas do STP ... .......... ............................... ... ... ............ ....... ...... ..... ... ........ ................... ..... ............. ... ..... 71 Determinando o switch raiz ........ ............................ ......... ........... ............. ........... ...... ... ................. .... ... ...... ......... ......... . 71 Determinando a porta de raiz em switches não-raiz ... .......... ............. .... .. ... .................... ............. ...................... ... ....... 72 Determinando a porta designada em cada segmento de LAN ................ ...... ...... ... ........... ........... .... .... .... ..... .............. 74 Convergência do STP .... ....... ........................... .... ............ ................ ........... .................... .... ......... .................... ... ......... 75 Atividade de preparação para o exame ..................................................................................................................... 76 Revise todos os tópicos-chave ...... ......... ..................... ......... ... ... ... ........... ............. ................ ... ............ ............... .... ..... .... 75 Complete as tabelas e listas usando a memória ...................... ......... .... ... ...... ....... ...... ....... ................... .............. .............. 76 Definições de termos-chave ...... ...... ........ ...... .... ........ .... ... ........... ............. ...... ... ............... .......... ........ ...... ....... ................ 76 Referência aos comandos para verificar sua memória ......... ......... ........ ........... ....... ...... ......... ........... ..................... ........ 77

Capítulo 3 Resolvendo Problemas de Lan Switching ............................................. 81 . , co nh eço IstO . ?" . ,. "Eu Ja . . ........ ........... ............. ................. ..... .............. ... ........ ................... ............ .... ... ...... ... .. 81 Queshonano

Tópicos fundamentais .................................................................................................................................................. 81 Metodologias generalizadas para resolução de problemas .............. ... .... .............. ... .................. .................. ..... ..... .......... 81 Analisando e prevendo a operação normal da rede ........ ............. ... ....... ............ .. ..... .......... ...... ... ............ ......... ........... 82 Análise do plano de dados ... ................... ....... ................ ..... ..... ......... ...... .. ......... ...... ....... ........... ........ ................. .. ..... 83 Análise do plano de controle ... ....... .......... ....... ..... ........ ..... .. ..... ..... .............. ............ ........ ........... .. ...... .................. .. .. . 84 Prevendo operações normais: resumo do processo ....... ......... ..... ........ .... ............. ....... ...... ............ .... ... ............. ....... 84

XII Isolamento do problema ............................................................................................................................................... 84 Análise da causa geradora ........................................................................................................................................... 85 O mundo real versus os exames ........................................................................................................................... ....... 86 Resolvendo problemas do plano de dados de LAN Switching ........................................................................................ 86 Visão geral do processo normal de encaminhamento dos switches ............................................................................. 86 Passo 1: ConfIrme os diagramas de rede utilizando CDP ............................................................................................ 88 Passo 2 : Isole os problemas de interface ............................................................................................................. ....... 89 Códigos de status de interfaces e razões para os estados de não-funcionamento .................................................... 89 Estado notconnect e pinagem do cabeamento .......................................................................................................... 90 Questões sobre a velocidade da interface e do duplex ............................................................................................. 91 Passo 3: Isole problemas de fIltragem e de segurança de portas ................................................................................. 94 Passo 4 : Isole problemas de VLANS e de trunking .................................................................................................... 97 Assegurando que as interfaces de acesso corretas estejam nas VLANs corretas ..................................................... 97 VLANs de acesso não definidas ou ativas ............................................................................................................... 98 IdentifIque trunks e VLANs encaminhadas naqueles trunks .................................................................................... 98 Exemplo: resolvendo problemas do plano de dados ..................................................................................................... 99 Passo 1: verifIque a exatidão do diagrama utilizando o CDP ..................................................................................... 100 Passo 2: verifIque a existência de problemas de interfaces ....................................................................................... 102 Passo 3: verifIque a existência de problemas de segurança de portas ....................................................................... 103 Passo 4: verifIque a existência de problemas de VLANs e de trunks de VLANS ................................................... 105 Prevendo a operação normal do plano de dados do LAN Switching ............................................................................ 107 Broadcast de PC1 na VLAN 1 .................................................................................................................................. 107 Trajeto de encaminhamento: unicast de RI para PC1 ............................................................................................... 110 Atividade de preparação para o exame ................................................................................................................... 112 Revise todos os tópicos-chave ....................................................................................................................................... 112 Complete as tabelas e listas usando a memória .................................................................... ....... .................................. 113 Tópicos publicados do exame Cisco ICND2* ............................................................................................................ 114

Parte 11: Roteamento IP

Capítulo 4 Roteamento IP: rotas estáticas e diretamente conectadas ................ 117 ., cooheço IstO. . ?" . ............................................................................................................................. . 117 . ,. "Eu Ja QuestIonano Tópicos fundamentais ................................................................................................................................................ 119 Roteamento e endereçamento IP .................................................................................................................................. 119 Roteamento IP ........................................................................................................................................................... 119 Endereçamento IP e criação de sub-redes ................................................................................................................. 122 Encaminhamento IP através da combinação com a rota mais específIca ............................................................... 124 DNS, DHCP, ARP e ICMP ....................................................................................................................................... 125 Fragmentação e MTU ................................................................................................................................................ 127 Endereçamento IP secundário .................................................................................................................................... 128 Dando suporte a rotas conectadas à sub-rede zero ................................................................................................... 129 ConfIguração ISL e 802.1Q em roteadores ............................................................................................................... 130 Rotas estáticas ........................................................................................................................................................... 132 ConfIgurando rotas estáticas ................................................................................................................................... 133 Comando ping estendido .......................................................................................................................................... 134 Rotas estáticas padrão ................................................................................................................................................... 135 Rotas padrão utilizando o comando ip route ............................................................................................................... 136 Rotas padrão utilizando o comando ip default-network ........................................................................................... 137 Resumo sobre rotas padrão ........................................................................................................................................ 138 Roteamento classful e classless ............................................................................................................................ ..... 138 Resumo do uso dos termos classless e classful ...................................................................................................... 138 Comparação entre roteamento classless e classful ............................................................................................ ..... 139

• •• •• •• •• •• ••

•• ••

•• •• •• •• •• ••• •• •• •• •• •• •• ••

• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •

~ .

XIII Atividade de preparação para o exame ................................................................................................................... Revise todos os tópicos-chave ....................................................................................................................................... Complete as tabelas e listas usando a memória ............................................................................................................. Definições de termos-chave ........................................................ .................................................................................. Referência aos comandos para verificar sua memória .................................................................................................

140 140 141 141 141

Capítulo 5 VLSM e sumarização de rotas ............................................................. 145 . , . "Eu Ja . , conheço IstO. . ?" .............................................................................................................................. . 145 Queshonano Tópicos fundamentais ................................................................................................................................................ 146 VLSM ........................................................................................................................................................................ 147 Protocolos de roteamento classless e classful ............................................................................................................ 148 Sub-redes VLSM sobrepostas ................................................................................................................................... 148 Projetando um esquema de sub-redes utilizando VLSM ............................................................................................ 149 Acrescentando uma nova sub-rede a um projeto existente ....................................................................................... 151 Configuração do VLSM ............................................................................................ ................................................. 152 Sumarização manual de rotas ........................................................................................................................................ 152 Conceitos de sumarização de rotas ............................................................................................................................ 153 Estratégias de sumarização de rotas ................................................................. ......................................................... 155 Exemplo de "melhor" sumarização em Seville ........................................................................................................ 156 Exemplo de "melhor" sumarização em Yosemite .................................................................................................... 157 Sumarização automática e redes classful não-contíguas ............................................................................................... 157 Exemplo de sumarização automática ................................................. ........................................................................ 158 Redes classful não-contíguas ..................................................................................................................................... 159 Configuração e suporte à sumarização automática .................................................................................................... 160 Atividade de preparação para o exame ................................................................................................................... 161 Revise todos os tópicos-chave ............................................................... ..................... ................................................... 161 Complete as tabelas e listas usando a memória ............................................................................................................. 161 Definições de termos-chave .......................................................................................................................................... 161 Leia os cenários do Apêndice F ...................................................................................................... ............................... 162 Referência aos comandos para verificar sua memória ................................................................................................. 162

Capítulo 6 Listas e controle de acesso IP ............................................................ 165 . , . "Eu Ja . , conheço IstO . ?. " .............................................................................................................................. . 165 Queshonano Tópicos fundamentais ................................................................................................................................................ 167 Lista de controle de acesso IP padrão ........................................................................................................................... 168 Conceitos das ACLs IP padrão ..................................................................................................................................... 168 Máscaras curinga .......................................................................................................................................................... 170 Uma alternativa mais rápida para interpretar máscaras curinga ................................................................................... 171 Configuração da lista de acesso IP padrão .................................................................................................................... 172 ACL IP padrão: Exemplo 1 ............................................................................................................................................ 173 ACL IP padrão: Exemplo 2 ............................................................................................................................................ 174 Lista de controle de acesso IP estendidas .................................................................. ................................................. .. 175 Conceitos das ACLs IP estendidas ................................................................................................................................ 176 Combinando os números das portas TCP e UDP ............................................................................. ............................ 177 Configuração de ACLs IP estendidas ............................................................................................................................ 179 Listas de acesso IP estendidas: Exemplo 1 ................................................................................................................... 180 Listas de acesso IP estendidas: Exemplo 2 ................................................................................................................... 181 Avanços no gerenciamento da configuração de ACLs ................................................................................................. 182 Listas de acesso IP nomeadas ....................................................................................................................................... 182 Editando ACLs usando números de sequência .............................................................................................................. 184

XIV Tópicos variados sobre ACLs ........................................................................................................................................ 186 Controlando o acesso à Telnet e SSH com ACLs ......................................................................................................... 186 Considerações sobre a implementação de uma ACL .................................................................................................... 187 Listas de controle de acesso reflexivas ......................................................................................................................... 188 ACLs dinâmicas ......................................................................................................................................................... 189 ACLs baseadas em tempo ......................................................................................................................................... 190 Atividade de preparação para o exame ................................................................................................................... 190 Revise todos os tópicos-chave ......................................................................... .............................................................. 190 Complete as tabelas e listas usando a memória ............................................................................................................. 191 Leia os cenários do Apêndice F ..................................................................................................................................... 191 DefInições de termos-chave .......................................................................................................................................... 191 Referência aos comandos para verifIcar sua memória ................................................................................................. 191

Capítulo 7 Resolvendo problemas de roteamento IP .......................................... 195 . , co nh eço IstO. . ?" .............................................................................................................................. . 195 . , . "Eu Ja Questlonano Tópicos fundamentais ................................................................................................................................................ 195 Os comandos ping e traceroute ..................................................................................................................................... 195 ICMP (Internet Control Message Protocol, ou Protocolo de Mensagem de Controle da Internet) ........................ 196 O comando ping e as mensagens Beho Request e Beho Reply do ICMP .............................................................. 196 A mensagem ICMP de Destino Inalcançável ......................................................................................................... 196 A mensagem ICMP de Redirecionar ...................................................................................................................... 198 A mensagem ICMP de Tempo Excedido ............................................................................ .................................... 199 O comando traceroute ................................................................................................................................................... 200 Resolvendo problemas relativos ao processo de encaminhamento de pacotes ............................................................. 201 Isolando problemas de roteamento IP relacionados a hosts ....................................................................................... 201 Isolando problemas de roteamento IP relacionados a roteadores .............................................................................. 203 Resolução de problemas: Cenário 1: Problema relativo à rota avante .................................................................... 204 Resolução de problemas: Cenário 2: Problema relativo à rota inversa ................................................................... 206 Processo alternativo de isolamento de problemas para os Passos 3, 4 e 5 ............................................................. 208 Ferramentas e dicas para resolução de problemas ........................................................................................................ 208 Ferramentas de roteamento de hosts ......................................................................................................................... 208 Dicas para resolução de problemas relacionados a hosts ....................................................................................... 208 Suporte IP a switches ........................................................ ...................................................................................... 209 Referência ao show ip route ................................................... ................................................................................... 210 Status da interface ......................... ............................................................................................................................. 211 Questões relativas ao VLSM ..................................................................................................................................... 211 Reconhecendo quando o VLSM é utilizado ............................................................................................................ 211 ConfIgurando sub-redes VLSM sobrepostas .......................................................................................................... 212 Sintomas de sub-redes sobrepostas ......................................................................................................................... 213 Resumo para resolução de problemas relativos ao VLSM ..................................................................................... 214 Redes não-contíguas e sumarização automática ........................................................................................................ 214 Dicas para resolução de problemas de listas de controle de acesso .......................................................................... 215 Atividade de preparação para o exame ................................................................................................................... 217 Revise todos os tópicos-chave ... ....................................................................... ............................................................. 217 Complete as tabelas e listas usando a memória ............................................................................................................. 217 DefInições de termos-chave .......................................................................................................................................... 217 Tópicos publicados do exame Cisco ICND2* .......................... ..................................................................................... 218

• •• •• •• •• •• •• •• ••• ••

•• •• •• •• •• •• •• •• ••

•• •• ••

•• •• •• •• •• •• •• ,.• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

xv Parte 111: Configuração e resolução de problemas relativos a protocolos de roteamento

Capítulo 8 Teoria dos protocolos de roteamento .................................................. 221 . ?" ............... ...... .................................................................................................... ..... . 221 . ,. "Eu J'á co nheço IstO. Questlonano

Tópicos fundamentais .........................................................................................................................•...................... 223 Visão geral sobre os protocolos de roteamento dinâmico .............................................................................. ................ 223 Funções do protocolo de roteamento .......................................................................................................................... 224 Protocolos de roteamento internos e externos ........................................................................................................... 225 Comparando IGPs ...................................................................................................................................................... 226 Algoritmos do protocolo de roteamento IGP ........................................................................................................... 226 Métrica ............................................................................................................................................... ..................... 227 Comparações do IGP: Resumo ............................................................................................................................... 228 Distância administrativa ............................................................................................................................................. 229 Recursos do protocolo de roteamento vetor distância ................................................................................................ 230 Conceito de distância e de vetor ..................................... ........................................................................................... 230 Operação do vetor distância em uma rede estável ............ ........................................................................................ 231 Prevenção de loops com o vetor distância ................................................................................................................. 232 Route Poisoning (Envenenamento de rotas) ........................................................................................................... 232 Problema: contagem até o infInito em um único link ............................................................................................... 233 Split Horizon .............................................................................. .............................................................................. 235 Poison Reverse e Triggered Updates ...................... ...................................................... .. ........................................ 236 Problema: contagem até o infInito em uma rede redundante .................................................................................. 237 O processo Holddowm e o Timer Holddown .............................. ............................................................................ 239 Resumo sobre vetor distância .................................................................................................................................... 240 Recursos do protocolo de roteamento link-state ............................................................................................................ 240 Construindo o mesmo LSDB em todos os roteadores ............................................................................................... 241 Aplicando a matemática Dijkstra SPF para encontrar as melhores rotas .................................................................. 242 Convergência com os protocolos link-state ................................................................................................................ 243 Resumo e comparações com relação aos protocolos vetor distância ........................................................................ 244

Atividade de preparação para o exame ................................................................................................................... 244 Revise todos os tópicos-chave ............................................................................................... ........................................ 244 Complete as tabelas e listas usando a memória ................................... .......................................................................... 245 DefInições de termos-chave .............................................................................................................................. ............ 245 Referência aos comandos para verificar sua memória ................................................................................................. 246

Capítulo 9 OSPF .................................................................................................... 249 . ,. "Eu que Ja . , co nh eço IstO. . ?" ............................................................................. ........................................... 249 Questlonano Tópicos fundamentais ................................................................................................................................................ 251 Protocolos OSPF ............................................................................ ............................................................................... 251 Vizinhos OSPF ....................................................... .................................................................................................... 251 IdentifIcando roteadores OSPF através do RIO (ID do roteador) ......... ................................................................ 252 Conhecendo e cumprimentando os vizinhos .................... ................................................................................ ........ 252 Possíveis problemas ao se tomar um vizinho ................................................................................... ....................... 253 Estados entre vizinhos ............................................................................................................................................. 254 Troca de bancos de dados da topologia OSPF ........................................................................................................... 254 Visão geral do processo de troca de bancos de dados OSPF ................................................................................. 255 Escolhendo um roteador designado .................................................................................................................. ....... 255

XVI Troca de bancos de dados ....................................................................................................................................... 256 Manutenção do LSDB estando completamente adjacente ..................................................................................... 256 Resumo dos estados entre vizinhos ......................................................................................................................... 257 Construindo a tabela de roteamento IP ...................................................................................................................... 257 Ajustando o OSPF através de um projeto hierárquico ........................................................ ....................................... 258 Áreas OSPF ............................................................................................................................................................ 259 Vantagens do projeto de áreas OSPF ........................................................................................................................ 261 Configuração do OSPF .................................................................................................................................................. 261 Configuração do OSPF em uma única área ............................................................................................................... 261 Configuração do OSPF com várias áreas .................................................................................................................. 263 Configurando o RID CID do roteador) do OSPF ........................................................................................................ 265 Timers de Hello e Dead do OSPF .............................................................................................................................. 265 Métrica do OSPF (Custo) ................................................................. ......................................................................... 266 Autenticação do OSPF ................................................................................................................................. .............. 267 Balanceamento de cargo OSPF ................................................................................................................................. 269 Atividade de preparação para o exame ................................................................................................................... 269 Revise todos os tópicos-chave ....................................................................................................................................... 269 Complete as tabelas e listas usando a memória ............................................................................................................. 270 Definições de termos-chave .......................................................................................................................................... 270 Referência aos comandos para verificar sua memória ................................................................................................. 270

Capítulo 10 EIGRP ................................................................................................ 273 . , conheço Isto . "?............................................................................................................................... . 273 . ,. "Eu Ja Queshonano

Tópicos fundamentais ................................................................................................................................................ 275 Conceitos e operação do EIGRP ................................................................................................................................... 275 Vizinhos EIGRP ......................................................................................................................................................... 275 Trocando informações sobre topologia no EIGRP ..................................................................................................... 276 Calculando as melhores rotas para a tabela de roteamento ....................................................................................... 277 Feasible Distance e Reported Distance .................................................................................................................. 278 Cuidados com a largura da banda em enlaces seriais ............................................................................................. 278 Convergência no EIGRP ............................................................................................................................................ 279 Sucessores e sucessores possíveis no EIGRP ........................................................................................................ 279 O processo de query and reply ............................................................................................................................... 280 Resumo do EIGRP e comparações com OSPF ......................................................................................................... 281 Configuração e verificação do EIGRP .......................................................................................................................... 281 Configuração básica do EIGRP (feasible successors) ............................................................................................... 282 Métricas, sucessores e sucessores possíveis no EIGRP ............................................................................................ 284 Criando e vendo uma rota para sucessor possível .................................................................................................. 285 Convergência usando a rota para sucessor possível ............................................................................................... 286 Autenticação no EIGRP ............................................................................................................................................. 287 Número máximo de caminhos e variância no EIGRP ................................................................................................ 289 Ajustando o cálculo da métrica no EIGRP ................................................................................................................. 290 Atividade de preparação para o exame ................................................................................................................... 291 Revise todos os tópicos-chave ....................................................................................................................................... ~91 Complete as tabelas e listas usando a memória ............................................................................................................. 291 Definição de termos-chave ............................................................................................................................................ 292 Referência aos comandos para verificar sua memória ................................................................................................. 292

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

XVII

Capítulo 11 Resolvendo problemas em protocolos de roteamento .................... 295 . ,. "E" . ?" ............ ..................................... ............................................................................. . 295 u Ja co nheço Jsto. Questlonano Tópicos fundamentais ................................................................................................................................................ 295 Perspectivas sobre a resolução de problemas em protocolos de roteamento ................................................................ 296 Interfaces habilitadas com um protocolo de roteamento ............................................................................................... 297 Exemplo de resolução de problema em uma interface EIGRP .................................................................................. 297 Exemplo de resolução de problemas em uma interface OSPF .................................................................................. 301 Relações de vizinhança .................................................................................................................................................. 303 Requisitos para vizinhança no EIGRP ........................................................................................................................ 304 Requisitos para vizinhança no OSPF ................. ......................................................................................................... 306 Exemplo 1 de Vizinhança no OSPF ........................................................................................................................ 3m Exemplo 2 de Vizinhança no OSPF ........................................................................................................................ 308 O requisito de MTU idêntico ................................................................................................................................... 309 Atividade de preparação para o exame ................................................................................................................... 310 Revise todos os tópicos-chave ....................................................................................................................................... 310 Complete as tabelas e listas usando a memória ............................................................................................................. 310 Referência aos comandos para verificar sua memória .................................................. ............................................... 310

Parte IV: Redes de longa distância (WANs) Capítulo 12 WANs ponto-a-ponto ... ....................................................................... 315 ., co nh eço Isto . "?............................................................................................................................... . 315 . ,. "Eu Ja Questlonano Tópicos fundamentais ................................................................................................................................................ 317 Conceitos de PPP .......................................................................................................................................................... 317 Campo Protocolo do PPP .......................................................................................................................................... 317 O LCP (Link Control Protocol) do PPP ............................ ......................................................................................... 318 Detecção de loop em enlace ................................................................................................................................... 319 Detecção de aprimoramento de erro ...................................................................................................................... 319 MultilinkPPP .......................................................................................................................................................... 319 Autenticação no PPP .................................... .......................................................................................................... 320 Configuração do PPP .................................................................................................................................................... 321 Operação básica do PPP ........................................................................................................................................ 321 Configuração e verificação do CHAP .................................................................................................................... 322 Configuração do PAP ............................................................................................................................................. 323 Resolvendo problemas em enlaces seriais ........ ................ ............................................................................................. 323 Resolvendo problemas de camada 1 .......................................................................................................................... 324 Resolvendo problemas de camada 2 .......................................................................................................................... 325 Falha no keepalive ................................................................................................................................................... 326 Falha na autenticação com PAP e CHAP .............................................................................................................. 327 Resolvendo problemas de camada 3 .......................................................................................................................... 328 Atividade de preparação para o exame ................................................................................................................... 329 Revise todos os tópicos-chave ....................................................................................................................................... 329 Complete as tabelas e listas usando a memória ............................................................................................................. 330 Deftnição de termos-chave ............................................................................................................................................ 330 Referência aos comandos para verificar sua memória ................................................................................................. 330

Capítulo 13 Conceitos de Frame Relay ................................................................ 333

. ,. "Eu Ja . , co nh eço Isto . "?................................................................................................................................ 333 Questlonano

Tópicos fundamentais ................................................................................................................................................ 335 Visão geral do Frame Relay .......................................................................................................................................... 335 Padrões Frame Relay ................................................................................................................................................. 337

XVIII Circuitos virtuais ......................................................................................................................................................... 337 LMI e tipos de encapsulamento ................................................................................................................................. 339 Endereçamento no Frame Relay ................................................................................................................................... 341 Endereçamento local no Frame Relay ....................................................................................................................... 341 Endereçamento global no Frame Relay ..................................................................................................................... 341 Problemas da camada de rede em relação à Frame Relay ........................................................................................... 343 Endereçamento de camada 3 no Frame Relay: uma sub-rede contendo todos os DTE' Frame Relay ..................... 344 Endereçamento de camada 3 no Frame Relay: uma sub-rede por VC ..................................................................... 344 Endereçamento de camada 3 no Frame Relay: abordagem hfbrida ........................................................................... 345 Manipulação de broadcast na camada 3 .................................................................................................................... 346 Controlando a velocidade e os descartes na nuvem Frame Relay ................................................................................ 347 FECN e BECN .......................................................................................................................................................... 347 O bit DE (Discard Eligibility) ...................................................................................................................................... 348 Atividade de preparação para o exame .........................................................•......................................................... 348 Revise todos os tópicos-chave ....................................................................................................................................... 348 Complete as tabelas e listas usando a memória ............................................................................................................. 349 Definição de termos-chave ............................................................................................................................................ 349

Capítulo 14 Configuração e resolução de problemas de Frame Relay .............. . 351 . , cooheço lstO . " ?. ............................................................................................................................. .. 351 . , . "Eu Ja Quesuonano

Tópicos fundamentais ................................................................................................................................................ 353 Configuração e verificação do Frame Relay ................................................................................................................. 353 Planejando uma configuração de Frame Relay .......................................................................................................... 353 Rede totalmente em malha com uma sub-rede IP ..................................................................................................... 354 Configurando o encapsulamento e o LMI .................................................................................................................. 356 Mapeamento de endereços Frame Relay .................................................................................................................. 357 ARP Inverso ............................................................................................................................................................ 359 Mapeamento estático no Frame Relay ................................................................................................................... 359 Rede parcialmente em malha com uma sub-rede IP por VC .................................................................................... 360 Atribuindo um DLCI a uma determinada subinterface ........................................................................................... 362 Comentários a respeito de endereçamento global e local ....................................................................................... 362 Verificação no Frame Relay .................................................................................................................................... 363 Rede parcialmente em malha com algumas partes totalmente em malha .................................................................. 364 Resolução de problemas de Frame Relay ..................................................................................................................... 367 Sugestão de processo para resolução de problemas de Frame Relay ....................................................................... 367 Problemas de camada 1 no link de acesso (passo 1) ................................................................................................. 368 Problemas de camada 2 no link de acesso (passo 2) ................................................................................................. 369 Problemas e estado do PVC (passo 3) ...................................................................................................................... 370 Encontrar a sub-rede conectada e a interface de safda (passos 3a e 3b) ............................................................... 371 Encontrar os PVCs atribuídos à interface (Passo 3c) ............................................................... ............................. 371 Determinar qual PVC está sendo usado para alcançar um determinado vizinho (passo 3d) .................................. 372 Estado do PVC ....................................................................................................................................................... 373 Estado de subinterface ............................................................................................................................................ 374 Problemas de mapeamento no Frame Relay (passo 4) .............................................................................................. 375 Encapsulamento fim-a-fim (passo 5) .......................................................................................................................... 375 Números de sub-rede diferentes (passo 6) ................................................................................................................ 376 Atividade de preparação para o exame ................................................................................................................... 376 Revise todos os tópicos-chave ....................................................................................................................................... 376 Complete as tabelas e listas usando a memória ............................................................................................................. 376 Leia os cenários do apêndice F ..................................................................................................................................... 377 Referência aos comandos para verificar sua memória ........................................................................................ ......... 377

.1 •

•• •• •• •• •• •• •• •• •• •• •• •• •• :J

-I

:1 : :1 :1 -I :1 • ••

•• •• •• •

•• •• •• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• ••

XIX

Capítulo 15 Redes privadas virtuais ...................................................................... 379 . ,. "Eu Ja . , conheço Isto . "?............................................................................................................................... . 379 Queshonano Tópicos fundamentais ................................................................................................................................................ 380 Fundamentos de VPN ................................................................................................................................................... 380 VPN s IPsec ................................................................................................................................................................... 383 Criptografia no IPsec ................................................................................................................................................. 383 Troca de chave no IPsec ............................................................................................................................................ 384 Autenticação e integridade de mensagem no IPsec .................................................................................................. 385 Protocolos de segurança ESP e AR ........................................................................................................................... 386 Considerações sobre a implementação do IPsec ....................................................................................................... 386 VPNs SSL ....................................................................................................................... .............................................. 387 Atividade de preparação para o exame ................................................................................................................... 388 Revise todos os tópicos-chave ....................................................................................................................................... 388 Complete as tabelas e listas usando a memória ............................................................................................................. 389 Definição de termos-chave ............................................................................................................................................ 389

Parte V: Escalando o espaço de endereçamento IP Capítulo 16 Tradução de endereços de rede ....................................................... 393 . , co nh eço Isto . "?. .............................................................................................................................. . 393 . , . "Eu Ja Queshonano

Tópicos fundamentais ................................................................................................................................................ 395 Perspectivas a respeito da escalabilidade de endereçamento no IPv4 .......................................................................... 395 CIDR .......................................................................................................................................................................... 396 Agregação de rotas para diminuir as tabelas de roteamento .................................................................................. 396 Conservação de endereços no IPv4 ........................................................................................................................ 397 Endereçamento IP privado ......................................................................................................................................... 397 Conceitos de tradução de endereços de rede ................................................................................................................ 398 NAT estático .............................................................................................................................................................. 398 NAT dinâmico ............................................................................................................................................................ 400 Sobrecarregando o NAT com a Tradução de Endereços de Portas (PAT) ............................................................ 401 Traduzindo endereços sobrepostos .......................................................................................................................... 403 Configuração e resolução de problemas de NAT .......................................................................................................... 404 Configuração do NAT estático ................................................................................................................................... 404 Configuração do NAT dinâmico ................................................................................................................................. 406 Configuração de sobrecarga do NAT (Configuração do PAT) .................................................................................. 409 Resolução de problemas de NAT ............................................................................................................................... 411 Atividade de preparação para o exame ................................................................................................................... 412 Revise todos os tópicos-chave ....................................................................................................................................... 412 Complete as tabelas e listas usando a memória ............................................................................................................. 412 DefInição de termos-chave ............................................................................................................................................ 412 Referência aos comandos para verifIcar sua memória ................................................................................................. 413

Capítulo 17 IP versão 6 ......................................................................................... 415 . , conh eço Isto . "?............................................................................................................................... . 415 . ,. "Eu Ja Queshonano

Tópicos fundamentais ................................................................................................................................................ 417 Endereçamento unicast global, roteamento e divisão em sub-redes .............................................................................. 418 Agregação global de rotas para roteamento efIciente ................................................................................................ 418 Convenções para representar endereços IPv6 .......................................................................................................... 420 Convenções para escrever prefIxos IPv6 .................................................................................................................. 421 Exemplo de atribuição de prefIxo unicast global ........................................................................................ ................ 423

xx Dividindo endereços IPv6 unicast globais dentro de uma empresa ........................................................................... 424 Terminologia para prefixos ......................................................................................................................................... 426 Protocolos e endereçamento no IPv6 ............................................................................................................................ 426 DHCP para IPv6 ........................................................................................................................................................ 427 Atribuição de endereço de host no IPv6 .................................................................................................................... 427 lD de interface no IPv6 e o formato EUI-64 .......................................................................................................... 427 Configuração estática de endereços IPv6 ............................................................................................................. .. 428 Autoconfiguração stateless e anúncios do roteador ................................................................................................ 429 Resumo da configuração de endereços IPv6 .......................................................................................................... 430 Descobrindo o roteador default com NDP ................................................................................................................. 431 Aprendendo o(s) endereço(s) IP de servidores DNS ................................................................................................ 431 Endereços IPv6 .......................................................................................................................................................... 431 Endereços IPv6 unicast ........................................................................................................................................... 432 Endereços multicast e outros endereços especiais IPv6 ......................................................................................... 433 Resumo dos protocolos e endereçamento IP ............................................................................................................. 433 Configurando o roteamento e os protocolos de roteamento IPv6 .................................................................................. 434 Protocolos de roteamento IPv6 .................................................................................................................................. 435 Configuração do IPv6 ................................................................................................................................................ 435 Opções de transição para IPv6 ..................................................................................................................................... 438 Pilha dupla IPv4IIPv6 ................................................................................................................................................. 438 Tunelamento ............................................................................................................................................................... 438 Fazendo traduções entre IPv4 e IPv6 com NAT-PT ................................................................................................. 440 Resumo da transição .................................................................................................................................................. 440 Atividade de preparação para o exame .............................................................•..................................................... 440 Revise todos os tópicos-chave ....................................................................................................................................... 440 Complete as tabelas e listas usando a memória ............................................................................................................. 441 Definição de termos-chave ............................................................................................................................................ 441 Referência aos comandos para verificar sua memória .................................................. ............................................... 441

Parte VI: Preparação Final Capítulo 18 Preparação Final ................................................................................ 447 Ferramentas para preparação final ................................................................................................................................ 447 O CCNA Prep Center da Cisco ................................................................................................................................. 447 Capítulos adicionais sobre divisão em sub-redes, páginas de referência e problemas práticos ................................. 447 Cenários ..................................................................................................................................................................... 448 Plano de estudos .......................................................................................................................................... .................. 448 Recorde os fatos ........................................................................................................................................................ 448 Pratique a divisão em sub-redes ................................................................................................................................. 449 Desenvolva habilidades na resolução de problemas através de cenários .................................................................. 450 Resumo ....................................................................................................................................................................... 450

Parte VII: Apêndices Apêndice A Respostas para os questionários "Eu já conheço isto?" .................. 455 Capítulo 1 .................................................................................................................................................................... 455 Capítulo 2 .................................................................................................................................................................... 455 Capítulo 4 .................................................................................................................................................................... 456 Capítulo 5 .................................................................................................................................................................... 456 Capítulo 6 ............................................................................... ..................................................................................... 457 Capítulo 8 ............................................................................................ ........................................................................ 458 Capítulo 9 .................................................................................................................................................................... 458

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •

•• •• •• • ~

•• •

•• •• •• 'I:• •• •• • ~,

•• •• •.•

•• ~• .

I.

•• •

~

XXI Capítulo 10 .................................................................................................................................................................. 459 Capítulo 12 .................................................................................................................................................................. 459 Capítulo 13 .................................................................................................................................................................. 460 Capítulo 14 .................................................................................................................................................................. 460 Capítulo 15 .................................................................................................................................................................. 461 Capítulo 16 .................................................................................................................................................................. 461 Capítulo 17 .................................................................................................................................................................. 462

Apêndice B Tabela de conversão de decimal para binário ................................... 465 Apêndice C Atualizações do Exame ICND2: Versão 1 ........................................ 469 Glossário ................................................................................................................ 471 índice Remissivo .................................................................................................... 484

XXII

Introdução

,

Icones usados neste livro

Servidor Web

Impressora

Roteador

PBX

Navegador Web

Telefone

PC

Laptop

Telefone IP

Switch multi-serviço

Ponto de acesso

Modem de Cabo

Switch

ASA

Servidor

CSUIDSU

Switch ATM

Switch Frame Relay

DSLAM

Switch WAN

~ Hub

o

Nuvem de rede

PIX Firewall

Ponte

Conexão sem fio

z Conexão Ethemet

Conexão de linha serial

Circuito virtual

Convenções de sintaxe de comandos As convenções usadas para apresentar a sintaxe de comandos neste livro são as mesmas convenções usadas no lOS Command Reference. O Command Reference (Referência a Comandos) descreve essas convenções da seguinte forma: • Negrito indica comandos e palavras-chave que são inseridos literalmente conforme mostrados. Em resultados e exemplos reais de configuração (não em sintaxe de comandos gerais), o negrito indica comandos que são manualmente inseridos pelo usuário (como, por exemplo, um comando show). • Itálico indica argumentos para os quais você fornece valores reais.

• Barras verticais (I) separam elementos alternativos e mutuamente excludentes. • Colchetes [ ] indicam elementos opcionais. • Chaves { } indicam uma escolha obrigatória. • Chaves contidas em colchetes [{ }] indicam uma escolha obrigatória dentro de um elemento opcional.

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• • •• •• •• •• ~

.'

• •• •• •• •• •• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• • ."

Prefácio CCNA ICND2 Guia Oficial de Certificação do Exame, segunda edição, é uma excelente fonte para o estudo autodidata para o exame CCNA ICND2. Passar no exame ICND2 significa validar o conhecimento e as habilidades necessárias para obter sucesso ao instalar, operar e identificar problemas em redes empresariais de pequeno a médio porte. Este é um de dois exames exigidos para a obtenção da certificação CCNA. A obtenção da certificação em tecnologias Cisco é essencial para o desenvolvimento educacional contínuo do atual profissional da área de comunicação em rede. Através de programas de certificação, a Cisco valida as habilidades e a experiência exigidas para gerenciar de forma eficaz a moderna rede empresarial. Os guias de certificação para exames e materiais de preparação da Cisco Press oferecem acesso excepcional e flexível ao conhecimento e às informações necessárias para se manter atualizado em seu campo de atuação ou para obter novos conhecimentos. Quer seja usado como suplemento para um treinamento mais tradicional ou como fonte principal de aprendizado, estes materiais oferecem aos usuários as informações e a validação de conhecimento necessárias para adquirir um novo entendimento e uma nova proficiência. Desenvolvido em conjunto com a equipe de treinamento e de certificações da Cisco, os livros da Cisco Press são os únicos livros autodidatas autorizados pela Cisco, e oferecem aos estudantes uma série de ferramentas para a realização de exames simulados e materiais de recurso para assegurar que o aluno consiga assimilar completamente os conceitos e as informações apresentadas. Na Cisco Learning Solutions Partners (Parceiros de Soluções de Aprendizado Cisco), encontram-se cursos dados por instrutores, aprendizado eletrônico, laboratórios e simulações adicionais autorizados pela Cisco. Para mais informações visite a página http://www.cisco.com/go/training. Espero que estes materiais sejam uma parte enriquecedora e de grande utilidade durante o seu preparo para o exame.

Erik Ullanderson Gerente de Certificações Globais Learning@Cisco Agosto, 2007

XXIV

Introdução

Introdução Parabéns! Se você estiver manuseando este livro ao ponto de ler sua introdução, é provável que já tenha decidido partir em busca de uma certificação da Cisco. Se você deseja obter sucesso como técnico na indústria de comunicação em rede, é preciso conhecer a Cisco. Ela é dona de uma fatia extremamente grande do mercado na área de roteadores e switches, com mais de 80 por cento do mercado em determinadas áreas. Em muitos lugares e mercados ao redor do mundo, comunicação em rede é sinônimo de Cisco. Se seu desejo é ser reconhecido seriamente como engenheiro de rede, a certificação da Cisco faz total sentido. Historicamente falando, a primeira certificação Cisco para iniciantes é a certificação Cisco Certified Network Associate (CCNA), oferecida pela primeira vez em 1998. As três primeiras versões da certificação CCNA (1998, 2000 e 2002) exigiam que você passasse em um único exame para se tomar certificado. Entretanto, com o passar do tempo, o exame continuou crescendo, tanto em quantidade de material abordado quanto no nível de dificuldade das questões. Portanto, para a quarta grande revisão dos exames, anunciada em 2003, a Cisco continuou com uma única certificação (CCNA), mas passou a oferecer duas opções para que os exames fossem certificados: uma opção de exame único e uma opção formada por dois exames. A opção de dois exames permitia que as pessoas estudassem aproximadamente metade do material, fizessem e passassem em um exame antes de seguir para o próximo. Emjunho de 2007, a Cisco anunciou mudanças na certificação CCNA e nos exames. Este anúncio incluía várias mudanças, principalmente: • Os exames passam a abranger coletivamente uma gama mais ampla de tópicos. • Os exames aumentam o foco na comprovação das habilidades do candidato (em comparação com somente o teste de conhecimento). • A Cisco criou uma nova certificação para iniciantes: a certificação Cisco Certified Entry Network Technician (CCENT) Para as certificações atuais, anunciadas em junho de 2007, a Cisco criou os exames rCND1 (640-822) e rCND2 (640812), junto com o exame CCNA (640-802). Para se certificar no CCNA, você pode passar nos exames rCND1 e rCND2, oferecendo-lhe duas opções para a obtenção da sua certificação Cisco. O caminho que envolve os dois exames oferece às pessoas menos experientes a chance de estudar para um conjunto menor de tópicos de cada vez, ao passo que, na opção de exame único, o caminho apresenta mais vantagens para aqueles que desejam se preparar para todos os tópicos de uma só vez. Embora a opção de dois exames possa ser útil para alguns candidatos à certificação, a Cisco elaborou o exame rCND 1 com um objetivo muito mais importante em mente. A certificação CCNA cresceu ao ponto de testar o conhecimento e as habilidades além do que um técnico iniciante em rede precisaria ter. A Cisco precisava de uma certificação que refletisse melhor as habilidades exigidas para cargos iniciantes em comunicação em rede. Portanto, ela elaborou o seu curso Interconnecting Cisco Networking Devices 1 (ICND1), e o exame rCND1 (640-822) correspondente, de forma a incluir o conhecimento e as habilidades mais necessários a um técnico iniciante em uma pequena rede empresarial. Para mostrar que você possui as habilidades necessárias para ocupar um cargo de iniciante, a Cisco criou uma nova certificação, a CCENT, que pode ser obtida com a aprovação no exame rCND 1. A Figura r-I mostra a organização básica das certificações e dos exames usados para obter as certificações CCENT e CCNA. (Observe que não existe nenhuma certificação separada para aprovação no exame rCND2.) Figura 1-1. Certificações e Exames Cisco para lniciantes

Fazer exame ICND1 (640-822)

Se aprovado

Certificado TFazer exame CCENT - - - - - - + ICND2 (640-816)

1

Se a,,","d,

Fazer exame Se aprovado Certificado CCNA (640-802) - - . . . . . . : . - - - - - - - - - - - - - - - - , CCNA

it.

,fJ.

• •• •• •• •• •• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• • ç,

CCNA ICND2

•• •• •• •• ••

•• ••

•• •• •• •• •• •• •• •• •• •

•• • •• •• ••

XXV

Como você pode ver na figura, embora a certificação CCENT possa ser obtida fazendo o exame ICND 1, não é necessário ter a certificação CCENT primeiro para obter a sua certificação CCNA - você pode optar por fazer somente o exame CCNA sem ter de fazer o CCENT. Os exames ICNDI e ICND2 abrangem diversos conjuntos de tópicos, com muito pouca sobreposição de assuntos. Por exemplo, o ICNDI abrange endereçamento IP e criação de sub-redes, enquanto o ICND2 abrange uma utilização mais complicada de sub-redes chamada VLSM (mascaramento de sub-redes de compartilhamento variável); portanto o ICND2 deve abranger sub-redes de alguma forma. O exame CCNA abrange todos os tópicos abordados nos exames ICNDI e ICND2. Embora a popularidade da certificação CCENT só poderá ser vista com o passar de alguns anos, certamente a certificação CCNA da Cisco desfruta uma posição como programa mais popular de certificação para iniciantes em comunicação em rede. Uma certificação CCNA prova que você possui um embasamento sólido nos componentes mais importantes da linha de produtos Cisco, ou seja, roteadores e switches. Prova também que você possui um amplo conhecimento de protocolos e tecnologias de rede.

Formato dos exames CCNA Todos os exames ICNDI, ICND2 e CCNA seguem o mesmo formato geral. Ao chegar ao local de realização do teste e confirmar sua presença, o responsável por tomar conta da prova, após dar-lhe algumas instruções gerais, o levará para uma sala silenciosa com um Pc. Já em frente ao PC, há algumas coisas que vale a pena fazer antes que o cronômetro seja iniciado em seu exame. Você pode, por exemplo, responder a um teste modelo, só para se acostumar com o PC e com o mecanismo do teste. Qualquer pessoa que tenha conhecimento de usuário no uso de PCs não deverá ter problemas com o ambiente do teste. Além disso, o Capítulo 18, "Preparação Final", introduz um site Cisco onde pode ser vista uma demonstração do mecanismo de testes da Cisco. Ao começar o exame, uma série de questões lhe são apresentadas. Você deve responder a cada questão e, em seguida, passar para a próxima. O mecanismo do exame não permite que você volte e mude uma resposta dada. Sim, é verdade - ao passar para a questão seguinte, a questão anterior é considerada irreversível. As questões do exame podem ter um dos seguintes formatos: • Múltipla escolha

• Testlets • Arrastar-e-soltar •

Laboratório simulado

• Simlets Os três primeiros tipos de questões são relativamente comuns em vários ambientes de testes. O formato múltipla escolha simplesmente requer que você aponte e clique em um círculo ao lado da resposta(s) correta(s). A Cisco tradicionalmente lhe diz quantas respostas você precisa escolher, e o software do teste impede que você escolha mais respostas do que necessário. Testlets são questões que apresentam um cenário geral, com várias questões de múltipla escolha relativas a este cenário geral. Questões do tipo Arrastar-e-soltar requerem que você clique com o botão do mouse e o mantenha pressionado, mova um botão ou ícone para outra área, e solte o botão do mouse para colocar o objeto em outro lugar normalmente em uma lista. Portanto, em alguns casos, para acertar a questão, é possível que você tenha que colocar uma lista de cinco itens na ordem adequada. Os dois últimos tipos utilizam um simulador de rede para fazer perguntas. É interessante notar que os dois tipos permitem que a Cisco avalie duas habilidades bastante diferentes. Primeiro, as questões do tipo Laboratório Simulado geralmente descrevem um problema e a sua tarefa é configurar um ou mais roteadores ou switches para consertar o problema. O exame então pontua a questão com base na configuração que você alterou ou acrescentou. Novamente, é interessante notar que as questões do tipo Laboratório Simulado são as únicas questões que a Cisco (até hoje) admite abertamente conceder pontuação parcial. As questões do tipo Simlet possivelmente são o estilo mais difícil de questão nestes exames. Este tipo de questão também utiliza um simulador de rede, mas, em vez de responder à questão alterando a configuração, a questão inclui uma ou mais questões de múltipla escolha. As questões requerem a utilização do simulador para examinar o comportamento atual de

XXVI

Introdução

uma rede, interpretando o resultado de saída de qualquer comando show do qual você se lembre para responder à questão. Enquanto as questões do tipo Laboratório Simulado requerem que você resolva problemas relacionados a uma configuração, as questões do tipo Simlet requerem que você analise redes em funcionamento normal e redes com problemas, correlacionando os resultados de saída dos comandos show com seu conhecimento de teoria sobre redes e comandos de configuração.

o que cai

nos Exames CCNA?

Desde os meus tempos de escola, sempre que o professor anunciava que em breve teríamos um teste, alguém sempre perguntava: o que vai cair no teste? Mesmo já na universidade, todos tentavam obter mais informações sobre o que cairia nos exames. No fundo, o objetivo é saber o que deve ser estudado com mais afinco, o que deve ser estudado mais superficialmente, e o que não deve ser estudado. A Cisco deseja que o público conheça a variedade de tópicos e tenha uma idéia sobre os tipos de conhecimento e habilidades necessários para cada tópico, para cada exame de certificação da Cisco. Com este propósito, a Cisco publica um conjunto de objetivos para cada exame. Os objetivos relacionam os tópicos específicos, como endereçamento IP, RIP e VLANs. Os objetivos também indicam os tipos de habilidades necessárias para aquele tópico. Um objetivo, por exemplo, poderia começar com "Descrever... " e outro com "Descrever, configurar e resolver... ". O segundo objetivo deixa claro que você precisa ter um entendimento profundo e completo daquele tópico. Ao relacionar os tópicos e o nível de conhecimento, a Cisco nos ajuda a preparar para os exames. Embora os objetivos do exame ajudem bastante, tenha em mente que a Cisco deixa claro que os tópicos relacionados para todos os seus exames de certificação são apenas diretrizes. A Cisco se esforça em manter as questões do exame dentro dos limites dos objetivos apresentados, e, por experiência própria, em conversas com pessoas envolvidas no processo, sei que todas as questões são analisadas quanto ao seu enquadramento dentro dos tópicos de exame apresentados.

Tópicos do exame ICND1 A Tabela I-I relaciona os tópicos do exame ICND1. Os tópicos do exame ICND2 são apresentados logo a seguir na Tabela 1-2. Embora os tópicos de exame apresentados não sejam enumerados na Cisco.com, a Cisco Press, na verdade, enumera os tópicos dos exames para facilitar a referência. A tabela também apresenta as seções do livro nas quais é abordado cada tópico do exame. Como os tópicos podem mudar com o tempo, verifique-os conforme relacionados em Cisco.com (especificamente, em http://www.cisco.comlgo/ccna). Se a Cisco vier a realmente acrescentar tópicos dos exames posteriormente, observe o Apêndice C deste livro que descreve como ir até a página http://www.ciscopress.com e baixar as informações adicionais referentes aos tópicos recém acrescentados.

Observação A tabela inclui partes destacadas em cinza que serão explicadas na próxima seção "Tópicos do Exame CCNA". Tabela I-I. Tópicos do Exame ICNDJ Número de referência

Seções do livro ICND1 onde o tópico é abordado

Tópico do exame

Descrever a operação das redes de dados

1

I

Descrever o propósito e as funções de vários dispositivos de rede

2

I

Selecionar os componentes necessários para satisfazer a uma determinada especificação de rede

3

I, lI, III

Utilizar os modelos OSI e TCPIIP e seus protocolos associados para explicar como os dados fluem em uma rede

• •• •• •• •• •• •• •• •• e •• •• •• •• •• •• •• •• •• • •• •• •• le r

CCNA ICND2 XXVII

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•

4

I

Descrever aplicativos de rede comuns incluindo aplicativos Web

5

I

Descrever o propósito e a operação básica dos protocolos nos modelos OSI e TCP

6

I

Descrever o impacto de aplicativos (Voice Over IP e Video Over IP) em uma rede

7

I-IV

Interpretar diagramas de rede

8

I-IV

Determinar o trajeto entre dois hosts dentro de uma rede

9

I, m , IV

Descrever os componentes necessários para comunicação na rede e na Internet

10

I-IV

Identificar e corrigir problemas de rede comuns nas camadas 1, 2, 3 e 7 utilizando uma abordagem de modelos em camadas

11

II, m

Diferenciar entre operações e recursos LAN/WAN Implementar uma pequena rede de switches

12

II

13

II

14

II

Explicar segmentação de rede e conceitos básicos de gerenciamento de tráfego

15

II

Explicar a operação dos switches Cisco e conceitos básicos de switching

16

II

Executar, salvar e verificar as tarefas de configuração inicial do switch, incluindo o gerenciamento de acesso remoto

17

II

Verificar o status da rede e a operação do switch utilizando recursos básicos (incluindo: ping, traceroute, telnet, SSH, arp, ipconfig), e comandos SHOW & DEBUG

18

II

Implementar e verificar a segurança básica de um switch (segurança da porta, desativação de portas)

19

II

Identificar, prescrever e resolver questões comuns relativas a redes de switches, questões de configuração, negociação automática e falhas no hardware de switches

Selecionar as mídias, cabos, portas e conectores adequados para conectar switches a outros dispositivos e hosts de rede Explicar a tecnologia e o método de controle de acesso ao meio para tecnologia Ethernet

Implementar um esquema de endereçamento IP e serviços IP para satisfazer as exigências de rede para um pequeno escritório empresarial

XXVIII

Introdução

20

I, III

Descrever a necessidade e o papel do endereçamento em redes

21

I, III

Criar e aplicar um esquema de endereçamento a uma rede

22

III

Designar e verificar endereços IP válidos para hosts, servidores e dispositivos de rede em um ambiente de LAN

23

IV

Explicar os usos básicos e a operação do NAT em uma pequena rede conectando a um ISP

24

I, III

Descrever e verificar a operação DNS

25

III,IV

Descrever a operação e os benefícios de se utilizaro endereçamento IP público e privado

26

III, IV

Ativar o NAT para uma pequena rede com um único ISP e uma única conexão utilizando SDM e verificar a operação utilizando CU eping

27

III

Configurar, verificar e resolver problemas nas operações DHCP e DNS em um roteador. (incluindo: CLIISDM)

28

UI

Implementar serviços de endereçamento estático e dinâmico para hosts em um ambiente deLAN

29

III

Identificar e corrigir endereçamento IP

questões

de

Implementar uma pequena rede roteada

30

I, III

Descrever conceitos básicos de roteamento (incluindo: encaminhamento de pacotes, processo de consulta a roteadores)

31

lU

Descrever a operação de roteadores Cisco (incluindo: processo de inicialização de roteadores, POST, componentes de roteadores)

32

I, III

Selecionar as mídias, cabos, portas e conectores adequados para conectar roteadores a outros dispositivos e hosts de rede

33

III

Configurar, verificar e resolver problemas de RIPv2

34

III

Acessar e utilizar o roteador CLI para estabelecer parâmetros básicos

35

III

Conectar, configurar e verificar o status das operações da interface com um dispositivo

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2 XXIX Tabela l-I Tópicos do Exame ICNDI (Continuação)

36

III

Verificar a configuração dos dispositivos e a conectividade de rede utilizando ping, traceroute, telnet, SSH ou outros recursos

37

III

Executar e verificar as tarefas de configuração de roteamento para uma rota estática ou padrão de acordo com certos requisitos específicos de roteamento

38

III

Gerenciar arquivos de configuração lOS (incluindo: salvar, editar, atualizar, restaurar)

39

III

Gerenciar o Cisco lOS

40

III

Implementar senhas e segurança física

41

III

Verificar o status de rede e a operação dos roteadores utilizando recursos básicos (incluindo: ping, traceroute, telnet, SSH, arp, ipconfig) e comandos SHOW & DEBUG Explicar e selecionar

~s

tarefas administrativas adequadas exigidas para uma WLAN

42

11

Descrever padrões associados com meios de comunicação sem fio (incluindo: IEEE, WI-FI Alliance, ITUIFCC)

43

II

Identificar e descrever o propósito dos componentes em uma pequena rede de comunicação sem fio (incluindo: SSID, BSS, ESS)

44

11

Identificar os parâmetros básicos a serem configurados em uma rede sem fio para garantir que os dispositivos se conectem ao ponto de acesso correto

45

11

Comparar e contrastar características de segurança de comunicação sem fio e capacidades de segurança WPA (incluindo: open, WEP, WPA-1I2)

46

11

Identificar questões comuns com a implementação de redes de comunicação sem fio Identificar ameaças de segurança para uma rede e descrever métodos gerais para mitigar essas ameaças

47

I

Explicar as crescentes ameaças atuais à segurança de redes e a necessidade de implementar uma política de segurança abrangente para mitigar as ameaças

48

I

Explicar métodos gerais para mitigar ameaças comuns à segurança de dispositivos, hosts e aplicativos de rede

49

I

Descrever as funções de instrumentos e aplicativos de segurança comuns

50

I, n, III Descrever as práticas recomendadas de segurança incluindo os passos iniciais para se ter dispositivos de rede seguros Implementar e verificar links WAN

51

IV

Descrever diversos métodos para conexão com uma WAN

52

IV

Configurar e verificar uma conexão WAN serial

Tópicos do exame ICND2 A Tabela 1-2 relaciona os tópicos do exame ICND2 (640-816), junto com as seções do livro no Guia Oficial de Certificação do Exame CCNA ICND2 nas quais cada tópico é abordado.

xxx

Introdução

Tabela 1-2 Tópicos do Exame ICND2 Número de referência Seções do livro ICND2 onde o tópico é abordado

Tópico do exame

Configurar, verificar e resolver problemas de um switch com VLANs e comunicação interswitch

101

I

Descrever tecnologias avançadas de switching (incluindo: VTP, RSTP, VLAN, PVSTP, 802.1q)

102

I

Descrever como as VLANs criam redes logicamente separadas e a necessidade de roteamento entre elas

103

I

Configurar, verificar e resolver problemas relativos a VLANs

104

I

Configurar, verificar e resolver problemas relativos a trunking em switches Cisco

105

11

Configurar, verificar e resolver problemas relativos a roteamento interVLAN

106

I

Configurar, verificar e resolver problemas relativos a VTP

107

I

Configurar, verificar e resolver problemas relativos à operação RSTP

108

I

Interpretar o resultado de vários comandos show e debug para verificar o status operacional de uma rede de switches Cisco

109

I

Implementar a segurança básica de switches (incluindo: segurança de portas, portas não atribuídas, acesso a tronco, etc)

Implementar um esquema de endereçamento IP e de serviços IP para satisfazer as exigências de rede em uma rede empresarial de porte médio 110

11

Calcular e aplicar um projeto de endereçamento IP VLSM a uma rede

111

11

Determinar o esquema adequado de endereçamento classless utilizando VLSM e sumarização para satisfazer as exigências de endereçamento em urna LAN/WAN

112

V

Descrever as exigências tecnológicas para executar o IPv6 (incluindo: protocolos, pilha dupla, tunneling, etc)

113

V

Descrever endereços IPv6

114

11, III

Identificar e corrigir problemas comuns associados com o endereçamento IP e configurações de hosts

Configurar e resolver problemas básicos de operação e roteamento em dispositivos Cisco 115

111

Comparar e contrastar métodos de roteamento e protocolos de roteamento

116

111

Configurar, verificar e resolver problemas relativos a OSPF

117

111

Configurar, verificar e resolver problemas relativos a EIGRP

118

11, III

Verificar a configuração e a conectividade utilizando ping, traceroute, telnet ou SSH

119

11, III

Resolver problemas relativos a questões de implementação de roteamento

120

11, I1I, IV

121

11

Verificar a operação do hardware e do software de roteadores utilizando comandos SHOW & DEBUG Implementar a segurança básica de roteadores

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2 XXXI

•• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

Implementar, verificar e resolver problemas relativos a NAT e ACLs em uma rede empresarial de médio porte 122

II

Descrever o propósito e os tipos de listas de controle de acesso

123

II

Configurar e aplicar listas de controle de acesso com base nas exigências de filtragem de rede

124

II

Configurar e aplicar uma lista de controle de acesso para limitar o acesso telnet e SSH a roteadores

125

II

Verificar e monitorar ACLs em um ambiente de rede

126

II

Resolver problemas relativos a questões de implementação ACL

127

V

Explicar a operação básica do NAT

128

V

Configurar o Network Address Translation (Tradução de Endereços de Rede) para determinadas exigências de rede utilizando CU

129

V

Resolver problemas relativos a questões de implementação do NAT

Implementar e verificar links WAN

130

IV

Configurar e verificar Frame Relay em roteadores Cisco

131

IV

Resolver problemas relativos a questões de implementação da WAN

132

IV

Descrever a tecnologia VPN (incluindo: importância, benefícios, função, impacto, componentes)

133

IV

Configurar e verificar a conexão com o PPP entre roteadores Cisco

Tópicos do exame CCNA Na versão anterior dos exames, o exame CCNA abrangia boa parte do que constava no exame ICND (640-811), acrescido da abordagem de tópicos no exame INTRO (640-821). O novo exame CCNA (640-802) abrange todos os tópicos dos exames ICND1 (640-822) e ICND2 (640-816). Um dos motivos para uma abordagem mais equilibrada nos exames é que alguns dos tópicos que costumavam aparecer no segundo exame passaram a fazer parte do primeiro. O novo exame CCNA (640-802) abrange todos os tópicos dos exames ICND1 e ICND 2. Os tópicos oficiais do exame CCNA 640-802, apresentados na página http://www.cisco.com. incluem todos os tópicos relacionados na Tabela 1-2 para o exame ICND2, acrescido da maior parte dos tópicos do exame ICND1, relacionados na Tabela I-L Os únicos tópicos de exame dessas duas tabelas que não são relacionados como tópicos do exame CCNA são os tópicos destacados em cinza na Tabela I-L Entretanto, observe que os tópicos em cinza ainda são abordados no exame CCNA 640-802. Estes tópicos só não estão relacionados entre os tópicos do exame CCNA porque um dos tópicos do exame ICND2 se refere aos mesmos conceitos.

Esboço do curso ICND1 e ICND2 Outra forma de se direcionar em relação aos tópicos dos exames é olhar o esboço do curso relativo aos cursos desejados. A Cisco oferece dois cursos autorizados relacionados ao CCNA: o Interconnecting Cisco Network Devices 1 (ICND1) (lnterconectando Dispositivos de Rede Cisco 1) e o Interconnecting Cisco Network Devices 2 (ICND2) (Interconectando Dispositivos de Rede Cisco 2). A Cisco autoriza a CLSP (Certified Learning Solutions Providers, ou Provedores Certificados para Soluções de Aprendizado) e a CLP (Certified Learning Partners, ou Parceiros de Aprendizado Cisco) a ministrar essas aulas. Essas empresas autorizadas podem também criar apostilas de cursos customizadas utilizando este material, em alguns casos para ministrar aulas voltadas para a aprovação no exame CCNA.

XXXII

Introdução

Sobre o Guia Oficial de Certificação do Exame CCENT/CCNA ICND1 e o Guia Oficial de Certificação do Exame CCNA ICND2 Conforme mencionado anteriormente, a Cisco separou o conteúdo abordado pelo exame CCNA em duas partes: tópicos normalmente utilizados por engenheiros que trabalham em uma rede empresarial pequena (ICNDl), com os tópicos adicionais normalmente utilizados por engenheiros de empresas de porte médio sendo abordados pelo exame ICND2. Da mesma forma, a série Guia de Certificação do Exame CCNA inclui dois livros para o CCNA - CCENT/CCNA fCNDI Guia Oficial de Certificação do Exame e o CCNA fCND2 Guia Oficial de Certificação do Exame. Estes dois livros abrangem a gama de tópicos em cada exame, normalmente com um pouco mais de profundidade do que é exigido para os exames, simplesmente para assegurar que os livros preparem o candidato para as questões mais difíceis do exame. As seções apresentadas a seguir relacionam a variedade de recursos existentes neste livro e no CCENT/CCNA Guia Oficial de Certificação do Exame. Ambos os livros possuem os mesmos recursos básicos; portanto, se estiver lendo este livro e o livro ICNDl, você não precisará ler a introdução dos dois livros. Além disso, para aqueles que estejam usando ambos os livros para se preparar para o exame CCNA 640-802 (em vez de realizar a opção de dois exames), ao final desta introdução será apresentada uma sugestão de plano de leitura.

Objetivos e métodos

o objetivo mais importante e, de certa forma, óbvio deste livro é ajudá-lo a passar no exame ICND2 e no exame CCNA. De fato, se o objetivo principal deste livro fosse diferente, o seu título seria enganoso! Entretanto, os métodos utilizados neste livro para ajudá-lo a passar nos exames também são elaborados para que você adquira um conhecimento muito maior sobre como realizar seu trabalho. Este livro utiliza várias metodologias importantes para ajudá-lo a descobrir os tópicos do exame que precisam de mais revisões, para ajudá-lo a entender por completo e lembrar-se destes detalhes, e para ajudá-lo a provar a si mesmo que assimilou seu conhecimento sobre estes tópicos. Portanto, este livro não pretende ajudá-lo a passar em exames simplesmente através da memorização, mas através de um verdadeiro aprendizado e entendimento dos tópicos. A certificação CCNA é a base para a obtenção de muitas certificações profissionais da Cisco, e seria uma desconsideração a você se este livro não o ajudasse a verdadeiramente aprender a matéria. Por isso, este livro o ajuda a passar no exame CCNA utilizando os seguintes métodos: • Ajudando-o a descobrir quais tópicos do exame você ainda não domina • Proporcionando explicações e informações para preencher as lacunas do seu conhecimento • Fornecendo exercícios que aprimoram a sua capacidade de lembrar e deduzir respostas às questões do teste

Características do livro Para ajudá-lo a customizar seu tempo de estudo utilizando estes livros, os capítulos principais possuem vários recursos que o ajudam a tirar maior proveito do seu tempo:

• Questionários ''Eu já conheço isto?": Cada capítulo começa com um questionário que o ajuda a determinar quanto tempo será necessário para estudar o capítulo. • Tópicos fundamentais: Essas são as principais seções de cada capítulo. Elas explicam os protocolos, os conceitos e a configuração referentes aos tópicos discutidos no capítulo. • Atividades de Preparação para o Exame: Ao final da seção Tópicos Fundamentais de cada capítulo, a seção Atividades de Preparação para o Exame relaciona uma série de atividades de estudo que devem ser realizadas ao final do capítulo. Cada capítulo inclui as atividades que fazem mais sentido para o estudo dos tópicos do capítulo. Dentre as atividades, incluem-se as seguintes: -

Revisão dos Tópicos Principais: O ícone Tópicos Principais é mostrado próximo aos itens mais importantes na seção Tópicos Fundamentais do capítulo. A atividade Revisão dos Tópicos Principais relaciona os tópicos principais daquele capítulo e o número da página. Como o conteúdo do capítulo inteiro pode cair no exame, você deve, com certeza, saber as informações relacionadas em cada tópico principal. Por isso, elas devem ser revisadas.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2 XXXIII

•• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

-

Completar Tabelas e Listas Usando a Memória: para ajudá-lo a exercitar sua memória e memorizar algumas listas de fatos , muitas das listas e tabelas mais importantes do capítulo são incluídas no Apêndice J. Este documento relaciona somente informações parciais, permitindo que você complete a tabela ou a lista. O Apêndice K relaciona as mesmas tabelas e listas, preenchidas, para facilitar a comparação.

-

Definição dos Termos Principais: Embora seja improvável que nos exames caiam perguntas do tipo "Defina este termo", os exames CCNA requerem que você aprenda e saiba várias terminologias de comunicação em rede. Esta seção relaciona os termos mais importantes do capítulo, pedindo que você escreva uma pequena definição e compare sua resposta com o glossário apresentado no fmal do livro.

-

Tabelas de Referência a Comandos: Alguns capítulos do livro abordam uma grande quantidade de comandos de configuração e EXEC. Essas tabelas relacionam os comandos introduzidos no capítulo, junto com uma explicação. Para se preparar para o exame, use-as como referência, mas também leia as tabelas uma vez quando estiver executando as Atividades de Preparação para o Exame para assegurar-se de que você se lembre de tudo que os comandos podem fazer.

• Prática para a criação de sub-redes (Subnetting Practice): O Apêndice D encontrado em inglês no website da editora www.altabooks.com.br. contém um grande conjunto de problemas para praticar a criação de sub-redes, com as respostas e as explicações de como as respostas foram obtidas. Este é um excelente recurso para se preparar para a criação de sub-redes com agilidade e eficiência. • O site amigo: o site http://www.ciscopress.comltitle/1587201828 fornece os materiais atualizados mais recentemente que ajudam a esclarecer tópicos complexos do exame. Verifique este site regularmente e veja as atualizações escritas pelo autor que fornecem uma visão mais profunda dos tópicos mais problemáticos encontrados no exame. (em inglês)

Como este livro é organizado Este livro contém 18 capítulos principais - os Capítulos de 1 a 18, com o Capítulo 18 incluindo alguns materiais de resumo e sugestões sobre como abordar os exames. Cada capítulo principal abrange um subconjunto dos tópicos do exame ICND2. Os capítulos principais estão organizados em seções e cobrem os seguintes tópicos:

• Parte I: LAN Switching -

Capítulo 1, ''LANs Virtuais": Este capítulo explica os conceitos e a configuração em torno das LANs virtuais, incluindo Trunking de VLANs e o VTP (VIAN Trunking Protocol, ou Protocolo de Trunking de VLANs

-

Capítulo 2, ''Protocolo Spanning Tree": Este capítulo mergulha fundo nos conceitos existentes por trás do STP (Spanning Tree Protocol, ou Protocolo Spanning Tree), bem como no Rapid STP mais recente (RSTP), incluindo conceitos de configuração e resolução de problemas.

-

Capítulo 3, "Resolvendo problemas de LAN Switching" : Este capítulo explica algumas idéias gerais sobre como resolver problemas de comunicação em rede, concentrando-se principalmente no processo de encaminhamento utilizado por switches de LANs.

• Parte li: Roteamento IP

-

Capítulo 4, "Roteamento IP: rotas estáticas e rotas diretamente conectadas": Este capítulo examina como os roteadores acrescentam rotas estáticas e rotas conectadas à tabela de roteamento, revendo simultaneamente os conceitos existentes por trás de como os roteadores direcionam ou encaminham pacotes.

-

Capítulo 5, ''VLSM e sumarização de rotas": Este capítulo explica como o roteamento IP e os protocolos de roteamento podem dar suporte ao uso de diferentes máscaras de sub-rede em uma única rede classful (VLSM), bem como os conceitos da matemática existente por trás de como os roteadores conseguem sumarizar múltiplas rotas em uma única entrada na tabela de roteamento.

-

Capítulo 6, ''Listas de controle de acesso IP": Este capítulo examina como as ACLs podem filtrar pacotes para que um roteador não encaminhe o pacote. O capítulo examina os conceitos e a configuração de ACLs padrão e estendidas incluindo ACLs nomeadas e numeradas.

-

Capítulo 7, "Resolvendo problemas de roteamento IP": Este capítulo mostra um plano estruturado para como isolar problemas relacionados a dois hosts que deveriam conseguir encaminhar pacotes um para o outro, mas

XXXIV

Introdução

não conseguem fazê-lo. O capítulo inclui também uma variedade de ferramentas e dicas para ajudar a atacar problemas de roteamento. • Parte li: Configuração e resolução de problemas relativos a protocolos de roteamento -

Capítulo 8, "Teoria dos protocolos de roteamento": Este capítulo explica a teoria existente por trás dos protocolos do vetor distância e link-state.

- Capítulo 9, "OSPF': Este capítulo examina o OSPF, incluindo mais detalhes sobre a teoria link-state implementada pelo OSPF, e a configuração do OSPE -

Capítulo 10, "EIGRP": Este capítulo examina o EIGRP, incluindo uma descrição da teoria existente por trás do EIGRP, bem como a configuração e a verificação do EIGRP.

-

Capítulo 11, ''Resolvendo problemas em protocolos de roteamento": Este capítulo explica algumas das razões típicas pelas quais os protocolos de roteamento falham ao trocar informações de roteamento, mostrando exemplos específicos de problemas comuns com o OSPF e EIGRP.

• Parte IV: Redes de longa distância (WANs) -

Capítulo 12,"WANs ponto-a-ponto": Este curto capítulo revisa os fundamentos das WANs e examina o PPP, incluindo o CHAP, em mais detalhe.

-

Capítulo 13, "Conceitos de Frame Relay": Este capítulo se concentra na terminologia e na teoria existente por trás do protocolo Frame Relay, incluindo opções de endereçamento IP ao utilizar Frame Relay.

-

Capítulo 14, "Configuração e resolução de problemas de Frame Relay": Este capítulo mostra uma variedade de opções de configuração para Frame Relay, incluindo subinterfaces ponto-a-ponto e multi pontos. Explica também a melhor forma de utilizar os comandos show para isolar a causa geradora de problemas comuns envolvendo Frame Relay.

-

Capítulo 15, ''Redes privadas virtuais": Este capítulo examina os conceitos e protocolos utilizados para criar VPNs seguras na Internet, incluindo os fundamentos do IPsec.

• Parte V: Escalando o espaço de endereçamento IP -

Capítulo 16, "Tradução de endereços de rede": Este capítulo examina de perto os conceitos existentes por trás da exaustão de espaço de endereçamento IPv4, e como o NAT, de modo especial a opção PAT (Port Address Translation), ajuda na resolução de problemas. O capítulo também mostra como configurar o NAT em roteadores que utilizam lOS CU.

-

Capítulo 17, ''IP Versão 6": Este capítulo introduz os fundamentos do IPv6, incluindo o formato de endereço de 128 bits, suporte OSPF e EIGRP ao IPv6, e a configuração original básica do IPv6. Introduz também o conceito de estratégias de migração e de tunneling do IPv6.

• Parte VI: Preparação final -

Capítulo 18, ''Preparação final": Este capítulo sugere um plano de preparação final após ter concluído as principais partes do livro, explicando, de modo especial, as várias opções de estudo disponíveis no livro.

• Parte VII: Apêndices -

Apêndice A, ''Respostas para os questionários ''Eu já conheço isto?": Inclui as respostas a todas as questões desde o Capítulo 1 até o Capítulo 17.

- Apêndice B, ''Tabela de conversão de decimal para binário": Relaciona os valores decimais de O a 255, junto com os equivalentes binários. -

Apêndice C, "Atualizações no exame ICND2: versão 1.0": Este apêndice aborda uma variedade de tópicos que esclarecem ou espandem os tópicos abordados anteriormente no capítulo. Este apêndice é atualizado de tempos em tempos e postado em http://www.ciscopress.comlccna. com a versão mais recente disponível na época de impressão, incluída aqui como Apêndice C. (A primeira página do apêndice inclui instruções sobre como verificar se a última versão do Apêndice C está disponível on-line.)

••

•• •• •• •

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2 XXXV

•• •• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

-Glossário: O glossário contém definições para todos os termos relacionados na seção "Definição de termoschave", ao final dos Capítulos 1 a 17. • Parte Vil: Apêndices -

Apêndice D, Prática de Sub-redes (disponível em inglês, no website da editora www.altabooks.com.br): Embora não abordada em nenhum dos capítulos impressos neste livro, a criação de sub-redes é com certeza o conhecimento pré-requisito mais importante para o exame lCND2. Este apêndice, bem como os Apêndices E, H e 1, incluem materiais extraídos do Guia Oficial de Certificação do Exame CCENT/CCNA ICNDJ para aqueles que compraram este livro, mas não o livro do lCNDl. De modo especial, este apêndice inclui um grande número de problemas relacionados com a prática da criação de sub-redes, apresentando também as respostas. As respostas utilizam processos binários e decimais descritos no Capítulo 12 do livro lCND1; o Apêndice H deste livro é uma cópia do Capítulo 12 do lCNDl.

-

Ap ênd ice E, Páginas d e Referência a Sub-redes (disponível em inglês, no website da editora www.altabooks.com.br): Este apêndice resume o processo utilizado para encontrar a resposta a vários problemas importantes de sub-redes, com os detalhes apresentados em uma única página. O objetivo é oferecer a você uma página de referência para ser usada ao praticar sub-redes.

-

Apêndice F, Cenários Adicionais: Um dos métodos utilizados para melhorar a sua capacidade de análise de redes e de resolução de problemas é examinar quantos cenários de redes forem possíveis, raciocinar sobre eles e obter feedback para verificar se você chegou às conclusões corretas. Este apêndice oferece vários cenários deste tipo.

-

Apêndice H, Endereçamento e Sub-rede IP: Este apêndice é uma cópia do Capítulo 12 do Guia Oficial de Certificação do Exame CCENT/CCNA ICNDJ. Este capítulo explica endereçamento IP e sub-redes, que são considerados um conhecimento pré-requisito para o exame lCND2. O Apêndice H é incluído neste livro para aqueles que não possuem uma cópia do Guia Oficial de Certificação do Exame CCENT/CCNA ICNDJ. É necessário, entretanto, revisar e aprender mais sobre sub-redes.

-

Apêndice I, Configuração de WAN: Este apêndice é uma cópia do Capítulo 17 do Guia Oficial de Certificação do Exame CCENT/CCNA ICNDJ. O Capítulo 12 deste livro (ICND2) , "WANs ponto-a-ponto", apresenta uma sugestão para revisar alguns pontos pré-requisitos apresentados neste capítulo. Este capítulo é incluído neste livro para aqueles que não possuem uma cópia do Guia Oficial de Certificação do Exame CENT/CCNA ICNDJ.

-

Apêndice J, ''Tabelas de Memória": Este apêndice contém as tabelas e listas de cada capítulo, com a eliminação de parte do conteúdo. Este apêndice pode ser impresso e, como exercício de memória, as tabelas e listas podem ser completadas. O objetivo é ajudá-lo a memorizar fatos que podem ser úteis nos exames.

-

Apêndice K, "Resposta das Tabelas de Memória": Este apêndice contém a chave de respostas para os exercícios do Apêndice J.

-

Apêndice L, ''1CND2 Open-Ended Questions": Este apêndice é proveniente de edições anteriores deste livro. A edição mais antiga apresentava questões de resolução livre com o propósito de ajudá-lo a estudar para o exame, mas as novas características tomam essas questões desnecessárias. Por questão de conveniência, as questões antigas são incluídas aqui, porém não editadas desde a última edição.

Como usar este livro para se preparar para o exame ICND2 (640-816) Este livro foi elaborado com dois objetivos principais em mente: ajudá-lo a estudar para os exames lCND2 e CCNA utilizando tanto este livro quanto o Guia Oficial de Certificação de Exame CCENT/CCNA ICNDJ. Usar este livro para se preparar para o exame de lCND2 é simples - leia todos os capítulos na seqüência, e siga as sugestões de estudo apresentadas no Capítulo 18 "Preparação Final". Para os capítulos principais deste livro (Capítulos de 1 a 17), são dadas algumas opções com relação ao volume que você deve ler de cada capítulo. Em alguns casos, é possível que você já saiba a maior parte ou todas as informações abordadas em determinado capítulo. Para ajudá-lo a decidir quanto tempo deve ser dedicado a cada capítulo, os capítulos começam com um questionário "Eu já conheço isto?". Se acertar todas as questões do questionário, ou errar apenas uma, é provável que você prefira saltar direto para o fim do capítulo até a seção "Atividades de Preparação para o Exame" e resolver essas atividades. A Figura 1-2 apresenta o plano geral.

XXXVI

•

Introdução

Figura 1-2. Como abordar cada capítulo deste livro Responda ao questionário "Eu já conheço isto?" Se errar mais de 1:

Se errar 1 ou menos, mas deseja estudar mais

Se errar 1 ou menos, e deseja continuar

leialfaça "Atividades de Preparação para o Exame ..

Para o próximo capftulo

Ao concluir os Capítulos de 1 a 17, você poderá usar as diretrizes apresentadas no Capítulo 18 para detalhar o resto das atividades de preparação para o exame. Este capítulo inclui as seguintes sugestões: • Visite a página http://www.ciscopress.com para obter a cópia mais recente do Apêndice C, que pode incluir tópicos adicionais para estudo. (em inglês) •

Pratique a criação de sub-redes utilizando as ferramentas disponíveis nos apêndices.

•

Repita as atividades em todas as seções "Atividades de Preparação para o Exame", encontradas ao fmal de cada capítulo.

• Revise os cenários apresentados no Apêndice F. •

Revise todas as questões do questionário "Eu já conheço isto?"

•

Pratique o exame utilizando os simulados.

Como usar estes livros para se preparar para o exame CCNA 640-802 Se você pretende obter a sua certificação CCNA utilizando a opção de exame único do CCNA 640-802, este livro pode ser utilizado junto com o CCENTICCNA ICND 1 Guia Oficial de Certificação do Exame. Caso ainda não tenha comprado nenhum dos livros, de um modo geral, é possível conseguir o par a um custo menor adquirindo-os em um conjunto de dois volumes, chamado Biblioteca de Certificação CCNA (CCNA Certification Library). Estes dois livros foram elaborados para serem usados juntos ao estudar para o exame CCNA. Você possui duas opções com relação à ordem em que os dois livros devem ser lidos. A primeira opção, e a mais óbvia, é ler o livro rCNDI e, em seguida, passar para este livro (rCND2). A outra opção é ler toda a abordagem feita pelo rCNDI sobre um tópico e, em seguida, ler a abordagem feita pelo rCND2 sobre o mesmo tópico. Depois disso, deve-se voltar ao rCNDI novamente. A Figura r-3 ilustra a opção de leitura que sugiro para os dois livros.

Figura 1-3 Plano de leitura ao estudar para o exame CCNA Guia de Certific ação do Exame ICND1 Comece aqui

Fundamentos de rede LAN Switching

Gu ia de Certificação do Exame ICND2 LAN Switching Roteamento IP

Roteamento IP Protocolos de Roteamento Redes de área estendida 1 - - - - +

Redes de área estendida

Preparação final

Redução do Espaço de Endereçamento IP Preparação Final

•• •• •• •• •• •• •

•• •

•• •• •

•• •• •

•• •• •• •• •• •• •• •• ••

• •• •

•• •• ••

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNAICND2XXXVII Ambas as opções de plano de leitura oferecem alguns benefícios. Folhear as páginas dos livros pode ajudá-lo a se concentrar em um tópico geral de cada vez. Entretanto, observe que existe uma certa sobreposição entre os dois exames, e, portanto, você também perceberá uma certa sobreposição de assuntos entre os dois livros. Com base nos comentários feitos por leitores sobre a edição anterior destes livros, aqueles que eram iniciantes na comunicação em rede mostraram uma tendência a se sair melhor completando todo o primeiro livro e, em seguida, passando para o segundo. Já os leitores mais experientes, e com maior conhecimento, antes de começar a ler os livros mostraram uma tendência a preferir seguir um plano de leitura como o mostrado na Figura 1-3. Observe que, para a preparação final, você pode utilizar o capítulo final (Capítulo 18) deste livro, em vez do capítulo de preparação final (Capítulo 18) do livro ICNDl. Além do fluxo mostrado na Figura 1-3, ao estudar para o exame CCNA (em vez dos exames ICNDl e ICND2), você precisa dominar a criação de sub-redes IP antes de passar para as partes de roteamento IP e protocolos de roteamento (partes II e li) deste livro. Este livro não revisa a criação de sub-redes nem a matemática que existe por trás do texto impresso, considerando que você saiba como encontrar as respostas. Os capítulos do ICND2, principalmente o Capítulo 5 ("Sumarização de Rotas e VLSM"), serão muito mais fáceis de entender se você puder executar com facilidade a matemática da criação de sub-redes.

Para mais informações Para quaisquer comentários sobre este livro, envie-os através do site Ciscopress.com. Basta ir ao site, selecionar Fale Conosco e digitar sua mensagem. A Cisco ocasionalmente pode fazer modificações que afetem a certificação CCNA. Para isso, você deve sempre consultar www.cisco.com/go/ccna para saber dos detalhes mais recentes. A certificação CCNA é possivelmente a mais importante das certificações CISCO. Certamente é a mais popular. Ela é exigida como pré-requisito para várias outras certificações e é o primeiro passo para se distinguir como alguém que possui conhecimento comprovado pela Cisco. O CCNA ICND2 Guia Oficial de Certificação do Exame é elaborado para ajudá-lo a obter a certificação CCNA. Este é o livro de certificação CCNA ICND2 oferecido pela única editora autorizada pela Cisco. Nós, na Cisco Press, acreditamos que este livro certamente possa ajudá-lo a conseguir a certificação CC NA - mas o resultado final depende de você! Posso garantir que o seu tempo será utilizado da melhor forma possível.

•• •• •• •• •• •• •• • ~--------------------------------------------- . •• •• • •• •• •• • Tópicos publicados do exame Cisco ICND2* abordados nesta parte

Configurar, verificar e resolver problemas relativos a um switch utilizando VLANs e comunicações entre . switches • Descrever tecnologias avançadas de switching (incluindo: VTP, RSTP, VLAN, PVSTP, 802.1q)

• Descrever como VLANs criam redes logicamente separadas e a necessidade de roteamento entre elas •

Configurar, verificar e resolver problemas relativos a VLANs

• Configurar, verificar e resolver problemas relativos a trunking em switches Cisco • Configurar, verificar e resolver problemas relativos ao VTP

• Configurar, verificar e resolver problemas relativos à operação do RSTP •

Interpretar o resultado de vários comandos sbow e debug para verificar o status operacional de uma rede • de switches Cisco •

•

Implementar a segurança básica de switches (incluindo: segurança de portas, portas não designadas, acesso . • a trunks etc.)

* Sempre verifique a página http://www.cisco.com para obter os tópicos mais recentes do exame.

• •

•• ••

•• •• ••

•• •• •

•• •• •• •• •• •• ••

••

•• •• •• •• •• •• •• •• •• •• •• ••

Parte I: LAN Switching Capítulo 1 LANs virtuais Capítulo 2 Protocolo Spanning Tree Capítulo 3 Resolvendo problemas de LAN Switching

Este capítulo aborda os seguintes assuntos: Conceitos de LAN virtual: esta seção explica o significado e o propósito das VLANs, Trunking de VLAN e o VTP (VLAN Trunking Protocol)

Configuração e verificação de VLANs e Trunking de VLAN: esta seção mostra como configurar VLAN s e trunks em switches Catalyst Cisco

Configuração e verificação VTP: esta última seção explica como configurar e resolver problemas relativos a instalações VTP.

•• •• •• •• •• •• •• •• •• •• •• • • •

•• •• •• •• •• •• •• •• •• ••

•• •• CAPíTULO •• •• LANs virtuais •• •• •• •• •• •• Questionário "Eu já conheço isto?" •

1

A primeira parte deste livro, que inclui os Capítulos 1,2 e 3, se concentra no mundo das LANs. O Capítulo 1 examina os conceitos e as configurações relacionados com as LANs virtuais (VLANs), enquanto o Capítulo 2, "Spanning Tree Protocol", aborda como o Spanning Tree Protocol (STP) evita a ocorrência de loops em uma rede de switches. Finalmente, o Capítulo 3, "Resolvendo Problemas Relativos a LAN Switching", amarra vários conceitos relacionados a LANs ao mesmo tempo em que explora o processo de resolução de problemas comuns encontrados em LANs.

Conforme mencionado na Introdução, este livro parte do princípio de que você tenha um domínio sólido dos tópicos mais importantes abordados no exame ICND 1. Se tiver dúvidas em relação a esses pré-requisitos, talvez valha a pena dar uma olhada na lista de conhecimentos pressupostos para este livro, sob o título "Tópicos do Exame ICNDl", encontrado na Introdução.

•• •• •• •• •• •• •• • •• •• •

•• ••

O questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Não errando mais que uma das dez questões de avaliação, você pode passar direto para a seção "Atividades de Preparação para o Exame". A Tabela lI relaciona os principais títulos deste capítulo e as questões do questionário "Eu já conheço isto?", abordando o material dessas seções. Isso ajudará você a avaliar o seu conhecimento nessas áreas específicas. As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

Tabela 1-1 Mapeamento entre a seção dos tópicos fundamentais e as questões do "Eu já conheço isto?" Seção dos tópicos fundamentais

Questões

Conceitos de LANs virtuais

1-5

Configuração e verificação de VLAN s e Trunking VLAN

6-8

Configuração e verificação VTP

9-10

1. Em uma LAN, qual dos seguintes termos mais se assemelha ao termo VLAN?

a. Domínio de colisão b. Domínio de broadcast c. Domínio de sub-rede d. Switch único e. Trunk 2. Imagine um switch com três VLANs configuradas. Quantas sub-redes IP são necessárias, considerando que todos os hosts em todas as VLANs queiram usar TCPIIP?

a. O b. 1 c. 2 d. 3 e. Impossível saber com base nas informações fornecidas.

6 Capítulo 1: LANS Virtuais 3. Qual das opções seguintes encapsula completamente o frame Ethernet original em um cabeçalho de trunking em vez de inserir outro cabeçalho dentro do cabeçalho Ethernet original? a. VTP b.ISL c. 802.1Q d. ISL e 802.1Q e. Nenhuma das respostas acima. 4. Qual das opções seguintes acrescenta o cabeçalho de trunking para todas as VLANs, exceto uma? a. VTP b.ISL c. 802.1Q d. ISL e 802.1Q e. Nenhuma das respostas acima. 5. Qual dos modos do VTP seguintes permite que as VLANs sejam configuradas em um switch? a. Cliente b. Servidor c. Transparente d. Dinâmico e. Nenhuma das respostas acima. 6. Suponha que você saiba que o switch 1 seja configurado com o parâmetro auto para trunking em sua interface FaO/5, que está conectada ao switch 2. Você deve configurar o switch 2. Quais dos ambientes seguintes para trunking poderiam permitir o funcionamento do trunking? a. Trunking ligado (on) b. Auto c. Desirable (Desejável) d. Access (Acesso) e. Nenhuma das respostas acima. 7. Um switch acaba de chegar da Cisco. O switch nunca foi configurado com uma configuração de VTP ou de VLANs, ou qualquer outra configuração. Um engenheiro entra no modo de configuração e emite o comando vlan 22, seguido pelo comando name Hannahs-VLAN. Qual das opções a seguir é verdadeira? a. VLAN 22 aparece relacionada no resultado de saída do comando show vlan brief. b. VLAN 22 aparece relacionada no resultado de saída do comando show running-config. c. VLAN 22 não é criada por este processo. d. VLAN 22 não existe naquele switch até que, pelo menos, uma interface seja atribuída àquela VLAN. 8. Qual dos seguintes comandos relaciona o estado operacional da interface GigabitO/l com relação ao Trunking de VLAN?

a. show interfaces giO/l b. show interfaces giO/l switchport

c. show interfaces giO/l trunk d. show trunks

• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• •

•• ••

•• •• •• •• ••

•• •• •• •• •

•• •• • •• •• •• •• ••

CCNA ICND2

7

9. Um engenheiro acaba de instalar quatro novos switches 2960 e conectou os switches uns com os outros utilizando cabos de crossover. Todas as interfaces estão em estado de pleno funcionamento. O engenheiro configura cada switch usando Fred como nome de domínio VTP e deixa todos os quatro switches no modo de servidor VTP. O engenheiro acrescenta VLAN 33 às 9 horas da manhã e, em seguida, em 30 segundos, emite um comando show vlan brief nos outros três switches, mas não encontra VLAN 33 nos outros três switches. Qual das respostas a seguir apresenta o motivo mais provável para o problema ocorrido neste caso? a. VTP requer que todos os switches tenham uma mesma senha VTP. b. O engenheiro devia ter tido mais paciência e esperado que o SW1 enviasse sua próxima atualização VTP periódica. c. Nenhum dos links entre os switches formam um trunk por causa do modo administrativo padrão auto do trunking 2960. d. Nenhuma das respostas acima. 10. Os switches SW1 e SW2 se conectam através de um trunk operacional. O engenheiro deseja usar VTP para comunicar as alterações feitas na configuração de VLANs. Ele configura uma nova VLAN no SW1, VLAN 44, mas o SW2 não reconhece a nova VLAN. Qual dos ambientes de configuração a seguir no SW1 e SW2 não seria uma possível causa para o SW2 não reconhecer VLAN 44? a. Os nomes de domínio VTP larry e LARRY, respectivamente b. As senhas VTP bob e BOB, respectivamente c. VTP Pruning ativado e desativado, respectivamente d. Os modos VTP de servidor e cliente, respectivamente

Tópicos fundamentais Um switch Catalyst Cisco utiliza definições padrão que permitem que ele funcione sem nenhuma configuração adicional, sem necessidade de instalações adicionais. Entretanto, a maioria das instalações configura três tipos principais de recursos de switches: VLANs, conforme abordado neste capítulo; Spanning Tree, conforme abordado no Capítulo 2; e uma variedade de ambientes administrativos que não causam impacto no comportamento de encaminhamento do switch, explicados no Guia Oficial de Certificação do Exame CCENT/CCNA ICNDJ. Todos os objetivos publicados para o exame ICND1 são considerados pré-requisitos para o exame ICND2, embora este último não aborde esses tópicos como finalidade. Por exemplo, conforme descrito no livro ICND 1, os switches reconhecem endereços MAC examinando o endereço MAC fonte das frames de entrada e tomam decisões de encaminhamento/ ftltragem com base no endereço MAC de destino das frames. Os capítulos sobre LAN encontrados naquele livro (Capítulo 3 e do Capítulo 7 ao 11) também explicam os conceitos de renegociação automática, colisões, domínios de colisão e domínios de broadcast. Portanto, embora o exame ICND2 possa não ter uma questão específica sobre esses tópicos, eles podem ser necessários para responder a uma questão relacionada com os objetivos do exame ICND2. E, obviamente, o exame CCNA aborda todos os tópicos e objetivos, tanto para o exame ICND1 quanto o ICND2. Além desses conceitos básicos, o livro ICND 1 também descreve uma grande variedade de pequenas tarefas de configuração que oferecem acesso a cada switch e ajudam a proteger o switch quando o acesso for concedido. Um switch deve ser configurado com um endereço IP, uma máscara de sub-rede e um portão de entrada padrão, permitindo acesso remoto ao switch. Junto com este acesso, a Cisco recomenda várias ações para se obter uma melhor segurança além de simplesmente proteger fisicamente o roteador com o intuito de impedir o acesso a partir do console do switch. Em especial, devem ser configuradas senhas, e, para acesso remoto, deve ser usado o Secure Shell (SSH) em vez do Telnet, se possível. O serviço HTTP também deve ser desativado, e devem ser configurados avisos para alertar sobre a existência de possíveis ataques. Além disso, as mensagens syslog de cada switch devem ser monitoradas para verificar a existência de qualquer mensagem relacionada a vários tipos de ataques. Os três capítulos desta primeira parte do livro contam a história da LAN, explicando os tópicos especificamente relacionados aos objetivos do exame ICND2. De modo especial, este capítulo examina os conceitos relacionados a VLANs e, em seguida, aborda a configuração e a operação de VLANs. A primeira seção deste capítulo explica os conceitos principais, incluindo como transmitir o tráfego VLAN entre switches utilizando trunks de VLANs e como o VTP (VLAN Trunking

8

Capítulo 1: LANS Virtuais

Protocol), patenteado pela Cisco, ajuda no processo de configuração de VLANs em uma LAN de compus. A segunda seção deste capítulo mostra como configurar VLANs e trunks de VLANs, como atribuir estaticamente interfaces a uma VLAN e como configurar um switch para que um telefone e um PC na mesma interface estejam em duas VLANs diferentes. A última seção aborda a configuração e a resolução de problemas relativos a VTP.

Conceitos de LANs virtuais Antes de entender VLANs, é necessário primeiro entender especificamente a definição de LAN. Embora você possa analisar LANs a partir de várias perspectivas, uma delas, em especial, pode ajudá-lo a entender VLANs: Uma LAN inclui todos os dispositivos no mesmo domínio de broadcast. Um domínio de broadcast inclui o conjunto de todos os dispositivos conectados pela LAN de forma que, quando qualquer dispositivo envia uma frame de broadcast, todos os outros dispositivos recebem uma cópia da frame. Portanto, você pode pensar em uma LAN e um domínio de broadcast como sendo basicamente a mesma coisa. Sem as VLANs, o switch considera que todas as suas interfaces estejam no mesmo domínio de broadcast; em outras palavras, todos os dispositivos conectados estão na mesma LAN. Com as VLANs, o switch pode colocar algumas interfaces em um domínio de broadcast e outras em outro domínio, criando vários domínios de broadcast. Estes domínios de broadcast individuais criados pelo switch são chamados LAN virtuais. A Figura 1-1 mostra um exemplo, com duas VLANs e dois dispositivos em cada VLAN.

Figura 1-1 Exemplo de rede com duas VIANs utilizando um switch *,"

.---_.--------------- .......

,,,.,.....

/",

. ...............

.. : . VLAN1

Dino.

·,

:

_~=;;~ Fred

.. ' ......... ..

"", "

'

.........

000 '0

........

.

-~iiiiCi' Wilma

·..

i VLAN2

•

..........

Betty'

....... ......

.. .... ... ..... ....................................

,,,

.. .... -

Ao colocar hosts em diferentes VLANs, você obtém vários benefícios, embora as razões possam não parecer tão óbvias a partir da Figura 1-1. A chave para desfrutar esses benefícios é entender que uma broadcast feito por um host em uma VLAN será recebida e processada por todos os outros hosts na VLAN, mas não por hosts em uma VLAN diferente. Quanto mais hosts houver em uma única VLAN, maior será o número de broadcasts e maior será o tempo de processamento necessário para cada host na VLAN. Além disso, qualquer pessoa pode baixar vários pacotes de software gratuitamente, genericamente chamados de software analisador de protocolo, que podem capturar todos os frames recebidos por um host. (Visite Wireshark, em http://www.wireshark.org, para obter gratuitamente um excelente pacote analisador.) Em conseqüência disso, VLANs maiores expõem números e tipos de broadcast maiores para outros hosts, expondo mais frames para hosts que poderiam ser usados por um hacker que utiliza softwares analisadores de protocolo para tentar executar um ataque de reconhecimento. Essas são apenas algumas razões para separar os hosts em VLANs diferentes. A seguir, apresentamos um resumo das razões mais comuns: á:~o

.....

-Criar projetos mais flexíveis que agrupem usuários por departamento ou por grupos que trabalham juntos, em vez de criá-los por localização física - Segmentar dispositivos em LANs menores (domínios de broadcast) para reduzir a sobrecarga causada a cada host na VLAN

• •• •• •• •• •

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

• •• ••

•• •• •

•• •• •• •• ••

•• •• •• ••

••

•• •• •• •• ••

••

CCNAICND2

9

- Reduzir a carga de trabalho para o STP (Spanning Tree Protocol) limitando uma VLAN a um único switch de acesso - Impor uma melhor segurança mantendo os hosts que trabalham com dados sensíveis em uma VLAN separada - Separar o tráfego enviado por um telefone IP do tráfego enviado por PCs conectados aos telefones Este capítulo não chega a examinar com maior profundidade as razões para implementar VLANs, mas examina bem de perto os mecanismos de como as VLANs funcionam em diferentes switches Cisco, incluindo a configuração necessária. Com tal propósito, a próxima seção examina o Trunking de VLAN, um recurso necessário para instalar uma VLAN que existe em mais de um switch.

Trunking com ISL e 802.1 Q Ao usar VLANs em redes que possuam vários switches interconectados, os switches precisam utilizar o Trunking de VIAN nos segmentos existentes entre switches. O Trunking de VLAN faz com que os switches utilizem um processo chamado VIAN tagging, através do qual o switch de envio acrescenta outro cabeçalho ao frame antes de enviá-lo pelo trunk. Este cabeçalho de VLAN adicional possui um campo VIAN identifier (identificador de VIAN) (VLAN ID) de forma que o switch de envio possa listar o VLAN ID e o switch de recebimento possa saber a qual VLAN pertence cada frame. A Figura 1-2 esboça a idéia básica.

Figura 1-2 Trunking de VIAN entre dois switches

(;:~;~ ....

:, Chav.

OI

CD

I

®

Ethernet Frame

•• '

,.

I

I

........ ----- ....

• ••• •••• :-:.LAN 1

.. '

··· . ..

Ethernet Frame

I

. .............. ----........ VLAN ,/;J.~~-----1 ..... ..... 1

'

..

..

, '

"

•·• ••• ~.~N 2

01"23

.........................

Trun

I VLAN 10 I

.. '

·· ............ __ ........

..

, '

.

"

de VLAN Ethernet Frame

o O uso de trunking permite que os switches transmitam frames de várias VLANs através de uma única conexão física. Por exemplo, a Figura 1-2 mostra o switch 1 recebendo uma frame de broadcast na interface FaO/1 no Passo 1. Para distribuir o frame, o switch 1 precisa encaminhar o frame de broadcast para o switch 2. Entretanto, o switch 1 precisa avisar ao switch 2 que o frame faz parte da VLAN 1. Portanto, conforme mostrado no Passo 2, antes de enviar o frame, o switch 1 acrescenta um cabeçalho de VLAN ao frame Ethemet original, com o cabeçalho de VLAN apresentando o número 1 como VLAN ID, neste caso. Quando o switch 2 recebe o frame, ele percebe que o frame veio de um dispositivo na VLAN 1, e, por isso, o switch 2 sabe que só deve encaminhar o broadcast para fora de suas próprias interfaces na VLAN 1. O switch 2 remove o cabeçalho de VLAN, encaminhando o frame original para fora de suas interfaces na VLAN 1 (Passo 3).

Como outro exemplo, considere o caso em que o dispositivo na interface FaO/5 do switch 1 envia um broadcast. O switch 1 envia o broadcast para fora da porta FaO/6 (porque esta porta está na VLAN 2) e para fora da porta Fa0/23 (por que ela é um trunk, o que significa que aceita várias VLANs diferentes). O switch 1 acrescenta um cabeçalho de trunking ao frame, listando o número 2 como VLAN ID. O switch 2 retira o cabeçalho de trunking quando percebe que o frame faz parte da VLAN 2; portanto, o switch 2 sabe que deve encaminhar o frame somente para as portas FaO/5 e FaO/6, e não para as portas FaO/1 e FaO/2.

10

Capítulo 1: LANS Virtuais

Os switches Cisco aceitam dois protocolos de trunking diferentes: o Inter-Switch Link (ISL) e o IEEE 802.1Q. OS protocolos de trunking oferecem vários recursos. O mais importante é o fato de poderem definir cabeçalhos que identificam a VLAN ID, como mostra a Figura 1-2. Eles apresentam também algumas diferenças, conforme discutido a seguir.

ISL A Cisco criou o ISL muitos anos antes do IEEE criar o protocolo padrão 802.1 Q para Trunking de VLAN. Como o ISL é patenteado pela Cisco, ele pode ser usado somente entre dois switches Cisco que aceitem ISL. (Alguns switches Cisco mais novos não aceitam ISL; pelo contrário, aceitam somente a alternativa padronizada 802.1Q.) O ISL encapsula completamente cada frame Ethernet original em um cabeçalho e trailer ISL. O frame Ethernet original, contido dentro do cabeçalho e trailer ISL, permanece inalterado. A Figura 1-3 mostra a criação do frame para o ISL.

Figura 1-3 Cabeçalho ISL .... .~_.-.---------_._-------- .. .... ,',"',..

~• •'

Dino

..........

Fred

,,'

.. : VLAN1

. . ; "

.

.,'

.- .... . . -.* " ..... .. . .

- "ta;;;,

"

. .................

Wilma

.

O cabeçalho ISL inclui vários campos, mas o mais importante é que o campo VLAN do cabeçalho ISL oferece um lugar para codificar o número da VLAN. Ao marcar um frame com o número da VLAN correto dentro do cabeçalho, o switch de envio pode assegurar que o switch de recebimento sabe a qual VLAN o frame encapsulado pertence. Além disso, os endereços da fonte e de destino do cabeçalho ISL utilizam os endereços MAC do switch de envio e de recebimento, ao contrário dos dispositivos que realmente enviaram o frame original. Fora isso, os detalhes do cabeçalho ISL não têm maior importância.

IEEE 802.1Q Hoje em dia, o IEEE padroniza muitos dos protocolos relacionados a LANs, e o Trunking de VLAN não é exceção. Anos após a Cisco ter criado o ISL, o IEEE [malizou seus trabalhos em cima do 802.1 Q padrão, que define uma forma diferente de fazer trunking. Atualmente, o 802.1 Q se tomou o protocolo de trunking mais popular, ao ponto de a Cisco não aceitar ISL em alguns de seus modelos mais recentes de switches LAN, incluindo os switches 2960 utilizados nos exemplos deste livro. O 802.1 Q utiliza um estilo diferente de cabeçalho, em comparação com o ISL, para marcar frames com um número VLAN. Na verdade, o 802.1Q não encapsula o frame original em outro cabeçalho e trailer Ethernet. Pelo contrário, o 802.1 Q insere um cabeçalho de VLAN de 4 bytes no cabeçalho Ethernet do frame original. Como resultado, ao contrário do ISL, o frame continua com os mesmos endereços MAC da fonte e de destino originais. Além disso, como o cabeçalho original foi expandido, o encapsulamento do 802.1Q força um novo cálculo do campo FCS (frame check sequence ou seqüência de verificação daframe) original no trailer Ethernet, porque o FCS se baseia no conteúdo do frame inteiro. A Figura 1-4 mostra o cabeçalho 802.1Q e a criação do frame do cabeçalho Ethernet revisado.

• •• •• •• •• •

•• •• ••

•• •• •• •• •• •• ••

•• •• •• •• •• ••

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

11

Figura 1-4 Cabeçalho do Trunking 802.1Q

Endereço de Destino

---

--Tipo (12 bits, O x 8100)

--VLAN ID (12 Bits)

Comparação entre ISL e 802.1 Q Até então, o texto descreveu uma única semelhança importante entre o ISL e o 802.1Q, com algumas poucas diferenças. A semelhança é que tanto o ISL quanto o 802.1Q definem um cabeçalho de VLAN que possui um campo VLAN ID. Entretanto, cada protocolo de trunking utiliza um cabeçalho geral diferente, sendo que um é padronizado (802.1Q) e o outro é proprietário (ISL). Esta seção destaca alguns outros pontos-chave de comparação entre ambos. Os dois protocolos de trunking aceitam o mesmo número de VLANs, especificamente 4094 VLANs. Os dois protocolos utilizam 12 bits do cabeçalho de VLAN para numerar VLANs, aceitando VLAN IDs de 212 ou 4096, com exceção de dois valores reservados (O e 4095). Das VLANs aceitas, observe que os VLAN IDs que vão de 1 a 1005 são considerados VLANs de intervalo normal, enquanto valores mais altos que 1005 são chamadas VLANs de intervalo estendido. Esta distinção é importante com relação ao VTP (VLAN Trunking Protocol), abordado na próxima seção. Tanto o ISL quanto o 802.1Q aceitam uma instância separada do STP (Spanning Tree Protocol) para cada VLAN, mas com detalhes diferentes de implementação, conforme explicado no Capítulo 2. Para LANs em compus com links redundantes, utilizar somente uma instância de STP significa que alguns links ficam ociosos em operações normais, sendo usados somente quando o outro link falha. Ao aceitar várias instâncias de STP, os engenheiros conseguem sintonizar os parâmetros STP de forma que, em operações normais, o tráfego de algumas VLANs utilize um conjunto de links enquanto o tráfego de outras VLANs utiliza outros links, aproveitando todos os links existentes na rede.

Observação O 802.1Q nem sempre aceitou várias instâncias de STP. Portanto, é possível que algumas referências mais antigas tenham corretamente declarado que, na época, o 802.1Q só aceitava uma única instância de STP. Uma última diferença importante entre o ISL e o 802.1Q abordada aqui está relacionada com um recurso chamado native VIAN (VIAN nativo). Em cada trunk, o 802.1Q define uma VLAN como sendo a VLAN nativa, ao passo que o ISL não utiliza tal conceito. Como padrão, a VLAN nativa do 802.1Q é a VLAN 1. Por definição, o 802.1Q simplesmente não acrescenta um cabeçalho 802.1Q aos frames na VLAN nativa. Quando o switch do outro lado do trunk recebe um frame que não possui um cabeçalho 802.1 Q, o switch de recebimento reconhece que o frame faz parte da VLAN nativa. Observe que, por causa desse comportamento, ambos os switches devem concordar com qual VLAN é a VLAN nativa. A VLAN nativa 802.1 Q oferece algumas funções interessantes, principalmente para dar suporte a conexões com dispositivos que não entendem trunking. Por exemplo, um switch Cisco poderia ser ligado por um cabo com um switch que não entende o trunking 802.1Q. Este switch Cisco poderia enviar frames existentes na VLAN nativa (o que significa que o frame não possui nenhum cabeçalho de trunking) de forma que o outro switch entendesse o frame. O conceito de VLAN nativa dá aos switches a capacidade de, pelo menos, transmitir o tráfego em uma VLAN (a VLAN nativa), o que pode proporcionar algumas funções básicas, como a possibilidade de acesso à telnet dentro de um switch. A tabela 1-2 resume os recursos principais e pontos de comparação entre o ISL e o 802.1Q.

Tabela 1-2 Comparação entre o ISL e o 802.1Q Função

ISL

802.1Q

Definido por

Cisco

IEEE

• ••

12 Capítulo 1: LANS Virtuais Insere outro cabeçalho de 4 bytes em vez de encapsular completamente o frame original

Não

Sim

Aceita VLANs de intervalo normal (1 a 1005) e de intervalo estendido (1006 a 4094) Sim

Sim

Permite vários spanning trees

Sim

Sim

Utiliza uma VLAN nativa

Não

Sim

Sub-redes IP e VLANs Ao incluir VLANs em um projeto, os dispositivos de uma VLAN precisam estar na mesma sub-rede. Seguindo a mesma lógica de projeto, dispositivos de VLANs diferentes precisam estar em sub-redes diferentes. Por causa dessas regras de projeto, muitas pessoas pensam que uma VLAN é uma sub-rede e que uma sub-rede é uma VLAN. Embora não seja totalmente verdade, como uma VLAN é um conceito de Camada 2 e uma sub-rede é um conceito de Camada 3, a idéia geral é até razoável porque os mesmos dispositivos de uma única VLAN são os mesmos dispositivos em uma única sub-rede. Assim como em todas as sub-redes IP, para que um host de uma sub-rede encaminhe pacotes para um host em outra subrede, pelo menos um roteador deve estar envolvido. Considere, por exemplo, a Figura 1-5, que mostra um switch com três VLANs, circulado por linhas tracejadas, com parte da lógica utilizada quando um host na VLAN 1 envia um pacote IP a um host na VLAN 2.

Figura 1-5 Roteamento entre VLANs , '., VLAN 1 I Sub-rede IP 10.1.1.024 I

I /

,

I

..--........ FaOIO VLAN1

IFrame I

IVLAN21 Frame I ~

\ VLAN 2 : Sub-rede IP 10.1.2.024 I

,,/

<.::....----~B;riiey'" " VLAN 3 : Sub-rede IP 10.1.3.024

Neste caso, quando Fred envia um pacote para o endereço IP de Wilma, Fred envia um pacote para o seu próprio roteador padrão porque o endereço IP de Wilma está em uma sub-rede diferente. O roteador recebe o frame com um cabeçalho VLAN que implica que o frame faz parte da VLAN 1. O roteador toma uma decisão de encaminhamento, enviando o frame de volta através do mesmo link físico, mas, desta vez, com um cabeçalho de Trunking de VLAN que mostra a VLAN 2. O switch encaminha o frame na VLAN 2 para Wilma. Pode parecer um pouco ineficaz enviar o pacote do switch para o roteador e de volta para o switch - e, na verdade, é o que acontece. Atualmente, uma opção mais provável em LAN s de compus é utilizar um switch chamado switch multilayer (multi camada) ou um switch Camada 3. Estes switches podem executar switching de Camada 2 e roteamento de Camada 3, combinando a função de roteador mostrada na Figura 1-5 no switch.

VLAN Trunking Protocol (VTP) (Protocolo de Trunking de VLAN) O VTP (VLAN Trunking Protocol), patenteado pela Cisco, fornece uma maneira através da qual os switches Cisco podem trocar informações sobre a configuração da VLAN. De modo especial, o VTP avisa sobre a existência de cada VLAN com base em sua VLAN ID e no nome da VLAN. Entretanto, o VTP não avisa sobre os detalhes relativos a quais interfaces do switch são atribuídas a cada VLAN.

•• •• •• •• •• •

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• ••

•• •

•• •• ••

•• •• ••

•• •• •• ••

--• •

o VTP define um protocolo de mensagens de Camada 2 que os

switches utilizam para trocar informações sobre a configuração da VLAN. Quando um switch muda sua configuração da VLAN - em outras palavras, quando uma VLAN é acrescentada ou excluída, ou uma VLAN existente é alterada -, o VTP faz com que todos os switches sincronizem suas configurações da VLAN para incluir as mesmas VLAN IDs e os nomes da VLAN. O processo é bastante parecido com um protocolo de roteamento, com cada switch enviando mensagens VTP periódicas. Os switches também enviam mensagens VTP assim que suas configurações de VLAN são alteradas. Se, por exemplo, você configurasse uma nova VLAN 3, com nome Accounting (Contabilidade), o switch imediatamente enviaria atualizações VTP por todos os trunks, provocando a distribuição das novas informações sobre a VLAN para o resto dos switches. Cada switch utiliza um dos três modos VTP: modo servidor, modo cliente ou modo transparente. Para utilizar o VTP, o engenheiro define que alguns switches utilizem o modo servidor e o resto utilize o modo cliente. Em seguida, a configuração de VLAN pode ser acrescentada nos servidores, com todos os outros servidores e clientes cientes das alterações feitas no banco de dados da VLAN. Os clientes não podem ser utilizados para configurar as informações da VLAN.

Por incrível que pareça, os switches Cisco não podem desativar o VTP. A opção mais próxima é utilizar o modo transparente, que faz com que esse switch ignore para si mensagens VTP, porém ele continua a encaminhar essas mensagens de forma que qualquer outro cliente ou servidor VTP possa receber uma cópia dessas mensagens. A próxima seção explica as operações normais quando o engenheiro utiliza os modos servidor e cliente para usufruir das capacidades do VTP, seguidas de uma explicação da maneira relativamente incomum de desativar o VTP através da ativação do modo VTP transparente.

Operação VTP normal utilizando os modos VTP servidor e cliente O processo VTP começa com a criação de VLAN em um switch chamado de servidor VTP. O servidor VTP distribui as alterações feitas na configuração de VLAN através de mensagens VTP, enviadas somente através de trunks ISL e 802.1 Q, por toda a rede. Tanto os servidores quanto os clientes VTP processam as mensagens VTP recebidas, atualizam seus bancos de dados da configuração VTP com base nessas mensagens e, em seguida, enviam atualizações VTP independentemente, através de seus trunks. Ao final do processo, todos os switches reconhecem as novas informações de VLAN. Os servidores e clientes VTP escolhem se querem reagir a uma atualização VTP recebida e atualizam suas configurações de VLAN com base no aumento do número de revisão da configuração do banco de dados de VLAN (VLAN database configuration revision number). Todas as vezes que um servidor VTP modifica sua configuração de VLAN, o servidor VTP aumenta o número atual de revisão da configuração em 1. As mensagens de atualização VTP mostram o novo número de revisão da configuração. Quando outro switch cliente ou servidor recebe uma mensagem VTP com um número de revisão da configuração maior que o seu próprio número, o switch atualiza sua configuração de VLAN. A Figura 1-6 ilustra como o VTP funciona em uma rede de switches.

";6PIcO . CMve

(DAcrescentar nova VLAN

• ••

•• •• •• •

I-

13

Como este livro ainda não mostrou como configurar VLANs, para apreciar melhor o VTP, considere este exemplo sobre o que o VTP pode fazer. Suponha que uma rede possua dez switches conectados de alguma forma usando trunks de VLAN, e que cada switch tenha, pelo menos, uma porta atribuída a uma VLAN com VLAN ID 3 e o nome Accounting (Contabilidade). Sem o VTP, qualquer engenheiro teria de entrar em todos os dez switches e inserir os mesmos dois comandos config para criar a VLAN e definir o seu nome. Com VTP, você criaria a VLAN 3 em um switch, e os outros nove switches reconheceriam a VLAN 3 e o seu nome utilizando o VTP.

....... Figura 1-6 Números de revisão da configuração VFP e processo de atualização VFP

• •

CCNA ICND2

@Rev3-Rev4

Cliente

VTP @Rev3-Rev4 @Sinc novas inform VLAN

A~~:iiiI

Cliente

VTP @Rev3-Rev4 @Sinc novas inform VLAN

14

Capítulo 1: LANS Virtuais

A Figura 1-6 começa com todos os switches tendo o mesmo número de revisão da configuração de VLAN, o que significa que eles possuem o mesmo banco de dados de configuração de VLAN. Isso significa que todos os switches reconhecem os mesmos números de VLAN e nomes de VLAN. O processo começa com cada switch reconhecendo que o número atual de revisão da configuração é 3. Os passos mostrados na Figura 1-6 são os seguintes:

1. Alguém configura uma nova VLAN a partir da CU (command-line interface, interface de linha de comando) de um servidor VTP. 2. O servidor VTP atualiza seu número de revisão do banco de dados da VLAN de 3 para 4.

3. O servidor envia as mensagens de atualização VTP através de suas interfaces do trunk, mostrando o número 4 como número de revisão. 4. Os dois switches cliente VTP percebem que as atualizações apresentam um número de revisão mais alto (4) que seus números atuais de revisão (3). 5. Os dois switches cliente atualizam seus bancos de dados de VLAN com base nas atualizações VTP do servidor.

Embora este exemplo mostre uma LAN muito pequena, o processo funciona da mesma forma para redes maiores. Quando um servidor VTP atualiza a configuração de VLAN, o servidor imediatamente envia mensagens VTP através de todos os seus trunks. Os switches vizinhos na outra extremidade dos trunks processam as mensagens recebidas e atualizam seus bancos de dados de VLAN e, em seguida, enviam mensagens VTP aos seus vizinhos. O processo se repete nos switches vizinhos, até que, finalmente, todos os switches tenham reconhecido o novo banco de dados de VLAN. Observação O processo completo através do qual um servidor muda a configuração de VLAN e todos os switches VTP reconhecem a nova configuração, resultando em todos os switches reconhecendo os mesmos nomes e IDs de VLANs, é chamado sincronização.

Os servidores e clientes VTP também enviam mensagens VTP periódicas a cada 5 minutos, caso qualquer switch recém acrescentado precise saber sobre a configuração de VLAN. Além disso, quando surge um novo trunk, os switches podem imediatamente enviar uma mensagem VTP pedindo que o switch vizinho envie o seu banco de dados de VLAN. Até então, este capítulo tem se referido a mensagens VTP como atualizações VTP ou mensagens VTP. Na prática, o VTP define três tipos diferentes de mensagens: avisos de resumo, avisos de subconjunto e solicitações de aviso. Os avisos de resumo relacionam o número de revisão, o nome de domínio e outras informações, mas não inclui nenhuma informação sobre a VLAN. As mensagens VTP periódicas que ocorrem a cada cinco minutos são avisos de resumo VTP. Se alguma coisa mudar, conforme indicado por um número de revisão maior que 1, a mensagem com o aviso de resumo é seguida por um ou mais avisos de subconjunto, cada qual alertando sobre algum subconjunto do banco de dados de VLAN. A terceira mensagem, ou seja, a mensagem de solicitação de aviso, permite que um switch imediatamente solicite mensagens VTP de um switch vizinho assim que surgir um trunk. Entretanto, os exemplos mostrados para os fins deste livro não fazem distinções sobre uso dessas mensagens.

Três requisitos para que o VTP opere entre dois switches Quando um cliente ou servidor VTP se conecta a outro switch cliente ou servidor VTP, o Cisco lOS exige que os três fatos seguintes sejam verdadeiros para que os dois switches possam trocar mensagens VTP: •

O link entre os switches deve estar operando como um trunk de VLAN (ISL ou 802.1Q).

• O nome de domínio VTP, sensível a letras maiúsculas e minúsculas, dos dois switches deve conferir. •

Se configurado em pelo menos um dos switches, a senha VTP, sensível a letras maiúsculas e minúsculas, dos dois switches deve conferir.

O nome de domínio VTP fornece uma ferramenta de projeto através da qual os engenheiros podem criar vários grupos de switches VTP, chamados domínios, cujas configurações de VLAN são autônomas. Para isso, o engenheiro pode configurar um conjunto de switches em um domínio VTP e outro conjunto em outro domínio VTP, e os switches dos diferentes domínios vão ignorar as mensagens de VTP uns dos outros. Os domínios VTP permitem que os engenheiros desmembrem a rede de switches em domínios administrativos diferentes. Por exemplo, em um prédio grande com uma

•

•• •• •• •• ••

•• •• •• •• •• •• •• •• •

•• •• •• •• •• •• •• • •

• •• •• ••

•• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2

15

grande equipe de TI, a equipe de TI de uma divisão pode usar Accounting (Contabilidade) como nome de domínio VTP, enquanto outra parte da equipe de TI pode usar Sales (Vendas) como nome de domínio, mantendo o controle das suas configuraçÇ')es, mas, ainda assim, podendo encaminhar o tráfego entre as divisões através da infra-estrutura e LAN. O mecanismo de senhas VTP fornece uma maneira através da qual um switch pode impedir que ataques nocivos forcem o switch a alterar sua configuração de VLAN. A senha em si nunca é transmitida em texto transparente.

Evitando o VTP utilizando o modo VTP transparente É interessante notar que, para evitar o uso do VTP para trocar informações de VLAN em switches Cisco, os switches não podem simplesmente desativar o VTP. Pelo contrário, os switches devem utilizar o terceiro modo VTP: o modo VTP transparente. Este modo confere autonomia a um switch a partir dos outros switches. Assim como os servidores VTP, os switches do modo VTP transparente podem configurar VLANs. Entretanto, ao contrário dos servidores, os switches do modo transparente nunca atualizam seus bancos de dados da VLAN com base em mensagens VTP de entrada, e os switches do modo transparente nunca tentam criar mensagens VTP para dizer aos outros switches sobre suas próprias configurações de VLAN. Os switches do modo VTP transparente, em essência, comportam-se como se o VTP não existisse, a não ser por uma pequena exceção: os switches do modo transparente encaminham atualizações VTP recebidas de outros switches, simplesmente para ajudar qualquer switch cliente ou servidor VTP vizinho. Visto de uma perspectiva de projeto, por causa dos perigos associados com o VTP (conforme abordado na próxima seção), alguns engenheiros simplesmente evitam o VTP como um todo utilizando o modo VTP transparente em todos os switches. Em outros casos, os engenheiros podem deixar alguns switches em modo transparente para dar autonomia aos engenheiros responsáveis por aqueles switches, enquanto utilizam os modos servidor e cliente VTP em outros switches.

Armazenando a configuração da VLAN Para encaminhar o tráfego relativo a uma VLAN, o switch precisa saber o VLAN ID da VLAN e o seu nome de VLAN. A função do VTP é avisar sobre esses detalhes, em que o conjunto inteiro de configurações para todas as VLANs é chamado de banco de dados de configuração de VLAN (VLAN configuration database), ou simplesmente banco de dados de VLAN. É interessante notar que o Cisco lOS armazena as informações no banco de dados de VLAN de forma diferente da maioria dos outros comandos de configuração Cisco lOS. Quando os clientes e servidores VTP armazenam a configuração d,a VLAN - especificamente, o VLAN ID, o nome da VLAN e outras definições da configuração VTP -, a configuração é armazenada em um arquivo chamado vlan.dat em memória flash. (O nome do arquivo é a abreviação de "VLAN database" ("banco de dados VLAN").) Ainda mais interessante é o fato de que o Cisco lOS não coloca essa configuração de VLAN no arquivo running-config nem no arquivo startup-config. Não existe nenhum comando para visualizar a configuração de VLAN e do VTP diretamente; em vez disso, é necessário utilizar vários comandos show para relacionar as informações sobre os resultados de saída das VLANs e do VTP. O processo de armazenamento da configuração da VLAN em memória flash no arquivo vlan.dat permite que os clientes e servidores reconheçam dinamicamente VLANs e tenham a configuração automaticamente armazenada, preparando, assim, tanto o cliente quanto o servidor para sua próxima reinicialização. Se a configuração da VLAN reconhecida dinamicamente tiver sido acrescentada somente ao arquivo config que está sendo executado, a LAN pode ficar exposta a casos nos quais todos os switches tenham perdido energia praticamente na mesma hora (o que pode facilmente ocorrer com uma única fonte de energia no prédio), resultando em perda de toda a configuração da VLAN. Ao armazenar automaticamente a configuração no arquivo vlan.dat em memória flash , cada switch tem, pelo menos, um banco de dados recente de configuração da VLAN e pode, então, confiar em atualizações VTP de outros switches, caso tenha havido qualquer alteração recente na configuração da VLAN. Um efeito colateral interessante desse processo é que, quando você utiliza um switch cliente ou servidor VTP em laboratório e deseja remover toda a configuração para começar com um switch limpo, é necessário executar mais de um comando erase startup-config. Se você apenas apagar o startup-config e recarregar o switch, o switch se lembrará de toda a configuração da VLAN e da configuração VTP que está armazenada no arquivo vlan.dat em memória flash. Para remover esses detalhes da configuração antes de recarregar um switch, seria necessário excluir o arquivo vlan.dat em memória flash através de um comando, como, por exemplo, delete flash:vlan.dat.

16

Capítulo 1: LANS Virtuais

Switches em modo transparente armazenam a configuração de VLAN no arquivo running-config e no arquivo vlan.dat em memória flash. O running-config pode ser salvo no startup-config também.

Observação Em algumas versões mais antigas do lOS de switches da Cisco, os servidores VTP armazenavam a configuração da VLAN tanto no arquivo vlan.dat quanto no arquivo running-config.

Versões VTP A Cisco aceita três versões VTP, devidamente chamadas de versões 1, 2 e 3. A maior parte das diferenças entre essas versões não é importante para as discussões contidas neste livro. Entretanto, a versão 2 do VTP apresentou uma importante melhoria em relação à versão 1, relativa ao modo VTP transparente. Essa melhoria é descrita sucintamente nesta seção. A seção "Evitando o VTP utilizando o modo VTP transparente", apresentada anteriormente neste capítulo, descrevia como um switch que utilizasse a versão 2 do VTP funcionaria. Entretanto, na versão 1 do VTP, um switch que estivesse no modo VTP transparente verificaria, primeiramente, o nome do domínio e a senha recebidos da atualização VTP. Se o switch em modo transparente não combinasse com os dois parâmetros, o switch em modo transparente descartaria a atualização VTP, em vez de encaminhar a atualização. O problema encontrado na versão 1 do VTP é que, em casos onde o switch em modo transparente existisse em uma rede com vários domínios VTP, o switch não encaminharia todas as atualizações VTP. Portanto, a versão 2 do VTP mudou a lógica do modo transparente, ignorando o nome do domínio e a senha, o que permite que um switch em modo transparente da versão 2 do VTP encaminhe todas as atualizações VTP recebidas.

Observação Atualmente, a versão 3 encontra-se disponível somente em switches Cisco avançados e será ignorada para os fIns deste livro.

VTP Pruning Como padrão, os switches Cisco distribuem broadcasts (e unicasts de destino desconhecido) em cada VLAN ativa por todos os trunks, desde que a topologia STP atual não bloqueie o trunk. (Mais informações sobre STP podem ser obtidas no Capítulo 2.) Entretanto, na maioria das redes, existem muitas VLANs em apenas alguns switches, mas não em todos os switches. Por isso, é um desperdício encaminhar broadcasts por todos os trunks, fazendo com que os frames cheguem até switches que não possuem nenhuma porta naquela VLAN. Os switches aceitam dois métodos através dos quais os engenheiro!) podem limitar qual tráfego de VLAN flui pelo trunk. Um dos métodos requer a configuraçao manual da lista de VLANs permitidas (allowed VLAN list) em cada trunk; essa configuração manual é abordada mais adiante neste capítulo. O segundo método, VTP Pruning, permite que o VTP determine dinamicamente quais switches não precisam de frames de certas VLANs. Depois disso, o VTP suprime essas VLANs dos devidos trunks. Pruning é um termo que significa simplesmente que as devidas interfaces do trunk do switch não distribuem frames naquela VLAN. A Figura 1-7 mostra um exemplo onde os retângulos desenhados em linha tracej ada denotam os trunks a partir dos quais a VLAN 10 foi automaticamente limpa.

Figure 1-7 VTP Pruning

Switch 4 Porta 2

I

Distribuição de tráfego está suprimida (p

VLAN 10

• •• •• •• •• •• •• •

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• ••

•• •• •• •

•• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

17

Na Figura 1-7, os switches 1 e 4 possuem portas na VLAN 10. Com o VTP Pruning ativado em toda a rede, o switch 2 e o switch 4 automaticamente usam o VTP para saber que nenhum dos switches na parte esquerda inferior da figura possui portas atribuídas à VLAN 10. Em conseqüência disto, o switch 2 e o switch 4 suprimem a VLAN 10 dos trunks, conforme mostrado. O pruning faz com que o switch 2 e o switch 4 não enviem para fora desses trunks os frames encontrados na VLAN 10. Por exemplo, quando a estação A envia um broadcast, os switches distribuem o broadcast, conforme mostrado pelas linhas com setas na Figura 1-7. O VTP Pruning aumenta a largura de banda disponível restringindo o tráfego distribuído e é um dos motivos mais fortes para se utilizar o VTP; o outro motivo são a facilidade e a consistência obtidas na configuração da VLAN.

Resumo dos recursos VTP A Tabela 1-3 oferece uma visão comparativa dos três modos VTP.

Tabela 1-3 Recursos VTP Função

Servidor

Cliente

Transparente

Só envia mensagens VTP através de trunks ISL ou 802.1 Q

Sim

Sim

Sim

Aceita configuração CU de VLAN s

Sim

Não

Sim

Pode usar VLANs de intervalo normal (1 a 1005)

Sim

Sim

Sim

Pode usar VLANs de intervalo estendido (1006 a 4095) Não

Não

Sim

Sincroniza (atualiza) seu próprio banco de dados de Sim VLAN ao receber mensagens VIP com um número de revisão maior

Sim

Não

Cria e envia atualizações VTP periódicas a cada 5 minutos

Sim

Sim

Não

Não processa atualizações VTP recebidas, mas encaminha atualizações VTP recebidas através de outros trunks

Não

Não

Sim

Coloca o VLAN ID, o nome da VLAN e a configuração VTP no arquivo running-config

Não

Não

Sim

Coloca o VLAN ID, o nome da VLAN e a configuração no arquivo vlan.dat em memória flash

Sim

Sim

Sim

Configuração e verificação de VLANs e Trunking de VLAN Os switches Cisco não precisam de nenhuma configuração para funcionar. Você pode comprá-los, instalar dispositivos com o cabeamento correto, ligar os switches e eles funcionarão. O switch funcionaria perfeitamente sem que você tivesse de configurá-lo, mesmo que você interconectasse switches até precisar de mais de uma VLAN. Até mesmo as definições STP padrão provavelmente funcionariam perfeitamente. Mas, se desejar usar VLANs - como é o caso da maioria das redes empresariais -, seria necessário mexer na configuração. Este capítulo separa os detalhes de configuração de VLANs em duas seções principais. A seção atual se concentra nas tarefas de configuração e verificação quando o VTP é ignorado, utilizando as definições VTP padrão ou o modo VTP transparente. A última e a mais importante seção deste capítulo, "Configuração e Verificação de VTP", examina especificamente o VTP.

18 Capítulo 1: LANS Virtuais

Criando VLANs e atribuindo VLANs de acesso a uma interface Esta seção mostra como criar uma VLAN, dar-lhe um nome e atribuir-lhe interfaces. Para focar nesses detalhes fundamentais, esta seção mostra exemplos utilizando um único switch. Portanto, VTP e trunking não são necessários. Para que um switch Cisco encaminhe frames encontradas em uma determinada VLAN, o switch deve estar configurado para "acreditar" que a VLAN existe. Além disso, o switch deve possuir interfaces que não sejam de trunking (chamadas interfaces de acesso (access interfaces)) atribuídas à VLAN e/ou trunks que aceitem a VLAN. Os passos da configuração sobre como criar a VLAN e como atribuir uma VLAN a uma interface de acesso são os seguintes. (A configuração de trunks é abordada na seção "Configuração de Trunking VLAN", ainda neste capítulo.)

Passo 1 Para configurar uma nova VLAN, siga os passos abaixo: a. A partir do modo de configuração, use o comando em modo de configuração global vlan vlan-id para criar a VLAN (;~ e passar o usuário para o modo de configuração VLAN. \~have

b. (Opcional) Use o subcomando name name VLAN para associar um nome para a VLAN. Se não estiver configurado, o nome da VLAN é VLANZZZZ, onde ZZZZ é a VLAN ID decimal de 4 algarismos.

Passo 2 Para configurar uma VLAN para cada interface de acesso, siga os passos abaixo: a. Use o comando interface para passar para o modo de configuração de interfaces para cada interface desejada. b. Use o subcomando de interfaces switchport access vlan id-number para especificar o número da VLAN associado com aquela interface. c. (Opcional) Para desativar o trunking naquela mesma interface, assegurando que a interface seja uma interface de acesso, use o subcomando de interfaces switchport mode access.

Observação VLANs podem ser criadas e nomeadas em modo de configuração (conforme descrito no Passo 1) ou utilizando uma ferramenta de configuração chamada modo banco de dados de VLAN. O modo banco de dados de VLAN não é abordado neste livro e normalmente também não é abordado para outros exames da Cisco.

Observação Os switches Cisco também aceitam um método dinâmico de atribuição de dispositivos a VLANs, com base nos endereços MAC do dispositivo, utilizando uma ferramenta chamada VMPS (VLAN Management Policy Server). Esta ferramenta, quando muito, é raramente usada. O processo anterior pode ser utilizado em um switch que esteja configurado em modo transparente ou um switch com todas as definições VTP padrão. Como referência, a lista seguinte delineia os principais padrões dos switches Cisco relacionados a VLAN s e VTP. Por enquanto, este capítulo considera as definições VTP padrão ou uma definição de modo VTP transparente. Ainda neste capítulo, a seção "Cuidados ao sair da configuração VTP padrão" reexarnina os padrões dos switches Cisco e as implicações de como passar da não-utilização de VTP, com base nas definições padrão, para a utilização do VTP. • Modo VTP servidor.

(;:~;~o ....

~ Ch_

•

Nenhum nome de domínio VTP.

• VLAN 1 e VLANs de 1002 a 1005 são automaticamente configuradas (e não podem ser excluídas). • Todas as interfaces de acesso são atribuídas à VLAN 1 (um comando switchport access vlan 1 implícito).

Exemplo 1 de configuração de VLANs: configuração completa de VLANs O exemplo 1-1 mostra o processo de configuração para acrescentar uma nova VLAN e atribuir interfaces de acesso àquela VLAN. AFigura 1-8 mostra a rede usada no exemplo, com um switch LAN (SW1) e dois hosts em cada uma das três VLANs (1, 2 e 3). O exemplo mostra os detalhes do processo composto por dois passos para a VLAN 2 e as interfaces na VLAN 2, deixando a configuração da VLAN 3 para o próximo exemplo.

• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• ••

•• •• •• •

•• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

19

Figura 1-8 Rede com um switch e três VIANs VLAN2

"

.

..........

". " .

ExempJo 1-1 Configurando VLANs e atribuindo VIANs a interfaces swl-2960# ahow vlan brief VLAN

Name

Status

Ports

1

default

active

FaO/1, FaO/2, FaO/3, FaO/4 FaO/5, FaO/6, FaO/7 , FaO/8 FaO/9, FaO/10, FaO/ll, FaO/12 FaO/13 , FaO/14, FaO/15, FaO/16 FaO/1?, FaO/18, FaO/19, FaO/20 FaO/21, FaO/22, FaO/23, FaO/24 GiO/1, GiO/2

1002 fddi-default

act/unsup

1003 token-ring-default

act/unsup

1004 fddinet-default

act/unsup

1005 trnet-default

act/unsup

Above, VLAN 2 did not yet existo Below, VLAN 2 is added, with name Freds-vlan, with two interfaces assigned to VLAN 2. swl-2960#configure terminal

------------------------------------------------------------1

swl-2960(config)'vlan 2 swl-2960 (config-vlan) #name Freda-'Vlan swl-2960 (config-vlan) #exit swl-2960(config)# interface range faatethernet 0/13 -

14

swl-2960(config-if)# awitchport acceaa vlan 2 swl-2960 (config-if) #exit Below, the ahoow running-config command lists the interface subcommands on interfaces FaO/13 and FaO/14. The vlan 2 and name Freda-'Vlan commands do not show up in the running-config. swl- 2960# ahow running-config ! lines omitted for brevity

interface FastEthernetO/13 switchport access vlan 2 switchport mode access

interface FastEthernetO/14 switchport access vlan 2 switchport mode access

20 Capítulo 1: LANS Virtuais

SW1# show vIan brief VLAN

Name

Status

Ports

1

default

active

FaO/1, FaO/2, FaO/3, FaO/4 FaO/S, FaO/6, FaOI7 , FaO/8 FaO/9, FaO/10, FaO/ll, FaO/12 FaO/1S, FaO/16, FaO/I?, FaO/18 FaO/19, FaO/20, FaO/21, FaO/22 FaO/23, FaO/24, GiO/1, GiO/2

2

Freds-vlan

active

1002

fddi-default

act/unsup

1003

token-ring-default

act/unsup

1004

fddinet-default

act/unsup

1005

trnet-default

act/unsup

Fa O/13 , Fa O/14

o exemplo começa com o comando show vlan brief, conflrmando as deflnições padrão de cinco VLANs que não são possíveis de excluir, com todas as interfaces atribuídas à VLAN 1. De modo especial, observe que este switch 2960 possui 24 portas Fast Ethernet (FaO/1-Fa0/24) e duas portas Gigabit Ethernet (GiO/1 e GiO/2), todas apresentadas como estando na VLAN 1. A seguir, o exemplo mostra o processo de criação da VLAN 2 e da atribuição das interfaces FaO/13 e FaO/14 à VLAN 2. Observe, principalmente, que o exemplo utiliza o comando interface range, que faz com que o subcomando da interface switchport access vlan 2 seja aplicado a ambas as interfaces no intervalo, como confrrmado no resultado do comando show running-config no flnal do exemplo. Depois de acrescentada a conflguração, para apresentar a nova VLAN, o exemplo repete o comando show vlan brief. Observe que este comando apresenta a VLAN 2, name Freds-vlan, e as interfaces atribuídas àquela VLAN (FaO/13 e FaO/ 14). Observação O Exemplo 1-1 utiliza a configuração VTP padrão. Entretanto, se o switch tivesse sido configurado para o modo VTP transparente, os comandos de configuração vlan 2 e name Freds-vlan também teriam sido vistos no resultado do comando show running-config. Como esse switch está no modo VTP servidor (padrão), o switch armazena esses dois comandos somente no arquivo vlan.dat. É possível que um switch não utilize a VLAN atribuída pelo comando switchport access vlan vlan-id em alguns casos, dependendo do modo operacional da interface. O modo operacional de um switch Cisco tem a ver com o fato de a interface estar atualmente utilizando um protocolo de trunking. Uma interface que esteja atualmente utilizando o trunking é chamada de interface de trunk (trunk interface), e todas as outras interfaces são chamadas interfaces de acesso (access interfaces). Portanto, os engenheiros utilizam frases como "FaO/2 é uma porta de trunk" ou "FaO/13 é uma interface de acesso", com referência a se o design pretende utilizar uma determinada interface para formar um trunk (modo trunk) ou para se conectar a uma única VLAN (modo de acesso). O subcomando de interface opcional switchport mode access diz ao switch para somente permitir que a interface seja uma interface de acesso, o que significa que a interface não utilizará o trunking e utilizará a VLAN de acesso atribuída. Se omitir o subcomando de interface opcional switchport mode access, a interface poderá negociar o uso do trunking, tomando-se uma interface de trunk e ignorando a VLAN de acesso conflgurada.

Exemplo 2 de configuração de VLANs: configuração resumida de VLANs O Exemplo 1-1 mostra vários dos comandos de conflguração opcionais, com o efeito colateral de ser um pouco mais longo do que o necessário. O Exemplo 1-2 mostra uma conflguração alternativa muito mais resumida, retomando a

•• •• •• •• •• •• •• ••• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •

•• •• •• •• •• •• ••

•• •• •• •• •• •• •• ••

CCNA ICND2

21

história exatamente onde o Exemplo 1-1 parou, mostrando o acréscimo da VLAN 3 (conforme visto na Figura 1-8). Observe que SWl não sabe da existência da VLAN 3 no início do exemplo.

Exemplo 1-2 Exemplo de configuração resumida de VLANs (VLAN 3) SW1# configure terminal Enter conf i guration commands, one per line. End with CNTL/Z. SW1(config) #interface range Fastethernet 0/15 -

16

SW1(config-if-range) #switchport access vlan 3

% Access VLAN d o es not e x isto Creating vlan 3 SW1 (config - if-range) # AZ SW1# show v1an brief VLAN

Name

Status

Ports

1

default

active

FaO/1, FaO/2, Fa O/3, FaO/4 FaO/5, FaO/6, FaO/7, FaO/8 Fa O/9, FaO/10, FaO/11, FaO/12 FaO/17, FaO/18, FaO/19, FaO/20 FaO/21, FaO/22, Fa O/23, FaO/24 GiO/1, GiO/2

2

Freds-vlan

active

FaO / 13 , FaO / 14

3

VLANOO03

active

Fa0/15, FaO/16

1002

fddi-default

ac t /unsup

1003

token-ring-default

act/unsup

1004

f ddinet-default

ac t /unsup

1005

trnet-default

act/ u nsup

SW1#

O Exemplo 1-2 mostra como um switch pode dinamicamente criar uma VLAN - o equivalente do comando de configuração global vlan vlan-id - quando o subcomando de interface switchport access vlan se refere a uma VLAN atualmente não configurada. Este exemplo começa sem que o SWl saiba sobre existência da VLAN 3. Quando o subcomando de interface switchport access vlan 3 foi utilizado, o switch percebeu que a VLAN 3 não existia, e, conforme observado na mensagem sombreada no exemplo, o switch criou a VLAN 3 utilizando um nome padrão (VLAN0003). Não é necessário nenhum outro passo para criar a VLAN. Ao fmal do processo, a VLAN 3 existe no switch, e as interfaces FaO/15 e FaO/16 estão na VLAN 3, conforme observado na parte sombreada que aparece no resultado do comando show vlan brief. Como lembrete, observe que algumas das configurações mostradas nos Exemplos 1-1 e 1-2 só terminam no arquivo vlan.dat em memória flash, enquanto outras terminam somente no arquivo running-config. De modo especial, os subcomandos de interface estão no arquivo running-config, e, portanto, um comando copy running-config startupconfig seria necessário para salvar a configuração. Entretanto, as definições das novas VLANs 2 e 3 já foram automaticamente salvas no arquivo vlan.dat em memória flash. A Tabela 1-7, apresentada posteriormente neste capítulo, apresenta uma referência dos vários comandos de configuração, onde eles são armazenados e como confmnar as definições de configuração.

Configuração do Trunking de VLAN A configuração do trunking em switches Cisco envolve duas escolhas importantes de configuração, como mostrado a seguir: •

O tipo de trunking: IEEE 802.1Q, ISL, ou negociar qual deles usar

•

O modo administrativo: se devemos ou não utilizar trunk ou se devemos negociar

22 Capítulo 1: LANS Virtuais Os switches Cisco podem negociar ou configurar o tipo de trunking a ser usado (ISL ou 802.1 Q). Como padrão, os switches Cisco negociam o tipo de trunking com o switch na outra extremidade do trunk, utilizando o DTP (Dynamic Trunk Protocol). Ao negociar, se os dois switches aceitarem tanto o ISL quanto o 802.1 Q, eles optarão por ISL. Se um switch quiser utilizar qualquer um dos tipos, e o outro switch não quiser utilizar um dos tipos de trunking, os dois concordam em utilizar aquele tipo de trunking que for aceito pelos dois. Para switches que aceitam ambos os tipos, o tipo de trunking preferido em uma interface é configurado utilizando o subcomando de interface switchport trunk encapsulation {dotlq I isll negotiate}. (Muitos dos switches Cisco desenvolvidos mais recentemente, incluindo o 2960, atualmente somente aceitam o trunking 802.1 Q padrão do IEEE; portanto, esses switches simplesmente usam o padrão da definição switchport trunk encapsulation dotlq.) O modo administrativo se refere à definição de configuração para determinar se o trunking deve ser utilizado em uma interface. O termo administrativo se refere ao que é configurado, enquanto o modo operacional de uma interface se refere ao que está acontecendo atualmente na interface. Os switches Cisco utilizam o modo administrativo da interface, conforme configurado com o subcomando de interface switchport mode, para determinar se o trunking deve ser usado. A Tabela 1-4 relaciona as opções do comando switchport mode. (;:~;~o \ Chave

Tabela 1-4 Opções do modo administrativo de trunking com o comando switchport mode .... Opção de comando

Descrição

access

Impede o uso de trunking, fazendo com que a porta sempre aja como porta de acesso (sem trunk)

trunk

Sempre utiliza trunking

dynamic desirable

Inicia mensagens de negociação e responde a mensagens de negociação para escolher dinamicamente se deve começar a utilizar o trunking. Define também o encapsulamento do trunking

dynamic auto

Espera passivamente para receber mensagens de negociação de trunk, no ponto em que o switch responderá e negociará se deve utilizar o trunking. Em caso positivo, define o tipo de trunking

Por exemplo, considere os dois switches mostrados na Figura 1-9. Essa figura mostra uma expansão da rede da Figura 1-8, com um trunk com um novo switch (SW2) e com partes das VLANs 1 e 3 em portas anexadas a SW2. Os dois switches utilizam um link Gigabit Ethemet para o trunk. Neste caso, o trunk não se forma dinamicamente como padrão, porque ambos os switches (2960) utilizam o padrão dynamic auto do modo administrativo, o que significa que nenhum dos switches inicia o processo de negociação do trunk. Ao mudar um switch para que ele utilize o modo dynamic desirable , que não inicia a negociação, os switches negociam para utilizar o trunking, especificamente o 802.1Q, porque os 2960 só aceitam 802.1Q.

Figura 1-9 Rede com dois switches e três VIANs VLAN2

.. .... .. .... .. -. .... "

". . ........... . . .

.......... VLAN 1

VLAN3

/ ............. ---- ..............

.

. .... .

. ... .... ....

..' ----

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•

•• •• •• •• •• •• •• •• •• •• •• •• ••

•• •• •• •• •• •• •• •• •

CCNA ICND2

23

o Exemplo 1-3 começa mostrando os dois switches com a configuração padrão de forma que os dois switches não formem um trunk. O exemplo mostra a configuração de SWl de forma que os dois switches negociam e utilizam o trunking 802.1Q. Exemplo 1-3 Configuração de trunking e comandos show em switches 2960 SW1# show interfaces gigabit 0/1 switchport Name: GiO/1 Switchport: Enabled Administr at ive Mode: dynami c auto Operat i onal Mode: static access Administrative Trunking Encapsulation: dot1q Operational Trunking Encapsulation: nativ e ________________________________________________________________________________________________________ Negotiation of Trunking: On Access Mode VLAN : 1 (default) Trunking Native Mode VLAN: 1 (default) Administrative Native VLAN tagging: enabled Voice VLAN : none Access Mode VLAN: 1 (default) Trunking Native Mode VLAN: 1 (default) Administrative Native VLAN tagging: enabled v oice VLAN: none Administrative private-vlan host-a s sociation: none Administrative private-vlan mapping: none Administrative private-vlan trunk native VLAN: none Administrative priva te - vlan trunk Native VLAN tagging : enabled Administrative private-vlan trunk encapsulation : dot1q Administrative priva te-vlan trunk normal VLANs: none Administrative private-vlan trunk private VLANs : none Opera tional priva te-vlan: none Trunking VLANs Enabled: ALL pruning VLANs Enabled : 2-1001 Capture Mode Disabled Capture VLANs Allowed: ALL Protected:

false

Unknown unicast blocked: disabled Unknown multicast blocked: disabled Appliance trust: none ! Note that the next command results in a single empty line of output.

SW1# show interfaces trunk

swa ! Next,

the administrativ e mode is set t o dynamic desirabI e. _____________________________________________________________

SW1#configure terminal Enter configuration commands, one per line. End with CNTL/Z. SW1(config)#interface gigabit 0/1 SW1(config-if)j awitchport mode dynamic desirable SW1(config-if)j AZ

swa 01:43:46: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernetO / 1 , changed state to down

• •• •• ••• •• •• •• •• •• •• •

24 Capítulo 1: LANS Virtuais SWH 01:43 : 49: %LINEPROTO-5 - UPDOWN: Line protoco1 on Interface GigabitEthernetO / 1 , c hanged sta t e to up SW1# show interfaces gigabit 0/1 switchport Name: GiO / 1 Swi tchpo rt: Enab1ed Administrat i v e Mode: dynamic desirable Operati onal Mode: trunk Admi nistrat ive Trunking Encapsulation: d o t1q Operational Trunking Encapsulation: dot1q Negotiation of Trunking : On Access Mode VLAN: 1 (default) Trunking Native Mode VLAN: 1 (default) ! l i nes omitted for brev ity 1-

! The next command f o rmer1y 1 i sted a sing1e empty 1 ine of output; n ow it 1 i sts ! information about the 1 operationa l

trunk.

SW1# show interfaces trunk Por t

Mode

Encapsulat i on

Status

Nat ive v lan

Gi O/ 1

des i rable

802 . 1q

trunking

1

Port

Vlans allowed o n trunk

GiO / 1

1 -4094

Port

Vlans allowed and active in management domain

GiO / 1

1-3

Port

Vlans in spa nni ng tree forwarding state and not pruned

GiO / 1

1- 3

Primeiro, concentre-se em itens importantes a partir do resultado do comando show interfaces switchport no início do Exemplo 1-3. O resultado apresenta a definição padrii.o dynamic auto do modo administrativo. Como o SW2 também utiliza o padrii.o dynamic auto, o comando relaciona o status operacional de SW1 como acesso, o que significa que ele não está utilizando o trunking. A terceira linha sombreada destaca o único tipo de trunking aceito (802.1 Q) nesse switch 2960. (Em um switch que aceita tanto ISL quanto 802.1 Q, esse valor, de acordo com o padrii.o, apresentaria "negociar", significando que o tipo ou o encapsulamento é negociado). Finalmente, o tipo do trunking em funcionamento é apresentado como "nativo", o que é uma forma sutil de dizer que, nessa porta, o switch não acrescenta nenhurn cabeçalho de trunking a frames encaminhadas, tratando os frames como se eles estivessem em urna VLAN nativa 802.1Q. Para ativar o trunking, os modos administrativos dos dois switches devem estar definidos para uma combinação de valores que resulte em trunking. Ao alterar SW1 para utilizar o modo dynamic desirable, conforme mostrado a seguir no Exemplo 1-3, o SW1 iniciará agora as negociações, e os dois switches utilizarão o trunking. É especialmente interessante observar o fato de que o switch traz a interface a um estado de desativação, e, em seguida, de ativação novamente, em conseqüência da alteração feita no modo administrativo da interface. Para verificar se o trunking está funcionando agora, o fmal do Exemplo 1-3 apresenta o comando show interfaces switchport. Observe que o comando continua apresentando as definições administrativas, que denotam os valores configurados junto com as definições operacionais que mostram o que o switch está fazendo atualmente. Neste caso, SW1 agora diz estar em um modo operacional de trunk, tendo dot1 Q como encapsulamento do trunking em funcionamento. Para os exames ICND2 e CCNA, você deve estar preparado para interpretar o resultado do comando show interfaces switchport, entender o modo administrativo subentendido pelo resultado e saber se o link: deve formar um trunk operacionalmente com base nessas definições. A Tabela 1-5 apresenta as combinações dos modos administrativos do trunking e o modo operacional esperado (trunk ou acesso) resultantes das definições configuradas. A tabela relaciona o modo administrativo utilizado em uma extremidade do link: à esquerda e o modo administrativo, utilizado no switch, na outra extremidade do link: na parte superior da tabela. ..........

Tabela 1-5 Modo operacional esperado do trunking com base nos modos administrativos configurados Modo administrativo

Access

Access Access

Dynamic Auto Trunk Dynamic Desirable Access

Access

Access

i Tóplco ,"-Chave

...

•• •• ••

•• •• •• •• •• •• •• •• •

•

•• •

•• •• •• •• •• •• •• •• • • •• •• •• •• • •

•• •• •• •• ••

•• ••

CCNA ICND2 dynamic auto

Access

Access

Trunk

Trunk

trunk

Access

Trunk

Trunk:

Trunk:

dynamic desirable

Access

Trunk

Trunk:

Trunk

25

Controlando quais VLANs podem ser aceitas em um trunk

o recurso allowed VIAN list oferece um mecanismo para que os engenheiros desativem administrativamente uma VLAN de um trunk. Como padrão, os switches incluem todas as VLANs possíveis (l a 4094) na lista de VLANs permitidas de cada trunk. Entretanto, o engenheiro pode limitar as VLANs permitidas no trunk utilizando o seguinte subcomando de interface: switchport trunk al l owed vlan {add

I

alI

I

except

I

remove} vl a n - li s t

Este comando oferece uma forma de facilmente acrescentar e remover VLANs de uma lista. Por exemplo, a opção add permite que o switch acrescente VLANs à lista existente de VLANs permitidas, e a opção remove permite que o switch remova VLANs da lista existente. A opção ali significa todas as VLANs e, portanto, pode ser utilizada para voltar com o switch à sua definição padrão original (permitindo VLANs de 1 a 4094 no trunk). A opção except é um pouco complicada: ela acrescenta à lista todas as VLAN s que não são parte do comando. Por exemplo, o subcomando de interface switchport trunk allowed vlan except 100-200 acrescenta as VLANs de 1 a 99 e de 201 a 4094 à lista existente de VLANs permitidas naquele trunk. Além da lista de VLANs permitidas, um switch tem outras três razões para impedir que o tráfego de uma VLAN específica cruze o trunk:. Todas essas quatro razões são resumidas na lista a seguir: • Uma VLAN foi removida da lista allowed VLAN do trunk:

........... • Uma VLAN não existe, ou não está ativa, no banco de dados de VLAN do switch (conforme visto no comando {Tópico , Chave

show vlan)

• Uma VLAN foi automaticamente suprimida pelo VTP • A instância STP de uma VLAN colocou a interface do trunk: em um estado diferente do Forwarding State (Estado de Encaminhamento) Dessas três razões adicionais, a segunda precisa de um pouco mais de explicação. (A terceira razão, o VTP Pruning, já foi abordada neste capítulo, e a quarta razão, o STP, será abordada por completo no Capítulo 2). Se um switch não sabe que uma VLAN existe, conforme evidenciado pela ausência da VLAN no resultado do comando show vlan, o switch não encaminhará frames contidos naquela VLAN através de nenhuma interface. Além disso, uma VLAN pode ser administrativamente fechada em qualquer switch utilizando o comando de configuração global shutdown vlan vlan-id, que também faz com que o switch não mais encaminhe frames naquela VLAN, mesmo que seja através de trunks. Portanto, switches não encaminham frames contidos em uma VLAN inexistente ou fechada através de nenhum trunk do switch.

o livro relaciona as quatro razões para se limitarem VLANs em um trunk: na mesma ordem em que o lOS descreve essas razões no resultado do comando show interfaces trunk. Tal comando inclui uma progressão de três listas das VLANs aceitas em um trunk:. Essas três listas são as seguintes: • VLANs da lista de VLANs permitidas no trunk • VLANs do grupo anterior que também são configuradas e ativas (não-fechadas) no switch • VLANs do grupo anterior que também não são suprimidas e que estão no Forwarding State (Estado de Encaminhamento) do STP Para ter uma idéia dessas três listas dentro do resultado do comando show interfaces trunk, o Exemplo 1-4 mostra como as VLANs podem ter sua permissão bloqueada em um trunk: por vários motivos. O resultado do comando é retirado do SW1 na Figura 1-9, após o término da configuração, conforme mostrado nos Exemplos 1-1, 1-2 e 1-3. Em outras palavras, as VLANs de 1 a 3 existem e o trunking está operando. Em seguida, durante o exemplo, os seguintes itens são configurados em SW1:

26 Capítulo 1: LANS Virtuais Passo 1 A VLAN 4 é acrescentada. Passo 2 A VLAN 2 é fechada. Passo 3 A VLAN 3 é removida da lista de VLANs permitidas do trunk.

Exemplo 1-4 Lista de VIANs permitidas e lista de VIANs ativas ! The three lists of VLANs in the next command list allowed VLANs

! Allowed and active VLANs ! VLANs

(1-4094),

(1-3), and allowed/active/not pruned/STP forwarding

(1-3)

SW1#show interfaces trunk Port

Mode

Encapsulation

Status

Native vlan

GiO/1

desirable

802.1q

trunking

1

Port

Vlans allowed on trunk

GiO/1

1-4094

Port

Vlans allowed and active in management domain

GiO/1

1-3

Port

Vlans in spanning tree forwarding state and not pruned

GiO/1 ! Next,

1

1-3 the switch is configured with new VLAN 4; VLAN 2 is shutdown;

! and VLAN 3 is removed from the allowed VLAN list on the trunk.

SW1# configure terminal Enter configuration commands, one per line. End with CNTL/Z. SW1(config)#v1an , SW1(config-vlan)#vlan 2 SW1 (config-vlan) # shutdown SW1 (config-vlan) #interface l1iO/1 SW1(config-if)# switchport trunk allowed vlan remove 3 SW1(config-if)# AZ ! The three lists of VLANs in the next command list allowed VLANs

! allowed and active VLANs ! VLANs

(1-2, 4-4094),

(1,4), and allowed/active/not pruned/STP forwarding

(1,4)

SW1#show interfaces trunk Port

Mode

Encapsulation

Status

Native vlan

GiO/1

desirable

802.1q

trunking

1

! VLAN 3 is omitted next,

because it was removed from the allowed VLAN listo

Port

Vlans allowed on trunk

GiO/1

1-2,4-4094

! VLAN 2 is omitted below because it is shutdown . VLANs 5-4094 are omitted below

! because SW1 does not have them configured.

Port

Vlans allowed and active in management domain

GiO/1

1,4

Port

Vlans in spanning tree forwarding state and not pruned

GiO/1

1,4

Trunking com Telefones Cisco IP Os telefones Cisco IP utilizam a Ethemet para se conectar à rede IP com o propósito de enviar pacotes VoIP (Voice over

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• •• •• •• •• •• •• » •• •• •• •• •• ••

CCNA ICND2

27

IP). Os telefones Cisco IP podem enviar pacotes VoIP para outros telefones IP que aceitem chamadas de voz, bem como enviar pacotes VoIP para portas de comunicação de voz, que, por sua vez, conectam-se à rede de telefonia tradicional existente, oferecendo a possibilidade de chamar praticamente qualquer telefone do mundo. A Cisco previu que cada mesa de escritório em uma empresa poderia ter sobre ela um telefone Cisco IP e um PC. Para reduzir o emaranhado de cabos, a Cisco inclui um pequeno switch na parte de baixo de cada telefone Cisco IP. O pequeno switch permite que um cabo faça o percurso desde o quadro de fiação até a mesa e se conecte ao telefone IP; e, em seguida, o PC pode se conectar ao switch ligando um pequeno cabo Ethemet (contínuo) do PC até a parte de baixo do telefone IP. A Figura 1-10 mostra o cabeamento e mais alguns detalhes. Figura 1-10 Conexão típica de um telefone Cisco IP e de um PC a um switch Cisco Voice VLAN 12

Not Trunking

Access VLAN 2

As diretrizes do projeto de telefonia da Cisco sugerem que o link entre o telefone e o switch deva utilizar o trunking 802.1Q, e que o telefone e o PC devam estar em VLANs diferentes (e, portanto, em sub-redes diferentes). Ao colocar os telefones em uma VLAN, e os PCs conectados aos telefones em outra VLAN diferente, os engenheiros podem gerenciar mais facilmente o espaço do endereço IP, aplicar mais facilmente os mecanismos de qualidade de serviço (QoS) aos pacotes VoIP e oferecer mais segurança separando os dados e o tráfego de voz. A Cisco chama de voice VLAN a VLAN utilizada para o tráfego do telefone IP e de data VLAN, ou access VLAN, a VLAN utilizada para os dados. Para que o switch encaminhe o tráfego corretamente, os switches Cisco precisam saber o VLAN ID da voice VLAN e do data VLAN. O data VLAN (ou access VLAN) é configurada exatamente como visto nos últimos exemplos, utilizando o comando switchport access vlan vlan-id. A voice vlan é configurada com o subcomando de interface switchport voice vlan vlan-id. Por exemplo, para combinar com a Figura 1-10, a interface FaO/6 precisaria do sub comando de interface switchport access vlan 2 e do sub comando switchport voice vlan 12. /~:~;~ \ Cha".

A tabela 1-6 resume os pontos principais sobre a voice VLAN.

....

Tabela 1-6 Configuração da Voice VIAN e da Data VIAN Dispositivo

Nome da VLAN Configurada com este comando

:

Telefone

Voice VLAN ou VLAN auxiliar switchport voice vlan vlan-id

•

PC ---------------------------------------------------------------

•• •• •• • ••

Protegendo VLANs e o Trunking

· •

Data VLAN ou Access VLAN switchport access vlan vlan-id

Os switches são expostos a vários tipos de vulnerabilidades de segurança tanto em portas utilizadas quanto portas nãoutilizadas. Por exemplo, um hacker poderia conectar um computador a uma tomada de parede ligada por um cabo à porta de um switch e causar problemas na VLAN atribuída àquela porta. Além disso, o hacker poderia negociar o trunking e causar vários outros tipos de problemas, alguns relacionados ao VTP. A Cisco faz algumas recomendações sobre como proteger portas de switches não-utilizadas. Em vez de usar as definições padrão, a Cisco recomenda configurar essas interfaces da seguinte forma:

(;~~;~o • Desativar administrativamente a interface não utilizada, usando o subcomando de interface shutdoWD . \~ha'" • Impedir que o trunking seja negociado quando a porta está ativada utilizando o subcomando de interface switchport nonegotiate para desativar a negociação ou o subcomando de interface

28

Capítulo 1: LANS Virtuais switchport mode access para configurar estaticamente a interface como uma interface de acesso. • Atribuir a porta a uma VLAN não utilizada, às vezes chamada de parking lot VLAN (VLAN de estacionamento), utilizando o subcomando de interface switchport access vlan number.

Na verdade, se você apenas encerrar a interface, a exposição da segurança vai embora, mas as outras duas tarefas impedem qualquer problema imediato caso outro engenheiro ative a interface configurando um comando no shutdown. Além dessas recomendações sobre portas não-utilizadas, a Cisco recomenda que a negociação do trunking seja desativada em todas as interfaces de acesso em uso, sendo todos os trunks configurados manualmente para formarem um trunk. A exposição quer dizer que um hacker pode desconectar o computador de um usuário legítimo da porta RJ-45, conectar o PC do hacker e tentar negociar o trunking. Ao configurar todas as interfaces em uso que não deviam estar formando um trunk com o subcomando de interface switchport nonnegotiate, essas interfaces não vão decidir dinamicamente formar o trunk, reduzindo a exposição a problemas relacionados ao trunking. Para qualquer interface que precise formar um trunk, a Cisco recomenda configurar o trunking manualmente.

Configuração e verificação do VTP A configuração do VTP requer apenas alguns passos simples, mas o VTP tem o poder de causar problemas significativos, seja por opções ruins e acidentais de configuração ou por ataques nocivos. As seções a seguir examinam, primeiramente, a configuração geral, seguido de alguns comentários sobre possíveis problemas criados pelo processo VTP. Essas seções terminam com uma discussão sobre como resolver problemas relacionados ao VTP.

Usando VTP: configurando servidores e clientes Antes de configurar o VTP, várias definições do VTP devem ser escolhidas. De modo especial, considerando que o engenheiro queira fazer o uso do VTP, ele deve decidir quais switches estarão no mesmo domínio VTP, o que significa que esses switches receberão as informações de configuração da VLAN uns dos outros. O nome de domínio VTP deve ser escolhido, junto com uma senha VTP opcional, porém, recomendada. (Ambos os valores são sensíveis a letras maiúsculas e minúsculas.) O engenheiro deve também escolher quais switches serão servidores (geralmente pelo menos dois, por questão de redundância) e quais serão clientes. Após a conclusão dos passos de planejamento, os seguintes passos devem ser utilizados para configurar o VTP: .......... ( TópiCO ~ Ch.ve

....

Passo 1 Configurar o modo VTP utilizando o comando de configuração global vtp mode {server I client} . Passo 2 Configurar o nome de domínio VTP (sensível a letras maiúsculas e minúsculas) utilizando o comando de configuração global vtp domain domain-name. Passo 3 (Opcional) Tanto nos clientes quanto nos servidores, configurar a mesma senha (sensível a letras maiúsculas e minúsculas) utilizando o comando de configuração global vtp password password-value. Passo 4 (Opcional) Configurar o VTP Pruning nos servidores VTP utilizando o comando de configuração global vtp pruning. Passo 5 (Opcional) Ativar a versão 2 do VTP com o comando de configuração global vtp version 2. Passo 6 Criar trunks entre os switches. O Exemplo 1-5 mostra um modelo de configuração, junto com um comando show vtp status, para os dois switches da Figura 1-11. A figura destaca as definições de configuração nos dois switches antes de o Exemplo 1-5 mostrar a configuração do VTP sendo acrescentada. De modo especial, observe que os dois switches utilizam as definições de configuração padrão do VTP.

• •• •• •• •• •• •• •• ••., •• •• •• •• •• •• •• •• •• •• •• ••., •

•, •• •• •• •• •• •• •• •• •• •• •• •• •• •, •• •• •• •• •• •• • ",

CCNA ICND2

29

Figura 1-11 Configuração do switch antes do Exemplo 1-5

GiOI1

1, 2, 3,1002-1005 VLANs: Server ModoVTP : Domínio VTP: Senha VTP : Revisão VTP : 5 Endereço IP: 192.168.1.105

Trunk

GiOl2

VLANs: ModoVTP: Domínio VTP : Senha VTP : Revisão : 1 Endereço IP:

1,1002-1005 Servidor 192.168.1.1 06

o Exemplo 1-5 mostra a seguinte configuração em SW1 e SW2, seguida dos resultados: • SW1: Configurado como servidor, tendo Freds-domain como nome de domínio VTP, Freds-password como senha VTP e o VTP Pruning ativado

• SW2: Configurado como cliente, tendo Freds-domain como nome de domínio VTP e Freds-password como senha VTP

Exemplo 1-5 Configuração básica do VTP cliente e servidor ! lOS generates at least one informational message after each VTP command listed ! below. The comments added by the author begin with an exclamation point.

SW1#configure terminal Enter configuration commands, one per line. End with CNTL / Z. SW1(config)#vtp mode server Setting device to VTP SERVER mo de SW1(config)#vtp domain Preds-domain Changing VTP domain name from NULL to Freds-domain SW1(config)#vtp password Preds-password Setting device VLAN database password to Freds-password SW1(config)#vtp pruning pruning switched on SW1 (config) #A Z ! Switching to SW2 now

SW2#configure terminal Enter configuration commands, one per line. End with CNTL/Z. SW2(config)#vtp mode client Setting device to VTP CLlENT mode. SW2(config)#vtp domain Preds-domain Domain name already set to Freds-domain. SW2(config)#vtp password Preds-password Setting device VLAN database password to Freds-password SW2(config)#A Z ! The output below shows configuration revision number 5, !

(1 through 3, 1002 through 1005), as learned from SW1

SW2# show vtp status VTP Version

: 2

Configuration Revision

: 5

with 7 existing VLANs

30 Capítulo 1: LANS Virtuais Maximum VLANs supported locally

:

255

Number of existing VLANs

:

7

VTP Operating Mode

:

Client

VTP Domain Name

:

Freds-domain

VTP Pruning Mode

:

Enabled

VTP V2 Mode

:

Disabled

VTP Traps Generation

:

Disabled

M05 digest

: Ox22 Ox07 OxF2 Ox3A OxF1 Ox28 OxAO Ox5D

Configuration last modified by 192.168.1.105 at 3-1-93 00:28:35 ! The next command lists the known VLANs,

including VLANs 2 and 3, learned

! from SW1

SW2# show vlan brief VLAN

Name

Status

Ports

default

active

FaO/1, FaO/2, FaO/3, FaO/4 FaO/5, FaO/6, FaO/? , FaO/8 FaO/9, FaO/10, FaO/ll, FaO/12 FaO/13, FaO/14, FaO/15, FaO/16 FaO/17, FaO/18, FaO/19, FaO/20 FaO/21, FaO/22, FaO /23, FaO/24 GiO/1

2

Freds-vlan

active

3

VLANOO03

active

1002

fddi-default

act/unsup

1003

token-ring-default

act/unsup

1004

fddinet-default

act/unsup

1005

trnet-default

act/unsup

! Switching to SW1 now ! Back on SW1,

the output be10w confirms the same revision number as SW2, meaning

! that the two switches have synchronized their VLAN databases.

SW1#show vtp status VTP Version

: 2

Configuration Revision

: 5

Maximum VLANs supported locally

: 255

Number of existing VLANs

: 7

VTP Operating Mode

:

Server

VTP Domain Name

:

Freds-domain

VTP pruning Mode

:

Enabled

VTP V2 Mode

:

Disabled

VTP Traps Generation

:

Disabled

M05 digest

: Ox10 OxAO Ox57 Ox3A OxCF Ox10 OxB7 Ox96

.,

Configuration last modified by 192.168.1.105 at 3-1-93 00:28:35 Local updater lD is 192.168.1.105 on interface Vil

• •• •• •• •• •• •• •• •• •• •• •• •• •• • •• •• • •• •• •• •• •

(lowest numbered VLAN interface foundl ______________________

SW1# show vtp password VTP Password: Freds-password

o exemplo é relativamente longo, mas a configuração é simples. Ambos os switches foram configurados com o modo VTP (servidor e cliente), o mesmo nome de domínio e a mesma senha, com o trunking já tendo sido configurado. A configuração resultou em SW2 (cliente) sincronizando o seu banco de dados de VLAN para combinar com SWl (servidor). Os switches Cisco lOS no modo VTP servidor ou cliente armazenam os comandos de configuração vtp, e mais alguns

• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

31

outros comandos de configuração, no arquivo vlan.dat em memória flash. Os switches não armazenam os comandos de configuração no arquivo running-config. Pelo contrário, para verificar esses comandos de configuração e suas definições, são usados os comandos show vtp status e show vlan. Como referência, a Tabela 1-7 relaciona os comandos de configuração relacionados à VLAN, o local no qual o servidor ou o cliente VTP armazena os comandos e a forma de visualizar as definições para os comandos.

Tabela 1-7 Local em que os clientes e servidores VTP armazenam as configurações relacionadas à VIAN (;~~;~o \ Ch.".

Comandos de configuração

Onde são armazenados

Como visualizar

vtp domain

vlan.dat

show vtp status

vtp mode

vlan.dat

show vtp status

vtp password

vlan.dat

show vtp password

vtp pruning

vlan.dat

show vtp status

vlan vlan-id

vlan.dat

show vlan [brief]

name vlan-name

vlan.dat

show vlan [brief]

switchport access vlan vlan-id

running~config

show running-config, show

running-config

show running-config, show

...

interfaces switchport

switchport voice vlan vlan-id interfaces switchport

Qualquer análise de VTP e de VLANs feita em switches Cisco depende de dois comandos importantes: os comandos

show vtp status e show vlan. Primeiro, observe que, quando o domínio é sincronizado, o comando show vtp status em todos os switches deve ter o mesmo número de revisão de configuração. Além disso, o comando show vlan deve apresentar as mesmas VLANs e os mesmos nomes de VLANs. Por exemplo, tanto SWl quanto SW2 terminam o Exemplo 1-5 com um número de revisão igual a 5, e ambos sabem da existência de sete VLANs: de 1 a 3 e de 1002 a 1005. Ambas as instâncias do comando show vtp status no Exemplo 1-5 relacionam o endereço IP do último switch para modificar o banco de dados da VLAN, ou seja, SW1, 192.168.1.105; portanto, é mais fácil determinar qual switch provocou a última alteração na configuração da VLAN. Somente em servidores VTP, o comando show vtp status termina com uma linha que relaciona o endereço IP daquele switch e que se identifica ao avisar sobre as atualizações do VTP, facilitando a confrnnação de qual switch provocou a última alteração na configuração da VLAN. Observe que a senha VTP só pode ser exibida com o comando show vtp password. O comando show vtp status exibe uma forma MD5 resumida da senha.

Observação Os switches Cisco enviam mensagens VTP e mensagens CDP (Cisco Discovery Protocol) em trunks utilizando a VLAN 1.

Cuidados ao sair da configuração VTP padrão O comportamento padrão do VTP apresenta a possibilidade de problemas na primeira configuração do VTP. Para entender por quê, considere os cinco pontos a seguir sobre o VTP: • A configuração VTP padrão em switches Cisco é o modo VTP servidor com um nome de domínio nulo. • Com todas as definições padrão, o switch não envia atualizações VTP, mesmo através de trunks, mas o switch pode ser configurado com VLANs por estar em modo servidor.

32 Capítulo 1: LANS Virtuais • Após configurar um nome de domínio, aquele switch imediatamente começa a enviar atualizações VTP através de todos os seus trunks. • Se um switch que ainda possua um nome de domínio nulo (padrão) receber uma atualização VTP - a qual, por defInição, relaciona um nome de domínio :- e não tiver sido usada nenhuma senha pelo switch de envio, o switch de recebimento passa a utilizar aquele nome de domínio VTP. • Quando o passo anterior ocorre, o switch com o número de revisão mais alto relativo ao banco de dados de VLAN faz com que o switch que tem o número de revisão mais baixo sobrescreva seu banco de dados de VLAN. O Exemplo 1-5 progride através desses mesmos cinco fatos. Ele começa com o trunking ativado entre os dois switches, mas com as defInições VTP padrão (itens 1 e 2 da lista que precede este parágrafo). Assim que o SW1 confIgura o seu nome de domínio VTP, ele envia as mensagens VTP através do trunk para SW2 (item 3). SW2 reage passando a utilizar o nome de domínio VTP relacionado na atualização VTP recebida (neste caso, Freds-domain). Quando o comando vtp domain Freds-domain foi emitido em SW2 no Exemplo 1-5, SW2 já estava utilizando Freds-domains como nome de domínio dinamicamente reconhecido; portanto, o Cisco lOS em SW2 emitiu a resposta "Nome de domínio já defInido como Fred-domain" (item 4). Finalmente, SW2, com um número de revisão VTP mais baixo, sincronizou seu banco de dados VLAN para combinar com SW1 (item 5). O processo funcionou exatamente como desejado no Exemplo 1-5. Entretanto, este mesmo processo permite que um engenheiro inocentemente configure o nome de domínio VTP de um switch e destrua completamente uma LAN de switches. Imagine, por exemplo, que SW2 tivesse confIgurado a VLAN 4 e atribuído várias interfaces a ela, mas que SW1 não tenha nenhuma defInição para a VLAN 4. Seguindo esse mesmo processo, quando SW2 sincroniza seu banco de dados VLAN para combinar com SW1, SW2 sobrescreve o banco de dados antigo, perdendo a defInição da VLAN 4. Nesse ponto, SW4 já não pode encaminhar frames contidos na VLAN 4, e, com isso, é possível que todos os usuários da VLAN 4 comecem a chamar por ajuda. Esse mesmo processo poderia ser usado para executar um ataque de negação de serviço (DoS, do inglês denial of service) utilizando o VTP. Apenas com as defInições VTP padrão, qualquer hacker que consiga criar um trunk entre um switch de ataque e o switch legítimo existente pode fazer com que os switches existentes se sincronizem com o banco de dados de VLAN do switch de ataque, que pode muito bem não ter nenhuma VLAN configurada. Portanto, para redes reais, se você não pretende utilizar o VTP ao instalar um switch, vale a pena o esforço de simplesmente configurá-lo para que seja um switch em modo VTP transparente, conforme abordado na próxima seção. Ao fazer isso, a configuração de um nome de domínio VTP naquele novo switch não causará impacto nos switches existentes, e a configuração de um nome de domínio em outro switch não causará impacto nesse novo switch.

Observação A seção intitulada "Resolvendo Problemas de VTP" explica como reconhecer quando o VTP pode ter causado problemas como os mencionados nesta seção.

Evitando o VTP: configurando o modo transparente Para evitar o uso do VTP, é necessário configurar o modo VTP transparente. Em modo transparente, um switch nunca atualiza seu banco de dados de VLAN com base em mensagens VTP recebidas e nunca faz com que outros switches atualizem seus bancos de dados com base no banco de dados de VLAN do switch em modo transparente. A única ação VTP executada pelo switch é encaminhar mensagens VTP recebidas em um trunk através de todos os outros trunks, o que permite que outros clientes e servidores VTP funcionem corretamente. Configurar o modo VTP transparente é simples: basta emitir o comando vtp mode transparent em modo de configuração global. Não são necessários nomes de domínio nem senhas.

Resolvendo problemas de VTP O VTP pode ter um impacto enorme sobre uma LAN construída utilizando switches Cisco, seja o impacto negativo ou positivo. As seções seguintes examinam três aspectos da resolução de problemas de VTP. Primeiro, o texto sugere um processo através do qual você pode resolver problemas de VTP quando o VTP parece não estar distribuindo as informações de configuração da VLAN (acréscimos/exclusões/alterações). Em seguida, o texto examina uma classe comum de

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

••

CCNA ICND2

•• ••

problemas que ocorrem quando surge um trunk, possivelmente acionando os switches vizinhos para enviarem atualizações VTP e sobrescreverem um dos bancos de dados de VLAN do switch. Esse tópico termina com as práticas ideais sugeridas para evitar problemas de VTP.

•• •• •• •• •• •

33

Determinando por que o VTP não está funcionando atualmente

o primeiro passo da resolução de problemas de VTP envolve determinar se existe um problema, para início de conversa. Para switches que deveriam estar usando VTP, no mesmo domínio, o problema pode ser identificado, primeiramente, quando quaisquer dois switches vizinhos tiverem bancos de dados de VLAN diferentes. Em outras palavras, eles reconhecem VLAN ID diferentes, com nomes diferentes e com um número de revisão de configuração diferente. Após identificar dois switches vizinhos cujos bancos de dados de VLAN não combinam, o próximo passo é verificar a configuração e o modo operacional do trunking (e não o modo administrativo) e corrigir quaisquer problemas. A lista a seguir detalha os passos específicos:

Passo 1 Confirmar os nomes dos switches, a topologia (incluindo quais interfaces conectam quais switches) e os modos VTP dos switches.

/;~;;~o Passo 2 Identificar com o '. Cha...

••

•• •• •• •• •• •• •• •• •• •• •• ••• •

....

comando show vlan conjuntos formados por dois switches vizinhos que deveriam ser clientes ou servidores VTP cujos bancos de dados de VLAN diferem.

Passo 3 Em cada par formado por dois switches vizinhos cujos bancos de dados diferem, verificar o seguinte: a. Pelo menos um trunk deve existir entre os dois switches (use o comando show interfaces trunk, show interfaces switchport ou show cdp neighbors). b. Os switches devem ter o mesmo nome de domínio VTP (show vtp status) (sensível a letras maiúsculas e minúsculas). c. Se configurada, os switches devem ter a mesma senha VTP (show vtp password) (sensível a letras maiúsculas e minúsculas). d. Embora o VTP Pruning deva estar ativado ou desativado em todos os servidores no mesmo domínio, ter dois servidores configurados com definições opostas de Pruning não impede o processo de sincronização.

Passo 4 Para cada par de switches identificado no Passo 3, resolva a questão solucionando o problema do trunking ou reconfigurando o switch para que ele combine corretamente com o nome de domínio ou a senha.

Observação Para LANs reais, além dos itens dessa lista, considere também o projeto do VTP desejado. Embora o processo apresente vários passos, seu principal objeti vo é mostrar como atacar o problema com o conhecimento abordado anteriormente neste capítulo. O processo basicamente diz que, se os bancos de dados de VLAN diferem, e os switches deveriam ser clientes ou servidores VTP, então existe um problema de VTP - e a causa geradora é geralmente algum problema de configuração do VTP. Entretanto, no exame, é possível que você seja forçado a descobrir a resposta com base no resultado do comando show. Por exemplo, considere um problema no qual três switches (SW1 , SW2 e SW3) se conectem todos uns com os outros. Uma determinada questão do exame pode pedir que você encontre qualquer problema de VTP na rede, com base no resultado dos comandos show, como os do Exemplo 1-6.

Observação Seria um ótimo exercício ler o exemplo e aplicar os passos de resolução de problemas apresentados no início desta seção antes de ler qualquer explicação apresentada após o exemplo. Exemplo 1-6 Exemplo de resolução de problemas de VTP SW1# show cdp neighbors Capability Codes:

R - Router, T - Tran s Bridge, B - Source Route Bridge S - Switch, H - Host, I - IGMP, r - Repeater, P - Phone

Device ID Local Intrfce Holdtme Capability Platform Port ID

34

Capítulo 1: LANS Virtuais SW2 Gig 0/1 163 S I WS-C2960-2Gig 0/2 SW3 Gig 0/2 173 S I WS-C3550-2Gig 0/1 SW1# show vlan brief VLAN

Name

Status

Ports

active

FaO/1, FaO/2, FaO/3, FaO/4

-------------

1

default

FaO/5, FaO/6, FaOI7 , FaO/8 FaO/9, FaO/10, FaO/13, FaO/14 FaO/15, FaO/16, FaO/17, FaO/18 FaO/19, FaO/20, FaO/21, FaO/22 FaO/23, FaO/24, GiO/2 3

VLANOO03

active

4

VLANOO04

active

5

FaO/ll

VLANOO05

active

49

VLAN0049

active

50

VLAN0050

active

1002

fddi-default

act/unsup

1003

trcrf-default

act/unsup

1004

fddinet-default

act/unsup

1005

trbrf-default

act/unsup

SWl# show interfaces trunk Port

Mode

Encapsulation

Status

Native vlan

GiO /1

desirable

802.1q

trunking

1

Port

Vlans allowed on trunk

GiO /1

1-4094

Port

Vlans allowed and active in management domain

GiO/1

1,3-5,49-50

Port

Vlans in spanning tree forwarding state and not pruned

GiO/1

3-5,49-50

SW1# show vtp status VTP Version

2

Configuration Revision

131

Maximum VLANs supported locally

255

Number of existing VLANs

10

VTP Operating Mode

Client

VTP Oomain Name

Larry

VTP pruning Mode

Oisabled

VTP V2 Mode

Enabled

VTP Traps Generation

Oisabled

M05 digest

Ox10 Ox27 OxA9 OxF9 Ox46 OxDF Ox66 OxCF

Configuration last modified by 1.1.1.3 at 3-1-93 00:33:38 ! SW2 next

SW2# show cdp neighbors Capability Codes:

R - Router, T - Trans Bridge, B - Source Route Bridge S - Switch, H - Host, I - IGMP, r - Repeater, P - Phone

Oevice 10

Local Intrfce

Holdtme

Capability

Platform Port 10

SW1

Gig 0/2

175

S I

WS-C2960-2Gig 0/1

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2 S I

155

Gig 0/1

SW3

WS-C3550-2Gig 0/2

SW2# show v1an brief VLAN

Name

Status

Ports

1

default

active

FaO / 1, FaO / 2, FaO/3 , FaO / 4 FaO / 5 , FaO / 6, FaOI7 , FaO / 8 FaO / 9, FaO / 10, FaO / ll, FaO / 12 FaO / 13 , FaO / 14, FaO/15, FaO / 16 FaO / 17, FaO / 18, FaO / 19 , FaO / 20 FaO / 21 , FaO / 22, FaO / 23, FaO/24

3

VLAN0003

activ e

1002

fddi-default

act / unsup

1003

trcrf-default

act / unsup

1004

fddinet-default

act / unsup

1005

trbrf-default

act / unsup

SW2# show vtp status

VTP Version

2

Configuration Revision

O

Maximum VLANs supported locally

255

Number of existing VLANs

6

VTP Operating Mode

Server

VTP Domain Name

larry

VTP pruning Mode

Disabled

VTP V2 Mode

Enabled

VTP Traps Generation

Disabled

MD5 digest

Ox8C Ox75 OxC5 OxDE OxE9 Ox7C Ox2D Ox8B

Configuration last modified by 1.1.1.2 at 0-0-00 00:00:00 Local updater ID is 1.1 . 1. 2 on interface Vil (lowest numbered VLAN interface found) ! SW3 next

SW3# show vlan brief VLAN

Name

Status

1

default

activ e

Ports

FaO / 1, FaO / 2, FaO / 3, FaO / 4 FaO / 5, FaO / 6, FaOI7 , FaO / 8 FaO/9, FaO / 10, FaO / ll, FaO/12 FaO/14, FaO / 15 , FaO / 16, FaO / 17 FaO / 18 , FaO / 19, FaO / 20, FaO/21 FaO / 22, FaO / 23, FaO / 24, GiO/1

3

VLANOO03

active

4

VLANOO04

active

5

VLANOO05

active

FaO / 13

20

VLAN20

active

1002

fddi-default

act / unsup

1003

trcrf-default

act / unsup

1004

fddinet-default

act / unsup

1005

trbrf-default

act / unsup

SW3#Show interfaces trunk

Port

Mode

Encapsulation

Status

Native vlan

35

36

Capítulo 1: LANS Virtuais GiO/2

desirable

n-802.1q

Port

Vlans allowed on trunk

GiO/2

1-4094

trunking

1

Port

Vlans allowed and active in management dornain

GiO/2

1,3-5,20

Port

Vlans in spanning tree forwarding state and not pruned

GiO/2

1,3-5,20

SW3# show vtp status VTP Version

: 2

Configuration Revision

134

Maxirnum VLANs supported locally Nurnber of existing VLANs

1005 : 9

VTP Operating Mode

Server

VTP Dornain Narne

Larry

VTP pruning Mode

Disabled

VTP V2 Mode

Enabled

VTP Traps Generation

Disabled

M05 digest

Ox76 Ox1E Ox06 Ox1E Ox1C Ox46 Ox59 Ox75

Configuration last rnodified by 1.1.1.3 at 3-1-93 01:07:29 Local updater lD is 1.1.1.3 on interface Vl1 (lowest nurnbered VLAN interface found)

Para o Passo 1, os comandos show cdp neighbors e show interfaces trunk fornecem informações suficientes para confirmar a topologia, bem como mostrar quais links estão operando como trunks. O comando show interfaces trunk apresenta apenas interfaces em um estado de trunking em funcionamento. Alternadamente, o comando show interfaces switchport também apresenta o modo operacional (trunk ou access). A Figura 1-12 mostra o diagrama de rede. Observe também que o link entre SW1 e SW3 não está utilizando trunking no momento.

Figura 1-12 Topologia de rede de switches no Exemplo 1-6 Cliente

Servidor

Servidor

Para o Passo 2, uma rápida revisão do resultado do comando show vlan brief de cada switch mostra que todos os três switches possuem bancos de dados de VLAN diferentes. Por exemplo, todos os três switches sabem da existência da VLAN 3, enquanto SW1 é o único switch que sabe sobre a existência da VLAN 50, e SW3 é o único switch que sabe sobre a existência da VLAN 20. Como todos os três pares de switches vizinhos possuem bancos de dados de VLAN diferentes, o Passo 3 do processo de resolução de problemas sugere que cada par seja examinado. Começando com SW1 e SW2, uma rápida olhada no comando show vtp status em ambos os switches identifica o problema: SW1 utiliza o nome de domínio Larry enquanto SW2 utiliza larry, e os nomes diferem por causa da primeira letra maiúscula ou minúscula. Analogamente, SW3 e SW2 apresentam dificuldades por causa do nome de domínio VTP que não combina. Como SW2 é o único switch em que a palavra larry está com letra minúscula, uma solução seria reconfigurar SW2 para que ele usasse Larry como nome de domínio. Continuando o Passo 3 para SW1 e SW3, os dois switches possuem o mesmo nome de domínio (Passo 3B), mas, ao olhar o Passo 3A, vemos que não há nenhum trunk conectando SW1 a SW3. O CDP confmna que a interface GiO/2 de SW1 se conecta a SW3, mas o comando show interfaces trunk em SW1 não apresenta a interface GiO/2. Em conseqüência

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

•• ••

disso, nenhum dos switches pode enviar mensagens VTP um ao outro. A raiz do problema é, muito provavelmente, um lapso na conflguração do subcomando de interface switchport mode. Embora o exemplo não tenha tido nenhum problema com a não-combinação de senhas VTP, é importante saber como verificar as senhas. Primeiro, a senha pode ser exibida em cada switch com o comando show vtp password. Além disso, o comando show vtp status apresenta um hash MD5 derivado tanto do nome de domínio VTP quanto da senha VTP.

•• •• •

Portanto, se dois switches possuem o mesmo nome de domínio e a mesma senha, sensíveis a letras maiúsculas e minúsculas, o valor para o hash MD5 apresentado no resultado do comando show vtp status será o mesmo. Entretanto, se dois switches apresentam valores diferentes para o hash MD5 , é necessário examinar os nomes de domínio. Se estes forem iguais, as senhas deveriam ter sido diferentes, já que os hashes MD5 são diferentes.

•• •• •• •• •• • •• •• •

• • •

Antes de passar para o próximo tópico, veja este breve comentário sobre a versão VTP e como ela não impede que os switcbes funcionem. Se você examinar o resultado do comando show vtp status novamente no Exemplo 1-6, observe os cabeçalhos VTP Version (Versão VTP) e V2 Mode Enabled (Modo V2 Ativado). A primeira linha apresenta a versão VTP mais alta aceita pelo software daquele switch. A outra linha mostra o que o switch está atualmente usando. Se um switch tiver o comando VTP versão 2 conflgurado, sobrescrevendo o padrão da versão 1, o switch utilizará vtp version 2 - mas somente se os outros switches do domínio também aceitarem a versão 2. Portanto, a não-combinação da versão VTP conflgurada significa que os switches funcionam, mas que eles devem usar a versão 1 do VTP, e a linha que exibe "VTP V2 Mode" apresentaria a palavra disabled (desativado), significando que a versão 1 do VTP é utilizada.

Problemas ao conectar novos switches e criar trunks

o VTP pode estar funcionando perfeitamente há meses, e um belo dia uma enxurrada de chamadas por ajuda descrevem casos nos quais grandes grupos de usuários não conseguem mais utilizar a rede. Após um exame minucioso, aparentemente quase todas as VLANs foram excluídas. Os switches continuam tendo várias interfaces com comandos switchport access vlan que se referem às VLANs agora excluídas. Nenhum dos dispositivos presentes nessas VLANs agora excluídas funciona, porque os switches Cisco não encaminham frames para VLANs inexistentes. Esse cenário pode acontecer ocasionalmente (e acontece), principalmente quando um novo switch é conectado a uma rede existente. Se esse problema acontecer por acidente ou como um ataque de negação de serviço (DoS), a causa geradora é que, quando um novo trunk de VLANs (ISL ou 802.1Q) surge entre dois switches, e os dois switcbes são servidores ou clientes VTP, eles enviam atualizações VTP um para o outro. Se um switch receber um aviso VTP que possua o mesmo nome de domínio e tenha sido gerado com a mesma senha VTP, um outro switch sobrescreve seu banco de dados de VLAN como parte do processo de sincronização. Especificamente, o switch que tinha o menor número de revisão, sincroniza seu banco de dados de VLAN para combinar com um switch vizinho (que possui o maior número de .....~evisão). Resumindo o processo mais formalmente:

...;óplco •

37

Passo 1 Confirmar que o trunking ocorrerá no novo link: (refira-se à Tabela 1-5 para detalhes).

'. Chave

• .... •

Passo 2 ConfIrmar que os dois switches utilizam o mesmo nome de domínio e senha VTP, sensíveis a letras maiúsculas e minúsculas.

•• •• •• •• •• •

Passo 3 Os Passos 1 e 2 conflrmam que o VTP vai funcionar. O switch com menor número de revisão atualiza seu banco de dados de VLAN para combinar com outro switch.

•

Por exemplo, o Exemplo 1-6 e a Figura 1-12 mostram que o link formado entre SW1 e SW3 não está formando um trunking. Se esse link tivesse de ser configurado para formar um trunk, SW1 e SW3 enviariam mensagens VTP um para o outro, utilizando o mesmo nome de domínio VTP e a mesma senha VTP. Portanto, um switch atualizaria seu banco de dados de VLAN para que ele combinasse com o outro. O Exemplo 1-6 mostra SW1 com o número de revisão 131 e SW3 com número de revisão 134; logo, SW1 vai sobrescrever seu banco de dados de VLAN para combinar com SW3, excluindo, assim, as VLANs 49 e 50. O Exemplo 1-7 retoma a história ao final do Exemplo 1-6, mostrando o surgimento do trunk entre SW1 e SW3, permitindo a sincronização do VTP e resultando em alterações no banco de dados VLAN do SW1. Exemplo 1-7 Exemplo de resolução de problemas de VTP SW1#configure terminal Enter configuration commands, one per line. End with CNTL / Z. SWl (config) #interface giO/2 SW1(config- if)# switchport mode dynamic desirable

38 Capítulo 1: LANS Virtuais SW1(config -if)# AZ SWl# 01:43:46: %SYS-5-CONFIG_I : Configured from cons ole by console 01:43:46 : %LINEPROTO-5-UPDOWN: Line protocol on Interfa ce GigabitEthernetO/2. chang ed state t o d own SW1#01 : 43 : 49 : %L I NEPROTO-5 - UPDOWN: Li n e pro t ocol on Interface GigabitEthernetO/2. changed state to u p SWl# show vlan brief VLAN

Name

Status

Ports

1

default

active

FaO/1. FaO/2 . FaO/3. FaO/4 FaO/5. FaO/6 . FaO/7 • Fa O/8 Fa O/9. FaO/10 . FaO/13 • FaO/14 FaO/15. FaO/16. FaO/1?

FaO/18

FaO/19. FaO/20. FaO/2 1 . FaO/22 FaO/23. FaO/2 4 . GiO/1 3

VLANOO03

4

VLANOO04

active active

5

VLANOO05

active

20

VLAN20

act ive

1002

fddi-default

act/unsup

1003

trcrf-default

act/unsup

1004

fddinet-default

act/unsup

1005

trbrf- d efau lt

ac t /un s u p

FaO/ll

Na vida real, você tem várias formas de ajudar a reduzir a chance de que tais problemas ocorram quando estiver instalando um novo switcb em um domínio VTP existente. Especificamente, antes de conectar um novo switch a um domínio VTP existente, defina o número de revisão do VTP do novo switch em O utilizando um dos seguintes métodos: •

Configure o novo switch em modo VTP transparente e depois volte para o modo VTP cliente ou servidor.

• Apague o arquivo vlan.dat em memória flash do novo switch e reinicialize o switch. Esse arquivo contém o banco de dados de VLAN do switch, incluindo o número de revisão.

Evitando problemas de VTP através das práticas ideais Além da sugestão de definir o número de revisão do banco de dados de VLAN antes de instalar um novo switch, existem algumas outras excelentes convenções de VTP, chamadas práticas ideais, que podem ajudar a evitar algumas das ciladas do VTP. Sejam elas: .......... f Tópico

• Se você não pretende utilizar o VTP, configure cada switch para utilizar o modo transparente.

\ Ch.".

".

• Se estiver usando o modo VTP servidor ou cliente, sempre use uma senha VTP. • Desative o trunking com os comandos switchport mode access e switchport nonegotiate em todas as interfaces, exceto em trunks conhecidos, evitando ataques VTP e impedindo o estabelecimento dinâmico de trunks. Ao evitar a negociação de trunking com a maioria das portas, o hacker nunca conseguirá ver uma atualização VTP a partir de um dos seus switches. Tendo definido uma senha VTP, mesmo que o backer consiga fazer com que o trunking funcione em um switch existente, ele teria de saber a senha para causar qualquer dano. E, ao utilizar o modo transparente, você consegue evitar os tipos de problemas descritos anteriormente, na seção "Cuidados ao sair da configuração VTP padrão".

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •

CCNA ICND2

39

Atividades de preparação para o exame

•• Revise todos os tópicos-chave •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

Revise os tópicos mais importantes deste capítulo, indicados com o ícone Tópicos-Chave na margem externa da página. A Tabela 1-8 relaciona esses tópicos-chave e os números das páginas nas quais cada um é encontrado.

Tabela 1-8 Tópicos-chave do Capítulo 1 Elemento do tópico-chave

Descrição

Número da página

Lista

Razões para usar VLANs

8

Figura 1-2

Diagrama de trunkings de VLANs

9

Figura 1-4

Cabeçalho 802.1 Q

11

Tabela 1-2

Comparações entre 802.1 Q e ISL

11

Figura 1-6

Conceitos do processo de sincronização do VTP

13

Lista

Requisitos para o funcionamento doVTP entre dois switches

14

Tabela 1-3

Resumo dos recursos do VTP

17

Lista

Lista de verificação de configuração para configurar VLANs e atribuir interfaces

18

Lista

Configuração VTP e VLAN padrão

18

Tabela 1-4

Opções do comando switchport mode

22

Tabela 1-5

Resultados de trunking esperados com base na configuração do comando switchport mode

24

Lista

Quatro razões por que um trunk não transmite tráfego para uma VLAN

25

Tabela 1-6

Configuração e termos da Voice e Data VLAN

27

Lista

Recomendações sobre como proteger portas de switches não-utilizadas

27

Lista

Lista de verificação da configuração do VTP

28

Tabela 1-7

Comandos de configuração do VTP e VLAN e onde eles são armazenados

31

Lista

Processo de resolução de problemas de VTP 33 utilizado quando o VTP não está funcionando atualmente

Lista

Prevendo o que acontecerá com o VTP quando um novo switch se conectar a uma rede

37

Lista

Práticas ideais de VTP para evitar problemas

38

40 Capítulo 1: LANS Virtuais

Complete as tabelas e listas usando a memória Imprima uma cópia do Apêndice J, "Tabelas de memória", e complete as tabelas e listas usando a memória. O Apêndice K, " Respostas das Tabelas de Memória, inclui tabelas e listas completadas para você conferir o seu trabalho.

