Loop, mesmo na porta com Vlan

[andrecarlim]

Boa tarde, peço ajuda para o estudo deste caso que esta me tirando o sono.

A alguns meses tenho planejado uma mudança em um provedor que atendo, ele usa uma grande bridge e estamos querendo "segmentar" esta grande redes em redes pequenas, usando Vlan, a idéia é manter centralizados os concentradores PPPoE e fazer chegar todas as bordas internas até eles com Vlan, ai que entra o problema, em laboratório criei o cenário que está em anexo, e para minha surpresa, e que surpresa, fechado um loop do lado da borda ontem não tem contato "físico" com a rede do "meio" o loop se espalha rapidamente por toda a rede do provedor, verifiquei varias vezes a bridge no lado no mikrotik que atende o PoP (ether5), e dentro da bridge esta apenas a interface vlan e a ether5, sendo que eu fecho (tagged vlan) na porta ether1, alguém já passou por isso?

[alexrock]

Vlan não bloqueia loops, somente impede que ele afete outros segmentos da rede. Nesse caso um loop na Vlan 100 não chega na 101 e vice versa. Mesmo assim ele pode derrubar a rede (lentidão e alto processamento).

[alexrock]

Seria interessante usar (R)STP nesse caso? Como deveria ser implementado?

Na experiência prática que tenho o STP somente segura o loop que "nasce" entre as portas do equipamento onde ele roda. Se o loop vir gerado por um switch encore, por exemplo, ele não segura.

[FabricioViana]

Se me lembro bem o STP também faz o roteador perder um pouco de performance, devendo ser ligado somente em caso de problema e desligado logo após a resolução deste.

Particularmente não vejo vantagem em fechar VLAN dentro do backbone... Entre seus MKs crie as rotas estáticas para os IPs que serão distribuídos para os PPPoE de cada ponta ou já crie uma rede em OSPF mesmo...

No caso do seu desenho, transformaria os Mikrotiks 1 e 2 em PPPoE servers logo de uma vez...

Mas cada cabeça é uma sentença!

Abraços!
Fabricio

[edsong]

Olá, amigo uso algo parecido aqui, tenho aqui um servidor pppoe para cada saída de cada painel, onde todos são separados por vlan, não tenho problema nenhum de loop;
na minha rede utilizo mais ou menos assim:

servidor > saída sfp >vlanidx > sfp Port. Crs mk > ether X > vlanidx > ether X 493g painelx (defaut forward [ ])
> saída sfp >vlanidy > sfp Port. Crs mk > ether y > vlanidy > ether y 493g painely (defaut forward [ ])
> saída sfp >vlanidz > sfp Port. Crs mk > ether z > vlanidz > ether Z rocket
Etc...

onde no servidor a interface vlanidx, vlanidy e vlanidz e demais são arp reply-only, não participam de bridge e cada uma possue seu próprio pppoe server; na crs ficam cada vlan que chega em uma bridge e cada bridge com duas vlans (uma das que entrou vinda do servidor, e outra criada na mesma setada para porta de saída do respectivo equipamento, não havendo interface física nenhuma em bridge. Obs no caso de saída de rocket em bridge não há a necessidade de saída por vlan da crs, neste caso coloco a porta de saída do rocket em bridge somente com a vlan que vem do servidor referente a esta saída.


bom, não sei se ajuda mais ta ae a dica

[andrecarlim]

Obrigado pelas respostas, o problema fica por conta da administração do provedor, o sistema de suporte fui eu mesmo que fiz usando rrdtool/scripts, que coletam dados direto do pppoe (Debian), ai teria que manter a mesma estrutura, usando dois concentradores PPPoE na matriz. Alguma sugestão de como eu poderia mudar essa estrutura mantendo os dois concentradores na matriz e levando a autenticação até as pontas, levando em conta a ideia de eliminar os posiveis loops nas pontas?

[marcioelias]

Seria interessante usar (R)STP nesse caso? Como deveria ser implementado?

Na verdade, MSTP.

STP/RSTP não entendem VLAN's, apenas bloqueiam ou não uma porta. Com MSTP vc pode adicionar quais VLAN's em determinada porta farão parte do grupo, e bloquear somente uma VLAN específica ao invés da porta como um todo.

Neste caso um loop em uma VLAN de uma determinada porta, bloquearia somente o tráfego daquela VLAN, não afetando o resto.

Quanto ao uso deste tipo de protocolo, sim ele degrada um pouco a performance, alias, tudo que gerar processamento irá degradar a performance, mais não há por que em um ambiente de alto tráfego habilitar este protocolo para todas as portas de um Switch por exemplo. Somente nas portas conectadas a outros Switches.

[Umesh]

VLAN não é protocolo de proteção de loops, o que faz a proteção é o STP, RSTP ou MSTP, além de outros mais avançados...voce pode setorizar eles por vlans tem uma apresntação geral falando disso: