Netzwerk Grundlagen – Standard Based Availability Redundanz, Ausfallsicherheit & Co. – So erreichen Sie High Availability

In der heutigen Zeit ist Business ohne Nutzung von IT und dem darunter liegenden Netzwerk nicht mehr denkbar. Dementsprechend wichtig ist es, dass das Netzwerk und die darauf laufenden Services permanent zur Verfügung stehen. Um die Verfügbarkeit beliebiger Systeme ganzheitlich zu realisieren, muss auch hier vor allem auf Standards gesetzt werden.

Anbieter zum Thema

ICP Deutschland GmbH

Cradlepoint GmbH

Extreme Networks GmbH

Woraus besteht hohe Verfügbarkeit? Typischerweise versteht man darunter, dass die über das Netzwerk operierenden Dienste wie VoIP, SAP, etc. weitgehend unbeeinflusst von Ausfällen oder Umstrukturierungen im Netzwerk bleiben. Um das zu realisieren, müssen die verschiedenen Schichten der Netzwerkkommunikation einzeln betrachtet und gesichert werden. Für die eigentliche Sicherung gibt es zwei grundlegende Ansätze: Zum einen die zu sichernde Komponente so stabil wie möglich zu machen, zum anderen eine Redundanz (zum Beispiel in Form eines zweiten Gerätes) bereitzuhalten, durch die alle Funktionen der ausgefallenen Komponente übernommen werden.

Im Folgenden werden die einzelnen Schichten zusammen mit den verfügbaren Redundanzen vorgestellt.

Layer1 – physikalische Redundanzen

In der physikalischen Schicht betrachtet man grundlegende Dinge, wie eine redundante Stromversorgung durch mehrere Netzteile, verbunden mit verschiedenen Versorgungspfaden. Ein wichtiger Aspekt ist auch die physikalische Absicherung der Standorte von Netzwerkkomponenten – was nutzt die sicherste Firewall, wenn sie öffentlich zugänglich in einem nicht abgeschlossenen Rack im Lager steht?

Layer 2 – Datenübertragungsschicht

Auf der Datenübertragungsschicht oder dem Layer 2 gibt es in Abhängigkeit der eingesetzten Technologie verschiedene Verfahren, um Redundanzen zu ermöglichen. In der Regel bestehen diese immer aus zusätzlichen Leitungen bzw. physikalischen Übertragungswegen in einem Layer 2 Netzwerk (auch Broadcastdomain genannt).

Bei Ethernet wurde diese Redundanz erstmalig mit dem Spanning-Tree-Algorithmus möglich. Dazu wurden Weiterentwicklungen, wie Rapid Spanning Tree und Spanning Forest, geschaffen, um schnellere Konvergenz im Fehlerfall und eine Verwaltung von Spanning Trees in einer VLAN Umgebung möglich zu machen.

Link Aggregation IEEE 802.3ad

Sind zwei Switche durch mehrere physikalische Links verbunden, so kann dies aus reinem Redundanzzweck sein. In diesem Fall kann man eine redundante Port Lösung auf Layer 1 oder Spanning Tree als Protokoll auf Layer 2 einsetzen, um Loops und damit Broadcast Storms zu verhindern.

Eine bessere und gerne genutzte Möglichkeit ist es aber, diese physikalischen Links zu einem logischen Link zu bündeln und so gleichzeitig Redundanz und höhere Bandbreiten zu schaffen. Diese Technik hieß früher auf Enterasys-Komponenten Smarttrunk, heute unterstützen alle neuen Enterasys Switches den entsprechenden Standard nach IEEE 802.3ad – Link Aggregation; siehe Abbildung 1.

Während es zwar möglich ist, die Bündelung der physikalischen Links und den daraus resultierenden virtuellen Link statisch zu konfigurieren, ist es besser, ein entsprechendes Kontrollprotokoll zu nutzen. Durch das Kontrollprotokoll ist es möglich zu überprüfen, ob die zugehörigen Links auch sauber laufen und beide Switches darin übereinstimmen, welche Ports zu dem virtuellen Link gehören.

Frühere Smarttrunk Lösungen nutzten das so genannte Huntgroup Protokoll. Switches, die nach dem Standard IEEE 802.3ad arbeiten, kommunizieren über LACP (Link Aggregation Control Protocol). Dabei werden virtuelle Links gebildet, die als LAG (Link Aggregation Group) bezeichnet werden. Wichtig ist, dass alle Links, die einem virtuellen LAG Port angehören, gleich konfiguriert sind. Sie müssen Full Duplex sein und die gleiche Geschwindigkeit haben. Dann kann dieser virtuelle LAG Port in der Konfiguration der Switches wie ein ganz normaler physikalischer Port genutzt werden – und damit bspw. einem VLAN angehören oder als 802.1q Trunk definiert werden.