Definições de termos-chave Defina os seguintes termos-chave encontrados neste capítulo e verifique suas respostas no glossário: 802.1Q, ISL, trunk:, modo administrativo do trunking, modo operacional do trunking, VLAN, banco de dados de configuração da VLAN, vlan.dat, VTP, modo VTP cliente, VTP Pruning, modo VTP servidor, modo VTP transparente.

Referência aos comandos para verificar sua memória Embora você não precise necessariamente memorizar as informações contidas nas tabelas desta seção, ela inclui uma referência para os comandos de configuração abordados neste capítulo. Na prática, você deve memorizar os comandos como reflexo da leitura do capítulo e da execução de todas as atividades desta seção de preparação para o exame. Para verificar o quão eficientemente você memorizou os comandos como reflexo de seus outros estudos, cubra o lado esquerdo da tabela com um pedaço de papel, leia as descrições do lado direito e veja se você se lembra do comando.

Tabela 1-9 Referência aos comandos de configuração do Capítulo 1 Comando

Descrição

vlan vlan-id

Comando de configuração global que cria a VLAN e coloca CU no

modo de configuração de VLAN

name vlan-name

Subcomando de VLAN que dá nome à VLAN

shutdown

Subcomando de VLAN que impede que um switch encaminhe o tráfego

naquela VLAN

shutdown vlan vlan-id

Comando de configuração global que desativa administrativamente uma VLAN, evitando que o switch encaminhe frames naquela VLAN

vtp domain domain-name

Comando de configuração global que defme o nome de domínio VTP

vtp password password

Comando de configuração global que define a senha VTP

vtp {server I client I transparent}

Comando de configuração global que define o modo VTP

vtp pruning

Comando de configuração global que diz ao servidor VTP para dizer a todos os switches utilizarem VTP Pruning

switchport mode {access I dynamic

Subcomando de interface que configura o modo

{auto I desirable} I trunk} switchport trunk allowed vlan {add I alI

administrativo do trunking na interface

I

Subcomando de interface que define a lista de

except I remove} vlan-list

VLANs permitidas

switchport access vlan vlan-id

Subcomando de interface que configura estaticamente a interface naquela VLAN específica

switchport trunk encapsulation

Subcomando de interface que define qual tipo de trunking usar,

{dotlq I isl I nego tia te}

considerando que o trunking seja configurado ou negociado

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •

•• •

• •• •• ••

'. •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2

41

show interfaces interface-id switchport

Relaciona informações sobre qualquer interface com respeito às definições administrativas e o estado operacional

show interfaces interface-id trunk

Relaciona informações sobre todos os trunks em funcionamento (mas nenhuma outra interface), incluindo a lista de VLANs

show vlan [brief I id vlan-id

Relaciona informações sobre a VLAN

I name vlanname I summary] show vlan [vlan]

Exibe informações sobre a VLAN

show vtp status

Relaciona informações sobre a configuração e o status do VTP

show vtp password

Relaciona a senha do VTP

Este capítulo aborda os seguintes assuntos: Protocolo Spanning Tree (IEEE 802.1d): esta seção explica os conceitos principais por trás da operação dos protocolos STP originais do IEEE. Rapid STP (IEEE 802.1w): esta seção se concentra nas diferenças entre o padrão 802.1d STP antigo e o novo padrão 802.1 w RSTP. Configuração e verificação do STP: esta seção explica como configurar o STP em switches Cisco lOS e como verificar o status atual do STP em cada switch e interface. Resolução de problemas de STP: esta seção sugere uma abordagem sobre como prever a função da porta de cada interface STP, prevendo, assim, a topologia do spanning tree.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •

••

•• Protocolo Spanning Tree •• (Spanning Tree Protocol) •• •• •

CAPíTULO

2

Quando os designs das LANs requerem vários switches, a maioria dos engenheiros de rede inclui segmentos Ethernet redundantes entre os switches. O objetivo é simples. Os switches podem falhar, e os cabos podem estar cortados ou desligados, mas, se switches e cabos redundantes forem instalados, o serviço de rede pode, ainda assim, permanecer disponível para a maioria dos usuários.

•• •• •• •• • Questionário "Eu já conheço isto?"

LANs com links redundantes oferecem a possibilidade de os frames fazerem um loop em torno da rede indefinidamente. Essas frames em looping causariam problemas de desempenho na rede. Entretanto, LANs utilizam o STP (Spanning Tree Protocol, ou Protocolo Spanning Tree), que permite que os links redundantes da LAN sejam utilizados e impedem, ao mesmo tempo, que os frames façam um loop em torno da LAN, indefinidamente, através destes links redundantes. Este capítulo aborda o STP, junto com alguns comandos de configuração utilizados para regular o comportamento do STP. Este capítulo aborda os detalhes do STP, acrescidos de uma variação mais nova chamada RSTP (Rapid Spanning Tree Protocol, ou Protocolo Spanning Tree Rápido). O fInal do capítulo aborda a confIguração do STP em switches 2960 seriais, junto com algumas sugestões sobre como abordar problemas sobre STP em exames.

•• •• •• •• •• •• •• •• •• •• •• •

O questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Não errando mais que uma das dez questões de auto-avaliação, você pode passar direto para a seção "Atividades de Preparação para o Exame". A Tabela 2-1 relaciona os principais títulos deste capítulo e as questões do questionário "Eu já conheço isto?", abordando o material dessas seções. Isso ajudará você a avaliar o seu conhecimento nessas áreas especfficas. As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

Tabela 1-1 Mapeamento entre a seção dos tópicos fundamentais e as questões do "Eu já conheço isto?" Seção dos tópicos fundamentais

Questões

Spanning Tree Protocol (IEEE 802.1d)

1-5

Rapid STP

(IEEE 802.1 w) 6-7

ConfIguração e verifIcação do STP Resolução de problemas de STP

8-9 10

1. Quais dos seguintes estados da porta 802.1d IEEE são estados estáveis utilizados quando o STP completou uma convergência? a.Bloqueio b. Encaminhamento (Forwarding) c. Escuta (Listening) d. Aprendizado (learning) e. Descarte

44 Capítulo 2: Protocolo Spanning Tree 2. Quais dos seguintes estados da porta 802.1d IEEE são transitórios e utilizados somente durante o processo de convergência do STP? a.Bloqueio b. Encaminhamento c. Escuta d. Aprendizado

e. Descarte 3. Qual dos seguintes bridge IDs seriam escolhidos como raiz, considerando que os switches que possuem esses bridge IDs estivessem na mesma rede? a.32768:02oo.1111.1111 b.32768:02oo.2222.2222 c.2oo:02oo.1111.1111 d.200:02oo.2222.2222 e. 40,000:0200.1111.1111

4. Qual dos fatos a seguir determina a freqüência em que uma bridge ou um switch não-raiz envia uma mensagem Hello BPDU 802.1d STP? a. O timer (cronômetro/temporizador) Hello como configurado naquele switch. b. O timer Hello como configurado no switch raiz. c. Sempre a cada 2 segundos. d. O switch reage aos BPDUs recebidos do switch raiz enviando outro BPDU 2 segundos após o recebimento da BPDU raiz.

5. Qual recurso STP faz com que uma interface seja colocada no Estado de Encaminhamento (Forwarding State) assim que a interface se toma fisicamente ativa? a. STP b.RSTP c. Root Guard d.802.1w

e. PortFast f. EtherChannel 6. Qual das respostas apresenta o nome do padrão IEEE que melhora o padrão STP original e diminui o tempo de convergência? a. STP b. RSTP c. Root Guard d.802.1w

e. PortFast f. Trunking

7. Quais dos seguintes estados da porta RSTP possuem o mesmo nome de um estado de porta semelhante no STP tradicional?

••

•• •• •• •• •• •

•• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• ••

•• •• •• •• • '.•• •• •• ••

•• ••

•• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

45

a.Bloqueio b. Encaminhamento c. Escuta d. Aprendizado e. Descarte f. Desativado 8. Em um switch 2960, quais dos seguintes comandos alteram o valor do bridge lO? a. spanning-tree bridge-id value b. spanning-tree vlan vlan-number root {primary

I secondary}

c. spanning-tree vlan vlan-number priority value d. set spanning-tree priority value 9. Observe o seguinte trecho extraído do comando show spanning-tree de um switch Cisco: Bridge 10 Priority 32771 (priority 32768 sys-id-ext 3) Address 0019.e86a.6f80 Qual das respostas a seguir é verdadeira com relação ao switch no qual este resultado foi exibido? a. A informação é relativa à instância STP para VLAN 1. b. A informação é relativa à instância STP para VLAN 3. c. O resultado do comando confirma que este switch não pode ser o switch raiz. d. O resultado do comando confirma que este switch é atualmente o switch raiz. 10. O switch SW3 está recebendo somente dois Hello BPDUs, ambos provenientes do mesmo switch raiz, recebidos nas duas interfaces listadas a seguir: SW3#show interfaces status Port Name Status Vlan Duplex Speed Type FaO/13 connected 3 a-half a-lOO lO/lOOBaseTX GiO/1 connected 1 a-fuli a-lOOO 1000BaseTX SW3 não possui nenhum comando de configuração relacionado ao STP. O Helio recebido em FaO/13 apresenta custo 10, e o Hello recebido em GiO/1 apresenta custo 20. Qual das seguintes afirmativas é verdadeira com relação ao STP em SW3? a. SW3 escolherá FaO/13 como sua porta raiz. b. SW3 escolherá GiO/1 como sua porta raiz. c. A FaO/13 de SW3 passará a ser uma porta designada. d. A GiO/1 de SW3 passará a ser uma porta designada.

Tópicos fundamentais Sem o STP (Spanning Tree Protocol), uma LAN com links redundantes faria com que os frames Ethernet fizessem um loop por um período indefinido de tempo. Com o STP ativado, alguns switches bloqueiam as portas de forma que essas portas não encaminham frames. O STP escolhe quais portas bloquear para que exista somente uma passagem ativa entre qualquer par de segmentos da LAN (domínios de colisão). Em conseqüência disso, os frames podem ser entregues a cada dispositivo, sem causar os problemas criados quando os frames fazem loop através da rede.

46 Capítulo 2: Protocolo Spanning Tree Este capítulo começa explicando a necessidade do padrão IEEE original para o STP e corno esse padrão funciona. A segunda seção explica comparativamente corno o novo e muito mais veloz RSTP (Rapid STP) funciona. As últimas duas seções examinam a configuração e a resolução de problemas de STP, respectivamente.

Protocolo Spanning Tree (IEEE 802.1 d) o IEEE 802.1d, o primeiro padrão público para o STP, definiu urna solução razoável para o problema de frames que fazem loops em tomo de links redundantes indefinidamente. As seções a seguir começam com uma descrição mais detalhada do problema, seguida de uma descrição do resultado final de como o 802.1d STP resolve o problema. As seções terminam com uma descrição mais longa de como o STP funciona, como processo distribuído em todos os switches da LAN, para evitar loops.

A necessidade de Spanning Tree

o problema mais comum que pode ser evitado utilizando o STP são as tempestades de broadcasts. Estas fazem com que os broadcasts (ou multicasts ou unicasts de destino desconhecido) façam loops em tomo de uma LAN indefinidamente. Em conseqüência disso, alguns links podem ficar saturados com cópias inúteis do mesmo frame, excluindo frames bons, bem como impactando significativamente o desempenho do PC do usuário final, o que faz com que os PCs processem um número excessivo de frames de broadcasts. Para ver corno isso ocorre, a Figura 2-1 mostra um modelo de rede no qual Bob envia um frame de broadcast. As linhas tracejadas mostram como os switches encaminham o frame quando o STP não existe.

Figura 2-1 Tempestade de broadcasts Larry

Switches distribuem broadcasts por todas as interfaces na mesma VLAN, exceto a interface na qual o frame chegou. Na figura, isso significa que SW3 vai encaminhar o frame de Bob para SW2; SW2 vai encaminhar o frame para SW1; SW1 vai encaminhar o frame de volta a SW3; e SW3 vai encaminhá-lo de volta para SW2 novamente. Esse frame fará loops até que algo mude - alguém encerre uma interface, reinicialize um switch ou faça outra coisa para quebrar o loop. Observe também que o mesmo evento acontece no sentido oposto. Quando Bob envia o frame original, SW3 também encaminha urna cópia para SW1, SW1 a encaminha para SW2, e assim por diante. A instabilidade de tabelas MAC também ocorre como resultado dos frames em looping. Instabilidade de tabelas MAC significa que as tabelas de endereço MAC dos switches continuarão alterando as informações apresentadas para o endereço MAC fonte do frame em looping. Por exemplo, SW3 começa a Figura 2-1 com urna entrada de tabela MAC, da seguinte forma: 0200.3333.3333 FaO/1 3 VLAN 1

Entretanto, pense agora no processo de aprendizado do switch que ocorre quando o frame em looping vai para SW2, depois para SW1, e depois volta à interface GiO/1 de SW3. SW3 pensa da seguinte forma: hmmm... o endereço MAC fonte é 0200.3333.3333, e chegou à minha interface GiO/ l. Então, atualize a minha tabela MAC!, resultando na seguinte entrada em SW3: 0200.3333.3333 GiO/l VLAN 1

•

•• •• •• •• •• ••

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •• ••

• •• •• •• •• •• •• •• ••

•• •• •

•• •• •• •• •• ••

•• •• •• •• ••

CCNA ICND2

47

Neste ponto, se um frame chega a SW3 - um frame diferente do frame em looping que causa os problemas - destinado ao endereço MAC 0200.3333.3333 de Bob, SW3 encaminhará incorretamente o frame por GiO/l até SWl. Esse novo frame também pode fazer um loop, ou simplesmente nunca ser entregue a Bob. A terceira classe de problemas causados pela não-utilização do STP em uma rede com redundância é que hosts de trabalho recebem várias cópias do mesmo frame. Considere o caso em que Bob envia um frame para Larry, mas nenhum dos switches sabe o endereço MAC de Larry. (Switches distribuem frames enviados a endereços MAC unicast de destino desconhecido). Quando Bob envia o frame (destinado ao endereço MAC de Larry), SW3 envia uma cópia de SWl e SW2. SWl e SW2 também distribuem o frame, fazendo com que as cópias do frame façam um loop. SWl também envia uma cópia de cada frame através de FaO/ll até Larry. Em conseqüência disso, Larry recebe várias cópias do frame, o que pode resultar em uma falha do aplicativo ou até mesmo problemas mais profundos de comunicação em rede. A Tabela 2-2 resume as três classes principais de problemas que ocorrem quando o STP não é utilizado em uma LAN com redundância. /;~;;~o Tabela 2-2 Três classes de problemas causados pela não-utilização do STP em LANs redundantes ~. Chave

....

Problema

Descrição

Tempestades de broadcasts

Encaminhamento de um frame, repetidas vezes, nos mesmos links, consumindo partes significativas das capacidades dos links

Instabilidade de tabelas MAC

Atualização contínua da tabela de endereços MAC de um switch com entradas incorretas, em reação aos frames em looping, resultando no envio dos frames aos locais errados

Transmissão múltipla de frames

Efeito colateral de frames em looping no qual várias cópias de um frame são entregues ao host desejado, confundindo o host

A função do IEEE 802.1d Spanning Tree STP impede a ocorrência de loops colocando cada porta da bridge ou do switch em Estado de Encaminhamento (Forwarding State) ou Estado de Bloqueio (Blocking State). As interfaces no Estado de Encaminhamento agem normalmente, encaminhando e recebendo frames, mas as interfaces no Estado de Bloqueio não processam nenhum frame, exceto mensagens STP. Todas as portas em Estado de Encaminhamento são consideradas no spanning tree atual. O conjunto de portas de encaminhamento cria uma única passagem através da qual os frames são enviados entre segmentos Ethernet. A Figura 2-2 mostra uma árvore STP simples que resolve o problema mostrado na Figura 2-1 colocando uma porta de SW3 no Estado de Bloqueio.

Figura 2-2 Rede com links redundantes e STP

Bob

0200.3333.3333

48 Capítulo 2: Protocolo Spanning Tree Agora, quando Bob enviar um frame de broadcast, ele não fará loop. Bob envia o frame para SW3 (Passo 1), que, em seguida, encaminha o frame somente para SW1 (passo 2), porque a interface GiO/2 de SW3 está em Estado de Bloqueio. SW1 distribui o frame através de FaO/lI e GiO/1 (passo 3). SW2 distribui o frame através de FaO/12 e GiO/1 (Passo 4). No entanto, SW3 ignora o frame recebido de SW2, novamente porque aquele frame entra na interface GiO/2 de SW3, que está em Estado de Bloqueio. Com a topologia STP mostrada na Figura 2-2, os switches simplesmente não utilizam um tink entre SW2 e SW3 para transmitir o tráfego nesta VLAN; esse é o menor efeito colateral negativo do STP. No entanto, se o tink entre SW1 e SW3 falhar, o STP converge de forma que SW3 encaminhe em sua interface GiO/2, em vez de bloquear.

Observação O termo convergência do STP se refere ao processo através do qual os switches percebem, conjuntamente, que algo foi alterado na topologia da LAN. Com isso, os switches poderão precisar alterar quais portas bloqueiam e quais portas encaminham. Como o STP consegue fazer com que os switches bloqueiem ou encaminhem em cada interface? E como ele converge para alterar do estado de Bloqueio para o de Encaminhamento para tirar proveito de tinks redundantes em resposta a falhas na rede? As seções a seguir respondem a essas questões.

Como funciona o Spanning Tree o algoritmo do STP cria uma spanning tree (árvore aberta)

das interfaces que encaminham frames . A estrutura em árvore cria uma única passagem de ida e de volta a cada segmento Ethemet, exatamente como você traça uma única passagem em uma árvore viva e em crescimento, indo desde a base da árvore até cada folha.

Observação Como as bridges Ethernet são raramente usadas hoje em dia, este capítulo se refere somente a switches. Entretanto, tanto as bridges quanto os switches utilizam o STP.

o processo utilizado pelo STP, às vezes chamado de STA (Spanning Tree Algorithm, ou Algoritmo de Spanning Tree) , escolhe as interfaces que devem ser colocadas em Estado de Encaminhamento. Para qualquer interface que não tenha sido escolhida para ficar em Estado de Encaminhamento, o STA coloca a interface em Estado de Bloqueio. Em outras palavras, o STP simplesmente escolhe quais interfaces devem encaminhar. O STP utiliza três critérios para escolher se deve colocar uma interface em Estado de Encaminhamento: •

O STP escolhe um switch raiz e coloca todas as interfaces de trabalho no switch raiz em Estado de Encaminhamento.

• Cada switch não-raiz considera que uma de suas portas tenha o menor custo administrativo entre ele e o switch raiz. O STP coloca essa interface de menor custo de raiz, chamada porta raiz (PR, ou RP (root port)) daquele switch, em Estado de Encaminhamento. • Muitos switches podem se associar ao mesmo segmento Ethemet. O switch com menor custo administrativo entre ele e a bridge raiz, em comparação com os outros switches associados ao mesmo segmento, é colocado em Estado de Encaminhamento. O switch de menor custo em cada segmento é chamado de bridge designada, e a interface desta bridge, associada ao segmento, é chamada de porta designada (pA, ou DP (designated port)).

Observação A verdadeira razão pela qual a raiz coloca todas as interfaces em Estado de Encaminhamento é que todas as suas interfaces se tornarão PAs, mas é mais fácil lembrar simplesmente que todas as interfaces de trabalho dos switches raiz encaminharão frames. Todas as outras interfaces são colocadas em Estado de Bloqueio. A Tabela 2-3 resume as razões pelas quais o STP coloca uma porta em Estado de Encaminhamento ou de Bloqueio. .......... Tabela 2-3 STP: Razões para encaminhar ou bloquear

[ Tópico

\ Chave

....

Caracterização da porta

Estado do STP

Descrição

Todas as portas do switch raiz

Encaminhamento

O switch raiz é sempre o switch atribuído em todos os segmentos conectados

• •• •

•• •• •• ••• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

••

CCNA ICND2

49

Porta raiz de cada switch não-raiz

Encaminhamento

Porta através da qual os switches têm o menor custo para alcançar o switch raiz

Porta designada de cada LAN

Encaminhamento.

o switch que encaminha o BPDU de menor custo para o segmento é o switch atribuído àquele segmento

Todas as outras portas de trabalho

Bloqueio.

A porta não é usada para encaminhar frames, nem os frames são recebidas nessas interfaces consideradas para encaminhamento

Observação O STP só considera interfaces de trabalho. Interfaces defeituosas (por exemplo, interfaces sem nenhum cabo instalado) ou interfaces fechadas administrativamente são colocadas em Estado STP Desativado. Portanto, esta seção utiliza o termo portas de trabalho (working ports) para se referir a interfaces que poderiam encaminhar frames se o STP colocasse a interface em Estado de Encaminhamento.

Bridge ID STP e Helio BPDU

o STA (Spanning Tree Algorithm) começa com a escolha de um switch para ser o switch raiz. Para entender melhor esse processo de escolha, é necessário entender as mensagens STP enviadas entre switches bem como o conceito e formato do identificador utilizado para identificar exclusivamente cada switch. O BID (Bridge ID) STP é um valor de 8 bytes exclusivo de cada switch. O bridge ID consiste em um campo de prioridade de 2 bytes e um system ID de 6 bytes, com o system ID baseado em um endereço MAC gravado em cada switch. O uso de um endereço MAC gravado assegura que o bridge ID de cada switch seja exclusivo. O STP define mensagens chamadas bridge protocol data units (BPDU), que as bridges e os switches utilizam para trocar informações uns com os outros. A mensagem mais comum, chamada Helio BPDU, apresenta o bridge ID do switch de envio. Ao apresentar o seu próprio bridge ID exclusivo, os switches podem perceber a diferença entre BPDUs enviadas por switches diferentes. Essa mensagem também apresenta o bridge ID do atual switch raiz. O STP define vários tipos de mensagens BPDU, sendo a mensagem Helio BPDU a que faz a maior parte do trabalho. A Helio BPDU inclui vários campos, mas o mais importante é que ela contém os campos apresentados na Tabela 2-4.

Tabela 2-4 Campos da Hello BPDU STP

.......... [ TópiCO

\~ha"

Campo

Descrição

Bridge ID raiz

O bridge ID da bridge ou do switch que o remetente deste Hello no momento acredita ser o switch raiz

Bridge ID do remetente

Bridge ID da bridge ou do switch que envia este Hello BPDU

Custo para alcançar a raiz

Custo STP entre este switch e a raiz atual

Valores do timer no switch raiz

Inclui o timer Hello, o timer MaxAge e o timer Forward Delay (Atraso de Encaminhamento)

Por enquanto, mantenha os três primeiros itens da Tabela 2-4 em mente, já que as seções seguintes trabalham com os três passos ao discutir como o STP escolhe as interfaces a serem colocadas em Estado de Encaminhamento. Em seguida, o texto examina os três passos principais do processo STP.

Escolhendo o switch raiz Os switches escolhem um switch raiz com base nos bridge IDs das BPDUs. O switch raiz é aquele que possui o menor valor para o bridge ID. Como o bridge ID, formado por duas partes, começa com o valor de prioridade, em essência, o switch que possui a menor prioridade se torna a raiz. Por exemplo, se um switch tiver prioridade 100, e outro tiver prioridade 200, o switch com prioridade 100 ganha, independentemente de qual endereço MAC tenha sido usado para criar o bridge ID para cada bridge/switch .

50 Capítulo 2: Protocolo Spanning Tree Se ocorrer um empate com base na porção da prioridade referente ao bridge ID, o switch com a menor porção do endereço MAC no bridge ID é a raiz. Não deverá ser necessária nenhuma outra forma de desempate porque os switches utilizam um dos seus próprios endereços MAC gravados como segunda parte dos seus bridge IDs. Portanto, se as prioridades empatarem, e um switch utilizar um endereço MAC 0020.0000.0000 como parte do bridge ID, e o outro utilizar OFFF.FFFF.FFF, o primeiro switch (MAC 0200.0000.0000) torna-se a raiz. O STP escolhe um switch raiz de forma nada diferente de uma eleição ou escolha política. O processo começa com todos os switches alegando ser a raiz através do envio de Reno BPDUs listando seu próprio bridge ID como bridge ID raiz. Se um switch escutar um Reno que apresente um bridge ID melhor (menor) - chamado de Reno Superior - este switch pára de se anunciar como raiz e começa a encaminhar o Reno Superior. O Reno enviado pelo switch melhor apresenta o bridge ID do switch melhor como raiz. Funciona como uma disputa política na qual um candidato menos popular desiste e sai da disputa, dando seu apoio a outro candidato. Finalmente, todos concordam com qual switch tem o melhor (menor) bridge ID, e todos apóiam o switch escolhido (eleito) - e aí termina a analogia com uma disputa política. A Figura 2-3 mostra o início do processo de escolha da raiz. Neste caso, SW1 se anunciou como raiz, assim como SW2 e SW3. No entanto, SW2 agora acredita que SW1 seja uma raiz melhor; portanto, SW2 está agora encaminhando o Reno originado em SWl. Esse Reno encaminhado apresenta o BID de SW1 como BID raiz. Entretanto, neste ponto, SW1 e SW3 ainda acreditam que eles são os melhores e, portanto, continuam apresentando seu próprio BID como raiz em seus Reno BPDUs.

Figura 2-3 Início do processo de escolha da raiz Custo até Raiz: O Meu BIO: 32,769:0200.0001 .0001 BIO Raiz: 32,769:0200.0001 .0001

Custo até Raiz: 4 Meu BIO: 32,769:0200.0002.0002 BIO Raiz: 32,769:0200.0001.0001

Custo até Raiz: O Meu BIO: 32,769:0200.0001 BIO Raiz: 32,769:0200.0001.0001

~

Custo até Raiz: O Meu BIO: 32,769:0200.0003.0003 BIO Raiz: 32,769:0200.0003.0003

Custo até Raiz: O Meu BIO: 32,769:0200.0003.0003 BIO Raiz: 32,769:0200.0003.0003

Dois candidatos ainda existem na Figura 2-3: SW1 e SW3. Quem vence, então? Bem, com base no bridge ID, o switch com a menor prioridade vence; se ocorrer um empate, o menor endereço MAC vence. Conforme mostrado na figura, SW1 possui o bridge ID menor (32769:0200.0000.0001) que SW3 (32769:0200.0003.0003); logo, SW1 vence e SW3 agora também acredita que SW1 seja o melhor switch. A Figura 2-4 mostra as mensagens Reno resultantes enviadas pelos switches. Depois de concluída a escolha, somente o switch raiz continua a originar mensagens Reno BPDU STP. Os outros switches recebem as Renos, atualizam o campo BID do remetente (e o campo custo-para-alcançar-a-raiz) e encaminham os Renos através de outras interfaces. A figura reflete esse fato, com SW1 enviando Renos no Passo 1, e SW2 e SW3 independentemente encaminhando a Reno através de suas outras interfaces no Passo 2.

• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •

•• • •• •• •

••

• •• •• ••

••

••

CCNA ICND2

51

Figura 2-4 SWl vence a eleição Custo até Raiz: O Meu BID: 32,769:0200.0001.0001 BID Raiz: 32,769:0200.0001.0001

Custo até Raiz: 4 Meu BID: 32,769:0200.0002.0002 BID Raiz: 32,769:0200.0001.0001

Custo até Raiz: O Meu BID: 32,769:0200.0001 BID Raiz: 32,769:0200.0001 .0001

••

•• •• •

•• •

•• •• •• •• • •• ••

•• •• ••

•• ••

Custo até Raiz: 5 Meu BID: 32,769:0200.0003.0003 BID Raiz: 32,769:0200.0001 .0001

Escolhendo a porta raiz de cada switch A segunda parte do processo STP ocorre quando cada switch não-raiz escolhe sua única porta raiz. A porta raiz (PR) de um switch é sua interface através da qual ele tem o menor custo STP para alcançar o switch raiz. Para calcular o custo, um switch acrescenta o custo apresentado em um Helio recebido ao custo da porta STP designada àquela mesma interface. O custo da porta STP é simplesmente um valor de número inteiro atribuído a cada interface com a fInalidade de fornecer uma medida objetiva que permita que o STP escolha quais interfaces devem ser acrescentadas à topologia do STP. A Figura 2-5 mostra um exemplo de como SW3 calcula o seu custo para alcançar a raiz através das duas passagens possíveis acrescentando o custo anunciado (em mensagens Helio) aos custos da interface apresentados na fIgura.

Figura 2-5 SW3 calculando o custo para alcançar a raiz e escolher sua PR .... .--

.- ... -------- -- --- ---.

Custo até Raizt: O··' Meu BID: 32,769:0200.0001 .0001 BID Raiz: 32,769:0200.0001 .0001

~

~

0+4=4 ~,

...... ,

,~toatéRa~

Meu BID: 32,769:0200.0002.0002 ': BID Raiz: 32,769:0200.0001.0001 :'

:' Meu BID: 32,769:0200.0001.0001 :' BI D Raiz: 32,769:0200.0001 .0001

,

,:

~

"

,, ,,

, ,

".

--- --- ---

~

--- ---

4+4=8 ---~

4.,

0+5=5

---

,

..

, ,, , ,

, ,,

, ,,

,, ,, , ,

,

'

Como resultado do processo ilustrado na Figura 2-5, SW3 escolhe GiO/l como sua PR, porque o custo para alcançar o switch raiz através desta porta (5) é menor que a outra alternativa (GiO/2, custo 8). Analogamente, SW2 escolherá GiO/

52 Capítulo 2: Protocolo Spanning Tree 2 como sua PR, com um custo igual a 4 (o custo O anunciado de SWl mais o custo 4 da interface GiO/2 de SW2). Cada switch coloca sua porta raiz em Estado de Encaminhamento. Em topologias mais complexas, a escolha da porta raiz não será tão óbvia assim. A seção "Resolvendo problemas de STP", apresentada ainda neste capítulo, mostra um exemplo em que a escolha da porta raiz requer um pouco mais de raciocínio.

Escolhendo a porta designada em cada segmento de LAN

o último passo do STP para escolher a topologia STP é escolher a porta designada em cada segmento de LAN. A porta designada em cada segmento de LAN é a porta do switch que anuncia o Helio de menor custo em um segmento de LAN. Quando um switch não-raiz encaminha um Helio, o switch não-raiz ajusta o campo do custo no Helio de acordo com o custo daquele switch para alcançar a raiz. Na verdade, o switch com menor custo para alcançar a raiz, entre todos os switches conectados ao segmento, torna-se a PD daquele segmento. Por exemplo, na Figura 2-4, tanto SW2 quanto SW3 encaminham mensagens Helio para aquele segmento. Observe que tanto SW2 quanto SW3 apresentam seu custo respectivo para alcançar o switch raiz (custo 4 em SW2 e custo 5 em SW3). Como resultado, a porta GiO/l de SW2 é a porta designada naquele segmento LAN. Todas as PDs são colocadas em estado de encaminhamento. Neste caso, portanto, a interface GiO/l de SW2 ficará em estado de encaminhamento. Se os custos anunciados empatassem, os switches desempatariam escolhendo o switch que tivesse o menor bridge ID. Nesse caso, SW2 teria vencido, com um bridge ID igual a 32769:0200.0002.0002 em comparação com 32769:0200.0003.0003 de SW3.

Observação Um switch pode conectar duas ou mais interfaces ao mesmo domínio de colisão se forem utilizados hubs. Nesses casos, é necessário outro desempate: o switch escolhe a interface que possui o menor número interno. A única interface que não tem motivo para estar em Estado de Encaminhamento nos três switches dos exemplos mostrados nas Figuras 2-3, 2-4 e 2-5 é a porta GiO/2 de SW3. Portanto, o processo STP está agora concluído. A Tabela 2-5 mostra o estado de cada porta e por que ela está naquele estado.

Tabela 2-5 Estado de cada interface Interface do switch

Estado

Razão pela qual a interface está em estado de encaminhamento

SW1 , GiO/l

Encaminhamento

A interface está no switch raiz

SWl , GiO/2

Encaminhamento

A interface está no switch raiz

SW2,GiO/2

Encaminhamento

A porta raiz

SW2,GiO/l

Encaminhamento

A porta designada a SW3 no segmento de LAN

SW3,GiO/1

Encaminhamento

A porta raiz

SW3,GiO/2

Bloqueio

Não é a porta raiz nem a porta designada

Os custos das portas podem ser configurados ou você pode utilizar os valores padrão. A Tabela 2-6 apresenta os custos padrão das portas definidos pelo IEEE; a Cisco usa estes mesmos padrões. O IEEE revisou os valores de custo porque os valores originais, estabelecidos no início da década de 1980, não previram que o Ethernet cresceria e se tornaria o Ethernet de lO-Gigabit.

• •• •• •• •• •• •• •• •• •• ••

•• •• • •• •• •• ••

.1 •

.'•• •• •• •

•

• •• •• •• •• •• •

•• •• •

•• •• •• •

CCNA ICND2

..........

Tabela 2-6 Custos padrão das portas de acordo com o IEEE Custo IEEE original

Velocidade da Ethernet

53

t Tóplco ;. Chave

....

Custo IEEE revisado

lOMbps

100

100

100Mbps

10

19

1 Gbps

1

4

10 Gbps

1

2

Com o STP ativado, todas as interfaces de trabalho do switch entrarão em Estado STP de Encaminhamento ou de Bloqueio, até mesmo as portas de acesso. Para as interfaces do switch conectadas a hosts e roteadores, que não utilizam STP, o switch continuará encaminhando Hellos para aquelas interfaces. Em virtude de ser o único dispositivo que envia Hellos para aquele segmento de LAN, o switch está enviando o Hello de menor custo para aquele segmento de LAN, fazendo com que o switch se tome a porta designada naquele segmento de LAN. Portanto, o STP coloca as interfaces de acesso de trabalho em Estado de Encaminhamento em conseqüência da parte do processo STP relativo à porta designada.

Reagindo a mudanças na rede Depois que a topologia STP - o conjunto de interfaces em estado de encaminhamento - tiver sido determinada, esse conjunto de interfaces de encaminhamento não se altera, a não ser que a topologia da rede mude. Esta seção examina a operação contínua do STP enquanto a rede está estável. Em seguida, examina como o STP converge para uma nova topologia quando algo muda. O switch raiz envia um novo Hello BPDU a cada 2 segundos, de acordo com o padrão. Cada switch encaminha o Helio em todas as PAs, mas somente depois de alterar dois itens. O custo é alterado para refletir o custo daquele switch para alcançar a raiz, e, além disso, o campo do bridge ID do remetente também é alterado. (O campo do bridge ID da raiz não é alterado). Ao encaminhar os Helios recebidos (e alterados) através de todas as PAs, todos os switches continuam a receber Helios a cada 2 segundos aproximadamente. A lista a seguir resume a operação estável quando, no momento, nada está sendo alterado na topologia STP:

e envia um Hello BPDU, com o custo 0, através de todas as suas interfaces de trabalho (aquelas em • (;~~;~o 1. AE raizd cria d E ·nh )

•

' Chave

.....

•• • •• ••

•• •• •• •• •

•

sta

O

e

ncarrn

amento .

2. Os switches não-raiz recebem o Hello em suas portas raiz. Após alterar o Heno para que ele apresente seus próprios bridge IDs como sendo o BID do remetente e listar o custo raiz daquele switch, o switch encaminha o Hello através de todas as portas designadas. 3. Os Passos 1 e 2 se repetem até que algo mude. Cada switch depende desses Helios periódicos recebidos da raiz como forma de saber que o seu caminho até a raiz ainda está funcionando. Quando um switch deixa de receber os Helios, significa que algo falhou, e o switch, portanto, reage e começa o processo de alteração da topologia da spanning tree. Por várias razões, o processo de convergência requer o uso de três timers. Observe que todos os switches utilizam os timers conforme ditado pelo switch raiz, o qual a raiz apresenta em suas mensagens periódicas Helio BPDU. O timer e suas descrições são apresentados na Tabela 2-7. .......

~~~~

~ ...

Timer

Descrição

Valor padrão

Hello

Período de tempo entre Helios criados pela raiz

2 seg

Max Age

Tempo que qualquer switch deve esperar, depois de parar de receber Henos, antes de tentar alterar a topologia STP

10 vezes o HelIo

Forward Delay

Atraso que afeta o processo que ocorre quando uma interface muda do Estado de Bloqueio para o Estado de Encaminhamento.

54 Capítulo 2: Protocolo Spanning Tree Uma porta fica em Estado intermediário de Escuta (Listening) e, em seguida, em Estado intermediário de Aprendizado (Learning), durante o número de segundos definido pelo timer forward delay

15 seg

Se um switch não recebe um Helio BPDU esperado dentro do tempo de HelIo, ele continua como normal. Entretanto, se os HelIos não aparecerem novamente dentro do tempo MaxAge, o switch reage dando passos para alterar a topologia STP. Neste ponto, o switch reavalia qual switch deve ser o switch raiz e, se ele não for a raiz, qual porta deve ser a sua PR (Porta Raiz) e quais portas devem ser PDs (portas Designadas), considerando que os HelIos que ele vinha recebendo antes pararam de chegar. A melhor forma de descrever a convergência STP é mostrar um exemplo utilizando a mesma topologia familiar. A Figura 2-6 mostra a mesma figura familiar, com a GiO/2 de SW3 em Estado de Bloqueio, mas a interface GiO/2 de SWl acaba de falhar.

Figura 2-6 Reagindo à falha de links entre SW1 e SW3 Raiz é SW1 Eu sou SW1 ________ ~ Custo = O

Archie

RP

Raiz é SW1 Eu sou SW2 Custo = 4

,

,,

,

~'

Legenda: PR = Porta raiz PO= Porta designada

SW3 reage à alteração porque SW3 falha em receber seus HelIos esperados em sua interface GiO/l . Entretanto, SW2 não precisa reagir porque SW2 continua a receber seus HelIos periódicos em sua interface GiO/2. Nesse caso, SW3 reage quando o tempo MaxAge passa sem receber os Henos, ou assim que SW3 percebe que a interface GiO/l falhou. (Se a interface falhar, o switch pode considerar que os HelIos não chegarão mais.) Agora que SW3 pode agir, ele começa reavaliando a escolha do switch raiz. SW3 ainda recebe o Hello de SW1, encaminhado por SW2, e SWl possui um bridge ID menor; do contrário, SWl jamais teria sido a raiz. Portanto, SW3 decide que SWl continua sendo o melhor switch e que SW3 não é a raiz. Em seguida, SW3 reavalia sua escolha de PR (Porta Raiz). Neste ponto, SW3 só está recebendo Hellos em uma interface, a interface GiO/2. Seja qual for o custo calculado, GiO/2 passará a ser a nova PR de SW3. (O custo seria 8: o custo 4 anunciado por SW2 mais o custo 4 da interface GiO/2.) SW3, então, reavalia sua função como PD (porta Designada) em qualquer outra interface. Neste exemplo, não é necessário fazer nenhum trabalho real. SW3 já foi uma PD na interface FaO/13 e continua sendo a PD porque nenhum outro switch se conecta àquela porta. Quando STP converge, um switch faz a transição de interfaces de um estado para outro. Entretanto, uma transição de bloqueio para encaminhamento não pode ser feita imediatamente, pois uma alteração imediata para encaminhamento poderia temporariamente causar loops nos frames. Para evitar estes loops temporários, o STP faz a transição de uma interface através de dois estados intermediários, como mostrado a seguir:

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •

•

• •• •• •• •• •• ••

CCNA ICND2

• Escuta (Listening): assim como o estado de bloqueio, a interface não encaminha frames. O tempo das antigas entradas da tabela MAC, hoje em dia incorretas, é esgotado durante este estado, porque as antigas entradas incorretas da tabela MAC seriam a causa raiz dos loops temporários. mas o switch começa a aprender os endereços MAC de frames recebidos na interface. O STP passa uma interface do Estado de Bloqueio para o de Escuta, depois para o de Aprendizado e, em seguida, para o de Encaminhamento. Ele deixa a interface em cada estado intermediário por um tempo igual ao timer forward delay. Em conseqüência disso, um evento de convergência que faça com que uma interface mude de Bloqueio para Encaminhamento requer 30 segundos para fazer essa transição. Além disso, um switch pode ter de esperar tantos MaxAge segundos para decidir alterar uma interface do estado de Bloqueio para o de Encaminhamento. Seguindo o mesmo exemplo mostrado nas várias figuras anteriores, SW3 pode ter de esperar tantos MaxAge segundos para decidir que não está mais recebendo o mesmo BPDU raiz em sua porta raiz (o padrão são 20 segundos) e, em seguida, esperar 15 segundos nos Estados de Escuta (Listening) e Aprendizado (Learning) na interface GiO/2, resultando em um atraso de convergência de 50 segundos. A Tabela 2-8 resume os vários estados de interface do Spanning Tree para facilitar a revisão.

•

Tabela 2-8 Estados do Spanning Tree IEEE 802.1d

•

Estado

•

•

Bloqueio

Não

Não

Estável

•

Escuta

Não

Não

Transitório

•

Aprendizado

Não

Sim

Transitório

•

•

Encaminhamento

Sim

Sim

Estável

•

Desativado

Não

Não

Estável

:

Recursos STP opcionais

•

/;:~;~o \~h.ve

• Aprendizado (Leraning): interfaces que estejam neste estado continuam não encaminhando frames,

•

•• •• •• •• •• •• •• •• ••

55

Encaminha frames de dados?

Aprende MACs com base em frarnes recebidos?

Estado transitório ou estável?

O STP já existe há mais de 20 anos. Os switches Cisco implementam o IEEE 802.1d STP padrão, mas, durante os anos intermediários, a Cisco acrescentou recursos patenteados para trazer melhorias ao STP. Em alguns casos, o IEEE acrescentou essas melhorias, ou algo parecido, aos padrões IEEE mais recentes, seja como uma revisão do 802.1d padrão ou como um padrão adicional. As seções a seguir examinam três dos acréscimos patenteados feitos ao STP: EtherChannel, PortFast e BPDU Guard.

Observação Se você pretende trabalhar em uma rede LAN de campus, é aconselhável aprender mais sobre os recursos STP do que este livro aborda. Para isso, vá ao guia de configuração do software Cisco, procure os switches 2960 e leia os capítulos sobre STP, RSTP e recursos STP opcionais. A introdução deste livro apresenta informações sobre como encontrar a documentação relativa à Cisco.

EtherChannel Uma das melhores formas de diminuir o tempo de convergência do STP é evitar a convergência como um todo. O EtherChannel oferece uma forma de evitar que a convergência do STP seja necessária quando ocorre a falha somente de uma única porta ou cabo.

o EtherChannel combina vários segmentos paralelos de velocidade igual (até oito) entre o mesmo par de switches, embutido em um EtherChannel. Os switches tratam o EtherChannel como uma única interface com relação ao processo de encaminhamento de frames bem como para o STP. Por conseguinte, se um dos links falhar, mas pelo menos um dos links estiver funcionando, a convergência do STP não tem necessariamente que ocorrer. Por exemplo, a Figura 2-7 mostra a rede familiar composta de três switches, mas agora com duas conexões Gigabit Ethemet entre cada par de switches .

56 Capítulo 2: Protocolo Spanning Tree Figura 2-7 EtherChannels de dois segmentos entre switches

Com cada par de links Ethernet configurado como um EtherChannel, o STP trata cada EtherChannel como um único link. Em outras palavras, para que um switch precise causar convergência do STP tem de haver a falha dos dois links que levam ao mesmo switch. Sem o EtherChannel, se você tiver vários links paralelos entre dois switches, o STP bloqueia todos os links exceto um. Com o EtherChannel, todos os links paralelos podem estar funcionando perfeitamente ao mesmo tempo e reduzir o número de vezes que o STP deve convergir, o que, por sua vez, toma a rede mais disponível. O EtherChannel também fornece uma maior largura de banda de rede. Todos os trunks em um EtherChannel estão encaminhando ou bloqueando, porque o STP trata todos os trunks de um mesmo EtherChannel como um único trunk. Quando um EtherChannel está em Estado de Encaminhamento, os switches balanceiam a carga de tráfego através de todos os trunks, oferecendo uma maior largura de banda.

PortFast O PortFast permite que um switch imediatamente coloque uma porta em Estado de Encaminhamento quando a porta se toma fisicamente ativa, ignorando qualquer opção de topologia do STP e não passando pelos estados de Escuta e Aprendizado. Entretanto, as únicas portas em que você pode ativar o PortFast com segurança são as portas em que você sabe que não há nenhuma bridge, switch ou outro dispositivo STP conectado. O PortFast é mais adequado para conexões com dispositivos do usuário final. Se você acionar o PortFast em portas conectadas a dispositivos do usuário final, quando o PC do usuário final inicializar, tão logo a NIC do PC esteja ativa, a porta do switch pode passar para o Estado STP de Encaminhamento e encaminhar tráfego. Sem o PortFast, cada porta deve esperar enquanto o switch confirma se a porta é uma PD (Porta Designada) e esperar enquanto a interface permanece nos Estados temporários de Escuta e Aprendizado até entrar no Estado de Encaminhamento.

Segurança do STP Interfaces de switches que se conectam com dispositivos locais do usuário final na LAN ficam expostas em termos de segurança. Um hacker poderia conectar um switch a uma dessas portas, com um baixo valor de prioridade STP, e se tornar o switch raiz. Além disso, ao conectar o switch do hacker a vários switches legítimos, o switch do hacker pode acabar enviando uma grande quantidade de tráfego na LAN, e o hacker poderia usar um analisador de LAN para copiar grandes quantidades de frames de dados enviados através da LAN. Além disso, os usuários poderiam inocentemente danificar a LAN. Por exemplo, um usuário poderia comprar e conectar um switch barato a um switch existente, possivelmente criando um loop ou fazendo com que o novo switcb, com potência relativamente baixa, se tornasse a raiz. O recurso BPDU Guard da Cisco ajuda a combater esses tipos de problemas desativando a porta, caso BPDUs sejam recebidos naquela porta. Portanto, esse recurso é especialmente útil em portas que devam ser usadas somente como porta de acesso e nunca conectadas a outro switch. Além disso, o recurso BPDU Guard é, muitas vezes, usado na

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•

• •• •• • • •

CCNA ICND2

57

mesma interface que tem o PortFast ativado, já que uma porta com o PortFast ativada já estará em Estado de Encaminhamento, o que aumenta a possibilidade de encaminhar loops. O recurso Root Guard da Cisco ajuda a combater o problema quando o novo switch "malcriado" tenta se tomar o switch raiz. O recurso Root Guard permite que outro switch seja conectado à interface e participa do STP enviando e recebendo BPDUs. Entretanto, quando a interface do switch, que possui o Root Guard ativado, recebe um BPDU superior ao switch vizinho - um BPDU que tenha um bridge ID menor/melhor -, o switch com o Root Guard reage. Não só o switch ignora o BPDU superior mas também desativa a interface, não enviando nem recebendo frames, desde que os BPDUs superiores continuem chegando. Se os BPDUs superiores pararem de chegar, o switch pode começar a utilizar a interface novamente.

• Rapid STP (IEEE 802.1w)

:

Conforme mencionado anteriormente neste capítulo, o IEEE define o STP no padrão IEEE 802.1d. O IEEE aperfeiçoou o protocolo 802.1d com a definição do RSTP (Rapid Spanning Tree Protocol), conforme definido no padrão IEEE 802.1 w.

•

O RSTP (802.1w) funciona exatamente como o STP (802.1d) em vários aspectos:

! .... • . . -óplco

'~h.'"

•• •

.

Ele escolhe o switch raiz utilizando os mesmos parâmetros de desempate . Ele escolhe a porta raiz em switches não-raiz utilizando as mesmas regras.

• Ele escolhe as portas designadas em cada segmento de LAN utilizando as mesmas regras. • Ele coloca cada porta em Estado de Encaminhamento ou de Bloqueio, embora o RSTP chame o Estado de Bloqueio de Estado de Descarte.

• •

O RSTP pode ser empregado junto com os switches 802.1d STP tradicionais, com os recursos RSTP funcionando em switches que o aceitam e com os recursos 802.1d STP tradicionais funcionando nos switches que aceitam somente STP.

•

Com todas essas semelhanças, é possível.que você esteja se perguntando por que o IEEE quis criar o RSTP. O motivo é a convergência. O STP leva um tempo relativamente longo para convergir (50 segundos de acordo com as definições padrão). O RSTP melhora a convergência da rede quando ocorrem alterações na topologia.

•

•• •• •• •• •• •• •• •• •• • •

•

O RSTP melhora a convergência eliminando ou significativamente reduzindo os períodos de espera necessários para que o 802.1d STP impeça loops durante a convergência. O 802.1d STP requer um período de espera de tantos MaxAge segundos (20 segundos, de acordo com o padrão) para reagir a alguns eventos, enquanto o RSTP tem de esperar somente 3*Hello (6 segundos, de acordo com padrão). Além disso, o RSTP elimina o tempo de forward delay (15 segundos, de acordo com o padrão) nos estados de Escuta e Aprendizado. A convergência tradicional do STP possui, em essência, três períodos de tempo, cada qual melhorado pelo RSTP. Esses três períodos de espera de 20, 15 e 15 segundos (padrão) criam a convergência relativamente baixa do 802.1d STP, e a redução ou eliminação desses períodos de espera faz com que a convergência do RSTP ocorra rapidamente. Os tempos de convergência do RSTP são normalmente menores que 10 segundos. Em alguns casos, podem chegar a 1 ou 2 segundos. As seções a seguir explicam a terminologia e os processos utilizados pelo RSTP para superar as deficiências do 802.1d STP e melhorar o tempo de convergência.

Observação Como a maioria dos textos, quando for preciso distinguir entre os padrões 802.1d antigo e o 802.1 w mais recente, o STP se refere ao 802.1d e o RSTP se refere ao 802.1w.

Tipos de links e edges RSTP O RSTP caracteriza os tipos de conectividade física em uma LAN de campus em três tipos diferentes: • Tipo link ponto-a-ponto • Tipo link compartilhado •

TipoEdge

A Figura 2-8 mostra cada tipo.

• •• •• -i' • •• -i' •• •

58 Capítulo 2: Protocolo Spanning Tree Figura 2-8 Tipos links e edges RSTP

Tipo Edge Compartilhado - - -

Hub

Tipo Link Compartilhado - - -

Hub

_ - - - Tipo Edge

~

Tipo Edge pt-pt

A Figura 2-8 mostra dois modelos de rede. A rede da esquerda é um projeto de rede de campus típico de hoje em dia, sem nenhum hub. Todos os switches se conectam com cabos Ethernet, e todos os dispositivos do usuário final também se conectam com cabos Ethernet. O IEEE definiu o RSTP para melhorar a convergência desses tipos de rede. Na rede do lado direito da figura, os hubs ainda estão em uso para conexões entre os switches, bem como para conexões com dispositivos do usuário final. A maioria das redes não utiliza hubs mais. O IEEE não tentou fazer com que o RSTP funcionasse em redes que utilizem hubs compartilhados e, por isso, o RSTP não melhoraria a convergência na rede da direita. O RSTP chama de links as conexões Ethemet entre switches e de edges as conexões Ethernet com os dispositivos do usuário final. Existem dois tipos de links: ponto-a-ponto, conforme mostrado no lado esquerdo da Figura 2-8, e compartilhado, conforme mostrado no lado direito. O RSTP não distingue entre os tipos ponto-a-ponto e compartilhado para conexões de edges. O RSTP reduz o tempo de convergência para conexões do tipo link ponto-a-ponto e do tipo edge. Ele não melhora a convergência em conexões do tipo link compartilhado. Entretanto, a maioria das redes modernas não utiliza hubs entre switches; portanto, a ausência das melhorias causadas pela convergência RSTP para o tipo link compartilhado, na verdade, não faz diferença.

Estados das portas RSTP É preciso também que você se familiarize com os novos termos do RSTP para descrever o estado de uma porta. A Tabela 2-9 apresenta os estados, com algumas explicações logo após a tabela. /;~~;~o ~ Chave Tabela 2-9 Estados das portas RSTP e STP ....

Estado operacional

Estado STP (802.1d)

Estado RSTP (802.1w) Encaminha OS f'rame) de dados neste estado?

Ativado

Bloqueio

Descarte

Não

Ativado

Escuta

Descarte

Não

Ativado

Aprendizado

Aprendizado

Não

Ativado

Encaminhamento

Encaminhamento

Sim

Desativado

Desativado

Descarte

Não

Semelhante ao STP, o RSTP estabiliza com todas as portas em Estado de Encaminhamento ou de Descarte. Descarte significa que a porta não encaminha frames, não processa frames recebidos nem aprende endereços MAC, mas escuta

•• •

•• •• •• •• •• •• •• •• •• •

•• •• •• •• ••

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

59

BPDUs. Em resumo, ele age exatamente como o Estado STP de Bloqueio. O RSTP utiliza um Estado intermediário de Aprendizado quando altera uma interface do Estado de Descarte para o Estado de Encaminhamento. Entretanto, o RSTP precisa utilizar o Estado de Aprendizado somente por um pequeno período de tempo.

Funções das portas RSTP Tanto o STP (802.1d) quanto o RSTP (802.1 w) utilizam os conceitos de estados de portas e funções de portas. O processo STP determina a função de cada interface. Por exemplo, o STP determina quais interfaces estão atualmente na função de porta raiz ou porta designada. Em seguida, o STP determina o estado da porta estável para utilizar em interfaces para determinadas funções: o Estado de Encaminhamento para portas com as funções de PR e PD, e o Estado de Bloqueio para portas com outras funções. O RSTP acrescenta mais três funções de portas, duas das quais são mostradas na Figura 2-9. (A terceira nova função, a função desativada, não é mostrada na figura; ela se refere simplesmente a interfaces fechadas.)

Figura 2·9 Funções das portas RSTP

A função alternativa (alternate) das portas RSTP identifica a melhor alternativa de um switch para sua PR atual. Em resumo, a função de porta alternativa é uma PR alternativa. Por exemplo, SW3 apresenta GiO/1 como sua PR, mas SW3 também sabe que está recebendo Helio BPDUs na interface GiO/2. O switch SW3 possui uma porta raiz, exatamente como aconteceria com STP. (Veja a Figura 2-4 como referência ao fluxo estável de BPDUs). O RSTP designa portas que recebem BPDUs subótimas (BPDUs que não são tão "boas" como as recebidas na porta raiz) como portas alternativas. Se o switch SW3 parar de receber Helios da bridge raiz, o RSTP em SW3 escolhe a melhor porta alternativa como sua nova porta raiz para começar o processo de convergência mais veloz. O outro novo tipo de porta RSTP, a porta backup, se aplica somente quando um único switch possui dois links com o mesmo segmento (domínio de colisão). Para ter dois links com o mesmo domínio de colisão, o switch deve estar ligado a um hub, conforme mostrado na Figura 2-9 em SW2. Na figura, o switch SW2 coloca uma das duas portas na função de porta designada (e finalmente em Estado de Encaminhamento) e a outra interface na função backup (e finalmente em Estado de Descarte). SW2 encaminha BPDUs através da porta em Estado de Encaminhamento e recebe a mesma BPDU de volta na porta que está em Estado de Descarte. Portanto, SW2 sabe que tem uma conexão extra com aquele segmento, chamada de porta backup. Se a porta PD em Estado de Encaminhamento falhar, SW2 pode rapidamente passar aquela porta backup do Estado de Descarte para o Estado de Aprendizado e, depois, para o Estado de Encaminhamento.

A Tabela 2-10 apresenta os termos usados para as funções das portas para o STP e o RSTP.

60 Capítulo 2: Protocolo Spanning Tree ..........

Tabela 2-10 Funções das portas RSTP e STP

f Tópico \ Chave

....

Função RSTP

Função STP

Definição

Porta raiz

Porta raiz

Única porta em cada switch não-raiz na qual o switch recebe o melhor BPDU entre todos os BPDUs recebidos

Porta designada

Porta designada

De todas as portas do switch em todos os switches ligados ao mesmo segmento/domínio de colisão, a porta que anuncia o "melhor" BPDU

Porta alternativa

Porta de um switch que recebe um BPDU subótimo

Porta backup

Porta não-designada de um switch que está ligado ao mesmo segmento/domínio de colisão com outra porta do mesmo switch

Desativado

Porta que está administrativamente desativada ou não é capaz de funcionar por outros motivos

Convergência do RSTP Esta seção sobre RSTP começou mostrando a você a semelhança entre o RSTP e do STP: como ambos escolhem uma raiz utilizando as mesmas regras, escolhem portas designadas utilizando as mesmas regras, e assim por diante. Se o RSTP fizesse apenas as mesmas coisas que o STP, não haveria necessidade de atualizar o 802.1d STP padrão original com o novo padrão 802.1 w RSTP. O principal motivo para o novo padrão é melhorar o tempo de convergência. O STA (Spanning Tree Algorithm) do RSTP funciona de forma um pouco diferente do seu predecessor mais antigo. Por exemplo, em condições estáveis, cada switch gera independentemente e envia Helio BPDUs, em vez de somente alterar e encaminhar os Hellos recebidos pelo switch raiz. Entretanto, em condições estáveis, os resultados fmais são os mesmos: um switch que continue a receber os mesmos Hellos, com o mesmo custo e mesmo BID do switch raiz listados, deixa a topologia do STP como está. As principais alterações na versão do STA do RSTP acontecem quando ocorrem mudanças na rede. O RSTP age de forma diferente em algumas interfaces com base na caracterização RSTP da interface e com base no que está conectado à interface.

Comportamento do tipo edge e PortFast O RSTP melhora a convergência para conexões do tipo edge colocando a porta imediatamente em Estado de Encaminhamento quando o link está fisicamente ativo. Na verdade, o RSTP trata essas portas exatamente como o recurso PortFast patenteado pela Cisco. De fato, em switches Cisco, para ativar o RSTP em interfaces edge, basta configurar o PortFast.

Tipo link compartilhado Em links do tipo link compartilhado, o RSTP não faz nada diferente do STP. Entretanto, como a maioria dos links entre switches de hoje em dia não é compartilhado, mas são normalmente links full-duplex ponto-a-ponto, isso pouco importa.

Tipo link ponto-a-ponto O RSTP melhora a convergência em links fuli-duplex entre switches -links que o RSTP chama de "tipo de link ponto-aponto". A primeira melhoria feita pelo RSTP nesses tipos de links está relacionada a como o STP utiliza o MaxAge. O STP requer que um switch que não mais recebe BPDUs raiz em sua porta raiz espere por um determinado número de MaxAge segundos para iniciar a convergência. O MaxAge utiliza 20 segundos como padrão. O RSTP reconhece a perda do caminho até a bridge raiz, através da porta raiz, em 3 vezes o timer de Helio, ou 6 segundos, com um valor de timer de Helio padrão de 2 segundos. Portanto, o RSTP reconhece um caminho perdido até a raiz com muito mais rapidez.

• •• •• •• •• •• ••

•• •• •• •• •• ••

•• •• •• •• •• •• •• •• •• • ~

• •• •• •• •• •• •• •• •• •• •• •• •• •• ••• •• •• •• •• •• •• ••

CCNA ICND2

61

RSTP elimina a necessidade do Estado de Escuta (Listening) e reduz o tempo necessário do Estado de Aprendizado (Learning) descobrindo ativamente o novo estado da rede. O STP espera passivamente por novas BPDUs e reage a elas durante os Estados de Escuta e Aprendizado. Com o RSTP, os switches negociam com switches vizinhos enviando mensagens RSTP. As mensagens ativam os switches para rapidamente determinar se uma interface pode ser imediatamente mudada para o Estado de Encaminhamento. Em muitos casos, o processo demora apenas 1 ou 2 segundos para todo o domínio RSTP.

Exemplo de convergência RSTP veloz Em vez de explicar todos os detalhes da convergência do RSTP, um exemplo pode lhe dar bastante conhecimento sobre o processo. A Figura 2-10 mostra uma rede que explica a convergência do RSTP.

Figura 2-10 Exemplo de convergência RSTP: Passos 1 e 2 Passo 2

Passo 1

Raiz

Raiz

Melhor] BPDU Raiz

BPDU

1

Raiz antiga, já não tão boa

A Figura 2-10 esquematiza o problema. Na esquerda, no Passo 1, a rede não apresenta nenhuma redundância. O RSTP colocou todos os links do tipo link ponto-a-ponto em Estado de Encaminhamento. Para acrescentar redundância, o engenheiro de rede acrescenta outro link do tipo link ponto-a-ponto entre SW1 e SW4, conforme mostrado do lado direito no Passo 2. Portanto, a convergência RSTP precisa ocorrer. O primeiro passo da convergência ocorre quando SW4 percebe que está recebendo um BPDU melhor que o que entrou vindo de SW3. Como tanto o BPDU raiz antigo quanto o novo BPDU raiz anunciam o mesmo switch, ou seja, SW1, o novo e "melhor" BPDU que chega pelo link direto de SW1 deve ser melhor por causa do custo mais baixo. Independentemente da razão, SW4 precisa passar para o Estado de Encaminhamento no novo link com SW1, pois este é agora a porta raiz de SW4. Neste ponto, o comportamento do RSTP diverge do STP. O RSTP em SW4 agora bloqueia temporariamente todas as outras portas do tipo link. Ao fazer isso, SW4 impede a possibilidade de introduzir loops. Em seguida, SW4 negocia com seu vizinho a nova porta raiz, SW1, utilizando mensagens RSTP de propostas e de acordos. Em conseqüência disso, SW4 e SW1 concordam que podem imediatamente colocar suas respectivas extremidades do novo link em Estado de Encaminhamento. A Figura 2-11 mostra esse terceiro passo. Por que SW1 e SW4 podem colocar suas extremidades do novo link em Estado de Encaminhamento sem provocar um loop? Porque SW4 bloqueia todas as outras portas do tipo link. Em outras palavras, ele bloqueia todas as outras portas conectadas a outros switches. Esta é a chave para entender a convergência do RSTP. Um switch sabe que precisa mudar para uma nova porta raiz. Ele bloqueia todos os outros links e, em seguida, negocia para trazer a nova porta para o Estado de Encaminhamento. Em essência, SW4 diz a SW1 para confiar nele e começar a encaminhar, porque SW4 promete bloquear todas as outras portas até ter certeza de que pode voltar com algumas delas para o Estado de Encaminhamento.

62 Capítulo 2: Protocolo Spanning Tree Figura 2-11 Exemplo de convergência do RSTP: Passos 3 e 4

Negociações

:::::::s

I

Passo 3

Passo 4

~Raiz

Raiz

BPDU Raiz antiga, já não tão boa

.-............""

em Estado de Encaminhamento Imediato

1

BPDU Raiz melhor

...... .. r

Bloqueando Apresenta loops enquanto está negociando

--.

bloqueando

Entretanto, o processo ainda não está completo. A topologia RSTP atualmente mostra SW4 bloqueando, o que, neste exemplo, não é a melhor topologia nem a topologia fInal. SW4 e SW3 repetem o mesmo processo que SW1 e SW4 acabaram de executar. No Passo 4, SW4 ainda bloqueia, impedindo loops. No entanto, SW4 encaminha o novo BPDU raiz para SW3 e, portanto, SW3 agora recebe dois BPDUs. Neste exemplo, considere que SW3 pensa que o BPDU vindo de SW4 é melhor que o recebido de SW2; isso faz com que SW3 repita o mesmo processo que SW4 acabou de executar. A partir deste ponto, é adotado o seguinte fluxo geral:

1. SW3 decide mudar sua porta raiz com base neste novo BPDU de SW4. 2. SW3 bloqueia todas as outras portas do tipo link. (O RSTP chama esse processo de sincronização.) 3. SW3 e SW4 negociam. 4. Como resultado da negociação, SW4 e SW3 podem passar para encaminhamento em suas interfaces em qualquer extremidade do tipo link ponto-a-ponto. 5. SW3 mantém o Estado de Bloqueio em todas as outras portas do tipo link até o próximo passo da lógica. A Figura 2-12 mostra alguns desses passos na parte do Passo 5, à esquerda, e o comportamento resultante no Passo 6, à direita.

Figura 2-12 Exemplo de convergência do RSTP: Passos 5 e 6 Passo 6

Passo 5

BPDU antigo é melhor que odeSW3

Raiz

~ Bloqueando Apresenta loops

1

Nao!ao bom quanto o BPDU deSW1

r

~~~;;i enquanto está

~

negociando

SW3 continua bloqueando sua interface superior neste ponto. Observe que SW2 está agora recebendo dois BPDUs, o mesmo antigo BPDU que ele vinha recebendo ainda é o melhor BPDU. Portanto, SW2 não toma nenhuma ação e o RSTP, então, termina a convergência!

• •• •• •• •• •• ••

•• •• •• •• •• •• •• •• •• ••

•• •• •• •• •• •

• •• •• •• Configuração e verificação do STP •

CCNA ICND2

63

Embora tenham sido usadas várias páginas para explicar, o processo neste exemplo pode levar apenas I segundo para ser concluído. Para os exames CCNA, é necessário saber os termos relacionados ao RSTP, bem como o conceito de que o RSTP melhora o tempo de convergência em comparação com o STP.

•• •• •• •

•• •• •• •• •• •• •• •• ••

Os switches Cisco utilizam (IEEE 802.ld) STP, como padrão. É possível comprar alguns switches e conectá-los com cabos Ethernet em uma topologia redundante e o STP assegurará que não exista nenhum loop. E você nunca mais terá de pensar em alterar qualquer deftnição!

Embora o STP funcione sem nenhuma conftguração, você deve entender como o STP funciona, entender como interpretar comandos show referentes ao STP e saber como ajustar o STP através da confIguração de vários parâmetros. Por exemplo, de acordo com o padrão, todos os switches utilizam a mesma prioridade; portanto, o switch com o endereço MAC gravado mais baixo se torna a raiz. Por outro lado, um switch pode ser confIgurado com uma prioridade mais baixa, de forma que o engenheiro sempre saiba qual switch é a raiz, considerando que aquele switch esteja funcionando perfeitamente. As seções a seguir começam discutindo várias opções para equilibrar a carga de tráfego utilizando várias instâncias do STP, seguido de uma pequena descrição de como confIgurar o STP para tirar maior proveito dessas múltiplas instâncias do STP. O restante dessas seções mostra vários exemplos de confIguração tanto para o STP quanto para o RSTP.

Múltiplas instâncias do STP Quando o IEEE padronizou o STP, as VLANs ainda não existiam. Quando as VLANs foram padronizadas mais tarde, o IEEE não deftniu nenhum padrão que permitisse mais de uma instância do STP, mesmo com múltiplas VLANs. Naquela época, se um switch só seguisse os padrões IEEE, ele aplicava uma instância do STP a todas as VLANs. Em outras palavras, se uma interface estivesse caminhando, ela assim o fazia para todas as VLANs, e se ela bloqueasse também o fazia para todas as VLANs. De acordo com o padrão, os switches Cisco utilizam o IEEE 802.ld, e não o (802.1 w) RSTP, com um recurso patenteado pela Cisco chamado Per-VLAN Spanning Tree Plus (PVST +) . O PVST+ (hoje em dia muitas vezes abreviado simplesmente como PVST) cria uma instância diferente do STP para cada VLAN. Portanto, antes de olhar os parâmetros ajustáveis do STP, é necessário ter um conhecimento básico do PVST+, pois as deftnições de conftguração podem diferir para cada instância do STP. O PVST+ dá aos engenheiros uma ferramenta de balanceamento de carga. Ao alterar alguns parâmetros de confIguração do STP em VLANs diferentes, o engenheiro poderia fazer com que os switches escolhessem PRs e PDs diferentes em VLANs diferentes. Conseqüentemente, parte do tráfego em algumas VLANs pode ser encaminhado através de um trunk e o tráfego de outras VLANs pode ser encaminhado através de um trunk diferente. A Figura 2-13 mostra a idéia básica, com SW3 encaminhando o tráfego VLAN de número ímpar através do trunk esquerdo (GiO/I) e as VLANs de número par através do trunk da direita (GiO/2).

Figura 2-13 Equilíbrio de carga com o PVST+

•• •

•• •• •• ••

(;~~;~o :' Cha".

....

GiOI2 iO/1

Archie

",/.'...Tráfego de

Tráfego de

VLANs

VLANs

rm pares

pares

•

64 Capítulo 2: Protocolo Spanning Tree Mais tarde, quando o IEEE introduziu o 802.1 W RSTP, ele ainda não tinha um padrão para utilizar múltiplas instâncias do STP. Portanto, a Cisco implementou outra solução patenteada para dar suporte a uma VLAN por cada spanning tree do RSTP. A essa opção a Cisco chamou de RPVST (Rapid Per-VLAN Spanning Tree) e PVRST (Per-VLAN Rapid Spanning Tree). Independentemente dos acrônimos, a idéia é exatamente igual ao PVST+, mas conforme aplicada ao RSTP: uma instância do RSTP para controlar cada VLAN. Portanto, você não só obtém uma convergência rápida mas também pode balancear a carga, conforme mostrado na Figura 2-13. Mais tarde, o IEEE criou uma opção padronizada para múltiplas spanning trees. O padrão IEEE (802.1s) é, muitas vezes, chamado de MST (Multiple Spanning Tree) ou MIST (Multiple Instances of Spanning Trees). O MIST permite a definição de múltiplas instâncias do RSTP, com cada VLAN sendo associada a uma instância em particular. Por exemplo, para alcançar o efeito de balanceamento de carga na Figura 2-13, o MIST criaria duas instâncias do RSTP: uma para as VLANs de número ímpar e uma para as de número par. Se existissem 100 VLANs, os switches ainda assim precisariam de apenas duas instâncias do RSTP, em vez das 100 instâncias utilizadas pelo PVRST. Entretanto, o MIST requer mais configuração em cada switch, principalmente para definir as instâncias do RSTP e associar cada VLAN com uma instância do STP. A Tabela 2-11 resume essas três opções para múltiplas spanning trees.

!;~;;~o

Tabela 2-11 Comparação entre três opções para múltiplas spanning trees

\ Ch.ve 0'0

Opção

Aceita STP

Aceita RSTP Dificuldade de configuração Apenas uma instância necessária para cada caminho redundante

PVST+

Sim

Não

pequena

Não

PVRST

Não

Sim

pequena

Não

MIST

Não

Sim

média

Sim

Opções de configuração que influenciam a topologia do Spanning Tree Independentemente de usar o PVST+, o PVRST ou o MIST, duas opções principais de configuração podem ser utilizadas para obter o tipo de efeito para balanceamento de carga descrito na Figura 2-13: o bridge ID e o custo da porta. Essas opções têm impacto sobre a topologia "per-VLAN" (por VLAN) do STP da seguinte forma: • Os bridge IDs influenciam a escolha do switch raiz e, para switches não-raiz, influenciam a escolha da porta raiz. • O custo "per-VLAN" do STP para cada interface alcançar a raiz, que influencia a escolha da porta designada em cada segmento de LAN. As seções a seguir destacam alguns detalhes particulares para a implementação do STP em switches Cisco, além dos conceitos genéricos abordados anteriormente neste capítulo.

Extensão do bridge 10 e do System 10 Conforme mencionado anteriormente neste capítulo, o bridge ID (BID) de um switch é formado pela combinação da prioridade do switch (2 bytes) e do endereço MAC (6 bytes). Na prática, os switches Cisco utilizam um formato de BID IEEE mais detalhado que separa a prioridade em duas partes. A Figura 2-14 mostra esse formato mais detalhado, com o primeiro campo de prioridade de 16 bits agora incluindo um subcampo de 12 bits chamado de extensão do System ID .

Figura 2-14 Extensão do System ID no STP 2 bytes

6 bytes

Prioridade (0-65,535)

!;~;;~o \~h.V.

System 10 (Endereço MAC)

Bridge 10 em formato .J-----------I.-,--- - -- - - - - ' original

"

.... ""

.............

_-- ............

r"---..-I----------"-Ir-----------, - -"............. --

P~~\1~~e de 4696

Extensão do System 10 (normalmente contém o VLAN 10)

L -_ _' - -_ _ __

4 bits

System 10 (Endereço MAC)

_ __ _' - - -_ _ _ __ _ _---'

12 bits

6 bytes

Extensão do System 10 (Redução do endereço MAC)

•• •• •• •• •• •• •• •• •• •• •• ••

•• • •• •• •• •• •• •• •• ••

65

CCNA ICND2

•• •• •

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

Para construir o BID de um switch para uma determinada instância "per-VLAN" do STP, o switch deve utilizar uma definição básica de prioridade de um múltiplo do decimal 4096. (Todos esses múltiplos de 4096, quando convertidos para binário, terminam com 12 zeros binários). Para criar os primeiros 16 bits do BID para uma determinada VLAN, o switch começa com uma versão de 16 bits do valor base da prioridade, que tem todos os zeros binário nos últimos 12 algarismos. O switch então acrescenta o seu valor base da prioridade ao VLAN ID. O resultado é que os 12 bits de baixa ordem no campo de prioridade original listam o VLAN ID. Um efeito interessante da utilização da extensão do System ID é que o PVST+ utiliza um BID diferente em cada VLAN. Por exemplo, um switch configurado com as VLANs de 1 a 4, com uma prioridade base padrão de 32,768 possui uma prioridade STP padrão de 32,769 na VLAN 1, 32,770 na VLAN 2,32,771 na VLAN 3, e assim por diante.

Custos "per-VLAN" das portas Cada interface do switch define como padrão para o seu custo "per-VLAN" do STP os valores mostrados anteriormente na Tabela 2-6 (valores de custo IEEE revisados). Em switches Cisco, o custo STP é baseado na velocidade real da interface; portanto, se uma interface negocia utilizar uma velocidade mais baixa, o custo STP padrão reflete essa velocidade mais baixa de acordo com a Tabela 2-6. Se a interface negocia utilizar uma velocidade diferente, o switch também altera dinamicamente o custo da porta STP. Como alternativa, o custo da porta do switch pode ser configurado para todas as VLANs ou para uma única VLAN de cada vez. Tendo sido configurada, o switch ignora a velocidade negociada na interface, utilizando, em vez disso, o custo configurado. (;~;;~o

Resumo das opções de configuração do STP

:, Chave

....

A Tabela 2-12 resume as definições padrão para o BID e para os custos das portas, relacionando também os comandos opcionais de configuração abordados neste capítulo. Tabela 2-12 Padrões e opções de configuração do STP Defmição

Padrão

Comando(s) para alterar o padrão

Bridge ID

Prioridade: 32,768 + VLAN ID

spanning-tree vlan v/an-id root {primary I secondary}

System: MAC gravado no switch spanning-tree vlan v/an-id priority priority Custo da Interface

De acordo com a Tabela 2-6: 100 para 10 Mbps, 19 para 100 Mbps, 4 para 1 Gbps, 2 para 10 Gbps

spanning-tree vlan v/an-id cost cost

PortFast

Não-ativado

spanning-tree portfast

BPDU Guard

Não-ativado

spanning-tree bpduguard enable

A seguir, a seção de configuração mostra como examinar a operação do STP em uma rede simples, mostrando também como alterar essas definições padrão.

Verificando a operação padrão do STP Os exemplos a seguir foram retirados de uma pequena rede com dois switches, conforme mostrado na Figura 2-15. Nessa rede, utilizando as definições padrão, todas as interfaces devem encaminhar, com exceção de uma interface em um switch localizado nos links que conectam os switches. O Exemplo 2-1 apresenta vários comandos show. O texto logo após o exemplo explica como o resultado do comando show identifica os detalhes da topologia do STP criados nessa pequena rede.

•

66 Capítulo 2: Protocolo Spanning Tree Figura 2-15 Rede formada por dois switches Trunks Fa 0/16

Archie

Larry

Fa 0/12

Fa 0/11

VLAN3

Exemplo 2-1 Status do STP com parâmetros padrão do STP SW1# show

spannin~tree

v1an 3

VLAN0003 Spanning tree enab1ed protocol ieee Root I O

prior i ty

Bri dge IO

32 771

Address

001 9 .e8 59 . 5380

Cost

19

Port

16

Hello Time

2 sec Max Age 20 sec Forward Oelay 15 sec

(FastEthernetO/16)

pr iority

32 771 (prior i ty 3 276 8 sys - id- ext 3)

Address

0019. e 8 6a . 6f80

Hello Time

2 sec Max Age 20 sec Forward Oelay 15 s ec

Aging Time 300 Interface

Rol e Sts Cost

pr i o. Nbr

--------

-----------------------------------------

Type

-----------

---

FaO/11

Oe sg FWD 19

128.11

P2p

FaO / 16

Root FWD 19

128.1 6

P2p

FaO/17

Altn BLK 19

128.17

P2p

SW1# show

--- - ---

spannin~tree

Vlan

Roo t IO

root Root

Hello

Max

Fwd

Cost

Time

Age

Oly

Root Port

--------

---------------------

----

----

---

---

--------- --------

VLANOO01

32769 0019.e859.5380

19

2

20

15

FaO/16

VLANOO02

32770 0019.e859.5380

19

2

20

15

FaO/16

VLANOO03

32771 0019 . e859.5380

19

2

20

15

FaO / 16

VLANOO04

32772 0019.e859.5380

19

2

20

15

FaO/16

! The next command supplies the same information as t he show spannin~tree vlan 3 ! command about the local switch,

but in slightly briefer format

SW1# show span v1an 3 bridge

Vlan

VLAN0003

Bridge IO

HelIo

Max

Fwd

Time

Age

Oly

Root Port

20

15

ieee

32 771 (3 2 768 , 3) 0019 . e86a.6f80 2

o Exemplo 2-1 começa com o resultado do comando show spanning-tree vlan 3 em SW 1. Esse comando, primeiramente, apresenta três grupos principais de mensagens: um grupo de mensagens sobre o switch raiz, seguido de outro grupo sobre o switch local, terminando com informações sobre a função da interface e o status. Comparando o root ID CID da raiz) e o bridge ID (nas partes sombreadas) nos dois primeiros grupos de mensagens, você consegue rapidamente dizer se o switch local é a raiz, pois, neste caso, o bridge ID e o root ID seriam iguais. Neste exemplo, o switch local não é a raiz. O terceiro grupo de mensagens no resultado do comando show spanning-tree vlan 3 identifica parte da topologia STP neste exemplo relacionando todas as interfaces naquela VLAN (tanto interfaces de acesso quanto trunks que poderiam

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

••

•• •• •• •

CCNA ICND2

67

aceitar a VLAN), as funções de suas portas STP e os estados das portas STP. Por exemplo, SWI determina que FaO/ll tem a função de uma porta designada porque nenhum outro switch está competindo para se tornar a PD naquela porta, conforme mostrado pela função 'desg' no resultado do comando. Por isso, SWl precisa anunciar o Helio de menor custo naquele segmento. Em conseqüência disso, SWl coloca FaO/ll em Estado de Encaminhamento. Embora o resultado do comando mostre que SWl escolheu a interface FaO/16 como sua PR, a lógica de SWl ao fazer essa escolha não é aparente no resultado do comando. SWl recebe os Helio BPDUs do SW2 nas portas Fast Ethernet 0/16 e 0/17, ambas do SW2. Como FaO/16 e FaO/17 usam o mesmo custo padrão de porta (19), o caminho de SWl até a raiz é o mesmo (19) em ambos os caminhos. Quando um switch se depara com um empate com relação ao custo para alcançar a raiz, ele inicialmente utiliza os valores prioridade da porta (port priority) da interface para desempatar. Se os valores de prioridade da porta empatam, o switch utiliza o menor número interno da interface. O número da prioridade da interface e da porta interna são apresentados sob o cabeçalho "Prio.Nbr" no Exemplo 2-1. Nesse caso, SWl está utilizando a prioridade de porta padrão 128 em cada interface e, portanto, SWl utiliza o menor número de porta, FaO/16, como sua porta raiz, colocando assim FaO/16 em Estado de Encaminhamento. Observe também que o resultado do comando mostra que FaO/17 desempenha o papel de uma porta (raiz) alternativa, conforme mostrado pela abreviação "Altn" no resultado do comando. Embora a função da porta alternativa seja um conceito do RSTP, a implementação 802.1d STP da Cisco também utiliza esse conceito e, por isso, o comando show lista a função da porta alternativa. Entretanto, como essa porta não é nem uma PR nem uma PD, SWl a coloca em Estado de Bloqueio. O próximo comando do exemplo, show spanning-tree root, apresenta o bridge ID do switch raiz em cada VLAN. Observe que ambos os switches estão utilizando todas as definições padrão; por isso, SW2 torna-se a raiz em todas as quatro VLANs existentes. Esse comando também apresenta separadamente a porção relativa à prioridade do bridge ID, mostrando os valores de prioridade diferenciados (32,769, 32,770, 32,771 e 32,772) com base na extensão do System ID explicada anteriormente neste capítulo. O último comando do exemplo, show spanning-tree vlan 3 bridge id, simplesmente apresenta informações sobre o bridge ID do switch local na VLAN 3.

Configurando os custos das portas do STP e a prioridade do switch O Exemplo 2-2 mostra como causar impacto sobre a topologia do STP configurando o custo das portas e a prioridade do switch. Primeiro, em SWl , o custo da porta é diminuído em FastEthernet 0/17, o que torna o caminho de SWl até a raiz através de FaO/17 melhor que o caminho por FaO/16, mudando assim a porta raiz de SWl. Em seguida, o exemplo mostra SWl tornando-se o switch raiz através da alteração da prioridade da bridge de SW1. Exemplo 2-2 Manipulando o custo das portas STP e a prioridade da bridge SWI #debug apanning-tree eventa Spanning Tree event debugging is on SWI#configure terminal Enter configuration commands, one per line. End with CNTL / Z. SWI (config) #interface FaO/l7 SWI(config-if)#apanning-tree vlan 3 coat 2 00: 4 5:39 : STP: VLAN0003 new r oot p o rt FaO /1 7, c o st 2 00: 45:39: STP: VLANOO03 FaO / 17 -> I istening 00: 45 :39 : STP : VLANOO03 sent Topology Change Notice on FaO / 17 00 : 45 : 39: STP: VLANOO03 FaO / 1 6 -> bIocking 00: 45:54: STP: VLANOO03 FaO /1 7 - > Iearning 00:46 : 09: STP : VLANOO03 sent Topology Change Notice on FaO / 17 00: 46:09: STP : VLANOO03 FaO / 17 -> f o rwar ding SWI (config-if)# AZ SWI #ahow apanning-tree vlan 3 VLAN0003 Spa nning tree enabIed pro t ocol ieee Root lD

Priority

32771

Address

0019 . e859.5380

68 Capítulo 2: Protocolo Spanning Tree Co st

2

Port

17

Hello Time

2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID priority

(Fas tEthernetO / 1 7 )

32771 (priority 32768 sys-id-ext 3)

Address

0019.e86a.6f80

Hello Time

2 sec Max Age 20 sec Forward Delay 15 sec

Aging Time

15

Inter f ace

Role Sts Cost

Prio.Nbr

Type

FaO/11

Desg FWD 19

128.11

P2p

FaO/16

Altn BLK 19

128.16

P2p

Fa O/ 17

Root FWD 2

128.17

P2p

SW1#configure terminal Enter configuration commands, one per line . End with CNTL/Z . SW1(config)# spanning-tree vlan 3 root primary 00:46:58: setting bridge id (which=l) prio 24579 prio cfg 24576 sysid 3 (on)

id 6003.0019.e86a.6f80

00:46 : 58: STP: VLANOO03 we a r e the spanning tree root 00:46 : 58: STP: VLANOO03 FaO/16 -> listen ing 00:46:58 : STP : VLANOO03 Topology Change rcvd on FaO/16 00:47:13: STP: VLANOO03 FaO/16 - > lea rning 00:47 : 28 : STP : VLANOO03 FaO/16 -> forwarding

Este exemplo começa com o comando debug spanning-tree events em SW1. Esse comando diz ao switch para emitir mensagens informativas de registro sempre que o STP realizar alterações na função ou no estado da interface. Essas mensagens aparecem no exemplo em conseqüência dos comandos mostrados mais tarde no resultado do exemplo. Em seguida, o custo da porta da interface FastEthernet O/17de SW1, apenas em VLAN 3, é alterado utilizando o comando spanning-tree vlan 3 cost 2, no modo de configuração da interface FaO/17. Logo após esse comando, SW1 exibe as primeiras mensagens debug significativas. Essas mensagens basicamente declaram que FaO/17 é agora a porta raiz de SW1, que FaO/16 imediatamente passa para o Estado de Bloqueio e que FaO/17 lentamente passa para o Estado de Encaminhamento passando, primeiramente, pelos Estados de Escuta e Aprendizado. Você pode ver o tempo de 15 segundos (de acordo com a definição padrão do forward delay) nos Estados de Aprendizado e Escuta, conforme mostrado nas referências de data e horas sombreadas no exemplo.

Observação A maioria dos comandos de configuração para a definição dos parâmetros do STP pode omitir o parâmetro vlan, alterando assim a definição de todas as VLANs. Por exemplo, o comando spanning-tree cost 2 poderia fazer com que o custo STP de uma interface fosse 2 para todas as VLANs. Após o primeiro conjunto de mensagens debug, o resultado do comando show spanning-tree apresenta a FastEthemet 0/16 em Bloqueio e a FastEthemet 0/17 em Encaminhamento, agora com o custo de apenas 2 até a bridge raiz, com base no custo alterado da interface FastEthernet 0/17. A próxima alteração ocorre quando o comando spanning-tree vlan 3 root primary é emitido em SW1. Esse comando altera a prioridade base para 24,576, fazendo com que a prioridade da VLAN 3 de SW1 seja 24,576 mais 3, ou seja, 24,579. Conseqüentemente, SW1 toma-se o switch raiz, conforme mostrado nas mensagens debug seguintes.

O comando spanning-tree vlan vlan-id root primary diz ao switch para utilizar um determinado valor de prioridade somente naquela VLAN, com o switch escolhendo um valor que fará com que o switch se torne o switch raiz naquela VLAN. Para isso, esse comando defme a prioridade base - o valor da prioridade que é acrescentado ao VLAN ID para calcular a prioridade do switch - com um valor mais baixo que a prioridade base do atual switch raiz. Esse comando escolhe a prioridade base da seguinte forma:

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •• • •• • •

CCNA ICND2

•

24,576, se a atual raiz tiver uma prioridade base mais alta que 24,576

69 (;:~;~o \ Chave

.•..

• 4096 subtraído da prioridade base da atual raiz se a prioridade dela for 24,576 ou menor O comando spanning-tree vlan vlan-id root secondary diz ao switch para utilizar o valor da prioridade base de forma que o switch local se tome a raiz se o switch raiz principal falhar. Esse comando defrne a prioridade base do switch em 28,672, independentemente do atual valor da prioridade da atual raiz. Observe que a prioridade também pode ser explicitamente definida com o comando de configuração global spanningtree vlan vlan-id priority value, que define a prioridade base do switch. Entretanto, como vários designs de LANs dependem de uma única raiz conhecida, com um backup até a raiz, os outros comandos são normalmente preferidos.

Configurando o PortFast e o BPDU Guard Os recursos PortFast e BPDU Guard podem ser facilmente configurados em qualquer interface. Para configurar o PortFast, basta utilizar o subcomando de interface spanning-tree portfast. Para também ativar o BPDU Guard, acrescente o subcomando de interface spanning-tree bpduguard enable.

:

Configurando o EtherChannel

• •

Finalmente, os dois switches realmente possuem conexões Ethemet paralelas que podem ser configuradas para o EtherChannel. Fazendo isso, o STP não bloqueia nenhuma interface, porque ele trata ambas as interfaces de cada switch como um link. O Exemplo 2-3 mostra a configuração de SWl e os comandos show para o novo EtherChannel.

•• •• •• •• •• •• •• •• •• •• •• •• •

Exemplo 2-3 Configurando e monitorando o EtherChannel

•

SW1#configure terminal En t er configu ration commands , one per l i n e. En d with CNTL / Z. SW1(config)# interface fa 0/16 SW1(config- i f )#channel-group 1 mode on SW1 (config )# int fa 0/17 SW1 (config-if)#channel-group 1 mode on SW1(config-i f)# AZ 00:32:27: STP: VLAN0001 Po 1 -> learni ng 00 : 32:42 : STP: VLAN0001 Po1 -> f orward i n g SW1 #show spanning-tree vlan 3 VLAN0003 Spanning t r ee e nabl e d p ro toco I ieee Root ID

Bridge I D

Priority

28675

Address

0019.e859.5380

Cost

12

Port

72

HelIo Time

2 sec Max Age 20 s e c Forwa r d Del ay 1 5 sec

priori t y

28675

Addres s

0019.e86 a .6 f 80

He lIo Ti me

2 s ec Max Ag e 20 sec Forward De l ay 15 s ec

(Port-channell)

(pr i ority 28672 s ys-i d -ext 3)

Aging Ti me 300 Interface

Ro le Sts Cost

Prio.Nbr

Type

Fa O/ 11

De sg FWD 1 9

128 . 11

P2p

Po1

Root FWD 12

1 28 . 72

P2p

SW1 #show etherchannel 1 summary Flags :

D -

down

P - in port-channel

••

70 Capítulo 2: Protocolo Spanning Tree I - stand-alone

s - suspended

H - Hot-standby

(LACP only)

R - Layer3

S - Layer2

u - in use

f - failed to allocate aggregator

u - unsui table for bundling w - waiting to be aggregated d - default port Number of channel-groups in use

: 1

Number of aggregators

: 1

Group

Port-channel

Pro toc ol

Ports

---------+------------------+---------------+---------------------------------------------------------------Po l(SU)

1

FaO / 16(P) Fa O/ 17(P)

Em switches 2960, qualquer porta pode fazer parte de um EtherChannel, com até oito portas em um único EtherChannel; portanto, os comandos EtherChannel são sub comandos de interface. O subcomando de interface channelgroup 1 mode on ativa o EtherChannel nas interfaces FastEthernet 0/16 e 0/17. Ambos os switches devem concordar com o número do EtherChannel, neste caso, 1, para que a configuração port-channel de SW2 seja idêntica à de SW l. O comando channel-group permite que a configuração de uma interface seja sempre em um port channel (canal de porta) (usando a palavra-chave on) ou seja dinamicamente negociada com outros switches utilizando as palavras-chave auto ou desirable. Com a palavra-chave on usada em SW1 , se, por algum motivo, SW2 não estivesse configurado corretamente para o EtherChannel, os switches não encaminhariam tráfego através das interfaces. Como alternativa, os comandos de configuração channel-group do EtherChannel em cada switch poderiam utilizar parâmetros auto ou desirable em vez de on. Com esses outros parâmetros, os switches negociam se devem utilizar o EtherChannel. Se negociado, é formado um EtherChannel. Se não, as portas podem ser utilizadas sem formar um EtherChannel, com o STP bloqueando algumas interfaces. O uso dos parâmetros auto e desirable pode enganar. Se você configurar auto em ambos os switches, o EtherChannel nunca aparece! A palavra-chave auto diz ao switch para esperar que o outro switch comece as negociações. Desde que um dos dois switches esteja configurado com on ou desirable, o EtherChannel pode ser negociado com sucesso. No restante do Exemplo 2-3, você vê várias referências a "port channel" ou "Po" . Como o STP trata o EtherChannel como um link, o switch precisa de alguma forma para representar todo o EtherChannel. O lOS do 2960 utiliza o termo "Po", abreviatura de "port channel" , como forma de dar nome ao EtherChannel. (O EtherChannel é às vezes chamado de port channel.) Por exemplo, próximo ao fmal do exemplo, o comando show etherchannell summary faz referência a Po1 como portchannel/EtherChannel 1.

Configurando o RSTP Não há nada de mais na configuração e na verificação do RSTP quando já se tem a compreensão completa das opções de configuração do STP abordadas neste capítulo. Cada switch requer um único comando global, o spanning-tree mode rapid-pvst. Como você pode ver a partir do comando, ele não só ativa o RSTP mas também o PVRST, executando uma instância do RSTP para todas as VLANs defrnidas. O restante dos comandos de configuração abordados nesta seção se aplica ao RSTP e ao PVRST sem nenhuma alteração. Os mesmos comandos exercem impacto sobre o BID, o custo da porta e os EtherChannels. De fato, o subcomando de interface spanning-tree portfast chega a funcionar, tecnicamente fazendo da interface uma interface RSTP do tipo edge, em vez do tipo link, e instantaneamente passando a interface para o Estado de Encaminhamento. O Exemplo 2-4 mostra como migrar do STP e do PVST+ para o RSTP e o PVRST e como saber se um switch está utilizando RSTP ou STP.

Exemplo 2-4 Configuração e verificação do RSTP e do PVRST SW1#configure terminal Enter configuration commands, one per line . End wi t h CNTL/Z . SW1(con f ig)#8panning-tree mode ? mst

Mul t iple spanning tree mode

pvst

Per- Vlan spanning tree mode

•• •• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

.'

CCNA ICND2

•• •• •• •• •• •• •• • •• •• ••

•• •

r a pid - pvs t

71

Per-Vlan rap i d spanning tree mode

Th e next lin e con figures t h is switch to use RSTP and PVRST.

SW1(config)# spanning-tree mode rapid-pvst SW1(config)# AZ ! The 'protocol RSTP' shaded text means that this switch uses RSTP,

not IEEE STP.

SW1# show spannlg-tree vlan , VLAN0004 Spanning tree enab l e d protocol rstp Root ID

priority

32772

Addres s

0019.e859.5380

Cost

19

Port 16

(FastEthernetO/16)

Rello Time

2 sec Max Age 20 sec Forward Oelay 15 sec

Bridge 10 priority 32772 (priority 32768 sys-id-ext 4) Address

0019.e86a.6f80

Rello Time

2 sec Max Age 20 sec Forward Oelay 15 sec

Aging Time 300 Interface

Role Sts Cost

Prio . Nbr

Type

FaO/16 FaO/17

Root FWD 19

128 . 16

P2p Peer ( STP)

Altn BLK 19

128.17

P2p Peer (STP)

De modo especial, tente comparar a frase "protocol rstp", sombreada no exemplo, com o resultado do comando show spanning-tree nos exemplos anteriores. Os exemplos anteriores utilizaram a definição padrão do STP e do PVST+, listando o texto "protocol ieee", referindo-se ao padrão original IEEE 802.1 d STP.

•• Resolvendo problemas do STP •• •• •• •• •• •• •• •• •

As seções [mais concentram-se em como aplicar aos novos cenários as informações abordadas nas partes anteriores deste capítulo. Embora essa seção o ajude a se preparar para resolver problemas do STP em redes reais, o principal objetivo é prepará-lo para responder a questões sobre o STP nos exames CCNA. (Observe que essas seções não introduzem nenhum fato novo sobre o STP.)

As questões sobre o STP tendem a intimidar boa parte dos candidatos. Um dos motivos pelo qual o STP causa mais problemas aos candidatos à prova é que mesmo aqueles com experiência profissional podem nunca ter precisado resolver problemas sobre o STP. O STP é executado naturalmente e funciona bem utilizando as definições de configuração padrão em redes de pequeno a médio porte, e, por isso, os engenheiros raramente precisam resolver problemas de STP. Além disso, embora a teoria e os comandos abordados neste capítulo possam ser compreensíveis, a aplicação de muitos desses conceitos e comandos a um problema específico do exame é demorada.

Esta seção descreve e resume um plano de ataque para analisar e responder a diferentes tipos de problemas sobre STP no exame. Algumas questões do exame podem exigir que você determine quais interfaces devem encaminhar ou bloquear. Outras questões podem querer saber qual switch é a raiz, quais portas são portas raiz e quais portas são portas designadas. Com certeza, outras variações de questões também existem. Independentemente do tipo de questão, os três passos a seguir podem ser utilizados para analisar o STP em qualquer LAN e, por sua vez, responder a qualquer questão sobre STP no exame: ..... .

Passo 1 Determinar o switch raiz.

(i::: ".

Passo 2 Para cada switch não-raiz, determinar sua porta raiz (PR) e o custo para alcançar o switch raiz através desta PRo

Passo 3 Para cada segmento, determinar a porta designada (PD) e o custo anunciado pela PD naquele segmento.

72 Capítulo 2: Protocolo Spanning Tree As seções a seguir revisam os pontos principais sobre cada um desses passos e relacionam algumas dicas para ajudá-lo a rapidamente encontrar a resposta para as questões do exame.

Determinando o switch raiz Determinar o switch raiz do STP é fácil se você souber os BIDs de todos os switches; basta escolher o menor valor. Se a questão apresenta a prioridade e o endereço MAC separadamente, como é comum em resultados do comando show, escolha o switch com a menor prioridade ou, em caso de empate, escolha o menor valor do endereço MAC. Bem semelhante às redes reais, se uma questão requer que você emita comandos show em várias switches para encontrar o switch raiz, uma estratégia organizada pode ajudá-lo a responder às questões mais rapidamente. Primeiro, lembre-se de que muitas variações do comando show spanning-tree listam o BID da raiz, com a prioridade em uma linha e o endereço MAC na próxima, na primeira parte do resultado; o BID do switch local é apresentado na seção seguinte. (Veja o Exemplo 2-1, na parte sombreada) Lembre-se também de que os switches Cisco usam o PVST+ como padrão; portanto, tenha cuidado e observe os detalhes do STP relativos à VLAN correta. Com esses fatos em mente, a lista a seguir apresenta uma boa estratégia:

Passo 1 Escolha um switch com o qual começar e encontre o BID do switch raiz e do switch local na VLAN em questão utilizando o comando exec show spanning-tree vlan v/anid. Passo 2 Se o BID raiz e o BID local forem iguais, o switch local é o switch raiz. Passo 3 Se o BID raiz não for igual ao BID do switch local, faça da seguinte forma: a. Encontre a interface da PR no switch local (também no resultado do comando show spanning-tree). b. Utilizando o CDP (Cisco Discovery Protocolou outra documentação), determine qual switch está na outra extremidade da interface da PR encontrada no Passo 3A. c. Conecte-se ao switch na outra extremidade da interface da PR e repita esse processo, começando no Passo 1. O Exemplo 2-5 mostra o resultado de um comando show spanning-tree vlan 1. Sem nem mesmo saber a topologia da LAN, tente agora essa estratégia de resolução de problemas baseada no resultado do exemplo e compare o seu raciocínio com as explicações que se seguem ao exemplo.

Exemplo 2-5 Encontrando o switch raiz SW2# show spanning-tree vlan 1 VLANOO01 Spanning tree enabled proto col ieee Roo t ID

Bri dge ID

Priority

32769

Address

000a.b7dc.b780

Cost

19

Po rt

1

Hello Time

2 sec Max Age 20 sec Forward Delay 15 sec

(FastEt hernetO / 1)

Pr i or ity

32769 (pri ori ty 3 2 768 sys-id- ext 1 )

Address

0011. 92bO . f500

Hello Time

2 s ec Max Ag e 20 s ec Forward Delay 15 sec

Aging Time 300 Interface

Role Sts Cost

Prio.Nbr

Type

---------

---- --- ----

-------

----------------------------------------

Fa O/ 1

Root FWD 19

128.1

P2p

FaO/19

Desg FWD 100

128.19

Shr

FaO/20

Desg FWD 100

128.20

Shr

SW2# show spanning-tree vlan 1 bridge id VLANOO01

80 01. 0 011 . 9 2bO . f500

As partes sombreadas do exemplo destacam o BID da raiz (prioridade e endereço) bem como o BID diferenciado de SW2. Como o BID do switch raiz é diferente, o próximo passo deverá ser encontrar a porta raiz, que é apresentada em

• •• •

•• •

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• ••

•• ••

•• •• •• •• •

•• •• •• •• •• •

•• •

•• •• •• •• •• •• •

•

CCNA ICND2

73

dois lugares diferentes no resultado do comando (FaO/1). O próximo passo seria repetir o processo no switch na outra extremidade da interface FaO/1 de SW2, mas o exemplo não identifica esse switch.

Determinando a porta raiz em switches não-raiz Cada switch não-raiz possui uma, e somente uma, porta raiz (PR). (Switches raiz não possuem PR). Para escolher sua PR, o switch escuta os HelIos BPDUs de entrada. Para cada Helio recebido, o switch acrescenta ao custo da porta daquele switch o custo relacionado no Heno BPDU, relativo à porta em que o Heno foi recebido. O menor custo calculado vence; em caso de empate, o switch escolhe a interface que possui a menor prioridade de porta, e, se houver empate, o switch escolhe o menor número de porta interna. Embora o parágrafo anterior resuma como um switch não-raiz escolhe sua PR, quando uma questão do exame fornece informações sobre o switch raiz e os custos de portas da interface, uma abordagem ligeiramente diferente pode fazê-lo chegar mais rápido a uma resposta. Considere a seguinte questão, por exemplo, proposta em relação à rede mostrada na Figura 2-16: Na rede composta por switches, mostrada na Figura 2-16, todos os switches e segmentos estão funcionando perfeitamente, com o STP ativado na VLAN 1. SW1 foi escolhido como raiz. A interface FaO/1 de SW2 utiliza uma definição de custo igual a 20, com todas as outras interfaces utilizando o custo STP padrão. Determine a PR em SW4.

Figura 2-16 Exemplo 1 de análise do STP

Switch Raiz

Uma forma de começar a tentar resolver este problema específico é aplicar apenas os conceitos do STP, resumidos no primeiro parágrafo desta seção. Como alternativa, você pode encontrar a solução um pouco mais rapidamente utilizando o processo a seguir, começando com um switch não-raiz: Passo 1 Determine todos os caminhos possíveis através do qual um frame, enviado por um switch não-raiz, possa alcançar o switch raiz. Passo 2 Para cada caminho possível no Passo 1, acrescente os custos de todas as interfaces de saída naquele caminho. Passo 3 O menor custo encontrado é o custo para alcançar a raiz, e a interface de saída é a PR daquele switch. Passo 4 Se o custo empatar, desempate de acordo com a prioridade das portas, e, se ainda houver empate, desempate com o menor número da porta. A Tabela 2-13 mostra o trabalho feito referente aos Passos 1 e 2 deste processo, apresentando os caminhos e os custos respectivos para alcançar a raiz através de cada caminho. Nessa rede, SW4 possui cinco caminhos possíveis até o switch raiz. A coluna do custo relaciona os custos da interface na mesma ordem da primeira coluna, junto com o custo total.

Tabela 2-13 Encontrando a PR de SW4: calculando o custo Caminho físico (interfaces de saída)

Custo

SW4 (FaO/2) -> SW2 (FaO/1) -> SW1

19 + 20 = 39

74 Capítulo 2: Protocolo Spanning Tree SW4 (FaO/3) -> SW3 (FaO/l) -> SWl

19 + 19 = 38

SW4 (FaO/l) -> SWl

19 = 19

SW4 (FaO/2) -> SW2 (FaO/3) -> SW3 (FaO/l) -> SWl

19 + 19 + 19 = 57

SW4 (FaO/3) -> SW3 (FaO/2) -> SW2 (FaO/l) -> SWl

19 + 19 + 20 = 58

Só para se assegurar de que o conteúdo da tabela esteja claro, examine o caminho físico SW4 (FaO/2) -> SW2 (FaOIl) -> SWl por um momento. Para esse caminho, as interfaces de saída são a interface FaO/2 de SW4, com o custo padrão de 19, e a interface FaO/l de SW2, configurada com custo de 20, perfazendo um total de 39. Você deve também perceber quais custos de interfaces são ignorados com esse processo. Utilizando o mesmo exemplo, o frame enviado por SW4 em direção à raiz entraria na interface FaO/4 de SW2 e na interface FaO/2 de SW1. Não seriam considerados os custos de nenhuma das interfaces. Neste caso, a PR de SW4 seria a sua interface FAO/l, porque o caminho de menor custo (custo 19) começa com essa interface. Tome cuidado ao fazer considerações com relação a questões que requerem que você encontre a PR de um switch. Neste caso, por exemplo, pode ser intuitivo pensar que a PR de SW4 seria a sua interface FaO/l, pois ela está diretamente conectada à raiz. Entretanto, se as interfaces FaO/3 de SW4 e FaO/ l de SW3 fossem alteradas para um custo de porta igual a 4, o caminho SW4 (FaO/3) -> SW3 (FaO/l) -> SWl totalizaria um custo igual a 8, e a PR de SW4 seria a sua interface FaO/3. Portanto, só porque o caminho parece ser melhor no diagrama, lembre-se de que o ponto decisivo é o custo total.

Determinando a porta designada em cada segmento LAN Cada segmento LAN possui um único switch que age como porta designada (PD) naquele segmento. Em segmentos que conectam um switch a um dispositivo que nem mesmo utilize STP - por exemplo, segmentos conectando um switch a um PC ou a um roteador -, a porta do switch é escolhida como PD porque o único dispositivo que envia um Hello para o segmento é o switch. Entretanto, segmentos que conectam vários switches requerem um pouco mais de trabalho para descobrir qual deveria ser a PD. Por definição, a PD de um segmento é determinada da seguinte forma: A interface do switch que encaminha o Helio BPDU de menor custo para o segmento é a PD. No caso de empate, entre os switches que enviam os Hellos cujo custo empatou, vence o switch que possui o menor BID. Novamente, a defrnição formal descreve o que o STP faz, e você pode aplicar esse conceito a qualquer questão sobre STP. Entretanto, para os exames, se você tiver acabado de encontrar a PR de cada switch não-raiz e tiver anotado o custo para alcançar a raiz em cada switch (conforme mostrado, por exemplo, na Tabela 2-13), é possível facilmente encontrar a PD da seguinte forma:

Passo 1 Para switches conectados ao mesmo segmento de LAN, o switch que possui o menor custo para alcançar a raiz é a PD daquele segmento. Passo 2 No caso de empate, entre os switches que empataram no custo, o switch que possui o menor BID se toma a PD.

Considere, por exemplo, a Figura 2-17. Essa figura mostra a mesma rede de switches da Figura 2-16, mas com as PRs e PDs anotadas, bem como o menor custo de cada switch para alcançar a raiz através de sua respectiva PRo

• •• •• ••

•• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •

•• •• ••

CCNA ICND2

75

Figura 2-17 Escolhendo as portas designadas Switch Raiz

910: 30000:0200.2222.2222

9 10 : 32768:0200.3333.3333

PR

9 10 : 32768:0200.4444.4444 Custo para alcançar a raiz: 19

Concentre-se nos segmentos que conectam os switches não-raiz por um momento. Para o segmento SW2-SW4, SW4 vence em virtude de ter um caminho de custo 19 até a raiz, enquanto o melhor caminho de SW2 tem custo 20. Pela mesma razão, SW3 se toma a PD no segmento SW2-SW3. Para o segmento SW3-SW4, tanto SW3 quanto SW4 empatam em relação ao custo para alcançar a raiz. A figura apresenta os BIDs dos switches não-raiz, para que você possa ver que o BID de SW3 é menor. Em conseqüência disso, SW3 vence o empate, fazendo de SW3 a PD daquele segmento. Observe também que o switch raiz (SWI) se toma a PD de todos os seus segmentos pelo fato de que o switch raiz sempre anuncia Helios de custo O, e o custo calculado de todos os outros switches deve ser pelo menos 1, pois o menor custo de porta permitido é 1. Para os exames, você precisará saber como encontrar o switch raiz, a PR de cada switch e a PD de cada segmento, depois de descobrir os BIDs, os custos das portas e a topologia da LAN. Neste ponto, você também sabe quais interfaces encaminham - aquelas que são PRs ou PDs - e as interfaces restantes responsáveis por bloquear.

Convergência do STP A topologia do STP - o conjunto de interfaces em Estado de Encaminhamento - deve permanecer estável enquanto a rede permanecer estável. Quando as interfaces e os switches oscilam, a topologia resultante do STP pode alterar; em outras palavras, a convergência do STP ocorrerá. Esta seção destaca algumas estratégias que fazem uso do bom senso para combater esses tipos de problemas nos exames. Algumas questões do exame que tratam do STP podem ignorar os detalhes de transição quando a convergência ocorre, concentrando-se em quais interfaces passam de Encaminhamento para Bloqueio, ou de Bloqueio para Encaminhamento, quando ocorre uma determinada alteração. Uma questão pode, por exemplo, apresentar detalhes de um cenário e, em seguida, perguntar: quais interfaces passam do Estado de Bloqueio para o de Encaminhamento? Para essas questões que comparam as topologias antes e depois de uma alteração, basta aplicar os mesmos passos já abordados nesta seção, porém, aplicá-los duas vezes: uma vez para as condições anteriores às alterações e uma vez para as condições que provocaram a alteração. Outras questões sobre STP podem concentrar-se no processo de transição, incluindo o timer Helio, o timer MaxAge, o timer forward delay, os Estados de Escuta e Aprendizado e seus usos, conforme descrito anteriormente neste capítulo. Para esses tipos de questões, lembre-se dos seguintes fatos sobre o que ocorre durante a convergência do STP: • Para interfaces que permanecem no mesmo estado STP, nada precisa ser alterado. •

Para interfaces que precisam passar do Estado de Encaminhamento para o Estado de Bloqueio, o switch imediatamente passa para o estado de Bloqueio.

•

76 Capítulo 2: Protocolo Spanning Tree

•

• Para interfaces que precisam passar do Estado de Bloqueio para o Estado de Encaminhamento, o switch inicialmente passa a interface para o Estado de Escuta e depois para o Estado de Aprendizado, cada um de acordo com o tempo especificado pelo timer forward delay (15 segundos de acordo com padrão). Somente depois disso é que a interface será colocada em Estado de Encaminhamento.

Atividades de preparação para o exame

Revise todos os tópicos-chave Revise os tópicos mais importantes deste capítulo, indicados com o ícone Tópicos-Chave na margem externa da página. A Tabela 2-14 relaciona esses tópicos-chave e os números das páginas nas quais cada um é encontrado.

Tabela 2-14 Tópicos-chave do Capítulo 2 Elemento do tópico-chave

Descrição

Tabela 2-2

Relaciona os três principais problemas que ocorrem quando não utilizamos o STP em uma LAN com links redundantes

47

Relaciona os motivos pelos quais um switch escolhe colocar uma interface em Estado de Encaminhamento ou de Bloqueio

48

Relaciona os campos mais importantes em mensagens Helio BPDUs

49

Figura 2-5

Mostra como os switches calculam seu custo raiz

51

Tabela 2-6

Relaciona os custos de portas STP padrão originais e atuais para várias velocidades de interface

53

Resumo descritivo das operações do STP em steady-state

53

Tabela 2-7

Timers do STP

53

Lista

DefInições do que ocorre nos estados de Escuta e Aprendizado

55

Tabela 2-8

Resumo dos estados 802.1 d

55

Lista

Semelhanças entre RSTP e STP

57

Tabela 2-9

Relaciona o 802.1d e os estados correspondentes da interface 802.1 w

58

Relaciona funções e comparações das portas no STP e no RSTP

60

Visão conceitual dos benefícios do balanceamento de carga no PVST+

63

Tabela 2-11

Compara três opções de múltiplas spanning trees

64

Figura 2-14

Mostra o formato da extensão do System ID do campo de prioridades do STP

64

Tabela 2-3

Tabela 2-4

Lista

Tabela 2-10 Figura 2-13

Número da página

1

-I

:1 -I :1 -I -I :1 -I :1 -I :1 -I :1 -I :1 • •

---• •• -•• -•• •• • -•• •

• •• •• •• •

CCNA ICND2 Tabela 2-12

Lista

Lista

Relaciona as definições padrão com as definições de configurações opcionais do STP e comandos de configuração relacionados

65

Duas ramificações da lógica sobre como o comando spanning-tree root primary escolhe uma nova prioridade base do STP

69

Estratégia para resolver problemas sobre STP nos exames

71

77

•• •• Complete as tabelas e listas usando a memória •• •• Definições de termos-chave •• •• •• Referência aos comandos para verificar sua memória •• •• •• •• •• •• •• •• •

Imprima uma cópia do Apêndice J, "Tabelas de memória", ou pelo menos a seção referente a este capítulo, e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das Tabelas de Memória", inclui tabelas e listas completas para você conferir o seu trabalho.

Defina os seguintes termos-chave encontrados neste capítulo e verifique suas respostas no glossário: porta alternativa, porta baclcup, Estado de Bloqueio, BRDU Guard, bridge ID, BPDU (bridge protocol data unit), porta designada, porta desativada, Estado de Descarte, EtherChannel, forward delay, Estado de Encaminhamento, Helio BPDU, IEEE 802.1d, IEEE 802.1s, IEEE 802.1 w, Helio inferior, Estado de Aprendizado, Estado de Escuta, MaxAge, PortFast, RSTP (Rapid Spanning Tree Protocol), porta raiz, switch raiz, STP (Spanning Tree Protocol).

Embora você não precise necessariamente memorizar as informações contidas nas tabelas desta seção, ela inclui uma referência para os comandos de configuração e EXEC abordados neste capítulo. Na prática, você deve memorizar os comandos como reflexo da leitura do capítulo e da execução de todas as atividades desta seção de preparação para o exame. Para verificar o quão eficientemente você memorizou os comandos como reflexo de seus outros estudos, cubra o lado esquerdo da tabela com um pedaço de papel, leia as descrições do lado direito e veja se você se lembra do comando. Tabela 2-15 Referência aos comandos de configuração do Capítulo 2

••

•• ••

Comando

Descrição

spanning-tree vlan vlan-number root primary

Comando de configuração global que muda este switch para switch raiz. A prioridade do switch é alterada para o menor valor entre 24,576 ou 4096 subtraído da prioridade atual da bridge raiz quando o comando foi emitido

spanning-tree vlan vlan-number root secondary

Comando de configuração global que define a prioridade base do STP deste switch em 28,672

spanning-tree [vlan vlan-idJ {priority priority}

Comando de configuração global que altera a prioridade da bridge deste switch para a VLAN especificada

spanning-tree [vlan vlan-number]cost cost

Subcomando de interface que altera o custo do STP para o valor configurado

channel-group channel-groupnumber mode {auto I desirable I on}

Subcomando de interface que ativa o EtherChannel na interface

spanning-tree portfast

Subcomando de interface que ativa o PortFast na interface

•

78 Capítulo 2: Protocolo Spanning Tree spanning-tree bpduguard enable

Subcomando de interface para ativar o BPDU Guard em uma interface

spanning-tree mode {mst I rapidpvst I pvst}

Comando global para ativar o PVST+ e o 802.1d (pvst), o PVRST e o 802.1w (rapid-pvst), ou o IEEE 802.1s (múltiplas spanning trees) e 0802.1 w (mst)

Tabela 2-16 Referência aos comandos EXEC do Capítulo 2 Comando

Descrição

show spanning-tree

Relaciona detalhes sobre o estado do STP no switch, incluindo o estado de cada porta

show spanning-tree interface interface-id

Relaciona as informações do STP somente para a porta especificada

show spanning-tree vlan vlan-id

Relaciona as informações do STP para a VLAN especificada

show spanning-tree [vlan vlan-iáJ root

Relaciona as informações sobre a raiz de cada VLAN ou somente para a VLAN especificada

show spanning-tree [vlan vlan-iáJ bridge

Relaciona as informações do STP sobre o switch local para cada VLAN ou somente para a VLAN especificada

debug spanning-tree events

Faz com que o switch forneça mensagens informativas sobre as alterações feitas na topologia STP

show etherchannel [channel-group-number] Relaciona as informações sobre o estado {brief I detaill port I port-channell summary} dos EtherChannels neste switch

•• •• •

•• •• •

•• ••

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •

•

• •• •• •• •• •• •• •• •• ••

•• •• •• •• ••

•• •• •• •• •• •• •

••

ceNA ICND2

79

•• ••

Este capítulo aborda os seguintes assuntos: Metodologias generalizadas para resolução de problemas: esta seção apresenta discussões e opiniões sobre como abordar problemas de comunicação em rede quando uma investigação geral do problema não identifica rapidamente a causa geradora.

Resolvendo problemas do plano de dados do LAN Switching: esta seção sugere vários passos organizados para resolver problemas relacionados à LAN Ethernet, com uma revisão detalhada de comandos e métodos.

Prevendo a operação normal do plano de dados do LAN Switching: esta seção sugere como analisar figuras e os resultados do comando show em switches utilizando um modelo de LAN com switches para prever para onde um frame deve ser encaminhado.

•• •• •• •• •• •• •• •• •• •

•• •

••

•• •• •• •• •• •• •• •• •

•• •• CAPíTULO •• : Resolvendo Problemas de Lan Switching

•• ••

•• •• • • • • • • • • • •

3

Este capítulo, junto com o Capítulo 7, "Resolvendo problemas de roteamento IP", e o Capítulo 11, "Resolvendo problemas em protocolos de roteamento", tem uma função importante: ajudá-lo a desenvolver as habilidades necessárias para resolver problemas rapidamente e responder com confiança a certos tipos de questões nos exames. Ao mesmo tempo, espera-se que este capítulo possa torná-lo mais preparado para resolver problemas reais de comunicação em rede.

Observação Para entender melhor por que a resolução de problemas é tão importante para os exames, refira-se à seção "Formato dos Exames CCNA" na introdução deste livro. Os capítulos relativos à resolução de problemas deste livro não têm o mesmo objetivo principal que os outros capítulos. Colocando de forma simples, os capítulos que não tratam da resolução de problemas se concentram em recursos e fatos individuais sobre uma área de tecnologia, enquanto os capítulos voltados para a resolução de problemas reúnem um conjunto de conceitos muito mais amplo. Esses capítulos, voltados para a resolução de problemas, investigam mais a fundo o mundo da comunicação em rede, concentrando-se em como as partes funcionam em conjunto, partindo do princípio de que você já conheça os componentes individuais. Este capítulo aborda a mesma tecnologia discutida nos outros capítulos pertencentes a esta parte do livro (Capítulo 1, "LANs virtuais", e Capítulo 2, "Protocolo Spanning Tree") e os respectivos materiais que são pré-requisitos (conforme abordados no CCENT/CCNA rCNDI Guia Oficial de Certificação do Exame). Além disso, como este capítulo é o primeiro voltado para a resolução de problemas neste livro, ele também explica alguns conceitos gerais sobre a metodologia usada para resolução de problemas.

: Questionário "Eu já conheço isto?"

•• •• •

Como os capítulos voltados para a resolução de problemas deste livro utilizam conceitos de muitos outros capítulos, incluindo alguns capítulos do CCENT/CCNA rCNDI Guia Oficial de Certificação do Exame, e mostram como abordar algumas das questões mais desafiantes nos exames CCNA, é aconselhável ler esses capítulos independentemente do seu nível de conhecimento atual. Por tais razões, os capítulos voltados para a resolução de problemas não incluem o questionário "Eu já conheço isto?". Entretanto, se você se sente confiante com relação aos recursos de resolução de problemas relacionados a LAN Switching, abordados neste livro e no CCENT/CCNA rCNDI Guia Oficial de Certificação do Exame, sinta-se à vontade para passar direto à seção "Atividades de preparação para o exame", próxima ao final deste capítulo, saltando assim boa parte do capítulo.

•• •• •• •• Metodologias generalizadas para resolução de problemas •• :

Tópicos fundamentais

Este capítulo é composto de três seções principais. A primeira seção se concentra no processo de resolução de problemas como objetivo principal. A segunda seção explica como aplicar os métodos gerais de resolução de problemas, especificamente a um plano de dados do LAN Switching. A última seção apresenta algumas dicas e idéias sobre tipos específicos de problemas relacionados a LAN Switching.

Observação As estratégias e os métodos genéricos para resolução de problemas aqui descritos representam os meios para se chegar a um fim. Não é necessário estudar esses

•

82 Capítulo 3: Resolvendo Problemas de Lan Switching processos ou memorizá-los para os propósitos do exame. Pelo contrário, esses processos podem ajudá-lo a raciocinar sobre os problemas do exame para que você possa responder às questões com um pouco mais de rapidez e confiança. Quando deparado com a necessidade de resolver um problema de comunicação em rede, todo mundo utiliza algum tipo de metodologia para resolução de problemas, seja ela formal ou informal. Algumas pessoas gostam de começar verificando o cabeamento físico e o status das interfaces de todos os links físicos que pudessem afetar o problema. Outras gostam de começar juntando tudo que pudesse lhes dizer mais sobre o problema e depois ir mais a fundo nos detalhes. Outras chegam a tentar o que vier à mente até que, intuitivamente, descubram o problema geral. Nenhum desses métodos é inerentemente bom ou ruim; já tentei todos esses métodos, e outros mais, e até obtive algum sucesso com cada tipo de abordagem. Embora a maioria das pessoas desenvolva hábitos e estilos de resolver problemas que funcionam bem com base em suas próprias experiências e pontos fortes, uma metodologia mais sistemática para resolução de problemas pode ajudar qualquer pessoa a aprender como resolver problemas e obter maior sucesso. As seções a seguir descrevem uma dessas metodologias sistemáticas de resolução de problemas com o propósito de ajudá-lo a se preparar para resolver problemas relacionados à comunicação em rede nos exames CCNA. Essa metodologia de resolução de problemas possui três ramificações principais, que geralmente ocorrem na ordem mostrada a seguir:

- Analisar/prever a operação normal: a descrição e a previsão dos detalhes do que deve acontecer se a rede estiver funcionando corretamente, com base em documentação, na configuração e no resultado dos comandos show e debug. - Isolar o problema: quando algum possível problema esti ver acontecendo, descubra os componentes que não funcionam corretamente em comparação com o comportamento previsto, baseado novamente em documentação, na configuração e nos resultados dos comandos show e debug. - Analisar a causa geradora: identifique as causas por trás dos problemas identificados no passo anterior, especificamente as causas que possuem uma ação específica com a qual o problema possa ser resolvido. Seguindo esses três passos, o engenheiro deverá saber como consertar o problema, e não só os sintomas do problema. A seguir, o texto explica algumas idéias sobre como abordar cada passo do processo de resolução de problemas.

Analisando e prevendo a operação normal da rede A função de qualquer rede é entregar dados de um dispositivo do usuário final para outro. Para analisar uma rede, o engenheiro precisa entender a lógica utilizada por cada dispositivo consecutivo à medida que ele encaminha os dados ao próximo dispositivo. Ao raciocinar sobre o que deve acontecer em cada dispositivo, o engenheiro consegue descrever o fluxo inteiro de dados. O termo plano de dados se refere a qualquer ação tomada pelos dispositivos de rede para o encaminhamento de um frame ou pacote individual. Para encaminhar cada frame ou pacote, o dispositivo aplica ao frame ou ao pacote sua lógica e seus processos referentes ao plano de dados. Quando o switch de uma LAN, por exemplo, recebe um frame em uma interface na VLAN 3, ele tomará uma decisão de encaminhamento com base nas entradas feitas na VLAN 3 na tabela de endereços MAC e encaminhará o pacote. Toda essa lógica faz parte do processamento do plano de dados de um switch. O termo plano de controle se refere aos processos que não precisam ser realizados para cada pacote ou frame. Pelo contrário, alguns processos do plano de controle dão suporte ao processo de encaminhamento. O VTP (VLAN Trunking Protocol) e os protocolos de roteamento IP são exemplos de processos de plano de controle. Outros processos de plano de controle só podem estar indiretamente relacionados ao plano de dados. Por exemplo, o CDP (Cisco Discovery Protocol) pode ser útil para confrrmar a exatidão da documentação da rede, mas pode ser desativado sem nenhum efeito sobre os processos de encaminhamento do plano de dados. Para prever a operação esperada de uma rede, ou para explicar os detalhes de como uma rede em funcionamento normal está operando no momento, é aconselhável começar investigando o plano de controle ou o plano de dados. Este texto mostra, primeiro, o plano de dados, mas na vida real você pode escolher um ou outro com base nos sintomas conhecidos do problema.

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••• •• •• •• •• ••

•

• •• •• •• •

•• •• •• •• •• •• •

•• •• •• •• •• •• ••

•• •• •

•• •• •

CCNA ICND2

83

Análise do plano de dados A resolução de problemas do plano de dados examina cada dispositivo pertencente ao trajeto de encaminhamento esperado para aqueles dados, na ordem. A análise começa com o host criando os dados originais. Este host envia os dados para algum outro dispositivo, que, em seguida, envia os dados para outro dispositivo, e assim por diante, até que os dados alcancem o host na extremidade fmal. O host que recebe os dados normalmente envia algum tipo de resposta; portanto, para entender completamente como acontecem essas comunicações, é necessário analisar o processo inverso também. De modo especial, os sintomas externos do problema normalmente identificam dois dispositivos do usuário final que não podem se comunicar, mas o problema que existe por trás disso tudo pode estar relacionado somente a frames ou pacotes que seguem em um único sentido. A não ser que os sintomas de um determinado problema já sugiram anteriormente em um problema específico, a resolução de problemas do plano de dados deve começar com uma análise do plano de dados da Camada 3. Se você começar com a Camada 3, conseguirá ver os passos principais no envio e no recebimento de dados entre dois hosts. Em seguida, você pode examinar mais de perto cada passo de encaminhamento da Camada 3, observando os detalhes das Camadas 1 e 2. Por exemplo, a Figura 3-1 mostra os seis principais passos de encaminhamento IP (plano de dados) em uma pequena rede.

Figura 3-1 Principais passos em um exemplo de encaminhamento IP

®

®

Para entender o comportamento esperado da Camada 3 neste caso, você precisaria considerar como o pacote foi da esquerda para a direita e como a resposta flui da direita para a esquerda. Utilizando os seis passos apresentados na figura, pode-se fazer a seguinte análise:

Passo 1 Pense no endereço IP e na máscara do PCl , no endereço IP e na máscara do PC2 e na lógica do PCl para entender que PC2 está em outra sub-rede. Isso faz com que PCl escolha enviar o pacote para a sua porta de comunicação padrão (RI). Passo 2 Considere a lógica de encaminhamento de RI para combinar o endereço IP de destino do pacote com a tabela de roteamento de RI, com a expectativa de que RI escolha enviar o pacote para R2 em seguida. Passo 3 Em R2, considere a mesma lógica de combinação da tabela de roteamento utilizada em RI no passo anterior, utilizando a tabela de roteamento de R2. A entrada que combina deve ser uma rota conectada em R2. Passo 4 Este passo diz respeito ao pacote de respostas do PC2, que utiliza a mesma lógica básica do Passo 1. Compare o endereço IP/máscara do PC2 com o endereço IP do PCl , observando que eles estão em sub-redes diferentes. Em conseqüência disso, PC2 deve enviar o pacote para a sua porta de comunicação padrão, ou seja, R2. Passo 5 Considere a lógica de encaminhamento de R2 para pacotes destinados ao endereço IP de PCl, com a expectativa de que a rota que combina faça com que R2 envie esses pacotes para RI em seguida. Passo 6 O último passo do roteamento, em RI, deve mostrar que um pacote destinado ao endereço IP de PCl combina com uma rota conectada em RI , o que faz com que RI envie o pacote diretamente ao endereço MAC de PC L Depois de ter entendido bem os comportamentos esperados de cada passo na Camada 3, é possível examinar mais de perto a Camada 2. Seguindo a mesma ordem novamente, você pode dar uma olhada mais de perto no primeiro passo referente ao roteamento da Camada 3 na Figura 3-1 (PCl enviando um pacote a RI), examinando os detalhes das Camadas 1 e 2 sobre como o frame é enviado por PCl para ser entregue a RI, conforme mostrado na Figura 3-2.

84 Capítulo 3: Resolvendo Problemas de Lan Switching Figura 3-2 Principais passos no exemplo de encaminhamento de IAN Switching

Para essa análise, você novamente começaria com PC 1, desta vez considerando o cabeçalho e o trailer Ethernet, principalmente os endereços MAC da fonte e do destino. Em seguida, no Passo 2, você consideraria a lógica de encaminhamento de SW1, que compara o endereço MAC de destino do frame com a tabela de endereços MAC de SW1, dizendo a SW1 para encaminhar o frame até SW2. Os Passos 3 e 4 repetiriam a lógica do Passo 2 de SW2 e SW3, respectivamente.

Análise do plano de controle Muitos processos do plano de controle afetam diretamente o processo do plano de dados. Por exemplo, o roteamento IP não pode funcionar sem as rotas IP adequadas, e, por isso, os roteadores utilizam um protocolo de roteamento dinâmico - um protocolo de plano de controle - para aprender as rotas. Os protocolos de roteamento são considerados protocolos de plano de controle parciais porque o trabalho realizado por um protocolo de roteamento não tem de ser repetido para cada frame ou pacote. Embora os processos do plano de dados se entreguem a um processo de resolução de problemas um pouco mais genérico examinando a lógica de encaminhamento em cada dispositivo, os processos do plano de controle diferem muito uns dos outros. Com isso, é difícil acontecer um processo generalizado para resolução de problemas. Entretanto, convém considerar um conjunto específico de passos para resolução de problemas para cada protocolo específico do plano de controle. O Capítulo 1, por exemplo, explica como abordar a resolução de vários tipos de problemas sobre VTP.

Prevendo operações normais: resumo do processo Nos exames, algumas questões vão simplesmente pedir que você analise e preveja a operação normal de uma rede de trabalho. Em outros casos, prever o comportamento normal é simplesmente um precursor para isolar e resolver um problema. Independentemente disso, se a questão não lhe dá nenhuma dica específica sobre a parte da rede na qual você deve se concentrar, a lista a seguir apresenta o resumo de uma abordagem sugerida para encontrar as respostas: Passo 1 Examine o plano de dados da seguinte forma: a. Determine os principais passos da Camada 3 - incluindo o host de origem até o roteador padrão, cada roteador até o próximo roteador, e o último roteador até o host de destino - em ambos os sentidos. b. Para cada rede de Camada 2 entre um host e um roteador ou entre dois roteadores, analise a lógica de encaminhamento para cada dispositivo. Passo 2 Examine o plano de controle da seguinte forma: a. Identifique os protocolos do plano de controle que são utilizados e são essenciais para o processo de encaminhamento. b. Examine cada protocolo essencial de plano de controle para que se tenha uma operação adequada; os detalhes dessa análise diferem para cada protocolo. c. Adie qualquer análise dos protocolos do plano de controle que não afetem a operação correta do plano de dados até que você consiga perceber claramente a necessidade de ter o protocolo para responder àquela questão (por exemplo, CDP).

Isolamento do problema O processo de resolução de problemas é raramente um processo seqüencial. Para frns de organização, este capítulo relaciona o isolamento de problemas como o segundo dos três passos utilizados para resolução de problemas. Entretanto,

• •• •• ••

•• •• •• •• •• •• ••

•• •• •• •• •• •• • .'•• •• •• •• •

• •• •• ••

•• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •

•• •• •

••

CCNA ICND2

85

este passo é mais provável de acontecer assim que o primeiro passo (prevendo o comportamento normal) encontrar um problema. Portanto, embora as listas genéricas mostradas nesta seção ajudem a oferecer uma estrutura sobre como resolver problemas, na prática pode ser um pouco mais complicado. Quando você não tiver idéia de como proceder, a não ser, talvez, o fato de que dois hosts não conseguem se comunicar, novamente é melhor começar com o plano de dados da Camada 3 - em outras palavras, a lógica de encaminhamento IP. Em seguida, quando encontrar um passo de encaminhamento IP que não funcione, examine este passo mais de perto para isolar ainda mais onde o problema está ocorrendo. Considere, por exemplo, a Figura 3-1 novamente, que mostra um pacote sendo entregue de PC1 a PC2, e vice-versa, em seis passos de roteamento. Neste caso, entretanto, você determina que R2 receba o pacote, mas o pacote nunca é entregue a PC2. Portanto, olhe mais de perto todo o processo de R2 atéPC2 para isolar ainda mais o problema. Depois de isolar o problema em um único passo de encaminhamento IP (como mostrado na Figura 3-1), você deve continuar isolando ainda mais o problema até chegar ao menor número possível de componentes. Por exemplo, se R2 recebe o pacote, mas PC2 não, o problema pode estar em R2, SW4, SW5, PC2, no cabeamento, ou possivelmente em dispositivos deixados de fora da documentação da rede. O processo utilizado para isolar ainda mais o problema normalmente requer pensar nas funções em várias camadas do modelo OSI, bem como nas funções do plano de dados e do plano de controle. Continuando com o mesmo cenário do problema-modelo, para conseguir encaminhar pacotes até PC2, R2 precisará saber o endereço MAC de PC2 conforme este foi aprendido através do ARP (Address Resolution Protocol, ou Protocolo de Resolução de Endereços). Se descobrir que R2 não possui uma entrada ARP em PC2, é possível que você seja tentado a pensar que exista algum tipo de problema relacionado a IP. Entretanto, esse problema pode ser causado pelo nãofuncionamento do trunk SW4-SW5, o que significa que a solicitação ARP do IP de R2 - um broadcast na LAN não pode ser entregue a SW5 por SW4, e, depois, a PC2. Portanto, o problema com o processo de encaminhamento do pacote de R2 para PC2 pode estar relacionado a um protocolo de controle (ARP), mas a solicitação ARP que falhou pode ser causada ainda por outros dispositivos (a inatividade do trunk SW4-SW5), que podem muito bem ser um problema de Camada 2 ou de Camada 1. Se uma questão do exame não lhe der nenhuma dica sobre onde começar, o processo a seguir apresenta um resumo de uma boa estratégia geral e sistemática para isolar o problema: Passo 1 Comece examinando o plano de dados da Camada 3 (encaminhamento IP), comparando os resultados com o comportamento normal e esperado, até identificar o primeiro passo que falhar no roteamento. Passo 2 Isole o problema ainda mais até chegar ao menor número possível de componentes: a. Examine as funções em todas as camadas, mas concentre-se nas Camadas 1, 2 e 3. b. Examine as funções do plano de dados e do plano de controle. Nos exames, lembre-se de que você não ganha pontos extras por usar bons métodos de resolução de problemas; portanto, simplesmente encontre a resposta da forma que puder, mesmo que isso signifique que você tenha usado um pouco de adivinhação com base no contexto da questão. Por exemplo, o processo sugerido no Passo 2A diz para concentrar-se nas Camadas 1, 2 e 3; essa sugestão é baseada no fato de que os exames CCNA concentram principalmente nessas três camadas. Mas você deve procurar usar atalhos em tal processo tanto quanto possível com base no que a questão apresenta.

Análise da causa geradora O último dos três passos, ou seja, a análise da causa geradora, tenta finalizar o processo de resolução de problemas para identificar o dispositivo e a função específicos que precisam ser resolvidos. A causa geradora é a verdadeira razão pela qual o problema ocorreu e, ainda mais importante, é a função que, quando consertada, resolve aquele determinado problema. Encontrar a causa geradora é extremamente importante porque ela, ao contrário de muitos problemas identificados através do processo de isolamento de problemas, possui uma solução específica associada a ela. Por exemplo, continuando o mesmo problema em que R2 não consegue encaminhar pacotes para PC2, considere a lista de problemas identificados através do isolamento de problemas:

86 Capítulo 3: Resolvendo Problemas de Lan Switching - R2 não consegue encaminhar pacotes para PC2. - R2 não recebe nenhuma resposta ARP de PC2. - A interface de SW4 para o trunk com SW5 está em estado inativo/inativo. - O cabo utilizado entre SW4 e SW5 utiliza os pinos de cabeamento errados. Todas essas afirmativas podem ser verdadeiras com relação ao cenário de um problema em particular, mas somente o último item apresenta uma solução óbvia e factível (substituir por um cabo corretamente ligado). Embora as outras afirmativas sejam fatos válidos e importantes descobertos durante o isolamento do problema, elas não identificam a ação específica a ser tomada para resolver o problema. Em conseqüência disso, a análise da causa geradora se reduz a duas afirmativas simples:

Passo 1 Continue isolando o problema até identificar a verdadeira causa geradora, que, por sua vez, apresente uma solução óbvia.

Passo 2 Se não puder reduzir o problema à sua verdadeira causa geradora, isole o problema o tanto quanto possível, e mude algo na rede que possivelmente faça mudar os sintomas e ajudá-lo a identificar a causa geradora.

o mundo real

versus os exames

No exame, você deve procurar dicas sobre o tópico geral em relação ao qual você precisa realizar parte do processo de resolução de problemas. Se a figura, por exemplo, mostrar uma rede como a da Figura 3-1, mas todas as respostas de múltipla escolha se referirem a VLANs e VTP, comece observando o ambiente de LAN. Observe que, ainda assim, talvez valha a pena considerar as Camadas de 1 a 3, e os detalhes dos planos de dados e de controle, para ajudá-lo a encontrar as respostas.

Observação Esta seção se aplica à resolução de problemas de forma geral, mas é incluída apenas neste capítulo porque este é o primeiro capítulo do livro dedicado a resolução de problemas.

Resolvendo problemas do plano de dados de LAN Switching As estratégias genéricas para resolução de problemas explicadas até então neste capítulo sugerem começar com o processo de roteamento IP na Camada 3. Se o engenheiro identificar um problema em um determinado passo do processo de encaminhamento IP, o próximo passo deverá ser examinar mais de perto aquele passo do roteamento, incluindo a observação do status da Camada 1 e 2. As seções a seguir examinam as ferramentas e os processos utilizados para resolver problemas encontrados nos processos do plano de dados de LANs nas Camadas 1 e 2. O restante deste capítulo considera que não exista nenhum problema na Camada 3; os Capítulos de 7 a 11 examinam a resolução de problemas da Camada 3. Este capítulo também faz algumas referências aos protocolos do plano de controle, especificamente o VTP e o STP (Spanning Tree Protocol). Mas o VTP e o STP já foram bastante abordados nos dois capítulos anteriores. Portanto, essas seções concentram-se especificamente no plano de dados de LAN Switching. Essas seções começam com uma revisão dos processos de encaminhamento dos switches de LAN s e uma introdução aos quatro principais passos do processo de resolução de problemas de LAN Switching, como sugerido neste capítulo. Em seguida, o texto examina cada um desses quatro passos em seqüência. Por último, é apresentado um exemplo de como aplicar o processo de resolução de problemas.

Visão geral do processo normal de encaminhamento dos switches O processo de encaminhamento dos switches, descrito em detalhe no CCENT/CCNA ICNDJ Guia Oficial de Certificação do Exame, no Capítulo 7, é relativamente simples. Entretanto, antes de dar uma olhada mais de perto em como utilizar o resultado do comando show para prever a operação normal e isolar a causa geradora de um problema de encaminhamento, é aconselhável revisar o que um switch pensa sobre o processo de encaminhamento quando não existe nenhum problema. Os seguintes passos do processo esboçam essa lógica:

• •• •• •• •• ••

•• •• •• •• •• •• ••

•• •• •• •• •• •• •• •• •• •

• •• •• ••

•• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2

87

Passo 1 Determine a VLAN na qual o frame deve ser encaminhado, da seguinte forma:

a. Se o frame chega em uma interface de acesso, utilize a VLAN de acesso da interface. b. Se o frame

ch~ga

em uma interface de trunk, utilize a VLAN listada no cabeçalho do trunking do frame.

Passo 2 Se a interface de entrada estiver no Estado STP de Encaminhamento ou de Aprendizado naquela VLAN, acrescente o endereço MAC da fonte à tabela de endereços MAC, com a interface de entrada e o VLAN ID (caso já não esteja na tabela). Passo 3 Se a interface de entrada não estiver em Estado STP de Encaminhamento naquela VLAN, descarte o frame. Passo 4 Procure o endereço MAC de destino do frame na tabela de endereços MAC, mas somente para as entradas feitas na VLAN identificada no Passo 1. Se o MAC de destino for encontrado ou não, faça da seguinte forma: a. Encontrado: encaminhe o frame através da única interface listada na entrada compatível da tabela de endereços

b. Não-encontrado: distribua o frame através de todas as portas de acesso naquela mesma VLAN que estejam em Estado STP de Encaminhamento e através de todas as portas trunk que listem essa VLAN como completamente aceita (na lista permitida, Encaminhamento STP ativo não-suprimido) Para encaminhar um frame, um switch deve primeiramente determinar em qual VLAN o frame deve ser encaminhado (Passo 1), aprender os endereços MAC da fonte conforme necessário (Passo 2), e, em seguida, escolher para onde encaminhar o frame. Só para confirmar se o processo está claro, considere um exemplo utilizando a Figura 3-3, no qual PC1 envia um frame à sua porta de comunicação padrão, R1, com os endereços MAC mostrados na figura. Figura 3-3 Rede com switches utilizada na análise no Capítulo 3 0200.1111.1111

VLAN de acesso 3 FaOl10

FaOl1 0200.0101.0101

Neste caso, considere o frame como enviado de PC1 (MAC da fonte 0200.1111.1111) para R1 (MAC de destino 0200.0101.0101). SW1, utilizando o Passo 1 do resumo da lógica de encaminhamento, determina se a interface FaO/11 está operando como uma interface de acesso ou de trunk. Nesse caso, é uma interface de acesso atribuída à VLAN 3. No Passo 2, SW1 acrescenta uma entrada à sua tabela de endereços MAC, listando o endereço MAC 0200.1111.1111, a interface FaO/11 e a VLAN 3. No Passo 3, SW1 confirma que a interface de entrada, FaO/11, está em Estado STP de Encaminhamento. Finalmente, no Passo 4, SW1 procura uma entrada com o endereço MAC 0200.0101.0101 na VLAN 3. Se SW1 encontrar uma entrada que liste a interface GigabitO/1, ele encaminha o frame somente através de GiO/1. Se a interface de saída (GiO/1) for uma interface de trunk, SW1 acrescenta um cabeçalho de trunking de VLAN que lista a VLAN 3 e o VLAN ID determinado no Passo 1. Como outro exemplo um pouco diferente, considere um broadcast enviado por PC1. Os Passos de 1 a 3 ocorrem como antes, mas no Passo 4, SW1 distribui o frame. No entanto, SW3 só distribui o frame através das portas de acesso na VLAN 3 e das portas de trunk que aceitam VLAN 3, com a restrição de que SW1 não encaminhará uma cópia do frame através das portas que não estejam em Estado STP de Encaminhamento. Embora essa lógica de encaminhamento seja relativamente simples, o processo de resolução de problemas requer a aplicação de quase todos os conceitos relacionados a LANs encontrados nos livros ICND1 e ICND2, além de outros tópicos também. Ao saber, por exemplo, que PC1 envia primeiramente frames a SW1, faz sentido verificar o status da

88 Capítulo 3: Resolvendo Problemas de Lan Switching

•

•

interface, assegurar-se de que a interf~ce esteja funcionando perfeitamente e consertar o problema da interface, caso ela . não esteja funcionando corretamente. E possível que dezenas de itens precisem ser verificados para resolver um problema . • Portanto, este capítulo sugere um processo de resolução de problemas para o plano de dados de uma LAN organizando as ações em quatro passos principais: • Passo 1 Confirme os diagramas de rede utilizando CDP. Passo 2 Isole os problemas das interfaces. Passo 3 Isole problemas de filtragem e de segurança de portas. Passo 4 Isole problemas de VLANs e de trunking. As quatro próximas seções revisam e explicam os conceitos e ferramentas usados para executar cada um desses quatro passos. Embora alguns fatos e algumas informações sejam novos, a maioria dos conceitos específicos existentes por trás do processo já foi abordada, seja no CCENT/CCNA ICNDI Guia Oficial de Certificação do Exame ou nos Capítulos 1 e 2 deste livro. O principal objetivo é ajudá-lo a juntar todos os conceitos para que a análise de cenários específicos como será necessário nos exames - demore um pouco menos com uma maior chance de sucesso. Observação As duas próximas seções, "Passo 1: Confirme os diagramas utilizando CDP", e ''Passo 2: Isole os problemas das interfaces", são abordadas no Capítulo 10 do livro ICND1. Se estiver lendo os dois livros para se preparar para o exame CCNA, não é necessário ler essas seções deste capítulo nem as seções que recebem títulos parecidos no Capítulo 10 do ICND1. Se estiver lendo os dois livros, sinta-se à vontade para passar direto para a seção "Passo 3: Isole problemas de r.Jtragem e de segurança de portas". Passo 1: Conftrme os diagramas de rede utilizando CDP O CDP (Cisco Discovery Protocol) pode ser útil para verificar as informações contidas nos diagramas de rede bem como para completar o resto das informações necessárias sobre os dispositivos e a topologia. Na vida real, os diagramas de rede podem ser antigos e estar desatualizados, podendo acarretar problemas porque alguém trocou algum cabo e não atualizou os diagramas. Duvido que a Cisco criasse uma questão com informações propositalmente incorretas na figura associada à questão, mas o exame pode facilmente incluir questões para as quais o diagramas de rede não apresentem todas as informações necessárias e você pode ter de utilizar o CDP para encontrar o resto dos detalhes. Portanto, esta seção revisa o CDP, e, para isso, um bom primeiro passo para resolução de problemas do plano de dados de uma LAN é o seguinte: Passo 1 Verifique a exatidão e complete as informações apresentadas no diagrama de rede utilizando o CDP. Observação Este capítulo mostra uma série de passos numerados para a resolução de problemas de LAN Switching, começados aqui com o Passo 1. Os passos e suas numerações não são importantes para o exame; os passos são numerados neste capítulo para facilitar a referência. Os roteadores, switches e outros dispositivos Cisco utilizam o CDP por várias razões, mas os roteadores e os switches o utilizam para anunciar informações básicas sobre cada um deles aos seus vizinhos - informações como, por exemplo, o hostname, o tipo de dispositivo, a versão do lOS e os números das interfaces. Três comandos em particular apresentam as informações do CDP adquiridas dos vizinhos, conforme mostrado na Tabela 3-1. De fato, em casos em que não exista nenhum diagrama, o engenheiro poderia criar um diagrama de roteadores e switches utilizando o resultado do comando show cdp. Tabela 3-1 Comandos show cdp que apresentam informações sobre vizinhos Comando

Descrição

show cdp neighbors [type number]

Apresenta uma linha de resumo com as informações sobre cada vizinho ou simplesmente o vizinho encontrado em uma interface específica caso seja listada uma interface

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•

•

CCNA ICND2

• •

show cdp neighbors detail

89

Apresenta um conjunto grande de informações (aproximadamente 15 linhas), um conjunto para cada vizinho

. --------------------------------------------------------------•

show cdp entry name

•

--------------------------------------------------------

• • • • • •

A única parte complicada do processo de comparação do resultado do CDP com um diagrama é que o resultado relaciona duas interfaces ou portas em várias linhas. Lendo da esquerda para a direita, o resultado normalmente apresenta o host name do dispositivo vizinho sob o título de "Device ID" ("ID do Dispositivo"). Entretanto, o título seguinte "Local Intrfce", que significa "interface local", é o nome/número da interface do dispositivo local. O nome/número da interface do dispositivo vizinho fica no lado direito do resultado do comando sob o título de "Port ID". O Exemplo 3-1 apresenta um exemplo do comando show cdp neighbors de SW2 na Figura 3-3. Compare as partes sombreadas do resultado do comando com os detalhes incorretos na Figura 3-3 para ver quais campos listam as interfaces para quais dispositivos.

•

Exemplo 3-1 Exemplo de comando show cdp

•• •• •• •• •• •• •• ••

•• •• •• •• • •• • •

•• •

Apresenta as mesmas informações do comando show cdp neighbors detail, mas apenas para o vizinho cujo nome foi indicado

SW2#show cdp neighbors Capability Codes:

R - Router, T - Trans Bridge, B - Source Route Bridge S - Switch, H - Host , 1 - lGMP , r - Repeater,

oevi ce 10

Lo ca l

lntrfc e

SW1

~

Gig 0 / 2

RI

I

Fas 0 / 10

139

P - Phone

Holdtme

Capability

Platform

Port 10

173

S 1

WS-C2960-2

Gig 0 / 1

R S 1

1841

Fas 0/1

O CDP, quando ativado, cria uma exposição de segurança. Para evitar essa exposição, que pode permitir que um hacker saiba dos detalhes sobre cada switch, o CDP pode ser facilmente desativado. A Cisco recomenda que o CDP seja ativado em todas as interfaces que não necessitem dele especificamente. As interfaces mais prováveis que precisam utilizar o CDP são as interfaces conectadas a outros roteadores ou switches Cisco e as interfaces conectadas a telefones Cisco IP. Do contrário, o CDP pode ser desativado por interface utilizando o subcomando de interface no cdp enable. (O subcomando de interface cdp enable reativa o CDP). O comando global no cdp run desativa o CDP para o switch inteiro, e o comando global cdp run reativa o CDP globalmente.

Passo 2: Isole os problemas das interfaces A interface de um switch Cisco deve estar em estado de funcionamento para que o switch possa processar frames recebidos na interface ou enviar frames através desta interface. Um passo um tanto óbvio na resolução de problemas deve ser examinar o estado de cada interface, especificamente aquelas que se espera que sejam utilizadas para encaminhar frames, e verificar se as interfaces estão funcionando perfeitamente. Esta seção examina os possíveis estados das interfaces em um switch Cisco baseado no lOS, apresenta as causas geradoras para estados de não-funcionamento e aborda um problema comum que ocorre mesmo quando a interface parece estar em estado de funcionamento. As tarefas específicas para este passo podem ser resumidas através dos seguintes passos de resolução de problemas:

Passo 2 Verifique a existência de problemas nas interfaces da seguinte forma: a. Determine o código de status da interface para cada interface necessária e, se não estiver em estado connect (conectado) ou ativo/ativo (up/up), resolva os problemas até que a interface atinja o estado connect ou ativo/ativo.

b. Para interfaces que estejam em estado connect (ativo/ativo), verifique também a existência de dois outros problemas: erros de combinação duplex e algumas variações de segurança de portas que propositalmente entregam frames.

Códigos de status de interfaces e razões para os estados de não-funcionamento Os switches Cisco utilizam dois conjuntos diferentes de códigos de status: um conjunto de dois códigos (palavras), que utiliza as mesmas convenções dos códigos de status de interfaces de roteadores, e outro conjunto com um único código (palavra). Ambos os conjuntos de códigos de status podem determinar se uma interface está funcionando.

Os comandos de switches show interfaces e show interfaces description apresentam o status formado pelos dois códigos assim como roteadores. Os dois códigos são chamados de status de linha (tine status) e status de protocolo (protocol status), onde os

•

90 Capítulo 3: Resolvendo Problemas de Lan Switching

•

códigos geralmente se referem ao fato de a Camada 1 ou a Camada 2 estarem funcionando, respectivamente. As • interfaces de switches de uma LAN normalmente mostram uma interface com os dois códigos "up"(ativos) ou os dois códigos "down" (inativos), pois todas as interfaces dos switches utilizam os mesmos protocolos de enlace Ethernet; • portanto, o protocolo de camada de enlace nunca deverá apresentar problema. •

----------------------------------------------------Observação Este livro se refere a esses dois códigos de status resumidamente listando .• somente os dois códigos com uma barra entre eles; por exemplo, ''up/up''(ativo/ativo).

------------~--------------~--~~~~---------- .

o comando show interfaces status apresenta um único código de status de interface. Esse único código de status de interface corresponde a combinações diferentes dos códigos de status de interfaces tradicionais, formados por dois códigos, e pode ser facilmente correlacionado àqueles códigos. O comando show interfaces status, por exemplo, apresenta um estado "connect" (conectado) para interfaces em funcionamento, que corresponde ao estado "up/up" (ativo/ativo) visto nos comandos show interfaces e show interfaces description. Qualquer estado da interface, que não sejam os estados connect ou ativo/ativo, significa que o switch não consegue encaminhar ou receber frames naquela interface. Cada estado de interface que não esteja funcionando tem um pequeno conjunto de causas geradoras. Além disso, observe que os exames poderiam facilmente fazer uma pergunta que mostrasse somente um ou outro tipo de código de status; portanto, para estar preparado para os exames, saiba os significados dos dois conjuntos de códigos de status de interfaces. A Tabela 3-2 apresenta as combinações de código e algumas causas geradoras que poderiam ter provocado um status de interface específico.

/;~;;~o

Tabela 3-2 Códigos de status de interfaces de switches de uma LAN Status de linha

Status de protocolo

(Line Status)

(protocol Status)

admin. inativo (admin down)

inativo (down)

Status de interface

desati vado (disabled)

Típica causa geradora

'. Chave

....

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

Interface configurada com o comando •

shutdown

inativo (down)

inativo (down)

não-conectado (not connect)

ativo (up)

inativo (down)

não-conectado (not connect)

Não esperado em interfaces dos switches de uma LAN

inativo (down)

inativo (down)

(desativado para erros) (err-disabled)

desativado para erros (err-disabled) A segurança das portas (port security) desativou a interface

ativo (up)

ativo (up)

conectado (connect)

A interface está funcionando

Nenhum cabo; cabo ruim; pinos do cabo errados; velocidades inadequadas nos dois dispositivos conectados; dispositivo na outra extremidade do cabo está desligado ou a outra interface está fechada

Estado notconnect e pinagem do cabeamento A Tabela 3-2 apresenta várias razões pelas quais a interface de um switch pode estar no estado notconnect. A maioria dessas razões não precisa de muito mais explicação do que o que já se encontra no texto da tabela. Se uma interface, por exemplo, estiver conectada a outro switch, e a interface estiver em estado notconnect, verifique o outro switch para saber se a interface dele foi desativada (shutdown). No entanto, uma das razões para o estado notconnect - pinagem dos cabos incorretos - merece um pouco mais de atenção por ser um erro comum e por não ser abordado neste livro. (pinagem do cabeamento Ethernet são abordados no Capítulo 3 do CCENT/CCNA fCNDi Guia Oficial de Certificação do Exame.) Os padrões de cabeamento UTP (Unshielded Twisted Pair, ou Par Trançado sem Blindagem) Ethernet especificam os pinos aos quais cada um dos fios deve se conectar nos conectores RJ/45 nas extremidades do cabo. Os dispositivos transmitem utilizando pares de fios, em que o lOBASE-T e o lOOBASE-Tx utilizam dois pares: um para transmitir e um

•

• •• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

91

para receber dados. Ao conectar dois dispositivos que utilizam o mesmo par de pinos para transmitir, o cabo - um cabo de cross over - deve conectar ou cruzar os fios conectados ao par de transmissão de cada dispositivo até o par de recepção do outro dispositivo. Do contrário, dispositivos que já utilizem pares opostos para transmissão de dados precisam de um cabo contínuo (cabo straight-through) que não cruze os pares. A Figura 3-4 mostra um exemplo de uma LAN típica de switches, mostrando os tipos de pinagem do cabeamento.

/~~~~o

:, Chave

Figura 3-4 Exemplo de uso de cabos de cross over e contínuos (straight-through)

..•.

Prédio 2

Prédio 1

_ _+-_ Cabos Contínuos - - 1 - -__

Cabos de Cabos

1 - - - - Contínuos

Uma resolução de problemas eficaz requer o conhecimento de quais dispositivos transmitem em quais áreas. A Tabela 33 apresenta os dispositivos mais comuns vistos no contexto do CCNA, junto com os pares utilizados. Observe que ao conectar dois tipos de dispositivos da mesma coluna, é necessário um cabo de cross over; ao conectar dois dispositivos de colunas diferentes da tabela, é necessário um cabo contínuo (straight-through). /~:~;~o :,Chave

Tabela 3-3 Pares de pinos 1OBA SE- T e 1OOBASE-Tx utilizados

...

Dispositivos que transmitem em 1,2 e recebem em 3,6

Dispositivos que trammitem em 3,6 e recebem em 1,2

NlCs do PC

Hubs

Roteadores

Switches

Pontos de acesso sem fio AP (wireless access points) (interface Ethernet) Impressoras de rede conectadas a Ethernet

Questões sobre a velocidade da interface e do duplex As interfaces de switches podem encontrar suas definições de velocidades e duplex de várias formas. De acordo com o padrão, as interfaces que utilizam fiação de cobre e são capazes de múltiplas definições de velocidades e duplex utilizam o processo de negociação automática do padrão IEEE (IEEE 802.3x). Por outro lado, interfaces de switches, roteadores e a maior parte dos NlCs (Network Inteiface Cards, ou cartões de interface da rede) também podem ser configurados para utilizar uma velocidade específica ou uma definição de duplex específica. Em switches e roteadores, o subcomando de interface speed {lO 1100 11000} com o subcomando de interface duplex {balf 1 full} definem esses valores. Observe que configurar a velocidade e o duplex em uma interface do switch desativa o processo de negociação automática do padrão IEEE naquela interface. Os comandos sbow interfaces e sbow interfaces status apresentam as definições de velocidade e duplex em uma interface, conforme mostrado no Exemplo 3-2.

Exemplo 3-2 Exibindo as definições de velocidade e duplex em inteifaces de switches SW1# show interfaces status Port

Name

Status

Vlan

Duplex

Speed

Type

FaO / l

notconnect

1

auto

auto

lO / lOOBaseTX

FaO / 2

notconnect

1

auto

auto

lO / lOOBaseTX

FaO / 3

notconnect

1

auto

auto

lO / lOOBaseTX

92 Capítulo 3: Resolvendo Problemas de Lan Switching FaO/4

connected

1

a-full

a-100

10/100BaseTX

FaO/5

connected

1

a-full

a-100

10/100BaseTX

FaO/6

notconnect

1

auto

auto

10/100BaseTX

FaOI7

notconnect

1

auto

auto

10/100BaseTX

FaO/8

notconnect

1

auto

auto

10/100BaseTX

FaO/9

notconnect

1

auto

auto

10/100BaseTX

FaO/10

notconnect

1

auto

auto

10/100BaseTX

FaO/ll

connected

1

a-full

10

10/100BaseTX

FaO/12

connected

1

half

100

10/100BaseTX

FaO/13

connected

1

a-full

a-100

10/100BaseTX

FaO/14

disabled

1

auto

auto

10/100BaseTX

FaO/15

notconnect

3

auto

auto

10/100BaseTX

FaO/16

notconnect

3

auto

auto

10/100BaseTX

FaO/17

connected

1

a-full

a-100

10/100BaseTX

FaO/18

notconnect

1

auto

auto

10/100BaseTX

FaO/19

notconnect

1

auto

auto

10/100BaseTX

FaO/20

notconnect

1

auto

auto

10/100BaseTX

FaO/21

notconnect

1

auto

auto

10/100BaseTX

FaO/22

notconnect

1

auto

auto

10/100BaseTX

FaO/23

notconnect

1

auto

auto

10/100BaseTX

FaO/24

notconnect

1

auto

auto

10/100BaseTX

GiO/1

connected

trunk

full

1000

10/100/1000BaseTX

GiO/2

notconnect

1

auto

auto

10/100/1000BaseTX

SW1# s how int e r f a c es faO /13

FastEthernetO/13 is up,

line protocol is up (connected)

Hardware is Fast Ethernet, address is 0019.e86a.6f8d (bia 0019.e86a.6f8d) MTU 1500 bytes, BW 100000 Kbit, DLY 100 usec, reliability 255/255, Encapsulation ARPA,

txload 1/255, rxload 1/255

loopback not set

Keepalive set (10 sec) 1-

1-

Full-duplex, 100Mb/s, media type is 10/100BaseTX input flow-control is off, output flow-control is unsupported ARP type: ARPA, ARP Timeout 04:00:00 Last input 00:00:05, output 00:00:00, output hang never Last clearing of "show interface" counters never Input queue: 0/75/0/0

(size/max/drops/flushes); Total output drops: O

Queueing strategy: fifo Output queue: 0/40

(size/max)

5 minute input rate O bits/sec,

O packets/sec

5 minute output rate O bits/sec,

O packets/sec

85022 packets input, 10008976 bytes, O no buffer Received 284 broadcasts O runts,

O giants,

(O multicast)

O throttles

O input errors, O CRC, O frame, O watchdog, 281 multicast,

O overrun,

O ignored

O pause input

O input packets with dribble condition detected 95226 packets output, 10849674 bytes, O output errors,

O collisions, 1 interface resets

O babbles, O late collision, O lost carrier,

O underruns

O deferred

O no carrier, O PAUSE output

O output buffer failures,

O output buffers swapped out

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• ••

•• •• •• •• ••

•• •• •• •• •• •• •• •• •• • •• •• •

•• •

CCNA ICND2

93

Embora os dois comandos possam ser úteis, apenas o comando show interfaces status indica como o switch determinou as defInições de velocidade e duplex. O resultado do comando apresenta as defInições negociadas automaticamente com um "a_". Por exemplo, "a-full" signifIca full-duplex negociado automaticamente, ao passo que "full" signifIca full-duplex, porém, confIgurado manualmente. O exemplo destaca o resultado do comando sombreado indicando que a velocidade e o duplex das interfaces FaO/12 do switch não foram encontrados através da negociação automática, mas FaO/13, na verdade, utilizou a negociação automática. Observe que o comando show interfaces FaO/13 (sem a opção status) simplesmente apresenta a velocidade e o duplex para a interface FaO/13, sem nada indicando que os valores foram aprendidos através da negociação automática. Os switches Cisco possuem alguns recursos interessantes referentes a velocidade das interfaces que podem ajudá-lo a determinar alguns tipos de problemas encontrados em interfaces. Se a interface de um switch Cisco tiver sido confIgurada para utilizar uma determinada velocidade, e a velocidade não combinar com o dispositivo na outra extremidade do cabo, a interface do switch fIcará em estado notconnect ou inativo/inativo (downldown). Entretanto, esse tipo de erro de combinação de velocidades só pode ocorrer quando a velocidade tiver sido confIgurada manualmente no switch. As interfaces de um switch Cisco que não tenham o comando speed confIgurado podem automaticamente detectar a velocidade utilizada pelo outro dispositivo - mesmo que o outro dispositivo que desligue o processo de negociação automática IEEE - e utilizar aquela velocidade. Na Figura 3-3, por exemplo, imagine que a interface GiO/2 de SW2 tenha sido confIgurada com os comandos speed 100 e duplex half (defInições não-recomendadas em uma interface Gigabit, a propósito). SW2 utilizaria essas defInições e desativaria o processo de negociação automática do padrão IEEE porque os comandos speed e duplex foram confIgurados. Se a interface GiO/l de SWl não tivesse um comando speed confIgurado, SWl, ainda assim, reconheceria a velocidade (100 Mbps) - embora SW2 não utilizasse a negociação padrão IEEE - e SWl também utilizaria uma velocidade de 100 Mbps. O Exemplo 3-3 mostra os resultados deste caso específIco sobre SWl. Exemplo 3-3 Exibindo as definições de velocidade e duplex em interfaces de switches SW1 # show interfaces giO/l status

Port GiO/1

Name

Status

Vlan

Duplex

Speed

Type

conne c t e d

t r unk

a-half

a-100

lO/ l OO/ l OOOBaseTX

A velocidade e o duplex ainda aparecem com um prefIxo "a-" no exemplo, indicando negociação automática. O motivo é que, neste caso, a velocidade foi encontrada automaticamente, e a defInição duplex foi escolhida por causa dos valores padrão utilizados pelo processo de negociação automática IEEE. Os padrões IEEE dizem que para portas rodando a 100 Mbps, se a negociação automática falhar, deve-se utilizar uma defInição padrão half-duplex. Encontrar um erro de combinação duplex pode ser muito mais difícil do que achar um erro de combinação de velocidade porque, se as definições duplex não combinarem nas extremidades de um segmento Ethernet, a interface do switch estará em estado connect (conectado) (ativo/ativo). Neste caso, a interface funciona, mas pode funcionar precariamente, apresentando mau desempenho e sintomas de problemas intermitentes. O motivo é que o dispositivo que utiliza o half-duplex faz uso da lógica CSMNCD (camer sense multipie access collision detect), querendo enviar ao receber um frame, acreditando que as colisões ocorrem quando, na verdade, isso não acontece fIsicamente, e parando de enviar frames porque o switch pensa que ocorreu uma colisão. Com um tráfego bastante carregado, a interface poderia estar em estado connect, mas ser essencialmente inútil para a transmissão do tráfego, até mesmo provocando a perda de mensagens vitais de VTP e STP. Para identifIcar problemas de erro de combinação de duplex, tente a seguintes ações:

/;~~;;,., \ Chave ....

•

Utilize comandos como show interfaces em cada extremidade do link para confIrmar a defInição de duplex em cada extremidade.

•

Fique atento aos aumentos em certos contadores nas interfaces half-duplex. Os contadores - runts (pacotes muito pequenos resultantes de colisões de pacotes), colisões e colisões tardias - ocorrem quando o outro dispositivo utiliza fu1l-duplex. (Observe que estes contadores também podem aumentar quando também ocorrem colisões legítimas).

O Exemplo 3-2 (apresentado anteriormente nesta seção) utiliza o sombreamento para indicar esses contadores no resultado do comando show interfaces. A causa geradora dos erros de combinação de duplex pode estar relacionada aos padrões escolhidos pelo processo de negociação automática IEEE (autonegociação). Quando um dispositivo tenta a negociação automática, e o outro não responde, o primeiro escolhe a defInição duplex padrão com base na atual velocidade. As defInições duplex padrão, de acordo com o IEEE, são escolhidas da seguinte forma:

•

94 Capítulo 3: Resolvendo Problemas de Lan Switching • Se a velocidade for 10 ou 100 Mbps, usar o padrão half-duplex. • Se a velocidade for 1000 Mbps, usar o padrão full-duplex. Observação full-duplex.

/;~~;~o '--Chave ".

As interfaces Ethernet que utilizam velocidades maiores que 1 Gbps utilizam

Passo 3: Isole problemas de filtragem e de segurança de portas Falando de um modo geral, qualquer análise do processo de encaminhamento deve considerar qualquer recurso de segurança que possa descartar alguns frames ou pacotes. Por exemplo, roteadores e switches podem ser configurados com ACL (access contrai lists, ou listas de controle de acesso) que examinam os pacotes e os frames enviados ou recebidos em uma interface, com o roteador ou o switch descartando aqueles pacotes/frames. Os exames CCNA não incluem a abordagem de ACLs de switches, mas abordam um recurso semelhante chamado segurança de porta. Conforme abordado no CCENT/CCNA ICNDJ Guia Oficial de Certificação do Exame, no Capítulo 9, o recurso de segurança de portas pode ser utilizado para fazer com que o switch descarte alguns frames enviados para dentro e para fora de uma interface. A segurança de portas tem três recursos básicos com os quais é possível determinar quais frames devem ser filtrados: • Limita quais endereços MAC específicos podem enviar e receber frames na interface de um switch, descartando frames destinados e provenientes de outros endereços MAC. • Limita o número de endereços MAC que utilizam a interface, descartando frames destinados e provenientes de /~:~;~o endereços MAC aprendidos depois do limite máximo ter sido atingido. • Uma combinação dos dois pontos anteriores.

\ Chave

....

O primeiro passo na resolução de problemas referentes à segurança de portas deve ser encontrar quais interfaces tem a segurança de portas ativada, determinando, em seguida, se alguma violação está atualmente ocorrendo. A parte mais complicada está relacionada às diferenças naquilo que o lOS faz em relação às violações com base no subcomando de interface switchport port-security violation, que diz ao switch o que fazer quando ocorre uma violação. O processo geral é o seguinte: Passo 3 Verifique a existência de problemas na segurança de portas da seguinte forma: a. Identifique todas as interfaces nas quais a segurança de portas está ativada (show running-config ou show portsecurity). b. Determine se a violação de segurança está atualmente ocorrendo baseada, em parte, no modo de violação da configuração da segurança de portas da interface, da seguinte forma: - shutdown: A interface estará em estado err-disabled. - restrict: A interface estará em estado connect, mas o comando show port-security interface mostrará um aumento no contador de violações. - protect: A interface estará em estado connect, e o comando show port-security interface não mostrará nenhum aumento no contador de violações. c. Em todos os casos, compare a configuração de segurança das portas com o diagrama bem como o campo "last source address" ('ültimo endereço fonte") no resultado do comando show port-security interface. Uma das dificuldades ao resolver problemas relacionados à segurança de portas está relacionada com o fato de que algumas configurações de segurança de portas descartam apenas os frames ofensivos, mas não desativam a interface em conseqüência disso, tudo baseado no modo de violação configurado. Todos os três modos de violação descartam o tráfego conforme ditado pela configuração. Se, por exemplo, somente um endereço MAC pré-definido como 0200.1111.1111 é permitido, o switch descarta todo o tráfego naquela interface, com exceção do tráfego que chega e parte de 0200.1111.1111. Entretanto, o modo shutdown faz com que todo o tráfego futuro seja descartado - até mesmo tráfego legítimo proveniente do endereço 0200.1111.1111 - após a ocorrência de uma violação. A Tabela 3-4 resume alguns dos pontos principais para facilitar o estudo.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•

CCNA ICND2

6~~o ....

Tabela 3-4 Comportamento da segurança de portas baseado no modo de violação Descarta todo o tráfego no estado err-disabled

95

Modo de violação

Descarta o tráfego ofensivo da interface

Resultados Aumento nos contadores das violações da interface para cada nova violação

Shutdown

Sim

Sim

Sim

Sim

restrict

Sim

Não

Não

Sim

protect

Sim

Não

Não

Não

o Passo 3B da resolução de problemas se refere ao estado err-disabled (desativado para erros) da interface. Este estado verifica se a interface foi configurada para utilizar segurança de portas, se ocorreu uma violação e se nenhum tráfego é permitido na interface no presente momento. Este estado da interface implica que o modo de violação shutdown é utilizado, pois este é o único dos três modos de segurança de portas que faz com que a interface seja desativada. Para consertar este problema, a interface deve ser desativada (shut down) e, em seguida, ativada com o comando no shutdown. O Exemplo 3-4 apresenta uma situação em que a interface está em estado err-disabeld. Exemplo 3-4 Utilizando a segurança de portas para definir endereços MAC corretos de determinadas interfaces The first command lists alI interfaces on which port security has been enabled, and the violation mode, under the heading "Security Action". SW1# show port-security Secure Port

FaO / 13

MaxSecur eAddr

CurrentAddr

SecurityViolation

(Count)

(Count)

(Count)

1

1

1

Securi ty Action

Shutdown

Total Addresses in System (excluding one mac per port) Max Addresses limit in System (excluding one mac per port)

: O 8320

The next command s h ows the err-disabled state , implying a security v iolation. SW1# show interfaces FaO/13 status Por t

Name

FaO / 13

Status

vlan

Duplex

Speed

Type

err- disabled

1

auto

auto

10/l00BaseTX

The next command ' s output has shading for several of the most important facts. SWl# show port-security interface FaO/13 Port Security

Enabled

Port Status

Secure-shutdown

Violation Mode

Shutdown

Agin g Time

O mins

Agin g Type

Absolute

SecureStatic Address Aging

Disabled

Maximum MAC Ad dress es

: 1

Total MAC Addresses

: 1

Configured MAC Addresses

: 1

Sticky MAC Addres s e s

: O

Last Source Address:Vlan Security Violation Count

0 2 00.3333 . 33 3 3:2 : 1

O resultado do comando show port-security interface apresenta alguns itens úteis no processo de resolução de problemas. O status da porta "secure-shutdown" ("desativação segura") significa que a interface está desativada para todo o

96 Capítulo 3: Resolvendo Problemas de Lan Switching tráfego em conseqüência de uma violação, e que o estado da interface deve ser "err-disabled". O final do resultado do comando apresenta um contador de violações, aumentando em 1 para cada nova violação. É interessante notar que, no modo de violação shutdown, o contador aumenta em 1, a interface é colocada em estado err-disabled e o contador não consegue mais aumentar até que o engenheiro utilize os comandos shutdown ou no shutdown na interface, em seqüência. Finalmente, observe que a penúltima linha apresenta o endereço MAC da fonte do último frame recebido na interface. Este valor pode ser útil na identificação do endereço MAC do dispositivo que provocou a violação. Os modos de violação restrict e protect ainda provocam descartes de frames , mas com um comportamento diferente. Nestes modos de violação, a interface permanece em estado connect (ativo/ativo) enquanto ainda está descartando os frames inadequados por causa da segurança de portas. Portanto, evite a armadilha de considerar que uma interface em estado connect, ou ativo/ativo, não possa ter nenhum outro motivo para não transmitir tráfego. O Exemplo 3-5 mostra um modelo de configuração e do comando show ao utilizar o modo protect. Neste caso, um PC com endereço MAC 0200.3333.3333 enviou frames para a porta FaO/13, com a porta configurada para restringir FaO/13 para somente receber frames enviados por 0200.1111.1111. Exemplo 3-5 Segurança de portas utilizando o modo protect SW1ishow running-config ! Lines omitted for brevity

interface FastEthernetO/13 switchport mode access switchport port-security switchport port-security mac-address 0200.1111.1111 switchport port-security violation protect Lines omitted for brevity SW1i show port-security interface FaO/13 Port Security

Enabled

Port Status

Secure-up

Vio1ation Mode

Protect

Aging Time

O mins

Aging Type

Absolute

SecureStatic Address Aging

Disabled

Maximum MAC Addresses

: 1

Total MAC Addresses

: 1

Configured MAC Addresses

: 1

Sticky MAC Addresses

:

Last Source Address:Vlan Security Violation Count

o 020 0.3333.3333:1

: O

Este resultado do comando show foi obtido após o envio de vários frames por um PC com o endereço MAC 0200.3333.3333, com todos os frames sendo descartados pelo switch por causa da segurança de portas. O resultado do comando mostra o endereço não-permitido MAC 0200.3333.3333 do PC como o último endereço MAC fonte em um frame recebido. Entretanto, observe que o status da porta é apresentado como secure-up (seguro-ativo) e com o contador de violações em O - ambas indicações podem levá-lo a concluir que tudo está bem. Entretanto, no modo protect, o comando show port-security interface não mostra nenhuma informação confirmando a ocorrência de uma violação real. A única indicação é que o tráfego do usuário final não chega aonde ele precisa ir. Se este exemplo tivesse utilizado o modo de violação restrict, o status da porta também teria permanecido no estado secure-up, mas o contador de segurança de violações teria aumentado uma vez para cada frame violador. Para os exames, a violação da segurança de uma porta pode não ser um problema; pode ser exatamente a função desejada. O texto da questão pode explicitamente dizer o que a segurança de porta deve estar fazendo. Nestes casos, pode ser mais rápido imediatamente observar a configuração da segurança de portas. Em seguida, compare a configuração com os endereços MAC dos dispositivos conectados à interface. O problema mais provável de ser encontrado nos exames é que os endereços MAC tenham sido configurados erroneamente e que o número máximo de endereços MAC tenha sido definido muito baixo (o CCENT/CCNA fCNDi Guia Oficial de Certificação do Exame, Capítulo 9, explica os detalhes de configuração).

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•• •

••

•• •• •• •• •• ••

•• •• •• •• •• •• •• •a •• •• •• •• •• •• ••

•

CCNA ICND2

97

Um último recurso de segurança que precisa de uma breve menção é a autenticação IEEE 802.1x. O IEEE 802.lx (não confundir com o padrão de negociação automática IEEE 802.3x) define um processo para autenticar o usuário do PC conectado à porta de um switch. O 802.1x pode ser usado como parte de uma estratégia NAC (Network Admission Control, ou Controle de Admissão à Rede), na qual um usuário interno de uma LAN empresarial não consegue utilizar a LAN até que o usuário forneça algum tipo de credencial de autenticação. Com o 802.1x, cada usuário se comunica com um servidor AAA através de uma série de mensagens de autenticação. O switch de acesso escuta as mensagens, descartando todos os frames do link, exceto para mensagens 802.1x destinadas e provenientes do PC. Quando o switch escuta a mensagem do servidor AAA dizendo que o usuário foi autenticado com sucesso, ele permite que todo o tráfego flua naquela porta. Se o usuário não for autenticado, o switch não permite tráfego naquela interface. Os detalhes de como configurar o 802.1x, e reconhecer uma falha de autenticação como causa geradora de um determinado problema, foge ao escopo deste livro.

Passo 4: Isole problemas de VLANs e de trunking O processo de encaminhamento de um switch depende das definições de VLAN s de acesso em interfaces de acesso e em trunks de VLANs que podem transmitir tráfego para várias VLANs. Além disso, para que um switch possa encaminhar frames em uma VLAN, ele deve saber sobre a VLAN, seja através da configuração ou do VTP, e a VLAN deve estar ativa. As seções a seguir examinam algumas das ferramentas envolvendo todas essas questões relativas a VLANs. Esta fase da configuração inclui os seguintes passos:

Passo 4 Verifique as VLANs e os trunks de VLANs da seguinte forma: a. Identifique todas as interfaces de acesso e suas VLANs de acesso designadas e designe novamente para as VLANs corretas conforme a necessidade. b. Determine se as VLANs existem (configuradas ou aprendidas através do VTP) e se estão ativas em cada switch. Em caso negativo, configure e ative as VLANs para resolver problemas conforme a necessidade. c. Identifique as interfaces operacionalmente em trunking em cada switch e determine as VLANs que podem ser encaminhadas através de cada trunk. As três próximas seções discutem os passos 4A, 4B e 4C em seqüência.

Assegurando que as interfaces de acesso corretas estejam nas VLANs corretas Para assegurar que cada interface de acesso tenha sido designada à VLAN correta, os engenheiros simplesmente precisam determinar quais interfaces de switches são interfaces de acesso em vez de interfaces de trunk, determinar as VLANs de acesso designadas em cada interface e comparar as informações com a documentação. Os três comandos show apresentados na Tabela 3-5 podem ser bastante úteis neste processo.

Tabela 3-5 Comandos que podem encontrar portas de acesso e VLANs

f;~~;~o \ Chave

Comando EXEC

Descrição

".

show vlan brief

show vlan

Apresenta cada VLAN e todas as interfaces designadas àquela VLAN, mas não inclui trunks

show interfaces type number switchport

Identifica a VLAN de acesso de uma interface, a voice VLAN, o modo administrativo (configurado) e o modo operacional (access ou trunking)

show mac address-table dynamic

Apresenta entradas na tabela MAC: endereços MAC com interfaces e VLAN s associadas

Se possível, inicie este passo com os comandos show vlan e show vlan brief, pois eles relacionam todas as VLANs conhecidas e as interfaces de acesso designadas a cada VLAN. Esteja ciente, entretanto, de que o resultado destes comandos inclui todas as interfaces que não estão operacionalmente em trunking no momento. Portanto, estes comandos

98 Capítulo 3: Resolvendo Problemas de Lan Switching apresentam interfaces em estado notconnect, err-disabled, e ainda mais importante, interfaces que podem criar um trunk depois que a interface subir. Estes comandos, por exemplo, podem incluir a interface GiO/2 na lista de interfaces da VLAN 1, mas assim que GiO/1 surgir, a interface pode negociar um trunking - em cujo ponto a interface já não seria uma interface de acesso e já não seria apresentada no resultado do comando show vlan brief. Se os comandos show vlan e show interface switchport não estiverem disponíveis em uma determinada questão da prova, o comando show mac address-table também pode ajudar a identificar a VLAN de acesso. Esse comando apresenta a tabela de endereços MAC, com cada entrada incluindo um endereço MAC, a interface e o VLAN ID. Se a questão da prova indica que a interface de um switch se conecta a um único dispositivo do PC, você deverá ver apenas uma entrada na tabela MAC que lista aquela interface de acesso específica; o VLAN ID apresentado para aquela mesma entrada identifica a VLAN de acesso. (Não é possível fazer essas considerações para interfaces em trunking). Após determinar as interfaces de acesso e as VLANs associadas, se a interface for designada à VLAN errada, utilize o subcomando de interface switchport access vlan v/an-id para designar o VLAN ID correto.

VLANs de acesso não definidas ou ativas

o próximo passo de resolução de problemas, o Passo 4B, examina o fato em que um switch não encaminha frames em uma VLAN não-definida ou em uma VLAN definida que não esteja no estado ativo. Esta seção resume as melhores formas de confirmar que um switch sabe da existência de uma VLAN específica, e, uma vez que ela exista, ele determina o estado da VLAN. Os servidores e clientes VTP só exibem sua lista atual de VLANs conhecidas com o comando show vlan. Nem o arquivo running-config nem o startup-config contêm os comandos de configuração global vlan v/an-id que defmem a VLAN, nem os comandos name associados que dão nome à VLAN. Switches em modo transparente colocam estes comandos de configuração nos arquivos vlan.dat e running-config, para que você possa ver a configuração utilizando o comando show running-config. Após determinar que uma VLAN não existe, o problema pode ser que a VLAN simplesmente precise ser definida. Neste caso, siga o processo de configuração da VLAN, conforme descrito em detalhe no Capítulo 1, resumido da seguinte forma: •

Em servidores e clientes VTP, considerando que o VTP esteja funcionando: a VLAN deve estar configurada em um servidor VTP, normalmente com o comando de configuração global vlan vlan-id, com os outros servidores e clientes VTP aprendendo sobre a VLAN. A VLAN também pode ser configurada como resultado do subcomando de interface switchport access vlan vlan-id, no servidor VTP no qual a VLAN ainda não existe, fazendo com que o servidor automaticamente crie a VLAN.

•

Em servidores e clientes VTP, considerando que o VTP não esteja funcionando: resolva os problemas de VTP conforme abordado na seção "Resolvendo problemas do VTP", no Capítulo 1.

•

Em um switch VTP transparente: a configuração é a mesma de um servidor, mas deve ser feita em cada switch, pois os switches em modo VTP transparente não anunciam a nova VLAN a outros switches.

Para qualquer VLAN existente, verifique também se ela está ativa. O comando show vlan deve apresentar um entre dois valores de estado da VLAN: ativo e shutdown. Destes estados, o segundo significa que a VLAN está desativada (shut down). Para resolver este problema, utilize o comando de configuração global no shutdown vlan vlan-id. Observe que este comando deve ser emitido em cada switch, pois este estado shutdown (desativado) não é anunciado pelo VTP.

Identifique trunks e VLANs encaminhadas naqueles trunks Neste passo (4C), você pode separar os problemas em duas categorias gerais quando estiver começando a isolar o problema: problemas com os detalhes de como um trunk operacional funciona e problemas causados quando uma interface que deveria criar um trunk não o faz. A primeira categoria deste passo pode ser facilmente executada utilizando o comando show interfaces trunk, que apresenta somente informações sobre trunks atualmente em funcionamento (operacionais). O melhor lugar para começar com este comando é a última seção do resultado, que apresenta as VLANs cujo tráfego será encaminhado através do trunk. Qualquer VLAN que chegue a essa lista fmal de VLANs no resultado do comando satisfaz aos seguintes critérios: •

A VLAN existe e está ativa neste switch (conforme abordado na seção anterior e visto no comando show vlan).

•• •• •• •• •• •• •• •• •• •• •• •• •• •• • •• •• •• • li

•• •• •

•• •

•

CCNA ICND2

~

• •• •• •• ••

~ C Ico

•• •• •• •

•• •• •• ••

•• •• •• •• •• •• •• •• ••

99

•

A VLAN não foi removida da lista de VLAN s permitidas no trunk (conforme configurado com o subcomando de interface switchport trunk allowed vlan).

•

A VLAN não foi suprimida do trunk pelo VTP (conforme é feito automaticamente pelo VTP, considerando que o VTP Pruning tenha sido ativado através do comando de configuração global vtp pruning).

•

O trunk está em Estado STP de Encaminhamento naquela VLAN (conforme também visto no comando show

spanning-tree vlan vlan-iá). O Exemplo 3-6 mostra um modelo do resultado de comando show interfaces trunk, com a última seção do resultado sombreada. Neste caso, o trunk só encaminha tráfego nas VLANs 1 e 4.

Exemplo 3-6 Lista de VLANs permitidas e lista de VLANs ativas SW1# show interfaces trunk Por t

Mode

Encapsulation

Status

Native vlan

GiO/1

desira ble

802.1q

trunking

1

Port

Vla ns allowed on trunk

GiO/1

1-2,4 - 4094

Port

Vlans allowed and active in management doma in

GiO/1

1,4

Port

Vlans in spanning t ree forwardi ng state and n ot p runed

GiO/1

1,4

A ausência de uma VLAN nessa última parte do resultado do comando não significa necessariamente que tenha ocorrido um problema. Na verdade, uma VLAN pode ser legitimamente excluída de um trunk por qualquer uma das razões apresentadas na lista antes do Exemplo 3-6. Entretanto, para uma determinada questão do exame, pode ser útil saber por que o tráfego de uma VLAN não será encaminhado através de um trunk. O resultado das três listas de VLANs do comando show interfaces trunk mostra uma progressão de razões pelas quais uma VLAN não é encaminhada através de um trunk. Para lembrar-se dos detalhes, revise os detalhes em tomo do Exemplo 1-4 do Capítulo 1 e os poucos parágrafos anteriores ao exemplo. A configuração da VLAN nativa de um trunk também deve ser verificada neste passo. O VLAN ID nativo pode ser manualmente definido para diferentes VLANs em qualquer extremidade do trunk. Se as VLANs nativas diferirem, os switches farão acidentalmente com que os frames saiam de uma VLAN e entrem em outra. Se o switch SW1, por exemplo, enviar um frame utilizando a VLAN 1 nativa em um trunk 802.1 Q, ele não acrescentará um cabeçalho VLAN, como acontece normalmente com uma VLAN nativa. Quando o switch SW2 receber o frame, notando que não existe nenhum cabeçalho 802.1Q, ele considera que o frame faz parte da VLAN nativa configurada de SW2. Se SW2 tiver sido configurada para pensar que VLAN 2 é a VLAN nativa naquele trunk, ele tentará encaminhar o frame recebida para VLAN 2. A segunda classe geral de problemas referentes a trunking é que uma interface que deveria formar um trunk não o faz . A causa mais provável deste problema é um erro de configuração do trunking nas extremidades opostas do link. O subcomando de interface switchport mode {access I trunk I dynamic {desirable I auto} } diz à interface se ela deve criar um trunk e apresenta as regras com as quais ela deve negociar o trunking. É possível exibir o modo administrativo (configurado) do trunking de qualquer interface, conforme definido por esse comando de configuração, utilizando o comando show interface switchport. Certifique-se de que você saiba o significado de cada uma das opções deste comando de configuração, conforme apresentado na Tabela 1-4 do Capítulo 1, e as combinações existentes em cada extremidade do segmento que resultou em trunking, conforme apresentado na Tabela 1-5 do Capítulo 1. Em alguns casos, uma interface pode falhar no uso do trunking devido a um erro de configuração do tipo de trunking - em outras palavras, se deveria usar ISL ou 802.1Q. Se dois switches, por exemplo, em extremidades opostas de um segmento configurassem os comandos switchport trunk encapsulation isl e switchport trunk encapsulation dotlQ, respectivamente, o trunk não seria formado porque os tipos de trunk (o encapsulamento) não combinam.

Exemplo: resolvendo problemas do plano de dados Esta seção mostra um exemplo de como aplicar os passos a uma rede e a um cenário específicos. O cenário inclui vários problemas baseados na Figura 3-5. No início, PC1 , PC2 e PC3 não conseguem identificar a sua porta de comunicação padrão, RI, no endereço IP 2.2.2.9. Esta seção mostra como aplicar os processos de resolução de problemas abordados

100 Capítulo 3: Resolvendo Problemas de Lan Switching até então neste capítulo para desvendar os problemas e resolvê-los. Para facilitar a referência, os passos foram resumidos aqui da seguinte forma:

Passo 1 Verifique a exatidão e complete as informações apresentadas no diagrama de rede utilizando o CDP. Passo 2 Verifique a existência de problemas nas interfaces da seguinte forma: a. Determine o código de status da interface para cada interface necessária, e, se não estiver em estado connect /;~~;;,., (conectado) ou ativo/ativo (up/up), resolva os problemas até que a interface atinja o estado connect ou ativo/ativo. ~ C"'ve

. ..

b. Para interfaces que estejam em estado connect (ativo/ativo), verifique também a existência de dois outros problemas: erros de combinação de duplex e algumas variações de segurança de portas que propositalmente entregam frames.

Passo 3 Verifique a existência de problemas de segurança de portas da seguinte forma: a. Identifique todas as interfaces nas quais a segurança de portas esteja ativada (show running-config ou show port-security) . b. Determine se a violação de segurança está atualmente ocorrendo baseada, em parte, no modo de violação da configuração da segurança de portas da interface, da seguinte forma:

- shutdown: A interface estará em estado err-disabled. - restrict: A interface estará em estado connect, mas o comando show port-security interface mostrará um aumento no contador de violações.

- protect: A interface estará em estado connect, e o comando show port-security interface não mostrará nenhum aumento no contador de violações.

Passo 4 Verifique as VLANs e os trunks de VLANs da seguinte forma: a. Identifique todas as interfaces de acesso e suas VLANs de acesso designadas e designe novamente para as VLAN s corretas conforme a necessidade. b. Determine se as VLANs existem (configuradas ou aprendidas através do VTP) e se estão ativas em cada switch. Em caso negativo, configure e ative as VLANs para resolver problemas conforme a necessidade. c. Identifique as interfaces operacionalmente em trunking em cada switch e determine as VLANs que podem ser encaminhadas através de cada trunk.

Figura 3-5 Rede utilizada no exemplo de resolução de problemas do plano de dados 2.2.2.1 0200.1111.1111

Passo 1: verifique a exatidão do diagrama utilizando o CDP O Exemplo 3-7 mostra uma variedade de modelos de resultados dos comandos show cdp neighbors e show cdp entry nos três switches da Figura 3-5. Uma simples comparação confirma os nomes e as interfaces na figura, com exceção de que a interface FaO/9 de SW2 se conecta ao roteador RI, em vez da interface FaO/lO de SW2 mostrada na Figura 3-5.

• •• •• •• •• •• •• •• •• ••. •• •• •• •• •• •• •• •• •• •• •• ••

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

101

Exemplo 3-7 Verificando a Figura 3-5 utilizando o CDP SW1# show cdp neighbors Capability Codes:

R - Router, T - Trans Bridge, B - Source Route Bridge S - Switch, H - Host, I - IGMP , r - Repeater, P - phone Holdtme Capability

Platform

Port lO

Gig 0/1

122

S I

WS-C2960-2

Gig 0 / 2

Gig 0 / 2

144

S I

WS-C3550-2

Gig 0 / 1

Oevice lO

Local Intrfce

SW2 SW3 !

SW2 commands next

SW2# show cdp neighbors Capability Codes:

R - Router, T - Trans Bridge , B - Source Route Bridge S - Switch, H - Host, I - IGMP, r - Repeater, P - Phone

Oevice lO

Local Intrfce

Holdtme Capa bility

Platform

SW1

Gig 0 /2

125

WS-C2960-2

Gig 0 / 1

SW3

Gig 0/ 1

170

S I

WS-C3550-2

Gig 0 / 2

R1

Fas 0 /9

157

R S I

1841

Fas 0 / 1

S I

Port lO

SW2# show cdp entry Rl - - - --------- -- - -- - -- ---- ----------~~-----------------

Oevice TD: R1 Entry address(es): IP address: 2.2.2.10 Platform: Cisco 1841 , Capabilities: Rout er Swi t c h IGMP Interface: FastEthernetO/9,

Por t

l O (outgoing port): FastEthernetO / 1

Holdtime : 150 sec Version : Cisco lOS Software , 1841 Software (C1841-ADVENTERPRISEK9-M), Version 12 . 4(9)T, RELEASE SOFTWARE (fc1) Technical Support:

http: //www . cisco.com/ techs upp ort

Copyright 1986-2006 by Cisco Systems,

I nc .

Comp iled Fri 16-Jun-06 21:26 by prod_rel_t eam advertisement version : 2 VTP Management Oomain : • Duplex: full Management a ddress(e s ): ! SW3 command next

-

SW3# show cdp neighbors Capability Codes :

R - Router , T - Trans Bridg e, B - Source Rou t e Bridge S - Switch, H - Ho s t, I - I GMP, r - Repeater, P - Ph on e

Oevice l O

Local Intrfce

Holdtme

Capab ility

Platform

SW1

Gig 0 / 1

154

S I

WS-C2960-2

Gig 0/2

SW2

Gig 0 / 2

178

S I

WS-C2960-2

Gig 0/1

Port l O

Este erro de documentação mostrado na Figura 3-5 (apresentando a interface FaO/lO de SW2 em vez de FaO/9) não afeta a operação da rede atual. Entretanto, se o trunking tivesse sido necessário entre SW2 e RI, a interface FaO/9 (e não FaO/lO) de SW2 teria de ter sido explicitamente configurada para ativar o trunking, pois os roteadores não podem automaticamente negociar o uso do trunking. O Capítulo 4, "Roteamento IP: Rotas estáticas e conectadas" , aborda os detalhes de configuração do trunking de um roteador. Observe que o CDP não identifica problemas de documentação com as interfaces que se conectam aos PCs do usuário final; para os propósitos deste exemplo, saiba que o resto das interfaces mostradas na Figura 3-5 são as interfaces corretas .

102 Capítulo 3: Resolvendo Problemas de Lan Switching Passo 2: verifique a existência de problemas de interfaces O próximo passo examina o status das interfaces em cada uma das interfaces que deveriam ser usadas atualmente. O

Exemplo 3-8 apresenta vários comandos show interface status tanto em SWl quanto em SW3. (Para os propósitos deste capítulo, considere que todas as interfaces em SW2 estejam funcionando corretamente). Examine o resultado, identifique qualquer problema e faça uma lista de outros problemas relacionados com as interfaces que você possa querer investigar mais a fundo com base neste resultado.

