Switches sind die Drehscheibe im Netz

14.05.2009
Von der einfachen Bridge zum Hochleistungs-Switch war es ein langer Weg. Doch die technischen Grundlagen gelten noch heute und grenzen die Möglichkeiten der Switches ein.

Das Ethernet und Switches hängen eng miteinander zusammen: Ohne die Switches wäre die Erfolgsgeschichte des Ethernets vom 10-Mbit/s-Netz hin zur Gigabit- beziehungsweise 10-Gigabit-Infrastruktur nicht denkbar. In den 80er Jahren zeigte sich nämlich schnell, dass die normale Ethernet-Technik (Bus-Technik) an ihre Leistungsgrenzen stieß. Ein Manko, das mit einer Segmentierung in Subnetze, die dann geroutet werden sollten, behoben werden sollte. Die Idee hatte jedoch einen Nachteil, denn sie brachte nicht nur den gewünschten Performance-Gewinn, sondern erhöhte auch die Komplexität sowie die Investitionskosten. Die damals weit verbreiteten Bridges, die im Gegensatz zu den Routern auf Netzebene 2 arbeiteten, waren ebenfalls keine Lösung, da sie langsam waren und meist nur zwei Ports hatten.

Eine wirksame Abhilfe brachte dann 1990 Kalpana (später von Cisco gekauft) mit dem ersten kommerziell verfügbaren Switch auf den Markt. Er war eine Weiterentwicklung des traditionellen Bridging-Prinzips auf Layer-2-Ebene, wartete jedoch mit einer höheren Performance sowie einer größeren Port-Dichte auf. Deshalb wurden die Switches anfangs von den Router-Herstellern verächtlich als Multiport-Bridge bezeichnet. Dabei stach bereits der erste Kalpana-Switch die damaligen Highend-Router von Cisco in Sachen Datendurchsatz und Preis aus. Doch für die Switches sprach noch etwa anderes – im Gegensatz zu den Hubs, die nur physisch eine Sternverkabelung abbilden, logisch aber einer Bus-Struktur entsprechen, ermöglichen Switches auch logisch eine Sternstruktur.

Damit gelten die Restriktionen in Sachen Kabellängen nicht wie beim Hub für alle angeschlossen Geräte gleichzeitig, sondern für jeden einzelnen Port. Zudem befinden sich die angeschlossen Geräte nicht in einer einzigen Kollisionsdomäne, sondern in unterschiedlichen. Letztlich bildet jeder Port ein eigenes Netzsegment, das mit anderen Segmenten über den Switch verbunden wird. Auf diese Weise werden Datenpakete im Netz auch nur im Segment des Senders und Empfängers transportiert, was die anderen Segmente entlastet. Ein weiterer Vorteil ist die Möglichkeit der Vollduplex-Übertragung, bei der Sender und Empfänger im Gegensatz zu einem Bus-System gleichzeitig Datenpakete übertragen können.

Dabei arbeiten klassische Switches auf Layer-2-Ebene und kennen deshalb keine IP-Adressen. Ihre Entscheidung, an welchen Rechner sie ein Datenpaket senden müssen, treffen sie anhand der MAC-Adresse. Deshalb muss der Switch die MAC-Adressen der angeschlossenen Geräte in einem Segment lernen. Das geschieht automatisch mit Hilfe des Adress Resolution Protocol (ARP). Diese Zuordnungen speichert ein Switch dann in seinem Source Address Table (SAT), um die Daten möglichst schnell weiterleiten zu können. Deshalb ist die Größe des Arbeitsspeichers eines Switches durchaus von Bedeutung, denn von ihr hängt ab, wie viele Einträge die SAT beinhalten darf. Mit der Einführung von IPv6 kommt allerdings künftig anstelle von ARP das Neighbor Discovery Protocol (NDP) zum Einsatz.

Der Switch selbst vermittelt intern die Daten über seine Backplane an die entsprechenden Ports. Die Leistungsfähigkeit der Backplane wird dabei in Packets per Seconds angegeben. Ein weiteres Kriterium, das über die Geschwindigkeit eines Switches entscheidet, ist die Art und Weise, wie die Pakete weitergereicht werden.

Die Standardmethode ist dabei das Prinzip "Store-and-Forward". Hier empfängt der Switch zunächst einen ganzen Frame und speichert ihn zwischen. Dann trifft er anhand der MAC-Adresse die Forward-Entscheidung. Dies führt allerdings zu größeren Latenzzeiten. Bessere Switches verwenden deshalb zumindest das Fragment-Free-Verfahren. Hier kontrolliert der Switch nicht den ganzen Frame, sondern lediglich, ob die Frame-Länge dem Ethernet-Standard entspricht.

Eine der schnellsten Methoden ist Cut-Through. Hier schaut der Switch nur auf die MAC-Adresse und leitet die Frames direkt weiter. In teureren Geräten ist meist eine Mischform aus den obigen Verfahren implementiert. Gängige Bezeichnungen hierfür sind etwa Error-Free-Cut-Through oder Adaptive Switching.

