Switch zarządzalny - switche L2 i L3 z VLAN, portami SFP+ i montażem rack

Każdy switch uczy się, pod którym portem jest które urządzenie, zapisując adresy MAC w tablicy, i wysyła ramkę tylko tam, gdzie jest odbiorca. Switch zarządzalny ma do tego własny procesor, pamięć, oprogramowanie i adres IP, pod którym wystawia panel konfiguracyjny.

W praktyce zarządzanie daje trzy rodzaje korzyści. Pierwsza to porządek: kamery, komputery biurowe, goście i serwer pracują w osobnych segmentach, choć korzystają z tych samych kabli i tego samego przełącznika. Druga to diagnostyka: widzisz, który port pracuje z jaką prędkością, gdzie rosną błędy i skąd płynie nagły ruch. Trzecia to odporność: protokół drzewa rozpinającego STP wyłącza pętlę, zanim sparaliżuje sieć, a agregacja łączy utrzymuje połączenie, gdy jeden z kabli zostanie uszkodzony.

Różnice najłatwiej zobaczyć obok siebie:

Switch niezarządzalny nie jest gorszy, jest prostszy. Jeśli w domu potrzebujesz tylko dołożyć cztery gniazda przy telewizorze, wybór z kategorii switche niezarządzalne jest rozsądny. Szerzej o tej decyzji w kontekście monitoringu pisze poradnik switch zarządzalny czy niezarządzalny do kamer IP.

Zarządzanie opłaca się wtedy, gdy masz w sieci coś, co trzeba od siebie oddzielić, albo coś, czego awaria kosztuje. Typowe sytuacje, w których switch zarządzalny jest właściwym wyborem:

• kamery IP i rejestrator mają pracować w osobnej sieci, bez dostępu do internetu i do komputerów domowników;
• w biurze są goście, drukarki i komputery księgowości, które nie powinny się widzieć;
• operator dostarcza telewizję IPTV lub telefon VoIP w osobnym VLAN-ie i trzeba go przenieść dalej przez dom;
• dwa switche w różnych pomieszczeniach łączysz kilkoma kablami albo światłowodem i chcesz połączenie zapasowe;
• serwer plików lub serwer NAS ma dostać łącze 10G albo dwa porty połączone w jeden;
• sieć ma kilkudziesięciu użytkowników i chcesz wiedzieć, który port generuje problem, zanim zadzwonią użytkownicy.

Niezarządzalny wystarczy, gdy wszystkie urządzenia są w jednej sieci, jest ich kilka lub kilkanaście, a router i tak zajmuje się zabezpieczeniem. Rozwiązaniem pośrednim jest switch smart managed z prostym panelem WWW i VLAN-ami.

Ta kategoria obejmuje switche zarządzalne bez wyjść PoE, czyli takie, które nie podają zasilania przez kabel sieciowy. Wybierasz je, gdy podłączasz komputery, serwery, drukarki, telewizory, konsole i inne switche, które mają własne zasilacze. Zarządzalne przełączniki z PoE, PoE+ i PoE++ do kamer, access pointów i telefonów IP są w kategorii switche PoE.

Brak PoE ma też zalety: obudowa jest mniejsza, zasilacz słabszy, a w wielu modelach nie ma wentylatora, więc switch pracuje bezgłośnie. Jeśli potrzebujesz zasilić tylko jedno lub dwa urządzenia, zamiast przełącznika PoE wystarczy injector z kategorii zasilacze i adaptery PoE. Niektóre małe switche z tej kategorii same mogą być zasilane z PoE: UniFi USW-Flex-Mini przyjmuje zasilanie PoE na porcie wejściowym albo przez złącze USB-C.

Słowo "zarządzalny" obejmuje bardzo różne urządzenia. Producenci dzielą je na klasy, choć nazwy nie są ujednolicone. Litera L oznacza warstwę modelu sieciowego OSI: warstwa 2 to przełączanie ramek po adresach MAC, warstwa 3 to kierowanie pakietów po adresach IP, czyli routing.