Exemplo 3-8 Problemas de interfaces em SWl

•• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

.---------------------------------------------------------~ . SW1# show interfaces faO/ll status

Port

Name

FaO / ll

Status

VI an

DupIex

Speed

Type

connected

3

a-full

a-1OO

l O/ lOOBaseTX

Status

VIan

DupIex

Speed

Type

notconnect

3

auto

auto

l O/ lOOBaseTX

Status

VIan

DupIex

Speed

Type

connected

trunk

a - full

a - lOOO

lO / lOO / lOOOBaseTX

Status

VIan

DupIex

Speed

Type

connected

1

a-full

a-1OOO

lO / lOO / lOOOBa seTX

Status

VIan

DupIex

Speed

Type

connected

3

a-haIf

a-1OO

lO / lOOBaseTX

Status

VIan

DupIex

Speed

Type

connected

1

a-full

a-1OOO

lOOOBaseTX

Status

VIan

DupIex

Speed

Type

connected

trunk

a-full

a-1OOO

lOOO BaseTX

SW1# show interfaces faO/12 status Port

Name

FaO / 12

SW1# show interfaces GiO/l status Port

Name

GiO / l

SW1# show interfaces GiO/2 status Port

Name

GiO / 2

! Switching t o SW3 nex t

SW3 hh interfaces faO/13 status Port

Name

FaO / 13

SW3# show interfaces GiO/l status Port

Name

GiO / l

SW3# show interfaces GiO/2 status Port GiO / 2

Name

Existe um problema óbvio em SWl, com a interface FaO/12 em estado notconnect. Existem vários motivos para este estado, quase todos relacionados a algum problema de cabeamento - desde um cabo que não esteja completamente encaixado na porta do switch até problemas de interferência no cabo, que são mais difíceis de detectar. (Veja a Tabela 3-2 para ver os motivos sugeridos). As interfaces de SW3 parecem não ter nenhum problema. Entretanto, todas as três interfaces têm uma definição de duplex que é a mesma definição que o switch utilizaria se o processo de negociação automática falhasse, destacando-se o uso do half-duplex em FaO/3. Isso aumenta a possibilidade de um dos dois problemas de interfaces mencionados anteriormente no capítulo que podem ocorrer quando a interface está em estado connect, ou seja, um erro de combinação de duplex.

É possível determinar que as interfaces GigabitO/l e 0/2 de SW3 não têm nenhum erro de combinação simplesmente utilizando o comando de status show interfaces em SWl e SW2 na outra extremidade desses link:s, respectivamente. No entanto, as portas conectadas a um PC apresentam um problema na resolução pelo fato de que você provavelmente não estará perto do PC, e, portanto, poderá ter de guiar o usuário final através de alguns passos para verificar as definições de velocidade e do duplex. Contudo, vale a pena procurar por sinais evidentes de runts, colisões e colisões iniciais, conforme listado no resultado do comando show interfaces do Exemplo 3-9. Exemplo 3-9 Sinais de um erro de combinação duplex SW3#show interfaces faO/13 FastEthernetO / 13 i s up,

line protocol is up (connected )

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

103

Hardware is Fast Ethernet, address is 000a.b7dc.b78d (bia 000a . b7dc . b78d) MTU 1500 bytes, BW 100000 Kbit , DLY 100 usec, reliability 255 / 255, Encapsulation ARPA,

txload 1 / 255, rxload 1 / 255

loopback not set

Keepalive set (10 sec) Half-duplex, 100Mb/ s , media type is 10 / 100BaseTX input flow-control is off, output flow-control is unsupported ARP type: ARPA, ARP Timeout 04 : 00:00 Last inpu t never, output 00:00:01 , output hang never Last clearing of "show interface" counters never Input queue: 0 / 75 / 0 / 0 (size / max/drops / flushes);

Total output drops:

O

Queueing strategy: fifo Ou tput queue: 0 / 40

(size / max)

5 minute input r a te O bits / sec , O packets / sec 5 minute output rate O bits / sec , O packets / sec 108 packets input,

6946 bytes,

Received 3 broadcasts 54 runts,

O giants,

O input errors,

O no buffer

(O multicast)

O throttles

O CRC, O frame,

O watchdog , 2 multicast,

O overrun,

O ignored

O pause input

O input packets with dribble condition detected 722 packets output , 52690 bytes,

O underruns

O output errors, 114 coll i s ions , 5 interface resets O babbles, 78 late collisi on , 19 deferred O lost carri er,

O no carrier,

O outpu t bu ffer failures,

O PAUSE output

O output buffers swapped out

Neste caso, um erro de combinação de duplex realmente existe. Entretanto, observe que estes mesmos contadores aumentam em operações half-duplex normais; portanto, estes contadores não identificam o problema de forma definitiva como um erro de combinação de duplex. Neste caso, a configuração de SW3 foi alterada para usar full-duplex na interface FaO/13, combinando com a definição manual em PC3 . Passo 3: verifique a existência de problemas de segurança de portas O próximo passo examina a configuração e o status da segurança de portas em cada switch. Começar com o comando show port-security que é bastante útil porque ele relaciona as interfaces nas quais o recurso foi ativado. O Exemplo 310 mostra esse comando em SW1 e SW2, com mais alguns comandos. Observe que tanto SW2 quanto SW3 não têm o recurso da segurança de portas ativado. Examine o resultado do Exemplo 3-10 e, antes de ler além do exemplo, faça algumas anotações sobre quais seriam os próximos passos que você daria para eliminar a segurança de portas como problema em potencial ou qual comando você usaria para isolar ainda mais um problema em potencial.

Exemplo 3-10 Segurança de portas em SWl e SW2 SW1# show port-s8curity Secure Port

FaO/ll

MaxSecureAddr

CurrentAddr

SecurityViolation

(Count)

(Count)

(Count)

1

1

97

Total Addresses in System (excluding one mac per port)

Security Action

Restrict

: O

•• •

104 Capítulo 3: Resolvendo Problemas de Lan Switching Max Addresses limit in System (excluding one mac per port) ! On SW2 be low,

8320

no interfaces have port security enabled.

SW2# show port-security

Secure

Port

MaxSecureAddr

CurrentAddr

SecurityViolation

(Count)

(Count)

(Count)

Total Addresses in System (excluding one mac per port) Max Addresses limit in System (excluding one mac per port)

Security Action

: O 8320

Os comandos show port-security relacionam as interfaces nas quais a segurança de portas foi ativada - especificamente, a interface FaO/11 de SW1 e nenhuma interface em SW2. Em SW1, os itens de destaque para resolução de problemas são que o cabeçalho da ação de segurança, que combina com a definição do modo de violação, mostra uma ação restrict. Com a definição em restrict, a interface FaO/11 de SW1 pode estar no estado connect (conforme visto no Exemplo 3-8), mas a segurança de portas pode estar descartando tráfego que viola a configuração da segurança de portas. Portanto, convém fazer um exame mais minucioso da configuração da segurança de portas, como mostrado no Exemplo 3-11.

Exemplo 3-11 Segurança de portas em SWl e SW2 SW1# show port-security interface faO/ll

Port Security

Enabled

Port Status

Secure-up

Violation Mode

Restrict

Aging Time

O mins

Aging Type

Absolute

SecureStatic Address Aging

Disabled

Maximum MAC Addresses

: 1

Total MAC Addresses

: 1

Configured MAC Addresses

: 1

Sticky MAC Addresses

: O

Last Source Address:Vlan

0200.1111.1111:3

Security Violation Count

97

Next, the configuration shows that the configured MAC address does not match PC1's MAC address. SW1# show running-config interface faO/ll

interface FastEthernetO/11 switchport access vlan 3 switchport mode access switchport port-security I~

switchport port-security violation restrict

1-

switchport port-security mac-address 0200.3333.3333

The following log message also points to a port security issue. 01:46:58: %PORT_SECURITY-2-PSECURE_VIOLATION: Security violation occurred, caused by MAC address 0200.1111.1111 on port FastEthernetO/11.

O exemplo começa com a confirmação do modo de segurança e do contador de violações e mostrando o último endereço MAC (0200.1111.1111) para enviar um frame à interface FaOll1. O endereço MAC (0200.1111.1111) doPC1 não combina com a configuração da segurança de portas como visto na segunda parte do exemplo, uma configuração que usa automaticamente, no máximo, um endereço MAC com um endereço MAC explicitamente configurado igual a 0200.3333.3333. Uma solução simples é reconfigurar a segurança de portas para, em vez disso, listar o endereço MAC de PC1. Observe que o engenheiro não precisaria utilizar os comandos shutdown e, depois, o no shutdown, nessa interface para recuperá-la, pois a configuração usa o modo de violação restrict, que deixa a interface ativa enquanto descarta o tráfego destinado e proveniente do PC1.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• ••

•• •• •• •• ••

••

•• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

105

o final do exemplo mostra uma mensagem de registro gerada pelo switch para cada violação quando está sendo usado o modo restrict. Essa mensagem seria vista a partir do console ou de uma conexão Telnet ou Secure Shell (SSH) com o switch, caso o usuário remoto tivesse emitido o comando EXEC terminal monitor. Passo 4: verifique a existência de problemas de VLANs e de trunks de VLANs O Passo 4A começa examinando as interfaces de acesso para assegurar que elas tenham sido designadas para as VLANs corretas. Neste caso, todas as interfaces conectadas a PCs e roteadores na Figura 3-5 deveriam ser designadas para a VLAN 3. O Exemplo 3-12 apresenta um resultado do comando show bastante útil. Reserve alguns minutos para ler o exemplo e procure achar algum problema referente à designação de VLANs.

Exemplo 3-12 Verificando designações de VLANs das interfaces de acesso SW1# show interfaces faO/ll status Port

Name

FaO/ll

Status

Vlan

Duplex

Speed

Type

connected

3

a-full

a-1OO

lO/lOOBaseTX

Status

Vlan

Duplex

Speed

Type

notconnect

3

auto

auto

lO/lOOBaseTX

SW1# show interfaces faO/12 status Port

Name

FaO/12 ! SW2 next

._~--

SW2 #show interfaces status ! lines omitted for brevity

FaO/9

connected

1

a-full

a-1OO

lO/lOOBaseTX

FaO/10

notconnect

3

auto

auto

lO/lOOBaseTX

Status

Vlan

Duplex

Speed

Type

connected

3

full

a-100

lO/lOOBaseTX

! SW3 next

SW3# show interfaces faO/13 status Port

Name

FaO/13

O único problema neste caso é o fato de que, embora a interface FaO/lO de SW2 tenha sido designada para a VLAN 3,

de acordo com o desenho na Figura 3-5, SW2 se conecta com RI utilizando FaO/9 (como visto com o CDP no Exemplo 3-7). A interface FaO/9 automaticamente está na VLAN 1. Para resolver este problema específico, em SW2, configure o subcomando de interface switchport access vlan 3 na interface FaO/9. A próxima parte do Passo 4 (Passo 4B) sugere verificar as VLANs para se assegurar de que elas estejam ativas em cada switch. Este exemplo contínuo usa somente a VLAN 3; portanto, o Exemplo 3-13 mostra que a VLAN 3 realmente é conhecida em cada switch. Ao ler o exemplo, procure achar algum problema com a VLAN 3.

Exemplo 3-13 Encontrando um problema de half-duplex SWl# show vlan id 3 VLAN

Name

Status

Ports

3

book-vlan3

activ e

FaO/ l l , FaO / 12 , GiO/ l, Gi O/2

Ports

! lines omitted for brevity ! SW2 next

SW2# show vlan brief VLAN

Name

Status

1

defa ult

active

----------------------------FaO/l, FaO/2, FaO/3 , FaO/4 FaO/5, FaO/6, FaO/7 , FaO/8 FaO/ll, FaO/12, FaO/13 , FaO/14 FaO/15, FaO/16, FaO/17, FaO/18 FaO/19, FaO/20, FaO/21, FaO/22

106 Capítulo 3: Resolvendo Problemas de Lan Switching FaO/23, FaO/24 VLAN0003

3

aetive

FaO/9, FaO/10

lines omitted for brevity SW3 next SW3# show vlan brief VLAN

Name

Status

Ports

1

default

aetive

FaO/1, FaO/2, FaO/3, FaO/4 FaO/S, FaO/6, FaOI7 , FaO/8 FaO/9, FaO/10, FaO/ll, FaO/12 FaO/14, FaO/1S, FaO / 16, FaO/17 FaO/18, FaO/19, FaO/20, FaO/21 FaO/22, FaO/23, FaO/24

3

book-vlan3

aetive

FaO/13

lines omitted for brevity

Neste caso, a VLAN 3 existe e está ativa em todos os três switches. Entretanto, SW2 apresenta um nome diferente do que é apresentado pelos outros switches. O nome não tem tanta importância para a operação da VLAN. Portanto, essa diferença não importa. Como deveria ser, SW2 está utilizando o modo VTP transparente, com SW1 e SW3 como switches em modo VTP cliente e servidor, respectivamente. Logo, o nome VLAN 3 (book-vlan3) combina em SWl e SW3. Finalmente, a última parte do Passo 4 (Passo 4C) para resolução de problemas sugere que você confIrme o status do trunking de todas as interfaces de trunk esperadas. É também de grande ajuda determinar em quais trunks as VLANs serão encaminhadas. O Exemplo 3-14 lista resultados que ajudam a fornecer as respostas. Examine o resultado no exemplo e, antes de continuar lendo além do fInal do exemplo, liste qualquer trunk que atualmente não encaminhe tráfego na VLAN 3, e faça uma lista dos possíveis motivos pelos quais a VLAN 3 é omitida do trunk.

Exemplo 3-14 Verificando trunking e a VLAN 3 SW1# show interfaces trunk Port

Status

Native vlan

trunking

1

GiO / 2 desirable 802.1q

trunking

1

Port

Mode

Eneapsulation

GiO/1 desirable 802.1q

Vlans allowed on trunk

GiO/l 1-4094 GiO / 2 1-4094 Port

Vlans allowed and aetive in management domain

GiO/l 1,3 GiO / 2 1,3 Port

Vlans in spanning tree forwarding state and not pruned

GiO / 1 3 GiO/2 1,3 ! SW2 next

SW2# show interfaces trunk Eneapsulation

Status

Native vlan

GiO / 1 auto

802.1q

trunking

1

GiO/2 auto

802.1q

trunking

1

Port

Port

Mode

Vlans allowed on trunk

GiO / 1 1-4094 GiO/2 1-4094 Port

Vlans allowed and aetive in management domain

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

••

CCNA ICND2

107

GiO/1 1,3 GiO/2 1,3 Port

V1ans in spanning tree forwarding state and not pruned

GiO/1 1,3

! SW3 next

SW3# show interfaces trunk Encaps u1ation

Status

Native v1an

n-802.1q

trunking

1

GiO/2 de s irab1e n-802 . 1q

trunking

1

Port

Mode

GiO/1 auto

Port

V1ans a110wed on trunk

GiO/1 1-4094 GiO/2 1 - 4094 Port

V1ans a110wed and active in management dornain

GiO/1 1,3 GiO/2 1,3 Port

V1ans in spanning tree forwarding state and not pruned

GiO/1 1,3

: Prevendo a operação normal do plano de dados do • LAN Switching • • • •

Um dos passos da resolução de problemas é analisar o que deveria estar acontecendo para que você possa então comparar com o que está realmente acontecendo - e, possivelmente, isolar a causa geradora de qualquer problema. Estas últimas seções do Capítulo 3 completam o estudo deste capítulo sobre como as LANs devem funcionar. Para isso, examinamos dois exemplos de frames encaminhados através de uma versão de trabalho do mesmo modelo de rede utilizado no exemplo de resolução de problemas que acabamos de resolver.

• • •

O objetivo destas seções é explicar como interpretar o atual resultado do comando show em switches para prever para onde cada switch encaminharia um determinado frame. O primeiro exemplo mostra um broadcast enviado por PCI na Figura 3-5, e o segundo exemplo mostra o processo de encaminhamento de um frame unicast enviado por RI para o endereço MAC de PCl.

• Broadcast de PC1 na VLAN 1

•

• o primeiro exemplo de plano de dados em funcionamento examina o trajeto de um broadcast enviado por PCl. PCI pode • •

não ter o endereço MAC de RI no cache ARP; neste caso, portanto, PCI envia um broadcast ARP com um endereço de destino IP 255.255.255.255 e o endereço de destino Ethemet FFFF.FFFF.FFFF. Esta seção examina o que os vários switches fazem para encaminhar o broadcast a todas as partes da VLAN 3, conforme mostrado na Figura 3-6.

108 Capítulo 3: Resolvendo Problemas de Lan Switching Figura 3-6 Trajeto de encaminhamento de PCI a RI de acordo com Exemplo 3-14 0200.1111 .1111

•• •• •

•• •

•• ••

Para analisar o fluxo de broadcast, use como referência o processo genérico de encaminhamento, conforme resumido na seção "Visão geral do processo de encaminhamento normal de LAN Switching", apresentada anteriormente neste capítulo. Exemplos anteriores confIrmaram que a porta FaO/11 de SW1 está designada à VLAN 3 e que a interface FaO/11 de SW1 é uma interface de acesso. Como o frame é um broadcast, SW1 distribuirá o frame. Sabendo destes fatos, o Exemplo 3-15 apresenta informações suficientes para prever as interfaces através das quais SW1 encaminhará o frame broadcast enviado por PC1listando o resultado do comando show spanning-tree vlan 3 active.

Exemplo 3-15 Lista de interfaces ativas de SWI SW1# ahow apanning-tree vlan 3 active

VLAN0003 Spanning tree enabled protocol ieee Root 10

Priority

24579

Addres s

000a. b 7dc.b780

Cost

1

Port

26

Hello Time

2 sec Max Age 20 sec Forwa rd Oelay 15 sec

Bridge 10 Priority

(GigabitEthernetO/2)

32771 (priority 32768 sys - id-ext 3)

Address

0019.e86a.6f80

Hello Time

2 sec Max Age 20 sec Forward Oelay 15 sec

Aging Time 300 Interface

Role Sts Cost

prio.Nbr

Type

FaO / 11

Desg FWD 19

128.11

P2p

Gi O/l

Desg FWD 4

128.25

P2p

~~G~i~0~ /2~____~R~o~ot~FWD~~1~__~12~8~.~2~6______~P~2~p__________________________________________________~

•• •• •• •• •• •• •• •• •• •• • •

•

Observe que SW1 não encaminhará o frame de volta através de FaO/ll , já que o frame entrou por FaO/11. Além disso, • SW1 encaminhará o frame saindo pelas interfaces de trunk (GiO/1 e GiO/2). Anteriormente neste capítulo, o Exemplo 3- • 14 mostra evidências de que os dois trunks de SW1 utilizam 802.1 Q, com a VLAN 1 nativa, de forma que SW1 acrescentará • um cabeçalho 802.1 Q, com o VLAN ID 3, a cada cópia do frame de broadcast enviado através destes dois trunks. As ações de SW1 significam que SW2 e SW3 devem receber uma cópia do frame de broadcast enviado por PCl. No caso de SW2, ele acaba descartando sua cópia do frame de broadcast de PC1 recebido na interface GiO/2 de SW2. SW2 descarta o frame por causa do Passo 3 do processo genérico de encaminhamento apresentado anteriormente no capítulo, já que a interface (GiO/2) de entrada de SW2 está em Estado de Bloqueio na VLAN 3. (O Exemplo 3-14 e o texto que se segue ao exemplo mostraram a interface GiO/2 de SW2 em Estado de Bloqueio para VLAN 3). Observe que o Estado de Bloqueio de SW2 não impediu que SW1 enviasse o frame para SW2; em vez disso, SW2 descarta silenciosamente o frame recebido.

• • • . • •

•

•• •• •

•• •• •• •• •• •

•• •• •

•• •• •• •

•• •

•• •• •• •• •• •• •• •

CCNA ICND2

109

Com relação à cópia do frame de broadcast de PCl recebido por SW3 em sua interface GiO/l , SW3 distribui o frame. SW3 determina a VLAN do frame com base no cabeçalho de entrada 802.1 Q e encontra a interface de entrada em Estado STP de Encaminhamento. Baseado nestes fatos, SW3 encaminhará o frame dentro de VLAN 3. O Exemplo 316 mostra as informações necessárias para saber em quais interfaces SW3 encaminha o broadcast da VLAN 3.

Exemplo 3-16 SW3: encaminhando um broadcast em VLAN 3 SW3# show mac address-tab1e dynamdc v1an 3 Mac Address Table

Vlan

Mac Addre s s

Type

Ports

3

0200.0101.0101

DYNAMIC

GiO / 2

3

0200 . 1111 . 1111

DYNAMIC

GiO / l

3

0200.3333 . 3333

DYNAMIC

FaO / 13

Tota l Mac Addresses for this criterion: 3 SW3# show spanning-tree v1an 3 active VLAN0003 Spanning tree enabled protocol ieee Root I D

priority

24579

Address

000a.b7dc.b780

This bridge is the root HelIo Time Bridge ID

2 sec Max Age 20 sec Forward Delay 15 sec

pr iority

24579 (priority 24576 sys-id-ext 3)

Address

000a.b7dc . b780

HelIo Time

2 sec Max Age 20 sec Forward Delay 15 sec

Agin g Time 300 Interface

Role Sts Cost

---------

--- ----

prio.Nbr

Type

---------

FaO / 13

Desg FWD 19

128.13

.P2p

GiO / l

Desg FWD 4

128.25

P2p

GiO/2

De sg FWD 4

128.26

P2p

Assim como SWl , SW3 não encaminha o broadcast saindo pela mesma interface na qual o frame chegou (GiO/1, neste caso), mas distribui o frame saindo por todas as outras interfaces naquela VLAN e em Estado STP de Encaminhamento, ou seja, FaO/13 e GiO/2. Além disso, como a interface GiO/2 de SW3 atualmente utiliza o trunking 802.1 Q, com a VLAN 1 nativa, SW3 acrescenta um cabeçalho 802.1Q mostrando o VLAN ID 3. Finalmente, quando SW2 recebe a cópia de broadcast vinda de SW3 na interface GiO/1 de SW2, SW2 segue o mesmo processo genérico dos outros switches. SW2 identifica a VLAN com base no cabeçalho 802.1 Q de entrada, confrrma que a interface de entrada está em Estado de Encaminhamento e distribui o broadcast saindo por todas as suas interfaces que estão, ao mesmo tempo, em Estado de Encaminhamento e na VLAN 3. Neste caso, SW2 encaminha o frame saindo somente pela interface FaO/9, conectada ao roteador Rl. O Exemplo 3-17 mostra o resultado do comando de apoio.

Exemplo 3-17 SW2: encaminhando uma broadcast na VLAN 3 recebida de SW3 First, note that the broadcast address FFFF.FFFF.FFFF i s n o t in the VLAN 3 MAC table . SW2# show mac address-tab1e dynamdc v1an 3 Mac Addre s s Table

Vlan

Mac Address

Type

Ports

110 Capítulo 3: Resolvendo Problemas de Lan Switching 3

000 a .b7dc .b79 a

DYNAMIC

GiO/1

3

0200.0101 . 01 01

DYNAMIC

FaO/9

3

0200.1111.1111

DYNAMIC

GiO/1

3

0200.3333.3333

DYNAMIC GiO/1

Total Ma c Addresses for this criterion : 4 ! Next,

note that on FaO / 9 and GiO / 1 are in an STP forwarding state,

! and the broadcast came in GiO / 1 -

so SW2 floods the frame only out FaO / 9.

SW2# ahow apanning-tree v1an 3 active !lines omitted for brevity Interface

Role St s Cost

Prio . Nbr

Type

FaO / 9

Desg FWD 19

128.9

P2p

GiO/1

Root FWD 4

128.25

P2p

GiO / 2

Altn BLK 4

128.26

P2p

SW2 não encaminha o frame saindo por GiO/1 , pois o frame entrou pela interface GiO/1 de SW2.

Trajeto de encaminhamento: unicast de R1 para PC1

o segundo exemplo de plano de dados examina como os switches encaminham frames unicast. Para analisar o processo de encaminhamento para frames unicast, considere a resposta ARP de RI com relação à solicitação/broadcast ARP de PC1. Os endereços de destino (IP e MAC) da resposta ARP de RI são os endereços IP e MAC de PC1 , respectivamente. A Figura 3-7 mostra o trajeto de encaminhamento, com os exemplos que se seguem explicando como o processo genérico de encaminhamento de frames se aplica a este caso em particular.

Figura 3-7 Trajeto de encaminhamento de R1 para PC1 de acordo com Exemplo 3-15 0200.1111 . 1111

Quando SW2 recebe o frame de RI, SW1 nota que o frame entrou pela interface FaO/9, uma interface de acesso na VLAN 3. O final do Exemplo 3-17 anteriormente mostrou FaO/9 em Estado STP de Encaminhamento na VLAN 3 e, por isso, SW2 tentará encaminhar o frame em vez de descartá-lo. Conforme visto a seguir no Exemplo 3-18, a tabela de endereços MAC de SW2 apresenta o endereço MAC de PC1 - 0200.1111.1111 - fora da interface GiO/1 e na VLAN 3; portanto, SW2 encaminha o frame saindo por GiO/1 até SW3.

Exemplo 3-18 Lógica de SW2 ao encaminhar um unicast conhecido para PC1 SW2# ahow mac addreaa-table dynamic v1an 3 Mac Address Table

Vlan

Mac Address

Type

Ports

•• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2

3

000a .b7dc. b 79a

DYNAMIC

GiO / 1

3

0200 . 0101 . 0101

DYNAMIC

FaO / 9

3

0200 . 1111.1111

DYNAMIC

GiO / 1

111

To t al Mac Addres s es for this c riterion: 3

Quando SW3 recebe o frame de SW2, ele nota que o frame entrou pela interface GiO/2, uma interface de trunking, e que o cabeçalho do trunking listava o VLAN ID 3. O final do Exemplo 3-16 anteriormente mostrou GiO/2 em Estado STP de Encaminhamento na VLAN 3 (passo 3 do encaminhamento), e, por isso, SW3 não vai descartar o frame recebido por causa do STP. Conforme visto a seguir no Exemplo 3-19, a tabela de endereços MAC de SW3 apresenta o endereço MAC de PC1-0200.1111.1111-fora da interface GiO/1 e na VLAN 3; portanto, SW3 encaminha0 frame saindo por GiO/1 até SWl.

Exemplo 3-19 Lógica de SW3 ao encaminhar um unicast conhecido para PCl SW3# show mac address-table dynamic v1an 3

Mac Address Table

Vlan

Mac Address

----

--------------

-

-

Type

Ports

------

------

3

0200.0101 . 0101

DYNAMIC

GiO / 2

3

02 0 0. 1111.1111

DYNAMIC

Gi O/ 1

3

0200 . 3333.3333

DYNAMIC

FaO / 13

Total Mac Addresses for this criterion: 3

Quando SW1 recebe o frame de SW3 , ele nota que o frame entrou pela interface GiO/2, uma interface de trunking, e que o cabeçalho do trunking listava o VLAN ID 3. O final do Exemplo 3-15 anteriormente mostrou a GiOI2 de SWl em Estado STP de Encaminhamento na VLAN 3, e, por isso, SW1 não vai descartar o frame pelo fato de a interface não estar em Estado STP de Encaminhamento. Conforme visto a seguir no Exemplo 3-20, a tabela de endereços MAC de SW1 apresenta o endereço MAC de PC1 - 0200.1111.1111 - fora da interface FaO/11 e da VLAN 3; portanto, SW1 encaminha o frame saindo por FaO/11 até PCl. Neste caso, SW1 remove o cabeçalho 802.1Q da VLAN porque a interface FaO/11 é uma interface de acesso.

Exemplo 3-20 Lógica de SWl ao encaminhar um unicast conhecido para PCl SW1# show mac addres.-table dynamic vlan 3

Mac Address Table

Vla n

3

Mac Address

000a.b7dc.b799

Type

Ports

DYNAMIC

GiO / 2

3

0200.0101.0101

DYNAMIC

GiO / 2

3

0200.3333.3333

DYNAMIC

GiO / 2

To t al Mac Addresses for this criterion : 3 SW1# show mac address-table vlan 3

Mac Address Table

Vlan

Mac Address

Type

Ports

----

--------------

---- --

-----

A11

0100.0ccc.cccc

STATIC

CPU

All

0100 . 0ccc.cccd

STATIC

CPU

All

0180 . c200.0000

STATIC

CPU

All

0180.c200.0001

STATIC

CPU

• •• ••

112 Capítulo 3: Resolvendo Problemas de Lan Switching All

0180.c200.0002

STATIC

CPU

All

0180.c200.0003

STATIC

CPU

All

0180.c200.0004

STATIC

CPU

All

0180.c200.0005

STATIC

CPU

All

0180.c200 . 0006

STATIC

CPU

All

0180.c200 . 0007

STATIC

CPU

All

0180.c200.0008

STATIC

CPU

All

0180.c200.0009

STATIC

CPU

All

0180.c200 . 000a

STATIC

CPU

All

0180.c200.000b

STATIC

CPU

All

0180.c200.000c

STATIC

CPU

All

0180.c200.000d

STATIC

CPU

All

0180.c200.000e

STATIC

CPU

All

0180.c200.000f

STATIC

CPU

All

0180.c200.0010

STATIC

CPU

All

ffff.ffff.ffff

STATIC

CPU

3

000a . b7dc.b799

DYNAMIC

GiO/2

3

0200.0101.0101

DYNAMIC

GiO/2

3

0200.1111.1111

STATIC

FaO/11

Total Mac Addresses for this criterion: 23

Este último passo destaca um fato importante sobre a tabela de endereços MAC e sobre segurança de portas. Observe que o comando show mac address-table dynamic em SW1 não apresenta o endereço MAC 0200.1111.1111 de PC1. Por isso, é possível que você tenha sido tentado pensar que SW1 distribuirá o frame por ele ser um unicast desconhecido. Entretanto, como SW1 configurou a segurança de portas em FaO/11 , incluindo o subcomando de interface switchport port-security mac-address 0200.1111.1111, o lOS considera esse endereço MAC um endereço MAC estático. Portanto, ao deixar de fora a palavra-chave dynamic, o comando show mac address-table vlan 3 apresenta todos os endereços MAC conhecidos na VLAN, incluindo 0200.1111.111. Esse resultado de comando confirma que SW1 encaminhará o unicast para 0200.1111.1111 somente saindo pela interface FaO/11.

Atividades de preparação para o exame

Revise todos os tópicos-chave Revise os tópicos mais importantes deste capítulo, indicados com o ícone Tópicos-Chave na margem externa da página. A Tabela 3-6 relaciona esses tópicos-chave e os números das páginas nas quais cada um é encontrado.

Tabela 3-6 Tópicos-chave do Capítulo 3 Número da página

Elemento do tópico-chave

Descrição

Tabela 3-2

Apresenta os dois conjuntos de códigos de status de interfaces e as causas típicas geradoras para cada estado

90

Usos típicos dos cabos Ethernet straight-through e de cross over

91

Apresenta dispositivos e os pinos nos quais eles transmitem para lOBASE-T e 1ooBASE-Tx

91

Sugestões para observar problemas de erros de combinação de duplex

93

Figura 3-4

Tabela 3-3

Lista

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• • • •

CCNA ICND2

•

Lista

Escolhas de negociação automática duplex IEEE padrão com base na velocidade atual

94

•

Lista

Recursos da segurança de portas

94

•

Tabela 3-4

Modos de violação da segurança de portas com diferenças em comportamento e comandos show

95

•• • •• Complete as tabelas e listas usando a memória • •

Tabela 3-5

Apresenta comandos show úteis para encontrar interfaces de acesso e suas VLANs designadas

97

113

•

Lista

Quatro motivos pelos quais um switch não transmite o tráfego de uma VLAN através de um determinado trunk

99

•

Lista

Apresenta os passos de resolução de problemas explicados neste capítulo (não precisam ser memorizados)

100

•

Imprima uma cópia do Apêndice J, "Tabelas de memória", ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das Tabelas de Memória", inclui tabelas e listas completadas para você conferir o seu trabalho.

•• •

•• •• •• •• •• •• •• •• •• •• •• ••

•• •• •• •• •• •• • ••

••

Tópicos publicados do exame Cisco ICND2*

••

abordados nesta parte Configurar, verificar e resolver problemas de um switch com VLANs e comunicações entre switches - Configurar, verificar e resolver problemas de roteamento entre VLANs Implementar um esquema de endereçamento IP e de serviços IP para satisfazer aos requisitos de rede em rede empresarial de porte médio

••

um"•

- Calcular e aplicar um projeto de endereçamento VLSM a uma rede

•

• •• •• •• •• •• •• •• •• ••

- Determinar o esquema de endereçamento classless adequado utilizando VLSM e sumarização para satisfaze~ aos requisitos de endereçamento em um ambiente LAN/WAN - Identificar e corrigir problemas comuns associados a endereçamento IP e configurações de hosts Configurar e resolver problemas de operação básica e roteamento em dispositivos Cisco - Verificar a configuração e a conectividade utilizando ping, traceroute, telnet ou SSH - Resolver problemas da implementação de roteamento - Verificar a operação de hardwares e softwares de roteadores utilizando os comandos SHOW e DEBUG - Implementar a segurança básica de roteadores Implementar, verificar e resolver problemas de NAT e ACLs em uma rede empresarial de porte médio - Descrever o propósito e os tipos de listas de controle de acesso (ACLs) - Configurar e aplicar listas de controle de acesso aos requisitos de filtragem de uma rede - Configurar e aplicar uma lista de controle de acesso para limitar o acesso telnet e SSH ao roteador - Verificar e monitorar ACLs em um ambiente de rede - Resolver problemas de implementação de ACLs

* Sempre verifique a página http://www.cisco.com para obter os tópicos mais recentes do exame.

•• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

Parte 11: Roteamento IP Capítulo 4 Roteamento IP: rotas estáticas e rotas diretamente conectadas Capítulo 5 VLSM e sumarização de rotas Capítulo 6 Listas de controle de acesso IP Capítulo 7 Resolvendo problemas de roteamento IP

•• •• •• •• •• •• • Este capítulo aborda os seguintes assuntos: Roteamento e endereçamento IP: esta seção revisa a relação existente entre endereçamento IP e roteamento IP acrescentando mais detalhes sobre como o roteamento funciona com a sobreposição de múltiplas rotas.

Rotas até sub-redes diretamente conectadas: esta seção examina como os roteadores acrescentam rotas no caso de sub-redes conectadas às interfaces de um roteador.

Rotas estáticas: esta seção descreve como configurar rotas estáticas incluindo rotas estáticas padrão.

•• •• •• •

••• •• •• •• •• •• •• •• •• •• •• ••

•• •• •

CAPíTULO

•: Roteamento IP: rotas estáticas e rotas

4

• diretamente conectadas

•. -----------------------------------------------------

•• •• •• •• • ••

•

Seção dos tópicos fundamentais

•

Roteamento IP e Endereçamento IP

1-2

:

Rotas até Sub-redes Diretamente Conectadas

3-4

•

Rotas Estáticas

5-8

Este capítulo inicia a Parte n, "Roteamento IP". Os quatro capítulos desta parte concentram-se em recursos que causam impacto sobre o processo de roteamento IP - também chamado encaminhamento IP - através do qual hosts e roteadores entregam pacotes do host origem ao host de destino. Esses quatro capítulos também, ocasionalmente, explicam tópicos relacionados aos protocolos de roteamento IP, em parte porque o roteamento IP, que é um recurso do plano de dados, depende muito do trabalho feito no plano de controle pelos protocolos de roteamento. Este capítulo aborda vários tópicos relacionados a rotas conectadas, que são rotas utilizadas para alcançar sub-redes anexadas à interface de um roteador. Este capítulo também explica rotas estáticas, incluindo rotas padrão (default), além de revisar os tópicos básicos dependentes do endereçamento IP e do roteamento IP.

• Questionário "Eu já conheço isto?"

• o questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Não errando mais que uma das

• •

•• •• •• •• •• •• ••

oito questões de auto-avaliação, você pode passar direto para a seção "Atividades de Preparação para o Exame". A Tabela 4-1 relaciona os principais títulos deste capítulo e as questões do questionário "Eu j á conheço isto?", abordando o material destas seções. Isso ajudará você a avaliar o seu conhecimento nestas áreas específicas. As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

Tabela 4-1 Mapeamento entre a seção dos tópicos fundamentais e as questões do "Eu já conheço isto?" Questões

1. Um usuário liga seu computador e, assim que o computador começa a funcionar, ele abre um navegador Web para visitar a página http://www.ciscopress.com. Qual (is) protocolo(s) definitivamente não seria(m) usado(s) pelo computador durante este processo?

a. DHCP b. DNS

c. ARP d.ICMP 2. Um usuário liga seu computador e, assim que o computador começa a funcionar, ele abre um prompt de comando. A partir daí, ele emite o comando ping 2.2.2.2 e o ping mostra um sucesso de 100%. O endereço IP do PC é 1.1.1.1 e a máscara 255.255.255.0. Qual das seguintes definições seria necessária no PC para dar suporte ao ping bem-sucedido? a. O endereço IP de um servidor DNS b. O endereço IP de um gateway padrão c. O endereço IP de um servidor ARP d. O endereço IP de um servidor DHCP

118 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas

• •

3. O Roteador 1 possui uma interface Fast Ethernet O/O com o endereço IP 10.1.1.1. A interface está conectada a um • switch. Essa conexão é, em seguida, migrada para utilizar o trunking 802.1 Q. Qual dos seguintes comandos poderia • fazer parte de uma configuração válida para a interface FaO/O do Roteador 1? a. interface fastethernet 0/0.4 b. dot1q enable c. dotlq enable 4 d. trunking enable e. trunking enable 4

f. encapsulation dotl q

•• •• ••

•

4. Um roteador está configurado com o comando de configuração global no ip subnet-zero. Qual dos seguintes • subcomandos de interface não seria aceito por esse roteador? • a. ip address 10.1.1.1 255.255.255.0 b. ip address 10.0.0.129255.255.255.128

c. ip address 10.1.2.2255.254.0.0 d. ip address 10.0.0.5 255.255.255.252

•• ••

5. Qual das seguintes afirmativas pode ser verdadeira antes que o lOS apresente uma rota "S" no resultado de um • comando show ip route? • a. O endereço IP deve estar configurado em uma interface. b. O roteador deve receber uma atualização de roteamento de um roteador vizinho. c. O comando ip route deve ser acrescentado à configuração. d. O comando ip address deve utilizar a palavra-chave special. e. A interface deve estar ativa e ativa (up e up). 6. Qual dos seguintes comandos configura corretamente uma rota estática? a. ip route 10.1.3.0255.255.255.010.1.130.253 b. ip route 10.1.3.0 serial O c. ip route 10.1.3.0/2410.1.130.253 d. ip route 10.1.3.0/24 serial O

•• •• ••

•• •• • •• •• •. •• •• •• •

7. Qual das seguintes alternativas é afetada pelo fato de um roteador estar executando o roteamento classful ou classless? • a. Quando utilizar uma rota padrão b. Quando utilizar máscaras em atualizações de roteamento c. Quando converter o endereço IP de destino de um pacote em um número de rede d. Quando realizar enfileiramento com base na classificação de um pacote em uma fila em particular 8. Um roteador foi configurado com o comando de configuração global ip classless. O roteador recebe um pacote destinado ao endereço IP 168.13.4.1. O texto a seguir apresenta o conteúdo da tabela de roteamento do roteador. Qual das seguintes afirmativas é verdadeira sobre como esse roteador encaminha o pacote?

Gateway of last resort is 168.13 .1.101 to network O. O. O. O 168.13.0.0/24 is subnetted, 2 subnets C 168.13.1.0 is directly connected, FastEthernetO/O R 168.13.3.0 [120/1] via 168.13.100.3, 00:00:05, SerialO.1

• •• ••

CCNA ICND2 119 a. Ele é encaminhado para 168.13.100.3. b. Ele é encaminhado para 168.13.1.101.

.• ------------------------------------------------------c. Ele é encaminhado saindo pela interface FaO/O, diretamente ao host de destino.

d. O roteador descarta o pacote .

• Tópicos fundamentais

••

•• •• •• •• •• •• •• •• •• ••

Este capítulo introduz vários conceitos simples com relação a como um roteador acrescenta rotas à sua tabela de roteamento sem utilizar um protocolo de roteamento dinâmico. De modo especial, este capítulo aborda rotas conectadas, incluindo aquelas quando o roteador utiliza o trunking de LANs. São também abordadas rotas estáticas, com alguma ênfase em como os roteadores utilizam rotas estáticas especiais chamadas rotas padrão. Entretanto, como este capítulo é o primeiro capítulo deste livro voltado ao IP, ele começa com uma breve revisão de dois tópicos relacionados: roteamento IP e endereçamento IP.

Observação A introdução deste livro descreve um plano de leitura alternativo para leitores que querem fazer o exame CCNA 640-802, que inclui a utilização simultânea do CCENT/ CCNA ICNDJ Guia Oficial de Certificação do Exame e deste livro. Se estiver usando este plano, observe que a primeira seção revisa tópicos do livro ICNDI. Se estiver seguindo aquele plano de leitura, sinta-se à vontade em passar direto para a seção ''Encaminhamento IP através da combinação com a rota mais específica".

• Roteamento e endereçamento IP O roteamento IP depende das regras de endereçamento IP, sendo um dos objetivos originais da criação do endereçamento IP a criação de um roteamento IP eficiente. O roteamento IP define como um pacote IP pode ser entregue ao host de destino a partir do bost no qual o pacote é criado. As convenções de endereçamento IP agrupam endereços em conjuntos de endereços numerados de forma consecutiva chamados sub-redes, que auxiliam o encaminhamento IP ou o processo de roteamento IP.

Observação Este livro utiliza os termos roteamento IP e encaminhamento IP como sinônimos. O termo protocolos de roteamento IP se refere aos protocolos de roteamento que os roteadores utilizam para preencher dinamicamente as tabelas de roteamento com as melhores rotas atuais. Observe que alguns textos e cursos utilizam o termo roteamento IP para se referir tanto ao processo de encaminhamento de pacotes quanto aos protocolos utilizados para aprender rotas.

:

Roteamento IP

• •

Tanto os hosts quanto os roteadores participam do processo de roteamento IP. A lista a seguir resume a lógica de um bost ao encaminhar um pacote, considerando que o host esteja em uma LAN Ethernet ou em uma LAN sem fio:

ft~ ~.

\te

•• •• •• •

1. Ao enviar um pacote, compare o endereço IP de destino do pacote com a percepção do host de recebimento em relação ao intervalo de endereços contidos na sub-rede conectada, com base no endereço IP do host e na máscara da sub-rede. a. Se o destino estiver na mesma sub-rede do host, envie o pacote diretamente ao host de destino. É necessário utilizar o ARP (Address Resoultion Protocol, ou Protocolo de Resolução de Endereços) para encontrar o endereço MAC do host de destino. b. Se o destino não estiver na mesma sub-rede do host, envie o pacote diretamente ao gateway padrão do host (roteador padrão). O ARP é necessário para encontrar o endereço MAC do gateway padrão.

120 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas Os roteadores utilizam passos gerais mostrados a seguir, observando que, com roteadores, o pacote deve primeiramente ser recebido, ao passo que o host de envio (conforme anteriormente explicado) começa com o pacote IP na memória:

..........

{ TópiCO

:"'~have

1. Para cada frame recebido, utilize o campo FCS (Frame Check Sequence, ou Seqüência de Verificação de Frames) para links de dados para se assegurar de que o frame não continha nenhum erro; se tiver ocorrido algum erro, descarte o frame (e não passe para o próximo passo). 2. Verifique o endereço de camada de enlace do destino do frame, e processe somente se forem endereçados a este roteador ou a um endereço broadcastlmulticast. 3. Descarte o antigo cabeçalho e o trailer de enlace do frame de entrada, abandonando o pacote IP. 4. Compare o endereço IP de destino do pacote com a tabela de roteamento e encontre a rota que combina com o endereço de destino. Essa rota identifica a interface de saída do roteador e possivelmente o próximo roteador. 5. Determine o endereço de enlace do destino utilizado para encaminhar pacotes ao próximo roteador ou ao host de destino (conforme instruções da tabela de roteamento). 6. Encapsule o pacote IP dentro de um novo cabeçalho e trailer de enlace, adequado à interface de saída, e encaminhe o frame saindo por aquela interface.

Considere a Figura 4-1, por exemplo, que mostra uma rede simples com dois roteadores e três hosts. Neste caso, PC1 cria um pacote para ser enviado ao endereço IP de PC3, ou seja, 172.16.3.3. A figura mostra três importantes passos do roteamento, chamados de A, B e C: a lógica de roteamento do host de PC1 que encaminha o pacote em direção a RI, a lógica de roteamento de RI que encaminha o pacote em direção a R2, e a lógica de roteamento de R2 que encaminha o pacote em direção a PC2. Primeiro, considere o Passo A da Figura 4-1. PC 1 conhece seu próprio endereço IP 172.16.1.1 e sua máscara 255.255.255 .0. (Todas as interfaces utilizam uma máscara fácil, 255.255.255.0, neste exemplo.) PC1 pode calcular o seu número de subrede (172.16.1.0/24) e intervalo de endereços (172.16.1.1-172.16.1.254). O endereço de destino 172.16.3.3 não está na sub-rede de PC1; portanto, PC1 utiliza o Passo 1B apresentado no resumo das lógicas de roteamento do host, isto é, PC1 envia o pacote, dentro de uma frame Ethernet, ao seu endereço IP 172.16.1.251 de gateway padrão.

Figura 4-1 Exemplo do processo de roteamento IP Sub-rede 172.16.1.0, 255.255.255.0

Sub-rede 172.16.3.0, 255.255.255.0

Sub-rede 172.16.2.0, 255.255.255.0 172.16.2.2

172.16.3.3

172.16.1.1 PC1

PC3 FAO/O -.--,..,.-. FAO/1 172.16.1.251

FAO/O n~'t::~......:....:FA~0::...: /1~_--1 I------'...;...;.:;.c~ 172.16.3.252 172.16.2.252

172.16.2.251

Desencapsular

=

MAC Fonte = PC1 MAC de Destino R1 FAOIO

=

-1C

-1C Tabela ARP de PCl

A

"

IP MAC: 172.16.1.251 R1-FAO/0-MAC

=

MAC Fonte R2 FA0/1 MAC de Destino PC3

MAC Fonte R1 FA0/1 MAC de Destino R2 FAO/O

=

Tabela ARP de R1

B

"

IP MAC: 172.16.2.252 R2-FAO/0-MAC \

,

"

Tabela de roteamento IP Network 172.16.3.0

d:~l'"

Out Int. Next-hop \ FA0/1 172.16.2.252 B

=

-1C

C

Tabela ARP de R2 " IP .:..:....-_ _ MAC I I 172.16.. 3.3 PC3-MAC ---'==~

Tabela de roteamento IP de R2 Subnet 172.16.3.0

=O=ut~ln=t~.~~~

FA0/1

• •• ••

•• •• •

•• •• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2 121 •

Este primeiro passo (Passo A) do PCl enviando o pacote ao seu gateway padrão também revisa alguns conceitos importantes. Como você pode ver na parte inferior da figura, PCl utiliza seu próprio endereço MAC como endereço MAC origem, mas utiliza o endereço MAC LAN de RI como endereço MAC de destino. Em conseqüência disso, qualquer switch pode entregar o frame corretamente à interface FaO/O de RI. Além disso, observe que PCl procurou e encontrou o endereço MAC de 172.16.1.251 no seu cache. Se o endereço MAC não tivesse sido encontrado, PCl teria que ter utilizado o ARP para descobrir dinamicamente o endereço MAC utilizado por 172.16.1.251 (RI) para poder enviar o frame mostrado na Figura 4-1.

• • • • • • •

•• ••

•• •• •

•• •• ••

•• •• ••

••

•• •• •• •• •• ••

A seguir, concentre-se no Passo B da Figura 4-1, que é o trabalho feito pelo roteador RI para encaminhar o pacote. Utilizando o resumo dos passos de roteamento que precedem a Figura 4-1, acontece o seguinte com RI: (Observe que a figura denota muitos dos detalhes com a letra B)

1. RI verifica o FCS e o frame não contém nenhum erro. 2. RI encontra o endereço MAC de sua própria interface FaO/O no campo do endereço MAC de destino do frame e, portanto, RI deve processar o pacote encapsulado. 3. RI descarta o antigo cabeçalho e trailer de enlace, abandonando o pacote IP (conforme mostrado logo abaixo do ícone RI na Figura 4-1). 4. (Na parte inferior central da Figura 4-1) RI compara o endereço IP de destino (172.16.3.3) com a tabela de roteamento de RI, encontrando a combinação de rota mostrada na figura, com a interface de saída FaO/l e o próximo roteador (next hop) 172.16.2.252. 5. RI precisa encontrar o endereço MAC do próximo dispositivo (o endereço MAC de R2); portanto, RI procura e acha o endereço MAC em sua tabela ARP. 6. RI encapsula o pacote IP em um novo frame Ethernet, com o endereço MAC da FaO/l de RI sendo o endereço MAC origem, e o endereço MAC da FaO/O de R2 sendo o endereço MAC de destino. RI envia o frame. Embora os passos possam parecer trabalhosos, você pode pensar em versões mais abreviadas dessa lógica em casos em que uma questão não exige esse nível de profundidade. Por exemplo, ao resolver problemas de roteamento, concentrarse no Passo 4 - a combinação do endereço IP de destino do pacote com a tabela de roteamento do roteador - é provavelmente um dos passos mais importantes. Conseqüentemente, um resumo mais sucinto do processo de roteamento pode ser: o roteador recebe um pacote, combina o endereço de destino do pacote com a tabela de roteamento e envia o pacote com base na combinação da rota. Embora essa versão abreviada ignore alguns detalhes, o trabalho pode ser agilizado ao resolver problemas ou discutir questões sobre roteamento. Para concluir o exemplo, considere os mesmos seis passos da lógica de encaminhamento do roteador, conforme aplicado ao roteador R2, apresentado com a letra C na Figura 4-1, como se segue:

1. R2 verifica o FCS e o frame não contém nenhum erro. 2. R2 encontra o endereço MAC de sua própria interface FaO/O no campo do endereço MAC de destino do frame; portanto, R2 deverá processar o pacote encapsulado. 3. R2 descarta o antigo cabeçalho e o trailer de enlace, abandonando o pacote IP (conforme mostrado logo abaixo do ícone R2 na Figura 4-1). 4. (No canto inferior direito da Figura 4-1) R2 compara o endereço IP de destino (172.16.3.3) com a tabela de roteamento de R2, encontrando a combinação de rota mostrada na figura, com a interface de saída FaO/l e nenhum próximo roteador listado. 5. Como não existe nenhum próximo roteador, R2 precisa encontrar o endereço MAC do verdadeiro host de destino (o endereço MAC de PC3). Por isso, R2 procura e acha este endereço MAC em sua tabela ARP. 6. R2 encapsula o pacote IP em um novo frame Ethernet, com o endereço MAC da FaO/l de R2 sendo o endereço MAC origem, e o endereço MAC de PC3 (de acordo com a tabela ARP) sendo o endereço MAC de destino. Finalmente, quando esse frame chega a PC3, ele vê seu próprio endereço MAC apresentado como o endereço MAC de destino e, conseqüentemente, começa a processar o frame. O mesmo processo geral também funciona com links de WAN, com alguns detalhes diferentes. Em links ponto-a-ponto, conforme mostrado na Figura 4-2, não é necessário ter uma tabela ARP. Como um link ponto-a-ponto pode ter no

• •

122 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas

máximo um outro roteador cone~tado a ele, você pode ignorar o endereçamento do enlace. Entretanto, com Frame Relay, • o processo de roteamento conSIdera OS endereços do enlace, chamados DLCI (data-link connection identifiers, ou identificadores de conexão do enlace). Os detalhes de roteamento com relação aos DLCIs da Frame Relay são abordados • mais adiante, no Capítulo 13 deste livro. •

•• •• •

Figura 4-2 Exemplo do processo de roteamento IP Sub-rede 172.16.4.0. 255.255.255.0

Sub-rede 172.16.3.0. 255.255.255.0

Sub-rede 172.16.1 .0. 255.255.255.0

172.16.3.3

172.16.1.1 PC1

PC3

FAOIO 172.16.1.251

SOIOIO

•• •

~S~0~ffi~/1i~~~F~AO~/1L---~

L -_ _ _ _

172.16.4.251

172.16.3.252

172.16.4.252

I

I

t.

Reencapsular Desencaps la u r.: Pacote IP .

,.---~~----, I

MAC fonte = PC1 MAC de destino = R1 FAOIO

I

Endereçamento IP não é Importante por ser uma topologia ponto-a-ponto

MAC fonte = R2 FAOI1 MAC de destino PC3

=

O processo de roteamento IP, tanto nos hosts quanto nos roteadores, depende da capacidade desses dispositivos de entender o endereçamento IP e prever quais endereços IP estão em cada grupo ou em cada sub-rede. A próxima seção oferece uma breve revisão dos endereços IP e da criação de sub-redes.

Endereçamento IP e criação de sub-redes As regras de endereçamento IP ajudam os processos de roteamento IP exigindo que todos os endereços IP sejam organizados em grupos formados por endereços IP numerados de forma consecutiva chamados de sub-redes. Para oferecer uma forma resumida de se referir a uma sub-rede, o endereçamento IP define o conceito de número de uma sub-rede e de máscara de uma sub-rede, que juntos identificam exatamente o intervalo de endereços em uma sub-rede. Os roteadores das Figuras 4-1 e 4-2, por exemplo, utilizavam roteadores que apresentavam o número de sub-rede 172.16.3.0 ao encaminhar o pacote destinado a PC3 (172.16.3.3). As figuras omitiram a máscara da sub-rede por falta de espaço, mas qualquer dispositivo pode olhar o número da sub-rede 172.16.3.0, com a máscara 255.255.255.0, e saber que esses dois números representam de forma resumida a seguinte sub-rede: • Número da sub-rede 172.16.3.0 • Intervalo de endereços utilizáveis na sub-rede: 172.16.3.1-172.16.3.254

•• •

•• •• •• •

.. .... •

( TÓPICO

\....c...".

• Endereço de broadcast da sub-rede (não utilizável para hosts individuais): 172.16.3.255 A lista seguinte oferece uma breve revisão de alguns dos conceitos mais importantes de endereçamento IP. Observe que este capítulo se concentra exclusivamente em endereços IP da versão 4 (IPv4), enquanto o Capítulo 17, "IP Versão 6" aborda o IPv6. •

•• •• •

.

•• ••

Endereços IP unicast são endereços IP que podem ser designados a uma interface indi vidual para envio e recebimento • de pacotes. •

• Cada endereço IP unicast reside em uma determinada rede Classe A, B ou C, chamada de rede IP classful.

•

• Se forem utilizadas sub-redes, o que é quase sempre verdade na vida real, cada endereço IP unicast também reside • em um subconjunto específico da rede classful chamado de sub-rede. • • A máscara da sub-rede, escrita na forma decimal com pontos (por exemplo, 255.255.255.0) ou na forma de notação de prefixos (por exemplo, /24), identifica a estrutura dos endereços IP unicast e permite que dispositivos e pessoas deduzam o número da sub-rede, o intervalo de endereços e o endereço de broadcast de uma sub-rede.

•• • •

• Dispositivos de uma mesma sub-rede devem utilizar a mesma máscara da sub-rede; do contrário, eles terão opiniões • diferentes sobre o intervalo de endereços da sub-rede, o que pode romper o processo de roteamento IP.

•• •• ••

•• .•'

:

•

CCNA ICND2 123 • Dispositivos de uma única VLAN devem estar na mesma e única sub-rede IP. • Dispositivos de VLANs diferentes devem estar em sub-redes IP diferentes. • Para encaminhar pacotes entre sub-redes, deve ser utilizado um dispositivo que execute roteamento. Neste livro, são mostrados apenas roteadores, mas switches multilayer (multi camadas) - switches que também executam funções de roteamento - também podem ser utilizados. • Links seriais ponto-a-ponto utilizam uma sub-rede diferente das sub-redes de LAN, mas essas sub-redes só requerem dois endereços IP, um para cada interface do roteador em qualquer extremidade do link. • Hosts separados por um roteador devem estar em sub-redes separadas.

A Figura 4-3 mostra um exemplo de inter-rede que exibe vários destes recursos. O switch SW1 automaticamente coloca todas as interfaces na VLAN 1, e, por isso, todos os hosts à esquerda (incluindo PC1) estão em uma única sub-rede. Observe que o endereço IP de gerenciamento de SW 1, também na VLAN 1, será daquela mesma sub-rede. Analogamente, SW2 automaticamente coloca todas as portas na VLAN 1, requerendo uma segunda sub-rede. O link ponto-a-ponto requer uma terceira sub-rede. A figura mostra os números, as máscaras e o intervalo de endereços da sub-rede. Observe que todos os endereços e sub-redes fazem parte da mesma e única rede classful de Classe B 172.16.0.0, e todas as subredes utilizam uma máscara igual a 255.255.255.0.

••

•• •• •• •• •• •• •• •• •• •

•• •• •• •• •• ••

Figura 4-3 Exemplo de projeto de endereçamento IP Sub-rede Intervalo

172.16.1.0 172.16.1.1172.16.1.254

Broadcast 172.16.1 .255

Sub-rede Intervalo

172.16.4.0 172.16.4.1172.16.4.254

Broadcast 172.16.4.255

Sub-rede 172.16.3.0 Intervalo

172.16.3.1172.16.3.254

Broadcast 172.16.3.255

A Figura 4-3 apresenta os números da sub-rede, os intervalos de endereços e os endereços de broadcast da sub-rede. Entretanto, cada dispositivo da figura pode encontrar as mesmas informações baseado simplesmente em seu respectivo endereço IP e na configuração da máscara de sub-rede, deduzindo o número da sub-rede, o intervalo de endereços e o endereço de broadcast para cada sub-rede anexada. Os exames CCNA exigem o domínio desses conceitos de endereçamento e de criação de sub-redes IP, mas ainda mais importante, eles exigem o domínio da matemática utilizada para analisar as redes IP existentes e criar novas redes IP. Se você ainda não dedicou tempo suficiente para dominar a criação de sub-redes, é aconselhável estudar e praticar antes de continuar a leitura do livro. Embora esta seção tenha revisado os fundamentos do endereçamento IP, ela não cobre a matemática envolvida na criação de sub-redes. Para aprender sobre a criação de sub-redes e a matemática respectiva, existem algumas opções. Para aqueles que tenham comprado a biblioteca composta por dois livros que inclui este livro e o CCENT/CCNA ICNDJ Guia Oficial de Certificação do Exame, estude o Capítulo 12 daquele livro e resolva os problemas práticos apresentados. Para estar preparado para ler o restante deste livro sem deixar que a matemática envolvida na criação de sub-redes cause qualquer dificuldade, antes de continuar a leitura, faça as atividades apresentadas na lista a seguir, com tempo suficiente. Não é necessário encontrar as respostas rapidamente neste ponto da sua preparação, mas para estar preparado para os exames, é necessário estar pronto para resolver essas atividades dentro dos limites de tempo apresentados: • Dada uma máscara decimal denotada com pontos, transforme-a em notação de prefixos, ou vice-versa. (Tempo sugerido para o exame: 5 segundos) • Dados um endereço IP e uma máscara, encontre o número da sub-rede, o intervalo de endereços e os endereços de broadcast da sub-rede. (Tempo sugerido: 15 segundos)

•• •

124 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas •

Dadas a máscara de uma sub-rede e a classe (A, B ou C) de uma rede, determine o número de sub-redes e de • hosts por sub-rede. (Tempo sugerido: 15 segundos) •

•

Dados uma classe de rede (A, B ou C) e os requisitos de projeto para um número de sub-redes e um número de hosts por sub-rede, encontre todas as máscaras que satisfazem aos requisitos e escolha a máscara que maxirniza o número de sub-redes ou o número de hosts por sub-rede. (Tempo sugerido: 30 segundos)

• Dadas a uma rede classful e uma única máscara de sub-rede para usar em todas as sub-redes, liste os números da sub-rede e identifique a sub-rede zero e a sub-rede broadcast. (Tempo sugerido: 30 segundos) Com esses detalhes sobre sub-redes em mente, a próxima seção examina como um roteador combina com a tabela de roteamento quando as sub-redes listadas na tabela se sobrepõem de fonna que o destino de um pacote combine com mais de uma rota.

Encaminhamento IP através da combinação com a rota mais específica

o processo de roteamento IP de qualquer roteador requer que o roteador compare o endereço IP de destino de cada pacote com o conteúdo existente na tabela de roteamento IP daquele roteador. Muitas vezes, somente um roteador combina com um endereço de destino específico. No entanto, em alguns casos, um endereço de destino específico combina com mais de uma rota do roteador. Alguns motivos legítimos e nonnais para a sobreposição de rotas em uma tabela de roteamento são os seguintes:

- Uso de rotas estáticas - Criação incorreta de sub-redes gerando a sobreposição de intervalos de endereços na sub-rede

o Capítulo 5, "VSLM e sumarização de rotas", explica em mais detalhe cada um desses motivos. Embora alguns casos de sobreposição de rotas sejam problemas, outros fazem parte da operação nonnal resultante de algum outro recurso. Esta seção concentra-se em como um roteador escolhe qual rota sobreposta utilizar, sendo os recursos que causam a sobreposição abordados no Capítulo 5. A frase a seguir resume a lógica de encaminhamento de um roteador com rotas sobrepostas: Quando um determinado endereço IP de destino combina com mais de uma rota na tabela de roteamento de um roteador, o roteador utiliza a rota mais específica - em outras palavras, a rota que tem o prefixo mais longo.

/;~~;~o

\~haY.

Para ver exatamente o que isso significa, a tabela de roteamento apresentada no Exemplo 4-1 mostra uma série de rotas sobrepostas. Primeiro, antes de ler qualquer texto abaixo do exemplo, tente prever qual rota seria utilizada para pacotes enviados aos seguintes endereços IP:I72.16.1.1, 172.16.1.2, 172.16.2.3 e 172.16.4.3.

Exemplo 4-1 Comando show ip route com rotas sobrepostas R1# ahow ip route rip 5 subnets, 4 masks

172 . 16.1.1/32 [120/1] via 172.16.25 . 2,

00:00 : 04,

Se rialO/1/1

R

1 7 2.16 . 1 . 0/24 [120/2] via 172.16 . 25.129 , 00:00:09, Serial O/1/0

R

172.16. 0.0/22

R

172.16.0.0/16 [120/2] via 172 . 16.25.129,

R

0.0 . 0. 0 /0 [120/3] via 172 . 16 . 25.129 , 00:00 : 09 , Serial O/ 1 /0

[120/1] via 172 . 16.25 . 2,

00:00:04, Ser ialO/1/1 00: 00: 09, SerialO/1/0

R1# ahow ip route 172.16.4.3 Routing entry for 172.16.0.0/16 Known vi a "rip', d i s tance 12 0 , metric 2 Red i s tributing via rip Las t update from 172.16 . 25.129 on SerialO/1/0. 00:00 : 19 ago Routing De s criptor Blocks:

-•

el

- Sumarização de rota manual

R

•• •• •

- I

- Uso do autosummary (sumarização automática)

172.16.0.0/16 is vari a b1y subne t ted,

•• •• ••

••

- I

- I

••

•• -I

-- II

-I •

•• •• •• •• •• •• •

•• •• •• •• e •• •• •• •• •• •• ••

•• •• • :

CCNA ICND2 125 * 172.16.25.129, f rom 172 .1 6.25 . 129, 00:00 :1 9 ago , vi a SerialO/1/0 Route metric is 2, traffic share count is 1

Embora a questão possa fornecer um diagrama da inter-rede, você só precisa realmente de duas informações para determinar qual rota será combinada: o endereço IP de destino do pacote e o conteúdo da tabela de roteamento do roteador. Examinando cada sub-rede e cada máscara na tabela de roteamento, você consegue determinar o intervalo de endereços IP em cada sub-rede. Neste caso, os intervalos defInidos por cada rota, respectivamente, são os seguintes: •

172.16.1.1 (somente este endereço)

•

172.16.1.0-172.16.1.255

•

172.16.0.0-172.16.3.255

•

172.16.0.0-172.16.255.255

•

0.0.0.0-255.255.255.255 (todos os endereços) Observação A rota apresentada como 0.0.0.0/0 é a rota padrão, que combina com todos endereços IP, e é explicada mais adiante neste capítulo.

Como pode ser visto com base nestes intervalos, vários intervalos de endereços das rotas se sobrepõem. Quando ocorre a combinação de mais de uma rota, utilize-se a rota que possui o prefixo mais longo. Por exemplo: •

172.16.1.1: Combina com todas as cinco rotas; o prefIxo mais longo é /32, a rota até 172.16.1.1132.

•

172.16.1.2: Combina com as últimas quatro rotas; o prefIxo mais longo é /24, a rota até 172.16.1.0/24.

•

172.16.2.3: Combina com as últimas três rotas; o prefIxo mais longo é /22, a rota até 172.16.0.0/22.

•

172.16.4.3: Combina com as últimas duas rotas; o prefixo mais longo é /16, a rota até 172.16.0.0/16.

Além de executar a matemática da criação de sub-redes em cada rota da tabela de roteamento, o comando sbow ip route ip-address também pode ser especialmente útil. Esse comando apresenta informações detalhadas sobre a rota que o roteador combina em relação ao endereço IP apresentado no comando. Se múltiplas rotas forem combinadas com relação ao endereço IP, esse comando apresenta a melhor rota: a rota que possui o prefIxo mais longo. Por exemplo, o Exemplo 4-1 apresenta o resultado do comando sbow ip route 172.16.4.3. A primeira linha do comando (destacada) apresenta a rota combinada: a rota até 172.16.0.0/16. O resto do resultado apresenta os detalhes daquela rota especffica. Esse comando pode ser muito útil na vida real e nas questões simuladas dos exames.

DNS, DHCP, ARP e ICMP

o processo de roteamento IP utiliza vários protocolos relacionados, incluindo o protocolo ARP já mencionado neste •

•• •• •• •• •• •• •• •

capítulo. Antes de passar para os novos tópicos deste capítulo, esta seção revisa vários protocolos relacionados. Para que um host possa enviar qualquer pacote IP, ele precisa conhecer vários parâmetros relacionados ao IP. Os hosts geralmente utilizam o DHCP (Dynamic Host Configuration Protocol, ou Protocolo de Configuração Dinâmica de Hosts) para aprender sobre esses fatos essenciais, incluindo: • O endereço IP do host • A máscara da sub-rede associada • O endereço IP do gateway padrão (roteador) • O(s) endereço(s) IP do(s) servidor(es) DNS Para conhecer essas informações, o host - um cliente DHCP - envia um broadcast que fInalmente chega ao servidor DHCP. O servidor então pode alugar um endereço IP àquele host e fornecer as outras informações da lista anterior. Neste ponto, o host tem um endereço IP que pode utilizar como endereço IP fonte, e informações suficientes para tomar a decisão simples de roteamento do host decidindo se deve enviar pacotes diretamente ao outro host (mesma sub-rede) ou ao gateway padrão (outra sub-rede). (No Microsoft Windows XP, o comando ipconfig /alI apresenta as interfaces do host com as informações apresentadas antes deste parágrafo.)

126 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas Normalmente, o usuário refere-se direta ou indiretamente ao host name de outro host, que, por sua vez, faz com que o host precise enviar um pacote ao outro host. Ao abrir um navegador Web, por exemplo, e digitar bttp://www.cisco.com como URL você identifica o host name de um servidor Web de propriedade da Cisco. Ao abrir um cliente de e-mail, como o Microsoft Outlook, indiretamente é feita uma referência a um host name. O cliente de e-mail foi provavelmente configurado para saber o host name do servidor de e-mail de entrada e de saída; por isso, embora o usuário não olhe as definições todos os dias, o software do cliente de e-mail sabe o nome dos hosts com os quais ele deve trocar mensagens. Como hosts não podem enviar pacotes a um host name de destino, a maioria deles utiliza os protocolos DNS (Doma in Name System, ou Sistema de Nome de Domínio) para resolver o nome em seu endereço IP associado. O host age como um cliente DNS, enviando mensagens ao endereço IP unicast do servidor DNS. A solicitação DNS apresenta o nome (por exemplo, www.cisco.com). com o servidor que responde com o endereço IP correspondente àquele hostname. Depois de aprendido, o host pode armazenar no cache as informações desde o nome até o endereço, precisando resolver aquele nome novamente somente após o tempo da entrada ter se esgotado. (No Windows XP, o comando ipconfig / displaydns apresenta a lista atual de nomes e endereços do host.) O ICMP (Internet Control Message Protocol, ou Protocolo de Mensagem de Controle da Internet) inclui várias funções diferentes, todas concentradas no controle e no gerenciamento de IP. O ICMP define um conjunto variado de mensagens para propósitos diferentes, incluindo as mensagens ICMP Echo Request e ICMP Echo Reply. O conhecido comando ping testa a rota até o host remoto e a rota inversa de volta ao host original, enviando mensagens Echo Request ao endereço IP de destino, e com esse host de destino respondendo a cada mensagem Echo Request com uma mensagem Echo Reply. Quando o comando ping recebe as mensagens Echo Reply, o comando sabe que a rota entre os dois hosts funciona. Todos esses protocolos trabalham juntos para ajudar o processo de roteamento IP, mas o DHCP, o DNS, o ICMP e o ARP normalmente não ocorrem para todos os pacotes. Imagine, por exemplo, que um novo computador hospedeiro se conecte a uma LAN, e o usuário digite o comando ping www.cisco.com. O DHCP poderia ser usado quando o sistema operacional inicializa, quando o PC utiliza o DHCP para aprender o seu endereço IP e outras informações, mas depois o DHCP poderia não ser usado durante dias. O PC, então, utiliza o DNS para resolver www.cisco.com em um endereço IP, mas depois o PC não precisa utilizar o DNS novamente até que seja feita referência a um novo host name. Se o host estava identificando o host name através do ping, o host local cria um pacote IP, com uma ICMP Echo Request dentro do pacote, tendo um endereço IP de destino aprendido pela solicitação DNS anterior. Finalmente, como o host acabou de surgir, ele não tem uma entrada ARP para sua porta de comunicação padrão e, por isso, o host deve utilizar o ARP para encontrar o endereço IP da porta de comunicação padrão. Somente depois disso é que o pacote pode ser enviado ao verdadeiro host de destino, conforme descrito na primeira parte deste capítulo. Para pacotes subseqüentes enviados ao mesmo host name, estes protocolos provavelmente não precisam ser utilizados novamente, e o host local pode simplesmente enviar o novo pacote. A lista a seguir resume os passos utilizados por um host, conforme a necessidade, para os protocolos mencionados nesta seção: (~:~;~o 1. Se ainda não forem conhecidos, o host utiliza o DHCP para aprender o seu endereço IP, sua máscara de sub-rede, \~h.V. os endereços IP DNS e o endereço IP do gateway padrão. Se já forem conhecidos, o host salta este passo.

2. Se o usuário fizer referência a um hostname que não esteja atualmente contido no cache de nomes do host, o host faz uma solicitação DNS para resolver o nome em seu endereço IP correspondente. Do contrário, o host salta este passo. 3. Se o usuário emitiu o comando ping, o pacote IP conterá uma ICMP Echo Request; se, do contrário, o usuário utilizou um típico aplicativo TCPIIP, ele utilizará protocolos adequados àquele aplicativo. 4. Para construir o frame Ethernet, o host utiliza a entrada feita no cache ARP para o próximo dispositivo (next hop) - o gateway padrão (ao enviar para um host em outra sub-rede) ou o verdadeiro host de destino (ao enviar para um host na mesma sub-rede). Se o cache ARP não contiver aquela entrada, o host utiliza o ARP para aprender as informações.

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• • '•.

•• • •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2 127

• Fragmentação e MTU • o TCPIIP define um comprimento máximo para um pacote IP. •

•

O termo utilizado para descrever esse comprimento máximo é MTU (maximum transmission unit, ou unidade máxima de transmissão).

o MTU varia baseado na configuração e nas características da interface. Como padrão, um computador calcula o MTU de uma interface com base no tamanho máximo da porção de dados do frame do enlace (onde o pacote é colocado). O valor padrão do MTU, por exemplo, em interfaces Ethernet é 1500. Roteadores, como qualquer host IP, não podem encaminhar um pacote saindo por uma interface se o pacote for maior que o MTU. Se o MTU da interface de um roteador for menor que um pacote que deve ser encaminhado, o roteador fragmenta o pacote em pacotes menores. Fragmentação é o processo de quebrar o pacote em pacotes menores, cada qual menor ou igual ao valor do MTU. A Figura 4-4 mostra um exemplo de fragmentação em uma rede onde o MTU do link serial foi baixado para 1000 bytes através da configuração.

Figura 4-4 Fragmentação IP Koufax

Clemens

MTU 1000

Ethernet

IP (1500)

~_.. JI.

_ _ _.L..-_ _

HDLC

IP (750)

HDLC

IP (750)

Ethernet

IP (750)

I Ethernet

IP (750)

L...

Conforme ilustra a Figura 4-4, Koufax envia um pacote de 1500 bytes em direção ao roteador LA . LA remove o cabeçalho Ethemet mas não pode enviar o pacote como está, porque ele tem 1500 bytes e o link HDLC - controle de Enlace de Alto Nível (High-Level Data Link Control) aceita um MTU de apenas 1000. Portanto, LA fragmenta o pacote original em dois pacotes, cada um com 750 bytes de comprimento. O roteador faz a matemática necessária para calcular o número mínimo de fragmentos (neste caso, dois) e quebra o pacote original em pacotes de comprimentos iguais. Por causa disso, qualquer outro roteador pelo qual o pacote possa passar tem menos probabilidade de ter de executar uma fragmentação. Depois de encaminhar os dois pacotes, Boston recebe os pacotes e os encaminha sem remontá-los novamente. A remontagem é feita pelo host da extremidade final, que, neste caso, é Clemens. O cabeçalho IP contém campos úteis para remontar os fragmentos no pacote original. O cabeçalho IP inclui um valor 10 que é o mesmo em cada pacote fragmentado, bem como o valor de deslocamento (offset) que define qual parte do pacote original está contida em cada fragmento. Pacotes fragmentados que chegam com defeito podem ser identificados como parte do mesmo pacote original e podem ser remontados na ordem correta utilizando o campo de deslocamento de cada fragmento. Dois comandos de configuração podem ser utilizados para mudar o tamanho do MTU IP em uma interface: o subcomando de interface mto e o subcomando de interface ip rnto. O comando mto define o MTU para todos os protocolos de Camada 3; este comando é preferido, a não ser que exista a necessidade de variar a definição de acordo com o protocolo de Camada 3. Se uma definição diferente for desejada para o IP, o comando ip mto define o valor utilizado para o IP. Se ambos estiverem configurados em uma interface, a definição do MTU IP tem precedência naquela interface. Entretanto, se o comando mto for configurado depois que ip mtu estiver configurado, o valor ip mto é redefinido com o mesmo valor do comando mto. Tenha cuidado ao alterar esses valores.

• •

A revisão sobre roteamento e endereçamento IP está concluída. A seguir, este capítulo examina rotas conectadas, incluindo rotas conectadas relativas ao trunking de VLANs e endereços IP secundários.

:

Rotas até sub-redes diretamente conectadas

• •

Os roteadores automaticamente acrescentam uma rota à sua tabela de roteamento para a sub-rede conectada a cada interface, considerando que os dois fatos a seguir sejam verdadeiros:

128 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas - A interface está em estado de operação - em outras palavras, o status da interface no comando show interfaces /'....... apresenta um status de linha ativo e um status de protocolo ativo (ativo e ativo - up e up). (=0

\.

- A interface possui um endereço IP designado através do subcomando de interface ip address ou utilizando serviços de cliente DHCP.

O conceito de rotas diretamente conectadas é relativamente básico. O roteador, obviamente, precisa saber o número da sub-rede utilizado na rede física conectada a cada uma de suas interfaces, mas, se a interface não estiver atualmente funcionando, o roteador precisa remover a rota da sua tabela de roteamento. O comando show ip route apresenta essas rotas com um c como código da rota, significando conectada, e o comando show ip route connected apresenta somente rotas conectadas. As seções seguintes sobre rotas conectadas concentram-se em algumas variações de configuração que afetam rotas conectadas, afetando, assim, a forma como os roteadores encaminham pacotes. O primeiro tópico diz respeito a uma ferramenta chamada endereçamento IP secundário, enquanto o segundo diz respeito à configuração de um roteador ao utilizar o trunking de VLANs .

Endereçamento IP secundário Suponha que você tenha planejado o esquema de endereçamento IP para uma rede. Mais tarde, uma determinada subrede cresce, e você já utilizou todos os endereços IP válidos naquela sub-rede. O que você deveria fazer? Existem três opções principais: - Aumentar a sub-rede existente - Migrar os hosts para utilizarem endereços em uma sub-rede diferente e maior - Utilizar endereçamento secundário

Todas as três opções são razoáveis mas todas apresentam alguns problemas. Para aumentar a sub-rede, basta alterar a máscara utilizada naquela sub-rede. Entretanto, alterar a máscara pode criar sub-redes sobrepostas. Se, por exemplo, a sub-rede 10.1.4.0/24 estiver ficando sem endereços e você fizer uma alteração na máscara 255.255.254.0 (9 bits do host, 23 bits da rede/sub-rede), a nova sub-rede incluirá endereços de 10.1.4.0 a 10.1.5.255. Se você já tiver designado a sub-rede 10.1.5.0/24, com endereços de 10.1.5.1 até 10.1.5 .254, seria criada uma sobreposição, o que não é permitido. No entanto, se os endereços 10.1.5.x não tiverem sido usados, expandir a antiga sub-rede pode ser uma opção razoável. A segunda opção é simplesmente escolher uma sub-rede nova, ainda não utilizada, mas maior. Todos os endereços IP teriam que ser alterados. Este é um processo relativamente simples se a maioria ou todos os hosts utilizarem DHCP, mas pode ser um processo trabalhoso se vários hosts utilizarem endereços IP estaticamente configurados. Observe que as duas primeiras soluções implicam uma estratégia de uso de máscaras diferentes em partes diferentes da rede. O uso dessas máscaras diferentes é chamado VLSM (variable-length subnet masking, ou mascaramento de sub-redes de comprimento variável), que introduz mais complexidade à rede, principalmente para pessoas que estão monitorando e resolvendo problemas de rede. A terceira opção é utilizar um recurso de roteadores Cisco chamado endereçamento IP secundário. O endereçamento secundário utiliza múltiplas redes ou sub-redes do mesmo enlace. Ao utilizar mais de uma subrede no mesmo meio, você aumenta o número de endereços IP disponíveis. Para fazê-lo funcionar, o roteador precisa de um endereço IP em cada sub-rede de forma que os hosts em cada sub-rede tenham um endereço IP usável para o gateway padrão na mesma sub-rede. Além disso, pacotes que precisem passar entre essas subredes devem ser enviados ao roteador. Por exemplo, a Figura 4-5 tem a sub-rede 10.1.2.0/24; considere que ela tenha todos os endereços IP designados. Considerando que a solução escolhida seja o endereçamento secundário, a sub-rede 10.1.7.0/24 também poderia ser utilizada na mesma Ethernet. O Exemplo 4-2 mostra a configuração do endereçamento IP secundário em Yosemite.

•

•• •• •• •• •• •• •• ••

•• •• • •• •• •

•• •• ••

•• •• •• •• • .'•

•• •• •• •• •• •• •• •• •• ••

•• •• •• •• •• •

•• •• •• •• •• •• •

CCNA ICND2 129 Figura 4-5 Rede TCPIIP com endereços secundários BUg5

Daffy

10.1 .1.0

---L----r---~---

10.1.128.252 10.1.129.0 51 51 10.1.129.252 10.1.129.253

Primário

Seville 10.1.3.253 10.1 .3.0

10.1.2.252,

Secundário 10.1.7.252

Emma

Sam

Elmer

Red

Exemplo 4-2 Configuração do endereçamento IP secundário e o comando show ip route em Yosemite ! Excerpt fro m ahow running-config follows . ..

Hoatname Yoaem1te ip domain-lookup ip nam&-aerver 10.1.1.100 10.1.2.100 interface ethernet O ip acidreaa 10.1.7.252 255.255.255.0 aecondary ip addreaa 10.1.2.252 255.255.255.0 interface aerial O ip addreaa 10.1.128.252 255.255.255.0 interface aerial 1 ip addreaa 10.1.129.252 255.255.255.0 Yosemite# ahow ip route connected 1 0.0.0.0/24 is s ubnetted, C

4 subnets

10.1.2.0 is direct l y connected , EthernetO

C

10 . 1.7.0 is directly connected , EthernetO

C

10.1. 1 29. O i s d irectly connected,

Seriall

C

10.1.128. O is directly connected,

SerialO

o roteador conectou rotas às sub-redes 10.1.2.0/24 e 10.1.7.0/24, e, portanto, pode encaminhar pacotes para cada subrede. Os hosts de cada sub-rede na mesma LAN podem utilizar 10.1.2.252 ou 10.1.7.252 como seus endereços IP do gateway padrão, dependendo da sub-rede na qual eles residem. A maior desvantagem do endereçamento secundário é que pacotes enviados entre hosts da LAN podem ser roteados de forma ineficaz. Quando um host, por exemplo, na sub-rede 10.1.2.0, envia um pacote a um host em 10.1.7.0, a lógica do host de envio é enviar o pacote ao seu gateway, pois o destino está em uma sub-rede diferente. Portanto, o host de envio envia o pacote ao roteador, que, em seguida, envia o pacote de volta à mesma VLAN.

• Dando suporte a rotas conectadas à sub-rede zero O lOS pode restringir o roteador de configurar um comando ip address com um endereço dentro da sub-rede zero. Subrede zero é aquela em cada rede cIassful que possui todos os Os binários na parte sub-rede da versão binária do número

130 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas da sub-rede. Em decimais, a sub-rede zero é o mesmo número da rede c1assful. Com o comando ip subnet-zero configurado, o lOS permite que a sub-rede zero se tome uma rota conectada em conseqüência de um comando ip address configurado em uma interface. Este comando já é uma definição padrão desde, pelo menos, a versão 12.0 do lOS, que era uma versão do lOS relativamente antiga quando este livro foi publicado. Portanto, para o exame, se aparecer o comando ip subnet-zero configurado, ou se a questão não especificar que o comando no ip subnet-zero esteja configurado, considere que a sub-rede zero pode estar configurada. Observação Edições mais antigas deste livro diziam que você deveria considerar que a sub-rede zero não pudesse ser utilizada, a não ser que uma questão do exame indicasse que a sub-rede zero fosse utilizada. Os atuais exames CCNA, e portanto este livro, permitem que a sub-rede zero seja utilizada a não ser que a questão do exame indique que ela não deva ser utilizada. Com o comando no ip subnet-zero configurado em um roteador, aquele roteador rejeita qualquer comando ip address que utilize uma combinação endereço/máscara para a sub-rede zero. O subcomando de interface ip address 10.0.0.1 255.255.255.0, por exemplo, indica a sub-rede zero 10.0.0.0/24; logo, o roteador rejeitaria o comando se o comando de configuração global no ip subnet-zero estivesse configurado. Observe que a mensagem de erro simplesmente diz "bad mask" ("máscara ruim") em vez de dizer que o problema foi devido à sub-rede zero. O comando no ip subnet-zero em um roteador não afeta outros roteadores e não impede que um roteador aprenda sobre a sub-rede zero através de um protocolo de roteamento. Ele simplesmente impede que o roteador configure uma interface para que ela esteja em uma sub-rede zero. Observe que nos atuais exames CCNA, você pode considerar que a sub-rede zero tem permissão de ser utilizada a não ser que a questão diga que ela não deve ser usada. Em especial, uma questão que utilize um protocolo de roteamento c1assful (conforme discutido no Capítulo 5), ou utilize o comando no ip subnet-zero, indica que as sub-redes zero e broadcast devem ser evitadas.

Configuração ISL e 802.1 Q em roteadores Conforme discutido no Capítulo 1, "LANs virtuais", o trunking de VLANs pode ser utilizado entre dois switches e entre um switch e um roteador. Ao utilizar o trunking em lugar da interface física de um roteador por VLAN, o número de interfaces necessárias do roteador pode ser reduzido. Em vez de uma única interface física no roteador para cada VLAN do switch, pode ser usada uma interface física, e o roteador continua podendo rotear pacotes entre as várias VLANs . A Figura 4-6 mostra o roteador com uma única interface Fast Ethernet e uma única conexão com um switch. Tanto o trunking ISL (Inter-Switch Link) quanto o 802.1 Q podem ser utilizados, apenas com pequenas diferenças na configuração de cada um. Para frames que contenham pacotes que o roteador usa entre as duas VLANs, o frame de entrada é marcado pelo roteador com o outro VLAN ID. O Exemplo 4-3 mostra a configuração do roteador necessário para dar suporte ao encapsulamento ISL e o encaminhamento entre essas VLANs.

..... . .. ,,-------,

Figura 4-6 Roteador encaminhando

/ ,,

,'

entre VIANs

\

VLAN1

Fred"

~

I

I \

0;00

Sub-rede IP 10.1.1.0124

,

,

,

\

",

,

. - -. . .... Wilma "

FaOIO

I I

VLAN1

I

I I •

\ I

VLAN 2 I Sub-rede IP 10.1.2.0124

Frame

Sarney I

VLAN2 1 Frame

,,

I

.;"'/~

/ ,,"

VLAN3 Sub-rede IP 10.1.3.0124

I

•• •• •

•• •• •• •• •• •• •• •• •• •• •• •

•• •

•• •• •• •• •• •• ••

•• •• ••

•• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• • I-

I.

CCNA ICND2 131 Exemplo 4-3 Configuração de roteador para o encapsulamento ISL mostrado na Figura 4-6 interface fastethernet 0/0.1 ip address 10.1.1.1 255.255.255.0 encapsu1ation is1 1

interface fastethernet 0/0.2 ip address 10.1.2.1 255.255.255.0 encapsu1ation is1 2

interface fastethernet 0/0.3 ip address 10.1.3.1 255.255.255.0 encapsu1ation is1 3

o Exemplo 4-3 mostra a configuração para três subinterfaces da interface Fast Ethemet no roteador. Uma subinterface é uma subdivisão lógica de uma interface física. O roteador designa a cada subinterface um endereço IP e designa a subinterface a uma única VLAN. Portanto, em vez de três interfaces físicas do roteador, cada uma anexada a uma subredeNLAN diferente, o roteador utiliza uma interface física do roteador com três subinterfaces lógicas, cada qual anexada a urna sub-redeNLAN diferente. O comando encapsulation numera as VLANs, que devem combinar com a configuração dos VLAN IDs no switch. Este exemplo utiliza números de subinterfaces que combinam com o VLAN ID em cada subinterface. Não é necessário que os números combinem, mas a maioria das pessoas opta por fazê-los combinar, simplesmente para tomar a configuração mais óbvia e facilitar a resolução de problemas. Em outras palavras, os VLAN IDs podem ser 1, 2 e 3, mas os números das subinterfaces podem ter sido 4, 5 e 6, pois os números das subinterfaces só são usados internamente pelo roteador. O Exemplo 4-4 mostra a mesma rede, mas desta vez com 802.1 Q em vez de ISL. O 802.1 Q IEEE tem um conceito chamado VLAN nativa, que é urna VLAN especial em cada trunk para a qual não é acrescentado nenhum cabeçalho 802.1Q às frames. Como padrão, a VLAN 1 é a VLAN nativa. O Exemplo 4-4 mostra a diferença na configuração. Exemplo 4-4 Configuração do roteador para o encapsulamento 802.1 Q mostrado na Figura 4-6 interface fastethernet 0/0 ip address 10.1.1.1 255.255.255.0

interface fastethernet 0/0.2 ip address 10.1.2.1 255.255.255.0 encapsu1ation dot1q 2

interface fastethernet 0/0.3 ip address 10.1.3.1 255.255.255.0 encapsu1ation dot1q 3

A configuração cria três VLANs na interface FaO/O do roteador. Duas das VLANs, as VLANs 2 e 3, são configuradas exatamente como no Exemplo 4-3, exceto pelo fato de que o comando encapsulation apresenta 802.1Q como sendo o tipo de encapsulamento. A VLAN natIva, neste caso, a VLAN 1, pode ser configurada com dois estilos de configuração. O Exemplo 4-4 mostra um estilo no qual o endereço IP da VLAN nativa é configurado na interface física. Em conseqüência disso, o roteador não utiliza os cabeçalhos de trunking da VLAN nesta VLAN, como é o caso da VLAN nativa. A alternativa é configurar o endereço IP da VLAN nativa em outra subinterface e utilizar o subcomando de interface encapsulation dotlq 1 native. Esse comando diz ao roteador que a subinterface está associada à VLAN 1, mas a palavra-chave native diz ao roteador para não utilizar nenhum cabeçalho 802.1Q com aquela subinterface. Roteadores não realizam negociação dinâmica de trunking. Portanto, o switch conectado à interface de um roteador deve configurar o trunking manualmente, conforme abordado no Capítulo 1. Por exemplo, um switch na outra extremidade da interface FaO/O do roteador configuraria o subcomando de interface switchport mode trunk (para ativar o trunking manualmente), e, se o switch for capaz de utilizar qualquer um tipo de trunking, configuraria o subcomando de interface switchport trunk encapsulation dotlq para configurar estaticamente uso de 802.1Q.

132 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas

Rotas estáticas Roteadores utilizam três métodos principais para acrescentar rotas às suas tabelas de roteamento: rotas conectadas, rotas estáticas e protocolos de roteamento dinâmico. Roteadores sempre acrescentam rotas conectadas quando as interfaces têm os endereços IP configurados e as interfaces estão ativas e em perfeito funcionamento. Na maioria das redes, os engenheiros utilizam propositalmente protocolos de roteamento dinâmico para fazer com que cada roteador aprenda o resto das rotas da rede. O uso de rotas estáticas - rotas acrescentadas a uma tabela de roteamento através de configuração manual - é o menos comum das três opções.

O roteamento estático consiste em comandos de configuração global ip route individuais que definem uma rota até um roteador. O comando de configuração inclui uma referência à sub-rede - o número e a máscara da sub-rede - junto com instruções sobre onde encaminhar pacotes destinados àquela sub-rede. Para verificar a necessidade das rotas estáticas, e para verificar a configuração, observe o Exemplo 4-5, que mostra dois comandos ping testando a conectividade IP das cidades de Albuquerque a Yosemite (veja Figura 4-7).

Figura 4-7 Modelo de rede utilizado em exemplos de configuração de rotas estáticas Bugs

Daffy

10.1.1.0

_ _- L_ _ _ _, -_ _- L_ __ _

10.1.130.253

sO 10.1.129.0

Yosemite 10.1.2.252

s1

10.1.129.253

Seville 10.1.3.253 10.1.3.0

10.1.2.0

Sam

Emma

Elmer

Red

Exemplo 4-5 Comandos EXEC do roteador de Albuquerque apenas com roteadores conectados Albuquer que# 8how ip route Codes:

c -

connected, 5 - static, I - IGRP, R - RI P , M - mobile, B - BGP

D - EIGRP, EX - EIGRP exte rna I , O - 05 PF, IA - 05PF inter area N1 - 05PF N55A externa1 type 1, N2 - 05PF N55A externaI type 2 E1 - 05PF externaI type 1, E2 - 05PF externaI type 2, E - EGP i - 15-15, L1 - 15 -15 level-1, L2 - 15-15 level-2, ia - 15-15 inter area

* - candidate d efau lt, U - per-user static route , o - ODR P - periodic d ownl oaded static route Gateway of last re s ort is not set 10.0.0.0 / 24 is subnetted, 3 subnets C

10 . 1.1.0 is d i r ectly connec ted, EthernetO

C

10.1.130.0 is directly connected, 5erial1

C

10.1.128.0 is dire ctly connected , 5erialO

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• ••

•• •• ••

CCNA ICND2 133 Albuquerque#ping 10.1.128.252 Type escape sequence to abort o Sending 5, 100-byte ICMP Echos to 10.1.128 . 252, t i meo u t i s 2 seconds: ! ! !! !

Success rate is 100 percent (5 / 5) , round-trip min / avg / max = 4/4 / 8 ms Albuquerque#ping 10.1.2.252 Type escape sequence to aborto Sending 5, 100-byte ICMP Echos to 10.1.2 . 252,

timeout is 2 seconds:

Success rate is O percent (0 / 5)

o final do exemplo mostra dois comandos ping diferentes no roteador de Albuquerque, um até 10.1.128.252 (endereço SO IP deYosemite) e um até 10.1.2.252 (endereço LAN IP de Yosemite). O comando ping lOS envia cinco pacotes ICMP Echo Request automaticamente, com o resultado do comando apresentando um ponto de exclamação (!) para indicar que uma Echo Reply foi recebida, e um ponto final (.) para indicar que nenhuma resposta foi recebida. No exemplo, a primeira instância, ping 10.1.128.252, mostra cinco respostas (100%), e a segunda instância, ping 10.1.2.252, mostra que não foi recebida nenhuma resposta (0%). O primeiro comando ping funciona porque Albuquerque tem uma rota até a sub-rede na qual 10.1.128.2 reside (a sub-rede 10.1.128.0/24). No entanto, o ping até 10.1.2.252 não funciona porque Albuquerque não tem uma rota que combine com o endereço 10.1.2.25. Neste ponto, Albuquerque só possui rotas para as suas três sub-redes diretamente conectadas. Portanto, o comando ping 10.1.2.252 de Albuquerque cria os pacotes, mas Albuquerque descarta os pacotes porque não existe nenhuma rota.

Configurando rotas estáticas Uma solução simples para a falha do comando ping 10.1.2.252 é ativar um protocolo de roteamento IP em todos os três roteadores. Na verdade, em uma rede real, esta é a solução mais provável. Como altemativa, você pode configurar rotas estáticas. Muitas redes possuem algumas rotas estáticas, portanto você precisa configurá-las ocasionalmente. O Exemplo 4-6 mostra o comando ip route em Albuquerque, que acrescenta rotas estáticas e faz funcionar o ping que falhou no Exemplo 4-5. Exemplo 4-6 Rotas estáticas acrescentadas a Albuquerque ip route 10.1.2.0 255.255.255.0 10.1.128.252 ip route 10.1.3.0 255.255.255.0 10.1.130.253

O comando ip route define a rota estática através da definição do número da sub-rede e do IP do roteador de próximo salto (next hop). Um comando ip route define uma rota até 10.1.2.0 (máscara 255.255.255.0), que está localizada saindo de Yosemite; portanto o próximo endereço IP conforme configurado em Albuquerque é 10.1.128.25, que é o endereço SerialO IP de Yosemite. Analogamente, uma rota até 10.1.3.0, a sub-rede saindo de Seville, aponta para o endereço SerialO IP de Seville, 10.1.130.5. Observe que o próximo endereço IP é um endereço IP em uma sub-rede diretamente conectada; o objetivo é definir o próximo roteador para o qual enviar o pacote. Agora, Albuquerque pode enviar pacotes para essas duas sub-redes. O comando ip route possui dois formatos básicos. O comando pode se referir a um próximo endereço IP, conforme mostrado no Exemplo 4-6. Por outro lado, para rotas estáticas que utilizam links seriais ponto-a-ponto, o comando pode apresentar a interface de saída em vez do próximo endereço IP. O Exemplo 4-6 poderia utilizar o comando de configuração global ip route 10.1.2.0 255.255.255.0 serialO em vez do primeiro comando ip route. Infelizmente, acrescentar as duas rotas básicas do Exemplo 4-6 a Albuquerque não resolve todos os problemas de roteamento da rede. As rotas estáticas ajudam Albuquerque a entregar pacotes a essas duas sub-redes, mas os outros dois roteadores não possuem informações suficientes de roteamento para encaminhar pacotes de volta a Albuquerque. Por exemplo, o PC Bugs não consegue identificar o PC Sam nesta rede, mesmo depois da adição dos comandos no Exemplo 4-6. O problema é que, embora Albuquerque possua uma rota até a sub-rede 10.1.2.0, onde Sam reside, Yosemite não possui uma rota até 10.1.1.0, onde Bugs reside. O pacote ping de solicitação vai de Bugs a Sam corretamente, mas o pacote ping de resposta de Sam não pode ser roteado pelo roteador de Yosemite de volta a Bugs, passando por Albuquerque; portanto, o ping falha.

134 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas

Comando ping estendido Na vida real, é possível que você não encontre um usuário, como Bugs, a quem você possa pedir para testar sua rede utilizando pingo Em vez disso, você pode utilizar o comando ping estendido em um roteador para testar o roteamento da mesma forma que um ping de Bugs para Sam faz. O Exemplo 4-7 mostra Albuquerque com o comando de trabalho ping 10.1.2.252 em operação, mas com um comando ping 10.1.2.252 estendido que funciona de forma semelhante a um ping de Bugs para Sam - um ping que falha neste caso (somente as duas rotas estáticas do Exemplo 4-6 foram acrescentadas neste ponto). Exemplo 4-7 Albuquerque: ping em operação após acrescentar rotas padrão e falha ocorrida no comando ping estendido Albuquerque# show ip route

c -

Codes:

connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP externaI, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA externaI type 1, N2 - OSPF NSSA externaI type 2 E1 - OSPF externaI type 1, E2 - OSPF externaI type 2, E - EGP i

- IS-IS, L1 - IS-IS level - 1, L2 - IS-IS level-2 , ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway o f las t res o rt is not set 10.0.0.0 / 24 i s subn etted,

5 subnets

S

10.1.3.0 [l/O] via 10.1.130.253

S

10.1.2.0 [l/O] via 10.1.128.252

C

10.1.1. O is directly connec t ed, EthernetO

C

10.1.130 . O is directly connected,

Seriall

C

10.1.128. O is directly connected,

SerialO

Albuquerque#ping 10.1.2.252 Type escape sequence to abo rt o Sending 5 , 10 0-byte ICMP Echos to 10 . 1.2 .2 52,

timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 4/4/8 rns Albuquerque#ping Protocol

[ip]:

Target I P address : 10.1. 2. 2 52 Repeat count [5]: Datagram size [100] : Timeout in seconds [2]: Extended cornrnands [n]: y Source address or interface : 10.1.1.251 Type of service [O]: Set DF bit in IP header? [no]: Validate reply data? [no]: Data pattern [OxABCD]: Loose,

Strict, Record,

Timestamp, Verbose[none ]:

Sweep range of sizes [n] : Type escape sequence to aborto Sending 5, 100-byte ICMP Echos to 10.1.2 .2 52, timeout is 2 seconds:

Success rate is O percent (0/5)

• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• •••• ... •• •• •• •• (.

'

CCNA ICND2 135

o simples comando ping 10.1.2.252 funciona por uma razão óbvia e outra não tão óbvia assim. Primeiro, Albuquerque pode encaminhar um pacote para a sub-rede 10.1.2.0 por causa da rota estática. O pacote de retomo, enviado por Yosemite, é enviado para o endereço 10.1.128.251, o endereço SerialO IP de Albuquerque, e Yosemite possui uma rota conectada para chegar à sub-rede 10.2.128.0. Mas por que Yosemite envia a Beho Reply ao endereço 10.1.128.251 SO IP de Albuquerque? Bem, os pontos apresentados a seguir são verdadeiros em relação ao comando ping em roteadores Cisco:

Ico

•• •

- O comando ping Cisco utiliza, como padrão, o endereço IP da interface de saída como o endereço fonte do pacote, a não ser que seja especificado de outra forma no ping estendido. O primeiro ping, no Exemplo 4-7, usa uma fonte 10.1.128.251, porque a rota utilizada para enviar o pacote até 10.1.2.252 envia pacotes saindo pela interface SerialO de Albuquerque, cujo endereço IP é 10.1.128.251. - Os pacotes de resposta do ping (lCMP Echo Replies) invertem os endereços IP utilizados na solicitação ping recebida à qual eles estão respondendo. Portanto, neste exemplo, o Echo Reply de Yosemite, em resposta ao primeiro ping do Exemplo 4-7, usa 10.1.128.251 como endereço de destino e 10.1.2.252 como endereço IP fonte.

Como o comando ping 10.1.2.252 em Albuquerque utiliza 10.1.128.251 como endereço fonte do pacote, Yosemite pode enviar uma resposta de volta a 10.1.128.251, pois Yosemite possui uma rota (conectada) até 10.1.128.0. O perigo ao resolver problemas com o comando ping padrão é que podem continuar existindo problemas no roteamento, mas o comando ping 10.1.2.252, que funcionou, lhe dá uma falsa impressão de segurança. Uma alternativa mais abrangente é utilizar o comando ping estendido para agir como se você tivesse emitido um ping a partir de um computador daquela subrede, sem ter de chamar o usuário e pedir-lhe que entre com um comando ping para você no Pc. A versão estendida do comando ping pode ser usada para refinar a causa por trás do problema alterando vários detalhes do que o comando ping envia em sua solicitação. Na verdade, quando o ping de um roteador funciona, mas o ping de um host não funciona, o ping estendido pode ajudá-lo a recriar o problema sem necessidade de trabalhar com o usuário final ao telefone.

•• •• •• •• •• Rotas estáticas padrão •• •• •• •• ••

No Exemplo 4-7, o comando ping em Albuquerque envia um pacote a partir do endereço IP fonte 10.1.1.251 (a Ethernet de Albuquerque) para 10.1.2.252 (a Ethernet de Yosemite). De acordo com o resultado, Albuquerque não recebeu uma resposta. Normalmente, o comando ping seria tirado do endereço IP da interface de saída. Com o uso da opção de endereços fonte do ping estendido, o endereço fonte do pacote echo é definido como endereço IP Ethernet de Albuquerque, 10.1.1.251. Como a mensagem ICMP echo gerada pelo ping estendido é tirada de um endereço da sub-rede 10.1.1.0, o pacote se parece mais com um pacote de um usuário final daquela sub-rede. Yosernite constrói um Beho Reply, com destino 10.1.1.251, mas não possui uma rota até aquela sub-rede. Logo, Yosemite não pode enviar o pacote de respostas ping de volta a Albuquerque.

Para resolver este problema, todos os roteadores podem ser configurados para utilizar um protocolo de roteamento. Outra alternativa é simplesmente definir rotas estáticas em todos os roteadores da rede.

Uma rota padrão (default route) é uma rota especial que combina com todos os destinos dos pacotes. Rotas padrão podem ser especialmente úteis quando existe somente um caminho físico de uma parte da rede a outra, e em casos nos quais um roteador empresarial fornece conectividade à Internet para aquela empresa. Na Figura 4-8, por exemplo, RI, R2 e R3 estão conectados ao resto da rede através somente da interface LAN de RI. Todos três roteadores podem enviar pacotes ao resto da rede desde que os pacotes cheguem a RI, que, por sua vez, encaminha pacotes ao roteador Dist1.

Figura 4-8 Modelo de rede utilizando uma rota padrão

•• •• •

-------

Vl.AN1 Fr.:d' , Sub·redelP 10.1.1 .0/24

,, . . - . -. . Wilma ' \ \

\

I Vl.AN 2 ) Sub· rede IP 10.1 .2.0/24

Sarney I I I / / /

- /

// Vl.AN 3 Sub-rede IP 10.1.3.0/24

136 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas As seções a seguir mostram duas opções para configurar rotas estáticas padrão: uma utilizando o comando ip route e outra utilizando o comando ip default-network.

Rotas padrão utilizando o comando ip route Ao configurar uma rota padrão em RI , sendo a próxima parada o roteador Distl, e ao fazer com que RI anuncie o padrão para R2 e R3, pode-se obter um roteamento padrão. Ao utilizar uma rota padrão, RI , R2 e R3 não deverão precisar de rotas específicas até as sub-redes à direita do roteador Dist1. O Exemplo 4-8 começa examinando este esquema mostrando a definição de uma rota estática padrão em RI e as informações resultantes na tabela de roteamento IP de R I. Exemplo 4-8 Configuração da rota estática padrão de Ri e tabela de roteamento R1(config) #ip route 0.0.0.0 0.0.0.0 168.13.1.101 R1# show ip route Codes :

C

-

connected, S

D

-

EIGRP , EX

-

-

static, I

-

IGRP , R - RIP, M - mobile, B

EIGRP exter nal, O

N1

-

OSPF NSSA externa l type 1, N2

E1

-

OSPF extern al type 1 , E2

-

-

-

OS PF, IA

-

-

-

BGP

OSPF i nter area

OSPF NSSA ext ernal type 2

OS PF external type 2, E

i

-

IS-IS, L1

*

-

candidate defau lt, U - per-user static route, o

P

-

periodic downloaded static rou te

IS-IS level-1, L2

-

IS - IS level-2, ia

-

-

-

EGP

IS-IS inter area

ODR

Gateway o f last resort is 168 . 13.1 . 101 to network 0 . 0.0.0 168 . 13 . 0.0/24 is s ubnetted,

4 subnets

C

16 8 .13.1.0 is directly connected, FastEthernetO / O

R

168.13.3.0 [120/1 1 via 168.13.100.3,

00:00:05 , SerialO.1

R

168.13.2.0 [120 / 11 via 168.13.100.2,

00:00 : 21 , SerialO . 1

C

168.13 . 100 . 0 is directly connected, SerialO.1

S * 0 .0.0.0 / 0 [1 / 01 via 16 8 .13.1.101

RI define a rota padrão através de um comando ip route estático, cujo destino é 0.0.0.0, cuja máscara é 0.0.0.0. Em conseqüência disso, o comando show ip route de RI apresenta uma rota estática até 0.0.0.0, uma máscara 0.0.0.0, sendo a próxima parada 168.13.1.10 1 - em essência, a mesma informação no comando de configuração global ip route 0.0.0.0 0.0.0.0 168.13.1.101. Um destino 0.0.0.0, com máscara 0.0.0.0, representa todos os destinos por convenção. Apenas com essa configuração, RI possui uma rota estática que combina com todos os destinos de pacotes IP. Observe também, no Exemplo 4-8, que o resultado do comando show ip route de RI apresenta uma "gateway de último recurso" como 168.13.1.101. Quando o roteador sabe sobre pelo menos uma rota padrão, ele marca a rota com um asterisco na tabela de roteamento. Se um roteador fica sabendo sobre múltiplas rotas padrão - através de configuração estática ou a partir dos protocolos de roteamento - ele marca cada rota padrão com um asterisco na tabela de roteamento. Em seguida, o roteador escolhe a melhor rota padrão, marcando aquela escolha como a gateway de último recurso. (A distância administrativa da fonte de informações de roteamento, conforme definida pela definição de distância administrativa, tem impacto sobre essa escolha. O assunto distância administrativa é abordado no Capítulo 8, "Teoria do protocolo de roteamento", na seção "Distância administrativa".) Embora a configuração do RIP (Routing Information Protocol, ou Protocolo de Informações de Roteamento) não seja mostrada, RI também anuncia essa rota padrão para R2 e R3, conforme mostrado no resultado do comando show ip route em R3 no Exemplo 4-9. Exemplo 4-9 R3: Nuances do uso bem sucedido da rota estática em Ri R3# show ip route Codes : C - connected, S - static, I - IGRP , R - RIP , M - mob ile, B - BGP D - EIGRP , EX - EIGRP ext ernal, O - OSPF, I A - OSPF in ter a r ea N1 - OSPF NSSA external type 1 , N2 - OS PF NSSA external type 2 E1 - OSPF external t ype 1 , E2 - OSPF external

type 2, E - EGP

• •• •

•• •• •• •• •• •• ••

•• •• •• •• •• •• •• •• •• •

•• •• •• •

•• •• •• •• •• •• •• •• •

•• •• •• ••

•• •• •• •• •• •• •• • •• •• •

CCNA ICND2 137 i - IS-IS, L1 - IS-IS level - 1, L2 - IS - IS level - 2, ia - IS-IS inter area - candidate default , U - per - user stat i c route, o - ODR P - periodic downloaded static route Gateway o f last resort is 168.13 .10 0 . 1 t o network 0 .0. 0 .0 168.13.0.0/24 is subnetted,

4 subnets

R

168.13.1.0 [120 / 1] via 168.13 . 100 . 1,

00 : 00:13, SerialO.1

C

168 . 13.3.0 is directly connected, EthernetO

R

168 . 13.2.0 [120 / 1] via 168.13 . 100 . 2,

C

16 8 .1 3 .1 00.0 is d i rectly c onnected,

00:00:06,

SerialO.1

Seri al O.1

Protocolos de roteamento diferentes anunciam rotas padrão de maneiras diferentes. Como exemplo, quando R3 fica sabendo sobre uma rota padrão de RI utilizando RIP , R3listao destino da rota padrão (0.0.0.0) e o próximo roteador, que, neste caso, éR1 (168.13.100.1), conforme destacado no Exemplo 4-9. Portanto, quando R3 precisa utilizar sua rota padrão, ele encaminha pacotes até RI (168.13.100.1).

Rotas padrão utilizando o comando ip default-network Outro estilo de configuração da rota padrão utiliza o comando ip default-network. Esse comando apresenta uma rede IP c1assful como sendo seu parâmetro, dizendo ao roteador para utilizar os detalhes de roteamento da rota relativos àquela rede c1assful como sendo os detalhes de encaminhamento de uma rota padrão. Esse comando é mais útil quando o engenheiro deseja utilizar a rota padrão para alcançar redes além das redes utilizadas dentro daquela empresa. Na Figura 4-8, por exemplo, suponha que todas as sub-redes da rede Classe B 168.13.0.0 da empresa sejam conhecidas; elas só existem próximas dos roteadores RI , R2 e R3; e essas rotas estão todas nas tabelas de roteamento de RI , R2 e R3. Além disso, nenhuma das sub-redes de 168.1.0.0 está à direita do Roteador Dist1. Se o engenheiro desejar utilizar uma rota padrão para encaminhar pacotes a destinos à direita de Dist1 , o comando ip default-network funcionará bem. Para utilizar o comando ip default-network para configurar uma rota padrão, o engenheiro conta com seu conhecimento de que Dist1 já está anunciando uma rota para a rede c1assful 10.0.0.0 até RI. A rota de RI até a rede 10.0.0.0 aponta para o endereço 168.13.1.10 1 de Distl como o próximo endereço de parada. Sabendo disso, o engenheiro pode configurar o comando ip default-network 10.0.0.0 em RI , que diz a RI para construir sua rota padrão com base na rota que ele aprendeu para a rede 10.0.0.0/8. O Exemplo 4-10 mostra vários detalhes sobre esse cenário em RI.

Exemplo 4-10 Uso do comando ip default-network de Ri R1# configure terminal R1(config)f ip defau1t-network 10.0.0.0 R1 (config) #exit R1# show ip route Codes:C - connected , S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP externai, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA externai type 1, N2 - OSPF NSSA externai type 2 E1 - OSPF externai type 1, E2 - OSPF externai type 2, E - EGP i

- 18-18, LI - 18-18 leveI-I,

L2 - 18-18 level-2,

ia - 18-18 inter area

- candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway o f last re s ort

i s 168.13 . 1. 1 01 to networ k 10.0.0.0

168.13.0.0 / 24 is subnetted, 5 subnets R

168.13.200.0 [120 / 1] via 168.13.1.101,

C

168 . 13.1.0 is directly connected, FastEthernetO / O

00:00:12, FastEthernetO / O

R

168.13 . 3 . 0 [120 / 1] via 168.13.100.3 , 00:00:00,

R

168 . 13.2.0 [120 / 1] via 168 . 13.100.2 , 00:00:00, SerialO . 1

SerialO.1

C

168.13.100.0 is directly connected, SerialO.1 -

R* 1 0 . 0.0.0/8

[120/ 1] via 168.13.1. 1 01 , 00 : 00: 1 2, Fas t EthernetO/O

138 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas RI mostra o resultado de se ter normalmente aprendido uma rota até a rede 10.0.0.0 através do RIP e os resultados adicionais do comando global ip default-network 10.0.0.0. A rota RIP de RI para 10.0.0.0/8 apresenta o próximo endereço IP 168.13.1.101, o endereço IP de Distl em sua LAN comum, como normal. Por causa do comando ip default-network 10.0.0.0, RI decide utilizar os detalhes da rota até a rede 10.0.0.0 como sua rota padrão. A última parte da linha sobre o gateway de último recurso apresenta a rede padrão, 10.0.0.0. Além disso, RI mostra um asterisco ao lado da rota referida no comando ip default-network.

Resumo sobre rotas padrão Lembrar-se dos detalhes de configuração de rotas padrão, e em particular os detalhes finais no resultado do comando show ip route, pode ser um desafio. No entanto, tente lembrar-se destes pontos essenciais referentes a rotas padrão: - Rotas estáticas padrão podem ser configuradas estaticamente utilizando o comando ip route 0.0.0.0 0.0.0.0 nexthopaddress ou ip default-network net-number.

/;~~;~o '. Chave

....

- Quando um roteador só combina com um pacote usando a rota padrão, ele utiliza os detalhes de encaminhamento apresentados na linha o gateway de último recurso.

Independentemente de como a rota padrão apareça - seja ela um gateway de último recurso, uma rota até 0.0.0.0, ou uma rota a alguma outra rede com um * do lado na tabela de roteamento - ela é utilizada de acordo com as regras de roteamento classless e classful, conforme explicado na próxima seção.

Roteamento classful e classless Os roteadores Cisco possuem duas opções configuráveis sobre como um roteador utiliza uma rota padrão existente: roteamento classless e roteamento classful. O roteamento classless faz com que o roteador utilize suas rotas padrão para qualquer pacote que não combine com outra rota. O roteamento classful apresenta uma restrição sobre quando o roteador pode utilizar sua rota padrão, resultando em casos em que o roteador possui uma rota padrão mas opta por descartar o pacote em vez de encaminhá-lo com base na rota padrão. Os termos classless e classful também caracterizam o endereçamento IP e o roteamento IP; portanto, existe bastante confusão com relação ao significado dos termos. Antes de explicar os detalhes do roteamento classful e do roteamento classless, a próxima seção resume o outro uso desses termos.

Resumo do uso dos termos classless e classful Os termos endereçamento classless e endereçamento classful se referem a duas maneiras diferentes de analisar os endereços IP. Ambos os termos se referem a uma perspectiva sobre a estrutura de um endereço IP de sub-rede. O endereçamento classless utiliza uma visão dos endereços IP dividida em duas partes, e o endereçamento classful utiliza uma visão composta por três partes. Com o endereçamento classful, o endereço sempre tem um campo de rede de 8, 16 ou 24 bits, baseado nas regras de endereçamento das Classes A, B e C. O final do endereço tem uma parte referente ao host que identifica exclusivamente cada host dentro de uma sub-rede. Os bits intermediários à rede e a parte referente ao host compõem a terceira parte, ou seja, a parte de do endereço referente à sub-rede. Com o endereçamento classless, as partes referentes à rede e à sub-rede da visão classful são combinadas em uma única parte, muitas vezes chamada de sub-rede ou prefixo, com o endereço terminando na parte referente ao host. Os termos protocolo de roteamento classless e protocolo de roteamento classful se referem aos recursos de diferentes protocolos de roteamento IP. Esses recursos não podem ser ativados nem desativados; um protocolo de roteamento é, naturalmente, classless ou classful. De modo especial, os protocolos de roteamento classless anunciam informações sobre a máscara de cada sub-rede, dando aos protocolos classless a capacidade de aceitar VLSM e sumarização de rotas. Os protocolos de roteamento classful não anunciam informações sobre máscara, e, portanto, não aceitam VLSM nem sumarização de rotas. O terceiro uso dos termos classless e classful - os termos roteamento classful e roteamento classless - tem a ver com a forma em que o processo de roteamento IP faz uso da rota padrão. É interessante notar que este é o único dos três usos dos termos que pode ser alterado com base na configuração do roteador. A Tabela 4-2 apresenta os três usos dos termos classless e classful, com uma breve explicação. Logo após a tabela, é dada uma explicação mais completa sobre roteamento classless e classful. O Capítulo 5 dá mais informações sobre os termos protocolo de roteamento classless e protocolo de roteamento classful.

•• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••• •• •• ••

• • •

Tabela 4-2 Comparando o uso dos termos classless e classful

•

Quando aplicado a

Classful

Classless

•

• •• •• •

Endereços

Os endereços possuem três partes: rede, sub-rede e host.

Os endereços possuem duas partes: sub-rede ou prefixo e host

•

Protocolos de roteamento

O protocolo de roteamento não anuncia máscaras nem aceita VLSM, RIP-l e IGRP

O protocolo de roteamento anuncia máscaras e aceita VLSM, RIP-2, EIGRP e OSPF

•

Roteamento (Encaminhamento)

O processo de encaminhamento IP é restrito com relação à forma em que ele utiliza a rota padrão

O processo de encaminhamento IP não tem restrições quanto ao uso da rota padrão

•

Comparação entre roteamento classless e classful

CCNA ICND2 139 .......... [ TópiCO

'.....C""".

• o roteamento IP classless funciona exatamente como a maioria das pessoas pensa que o roteamento IP funcionaria •

-. •• •

te ;.

quando um roteador conhece uma rota padrão. Em comparação com o roteamento classful, os principais conceitos do roteamento classless são simples. O roteamento classful restringe o uso da rota padrão. As duas explicações a seguir dão uma descrição geral de cada um, com um exemplo logo após as definições:

..

lco ve

•• ••

•• •• • •• •• •• • •

•• ••

•

Roteamento classless: quando o destino de um pacote só combina com a rota padrão de um roteador, e não •

combina com nenhum outro roteador, encaminhe o pacote utilizando a rota padrão.

• Roteamento classful : quando o destino de um pacote só combina com a rota padrão de um roteador, e não combina com nenhum outro roteador, use a rota padrão somente se este roteador não conhecer nenhuma rota da rede classful na qual o endereço IP de destino resida. O uso do termo classful se refere ao fato de que a lógica inclui algumas considerações sobre as regras de endereçamento IP classful, ou seja, a rede classful (Classe A, B ou C) do endereço de destino do pacote. Para que este conceito faça sentido, o Exemplo 4-11 mostra um roteador com uma rota padrão; porém, o roteamento classful permite o uso da rota padrão em um caso, mas não no outro. O exemplo utiliza os mesmos exemplos de rotas padrão apresentados anteriormente neste capítulo, com base na Figura 4-8. R3 e RI possuem uma rota padrão que poderia encaminhar pacotes ao Roteador Distl. Entretanto, conforme visto no Exemplo 4-11 , em R3, o ping 10.1.1.1 funciona mas o ping 168.13.200.1 falha.

Este exemplo utiliza a rota padrão em R1, conforme definido com o comando ip Observação route e conforme explicado nos Exemplos 4-8 e 4-9, mas ele teria funcionado da mesma forma independentemente de como a rota padrão foi aprendida. Exemplo 4-11 O roteamento classful fa z com que um ping em R3 falhe R3# s how i p r oute Codes :C - connected, S - static, I - IGRP, R - RI P , M - mobile, B - BGP D - EIGRP, EX - EIGRP externaI, O - OSPF,

IA - OSPF inter a rea

N1 - OSPF NSSA externa I type 1 , N2 - OSPF NSSA externaI type 2 E1 - OSPF externaI type 1, E2 - OSPF externaI type 2, E - EGP i - I S-IS , L1 - I S-IS level-1, L2 - IS-IS level-2,

i a - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR P - p eriodic d ownloaded static rou te Gateway of last resort is 168.13 . 100.1 to network 0 . 0.0 . 0 1 68.13.0.0/24 is subnetted , 4 subnets R

168.13.1.0 [120/1] via 168.13.100.1,

c

168.13.3.0 is directly connected , EthernetO

00:00:13, Serial0 . 1

R

168.13.2.0 [120/1] via 168.13.100.2,

00 : 00:06, Serial0.1

140 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas C

1 68 . 13. 100.0 is di rectly connected , SerialO . 1

R3 #ping 10.1.1.1 Type escape sequence t o aborto Sending 5, 100-byte ICMP Echos to 10.1 . 1.1 , timeout is 2 seconds: ! !! ! !

Success rate is 100 percent (5/5) , round- trip IDÍn / avg/max = 84 / 89/114 ms R3# R3#ping 168.13.200.1 Type escape sequence to aborto Sending 5 , 100-byte ICMP Echos to 168 . 13.200.1, timeout is 2 seconds:

Success rate is O percent (0 / 5)

Primeiro, considere a tentativa de R3 combinar os destinos (10.1.1.1 e 168.13.200.1) em comparação com as rotas da tabela de roteamento. A tabela de roteamento de R3 não possui nenhuma rota que combine com o endereço IP de destino, a não ser a rota padrão. Logo, a única opção de R3 é utilizar sua rota padrão. R3 é configurado para utilizar o roteamento classful. Com roteamento classful, o roteador primeiramente combina com o número da rede Classe A, B ou C no qual reside um dos destinos. Se a rede Classe A, B ou C for encontrada, o Software Cisco lOS procura pelo número específico da sub-rede. Se não for encontrada, o pacote é descartado, como é o caso das mensagens ICMP echos enviadas com o comando ping 168.13.200.1. No entanto, com o roteamento classful, se o pacote não combinar com uma rede Classe A, B ou C da tabela de roteamento, e existir uma rota padrão, a rota padrão é utilizada - e é por isso que R3 consegue encaminhar as mensagens ICMP echos enviadas pelo comando ping 10.1.1.1 bem-sucedido. Em resumo, com o roteamento classful, a única vez em que a rota padrão é utilizada é quando o roteador não sabe sobre nenhuma sub-rede da rede de destino Classe A, B ou C do pacote. É possível alternar entre o roteamento classless e classful com os comandos de configuração global ip classless e no ip classless, respectivamente. Com o roteamento classless, o Software Cisco lOS procura pela melhor combinação, ignorando as regras de classe. Se existir uma rota padrão, com o roteamento classless, o pacote sempre, pelo menos, combina com a rota padrão. Se uma rota mais específica combinar com o destino do pacote, aquela rota é usada. O Exemplo 4-12 mostra R3 alterada para utilizar o roteamento classless, e o ping 168.13.200.1 bem-sucedido.

Exemplo 4-12 O roteamento classless permite que o ping 168.13.200.1 agora obtenha sucesso R3# eonfigure terminal Enter configuration commands, one per line. End with CNTL / Z. R3(config) ip ela•• le •• R3 (config) # AZ R3#ping 168.13.200.1 Type escape sequence to aborto Sending 5 , 100-byte ICMP Echos to 168.13.200.1, timeout is 2 seconds: ! ! !! !

Success rate is 100 percent (5/5), round-trip min/avg/max = 80/88/112 ms

Atividades de preparação para o exame ..........

Revise todos os tópicos-chave

f T6plco '. Chave

....

Revise os tópicos mais importantes deste capítulo, indicados com o ícone Tópicos-Chave na margem externa da página. A Tabela 4-3 relaciona esses tópicos-chave e os números das páginas nas quais cada um é encontrado.

• •• •• •• •• •• •• •• •• •• •• •• •• ••

•• •• •• •• •• •• •• •• •

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2 141 Tabela 4-3 Tópicos-chave do Capítulo 4 Elemento do tópico-chave

Descrição

Lista

Passos seguidos por um host ao encaminhar pacotes IP

119

Lista

Passos seguidos por um roteador ao encaminhar pacotes IP

120

Lista

Revisão dos pontos-chave sobre endereçamento IP

122

Reflexão

Resumo da lógica utilizada por um roteador quando o destino de um pacote combina com mais de uma rota

124

Lista

Itens normalmente aprendidos através do DHCP

125

Lista

Passos e protocolos utilizados por um host ao comunicar-se com outro host

126

Lista

Regras referentes a quando um roteador cria uma rota conectada

128

Lista

Regras sobre o endereço origem utilizado por pacotes gerados pelo comando ping lOS

135

Fatos importantes com relação à definição de rotas estáticas padrão

138

Resumo dos três usos separados, mas relacionados, dos termos classless e classful

139

Definições de roteamento classless e roteamento classful

139

Lista

Tabela 4-2

Lista

Número da página

Complete as tabelas e listas usando a memória Imprima uma cópia do Apêndice J, "Tabelas de memória" ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das Tabelas de Memória", inclui tabelas e listas completadas para você conferir o seu trabalho.

Definições de termos-chave Defina os seguintes termos-chave encontrados neste capítulo e verifique suas respostas no glossário: endereçamento classful, endereçamento classless, endereço IP secundário, ping estendido, protocolo de roteamento classful, protocolo de roteamento classless, roteamento classful, roteamento classless, sub-rede zero

Referência aos comandos para verificar sua memória Embora você não precise necessariamente memorizar as informações contidas nas tabelas desta seção, ela inclui uma referência para os comandos de configuração e EXEC abordados neste capítulo. Na prática, você deve memorizar os comandos como reflexo da leitura do capítulo e da execução de todas as atividades desta seção de preparação para o exame. Para verificar o quão eficientemente você memorizou os comandos como reflexo de seus outros estudos, cubra o lado esquerdo da tabela com um pedaço de papel, leia as descrições do lado direito e veja se você se lembra do comando.

142 Capítulo 4: Roteamento IP: rotas estáticas e diretamente conectadas Tabela 4-4 Referência aos comandos de configuração do Capítulo 4 Comando

Descrição

encapsulation dotlq vlan-id [native]

Subcomando de subinterface que diz ao roteador para usar o trunking 802.1 Q, para uma VLAN em particular, e com a palavra-chave native, para não encapsular em um cabeçalho do trunking

encapsulation isl vlan-identifier

Subcomando de subinterface que diz ao roteador para usar o trunking ISL, para uma VLAN em particular

[no] ip classless

Comando global que ativa (ip classless) ou desativa (no ip classless) o roteamento c1assless

[no] ip subnet-zero

Comando global que permite (ip subnet-zero) ou desfaz a permissão (no ip subnet-zero) de configuração de um endereço IP de interface em uma sub-rede zero

ip address ip-address mask [secondary]

Subcomando de interface que designa o endereço IP da interface e dá a opção de fazer do endereço um endereço secundário

ip route prefix mask {ip-address I Comando de configuração global que cria uma rota estática interface-type interface-number} [distance] [permanent] ip default-network network-number

Comando global que cria uma rota padrão baseada na rota do roteador para alcançar a rede c1assfullistada no comando

Tabela 4-5 Referência aos comandos EXEC do Capítulo 4 Comando

Descrição

show ip route

Lista toda a tabela de roteamento do roteador

show ip route ip-address

Lista informações detalhadas sobre a rota com a qual um roteador combina para o endereço IP apresentado

ping {host-name

I ip-address}

traceroute {host-name

I ip-address}

Testa as rotas IP enviando um pacote ICMP ao host de destino Testa as rotas IP descobrindo os endereços IP das rotas entre um roteador e o destino listado

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•

•• •• •• •• •• •• •• •• •• •

•• •• •• •• •• ••

•• •• •• •• •• •• ••

CCNA ICND2 143

Este capítulo aborda os seguintes assuntos: VLSM: esta seção explica as questões e soluções ao projetar uma inter-rede que utiliza VLSM.

Sumarização manual de rotas: esta seção explica o conceito de sumarização manual de rotas e descreve como projetar inter-redes para facilitar a sumarização.

Sumarização automática e redes classful não-contíguas: esta seção examina o recurso de sumarização automática e explica como ele deve ser considerado em projetos de inter-redes que utilizam redes não-contíguas

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •

•: VLSM e sumarização de rotas •• •• •• ••

CAPíTULO

5

Enquanto o Capítulo 4, "Roteamento IP: rotas estáticas e diretamente conectadas", concentra-se em tópicos relacionados ao roteamento IP, este capítulo concentra-se em tópicos relacionados ao endereçamento IP: VLSM (variable-length subnet masking, ou mascaramento de sub-redes de comprimento variável), sumarização manual de rotas e sumarização automática de rotas. Esses recursos estão relacionados ao endereçamento IP pelo fato de exigirem raciocínio sobre o intervalo de endereços IP indicado por um determinado endereço e uma máscara ou por uma sub-rede que faça parte de uma rota sumarizada. Portanto, este capítulo requer compreensão total de endereçamento IP para que se possa entender por completo os exemplos aqui apresentados.

• •

Este capítulo se concentra principalmente em conceitos e comandos show, com apenas alguns poucos comandos de configuração de interesse.

: Questionário "Eu já conheço isto?"

•• ••

O questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Não errando mais que uma das oito questões de auto-avaliação, você pode passar direto para a seção "Atividades de Preparação para o Exame". A Tabela 5-1 relaciona os principais títulos deste capítulo e as questões do questionário "Eu já conheço isto?", abordando o material destas seções. Isso ajudará você a avaliar o seu conhecimento nestas áreas específicas.

•

As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

•

Tabela 5-1 Mapeamento entre a seção dos tópicos fundamentais e as questões do "Eu já conheço isto?"

•

Seção d os tópicos fun damentais

Questões

•

VLSM

1-3

•

•

Sumarização manual de rotas

4-6

•

Sumarização automática e redes c1assful não-contíguas

7-8

•

1. Qual dos seguintes protocolos de roteamento aceita VLSM?

•• •• • •

• I.• •• ••

a. RIP-l b. RIP-2 c. EIGRP d. OSPF 2. O que significa o acrônimo VLSM? a. Máscara de sub-redes de comprimento variável b. Máscara de sub-redes muito longas c. Máscara de sub-redes longitudinais vociferante d. Máscara de sub-redes de extensão vetorial e. Máscara de sub-redes de loop vetorial 3. RI configurou a interface FaO/O com o comando ip address 10.5.48.1 255.255.240.0. Qual das seguintes subredes, quando configurada em outra interface em RI, não seria considerada uma sub-rede VLSM sobreposta?

146

Capítulo 5: VLSM e sumarização de rotas

a. 10.5.0.0255.255.240.0 b. 10.4.0.0255.254.0.0 c. 10.5.32.0255.255.224.0 d. 10.5.0.0255.255.128.0 4. Qual das seguintes sub-redes sumarizadas é a menor rota de sumarização (menor intervalo de endereços) que inclui as sub-redes 10.3.95.0, 10.3.96.0 e 10.3.97.0 e a máscara 255.255.255.0? a. 10.0.0.0255.0.0.0 b. 10.3.0.0255.255.0.0 c. 10.3.64.0255.255.192.0 d. 10.3.64.0255.255.224.0 5. Qual das seguintes sub-redes sumarizadas não é uma sumarização válida que inclui as sub-redes 10.1.55.0, 10.1.56.0 e 10.1.57.0 e a máscara 255.255.255.0? a. 10.0.0.0255.0.0.0 b. 10.1.0.0255.255.0.0 c. 10.1.55.0255.255.255.0 d. 10.1.48.0255.255.248.0 e. 10.1.32.0255.255.224.0 6. Qual dos seguintes protocolos de roteamento aceita sumarização manual de rotas? a. RIP-1 b. RIP-2 c. EIGRP d.OSPF 7. Qual(is) protocolo(s) de roteamento executa(m) sumarização automática como padrão? a. RIP-1 b. RIP-2 c. EIGRP d.OSPF 8. Uma inter-rede possui uma rede não-contígua 10.0.0.0, e está tendo problemas. Todos os roteadores utilizam RIP-l com todas as configurações padrão. Qual das seguintes respostas apresenta uma ação que, por si só, resolveria o problema e permitiria a rede não-contígua? a. Migrar todos os roteadores para utilizar OSPF, usando quantos padrões forem possíveis. b. Desativar a sumarização automática com o comando de configuração RIP no auto-summary. c. Migrar para EIGRP, usando quantos padrões forem possíveis. d. O problema não pode ser resolvido sem, primeiro, fazer com que a rede 10.0.0.0 se tome contígua.

Tópicos fundamentais Este capítulo discute três tópicos relacionados: VLSM, sumarização manual de rotas e sumarização automática de rotas. Esses tópicos estão relacionados entre si principalmente por causa da matemática existente por detrás, que requer que o engenheiro consiga olhar o número e a máscara de uma sub-rede e rapidamente determinar o intervalo de endereços aí implícito. Este capítulo começa abordando o VLSM, passando, em seguida, para a sumarização manual de rotas e, por último, a sumarização automática.

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• • •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND 2

147

• VLSM VLSM ocorre quando uma inter-rede utiliza mais de uma máscara em diferentes sub-redes de uma única rede Classe A, B ou C. O VSLM permite que os engenheiros reduzam o número de endereços IP desperdiçados em cada sub-rede, possibilitando mais sub-redes e evitando ter de obter outro número de rede IP registrado nas autoridades regionais de concessão de endereços IP. Além disso, mesmo quando estiverem utilizando redes IP privadas (conforme definido na RFC 1918), grandes corporações podem ainda assim precisar conservar o espaço de endereços, novamente criando a necessidade de utilizar o VLSM.

•

A Figura 5-1 mostra um exemplo de VLSM usado na rede Classe A 10.0.0.0.

•

Figura 5-1 VLSM na rede 10.0.0.0: Máscaras 255.255.255.0 e 255.255.255.252 10.2.1.0 10.2.3.0 10.2.4.0

10.3.4.0

Albuquerque 10.1 .4.0/30

10.2.2.0

10.3.5.0

10.1.6.0130

10.3.6.0

SO/1

SOlO Yosemite

Seville

10.3.7.0

10.1.1.0 Máscara: 255.255.255.0 exceto onde Indicado

A Figura 5-1 mostra uma típica escolha de utilizar um prefixo /30 (máscara 255.255.255.252) em links seriais ponto-aponto, com alguma outra máscara (255.255.255.0, neste exemplo) nas sub-redes LAN. Todas as sub-redes são redes Classe A 10.0.0.0, com duas máscaras sendo usadas, satisfazendo, portanto, a definição do VLSM. Por mais estranho que possa parecer, as pessoas cometem um pequeno erro ao pensar que VLSM significa "usar mais de uma máscara", em vez de "usar mais de uma máscara em uma única rede c1assful" . Se em um diagrama de interrede, por exemplo, todas as sub-redes da rede 10.0.0.0 utilizarem uma máscara 255.255.240.0 e todas as sub-redes da rede 11.0.0.0 utilizarem uma máscara 255.255.255.0, são utilizadas duas máscaras diferentes. Entretanto, somente uma máscara fica dentro de cada respectiva rede c1assful e, portanto, este projeto específico não estaria usando o VLSM. O Exemplo 5-1 apresenta a tabela de roteamento em Albuquerque da Figura 5-1. Albuquerque usa duas máscaras dentro da rede 10.0.0.0, conforme indicado na linha destacada no exemplo.

Exemplo 5-1 Tabela de roteamento de Albuquerque com VLSM Albuquerque# show ip route Codes:C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP externaI, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA externaI type 1, N2 - OSPF NSSA externaI type 2 E1 - OSPF externaI type 1, E2 - OSPF externaI type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last resort is not set 10 .0. 0 . 0 / 8 is variab1y subnetted, 11 subnets, 2 masks D

10.2.1.0/24 [90/2172416] via 10.1.4.2, 00:00:34, SerialO/O

D

10.2.2.0/24 [90/2172416] via 10.1.4.2, 00 : 00:34, SerialO/O

D

10.2.3.0/24 [90/2172416] via 10.1.4 . 2, 00:00:34, SerialO/O

D

10.2 . 4.0/24 [90/2172416] via 10.1.4.2, 00:00:34, SerialO/O

D

10.3.4.0/24 [90/2172416] via 10 . 1.6.2, 00:00:56, Se rial0/1

D

10.3 . 5.0/24 [90/2172416] via 10 . 1. 6 .2, 00:00 : 56, Serial0/1

D

10.3.6.0/24 [90/2172416] via 10.1.6.2, 00:00 : 56, SerialO/1

D

10.3.7.0/24 [90/2172416] via 10.1.6.2, 00:00 : 56, Serial0/1

c c

10.1.1. 0/24 is directly connected, EthernetO/O

c

10.1.4 . 0/30 is directly connected, SerialO/O

10.1.6.0/30 is directly connected, SerialO/1

148 Capítulo 5: VLSM e sumarização de rotas

Protocolos de roteamento classless e classful Para que um protocolo de roteamento aceite VLSM, ele deve anunciar não só o número da sub-rede mas também a máscara da sub-rede quando estiver anunciando rotas. Além disso, um protocolo de roteamento deve incluir máscaras de sub-rede em suas atualizações de roteamento para aceitar sumarização manual de rotas. Cada protocolo de roteamento IP é considerado classless ou classful, com base no fato de ele enviar (classless) ou não (classful) a máscara em atualizações de roteamento. Cada protocolo de roteamento é, naturalmente, classless ou classful; não existe nenhum comando a ser ativado ou desativado se um determinado protocolo de roteamento for um protocolo classless ou classful. A Tabela 5-2 apresenta os protocolos de roteamento, mostra se cada um é classless ou classful e oferece lembretes sobre os dois recursos (VLSM e sumarização de rotas) ativados pela inclusão de máscaras nas atualizações de roteamento.

/;~~;~o

\' Ch....

....

Tabela 5-2 Protocolos de roteamento IP internos classless e classful Protocolo de roteamento

Classless? nas atualizações

Envia máscaras

Aceita

VLSM

Aceita sumarização manual de rotas

RIP-1

Não

Não

Não

Não

IGRP

Não

Não

Não

Não

RIP-2

Sim

Sim

Sim

Sim

EIGRP

Sim

Sim

Sim

Sim

OSPF

Sim

Sim

Sim

Sim

Sub-redes VLSM sobrepostas As sub-redes escolhidas para serem usadas em qualquer projeto de inter-rede IP não podem sobrepor seus intervalos de endereços. Com uma única máscara de sub-rede em uma rede, as sobreposições são praticamente óbvias; entretanto, com o VLSM, as sub-redes sobrepostas podem não ser tão óbvias assim. Quando várias sub-redes se sobrepõem, as entradas da tabela de roteamento de um roteador se sobrepõem. Em conseqüência disso, o roteamento se toma imprevisível, e alguns hosts podem ser alcançados somente a partir de determinadas partes da inter-rede. Resumindo, um projeto que utilize sub-redes sobrepostas é considerado um projeto incorreto e não deve ser utilizado. Existem dois tipos gerais de problemas relacionados a sub-redes VLSM sobrepostas, na vida real e nos exames: analisar um projeto existente para identificar sobreposições e escolher novas sub-redes VLSM de forma a não criar uma subrede sobreposta. Para ter uma idéia do que o exame pode abordar com relação ao VLSM e às sub-redes sobrepostas, considere a Figura 5-2, que mostra uma única rede Classe B (172.16.0.0), utilizando um projeto de VLSM que inclui três máscaras diferentes: /23, /24 e /30. Figura 5-2 Projeto de VLSM com possível sobreposição 172.16.4.1/23

172.16.2.1/23

172.16.9.5/30

172.16.5.1/24

Agora imagine que uma questão do exame lhe mostre a figura e, direta ou indiretamente, pergunte se existem sub-redes sobrepostas. Este tipo de questão pode simplesmente dizer que alguns hosts não conseguem se identificar ou pode nem

• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• • • •

CCNA ICND 2

149

mesmo mencionar que a causa geradora poderia ser a sobreposição de algumas sub-redes. Para responder a uma questão como esta, você pode seguir a sugestão simples, mas possivelmente trabalhosa, apresentada a seguir:

Passo 1 Calcule o número de sub-rede e o endereço de broadcast de sub-rede de cada sub-rede; assim você obtém o intervalo de endereços daquela sub-rede. : e""".

•

o

•

Passo 2 Compare os intervalos de endereços de cada sub-rede e procure casos nos quais haja sobreposição dos intervalos de endereços.

• •

Na Figura 5-2, por exemplo, você veria as cinco sub-redes e, utilizando o Passo 1, calcularia os números da sub-rede, os endereços de broadcast e o intervalo de endereços, com as respostas apresentadas na Tabela 5-3.

•• •

Localização da sub-rede

•

RI LAN

•

Tabela 5-3 Sub-redes e intervalos de endereços na Figura 5-2 Número da sub-rede

Primeiro endereço

Último endereço Endereço de broadcast

172.16.2.0

172.16.2.1

172.16.3.254

172.16.3.255

R2LAN

172.16.4.0

172.16.4.1

172.16.5.254

172.16.5.255

•

R3 LAN

172.16.5.0

172.16.5.1

172.16.5.254

172.16.5.255

•

RI-R2 serial

172.16.9.0

172.16.9.1

172.16.9.2

172.16.9.3

•

RI-R3 serial

172.16.9.4

172.16.9.5

172.16.9.6

172.16.9.7

• •• •• • •• •• •• •• •• •• •• •• •• •

• •

o Passo 2 é um passo um tanto quanto óbvio que diz para comparar os intervalos de endereços para verificar se existe alguma sobreposição. Observe que nenhum dos números de sub-rede são idênticos; entretanto, ao examinar mais de perto as sub-redes R2 LAN e R3 LAN, pode-se ver que há sobreposição entre essas duas sub-redes. Neste caso, o projeto é inválido por causa da sobreposição e, conseqüentemente, uma das duas sub-redes teria de ser alterada. Projetando um esquema de sub-redes utilizando VLSM O CCENT/CCNA fCNDi Guia Oficial de Certificação do Exame explica como projetar o esquema de endereçamento IP para uma nova rede escolhendo sub-redes IP quando estiver utilizando uma única máscara de sub-rede em toda a rede classful. Para isso, o processo, primeiramente, analisa os requisitos de projeto para determinar o número de sub-redes e o número de hosts da sub-rede maior. Em seguida, é escolhida uma máscara para a sub-rede. Por fim, todas as sub-redes possíveis da rede, utilizando aquela máscara, são identificadas e, em seguida, as sub-redes reais utilizadas no projeto são escolhidas a partir daquela lista. Na rede Classe B 172.16.0.0, por exemplo, um projeto poderia pedir dez sub-redes, com a sub-rede maior tendo 200 hosts. A máscara 255.255.255.0 satisfaz os requisitos, com 8 bits de sub-rede e 8 bits de host, aceitando 256 sub-redes e 254 hosts por sub-rede. Os números das sub-redes seriam 172.16.0.0, 172.16.1.0, 172.16.2.0, e assim por diante. Ao utilizar o VLSM em um projeto, o processo começa com a decisão de quantas sub-redes de cada tamanho são necessárias. A maioria das instalações, por exemplo, utiliza sub-redes com um prefixo /30 para links seriais, porque essas sub-redes aceitam exatamente dois endereços IP, que são todos os endereços necessários em um link ponto-a-ponto. As sub-redes baseadas em LANs, muitas vezes, têm requisitos diferentes, com prefixos menores (significando mais bits de host) para números maiores de hosts/sub-redes, e prefixos maiores (significando menos bits de host) para números menores de hosts/sub-redes. Observação Para revisar o projeto de criação de sub-redes utilizando SLSM (static-length subnet masks, ou máscaras de sub-redes de comprimento fixo), use como referência o Capítulo 12 do CCENT/CCNA ICNDI Guia Oficial de Certificação do Exame. (O Apêndice D deste livro - disponível no idioma original no site da editora: www.altabooks.com.br -, "Subnetting Practice", também inclui alguns problemas práticos relacionados a este tópico.) Depois de determinar o número de sub-redes com cada máscara, o próximo passo é encontrar números de sub-redes que combinem com os requisitos. Essa tarefa não é particularmente difícil se você já entende como encontrar números de

150 Capítulo 5: VLSM e sumarização de rotas sub-redes quando estiver utilizando máscaras de comprimento fixo. Entretanto, um processo mais formal pode facilitar, como mostrado a seguir:

Passo 1 Determine o número de sub-redes necessárias para cada máscara/prefixo com base nos requisitos de projeto. Passo 2 Utilizando o menor prefixo (maior número de bits de host), identifique as sub-redes da rede c1assful quando estiver utilizando aquela máscara, até que o número necessário dessas sub-redes tenha sido identificado.

Passo 3 Identifique o próximo número da sub-rede utilizando a mesma máscara do passo anterior. Passo 4 Começando com o número da sub-rede identificado no passo anterior, identifique sub-redes menores com base no próximo maior prefixo necessário para o projeto, até que o número necessário de sub-redes daquele tamanho tenha sido identificado.

Passo 5 Repita os Passos 3 e 4 até que todas as sub-redes de todos os tamanhos tenham sido encontradas. Honestamente falando, utilizar o processo descrito acima pode ser um pouco difícil, mas um exemplo pode certamente ajudar a entender o porquê do processo. Portanto, imagine um projeto de rede para o qual os seguintes requisitos foram determinados, de acordo com o Passo 1 do processo anterior. O projeto pede o uso da rede Classe B 172.16.0.0: - Três sub-redes com máscara /24 (255.255.255.0) - Três sub-redes com máscara /26 (255.255.255.192) - Quatro sub-redes com máscara /30 (255.255.255.252) O Passo 2, neste caso, significa que as três primeiras sub-redes da rede 172.16.0.0 devem ser identificadas, com a máscara /24, porque este é o menor prefixo dos três prefixos apresentados nos requisitos de projeto. Utilizando a mesma matemática abordada em detalhe no livro ICNDl, as três primeiras sub-redes seriam 172.16.0.0/24, 172.16.1.0/24 e 172.16.2.0/24: - 172.16.0.0/24: Intervalo 172.16.0.1-172.16.0.254 -172.16.1.0/24: Intervalo 172.16.1.1-172.16.1.254 -172.16.2.0/24: Intervalo 172.16.2.1-172.16.2.254 O Passo 3, neste caso, diz para identificar mais uma sub-rede utilizando a máscara /24, de forma que a próxima sub-rede numérica seria 172.16.3.0/24. Antes de passar para o Passo 4, reserve alguns minutos para revisar a Figura 5-3. A figura mostra os resultados do Passo 2 na parte superior, apresentando as três sub-redes identificadas neste passo como "alocadas", pois elas serão utilizadas como sub-redes neste projeto. Ela apresenta também a próxima sub-rede, conforme encontrada no Passo 3, apresentandoa como não-alocada, pois ela ainda não foi escolhida para ser usada em uma parte específica do projeto.

Figura 5-3 Projetando o uso de sub-redes VLSM Passo 2: encontrar sub-redes com o prefixo 124 Alocada 172.16.1.0/24

172.16.29.0/25

172.16.3.0/25

172.16.0.0 172.16.0.255

172.16.1.1 172.16.1.255

172.16.2.1 172.16.2.255

172.16.3.1 172.16.3.255

---

Passos 3 e 4 (1° passo): encontrar sub-redes - - -Ãlocada com prefixos 126 172.16.3.0/26 __ o

__ o

Alocada

Alocada

Alocada 172.16.0.0/24

.-- ----- --- --- ---

--- --- ---

Alocada 172.16.3.64/26

--- .-- --Alocada

172.16.3.128/26

Não-alocada 172.16.3.192/26

Passos 3 e 4 (2° passo) : encontrar sub-redes com prefixos 130

• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• • • •

CCNA ICND 2

151

Para encontrar as sub-redes do Passo 4, comece com o número da sub-rede não-alocada encontrada no Passo 3 (172.16.3.0), mas com o Passo 4 aplicando o próximo maior prefIxo, ou seja, /26 neste exemplo. O processo sempre resulta no número da primeira sub-rede sendo o número de sub-rede encontrado no passo anterior, ou seja, 172.16.3.0 neste caso.

•• • •

-172.16.3.0/26: Intervalo 172.16.3.1-172.16.3.62 - 172.16.3.64/26: Intervalo 172.16.3.65-172.16.3.126

•

-172.16.3.128/26: Intervalo 172.16.3.129-172.16.3.190

•

Finalmente, o Passo 5 diz para repetir os Passos 3 e 4 até que todas as sub-redes tenham sido encontradas. Neste caso, ao repetir o Passo 3, a próxima sub-rede é encontrada, utilizando o prefIxo /26, ou seja, a sub-rede 172.16.3.192/26. Essa sub-rede é considerada não-alocada por enquanto. Para repetir o Passo 4 para o próximo maior prefIxo, o Passo 4 utiliza o prefIxo /30, começando com o número de sub-rede 172.16.3.192. A primeira sub-rede será 172.16.3.192, com máscara /30, acrescida das três próximas sub-redes com aquela mesma máscara, da seguinte forma:

• •

•• •• •• •• • •• •• ••

- 172.16.3.192/30: Intervalo 172.16.3.193-172.16.3.194 -172.16.3.196/30: Intervalo 172.16.3.197-172.16.3.198 -172.16.3.200/30: Intervalo 172.16.3.201-172.16.3.202 -172.16.3.204/30: Intervalo 172.16.3.205-172.16.3.206 A descrição do processo formalizado pode parecer um pouco trabalhosa, mas o resultado obtido é um conjunto de subredes VLSM que não se sobrepõem. Ao utilizar uma abordagem estruturada que, em essência, constitui primeiro na alocação de sub-redes maiores e, depois, de sub-redes menores, pode-se geralmente escolher sub-redes de forma que os intervalos de endereços não se sobreponham.

• Acrescentando uma nova sub-rede a um projeto existente Outra tarefa necessária ao trabalhar com inter-redes baseadas em VLSM é escolher um número para uma nova subrede para uma inter-rede existente. Deve-se tomar cuidado extra, principalmente, ao escolher números para novas subredes para evitar que aconteça sobreposição entre a nova sub-rede e as sub-redes existentes. Considere, por exemplo, a inter-rede da Figura 5-2, com a rede c1assfull72.16.0.0. Uma questão do exame poderia pedir que uma nova sub-rede, com um prefIxo /23, fosse acrescentada ao projeto e pedir para escolher o menor número de sub-rede que pudesse ser utilizado para a nova sub-rede. Portanto, as sub-redes devem ser identifIcadas e uma sub-rede sem sobreposição deve ser escolhida.

• Para atacar um problema como este, você precisaria encontrar todos os números de sub-redes que pudessem ser criados • naquela rede c1assful, utilizando a máscara mostrada ou indicada. Você teria de se assegurar de que a nova sub-rede não , .. se sobrepusesse a nenhuma sub-rede existente. Especillcamente, você poderia usar os seguintes passos:

[_ 'CO :.. ..

•• •• •• •• •• •

Passo 1 Se ainda não tiver sido apresentada como parte da questão, escolha a máscara da sub-rede (extensão do prefIxo) com base nos requisitos de projeto, normalmente baseado no número de hosts necessários na sub-rede. Passo 2 Calcule todos os números de sub-redes possíveis da rede c1assful, utilizando a máscara determinada no Passo 1. (Se a questão do exame pedir o maior ou o menor número de sub-rede, você pode optar por fazer essa matemática somente para as poucas primeiras ou poucas últimas sub-redes). Passo 3 Para as sub-redes encontradas no Passo 2, calcule o endereço de broadcast da sub-rede e o intervalo de endereços para cada sub-rede considerada. Passo 4 Compare as listas de possíveis sub-redes e intervalos de redes com as sub-redes e os intervalos de endereços existentes. Elimine qualquer sub-rede que possa se sobrepor a uma sub-rede existente. Passo 5 Escolha um número de sub-rede a partir da lista encontrada no Passo 2 que não se sobreponha a qualquer sub-rede existente, observando se a questão pede o menor ou o maior número de sub-rede.

Utilizando esse processo, composto por cinco passos, com o exemplo iniciado logo antes da lista de passos da Figura 5-2, a questão forneceu a extensão de prefIxo /23 (passo 1). A Tabela 5-4 apresenta os resultados dos Passos 2 e 3, listando os números das sub-redes, os endereços de broadcast e o intervalo de endereços para as cinco primeiras sub-redes /23 possíveis.

152

••

Capítulo 5: VLSM e sumarização de rotas

••

Tabela 5-4 Cinco primeiras sub-redes /23 possíveis Sub-rede

Número da sub-rede Primeiro endereço Último endereço Endereço de broadcast •

Primeira (zero)

172.16.0.0

172.16.0.1

172.16.1.254

172.16.1.255

••

_Se_~_n_d_a____________ 17_2_.1_6_.2_.0_________1_7_2._16_._2._1_______1_7_2_.1_6_.3_.2_54______ 17_2_.1_6_.3_.2_5_5_______ • Terceira

172.16.4.0

172.16.4.1

172.16.5.254

172.16.5.255

Quarta

172.16.6.0

172.16.6.1

172.16.7.254

172.16.7.255

Quinta

172.16.8.0

172.16.8.1

172.16.9.254

172.16.9.255

o Passo 4 compara as informações da tabela com as sub-redes existentes. Neste caso, a segunda, a terceira e a quarta subredes da Tabela 5-4 se sobrepõem às sub-redes existentes na Figura 5-2. O Passo 5 tem mais a ver com o exame do que com redes reais. Questões de múltipla escolha às vezes precisam forçar a questão a ter uma única resposta e, por isso, pedir a numericamente menor ou maior sub-rede resolve o problema. Este modelo específico de problema pede o menor número de sub-rede, e a sub-rede zero continua disponível (176.16.0.0/23 com o endereço de broadcast 172.16.0.0/23). Se a questão permitisse o uso da sub-rede zero, a sub-rede zero (176.16.0.0/23) seria a resposta correta. Entretanto, se o uso da sub-rede zero fosse proibido, as quatro primeiras sub-redes apresentadas na Tabela 5-4 não estariam disponíveis, fazendo da quinta subrede (172.16.8.0/23) a resposta correta. Observe que o Cenário 5 do Apêndice F - disponível no idioma original no site da editora: www.altabooks.com.br-. "Additional Scenarios", lhe dá a oportunidade de praticar usando esse processo em particular. Observação Para o exame, a sub-rede zero deve ser evitada se (a) a questão implicar no uso de protocolos de roteamento classful ou (b) se os roteadores estiverem configurados com o comando de configuração global no ip subnet-zero. Do contrário, considere que a subrede zero pode ser usada.

Configuração do VLSM Roteadores não ativam nem desativam o VLSM como recurso de configuração. Numa perspectiva de confi~ração, o VLSM é simplesmente um reflexo do subcomando de interface ip address. Os roteadores configuram o VLSM em virtude de terem pelo menos duas interfaces de roteador, no mesmo roteador ou entre todos os roteadores da inter-rede, com endereços IP na mesma rede c1assful, mas com máscaras diferentes. O Exemplo 5-2 mostra um exemplo simples no Roteador R3 da Figura 5-2, com o endereço IP 172.16.5.1124 sendo designado à interface FaOIO e o endereço IP 172.16.9.6/30 sendo designado à interface SOIO/l, usando, assim, pelo menos, duas máscaras diferentes na rede 172.16.0.0. Exemplo 5-2 Configurando o VLSM R3# configure terminal R3{config)# interface FaO/O R3{config-if)# ip address 172.16.5.1 255.255.255.0 R3{config- if)# interface SOIOll R3{config-if)# ip address 172.16.9.6 255.255.255.252

Protocolos de roteamento c1assless, que aceitam o VLSM, não têm de ser configurados para ativar o VLSM. Suporte ao VLSM é apenas um recurso inerente a estes protocolos de roteamento. A seguir, o texto passa para a segunda seção deste capítulo, o tópico sobre sumarização manual de rotas.

Sumarização manual de rotas Redes pequenas podem ter apenas algumas dezenas de rotas nas tabelas de roteamento de seus roteadores. Quanto maior a rede, maior o número de rotas. Na verdade, os roteadores da Internet têm mais de 100 000 rotas em al~ns casos. A tabela de roteamento pode se tomar muito grande em redes IP grandes. À medida que as tabelas de roteamento crescem, elas consomem mais memória do roteador. Além disso, cada roteador pode demorar mais para rotear um

•

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• • •

•

• •

CCNA ICND 2

153

• •

pacote, pois ele tem que combinar uma rota da tabela de roteamento, e procurar uma tabela maior geralmente demora mais. E, com uma tabela de roteamento grande, é mais demorado resolver problemas, porque os engenheiros que trabalham com a rede precisam examinar cuidadosamente um número maior de informações.

• • • •

A sumarização de rotas reduz o tamanho das tabelas de roteamento enquanto mantém rotas para todos os destinos da rede. Em conseqüência disso, o desempenho do roteamento pode ser melhorado e a memória pode ser salva dentro de cada roteador. A sumarização também melhora o tempo de convergência, pois o roteador que sumariza a rota não tem mais de anunciar nenhuma alteração feita no status das sub-redes individuais. Ao anunciar apenas que toda a rota de sumarização está ativa ou inativa, os roteadores que possuem a rota de sumarização não têm de convergir todas as vezes que uma das sub-redes componentes se torna ativa ou inativa.

• • • •

•• •• •• •• •• •• •• •• •• •• •• • •• •• •• •

Este capítulo se refere à sumarização de rotas como sendo a sumarização manual de rotas, em contraste com o último tópico deste capítulo, sumarização automática. O termo manual se refere ao fato de que a sumarização manual de rotas só ocorre quando um engenheiro configura um ou mais comandos. A sumarização automática ocorre automaticamente sem nenhum comando de configuração específico. As seções a seguir examinam primeiramente os conceitos existentes por trás da sumarização de rotas, seguido de algumas sugestões de como determinar boas rotas de sumarização. Observe que, embora os conceitos sejam abordados, a configuração de rotas sumarizadas manualmente não é um objetivo principal neste livro.

• Conceitos de sumarização de rotas

•

Os engenheiros utilizam a sumarização de rotas para reduzir o tamanho das tabelas de roteamento na rede. A sumarização de rotas faz com que algumas rotas mais específicas sejam substituídas por uma única rota que inclui todos os endereços IP cobertos pelas sub-redes nas rotas originais. As rotas de sumarização, que substituem múltiplas rotas, devem ser configuradas por um engenheiro de rede. Embora o comando de configuração não se pareça exatamente com um comando static route, são configuradas as mesmas informações básicas. Agora, o protocolo de roteamento anuncia somente a rota de sumarização, em vez das rotas originais. A sumarização de rotas funciona muito melhor quando a rede foi projetada com este recurso em mente. A Figura 5-1 , por exemplo, apresentada anteriormente neste capítulo, mostra os resultados de um bom planejamento de sumarização. Nesta rede, o engenheiro planejou suas escolhas de números de sub-rede com base em seu objetivo de utilizar sumarização de rotas. Todas as sub-redes que saem do local principal (Albuquerque), incluindo links de WAN, começam com 10.1. Todas as sub-redes de LAN que saem de Yosemite começam com 10.2, e, da mesma forma, todas as sub-redes de LAN que saem de Seville começam com 10.3. O Exemplo 5-1 mostrou uma cópia da tabela de roteamento de Albuquerque sem sumarização. Aquele exemplo mostra as quatro rotas de Albuquerque até as sub-redes que começam com 10.2, todas destacando sua interface serial O/O até Yosemite. Analogamente, Albuquerque mostra quatro rotas até sub-redes que começam com 10.3, todas destacando sua interface serial O/I até Seville. Este projeto permite que os roteadores de Yosemite e Seville anunciem uma única rota de sumarização em vez das quatro rotas que ele está atualmente anunciando até Albuquerque, respectivamente. O Exemplo 5-3 mostra os resultados da configuração da sumarização manual de rotas em Yoserrute e Seville. Neste caso, Yosemite está anunciando uma rota de sumarização para 10.2.0.0/16, que representa o intervalo de endereços 10.2.0.010.2.255.255 (todos os endereços que começam com 10.2). Seville anuncia uma rota de sumarização para a 10.3.0.0/16, que representa o intervalo de endereços 10.3.0.0-10.3.255.255 (todos os endereços que começam com 10.3).

Exemplo 5-3 Tabela de roteamento de Albuquerque depois da sumarização de rotas Albuquerque# show ip route Codes:C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP externaI, O - OSPF, IA - OSPF inter area Nl - OSPF NSSA externaI type 1, N2 - OSPF NSSA externaI type 2 El - OSPF externaI type 1, E2 - OSPF externaI type 2, E - EGP i

-

IS-IS, Ll - IS-IS level-l, L2 - IS-IS level-2,

ia - IS-IS inter area

* - candidate d efault, U - per-us er static route, o - ODR P - periodic downloaded static route

154

••

Capítulo 5: VLSM e sumarização de rotas

•• •• •• ~----------------~----------------------------------------------~ ~ •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• Gateway of 1ast resort is not set

10.0.0.0/8 is variab1y subnetted, 5 subnets, 3 masks

D

10.2.0.0/16 [90/2172416) via 10.1.4.2, 00:05:59, Seria10/0

D

10.3.0.0/16 [90/2172416) via 10.1.6.3, 00:05:40, Seria10/1

C

10.1.1. 0/24 is direct1y connected, EthernetO /O

C

10.1.6.0/30 is direct1y connected, Seria10/1

C

10.1.4.0/30 is direct1y connected, Seria10/0

A tabela de roteamento resultante em Albuquerque continua roteando pacotes corretamente, mas com mais eficiência e menos memória. Na verdade, melhorar de 11 rotas para 5 rotas não ajuda muito, mas o mesmo conceito, aplicado a redes maiores, ajuda bastante.

Os efeitos da sumarização de rotas também podem ser vistos nos outros dois roteadores da figura. O Exemplo 5-4 mostra Yosemite, incluindo a configuração da sumarização de rotas e a tabela de roteamento de Yosemite. O Exemplo 5-5 mostra o mesmo tipo de informação em Seville.

Exemplo 5-4 Configuração e tabela de roteamento de Yosemite depois da sumarização de rotas Yosemite#configure terminal

Enter configuration commands, one per 1ine. End with CNTL/Z. Yosemite(config)#interface serial O/O Yosemite(config-if)# ip

summa~ddre ••

eigrp 1 10.2.0.0 255 •• 255.0.0

Yosemite(config-if)#A Z Yosemite#show ip route

Codes:C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP externa1, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA externa1 type 1, N2 - OSPF NSSA externa1 type 2 E1 - OSPF externa1 type 1, E2 - OSPF externa1 type 2, E - EGP i

- IS-IS, L1 - IS-IS 1eve1-1, L2 - IS-IS 1evel-2, ia - IS-IS inter area

* - candidate defau1t, U - per-user static route, o - ODR

P - periodic down1oaded static route

Gateway of last resort is not set

10.0.0.0/8 is variab1y subnetted, 9 subnets, 3 masks

D

10.2.0.0/16 is a summary,

D

10.3.0.0/16 [90/2684416) via 10.1.4.1, 00:04:30, Seria10/0

00:04:57, Nu110

C

10.2.1.0/24 is direct1y connected, FastEthernetO/O

D

10.1.1.0/24 [90/2195456) via 10.1.4.1, 00:04:52, Seria10/0

C

10.2.2.0/24 is direct1y connected, Loopback2

C

10.2.3.0/24 is direct1y connected, Loopback3

C

10.2.4.0/24 is direct1y connected, Loopback4

D

10.1.6.0/30 [90 /268 1856) via 10.1.4.1, 00:04:53,

C

10.1.4 . 0/30 is directly connected, Seria10/0

Seria10/0

Exemplo 5-5 Configuração e tabela de roteamento de Seville depois da sumarização de rotas Sevi11e#configure terminal

Enter configuration commands, one per 1ine. End with CNTL/Z. Sevi11e(config)# interface serial 010 Sevi11e(config-if)#ip

.umma~ddre.s

eigrp 1 10.3.0.0 255.255.0.0

Sevil1e(config-if)#A Z Sevi11e# show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP externa1, O - OSPF, IA - OSPF inter area

••

•• •• •

•• •

•• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND 2

155

N1 - OSPF NSSA external type 1, N2 - OS PF NSSA ext e rnal type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, Ll - IS-IS level-1, L2 - IS-IS level-2,

ia - IS-IS inter a r ea

* - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of 1ast resort is not set 10.0.0 . 0 / 8 is variably subnetted,

9 subnets , 3 masks

D

10.2 . 0.0 / 16 [90 / 2684416] via 10.1.6 . 1,

00:00:36 , SerialO/O

D

10.3.0.0 / 16 is a summary , 00:00:38, NullO

D

10.1.1.0/24 [90/2195456] via 10.1.6.1,

c c c c

10.3 . 5.0/24 is directly connected, Loopback5

00:00:36, SerialO/O

10.3.4.0/24 is directly connected, Fas t EthernetO/O 10.1.6.0/30 is directly connected, SerialO/O 10.3.7.0/24 is directly connected, Loopback7

D

10.1.4.0/30 [90/2681856] via 10.1.6.1, 00:00:36, SerialO/O

c

10 . 3.6.0/24 is directly connected, Loopback6

A configuração da sumarização de rotas difere para protocolos de roteamento diferentes; o EIGRP (Enhanced IGRP (IGRP Avançado)) é utilizado neste exemplo. As rotas de sumarização para o EIGRP são criadas pelos subcomandos de interface ip summary-address em Yosernite e Seville neste caso. Cada comando define uma nova rota sumarizada e diz a EIGRP para anunciar somente a sumarização que sai dessa interface e para não anunciar nenhuma rota contida na sumarização maior. Por exemplo, Yosemite defme uma rota de sumarização até 10.2.0.0, com uma máscara 255.255.0.0, que define uma rota até todos os hosts cujos endereços IP começam com 10.2. De fato, esse comando faz com que Yoserníte e Seville anunciem as rotas 10.2.0.0255.255.0.0 e 10.3.0.0255.255.0.0, respectivamente, e não anunciem suas quatro sub-redes LAN originais. Observe que, no Exemplo 5-3, a tabela de roteamento de Albuquerque agora contém uma rota até 10.2.0.0 255.255.0.0 (a máscara é apresentada com a notação de prefixos /16), mas não contém nenhuma das quatro sub-redes originais que começam com 10.2. O mesmo ocorre para a rota 10.3.0.0/16. As tabelas de roteamento em Yosemite e Seville são um pouco diferentes da de Albuquerque. Concentrando-se em Yosernite (Exemplo 5-4), observe que as quatro rotas até as sub-redes que começam com 10.2 aparecem porque são sub-redes diretamente conectadas. Yosemite não vê as quatro rotas 10.3. Em vez disso, ela vê uma rota de sumarização, pois Albuquerque agora anuncia somente a rota sumarizada 10.3.0.0/16. O contrário é verdadeiro em Seville (Exemplo 5-5), que apresenta todas as quatro rotas conectadas que começam com 10.3 e uma rota de sumarização para 10.2.0.0/16. A parte mais interessante das tabelas de roteamento de Yosernite é a rota até 10.2.0.0/16, com a interface de saída definida em nullO. Quando as rotas se referem a uma interface de saída da interface nullO significa que os pacotes que combinam com essa rota são descartados. O EIGRP acrescentou essa rota, com a interface nullO, em conseqüência do comando ip summary-address. A lógica funciona da seguinte forma:

• • • •

Yosemite precisa dessa rota estranha porque agora ela pode receber pacotes destinados a outros endereços 10.2 além das quatro sub-redes 10.2 existentes. Se um pacote destinado a uma das quatro sub-redes 1O.2.x existentes chegar, Yoserníte possui uma rota correta e mais específica para combinar o pacote. Se um pacote cujo destino comece com 10.2 chegar, mas não estiver em uma das quatro sub-redes, a rota null combina o pacote, fazendo com que Yosemite descarte o pacote - como deveria ser feito.

• •

A tabela de roteamento em Seville é semelhante à de Yosemite em termos das entradas feitas na tabela e dos motivos pelos quais elas estão na tabela.

• •• •

• Estratégias de sumarização de rotas Como mencionado anteriormente, a sumarização manual de rotas funciona melhor quando o engenheiro de rede planeja sua escolha de números de sub-rede antecipando a sumarização de rotas. Os exemplos anteriores consideraram

156

Capítulo 5: VLSM e sumarização de rotas

um plano bem estruturado, com os engenheiros usando somente sub-redes que começassem com 10.2 para sub-redes que saíssem do roteador de Yosemite. Essa convenção permitiu a criação de uma rota de sumarização para todos os endereços começando com 10.2 fazendo com que Yosemite anunciasse uma rota descrevendo a sub-rede 10.2.0.0, com a máscara 255 .255.0.0. Algumas rotas sumarizadas combinam várias rotas em uma única rota, mas esta pode não ser a "melhor" sumarização. A palavra melhor, quando aplicada à escolha de qual rota de sumarização deve ser configurada, significa que a sumarização deve incluir todas as sub-redes especificadas na questão, mas com o mínimo possível de outros endereços. No exemplo de sumarização anterior, Yosemite sumarizou quatro sub-redes (10.2.1.0, 10.2.2.0, 10.2.3.0 e 10.2.4.0, todas com a máscara 255.255.255 .0) na rota de sumarização 10.2.0.0/16. Entretanto, essa sumarização inclui muitos endereços IP que não estão naquelas quatro sub-redes. Será que a sumarização funciona com base nos objetivos de projeto daquela rede? Claro que sim. No entanto, em vez de simplesmente definir uma sumarização que abranja vários endereços adicionais que ainda não existem em uma rede, é possível que o engenheiro deseje configurar a sumarização mais concisa e enxuta, ou seja, a melhor sumarização: aquela que inclui todas as sub-redes, mas o mínimo possível de sub-redes adicionais (aquelas que ainda não foram designadas). Esta seção descreve uma estratégia para encontrar essas melhores rotas concisas de sumarização. A lista a seguir descreve um processo binário generalizado através do qual você pode encontrar uma melhor rota de sumarização para um grupo de sub-redes: .......... [ Tópico Passo 1 Liste todos os números de sub-rede a serem sumarizadas em binário.

\~h.Y.

Passo 2 Encontro os primeiros N bits dos números de sub-rede em relação aos quais cada sub-rede tem o mesmo valor, indo da esquerda para a direita. (Para nossos fins, considere essa primeira parte como a parte "em comum"). Passo 3 Para encontrar o número de sub-rede da rota de sumarização, escreva os bits em comum do Passo 2 e os zeros binários para os bits restantes. Converta para decimal, 8 bits de cada vez, quando tiver terminado. Passo 4 Para encontrar a máscara de sub-rede da rota de sumarização, escreva N números 1 binários, sendo N o número de bits em comum encontrados no Passo 2. Complete a máscara de sub-rede com todos os zeros binários. Converta para decimal, 8 bits de cada vez, quando tiver terminado. Passo 5 Confira seu trabalho calculando o intervalo de endereços IP válidos indicados pela nova rota de sumarização, comparando o intervalo com as sub-redes sumarizadas. A nova sumarização deve abranger todos os endereços IP das sub-redes sumarizadas. Observando os números de sub-rede em binário, você pode descobrir mais facilmente os bits em comum entre todos os números de sub-rede. Ao utilizar o maior número de bits em comum, você consegue achar a melhor sumarização. As duas próximas seções mostram dois exemplos utilizando esse processo para encontrar as melhores rotas de sumarização, mais concisas e enxutas, para a rede apresentada na Figura 5-1.

Exemplo de "melhor" sumarização em Seville Seville possui as sub-redes 10.3.4.0, 10.3.5.0, 10.3.6.0 e 10.3.7.0, todas com a máscara 255.255.255.0. Comece o processo escrevendo todos os números de sub-rede em binário: 0000 1 01 0 0000 0011 0000 01 00 0000 0000 - 10.3 . 4 . 0 000 0 10 1 0 0000 0011 0000 01 0 1 0 000 0 000 - 10 . 3.5.0 0000 1010 0000 0011 0000 01 10 0000 0000 - 10.3.6.0 0000 1010 0000 0011 0000 01 11 0000 0000 - 10.3.7 . 0

O Passo 2 requer que você encontre todos os bits em comum no início de todas as sub-redes. Mesmo antes de examinar os números em binário, é possível perceber que os dois primeiros octetos são idênticos em todas as quatro sub-redes. Portanto, uma rápida olhada nos primeiros 16 bits de todos os quatro números de sub-rede confirma que todas têm o mesmo valor. Isso significa que a parte em comum (passo 2) tem, pelo menos, 16 bits de comprimento. Um exame mais minucioso mostra que os primeiros 6 bits do terceiro octeto também são idênticos, mas o sétimo bit do terceiro octeto possui alguns valores diferentes entre as diferentes sub-redes. Portanto, a parte em comum dessas quatro sub-redes são os primeiros 22 bits. O Passo 3 diz para criar um número de sub-rede para a sumarização tomando os mesmos bits da parte em comum e escrever os zeros binários para o resto. Neste caso:

•

•• •• •• •• •• •• •• •

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •

CCNA ICND 2

157

0000 1010 0000 0011 0000 01 00 0000 0000 - 10.3 .4. 0

Passo 4 cria a máscara utilizando os 1 binários para os mesmos bits da parte em comum, que são os primeiros 22 bits neste caso, e, depois, os zeros binários para os bits restantes, da seguinte forma: 1111 1111 1111 1111 1 111 11 00 0000 0000 - 2 55. 25 5. 252 .0

Portanto, a rota de sumarização utiliza a sub-rede 10.3.4.0, com a máscara 255.255.252.0. O Passo 5 sugere um método para conferir o seu trabalho. A rota de sumarização deve incluir todos os endereços IP nas rotas sumarizadas. Neste caso, o intervalo de endereços para a rota de sumarização começa com 10.3.4.0. O primeiro endereço IP válido é 10.3.4.1, o último endereço IP válido é 10.3.7.254 e o endereço de broadcast é 10.3.7.255. Neste caso, a rota de sumarização inclui todos os endereços IP nas quatro rotas que ela sumariza e nenhum outro endereço IP estranho.

• Exemplo de "melhor" sumarização em Vosemite As quatro sub-redes em Yosemite não podem ser sumarizadas com tanta eficiência quanto em Seville. Em Seville, a própria rota de sumarização cobre o mesmo conjunto de endereços IP que as quatro sub-redes sem nenhum endereço extra. Como você verá, a melhor rota de sumarização em Yosernite inclui duas vezes mais endereços na sumarização do que aqueles que existem nas quatro sub-redes originais. Yosernite possui as sub-redes 10.2.1.0, 10.2.2.0, 10.2.3.0 e 10.2.4.0, todas com a máscara 255.255.255 .0. O processo começa no Passo 1 escrevendo todos os números de sub-rede em binário: 0000 1010 0000 0010 0000 0000 1010 0000 0010 0000

o o

001 0000 0000 - 10.2.1.0 010 0000 0000 - 10.2.2.0

0000 1010 0000 0010 0000 O 011 0000 0000 - 10.2.3.0 0000 1010 0000 0010 0000 O 100 0000 0000 - 10.2 . 4.0

• •

No Passo 2, aparentemente, os dois primeiros octetos são idênticos em todas as quatro sub-redes, acrescido dos primeiros 5 bits do terceiro octeto. Portanto, os primeiros 21 bits dos quatro números de sub-rede são em comum.

• •

O Passo 3 diz para criar um número de sub-rede para a rota de sumarização tomando o mesmo valor para a parte em comum e zeros binários para o resto. Neste caso:

• • •• •• • • Sumarização automática e redes classful não-contíguas • 0000 1010 0000 0010 0000 O 000 0000 0000 - 10.2.0.0

•

O Passo 4 cria a máscara utilizada para a rota de sumarização utilizando os 1 binários para a parte em comum e zeros binários para o resto. A parte em comum deste exemplo são os primeiros 21 bits: 1111 1111 1111 1111 1111 1 000 0000 0000 - 255.255 . 248.0

•

Portanto, a melhor sumarização é 10.2.0.0, com a máscara 255 .255.248.0.

O Passo 5 sugere um método para conferir o seu trabalho. A rota de sumarização deve definir um superconjunto dos endereços IP nas rotas sumarizadas. Neste caso, o intervalo de endereços começa com 10.2.0.0. O primeiro endereço IP válido é 10.2.0.1, o último endereço IP válido é 10.2.7.254 e o endereço de broadcast é 10.2.7.255. Neste caso, a rota de sumarização sumariza um conjunto maior de endereços do que simplesmente as quatro sub-redes, mas inclui todos os endereços de todas as quatro sub-redes.

• • •

•• •• •

Conforme abordado nas seções anteriores, a sumarização manual de rotas pode melhorar a eficiência no roteamento, reduzir o consumo de memória e melhorar a convergência através da redução do tamanho das tabelas de roteamento. As seções finais deste capítulo examinam a sumarização automática de rotas nos limites das redes classful, utilizando um recurso chamado sumarização automática. Como os protocolos de roteamento classful não anunciam informações sobre a máscara da sub-rede, as atualizações de roteamento simplesmente listam os números de sub-rede sem, porém, mostrar a máscara. Um roteador que receba uma atualização de roteamento através de um protocolo de roteamento classful presta atenção ao número de sub-rede de atualização, mas é preciso que ele faça algumas suposições sobre qual máscara está associada à sub-rede. Com os roteadores Cisco, por exemplo, se RI e R2 tiverem redes conectadas da mesma e única rede Classe A, B ou C, e se R2 a receber uma atualização de RI, R2 supõe que as rotas descritas na atualização de RI utilizem a mesma máscara

158 Capítulo 5: VLSM e sumarização de rotas de R2. Em outras palavras, os protocolos de roteamento classful requerem um SLSM (static-length subnet mask, ou máscara de sub-rede de comprimento fixo) por toda a extensão de cada rede classful para que cada roteador possa supor razoavelmente que a máscara configurada para suas próprias interfaces seja a mesma máscara utilizada em toda aquela rede classful. Quando um roteador possui interfaces em mais de uma rede Classe A, B ou C, ele pode anunciar uma única rota para toda uma rede Classe A, B ou C na outra rede classful. Este recurso é chamado sumarização automática, e pode ser caracterizado da seguinte forma:

/;~;~o Quando anunciadas em uma interface cujo endereço IP não esteja na rede X, as rotas relacionadas às sub-redes da \~have rede X são sumarizadas e anunciadas como uma única rota. Esta rota vale para toda a rede X Classe A, B ou C.

Em outras palavras, se R3 possuir interfaces nas redes 10.0.0.0 e 11.0.0.0, quando ele anunciar atualizações de roteamento saindo das interfaces com endereços IP que começam com 11, as atualizações anunciarão uma única rota para a rede 10.0.0.0. Analogamente, R3 anuncia uma única rede até 11.0.0.0 saindo das suas interfaces cujos endereços IP começam com 10.

Exemplo de sumarização automática Como de costume, um exemplo esclarece bastante o conceito. Considere a Figura 5-4, que mostra duas redes em uso: 10.0.0.0 e 172.16.0.0. Seville possui quatro rotas (conectadas) a sub-redes da rede 10.0.0.0. O Exemplo 5-6 mostra o resultado do comando show ip route em Albuquerque, bem como o resultado debug ip rip RIP-1 .

Figura 5-4 Sumarização automática 10.3.4.0

Albuquerque

10.3.5.0

172.16.3.0

S6 tenho conhecimento da rede 10.0.0.0

10.3.6.0

SO/l

Seville

10.3.7.0

172.16.1.0 Máscara: 255.255.255.0

Exemplo 5-6 Rotas de Albuquerque e debugs R/P Albuquerque# ahow ip route Codes:C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP , EX - EIGRP externaI, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA externaI type 1, N2 - OSPF NSSA externaI type 2 E1 - OSPF externaI type 1, E2 - OSPF externaI type 2, E - EGP i - IS-IS , L1 - IS-IS level-1, L2 - I S-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route , o - ODR P - periodic downloaded static route Gateway of last resort is not set 172.16.0.0/24 is subnetted, 2 subnets C

172.16.1.0 is directly connected, EthernetO/O

C

172.16.3.0 i s d irectly connected , Serial0/1

R

10 . 0.0 . 0 / 8 [120/1] via 172.16 . 3.3 , 00:00 : 28, Serial0 / 1

Albuquerque#ddeebbuugg iipp rriipp RIP protocol debugging is on 00 :05:36: RIP: received v1 update fr om 172.16.3 . 3 on Seri al0 / 1 00:05:36:

10.0.0.0 in 1 hops

Conforme mostrado no Exemplo 5-6, a atualização recebida de Albuquerque no SerialO/1 de Seville anuncia somente toda a rede Classe A 10.0.0.0 porque a sumarização automática está ativada em Seville (como padrão). Em conseqüência disso, a tabela de roteamento IP de Albuquerque apresenta somente uma rota até a rede 10.0.0.0. Este exemplo também destaca outro recurso de como os protocolos de roteamento classful fazem suposições. Albuquerque não possui nenhuma interface na rede 10.0.0.0. Portanto, quando Albuquerque recebe a atualização de roteamento, ela

• ••

•• •

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• • • •

CCNA ICND 2

159

supõe que a máscara utilizada em 10.0.0.0 seja 255 .0.0.0, a máscara padrão para uma rede Classe A. Em outras palavras, os protocolos de roteamento c1assful esperam que ocorra uma sumarização automática.

• Redes classful não-contíguas • • • • •

A sumarização automática não causa nenhum problema desde que a rede sumarizada seja contígua em vez de nãocontígua. Os residentes dos EUA têm idéia do conceito de o que seja uma rede não-contígua com base no termo comumente usado contiguous 48 (os 48 contíguos), referindo-se aos 48 estados americanos com exceção do Alasca e do Havaí. Para ir de carro até o Alasca partindo dos 48 estados contíguos, por exemplo, deve-se passar por outro país (neste caso, o Canadá); portanto, o Alasca não é contíguo aos outros 48 estados, em outras palavras ele é não-contíguo.

•

Para entender melhor o que significam os termos contíguo e não-contíguo na comunicação em rede, use as duas definições formais a seguir quando estiver estudando um exemplo de rede c1assful não-contígua:

•

.......... - Rede contígua: rede c1assful na qual pacotes enviados entre cada par de sub-redes podem passar somente através 6PlcO ... h.v. das sub-redes daquela mesma rede c1assful, sem ter de passar por sub-redes de qualquer outra rede c1assful.

e

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •• • •

- Rede não-contígua: rede c1assful na qual pacotes enviados entre, pelo menos, um par de sub-redes deve passar por sub-redes de uma rede c1assful diferente. A Figura 5-5 mostra um exemplo de uma rede 10.0.0.0 não-contígua. Neste caso, pacotes enviados das sub-redes da rede 10.0.0.0 à esquerda, próxima a Yosernite, para as sub-redes da rede 10.0.0.0 à direita, próxima a Seville, têm de passar através das sub-redes da rede 172.16.0.0.

Figura 5-5 Rede 10.0.0.0 não-contígua

10.3.4.0

10.2.1.0 172.16.2.0

10.2.2.0 10.2.3.0 10.2.4.0

10.3.5.0 10.3.6.0

SOlO

Yosemite

Seville

10.3.7.0

172.16.1.0 Máscara: 255.255.255.0

A sumarização automática impede que uma inter-rede com uma rede não-contígua funcione adequadamente. O Exemplo 5-7 mostra os resultados do uso da sumarização automática na inter-rede mostrada na Figura 5-5, neste caso utilizando o protocolo de roteamento c1assful RIP-l .

Exemplo 5-7 Tabela de roteamento de Albuquerque: a sumarização automática causa problemas de roteamento com a rede 10.0.0.0 não-contígua Albuquerque# 8how ip route Codes:C - connected, S - static , I - IGRP, R - RIP, M - mobile , B - BGP D - EIGRP, EX - EIGRP externaI, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA externaI t ype 1, N2 - OSPF NSSA externaI type 2 E1 - OSPF externaI type 1, E2 - OSPF externaI type 2, E - EGP i

-

IS-IS, L1 - IS - IS level-1, L2 - IS-IS level-2 , ia - IS-IS inter area

- candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last resort is not set 72 . 16 . 0.0/24 is subnetted,

c c c R

3 subnets

172 . 16.1.0 is directly connected, EthernetO I O 172.16.2 . 0 is directly connected, SerialO I O 172.16 . 3.0 is directly connected, Serial0/1 10.0.0.0 / 8

[1 2 0 / 1] via 172 . 16.3 . 3 ,

00: 00: 13 , Seri al0 /1

[120 / 1] via 172.16.2.2 ,

00: 0 0 :04 , Seri al O/O

160

Capítulo 5: VLSM e sumarização de rotas

Conforme mostrado no Exemplo 5-7, Albuquerque agora possui duas rotas até a rede 10.0.0.0/8: uma apontando para a esquerda em direção a Yosemite e uma apontando para a direita em direção a Seville. Em vez de enviar pacotes destinados às sub-redes de Yosemite saindo pelo Serial O/O, Albuquerque envia alguns pacotes saindo pelo SO/1 até Seville! Albuquerque simplesmente equilibra os pacotes através das duas rotas, porque, pelo que Albuquerque saiba, as duas rotas são simplesmente rotas de custo igual até o mesmo destino: toda a rede 10.0.0.0. Portanto, os aplicativos deixariam de funcionar corretamente nesta rede. A solução para este problema é desativar o uso da sumarização automática. Como os protocolos de roteamento c1assful devem utilizar sumarização automática, a solução requer a migração para um protocolo de roteamento c1assless e a desativação do recurso de sumarização automática. O Exemplo 5-8 mostra a mesma inter-rede da Figura 5-5 e do Exemplo 5-7, mas dessa vez com o EIGRP (c1assless), com a sumarização automática desativada.

•• • •

• • _

• ., •

-I ·1 :1

Exemplo 5-8 Protocolo de roteamento classless sem nenhuma sumarização automática permite redes não-contíguas • Albuquerque# show ip route Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP externaI, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA externaI type 1, N2 - OSPF NSSA externaI type 2

••

E1 - OSPF externaI type 1, E2 - OSPF externaI type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route

172.16.0.0/24 is subnetted, 3 subnets 172.16.1.0 is directly connected, EthernetO/O

C C

172.16.2 . 0 is directly connected, SerialO/O

C

172.16.3.0 is directly connected, Serial0/1 10.0.0.0/24 is subnetted, 8 subnets

D

10 . 2 . 1.0/24 [90/2172416] via 172.16 . 2.2,

D

10.2.2.0/24 [90/2297856] via 172.16.2.2, 00:00:01, SerialO/O

00 : 00:01, SerialO/O

D

10.2.3 . 0/24 [90/2297856] via 172.16 . 2.2,

D

10.2.4.0/24 [90/2297856] via 172.16.2.2, 00 : 00:01, SerialO/O

D

10.3.5.0/24 [90/2297856] via 172 .16.3.3,

00: 00 : 29, Serial0/1

D

10.3.4.0/24 [90/2172416] via 172 . 16.3.3,

00:00 : 29, SerialO/1

D

10.3.7.0/24 [90/2297856] via 172.16.3.3,

00:00:29, Serial0/1

D

10.3 . 6 . 0/24

00:00:29,

[90/2297856] via 172.16.3.3,

00 : 00:01, SerialO/O

Serial0/1

Com a sumarização automática desativada em Yosemite e em Seville, nenhum dos roteadores anuncia uma sumarização automática da rede 10.0.0.0/8 até Albuquerque. Pelo contrário, cada roteador anuncia as sub-redes conhecidas e, portanto, agora Albuquerque conhece as quatro sub-redes LAN que saem de Yosemite bem como as quatro sub-redes LAN que saem de Seville.

Configuração e suporte à sumarização automática Os protocolos de roteamento c1assful devem utilizar sumarização automática. Alguns protocolos de roteamento c1assless aceitam sumarização automática, utilizando-a automaticamente, mas com a capacidade de desativá-la com o subcomando de roteador no autosummary. Outros protocolos de roteamento c1assless, principalmente o OSPF (Open Shortest Path First, algo como "Abra o Caminho Mais Curto Primeiro"), simplesmente não aceitam sumarização automática. A Tabela 5-5 resume os fatos sobre sumarização automática em roteadores Cisco. .......... ! T6plco

~ Chave

Tabela 5-5 Aceitação e padrões de sumarização automática Protocolo de roteamento

RIP-l

....

Classless? Aceita sumarização Usa automaticamente a automática? sumarização automática? Não

Sim

•• •• •• •• •• •• • • •• •• • •• ••

-

Gateway of last resort is not set

Sim

Pode desativar a sumarização automática? Não

.'., --

• • •

RIP-2

Sim

Sim

Sim

Sim

•

EIGRP

Sim

Sim

Sim

Sim

:

OSPF

Sim

Não

• •

Observe também que o recurso de sumarização automática causa impacto sobre os roteadores que se conectam diretamente a partes de mais de uma rede classful. Na Figura 5-5, por exemplo, a solução (conforme mostrado no Exemplo 5- 8) requer o subcomando EIGRP no auto-summary tanto em Yosemite quanto em Seville. Entretanto, neste caso, Albuquerque, cujas interfaces estão todas dentro de uma única rede (a rede Classe B 172.16.0.0), não mudaria o seu comportamento com os comandos auto-summary ou no auto-summary configurados .

CCNA ICND 2

. • •

161

.

----------------------------------------------------------

• Atividades de preparação para o exame

•• Revise todos os tópicos-chave • •

Revise os tópicos mais importantes deste capítulo, indicados com o ícone Tópicos-Chave na margem externa da página. A Tabela 5-6 relaciona estes tópicos-chave e os números das páginas nas quais cada um é encontrado.

•

Tabela 5-6 Tópicos-chave do Cq.pítulo 5

!;~!o Elemento do tópico-chave

Descrição

Número da página

...c. .

".

Tabela 5-2

Lista de protocolos de roteamento IP, com fatos sobre classless/classful, suporte a VLSM e suporte à sumarização

148

Estratégia formada por dois passos para encontrar sub-redes VLSM sobrepostas

149

Estratégia formada por cinco passos para escolher uma nova sub-rede VLSM sem sobreposição

151

• • • •

Lista

.

-.--------------------------------------------------------------

•

Lista

.

---------------------------------------------------------------

•

Definição

Definição generalizada de sumarização automática

158

•

Definições

Definições de rede contígua e rede não-contígua

159

• •

Tabela 5-5

• • •

Imprima uma cópia do Apêndice J, "Tabelas de memória" ou, pelo menos, a seção referente a este capítulo, e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das Tabelas de Memória", também inclui tabelas e listas completadas para você conferir o seu trabalho.

•

Lista

Processo formado por cinco passos para encontrar a melhor rota manual de sumarização

Lista de protocolos de roteamento e fatos relacionados à sumarização automática

•• Complete as tabelas e listas usando a memória

156

160

: Definições de termos-chave • • •

••

Defrna os seguintes termos-chave encontrados neste capítulo e verifique suas respostas no glossário: mascaramento de sub-redes de extensão variável, protocolo de roteamento classful, protocolo de roteamento classless, rede classful, rede contígua, rede não-contígua, rota de sumarização, sub-redes sobrepostas, sumarização automática.

162

Capítulo 5: VLSM e sumarização de rotas

Leia os cenários do Apêndice F o Apêndice F -

disponível no idioma original no site da editora: www.altabooks.com.br - , "Additional Scenarios", contém cinco cenários detalhados que lhe dão a chance de analisar diversos projetos, problemas e resultados de comandos mostrando-lhe como os conceitos de vários capítulos estão inter-relacionados. O Cenário 1 do Apêndice F, Parte A, e todo o Cenário 5 oferecem a oportunidade de praticar e desenvolver habilidades com o VLSM.

Referência aos comandos para verificar sua memória

••

•• • • • •

•• •

Este capítulo introduz somente um novo comando que ainda não foi apresentado neste livro, isto é, o comando do modo . de configuração do roteador [no] auto-summary. Esse comando ativa a sumarização automática (omitindo a opção no) • ou desativa a sumarização automática (usando a opção no).

Este capítulo inclui essa seção de referência a comandos para que você se lembre desse único comando apresentado • neste capítulo. •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND 2

•• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

163

•• •• •• ••

Este capítulo aborda os seguintes assuntos: Listas de controle de acesso IP padrão: esta seção explica como as ACLs (Access Control Lists, ou listas de controle de acesso) funcionam e como configurá-las.

Listas de controle de acesso IP estendidas: esta seção examina a maior complexidade das ACLs estendidas e como configurá-las.

Avanços no gerenciamento da configuração de ACLs: esta seção examina as nuances de dois avanços importantes feitos na configuração de ACLs com o passar dos anos: ACLs nomeadas e números de seqüência. Tópicos variados sobre ACLs: esta seção explica alguns conceitos adicionais sobre ACLs.

•• ••• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •

CAPíTULO

•

6

: Listas e controle de acesso IP

••

•• •• •

•• •• ••

A segurança de redes é um dos tópicos mais discutidos em comunicação de redes atualmente. Embora a segurança sempre tenha sido importante, a explosão da dimensão e da abrangência da Internet criou mais situações em que a segurança fica exposta. Antigamente, a maioria das empresas não estava permanentemente conectada a uma rede global- uma rede através da qual os outros pudessem ilegalmente acessar suas redes. Hoje em dia, como a maioria das empresas está conectada à Internet, muitas delas obtêm uma receita significativa através de suas operações baseadas na rede - fatos estes que aumentam a exposição e o impacto causado quando a segurança é quebrada. Os roteadores Cisco podem ser utilizados como parte de uma boa estratégia de segurança geral. Uma das ferramentas mais importantes dos softwares Cisco lOS utilizadas como parte dessa estratégia são as listas de controle de acesso (ou ACLs, do inglês Access Controllists). As ACLs definem regras que podem ser usadas para impedir que certos pacotes passem pela rede. Seja porque você simplesmente deseja limitar o acesso ao servidor da folha de pagamentos somente a pessoas do departamento financeiro ou porque esteja tentando impedir que hackers da Internet destruam o seu servidor Web de comércio virtual, as ACLs do lOS podem ser uma ferramenta de segurança essencial que faz parte de uma estratégia de segurança maior.

•• • : Questionário "Eu já conheço isto?" ••

• •

•• •

Este capítulo está na Parte 11 deste livro, que é orientada para os tópicos referentes a roteamento IP. A razão de ele estar na Parte 11 é que o uso mais comum das ACLs nos exames CCNA é a filtragem de pacotes. Portanto, enquanto os Capítulos 4 e 5 discutem vários recursos que causam impacto sobre o processo de roteamento IP para permitir a passagem de pacotes, este capítulo examina as ACLs que impedem que determinados pacotes fluam pela rede.

O questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Não errando mais que uma das oito questões de auto-avaliação, você pode passar direto para a seção "Atividades de Preparação para o Exame". A Tabela 6-1 relaciona os principais títulos deste capítulo e as questões do questionário "Eu já conheço isto?", abordando o material destas seções. Isso ajudará você a avaliar o seu conhecimento nestas áreas específicas. As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

Tabela 6-1 Mapeamento entre a seção dos tópicos fundamentais e as questões do "Eu já conheço isto?" Seção dos tópicos fundamentais

Questões

•

Listas de controle de acesso IP padrão

1-3

•

Listas de controle de acesso IP estendidas

4-6

•

•

Avanços no gerenciamento da configuração de ACLs

7e8

•

Tópicos variados sobre ACLs

9 elO

• •

1. Barney é um host cujo endereço IP é 10.1.1.1 na sub-rede 10.1.1.0/24. Qual das opções a seguir apresenta coisas que uma ACL IP padrão poderia estar configurada para fazer?

