پیکربندی لایه ۲ و ۳ زیرساخت شبکه مرکزداده

توضیحات

خدمات پیکربندی لایه ۲ و ۳ زیرساخت شبکه مرکزداده

۱) طراحی و پیکربندی VLAN ها و Trunking

طراحی معماری VLAN دیتاسنتر (Data، Mgmt، Storage، vMotion، DMZ)، تخصیص VLAN ID استاندارد، پیکربندی Access Port و Trunk Port با 802.1Q، و تنظیم Native VLAN امن.

VLAN تنها راه جداسازی ترافیک در لایه ۲ است و طراحی نادرست آن یعنی اختلاط ترافیک مدیریت با کاربران، یا ترافیک iSCSI با دیتا. استاندارد دیتاسنتری می‌گوید هر نوع ترافیک باید VLAN اختصاصی خودش را داشته باشد: VLAN 10-19 برای Management، VLAN 100-199 برای Data، VLAN 200-299 برای Storage (iSCSI/NFS)، VLAN 300-399 برای vMotion، VLAN 400-499 برای DMZ. این جداسازی هم امنیت را بالا می‌برد، هم عیب‌یابی را ساده می‌کند، و هم امکان QoS گذاری متفاوت روی هر VLAN را فراهم می‌سازد. تیم ما VLAN Database را روی تمام سوئیچ‌ها (Core، Aggregation، Access) یکسان و هم‌گام ایجاد می‌کند (با VTP Transparent یا مستقل). Access Port ها با Spanning Tree PortFast و BPDU Guard روی VLAN مربوطه تنظیم می‌شوند. Trunk Port ها فقط VLAN های مورد نیاز را Allow می‌کنند (Switchport Trunk Allowed VLAN مشخص، نه All). Native VLAN را به یک VLAN غیرقابل استفاده و Tagged تغییر می‌دهیم تا از VLAN Hopping Attack جلوگیری شود. نتیجه: ترافیک‌ها کاملاً ایزوله، بدون نشت داده بین VLAN ها در لایه ۲.

2) پیکربندی بهینه Spanning Tree Protocol (STP)

انتخاب و تنظیم Root Bridge بر اساس نقش سوئیچ، فعال‌سازی Rapid Spanning Tree (RSTP) یا MST، پیکربندی Loop Guard، Root Guard، BPDU Guard و PortFast، و تنظیم اولویت پورت‌ها.

Spanning Tree ناجی شبکه در برابر Loop است، اما اگر دستی تنظیم نشود، می‌تواند خودش دردسر درست کند: سوئیچی که تصادفاً Root Bridge می‌شود (مثلاً یک سوئیچ Access قدیمی با Bridge Priority پایین‌تر)، تمام ترافیک را از خود عبور می‌دهد و کل شبکه را فلج می‌کند. تیم ما STP را مهندسی می‌کند: اول، Root Bridge را به صورت دستی روی سوئیچ Core با کمترین Bridge Priority (مثلاً 0 یا 4096) تنظیم می‌کنیم و Secondary Root را روی Core دوم با Priority بعدی (مثلاً 8192). دوم، RSTP (802.1w) یا MST (802.1s) را فعال می‌کنیم که Convergence را از ۳۰-۵۰ ثانیه STP قدیمی به زیر ۱ ثانیه می‌رساند. سوم، PortFast و BPDU Guard را روی تمام Access Port ها فعال می‌نماییم: PortFast پورت را فوراً به Forwarding می‌برد (بدون انتظار ۱۵+۱۵ ثانیه Listening/Learning) و BPDU Guard اگر کسی سهواً سوئیچ دیگری به این پورت وصل کند، پورت را Err-Disable می‌کند تا Loop ایجاد نشود. چهارم، Root Guard روی پورت‌هایی که نباید Root Bridge ببینند (مثلاً پورت‌های رو به Access) تنظیم می‌کنیم. نتیجه: STP ای که در شرایط عادی زیر ۱ ثانیه همگرا می‌شود، در برابر اتصال اشتباه کابل مقاوم است، و Root Bridge هیچ‌وقت انتخاب تصادفی نیست.