In einem Chassis-basierten System ist es möglich, einen LAG mit Ports verschiedener Module zu bilden, das Gleiche gilt für ein Stack-basiertes System mit mehreren Switches. Dies erhöht die Ausfallsicherheit, denn selbst falls ein ganzes Board ausfällt, ist weiter eine Verbindung zwischen den beiden Chassis-basierten Switches gegeben.

Der Standard IEEE 802.3ad bietet Interoperabilität zwischen verschiedenen Herstellern. Zusätzlich sind einige Switches (von Enterasys Networks bspw. die N-Serie) in den Default Einstellungen schon so vorkonfiguriert, dass sie automatisch einen LAG bilden, wenn sie mit einer entsprechenden Gegenstelle verbunden werden. Sollte es aber nötig sein, einen Switch mit einer Gegenstelle zu verbinden, die kein LACP unterstützt, so kann man bei passenden Switches den LAG auch statisch konfigurieren. Zwar verzichtet man dann auf das Kontrollprotokoll, das vor Fehlern und Netzproblemen durch Misskonfiguration schützt, kann aber trotzdem die Vorteile eines virtuellen, gebündelten Links nutzen.

Der Traffic kann über verschiedene Methoden auf die physikalischen Links verteilt werden. Möglichkeiten sind zum Beispiel durch ein einfaches Round Robin Verfahren gegeben oder basierend auf MAC oder IP Adressen der Pakete. Meist bietet die Untersuchung von Absende- und Ziel-IP eine ausgewogene Verteilung auf die physikalischen Links.

IEEE 802.3ad und Spanning Tree schließen sich gegenseitig natürlich nicht aus. Während 802.3ad Link Aggregation immer zwischen zwei direkt miteinander verbundenen Switches läuft, kann und sollte man weiterhin Spanning Tree nutzen, um Loops im gesamten Layer 2 geswitchten Netz zu verhindern. Spanning Tree betrachtet dann bei der Berechnung des aufspannenden Baumes den logischen LAG Port anstelle der zugehörigen physikalischen Ports; auch die Kosten für diesen virtuellen LAG Port entsprechen dabei der Summe der Bandbreiten aller zugehörigen physikalischen Ports.

weiter mit: Spanning Tree IEEE 802.1d

Spanning Tree IEEE 802.1d

Der Spanning Tree Algorithmus verhindert Loops auf der Datenübertragungsschicht. Die Notwendigkeit entsteht dadurch, dass Broadcasts in einem Ethernet-Netzwerk, in dem redundante Pfade vorhanden sind, unendlich lang kreisen und somit die verfügbare Bandbreite immer weiter verringern bis kein normaler Datenverkehr mehr möglich ist. Der heutzutage gebräuchliche 802.1d Standard ging aus der von Radia Perlman für die Firma DEC entwickelten, ersten Implementierung des Algorithmus hervor.

Um Loops zu verhindern, tauschen die Netzwerkkomponenten (Switches) eines Layer 2 Netzwerks untereinander Nachrichten aus, die vom normalen Datenverkehr unterscheidbar sind. Anhand dieser Nachrichten wird dann eine der Komponenten zur Wurzel eines Baumes gewählt. Alle anderen Komponenten gliedern sich in diesen Baum ein. Pfade, die nicht innerhalb dieses Baums liegen (dass heißt, redundante Pfade) werden dabei ausgeschaltet.

Wenn ein neuer Switch oder Link hinzugefügt wird oder ein Switch ausfällt, wird dieser Baum neu berechnet. Solange dieser Baum aber nicht erneut vollständig aufgebaut ist, leiten die Switches nur die für den Aufbau des Baumes relevanten Nachrichten weiter. Dass heißt, solange der Baum nicht vollständig wiederhergestellt ist, ist der normale Datenverkehr im Netzwerk unterbrochen. Die Neuberechnung des Baumes dauert typischerweise bis zu 60 Sekunden.

Rapid Spanning Tree IEEE 802.1w

Der 802.1d Spanning Tree Algorithmus wurde zu einer Zeit entwickelt, in der es ausreichend war, wenn sich das Netz nach einem Ausfall in einem Zeitraum von circa einer Minute erholte.

Heutzutage sind solche Ausfallzeiten nicht mehr akzeptabel. Daher wurde der Spanning Tree Standard zum Rapid Spanning Tree Standard (RSTP) weiterentwickelt, um schnellere Konvergenzzeiten zu ermöglichen. Prinzipiell wurde die Art und Weise der Berechnung des Baumes beibehalten. Die Nachrichten, die zwischen den Switches ausgetauscht werden, enthalten nun jedoch mehr Informationen. Außerdem wurde die Verarbeitung der Nachrichten verbessert. Die wichtigste Neuerung im 802.1w Standard war die Möglichkeit, einen Port schneller in den Forwarding-Modus zu bringen, in dem normale Datenpakete ausgetauscht werden können. Im alten Standard wurden die Ports erst dann aktiviert, wenn der gesamte Baum konvergiert war.

Der neue Standard ist dagegen in der Lage sicherzustellen, dass ein Port früher reaktiviert werden kann. Hierfür können Endnutzerports als so genannte Edge Ports konfiguriert werden, die dann beim Aktivieren des Ports sofort aktiv werden (Konfigurationsoption: adminedge = true). Außerdem können Ports im Fehlerfall so schneller auf einen alternativen Port Richtung Root umschalten, da RSTP Switches aktiv Rückmeldungen austauschen können. In entsprechend konfigurierten Netzwerken kann die Konvergenzzeit des Baums damit auf wenige hundert Millisekunden gesenkt werden.

VLANs IEEE 802.1q

VLANs erlauben es, einen Switch mit einer Vielzahl physikalischer Ports logisch zu unterteilen, sodass bestimmte Portgruppen jeweils verschiedene Broadcastdomains bilden, obwohl sie physikalisch zum gleichen Switch gehören.

Der IEEE 802.1q Standard erlaubt es, die Daten aus solchen logisch getrennten Portgruppen eindeutig (für die jeweilige Gruppe) zu kennzeichnen und sie in dieser Form zu einem anderen Switch zu transportieren. Der Link, über den diese markierten Pakete transportiert werden, wird in der Regel Trunk genannt. Dort können die Daten wieder den einzelnen Gruppen zugeordnet werden und, falls diese Gruppen auf diesem Switch ebenfalls existieren, zu den entsprechenden Ports geschickt werden. Man ist also in der Lage, eine logische Broadcastdomain-Struktur über eine physikalisch vorgegebene Struktur von untereinander verkabelten Switches zu legen. Dadurch können die Mitarbeiter einer Abteilung mit ihren Rechnern in derselben Broadcastdomain sein, obwohl die Abteilung auf verschiedene Gebäude verteilt ist.

Multiple Spanning Trees IEEE 802.1s

Multiple Spanning Trees (MST) ist eine Ergänzung des 802.1q Standards. Der 802.1w Rapid Spanning Tree Standard wurde erweitert, um mehrere Spanning Trees zu unterstützen. Diese Ergänzung erlaubt sowohl schnelle Konvergenz als auch Load Sharing in einer VLAN Umgebung.

Mit MST wird es möglich, mehrere Spanning Tree Instanzen über Trunks hinweg aufzubauen. Dabei können in Gruppen zusammengefasste VLANs einzelnen Spanning Tree Instanzen zugeordnet werden. Die einzelnen Instanzen können dabei unabhängig voneinander verschiedene Topologien haben. Dafür werden die Spanning Tree Parameter wie Root Priorität, etc. für jede Instanz angepasst. Damit wird ein Load Sharing für unterschiedliche VLAN Gruppen über redundante Layer-2-Wege möglich. MST benutzt dabei eine modifizierte Variante des Rapid Spanning Tree Protokolls, genannt: Multiple Spanning Tree Protocol (MSTP) oder IEEE 802.1s.

weiter mit: Layer 3 – Netzwerkschicht

Layer 3 – Netzwerkschicht

Auf der Netzwerkschicht wird Redundanz hauptsächlich durch intelligente Routingprotokolle wie OSPF und die Verbesserung der Erreichbarkeit des Default Gateways mit VRRP erreicht. Um dies sinnvoll zu ermöglichen, müssen schon auf der Netzwerkebene verschiedene Wege zum selben Ziel vorhanden sein.

Open Shortest Path First

Open Shortest Path First (OSPF, RFC 2328) ist ein hierarchisch aufgebautes Link State Routingprotokoll und hat sich als De-facto-Standard für Interior-Gateway-Protokolle etabliert.