•• •• ••

a. Combinar o endereço IP origem exato

b. Combinar os endereços 1P de 10.1.1.1 até 10.1.1.4 com um comando access-list sem combinar outros endereços 1P c. Combinar todos os endereços 1P da sub-rede de Barney com um comando access-list sem combinar outros endereços 1P

d. Combinar somente o endereço IP de destino do pacote

166 Capítulo 6: Listas e controle de acesso IP 2. Qual das seguintes máscaras curinga (wildcard mask) é mais útil para a combinação de todos os pacotes IP da subrede 10.1.128.0, máscara 255.255.255.0?

a.O.O.O.O b.0.0.0.31 c. 0.0.0.240 d. 0.0.0.255 e. 0.0.15.0 f.0.0.248.255 3. Qual das seguintes máscaras curinga (wildcard mask) é mais útil para a combinação de todos os pacotes IP da subrede 10.1.128.0, máscara 255.255.240.0?

a.O.O.O.O b.0.0.0.31 c. 0.0.0.240 d. 0.0.0.255 e. 0.0.15.255 f.0.0.248.255 4. Qual dos seguintes campos não pode ser comparado com base em uma ACL IP estendida? a. Protocolo b. Endereço IP origem c. Endereço IP de destino d. TOS byte

e. URL f. Nome do arquivo para transferências FfP 5. Qual dos seguintes comandos access-list permite tráfego que combine pacotes que partem do host 10.1.1.1 para todos servidores Web cujos endereços IP comecem com 172.16.5? a. access-list 101 permi t tcp host 10.1.1.1 172.16.5. O O. O. 0.255 eq www b. access-list 1951 permit ip host 10.1.1.1 172.16.5.0 0.0.0.255 eqwww c. access-list 2523 permit ip host 10.1.1.1 eq www 172.16.5.0 0.0.0.255 d. access-list 2523 permit tcp host 10.1.1.1 eq www 172.16.5. O O. O. 0.255 e. access-list 2523 permit tcp host 10.1.1.1172.16.5.0 0.0.0.255 eq www

6. Qual dos seguintes comandos access-list permite tráfego que combine pacotes direcionados a qualquer cliente Web vindos de todos os servidores Web cujos endereços IP comecem com 172.16.5? a. access-list 101 permit tcp host 10.1.1.1 172.16.5.0 0.0.0.255 eqwww b. access-list 1951 permit ip host 10.1.1.1 172.16.5.0 0.0.0.255 eqwww c. access-list 2523 permit tcp any eq www 172.16.5.0 0.0.0.255 d. access-list 2523 permit tcp 172.16.5.0 0.0.0.255 eqwww 172.16.5.0 0.0.0.255 e. access-list 2523 permit tcp 172.16.5. O O. O. 0.255 eq www any

•

•• •• •

•• •

•• •• •

•• •• •

•• •• •• •• •• •• ••

•• •• •• •• •• •

•

•• •• •

•• •• •• •• •• •• •• •• •• •

•• •• •

CCNA ICND2

167

7. Qual dos seguintes campos pode ser comparado utilizando uma ACL IP estendida nomeada mas não uma ACL IP estendida numerada?

a. Protocolo b. Endereço IP origem

c. Endereço IP de destino d. TOS byte e. Nenhuma das respostas acima. 8. Em um roteador executando lOS 12.3, um engenheiro precisa excluir a segunda linha da ACL 101, que atualmente possui quatro comandos configurados. Qual das seguintes opções poderia ser utilizada?

a. Excluir toda a ACL e reconfigurar as três sentenças da ACL que devem permanecer na ACL. b. Excluir uma linha da ACL utilizando o comando no access-list. .. c. Excluir uma linha da ACL entrando no modo de configuração ACL e, depois, excluir somente a segunda linha com base em seu número de seqüência.

d. Excluir as três últimas linhas daACL do modo de configuração ACL e, depois, acrescentar as duas últimas sentenças novamente à ACL.

9. Que diretriz geral você deve seguir ao instalar ACLs IP estendidas? a. Executar toda a filtragem no resultado, se for possível.

b. Colocar sentenças mais gerais logo no início da ACL. c. Filtrar os pacotes o mais próximo possível da origem. d. Ordenar os comandos da ACL com base nos endereços IP origem, do mais baixo para o mais alto, para melhorar o desempenho.

10. Qual das seguintes ferramentas requer o usuário final até a telnet e até um roteador para ganhar acesso a hosts do outro lado do roteador? a. ACLs nomeadas b. ACLs reflexivas c. ACLs dinâmicas d. ACLs baseadas em tempo

• Tópicos fundamentais

••

•• •• •• •• •• •

O Cisco lOS tem dado suporte às ACLs IP praticamente desde que os roteadores Cisco originais foram introduzidos ao comércio no final da década de 1980. O lOS identificou essas ACLs com um número. Anos mais tarde, como parte da introdução do l OS 11 .2, a Cisco acrescentou a capacidade de criar ACLs nomeadas. Essas ACLs nomeadas oferecem alguns outros pequenos benefícios quando comparadas às ACLs numeradas, mas ambas podem ser usadas para filtrar exatamente os mesmos pacotes exatamente com as mesmas regras. Finalmente, com a introdução do lOS 12.3, a Cisco melhorou novamente o suporte dado às ACLs, principalmente em relação à forma como o lOS permite aos engenheiros editarem ACLs existentes. Este último grande passo no progresso das ACLs durante os anos faz com que as ACLs numeradas e nomeadas dêem suporte exatamente aos mesmos recursos, em vez da única diferença óbvia de utilizar um número ou um nome para identificar a ACL. Por causa da história progressiva do suporte dado pela Cisco às ACLs, os exames CCNA continuam abordando muitas das mesmas informações e dos mesmos comandos de configuração que têm sido utilizados com roteadores Cisco há quase 20 anos. Para sustentar toda essa história, este capítulo dedica a maior parte de seu tempo explicando ACLs IP ACLs IP numeradas - utilizando os mesmos comandos e a mesma sintaxe disponíveis no lOS há muito tempo. De modo especial, este capítulo começa com uma descrição dos tipos mais simples de ACLs IP numeradas - as ACLs IP padrão.

168 Capítulo 6: Listas e controle de acesso IP A segunda seção examina as ACLs mais complexas, as ACLs IP estendidas, que podem ser utilizadas para examinar muitos mais campos dentro de um pacote IP. Logo em seguida, a próxima seção do capítulo descreve o suporte cada vez maior dado pelo lOS às ACLs - tanto a introdução de suporte às ACLs nomeadas com a versão lOS 11.2 quanto o acréscimo posterior de suporte dado aos números de seqüência das ACLs e à edição avançada de ACLs com o lOS 12.3. O capítulo termina abordando tópicos variados sobre ACLs.

Listas de controle de acesso IP padrão As ACLs IP fazem com que o roteador descarte alguns pacotes com base em critérios definidos pelo engenheiro de rede. O objetivo desses filtros é impedir tráfego indesejado na rede - seja impedindo hackers de penetrarem na rede ou simplesmente impedindo que os empregados utilizem sistemas que não deveriam. Listas de acesso devem simplesmente fazer parte da política de segurança de uma organização. A propósito, as listas de controle de acesso IP também podem ser utilizadas para filtrar atualizações de roteamento, para combinar pacotes por questões de priorização, para combinar pacotes para VPN tunneling e para combinar pacotes para implementar recursos relativos à qualidade de serviço. Você também vai ver ACLs usadas como parte da configuração do NAT (NetworkAddress Translation) no Capítulo 16, "Tradução de endereços de rede". Portanto, você vai ver ACLs na maioria dos outros exames de certificação Cisco à medida que for progredindo em sua carreira. Este capítulo aborda duas categorias principais de ACLs IP do lOS - padrão e estendida. As ACLs padrão utilizam uma lógica mais simples, enquanto as ACLs estendidas utilizam uma lógica mais complexa. A primeira seção deste capítulo aborda as ACLs IP padrão, seguido de uma seção sobre ACLs IP estendidas. Várias seções relacionadas aos dois tipos de ACLs encerram o capítulo.

Conceitos das ACLs IP padrão Os engenheiros precisam fazer duas escolhas importantes para qualquer ACL que vá filtrar pacotes IP: quais pacotes filtrar e onde, na rede, colocar a ACL. A Figura 6-1 serve como exemplo. Neste caso, suponha que Bob não tenha permissão de acesso ao Serverl , mas que Larry a tenha.

Figura 6-1 Locais em que a lógica da lista de acesso pode ser aplicada na rede

172.16.3.8 172.16.3.9

A lógica de filtragem pode ser configurada em qualquer um dos três roteadores em qualquer uma das suas interfaces. As linhas pontilhadas da figura mostram os pontos mais adequados nos quais aplicar a lógica de filtragem em uma ACL. Como o tráfego de Bob é o único tráfego que precisa ser filtrado e o objetivo é impedir acesso ao Serverl, a lista de acesso poderia ser aplicada a RI ou R3. E como a tentativa de transmissão de tráfego de Bob para o Serverl não precisaria passar por R2, R2 não seria um bom lugar para colocar a lógica da lista de acesso. Para fins desta discussão, considere que RI é onde a lista de acesso deve ser aplicada. O software Cisco lOS aplica a lógica de filtragem de uma ACL quando um pacote entra em uma interface ou quando ele sai da interface. Em outras palavras, o lOS associa uma ACL com uma interface, especificamente para o tráfego que entra ou sai da interface. Depois de escolher o roteador no qual você deseja colocar a lista de acesso, é necessário escolher a interface na qual a lógica de acesso será aplicada bem como se a lógica deverá ser aplicada a pacotes que estejam para entrar ou que estejam para sair.

• •• •• •• •• •• •• ••

•• •• •• •• •• •• •• •• •• •.' •• •• •• •• •

• •• •

•• •

•• •• •• •• .'•• •• •• •• •• •• •• •• •• •

••

•• •• •• •

CCNA ICND2

169

Suponha, por exemplo, que você deseje filtrar os pacotes de Bob enviados a ServerI. A Figura 6-2 mostra as opções de ftltragem do pacote.

Figura 6-2 Processamento interno em Ri com relação ao local em que Ri pode filtrar pacotes Roteador 1

/;~~;~o '. Chave

....

Permitir

Permitir

ACL

lógica de

de_feia

rotearnemo

EO

~

Q)

Cl

......

.......

s1

'---

ACL de.,...

Negar

Balde

deBIIB

Pacote IP

A lógica de ftltragem pode ser aplicada a pacotes que estejam entrando em SI ou que estejam saindo por EO em RI para combinar com o pacote enviado por Bob ao ServerI. Em geral, é possível ftltrar pacotes criando e ativando listas de acesso para pacotes de entrada e de saída em cada interface. Veja abaixo alguns recursos importantes das listas de acesso Cisco: - Os pacotes podem ser ftltrados ao entrarem em uma interface antes da decisão de roteamento. - Os pacotes podem ser ftltrados antes de saírem de uma interface após a decisão de roteamento.

- Negar é o termo usado no software Cisco lOS para indicar que o pacote será ftltrado. - Permitir é o termo usado no software Cisco lOS para indicar que o pacote não será ftltrado. - A lógica de ftltragem é configurada na lista de acesso. - No fim de cada lista de acesso existe uma sentença "negar todo o tráfego" implícita. Por isso, se um pacote não combinar com nenhuma das suas sentenças da lista de acesso, ele é bloqueado. Por exemplo, você pode criar uma lista de acesso em RI e ativá-la na interface SI de RI. A lista de acesso procuraria pacotes que viessem de Bob. Daí, a lista de acesso teria de ser ativada para pacotes que estivessem para entrar, porque nesta rede, os pacotes vindos de Bob entram em SI, e os pacotes destinados a Bob saem por SI. As listas de acesso têm dois passos principais em sua lógica: combinação e ação. A lógica de combinação examina cada pacote e determina se ele combina com a sentença access-list. O endereço IP de Bob, por exemplo, seria utilizado para combinar pacotes enviados por Bob. As ACLs IP dizem ao roteador para, quando uma sentença for combinada, ele tomar uma das duas ações seguintes: negar ou permitir. Negar significa descartar o pacote, e permitir indica que o pacote deve continuar em seu caminho. Portanto, a lista de acesso para impedir o tráfego de Bob até o servidor pode ser algo parecido com o seguinte: Procure pacotes com o endereço IP fonte de Bob e o endereço IP de destino do ServerI. Ao encontrá-los, descarte-os. Se encontrar qualquer outro pacote, não o descarte. Como era de se esperar, as ACLs IP podem se tornar bem mais difíceis do que na vida real. Mesmo uma pequena lista de critérios de combinação pode criar listas de acesso complicadas em várias interfaces em vários roteadores. Já ouvi falar de algumas redes de maior dimensão com algumas pessoas trabalhando em tempo integral cuja função nada mais é que planejar e implementar listas de acesso!

170 Capítulo 6: Listas e controle de acesso IP A Cisco chama os seus recursos de filtragem de pacotes de "listas de controle de acesso" em parte porque a lógica é criada com vários comandos de configuração que são considerados como estando na mesma lista. Quando uma lista de acesso tem várias entradas, o lOS procura a lista seqüencialmente até que a primeira sentença seja combinada. A sentença combinada determina a ação a ser tomada. As duas figuras em forma de diamante na Figura 6-2 representam a aplicação da lógica da lista de acesso. .......... A lógica que o lOS utiliza com uma ACL de várias entradas pode ser resumida da seguinte forma: [TópiCO \ Chave ". 1. Os parâmetros de combinação da sentença access-Iist são comparados com o pacote. 2. Se for feita uma combinação, a ação definida nesta sentença access-list (permitir ou negar) é executada. 3. Se não for feita nenhuma condenação no Passo 2, repita os Passos 1 e 2 utilizando cada sentença sucessiva daACL até que uma combinação seja feita. 4. Se não for feita nenhuma combinação com uma entrada da lista de acesso, a ação negar é executada.

Máscaras curinga (wildcard masks) As ACLs IP combinam pacotes observando os cabeçalhos IP, TCP e UDP do pacote. As listas de acesso estendidas podem verificar os endereços IP da fonte e do destino, bem como os números da porta da fonte e do destino, junto com vários outros campos. No entanto, as listas de acesso IP padrão podem examinar somente o endereço IP da origem. Independentemente do fato de você utilizar ACLs IP padrão ou estendidas, é possível dizer ao roteador para combinar com base no endereço IP inteiro ou com base apenas em parte do endereço IP. Se você quisesse, por exemplo, impedir o envio de pacotes de Bob para o Serverl, você observaria o endereço IP inteiro de Bob e do Serverl na lista de acesso. Mas e se os critérios tivessem que impedir que todos os hosts da sub-rede de Bob chegassem ao Serverl? Como todos os hosts da sub-rede de Bob têm os mesmos números em seus 3 primeiros octetos, a lista de acesso poderia simplesmente verificar os 3 primeiros octetos do endereço para combinar todos os pacotes com um único comando access-list. As máscaras curinga (wildcard masks) da Cisco definem a parte do endereço IP que deve ser examinada. Ao definir as sentenças da ACL, como será visto na próxima seção deste capítulo, é possível definir uma máscara curinga junto com um endereço IP. A máscara curinga diz ao roteador qual parte do endereço IP na sentença de configuração deve ser comparada com o cabeçalho do pacote. Suponha, por exemplo, que uma máscara indique que o pacote inteiro deva ser verificado e outra indique que somente os 3 primeiros octetos do endereço precisem ser examinados. (Quando estivesse usando uma máscara de sub-rede 255.255.255.0, você poderia optar por fazer isso para combinar todos os hosts IP na mesma sub-rede.) Para executar essa combinação, as listas de acesso da Cisco usam máscaras curinga. Máscaras curinga são parecidas com máscaras de sub-redes, mas não são a mesma coisa. Máscaras curinga representam um número de 32 bits, assim como as máscaras de sub-redes. Entretanto, os O bits da máscara curinga dizem ao roteador que aqueles bits correspondentes no endereço devem ser comparados quando a lógica de combinação estiver sendo executada. Os 1 binários da máscara curinga dizem ao roteador que esses bits não precisam ser comparados. Na verdade, muitas pessoas chamam esses bits de bits "tanto faz". Para ter uma idéia do que está por trás de uma máscara curinga, a Tabela 6-2 apresenta algumas das máscaras curinga mais populares, junto com seus significados.

/;~~~o

Tabela 6-2 Exemplo de máscaras curinga de uma lista de acesso Descrição

i, Chave

Máscara curinga

Versão binária da máscara

0.0.0.0

00000000.00000000.00000000.00000000 O endereço IP inteiro deve combinar

0.0.0.255

00000000.00000000.00000000.11111111

Só os primeiros 24 bits devem combinar

0.0.255.255

00000000.()()()()()()()(.11111111.11111111

Só os primeiros 16 bits devem combinar.

0.255.255.255

()()()()()()OO.11111111.11111111.11111111

Só os primeiros 8 bits devem combinar

....

• •• •

•• •• •• ••

•• •• •

••

••

•• •• •• •• •• •• •

•• •• •• •• ••

• •• •

••

••

••

•• •• •• •• •• •• •• ••

•• •• •

•• •• •• •• •• • ••

CCNA ICND2

171

255.255.255.255

11111111.11111111.11111111.11111111

Considera-se que automaticamente combine todo e qualquer endereço

0.0.15.255

()()()()()()()(.()()()()()()()(.()()()() 1111.11111111

Só os primeiros 20 bits devem combinar

0.0.3.255

()()()()()()()(.()()()()()()()(.0()()()()011.11111111

Só os primeiros 22 bits devem combinar

Os primeiros vários exemplos mostram os usos típicos da máscara curinga. Como pode ser visto, não é uma máscara de sub-rede. Um curinga 0.0.0.0 significa que o endereço IP inteiro deve ser examinado, e ser igual, para ser considerado uma combinação. 0.0.0.255 significa que o último octeto automaticamente combina, mas os 3 primeiros devem ser examinados, e assim por diante. De uma forma mais geral, a máscara curinga significa o seguinte: As posições dos bits do Obinário significam que a lista de acesso compara a posição do bit correspondente no endereço IP e certifica-se de que ela seja igual à mesma posição do bit no endereço configurado na sentença access-list. As posições dos bits do 1 binário são bits "tanto faz". Estas posições dos bits são imediatamente consideradas combinações. As últimas duas colunas da Tabela 6-2 mostram duas máscaras curinga que fazem sentido, mas não são óbvias. 0.0.15.255 em binário são 20 zeros binários seguidos de 12 números 1 binários. Isso significa que os 20 primeiros bits devem combinar. Analogamente, 0.0.3.255 significa que os primeiros 22 bits devem ser examinados para que se possa descobrir se eles combinam. Por que eles são úteis? Se a máscara de sub-rede for 255.255.240.0 e você quiser combinar todos os hosts na mesma sub-rede, o curinga 0.0.15.255 significa que todos os bits da rede e da sub-rede devem ser combinados, e considera-se que todos os bits de hosts automaticamente combinem. Da mesma forma, se você deseja filtrar todos os hosts em uma sub-rede que utiliza a máscara de sub-rede 255.255.252.0, a máscara curinga 0.0.3.255 combina os bits da rede e da sub-rede. Em geral, se você deseja uma máscara curinga que o ajude a combinar todos os hosts em uma subrede, inverta a máscara de sub-rede e você terá a máscara curinga correta.

Uma alternativa mais rápida para interpretar máscaras curinga Tanto as ACLs IP padrão (somente o endereço IP origem) quanto as estendidas (endereços origem e de destino) podem ser configuradas para examinar todos os endereços ou parte de um endereço IP com base na máscara curinga. Entretanto, principalmente para os exames, trabalhar com as máscaras em binário pode ser lento e trabalhoso a não ser que você domine conversões de binário para decimal ou de decimal para binário. Esta seção sugere um método mais fácil de trabalhar com máscaras curinga de ACLs que funciona bem se você já tiver dominado a matemática das sub-redes. Em muitos casos, uma ACL precisa combinar todos os hosts em uma determinada sub-rede. Para combinar uma subrede com uma ACL, você pode usar o seguinte atalho: - Utilize o número de sub-rede como o valor de endereço no comando access-list.

/;~;;~o '. Chave

- Utilize uma máscara curinga encontrada subtraindo a máscara de rede de 255.255.255.255.

....

Para a sub-rede 172.16.8.0255.255.252.0, por exemplo, use o número de sub-rede (172.16.8.0) como o parâmetro do endereço, e depois faça a seguinte matemática para encontrar a máscara curinga: 2 5 5.255 . 255 . 255 -

2 5 5.255.252.0 3 . 255

Algumas questões do exame podem não pedir que você identifique a sentença da ACL que precisa ser configurada, pedindo, entretanto, que você interprete alguns comandos access-list existentes. Normalmente, essas questões apresentam sentenças da ACL pré-configuradas; senão, você precisa exibir os conteúdos da ACL de um simulador de roteador e decidir com qual sentença um determinado pacote combina Para isso, é necessário determinar o intervalo de endereços IP combinados por uma determinada combinação de endereço/máscara curinga em cada sentença da ACL. Se você tiver dominado a matemática de sub-redes usando qualquer um dos atalhos decimais, evitando a matemática binária, outro atalho pode ser usado para analisar cada par formado pelo endereço e o curinga em cada comando da ACL. Para isso:

172

Capítulo 6: Listas e controle de acesso IP ..........

Passo 1 Utilize o endereço no comando access-list como se ele fosse um número de sub-rede.

f Tópico : Chave .....

Passo 2 Utilize o número encontrado subtraindo a máscara curinga de 255.255.255.255 como uma máscara de sub-rede. Passo 3 Trate os valores dos dois primeiros passos como um número de sub-rede e uma máscara de sub-rede e encontre o endereço de broadcast para a sub-rede. A ACL combina com o intervalo de endereços entre o número de sub-rede e o endereço de broadcast, inclusive. O intervalo de endereços identificado por este processo é o mesmo intervalo de endereços combinado pela ACL. Portanto, se você já consegue encontrar o intervalo de endereços de uma sub-rede rápida e facilmente, o uso deste processo para alterar a matemática da ACL pode ajudá-lo a encontrar a resposta com mais rapidez nos exames. Com o comando access-list 1 permit 172.16.200.0 0.0.7.255, por exemplo, você primeiro pensaria em 172.16.200.0 como um número de sub-rede. Em seguida, poderia calcular a máscara de sub-rede 255.255.248.0 pressuposta, como se segue: 255.255.255.255 255 255.248.0

o.

7.255 -

o.

A partir daí, utilizando qualquer processo que desejar, use a matemática das sub-redes para determinar se o endereço de broadcast dessa sub-rede seria 172.16.207.255. Portanto, o intervalo de endereços combinado por essa sentença daACL seria 172.16.200.0 até 172.16.207.255. Observação O Cenário 3 (Scenario 3) do Apêndice F - disponível no idioma original no site da editora: www.altabooks.com.br -, oferece a oportunidade de praticar como escolher uma máscara curinga para combinar com hosts em uma determinada sub-rede.

Configuração da lista de controle de acesso IP padrão A configuração das ACLs tende a ser mais simples do que a tarefa de interpretar o significado e as ações tomadas por uma ACL. Com este fim, esta seção apresenta um plano de ataque para configurar ACLs. Em seguida, mostra alguns exemplos que revisam a configuração e os conceitos implementados pelas ACLs. A sintaxe genérica do comando de configuração padrão das ACLs é access-list access-list-number {deny

I permit}

source [source-wildcard]

Uma lista de controle de acesso padrão utiliza uma série de comandos access-list que possuem o mesmo número. Os comandos access-list com mesmo número são considerados como se estivessem na mesma lista, com os comandos sendo apresentados na mesma ordem em que foram acrescentados à configuração. Cada comando access-list pode combinar com um intervalo de endereços lP fonte. Se ocorrer uma combinação, a ACL permite que o pacote continue seu caminho (ação pennit (permitir)) ou descarta o pacote (ação deny (negar)). Cada ACL padrão pode combinar com todos, ou somente parte, dos endereços lP origem do pacote. Observe que para ACLs lP padrão, o intervalo vai de 1 a 99 e de 1300 a 1999. A lista a seguir resume um processo de configuração sugerido. Não é necessário memorizar o processo para o exame; ele é simplesmente apresentado aqui como aUXIllo para estudos de revisão. .......... fT6plco Passo 1 Planeje a localização (roteador e interface) e o sentido (entrada ou saída) naquela interface: :, Chave .... a. As ACLs padrão devem ser colocadas próximas ao destino dos pacotes para que ele não descarte sem querer pacotes que não devam ser descartados. b. Como as ACLs padrão só podem combinar com o endereço lP origem de um pacote, identifique os endereços lP fonte dos pacotes à medida que eles caminham no sentido que está sendo examinado pela ACL. Passo 2 Configure um ou mais comandos de configuração global access-list para criar a ACL, mantendo em mente o seguinte: a. A lista é procurada seqüencialmente, usando a lógica da primeira combinação. Em outras palavras, quando um pacote combina com uma das sentenças do access-list, a procura termina, mesmo que o pacote ainda combine com sentenças subseqüentes.

• •• •• •• •• •• •• .'• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •

• •• ••

CCNA ICND2

173

b. A ação padrão, se um pacote não combinar com nenhum comando access-list, é negar (descartar) o pacote.

Passo 3 Ative a ACL da interface escolhida do roteador, no sentido correto, utilizando o subcomando de interface ip access-group number {in I out}.

•

A seguir, são apresentados dois exemplos de ACLs padrão.

:

ACL IP padrão: Exemplo 1

•• •• • •• •

o Exemplo 6-1 tenta parar o tráfego de Bob para o Serverl. Conforme mostrado na Figura 6-1 , Bob não tem permissão

•

•

•• •• •• •• •• •

•• •• •• •• •• •• •• •

de acesso ao Serverl. No Exemplo 6-1, a configuração ativa uma ACL para todos os pacotes que saem da interface EthernetO de RI. A ACL combina com um endereço fonte do pacote - o endereço IP de Bob. Observe que os comandos access-list estão na parte inferior do exemplo porque o comando show running-config também os apresenta próximo à parte inferior, após os comandos de configuração da interface.

Exemplo 6-1 Lista de acesso padrão em RI impedindo que Bob chegue ao ServerI interface EthernetO ip addre88 172.16.1.1 255.255.255.0 1-

ip aCCe88-gTOUp 1 out

acce88-1i8t 1 remark 8top a11 traffic wh08e 80urce IP i8 Bob acce88-1i8t 1 deny 172.16.3.10 0.0.0.0 acce88-1i8t 1 permit 0.0.0.0 255.255.255.255

Primeiro, concentre-se na sintaxe básica dos comandos. As listas de acesso IP padrão utilizam um número no intervalo de 1 a 99 ou de 1300 e 1999. Este exemplo utiliza a ACL número 1 em vez de outros números disponíveis, sem nenhum motivo específico. (Não há diferença alguma em utilizar um número ou outro, desde que ele esteja no intervalo correto. Em outras palavras, a lista 1 não é melhor nem pior que a lista 99.) Os comandos access-list, sobre os quais a lógica de combinação e de ação são defrnidas, são comandos de configuração global. Para ativar aACL em uma interface e definir o sentido dos pacotes aos quais a ACL é aplicada, utiliza-se o comando ip access-group. Neste caso, ele ativa a lógica para ACLl na EthernetO para pacotes que saem da interface. AACLl impede que os pacotes enviados por Bob saiam pela interface Ethernet de RI , com base na lógica de combinação do comando access-list 1 deny 172.16.3.10 0.0.0.0. A máscara curinga 0.0.0.0 significa "combinar com todos os 32 bits", portanto, somente pacotes cujo endereço IP combine exatamente com 172.16.3.10 combinam com essa sentença e são descartados. O comando access-list 1 permit 0.0.0.0 255.255.255.255, a última sentença da lista, combina com todos os pacotes, pois a máscara curinga 255.255.255.255 significa "tanto faz" em relação a todos os 32 bits. Em outras palavras, a sentença combina com todos os endereços IP origem. Esses pacotes são permitidos. Finalmente, observe que o engenheiro também acrescentou um comando access-list 1 remark à ACL. Esse comando permite o acréscimo de um comentário de texto, ou uma observação, para que você possa rastrear a finalidade da ACL. A observação somente aparece na configuração; ela não é apresentada no resultado do comando show. Embora pareça ser um exemplo simples, neste caso a lista de acesso 1 também impede que os pacotes de Bob enviados para o Server2 sejam entregues. Com a topologia mostrada na Figura 6-1, uma ACL de saída padrão na interface EO de RI não pode, de alguma forma, negar o acesso de Bob ao Serverl enquanto permite o acesso ao Server2. Para isso, é necessária uma ACL estendida que possa verificar os endereços da fonte e do destino.

É interessante notar que se os comandos do Exemplo 6-1 forem inseridos no modo de configuração, o lOS altera a sintaxe de configuração de alguns comandos. O resultado do comando show running-config no Exemplo 6-2 mostra o que o lOS realmente coloca no arquivo de configuração.

Exemplo 6-2 Lista de acesso padrão revisada impedindo que Bob alcance o Server I interface EthernetO ip addre88 172.16.1.1 255.255.255.0 ip acce88-group 1 out acce88-1i8t 1 remark 8top a11 traffic who8e 80urce IP i8 Bob

174 Capítulo 6: Listas e controle de acesso IP acceaa-liat 1 deny hoat 172.16.3.10 acceaa-liat 1 permit any

Os comandos do Exemplo 6-1 são alterados com base em três fatores. O Cisco lOS permite um estilo mais antigo e um estilo mais novo de configuração para alguns parâmetros. O Exemplo 6-1 mostra o estilo mais antigo, que o roteador passa para a configuração equivalente, de estilo mais novo, no Exemplo 6-2. Primeiro, o uso de uma máscara curinga 0.0.0.0 realmente significa que o roteador deve combinar com aquele endereço IP específico do host. A configuração de estilo mais novo utiliza a palavra-chave host emfrente ao endereço IP específico. A outra alteração feita na configuração de estilo mais novo envolve o uso da máscara curinga 255.255.255 .255 significando "combinar com qualquer coisa" . A configuração de estilo mais novo utiliza a palavra-chave any (qualquer) para substituir o endereço IP e a máscara curinga 255.255.255.255 . A palavra any (qualquer) simplesmente significa que qualquer endereço IP é combinado.

ACL IP padrão: Exemplo 2 O segundo exemplo de ACL IP padrão expõe mais questões relativas a ACLs. A Figura 6-3 e os Exemplos 6-3 e 6-4 mostram o uso básico das listas de acesso IP padrão, com duas visões gerais típicas na primeira tentativa de uma solução completa. Os critérios para as listas de acesso são os seguintes: •

Sam não tem permissão de acesso a Bugs ou a Daffy.

•

Hosts na Ethernet de Seville não têm permissão de acesso a hosts da Ethernet de Yosemite.

•

Todas as outras combinações são permitidas.

Figura 6-3 Diagrama de rede para o exemplo de lista de acesso padrão Bugs 10.1.1 .1

Daffy 10.1.1 .2

Albuquerque s1

~3,

'&.

~

'Ó ?

?

~

·0

sO Sub-rede10.1.129.0 s1

Yosemite

EO

s1

Sub· rede 10.1.3.0

Sub-rede 10.1.2.0

Sam 10.1.2.1

Emma 10.1.2.2

Seville

EO

Elmer 10.1.3.1

Red 10.1.3.2

Exemplo 6-3 Configuração de Yosemite para o exemplo de lista de acesso padrão interface aerial O ip acceaa-group 3 out !-

I

acceaa-liat 3 deny hoat 10.1.2.1 acceaa-liat 3 permit any

• •• •• •

•• •• ••

•• •• •• •• •• •• •• •• •• •• •• •

••

•• •• •• •

• •• •• •• •

•• •• •• •• ••

•• •

•• •• •• •• •• •• •• •• •• •• ••

•

CCNA ICND2

175

Exemplo 6-4 Configuração de Seville para o exemplo de lista de acesso padrão interface aerial 1 ip acceaa-group ,

out

acceaa-liat ,

deny 10.1.3.0 0.0.0.255

acceaa-liat ,

permit any

À primeira vista, essas duas listas de acesso parecem executar a função desejada. ACL 3, ativada para pacotes que saem da interface SO de Yosemite, cuida do critério 1, porque ACL 3 combina exatamente com o endereço IP de Sam. ACL 4, em Seville, ativada para pacotes que saem da sua interface S 1, cuida do critério 2, porque ACL 4 combina com todos os pacotes provenientes da sub-rede 10.1.3.0/24. Ambos os roteadores satisfazem o critério 3: um curinga permit any é utilizado na extremidade de cada lista de acesso para se sobrepor ao padrão, que é descartar todos os outros pacotes. Logo, aparentemente todos os critérios são satisfeitos. No entanto, quando um dos links WAN falha, podem aparecer alguns buracos nas ACLs. Se, por exemplo, o link de Albuquerque a Yosemite falhar, Yosemite apremde uma rota até 10.1.1.0/24 passando por Seville. Pacotes vindos de Sam, encaminhados por Yosemite e destinados a hosts em Albuquerque, saem da interface serial 1 de Yosemite sem serem infiltrados. Portanto, o critério 1 não é mais satisfeito. Analogamente, se o link de Seville a Yosemite falhar, Seville envia os pacotes passando por Albuquerque, roteando em tomo da lista de acesso ativada em Seville; portanto, o critério 2 não é mais satisfeito.

o Exemplo 6-5 ilustra uma solução alternativa, com toda a configuração de Yosemite - uma configuração que funciona mesmo quando alguns dos links falham. Exemplo 6-5 Configuração de Yosemite para o exemplo de lista de acesso padrão: solução alternativa para os Exemplos 6-3 e 6-4 interface aerial O ip acceaa-group 3 out

interface aerial 1 ip acceaa-group 3 out

interface ethernet O ip acceaa-group 4 out

acceaa-liat 3 remark meeta cri teria 1 acceaa-liat 3 deny hoat 11.1.2.1 acceaa-liat 3 permit any

acceaa-liat 4 remark meeta cri teria 2 acceaa-liat 4 deny 10.1.3.0 0.0.0.255 acceaa-liat 4 permit any

A configuração mostrada no Exemplo 6-5 resolve o problema dos Exemplos 6-3 e 6-4. A ACL 3 verifica o endereço IP fonte de Sam, que é ativado nos dois links seriais para tráfego de saída. Portanto, do tráfego que é roteado novamente por causa de uma falha no link WAN, os pacotes vindos de Sam continuam sendo filtrados. Para satisfazer o critério 2, Yosemite filtra pacotes à medida que eles saem de sua interface Ethernet. Por isso, independentemente de por qual dos dois links WAN os pacotes entram, os pacotes da sub-rede de Seville não são encaminhados para a Ethernet de Yosemite.

Listas de controle de acesso IP estendidas As listas de controle de acesso IP estendidas possuem semelhanças e diferenças quando comparadas com as ACLs IP padrão. Assim como as listas padrão, as listas de acesso estendidas são ativadas nas interfaces para pacotes que estejam entrando ou saindo da interface. O lOS procura a lista seqüencialmente. A primeira sentença combinada encerra a busca através da lista e define a ação a ser tomada. Todos esses recursos também são verdadeiros com relação a listas de acesso padrão.

176 Capítulo 6: Listas e controle de acesso IP A única diferença importante entre as duas é a variedade de campos do pacote que podem ser comparados para que as combinações possam ser feitas pelas listas de acesso estendidas. Uma única sentença de uma ACL estendida pode examinar várias partes dos cabeçalhos do pacote, exigindo que todos os parâmetros sejam combinados corretamente para que eles combinem com aquela sentença específica da ACL. Essa lógica de combinação é o que faz as listas de acesso estendidas serem muito mais úteis e mais complexas que as ACLs IP padrão. Esta seção começa com a abordagem dos conceitos relativos a ACLs IP estendidas que diferem das ACLs padrão, ou seja, a lógica de combinação. Em seguida, são abordados os detalhes de configuração.

Conceitos das ACLs IP estendidas As listas de acesso estendidas criam uma poderosa lógica de combinação examinando várias partes de um pacote. A Figura 6-4 mostra vários campos dos cabeçalhos dos pacotes que podem ser combinados.

•• •• ••

Figura 6-4 Opções de combinação de listas de acesso estendidas Cabeçalho IP

9 Campos de Cabeçalhos Variados

1

2

4

Soma de Endereço TIpo de verificação protocolo IP fonte do cabeçalho

4

Variável

Endereço IP de destino

Opções

TCP, UDP ICMP, IGRP,IGMP...

IDefine o que vem aqui

j

Cabeçalho IP

9 Campos de Cabeçalhos Variados

1

2

Soma de Protocolo Endereço verificação 6 (TCP) IP fonte do cabeçalho

••

TCP

4

Variável

2

Endereço IP de destino

Opções

Porta fonte

4

2

16+

Porta Rest. de de destino TCP

o conjunto de cabeçalhos na parte de cima mostra o tipo de protocolo IP, que identifica qual cabeçalho segue o cabeçalho IP. Você pode especificar todos os pacotes IP, ou aqueles com cabeçalhos TCP, cabeçalhos UDP, ICMP, e assim por diante, verificando o campo Protocolo. É possível também verificar os endereços IP da fonte e do destino, conforme mostrado. A parte inferior da figura mostra um exemplo com um cabeçalho TCP seguindo o cabeçalho IP, destacando o local dos números das portas TCP da fonte e do destino. Esses números de portas identificam o aplicativo. A Web, por exemplo, utiliza a porta 80 como padrão. Se você especificar um protocolo TCP ou UDP, é possível também verificar os números de portas. A Tabela 6-3 resume os campos mais comumente usados que podem ser combinados com uma ACL estendida, em comparação com as ACLs IP padrão. .......... Tabela 6-3 Listas de acesso IP padrão e estendidas: combinação ( Tópico

Tipo de lista de acesso

o que pode ser combinado

ACLs padrão e estendidas

endereço IP origem

:.....c:......

Partes do endereço IP fonte utilizando uma máscara curinga Somente ACLs estendidas

Endereço IP de destino Partes do endereço IP de destino utilizando uma máscara curinga Tipo de protocolo (TCP, UDP, ICMP, IGRP, IGMP e outros) Porta origem Porta de destino Todos os fluxos TCP exceto o primeiro

• •• •• •• •• •• • •• •• ••

•• •• •• •• •• ••

•• •• ••

• •• •

CCNA ICND2

177

TOS IP precedência IP

•• •• •

Saber o que procurar é apenas metade da batalha. O lOS verifica todas as informações da combinação configuradas em um único comando access-list. Tudo deve combinar com relação a este único comando para que ele seja considerado uma combinação e para que seja tomada a ação definida. As opções começam com o tipo de protocolo (IP, TCP, UDP, ICMP e outros), seguido do endereço IP origem, da porta origem, do endereço IP de destino e do número da porta de destino. A Tabela 6-4 apresenta vários exemplos de comandos access-list, com várias opções configuradas e algumas explicações. Somente as opções de combinação estão sombreadas.

•

Tabela 6-4 Comandos access-list estendidos e explicação da lógica

:

Sentença access-list

o que ela combina

•

access-list 101 deny ip any host 10.1.1.1

Qualquer pacote IP, qualquer endereço IP origem, com um endereço IP de destino 10.1.1.1

• •

access-list 101 deny tcp any gt 1023 uma host 10.1.1.1 eq 23

Pacotes com um cabeçalho TCP, qualquer endereço IP origem, com porta origem maior que (gt) 1023, um endereço IP de destino de exatamente 10.1.1.1, e uma porta de destino igual a (eq) 23

• •

access-list 101 deny tcp any host 10.1.1.1 eq 23

Idem ao exemplo anterior, mas qualquer porta origem combina, pois aquele parâmetro é omitido neste caso

• •

access-list 101 deny tcp any host 10.1.1.1 eq telnet

Idem ao exemplo anterior. A palavra-chave telnet é usada em vez da porta 23.

• •

access-list 101 deny udp 1.0.0.0 0.255.255.255 It 1023 any

Um pacote com uma origem na rede 1.0.0.0, usando UDP com uma porta origem menor que (It) 1023, com qualquer endereço IP de destino

:

Combinando os números das portas TCP e UDP

• •

• • •

As ACLs IP estendidas permitem a combinação do campo de protocolo do cabeçalho IP bem como a combinação dos números d~s portas TCP ou UD~ da fonte e d~ destino. Entretanto~ ~uitas pessoas encon~am difi~uldade ao }niciar a . configu~açao de ACLs que combmem com os numeros das portas, pnnclpalmente quando estão combmando o numero da porta ongem.

• •

Ao considerar qualquer questão do exame que envolva portas TCP ou UDP, tenha em mente os seguintes pontos essenciais:

. .. . . . .

MJ.6plco

...:-ha...

•• •• ••• •• ••

.

".

•

O comando access-list deve usar a palavra-chave tcp do protocolo para conseguir combinar as portas TCP e a palavra-chave udp para conseguir combinar as portas UDP. A palavra-chave ip não permite a combinação dos números das portas.

•

Os parâmetros da porta origem e da porta de destino no comando access-list são posicionais. Em outras palavras, sua localização no comando determina se o parâmetro examina a porta origem ou a porta de destino.

•

Lembre-se de que as ACLs podem combinar pacotes enviados a um servidor comparando a porta de destino com os números das portas bem-conhecidos (well-known). Entretarlto, as ACLs precisam combinar a porta origem para pacotes enviados pelo servidor.

•

Vale a pena memorizar os aplicativos TCP e UDP mais populares, e suas portas conhecidas, conforme apresentado na Tabela 6-5, mostrado mais adiante neste capítulo.

Considere, por exemplo, a rede simples mostrada na Figura 6-5. O servidor FTP fica à direita, com o cliente à esquerda. A figura mostra a sintaxe de uma ACL que combina •

Pacotes que incluem um cabeçalho TCP

•

Pacotes enviados da sub-rede do cliente

178

Capítulo 6: Listas e controle de acesso IP

•

Pacotes enviados à sub-rede do servidor

•

Pacotes com a porta de destino TCP 21

Figura 6-5 Filtrando pacotes com base na porta de destino

IFonte 172.16.1.1 Destino 172.16.3.1

I Fonte Destino> 1023 Destino Porta 21

172.16.1.0/24

Entrada

•

172.16.3.0/24172 .16.3.1

Saída Entrada

FaOIO

SOlO SO/1

access-list 101 permit tcp 172.16.1.0 0.0.0.255 172.16.3.0 0.0.0.255 eq 21

Para ter uma idéia completa da combinação da porta de destino com o parâmetro eq21, considere pacotes indo da esquerda para a direita, de PC1 para o servidor. Se o servidor estiver usando a bem-conhecida porta 21 (porta de controle FfP), o pacote enviado por PC1, no cabeçalho TCP, possui um valor de porta de destino igual a 21. A sintaxe da ACL inclui o parâmetro eq21 depois do endereço IP de destino, sendo que essa posição no comando indica que esse parâmetro combina com a porta de destino. Em conseqüência disso, a sentença da ACL mostrada na figura combinaria com esse pacote e com a porta de destino 21, se utilizada em qualquer um dos quatro locais indicados pelas quatro setas na figura. Por outro ladó, a Figura 6-6 mostra o fluxo inverso, com um pacote enviado pelo servidor de volta em direção a PC1. Neste caso, o cabeçalho TCP do pacote possui uma porta fonte 21, e, portanto, a ACL deve verificar o valor 21 da porta fonte e deve estar localizada em interfaces diferentes.

Figura 6-6 Filtrando pacotes com base na porta fonte (;~;;~o \ Chave

".

Fonte 172.16.3.1 Destino 172.16.1.1

Fonte Porta 21DestinoPorta> 1023

172.16.1.0/24

Saída FaOIO

Entrada

172.16.3.0/24

172.16.3.1

Saída _____• Entrada

SOlO SO/1

FaOIO

access-list 101 permit tcp 172.16.3.0 0.0.0.255 eq 21 172.16.1.0 0.0.0.255

Para questões do exame que requeiram ACLs e a combinação de números de portas, considere primeiramente se a questão requer que a ACL seja colocada em um certo local e em um certo sentido. Em caso positivo, você pode determinar se aquela ACL processaria pacotes enviados ao servidor ou enviados pelo servidor. Neste ponto, você pode decidir se precisa verificar a porta de origem ou a porta de destino do pacote. Como referência, a Tabela 6-5 apresenta vários números de portas conhecidos e seus aplicativos e protocolos de camada de transporte. Observe que a sintaxe dos comandos access-list aceita tanto os números das portas quanto urna versão resumida do nome do aplicativo.

Tabela 6-5 Aplicativos populares e os conhecidos números de suas portas Palavras-chave do nome do aplicativo na sintaxe do comando access-list

Número(s) das portas

Protocolo

Aplicativo

20

TCP

Dados do FTP

ftp-data

21

TCP

Controle FfP

ftp

22

TCP

SSH

23

TCP

Telnet

telnet

25

TCP

SMTP

smtp

53

UDP, TCP

DNS

domain

• •• •• •• •• •• •• •• •• •• •• ••

•• •• •• •• •• •• •• •• •• •• •

•

CCNA ICND2

• •• •• •• •• • •

67,68

UDP

DHCP

nameserver

69

UDP

TFfP

tftp

80

TCP

HTTP (WWW)

www

110

TCP

POP3

pop3 snmp

161

UDP

SNMP

443

TCP

SSL

16,384-32,767

UDP

voz e vídeo baseado em RTP (VoIP)

179

: Configuração de ACLs IP estendidas

••

Como as ACLs estendidas podem combinar com tantos campos diferentes nos vários cabeçalhos de um pacote IP, a sintaxe do comando não pode ser facilmente resumida em um único comando genérico. Como referência, a Tabela 6-6 apresenta a sintaxe dos dois comandos genéricos mais comuns.

•

Tabela 6-6 Comandos de configuração de uma lista de acesso IP estendida

:

Comando

Modo de configuração e descrição

• •

access-Iist access-list-number {deny I permit} protocol source source-wildcard destination destination-wildcard log I log-input]

Comando global para listas de acesso estendidas numeradas. Use um número entre 100 e 199 ou 2000 e 2699, inclusive

•• •• •• •• •

access-Iist access-list-number {deny I permit} Versão do comando access-Iist com {tcp I udp} source source-wildcard [operator [port]] parâmetros TCP específicos destination destination-wildcard [operator [port]] [established] [log]

o processo de configuração para ACLs estendidas praticamente combina com o mesmo processo utilizado para ACLs padrão. O local e o sentido devem ser escolhidos primeiro para que os parâmetros da ACL possam ser planejados com base nas informações contidas nos pacotes que transitam naquele sentido. A ACL deve estar configurada com comandos access-list. Em seguida, a ACL deve ser ativada com o mesmo comando ip access-group utilizado em ACLs padrão. Todos esses passos permanecem os mesmos das ACLs padrão. Entretanto, as diferenças de configuração são resumidas da seguinte forma:

~.......

•

.:~o •

•• •• •• •• • •• •

As ACLs estendidas devem ser colocadas o mais próximo possível da fonte dos pacotes a serem filtrados, pois as ACLs estendidas podem ser configuradas para que não descartem pacotes que não deveriam ser descartados. Portanto, a filtragem próxima da fonte dos pacotes economiza um pouco de largura de banda.

• Todos os campos de um comando access-list devem combinar com um pacote para que se possa considerar que este pacote combina com aquela sentença access-Iist. •

O comando access-list estendido utiliza números entre 100 e 199 e entre 2000 e 2699, sendo que nenhum número é inerentemente melhor que o outro.

A versão estendida do comando access-Iist permite a combinação de números de portas usando várias operações básicas, tais como "igual a" e "menor que". Contudo, os comandos utilizam abreviações. A Tabela 6-7 apresenta as abreviações e uma explicação mais abrangente. Tabela 6-7 Operadores utilizados na combinação de números de portas Operador no comando access-Iist

Significado Igual a

eq ------------------------------------------------------------------------------------

• •• ••

180 Capítulo 6: Listas e controle de acesso IP neq

Não é igual a

It

Menor que

gt

Maior que

range

Intervalo dos números das portas

Listas de acesso IP estendidas: Exemplo 1 Este exemplo se concentra na compreensão da sintaxe básica. Neste caso, o acesso a todos os servidores na Ethemet de RI é negado a Bob e o acesso de Larry ao servidor Web Serverl também é negado. A Figura 6-7 relembra a topologia da rede. O Exemplo 6-6 mostra a configuração em RI. Figura 6-7 Diagrama de rede referente ao Exemplo i de listas de acesso estendidas

•• •• •• •• •• •

•• •

172.16.3.8 172.16.3.9

Exemplo 6-6 Lista de acesso estendida de Ri: Exemplo i interface SerialO ip address 172.16.12.1 255.255.255.0 ip access-group 101 in

interface Serial1 ip address 172.16.13.12 255.255.255.0 ip access-group 101 in

access-list 101 remark Stop Bob to FTP servers,and Larry to Server1 web access-list 101 deny tcp host 172.16.3.10 172.16.1.0 0.0.0.255 eq ftp access-1ist 101 deny tcp host 172.16.2.10 host 172.16.1.100 eq ww access-list 101 permit ip any any

No Exemplo 6-6, a primeira sentença da ACL impede o acesso de Bob aos servidores FTP na sub-rede 172.16.1.0. A segunda sentença impede o acesso de Larry aos serviços Web em Server1. A sentença final permite o tráfego todo. Concentrando-se na sintaxe por um momento, existem vários novos itens a revisar. Primeiro, o número da lista de acesso para listas de acesso estendidas cai no intervalo de 100 a 199 ou de 2000 a 2699. Seguindo a ação permit ou deny, o parâmetro protocol define se você deseja verificar todos os pacotes IP ou somente aqueles com cabeçalhos TCP ou UDP. Ao verificar os números das portas TCP ou UDP, é necessário especificar o protocolo TCP ou UDP. Este exemplo utiliza o parâmetro eq, significando "igual a", para verificar os números das portas de destino para o controle FTP (palavra-chave ftp) e o tráfego HTTP (palavra-chave www). Você pode usar os valores numéricos ou, para as opções mais populares, uma versão de texto mais óbvia é válida. (Se tivesse de inserir eq 80, a configuração mostraria eq www.)

•• •• ••

•• •• •• ••• •• •• •• •• ••

•

• • •

CCNA ICND2

181

• •

Neste primeiro exemplo de ACL estendida, as listas de controle de acesso poderiam ter sido colocadas em R2 e R3 em vez de em RI. Conforme será visto ao final deste capítulo, a Cisco faz algumas recomendações específicas sobre onde colocar ACLs IP. Em relação às ACLs IP estendidas, a Cisco sugere que você as coloque o mais próximo possível da origem do pacote. Portanto, o Exemplo 6-7 atinge o mesmo objetivo que o Exemplo 6-6 impedindo o acesso de Bob aos servidores FrP no site principal, e isso foi feito com uma ACL em R3 .

•

Exemplo 6-7 Lista de acesso estendida de R3 impedindo que Bob alcance os servidores FTP próximos a RI

• •• •• •• • •• •• •• •• •• •• •• •• •• •

interface EthernetO ip address 172.16.3.1 255.255.255.0

1_

...

•

•

•• •• •• •

ip access-group 101 in access-list 101 remark deny Bob to FTP servers in subnet 172.16.1.0/24 access-list 101 deny tcp host 172.16.3.10 172.16.1.0 0.0.0.255 eq ftp access-list 101 permit ip any any

A ACL 101 se assemelha bastante com a ACL 101 do Exemplo 6-6, mas desta vez, a ACL não se preocupa em verificar os critérios para combinar com o tráfego de Larry, pois o tráfego de Larry nunca entrará na interface Ethemet Ode R3. Como a ACL foi colocada em R3, próxima a Bob, ela presta atenção nos pacotes que Bob envia e que entram em sua interface EthemetO. Por causa da ACL, o tráfego FfP de Bob para 176.16.1.0/24 é negado, com todo o outro tráfego entrando na interface EO de R3 e chegando à rede. O Exemplo 6-7 não apresenta nenhuma lógica para impedir o tráfego de Larry.

Listas de acesso IP estendidas: Exemplo 2

o Exemplo 6-8, baseado na rede mostrada na Figura 6-8, mostra outro exemplo de como utilizar listas de acesso IP estendidas. Esse exemplo utiliza os mesmos critérios e a mesma topologia de rede do segundo exemplo de ACL IP padrão, conforme repetido abaixo: •

Sam não tem permissão de acesso a Bugs e Daffy.

•

Hosts da Ethemet de Seville não têm permissão de acesso a hosts na Ethemet de Yosemite.

•

Todas as outras combinações são permitidas.

Figura 6-8 Diagrama de rede referente ao Exemplo 2 de listas de acesso estendidas Bugs

Daffy

10.1 .1.1

10.1 .1.2

10.1.1.0

Seb-rede 10.1.129.0

Sam

Emma

Elmer

10.1.2.1

10.1.2.2

10.1.3.1

Red 10.1.3.2

182 Capítulo 6: Listas e controle de acesso IP Exemplo 6-8 Configuração de Yosemite referente ao Exemplo 2 de listas de acesso estendidas interface ethernet O ip access-group 110 in

access-list 110 deny ip host 10.1.2.1 10.1.1.0 0.0.0.255 access-list 110 deny ip 10.1.2.0 0.0.0.255 10.1.3.0 0.0.0.255 access-list 110 permit ip any any

Essa configuração resolve o problema com poucas sentenças seguindo, simultaneamente, as diretrizes de projeto da Cisco que diz para colocar ACLs estendidas o mais próximo possível da fonte do tráfego. A ACL ftltra pacotes que entram na interface EO de Yosemite, que é a interface do primeiro roteador onde entram pacotes enviados por Sam. A questão de ter pacotes "roteados em tomo" de listas de acesso em interfaces seriais é resolvida com sua colocação na única interface Ethemet de Yosemite. Além disso, a ftltragem exigida pelo segundo requisito (desfazer a permissão de acesso dos hosts LAN de Seville a Yosemite) é satisfeita pela segunda sentença access-list. Interromper o fluxo de pacotes da sub-rede LAN de Yosemite para a sub-rede LAN de Seville impede a comunicação efetiva entre as duas subredes. Outra opção seria ter configurado a lógica oposta em Seville.

Avanços no gerenciamento da configuração de ACLs Agora que você já tem um bom entendimento dos conceitos principais das ACLs IP do lOS, a próxima seção examina alguns avanços feitos no suporte dado pelo lOS às ACLs: ACLs nomeadas e números de seqüência de ACLs. Embora ambos os recursos sejam úteis e importantes, nenhum deles acrescenta nenhuma função em relação ao que um roteador pode ou não ftltrar, em comparação com as ACLs numeradas já abordadas neste capítulo. Pelo contrário, as ACLs nomeadas e os números de seqüência de ACLs dão ao engenheiro opções de configuração que facilitam lembrar-se dos nomes das ACLs e editar ACLs existentes quando é necessária a alteração de uma ACL.

Listas de acesso IP nomeadas As ACLs nomeadas, introduzidas com a versão do lOS 11.2, podem ser utilizadas para combinar os mesmos pacotes, com os mesmos parâmetros, que podem ser combinados com ACLs IP padrão e estendidas. As ACLs Entretanto, IP nomeadas apresentam, sim, algumas diferenças, algumas das quais facilitam o trabalho. A diferença mais nítida é que o lOS identifica as ACLs nomeadas usando nomes criados por você, em vez de números, pois é mais fácil você se lembrar de um nome. Além de usar nomes mais fáceis de lembrar, a outra vantagem das ACLs nomeadas em relação às ACLs numeradas, na época em que foram introduzidas no lOS, é que você podia excluir linhas individuais nas listas de acesso IP nomeadas. Em toda a história das ACLs IP numeradas e do comando global ip access-list, até a introdução do lOS 12.3, não se podia excluir nenhuma linha de uma ACL numerada. Se, por exemplo, você tivesse configurado anteriormente o comando ip access-list 101 permit tcp any any eq 80, e depois inserido o comando no ip 101 permit tcp any any eq 80, a ACL 101 inteira teria sido excluída! A vantagem da introdução de ACLs nomeadas é que você pode inserir um comando que remove linhas individuais daACL. Observação Com a versão do lOS 12.3, a Cisco expandiu o lOS para poder excluir linhas individuais em ACLs numeradas, igualando o suporte dado pelo lOS à edição de ACLs nomeadas e numeradas. Esses detalhes são explicados na próxima seção. A sintaxe de configuração é bastante semelhante entre as listas de acesso IP nomeadas e numeradas. Os itens que podem ser combinados com uma lista de acesso IP padrão numerada são idênticos aos itens que podem ser combinados com uma lista de acesso IP padrão nomeada. Analogamente, os itens são idênticos tanto nas listas de acesso IP estendidas numeradas quanto nas nomeadas. Existem duas diferenças de configuração importantes entre as ACLs numeradas no estilo antigo e as listas de acesso nomeadas mais novas. Uma diferença importante é que as listas de acesso nomeadas utilizam um comando global que coloca o usuário em um submodo da lista de acesso IP nomeada, sob o qual é configurada a lógica de combinação e de permissão/negação. A outra diferença é que ao excluir uma sentença de combinação nomeada, somente aquela sentença específica é excluída.

• •• •• •• •

•• •• •• •• ••

•• ••

•• •• •• •• •• •• •• •• •• •• ••

• •• •• •• •

CCNA ICND2

183

o Exemplo 6-9 mostra o uso de uma ACL IP nomeada. Ele apresenta a mudança no prompt de comando no modo de configuração, mostrando que o usuário foi colocado no modo de configuração de ACL. Apresenta também as partes pertinentes do resultado de um comando show running-configuration e termina com um exemplo de como excluir linhas individuais em uma ACL nomeada.

Exemplo 6-9 Configuração de uma lista de acesso nomeada

••• •• •• •• •• •• •• •• •• •• • .'•• •

•• ••

•• •• ••

conf t Enter configuration cornrnands, one per line. End with Ctrl-Z. Router(config)#ip access-list extended barney Router(config-ext-nacl)#permit tcp host 10.1.1.2 eq www any Router(config-ext-na cl)#deny udp host 10.1.1 . 1 10.1.2.0 0.0.0.255 Router (config-ext-na cl)#deny ip 10.1.3.0 0.0.0.255 10.1.2.0 0 . 0 . 0.255 ! The next statement is purposefully wrong so that the process of changing ! the list can be seen. Rout e r(config-ext-nacl)#deny ip 10.1.2.0 0.0.0.255 10.2.3.0 0.0.0.255 Router(config-ext-nacl)#deny ip host 10.1.1.130 host 10.1.3.2 Rou ter(config-ext - nacl)#deny ip host 10.1.1.28 host 10.1 . 3 . 2 Rout e r(config-ext-nacl)#permit ip any any Router(config-ext-nacl)#interface serial1 Router(config-if)#ip access-group barney out Rout e r(config-if)#AZ Router#show running- config Building configuration ... Current configuration:

unimportant statements omitted) interface serial 1 ip access-group barney out ip access-list ext e n ded barney permit tcp host 10 . 1 . 1.2 e q www any deny udp host 10.1.1 . 1 10.1.2.0 0.0 . 0.255 deny ip 10.1.3.0 0.0.0 . 255 10.1 . 2.0 0.0.0.255 deny ip 10 . 1.2.0 0 . 0.0.255 10.2 . 3.0 0.0.0.255 deny ip host 10 . 1.1.130 host 10.1.3.2 d e ny ip host 10 . 1.1.28 host 10 . 1 . 3 . 2 permit i p any any Rout e r #conf t Enter configuration commands, one per line. End with Ctrl-Z. Router(config)#ip access-list extended barney Router(config-ext-nacl)#n o deny ip 10 . 1. 2 . 0 0.0 . 0. 25 5 10. 2 .3.0 0 . 0.0.255 Router(config-ext-nacl)#AZ Rout er#show acce s s-list Ex t ended I P acce s s list barney 10 permit tcp host 10.1.1.2 eq www any 20 deny udp host 10.1.1.1 10.1.2.0 0.0.0.255 30 deny ip 10.1.3 . 0 0 . 0 . 0 . 255 10.1 . 2.0 0.0.0.255 50 deny ip hos t 10.1.1.130 host 10 . 1 . 3 . 2 60 deny ip ho st 1 0.1.1.28 h ost 10.1.3.2 7 0 permit ip a ny a ny

o Exemplo 6-9

começa com a criação de uma ACL chamada de barney. O comando ip access-list extended barney cria a ACL, chamando-a de barney e colocando o usuário no modo de configuração do ACL. Esse comando também diz ao lOS que barney é uma ACL estendida. Em seguida, sete sentenças permit e deny diferentes definem a lógica de combinação e a ação a ser tomada quando é feita uma combinação. Os comandos permit e deny utilizam exatamente a mesma sintaxe usada pelos comandos access-list numerados, começando com as palavras-chave deny e permito Neste exemplo, acrescenta-se um comentário antes do comando que é excluído mais tarde no exemplo. O resultado do comando show running-config apresenta a configuração da ACL nomeada antes de a entrada única ser excluída. Em seguida, o comando no deny ip ... exclui a entrada única da ACL. Observe que o resultado do comando show running-config continua apresentando a ACL, com seis comandos permit e deny, em vez de sete.

184 Capítulo 6: Listas e controle de acesso IP

Editando ACLs usando números de seqüência As ACLs numeradas existem no lOS desde os primórdios dos roteadores Cisco. A partir de sua criação, até a versão do lOS 12.2, a única forma de editar uma ACL numerada existente - por exemplo, excluir simplesmente uma linha da ACL - era apagar toda a ACL e depois reconfigurar a ACL inteira. Além de ser uma inconveniência para o engenheiro, esse processo também causava alguns efeitos colaterais indesejados. Ao excluir a ACL, é importante desativá-la de todas as interfaces e, depois, excluí-la, reconfigurá-la e ativá-la na interface. Do contrário, durante o processo de reconfiguração, antes que todas as sentenças tenham sido reconfiguradas, a ACL não executará todas as verificações devidas, às vezes causando problemas ou expondo a rede a vários ataques. Conforme mencionado na seção anterior, o suporte ao lOS original dado às ACLs nomeadas, introduzido na versão do lOS 11.2, resolvia alguns dos problemas de edição. Os comandos originais para ACLs nomeadas permitiam que o engenheiro excluísse uma linha de uma ACL, conforme mostrado na seção anterior no Exemplo 6-9. No entanto, os comandos de configuração não permitiam que o usuário inserisse um novo comando permit ou deny na lista. Todos os novos comandos eram adicionados ao final da ACL. Com a versão do lOS 12.3, a Cisco introduziu várias outras opções de configuração para ACLs - opções que se aplicam a ACLs IP nomeadas e numeradas. Essas opções aproveitam o número de seqüência da ACL que é acrescentado a cada sentença permit ou deny da ACL, onde os números representam a seqüência de sentenças da ACL. Os números de seqüência da ACL oferecem os seguintes recursos para ACLs numeradas e nomeadas: - Pode-se excluir uma sentença permit ou deny individual da ACL simplesmente através da referência feita ao número de seqüência, sem excluir o resto da ACL. - Comandos permit e deny recém acrescentados podem ser configurados com um número de seqüência, ditando a localização da sentença dentro da ACL. - Comandos permit e deny recém acrescentados podem ser configurados sem um número de seqüência, onde o lOS cria um número de seqüência e coloca o comando ao final da ACL. Para aproveitar a capacidade de excluir e inserir linhas em uma ACL, as ACLs numeradas e nomeadas devem utilizar o mesmo estilo geral de configuração e os comandos usados para ACLs nomeadas. A única diferença na sintaxe é se é usado um nome ou um número. O Exemplo 6-10 mostra a configuração de uma ACL IP padrão numerada, utilizando esse estilo alternativo de configuração. O exemplo mostra o poder do número de seqüência de uma ACL para editar. Neste exemplo, ocorre o seguinte: (;~;;~o '. Chava

...

Passo 1 A ACL numerada 24 é configurada, usando esse novo estilo de configuração com três comandos permit. Passo 2 O comando show ip access-list mostra os três comandos permit, com os números de seqüência 10, 20 e 30. Passo 3 O engenheiro exclui somente o segundo comando permit, usando o subcomando ACL no 20, que simplesmente se refere ao número de seqüência 20.

Passo 4 O comando show ip access-list confirma que a ACL agora tem duas linhas (números de seqüência 10 e 30). Passo 5 O engenheiro acrescenta um novo comando permit ao começo da ACL, usando o subcomando ACL 5 deny 10.1.1.1. Passo 6 O comando show ip access-list novamente confirma as alterações, desta vez listando três comandos permit, os números de seqüência 5, 10 e 30. Observação Para este exemplo, observe que o usuário não sai do modo de configuração; pelo contrário, ele usa o comando do para dizer ao lOS que ele emita o comando EXEC show ip access-list a partir do modo de configuração. Exemplo 6-10 Editando ACLs utilizando números de seqüência ! Step 1: The 3-1ine Standard Numbered IP ACL is configured .

R1# configure terminal Enter configuration commands, one per line. End with Ctrl-Z. R1(config)# ip access-1ist standard 24 R1(config-std-nacl)#permit 10.1.1.0 0.0.0.255

•• •• ••

•• •• •• •• •• •• ••

•• •• •• •• •

•• •• •• •

•••

•• •• ••

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• • •• •• ••

CCNA ICND2

185

R1(config-std-nac1)#permit 10.1.2.0 0.0.0.255 R1(config-std-nacl)#permit 10.1.3.0 0.0.0.255 ! Step 2:

Displaying the ACL's contents, without leaving configuration mode.

R1(config-std-nacl)#do show ip acc8ss-1ist 24 Standard IP access list 24 10 permit 10.1.1.0, wildcard bits 0.0.0.255 20 permit 10.1.2.0, wildcard bits 0.0.0.255 30 permit 10.1.3.0, wildcard bits 0.0.0.255 ! Step 3: Still in ACL 24 configuration mode,

the line with sequence number 20 is deleted.

R1(config-std-nacl)#nnoo 2200 ! Step 4: Displaying the ACL's contents again,

without leaving configuration mode.

! Note that line number 20 is no longer listed.

R1(config-std-nacl)#do show ip acc8ss-1ist 24 Standard IP access list 24 10 permit 10.1.1.0, wi1dcard bits 0.0.0.255 30 permit 10.1.3.0, wildcard bits 0 . 0.0.255

1-

! Step 5: Inserting a new first line in the ACL.

R1(config-std-nacl)#55 ddeennyy 1100 .. 11 .. 11 .. 11 ! Step 6: Displaying the ACL's contents one last time,

! number 5)

with the new statement (sequence

listed first.

R1(config-std-nacl)#do show ip access-list 24 Standard IP access list 24 5 deny 10.1.1.1 10 permit 10 . 1.1.0, wildcard bits 0.0.0.255 30 permit 10 . 1. 3. O, wildcard bits O.

o. 0.255

É interessante notar que as ACLs numeradas podem ser configuradas com o novo estilo de configuração, conforme mostrado no Exemplo 6-10, ou com o antigo estilo de configuração, usando os comandos de configuração global accesslist, conforme mostrado nos vários exemplos iniciais deste capítulo. Na verdade, você pode usar os dois estilos de configuração em uma únicaACL. No entanto, independentemente de qual estilo de configuração seja usado, o resultado do comando show running-config continua mostrando os comandos do aritigo estilo de configuração. O Exemplo 6-11 demonstra esses fatos, começando onde o Exemplo 6-10 parou, com os seguintes passos adicionais: Passo 7 O engenheiro lista a configuração (show running-config), que lista os comandos no antigo estilo de configuração - embora a ACL tenha sido criada com os comandos no novo estilo. Passo 8 O engenheiro acrescenta uma nova sentença ao final da ACL, utilizando o comando de configuração global access-list 24 permit 10.1.4.0 0.0.0.255 no antigo estilo. Passo 9 O comando show ip access-list confirma que o comando access-list no estilo antigo do passo anterior seguiu a regra de ser acrescentado somente ao final da ACL. Passo 10 O engenheiro exibe a configuração para confmnar que as partes da ACL 24 configurada com os comandos no novo estilo e no antigo estilo são todas apresentadas na mesma ACL no antigo estilo (show running-config). Exemplo 6-11 Acrescentando e exibindo a configuração de uma ACL numerada ! Step 7: A configuration snippet for ACL 24.

R1#show running-config ! The only lines shown are the lines from ACL 24

access-list 24 deny 10.1.1.1 access-list 24 permit 10.1.1.0 0.0.0.255 access-list 24 permit 10.1.3.0 0.0.0.255 !

Step 8: Adding a new access-list 24 command

R1#configure terminal Enter configuration commands, one per line. End with CNTL/Z.

186 Capítulo 6: Listas e controle de acesso IP R1{con fig) #access-1ist 24 permit 1 0.1.4 .0 0 . 0 .0. 255 R1 (config) #AZ Step 9: Displaying the ACL's contents again, with sequence nurnbers. Note that even t he new statement has been automatically assigned a sequence nurnber . R1#show ip access-list 24 Standard IP access list 24 5 deny 10.1.1.1 10 permit 10.1.1.0, wildcard bits 0.0.0.255 30 permit 10.1.3.0, wildcard bits 0.0 . 0.255 40 permi t

10.1.4.0, wildcard b it s 0.0.0.255

Step 10: The numbered ACL configuration remains in old-style configuration commands. R1#show running-config ! The only lines shown are the lines from ACL 24

access-list 24 deny 10.1 . 1.1 access-list 24 permit 10.1.1.0 0.0 . 0.255 access-list 24 permit 10.1.3.0 0.0.0.255 access-list 24 permit 10.1.4.0 0.0.0.255

Tópicos variados sobre ACLs Esta pequena seção aborda alguns tópicos menores : como filtrar o tráfego Telnet e SSH usando ACLs e algumas diretrizes gerais de implementação.

Controlando o acesso à Telnet e SSH com ACLs Um engenheiro pode controlar o acesso remoto a roteadores utilizando ACLs que procuram pelas portas conhecidas usadas pela Telnet (23) e SSH (22). Entretanto, para fazer isso ativando ACLs em interfaces através do sub comando de interface ip access-group , a ACL precisaria verificar todos os endereços IP do roteador e as portas Telnet e SSH. À medida que novas interfaces fossem configuradas, a ACL precisaria ser atualizada. O lOS oferece uma opção muito mais fácil para proteger o acesso de entrada e de saída das portas de linha vty (virtual terminal, ou terminal virtual). Em roteadores, os usuários Telnet e SSH se conectam a linhas vty e, portanto, para proteger esse acesso, pode-se aplicar uma ACL IP a essas linhas vty. Você pode usar ACLs para limitar os hosts IP que podem entrar no roteador através da Telnet e também para limitar os hosts aos quais o usuário do roteador pode se conectar através da Telnet. Suponha, por exemplo, que somente hosts da sub-rede 10.1.1.0/24 consigam entrar em qualquer roteador Cisco de uma rede através da Telnet. Neste caso, a configuração mostrada no Exemplo 6-12 poderia ser usada em cada roteador para negar acesso quando provindo de endereços IP que não estejam naquela rede. Exemplo 6-12 Controle de acesso vty utilizando o comando access-class line vty o 4 l ogin password cisco l-

access-class 3 i n

I-

Next command is a global command acce ss-list 3 perDdt 10 . 1 . 1.0 0 . 0 . 0 .2 55

O comando access-class se refere a lógica de combinação em access-list 3. A palavra-chave in se refere às conexões Telnet neste roteador - em outras palavras, às pessoas que entram neste roteador através da Telnet. Conforme configurado, a ACL 3 verifica o endereço IP fonte dos pacotes para conexões Telnet de entrada.

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••• •• •• ••

••

CCNA ICND2

• •

• •

• •

•

187

Se o comando access-class 3 out tivesse sido usado, ele teria verificado não só as Telnets de saída, mas também o endereço.IP de destino dos pacotes. Ao ftltrar ~onexões Telnet e SSH de s~da, a.verificação do .endereço IP fonte, ~ue por defirnção deve ser um dos endereços IP da lllterface daquele roteador, nao fana nenhum sentJ.do. Para ftltrar sessoes Telnet de saída, é mais sensato ftltrar com base no endereço IP de destino. Portanto, o uso do comando access-class 3 out, principalmente a palavra-chave out, é um daqueles casos raros em que uma ACL IP padrão olha o endereço IP de destino e não o da origem.

• Considerações sobre a implementação de uma ACL

• •

• Em redes IP de produção, a criação, a resolução de problemas e as atualizações de ACLs IP podem consurrnr uma grande quantidade de tempo e de esforço. O exame ICND2 não traz muitas questões sobre ao que se deve ficar atento ao implementar ACLs IP em redes reais, mas inclui alguns pequenos itens discutidos nesta seção.

•

A Cisco faz as seguintes recomendações gerais nos cursos em que os exames CCNA são baseados:

•

.~;;~o

•

Crie suas ACLs usando um editor de texto fora do roteador, copie e cole as configurações no roteador. (Mesmo com a capacidade de excluir e inserir linhas em uma ACL, a criação dos comandos em um editor provavelmente continuará sendo um processo mais fácil.)

•

Coloque ACLs estendidas o mais próximo possível da origem do pacote para descartar os pacotes rapidamente.

. •

•• •• •• •• •• •• •• •• •• •• ••

•• ••

••

• Coloque as ACLs padrão o mais próximo possível do destino do pacote, pois as ACLs padrão, quando colocadas próximas à origem, muitas vezes descartam pacotes que você não deseja descartar. •

Coloque sentenças mais específicas no início da ACL.

•

Desative uma ACL de sua interface (utilizando o comando no ip access-group ) antes de fazer qualquer alteração na ACL.

A primeira sugestão diz que você deve criar as ACLs fora do roteador usando um editor. Dessa maneira, se você cometer algum erro de digitação, é possível consertá-lo no editor. Essa sugestão não é tão importante quanto era antes da versão do lOS 12.3, porque, conforme descrito anteriormente, na seção "Editando ACLs usando números de seqüência", esta versão aceita os números de linhas de uma ACL e a exclusão e inserção de linhas individuais em uma ACL.

Observação Se você criar todas as suas ACLs em um editor de texto, talvez valha a pena começar cada arquivo com o comando no access-list number, seguido dos comandos de configuração na ACL. Em seguida, todas as vezes que você editar o arquivo de texto para alterar a ACL, tudo que você terá de fazer é copiar/colar o conteúdo do arquivo inteiro, onde a primeira linha exclui toda a ACL existente, e o resto das sentenças recria a nova ACL. O segundo e o terceiro pontos lidam com o conceito de onde colocar suas ACLs. Se você pretende filtrar um pacote, filtrar mais próximo da origem do pacote significa que o pacote ocupa menos largura de banda na rede, o que parece ser mais eficaz - e é verdade. Por isso, a Cisco sugere colocar as ACLs estendidas o mais próximo possível da origem. No entanto, a Cisco também sugere, pelo menos nos cursos voltados para o CCNA, colocar as ACLs padrão próximas do destino. Por que não próximas à origem dos pacotes? Bem, porque as ACLs padrão só olham o endereço IP origem, porque elas tendem a filtrar mais do que você deseja quando colocadas próximas à origem. Imagine, por exemplo, que Fred e Barney estejam separados por quatro roteadores. Se você ftltrar o tráfego de Barney enviado a Fred no primeiro roteador, Barney não poderá alcançar nenhum host próximo aos outros três roteadores. Portanto, o curso ICND2 da Cisco faz uma recomendação geral que diz para colocar as ACLs padrão mais próximas do destino para evitar filtrar o tráfego que você não pretende filtrar. Ao colocar parâmetros de combinação mais específicos logo no início de cada lista, há menos probabilidade de se cometer erros na ACL. Imagine, por exemplo, que você tenha uma sentença que permite a passagem de todo o tráfego de 10.1.1.1 para 10.2.2.2, destinado à porta 80 (a Web), e outra sentença que negue todos os outros pacotes cuja fonte seja a sub-rede 10.1.1.0/24. Ambas as sentenças combinariam com os pacotes enviados pelo host 10.1.1.1 para um servidor Web em 10.2.2.2, mas, provavelmente, o que você queria era combinar primeiro a sentença mais específica (perrnit). Em geral, colocar sentenças mais específicas primeiro tende a garantir que você não perca nada.

188 Capítulo 6: Listas e controle de acesso IP Finalmente, a Cisco recomenda que você desative as ACLs nas interfaces antes de alterar as sentenças da lista. Felizmente, se você tiver uma ACL IP ativada em uma interface com o comando ip access-group, e excluir a ACL inteira, o lOS não filtra nenhum pacote. (Nem sempre foi assim com as versões lOS mais antigas!) Mesmo assim, assim que você acrescenta um comando à ACL, o lOS começa a filtrar os pacotes. Suponha que você tenha a ACL 101 ativada em SO para pacotes de saída. Você exclui a lista 101 para que todos os pacotes tenham permissão de passagem. Em seguida, insere um único comando access-list 101. Assim que você teclar Enter, a lista passa a existir e o roteador filtra todos os pacotes que saem de SO com base na lista composta de uma linha. Se desejar entrar em uma ACL maior, é possível que você filtre temporariamente pacotes que não deseja filtrar! Conseqüentemente, a melhor forma é desativar a lista da interface, fazer alterações na lista e, em seguida, reativá-Ia na interface.

Listas de acesso reflexivas As ACLs reflexivas, também chamadas filtragem de sessão IP, oferecem uma forma de impedir uma classe de ataques de segurança permitindo cada sessão TCP ou UDP individualmente. Para isso, o roteador reage ao ver o primeiro pacote em uma sessão entre dois hosts. Ele reage ao pacote para acrescentar uma sentença permit à ACL, permitindo o tráfego daquela sessão com base no endereço IP da origem e do destino e da porta TCPIUDP origem e destino. A Figura 6-9 mostra um caso clássico em que ACLs tradicionais criam um buraco na segurança. Mas as ACLs podem tapar este buraco. A maioria das empresas deseja permitir aos usuários utilizar um navegador Web para conectar-se a servidores Web da Internet. UmaACL estendida tradicional pode permitir o tráfego deixando passar o tráfego de ida e de volta de quaisquer dois endereços IP, mas com uma verificação adicional na porta TCP usada pelo HTTP (porta 80). Neste caso, a figura mostra uma ACL que verifica a porta fonte 80 para pacotes que entram na empresa, o que significa que os pacotes vieram de um servidor Web. Figura 6-9 Necessidade de ACLs reflexivas Hacker

.............

-- ---

Empresa

-'.

'"

........ -- .....

128.107.1.1 ...........

Servidor Web

Usuário final

access·list 101 permit tcp any eq www any

'--y-I porta fonte

A ACL usada em R2 filtra todo o tráfego de entrada exceto aquele proveniente de servidores Web. Isso permite que o servidor Web da Internet, à esquerda, envie pacotes ao usuário na empresa à direita. Entretanto, ele também permite que o hacker envie pacotes, com a porta fonte 80, com o roteador permitindo a passagem dos pacotes. Embora esses pacotes possam não fazer parte de uma conexão TCP existente, vários ataques conhecidos podem ser feitos utilizando esses pacotes - desde um simples ataque DoS distribuindo pacotes pela empresa até a utilização de bugs conhecidos no sistema operacional. As ACLs reflexivas ainda permitem que usuários legítimos enviem e recebam pacotes através do roteador, enquanto descartam os pacotes provenientes de outros hosts, tais como pacotes vindos do hacker mostrado na Figura 6-9. Com as ACLs reflexivas, quando o usuário da empresa cria uma nova sessão, o roteador percebe a nova sessão e registra os endereços IP da fonte e do destino e as portas utilizadas para aquela sessão. A ACL reflexiva em R2 não permitiria a entrada de todo o tráfego da porta 80. Pelo contrário, ela permitiria somente pacotes cujos endereços e portas combinassem com o pacote original. Se o PC da direita, por exemplo, iniciasse uma sessão com o servidor Web legítimo, a porta fonte 1030, R2 permitiria a entrada de pacotes vindos da Internet desde que tivessem seguintes características: endereço IP fonte 64.100.2.2, endereço IP de destino 128.107.1.1, porta fonte 80, porta de destino 1030. Em conseqüência disso, somente os pacotes provenientes da seção legítima têm a passagem permitida pelo roteador e os pacotes enviados pelo hacker são descartados. As ACLs reflexivas requerem algumas configurações adicionais bem como o uso da configuração de ACLs estendidas nomeadas.

• • • •

• • • •

•• ••• •• •• •• •• •• •• ••

•• •• •• •• •• •• •• •• •

•• •

CCNA.ICND2

189

e ACLs dinâmicas

• As ACLs dinâmicas resolvem um problema diferente que também não pode ser facilmente resolvido utilizando ACLs

e tradicionais. Imagine um conjunto de servidores que precisam ser acessados por um pequeno conjunto de usuários. Com • • . • • •

ACLs, você pode combinar o endereço IP dos hosts utilizados pelos usuários. Entretanto, se o usuário pegar emprestado outro PC, ou alugar um novo endereço utilizando DHCP, ou levar seu laptop para casa, e assim por diante, o usuário legítimo passa a ter o endereço IP diferente. Portanto, uma ACL tradicional teria de ser editada para aceitar cada novo endereço IP. Com o passar do tempo, seria um grande transtorno manter uma ACL que verificasse a existência de todos esses endereços IP. Além disso, haveria a possibilidade de buracos na segurança quando os hosts de outros usuários começassem a usar um dos antigos endereços IP.

• • • •

As ACLs dinâmicas, também chamadas Lock-and-Key Security (algo como Segurança a Chave-e-Cadeado), resolvem esse problema amarrando a ACL a um processo de autenticação do usuário. Em vez de começar tentando conectar-se ao servidor, deve-se solicitar aos usuários que, primeiramente, eles se conectem ao roteador através da Telnet. O roteador pede a combinação nome de usuário/senha. Se ela for autêntica, o roteador altera sua ACL dinamicamente, permitindo a entrada de tráfego do endereço IP do host que acabou de enviar os pacotes para autenticação. Após um período de inatividade, o roteador remove a entrada dinâmica feita na ACL, tapando o possível buraco na segurança. A Figura 6-10 ilustra essa idéia.

:

Figura 6-10 ACLs dinâmicas

e

•• •• •• e •• •• •• •• •• • •

Usuários Fred Sarney

Hacker 64.100.1.1

Senhas $36%12

995"#7

Empresa

®

Internet

CD Telnet (3) Tráfego do usuário

R2 ACL: Antes da autenticação access-lIst 101 permlt any any eq telnet access-lIst 101 deny any any

R2 ACL: Depois da autenticação ccess-lIst 101 permlt host 64.100.2.2 any access-lIst

perm

any any eq telnet

access-lIst 101 deny any any

O processo mostrado na figura começa com o roteador negando todo o tráfego, exceto a Telnet. (Embora a figura mostre uma ACL que permite a conexão através da Telnet a qualquer endereço IP, na prática, o tráfego Telnet só precisa ser permitido em um endereço IP do roteador.) Para iniciar o processo, ocorrem os seguintes passos:

:

Passo 1 O usuário se conecta ao roteador utilizando Telnet.

•

Passo 2 O usuário fornece um nome de usuário/senha, que o roteador compara com uma lista, autenticando o usuário.

•• •• •

Passo 3 Após a autenticação, o roteador acrescenta dinamicamente uma entrada ao início da ACL, permitindo a passagem de tráfego cuja origem é o host autenticado. Passo 4 Pacotes enviados pelo host permitido passam pelo roteador até o servidor.

190 Capítulo 6: Listas e controle de acesso IP

:1

ACLs baseadas em tempo

O termo ACL baseada em tempos se refere a um recurso das ACLs IP normais (numeradas e nomeadas) no qual pode · ser acrescentada uma restrição de tempo aos comandos de configuração. Em alguns casos, pode ser útil combinar . pacotes em uma ACL, mas apenas em certas horas do dia, ou até mesmo em determinados dias da semana. As ACLs . baseadas em tempo permitem a inclusão de restrições de tempo, onde o lOS mantém ou remove as sentenças da ACL • durante as devidas horas do dia. _

1

I

------------------------------. 1 Atividades de preparação para o exame

- II

(;~~;~o •

Revise todos os tópicos-chave

•• •

'. Ch.".

Revise os tópicos mais importantes deste capítulo, indicados com o ícone Tópicos-Chave na margem externa da página . • A Tabela 6-8 relaciona esses tópicos-chave e os números das páginas em que cada um é encontrado. •

Tabela 6-8 Tópicos-chave do Capítulo 6 Elemento do tópico-chave

• Descrição Número da página

•

----------------------------------------------------------- . Figura 6-2

Diagrama da lógica mostrando quando um roteador examina os pacotes com ACLs de entrada e de saída

169

Quatro passos que descrevem como um roteador processa uma ACL composta por várias linhas

171

•• •e

------------------------------------------------------------- . Lista

----------------------------------------------------------- . Tabela 6-2

Explica modelos de máscaras curinga e seus significados

• 170-171

---------------------------------------------------------- . Lista

Atalho para encontrar valores no comando access-list para combinar com um número de sub-rede, dados o número de sub-rede e a máscara de sub-rede

171

•• •

------------------------------------------------------------- Lista

Atalho para interpretar o endereço e a máscara curinga em um comando access-list como um • __________________________________n_ú_m_e_r_o_e__ um __a_m __ ás_c_ar_a__ de__su_b_-_re_d_e________________l_7_2_______

e

Lista

Lista de verificação de configuração e do planejamento da ACL

176

••

---------------------------------------------------------- . Tabela 6-3

Lista de campos de pacotes IP combináveis com ACLs padrão e estendidas

177

.

Dicas e sugestões sobre combinação de portas TCP e UDP usando ACLs IP

178

.

------------------------------------------------------- . Lista

---------------------------------------------------------- . Figura 6-6

1

Mostra um pacote com a porta da origem e do destino, com a localização correspondente do parâmetro da porta fonte no comando

•

e

_________________________________a_c_c_es_s_-_Ii_st_________________________________ 17_9_______ •

Três itens que diferem entre ACLs IP padrão • Lista ________________________________e_e_st_e_ndi_·_d_a_______________________________l_7_9______ ..

•

I

•• • •• •

•

• •• •• • •

•

:

•• •• •• • •• •• • • •• •• •• •

•

CCNA ICND2 Tabela6-7

Lista

Lista

Lista de operadores que podem ser usados ao comparar números de portas em comandos access-list estendidos

179

Recursos para ACLs numeradas e nomeadas fornecidos pelos números de seqüência das ACLs

184

Lista de práticas ideias sugeridas para ACLs de acordo com os cursos Cisco CCNA autorizados

187

191

Complete as tabelas e listas usando a memória Imprima uma cópia do Apêndice J, ''Tabelas de memória", ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das Tabelas de Memória", inclui tabelas e listas completadas para você conferir o seu trabalho.

Leia os cenários do Apêndice F O Apêndice F - disponível no idioma original no site da editora: www.altabooks.com.br-. "Additional Scenarios", contém cinco cenários detalhados que dão a você a chance de analisar diversos projetos, problemas e resultados de comandos mostrando-lhe como os conceitos de vários capítulos estão inter-relacionados. O Cenário 3 concentra-se em ACLs IP incluindo práticas sobre como escolher máscaras curinga de ACLs que combinem com todos os hosts de uma sub-rede.

Definições de termos-chave Defina os seguintes termos-chave encontrados neste capítulo e verifique suas respostas no glossário: ACL dinâmica, ACL reflexive, lista de acesso estendida, lista de acesso nomeada, lista de acesso padrão, máscara curinga

Referência aos comandos para verificar sua memória Embora você não precise necessariamente memorizar as informações contidas nas tabelas desta seção, ela inclui uma referência para os comandos de configuração e EXEC abordados neste capítulo. Na prática, você deve memorizar os comandos como reflexo da leitura do capítulo e da execução de todas as atividades desta seção de preparação para o exame. Para verificar o quão eficientemente você memorizou os comandos como reflexo de seus outros estudos, cubra o lado esquerdo da tabela com um pedaço de papel, leia as descrições do lado direito e veja se você se lembra do comando.

•

Tabela 6-9 Referência aos comandos de configuração do Capítulo 6

•

Comando

Descrição

•

access-list access-list-number {deny I permit }source [sou rce-wildcard] [log]

Comando global para listas de acesso padrão numeradas Use um número entre 1 e 99 ou 1300 e 1999, inclusive

access-list access-list-number {deny I permit }protocol source source-wildcard destination destination-wildcard [log]

Comando global para listas de acesso estendidas numeradas. Use um número entre 100 e 199 ou 2000 e 2699, inclusive

access-list access-list-number {deny I permit}tcp source source-wildcard [operator [port]] destination destinationwildcard [operator [port]] [log]

Versão do comando access-list com parâmetros TCP específicos

•

access-list access-list-number remark text

Defrne um comentário que ajuda você a se lembrar do que a ACL supostamente deve fazer.

•

ip access-group {number I name [in I out]}

Subcomando de interface para ativar listas de acesso

••

192 Capítulo 6: Listas e controle de acesso IP access-c1ass number I name [in I out]

Subcomando de linha para ativar listas de acesso padrão ou estendida

ip access-list {standard I extended} name

Comando global para configurar umaACL estendida ou padrão nomeada e entrar no modo de configuração ACL

{deny I permit} source [source-wildcard] [log]

Subcomando do modo ACL para configurar os detalhes de combinação e a ação para uma ACL padrão nomeada

{deny I permit} protocol source source-wildcard destination destination-wildcard [log]

Subcomando do modo ACL para configurar os detalhes de combinação e a ação para uma ACL estendida nomeada

{deny I permit} tcp source source-wildcard [operator [port]] destination destination-wildcard [operator [port]] [log]

Subcomando do modo ACL para configurar os detalhes de combinação e a ação para uma ACL nomeada que combina com segmentos TCP

remark text

Subcomando do modo ACL para configurar uma descrição de uma ACL nomeada

Tabela 6-10 Referência aos comandos EXEC do Capítulo 6 Comando

Descrição

show ip interface [type number]

Inclui uma referência às listas de acesso ativadas na interface

show access-lists [access-list-number access-list-name]

I

Mostra detalhes de listas de acesso configuradas para todos os protocolos

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •

•• •• •• •• •• •• •

•• •• •• •• ••

•• •• •• •• •• •• •• •

CCNA ICND2

193

Este capítulo aborda os seguintes assuntos: Os comandos ping e traceroute: esta seção explica como os comandos ping e traceroute funcionam, junto com as variações de como eles podem ser usados para melhor resolver problemas relativos a roteamento.

Resolvendo problemas relativos ao processo de encaminhamento de pacotes: esta seção examina o processo de encaminhamento de pacotes, concentrando no roteamento de hosts e como os roteadores direcionam pacotes. Além disso, são abordadas questões relacionadas ao encaminhamento de pacotes em ambos os sentidos.entre dois hosts. Ferramentas e dicas para resolução de problemas: esta seção aborda uma grande variedade de tópicos que influenciam o processo de encaminhamento de pacotes. Inclui várias dicas sobre vários comandos e conceitos que podem auxiliar o processo de resolução de problemas.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• : Resolvendo problemas de roteamento IP

CAPíTULO

7

e _____________________________________________________

•• •

• • • •

Este capítulo voltado para a resolução de problemas tem vários objetivos. Primeiro, ele explica várias ferramentas e funções não abordadas desde o Capítulo 4 até o Capítulo 6 - especificamente, ferramentas que podem ser bastante úteis quando você estiver analisando problemas. Este capítulo também revisa conceitos de todos os outros três capítulos da Parte n, "Roteamento IP", unindo-os e apresentando uma sugestão de processo para resolução de problemas relativos a roteamento, bem como exemplos de como utilizar o processo. A segunda metade do capítulo se concentra em uma série de dicas para resolução de problemas para vários tópicos específicos abordados desde o Capítulo 4 até o Capítulo 6.

• Questionário "Eu já conheço isto?" : • • • • •

Os capítulos voltados para a resolução de problemas deste livro unem conceitos de vários outros capítulos, incluindo alguns capítulos do CCENT/CCNA ICNDJ Guia Oficial de Certificação do Exame. Além disso, eles também mostram como abordar algumas das questões mais desafiantes nos exames CCNA. Por isso, vale a pena ler estes capítulos independentemente do seu nível de conhecimento atual. Por essas razões, os capítulos voltados para a resolução de problemas não incluem o questionário "Eu já conheço isto?". Entretanto, se você se sentir suficientemente confiante em relação à resolução de problemas relativos aos recursos de roteamento IP abordados neste capítulo e no CCENT/CCNA ICND 1 Guia Oficial de Certificação do Exame, sinta-se à vontade de passar direto para a seção "Atividades de Preparação para o Exame", próxima ao [mal deste capítulo, saltando assim boa parte do capítulo.

-• T'· . OplCOS f un damentals • • • • •

•• •• •• ••

Este capítulo se concentra na resolução de problemas relativos ao processo de roteamento IP. Com essa finalidade, ele começa com uma seção sobre duas ferramentas importantes na resolução de problemas: o ping e o traceroute. Em seguida, o capítulo examina o processo de roteamento IP a partir de uma perspectiva de resolução de problemas, concentrando, principalmente, em como isolar problemas de roteamento para identificar a causa geradora do problema. A seção final aborda uma grande variedade de pequenos tópicos, todos os quais podem ser úteis quando você estiver resolvendo problemas relativos a roteamento IP.

Observação Este capítulo e o Capítulo 15 do CCENT/CCNA ICNDI Guia Oficial de Certificação do Exame explicam detalhes de como resolver problemas relativos ao processo de roteamento IP. O roteamento IP é extremamente importante tanto no exame ICNDl quanto no ICND2, bem como no exame CCNA, havendo assim uma sobreposição entre os exames, acarretando uma sobreposição nos livros. Entretanto, este capítulo aborda vários tópicos que vão além dos detalhes exigidos pelo exame ICND1. Para estar totalmente preparado, leia todo o capítulo, mas sinta-se à vontade para passar de forma mais superficial pelas partes do capítulo que lhe pareçam repetitivas com relação ao livro ICND1.

: Os comandos ping e traceroute • • • •

Esta seção examina o processo sugerido de resolução de problemas de roteamento IP - em outras palavras, o processo do plano de dados de como hosts e roteadores encaminham pacotes IP. Com essa finalidade, esta seção examina, primeiramente, um conjunto de ferramentas e protocolos úteis - de modo especial, o ICMP, o ping e o traceroute. Em seguida, o texto sugere um bom processo geral para resolução de problemas relativos a IP, com alguns exemplos para mostrar como usar os processos.

196 Capítulo 7: Resolvendo problemas de roteamento IP

ICMP (Internet Control Message Protocol, ou Protocolo de Mensagem de Controle da Internet)

• • • •

•

o TCPIIP inclui o ICMP, um protocolo elaborado para ajudar a gerenciar e controlar a operação de uma rede TCPIIP. O • protocolo ICMP oferece uma grande variedade de informações sobre o status operacional e a saúde de uma rede. A Mensagem de Controle é a parte mais descritiva do nome. O ICMP ajuda a controlar e gerenciar o trabalho do IP definindo um conjunto de mensagens e procedimentos sobre a operação do IP. Por isso, o ICMP é considerado parte da camada de rede TCPIIP. Como o ICMP ajuda a controlar o IP, ele pode proporcionar informações úteis para a resolução de problemas. Na verdade, as mensagens ICMP ficam dentro de um pacote IP, sem nenhum cabeçalho de camada de transporte; portanto, o ICMP é realmente uma extensão da camada de rede TCPIIP.

• • • •

A RFC 792 define o ICMP. O seguinte trecho extraído da RFC 792 descreve bem o protocolo:

•

Ocasionalmente uma porta de comunicação (roteador) ou o host de destino vão se comunicar com um host da fonte, por exemplo, para relatar um erro ocorrido no processamento do datagrama. Para tais fins, utiliza-se este protocolo, o ICMP (Internet Control Message Protocol)o O ICMP utiliza o suporte básico do IP como se ele fosse um protocolo de nível mais alto; no entanto, o ICMP é na verdade uma parte integral do IP e deve ser implementado por todos os módulos IP.

• • . .

O ICMP define vários tipos diferentes de mensagens para realizar suas diversas tarefas, conforme resumidas na Tabela : 7-1.

(~~~;~o • \~h_ •

Tabela 7-1 Tipos de mensagens ICMP Mensagem

Descrição

--------------------------------------------------------------- . Destino Inalcançável

Diz ao host da origem que há um problema na entrega do pacote

•

--------------------------------------------------------------- . Tempo Excedido

O tempo que um pacote leva para ser entregue expirou e, por isso, o pacote foi descartado

•

Redirecionar

O roteador que envia a mensagem recebeu um pacote para o qual outro • roteador possui uma rota melhor. • • A mensagem diz ao remetente para usar a melhor rota

Echo Request, Echo Reply

Utilizadas pelo comando ping para verificar a conectividade

•

-------------------------------------------------------- . O comando ping e as mensagens Echo Request e Echo Reply do ICMP

•

o comando ping utiliza as mensagens Echo Request e Echo Reply do ICMP. Na verdade, quando as pessoas dizem que

• • . • •

enviaram um pacote ping, elas realmente querem dizer que enviaram uma Echo Request ICMP. Essas duas mensagens são relativamente auto-explicativas. A Echo Request simplesmente significa que o host para o qual ela está endereçada deve responder ao pacote. A Echo Reply é o tipo de mensagem ICMP que deve ser usada na resposta. A Echo Request inclui alguns dados que podem ser especificados pelo comando ping; sejam quais forem os dados enviados na Echo Request eles são enviados de volta na Echo Reply.

O próprio comando ping oferece várias formas criativas de utilizar as Echo Requests e Echo Replies. O comando ping, • por exemplo, permite especificar o comprimento bem como os endereços da fonte e do destino, e permite também definir • outros campos do cabeçalho IP. O Capítulo 4, "Roteamento IP: Rotas estáticas e conectadas", mostra um exemplo do • comando ping estendido apresentando as várias opções.

A mensagem ICMP de Destino Inalcançável

•• •

Este livro se concentra em IP. Mas, se você olhar de forma mais ampla, a função do conjunto inteiro de protocolos TCP/ • IP é entregar dados do aplicativo de envio para o aplicativo de recebimento. Hosts e roteadores enviam mensagens ICMP de Destino Inalcançável de volta ao host de envio quando aquele host ou roteador não consegue entregar os dados • por completo ao aplicativo no host de destino. •

•

• •

CCNA ICND2

197

• •

Para auxiliar a resolução de problemas, a mensagem ICMP Inalcançável inclui cinco funções inalcançáveis separadas (códigos) que identificam ainda mais a razão pela qual o pacote não pode ser entregue. Todos os cinco tipos de código pertencem diretamente a um recurso IP, TCP ou UDP.

• • • • •

A inter-rede mostrada na Figura 7-1, por exemplo, pode ser utilizada para melhor entender alguns dos códigos Inalcançáveis. Considere que Fred esteja tentando conectar-se ao servidor Web, chamado Web. (Web utiliza HTTP, que, por sua vez, utiliza TCP como protocolo de camada de transporte.) Três dos códigos ICMP inalcançáveis podem ser usados pelos Roteadores A e B. Os outros dois códigos são usados pelo servidor Web. Esses códigos ICMP são enviados a Fred em conseqüência do pacote originalmente enviado por Fred.

•

Figura 7-1 Modelo de rede para discutir os códigos ICMP Inalcançáveis 10.1 .1.0/24

•

A

B

10.1.2.0/24

•• •• •• •

A Tabela 7-2 resume os códigos ICMP inalcançáveis mais comuns. Após a tabela, o texto explica como cada código ICMP pode ser necessário à rede mostrada na Figura 7-1.

:

Tabela 7-2 Códigos ICMP inalcançáveis

•

Código in alcançável

Quando ele é usado

• •

Rede inalcançável

Não há nenhuma combinação em uma tabela de roteamento para o destino do pacote

Roteador

O pacote pode ser direcionado para um roteador conectado à sub-rede de destino, mas o host não está respondendo

Roteador

O pacote tem o bit Don 't Fragment (Não Fragmentar) definido e um roteador deve fragmentar para encaminhar o pacote

Roteador

O pacote é entregue ao host de destino mas o protocolo de camada de transporte não está disponível naquele host

Host

O pacote é entregue ao host de destino mas a porta de destino não foi aberta por um aplicativo

Host

10.1.3.0/24 Web

Fred

10.1 .2.14

Quem normalmente o envia

. ------------------------------------------------------------•

••

Host inalcançável

•• Não pode fragmentar •

e

e -------------------------------------------------------•

•• e. • •

Protocolo inalcançável

Porta inalcançável

A lista a seguir explica em mais detalhe cada código da Tabela 7-2 utilizando a rede da Figura 7-1 como exemplo:

•

- Rede inalcançável: o Roteador A utiliza esse código se não houver uma rota que lhe diga para onde encaminhar o

• • •

pacote. Neste caso, o Roteador A precisa direcionar o pacote para a sub-rede 10.1.2.0/24. Se não for possível, o Roteador A envia a Fred a mensagem ICMP de Destino Inalcançável com o código "rede inalcançável" em resposta ao pacote de Fred destinado a 10.1.2.14.

••

198 Capítulo 7: Resolvendo problemas de roteamento IP

• •

- Host inalcançável: este código indica que o único host de destino não está disponível. Se o Roteador A tiver uma . rota até 10.1.2.0/24, o pacote é entregue ao Roteador B. Se a interface de LAN do Roteador B estiver funcionando, B também tem uma rota conectada a 10.1.2.0/24 e, portanto, B tenta utilizar a ARP e aprender o endereço MAC do servidor Web. Entretanto, se o servidor Web estiver inativo, o Roteador B não recebe uma resposta ARP da Web. O Roteador B envia a Fred a mensagem ICMP de Destino Inalcançável com o código "host inalcançável", significando que B possui uma rota mas não pode encaminhar o pacote diretamente a 10.1.2.14.

•

• • •

- Não pode fragmentar: este código é o último dos três códigos ICMP inalcançáveis que um roteador pode enviar. A • fragmentação defme o processo no qual um roteador precisa encaminhar um pacote, mas a interface de saída só permite pacotes que sejam menores que aquele pacote. O roteador tem permissão de fragmentar o pacote em pedaços, mas o cabeçalho do pacote pode ser definido com o bit "Não Fragmentar" no cabeçalho IP. Neste caso, se os Roteadores A ou B precisarem fragmentar o pacote, mas, se o bit Não Fragmentar estiver defrnido no cabeçalho IP, o roteador descarta o pacote e envia a Fred uma mensagem ICMP de Destino Inalcançável com o código "não pode fragmentar".

• • • •

- Protocolo inaicançável: se o pacote chegar com sucesso ao servidor Web, dois outros códigos inalcançáveis são • possíveis. Um indica que o protocolo IP, normalmente o TCP oU o UDP, não está funcionando naquele host. Isso é muito improvável, pois a maioria dos sistemas operacionais que utilizam TCPIIP usam um único pacote de software que fornece as funções IP, TCP e UDP. Mas, se o host receber o pacote IP e o TCP oU o UDP não estiverem disponíveis, o host do servidor Web envia a Fred uma mensagem ICMP de Destino o com o código "protocolo inalcançável" em resposta ao pacote de Fred destinado a 10.1.2.14.

• • . .

- Porta inalcançável: esse último valor do campo de códigos é mais provável hoje em dia. Se o servidor, ou seja, o • computador, estiver ativo e funcionando perfeitamente, mas o software do servidor Web não estiver sendo executado, o pacote pode chegar a um servidor mas não pode ser entregue ao software do servidor Web. Na verdade, o servidor não está escutando a porta conhecida daquele protocolo do aplicativo. Portanto, o host 10.1.2.14 envia a Fred a mensagem ICMP de Destino Inalcançável com o código "porta inalcançável" em resposta ao pacote de Fred destinado a 10.1.2.14.

• • • •

------------------~--------------~----~~-----. Observação A maioria das políticas de segurança atualmente mtra essas várias mensagens • inaicançáveis para ajudar a sustentar o perfIl de segurança da rede.

----~~~~--------~----~--~-----------------

•

O comando ping lista várias respostas que, em alguns casos, indicam que uma mensagem ina1cançável foi recebida. A • Tabela 7-3 apresenta os vários códigos inalcançáveis que podem ser exibidos pelo comando ping do Software Cisco . lOS.

Descrição

••

Echo Reply do ICMP recebida

•

Tabela 7-3 Códigos que o comando ping recebe em resposta à sua Echo Request do [CMP Código do comando ping

•

------------------------------------------------------------- . _________________________N_a_d_a_f_o_i_re_c_e_b_id_o_an __t_es__d_e_o_t_e_m_p_o_d_o__c_o_m_an __d_o_p_in __ g_t_er_e_s_g_o_ta_d_0___ -

U

ICMP de (destino) inalcançável recebida

N

ICMP de (rede/sub-rede) inalcançável recebida

• •

---------------------------------------------------------- .

A mensagem ICMP de Redirecionar

.•

A mensagem ICMP de Redirecionar fornece uma maneira através da qual os roteadores podem dizer aos hosts para utilizarem outro roteador como porta de comunicação padrão para certos endereços de destino. A maioria dos hosts utiliza o conceito de um endereço IP do roteador padrão, enviando pacotes destinados a sub-redes para o seu roteador padrão. Entretanto, se vários roteadores se conectarem à mesma sub-rede, a porta de comunicação padrão do host pode não ser o

• • • •

_M_________________________________M __e_n_sa_g_e_m__ IC_MP ____ de__N_ã_o_F_r_a_gm __e_n_tar __r_ec_e_b_id_a_________________ . . ?

Pacote desconhecido recebido

•

• •• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

'.

CCNA ICND2

199

melhor roteador naquela sub-rede para o qual encaminhar pacotes enviados a alguns destinos. A porta de comunicação padrão pode reconhecer que um roteador diferente seja a melhor opção. Em seguida, ela pode enviar mensagens ICMP de redirecionamento ao host dizendo-lhe que envie os pacotes destinados àquele endereço de destino a esse roteador diferente. Na Figura 7-2, por exemplo, o PC utiliza o Roteador B como seu roteador padrão. No entanto, a rota do Roteador A até a sub-rede 10.1.4.0 é a melhor rota. (Considere o uso da máscara 255.255.255.0 em cada sub-rede da Figura 7- 2.) O PC envia um pacote ao Roteador B (Passo 1 da Figura 7- 2). O Roteador B tenta encaminhar o pacote com base em sua própria tabela de roteamento (Passo 2); aquela rota aponta para o Roteador A, que possui a melhor rota. Finalmente, o Roteador B envia a mensagem ICMP de redirecionamento ao PC (Passo 3), dizendo-lhe para encaminhar futuros pacotes destinados a 10.1.4.0 para o Roteador A. Ironicamente, o host pode ignorar o redirecionamento e continuar enviando os pacotes para o Roteador B, mas neste exemplo, o PC acredita na mensagem de redirecionamento, enviando seu próximo pacote (passo 4) diretamente ao Roteador A.

A mensagem ICMP de Tempo Excedido A mensagem ICMP de Tempo Excedido notifica o host quando um pacote enviado por ele foi descartado por estar "fora da hora". Os pacotes na verdade não são cronometrados, mas para evitar que eles sejam encaminhados indefinidamente quando há um loop de roteamento, cada cabeçalho IP utiliza um campo TIL (Time to Live, ou Tempo de Vida). Os roteadores diminuem o TIL em 1 todas as vezes que encaminham um pacote; se um roteador diminuir o TIL para O, ele joga o pacote fora . Isso evita que os pacotes fiquem rodando indefinidamente. A Figura 7-3 mostra o processo básico.

Figura 7-2 ICMP Redirecionar S

..., ~ ', !',acote 1 \

® __ /<.,

---- -- --

,

/

",'"

' '" G),,"'" /~O,fõ

'" ~'lJ.v

// ....

'"

.,-

.. - - -- CMP Redirecionar -Utilizar Roteador A Host

Figura 7-3 ITL Decrementar para O

(;~~;~ Sarney

Fred

,. Ch.ve

....

10.1 .3.254 10.1.3.253

/ TIL = 5

10.1.2.14

TIL=4 TIL=3 TIL=2 TIL = 1 TIL menos 1 é igual a O! Pare! Descartar pacote.

ICMP Tempo Excedido TIL Excedido

Como pode ser visto na figura, o roteador que descarta o pacote também envia uma mensagem ICMP de Tempo Excedido, com um campo de código "tempo excedido", ao host que enviou o pacote. Dessa maneira, o remetente sabe que o pacote não foi entregue. Receber uma mensagem de Tempo Excedido também pode ajudá-lo quando estiver resolvendo problemas em uma rede. Tomara que você não receba muitas dessas mensagens; do contrário, significa que existem problemas de roteamento.

200 Capítulo 7: Resolvendo problemas de roteamento IP

o comando traceroute o comando ping é uma poderosa ferramenta de resolução de problemas que pode ser utilizada para responder à pergunta "A rota que vai daqui para lá funciona?" O comando traceroute oferece uma ferramenta possivelmente melhor para resolução de problemas, pois ela não só pode determinar se a rota funciona mas também pode fornecer o endereço IP de cada roteador da rota. Se a rota não estiver funcionando, o traceroute pode identificar os melhores lugares por onde começar a resolver os problemas. O comando do lOS traceroute utiliza a mensagem de Tempo Excedido e o campo TIL IP para identificar cada roteador sucessivo de uma rota. O comando traceroute envia um conjunto de mensagens com valores TIL crescentes, começando com 1. O comando traceroute espera que essas mensagens sejam descartadas quando os roteadores diminuem o TTL para 0, retomando as mensagens de Tempo Excedido para o comando traceroute. Os endereços IP origem das mensagens de Tempo Excedido identificam os roteadores que descartaram as mensagens, que podem então ser exibidas pelo comando traceroute. Para ver como esse comando funciona, considere o primeiro conjunto de pacotes (três pacotes de acordo com o padrão) enviados pelo comando traceroute. Os pacotes são pacotes IP, com a camada de transporte UDP e com o TIL definido em 1. Quando os pacotes chegam ao próximo roteador, o roteador diminui o TIL para em cada pacote, descarta o pacote e envia uma mensagem de Tempo Excedido de volta ao host que enviou o pacote descartado. O comando traceroute olha o endereço IP fonte do primeiro roteador no pacote de Tempo Excedido recebido.

°

Em seguida, o comando traceroute envia outro conjunto de três pacotes IP, dessa vez com o TIL = 2. O primeiro roteador diminui o TIL para 1 e encaminha os pacotes, enquanto o segundo roteador diminui o TIL para e descarta os pacotes. Esse segundo roteador envia as mensagens de Tempo Excedido de volta ao roteador onde o comando traceroute foi usado, e o comando traceroute agora conhece o segundo roteador da rota.

°

O comando traceroute sabe quando os pacotes de teste chegam ao host de destino porque o host envia de volta uma mensagem ICMP de Porta Ina1cançável. Os pacotes originais enviados pelo comando lOS traceroute utilizam um número de porta de destino UDP muito pouco provável de ser usado no host de destino; portanto, assim que o TTL fica alto o suficiente para permitir que o pacote chegue ao host de destino, o host percebe que ele não tem um aplicativo escutando aquela porta UDP específica. Portanto, o host de destino retoma uma mensagem de Porta Ina1cançável, que diz ao comando traceroute que a rota completa foi encontrada, e o comando então pode parar. A Figura 7-4 mostra um exemplo, mas com apenas uma das três mensagens em cada definição do TIL (para evitar confusão). O Roteador A utiliza o comando traceroute para tentar encontrar a rota até Bamey. O Exemplo 7-1 mostra esse comando traceroute no Roteador A, com mensagens debug do Roteador B, mostrando as três mensagens de Tempo Excedido resultantes. Figura 7-4 Comando traceroute do Software Cisco lOS: mensagens geradas trace 10.1.2.14 Fred

~

10.1.3.254 10.1.3.253

/~~~;;,., \ Ch.".

".

Porta de destino randomizada

--.J

Porta de destino randomizada

ICMP Porta Inalcançável

--.J

ICMP Porta Inalcançável

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

I

• • •• •• •• •• •

•• •• •• •

•• •• •• •• •• ••

CCNA ICND2

201

Exemplo 7-1 debug [eMP no Roteador B quando o comando traceroute está sendo executado no Roteador A RouterA#traceroute 10.1.2.14 Type escape sequence to abort o Tracing the route to 10.1.2.14 1 10.1.3.253 8 msec 4 msec 4 msec 2 10.1.2.14 12 msec 8 msec 4 msec RouterA# ! Moving to Router B now ! The following output occurs in reaction to the traceroute command on A

RouterB#debug ip icmp RouterB# ICMP: time exceeded (time to live) sent to 10.1.3.254 (dest was 10.1.2.14) ICMP: time exceeded (time to live) sent to 10.1.3.254 (dest was 10.1.2.14) ICMP: time exceeded (time to live) sent to 10.1.3.254 (dest was 10.1.2.14)

o comando traceroute apresenta o endereço IP do Roteador B na primeira linha e o endereço IP do host de destino na segunda linha. Observe que ele apresenta o endereço IP esquerdo do Roteador B. B responde com a mensagem de Tempo Excedido, utilizando o endereço IP da interface de saída de B como o endereço fonte daquele pacote. Em conseqüência disso, o comando traceroute apresenta aquele endereço IP. Se o endereço for conhecido de um servidor DNS, ou se ele estiver na tabela de hostnames do Roteador A, o comando pode listar o hostname em vez do endereço IP. Semelhante ao comando ping estendido conforme descrito na seção intitulada "O Comando ping Estendido", no Capítulo 4, a versão estendida do comando traceroute realiza um trabalho muito melhor de simular pacotes enviados por hosts do usuário final, principalmente para testar rotas inversas. No Exemplo 7-1, o comando traceroute de A usa o endereço IP 10.1.3.254 de A como endereço origem dos pacotes enviados, pois A utiliza a interface com o endereço 10.1.3.254 para enviar os pacotes gerados pelo comando traceroute. Portanto, o comando traceroute no Exemplo 7-1 testa a rota de encaminhamento em direção a 10.1.2.14 e a rota inversa até 10.1.3.254. Ao utilizar o comando traceroute estendido, o comando pode ser usado para testar uma rota inversa mais adequada, tal como a rota até a sub-rede LAN no lado esquerdo do Roteador A. O Exemplo 7-2, mais adiante neste capítulo, mostra um exemplo do comando traceroute estendido. Observação O comando tracert nos sistemas operacionais Microsoft funciona de forma bem parecida ao comando do lOS traceroute. No entanto, é importante observar que o comando Microsoft tracert envia Echo Requests ICMP e não usa UDP. Portanto, as ACLs IP poderiam fazer com que o lOS traceroute falhasse enquanto o Microsoft tracert funcionasse, e vice-versa.

: Resolvendo problemas relativos ao processo de • encaminhamento de pacotes

•• •• •• •• •• •

A resolução de problemas no processo de roteamento IP é uma das tarefas mais complexas enfrentadas pelos engenheiros de rede. Como de costume, utilizar uma abordagem estruturada pode ajudar. O Capítulo 4, de modo especial, bem como os Capítulos 5 e 6, já explicaram bastante sobre a primeira parte do processo de resolução de problemas, isto é, o que deve acontecer em uma rede. Esta seção se concentra no segundo passo: o isolamento do problema. (para obter uma referência mais geral sobre técnicas de resolução de problemas, reflIa-se ao Capítulo 3, "Resolvendo problemas de LAN Switching".) Observação Este capítulo deixa qualquer resolução detalhada de problema em relação a protocolos de roteamento para o Capítulo 11, ''Resolvendo problemas de protocolos de roteamento".

Isolando problemas de roteamento IP relacionados a hosts O processo de resolução de problemas apresentado neste capítulo separa os passos da resolução - uma parte para os hosts e outra para os roteadores. Em essência, para qualquer problema em que dois hosts não possam se comunicar, a

202 Capítulo 7: Resolvendo problemas de roteamento IP primeira parte desse processo de resolução de problemas examina as questões que podem causar impacto na capacidade de cada host enviar pacotes para e a partir de seu respectivo gateway padrão. A segunda parte isola problemas relacionados a como os roteadores encaminham pacotes. A lista a seguir apresenta os passos para resolução de problemas concentrando-se em testar a conectividade do host ao primeiro roteador: Passo 1 Verifique a capacidade do host de enviar pacotes dentro de sua própria sub-rede. Identifique o endereço IP da /;~;~o porta de comunicação padrão do host com o ping a partir do host ou o endereço IP do host a partir da porta de \~ve comunicação padrão. Se o ping falhar, faça o seguinte: a. Certifique-se de que a interface do roteador utilizada como gateway padrão esteja em estado ''up and up" (ativo e em perfeito funcionamento). b. Verifique o endereço IP do host da fonte e a definição da máscara em comparação com a interface do roteador utilizada como gateway padrão. Certifique-se de que ambas concordam com o número e a máscara de sub-rede e, por conseguinte, concordam com o intervalo de endereços válidos na sub-rede. c. Se o roteador utilizar trunking de VLANs, resolva qualquer questão relativa à configuração do trunk, certificandose de que o roteador esteja configurado para aceitar a mesma VLAN na qual o host reside. d. Se os outros passos não levarem a uma solução, investigue problemas na Camada 1/2 com a LAN, conforme abordado no Capítulo 3. Por exemplo, procure uma VLAN indefinida. Passo 2 Verifique a definição do gateway padrão no host identificando, através do ping, um dos outros endereços IP de interface do roteador padrão. Ou, a partir do roteador padrão, utilize um ping estendido do endereço IP do host com um endereço fonte de uma outra interface do roteador. Na Figura 7-5, por exemplo, os sintomas do problema podem ser que PCl não consiga navegar no servidor Web em PC4. Para testar a capacidade de PCl enviar pacotes pela sua sub-rede local, PCl poderia usar o comando ping 10.1.1.1 para testar a conectividade até o roteador padrão em sua mesma sub-rede. Ou o engenheiro poderia simplesmente usar o ping 10.1.1.10 a partir de RI (Passo 1). Qualquer um dos locais do ping funciona bem, porque ambos os locais do ping requerem que o pacote seja enviado em cada sentido. Se o ping falhar, um isolamento maior do problema deve desvendar as duas áreas específicas do problema apresentadas nos Passos IA, lB e le. Se não, o problema é provavelmente um problema de Camada 1 ou 2, conforme discutido no Capítulo 3.

Figura 7-5 Modelo de rede para resolução de cenários de problemas Default Gateway 10.1.1.1 PC1

5010/1 10.1.13.3

172.16.1.3

10.1.0.10

PC4

O Passo 2 destaca um conceito de resolução de problemas geralmente despercebido para verificar se a definição do gateway padrão está funcionando. Nenhuma das opções ping apresentadas no Passo 1 requer que o host utilize sua definição de porta de comunicação padrão, pois o endereço da fonte e do destino de cada pacote estão na mesma subrede. O Passo 2 força o host a enviar um pacote a um endereço IP em outra sub-rede, testando assim a definição da porta de comunicação padrão do host. Além disso, ao identificar o endereço IP através do ping na porta de comunicação

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• • • •

CCNA ICND2

203

(roteador) padrão, em vez de ir a algum endereço IP de um host distante, esse passo retira do teste boa parte da complexidade do roteamento IP. Em vez disso, o foco passa a ser se a definição da porta de comunicação padrão do host funciona. Na Figura 7-5, por exemplo, um comando ping 10.1.13.1 em PCl força PCl a utilizar sua definição da porta de comunicação padrão porque 10.1.13.1 não está na sub-rede (10.1.1.0/24) de PC 1. Mas o endereço IP está no roteador RI, que remove a maior parte do restante da rede como sendo uma possível causa caso o ping venha a falhar.

• •

: Isolando problemas de roteamento IP relacionados a roteadores • • • •

•• •• • •

•

• •

•• •• •• •• •• •• •• •• •• •• •• •

Quando o processo de isolamento de um problema no host está concluído, e todos os pings funcionam, tanto no host de envio quanto no de recebimento, qualquer questão remanescente sobre o roteamento IP deve estar entre o primeiro e o último roteador tanto na rota avante quanto na rota inversa entre os dois hosts. A lista a seguir escolhe o processo de resolução de problemas como o gateway/roteador padrão do host da fonte, com base no comando traceroute do roteador. (Observe que o comando equivalente do host, como o tracert nos sistemas operacionais Microsoft, também pode ser utilizado.)

Observação Embora a lista a seguir possa ser útil para referência, ela é um pouco extensa. Não fique preso a detalhes, mas leia os exemplos de seu uso logo após a lista, pois eles deverão esclarecer vários passos. Como de costume, não é necessário memorizar nenhum processo de resolução de problema aqui apresentado. Eles têm o objetivo de ser ferramentas de aprendizado para ajudá-lo a construir seu conhecimento. Passo 3 Teste a conectividade até o host de destino usando o comando traceroute estendido na porta de comunical· .. ·..·

: T6plco

\~

ção padrão do bost, utilizando a interface do roteador anexada ao host fonte para o endereço IP fonte dos pacotes. Se o comando for concluído com sucesso:

a. Não existe nenhum problema de roteamento nos sentidos da rota avante ou da rota inversa.

b. Se o tráfego do usuário final ainda assim não funcionar (muito embora o traceroute tenha funcionado), resolva qualquer problema existente em ACLs em cada interface de cada roteador da rota, em ambos os sentidos.

Passo 4 Se o comando traceroute no Passo 3 não for concluído, teste a rota avante da seguinte forma: a. Use o telnet até o último roteador rastreado (o último roteador apresentado no comando traceroute). b. Encontre a rota daquele roteador que combina com o endereço IP de destino utilizado no comando traceroute original (show ip route, show ip route ip-address). c. Se não for encontrada nenhuma rota de combinação, investigue por que a rota esperada está faltando. Normalmente, esta é uma questão de protocolo de roteamento ou um erro de configuração da rota estática. Pode também estar relacionado a uma rota conectada ausente. d. Se for encontrada uma rota de combinação, e a rota for a rota padrão, confirme que ela será usada com base na definição para os comandos ip classless/no ip classless.

e. Se for encontrada uma rota de combinação, use o ping para o próximo endereço IP de parada apresentado na rota. Ou, se a rota for uma rota conectada, utilize o ping para o verdadeiro endereço IP de destino. • Se o ping falhar, investigue problemas de Camada 2 entre esse roteador e o endereço IP que foi identificado através do ping e investigue possíveis problemas em ACLs. • Se o ping funcionar, investigue problemas relacionados às ACLs.

f. Se for encontrada uma rota de combinação, e não for encontrado nenhum outro problema, confirme se a rota não está apontando erroneamente no sentido errado.

Passo 5 Se o Passo 4 não identificar nenhum problema na rota avante, teste a rota inversa: a. Se a rota avante do último roteador rastreado se referir a outro roteador como sendo o roteador da próxima parada, repita os subpassos do Passo 3 a partir daquele roteador. Analise a rota inversa, ou seja, a rota para alcançar o endereço IP fonte usado pelo comando traceroute que falhou. b. Se a rota avante do último roteador rastreado se referir a uma sub-rede conectada, verifique as definições IP do host de destino. Principalmente, confirme as definições do endereço IP, da máscara e da porta de comunicação padrão.

204 Capítulo 7: Resolvendo problemas de roteamento IP Se, por exemplo, PCl não puder se comunicar com PC 4 na Figura 7-5, e os hosts puderem se comunicar através de suas respectivas portas de comunicação padrão, o Passo 3 do processo de isolamento de problemas orientado a roteadores poderia começar com um traceroute 172.16.2.7, utilizando o endereço IP FaO/O (10.1.1.1) de RI como endereço IP fonte. Se o comando traceroute apresentar 10.1.13.3 como o último endereço IP no resultado do comando, em vez de concluir, você começaria o Passo 4, que examina a rota avante de R3 em direção a 172.16.2.7. Se a análise do Passo 4 não desvendar o problema, o Passo 5 passaria então para o próximo roteador, neste caso, R4, e examinaria a rota inversa de R4, ou seja, sua rota de volta ao endereço fonte original 10.1.1.1. A seguir, dois cenários separados mostram como utilizar esses passos para resolução de problemas e isolar alguns modelos de situações problemáticas.

Resolução de problemas: Cenário 1: Problema relativo à rota avante

o primeiro exemplo do processo de resolução de problemas de roteadores utiliza a mesma inter-rede mostrada na Figura 7-5. Neste caso, PCl não consegue usar um navegador Web para conectar-se ao Serviço Web em PC4. Após uma melhor investigação, PC 1 não consegue identificar 172.16.2.7 (PC4) através do pingo O Exemplo 7-2 mostra os comandos utilizados em RI e R4 para os Passos 1 e 2 orientados ao host, bem como o início do Passo 3 orientado ao roteador. Exemplo 7-2 Resolução de problemas: Cenário 1: Passos 1 e 2 e parte do Passo 3 R1#ping 10.1.1.10 Type escape sequence to aborto Sending 5, 100-byte ICMP Echos to 10 . 1.1.10, timeout is 2 seconds: !!!! !

Success rate is 100 percent (5 / 5) , round-trip min/avg/max

1/2/4 ms

Rl# ping Protocol

[ip] :

Target IP a ddress: 10.1.1.10 Repeat count [5]: Datagram size [100] : Tirneout in seconds [2]: Extended commands [n]: yy Source address or interface: 10.1.13.1 Type of service [O]: Set DF bit in IP header? [no]: VaIidate rep1y data?

[no]:

Data pat tern [OxABCD]: Loose,

Strict, Record, Timestamp, Verbose[none]:

Sweep range of sizes [n]: Type escape sequence to aborto Sending 5, 100-byte ICMP Echos to 10.1.1. 1 0,

timeout is 2 seconds:

Packet sent with a source address of 10.1 . 13.1 !!!! !

Success rate is 100 percent (5/5), round- trip min/avg/max

1/2/4 ms

Rl# ! Now moving to R4 to repeat the test

R4#ping 172.16.2.7 Type escape sequence to abort o Sending 5, 100-byte ICMP Echos to 172 . 16.2.7 , timeout is 2 seconds:

Success rate is O p ercent (0/5) R4# show ip interface brief

••

• . •

• • •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2 I n terface I

P-Address

OK? Method Status Protocol

FastEthernetO / O

172 . 16.2 . 4

YES manual adrninistratively down d own

Fa s tEthernetO/1

172 . 16.1.4

YES manual up up

SerialO/O/O

unassigned

YES unset adrninistratively down down

SerialO/O/l

unassigned

YES uns et adrninistratively down down

SerialO/1/0

unassigned

YES unset a drninistratively d own d own

205

Os pings padrão e estendido em RI no início do exemplo, em essência, executam os Passos 1 e 2, ou seja, os passos orientados ao host, para confirmar que PC1 aparentemente está funcionando bem. Entretanto, o exemplo mostra em seguida que R4 não consegue alcançar PC4 porque a interrace LAN de R4 foi fechada, conforme mostrado no final do exemplo. Embora esse cenário possa parecer um pouco simples, ele oferece um bom ponto de partida para a resolução de um problema. Para obter uma visão mais completa do processo de resolução de problemas, considere esse mesmo cenário, com o mesmo problema inicial, mas, dessa vez, você não tem acesso ao roteador R4. Portanto, você só pode executar os Passos 1 e 2 para o PC1, passos estes que funcionam, mas não pode executar os mesmos passos para PC4 a partir de R4. Conseqüentemente, o Exemplo 7-3 passa direto aos Passos 3 e 4. O início do exemplo mostra o Passo 3, onde RI utiliza traceroute 172.16.2.7, com um endereço IP fonte 10.1.1.1. Este comando não é concluído, referindo-se a 10.1.13.3 (R3) como o último roteador. O Passo 4 prossegue observando como R3 direciona pacotes destinados a 172.16.2.7. Exemplo 7-3 Resolução de problemas: Cenário 1: Passo 4 R1# traceroute Protocol [ip]: Target IP address: 172.16.2.7 Source address: 10.1.1.1 Nurneric display [n]: Timeout in seconds [3]: Prob e c ount [3 ]: Minimurn Time to Live [1]: Maximurn Time to Live [30]: Po rt Nurnber [33434]: Loose,

Strict, Record, Times tamp , Verbose[none]:

Type escape sequence to aborto Tracing the route to 172.16.2.7 1 10.1 . 13.3 O msec 4 msec O msec 2 10 . 1 . 13.3 !H * !H Note above that the cornrnand did stop by itself, but it does not list the destination host 172 . 16 . 2 . 7 R3 #show ip route 172.16.2.7

% Subnet not in table R3#show ip route Codes : C - connected , S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP externaI, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA externaI type 1, N2 - OSPF NSSA externaI type 2 E1 - OSPF externaI type 1, E2 - OSPF ext e rnaI type 2 i - IS-IS, su - IS-IS surnrnary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area,

* - candidate default, U - per - user static route

o - ODR, P - periodic downloaded static route Gateway of last resort is not set 172.16.0.0 / 24 is subnetted , 1 subnets C

172 . 16.1.0 is d i rectly connected, FastEthernetO / O

206 Capítulo 7: Resolvendo problemas de roteamento IP 10 . 0.0.0/24 is subne tted, 4 subnets C

10.1 . 13.0 i s di rect1y connected , Seria10/0/1

R

10.1.1.0 [120/11 via 10.1.13.1,

R

10 . 1.0.0 [120/11 via 10 . 1.23.2 , 00 : 00 : 01 , Ser ia10/1/0

C

10 . 1.23 . 0 is direc t 1y connec t e d , Seria10/1/0

00:00 : 04,

Seria10/0/1

o comando traceroute estendido no início do exemplo mostra o resultado identificando R3 (10.1.13.3) como o último dispositivo apresentado no resultado do comando (passo 3). O Passo 4 prossegue com um exame da rota avante de R3 em direção ao endereço IP 172.16.2.7. O comando show ip route 172.16.2.7 vai direto ao ponto. A mensagem "subnet not in table" ("sub-rede não encontrada na tabela") significa que R3 não possui um endereço de destino 172.16.2.7 para combinação da rota. Se a questão não fornecer acesso a um simulador, mas somente o resultado do comando show ip route, seria necessário examinar as rotas para determinar se nenhuma delas se refere a um intervalo de endereços que inclua 172.16.2.7. Sempre que o processo de isolamento de um problema apontar para uma rota que está faltando, o próximo passo é determinar como o roteador deveria ter aprendido a rota. Neste caso, R3 deveria ter utilizado RIP-2 para aprender a rota . Portanto, os próximos passos seriam resolver qualquer problema relativo ao protocolo de roteamento dinâmico. A causa geradora desse problema não mudou - R4 fechou sua interface FaO/O - mas os sintomas são bastante interessantes. Como a interface está fechada, R4 não anuncia uma rota para a sub-rede 172.16.2.0/24 até R3. Entretanto, R3 anuncia uma rota sumarizada automaticamente até a rede 172.16.0.0/16 para RI e R2; portanto, por causa da definição de sumarização automática padrão do RIP-2, tanto RI quanto R2 podem encaminhar pacotes destinados a 172.16.2.7 para R3. Em conseqüência disso, o comando traceroute em RI pode encaminhar pacotes para R3.

Resolução de problemas: Cenário 2: Problema relativo à rota inversa Este próximo exemplo utiliza o mesmo diagrama de rede mostrado na Figura 7-5, com todas as informações mostradas na figura ainda sendo verdadeiras. Contudo, os detalhes mencionados na seção anterior podem ter sofrido alguma alteração - principalmente o problema existente para tornar o exemplo mais interessante. Portanto, resolva este segundo problema apenas baseando-se na figura como sendo verdadeira. Neste cenário, PC1 novamente não consegue identificar 172.16.2.7 (PC4) através do pingo As verificações do gateway padrão do host sugeridas nos Passos 1 e 2 novamente funcionam para PC1, mas os testes não podem ser executados para o sentido inverso, porque o engenheiro não pode acessar PC4 ou o roteador R4. Portanto, o Exemplo 7-4 toma o processo de resolução de problemas sugerido no Passo 3, mostrando o resultado do comando traceroute estendido em RI. Observe que o comando nem mesmo apresenta o endereço IP 10.1.13.3 de R3 neste caso. Portanto, o resto do Exemplo 7-4 mostra as investigações feitas nos subpassos específicos do Passo 4. Exemplo 7-4 Resolução de problemas: Cenário 2: Passos 3 e 4 R1# traceroute ip 172.16.2.7 source faO/O Type escape sequence to aborto Tracing the route to 172.16.2.7 1

* * *

2 * 3 *

R1# show ip route 172.16.2.7 Routing entry for 1 7 2. 16 .0.0/ 1 6 Known via "rip", distance 120, metric 1 Redistributing via rip Last update from 10.1.13.3 on SerialO/1/0 , 00 : 00:05 ago Routing Des criptor Blocks:

* 10.1 . 13.3, from 10.1.13.3, 00 : 00:05 ago, via SerialO/1/0 Route metric is 1, traffic share count is 1 R1#ping 10.1.13.3 Type escape sequence to aborto Sending 5, 100-byte ICMP Echos to 10.1.13.3, timeout is 2 seconds:

•• •• •• •• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• ••

•

CCNA ICND2

207

I

I

!! !! !

8uccess rate is 100 percent (5/5), round-trip min/ a vg/max

1/2/ 4 ms

I

R1 #show ip acc.ss-lists

. r----------------=====================================~ ! 8witching to router R3 next

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

I

R3tshow ip acc.ss-lists R3#

~----------------------------------------------------------~

I

o exemplo começa mostrando o Passo 3 do processo, com o comando traceroute apresentando somente linhas de asteriscos. Isso significa que o comando não identificou com sucesso nem mesmo o próximo roteador da rota.

Em seguida, passando para o Passo 4, a lista a seguir apresenta os subpassos do Passo 4 conforme aplicados a este exemplo:

I

Passo 4a O exemplo já havia começado com uma Telnet em RI; portanto, não é necessário nenhum trabalho extra.

I

Passo 4b O próximo comando, show ip route 172.16.2.7, mostra que RI possui uma rota não-padrão para a rede 172.16.0.0, apontando para R3 (10.1.13.3) como a próxima parada.

I

Passo 4c Este passo não se aplica a este caso, porque uma rota de combinação foi encontrada no Passo 4B. Passo 4d Este passo não se aplica a este caso, porque a rota de combinação não é uma rota até 0.0.0.0/0 (a rota padrão). Passo 4e O próximo comando apresentado, ping 10.1.13.3, testa a capacidade de RI de enviar pacotes através do link até o próximo roteador identificado no Passo 4B. O ping funciona.

I

Passo 4f Tanto em RI quanto no próximo roteador (R3), o comando show ip access-Iists confirma que nenhum dos roteadores possui qualquer ACL IP configurada.

I

Como todos os passos para examinar a rota avante foram aprovados, o processo segue para o Passo 5. O comando traceroute original no Exemplo 7-4 utilizou o endereço IP da interface FaO/O de RI , 10.1.1.1 , como endereço IP origem. Para o Passo 5, o processo começa em R3 com uma análise da rota inversa de R3 para alcançar 10.1.1.1. Examine o resultado do Exemplo 7-5, e procure qualquer problema antes de ler as explicações que se seguem ao exemplo.

I

Exemplo 7-5 Resolução de problemas: Cenário 2: Passo 5

I I

The next command shows the matched route , f or subnet 10.1 . 1.0 / 26 , with next-hop 10.1.23.2 . R3# show ip route 10.1.1.1

I

Routing entry for 10.1.1 . 0 /2 6 Known via "static " , distance 1 , metric O

I

Routing Descriptor Blocks:

I

• 10 .1.2 3. 2 Route metric is O, traffic share count is 1 The next command shows the overlapp i ng subnets - 10.1.1.0 / 26 and 10.1.1.0 / 24 .

I

R3# show ip route Codes : C - connected, 8 - static , R - RIP, M - mobile , B - BGP D - EIGRP, EX - EIGRP externaI , O - 08PF, IA - 08 PF inter area N1 - 08PF N88A externaI type 1, N2 - 08PF N88A externaI type 2 E1 - 08PF externaI type 1, E2 - 08PF externaI type 2 i - 18-18, su - 18-18 summary, L1 - 18-18 level-1, L2 - 18-18 level - 2 ia - 18-18 inter area , • - candidate default, U - per-user static route o - ODR , P - periodic download e d static route Gateway of last resort is not set 172.16.0 . 0 / 24 is subnetted, 2 subne ts C

172 . 16.1.0 is directly connected, FastEthernetO / O

R

172 .1 6.2.0

[120 / 1] via 172.16.1.4, 00:00:18, FastEthernetO / O

10.0.0 . 0 / 8 is variably subnetted , 5 subnet s, 2 masks C

10.1. 1 3.0 / 24 is directly connected, 8eriaI0 / 0 / 1

I

208 Capítulo 7: Resolvendo problemas de roteamento IP S

10.1.1.0/26 [1 / 0] via 10.1.23.2

R

10 . 1.1.0 / 24 [120 / 1 ] v ia 10.1.13.1 , 00:00:10, SerialO/0 / 1

R

10.1.0.0/24 [120/1] via 10 . 1 . 23 . 2, 00:00:11, SerialO/1/0

C

10.1.23.0/24 is directly conne cted, Seria lO/1/0

R3 possui uma rota estática configurada incorretamente para a sub-rede 10.1.1.0/26. Essa sub-rede inclui o intervalo de endereços 10.1.1.0-10.1.1.63, que inclui o endereço IP 10.1.1.1. Quando R3 tenta enviar um pacote de volta a 10.1.1.1 , R3 tem duas rotas que combinam com o endereço de destino. Mas R3 escolhe a rota mais específica (prefixo mais longo) para a sub-rede 10.1.1.0/26. Essa rota faz com que R3 encaminhe pacotes destinados a 10.1.1.1 saindo pelo link de R3 para R2, em vez de para RI. Embora você não possa necessariamente determinar a verdadeira intenção dessa rota estática, este processo identificou a causa geradora, ou seja, a rota estática até 10.1.1.0/26 em R3. Se a LAN que sai de RI devesse incluir todos os endereços entre 10.1.1.0 elO.1.1.255, a rota estática então deveria simplesmente ser excluída.

Processo alternativo de isolamento de problemas para os Passos 3, 4 e 5 Os passos orientados a roteadores do processo de isolamento de problemas de roteamento IP dependem do comando traceroute, confiando na capacidade deste comando de identificar em qual roteador deve começar a resolução do problema relacionado ao roteador. Como alternativa, os comandos ping e telnet podem ser utilizados. No entanto, como esses comandos não podem identificar rapidamente os roteadores mais prováveis nos quais existe o problema, para usar o ping e o telnet é necessário executar um conjunto de tarefas no primeiro roteador da rota (a porta de comunicação padrão/roteador do host) e, em seguida, no próximo roteador, e assim por diante, até que o problema seja identificado. Portanto, só para concluir, observe que você pode executar as mesmas sub-tarefas específicas conforme já explicado nos Passos 4 e 5, mas ao usar o ping, basta repetir os passos em cada roteador sucessivo. Para aplicar esse processo revisado, por exemplo, ao primeiro dos dois cenários que acabamos de apresentar, o processo começaria com o roteador RI , ou seja, o roteador padrão de PC1. No primeiro cenário, RI não tinha nenhuma questão relativa à rota avante para encaminhar pacotes até 172.16.2.7 (PC4), e também não tinha nenhuma questão relativa à rota inversa e nenhumaACL. Esse novo processo alternativo sugeriria então passar para o próximo roteador (R3). Neste exemplo, o problema da rota avante de R3, isto é, não ter ':lma rota que combine com o endereço de destino 172.16.2.7, seria encontrado.

Ferramentas e dicas para resolução de problemas A segunda metade deste capítulo aborda uma grande variedade de ferramentas e dicas para resolução de problemas que podem ser úteis quando você estiver resolvendo problemas em redes reais. Algumas das informações contidas nesta seção podem se aplicar diretamente aos exames CCNA. Outras partes desta seção serão indiretamente úteis para os exames. As informações poderão ajudá-lo a aprender à medida que você for lidando com redes em seu trabalho, fazendo com que você esteja mais bem preparado para os cenários exclusivos apresentados nos exames.

Ferramentas de roteamento de hosts Esta seção aborda dois tópicos pequenos relacionados a como os hosts processam pacotes IP. O primeiro tópico apresenta várias dicas para resolução de problemas relacionados a hosts. O segundo tópico revisa as informações abordadas no CCENr/CCNA ICNDJ Guia Oficial de Certificação do Exame sobre como a configuração IP de um switch funciona como se fosse um host.

Dicas para resolução de problemas relacionados a hosts Quando você está tentando isolar a causa de problemas relativos à comunicação em rede, as dicas apresentadas na Tabela 7-4 podem ajudá-lo a encontrar mais rapidamente os problemas relacionados a hosts. As dicas são organizadas de acordo com os sintomas típicos, junto com as causas geradoras comuns. Observe que a tabela não apresenta todas as causas possíveis, mas apenas as mais comuns.

Tabela 7-4 Sintomas comuns em problemas com hosts e as razões típicas Sintoma

Causa geradora comum

O host pode enviar pacotes a hosts na mesma sub-rede, mas não para outras sub-redes.

O host não possui um gateway padrão configurado ou o endereço IP do gateway padrão está incorreto.

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •

CCNA ICND2

. . . • •

•

•

•

•

•

O host pode enviar pacotes a hosts na mesma mas não para outra sub-redes.

209

O gateway padrão do host está em uma sub-rede diferente sub-rede, do endereço IP do host (de acordo com a percepção que o host tem da sub-rede) .

-----------------------------------------------------------------Alguns hosts de uma sub-rede podem se comunicar com hosts em outras sub-redes, mas outros não podem.

Pode ser causado pelo gateway (roteador) padrão utilizando uma máscara diferente da dos hosts. Pode resultar na rota conectada do roteador não incluindo alguns dos hosts na LAN.

--------------------------------------------------------------Alguns hosts da mesma VLAN podem enviar Os hosts podem não estar usando a mesma máscara. pacotes uns para os outros, mas outros não podem.

-----------------------------------------------------------------Ao resolver problemas relacionados à comunicação em rede na vida real, vale a pena acostumar-se a pensar nos sintomas, pois é aí que normalmente começa o processo de isolamento do problema. Entretanto, para os exames, a maioria dos problemas de comunicação de hosts é causada por apenas alguns poucos pontos:

• ........ Passo 1 Verifique todos os hosts e roteadores que deveriam estar na mesma sub-rede para se assegurar de que todos

_.

. 6plC:O

eles utilizam a mesma máscara e que seus endereços estão realmente na mesma sub-rede .

•• ChllWl

•• • •• •• •• •

Passo 2 Compare a definição do gateway padrão de cada host com a configuração do roteador para se assegurar de que o endereço IP esteja correto.

Passo 3 Se os dois primeiros itens estiverem corretos, observe em seguida as questões relativas às Camadas 1 e 2, conforme abordado nos Capítulos 1,2 e 3.

: Suporte IP a switches Os switches Ethernet não precisam saber nada sobre a Camada 3 para executar sua função básica da Camada 2 de encaminhar frames Ethernet. Entretanto, para dar suporte a vários recursos importantes, tais como a capacidade de utilizar telnet ou SSH no switch para resolver problemas, os switches de LAN precisam de um endereço IP. Switches agem como hosts quando se trata de configuração IP. Em comparação a um PC, um switch Cisco não utiliza um NIe. Pelo contrário, ele utiliza uma interface virtual interna associada com a VLAN 1 que, em essência, dá ao próprio switch uma interface na VLAN 1. Em seguida, os mesmos tipos de itens que podem ser configurados em um host para o IP podem ser configurados nessa interface da VLAN: o endereço IP, a máscara e a porta de comunicação padrão. Endereços IP do servidor DNS também podem ser configurados.

•

A lista a seguir repete a lista de verificação de configuração IP de switches LAN, retirada do CCENT/CCNA ICNDI Guia Oficial de Certificação do Exame. Após a lista, o Exemplo 7-6 mostra a configuração de endereços IP para o switch SW1 na Figura 7-5, apresentada anteriormente no capítulo.

•

....... Passo 1 Entre no modo de configuração VLAN utilizando o comando de configuração global interface vlan 1 (a

•

. ·;ÓPICO \ Chave

partir de qualquer modo de configuração).

• . ..

Passo 2 Designe um endereço IP e uma máscara utilizando o subcomando de interface ip address ip-address mask.

•

Passo 3 Ative a interface VLAN 1 utilizando o subcomando de interface no

•• •• •• •• •• • •

ShUtdOWD.

Passo 4 Acrescente o comando global ip default-gateway ip-address para configurar a porta de comunicação padrão.

Exemplo 7-6 Configuração do endereço IP estático de um switch SWl#configure terminal SW1(config)# interface vlan 1 SW1(config-if)# ip addre •• 10.1.1.200 255.255.255.0 SW1(config-if)#no shutdown 00:25:07: %LINK- 3-UPDOWN: Interface Vlanl, changed state to up 00:25:08: %LINEPROTO-5-UPDOWN : Line protocol on Interface Vlanl , changed sta t e t o up SWl (config-if) #exit SWl (confiq) # ip default-gateway 10.1.1.1

• ------------------------------------------------------- • .

210 Capítulo 7: Resolvendo problemas de roteamento IP

Observação A interface VLAN de um switch fica em estado administrativamente inativo até que o usuário emita o comando no shutdown; o switch não pode enviar pacotes IP até que • a interface VLAN 1 esteja ativa. --------------~--------------------------------------- .

Um descuido comum ao configurar ou resolver problemas relativos à conectividade IP com switches está relacionado ao trunking de VLANs. A Cisco geralmente sugere evitar colocar dispositivos do usuário [mal na VLAN 1, mas o endereço IP do switch pode estar sim configurado na VLAN 1. Para dar suporte à capacidade que o switch tem de enviar e receber pacotes a hosts em sub-redes diferentes, aceitando assim o Telnet no switch a partir daquelas sub-redes do usuário [mal, a configuração do trunking do roteador deve incluir a configuração da VLAN 1 bem como das VLANs do usuário final .

Referência ao show ip route o comando show ip route tem uma função importante na resolução de problemas relativos

a roteamento IP e ao protocolo de roteamento IP. Muitos capítulos deste livro e do livro ICND1 mencionam vários fatos sobre esse comando. Esta seção une os conceitos em um único lugar para facilitar a referência e o estudo. A Figura 7-6 mostra o resultado do comando show ip route apresentado no Exemplo 7-3. A figura numera várias partes do resultado do comando para facilitar a referência, onde a Tabela 7-5 descreve o resultado indicado por cada número.

Figura 7-6 Referência ao resultado do comando show ip route

®

®

~® is

subnetted,


10.1.13 . 0 is directly connec ted, SerialO/0/1 R

10.1.1.0 [120/1] via 10.1.13.1, 00:00 : 04, Ser ialO/0/1

O C

10.1.23.0 is d i rectly connected, SerialO/1/0

R

10 1 O O

[l2Q/ ~ ]

@

®

®®

vi a 10 1 23 . 2, 00·00·01, SerialO/1/0

®

®

@

Tabela 7-5 Descrições do resultado do comando show ip route Número do item

Item

Valor na figura

Descrição

1

Rede classful

10.0.0.0

A tabela de roteamento é organizada pela rede classful. Essa linha está na linha de cabeçalho da rede classful 10.0.0.0

2

Comprimento do prefixo

/24

Quando esse roteador só conhece uma máscara de sub-rede para todas as sub-redes da rede, esse local apresenta aquela máscara, em notação de prefixos, como padrão

3

Número de sub-redes

4 sub-redes

Apresenta o número de rotas para sub-redes da rede classful conhecidas deste roteador

4

Código de legenda

R,C

Um código pequeno que identifica a fonte da informação do roteamento. R representa RIP e C representa rede diretamente conectada. A figura omite o texto da legenda na parte superior do resultado do comando show ip route, mas ele pode ser visto no Exemplo 7-3

5

Número de sub-rede

1O.l.0.0

Número de sub-rede dessa rota específica

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•

CCNA ICND2

• •• •

6

•

• •• •• •

7

•

8

•

9

•• •• ••

•• •• •• •• •• •• •• •• •• •• •• ••

10

211

Distância administrati va

120

Se um roteador aprender rotas para a sub-rede apresentada a partir de mais de uma fonte de informações do roteamento, o roteador utilizará a fonte com a menor DA (distância administrativa)

Métrica

1

A medida dessa rota

Próximo roteador (next router)

10.1.23.2

Para pacotes que combinam com essa rota, o endereço IP do próximo roteador ao qual o pacote deve ser encaminhado

Timer

00:00:01

Tempo decorrido desde que essa rota foi aprendida em uma das atualizações de roteamento

Interface de saída

SerialO/1I0

Para pacotes que combinam com essa rota, a interface da qual o pacote deve ser encaminhado

o resultado do comando difere ligeiramente quando se utiliza VLSM. A figura mostra um exemplo em que não se utiliza VLSM na rede 10.0.0.0, com a máscara /24 utilizada para todas as sub-redes daquela rede. Portanto, o lOS lista a máscara uma vez, na linha de cabeçalho (/24 neste caso). Se o VLSM estivesse em uso, alinha de cabeçalho simplesmente indicaria que a rede é invariavelmente dividida em sub-redes e cada rota listaria a máscara. Como exemplo, veja o Exemplo 5-1 do Capítulo 5 "VLSM e sumarização de rotas".

Status da interface Um dos passos do processo de resolução de problemas de roteamento IP descritos anteriormente, na seção "Resolvendo problemas relacionados ao processo de encaminhamento de pacotes", diz para verificar o status da interface, assegurandose de que a interface necessária esteja funcionando. Para que a interface de um roteador esteja funcionando, os dois códigos de status da interface devem ser apresentados como "up" ("ativo"), onde os engenheiros geralmente dizem que a interface está "up and up" ("ativa e funcionando perfeitamente"). Este capítulo não explica os passos de resolução de problemas para interfaces de um roteador, considerando simplesmente que cada interface esteja realmente em estado ativo/ativo. No Capítulo 12, a seção intitulada "Resolvendo problemas de links seriais" aborda vários detalhes para resolver problemas de interfaces de roteadores. Para interfaces de LAN de roteadores conectados a um switch, os principais itens a verificar nos roteadores são se o roteador e o switch combinam com as definições de velocidade e duplex um do outro, e que se o trunking estiver configurado, tanto o roteador quanto o switch tenham sido manualmente configurados para o trunking, já que roteadores não negociam o trunking dinamicamente.

Questões relativas ao VLSM Esta seção examina várias questões ao utilizar VLSM: - Reconhecer se o VLSM é utilizado e, em caso positivo, quais protocolos de roteamento podem ser usados - Entender as condições nas quais os roteadores podem permitir um erro de configuração de sub-redes VLSM sobrepostas - Entender os sintomas externos que podem ocorrer quando existem sub-redes VLSM sobrepostas

Reconhecendo quando o VLSM é utilizado Um descuido comum ao resolver um problema em uma inter-rede desconhecida é não reconhecer se o VLSM é utilizado. Conforme definido no Capítulo 5, uma inter-rede utiliza VLSM quando várias máscaras de sub-rede são usadas para diferentes sub-redes de uma única rede classful. Se, por exemplo, em uma inter-rede todas as sub-redes da rede 10.0.0.0 utilizarem a máscara 255.255.240.0, e todas as sub-redes da rede 172.16.0.0 utilizarem uma máscara 255.255.255.0, o projeto não utiliza VLSM. Se várias máscaras forem usadas para as sub-redes da rede 10.0.0.0, o VLSM estaria em uso. O conceito conclusivo é que somente protocolos de roteamento classless (RIP-2, EIGRP, OSPF) podem aceitar VLSM; protocolos de roteamento classful (RIP-l, IGRP) não podem. Portanto, uma rápida determinação se o VLSM está realmente sendo usado pode dizer-lhe se um protocolo de roteamento classless se faz necessário. Observe que o protocolo

212 Capítulo 7: Resolvendo problemas de roteamento IP de roteamento não requer nenhuma configuração especial para aceitar o VLSM. Ele é simplesmente um recurso do protocolo de roteamento.

Configurando sub-redes VLSM sobrepostas As regras das sub-redes IP requerem que os intervalos de endereços das sub-redes utilizadas em uma inter-rede não se sobreponham. O lOS pode reconhecer quando um novo comando ip address cria uma sub-rede sobreposta, mas somente em alguns casos. Esta seção examina as condições sob as quais as sub-redes sobrepostas podem ser configuradas, começando com as seguintes aflrmativas gerais sobre quando as sobreposições podem ou não ser configuradas:

. - Evitando a sobreposição: o lOS detecta a sobreposição quando o comando ip address indica uma sobreposição

/~~ ;~o :•. Ch:VO ".

com outro comando ip address no mesmo roteador. Se a interface que está sendo configurada está ativa/ativa, o lOS rejeita o comando ip address. Se não, o lOS aceita o comando ip address, mas nunca irá exibir a interface. - Permitindo a sobreposição: o lOS não consegue detectar uma sobreposição quando um comando ip address se sobrepõe com um comando ip address em outro roteador.

O roteador mostrado no Exemplo 7-7 impede a conflguração de uma sub-rede VLSM sobreposta. O exemplo mostra o roteador R3 configurando FaO/O com o endereço IP 172.16.5.1124, e FaO/1 com 172.16.5.193/26. Os intervalos de endereços em cada sub-rede são: Sub-rede 172.16 . 5.0/24: 172.16.5.1- 172.16.5 . 254 Sub- rede 172 . 16.5.192/26: 172 . 16 . 5 .1 93- 172 .16.5 . 254

Exemplo 7-7 Um único roteador rejeita sub-redes sobrepostas R3# configure terminal R3(conf i g )# interface FaO/O R3(con fig-if)# ip address 172.16.5.1 255.255.255.0 R3 (config-if) #interface FaO/1 R3(conf i g -i f )# ip address 172.16.5.193 255.255.255.192

% 172.16.5.192 ov erlaps with FastEthernetO / O R3(config-if)#

O lOS sabe que é ilegal sobrepor os intervalos de endereços indicados por uma sub-rede. Neste caso, como ambas as sub-redes seriam sub-redes conectadas, esse único roteador sabe que essas duas sub-redes não devem coexistir, pois isso faria com que as regras de criação de sub-redes fossem quebradas; portanto, o lOS rejeita o segundo comando. No entanto, é possível configurar sub-redes sobrepostas se elas estiverem conectadas a roteadores diferentes. A Figura 7-7 mostra uma figura bastante semelhante à Figura 5-2 do Capítulo 5, a qual foi usada naquele capítulo para explicar o problema de sub-redes sobrepostas. O Exemplo 7-8 mostra a configuração das duas sub-redes sobrepostas em R2 e R3, com a tabela de roteamento resultante em R2. Figura 7-7 Inter-rede que permite a configuração de sub-redes sobrepostas

172.16.5.1/24

Exemplo 7-8 Dois roteadores aceitam sub-redes sobrepostas R2# configure terminal R2(config )# interface FaO/O R2(con fig-if)# ip address 172.16.4.1 255.255.254.0

172.16.5.3

• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

••

•• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2

213

R3#configure terminal R3(config )# interface FaO/O R3(config -if)# ip address 172.16.5.1 255.255.255.0

Para os exames, tenha em mente que sub-redes sobrepostas podem ser configuradas se as sub-redes não se conectarem ao mesmo roteador. Portanto, se uma questão pedir para escolher um novo número de sub-rede e configurar uma interface para que ela esteja naquela sub-rede, o fato de o roteador aceitar o seu comando ip address não necessariamente quer dizer que você executou a matemática corretamente. O tópico a seguir explica alguns dos sintomas dos problemas que você poderá encontrar caso haja sobreposição.

Sintomas de sub-redes sobrepostas Observação Embora esta seção seja incluída por questão de complementação, os tipos de problemas aqui descritos podem estar além do escopo dos exames CCNA. Os sintomas externos dos problemas diferem dependendo do fato de o endereço em questão estar na parte sobreposta das sub-redes e se vários hosts estão tentando utilizar exatamente o mesmo endereço IP. Os endereços nas partes não sobrepostas da sub-rede normalmente funcionam bem ao passo que aqueles na área sobreposta simplesmente podem ou não funcionar. Por exemplo, continuando com as sub-redes sobrepostas mostradas na Figura 7-6, as sub-redes 172.16.4.0/ 23 e 172.16.5.0/24 se sobrepõem - especificamente, os endereços 172.16.5.0-172.16.5.255. Hosts no intervalo não sobreposto de 172.16.4.0-172.16.4.255 provavelmente funcionam bem. Para os endereços do intervalo sobreposto, em muitos casos, os hosts da menor das duas sub-redes sobrepostas funcionam bem, mas este já não é o caso dos hosts da maior das duas sub-redes. Para entender por quê, considere o caso em que PC1 na Figura 7-7 tenta identificar 172.16.5.2 (pC2, saindo de R2) e 172.16.5.3 (pC3 , saindo de R3) através do pingo (para este exemplo, considere que os endereços IP de PC2 e PC3 não são duplicados na sub-rede sobreposta oposta.) Como pode ser visto a partir das tabelas de roteamento em RI e R3 e o comando traceroute 172.16.5.2 no Exemplo 79, o pacote enviado por PC1 para PC2 na verdade seria entregue de RI para R3, e em seguida para a LAN de R3.

Exemplo 7-9 Dois roteadores aceitam sub-redes sobrepostas ! R1's r o ute t o reach 172 . 16 . 5. 2,

off R2 , points to R3

R1# show ip route 172.16.5.2 Routing en t ry fo r 17 2. 16.5 . 0 /2 4 Known via "rip', distance 120, metric 1 Redistributing via rip Last update from 172.16.9.6 on Seria1 0/ 1 / 0 , 00:00:25 ago Routing Descriptor B1ocks: • 172 .16.9. 6,

from 172.16.9.6, 00:00:25 ago, via Seria10/1/0

Route metric is 1, traffic share count is 1 1-

R1 ' s route t o r each 172 .1 6.5 .3, off R3 , points to R3 R1# show ip route 172.16.5.3 Rout i ng entry f o r 17 2 .16 . 5.0 /2 4 Known via "rip', distance 120, metric 1 Redistributing via rip Last update from 172.16 . 9.6 on SerialO / 1 / 0 , 00:00:01 ago Routing Descriptor Blocks:

* 1 7 2 .1 6. 9.6 , from 172.16.9.6, 00:00:01 ago, via Seria10/1/0 Route metric is 1, traffic share count is 1 The traceroute to PC2 s hows R3, not R2, as the first router, so the packet neve r reaches PC2, and the command neve r completes until stopped by the user. R1# traceroute 172.16.5.2

214 Capítulo 7: Resolvendo problemas de roteamento IP Type escape sequence to abort o Tracing the route to 172.16.5.2 1 172.16.9.6 4 rnsec

o

rns e c 4 msec

2 • * * 3 * • • 4

R1#traceroute 172.16.5.3 Type escape sequence to aborto Tracing the route to 172.16.5.3 1 172.16.9.6 O msec 4 rnsec O msec 2 172.16.5.3 4 msec * O msec

o exemplo mostra que RI encaminha pacotes para os hosts 172.16.5.2 (PC2) e 172.16.5.3 (PC3) enviando-os para R3 em seguida. R3 então tenta enviá-los para a sub-rede LAN de R3 , que funciona bem para PC3 mas não tão bem para PC2. Logo, PC3, na menor das duas sub-redes sobrepostas, funciona bem, ao passo que PC2, na maior das duas sub-redes sobrepostas, não funciona bem. Os sintomas podem piorar ainda mais quando os endereços são duplicados. Imagine, por exemplo, que PC22 tenha sido acrescentado à sub-rede LAN de R2, com o endereço IP 172.16.53 duplicando o endereço IP de PC3. Agora, quando o usuário do PC22 chamar para dizer que o seu PC não consegue se comunicar com outros dispositivos, o assistente da rede utiliza um ping 172.16.5.3 para testar o problema - e o ping funciona! O ping funciona com a instância errada 172.16.5.3, mas funciona. Portanto, os sintomas podem ser particularmente difíceis de identificar. Outra dificuldade encontrada em sub-redes VLSM sobrepostas é que o problema pode não aparecer durante um tempo. Neste mesmo exemplo, imagine que todos os endereços de ambas as sub-redes devessem ser designados por um servidor DHCP, começando com os menores endereços IP. Durante os primeiros seis meses, o servidor só designou endereços IP que começavam com 172. 16.4.x na sub-rede LAN de R2. Finalmente, foram instalados hosts em número suficiente na LAN de R2 de forma que fosse necessário o uso de endereços que começassem com 172.16.5, como o endereço 172.16.5.2 de PC2 utilizado no exemplo anterior. Infelizmente, ninguém pode enviar pacotes para esses hosts. À primeira vista, o fato de que o problema apareceu bem depois da instalação da configuração pode, na verdade, obscurecer questão.

Resumo para resolução de problemas relativos ao VLSM A lista a seguir resume os pontos principais a serem considerados ao resolver possíveis problemas relacionados ao VLSM nos exames: •

Preste bastante atenção se o projeto realmente utiliza VLSM. Em caso positivo, observe se é utilizado um protocolo de roteamento classless.

•

Saiba que sub-redes sobrepostas podem sim ser configuradas.

•

Os sintomas externos do problema podem ser que alguns hosts de uma sub-rede funcionem bem, mas outros não conseguem enviar pacotes para fora da sub-rede local.

•

Utilize o comando traceroute para procurar rotas que direcionem pacotes para a parte errada da rede. Isso pode ser resultado de sub-redes sobrepostas.

•

Nos exames, é possível deparar-se com uma questão que você pense estar relacionada ao VLSM ou a endereços IP. Neste caso, o melhor plano de ataque pode ser analisar a matemática de cada sub-rede e assegurar-se de que não exista nenhuma sobreposição, em vez de resolver o problema utilizando ping e traceroute.

Redes não-contíguas e sumarização automática O Capítulo 5 explicou o conceito de redes não-contíguas, junto com a solução: utilizar um protocolo de roteamento classless com sumarização automática desativada. Esta seção examina um caso particular em que uma rede não-contígua existe somente durante parte do tempo. A Figura 7-8 mostra uma inter-rede com duas redes classful: 10.0.0.0 e 172.16.0.0. O projeto mostra duas redes contíguas porque existe uma rota composta apenas por duas sub-redes de cada rede entre todas as sub-redes daquela rede.

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

••

CCNA ICND2

215

• •• •

• Figura 7-8 Inter-rede com redes (atualmente) contíguas

• ••

'. • •

Nesta figura, com todos os links ativos e funcionando, utilizando um protocolo de roteamento com sumarização automática ativada como padrão, todos os hosts podem identificar todos os outros hosts através do pingo Neste projeto, os pacotes da rede 172.16.0.0 trafegam pela rota de cima e os pacotes da rede 10.0.0.0 trafegam pela rota de baixo.

• •

Infelizmente, pode ocorrer um problema mais tarde quando um dos quatro links entre os roteadores falhar. Se qualquer link entre os roteadores falhar, uma das duas redes c1assful passa a ser não-contígua. Se o link R3 e R4 falhar, por exemplo, a rota de RI a R4 passa pelas sub-redes da rede 172.16.0.0 e, portanto, a rede 10.0.0.0 torna-se não-contígua. Mesmo com um protocolo de roteamento c1assless, mas com a sumarização automática ativada, tanto RI quanto R4 anunciam uma rota para 10.0.0.0/8 até R2, e R2 vê duas rotas até toda a rede 10.0.0.0 - uma através de RI e outra através de R4. A solução, como sempre, é utilizar um protocolo de roteamento c1assless com a sumarização automática desativada.

• • •

•• ••

Embora o projeto da Figura 7-8 possa parecer um pouco artificial, ele acontece com mais freqüência do que você pensa - principalmente à medida que as empresas são compradas e vendidas. Tanto para a vida real quanto para os exames, tenha em mente o conceito de redes não-contíguas para casos de funcionamento normal e para casos em que haja a falha de links redundantes.

• Dicas para resolução de problemas de listas de controle de acesso

• • •

• •

A resolução de problemas impactados por ACLs pode ser uma das tarefas mais difíceis em comunicação de redes. Uma das principais dificuldades é que as ferramentas tradicionais utilizadas para resolução de problemas, tais como o ping e o traceroute, não enviam pacotes que se pareçam com pacotes combinados pelos vários campos existentes em ACLs estendidas. Portanto, embora um ping possa funcionar, o host do usuário final pode não conseguir chegar ao aplicativo certo, ou vice-versa.

•

Esta seção resume algumas dicas para atacar problemas relacionados a ACLs na vida real e nos exames:

••

co

•• •• •• •• •• •• ••

Passo 1 Determine em quais interfaces as ACLs estão ativadas e em que sentido (show running-config, show ip interfaces) . Passo 2 Determine quais sentenças da ACL são combinadas pelos pacotes de teste (show access-lists, show ip access-lists) . Passo 3 Analise as ACLs para prever quais pacotes devem combinar com uma ACL, concentrando nos seguintes pontos: a. Lembre-se de que a ACL utiliza a lógica da primeira combinação. b. Considere utilizar a matemática (possivelmente) mais rápida descrita no Capítulo 6, "Listas de controle de acesso IP", que converte os pares endereço/máscara curinga de ACLs em pares endereço/máscara de sub-rede que permitem o uso da mesma matemática de sub-redes. c. Observe o sentido do pacote em relação ao servidor (indo para o servidor, vindo do servidor). Certifique-se de que os pacotes tenham valores específicos como o endereço IP origem e a porta origem, ou o endereço IP de destino e a porta de destino, quando processados pela ACL ativada para um sentido específico (entrada ou saída).

d. Lembre-se de que as palavras-chave tcp e udp devem ser usadas se o comando precisar verificar os números das portas. (Veja a Tabela 6-5 do Capítulo 6 para obter uma lista dos números porta populares TCP e UDP.) e. Observe que os pacotes ICMP não utilizam UDP nem TCP. ICMP é considerado outro protocolo combinável com a palavra-chave icmp (em vez de ip, tco e udp).

216 Capítulo 7: Resolvendo problemas de roteamento IP f. Em vez de usar o "deny any" (negar qualquer um) implícito no fmal de cada ACL, utilize o comando de configuração explícito para negar todo o tráfego no final da ACL de forma que os contadores do comando show aumentem quando essa ação é tomada.

O Capítulo 6 abordou as informações existentes por trás das dicas apresentadas no Passo 3. O restante desta seção se concentra em comandos disponíveis para investigar problemas existentes nos dois primeiros passos. Se um problema no encaminhamento de pacotes IP estiver ocorrendo, e houver a possibilidade de que as ACLs existentes estejam causando o problema, o primeiro passo no isolamento do problema é encontrar o local e o sentido das ACLs. A maneira mais rápida de fazer isso é olhar o resultado do comando show running-config e procurar comandos ip access-group em cada interface. Entretanto, em alguns casos, o acesso em modo ativado pode não ser permitido e os comandos show são necessários. A única maneira de encontrar as interfaces e o sentido de qualquer ACL IP é o comando show ip interface, conforme mostrado no Exemplo 7-10. Exemplo 7-10 Modelo de comando show ip interface

Internet address is 10 . 1.2 . 1/24

. 1

. 1

Broadcast address is 255.255.255.255 Address determined by setup command MTU is 1500 bytes He1per address is not set Directed broadcast forwarding is disab1ed Mu1ticast reserved groups joined: 224 . 0.0.9 Outgoing access 1ist is n o t set Inbound access 1ist is 102 rough1y 26 more 1ines omitted for brevity

Observe que o resultado do comando mostra se a ACL está ativada, em ambos os sentidos , e qual é essa ACL. O exemplo mostra uma versão abreviada do comando show ip interface SO/O/l, que apresenta mensagens somente para uma interface. O comando show ip interface apresentaria as mesmas mensagens para cada interface do roteador. O Passo 2 diz que o conteúdo da ACL deve ser encontrado. Novamente, a forma mais rápida de olhar a ACL é usar o comando show running-config. Se o modo enable (ativado) não for permitido, os comandos show access-lists e show ip access-lists dão o mesmo resultado. A única diferença é que se outras ACLs não-IP tiverem sido configuradas, o comando show accesslists também apresenta as ACLs não-IP. O resultado fornece os mesmos detalhes mostrados nos comandos de configuração, bem como um contador para o número de pacotes que combinam com cada linha da ACL. O Exemplo 7-11 ilustra um desses casos. Exemplo 7-11 Modelo de comando show ip access-lists R1# show ip access-lists Extended IP access 1ist 102 10 permit ip 10.1.2.0 0.0 . 0 . 255 10.1.1.0 0.0 . 0.255

.' •

:1

Seria1010/1 is up, 1ine protoco1 is up

-

•• •• •

- I

R1 >show ip interface sO/0/1

-

•• •• •

(1 5 matches)

Depois que os locais, os sentidos e os detalhes de configuração das várias ACLs tiverem sido descobertos nos Passos 1 e 2, começa a parte difícil: interpretar o que a ACL realmente faz. De interesse especial é o último item da lista de dicas para resolução de problemas, ou seja, o item 3E. Na ACL mostrada no Exemplo 7-11, alguns pacotes (15 até então) combinaram com a única sentença access-list configurada na ACL 102. Entretanto, alguns pacotes foram provavelmente negados por causa da lógica implícita "deny ali" (negar todos) dos pacotes no final de uma ACL. Ao configurar o comando access-list 102 deny ip any any no final da ACL, que combina explicitamente com todos pacotes e os descarta, o comando show ip access-lists mostraria o número de pacotes que estão sendo negados no fmal da ACL. A Cisco às vezes recomenda acrescentar a sentença explícita "deny ali" no final da ACL para facilitar a resolução de problemas.

•• •• •• •• •• •• •• •• • •• •• •• •

-••

••e _____________________________________________________________ CCNA ICND2

217

• Atividades de preparação para o exame

•• Revise todos os tópicos-chave •

• , • •

Revise os tópicos mais importantes deste capítulo, indicados com o ícone Tópicos-Chave na margem externa da página. A Tabela 7-6 relaciona esses tópicos-chave e os números das páginas nas quais cada um é encontrado. (~~~;~o ,. c_ Tabela 7-6 Tópicos-chave do Capítulo 7 ....

•

Elemento do tópico-chave

Descrição

•

Tabela 7-1

Mensagens ICMP populares e suas finalidades

196

• •

Figura 7-3

Diagrama de como o campo do cabeçalho TIL IP e a mensagem ICMP de Tempo Excedido funcionam

199

Número da página

. ------------------------------------------------------------•

Figura 7-4

Demonstração de como o comando traceroute utiliza o campo TIL e a mensagem de Tempo Excedido

200

Dois passos principais e vários subpassos em um processo sugerido de isolamento de problemas relativos a roteamento de hosts

202

. ------------------------------------------------------------•

• :

Lista

Lista

• •

Três passos principais para o isolamento de problemas relativos a roteamento IP em roteadores, com a lista numerada como continuação da lista de isolamento de problemas relativos a roteamento de hosts

203 e ________________________________________________________________ __ • • •

• • •

Lista

Três dicas de itens gerais a serem verificados ao resolver problemas relativos a conectividade de hosts

209

-----------------------------------------------------------------Lista

Lista de passos de configuração para detalhes de IP em switches

Lista

Condições sob as quais as sub-redes sobrepostas podem ser configuradas e quando o lOS pode evitar esse erro

209 ------------------------------------------------------------------------------------

212 e ---------------------------------------------------------------

•e •

Lista

Resumo das dicas de resolução de problemas para questões em que o VLSM possa estar causando um problema

214

. --------------------------------------------------------------•

•

Lista

Três passos para resolução de problemas relativos a ACLs, principalmente quando a configuração não pode ser exibida

215

. ---------------------------------------------------------------

• Complete as tabelas e listas usando a memória • • •

Imprima uma cópia do Apêndice J, "Tabelas de memória" ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das Tabelas de Memória", inclui tabelas e listas completadas para você conferir o seu trabalho.

: Definições de termos-chave •

Defina os seguintes termos-chave encontrados neste capítulo e verifique suas respostas no glossário: rota avante, rota inversa.

••

Tópicos publicados do exame Cisco ICND2* abordados nesta parte

•• •• •• •• •• •• • •• •• • •• •• •• •• •• •

- Implementar um esquema de endereçamento IP e de serviços IP para satisfazer aos requisitos de rede • uma rede empresarial de porte médio

- Identificar e corrigir problemas comuns associados a endereçamento IP e configurações de hosts

- Configurar e resolver problemas de operação básica e roteamento em dispositivos Cisco

- Comparar e contrastar métodos de roteamento e protocolos de roteamento - Configurar, verificar e resolver problemas relativos a OSPF - Configurar, verificar e resolver problemas relativos a EIGRP - Verificar a configuração e a conectividade utilizando ping, traceroute, telnet ou SSH - Resolver problemas de implementação de roteamento

•

- Verificar a operação de hardwares e softwares de roteadores utilizando os comandos SHOW e DEBUG .

* Sempre verifique a página http://www.cisco.com para obter os tópicos mais recentes do exame.

• •• •• •• •• •

•• •

•• •• •• •• •• •

Parte 111: Configuração e resol ução de problemas relativos a protocolos de roteamento

·•• -------------------------------------------

•• •• •• •• •• •• •• •• •• •• •• •• •• ••

Capítulo 8 Teoria dos protocolos de roteamento Capítulo 9 OSPF Capítulo 10 EIGRP

Capítulo 11 Resolvendo problemas em protocolos de roteamento

Este capítulo aborda os seguintes assuntos: Visão geral sobre o protocolo de roteamento dinâmico: esta seção introduz os principais conceitos por trás do funcionamento dos protocolos de roteamento e vários termos relacionados a protocolos de roteamento.

Recursos do protocolo de roteamento vetor distância: esta seção explica como os protocolos de roteamento vetor distância funcionam, concentrando em recursos que evitam a ocorrência de loops.

Recursos do protocolo de roteamento link-state: esta seção explica como os protocolos de roteamento link-state funcionam, utilizando OSPF como exemplo específico.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

••

•• CAPíTULO •• : Teoria dos protocolos de roteamento

8

e _______________________________________________________

•• •

• • • • • • • •

A Parte lI, "Roteamento IP", concentrou-se no processo de roteamento IP (encaminhamento de pacotes), com uma abordagem de como os roteadores preenchem suas tabelas de roteamento. A Parte m, "Configuração e resolução de problemas relativos a protocolos de roteamento", que começa com este capítulo, muda o foco para como os roteadores preenchem suas tabelas de roteamento utilizando protocolos de roteamento dinâmico. Os protocolos de roteamento IP funcionam em um conjunto de roteadores, enviando mensagens a roteadores próximos para ajudar esses roteadores a aprender todas as melhores rotas para se alcançar cada sub-rede. Embora esse objetivo fundamental seja simples, os processos utilizados pelos protocolos de roteamento tendem a ser alguns dos tópicos mais complexos e detalhados nos exames CCNA. Este capítulo começa com o exame feito por este livro sobre protocolos de roteamento IP e explicando os conceitos fundamentais e a teoria existente por trás de como os protocolos de roteamento funcionam. Os Capítulos 9 e 10 continuam o assunto fornecendo muito mais detalhes sobre o funcionamento do OSPF e do EIGRP, respectivamente. O Capítulo 11 conclui esta parte do livro examinando alguns processos e dicas para resolução de problemas relativos a OSPF e EIGRP.

•• Questionário "Eu já conheço isto?"

• o questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Não errando mais que uma das • • •

dez questões de auto-avaliação, você pode passar direto para a seção "Atividades de Preparação para o Exame". A Tabela 8-1 relaciona os principais títulos deste capítulo e as questões do questionário "Eu já conheço isto?", abordando o material destas seções. Isso ajudará você a avaliar o seu conhecimento nestas áreas específicas.

•

As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

•

Tabela 8-1 Mapeamento entre a seção dos tópicos fundamentais e as questões do "Eu já conheço isto?"

•

Seção dos tópicos fundamentais

Questões

•

•

Visão geral sobre o protocolo de roteamento dinâmico

1-5

•

Recursos do protocolo de roteamento do vetor distância

6-8

•

Protocolo de roteamento link-state

9 elO

•

1. Quais dos seguintes protocolos de roteamento utilizam a lógica vetor distância?

•• •• •• • •• • •

•

a. RIP-1 b. RIP-2

c. EIGRP d.OSPF

e. BGP f. IS-IS Integrado 2. Quais dos seguintes protocolos de roteamento utilizam a lógica link-state?

a. RIP-1 b. RIP-2

222 Capítulo 8: Teoria dos protocolos de roteamento c. EIGRP d.OSPF

e. BGP f. IS-IS Integrado 3. Quais dos seguintes protocolos de roteamento utilizam uma métrica que é, como padrão, pelo menos parcialmente • afetada pela largura de banda do link? 3.

RIP-l

b. RIP-2

c. EIGRP d.OSPF

e. BGP 4. Quais dos seguintes protocolos de roteamento interior aceitam o VLSM? 3.

RIP-l

b. RIP-2

c. EIGRP d.OSPF e. IS-IS Integrado

•• •• •• •• •• •• •

5. Qual das seguintes situações faria com que um roteador utilizando RIP-2 removesse todas as rotas aprendidas de um • roteador vizinho em particular? • 3.

Falha no RIP keepalive

b. Não receber mais atualizações daquele vizinho c. Atualizações recebidas 5 ou mais segundos após a última atualização ter sido enviada àquele vizinho d. Atualizações daquele vizinho têm um flag global "route bad" ("rota ruim")

•• • •

6. Qual dos seguintes recursos do vetor distância impede a ocorrência de loops de roteamento fazendo com que o • protocolo de roteamento anuncie apenas um subconjunto de rotas conhecidas, ao contrário da tabela de roteamento • completa, sob condições estáveis e normais? • 3.

Contagem até o infinito

b. Poison reverse c. Holddown d.Splithorizon e. Route poisoning (envenenamento de rotas)

•• • •

•

7. Qual dos seguintes recursos do vetor distância impede a ocorrência de loops de roteamento anunciando uma rota com : métrica infinita quando uma rota falha? 3. Holddown

b. Atualizações completas (Full Updates) c. Split horizon d. Route poisoning

•• •• •

8. Um roteador que está usando um protocolo vetor distância acabou de receber uma atualização de roteamento que . apresenta uma rota como tendo uma métrica inflnita. A atualização de roteamento anterior daquele vizinho apresentou • uma métrica válida. Qual das seguintes aflrmativas não é uma reação normal a este cenário?

•

•

CCNA ICND2

223

• •

a. Imediatamente enviar uma atualização parcial que inclui uma rota envenenada para a rota que falhou

•

b. Colocar a rota no estado holddown

•

c. Suspender o split horizon para aquela rota e enviar uma rota poison reverse

•

d. Enviar uma atualização completa apresentando uma rota envenenada (route poisoning) para a rota que falhou

• •

9. Uma inter-rede está usando um protocolo de roteamento link-state. Os roteadores distribuíram todos os LSAs e a rede está estável. Qual das seguintes afirmativas descreve o que os roteadores farão para redistribuir os LSAs?

•• •• •

•

• •

•• •• •

a. Cada roteador redistribui cada LSA utilizando um timer periódico com um tempo semelhante aos timers de atualização do vetor distância. b. Cada roteador redistribui cada LSA utilizando um timer periódico muito maior que os timers de atualização do vetor distância. c. Os roteadores nunca redistribuem os LSAs desde que eles não mudem. d. Os roteadores redistribuem todos os LSAs sempre que um deles muda. 10. Qual das seguintes afIrmativas é verdadeira sobre como um roteador que utiliza um protocolo de roteamento linkstate escolhe a melhor rota para alcançar uma sub-rede? a. O roteador encontra a melhor rota no banco de dados link-state. b. O roteador calcula a melhor rota executando um algoritmo SPF em comparação com as informações contidas no banco de dados link-state. c. O roteador compara as métricas apresentadas para aquela sub-rede nas atualizações recebidas de cada vizinho e escolhe a melhor (mais baixa) rota métrica.

: Tópicos fundamentais

•• •• •• •• Visão geral sobre os protocolos de roteamento dinâmico •• •• •

Os protocolos de roteamento defInem várias maneiras em que os roteadores conversam entre si para determinar as melhores rotas até cada destino. Conforme as redes foram se tornando mais complexas com o passar do tempo, os roteadores adquiriram maior poder de processamento e RAM. Em conseqüência disso, os engenheiros começaram a projetar protocolos de roteamento mais novos, aproveitando os links e os roteadores mais velozes, transformando os protocolos de roteamento. Este capítulo segue esse progresso até certo ponto, começando com uma introdução aos protocolos de roteamento. Em seguida, é explicada a teoria existente por trás dos protocolos de roteamento vetor distância, utilizada com os primeiros protocolos de roteamento IP. A seção fInal deste capítulo examina a teoria por trás dos protocolos de roteamento link-state, utilizada por alguns dos protocolos de roteamento defInidos mais recentemente.

• •

• • •

•• •

Observação Se você estiver usando o plano de leitura sugerido na Introdução, é provável que já tenha lido sobre protocolos de roteamento no CCENT/CCNA ICNDJ Guia Oficial de Certificação do Exame. Em caso positivo, se desejar, examine de forma mais rápida o texto que vai deste ponto até o subtítulo "Comparações do IGP: Resumo", pois as várias páginas a seguir abordam tópicos já discutidos no Capítulo 14 do livro ICND1.

Os roteadores acrescentam rotas IP às suas tabelas de roteamento utilizando três métodos: rotas para redes diretamente conectadas, rotas estáticas e rotas aprendidas utilizando protocolos de roteamento dinâmico. Entretanto, antes de nos aprofundarmos na discussão, é importante defInir alguns termos relacionados e esclarecer qualquer erro de concepção sobre os termos protocolo de roteamento, protocolo roteado e protocolo roteável. Os conceitos por trás desses termos não são tão difíceis, mas como os termos são muito semelhantes, e como muitos documentos dão pouca atenção a quando cada um dos termos é usado, eles podem se tornar um pouco confusos. Esses termos são geralmente defInidos como se segue:

224

•

-

Capítulo 8: Teoria dos protocolos de roteamento

- Protocolo de roteamento: conjunto de mensagens, regras e algoritmos utilizados por roteadores com a finalidade _ /;~~;~o

de aprender rotas. Este processo inclui a troca e a análise de informações sobre roteamento. Cada roteador escolhe • \ chave a melhor rota para alcançar uma sub-rede (escolha de trajeto) e finalmente coloca essas melhores rotas em sua '. tabela de roteamento IP. Exemplos incluem RIP, EIGRP, OSPF e BGP. •

- Protocolo roteado e protocolo roteável: ambos os termos se referem a um protocolo que define uma estrutura de pacote e um endereçamento lógico, permitindo que os roteadores encaminhem ou direcionem pacotes. Os roteadores encaminham ou direcionam pacotes definidos pelos protocolos roteado ou roteável. Exemplos incluem IP e IPX (parte do modelo de protocolo Novell NetWare).

Observação O termo escolha de trajeto às vezes se refere a parte do trabalho de um protocolo de roteamento, em que o protocolo de roteamento escolhe a melhor rota, ou melhor caminho para alcançar o destino.

~----~--------------------------------------------

Muito embora protocolos de roteamento (tais como o RIP) sejam diferentes dos protocolos roteados (tais como o IP), eles trabalham juntos e bem próximos. O processo de roteamento encaminha pacotes IP, mas se um roteador não possuir nenhuma rota em sua tabela de roteamento IP que combine com o endereço de destino de um pacote, o roteador descarta o pacote. Os roteadores precisam dos protocolos de roteamento para que possam aprender todas as rotas possíveis e acrescentá-las à tabela de roteamento para que o processo de roteamento possa encaminhar (direcionar) protocolos roteáveis tais como o IP.

Funções do protocolo de roteamento O software Cisco lOS aceita vários protocolos de roteamento IP, executando as mesmas funções gerais: 1. Aprender informações de roteamento dadas por outros roteadores vizinhos com relação a sub-redes IP.

•• •

•

• • •

-. • • .

••

/;~~;~o • \~h.ve •

2. Anunciar informações de roteamento sobre sub-redes IP aos outros roteadores vizinhos.

••

3. Se existir mais de uma rota possível para alcançar uma sub-rede, escolher a melhor rota com base em uma métrica. • 4. Se a topologia de rede mudar - por exemplo, um link falhar -, reagir anunciando que algumas rotas falharam e • escolher uma nova melhor rota atual. (Este processo é chamado de convergência.) •

Observação Um roteador vizinho se conecta ao mesmo link (por exemplo, o mesmo link WAN ou a mesma LAN Ethernet) de outro roteador, sendo que os dois roteadores são vizinhos. A Figura 8-1 mostra um exemplo de três das quatro funções da lista. Tanto RI quanto R3 aprendem sobre uma rota até a sub-rede 172.16.3.0/24 a partir de R2 (função 1). Depois que R3 fica sabendo sobre a rota até 172.16.3.0/24 a partir de R2, R3 anuncia aquela rota a RI (função 2). Em seguida, RI deve tomar uma decisão sobre as duas rotas aprendidas para alcançar a sub-rede 172.16.3.0/24: uma com a métrica 1 a partir de R2 e outra com a métrica 2 a partir de R3. RI e colhe a rota com a menor métrica passando por R2 (função 3). A quarta função do protocolo de roteamento apresentada aqui é a convergência. O termo convergência se refere a um processo que ocorre quando a topologia muda, isto é, quando um roteador ou um link falha ou volta a ficar ativo novamente. Quando algo muda, as melhores rotas disponíveis na rede podem mudar. A convergência simplesmente se refere ao processo através do qual todos os roteadores percebem conjuntamente que algo mudou, anunciam a informação sobre as alterações ocorridas a todos os outros roteadores e todos os roteadores então escolhem as melhores rotas atuais para cada sub-rede. A capacidade de convergir rapidamente, sem provocar loops, é uma das considerações mais importantes ao escolher qual protocolo de roteamento IP usar.

•• •• •• •• •• • •• •• •

••

CCNA ICND2

• •• •• •• •• •• •• •• • •

225

Figura 8.1 Três das quatro funções básicas dos protocolos de roteamento

• •

172.1 6.5.253 FAOto

Tabela de Roteamento IP de R1 Sub-rede

Interface Próxima de Sarda

172.16.3.0 SOlO

172.16.2.252

Parada Métrica

Possuo uma rota até 172.16.3.Qf24, métrica 1

1

Na Figura 8-1, pode ocorrer convergência se o link entre RI e R2 falhar. Neste caso, RI deveria deixar de usar sua antiga rota para a sub-rede 172.16.3.0/24 (passando diretamente por R2), enviando, em vez disso, pacotes a R3.

• Protocolos de roteamento internos e externos

• • •

Os protocolos de roteamento IP se enquadram em duas categorias principais: IGP (Interior Gateway Protocols, ou Protocolo de Roteamento Interior) ou EGP (Exterior Gateway Protocol, ou Protocolo de Roteamento Exterior). As definições de cada um são as seguintes:

• ......... - IGP: Protocolo de roteamento projetado para uso dentro de um único sistema autônomo (autonomous system (AS),

.,. ~:~o • •• •

•• • • • • • •

•• •• •• •• •

ou sistema autônomo) .

- EGP: Protocolo de roteamento projetado para uso entre diferentes sistemas autônomos. Observação Os termos IGP e EGP incluem a palavra gateway porque os roteadores antigamente eram chamados de gateways. Essas definições utilizam outro termo novo: sistema autônomo (AS). UmAS é uma inter-rede sob o controle administrativo de uma única organização. Por exemplo, uma inter-rede criada e mantida por uma única empresa é provavelmente um único AS, e uma inter-rede criada por um único sistema escolar é provavelmente um único AS. Outros exemplos incluem grandes divisões de um governo estadual ou nacional, onde diversas agências governamentais podem construir suas próprias inter-redes. Cada ISP (Internet Service Provider, ou Provedor de Serviços de Internet) é também normalmente um único AS diferente. Alguns protocolos de roteamento funcionam melhor dentro de um único AS com base no projeto, e, portanto, esses protocolos de roteamento são chamados IGPs. Por outro lado, protocolos de roteamento projetados para trocar rotas entre roteadores em diferentes sistemas autônomos são chamados EGPs. (Atualmente, existe somente um EGP legítimo: o BGP (Border Gateway Protocol). Pode-se designar um número a cada AS chamado (obviamente) AS number (ASN, em inglês). Assim como os endereços IP públicos, o ICANN (Internet Corporation for Assigned Network Numbers , http://www.icann.org) controla os direitos de designação de ASNs em todo o mundo. Ele delega essa autoridade a outras organizações ao redor do mundo, normalmente as mesmas organizações que designam endereços IP públicos. Na América do norte, por exemplo, o ARIN (American Registry for Internet Numbers, http://www.arin.netl) designa intervalos de endereços IP públicos e ASNs.

•

226 Capítulo 8: Teoria dos protocolos de roteamento

• •• •• •• ••

A Figura 8-2 mostra uma pequena idéia da Internet mundial. A figura mostra duas empresas e três ISPs utilizando IGPs • (OSPF e EIGRP) dentro de suas próprias redes, com o BGP sendo usado entre os ASNs. •

Figura 8-2 comparando locais para utilizar IGPs e EGPs ASN 100

•• •

Comparando IGPs Atualmente, na verdade não existe uma opção de qual EGP usar: você simplesmente usa o BGP. Entretanto, ao escolher um IGP para utilizar dentro de uma única organização, existem várias opções. As opções mais razoáveis hoje em dia são RIP-2, EIGRP e OSPE Desses três IGPs, o RIP-2 já foi abordado em mais detalhe no CCENT/CCNA ICNDJ Guia Oficial de Certificação do Exame e este livro aborda OSPF e EIGRP em mais profundidade nos Capítulos 9 elO, respectivamente. Esta seção introduz alguns pontos de comparação importantes entre os vários IGPs IP.

Algoritmos do protocolo de roteamento IGP O algoritmo existente por trás de um protocolo de roteamento determina como o protocolo de roteamento executa seu trabalho. O termo algoritmo de protocolo de roteamento simplesmente se refere à lógica e aos processos utilizados por diferentes protocolos de roteamento para resolver o problema do aprendizado de todas as rotas, da escolha da melhor rota até cada sub-rede e a convergência em reação às alterações feitas na inter-rede. Existem três ramos principais de algoritmos de protocolo de roteamento para protocolos de roteamento IGP: - Vetor distância (às vezes chamado Bellman-Ford, em homenagem a seus criadores)

/;~;;~o

- Link-state

\ Ch.ve 00 0

- Balanced hybrid (às vezes chamado vetor distância avançado) Historicamente falando, os protocolos vetor distância foram inventados primeiro, principalmente no início da década de 1980. O RIP foi o primeiro protocolo do vetor distância IP usado popularmente, com o IGRP (Interior Gateway Routing Protocol), patenteado pela Cisco, sendo introduzido um pouco mais tarde. Já no início da década de 1990, a convergência um tanto lenta e o potencial de ocorrência de loops dos protocolos vetor distância conduziram o desenvolvimento de novos protocolos alternativos de roteamento que usavam novos algoritmos. Os protocolos link-state - de modo especial, o OSPF e o IS-IS Integrado - resolveram as principais questões relativas aos protocolos vetor distância, mas exigiram um maior planejamento em redes de porte médio e grande

•• •• •• •• •• •• • • • • •

••

•• • • • • •

•

Por volta da mesma época em que o OSPF foi introduzido, a Cisco criou um protocolo de roteamento patenteado • chamado EIGRP (Enhanced Interior Gateway Routing Protocol, ou Protocolo de Roteamento Interno Avançado), que .

• • •

CCNA ICND2

227

• •

utilizava alguns recursos do antigo protocolo IGRP. O EIGRP resolvia os mesmos problemas que os protocolos de roteamento link-state, mas com uma menor necessidade de planejamento ao implementar a rede. Com o passar do tempo, o EIGRP foi classificado como um tipo exclusivo de protocolo de roteamento - nem vetor distância nem link-state - e, portanto, ele é chamado de protocolo balanced hybrid ou de protocolo vetor distância avançado.

• •

A segunda e a terceira seções deste capítulo examinam os algoritmos vetor distância e link-state em mais detalhe. O Capítulo 10 explica os conceitos de balanced hybrid no contexto de discussão do EIGRP.

- M'I' • e rica • • •

Os protocolos de roteamento escolhem a melhor rota para alcançar uma sub-rede optando pela rota que possui a menor métrica. O RIP, por exemplo, utiliza um contador do número de rotas (paradas) entre um roteador e a sub-rede de destino. A Tabela 8-2 apresenta os protocolos de roteamento IP mais importantes para os exames CCNA e alguns detalhes sobre a métrica em cada caso.

•

Tabela 8-2 Métrica IGP IP

•

IGP

Métrica

•

RIP-l, RIP-2

Contagem de saltos (Hop count)

Descrição

. ------------------------------------------------------------Número de roteadores (saltos) entre um roteador e a sub-rede de destino

. ---------------------------------------------------------.

OSPF

Custo

Soma de todas as definições de custo das interfaces para todos os links de uma rota, com o custo automaticamente baseado na largura de banda da interface

• •

EIGRP banda e retardo

Composto de largura de (delay)

Calculado com base no link mais lento da rota e no retardo cumulativo associado a cada interface da rota

•• •• • •• •• •• •• •• •• •• •• •• •

Ao contrário do RIP-l e RIP-2, as métricas do OSPF e do EIGRP sofrem impacto das várias definições de largura de banda da interface. A Figura 8-3 compara o impacto da métrica utilizada pelo RIP e pelo EIGRP.

Figura 8-3 Comparação entre a métrica do RIP e do EIGRP

RIP, Independentemente da Largura de Banda

Sub-rede da tabela de roteamento

EIGRP

Sub-rede da tabela de roteamento

•

228 Capítulo 8: Teoria dos protocolos de roteamento Conforme mostrado na parte de cima da figura, a rota RIP do Roteador B até 10.1.1.0 passa pelo Roteador A porque essa rota tem uma contagem de paradas mais baixa (1) que a rota que passa pelo Roteador C (2). No entanto, na metade inferior da figura, ao utilizar o EIGRP, o Roteador B escolhe a rota composta de duas paradas que passa pelo Roteador C porque a largura de banda dos dois links da rota são muito mais velozes (melhores) do que na rota composta por uma única parada. Observe que, para que o EIGRP faça a escolha certa, o engenheiro configura corretamente a largura de banda da interface para combinar com as velocidades reais do link, permitindo assim que o EIGRP escolha a rota mais veloz. (O subcomando de interface bandwidth não altera a velocidade física real da interface. Ele simplesmente diz ao lOS qual velocidade deve-se considerar que a interface está usando.)

Comparações do IGP: Resumo

• . .

. • • •

••

Para facilitar a comparação e o estudo, a Tabela 8-3 resume vários recursos aceitos por vários IGPs. A tabela inclui itens • especificamente mencionados neste capítulo ou em capítulos anteriores deste livro. •

.. .

Tabela 8-3 Comparação entre protocolos de roteamento IP internos

Recurso

RIP-l

RIP-2

EIGRP

OSPF

Classless

Não

Sim

Sim

Sim

Aceita VLSM

Não

Sim

Sim

Sim

Sim •

Envia a máscara na atualização

Não

Sim

Sim

Sim

Sim •

Vetor distância

Sim

Sim

Não l

Não

NãO :

Link-state

Não

Não

Não l

Sim

Sim •

Aceita sumarização automática

Não

Sim

Sim

Não

Não .