3) راه‌اندازی Port-Channel و LACP برای افزونگی و تجمیع پهنای باند

طراحی و پیکربندی EtherChannel روی لینک‌های Core-Aggregation، Aggregation-Access و اتصالات سرورها با LACP Active/Active، انتخاب Hashing Algorithm مناسب، و تست Failover.

یک کابل بین دو سوئیچ Core یعنی یک نقطه شکست منفرد. Port-Channel (EtherChannel) دو یا چند لینک فیزیکی را در یک لینک منطقی تجمیع می‌کند: هم افزونگی دارید (اگر یک کابل قطع شود، ترافیک روی بقیه توزیع می‌شود) و هم پهنای باند بیشتر (دو لینک ۱۰Gbps یعنی ۲۰Gbps). اما Port-Channel بدون LACP (به صورت Static On) خطرناک است: اگر یک سمت On باشد و سمت دیگر نباشد، Loop ایجاد می‌کند. تیم ما Port-Channel را با LACP Active در هر دو سمت پیکربندی می‌کند تا مذاکره خودکار انجام شود. Hashing Algorithm را متناسب با ترافیک انتخاب می‌کنیم: برای لینک بین سوئیچ‌ها (Trunk) از src-dst-ip یا src-dst-mac برای توزیع متوازن، برای لینک به سرور Storage (iSCSI) از src-dst-ip برای اطمینان از Multipathing صحیح. همچنین حداقل تعداد لینک فعال (Minimum Links) را تنظیم می‌کنیم: اگر Port-Channel از ۴ لینک تشکیل شده، با Minimum Links 2، اگر سه لینک Down شود، کل Port-Channel Down می‌شود تا ترافیک از مسیر جایگزین عبور کند. در پایان، تست Failover واقعی انجام می‌دهیم: یک کابل را می‌کشیم و با Ping با Interval 10ms تأیید می‌کنیم که حتی یک پکت هم Lost نشده است.

4) پیکربندی Routing داخلی در لایه ۳ (OSPF/iBGP)

فعال‌سازی IP Routing روی سوئیچ‌های Core و Aggregation، پیکربندی OSPF در Area 0 یا iBGP Full Mesh، تنظیم Interface VLAN (SVI) برای Gateway هر VLAN، و پیاده‌سازی First Hop Redundancy Protocol (HSRP/VRRP).

وقتی دو سوئیچ Core داریم، Gateway هر VLAN باید روی هر دو وجود داشته باشد و خرابی یکی، دیگری را بلافاصله جایگزین کند. این کار با سه جزء انجام می‌شود: ۱) SVI (Switch Virtual Interface): Interface VLAN 100 با IP 10.0.0.2 روی Core1 و IP 10.0.0.3 روی Core2. ۲) FHRP (HSRP یا VRRP): یک IP مجازی (Virtual IP: 10.0.0.1) تعریف می‌کنیم که Gateway واقعی کلاینت‌هاست. Core1 به عنوان Active و Core2 به عنوان Standby با Priority بالاتر و Preempt تنظیم می‌شود که در صورت خرابی Core1، Core2 ظرف کمتر از ۱ ثانیه VIP را تحویل بگیرد. ۳) Routing: برای اینکه شبکه‌های مختلف (VLAN ها) همدیگر را ببینند و ترافیک به اینترنت برسد، Routing داخلی لازم است. ما OSPF را در Area 0 بین Core و Aggregation (و در صورت نیاز بین Core و Firewall) پیکربندی می‌کنیم با Network Type Point-to-Point روی لینک‌های Trunk. OSPF Fast Hello (1 Sec) را برای تشخیص سریع خرابی Neighbor تنظیم می‌نماییم. اگر محیط بزرگ‌تر باشد، iBGP با Route Reflector روی Core پیاده‌سازی می‌کنیم. Static Route را فقط به عنوان Backup و با Administrative Distance بالاتر (مثلاً ۲۵۰) نگه می‌داریم. نتیجه: اگر Core1 کامل خاموش شود، Core2 در کمتر از ۱ ثانیه کل Gateway ها و مسیرهای شبکه را در دست می‌گیرد و حتی یک Session قطع نمی‌شود.