Kontrolleur im Netz

Um die Performance weiter zu steigern, setzen viele Hersteller zudem auf eigene Erweiterungen, etwa durch das Bündeln von Ports zu einer einzigen Leitung (siehe Kasten"Die Geheimsprache der Switch-Hersteller"). Darüber hinaus ist der Funktionsumfang moderner Switches nicht mehr auf die Weitervermittlung von Datenpaketen auf Layer-2-Ebene begrenzt. Vielmehr übernehmen sie immer öfter auch Kontrollaufgaben. Gerade Enterprise Switches warten häufig mit Features auf, die auch auf der Applikationsebene (Layer 7) greifen. Diese Modelle werden häufig mit dem Schlagwort Application Switching vermarktet. Oder die Switches übernehmen in Firmennetzen als WLAN-Switches die Steuerung der lokalen Funknetze und kontrollieren gleichzeitig, wer Zugang erhält. Eine andere Entwicklung geht dahin, dass sich die Geräte immer stärker als Strom-Manager etablieren und die angeschlossenen Endgeräte mit elektrischer Energie versorgen (PoE).

Die Geheimsprache der Switch-Hersteller

Wer sich nicht tagtäglich mit dem Thema Switching befasst, wird vom Fachchinesisch der Hersteller schnell verwirrt. Dabei verbirgt sich hinter den Synonymen kein Zauberwissen.

Port Trunking: Definiert die logische Zusammenschaltung mehrerer physischer LAN-Verbindungen zu einer logischen Leitung. Auf diese Weise kann etwa die Kapazität erhöht werden, ohne dass man neue Technik einsetzt. Ähnliche Funktionen – wenn auch teilweise technisch anders realisiert - bezeichnen auch die Begriffe Bonding, Etherchannel (Cisco), Link Aggregation (IEEE), Load Balancing, Port Aggregation (HP), Trunking (Sun) oder Teaming (Novell).

Failover: Technik zur Erhöhung der Ausfallsicherheit. Hierbei überwachen sich zwei Geräte (Server, Switches, Ports) über ein besonderes Datenpaket (heartbeat) gegenseitig auf ihre Funktion. Antwortet der Partner nicht, übernimmt das andere Gerät seine Aufgaben.

Spanning Tree Protocol (STP): dient speziell in geswitchten Netzen dazu, redundante Wege (Schleifen) zu vermeiden. Auf diese Weise soll verhindert werden, dass das gleiche Datenpaket über unterschiedliche Wege zweimal beim Empfänger eintrifft. Im Fehlerfall soll STP dagegen den Datenverkehr über Backup-Pfade sicherstellen. Gilt heute als veraltet und wurde durch das Rapid Spanning Tree Protocol (RSTP) abgelöst.

Rapid Spanning Tree Protocol (RSTP): löste das ältere STP ab. Löscht bei Topologieänderungen nicht sofort die gespeicherte Netzstruktur, sondern arbeitet mit dieser vorerst weiter und berechnet die neuen Verbindungspfade. In der Theorie soll so die Ausfallzeit eines Netzes lediglich eine Sekunde betragen.

Power over Ethernet (PoE): definiert die Stromversorgung von Peripheriegeräten über die Netzwerkkabel. Derzeit wird die Technik vor allem zur Energieversorgung von Access Points und IP-Telefonen genutzt.

Virtual LAN (VLAN): erlaubt die Segmentierung eines physischen Netzes in mehrere separate Teilnetze unabhängig von der realen Verkabelung. VLANs werden meist aus Performance-Gründen (etwa bei VoIP) oder zur Erhöhung der Sicherheit (etwa als eigenes Netzsegment für das Controlling) eingesetzt. Der Verkehr zwischen zwei VLANs muss entweder über einen Router oder einen Layer-3-Switch transportiert werden.

Link Aggregation Control Protocol (LACP): definiert die dynamische Bündelung von Netzverbindungen zu einer logischen Verbindung. Gilt als offizielle IEEE-Definition für die Link Aggregation. Mit LACP soll die Last gleichmäßig auf die Verbindungen verteilt werden.

VLAN Trunk Protocol (VTP): Das Protokoll ist eine Cisco-Entwicklung, mit der der Hersteller die Administration und Konfiguration von VLANs vereinfachen will. Mittlerweile existieren drei VTP-Versionen. Das Protokoll basiert auf einem Domänenkonzept, in dem VLAN-Änderungen an die Switches einer Domäne weitergeleitet werden.

Link Aggregation: siehe Port Trunking.

Address Resolution Protocol (ARP): hat im lokalen Netz die Aufgabe, einer IP-Adresse die MAC-Adresse der entsprechenden Netzschnittstellenart zuzuordnen. Mit der Einführung von IPv6 wird dieses Protokoll durch das Neighbor Discovery Protocol (NDP) abgelöst. Hacker haben das ARP-Spoofing entwickelt. Dabei verteilen Angreifer im Netz eine falsche Hardwareadresse, um Datenverkehr umzuleiten.

(Die Liste erhebt keinen Anspruch auf Vollständigkeit.

)

KastenHL 13pt

Kastentext