Aceita sumarização manual

Não

Sim

Sim

Sim

Sim •

Patenteado / Proprietário

Não

Não

Sim

Não

Não •

IS-IS{c Sim ...•

D

•

• ••

Atualizações de roteamento são enviadas para um endereço IP multicast Não Sim Sim Sim -A--·------·------------------N--------------S-un·----------Sun ·- ---------Sun·----------Sun·-- • celta autentIcação ao

-------------------------------------------------------- . Convergência 1

Lenta

Lenta

Muito rápida

Rápida

Rápida •

O EIGRP é muitas vezes descrito como um protocolo de roteamento balanced hybrid, em vez de link-state ou vetor distância. Alguns • documentos se referem ao EIGRP como um protocolo vetor distância avançado.

•

Além da Tabela 8-3, a Tabela 8-4 apresenta vários outros itens sobre RIP-2, OSPF e EIGRP. Os itens da Tabela 8-4 são • explicados por completo nos Capítulos 9 e 10, mas são incluídos aqui para sua referência durante o estudo. • Tabela 8-4 Comparação de recursos de IGPs: RIP-2, EIGRP e OSPF

/;~~;~D \~have

• •

Recursos

RIP-2

OSPF

EIGRP

Métrica

Contagem de saltos (Hop count)

Custo do link

Função da largura de banda e • do retardo (delay) •

Envia atualizações periódicas

Sim (30 segundos)

Não

Não

Atualizações de roteamento inteiras ou parciais

Inteira

Parcial

Parcial

Para onde as atualizações são enviadas

(224.0.0.9) 1

(224.0.0.5, 224.0.0.6)

(224.0.0.10)

•• •• •

•

•• I

CCNA ICND2

• •

Métrica considerada "infinita"

16

(2 24

•

Aceita balanceamento de carga de custo desigual

Não

Não

•• • •• •

•• •• •• •• •• •• ••

I

-

1)

(2 32

-

229

1)

Sim

Esta tabela especificamente se refere a recursos do RIP-2, mas a única diferença em relação ao RIP-l nessa tabela é que o RIP-l transmite atualizações para o endereço IP 255.255.255.255.

Distância administrativa Muitas empresas e organizações utilizam um único protocolo de roteamento. Entretanto, em alguns casos, uma empresa precisa utilizar vários protocolos de roteamento. Se duas empresas, por exemplo, conectam as suas redes de forma que possam trocar informações, é necessário que elas troquem algumas informações de roteamento. Se uma empresa utiliza RIP e a outra utiliza EIGRP, em pelo menos um roteador, tanto o RIP quanto o EIGRP devem ser usados. Daí, aquele roteador pode tomar rotas aprendidas pelo RIP e anunciá-las ao EIGRP, e vice-versa, através de um processo chamado redistribuição de rotas. Dependendo da topologia de rede, os dois protocolos de roteamento podem aprender rotas que levam às mesmas subredes. Quando um único protocolo de roteamento aprende várias rotas que levam à mesma sub-rede, a métrica diz a ele qual é a melhor rota. No entanto, quando dois protocolos de roteamento diferentes aprendem rotas que levam à mesma sub-rede, pois a métrica de cada protocolo de roteamento é baseada em informações diferentes, o lOS não consegue comparar a métrica. O RIP, por exemplo, pode aprender uma rota até a sub-rede 10.1.1.0 com métrica 1, e o EIGRP pode aprender uma rota até 10.1.1.0 com métrica 2,195,416, mas o EIGRP pode ser a melhor rota-ou não. Simplesmente não há uma base de comparação entre as duas métricas. Quando o lOS tem de escolher entre rotas aprendidas utilizando protocolos de roteamento diferentes, ele utiliza um conceito chamado distância administrativa. A distância administrativa é um número que denota o quão confiável um protocolo de roteamento é em um único roteador. Quanto mais baixo o número, melhor ou mais confiável é o protocolo de roteamento. O RIP, por exemplo, possui uma distância administrativa padrão igual a 120, e o EIGRP igual a 90, fazendo com que o EIGRP seja mais confiável que o RIP. Portanto, quando os dois protocolos de roteamento aprendem rotas que levam à mesma sub-rede, o roteador acrescenta somente a rota EIGRP à tabela de roteamento.

• •

Os valores da distância administrativa são configurados em um único roteador e não são trocados com outros roteadores. A Tabela 8-5 apresenta as várias fontes de informação de roteamento, junto com as distâncias administrativas padrão.

•

Tabela 8-5 Distâncias administrativas padrão

!;~;;~o

•

Tipo de rota

Distância administrativa

•

Conectada

o

•

• •

Estática

1

•

BGP (rotas externas)

20

•

EIGRP (rotas internas)

90

•

IGRP

100

•

OSPF

•

IS-IS

110 115

· RIP

120

•

EIGRP (rotas externas)

170

•

BGP (rotas internas)

200

Não usável

255

• •

•

:. Chave

....

•

230 Cap ítulo 8: Teoria dos protocolos de roteamento Observação O comando show ip route apresenta a distância administrativa de cada rota como o primeiro dos dois números contidos em parênteses. O segundo número dentro dos parênteses é a métrica. A tabela mostra os valores das distâncias administrativas padrão, mas o lOS pode ser configurado para alterar a distância administrativa de um determinado protocolo de roteamento, de uma rota específica ou até mesmo de uma rota estática. O comando ip route 10.1.3.0 255.255.255.0 10.1.130.253, por exemplo, define uma rota estática com uma distância administrativa padrão igual a 1, mas o comando ip route 10.1.3.0 255.255.255.0 10.1.130.253 210 define a mesma rota estática com uma distância administrativa igual a 210.

Recursos do protocolo de roteamento vetor distância Esta seção explica os conceitos básicos dos protocolos de roteamento do vetor distância, utilizando RIP como exemplo. Esta seção começa examinando as operações básicas normais dos protocolos do vetor distância, seguido de uma explicação completa dos vários recursos para evitar a ocorrência de loops no vetor distância.

Conceito de distância e de vetor O termo vetor distância descreve o que um roteador sabe sobre cada rota. Ao final do processo, quando um roteador aprende sobre uma rota que leva a uma sub-rede, tudo que o roteador sabe é alguma medida da distância (a métrica), o roteador do próximo salto e a interface de saída a ser usada para aquela rota (um vetor ou um sentido) . Para mostrar mais exatamente o que faz um protocolo vetor distância, a Figura 8-4 apresenta uma visão do que um roteador aprende com o protocolo de roteamento do vetor distância. A figura mostra uma inter-rede na qual RI aprende sobre três rotas para alcançar a sub-rede X: - A rota composta por quatro saltos passando por R2 - A rota composta por três saltos passando por R5 - A rota composta por dois saltos passando por R7

Figura 8-4 Informações aprendidas utilizando protocolos vetor distância

I~ -

Atualização de roteamento

I

RI aprende sobre a sub-rede e urna métrica associada àquela sub-rede, e nada mais. RI deve escolher a melhor rota para alcançar a sub-rede X. Neste caso, ele escolhe a rota composta por dois saltos passando por R7, pois ela possui a menor métrica. Para ter uma melhor idéia do significado do termo vetor distância, considere a Figura 8-5, que mostra o que RI realmente sabe sobre a sub-rede X da Figura 8-4.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •

• • •• •• •• • •• • •

• •

CCNA ICND2

231

Figura 8-5 Representação gráfica do conceito de vetor distância Visão que o vetor distância de R1 tem da topologia para alcançar a sub-rede X

Sub-rede X

Efetivamente, tudo que RI sabe sobre a sub-rede X são três vetores. O comprimento dos vetores representa a métrica, que descreve o quanto a rota é boa (ou ruim). O sentido do vetor representa o roteador do próximo salto. Portanto, com a lógica do vetor distância, os protocolos de roteamento não aprendem muito sobre a rede quando recebem atualizações de roteamento. Tudo que os protocolos de roteamento sabem é algum conceito de vetor: o comprimento de um vetor é a distância (métrica) para alcançar uma sub-rede, e o sentido de um vetor passa pelo vizinho que anunciou a rota.

• Operação do vetor distância em uma rede estável

•• •

• •

•• •• •

.• •• •• •• •• ••

••

Protocolos de roteamento do vetor distância enviam atualizações de roteamento completas periodicamente. A Figura 86 ilustra esse conceito em uma inter-rede simples composta por dois roteadores, três sub-redes LAN e uma sub-rede WAN. A figura mostra as tabelas de roteamento completas de ambos os roteadores, apresentando todas as quatro rotas, e as atualizações completas e periódicas enviadas por cada roteador.

Figura 8-6 Operações RIP normais em Steady-State (estáveis) Tabela de Roteamento IP de R1 Fonte

Sub-rede

RiP RIP Conn . Conn .

172.30.21.0/24 172.30.22.0124 172.30.1.0/24 172.30.1 1.0/24

Tabela de Roteamento IP de R2

Interface Próxima parada de saída 5010 172.30.1.2 SOlO 172.30.1.2 NIA 5010 FaOIO NIA

Métrica

O O

Fonte Conn. Conn. Conn . RIP

Interface Próxima parada de saída 172.30.21.0/24 FaOIO NIA N/A 172.30.22.0124 FaOl1 NIA 172.30.1.0/24 50/1/0 172.30.1 .1 172.30.11 .0/24 5011 /0 Sub-rede

Métrica

O O O

1

FAO/1 - 172.30.22.2124

I-

....,.....~FA.:.:O:.:./O~---=~~~S::::O/O,,":-:--:-:-_ _ _~ 172.30.11.1

50/1/0 "'-_ _ _ _1;.;.72 ;;;..30;..;.;.;. .1;.;;, .2. .

172.30.1.1

FAO/O . 172.30.21.2124

Atualização RIP

1172.30.11.0,

métrica1~ -

- - -

~

Atualização RIP 1172.30.11.0, métrical~----~

~----

~----

Atualização RIP

Para entender melhor as operações do vetor distância nessa figura, concentre-se em alguns dos fatos mais importantes sobre o que o roteador RI aprende em relação à sub-rede 172.30.22.0/24, que é a sub-rede conectada à interface FaO/ 1 de R2:

1. R2 considera que tem uma rota sem nenhum salto em relação à sub-rede 172.30.22.0/24, e, portanto, na atualização de roteamento enviada por R2 (mostrada abaixo do ícone do roteador R2), R2 anuncia uma rota com métrica 1 (contagem de paradas 1). 2. RI recebe a atualização RIP de R2, e como RI não aprendeu nenhuma outra rota possível até 172.30.22.0/24, essa deve ser a melhor rota de RI até a sub-rede.

232 Capítulo 8: Teoria dos protocolos de roteamento 3. R 1 acrescenta a sub-rede à sua tabela de roteamento, listando-a como uma rota RIP aprendida.

• • •

4. Para a rota aprendida, RI utiliza uma interface de saída SOlO, pois RI recebeu a atualização de roteamento de R2 na . • interface SOlO de RI. 5. Para a rota aprendida, RI utiliza um próximo roteador 172.30.1.2, pois RI aprendeu a rota a partir de uma atualização . RIP cujo endereço IP fonte era 172.30.1.2. Ao final deste processo, RI aprendeu uma nova rota. O resto das rotas RIP aprendidas neste exemplo segue o mesmo : processo. Além do processo de anunciar e aprender rotas, a Figura 8-6 também destaca alguns outros fatos importantes sobre • protocolos vetor distância: •

/;:~;~o \~have

- Periódico: os ícones que mostram uma ampulheta representam o fato de que as atualizações se repetem em ciclos regulares. O RIP utiliza um intervalo de atualização de 30 segundos, como padrão.

• •

- Atualizações completas: os roteadores sempre enviam atualizações completas em vez de enviar somente informações • de roteamento novas ou alteradas.

•

- Atualizações completas limitadas por regras de split horizon: o protocolo de roteamento omite algumas rotas • das atualizações completas periódicas devido às regras de split horizon. Split horizon é um recurso que evita a • ocorrência de loops, abordado nas próximas páginas. •

Prevenção de loops com o vetor distância

•

Como pode ser visto, o verdadeiro processo do vetor distância é bastante simples. Infelizmente, a simplicidade dos protocolos do vetor distância trouxe consigo a possibilidade de loops de roteamento. Loops de roteamento ocorrem quando os roteadores encaminham pacotes de forma que o mesmo pacote acabe voltando aos mesmos roteadores, repetidas vezes, desperdiçando largura de banda e nunca entregando o pacote. Em redes de produção, o número de pacotes em loop pode congestionar a rede ao ponto de ela se tomar não usável; portanto, loops de roteamento devem ser evitados tanto quanto possível. O resto da abordagem sobre protocolos vetor distância neste capítulo é voltado para a descrição dos vários recursos do vetor distância que auxiliam na prevenção de loops.

• • • • •

Route Poisoning (Envenenamento de rotas)

•

• •

Quando uma rota falha, os protocolos de roteamento do vetor distância correm o risco de provocar loops de roteamento • até que todos os roteadores da inter-rede acreditem e saibam que a rota original falhou. Em conseqüência disso, os • • protocolos vetor distância precisam de uma maneira de identificar especificamente quais rotas falharam. Os protocolos vetor distância espalham a má notícia sobre a falha de uma rota envenenando a rota. O Route poisoning (envenenamento da rota) se refere à prática de anunciar uma rota, mas com um valor de métrica especial chamado infinito. Simplificando, os roteadores consideram que as rotas anunciadas com uma métrica infinita falharam. Observe que cada protocolo de roteamento vetor distância utiliza o conceito de um valor de métrica verdadeiro que representa o infinito. O RIP defme o infinito como 16.

• • _ __ •

A Figura 8-7 mostra um exemplo de route poisoning com o RIP, com a falha da interface FaO/1 de R2, significando que • a rota de R2 para 172.30.22.0/24 falhou.

•

----------------------------------~------------Observação Embora rotas envenenadas pelo RIP tenham uma métrica igual a 16, o comando . show ip route não lista o valor da métrica. Em vez disso, ele apresenta a frase ''possibly down"

("possivelmente inativo").

--~------------------------------------------------~

• •

•• •• \•.

•• • •• •• •• •• • •

• •

Figura 8-7 Route Poisoning (Envenenamento de Rotas)

..........

Fonte

Sub-rede

RIP RIP Conn. Conn.

172.30.21.0124 172.30.22.0124 172.30 .1.0124 172.30 .11 .0124

( T6plco :. Chave

Tabela de Roteamento IP de R2

Tabela de Roteamento IP de R1 Interface Próxima parada de sarda 5010 172.30.1.2 172.30.1.2 SOlO N/A 5010 FaOIO N/A

Métrica

Fonte

16~~

Conn. eOlili.

Conn. RIP

O O

Interface Próxima parada de saída 172.30.21.0124 FaOIO N/A 172.96.22.11124 Fal!o'1 NM 172.30.1.0124 50/110 N/A 172.30.11.0124 50/110 172.30.1.1 Sub-rede

Métrica

....

O

6 O 1

72.30.22.2124 FAOIO ~....,......... SOlO

1-1~72:-:.3O~.~11;';' . 1"

SO/110 172.30.1.2

172.30.1.1

~

0.----------, 172.30.21 .0, métrica 1

_ _ _ _

172.30.22.0, métrica 16

A Figura 8-7 mostra o seguinte processo:

•• • • • • •

233

CCNA ICND2

1. A interface FaO/l de R2 falha. 2. R2 remove de sua tabela de roteamento a sua rota conectada referente a 172.30.22.0/24. 3. R2 anuncia 172.30.22.0 com uma métrica infinita, que para o RIP é 16. 4. RI mantém a rota em sua tabela de roteamento, com uma métrica infinita, até remover a rota da tabela de roteamento.

Qualquer valor de métrica abaixo do infinito pode ser utilizado como uma métrica válida para uma rota válida. Com o RIP, isso significa que uma rota composta por 15 saltos seria uma rota válida. Algumas das maiores redes empresariais do mundo possuem no máximo quatro ou cinco roteadores na maior rota entre quaisquer duas sub-redes; portanto, uma métrica máxima válida com 15 saltos é suficiente.

• Problema: contagem até o infinito em um único link

• •

• • • •

•

Os protocolos de roteamento vetor distância correm o risco de provocar loops de roteamento durante o tempo entre o momento em que o primeiro roteador percebe que uma rota falhou até o momento em que todos os roteadores sabem que a rota falhou. Sem os mecanismos de prevenção de loops explicados neste capítulo, os protocolos vetor distância podem enfrentar um problema chamado contagem até o infinito. Certamente, os roteadores nunca poderiam literalmente contra até o infinito, mas eles podem contar até a sua versão de infinito - por exemplo, até 16 no RIP. A contagem até o infinito provoca dois problemas relacionados. Vários recursos de prevenção de loops do vetor distância se concentram em impedir os seguintes problemas:

•

- Os pacotes podem fazer loops em tomo da inter-rede enquanto os roteadores contam até o infinito, sendo que a largura de banda consumida pelos pacotes em loop prejudica a inter-rede.

:

- O processo de contagem até o infinito pode levar vários minutos, significando que a ocorrência de loops pode fazer com que os usuários acreditem que a rede falhou.

• • • •

•• •• •• •• •

Quando os roteadores contam até o infinito, eles ficam conjuntamente mudando de opinião sobre a métrica da rota que falhou. A métrica fica mais lenta até alcançar o infinito, em cujo ponto os roteadores fmalmente acreditam que a rota falhou. A melhor maneira de entender esse conceito é ver um exemplo; a Figura 8-8 mostra os primeiros passos do. problema relativo à contagem até o infinito.

234

Capítulo 8: Teoria dos protocolos de roteamento

Figura 8-8 R2 acredita erroneamente que RI possui uma rota até 172.16.22.0/24 Tabela de roteamento IP de Rl (Após o Passo 4) Fonte RIP ~ RIP Conn. Conn.

Sub-rede 172.30.21.0/24 172.30.22.0/24 172.30.1.0/24 172.30.11 .0/24

Tabela de roteamento IP de R2 (Após o Passo 3)

Interface Próxima parada de sarda SOlO 172.30.1.2 SOlO 172.30.1.2 N/A SOlO FaOIO N/A

Métrica

16 O O

Interface Próxima parada de sarda 172.30.21 .0/24 FaOIO N/A 172.30.22.0/24 FaOl1 172.30.1.1 172.30.1.0/24 SO/110 N/A 172.30.11.0/24 SOI1IO 172.30.1.1

Fonte

Sub-rede

Conn. Conn. Conn . RIP

SO/110 .-.....____,

. . - -...-.. SOlO

Métrica O 2~

O 1

72.30.22.2/24

172.30.1.2

172.30.1 .1

® 172.30.22.0, métrica 16

'--_ _ _ _ _----' ......... <",."

o

, _ _ __ __ _ __ __

Minha antiga rota composta por 1 parada

~ .,

., .,

., .,

., .... .,""

(outras rotas nAo mostradas)

.............

.... ....

Polsoned Route ....

....

.... ~

até 172.30.22.0 falhou mudar minha tabela de roteamento I

Eis aqui uma nova rota composta por 2 paradas até 172.30.22.0 acrescente-a à minha tabela de roteamentol

A chave deste exemplo é saber que a atualização periódica de RI até R2 (da esquerda para direita na Figura 8- 8) ocorre praticamente no mesmo instante em que R2 faz o anúncio da rota envenenada para RI. A Figura 8-8 mostra o seguinte processo: 1. A interface FaO/l de R2 falha, e, portanto, R2 remove de sua tabela de roteamento sua rota conectada para 172.30.22.0/24. 2. R2 envia um anúncio de rota envenenada (métrica de 16 para o RIP) a RI, mas aproximadamente no mesmo instante, o timer de atualização periódica de RI expira; portanto, RI envia sua atualização regular, incluindo um anúncio sobre 172.30.22.0, métrica 2. 3. R2 fica sabendo sobre a rota de métrica 2 para alcançar 172.30.22.0 a partir de RI. Como R2 já não possui uma rota para a sub-rede 172.30.22.0, ele acrescenta a rota composta por dois saltos à sua tabela de roteamento, o roteador RI. 4. Aproximadamente no mesmo instante do Passo 3, RI recebe a atualização de R2, dizendo a RI que sua antiga rota até 172.30.22.0, passando por R2, falhou. Em conseqüência disso, RI muda sua tabela de roteamento passando a apresentar uma métrica 16 para a rota até 172.30.22.0. Neste ponto, RI e R2 encaminham pacotes destinados a 172.30.22.0/24 para lá e para cá, um para outro. R2 possui uma rota para 172.30.22.0/24, apontando para RI , e RI possui o inverso. Há a ocorrência de loop até que RI e R2 contem até o infinito. A Figura 8-9 mostra o próximo passo em sua marcha conjunta até o infinito.

Figura 8-9 RI e R2 contam até o infinito Tabela de roteamento IP de R2

Tabela de roteamento IP de Rl Fonte RIP ~ RIP

Conn. Conn.

Sub-rede

Interface Próxima parada de sarda 172.30.21.0/24 SOlO 172.30.1.2 172.30.22.0/24 SOlO 172.30.1.2 172.30.1.0/24 SOlO N/A 172.30.11.0/24 FaOIO N/A

Métrica

Fonte

1 3 O O

Conn. Conn. Conn . RIP

Sub-rede

Interface Próxima parada de sarda 172.30.21.0/24 FaOIO N/A 172.30.1 .1 172.30.22.0/24 FaOll 172.30.1.0/24 SO/1/0 N/A 172.30.11.0/24 SO/110 172.30.1.1

Métrica O 16 ~ - O

72.30.22.2/24 - --,.-... SOlO 172.30.11 .1

SOI1IO _ 172.30.1.2

172.30.1.1

"....

o

........

......_

.

172.30.22.0, métrica 3 (outras rotas nao mostradas)

' - - - - - - - - - - - '........ .,..-<.. .......... ' - - - - - - - - - '

o

_____ .... ____

Acabei de ficar sabendo sobre uma nova rota válida - métrica 3 acrescente-a à minha tabela de roteamento I

k"""

., .,.. .... "

..............

....

.........

Minha rota de .... ~ duas paradas falhou I - marque-a como inativa (métrica 16)1

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

'. I.

CCNA ICND2

235

A Figura 8-9 mostra as próximas atualizações periódicas de ambos os roteadores, como se segue: 1. Os timers de atualização de RI e de R2 expiram aproximadamente no mesmo instante. RI anuncia uma rota envenenada (métrica 16) e R2 anuncia uma rota com métrica 3. (Lembre-se de que os roteadores RIP acrescentam 1 à métrica antes de anunciar a rota.) 2. R2 recebe a atualização de RI e, portanto, R2 altera sua rota referente a 172.30.22.0 para utilizar uma métrica igual a 16. 3. Aproximadamente no mesmo instante que o Passo 2, RI recebe a atualização de R2 e, portanto, RI altera sua rota referente a 172.30.22.0 para utilizar uma métrica igual a 3. O processo continua através de cada atualização periódica, com os dois roteadores finalmente alcançando a métrica 16. Neste momento, os roteadores poderiam expirar (dar time out) as rotas e removê-las de suas tabelas de roteamento.

Split Horizon Na inter-rede simples usada nas Figuras 8-8 e 8-9, o roteador R2 possui uma rota conectada até 172.30.22.0, e RI aprende a rota por causa de uma atualização de roteamento enviada por R2. Entretanto, há pouca necessidade de RI anunciar essa mesma rota novamente para R2, porque, a princípio, RI aprendeu essa rota com R2. Portanto, uma maneira de evitar o problema de contagem até o infinito mostrado nessas figuras é fazer com que RI simplesmente não anuncie a sub-rede 172.30.22.0, utilizando um recurso chamado split horizon. O split horizon é definido da seguinte forma: / .......

: Tópico

\~have

Em atualizações de roteamento enviadas saindo pela interface X, não inclua informações de roteamento sobre rotas que se referem à interface X como a interface de saída.

Os protocolos vetor distância funcionam de forma bastante parecida a como as pessoas de uma vizinhança espalham boatos. As pessoas contam aos seus vizinhos, que, por sua vez, contam a outros vizinhos, até que finalmente todo mundo da vizinhança fica sabendo da última notícia. Seguindo essa analogia, se seu vizinho Fred lhe contasse um boato, você não viraria e lhe contraria o mesmo boato. Da mesma forma, o split horizon significa que, quando o roteador RI aprende uma rota com o roteador R2, RI não precisa anunciar aquela mesma rota para o roteador R2 novamente. A Figura 8-10 mostra o efeito do split horizon sobre os roteadores RI e R2 na mesma inter-rede conhecida. A tabela de roteamento de RI (na parte de cima da figura) apresenta quatro rotas, três das quais têm a interface SOlO de RI como a interface de saída. Portanto, o split horizon impede que RI inclua essas três rotas na atualização enviada por RI saindo de sua interface SOlO.

Figura 8-10 Efeitos do split horizon sem poison reverse Tabela de Roteamento IP de Rt Fonte RIP RIP Conn. Conn.

Tabela de Roteamento IP de R2

Interface Próxima parada de sarda 172.30.21.0/24 SOlO 172.30.1 .2 172.30.22.0124 5010 172.30.1 .2 172.30.1.0/24 SOlO N/A 172.30.11.0/24 FaOIO N/A Sub-rede

Métrica

16 O O

Fonte

+-®

~

Atualização completa, limitada pelo split horizon

172.30.1.1

.---------,0 1~-1172.30.11.0, métrica

Bc"". Conn. RIP

Interface Próxima parada de sarda 172.30.21 .0/24 FaOIO N/A 11'1I.99.1!Ii!• Fa8P'1 U"'A 172.30.1.0/24 SO/11O N/A 172.30.11.0/24 SO/11O 172.30.1.1

.w,

- - ..

~

___cp

r17-2-.30-.2-1.o,-m-ét- rlca-'1 172.30.22.0, métrica 1

~

1172.30.11.0, métrica 1

Métrica

SO/11O ,...."".~_1' 172.30.1.2

FAO/O ..,.-.,......... SOlO 172.30.11.1

Conn.

Sub-rede

~0_ --..

Atualização completa, limitada pelo split horizon

0.------, 172.30.22.0, métrica 16

_ _ _ _

(outras rotas não mostradas)

Rota envenenada

O O

236 Capítulo 8: Teoria dos protocolos de roteamento A Figura 8-10 mostra o seguinte processo: 1. RI envia sua atualização completa normal e periódica, que, devido às regras do split horizon, inclui somente uma rota. 2. R2 envia sua atualização completa normal e periódica, que, devido às regras do split horizon, inclui apenas duas rotas. 3. A interface FaO/l de R2 falha. 4. R2 remove de sua tabela de roteamento sua rota conectada referente a 172.30.22.0/24. 5. R2 anuncia 172.30.22.0 com uma métrica infinita, que, para o RIP, é a métrica 16. 6. RI temporariamente mantém a rota referente a 172.30.22.0 em sua tabela de roteamento, removendo-a da tabela mais tarde. 7. Em sua próxima atualização regular, RI , devido ao split horizon, ainda não anuncia a rota referente a 172.30.22.0. O split horizon evita o problema de contagem até o infinito mostrado nas Figuras 8-8 e 8-9 porque RI simplesmente não anuncia 172.30.22.0 a R2. Em conseqüência disso, R2 nunca fica sabendo sobre uma rota alternativa (incorreta) até 172.30.22.0. O Cisco lOS usa automaticamente o split horizon na maioria das interfaces. Observação A implementação do RIP com o Cisco lOS não age exa tamente conforme descrito no Passo 7 desse exemplo específico. Em vez disso, ela utiliza um recurso chamado poison rever se, conforme descrito na próxima seção.

Poison Reverse e Triggered Updates Os protocolos do vetor distância podem atacar o problema de contagem até o inftnito garantindo que todos os roteadores fiquem sabendo que a rota falhou, através de todos os meios possíveis, o mais rapidamente possível. Os dois próximos recursos para evitar a ocorrência de loops fazem exatamente isso e são deftnidos da seguinte forma: /;~;~o

-Triggered update (Atualização instantânea): Quando uma rota falha, não espere pela próxima atualização periódica.

\~have

Pelo contrário, envie uma atualização instantânea, ou triggered update, imediatamente listando a rota envenenada. - Poison reverse: Ao ficar sabendo sobre uma rota que falhou, suspenda as regras do split horizon para aquela rota e anuncie uma rota envenenada.

A Figura 8-11 mostra um exemplo de cada um desses recursos, com a interface FaO/l de R2 falhando mais uma vez. Observe que a figura começa com todas as interfaces funcionando e todas as rotas conhecidas. Figu ra 8-11 R2 enviando uma triggered update, com Ri anunciando uma rota poison reverse Tabela de Roteamento IP de R2

Tabela de Roteamento IP de RI Fonte

Sub-rede

Interface Próxima parada

Métrica

Fonte

de saída

RIP RIP Conn. Conn.

172.30.21 .0/24 SOlO 172.30.22.0124 SOlO 172.30.1.0/24 SOlO 172.30.11 .0/24 FaOIO

172.30.1.2 172.30.1.2 N/A N/A

1 16 O O

..... SOlO

gelll4.

Conn.

Interface Próxima parada de sa rda 172.30.21 .0124 FaOIO N/A He.99.ee.M!1 FaBol4 N/A 172.30.1.0/24 SOI1IO

172.30.1.1

.--- ----,0

Métrica

,.....

O

9 O

RIP

SO/11O 172.30.1.2

~......,.

172.30.22.0, métrica 16 (SOMENTE esta rota· triggered update parcial)

Conn.

Sub-rede

---""""~;~:~~===

0.-------, 172.30.22.0, métrica 16 ... - - - -

- - - - ..

(SOMENTE esta rota· triggered update parcial)

Trlggered Update parcial:

0.----- --, Próxima

... _ _ _ _

Próxima atualização periódica:

172.30.21 .0, métrica 1 172.30.22.0, métrica 16

atualização periódica:

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• • •

•• •• •• •• •• •• •• •

CCNA ICND2

237

O processo mostrado na Figura 8-11 funciona da seguinte forma:

1. A interface FaO/1 de R2 falha. 2. R2 imediatamente envia uma triggered update parcial apenas com as informações alteradas - neste caso, uma rota envenenada para 172.30.22.0. 3. RI responde alterando sua tabela de roteamento e enviando de volta uma atualização parcial imediata (triggered update), listando somente 172.30.22.0 com uma métrica infinita (métrica 16). Esta é uma rota poison reverse. 4. Na próxima atualização periódica regular de R2, R2 anuncia todas as rotas típicas, incluindo a rota envenenada para 172.30.22.0, durante um tempo. 5. Na próxima atualização periódica regular de RI, RI anuncia todas as rotas típicas, mais a rota poison reverse para 172.30.22.0, durante um tempo. Neste exemplo, R2 reage imediatamente enviando a atualização triggered update. RI também reage imediatamente, suspendendo as regras do split horizon referentes à rota que falhou para enviar uma rota poison reverse. Na verdade, a rota envenenada de R2 não é considerada uma rota poison reverse, porque R2 já estava anunciando uma rota para 172.30.22.0. Entretanto, a rota envenenada de RI é uma rota poison reverse porque foi anunciada de volta ao roteador com o qual RI ficou sabendo sobre a rota que falhou. De fato, alguns livros também se referem ao poison reverse como split horizon com poison reverse, porque o roteador suspende a regra do split horizon para a rota que falhou.

Problema: contagem até o infinito em uma rede redundante

• o split horizon impede que o problema de contagem até o infinito ocorra entre dois roteadores. No entanto, com projetos • • •

•• •• •• •• •• •• •• •• •• •• • •

redundantes em uma inter-rede, o que é verdade na maioria das inter-redes hoje em dia, o split horizon sozinho não impede a ocorrência do problema de contagem até o infinito. Para visualizar o problema, a Figura 8-12 mostra a nova rede de trabalho em seu estado normal, estável, em que tudo está funcionando. As Figuras 8-13 e 8-14 mostram, em um determinado momento, como ocorre o problema de contagem até o infinito, mesmo quando o split horizon está ativado.

Figura 8-12 Atualizações periódicas em uma inter-rede triangular estável Todos os endereços começam com 172.30. 31 .3/24 FAOto

172.30.3.0, métrica 1

0 / 172.30.22.0, métrica 2

172.30.2.0, métrica 1 172.30.11.0, métrica 2 172.30.31.0, métrica 1

I

172.30.21.0, métrica 2

I

172.30.31.0, métrica 1

172.30.1.0 , mélrica 1 172.30.11.0, métrica 1 172.30.21 .0 , métrica 2

172.30.22.0, métrica 2

~

1f

0

~

, CD

I

\

/

,

I

172.30.1.0, métrica 1 172.30.11 .0, métrica 1 172.30.21.0, métrica 1

172.30.22.0, métrica 1 FAO/1 • 22.2124

FAOto • 21 .2124

172.30.2.0, métrica 1 172.30.11.0, métrica 1 172.30.31.0, métrica 2

f.\ 172.30.3.0, métrica 1

~_ ~

172.30.21 .0 , métrica 1

172.30.22.0, métrica 1 172.30.31 .0, métrica 2

Observação A Figura 8-12 omite as atualizações do RIP que seriam enviadas saindo pelas interfaces LAN para evitar que a figura fique sobrecarregada. Além de mostrar a operação normal de outra rede, a Figura 8-12 oferece um bom exemplo de como funciona o split horizon. Novamente utilizando a sub-rede 172.30.22.0 como exemplo, ocorre o seguinte processo nesta inter-rede:

238 Capítulo 8: Teoria dos protocolos de roteamento 1. R2 anuncia a RI e R3 uma rota de métrica 1 em suas atualizações. 2. Em seguida, RI anuncia a R3 uma rota de métrica 2 para 172.30.22.0, e R3 anuncia a R2 uma rota de métrica 2 para a 172.30.22.0. 3. Tanto RI quanto R3 acrescentam a rota de métrica 1, aprendida diretamente com R2, às suas tabelas de roteamento, e ignoram as rotas de duas paradas que um aprende do outro. RI, por exemplo, coloca a rota 172.30.22.0 em sua tabela de roteamento, utilizando a interface de saída SOlO e o próximo roteador 172.30.1.2 (R2). O split horizon impede que RI e R3 anunciem a sub-rede 772.30.22.0 a R2 novamente. Observe que a Figura 8-12 mostra todos os anúncios de rotas para 172.30.22.0 em negrito. RI e R3 não apresentam 172.30.22.0 em suas atualizações enviadas de volta a R2. Na verdade, todas as atualizações de roteamento mostradas na Figura 8-12 apresentam os efeitos do split horizon. Agora que você já possui um bom conhecimento da inter-rede mostrada na Figura 8-12, a Figura 8-13 mostra a mesma inter-rede, mas com a fase inicial do problema de contagem até o infinito, embora o split horizon esteja ativado. Novamente, a FaOll de R2 começa o exemplo falhando.

Figura 8-13 Contagem até o infinito em uma rede redundante Todos os endereços começam com 172.30.

Tabela de roteamento IP de R3 (Após o Passo 6) Sub-rede

Interface Próxima parada de sarda 172.30.22.0124 SOlO 172.30.2.1

Métrica 2

o1f

, ,, ,

, ,, , ,

o

l'

~ , 01172.30.22.0, métrica 161

,, ,

rl17-2-.30-.22-.-0,-m-cét-rlc-'a=,21,,'

,,

.2124

o

~----------

0,..-------,

<1(- - -1172.30.22.0, métrica 161

Tabela de roteamento IP de R1 (Após o Passo 5) Fonte RIP

Sub-rede

Interface Próxima parada de sarda 172.30.22.0124 SOlO 172.30.1.2

Métrica 16

O processo mostrado na Figura 8-13 é como descrito a seguir. Como de costume, este exemplo conta com uma contagem de tempo inadequada para as atu~zações de roteamento periódicas no momento em que a rota falha. 1. A interface FaOll de R2 falha. 2. R2 imediatamente envia uma atualização triggered update parcial, envenenando a rota para 172.30.22.0. R2 envia as atualizações saindo por todas as interfaces que ainda estão funcionando. 3. R3 recebe a atualização triggered update de R2 que envenena a rota para 172.30.22.0, e, portanto, R3 atualiza sua tabela de roteamento apresentando a métrica 16 para essa rota. 4. Antes que a atualização descrita no Passo 2 chegue a RI, RI envia sua atualização normal e periódica a R3, listando 172.30.22.0, métrica 2, como normal. (Observe que a Figura 8-13 ornite parte do que seria a atualização periódica de RI para evitar sobrecarga no desenho.) 5. RI recebe a atualização triggered update de R2 (descrita no Passo 2) que envenena a rota para 172.30.22.0, e, portanto, RI atualiza sua tabela de roteamento apresentando a métrica 16 para essa rota. 6. R3 recebe a atualização periódica enviada por RI (descrita no Passo 4), apresentando uma rota de métrica 2 para 172.30.22.0. Em conseqüência disso, R3 atualiza sua tabela de roteamento para apresentar uma rota de métrica 2, passando por RI como o roteador de próximo salto, com a interface de saída SOlO.

• ••

•• •• •• •• •• •

•• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• o

CCNA ICND2

239

Neste ponto, R3 tem uma rota incorreta de métrica 2 para 172.30.22.0, apontando de volta a RI. Dependendo da contagem do tempo de quando as entradas são inseridas e saem da tabela de roteamento, os roteadores podem acabar encaminhando os pacotes enviados à sub-rede 172.30.22.0/24 através da rede, possivelmente causando loop em alguns pacotes da rede várias vezes, enquanto o processo de contagem até o infinito continua.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

processo Holddowm e o Timer Holddown

o último recurso a ser abordado neste capítulo com o intuito de evitar a ocorrência de loops é um processo chamado holddown, que impede a ocorrência do problema de loops e de contagem até o inf'mito mostrado na Figura 8-13. Os protocolos vetor distância utilizam holddown para evitar especillcamente os loops criados por problemas de contagem até o infinito que ocorrem em inter-redes redundantes. O termo holddown (segurar no lugar, deixar como está) dá uma idéia sobre o que ele significa: Assim que a rota é considerada inativa, segure-a no lugar (deixe-a como está) por um tempo até que os roteadores tenham tempo para se certillcar de que todos os roteadores saibam que a rota falhou.

O processo holddown diz ao roteador para ignorar novas informações sobre a rota que falhou, por um período de tempo chamado de tempo de holddown, de acordo com a contagem feita através do timer holddown. O processo de holddown pode ser resumido da seguinte forma: /~~~;~o \ Chave

".

Ao ficar sabendo sobre uma rota envenenada (route poisoning), inicie o timer holddown para aquela rota. Até que o timer expire, não acredite em nenhuma outra informação de roteamento sobre a rota que falhou, pois acreditar nessa informação pode provocar um loop de roteamento. No entanto, você pode acreditar nas informações aprendidas com o vizinho que originalmente anunciou a rota em funcionamento antes que o timer holddown expire.

O conceito de holddown pode ser melhor entendido com um exemplo. A Figura 8-14 repete o exemplo da Figura 8-13, mas com o processo holddown de R3 impedindo o problema de contagem até o infinito. A figura mostra como R3 ignora qualquer nova informação sobre a sub-rede 172.30.22.0 por causa do holddown. Como de costume, a figura começa com todas as interfaces ativas e em perfeito funcionamento, com todas as rotas conhecidas, e com o Passo 1 sendo a falha da mesma interface que sai do roteador R2.

Figura 8-14 Utilizando holddown para impedir a contagem até o infinito Tabela de roteamento IP de R3 (Após o Passo 6) Fonte RIP

5ub-rede

Interface Próxima parada de saída 172.30.22.0124 5011 172.30.3.2

Métrica 16

~Im.,..".,. m''''~ "I 1

50/1/0 1.2

R

FAOtO • 21 .2124

0 ....·f------ ~172.30.22.0. métrica 16 1 Tabela de roteamento IP de R1 (Após o Passo 5) Fonte RIP

5ub-rede

Interface Próxima parada de sarda 172.30.22.0124 5010 172.30.1 .2

Métrica 16

O processo mostrado na Figura 8-14 é como descrito a seguir, com os Passos "3 e 6 diferindo da Figura 8-13: 1. A interface FaO/1 de R2 falha.

240 Capítulo 8: Teoria dos protocolos de roteamento 2. R2 imediatamente envia uma atualização triggered update parcial, envenenando a rota para 172.30.22.0. R2 envia as atualizações saindo por todas as interfaces que ainda estão funcionando. 3. R3 recebe a atualização triggered update de R2 que envenena a rota para 172.30.22.0, e, portanto, R3 atualiza sua tabela de roteamento para apresentar a métrica 16 para essa rota. R3 também coloca a rota para a 172.30.22.0 em holddown e inicia o timer holddown para a rota (o padrão são 180 segundos para o RIP). 4. Antes que a atualização descrita no Passo 2 chegue a RI , RI envia sua atualização normal e periódica a R3, apresentando 172.30.22.0, métrica 2, como normal. (Observe que a Figura 8-14 omite alguns detalhes da atualização periódica de RI para evitar sobrecarga no desenho.) 5. RI recebe a atualização triggered update de R2 (descrita no Passo 2) que envenena a rota para 172.30.22.0, e, portanto, RI atualiza sua tabela de roteamento para apresentar a métrica 16 para essa rota. 6. R3 recebe a atualização de RI (descrita no Passo 4), apresentando uma rota de métrica 2 para 172.30.22.0. Como R3 colocou essa rota em estado holddown, e essa nova rota de métrica 2 foi aprendida com um roteador diferente (RI) da rota original (R2), R3 ignora a nova informação de roteamento. Em conseqüência da lógica holddown de R3 descrita no Passo 6, todos os três roteadores possuem uma rota de métrica 16 para 172.30.22.0. Neste ponto, qualquer atualização de roteamento futura só apresentará rotas de métrica 16 para essa sub-rede - pelo menos até que uma rota real até a sub-rede se torne disponível novamente. A definição de holddown permite que os roteadores acreditem no mesmo roteador que originalmente anunciou a rota, antes mesmo que o timer holddown expire. O processo inteiro da Figura 8-14, por exemplo, pode acontecer dentro de apenas poucos segundos por causa de todas as atualizações triggered updates. Se a interface FaO/l de R2 surgir novamente, R2 anuncia uma rota de métrica 1 para esperar quase mais 3 minutos para que seus timers holddown expirem para a subrede 172.30.22.0. Como resultado, acreditar na atualização de roteamento do mesmo roteador que originalmente anunciou a rota não causa o risco de loops. Por isso, o holddown permite que os roteadores (neste caso, RI e R3) acreditem no anúncio feito por R2.

Resumo sobre vetor distância Antes de encerrar a abordagem de como evitar loops com o vetor distância, vale a pena revisar os conceitos aqui apresentados. Esta seção abordou bastante teoria, parte da qual pode ser um pouco complicada, mas os principais recursos podem ser facilmente resumidos: - Durante períodos de estabilidade, os roteadores enviam atualizações de roteamento completas e periódicas com base em um timer curto de atualização (o padrão do RIP são 30 segundos). As atualizações apresentam todas as rotas conhecidas, exceto as rotas omitidas devido às regras do split horizon. - Quando ocorrem alterações que fazem com que uma rota falhe, o roteador que percebe a falha reage imediatamente enviando atualizações triggered updates parciais, listando apenas as rotas recém envenenadas (que falharam) com uma métrica infinita. - Outros roteadores que ficam sabendo sobre a rota envenenada também enviam atualizações triggered updates parciais, envenenando a rota que falhou. - Os roteadores suspendem as regras do split horizon para a rota que falhou enviando uma rota poison reverse de volta em direção ao roteador a partir do qual a rota envenenada foi aprendida. - Todos os roteadores colocam a rota em estado holddown e iniciam o timer holddown para aquela rota após ficarem sabendo que a rota falhou. Cada roteador ignora todas as novas informações sobre essa rota até que o timer holddown expire, a não ser que as informações venham do mesmo roteador que originalmente anunciou a boa rota àquela sub-rede.

Recursos do protocolo de roteamento link-state Assim como os protocolos de roteamento do vetor distância, os protocolos link-state enviam atualizações de roteamento aos roteadores vizinhos, que, por sua vez, enviam atualizações aos seus roteadores vizinhos, e assim por diante. Ao final do processo, assim como os protocolos do vetor distância, os roteadores que utilizam protocolos link-state acrescentam as

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•

•• •

•• •• •• •• •• •

•• •• •

•• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2

241

melhores rotas a suas tabelas de roteamento, com base na métrica. Entretanto, além deste nível de explicação, esses dois tipos de algoritmos de protocolo de roteamento têm pouco em comum. Esta seção aborda os mecanismos mais básicos de funcionamento dos protocolos link-state, com os exemplos usando o OSPF (Open Shortest Path First), o primeiro protocolo de roteamento IP do tipo link-state. A seção começa mostrando como os protocolos de roteamento link-state distribuem informações de roteamento por toda a inter-rede. Em seguida, ela descreve como os protocolos link-state processam as informações de roteamento para escolher as melhores rotas.

Construindo o mesmo LSOB em todos os roteadores Os roteadores que utilizam protocolos de roteamento link-state precisam anunciar conjuntamente a todos os outros roteadores praticamente todos os detalhes sobre a inter-rede. Ao fmal do processo, chamado de distribuição (ouflooding), todos os roteadores da inter-rede dispõem exatamente das mesmas informações sobre a inter-rede. Os roteadores utilizam essas informações, armazenadas em RAM dentro de uma estrutura de dados chamada LSDB (link-state database, ou banco de dados link-state), para executar o outro importante processo link-state para calcular as melhores rotas atuais até cada sub-rede. Distribuir uma grande quantidade de informações detalhadas a todos os roteadores parece ser muito trabalho; e em comparação aos protocolos de roteamento do vetor distância, é, sim, bastante trabalho. O OSPF (Open Shortest Path First), o mais popular protocolo de roteamento IP do tipo link-state, anuncia informações em mensagens de atualização de roteamento de vários tipos, com as atualizações contendo informações chamadas LSAs (link-state advertisements, ou anúncios link-state). Os LSAs vêm em várias formas, incluindo os dois principais tipos a segurr: - LSA de roteador: inclui um número para identificar o roteador (ID do roteador), os endereços e as máscaras IP da interface do roteador, o estado (ativo ou inativo) de cada interface e o custo (métrica) associado à interface. - LSA de link: identifica cada link (sub-rede) e os roteadores que estão anexados àquele link. Identifica também o estado do link (ativo ou inativo).

Alguns roteadores devem primeiro criar os LSAs dos roteadores e dos links, e, em seguida, distribuir os LSAs a todos os outros roteadores. Cada roteador cria um LSA de roteador para si mesmo e, em seguida, distribui aquele LSA a outros roteadores em mensagens de atualização de roteamento. Para distribuir um LSA, o roteador envia o LSA a seus vizinhos. Esses vizinhos, por sua vez, encaminham o LSA a seus vizinhos, e assim por diante, até que todos os roteadores tenham ficado sabendo sobre o LSA. Para os LSAs de links, o roteador anexado a uma sub-rede também cria e distribui um LSA de link para cada sub-rede. (Observe que, em alguns casos, não é necessário ter um LSA de links, normalmente quando apenas um roteador se conecta à sub-rede.) Ao final do processo, todos os roteadores têm o LSA de roteador de roteadores alternados e uma cópia de todos os LSAs de links também. A Figura 8-15 mostra a idéia geral do processo de distribuição, com R8 criando e distribuindo seu LSA de roteador. Observe que a Figura 8-15, na verdade, mostra apenas um subconjunto das informações contidas no LSA de roteador de R8.

Figura 8-15 Distribuindo LSAs utilizando um protocolo de roteamento link-state

LSA de roteador de R8 - Conteúdo parcial

242 Capítulo 8: Teoria dos protocolos de roteamento A Figura 8-15 mostra o processo de distribuição relativamente básico, com R8 enviando o LSA original para si mesmo, e os outros roteadores distribuindo o LSA encaminhando-o até que todos os roteadores tenham uma cópia. Para evitar a ocorrência de loops em anúncios LSA, um roteador que saiba sobre o LSA primeiro pergunta a seu vizinho se aquele vizinho já sabe sobre esse LSA. R8, por exemplo, começaria perguntando a R4, R6 e R7 separadamente se eles sabem sobre o LSA de roteador referente a R8. Esses três roteadores responderiam, dizendo que eles não sabem sobre o LSA de roteador de R8. Somente aí é que R8 envia o LSA a cada um desses roteadores vizinhos. O processo se repete com todos os vizinhos. Se um roteador já souber sobre o LSA - independentemente de qual trajeto é seguido - ele pode educadamente dizer que já tem o LSA, evitando assim que o LSA seja anunciado em loops por toda a rede. As origens do termo link state podem ser explicadas considerando o conteúdo (parcial) do LSA do roteador mostrado na Figura 8-15. A figura mostra um dos quatro endereços IP de interface que seriam apresentados no LSA de roteador de R8 , junto com o estado da interface. Os protocolos link-state herdam seus nomes pelo fato de os LSAs anunciarem cada interface (link) e a interface estar ativa ou inativa (estado). Portanto, o LSDB contém informações não só sobre os roteadores, interfaces e links (sub-redes) ativos e em pleno funcionamento mas também sobre todos os roteadores, interfaces e links (sub-redes), mesmo se as interfaces estiverem inativas. Depois que o LSA tiver sido distribuído, mesmo que os LSAs não mudem, os protocolos link-state requerem uma redistribuição periódica dos LSAs, semelhante às atualizações periódicas enviadas por protocolos do vetor distância. No entanto, os protocolos do vetor distância normalmente utilizam um timer curto; o RIP, por exemplo, envia atualizações periódicas a cada 30 segundos e envia uma atualização completa apresentando todas as rotas normalmente anunciadas. O OSPF redistribui cada LSA com base no timer separado de cada LSA (30 segundos, de acordo com padrão). Em conseqüência disso, em uma inter-rede estável, os protocolos link-state na verdade utilizam menos largura de banda da rede do que os protocolos vetor distância para enviar informações de roteamento. Se um LSA mudar, o roteador imediatamente distribuir o LSA alterado. Se, por exemplo, a interface de LAN do roteador R8 da Figura 8-15 falhasse, R8 precisaria redistribuir o LSA de R8, dizendo que a interface agora está inativa.

Aplicando a matemática Dijkstra SPF para encontrar as melhores rotas O processo de distribuição link-state resulta em todos os roteadores dispondo de uma cópia idêntica do LSDB em memória, mas o processo de distribuição sozinho não faz com que um roteador saiba quais rotas devem ser acrescentadas à tabela de roteamento IP. Embora extremamente detalhadas e úteis, as informações contidas no LSDB não dizem eXplicitamente qual é a melhor rota de cada roteador para chegar a um destino. Os protocolos link-state devem utilizar outra parte importante do algoritmo link-state para encontrar e acrescentar rotas à tabela de roteamento IP, ou seja, rotas que apresentem uma máscara e um número de sub-rede, uma interface de saída e um endereço IP do próximo roteador. Esse processo utiliza algo chamado algoritmo Dijkstra SPF (Shortest Path First, ou Menor Caminho Primeiro). O algoritmo SPF pode ser comparado à forma em que os seres humanos pensam quando estão viajando usando um mapa de estradas. Todos podem comprar o mesmo mapa de estradas, e, conseqüentemente, qualquer pessoa pode saber todas as informações sobre as estradas. Entretanto, ao olhar o mapa, primeiro você encontra os seus locais de partida e de chegada, e depois analisa o mapa para encontrar as possíveis rotas. Se várias rotas parecem semelhantes em comprimento, você pode acabar decidindo por tomar uma rota mais extensa se as estradas forem vias expressas de alta velocidade em vez de estradas vicinais. Outra pessoa pode estar de posse do mesmo mapa mas estar partindo de um local diferente, e indo para um local diferente, podendo escolher, portanto, uma rota totalmente diferente. Na analogia, o LSDB funciona como o mapa, e o algoritmo SPF funciona como a pessoa que está lendo o mapa. O LSDB contém todas as informações sobre todos os roteadores e links possíveis. O algoritmo SPF define como o roteador deve processar o LSDB, onde cada roteador se considera o ponto de partida para a rota. Cada roteador utiliza a si mesmo como ponto de partida porque ele precisa colocar rotas em sua própria tabela de roteamento. O algoritmo SPF calcula todas as rotas possíveis para alcançar uma sub-rede, e a métrica cumulativa para cada rota completa, para cada sub-rede de destino possível. Em suma, cada roteador deve se ver como o ponto de partida, e cada sub-rede como o destino, e utilizar o algoritmo SPF para olhar o mapa de estradas do LSDB para encontrar e escolher a melhor rota até cada sub-rede. A Figura 8-16 mostra uma visualização gráfica dos resultados do algoritmo SPF executados pelo roteador RI ao tentar encontrar a melhor rota para alcançar a sub-rede 172.16.3.0/24 (com base na Figura 8-15). AFigura 8-16 mostra RI na parte de cima da figura em vez de estar à esquerda, porque o SPF cria uma árvore matemática. Essas árvores são normalmente desenhadas com a base ou a raiz da árvore na parte de cima da figura e as folhas (sub-redes) na parte de baixo.

•

•• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

••

• •

•• • •• •• •• •• •• •• •• •• •• •• •• •• •• • •• •• •• ••

CCNA ICND2 Figura 8-16 Árvore SPF para encontrar a rota de R1 até 172.16.3.0/24 .......... [ Tópico

I.

:

243

\ Chave

...

, . - - Posslvel Rota

A Figura 8-16 não mostra a matemática do algoritmo SPF (na verdade, quase ninguém se importa com a matemática), mas mostra um desenho do tipo de análise feita pelo algoritmo SPF em Rl. Geralmente, cada roteador executa o processo SPF para encontrar todas as rotas até cada sub-rede, e, depois, o algoritmo SPF pode escolher a melhor rota. Para escolher a melhor rota, o algoritmo SPF do roteador acrescenta o custo associado a cada link entre ele mesmo e a sub-rede de destino, em cada possível rota. A Figura 8-16 mostra os custos associados a cada rota ao lado dos links, onde as retas com setas mostram as três rotas que RI encontra entre si e a sub-rede X (172.16.3.0/24). A Tabela 8-6 apresenta as três rotas mostradas na Figura 8-16, com seus custos cumulativos, mostrando que a melhor rota de RI até 172.16.3.0/24 começa passando por R5.

Tabela 8-6 Comparando as três alternativas de R1 para a rota até 172.16.3.0/24 Rota

Localização na Figura 8-16

Custo cumulativo

RI-R7-R8

Esquerda

10 + 180 + 10 = 200

RI -R5-R6-R8

Meio

20 + 30 + 40 + 10 = 100

RI-R2-R3-R4-R8

Direita

30 + 60 + 20 + 5 + 10 = 125

Em conseqüência da análise do LSDB feita pelo algoritmo SPF, RI acrescenta à sua tabela de roteamento uma rota até a sub-rede 172.16.3.0/24, sendo R5 o próximo roteador.

Convergência com os protocolos link-state Assim que a inter-rede estiver estável, os protocolos link-state redistribuem cada LSA regularmente. (O OSPF usa automaticamente 30 minutos.) No entanto, quando um LSA muda, os protocolos link-state reagem rapidamente, convergindo a rede e utilizando as melhores rotas atuais o mais rápido possível. Imagine, por exemplo, que o link entre R5 e R6 falhe na inter-rede das Figuras 8-15 e 8-16. A lista a seguir explica o processo que RI utiliza para mudar para uma rota diferente. (Passos semelhantes ocorreriam para alterações feitas em outros roteadores e rotas.)

1. R5 e R6 distribuem LSAs que dizem que suas interfaces estão agora em estado "down" ("inativo"). (Em uma rede deste porte, a distribuição normalmente leva talvez um ou dois segundos.) 2. Todos os roteadores executam o algoritmo SPF novamente para ver se há alguma rota que tenha mudado. (Este processo pode levar mais 1 segundo em uma rede deste porte.)

244 Capítulo 8: Teoria dos protocolos de roteamento 3. Todos os roteadores substituem as rotas, conforme a necessidade, com base nos resultados do SPF. (Isso não leva praticamente nenhum tempo adicional após o SPF ter concluído.) Por exemplo, RI muda sua rota para a sub-rede X (172.16.3.0/24) para utilizar R2 como o próximo roteador. Estes passos permitem a rápida convergência do protocolo de roteamento link-state, muito mais rápida que os protocolos de roteamento vetor distância.

Resumo e comparações com relação aos protocolos vetor distância Os protocolos de roteamento link-state oferecem uma rápida convergência, que é provavelmente o recurso mais importante de um protocolo de roteamento, evitando também a ocorrência de loops. Os protocolos de roteamento linkstate não precisam utilizar a grande variedade de recursos para evitar loops utilizados pelos protocolos vetor distância, que em si reduzem enormemente o tempo de convergência. Os principais recursos de um protocolo de roteamento link-state são os seguintes: - Todos os roteadores aprendem as mesmas informações detalhadas sobre todos os roteadores de sub-redes da inter-rede.

.......... f Tópico \ Cha..

".

- Os trechos individuais de informações sobre a topologia são chamados LSAs. Todos os LSAs são armazenados em RAM em uma estrutura de dados chamada LSDB (link-state database, o banco de dados link-state) . - Os roteadores distribuem LSAs quando 1) são criados, 2) em um intervalo de tempo regular (mas longo) se os LSAs não mudarem com o passar do tempo, e 3) imediatamente quando um LSA muda. - O LSDB não contém rotas, mas contém informações que podem ser processadas pelo algoritmo Dijkstra SPF para encontrar a melhor rota de um roteador para alcançar cada sub-rede. - Cada roteador executa um algoritmo SPF, sendo o LSDB a entrada, resultando no acréscimo das melhores rotas (menor custo/menor métrica) à tabela de roteamento IP. - Os protocolos link-state convergem rapidamente redistribuindo imediatamente os LSAs alterados e reexecutando o algoritmo SPF em cada roteador.

Um dos pontos de comparação mais importantes entre os diferentes protocolos de roteamento é a velocidade em que o protocolo de roteamento converge. Com certeza, os protocolos link-state convergem com muito mais rapidez que os protocolos vetor distância. A lista a seguir resume alguns dos pontos de comparação principais para os diferentes protocolos de roteamento, comparando os pontos fortes dos algoritmos: - Convergência: os protocolos link-state convergem muito mais rápido. - CPU e RAM: Os protocolos link-state consomem muito mais CPU e memória que os protocolos vetor distância, embora com um projeto adequado, essa desvantagem possa ser reduzida. - Evitando loops de roteamento: os protocolos link-state inerentemente evitam loops, ao passo que os protocolos vetor distância requerem vários recursos adicionais (por exemplo, o split horizon). - Esforço de projeto: os protocolos vetor distância não requerem muito planejamento, ao passo que os protocolos link-state requerem muito mais planejamento e empenho de projeto, principalmente em redes maiores. - Configuração: os protocolos vetor distância normalmente requerem menos configuração, principalmente quando o protocolo link-state requer o uso de recursos mais avançados.

Atividades de preparação para o exame

Revise todos os tópicos-chave Revise os tópicos mais importantes deste capítulo, indicados com o ícone Tópicos-Chave. A Tabela 8-7 relaciona estes tópicos-chave e onde cada um é encontrado.

• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

• • •

Tabela 8-7 Tópicos-chave do Capítulo 8

•

Elemento do tópico-chave

Descrição

•• • •

Lista

Deflnições e comparação dos termos do protocolo de roteamento, protocolo roteado e protocolo roteável

224

•

CCNA ICND2

Número da página f;~~;~o \" Chave 00 0

•

Lista

Lista das principais funções de um protocolo de roteamento

224

•

Lista

Deflnições de IGP e EGP

225

•

Lista

Três tipos de algoritmos do protocolo de roteamento IGP

226

•

Tabela 8-3

Pontos de comparação para os protocolos IGP

228

•

Tabela 8-4

Mais comparações entre RIP-2, OSPF e EIGRP

228

•

Tabela 8-5

Lista de fontes de informações sobre roteamento e sua respectiva distância administrativa

229

Visualização gráflca do signiflcado do vetor distância

231

Descrição das atualizações periódicas, atualizações completas do vetor distância e atualizações completas limitadas pelo split horizon

232

• •• •

Figura8-5

•

••

Lista

•

Figura8-7

Exemplo de route poisoning (envenenamento de rotas)

233

•

Definição

Split horizon

235

•

•

Deflnições

Triggered updates, poison reverse

236

•

Definição

Holddown

239

•

Figura 8-16

Representação gráflca de um cálculo link-state do SPF

243

•• Complete as tabelas e listas usando a memória • Resumo das operações link-state

245

244

•

Lista

•

Imprima uma cópia do Apêndice J, "Tabelas de memória" ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das Tabelas de Memória" , inclui tabelas e listas completadas para você conferir o seu trabalho.

•

: Definições de termos-chave

•• •• •• ••

Defrna os seguintes termos-chave encontrados neste capítulo e veriflque suas respostas no glossário: algoritmo Dijkstra SPF (Shortest Path First), atualização completa, atualização parcial, atualização periódica, contagem até o inflnito, convergência, EGP (protocolo externo de porta de comunicação), balanced hybrid, holddown (tirner holddown), IGP (protocolo interno de porta de comunicação), inflnito, link-state, LSA (anúncio de link-state), LSDB (banco de dados linkstate), métrica, poison reverse, protocolo de roteamento, protocolo roteado, protocolo roteável, split borizon, triggered update, vetor distância.

246 Capítulo 8: Teoria dos protocolos de roteamento

Referência aos comandos para verificar sua memória Este capítulo não se refere a nenhum comando que não seja abordado em mais profundidade em outro capítulo. Assim, este capítulo, ao contrário da maioria dos outros deste livro, não possui nenhuma tabela de referência a comandos.

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••• •• •• ••

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

247

•• •• •• •• ••

•• •• •• •

Este capítulo aborda os seguintes assuntos: Protocolo OSPF: esta seção conclui a discussão sobre protocolos link-state iniciada no Capítulo 8, ''Teoria dos protocolos de roteamento", descrevendo pontos específicos da operação do OSPE

Configuração do OSPF: esta seção examina como configurar o OSPF em uma única área e em várias áreas, a autenticação do OSPF e alguns outros recursos menores.

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •

•• •• ••

CA PíTULO

9

: OSPF

e _______________________________________________________

•• •• •• •• •• •• • •• •

Os protocolos de roteamento link-state foram originalmente desenvolvidos no início da década de 1990. Os criadores dos protocolos partiram do princípio de que as velocidades dos links, as CPUs dos roteadores e a memória dos roteadores continuariam se aprimorando com o passar do tempo; portanto, os protocolos foram elaborados para oferecer recursos muito mais poderosos tirando proveito desses aprimoramentos. Por enviarem mais informações e exigirem que os roteadores executem mais processamento, os protocolos link-state ganham algumas importantes vantagens em relação aos protocolos vetor distância - de modo especial, urna convergência muito mais rápida. O objetivo permanece o mesmo, ou seja, acrescentar as melhores rotas atuais à tabela de roteamento, mas esses protocolos utilizam métodos diferentes para encontrar e acrescentar essas rotas. Este capítulo explica o protocolo de roteamento link-state mais comumente usado - o OSPF (Open Shortest Path First, ou Abrir o Trajeto Mais Curto Primeiro). Um outro protocolo link-state, o IS-IS Integrado, é praticamente ignorado nos exames CCNA.

: Questionário "Eu já conheço isto?"

•

O questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Não errando mais que uma das dez questões de auto-avaliação, você pode passar direto para a seção "Atividades de Preparação para o Exame". A Tabela 9-1 relaciona os principais títulos deste capítulo e as questões do questionário "Eu já conheço isto?", abordando o material destas seções. Isso ajudará você a avaliar o seu conhecimento nestas áreas específicas. As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

Tabela 9-1 Mapeamento entre a seção dos tópicos fundamentais e as questões do "Eu já conheço isto?" Seção dos tópicos fundamentais

Questões

•

Operação e protocolos OSPF

1-5

•

Configuração do OSPF

6-10

•• •• •• •• •• •• •• •

1. Qual das seguintes alternativas afeta o cálculo das rotas OSPF quando todos os possíveis valores padrão são utilizados? a. Largura de banda b. Retardo (delay) c. Carga d. Confiabilidade e. MTU f. Contagem de paradas 2. O OSPF executa um algoritmo para calcular a melhor rota atual. Quais dos termos seguintes se referem a esse algoritmo? a. SPF b. DUAL c. Feasible successor d. Dijkstra e. o bom e velho bom senso

250

Capítulo 9: OSPF

•• •

3. Dois roteadores OSPF se conectam à mesma VLAN utilizando suas interfaces FaO/O. Qual das seguintes deflnições • das interfaces desses dois possíveis roteadores vizinhos impediria que os dois roteadores se tomassem vizinhos • OSPF? a. Os endereços IP 10.1.1.1124 e 10.1.1.254/25, respectivamente b. O acréscimo de um endereço IP secundário na interface de um roteador, mas não na de outro c. Ambas as interfaces do roteador designadas à área 3

•• ••

d. Um roteador é conflgurado para utilizar autenticação MD5 e o outro não é conflgurado para utilizar autenticação •

4. Qual dos seguintes estados entre vizinhos é esperado quando é concluída a troca de informações de topologia para que • os roteadores vizinhos tenham o mesmo LSDB? • a. Two-way b. Full

c. Exchange d. Loading 5. Qual das seguintes alternativas é verdadeira sobre um roteador designado OSPF existente?

•• •• •

a. Um roteador recém conectado à mesma sub-rede, com uma prioridade OSPF mais alta, substitui o DR existente • tomando-se o novo DR. •

b. Um roteador recém conectado à mesma sub-rede, com uma prioridade OSPF mais baixa, substitui o DR existente • tornando-se o novo DR. • c. O DR pode ser eleito com base no ID mais baixo de um roteador OSPE d. O DR pode ser eleito com base no ID mais alto de um roteador OSPE e. O DR tenta se tornar completamente adjacente a todos os outros vizinhos da sub-rede.

•• •

6. Qual dos seguintes comandos network, seguindo o comando router ospf 1, diz a esse roteador para começar a usar • o OSPF em interfaces cujos endereços IP são 10.1.1.1 , 10.1.100.1 e 1O.1.120.1? •

a. network 10.0.0.0 255.0.0.0 area O b. network 10.0.0.0 0.255.255.255 area O c. network 10.0.0.1255.0.0.255 area O d. network 10.0.0.1 0.255.255.0 area O

•• •• • •• •• •• •• •• •• ••

7. Qual dos seguintes comandos network, seguindo o comando router ospf 1, diz a esse roteador para começar a usar o OSPF em interfaces cujos endereços IP são 10.1.1.1 , 10.1.100.1 e 1O.1.120.1? •

a. network 0.0.0.0 255.255.255.255 are a O b. network 10.0.0.0 0.255.255.0 area O c. network 10.1.1.0 0.x.1x.0 area O d. network 10.1.1.0 255.0.0.0 area O e. network 10.0.0.0 255.0.0.0 area O 8. Qual dos seguintes comandos listam os vizinhos OSPF que saem da interface serialO/O?

a. show ip ospf neighbor b. show ip ospf interface c. show ip neighbor d. show ip interface e. show ip ospf neighbor interface serial O/ O

• • •

• •

•• •• •• •• •• •• ••

CCNA ICND2

251

9. Os roteadores OSPF RI, R2 e R3 estão anexados à mesma VLAN. R2 foi configurado com o sub comando de interface ip ospf authentication message-digest na interface LAN conectada à VLAN em comum. O comando show ip ospf neighbor lista RI e R3 como vizinhos, em estado Init e Full, respectivamente. Quais das seguintes afirmativas são verdadeiras? a. R3 deve ter um subcomando de interface ip ospf authentication message-digest configurado. b. R3 deve ter um subcomando de interface ip ospf authentication message-digest-key configurado. c. A falha de RI deve ser devida ao fato de ter configurado um tipo de autenticação OSPF incorreto. d. A falha de RI pode ou não estar relacionada à autenticação. 10. Um roteador OSPF fica sabendo sobre seis possíveis rotas para alcançar a sub-rede 10.1.1.0/24. Todas as seis rotas têm custo igual a 55, e todas as seis são rotas inter-áreas. De acordo com padrão, quantas rotas são colocadas na tabela de roteamento?

a.I

b.2 c.3

d.4 e. 5

f.6

: Tópicos fundamentais

•• •• •• •• •• •• •• •• •

Este capítulo examina os conceitos e a configuração do OSPF (Open Shortest Path First), partindo do ponto em que paramos com a abordagem do link-state no Capítulo 8. De modo especial, a primeira metade deste capítulo explica uma variedade de conceitos básicos relacionados ao funcionamento do OSPF. A segunda metade examina como configurar o OSPF em roteadores Cisco.

• Protocolo OSPF O protocolo OSPF possui uma grande variedade de recursos por vezes complexos. Para ajudar no processo de aprendizado, os recursos OSPF podem ser divididos em três categorias principais: vizinhos, troca de banco de dados e cálculo de rotas. Primeiramente, os roteadores OSPF formam uma relação de vizinhos que fornece a base para toda a comunicação contínua do OSPF. Depois que os roteadores se tomam vizinhos, eles trocam o conteúdo de seus respectivos LSDBs através de um processo chamado troca de banco de dados. Finalmente, assim que um roteador tem as informações de topologia em seu LSDB (banco de dados link-state), ele utiliza o algoritmo Dijkstra SPF (Shortest Path First) para calcular as melhores rotas atuais e acrescentá-las à tabela de roteamento IP.

É interessante notar que os comandos show lOS também aceitam essa mesma estrutura. O lOS possui uma tabela de vizinhos OSPF (show ip ospf neighbor), um LSDB do OSPF (show ip ospf database) e, obviamente, uma tabela de roteamento IP (show ip route). Os processos explicados na primeira metade deste capítulo podem ser vistos em ação em roteadores por meio da exibição dos conteúdos dessas três tabelas.

• Vizinhos OSPF

•• ••

Embora existam algumas variações, uma definição geral do que vem a ser um vizinho OSPF é, na perspectiva de um roteador, outro roteador que se conecta ao mesmo link de dados com o qual o primeiro roteador pode e deve trocar informações de roteamento utilizando OSPF. Embora essa definição esteja correta, é possível entender melhor o verdadeiro significado do conceito de vizinhos OSPF pensando no propósito das relações de vizinhos OSPF. Primeiro, vizinhos conferem e verificam as definições básicas do OSPF antes de trocar informações de roteamento, ou seja, definições que devem combinar umas com as outras para que o OSPF funcione corretamente. Segundo, o processo contínuo que envolve o roteador saber quando o seu vizinho está saudável, e quando a conexão com o vizinho foi perdida, diz ao

252

Capítulo 9: OSPF

roteador quando ele deve recalcular as entradas feitas na tabela de roteamento para reconvergir a um novo conjunto de rotas. Além disso, o processo OSPF Hello deflne como os vizinhos podem ser dinamicamente descobertos, o que signiflca que novos roteadores podem ser adicionados a uma rede sem a necessidade de reconflguração de todos os roteadores. O processo OSPF Hello através do qual novas relações de vizinhos são formadas funciona de forma bastante parecida a quando você muda para uma nova casa e é apresentado aos seus vários vizinhos. Ao se encontrarem do lado de fora, vocês podem ir um à casa do outro, cumprimentar-se e saber o nome um do outro. Depois de conversar um pouco, você cria uma primeira impressão, principalmente se você vai gostar de conversar com esse vizinho ocasionalmente ou se é melhor simplesmente acenar para ele e não gastar seu tempo conversando na próxima vez que o vir do lado de fora. Analogamente, com o OSPF, o processo começa com mensagens chamadas OSPF Hello. Os Hellos, por sua vez, apresentam o RID (Router ID, ou ID do roteador) de cada roteador, que serve como o nome ou identiflcador exclusivo de cada roteador para o OSPF. Por flm, o OSPF realiza várias veriflcações das informações contidas nas mensagens de Hello para se assegurar de que os dois roteadores devam se tornar vizinhos.

Identificando roteadores OSPF através do RIO (10 do roteador)

o OSPF precisa identiflcar exclusivamente cada roteador por vários motivos. Primeiro, os vizinhos precisam de uma forma de saber qual roteador enviou uma determinada mensagem OSPF. Além disso, o LSDB do OSPF lista um conjunto de LSAs (Link State Advertisements, ou anúncios link-state), alguns dos quais descrevem cada roteador da inter-rede; portanto, o LSDB precisa de um identiflcador exclusivo para cada roteador. Com este propósito, o OSPF utiliza um conceito chamado RID (ID do roteador) OSPF. Os RIDs do OSPF são números de 32 bits escritos na forma decimal, com pontos, de tal forma que utilizar o endereço IP é uma excelente maneira de encontrar o RID padrão. Outra alternativa é configurar o RID do OSPF diretamente, conforme abordado em uma das próximas seções "Conflgurando o ID OSPF do roteador".

Conhecendo e cumprimentando os vizinhos Assim que o roteador escolhe seu RID OSPF, e algumas interfaces flcam ativas, o roteador está pronto para conhecer seus vizinhos OSPF. Os roteadores OSPF podem se tornar vizinhos se estiverem conectados à mesma sub-rede (e em alguns outros casos especiais não abordados nos exames CCNA). Para descobrir outros roteadores que falam a mesma língua do OSPF, o roteador envia pacotes multicast de OSPF Hello a cada interface e espera receber pacotes OSPF Hello de outros roteadores conectados a essas interfaces. A Figura 9-1 ilustra o conceito básico.

Figura 9-1 Pacotes Hello link-state

Intervalo Helio

Intervalo Helio

Os roteadores A e B enviam mensagens Hello para a LAN. E continuam a enviar Hello com base em suas deflnições do Hello Timer. Logo em seguida, os dois roteadores podem começar a trocar informações de topologia um com o outro. Depois, executam o algoritmo Dijkstra para preencher a tabela de roteamento com as melhores rotas. As mensagens Hello possuem os seguintes recursos: - A mensagem Hello segue o cabeçalho do pacote IP, com o tipo 89 do protocolo do pacote IP. - Os pacotes Hello são enviados ao endereço IP multicast 224.0.0.5, que é um endereço IP multicast para todos os roteadores que falam a língua do OSPF. - Os roteadores OSPF flcam à escuta de pacotes enviados ao endereço IP multicast 224.0.0.5, em parte esperando receber pacotes Hello e flcar sabendo sobre novos vizinhos. Os roteadores aprendem várias informações importantes observando os pacotes Hello recebidos. A mensagem Hello inclui o RID do roteador de envio, o ID da área, o intervalo Hello, o intervalo morto (dead interval), a prioridade do

• •• •• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

253

• •

roteador, o RID do roteador designado, o RID do roteador designado para backup e uma lista de vizinhos que o roteador de envio já conhece na sub-rede. (Mais adiante serão vistos mais detalhes sobre esses itens.)

•

A lista de vizinhos tem especial importância no processo de Helio. Quando o Roteador A, por exemplo, recebe uma Helio do Roteador B, o Roteador A precisa de alguma forma dizer ao Roteador B que o Roteador A recebeu o Helio. Para isso, o Roteador A acrescenta o RID do Roteador B à lista de vizinhos OSPF dentro da próxima (e futura) Helio que o Roteador A transmite em multicast à rede. Da mesma forma, quando o Roteador B recebe o Helio do Roteador A, as próximas (e contínuas) HelIos do Roteador B incluem o RID do Roteador A na lista de vizinhos.

• • •

•• •• •• •• •• •• ••• •• •• •• •• •• •• •• •• • :

• •

Assim que o roteador vê seu próprio RID em um Hello recebido, ele acredita que uma comunicação two-way (nos dois sentidos) foi estabelecida com aquele vizinho. O estado two-way é importante para um vizinho, porque neste ponto, informações mais detalhadas, tais como LSAs, podem ser trocadas. Além disso, em alguns casos em LANs, os vizinhos podem atingir o estado two-way e parar por aí. Este assunto voltará a ser explorado na seção "Escolhendo um roteador designado".

Possíveis problemas ao se tornar um vizinho É interessante notar que receber um Hello de um roteador na mesma sub-rede nem sempre resulta em dois roteadores tomando-se vizinhos. É como conhecer um novo vizinho na vida real. Se vocês discordarem sobre várias coisas, e não se derem bem, é possível que não conversem com tanta freqüência. Da mesma forma, com o OSPF, os roteadores da mesma sub-rede devem concordar com vários parâmetros trocados no Hello; do contrário, os roteadores simplesmente não se tomam vizinhos. Especificamente, os seguintes pontos devem ser combinados para que dois roteadores se tomem vizinhos: /;~~;~o :"CIuove - A máscara de sub-rede utilizada na sub-rede ". - O número de sub-rede (conforme deduzido utilizando a máscara de sub-rede e o endereço IP da interface de cada roteador) - O intervalo Hello (Hello timer) - O intervalo morto (dead interval) - O ID OSPF da área - Devem ser aprovados nas verificações de autenticação (se utilizadas) - O valor da flag da stub area Se qualquer um desses parâmetros diferir, os roteadores não se tomam vizinhos. Em suma, se estiver resolvendo problemas relativos ao OSPF quando os roteadores deveriam ser vizinhos, e não o são, verifique essa lista!

Observação A flag da stub area está relacionada a conceitos fora do escopo dos exames CCNA, mas é apresentada aqui como requisito para que dois roteadores se tornem vizinhos para que a lista fique completa. Alguns itens da lista precisam de maiores explicações. Primeiro, um possível vizinho confirma que está na mesma subrede comparando o endereço IP do roteador vizinho e a máscara de sub-rede, conforme apresentada na mensagem Hello, com o seu próprio endereço e máscara. Se estiverem exatamente na mesma sub-rede, com o mesmo intervalo de endereços, essa verificação é aprovada. Em seguida, duas definições de timers, o Intervalo Hello e o Intervalo Morto, devem combinar. Os roteadores OSPF enviam mensagens de Hello a cada Intervalo Hello. Quando o roteador já não escuta uma Hello vinda de um vizinho durante o tempo definido pelo Intervalo Morto (dead interval), ele acredita que o vizinho não seja mais alcançável, e reage e reconverge à rede. Em interfaces Ethemet, por exemplo, os roteadores Cisco utilizam automaticamente um intervalo Hello de 10 segundos e o intervalo morto de 4 vezes o intervalo Hello, ou seja, 40 segundos. Se um roteador não escuta nenhuma mensagem de Hello vinda daquele vizinho durante 40 segundos, ele marca o atual roteador silencioso como "down" em sua tabela de vizinhos. Neste ponto, os roteadores podem reagir e convergir para utilizar as atuais melhores rotas.

254 Capítulo 9: OSPF

Estados entre vizinhos

o OSPF defme um grande conjunto de possíveis ações que dois vizinhos utilizam para se comunicar um com o outro. Para manter o controle do processo, os roteadores OSPF colocam cada vizinho em um de vários estados OSPF entre vizinhos. O estado OSPF entre vizinhos é a percepção que o roteador tem de quanto trabalho foi concluído nos processos normais executados por dois roteadores vizinhos. Se, por exemplo, os Roteadores RI e R2 se conectam a uma mesma LAN e se tomam vizinhos, RI lista o estado entre vizinhos relativo a R2, que é a percepção que RI tem do que aconteceu entre os dois roteadores até então. Da mesma forma, R2 apresenta um estado entre vizinhos relativo a RI, representando a visão que R2 tem do que aconteceu entre R2 de RI até então. (O comando mais comum para apresentar os vizinhos e os estados é show ip ospf neighbor.) Como os estados entre vizinhos refletem vários pontos dos processos OSPF normais utilizados entre dois roteadores, vale a pena discutir esses estados junto com esses processos e as mensagens OSPF. Além disso, ao entender os estados OSPF entre vizinhos e seus significados, o engenheiro pode determinar mais facilmente se um vizinho OSPF está funcionando normalmente ou se existe um problema.

• • • • . • •

•• • •• •• •• •• •• •• •• •• •• •• ••

A Figura 9-2 mostra vários estados de vizinhos utilizados no início do estabelecimento de uma relação entre vizinhos. A • figura mostra as mensagens de Helio e os estados de vizinhos resultantes. •

Figura 9-2 Estados iniciais entre vizinhos Estado entre vizinhos

Estado entre vizinhos

Oown

Oown

/~~~;~o

;. Ch.".

....

(O link entre R1 e R2 fica ativo up ...) RIO 1.1.1.1

Init

Init

RIO 2.2.2.2

Helio. Seen [null]. RIO 1.1.1.1

Helio. Seen [1 .1.1.1]. RIO 2.2.2.2

2-way

2-way

Helio. Seen [1.1.1.1 . 2.2.2.2]. RIO 1.1.1.1

Os dois primeiros estados, o estado Down e o estado lnit, são relativamente simples. Em casos em que o roteador já sabia sobre um vizinho, mas a interface falhou, o vizinho é listado como em estado Down. Assim que a interface fica ativa, os dois roteadores podem enviar Hellos, passando aquele vizinho para o estado Init. Init significa que a relação entre vizinhos está sendo inicializada. Um roteador passa do estado Init para o estado two-way quando dois importantes fatos são verdadeiros: quando uma Hello recebida apresenta o RID do roteador como tendo sido visto e quando aquele roteador verificou todos os parâmetros relativos ao vizinho e eles aparentemente não apresentam problema. Esses dois fatos significam que o roteador está querendo comunicar com esse vizinho. Para que o processo funcione, quando cada roteador recebe um Helio de um novo vizinho, o roteador verifica os detalhes de configuração do vizinho, conforme descrito anteriormente. Se aparentemente tudo estiver certo, o próximo Helio do vizinho apresenta o RID do vizinho na lista de roteadores "vistos". Depois que ambos os roteadores tiverem verificado os parâmetros e enviado um Hello apresentando o RID do outro roteador como "visto", ambos os roteadores deverão ter atingido o estado two-way. Na Figura 9-2, por exemplo, R2 recebe o· primeiro Hello, listando "Seen [nuli]" ("Visto [nulo]"). Essa notação significa que RI ainda não viu nenhum possível vizinho aprovado. Quando R2 envia seu Helio, ele lista o RID de RI, indicando que R2 viu o Helio de RI e verificou que todos os parâmetros estão aparentemente corretos. RI retoma um terceiro Helio, enviando um intervalo de Helio maior do que o primeiro intervalo enviado.

Quando já estiverem em estado two-way, os dois roteadores estão prontos para trocar informações de topologia, conforme • abordado na próxima seção.

Troca de bancos de dados da topologia OSPF Os roteadores OSPF trocam o conteúdo de seus LSDBs de forma que ambos os vizinhos tenham uma cópia exata do mesmo LSDB ao fmal do processo de troca de bancos de dados - um princípio fundamental do funcionamento dos protocolos de roteamento link-state. O processo possui vários passos, com muito mais detalhes do que aqui descritos. Esta seção começa explicando uma visão geral de todo o processo, seguida de um exame mais profundo de cada passo.

••

•• ••

CCNA ICND2

255

•

• Visão geral do processo de troca de bancos de dados OSPF

• • • • • •

É interessante observar que, depois que dois roteadores OSPF se tornam vizinhos e atingem o estado two-way, o próximo passo pode não ser a troca de informações de topologia. Primeiro, com base em vários fatores, os roteadores têm de decidir se devem trocar informações de topologia diretamente, ou se os dois vizinhos devem aprender as informações da topologia um do outro, na forma de LSAs, indiretamente. Assim que um par de vizinhos OSPF sabe que deve compartilhar informações de topologia diretamente, começa a troca de dados de topologia (LSAs). Quando estiver concluído, o processo passa para um estado de manutenção relativamente silencioso no qual os roteadores ocasionalmente redistribuem as LSAs e ficam atentos a alterações feitas na rede.

•

O processo geral funciona da seguinte forma, com a explicação de cada passo nas páginas a seguir:

~t~~o Passo 1 Com base no tipo de interface OSPF, os roteadores podem ou não eleger em conjunto um DR (Designated . Router, ou Roteador Designado) e um BDR (Backup Designated Router, ou Roteador Designado para Backup).

•• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

Passo 2 Para cada par de roteadores que precise se tornar completamente adjacente, troque o conteúdo de seus respectivos LSDBs mutuamente. Passo 3 Quando concluído, os vizinhos monitoram as alterações e periodicamente redistribuem LSAs enquanto estiverem no estado Full (completamente adjacente) entre vizinhos.

• Escolhendo um roteador designado

•

O OSPF diz se uma sub-rede deve ou não utilizar um roteador designado (DR) ou um roteador designado para backup (BDR) com base no tipo de interface OSPF (às vezes também chamada de tipo de rede OSPF). Existem vários tipos de interface OSPF, mas para os exames CCNA você deve conhecer dois tipos principais: ponto-a-ponto e broadcast. (Esses tipos podem ser configurados com o comando ip ospf network type .) Esses tipos de interface OSPF fazem uma referência geral ao tipo de protocolo de link de dados utilizado. Como os próprios nomes devem sugerir, o tipo ponto-aponto tem o objetivo de ser utilizado em links ponto-a-ponto, e o tipo broadcast é voltado para uso em links de dados que aceitam frames broadcast, tais como LANs. A Figura 9-3 mostra um exemplo clássico de dois conjuntos de vizinhos - um utilizando o tipo de interface OSPF padrão ponto-a-ponto em um link serial e o outro utilizando o tipo de interface OSPF padrão broadcast em uma LAN. O resultado final da eleição do DR é que as informações de topologia são trocadas apenas entre vizinhos mostrados pelas retas com setas na figura. Concentre-se na parte inferior direita da figura. Figura 9-3 Nenhum DR no link ponto-a-ponto, com um DR na IAN Nenhum roteador designado necessãrio

Roteador designado necessãrio: os roteadores negociam e o Roteador A ganha DR

Pacotes de descrição do banco de dados, com LSAs Após a escolha, os pacotes de descrição do banco de dados vão para o DR e, em seguida, o DR encaminha para os outros roteadores DR

~~ Quando não é necessário um DR, os roteadores vizinhos podem seguir em frente e começar o processo de troca de topologia, conforme mostrado no lado esquerdo da figura. Na terminologia do OSPF, os dois roteadores da esquerda devem continuar trabalhando para trocar informações de topologia e se tornar completamente adjacentes. No lado direito da figura, a parte superior mostra uma topologia de LAN onde foi feita a eleição de um DR, onde o Roteador A ganhou a eleição. Com um DR, o processo de troca de topologias acontece entre o DR e cada roteador alternado, mas não entre

256 Capítulo 9: OSPF

• •

todos os pares de roteadores. Em conseqüência disso, todas as atualizações de roteamento vão e voltam do Roteador A, • com o Roteador A distribuindo essencialmente as informações de topologia aos outros roteadores. Todos os roteadores • aprendem todas as informações de topologia vindas de todos os outros roteadores, mas o processo só causa uma troca direta de informações de roteamento entre o DR e cada um dos roteadores não-DR. • O conceito de DR impede a sobrecarga de uma sub-rede que tenha muito tráfego OSPF quando muitos roteadores estão em uma sub-rede. Obviamente, muitos roteadores podem estar anexados a uma LAN, o que explica a necessidade de um DR para roteadores neste caso. Se dez roteadores, por exemplo, estivessem anexados à mesma sub-rede, e tivessem permissão de encaminhar as atualizações OSPF a cada um dos outros nove roteadores, as atualizações de topologia fluiriam entre 45 pares diferentes de vizinhos - onde quase todas as informações seriam redundantes. Com o conceito de DR, conforme mostrado no lado direito da Figura 9-3, aquela mesma LAN só precisaria de atualizações de roteamento entre o DR e os outros nove roteadores, reduzindo significativamente a distribuição de informações do OSPF por toda a LAN. Como o DR é tão importante para a troca de informações de roteamento, a perda do DR eleito poderia causar retardos na convergência. O OSPF inclui o conceito de BDR (DR para Baclcup) em cada sub-rede para que, quando um DR falhar ou perder a conectividade com a sub-rede, o BDR possa assumir o controle como DR. (Todos os roteadores, exceto o DR e o BDR, são normalmente chamados "DROther" no resultado do comando show lOS .)

Observação Todos os roteadores não-DR e não-BDR tentam se tornar completamente adjacentes com o DR e o BDR, mas a Figura 9-3 mostra apenas as relações com o DR para evitar sobrecarga do desenho. Quando há a necessidade de um DR, os roteadores vizinhos realizam uma eleição. Para eleger um DR, os roteadores vizinhos olham em dois campos dentro dos pacotes Hello recebidos e escolhem o DR com base nos seguintes critérios: .......... - O roteador que envia o Hello com a definição de prioridade do OSPF mais alta se toma o DR. ( TÓpiCO

\~h.ve

_Se dois ou mais roteadores empatam com relação à definição de prioridade mais alta, o roteador que envia o Hello com o RlD mais alto ganha. - Nem sempre é o caso, mas normalmente o roteador que possui a segunda prioridade mais alta se torna o BDR. - Uma definição de prioridade em O significa que o roteador não participa da eleição e nunca pode se tomar o DR ou o BDR. - O intervalo de valores da prioridade que permitem que um roteador seja candidato vai de 1 a 255. - Se um novo e melhor candidato surgir depois que o DR ou o BDR tiverem sido eleitos, o novo candidato não substitui o DR ou o BDR existente.

Troca de bancos de dados O processo de troca de bancos de dados pode estar bastante ligado a várias mensagens OSPF. Os detalhes do processo podem ser ignorados para os fins deste livro, mais uma breve visão geral pode ajudar a dar alguma perspectiva ao processo total. Quando dois roteadores decidem trocar bancos de dados, eles não enviam simplesmente o conteúdo do banco de dados inteiro. Primeiro, eles contam um para o outro sobre uma lista de LSAs em seus respectivos bancos de dados, mas não todos os detalhes dos LSAs, somente uma lista. Em seguida, cada roteador compara a lista do outro roteador com seu próprio LSDB. Para qualquer LSA do qual o roteador não tenha uma cópia, ele pede ao vizinho uma cópia do LSA, e o vizinho envia o LSA inteiro. Quando dois vizinhos concluem esse processo, considera-se que eles tenham concluído totalmente o processo de troca de bancos de dados. Portanto, o OSPF utiliza o estado Full entre vizinhos indicando que o processo de troca de bancos de dados foi concluído.

Manutenção do LSOB estando completamente adjacente Vizinhos em estado Full continuam executando trabalhos de manutenção. Eles continuam enviando Hellos a cada intervalo Hello. A ausência de Hellos por um tempo igual ao Intervalo Morto significa que a conexão com o vizinho falhou. Além

• • . • •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•• • • •

• • • I

•

• • I

•

• I

•

• • •

CCNA ICND2

257

disso, se ocorrer qualquer alteração na topologia, os vizinhos enviam novas cópias dos LSAs alterados a cada vizinho de forma que o vizinho possa alterar seus LSDBs. Se uma sub-rede falha, por exemplo, o roteador atualiza o LSA referente àquela sub-rede refletindo seu estado Down. Esse roteador, então, envia o LSA a seus vizinhos, e eles, por sua vez, o enviam a seus vizinhos, até que todos os roteadores tenham novamente uma cópia idêntica do LSDB. Cada roteador pode também utilizar o SPF para recalcular qualquer rota afetada pela sub-rede que falhou. O roteador que cria cada LSA também tem a responsabilidade de redistribuir o LSA a cada 30 minutos (padrão), mesmo que não ocorra nenhuma alteração. Esse processo é bastante diferente do conceito de vetor distância de atualizações periódicas. Os protocolos vetor distância enviam atualizações completas em um intervalo de tempo curto, apresentando todas as rotas (exceto aquelas omitidas devido a ferramentas para evitar loops tais como o split horizon). O OSPF não envia todas as rotas a cada 30 minutos. Pelo contrário, cada LSA possui um timer separado, com base em quando o LSA foi criado. Portanto, em momento algum o OSPF envia várias mensagens para redistribuir todos os LSAs. Em vez disso, cada LSA é redistribuído pelo roteador que criou o LSA, a cada 30 minutos. Como lembrete, alguns roteadores não tentam se tomar completamente adjacentes. De modo especial, em interfaces em que um DR seja eleito, os roteadores que não são nem DR nem BDR se tomam vizinhos, mas não se tornam completamente adjacentes. Esses roteadores que não são completamente adjacentes não trocam LSAs diretamente. Além disso, o comando show ip ospf neighbor nesses roteadores apresenta esses vizinhos em estado two-way como sendo o estado estável normal entre vizinhos, e em estado Full como sendo o estado estável normal para o DR e o BDR.

: Resumo dos estados entre vizinhos • •

Para facilitar a referência e o estudo, a Tabela 9-2 apresenta e descreve sucintamente os estados entre vizinhos mencionados neste capítulo.

•

Tabela 9-2 Estados OSPF entre vizinhos e seus significados

•

Estado entre vizinhos

Significado

• •

Down

Um vizinho conhecido não é mais alcançável, muitas vezes por causa de uma falha em uma interface subjacente

• •

Init

Estado intermediário em que um Helio proveniente do vizinho foi escutado, mas esse Helio não apresenta o RID do roteador como já

•

____________________________________te_n_d_o_s_id_o__ vl_·s_to__________________________________________

• •

Two-way

•

---------------------------------------------------------------

•

Full

•

/;~~;~o '. Chave

....

O vizinho enviou um Helio que apresenta o RID do roteador local na lista de roteadores vistos, indicando também que todas as verificações do vizinho foram aprovadas Ambos os roteadores conhecem exatamente os mesmos detalhes do LSDB e são completamente adjacentes

--------------------------------------------------------------: Construindo a tabela de roteamento IP • • • • • • • • • •

Os roteadores OSPF enviam mensagens para aprender sobre vizinhos, apresentando esses vizinhos na tabela de vizinhos OSPF. Os roteadores OSPF enviam mensagens para trocar dados sobre a topologia com esses mesmos vizinhos, armazenando as informações na tabela de topologia OSPF, mais comumente chamada de banco de dados LSDB ou OSPF. Para preencher a terceira tabela utilizada pelo OSPF, a tabela de roteamento IP, o OSPF não envia nenhuma mensagem. Cada roteador executa o algoritmo Dijkstra SPF com relação ao banco de dados da topologia OSPF, escolhendo as melhores rotas com base neste processo. O banco de dados da topologia OSPF consiste em listas de números de sub-rede (chamados de links, daí o nome banco de dados link-state). Ele contém também listas de roteadores, junto com os links (sub-redes) aos quais cada roteador está conectado. Munido do conhecimento de links e roteadores, o roteador pode executar o algoritmo SPF para computar as melhores rotas até todas as sub-redes. O conceito é bastante semelhante a juntar as peças de um quebra-cabeças. A cor e o formato de cada peça o ajudam a identificar quais peças se encaixam uma ao lado da outra. Analogamente, as informações detalhadas em cada LSA - tais como o LSA de um link apresentando os roteadores anexados à sub-rede

••

258 Capítulo 9: OSPF

•

e o LSA de um roteador apresentando seus endereços IP e suas máscaras - dá ao algoritmo SPF informações suficientes • para saber quais roteadores se conectam a cada sub-rede e criar o equivalente matemático de um diagrama de rede. • Cada roteador independentemente utiliza o algoritmo Dijkstra SPF, conforme aplicado ao LSDB do OSPF, para encontrar a melhor rota que vai daquele roteador a cada sub-rede. No LSDB, o algoritmo encontra o menor trajeto que vai daquele roteador a cada sub-rede. Em seguida, o roteador coloca a melhor rota até cada sub-rede na tabela de roteamento IP. Parece simples e realmente é quando se tem um desenho de uma inter-rede que apresente todas as informações . Felizmente, embora a matemática por trás do algoritmo SPF possa ser um pouco assustadora, não é necessário saber a matemática do SPF para os exames ou para serviços reais de comunicação em rede. Entretanto, é necessário saber como prever as rotas que o OSPF vai escolher utilizando diagramas de rede e as documentações.

•

O OSPF escolhe a rota de menor custo entre o roteador e uma sub-rede somando os custos OSPF das interfaces de saída. Cada interface tem um custo OSPF associado a ela. O roteador olha cada possível rota, soma os custos das interfaces das quais os pacotes sairiam e seriam encaminhados naquela rota e, em seguida, escolhe a rota de menor custo. A Figura 9-4, por exemplo, mostra uma inter-rede simples com os valores de custo OSPF ao lado de cada interface. Nessa figura, o roteador R4 possui dois trajetos possíveis com os quais alcançar a sub-rede 10.1.5.0/24. As duas rotas são as seguintes, apresentando cada roteador e sua interface de saída:

• • •

R4 FaO/O-Rl SO/1-R5 FaO/O R4 FaO/O-R2 SO/1-R5 FaO/O

Figura 9-4 Modelo de rede OSPF com os custos apresentados Rota R4 - R1 - R5 : custo 1 + 100 + 10 = 111 Rota R4 - R2 - R5 : custo 1 + 64 + 10 = 75 Cl 10.5.1 .0/24 Cl0

10.1.1.0/24

FaOto

Cl

C 1 FaO/O

• • • •

. •

•• •• •• •• •• ••

Se você somar o custo associado a cada interface, a primeira das duas rotas totaliza um custo igual a 111, e a segunda . totaliza 75. Portanto, R4 acrescenta a rota que passa por RI como sendo a melhor rota e apresenta o endereço IP de RI • como o endereço IP do próximo salto (next hop).

• ••

Agora que você já viu como os roteadores OSPF executam as funções mais fundamentais do OSPF, a seção a seguir • examina o OSPF mais de perto, principalmente alguns pontos importantes relativos ao projeto.

Ajustando o OSPF através de um projeto hierárquico Em algumas redes, o OSPF pode ser utilizado sem se preocupar com questões relativas ao projeto. Basta ligar o OSPF em todos os roteadores e ele funciona! Entretanto, em redes maiores, os engenheiros precisam pensar e planejar como utilizar vários recursos do OSPF que o permitam funcionar bem em redes maiores. Para ter uma idéia das questões existentes por trás da escalabilidade do OSPF, e da necessidade de se ter um bom projeto que permita a escalabilidade, observe a Figura 9-5.

Figura 9-5 OSPF em uma única área

10.1 .6.0

10.1.7.0

10.1.8.0

-. • • • •

• •

• • •

10.1.9.0 •

• • • •

• • •

CCNA ICND2

259

Na rede mostrada na Figura 9-5, o banco de dados da topologia em todos os nove roteadores é a mesma topologia completa que combina com a figura. Com uma rede deste tamanho, basta ativar o OSPF e ele funciona perfeitamente. Mas imagine uma rede com 900 roteadores em lugar de apenas nove, e vários milhares de sub-redes. Em uma rede deste tamanho, a mera quantidade de processamento necessário para executar o complexo algoritmo do SPF poderia fazer com que o tempo de convergência ficasse lento e que os roteadores ficassem com falta de memória. Os problemas podem ser resumidos da seguinte forma:

á~;~o

••

- Um banco de dados de topologia maior requer mais memória em cada roteador.

T/ulve - O processamento do banco de dados de topologia maior com o algoritmo SPF requer que o poder de processamento

•• • •

. •

cresça exponencialmente com o tamanho do banco de dados da topologia. - Uma simples mudança no status da interface (up para down ou down para up) força todos os roteadores a executarem o SPF novamente!

Embora não haja uma definição exata do que é considerado "grande" neste contexto, em redes com pelo menos 50 roteadores e pelo menos algumas centenas de sub-redes, os engenheiros devem utilizar os recursos de escalabilidade do OSPF para reduzir os problemas que acabamos de descrever. Esses números são generalizações grosseiras. Eles dependem em grande parte do projeto da rede, da potência da CPU do roteador, da quantidade de RAM, etc . ,

• Areas OSPF

•• •• •• ••

Utilizar as áreas OSPF resolvem muitos, mas não todos, dos problemas mais comuns encontrados ao executar o OSPF em rede maiores. As áreas OSPF dividem a rede de forma que os roteadores de uma área saibam menos informações sobre a topologia das sub-redes da outra área, e que eles não saibam sobre os roteadores da outra área. Com bancos de dados de topologia menores, os roteadores consomem menos memória e levam menos tempo de processamento para executar o SPF. A Figura 9-6 mostra a mesma rede da Figura 9-5, mas com duas áreas OSPF, chamadas de Área 1 e Área O.

•• • •

A mesma topologia é mostrada na parte superior da figura, mas a parte inferior da figura mostra o banco de dados da topologia nos Roteadores 1, 2 e 4. Ao colocar parte da rede em outra área, os roteadores dentro da Área 1 ficam desprovidos de alguns detalhes. O Roteador 3 é conhecido como ABR (Area Border Router, ou Roteador de Limite de Área) do OSPF, por estar no limite entre duas áreas diferentes. O Roteador 3 não anuncia para os Roteadores 1,2 e 4 as informações de topologia completas sobre a ~arte da rede que está na Área O. Pelo contrário, o Roteador 3 anuncia informações resumidas sobre as sub-redes da Area O, efetivamente fazendo com que os Roteadores 1,2 e 4 pensem que a topologia se parece com a parte inferior da Figura 9-6. Por isso, os Roteadores 1, 2 e 4 vêem o mundo como se ele tivesse menos roteadores. Em conseqüência disso, o algoritmo SPF leva menos tempo e o banco de dados da topologia usa menos memória. Área O

•

Figura 9-6 OSPF com duas áreas

•• •• •• •• •• •• ••

Área 1

(Área "espinha dorsal")

10.1.6.0

10.1.7.0

10.1.8.0

10.1.9.0

10.1.6.0 ~~y 10.1.7.0

10.1.8.0 10.1.9.0

260 Capítulo 9: OSPF

o projeto do OSPF introduz alguns termos importantes que devem ser conhecidos para os exames. Esses termos são definidos na Tabela 9-3.

Tabela 9-3 Terminologia para o projeto do OSPF Termo

Descrição

ABR (Area Border Router, ou Roteador Limite de Área)

Roteador OSPF com interfaces conectadas à área "backbone" e a de pelo menos outra área

ASBR (Autonomous System Border Router, ou Roteador de Limite de Sistema Autônomo)

Roteador OSPF que se conecta a roteadores que não utilizam o OSPF com o propósito de trocar rotas externas para dentro e para fora do domínio OSPF

Roteador "backbone"

Roteador de uma área, neste caso a área "backbone"

Roteador interno

Roteador de uma única área que não é a área "backbone"

Área

Conjunto de roteadores e links que compartilham as mesmas informações detalhadas do LSDB, mas não com roteadores de outras áreas, por questões de melhor eficiência

Área "backbone"

Area O. Área OSPF especial à qual todas as outras áreas devem se conectar.

Rota externa para dentro do domínio OSPF

Rota aprendida de fora do domínio OSPF e, em seguida, anunciada

Rota intra-áreas

Rota até uma sub-rede dentro da mesma área que o roteador

Rota inter-áreas

Rota até uma sub-rede de uma área da qual o roteador não faz parte

Sistema autônomo

No OSPF, referência a um conjunto de roteadores que utilizam OSPF

É muito importante observar a diferença entre as informações resumidas (ou sumarizadas) mostradas na Figura 9-6 em comparação com as rotas sumarizadas abordadas no Capítulo 5, "VLSM e Sumarização de rotas". Neste caso, o termo "resumido" (ou "sumarizado") significa apenas que um roteador dentro de uma área recebe informações mais sucintas no LSA de uma sub-rede, diminuindo portanto a quantidade de memória necessária para armazenar as informações. Na Figura 9-6, por exemplo, o roteador RI (na Área 1) aprende somente um LSA bem sucinto sobre as sub-redes da Área O. Este processo reduz o tamanho e a complexidade do algoritmo SPF. Além disso, o termo "resumo" (ou "sumário") pode se referir a uma rota sumarizada configurada no OSPF, com os conceitos gerais abordados no Capítulo 5. A sumarização manual de rotas no OSPF reduz o número de sub-redes, que, por sua vez, também reduzem o tamanho e o esforço de cálculo do SPF.

Observação Embora as perspectivas dos roteadores da Área 1 sejam mostradas na Figura 9-6, o mesmo acontece inversamente - os roteadores da Área O não conhecem os detalhes da topologia da Área 1. Observe que a linha divisória entre as áreas não é um link, mas um roteador. Na Figura 9-6, o Roteador 3 está tanto na Área 1 quanto na Área O. O OSPF utiliza o termo ABR (Area Border Router, ou Roteador de Limite de Área) para descrever um roteador que esteja em ambas as áreas. Um ABR tem o banco de dados da topologia de ambas as áreas e executa o SPF quando os links mudam de status em qualquer uma das áreas. Portanto, embora utilizar áreas ajude a melhorar o funcionamento do OSPF reduzindo o tamanho do LSDB e o tempo para computar uma tabela de roteamento, a quantidade de RAM e de CPU consumida em ABRs pode na verdade aumentar. Em conseqüência disso, os roteadores que agem como ABRs devem ser roteadores mais rápidos e ter relativamente mais memória.

• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •

CCNA ICND2

261

• Vantagens do projeto de áreas do OSPF

•

•• •• •• ••

Utilizar áreas melhora as operações do OSPF de várias maneiras, principalmente em inter-redes maiores: - Um menor LSDB por área requer menos memória. - O roteador requer menos ciclos de CPU para processar o menor LSDB por área com o algoritmo SPF, reduzindo a sobrecarga da CPU e melhorando o tempo de convergência. - O algoritmo SPF tem de ser executado em roteadores internos somente quando um LSA dentro da área sofre mudança, e, portanto, os roteadores têm de executar o SPF com menos frequência. - Menos informações devem ser anunciadas entre áreas, reduzindo a largura de banda necessária para enviar LSAs. - A sumarização manual só pode ser configurada em ABRs e ASBRs, e, portanto, as áreas permitem tabelas de roteamento IP menores permitindo a configuração da sumarização manual de rotas.

: Configuração do OSPF

•• •• •• •• •• •• •• •• • •• •• •• ••

A configuração do OSPF inclui apenas alguns poucos passos obrigatórios, mas possui vários passos opcionais. Tendo sido escolhido o projeto do OSPF - tarefa que pode ser complexa em inter-redes IP maiores - a configuração pode ser tão simples quanto ativar o OSPF em cada interface do roteador e colocar aquela interface na área OSPF correta. Esta seção mostra vários exemplos de configuração, começando com uma inter-rede composta por um OSPF de uma única área e, em seguida, uma inter-rede OSPF de várias áreas. Seguindo esses exemplos, o texto passa a abordar várias definições adicionais de configurações opcionais. Para referência, a lista a seguir mostra os passos de configuração abordados neste capítulo bem como uma breve referência aos comandos necessários:

• •• •• •

Passo 1 Entre no modo de configuração OSPF para um processo OSPF específico utilizando o comando global router ospf process-id. .......... Passo 2 (Opcional) Configure o ID OSPF do roteador da seguinte forma:

( TópIco :. Chave

....

a. Configurando o subcomando de roteador router-id id-value. b. Configurando um endereço IP em uma interface loopback.

Passo 3 Configure um ou mais subcomandos de roteador network ip-address wildcard-mask area area-id, acrescentando qualquer interface combinada à área listada. Passo 4 (Opcional) Altere os intervalos Helio e Morto (dead) da interface utilizando os subcomandos de interface ip ospf heUo-interval time e ip ospf dead-interval time Passo 5 (Opcional) Faça as escolhas de roteamento ajustando os custos de interface da seguinte forma: a. Configure os custos diretamente utilizando o subcomando de interface ip ospf cost value. b. Altere as larguras de banda das interfaces utilizando o sub comando de interface bandwidth value . c. Altere o numerador da fórmula para calcular o custo baseado na largura de banda da interface, utilizando o subcomando de roteador auto-cost reference-bandwidth value.

Passo 6 (Opcional) Configure a autenticação do OSPF: a. Considerando cada interface individualmente utilizando o subcomando de interface ip ospf authentication. b. Para todas as interfaces de uma área utilizando o sub comando de roteador area authentication. Passo 7 (Opcional) Configure o suporte para várias rotas de mesmo custo utilizando o subcomando de roteador maximum-paths number.

Configuração do OSPF de uma única área A configuração do OSPF difere ligeiramente da configuração do RIP quando é utilizada uma única área OSPE A melhor forma de descrever a configuração e as diferenças em comparação com a configuração dos outros protocolos de roteamento é utilizar um exemplo. A Figura 9-7 mostra um modelo de rede e o Exemplo 9-1 mostra a configuração em Albuquerque.

•

262 Capítulo 9: OSPF Figura 9-7 Modelo de rede para a configuração do OSPF de uma única área Sub-rede 10.1.1.0

Sub-rede 10.1.5.0

Yosemite

'e;;r.:::....;..-----z.-----..êQ!:1f~~~seville

Exemplo 9-1 Configuração do OSPF de uma única área em Albuquerque interface ethernet % ip address 10.1.1.1 255.255.255.0 interface serial O/O ip address 10.1.4.1 255.255.255.0 interface serial 0/14 ip address 10.1.6.1 255.255.255.0

router ospf 1 network 10.0.0.0 0.255.255.255 area O

A configuração ativa o OSPF corretamente em todas as três interfaces de Albuquerque. Primeiro, o comando global router ospf 1 coloca o usuário no modo de configuração OSPF. O comando router ospf possui um parâmetro chamado process-id OSPF. Em alguns casos, é possível que você queira executar vários processos OSPF em um único roteador e, portanto, o comando router utiliza o process-id para distinguir um processo do outro. O process-id não tem de combinar com cada roteador e pode ser qualquer número inteiro entre 1 e 65.535. O comando network diz ao roteador para ativar o OSPF em cada interface combinada, descobrir vizinhos naquela interface, designar a interface àquela área e anunciar a sub-rede conectada a cada interface. Neste caso, o comando network 10.0.0.0 0.255.255.255 area O combina com todas as três interfaces de Albuquerque porque o comando OSPF network combina com as interfaces utilizando um endereço e uma máscara do tipo curinga como aquelas utilizadas nas ACLs IP. A máscara curinga mostrada no Exemplo 9-1 é 0.255.255.255, com o endereço 10.0.0.0. Com base nos detalhes incluídos no Capítulo 6, "Listas de controle de acesso IP", essa combinação é feita com todas as três interfaces de Albuquerque, colocando-as na Área O, e faz com que Albuquerque tente descobrir vizinhos nessas interfaces. Além disso, faz também com que Albuquerque anuncie as três sub-redes conectadas. A máscara curinga no comando OSPF network funciona como a máscara curinga de uma ACL, mas existe uma restrição com relação aos valores usados. A máscara curinga OSPF deve ter somente uma string de números 1 binários consecutivos e uma string de zeros binários consecutivos. Uma máscara 0.0.255.255, por exemplo, representa 16 zeros binários e 16 números 1 binários e seria permitida. Da mesma forma, uma máscara 255.255.255.0 seria permitida, pois ela tem uma string de 24 números 1 binários seguida de oito zeros binários. No entanto, um valor de 0.255.255.0 não seria permitido, pois ele tem dois conjuntos de oito zeros binários, separados por uma string de 16 números 1 binários. O Exemplo 9-2 mostra uma configuração alternativa para Albuquerque que também ativa o OSPF em cada interface. Neste caso, o endereço IP para cada interface é combinado com um comando network diferente. A máscara curinga 0.0.0.0 significa que todos os 32 bits devem ser comparados e devem combinar; por isso, os comandos network incluem o endereço IP específico de cada interface, respectivamente. Muitas pessoas preferem esse estilo de configuração em redes de produção, pois ele elimina qualquer ambigüidade sobre as interfaces nas quais o OSPF está sendo executado.

•• •• •• ••

•• • •• •• •• ••

•• •• •

•• •• •• •• •• •• •• •• •

••

• • •• •• •• •• • •

CCNA ICND2

263

Exemplo 9-2 Configuração do OSP F de única área em Albuquerque utilizando três comandos network ~----------------------------------------------------------.

interface ethernet O/ O

ip address 10 . 1.1.1 255. 2 55 . 255.0 interface serial O/O ip address 10.1.4.1 255.255.255.0 interface serial 0 / 1 ip address 10.1.6.1 255.255.255.0

router ospf 1 network 10.1.1.1 0.0.0.0 area O network 10.1.4.1 0.0.0.0 area O network 10.1.6.1 0.0.0.0 area O

: Configuração do OSPF com várias áreas

•• • •• •• •• •• •• •• •• •• •• •• •• •• • •

•

A configuração do OSPF com várias áreas é simples quando se entende a configuração do OSPF de uma única área. A parte difícil é projetar a rede OSPF fazendo boas escolhas sobre quais sub-redes devem ser colocadas em quais áreas! Após concluído o projeto das áreas, a configuração é fácil. Considere a Figura 9-8, por exemplo, que mostra algumas subredes da Área O e algumas da Área 1. Área O

Figura 9-8 Rede OSPF com várias áreas "~-,""

..

""',~,Ub.rede 10.1.1.0 Área 1....... " '..-.--.. o"

.'

. .

~ ,

--

o o o o o o

o o

o

o

o

o

o o o o o

~~~~~______~S~Ub~.r~ed~e~10~.~1.:5.:0____-1~ Yosemite': o o

~.rede 10.1.2.0 .. ' ----- ............... __ ...... - .. :/

o

o

o o

'

Em uma rede pequena, não há necessidade de várias áreas, mas, neste exemplo, são utilizadas duas áreas para mostrar a configuração. Observe que Albuquerque e Seville são ABRs, mas Yosemite está totalmente dentro da Área 1, e, por isso, não é um ABR. Os Exemplos 9-3 e 9-4 mostram a configuração em Albuquerque e Yosemite, junto com vários comandos show.

Exemplo 9-3 Configuração do OSPF com várias áreas e comandos show em Albuquerque ! On1y the OSPF configuration is shown to conserve space

router oapf 1 network 10.1.1.1 0.0.0.0 area O network 10.1.'.1 0.0.0.0 area 1 network 10.1.6.1 0.0.0.0 are a O A1buquerque# ahow ip route Codes:C - connected, S - static , I - IGRP, R - RIP , M - mobile , B - BGP

264

Capítulo 9: OSPF D - EIGRP, EX - EIGRP external,

o - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last resort is not set 10.0.0.0/24 is subnetted, 6 subnets O

10.1.3.0 [110/65] via 10.1.6.3, 00:01:04, SerialO/1

O

10.1.2.0 [110/65] via 10.1.4.2, 00:00:39, SerialO/O

C

10.1.1.0 is directly connected, EthernetO/O

C

10.1.6.0 is directly connected, SerialO/1

O

10.1.5 . 0 [110 /128] via 10.1.4.2, 00:00:39, SerialO/O

C

10.1.4.0 is directly connected, SerialO/O

Albuquerque# show ip route ospf 10.0.0.0/24 is subnetted,

6 subnets

O

10.1.3.0 [110/65] via 10.1.6.3, 00:01:08, SerialO/1

O

10.1.2.0 [110/65] via 10.1.4.2, 00:00:43, SerialO/O

O

10.1.5.0 [110 / 128] via 10.1.4.2, 00:00:43,

SerialO /O

Exemplo 9-4 Configuração do OSPF com várias áreas e comandos show em Yosemite ! Only the OSPF configuration is shown to conserve space

router ospf 1 network 10.0.0.0 0.255.255.255 area 1 Yosemite# show ip route Codes:C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last resort is not set 10.0.0.0/24 is subnetted,

6 subnets

IA

10.1.3.0 [110/65] via 10.1.5 . 1, 00:00:54, SerialO/1

IA

10.1.1.0 [110/65] via 10.1.4.1, 00 : 00:49, SerialO/O

C

10 . 1.2.0 is directly connected, EthernetO/O

C

10 . 1.5.0 is directly connected, SerialO/1

IA

10.1.6.0 [110 /128 ] via 10.1.4.1, 00:00:38, SerialO/O

C

10.1.4.0 is directly connected, SerialO/O

A configuração precisa definir o número de área correto nas interfaces adequadas. O comando network 10.1.4.1 0.0.0.0 area 1, por exemplo, no início do Exemplo 9-3, combina com o endereço IP da interface Serial O/O de Albuquerque, colocando essa interface na Área 1. Os comandos network 10.1.6.1 0.0.0.0 area O e network 10.1.1.1 0.0.0.0 area Ocolocam a Serial 0/1 e a Ethemet O/O, respectivamente, na Área O. Ao contrário do Exemplo 9-1, Albuquerque não pode ser configurada para combinar com todas as três interfaces com um único comando network, pois uma interface (Serial O/O) está em uma área diferente das outras duas interfaces. Continuando com o Exemplo 9-3, o comando show ip route ospf apresenta apenas rotas aprendidas através do OSPF, ao contrário da tabela de roteamento IP inteira. O comando show ip route apresenta todas as três rotas conectadas, bem

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• ••

CCNA ICND2

265

como as três rotas aprendidas através do OSPE Observe que a rota de Albuquerque até 10.1.2.0 tem a designação O ao seu lado, significando intra-área, pois aquela sub-rede reside na Área 1 e Albuquerque faz parte da Área 1 e da Área O. No Exemplo 9-4, observe que a configuração do OSPF em Yosemite requer apenas um único comando network porque todas as interfaces de Yosemite estão na Área 1. Observe também que as rotas aprendidas por Yosemite a partir dos outros dois roteadores aparecem como rotas inter-áreas (IA) , pois essas sub-redes estão na Área O e Yosemite está na Área 1.

• Configurando o RIO (10 do roteador) do OSPF

• • •

Roteadores que falam a língua do OSPF devem possuir um RID para o funcionamento correto. Para encontrar seu RID, um roteador Cisco utiliza o seguinte processo quando ele recarrega e começa o processo OSPE Observe que, quando um desses passos identifica o RID, o processo pára . ......... pico 1. Se o subcomando OSPF router-id rid estiver configurado, esse valor é utilizado como RID. ve

.•

•• •• •• •• •• •• •• •• •• •• • •• •• •• •

2. Se qualquer interface loopback tiver um endereço IP configurado e tiver uma linha e um status de protocolo up/up (ativo/ativo), o roteador escolhe o endereço IP mais alto entre as interfaces loopback em up/up. 3. O roteador escolhe o endereço IP mais alto a partir de todas as interfaces operantes (up/up). O primeiro e o terceiro critérios devem fazer algum sentido imediatamente: o RID está configurado ou é retirado do endereço IP de uma interface operante. Entretanto, este li vro ainda não explicou o conceito de interface loopback, conforme mencionado no Passo 2. Interface loopback é uma interface virtual que pode ser configurada com o comando interface loopback interfacenumber, onde interface-number é um número inteiro. Interfaces loopback estão sempre em estado "ativo e em perfeito funcionamento" a não ser que administrativamente colocadas em estado shutdown. Uma simples configuração do comando interface loopback O, por exemplo, seguida de ip address 192.168.200.1 255.255.255.0, criaria uma interface e lhe designaria um endereço IP. Como as interfaces loopback não dependem de nenhum hardware, essas interfaces podem estar em up/up sempre que o lOS estiver rodando, fazendo delas boas interfaces para se basear um RID do OSPE Cada roteador escolhe seu RID OSPF quando o OSPF é inicializado. A inicialização acontece durante a carga inicial do lOS. Portanto, se o OSPF ficar ativo, e mais tarde outras interfaces ficarem ativas e tiverem endereços IP mais altos, o RID OSPF não mudará até que o processo OSPF seja reiniciado. O OSPF pode também ser reiniciado com o comando c1ear ip ospf process, mas dependendo das circunstâncias, o lOS pode ainda assim não alterar seu RID OSPF até a próxima recarga do lOS. Muitos comandos apresentam o RID OSPF de vários roteadores. No Exemplo 9-5, o primeiro vizinho no resultado do comando show ip ospf neighbor lista o RID 10.1.5.2, que é o RID de Yosemite. Em seguida, show ip ospf lista o próprio RID de Albuquerque. Exemplo 9-5 Ex ibindo informações relativas ao OSPF em Albuquerque Albuquerque# show ip ospf neighbor Neighbor ID

Pri

State

10.1.6.3

1

FULL /

1 0 . 1.5. 2

1

FULL / -

-

Dead Time

Address

Interface

00:00:35

10.1.6.3

SerialO / 1

00:00:37

10.1.4.2

SerialO / O

Albuquerque# show ip ospf neighbor Rou tin g Process "ospf 1" wi th ID 10.1. 6 . 1 ! lines omitted for brevity

• Timers Helio e Morto do OSPF

•

As definições padrão dos timers Hello e Morto do OSPF normalmente funcionam sem nenhum problema. Entretanto, é importante observar que um erro de combinação na definição faz com que dois possíveis vizinhos nunca se tomem vizinhos, não alcançando o estado two-way. O Exemplo 9-6 apresenta a forma mais comum de ver as definições atuais utilizando o comando show ip ospf interface, com base em Albuquerque, quando configurado conforme mostrado no exemplo de OSPF com várias áreas (Exemplos 9-3 e 9-4). Exemplo 9-6 Exibindo os timers Hello e Morto em Albuquerque Albuquerque# show ip ospf interface SerialO / 1 is up,

line pro t o c o l

is up

266

Capítulo 9: OSPF Internet Address 10.1.6.1/24, Area O Process ID 1, Router ID 10.1.6.1, Network Type POINT_TO_POINT, Cost: 64 Transmit Delay is 1 sec, State POINT_TO_POINT, Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5 Hello due in 00:00:07 Index 2/3, flood queue length O Next OxO(O)/OxO(O) Last flood scan length is 2, maximum is 2 Last flood scan time is O msec, maximum is O msec Neighbor Count is 1, Adjacent neighbor count is 1

-

Adjacent with neighbor 10.1.6.3

-

Suppress hello for O neighbor(s) EthernetO/O is up,

line protocol is up

Internet Address 10.1.1.1/24, Area O Process ID 1, Router ID 10.1.6.1, Network Type BROADCAST , Cost: 10 Transmit Delay is 1 sec, State DR, priority 1 Designated Router (ID) 10.1.6.1, Interface address 10.1.1.1 No backup designated router on this network Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5 Hello due in 00:00:08 Index 1/1, flood queue length O Next OxO(O)/OxO(O) Last flood scan length is O, maximum is O Last flood scan time is O msec, maximum is O msec Neighbor Count is O, Adjacent neighbor count is O Suppress hello for O neighbor(s) SerialO/O is up, line protocol is up Internet Address 10.1.4.1/24, Area 1 Process ID 1, Router ID 10.1.6.1, Network Type POINT_TO_POINT, Cost: 64 Transmit Delay is 1 sec, State POINT_TO_POINT, Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5 Hello due in 00:00:01 Index 1/2, flood queue length O Next OxO(O)/OxO(O) Last flood scan length is 1, maximum is 1 Last flood scan time is O msec, maximum is O msec Neighbor Count is 1, Adjacent neighbor count is 1 1-

Adjacent with neighbor 10.1.5.2

1Suppress hello for O neighbor(s)

Observe também que o comando show ip ospf interface apresenta mais informações detalhadas sobre a operação do OSPF em cada interface. Este comando, por exemplo, apresenta o número da área, o custo OSPF e qualquer vizinho conhecido em cada interface. Os timers utilizados na interface, incluindo o timer Helio e Morto, também são apresentados. Para configurar os intervalos Helio e Morto, você pode usar os subcomandos de interface the ip ospf hello-interval value e ip ospf dead-interval value. É interessante notar que, se o intervalo Hello estiver configurado, o lOS automaticamente reconfigure o intervalo morto da interface para que ele seja 4 vezes o intervalo Helio.

Métrica do OSPF (Custo) O OSPF calcula a métrica para cada possível rota somando os custos OSPF das interfaces de saída. O custo OSPF de uma interface pode ser configurado ou o roteador pode calcular o custo com base na definição da largura de banda da interface.

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•

CCNA ICND2

267

Como lembrete, a definição da largura de banda de uma interface pode ser configurada utilizando o subcomando de interface bandwidth. Esse comando define a percepção que o roteador tem da velocidade da interface, com uma unidade de Kbps. Observe que a definição da largura de banda da interface não tem de combinar com a velocidade física da interface, mas geralmente faz sentido definir a largura de banda para que ela combine com a velocidade física da interface. Em interfaces Ethernet, a largura de banda reflete a atual velocidade negociada - 10.000 (significando 10.000 Kbps ou 10 Mbps) para uma Ethernet de 10 Mbps, e 100.000 (significando 100.000 Kbps ou 100 Mbps) para 100 Mbps. Para interfaces seriais, a largura de banda utiliza automaticamente 1544 (significando 1544 Kbps ou velocidade TI), mas o lOS não pode ajustar essa definição dinamicamente. O lOS escolhe o custo de uma interface com base nas seguintes regras:

1. O custo pode ser explicitamente definido em um valor entre 1 e 65.535 (inclusive) utilizando o subcomando de interface ip ospf cost x. 2. O lOS pode calcular o valor com base na forma genérica Ref-BW / Int-BW, onde Ref-BW é uma largura de banda de referência que utiliza automaticamente 100 Mbps e Int-BW é a definição da largura de banda da interface. 3. A largura de banda de referência pode ser configurada a partir de sua definição padrão de 100 (100 Mbps) utilizando o subcomando de roteador OSPF auto-cost reference-bandwidth ref-bw, que, por sua vez, afeta o cálculo do custo padrão da interface. A fórmula simples para calcular o custo OSPF padrão apresenta uma parte que pode causar confusão. O cálculo requer que o numerador e o denominador utilizem as mesmas unidades, ao passo que os comandos bandwidth e auto-cost reference-bandwidth utilizam unidades diferentes. O software Cisco lOS faz com que as interfaces Ethernet utilizem automaticamente uma largura de banda 10.000, significando 10.000 Kbps ou 10 Mbps. A largura de banda de referência utiliza automaticamente o valor de 100, significando 100 Mbps. Portanto, o custo OSPF padrão de uma interface Ethernet seria 100 Mbps / 10 Mbps, depois de fazer com que os valores utilizem a unidade Mbps. Interfaces seriais de maior velocidade utilizam automaticamente uma largura de banda de 1544, resultando em um custo padrão de 108 bps / 1.544.000 bps, arredondado para baixo até o valor de 64, conforme mostrado na interface SO/l no Exemplo 9-6. Se a largura de banda de referência tivessem sido alterada para 1000, utilizando o sub comando de roteador OSPF auto-cost referencebandwidth 1000, a métrica calculada seria 647. A principal motivação para alterar a largura de banda de referência é para que os roteadores possam ter valores de custo diferentes para interfaces funcionando a velocidades de 100 Mbps e mais altas. Com a definição padrão, uma interface que tenha uma definição de largura de banda de 100 Mbps (por exemplo, uma interface FE) e uma interface que tenha uma largura de banda de 1000 Mbps (por exemplo, uma interface GE) teriam ambas um custo padrão igual a 1. Ao alterar a largura de banda de referência para 1000, significando 1000 Mbps, o custo padrão de uma interface que tem a largura de banda igual a 100 Mbps seria 10, em comparação com o custo padrão 1 de uma interface com largura de banda igual a 1000 Mbps. Observação A Cisco recomenda utilizar a mesma definição de largura de banda de referência OSPF em todos roteadores OSPF da rede.

Autenticação do OSPF A autenticação é possivelmente o mais importante dos recursos opcionais de configuração do OSPE A ausência de autenticação abre a rede para ataques em que um hacker conecta um roteador à rede, onde os roteadores legítimos acreditam nos dados OSPF do roteador intruso. Em conseqüência disso, o hacker pode facilmente provocar um ataque de negação de serviço (DoS) fazendo com que todos os roteadores removam as rotas legítimas até todas as sub-redes, instalando rotas que encaminham pacotes para o roteador intruso. O hacker pode também executar um ataque de reconhecimento, aprendendo informações sobre a rede escutando e interpretando mensagens OSPE O OSPF aceita três tipos de autenticação: um chamado de autenticação nula (significando nenhuma autenticação), um que utiliza uma senha simples de texto e que, portanto, é fácil de desvendar, e um que utiliza MD5. Honestamente falando, se tiver de configurar uma opção na vida real, a opção do MD5 é a única opção razoável. Assim que um roteador acaba de configurar a autenticação OSPF em uma interface, ele deve ser aprovado no processo de autenticação para todas as

268

•

Capítulo 9: OSPF

mensagens OSPF, com todos os roteadores vizinhos naquela interface. Isso significa que cada roteador vizinho àquela interface deve também ter o mesmo tipo de autenticação e a mesma senha de autenticação configurada. A configuração pode utilizar dois subcomandos de interface em cada interface - um para ativar o tipo específico de autenticação e outro para definir a senha utilizada para a autenticação. O Exemplo 9-7 mostra um modelo de configuração em que autenticação simples de uma senha é configurada na interface FaO/O e a autenticação MD5 é configurada em FaO/l.

Exemplo 9-7 Autenticação do OSPF utilizando apenas sub comandos de interface ! The following commands enable OSPF simple password authentication and

! set the password to a value of "key-t1".

R1# show running-config ! lines omitted for brevity

interface FastEthernetO/O i p o spf auth enticati on ip o spf authentication-key key-t1 !

Below,

the neighbor relationship formed, proving that authentication worked.

Rl# show ip ospf neighbor fa O/O Neighbor 10

pri

State

Oead Time

Address

Interface

2.2.2.2

1

FULL/BOR

00:00 : 37

10.1.1.2

FastEthernetO/O

! Next,

each interface's OSPF authentication type can be seen in the last line

! or two in the output of the show ip ospf interface command.

Rl# show ip ospf interface fa O/O

,,

! Lines omitted for brevity

Simple pas s wo rd authent ication enabled

~

! Below,

R1's FaO/1 interface is configured to use type 2 authentication.

! No t e that the key must be defined with ! the ip ospf message-digest-key interface subcommand .

R1# show running-config ! lines omitted for brevity

interface FastEthernetO/1 ip ospf authentication message-digest

,-

i p o sp f me ssage- dig es t-key 1 md5 k e y-t2

1-

! Below,

the command confirms type 2 (M05) authentication, key number 1.

R1# show ip ospf interface fa 0/1 ! Lin es omitted for brevity

Message digest authentication enabled Youngest key i d i s 1

A parte mais complicada da configuração é lembrar-se da sintaxe de comando utilizada em dois subcomandos de interface. Observe os subcomandos de interface utilizados para configurar as chaves de autenticação, com a sintaxe diferindo com base no tipo de autenticação. Para referência, a Tabela 9-4 apresenta os três tipos de autenticação OSPF e os comandos correspondentes.

(~:;;;~o

Tabela 9-4 Tipos de autenticação OSPF Tipo

Significado

Comando para ativar a autenticação

:. Chave

....

O que configura a senha

o

Nenhum

ip ospf authentication null

1

Texto puro

ip ospf authentication

ip ospf authentication-key key-value

ip ospf authentication messagedigest

ip ospf message-digestkey key-number md5 key-value

2

MD5

•• •.1 •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• ••

•• •• •• •• •• •• •• •• • •• • • :

•

•

CCNA ICND2

Observe que as senhas, ou chaves de autenticação, são mantidas em texto puro na configuração, a não ser que você acrescente o comando global service password-encryption à configuração. (Se tiver uma cópia do CCENT/CCNA ICNDJ Guia Oficial de Certificação do Exame, talvez valha a pena referir-se ao Capítulo 9 daquele livro para obter mais informações sobre o comando service passwordencryption.) A definição padrão para utilizar a autenticação do tipo O - que realmente significa nenhuma autenticação - pode ser sobrescrita de área em área utilizando o comando de roteador area authentication. O roteador RI no Exemplo 9-7, por exemplo, poderia ser configurado com o subcomando de roteador area 1 authentication message-digest, que faz com que aquele roteador utilize automaticamente a autenticação MD5 em todas as suas interfaces da Área 1. Analogamente, o subcomando de roteador area 1 authentication ativa a autenticação simples de senhas para todas as interfaces da Área 1, tomando o subcomando de interface ip ospf authentication desnecessário. Observe que as chaves de autenticação (senhas) devem continuar sendo configuradas com os subcomandos de interface apresentados na Tabela 9-4.

Balanceamento de carga OSPF Quando o OSPF utiliza o SPF para calcular a métrica de cada uma das várias rotas para alcançar uma sub-rede, é possível que uma das rotas tenha a métrica mais baixa e, portanto, o OSPF coloca essa rota na tabela de roteamento. Entretanto, quando há um empate entre métricas, o roteador pode colocar até 16 rotas diferentes de custo igual na tabela de roteamento (o padrão são quatro rotas diferentes) com base na definição do subcomando de roteador maximumpaths number. Se uma inter-rede, por exemplo, tivesse seis trajetos possíveis entre algumas partes da rede, e o engenheiro quisesse que todas as rotas fossem usadas, os roteadores poderiam ser configurados com o subcomando maximumpatbs 6 abaixo de router ospf. O conceito mais desafiante está relacionado a como os roteadores utilizam essas várias rotas. O roteador poderia balancear a carga dos pacotes analisando cada pacote por vez. Se o roteador, por exemplo, tivesse três rotas OSPF de custo igual para a mesma sub-rede da tabela de roteamento, ele poderia enviar o próximo pacote pela primeira rota, o pacote seguinte pela segunda rota, o pacote seguinte pela terceira rota e, em seguida, começar novamente com a primeira rota para o próximo pacote. Outra alternativa é fazer o balanceamento de carga com base no endereço IP de cada destino.

Atividades de preparação para o exame

Revise todos os tópicos-chave Revise os tópicos mais importantes deste capítulo, indicados com o ícone Tópicos-Chave. A Tabela 9-5 relaciona estes tópicos-chave e onde cada um é encontrado. .......... ( Tópico \Chave

:

Tabela 9-5 Tópicos-chave do Capítulo 9

•

Elemento do tópico-chave

Descrição

•

Lista

Itens que devem combinar com vizinhos OSPF antes de se tomarem vizinhos e alcançarem o estado two-way (pelo menos)

253

Estados entre vizinhos e mensagens durante a formação de vizinhos OSPF

254

Resumo composto por três passos referente ao processo de troca de bancos de dados de topologia OSPF

255

Desenho comparativo de adjacências completas formadas com e sem um DR

255

•• • •• •• •

•

•

269

Figura9-2

Lista

Figura 9-3

000

Número da página

270

Capítulo 9: OSPF

Lista

Regras para eleger um roteador designado

256

Tabela 9-2

Estados entre vizinhos OSPF e seus significados

257

Lista

Lista de razões pelas quais o OSPF precisa de áreas para funcionar bem

259

Tabela 9-3

Termos e definições do projeto do OSPF

260

Lista

Lista de verificações da configuração do OSPF

261

Lista

Detalhes de como o lOS determina o custo OSPF de uma interface

265

Tipos de autenticação e comandos de configuração do OSPF

268

Tabela 9-4

Complete as tabelas e listas usando a memória Imprima uma cópia do Apêndice J, "Tabelas de memória", ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das Tabelas de Memória", inclui tabelas e listas completadas para você conferir o seu trabalho.

Definições de termos-chave Defina os seguintes termos-chave encontrados neste capítulo e verifique suas respostas no glossário: anúncios link-state, atualização link-state, ABR (Area Border Router, ou Roteador de Limite de Área), ASBR (Autonomous System Border Router, ou Roteador de Limite de Sistema Autônomo), banco de dados da topologia, completamente adjacente, descrição de banco de dados, estado Fuli, estado two-way, intervalo Helio, intervalo morto, RID (Router ID, ou ID do roteador), roteador designado, Roteador Designado para Backup, solicitação link-state, tabela de vizinhos, vizinho.

Referência aos comandos para verificar sua memória Embora você não precise necessariamente memorizar as informações contidas nas tabelas desta seção, ela inclui uma referência para os comandos de configuração e EXEC abordados neste capítulo. Na prática, você deve memorizar os comandos como reflexo da leitura do capítulo e da execução de todas as atividades desta seção de preparação para o exame. Para verificar o quão eficientemente você memorizou os comandos como reflexo de seus outros estudos, cubra o lado esquerdo da tabela com um pedaço de papel, leia as descrições do lado direito e veja se você se lembra do comando.

Tabela 9-6 Referência aos comandos de configuração do Capítulo 9 Comando

Descrição

router ospf process-id

Entra no modo de configuração OSPF para o processo listado

network ip-address wildcardmask area area-id

Subcomando de roteador que ativa o OSPF em interfaces que combinam com a combinação endereço/curinga e define a área OSPF

ip ospf cost interface-cost

Subcomando de interface que define o custo OSPF associado à interface

bandwidth bandwidth interface (Kbps)

Subcomando de interface que defrne diretamente a largura de banda da

• •• • .'•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •• ••

•• ••

CCNA ICND2 autocost reference-bandwidth number

Subcomando de roteador que diz ao OSPF o numerador da fórmula RefBW/lnt-BW utilizada para calcular o custo OSPF com base na largura de banda da interface

ip ospf helio number

Subcomando de interface que define o intervalo Hello OSPF e também redefine o Intervalo Morto em 4 vezes este número

ip ospf dead-interval number

Subcomando de interface que define o timer Morto do OSPF

ip ospf network type

Comando OSPF que define estaticamente o RID

ip ospf hello-interval seconds

Subcomando de interface que define o intervalo para Hellos periódicas

ip ospf priority number-value

Subcomando de interface que define a prioridade OSPF em uma interface

maximum-paths number-ofpaths

Subcomando de roteador que define o número máximo de rotas de custo igual que pode ser acrescentado à tabela de roteamento

~

•• •• •• •• •• •• •• •• •• •• •• •• • •

271

I

Subcomando de interface que ativa a autenticação tipo O (nula), tipo 1 (nenhum parâmetro opcional listado) ou tipo 2 (message-digest)

ip ospf message-digest-key key-number md5 key -value

Subcomando de interface que define a chave de autenticação OSPF se for usada a autenticação MD5

ip ospf authentication key-value

Subcomando de interface que define a chave de autenticação OSPF se for usada a autenticação simples de senhas

area area authentication [message-digest I null]

Subcomando de roteador que configura o serviço de autenticação padrão para interfaces da área listada

ip ospf authentication [nuU message-digest]

Tabela 9-7 Referência aos Comandos EXEC do Capítulo 9 Comando

Descrição

show ip route ospf

Apresenta rotas da tabela de roteamento aprendidas pelo OSPF

show ip protocols

Mostra os parâmetros do protocolo de roteamento e os atuais valores dotimer

show ip ospf interface

Apresenta a área na qual a interface reside, os vizinhos adjacentes a essa interface e os timers Hello e Morto

show ip ospf neighbor [neighbor-RID]

Apresenta os vizinhos e o atual status com os vizinhos, por interface, e opcionalmente apresenta detalhes referentes ao RID listado no comando

debug ip ospf events

Emite mensagens de registro para cada pacote OSPF

debug ip ospf packet

Emite mensagens de registro descrevendo o conteúdo de todos os pacotes OSPF

debug ip ospf heUo

Emite mensagens de registro descrevendo Hellos e falhas de Hellos

•• •• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• .• ~

5

Este capítulo aborda os seguintes assuntos: Conceitos e operação do EIGRP: esta seção explica os conceitos relativos à vizinhança, troca de informações sobre topologia e cálculo de rotas no EIGRP.

Configuração e verificação do EIGRP: esta seção mostra como configurar o EIGRP, incluindo autenticação e ajuste de métricas, bem como a forma de se determinar as rotas para sucessor e para sucessor possível na saída dos comandos show.

•• •

•• •: EIGRP

••

•• •• •

• •

CAPíTULO

10

o EIGRP (Enhanced Interior Gateway Routing Protocol)

disponibiliza um conjunto impressionante de recursos e atributos destinados ao seu propósito principal, que consiste em aprender rotas IP. O EIGRP converge muito rapidamente, de modo similar ou até mesmo mais rápido que o OSPF, mas sem algumas das desvantagens do OSPE Em particular, o EIGRP necessita de muito menos tempo de processamento, muito menos memória e muito menos esforço de projeto que o OSPE A única desvantagem significativa é que o EIGRP é proprietário da Cisco, de modo que, se uma interconexão de rede usar alguns roteadores que não são da Cisco, o EIGRP não poderá ser usado nestes roteadores.

o EIGRP não se enquadra perfeitamente nas categorias gerais de protocolos de roteamento vetor distância e link-state.

•

Às vezes, a Cisco se refere ao EIGRP simplesmente como um protocolo vetor distância avançado, mas em outras ocasiões, a Cisco se refere ao EIGRP como sendo um tipo novo: um protocolo de roteamento balanced hybrid. Não importa a categoria, os conceitos fundamentais e os processos usados pelo EIGRP podem ter algumas semelhanças com outros protocolos de roteamento, mas o EIGRP possui muito mais diferenças, tomando-o um protocolo de roteamento único, por si mesmo.

• •

Este capítulo começa examinando alguns dos conceitos-chave a respeito de como o EIGRP funciona. A segunda metade deste capítulo dá explicações sobre configuração e verificação do EIGRP.

• •

: Questionário "Eu já conheço isto"?

•• •• •• • •• •• •• • •• •

O questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Se você errar não mais que uma destas nove questões de auto-avaliação, você pode querer ir direto para a seção "Atividades de preparação para o exame". A Tabela 10-1 lista os principais tópicos deste capítulo e as questões do teste "Eu j á conheço isto?" cobrindo o material destas seções. Isto ajudará você a avaliar seu conhecimento nestas áreas específicas. As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

Tabela 10-1 Mapeamento Entre a Seção dos Tópicos Fundamentais e as Questões do "Eu já conheço isto ?" Seção dos Tópicos Fundamentais

Perguntas

•

Conceitos e operação do EIGRP

1-4

•

Configuração e verificação do EIGRP

5-9

•

1. Qual(is) dos seguintes itens afeta(m) o cálculo das métricas do EIGRP quando todos os valores default possíveis são usados?

•

a . Largura de banda b. Atraso c . Carga d. Confiabilidade

e. MTU f . Número de Hops 2. Como o EIGRP percebe quando um roteador vizinho falha? a. O vizinho que falhou manda uma mensagem antes da falha.

•

274 Capítulo 10: EIGRP b. O vizinho que falhou manda uma mensagem "dying gasp". c. O roteador percebe a falta de atualização de roteamentos por um período de tempo. d. O roteador percebe a falta de mensagens Helio por um período de tempo. 3. Qual dos seguintes itens é verdadeiro a respeito do conceito de feasible distance do EIGRP? a. A feasible distance de uma rota é a métrica calculada de uma rota para sucessor possível. b. A feasible distance de uma rota é a métrica calculada da rota para sucessor. c. A feasible distance é a métrica de uma rota sob a perspectiva de um roteador vizinho. d. A feasible distance é a métrica EIGRP associada a cada rota possível para se alcançar uma sub-rede. 4. Qual dos seguintes itens é verdadeiro a respeito do conceito de reported distance do EIGRP? a. A reported distance de uma rota é a métrica calculada de uma rota para sucessor possível. b. A reported distance de uma rota é a métrica calculada da rota para sucessor. c. A reported distance de uma rota é a métrica de uma rota sob a perspectiva de um roteador vizinho. d. A reported distance é a métrica EIGRP associada a cada rota possível para se alcançar uma sub-rede. 5. Qual(is) dos seguintes comandos network, depois do comando router eigrp 1, diz(em) a este roteador para começar a usar o EIGRP nas interfaces cujos endereços IP são 10.1.1.1, 10.1.100.1 e 1O.1.120.1? a.network 10.0.0.0 b.network 10.1.lx.0 c.network 10.0.0.0.

0.255.255.255

d.network 10.0.0.0 255.255.255.0 6. Os roteadores RI e R2 estão conectados à mesma VLAN com endereços IP 10.0.0.1 e 10.0.0.2, respectivamente. RI está configurado com os comandos router eigrp 99 e network 10.0.0.0. Qual(is) dos seguintes comandos pode(m) fazer parte de uma configuração EIGRP em funcionamento em R2, e que garante que os dois roteadores se tomem vizinhos e troquem rotas? a.network 10 b. router eigrp 98 c.network 10.0.0.2 0.0.0.0 d.network 10.0.0.0 7. Examine o seguinte trecho de um CU de um roteador: P 10 . 1 . 1 . 0/24, 1 suc c essors, FD is 2172416 via 10.1.6.3

(2172416/28160),

via 10.1.4.2

(26844 1 6/2284156),

Seria lO/1

via 1 0 .1. 5.4

(2684416/2165 4 32), Seria ll/O

SerialO/O

Qual(is) dos seguintes endereços identifica(m) um endereço IP de um next-hop em uma rota para sucessor possível? a. 10.1.6.3 b. 10.1.4.2 c. 10.1.5.4 d. Não pode ser determinado a partir da saída deste comando. 8. Qual(is) dos seguintes itens deve(m) ocorrer para se configurar a autenticação MD5 para o EIGRP? a. Configurar a chave de autenticação MD5 através de algum subcomando de interface b. Configurar pelo menos uma cadeia de chave

•• •• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• ••

CCNA ICND2

275

c. Definir um tempo de vida válido para a chave

•• •• •• •• • •• Conceitos e operação do EIGRP • •• •• •• •• •• •

d. Habilitar a autenticação MD5 do EIGRP em uma interface

9. No comando show ip route, qual designação de código implica que uma rota foi aprendida com o EIGRP?

a. E b. I

c. G

d. R

e. P

f. D

• Tópicos fundamentais

•

Como no OSPF, o EIGRP segue três passos gerais para poder adicionar rotas na tabela de roteamento IP: 1. Descoberta de vizinhos: Os roteadores EIGRP enviam mensagens Helio para descobrir roteadores EIGRP vizinhos em potencial, e executam verificações básicas de parâmetros para determinar quais roteadores devem se tomar vizinhos.

2. Troca de topologia: Os vizinhos trocam atualizações completas da topologia quando a relação de vizinhança surgir, e depois somente atualizações parciais quando necessário, baseadas em mudanças na topologia da rede.

3. Escolha de rotas: Cada roteador analisa sua respectiva tabela de topologia do EIGRP, selecionando a rota com a métrica mais baixa para alcançar cada sub-rede.

Como resultado destes três passos, o lOS mantém três importantes tabelas do EIGRP. A tabela de vizinhos do EIGRP lista os roteadores vizinhos, e é consultada através do comando show ip eigrp neighbor. A tabela de topologia do EIGRP guarda todas as informações sobre topologia aprendida com os vizinhos EIGRP, e é apresentada através do comando show ip eigrp topology. Finalmente, a tabela de roteamento IP guarda todas as melhores rotas, e é apresentada através do comando show ip route.

•• •

As próximas seções descrevem alguns detalhes sobre como o EIGRP forma relações de vizinhança, troca rotas e adiciona entradas na tabela de roteamento IP. Além destes três passos, esta seção explica algumas lógicas particulares que o EIGRP usa quando estiver convergindo e reagindo a mudanças em uma interconexão de rede -lógica que não é vista com outros tipos de protocolos de roteamento.

• Vizinhos EIGRP

•• •• •• •• •• ••

Um vizinho EIGRP é outro roteador que fala EIGRP, e que está conectado a uma sub-rede em comum, e com o qual o roteador deseja trocar informações EIGRP sobre topologia. O EIGRP usa as mensagens Helio do EIGRP, enviadas ao endereço IP multicast 224.0.0.10 para descobrir dinamicamente os vizinhos em potencial. Um roteador aprende sobre vizinhos em potencial através do recebimento de um Helio. Os roteadores executam algumas verificações básicas para cada vizinho em potencial antes que este roteador se tome um vizinho EIGRP. Um vizinho em potencial é um roteador a partir do qual uma mensagem Helio do EIGRP foi recebida. Então, o roteador verifica as seguintes configurações para determinar se deve permitir que este roteador se tome um vizinho:

• Ele deve passar pelo processo de autenticação. • Ele deve usar o mesmo número AS configurado. • O endereço IP de origem usado pelo Helio do vizinho deve estar na mesma sub-rede.

/;~~;~o \ Chave

....

276 Capítulo 10: EIGRP Observação Os valores K do EIGRP do roteador também devem ser os mesmos, mas este tópico está fora do escopo deste livro. As verificações são relativamente diretas. Se a autenticação estiver configurada, os dois roteadores devem estar usando o mesmo tipo de autenticação e a mesma chave para autenticação. A configuração do EIGRP inclui um parâmetro chamado ASN (Autonomous System Number, ou Número do Sistema Autônomo), que deve ser o mesmo em dois roteadores vizinhos. Finalmente, os endereços IP usados para enviar as mensagens Helio do EIGRP - os respectivos endereços IP de interface dos roteadores - devem estar no intervalo de endereços da respectiva sub-rede conectada ao outro roteador. A relação de vizinhança do EIGRP é muito mais simples do que a do OSPF. O EIGRP não possui o conceito adicional de estar totalmente adjacente como no OSPF, e não existem estados nos vizinhos, como no OSPF. Assim que um vizinho EIGRP é descoberto e passa nas verificações básicas, este roteador se torna um vizinho. Neste ponto, os dois roteadores podem começar a trocar informações sobre topologia. Os vizinhos enviam Helios a cada intervalo de Helio do EIGRP. Um roteador considera que não pode mais alcançar seu vizinho EIGRP depois que os Helios do vizinho param de ocorrer pelo número de segundos definidos pelo Hold Timer do EIGRP - o equivalente, a grosso modo, do Dead Interval do OSPF.

Trocando informações sobre topologia no EIGRP O EIGRP usa as mensagens de Atualização do EIGRP para enviar informações sobre topologia aos vizinhos. Estas mensagens de Atualização podem ser enviadas para o endereço IP multicast 224.0.0.10 se o roteador que está enviando precisar atualizar vários roteadores na mesma sub-rede; caso contrário, as atualizações serão enviadas ao endereço IP unicast do vizinho em particular. (Mensagens Helio são sempre enviadas ao endereço multicast 224.0.0.10.) De modo diferente do OSPF, não existe nenhum conceito de DR (Designated Router, ou Roteador Designado) ou BDR (Backup Designated Router, ou Roteador Designado de Backup), mas o uso de pacotes multicast em LANs permite ao EIGRP trocar informações sobre roteamento com todos os vizinhos na LAN, de modo eficiente. As mensagens de atualização são enviadas usando o RTP (Reliable Transport Protocol)o O que é significativo no RTP é que, como no OSPF, o EIGRP re-envia as atualizações sobre roteamento que forem perdidas em trânsito. Através do uso do RTP, o EIGRP pode evitar melhor os loops.

Observação O acrônimo RTP também se refere a um diferente protocolo, o Real-time Transport Protocol (RTP), que é usado para transmitir pacotes IP de voz e vídeo. Vizinhos usam os dois tipos de atualizações de roteamento, as completas e as parciais, como mostrado na Figura 10-1. Uma atualização completa significa que um roteador envia informações sobre todas as rotas conhecidas, enquanto que uma atualização parcial inclui apenas as informações a respeito de rotas recentemente alteradas. Atualizações completas ocorrem quando os vizinhos surgem pela primeira vez. Depois disso, os vizinhos enviam apenas atualizações parciais em resposta a alterações em uma rota. De cima para baixo, a Figura 10-1 mostra a descoberta de vizinhos com Hellos, o envio de atualizações completas, a manutenção da relação de vizinhança com Hellos em andamento, e as atualizações parciais. Figura 10-1 Atualizações Completas e Parciais no EIGRP

/~~~;~o \ Chave 000

-- I -

IDescoberta de Vizinhos (Helio) I

'IA-t-ua-li-za-ç-ão-C-o-m-p-Ie-ta-de-R-o-te-a-m-e-n---'toI • o

•

.-------~

Hellos Contínuos

I-

IDescoberta de Vizinhos (Helio) I Atualiz~ção ~ 'IA-tu-a-liz-a-ç-ão-C-o-m-p-Ie-ta-d-e-R-o-te-a-m-e-nt---'oI Conftavel o

,-----~

Hellos Contínuos

•

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•

CCNA ICND2

277

•

• Calculando as melhores rotas para a tabela de roteamento

• • • •

Cálculo de métrica é um dos recursos mais interessantes do EIGRP. O EIGRP usa uma métrica composta, calculada como uma função da largura da banda e do atraso, por default. O cálculo também pode incluir a carga e a confiabilidade da interface, embora a Cisco recomende não usar nenhuma delas. O EIGRP calcula a métrica para cada rota possível inserindo os valores da métrica composta em uma fórmula.

• •

Documentos e livros do passado geralmente afirmavam que o EIGRP, e seu predecessor, o IGRP, também podiam usar o MTU como sendo parte da métrica, mas o MTU não pode ser usado e nunca foi considerado como parte dos cálculos.

•• •• •• •• •• •• •• • •

• • • •

•• •• •• •• •• •• •• •

A fórmula para o cálculo da métrica no EIGRP na verdade ajuda a descrever alguns dos pontos-chave a respeito da métrica. A fórmula, assumindo que as configurações default usem somente largura de banda e atraso, é a seguinte:

Métrica

=

I

10

7 )

Menor largura de banda

+ atraso cumulativo *256

Nesta fórmula, o termo largura de banda mínima representa o enlace com menor largura de banda da rota, usando uma unidade de kilobits por segundo. Por exemplo, se o enlace mais lento em uma rota for um link Ethemet de lO-Mbps, a primeira parte da fórmula será 107/1Q4, que é igual a 1000. Você usa 104 na fórmula porque 10 Mbps é igual a 10.000 kbps (1Q4 kbps). O valor do atraso cumulativo usado nesta fórmula é a soma de todos os valores de atraso para todos os enlaces da rota, em uma unidade de "dezenas de rnicrossegundos". Você pode configurar ambos, largura de banda e atraso para cada enlace, usando os subcomandos de interface inteligentemente chamados de bandwidth e delay. Observação A maioria dos comandos show, incluindo show ip eigrp topology e show interfaces, apresenta configurações de atraso como sendo o número de microssegundos de atraso. A fórmula da métrica usa uma unidade de dezenas de microssegundos. As atualizações no EIGRP listam o número e a máscara da sub-rede, juntamente com o atraso cumulativo, e a largura mínima de banda, juntamente com as outras partes tipicamente não usadas da métrica composta. O roteador então considera as configurações de largura de banda e atraso da interface da qual a atualização foi recebida, e calcula uma nova métrica. Por exemplo, a Figura 10-2 mostra Albuquerque aprendendo sobre a sub-rede 10.1.3.0/24, a partir de Seville. A atualização mostra uma largura mínima de banda de 100.000 kbps, e um atraso cumulati vo de 100 rnicrossegundos. RI possui uma largura de banda da interface configurada em 1544 kbps - a largura de banda default em um enlace serial - e um atraso de 20.000 rnicrossegundos. Figura 10-2 Como Albuquerque Calcula Sua Métrica EIGRP para 10.1.3.0/24 Albuquerque

Largura de Banda:1544 Atraso: 20.000

Sub-rede 10.1.3.0/24 Seville

FAOIO . - -......... 50/1

FaOI1

10.1.3.0/24 Largura Mínima de Banda = 100.000 Atraso Cumulativo = 100 Atualização no EIGRP

Neste caso, Albuquerque descobre que a largura de banda de sua interface SO/1 (1544) é menor que a largura mínima de banda anunciada de 100.000; portanto Albuquerque usa esta nova e mais lenta largura de banda no cálculo da métrica. (Se a interface SO/1 de Albuquerque tivesse uma largura de banda de 100.000 ou mais neste caso, Albuquerque usaria a largura mínima de banda listada na Atualização do EIGRP, recebida de Seville, no lugar.) Albuquerque também soma o atraso da interface SO/1 (20.000 rnicrossegundos, convertidos para 2000 dezenas de rnicrossegundos para a fórmula) ao atraso cumulativo recebido de Seville, na atualização (100 rnicrossegundos, convertidos para 10 dezenas de rnicrossegundos). Isto resulta no seguinte cálculo de métrica:

278 Capítulo 10: EIGRP

Métrica =

I~l 1544

+ (10+2000)

* 256=2,172,416

Observação O lOS arredonda a divisão desta fórmula para baixo, para o inteiro mais próximo, antes de executar o resto da fórmula. Neste caso, 107/1544 é arredondado para baixo para 6476. Se existissem várias rotas possíveis para a sub-rede 10.1.3.0/24, Albuquerque também calcularia a métrica para estas rotas e escolheria a rota com a melhor (menor) métrica para ser adicionada na tabela de roteamento. Se houver empate na métrica, um roteador iria colocar até quatro rotas com métricas iguais na tabela de roteamento, por default, enviando parte do tráfego em cada rota. A seção mais adiante "Número Máximo de Caminhos e Variância no EIGPR" explica com um pouco mais de detalhes a respeito de como o EIGRP pode adicionar múltiplas rotas com métricas iguais e múltiplas rotas com métricas diferentes na tabela de roteamento.

Feasible Distance e Reported Distance

o exemplo descrito pela Figura 10-2 fornece um pano de fundo conveniente para se definir um par de termos do EIGRP: /;~~;~o. Feasible Distance (FD): A métrica da melhor rota para se alcançar uma sub-rede, conforme calculado em um \~h....

roteador. • Reported Distance (RD): A métrica, conforme calculada em um roteador vizinho, e depois reportada e aprendida através de uma Atualização do EIGRP.

Por exemplo, na Figura 10-2, Albuquerque calcula um FD de 2.195.631 para alcançar a sub-rede 10.1.3.0/24 através de Seville. Seville também calcula sua própria métrica para alcançar a sub-rede 10.1.3.0/24. Seville também lista esta métrica em sua atualização EIGRP enviada para Albuquerque. De fato, baseado nas informações da Figura 10-2, o FD de Seville para alcançar a sub-rede 10.1.3.0/24, que é então conhecido por Albuquerque como sendo o RD de Seville para alcançar 10.1.3.0/24, poderia ser facilmente calculado: 107 + (10)* (256 = 28.160) 1000

FD e RD serão mencionados em uma futura discussão a respeito de como o EIGRP reage e converge quando ocorre uma mudança em uma interconexão de rede.

Cuidados com a largura da banda em enlaces seriais As métricas robustas do EIGRP dão a ele a capacidade de escolher rotas que incluem mais hops em roteadores, mas com enlaces mais rápidos. No entanto, para garantir que as rotas corretas serão selecionadas, os engenheiros devem tomar cuidado para configurar larguras de banda e atrasos que sejam significativos. Particularmente, os enlaces seriais possuem largura de banda de 1544 e um atraso de 20.000 micros segundos como defaults, conforme usados no exemplo mostrado na Figura 10-2. Porém, o lOS não pode alterar automaticamente as configurações de largura de banda e de atraso baseado na velocidade da Camada 1 de um enlace serial. Portanto, usar as configurações default de largura de banda em enlaces seriais pode conduzir a problemas. A Figura 10-3 mostra o problema relativo ao uso da configuração default de largura de banda, e como o EIGRP usa a melhor (mais rápida) rota quando a largura de banda é configurada corretamente. A figura foca na rota do roteador B para a sub-rede 10.1.1.0/24, em cada caso. Na parte superior da figura, todas as interfaces seriais usam defaults, embora o enlace serial da parte superior seja um lento 64 kbps. A figura na parte inferior mostra os resultados quando o comando bandwidth do enlace serial mais lento é alterado para refletir a velocidade correta (mais lenta).

•• •. 1 •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•• •• •• •• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •• • :

•

CCNA ICND2

279

Figura 10-3 Impacto da Largura de Banda no Cálculo da Métrica no EIGRP EIGRP, Largura de Banda Default ~-------------

-----...........'f"_.,

Tabela de Roteamento sub-rede Interface de Sarda

Largura de Banda 1544 SO

10.1.1 .0

80

64 kbps Sub·rede10.1.1.0

EIGRP, Largura de Banda Correta

Tabela de Roteamento sub-rede Interface de Sarda

10.1 .1.0

81

Sub·rede10.1.1.0 " " " Largura de Banda 1544

Convergência no EIGRP Evitar loops se apresenta como um dos problemas mais difíceis para qualquer protocolo de roteamento dinâmico. Protocolos vetor distância resolvem este problema com uma variedade de ferramentas, algumas das quais responsáveis por uma grande parte do tempo de convergência com duração de minutos, após a falha em um enlace. Protocolos link-state resolvem este problema fazendo com que cada roteador mantenha uma topologia completa da rede, de modo que executando um modelo matemático bem complexo, um roteador pode evitar quaisquer loops. O EIGRP evita loops mantendo algumas informações básicas de topologia, mas evita consumir muita CPU e memória mantendo as informações de modo conciso. Quando um roteador aprende múltiplas rotas para a mesma sub-rede, ele coloca a melhor rota na tabela de roteamento IP. O EIGRP mantém algumas informações da topologia pelas mesmas razões que o OSPF - para que possa convergir bem rapidamente e usar uma nova rota sem causar um loop. Essencialmente, o EIGRP mantém um registro de cada roteador que pode ser um next-hop, e alguns detalhes relacionados a estas rotas, mas nenhuma informação sobre a topologia além dos roteadores next-hop. Esta informação mais esparsa sobre topologia não exige o sofisticado algoritmo SPF, resultando em uma convergência rápida e com menos sobrecarga, sem loops. O processo de convergência no EIGRP usa um de dois caminhos em sua lógica, baseado no fato da rota que falhou possuir ou não uma rota para sucessor possível. Se uma rota para sucessor possível existir, o roteador pode usar imediatamente esta rota. Caso contrário, o roteador deve usar um processo de query and response para encontrar uma rota alternativa livre de loops. Ambos os processos resultam em convergência rápida, tipicamente menos que 10 segundos, mas o processo de query and response leva um pouco mais de tempo.

Sucessores e sucessores possíveis no EIGRP O EIGRP calcula a métrica de cada rota, para alcançar cada sub-rede. Para uma sub-rede em particular, a rota com a melhor métrica é chamada de sucessor, com o roteador preenchendo a tabela de roteamento IP com esta rota. (A métrica desta rota é chamada de FD (Feasible Distance), conforme apresentado anteriormente.) Sobre as outras rotas para se alcançar a mesma sub-rede - rotas cujas métricas foram maiores que o FD da rota - o EIGRP precisa determinar quais podem ser usadas imediatamente caso a melhor rota corrente falhar, sem causar um loop no roteamento. O EIGRP executa um algoritmo simples para identificar quais rotas poderiam ser usadas, mantendo estas rotas backup livres de loop em sua tabela de topologia, e usando-as no caso da melhor rota corrente falhar. Estas rotas alternativas, que podem ser imediatamente usadas são chamadas de rotas para sucessor possível porque elas são possíveis de serem usadas quando a rota para sucessor falhar. Um roteador determina se uma rota é um sucessor possível baseado em sua condição de viabilidade: Se o RD de uma rota que não é sucessor for menor que o FD, a rota é uma rota para sucessor possível. Embora seja tecnicamente correta, esta definição é muito mais compreensível através do exemplo mostrado na Figura 10-4. A figura ilustra como o EIGRP descobre quais rotas são sucessores possíveis para a sub-rede 1. Na figura, o Roteador E aprende três rotas para a Sub-rede 1, dos Roteadores B, C e D. Após calcular a métrica para cada rota,

280 Capítulo 10: EIGRP baseado nas informações de largura de banda e atraso recebidas durante as atualizações de roteamento e nas interfaces de saída correspondentes de E, o Roteador E descobre que a rota através do Roteador D possui a menor métrica; portanto o Roteador E adiciona esta rota em sua tabela de roteamento, conforme mostrado. O FD é a métrica calculada para esta rota, um valor de 14.000 neste caso.

Figura 10-4 Sucessores e Sucessores Possíveis no EIGRP Roteador E Calcula o FO para Cada Rota: Rota Através do Roteador B - 19.000 Rota Através do Roteador C - 17.500 Rota Através do Roteador D - 14.000 Sub-rede 1 Métrica 13.000

:.iiiiiIt----I Sub-rede 1

Sub-rede 1 Métrica 14.000. Através do Roteador D

Tabela de Topologia do Roteador E para Sub-rede 1 Rota Através do Roteador D - Sucessor Rota Através do Roteador C - Sucessor Possfvel (O RO de C é 13.000, que é Menor Que a Métrica de E

O EIGRP decide se uma rota pode seu um sucessor possível se a RD (Reported Distance) para aquela rota (a métrica, conforme calculada naquele vizinho) for menor que sua própria melhor métrica calculada (o FD). Quando este vizinho tiver uma métrica menor para a rota, para a sub-rede em questão, diz-se que esta rota atingiu a condição de viabilidade. Por exemplo, o Roteador E calcula uma métrica (FD) de 14.000 para sua melhor rota (através do Roteador D). A métrica calculada no Roteador C - sua RD para esta rota - é menor que 14.000 (é 13.000). Como resultado, E sabe que a melhor rota de C para esta sub-rede não poderia possivelmente apontar em direção ao roteador E; então, o Roteador E acredita que ele poderia começar a usar a rota através do Roteador C, sem causar um loop. Como resultado, o Roteador E adiciona uma rota através do Roteador C na tabela de topologia como sendo uma rota para sucessor possível. Por outro lado, a RD do Roteador B é de 15.000, que é maior que o FD do Roteador E, de 14.000; portanto, o Roteador E não considera a rota através do Roteador B como sendo um sucessor possível. Se a rota para a Sub-rede 1 através do Roteador D falhar, o Roteador E pode colocar a rota através do Roteador C imediatamente na tabela de roteamento, sem medo de criar um loop. A convergência ocorre quase que instantaneamente neste caso.

o processo de consulta e resposta

(query and reply)

Quando uma rota falha e não possui nenhum sucessor possível, o EIGRP usa um algoritmo distribuído chamado DUAL (Diffusing Update Algorithm). O DUAL envia consultas à procura de rotas livres de loop para a sub-rede em questão. Quando a nova rota é encontrada, o DUAL a adiciona na tabela de roteamento. O processo DUAL do EIGRP simplesmente usa mensagens para confirmar que uma rota existe e que não criaria um loop, antes de decidir substituir uma rota que falhou por uma rota alternativa. Por exemplo, na Figura 10-4, imagine que ambos os Roteadores, C e D falhem. O Roteador E não possui uma rota para sucessor possível para a sub-rede 1, mas existe um caminho óbvio e fisicamente disponível através do Roteador B. Para usar esta rota, o Roteador E envia mensagens de query (consulta) do EIGRP para seus vizinhos que estão em funcionamento (neste caso, o Roteador B). A rota do Roteador B para a sub-rede 1 ainda está funcionando bem, portanto o Roteador B responde ao Roteador E com uma mensagem reply (resposta) do EIGRP, simplesmente enviando os detalhes da rota em funcionamento para a subrede 1, e confirmando que ela continua viável. O Roteador E pode então adicionar uma nova rota para a sub-rede 1 em sua tabela de roteamento, sem medo de criar um loop. Substituir uma rota em falha por um sucessor possível toma um período de tempo muito curto, tipicamente menos que um ou dois segundos. Quando queries e replies são necessários, a convergência pode levar um pouco mais de tempo, mas na maior parte das redes, a convergência ainda pode ocorrer em menos de 10 segundos.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•

••

CCNA ICND2

281

•

• Resumo do EIGRP e comparações com OSPF

• o EIGRP é um IGP popular por diversas razões. Funciona bem, convergindo rapidamente, ao mesmo tempo em que evita

I

I

• •

loops, como consequência de seus algoritmos balanced hybrid/vetor distância avançado, que estão em sua base. Não requer muitas configurações ou muitos planejamentos, mesmo quando escalados para suportar interconexões maiores de

• • • • •

redes. O EIGRP também possui uma outra vantagem que não é mais tão importante hoje em dia como foi em anos passados: o suporte aos protocolos de Camada 3 IPX da Novell e AppleTalk da Apple. Os roteadores podem executar o EIGRP para aprender rotas IP, rotas IPX e rotas AppleTalk, com as mesmas facilidades de incrível performance. No entanto, como muitos outros protocolos de Camada 3, o IP tomou o lugar do IPX e do AppleTalk na maioria das vezes, tomando o suporte a estes protocolos de Camada 3 uma vantagem menos significativa.

•

A Tabela 10-2 resume diversos recursos importantes do EIGRP comparados aos do OSPE

•

Tabela 10-2 Recursos do EIGRP Comparados aos do OSPF

•

Recurso

EIGRP

OSPF

/ ····.. ··· 0 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

.•

\e I

Converge rapidamente

Sim

Sim

------------------------------

•

Prevenção contra loop embutido

Sim

Sim

• •

Envia atualizações parciais de roteamento, anunciando apenas informações novas ou alteradas

Sim

Sim

•

Classless; sendo assim, suporta sumarização manual e VLSM

Sim

Sim

•

Permite sumarização manual em qualquer roteador

Sim

Não

Envia informações de roteamento usando IP multicast em LAN s

Sim

Sim

Usa o conceito de DR (Designated Router, ou Roteador Designado) em uma LAN

Não

Sim

. ----------------------------------------------------------------

· •

•

------------------------------------------------------------------

•

Design flexível de rede sem a necessidade de se criar áreas

Sim

Não

• •

Suporta ambos os tipos de balanceamento de carga, com métricas iguais e com métricas diferentes

Sim

Não

•

Métrica robusta baseada em largura de banda e atraso

Sim

Não

•

Pode anunciar rotas IP, IPX e AppleTalk

Sim

Não

•

Padrão público

Não

Sim

. ------------------------------

: Configuração e verificação do EIGRP

•• •

A configuração básica do EIGRP se parece bastante com a configuração de RIP e OSPE O comando router eigrp habilita o EIGRP e coloca o usuário em modo de configuração EIGRP, no qual um ou mais comandos network são configurados. Para cada interface que casar com o que for definido através do comando network, o EIGRP tenta descobrir vizinhos naquela interface, e o EIGRP anuncia a sub-rede conectada à interface.

• Esta seção examina a configuração do EIGRP, incluindo diversas facilidades opcionais. Ela também explica o significado • da saída de muitos comandos show para ajudar a associar a teoria coberta na primeira parte deste capítulo com a • realidade da implementação do EIGRP no lOS. A seguinte lista de verificação de configuração resume as principais • ....~tividades de configuração cobertas neste capítulo: .... 6P1c0

•

•

•

Passo 1 Entre no modo de configuração do EIGRP e defina o ASN do EIGRP usando o comando global router eigrp as-number.

282 Capítulo 10: EIGRP Passo 2 Configure um ou mais subcomandos de roteador network ip-addess [wildcard-mask}. Isto habilita o EIGRP em qualquer interface que casar, e faz com que o EIGRP anuncie a sub-rede conectada.

Passo 3 (Opcional) Mude o temporizador de Helio e o hold timer da interface usando os subcomandos de interface ip hello-interval eigrp asn time e ip hold-time eigrp asn time. Passo 4 (Opcional) Impacte os cálculos da métrica ajustando a largura da banda e o atraso, usando os subcomandos de interface bandwidth value e delay value. Passo 5 (Opcional) Configure a autenticação do EIGRP. Passo 6 (Opcional) Configure o suporte para múltiplas rotas de custos iguais usando os subcomandos de roteador maximum-paths number e variance multiplier.

Configuração básica do EIGRP O Examplo 10-1 apresenta uma amostra de configuração do EIGRP, juntamente com comandos show em Albuquerque na Figura 10-5. A configuração do EIGRP necessária em Yosemite e Seville casam exatamente com as duas linhas de configuração do EIGRP de Albuquerque.

Figura 10-5 Exemplo de Interconexão de Rede Usado na Maioria dos Exemplos de EIGRP Sub-rede 10.1 .1.0

Faoto

Sub-rede 10.1.5.0

Yosemite

C==;~~f~----"":::::::::::Z:":~:"'__...J!.QL!~

Exemplo 10-1 Amostra de Configuração de Roteador com EIGRP Habilitado router eigrp 1 network 10.0.0.0 AIbuquerque# show ip route Codes:C - connected, S - static, I - IGRP, R - RIP, M - mobi l e, B - BGP o - EIGRP, EX - EIGRP externaI, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA externaI type 1, N2 - OSPF NSSA externaI type 2 E1 - OSPF ext ernaI type 1, E2 - OSPF externaI type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area - candidate defa ult, U - per-user static route , o - OOR P - periodic downloaded static route Gateway of last resort is not s et 10.0.0.0/24 is s ubnetted, 6 s ub nets O

10.1.3.0 [90/2172416] via 10.1.6 . 3, 00:00:43, SerialO/l

O

10.1.2 . 0 [90/2172416] via 10 . 1.4 . 2,

C

10 . 1 . 1 . 0 is directly connected, FastEthernetO/O

00:00:43, SerialO/O

C

10 . 1 . 6 . 0 is directly conne cted, Seri al0/1

O

10.1.5.0 [90/2681856] via 10.1.6.3, 00:00:45, Serial0/1 [90/2681856] via 10.1 . 4.2, 00 : 00:45, SerialO/O

Seville

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •• •• ••

CCNA ICND2 C

•

• • • • • • I

•

•• •• •• • •

10 . 1.4.0 is directly connected, SerialO/O

Albuquerque# show ip route eigrp 10.0 . 0.0/24 is subnetted,

6 subnets

D

10.1.3.0 [90/2172416) via 10.1.6.3, 00:00:47, SerialO/1

D

10 . 1.2.0 [90/2172416) via 10.1.4 . 2,

D

10 . 1.5.0 [90/2681856) via 10.1.6.3, 00:00:49, SerialO/1

00:00:47, SerialO/O

[90/2681856) via 10.1.4.2, 00:00:49,

I. •• •• •• •• •• •

283

SerialO/O

Albuquerque# show ip eigrp neighbors IP-EIGRP neighbors for process 1 H

o 1

10 . 1.4.2 10 . 1.6.3

RTO Q Seq Type

Hold Uptime

SRTT

(sec)

(ms)

Se O/O

11 00: 00: 54

32

200 O 4

SeO /1

12 00:10:36

20

200 O 24

Interface

Address

Cnt Num

Albuquerque# show ip eigrp interfaces IP-EIGRP interfaces for process 1 Xmit Queue Interface

Mean

pacing Time

Multicast

Pending

SRTT

Un/Reliable

Flow Timer

Routes

o o o

Peers Un/Reliable

Fa O/ O

O

O/O

O

0/10

O

SeO/O

1

O/O

32

0/15

50

SeO / 1

1

O/O

20

0/15

95

Albuquerque# show ip eigrp topology summary IP-EIGRP Topology Table for AS(1)/I D(10.1.6.1) Head serial 1, next serial 9 6 routes, O pending replies,

O dummies

IP-EIGRP(O) enabled on 3 interfaces, 2 neighbors present on 2 interfaces Quiescent interfaces : SeO/1/0 SeO/0/1

Para a configuração do EIGRP, todos aos três roteadores devem usar o mesmo número AS no comando router eigrp. Por exemplo, todos eles usam router eigrp 1 neste exemplo. O número real usado na verdade não importa, desde que seja o mesmo em todos os três roteadores. (A faixa de números AS válidos vai de 1 a 65.535 , da mesma forma que a faixa de Process IDs válidos no comando router ospf.) O comando network 10.0.0.0 habilita o EIGRP em todas as interfaces cujos endereços IP estejam na rede 10.0.0.0, que inclui todas as três interfaces de Albuquerque. Com os dois comandos EIGRP idênticos de configuração nos outros dois roteadores, o EIGRP também é habilitado, da mesma forma, em todas as três interfaces destes roteadores porque estas interfaces também estão na rede 10.0.0.0. Ambos os comandos, show ip route e show ip route eigrp, listam as rotas aprendidas com o EIGRP com um "D" ao lado delas. "D" significa EIGRP. A letra E já estava sendo usada para EGP (Exterior Gateway Protocol) quando a Cisco criou o EIGRP, então a Cisco escolheu a letra mais próxima não usada, D, para representar rotas aprendidas com EIGRP. Você pode ver informações relativas a vizinhos EIGRP através do comando show ip eigrp neighbors, e informações sobre o número de vizinhos ativos (chamados de peers na saída do comando) através do comando show ip eigrp interfaces, conforme mostrado na última parte do exemplo. Estes comandos também fornecem alguma visão dos processos básicos do EIGRP, tais como o uso do RTP para transmissões confiáveis. Por exemplo, o comando show ip eigrp neighbors mostra uma coluna "Q Cnt" (Queue Count), listando o número de pacotes esperando para serem enviados a um vizinho, ou de pacotes que foram enviados, mas para os quais nenhuma confIrmação foi recebida. O comando show ip eigrp interfaces lista informações similares na coluna "Xmit Queue UnlReliable", com estatísticas separadas para mensagens EIGRP que foram enviadas com o RTP (confIável) ou sem ele (não confiável).

•

Por último, o final do exemplo apresenta o RIO de Albuquerque. O EIGRP aloca seu RIO exatamente como o OSPF baseado no valor configurado, ou no endereço IP mais alto de uma interface loopback up/up, ou no endereço IP mais alto de uma interface não loopback, nesta ordem de precedência. A única diferença comparada ao OSPF é que o RIO do EIGRP é configurado através do subcomando de roteador eigrp router-id value.

• •

O comando network do EIGRP pode ser configurado sem uma máscara curinga, como mostrado no Exemplo 10-1. Sem uma máscara curinga, o comando network deve usar uma rede classful como único parâmetro, e todas as interfaces

• •

284 Capítulo 10: EIGRP

desta rede c1assful casam. O Exemplo 10-2 mostra uma configuração alternativa que usa um comando network com um • endereço e uma máscara curinga. Neste caso, o comando casa o endereço IP de uma interface que casaria se o • endereço e a máscara no comando network fossem parte de um ACL. O exemplo mostra três comandos network em • Albuquerque, cada um casando com cada uma das três interfaces. Exemplo 10-2 Usando Máscaras Curinga na Configuração do EIGRP Albuquerque# router eigrp 1 Albuquerque(config_router)#network 10.1.1.0 0.0.0.255 Albuquerque(config_router)#network 10.1.4.0 0.0.0.255

•• •• •• •

~_A_I_b_ u_ qu _e_r_qu __ e _(C_O_n_f _ig ___r_o_u_t _e r_ )_#_n_e_two __r_k__1_0_.1_._6_._0__ 0_.0_._0_._2_5_5__________________________________________________~ •

Métricas, sucessores e sucessores possíveis (feasible successors) no EIGRP Como definido anteriormente neste capítulo, uma rota para sucessor no EIGRP é a rota que possui a melhor métrica para se alcançar uma sub-rede, e uma rota FS (Feasible Successor, ou Sucessor Possível) é uma rota que poderia ser usada caso a rota para sucessor falhe. Esta seção examina a forma de consultar as rotas para sucessor e as rotas FS com o EIGRP, juntamente com as métricas calculadas. Para isso, o Exemplo 10-3 mostra a única melhor rota de Albuquerque para alcançar a sub-rede 10.1.3.0/24, em ambas as tabelas, na de roteamento e como a rota para sucessor na tabela de topologia do EIGRP. Também lista as duas rotas para sucessor com métricas iguais para a sub-rede 10.1.5.0/24, com ambas as rotas para sucessor em destaque na tabela de topologia do EIGRP. Algumas das explicações estão apresentadas no exemplo, e as explicações mais longas estão após o exemplo. Exemplo 10-3 Usando Máscaras Curinga na Configuração do EIGRP e Examinando o Sucessor Possível

•

• . • . • •

• •• •• •• •• •• •• •• •• •• •• ••

~--------------------------------------------------------~ . Be low, note the single route to subnet 10.1.3 . 0, and the two

equal_metric routes to 10.1.5.0. Albuquerque# ahow ip route Codes : C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP externaI, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA externaI t ype 1, N2 - OSPF NSSA externaI type 2 E1 - OSPF ext ernaI type 1, E2 - OSPF externaI type 2 i

- IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2,

ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last re s ort is not se t 10.0.0.0/24 is subnetted, 6 subnets 10 . 1. 3. O [90 / 217 2416] v ia 10.1.6 . 3 , 00 : 00: 57 , Seri al0 / 1

D D

10.1. 2. O [90/2172416] via 10.1.4.2, 00:00:57, SerialO/O

c c

10.1.1 . 0 is d irectly connected , EthernetO/O

D

10 .1 .5.0 [90 / 2681856] v ia 10.1 . 4 .2 , 00:00:57 , SerialO / O

c

10.1.4.0 is directly connected, SerialO/O

10.1 . 6.0 i s d ire ctly connected, Serial0/1

[90/2681 856] via 10 . 1.6 .3, 00:00:57, Serial0 / 1

Next, the EIGRP t op ology tabl e shows one s u ccessor for the rout e to 10.1.3.0, and two succes s ors for 10.1.5 . 0, reconfirming that EIGRP installs successor routes (not fea s ible successor routes) into the IP routing table. Albuquerque# ahow ip eigrp topo1ogy I P- EIGRP Topology Table for AS(1)/ ID(10.1.6.1) Codes :

P - Pas s ive, A - Active , U - Upda t e, Q - Query, R - Rep l y, r - reply Status, s - sia Status

• .-p •

CCNA ICND2

285

10.1.3 .0/2 4 , 1 successor s , FD i s 217 2 416

•• ••

•

v i a 10.1. 6.3 {2172416 / 28160}, SerialO / 1

P 10.1.2 . 0/24, 1 successors, FD is 2172416 via 10.1.4.2 {2172416/28160}, SerialO/O P 10.1.1.0/24, 1 successors, FD is 281600 via Connected, EthernetO/O P 10.1 . 6.0/24, 1 successors, FD is 2169856

4t _____

via Connected, SerialO/1

P 10.1.5 . 0 / 24 , 2 successors , FD is 2 681856

•

via 10.1. 4 . 2 {2681856 / 2169856} , SerialO / O

•

via 10.1.6.3 {2681856 /2 169856} , SerialO / 1

..

P 10.1.4.0/24, 1 successors, FD is 2169856

•

via Connected, SerialO/O

•

Os comentários no exemplo explicam os pontos-chave principais, a maioria dos quais são relativamente diretos. No entanto, um olhar mais de perto no comando show ip eigrp topology pode fornecer alguns detalhes. Em primeiro lugar, • observe a listagem do número de rotas para sucessor na tabela de topologia do EIGRP. A entrada para 10.1.3.0/24 afirma . . que existe um sucessor, de modo que a tabela de roteamento IP mostra uma rota aprendida com o EIGRP para a sub-rede • 10.1.3.0/24. Em comparação, a entrada na tabela de topologia do EIGRP para a sub-rede 10.1.5.0/24 afirma que existem • dois sucessores, de modo que a tabela de roteamento IP mostra duas rotas aprendidas com o EIGRP para esta sub-rede . .. A seguir, observe os números entre colchetes da entrada na tabela de topologia do EIGRP, para 10.1.3.0/24. O primeiro número é a métrica calculada por Albuquerque para cada rota. O segundo número é o RD - a métrica calculada no • roteador vizinho 10.1.6.3 (Seville) e conforme reportada para Albuquerque. Pelo fato destes roteadores terem usado • valores default para configuração de largura de banda e atraso, os valores das métricas são iguais aos dos cálculos das • métricas do exemplo mostrado na seção anterior, "Calculando as Melhores Rotas para a Tabela de Roteamento".

• Criando e vendo uma rota para sucessor possível

• •

Com todas as configurações default nesta interconexão de rede, nenhuma das rotas de Albuquerque atinge a condição de viabilidade, na qual o RD de uma rota alternativa seja inferior ou igual ao FD (a métrica da melhor rota). O Exemplo 10. . 4 muda a largura de banda em uma das interfaces de Yosemite, abaixando o FD de Yosemite para alcançar a sub-rede • 10.1.3.0/24. Por sua vez, o RD de Yosemite para esta mesma rota, conforme reportado para Albuquerque, será agora • menor, atingindo a condição de viabilidade; portanto Albuquerque terá agora uma rota FS .

•

••

Exemplo 10-4 Criando uma Rota Para Sucessor Possível em Albuquerque Below, the bandwidt h of Yosemite's link to Seville {Yosemite's SO/l interface} is changed from 1544 to 2000, which lowers Yosemite's metric for subnet 10.1.3.0.

•

.. •

•• •• •• •• ••

Yosemite{config}# interface SO/l Yosemite{config-if}#baDdwi d t h 2 000 r-~~M~ov~ in-g~b-ack~t-o~ A7 1b ~u-qu -erqu-e------------------------------------~ 1-

Below,

the EIGRP top ology table shows a sing le s u ccessor route f or 10.1.3.0,

but two entries listed - the new entry is a feasible successor rou te. The new entry shows a route to 10.1.3.0 through 10.1.4 . 2 {which is Yosemite} . Albuquerque# show ip e igrp topo1ogy IP-EIGRP Topology Table for AS{l}/ID{10.1.6.1} Codes : P - Passive, A - Active, U - Update, Q - Query, R - Reply, r - reply Status, s - sia Status P 10 . 1 . 3 . 0 /2 4, 1 success ors , FD i s 2172416 via 10.1.6 . 3 {217 2 416/28160} , SerialO / 1 v ia 10 . 1.4 . 2

{2684416 / 1794560}, SerialO / O

1-- ! the rest o f the lines omitted for brevity

286 Capítulo 10: EIGRP r-~y~o~.~~~~~~~~~~----------------------------------------------------------------~ 10 . 0.0.0/24 is s ubn etted,

5 s ubnets

D

10.1.3.0 [90/1794560] via 10.1.5 . 3,

00:40:14, SerialO/1

D

10.1.1.0 [90/ 2195456 ] via 10 . 1 . 4 . 1, 00:42:19, SerialO/O

• •..

••

Para ver a rota para sucessor possível, e por que ela é um sucessor possível, observe os dois números entre parêntesis na segunda . . linha em destaque a partir do comando show ip eigrp topology em Albuquerque. O primeiro deles é a métrica calculada pelo • roteador de Albuquerque para a rota, e o segundo número é o RD do vizinho. Das duas rotas possíveis - uma através de 10.1.6.3 • (Seville) e outra através de 10.1.4.2 (Yosemite) - a rota por Seville possui a menor métrica (2.172.416), tomando-a uma rota para sucessor, e fazendo com que o FD também seja de 2.172.416. Albuquerque coloca esta rota na tabela de roteamento IP. No . entanto, observe o RD na segunda das duas rotas (a rota por Yosemite), com um valor de RD de 1.794.560. A condição de • viabilidade é que o RD da rota deve ser menor que a melhor métrica calculada por este roteador - seu FD - para a mesma sub- • rede destino. Portanto, a rota por Yosemite satisfaz esta condição, tomando-a uma rota para sucessor possível. Os seguintes pontos . resumem as informações-chave a respeito das rotas para sucessor e sucessor possível deste exemplo:

(;~~;~o

•

A rota para 10.1.3.0 através de 10.1.6.3 (Seville) é a rota para sucessor porque a métrica calculada (2.172.416), • mostrada como o primeiro dentre os dois números entre parêntesis, é a melhor métrica calculada. •

•

A rota para 10.1.3.0 através de 10.1.4.2 (Yosemite) é uma rota para sucessor possível porque o RD (Reported . Distance) do vizinho (1.794.560, mostrado como o segundo número entre parêntesis) é menor que o FD de Albuquerque. •

•

Embora ambas as rotas, para sucessor e para sucessor possível estejam na tabela de topologia do EIGRP, apenas . a rota para sucessor é adicionada na tabela de roteamento IP. •

'. Ch8ve

....

----------------------------------------------------. Observação O comando show ip eigrp topology lista apenas as rotas para sucessor e para • sucessor possível. Para ver as outras rotas, use o comando show ip eigrp topology all-links. ----------------------------------------------------~ .

Convergência usando a rota para sucessor possível

•.

Uma das vantagens do EIGRP é que ele converge muito rapidamente. O Exemplo 10-5 mostra um destes exemplos, • usando mensagens de debug para mostrar o processo. Algumas das mensagens de debug podem não fazer muito • sentido, mas o exemplo ilustra algumas mensagens de debug interessantes e compreensíveis. •

Para este exemplo, o enlace entre Albuquerque e Seville será desativado, mas isto não está mostrado no exemplo. As . . mensagens de debug em Albuquerque mostram comentários sobre a lógica do EIGRP para alterar a rota original para 10.1.3.0/24 para a nova rota através de Yosemite. Preste atenção em especial aos time stamps, que mostram que o • processo de convergência leva menos de 1 segundo. •

Exemplo 10-5 Mensagens de Debug Durante a Convergência para a Rota Para Sucessor Possível, para a Sub- • rede 10.1.3.0/24 • ~-------------------------------------------------------,

!!!!! ! !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! ! !!!!!!!!!!!!!!!!! ! ! ! !!!!!!!!!!!!!!!!!!!!! !

Below, debug eigrp fSM is enabled, and then Seville's link to Albuquerque !

(Seville's SOlO interface) will be disabled, but not shown in the example texto

! SOME DEBUG MESSAGES are omitted to improve readability .

Albuquerque#debug eigrp fsm EIGRP FSM Events/Actions debugging is on Albuquerque# *Mar 1 02:35 : 31.836: %LINK-3-UPDOWN: Interface SerialO/1, changed state to down *Ma r 1 02:35 : 31.848 : DUAL: rcvupdate: 10.1.6.0 / 24 v ia Connected metric 429 4 967 2 95/4294967295 *Mar 1 02:35:31.848: DUAL: Find FS for dest 10.1 . 6.0/24. FD is 2169856, RD is 2 169856 *Mar 1 02 : 35:31.848: DUAL: 0.0.0.0 metric 4294967295/4294967295 not f ound D min is 4294967295 *Mar 1 02:35:31.848: DUAL: Peer total/stub 2/0 template/full-stub 2/0

•• •. .• •• •• ••

•

••

CCNA ICND2

•• •• •• •

••

•• •• •

•• •• •• •• ••

"Mar 1 02:35:31.848: DUAL: Dest 10.1.6.0/24 entering active state. "Mar 1 02 : 35:31.852 : DUAL: Set reply-status table. Count is 2. "Mar 1 02:35:31 . 852: DUAL: Not doing split horizon

Next, Albuquerque realizes that neighbor 10 . 1.6.3

(Seville) is down, so

Albuquerque can react.

"Mar 1 02:35:31.852: %DUAL-5-NBRCHANGE: IP-EIGRP(O) 1: Neighbor 10.1.6.3 (Seri a l O/ 1 ) is down: i nterfac e d own

1-

The next two highlighted messages imply that the old route to 10.1.3.0 is removed, and the new successor route (previously the feasible successor route) is added to the "RT " (routing table).

"Mar 1 02 : 35:31.852: DUAL: Dest i nati on 1 0. 1 . 3.0 /2 4 "Mar 1 02:35:31.852: DUAL: Find FS fo r dest 1 0. 1. 3 .0 /2 4 . FD i s 2 1 72 416, RD is 2172 416 "Mar 1 02:35:31 . 856: DUAL : 10.1.6 . 3 metric 4294967295/4294967295 "Mar 1 02:35 : 31.856: DUAL: 10.1.4.2 metric 2684416/1794560 found Dmin is 2684416

The next two highlighted messages state that the old route is removed, and the new route thr ough Yosemite is added to the "RT " (routing table).

"Mar 1 02:35:31.856: DUAL: Removing dest 10 .1. 3. 0 /2 4 , n ext hop 10 .1. 6.3 "Mar 1 02:35 : 31.856: DUAL: RT i nstalled 1 0. 1 . 3 . 0 /2 4 v ia 1 0.1 .4 .2 "Mar 1 02:35 : 31.856: DUAL: Send update about 10.1.3.0/24. Reason: metric chg "Mar 1 02 : 35:31.860: DUAL: Send update about 10.1.3.0/24. Reason : new if

• Autenticação no EIGRP • o EIGRP suporta um tipo de autenticação: o MD5. Configurar a autenticação MD5 requer diversos passos:

•• •• •• •• •• •• •• •• •

287

Passo 1 Criar uma cadeia de chave (para autenticação):

/;~~;~o

'. Ch.ve

....

a. Criar a cadeia e dar a ela um nome através do comando global key chain name (isto também coloca o usuário no modo de configuração cadeia de chave). b. Criar um ou mais números-chave usando o comando key number no modo de configuração cadeia de chave.

c. Definir o valor da chave de autenticação usando o comando key-string value no modo de configuração chave. d. (Opcional) Definir o tempo de vida (período de tempo) para ambos, enviar e aceitar esta chave em particular.

Passo 2 Habilitar a autenticação MD5 do EIGRP em uma interface, para um ASN do EIGRP em particular, usando o subcomando de interface ip authentication mode eigrp asn mdS. Passo 3 Referenciar a cadeia de chave correta a ser usada em uma interface usando o subcomando de interface ip authentication key-chain eigrp asn name-of-chain. A configuração no Passo 1 é razoavelmente detalhada, mas os Passos 2 e 3 são relativamente simples. Essencialmente, o lOS configura os valores das chaves separadamente, depois exige um subcomando de interface para se referenciar aos valores das chaves. Para suportar a capacidade de ter múltiplas chaves, e até mesmo múltiplos conjuntos de chaves, a configuração inclui o conceito de cadeia de chaves e de múltiplas chaves em cada cadeia de chaves. O conceito de cadeia de chaves do lOS lembra as cadeias de chave e as chaves usadas no dia-a-dia. A maioria das pessoas possui pelo menos uma cadeia de chaves, com as chaves tipicamente usadas todos os dias. Se você possuir muitas chaves, do trabalho e de casa, você poderia ter duas cadeias de chave para fazer com que seja mais fácil

288 Capítulo 10: EIGRP encontrar a chave correta. Você poderia até ter uma cadeia de chaves com chaves raramente usadas, e que você mantém em algum lugar numa estante. De modo similar, o lOS permite configurar várias cadeias de chaves, de modo que diferentes cadeias de chaves possam ser usadas em diferentes interfaces. Cada cadeia de chaves pode incluir múltiplas chaves. Ter múltiplas chaves em uma cadeia de chaves permite que os vizinhos continuem ativos e em funcionamento enquanto as chaves estiverem sendo trocadas. (Da mesma forma que acontece com todas as senhas e chaves para autenticação, mudar as chaves ocasionalmente melhora a segurança.) Para configurar estes detalhes principais, siga os Passos IA, lB e lC para criar a cadeia de chaves, criar uma ou mais chaves e atribuir a chave de texto (senha). O último item opcional que pode ser configurado para autenticação no EIGRP é o tempo de vida útil para cada chave. Se isto não for configurado, a chave será válida para sempre. No entanto, se isto for configurado, o roteador usará a chave somente durante os períodos definidos. Este recurso permite que a cadeia de chaves inclua diversas chaves, cada uma com diferentes e sucessivos períodos de vida Por exemplo, poderiam ser definidas 12 chaves, uma para cada mês do ano. Os roteadores então, usariam automaticamente a chave com o menor número, cujo intervalo de tempo seja válido, mudando as chaves automaticamente a cada mês, neste exemplo. Este recurso permite que um engenheiro configure as chaves uma vez e faça com que os roteadores usem chaves novas ocasionalmente, melhorando a segurança. Para suportar o conceito de tempo de vida útil, um roteador deve conhecer a data e a hora. Os roteadores podem configurar a data e a hora através do comando EXEC c10ck set. Os roteadores também podem usar o NTP (Network Time Protocol), um protocolo que permite que os roteadores sincronizem seus relógios que marcam a hora do dia. A melhor forma de se apreciar esta configuração é ver um exemplo. O Exemplo 10-6 apresenta uma amostra de configuração que usa duas cadeias de chave. A cadeia de chaves "fred" possui duas chaves, cada uma com diferentes períodos de vida, de modo que o roteador irá usar chaves novas automaticamente ao longo do tempo. O exemplo também mostra as duas cadeias de chaves sendo referenciadas em duas interfaces diferentes.

Exemplo 10-6 Autenticação no EIGRP Chain "carkeys" will be used on Rl's FaO/O i n terface . Rl will use key "fred" for about a month and then start using "wilma."

key chain carkeys key 1 key-strinl1 fred accept-lifetime 08:00:00 Jan 11 2005 08:00:00 Feb 11 2005 send-lifetime 08:00:00 Jan 11 2005 08:00:00 Feb 11 2005 key 2 key-strinl1 wilma accept-lifetime 08:00:00 Feb 10 2005 08:00:00 Mar 11 2005 send-lifetime 08:00:00 Feb 10 2005 08:00:00 Mar 11 2005 Next, key chain "anoth ersetofkeys" defines the key to be used on interface FaO/l. key chain anothersetofkeys key 1 key-strinl1 barney

Next, Rl's interface subcommands are shown . First,

the key chain is referenced

using the ip authentication key-chain command, and the ip authentication mode eil1rp command causes the router to use an MOS digest of the key string. interface FastEthernetO/O ip address 172.31.11.1 255.255.255.0 ip authentication mode eil1rp 1 md5 -

ip authentication key-chain eil1rp 1 carkeys -

Below, Rl enables EIGRP authentication on int erface FaO/l,

• •• ••

•• •• •• •• •• •• •• •• •• •• •• •

•• •• •

•• •• •• •• •• •

I

•• •• •

•• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

289

! using the o ther key chain .

interface FastEthernetO/1 ip address 172.31.12.1 255.255.255.0 ip a uthent i c atio n eigrp 1 md5 i p auth entic ation key-chain eigrp 1 anothersetofkeys

Para que a autenticação funcione, roteadores vizinhos devem ambos ter a autenticação MD5 do EIGRP habilitada, e as strings de chaves em uso corrente devem ser idênticas. Observe que o nome da cadeia de chaves não precisa ser o mesmo. Os problemas mais comuns estão relacionados ao fato dos tempos de vida útil não serem iguais, ou o relógio de um dos roteadores ter a hora errada. Para implementações na vida real, o NTP deve ser habilitado e usado antes de se restringir as chaves para um determinado intervalo de tempo. Para verificar se a autenticação funcionou, use o comando show ip eigrp neighbors. Se a autenticação falhou, a relação de vizinhança não será formada. Além disso, se você vir que rotas foram aprendidas a partir de um vizinho naquela interface, isto também prova que a autenticação funcionou. Você poderá ver maiores detalhes sobre o processo de autenticação usando o comando debug eigrp packets, particularmente se a autenticação falhou.

• Número máximo de caminhos e variância no EIGRP

•• ••

• e •

Da mesma forma que no OSPF, o EIGRP suporta a capacidade de colocar várias rotas com métricas iguais na tabela de roteamento. Como no OSPF, o default do EIGRP é suportar quatro destas rotas para cada sub-rede, e ele pode ser configurado para suportar até 16, através do subcomando do EIGRP maximum-paths number. Porém, o cálculo de métrica do EIGRP geralmente evita que rotas concorrentes tenham exatamente a mesma métrica. A fórmula pode resultar em métricas similares, mas dado que os valores das métricas podem estar facilmente na casa dos milhões, calcular exatamente a mesma métrica é estatisticamente improvável. O lOS inclui o conceito de variância do EIGRP para superar este problema. A variância permite que as rotas cujas métricas estejam relativamente próximas com relação a seu valor sejam consideradas iguais, permitindo que múltiplas rotas para a mesma sub-rede, com métricas diferentes, sejam adicionadas na tabela de roteamento. O subcomando de roteador do EIGRP variance multiplier define um inteiro entre 1 e 128. O roteador então multiplica a variância pelo FD da rota - a melhor métrica com a qual se alcança a sub-rede em questão. Quaisquer rotas FS cujas métricas sejam menores que o produto da variância pelo FD serão consideradas rotas iguais e poderão ser colocadas na tabela de roteamento, dependendo da configuração no comando maximum-paths. Um exemplo de variância pode tornar este conceito mais claro. Para manter os números mais óbvios, a Tabela 10-3 mostra um exemplo com valores de métrica pequenos. A tabela apresenta as métricas para três rotas, para a mesma subrede, conforme calculado pelo roteador R4. A tabela também mostra o RD dos roteadores vizinhos, e a decisão de adicionar rotas na tabela de roteamento, baseada em diversas configurações de variância.

Tabela 10-3 Exemplo de Rotas Selecionadas como Iguais Em Função da Variância Próximo Hop

•

RI

.

R2

• •

• •

•• •

Métrica

RD

Adicionado na TR com Variância 1?

Adicionado na TR com Variância 2?

Adicionado na TR com Variância 3?

50

30

Sim

Sim

Sim

90

40

Não

Sim

Sim

120

60

Não

Não

Não

R3 --------------------------------------------------------------Antes de considerar a variância, observe que neste caso, a rota através de RI é a rota para sucessor porque ela possui a menor métrica. Isto também significa que a métrica para a rota através de RI, 50, é o FD. A rota através de R2 é uma rota FS porque seu RD de 40 é menor que o FD de 50. A rota através de R3 não é uma rota FS porque o RD de R3, igual a 60, é maior que o FD de 50. Na configuração default de variância 1, as métricas devem ser exatamente iguais para serem consideradas iguais, portanto apenas a rota para sucessor é adicionada na tabela de roteamento. Com variância 2, o FD (50) é multiplicado pela variância (2) resultando num produto de 100. A rota através de R2, com FD de 90, é menor que 100, portanto R4

290 Capítulo 10: EIGRP adiciona a rota através de R2 na tabela de roteamento também. O roteador pode então balancear a carga de tráfego através destas duas rotas. No terceiro caso, com variância igual a 3, o produto do FD (50) vezes 3 resulta em um produto de ISO, e todas as métricas calculadas para as três rotas são menores que 150. No entanto, a rota através de R3 não é uma rota FS, portanto ela não pode ser adicionada na tabela de roteamento, temendo-se causar um loop no roteamento. A seguinte lista resume os pontos-chave a respeito de variância:

(~~;;~o \ Chave ". • Quaisquer rotas FS cujas métricas calculadas sejam menores ou iguais ao produto da variância vezes o FD são adicionadas na tabela de roteamento IP, assumindo que a configuração em maximum-paths permita mais rotas. • A variância é multiplicada pelo FD corrente (a métrica da melhor rota para se alcançar uma sub-rede).

• Rotas que não são nem sucessor e nem sucessor possível nunca poderão ser adicionadas na tabela de roteamento IP, independentemente da configuração da variância. Assim que as rotas são adicionadas na tabela de roteamento, o roteador suporta uma variedade de opções a respeito de como balancear a carga de tráfego através das rotas. O roteador pode balancear o tráfego proporcionalmente às métricas, significando que rotas com métricas menores enviarão mais pacotes. O roteador poderá enviar todo o tráfego através da rota de menor métrica, com as outras rotas estando na tabela de roteamento somente para convergência mais rápida caso a melhor rota falhe. Porém, os detalhes sobre o processo de balanceamento de carga exigem uma discussão muito mais profunda com relação aos detalhes mais internos do processo de encaminhamento no lOS, e este tópico está fora do escopo deste livro.

Ajustando o cálculo da métrica no EIGRP Por default, o EIGRP calcula uma métrica inteira, baseado na métrica composta pela largura de banda e pelo atraso. Ambas as configurações podem ser alteradas em qualquer interface usando-se os subcomandos de interface bandwidth value e delay value. A Cisco recomenda configurar a largura de banda de cada interface com um valor bem preciso, ao invés de configurar a largura de banda para alterar o cálculo da métrica no EIGRP. Embora as interfaces LAN tenham configurações default de largura de banda bem precisas, enlaces seriais de roteadores devem ser configurados através do comando bandwidth speed, com um valor de velocidade em kbps, ajustando-se à velocidade real da interface. Em função de poucas facilidades basearem-se na configuração de atraso da interface, a Cisco recomenda que, se você quiser ajustar a métrica do EIGRP, então deve alterar as configurações de atraso da interface. Para alterar a configuração de atraso da interface, use o comando delay value, onde o valor é a configuração de atraso em uma unidade incomum: dezenas de micros segundos. De modo interessante, a fórmula da métrica do EIGRP também usa a unidade de dezenas de microssegundos; no entanto, os comandos show apresentam o atraso em uma unidade de microssegundos. O Exemplo 10-7 mostra um exemplo, com os seguintes detalhes: 1. O FaO/O do roteador possui uma configuração default de atraso de 100 rnicrossegundos (usec).

2. O comando delay 123 é configurado na interface, e significa 123 dezenas de microssegundos. 3. O comando show interfaces faO/O agora lista um atraso de 1230 microssegundos. Exemplo 10-7 Configurando o Atraso da Interface Yosemite# show interfaces faO/O FastEthernetO/O is up, line protocol is up Hardware is Gt96k FE, address is 0013.197b.5026

(bia 0013 . 197b.5026)

Internet addres s is 10.1.2.252/24 MTU 1500 bytes, BW 100000 Kbit, DLY 100 usec , lines omitted for brevity Yosemite# configure terminal Enter configuration commands, one per l ine. End with CNTL/Z. Yosemite(config)# interface faO/O Yosemite(config-if)#de1ay 123

•• •• •• ••

•• •• •• •• •• •• •• •• •• •• •

•• •

•• •• •• •• •• •• •

•• •

CCNA ICND2

•

Yosemite(config-if)# AAZZ

•

Yosemite #show interfaces faO/O

•

FastEthernetO/O is up, line protocol is up

291

•• •. L-______________________________________________________ • Hardwa re is Gt96k FE, address is 0013 . 197b.5026 (bia 0013.197b.5026) Internet address is 10.1.2.252/24

MTU 1500 bytes, BW 100000 Kbit, DLY 1230 usec,

lines omitted for brevity

~

• Atividades de preparação para o exame

• Revise todos os tópicos-chave

• •

Revise os tópicos mais importantes deste capítulo, assinalados com o ícone de tópicos-chave. A Tabela 10-4 lista estes tópicos-chave e onde cada um deles foi discutido. .......... ( Tópico

\~have

•

Tabela 10-4 Tópicos-Chave do Capítulo 10

:

Elemento do Tópico-Chave

Descrição

• •

Lista

Razões pelas quais os roteadores EIGRP não podem se tomar vizinhos

275

•

Figura 10-1

Descreve a progressão normal através da descoberta de vizinhos, atualizações completas de roteamento, Hellos em andamento e atualizações parciais

276

:

Lista

Definições de FD (Fesible Distance) e RD (Reported Distance)

278

••

Número da Página

. ----------------------------------------------------------•

Figura 10-4

Exemplo de como os roteadores determinam quais rotas são sucessores possíveis

280

Comparações entre recursos do EIGRP e do OSPF

281

. ------------------------------------------------------------•

Tabela 10-2

e ------------------------------------------------------------•

Lista

Lista de verificação da configuração do EIGRP

281-282

• •

Lista

286

•

Pontos-chave sobre como determinar uma rota para sucessor possível a partir da saída do comando show

-------------------------------------------------------------

•

Lista

287

Pontos-chave a respeito de variância do EIGRP

290

•

------------------------------------------------------------------------------------

.

---------------------------------------------------------------

•

I

Lista de verificação da configuração da autenticação MD5 do EIGRP

•

•• ••

••

Lista

Complete as tabelas e listas usando a memória Imprima uma cópia do Apêndice J, "Tabelas de memória", ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das tabelas de memória", inclui as tabelas e listas completadas para você conferir o seu trabalho.

292 Capítulo 10: EIGRP

Definição de termos-chave Defina os seguintes termos-chave deste capítulo, e verifique suas respostas no glossário:

• •• •

atualização completa, atualização parcial, condição de viabilidade, feasible distance, reported distance, sucessor, : sucessor possível

Referência aos comandos para verificar sua memória Embora você não precise necessariamente memorizar as informações das tabelas desta seção, ela inclui uma referência para os comandos de configuração e EXEC cobertos neste capítulo. Na prática, você deve memorizar os comandos como reflexo da leitura do capítulo e da execução de todas as atividades desta seção de preparação para o exame. Para verificar o quão eficientemente você memorizou os comandos como reflexo de seus outros estudos, cubra o lado esquerdo da tabela, leia as descrições do lado direito, e veja se você se lembra do comando.

Tabela 10-5 Referência aos Comandos de Configuração do Capítulo 10

•• • . . •

••

Comando Descrição --------------------------------------------------------------- e router eigrp autonomous-system Comando global para mudar o usuário para o modo de configuração do • _______________________________E_IG_RP __,_p_ar_a_o_A __ SN __li_sta __ do____________________________ •

network network-number [wildcard mask] Subcomando de roteador do EIGRP que casa todas as interfaces em

• uma rede classful, ou um subconjunto de interfaces baseado na máscara • curinga estilo ACL, habilitando o EIGRP nestas interfaces •

maximum-paths number-paths

Subcomando de roteador que define o número máximo de rotas com custos iguais que podem ser adicionadas na tabela de roteamento

----------------------------------------------------------------

• •

variance multiplier

Subcomando de roteador que define um multiplicador do EIGRP usado • para se determinar se a métrica de uma rota para sucessor possível está • próxima o suficiente da métrica do sucessor para ser considerada igual •

bandwidth bandwidth

Subcomando de interface que configura diretamente a largura de banda • da interface (kbps)

delay delay-value

Subcomando de interface para configurar o valor de atraso da interface, • em unidades de dezenas de microssegundos •

•

ip hello-interval eigrp as-number timer-value Sub comando de interface que configura o intervalo de Helio do EIGRP • para este processo do EIGRP

ip hold-time eigrp as-number timer-value

Subcomando de interface que configura o hold time do EIGRP para a interface

•

••

-m-a-XI-om-u-m---p-a-th-s-n-u-m-b-e-r--o-if--p-a-th-s-----S-u-b-c-o-m-an-d-o-d-e-r-o-te-a-d-or-q-u-e-d-e-fi-m-e-o-n-úm-e-ro-m-áxim-· -o-d-e-ro-t-a-s-c-om-- • custos iguais que podem ser adicionadas na tabela de roteamento

ip authentication key-chain eigrp asn chain-name

•

Subcomando de interface que faz referência à cadeia de chaves usada • na autenticação MD5 do EIGRP •

ip authentication mode eigrp asn md5

Subcomando de interface que habilita a autenticação MD5 do EIGRP para todos os vizinhos que podem ser alcançados pela interface

key chain name

Comando global para criar e nomear uma cadeia de chaves para autenticação

•• •• •

••

I

•• • • •

CCNA ICND2 send-lifetime start-time { infmite end-time I duration seconds } determinada chave

I

293

Comando do modo cadeia de chaves para configurar o intervalo de tempo durante o qual um roteador irá enviar mensagens EIGRP usando uma

. ----------------------------------------------------------------

• •

Tabela 10-6 Referência aos Comandos EXEC do Capítulo 10

•

Comando

Descrição

•

show ip route eigrp

Lista as rotas da tabela de roteamento aprendidas com o EIGRP

•

show ip route ip-address [maskJ

Mostra a tabela de roteamento completa, ou um subconjunto se forem colocados parâmetros

. ---------------------------------------------------------------. ---------------------------------------------------------------

· •• .·

I • I

•

show ip protocols

Mostra os parâmetros do protocolo de roteamento e os valores correntes dos temporizadores

--------------------------------------------------------------show ip eigrp neighbors

Lista os vizinhos EIGRP e seus estados.

show ip eigrp topology

Lista o conteúdo da tabela de topologia do EIGRP, incluindo os sucessores e os sucessores possíveis

---------------------------------------------------------------show ip eigrp tramc

•

Lista estatísticas relativas ao número de mensagens do EIGRP enviadas e recebidas por um roteador

--------------------------------------------------------------debug eigrp packets Apresenta o conteúdo dos pacotes do EIGRP . -----------------------------------------------------------

•

debug eigrp fsm

Apresenta mudanças nas rotas para sucessor e sucessor possível do EIGRP

. ------------------------------------------------------------•

debug ip eigrp

Apresenta uma saída similar ao do comando debug eigrp packets, mas especificamente para o IP

. -------------------------------------------------------------

•• •• •• •• •• •• •

•• •• ••

•• •• •• •• •• •• •• •

• ------------------------------ . -------------------------------- . Este capítulo aborda os • seguintes assuntos: • -------------------------------- . Perspectivas sobre a resolução de problemas em protocolos de roteamento: esta pequena seção introdutória explica o processo de resolução de problemas que este livro sugere para problemas em protocolos de roteamento.

• • • • • •

Interfaces habilitadas com um protocolo de roteamento: • esta seção mostra como determinar as interfaces nas quais um roteador tenta formar relações de vizinhança e as sub- • redes conectadas de quem devem ser anunciadas. • Relações de vizinhança: esta seção examina por que os • roteadores podem falhar em se tomarem vizinhos de • roteadores com os quais eles deveriam ser vizinhos. •

•• •• •• •• •• ••

•• •• CAPíTULO 11 •• •• Resolvendo problemas em protocolos de •• roteamento •

•• •• •• •• •• •• •• •• Questionário "Eu já conheço isto?" •• •• •• •• •• •• •• ••

Os Capítulos 3 e 7, os outros dois capítulos deste livro dedicados à resolução de problemas, focam no processo de encaminhamento de dados. Em particular, o Capítulo 7, "Resolvendo problemas de roteamento IP", em sua maior parte, ignora como as rotas são adicionadas na tabela de roteamento, focando inteiramente no processo de plano de dados do encaminhamento de pacotes IP, e em como resolver problemas neste processo. O Capítulo 7 assume que os processos de plano de controle relacionados ao preenchimento da tabela de roteamento serão cobertos em outro lugar - principalmente na Parte l i deste livro. Este capítulo fecha a cobertura do plano de controle do IPv4 - o processo de preencher as tabelas de roteamento dos roteadores com boas rotas - examinando a forma de solucionar problemas no OSPF e no EIGRP. O processo de resolução de problemas em si é relativamente direto, pelo menos no que se refere à profundidade exigida pelos exames CCNA. No entanto, como sempre, você precisa pensar em diversos detalhes diferentes enquanto estiver resolvendo os problemas; deste modo, o processo pode ajudar a garantir que você vai verificar cada componente antes de prosseguir para a próxima função.

Este capítulo conclui a Parte l i deste livro. Se você estiver se preparando especificamente para o exame CCNA usando o plano de leitura mencionado na Introdução, observe que depois deste capítulo, você deveria voltar para o CCENT/ CCNA fCNDI Guia Oficial de Certificação do Exame, Parte IV.

Os capítulos a respeito de resolução de problemas deste livro reúnem conceitos de muitos outros capítulos, inclusive de alguns capítulos do CCENT/CCNA fCNDI Guia Oficial de Certificação do Exame . Eles também mostram como abordar algumas das perguntas mais desafiadoras dos exames CCNA. Sendo assim, será útil ler estes capítulos, independentemente de seu nível atual de conhecimentos. Por estas razões, os capítulos relativos à resolução de problemas não incluem um questionário "Eu já conheço isto?". No entanto, se você se sentir particularmente autoconfiante com respeito à resolução de problemas no OSPF e no EIGRP, sinta-se à vontade para seguir adiante até à seção "Atividades de preparação para o exame", próxima ao final deste capítulo, e avançar pela maior parte deste capítulo.

Tópicos fundamentais

O melhor passo inicial quando estiver resolvendo problemas em um protocolo de roteamento é examinar a configuração dos vários roteadores. Comparar a configuração do protocolo de roteamento, particularmente dos subcomandos network, com os endereços IP da interface pode rapidamente confirmar se o protocolo de roteamento foi habilitado em todas as devidas interfaces. Se o mesmo estiver habilitado em todas as interfaces corretas em todos os roteadores, um exame, a seguir, na configuração da interface e na configuração da autenticação pode verificar se algum parâmetro de configuração pode estar impedindo que dois roteadores na mesma sub-rede se tomem vizinhos. Uma falha em passar por todos os requisitos necessários para se tomar vizinhos irá impedir que dois roteadores troquem informações sobre roteamento.

••

O Capítulo 9, "OSPF' e o Capítulo 10, "EIGRP", cobrem a fundo a configuração dos protocolos de roteamento, de modo que este capítulo não tentará explicar como resolver problemas procurando por erros na configuração. Porém, a configuração pode nem sempre estar disponível nos exames ou na vida real. Este capítulo foca em como resolver problemas em protocolos de roteamento usando-se apenas os comandos show e debug. Em primeiro lugar, este capítulo discute algumas opções para resolver problemas em protocolos de roteamento, incluindo a sugestão de um processo que possui dois

296 Capítulo 11 : Resolvendo problemas em protocolos de roteamento passos principais. As outras duas seções principais deste capítulo examinam como executar cada um destes passos principais na resolução de problemas, para ambos os protocolos, o EIGRP e o OSPE

Perspectivas sobre a resolução de problemas em protocolos de roteamento Pelo fato da função de um protocolo de roteamento ser a de preencher a tabela de roteamento de um roteador com as melhores rotas correntes, faz sentido dizer que resolver problemas em potencial nos protocolos de roteamento poderia começar pela tabela de roteamento IP. Dadas as informações básicas a respeito de uma interconexão de rede, incluindo os roteadores, seus endereços IP e as máscaras, e o protocolo de roteamento, você poderia calcular os números das subredes que deveriam estar na tabela de roteamento do roteador e listar o(s) provável(is) roteador(es) next-hop para cada rota. Por exemplo, a Figura 11-1 mostra uma interconexão de rede com seis sub-redes. A tabela de roteamento do roteador RI deveria listar todas as seis sub-redes, com três rotas conectadas, duas rotas aprendidas de R2 (172.16.4.0/ 24 e 172.16.5.0/24), e uma rota aprendida de R3 (172.16.6.0/24). Portanto, um possível processo para resolver problemas seria analisar a interconexão de rede, olhar a tabela de roteamento e procurar por rotas que estejam faltando. Se uma ou mais rotas esperadas estiverem faltando, o próximo passo seria determinar se aquele roteador aprendeu alguma rota a partir do suposto roteador next-hop (vizinho). Os próximos passos para isolar o problema são bem diferentes caso um roteador esteja tendo problemas para formar uma relação de vizinhança com outro roteador, versus ter uma relação de vizinhança em funcionamento, mas não ser capaz de aprender todas as rotas. Figura 11-1 Interconexão de rede com Seis Sub-Redes

172.16.6.1/24

Por exemplo, suponha que RI na Figura 11-1 tenha aprendido uma rota para a sub-rede 172.16.4.0/24 da Figura 11-1, mas não para a sub-rede 172.16.5.0/24. Neste caso, fica claro que RI possui uma relação de vizinhança em funcionamento com R2. Nestes casos, a causa raiz deste problema ainda pode estar relacionada ao protocolo de roteamento, ou pode não ter nada a ver com o protocolo de roteamento. Por exemplo, o problema pode ocorrer pelo fato da interface da LAN inferior de R2 estar fora. No entanto, se RI não tivesse uma rota nem para 172.16.4.0/24 nem para 172.16.5.0/24, a relação de vizinhança entre RI e R2 poderia ser o problema. Resolver problemas de protocolos de roteamento em interconexões reais de rede pode ser bastante complexo - muito mais complexo que a mais difícil das questões do exame CCNA. Definir um processo genérico para resolução de problemas com o qual atacar ambos os tipos de problemas de protocolo de roteamento, os simples e os complexos, iria exigir bastante espaço e seria improdutivo na preparação para os exames CCNA. Este capítulo oferece um processo direto para atacar problemas relativos a protocolos de roteamento - especificamente, problemas similares em profundidade e complexidade aos dos exames CCNA. Se uma questão do exame parecer estar relacionada a um problema com um protocolo de roteamento, você poderia rapidamente identificar alguns erros comuns de configuração usando o seguinte processo - mesmo sem ter a configuração ou a capacidade de usar o comando show running-config. O processo possui três caminhos principais: Passo 1 Examine o desenho da interconexão de rede para determinar em quais interfaces o protocolo de roteamento deveria estar habilitado e quais roteadores espera-se que se tomem vizinhos.

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•

• •• •• •• •• •• •• •• •• •• •• •• •• • :

CCNA ICND2 297 Passo 2 Verifique se o protocolo de roteamento está habilitado em cada interface (de acordo com o Passo 1). Se não estiver, determine a causa raiz e corrija o problema. Passo 3 Verifique se todos os roteadores formaram todas as relações de vizinhança esperadas. Caso contrário, encontre a causa raiz e corrija o problema. Neste ponto, tendo completado os capítulos 9 elO, o Passo 1 não deveria exigir maiores explicações. As duas principais seções restantes deste capítulo examinarão os Passos 2 e 3. Ao completar estes passos e corrigir qualquer problema encontrado durante este processo, você deverá ter corrigido os problemas de protocolo de roteamento do nível CCNA.

Interfaces habilitadas com um protocolo de roteamento Esta seção examina o segundo maior passo na resolução de problemas apresentado na seção anterior deste capítulo: como conferir as interfaces nas quais o protocolo de roteamento foi habilitado. Ambas as configurações, do EIGRP e do OSPF, habilitam o protocolo de roteamento em uma interface através do subcomando de roteador network. Para qualquer interface que casar através dos comandos network, o protocolo de roteamento tentará as duas seguintes ações: •

Tentará encontrar vizinhos em potencial na sub-rede conectada à interface.

•

Anunciará a sub-rede conectada a esta interface.

!;~~;~o \ Cluo".

".

Ao mesmo tempo, o subcomando de roteador passive-interface pode ser configurado, de modo que o roteador não tentará encontrar vizinhos na interface (a primeira ação que acabou de ser listada), mas ainda assim anunciará a sub-rede conectada (a segunda ação). Três comandos show são tudo o que é necessário para se saber exatamente quais interfaces foram habilitadas com EIGRP e OSPF, e quais interfaces são passivas. Em particular, o comando show ip eigrp interfaces lista todas as interfaces com EIGRP habilitado e que não são interfaces passivas. O comando show ip pr otocols lista essencialmente os conteúdos dos comandos network configurados para cada protocolo de roteamento, bem como uma lista separada das interfaces passivas. A comparação entre estes dois comandos identifica todas as interfaces habilitadas com EIGRP e aquelas que são passivas. Para OSPF, o comando funciona de um modo um pouco diferente, com o comando show ip ospf interface brief mostrando todas as interfaces com OSPF habilitado (inclusive as interfaces passivas). A Tabela 111 resume estes comandos para uma referência mais fácil. Tabela 11-1 Comandos-Chave Para Encontrar Interfaces com Protocolo de Roteamento Habilitado

!;~~;~o \ Chave ".

Comando

I nformação-Cha ve

show ip eigrp interfaces

Lista as interfaces nas quais o protocolo de roteamento está habilitado (baseado nos comandos network), exceto as interfaces passivas

•

show ip ospf interfaces br ief

Lista as interfaces nas quais o OSPF está habilitado (baseado nos comandos network), inclusive as interfaces passivas

•

show ip protocols

Lista os conteúdos dos comandos de configuração network para cada processo de roteamento, e lista as interfaces habilitadas, porém passivas

•

• • •• •• •• •• •

••

Observação Todos os comandos da Tabela 11-1 listam as interfaces, independentemente do estado da interface, com efeito, informando a você os resultados dos comandos de configuração network e passive-interface. Assim, para o principal passo na resolução de problemas coberto nesta seção, a tarefa consiste em usar os comandos da Tabela 11-1 e analisar as respectivas saídas. Primeiramente será mostrado um exemplo para EIGRP, seguido de um exemplo para OSPF.

Exemplo de resolução de problema em uma interface EIGRP Esta seção mostra alguns exemplos de comandos no contexto da Figura 11-2, que será usada em todos os exemplos deste capítulo.

298 Capítulo 11: Resolvendo problemas em protocolos de roteamento Figura 11-2 Amostra de Interconexão de Rede para Exemplos de Resolução de Problemas de EIGRP/OSPF FaO/O

FaO/O

10.1.1 .1/24

10.1.1.3/24

FaO/O

FaO/O

10.1.1.2/24

10.1.1.4/24

Este exemplo inclui quatro roteadores, com o seguinte cenário neste caso: • RI e R2 estão configurados corretamente em ambas as interfaces da LAN. • R3 não está corretamente habilitado com EIGRP em sua interface FaO/l. • R4 pretendia usar o comando passive-interface faO/l porque nenhum outro roteador está além da LAN FaO/l de R4, mas ao invés disso, R4 configurou o comando passive-interface faO/O. O Exemplo 11-1 começa mostrando os comandos pertinentes, com um exemplo em RI ou em R2. O exemplo também mostra a configuração em RI para efeitos de comparação. Exemplo 11-1 Problemas com Interfaces no EIGRP R1# show running-config ! only pertinent lines shown

router eigrp 99 network 10.0.0.0

R1> show ip eigrp interfaces ! apenas as l inhas pertin e n tes serão mostrad as

IP-EIGRP interfaces for process 99 Xmit Queu e Interface

Mean

pacing Time

Mu lticast

pendin g

SRTT

Un/Reliable

Flow Timer

Routes

0/10

50

O

0/10

O

O

Peers Un/Reliable

FaO / O

2

O/O

620

Fa O/ 1

O

O/O

o

R1> show ip eigrp protocol Routing Protocol is "ei grp 99 " Outgoing update filter li s t for al I interfaces i s not set Incoming update filter list for alI inter faces is not set Default networks flagged in outgoing updates Default networks accepted from incoming updates EIGRP metric weight KI=l, K2=0, K3=1, K4=0, K5=0 EIGRP maximum hopcount 100 EIGRP maximum metric vari ance 1 Redistributing: eigrp 99 EIGRP NSF-aware route hold timer is 240s Automatic network summarization is in ef f ect Maximum pa th : 4 Routing for Networks: 10.0 . 0.0 Routin g Information Sources: Gateway

Distance

Last Update

10.l.l.2

90

00:13:11

10.l.l.3

90

00:13:09

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2 299 Distance: internal 90 external 170 Os comandos seguintes são no roteador R2

R2> show ip eigrp interfaces IP-EIGRP interfaces for process 99

Interface

Xmit Queue

Mean

pacing Time

Multicast

pending

Peers Un/Reliable

SRTT

Un/Reliable

Flow Timer

Routes

FaO/O

2

O/O

736

0/1

3684

O

FaO/1

O

O/O

O

0/1

O

O

R2> show ip protoco1s Routing Protocol is "eigrp 99" Outgoing update filter list for all interfaces is not set Incoming update filter list for all interfaces is not set Default networks flagged in outgoing updates Default networks accepted from incoming updates EIGRP metric weight K1=1, K2=0, K3=1, K4=0, K5=0 EIGRP maximum hopcount 100 EIGRP maximum metric variance 1 Redistributing: eigrp 99 EIGRP NSF-aware route hold timer is 240s Automatic network summarization is in effect Maximum path: 4

,-

Routing for Networks: 10.0 .0.0 Routing Information Sources: Gateway

Distance

Last Update

10.l.l.3

90

00:13:25

10.l.l.1

90

00:13:25

Distance: internal 90 external 170 R2> show ip route eigrp 10.0.0.0/24 is subnetted, 3 subnets D

10.1.11.0 [90/30720] via 10.1.1.1, 00:13:38, FastEthernetO/O

A saída do comando show ip eigrp interfaces em ambos, RI e R2, mostra como RI e R2 configuraram o EIGRP usando o process ID 99, e que o EIGRP foi habilitado em ambos, FaO/O e FaOIl em RI e em R2. Este comando lista apenas as interfaces nas quais o EIGRP foi habilitado, não incluindo as interfaces passivas. As partes em destaque na saída do comando show ip protocols em cada roteador são particularmente interessantes. Estas partes mostram os parâmetros dos comandos network configurados. Para cada comando network, o comando show ip protocols mostra uma linha separada sob o título "Routing for Networks", com cada linha apresentando o conteúdo dos vários subcomandos de roteador network. Por exemplo, RI usa o comando de configuração network 10.0.0.0 (mostrado no início do exemplo), que casa com a linha "10.0.0.0" na saída do comando show ip protocols.

O fmal do exemplo dá uma visão breve do problema atual em R3, do ponto de vista de R2. O final do comando show ip protocols em R2 lista duas fontes de informações sobre roteamento: 10.1.1.1 (RI ) e 10.1.1.3 (R3). No entanto, R2 aprendeu apenas uma rota com o EIGRP (10.1.11.0/24), conforme mostrado na saída do comando show ip route eigrp. Se estivesse funcionando corretamente, R2 deveria ter aprendido três rotas com o EIGRP - uma para cada uma das subredes LAN externas mostradas na Figura 11-2. A seguir, o Exemplo 11-2 mostra os problemas em R3 e R4, e que impedem que RI e R2 aprendam sobre as sub-redes 10.1.33.0/24 e 10.1.44.0/24. O exemplo mostra a configuração pertinente em cada roteador para efeitos de perspectiva, bem como os comandos show que apontam os problemas .

300 Capítulo 11 : Resolvendo problemas em protocolos de roteamento Exemplo 11-2 Problemas com o EIGRP em R3 e em R4 R3# show running-config ! Iines omitted for brevity

router eigrp 99 network 10.1.1.3 0.0.0.0 network 10.1.13.3 0.0.0.0 auto-summary R3# show ip eigrp interfaces

IP-EIGRP interfaces for process 99 Xmit Queue

Mean

Pacing Time

MuIticast

Pending

Interface Peers Un/ReIiabIe

SRTT

Un/ReliabIe F

Iow Timer

Routes

FaOIO

1

0/10

50

o

010

2

R3# show ip protoco1s

Routing Protocol is "eigrp 99" Outgoing update filter list for all interfaces is not set Incoming update filter list for all interfaces is not set DefauIt networks flagged in outgoing updates DefauIt networks accepted from incoming updates EIGRP metric weight K1=1, K2=0, K3=1, K4=0, K5=0 EIGRP maximum hopcount 100 EIGRP maximum metric variance 1 Redistributing: eigrp 99 EIGRP NSF-aware route hold timer is 240s Automatic network summarization is in effect Maximum pa th : 4 Routing for Networks: 10.l.l.3/32 10.l.13.3/32 Routing Information Sources: Gateway

Distance

Last Update

10.l.l.2

90

00 : 28 : 16

10.l.l.1

90

00:28:14

Distance: internaI 90 externaI 170 ! R4 output starts here

R4# show running-config ! Iines omitted for brevity

router eigrp 99 passive-interface FastE t hern etOIO -

network 10.0.0 . 0 auto-summary R4#show ip eigrp interfaces IP-EIGRP interfaces for process 99 pacing Time

MuIticast

Pending

SRTT

Un/ReliabIe F

Iow Timer

Routes

o

0/1

o

o

Xmit Queue Interface Peers Un/ReIiabIe

FaO/1

o

010

Mean

R4# show ip protocols

Routing Protocol is "eigrp 99"

• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •• ••

• •• •• •• • •• •• •• •• •• •• •• •• •• •• • •• •• •• • •

CCNA ICND2

301

Outgoing upda t e filter list for alI interfaces is no t set Incoming update filter list f o r alI interfa c e s i s not set Default networks flagged in outgoing updates Default n e tworks a ccepted from incomin g upda tes EI GRP me t ric we igh t K1=1, K2=0, K3=1 , K4=0, K5 =0 EIGRP rnaximurn hopcount 100 EIGRP maximurn metric v ariance 1 Redistributing: eigrp 99 EIGRP NSF-aware route hold timer is 240s Automatic network surnrnarization is in effect Maximurn pa t h: 4

1-

Routing for Networks : 10 . 0.0 . 0

1-

Passive I nterface(s) : FastEt h e rnetO / O Routing Inforrnation Sources: Gateway

Distance

Last Update

Distance : internaI 90 externaI 170

A causa raiz do problema em R3 é que R3 possui o comando de configuração network 10.1.13.3 0.0.0.0, que não casa com o endereço IP 10.1.33.3 de FaO/l de R3. Se a configuração não estiver disponível na questão do exame, o comando show ip protocols poderia ser usado para ver essencialmente os mesmos detalhes de configuração. Neste caso, o comando show ip protocols em R3 apresenta o texto " 10.1.13.3/32" como uma referência ao conteúdo dos parâmetros incorretos do comando network. Como resultado, R3 não tenta encontrar vizinhos em sua interface FaO/l , o que não é um grande problema neste caso, mas R3 também não anuncia a sub-rede 10.1.33.0/24, a sub-rede conectada além de sua interface FaO/l. Também observe que o comando show ip eigrp interfaces em R3 omite a interface FaO/l , o que por si s6 não determina a causa raiz, mas pode ajudar você a isolar o problema. Em R4, o engenheiro poderia ter usado corretamente o subcomando de roteador passive-interface fastethernetO/1 porque nenhum outro roteador deveria existir além da interface FaO/l de R4. No entanto, o engenheiro erroneamente fez referência à interface FaO/O em R4, ao invés da interface FaO/l. O comando show ip eigrp interfaces em R4 omite propositadamente a interface passiva (FaO/O), e a parte em destaque na saída do comando show ip protocols de R4lista FaO/O como uma interface passiva. Pelo fato de FaO/O de R4 ser passiva, R4 nem mesmo tenta se tomar vizinho de outros roteadores na mesma LAN.

Exemplo de resolução de problemas em uma interface OSPF OSPF possui os mesmos requisitos básicos de EIGRP para interfaces, com algumas exceções. Em primeiro lugar, roteadores EIGRP precisam usar o mesmo ASN ou process ID que seus roteadores vizinhos, conforme configurado através do comando global de configuração router. Roteadores OSPF podem usar qualquer process ID, sem a necessidade de ser o mesmo que o de seus vizinhos. Em segundo lugar, o OSPF exige que as interfaces conectadas à mesma sub-rede sejam atribuídas à mesma área do OSPF, enquanto que o EIGRP não possui o conceito de áreas. O Exemplo 11-3 mostra uma interconexão de rede OSPF funcionado em sua maior parte, novamente baseado na Figura 11-2. Os seguintes problemas existem: R2 foi configurado para colocar ambas as interfaces na área 1. RI , R3 e R4 foram configurados para colocar suas interfaces de LAN em comum (FaO/O em cada caso) na área O, quebrando as regras de design do OSPE O Exemplo 11-3 mostra como isolar a causa raiz do problema. O exemplo mostra também a saída normal quando em funcionamento, usando os comandos show ip ospf interface brief e show ip protocols. Exemplo 11-3 Problemas com o OSPF em R2 R1> show ip ospf interface brief Interface

PID

Ar ea

IP Address / Mask

Cost

State Nbrs F / C

FaO / 1

11

o

10.1.11.1 / 24

1

DR

O/ O

FaO / O

11

O

10.1.1.1 / 24

1

DROTH

2/ 2

302 Capítulo 11: Resolvendo problemas em protocolos de roteamento R1> Bhow ip protocolB Routing Pro toco I is "os pf 11" Outgoing update filter list for alI interfaces is not set Incoming update filter list for alI interfaces is not set Router ID 1.1.1.1 Number of areas in this router is 1. 1 normal O stub O nssa Maximurn pa th : 4 Rou ting for Ne t works : 1-

10.0.0.0 0.255.255 . 255 area O Routing Information Sources: Gateway

Distance

Last Update

3.3 . 3 . 3

110

00 : 01:12

4.4.4.4

110

00:01:12

1.1.1.1

110

00:01:12

Distance:

(default is 110)

R1> Bhow ip route oBpf 10.0.0.0/24 is subnetted, 5 subnets

o

10.1.44.0 [110/2) via 10.1.1.4,

00:01:19, FastEthernetO/O

o

10.1.33 . 0 [110/2) via 10.1.1.3,

00:01:19, FastEthernetO/O

! Now moving to router R2

R2> Bhow ip oBpf interface brief Interface

PID

Area IP

Address/Mask

Cost

State

Nbrs F /C

FaO/1

22

1

10 . 1.22.2/24

1

DR

O/O

FaO/O

22

1

10.1.1.2/24

1

DR

O/O

R2> Bhow ip protocolB Routing Protocol is "ospf 22" Outgoing update filter list for alI interfaces is not set Incoming update filter list for alI interfaces is not set --More-- ________________ Router ID 2 . 2.2.2 Number of areas in this router is 1. 1 normal O stub O nssa Maximurn path: 4 I~

Ro ut i ng f o r Networks: 1 0. 0. 0 . 0 0. 2 55. 2 55. 2 55 area 1

I~

Reference bandwidth unit is 100 mbps Routing Information Sources: Gateway Distance Last Update Distance:

(default is 110)

R2> ! ! !!!!!!! ! ! !!! ! !! ! !!! ! ! !!!! ! !!!!!!!!! !! !!! !!! ! !! !! !! !!! ! !!!!!! ! !!! !! !!!!! !! !!! ! !

May 28 18:30:26.659: %OSPF-4-ERRRCV: Received i nvalid packet: mismatch area ID , from backbone area must be virtual-link but not found from 10.1.1.4, FastEthernetO/O

Para o OSPF, o comando show ip ospf interface brief apresenta a saída de modo similar ao do comando show ip eigrp interface, com uma linha para cada interface habilitada. (O comando show ip ospf interface, que não foi mostrado no exemplo, apresenta informações detalhadas do OSPF para cada interface.) Neste exemplo, ambos, RI e R2 possuem OSPF habilitado em ambas as interfaces de LAN, mas este comando também lista o número da área para cada interface, com R2 tendo ambas as interfaces de LAN na área 1. Como resultado, a interface FaO/O de R2 está em uma área diferente com relação às interfaces dos outros três roteadores na mesma LAN.

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• .'•• •• •• •

••

•

CCNA ICND2 303

•

Uma olhada mais de perto na saída do comando show ip protocols em R2, particularmente na parte que está em destaque, aponta o erro de configuração. A frase em destaque "10.0.0.0 0.255.255.255 area 1" tem, na verdade, a sintaxe exata de um comando network no roteador R2, exceto pela palavra "network". Reconfigurar R2 de modo que sua interface FaO/O case com os outros três roteadores resolveria este problema em particular.

• •

O [mal do exemplo mostra uma mensagem de log não solicitada, gerada pelo roteador R2, notificando o usuário do console de que este roteador recebeu um Helio de um roteador de uma área diferente.

• • •

Enquanto você verifica as interfaces, você também poderia verificar diversos outros detalhes mencionados na cobertura da resolução de problemas de IP, no Capítulo 7. Faz sentido seguir adiante e verificar os endereços IP da interface, as máscaras e o estado da interface usando os comandos show interfaces e show ip interface brief. Em particular, é útil observar quais interfaces estão up/up porque um protocolo de roteamento não tentará encontrar vizinhos ou anunciar sub-redes conectadas para uma interface que não estiver em um estado up/up. Estas verificações foram discutidas em detalhes no Capítulo 7, portanto elas não serão repetidas aqui.

• •

• •

: Relações de vizinhança • • •

•• •• •• •• ••

Conforme mencionado logo no começo deste capítulo, quando um protocolo de roteamento for habilitado em uma interface, e a interface não estiver configurada como uma interface passiva, o protocolo de roteamento irá tentar descobrir vizinhos e formar uma relação de vizinhança com cada vizinho que compartilhar a sub-rede em comum. Esta seção examina o grande número de fatos que cada roteador deve verificar com cada vizinho em potencial, antes que os dois roteadores se tomem vizinhos. Ambos os protocolos, OSPF e EIGRP, usam mensagens Hello para aprender sobre novos vizinhos e para trocar informações usadas para executar algumas verificações básicas. Por exemplo, como acabou de ser mostrado no Exemplo 11-3, um roteador OSPF não deve se tomar vizinho de outro roteador que estiver em outra área porque todos os roteadores em uma sub-rede em comum deveriam estar na mesma área, por questões de designo (A fronteira entre áreas é um roteador, e não um enlace.) Depois que um roteador EIGRP ou OSPF escuta um Helio de um novo vizinho, o protocolo de roteamento examina as informações no Helio, juntamente com algumas configurações locais para decidir se os dois vizinhos deveriam sequer tentar se tomar vizinhos. Pelo fato de não existir nenhum termo formal para todos estes itens que um protocolo de roteamento deve considerar, este livro simplesmente os chama de requisitos para vizinhança. A Tabela 11-2 lista os requisitos para vizinhança para ambos, EIGRP e OSPF. Depois da tabela, as próximas páginas examinam algumas destas configurações para ambos, EIGRP e OSPF, usando novamente exemplos baseados na Figura 11-2. .......... [ TópiCO

\ Cha""

".

•

Tabela 11-2 Requisitos para Vizinhança no EIGRP e no OSPF

•

Requisito

EIGRP

OSPF

•

•

Interfaces devem estar no estado up/up

Sim

Sim

•

Interfaces devem estar na mesma sub-rede

Sim

Sim

•

Devem passar pela autenticação do vizinho (se configurado)

Sim

Sim

•

Devem usar o mesmo ASN/process-ID no comando de configuração router

Sim

Não

•

Temporizadores de Helio e holdldead devem ser iguais

Não

Sim

•

MTU do IP deve ser igual

Não

Sim

•

•

IDs do roteadores devem ser únicos

Não l

Sim

•

Valores K devem ser iguais

Sim

N/A

•

Devem estar na mesma área

N/A

Sim

•

lTer RIDs duplicados no EIGRP não impede que roteadores se tornem vizinhos, mas pode causar problemas quando rotas EIGRP externas são adicionadas na tabela de roteamento.

•

• •

•

304 Capítulo 11: Resolvendo problemas em protocolos de roteamento

•

•

Observação Embora seja importante estudar e se lembrar dos itens desta tabela, pode não • ser melhor estudar esta tabela de imediato. Ao invés disso, leia o resto do capítulo antes • porque os itens desta tabela serão mencionados e revisados ao longo do resto deste capítulo. • De modo diferente dos demais requisitos para vizinhança listados na Tabela 11-2, o primeiro requisito tem muito pouco a ver com os protocolos de roteamento propriamente ditos. Os dois roteadores devem ser capazes de enviar pacotes um ao outro através da rede física à qual ambos estão conectados. Para fazer isso, as interfaces do roteador devem estar up/up. Na prática, antes de examinar o resto dos detalhes de por que dois roteadores não se tomam vizinhos, confIrme se os dois roteadores podem fazer ping um no outro na sub-rede local. Se o ping falhar, investigue todas as possibilidades nas Camadas 1, 2 e 3 que poderiam impedir que o ping funcionasse (tal como uma interface não estar up/up), conforme coberto em vários capítulos deste livro e no CCENT/CCNA ICNDi Official Exam Certification Guide (Guia ofIcial de certificação do exame CCENT/CCNA ICNDl).

• • • • . • •

•• ------------------------------------------------------- .

Pelo fato dos detalhes serem um pouco diferentes para os dois protocolos de roteamento, esta seção examinará o EIGRP primeiro, seguido pelo OSPE

Observação Esta seção assume que o protocolo de roteamento foi realmente habilitado em cada interface necessária, conforme coberto anteriormente neste capítulo na seção chamada "Interfaces habilitadas com um protocolo de roteamento".

Requisitos para vizinhança no EIGRP Quaisquer dois roteadores EIGRP que se conectam ao mesmo enlace de dados, cujas interfaces foram habilitadas para EIGRP e que não são passivas, irão no mínimo considerar se tomar vizinhos. Para saber de modo rápido e defrniti vo quais vizinhos em potencial passaram por todos os requisitos para vizinhança no EIGRP, basta olhar na saída do comando show ip eigrp neighbors. Este comando lista apenas vizinhos que passaram por todas as verificações para se tomarem vizinhos. O Exemplo 11-4 mostra um exemplo, com os quatro roteadores da Figura 11-2 novamente, mas com todos os problemas anteriores de configuração do EIGRP resolvidos.

Exemplo 11-4 Comando show ip eigrp neighbors em Ri com Todos os Problemas Solucionados R1# show ip eigrp neighbors IP- EIGRP neighbors for process 99 H

Address

Interface

Hold Uptime

SRTT

( s ec)

(ms)

13 00:00:04

616

RTO

2

10.l.l.3

FaO / O

3696

1

10.l.l.4

FaO / O

12 00 : 00 : 54

1

200

o

10.l.l.2

Fa O/ O

14 00 : 01:19

123

738

Q

Seq

Cnt

Num

o o o

8 45 43

Se o comando show ip eigrp neighbors não listar um ou mais vizinhos esperados, e os dois roteadores puderem efetuar ping no endereço IP um do outro em sua sub-rede comum, o problema provavelmente estará relacionado a um dos requisitos para vizinhança listados nas Tabelas 11-2 e 11-3. A Tabela 11-3 resume os requisitos para vizinhança no EIGRP e apresenta os melhores comandos com os quais determinar qual requisito é a causa raiz do problema.

Tabela 11-3 Requisitos para Vizinhança no EIGRP e os Melhores Comandos show/debug

/;~~;~o \. Chave . ..

Requisito

Melhor(es) Comando(s) para Isolar o Problema

Devem estar na mesma sub-rede

show interfaces

Devem passar em qualquer autenticação de vizinhos

debug eigrp packets

Devem usar o mesmo ASN no comando de configuração

router show ip eigrp interfaces, show protocols

Valores K devem ser iguais

show protocols

• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •

• •

• • • •

•• •• •• •• •• • •

•• •

•• •• • •• •• •• •• •• •• •• •• •• •

CCNA ICND2 305

Todos os requisitos listados na Tabela 11-3, exceto o último, foram explicados no Capítulo 10. Os valores K do EIGRP se referem aos parâmetros que podem ser configurados para se alterar o que o EIGRP usa em seu cálculo de métricas. A Cisco recomenda deixar estes valores em sua configuração default, usando apenas a largura de banda e o atraso no cálculo da métrica. Pelo fato da Cisco recomendar que estes valores não sejam alterados, este problema em particular não é muito comum. No entanto, você pode verificar os valores K em ambos os roteadores usando o comando show ip protocols. O Exemplo 11-5 mostra três problemas que podem fazer com que dois roteadores que deveriam se tomar vizinhos no EIGRP não tenham êxito em fazê-lo. Para este exemplo, os seguintes problemas foram introduzidos: •

R2 foi configurado com endereço IP 10.1.2.2/24 em uma sub-rede diferente da de RI , R3 e R4.

• R3 foi configurado para usar ASN 199 com o comando router eigrp 199, ao invés de ASN 99, usado nos outros três roteadores. • R4 foi configurado para usar autenticação MD5, como os outros roteadores, mas R4 possui um valor de chave de "FRED" ao invés do valor "fred", usado pelos outros três roteadores. RI , na verdade, pode detectar dois dos problemas sem precisar usar comandos nos outros roteadores. RI gera uma mensagem de log não solicitada para o problema de sub-rede diferente, e um comando debug em RI pode revelar a falha na autenticação. Um exame rápido de alguns comandos show em R3 pode identificar que o ASN errado foi usado no comando de configuração router. O Exemplo 11-5 mostra os detalhes. Exemplo 11-5 Problemas Comuns que Impedem a Formação de Vizinhos no EIGRP ! F irst,

Rl h as no n eighbor relationships yet. R1 uses ASN (process) 99 .

R1# show ip eigrp neighbors IP-EIGRP neighbors fo r process 99 R1# ! Next,

R1 generates a log mes s age, which s hows up at the console , stating

! that the router with IP address 10.1.2.2 is not on the s arne subnet as R1.

*May 28 20:02:22.355:

IP-EIGRP(Default-IP-Routing-Table:99): Neighbor

10 . 1 . 2 . 2 not on cornrnon subnet for FastEthernetO / O I-

!

Next, R1 e n ables a debug that shows messages for each p a cket received from R4,

! which use s the wrong password

(au t hentication key string)

R1#debug eigrp packets EIGRP Packe ts debuggin g is on (UPDATE , REQUEST, QUERY , REPLY, HELLO,

IPXSAP , PROBE, ACK,

STUB, SIAQUERY,

SIAREPLY) *May 28 20 : 0 4 :00.931: EIGRP: pkt key id = 1, authentication mismatch *May 28 20:04:00.931: EIGRP: FastEthernetO/O: ignored packet from 10 .1 .1.4, opcode = 5 (invalid authentication) ! The rest of the output is from R3 ! The first line of output from the show ip protocols cornrnand lists ASN 199

R3# show ip protocols Routing Protocol is " eigrp 199 "

! The first line of output from show ip eigrp interfaces lists ASN 199

R3# show ip eigrp interfaces IP-EIGRP int e rfaces for process 199

306 Capítulo 11: Resolvendo problemas em protocolos de roteamento Xrnit Queue

Mean

Pacing Time

Mu lticast

pending

Interface

Peers

Un/Reliable

SRTT

Un/Reliable

Flow Timer

Routes

FaOIO

O

010

O

0110

o

O

FaO/1

O

010

O

0110

O

O

•• •• •• •

~--------------------------------------------------------~ .

Requisitos para vizinhança no OSPF De modo similar ao EIGRP, um comando show ip ospf neighbor em um roteador lista todos os roteadores vizinhos que cumpriram todos os requisitos para se tomarem um vizinho no OSPF, conforme listado na Tabela 11-2 - com uma pequena exceção (MTU que não são iguais). (Se o MTU for diferente, os dois roteadores serão listados no comando show ip ospf neighbor. Este problema em particular será discutido posteriormente, na seção "O Requisito de MTU Idêntico".) Portanto, o primeiro passo na resolução de problemas relativos a vizinhos no OSPF é olhar para a lista de vizinhos.

• . •

•

O Exemplo 11-6 mostra a saída do comando show ip ospf neighbor no roteador R2, da Figura 11-2, com a configuração • correta em cada um dos quatro roteadores da figura. • Exemplo 11-6 Comando show ip ospf neighbors Funcionando Normalmente no Roteador R2 R2# show ip ospf neighbor Neighbor ID

Pri

State

Dead Time

Address

Interface

1.1.1.1

1

FULL/BDR

00 : 00:37

10.1.1.1

FastEthernetOIO

3.3.3.3

1

2WAY/DROTHER

00 : 00:37

10.1.1.3

FastEthernetOIO

4 . 4.4.4

1

FULL/DR

00 : 00:31

10 . 1.1.4

FastEthernetOIO

Uma breve revisão dos estados de vizinhos no OSPF (conforme explicado no Capítulo 9) pode ajudar você a entender algumas das sutilezas na saída do comando, no exemplo. O estado apresentado para cada roteador, para cada um de seus vizinhos OSPF - o estado do vizinho - deve se enquadrar nos estados two-way ou Full sob operação normal. Para vizinhos que não precisam trocar diretamente suas bases de dados, tipicamente, dois roteadores não DR em uma LAN, os roteadores devem se enquadrar em um estado de vizinho two-way. Na maioria dos casos, dois roteadores vizinhos precisam trocar diretamente suas LSDBs completas, um com o outro. Tão logo este processo termine, os dois roteadores vão para o estado de vizinho Full. No Exemplo 11-6, o roteador R4 é o DR, e RI é o BDR, portanto R2 e R3 (por não serem DRs) não precisam trocar rotas diretamente. Sendo assim, o estado de vizinho de R2 para R3 (RID 3.3.3.3) no Exemplo 11-6 está listado como two-way. Observação Notadamente, os vizinhos OSPF não precisam usar o mesmo process ID no comando router ospf process-id para se tornarem vizinhos. No Exemplo 11-6, todos os quatro roteadores usam diferentes process IDs. Se o comando show ip ospf neighbor não listar um ou mais vizinhos esperados, antes de prosseguir para ver os requisitos para vizinhança no OSPF, você deveria confirmar se os dois roteadores são capazes de efetuar ping um no outro na sub-rede local. Assim que os dois roteadores vizinhos puderem efetuar ping um no outro, caso os dois roteadores ainda não se tomem vizinhos OSPF, o próximo passo será examinar cada um dos requisitos para vizinhança no OSPE A Tabela 11-4 resume os requisitos, listando os comandos mais úteis com os quais se podem encontrar as respostas. Tabela 11-4 Requisitos para Vizinhança no OSPF e os Melhores Comandos show/debug

/;~;~o \ Cheve

Requisito

Melhor(es) Comando(s) para Isolar o Problema

Devem estar na mesma sub-rede

show interfaces, debug ip ospf hello

Devem passar em qualquer autenticação do vizinho

debug ip ospf adj

Temporizadores de Hello e hold/dead devem ser iguais

show ip ospf interface, debug ip ospf hello

Devem estar na mesma área

debug ip ospf adj, show ip ospf interface brief

IDs dos roteadores devem ser únicos

show ip ospf

....

•• •• •• •• •• •• •• •• •• •• ••• •• •• •• •• •

•

•• •• •• •• •• •• ••

••

•• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2 307

o restante desta seção mostra dois exemplos nos quais dois roteadores OSPF poderiam se tomar vizinhos, mas não o fazem por causa de algumas das razões desta tabela. A seguir, seguem informações a respeito do requisito de MTU idêntico. Exemplo 1 de Vizinhança no OSPF Neste primeiro exemplo de problemas com vizinhança no OSPF, a mesma rede de sempre, com quatro roteadores da Figura 11-2 será usada. Esta interconexão de redes foi desenhada para usar uma única área, a área O. Neste caso, os seguintes problemas foram introduzidos no design: • R2 foi configurado com ambas as interfaces de LAN na área 1, enquanto que as interfaces FaO/O dos outros três roteadores foram atribuídas para a área O. • R3 está usando o mesmo RID (1.1.1.1) que RI. • R4 está usando autenticação MD5, da mesma forma que os outros três roteadores, mas R4 foi erroneamente configurado com relação ao valor de sua chave de autenticação (FRED, em vez de fred) . O Exemplo 11-7 mostra a evidência dos problemas, com comentários seguindo o exemplo.

Exemplo 11-7 Encontrando Áreas Diferentes, o Mesmo RID e Problemas de Autenticação R1# debug ip ospf adj OSPF adjacency events debugging is on Rl# *May 28 23:59 : 21.031: OSPF: Send with youngest Key 1 *May 28 23:59 : 24.463: OSPF: Rcv pkt from 10.1.1.2, FastEthernetO/O, area 0.0.0.0 mismatch area 0.0.0.1 in the header *May 28 23:59:24 . 907: OSPF: Rcv pkt from 10.1.1.4, FastEthernetO/O : Mismatch Authentication Key - Message Oigest Key 1 Rl#undebug all All possible debugging has been turned off R1# show ip ospf interface brief Interface PIO Area

IP Address / Mask

Cost

State

Nbrs F / C

FaO / 1

11

o

10.1.11.1 / 24

1

OR

O/ O

FaO / O

11

O

10.1.1.1 / 24

1

OR

O/ O

! Now to R2 ! R2 shows that FaO/O is in area 1

R2# show ip ospf interface brief Interface PIO Area

IP Address / Mask

Cost

State

Nbrs F / C

FaO/1 FaO/O ! Next,

22

1

10.1.22.2 / 24

1

OR

O/ O

22

1

10.1.1. 2 / 24

1

OR

O/ O

on R3

! R3 lists the RIO of 1.1.1.1

R3# show ip ospf Routing Process "ospf 33" wi th lO 1. 1.1.1 Supports only single TOS(TOSO) routes ! lines omitted for brevity

! Back to R1 again ! Next command confirms that R1 is also trying to use RIO 1 . 1.1.1

R1 #Show ip ospf

308

Capítulo 11: Resolvendo problemas em protocolos de roteamento Routing Process "os pf 11" with I D 1.1.1.1 Supports only s i ng le TOS(TOSO) routes !

lines omi t ted f o r brevity

*May 29 00:01:25 . 679: %OSPF-4-DUP_RTRID_NBR: OSPF detected duplicate router-id 1.1.1.1 from 10 . 1 . 1.3 on interface FastEthernetO / O

Como observado na Tabela 11-4, o comando debug ip ospf adj ajuda a resolver problemas relacionados a áreas diferentes no OSPF, bem como problemas de autenticação. As mensagens em destaque nas primeiras linhas do exemplo mostram que o roteador com endereço 10.1.1.2 (R2) possui um ID de área diferente, igual a 0.0.0.1 , o que significa área 1. Na verdade, R2 foi configurado erroneamente para colocar sua interface FaO/O na área 1. Logo a seguir está uma referência a uma "mismatched authentication key" (ou chave de autenticação diferente), o que significa que o tipo correto de autenticação foi usado, mas as chaves configuradas possuem valores diferentes, especificamente para o roteador 10.1.1.4 (R4).

Observação Roteadores tratam mensagens de debug como sendo mensagens de log, que o lOS envia ao console, por default. Para ver essas mensagens através de uma conexão Telnet ou SSH, use o comando terminal monitor. Para desabilitar a apresentação destas mensagens, use o comando terminal no monitor. A próxima parte do exemplo mostra o comando show ip ospf interface brief em ambos, RI e R2, enfatizando como cada interface FaO/O do roteador está em uma área OSPF diferente. O final do exemplo apresenta as informações que mostram RI e R3 , ambos tentando usar o RID 1.1.1.1. De modo interessante, ambos os roteadores geram automaticamente uma mensagem de log para o problema de RID duplicado no OSPF, entre RI e R3 . Um RID duplicado provoca problemas significativos no OSPF, muito além de somente dois roteadores não poderem se tornar vizinhos. O final do Exemplo 11-7 mostra a mensagem de log (em destaque). Os comandos show ip ospf em ambos, R3 e RI também mostram como você pode listar facilmente o RID de cada roteador, percebendo que ambos usam o mesmo valor.

Exemplo 2 de Vizinhança no OSPF Neste próximo exemplo, a mesma rede da Figura 11-2 será usada novamente. Os problemas em R2, R3 e R4 do exemplo anterior foram resolvidos, mas novos problemas foram introduzidos em R2 e R4 para mostrar os sintomas. Neste caso, os seguintes problemas foram introduzidos no design: • R2 foi configurado com temporizador de Hello/Dead de 5/20 em sua interface FaO/O, ao invés de 10/40 usados (por default) em RI, R3 e R4. • Os problemas de R3 foram resolvidos; não existe nenhum problema relacionado à vizinhança no OSPE • R4 está usando agora a string chave correta (fred), mas com autenticação clear-text (ou texto claro), ao invés da autenticação MD5 usada pelos outros três roteadores. O Exemplo 11-8 mostra a evidência dos problemas, com comentários após o exemplo. Como sempre, o comando debug ip ospf adj ajuda a descobrir problemas de autenticação. Além disso, o comando debug ip ospf heUo ajuda a tornar claros os erros descobertos nas mensagens Hello, incluindo endereços IP/máscaras e temporizadores que não casam.

Exemplo 11-8 Encontrando Temporizadores de Hello/Dead Diferentes e Tipos Errados de Autenticação R1# debug ip ospf adj OSPF adjacency events debugging is on R1# *May 29 10:41:30.639: OS PF: Rcv pkt from 10 . 1.1.4, FastEthernetO / O : Mi sma t ch Authentication type. Input packet specified type 1, we use type 2 R1# R1# undebug alI AlI possible debugging has been turned off R1#debug ip ospf helIo OSPF helIo events debugging is on

•• ••

•• •• •• •• •• •

•• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •

• •• •

CCNA ICND2 309 Rl#

*May 29 10:41:42.603 : OSPF: Rcv he110 from 2.2.2 . 2 area O from

•• •• •• •• •• •

FastEthernetO/O 10.1.1.2 *May 29 10:41:42.603: OSPF: Mismatched hello parameters from 10.1 . 1.2 *Ma y 29 10 : 41 : 42.603 : OS PF: Dead R 20 C 40, Hello R 5 C 10 Ma sk R 255.255 . 255.0 C 255.255.255.0 Rl#undebug a11

A1l possible debugging has been turned off R1 #show ip ospf interface faO/O FastEthernetO / O is u p , line protocol is up Internet Address 1 0.1.1.1/24, Area O Process ID 11, Router ID 1.1 . 1.1, Network Type BROADCAST, Cost: 1 Transmit Delay is 1 sec, State DR,

Backup Designated router (ID) 3.3.3.3 , Interface address 10.1.1.3

•• •• ••

•• •• •

•• •• •• •• •

priority 1

Designated Router (ID) 1.1 . 1.1, In t erface address 10.1.1.1

Timer intervals configured , Hello 10, Dead 40, Wait 40, Retransmit 5 lines omit t ed for brevity Moving on t o R2 next

R2# show ip ospf interface faO/O FastEthernetO / O is up, line protocol is up Internet Address 10 . 1.1.2/24, Area O Process ID 22, Router ID 2.2.2.2, Network Type BROADCAST, Cost: 1 Transmit Delay is 1 sec, State DR, Priority 1 Designated Router (ID) 2.2.2.2 , Interface address 10.1.1.2 No backu p designated router on this network Timer intervals c onfigured, Hel l o 5 , Dead 20, Wait 20, Retransmit 5 lines omitted for brevity

o exemplo começa com as mensagens de debug relacionadas ao problema de autenticação entre RI , que usa autenticação MD5, e R4, que agora usa a autenticação c1ear-text. Conforme listado na Tabela 9-4 do Capítulo 9, o lOS considera a autenticação c1ear-text do OSPF como sendo autenticação do tipo 1 e o MD5 como sendo do tipo 2. A mensagem de debug em destaque conflrma este tipo de pensamento, mostrando que RI recebeu um pacote de 10.1.1.4 (R4), com autenticação do tipo 1, mas com RI esperando autenticação do tipo 2. A seguir, o exemplo mostra as mensagens geradas pelo comando debug ip ospf heUo - especiflcamente, aquelas relacionadas a temporizador de HeliolDead diferentes. A mensagem em destaque usa um "C", que signiflca "configured value" (ou valor configurado) - em outras palavras, o valor no roteador local, ou em RI , neste caso. O "R" na mensagem signiflca "Received value" (ou valor recebido), ou o valor listado no Hello recebido. Neste caso, o termo "Dead R 20 C 40" signiflca que o roteador que gerou esta mensagem, RI, recebeu um Hello com um temporizador para Dead configurado em 20, mas o valor configurado em RI na interface é de 40, portanto os valores não são idênticos. De modo similar, a mensagem mostra a diferença nos temporizadores de Helio também. Observe que qualquer problema de diferença na sub-rede IP também poderia ser encontrado com este mesmo debug, baseado nas máscaras de sub-rede recebidas e configuradas.

•• •• •• o •• ••

A maior parte ocupada pelo exemplo mostra a saída do comando show ip ospf interface, tanto de RI como de R2, a qual lista os temporizadores de Helio e Dead de cada interface, confumando os detalhes mostrados nas mensagens de debug.

requisito de MTU idêntico

De todos os problemas em potencial entre dois vizinhos OSPF em potencial listados na Tabela 11-2, apenas um problema, o problema do MTU que não é idêntico, permite que o vizinho seja listado na saída do comando show ip ospf neighbor do outro roteador. Quando dois roteadores se conectam à mesma sub-rede, com conflguração diferente de MTU de IP

310 Capítulo 11 : Resolvendo problemas em protocolos de roteamento na interface, os dois roteadores podem se tornar vizinhos e alcançar o estado two-way. No entanto, quando os dois roteadores tentarem trocar LSDBs, o processo de troca de base de dados irá falhar por causa da diferença no MTU. Quando o MTU não é idêntico, os roteadores se movem tipicamente entre alguns estados de vizinhos enquanto tentam solucionar o problema. O estado mais comum é o estado Exchange, conforme mostrado no Exemplo 11-9. Neste caso, RI e R3 não têm nenhum outro problema que os impeça de se tornarem vizinhos OSPF, exceto que R3 foi configurado com um MTU de IP de 1200 bytes em sua interface FaO/O, ao invés do default de 1500 usado por RI.

Exemplo 11-9 Resultados de MTUs Diferentes em Vizinhos OSPF R1# show ip o s p f ne i ghbor

Neighbor 10

Pri

State

Oead Time

Address

Interface

3 . 3.3.3

1

EXCHANGE/ OR

00 : 00:36

10.1.1.3

Fast EthernetO/O

O estado executa tipicamente um ciclo a partir do estado Exchange, de volta ao estado Init, e depois de volta ao estado Exchange.

Atividades de preparação para o exame /;~~;~o

Revise todos os tópicos-chave

\. Chave

....

Revise os tópicos mais importantes deste capítulo, assinalados com o ícone de tópicos-chave. A Tabela 11-5 lista estes tópicos-chave e onde cada um deles foi discutido.

Tabela 11-5 Tópicos-Chave do Capítulo 11 Elemento do Tópico-Chave Descrição

Número da Página

Lista

Duas coisas que acontecem quando EIGRP ou OSPF estão habilitados na interface de um roteador

297

Tabela 11-1

Lista de três comandos que são úteis para se determinar em quais interfaces o EIGRP ou o OSPF foram habilitados

297

Tabela 11-2

Lista dos requisitos para vizinhança em ambos os protocolos, EIGRP e OSPF

303

Tabela 11-3

Lista dos requisitos para vizinhança no EIGRP e comandos úteis para isolar o respectivo requisito como sendo a causa raiz de um problema de vizinhança

304

Tabela 11-4

As mesmas informações da Tabela 11-3, mas para OSPF

306

Complete as tabelas e listas usando a memória Imprima uma cópia do Apêndice J, "Tabelas de memória" ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das tabelas de memória", inclui as tabelas e listas completadas para você conferir o seu trabalho.

Referência aos comandos para verificar sua memória Embora você não precise necessariamente memorizar as informações das tabelas desta seção, ela inclui uma referência para os comandos de configuração e EXEC cobertos neste capítulo. Na prática, você deve memorizar os comandos como reflexo da leitura do capítulo e da execução de todas as atividades desta seção de preparação para o exame. Para verificar o quão eficientemente você memorizou os comandos como reflexo de seus outros estudos, cubra o lado esquerdo

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •

CCNA ICND2 311

•

da tabela, leia as descrições do lado direito, e veja se você se lembra do comando.

•

Tabela 11-6 Referência aos Comandos de Configuração do Capítulo 11

•

Comando

Descrição

:

ip helIo-interval eigrp as-number timer-value

Subcomando de interface que configure o intervalo de Hello no EIGRP para este processo do EIGRP

:

ip hold-time eigrp as-number timer-value

Subcomando de interface que configure o hold time do EIGRP para a interface

. --------------------------------------------------------------•

ip ospf helIo-interval seconds

.

·

---------------------------------------------------------------

•

ip ospf dead-interval number

•

Tabela 11-7 Referência aos Comandos EXEC do Capítulo 11

•

Subcomando de interface que configura o intervalo para Hellos periódicos Subcomando de interface que configura o Temporizador para Dead do OSPF

---------------------------------------------------------------

.

-------------------------------------------------------------

Comando

Descrição

•

show ip protocols

Mostra os parâmetros do protocolo de roteamento e os valores correntes dos temporizadores, incluindo uma cópia efetiva dos comandos network dos protocolos de roteamento e uma lista das interfaces passivas

•

show ip eigrp interfaces

Lista as interfaces nas quais o EIGRP foi habilitado para cada processo EIGRP, exceto as interfaces passivas

•

••

show ip route eigrp

Lista somente as rotas aprendidas com EIGRP da tabela de roteamento

•

debug eigrp packets

• •

Apresenta o conteúdo dos pacotes EIGRP, incluindo muitas informações úteis a respeito das razões pelas quais as relações de vizinhança não se formam

•

show ip eigrp neighbors

Lista os vizinhos EIGRP e seus estados

•

show ip ospf interface brief

•

Lista as interfaces nas quais o protocolo OSPF foi habilitado (baseado nos comandos network), incluindo as interfaces passivas

•

show ip ospf interface [type number]

Lista configurações detalhadas do OSPF para todas as interfaces, ou para a interface listada, incluindo temporizadores de Hello e Dead e a área do OSPF

•

show ip route ospf

Lista as rotas na tabela de roteamento aprendidas através do OSPF

•

show ip ospf neighbor

Lista os vizinhos e o estado corrente com os vizinhos, para cada interface

•

debug ip ospf events

Envia mensagens de log para cada ação tomada pelo OSPF, incluindo a recepção de mensagens

•

debug ip ospf packet

Envia mensagens de log descrevendo o conteúdo de todos os pacotes OSPF

•

debug ip ospf helIo

Envia mensagens de log descrevendo Hellos e falhas em Hellos

•• •

•• • • • • •

•• •• ••

Tópicos publicados do exame Cisco ICND2* abordados nesta parte Configurar e resolver problemas relativos à operação básica e roteamento nos dispositivos da Cisco

- Verificar a operação do hardware e do software do roteador usando os comandos SHOW & DEBUG

Implementar e verificar enlaces de WAN

- Configurar e verificar o Frame Relay em roteadores Cisco - Resolver problemas relativos à implementação de WAN - Descrever a tecnologia VPN (incluindo: importância, benefícios, papel, impacto, componentes) - Configurar e verificar conexões PPP entre roteadores Cisco

*Sempre verifique o site http://www.cisco.com para ver os tópicos de exame colocados recentemente.

•• •• •• •• • •• •• •• •• •• •• ••

., .'• •• •• •• •• •• •

•

•• •• •

•• •• •• Parte IV: Redes de longa •• distância (WANs) •• . ----------------------------------------------•• •• •• •• •• •• Capítulo 12 WANs ponto-a-ponto

Capítulo 13 Conceitos de Frame Relay

Capítulo 14 Configuração e resolução de problemas de Frame Relay Capítulo 15 Redes privadas virtuais

•• •

•• •• •• •• •• •• ••

•• •• ••

•• •• •• •• ••

----------------------------_ --------------------------------- ..

Este capítulo aborda os • seguintes assuntos: _______________________________ e• Este capítulo cobre os seguintes assuntos:

••

Conceitos de PPP: Esta seção examina os conceitos de • PPP, incluindo protocolos de controle e PAP/CHAP. • Configuração do PPP: Esta seção mostra como configurar • um simples enlace serial PPP, bem como o modo de se • configurar o CHAP. • Resolvendo Problemas em Enlaces Seriais: Esta seção • examina o processo geral para resolução de problemas • em enlaces seriais, incluindo razões típicas pelas quais uma interface possui um determinado código de estado. •

•• •• •• •• •• •• ••

••

•• •• •

CAPíTULO

12

: WANs ponto-a-ponto

•• •• •• •• •

Este capítulo é o primeiro dentre quatro capítulos da Parte IV deste livro. Esta parte se concentra em tecnologias WAN. Este capítulo completa a análise de enlaces ponto-a-ponto, examinado mais detalhes a respeito de como o PPP funciona, juntamente com uma grande variedade de tópicos relacionados à resolução de problemas referentes a linhas privativas ponto-a-ponto. O Capítulo 13, "Conceitos de Frame Relay" , e o Capítulo 14, "Configuração e resolução de problemas de Frame Relay", exploram as tecnologias de Frame Relay. O Capítulo 15, ''Redes privadas virtuais", mostra os conceitos por detrás das VPNs (Virtual Private Networks, ou Redes Privadas VIrtuais). Os VPNs permitem que você crie caminhos seguros para comunicação que funcionam como enlaces WAN, usando ao mesmo tempo outras redes menos seguras, tais como a Internet.

• Questionário "Eu já conheço isto"?

• o questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Se você errar não mais que uma • • •

destas sete questões de auto-avaliação, você pode querer ir direto para a seção "Atividades de preparação para o exame" . A Tabela 12-1 lista os principais tópicos deste capítulo e as questões do teste "Eu já conheço isto?" cobrindo o material destas seções. Isto ajudará você a avaliar seu conhecimento nestas áreas específicas. As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

•

•

Tabela 12-1 Mapeamento Entre a Seção dos Tópicos Fundamentais e as Questões do "Eu já conheço isto ?"

•

Seção dos Tópicos Fundamentais

Perguntas

•

Conceitos de PPP

le2

•

•

Configuração do PPP

3-5

•

Resolvendo problemas em enlaces seriais

6e7

• •

1. Qual(is) dos seguintes protocolos de autenticação PPP autentica(m) um dispositivo na outra extremidade de um enlace sem enviar nenhuma informação de senha em texto claro?

•• •• •• •• • •• • •

•

a. MD5 b. PAP c. CHAP d. DES 2. Qual(is) dos seguintes protocolos PPP controla(m) a operação do CHAP? a . CDPCP b. IPCP

c. LCP d. IPXCP Dois roteadores não possuem nenhuma configuração inicial. Eles estão conectados em um laboratório através de um 3. cabo DTE conectado a RI e um cabo DCE conectado a R2, com os cabos DTE e DCE conectados um ao outro. O engenheiro quer criar um enlace PPP que funcione. Qual(is) dos seguintes comando é(são) necessário(s) em RI para que o enlace alcance um estado no qual RI possa fazer ping no endereço IP serial de R2, assumindo que o enlace físico esteja fisicamente funcionando de ponta a ponta?

316 Capítulo 12:Wans ponto-a-ponto a. encapsulation ppp b. no encapsulation hdlc c. clock rate d. ip address 4. Imagine que dois roteadores, RI e R2, possuam uma linha privativa entre eles. Cada roteador teve sua configuração apagada e foi depois configurado novamente. RI foi configurado com os seguintes comandos: hostname R1 interface sOlO encapsulation ppp ppp authentication chap

Qual(is) dos seguintes comandos de configuração pode(m) completar a configuração de RI de modo que o CHAP possa funcionar corretamente? Assuma que R2 tenha sido configurado corretamente e que a senha seja fred. a. Nenhuma configuração adicional é necessária. b. ppp chap (comando global) c. username Rl password fred d. username R2 password fred e. ppp chap password fred 5. Considere o seguinte trecho da saída de um comando show: SerialO/0/1 is up, line protocol is up Hardware is GT96K Serial Internet address is 192.168.2.1/24 MTU 1500 bytes, BW 1544 Kbit, DLY 20000 usec , relia bility 255/255,

txload 1/255, rxload 1/255

Encapsulation PPP, LCP Open Open: CDPCP, IPCP,

l oopback not set

Qual(is) dos seguintes itens é(são) verdadeiro(s) a respeito da interface SOIOII deste roteador? a. A interface está usando HDLC. b. A interface está usando PPP. c. A interface não pode passar tráfego IPv4 atualmente. d. O enlace deveria ser capaz de passar frames PPP no presente momento. 6. Considere o seguinte trecho da saída do comando show interfaces em uma interface configurada para usar PPP: SerialO/0/1 is up, line protocol is down Hardwa re is GT96K Seri al Interne t address i s 192.168.2.1/24

Um ping no endereço IP da outra extremidade do enlace falha. Qual(is) dos seguintes itens (é)são razão(ões) para a falha, assumindo que o problema apresentado na resposta seja o único problema com o enlace? a. O CSUIDSU conectado ao outro roteador não está ligado. b. O endereço IP do roteador na outra extremidade do enlace não está na sub-rede 192.168.2.0/24. c. A autenticação CHAP falhou . d. O roteador na outra extremidade do enlace foi configurado para usar HDLC. e. Nenhuma das outras respostas está correta.

• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

~l

•

• •

•• •• ••• :

•• •• •• •• •

CCNA ICND2

317 I

Dois roteadores possuem um enlace serial entre eles, com o enlace configurado para usar PPP, e com EIGRP 7. configurado corretamente em todas as interfaces. O engenheiro pode fazer ping no endereço IP da outra extremidade do enlace, mas não no endereço IP da interface da LAN do outro roteador. Qual(is) das seguintes respostas é(são) uma causa provável do problema? a. O CSUIDSU conectado ao outro roteador não está ligado. b. O endereço IP serial no roteador da outra extremidade do enlace não está na mesma sub-rede que o roteador local. c. A autenticação CHAP falhou. d. O roteador na outra extremidade do enlace foi configurado para usar HDLC.

Tópicos fundamentais O PPP (Point-to-Point Protocol) define um protocolo para enlace de dados com muitos recursos além de simplesmente ajudar dois dispositivos a enviarem dados através do enlace. Este capítulo começa explicando os diversos recursos do PPP disponíveis nos roteadores, seguido da configuração do PPP, incluindo a configuração da autenticação no PPP. Este capítulo termina com uma seção sobre resolução de problemas em enlaces seriais, cobrindo uma grande variedade de tópicos incluindo PPP.

Opções para WAN tais como linhas privativas, packet switching e CSUsIDSUs, bem como conhecimentos básicos de HDLC e PPP, são todos considerados conhecimentos que são prérequisitos para o exame ICND2 e para este livro. Para isso, você poderá adquirir o livro CCENT/CCNA fCNDI Guia Oficial de Certificação do Exame, Capítulo 17.

: Conceitos de PPP • o PPP fornece

•

várias funções básicas, porém importantes, que são úteis em uma linha privativa que conecta dois dispositivos, conforme revisados na seguinte lista: .......... • Definição de um cabeçalho e um trailer que permite a entrega de um frame de dados através do enlace ( TópiCO '. Chave .... • Suporte a enlaces síncronos e assíncronos

•• •• •• • •

As próximas páginas analisam mais de perto o campo protocolo, a autenticação e os protocolos de controle.

•

Campo Protocolo do PPP

• •• •• • •• ••

• Um campo tipo de protocolo no cabeçalho, permitindo que vários protocolos de Camada 3 passem através do mesmo enlace • Ferramentas de autenticação embutidas: PAP (Password Authentication Protocol) e CHAP (Challenge Handshake Authentication Protocol) • Protocolos de controle para cada protocolo de camada mais alta que executa sobre o PPP, permitindo uma integração mais fácil e suporte a estes protocolos.

Um dos recursos mais importantes incluídos no padrão PPP, mas não no padrão HDLC, é o campo Protocolo. O campo Protocolo identifica o tipo do pacote dentro do frame. Quando o PPP foi criado, este campo permitia que os pacotes dos diversos protocolos de Camada 3 passassem através de um único enlace. Atualmente, o campo de tipo do protocolo ainda disponibiliza a mesma função, até mesmo para o suporte de duas diferentes versões de IP (IPv4 e IPv6). A Figura 12-1 compara os detalhes de empacotamento no HDLC e no PPP, mostrando o campo Protocolo proprietário no HDLC e o campo Protocolo padronizado no PPP.

•• ••

318 Capítulo 12:Wans ponto-a-ponto Figura 12-1 Empacotamento no PPP e no HDLC 2

2

Variável

4

2

2

Variável

4

HOLC

ppp

•• •• •• •• •• •• •• •• •• • /;~~;~o •

O PPP define um conjunto de mensagens de controle de Camada 2 que executam diversas funções de controle do • enlace. Estas funções de controle se enquadram em duas categorias principais: • - As que são necessárias independentemente do protocolo da Camada 3 enviado através do enlace - As que são específicas para cada protocolo de Camada 3

O LCP (Link Control Protocol) do PPP implementa as funções de controle que funcionam da mesma forma, não importa o protocolo usado na Camada 3. Para as facilidades relacionadas a qualquer protocolo de camada superior, tipicamente protocolos de Camada 3, o PPP usa uma série de CPs (control protocols, ou protocolos de controle) do PPP, como por exemplo, o IPCP (lP Control Protocol, ou Protocolo de Controle IP). O PPP usa urna instância do LCP por enlace, e um CP para cada protocolo de Camada 3 definido no enlace. Por exemplo, em um enlace PPP usando IPv4, IPv6 e CDP (Cisco Discovery Protocol), o enlace usa uma instância de LCP, mais IPCP (para IPv4), IPv6CP (para IPv6) e CDPCP (para CDP).

A próxima seção resume as funções do LCP em primeiro lugar, e depois explica urna destas funções, a autenticação, em • maiores detalhes.

o LCP (Link Control Protocol) do PPP

O LCP fornece quatro recursos notáveis, que serão cobertos neste capítulo. A Tabela 12-2 resume as funções, dá os nomes dos recursos do LCP e descreve os recursos de modo resumido. Após a tabela, o texto explica cada um dos recursos em maiores detalhes. Note que os recursos listados na tabela são opcionais e ficam desabilitados por default.

Tabela 12-2 Recursos do LCP do PPP

\~haY1l

• •

Função

Recurso do LCP

Descrição

Detecção de loop em enlace

Magic number (número mágico)

Detecta se há um loop no enlace e desabilita a interface, permitindo o • redirecionamento para uma rota que • esteja em funcionamento. •

------------------------------------------------------------Detecção de erro

LQM (Link Quality Monitoring, ou Monitoramento da Qualidade do Enlace)

Suporte a múltiplos enlaces

Multilink PPP

Autenticação

PAP e CHAP

Troca nomes e senhas de modo que cada dispositivo possa verificar a identidade do dispositivo na outra extremidade do enlace.

• • •• •• •• •• •• •• •

CCNA ICND2

319

• Detecção de loop em enlace

•• ••

•• •

Detecção de erro e detecção de loop em enlace são dois recursos-chave do PPP. A detecção de enlaces em loop permite convergências mais rápidas quando um enlace falha pelo fato de estar em loop. Mas o que significa "estar em loop"? Bem, para testar um circuito, a companhia telefônica pode colocar o circuito em loop. O técnico da companhia telefônica pode se sentar à sua mesa e, através de comandos, fazer com que o switch da companhia telefônica faça um loop no circuito. Isso significa que a companhia telefônica pega o sinal elétrico enviado pelo dispositivo CPE e envia a mesma corrente elétrica de volta ao mesmo dispositivo.

É claro que os roteadores não conseguem enviar bits uns aos outros enquanto o enlace estiver em loop. No entanto, o roteador pode não perceber que o enlace está em loop porque o roteador continua recebendo algo através do enlace! O PPP ajuda o roteador a reconhecer um enlace em loop rapidamente, de modo que o mesmo possa desabilitar a interface e possivelmente usar uma rota alternativa. Em alguns casos, a convergência do protocolo de roteamento pode ser agilizada pelo reconhecimento de loop do LCP. Se o roteador puder perceber imediatamente que o enlace está em loop, ele poderá colocar a interface em um estado "down and down", e os protocolos de roteamento poderão alterar suas atualizações de roteamento baseados no fato de que o enlace foi desativado. Se um roteador não perceber que um enlace está em loop, o protocolo de roteamento deverá esperar por timeouts - algo como não escutar nada vindo do roteador na outra extremidade do enlace por um determinado período de tempo. O LCP percebe enlaces em loop rapidamente através de uma facilidade chamada magic numbers (números mágicos). Quando o PPP está sendo usado, o roteador envia mensagens LCP do PPP ao invés dos keepalives proprietários da Cisco através do enlace; estas mensagens incluem um número mágico, que é diferente para cada roteador. Se uma linha estiver em loop, o roteador receberá uma mensagem LCP com seu próprio número mágico, ao invés de obter uma mensagem com o número mágico do outro roteador. Quando um roteador recebe seu próprio número mágico, este roteador sabe que o frame que ele enviou foi enviado de volta; portanto o roteador pode desabilitar a interface, o que agiliza a convergência.

•

Detecção aprimorada de erro

•

De modo similar a muitos outros protocolos de enlace de dados, o PPP usa um campo FCS no trailer do PPP para determinar se um determinado frame possui um erro. Se um frame for recebido com erro, ele será descartado. Porém, o PPP pode monitorar a freqüência com que frames com erro são recebidos, de modo que possa desabilitar uma interface caso muitos erros ocorram.

•• •

•• •• • •

• •• •• •• •• •

O LCP do PPP analisa a taxa de erros em um enlace usando uma facilidade do PPP chamada LQM (Link Quality Monitoring, ou Monitoramento da Qualidade do Enlace). O LCP em cada extremidade do enlace envia mensagens descrevendo o número de pacotes e bytes recebidos corretamente. O roteador que enviou os pacotes compara este número de frames com erro com o número de frames e bytes que ele enviou, e calcula a porcentagem de perdas. O roteador pode desabilitar o enlace depois que uma taxa de erro configurada for excedida. A única ocasião em que o LQM ajuda é quando você possuir rotas redundantes na rede. Ao desabilitar um enlace que apresenta muitos erros, você poderá fazer com que os pacotes usem um caminho alternativo que pode não ter tantos erros.

Multilink PPP Quando existem múltiplos enlaces PPP entre os mesmos dois roteadores - chamados de enlaces paralelos - os roteadores devem então determinar como usar estes enlaces. Com enlaces HDLC, e com enlaces PPP usando a mais simples das configurações, os roteadores devem usar o balanceamento de carga da Camada 3. Isto significa que os roteadores possuem múltiplas rotas para as mesmas sub-redes destinos. Por exemplo, a parte superior da Figura 12-2 mostra o efeito do balanceamento de carga em RI quando está encaminhando pacotes para a sub-rede 192.168.3.0/24.

320 Capítulo 12:Wans ponto-a-ponto Figura 12-2 Balanceamento de Carga Sem o Multilink do PPP ....:I

Dest. = 192.168.3.11

1_ -----Ir-

....=::::jl-_ _ _ ~

192.168.2.1 SOlOl1

192.168.2.2

_

L2.:19~2.~168~·~1.1~~~'iI~~~===~=:S:0/:1/=0=~JJ192.168.3.2

r

FaOIO \ .

R~ S0l1/0

192.168.4.1

I

S0/1 /1

FaO/1

Sub-rede 192.168.3.0/24

-

192.168.4.2

Tabela de Roteamento de R1 Sub-rede 192.168.3.0/24

Int. de Saída SO/0/1 SO/1/0

~

Dest. = 192.168.3.12

~

A figura mostra dois pacotes, um grande e outro pequeno. Usando a lógica da Camada 3, o roteador pode escolher enviar um pacote através de um enlace, e o próximo pacote através de outro. No entanto, pelo fato de os pacotes poderem ter tamanhos diferentes, o roteador poderá não distribuir o tráfego igualmente em cada enlace. Em alguns casos, de modo particular quando a maior parte dos pacotes é enviada para alguns poucos hosts destinos, o número de pacotes enviados através de cada enlace pode nem mesmo estar balanceado, o que poderá sobrecarregar um dos enlaces e deixar o outro enlace com folga.

•• •• •• •• •• ••

• • • •

•

o Multilink PPP distribui a carga de tráfego igualmente através dos enlaces, ao mesmo tempo em que permite que a • lógica da Camada 3 em cada roteador trate os enlaces paralelos como sendo um único enlace. Quando está encapsulando um pacote, o PPP fragmenta o pacote em frames menores, enviando um fragmento através de cada enlace. Por exemplo, para a rede mostrada na Figura 12-2, com dois enlaces, RI criaria dois frames para cada pacote de Camada 3, com cada frame possuindo, grosso modo, metade do pacote original. Então, o PPP envia um fragmento de cada pacote original através de cada um dos dois enlaces. Pelo fato de enviar metade de cada pacote através de cada enlace, o multilink do PPP pode distribuir a carga de tráfego de modo mais equilibrado. Como um benefício adicional, o multilink do PPP permite que as tabelas de roteamento de Camada 3 utilizem uma única rota que se refere aos enlaces combinados, fazendo com que a tabela de roteamento seja menor. Por exemplo, na Figura 12-2, RI usaria uma rota para a sub-rede 192.168.3.0/24, referindo-se ao grupo de interfaces através de um conceito chamado multilink group.

Autenticação no PPP

•

. • • • .

••

•

O termo autenticação refere-se a um conjunto de funções relativas à segurança que ajuda um dispositivo a confirmar se • o outro dispositivo deveria poder se comunicar, e que o mesmo não é nenhum impostor. Por exemplo, se espera-se que RI e R2 possam se comunicar através de um enlace serial, RI pode querer que R2 prove de alguma forma que ele é • realmente R2. A autenticação fornece um modo de provar a identidade de um dispositivo. • A autenticação em WAN é geralmente necessária principalmente quando são usadas linhas discadas. No entanto, a • configuração das facilidades para autenticação é a mesma, não importa se uma linha privativa ou uma linha discada • estiver sendo usada.

•

PAP e CHAP autenticam os pontos fmais em ambas as extremidades de um enlace serial ponto-a-ponto. CHAP é o • método preferido hoje em dia porque o processo de identificação usa valores escondidos em um hash unidirecional em • uma Message Digest 5 (MD5), que é mais seguro que as senhas em texto claro enviadas pelo PAP. Tanto o PAP quanto o CHAP exigem a troca de mensagens entre os dispositivos. Quando uma linha discada é usada, o roteador para o qual foi feita a discagem espera receber um nome de usuário e uma senha do roteador que discou, com ambos, PAP e CHAP. Em uma linha privativa, ambos os roteadores tipicamente autenticam-se mutuamente. No PAP, tanto para linha privativa quanto para linha discada, o nome de usuário e a senha são enviados na primeira mensagem. No CHAP, o protocolo começa com uma mensagem chamada de challenge (desafio), que pede ao outro roteador para que envie seu nome de usuário e a senha. A Figura 12-3 resume os diferentes processos no caso em que os enlaces são discados. O processo funciona da mesma forma quando o enlace usa uma linha privativa.

• • • • . •

•• ••

• • •• •• •• •

• • • • • • • •

•

321

Figura 12-3 Processo de Autenticação PAP e CHAP

•• •• •• •• • • •

CCNA ICND2

PAP Esperando pela Discagem

Fred

Roteador

c

Eu sou Barney Senha = Betty

Ack.

CHAP Esperando pela Discagem

Roteador Challenge ! Eu sou #$%#$@

Fred

O fluxo no PAP é muito menos seguro que no CHAP porque o PAP envia o nome do host e a senha em texto claro na mensagem. Estes podem ser lidos facilmente se alguém colocar uma ferramenta de tracing no circuito. Por outro lado, o CHAP usa um algoritmo de hash unidirecional, cuja entrada para o algoritmo é uma senha que nunca passa pelo enlace, mais um número aleatório compartilhado. O challenge do PAP define o número aleatório; ambos os roteadores são préconfigurados com a senha. O roteador desafiado executa o algoritmo de hash usando o número aleatório recém aprendido e a senha secreta, e envia os resultados de volta para o roteador que enviou o desafio. O roteador que enviou o desafio executa o mesmo algoritmo usando o número aleatório (enviado através do enlace) e a senha (não enviada através do enlace). Se o resultado for idêntico, as senhas devem ser idênticas. A parte mais interessante do processo do CHAP é que em nenhum momento a senha propriamente dita passa pelo enlace. Com o número aleatório, o valor de hash será diferente a cada vez. Portanto, mesmo que alguém veja o valor de hash que foi calculado usando uma ferramenta de trace, o valor não será significativo como uma forma de fazer uma invasão em uma próxima ocasião. A autenticação do CHAP é difícil de quebrar, mesmo com uma ferramenta de tracing no enlace da WAN.

• Configuração do PPP • •

•

Esta seção examina como configurar o PPP e como adicionar a configuração do CHAP a seguir. Ao mesmo tempo, esta seção também examina alguns comandos que ajudam a verificar se o PPP está ativo e funcionando.

• Operação básica do PPP

• • • • • • • •

••

Para configurar o PPP é necessário somente o comando encapsulation ppp nas duas extremidades do enlace. Para voltar a usar o default que é HDLC, o engenheiro' precisa simplesmente usar o comando encapsulation hdlc em ambas as extremidades do enlace também. No entanto, além desta configuração básica, o enlace serial físico precisa ser solicitado e instalado. Esta seção assume que o enlace físico foi instalado e está funcionando. Se você quiser saber mais detalhes a respeito do enlace físico, vá ao Capítulo 17 de CCENT/CCNA ICNDJ Guia Oficial de Certificação do Exame. O Exemplo 12-1 mostra uma configuração simples usando os dois roteadores mostrados na Figura 12-4. O exemplo inclui a configuração do endereço IP, mas os endereços IP não precisam estar configurados para que o PPP funcione. Pelo fato da maior parte das instalações usarem o IP, a configuração foi adicionada para apresentar alguma perspectiva para os comandos show na segunda parte do exemplo.

322 Capítulo 12:Wans ponto-a-ponto Figura 12-4 Interconexão de Rede com Dois Roteadores Usado nos Exemplos de PPP

192.168.1.1

192.168.2.1 SOIO/1

192.168.2.2

~~·~~~::::":"'_--:;;~_ _~SO~I1~/1_.[~·--~'

FaOIO ~

192.168.3.2 FaO/1

Exemplo 12-1 Configuração Básica do PPP ! The example sta rts with router RI

interface Serial O/O/1 ip address 192 . 168.2.1 255.255.255.0 1-

encapsulation ppp clockrate 1536000 ! Next,

the configuration on rou ter R2

interface SerialO/l/l ip address 192.168.2.2 255.255.255.0

1encapsulation ppp ! Back to router RI again

Rl# show interfaces serial 0/0/1 SerialO / O/l is u p, l i n e protocol is up Hardware is GT96 K Serial Internet add res s is 192 . 168 . 2 . 1/24 MTU 1500 bytes, BW 1544 Kbit, DLY 20000 usec, re1iabi1ity 255/255,

txload 1/255, rxload 1 / 255

-

Encapsulatio n PPP, LCP Open Open : CDPCP, I PCP,

loopback n o t set

! lines omit t ed for b revity

Este exemplo mostra uma configuração simples, com ambos os roteadores precisando usar o encapsulamento PPP. Se um dos roteadores usasse o default de HDLC e o outro configurasse o PPP conforme mostrado, o enlace não seria habilitado, permanecendo em um estado de interface "up and down". O comando show interfaces na parte inferior do exemplo mostra a saída normal quando o enlace está ativo e funcionando. O segundo código de estado da interface se refere tipicamente ao estado do enlace de dados, com o valor "up" significando que o enlace de dados está funcionando. Além disso, em algumas linhas na saída, as frases em destaque mostram que o PPP está realmente configurado, e que o LCP completou o seu trabalho com sucesso, conforme indicado através do termo "LCP Open". Além disso, a saída apresenta o fato de que dois CPs, o CDPCP e o IPCP também foram habilitados com sucesso - tudo isso são boas indicações de que o PPP está funcionando corretamente.

Configuração e verificação do CHAP A versão mais simples da configuração do CHAP exige apenas alguns poucos comandos. A configuração usa uma senha configurada em cada roteador. Como uma alternativa, a senha poderia ser configurada em um servidor externo AAA (Authentication, Authorization, and Accounting), fora do roteador. Os passos para a configuração são os seguintes:

/~:;;;~ Passo 1 Configure os nomes de hosts dos roteadores usando o comando global de configuração hostname name. \ C""".

\.

Passo 2 Configure o nome do outro roteador e a senha secreta a ser compartilhada usando o comando global de configuração username name password password. Passo 3 Habilite o CHAP na interface de cada roteador usando o subcomando de interface ppp authentication chap. O Exemplo 12-2 apresenta uma amostra de configuração usando os mesmos dois roteadores do exemplo anterior (veja Figura 12-4).

• •• •• •• •• •• •• •• • •• ••

•• •• •• •• •• •• •• •• •• •• •• ••

• • •• •• •• •

•• •• •• •• •• •• •• •

• •

CCNA ICND2

323

Exemplo 12-2 Exemplo de Configuração de CHAP hostname Rl

hostname R2

username R2 password =wPass

username Rl password =wPass

I

I

interface serial 0/0/1

interface serial 0/1/1

encapsulation ppp

encapsulation ppp

ppp authentication chap

ppp authentication chap

Os comandos propriamente ditos não são complicados, mas é fácil cometer erros na configuração dos nomes de hosts e das senhas. Observe que cada um dos roteadores se refere ao nome de host do outro roteador no comando username, mas ambos os roteadores devem configurar o mesmo valor para a senha. Além disso, não somente as senhas diferenciam letras maiúsculas de minúsculas (neste caso, é mypass), como também os nomes dos hosts, conforme referenciados através do comando username, também diferenciam maiúsculas de minúsculas. Pelo fato do CHAP ser uma função do LCP, se o processo de autenticação falhar, o LCP não se completa, e a interface vai para o estado de interface "up and down".

Configuração do PAP O PAP usa exatamente os mesmos comandos de configuração do CHAP, exceto que o comando ppp encapsulation pap é usado ao invés de ppp encapsulation chap. Os demais comandos para verificação funcionam da mesma forma, não importando qual dos dois tipos de autenticação está sendo usado. Por exemplo, se a autenticação PAP falhar, o LCP falha, e o enlace vai para o estado "up and down". O Software lOS da Cisco também suporta a capacidade de configurar o roteador para primeiro tentar um dos métodos de autenticação e, se o outro lado não responder, tentar a outra opção. Por exemplo, o subcomando de interface ppp authentication chap pap diz ao roteador para enviar mensagens CHAP e, se nenhuma resposta for recebida, tentar o PAP. Observe que a segunda opção não será tentada se as mensagens CHAP fluírem entre os dois dispositivos e o resultado for uma falha na autenticação. A segunda opção será usada somente se o outro dispositivo não enviar nenhuma mensagem de volta. A próxima seção discutirá uma grande variedade de tópicos relativos à resolução de problemas em WAN, incluindo alguns detalhes a mais sobre resolução de problemas relativos ao CHAP.

: Resolvendo problemas em enlaces seriais

•• •• •

•• •• •• •• • •

•

Esta seção discute a forma de se isolar e encontrar a causa raiz de problemas relacionados aos tópicos cobertos anteriormente neste capítulo, bem como a alguns tópicos relativos à WAN ponto-a-ponto cobertos em CCENT/CCNA ICNDI Guia Oficial de Certificação do Exame. Além disso, esta seção não tentará repetir a cobertura de resolução de problemas de IP das Partes nem deste livro, mas apontará alguns dos possíveis sintomas em um enlace serial quando um erro de sub-rede na Camada 3 ocorrer, em extremidades opostas de um enlace serial, o que impedirá que os roteadores encaminhem pacotes através do enlace serial. Um simples comando ping pode determinar se um enlace serial pode ou não encaminhar pacotes IP. Um ping no endereço IP serial do outro roteador - por exemplo, um comando ping 192.168.2.2 que esteja funcionando em RI na Figura 12-4 - prova se o enlace funciona ou não. Se o ping não funcionar, o problema poderia estar relacionado a funções nas Camadas OSI 1,2 ou 3. O melhor meio de se isolar qual a camada mais provável de ser a causa é examinar os códigos de estado da interface, descritos na Tabela 12-3. (Somente para lembrar, as interfaces dos roteadores possuem dois códigos de estado - estado da linha e estado do protocolo.) Tabela 12-3 Códigos de Estado da Interface e Significados Típicos Quando Um Ping Não Funciona Estado da Linha (Line status)

Estado do Protocolo (Protocol Status)

Razão Provável/Camada

Down por questões administrativas

Down

Interface foi desabilitada

/;~;~o ...

,," Cha..

•

324 Capítulo 12:Wans ponto-a-ponto Down

Down

Camada 1

Up

Down

Camada 2

Up

Up

Camada3

o processo de verificação e resolução de problemas no enlace serial deve começar com um processo simples de três passos:

Passo 1 A partir de um dos roteadores, efetue um ping no endereço IP serial do outro roteador. Passo 2 Se o ping falhar, examine o estado da interface nos dois roteadores e investigue os problemas relacionados às áreas prováveis de apresentarem problemas, e que estão listadas na Tabela 12-4 (será apresentada mais adiante neste capítulo). Passo 3 Se o ping funcionar, verifique também se todos os protocolos de roteamento estão trocando rotas através do enlace. Observação Os códigos de estado da interface podem ser encontrados usando-se os comandos show interfaces, show ip interface brief e show interfaces description.

o resto deste capítulo irá explorar os itens específicos que devem ser examinados quando um ping falhar, baseado nas combinações de códigos de estado da interface apresentados na Tabela 12-3. Resolvendo problemas de camada 1 Os códigos de estado da interface, ou estado da interface, possuem um papel importante para isolar as causas-raiz dos problemas em enlaces seriais. De fato, o estado em ambas as extremidades do enlace podem ser diferentes, por isso é importante examinar o estado em ambas as extremidades do enlace para ajudar a determinar o problema. Um problema de Camada 1, que é simples e fácil de ser encontrado, ocorre quando um dos dois roteadores tiver sua interface serial desabilitada pelo administrador, através do subcomando de interface ShUtdOWD. Se a interface serial de um roteador estiver no estado desabilitado por administrador, a solução é simples - basta configurar o comando de configuração de interface no shutdoWD na interface. Além disso, se a interface de um dos roteadores tiver o estado da linha como down, o outro roteador poderá estar desabilitado, portanto verifique ambas as extremidades do enlace. A combinação de estado de linha down em ambas as extremidades do enlace serial tipicamente indica um problema de Camada 1. A seguinte lista descreve as razões mais prováveis: ......... - A linha privativa está desabilitada (um problema da companhia telefônica). / T6plco

\~h.V.

_A linha da companhia telefônica não está conectada em um dos, ou ambos os CSUIDSUs. - Um CSUIDSU falhou ou foi configurado de modo incorreto. - Um cabo serial de um roteador para seu CSUIDSU está desconectado ou em falha.

Os detalhes a respeito de como isolar posteriormente estes quatro problemas estão além do escopo deste livro. De modo interessante, pode ocorrer um outro problema comum da camada física, e que faz com que as interfaces dos dois roteadores fiquem no estado up/down. Em um enlace serial de ponta a ponta, se o comando clock rate necessário estiver faltando no roteador com um cabo DCE instalado, as interfaces seriais dos dois roteadores irão falhar e ficarão com o estado de linha como up, mas o estado de protocolo da linha como down. O Exemplo 12-3 mostra um exemplo destes, indicando algumas maneiras de se verificar se a falta de um comando clock rate é o problema. As duas melhores formas para se encontrar este problema são verificar a ausência do comando clock rate no roteador com o cabo DCE, e observar o termo "no c1ock" na saída do comando show controUers serial. (Este exemplo mostra R1 da Figura 124, com o comando clock rate removido.)

•• •• •• ••

•• •• •• ••

•• •• • •• •• ••

•• •• •• •• •• •• •• ••

•

••

•• •• •• •• •• •• •• •• •

•• •• •• •• •• •• • •• •• •• •• •• •

CCNA ICND2

325

Exemplo 12-3 Problema: Sem o Comando clock rate no Lado DCE R1# show controller sO/O/l Interface SerialOl0/1 Hardware is PowerQUICC MPC860 Internet address is 192.168.2.1/24

,,_

DCE V. 35 , no clock !

lines omitted for brevity

R1# show running-config interface SOIOll Building configuration ... Cu rrent configuration : 42 bytes

interface SerialOl0/1 ip address 192.168 . 2 . 1 255 . 255.255 . 0 end

Observação Algumas versões recentes de lOS na verdade impedem o usuário de remover o comando c10ck rate da interface, se um cabo DCE ou se nenhum cabo estiver instalado, em um esforço para impedir a omissão não intencional do comando c10ck rate. Além disso, o lOS às vezes apresenta o comando c10ck rate como sendo c1ockrate; ambos são aceitáveis.

Resolvendo problemas de camada 2 Quando o estado da linha serial em ambos os roteadores for up, mas pelo menos um dos estados de protocolo da linha destes roteadores (o segundo código de estado da interface) for down ou ficar alternando continuamente entre up e down, a interface provavelmente possui um de dois tipos de problemas na camada de enlace de dados. Esta seção explica ambos os problemas, que estão resumidos na Tabela 12-4.

Tabela 12-4 Razões Prováveis Para Problemas no Enlace de Dados em Enlaces Seriais

/;~~;~

;.Ch_

....

Estado da Linha

Estado do Protocolo

Razão Provável

Up

Down (estável) em ambas as extremidades ou Down (estável) em uma das extremidades, alternando entre up e down na outra

Comandos encapsulation diferentes

Up

Down em uma das extremidades, up na outra

Keepalive está desabilitado na extremidade que está no estado up

Up

Down (estável) em ambas as extremidades

Falha na autenticação PAP/CHAP

Observação Da mesma forma que nos demais tópicos sobre resolução de problemas deste livro, a Tabela 12-4 lista alguns dos tipos mais comum de falhas, mas não todos.

o primeiro destes dois problemas - uma diferença nos protocolos configurados no enlace de dados - é fácil de se identificar e de se corrigir. O comando show interfaces apresenta o tipo de encapsulamento na sétima linha da saída, portanto usar este comando em ambos os roteadores pode identificar rapidamente o problema. De modo alternativo, uma olhada rápida na configuração, mais lembrar-se de que o HDLC é o encapsulamento serial default pode confirmar se os encapsulamentos estão diferentes. A solução é simples - reconfigure um dos dois roteadores de modo a casar com o comando encapsulation do outro roteador. As outras duas causas raiz exigem um pouco mais de discussão para entender a questão, e para se determinar se elas são realmente a causa raiz. As próximas duas seções apresentam cada uma delas em maiores detalhes.

326 Capítulo 12:Wans ponto-a-ponto

Falha no keepalive

o segundo item está relacionado a uma facilidade chamada keepalive. A facilidade de keepalive ajuda um roteador a reconhecer quando um enlace não está mais funcionando, assim o roteador pode desabilitar a interface, esperando então usar uma rota IP alternativa. A função keepalive (por default) faz com que os roteadores enviem mensagens de keepalive um ao outro a cada 10 segundos (a configuração default). (A Cisco define uma mensagem HDLC keepalive proprietária, enquanto que o PPP defrne uma mensagem de keepalive como parte do LCP.) Este temporizador de 10 segundos é o intervalo do keepalive. Se um roteador não receber nenhuma mensagem de keepalive do outro roteador por um determinado número de intervalos de keepalive (três ou cinco intervalos, por default, dependendo da versão do lOS), o roteador desabilitará a interface, assumindo que a interface não está mais funcionando. Em redes reais, é útil simplesmente deixar o keepalive habilitado. No entanto, você poderá cometer um erro e desligar os keepalives em uma das extremidades de um enlace serial, deixando-os habilitados na outra extremidade, e fazendo com que o enlace falhe. Por exemplo, se RI fosse configurado com o subcomando de interface no keepalive, desabilitando os keepalives, RI não enviaria mais as mensagens de keepalive. Se R2 continuasse com o padrão de usar keepalives, R2 continuaria a enviar mensagens de keepalive, e R2 iria esperar receber mensagens de keepalive de RI. Depois que vários intervalos de keepalive tivessem se passado, R2, não tendo recebido nenhuma mensagem de keepalive de RI, iria alterar o estado da interface para "up and down". Então, R2 iria trazer o enlace de volta para up continuamente, continuar a não receber nenhum keepalive de RI , e então voltar novamente para o estado "up and down", alternando entre up e down repetidamente. RI, não se importando com keepalives, deixaria a interface em um estado "up and up" o tempo todo. O Exemplo 12-4 mostra exatamente este exemplo, novamente com os roteadores da Figura 12-4. Exemplo 12-4 Problemas na Linha Por Causa de Keepalive Somente em R2 ! R1 disables keepalives,

and rernains in an up/up state.

Rl# configure terminal Enter configuration commands, one per line . End with CNTL/Z. R1 (config) # interface s 0/0/1 R1 (config-if) #no keepalive R1(config-if)# AZ R1# show interfaces sO/ O/l Seri a l O/ 0 / 1 is up,

line proto col is up

Hardware is PowerQUICC Serial Internet address is 192.168.2.1/24 MTU 1500 bytes, BW 1544 Kbit, DLY 20000 usec, reliability 255/255, Encapsulation HDLC,

txload 1/255, rxload 1/255

loopback not set

Ke e pa live not set ! lines omitted for brevity ! Below,

R2 still has keepalives enabled (default)

R2# show interfaces SO/l/l SerialO / 1 / 1 is up,

line protocol is down

1-

Hardware is PowerQUICC Serial Internet address is 192.168.2 . 2/24 MTU 1500 bytes, BW 1544 Kbit, DLY 20000 usec, reliability 255/255, Encapsulation HDLC, 1-

txload 1/255, rxload 1/255

loopback not set

Keepal i ve set (1 0 sec)

1-

! lines omitted for b r evity

Observação Habilitar keepalives em apenas uma das extremidades de um enlace serial ponto-a-ponto constitui um erro de configuração. Parece que algumas versões bem recentes de lOS percebem quando os keepalives são desabilitados erroneamente em uma das

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

••

•• ••

•• ,• e •• •• •• •• •• ,-• •• •• •• •• •• •• •• •• •• •• •• ••

I.

CCNA ICND2

327

extremidades de um enlace e evitam que o problema descrito aqui aconteça. Para os exames CCNA, basta ficar ciente de que os keepalives devem ser habilitados em ambas as extremidades do enlace, ou desabilitados em ambas.

Falha na autenticação com PAP e CHAP Conforme mencionado anteriormente, uma falha no processo de autenticação PAP/CHAP resulta em ambos os roteadores ficarem no estado "up and down" . Para descobrir se uma falha no PAP/CHAP é realmente a causa raiz, você pode usar o comando debug ppp authentication. Para efeitos de perspectiva, o Exemplo 12-5 mostra a saída deste comando quando o CHAP é configurado da mesma forma como mostrado anteriormente no Exemplo 12-2, com o CHAP funcionando .......... corretamente neste caso. ( Tópico \ Chave ... Exemplo 12-5 Mensagens de Debug Confirmando a Operação Correta do CHAP R1#debug ppp authentication PPP authentication debugging is on Rl#

*May 21 18:26:55.731: SeO/O/l PPP: Using default call direction *May 21 18:26:55.731: SeO/O/l PPP: Treating connection as a dedicated line *May 21 18:26:55.731: SeO/O/l PPP: Authorization required *May 21 18:26:55.731: SeO /O/l CHAP: O CHALLENGE id 16 len 23 from "RI" *May 21 18:26:55 . 731: SeO/O/l CHAP : I CHALLENGE id 49 len 23 from "R2" *May 21 18:26:55.735: SeO/O/l CHAP: Using hostname from unknown source *May 21 18:26:55 . 735: SeO/O/l CHAP: Using password from AAA *May 21 18:26:55.735: SeO/O/l CHAP: O RESPONSE id 49 len 23 from "RI" *May 21 18:26:55.735: SeO/O/l CHAP: I RESPONSE id 16 len 23 from "R2" *May 21 18:26:55 . 735: SeO/O/l PPP: Sent CHAP LOGIN Request *May 21 18:26:55.735: SeO/O/l PPP: Received LOGIN Response PASS *May 21 18:26:55.735: SeO/O/l PPP: Sent LCP AUTHOR Request *May 21 18:26 : 55.735: SeO/O/l PPP: Sent IPCP AUTHOR Request *May 21 18:26:55.735: SeO/O/l LCP: Received AAA AUTHOR Response PASS *May 21 18 : 26:55.739: SeO/O/l IPCP: Received AAA AUTHOR Response PASS *May 21 18:26:55.739: SeO/O/l CHAP: O SUCCESS id 16 len 4 *May 21 18:26:55.739: SeO/O/l CHAP: I SUCCESS id 49 len 4

o CHAP utiliza a troca de três mensagens, como mostrado antes na Figura 12-3, com um conjunto de mensagens fluindo para autenticação em cada uma das direções, por default. As três linhas em destaque mostram o processo de autenticação pelo qual RI autentica R2; começa com RI enviando uma mensagem de desafio. A primeira mensagem em destaque no Exemplo 12-5 apresenta um "O", que significa "output". Isto indica que a mensagem é uma mensagem de desafio, e que ela foi enviada por RI. A próxima mensagem em destaque é a mensagem de resposta recebida (indicada com um "I" de input), de R2. A última linha em destaque é a terceira mensagem, enviada por RI , informando que a autenticação ocorreu com sucesso. Você também poderá ver as mesmas três mensagens na saída, para autenticação de R2 por RI , mas estas mensagens não estão em destaque no exemplo. Quando a autenticação CHAP falha, a saída do debug mostra algumas mensagens razoavelmente óbvias. O Exemplo 12-6 mostra o resultado usando a mesma interconexão de rede com os dois roteadores, mostrada na Figura 12-4, desta vez com senhas configuradas incorretamente, de modo que o CHAP irá falhar.

Exemplo 12-6 Mensagens de Debug Confirmando a Falha no CHAP Rl#debug ppp authentication PPP authentication debugging is on ! Lines omitted for brevity

*May 21 18:24:03.171: SeO/0/1 PPP: Sent CHAP LOGIN Request *May 21 18:24:03.171 : SeO/O/l PPP: Received LOGIN Response FAIL *May 21 18:24:03.171: SeO/O/l CHAP: O FAILURE id 15 len 25 msg is "Authentication failed"

•

328 Capítulo 12:Wans ponto-a-ponto

Resolvendo problemas de camada 3 Este capítulo sugere que o melhor lugar para começar a resolver problemas em enlaces seriais é fazer ping no endereço IP do roteador que estiver na outra extremidade do enlace - especificamente, no endereço IP do enlace serial. De modo interessante, o enlace serial pode estar em um estado "up and up", mas o ping ainda assim pode falhar por causa de erros na configuração da Camada 3. Em alguns casos, o ping pode funcionar, mas os protocolos de roteamento poderão não ser capazes de trocar rotas. Esta pequena seção examina os sintomas, que serão um pouco diferentes, dependendo se o HDLC ou o PPP estiver sendo usado, e da causa raiz. Em primeiro lugar, considere um enlace HDLC no qual os detalhes físicos e do enlace de dados estejam funcionado corretamente. Neste caso, as interfaces dos dois roteadores estarão no estado "up and up" . No entanto, se os endereços IP configurados nas interfaces seriais dos dois roteadores estiverem em sub-redes diferentes, um ping para o endereço IP na outra extremidade do enlace irá falhar porque os roteadores não possuem uma rota que casa. Por exemplo, na Figura 12-4, se o endereço IP serial de R1 permanecer como 192.168.2.1,e o de R2 for alterado para 192.168.3.2 (ao invés de 192.168.2.2), ainda com uma máscara de /24, os dois roteadores teriam rotas conectadas a diferentes sub-redes. Eles não possuiriam uma rota casando com o endereço IP serial do roteador oposto. Encontrar e corrigir um problema de sub-redes diferentes com enlaces HDLC é relativamente simples. Você pode encontrar o problema executando o primeiro passo de sempre, que é fazer um ping no endereço IP na outra extremidade do enlace, e falhando. Se os dois códigos de estado da interface nas interfaces dos dois roteadores estiverem up, o problema é possivelmente esta sub-rede IP diferente. Para enlaces PPP, com o mesmo erro de configuração no endereço IP/máscara, as interfaces de ambos os roteadores também estarão no estado "up and up", mas o ping no endereço IP do outro roteador na verdade funcionará. Acontece que um roteador usando PPP anuncia o endereço IP de sua interface serial para o outro roteador, com um prefixo /32, que é uma rota para alcançar exatamente este host. Sendo assim, ambos os roteadores possuem uma rota para a qual encaminhar pacotes para a outra extremidade do enlace, mesmo que os dois roteadores nas extremidades opostas de um enlace serial possuam endereços IP incorretos. Por exemplo, na Figura 12-4 novamente, se o endereço IP de R2 for 192.168.4.2/24, enquanto que o de R1 permanecer como 192.168.2.1/24, os dois endereços estariam em diferentes subredes, mas os pings iriam funcionar porque o PPP anuncia as rotas do host. O Exemplo 12-7 mostra exatamente este cenário.

Observação Uma rota com um prefIXO /32, que representa um único host, é chamada de rota para host. Exemplo 12-7 PPP Permitindo um Ping Através do Enlace Serial, Mesmo Em Sub-redes Diferentes R1# ahow ip route Codes : C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i

- IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, o - ODR,

• - candidate default, U - per-user static route

P - periodic downloaded static route

C 192.168.1.0/24 is directly connected, FastEthernetO/O C 19 2 . 1 68 .2 . 0/2 4 i s direct l y connected , SerialO / 0 / 1 192.168.4.0/32 is subnetted, 1 subnets C

19 2 .168 . 4 . 2 is directly connected,

SerialO/0/1

R1# ping 192.168.4.2 Type escape sequence to aborto Sending 5, 100-byte ICMP Echos to 192.168.4 . 2,

timeout is 2 seconds:

!!!! !

Success rate is 100 percent (5/5),

round-trip min/avg/max = 1/2/4 ms

•• •• •• •

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• • • •

• • • •

CCNA ICND2

329

A primeira linha em destaque no exemplo mostra a rota conectada normalmente no enlace serial, para a rede 192.168.2.01 24. RI acha que esta sub-rede é a sub-rede conectada a SOIOII por causa do endereço IP configurado de RI (192.168.2.11 24). A segunda linha em destaque mostra a rota para o host criada pelo PPP, especificamente para o novo endereço IP serial de R2 (192.168.4.2). (R2 terá uma rota similar para 192.168.2.1132, o endereço IP serial de RI.) Portanto, ambos os roteadores possuem uma rota que lhes permite encaminhar pacotes ao endereço IP na outra extremidade do enlace, o que permite que o ping para o outro lado do enlace serial funcione, apesar do fato dos endereços em cada uma das extremidades estarem em sub-redes distintas.

•

Embora o ping para a outra extremidade do enlace funcione, os protocolos de roteamento ainda assim não anunciam as rotas por causa da diferença na sub-rede IP nas extremidades opostas do enlace. Portanto, quando estiver resolvendo problemas em uma rede, não assuma que uma interface serial em um estado "up/up" esteja totalmente em funcionamento, ou nem mesmo que uma interface serial sobre a qual um ping funcione esteja totalmente funcionando. Certifique-se também de que o protocolo de roteamento está trocando rotas e de que os endereços IP estejam na mesma sub-rede. A Tabela 12-5 resume o comportamento em enlaces HDLC e PPP quando os endereços IP em cada uma das extremidades não estão na mesma sub-rede, e nenhum outro problema adicional existe.

•

Tabela 12-5 Resumo dos Sintomas Para Sub-Redes Diferentes em Enlaces Seriais

• • • •

•

Sintomas Quando Endereços IP em Um Enlace Serial Estão em Sub-redes Diferentes

.

-----------------------------------------------------------

HDLC PPP

•

O ping no endereço IP serial do outro roteador funciona?

Não

Sim

•

Os protocolos de roteamento podem trocar rotas através do enlace?

Não

Não

•• -----------------------------------------------------------------------------------• Atividades de preparação para o exame

• •

Revise os tópicos mais importantes deste capítulo, assinalados com o ícone de tópicos-chave. A Tabela 12-6 lista estes . ......... tópicos-chave e onde cada um deles foi discutido.

•

•

Tabela 12-6 Tópicos-Chave do Capítulo 12

•

Elemento do Tópico-Chave

Descrição

•

Lista

Recursos do PPP

317

• Revise todos os tópicos-chave

•

•

rn. \~...ve Número da Página

.

-----------------------------------------------------------

Tabela 12-2

Recursos do LCP do PPP

318

•

Tabela 12-3

Comparação entre mensagens enviadas pelo PAP e pelo CHAP

321

.

-----------------------------------------------------------

•

Lista

·

Tabela 12-3

• •

Lista de verificação da configuração do CHAP

322

Lista das combinações típicas dos códigos de estado das interfaces seriais, e a razão geral típica para cada combinação

323-324

---------------------------------------------------------------

•

Lista

Causas comuns para problemas de Camada 1 em enlaces seriais

324

•

Tabela 12-4

Sintomas comuns e causas para problemas comuns de Camada 2 em enlaces seriais

325

•

8 ----------------------------------------------------------•

•

Exemplo 12-5

Amostra de mensagens de debug mostrando um processo de autenticação CHAP com sucesso

327

. -------------------------------------------------------------

330 Capítulo 12:Wans ponto-a-ponto

Complete as tabelas e listas usando a memória Imprima uma cópia do Apêndice J, "Tabelas de memória", ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das tabelas de memória", inclui as tabelas e listas completadas para você conferir o seu trabalho.

Definição de termos-chave Defina os seguintes termos-chave deste capítulo, e verifique suas respostas no glossário:

CHAP,

IP Control Protocol,

keepalive,

Link Control Protocol,

PAP

Referência aos comandos para verificar sua memória Embora você não precise necessariamente memorizar as informações das tabelas desta seção, esta seção inclui uma referência para os comandos de configuração e EXEC cobertos neste capítulo. Na prática, você deve memorizar os comandos como reflexo da leitura do capítulo e da execução de todas as atividades desta seção de preparação para o exame. Para verificar o quão eficientemente você memorizou os comandos como reflexo de seus outros estudos, cubra o lado esquerdo da tabela, leia as descrições do lado direito, e veja se você se lembra do comando.

Tabela 12-7 Referência aos Comandos de Configuração do Capítulo 12 Comando

Descrição

encapsulation {hdlc I ppp}

Subcomando de interface que define o protocolo no enlace de dados serial

ppp authentication {pap I chap pap chap I chap pap }

I

username name password secret

Subcomando de interface que habilita apenas PAP, apenas CHAP ou ambos (dependente da ordem) Comando global que configura a senha que este roteador espera usar quando estiver autenticando o roteador com o nome de host listado

Tabela 12-8 Referência aos Comandos EXEC do Capítulo 12 Comando

Descrição

show interfaces [type number]

Lista estatísticas e detalhes da configuração da interface, incluindo o tipo de encapsulamento

debug ppp authentication

Gera mensagens para cada passo do processo de autenticação no PAP ou no CHAP

debug ppp negotiation

Gera mensagens de debug para as mensagens de negociação no LCP e no NCP, trocadas pelos dispositivos

•• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2

331

••

Este capítulo aborda os seguintes assuntos: Visão geral do Frame Relay: esta seção introduz a terminologia, as funções e o propósito do protocolo Frame Relay. Endereçamento no Frame Relay: esta seção examina o DLCI, que é o endereço de enlace de dados do Frame Relay, e como ele é usado para transferir frames através da nuvem Frame Relay. Problemas da camada de rede em relação à Frame Relay: esta seção examina, em sua maior parte, as diversas opções para o uso de sub-redes de Camada 3 em uma rede Frame Relay. Controlando a velocidade e os descartes na nuvem Frame Relay: esta pequena seção explica alguns dos recursos relacionados ao controle de fluxo de dados na rede Frame Relay.

•• •• •• •• •• •• •• •• ••

•• •• •• •

•• •• •• •• •• •• •• •• ••

••

•• C A P íT ULO 13 •• : Conceitos de Frame Relay .• -------------------------------------------------------• •

• • • •

Frame Relay continua sendo a tecnologia de WAN mais popular usada hoje em dia. No entanto, sua popularidade vem decaindo. O mesmo está sendo substituído principalmente pela tecnologia VPN (Virtual Priva te Network, ou Redes Privadas VIrtuais), de dois tipos principais: VPNs de Internet, que usam a Internet para transportar pacotes, e VPNs MPLS (Multiprotocol Label Switching), que segue o mesmo modelo básico de serviço do Frame Relay, tipicamente oferecido pelos mesmos provedores de Frame Relay, mas com vantagens técnicas significativas. No entanto, o Frame Relay ainda é usado por muitas empresas hoje em dia, e também pode ser conectado a VPNs MPLS e de Internet, de modo que o Frame Relay ainda continuará sendo um tópico importante relacionado a redes por algum tempo.

•• •• •• •• Questionário "Eu já conheço isto"? ••

O Frame Relay pode ser comparado mais de perto à camada de enlace de dados (Camada 2) do OS!. Se você se lembrar de que a palavra "frame" descreve a unidade de dados do protocolo da camada de enlace de dados (pDU), será fácil se lembrar de que o Frame Relay está relacionado à Camada 2 do OS!. Como outros protocolos de enlace de dados, o Frame Relay pode ser usado para entregar pacotes (PDUs de Camada 3) entre roteadores. Os cabeçalhos e trailers do protocolo Frame Relay são usados simplesmente para permitir que um pacote atravesse a rede Frame Relay, da mesma forma que cabeçalhos e trailers Ethernet são usados para ajudar um pacote a atravessar um segmento Ethernet.

Este capítulo descreve os detalhes do protocolo Frame Relay. O Capítulo 14, "Configuração e resolução de problemas de Frame Relay", examina a configuração, verificação e resolução de problemas em redes Frame Relay.

•• •

O questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Se você errar não mais que uma destas oito questões de auto-avaliação, você pode querer ir direto para a seção "Atividades de preparação para o exame". A Tabela 13-1 lista os principais tópicos deste capítulo e as questões do teste "Eu já conheço isto?" cobrindo o material destas seções. Isto ajudará você a avaliar seu conhecimento nestas áreas específicas. As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

•

Tabela 13-1 Mapeamento Entre a Seção dos Tópicos Fundamentais e as Questões do "Eu Já Conheço Isto?"

•

Seção dos Tópicos Fundamentais

Perguntas

•

VIsão geral do Frame Relay

1-3

•

Endereçamento no Frame Relay

4e5

•

Problemas da camada de rede em relação à Frame Relay

6e7

•

Controlando a velocidade e os descartes na nuvem Frame Relay

8

•

1. Qual(is) dos seguintes itens é(são) um protocolo usado entre o DTE Frame Relay e o switch Frame Relay?

•

• •• •• •• •

a. VC b. CIR

c. LMI d. Q.921 e . DLCI

f. FRF.5 g. Encapsulamento

334 Capítulo 13: Conceitos de Frame Relay 2. Qual(is) das seguintes afirmações (é)são verdadeira(s) com relação ao Frame Relay? a. O DTE fica tipicamente do lado do usuário. b. Os roteadores enviam mensagens LMI um ao outro para sinalizar o estado de um Vc. c . O DLCI origem de um frame deve permanecer inalterado, mas o DLCI destino de um frame pode ser alterado à medida que o frame atravessa a nuvem Frame Relay. d. O tipo de encapsulamento no Frame Relay no roteador enviador deve ser idêntico ao tipo de encapsulamento no roteador receptor para que o roteador receptor seja capaz de entender o conteúdo do frame. 3. O que significa DLCI? a. Data-link connection identifier b. Data-link connection indicator c. Data-link circuit identifier d. Data-link circuit indicator 4. O roteador R1 recebe um frame do roteador R2 com o valor de DLCI de 222 no frame. Qual das seguintes afirmações sobre esta rede é a mais precisa? a. 222 representa o Roteador RI. b. 222 representa o Roteador R2. c . 222 é o DLCI local em R1, que representa o VC entre R1 e R2. d. 222 é o DLCI local em R2, que representa o VC entre R1 e R2. 5. Um diagrama de planejamento de Frame Relay mostra o número 101 ao lado de RI, 102 ao lado de R2, 103 ao lado de R3 e 104 ao lado de R4. Nenhum outro DLCI aparece. O engenheiro de rede na liderança informa a você que o diagrama de planejamento usa endereçamento global de DLCI e que uma malha total de VCs existe. Qual(is) dos seguintes itens é(são) verdadeiro(s)? a. Frames enviados de R1 para R2, como passam pelo link de acesso de R2, possuem DLCI igual a 102. b. Frames enviados de R1 para R2, como passam pelo link de acesso de R2, possuem DLCI igual a 101. c. Frames enviados de R3 para R2, como passam pelo link de acesso de R3 , possuem DLCI igual a 102. d. Frames enviados de R3 para R1, como passam pelo link de acesso de R3, possuem DLCI igual a 102. 6. FredsCo possui cinco sites, com roteadores conectados à mesma rede Frame Relay. Foram definidos VCs (Virtual Circuits, ou Circuitos Virtuais) entre cada par de roteadores. Qual é a mínima quantidade de sub-redes que FredsCo poderia usar na rede Frame Relay?

a. 1 b. 2

c. 3 d. 4

e. 5 f. 10 7. BarneysCo possui cinco sites, com roteadores conectados à mesma rede Frame Relay. Foram definidos VCs entre cada par de roteadores. Barney, o presidente da companhia, irá demitir qualquer um que configurar o Frame Relay sem usar subinterfaces ponto-a-ponto. Qual é a menor quantidade de sub-redes que BarneyCo poderia usar na rede Frame Relay?

a. 1 b. 4

c. 8 d. 10

••

••

•• •• •

•• •• •• •

•• •• •• •• •• •

•• •• •• •• •• •• •• •• ••

•• ••

CCNA ICND2

.8• .

•• •• •

• •• •

335

e. 12 f. 15 RI envia um frame Frame Relay para o roteador R2 através de um Vc. Ao mesmo tempo, um switch Frame Relay percebe que existem pacotes demais tentando sair da rede Frame Relay através do link de acesso conectado a R2. Qual dos seguintes itens é o resultado mais provável causado por este cenário? a. RI eventualmente recebe um frame com BECN configurado. b. RI eventualmente recebe um frame com FECN configurado. c. RI eventualmente recebe um frame com DE configurado. d. Nenhuma das respostas está correta.

' · fun damentals . •• TOplCOS

•• •• •• •• •• •• ••

Nos enlaces seriais ponto-a-ponto, uma empresa solicita uma linha privativa ou circuito entre dois pontos. A companhia telefônica cria o circuito, instalando um cabo de dois pares (quatro pares) dentro do prédio em uma das extremidades do circuito. A companhia telefônica cria o circuito, de modo que o mesmo irá executar a uma velocidade pré-configurada solicitada pelo cliente, tipicamente, algum múltiplo de 64 kbps. Assim que o cabo da companhia telefônica for conectado a um CSUIDSU, e a um roteador em cada extremidade do circuito, os roteadores terão um enlace físico dedicado, com a capacidade de enviar dados em ambas as direções, simultaneamente. O Frame Relay é um conjunto de padrões de WAN que cria um serviço de WAN mais eficiente quando comparado aos enlaces ponto-a-ponto, ao mesmo tempo em que continua permitindo que um par de roteadores envie dados diretamente um ao outro. Com linhas privativas, cada linha privativa precisa de uma interface serial em cada roteador, e um circuito físico separado (e caro) fornecido pela companhia telefônica. O Frame Relay suporta a capacidade de enviar dados a vários roteadores remotos através de um único circuito físico de WAN. Por exemplo, uma empresa com um site central e dez sites remotos precisaria de dez linhas privativas para se comunicar com o site central, e dez interfaces seriais no roteador do site central. Com o Frame Relay, o site central poderia ter uma única linha privativa conectando-o ao serviço de Frame Relay, e uma única interface serial no roteador do site central, e ainda assim ser capaz de se comunicar com cada um dos dez roteadores dos sites remotos. A primeira seção deste capítulo se concentra no básico sobre o Frame Relay, incluindo várias terminologias novas. A segunda seção examina o endereçamento de enlace de dados no Frame Relay. Este tópico exige certa atenção porque os endereços Frame Relay são necessários tanto para configuração quanto para resolução de problemas no roteador. As duas últimas seções principais deste capítulo examinam algumas preocupações relativas à camada de rede quando o Frame Relay estiver sendo usado, juntamente com alguns recursos que impactam a velocidade e a taxa de descarte de frames dentro da nuvem Frame Relay.

• Visão geral do Frame Relay

• • • • •

•• •• •

•• • •

As redes Frame Relay disponibilizam mais recursos e benefícios que simples enlaces WAN ponto-a-ponto, mas para isso, o protocolo Frame Relay possui mais detalhes. Por exemplo, redes Frame Relay são redes de multiacesso, o que significa que mais de dois dispositivos podem se conectar à rede, de modo similar às LANs. De modo diferente das LANs, você não pode enviar um broadcast na camada de enlace de dados sobre o Frame Relay. Sendo assim, redes Frame Relay são chamadas de redes NBMA (nonbroadcast multiaccess). Além disso, pelo fato do Frame Relay ser multiacesso, ele exige o uso de um endereço que identifica a qual dos roteadores remotos cada frame está endereçado. A Figura 13-1 apresenta a topologia física básica e a terminologia relacionada a uma rede Frame Relay.

Figura 13-1 Componentes do Frame Relay

Link de

Frame Relay

!~~~;~o '. Ch.".

....

Mensagens LMI

Frame Relay

Link de

336 Capítulo 13: Conceitos de Frame Relay A Figura 13-1 mostra os componentes mais básicos de uma rede Frame Relay. Uma linha privativa está instalada entre o roteador e um switch Frame Relay próximo; este enlace é chamado de link de acesso. Para garantir que o link está funcionando, o dispositivo fora da rede Frame Relay, chamado de DTE (Data Terminal Equipment) troca mensagens regulares com o switch Frame Relay. Estas mensagens de keepalive, juntamente com outras mensagens, são definidas pelo protocolo LMI (Local Management Interface) do Frame Relay. Os roteadores são considerados DTEs, e os switches Frame Relay são os DCEs (Data Communications Equipment). Enquanto a Figura 13-1 mostra a conectividade física de cada conexão para a rede Frame Relay, a Figura 13-2 mostra a conectividade lógica ou virtual, fim-a-fim, associada a um VC (Virtual Circuit, ou Circuito Virtual).

Figura 13-2 Conceito de PVC no Frame Relay

.......... ( Tópico \. Chava

....

Os caminhos lógicos para comunicação entre cada par de DTEs é um Vc. O trio de linhas paralelas na figura representa um único VC; este livro usa uma linha tracejada bem grossa para garantir que você vai perceber a linha facilmente. Tipicamente, o provedor de serviço pré-configura todos os detalhes necessários de um VC; VCs pré-definidos são chamados de PVCs (Permanent Virtual Circuit, ou Circuito Virtual Permanente). Os roteadores usam o DLCI (Data-Link Connection Identifier) como o endereço no Frame Relay; ele identifica o VC através do qual o frame deve trafegar. Portanto, na Figura 13-2, quando RI precisa encaminhar um pacote para R2, RI encapsula o pacote da Camada 3 em um cabeçalho e trailer Frame Relay, e depois envia o frame. O cabeçalho do Frame Relay inclui o DLCI correto, de modo que os switches Frame Relay do provedor encaminham corretamente o frame para R2. A Tabela 13-2 apresenta os componentes mostrados nas Figuras 13-1 e 13-2 e alguns termos associados. Depois da tabela, os recursos mais importantes do Frame Relay serão descritos em maiores detalhes.

Tabela 13-2 Termos e Conceitos do Frame Relay Termo

Descrição

VIrtual circuit, ou circuito virtual (VC)

Um conceito lógico que representa o caminho que os frames percorrem entre DTEs. VCs são particularmente úteis quando se compara o Frame Relay a circuitos físicos privativos.

Permanent virtual circuit, ou circuito permanente (PVC)

Um VC pré-definido. Um PVC pode see comparado a uma linha virtual privativa, conceitualmente.

Switched virtual circuit, ou circuito virtual comutado (SVC)

Um VC que é configurado dinamicamente quando necessário. Um SVC pode ser comparado a uma conexão discada, conceitualmente.

Data terminal equipment (DTE)

DTEs são conectados a um serviço Frame Relay de uma companhia de telecomunicações. Eles ficam tipicamente nos locais usados pelas empresas que estão comprando o serviço de Frame Relay.

Data communications equipment (DCE)

Switches Frame Relay são dispositivos DCE. DCEs também são conhecidos como equipamentos de circuitos terminais de dados. DCEs ficam tipicamente na rede do provedor de serviço.

Access link, ou link de acesso

A linha privativa entre o DTE e o DCE.

Access rate, ou taxa de acesso (AR)

A velocidade com a qual o link de acesso é sincronizado. Esta opção afeta o preço da conexão.

•• •• •• •• •

•• •• •• ••

•• ••

•• •

•• •• •• •• •• •• •• •• •• •

••

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

ceNA ICND2

337

Committed Information Rate, ou Taxa de Informação Comissionada (CIR)

A velocidade com a qual os bits podem ser enviados através de um VC, de acordo com o contrato de negócios entre o cliente e o provedor.

Data-link connection identifier (DLCI)

Um endereço Frame Relay usado em cabeçalhos Frame Relay para identificar o VC.

Nonbroadcast multiaccess (NBMA)

Uma rede na qual os broadcasts não são suportados, mas mais de dois dispositivos podem ser conectados.

Local Management Interface (LMI)

o protocolo usado entre um DCE e um DTE para administrar a conexão. Mensagens de sinalização para SVCs, mensagens de estado do PVC e keepalives são todos mensagens LMI.

Padrões Frame Relay As definições do Frame Relay estão contidas em documentos do International Telecommunications Union (lTU) e do American National Standards Institute (ANSI). O Frame Relay Fórum (http://www.frforum.com). um consórcio de vendedores, também defme diversas especificações do Frame Relay, muitas das quais são anteriores às especificações originais do !TU e do ANSI, sendo que o ITU e o ANSI usaram muitos dos padrões do fórum. A Tabela 13-3 mostra as mais importantes destas especificações.

Tabela 13-3 Especificações do Protocolo Frame Relay O Que a Especificação Define

Documento do ITU

Documento do ANSI

Especificações do enlace de dados, incluindo cabeçalho/trailer LAPF

Q.922 Anexo A (Q.922-A)

T1.618

Gerenciamento do PVC, LMI

Q.933 Anexo A (Q.933-A)

T1.617 Anexo D (T1.617-D)

Sinalização SVC

Q.933

T1.617

Encapsulamento multiprotocolo (originado na RFC 1490/2427)

Q.933 Anexo E (Q.933-E)

T1.617 Anexo F (T1.617-F)

Circuitos virtuais Frame Relay fornece vantagens significativas com relação a simplesmente usar linhas privativas ponto-a-ponto. A principal vantagem tem a ver com circuitos virtuais. Considere a Figura 13-3, que mostra uma típica rede Frame Relay com três sites.

Figura 13-3 Rede Frame Relay Típica com Três Sites

338 Capítulo 13: Conceitos de Frame Relay Um circuito virtual define um caminho lógico entre dois DTEs Frame Relay. O termo circuito virtual descreve bem o conceito. Ele atua como um circuito ponto-a-ponto, fornecendo a capacidade de enviar dados entre dois pontos através de uma WAN. Não existe nenhum circuito físico diretamente entre os dois pontos, portanto ele é virtual. Por exemplo, RI é o ponto fmal de dois VCs - um cuja outra extremidade é R2, e outro cuja outra extremidade é R3. RI pode enviar tráfego diretamente para qualquer um dos outros dois roteadores enviando-o através do VC apropriado. Os VCs compartilham o link de acesso e a rede Frame Relay. Por exemplo, ambos os VCs que terminam em RI usam o mesmo link de acesso. De fato , muitos clientes compartilham a mesma rede Frame Relay. Originalmente, as pessoas com redes de linhas privativas ficavam relutantes em migrar para Frame Relay porque elas estariam competindo com outros clientes pela capacidade do provedor dentro da nuvem. Para endereçar estes temores, o Frame Relay foi criado com o conceito de CIR (Committed Information Rate, ou Taxa de Informação Comissionada). Cada VC possui um CIR, que é uma garantia do provedor de que um VC em particular terá pelo menos aquela quantidade de largura de banda. Portanto, você poderá migrar de uma linha privativa para Frame Relay, tendo um CIR de pelo menos a largura de banda que você tinha anteriormente com sua linha privativa. O interessante é que, mesmo com uma rede de três sites, fica provavelmente mais barato usar o Frame Relay do que usar enlaces ponto-a-ponto. Pense em uma organização com 100 localidades que precisa de conexão de qualquer local-paraqualquer local. Quantas linhas privativas seriam necessárias? 4950! E, além disso, a organização precisaria de 99 interfaces seriais por roteador se estivesse usando linhas privativas ponto-a-ponto. Com Frame Relay, uma organização poderia ter 100 links de acesso para os switches Frame Relay locais, um por roteador, e ter 4950 VCs executando através deles. Isto exigiria bem menos enlaces físicos reais, e você precisaria somente de uma interface serial em cada roteador! Provedores de serviço podem construir suas redes com Frame Relay de modo mais eficiente com relação a custos que com linhas privativas. Como seria de se esperar, isto faz com que o custo para o usuário do Frame Relay também seja menor. Pelo fato de conectar diversos sites WAN, o Frame Relay é simplesmente mais econômico que linhas privativas. Dois tipos de VCs são permitidos - permanente (PVC) e comutado (SVC). PVCs são pré-defrnidos pelo provedor; SVCs são criados dinamicamente. PVCs são de longe o mais popular dentre os dois tipos. Provedores de Frame Relay raramente oferecem SVCs como um serviço. (O resto deste capítulo e o Capítulo 14 ignoram SVCs.) Quando uma rede Frame Relay é concebida, o design poderia não incluir um VC entre cada par de sites. A Figura 13-3 inclui PVCs entre cada par de sites; isto é chamado de rede Frame Relay totalmente em malha. Quando nem todos os pares possuem um PVC direto, ela é chamada de rede parcialmente em malha. A Figura 13-4 mostra a mesma rede da Figura 13-3, mas desta vez com uma malha parcial e apenas dois PVCs. Isto é típico quando RI está no site principal e R2 e R3 estão em escritórios remotos que raramente precisam se comunicar diretamente.

Figura 13-4 Rede Frame Relay Típica, Parcialmente em Malha

Servidor 1

A malha parcial tem algumas vantagens e algumas desvantagens se comparada à malha total. A principal vantagem é que a malha parcial é mais barata porque o provedor cobra por Vc. A desvantagem é que o tráfego do site de R2 para o site de R3 deve ir primeiro para RI, e depois ser encaminhado. Se for uma pequena quantidade de tráfego, é um preço baixo a se pagar. Se for muito tráfego, uma malha completa provavelmente valeria o dinheiro extra porque o tráfego entre os dois sites remotos teria que cruzar o link de acesso de RI duas vezes.

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• •• •• •• •• • :

••

CCNA ICND2

339

Um obstáculo conceitual com PVCs é que tipicamente existe um único link de acesso através do qual múltiplos PVCs fluem. Por exemplo, considere a Figura 13-4 sob a perspectiva de RI. O Servidor I envia um pacote para Larry. O pacote atravessa a Ethernet. RI obtém o pacote e consulta a tabela de roteamento para Larry, que diz a ele para enviar o pacote através da SerialO, que é o link de acesso de RI. Ele encapsula o pacote em um cabeçalho e trailer Frame Relay, e depois o envia. Qual PVC ele usa? O switch Frame Relay deveria encaminhá-lo para R2, mas por que ele o faz? Para resolver este problema, o Frame Relay usa um endereço para diferenciar um PVC de outro. Este endereço é chamado de DLCI (data-link connection identifier). O nome é descritivo: o endereço é destinado a um protocolo de Camada 2 do modelo OSI (enlace de dados), e identifica um VC, que às vezes é chamado de conexão virtual. Assim, neste exemplo, RI usa o DLCI que identifica o PVC para R2, de modo que o provedor encaminha o frame corretamente através do PVC para R2. Para enviar frames para R3, RI usa o DLCI que identifica o VC para R3. Os DLCls e a forma como eles funcionam serão cobertos em maiores detalhes posteriormente neste capítulo.

LMI e tipos de encapsulamento Quando você está aprendendo sobre Frame Relay pela primeira vez, é comum confundir o LMI com o encapsulamento usado no Frame Relay. O LMI é uma definição das mensagens usadas entre o DTE (por exemplo, um roteador) e o DCE (por exemplo, o switch Frame Relay pertencente ao provedor de serviço). O encapsulamento define os cabeçalhos usados por um DTE para mandar algumas informações para o DTE na outra extremidade de um Vc. O switch e seus roteadores conectados se importam com o fato de usarem o mesmo LMI; o switch não se importa com o encapsulamento. Os roteadores terminais (DTE) se importam com o encapsulamento.

• •

A mensagem LMI mais importante relacionada aos tópicos do exame é a mensagem LMI para perguntar o estado. .....~ensagens de estado executam duas funções-chave:

.

6 PICO .... h.V.

Elas executam a função keepalive entre o DTE e o DCE. Se o link de acesso tiver um problema, a ausência de mensagens keepalive implica que o enlace está desativado.

• • •

- Elas sinalizam se um PVC está ativo ou inativo. Embora cada PVC esteja pré-definido, seu estado pode mudar. Um link de acesso pode estar ativo, mas um ou mais VCs poderiam estar desativados. O roteador precisa saber quais VCs estão funcionado e quais não estão. Ele aprende esta informação do switch, através de mensagens de estado

•

doLMI. Três opções do protocolo LMI estão disponíveis no software lOS da Cisco: Cisco, ITU e ANSI. Cada opção de LMI é um pouco diferente, e sendo assim, é incompatível com os outros dois. Desde que tanto o DTE quanto o DCE em cada extremidade de um link de acesso usem o mesmo padrão de LMI, o LMI funcionará bem.

•• •• •• •• •• •• • • •

As diferenças entre os tipos de LMI são sutis. Por exemplo, o LMI da Cisco faz uso do DLCI 1023, enquanto que o ANSI TI.6I7-D e o ITU Q.933-A especificam o DLCI O. Algumas das mensagens possuem campos diferentes em seus cabeçalhos. O DTE simplesmente precisa saber quais dos três LMIs usar, para que ele possa usar o mesmo usado pelo switch local. Configurar o tipo de LMI é fácil. A opção mais popular hoje em dia é usar a configuração default de LMI. Esta configuração usa o recurso de auto-detecção do LMI, na qual o roteador simplesmente descobre qual tipo de LMI o switch está usando. Portanto, você pode simplesmente deixar que o roteador reconheça automaticamente o LMI e nunca se preocupar em configurar o tipo de LMI. Se você preferir configurar o tipo de LMI, o roteador irá desabilitar a facilidade de reconhecimento automático. A Tabela 13-4 mostra os três tipos de LMI, suas origens e o termo usado no sub comando de interface frame-relay Imitype no software lOS da Cisco.

/;~~~O

Tabela 13-4 Tipos de LMI no Frame Relay

\c.......

•

Nome

Documento

Parâmetro Tipo de LMI no lOS

•

Cisco

Proprietário

cisco

•

ANSI

TI.6I7 Anexo D

ansi

•

ITU

Q.933 Anexo A

q933a

".

340 Capítulo 13: Conceitos de Frame Relay Um roteador conectado via Frame Relay encapsula cada pacote de Camada 3 dentro de um cabeçalho e trailer Frame Relay antes de enviá-lo através de um link de acesso. O cabeçalho e o trailer são definidos pela especificação LAPF (Link Access Procedure Frame Bearer Services), ITU-Q.922-A. O framing LAPF esparso fornece detecção de erro com um FCS no trailer, bem como os campos DLCI, DE, FECN e BECN no cabeçalho (que serão discutidos mais tarde) . A Figura 13-5 mostra o diagrama de um frame.

Figura 13-5 Cabeçalho LAPF

•• • • •

• •

•

' - - - - - - - - FECN , BECN, DE (1 Bit Cada) ' - - - - - - - - - DLCI (Geralmente10 Bits)

No entanto, o cabeçalho e o trailer LAPF não fornecem todos os campos tipicamente necessários aos roteadores. Em particular, a Figura 13-5 não mostra um campo Tipo de Protocolo. Cada cabeçalho do enlace de dados necessita de um campo para definir o tipo de pacote que se segue ao cabeçalho do enlace de dados. Se o Frame Relay estiver usando somente o cabeçalho LAPF, os DTEs (incluindo os roteadores) não poderão suportar tráfego multiprotocolo porque não há nenhuma maneira de se identificar o tipo de protocolo no campo Informação.

•• •• •• •• • :1

Duas soluções foram criadas para se compensar a falta de um campo Tipo de Protocolo no cabeçalho Frame Relay • padrão: - A Cisco e outras três companhias criaram um cabeçalho adicional, que vem entre o cabeçalho LAPF e o pacote de Camada 3 mostrado na Figura 13-5. Ele inclui um campo Tipo de Protocolo de 2 bytes, com valores idênticos ao mesmo campo que a Cisco usa para o HDLC. - A RFC 1490 (que foi posteriormente substituída pela RFC 2427; você deve conhecer ambos os números), Multiprotocol Interconnect over Frame Relay (ou Interconexão Multiprotocolo sobre Frame Relay), definiu a segunda solução. A RFC 1490 foi escrita para garantir a interoperabilidade entre DTEs Frame Relay de diversos fabricantes. Esta RFC defrne um cabeçalho similar, também colocado entre o cabeçalho LAPF e o pacote da Camada 3, e inclui um campo Tipo de Protocolo, além de muitas outras opções. ITU e ANSI mais tarde incorporaram os cabeçalhos RFC 1490 em suas especificações Q.933 Anexo E e T1.617 Anexo F, respectivamente. A Figura 13-6 apresenta estas duas alternativas.

Figura 13-6 Encapsulamento Cisco e RFC 1490/2427 .......... ( Tópico '. Chave

....

Inclui - - - ' DLCI

ITU e ANSI de Acordo cor as Especiaficações da RF Cabeçalho indui Campo Tipo de Protocolo

Os DTEs usam e reagem aos campos especificados por estes dois tipos de encapsulamento, mas os switches Frame Relay ignoram estes campos. Pelo fato dos frames fluírem de DTE para DTE, ambos os DTEs deveriam entrar em acordo com relação ao encapsulamento usado. Os switches não se importam. No entanto, cada VC pode usar um tipo diferente de encapsulamento. Na configuração, o encapsulamento criado pela Cisco é chamado de cisco, e o outro é chamado de ietf. Agora que você já tem um amplo entendimento dos conceitos e da terminologia do Frame Relay, a próxima seção apresentará uma visão bem mais detalhada dos DLCIs no Frame Relay.

I

:1 •• • •• •• •• •• •• •• •• •• •• •

.,

• •

CCNA ICND2

341

• Endereçamento no Frame Relay

• o Frame Relay define as regras pelas quais os dispositivos entregam frames Frame Relay através de uma rede Frame • • •

Relay. Pelo fato de que um roteador usa um único link de acesso que tem muitos VCs conectando-o a diversos roteadores, deve haver algo para identificar cada um dos roteadores remotos - em outras palavras, um endereço. O DLCI é o endereço no Frame Relay.

• •

O DLCI funciona de modo um pouco diferente de outros endereços de enlace de dados cobertos nos exames CCNA. Esta diferença ocorre principalmente por causa do uso do DLCI, e pelo fato de que o cabeçalho possui um único

•

campo DLCI, e não dois campos DLCI, de Origem e de Destino.

• • • • • • •

Você deveria compreender algumas características dos DLCls antes de começarmos a usá-lo. Os DLCls do Frame Relay possuem significados locais; isto significa que os endereços precisam ser únicos apenas no link de acesso local. Uma analogia popular que explica o endereçamento local é que deve existir apenas um único endereço Avenida Pensil vânia, 2000 em Washington DC, mas pode haver uma Avenida Pensilvânia, 2000 em todas as cidades dos Estados Unidos. Da mesma forma, DLCls devem ser únicos em cada link de acesso, mas os mesmos números de DLCI podem ser usados em todos os link de acesso em sua rede. Por exemplo, na Figura 13-7, observe que o DLCI 40 está sendo usado em dois links de acesso para descrever dois diferentes PVCs. Não existe nenhum conflito porque o DLCI 40 é usado em dois links de acesso diferentes.

•

Figura 13-7 Endereçamento no Frame Relay, Com o Roteador A Enviando Para os Roteadores B e C

• • •

Endereçamento local, que é o termo comum para o fato de que os DLCls são significativos no local, é um fato. É como o Frame Relay funciona. Colocado de forma simples, um único link de acesso não pode usar o mesmo DLCI para representar múltiplos VCs no mesmo link de acesso. Do contrário, o switch Frame Relay não saberia como encaminhar corretamente os frames . Por exemplo, na Figura 13-7, o Roteador A deve usar valores de DLCI diferentes para os PVCs em seu link de acesso local (41 e 42, neste exemplo).

• Endereçamento local no Frame Relay

•• •• •• •• •• • •

• •• •• ••

• Endereçamento global no Frame Relay

• •

Muitas pessoas se confundem a respeito de DLCls da primeira vez que elas pensam a respeito do significado local dos DLCls, e sobre a existência de um único campo DLCI no cabeçalho do Frame Relay. O endereçamento global resolve este problema fazendo com que o endereçamento DLCI conceitualmente se pareça com o endereçamento de LAN. Endereçamento global é simplesmente uma forma de selecionar números DLCls quando uma rede Frame Relay estiver sendo planejada, fazendo com que trabalhar com DLCls seja muito mais fácil. Pela fato do endereçamento local ser um fato, o endereçamento global não altera estas regras. O endereçamento global simplesmente faz com que as atribuições de DLCI sejam mais óbvias - tão logo você se acostume com ela. Eis como funciona o endereçamento global: o provedor de serviço entrega uma planilha e um diagrama de planejamento. A Figura 13-8 é um exemplo de um diagrama destes, com os DLCls globais sendo mostrados.

342 Capítulo 13: Conceitos de Frame Relay Figura 13-8 DLCls Globais no Frame Relay

Global OLCI41

Global OLCI40

Global OLCI42

o endereçamento global é planejado conforme mostrado na Figura 13-8, com os DLCls posicionados nos frames do Frame Relay, como mostrado na Figura 13-9. Por exemplo, o Roteador A usa o DLCI 41 quando estiver enviando um frame ao Roteador B porque o DLCI global do Roteador B é 41. Da mesma forma, o Roteador A usa o DLCI 42 quando estiver enviando frames através do VC para o Roteador C. A vantagem é que o endereçamento global é muito mais lógico para a maioria das pessoas porque ele funciona como uma LAN, com um único endereço MAC para cada dispositivo. Em uma LAN, se os endereços MAC forem MAC-A, MAC-B e MAC-C para os três roteadores, o Roteador A usa o endereço destino MAC-B quando estiver enviando frames ao Roteador B e usa MAC-C como destino para alcançar o Roteador C. Da mesma forma, com DLCls globais 40, 41 e 42 usados respectivamente pelos Roteadores A, B e C, o mesmo conceito se aplica. Pelo fato dos DLCls endereçarem VCs, a lógica é algo como isto quando o Roteador A envia um frame ao Roteador B: "Ei, switch local! Quando você obter este frame, envie-o através do VC que combinamos numerar como DLCI 41." A Figura 13-9 mostra este exemplo.

Figura 13-9 Endereçamento Global no Frame Relay do Ponto de Vista do Enviador /;~~;~o

B Global OLCI41

:. Chave

....

Global OLCI40

1Frame com OLCI 421

"'"

" Ir-F-ra-m-e-co-m-O-LC-I-4""'O1--.

Global OLCI42

o Roteador A envia frames com DLCI 41, e eles chegam ao switch local. O switch local vê o campo DLCI e encaminha o frame através da rede Frame Relay até que este alcance o switch conectado ao Roteador B. Então, o switch local do Roteador B encaminha o frame para o link de acesso do Roteador B. O mesmo processo acontece entre o Roteador A e o Roteador C quando o Roteador A usa o DLCI 42. A beleza do endereçamento global consiste no fato de que você pensa em cada roteador como tendo um endereço, como no endereçamento de LAN. Se você quiser enviar um frame para alguém, você coloca o seu DLCI no cabeçalho, e a rede entrega o frame ao DTE correto. O último ponto-chave com respeito ao endereçamento global é que os switches Frame Relay na verdade alteram o valor do DLCI antes de entregar o frame. Você notou que a Figura 13-9 mostra um valor diferente de DLCI à medida que os frames são recebidos pelos Roteadores B e C? Por exemplo, o Roteador A envia um frame ao Roteador B, e o Roteador A coloca o DLCI 41 no frame. O último switch altera o campo para DLCI 40 antes de encaminhá-lo ao Roteador B. O resultado é que, quando os Roteadores B e C receberem seus frames, o valor de DLCI será na verdade o DLCI do enviador. Por quê? Bem, quando o Roteador B recebe o frame, pelo fato do DLCI ser 40, ele sabe que o frame veio através do PVC entre ele mesmo e o Roteador A. Em geral, os seguintes itens são verdadeiros: - O enviador trata o campo DLCI como o endereço de destino, usando o DLCI global de destino no cabeçalho. - O receptor pensa no campo DLCI como sendo o endereço de origem porque ele contém o DLCI global do enviador do frame.

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

.,

---------------------------------------------------------------------------------------------~

••

•

CCNA ICND2

343

A Figura 13-9 descreve o que acontece em uma rede Frame Relay típica. Provedores de serviço fornecem uma planilha de planejamento e diagramas com DLCIs globais listados. A Tabela 13-5 dá a você uma visão organizada de quais DLCls são usados na Figura 13-9.

:

Tabela 13-5 Troca de DLCI na Nuvem Frame Relay da Figura 13-9

•

O Frame Enviado Pelo Roteador

Com

Campo DLCI

É Entregue ao Roteador Com Campo DLCI

41 B e -----------------------------------------------------------------------------------A e 42 c ~

~

A

. ------------------------------------------------------------------

•

_B_____________________~ __________A ______________4_1___________________

eC • • • •

•• •• •• •• •• •• •• ,• •• •• • •• •

~

A

42

O endereçamento global toma o endereçamento DLCI mais intuitivo para a maioria das pessoas. Isto também faz com que a configuração do roteador seja mais direta e permite que você adicione novos sites de modo mais conveniente. Por exemplo, observe a Figura 13-10, que adiciona os Roteadores D e E na rede mostrada na Figura 13-9. O provedor de serviço simplesmente afirma que os DLCIs globais 43 e 44 serão usados para estes dois roteadores. Se estes dois roteadores também tiverem apenas um PVC para o Roteador A, todo o planejamento de DLCI estará completo. Você sabe que o Roteador D e o Roteador E usam DLCI 40 para alcançar o Roteador A, e que o Roteador A usa DLCI 43 para alcançar o Roteador D e DLCI 44 para alcançar o Roteador E.

Figura 13-10 Adicionando Sites Frame Relay: Endereçamento Global B

DLCI41

DLCI40

--- -------

DLCI43

DLCI44

c DLCI42

Os exemplos restantes deste capítulo usam endereçamento global em qualquer diagrama de planejamento, a menos que o contrário seja dito. Uma maneira prática de se determinar se um diagrama lista as convenções para DLCIs locais ou para DLCIs globais é esta: se dois VCs terminarem no mesmo DTE, e um único DLCI for mostrado, ele provavelmente representa a convenção para DLCI global. Se um DLCI for mostrado por VC, o endereçamento local de DLCI está sendo representado. Agora que você tem uma melhor compreensão de como o Frame Relay usa os DLCIs para endereçar cada VC, fazendo com que os frames sejam corretamente entregues através de uma nuvem Frame Relay, a próxima seção prosseguirá para a Camada 3, examinando as convenções para endereçamento IP que podem ser usadas sobre Frame Relay.

• Problemas da camada de rede em relação a Frame Relay

•

• •

Redes Frame Relay possuem tanto semelhanças quanto diferenças quando comparadas com LAN e enlaces WAN ponto-a-ponto. Estas diferenças introduzem algumas considerações adicionais relacionadas ao transporte de pacotes de Camada 3 através de uma rede Frame Relay. Você precisa se preocupar com algumas questões-chave relativas ao fluxo de Camada 3 através do Frame Relay: - Escolha de endereços de Camada 3 em interfaces Frame Relay - Manipulação de broadcast

344 Capítulo 13: Conceitos de Frame Relay Em particular, a implementação de Frame Relay da Cisco define três opções diferentes para atribuir sub-redes e endereços IP em interfaces Frame Relay: - Uma sub-rede contendo todos os DTEs Frame Relay - Uma sub-rede por VC - Um hibrido das duas primeiras opções Esta seção examina as três opções principais para endereçamento IP sobre Frame Relay, bem como a manipulação de broadcast, que impacta a forma como os protocolos de roteamento funcionam sobre Frame Relay.

Endereçamento de camada 3 no Frame Relay: uma sub-rede contendo todos os DTEs Frame Relay A Figura 13-11 mostra a primeira alternativa, que consiste em usar uma única sub-rede para a rede Frame Relay. Esta figura mostra uma rede Frame Relay totalmente em malha porque a opção de sub-rede única é tipicamente usada quando uma malha completa de VCs existir. Em uma rede totalmente em malha, cada roteador possui um VC para cada um dos demais roteadores, o que significa que cada roteador pode enviar frames diretamente para cada um dos outros roteadores. Isto lembra bastante a forma como uma LAN funciona. Portanto, uma única sub-rede pode ser usada para todas as interfaces Frame Relay dos roteadores, conforme configurado nas interfaces seriais dos roteadores. A Tabela 13-6 resume os endereços usados na Figura 13-11.

Figura 13-11 Rede Totalmente em Malha com Endereços IP Sub-rede

199.1.10.0/24

Mount Pilot

Raleigh

Sub-rede

Sub-rede

199.1.11 .0/24

199.1.12.0/24

Tabela 13-6 Endereços IP Sem Subinterfaces Roteador

Endereço IP da Interface Frame Relay

Mayberry

199.1.1.1

MountPilot

199.1.1.2

Raleigh

199.1.1.3

Esta alternativa de sub-rede única é direta e conserva seu espaço de endereçamento IP. Ela também se parece com aquilo que você está habituado em LANs, o que a toma fácil de se conceituar. Infelizmente, a maior parte das empresas constrói redes Frame Relay parcialmente em malha, e a opção de sub-rede única tem algumas deficiências quando a rede é parcialmente em malha.

Endereçamento de camada 3 no Frame Relay: uma sub-rede por VC A segunda alternativa de endereçamento IP, ter uma única sub-rede para cada VC, funciona melhor com uma rede Frame Relay parcialmente em malha, conforme mostrado na Figura 13-12. Boston não pode encaminhar frames diretamente para Charlotte porque não está definido nenhum VC entre eles. Esta é uma rede Frame Relay mais típica porque a

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• •• •

•• • •• •• •• •• •• •• •• •• •• •• •• •• •• •

I. •

••

CCNA ICND2

345

maioria das empresas com diversos sites tende a agrupar aplicações em servidores em alguns poucos locais centralizados, e a maior parte do tráfego ocorre entre cada site remoto e estes servidores.

Figura 13-12 Rede Parcialmente em Malha com Endereços IP 140.1.11 .0/24

140.1.12.0/24

140.1.13.0/24

140.1.14.0/24

A alternativa de uma sub-rede por VC casa com a lógica por trás de um conjunto de enlaces ponto-a-ponto. Usando múltiplas sub-redes ao invés de uma grande sub-rede desperdiça alguns endereços IP, mas resolve algumas questões relativas aos protocolos de roteamento vetor distância. A Tabela 13-7 mostra os endereços IP para a rede Frame Relay parcialmente em malha mostrada na Figura 13-12.

Tabela 13-7 Endereços IP com Subinterfaces Ponto-A -Ponto Roteador

Sub-rede

Endereço IP

Atlanta

140.1.1.0

140.1.1.1

Charlotte

140.1.1.0

140.1.1.2

Atlanta

140.1.2.0

140.1.2.1

Nashville

140.1.2.0

140.1.2.3

Atlanta

140.1.3.0

140.1.3.1

Boston

140.1.3.0

140.1.3.4

o Software lOS da Cisco possui um recurso de configuração chamado subinterfaces que cria uma sub-divisão lógica de uma interface física. Subinterfaces permitem que o roteador de Atlanta tenha três endereços IP associados à sua interface física SerialO através da configuração de três subinterfaces separadas. Um roteador pode tratar cada subinterface, e o VC associado a ela, como se fosse um enlace serial ponto-a-ponto. Cada uma das três subinterfaces da SerialO de Atlanta seria atribuída a um endereço IP diferente da Tabela 13-7. (O Capítulo 14 mostra diversos exemplos de configurações.)

NOTA O exemplo usa prefIXOS de endereço IP /24 para manter a matemática simples. Em redes comerciais, subinterfaces ponto-a-ponto usam tipicamente um prefIXO igual a /30 (máscara 2SS.2SS.2SS.2S2) porque isto permite somente dois endereços IP válidos - o número exato necessário em uma subinterface ponto-a-ponto. É claro que usar máscaras diferentes na mesma rede significa que seu protocolo de roteamento também deve suportar VLSM.

Endereçamento de camada 3 no Frame Relay: abordagem híbrida A terceira alternativa para endereçamento de Camada 3 é um híbrido das duas primeiras alternativas. Considere a Figura 13-13, a qual mostra três roteadores com VCs entre cada um deles, assim como dois outros VCs para sites remotos.

346 Capítulo 13: Conceitos de Frame Relay Existem duas opções para endereçamento de Camada 3, neste caso. A primeira é tratar cada VC como sendo um grupo separado de Camada 3. Neste caso, cinco sub-redes serão necessárias para a rede Frame Relay. Porém, os Roteadores A, B e C criam uma rede menor totalmente em malha entre eles. Isto permite que os Roteadores A, B e C usem uma subrede. Os outros dois VCs - um entre os Roteadores A e D e outro entre os Roteadores A e E - são tratados como dois grupos separados de Camada 3. Isto resulta em um total de três sub-redes.

Figura 13-13 Híbrido entre Rede Totalmente e Parcialmente em Malha

E

Para ter qualquer um dos tipos de endereçamento de Camada 3 neste terceiro e último caso, são usadas subinterfaces. Subinterfaces ponto-a-ponto são usadas quando um único VC é considerado como sendo tudo o que existe no grupo - por exemplo, entre os roteadores A e D, e entre os Roteadores A e E. Subinterfaces multiponto são usadas quando mais de dois roteadores são considerados como sendo do mesmo grupo - por exemplo, no caso dos Roteadores A, B e C. Subinterfaces multiponto terminam mais de um VC, logicamente. De fato, o nome "multiponto" implica na função porque mais de um site remoto pode ser alcançado através de um VC associado a uma subinterface multiponto. A Tabela 13-8 resume os endereços e as subinterfaces usadas na Figura 13-13.

Tabela 13-8 Endereços IP Com Subinterfaces Ponto-a-Ponto e Multiponto Roteador

Sub-rede

Endereço IP

Tipo da Subinterface

A

140.1.1.0/24

140.1.1.1

Multiponto

----------------------------------------------------------B

140.1.1.0/24

140.1.1.2

Multiponto

C

140.1.1.0/24

140.1.1.3

Multiponto

A

140.1.2.0/24

140.1.2.1

Ponto-a-Ponto

D

140.1.2.0/24

140.1.2.4

Ponto-a-Ponto

A

140.1.3.0/24

140.1.3.1

Ponto-a-Ponto

E

140.1.3.0/24

140.1.3.5

Ponto-a-Ponto

• • . .

• •

•• •• •• •• .• •• •• •• •• •• • •• •• •• •• •

O que você verá em uma rede de verdade? Na maior parte das vezes, são usadas subinterfaces ponto-a-ponto, com uma • única sub-rede por PVC. No entanto, você deveria entender todas as opções para os exames CCNA.

NOTA O Capítulo 14 disponibiliza configurações completas para todos os três casos ilustrados através das Figuras 13-11, 13-12 e 13-13.

•• •• ••

••

CCNA ICND2

347

•

• Manipulação de broadcast na camada 3

• • • I

• •

•• •• •• •• •• •• ••

Depois de despender esforços com o endereçamento de Camada 3 sobre Frame Relay, o próximo item a considerar é como lidar com broadcasts na Camada 3. O Frame Relay pode enviar cópias de um broadcast sobre todos os VCs, mas não existe nenhum equivalente aos broadcasts de LAN. Em outras palavras, não existe nenhuma capacidade para que um DTE Frame Relay envie um único frame para uma rede Frame Relay, e tenha este frame replicado e entregue através de múltiplos VCs, para múltiplos destinos. No entanto, os roteadores precisam enviar broadcasts para que diversas facilidades funcionem. Em particular, atualizações de protocolo de roteamento podem ser tanto broadcasts como multicasts. A solução para o dilema do broadcast no Frame Relay possui duas partes. Na primeira parte, o software lOS da Cisco envia cópias dos broadcasts através de cada VC, assumindo que você configurou o roteador para encaminhar estes broadcasts necessários. Se houver somente poucos VCs, isto não seria um grande problema. No entanto, se centenas de VCs terminarem em um roteador, centenas de cópias seriam enviadas, para cada broadcast. Na segunda parte da solução, o roteador tenta minimizar o impacto da primeira parte da solução. O roteador coloca as cópias dos broadcasts em uma fila de saída diferente em relação àquela usada pelo tráfego de usuário, de modo que o usuário não sentirá um pico de atraso muito longo cada vez que um broadcast for replicado e enviado para todos os VCs. O software lOS da Cisco também pode ser configurado para limitar a quantidade de largura de banda que será usada para estes broadcasts replicados. Embora estas questões a respeito de escalabilidade sejam mais prováveis de aparecerem no exame de Roteamento CCNP, um pequeno exemplo mostra a importância da sobrecarga causada por um broadcast. Se um roteador conhece 1000 rotas, usa o RIP e possui 50 VCs, 1.072 MB de atualizações RIP serão enviadas a cada 30 segundos. Isto dá uma média de cerca de 285 kbps. (A matemática foi feita da seguinte maneira: pacotes RIP de 536 bytes, com 25 rotas em cada pacote, vezes 40 pacotes por atualização, com cópias enviadas através de 50 VCs. 536 * 40 * 50 = 1.072 MB a cada intervalo de atualização. 1.072 * 8/30 segundos = 285 kbps.) Isto é um bocado de sobrecarga! A forma de dizer ao roteador para encaminhar estes broadcasts para cada VC será coberta na seção "Configuração e Verificação do Frame Relay", no Capítulo 14. As questões relativas à forma de se lidar com o volume destas atualizações são tópicos mais associados aos exames CCNP e CCIE.

: Controlando a velocidade e os descartes na nuvem Frame Relay

•• •• •• •• •• •• •• •• •• •• •

Este capítulo já examinou os tópicos mais importantes do Frame Relay relacionados à forma como o Frame Relay entrega os frames através da rede. Esta pequena seção final examina algumas estratégias que você pode usar para fazer ajustes [mos na operação de uma rede Frame Relay. O cabeçalho Frame Relay inclui três flags de um bit cada, que o Frame Relay pode usar para ajudar a controlar o que acontece dentro de uma nuvem Frame Relay. Estes bits podem ser úteis em particular quando um ou mais sites usam uma taxa de acesso - a taxa de clock de um link de acesso - que excede de longe o CIR de um vc. Por exemplo, se um roteador possuir um link de acesso Frame Relay TI, mas apenas 128 kpbs de CIR (Committed Information Rate, ou Taxa de Informação Comissionada) em um VC que vai através deste enlace, o roteador pode enviar muito mais dados para dentro da rede Frame Relay do que o contrato de negócios com o provedor de Frame Relay permite. Esta seção examina os 3 bits que impactam a forma como os switches podem ajudar a controlar a rede quando a rede ficar congestionada por causa destes descompassos na velocidade - cujos nomes são: FECN (Forward Explicit Congestion Notification) , BECN (Backward Explicit Congestion Notification) e DE (Discard Eligibility).

FECNeBECN Para lidar com situações em que um roteador pode enviar mais dados que o VC permite, o lOS inclui um recurso chamado Traffic Shaping, que possibilita que um roteador envie alguns pacotes, espere, envie mais, espere novamente e assim por diante. Traffic Shaping permite que o roteador abaixe a taxa média de envio de bits a uma velocidade menor que a taxa de acesso, até mesmo tão baixa quanto o CIR de um Vc. Por exemplo, com um link de acesso TI e um CIR de 128 kbps, o Traffic Shaping poderia ser definido de modo a enviar uma média de apenas 256 kbps através do VC. A idéia é que o provedor do Frame Relay irá provavelmente descartar um bocado de tráfego se o roteador enviar dados através deste VC a uma média próxima à velocidade do TI, que é de 12 vezes o CIR, neste caso. No entanto, o provedor de Frame Relay poderá não descartar o tráfego se a taxa média for de apenas 256 kbps - duas vezes o CIR, neste caso. Você pode configurar o Traffic Shaping para usar uma única velocidade ou para se adaptar de modo a ficar entre duas configurações de velocidade. Quando o mesmo for configurado para se adaptar entre duas velocidades, se a rede não estiver congestionada, a velocidade mais alta será usada; quando a rede estiver congestionada, o roteador se adaptará de modo a usar a taxa mais baixa

348 Capítulo 13: Conceitos de Frame Relay

• • •• •• •• •• ••

Para se adaptar às taxas, os roteadores precisam de uma maneira de saber se está ocorrendo congestionamento - e é aí • que entram o FECN e o BECN. A Figura 13-14 mostra a utilização básica dos bits FECN e BECN.

Figura 13-14 Operação Básica do FECN e do BECN

/;~~;~

:.Ch_

.•..

Rede Frame Relay

O FECN e o BECN são bits do cabeçalho Frame Relay. Em qualquer ponto - ou em um roteador ou dentro de uma • nuvem Frame Relay - um dispositivo pode ligar o bit FECN, o que significa que este frame em particular passou por congestionamento. Em outras palavras, o congestionamento existe na direção em que este frame está sendo encaminhado . • Na Figura 13-14, no Passo 1, o roteador envia um frame, com FECN=O. O switch Frame Relay percebe o congestionamento • e configura FECN = 1 no Passo 2. Porém, o objetivo de todo o processo é fazer com que o roteador que enviou - RI , nesta figura - abaixe a velocidade . Sendo assim, sabendo que o FECN foi ligado em um frame no Passo 2 da figura, o switch Frame Relay pode ligar o bit BECN no próximo frame que estiver indo de volta para RI através daquele VC, mostrado como sendo o Passo 3 na figura. O BECN informa RI de que ocorreu congestionamento na direção oposta, ou seja, para trás, com relação à direção do frame. Em outras palavras, ele diz que ocorreu congestionamento para o frame enviado de RI para R2. RI pode então escolher entre abaixar (ou não) a velocidade, dependendo de como o Trafic Shaping estiver configurado.

o bit DE (Discard Eligibility) Quando a rede do provedor fica congestionada, parece ser razoável que o provedor tente descartar os frames enviados pelos clientes que estão causando o congestionamento. Os provedores tipicamente constroem suas redes para lidar com cargas de tráfego muito além dos CIRs coletivos de todos os VCs. No entanto, se um ou mais cliente abusar do direito de enviar dados a velocidades muito além das velocidades de CIR contratadas, o provedor poderia corretamente descartar apenas o tráfego enviados por estes clientes. Os protocolos Frame Relay definem uma maneira de diminuir o impacto quando o cliente envia mais do que CIR bits por segundo sobre um VC, fazendo com que o provedor descarte alguns frames. O cliente pode configurar o bit DE em alguns frames. Se os switches do provedor precisarem descartar frames por causa de congestionamento, os switches podem descartar os frames que tenham o bit DE ligado. Se o cliente ligar o bit DE nos frames corretos, tais como para os de tráfego de menor importância, o cliente pode garantir que o tráfego importante atravessará a rede Frame Relay, mesmo quando o provedor tiver de descartar tráfego. Quando a rede do provedor não estiver tão congestionada, o cliente pode enviar muitos dados extras através da rede Frame Relay sem que o mesmo seja descartado.

Atividades de preparação para o exame

Revise todos os tópicos-chave Revise os tópicos mais importantes deste capítulo, assinalados com o ícone de tópicos-chave. A Tabela 13-9 lista estes tópicos-chave e onde cada um deles foi discutido.

/;~~;~o

Tabela 13-9 Tópicos-Chave do Capítulo 13

:' Ch_

....

Elemento do Tópico-Chave

Descrição

Figura 13-1

Figura listando diversos termos relacionados à topologia Frame Relay

• • •

• • •

•• •

• • • • • • • •

•• •• •• •• •• •

Número da Página • 335

• • •

Tabela 13-2

•

---------------------------------------------------------------

•

Lista

Duas funções importantes do LMI do Frame Relay

339

•

•

Tabela 13-4

Tipos de LMI no Frame Relay e os termos para configuração do tipo de LMI

339

•• • •

340 Figura mostrando cabeçalhos e posições para os cabeçalhos adicionais da Cisco e do IETF no Frame Relay -----------------------------------------------------------------------------342 Figura mostrando o conceito de endereçamento Figura 13-9 global no Frame Relay

•

•

CCNA ICND2 Tabela listando os termos-chave e as definições do Frame Relay

349

336

Figura 13-6

•

Lista

Três opções para sub-redes usadas em uma rede Frame Relay

344

:

Figura 13-14

Operação e uso dos bits FECN e BECN

348

• Complete as tabelas e listas usando a memória

• •• Definição de termos-chave • •

Imprima uma cópia do Apêndice J, Tabelas de memória, ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das tabelas de memória", inclui as tabelas e listas completadas para você conferir o seu trabalho.

•

Defina os seguintes termos-chave deste capítulo e verifique suas respostas no glossário:

••

•• •• •• •• • •• •• •• •• •

,.

ARP Inverso, CIR (Committed Information Rate, ou Taxa de Informação Comissionada), DCE do Frame Relay, DLCI (Data-Link Connection Identifier), DTE do Frame Relay, link de acesso, LMI (Local Management Interface), mapeamento Frame Relay, NBMA (nonbroadcast multiaccess), PVC (Permanent Virtual Circuit, ou Circuito Virtual Permanente), taxa de acesso, VC (Vutual Circuit, ou Circuito Virtual).

Este capítulo aborda os seguintes assuntos: Configuração e verificação do Frame Relay: esta seção

•• •• •• •• •• •• •• •• •• •• •• •

mostra como configurar os recursos necessários e opcionais • do Frame Relay, e como fazer uma verificação básica para • cada recurso. •

Resolução de problemas de Frame Relay: esta seção analisa um processo através do qual um engenheiro consegue encontrar o motivo pelo qual um roteador Frame Relay não consegue fazer ping em outro roteador Frame Relay.

•• •• •• •• •• •• •• •• •• •

•• •• CAPíTULO 14 •• •• Configuração e resolução de problemas de •• Frame Relay •• •• •• • Questionário "Eu já conheço isto"? • o Capítulo 13, "Conceitos de Frame Relay" introduziu e explicou os principais conceitos por detrás de Frame Relay. Este capítulo mostra como configurar os recursos dos roteadores Cisco, como conferir se cada recurso está funcionando, e como resolver problemas relativos ao encaminhamento de pacotes através de uma rede Frame Relay.

• o questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Se você errar não mais que uma

• • •

•• • •• •• •• •• •• •• •• •• •

destas oito questões de auto-avaliação, você pode querer ir direto para a seção "Atividades de preparação para o exame". A Tabela 14-1lista os principais tópicos deste capítulo e as questões do teste "Eu já conheço isto?" cobrindo o material destas seções. Isto ajudará você a avaliar seu conhecimento nestas áreas específicas. As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

Tabela 14-1 Mapeamento Entre a Seção dos Tópicos Fundamentais e as Questões do "Eu já conheço isto?" Seção dos Tópicos Fundamentais

Perguntas

•

Configuração e verificação do Frame Relay

1-5

•

Resolução de problemas de Frame Relay

6-8

•

1. Imagine dois roteadores Cisco, RI e R2, usando um serviço de Frame Relay. RI se conecta a um switch que usa o tipo ANSI T1.617 de LMI, e R2 se conecta a um switch que usa ITU Q.933a. Quais termos poderiam ser usados na configuração de RI e de R2, de modo que os LMIs funcionem corretamente?

a. ansi e itu b. T1617 e q933 c. ansi e q933 d. T1617 e itu e . Isto não funcionará com dois tipos diferentes. 2.

BettyCo possui cinco sites, com roteadores conectados à mesma rede Frame Relay. Foram definidos VCs entre cada par de roteadores. Betty, a presidente da companhia, irá demitir qualquer um que configurar qualquer coisa que possa ser deixado facilmente como default. Qual(is) dos seguintes comandos de configuração, usados para a rede Frame Relay, faria(m) com que o engenheiro fosse demitido?

a. ip address b. encapsulation c. lmi-type d. frame-relay map e. frame-relay inverse-arp

352

Capítulo 14: Configuração e resolução de problemas de Frame Relay

3. WilmaCo possui alguns roteadores conectados à rede Frame Relay. RI é um roteador de um site remoto, com um único VC ligado à matriz de WilmaCo. A configuração atual de RI se parece com: interface serial O/O ip address 10.1.1 . 1 255.255.255.0 encapsulation frame-relay

Wilma, a presidente da companhia, ouviu falar que subinterfaces ponto-a-ponto são legais, e ela quer que você altere a configuração para usar uma subinterface ponto-a-ponto. Qual(is) dos seguintes comandos você precisará usar para alterar a configuração?

a. no ip address b. interface-dlci c. no encapsulation d. encapsulation frame-relay e. frame-relay interface-dlci 4. WilmaCo possui outra rede com um roteador no site principal, que possui dez VCs conectados a dez sites remotos. Wilma agora acha que subinterfaces multi ponto são até mais legais que ponto-a-ponto. A configuração atual do roteador do site principal se parece com: interface serial O/O ip address 172.16 . 1.1 255.255.255.0 encapsulation frame-relay

Wilma quer que você altere a configuração para usar uma subinterface multiponto. Qual(is) das seguintes opções você precisará para alterar a configuração? (Nota: DLCls 101 a 110 foram usados para os dez VCs.)

a. interface-dlci 101 110 b. interface-dlci 101-110 c . Dez comandos interface-dlci diferentes

d. frame-relay interface-dlci 101 110 e. frame-relay interface-dlci 101-110 f. Dez comandos frame-relay interface-dlci diferentes

5. Qual(is) dos seguintes comandos apresenta(m) a informação aprendida pelo ARP Inverso?

a. show ip arp b. showarp c. show inverse arp d. show frame-relay inverse-arp e. show map f. show frame-relay map 6. Qual das seguintes opções são códigos de estado de PVC no Frame Relay, no(s) qual(is) um roteador envia frames para o PVC associado? a. up b. Down c. Ativo d. Inativo e . Estático f. Deletado

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• •

•• • •• •• • •

CCNA ICND2

353

7. O roteador RC do site central possui VCs que se conectam a dez roteadores remotos (RI a RIO), sendo os DLCls locais de RC, de 101 a 110, respectivamente. RC agrupou os DLCls 107, 108 e 109 em uma única subinterface multiponto SOI0.789, cujo estado corrente é "up and up". Qual(is) das seguintes opções deve(m) ser vedadeira(s)? a. A Serial 010 poderia estar em um estado up/down. b. O PVC com DLCI 108 poderia estar em um estado inativo. c. O comando show frame-relay map apresenta informações sobre mapeamento para todos os três VCs. d. Ao menos um dos três PVCs está em um estado ativo ou estático. 8. O roteador Frame Relay RI usa a interface SOlO para se conectar a um link de acesso Frame Relay. A interface física está no estado up/down. Qual(is) dos seguintes itens poderia(m) causar o problema? a. O link de acesso possui um problema físico e não pode passar bits entre o roteador e o switch. b. O switch e o roteador estão usando tipos diferentes de LMI. c. Está faltando o comando encapsulation frame-relay na configuração do roteador, na interface SOlO. d. O roteador recebeu uma mensagem de estado LMI válida que listava alguns dos DLCls como inativos.

:

Tópicos fundamentais

• •

Este capítulo possui duas seções principais. A primeira seção examina a configuração do Frame Relay, com explicações a respeito de diversos comandos show. A segunda seção discute como abordar e resolver problemas de Frame Relay.

: Configuração e verificação do Frame Relay

•• ••

•• • • •

A configuração do Frame Relay pode ser bem básica ou um tanto quanto detalhada, dependendo de quantas configurações default podem ser usadas. Por default, o lOS da Cisco automaticamente percebe o tipo de LMI e descobre automaticamente o mapeamento entre o DLCI e os endereços IP que são next-hop (usando o ARP Inverso). Se você usa roteadores que são todos da Cisco, o default de usar o encapsulamento da Cisco funcionará sem nenhuma configuração adicional. Se você também conceber a rede Frame Relay para usar uma única sub-rede, você pode configurar os roteadores para que usem as interfaces físicas sem nenhuma subinterface - fazendo com que a configuração se tome menor ainda. De fato, se usarmos tantas configurações default quantas forem possíveis, o único comando novo de configuração para o Frame Relay, quando comparado a WANs ponto-a-ponto, é o comando encapsulation frame-realy.

•

As questões sobre Frame Relay nos exames CCNS podem ser difíceis por duas razões. Primeiro, o Frame Relay inclui uma variedade de configurações opcionais que podem ser feitas. Segundo, para engenheiros de rede que já possuem alguma experiência com Frame Relay, esta experiência pode estar relacionada a uma dentre três opções principais para configuração de Frame Relay (física, multiponto ou ponto-a-ponto), mas os exames cobrem todas as opções. Portanto, para os exames, é importante que você invista tempo para ver exemplos das três opções, que serão cobertas aqui.

:

Planejando uma configuração de Frame Relay

•• •• •• •• •• •

Os engenheiros devem fazer uma quantidade razoável de planejamentos antes de saber por onde começar com a configuração. Embora a maioria das Empresas modernas possua conexões Frame Relay, quando você estiver planejando novos sites, você deve considerar os seguintes itens e comunicá-los ao provedor de Frame Relay, que por sua vez terão alguns impactos nas configurações de Frame Relay dos roteadores: - DefInir quais sites físicos precisarão de um link de acesso Frame Relay instalado, e defInir a taxa de clock (taxa de acesso) usada em cada link. - DefInir cada VC identifIcando as extremidades e configurando o CIR - Combinar um tipo de LMI (geralmente indicado pelo provedor) Além disso, o engenheiro deverá escolher o tipo particular de configuração baseado nos itens a seguir. Para estes itens, o engenheiro da empresa não precisa consultar o provedor de Frame Relay: - Selecionar o esquema de sub-rede IP: uma sub-rede para todos os VCs, uma sub-rede para cada VC ou uma subrede para cada subconjunto que estiver totalmente em malha.

354 Capítulo 14: Configuração e resolução de problemas de Frame Relay - Selecionar se deve atribuir endereços IP para subinterfaces físicas, multiponto ou ponto-a-ponto. - Selecionar quais VCs precisam usar o encapsulamento IETF ao invés do valor default "cisco". Encapsulamento IETF é usado tipicamente quando um roteador não é um roteador da Cisco. Depois que o planejamento estiver completo, os passos da configuração decorrem diretamente das escolhas feitas quando a rede foi planejada. A seguinte lista resume os passos da configuração, principalmente como uma ferramenta para ajudar você a se a lembrar de todos os passos quando você estiver fazendo sua preparação fmal para o exame. Sinta-se à vontade para voltar a esta lista à medida que os exemplos seguintes mostrarem como configurar as diversas opções. (Não há necessidade de se memorizar os passos; a lista é somente uma ferramenta para ajudar você a organizar suas idéias a respeito da configuração.)

/~~~;~o Passo 1 Configure a interface física para usar encapsulamento Frame Relay (subcomando de interface encapsulation

" Chave

....

frame-relay) . Passo 2 Configure um endereço IP na interface ou sub interface (subcomando ip address). Passo 3 (Opcional) Configure o tipo de LMI manualmente em cada interface serial física (sub comando de interface frame-relay lmi-type). Passo 4 (Opcional) Mude o encapsulamento default de cisco para ietf da seguinte forma: a. Para todos os VCs da interface, adicione o termo ietf ao subcomando de interface encapsulation frame-relay. b. Para um único VC, adicione o termo ietf ao subcomando de interface frame-relay interface-dlci (somente subinterfaces ponto-a-ponto) ou ao comando frame-relay map. Passo 5 (Opcional) Se você não estiver usando o ARP Inverso (default) para mapear o DLCI ao endereço IP do roteador next-hop, defina um mapeamento estático usando o subcomando de interface frame-relay map ip dlci ipaddress broadcast. Passo 6 Nas subinterfaces, associe um (ponto-a-ponto) ou mais (multiponto) DLCls com a subinterface, através de uma destas duas maneiras: a. Usando o subcomando de subinterface frame-relay interface-dlci dlci b. Como conseqüência do mapeamento estático, usando o subcomando de subinterface frame-relay map ip dlci ipaddress broadcast.

O restante desta seção mostra exemplos de todos estes passos de configuração, juntamente com algumas discussões a respeito de como verificar se a rede Frame Relay está funcionando corretamente.

Rede totalmente em malha com uma sub-rede IP O primeiro exemplo mostra a mais concisa das configurações Frame Relay possíveis, uma que usa somente os dois primeiros passos da lista de verificação para configuração deste capítulo. O design para o primeiro exemplo inclui as seguintes opções: - Instalar um link de acesso em três roteadores. - Criar uma malha completa de PVCs. - Usar uma única sub-rede (rede Classe C 199.1.1.0) na rede Frame Relay. - Configurar os roteadores usando suas interfaces físicas. Use as configurações default para LMI, ARP Inverso e encapsulamento. Os Exemplos 14-1, 14-2 e 14-3 mostram a configuração para a rede mostrada na Figura 14-1.

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• •

•• •• •• ••

CCNA ICND2 Figura 14-1 Rede Totalmente em Malha com Endereços IP Sub-rede 199.1.10.0/24

Mount Pilot

Sub-rede 199.1.11.0/24

Raleigh

Sub-rede 199.1.12.0/24

Exemplo 14-1 Configuração de Mayberry

•• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •

355

interface serialO / O/O encapsulation frame-relay ip address 199.1.1.1 255.255.255.0

interface fastethernet O/ O ip address 199.1.10.1 255.255.255.0

router eigrp 1 network 199.1.1.0 network 199.1.10.0

Exemplo 14-2 Configuração de Mount Pilot interface serialO / O/ O encapsulation frame-relay 1-

ip address 199 . 1.1.2 255.255.255.0

interface fastethernet O/ O ip address 199.1 . 11.2 255.255.255.0

router eigrp 1 network 199.1.1.0 network 199.1.11.0

Exemplo 14-3 Configuração de Raleigh interface serialO / O/ O

-

encapsulation frame-relay ip address 199.1.1.3 255.255.255.0

interface fastethernet O/ O ip address 199.1.12 . 3 255.255 . 255 . 0

router eigrp 1 network 199.1.1.0 network 199.1.12.0

A configuração é simples quando comparada aos conceitos do protocolo. O comando encapsulation frame-relay diz aos roteadores para usar os protocolos Frame Relay de enlace de dados, ao invés do default, que é HDLC. Observe que os endereços IP nas interfaces seriais dos três roteadores estão todos na mesma rede Classe C. Além disso, esta

356

Capítulo 14: Configuração e resolução de problemas de Frame Relay

configuração simples usa as vantagens das seguintes configurações default do lOS:

•• •• •• •• •• •• •• •• •• •• •• -----------------------------------------------------------------1• •• •• •• •• •• •• •• •• ••

- O tipo de LMI é percebido automaticamente.

- O encapsulamento (default) é Cisco ao invés de IETF.

..........

[ Tópico :, Chave

....

- Os DLCls do PVC são aprendidos através de mensagens de estado do LMI.

- O ARP Inverso está habilitado (por default) e é acionado quando a mensagem de estado declarando que os VCs estão ativos é recebida.

Configurando o encapsulamento e o LMI

Em alguns casos, os valores default não são apropriados. Por exemplo, você deve usar o encapsulamento IETF se um roteador não for um roteador da Cisco. Com o propósito de mostrar uma configuração alternativa, suponha que os seguintes requisitos tenham sido adicionados: - O roteador Raleigh precisa de encapsulamento IETF em ambos os VCs.

- O tipo de LMI de Mayberry dever ser ANSI, e o reconhecimento automático de LMI não deve ser usado.

Para mudar estes defaults, os Passos 3 e 4 apresentados como configurações opcionais na lista de verificação para configuração deverão ser usados. Os Exemplos 14-4 e 14-5 mostram as alterações que deverão ser feitas em Mayberry e Raleigh.

Exemplo 14-4 Configuração de Mayberry com Novos Requisitos interface serial O/O/O

encapsulation frame-relay

-

frame-relay lmi-type ansi

frame-relay interface-dlci 53 ietf

-

ip address 199.1 . 1.1 255 . 255.255.0

rest of configurat i on unchanged from Example 14 -1 .

Exemplo 14-5 Configuração de Raleigh com Novos Requisitos interface seria l O/O/O

----

• ••

encapsulation frame-relay ietf

ip address 199.1. 1. 3 255 . 255.255.0

! rest of con fi gur at ion unch ange d from Example 14-3.

As configurações diferem das anteriores (dos Exemplos 14-1 e 14-2) de duas maneiras. Em primeiro lugar, Raleigh alterou seu encapsulamento para ambos os seus PVCs com o termo ietf no comando encapsulation. Este termo se aplica a todos os VCs da interface. No entanto, Mayberry não pode alterar seu encapsulamento da mesma maneira porque apenas um dos dois VCs que terminam em Mayberry precisa usar o encapsulamento IETF, e o outro precisa usar o encapsulamento Cisco. Portanto, Mayberry é forçado a dar o comando frame-relay interface-dlci, referenciando o DLCI do VC para Raleigh, usando o termo ietf. Com este comando, você pode mudar a configuração de encapsulamento para cada VC, em oposição à configuração em Raleigh, que muda o encapsulamento para todos os VCs.

A segunda alteração principal é na configuração do LMI. A configuração do LMI em Mayberry estaria correta sem nenhuma alteração porque o uso do default de reconhecimento automático de LMI reconheceria ANSI como sendo o tipo do LMI. No entanto, por causa do uso do subcomando de interface frame-relay lmi-type ansi, Mayberry deve usar ANSI porque este comando não apenas configura o tipo do LMI, mas também desabilita a negociação automática do tipo de LMI.

NOTA A configuração de LMI é uma configuração por interface física, mesmo que subinterfaces estejam sendo usadas, portanto o comando frame-relay lmi-type é sempre um subcomando sob a interface física.

Mount Pilot precisa configurar .um comando frame-relay interface-dlci com o termo ietf para seu VC para Raleigh, da mesma forma que Mayberry. Esta alteração não foi mostrada nos exemplos.

•

• •• •

CCNA ICND2

357

• Mapeamento de endereços Frame Relay

•• •

•• •• •• •• •• •

A Figura 14-1 não se preocupa nem mesmo em listar os DLCls usados para os VCs. As configurações funcionam conforme foram apresentadas, e francamente, mesmo que você nunca conhecesse os DLCls, esta rede funcionaria! No entanto, para os exames, e para trabalhos em redes reais, você precisa compreender um conceito importante relacionado a Frame Relay - o mapeamento de endereço no Frame Relay. A Figura 14-2 mostra a mesma rede, desta vez mostrando valores globais de DLCI.

Figura 14-2 Rede totalmente em Malha Mostrando DLCls Globais Sub-rede 199.1.10.0/24

Moun! Pilo!

Raleigh

DLCI53 Sub-rede 199.1.11 .0/24

•

O "mapeamento" no Frame Relay cria uma correlação entre um endereço de Camada 3 e seu endereço correspondente na Camada 2. O conceito é similar ao cache do ARP para interfaces LAN. Por exemplo, o cache do ARP (Addess Resolution Protocol) do IP usado em LANs é um exemplo de mapeamento de endereço de Camada 3 para Camada 2. Com o ARP do IP, você conhece o endereço IP de outro dispositivo na mesma LAN, mas não o endereço MAC; quando o ARP se completa, você conhece o endereço (Camada 2) de LAN do outro dispositivo. De modo similar, os roteadores que usam Frame Relay precisam de um mapeamento entre o endereço de Camada 3 de um roteador e o DLCI usado para alcançar este outro roteador.

• •

Esta seção discute os pontos básicos de por que o mapeamento é necessário para conexões LAN e Frame Relay, com o foco no Frame Relay. Eis uma definição mais genérica de mapeamento:

•

/;~~o

• • •

• • •• •• •• •• •• •• •

••

~ c_ ••••

A informação que correlaciona o endereço de Camada 3 de um roteador next-hop com o endereço de Camada 2 usado para alcançá-lo é chamado de mapeamento. O mapeamento é necessário em redes multiacesso.

Pensar a respeito de roteamento ajuda a tornar mais evidente a necessidade do mapeamento. Imagine que um host na Ethernet de Mayberry envie um pacote IP para um host na Ethernet de Mount Piloto O pacote chega no roteador de Mayberry através da LAN, e Mayberry descarta o cabeçalho e o trailer Ethernet. Mayberry olha a tabela de roteamento, a qual lista uma rota para 199.1.11.0, interface de saída Serial O/O/O, e roteador next-hop 199.1.1.2, que é o endereço IP Frame Relay de Mount Piloto A próxima decisão que o roteador deve tomar para completar o processo evidencia a necessidade do mapeamento: qual DLCI Mayberry deveria colocar no cabeçalho Frame Relay? Nós não configuramos nenhum DLCI. No entanto, funciona como se tivesse sido configurado! Para saber a resposta, considere o Exemplo 14-6, que mostra alguns comandos importantes que podem ser usados para ver como Mayberry faz a escolha certa para o DLCI.

Exemplo 14-6 Comandos show em Mayberry, Mostrando a Necessidade do Mapeamento Mayberry# 8how ip route Codes:C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

358 Capítulo 14: Configuração e resolução de problemas de Frame Relay i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last resort is not set D

199.1.11.0 / 24 [90/2195456] via 199.1.1.2, 00:00:26, SerialO / O/ O

C

199.1.10.0/24 is directly connected, FastethernetO/O

D

199.1.12.0/24 [90/2185984] via 199.1.1.3, 00:01:04, SerialO/O/O

C

199.1.1 . 0/24 is directly connected, SerialO/O/O

C

192.68.1.0/24 is directly connected, FastethernetO/O

C

192.168.1 . 0/24 is directly connected, FastethernetO/O

Mayberry# show frame-re1ay pvc PVC Statistics for interface SerialO/O/O (Frame Relay DTE) Active

Inactive

Deleted

Static

Local

2

o

o

O

Switched

O

O

O

O

Unused

O

O

O

O

DLC I

=

52, DLCI USAGE

=

LOCAL, PVC STATUS

input pkts 46

output pkts 22

out bytes 1794

dropped pkts O

in BECN pkts O out FECN pkts O in DE pkts O

=

ACTIVE, INTERFACE

SerialO/O/O

in bytes 2946 in FECN pkts O out BECN pkts O

out DE pkts O

out bcast pkts 21 out bcast bytes 1730 pvc create time 00:23:07, last time pvc status changed 00:21:38 DLCI

=

53, DLCI USAGE

=

LOCAL, PVC STATUS

=

ACTIVE, INTERFACE

input pkts 39

output pkts 18

in bytes 2564

out bytes 1584

dropped pkts O

in FECN pkts O

in BECN pkts O out FECN pkts O in DE pkts O

=

SerialO/O/O

out BECN pkts O

out DE pkts O

out bcast pkts 18 out bcast bytes 1584 pvc create time 00:23:08, last time pvc status changed 00:21:20 Mayberry# show frame-re1ay map SerialO/O/O (up): ip 199 . 1 . 1. 2 dlci 52 (Ox34 , OxC40), dynamic, broadcast"

status defined, active

SerialO/O/O (up): ip 199.1.1.3 dlci 53(Ox35,OxC50), dynamic, broadcast"

status defined, active

o exemplo destaca todas as informações relacionadas ao envio de pacotes para a rede 199.1.11.0/24, de Mayberry para Mount Pilot. A rota de Mayberry para 199.1.11.0 se refere à interface de saída Serial 0/0/0 e para 199.1.1.2 como sendo o endereço do next-hop. O comando show frame-relay pvc apresenta dois DLCIs, 52 e 53, e ambos estão ativos. Como Mayberry conhece os DLCIs? Bem, as mensagens de estado do LMI informam Mayberry a respeito dos VCs, dos DLCIs associados e do estado (ativo). Qual DLCI Mayberry deve usar para encaminhar o pacote? A saída do comando show frame-relay map tem a resposta. Observe o termo em destaque "ip 199.1.1.2 dlci 52" na saída. De alguma forma, Mayberry mapeou 199.1.1.2, que é o endereço next-hop da rota, ao DLCI correto, que é 52. Portanto, Mayberry sabe usar o DLCI 52 para alcançar o endereço IP next-hop 199.1.1.2. Mayberry pode usar dois métodos para construir o mapeamento mostrado no Exemplo 14-6. Um deles usa um mapeamento configurado estaticamente, e o outro usa um processo dinâmico chamado ARP Inverso. As duas pequenas seções seguintes explicam os detalhes de cada uma destas opções.

• •• •• •• •• •• •• •

•• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •

•

••

••

•• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• ••

•• •• ••

CCNA ICND2

359

ARP Inverso

o ARP Inverso cria clinamicamente um mapeamento entre o endereço de Camada 3 (por exemplo, o endereço IP) e o endereço de Camada 2 (o DLCI). O resultado final do ARP Inverso é o mesmo que o do ARP IP em uma LAN: o roteador constrói um mapeamento entre um endereço de Camada 3 na vizinhança e um endereço de Camada 2 correspondente. Porém, o processo usado pelo ARP Inverso é diferente do ARP em uma LAN. Depois que o VC fica ativo, cada roteador anuncia sua endereço de camada de rede enviando uma mensagem do ARP Inverso através daquele Vc. Isto funciona conforme mostrado na Figura 14-3.

/;~~;~o

Figura 14-3 Processo do ARP Inverso

\ Chave

....

Estado: DLCI 52 Up

Estado: DLCI 51 Up

I-ARP Eu Sou 199.1.1.1 (IP) I-ARP Eu Sou 199.1 .1.2 (IP)

Como mostrado na Figura 14-3, o ARP Inverso anuncia seus endereços de Camada 3 assim que o LMI sinaliza que os PVCs estão ativos. O ARP Inverso começa aprendendo o endereço DLCI da camada de enlace de dados (via mensagens LMI), e depois anuncia seus próprios endereços de Camada 3 que usam este VC. O ARP Inverso fica habilitado, por default. No Exemplo 14-6, Mayberry mostra duas entradas diferentes na saída do comando show frame-relay map. Mayberry usa o ARP Inverso para aprender que o DLCI 52 está mapeado ao endereço IP next-hop 199.1.1.2, e que o DLCI 53 está mapeado ao endereço IP next-hop 199.1.1.3. De modo interessante, Mayberry aprende esta informação recebendo um ARP Inverso de Mount Pilot e Raleigh, respectivamente. A Tabela 14-2 resume o que acontece com o ARP Inverso na rede mostrada na Figura 14-2.

Tabela 14-2 Mensagens do ARP Inverso para a Figura 14-2 Roteador transmissor

Roteador Receptor DLCI Quando o Frame É Enviado

DLCI Quando Informação na o Frame É Recebido Mensagem do ARP Inverso

Mayberry

52

MountPilot

51

Eu sou 199.1.1.1.

Mayberry

53

Raleigh

51

Eu sou 199.1.1.1.

MountPilot

51

Mayberry

52

Eu sou 199.1.1.2.

MountPilot

53

Raleigh

52

Eu sou 199.1.1.2.

Raleigh

51

Mayberry

53

Eu sou 199.1.1.3.

Raleigh

52

MountPilot

53

Eu sou 199.1.1.3.

Para entender o ARP Inverso, observe as duas últimas colunas da Tabela 14-2. Cada roteador recebe alguns "anúncios" do ARP Inverso. A mensagem do ARP Inverso contém o endereço de Camada 3 do enviador, e o cabeçalho Frame Relay, é claro, possui um DLCI nele. Estes dois valores são colocados no cache do ARP Inverso, do roteador receptor. Por exemplo, na terceira linha, Mayberry recebe um ARP Inverso. O DLCI é 52 quando o frame chega em Mayberry, e o endereço IP é 199.1.1.2. Isto é adicionado na tabela de mapeamento do Frame Relay em Mayberry, o qual está mostrado na parte em destaque do comando show frame-relay map, no Exemplo 14-6.

Mapeamento estático no Frame Relay Você pode configurar estaticamente as mesmas informações sobre mapeamento, ao invés de usar o ARP Inverso. Em uma rede real, você provavelmente iria seguir adiante e usar o ARP Inverso. Para os exames, você precisa saber como

360 Capítulo 14: Configuração e resolução de problemas de Frame Relay configurar os comandos para mapeamento estático. O Exemplo 14-7 mostra o mapeamento Frame Relay estático para os três roteadores apresentados na Figura 14-2, juntamente com a configuração usada para desabilitar o ARP Inverso.

Exemplo 14-7 Comandos frame-relay map Mayberry interface serial 0 / 0 / 0 no frame - relay inverse-arp frame-relay map ip 199.1.1.2 52 broadcas t frame-relay map ip 199.1.1.3 53 b roadcas t Mount pilot interface serial 0 / 0 / 0 no frame-relay inverse-ar p frame-relay map ip 199.1.1.1 51 broad cast frame-relay map ip 199 . 1.1.3 53 broad cas t Raleigh interface serial 0 / 0 / 0 no frame - relay inverse-arp frame-relay map ip 199 . 1 . 1 . 1 51 broadcast frame-relay map ip 199 . 1.1 . 2 52 broadca s t

O comando frame-relay map dado em Mayberry, referindo-se a 199.1.1.2, é usado para pacotes indo de Mayberry para Mount Pilot. Quando Mayberry cria um cabeçalho Frame Relay, esperando que o mesmo seja entregue para Mount Pilot, Mayberry deve usar o DLCI 52. O comando frame-realy map em Mayberry correlaciona o endereço IP de Mount Pilot, 199.1.1.2, ao DLCI usado para alcançar Mount Pilot - o DLCI 52. Da mesma forma, um pacote enviado de volta de Mount Pilot para Mayberry faz com que Mount Pilot use seu comando map para se referir ao endereço IP de Mayberry, que é 199.1.1.1. O mapeamento é necessário para cada endereço next-hop de Camada 3, para cada protocolo de Camada 3 sendo roteado. Mesmo em uma rede tão pequena como esta, o processo de configuração pode ser bem trabalhoso.

I NOTA O termo broadcast é necessário quando o roteador precisa enviar broadcasts ou multicasts a um roteador vizinho - por exemplo, para suportar mensagens de protocolo de roteamento, tais como as mensagens de Hellos.

Rede parcialmente em malha com uma sub-rede IP por VC O segundo exemplo de rede, baseado no cenário mostrado na Figura 14-4, usa subinterfaces ponto-a-ponto. Os Exemplos 14-8 a 14-11 mostram a configuração para esta rede. Os prompts dos comandos foram incluídos no primeiro exemplo porque eles mudam quando você configura subinterfaces.

Figura 14-4 Rede Parcialmente em Malha com Endereços IP 140.1.11 .0/24

~ I

Rede Frame Relay Parcialmente em Malha

~ I ..: I ~ I ,... I 50/0/0 DLCI 53 Boston

Charlotte

140.1.12.0/24

140.1.13.0/24

140.1.14.0/24

•

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• •

CCNA ICND2 Exemplo 14-8 Configuração de Atlanta Atlanta(config)# interface aerialO/O/O Atlanta(config-if)# encapaulation frame-relay Atlanta(config-if)# interface aerial 0/0/0.1 point-to-point

•• •• •• ••

•• •• •• •• •• •

•• •• •• •• •• •• •• •

•• • •

361

Atlanta(config-subif) # ip addreaa 140.1.1.1 255.255.255.0 Atlanta(config-subif) frame-relay interface-dlci 52 Atlanta(config-fr-dlci)# interface aerial 0/0/0.2 point-to-point Atlanta(config-subif)# ip addreaa 140.1.2.1 255.255.255.0 Atlanta(config-subif)# frame-relay interface-dlci 53 Atlanta(config-fr-dlci)# interface aerial 0/0/0.3 point-to-point Atlanta(config - subif)# ip addreaa 140.1.3.1 255.255.255 . 0 Atlanta(config-subif)# frame-relay interface-d1ci 54 Atlanta(config-fr-dlci)# interface faatethernet % Atlanta(config-if)# ip addreaa 140.1.11.1 255.255.255.0

Exemplo 14-9 Configuração de Charlotte interface serialO/O/O encapsulation frame-relay I~

!

interface serial 0/010.1 point-to-point ip address 140.1.1.2 255.255 . 255.0

1-

frame-relay interface-d1ci 51 !

interface fastethernet 0 10 ip address 140.1.12 . 2 255.255 . 255.0

Exemplo 14-10 Configuração de Nashville interface serialO/O/O encapsulation fr ame-relay

interface serial 01010.2 point-to-point ip address 140.1.2.3 255.255.255.0 frame-relay interface-dlci 51

interface fastethe rnet O/O ip address 140.1.13.3 255.255.255.0

Exemplo 14-11 Configuração de Boston i n terface serialOIOIO encapsulation frame - relay

interface serial 0/010.3 point-to-point ip address 140.1 . 3.4 255.255.255.0 frame-relay inter face-dlci 51

interface fastethernet O/O ip address 140.1 . 14.4 255.255.255.0

Novamente, os defaults são abundantes nesta configuração, mas alguns defaults são diferentes com relação a quando você está configurando nas interfaces físicas. O tipo do LMI é reconhecido automaticamente, e o encapsulamento Cisco está sendo usado, que é exatamente como nos exemplos das redes totalmente em malha. O ARP Inverso não é realmente

362 Capítulo 14: Configuração e resolução de problemas de Frame Relay necessário em subinterfaces ponto-a-ponto, mas está habilitado por default para o caso do roteador na outra extremidade do VC precisar usar o ARP Inverso, conforme será explicado posteriormente nesta seção. Dois novos comandos criam a configuração necessária para subinterfaces ponto-a-ponto. O primeiro comando, interface serial 0/0/0.1 point-to-point cria uma subinterface lógica de número 1 sob a interface física Serial O/O/O. Depois, o subcomando de subinterface frame-relay interface-dlci diz ao roteador qual DLCI único está associado àquela subinterface. Um exemplo de como o comando frame-relay interface-dlci funciona pode ajudar. Considere o roteador de Atlanta na Figura 14-4. Atlanta recebe mensagens LMI na SerialO/OIO afirmando que três PVCs, com DLCls 52, 53 e 54 estão ativos. Qual PVC está associado a qual subinterface? O software lOS da Cisco precisa associar o PVC correto com a subinterface correta. Isto é conseguido através do comando frame-relay interface-dlci. Os números das subinterfaces não precisam ser idênticos aos do roteador na outra extremidade do PVC, nem o número do DLCI. Neste exemplo, eu simplesmente numerei as subinterfaces para que fossem fáceis de serem lembradas. Na vida real, é útil codificar algumas informações a respeito do esquema de numeração de sua rede no número da subinterface. Por exemplo, uma empresa pode codificar parte do ID do circuito do provedor no número da subinterface, de modo que a equipe de operações poderia encontrar a informação correta para passar para a companhia telefônica quando estiver resolvendo problemas no enlace. Muitos sites usam o DLCI como sendo o número da subinterface. É claro que informações úteis para resolução de problemas, tais como o DLCI, o nome do roteador na outra extremidade do VC e assim por diante também podem ser configurados como texto através do comando description. De qualquer forma, não existe nenhum requisito para que os números das subinterfaces sejam iguais. Este exemplo simplesmente faz com que o número da subinterface seja igual ao do terceiro octeto do endereço IP.

Atribuindo um DLCI a uma determinada subinterface Conforme mencionado na lista de verificação para configuração no começo da seção "Configuração e verificação do Frame Relay", quando as subinterfaces estiverem sendo configuradas, os DLCIs devem ser associados a cada subinterface através de uma dentre duas maneiras. Os Exemplos de 14-8 a 14-11 mostraram como associar os DLCIs através do subcomando de subinterface frame-relay interface-dlci. A configuração alternativa seria usar o comando frame-relay map como sendo um subcomando de subinterface. Este comando faria as duas coisas: associar um DLCI a uma subinterface e configurar estaticamente um mapeamento de endereço IP de Camada 3 do next-hop com este DLCI. Por exemplo, em Atlanta, o comando frame-relay map ip 140.1.1.2 52 broadcast sob a interface SOIOIO.1 poderia ser usado, substituindo o comando frame-relay interface-dlci do Exemplo 14-8. O roteador desabilita o ARP Inverso em uma subinterface quando o comando frame-relay map é configurado. Portanto, quando estiver usando mapeamento estático no roteador em uma extremidade do VC, fique ciente de que o roteador na outra extremidade do VC não receberá nenhuma mensagem do ARP Inverso, e portanto pode precisar ser configurado também com o comando frame-relay map.

Comentários a respeito de endereçamento global e local Quando você faz os exames CCNA da Cisco, se a figura para uma pergunta mostrar três ou mais roteadores, você deveria ser capaz de decidir facilmente se a figura apresenta valores locais ou globais de DLCI. Por exemplo, a Figura 14-4 mostra um site principal com três PVCs, um para cada site remoto. No entanto, apenas um DLCI é mostrado ao lado do roteador do site principal, o que implica no uso de endereçamento global. Se DLCIs locais estivessem sendo usados, a figura precisaria mostrar um DLCI para cada PVC ao lado do roteador do site principal. Nos casos em que uma figura para uma pergunta mostrar apenas dois roteadores, a figura pode não implicar se o endereçamento local ou global de DLCI está sendo usado. Nestes casos, procure por pistas na questão, nas respostas e em qualquer configuração. As melhores pistas se relacionam ao seguinte fato: Dado qualquer roteador, apenas valores locais de DLCI estão presentes na configuração ou nos comandos show. Novamente, considere a Figura 14-4, juntamente com os Exemplos de 14-8 até 14-11. A figura mostra DLCIs globais, com o DLCI 51 ao lado do roteador de Atlanta. No entanto, os comandos frame-relay interface-dlci no roteador de Atlanta (Exemplo 14-8) e os comandos show de Atlanta no Exemplo 14-12 a seguir mostram os DLCIs 52, 53 e 54. Embora a Figura 14-4 tome óbvio que o endereço global está sendo usado, mesmo se apenas dois roteadores estivessem sendo mostrados, os comandos show e os comandos de configuração teriam ajudado a identificar os DLCIs corretos a serem usados.

•

••• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•• •

••

•• •• •• •• •• •• •• •• •• •• ••

•• ••

•• •• •• •• •• ••

CCNA ICND2

363

Verificação no Frame Relay

o Exemplo 14-12 mostra a saída dos comandos EXEC de Frame Relay mais populares do software lOS da Cisco para monitorar Frame Relay, conforme executados no roteador de Atlanta.

Exemplo 14-12 Saída dos Comandos EXEC em Atlanta Atlanta# show frame-relay pvc PVC Statistics for interface SerialO/O/O (Frame Relay DTE) Active

Inactive

Deleted Static

Local

3

O

O

O

Switched

O

O

O

O

Unused

O

O

O

DLCI = 52, DLCI USAGE

O

LOCAL, PVC STATUS

ACTIVE, INTERFACE

input pkts 843

output pkts 876

in bytes 122723

out bytes 134431

dropped pkts O

in FECN pkts O

SerialO/O/O.1

1o_u _t _ B _E _CN out FECN pkts O _______

I______in BECN pkts O

n DE pkts O

pkts _O ~

____________~____~__~______~____~~__________~

out DE pkts O

out bcast pkts 876 out bcast bytes 134431 pvc create time 05:20:10, last time pvc status changed 05:19:31 -MoreDLCI

=

53, DLCI USAGE

input pkts O

= LOCAL,

PVC STATUS

ACTIVE,

output pkts 875

out bytes 142417

SerialO/0/O.2

in bytes O

dropped pkts O

in FECN pkts O

in BECN pkts O out FECN pkts O in DE pkts O

INTERFACE

out BECN pkts O

out DE pkts O

out bcast pkts 875 out bcast bytes 142417 pvc create time 05:19:51, last time pvc status changed 04 : 55:41 -MoreDLCI = 54, DLCI USAGE = LOCAL, PVC STATUS input pkts 10

ACTIVE, INTERFACE

output pkts 877

out bytes 142069

in bytes 1274

dropped pkts O

I

in FECN pkts O

in BECN pkts O out FECN pkts O in DE pkts O

SerialO/0/0.3

out BECN pkts O

I

out DE pkts O

out bcast pkts 877 out bcast bytes 142069

I

pvc create time 05:19:52, last time pvc status changed 05:17:42

I

Atlanta# show frame-relay map SerialO / 0 / 0.3

(up): point-to-point dlci , dlc i

54(Ox36,OxC60) , broadcast

status defined, active SerialO/0/0.2

I

(up): point-to-point dlci, dlci 53(Ox35,OxC50), broadcast

status defined, active

I

SerialO/0/0.1 (up): point-to-point dlci, dlci 52(Ox34,OxC40), broadcast status defined, active

I

Atlanta#debug frame-relay lmi Frame Relay LMI debugging is on

I

Displaying all Frame Relay LMI data SerialO/O/O(out): StEnq, myseq 163, yourseen 161, DTE up datagramstart FR encap

=

=

Ox45AED8, datagramsize

=

13

I

OxFCF10309

00 75 01 01 01 03 02 A3 A1

I I

364 Capítulo 14: Configuração e resolução de problemas de Frame Relay SerialO/O/O(in): Status, mys eq 163 RT IE 1, len gth 1, type 1 KA IE 3, length 2, yourseq 162, mys eq 163

o comando show frame-relay

pvc apresenta informações úteis de gerenciamento. Por exemplo, os contadores de

pacotes para cada VC, mais os contadores para FECN e BECN, podem ser úteis, em particular. Da mesma forma, comparar os pacotes/bytes enviados por um roteador versus os contadores daquilo que foi recebido no roteador da outra extremidade do VC é bastante útil. Isto reflete o número de pacotes/bytes perdidos dentro da nuvem Frame Relay. Além disso, o estado do PVC é um ótimo lugar para começar quando se está resolvendo problemas. O comando frame-relay map mostra informações sobre mapeamento. Com o exemplo anterior de rede totalmente em malha, na qual a configuração não usa nenhuma subinterface, um endereço de Camada 3 foi listado com cada DLCI. Neste exemplo, um DLCI está listado em cada entrada, mas não há nenhuma menção a endereços de Camada 3 correspondentes. O objetivo geral do mapeamento é correlacionar um endereço de Camada 3 com um endereço de Camada 2, mas não existe nenhum endereço de Camada 3 na saída do comando show frame-relay map! O motivo é que esta informação está armazenada em algum outro lugar. As subinterfaces exigem o uso do comando de configuração frame-relay interfacedJci. Pelo fato destas subinterfaces serem ponto-a-ponto, quando uma rota apresenta uma única subinterface, o DLCI a ser usado para enviar frames está implícito na configuração. Mapeamento através do ARP Inverso ou comandos frame-relay map estáticos são necessários apenas quando mais de dois VCs terminam na interface ou na subinterface porque estes são os únicos casos nos quais pode acontecer alguma confusão a respeito de qual DLCI usar. A saída de debug frame-relay lmi apresenta informações para as solicitações LMI enviadas e recebidas. O switch envia a mensagem de estado, e o DTE (roteador) envia o estado interrogado. A configuração default com o software lOS da Cisco é enviar, e esperar que estas mensagens de estado sejam recebidas. O comando no keepalive do software lOS da Cisco é usado para desabilitar o uso de mensagens de estado LMI. De forma diferente de outras interfaces, as mensagens keepallve da Cisco não fluem de roteador para roteador sobre o Frame Relay. Ao invés disso, elas são simplesmente usadas para detectar se o roteador possui conectividade com o seu switch Frame Relay local.

Rede parcialmente em malha com algumas partes totalmente em malha Você também pode optar por usar subinterfaces multi ponto em uma configuração Frame Relay. Este último exemplo de rede, baseado na rede mostrada na Figura 14-5 usa ambas as subinterfaces, multiponto e ponto-a-ponto. Os Exemplos de 14-13 a 14-17 mostram a configuração para esta rede. A Tabela 14-3 resume os endereços e as subinterfaces usadas.

Figura 14-5 Híbrido Entre Rede Totalmente e Parcialmente em Malha

,

I

,

I

, "

II

,

, . - -....."""',

,,

I

, "

,

I DlCI 503..,.--..........

II

I

,, ,, ,

\ \ \ \ \ \ \ \

~--

\

,, ,, ,

~-~ ,

DlCI 505, ~~__

-.~-l D

Exemplo 14-13 Configuração do Roteador A interface seri a lO/O/O encapsulation frame-relay

interface serial 0/0 / 0.1 multipoint ip address 140 . 1.1.1 255.255.255.0

E

•

•• • •• •• •

•• •

•• •• •• •• •• •• •

•• •

•• •• •• •• •• •• •• ••

CCNA ICND2

••

•• •

•• •• •• •• •• •

•• •• •• •

•• •• •• •• •• •• ••

•• •• ••

365

frame - relay interface-dl ci 502 frame-relay interface-dlc i

503

------------------------------------------------~----------~-----interface serial 0/0/0.2 po i nt-to-point ip address 140.1.2.1 255.255.255.0 frame-relay interface-dlci 504

interface serial 0/0/0.3 point-to-point ip address 140.1 . 3.1 255.255.255.0 frame-relay interface-dlci 505

Exemplo 14-14 Configuração do Roteador B interface serialO/O/O encapsulation frame-relay

interface serial 0/0/0.1 multipoint ip address 140.1 . 1.2 255.255.255.0 frame-relay interface-dlci 501 frame-relay interface-dlci 503

Exemplo 14-15 Configuração do Roteador C interface serialO/O/O encapsulation frame-relay

interface serial 0/0/0.1 multipoint ip address 140.1.1.3 255 . 255 . 255.0 frame-relay interface-dlci 501 frame-relay interface-dlci 502

Exemplo 14-16 Configuração do Roteador D interface serialO/O/O encapsulation frame-relay

interface serial 0/0/0.1 point-to-point ip address 140.1.2.4 255.255.255.0 frame-relay interface-dlci 501

Exemplo 14-17 Configuração do Roteador E interface serialO/O/O encapsulation frame-relay

interfa ce seri a l

0/0/0.1 point- t o-point

ip address 140 . 1.3.5 255.255 . 255.0 frame-relay interface-dlci 501

Tabela 14-3 Endereços IP com Subinterfaces Ponto-a-Ponto e Multiponto Roteador

Sub-rede

Endereço IP

Tipo de Subinterface

A

140.1.1.0/24

140.1.1.1

Multiponto

B

140.1.1.0/24

140.1.1.2

Multiponto

C

140.1.1.0/24

140.1.1.3

Multiponto

A

140.1.2.0/24

140.1.2.1

Ponto-a-ponto

366 Capítulo 14: Configuração e resolução de problemas de Frame Relay D

140.1.2.0/24

140.1.2.4

Ponto-a-ponto

A

140.1.3.0/24

140.1.3.1

Ponto-a-ponto

E

140.1.3.0/24

140.1.3.5

Ponto-a-ponto

Subinterfaces multiponto funcionam melhor quando se possui uma rede totalmente em malha com um conjunto de roteadores. Nos Roteadores A, B e C, uma subinterface multiponto foi usada na configuração que faz referência aos outros dois roteadores porque você pode pensar nestes três roteadores como se formassem um subconjunto totalmente em malha na rede. O termo multiponto simplesmente significa que existe mais de um VC, de modo que você pode enviar e receber a partir de mais de um VC na subinterface. Como nas subinterfaces ponto-a-ponto, as subinterfaces multiponto usam o comando frame-relay interface-dlci. Observe que existem dois comandos para cada subinterface multi ponto, neste caso, porque cada um dos dois PVCs associados a esta subinterface deve ser identificado como sendo usado nesta subinterface. O Roteador A é o único roteador usando ambas as subinterfaces, multiponto e ponto-a-ponto. Na interface SerialO/O/O.l multiponto do Roteador A, são listados os DLCIs para os Roteadores B e C. Nas outras duas subinterfaces do Roteador A, que são ponto-a-ponto, apenas um único DLCI precisa ser listado. De fato, apenas um comando frame-relay interfacedlci é permitido em uma subinterface ponto-a-ponto porque apenas um VC é permitido. No mais, as configurações entre os dois tipos são similares. Nenhum comando de mapeamento é necessário para as configurações mostradas nos Exemplos de 14-13 a 14-17 porque o ARP Inverso fica habilitado por default nas subinterfaces multiponto. O mapeamento nunca é necessário em uma subinterface ponto-a-ponto porque o único DLCI associado à interface é configurado estaticamente através do comando

frame-relay interface-dlci. O Exemplo 14-18 mostra outro comando show frame-relay map, apresentando as informações de mapeamento aprendidas com o ARP Inverso, para a subinterface multiponto. Observe que a saída agora inclui os endereços de Camada 3, enquanto que o mesmo comando usado em subinterfaces ponto-a-ponto (no Exemplo 14-12) não incluem. Isto ocorre porque as rotas podem se referir a um endereço IP next-hop que pode ser alcançado através de uma interface multiponto; porém, pelo fato de termos mais de um DLCI associado à interface, o roteador precisa de informações sobre mapeamento para casar o endereço IP do next-hop com o DLCI correto.

Exemplo 14-18 Mapeamento Frame Relay e ARP Inverso no Roteador C RouterC# show frame-relay map SerialO/0/0 . 1 (up): ip 140.1.1.1 dlci SOl(Ox1FS,Ox7CSO), dynamic , broadcast, , status defined,

active

SerialO/0/0.1 (up) : ip 140.1.1.2 dlci 502 (Ox1F6,Ox7C60), dynamic , broadcast, , status defined, active

RouterC#debug frame-relay events Frame Relay events debugging is on RouterC# configure terminal Enter configuration commands, one per line. End wi th Ct rl-Z . RouterC(config)# interface serial 0/0/0.1 RouterC(config-subif)# shutdown RouterC(config-subif)#no shutdown RouterC(config-subif)# AAZZ RouterC# SerialO/0/O.1: FR ARP input SerialO/0/0.1: FR ARP input SerialO/0/0.1: FR ARP input datagramstart

=

OxE42ES8, datagramsize

FR encap = Ox7CS10300

=

30

•• •• •• •• ••

•• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• ••

•• •• •• •• ••

CCNA ICND2

367

80 0 0 00 00 0 8 06 00 OF 08 00 0 2 04 00 0 9 00 00 8C 01 01 01 7C 51 8C 01 01 03 d atagramstart

=

OxE420E8, datagrams i ze = 30

FR e nca p = Ox7C610300 80 00 00 00 08 06 00 OF 08 00 02 0 4 00 09 00 0 0 8C 01 01 02 7C 61 8C 01 0 1 03

As mensagens sobre o ARP Inverso na saída de debug frame-relay events não são tão óbvias. Um exercício fácil é procurar pela versão hexa dos endereços IP na saída. Estes endereços estão em destaque no Exemplo 14-18. Por exemplo, os primeiros 4 bytes de 140.1.1.1 são 8C 010101 em hexadecimal. Este campo começa no lado esquerdo da saída, portanto é fácil reconhecê-lo.

• Resolução de problemas de Frame Relay

•

• o Frame Relay possui muitos recursos e opções que podem ser configurados. Tanto na vida real quanto para os exames,

• • • •

•• •• •

resolver problemas de Frame Relay geralmente significa que você precisará olhar as configurações de todos os roteadores e garantir que as configurações atendem aos requisitos. Os tipos de LMI devem ser idênticos ou serem detectados automaticamente, as informações de mapeamento da Camada 3 precisam ser aprendidas ou mapeadas estaticamente, os valores corretos de DLCI devem ser associados a cada subinterface e assim por diante. Portanto, para estar bem preparado para os exames CCNA, você deve revisar e memorizar as diversas opções de configuração do Frame Relay e o que significa cada uma destas opções. No entanto, os exames podem conter questões sobre Frame Relay que exigem que você encontre um problema sem olhar a configuração. Esta segunda seção principal deste capítulo examina a resolução de problemas de Frame Relay, com ênfase em como usar comandos show, juntamente com os sintomas de um problema, para isolar a causa raiz do problema.

• Sugestão de processo para resolução de problemas de Frame Relay

•

• • • • •

••

•• •• •• ••

•• •• •

Para isolar um problema de Frame Relay, o processo deveria começar com alguns pings. De modo ideal, pings de um host que é um usuário final em uma LAN para outro host em uma LAN remota podem determinar rapidamente se a rede pode atender seu verdadeiro objetivo no momento, que é o de encaminhar pacotes entre computadores. Se este ping falhar, um ping de um roteador para o endereço IP Frame Relay de outro roteador é o passo seguinte. Se este ping funcionar, mas o ping do usuário final falhou, o problema provavelmente tem a ver com questões relativas à Camada 3, e resolver tais questões foi devidamente coberto nos Capítulos 7 e 11 . Porém, se o ping de um roteador para o endereço IP Frame Relay de outro roteador falhar, o problema provavelmente está relacionado com a rede Frame Relay. Este seção se concentra na resolução de problemas quando um roteador Frame Relay não consegue fazer ping no endereço IP Frame Relay de outro roteador. Neste ponto, o engenheiro deveria fazer ping nos endereços IP Frame Relay de todos os outros roteadores na outra extremidade de cada VC para determinar o seguinte: Os pings falharam para todos os endereços IP Frame Relay de todos os roteadores remotos, ou alguns pings falharam e outros funcionaram? Por exemplo, a Figura 14-6 mostra um exemplo de rede Frame Relay que será usado nos próximos exemplos deste capítulo. Se RI tentou fazer ping no endereço IP Frame Relay de R2 (10.1.2.2, neste caso) e falhou , a próxima pergunta seria se os pings de R I para R3 (10.1.34.3) e para R4 (10.1.34.4) funcionam.

•

368 Capítulo 14: Configuração e resolução de problemas de Frame Relay

••

Figura 14-6 Exemplo de Rede Frame Relay Para os Exemplos de Resolução de Problemas

Sub-rede 10.1.2.0/24 (R1/R2) •••••••••

DLCI102

PC1

.. .. .. .. , 10.1 .2.1/24•••••• ••• '

'

..................

OLCI101 10.1.2.2124

'

SOIOIO 10.1 .11 .11/24

10 1 341 '"

.. .

PC3

OLCI103 ". ...........

........

10.1.12.22/24

........................................... _................................ ..

OLCI104 •••••••••

......... " . Legenda: Frame Relay Swilch

". ".

". '"

Sub·rede 10.1.34.0/24 (R1/R3/R4)

'"

".

••••••••• OLCI101 10.1.34.4/24

10.1 .14.44/24

Este capítulo organiza as explicações a respeito de como resolver problemas de Frame Relay baseado neste primeiro passo para isolamento do problema. A lista seguinte resume as ações principais, com cada passo desta lista sendo examinado na seqüência, após a lista. Se os pings de um roteador Frame Relay falharem para todos os roteadores remotos cujos VCs compartilham um único link de acesso, faça o seguinte: /;~~;~o Passo 1 Verifique se existem problemas de Camada 1 no link de acesso entre o roteador e o switch Frame Relay local \~vtI (todos os roteadores).

Passo 2 Verifique se existem problemas de Camada 2 no link de acesso, particularmente no encapsulamento e no LMI. Depois de resolver quaisquer problemas relativos aos dois primeiros passos, ou se os testes originais de ping mostrarem que o roteador Frame Relay pode fazer ping em alguns, mas não em todos os outros roteadores Frame Relay cujos VCs compartilham um único link de acesso, siga estes passos: Passo 3 Verifique se existem problemas no PVC, baseado no estado do PVC e no estado da subinterface. Passo 4 Verifique se existem problemas de Camada 2/3 tanto para mapeamento estático quanto para dinâmico (ARP Inverso). Passo 5 Verifique se existem problemas de Camada 2/3 relacionado a diferenças no encapsulamento fim-a-fim (cisco ou ietf) . . Passo 6 Verifique se existem outras questões relativas à Camada 3, incluindo sub-redes diferentes. O restante deste capítulo explica alguns dos detalhes a respeito de cada passo deste processo sugerido para resolução de problemas.

Problemas de camada 1 no link de acesso (passo 1) Se a interface física de um roteador usada para o link de acesso Frame Relay não estiver no estado "up and up", o roteador não poderá enviar nenhum frame através deste enlace. Se a interface tiver um estado de linha (o primeiro código de estado da interface) como sendo down, a interface provavelmente tem um problema relacionado à Camada 1. Do ponto de vista da Camada 1, um link de acesso Frame Relay nada mais é do que uma linha privativa entre um roteador e um switch Frame Relay. Sendo assim, os mesmos problemas de Camada 1 existem tanto para este enlace como para uma linha privativa ponto-a-ponto. Pelo fato das possíveis causas raiz e os passos sugeridos para resolução de problemas espelharem o que deveria ser feito em uma linha privativa, vá à seção "Resolvendo problemas de camada I" do Capítulo 12, "WANs ponto-a-ponto", para maiores informações sobre este passo.

•• •• •

•• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

• •

CCNA ICND2

369

• Problemas de camada 2 no link de acesso (passo 2)

• • • •

•• •• ••

Se o estado de linha da interface física de um roteador estiver up, mas o estado de protocolo da linha (segundo código de estado) estiver down, o enlace possui tipicamente um problema de Camada 2 entre o roteador e o switch Frame Relay local. Com interfaces Frame Relay, o problema está tipicamente relacionado com o comando encapsulation ou com o LMI do Frame Relay.

o problema em potencial relacionado ao comando encapsulation é bem simples de se verificar. Se a configuração da interface serial de um roteador omitir o subcomando de interface encapsulation frame-relay, mas o link de acesso físico estiver funcionando, a interface física irá para o estado up/down. Se a configuração não estiver disponível, o comando show interfaces pode ser usado para ver o tipo de encapsulamento configurado, que é mostrado nas primeiras linhas da saída do comando.

•

o outro problema em potencial está relacionado ao LMI. Mensagens de estado do LMI fluem em ambas as direções entre o roteador (DTE) e o switch Frame Relay (DCE), por dois motivos principais:

.~~o · c......

•• •• •• •• •• •

Para que o DCE informe o DTE a respeito do DLCI de cada VC e de seu estado

- Para fornecer a função keepalive, para que o DTE e o DCE possam dizer facilmente quando o link de acesso não pode mais passar tráfego

Um roteador coloca um enlace físico no estado up/down quando o enlace funciona fisicamente, mas o roteador para de ouvir mensagens LMI do switch. Se a interface não estiver no estado up/up, o roteador não tentará enviar nenhum pacote IP através da interface, portanto todos os pings irão falhar neste ponto.

Um roteador poderá parar de receber mensagens LMI do switch tanto por razões legítimas quanto por causa de erros. O propósito normal e legítimo da função keepalive do LMI é de fazer com que, se o enlace realmente estiver com problemas e não puder transmitir dados, o roteador possa perceber a perda de mensagens keepalive e desabilitar o enlace. Isto permite que o roteador use uma rota alternativa, assuroindo que a mesma exista. No entanto, um roteador pode parar de receber mensagens LMI e desabilitar a interface por causa dos seguintes erros: - O LMI foi desabilitado no roteador (através do subcomando de interface física no keepalive), mas foi deixado como habilitado no switch - ou vice-versa - Foram configurados tipos diferentes de LMI no roteador (através do subcomando de interface física frame-relay Imi-type type) e no switch

• • • •

Você pode facilmente verificar ambos, o encapsulamento e o LMI, usando o comando show frame-relay lmi. Este comando apresenta saídas apenas para interfaces que possuem o comando encapsulation frame-relay configurado, assim você pode confirmar rapidamente se o comando encapsulation frame-relay foi configurado nas interfaces seriais corretas. Este comando também mostra o tipo do LMI usado pelo roteador, e mostra contadores para o número de mensagens LMI enviadas e recebidas. O Exemplo 14-19 mostra um exemplo do roteador RI da Figura 14-6.

:

Exemplo 14-19 Comando show frame-relay lmi em Ri

•• •• •• •• •• • •

R1#ahow frame-relay lmi LMI Sta t i s tics for interface SerialO / O/O I (Frame Relay DTE ) LMI TYPE = ANSI Invalid Unnumbe red i n fo O Invalid Prot Di s c O Inva lid dumrny Ca ll Ref O Invalid Msg Type O Invalid Status Me s sage O I nvalid Lock Shift O I n v al id Informat i o n ID O Invalid Rep ort I E Len O Inva lid Report Request O Invalid Keep IE Len O ___

Num Status Enq. Sent 122 Num Status msgs Rcvd 34 Num Update Sta tus Rcvd O Num Status Timeouts 88 La st Ful l Status Req 00:00:04 Las t Fu ll Sta tus Rcvd 00:13:24

Para este exemplo, o roteador RI foi configurado estaticamente com o subcomando de interface frame-relay Imi-type ansi, com o switch SI ainda usando o tipo cisco de LMI. Quando a configuração do LMI foi alterada, o roteador e o switch tinham trocado 34 mensagens LMI (do tipo cisco). Depois da mudança, o contador do número de mensagens enviadas para interrogar estado em RI continuou aumentando (122 quando a saída do comando show frame-relay Imi

370 Capítulo 14: Configuração e resolução de problemas de Frame Relay

• • ••

foi capturada), mas o contador do número de mensagens de estado LMI recebidas do switch permaneceu em 34. Logo • abaixo deste contador está o número de timeouts, que conta o número de vezes que o roteador esperou receber uma • mensagem LMI periódica do switch, mas não recebeu. Neste caso, o roteador estava ainda recebendo as mensagens • LMI, mas elas não eram mensagens LMI ANSI, portanto o roteador não as entendeu nem reconheceu. Se o uso repetido do comando show frame-relay lmi mostrar que o número de mensagens de estado recebidas permanece o mesmo, a causa provável, ao invés de ser um enlace que não está funcionando, é que os tipos de LMI não são iguais. A melhor solução é permitir o reconhecimento automático de LMI através da configuração do sub comando de interface física no frame-relay lmi-type type, ou, de maneira alternativa, configurar o mesmo tipo de LMI que foi usado no switch. Se você achar e corrigir qualquer problema encontrado nos Passos 1 e 2, em todos os roteadores Frame Relay conectados, todas as interfaces físicas dos links de acesso dos roteadores deverão estar no estado up/up. Os quatro últimos passos analisam problemas que se aplicam a PVCs individuais e vizinhos.

Problemas e estado do PVC (passo 3) O objetivo neste passo do processo de resolução de problemas é descobrir o DLCI do PVC usado para alcançar um determinado vizinho, e depois descobrir se o PVC está funcionando. Para se determinar o PVC correto, particularmente se pouca ou nenhuma configuração ou documentação estiver disponível, você terá de começar com o comando ping que falhou. O comando ping identifica o endereço IP do roteador vizinho. Baseado no endereço IP do vizinho, alguns comandos show podem ligar o endereço IP do vizinho com a sub-rede conectada associada, a sub-rede conectada com a interface do roteador local, e a interface do roteador local com os possíveis DLCIs. Além disso, a informação de mapeamento do Frame Relay pode identificar o PVC específico. Embora este livro tenha coberto todos os comandos usados para encontrar estas informações, a lista a seguir resume os passos que levarão você do endereço IP do vizinho até o DLCI local correto usado para enviar frames para este vizinho.

•• •• •• •• •• •• ••

Passo 3a Descubra o endereço IP e a máscara de cada interface/subinterface Frame Relay (show interfaces, show • ip interface brief) e calcule as sub-redes conectadas. •

Passo 3b Compare o endereço IP do comando ping que falhou, e selecione a interface/subinterface cuja sub-rede • conectada seja a mesma sub-rede. •

.

Passo 3c Descubra o(s) PVC(s) que foi (foram) atribuído(s) a esta interface ou subinterface (show frame-relay •

~.

Passo 3d Se mais de um PVC foi atribuído à interface ou subinterface, determine qual PVC é usado para alcançar um • determinado vizinho (show frame-relay map). • NOTA Como lembrete, listas como esta são feitas para se ter uma referência prática quando você estiver lendo o capítulo. É fácil achar a lista quando você estiver estudando e quiser se lembrar de uma deter minada parte a respeito de como atacar um dado problema. Você não precisa decorar a lista, mas pratique-a até que você absorva a informação. Os Passos 3a, 3b, 3c e 3d descobrem o PVC correto a ser examinado. Depois que o mesmo for descoberto, o Passo 3 do processo sugerido para resolução de problemas interpreta o estado deste PVC, e da interface ou subinterface associada, para determinar a causa de qualquer problema. Esta seção observa mais de perto um exemplo no qual RI não consegue fazer ping no endereço IP Frame Relay de R2, que é 10.1.2.2. Antes de focar no processo de determinar qual VC foi usado, é útil ver a resposta final, de modo que a Figura 14-7 mostra alguns dos detalhes. Para este exemplo, o comando ping 10.1.2.2 de RI falha neste caso.

•• •• •• •• •• •• •• •

CCNA ICND2

•• •• •

•• •• •• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •• •

371

Figura 14-7 Fatos Relativos à Configuração, Relacionados à Falha no Comando ping 10.1.2.2 de RI Tabela de Roteamento de R1 Sub-rede 10.1.2.0/24

Int. de Saída SO/0/0.2

Next-hop N/A

Configuração de R1 SO/0/0.2 Ponto-a-Ponto 10.1.2.1/24 DLCI102 DLCI102 ..................... .. ......... .........

......... ...

...... ...........

.......... . . ......

••••••• ········-10.1.2.2124

...

Encontrar a sub-rede conectada e a interface de saída (passos 3a e 3b) Os primeiros dois subpassos para encontrar o PVC de RI (DLCI) que se conecta a R2 (Subpassos 3a e 3b) deveriam ser relativamente simples, assumindo que você já tenha terminado as' Partes 11 e m deste livro. Sempre que você fizer um ping no endereço IP Frame Relay de um roteador vizinho, este endereço IP deveria estar em uma das sub-redes também conectadas ao roteador local. Para achar a interface usada por um roteador local quando estiver encaminhando pacotes para o roteador remoto, você só precisa encontrar a sub-rede conectada em comum. Neste exemplo, com RI fazendo ping em 10.1.2.2, o Exemplo 14-20 mostra alguns comandos que confirmam que a subinterface SO/0/0.2 de RI está conectada na sub-rede 10.1.2.0/24, que inclui o endereço IP 10.1.2.2 de R2. Exemplo 14-20 Encontrando a Sub-rede 10.1.2.0/24 e a Subinterface SO/0/0.2 R1> show ip interface brief Interface

IP-Address

OK?

Method

Status

Protocol

Fa stEthernetO/O 10.1.11.1

YES

NVRAM

up

Fas tEthernetO/1 unassigned

YES

NVRAM administratively down

Se rialO/O/O

unassigned

YES

NVRAM

up

up

SerialO/0 / 0.2

10.1.2.1

YES

NVRAM

down

down

SerialO/0/0.5

10.1.5.1

YES

manual

down

down

SerialO/0/0.34

10.1.34.1

YES

NVRAM

up

up

up down

R1# show interfaces s 0/0/0.2 Seri a lO/0/0.2 is down,

line protocol is down

Hardware i s GT96K Serial

1-

Internet address is 10.1 . 2.1 / 24

1-

MTU 1500 bytes, BW 1544 Kbit, DLY 20000 usec , reliability 255/255,

txload 1/255, rxload 1/255

Encapsulation FRAME-RELAY Last clearing of "show interface" counters never

Encontrar os PVCs atribuídos à interface (Passo 3c) O comando show frame-relay pvc responde diretamente à questão sobre quais PVCs foram atribuídos a quais interfaces e subinterfaces. Se o comando for executado sem nenhum parâmetro, o comando mostra cerca de dez linhas de saída para cada VC, com o final da primeira linha mostrando a interface ou subinterface associada. O Exemplo 14-21 mostra o começo da saída do comando. Exemplo 14-21 Correlacionando a Subinterface SO/0/0.2 ao PVC com DLCI 102 R1> show frame-re1ay pvc PVC Sta t istics for interface Seria lO/O/O (Frame Relay DTE)

372 Capítulo 14: Configuração e resolução de problemas de Frame Relay

Local

Active

Inactive

Deleted

Static

1

2

O

O O O

Switched

O

O

O

Unused

O

O

O

DLCI

= 102 ,

DLCI USAGE

= LOCAL,

PVC STATUS

INACTIVE,

INTERFACE

input pkts 33

output pkts 338

in bytes 1952

out bytes 29018

dropped pkts O

i n pkts dropped O

out pkts dropped O

SerialO l 010.2

out bytes dropped O

in FECN pkts O

in BECN pkts O

out FECN pkts O

out BECN pkts O

in DE pkts O

out DE pkts O

out bcast pkts 332 out bcast bytes 28614 5 minu te input r a t e O bits/sec, O packets/sec 5 minute outpu t ra te O bits/sec , O packe t s/sec pvc create time 00:30:05, last time pvc status changed 00:04:14 DLCI

= 103,

DLCI USAGE

= LOCAL,

PVC STATUS

= INACTIVE,

INTERFACE

input pkts 17

output pkts 24

in bytes 1106

out bytes 2086

dropped pkts O

i n pkts dropped O

out pkts dropped O

Serial0 10 1 0.34

out bytes dropped O

in FECN pkts O

in BECN p kts O

out FECN pkts O

out BECN pkts O

in DE pkt s O

o ut DE pkts O

out bcast pkts 11

o u t bcast bytes 674

5 minute input rat e O bi t s/sec, O packets /sec 5 minute outpu t rate O bits/sec, O packets/sec pvc create time 00 : 30:07, last time pvc status changed 00:02:57 DLCI

= 104,

DLCI USAGE

= LOCAL,

PVC STATUS

= ACTIVE,

INTERFACE

input pkts 41

o u tput pkts 42

in bytes 2466

out bytes 3017

dropped pkts O

in pkts dropped O

out pkts dropped O

= Serial0 10 10 . 34

out byt es d roppe d O

in FECN pkts O

i n BECN pkts O

o u t FECN pkt s O

out BECN pkts O

in DE pkts O

o u t DE pkts O

out bcast pkts 30

out bcast bytes 1929

5 minute inpu t r ate O bits/sec, O packets/sec 5 minute output rate O bits/sec , O packets/sec pvc create time 00:30:07, last time pvc status changed 00:26:17

Para encontrar todos os PVCs associados a uma interface ou subinterface, basta olhar as partes em destaque na saída do Exemplo 14-21. Neste caso, SO/0/0.2 está listado com apenas um PVC, aquele com DLCI 102, portanto apenas um PVC está associado à SO/0/0.2, neste caso.

Determinar qual PVC está sendo usado para alcançar um determinado vizinho (passo 3d) Se a configuração do roteador associar mais de um pvc a uma interface ou subinterface, o próximo passo é descobrir qual dos PVCs é usado para enviar tráfego a um determinado vizinho. Por exemplo, o Exemplo 14-21 mostra que RI usa uma subinterface multiponto SO/0/0.34 com DLCls 103 e 104, com DLCI 103 usado para o PVC que se conecta com R3, e DLCI 104 para o PVC que se conecta com R4. Assim, se você estiver resolvendo um problema no qual o comando ping 10.1.34.3 falhou em RI , o próximo passo seria determinar qual dos dois DLCls (103 ou 104) identifica o VC que conecta RI a R3. Infelizmente, você nem sempre consegue encontrar a resposta sem olhar para outras documentações. O único comando

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

•• •• •

show que pode ajudar é o show frame-relay map, o qual pode correlacionar o endereço IP next-hop com o DLCI. Infelizmente, se o roteador local se basear no ARP Inverso, o roteador local também não poderá aprender a informação de mapeamento neste momento, portanto a tabela de roteamento pode não ter nenhuma informação útil nela. No entanto, se o mapeamento estático foi usado, o PVCIDLCI correto poderá ser identificado.

• •

No exemplo em que RI falha quando está fazendo ping em 10.1.2.2 (R2), pelo fato de apenas um PVC estar associado à interface correta (SO/0/0.2), o PVC já foi identificado, portanto você pode ignorar este passo, por enquanto.

•

Estado do PVC

• •

Neste ponto do Passo 3 principal para resolução de problemas, a interface/subinterface correta de saída e o PVODLCI corretos foram identificados. Finalmente, o estado do PVC poderá ser examinado para ver se o mesmo indica que o PVC tem um problema

•• •• •• • •

• • ...•

Roteadores usam quatro códigos diferentes de estado para o PVc. Um roteador aprende a respeito de dois dos possíveis valores de estado, ativo, e inativo, através de mensagens LMI do switch Frame Relay. A mensagem LMI do switch lista todos os DLCls para todos os PVCs configurados no link de acesso, e se o PVC pode ser usado neste momento (ativo) ou não (inativo). O primeiro dos dois estados do PVC que não são aprendidos usando LMI é chamado de estado estático. Se o LMI estiver desabilitado, o roteador não aprende nenhuma informação do switch a respeito do estado do PVc. Sendo assim, o roteador mostra todos os seus DLCIs configurados no estado estático, o que significa configurado estaticamente. O roteador não sabe se os PVCs irão funcionar, mas pode ao menos enviar frames usando estes DLCIs e esperar que a rede Frame Relay possa entregá-los. O outro estado do PVC, deletado, é usado quando o LMI está funcionando, mas a mensagem LMI do switch não menciona nada a respeito de um determinado valor de DLCI. Se o roteador possui uma configuração para um DLCI (por exemplo, em um comando frame-relay interface-dlci), mas a mensagem LMI do switch não lista este DLCI, o roteador mostra este DLCI em um estado deletado. Este estado significa que o roteador configurou o DLCI, mas o switch não. Na vida real, o estado deletado pode significar que o roteador ou o switch foi configurado erroneamente, ou que o switch Frame Relay ainda não foi configurado com o DLCI correto. A Tabela 14-4 resume os quatro códigos de estado do PVC no Frame Relay.

.•

(T \

373

o

Tabela 14-4 Valores dos Estados de PVC ~stado

•• PP •• •• •• • •• •• •• •• ••

Ativo

Inativo

Deletado

Estático

PVC está defInido na rede Frame Relay

Sim

Sim

Não

Desconhecido

roteador tentará enviar frames através de um VC neste estado

Sim

Não

Não

Sim

Conforme pode ser observado na última linha da tabela, os roteadores enviam dados através de PVCs somente se os mesmos estiverem no estado ativo ou estático. Além disso, mesmo que o PVC esteja no estado estático, não há nenhuma garantia de que a rede Frame Relay possa realmente enviar frames através deste PVC porque o estado estático implica que o LMI está desabilitado, e que o roteador não aprendeu nenhuma informação de estado. O próximo passo no processo de resolução de problemas é encontrar o estado do PVC usado para se alcançar um determinado vizinho. Continuando com o problema da falha de RI quando está fazendo ping em R2 (10.1.2.2), o Exemplo 14-22 mostra o estado do PVC com DLCI 102, conforme identifIcado anteriormente.

•

Exemplo 14-22 Comando show frame-relay pvc em Ri R1> ahow frame-ra1ay pvc 102 PVC Statistics for interface SerialO/O/O (Frame Relay DTE) DLCI

= 102 ,

DLCI USAGE

= LOCAL,

PVC STATUS

= INACTIVE ,

INTERFACE

input pkts 22

output pkts 193

in b ytes 1256

out bytes 16436

dropped pkts O

in pkts dropped O

out pkts dropped O

out bytes dropped O

in FECN pkts O

in BECN pkts O

out FECN pkts O

out BECN pkts O

in DE pkts O

out DE pkts O

out bcast pkts 187 out bcast bytes 16032 5 minute input rate O bits/sec, 5 minute output rate O bits/sec,

O packets/sec O packets/sec

= SerialO/0/0.2

374 Capítulo 14: Configuração e resolução de problemas de Frame Relay pvc create time 01 :1 2:56, last time pvc status changed 00:22:45 ~------------------------------------------------------------~

Neste caso, RI não consegue fazer ping em R2 porque o PVC com DLCI 102 está no estado inativo.

Para isolar melhor o problema e encontrar a causa raiz, você precisará analisar profundamente as razões pelas quais um PVC pode estar em um estado inativo. Em primeiro lugar, como sempre, repita os mesmos passos para resolução de problemas no outro roteador - neste caso, em R2. Se nenhum problema for encontrado em R2, além de um PVC inativo, o problema pode ser um problema genuíno na rede do provedor de Frame Relay, portanto entrar em contato com o provedor poderá ser o passo seguinte. Porém, você poderá encontrar outros problemas no roteador remoto. Por exemplo, para criar a falha e os comandos show desta seção, o link de acesso de R2 foi desativado, assim uma rápida analisada no Passo 1 para resolução de problemas no roteador R2 teria identificado o problema. No entanto, se a análise mais a fundo do problema mostrar que ambos os roteadores apresentam suas extremidades do PVC no estado inativo, a causa raiz estará dentro da rede do provedor de Frame Relay. Encontrar a causa raiz de um problema relacionado a um PVC em um estado deletado é relativamente fácil. O estado deletado significa que a configuração do switch Frame Relay e a configuração do roteador estão diferentes, com o roteador configurando um DLCI que não está configurado no switch. Ou o provedor disse que configuraria um PVC com um determinado DLCI e não o fez , ou o engenheiro do lado do roteador configurou o valor errado de DLCI.

Estado da subinterface Subinterfaces possuem código para estado de linha (line status) e para estado de protocolo (protocol status), da mesma forma que interfaces físicas. No entanto, pelo fato das subinterfaces serem virtuais, os códigos de estado e seus significados são um pouco diferentes com relação às interfaces físicas. Esta seção examina de modo conciso como as subinterfaces Frame Relay funcionam, e como o lOS decide se uma subinterface Frame Relay deveria estar em um estado up/up ou downldown. A configuração do Frame Relay associa um ou mais DLCls a uma subinterface através de dois comandos: frame-relay interface-dlci e frame-relay map. Para todos os DLCls associados a uma subinterface, o lOS usa as seguintes regras para determinar o estado de uma subinterface:

/;~~;~o -down/down: Todos os DLCls associados a uma subinterface estão inativos ou deletados, ou a interface física básica :. Chave ....

não está no estado up/up.

- up/up: No mínimo, um dos DLCls associados à subinterface está ativo ou estático. Por exemplo, para causar os problemas mostrados no Exemplo 14-22, R2 e R3 simplesmente desativaram seus links de acesso Frame Relay. A Figura 14-8 mostra a próxima mensagem LMI de estado que o switch SI enviou para RI.

Figura 14-8 Resultado da Desativação dos Links de Acesso de R2 e R3

S0/0/0 .2 Ponto-a-Ponto

DLCI102 SO/O/O

,-----., Estado no LMI : 101 Inativo 103 Inativo 104 Ativo

S0/0/0 .34 Multiponto

DLCI 103, 104

• • •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2 • •

375

• •

Como mostrado na figura, RI usa uma subinterface ponto-a-ponto (50/0/0.2) para o VC que se conecta com R2, e uma subinterface multiponto (50/0/0.34) associada aos VCs para R3 e R4 (103 e 104, respectivamente). O início do Exemplo 14-20 mostra que 50/0/0.2 está no estado down/down, o que acontece porque o único DLCI associado com a subinterface (102) está inativo. No entanto, 50/0/0.34 possui dois DLCls, um dos quais está ativo, portanto o 105 deixa 50/0/0.34 no estado up/up.

• • •

Olhar o estado de uma subinterface pode ajudar quando você estiver resolvendo problemas, mas tenha em mente que só porque a subinterface está up, se for uma subinterface multiponto, o estado up/up não significa necessariamente que todos os DLCls associados à subinterface estejam funcionando.

• Problemas de mapeamento no Frame Relay (passo 4) :

•• •• • •

Se você seguiu os primeiros três passos do processo sugerido para resolução de problemas deste capítulo, e resolveu os problemas de cada passo, a esta altura as interfaces dos links de acesso de todos os roteadores devem estar no estado up/ up, e o PVC entre os dois roteadores deve estar no estado ativo (ou estático). Se o roteadores ainda não conseguem fazer ping nos endereços IP Frame Relay um do outro, o próximo item a ser verificado é a informação relativa ao mapeamento de endereço Frame Relay, o qual mapeia DLCls a endereços IP next-hop. Esta seção não irá repetir a cobertura detalhada a respeito de mapeamento de endereços que apareceram tanto no Capítulo 13 quanto neste capítulo. Porém, para efeitos de perspectiva, a seguinte lista aponta alguns lembretes e dicas a serem lembrados quando você estiver executando este passo para resolução de problemas: Em subinterfaces ponto-a-ponto:

t~!O

-Estas subinterfaces não precisam de ARP Inverso ou mapeamento estático porque o 105 simplesmente acha que a

•

sub-rede definida na subinterface pode ser alcançada através do único DLCI da subinterface. - A saída do comando show frame-relay map continua listando estas subinterfaces, mas sem nenhum endereço IP next-hop .

• •

• ....:m interfaces físicas e subinterfaces multi ponto:

•• •• • •• •• •• • • •

.... 6plco -

• . •

Elas precisam usar o ARP Inverso ou o mapeamento estático.

- O comando show frame-relay map deve listar o endereço IP Frame Relay do roteador remoto e o DLCI local do roteador local para cada PVC associado à interface ou subinterface. - Se você estiver usando mapeamento estático, o termo broadcast é necessário para suportar um protocolo de roteamento.

Para ficar mais completo, o Exemplo 14-23 mostra a saída do comando show frame-relay map no roteador RI da Figura 14-6, sem nenhum problema de mapeamento. (Os problemas anteriores que haviam sido introduzidos foram corrigidos.) Neste caso, a interface 50/0/0.2 é uma subinterface ponto-a-ponto, e a 50/0/0.34 é multiponto, com um mapeamento aprendido através do ARP Inverso e um mapeamento configurado estaticamente.

•

Exemplo 14-23 Comando show frame-relay map em Rl R1#ahow frame-relay map SerialO/0/0.34 (up): ip 10.1.34.4 d1ci 104(Ox68,Ox1880),

static,

broadcast, CISCO, status defined, active SerialO/0/0.34 (up): ip 10.1 . 34 . 3 dlci 103 (Ox67,Ox1870), dynamic, broadcast, , status defined, active SerialO/0/0.2

(up): point-to-point dlci, dlci 102(Ox66,Ox1860), broadcast

status defined,

active

• Encapsulamento fim-a-fim (passo 5) • o encapsulamento fim-a-fim em um PVC se refere aos cabeçalhos que estão depois do cabeçalho Frame Relay, com •

duas opções: o cabeçalho proprietário da Cisco e o cabeçalho padrão IETF. Os detalhes de configuração foram cobertos anteriormente neste capítulo, na seção "Configurando <> encapsulamento e o LMI".

376 Capítulo 14: Configuração e resolução de problemas de Frame Relay Acontece que uma configuração diferente de encapsulamento nos roteadores em extremidades opostas do enlace pode causar problemas em um caso em particular. Se um roteador for um roteador Cisco, usando encapsulamento Cisco, e o outro roteador for um roteador não-Cisco, usando encapsulamento IETF, os pings podem falhar por causa da diferença no encapsulamento. Porém, dois roteadores Cisco podem entender ambos os tipos de encapsulamento, portanto isto não deveria ser um problema em redes que tenham somente roteadores Cisco.'

Números de sub-rede diferentes (passo 6) A esta altura, se os problemas encontrados nos primeiros cinco dentre os seis passos para resolução de problemas foram resolvidos, todos os problemas de Frame Relay devem estar solucionados. No entanto, se os dois roteadores nas duas extremidades do PVC tiverem erroneamente configurados os endereços IP em sub-redes diferentes, os roteadores não serão capazes de fazer ping um no outro, e os protocolos de roteamento não se tomarão adjacentes. Assim, como último passo, você deve confirmar os endereços IP em cada roteador, e as máscaras, e garantir que eles se conectam à mesma sub-rede. Para fazer isso, basta usar os comandos show ip interface brief e show interfaces nos dois roteadores.

• • • •

• •

•• • . .

• •

------------------------------------------------------------- . ~ A~ ti~ v~ id~a~d~e~s~d ~e ~p~re ~p ~a =r~a~ ç~ ã~ o~p~a=r~ a~o~ e= xa ~m ~e~______________________ •

••

Revise todos os tópicos-chave

Revise os tópicos mais importantes deste capítulo, assinalados com o ícone de tópicos-chave. A Tabela 14-5 lista estes • tópicos-chave e onde cada um deles foi discutido. ........... • i Tópico

\~h.'"

Tabela 14-5 Tópicos-Chave do Capítulo 14 Elemento do Tópico-Chave

Descrição

Lista

Lista de verificação para configuração do Frame Relay

354

Lista

Configurações default do Frame Relay no lOS

356

Definição

Conceito e definição de mapeamento de endereços no Frame Relay

357

Figura 14-3

Processo de ARP Inverso do Frame Relay

359

Lista

Lista de verificação com seis passos para resolução de problemas de Frame Relay

368

Lista

Resumo das duas principais funções do LMI

369

Tabela 14-4

Lista dos valores para estado de PVC e seus significados

373

Lista

Razões para que as subinterfaces estejam up/up ou down/down

374

Lista

Resumo das informações sobre mapeamento vistas em subinterfaces ponto-a-ponto

375

Lista

Resumo das informações sobre mapeamento vistas em subinterfaces multiponto

375

Número da Página

• •

•• •• • •• •• •• •• •• •• •• .

------------------------------------------------------------- .

---------------------------------------------------------------- .

•

Complete as tabelas e listas usando a memória Imprima uma cópia do Apêndice J, "Tabelas de memória", ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das tabelas de memória", também no CD, inclui as tabelas e listas completadas para você conferir o seu trabalho.

CCNA ICND2

•• Leia os cenários do apêndice F

3n

• o Apêndice F, "Additional Scenarios" - disponível no idioma origina no site da editora: www.altabooks.com.br-. contém • • •

cinco cenários detalhados. Esses cenários dão a você a chance de analisar designs, problemas e saídas de comando diferentes, e mostram como os conceitos de diversos capítulos diferentes se inter-relacionam. O Cenário 4 examina diversas opções e questões relacionadas à implementação de Frame Relay.

• Referência aos comandos para verificar sua memória

• •

• • •

Embora você não precise necessariamente memorizar as informações das tabelas desta seção, ela inclui uma referência para os comandos de configuração e EXEC cobertos neste capítulo. Na prática, você deve memorizar os comandos como reflexo da leitura do capítulo e da execução de todas as atividades desta seção de preparação para o exame. Para verificar o quão eficientemente você memorizou os comandos como reflexo de seus outros estudos, cubra o lado esquerdo da tabela, leia as descrições do lado direito, e veja se você se lembra do comando.

•

Tabela 14-6 Referência aos Comandos de Configuração do Capítulo 14

•

Comando

Descrição

•

•

encapsulation frame-relay [ietf I cisco]

Comando do modo de configuração de interface que define o encapsulamento Frame Relay usado no lugar do HDLC, do PPP etc

•

frame-relay lmi-type {ansi I q933a I cisco } Comando do modo de configuração de interface que define o tipo de

•

:

mensagens LMI enviadas ao switch

bandwidth num

Subcomando de interface que configura a velocidade da interface percebida pelo roteador

. ------------------------------------------------------------•

frame-relay map {protocol protocoladdress dlci} [broadcast] [ietf I cisco]

Comando do modo de configuração de interface que defme estaticamente um mapeamento entre um endereço da camada de rede e um DLCI

•

keepalive sec

Comando do modo de configuração de interface que define se as mensagens LMI para interrogar estado serão enviadas e esperadas e com que freqüência

• •

interface serial number.sub [point-to-point I multipoint]

Comando do modo de configuração global que cria uma subinterface ou faz referência a uma sub interface previamente criada

•

frame-relay interface-dlci dlei [ietf I cisco] Comando do modo de configuração de subinterface que liga ou

. -------------------------------------------------------------

••

correlaciona um DLCI à subinterface

. -------------------------------------------------------------

• •

Tabela 14-7 Referência aos Comandos EXEC do Capítulo 14

•

show interfaces [type number]

Mostra o estado da interface física Apresenta informações sobre o estado do PVC

•

show frame-relay pvc [interface

•

interface] [dlci]

•

show frame-relay lmi [type number]

Apresenta informações sobre estado do LMI

:

debug frame-relay lmi

Apresenta o conteúdo das mensagens LMI

•

debug frame-relay events

Apresenta mensagens relacionadas a certos eventos do Frame Relay, incluindo mensagens do ARP Inverso

•• ••

•• •• •• •• •• •

••• • ___________________________ • e ------------------------------- -

Este capítulo aborda os seguintes assuntos:

---------------------------------

• e

.•

Fundamentos de VPN: esta seção descreve os principais • objetivos e benefícios das VPNs. • VPNs IPsec: esta seção explica como a arquitetura do protocolo IPsec (lP Security) fornece os principais recursos necessários tanto para VPNs de acesso como para VPNs site-a-site. VPNs SSL: esta última seção examina o uso do protocolo SSL (Security Socket Layer) , que está incluído nos navegadores web mais comuns hoje em dia.

•• •

•• ••

•• •• •• •• •• •• •

•

•• •• •

CAPíTULO

15

: Redes privadas virtuais

• •• •• •• •• ••

. --------------------------------------------------------

• •

Uma empresa com um site principal e dez sites remotos poderia comprar dez linhas TI, uma para cada conexão entre o site central e cada um dos sites remotos. Uma solução de menor custo seria usar Frame Relay. No entanto, especificamente pelo fato de os sites remotos geralmente precisarem de acesso à Internet, é melhor ainda, para efeitos de custo, simplesmente conectar cada escritório à Internet e enviar o tráfego entre os sites através da Internet, usando-a como uma WAN. Infelizmente, a Internet nem chega perto das linhas privativas e do Frame Relay em termos de segurança. Por exemplo, para que um hacker consiga roubar uma cópia de frames de dados passando através de uma linha privativa, ele teria de se conectar fisicamente ao cabo, na maioria das vezes dentro de um prédio seguro, debaixo da rua ou na central telefônica da companhia telefônica: todas estas três ações podem resultar em prisão. Com a Internet, um hacker pode encontrar métodos menos intrusivos para obter cópias dos pacotes, sem sequer sair da frente de seu computador em casa, e com um risco bem menor ser pego e enviado à prisão. VPNs (Virtual Private Networks, ou Redes Privadas Virtuais) resolvem os problemas de segurança associados ao fato de usar a Internet como um serviço de WAN. Este capítulo explica os conceitos e a terminologia relacionados aos VPNs.

• Questionário "Eu já conheço isto"?

•

o questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Se você errar não mais que uma

• • • •

destas seis questões de auto-avaliação, você pode querer ir direto para a seção "Atividades de preparação para o exame". A Tabela 15-1 lista os principais tópicos deste capítulo e as questões do teste "Eu já conheço isto?" cobrindo o material destas seções. Isto ajudará você a avaliar seu conhecimento nestas áreas específicas. As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

•

Tabela 15-1 Mapeamento Entre a Seção dos Tópicos Fundamentais e as Questões do "Eu Já Conheço Isto?"

•

Seção dos Tópicos Fundamentais

Perguntas

•

•

Fundamentos de VPN

1-2

•

VPNs IPsec

3-5

•

VPNs SSL

6

• •

1. Qual dos seguintes termos se refere a uma VPN que usa a Internet para conectar os sites de uma única companhia, ao invés de usar linhas privativas ou Frame Relay?

•• •• • •• • •

a. Intranet VPN b. Extranet VPN c . VPN de Acesso d. Enterprise VPN 2. Qual(is) das seguintes opções não é(são) considerado(s) objetivo(s) relativo(s) à segurança desejável(is) para um VPN site-a-site? a. Verificação de integridade de mensagem b. Privacidade (criptografia)

380 Capítulo 15: Redes privadas virtuais c. Anti-vírus d. Autenticação 3. Qual(is) das seguintes funções poderia(m) ser executada(s) pelo Cabeçalho de Autenticação IP do IPsec? a. Autenticação b. Criptografia c. Verificação de integridade de mensagem d. Anti-reply 4. Qual das seguintes opções é considerado o melhor protocolo de criptografia para oferecer privacidade em um VPN IPsec, quando comparado às outras respostas?

a. AES b. HMAC-MD5

c. HMAC-SHA-l d. DES e. 3DES 5. Quais três opções seguintes seriam as opções mais comumente usadas hoje em dia para componentes VPN recémcomprados e instalados? a. ASA b. Firewall PIX c. Concentrador VPN d. Roteador Cisco e. Cliente VPN Cisco 6. Quando estiver usando a solução Web VPN da Cisco, com o cliente usando um navegador web normal sem nenhum software cliente especial, qual(is) das seguintes afirmações é(são) verdadeira(s)? a. O usuário cria uma conexão TCP com um servidor Web VPN usando SSL. b. Se o usuário se conectar a um servidor web normal dentro da empresa, e este servidor suportar somente HTTP, e não o SSL, estes pacotes passarão através da Internet sem serem criptografados. c. O servidor Web VPN se conecta a servidores web internos no lugar do cliente Web VPN, fazendo traduções entre HTTP e SSL conforme necessário. d. O cliente web VPN não pode se conectar sem ao menos um software SSL thin-client instalado no cliente.

Tópicos fundamentais Este capítulo possui três seções principais. A primeira seção introduz o conceito básico de um VPN. A segunda seção (e a maior delas) examina alguns dos detalhes da construção de VPNs usando as regras definidas nas RFCs de IPsec (IP Security). A última seção explica as idéias básicas a respeito de uma tecnologia VPN alternativa chamada SSL.

Fundamentos de VPN Linhas privativas possuem alguns recursos maravilhosos de segurança. O roteador em uma das extremidades conhece com certeza a identidade do dispositivo na outra extremidade do enlace. O roteador receptor também tem boas razões para crer que nenhum hacker viu os dados em trânsito, ou até mesmo os alterou para prejudicar alguém. As VPNs (Virtual Private Networks, ou Redes Privadas Virtuais) tentam oferecer os mesmos recursos de segurança oferecidos por linhas privativas. Em particular, VPNs oferecem o seguinte:

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2 .:;;~o

. -

•• •• •• •• •• •• ••

-Privacidade: Evita que alguém no meio da Internet (uma pessoa no meio), e que copie um pacote da Internet, seja capaz de ler os dados - Autenticação: Verifica se quem enviou o pacote VPN é um dispositivo legítimo, e não um dispositivo usado por um hacker - Integridade de dados: Verifica se o pacote não foi alterado enquanto o mesmo atravessava a Internet - Antireplay: Evita que uma pessoa no meio copie pacotes enviados por um usuário legítimo, e depois os re-envie mais tarde como se fosse um usuário legítimo

Para atingir tais objetivos, dois dispositivos nas extremidades da Internet criam uma VPN, às vezes chamado de túnel VPN. Estes dispositivos adicionam cabeçalhos ao pacote original, e estes cabeçalhos incluem campos que permitem aos dispositivos VPN executarem todas as funções. Os dispositivos VPN também criptografam o pacote IP original, o que significa que o conteúdo do pacote original se toma indecifrável para qualquer um que eventualmente veja uma cópia do pacote, à medida que o mesmo atravessa a Internet. A Figura 15-1 mostra a idéia geral daquilo que acontece tipicamente em um túnel VPN. A figura mostra uma VPN criada entre o roteador de um escritório remoto e um ASA (Adaptive Security Appliance) da Cisco. Neste caso, a VPN é chamada de VPN site-a-site porque conecta dois sites de uma determinada companhia. Esta VPN também é chamada de intranet VPN site-a-site porque conecta sites que pertencem a uma única companhia. Figura 15-1 Conceito de Túnel VPN para um Intranet VPN Site-a-Site

••

•• • •• •• •• •• •• •• •• •• ••

•

381

r---0rigem = 10.2.2.2 rDestino = 10.1.1.1

t

~ Pacote IP I:-

CD

Internet Site Central

Escritório Remoto

A figura mostra os seguintes passos, que explicam o fluxo geral na figura: 1. O host PCl (10.2.2.2) à direita envia um pacote ao servidor web (10.1.1.1), da mesma forma que o faria sem um VPN. 2. O roteador criptografa o pacote, adiciona alguns cabeçalhos VPN, adiciona outro cabeçalho IP (com endereços IP públicos) e encaminha o pacote. 3. Uma pessoa no meio copia o pacote, mas não consegue alterar o pacote sem ser notado, e não consegue ler o conteúdo do pacote. 4. ASA-l recebe o pacote, confirma a autenticidade do enviador, confirma que o pacote não foi alterado, e depois descriptografa o pacote original. 5. O servidor SI recebe o pacote descriptografado. São muitos os benefícios de se usar um VPN baseado em Internet, conforme mostrado na Figura 15-1. O custo de uma conexão Internet de alta velocidade é tipicamente muito menor, tanto em relação à linha privativa quanto em relação à WAN Frame Relay. A Internet aparentemente está em todos os lugares, fazendo com que este tipo de solução esteja disponível em qualquer parte do mundo. E, por usar as tecnologias e protocolos VPN, as comunicações são seguras.

•

382 Capítulo 15: Redes privadas virtuais NOTA O termo túnel se refere genericamente a qualquer pacote de protocolo que é enviado encapsulando-se o pacote dentro de outro pacote. O termo túnel VPN implica que o pacote encapsulado foi criptografado, enquanto que o termo túnel não diz se o pacote foi criptografado. VPNs podem ser construídas com uma grande variedade de dispositivos e para vários propósitos. A Figura 15-2 mostra um exemplo de três das principais razões para se construir uma VPN Internet hoje em dia.

Figura 15-2 Intranet, Extranet e VPNs de Acesso Site Central de Fredsco Escritório Remoto de Fredsco

Intranet VPN ••••• ~--"

..' .. ' .. '

.. .. '

'

........

Extranet VPN

PC2

VPN de Acessõ' - - __

Fornecedor de Fredsco

--PC3

Fred em Casa

Na parte superior da figura, o site central e o escritório remoto de uma empresa fictícia (Fredsco) estão conectados via intranet VPN. A parte central da figura mostra Fredsco se conectando a outra empresa que fornece partes para Fredsco, fazendo com que esta VPN seja uma extranet VPN. Finalmente, quando Fred leva seu laptop para casa ao final do dia e se conecta à Internet, a conexão VPN segura do laptop para a rede de Fredsco é chamada de VPN de acesso remoto, ou simplesmente VPN de acesso. Neste caso, o próprio laptop é o ponto final do túnel VPN, ao invés do roteador de acesso à Internet. A Tabela 15-2 resume os pontos-chave a respeito destes três tipos de VPNs.

/;~;;~o

Tabela 15-2 Tipos de VPNs

\ Chave

Tipo

Pr opósito Típico

Intranet

Conecta todos os computadores de dois sites de uma mesma organização, usando tipicamente um dispositivo VPN em cada site

Extranet

Conecta todos os computadores de dois sites de organizações diferentes, porém parceiras, usando tipicamente um dispositivo VPN em cada site

Acesso

Conecta usuários individuais de Internet à rede da empresa

000

Para construir uma VPN, um dispositivo em cada site precisa ter um hardware e/ou um software que entenda um determinado conjunto de padrões de segurança e protocolos VPN. Os dispositivos incluem o seguinte:

- Roteadores: Além de encaminhamento de pacotes, o roteador também pode disponibilizar funções VPN. O roteador pode ter placas adicionais especializadas que ajudam o roteador a efetuar as criptografias de modo mais rápido.

- ASA (Adaptive Security Appliances) : Principal dispositivo de segurança da Cisco que pode ser configurado para diversas funções de segurança, inclusive VPNs.

- FirewaUs PIX: A linha antiga de produtos frrewall Cisco que podem executar funções VPN, além de funcionarem como frrewall. Novas instalações hoje em dia usariam ASA, no lugar.

- Concentradores VPN: Linha antiga de produtos da Cisco, estes dispositivos fornecem uma plataforma de hardware que se comporta especificamente como uma extremidade de um túnel VPN. Novas instalações hoje em dia usariam ASA, no lugar.

• .•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• • •

• 0

,•

• •• • •

CCNA ICND2

383

- Cliente VPN: Para VPN s de acesso, o PC pode precisar executar as funções de VPN; o laptop precisa de software para executar estas funções, sendo este software chamado de cliente VPN. A seguir, serão examinados o uso de um conjunto de protocolos para criar VPNs, chamados de IPsec.

• VPNs IPsec

•• •• •• •• • •

IPsec é uma arquitetura ou framework para prover serviços de segurança em redes IP. O nome propriamente dito não é um acrônimo, mas uma versão resumida do título de uma RFC que o define (RFC 4301, Security Architecture for the Internet Protocol (Arquitetura de segurança para o protocolo de Internet)), genericamente chamado de IP Security ou IPsec. O IPsec define um conjunto de funções, por exemplo, de autenticação e criptografia, e algumas regras relativas a estas funções, No entanto, da mesma forma que a arquitetura do protocolo TCPIIP define diversos protocolos, alguns dos quais são alternativas um do outro, o IPsec permite o uso de várias opções diferentes de protocolos para cada recurso da VPN. Um dos pontos fortes do IPsec é que seu papel como sendo uma arquitetura permite que o mesmo seja adicionado e alterado ao longo do tempo, à medida que melhorias são feitas nos protocolos de segurança. As seções seguintes analisam os componentes do IPsec, começando pela criptografia, e seguido pela troca de chaves, integridade de mensagem e autenticação.

: Criptografia no IPsec

•• •• •• •• •

Além destas funções de certa forma óbvias, as duas fórmulas matemáticas foram escolhidas de modo que, se você interceptar o texto criptografado, mas não tiver a senha secreta (chamada de chave de criptografia), descriptografar este pacote seria muito difícil. Além disso, as fórmulas também foram escolhidas de modo que, se acontecer de um hacker conseguir descriptografar um pacote, esta informação não daria ao hacker nenhuma vantagem para descriptografar os outros pacotes.

• •

O processo de criptografar dados em uma VPN IPsec funciona em geral, como mostrado na Figura 15-3. Observe que a chave para criptografia também é conhecida como chave de sessão, chave compartilhada ou chave compartilhada de

• •

sessão. Figura 15-3 Processo Básico de Criptografia IPsec

·•

Se você ignorar a matemática - e ainda bem que você pode -, a criptografia IPsec não é muito difícil de se entender. A criptografia IPsec usa um par de algoritmos para criptografia, que são essencialmente fórmulas matemáticas que atendem a alguns requisitos. Em primeiro lugar, as duas fórmulas matemáticas são um conjunto complementar: - Uma para esconder (criptografar) os dados - Outra para recriar (descriptografar) os dados originais a partir dos dados criptografados

• /~~~;~o

•• •• •• •• ••

\Ch....

Host Receptor

Host Transmissor

". Chave da Sessão Pacote IP Original

Chave da Sessão

ca-

Pacote IP Original

10

i

ca-

E

1=

F' (Pacote IP, Chave da sessão)

1@

Dados Criptografados

!

F(Dados Criptografados, Chave da sessão) =Dados Descriptografados

I

Cabeçalho IP

®

r

I

Cabeçalho VPN

I

I

Dados

A

"'\

crlPlogratado~ ®

•

384 Capítulo 15: Redes privadas virtuais Os quatro passos em destaque na figura são os seguintes: 1. O dispositivo VPN transmissor (como o roteador do escritório remoto da Figura 15-1) insere o pacote original e a chave da sessão na fórmula para criptografia, calculando os dados criptografados. 2. O dispositivo transmissor encapsula os dados criptografados em um pacote, que inclui o novo cabeçalho IP e o cabeçalho VPN. 3. O dispositivo transmissor envia este novo pacote ao dispositivo VPN de destino (ASA-l na Figura 15-1). 4. O dispositivo VPN receptor executa a fórmula correspondente para descriptografar, usando os dados criptografados e a chave da sessão - o mesmo valor que foi usado no dispositivo VPN transmissor - para descriptografar os dados. O IPsec suporta diversas variações nos algoritmos para criptografia, algumas das quais foram simplesmente desenvolvidas mais recentemente e são melhores, enquanto que outras possuem outras vantagens no que se refere ao custo-benefício. Em particular, o comprimento das chaves tem certo impacto tanto na dificuldade dos hackers para descriptografar os dados, com chaves longas tomando isto mais difícil, como na desvantagem de geralmente exigir mais capacidade de processamento. A Tabela 15-3 resume várias destas opções e o comprimento das chaves.

Tabela 15-3 Comparando Algoritmos para Criptografia VPN

/;~~;~o

Algoritmo para Criptografia

'. Ch....

Comprimento da Chave (Bits) Comentários

....

DES (Data Encryption Standard, ou Padrão Criptografia de Dados)

56

Opção mais antiga e menos segura de que as demais listadas aqui

3DES (Triple DES, ou DES Triplo)

56 x 3

Aplica três tipos diferentes de chave DES de 56 bits sucessivamente, melhorando a intensidade da criptografia com relação ao DES

AES (Advanced Encryption Standard, ou Padrão Criptografia Avançada)

128 e 256

Considerada a melhor prática atual, com intensa criptografia e menor processamento que 3DES

Troca de chave no IPsec O uso de um valor comum de chave compartilhada (também chamada de chaves simétricas) para criptografia provoca um pequeno problema do ovo e da galinha: se ambos os dispositivos precisam conhecer o mesmo valor de chave antes que possam criptografar/descriptografar os dados, como os dois dispositivos poderiam enviar os valores de chave um para o outro através da rede, sem precisar ter de enviar as chaves na forma de texto puro, à mercê de serem roubadas por um hacker? O problema relacionado à distribuição de chave existe desde que a idéia de criptografia surgiu pela primeira vez. Uma opção simples, porém problemática, é usar PSK (Pre-Shared Keys, ou Chaves Pré-Compartilhadas), um termo elegante para a idéia de se configurar manualmente os valores em ambos os dispositivos. Com PSKs, você poderia simplesmente trocar as chaves entrando em contato com o engenheiro do site remoto, ou enviando uma carta ou (não faça isso em casa) enviando um e-maU não-seguro com o valor da chave. O problema com PSKs é que, mesmo que ninguém roube a chave compartilhada para criptografia, é apenas da natureza humana que os PSKs quase nunca seriam alterados. É como alterar sua senha em um site da web que nunca exige que você troque sua senha: você poderá nunca pensar nisso, ninguém fará com que você faça a troca, e você não quer ter de lembrar uma nova senha. No entanto, para melhorar a segurança, as chaves precisam ser alteradas ocasionalmente porque, embora os algoritmos de criptografia tomem difícil descriptografar os dados, é tecnicamente possível que um hacker descubra a chave, e então seja capaz de descriptografar o pacote. Protocolos para troca dinâmica de chave permitem trocas freqüentes das chaves para criptografia, reduzindo a quantidade de dados perdida de modo significativo, caso um hacker comprometa uma chave de criptografia. O IPsec, por ser uma arquitetura de segurança, utiliza uma troca dinâmica de chave através de um processo definido pela RFC 4306, e chamado de IKE (Internet Key Exchange, ou Troca de Chave na Internet). O IKE (RFC 4306) utiliza um processo específico chamado troca de chave DH (Diffie-Hellman), nomeado em homenagem aos inventores deste

•• •• •• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •• ••

•• • • •

•• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2

385

processo. A troca de chave DH resolve o problema do ovo e da galinha com um algoritmo que permite que os dispositivos criem e troquem chaves de modo seguro, evitando que qualquer um que possa ver as mensagens descubra o valor da chave. A principal opção para configuração da troca de chave DH é o comprimento das chaves usadas pelo processo de troca de chaves DH para criptografar as mensagens para troca de chave. Quanto mais longa a chave de criptografia a ser trocada, mais longa precisa ser a chave DH. A Tabela 15-4 resume as três opções principais: .......... Tabela 15-4 Opções DH Opção

Comprimento da Chave

DH-1

768 bits

DH-2

1024 bits

DH-3

1536 bits

( TópiCO \. Ch.".

....

• Autenticação e integridade de mensagem no IPsec

•• •

•• •• •• •• •• •• • •

O IPsec também possui diversas opções para o processo de autenticação e integridade de mensagem. A autenticação geralmente se refere ao processo através do qual um dispositivo VPN receptor pode confirmar se um pacote recebido foi realmente enviado por um parceiro VPN de confiança. Integridade de mensagem, às vezes chamada de autenticação de mensagem, permite que o receptor confirme que a mensagem não foi alterada em trânsito. Autenticação e verificação de integridade de mensagem no IPsec usam alguns dos mesmos conceitos gerais da criptografia e do processo de troca de chaves, de modo que este texto não entrará em muitos detalhes. No entanto, vale a pena entender o básico. Verificação de integridade das mensagens pode ser executado pelo protocolo AR (Authentication Header, ou Cabeçalho de Autenticação) do IPsec, usando o conceito de chave compartilhada (simétrica), como no processo de criptografia, mas usando uma função hash ao invés de uma função de criptografia. O hash funciona de modo similar ao conceito de FCS iframe check sequence) presente no trailer da maioria dos protocolos de enlace de dados, mas de maneira muito mais segura. O hash (um tipo de função matemática), com o nome formal de HMAC (Hashed-based Message Authentication Code), tem como resultado um número menor que pode ser armazenado em um dos cabeçalhos VPN. O transmissor calcula o hash e envia o resultado no cabeçalho VPN. O receptor recalcula o hash, usando uma chave compartilhada (o mesmo valor de chave em ambas as extremidades), e compara o valor calculado com o valor presente no cabeçalho VPN. Se os dois valores forem iguais, significa que os dados inseridos na fórmula pelo transmissor são iguais aos que forma inseridos na fórmula pelo receptor, portanto o receptor sabe que a mensagem não foi alterada no caminho. Essas funções de verificação de integridade com o HMAC usam tipicamente uma chave secreta que precisa ser pelo menos duas vezes mais longa que a chave de criptografia que criptografa a mensagem. Como resultado, diversas opções HMAC foram criadas ao longo dos anos. Por exemplo, o padrão MD5 (message digest algorithm 5) suportado há muito tempo, usa uma chave de 128 bits, permitindo que o mesmo suporte VPNs que usam chave de criptografia para DES, com comprimento de 56 bits.

NOTA Se o VPN usar ESP para criptografar os pacotes, a função HMAC para integridade de mensagem não é necessária porque o hacker teria de ter quebrado a chave de criptografia, antes que pudesse ter alterado o conteúdo da mensagem. O processo de autenticação usa o conceito de chave pública/privada similar à troca de chave DH, baseado na idéia de que um valor criptografado com a chave particular do enviador pode ser descriptografado com a chave pública do enviador. Como na verificação de integridade de mensagem, o enviador calcula um valor e o coloca no cabeçalho VPN, mas desta vez usando a chave privada do enviador. O receptor usa a chave pública do enviador para descriptografar o valor transmitido, comparando-o com o valor presente no cabeçalho. Se os valores forem idênticos, o receptor sabe que o transmissor é autêntico. A Tabela 15-5 resume alguns dos protocolos e ferramentas específicas disponíveis para autenticação e integridade de mensagens no IPsec.

------------------------------------------------------------------------------

386 Capítulo 15: Redes privadas virtuais Tabela 15-5 Opções para Autenticação e Integridade de Mensagem no IPsec Função

Método

Descrição

Integridade de mensagem

HMAC-MD5

HMAC-MD5 usa uma chave compartilhada de 128 bits, gerando um valor de hash de 128 bits

Integridade de mensagem

HMAC-SHA

HMAC-SHA (Secure Hash Algorithm) define tamanhos diferentes de chave (por exemplo, SHA-1 [160], SHA-256 [256], e SHA-512 [512]) para suportar tamanhos diferentes de chave para criptografia. É considerado melhor que MD5, mas exige mais tempo de processamento

Autenticação

Ambos os dispositivos VPN devem ser préChaves PréCompartilhadas configurados com a mesma chave secreta

Autenticação

Assinaturas digitais

Também chamado de assinaturas RSA (Rivest, Shamir e Adelman). O transmissor criptografa um valor com sua chave privada; o receptor descriptografa com a chave pública do transmissor e compara com o valor inserido no cabeçalho, pelo transmissor

Protocolos de segurança ESP e AH Para executar as funções VPN descritas neste capítulo, o IPsec define dois protocolos de segurança, com cada protocolo definindo um cabeçalho. Esses cabeçalhos estão mostrados de forma genérica, anteriormente na Figura 15-1 , como sendo o cabeçalho VPN. Estes cabeçalhos simplesmente fornecem um lugar para armazenar informações necessárias às várias funções VPN. Por exemplo, o processo de integridade de mensagem exige que o transmissor coloque o resultado de uma função hash no cabeçalho e transmita o cabeçalho (como parte da mensagem completa) ao dispositivo VPN receptor, que por sua vez usa o valor armazenado neste cabeçalho para completar a verificação de integridade da mensagem. Dois dos protocolos definidos pelo IPsec são o ESP (Encapsulating Security Payload) e o AR (lP Authentication Header). O ESP define regras para executar as quatro funções principais dos VPNs, conforme mencionados ao longo deste capítulo, e resumidos na Tabela 15-6. AR suporta duas facilidades, autenticação e integridade de mensagem. Um VPN IPsec em particular pode usar um dos dois cabeçalhos, ou ambos. Por exemplo, AH poderia fornecer a autenticação e a integridade de mensagem, e o ESP poderia fornecer a privacidade dos dados (criptografia).

Tabela 15-6 Resumo das Funções Suportadas por ESP e AH Recurso

Suportado pelo ESP?

Suportado pelo AH?

Autenticação

Sim (fraco)

Sim (forte)

Integridade de mensagem

Sim

Sim

Criptografia

Sim

Não

Antireplay

Sim

Não

Considerações sobre a implementação do IPsec VPNs IPsec disponibilizam uma conexão segura através da Internet que não é segura, de modo que os hosts possam se comportar como se estivessem conectados diretamente à rede corporativa. Para VPNs site-a-site, os hosts que são usuários finais não têm a mínima idéia de que uma VPN sequer exista, como seria o caso com uma linha privativa ou WAN Frame Relay. O usuário final pode usar qualquer aplicação, como se estivesse conectado à LAN do escritório principal.

•• •• •• •• •• •• •• •• •• ••

•• •• •• •• ••

•• •• •• •• •• •• •• ••

• •• •• •• •

•• •• •• •• •

CCNA ICND2

387

Usuários de VPN IPsec para acesso remoto têm as mesmas funções à disposição que os usuários de VPN site-a-site, fornecendo ao usuário o acesso a toda e qualquer aplicação permitida. No entanto, VPNs para acesso remoto exigem um certo esforço adicional, no sentido de que cada host precisa usar o software de cliente VPN da Cisco. Este software implementa os padrões IPsec no PC, ao invés de exigirem um suporte a VPN em um dispositivo separado. A instalação não é difícil, mas é um pequeno trabalho adicional em cada host, ao passo que, comparado a um VPN site-a-site implementado com um roteador da Cisco já instalado, o único requisito poderia ser uma atualização no lOS da Cisco. Para facilitar a instalação e a configuração de VPNs, a Cisco fornece um framework e um conjunto de funções chamado Easy VPN. O problema solucionado pelo Easy VPN pode ser facilmente compreendido se considerarmos o exemplo a seguir. Uma empresa possui 200 sites remotos com os quais ela deseja criar uma intranet VPN usando a Internet. Além disso, esta empresa quer conexões extranet VPN site-a-site para uma dúzia de parceiros. Finalmente, 2000 empregados possuem laptops, e todos eles, ao menos ocasionalmente, levam seus laptops para casa e se conectam na rede da empresa através da Internet. E, o IPsec possui diversas opções para cada função, exigindo configurações em cada site. O Easy VPN ajuda a resolver as dores de cabeça relativas à administração de um ambiente como este, permitindo que um servidor Cisco Easy VPN, tipicamente o dispositivo VPN do site central (por exemplo, um ASA), informe dinamicamente os dispositivos dos sites remotos a respeito de suas configurações VPN IPsec. Os dispositivos remotos - roteadores, ASAs, laptops com software de cliente VPN da Cisco e assim por diante - atuam como se fossem clientes Easy VPN, conectando-se ao servidor Easy VPN e baixando as opções de configuração. A seguir, a última seção deste capítulo examina rapidamente uma tecnologia VPN alternativa chamada SSL.

: VPNs SSL

•• •• •• •• •• •

•• •• •• •• •• •• ••

Todos os navegadores web comumente usados hoje em dia suportam um protocolo chamado SSL (Secure Socket Layer). Estes mesmos navegadores também suportam tipicamente um padrão conseqüente, embora menos conhecido, chamado TLS (Transport Layer Security) . Esta seção explica como o SSL pode ser usado para criar VPNs de acesso.

NOTA Ao invés de se referir a ambos, SSL e TLS, ao longo desta seção, o texto usará somente o termo SSL, mais popular. SSL e TLS não são protocolos realmente equivalentes, mas executam as mesmas funções e são iguais ao nível de detalhes descritos neste capítulo. Navegadores web usam o HTIP para se conectarem a servidores web. Porém, quando a comunicação com o servidor web precisa ser segura, o navegador alterna para o uso de SSL. O SSL usa a bem conhecida porta 443 , criptografando os dados trocados entre o navegador e o servidor, e autenticando o usuário. Então, as mensagens HTIP fluem através da conexão SSL. A maioria das pessoas já usou SSL, geralmente sem tomar conhecimento. Se você já usou um site da web na Internet, e precisou fornecer informações sobre cartões de crédito ou outras informações pessoais, o navegador provavelmente alternou para usar SSL. A maioria dos navegadores mostra um ícone que se parece com um cadeado, com o cadeado aberto quando não está usando o SSL e o cadeado fechado (trancado) quando está usando o SSL. Os servidores web podem escolher quando e como implementar o SSL. Pelo fato do SSL exigir mais trabalho, muitos servidores web simplesmente usam o HTTP para fornecer informações gerais, alternando para SSL somente quando o usuário precisa fornecer informações sigilosas, tais como credenciais para login e informações financeiras. No entanto, quando servidores web internos de uma empresa precisam enviar dados para um usuário em casa, do outro lado da Internet, ao invés de para um usuário em uma LAN local da empresa, o servidor pode precisar garantir a segurança de todas as comunicações com o cliente para impedir a perda de dados. A Cisco resolve alguns dos problemas relativos ao acesso interno da web para usuários baseados em Internet através de um recurso chamado Web VPN. De modo diferente dos VPNs IPsec, o Web VPN permite tipicamente apenas tráfego de web, em oposição a todo o tráfego. Porém, a grande maioria das aplicações das empresas hoje em dia já é acessível via web. Por exemplo, a maioria dos usuários finais precisa de acesso a aplicações internas, que são executadas em servidores web internos, e possivelmente acesso a servidores de e-mail. Se um usuário puder verificar seus e-mails através de um navegador web, a maioria, se não todas as funções necessárias a este usuário poderá ser executada a partir de um navegador web, e o Web VPN pode proporcionar uma solução razoável.

388

Capítulo 15: Redes privadas virtuais

o Web VPN toma segura uma conexão entre o usuário da empresa em casa com a rede da empresa, usando SSL entre o usuário final e um servidor Web VPN especial. A Figura 15-4 mostra a idéia geral.

Figura 15-4 Web VPN Usando SSL Site Principal de Fredsco Internet

_:b-_. ..... ...

HTTP Local ou Sessão SSL _-------~

.--

SSL - Entre o Navegador e o Servidor Web VPN

---------------------------------

---

-------~ Fred em Casa

Servidor Web VPNASA-1

Para usar Web VPN, o usuário que está na Internet abre qualquer navegador web e se conecta a um servidor Web VPN da Cisco. O servidor Web VPN pode ser implementado por diversos dispositivos, inclusive um ASA. Esta conexão usa o SSL para todas as comunicações, usando as capacidades para SSL embutidas no navegador web, de modo que todas as comunicações entre o cliente e o servidor Web VPN sejam seguras. O servidor Web VPN atua como um servidor web, apresentando uma página web de volta para o cliente. A página web apresenta as aplicações da empresa que estão disponíveis ao cliente. Por exemplo, ele pode listar todas as aplicações baseadas em web típicas da empresa, o servidor de e-mail baseado em web e outros serviços baseados em web. Quando o usuário selecionar uma opção, o servidor Web VPN se conectará ao serviço, usando HTIP ou SSL, conforme exigido pelo servidor. Então, o servidor Web VPN passará o tráfego HTIP/SSL para/do servidor real através da conexão somente SSL, de volta ao cliente na Internet. Como resultado, todas as comunicações através da Internet estarão seguras com o SSL. O ponto forte desta solução Web VPN reside no fato de que ela não exige nenhum software ou esforço especial por parte do cliente. Os empregados podem até usar seus computadores pessoais, o computador de outra pessoa ou qualquer computador conectado à Internet e se conectar ao nome do host do servidor Web VPN. A desvantagem do Web VPN é que ele permite somente o uso de um navegador web. Se você precisar usar uma aplicação que não pode ser acessada através de um navegador, você tem duas opções. Primeiro, você poderia implementar VPNs IPsec, como já discutido anteriormente. De modo alternativo, você poderia usar uma variação do Web VPN na qual o computador cliente carrega um thin client baseado em SSL, conceitualmente similar ao cliente VPN baseado em IPsec da Cisco, usado nos VPNs IPsec. O computador cliente poderia então se conectar ao servidor Web VPN usando o thin client, e o servidor Web VPN simplesmente passaria o tráfego do PC para a LAN local, permitindo o acesso como se o cliente estivesse conectado na rede principal da empresa.

Atividades de preparação para o exame

Revise todos os tópicos-chave Revise os tópicos mais importantes deste capítulo, assinalados com o ícone de tópicos-chave. A Tabela 15-7 lista estes tópicos-chave e onde cada um deles foi discutido. ..........

[ TópiCO

:. Chave

Tabela 15-7 Tópicos-Chave do Capítulo 15

....

Elemento do Tópico-Chave

Descrição

Número da Página

Lista

Recursos de segurança desejados em VPNs

381

Tabela 15-2

Três tipos de VPNs e seus propósitos típicos

382

Tabela 15-3

Partes significativas do processo de criptografia na VPN

383

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• • • •

CCNA ICND2

•

Tabela 15-3

Fatos a respeito dos três algoritmos para criptografia da VPN IPsec para criptografar todo o pacote

384

:

Tabela 15-4

Três opções para troca de chave DH e comprimentos de chave

385

•

Tabela 15-6

Resumo das funções suportadas pelos protocolos ESP e AR do IPsec

386

•• Complete as tabelas e listas usando a memória •• •• • Definição de termos-chave

389

Imprima uma cópia do Apêndice J, "Tabelas de memória", ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das tabelas de memória", inclui as tabelas e listas completadas para você conferir o seu trabalho.

•

•• ••

•• •• •• •

•• •

•• •• •• •• •• •• ••

Defina os seguintes termos-chave deste capítulo, e verifique suas respostas no glossário: chave compartilhada, cliente VPN, IPsec, SSL, troca de chave Diffie-Hellman, VPN, Web VPN.

•• •• •

Tópicos publicados do exame Cisco ICND2* abordados nesta parte

•• •• •• •• •• •• ••

•

Implementar um esquema de endereçamento IP e Serviços IP para atender aos requisitos de rede para a rede de um escritório remoto de uma Empresa de porte médio

•• ••

- Descrever os requisitos tecnológicos para executar o IPv6 (incluindo: protocolos, pilha dual, tunelamento etc .• - Descrever endereços IPv6

Implementar, verificar e resolver problemas de NAT e ACLs na rede de um escritório remoto de uma Empres. de porte médio. •

- Explicar a operação básica do NAT

• •

- Dados os requisitos para a rede, configurar o NAT (Network Address Translation, ou Tradução de Endereço. de Rede) usando CU - Resolver problemas relativos à implementação do NAT

*Sempre verifique o site http://www.cisco.com para ver os tópicos de exame colocados recentemente.

•• •• •• •• •• •• •

•• •• •• •• •• -

Parte V: Escalando o espaço de endereçamento IP

•• •• •· ----------------------------------------•• •• •• •• • Capítulo 16 Tradução de endereços de rede Capítulo 17 IP versão 6

•• •• •• •• •

•• •• •• •• •• •

•• •• ••

Este capítulo aborda os seguintes assuntos: Perspectivas a respeito da escalabilidade de endereçamento no IPv4: esta seção explica a necessidade mais significativa que direcionou o requisito para NAT nos idos dos anos 90. Conceitos de tradução de endereços de rede: esta seção explica como as diversas variações de NAT funcionam. Configuração e resolução de problemas de NAT: esta seção descreve como configurar o NAT, bem como a forma de usar os comandos show e debug para resolver problemas de NAT.

•• •• •• •• •• •• •• •• .'•• •• •• •• •• •• ••

•• •

•• •• •

•• •• CAPíTULO 16 •• : Tradução de endereços de rede ••

•• •• •• • •

•

Este capítulo introduz a Parte V, "Escalando o espaço de endereçamento IP" . Os dois capítulos desta parte do livro estão relacionados um ao outro porque explicam as duas soluções mais importantes para o que era um enorme obstáculo para o crescimento da Internet. O problema consistia no fato de que o espaço de endereçamento no IPv4 teria sido totalmente consumido por volta de meados da década de 90 sem nenhuma solução significativa. Uma das soluções de curto prazo mais significativas foi o NAT (Network Address Translation, ou Tradução de Endereços de Rede), que será o foco deste capítulo. A solução de longo prazo mais significativa é o IPv6, que ataca o problema tomando o espaço de endereçamento bem amplo. O IPv6 será coberto no próximo capítulo. Este capítulo começa com uma rápida cobertura do CIDR (Classless lnterdomain Routing), que ajuda os ISPs (Internet Service Providers, ou Provedores de Serviços da Internet) a administrarem o espaço de endereçamento IP, e o endereçamento IP privativo. A maior parte do restante deste capítulo explica os conceitos e as configurações relacionadas ao NAT.

: Questionário "Eu já conheço isto"?

•• ••

O questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Se você errar não mais que uma destas nove questões de auto-avaliação, você pode querer ir direto para a seção "Atividades de preparação para o exame". A Tabela 16-1 lista os principais tópicos deste capítulo e as questões do teste "Eu já conheço isto?" cobrindo o material destas seções. Isto ajudará você a avaliar seu conhecimento nestas áreas específicas. As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

•

Tabela 16-1 Mapeamento Entre a Seção dos Tópicos Fundamentais e as Questões do "Eu já conheço isto?"

•

Seção dos Tópicos Fundamentais

Perguntas

•

Perspectivas a respeito da escalabilidade de endereçamento no IPv4

1-3

•

Conceitos de tradução de endereços de rede

4-5

•

• ••

Configuração e resolução de problemas de NAT

6-9

•

1. O que significa CIDR?

• •• •• •• •• • •

a. Classful IP Default Routing b. Classful IP D-class Routing c. Classful Interdomain Routing

d. Classless IP Defaul t Routing e. Classless IP D-class Routing

f. Classless Interdomain Routing 2. Qual(is) das seguintes sub-redes resumidas representa(m) rotas que poderiam ter sido criados para atender ao objetivo do CIDR de reduzir o tamanho das tabelas de roteamento da Internet?

a. 10. O. O. O 255.255.255. O b. 10.1.0.0255.255.0.0

c. 200.1.1.0255.255.255.0 d. 200.1. O. O 255.255. O. O

394 Capítulo 16: Tradução de endereços de rede 3. Qual(is) das seguintes opções não (é)são endereço(s) privativo(s) de acordo com a RFC 1918? a. 172.31.1.1 b.172.33.1.1

c. 10.255.1.1 d. 10. 1. 2 5 5 . 1

e. 191.168.1.1 4. Com NAT estático, executando traduções somente para endereços internos, o que faz com que as entradas da tabela NAT sejam criadas? a. O primeiro pacote da rede interna para a rede externa b. O primeiro pacote da rede externa para a rede interna c. Configuração através do comando ip nat inside source d. Configuração através do comando ip nat outside source 5. Com NAT dinâmico, executando traduções somente para endereços internos, o que faz com que as entradas da tabela NAT sejam criadas? a. O primeiro pacote da rede interna para a rede externa b. O primeiro pacote da rede externa para a rede interna c. Configuração através do comando ip nat inside source d. Configuração através do comando ip nat outside source 6. O NAT foi configurado para traduzir endereços de origem de pacotes recebidos da parte interna da rede, mas somente para alguns hosts. Qual dos seguintes comandos identifica os hosts? a. ip nat

inside

seurce

Iist

1

peeI

b. ip nat peeI barney 200.1.1.1 c . ip nat

inside

d. ip nat

inside

200.1.1.1

barney

200.1.1.254

netmask

255.255.255.0

200.1.1. 2

e. Nenhuma das alternativas anteriores está correta. 7. O NAT foi configurado para traduzir endereços de origem de pacotes recebidos da parte interna da rede, mas somente para alguns hosts. Qual dos seguintes comandos identifica os endereços IP locais externos que serão traduzidos? a. ip nat inside source list 1 pool barney b. ip nat pool barney 200.1.1.1 200.1.1.254 netmask 255.255.255. O

c. ip nat inside d. ip nat inside 200.1.1.1 200.1.1.2

e . Nenhuma das alternativas anteriores está correta. 8. Examine os seguintes comandos de configuração: interface EthernetO/O ip address 10.1.1.1 255.255.255.0 ip nat inside interface Seria10/0 ip address 200.1.1.249 255.255.255 . 252 ip nat inside source list 1 interface SerialO/O access-list 1 permit 10.1.1.0 0.0.0.255

•• •• •• •• ••

•• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• •• •

•

•• •• •• •• ••

CCNA ICND2

395

Se o objetivo da configuração foi habilitar a sobrecarga de NAT origem, qual(is) dos seguintes comandos poderia(m) ser útil(eis) para completar a configuração? a. O comando ip nat outside b. O comando ip nat pat c. O termo overload d. O comando ip nat pool 9. Examine a saída do seguinte comando show em um roteador configurado para NAT dinâmico: -

Inside Source

access-list 1 pool fred refcount 2288 pool fred: netmask 255.255.255.240 start 200 .1.1 .1 end 200.1.1.7 type generic,

total addresses 7, allocated 7 (100%), misses 965

Usuários estão reclamando que não conseguem acessar a Internet. Qual das seguintes opções é a causa mais provável? a. O problema não está relacionado com o NAT, baseado nas informações da saída do comando. b. O pool do NAT não possui entradas suficientes para satisfazer todas as solicitações. c. A ACL 1 padrão não pode ser usada; uma ACL estendida deve ser usada. d. A saída do comando não fornece informações suficientes para identificar o problema.

: Tópicos fundamentais

••

••

•

• • • •

Este capítulo cobre os detalhes a respeito de NAT em três seções principais. A primeira seção explica os desafios ao espaço de endereçamento do IPv4 causados pela revolução da Internet nos anos 90. A segunda seção explica o conceito básico por detrás do NAT, como funcionam as diversas variações do NAT, e como a opção PAT (Port Address Translation, ou Tradução de Endereços de Porta) conserva o espaço de endereçamento no IPv4. A última seção mostra como configurar o NAT a partir do CU (command-line interface, ou interface de linha de comando) do software lOS da Cisco, e como resolver problemas de NAT. Para aqueles que estiverem seguindo o plano de leitura opcional no qual você se alterna entre este livro e o CCENT/ CCNA ICNDJ Official Exam Certification Guide (CCENT/CCNA ICNDl Guia oficial de certificação do exame), observe que o Capítulo 17 daquele livro também cobre NAT e PAT, com a configuração sendo feita a partir do SDM (Security Device Manager). Este capítulo cobre necessariamente alguns dos conceitos fundamentais, mas com descrições bem mais completas dos conceitos e da configuração.

: Perspectivas a respeito da escalabilidade de endereçamento • no IPv4

•• •• •• •• •• •

O projeto original da Internet exigia que cada organização solicitasse e recebesse um ou mais números de rede IP classful registrados. As pessoas administrando o programa garantiam que nenhuma das redes IP seriam reusadas. Desde que todas as organizações usassem apenas os endereços IP dentro de suas próprias numerações de rede registradas, os endereços IP nunca seriam duplicados, e o roteamento IP funcionaria de modo adequado. Conectar-se à Internet usando apenas um número de rede registrado, ou diversos números de rede registrados funcionou bem por um certo tempo. No início e até meados da década de 90, tomou-se evidente que a Internet estava crescendo tão rapidamente que todos os números de rede IP seriam atribuídos até a metade da década de 90! Levantaram-se preocupações no sentido de que as redes disponíveis seriam completamente atribuídas, e que algumas organizações não seriam capazes de se conectar à Internet. A principal solução de longo prazo para o problema de escalabilidade de endereços IP foi aumentar o tamanho do endereço IP. Este único fato foi a razão que mais contribuiu para o aparecimento da versão 6 do IP (IPv6). (A versão 5 foi definida bem antes, mas nunca foi implantada, de modo que a tentativa seguinte foi batizada de versão 6.) O IPv6 usa

396 Capítulo 16: Tradução de endereços de rede um endereço de 128 bits, ao invés do endereço de 32 bits do IPv4. Com o processo idêntico ou melhorado de atribuir faixas únicas de endereços para cada organização conectada à Internet, o IPv6 pode facilmente suportar todas as organizações e indivíduos do planeta, com o número de endereços IPv6 ultrapassando teoricamente 1038 • Foram sugeridas muitas soluções de curto prazo para o problema de endereçamento, mas três padrões trabalharam em conjunto para resolver o problema. Dois dos padrões trabalham juntos de maneira bem próxima: NAT (NetworkAddress Translation, ou Tradução de Endereços de Rede) e endereçamento privativo. Estas facilidades juntas permitem que as organizações usem internamente números de rede IP não registrados, e ainda assim consigam se comunicar bem com a Internet. O terceiro padrão, CIDR (Classless lnterdomain Routing), permite que os ISPs reduzam o desperdício de endereços IP atribuindo a uma companhia um subconjunto de um número de rede ao invés da rede toda. O CIDR também pode permitir que os ISPs façam sumarização de rotas, de modo que múltiplas redes Classes A, B ou C estejam associadas a uma única rota, o que ajuda a reduzir o tamanho das tabelas de roteamento da Internet.

CIDR O CIDR é uma convenção global para atribuição de endereços, que defme como o IANA (Internet Assigned Numbers Authority), suas agências membro e os ISPs devem atribuir o espaço de endereçamento IPv4 global e único a organizações individuais. O CIDR, defmido na RFC 4632 (http://www.ietf.org/rfc/rfc4632.txt).temdoisobjetivosprincipais.Primeiro. sua política diz que as opções para atribuição de endereços deve ajudar no processo de agregação (sumarização) de múltiplos números de rede em uma única entidade de roteamento, reduzindo o tamanho das tabelas de roteamento dos roteadores da Internet. O segundo objetivo é permitir que os ISPs atribuam a seus clientes faixas de endereços em tamanhos diferentes de redes Classes A, B ou C inteiras, reduzindo o desperdício, e adiando a data em que endereços IPv4 não estarão mais disponíveis para serem atribuídos a novas organizações e pessoas que querem se conectar à Internet. As seções seguintes explicam um pouco mais dos detalhes a respeito de cada um dos dois principais objetivos do CIDR.

Agregação de rotas para diminuir as tabelas de roteamento Um dos principais objetivos do CIDR é permitir agregar mais facilmente as rotas na Internet. Imagine um roteador na Internet com uma rota para cada rede Classe A, B e C do planeta! Existem mais de 2 milhões de redes Classe C! Se os roteadores da Internet tivessem que listar todas as redes c1assful em suas tabelas de roteamento, os roteadores teriam que ter um bocado de memória, e as buscas na tabela de roteamento iriam exigir um bocado de capacidade de processamento. Ao agregar rotas, menos rotas seriam necessárias na tabela de roteamento. A Figura 16-1 mostra um caso típico de como o CIDR poderia ser usado para consolidar rotas para várias redes Classe C em uma única rota. Na figura, imagine que o ISP 1 seja dono das redes Classe C de 198.0.0.0 a 198.255.255.0 (isto pode parecer estranho, mas estes são números válidos de redes Classe C). Sem o CIDR, todas as tabelas de roteamento dos outros ISPs teriam uma rota separada para cada uma das 2 16 redes Classe C que começassem com 198. Com o CIDR, conforme mostrado na figura, os roteadores dos outros ISPs possuem uma única rota para 198.0.0.0/8 - em outras palavras, uma rota para todos os hosts cujos endereços IP começam com 198. Existem mais de 2 milhões somente de redes Classe C, mas o CIDR tem ajudado os roteadores da Internet a reduzirem suas tabelas de roteamento a um tamanho mais bem administrável- por volta de pouco mais de 200.000 rotas no início de 2007.

..........

Figura 16-1 Uso Típico do CIDR

( Tópico

'. Chave

....

Rota para 198.0.0.0 Máscara 255.0.0.0 Aponta para ISP #1

Cliente #1 198.8.3.0/24 Rota para 198.0.0.0 Máscara 255.0.0.0 Aponta para ISP #1

Rota para 198.0.0.0 Máscara 255.0.0.0 Aponta para ISP #1

Cliente #3 198.1 .0.0

• •• •

.'••

••

•• •• •

•• •• •• •• •• • •• •• •• •• •• •

••

•• •• ••

•• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• • •• ••

CCNA ICND2

397

Ao usar um protocolo de roteamento que troca a máscara, bem como o número da sub-rede/rede, pode-se conseguir uma visão classless do número. Em outras palavras, trate o grupamento como se fosse um problema de matemática, ignorando as regras para Classes A, B e C. Por exemplo, 198.0.0.0/8 (198.0.0.0, máscara 255.0.0.0) defrne um conjunto de endereços cujos primeiros 8 bits são iguais ao decirnall98. O ISP 1 anuncia esta rota para os outros ISPs, que precisam de apenas uma rota para 198.0.0.0/8. Em seus roteadores, o ISP 1 sabe quais redes Classe C estão em quais sites de clientes. É desta forma que o CIDR dá aos roteadores da Internet uma tabela de roteamento que pode crescer bem mais - reduzindo o número de entradas nas tabelas. Para que o CIDR funcione como mostrado na Figura 16-1, os ISPs precisam estar no controle dos números de rede consecutivos. Atualmente, as redes IP são alocadas por autoridades administrativas nas várias regiões do mundo. As regiões, por sua vez, alocam faixas consecutivas de números de rede para determinados ISPs nestas regiões. Isto permite o resumo de diversas redes em uma única rota, como mostrado na Figura 16-1.

Conservação de endereços no IPv4 O CIDR também ajuda a reduzir as chances de se esgotarem os endereços IPv4 para novas companhias que querem se conectar à Internet. Além disso, o CIDR permite que um ISP aloque um subconjunto de uma rede Classe A, B ou C a um único cliente. Por exemplo, suponha que o cliente 1 do ISP 1 precise apenas de dez endereços IP e que o cliente 3 precisa de 25 endereços IP. O ISP 1 faz algo mais ou menos assim: ele atribui a sub-rede IP 198.8.3.16/28, com endereços disponíveis de 198.8.3.17 a 198.8.3.30, ao cliente 1. Para o cliente 3, o ISP 1 sugere 198.8.3.32/27, com 30 endereços disponíveis (198.8.3.33 a 198.8.3.62). O ISP atendeu às necessidades dos clientes e ainda não usou toda a rede Classe C 198.8.3.0. O CIDR ajuda a evitar o desperdício de endereços IP, reduzindo assim a necessidade de números de rede IP registrados. Ao invés de dois clientes consumindo duas redes Classe C inteiras, cada um consome uma pequena porção de uma única rede Classe C. Ao mesmo tempo, o CIDR, juntamente com uma administração inteligente dos números de rede consecutivos para cada ISP, permite que a tabela de roteamento da Internet suporte uma tabela de roteamento muito menor nos roteadores da Internet do que seria necessário, caso contrário.

Endereçamento IP privado Pode ser que alguns computadores nunca sejam conectados à Internet. Os endereços IP destes computadores poderiam ser cópias de endereços IP registrados na Internet. Quando a convenção para o endereçamento IP em tais redes estiver sendo planejada, uma organização poderia escolher e usar qual(is)quer número(s) de rede que quiser, e tudo funcionaria bem. Por exemplo, você pode comprar alguns roteadores, conectá-los em seu escritório, e configurar endereços IP na rede 1.0.0.0, e eles funcionariam. Os endereços IP que você usar podem ser cópias de endereços IP reais da Internet, mas se tudo o que você quiser fazer for aprender no laboratório de seu escritório, tudo estará bem. Quando estiver construindo uma rede privada que não terá nenhuma conexão com a Internet, você pode usar números de rede IP chamados de redes privadas (private intemets), conforme definido na RFC 1918, Address Allocation for Private Intemets (Alocação de endereços para redes privadas, http://www.ietf.orglrfc/rfcI918.txt). Esta RFC define um conjunto de redes que nunca serão atribuídas a nenhuma organização como sendo um número de rede registrado. Ao invés de usar números de rede registrados pertencentes a outras pessoas, você pode usar números em uma faixa que não é usada por mais ninguém na Internet pública. A Tabela 16-2 mostra o espaço de endereçamento privativo definido pela RFC 1918.

/;~;;~o

Tabela 16-2 Espaço de Endereçamento IP Privado da RFC 1918 Faixa de Endereços IP

Classe das Redes

Número de Redes

10.0.0.0 a 10.255.255.255

A

1

172.16.0.0 a 172.31.255.255

B

16

192.168.0.0 a 192.168.255.255

c

256

:.....cu".

Em outras palavras, qualquer organização pode usar estes números de rede. No entanto, nenhuma organização está autorizada a anunciar estas redes na Internet usando um protocolo de roteamento.

398 Capítulo 16: Tradução de endereços de rede Você deve estar imaginando por que você se preocuparia em reservar números privativos de rede especiais quando não importa se estes endereços estão duplicados. Bem, acontece que você pode usar o endereçamento privativo em uma conexão de rede e se conectar à Internet ao mesmo tempo, desde que você use o NAT (Network Address Translation, ou Tradução de Endereços de Rede). O restante deste capítulo analisa e explica o NAT.

Conceitos de tradução de endereços de rede O NAT, definido pela RFC 3022, permite que um host que não possua um endereço IP válido, registrado e globalmente único se comunique com outros hosts através da Internet Os hosts podem estar usando endereços privativos ou endereços que foram atribuídos a outra organização. Qualquer que seja o caso, o NAT permite que estes endereços que não podem ser usados prontamente na Internet continuem sendo usados, e permite aiDda a comunicação com hosts através da Internet O NAT consegue seu intento usando um endereço IP válido e registrado para representar o endereço privativo para o resto da Internet. A função do NAT muda os endereços IP privativos para endereços IP registrados publicamente dentro de cada pacote IP, como mostrado na Figura 16-2.

Figura 16-2 Troca de Endereço IP pelo NAT: Endereçamento Privativo

/~~~;~o

\ c.......

..•.

10.1.1.1 Origem

Destino

10.1.1.1

1170.1.1.1

Origem

Destino

1170.1.1 .1

10.1 .1.1

Origem

www.cisco.com 170.1.1.1 Destino

1 200 .1 .1.1 1 170 . 1 .1.1

•

Origem

Destino

•

1170.1.1.1 1200.1.1.1 111(

111(

Observe que o roteador executando NAT, muda o endereço IP origem do pacote quando o pacote sai da organização privada. O roteador executando NAT também altera o endereço de destino de cada pacote encaminhado de volta para dentro da rede privada (a rede 200.1.1.0 é uma rede registrada na Figura 16-2). A facilidade de NAT, configurada no roteador chamado NAT, executa a tradução. O Software lOS da Cisco suporta diversas variações de NAT. As próximas páginas a seguir cobrem os conceitos por detrás de várias destas variações. A seção depois disso cobre a configuração relacionada a cada opção.

NATestático O NAT estático funciona exatamente como no exemplo mostrado na Figura 16-2, mas com os endereços IP mapeados estaticamente um ao outro. Para ajudar você a compreender as implicações do NAT estático, e para explicar diversos termos-chave, a Figura 16-3 mostra um exemplo similar, com mais informações.

Figura 16-3 NAT Estático Mostrando Endereços Locais Internos e Globais Internos

ISA 10.1.1.1

lSA200.1.1.11

10.1.1.1 Internet

10.1.1.2 Endere o Privativo 10.1.1 .1 10.1.1.2

Ender o Público 200.1.1 .1 200.1.1.2

• •• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• • •• •• • • •

CCNA ICND2

399

Em primeiro lugar, o conceito: o ISP da companhia atribuiu a ela a rede registrada 200.1.1.0. Sendo assim, o roteador NAT deve fazer com que os endereços IP privativos pareçam estar na rede 200.1.1.0. Para fazer isso, o roteador NAT altera os endereços IP de origem nos pacotes indo da esquerda para a direita na figura.

Neste exemplo, o roteador NAT altera o endereço de origem ("EO" na figura), de 10.1.1.1 para 200.1.1.1. Com o NAT estático, o roteador NAT simplesmente configura um mapeamento de um-para-um entre o endereço privativo e o endereço registrado usado em seu lugar. O roteador NAT configurou estaticamente um mapeamento entre o endereço privativo 10.1.1.1 e o endereço público e registrado, 200.1.1.1.

•• •• •• •• •• •• •• ••• •

•• •• •

•• ••

•• •• • •• •

Suportar dois hosts IP na rede privada exige um segundo mapeamento estático de um-para-um, usando um segundo endereço IP da faixa de endereços públicos. Por exemplo, para suportar 10.1.1.2, o roteador mapeia estaticamente 10.1.1.2 para 200.1.1.2. Pelo fato da empresa ter uma única rede Classe C registrada, ela pode suportar até 254 endereços IP privativos com o NAT, tendo os dois números reservados de sempre (o número da rede e o endereço de broadcast da rede).

A terminologia usada com o NAT, particularmente com a configuração, pode ser um pouco confusa. Observe na Figura 16-3 que a tabela do NAT lista os endereços IP privativos como "privativo" e os endereços públicos registrados da rede 200.1.1.0 como "público". A Cisco usa o termo Local interno (inside local) para os endereços IP privativos neste exemplo, e global interno (inside global) para os endereços IP públicos. Na terminologia da Cisco, a rede da empresa que usa endereços privativos, e, sendo assim, precisa do NAT, é a parte "interna" (ou "in si de") da rede. O lado Internet da função NAT é a parte "externa" (ou "outside") da rede. Um host que precisa de NAT (como o 10.1.1.1 no exemplo) possui um endereço IP que ele usa dentro da rede, e precisa de um endereço IP que o represente fora da rede. Portanto, pelo fato do host precisar essencialmente de dois endereços diferentes para representá-lo, você precisa de dois termos. A Cisco chama o endereço IP privativo usado do lado de dentro da rede, de endereço local interno e o endereço usado para representar o host para o resto da Internet de endereço global interno. A Figura 16-4 repete o mesmo exemplo, com algumas das terminologias sendo apresentadas.

Figura 16-4 Terminologia do NAT Estático ~1~S_A_10_.1_.1_.1~1__~I

1L-ILs_A_20_0_ .1._1._1LI__~

/~~~;~o

. _-------------------------,.--------------------------------_._-----------_.---------""" "" "" Server "" 10.1.1.1

\~h.Y

•

':

Internet

.

"" "" " ________ )_Q.)~1~~ _________ j~" _________________________________________________________ _

Dentri

• •

l DA 10.1.1 .1

Local Interno 10.1.1.1 10.1.1.2

I

I

Fora

I DA 200.1.1.1 I

Global Interno 200.1.1.1 200.1 .1.2

A maior parte das configurações NAT típicas altera apenas o endereço IP dos hosts internos. Sendo assim, a tabela NAT atual apresentada na Figura 16-4 mostra os endereços locais internos e os endereços registrados globais internos correspondentes. No entanto, o endereço IP do host do lado de fora também pode ser alterado com o NAT. Quando isto acontece, os termos local externo (outside local) e global externo (outside global) denotam o endereço IP usado para representar este host na rede interna e na rede externa, respectivamente. A Tabela 16-3 resume a terminologia e seus significados.

400 Capítulo 16: Tradução de endereços de rede Tabela 16-3 Termos do Endereçamento NAT

/;~~;~o '. Chave

....

Local interno (inside local)

Em um projeto de NAT típico, o termo interno (inside) se refere a um endereço usado por um host dentro de uma empresa. Um local interno é o endereço IP atribuído a um host na rede privada da empresa. Um termo mais descritivo poderia ser privativo interno.

Global interno (inside global)

Em um projeto de NAT típico, o termo interno (inside) se refere a um endereço usado por um host dentro de uma empresa. O NAT usa um endereço global interno para representar um host interno quando o pacote é enviado para a rede externa, tipicamente a Internet. Um roteador NAT altera o endereço IP de origem de um pacote enviado por um host interno com um endereço local interno, para um endereço global interno, quando o pacote vai de dentro para fora da rede. Um termo mais descritivo poderia ser público interno porque, quando os endereços da RFC 1918 estiverem sendo usados em uma empresa, o endereço global interno representa o host interno com um endereço IP público que pode ser usado para fazer o roteamento na Internet pública.

Global externo (outside global)

Local externo (outside local)

Em um projeto de NAT típico, o termo externo (outside) se refere a um endereço usado por um host fora da empresa - em outras palavras, na Internet. Um endereço global externo é o endereço IP real atribuído a um host que fica na rede externa, tipicamente na Internet. Um termo mais descritivo poderia ser público externo porque um endereço global externo representa o host externo com um endereço IP público que pode ser usado para fazer o roteamento na Internet pública. O NAT pode traduzir o endereço IP externo - o endereço IP que representa o host fora da rede da empresa - embora esta não seja uma opção muito usada. Quando um roteador NAT encaminha um pacote de dentro para fora da rede, quando estiver usando o NAT para alterar o endereço externo, o endereço IP que representa o host externo na forma do endereço IP destino no cabeçalho do pacote é chamado de endereço IP local externo. Um termo mais descritivo seria privativo externo porque, quando endereços da RFC 1918 estiverem sendo usados em uma empresa, o endereço local externo representa o host externo com um endereço IP privativo da RFC 1918.

NAT dinâmico O NAT dinâmica possui algumas semelhanças e algumas diferenças quando comparado ao NAT estático. Como no NAT estático, o roteador NAT cria um mapeamento de um-para-um entre um endereço local interno e global interno, e muda os endereços IP dos pacotes à medida que eles saem e entram na rede interna. No entanto, o mapeamento de um endereço local interno para um endereço global interno acontece dinamicamente. O NAT dinâmico configura um pool de endereços globais internos possíveis e define um critério para determinar quais endereços IP locais internos devem ser traduzidos com o N AT. Por exemplo, na Figura 16-5, um pool de cinco endereços IP globais internos foram estabelecidos: 200.1.1.1 a 200.1.1.5. O NAT também foi configurado para traduzir qualquer endereço local interno que começe com 10.1.1.

• ••• •• •• •

•• •• •• •• •

•• •• •• •

•• •• •• •• •• •• •• •• •• •

• •• ••

CCNA ICND2

401

Figura 16-5 NAT Dinâmica

•• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •

•

,--,-IS_A_1_0.1_.1_.1---,-_---,1 I ISA 200.1 .1.1 I Fora

..

Dentro

................... -------- --------------------------------.-------------------------Ii

:

::

:

00 00

10.1.1.1

o

00 00 00

::

Internet 00 00 00 00 00 00

.1

:

________ .1_Q.) ~ 1"~ _________ J! __________________________________________________________ ~ NAT Antes do Primeiro Pacote Local Interno Global Pool NAT: Interno ~200 . 1 . 1 . 1 200.1 .1.2 Tabela NAT Após o Primeiro Pacote 200.1.1.3 Local Interno Global Interno 200.1.1.4 10.1.1.1 200.1 .1.1 200.1.1.5

Critério para Hosts Sujeitos à NAT: 10.1.1.0 -10.1.1.255

®

®

Os números 1,2,3 e 4 na figura se referem à seguinte seqüência de eventos: 1. O host 10.1.1.1 envia seu primeiro pacote ao servidor em 170.1.1.1. 2. Quando o pacote entra no roteador NAT, o roteador aplica algumas lógicas para decidir se o NAT deve ser aplicado ao pacote. Pelo fato da lógica ter sido configurada para casar os endereços IP que começam com 10.1.1 , o roteador adiciona uma entrada na tabela NAT para 10.1.1.1, como um endereço local interno. 3. O roteador NAT precisa alocar um endereço IP do pool de endereços globais internos válidos. Ele seleciona o primeiro disponível (200.1.1.1, neste caso) e o adiciona na tabela NAT para completar a entrada. 4. O roteador NAT traduz o endereço IP de origem e encaminha o pacote. A entrada dinâmica permanece na tabela enquanto o tráfego fluir ocasionalmente. Você pode configurar um valor de timeout que define quanto tempo o roteador deve esperar para remover uma entrada dinâmica, caso nenhum pacote seja traduzido com este endereço. Você também pode limpar manualmente as entradas dinâmicas da tabela através do comando c1ear ip nat translation *. O NAT pode ser configurado com mais endereços IP na lista de endereços locais internos do que no pool de endereços globais internos. O roteador aloca endereços do pool até que todos tenham sido alocados. Se um novo pacote chegar de algum outro host, e o mesmo precisar de uma entrada NAT, mas todos os endereços IP do pool estiverem sendo usados, o roteador simplesmente descartará o pacote. O usuário precisará tentar novamente até que ocorra timeout em uma entrada NAT, e neste ponto a função NAT funcionará para o próximo host que enviar um pacote. Essencialmente, o pool de endereços globais internos precisa ser tão grande quanto o número máximo de hosts concorrentes que precisam usar a Internet ao mesmo tempo - a menos que você use PAT, conforme será explicado na próxima seção.

Sobrecarregando o NAT com a Tradução de Endereços de Portas (PAT) Algumas redes precisam ter a maioria, senão todos os hosts acessando a Internet. Se esta rede usar endereços IP privativos, o roteador NAT precisará de um conjunto grande de endereços IP registrados. Com o NAT estático, para cada host com IP privativo que precisar acessar a Internet, você precisará de um endereço IP registrado publicamente, destruindo completamente o objetivo de reduzir o número de endereços IPv4 públicos necessários a esta organização. O NAT dinâmico reduz o problema até certo ponto porque raramente todos os hosts de uma rede precisariam se comunicar com a Internet ao mesmo tempo. Porém, se um grande percentual dos hosts IP de uma rede precisar de acesso à Internet ao longo do horário comercial normal da empresa, o NAT ainda precisará de um grande número de endereços IP registrados, falhando novamente em reduzir o consumo de endereços IPv4.

• o recurso de Sobrecarga de NAT (NAT Overload), também chamado de PAT (Port Address Translation, ou Tradução

•

de Endereços de Porta) resolve este problema. A sobrecarga permite que o NAT seja escalado para suportar vários

402 Capítulo 16: Tradução de endereços de rede clientes com apenas poucos endereços IP públicos. A chave para entender como a sobrecarga funciona é se lembrar de como os hosts usam as portas TCP e UDP (User Datagram Protocol). A Figura 16-6 detalha um exemplo que ajuda a tomar mais óbvia a lógica por detrás da sobrecarga. A parte superior da figura mostra uma rede com três hosts diferentes se conectando a um servidor web usando TCP. A parte inferior da figura mostra a mesma rede mais tarde, no mesmo dia, com três conexões TCP a partir do mesmo cliente. Todas as seis conexões se conectam ao endereço IP (170.1.1.1) e à porta (80, a famosa porta para serviços web) do servidor. Em cada caso, o servidor diferencia as diversas conexões porque as combinações entre seus endereços IP e números de porta são únicas. O NAT se utiliza da vantagem relativa ao fato de que os servidores não se importam se possuem uma conexão com cada um dos três hosts diferentes, ou três conexões para o endereço IP de um único host. Portanto, para suportar diversos endereços IP locais internos com apenas alguns endereços IP globais internos, registrados publicamente, a sobrecarga de NAT (PAT) traduz ambos os endereços e provavelmente os números de porta também. A Figura 16-7 apresenta esta lógica.

Figura 16-6 Três Conexões TCP: A Partir de Três Hosts Diferentes e A Partir de Um Host Três Conexões Apartir de Três PCs

,

10.1.1.1, Porta 1024

10.1.1.1

170.1.1.1, Porta 80

•

Servidor

10.1.1.2 170.1.1.1 10.1.1.3, Porta10

10.1.1.3

17 . .1.1, Porta 80

Três Conexões Apartir de Um PC

,

200.1.1.2, Porta1024

170.1.1 .1, Porta 80

•

Servidor

200.1.1.2, Porta10 Internet 200.1.1.2, Porta1 26

170.1.1.1 17 . .1.1, Porta 80

Figura 16-7 Sobrecarga NAT (PAT) 10.1.1.1

10.1 .1.2

10.1.1.3

.

10.1.1.1, Porta 1024 ~

.

•...

Servidor

200.1.1.2, Porta 1025 170.1.1.1, Porta 80

,

200.1.1.2, Porta 1026 170.1.1 .1, Porta 80

10.1.1.3, Porta 1033

/;~;;~o '. Chave

~

,

10.1.1.2, Porta 1024 (

. . .

200.1.1.2, Porta 1024 170.1.1 .1, Porta 80

~

,

170.1 .1.1

Tabela de NAT Dinâmica, com Sobrecarga Global Interno Local Interno 10.1.1 .1 :1024 200.1.1.2:1024 10.1.1 .2:1024 200.1.1.2:1025 200.1.1.2:1026 10.1.1.3:1033

Quando O PAT cria o mapeamento dinâmico, ele seleciona não apenas um endereço IP global inte[Ilo, mas também um número de porta único a ser usado com este endereço. O roteador NAT mantém uma entrada na tabela NAT para cada combinação única entre endereço IP local interno e porta, com a tradução para o endereço global interno e um número de porta único associado a este endereço global interno. E pelo fato do campo de número de porta ter 16 bits, a sobrecarga

• •• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2

•• •• •• •• •• •• • •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •

403

de NAT pode usar mais de 65.000 números de portas, permitindo que seja bem escalado sem a necessidade de muitos endereços IP registrados - em muitos casos, precisando somente de um endereço IP global externo. Dos três tipos de NAT cobertos neste capítulo até agora, o PAT é de longe a opção mais popular. Tanto o NAT Estático quanto o NAT Dinâmico exigem um mapeamento de um-para-um de um endereço local interno para um endereço global interno. O PAT reduz significativamente o número necessário de endereços IP registrados, se comparado a estas outras alternativas de NAT.

Traduzindo endereços sobrepostos As primeiras três opções de NAT explicadas nas seções anteriores são as mais prováveis de serem usadas na maior parte das redes. No entanto, existe ainda uma outra variação de NAT, uma que permite a tradução tanto do endereço IP de origem quanto do endereço IP de destino. Esta opção é particularmente útil quando duas redes utilizam faixas de endereços IP que se sobrepõem, por exemplo, quando uma organização não está usando endereçamento privativo, mas ao invés disso, está usando um número de rede registrado, pertencente a outra empresa. Se uma empresa usa inapropriadamente um número de rede que está corretamente registrado para outra empresa diferente, e ambas se conectam à Internet, o NAT pode ser usada para permitir que ambas as empresas se comuniquem com hosts na Internet, e uma com a outra. Para fazer isso, o NAT traduz tanto os endereços IP de origem quanto os endereços IP de destino, neste caso. Por exemplo, considere a Figura 16-8, na qual a empresa A usa uma rede que está registrada para a Cisco (170.1.0.0).

Figura 16-8 Troca de Endereços IP no NAT: Redes Não-Registradas Cliente (Empresa A)

170.1.1.10

www.cisco.com 170.1.1.1 Destino

Origem 1 200.1.1.1

170.1.1.1

-------------------.. Origem

Destino

.

1 170.1.1.1 1 200.1.1.1 Tabela NAT Após o Primeiro Pacote Global Interno

200.1.1.1

Local Externo

192.168.1.1

Global Externo

170.1.1.1

Com um espaço de endereçamento que se sobrepõe, um cliente na empresa A não pode enviar um pacote para o host com endereço IP legítimo 170.1.1.1- ou, se o fizer, o pacote não chegaria nunca ao 170.1.1.1 de verdade. Por quê? As tabelas de roteamento dentro da empresa (à esquerda) provavelmente possuem uma rota associada a 170.1.1.1 em sua tabela de roteamento. Para o host 170.1.1.10 na figura, o mesmo está na sub-rede na qual o 170.1.1.1 "privativo" estaria, portanto o host 170.1.1.10 nem mesmo tentaria encaminhar pacotes destinados a 170.1.1.1 para o roteador. Ao invés disso, ele encaminharia os pacotes diretamente ao host 170.1.1.1 , assumindo que o mesmo está na mesma LAN! O NAT pode resolver este problema, mas tanto os endereços de origem quanto os de destino devem ser alterados quando o pacote passar pelo roteador NAT. Na Figura 16-8, observe que o pacote original enviado pelo cliente possui um endereço de destino de 192.168.1.1. Este endereço, chamado de endereço local externo, representa o servidor fora da empresa. Externo significa que o endereço representa o host que está fisicamente "do lado de fora" da rede. Local significa que este endereço representa o host do lado privativo da rede. Quando o pacote passar pelo roteador NAT (da esquerda para a direita), o endereço de origem é alterado, exatamente como nos exemplos anteriores. Porém, o endereço de destino também será alterado, neste caso, para 170.1.1.1. O endereço de destino também é chamado de endereço global externo neste ponto, porque ele representa um host que está sempre fisicamente do lado de fora da rede, e o endereço é o endereço IP global, registrado publicamente e que pode ser roteado através da Internet.

404 Capítulo 16: Tradução de endereços de rede A configuração do NAT inclui um mapeamento estático entre o endereço IPreal (global externo), 170.1.1 .1, e o endereço IP privativo (local externo) usado para representá-lo dentro da rede privada - 192.168.1.1. Pelo fato do cliente iniciar uma conexão com o servidor à direita, o roteador NAT deve não apenas traduzir os endereços, mas também modificar as respostas do DNS (Domain Name System, ou Sistema de Nomes de Domínio). O cliente, por exemplo, executa uma solicitação de DNS para www.cisco.com. Quando a resposta do DNS chegar (da direita para a esquerda) de volta até o roteador NAT, a NAT irá alterar a resposta do DNS de modo que o cliente na empresa pensará que o endereço IP de www.cisco.com é 192.168.1.1. Hoje em dia, se houver opção, as empresas tendem simplesmente a usar o endereçamento privativo para evitar a necessidade de se traduzir ambos os endereços IP em cada pacote. Além disso, o roteador NAT precisa de uma entrada estática para cada servidor no número de rede em sobreposição - uma tarefa potencialmente trabalhosa. Ao usar endereços privativos, você pode usar o NAT para conectar a rede na Internet e reduzir o número necessário de endereços IP registrados, tendo que executar a função NAT somente para o endereço privativo de cada pacote. A Tabela 16-4 resume o uso da terminologia NAT na Figura 16-8. Tabela 16-4 Termos do Endereçamento NAT Conforme Usados na Figura 16-8 Termo

Valor na Figura 16-8

Local interno (Inside local)

170.1.1.10

Global Interno (inside global)

200.1.1.1

Global Externo (Outside global)

170.1.1.1

Local Externo (Outside local)

192.168.1.1

Configuração e resolução de problemas de NAT Nas seções seguintes, você vai ler a respeito de como configurar as três variações mais comuns de NAT: NAT estático, NAT dinâmico e PAT, além de ler a respeito dos comandos show e debug usados para resolver problemas de NAT.

Configuração do NAT estático A configuração do NAT estático, quando comparada com as outras variações de NAT, é a que exige menos passos para configuração. Cada mapeamento estático entre um endereço local (privativo) e um endereço global (público) deve ser configurado. Além disso, é necessário informar ao roteador em quais interfaces ele deve usar o NAT, porque o NAT não precisa estar habilitado em todas as interfaces. Em particular, o roteador precisa conhecer cada interface e saber se a interface é interna ou externa. A seguir, os passos específicos: . . ........ Passo 1 Configure as interfaces que estarão na parte interna do design do NAT usando o subcomando de interface ip •• nat mSlde. ....

: Tópico ~ Chave

Passo 2 Configure as interfaces que estarão na parte externa do design do NAT usando o subcomando de interface ip nat outside. Passo 3 Configure os mapeamentos estáticos usando o comando global de configuração ip nat inside source static inside-local inside-global. A Figura 16-9 mostra a rede familiar usada anteriormente neste capítulo na descrição do NAT estático, a qual também será usada nos primeiros exemplos de configuração. Na Figura 16-9, você pode notar que FredsCo obteve a rede Classe C 200.1.1.0 como um número de rede registrado. Toda a rede, com máscara 255.255.255.0 está configurada no enlace serial entre FredsCo e a Internet. Com um enlace serial ponto-a-ponto, apenas dois dos 254 endereços IP válidos desta rede serão consumidos, deixando 252 endereços disponíveis.

•

•• •• •• •

•• •• •• •• •• •• ••

•• •• •• •• •• •• •• •• •• •• ••

• •• ••

CCNA ICND2

405

Figura 16-9 Troca de Endereços IP no NAT: Redes Privativas

•• •• •• •• •• •

•• •• •• •• •• •• •• •

•• •

•• •• •• •• ••

Rede Registrada : 200.1.1.0

200. 1.1.251 FredsCo _........................................................................ -,_ ..... . . "

10.1.1.1

.1.252

"" " "" "::

Servidor

"

Internet

""

"" " ____________________________ _____________________________ _ __ ______ )_(L1"1~~ _________ ~: Fora

Dentro

Quando estiver planejando uma configuração NAT, você precisa encontrar alguns endereços IP a serem usados como endereços IP globais internos. Pelo fato destes endereços precisarem fazer parte de alguma faixa de endereços IP registrados, é muito comum se usar os endereços extras da sub-rede que conecta a empresa à Internet - por exemplo, os 252 endereços IP extras da rede 200.1.1.0, neste caso. O roteador também pode ser configurado com uma interface loopback e receber um endereço IP, que seja parte de uma faixa de endereços IP únicos e registrados globalmente. O Exemplo 16-1 mostra a configuração do NAT, usando 200.1.1.1 e 200.1.1.2 para os dois mapeamentos NATestáticos.

Exemplo 16-1 Configuração do NAT Estático NAT# show running-config

! Lines omitted for brevity

interface EthernetO / O ip address 10.1.1 . 3 255.255.255.0 i p nat inside

interface SerialO / O ip address 200 . 1.1.251 255.255.255.0

-

ip nat outside !

ip nat inside source static 1 0. 1.1.2 200 . 1.1. 2 ip nat inside source static 10.1.1.1 200 . 1.1 . 1 NAT# show ip nat translations Pro

Inside global

Inside local

2 00.1.1.1

10 . 1.1.1

2 00. 1.1.2

10.1.1.2

Outside local

NAT# show ip nat statistics Total activ e translat i ons: 2 (2 stat i c, O dynamic; O extended) Outside interfaces: SerialO / O Inside interfaces : EthernetO / O Hits: 100 Misses: O Expired translations: O Dynamic mappings:

Outside global

••

406 Capítulo 16: Tradução de endereços de rede Os mapeamentos estáticos foram criados através do comando ip nat inside source static. O termo inside significa que o NAT traduzirá endereços para hosts da parte interna da rede. O termo source significa que o NAT traduzirá o endereço IP de origem dos pacotes que chegarem em suas interfaces internas. O termo static significa que os parâmetros defmem uma entrada estática, que não deve ser removida nunca da tabela NAT por causa de timeout. Pelo fato do design exigir que dois hosts, 10.1.1.1 e 10.1.1.2 tenham acesso à Internet, dois comandos ip nat inside são necessários. Depois de criar as entradas NAT estáticas, o roteador precisa saber quais interfaces são "internas" e quais são "externas". Os subcomandos de interface ip nat inside e ip nat outside identificam cada interface adequadamente. Um par de comandos show apresenta as informações mais importantes sobre NAT. O comando show ip nat translations apresenta as duas entradas NAT estáticas criadas na configuração. O comando show ip nat statistics apresenta estatísticas, mostrando coisas como o número de entradas ativas na tabela de tradução neste momento. As estatísticas também incluem o número de ocorrências (bits), que é incrementado a cada pacote no qual o NAT precisou fazer a tradução de endereços.

Configuração do NAT dinâmico

•

Como você deve estar imaginando, a configuração do NAT dinâmico difere do NAT estático em alguns pontos, mas também possui semelhanças. O NAT Dinâmico também exige que cada interface seja identificada como sendo uma interface interna ou externa, mas obviamente, o mapeamento estático não é necessário. O NAT Dinâmico usa uma ACL (Access Control List, ou Lista de Controle de Acesso) para identificar quais endereços IP locais internos (privativos) precisam ter seus endereços traduzidos, e define um conjunto de endereços IP públicos registrados a serem alocados. A seguir, os passos específicos:

/;~;;~o Passo 1 Como acontece no NAT estático, configure as interfaces que estarão na parte interna do design do NAT \~h.ve usando o subcomando de interface ip nat inside. Passo 1 Como acontece no NAT estático, configure as interfaces que estarão na parte externa do design do NAT usando o subcomando de interface ip nat outside. Passo 3 Configure uma ACL que identifique os pacotes chegando nas interfaces internas, para os quais o NAT deve ser executada.

Passo 4 Configure o pool de endereços IP registrados publicamente através do comando de configuração global ip nat pool name first-address last-address mask subnet-mask. Passo 5 Habilite o NAT dinâmico fazendo referência à ACL (Passo 3) e ao pool (passo 4) através do comando de configuração global ip nat source tist acl-number pool pool-name. O próximo exemplo usa a mesma topologia de rede do exemplo anterior (veja a Figura 16-9). Neste caso, os mesmos dois endereços locais internos, 10.1.1.1 e 10.1.1.2 precisam de tradução. Os mesmos endereços globais internos usados nos mapeamentos estáticos do exemplo anterior, 200.1.1.1 e 200.1.1.2 serão inseridos no conjunto de endereços globais internos a serem atribuídos dinamicamente. O Exemplo 16-2 mostra a configuração, além de alguns comandos show.

Exemplo 16-2 Configuração do NAT Dinâmico NAT# show running-config

! Lines omitted for brevity

interface EthernetO / O ip address 10.1 . 1.3 255.255.255.0 1-

ip na t inside

I~

interface Seria10 / 0 ip address 200.1.1.251 255.255.255.0

-

ip n a t o utside

ip na t poo1 fr ed 2 0 0.1.1 . 1 200. 1 .1.2 ne tmask 255 . 25 5. 2 5 5.2 5 2

!

•• •• •• •• •• •• •• •• •

•• •• •• •

•• •• •

•• •• •• •• •• •• ••

• •• ••

•• •• •• •• •• •• •

•• •• •• •• •• •• •• •

•• •• •• •• •• ••

CCNA ICND2

407

ip nat inside source list 1 p ool f red

access-list 1 permit 10.1.1.2 access- l ist 1 permit 10.1.1.1 ! The next cornrnand lists one empty line because no entries have been dynamically ! created yet.

NAT# show ip nat trans1ations NAT# show ip nat statistics Total activ e translations: O (O static, O dynami c; O extended) Outside interfaces: SerialO/O Inside interfaces : EthernetO/O Hits: O Misses : O Expired translations:

O

Dynamic mappings: -

- Inside Source

access-list 1 pool fred refcount O pool fred: netmask 255.255.255.252 star t 200.1.1 . 1 end 200.1.1.2 type generic , total addresses 2, allocated O ( 0%) , misses O

A configuração do NAT dinâmico inclui um pool de endereços globais internos, além de uma lista de acesso IP para defInir os endereços locais internos para os quais o NAT será executado. O comando ip nat pool apresenta o primeiro e o último número de uma faixa de endereços globais internos. Por exemplo, se o pool precisasse de dez endereços, o comando teria listado 200.1.1.1 e 200.1.1.10. O parâmetro netmask necessário executa um certo tipo de verifIcação na faixa de endereços. Se a faixa de endereços não estiver na mesma sub-rede assumindo que o netmask configurado foi usado, o lOS irá rejeitar o comando ip nat pool. Neste caso, a sub-rede 200.1.1.0, máscara 255.255.255 .252 (o netmask configurado) iria incluir 200.1.1.1 e 200.1.1.2 na faixa de endereços válidos, portanto o lOS aceitaria este comando. Como no NAT estático, o NAT dinâmico usa o comando ip nat inside source. De modo diferente do NAT estático, a versão deste comando no NAT dinâmico faz referência ao nome do pool NAT a ser usado para os endereços globais internos - neste caso, fred. Este comando também faz referência a uma IPACL, que defIne a lógica para casar os endereços IP locais internos. O comando ip nat inside source tist 1 pool fred mapeia hosts que casam com a ACL 1, com o pool chamado fred, que foi criado através do comando ip nat pool fred. O Exemplo 16-2 termina com um par de comandos show que confIrmam que o roteador ainda não possui nenhuma entrada na tabela de tradução NAT. No começo, os comandos show ip nat translations e show ip nat statistics não apresentam nada ou apresentam informações mínimas de confIguração. Neste ponto, nem o host 10.1.1.1 , nem o 10.1.1.2 ainda não enviou nenhum pacote, e o NAT não criou nenhuma entrada dinâmica na tabela NAT ou traduziu endereços de qualquer pacote. O comando show ip nat statistics no [mal do exemplo apresenta algumas informações para resolução de problemas que são particularmente interessantes, com dois contadores diferentes chamados de "misses" (ou perdas), que estão destacados no exemplo. A primeira ocorrência deste contador conta o número de vezes que um novo pacote chegou, precisando de uma entrada NAT, e não encontrou nenhuma. Neste ponto, o NAT dinâmico reage e monta uma entrada. O segundo contador de perdas no fInal da saída do comando apresenta o número de perdas no pool. Este contador é incrementado somente quando o NAT dinâmico tenta alocar uma nova entrada na tabela NAT e não encontra nenhum endereço disponível, de modo que o pacote não pode ser traduzido - fazendo com que provavelmente, o usuário fInal não consiga acessar sua aplicação. Para ver o contador de perdas e vários outros fatos interessantes, o Exemplo 16-3 continua o exemplo iniciado no Exemplo 16-2. Este exemplo mostra os resultados quando os hosts 10.1.1.1 e 10.1.1.2 começaram a criar conexões TCP, neste caso com Telnet. Este exemplo continua a partir de onde o Exemplo 16-2 parou.

408 Capítulo 16: Tradução de endereços de rede Exemplo 16-3 Verificando uma Operação Normal do NAT Dinâmico

•

•• •• •• •• •• •• •• •• •• •• •

~--------------------------------------------------~ . ! A Telnet from 10.1.1.1 to 170.1.1.1 happened next; not shown 1-

NAT# show ip nat statistics Total active translations: 1 (O static, 1 dynamic; O extended) Outside interfaces: SerialO/O Inside interfaces: EthernetO /O Hits: 69 Misses: 1 Expired translations: O Dynamic mappings: -

- Inside Source

access-list 1 pool fred refcount 1 pool fred: netmask 255.255.255.252 start 200 . 1.1.1 end 200.1.1.2 type generic, total addresses 2, allocated 1 (50%), misses O NAT# show ip nat trans1ations Pro

Inside global

Inside local Outside local Outside global

200 .1.1.1

10.1.1.1

NAT# c1.ar ip nat trans1ation *

I~

1-

! telnet from 10.1.1.2 to 170.1.1.1 happened next;

not shown

NAT# show ip nat trans1ations Pro Inside global Inside local Outside local Outside global -

1-

200.1.1.1 10.1.1.2 - -

! Telnet from 10.1.1.1 to 170.1.1.1 happened next;

not shown

1-

NAT# debug ip nat IP NAT debugging is on 01:25:44: NAT:

s=10.1.1.1->200.1.1.2, d=170.1.1.1

01:25:44: NAT:

s=170.1.1.1, d=200.1.1.2->10 . 1.1.1 [8228]

01:25:56: NAT:

s=10.1.1.1->200.1.1.2, d=170.1.1.1

01:25:56 : NAT: s=170.1.1.1,

[45119]

[45120]

d=200.1.1.2->10 .1. 1.1 [O]

o exemplo começa com o host 10.1.1.1 fazendo telnet para 170.1.1.1 (não foi mostrado), com o roteador NATcriando uma entrada NAT. A tabela NAT mostra uma única entrada, mapeando 10.1.1.1 para 200.1.1.1. Observe que o primeiro contador de perdas do comando show ip nat statistics apresenta 1 perda, o que significa que o primeiro pacote da conexão TCP do host 10.1.1.1 para 170.1.1.1 ocorreu e o roteador não encontrou uma entrada na tabela NAT, fazendo com que o contador fosse incrementado. O contador de perdas no final da saída não foi incrementado porque o roteador foi capaz de alocar um membro do pool e adicionar uma entrada na tabela NAT. Observe também que a última linha apresenta estatísticas a respeito do número de membros alocados do pool (1) e o percentual do pool em uso no momento (50%). Ocorre um timeout para a entrada na tabela NAT após um período de inatividade. No entanto, para forçar uma entrada a sair da tabela, o comando clear ip nat translation * pode ser usado. Como mostrado na Tabela 16-7 no final deste capítulo, este comando possui diversas variantes. O Exemplo 16-3 usa a opção de força bruta - clear ip nat translation * que remove todas as entradas da tabela da NAT dinâmica. O comando também pode apagar entradas individuais se fizer referência aos endereços IP.

•• •• ••

•• •• •• '.•• •• •• ••

• • • •

CCNA ICND2

409

Depois de apagar a entrada NAT, o host 10.1.1.2 faz telnet para 170.1.1.1. O comando show ip nat translations agora mostra um mapeamento entre 10.1.1.2 e 200.1.1.1. Pelo fato de 200.1.1.1 não estar mais alocado na tabela NAT, o roteador NAT pode alocá-lo na próxima solicitação de NAT. (O lOS da Cisco tende a pegar o menor endereço IP disponível quando está escolhendo o próximo endereço IP do pool.)

• • • • •

•

E por último, ao final do Exemplo 16-3, você pode ver que o host 10.1.1.1 fez um telnet para outro host da Internet, e pode ver também a saída do comando debug ip nat. Este comando de debug faz com que o roteador gere uma mensagem a cada vez que um pacote tiver seu endereço traduzido pelo NAT. Você gera os resultados de saída entrando com algumas linhas através da conexão Telnet de 10.1.1.1 para 170.1.1.1. Observe que a saída implica na tradução de 10.1.1.1 para 200.1.1.2, mas não implica em nenhuma tradução do endereço externo.

• Configuração de sobrecarga do NAT (Configuração do PAT)

• • • •

A Sobrecarga de NAT, conforme mencionado anteriormente, permite que o NAT suporte vários endereços IP locais internos com apenas um ou poucos endereços IP globais internos. Por traduzir essencialmente o endereço IP privativo e o número da porta para um único endereço global interno, mas com número de porta único, o NAT pode suportar vários bosts privativos (mais de 65.000) com apenas um único endereço global público.

•

Existem duas variações de configuração do PAT no lOS. Se o PAT usar um pool de endereços globais internos, a configuração se parecerá exatamente com o NAT dinâmico, exceto pelo fato do comando global ip nat inside source list ter o termo overload adicionado no final. Se o PAT precisar usar somente um endereço IP global interno, o PAT pode usar um de seus endereços IP de interface. Pelo fato do NAT poder suportar mais de 65.000 fluxos correntes com um único.end:reço global interno, um único endereço IP público pode atender a demanda relativa ao NAT de toda uma orgaruzaçao .

• • • •

• ...~ seguinte lista de verificação detalha a configuração quando um pool NAT estiver sendo usado:

. 6p!co .•.. have

Use os mesmos passos para configurar o NAT dinâmico, conforme apresentado na seção anterior, mas inclua o termo overload ao [mal do comando global ip nat inside source list.

:

A lista de verificação a seguir detalha a configuração quando um endereço IP de interface estiver sendo usado como o único endereço IP global interno:

•

Passo 1 Da mesma forma que no NAT dinâmico e no NAT estático, configure as interfaces internas usando o subcomando de interface ip nat inside.

~;~~;~o

~hav.

- " •

••

•• • •

•• •• •• •• ••

Passo 2 Da mesma forma que no NAT dinâmico e no NAT estático, configure as interfaces externas usando o subcomando de interface ip nat outside. Passo 3 Da mesma forma que no NAT dinâmico, configure uma ACL que case os pacotes vindos das interfaces internas. Passo 4 Configure o comando de configuração global ip nat source list acl-number interface interface name/ number, referenciando a ACL criada no Passo 3 e a interface cujo endereço IP será usado nas traduções.

O Exemplo 16-2 mostra uma configuração de NAT dinâmico. Para convertê-la em uma configuração de PAT, o comando ip nat inside source list pool fred overload deveria ser usado no lugar, simplesmente adicionando o termo overload. O próximo exemplo mostra a configuração do PAT usando um único endereço IP de interface. A Figura 16-10 mostra a mesma rede familiar, com algumas mudanças. Neste caso, o ISP atribuiu a FredsCo um subconjunto da rede 200.1.1.0: a sub-rede CIDR 200.1.1.248/30. Em outras palavras, esta sub-rede possui dois endereços que podem ser usados: 200.1.1.249 e 200.1.1.250. Estes endereços são usados em qualquer uma das extremidades do enlace serial entre FredsCo e seu ISP. A facilidade de NAT no roteador de FredsCo traduz todos os endereços NAT para seu endereço IP serial 200.1.1.249. No Exemplo 16-4, que mostra a configuração do NAT sobrecarregado, o NAT faz a tradução usando somente o endereço global interno 200.1.1.249, de modo que o pool do NAT não é necessário. Neste exemplo, conforme implícito na Figura 16-10, o host 10.1.1.1 cria duas conexões Telnet, e o host 10.1.1.2 cria uma conexão Telnet, fazendo com que três entradas do NAT dinâmico sejam criadas, todas elas usando o endereço global interno 200.1.1.249, mas cada uma com um número de porta único.

410

Capítulo 16: Tradução de endereços de rede

Figura 16-10 Sobrecarga do NAT e PAT Sub-rede Registrada: 200.1.1.248, Máscara 255.255.255.252