W ofercie D-Link seria DGS-1100 to proste switche smart, DGS-1210 i DGS-1250 to smart managed z rozbudowanym zestawem protokołów (SNMP v1, v2c i v3, SSH, RMON, LLDP, IPv6), a DGS-1510 to stakowalne przełączniki z funkcjami L2+ i routingiem statycznym. W ekosystemie UniFi wszystkie switche są zarządzane z kontrolera, a karta produktu podaje warstwę: USW-Flex-Mini, USW-Flex-XG i USW-48 to Layer 2, a USW-Pro-Max-16, USW-Pro-HD-24 i EnterpriseXG-24 to Layer 3. Przed zakupem sprawdź w karcie konkretną listę funkcji, bo dwie firmy mogą tym samym słowem nazwać różny zakres.

VLAN (Virtual LAN, standard IEEE 802.1Q) dzieli jeden fizyczny przełącznik na kilka logicznych. Urządzenia w VLAN 10 nie widzą urządzeń w VLAN 20, nawet jeśli siedzą w sąsiednich portach. Każda ramka dostaje znacznik (tag) z numerem sieci od 1 do 4094. Na porcie ustawiasz, jak ma traktować znaczniki:

• port nietagowany (access) należy do jednego VLAN-u, znacznik jest zdejmowany przed urządzeniem - komputer, kamera, drukarka;
• port tagowany (trunk) przenosi wiele VLAN-ów ze znacznikami - połączenie switch - switch i switch - router;
• port hybrydowy ma jeden VLAN bez znacznika, resztę ze znacznikiem - na przykład access point z siecią gości.

Przykład z domu z monitoringiem: VLAN 10 dla komputerów i telefonów, VLAN 20 dla kamer i rejestratora, VLAN 30 dla gości. Port do routera ustawiasz jako tagowany dla wszystkich trzech, porty kamer jako nietagowane w VLAN 20. Router decyduje, czy VLAN 20 w ogóle wychodzi do internetu, co opisuje poradnik jak zablokować ruch kamer poza sieć lokalną. Router musi obsługiwać VLAN-y; większość nowszych modeli z kategorii routery i bramy UniFi z kategorii bramy sieciowe i kontrolery to potrafią, ale sprawdź to w karcie przed budową podziału.

Switch warstwy 2 rozdziela VLAN-y, ale sam nie przepuści ruchu z jednego do drugiego. Gdy komputer z VLAN 10 ma otworzyć podgląd z rejestratora w VLAN 20, ktoś musi ten ruch przekierować. Są dwie drogi:

Router lub brama sieciowa. Wszystkie VLAN-y idą jednym tagowanym kablem do routera, a ten kieruje ruch i stosuje reguły zapory. To najprostszy model dla domu i małej firmy, bo reguły bezpieczeństwa są w jednym miejscu. Ograniczeniem jest przepustowość: cały ruch między sieciami przechodzi przez jedno łącze i procesor routera.

Switch L3. Przełącznik ma interfejs IP w każdym VLAN-ie i przekazuje ruch sprzętowo, z pełną prędkością portów. Sprawdza się, gdy między segmentami płyną duże dane, na przykład kopie zapasowe z wielu komputerów na serwer. W firmie często łączy się oba podejścia: L3 w rdzeniu dla szybkości, ruch do internetu i sieci gości przez zaporę.

Do kilku VLAN-ów wystarczy L2+ z routingiem statycznym, jak seria DGS-1510; pełne L3 z routingiem dynamicznym przydaje się w sieciach z wieloma przełącznikami rdzeniowymi.

Gigabit (1G) to wciąż standard dla komputerów, drukarek i kamer. Wyższe prędkości mają sens tam, gdzie ruch się sumuje: na łączach między switchami, do serwera, do routera z szybkim światłowodem i do nowoczesnych access pointów Wi-Fi 6 i 7.