Im Gegensatz zu BGP (Border Gateway Protokoll), das als Exterior-Gateway-Protokoll für das Routing zwischen autonomen Systemen genutzt wird, dienen Interior-Gateway-Protokolle dazu Routinginformationen innerhalb einer Organisation auszutauschen.

Distance-Vector-Protokolle, wie RIP, sind dafür mittlerweile meist ungeeignet, da diese sehr schlechte Konvergenzzeiten aufweisen – und Ausfallzeiten von bis zu mehreren Minuten sind in heutigen Netzwerken nicht mehr tolerierbar.

Link-State-Protokolle arbeiten eventgesteuert, die Informationen über Topologieänderungen werden sofort durch das ganze Netz geflutet. Alle Router reagieren sofort darauf und berechnen bestehende Ersatzwege. Somit haben Link-State-Protokolle nur Konvergenzzeiten im Sekundenbereich. Diese schnellen Berechnungen von Ersatzwegen werden dadurch möglich, dass bei Link-State-Protokollen die gesamte Topologie eines Netzes allen Routern bekannt ist; gespeichert in der Topologie-Datenbank.

Da dadurch außerdem die periodische Verbreitung der gesamten Routinginformationen nicht mehr notwendig ist, arbeiten Link-State-Protokolle ressourcenschonender als Distance-Vector-Protokolle.

Der hierarchische Ansatz von OSPF macht dieses Routingprotokoll skalierbar, OSPF eignet sich daher auch für sehr große Netze. Die Hierarchie basiert auf einem zweistufigen Area Konzept. Es gibt eine zentrale Backbone Area, an die alle anderen Areas direkt angebunden sind. Durch Verfahren wie Route Summarization und das Definieren von Arealen als Stub Area oder Not-So-Stubby Area (NSSA, RFC 3101) wird die Auswirkung von Topologieänderungen auf das gesamte Netz minimiert.

OSPF ist im Moment das Standard Protokoll für Routing innerhalb des eigenen Netzwerks (siehe Abbildung 2). Als offener Standard, der von allen Herstellern unterstützt wird, bietet es Kompatibilität zwischen allen Komponenten. Die schnellen Konvergenzzeiten, die OSPF als Link-State-Protokoll besitzt, sind für heutige Netze unverzichtbar.

Der hierarchische Ansatz unterstützt die Implementierung in Netzwerken jeder Größe. Netze mit OSPF als Routingprotokoll sind mit dem entsprechenden Netzwerk- und Adressdesign einfach zu erweitern. Als modernes Routingprotokoll unterstützt OSPF natürlich VLSM (Variable Length Subnet Mask) und ermöglicht so Optimierungsverfahren wie Route Summarization.

Auf Grund seiner allgegenwärtigen Präsenz wurde OSPF auch als Routingprotokoll für das aufkommende IP Protokoll IPv6 spezifiziert (RFC 2740) und wird auch in Zukunft nicht aus den Netzwerken wegzudenken sein.

Equal Cost Multi Path (ECMP)

Ein Paket kann in einem gerouteten Netzwerk über unterschiedliche, gleichwertige Pfade ans Ziel gelangen. Bei „Equal Cost Multi Path“ werden diese Pfade gleichzeitig zur Lastverteilung genutzt. Eine Redundanz wird hiermit jedoch nicht gewährleistet, dafür muss das darunterliegende Routingprotokoll sorgen.

Bei Verwendung von ECMP wählt der Router an dem sich der Pfad gabelt, unterschiedliche Next-Hops für die Pakete. Idealerweise sollten sich die Pakete natürlich gleichmäßig auf die beiden Pfade verteilen, was natürlich mit paketeweisem Aufteilen am einfachsten möglich wäre. Dies ist aber in der Regel nicht sinnvoll, da es dann zu unterschiedlichen Laufzeiten und Paketreihenfolgen kommen kann. Es wird meist versucht, die Pakete flowbasiert, das heißt Absende-IP/Ziel-IP- oder Absende-IP+Port/Ziel-IP+Port-basiert aufzuteilen, da die zu einer Kommunikation gehörigen Pakete dann den gleichen Weg nehmen.

Prinzipiell kann ECMP in jedem gerouteten Netzwerk verwendet werden. In der Regel wird die maximale Anzahl der Pfade gleicher Qualität (in Einheiten der Metrik des entsprechenden Routingprotokolls) allerdings beschränkt.

weiter mit: Virtual Router Redundancy Protocol

Virtual Router Redundancy Protocol

Das Virtual Router Redundancy Protocol (VRRP, RFC 2338) dient dazu, dem Benutzer Redundanz bezüglich des Default Gateways zur Verfügung zu stellen. Während Router untereinander RoutingProtokolle nutzen, um die aktuellsten Routing-Informationen auszutauschen und so bei einem Ausfall Ersatzwege zu lernen und zu nutzen, haben sehr viele Endclients statische Einträge für das Default Gateway. Was nun, wenn dieser Router ausfällt? Selbst wenn es einen Ersatzweg gibt, wie sollen die Clients darauf reagieren?