~~~~~ :~.:.:: ..

.. m

m

.rr~.tr2~":met

m

.m.. m

.... m

.. m

.... m

..

NÂ

.'.'.'.'.' .' .'

________ .1_Q.)" 1 "~ ___ ______ ~ : ___ __________ ______________________ ____ __ __ __ __ __ ________ _

Dentro

Fora Local Interno

Global Interno

10.1 .1 .1 :3212 10.1.1.1 :3213 10.1.1.2:38913

200.1 .1.249:3212 200.1.1.249:3213 200.1.1.249:38913

Exemplo 16-4 Configuração de Sobrecarga do NAT

Lines Omitted for Brevity

•• •• •• •• •• ••

interface EthernetO / O ip address 10.1.1.3 255.255.255.0 ip nat inside

interface SerialO / O ip address 200.1.1.249 255.255.255.252 ip nat outside

ip nat inside source list 1 interface SerialO/O overload

access-list 1 permit 10 . 1.1.2 access-list 1 permit 10.1.1.1

NAT# show ip nat translations Pro Inside global

Inside local

Outside local

Outside global

tcp 200.1.1.249:3212

10.1.1 . 1:3212

170.1.1.1:23

170.1.1.1:23

tcp 200.1.1 . 249:3213

10.1.1.1:3213

170.1.1.1:23

170 . 1.1.1:23

170.1.1.1:23

170 . 1.1.1:23

NAT# show ip nat statistics Total active translations: 3 (O static, 3 dynamic; 3 extended) Outside interfaces: SerialO / O Inside interfaces: EthernetO/O Hits : 103 Misses: 3

•• •• •• •• ••

••

NAT# show running-config

tcp 200.1.1.249 : 38913 10.1.1 . 2:38913

• •• •• •• ••

•• •• •• •• •• •

CCNA ICND2 Expired transla t ions:

411

o

Dynamic mappings: -

- Inside Source

access-list 1 interface SerialO/O refcount 3

• o comando ip

•

nat inside source tist 1 interface serial 0/0 overload possui diversos parâmetros, mas se você entendeu a configuração do NAT dinâmico, os novos parâmetros não deverão ser muito difíceis de se entender. O parâmetro tist 1 significa o mesmo que no NAT dinâmico: endereços IP locais internos que casarem com ACL 1 terão seus endereços traduzidos. O parâmetro interface serial 0/0 significa que o único endereço IP global interno disponível é o endereço IP da interface serial O/O do roteador NAT. E por último, o parâmetro overload significa que a sobrecarga foi habilitada. Sem este parâmetro, o roteador não executará a sobrecarga, mas apenas o NAT dinâmico.

• • •

Como você pode ver na saída do comando show ip nat translations, três traduções foram adicionadas na tabela NAT. Antes deste comando, o host 10.1.1.1 tinha criado duas conexões Telnet para 170.1.1.1, e o host 10.1.1.2 tinha criado uma única conexão Telnet. Três entradas foram criadas, uma para cada combinação única entre endereço IP local interno e porta.

• • •

• Resolução de problemas de NAT

• •

• • • • •

As três primeiras partes principais deste livro dedicam um capítulo inteiro para resolução de problemas. Em cada uma destas partes, os capítulos cobrem uma ampla variedade de tópicos relacionados aos assuntos técnicos cobertos em cada capítulo. Os capítulos relativos à resolução de problemas (3, 7 e 11) explicam os detalhes para resolver problemas em cada área da tecnologia, mas também ajudam a relacionar alguns conceitos. A maior parte das questões relativas à resolução de problemas de NAT tem a ver com fazer a configuração correta. A lista a seguir resume algumas das dicas e lembretes a respeito de como encontrar os principais problemas de configuração do NAT. Após a lista, o texto explica um problema de roteamento comum que pode fazer com que o NAT não funcione, e que está relacionado principalmente com garantir que a configuração esteja correta. Certifique-se de que a configuração inclui o subcomando de interface ip nat inside ou ip nat outside. Estes comandos habilitam o NAT nas interfaces, e a designação inside/outside é importante.

, ....Ico

•••

•• •• •

••

•• •• •• •• •• •

-

No NAT estático, certifique-se de que o comando ip nat source static apresenta o endereço local interno primeiro, e o endereço IP global interno depois. No NAT dinâmico, certifique-se de que a ACL configurada para casar os pacotes enviados pelo host interno case os pacotes deste host, antes que qualquer tradução NAT tenha ocorrido. Por exemplo, se um endereço local interno de 10.1.1.1 deve ser traduzido para 200.1.1 .1, certifique-se de que a ACL case o endereço de origem 10.1.1.1 , não 0200.1.1.1.

-

No NAT dinâmico sem PAT, certifique-se de que o pool possua endereços IP suficientes. Sintomas de que não existem endereços suficientes incluem um valor crescente no segundo contador de perdas na saída do comando show ip nat statistics, bem como ver todos os endereços da faixa definida no pool do NAT na lista de traduções dinâmicas.

-

Com PAT, é fácil esquecer de adicionar a opção overload no comando ip nat inside source tist. Sem ele, o NAT funciona, mas o PAT não, geralmente fazendo com que os pacotes dos usuários não sejam traduzidos, e os hosts não consigam acessar a Internet.

-

Talvez o PAT tenha sido configurado corretamente, mas existe uma ACL em uma das interfaces descartando os pacotes. Note que o lOS processa as ACLs antes do NAT para os pacotes que estiverem entrando na interface, e após a tradução dos endereços para pacotes saindo da interface.

Por último, a função NAT em um roteador pode ser impactada por um problema de roteamento que ocorre em outro roteador. Os roteadores do lado de fora da rede, geralmente da Internet, precisam ser capazes de rotear pacotes para os endereços IP globais internos configurados no roteador NAT. Por exemplo, a Figura 16-4, anteriormente neste capítulo, mostra o fluxo de pacotes de dentro para fora, e de fora para dentro. Focando no fluxo de fora para dentro, os roteadores da Internet precisariam saber como rotear pacotes para o endereço IP público e registrado 200.1.1.1. Tipicamente, esta faixa de endereços seria anunciada por um protocolo de roteamento dinâmico. Portanto, se uma revisão da configuração do NAT mostrar que a mesma parece estar correta, observe as rotas tanto no roteador NAT, como nos outros roteadores para garantir que os roteadores podem encaminhar os pacotes, baseado nos endereços usados em ambos os lados do roteador executando a função NAT.

• ---------------------------------------------------------- • . •• • 412

Capítulo 16: Tradução de endereços de rede

Atividades de preparação para o exame

Revise todos os tópicos-chave

Revise os tópicos mais importantes deste capítulo, assinalados com o ícone de tópicos-chave. A Tabela 16-5 lista estes . tópicos-chave e onde cada um deles foi discutido. Além disso, tenha em mente que todas as listas de verificação para configuração devem ser revistas e seus conteúdos estudados, mas você não precisa memorizar os números dos passos • ou a ordem - elas são apenas ferramentas convenientes para você se lembrar de todos os passos. .......... • {TÓPICO .

Tabela 16-5 Tópicos-Chave do Capítulo 16

\~h.V.

•

Elemento do Tópico-Chave Descrição Número da Página --------------------------------------------------------------- . Figura 16-1

Atribuição de endereço IPv4 global no CIDR e conceito de agregação de rotas

396

•

----------------------------------------------------------- . Tabela 16-2

Lista dos números de rede IP privativos

397

Figura 16-2

Conceito principal de NAT traduzindo endereços IP privativos em endereços globais publicamente únicos

398

Figura 16-4

Diagrama de rede NAT típica apresentando termos-chave do NAT

399

Tabela 16-3

Lista de quatro termos-chave do NAT e seus

400

• . •

----------------------------------------------------------- .

________________________________s_ignifi __ · _c_ad_o_s_______________________________________ Figura 16-7

Conceitos por detrás da conservação de endereço conseguida através da Sobrecarga do NAT (PAT)

402

Lista

Lista de verificação para configuração de NAT estático

404

Lista

Lista de verificação para configuração de NAT dinâmico

406

Lista

Resumo das diferenças entre configuração do NAT dinâmico e do PAT usando um pool

409

Lista

Lista de verificação para configuração de PAT usando um endereço IP de interface

409

Lista

Os erros mais comuns em NAT

411

Complete as tabelas e listas usando a memória Imprima uma cópia do Apêndice J, "Tabelas de memória" ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das tabelas de memória", inclui as tabelas e listas completadas para você conferir o seu trabalho.

Definição de termos-chave Defma os seguintes termos-chave deste capítulo e verifique suas respostas no glossário: CIDR, global externo, global interno, local externo, local interno, PAT, rede IP privativa, sobrecarga do NAT.

••

•

4t

•• •• •• •• •• •• •• •• •• •• ••

• ••

CCNA ICND2

413

• Referência aos comandos para verificar sua memória

•• •

Embora você não precise necessariamente memorizar as informações das tabelas desta seção, ela inclui uma referência para os comandos de configuração e EXEC cobertos neste capítulo. Na prática, você deve memorizar os comandos como reflexo da leitura do capítulo e da execução de todas as atividades desta seção de preparação para o exame. Para verificar o quão eficientemente você memorizou os comandos como reflexo de seus outros estudos, cubra o lado esquerdo da tabela, leia as descrições do lado direito e veja se você se lembra do comando.

•

Tabela 16-6 Referência aos Comandos de Configuração do Capítulo 16

•

Comando

Descrição

•

ip nat {inside I outside}

Subcomando de interface para habilitar NAT e identificar se a interface está do lado interno ou externo da rede

ip nat inside source {list {access-list -number I access-list-name}} {interface type-number I pool pool-name} [overload]

Comando global que habilita o NAT de modo global, fazendo referência à ACL que defme quais endereços de origem devem passar pelo NAT, e a interface ou pool onde encontrar os endereços globais

• •

ip nat pool name start-ip end-ip {netmask netmask I prefix-Iength prefix-length}

Comando global para definer um pool de endereços NAT

•

Tabela 16-7 Referência aos Comandos EXEC do Capítulo 16

•

Comando

Descrição

•

• • ••

show ip nat statistics

Apresenta contadores para pacotes e entradas da tabela NAT, bem como informações básicas de configuração

•

show ip nat translations [verbose]

Apresenta a tabela NAT

•

c1ear ip nat translation {* I [inside globalip local-ip] [outside local-ip global-ip]}

Apaga todas ou algumas das entradas dinâmicas da tabela NAT, dependendo de quais parâmetros forem usados

c1ear ip nat translation protocol inside global-ip global-port local-ip local-port [outside local-ip global-ip]

Apaga algumas das entradas dinâmicas da tabela NAT, dependendo de quais parâmetros forem usados

•

debug ip nat

Gera uma mensagem de log descrevendo cada pacote cujo endereço IP foi traduzido com o NAT

•• •• •

••

•• •• •• •• •• ••

••

••

•• ••

Este capítulo aborda os seguintes assuntos: Endereçamento unicast global, roteamento e divisão em sub-redes: esta seção introduz os conceitos por detrás dos endereços IPv6 unicast, roteamento IPv6 e divisão em sub-redes usando IPv6, todos comparados ao IPv4. Protocolos e endereçamento no 1Pv6: esta seção examina os protocolos mais comuns usados em conjunto com o IPv6. Configurando o roteamento e os protocolos de roteamento 1Pv6: esta seção mostra como configurar o roteamento e os protocolos de roteamento IPv6 nos roteadores Cisco. Opções de transição para 1Pv6: Esta seção explica algumas das opções para migrar de IPv4 para IPv6.

•• •• •• •• •• •• •• ••• •• •• •• •• •• •• •• •• •• •• ••

•• •• •• : IP versão 6

•• •• •• •• ••

CAPíTUL017

A versão 6 do IP (IPv6), o protocolo que substitui o IPv4, é bem conhecida por algumas razões. O IPv6 fornece a solução definitiva para o problema de esgotamento dos endereços IPv4 na Internet global, através do uso de endereços de 128 bits - aproximadamente 1038 endereços no total, versus um total de meros 4*109 endereços (aproximadamente) do IPv4. Porém, o IPv6 tem sido a solução definitiva de longo prazo por mais de dez anos, em parte porque as soluções intermediárias, incluindo NATIPAT (Network Address TranslationlPort Address Translation, ou Tradução de Endereços de Rede/ Tradução de Endereços de Porta), felizmente adiaram o dia em que realmente se esgotariam os endereços IP unicast públicos. Este capítulo se concentra no endereçamento e roteamento no IPv6, em parte porque a principal motivação para a eventual migração para IPv6 é a de se diminuir as restrições de endereçamento do IPv4. Este capítulo também introduz alguns dos outros recursos do IPv6 de modo geral, além de explicar algumas das razões para a necessidade do IPv6.

• •• •

O questionário "Eu já conheço isto?" permite avaliar se você deve ler o capítulo inteiro. Se você errar não mais que uma destas nove questões de auto-avaliação, você pode querer ir direto para a seção "Atividades de preparação para o exame". A Tabela 17-1 lista os principais tópicos deste capítulo e as questões do teste "Eu já conheço isto?" cobrindo o material destas seções. Isto ajudará você a avaliar seu conhecimento nestas áreas específicas. As respostas ao questionário "Eu já conheço isto?" aparecem no Apêndice A.

•

Tabela 17-1 Mapeamento Entre a Seção dos Tópicos Fundamentais e as Questões do "Eu já conheço isto?"

•

Seção dos Tópicos Fundamentais

Perguntas

•

Endereçamento unicast global, roteamento e divisão em sub-redes

1,2

•

Protocolos e endereçamento no IPv6

3-5

•

•

Configurando o roteamento e os protocolos de roteamento IPv6

6-8

•

Opções de transição para IPv6

9

• •

1. Qual das seguintes opções é a organização mais provável a partir da qual uma empresa poderia receber administrativamente um bloco de endereços IP unicast global IPv6?

: Questionário "Eu já conheço isto"?

• •

•• •• •• •• ••

a . Um ISP b. ICANN c. Um RIR d. Endereços unicast globais não são atribuídos administrativamente por uma organização externa 2. Qual das opções a seguir é a abreviatura mais compacta, válida para FE80:0000:0000:0100:0000:0000:0000:0123?

a. FE80:: 100: : 123 b. FE80: :1: :123

c. FE80: :100:0:0:0:123:4567 d. FE80:0:0:100: :123

416

Capítulo 17: IP versão 6

3. Qual das seguintes opções apresenta um endereço IPv6 multicast?

a. 2000:: 1: 1234: 5678: 9ABC b. F080: :1:1234:5678:9ABC

c. FE80: :1:1234:5678:9ABC d. FF80: :1:1234:5678:9ABC 4. Qual(is) das seguintes opções apresenta(m) um protocolo ou função que pode ser usado por um host para aprender dinamicamente seu próprio endereço IPv6?

a. DHCP stateful b. DHCP stateless c. Autoconfiguração stateless d. NDP (Neighbor Discovery Protocol) 5. Qual(is) das seguintes opções ajuda(m) a permitir que um host IPv6 aprenda o endereço IP de um gateway default de sua sub-rede?

a. DHCP stateful b. RS stateless

c . Autoconfiguração stateless d. NDP (Neighbor Discovery Protocol) 6. Qual(is) das seguintes opções (é)são protocolo(s) de roteamento que suporta(m) IPv6?

a. RIPng b. RIP-2

c. OSPFv2 d. OSPFv3

e . OSPFv4 7. Na configuração a seguir, a interface FaO/O deste roteador possui um endereço MAC de 4444.4444.4444. Qual(is) dos seguintes endereços IPv6 a interface usará? ipv6 unicast-routing ipv6 router rip tag1 interface FastEth ernetO/O ipv6 address 3456: : 1/64

a. 3456:: C444: 44FF: FE44: 4444

b. 3456:: 4444: 44FF:FE44: 4444 c. 3456:: 1

d. FE80::1 e. FE80::6444:44FF:FE44:4444 f. FE80::4444:4444:4444 8. No texto relativo à configuração da questão anterior, o RIP não estava funcionando na interface FaO/O. Qual dos seguintes comandos de configuração iria habilitar o RIP em FaO/O?

a. network 3456: :/64 b. network 3456:: /16 c. network 3456:: 1/128

••

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •- I .'••.1 •• •• •• •• •

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

417

d. ipv6 rip enable

e. ipv6 rip tagl enable 9. Qual(is) dos seguintes métodos de transição IPv4-para-IPv6 a seguir permite(m) que um host somente-IPv4 se comunique com um host somente-IPv6?

a. pilha dual b. Tunelamento 6to4 c . Tunelamento ISATAP d. NAT-PT

Tópicos fundamentais

o mundo passou por tremendas mudanças ao longo dos últimos 10-20 anos, como resultado do crescimento e da maturidade da Internet e das tecnologias de rede em geral. Vinte anos atrás, não existia nenhuma rede global na qual a população em geral pudesse facilmente se conectar. Dez anos atrás, a Internet pública tinha crescido a tal ponto que as pessoas na maior parte do mundo podiam se conectar à Internet, mas com a maioria dos usuários de Internet sendo as pessoas mais familiarizadas com computadores. Hoje em dia, praticamente todo mundo parece ter acesso à Internet através de seus PCs, dispositivos portáteis, telefones ou até mesmo da geladeira. A eventual migração para IPv6 será provavelmente causada pela necessidade de mais endereços. Praticamente todos os telefones celulares suportam tráfego de Internet, exigindo o uso de um endereço IP. A maioria dos carros novos é capaz de adquirir e usar um endereço IP, juntamente com a comunicação sem fio, permitindo que o vendedor do carro entre em contato com o cliente quando um diagnóstico no carro detectar um problema com o mesmo. Alguns fabricantes abraçaram a idéia de que todos os seus aparelhos precisam ter a capacidade de usar IP. Além do grande aumento na necessidade de endereços IPv4, os editais das agências governamentais poderiam direcionar a demanda por IPv6. Na ocasião em que este livro foi escrito, o governo americano tinha estabelecido uma data em 2008 até a qual todas as agências do governo deveriam estar executando IPv6 em suas redes IP principais. Tais iniciativas podem ajudar a direcionar no sentido da adoção do IPv6. Embora as duas maiores razões pelas quais as redes devem migrar para IPv6 sejam a necessidade de mais endereços e mandatos das organizações governamentais, ao menos o IPv6 inclui alguns recursos e ferramentas para migração atraentes. Algumas destas vantagens são as seguintes:

- Recursos para atribuição de endereços: A atribuição de endereços no IPv6 permite uma re-numeração mais fácil, alocação dinâmica e recuperação de endereços, com recursos interessantes para que dispositivos móveis se movam e mantenham seu endereço IP (evitando assim a necessidade de ter de fechar e reabrir uma aplicação). - Agregação: O enorme espaço de endereçamento do IPv6 toma muito mais fácil a agregação de blocos de endereços na Internet. - Nenhuma necessidade de NAP/PAT: Usar endereços únicos registrados publicamente em todos os dispositivos elimina a necessidade de NATIPAT, o que também evita alguns problemas na camada de aplicação e problemas relativos ao tunelamento VPN causados pelo NAT. - IPsec: O IPsec funciona tanto com o IPv4 quanto com o IPv6, mas ele é necessário nos hosts IPv6, de modo que você pode contar com o suporte para IPsec, conforme necessário no tunelamento VPN. - Melhorias no cabeçalho: Embora possa parecer uma questão pouco significativa, o cabeçalho do IPv6 melhora muitas coisas quando comparado ao IPv4. Em particular, os roteadores não precisam recalcular o checksum de um cabeçalho para cada pacote, reduzindo a sobrecarga por pacote. Além disso, o cabeçalho inclui uma identificação de fluxo que permite uma fácil identificação dos pacotes enviados através de uma única conexão TCP ou UDP (User Datagram Protocol). - Ferramentas para transição: Conforme será coberto na última seção principal deste capítulo, o IPv6 possui diversas ferramentas para ajudar na transição do IPv4 para o IPv6.

418 Capítulo 17: IPversão6 A migração a nível mundial do IPv4 para o IPv6 não será um evento, ou nem mesmo um ano no calendário. Ao invés disso, será um longo processo, um processo que já começou. Engenheiros de rede possuem uma necessidade crescente de aprender mais a respeito do IPv6. Este capítulo cobre o básico a respeito do IPv6, terminando com algumas discussões a respeito das questões relativas a viver em um mundo no qual o IPv4 e o IPv6 ainda irão provavelmente coexistir por um bom tempo.

NOTA A Information Week (bttp://www.informationweek.com) publicou um artigo interessante a respeito da necessidade de se migrar para IPv6, na época em que este livro estava sendo terminado. Para ver o artigo, procure no website pelo artigo "The Impending Internet Address Shortage" ("A inevitável diminuição de endereços de Internet").

Endereçamento unicast global, roteamento e divisão em sub-redes Um dos objetivos do projeto original da Internet era de que todas as organizações iriam registrar e teriam atribuídas uma ou mais redes IP públicas (Classes A, B ou C). Ao se registrar para usar um determinado número de rede público, a companhia ou organização usando esta rede tinha a garantia das autoridades que fazem a atribuição da numeração, de que nenhuma outra companhia ou organização no mundo usaria os endereços desta rede. Como resultado, todos os hosts do mundo teriam endereços IPs únicos e globais. Do ponto de vista de infra-estrutura da Internet, em particular com respeito ao objetivo de evitar que as tabelas de roteamento dos roteadores da Internet ficassem muito grandes, atribuir uma rede inteira a cada organização ajudou, até certo ponto. Os roteadores da Internet poderiam ignorar todas as sub-redes, e ter uma rota para cada rede classful, ao invés. Por exemplo, se uma companhia registrasse e tivesse a rede Classe B 128.107.0.0/16 atribuída, os roteadores da Internet precisariam de somente uma rota para toda esta rede. Ao longo do tempo, a Internet cresceu tremendamente. Tomou-se claro no início da década de 90 de que algo teria de ser feito, ou o crescimento da Internet iria ser barrado quando todas as redes IP públicas tivessem sido atribuídas, e não existisse mais nenhuma disponível. Além disso, as tabelas de roteamento IP dos roteadores da Internet estavam se tomando muito grandes para a tecnologia dos roteadores daquela época. Assim, a comunidade da Internet trabalhou em conjunto para criar ambas as soluções, de curto e de médio prazo, para os dois problemas: o esgotamento dos endereços públicos e o tamanho das tabelas de roteamento. As soluções de curto prazo incluíam uma política de atribuição de endereços públicos muito mais inteligente, onde os endereços públicos não seriam atribuídos somente como redes Classes A, B e C, mas como subdivisões menores (prefixos), reduzindo a perda. Além disso, o crescimento das tabelas de roteamento da Internet foi reduzido por causa da atribuição mais inteligente de faixas de endereços. Por exemplo, atribuir as redes Classe C começando com 198 para apenas um determinado ISP (Internet Service Provider, ou Provedor de Serviços da Internet) em uma determinada parte do mundo permite que outros ISPs usem uma única rota para 198.0.0.0/8 - em outras palavras, todos os endereços que começam com 198 - ao invés de uma rota para cada uma das 65.536 redes Classe C diferentes que começam com 198. Finalmente, NATIPAT conseguiram resultados surpreendentes ao permitir que uma residência ou escritório pequeno típicos consumissem apenas um endereço IPv4 público, reduzindo enormemente a necessidade de endereços IPv4 públicos. A solução definitiva para ambos os problemas é o IPv6. O número enorme de endereços IPv6 resolve a questão de esgotamento de endereços. As políticas para atribuição de endereços já usadas no IPv4 foram refinadas e aplicadas ao IPv6, com bons resultados no que se refere a manter os tamanhos das tabelas de roteamento IPv6 menores nos roteadores da Internet. As seções seguintes apresentam uma discussão geral sobre ambas as questões, em particular, sobre como os endereços unicast globais, juntamente com boas práticas administrati vas na forma de atribuir prefixos de endereços IPv6, ajudam no roteamento da Internet global. Estas seções serão concluídas com uma discussão a respeito de divisão em sub-redes no IPv6.

Agregação global de rotas para roteamento eficiente Na época em que o IPv6 estava sendo definido no início da década de 90, estava claro que escolhas bem pensadas com relação ao modo de atribuir o espaço de endereçamento público do IPv4 poderia ajudar na eficiência dos roteadores da

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

419

Internet, ao manter suas tabelas de roteamento bem menores. Seguindo estas mesmas lições bem aprendidas, a atribuição de endereços IP públicos do 1Pv6 pode tomar o roteamento até mais eficiente, à medida que a Internet migrar para o 1Pv6. A estratégia para atribuição de endereços no IPv6 é elegante, mas simples, e pode ser resumida, a grosso modo, da seguinte forma: - Os endereços IPv6 públicos são agrupados (numericamente) por grandes regiões geográficas. - Dentro de cada região, o espaço de endereçamento é subdividido por ISP dentro daquela região. - Dentro de cada ISP em uma região, o espaço de endereçamento é subdividido para cada usuário. As mesmas organizações que administram a atribuição de endereços no IPv4 também o fazem para o IPv6. A ICANN (Internet Corporation for Assigned Network Numbers, ou Corporação da Internet para Atribuição de Nomes e Números, http://www.icann.org, www.icann.org.br) é o dono do processo. A ICANN atribui uma ou mais faixas de endereços IPv6 para cada RIR (Regional Internet Registry), dos quais existem cinco na ocasião desta publicação, cobrindo, a grosso modo, a América do Norte, América Central/do Sul, Europa, Ásia/Pacífico e África. Estes RIR então subdividem seus espaços de endereçamento recebidos em porções menores, atribuindo prefixos para diferentes ISPs e outros registradores menores, com os ISPs então atribuindo faixas de endereços ainda menores a seus clientes.

NOTA A IANA (Internet Assigned Numbers Authority, ou Autoridade para Atribuição de Números na Internet) era dona do processo de atribuição de endereços anteriormente, mas este foi transferido para a ICANN. O plano de atribuição de endereços IPv6 globais resulta em um roteamento mais eficiente, conforme mostrado na Figura 17-1. A figura mostra uma companhia fictÍCia (Companhia 1) que teve um prefixo IPv6 atribuído por um ISP fictício, NAISP1 (que significa ISP Norte-Americano número 1). A figura mostra o ARIN (American Registry for Internet Numbers), que é o RIR para a América do Norte.

..........

Figura 17-1 Visão Conceitual das Rotas Globais IPv6 Compania 1

[ T6plco \ Chave

".

América do Sul

Como mostrado na figura, os roteadores instalados pelos ISPs nas outras áreas geográficas principais do mundo podem ter uma única rota que identifica todos os endereços IPv6 da América do Norte. Enquanto centenas de ISPs podem estar

420 Capítulo 17: IP versão 6 operando na América do Norte, e centenas de milhares de empresas clientes destes ISPs, e dezenas de milhões de clientes individuais destes ISPs, todos os endereços 1Pv6 públicos podem ser de um (ou de poucos) blocos de endereços bem grandes - exigindo apenas uma (ou poucas) rota(s) nos roteadores da Internet das outras partes do mundo. De modo similar, os roteadores dentro de outros ISPs na América do Norte (por exemplo, NA-ISP2, indicando ISP NorteAmericano número 2 na figura) podem ter uma rota que identifica todas as faixas de endereços atribuídas a NA-ISP2. E os roteadores dentro de NA-ISP1 precisam simplesmente ter uma única rota que identifica toda a faixa de endereços atribuída à Companhia1, ao invés de precisar conhecer todas as sub-redes dentro da Companhial. Além de manter a tabela de roteamento dos roteadores muito menor, este processo também resulta em menos alterações nas tabelas de roteamento da Internet. Por exemplo, se NA-ISP1 assinasse um contrato de serviço com outra empresa cliente, NA-ISP1 poderia atribuir outro prefixo dentro da faixa de endereços já atribuída à NA-ISP1 pelo ARIN. Os roteadores fora da rede de NA-ISP1 - a maior parte da Internet - não precisariam conhecer nenhuma rota nova porque suas rotas existentes já identificam a faixa de endereço atribuída a este novo cliente. Os roteadores de NA-ISP2 (outro ISP) já possuem uma rota que identifica toda a faixa de endereços atribuída a NA-ISP1, portanto eles não precisam de nenhuma rota nova. Da mesma forma, os roteadores nos ISPs da Europa e da América do Sul já possuem uma rota que funciona adequadamente. Embora o conceito geral possa não ser tão difícil, um exemplo específico pode ajudar. Porém, antes de ver um exemplo específico, será útil conhecer um pouco a respeito de como os endereços IPv6 e os prefixos são escritos.