Szybszy port przyjmuje zwykle także niższe prędkości, ale zasady dla gniazd optycznych są ostrzejsze niż dla RJ45: port SFP+ w wielu modelach przyjmie wkładkę 1G, ale nie każdy to potwierdza w specyfikacji. Okablowanie dobierasz do najwyższej prędkości, jakiej używasz; o kategoriach przewodów więcej w kategorii skrętka i w poradniku jak wybrać kabel internetowy.

Porty 2,5 GbE (2.5GBASE-T) pracują na tej samej skrętce co gigabit, więc pozwalają przyspieszyć sieć bez wymiany instalacji. Opłacają się w trzech sytuacjach: internet od operatora szybszy niż 1 Gb/s, access point Wi-Fi 6 lub 7 z portem 2,5G, który w praktyce przekracza gigabit, oraz serwer NAS lub komputer z kartą 2,5G, z którego kopiujesz duże pliki.

Przykłady z tej kategorii: UniFi USW-Pro-Max-16 ma 12 portów GbE, 4 porty 2,5 GbE i 2 porty SFP+ 10G, a UniFi USW-Pro-HD-24 ma 22 porty 2,5 GbE, 2 porty 10 GbE RJ45 i 4 porty SFP+ 10G w obudowie rack 1U, z funkcjami Layer 3. Pierwszy pasuje do domu lub biura, drugi do sieci, w której większość gniazd ma pracować szybciej niż gigabit.

Switch 10G może mieć gniazda miedziane 10GBASE-T (RJ45) albo klatki SFP+ na wkładki. Oba warianty dają tę samą przepustowość, różnią się kosztem okablowania, zasięgiem i ciepłem.

Modele 10G z gniazdami RJ45: UniFi USW-Flex-XG (4 porty 10 GbE i 1 port GbE, małe biurkowe pudełko) oraz UniFi EnterpriseXG-24 (24 porty RJ45 obsługujące prędkości od 100 Mb/s do 10 Gb/s i 2 porty SFP28 25G). Switche gigabitowe z portami SFP+ 10G na łącza w górę to D-Link DGS-1250-28X (24 porty Gigabit i 4 porty SFP+) i stakowalne serie DGS-1510. Do łączenia dwóch switchy w jednej szafie najprostszy jest kabel DAC SFP+ 10G, a na dłuższy odcinek wkładka światłowodowa z kategorii moduły SFP.

Port SFP to klatka na wymienną wkładkę (moduł, transceiver). Dzięki niej ten sam switch połączysz światłowodem jednomodowym na kilka kilometrów, wielomodowym w obrębie budynku albo miedzianym kablem DAC w szafie. Nazwy różnią się prędkością:

Porty combo mają na przykład D-Link DGS-1210-20 (16 portów RJ45 i 4 combo SFP), DGS-1210-28 i DGS-1210-52. W specyfikacji liczba portów takiego switcha bywa podana łącznie, dlatego model z 24 portami RJ45 i 4 gniazdami combo ma w nazwie 28. Wkładka SFP RJ45 zamienia gniazdo optyczne z powrotem w miedziane, a wkładka SFP+ 1/2,5/5/10 Gb/s pozwala podłączyć urządzenie z portem multi-gigabit. Przy wkładkach innego producenta niż switch sprawdź zgodność w dokumentacji, bo część przełączników akceptuje tylko moduły z listy producenta. Poradnik kiedy warto dopłacić do uplinku SFP pokazuje to na przykładzie małych instalacji.

Switch światłowodowy to przełącznik, w którym większość portów to gniazda SFP lub SFP+, a nie RJ45. Szukają go osoby, które łączą budynki, piętra albo szafy na odległość większą niż 100 m albo chcą odseparować galwanicznie instalację. Fraza "switch SFP 16 port" oznacza model z kilkunastoma gniazdami SFP albo switch 16-portowy RJ45 z dodatkowymi gniazdami SFP na łącza w górę - to dwa różne urządzenia.