5) پیکربندی QoS برای اولویت‌بندی ترافیک بحرانی

طبقه‌بندی ترافیک (Classification) بر اساس VLAN، DSCP یا CoS، Marking ترافیک در لبه شبکه (Access Switch)، و پیاده‌سازی سیاست‌های صف‌بندی (Queuing) روی پورت‌های Trunk شلوغ.

در لحظه‌ای که پهنای باند Uplink اشباع می‌شود، چه کسی حق تقدم دارد؟ ترافیک VoIP و vMotion (حساس به تأخیر) یا ترافیک بک‌آپ شبانه (حجیم و غیرحساس)؟ بدون QoS، همه ترافیک‌ها برابرند و ترافیک حجیم، ترافیک حساس را خفه می‌کند. تیم ما QoS را در سه مرحله پیاده می‌کند: ۱) Classification: ترافیک را در Access Switch (لبه شبکه) بر اساس معیارهای مختلف علامت‌گذاری (Mark) می‌کنیم. مثلاً VLAN 300 (vMotion) با DSCP CS4، ترافیک iSCSI با DSCP CS5، VoIP با DSCP EF، و ترافیک معمولی با DSCP 0. ۲) Trust Boundary: روی پورت‌های Trunk بین سوئیچ‌ها، DSCP یا CoS را Trust می‌کنیم. ۳) Queuing: روی پورت‌های Uplink اشباع‌شونده، سیاست صف‌بندی تعریف می‌کنیم. ۳۰٪ پهنای باند برای ترافیک بحرانی (Priority Queue با Low Latency Queuing برای VoIP/Storage)، ۴۰٪ برای ترافیک Data (Bandwidth Guarantee)، و ۳۰٪ برای Best Effort (بک‌آپ و ترافیک عمومی). در صورت Congestion، ترافیک Best Effort اول Drop می‌شود. با تست iPerf بین دو VLAN در زمان اشباع عمدی لینک، تأیید می‌کنیم که ترافیک VoIP حتی یک پکت هم Lose نمی‌کند. QoS یعنی شبکه در اوج شلوغی هم سرویس‌های حیاتی را زنده نگه می‌دارد.

6) مستندسازی پیکربندی و تحویل Network Runbook

تهیه دیاگرام توپولوژی لایه ۲ و ۳، مستندسازی کامل Configuration تمام سوئیچ‌ها، VLAN Mapping، STP Topology، IP Addressing Scheme و Runbook عیب‌یابی سناریوهای رایج.

پیکربندی عالی بدون مستندسازی، مثل گنج بی‌نقشه است. سه ماه بعد، وقتی یک VLAN جدید باید اضافه شود یا یک پورت قطعی دارد، تیم فنی یا شما باید بدانید Root Bridge کدام سوئیچ است، Gateway هر VLAN روی کدام Core Active است، OSPF Neighbor ها چه IP ای دارند، و Native VLAN روی کدام Trunk تغییر کرده. تیم ما چهار سطح مستند تحویل می‌دهد: ۱) دیاگرام Visio از توپولوژی فیزیکی و منطقی: سوئیچ‌ها، لینک‌های Trunk با Port-Channel ID، VLAN های عبوری، و IP لینک‌ها. ۲) VLAN و IP Addressing Table: هر VLAN ID، نام، Subnet، Gateway Virtual IP، و DHCP Scope. ۳) STP Topology: Root Bridge، Secondary Root، Port Role هر لینک (Root/Designated/Alternate)، و Cost ها. ۴) Runbook عیب‌یابی: برای سناریوهای رایج (VLAN فلان قطع شده، لینک بین Core و Aggregation Down، یک Access Switch از مدیریت خارج شده)، گام‌به‌گام با دستورات دقیق و خروجی مورد انتظار. همچنین Backup از Configuration تمام سوئیچ‌ها را به صورت رمزنگاری‌شده در اختیارتان می‌گذاریم. مستندسازی یعنی دانش شبکه از ذهن یک نفر به دارایی سازمان تبدیل شود.