Convenções para representar endereços IPv6 As convenções IPv6 usam 32 números hexadecimais, organizados em 8 quartetos de 4 dígitos hexa separados por dois pontos para representar um endereço IPv6 de 128 bits. Por exemplo:

2340:1111:AAAA:0001:1234:5678:9ABC Cada dígito hexa representa 4 bits, portanto se você quiser examinar o endereço em binário, a conversão fica relativamente simples se você memorizar os valores mostrados na Tabela 17-2.

Tabela 17-2 Tabela de Conversão de Hexadecimal para Binário Hexa

Binário

Hexa

Binário

O

()()()()

8

1000

1

0001

9

1001

2

0010

A

1010

3

0011

B

1011

4

0100

C

1100

5

0101

D

1101

6

0110

E

1110

7

0111

F

1111

Escrever ou digitar 32 dígitos hexadecimais, embora seja mais conveniente que fazer o mesmo com 128 dígitos binários, ainda pode ser bastante árduo. Para facilitar um pouco as coisas, duas convenções permitem que você abrevie o que deve ser digitado para um endereço IPv6: -

/;:~;~o ~ Ch....

....

-

Omita os Os na frente em qualquer quarteto. Represente 1 ou mais quartetos consecutivos, todos com Os hexa, com dois pontos duplos (::), mas somente para uma destas ocorrências em um dado endereço.

NOTA No IPv6, um quarteto é um conjunto de 4 dígitos hexa em um endereço 1Pv6. Oito quartetos estão presentes em cada endereço IPv6.

• •• ••

•• •• •• •• •• •• •

•• •• •• ••

•• •• •• •• •• •

•• •• •• •

• • • •

tt

••

•• • •

•

•

•• •• •

•• •• •• •• •• •• ••

•• •• •• •• •• ••

CCNA ICND2

421

Por exemplo, considere o endereço a seguir. Os dígitos em negrito representam os dígitos onde o endereço pode ser abreviado.

FEOO:OOOO:OOOO:0001:0000:0000:0000:0056 Este endereço possui dois locais diferentes nos quais um ou mais quartetos possuem 4 Os hexa, portanto existem duas opções principais para abreviar este endereço, usando a abreviatura :: em um ou outro local. As duas opções seguintes mostram as duas abreviações mais compactas:

- FEOO::l:0:0:0:56 - FEOO:O:O:l: :56 Em particular, observe que a abreviação::, que significa "um ou mais quartetos somente com Os" não pode ser usada duas vezes, pois isto a tomaria ambígua. Portanto, a abreviação FEOO::l::56 não seria válida.

Convenções para escrever prefixos IPv6 Prefixos IPv6 representam uma faixa ou bloco de endereços 1Pv6 consecutivos. O número que representa a faixa de endereços, chamado de prefixo, é geralmente visto em tabelas de roteamento IP, da mesma forma que você vê números de sub-rede IP em tabelas de roteamento IPv4. Antes de analisar os prefixos IPv6 em maiores detalhes, será útil rever alguns dos termos usados no IPv4. Endereços IPv4 podem ser analisados e entendidos usando tanto as regras de endereçamento classful quanto as regras de endereçamento classless. (Este livro e o CCENTICCNA ICNDI Official Exam Certification Guide (CCENT/CCNA ICNDl Guia oficial de certificação do exame), ambos usam a terminologia classful na maioria das vezes.) Endereçamento classful significa que a análise de um endereço ou sub-rede IP inclui a idéia de um número de rede classful, com uma parte separada para a rede no endereço. A parte superior da Figura 17-2 faz uma revisão destes conceitos.

Figura 17-2 Endereçamento Classless e Classful no IPv4, e Endereçamento IPv6 Comprimento das Partes Referentes à Rede + Sub-rede

I

Sub-rede

Rede

Host

I

Endereçamento Classful do IPv4

~----~----~~--~

Prefixo

Host

I

Endereço Classless do IPv4

~----------~~--~

Comprimento do Prefixo

,..

-7 (10 daH_O_s_t Interface) _J-+-___________ __________----11. Endereçamento IPv6

~.... L...c _==========:p_re_fix_-=..0-=..-_-_-_-_-_-_-_-.......

V Comprimento do Prefixo

Pensar em endereçamento IPv4 como endereços classful ajuda a entender completamente algumas questões a respeito de rede. Com endereçamento classful, por exemplo, o valor escrito 128.107.3.0/24 significa 16 bits para rede (porque o endereço está em uma rede Classe B) e 8 bits para host (porque a máscara possui 8 Os binários), deixando 8 bits para sub-rede. O mesmo valor, interpretado com as regras de classless, significa prefixo 128.107.3.0, comprimento do prefixo 24. Mesma sub-rede/prefixo, mesmo significado, mesma operação no roteador, mesma configuração - são somente duas maneiras diferentes de pensar no significado dos números. O 1Pv6 usa uma visão classless de endereçamento, sem nenhum conceito de endereçamento classful. Como no IPv4, os prefixos do IPv6 apresentam alguns valores, uma barra, e depois um comprimento de prefixo numérico. Como nos prefixos do 1Pv4, a última parte do número, que vem depois do comprimento do prefixo, é representada por Os binários. E finalmente, os números de prefixo do IPv6 podem ser abreviados usando-se as mesmas regras que os endereços IPv4. Por exemplo, considere o seguinte endereço IPv6 que foi atribuído a um host em uma LAN:

2000:1234:5678:9ABC:1234:5678:9ABC:llll!64

•

422 Capítulo 17: IP versão 6 Este valor representa o endereço IP completo com 128 bits; na verdade, você não tem opção para abreviar este endereço. No entanto, o /64 significa que o prefixo (sub-rede) no qual este endereço reside é a sub-rede que inclui todos os endereços que começam com os mesmos primeiros 64 bits deste endereço. Conceitualmente, é a mesma lógica que em um endereço IPv4. Por exemplo, o endereço 128.127.3.1/24 está em um prefixo (sub-rede) cujos primeiros 24 bits possuem os mesmos valores que os do endereço 128.107.3.1. Como no IPv4, quando estiver escrevendo ou digitando um prefixo, os bits além do comprimento do prefixo são todos Os binários. No endereço IPv6 mostrado anteriormente, o prefixo no qual o endereço reside seria o seguinte:

2000:1234:5678:9ABC:OOOO:OOOO:OOOO:OOOO/64 Quando abreviado, o mesmo seria:

2000:1234:5678:9ABC::/64 A seguir, um último fato a respeito das regras para a escrita dos prefixos antes de vermos alguns exemplos e seguir adiante. Se o comprimento do prefixo não for múltiplo de 16, a fronteira entre a parte referente ao prefixo e a parte referente ao host no endereço estará dentro de um quarteto. Nestes casos, o valor do prefixo deve listar todos os valores do último octeto da parte referente ao prefixo do valor. Por exemplo, se o endereço mostrado com comprimento de prefixo de /64 tivesse comprimento de prefixo de /56 no lugar, o prefixo incluiria todos os 3 primeiros quartetos (um total de 48 bits), mais os primeiros 8 bits do quarto octeto. Os últimos 8 bits (últimos 2 dígitos hexa) do quarto octeto deveriam agora ser Os binários. Portanto, por convenção, o restante do quarto octeto deve ser escrito, depois de serem configurados com Os binários, da seguinte forma:

2000:1234:5678:9AOO::/56

.........

A lista a seguir resume alguns pontos-chave sobre a forma de se escrever prefixos IPv6:

{TópiC:o

\ Ch.ve

".

- O prefixo possui o mesmo valor que os endereços IP do grupo para a primeira quantidade de bits, definida pelo comprimento do prefixo. - Quaisquer bits depois da quantidade de bits definida pelo comprimento do prefixo serão Os binários. - O prefixo pode ser abreviado usando-se as mesmas regras que as usadas para endereços IPv6. - Se o comprimento do prefixo não estiver no limiar de um quarteto, escreva o valor de todo o quarteto. Exemplos podem, com certeza, ajudar bastante neste caso. A Tabela 17-3 mostra diversos exemplos de prefixos, seus formatos e uma rápida explicação.

Tabela 17-3 Exemplos de Prefixos IPv6 e Seus Significados PrefIxo

Explicação

Alternativa Incorreta

2000::/3

Todos os endereços cujos 3 primeiros

2000/3 (omite o::) 2::/3 (omite

bits são iguais aos três primeiros bits do número hexa 2000 (os bits são 001)

o restante do primeiro quarteto)

2340: 1140: :/26

Todos os endereços cujos primeiros 26 bits são iguais aos do número hexa apresentado

2340:114::/26 (omite o último dígito do segundo quarteto)

2340:1111::/32

Todos os endereços cujos primeiros 32 bits são iguais aos do número hexa apresentado

2340:1111/32 (omite o::)

Quase tão importante para esta convenção é observar quais opções não são permitidas. Por exemplo, 2: :/3 não é permitido no lugar de 2000::/3 porque o mesmo omite o restante do octeto, e um dispositivo não poderia distinguir se 2::/3 significa "hexa 0002" ou "hexa 2000". Apenas Os na frente em um quarteto, e não zeros atrás podem ser omitidos quando endereços ou prefixos IPv6 estiverem sendo abreviados. Agora que você entendeu algumas das convenções a respeito de como representar endereços e prefixos IPv6, um exemplo específico pode mostrar como a estratégia para atribuição de endereço IP unicast global IPv6 da ICANN pode permitir o roteamento fácil e eficiente mostrado anteriormente na Figura 17-1.

•• •• •• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •• ••• •

••

• • •• •• •

CCNA ICND2

423

• Exemplo de atribuição de prefixo unicast global Os padrões 1Pv6 reservam o prefixo 2000::/3 - o qual, quando interpretado de modo mais completo significa todos os endereços que começam com o binário 001, ou hexa 2 ou hexa 3 - como sendo endereços unicast globais. Endereços unicast globais são endereços que foram atribuídos como endereços IPv6 únicos, públicos e globais, permitindo que os hosts que usem estes endereços se comuniquem através da Internet sem a necessidade de NAT. Em outras palavras, estes endereços se enquadram dentro do design mais puro com relação à forma de se implementar IPv6 na Internet global.

• •

A Figura 17-3 mostra um exemplo de um conjunto de prefixos, que poderia ter como resultado uma companhia (Companhia 1) recebendo um prefixo 2340: 1111 :AAAA: :/48.

•

Figura 17-3 Exemplo de Atribuição de Prefixo IPv6 na Internet

•• •• •• • •

••

•• •• •

•• •• ••

•• •• •• •• ••

••

.......... f T6plco \. Ch.ve

Companhia1 é Dona de 2340 :1111 :AAAAl4

...

••••

Atribui 2340:1111 :AAAAl48

NA-ISP1 é Dona de 2340 :1111/32

+·

··· · ·

Atribui: 2340:1111132 :

~-

~ ---. ---Atribui ---------------. --~ 2340::112

O processo começa com a ICANN, que é dona de todo o espaço de endereçamento IPv6, e dá o direito ao prefixo de registro 2340::/12 a um dos RIRs, ARIN neste caso (América do Norte). Isto significa que o ARIN tem direitos de atribuir qualquer endereço IPv6 que comece com os primeiros 12 bits do hexa 2340 (valor binário 0010 0011 0100). Para se ter uma idéia, isto é um grupo de endereços bem grande - 2 11 6 , para ser exato. A seguir, o NA-ISP1 solicita à ARIN a atribuição de um prefixo. Depois que ARIN garantir que NA-ISP1 atende a certos requisitos, ARIN pode atribuir o prefixo de ISP 2340:1111: :/32 para NA-ISPl. Este grupo também é bem grande - 296 endereços, para ser exato. Para se ter uma idéia, este único bloco de endereços teria endereços IPv6 públicos suficientes até mesmo para o maior dos ISPs, sem que este ISP precisasse de outro prefixo IPv6. Finalmente, a Companhia1 solicita a seu ISP, NA-ISP1, a atribuição de um prefixo IPv6. NA-ISP1 atribui à Companhia1 o prefixo de site 2340:1111:AAAA::/48, que por sua vez também é uma faixa bem grande de endereços - 280, neste caso. No parágrafo seguinte, o texto mostrará o que a Companhia1 pode fazer com este prefixo, mas antes, observe a Figura 17 -4, que apresenta os mesmos conceitos mostrados na Figura 17-1 , mas agora mostrando os prefixos.

424 Capítulo 17: IP versão 6 Figura 17-4 Conceitos de Roteamento Global com IPv6 Companhia1

• •• ••

•• •• •• •• •• •• ••

América do Sul

A figura mostra o ponto de vista dos roteadores fora da América do Norte, dos roteadores de outro ISP na América do Norte, e outros roteadores no mesmo ISP. Roteadores fora da América do Norte podem usar uma rota para o prefixo 2340::/12, sabendo que a ICANN atribuiu este prefixo para ser usado apenas pelo ARIN. Esta única rota poderia identificar todos os endereços IPv6 atribuídos na América do Norte. Roteadores em NA-ISP2, um exemplo de ISP alternativo na América do Norte, precisam de uma rota para 2340:1111::/32, o prefixo atribuído à NA-ISPl. Esta única rota poderia identificar todos os pacotes destinados a todos os clientes de NA-ISPl. Dentro de NA-ISP1, seus roteadores precisam saber para qual roteador de NA-ISP1 eles devem encaminhar os pacotes destinados a este determinado cliente (o roteador chamado ISP-1, neste caso); portanto as rotas dentro dos roteadores de NA-ISP1 listam um prefixo 2340: 1111:AAAN48.

Dividindo endereços IPv6 unicast globais dentro de uma empresa o projeto original da Internet IPv4 foi criado de modo que cada organização tivesse um número de rede c1assful atribuído, com a empresa subdividindo a rede em faixas de endereços menores, criando sub-redes na rede c1assful. Este mesmo conceito de divisão em sub-redes foi trazido do IPv4 para o IPv6, com a empresa fazendo a divisão em sub-redes do prefixo recebido de seu ISP em prefixos menores. Quando pensamos no conceito de divisão em sub-redes do IPv6, poderíamos fazer as seguintes analogias gerais com a divisão em sub-redes c1assful do IPv4, para ajudar a entender o processo: -

O prefixo atribuído à empresa pelo ISP, que deve ser o mesmo para todos os endereços IPv6 em uma empresa, é

-

O engenheiro da empresa estende o comprimento do prefixo, emprestando bits do host para criar uma parte referente à sub-rede no endereço.

-

A terceira e última parte principal é a parte referente ao host no endereço, chamada de ID da inteiface no IPv6, e serve para identificar unicamente um host dentro de uma sub-rede.

/~:~;~o como se fosse a parte referente à rede em um endereço IPv4. \ Ch.... ....

Por exemplo, a Figura 17-5 mostra uma visão mais detalhada da rede da Companhia1, mostrada em várias das figuras anteriores deste capítulo. Os conceitos de design com relação a quantas sub-redes são necessárias com o IPv6, são idênticos aos do IPv4: uma sub-rede é necessária para cada VLAN e para cada enlace serial, com as

•• ••

•• •• •• •• •• •• •• •• •• •

••

•• •• •• •• •• ••

•• •• •• ••

•• •• •• •• •• •• •

•• •• •• •• •• ••

CCNA ICND2

425

mesmas opções para sub-redes com Frame Relay. Neste caso, existem duas LANs e duas interfaces seriais, portanto a Companhia1 precisa de quatro sub-redes. A figura também mostra como o engenheiro da empresa estendeu o comprimento do prefixo atribuído pelo ISP (/48) para 164, criando assim uma parte referente à sub-rede, com 16 bits, dentro da estrutura do endereço. O prefixo 148 é geralmente chamado de prefixo do site, e o prefixo mais longo usado em cada enlace é chamado de prefixo da subrede. Para criar este campo extra de sub-rede com 16 bits, o engenheiro usa o mesmo conceito do IPv4 ao escolher uma máscara de sub-rede, emprestando bits do campo de host de um endereço 1Pv4. Neste caso, pense no campo de host como tendo 80 bits (porque o prefixo que o ISP atribuiu possui 48 bits, restando 80 bits), sendo que o design da Figura 175 empresta 16 bits para o campo de sub-rede, deixando meros 64 bits para o campo referente ao host.

Figura 17-5 Companhia1 Precisa de Quatro Sub-Redes /;:~;~

Companhia 1

\ Chave

".

Sub-rede 1

Sub-rede 2

Sub-rede 3

16 Bits

48 Bits

Prefixo (atribuído pelo ISP) S b- ed 2340:1111 :AAAA u r e

Prefixo da Sub-rede

64 Bits Host (ID da Interface)

Host

Um pouco de matemática com relação às opções do design podem ajudar a dar uma idéia da escala no IPv6. O campo de sub-rede contendo 16 bits permite 216, ou 65.536 sub-redes - muito além do necessário até para a maior das organizações ou companhias. (Também não existem preocupações a respeito de uma sub-rede zero ou broadcast no IPv6!) O campo de host a princípio também é um exagero: 264 hosts por sub-rede, o que é mais de 1.000.000.000.000.000.000 de endereços por sub-rede. No entanto, existe uma boa razão para esta parte de endereço para host ou ID de interface ser tão grande, pois isto permite que um dos recursos de atribuição automática de endereço IPv6 funcione de forma adequada, conforme será coberto na seção "Atribuição de endereço de host no IPv6", mais adiante neste capítulo. A Figura 17-6 conduz o conceito à sua conclusão final, atribuindo as quatro sub-redes específicas para que sejam usadas dentro da Companhia1. Observe que a figura mostra os campos de sub-rede e comprimentos de prefixo (64, neste caso) em negrito.

Figura 17-6 Companhia1 com Quatro Sub-Redes Atribuídas Companhia 1 Prefixo 2340 :1111 :AAAA:0001 ::/64

Prefixo 2340 :1111 :AAAA:0002: :/64 SO/O/1

Prefixo 2340:1111 :AAAA:0003::/64

5011/0

NOTA Os números da sub-rede na figura poderiam ser um pouco abreviados, removendo-se os três zeros na frente, dos últimos quartetos mostrados. A Figura 17-6 mostra apenas uma opção para dividir o prefixo atribuído à Companhia1 em sub-redes. No entanto, qualquer quantidade de bits para sub-rede poderia ter sido escolhida, desde que o campo de host continue com bits suficientes para enumerar todos os hosts em uma sub-rede. Por exemplo, um comprimento de prefixo de 1112 poderia ser

426 Capítulo 17: IP versão 6 usado, estendendo-se o prefixo /48 em 64 bits (4 quartetos hexa). Portanto, para o projeto da Figura 17-6, você poderia ter escolhido as quatro sub-redes a seguir:

- 2340:1111:AAAA::0001:0000 / 112 - 2340:1111:AAAA::0002:0000/112 - 2340:1111:AAAA: :0003:0000/112 - 2340:1111:AAAA::0004:0000 / 112 Através do uso de endereços IPv6 unicast globais, o roteamento na Internet pode se tornar bastante eficiente e as empresas podem ter endereços IP e sub-redes em abundância, sem nenhuma necessidade de funções NAT para conservar o espaço de endereçamento.

Terminologia para prefixos Antes de fechar este tópico, alguns termos novos precisam ser introduzidos. O processo de atribuição de endereços IPv6 unicast globais examina vários prefixos diferente, com vários comprimentos de prefixo. Ao longo do texto aparecem alguns termos mais específicos, mas para facilitar o estudo, a Tabela 17-4 resume os quatro termos-chave, com alguns lembretes sobre o que cada um deles significa.

Tabela 17-4 Exemplos de Prefixos IPv6 e Seus Significados Termo

Atribuição

Exemplo do Capítulo 17

Prefixo de registro

Pela ICANN, a um RIR

2340::/12

Prefixo de ISP

Por um RIR, a um ISPl

2340:1111/32

Prefixo de site

Por um ISP, a um cliente (site)

2340:1111:AAAA/48

Prefixo de sub-rede

Por um engenheiro da empresa, 2340:1111:AAAA:OOOll64 para cada enlace individual

As seções seguintes deste capítulo ampliam a discussão sobre IPv6 para incluir mais tipos de endereços IPv6, juntamente com os protocolos que controlam e administram várias funções comuns do IPv6.

Protocolos e endereçamento no IPv6 Os hosts IPv4 precisam conhecer várias coisas básicas antes que possam ser bem-sucedidos em tarefas simples como abrir um navegador web para ver uma página de web. Os hosts IPv4 precisam tipicamente saber o endereço IP de um ou mais servidores DNS (Domain Name System, ou Sistema de Nomes de Domínios) para que possam usar mensagens do protocolo DNS para pedir que um servidor DNS transforme o nome em um endereço IPv4. Eles precisam conhecer o endereço IP de um roteador para ser usado como gateway default (roteador default), com o host enviando pacotes destinados a um host em uma sub-rede diferente para este roteador default. O host, é claro, precisa conhecer seu endereço IP unicast IPv4 e a máscara - ou conforme definido na terminologia classless, seu endereço IPv4 e o comprimento do prefixo - a partir do qual o host poderá calcular o prefixo (sub-rede) neste enlace. Os hosts IPv6 precisam das mesmas informações - endereços IP de DNS, endereço IP do roteador default e seu próprio endereço/comprimento do prefixo - pelas mesmas razões. Os hosts IPv6 ainda usam nomes de hosts, e precisam ter o nome do host traduzido em um endereço IPv6. Os hosts IPv6 ainda enviam pacotes diretamente aos hosts que estão na mesma sub-rede, mas enviam pacotes ao roteador default para destinos que estão fora da sub-rede. Embora os hosts IPv6 precisem conhecer as mesmas informações, o IPv6 muda o mecanismo para aprender alguns destes fatos, em comparação ao IPv4. As seções seguintes analisam as opções e os protocolos através dos quais um host pode aprender estas informações-chave. Ao mesmo tempo, estas seções introduzem vários outros tipos de endereços IPv6 que são usados pelos novos protocolos IPv6. O final destas seções resume os detalhes e a terminologia para os vários tipos de endereços IPv6.

•• •• •• ••

•• • •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

.'

• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•

CCNA ICND2

427

DHCP para IPv6 Hosts IPv6 podem usar o DHCP (Dynamic Host Configuration Protocol, ou Protocolo de Configuração Dinâmica de Hosts) para aprender e conseguir a concessão de um endereço IP e o comprimento de prefixo correspondente (máscara), o endereço IP do roteador default e o(s) endereço(s) IP do DNS. O conceito funciona basicamente como no DHCP para IPv4: o host envia um pacote IPv6 (multicast) em busca do servidor DHCP. Quando um servidor responde, o cliente DHCP envia uma mensagem solicitando a concessão de um endereço IP, e o servidor responde listando um endereço IPv6, o comprimento de prefixo, o roteador default e os endereços IP de DNS. Os nomes e formatos das mensagens DHCP propriamente ditas foram razoavelmente alterados da versão IPv4 para IPv6, portanto o DHCPv4 e o DHCPv6 diferem em alguns detalhes, mas o processo básico continua o mesmo. (DHCPv4 se refere à versão de DHCP usada com IPv4, e DHCPv6 se refere à versão do DHCP usada com o IPv6.) Servidores DHCPv4 retêm informações a respeito de cada cliente, como por exemplo, o endereço IP concedido ao respectivo cliente e a quantidade de tempo para o qual a concessão é válida. Este tipo de informação é chamada de informação de estado porque armazena o estado de cada cliente. Servidores DHCPv6 possuem dois modos de operação: stateful, no qual o servidor armazena informações de estado, e stateless, no qual o servidor não armazena informações de estado. Servidores DHCPv6 stateful têm o mesmo papel que os antigos servidores DHCPv4, enquanto que os servidores DHCPv6 stateless possuem um papel em uma alternativa ao DHCP stateful do IPv6. (DHCP stateless e seu propósito serão cobertos na seção "Atribuição de endereço de host no IPv6" adiante.) Uma diferença entre o DHCPv4 e o DHCPv6 stateful é que os hosts IPv4 enviam broadcasts IP para encontrar servidores DHCP, enquanto que os hosts IPv6 enviam multicasts IPv6. Endereços 1Pv6 multicast possuem um prefixo de FFOO: :/8, o que significa que os 8 primeiros bits de um endereço são o binário 11111111, ou hexa FF. O endereço multicast FF02::1:2 (por extenso, FF02:0000:0000:0000:0000:0000:0001 :0002) foi reservado no IPv6 para ser usado por hosts para enviar pacotes a um servidor DHCP desconhecido, com os roteadores trabalhando no sentido de encaminhar estes pacotes ao servidor DHCP apropriado.

Atribuição de endereço de host no IPv6 Quando o 1Pv4 está sendo usado em redes de empresas, os engenheiros tipicamente configuram endereços IPv4 estáticos em cada interface do roteador através do subcomando de interface ip address. Ao mesmo tempo, a maioria dos hosts que são usuários finais usa o DHCP para aprender dinamicamente seus endereços IP e a máscara. Para acessar a Internet, o roteador pode usar o DHCP para aprender seu próprio endereço IP público a partir do ISP. O IPv6 segue o mesmo modelo geral, mas com os roteadores usando uma dentre duas opções para a atribuição estática de endereço IPv6, e com os hosts que são usuários fmais usando uma dentre duas opções para atribuição dinâmica de endereço 1Pv6. As seções seguintes analisam todas as quatro opções. Mas em primeiro lugar, para apreciar as opções de configuração, você precisará de um pouco mais de informações a respeito dos 64 bits de menor ordem no formato do endereço 1Pv6: o ID da interface.

10 de interface no IPv6 e o formato EUI-64 Anteriormente neste capítulo, a Figura 17-5 mostrou o formato de um endereço IPv6 unicast global, com a segunda metade do endereço chamada de host ou ID da interface. O valor da parte relativa ao ID da interface em um endereço unicast global pode ser configurado com qualquer valor, desde que nenhum outro host na mesma sub-rede tente usar o mesmo valor. (O 1Pv6 inclui um método dinâmico para que os hosts descubram se existe um endereço duplicado na subrede antes de começarem a usar o endereço.) Porém, o tamanho do ID da interface foi propositalmente selecionado para permitir uma fácil configuração automática dos endereços IP, juntando o endereço MAC de uma placa de rede ao campo ID da interface em um endereço IPv6. Endereços MAC possuem 6 bytes (48 bits) de comprimento, portanto para que um host decida automaticamente o valor a ser usado no campo ID da interface de 8 bytes (64 bits), o IPv6 não pode simplesmente copiar somente o endereço MAC. Para completar o ID da interface de 64 bits, o IPv6 o preenche com mais 2 bytes. De forma interessante, para fazer isso, o IPv6 separa o endereço MAC em duas metades de 3 bytes, e insere o hexa FFFE entre as duas metades para formar o campo ID da interface, além de configurar 1 bit em especial para o binário 1. Este formato, chamado de formato EUI-64, está mostrado na Figura 17-7.

428

•

Capítulo 17: IP versão 6

Figura 17-7 Formato do Endereço IPv6 com ID de Interface e EUI-64 /;~;~o

Prefixa0 da Sub-rede

'. Chave '.~.

/

48 Bits Prefixo (Atribuído pelo ISP)

16

Bit~

64 Bits

Sub-redE

I

10 da Interface

Formato EUI-64 Prefixo do Site

1" Metade doMAC

2" Metade doMAC

..., ,

Vire o 7° Bit (Lendo da Esquerda Para a Direita) do Primeiro Byte para o Binário 1

Embora pareça um pouco confuso, o mesmo funciona. Além disso, com um pouco de prática, você poderá ver um endereço IPv6 e perceber rapidamente o FFFE no fmal do endereço, e então encontrar facilmente as duas metades do endereço MAC da interface correspondente. Para completar, a figura enfatiza um outro pequeno detalhe relativo ao valor de ID da interface EUI-64. Dividir o endereço MAC em duas metades e inserir o FFFE é fácil . No entanto, o formato EUI-64 exige que o sétimo bit do primeiro byte do valor seja configurado com 1. A razão por detrás disso é que os endereços MAC Ethemet são apresentados com os bits de mais baixa ordem de cada byte na esquerda, e os bits de mais alta ordem na direita. Portanto, o oitavo bit em um byte (lendo da esquerda para a direita) é o bit de mais alta ordem do endereço, e o sétimo bit (lendo da esquerda para a direita) é o segundo bit de mais alta ordem. Este segundo bit de mais alta ordem no primeiro byte - o sétimo bit lendo da esquerda para a direita - é chamado de bit universa1/local (VIL). Quando configurado com o binário 0, significa que o endereço MAC é um endereço MAC gravado. Configurado em 1, significa que o endereço MAC foi configurado localmente. O EUI-64 diz que o bit VIL deve ser configurado com 1, o que significa local. Por exemplo, as duas linhas seguintes mostram um endereço MAC de um host e o ID de interface correspondente em formato EUI-64, assumindo o uso de uma opção de configuração de endereço que use o formato EUI-64:

- 0034:5678:9ABC - 0234:56FF:FE78:9ABC

NOTA Para alterar o sétimo bit do exemplo (lendo da esquerda para a direita), converta o hexa 00 para o binário 00000000, mude o sétimo bit para 1 (00000010), e depois converta de volta para hexa, para o hexa 02 como sendo os primeiros dois dígitos.

Configuração estática de endereços IPv6 Serão cobertas neste livro, duas opções para a configuração estática de endereços IPv6, e ambas estão disponíveis tanto nos roteadores quanto nos hosts: a configuração estática de todo o endereço, e a configuração estática de um prefixo /64, com o host calculando seu ID de interface EUI-64 para completar o endereço IP. Esta seção mostra o conceito usando roteadores. Para configurar um endereço IPv6 em uma interface, o roteador precisa de um sub comando de interface ipv6 address address/prefix-length [eui-64] em cada interface. Se o termo eui-64 não for incluído, o endereço deve representar todos os 128 bits do endereço. Se o termo eui-64 for incluído, o endereço deve representar o prefixo de 64 bits, com o roteador criando o ID da interface usando o formato EUI-64. O parâmetro prefix-length deve ser o comprimento do prefixo da sub-rede. Por exemplo, o Exemplo 17-1 mostra os comandos no Roteador RI da Figura 17-6 apresentada anteriormente neste capítulo, que é um dos roteadores da Companhia 1. O comprimento usado para o prefixo do site é de /64. O exemplo mostra as duas versões do comando (com e sem o termo eui-64).

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• • •• •• ••

I.'.

CCNA ICND2

429

Exemplo 17-1 Configurando Endereços IPv6 Estáticos !

The first interface is in subnet 1 , and will use EUI-64 as the Interface ID

interface FastEthernetO/O ipv6 address 2340:1111:AAAA:l::/64 eui-64 !

The next interface spells out the wh ole 128 bits, abbreviated. The longer

!

version is 2340:1111:AAAA:0003:0000 : 0000:0001 / 64. It is in subne t 2.

interface Seria10/0/1 ipv6 address 2340:1111:AAAAI2::1/64 !

The third interface is in subnet 4, with EUI-64 forma t Interface ID again.

interface SerialO/1/1 ipv6 address 2340:1111:AAAA:4::/64 eui-64

R1# show ipv6 interface faO/O FastEthernetO/O is up, line protocol is up IPv6 is enabled, link-local address is FE80 : :213:19FF:FE7B:5004 1-

Global unicast address{es): 2340:1111:AAAA:1:213:19FF:FE7B:5004,

subnet is 2340:1111:AAAA :1 : : / 64 [EUI)

! Lines omitted for brevity

~----~--------~----~

R1# show ipv6 interface SO/O/l SerialO/O / 1 is up, line pro toco 1 is up IPv6 is enabled , link-local address is FE80 : :213:19FF:FE7B:5004 1-

Global unicast address{es): 2340 : 1111:AAAA : 3: :1 , subnet is 2340:1111:AAAA:3: : / 64

1!

Lines omitted for brevity

R1# show ipv6 interface sO/l/l SerialO / 1 / 1 is up , line protocol is up 1-

IPv6 is enabled, link-local address is FE80: :213:19FF : FE7B:5004 Global unicast address{es): 2340 : 1111:AAAA:4:213:19FF:FE7B:5004, subnet is 2340:1111:AAAA:4:: / 64 [EUI) ! Lines ornitted for brevity

o final do exemplo mostra o endereço IPv6 unicast global completo como parte do comando show ipv6 interface. Quando a opção EUI-64 estiver sendo usada, este comando é especialmente útil porque o comando de configuração não mostra o endereço IPv6 completo. Observe que se o formato EUI for usado, o comando show ipv6 interface percebe isso (veja as interfaces FaO/ Oe SO/1/1 , versus SO/O/I). Além disso, os roteadores não possuem endereços MAC associados a algumas interfaces, incluindo as interfaces seriais, portanto para formar o ID da interface no formato EUI-64 nestas interfaces, os roteadores usam o endereço MAC de uma interface LAN. Neste caso, o ID de interface de SO/1/1 é baseado no endereço MAC de FaO/O. Autoconfiguração stateless e anúncios do roteador O IPv6 suporta dois métodos de configuração dinâmica de endereços IPv6. Um usa um servidor DHCPv6 stateful, o qual, conforme mencionado anteriormente, funciona da mesma forma que o DHCP dentro do conceito de IPv4, embora muitos dos detalhes nas mensagens sejam diferentes entre o DHCPv4 e o DHCPv6. O IPv6 também disponibiliza uma alternativa chamada de autoconfiguração stateless (não confundir com DHCP stateless, que será coberto nesta seção). Com a autoconfiguração stateless, um host aprende dinamicamente o prefixo /64 usado da sub-rede, e depois calcula o restante de seu endereço usando ID de interface EUl-64 baseado no endereço MAC de seu NIC (Network Interface Card, ou Placa de Interface de Rede). O processo de autoconfiguração stateless usa um dentre os diversos recursos do NDP (Neighbor Discovery Protocol) do IPv6 para descobrir o prefixo usado na LAN. O NDP executa diversas funções para o IPv6, todas relacionadas a algo

•

430 Capítulo 17: IP versão 6

•

que ocorre entre dois hosts na mesma sub-rede. Por exemplo, uma parte do NDP substitui o protocolo ARP do IPv4. O • ARP do IPv4 permite que dispositivos na mesma sub-rede - vizinhos - aprendam o endereço MAC um do outro. Pelo • fato desta e de diversas outras atividades ocorrerem somente dentro de uma sub-rede local, entre vizinhos no mesmo enlace, o IPv6 juntou estas funções básicas em um único pacote de protocolo, chamado de NDP. • A autoconfiguração stateless usa duas mensagens NDP, chamadas de mensagem RS (router solicitation) e mensagem RA (router advertisement) para descobrir o prefixo IPv6 usado em uma LAN. O host envia a mensagem RS na forma de uma mensagem IPv6 multicast, solicitando a todos os roteadores que respondam à pergunta "Qual(is) prefixo(s) IPv6 é (são) usado(s) nesta sub-rede?", e "Qual(is) é (são) o(s) endereço(s) IPv6 de qual(is)quer roteador(es) default nesta sub-rede?" A Figura 17-8 mostra a idéia geral, na sub-rede 1 da Figura 17-6, com o PCl enviando um RS, e o roteador RI respondendo com o prefixo IPv6 usado na LAN e o próprio endereço IPv6 de RI como sendo um roteador default em potencial.

Figura 17-8 Exemplo do Processo RS/RA do NDP para Encontrar Roteadores Default

IRS -

Todos os Roteadores - Identifiquem-se

®

~-----

1- -- -- ~ RA - Todos os Nós: Prefixo É 2340:1111 :AAAA:1::/64 Roteador Default É 2340 :1111 :AAAA:1 :213 :19FF:FE7B:5004

NOTA O IPv6 permite que múltiplos prefiXOS e múltiplos roteadores default sejam listados na mensagem RA; a figura mostra somente um de cada por questões de simplicidade.

o IPv6 não usa broadcasts. Na verdade, não existe algo como um endereço de broadcast da sub-rede, um endereço de broadcast para toda a rede, ou um equivalente ao endereço IPv4 255.255.255.255 de broadcast para todos os hosts. Ao invés disso, o IPv6 usa endereços multicasts. Ao usar um endereço IPv6 multicast diferente para funções diferentes, um computador que não tem necessidade de participar de uma determinada função pode simplesmente ignorar estes multcasts em particular, reduzindo o impacto para o host. Por exemplo, a mensagem RS precisa ser recebida e processada somente por roteadores, portanto o endereço IP de destino da mensagem RS é FF02::2, que é o endereço reservado no IPv6 para ser usado somente por roteadores IPv6. Mensagens RA são enviadas para um endereço multicast a ser usado por todos os hosts IPv6 no enlace (FF02:: 1), portanto não só o host que enviou o RS irá aprender a informação, como também todos os demais hosts do enlace também irão aprender os detalhes. A Tabela 17-5 resume alguns dos detalhes mais importantes a respeito das mensagens RSIRA.

Tabela 17-5 Detalhes a Respeito do Processo RS/RA

•• •• •• •• •• •• •• •• •• •• •• •• •• •• • •• •• •• •• •

Mensagem

RS

RA

Destino multicast

FF02::2

FF02::1

Significado do endereço multicast

Todos os roteadores neste enlace

Todos os nós IPv6 neste enlace •

Resumo da configuração de endereços IPv6 Este capítulo cobre quatro métodos para atribuir endereços IPv6 a interfaces de hosts ou de roteadores. Duas variações usam configuração estática, enquanto que duas aprendem o endereço dinamicamente. No entanto, para ambas as configurações, estática e dinâmica, existem duas alternativas - uma que fornece o endereço IPv6 completo e uma que permite que o host calcule o ID da interface EUI-64. A Tabela 17-6 resume os métodos de configuração. ......... [ TópiCO Tabela 17-6 Opções Para Configuração de Endereços IPv6 :. Chave .•..

Estática ou Dinâmica

Opção

Parte Configurada ou Aprendida

Estática

Não use EUI-64

Endereço completo de 128 bits

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• I.• •• •• ••

CCNA ICND2 Estática

Use EUI-64

Somente o prefixo /64

Dinâmica

DHCPv6 stateful

Endereço completo de 128 bits

Dinâmica

Autoconfiguração stateless

Somente o prefixo /64

431

Descobrindo o roteador default com NDP No IPv4, os hosts descobrem seu roteador default (gateway default) via configuração estática no host, ou mais tipicamente, via DHCP. Estas duas opções também podem ser usadas no IPv6, além das mensagens RS/RA do NDP, conforme explicado na seção anterior. O processo de descoberta de roteador com NDP ocorre nos hosts e roteadores IPv6 por default, de modo que, embora o servidor DHCPv6 stateful possa fornecer o(s) endereço(s) IPv6 dos possíveis roteadores default, no IPv6, é perfeitamente razoável simplesmente não se dar ao trabalho de configurar estes detalhes em um servidor DHCP stateful, permitindo que as mensagens RS/RA do NDP sejam usadas, no lugar. O processo de descoberta do roteador default é relativamente simples. Os roteadores enviam mensagens RA automaticamente, de modo periódico. Estas mensagens apresentam não apenas o endereço IPv6 do roteador enviador, mas também todos os roteadores conhecidos nesta sub-rede. Um host pode esperar pela próxima mensagem RA periódica, ou solicitar que todos os roteadores locais enviem um RA imediatamente, enviando uma solicitação aos roteadores através da mensagem RS .

Aprendendo o(s) endereço(s) IP de servidores DNS Como os bosts IPv4, os hosts IPv6 tipicamente precisam conhecer o endereço IP de um ou mais servidores DNS para converter nomes nos endereços IP correspondentes. Com freqÜência, o host também precisa aprender o nome de domínio do DNS a ser usado. E como os hosts IPv4, os hosts IPv6 podem ser informados a respeito destes endereços IP usando DHCP (stateful). Quando um host (ou se for o caso, um roteador) aprende seu endereço IPv6 usando DHCP stateful, o host também pode aprender os endereços IP e o nome do domínio do servidor DNS, resolvendo este detalhe em particular. DHCP stateless, que é mais útil em conjunto com autoconfiguração stateless, é um método alternativo para encontrar os endereços IP e o nome de domínio do servidor DNS . Um host que usa autoconfiguração stateless pode aprender seu endereço IPv6 e o prefixo automaticamente, bem como aprender o endereço IP de seu roteador default, em ambos os casos usando mensagens RS/RA do NDP. No entanto, o processo de autoconfiguração stateless não ajuda um host a aprender endereços IP e nome de domínio do DNS. Portanto, o DHCP stateless fornece estas informações usando as mesmas mensagens que o DHCP stateful. Porém, para fornecer estas informações, o servidor não precisa manter nenhuma informação de estado a respeito de cada cliente, portanto um servidor DHCP stateless pode ser usado. A Tabela 17-7 resume alguns dos recursos-chave do DHCPv6 stateful e stateless.

Tabela 17-7 Comparação Entre Serviços DHCPv6 Stateless e Stateful

/~~;;~o

Recurso

DHCP Stateful

DHCP Stateless

Lembrar endereços IPv6 (informação de estado) de clientes que fazem solicitações

Sim

Não

Atribuir endereços IPv6 a clientes

Sim

Não

Fornecer informações úteis, como por exemplo, endereços IP de servidor DNS

Sim

Sim

É mais útil em conjunto com autoconfiguração stateless

Não

Sim

\ Chave

....

Endereços IPv6 Este capítulo já fez a introdução dos conceitos por detrás do formato geral dos endereços IPv6, das idéias por detrás de endereços IPv6 unicast globais, e sobre alguns detalhes a respeito de endereços IPv6 multicast. As seções a seguir completam a explicação a respeito de endereçamentos, especificamente com relação às três categorias de endereços IPv6:

••

432 Capítulo 17: IP versão 6 /;~;;~o

Unicast: Endereços IP atribuídos a interfaces individuais, com o propósito de permitir que este host envie e receba

....

dados.

'. Chave

- Multicast: Endereços IP que representam um grupo dinâmico de hosts, com o propósito de enviar pacotes a todos os membros correntes do grupo. Alguns endereços multicast são usados para finalidades especiais, como por exemplo, para mensagens NDP, e a maior parte deles suporta aplicações de usuários finais.

- Anycast: Uma opção de design na qual os servidores que suportam a mesma função podem usar o mesmo endereço IP anycast, com pacotes enviados pelos clientes sendo encaminhados para o servidor mais próximo, permitindo a distribuição de tráfego entre os diferentes servidores.

Endereços IPv6 unicast

o 1Pv6 suporta três classes principais de endereços unicast. Uma destas classes, os endereços IP unicast globais, tem propósito bastante semelhante ao dos endereços IP públicos IPv4. Endereços unicast globais são atribuídos pela ICANN e pelos RIRs com o propósito de permitir endereços 1Pv6 globalmente únicos a todos os hosts. Estes endereços são originados do prefixo 2000::/3, que inclui todos os endereços que começam com 2 ou 3 (hexa). A próxima classe de endereços IPv6 unicast coberta aqui, endereços unicast únicos locais, possui a mesma função dos endereços privativos IPv4 da RFC 1918. No 1Pv4, quase todas as empresas, e quase todos os escritórios pequenos ou residências conectadas à Internet, usam as redes privadas do IPv4. Endereços unicast únicos locais começam com o hexa FD (FD00::/8), com o formato mostrado na Figura 17-9.

NOTA As RFCs originais do IPv6 defIniam uma classe de endereços privativos chamada sUe local, signifIcando local dentro de· um site (organização). A classe original de endereços locais ao site foi descontinuada e substituída pelos endereços unicast únicos locais. Figura 17-9 Formato do Endereço Único Local Prefixo da Sub-rede

's Bits

40 Bits

10 Global (Pseudo-aleatório)

16 Bits"'"

I

Sub-rede

64 Bits

10 da Interface

I

Para usar estes endereços, um engenheiro da empresa escolheria um 10 global de 40 bits de uma maneira pseudoaleatória, com o objetivo de que os endereços sejam esperadamente únicos no universo. Na realidade, pseudo-aleatório é provavelmente um número criado pelo engenheiro. O campo de sub-rede de 16 bits e o 10 da interface de 64 bits funcionam exatamente como nos endereços unicast globais, enumerando sub-redes e hosts diferentes, e permitindo a atribuição EUI-64 para o 10 da interface. Como sempre, o engenheiro poderia evitar o uso de EUI-64' usando valores fáceis de serem lembrados, tais como 0000:0000:0000:0001 como sendo o 10 da interface. Endereços link local é a terceira classe de endereços IPv6 unicast coberta aqui. O IPv4 não possui nenhum conceito semelhante ao endereço IP link local. O IPv6 usa estes endereços quando está enviando pacotes para a sub-rede local; os roteadores nunca encaminham os pacotes destinados a endereços link local para outras sub-redes. Endereços link local podem ser úteis para funções que não precisam sair da sub-rede, em particular porque um host pode derivar automaticamente seu próprio endereço IP link local sem enviar pacotes para a sub-rede. Assim, antes de enviar os primeiros pacotes, o host pode calcular seu próprio endereço link local, de modo que ele terá um endereço IPv6 para usar quando estiver fazendo suas primeiras mensagens de sobrecarga. Por exemplo, antes que um host envie uma mensagem RS do NDP (router solicitation), o host já terá calculado seu endereço link local. O host usa seu endereço link local como sendo o endereço IP de origem na mensagem RS. Endereços link local provêm da faixa FE80: :/10, o que significa todos os endereços que começam com FE80, FE90, FEAO e FEBO. Não é necessária nenhuma configuração específica porque um host forma estes endereços usando os primeiros 10 bits do hexa FE80 (binário 1111111010), mais 54 Os binários, sendo os últimos 64 bits, o 10 da interface do host no formato EUI-64. A Figura 17-10 mostra o formato .

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

• •• •• •• •• • :

•• •• •• •• ••

CCNA ICND2

433

Figura 17-10 Formato do Endereço Link Local 54 Bits

64 Bits

Todos Os

10 da Interface

Os roteadores também usam endereços link locais em cada interface habilitada para suportar IPv6. Como os hosts, os roteadores calculam automaticamente seus endereços IP link locais. Na verdade, o Exemplo 17-1 anteriormente neste capítulo apresentou os endereços IP link locais do roteador (R 1) na saída do comando show ipv6 interface. É interessante que os roteadores normalmente usam endereços link locais como o endereço IP next-hop em rotas IPv6, ao invés do endereço unicast global ou unicast único local do roteador vizinho.

Endereços multicast e outros endereços especiais IPv6 Endereços multicast podem ser usados para fazer a comunicação com grupos dinâmicos de hosts, com o enviador enviando um único pacote e com a rede replicando este pacote conforme necessário, de modo que todos os hosts que estiverem na escuta por pacotes enviados a este endereço multicast recebam uma cópia do pacote. O 1Pv6 pode limitar o escopo para onde os roteadores encaminham multicasts, baseado no valor do primeiro quarteto do endereço. Este livro examina apenas os multicasts que devem permanecer em um enlace local; todos estes endereços começam com FF02::/ 16, portanto podem ser reconhecidos facilmente. Para referência, a Tabela 17-8 mostra alguns dos endereços multicast 1Pv6 mais comuns. De interesse particular são os endereços escolhidos para serem usados pelo RIP (Routing Information Protocol), OSPF (Open Shortest Path First) e EIGRP (Enhanced IGRP), os quais de certa forma espelham os endereços multicast que cada protocolo usa no IPv4.

Tabela 17-8 Endereços Multicast Link Local Comuns Propósito

Endereço IPv6

Equivalente no IPv4

•

Todos os nós IP no enlace

FF02::1

Endereço de broadcast da sub-rede

•

Todos os roteadores no enlace

FF02::2

N/A

•

Mensagens OSPF

FF02::5, FF02::6

224.0.0.5,224.0.0.6

•

Mensagens RIP-2

FF02::9

224.0.0.9

•

Mensagens EIGRP

FF02::A

224.0.0.10

• •

Agentes DHCP relay (roteadores que encaminham ao servidor DHCP)

FF02:1:2

N/A

• •

Antes de completar a discussão sobre endereçamento no IPv6, você deveria conhecer dois endereços IPv6 especiais. Primeiro, o IPv6 suporta o conceito de um endereço IP loopback, da seguinte forma:

•

•

: : 1 (127 Os binários e um 1)

• • •

Da mesma forma que o endereço 127.0.0.1 de loopback do IPv4, este endereço pode ser usado para testar o software de um host. Um pacote enviado por um host a este endereço desce por toda a pilha do protocolo, e depois volta subindo na pilha, sem nenhuma comunicação com a placa de rede na base. Isto permite testar o software do host, em especial quando novas aplicações estão sendo testadas.

• •

O outro endereço especial é o endereço :: (todos Os binários). Isto representa o endereço desconhecido, que os hosts podem usar quando estiverem enviando pacotes em um esforço para descobrir seus endereços IP.

•

Resumo dos protocolos e endereçamentos IP

• •• ••

Este capítulo cobriu vários conceitos e detalhes a respeito de endereços IPv6, muitos dos quais exigem algum esforço para se lembrar e para se memorizar. Esta pequena seção inter-relaciona vários conceitos desta seção principal sobre protocolos e endereços IPv6 antes de prosseguir com mais alguns detalhes a respeito dos protocolos de roteamento e configuração de roteador.

434 Capítulo 17: IP versão 6 Quando um host IPv6 se inicializa, ele precisa executar diversas tarefas antes que possa enviar pacotes para outro host através de um roteador. Quando um dos dois métodos de aprendizado dinâmico do endereço IPv6, que pode ser usado para enviar pacotes através dos roteadores locais para o resto da rede, estiver sendo usado, os primeiros passos para inicialização são os mesmos, com algumas diferenças nos passos posteriores. A lista a seguir resume os passos que um host executa quando estiver se inicializando, ao menos com relação às funções cobertas neste capítulo. Passo 1 O host calcula seu endereço IPv6link local (começado com FE80::/1O). .......... Passo 2 O host envia uma mensagem RS (router solicitation) do NDP, com seu endereço link local como sendo o (~~:~~o endereço de origem e o endereço multicast de destino FF02::2, indicando todos os roteadores, para pedir aos ". roteadores que forneçam uma lista de roteadores default e o prefixo/comprimento usado na LAN. Passo 3 O(s) roteador(es) responde(m) com uma mensagem RA, com origem sendo o endereço link local do roteador, e enviam para o endereço multicast que significa todos os hosts IPv6 no enlace (FF02::1), fornecendo informações sobre roteador default e prefixo. Passo 4 Se o tipo de atribuição dinâmica de endereços for autoconfiguração stateless, ocorre o seguinte: a. O host constrói o endereço IP unicast que ele pode usar para enviar pacotes através do roteador, usando o prefixo aprendido na mensagem RA, e calculando um ID de interface EUI-64, baseado no endereço MAC do NIe. b. O host usa mensagens DHCP para solicitar a um servidor DHCP stateless pelos endereços IP e nome de domínio do servidor DNS. Passo 4 Se o tipo de atribuição dinâmica de endereço for DHCP stateful, o host usa mensagens DHCP para solicitar a um servidor DHCP stateful pela concessão de um endereço IP/comprimento de prefixo, bem como endereços de roteadores default, endereços e nome de domínio do servidor DNS. NOTA Outras atividades também ocorrem quando um host se inicializa, mas elas estão além do escopo deste livro. O IPv6 inclui vários tipos diferentes de endereços, incluindo unicast e multicast. Para ter um resumo deles, a Tabela 179 apresenta os tipos de endereços IPv6 mencionados neste capítulo, com alguns detalhes, para uma referência mais fácil quando você estiver estudando.

/;~;;~o

Tabela 17-9 Endereços Multicast Link Locais Comuns

:. Chave

Tipo de Endereço

Propósito

Prefixo

Prefixo(s) Hexa

...

Facilmente Reconhecidos Unicast global

Pacotes unicast enviados através da Internet pública

2000: :/3

2 ou 3

Único Local

Pacotes unicast dentro de uma organização

FDOO::/8

FD

LinkLocal

Pacotes enviados dentro da sub-rede local

FE80::/l0

FE8, FE9, FEA, FEB

Multicast (escopo do enlace local)

Multicasts que permanecem dentro da sub-rede local

FF02::/16

FF02

Configurando o roteamento e os protocolos de roteamento IPv6 Para suportar o IPv6, todos os protocolos de roteamento IPv4 tiveram que passar por diversos graus de mudanças, sendo que a mais óbvia foi a de que todos tiveram que ser alterados para suportar endereços e prefixos mais longos. As seções seguintes examinam alguns detalhes a respeito dos protocolos de roteamento e depois mostram como configurar o roteamento e os protocolos de roteamento IPv6 nos roteadores Cisco.

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •

CCNA ICND2

435

• Protocolos de roteamento IPv6

• • • •

Da mesma forma que no IPv4, a maior parte dos protocolos de roteamento IPv6 são IGPs (Interior Gateway Protocols), com o BGP (Border Gateway Protocol) ainda sendo o único EGP (Exterior Gateway Protocol) significativo. Todos estes IGPs e BGP atuais foram atualizados para suportar IPv6. A Tabela 17-10 mostra os protocolos de roteamento e suas novas RFCs (quando apropriado).

•

Tabela 17-10 Atualização nos Protocolos de Roteamento para IPv6

•

Protocolo de Roteamento

Nome Completo

RFC

•

RIPng

RIP Next Generation

2080

•

OSPFv3

OSPF Versão 3

2740

•

MP-BGP4

BGP-4 multiprotocolo

2545/4760

•

EIGRP para IPv6

EIGRP para IPv6

Proprietário

.

-----------------------------------------------------------

•

Cada um destes protocolos de roteamento teve que sofrer diversas alterações para suportar IPv6. As mensagens usadas para enviar e receber informações sobre roteamento foram alteradas, usando-se os cabeçalhos IPv6 ao invés dos cabeçalhos IPv4, e usando-se endereços IPv6 nestes cabeçalhos. Por exemplo, RIPng envia atualizações de roteamento ao endereço de destino IPv6 FF02::9 ao invés do antigo endereço IPv4 RIP-2 224.0.0.9. Além disso, os protocolos de roteamento anunciam tipicamente seu endereço IP link local como sendo o next hop em uma rota, como será mostrado no Exemplo 17-2, mais adiante.

. -----------------------------------------------------------

•• •• •• •• • •• •• •• •• •• •

Os protocolos de roteamento ainda mantiveram vários dos mesmos recursos internos. Por exemplo, o RIPng, sendo baseado no RIP-2, continua sendo um protocolo de vetor distância, com contadores de hop como sendo a métrica, e 15 hops como sendo a rota válida de maior distância (16 é considerado infinito). O OSPFv3, criado especificamente para suportar IPv6, continua sendo um protocolo link-state, com o custo como sendo a métrica, mas com diversas alterações internas, incluindo mudanças nos tipos de LSA (link-state advertisement). Como resultado, o OSPFv2, conforme coberto no Capítulo 9, "OSPF", não é compatível com o OSPFv3. Porém, o conceito operacional principal continua o mesmo.

• Configuração do IPv6 O lOS do roteador Cisco habilita o roteamento (encaminhamento) de pacotes IPv4 por default, com o IPv4 sendo habilitado em uma interface quando a interface tiver um endereço IPv4 configurado. Para protocolos de roteamento IPv4, o protocolo de roteamento deve ser configurado, com o comando network habilitando indiretamente o protocolo de roteamento em uma interface. A configuração do IPv6 segue algumas destas mesmas linhas mestras, com a maior diferença sendo a forma de se habilitar um protocolo de roteamento em uma interface. O lOS do roteador Cisco não habilita o roteamento IPv6 por default, portanto um comando global é necessário para se habilitar o roteamento IPv6. Os endereços IP unicast precisam ser configurados nas interfaces, de modo similar ao IPv4. O protocolo de roteamento precisa ser configurado de modo global, de forma similar ao IPv4. Por último, o protocolo de roteamento precisa ser configurado em cada interface, conforme necessário, mas no IPv6, este processo não usa o subcomando de roteador network. Esta seção mostra um exemplo de configuração, mostrando novamente o Roteador RI da rede da Companhia 1 mostrada nas figuras anteriores deste capítulo. O exemplo usa o RIPng como sendo o protocolo de roteamento. A seguinte lista apresenta os quatro passos principais para se configurar o IPv6:

•

Passo 1 Habilite o roteamento IPv6 com o comando global ipv6 unicast-routing .

••.·:~;~o Passo 2 Habilite o protocolo de roteamento selecionado. Por exemplo, para RIPng, use o comando de configuração

.•

. have

••

global ipv6 router rip name .

Passo 3 Configure um endereço IPv6 unicast em cada interface usando o comando de interface ipv6 address address/prefix-length [eui-64]. Passo 4 Habilite o protocolo de roteamento na interface, por exemplo, com o subcomando de interface ipv6 rip name enable (onde o nome é o mesmo do comando de configuração global ipv6 router rip name).

436 Capítulo 17: IP versão 6

o Exemplo 17-2 mostra a configuração, e mais alguns comandos show. Observe que a configuração do endereço IP é a mesma que a do Exemplo 17-1 anterior. Pelo fato do Exemplo 17-1 ter mostrado a configuração do endereço, este exemplo mostra destaques em cinza somente nos novos comandos de configuração. Exemplo 17-2 Configurando Roteamento e Protocolos de Roteamento IPv6 em RI R1# show running-config ! output is edited to remove lines not p ertinent to t his example

1-

ipv 6 unicast-routing 1-

inter face FastEthernetO/O ipv6 address 2340:1111:AAAA:1::/64 e u i-64 ipv6 rip atag enable

-

interface SerialO/0/1 ipv6 address 2340:1111:AAAA : 2::1/64

-

ipv6 rip atag enable !

interface SerialO/1/1

-

ipv6 address 2340:1111:AAAA:4::/64 eui-64 ipv 6 rip atag enable !

i pv 6 router r i p atag

R1# show ipv6 route IPv6 Routing Table - 10 e n tries Codes:C - Connected, L - Local , S - Static, R - RIP , B - BGP U - Per-user Static route 11 - ISIS L1, 12 - ISIS L2,

IA - ISIS interarea , IS - ISIS s ummary

O - OSPF intra, OI - OSPF inter, OE1 - OSPF ext 1 , OE2 - OSPF ext 2 ON1 - OSPF NSSA ext 1, ON2 - OSPF NSSA ext 2 R : : /0 [120/2] via FE80::213:19FF:FE7B : 2F58,

SerialO/1/1

C 2 340:1111:AAAA : 1:: / 64 [O/O] via .. , FastEthernetO/O L 2340:1111:AAAA:1:213:19FF:FE7B:5004 / 128

[O/O ]

via .. , Fas tEthernetO/O C 2340:1111:AAAA:2: :/64

[O/O]

via o : , SerialO/0/1 L 2340: 1111 : AAAA:2: : 1/128 [O/O] via . . , SerialO/0/1 R 2340:1111:AAAA:3: :/64 [120/2] via FE80::213:19FF:FE7B:5026,

SerialO / 0 / 1

C 2340:1111:AAAA:4: :/64 [O/O] via . . , SerialO/1/1 L 2340:1111:AAAA:4:213 : 19FF:FE7B :5004/128 via . . , SerialO/1/1 L FE80: :/10 [O/O] via .. , NullO L FFOO: : /8 [O/O] via .. , NullO

[O/O]

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2

437

Rl# show ipv6 interface brief FastEthernetO/O

[up/up]

FESO : : 2 13:19FF:FE7B:5004 2340: 11 11:AAAA: l :213:19FF:FE7B : 5004 FastEthernetO/l

[up/up]

unassigned SerialO/O/O

[administratively down/down]

unassigned SerialO/O/l

[up/up]

FESO: :213:19FF : FE7 B :5004 2340:1111:AAAA:2: :1 SerialO/l/0

[adrninistratively down/down]

unassigned SerialO/l/l

[up/up]

FESO: :213:19FF:FE7B:5004 2340:1111:AAAA:4 : 213:19FF:FE7 B :5004

A configuração propriamente dita não exige muito trabalho além da configuração de endereço IPv6 mostrada anteriormente no Exemplo 17-1. O comando ipv6 router rip name exige um nome (anteriormente chamado de tag) que é somente um nome texto para o processo de roteamento. O Exemplo 17-2 mostra a configuração, usando uma tag para o RIP chamada "atag". Esta tag não precisa ser a mesma para os diversos roteadores. No mais, a configuração propriamente dita é bem direta. O comando show ipv6 route apresenta todas as rotas 1Pv6, mostrando algumas diferenças importantes em destaque, na saída do comando. Em primeiro lugar, observe as primeiras linhas em destaque da saída deste comando, e o novo código de roteamento "L". Para cada interface com um endereço unicast, o roteador adiciona a rota geralmente conectada ao prefixo conectado àquela interface. Por exemplo, a primeira linha em destaque dentro deste comando apresenta 2340:1111:AAAA:1: :/64, que é a sub-rede conectada à interface FaO/O de RI. A saída também mostra uma rota para host - uma rota com comprimento de prefixo /128 - como sendo uma rota local. Cada uma destas rotas locais, conforme identificadas pela letra "L", apresenta o endereço específico de cada interface, respectivamente. As próximas linhas em destaque no mesmo comando show ipv6 route mostram algumas informações interessantes sobre next-hop em uma rota aprendida com RIP. O exemplo destaca a rota para a sub-rede 3, mostrando a interface de saída SO/O/l, mas o endereço do next-hop é o endereço IP linklocal de R2, FE80::213:19FF:FE7B:5026. Os protocolos de roteamento IPv6 anunciam tipicamente os endereços link local como sendo os endereços next-hop. Finalmente, a última parte do exemplo mostra a saída do comando show ipv6 interface brief, que apresenta os endereços IP unicast de cada interface. As linhas em destaque mostram o endereço link local primeiro (todos começando com FE8), e depois o endereço unicast global, na interface FaO/O de RI. Cada uma das três interfaces usadas neste exemplo possui tanto o endereço link local, que é gerado automaticamente, como os endereços unicast globais configurados, conforme mostrado na primeira parte do Exemplo 17-2. Configurar os nomes de hosts e servidores DNS nos roteadores para IPv4 pode ser uma pequena conveniência, mas no 1Pv6, pode muito bem ser uma necessidade. Por causa do comprimento dos endereços 1Pv6, até mesmo um simples comando ping exige uma quantidade razoável de digitação e referência à saída de outro comando ou documentação. Portanto, assim como no IPv4, você pode querer configurar nomes de host estáticos nos roteadores, ou se referenciar a um servidor DNS, através dos dois comandos a seguir. Observe que os comandos e a sintaxe são os mesmos que os comandos para 1Pv4, somente com endereços IPv6 usados como parâmetros. - ip host name ipv6-address [second-address [third-address [fourth-address]]] - ip name-server server-addressl [server-address2 ... server-address6] O primeiro comando configure o nome de um host conhecido somente pelos roteadores locais, enquanto que o segundo se refere a um servidor DNS. Observe que o roteador tenta agir como se fosse um cliente DNS, por default, baseado no comando de configuração global default ip domain-lookup. No entanto, se o comando no ip domain-lookup foi configurado, mude o comando de volta para ip domain-lookup para começar a usar serviços de DNS.

438 Capítulo 17: IP versão 6 Enquanto que a configuração e os comandos show do Exemplo 17-2 podem ser úteis para se aprender o básico, é necessário muito mais antes que uma interconexão de rede possa estar pronta para a implantação do IPv6. (Deploying IPv6 Networks (Implantando redes IPv6) de Ciprian Popoviciu et al., publicado pela Cisco Press, é um ótimo recurso, se você quiser ler mais a respeito.) A seção seguinte apresenta rapidamente um dos maiores problemas com relação à implantação, que é como suportar os usuários durante uma migração a nível mundial, de IPv4 para IPv6, o que pode levar décadas.

Opções de transição para IPv6 Embora o IPv6 resolva diversos problemas, uma migração da noite para o dia do IPv4 para o IPv6 é ridícula. A quantidade de dispositivos na Terra que usam números IPv4 está provavelmente na casa dos bilhões, e em alguns casos, mesmo que você quisesse migrar para IPv6, os dispositivos ou seus softwares poderiam nem mesmo ter suporte para IPv6, ou pelo menos suporte bem testado para IPv6. A migração de IPv4 para IPv6 irá durar pelo menos alguns anos, senão décadas. Ainda bem que muito tempo e esforço estão sendo dispensados para se pensar no processo de migração e no desenvol virnento de padrões a respeito de como abordar a questão da migração ou transição. As seções a seguir introduzem as opções principais e explicam o básico. Em especial, estas seções examinam a idéia de se usar pilhas duais, tunelamento e tradução entre as duas versões de IP. Note que nenhuma solução sozinha é tipicamente suficiente para solucionar todos os problemas; muito provavelmente, uma combinação destas ferramentas será necessária na maior parte das redes.

Pilha dupla IPv411Pv6 o termo pilha dupla significa que o host ou o roteador tem ambos, o IPv4 e o IPv6, ao mesmo tempo. Para os hosts, isto significa que o host possui ambos os endereços, IPv4 e IPv6, associado a cada NIC, que o host pode enviar pacotes IPv4 para outros hosts IPv4, e que o host pode mandar pacotes IPv6 para outros hosts IPv6. Para os roteadores, isto significa que, além dos endereços IPv4 comuns, e dos protocolos de roteamento cobertos nos vários outros capítulos deste livro, os roteadores também teriam endereços e protocolos de roteamento IPv6 configurados, conforme mostrado neste capítulo. Para suportar hosts tanto IPv4 quanto IPv6, o roteador poderia então receber e encaminhar tanto pacotes IPv4 quanto pacotes IPv6. A abordagem de pilha dual pode ser um plano de ataque razoável para migrar uma empresa para IPv6, para comunicações dentro da empresa. Os roteadores poderiam ser facilmente migrados para usar pilhas duais, e a maior parte dos sistemas operacionais (SO) dos desktops suporta IPv6 atualmente. Em alguns casos, a atualização poderia exigir hardware ou software novos, mas esta abordagem permite uma migração mais lenta, o que não é necessariamente uma coisa ruim porque a equipe de suporte precisaria de tempo para aprender como o IPv6 funciona.

Tunelamento Outra ferramenta para suportar a transição de IPv4 para IPv6 é o tunelamento. Existem diversos tipos de tunelamento, mas neste caso, a função do túnel tipicamente pega um pacote IPv6 enviado por um host e o encapsula dentro de um pacote IPv4. O pacote IPv4 pode então ser encaminhado através de uma rede IPv4 existente, com outro dispositivo removendo o cabeçalho IPv4, e revelando o pacote IPv6 original. O conceito é muito parecido com o de um túnel VPN, conforme explicado no Capítulo 15, "Redes privadas virtuais". A Figura 17-11 mostra um exemplo típico, com um tipo de túnel genericamente chamado de túnel IPv6-para-IPv4, o que significa IPv6 dentro de IPv4. A figura mostra um exemplo de interconexão de rede de empresas na qual os hosts em algumas das LANs migraram para IPv6, mas a parte central da rede continua executando IPv4. Este pode ser o caso durante uma fase inicial de testes dentro de uma empresa, ou poderia ser feito comumente com um ISP baseado em IPv4, e que possua clientes querendo migrar para IPv6.

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•• • •• •• • •

CCNA ICND2

Figura 17-11 Exemplo de Túnel IPv6-para-IPv4, Visão Física e Lógica Visão Física

ApenaslPv4

•• •• •• ••

•• •

•• •• •• •• •• •• •• •• •• •• •• ••

439

Pacote IPv6

I Cabeçalho IP~4 Pacote IPv6

t L-Desti~o

r--

Pacote IPv6

= 10.2.2.2 L...----Ongem = 10.1.1.1

Visão Lógica do IPv6

Apenas IPv6 PC1

ApenaslPv6 PC2

Túnel O FCOO::1I64

Na figura, o PC1 baseado em IPv6, envia um pacote IPv6. O Roteador RI então encapsula ou tunela o pacote IPv6 em um novo cabeçalho IPv4, com um endereço de destino IPv4 de um endereço no Roteador R4. Os Roteadores R2 e R3 encaminham alegremente o pacote, porque o mesmo possui um cabeçalho IPv4 normal, enquanto R4 desencapsula o pacote IPv6 original, encaminhando-o ao PC2 baseado em IPv6. Isto é chamado de túnel, em parte porque os pacotes IPv6 dentro do túnel não podem ser vistos enquanto estão atravessando o túnel; os roteadores no meio da rede, R2 e R3 neste caso, percebem os pacotes como sendo pacotes IPv4. Existem diversos tipos de túneis IPv6-para-IPv4. Para executar o tunelamento mostrado pelos roteadores da Figura 1711 , os primeiros três dos seguintes tipos de tunelamento poderiam ser usados, com o quarto tipo (túneis Teredo) sendo usado pelos hosts: - MCT (Manually configured tunnels, ou Túneis configurados manualmente): Uma configuração simples na qual são criadas interfaces de túnel, um tipo de interface virtual de roteador, com a configuração fazendo referência aos endereços IPv4 usados no cabeçalho IPv4 que encapsula o pacote IPv6. - Túneis 6t04 dinâmicos: Este termo se refere a um tipo específico de túnel criado dinamicamente, feito tipicamente na Internet IPv4, no qual os endereços IPv4 das extremidades do túnel podem ser encontrados dinamicamente, baseado no endereço IPv6 de destino. - ISATAP (Intra-site Automatic Tunnel Addressing Protocol): Outro método de tunelamento dinâmico, usado tipicamente dentro de uma empresa. De modo diferente dos túneis 6t04, os túneis ISATAP não funcionam se a NAT IPv4 estiver sendo usada entre as extremidades do túnel. -

Thnelamento Teredo: Este método permite que hosts com pilhas duais criem um túnel para outro host, com o próprio host criando o pacote IPv6 e encapsulando o pacote dentro do cabeçalho IPv4.

•

A Figura 17-12 mostra a idéia básica por detrás do túnel Teredo.

•

Figura 17-12 Exemplo de Encapsulamento em um Túnel Teredo Host-para-Host

I Cabeçalho IPV41 Pacote I P v 6 1 t - - - - - - - - - - - - - - - - - - - - - - - - - - I

440 Capítulo 17: IP versão 6

Fazendo traduções entre IPv4 e IPv6 com NAT-PT

nest~

Ambas as classes de recursos para transição IPv6 mencionados até agora capítulo, pilha dupla e túneis, se baseiam no fato de que os hosts finais suportem no mínimo o IPv6, se não ambos, o IPv4 e o IPv6. No entanto, em alguns casos, um host somente IPv4 precisa se comunicar com um host somente IPv6. Uma terceira classe de recursos para transição precisa ser usada neste caso: uma ferramenta que traduza os cabeçalhos de um pacote IPv6 para que se pareça com um pacote IPv4, e vice-versa. Nos roteadores Cisco, o NAT-PT (Network Address Translation - Protocol Translation, ou Tradução de Endereço de Rede - Tradução de Protocolo), definida pela RFC 2766 pode ser usada para executar a tradução. Para fazer seu trabalho, um roteador configurado com NAT-PT deve saber quais endereços IPv6 deve traduzir para quais endereços IPv4 e vice-versa, o mesmo tipo de informação armazenada na tabela de tradução NAT tradicional. E como no NAT tradicional, o NAT-PT permite definição estática, NAT dinâmico e PAT dinâmico, que pode ser usada para se conservar endereços IPv4.

Resumo da transição A Tabela 17-11 resume as opções de transição para IPv6 para facilitar a referência e os estudos.

..........

Tabela 17-11 Resumo das Opções de Transição para IPv6 Nome

Tipo Particular

Pilha dupla

[ TópiCO

'.Chave

....

Descrição

Suporta ambos os protocolos, e envia IPv4 para hosts IPv4 e IPv6 para hosts IPv6

•• •• •• • • •

•• •• •• •• •• • •

Túnel

MCT

Túnel é configurado manualmente; envia IPv6 através de rede • IPv4, tipicamente entre roteadores •

Túnel

6t04

Extremidade dos túneis são descobertas dinamicamente; envia • IPv6 através de rede IPv4, tipicamente entre roteadores •

Túnel

ISATAP

Extremidade dos túneis são descobertas dinamicamente; envia IPv6 através de rede IPv4 entre roteadores; não suporta NAT IPv4

Túnel

Teredo

Tipicamente usado pelos hosts; os hosts criam pacotes IPv6 e • os encapsulam em IPv4 •

NAT-PT

....

Revise os tópicos mais importantes deste capítulo, assinalados com o ícone de tópicos-chave na margem externa • das páginas. A Tabela 17-12 lista uma referência a estes tópicos-chave e onde cada um deles foi discutido. •

Descrição

Figura 17-1

Conceitos de agregação de rotas na Internet IPv6 global

1

1

1

. 1

Tabela 17-12 Tópicos-Chave do Capítulo 17 Elemento do Tópico-Chave

1

:1 · 1 · 1 :1

Revise todos os tópicos-chave /;~~;~o

:1

Roteador faz a tradução entre IPv4 e IPv6; permite que hosts • IPv4 se comuniquem com hosts IPv6 •

Atividades de preparação para o exame

'. Chave

•

Número da Página 419

:

1

. 1 · 1

•

CCNA ICND2

•

Lista

Regras pMa abreviM endereços IPv6

420

•

Lista

Regras pMa escrever prefixos IPv6

422

:

Figura 17-3

Exemplo do processo de atribuição de prefixo

423

•

Lista

Principais passos ao subdividir um prefixo em um prefixo de sub-rede em uma empresa

424

441

. ----------------------------------------------------------•

Figura 17-5

Exemplo e estrutura de sub-redes IPv6

425

•

• •

Figura 17-7

Estrutura dos endereços IPv6 e ID de interface formatada com EUI-64

428

•

-Ta-b-e-Ia--17---6-------------------------L-i-st-a-d-~--q-ua-tr-o-p-n-·n-c-ip-ru-·-s-op-ç-õ-e-s-p-M-a-c-o-nfi--g-ur-a-ç-ão-----4-30-------

•

de endereço IPv6 CompMações entre serviços DHCP IPv6 stateful e stateless

431

•

Tabela 17-7

.

-----------------------------------------------------------

•

Lista

Diferentes tipos e propósitos dos endereços IPv6

432

•

Figura 17-10

Formato e estrutura de endereços lin.k local

433

• • •

Lista

Resumo dos passos que um host executa pMa aprender seu endereço, comprimento do prefixo, DNS e roteador default

434

----------------------------------------------------------------

•

434 Resumo dos prefixos e propósito dos tipos mais comuns de endereços IPv6 -----------------------------------------------------------------------------Lista de verificação pMa configuração do IPv6 435 Lista

•

Tabela 17-11

•

Tabela 17-9

• • •: Complete as tabelas e listas usando a memória •• •• Definição de termos-chave • Lista das opções de transição pMa IPv6

440

Imprima uma cópia do Apêndice J, ''Tabelas de memória", ou pelo menos a seção referente a este capítulo e complete as tabelas e listas usando a memória. O Apêndice K, "Respostas das tabelas de memória", inclui as tabelas e listas completadas pMa você conferir o seu trabalho.

•

• •

Defina os seguintes termos-chave deste capítulo, e verifique suas respostas no glossário:

Autoconfiguração stateless, DHCP stateful, DHCP stateless, endereço link local, endereço unic~t global, endereço único local, NAT-PT, NDP (Neighbor Discovery Protocol), pilhas duais, prefixo de ISP, prefixo de registro, prefixo de site, prefixo de sub-rede, RIR (Regional Internet Registry)

•• Referência aos comandos para verificar sua memória •• •• •

Embora você não precise necessariamente memorizM as informações d~ tabel~ desta seção, ela inclui uma referência pMa os comandos de configuração e EXEC cobertos neste capítulo. Na prática, você deve memorizM os comandos como reflexo da leitura do capítulo e da execução de todas as atividades desta seção de prepMação pMa o exame. PMa verificM o quão eficientemente você memorizou os comandos como reflexo de seus outros estudos, cubra o lado esquerdo da tabela com uma folha de papel, leia as descrições do lado direito e veja se você se lembra do comando.

442 Capítulo 17: IP versão 6 Tabela 17-13 Referência aos Comandos de Configuração do Capítulo 17

• •• •

Comando Descrição ------------------------------------------------------------------ . ipv6 unicast-routing Comando global que habilita roteamento IPv6 no roteador

--------------------------------------------------------------- . ipv6 router rip tag Comando global que habilita RIPng --------------------------------------------------------------- . ipv6 rip name enable Subcomando de interface que habilita RIPng na interface

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

ipv6 address {ipv6-address/prefix-length I Subcomando de interface que configura manualmente o endereço IP • prefix-name sub-bits/prefix-length} eui-64 inteiro da interface, ou um prefixo /64, com o roteador montando o ID da • interface no formato EUI-64 automaticamente

ipv6 host name ipv6-address1

Comando global que cria a definição de um nome de host estático

[ipv6-address2 ... ipv6-address4]

ip name-server server-address1 [server-address2 ... server-address6]

[no] ip domain-Iookup

Comando global para apontar um ou mais nomes de servidores, para converter um nome em endereço IPv4 ou IPv6 Comando global que habilita o roteador a ser um cliente DNS, ou com a opção no, desabilita o roteador como sendo um cliente DNS

Tabela 17-14 Referência aos Comandos EXEC do Capítulo 17 Comando

Descrição

--------------------------------------------------------------- . show ipv6 route

Lista rotas IPv6

--------------------------------------------------------------- . show ipv6 route ip-address

Lista a(s) rota(s) que este roteador iria encontrar, para pacotes enviados ao endereço listado

show ipv6 route [prefixlprefix-length]

Lista a rota para o prefixo/comprimento listado especificamente

show ipv6 interface [type number]

Lista configurações do IPv6 em uma interface, incluindo endereços link local e outros endereços IP unicast

show ipv6 interface brief

Lista o estado da interface e os endereços IPv6 para cada interface

•• •• •• •

•• •• •• ••

•• • •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

443

•• •• •• •• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •• •• Parte VI: Preparação Final •• •. ----------------------------------------•• •• •• •• •• •• •• •• •• •• •• •• •• •• • Capítulo 18 Preparação Final

•• •• •• ••• •• •• •• • ------------------------- • •• •• •• •• •• •• •• •• •• •• •• •• •• •

.

•• •• ••

CAPíTULO

18

•• Preparação Final •• •• •• •• •• •• •• •• •

Os primeiros 17 capítulos deste li vro cobrem as tecnologias, os protocolos, os comandos e os recursos que você precisa entender para passar no exame rCND2. Embora esses capítulos forneçam as informações em detalhes, a maioria das pessoas precisa de uma maior preparação além de simplesmente ler os 17 primeiros capítulos. Este capítulo detalha um conjunto de ferramentas e um plano de estudos para ajudar você a completar sua preparação para os exames. Se estiver se preparando para o exame CCNA através da leitura tanto deste livro como do CCENT/CCNA ICNDJ Official Exam Certification Guide (Guia oficial de certificação do exame CCENT/CCNA rCNDl), você sabe que ambos os livros possuem um capítulo de preparação final. Porém, você pode se referenciar somente a este capítulo para ler a respeito do plano de estudos sugerido porque este capítulo faz referência às ferramentas tanto deste livro como do livro rCNDI. Basta procurar pelos textos destacados em cinza, como nesta frase, para sugestões que se aplicam à preparação para o exame CC NA (640-802), mas não à preparação para o exame rCND2 (640-816). Este pequeno capítulo possui duas seções principais. A primeira seção apresenta as ferramentas de preparação para o exame que podem ser úteis neste ponto de seu plano de estudos. A segunda seção apresenta a sugestão de um plano de estudos, agora que você já completou todos os capítulos anteriores. NOTA Este capítulo faz referência a vários capítulos e apêndices deste livro. Alguns dos apêndices, começando pelo Apêndice D, estão disponíveis no idioma original no site da editora www.altabooks.com.br.

•• •• •• o •• •• •• •• •• •

Ferramentas para preparação final

Esta seção apresenta algumas informações a respeito das ferramentas disponíveis e como acessá-las.

CCNA Prep Center da Cisco

A Cisco oferece uma grande variedade de ferramentas de preparação para CCNA em um website da Cisco Systems, chamado CCNA Prep Center. O CCNA Prep Center inclui demonstrações da interface de usuário do exame, exemplos de perguntas, vídeos informativos, fóruns de discussão e outras ferramentas . Para usar o CCNA Prep Center, você precisa de um login registrado em http://www.cisco.com. Para se registrar, basta ir para http://www.cisco.com.clicar em Register na parte superior da página, e fornecer algumas informações. (Você não precisa trabalhar para a Cisco ou para uma de suas parceiras para obter um login.)

Depois que tiver se registrado, vá para http://www.cisco.com/go/prepcenter. e procure pelo link para o CCNA Prep Center. Ali, você poderá fazer login e explorar os diversos recursos.

Capítulos adicionais sobre divisão em sub-redes, páginas de referência e problemas práticos (em inglês)

•• •

Ser capaz de analisar o endereçamento IP e a divisão em sub-redes em qualquer rede rpv4 deve ser a habilidade única mais importante para todos os exames CCNA. O Capítulo 12 de CCENT/CCNA ICNDJ Official Exam Certification Guide (Guia oficial de certificação do exame CCENT/CCNA rCNDl), "JP Addressing and Subnetting" (Endereçamento IP e divisão em sub-redes), cobre a maior parte destes detalhes, com o Capítulo 5 deste livro, "VLSM e sumarização de rotas", complementando o quadro ao explicar o VLSM. (Caso você não tenha o livro rCNDl, o Capítulo 12 do rCNDl

448 Capítulo 18:Preparação Final está incluído neste livro na forma do Apêndice H, "Endereçamento IP e divisão em sub-redes"). Este livro inclui diversas ferramentas para ajudar você a praticar e melhorar suas habilidades com relação à divisão em sub-redes: -

Subnetting Reference Pages: O Apêndice E, disponibilizado em inglês no site da editora - www.altabooks.com.br. "Subnetting Reference Pages" (Páginas de referência para divisão em sub-redes) resume os processos binário e de atalho decimal, explicados tanto no Capítulo 12 do rCNDl quanto no Capítulo 5 deste livro. Cada página de referência apresenta um único processo relacionado à divisão em sub-redes, juntamente com informações de referência úteis para o respectivo processo. Estes processos resumidos podem ser ferramentas mais convenientes para quando você estiver praticando a divisão em sub-redes, se comparado a ficar virando as páginas até os capítulos relativos à divisão em sub-redes, a procura do processo correto.

-

Subnetting Practice: O Apêndice D, disponibilizado em inglês no site da editora - www.altabooks.com.br. "Subnetting Practice" (Praticando a divisão em sub-redes), contém uma grande variedade de problemas para praticar a divisão em sub-redes, incluindo 25 problemas para os quais você precisa encontrar o número da sub-rede, o endereço de broadcast da sub-rede, e a faixa de endereços IP válidos. Este apêndice mostra como usar tanto os processos binários como os de atalho para encontrar as respostas.

Cenários Conforme mencionado na introdução deste livro, algumas das perguntas do exame exigem que você use as mesmas habilidades comumente usadas para resolver problemas em redes reais. As seções relativas à resolução de problemas e os capítulos tanto do livro rCNDl quanto do rCND2 ajudam você a se preparar para estes tipos de perguntas. Outra maneira de se preparar para as perguntas relativas à resolução de problemas dos exames é pensar em diferentes cenários de redes, prevendo o que deveria acontecer, e investigando se a rede está executando aquilo que deveria. O Apêndice F "Additional Scenarios" (Cenários adicionais), tanto deste livro quanto do livro rCNDl , inclui vários cenários que apresentam algumas tarefas que você deveria tentar antes de ler a solução sugerida, apresentada posteriormente no apêndice. Ao ler estes cenários e fazer os exercícios, você poderá praticar algumas das habilidades necessárias quando você estiver analisando e resolvendo problemas de redes.

Plano de estudos Você poderia simplesmente estudar usando todos os recursos disponíveis, conforme mencionado anteriormente neste capítulo. No entanto, esta seção sugere um plano de estudos em particular, com uma seqüência de tarefas que pode funcionar melhor do que simplesmente usar os recursos de forma aleatória. Porém, fique à vontade para usar as ferramentas de qualquer maneira e a qualquer hora, de modo a ajudar você a se preparar de modo completo para o exame. Se você estiver se preparando somente para o exame rCND2, você pode ignorar as partes destacadas em cinza deste plano de estudos. Se você estiver estudando para o exame CCNA usando o livro rCNDl também, inclua as tarefas destacadas em cinza. O plano de estudos sugerido separa as atividades em quatro categorias: -

Recorde os Fatos: Atividades que ajudam você a se lembrar de todos os detalhes dos primeiros 17 capítulos deste livro:

-

Pratique a Divisão em Sub-redes: Você deve dominar a divisão em sub-redes para ser bem-sucedido nos exames rCNDl, rCND2 e CCNA. Esta categoria apresenta os itens que você pode usar para praticar as habilidades em efetuar divisão em sub-redes.

-

Desenvolva Habilidades na Resolução de Problemas Através de Cenários: Para responder a algumas questões do exame que apresentam um cenário, você poderá precisar recordar fatos, efetuar matemáticas relacionadas à divisão em sub-redes de modo rápido e preciso, e usar um simulador na prática - tudo para responder a uma única pergunta. Esta seção do plano sugere atividades que ajudarão você a reunir estas diferentes habilidades.

Recorde os fatos Como na maioria dos exames, você precisa se lembrar de di versos assuntos, conceitos e definições para se sair bem no teste. Esta seção sugere um par de atividades que devem ajudar você a se lembrar de todos os detalhes:

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• ••

•• •• •• •• •• •• •• •• •

•• • ••

•• •• •• ••

•• •• •• •

CCNA ICND2

449

Passo 1 Revise e repita, conforme necessário, as atividades da seção "Atividades de preparação para o exame" ao fmal de cada capítulo. A maior parte destas atividades ajudará você a refinar seu conhecimento a respeito de um tópico, ao mesmo tempo em que ajuda também a memorizar os assuntos. Para a preparação para o exame CCNA, faça isto para os Capítulos de 2 a 17 do livro rCNDI, bem como para os Capítulos de 1 a 17 deste livro.

Passo 2 Revise todas as perguntas dos questionários ''Eu já conheço isto?" no começo de cada capítulo. Embora as perguntas possam ser familiares, lê-los novamente irá ajudar você a se lembrar melhor dos tópicos cobertos nas questões. Além disso, as perguntas do "Eu já conheço isto?" tendem a cobrir os tópicos mais importantes do capítulo, e nunca é demais recordar estes tópicos.

Pratique a divisão em sub-redes Sem dúvida, a habilidade mais importante que você precisa para ser bem-sucedido e passar nos exames rCNDI , rCND2 e CCNA, é a de ser capaz de responder a questões sobre divisão em sub-redes de forma precisa, segura e rápida. Todos os exames CCNA possuem um certo elemento relacionado à pressão com relação a tempo; as perguntas mas estressantes são as sim, sirnlet e perguntas sobre divisão em sub-redes. Portanto, você deve praticar a matemática e os processos relativos à divisão em sub-redes, até que você possa encontrar a resposta correta de forma consistente, em um intervalo de tempo razoável. Antes de sugerir a forma como você deveria se preparar para as perguntas relativas à divisão em sub-redes, por favor, note que existem diversos métodos alternativos para encontrar as respostas às perguntas sobre divisão em sub-redes. Por exemplo, você pode usar matemática binária para todos os 32 bits de endereços e números das sub-redes. De forma alternativa, você poderia reconhecer que 3 dos 4 octetos na maioria dos problemas relativos à divisão em sub-redes são facilmente previsíveis sem matemática binária e depois usar a matemática binária no último octeto interessante. Outra opção seria usar atalhos decimais. (Este tópico foi coberto no Capítulo 12 do rCNDI e no Apêndice H deste livro.) Atalhos não exigem nenhuma matemática binária, mas exigem que você pratique um processo até que você o tenha memorizado. Você pode até mesmo usar variações destes processos conforme ensinado em outros livros ou aulas. Não importa o processo que você preferir, você deve praticá-lo até que possa usá-lo de modo preciso, seguro e rápido. A lista de sugestões de atividades a seguir inclui atividades práticas que você pode usar, não importa o processo que você tenha escolhido. Em alguns casos, esta lista inclui itens que ajudam você a aprender sobre os atalhos incluídos neste livro:

Passo 1 Veja ou Imprima o Apêndice E "Subnetting Reference Pages" (páginas de referência para divisão em sub-redes). Este pequeno apêndice, disponibilizado em inglês no site da editora - www.altabooks.com.br. inclui uma série de resumos de página única dos processos de divisão em sub-redes encontrados no Capítulo 12 do rCNDI (e no Apêndice H deste livro, que é uma cópia do Capítulo 12 do rCNDI). O Apêndice E inclui páginas de referência que resumem tanto o processo binário quanto o de atalho decimal para o processo de divisão em subredes.

Passo 2 Veja ou imprima o Apêndice D, "Subnetting Practice" (praticando a divisão em sub-redes). Este apêndice, sisponibilizado em inglês no site da editora - www.altabooks.com.br. inclui problemas suficientes para praticar a divisão em sub-redes, de modo que, através de repetição, você possa melhorar significativamente sua velocidade e absorver os processos de atalho. Planeje trabalhar nestes problemas até que você possa obter a resposta correta de forma consistente e rápida e não precise mais parar e pensar a respeito do processo para encontrar a resposta. O objetivo é tornar o processo automático para encontrar as respostas de tais problemas. Candidatos ao exame CCNA: o Apêndice D do ICND2 contém todos os problemas do Apêndice D do ICNDI, mais alguns outros, portanto use o Apêndice D do ICND2.

Passo 3 Pratique a Divisão em Sub-Redes com o Jogo de Divisão em Sub-Redes da Cisco. A Cisco possui um jogo para divisão em sub-redes, disponível no CCNA Prep Center da Cisco. Ele apresenta diversos cenários para divisão em sub-redes e torna divertido praticar a divisão em sub-redes. Basta ir ao CCNA Prep Center (http:// www.cisco.comlgo/prepcenter). façalogincomseuIDdeUsuárioCisco.com. selecione a guia Additional Information, e procure pelo link para baixar o jogo. (Se você não possui um login, você pode criar um a partir desta página de web.)

Passo 4 Desenvolva seus próprios problemas para prática usando uma calculadora de sub-redes. Você pode baixar várias calculadoras de sub-redes gratuitas da Internet, inclusive uma disponível na Cisco que é parte do

450

Capítulo 18:Preparação Final CCNA Prep Center. Você pode inventar seus próprios problemas de divisão em sub-redes, como os do Apêndice D, resolver os problemas, e depois conferir suas respostas usando a calculadora de sub-redes.

Desenvolva habilidades na resolução de problemas através de cenários Assim como um problema real em uma rede real pode ter sido provocado por diversas razões - um protocolo de roteamento, um cabo com problema, Spanning Tree, uma ACL incorreta, ou até mesmo erros em sua documentação a respeito da interconexão da rede - o exame faz com que você aplique uma grande variedade de conhecimentos para responder a questões individuais. A única atividade para esta seção é a seguinte:

- Revise os cenários do Apêndice F deste livro (disponibilizado em inglês no site da editora www.altabooks.com.br). Estes cenários fazem com que você pense a respeito das questões cobertas em vários capítulos deste livro. Eles também exigem pensamentos mais abstratos para resolver o problema. Os candidatos ao exame CCNA devem revisar os cenários do Apêndice F de ambos os livros.

Sumário As ferramentas e sugestões apresentadas neste capítulo foram criadas com um objetivo em mente: ajudar você a desenvolver as habilidades necessárias para passar nos exames ICND2 e CCNA. Este livro, e seu companheiro, o livro ICNDI, foi desenvolvido não apenas para informar você a respeito dos fatos, mas para ajudar você a aprender como aplicar os fatos . Não importa qual o seu nível de experiência quando você fizer os exames, é nossa esperança de que a grande variedade de ferramentas para preparação, e até mesmo a estrutura destes livros e o foco na resolução de problemas, irão ajudar você a passar nos exames com facilidade. Desejo-lhe boa sorte nos exames.

•• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •

•• •• •• •

•• •• ••

• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

451

••

•• •• •• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• ••

•• •• •• •• •• •• •• ••

•• •• •• •

•• •• •• •• •• •• ••

Parte VII: Apêndices

Apêndice A Respostas para os questionários "Eu já conheço isto?" Apêndice B Tabela de conversão de decimal para binário Apêndice C Atualizações no exame ICND2: Versão 1.0 Glossário

•• •• •• •• •• •• •• •• ----------------------- • •• •• •• •• •• •• •• •• •• •• •• •• •• •

.

•• •• •

AP Ê N DICE

•: Respostas para os questionários

A

• "Eu já conheço isto?"

•• ••

• Capítulo 1

•• •• •• •• •• •• •

•• ••

•• •• •• •• •• •• • •

1. B 2. D. Embora uma sub-rede e uma VLAN não sejam conceitos equivalentes, os dispositivos em uma VLAN estão tipicamente na mesma sub-rede, e vice-versa.

3. B 4. C 5. B e C 6. A e C. A configuração auto significa que o switch pode negociar o trunking, mas pode somente responder a mensagens de negociação e não pode iniciar o processo de negociação. Portanto, o outro switch deve ser configurado para fazer trunking ou para iniciar o processo de negociação (dependendo se está configurado com a opção dynamic desirable) . 7. A. A configuração VTP default do modo VTP servidor significa que o switch pode configurar VLANs, portanto a VLAN é configurada. No entanto, estando no modo servidor, os comandos de configuração aparecem apenas na saída do comando show vlan brief, e não são apresentados como parte do arquivo running-config.

8. B eC 9. C. O VTP não exige uma senha, embora se a senha for usada, ela deve coincidir. O VTP envia atualizações VTP imediatamente após uma mudança na base de dados da VLAN. No entanto, o VTP envia apenas mensagens VTP através de trunks, e o default dos 2960s é usar o modo administrativo de trunking auto, o qual não inicia o processo de negociação de trunking. Portanto, nenhum dos switches forma automaticamente um trunk, e nenhuma mensagem VTP é enviada. lO. C e D. O nome do domínio e a senha devem ser iguais, e os switches devem se conectar usando um trunk antes que o VTP possa funcionar. É normal ter alguns switches como servidores e alguns como clientes. Uma configuração de pruning diferente não impede a sincronização das bases de dados de VLAN.

Capítulo 2 1. A e B. Estados de Escuta e de Aprendizado são estados transitórios de porta, usados apenas quando se passa do estado de Bloqueio para o estado de Encaminhamento. Descarte não é um estado de porta STP 802.Id. 2. C e D. Estados de Escuta e de Aprendizado são estados transitórios de porta, usados apenas quando se passa do estado de Bloqueio para o estado de Encaminhamento. Descarte não é um estado de porta STP 802.Id. Estado de Encaminhamento e de Bloqueio são estados estáveis. 3. C. O menor número de ID de bridge vence a eleição. 4. B. Switches que não são raiz encaminham Hellos recebidos da raiz; a raiz envia estes Hellos baseado no temporizador de Hello configurado na raiz.

456

Apêndice A: Respostas para os questionários "Eu já conheço isto?"

5. E 6. B e D. O padrão IEEE 802.1w, chamado Rapid STP, oferece uma convergência STP muito mais rápida. 7. B e D. O RSTP usa estados de Encaminhamento, de Aprendizado e de Descarte para portas, com os estados de Encaminhamento e de Aprendizado executando as mesmas funções básicas que os estados de porta STP com o mesmo nome.

8. B e C 9. B. Os switches Cisco usam um sistema estendido de formato de ID para IDs de bridge por default, no qual o campo de prioridade é dividido em um valor de prioridade base (32.768, neste caso), mais o ID da VLAN. A prioridade deste switch permite que ele possa ser o switch raiz, mas a saída do comando não fornece informações suficientes para saber se este switch é a raiz no momento. 10.B. As duas interfaces possuem um custo de porta default de 19 (FaO/13) e 4 (GiO/1), fazendo com que o custo de SW3 para alcançar a raiz seja de 10+19 = 29 a partir de FaO/13, e 20+4 = 24 através de GiO/1. Portanto, SW3 seleciona GiO/1 como sendo sua porta raiz. SW3 poderia então anunciar um custo de 24 (custo para alcançar a raiz) Helio através de FaO/13, mas seria inferior ao Helio já sendo recebido em FaO/13 (custo 10), portanto SW3 não escolheria FaO/13 como uma porta designada.

Capítulo 4 1. D. o host pode precisar usar DHCP (Dynamic Host Configuration Protocol, ou Protocolo de Configuração Dinâmica de Host) para adquirir um endereço IP, e provavelmente iria usar um DNS (Domain Name System, ou Sistema de Nome de Domínio) para converter www.ciscopress.com em um endereço IP. Ele também usaria o ARP (Address Resolution Protocol, ou Protocolo para Resolução de Endereço) para encontrar o endereço MAC do gateway default porque o cache do ARP teria sido limpo como parte do processo de inicialização. 2. B. O comando ping 2.1.1.2 não usa o nome de um host, portanto não é necessário um servidor DNS. Um cliente DHCP não precisa conhecer o endereço IP do servidor DHCP para usar o DHCP. Não existe servidor ARP. No entanto, para enviar o pacote para outra sub-rede, o PC precisa conhecer o endereço IP de seu gateway default. 3. AeF 4. C. Com o comando no ip subnet-zero configurado, o roteador não permitirá que nenhuma interface seja configurada com um endereço IP na sub-rede zero. Das respostas apresentadas, a sub-rede 10.0.0.0255.254.0.0 é uma subrede zero, com uma faixa de endereços de 10.0.0.1 a 10.1.255.254. O comando ip address 10.1.2.2255.254.0.0 seria rejeitado. 5. C. A letra "s" significa que a rota é uma rota estática, que é definida através do comando de configuração global ip

route. 6. A. A sintaxe correta apresenta um número de sub-rede, depois uma máscara de sub-rede no formato decimal com pontos, e depois uma interface de saída ou um endereço IP next-hop.

7. A 8. B. Com o roteamento c1assless habilitado, o roteador usa a rota default, caso nenhuma outra rota seja encontrada. A linha começando com "Gateway of last resort... " apresenta o endereço IP do roteador next-hop, 168.13.1.101, que será usado como rota default.

Capítulo 5 1. B, C e D 2. A. Observe que às vezes, VLSM significa variable-length subnet masking (ou máscara de sub-rede de comprimento variável), que se refere ao processo de usar diferentes máscaras na mesma rede c1assful, enquanto que subnet mask (máscara de sub-rede) se refere às máscaras de rede propriamente ditas. 3. C e D. Sub-rede 10.5.0.0 255.255.240.0 implica na faixa 10.5.0.0 -10.5.15.255, que não se sobrepõe. 10.4.0.0 255.254.0.0 implica na faixa 10.4.0.0 - 10.5.255.255, que se sobrepõe. 10.5.32.0 255 .255 .224.0 implica na faixa

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

• •• •• •• •• •• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •• •

CCNAICND2

457

10.5.32.0 -10.5.63.255, que se sobrepõe. 10.5.0.0255.255.128.0 implica na faixa 10.5.0.0 -10.5.127.255, que se sobrepõe. 4. C. Todas as respostas apresentadas incluem a faixa para todas as três sub-redes, exceto para 10.3.64.0255.255.224.0, que implica na faixa de endereços de 10.3.64.0 - 10.3.95.255. Das outras três respostas, 10.3.64.0255.255.192.0 é a menor faixa (10.3.64.0 - 10.3.127.255). Também é a menor sumarização de rota única que inclui todas as três sub-redes da pergunta. 5. C e D. 10.0.0.0255.0.0.0 implica na faixa de todos os endereços começados com lO, e 10.1.0.0255.255.0.0 implica na faixa de todos os endereços começados com 10.1, portanto ambas as respostas incluem todas as faixas de endereço apresentadas na pergunta. 10.1.32.0255 .255.224.0 implica na faixa de 10.1.32.0 -10.1.63.255, que inclui todos os endereços apresentados na pergunta. 10.1.55.0255.255.255.0 implica na faixa de somente 10.1.55.0 10.1.55255, que não inclui todos os endereços. 10.1.48.0255.255.248.0 implica na faixa de endereços de 10.1.48.0 - 10.1.55.255, que omite duas das sub-redes apresentadas na pergunta. 6. B, C e D 7. A, B e C 8. A. Redes não contíguas são permitidas desde que a sumarização automática esteja desabilitada. OSPF nem mesmo suporta sumarização automática, portanto usar o OSPF resolveria o problema. RIP-1 não consegue desabilitar a sumarização automática. EIGRP consegue desabilitar a sumarização automática, mas a mesma fica habilitada, por default.

• Capítulo 6 1. A e C. ACLs padrão verificam o endereço IP de origem. Uma ACL pode identificar a faixa de endereços 10.1.1.1 - 10.1.1.4, mas são necessários múltiplos comandos access-list. Pode-se casar todos os hosts na sub-rede de Barney através do comando access-Iist 1 permit 10.1.1.0 0.0.0.255. 2. D. 0.0.0.255 casa todos os pacotes que possuem os mesmos 3 primeiros octetos. Isto é útil quando você quer identificar uma sub-rede na qual a parte referente à sub-rede é formada pelos 3 primeiros octetos, como neste caso. 3. E. 0.0.15.255 casa todos os pacotes com os mesmos primeiros 20 bits. Isto é útil quando você quer identificar uma sub-rede na qual a parte referente à sub-rede é formada pelos 20 primeiros bits, como neste caso. 4. E e F. ACLs estendidas podem olhar para os cabeçalhos de Camada 3 (IP) e de Camada 4 (TCP, UDP), e alguns outros, mas para nenhuma informação da camada de aplicação. ACLs estendidas nomeadas podem olhar para os mesmos campos que uma ACL estendida numerada. 5. A e E. A faixa correta de números ACL para listas de acesso IP estendidas é de 100 a 199 e de 2000 a 2699. As respostas que apresentam o parâmetro eq www depois de 10.1.1.1 casam o número da porta de origem, e os pacotes estão indo em direção ao web server, e não do contrário. 6. E. Pelo fato do pacote estar indo em direção a qualquer cliente web, você precisa verificar o número da porta do servidor web como sendo uma porta de origem. A faixa de endereço IP do cliente não está especificada na questão, mas os servidores estão, portanto o endereço de origem começando por 172.16.5 é a resposta correta. 7. E. ACLs IP estendidas nomeadas podem identificar exatamente o mesmo conjunto de campos que as ACLs IP estendidas numeradas. 8. A e C. Antes do lOS 12.3, as ACLS numeradas precisavam ser removidas e depois re-configuradas para se remover uma linha da ACL. A partir do lOS 12.3, você também pode usar o modo de configuração ACL e números seqüenciais para apagar uma linha da ACL de cada vez. 9. C. O currículo autorizado da Cisco sugere a resposta C para ACLs IP estendidas, sugerindo que as ACLs padrão sejam colocadas o mais próximo possível do destino. 10. C. ACLs dinâmicas exigem que o usuário faça telnet no roteador e se autentique usando um nome de usuário e senha, o que faz então com que o roteador aceite pacotes enviados pelo host.

458 Apêndice A: Respostas para os questionários "Eu já conheço isto?"

Capítulo 8 1. A e B 2. D eF 3. CeD 4. B,C,DeE

•• •• • •• •

•

5. B. Protocolos vetor distância se baseiam em atualizações periódicas completas de roteamento de seus vizinhos . para confIrmar que o vizinho ainda está funcionando. •

I

6. D. O split horizon faz com que um roteador não anuncie rotas por uma interface se a rota fIzer com que os pacotes _ sejam enviados pela mesma interface. • 7. D. Envenenamento de rota (route poisoning) signifIca anunciar a rota em falha com uma métrica "infInita", em _ oposição à simplesmente parar de anunciar a rota. Poison reverse é o envenenamento de rota através do anúncio • de uma rota que não estava sendo anunciada previamente por causa do split horizon. 8. A. O roteador não deveria enviar imediatamente uma atualização completa. Em vez disso, os protocolos vetor .distância enviam imediatamente uma atualização parcial de roteamento, enviando apenas a rotas envenenada. 9. B. Protocolos link-state re-injetam cada LSA em um intervalo de tempo periódico, porém mais longo. Com RIP, o • temporizador para atualização é de 30 segundos, e com OSPF, o temporizador é de 30 minutos. • 1O.B. Protocolos link-state reúnem informações sobre a interconexão de rede na forma de LSAs, que permanecem na • memória na base de dados do link-state. O roteador então executa o algoritmo SPF para calcular a rota com a • melhor métrica deste roteador para alcançar cada sub-rede.

Capítulo 9

-••

1. A. O OSPF calcula a métrica baseado no custo associado a cada interface. O OSPF, por default, calcula o custo da • interface baseado na confIguração de largura de banda. • 2. A e D. O OSPF usa o algoritmo SPF, criado por um matemático chamado Dijkstra. 3. A e D. Os roteadores devem usar o mesmo tipo de autenticação e, neste caso, a mesma chave para autenticação. Além disso, o número da sub-rede e a faixa de endereços, conforme calculado a partir dos endereços IP e máscaras da interface, devem estar na mesma sub-rede.

•• •

4. B. Roteadores OSPF vizinhos que completam a troca de base de dados são considerados totalmente adjacentes e • permanecem no estado de vizinho Full. • 5. De E. O DR é eleito baseado na maior prioridade OSPF. Se houver empate, será baseado no maior RIO OSPF. No entanto, depois que o DR é eleito, o papel de DR não pode ser tomado por um roteador melhor até que o DR e o BDR tenham perdido a conexão com a sub-rede. O DR tenta fIcar totalmente adjacente a todos os outros roteadores da sub-rede como parte do processo otimizado de troca de base de dados.

• • • •

6. B. O comando network 10.0.0.0 0.255.255.255 area O funciona porque casa todas as interfaces cujo primeiro • octeto é 10. O comando network 10.0.0.1 0.255.255.0 area O usa uma lógica de combinação que casa todas as interfaces cujo primeiro octeto é 10 e o último octeto é 1, o qual casa todos os três endereços IP de interface. No • entanto, a máscara curinga nos comandos network do OSPF podem ter apenas uma string de 1s binários consecutivos, _ com todos os demais dígitos sendo Os binários, e esta máscara curinga quebra esta regra. 7. A. O comando network 0.0.0.0 255.255.255.255 area O casa todos, os endereços IP como resultado da máscara curinga 255.255.255.255, portanto este comando habilita OSPF na Area O em todas as interfaces. A resposta com a máscara curinga 0.255.255.0 é ilegal porque representa mais de uma string de Os binários separada por 1s binários. A resposta com x's está sintaticamente incorreta. A resposta com máscara curinga 255.0.0.0 signifIca "Case todos os endereços cujos 3 últimos octetos sejam 0.0.0", portanto nenhuma das três interfaces é casada.

• • •

. •

•

CCNA ICND2

•• •• •• •• • •• •• •• •• •• •• •• •• •• •• •• •

•

••

•• •• •• ••

459

8. A, B e E 9. B e D. Para que o estado de vizinho de R3 no roteador R2 seja Full, R2 e R3 devem ter passado pelo processo de autenticação, conforme exigido pela configuração de R2. A chave para autenticação deve estar configurada com o subcomando de interface ip ospf authentication message-digest-key. No entanto, o tipo de autenticação não precisa ser configurado com o subcomando de interface ip ospf authentication message-digest-key. RI está em um estado Init por causa de um dentre diversos problemas que podem ocorrer, e que impedem vizinhos de se comunicar, portanto não se pode determinar se o problema de RI é um problema de autenticação. 1O.D. O subcomando de roteador do OSPF maximum-paths number configura a quantidade de rotas de custos iguais adicionadas na tabela de roteamento. Este comando possui uma configuração default de 4.

Capítulo 10 1. A e B 2. D 3. B. O FD (Feasible Distance) é a métrica para a melhor rota, para todas as rotas conhecidas para se alcançar uma sub-rede. A melhor rota é chamada de rota para sucessor, e ela é adicionada na tabela de roteamento IP. 4. C. O RD (reported distance) de uma rota é a métrica usada pelo vizinho que anunciou a rota. Um roteador a usa para determinar quais rotas atendem à condição de viabilidade pela qual a rota pode ser uma rota para sucessor possível. 5. A e C. O comando network do EIGRP suporta como parâmetro uma rede classful, habilitando o EIGRP em todas as interfaces desta rede classful, ou um endereço e uma máscara curinga. No último caso, os endereços IP de interface que casam com o endereço configurado, quando a lógica do tipo ACL é aplicada com a máscara curinga, são os endereços identificados pelo comando. 6. C e D. O comando network 10.0.0.2 0.0.0.0 do EIGRP identifica exatamente a interface com o endereço 10.0.0.2 por causa da máscara curinga, habilitando o EIGP nesta interface. O valor de ASN do EIGRP deve ser o mesmo em ambos os roteadores. O comando network 10 está sintaticamente incorreto; toda a rede classful deve ser configurada. 7.

c. O primeiro número entre parênteses é a métrica calculada para a rota, e o segundo número é o RD (reported distance) da rota. A rota através de 10.1.6.3 é a rota para sucessor, portanto não é uma rota para sucessor possível. Para as outras duas rotas, apenas o RD da terceira rota é menor ou igual ao FD (jeasible distance, ou a métrica da rota para sucessor).

8. B e D. A chave MD5 deve ser configurada. Ela não é configurada através de um sub comando de interface, mas como parte de uma cadeia de chaves. O tempo de vida útil de uma chave pode ser configurado, mas não é obrigatório.

9. F

Capítulo 12 1. C. Das respostas possíveis, apenas PAP e CHAP são protocolos de autenticação do PPP. O PAP envia a senha na forma de texto claro entre os dois dispositivos. 2. C. O LCP (Link Control Protocol, ou Protocolo de Controle de Enlace) do PPP controla as funções que se aplicam ao enlace, não importando o protocolo de Camada 3, incluindo a detecção de link em loop, monitoramento da qualidade da linha e autenticação. 3. A e D. Ambos os roteadores precisam de um comando encapsulation ppp, e ambos também precisarão de endereços IP antes que o ping possa funcionar. RI não precisa de um comando clock rate porque R2 está conectado ao cabo DCE. 4. D. O comando username em um roteador deve se referir ao nome do host do outro roteador, diferenciando letras maiúsculas de minúsculas.

460 Apêndice A: Respostas para os questionários "Eu já conheço isto?" 5. B e D. A saída mostra encapsulamento PPP, o que significa que a interface está configurada para usar PPP. Os estados da linha e do protocolo estão ambos up, o LCP está aberto, e tanto o CDPCP quanto o IPCP estão abertos, o que significa que os pacotes IP e CDP podem ser enviados através do enlace. 6. C e D. Problemas da camada física tipicamente resultam no valor de estado da linha (primeiro código de estado) de "down" . O endereço IP de um roteador remoto em uma sub-rede diferente não impediria uma interface configurada com PPP de atingir o estado de protocolo (segundo estado da linha) "up" . Se a outra extremidade do enlace foi configurada erroneamente para usar HDLC, ou se foi configurada para PPP, mas a autenticação CHAP falhou, a interface poderia estar em um estado "up and down", como mostrado. 7. B. Com PPP, dois roteadores podem usar endereços IP em sub-redes diferentes em extremidades opostas de enlaces, e um ping para o endereço IP serial do outro roteador funcionaria. No entanto, esta diferença na sub-rede faz com que os protocolos de roteamento falhem quando estão formando relações de vizinhança para efetuar troca de rotas, de modo que nenhum dos roteadores aprenderá rotas EIGRP um do outro.

Capítulo 13 1. C. o LMI administra o enlace entre o DTE e o switch, incluindo perceber quando um circuito virtual (VC) é ativado ou desativado. 2. A e D. O DTE fica tipicamente do lado do cliente, e o DCE no site do provedor de serviços. Os switches Frame Relay enviam mensagens LMI aos DTEs (tipicamente roteadores) para sinalizar o estado do Vc. Um frame Frame Relay não possui um DLCI origem e destino, mas somente um único campo DLCI.

3. A 4. C. O DLCI endereça um VC, não um roteador. O valor de DLCI no frame, à medida que o mesmo atravessa o enlace local, representa o VC no enlace. Pelo fato da pergunta se referir a um frame atravessando o link de acesso conectado a RI , 222 é o DLCI local em RI que identifica o Vc. 5. B e C. Os DLCls globais representam o DLCI que os outros roteadores usam quando estão enviando frames através de seus links de acesso local. Portanto, quando RI envia um frame para R2, quando o frame atravessa o link de acesso de R2, a rede altera o DLCI para o DLCI global de RI , 101. De modo similar, quando R3 envia um frame para RI , enquanto o frame atravessa o link de acesso de R3, o frame possui o DLCI global de RI, 101. 6. A. Uma única sub-rede pode ser usada em qualquer topologia Frame Relay, mas com uma rede totalmente em malha, uma única sub-rede pode ser usada sem nenhum problema relacionado aos protocolos de roteamento. 7. D. BarneyCo possui um total de dez VCs. Com todas elas configuradas em subinterfaces ponto-a-ponto, você precisa de dez sub-redes porque você precisa de uma sub-rede por Vc. 8. A. O frame que passou por congestionamento estava indo de RI para R2, portanto o frame com o o bit BECN (Backward (direção oposta) Explicit Congestion Notification) ligado seria o que vai na direção oposta, de R2 para RI.

Capítulo 14 1. C. Os termos corretos são ansi e q933. No entanto, os roteadores detectam automaticamente o tipo de LMI por default, portanto não configurar o LMI também funcionaria. 2. C, D e E. O tipo de LMI é percebido automaticamente, por default. O ARP Inverso está ativado, por default também, o que significa que ele não precisa ser habilitado através do comando frame-relay inverse-arp, e nenhum comando para mapeamento estático precisa ser adicionado. 3. A e E. O endereço IP se move para a subinterface, portanto ele precisa ser removido da interface serial primeiro (com o comando no ip address). O encapsulamento fica na interface física. O comando frame-relay interfacedlci deve ser usado na subinterface, para que o roteador saiba qual DLCI vai com cada subinterface - mesmo que exista apenas um DLCI. 4. F. Você consegue codificar somente um DLCI no comando frame-relay interface-dlci, e você precisa de um para cada VC sob a interface multiponto.

••-

•• •• •• •• •• •• •• •• •• ••

•• •

•• •• •• •• •• •• •• •• •• •

•

• •• •• •• •• •• :

•• •• •• •• •• • •

•• • •

•• •• •• •• •• •• •

••

CCNAICND2

461

5. F 6. C e E. Up e down não são códigos de estado para PVc. Inativo significa que o switch acha que um PVC definido não está funcionando, e deletado significa que o DLCI não está definido no switch. 7. D. Para que uma subinterface Frame Relay esteja no estado up/up, a interface física na base deve estar no estado up/up, e pelo menos um dos PVCs associados à subinterface deve estar em um dos dois estados de funcionamento do PVC (ativo ou estático). 8. B e C. Para que uma interface física Frame Relay tenha um estado de linha "up", os mesmos recursos da camada física usados em linhas privativas devem estar funcionando. Para se ter também um estado de protocolo "down", ou está faltando o comando encapsulation frame-relay no roteador, ou o roteador e o switch não estão de acordo com relação ao tipo de LMI.

Capítulo 15 A. Extranet VPNs conectam sites em empresas diferentes, mas parceiras. VPNs de acesso fornecem acesso a 1. usuários individuais, tipicamente de casa ou enquanto estão viajando. O termo "enterprise VPN" não é geralmente usado para descrever um tipo de VPN. 2. C. Software anti-vírus é uma função de segurança importante, mas não é uma função disponibilizada pelo próprio VPN. 3. A e C. Cabeçalhos ESP (Encapsulating Security Payload) suportam todas as quatro funções apresentadas nas respostas, enquanto que AH (Authentication Header) suporta apenas autenticação e integridade de mensagem. 4. A. Dentre estas respostas, apenas DES (Data Encryption Standard, ou Padrão de Criptografia de Dados), 3DES (Triple DES, ou DES Triplo) e AES (Advanced Encryption Standard, ou Padrão de Criptografia Avançada) são ferramentas de criptografia que criptografam todo o pacote. AES fornece uma criptografia melhor e menos tempo de processamento, dentre as três opções. 5. A, D e E. Todos os dispositivos e softwares apresentados nas respostas podem ser usados para terminar túneis VPN. No entanto, ASAs substituíram os firewalls PIX e os concentradores VPN na linha de produtos da Cisco. 6. A e C. O cliente sempre usa o SSL (Secure Socket Layer) para se conectar ao servidor Web VPN, portanto todas as comunicações na Internet são criptografadas. Uma das principais vantagens do Web VPN é que o cliente não precisa ter nenhum software cliente, usando simplesmente as capacidades para SSL embutidas nos navegadores web típicos.

Capítulo 16 1. F 2. D. O objetivo original do CDIR era permitir a sumarização de múltiplas redes Classes A, B e C para reduzir o tamanho das tabelas de roteamento da Internet. Dentre as respostas, apenas 200.1.0.0 255.255.0.0 resume diversas redes. 3. B e E. A RFC 1918 identifica os números das redes privadas. Ela inclui a rede Classe A 10.0.0.0, as redes Classe B de 172.16.0.0 a 172.31.0.0, e as redes Classe C de 192.168.0.0 a 192.168.255.0. 4. C. com o NAT estático, as entradas são configuradas estaticamente. Pelo fato da pergunta mencionar tradução para endereços internos, o termo inside é necessário no comando. 5. A. Com NAT dinâmico, as entradas são criadas como resultado do fluxo do primeiro pacote a partir da rede interna. 6. A. O parâmetro list 1 se refere a uma ACL IP, que casa pacotes, identificando os endereços locais internos. 7. E. Quando os endereços locais internos estão sendo traduzidos, o endereço externo não é traduzido, portanto o endereço local externo não precisa ser identificado na configuração. 8. A e C. Está faltando o termo overload na configuração, no comando ip nat inside source e no subcomando de interface ip nat outside na interface serial.

462 Apêndice A: Respostas para os questionários "Eu já conheço isto?" 9. B. A última linha indica que o pool possui sete endereços, com todos os sete alocados, e o contador de perdas próximo de 1000 - o que significa que quase 1000 novos fluxos foram rejeitados por causa de espaço insuficiente no pool do NAT.

Capítulo 17 1. A. Um método para atribuição de endereço IPv6 unicast global é que a ICANN aloca grandes blocos de endereços para os RIRs, os RIRs atribuem blocos menores de endereços aos ISPs, e os ISPs atribuem blocos ainda menores de endereços a seus clientes. 2. D. Dentro de um quarteto, qualquer Ona frente pode ser omitido, e uma seqüência de 1 ou mais quartetos todos com Os podem ser substituídos por dois pontos duplos (::). A resposta correta substitui a seqüência mais longa de 3 quartetos com Os, por::. 3. D. Endereços unicast globais começam com 2000::/3 , o que significa que os 3 primeiros bits são idênticos aos do valor em hexa 2000. De modo similar, endereços únicos locais casam com FDOO::/8, e endereços link locais casam com FE80::/1O (valores que começam com FE8, FE9, FEA e FEB hexa). Endereços IPv6 multicast começam com FFOO: :/8, o que significa que os primeiros 2 dígitos hexa são F. 4. A e C. O IPv6 suporta DHCP stateful, que funciona de modo similar ao protocolo DHCP do IPv4 para atribuir dinamicamente o endereço IP completo. Autoconfiguração stateless também permite a atribuição, descobrindo o prefixo a partir de algum roteador nas proximidades e calculando o ID da interface usando o formato EUI-64. 5. A e D. Autoconfiguração stateless somente ajuda um host a aprender e formar seu próprio endereço IP, mas não ajuda o host a aprender o gateway default. RS stateless não é um termo ou um recurso válido. NDP (Neighbor Discovery Protocol) é usado para vários propósitos, incluindo o mesmo que o do ARP no IPv4, e para aprender parâmetros de configuração, tal como o endereço IP do gateway default. 6. A e D. OSPFv3, RIPng, EIGRP para IPv6 e MP-BGP4, todos suportam IPv6. 7. C e E. A configuraçao atribui explicitamente o endereço IP 3456::1. A interface também forma o ID da interface EUI-64 (6444:44FF:FE44:4444), adicionando-o a FE80::/64, para formar o endereço IP link local. 8. E. A configuração do RIPng não usa o comando network; em vez disso, o comando ipv6 rip é configurado na interface, apresentando a mesma tag que a do comando ipv6 router rip, e o termo enable. 9. D. NAT-PT (Network Address Translation - Protocol Translation, ou Tradução de Endereço de Rede - Tradução de Protocolo) faz traduções de IPv4 para IPv6, e vice-versa. Os dois métodos de tunelamento permitem que hosts IPv6 se comuniquem com outros hosts IPv6, enviando pacotes através de uma rede IPv4. Pilha dupla permite que um host ou roteador suporte ambos os protocolos de modo concorrente.

• •• •• • •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•

•• •• •• •• •• •

•• •

•• •• •• •• •• •• •• •• •• •• •• •• ••

•• •

CCNA ICND2

463

•• •• •• •• •• ••

• ., •

•• ------------------------ •. •• •• •• •• •• •• •• ••• •• •• •• •• ••

•• •• APÊNDICE B •• : Tabela de conversão de decimal para binário

•• •• •

•• •• ••

•• •• •• ••

•• •• •• •• ••

•• •• •

•• •

Este apêndice disponibiliza uma referência prática para conversão do formato decimal para binário, para números decimais de O a 255. Fique à vontade para se referenciar a esta tabela quando estiver treinando com qualquer um dos problemas de divisão em sub-redes encontrados neste livro. Embora este apêndice seja útil como uma ferramenta de referência, observe que, se você planeja converter valores de decimal para binário quando estiver resolvendo os vários tipos de problemas de divisão em sub-redes dos exames, me vez de usar os processos de atalho, que em grande parte evitam a matemática binária, você provavelmente vai querer praticar a conversão entre os dois formatos antes do exame. Para praticar, selecione qualquer valor decimal entre O e 255, converta-o para um binário de 8 bits e depois use esta tabela para descobrir se você obteve a resposta correta. Além disso, selecione qualquer número binário de 8 bits, converta-o para decimal e, novamente, use esta tabela para conferir seu trabalho.

466 Apêndice B: Tabela de conversão de decimal para binário Valor Decimal Valor Binário Valor Decimal

Valor Binário Valor Decimal

Valor Binário Valor Decimal Valor Binário

o

32

001(XXXX)

64

01

011(XXXX)


33

OOHXXXH

65

01(xxxx)1

01100X>1

2

1O

34

OOHXX110

3

11

35

00100011

4

(XXXX)100

36

00100100

5

(xxxx)101

6

(XXXX)110

38

00100110

7

(xxxx)111

39

8

OOX>HXXl

9

0100X>1O

98

O1HXX110

67

0100X>11

99

01100011

68

01000100

100

01100100

01000101

101

01100101

70

01000110

102

01100110

00100111

71

01000111

103

01100111

40

00101000

72

01001000

104

01101000

OOX>1001

41

00101001

73

01001001

lOS

01101001

10

OOX>101O

42

00101010

74

01001010

HXí

01101010

11

OOX>1011

43

00101011

75

01001011

HJ]

01101011

12

OOX>1100

44

00101100

76

01001100

108

01101100

13

OOX>1101

45

00101101

77

01001101

100

01101101

14

OOX>111O

46

00101110

78

01001110

110

01101110

15

OOX>1111

47

00101111

79

01001111

111

01101111

16

000100X>

48

001100X>

010100X>

112

011100X>

17

00010001

49

00110001

81

01010001

113

01110001

18

00010010

50

00110010

82

01010010

114

01110010

19

00010011

51

00110011

83

01010011

115

01110011

00010100

52

00110100

84

01010100

116

01110100

21

00010101

53

00110101

85

01010101

117

01110101

22

00010110

54

00110110

86

01010110

118

01110110

23

00010111

55

00110111

87

01010111

119

01110111

00011000

56

00111000

88

01011000

120

01111000

25

00011001

57

00111001

89

01011001

121

01111001

26

00011010

58

00111010

01011010

122

01111010

v

00011011

59

00111011

91

01011011

123

01111011

28

00011100

00111100

92

01011100

124

01111100

31

00100101

00011101

61

00111101

93

01011101

125

01111101

00011110

62

00111110

94

01011110

126

01111110

00011111

63

00111111

95

01011111

IV

01111111

•• •• •• •• •• •• .1 •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

• •• •

•

CCNA ICND2

467

Valor Decimal Valor Binário Valor Decimal

Valor Binário Valor Decimal

Valor Binário Valor Decimal Valor Binário

128

1
lro

101

192

110CXXXX>

224

111

129

10CXXXX>1

161

10 HXXXn

193

111

225

11HXXxn

----------------------------------------------------------------------------

41

-1~---------I----10-----I-&---------10-1-~--10-----I~----------11-00c0--I-0----~----------11-1~--1-0---

•

131

•

4t

132 l00c0l00 164 10100100 196 11~100 228 11100100 -13-3--------1-00c0--I-01-----1-~---------10-1-00-1-01-----1~----------11-~--10-1----~----------11-100--10-1---

•

-1~---------I-00c0---I1-0-----1~----------10-1-00-1-10-----19-8---------1-1~--1-1-0----~----------11-1-00-1-10----

tt

_13_5________1_00c0 ___ l1_1_____16_~_________10_1_00_1_11_____1~ __________I_1~ __1_1_1____n_l_________11_1_00_1_11____

•

111

163

101~11

195

1100c011

m

111~11

.. _1~ _________I_~ __ I~ ______I_~_________10_1_01_~ ______ XO __________ ll_00_1_~ _____n_2_________ 11_10_1_~ ____ • •

137 1~1001 169 10101001 201 11001001 n3 11101001 ---------------------------------------------------------------------------138 1~101O 170 10101010 202 11001010 ~ 11101010 ----------------------------------------------------------------------~----

139

1~1011

171

10101011

203

11001011

n5

11101011

•

---------------------------------------------------------------------------140 1~1100 172 10101100 204 11001100 ~ 11101100

•

141

1~1101

173

10101101

205

11001101

237

11101101

•

142

1~111O

174

10101110

2(X)

11001110

n8

11101110

•

143

175

10101111

2fJ7

11001111

n9

11101111

•

1~1111

~ -IM---------l-00-100c0-------l-~---------10-1-100c0-------208----------11-01-00c0------~----------II-II-00c0-----

• 4t

• • • • •

_14_5________1_00_1_~ __I _____1n __________l0_l_1~ __I_____~ __________1_10_1_~ __ 1____~_1_________11_1_1~ __1____ 146

10010010

178

10110010

210

11010010

~2

11110010

---------------------------------------------------------------------------147 10010011 179 10110011 211 11010011 ~3 11110011 ---------------------------------------------------------------------------148 10010100 180 10110100 212 11010100 ~ 11110100 ---------------------------------------------------------------------------149 10010101 181 10110101 213 11010101 ~5 11110101 -1~---------1-00-10-1-10-----1-~---------10-1-10-1-10-----21-4---------11-01-0-11-0----~----------11-11-0-11-0---

•

151

10010111

183

10110111

215

11010111

~7

11110111

•

152

l0011~

184

10111~

216

11011~

~

11111~

• •

153

10011001

185

10111001

217

11011001

-1~---------1-00-1-10-1-0-----1~----------10-1-1-10-10-----2-18---------1-10-1-10-1-0----~----------11-1-11-0-10----

•

_15_5________1_00_1_10_1_1_____1~ __________10_1_1_10_11_____2_19_________1_10_1_10_1_1____~_1_________11_1_11_0_11____

• •

156

10011100

188

10111100

220

11011100

~9

~2

11111001

11111100

•

---------------------------------------------------------------------------157 10011101 189 10111101 221 11011101 ~3 11111101

•

---------------------------------------------------------------------------158 10011110 1~ 10111110 222 11011110 ~ 11111110

·• •

•• ••

---------------------------------------------------------------------------159 10011111 191 10111111 223 11011111 ~5 11111111 -------------------------------------------------------------

•• •• •• •• •• ••

•• •• ----------------------- • •• •• •• •• •

.

•• •• •• •• •• •• •• •• • :1

•• •• APENDICE •• : Atualizações no exame ICND2: Versão 1.0 •• •• •• •• •• •• •• •• •• •• •• •• •• •• I.•• • A

c

Ao longo do tempo, o retorno dos leitores permite que a Cisco Press tenha uma medida de quais tópicos oferecem maiores problemas aos nossos leitores ao fazerem os exames. Além disso, a Cisco pode fazer pequenas alterações na abrangência dos tópicos do exame ou na ênfase de determinados tópicos. Para dar assistência aos leitores sobre estes tópicos, o autor cria novos materiais esclarecendo e expandindo o conhecimento a respeito dos tópicos do exame que são mais problemáticos. Como mencionado na introdução, o conteúdo adicional a respeito do exame está em um documento PDP no website da editora deste livro em http://www.ciscopress.com. O documento que você está vendo é a Versão 1.0 deste apêndice. Este apêndice apresenta todas as informações sobre atualização mais recentes por ocasião da publicação deste livro. Para garantir que está com a última versão deste documento, você deve certificar-se de visitar o website da editora para ver se foram disponibilizadas versões mais recentes desde que este livro foi impresso. Este apêndice tenta preencher o vazio deixado por qualquer livro impresso. Em particular, este apêndice faz o seguinte: - Menciona itens técnicos que podem não ter sido mencionados em outro lugar do livro

- Cobre novos tópicos quando a Cisco adiciona tópicos aos modelos dos exames ICND2 e CCNA

- Disponibiliza uma maneira de obter informações as mais recentes possíveis sobre o conteúdo do exame

Sempre obtenha o mais recente a partir do website da editora

Você está lendo a versão deste apêndice que estava disponível quando seu livro foi impresso. No entanto, dado que o objetivo principal deste apêndice é o de ser um documento vivo, que se altera, é muito importante que você procure pela versão on-line mais recente no website da editora. Para fazer isso: 1. Vá até http://www.ciscopress.comltitle/15872018lx.

2. Selecione a opção Downloads na caixa More Information.

3. Baixe o documento "ICND2 Appendix C" (ICND2 Apêndice C) mais recente.

NOTA Observe que o documento baixado possui um número de versão. Se a versão do PDF no website for a mesma que a do apêndice de seu livro, seu livro contém a versão mais recente, e não há necessidade de se baixar ou usar a versão on-line.

Conteúdo técnico

A versão corrente deste apêndice não cobre nenhum assunto técnico adicional. Este apêndice está aqui simplesmente para disponibilizar instruções para você verificar se existe uma versão on-line mais recente deste apêndice.

•

•

••

•• •• •• •• •• •• •• ------------------------ • •• •• •• •• ••

.

••• •• •• •• •• •• •• • •

••

•• •• · A

• •

•• •• •• •• •• •• •• •• • •• •• •• •• •• •• •• •• • •

•

GLOSSÁRIO

ABR Area Border Router, ou Roteador de Limite de Área. Um roteador usando OSPF, onde o roteador possui interfaces em várias áreas OSPF. ACL Access controllist, ou lista de controle de acesso. Uma lista configurada em um roteador para controlar o fluxo de pacotes através do roteador, como, por exemplo, para impedir que pacotes com um determinado endereço IP saiam por uma determinada interface do roteador. ACL dinâmica Um tipo de ACL que vai além das ACLs IP tradicionais para permitir dinamicamente o tráfego de um host se o usuário do host se conectar primeiro ao roteador via Telnet e passar por um processo de autenticação.

ACL reflexiva Um tipo de ACL que vai além das ACLs IP tradicionais para monitorar a adição de novas sessões de usuários. O roteador reage para adicionar uma entrada ACL que casa os endereços IP desta sessão e os números de porta TCP ou UDP.

algoritmo Dijkstra SPF (Shortest Path First) O nome do algoritmo usado pelos protocolos de roteamento link-state para analisar o LSDB e encontrar as rotas de menor custo para cada sub-rede a partir deste roteador. AND booleano

Uma operação matemática executada em um par de números binários de um dígito. O resultado é outro número binário de um dígito. 1 AND 1 resulta em 1; todas as demais combinações resultam em O.

anúncios link-state (LSA) No OSPF, o nome da estrutura de dados que fica dentro do LSDB e descreve em detalhes os diversos componentes de uma rede, incluindo roteadores e enlaces (sub-redes).

aprender Bridges transparentes e switches aprendem endereços MAC analisando os endereços MAC de origem dos frames que recebem. Eles adicionam cada endereço MAC novo, juntamente com o número de porta, da porta na qual aprenderam o endereço MAC, a uma tabela de endereços. AR Access Rate, ou Taxa de Acesso. No Frame Relay, a velocidade com a qual os bits são enviados através de um link de acesso.

Area Border Router

Veja ABR.

ARP

Address Resolution Protocol, ou Protocolo de Resolução de Endereço. Um protocolo de Internet usado para mapear um endereço IP a um endereço MAC. Definido na RFC 826.

ARP Inverso Um protocolo do Frame Relay com o qual um roteador anuncia seu endereço de Camada 3 através de um VC, fornecendo assim ao vizinho informações úteis sobre mapeamento de Camada 3 para Camada 2.

ASBR Autonomous System Border Router, ou Roteador de Limite de Sistema Autônomo. Um roteador usando OSPF onde o roteador aprende rotas através de outra fonte, tipicamente através de outro protocolo de roteamento, trocando rotas externas ao OSPF com o domínio OSPF. assíncrono

Descreve uma convenção para enviar dados com sinais digitais. O enviador e o receptor operam nas mesmas velocidades, mas nenhuma tentativa é feita no sentido do enviador e do receptor ajustarem suas velocidades dinamicamente, baseados na velocidade do outro dispositivo.

atualização completa

Nos protocolos de roteamento IP, o conceito geral de que a atualização de um protocolo de roteamento lista todas as rotas conhecidas. Veja também atualização parcial.

atualização link-state Um pacote do OSPF usado para enviar um LSA a um roteador vizinho. atualização parcial Nos protocolos de roteamento IP, o conceito genérico de que uma atualização do protocolo de roteamento lista um subconjunto de todas as rotas conhecidas. Veja também atualização completa.

atualização periódica Nos protocolos de roteamento, o conceito de que o protocolo de roteamento anuncia rotas em uma atualização de roteamento de modo periódico e regular. Isto é típico de protocolos de roteamento vetor distância.

autoconfiguração stateless Um recurso do IPv6 no qual um host ou roteador podem ter um endereço IPv6 unicast atribuído, sem a necessidade de um servidor DHCP stateful.

472

Glossário

B balanced hybrid Refere-se a um dos três tipos genéricos de algoritmos de protocolos de roteamento. Os outros dois são vetor distância e link-state. O EIGRP é o único protocolo de roteamento que a Cisco classifica como usando o algoritmo balanced hybrid. banco de dados da topologia Os dados estruturados que descrevem a topologia da rede a um protocolo de roteamento. Protocolos de roteamento link-state e balanced hybrid usam tabelas de topologia a partir das quais eles constroem as entradas da tabela de roteamento. banco de dados de configuração da VLAN switch Cisco.

O nome da configuração conjunta dos IDs e nomes de VLAN em um

Bc Commited burst. Um termo do Frame Relay que se refere à quantidade de bits que podem ser enviados durante um determinado intervalo de tempo. Isto ajuda a medir se/quando o DTE, na média, enviou mais dados que a velocidade definida no contrato de tráfego, através de um VC. BECN Backward explicit congestion notification. O bit no cabeçalho do Frame Relay que implica que está ocorrendo congestionamento na direção oposta (backward) ao frame. Os switches e os DTEs podem reagir diminuindo a taxa na qual os dados são enviados nesta direção. BPDU

Bridge protocol data unit. O nome genérico para mensagens do Spanning Tree Protocol.

BPDU Guard Um recurso do switch Cisco que fica escutando a chegada de mensagens BPDU do STP, desabilitando a interface caso alguma seja recebida. O objetivo é evitar loops quando um switch se conecta a uma porta onde se espera que se tenha somente um host conectado a ela. BRI Basic Rate Interface. Uma interface ISDN composta por dois canais de informações e um canal de dados (D) para comunicação circuit switching de voz, vídeo e dados. Bridge ID (BID) Um identificador de 8 bytes para bridges e switches usado pelo STP e pelo RSTP. É formado por um campo de prioridade de 2 bytes, seguido por um campo de ID de Sistema de 6 bytes que geralmente é preenchido com um endereço MAC. bridge protocol data unit

Veja BPDU.

bridge raiz Veja switch raiz.

c CHAP Challenge Handshake Authentication Protocolo Um recurso relacionado à segurança, definido pelo PPP, que permite que uma das extremidades, ou ambas, de um enlace, autentique o outro dispositivo como sendo um dispositivo autorizado. chave compartilhada Uma referência a uma chave de segurança cujo valor é conhecido tanto pelo enviador quanto pelo receptor. chave privada Um valor secreto usado nos sistemas de criptografia de chave pública/privada. Criptografa um valor que pode então ser descriptografado usando a chave pública idêntica, ou descriptografa um valor que foi previamente criptografado com a chave pública idêntica. chave pública Um valor secreto usado nos sistemas de criptografia de chave pública/privada. Criptografa um valor que pode então ser descriptografado usando a chave privada idêntica, ou descriptografa um valor que foi previamente criptografado com a chave privada idêntica. CIDR Uma ferramenta padronizada por RFC para atribuição de faixa de endereços IP globais. O CIDR reduz o tamanho das tabelas de roteamento dos roteadores da Internet, ajudando a lidar com o crescimento rápido da Internet. O termo classless se refere ao fato de que grupos resumidos de redes representam um grupo de endereços que não segue as regras de agrupamento classful IPv4 (Classes A, B e C). CIR Committed Information Rate, ou Taxa de Informação Comissionada. No Frame Relay e no ATM, a velocidade média na qual os bits podem ser transferidos através de um circuito virtual, de acordo com o contrato de negócios entre o cliente e o provedor de serviços.

• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNA ICND2

473

circuit switching O sistema de comutação no qual deve existir um caminho através de um circuito físico dedicado entre o enviador e o receptor, durante a duração da "chamada". Usada com bastante freqüência na rede da companhia telefônica. circuito virtual permanente (PVC) Um caminho de comunicação pré-configurado entre dois DTEs Frame Relay, identificado por um DLCI local em cada link de acesso Frame Relay, que oferece o equivalente funcional de um circuito privativo, mas sem uma linha privativa física para cada VC. classless interdomain routing (CIDR)

Veja CIDR.

cliente VPN Software que reside em um PC, geralmente em um laptop, de modo que o host possa implementar os protocolos necessários para ser uma extremidade de um VPN. codificação As convenções a respeito de como um dispositivo varia os sinais elétricos ou ópticos enviados através de um cabo para indicar um determinado código binário. Por exemplo, um modem pode codificar um 1 ou Obinário usando uma freqüência que significa 1 e outra que significa O. completamente adjacente No OSPF, uma caracterização do estado de um vizinho na qual os dois vizinhos alcançaram o estado Full. condição de viabilidade No EIGRP, quando um roteador aprendeu diversas rotas para alcançar uma sub-rede, se a métrica da melhor rota for X, a condição de viabilidade é a de que a distância reportada de outra rota seja <= X. contagem até o infinito Um infeliz efeito colateral dos protocolos de roteamento vetor distância na qual os roteadores aumentam lentamente a métrica de uma rota em falha até que a métrica atinja a definição finita de métrica máxima (chamada de infinito) deste protocolo de roteamento. convergência O tempo necessário aos protocolos de roteamento para que reajam a mudanças na rede, removendo rotas ruins e adicionando rotas novas e melhores, de modo que as melhores rotas no momento estejam em todas as tabelas de roteamento dos roteadores. CSUIDSU Channel service unit/data service unit. Um dispositivo que conecta um circuito físico instalado pela companhia telefônica a algum dispositivo CPE, fazendo adaptações de voltagem, corrente, framing e conectores usados no circuito, para a interface física suportada pelo DTE.

D data-link connection identifier (DLCI)

Veja DLCI.

DCE Data communications equipment. Do ponto de vista da camada física, o dispositivo que fornece a taxa de c10ck em um enlace WAN, tipicamente um CSUIDSU, é o DCE. Do ponto de vista de packet-switching, o switch do provedor de serviços no qual o roteador deve estar conectado é considerado o DCE. DCE do Frame Relay

O switch Frame Relay.

DE Discard eligible. O bit no cabeçalho do Frame Relay que, caso seja necessário descartar frames, indica a um switch para escolher este frame para ser descartado, em vez de outro frame sem o bit DE ligado. descrição de banco de dados Um tipo de pacote do OSPF que apresenta descrições resumidas dos LSAs no LSDB do OSPF. DHCP stateful Um termo usado no IPv6 em oposição ao DHCP stateless. O DHCP stateful mantém o registro de quais clientes tiveram quais endereços IPv6 atribuídos (informações de estado). DHCP stateless Um termo usado no IPv6 em oposição ao DHCP stateful. Servidores DHCP stateless não concedem endereços IPv6 a clientes. Em vez disso, eles fornecem outras informações úteis, tais como endereços IP de servidor DNS, mas sem a necessidade de armazenar informações sobre os clientes (informações de estado). Diffusing Update Algorithm (DUAL)

Veja DUAL.

distância administrativa Nos roteadores Cisco, uma forma de um roteador escolher dentre diversas rotas para alcançar a mesma sub-rede, quando estas rotas são aprendidas através de diferentes protocolos de roteamento. Quanto menor a distância administrativa, mais privilegiado será o originador da informação sobre roteamento.

474

Glossário

DLCI Data-Link Connection Identifier. O endereço Frame-Relay que identifica um VC em um determinado link de acesso.

domínio de broadcast Um conjunto de todos os dispositivos que recebem frames de broadcast originados de qualquer dispositivo do conjunto. Dispositivos na mesma VLAN estão no mesmo domínio de broadcast. DTE Data terminal equipment. Do ponto de vista da Camada 1, o DTE sincroniza seu c10ck baseado no c10ck enviado pelo DCE. Do ponto de vista de packet-switching, o DTE é o dispositivo fora da rede do provedor de serviços, tipicamente um roteador.

DTE do Frame Relay O dispositivo do cliente conectado ao link de acesso Frame Relay, tipicamente um roteador. DUAL Diffusing Update AIgorithm. Um algoritmo de convergência usado no EIGRP quando uma rota falha e um roteador não possui uma rota para sucessor possível. O DUAL faz com que os roteadores enviem mensagens EIGRP de Query e Reply para descobrir rotas alternativas livres de loop.

E EGP (protocolo externo de porta de comunicação) Um protocolo de roteamento que foi criado para trocar informações sobre roteamento entre diferentes sistemas autônomos.

EIGRP

Enhanced Interior Gateway Routing Protocolo Uma versão avançada do IGRP desenvolvida pela Cisco. Oferece propriedades superiores de convergência e eficiência na operação, e combina as vantagens dos protocolos linkstate com as dos protocolos vetor distância.

encaminhar Enviar um frame em direção a seu destino definitivo através de um dispositivo para interconexão de rede. endereçamento classful

Um conceito do endereçamento IPv4 que define um endereço IP de sub-rede como tendo três partes: rede, sub-rede e host.

endereçamento classless Um conceito do endereçamento IPv4 que define um endereço IP de sub-rede como tendo duas partes: um prefixo (ou sub-rede) e um host.

endereço de broadcast

Veja endereço de broadcast da sub-rede.

endereço de broadcast da sub-rede Um endereço especial em cada sub-rede - especificamente, o maior endereço numérico da sub-rede - definido de modo que os pacotes enviados para este endereço devem ser entregues a todos os hosts da sub-rede.

endereço de broadcast direcionado

O mesmo que endereço de broadcast da sub-rede.

endereço IP secundário O segundo (ou subseqüente) endereço IP configurado em uma interface de roteador, usando o termo secondary no comando ip address. endereço link local Um tipo de endereço IPv6 unicast que representa uma interface em um único enlace de dados. Pacotes enviados a um endereço link local atravessam apenas este enlace em particular, e nunca serão encaminhados a outras sub-redes por um roteador. Usado para comunicações que não precisam sair do enlace local, tais como para descoberta de vizinhos.

endereço privativo Diversas redes Classes A, B e C que foram separadas para serem usadas dentro de organizações privadas. Estes endereços, conforme definidos pela RFC 1918, não podem ser encaminhados através da Internet. endereço unicast global Um tipo de endereço IPv6 unicast que foi alocado a partir de uma faixa de endereços IPs públicos, globalmente únicos, conforme registrado pela ICANN, suas agências membro e outros registradores ou ISPs.

endereço único local Um tipo de endereço IPv6 unicast usado para substituir os endereços IPv4 privativos. Estado de Aprendizado No STP, um estado de porta temporário no qual a interface não encaminha frames , mas pode começar a aprender endereços MAC dos frames recebidos na interface.

Estado de Bloqueio No STP 802.1d, um estado de porta no qual nenhum frame recebido é processado, e o switch não encaminha nenhum frame através da interface, com exceção de mensagens do STP. Estado de Descarte Um estado de interface do RSTP no qual nenhum frame recebido é processado, e o switch não encaminha nenhum frame através da interface, com exceção das mensagens do RSTP.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •

CCNA ICND2

475

Estado de Encaminhamento Um estado de porta do STP e do RSTP no qual uma interface opera de forma irrestrita no STP. Estado de Escuta Um estado de porta STP temporário que ocorre imediatamente quando uma interface em bloqueio deve ir para o estado de Encaminhamento. O switch conta o tempo para expirar as entrada da tabela MAC durante este estado. Ele também ignora os frames recebidos na interface, e não encaminha nenhum frame através da interface.

•• •• •• •• F •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

Estado Full No OSPF, um estado de vizinho que implica que os dois roteadores trocaram todo o conteúdo (completo) de seus respectivos LSDBs. estado two-way No OSPF, o estado de um vizinho que implica que o roteador trocou Hellos com o vizinho, e todos os parâmetros necessários são idênticos.

EtherChannel Um recurso proprietário da Cisco no qual até oito segmentos Ethernet paralelos entre dois dispositivos iguais, todos usando a mesma velocidade, podem ser combinados para se comportarem como um único enlace para encaminhamento e lógica STP (Spanning Tree Protocol)o

feasible distance

No EIGRP, a métrica da melhor rota para se alcançar uma sub-rede.

FECN Forward explicit congestion notification. O bit no cabeçalho do Frame Relay que avisa qualquer um que estiver recebendo o frame (switches e DTEs) que está ocorrendo congestionamento na mesma direção do frame.

ftltro De modo geral, um processo ou um dispositivo que analisa tráfego de rede em busca de certas características, tais como endereço de origem, endereço de destino ou protocolo. Este processo determina se o tráfego deve ser encaminhamento ou descartado, baseado no critério estabelecido.

forward delay Um temporizador do STP, com valor default de 15 segundos, usado para definir quanto tempo uma interface permanece tanto no estado de Escuta quanto no estado de Aprendizado. Também chamado de temporizador forward delay.

Frame Relay Um protocolo de enlace de dados de padrão internacional que define a capacidade de criar um serviço frame-switched (packet-switched), permitindo que dispositivos DTE (tipicamente roteadores) enviem dados a vários outros dispositivos usando uma única conexão física com o serviço de Frame Relay. framing As convenções a respeito de como a Camada 2 interpreta os bits enviados de acordo com a Camada 1 da OS!. Por exemplo, depois que um sinal elétrico foi recebido e convertido para binário, o framing identifica os campos com informações dentro dos dados.

FTP File Transfer Protocol, ou Protocolo para Transferência de Arquivos. Um protocolo de aplicação, parte da pilha de protocolo TCPIIP, usado para transferir arquivos entre nós da rede. O FTP está definido na RFC 959.

full duplex De modo geral, qualquer comunicação na qual dois dispositivos em comunicação podem enviar e receber dados de modo concorrente. Especificamente para LANs Ethernet, a capacidade de ambos os dispositivos enviarem e receberam ao mesmo tempo. Isto é permitido quando existem apenas duas estações em um domínio de colisão. O full duplex é habilitado desabilitando-se a lógica CSMAlCD de detecção de colisão.

G

global externo Um termo da NAT que se refere a um endereço IP usado por um host na parte externa (não confiável) da rede, para os pacotes enquanto atravessam a parte externa da rede, geralmente a Internet global. global interno Um termo da NAT que se refere ao endereço IP usado por um host dentro da parte confiável da rede, mas em pacotes enquanto atravessam a parte global (não confiável) da rede.

H

HDLC High-Level Data-Link Control. Um protocolo de dados síncrono da camada de enlace, orientado a bit, desenvolvido pela ISO (lnternational Organization for Standardization). Tendo originado do SDLC (synchronous data-link control), o HDLC especifica um método de encapsulamento de dados em enlaces seriais síncronos usando caracteres de frame e checksums.

476

Glossário

Helio (Múltiplas definições) 1) Um protocolo usado pelos roteadores OSPF para descobrir, estabelecer e manter relações de vizinhança. 2) Um protocolo usado pelos roteadores EIGRP para descobrir, estabelecer e manter relações de vizinhança. 3) No STP, refere-se ao nome da mensagem periódica originada na bridge raiz em um spanning tree. Helio BPDU A mensagem STP e RSTP usada na maioria das comunicações STP, apresentando o Bridge ID da raiz, o Bridge ID do enviador e o custo do dispositivo enviador para se alcançar a raiz. Helio inferior Quando se compara dois ou mais BPDUs HelIo recebidos, um Hello que apresenta o Bridge ID raiz numericamente maior que outro HelIo, ou um HelIo que apresenta o mesmo Bridge ID raiz, mas com um custo maior. holddown Um estado do protocolo Vetor Distância atribuído a uma rota existente, onde os roteadores não anunciam a rota, e nem aceitam anúncios sobre ela por um determinado período de tempo (o temporizador de holddown). O holddown é usado para eliminar informações ruins a respeito de uma rota, de todos os roteadores da rede. Uma rota é tipicamente colocada em holddown quando um enlace naquela rota falha.

IEEE 802.11

O padrão baseado em IEEE para LANs sem fio.

IEEE 802.1ad O padrão IEEE para o equivalente funcional do EtherChannel, proprietário da Cisco. IEEE 802.1d

O padrão IEEE para o STP (Spanning Tree Protocol) original.

IEEE 802.1Q O padrão IEEE para protocolo de trunking em VLAN. O 802.1Q inclui o conceito de uma VLAN nativa, para a qual nenhum cabeçalho VLAN é adicionado, e um cabeçalho VLAN de 4 bytes é inserido após o campo tipo/ comprimento do frame original. IEEE 802.1s O padrão IEEE para MIST (Multiple Instances oi Spanning Tree), que permite a distribuição da carga de tráfego entre VLANs diferentes. IEEE 802.1 w O padrão IEEE para uma versão melhorada de STP, chamada de Rapid STP, que aumenta a velocidade da convergência. IEEE 802.3 O padrão IEEE básico para LANs do tipo Ethernet. IGP (protocolo interno de porta de comunicação) Um protocolo de roteamento criado para ser usado para trocar informações sobre roteamento dentro de um único sistema autônomo. IGRP Interior Gateway Routing Protocolo Um IGP (Interior Gateway Protocol, ou Protocolo Interno de Porta de Comunicação) antigo, não mais suportado, e desenvolvido pela Cisco. infmito No contexto dos protocolos de roteamento IP, um valor de métrica finito definido pelo protocolo de roteamento, que é usado para representar uma rota que não pode ser usada em uma atualização do protocolo de roteamento. Inter-Switch Link (ISL) O protocolo de trunking VLAN proprietário da Cisco criado muitos anos antes do 802.1Q. O ISL define um cabeçalho de 26 bytes que encapsula o frame Ethernet original. intervalo Helio No OSPF e no EIGRP, um temporizador da interface que determina com que freqüência o roteador deve enviar mensagens HelIo. intervalo morto (dead interval) No OSPF, um temporizador usado para cada vizinho. Um roteador considera que o vizinho está em falha se nenhum Hello for recebido deste vizinho dentro do intervalo de tempo definido pelo temporizador. IP Control Protocol (IPCP) Um protocolo de controle definido como parte do PPP com o propósito de fazer a inicialização e o controle do envio de pacotes IPv4 através de um enlace PPP. IPsec O termo que se refere aos Protocolos de Segurança do IP (IP Security Protocols), que consiste em uma arquitetura oferecendo serviços de criptografia e de autenticação, tipicamente quando são criados serviços VPN através de uma rede IP. ISDN Integrated Services Digital Network, ou Rede Digital de Serviços Integrados. Um protocolo de comunicação oferecido pelas companhias telefônicas que permite que a rede telefônica trafegue dados, voz e vídeo. ISL Veja Inter-Switch Link.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

CCNAICND2

477

isolamento de problema A parte do processo de resolução de problemas na qual o engenheiro tenta descobrir as causas possíveis do problema, restringindo as causas possíveis até que a causa-raiz do problema possa ser identificada.

K keepalive Um recurso de vários protocolos de enlace de dados no qual um roteador envia mensagens periodicamente para permitir que o roteador vizinho saiba que o primeiro roteador continua vivo e funcionando.

L LAN virtual (VLAN) Um grupo de dispositivos conectados a um ou mais switches que são agrupados em um único domínio de broadcast através de configuração. As VLANs permitem que os administradores de switch coloquem os dispositivos conectados aos switches em VLANs separadas, sem exigir switches físicos separados. Isto gera vantagens de design para separar tráfego sem o custo de comprar hardware adicional. LAPF Link Access Procedure Frame Bearer Services. Define o cabeçalho e o trailer Frame Relay básicos. O cabeçalho inclui DLCI, e os bits FECN, BECN e DE. linha privativa Uma linha de transmissão reservada pelas operadoras de comunicação para uso privado dos clientes. Uma linha privativa é um tipo de linha dedicada. Link Control Protocol Um protocolo de controle definido como parte do PPP, com o objetivo de inicializar e manter um enlace PPP. link de acesso No Frame Relay, o enlace serial físico que conecta um DTE do Frame Relay, geralmente um roteador, com um switch Frame Relay. O link de acesso usa os mesmos padrões de camada física que as linhas privativas pontoa-ponto. link-state Uma classificação para o algoritmo base usado em alguns protocolos de roteamento. Protocolos link-state constroem uma base de dados detalhada que apresenta enlaces (sub-redes) e seus estados (up, down), a partir dos quais as melhores rotas podem ser calculadas. lista de acesso estendida Uma lista de comandos globais de configuração access-list do lOS que pode casar diversas partes de um pacote IP, incluindo o endereço IP de origem e de destino e portas TCP/UDP, para decidir quais pacotes devem ser descartados e quais podem prosseguir através do roteador. lista de acesso nomeada Uma ACL que identifica os diversos comandos em uma ACL nomeada, em vez de numerada. lista de acesso padrão Uma lista de comandos globais de configuração do lOS que pode identificar apenas o endereço IP de origem do pacote, com o objetivo de decidir quais pacotes devem ser descartados e quais podem prosseguir através do roteador. LMI (Local Management Interface) Um protocolo Frame Relay usado entre um DTE (roteador) e um DCE (switch Frame Relay). O LMI atua como se fosse um mecanismo de keepalive. A ausência de mensagens LMI significa que o outro dispositivo falhou. Ele também informa ao DTE a respeito da existência de cada VC e DLCI, juntamente com seus estados. local externo Um termo do NAT que se refere a um endereço IP usado por um host na parte externa (não confiável) da rede, para os pacotes enquanto atravessam a parte interna (confiável), ou local da rede. local interno Um termo do NAT que se refere ao endereço IP usado por um host dentro da parte confiável da rede, mas em pacotes enquanto atravessam a parte local (confiável) da rede. LSA Veja anúncios link-state. LSDB (banco de dados link-state) No OSPF, a estrutura de dados em RAM de um roteador que armazena os diversos LSAs, com o conjunto de LSAs representando a topologia completa da rede.

M mapeamento Frame Relay As informações que correlacionam, ou mapeiam, um DLCI Frame Relay com o endereço de Camada 3 do DTE na outra extremidade do VC identificado pelo DLCI local.

478

Glossário

máscara

Veja máscara de sub-rede.

máscara curinga A máscara usada nos comandos ACL do lOS da Cisco e nos comandos network do OSPF e EIGRP. máscara de sub-rede Um número de 32 bits que descreve o formato de um endereço IP. Ele representa os bits de rede e sub-rede combinados do endereço, com os valores dos bits da máscara em 1, e representa os bits do host no endereço, com os bits da máscara em O. máscara(mento) de sub-rede de extensão variável

Veja VLSM.

MaxAge No STP, um temporizador que define quanto tempo um switch deve esperar quando não recebe mais Hellos do switch raiz antes de entrar em ação para re-convergir a topologia STP. Também chamado de Temporizador MaxAge. métrica Uma medida numérica usada por um protocolo de roteamento para se determinar o quanto uma rota é boa quando comparada a outras rotas alternativas para se alcançar a mesma sub-rede. MLP Multilink Point-to-Point Protocol. Um método para dividir, recombinar e colocar frames em seqüência através de múltiplos enlaces WAN ponto-a-ponto. modo administrativo Veja modo administrativo do trunking. modo administrativo do trunking A configuração de trunking configurada em uma interface do switch da Cisco, conforme configurado através do comando switchport mode. modo operacional do trunking O comportamento atual de uma interface do switch da Cisco para trunking VLAN. modo VTP cliente Um dos três modos VTP operacionais para um switch com o qual os switches aprendem os números e nomes das VLANs de outros switches, mas que não permite que o switch seja configurado diretamente com informações sobre VLAN. modo VTP servidor Um dos três conjuntos de características operacionais (modos) do VTP. Switches em modo servidor podem configurar VLANs, informar outros switches a respeito de mudanças e aprender sobre mudanças na VLAN a partir de outros switches. modo VTP transparente Um dos três conjuntos de características operacionais (modos) do VTP. Switches em modo transparente podem configurar VLANs, mas não informam outros switches a respeito das mudanças, e não aprendem a respeito de mudanças na VLAN a partir de outros switches.

MTU Maximum transmission unit. O tamanho máximo de pacote, em bytes, que uma determinada interface consegue lidar.

N NAT Network Address Translation, ou Tradução de Endereço de Rede. Um mecanismo para reduzir a necessidade de endereços IPv4 globalmente únicos. O NAT permite que uma organização com endereços que não são globalmente únicos se conecte à Internet, traduzindo estes endereços para o espaço de endereçamento que pode ser encaminhado globalmente.

NAT-PT Um recurso do IPv6 no qual os pacotes são traduzidos de IPv4 para IPv6. NBMA

Veja nonbroadcast multiaccess.

NDP (Neighbor Discovery Protocol) Um protocolo que é parte do pacote de protocolo IPv6, usado para descobrir e trocar informações sobre dispositi vos na mesma sub-rede (vizinhos). De modo particular, ele substitui o protocolo ARP do IPv4. nonbroadcast multiaccess (NBMA) Uma caracterização de um tipo de rede de Camada 2 na qual mais de dois dispositivos se conectam à rede, mas a rede não permite que frames de broadcast sejam enviados a todos os dispositivos da rede. notação CIDR Veja notação de prefixo. notação de prefIXO Uma maneira resumida de se escrever uma máscara de sub-rede na qual o número de 1s binários na máscara é simplesmente escrita em decimal. Por exemplo, /24 representa a máscara de sub-rede com 24 bits 1 binários na máscara de sub-rede. O número de bits com valor binário 1 na máscara é considerado como sendo o prefixo.

• •• •• •• •• •• •• •• •• •• •• •• ••• •• •• •• •• •• •• •• •• •• •

•• •. 0 •• • •• ••

CCNA ICND2

479

OSPF Open Shortest Path First. Um IGP link-state popular que usa uma base de dados link-state e o algoritmo SPF (Shortest Path First) para calcular as melhores rotas para se alcançar cada sub-rede conhecida.

•

p

packet switching Um serviço de WAN no qual cada dispositivo DTE se conecta à companhia telefônica usando uma única linha física, com a possibilidade de ser capaz de encaminhar tráfego para todos os demais sites conectados ao mesmo serviço. O switch da companhia telefônica toma a decisão de encaminhar baseado em um endereço presente no cabeçalho do pacote.

• •

Password Authentication Protocolo Um protocolo de autenticação PPP que permite que parceiros PPP se PAP autentiquem um ao outro.

•

parcialmente em malha Uma topologia de rede na qual mais do que dois dispositivos poderiam se comunicar fisicamente, mas, por opção, apenas um subconjunto dos pares de dispositivos conectados à rede pode se comunicar diretamente.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

PAT

Veja Tradução de Endereço de Porta (Port Address Translation).

permitir (permit) Uma ação tomada por uma ACL que implica que o pacote tem permissão de prosseguir através do roteador e ser encaminhado. pilha dupla No 1Pv6, um modo de operação no qual um host ou um roteador executa tanto o IPv4 quanto o IPv6. ping estendido Um comando do lOS no qual o comando ping aceita várias outras opções além do endereço IP de destino somente. poison reverse Um anúncio de rota envenenada do vetor distância para uma sub-rede que não seria anunciada por causa das regras do split-horizon, mas que está sendo anunciada agora como uma rota envenenada. porta (Múltiplas definições) 1) No TCP e no UDP, um número que é usado para identificar unicamente o processo da aplicação que enviou (porta origem) ou que deve receber (porta destino) dados. 2) Em LAN switching, outro termo para interface com o switch. porta alternativa No RSTP 802.1w, um papel de porta usado para indicar uma interface que está recebendo um BPDU Hello inferior no momento, fazendo com que ela seja uma possível substituta para a porta raiz. Também usada na implementação de STP 802.1d da Cisco. porta backup No RSTP 802.1w, um papel de porta usado quando várias interfaces em um switch se conectam a um único domínio de colisão. Isto faz com que uma interface seja a DP (designated port, ou porta designada), e uma ou mais além desta fiquem disponíveis para substituir a DP (papel de backup). porta desativada No STP, um papel de porta para interfaces que não estão funcionando - em outras palavras, interfaces que não estão em um estado de interface conectada ou up/up. porta designada Tanto no STP quanto no RSTP, um papel de porta usado para determinar qual das várias interfaces, todas conectadas a um mesmo segmento ou domínio de colisão, deve encaminhar pacotes para o segmento. O switch que anunciar o BPDU Hello com menor custo no segmento torna-se a DP. porta raiz No STP, a porta de um switch que não é raiz, na qual o Hello de menor custo é recebido. Os switches colocam as portas raiz no estado de Encaminhamento. PortFast Um recurso de STP do switch no qual uma porta é colocada no estado de Encaminhamento do STP assim que a interface é ativada, pulando os estados de Escuta e de Aprendizado. Este recurso é destinado a portas conectadas a dispositivos que são usuários finais. PPP Point-to-Point Protocolo Um protocolo de enlace de dados que oferece conexões de roteador-para-roteador e de host-para-rede através de circuitos síncronos e assíncronos. prefIxo de ISP No IPv6, o prefixo que descreve um bloco de endereços que foi atribuído a um ISP por algum registrador da Internet.

480

Glossário

prefIxo de registro No IPv6, o prefixo que descreve um bloco de endereços IPv6 públicos, globalmente únicos, atribuídos a um RIR (Regional Internet Registry) pela ICANN. prefIxo de site No IPv6, o prefixo que descreve um bloco de endereço IPv6 público, globalmente único que foi atribuído a uma organização que é um usuário final (por exemplo, uma Empresa ou agência do governo). A atribuição é tipicamente feita por um ISP ou registrador da Internet. prefIXo de sub-rede No IPv6, um termo para o prefixo atribuído a cada enlace de dados, atuando como uma sub-rede do IPv4. PRI Primary Rate Interface. Uma interface ISDN para taxa de acesso primário. Taxa de acesso primário consiste em um único canal D de 64-kbps mais 23 (TI) ou 30 (El) canais B para voz ou dados. protocolo de roteamento Um conjunto de mensagens e processos com os quais os roteadores podem trocar informações a respeito de rotas para alcançar sub-redes em uma rede em particular. Exemplos de protocolos de roteamento incluem EIGRP (Enhanced Interior Gateway Routing Protocol), OSPF (Open Shortest Path First) e RIP (Routing Information Protocol)o protocolo de roteamento classful Uma caracteóstica inerente ao protocolo de roteamento. De modo específico, o protocolo de roteamento não envia máscaras de sub-redes em suas atualizações de roteamento. Isto exige que o protocolo faça suposições a respeito de redes classful e faça com que o mesmo não seja capaz de suportar VLSM e sumarização manual de rotas. protocolo de roteamento classless Uma caracteóstica inerente ao protocolo de roteamento. De modo específico, o protocolo de roteamento envia máscaras de sub-redes em suas atualizações de roteamento, fazendo com que não seja necessário fazer nenhuma suposição a respeito dos endereços em uma sub-rede ou rede em particular. Isto permite que o protocolo suporte VLSM e sumarização manual de rotas. protocolo roteado IPv6.

Um protocolo de Camada 3 que defrne um pacote que pode ser encaminhado, tal como IPv4 e

protocolo roteável

Veja protocolo roteado.

PVC Veja circuito virtual permanente.

R RSTP (Rapid Spanning Tree Protocol) Definido pelo IEEE 802.1 w. Define uma versão melhorada do STP que converge muito mais rapidamente e consistentemente que o STP (802.1d). recusar (deny)

Uma ação tomada com uma ACL que implica que o pacote será descartado.

rede classful Uma rede IPv4 Classe A, B ou C. São chamadas de redes classful porque estas redes são definidas pelas regras para classe do endereçamento IPv4. rede contígua No IPv4, um design para interconexão de rede no qual os pacotes trocados entre duas sub-redes quaisquer de uma única rede classful passam apenas pelas sub-redes desta rede classful. rede IP privada Um dentre os diversos números de rede IPv4 classful que nunca serão atribuídos para serem usados na Internet, criados para serem usados dentro de uma única empresa. rede não-contígua No IPv4, um design para interconexão de rede no qual os pacotes trocados entre duas sub-redes de uma única rede classful devem passar através das sub-redes de outra rede classful. rede privada virtual (VPN) Um conjunto de protocolos de segurança que, quando implementados por dois dispositivos em cada extremidade de uma rede não segura, tal como a Internet, permite que os dispositivos enviem dados de forma segura. Os VPNs fornecem privacidade, autenticação de dispositivos, serviços anti-replay e serviços relativos à integridade de dados. reported distance Do ponto de vista de um roteador EIGRP, a métrica para uma sub-rede, conforme calculada em um roteador vizinho e reportada em uma atualização de roteamento ao primeiro roteador. RID (Router ID, ou ID do roteador) No OSPF, um número de 32 bits, escrito em decimal com pontos, que identifica unicamente cada roteador.

•• •• ••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•• •• •• •• •• •• •• •• •• •• •• • '.•• •• •• •• •• •• •• •• •• •• •

,.

CCNA ICND2

481

RIP Routing Information Protocolo Um IGP (Interior Gateway Protocol, ou Protocolo interno de porta de comunicação) que usa a lógica de vetor distância e contador de hop do roteador como métrica. A versão 1 do RIP (RIP-l) se tornou impopular. A versão 2 do RIP (RIP-2) disponibiliza mais recursos, incluindo suporte a VLSM. RIR (Regional Internet Registry) O termo genérico para uma das cinco organizações atuais responsáveis pela atribuição do espaço de endereçamento IPv4 e IPv6 públicos, globalmente únicos. rota avante Do ponto de vista de um host, a rota através da qual um pacote trafega, deste host para algum outro host. rota de sumarização Uma rota criada via comando de configuração para representar rotas para uma ou mais subredes através de uma única rota, reduzindo assim, o tamanho da tabela de roteamento. rota envenenada (poisoned route) Uma rota no anúncio de um protocolo de roteamento que lista uma sub-rede com um valor especial de métrica, chamado de métrica infinita, que define a rota como sendo uma rota em falha. rota inversa Do ponto de vista de um host, para pacotes enviados de volta ao host a partir de outro host, a rota através da qual o pacote trafega. Roteador de Limite de Sistema Autônomo

Veja ASBR.

roteador designado No OSPF, em uma rede multi-acesso, o roteador que ganha uma eleição e sendo assim, é responsável pela administração de um processo serializado para troca de informações sobre topologia OSPF entre todos os roteadores conectados a esta rede. roteador designado para backup Um roteador OSPF conectado a uma rede multi-acesso que monitora o funcionamento do DR (designated router, ou roteador designado) e assume o trabalho do DR, se o DR falhar. roteamento classful Uma variação do processo de encaminhamento (roteamento) do IPv4 que define o modo particular com que uma rota default é usada. A rota default é usada somente se a rede classful na qual o endereço de destino do pacote reside não estiver presente na tabela de roteamento do roteador. roteamento classless Uma variação do processo de encaminhamento (roteamento) que define o modo particular com que uma rota default é usada. A rota default é sempre usada para pacotes cujo endereço IP de destino não casa com nenhuma outra rota. RSTP Veja Rapid Spanning Tree Protocol.

S Secure Sockets Layer (SSL) Um protocolo de segurança que está integrado nos navegadores webs comumente usados, e que fornece serviços de criptografia e autenticação entre o navegador e um website. segmento (Múltiplas definições) 1) No TCP, um termo usado para descrever um cabeçalho TCP e seus dados encapsulados (também chamado de L4PDU). 2) Também no TCP, o conjunto de bytes formados quando o TCP quebra uma grande quantidade de dados recebidos da camada de aplicação em partes menores que cabem nos segmentos TCP. 3) No Ethernet, ou um único cabo Ethernet, ou um único domínio de colisão (não importa quantos cabos estejam sendo usados). síncrono A imposição de ordenação temporal em uma seqüência de bits. Na prática, um dispositivo tenta usar a mesma velocidade que outro dispositivo na outra extremidade de um enlace serial. No entanto, ao examinar as transições entre estados de voltagem no enlace, o dispositivo consegue perceber pequenas variações na velocidade em cada extremidade e pode ajustar sua velocidade de acordo. SLSM Static-length subnet mask, ou máscara de sub-rede de comprimento estático. O uso da mesma máscara de sub-rede para todas as sub-redes de uma única rede Classe A, B ou C. sobrecarga do NAT

Veja PAT (Port Address Translation, ou Tradução de Endereço de Porta).

solicitação link-state Um pacote do OSPF usado para pedir a um roteador vizinho que envie um determinado LSA. split horizon Uma técnica de roteamento do vetor distância na qual as informações sobre rotas são impedidas de sair da interface do roteador através da qual a informação foi recebida. Atualizações split-horizon são úteis para evitar loops no roteamento. SSL Veja Secure Sockets Layer.

482

•

Glossário

STP (Spanning Tree Protocol) Um protocolo definido pelo padrão IEEE 802.Id. Permite que switches e bridges criem uma LAN redundante, com o protocolo fazendo com que algumas portas bloqueiem o tráfego dinamicamente, de modo que a lógica de encaminhamento do switch/bridge não fará com que os frames fiquem em loop indefinidamente na LAN. subinterface Uma das interfaces virtuais em uma única interface física. sub-rede Uma subdivisão de uma rede Classe A, B ou C, conforme configurado por um administrador de rede. Subredes permitem que uma única rede Classe A, B ou C seja usada e ainda assim, permita um grande número de grupos de endereços IP, conforme necessário para um roteamento IP eficiente.

sub-rede de broadcast Quando uma rede Classe A, B ou C é dividida, a sub-rede de cada rede classful na qual todos os bits de sub-rede possuem um valor 1 binário. O endereço de broadcast da sub-rede nesta sub-rede possui o mesmo valor numérico que o endereço de broadcast para toda a rede, da rede classful.

sub-redes sobrepostas Uma condição de design (incorreta) de sub-rede IP, na qual uma faixa de endereço de subrede inclui endereços na faixa de outra sub-rede. sub-rede zero Para toda rede IPv4 classful que é dividida em sub-redes, a sub-rede cujo número de sub-rede possui Os binários em toda a parte referente à sub-rede do número. Em decimal, a sub-rede O pode ser facilmente identificada porque possui o mesmo número que o número da rede classful.

sucessor No EIGRP, a rota para alcançar uma sub-rede, que possui a melhor métrica e deve ser colocada na tabela de roteamento IP.

sucessor possível

No EIGRP, uma rota que não é a melhor rota (rota para sucessor), mas que pode ser usada de imediato caso a melhor rota falhe, sem causar um loop. Tal rota atende à condição de viabilidade.

sumarização automática Um recurso do protocolo de roteamento no qual um roteador que se conecta a mais de uma rede classful anuncia rotas resumidas para cada rede classful inteira, quando envia atualizações através das interfaces conectadas a outras redes classful.

sumarização de rota O processo de combinar múltiplas rotas em uma única rota anunciada, com o objetivo de reduzir o número de entradas nas tabelas de roteamento IP dos roteadores.

SVC Switched virtual circuito Um VC que é configurado dinamicamente quando necessário. switch Um dispositivo de rede que ftltra, encaminha e injeta frames baseado em cada endereço de destino do frame. O switch opera na camada de enlace de dados do modelo de referência OSI (Open System Interconnection).

switch raiz No STP, o switch que ganha a eleição pelo fato de ter o menor Bridge ID e, como resultado, envia BPDUs Hello periódicos (o default é de 2 segundos).

T tabela de vizinhos Para OSPF e EIGRP, uma lista de roteadores que alcançaram o status de vizinho. taxa de acesso

Veja AR.

Taxa de Informação Comissionada (CIR)

Veja CIR

temporizador de atualização O intervalo de tempo que regula a freqüência com que um protocolo de roteamento envia sua próximas atualizações de roteamento periódicas. Protocolos de roteamento vetor distância enviam atualizações completas de roteamento a cada intervalo de atualização. temporizador de HeUo No STP, o intervalo de tempo no qual o switch raiz deve enviar BPDUs Hello. TFTP Trivial File Transfer Protocolo Um protocolo de aplicação que permite que arquivos sejam transferidos de um computador a outro através de uma rede, mas com apenas poucos recursos, fazendo com que o software exija pouco espaço para armazenamento.

tipo de protocolo Um campo no cabeçalho IP que identifica o tipo de cabeçalho que vem a seguir ao cabeçalho IP, tipicamente um cabeçalho de Camada 4, tal como TCP ou UDP. As ACLs podem examinar o tipo do protocolo para identificar pacotes com um determinado valor neste campo do cabeçalho.

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

CCNA ICND2

483

• •• ••

triggered update Um recurso do protocolo de roteamento no qual um protocolo de roteamento não espera pela próxima atualização periódica quando algo muda na rede, mas envia imediatamente uma atualização no roteamento.

• •

trunk Em campus com LAN, um segmento Ethernet no qual os dispositivos adicionam um cabeçalho VLAN que identifica a VLAN na qual o frame existe.

• •

trunking Também chamado de trunking VLAN. Um método (que usa o protocolo ISL da Cisco ou o protocolo IEEE 802.1Q) para suportar múltiplas VLANs que possuem membros em mais de um switch.

• •

Tradução de Endereço de Porta (PAT) Um recurso da NAT no qual um endereço IP Global Interno suporta mais de 65.000 conexões TCP e UDP concorrentes.

Troca de Chave Diffie-Hellman Um protocolo de troca de chaves no qual dois dispositivos podem trocar informações através de uma rede pública. Combinado com alguns segredos previamente existentes, isto permite que os mesmos calculem uma chave simétrica conhecida somente por eles.

· v

•• •• •• •• •• •• •• • • •

var13ncia IGRP e EIGRP calculam suas métricas, portanto as métricas para rotas diferentes para a mesma sub-rede raramente possuem o mesmo valor exato. O valor da variância é multiplicado pela menor métrica quando existem várias rotas para a mesma sub-rede. Se o produto for maior que as métricas das outras rotas, as rotas são consideradas como tendo métricas "iguais", permitindo que múltiplas rotas sejam adicionadas na tabela de roteamento. VC Virtual circuit, ou circuito virtual. Um conceito lógico que representa o caminho pelo qual os frames trafegam entre os DTEs. Os VCs são particularmente úteis quando se compara o Frame Relay a circuitos físicos privativos. vetor distância A lógica por detrás do comportamento de alguns protocolos de roteamento internos, tais como RIP e IGRP. Algoritmos de roteamento vetor distância fazem com que cada roteador envie sua tabela de roteamento completa em cada atualização, mas somente para seus vizinhos. Os algoritmos de roteamento vetor distância podem ter tendência a ter loops no roteamento, mas são mais simples em termos de processamento que os algoritmos link-state. Também chamado de algoritmo de roteamento Bellman-Ford.

•

vizinho Nos protocolos de roteamento, outro roteador com o qual um roteador decide trocar informações sobre roteamento.

•

VLAN Veja LAN virtual. vlan.dat O arquivo default usado para armazenar a base de dados da configuração de VLAN em um switch Cisco. VLAN Trunking Protocol (VTP) Um protocolo de troca de mensagens proprietário da Cisco usado entre switches Cisco para transmitir informações de configuração a respeito da existência de VLANs, incluindo o ID da VLAN e o nome da VLAN. VLSM variable-length subnet mask(ing), ou máscara(mento) de sub-rede de comprimento variável. A capacidade de especificar uma máscara diferente de sub-rede para o mesmo número de rede Classe A, B ou C em sub-redes diferentes. VLSM pode ajudar a otimizar o espaço de endereçamento disponível.

•

VoIP Voice over IP, ou voz sobre IP. O transporte de tráfego de voz dentro de pacotes IP através de uma rede IP.

•

VPN

•

VTP Veja VLAN Trunking Protocol.

•• •• •• •• •

Veja rede privada virtual (virtual private network).

VTP pruning A facilidade do VTP pela qual os switches selecionam dinamicamente as interfaces onde se impedem o envio de frames em certas VLANs, quando os frames não precisam ir para todos os switches da rede.

W web VPN Uma ferramenta oferecida pela Cisco na qual um usuário pode usar qualquer navegador web comum para se conectar de forma segura usando SSL, a um servidor web VPN, que então se conecta às aplicações baseadas em web da Empresa - aplicações que podem ou não suportar SSL.

••

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•

••

•• •• •• •

íNDICE

: NÚMEROS •

.• A • •• •

•

•• •• ••

•• •• • • •

•• •• •• •• •

•• ••

802.1Q, trunking VLAN, 9 - 11 802.1 w. Veja RSTP (Rapid Spanning Tree Protocol)

B-C

Acesso, VPN, 381

ACL (Access Control Lists, ou Listas de Controle de Acesso), 165 ACL baseada em tempo, 190 ACL dinâmica, 191 ACL estendida, 173

casando números de porta TCP/UDP, 188 ACL nomeada, configurando, 167 ACL numerada, configurando, 167 ACL padrão, 168

BECN (Backward Error Congestion Notification) , nuvens Frame Relay, 347 BID (Bridge ID), STP, 49 bits DE (Discard Eligibility), nuvens Frame Relay, 348

BPDU (Bridge Protocol Data Units) 49 BPDU Guard, 56 broadcast storms, STP, 46 campo de Protocolo (PPP), 317 CCNA Prep Center, 449 CDP (Cisco Discovery Protocol), confirmação de diagrama da rede (LAN switching), 88

ACL reflexiva, 188

cenários de rede (preparação para o exame), 99

auto-avaliação, 165

configurações PPP, 321

ACL (Access Control List, ou Lista de Controle de Acesso) reflexiva, 188 agregação de rota, CIDR, 396 algoritmo Dijkstra SPF (Shortest Path First), protocolo de roteamento link-state, 251 anúncios de resumo (VTP), 17 anúncios de subconjuntos (VTP), 14

CIDR (Classless lnterdomain Routing), NAT, 396 códigos de hosts inatingíveis (mensagens ICMP Destination Unreachable), 198 códigos de redes inatingíveis (mensagens ICMP Destination Unreachable), 198 códigos para protocolos inatingíveis (mensagens ICMP Destination Unreachable), 197

AR (A ccess Rates, ou Taxas de Acesso), links de aceso,

comando debug ip nat 409

armazenando configurações de VLAN, 347

comando debug ip ospf adj , 308

ARP (Address Resolution Protocol, ou Protocolo de Resolução de Endereço) 357

comando debug ip ospf hello, 309 comando debug ppp authentication, 327

ARP Inverso, mapeamento de endereço Frame Relay, 357

comando delay, 282

ARP Inverso, mapeamento de endereço Frame Relay, 358

comando eigrp router-id 283

ASA (Adaptive Security Appliances), VPN, 381

comando encapsulation, 131

ASN (Autonomous System Numbers) , 225

comando encapsulation frame-relay, 355

autenticação - 282

comando frame-relay interface-d1ci, 353

•

486 índice comando frame-relay lmi-type 356

comando show cdp, 88

comando frame-relay map 354

comando show cdp neighbors, 33

comando interface loopback, 265

comando show, 297

comando interface serial 0/0/0/1 point-to-point 118

comando show frame-relay map, 358

comando ip address, 129

comando show frame-relay pvc, 358

comando ip authentication key-chain eigrp, 287

comando show interfaces, 93

comando ip authentication mode eigrp, 287

comando show interfaces description, 90

comando ip default-network, rotas estáticas default, 137

comando show interfaces faO/O, 290

comando ip hello-interval eigrp, 282

comando show interfaces FaO/13, 93

comando ip hold-time eigrp 282

comando show interfaces status, 90

comando ip mtu, 127

comando show interfaces switchport, 24

comando ip nat inside source list, 411

comando show interfaces trunk, 25

comando ip nat inside source list 1 interfaces serial O/O overload, 411 comando ip nat inside source static, 411 comando ip nat pool, 407 comando ip ospf authentication, 251 comando ip ospf cost, 261 comando ip ospf dead-interval, 261, 266 comando ip ospfhello-interval, 261, 266 comando ip ospf network, 255 comando ip route, 133 comando ip subnet-zero, 130 comando ip summary-address, 155 comando ipv6 router rip, 437

comando maximum-paths, 261 comando mtu, 127 comando network, 250 comando no auto-summary, 146

comando show ip access-list, 207 comando show ip eigrp interface, 302 comando show ip eigrp interfaces, 283 comando show ip eigrp neighbor, 275 comando show ip eigrp neighbors, 283 comando show ip eigrp topology, 275 comando show ip interface brief, 301 comando show ip nat statistics, 406 comando show ip nat translations, 406 comando show ip ospf interface, 265 comando show ip ospf interface brief, 297 comando show ip ospf neighbor, 251 comando show ip protocols, 297 comando show ip route, 118 comando show ip route connected, 128 comando show ip route eigrp, 283 comando show ipv6 interface, 429

comando no ip subnet-zero, 118

comando show ipv6 interface brief, 437

comando no keepalive, 364

comando show mac address-table, 98

comando no shutdown, 28

comando show mac address-table dynamic, 112

comando passive-interface, 297

comando show mac address-table vlan 3, 112

comando ping, 117

comando show port-security, 94

comando router, 262

comando show port-security interface, 100

comando router eigrp, 274

comando show running-config, 6

comando router ospf, 250

comando show spanning-tree, 20

comando service password-encryption, 269

comando show spanning-tree vlan, 72

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •

•• •• •• •• •• •• •• •• •• •

•• •• •• •• •• •

•• •• •

•• •• •• •• ••

•

CCNA DTE (Data Terminal Equipment) 384

comando show spanning-tree vlan 3 active, 108 comando show vlan, 25 comando show vlan brief, 6-7

E

comando show vtp password, 31

Echo Requests (lCMP), 196

comando show vtp status, 28

edges (RSTP), 57

comando shutdown, 90 comando spanning-tree vlan root primary, 68 comando spanning-tree vlan root secondary, 69

EGP (Exterior Gateway Protocols, ou Protocolos externos de porta de comunicação), 225 EIGRP (Enhanced Interior Gateway Routing Protocol), 226

comando static route, 153

endereçamento privativo, NAT, 396

comando switchport access vlan, 18

endereços globais externos, NAT, 403

comando switchport mode, opções do, 22

endereços globais internos, NAT, 401

comando switchport trunk encapsulation dotlq, 99

endereços 1Pv6 multicast, 433

comando terminal monitor, 105

endereços IPv6 unicast, 429

comando traceroute, 195

endereços locais externos, NAT, 399

comando vtp domain, 32

endereços locais internos, NAT, 399

comando vtp mode, 32

endereços para mapeamento, Frame Relay, 400

comando vtp mode transparent, 32

enlaces (RSTP), 57

comando vtp pruning, 40

envenenamento de rota (route poisoning), 232

conexões virtuais. Veja VC (virtual circuits, ou circuitos virtuais) 336

487

escalando OSPF, 258 Extranet, VPN, 382

configurando automaticamente endereços de host IPv6, 434

F D

FD (Feasible Distance) , cálculo de métrica EIGRP, 278

detecção de enlace em loop, LCP, 318 detecção de erro, LCP, 319

DHCP (Dynamic Host Configuration Protocol, ou Protocolo de Configuração Dinâmica de Host) 427

ftltragem de pacotes. Veja ACL (Access Control Lists, ou Listas de Controle de Acesso) 347

firewalls, PIX, 382 Frame Relay, 122

diagramas de rede, confirmando via CDP (LAN switching), 88 distribuição de carga, OSPF, 265

divisão em sub-redes, 259 DKE (Dynamic Key Exchange, ou Troca Dinâmica de Chave), 384

DLCI (data-link connection identifiers), configurações de Frame Relay, 336 DNS (Domain Name System, ou Sistema de Nome de Domínio), 126 DP (designated ports, ou portas designadas), 48 DR (Designated Routers, ou Roteadores Designados), para troca de base de dados de topologia OSPF, 255

G-H-I ICMP (Internet Control Message Protocol) 125 IEEE 802.1Q, trunking VLAN, 10

IGP (Interior Gateway Protocols, ou Protocolos internos de porta de comunicação), 223 IKE (Internet Key Exchange, ou Troca de Chave da Internet), 384 interfaces de acesso, 18 interfaces de trunk, 97 Intranet, VPN, 387

••

488 índice ISATAP (lntra-site Automatic Tunnel Addressing Protocol), IPv6, 439

o OSPF (Open Shortest Path First), 241

ISL (Inter-Switch Links) 6, 9-11

J-K-L

p PAP (Password Authentication Protocol) 317

LAN switching, XLI LCP (Link Control Protocol, ou Protocolo de Controle de Enlace), 318 LMI (Local Management Interface), 336

LSA (Link-State Advertisements, ou anúncios de linkstate), 241

PAT (Port Address Translation, ou Tradução de Endereço de Porta), sobrecarregando NAT, 395 pilhas duplas (IPv4IIPv6), 438 planos de estudo, 447 poison reverse, loops em vetor distância, 222

LSA (Link-State Advertisements, ou anúncios de linkstate) de enlace, 241

PortFast, 55

LSA (Link-State Advertisements, ou anúncios de linkstate) de roteador, 241

protocolos de roteamento, 233

M

PPP (Point-to-Point Protocol), 317

PVC (permanent virtual circuits, ou circuitos virtuais permanentes), 336 PVRST+(Rapid Spanning Tree Plus por VLAN), 64

mapeamento de endereço, Frame Relay, 335

PVST+(Spanning Tree Plus por VLAN), 64

mapeamento estático de endereços, mapeamento de endereço no Frame Relay, 359 MCT (Manually Configured Tunnels, ou Túneis Configurados Manualmente), IPv6, 439

Q-R RA (Router Advertisements), endereços IPv6, 430

mensagens ICMP Destination Unreachable, 196 mensagens ICMP Redirect, resolvendo problemas de roteamento IP, 198

RD (Reported Distance), cálculo de métrica EIGRP, 280

recurso Root Guard, segurança no STP, 57

MIST (Multiple Instances of Spanning Trees), 64 MST (Multiple Spanning Trees), 64

redes c1assful, 145 redes c1assful contíguas, 159

redes não-contíguas, 160

N

registro, 448 RP (root poris, ou portas raiz), STP, 48

NAT (Network AddressTtranslation, ou Tradução de Endereço de Rede) 396 NAT Dinâmica, 400

RSTP (Rapid Spanning Tree Protocol), 58 RTP (Reliable Transport Protocol), mensagens de atualização do EIGRP, 276

NAT Estática, 398 NAT (Network Address Translation, ou Tradução de Endereço de Rede) Estática, 398 NAT-PT (Network Address Translation - Protocol Translation, ou Tradução de Endereço de Rede - Tradução de Protocolo), transições IPv4 e IPv6, 440 NDP (Neighbor Discovery Protocol), encontrando roteadores IPv6 defaults, 429

s SSH (Secure Shell), controle de acesso ACL, 105 SSL (Secure Socket Layer), VPN, 387 STA (Spanning Tree AIgorithm), 48

STP (Spanning Tree Protocol) 77

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

••

• •e T •

CCNA

•

Telnet, 186

•

TLS (Transport Layer Security), 387

•

e •

••

489

Traffic Shaping, 347 triggered update, loops em vetor distância, 236

trunking (VLAN), 9

• U-V

• •

•• •

•• • •

•

UDP (User Datagram Protocol), casando números de porta no ACL estendida, 402 VMPS, 18

VLSM (Variable-Length Subnet Masking, ou Máscara de Sub-rede de Extensão Variável), Veja também sumarização de rotas, 128 VMPS (VIAN Management Policy Server), 18 VPN (Virtual Private Networks, ou Redes Privadas Virtuais), 379

VTP (VIAN Trunking Protocol), 7

•• •

W-X-Y-Z

• •

WAN (Wide Area Networks, ou Redes de Longa Distância), PPP, 315

•• ,.•

I.• •• •• •• •• •• ••

I

j

490

•

índice

•

Impresso na Rotaplan Gráfica e Editora LTDA www.rotaplangrafica .com.br Tel.: 21-2201 - 1444

•• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• •• ••

•

I I

•I I •I I •

CCNAICND2

CISCO .

Guia Oficial de Certificação do Exame Segunda Edição

Este guia de estudos lhe ajuda a dominar todos os tópicos do exame CC NA ICND2, incluindo:

• LANs virtuais e Protocolo Spanning Tree • Rotas estáticas e conectadas

CCNA ICND 2 Guia Oficial de Certificação do Exame é o melhor entre os guias de estudo para exames da Cisco, concentrando-se especificamente nos objetivos do exame CCNA ICND2. Esta edição, totalmente atualizada, apresenta revisões completas e uma experiência mais desafiadora e realista para a preparação para o exame. Wendell Odom, instrutor pleno e autor de best-sellers, compartilha dicas de preparação para o exame e de como fazer as provas, ajudando-o a identificar áreas de pontos fracos e a melhorar seu conhecimento conceitual e suas habilidades práticas. O material é apresentado de forma concisa, concentrando-se em desenvolver seu entendimento sobre os tópicos do exame e preparando você para os inúmeros desafios apresentados pela prova.

• VLSM e sumarização de rotas • Listas de controle de acesso IP • Configuração do OSPF e EIGRP • WANs ponto-a-ponto • Frame Relay .VPNs • Tradução de endereços de rede .IPv6 • Resolução de problemas

Este volume faz parte da Série Guia de Certificação de Exames da Cisco Press'll. Os livros desta série fornecem materais de preparação para exames desenvolvidos oficialmente, os quais oferecem avaliações e revisões práticas para ajudar os candidatos nas Certificações de Carreira Cisco a identificar seus pontos fracos, concentrar seus esforços de estudo e maximizar sua confiança à medida que o dia do exame se aproxima. Categoria: Cisco Press Certificação Cisco Abrange: CCNA ICND2 Exame 640-816

CCNA ICND 2 Guia Oficial de Certificação do Exame apresenta uma rotina organizada de preparação para o exame por meio do uso de técnicas e elementos comprovados. Questionários do tipo "Eu já conheço isto?" abrem cada capítulo e lhe permitem decidir quanto tempo gastar em cada seção. As seções "Atividades de Preparação para o Exame", ao fmal de cada capítulo, ajudam-no a exercitar os conceitos-chave que devem ser plenamente conhecidos e a aumentar sua velocidade ao responder às questões, um obstáculo dificil com o qual muitos candidatos se deparam nos novos exames. Um capítulo dedicado à "Preparação Final" guia você através de ferramentas e recursos importantes para traçar seu plano de estudo fmal. Seções especiais, voltadas para a resolução de problemas, ajudam-no a dominar os complexos cenários que terão de ser enfrentados no exame. Bem conceituado pelo seu nivel de detalhamento, seus recursos de avaliação e suas questões práticas desafiadoras, este livro lhe proporciona mais informações detalhadas e mais exercícios de prática realista do que qualquer outro guia de estudos da Cisco, possibilitando seu sucesso no exame já na primeira vez.

CCNA ICND 2 Guia Oficial de Certificação do Exame faz parte de um programa de estudo recomendado, que inclui simulação e treinamento prático da Cisco Learning Partners e produtos autodidatas da Cisco Press. Para obter mais informações sobre treinamentos conduzidos por instrutores, aprendizado eletrônico e instruções práticas oferecidas pela Cisco Learning Partners em todo o mundo, visite a página www.cisco.comlgo/authorizedtraining. te

LC.C.,).)~

~o,v"~

WendeU Odom, CCIE . 1624, é instrutor da Skyline Computer, onde • ~~JJ rnlnistra cursos sobre preparação de laboratório para o QoS, o CCNA e o ~~ CCIE. Odom tem trabalhado no campo de redes de computadores há 20 anos, com:atividades em consultoria técnica pré e pós-vendas, ensino e desenvolvimento decursos. w i1'~" ~ ,

ISBN 978-85-7608-188-3

1111111

978857

81883 'li

Este livro não possui ou acompanha CD-ROM ou qualquer outra m/dia de armazenamento

ALTA BOOKS

J..,.,.

R... Vlúv. CI.udlo, 211 RIo de J ....lro - RJ. CEP 20170.431 Te!: (21) 327~ Fu: 21 32n-1253 www.•ltabooka.com.br•• ltal>c>c>bQloltabooka.com.br

ciscopress.com

•• •• •• •

•• •• •

•• •• •• •• •• •• •• •• •• •• •,. •• •• •• • •• •• •• •• •• •