Wśród przełączników L3 D-Link są wersje z 24 i 48 portami SFP, a w ekosystemie UniFi rolę węzła optycznego pełni UniFi Enterprise Campus Aggregation z 48 portami SFP28 25G i 6 portami QSFP28 100G. Do małej instalacji z jednym odcinkiem światłowodu zwykle wystarczy switch z 2 lub 4 gniazdami SFP, na przykład D-Link DGS-1210-10 z 8 portami Gigabit RJ45 i 2 portami SFP.

Uplink to port, którym switch łączy się z wyższą warstwą sieci: z routerem, z przełącznikiem rdzeniowym albo z serwerem. Gdy 24 komputery pracują z prędkością 1 Gb/s, a do reszty sieci prowadzi jeden kabel gigabitowy, w godzinach szczytu ten kabel jest wąskim gardłem. Dlatego łącze w górę ma zwykle wyższą prędkość niż porty dostępowe: 10G w switchu gigabitowym, 25G w switchu 10G.

Switch agregacyjny zbiera łącza z kilku przełączników dostępowych. Ma niewiele portów RJ45, za to dużo szybkich gniazd SFP+, SFP28 lub QSFP28; w małej firmie wystarczy tu switch z kilkoma portami SFP+. Osobny przypadek to UniFi USW-WAN z 3 portami SFP+ 10G: przełącznik po stronie internetu, który pozwala dwóm bramom UniFi korzystać z jednego łącza od operatora, gdy jedna z nich ma przejąć pracę po awarii drugiej.

Agregacja łączy (link aggregation, LAG, standard IEEE 802.3ad i 802.1AX) łączy dwa lub więcej portów w jedną logiczną linię. Daje dwie korzyści: większą łączną przepustowość dla wielu jednoczesnych połączeń i ciągłość pracy, gdy jeden z kabli zostanie odłączony. Protokół LACP sam negocjuje grupę po obu stronach.

Pojedynczy transfer, na przykład kopiowanie jednego pliku z komputera na NAS, zwykle nie przekroczy prędkości jednego portu, bo ruch jest rozdzielany między kable według adresów nadawcy i odbiorcy. Agregacja pomaga, gdy z serwera korzysta wiele osób naraz. Obie strony muszą ją obsługiwać: switch zarządzalny i serwer lub NAS z dwoma portami sieciowymi. Switche niezarządzalne agregacji nie mają.

Stakowanie (stacking) łączy kilka przełączników tak, że zarządzasz nimi jak jednym urządzeniem: jeden adres IP, jedna konfiguracja, porty wszystkich switchy widoczne w jednym panelu. W stosie fizycznym przełączniki łączą się dedykowanymi kablami lub szybkimi portami, w stosie wirtualnym tylko przez sieć, bez wspólnej płaszczyzny danych.

Seria D-Link DGS-1510 to switche stakowalne: DGS-1510-20 ma 16 portów Gigabit, 2 porty SFP i 2 porty SFP+ 10G, DGS-1510-28X ma 24 porty Gigabit i 4 porty SFP+, a DGS-1510-52X 48 portów Gigabit i 4 porty SFP+. Według producenta stos fizyczny tworzy się przez porty SFP+, do sześciu urządzeń, a w topologii pierścienia stos przetrwa przerwanie jednego połączenia. Do połączeń w obrębie szafy służy kabel DAC SFP+ do stakowania D-Link. Stos łączy się zwykle tylko w obrębie jednej serii, więc nie da się dołączyć switcha innej rodziny. W UniFi rolę stosu przejmuje kontroler.

Policz urządzenia podłączone kablem dziś, dodaj około 20-30% zapasu na rozbudowę i odejmij porty, które zajmą łącza w górę. Switch 24-portowy z dwoma kablami do routera i do drugiego switcha ma w praktyce 22 porty na urządzenia, chyba że łącza w górę idą przez osobne gniazda SFP.

