3.5 Switching

Hub, Switch und Router unterscheiden

Für das Switching ist die Funktion entscheidend: Ein Hub verteilt Signale ohne Frameauswertung, ein Switch leitet Frames innerhalb eines Layer-2-Netzes und ein Router verbindet unterschiedliche IP-Netze. Ein Multilayer-Switch kann sowohl Bridging als auch Routing übernehmen.

Wie ein Switch MAC-Adressen lernt

Beim Empfang eines gültigen Frames betrachtet der Switch die Quell-MAC-Adresse. Er speichert beziehungsweise aktualisiert, über welchen Eingangsport diese Adresse innerhalb des betreffenden VLANs erreichbar ist. Diese dynamische Zuordnung wird nach einer herstellerabhängigen Zeit ohne neue Frames entfernt. Das verhindert, dass veraltete Einträge dauerhaft bestehen bleiben.

Anschließend sucht der Switch die Ziel-MAC-Adresse in seiner Filtering Database, häufig MAC-Adress- oder CAM-Tabelle genannt. Ist das Ziel an einem anderen weiterleitenden Port bekannt, wird der Frame dort ausgegeben. Zeigt der Eintrag auf denselben Port, an dem der Frame ankam, wird er gefiltert und nicht zurückgesendet.

Bekanntes Ziel, unbekanntes Ziel und Gruppenverkehr

Ein bekannter Unicast-Frame kann gezielt an den gelernten Ausgangsport gesendet werden. Ist eine Unicast-Zieladresse nicht in der Tabelle vorhanden, wird der Frame innerhalb des VLANs über alle dafür geeigneten Ports außer dem Eingangsport verteilt. Dieses Unknown-Unicast-Flooding ermöglicht die erste Kommunikation, bevor der Switch das Ziel gelernt hat.

Broadcasts werden ebenfalls innerhalb des VLANs geflutet. Multicast-Verkehr kann ohne zusätzliche Information ähnlich verteilt werden; Funktionen wie IGMP- oder MLD-Snooping können die Ausgabe auf interessierte Ports begrenzen. Ein Switch begrenzt eine Broadcast-Domäne daher nicht automatisch. VLANs teilen das Layer-2-Netz in getrennte Broadcast-Domänen; Verkehr zwischen ihnen benötigt eine Layer-3-Funktion.

Die MAC-Tabelle ist VLAN-bezogen

Bei einem VLAN-fähigen Switch gehört ein gelernter Eintrag nicht nur zu einer MAC-Adresse und einem Port, sondern zu einem VLAN beziehungsweise Filtering Identifier. Dieselbe MAC-Adresse kann dadurch in unterschiedlichen VLANs unabhängig gelernt werden. Ein Eintrag aus VLAN 10 darf nicht als Weiterleitungsinformation für VLAN 20 verwendet werden.

Access-Ports ordnen ungetaggte Endgeräte gewöhnlich einem VLAN zu. Trunk-Links transportieren mehrere VLANs und verwenden dafür typischerweise IEEE 802.1Q-Tags. Der Switch lernt auch über einen Trunk MAC-Adressen, jedoch als erreichbar über diesen Trunk-Port und weiterhin getrennt nach VLAN.

• Dynamische Einträge entstehen durch empfangene Quelladressen und altern aus.
• Statische Einträge werden administrativ festgelegt und altern gewöhnlich nicht automatisch aus.
• Die konkrete Tabellenbezeichnung und Aging-Zeit sind hersteller- und plattformabhängig.
• Häufige MAC-Wechsel zwischen Ports können auf eine Schleife, doppelte Adressen, virtuelle Systeme oder eine bewegte Gegenstelle hinweisen.

Store-and-Forward und Cut-Through

Beim Store-and-Forward-Verfahren wird der vollständige Frame empfangen, bevor die Weiterleitung beginnt. Dadurch kann der Switch die Länge und FCS prüfen und beschädigte Frames am Eingangsport verwerfen. Außerdem lassen sich unterschiedliche Eingangs- und Ausgangsgeschwindigkeiten über Puffer entkoppeln. Das Verfahren ist der allgemeine Regelfall in Ethernet-Switches.