Die Lösung dazu liefert das VRRP-Protokoll. Die Grundidee besteht darin, einen virtuellen Router zu nutzen und diese IP Adresse als Default Gateway auf den Hosts zu konfigurieren.

Die physikalischen, redundanten Router kommunizieren dann über das VRRP-Protokoll und handeln aus, wer die Routing-Aufgabe des Default Gateways übernimmt. Dieser Router wird dann als Master bezeichnet, weitere redundante Router sind Backup Router. Fällt der Master aus, so wird das über VRRP erkannt und einer der Backup Router übernimmt die Aufgabe des Masters. Für den Client ist dies absolut transparent. Damit es keine Probleme bezüglich der ARP-Einträge gibt, nutzt der virtuelle Router eine zugehörige, für VRRP reservierte MAC Adresse.

So dient VRRP dazu, den Single Point of Failure, den die statische Konfiguration eines Default Gateways darstellt, zu eliminieren.

Durch die Konfiguration von zwei virtuellen Routern kann man eine zusätzliche Lastverteilung auf die redundanten Geräte erreichen. Man nutzt zwei virtuelle IP Adressen, jeder der Router ist dann für eine der beiden Adressen der Master, für die andere der Backup Router. Zusätzlich müssen die Clients dementsprechend entweder mit der Einen oder der anderen IP Adresse als Default Gateway konfiguriert werden.

Eine gleichmäßige Verteilung kann man zum Beispiel mit dem Dynamic Host Configuration Protocol (DHCP) erreichen. So werden beide Router als Default Gateway genutzt und man hat Lastverteilung in Kombination mit Redundanz. Weitere Informationen findet man im zugehörigen RFC 2338.

Über die Autoren

Markus Nispel ist als Vice President Solutions Architecture zuständig für die strategische Produkt- und Lösungsentwicklung bei Enterasys. Sein Fokus liegt auf dem Ausbau der Sicherheits- und dort insbesondere der Network-Access-Control-Lösung (NAC) von Enterasys; hier zeichnet er als Architekt verantwortlich. Diese Position knüpft an seine vorherige Tätigkeit bei Enterasys als Director Technology Marketing an. Bereits hier war er intensiv in die weltweite Produktentwicklung und -strategie von Enterasys im Office des CTO involviert. Darüber hinaus berät er Key Accounts in Zentraleuropa, Asien und dem mittleren Osten bei strategischen Netzwerkentscheidungen und verantwortet die technischen Integrationsprojekte zwischen Enterasys und der Siemens Enterprise Communications Group.

In Zentraleuropa und Asien verantwortet er zudem das Security Business Development und steht mit einem Team an Security Spezialisten für die Implementierung von Security Projekten mit höchsten Anforderungen bereit.

Vor seiner Tätigkeit für Enterasys Networks war Markus Nispel als Systems Engineer bei Cabletron Systems aktiv. Hier führte er 1998 die ersten Layer 3 Switches für den europäischen Kundenstamm ein.

Markus Nispel studierte an der Fachhochschule der Deutschen Telekom in Dieburg und schloss sein Studium 1996 als Dipl.-Ing. Nachrichtentechnik erfolgreich ab. Erste Berufserfahrung sammelte er unter anderem bei der E-Plus Mobilfunk GmbH innerhalb der Netzwerkoptimierungsgruppe für DCS Mobile Networks.

Sarah König ist als Executive Assistant to Edward Semerjibashian & Marketing zuständig für die Unterstützung des Senior Vice President und jegliche Marketingaktionen in Zentral- und Osteuropa, Russland und Asien bei Enterasys. Ihr Fokus hierbei liegt auf der Vorbereitung und Durchführung von Events und der Bereitstellung von Marketing-Materialien. Dies beinhaltet unter anderem die Verfassung und Aufbereitung von Dokumentationen, Präsentation und Lösungen sowie Presseartikeln.

Vor ihrer Tätigkeit für Enterasys Networks absolvierte Sarah König Ausbildungen zur Fremdsprachen Assistentin und Bankkauffrau. Erste Beruferfahrung sammelte sie bei der Herner Sparkasse.

(ID:2046260)