ONS15454 IP-Adressierung mit aktiviertem Secure Mode

Einführung:

Das Dokument beschreibt die IP-Adresse der Basiskonfiguration, die dem ONS 15454-Knoten mit aktiviertem Secure Mode im Cisco Transport Controller (CTC) zugewiesen wurde.

Voraussetzungen:

Cisco empfiehlt die Grundkenntnis des TCP/IP- und DCN-Managements (Data Communication Network) im Netzwerk.

Anforderungen:

OSN15454 Controller-Karten für ONS-Gerät

ONS Plattform-spezifische Systemsoftware

Hintergrundinformationen:

Wenn TCC2P-Karten installiert sind, steht eine duale IP-Adressierung im gesicherten Modus zur Verfügung. Wenn der sichere Modus ausgeschaltet ist (manchmal auch als Repeater-Modus bezeichnet), bezieht sich die im Feld "IP Address" eingegebene IP-Adresse auf den LAN-Port der ONS 15454-Backplane und den TCC2P TCP/IP (LAN)-Port. Wenn der sichere Modus aktiviert ist, zeigt das Feld "IP Address" (IP-Adresse) die Adresse an, die dem TCC2P-TCP/IP-Port (LAN) zugewiesen ist. Der Superuser kann die Anzeige der IP-Adresse der Rückwandplatine aktivieren oder deaktivieren.

Die TCC2-, TCC2P-, TCC3-, TNC-, TNCE-, TSC- und TSCE-Karten verwenden standardmäßig den Repeater-Modus. In diesem Modus teilen sich die Ethernet-Ports auf der Vorder- und Rückseite (LAN) eine MAC-Adresse und eine IP-Adresse. TCC2P-, TCC3-, TNC-, TNCE-, TSC- und TSCE-Karten ermöglichen Ihnen, einen Knoten im gesicherten Modus zu platzieren, was verhindert, dass ein Benutzer eines Craft-Ports mit Vorderseite auf das LAN über den Backplane-Port zugreift.

Verhalten im sicheren Modus:

Wenn Sie einen TCC2P-, TCC3-, TNC-, TNCE-, TSC- oder TSCE-Knoten vom Repeater-Modus in den gesicherten Modus ändern, können Sie zwei IP-Adressen für den ONS 15454 bereitstellen. Dadurch weist der Knoten die Ports unterschiedlichen MAC-Adressen zu. Im gesicherten Modus wird eine IP-Adresse für den LAN-Port der ONS 15454-Backplane und die andere IP-Adresse für den Ethernet-Port der Karte bereitgestellt. Beide Adressen befinden sich in verschiedenen Subnetzen und bieten eine zusätzliche Trennung zwischen dem Craft-Access-Port und dem ONS 15454-LAN. Wenn der sichere Modus aktiviert ist, müssen die für den LAN-Port der Backplane und den Ethernet-Port der Karte bereitgestellten IP-Adressen den allgemeinen Richtlinien für die IP-Adressierung entsprechen und sich in unterschiedlichen Subnetzen befinden.

Im gesicherten Modus wird die dem LAN-Port der Backplane zugewiesene IP-Adresse zu einer privaten Adresse, die den Knoten über ein LAN oder ein privates Unternehmensnetzwerk mit einem Operations Support System (OSS) verbindet. Ein Superuser kann den Knoten so konfigurieren, dass die LAN-IP-Adresse der Backplane im CTC, in der Routing-Tabelle oder in autonomen TL1-Nachrichtenberichten ausgeblendet oder offen gelegt wird.

Im Repeater-Modus kann ein Knoten GNE oder ENE sein. Wenn der Knoten in den gesicherten Modus versetzt wird, wird der SOCKS-Proxy automatisch aktiviert und der Knoten wird in den GNE-Status versetzt. Der Knoten kann jedoch wieder in ein ENE geändert werden. Im Repeater-Modus kann der SOCKS-Proxy einer ENE deaktiviert werden, indem der Knoten über die LAN-Firewall hinaus isoliert wird. Im gesicherten Modus kann er jedoch nicht deaktiviert werden. Die Länge der Netz-/Subnetzmaske: Geben Sie die Länge der Subnetzmaske ein (Dezimalzahl, die die Länge der Subnetzmaske in Bits darstellt), oder klicken Sie auf die Pfeile, um die Länge der Subnetzmaske anzupassen. Die Länge der Subnetzmaske ist für alle ONS 15454-Knoten im gleichen Subnetz identisch. Die MAC-Adresse (nur Anzeige) zeigt die MAC-Adresse ONS 15454 IEEE 802 an.

Im gesicherten Modus werden die Front- und Back-TCP/IP-Ports (LAN) unterschiedlichen MAC-Adressen zugewiesen, und die Backplane-Informationen können von einem Superuser ausgeblendet oder offen gelegt werden.

Die dem TCC2P TCP/IP (LAN)-Port zugewiesene IP-Adresse muss sich in einem anderen Subnetz befinden als der LAN-Port der Backplane und der ONS 15454-Standard-Router. Überprüfen Sie, ob die neue TCC2P-IP-Adresse diese Anforderung erfüllt und mit den ONS 15454-Netzwerk-IP-Adressen kompatibel ist.

Verfahren zum Wechsel in den gesicherten Modus über CTC:

Schritt 1 Klicken Sie auf die Registerkarten Provisioning > Security > Data Comm (Bereitstellung > Sicherheit > Datenkommentar), wie unten gezeigt:

Schritt 2 Klicken Sie auf Modus ändern.

Schritt 3 Überprüfen Sie die Informationen auf der Seite "Sicherer Modus ändern", und klicken Sie dann auf Weiter.

Schritt 4 Geben Sie auf der Seite "TCC Ethernet Port" die IP-Adresse und die Subnetzmaske für den TCC2P TCP/IP (LAN)-Port ein. Die IP-Adresse kann sich nicht im gleichen Subnetz wie der LAN-Port der Backplane oder der Standard-Router ONS 15454 befinden. Andernfalls tritt der folgende Fehler im CTC auf.

Schritt 5 Klicken Sie auf Weiter, nachdem Sie Schritt 4 abgeschlossen haben.

Schritt 6 Ändern Sie ggf. auf der Seite für den Ethernet-Port der Rückwandplatine die IP-Adresse, die Subnetzmaske und den Standardrouter. (Sie ändern diese Felder in der Regel nicht, wenn keine ONS 15454-Netzwerkänderungen vorgenommen wurden.)

Schritt 7 Klicken Sie auf Weiter.

Schritt 8 Wählen Sie auf der Seite SOCKS Proxy Server Settings (SOCKS-Proxy-Servereinstellungen) eine der folgenden Optionen aus:

• External Network Element (ENE) - Bei Auswahl dieser Option ist der CTC-Computer nur für die ONS 15454 sichtbar, an die der CTC-Computer angeschlossen ist. Der CTC-Computer ist für die mit dem DCC verbundenen Knoten nicht sichtbar. Darüber hinaus ist die Firewall aktiviert, d. h. der Knoten verhindert, dass IP-Datenverkehr zwischen dem DCC und dem LAN-Port weitergeleitet wird.

• Gateway Network Element (GNE) - Bei Auswahl dieser Option ist der CTC-Computer für andere mit dem DCC verbundene Knoten sichtbar. Der Knoten verhindert, dass IP-Datenverkehr zwischen dem DCC und dem LAN-Port geroutet wird.

Hinweis: Der SOCKS-Proxyserver wird automatisch aktiviert, wenn Sie den gesicherten Modus aktivieren.

Schritt 9 Klicken Sie auf Fertig stellen.

Innerhalb der nächsten 30 bis 40 Sekunden werden die TCC2P-Karten neu gestartet. CTC wechselt zur Netzwerkansicht, und das Dialogfeld "CTC-Warnungen" wird angezeigt. In der Netzwerkansicht wechselt der Knoten in grau, und auf der Registerkarte Alarme wird der Zustand DISCONNECTED (VERBUNDEN) angezeigt.

Überprüfen Sie nach der Aktivierung des gesicherten Modus im CTC, ob diese korrekt für Knoten definiert sind, wie unten für einen Testknoten gezeigt.

Überprüfen Sie außerdem beide IP-Adressen in der CTC-Knotenansicht, wie unten gezeigt.

Verhalten bei gesperrtem und entsperrtem sicheren Knoten:

Der sichere Modus kann auf einem im gesicherten Modus arbeitenden Knoten gesperrt oder entsperrt werden. Der Standardstatus ist entsperrt, und nur ein Superuser kann eine Sperre ausstellen. Wenn der sichere Modus gesperrt ist, können die Konfiguration des Knotens (einschließlich Ethernet-Port-Status) und der Sperrstatus von keinem Netzwerkbenutzer geändert werden. Um die Sperre eines sicheren Knotens zu entfernen, wenden Sie sich an den technischen Support von Cisco, um eine Retourengenehmigung (Return Material Authorization, RMA) für die Gehäuseeinheit zu veranlassen. Durch das Aktivieren eines Schlosses wird das EEPROM des Regals dauerhaft geändert.

Die Konfigurationssperre eines Knotens wird beibehalten, wenn die Datenbank der aktiven TCC2P-Karte neu geladen wird. Wenn Sie beispielsweise versuchen, eine entsperrte Knotendatenbank auf die Standby-TCC2P-Karte eines gesperrten Knotens zu laden, um sie an die aktive TCC2P-Karte zu übertragen (eine Aktion, die nicht empfohlen wird), wird der Status des entsperrten Knotens (über die hochgeladene Datenbank) den Sperrstatus des Knotens nicht überschreiben. Wenn Sie versuchen, eine gesperrte Datenbank auf die Standby-TCC2P-Karte eines ungesicherten Knotens zu laden, lädt die aktive TCC2P-Karte die Datenbank hoch. Wenn die hochgeladenen Standardwerte einen gesperrten Status angeben, wird der Knoten gesperrt. Wenn eine Softwarelast angepasst wurde, bevor eine Sperre aktiviert wird, werden alle abschließbaren Bereitstellungsfunktionen dauerhaft auf die im Ladevorgang angegebenen benutzerdefinierten NE-Standardwerte eingestellt und können von keinem Benutzer geändert werden.

Nützliche Hinweise:

• Wenn sowohl die Access Ports für die Vorder- als auch die Rückwandplatine in einem ENE deaktiviert sind und der Knoten (aufgrund von Benutzerbereitstellung oder Netzwerkfehlern) von der DCC-Kommunikation isoliert ist, werden die Ports für die Vorder- und Rückwandplatine automatisch wieder aktiviert.
• Der sichere Modus kann gesperrt werden, sodass der Modus nicht geändert werden kann.
• Durch das Aktivieren des sicheren Modus werden die TCC2P-, TCC3-, TNC-, TNCE-, TSC- und TSCE-Karten neu gestartet. Der Neustart der Karte wirkt sich auf den Datenverkehr aus.
• Die Sicherheitsmodusoptionen sind im CTC nicht verfügbar, wenn TCC2-Karten oder eine Kombination aus TCC2- und TCC2P-Karten installiert sind.
• Durch das Aktivieren des sicheren Modus wird die TCC2P-Karte neu gestartet. Ein Neustart der TCC2P-Karte wirkt sich auf den Datenverkehr aus.
• Die TCC2-Karte startet nicht, wenn sie einem Knoten mit einer aktiven TCC2P-Karte, die im gesicherten Modus konfiguriert ist, als Standby-Karte hinzugefügt wird.