Cut-Through beginnt die Ausgabe, sobald genügend Headerinformationen für die Entscheidung vorliegen und der Ausgang verfügbar ist. Das kann die Latenz senken, birgt aber das Risiko, einen erst später als fehlerhaft erkannten Frame teilweise weiterzugeben. Cut-Through ist vor allem in speziellen, latenzkritischen Umgebungen relevant und kann je nach Gerät, Portgeschwindigkeit und Funktion eingeschränkt sein.

Fragment-Free wartet historisch die ersten 64 Byte ab, um typische Kollisionsfragmente nicht weiterzugeben. Die Bezeichnung stammt aus Halbduplex-Ethernet und hat in modernen Vollduplex-Netzen nur geringe praktische Bedeutung. Adaptive Verfahren sind herstellerspezifisch und wechseln abhängig von Betriebsbedingungen zwischen Strategien.

Puffer, Warteschlangen und Überlastung

Auch ein schneller Switch kann Frames nicht unbegrenzt sofort weiterleiten. Treffen mehrere Eingangsströme gleichzeitig auf denselben Ausgangsport oder ist der Ausgang langsamer, entstehen Warteschlangen. Switches puffern Frames im verfügbaren Speicher. Ist dieser erschöpft, werden Frames verworfen; höhere Protokolle oder Anwendungen müssen den Verlust gegebenenfalls behandeln.

Die beworbene Switching-Kapazität und Paketweiterleitungsrate müssen zur Portausstattung passen. Ein Gerät kann non-blocking ausgelegt sein oder bei gleichzeitiger Volllast aller Ports überbucht werden. Für die Praxis sind außerdem Pufferarchitektur, Quality of Service, Paketgröße und Verkehrsmuster wichtig.

Ethernet PAUSE und Flusskontrolle

IEEE-802.3x-PAUSE ermöglicht einem Linkpartner, die Übertragung gewöhnlicher Datenframes für eine angegebene Zeit anzuhalten. Der MAC-Control-Frame verwendet die reservierte Gruppenadresse 01:80:C2:00:00:01 und wirkt nur auf dem direkten Vollduplex-Link. Er ist keine Ende-zu-Ende-Flusskontrolle und wird nicht wie normaler Datenverkehr durch das Netz weitergeleitet.

PAUSE kann kurzfristige Pufferengpässe entschärfen, verlagert Rückstau aber zum Nachbarn und kann auch unabhängigen Verkehr auf diesem Link blockieren. Deshalb ist die Funktion keine universelle Lösung gegen Überlastung. Priority-based Flow Control nach IEEE 802.1Qbb kann einzelne Prioritäten pausieren, erfordert jedoch ein bewusst geplantes verlustarmes Netz und gehört nicht zur gewöhnlichen Standardkonfiguration eines Arbeitsplatz-LANs.

Schleifen, Redundanz und Schutzfunktionen

Redundante Layer-2-Verbindungen benötigen eine kontrollierte schleifenfreie Topologie. Spanning Tree wird vollständig in 3.6 behandelt; an dieser Stelle genügt für die Switching-Diagnose, STP-Zustände und auffälliges MAC-Flapping als mögliche Hinweise zu prüfen.

• Unmanaged Switches bieten wenig oder keine Kontrolle über VLANs, Schleifenschutz, Port-Sicherheit und Diagnose.
• Port Security, 802.1X, DHCP Snooping und weitere Schutzfunktionen müssen passend zum Bedrohungsmodell konfiguriert werden.
• Ein Switch verhindert das Mitschneiden fremden Verkehrs nicht grundsätzlich: Flooding, Port-Spiegelung, Manipulation oder Fehlkonfiguration bleiben mögliche Wege.

Switching systematisch prüfen