Switch do szafy rack ma szerokość 19 cali (około 48 cm z uchami montażowymi) i wysokość wyrażaną w jednostkach U; jedna jednostka to 44,45 mm. Większość przełączników 24- i 48-portowych ma wysokość 1U, na przykład UniFi USW-48, USW-Pro-HD-24, EnterpriseXG-24, DGS-1210-28 i DGS-1210-52. Mniejsze modele, jak DGS-1210-10, mogą stać na biurku albo trafić do szafy z uchwytami, jeśli producent je przewidział.

Przy wyborze switcha do szafy zwróć uwagę na głębokość obudowy, bo płytkie szafki wiszące mają zwykle 35-45 cm, oraz na kierunek przepływu powietrza i hałas wentylatorów. Planuj miejsce na panel krosowy nad lub pod switchem i krótkie patchcordy RJ45, które utrzymają porządek. Kable DAC i krótkie przewody do łączenia przełączników znajdziesz w kategorii patchcord.

Karta przełącznika zawiera kilkanaście parametrów, z których kilka ma znaczenie przy wyborze:

Dla porównania: D-Link DGS-1100-05V2 ma tablicę 2K adresów MAC, DGS-1100-08V2 4K, serie DGS-1210 w wersjach 10, 20 i 28 portów 8K, a DGS-1210-52, DGS-1250-28X i DGS-1510 po 16K.

Poniższa tabela porządkuje modele według zastosowania. Serie są przykładami klas, a nie jedyną możliwością.

W kategorii są też modele przemysłowe D-Link DIS na szynę i do trudnych warunków oraz przełączniki Huawei eKitEngine z serii S110, S220, S310 i S530, od prostych switchy biurowych po modele z portami SFP+.

Najprostsze switche smart mają tylko panel w przeglądarce. Modele L2 i L3 dodają wiersz poleceń przez SSH lub port konsoli, co pozwala zapisać konfigurację w pliku tekstowym i odtworzyć ją na innym urządzeniu. SNMP przekazuje liczniki i alarmy do systemu monitoringu.

Ekosystemy chmurowe, jak UniFi, przenoszą zarządzanie do kontrolera. Switch po podłączeniu pojawia się w aplikacji, a VLAN-y definiujesz raz dla całej sieci. Kontroler działa na bramie UniFi lub na osobnym urządzeniu. To wygodne, ale wiąże sieć z jednym producentem: switch UniFi bez kontrolera ma tylko podstawowe funkcje. Przełączniki D-Link z serii DGS konfiguruje się samodzielnie, każdy z własnego panelu, a część rodzin ma też wersje zarządzane z chmury Nuclias.

Switch zarządzalny daje kilka narzędzi, które utrudniają dostęp do sieci osobie z laptopem podłączonym do wolnego gniazdka w ścianie:

• nieużywane porty wyłączone albo przypisane do pustego VLAN-u;
• IEEE 802.1X - port otwiera się dopiero po uwierzytelnieniu urządzenia na serwerze RADIUS; obsługują go między innymi USW-Flex-XG, USW-Pro-HD-24 i EnterpriseXG-24;
• filtrowanie adresów MAC i limit adresów na port - kamera w ogrodzie nie zamieni się w punkt wejścia dla obcego komputera;
• izolacja portów - urządzenia w jednym VLAN-ie komunikują się tylko z bramą, nie ze sobą;
• ochrona przed pętlą i burzą rozgłoszeniową (STP, RSTP, loop protection, storm control);
• osobny VLAN zarządzania - panel switcha dostępny tylko z jednego segmentu, hasło zmienione z domyślnego, oprogramowanie aktualne.

Porty prowadzące na zewnątrz budynku, do kamer na słupie czy bramy wjazdowej, warto chronić także fizycznie, ogranicznikami przepięć opisanymi w poradniku ochrona przeciwprzepięciowa LAN i PoE.

Typowe scenariusze i zestaw urządzeń, który się w nich sprawdza:

W każdym z tych scenariuszy kamery IP zasila zwykle osobny switch PoE, połączony z przełącznikiem zarządzalnym jednym kablem. Kamery z kategorii kamery IP PoE trafiają wtedy do własnego VLAN-u, a ruch z nich nie miesza się z siecią biurową.

1. Podłącz switch tylko do komputera, jeszcze nie do sieci. Sprawdź w instrukcji domyślny adres IP lub to, czy switch pobiera adres z DHCP.
2. Ustaw na komputerze adres z tej samej podsieci, zaloguj się do panelu i od razu zmień hasło administratora.
3. Zaktualizuj oprogramowanie do bieżącej wersji ze strony producenta.
4. Nadaj switchowi stały adres IP z puli sieci zarządzania, ustaw strefę czasową i serwer czasu, żeby dzienniki miały poprawne godziny.
5. Zaplanuj VLAN-y na kartce: numer, nazwa, które porty, co tagowane. Utwórz je w panelu.
6. Ustaw port do routera jako tagowany dla wszystkich VLAN-ów, porty urządzeń jako nietagowane w ich sieciach.
7. Włącz RSTP lub ochronę przed pętlą, wyłącz nieużywane porty.
8. Zapisz konfigurację w pamięci stałej i pobierz jej kopię na komputer. Część switchy trzyma zmiany tylko do restartu.
9. Podłącz switch do sieci i sprawdź z urządzenia w każdym VLAN-ie, czy dostaje adres i czy widzi to, co powinien.

Większość kłopotów po konfiguracji wynika z kilku powtarzalnych błędów:

Uszkodzone końcówki to częsty powód problemów z prędkością; przy zarabianiu kabli pomogą wtyki i gniazda RJ45 dobrane do kategorii przewodu.

• Switch, przełącznik - urządzenie łączące urządzenia w sieci lokalnej; "switch sieciowy", "switch LAN" i "przełącznik ethernetowy" to to samo.
• Switch zarządzalny (managed) - przełącznik z konfiguracją, w odróżnieniu od niezarządzalnego (unmanaged).
• Smart managed, web smart - uproszczona klasa zarządzalnych, konfiguracja głównie przez przeglądarkę.
• VLAN - wirtualna sieć lokalna, wydzielona logicznie na tym samym sprzęcie.
• Trunk - port lub łącze przenoszące wiele VLAN-ów ze znacznikami.
• L2, L3 - warstwa przełączania (adresy MAC) i routingu (adresy IP).
• LACP, LAG - łączenie kilku portów w jedno logiczne łącze.
• Stakowanie - łączenie przełączników w stos zarządzany jako jedno urządzenie.
• SFP, SFP+, SFP28, QSFP28 - gniazda na wkładki 1G, 10G, 25G i 100G.
• DAC - miedziany kabel z wtykami SFP na stałe, do krótkich połączeń w szafie.
• QoS - priorytet ruchu, na przykład dla rozmów VoIP przed pobieraniem plików.
• IGMP snooping - kierowanie strumieni multicast, na przykład IPTV, tylko do portów, które ich chcą.

• Czy potrzebujesz PoE? Jeśli tak, szukaj w kategorii switche PoE, a nie tutaj.
• Ile urządzeń podłączysz kablem dziś i za trzy lata, plus porty na łącza w górę?
• Jaka prędkość na porty urządzeń (1G, 2,5G, 10G) i jaka na łącza w górę (1G, SFP+, SFP28)?
• Czy łącza w górę idą miedzią, kablem DAC czy światłowodem i jakie wkładki będą potrzebne?
• Czy routing między VLAN-ami zrobi router, czy ma go robić switch L3?
• Czy router obsługuje VLAN-y i agregację, jeśli chcesz z nich korzystać?
• Biurko czy szafa rack 19 cali; jaka głębokość szafy i czy hałas wentylatora ma znaczenie?
• Zarządzanie osobno na każdym urządzeniu czy z jednego kontrolera i jednego ekosystemu?
• Czy planujesz stakowanie lub drugi switch tej samej serii?
• Czy nieużywane porty, hasło i oprogramowanie zabezpieczysz od pierwszego dnia?