Brocade Fabric OS详解和网络管理方式

第三章：Brocade Fabric OS详详解和网络管理方式解和网络管理方式第三章内容简介第三章内容简介Brocade Fabric OS 版本及特性 Firmware downloadConfiguration upload/download软件License管理智能网络管理:FabricWatchSNMPSAN网络安全Secure FOS什么是Fabric OS?每一台Brocade SilkWorm都装有内嵌的操作系统:Brocade Fabric Operating System(Fabric OS)完全依靠交换机内的CPU资源来运行在第二网中所有的Fabric服务均由Fabric OS支持和维护ASIC 则负责数据交换和数据迁移Fabric OS和ASIC在交换机中都起着灵魂的作用MemoryMeasurement&EnvironmentCPUASICSwitch PortsASICSwitch PortsFabric OSFabric OS 的的功能描述功能描述Fabric OS是整个第二网的核心技术，负责交换机的正常运行不同的版本的firmware在不同的CPU执行。SilkWorm 2000 系列=Intel i960 CPU 执行 Fabric OS 2.x(用Loom ASIC)SilkWorm 3200,3800=Intel i960 CPU 执行 Fabric OS 3.x（用Bloom ASIC)SilkWorm 12000,24000,3900,3250,3850=Motorola PowerPC CPU 执行 Fabric OS 4.xInteli960PowerPCFabric OS2.x&3.xFabric OS4.xVxWorksLINUXSilkWorm 2000系列交换机,3200,3800SilkWorm 12000,24000,3900,3250,3850Fabric OS=强大的分布式实时操作系统 Fabric OS 核心核心结构结构例子:Fabric OS内部支持一个Web服务器(WEB TOOLS)从而让外部管理者对于交换机通过Web进行管理和控制。例子:Fabric OS同时还负责对外的通信工作包括支持Telnet进程和对终端串口的支持。升级升级Fabric OS(firmware)版本版本为什么要对为什么要对firmware升级？升级？为了提高性能和减少错误，用户可以根据需要，适时地升级交换机上的Firmware版本(例子：用户如想使用QLFA功能，必须升级到2.4或以上版本)Brocade建议使用下列版本：SilkWorm 2000 系列=Fabric OS 2.6.1 或以上版本SilkWorm 3200,3800=Fabric OS 3.1.1a或以上版本SilkWorm 12000,3900=Fabric OS 4.1.1b或以上版本SilkWorm 3250,3850,24000=Fabric OS 4.2.0b或以上版本升级步骤：1.准备新的Firmware2.准备服务器，FTP或RSH3.升级a)Telnet，命令firmwareDownloadb)WEB TOOLS，图形界面c)Fabric Manager，批量升级4.重新启动即可完成Fabric OS升级进程格式定义为vM.m.fp：M为主要版本号主要版本号,m为次要版本号次要版本号,f为维护版本维护版本,p为patch等级等级新的特点和功能新的特点和功能Firmware维护升级维护升级SilkWorm 3250/3850/3900/12000/24000都是基于Linux来开发的Firmware，因此Firmware维护和原来基于VxWorks的交换机有很大不同:firmware升级状态升级状态基于基于VxWorks的交换机的交换机基于基于Linux的交换机的交换机firmware文件组织文件组织单个二进制文件Linux的rpm文件包升级工具升级工具RSH,FTP只支持FTP升级后在升级后在flash上的上的firmware仅包含新的firmware(老版本被覆盖)新的和老的firmware都将保留升级并重启后升级并重启后flash上上的的firmware仅包含新的firmware总是新的firmware，老的版本可能会保留新的特点和功能新的特点和功能Firmware维护升级维护升级(续续)SW3900/12000的CF卡都被分成两部分，大小一致P1和P2都是128MB启动时，firmware从其中一个区加载主分区可以是P1或P2SW12000中两块控制卡可能不一样另外一块未加载的区为备用分区可能包含了当前的firmware版本，也可能是老版本firmware主分区主分区备用分区备用分区P1P2FW vAFW vA新的特点和功能新的特点和功能Firmware维护升级维护升级(续续)下一次重启时，原来的备用分原来的备用分区区将成为新的主分区接下去的重启，新版本firmware位于主分区前次前次的备用分区新的备用分区可能包含新版本firmware或先前起用的版本，这取决于新版本firmware是否已经提交提交提交(Commit):改写原来运行的firmware，现在位于备用分区中主分区主分区备用分区备用分区P1P2*FW vC*重启后重启后P1的版本：的版本：提交：提交：FW vC(新新)未提交：未提交：FW vA(老老)新的特点和功能新的特点和功能Firmware维护升级维护升级(续续)如果需要，存储在备用分区的firmware可以恢复到主分区Firmware提交的相反过程交换机自动重启备用分区备用分区主分区主分区P1P2FW vAFW vCFW vALinux FOS firmware通用任务通用任务Firmware维护升级维护升级SW3900/12000 firmware的维护升级引入了很多新概念CF卡被分成两个区(P1和P2)进行管理从其中的一个分区启动主分区另外一个区为备用分区用来升级firmware 备用分区FOS版本可以和主分区不同，但进行升级前FOS版本必须一样主分区中的firmware可以提交到备用分区备用分区中firmware可以恢复到主分区可以通过命令firmwaredownloadstatus来查看FOS升级的进度备用分区备用分区主分区主分区P1P2FOS vBFOS vC*自动提交自动提交=YES:FW vC 自动提交自动提交=NO:FW原来原来Linux FOS Firmware通用任务通用任务-从主从主CP升级升级firmware 从SW12000上升级firmware的流程从当前主CP上输入firmwaredownload命令Firmware下载到备用CP备用CP重启主/备CP通过切换交换角色Firmware下载到新的备用CP新备用CP重启，提交firmware新主CP提交firmwareFirmware升级结束SilkWorm 12000当前firmware状况P1P2V4.1.0V4.1.0P1P2V4.1.0V4.1.0V4.1.0V4.1.0CP0Compact FlashCP1Compact Flash主主CP备用备用CP运行在CP1上运行在CP0上主分区备用分区主分区备用分区SilkWorm 12000升级firmware到v4.1.1aP1P2V4.1.0V4.1.0P1P2V4.1.0V4.1.0V4.1.0V4.1.0CP0Compact FlashCP1Compact Flash主主CP备用备用CP运行在CP1上运行在CP0上主分区备用分区主分区备用分区Firmwaredownload 10.255.23.43,admin,/v4.x/v4.1.1a/release.plist,passwordLinux FOS Firmware通用任务通用任务-Firmwareshow命令firmwareshow用来查看存储在主分区和备用分区中的firmware版本如果在两个CP板上都执行了命令firmwaredownload s(single boot)，并且没有自动提交选项，firmwareshow显示Switch:adminfirmwareshowLocal CP(Slot 6,CP1):ActivePrimary partition:v4.1.1aSecondary partition:v4.1.1aRemote CP(Slot 5,CP0):StandbyPrimary partition:v4.1.1aSecondary partition:v4.1.1a备用分区备用分区主分区主分区P1P2V4.1.1aV4.1.1aLinux FOS Firmware通用任务通用任务-Firmwarecommit命令firmwarecommit来复制主分区中的firmware到备用分区(如果没有-s选项，自动进行)Switch:adminfirmwarecommitwriting flash 0.writing flash 1.使用命令firmwareshow来确认firmwarecommit的执行结果Switch:adminfirmwareshowLocal CP(Slot 6,CP1):ActivePrimary partition:v4.1.1bSecondary partition:v4.1.1bRemote CP(Slot 5,CP0):StandbyPrimary partition:v4.1.1aSecondary partition:v4.1.1a备用分区备用分区主分区主分区P1P2V4.1.1aV4.1.1bV4.1.1bLinux FOS Firmware通用任务通用任务-Firmwarerestore命令firmwarerestore来复制备用分区中的firmware到主分区Switch:adminfirmwarerestoreRestore Kernel Image.No firmware undo is needed使用命令firmwareshow来确认firmwarecommit的执行结果Switch:adminfirmwareshowLocal CP(Slot 6,CP1):ActivePrimary partition:v4.1.1aSecondary partition:v4.1.1aRemote CP(Slot 5,CP0):StandbyPrimary partition:v4.1.1aSecondary partition:v4.1.1a备用分区备用分区主分区主分区P1P2V4.1.1aV4.1.1bV4.1.1aLinux FOS Firmware通用任务通用任务firmware升级总结升级总结SW3900上firmware升级流程：新版本firmware安装到备用分区SW12000 firmware升级流程：两个CP使升级多了很多考虑为了维持正确的次序，两个CP板都应该同时升级两个CP板必须重启，v4.1之前的版本会引起fabric重构提示：在备用CP上执行的firmware相关操作不会引起fabric中断，即使在4.1之前的版本解决方案：在SW12000上，firmwaredownload命令默认将升级两个CP上的firmware，先升级备用CP一次仅升级一个CP:firmwaredownload sFSS实现了firmwaredownload的代码热激活功能可以监控自动过程的命令：hashowfirmwareshowfirmwredownloadstatushadump单二进制文件单二进制文件firmware维护维护可以从管理工作站执行命令FirmwareDownload建议的传输协议是ftpFirmware升级后交换机必须重新启动FastBoot或rebootFirmware升级成功与否可用命令检查firmwareShow支持的Firmware版本V2.x 单二进制文件：FOS文件名V3.x 单二进制文件：FOS文件名firmwareDownload“host”,”user”,”file”,”passwd”可以通过telnet、Webtools或Fabric Manager 3.x/4.x来进行升级Firmware升级过程中会生成安全组件，并且端口指示灯会不断闪烁Brocade SilkWorm 3900代码热激活代码热激活代码热激活数据帧不丢失不用重试没有超时错V4.10v3.0.2xv3.1.0v2.6.0 xv2.6.1v4.1.0使用configUpload命令可以将交换机的配置保存到ASCII纯文本文件中.备份方式采用FTP注意注意:要记得备份交换机配置要记得备份交换机配置主机主机FTP Serveripaddr=192.168.66.101User=user1NICconfig.txtSilkWorm 交换机交换机RJ-45FlashFlashFTPconfigUpload “192.168.66.101”,”user1”,”config.txt”,”口令口令”交换机配置备份交换机配置备份configUpload保存交换机的配置信息到一台ftp服务器需要备份交换机配置当交换机配置更改时当分区配置更改时当添加新的许可证时为了安全等因素从ftp服务器上删除而迁移到安全的地方时执行configUpload的方式TelnetWeb ToolsFabric Manager 3.x或4.x交换机配置恢复交换机配置恢复configDownload将交换机的配置(ASCII文件)从一台ftp服务器上下载到交换机中数据访问中断恢复交换机配置时交换机必须disable恢复原因恢复交换机配置恢复分区信息clear 必须出现在文本文件的分区信息中enable cfgname将保证下载完成后立即激活分区配置交换机名字和IP地址没法恢复只有在boot.mac行等于WWN时才接受许可证恢复对于更换一台新交换机进行配置恢复十分有用Fabric Watch的配置也可恢复SNMP配置也可恢复软件软件License管理管理Brocade智能网络服务软件产品智能网络服务软件产品除了基本的网络功能,Fabric OS也同时提供了强大的增值智能软件在交换机中所有软件也一早附在Fabric OS中,不需要重新追加安装,只须用License Key来激活软件功能高级高级网络网络智能智能软件产品软件产品:Brocade Fabric OS(操作系统的基本的网络功能,每台交换机必须有此许可证)Brocade WEB TOOLSBrocade SES(SCSI Enclosure Services 用SCSI命令来做网管)Brocade Advanced ZoningBrocade Trunking Brocade Advanced Performance MonitoringBrocade Secure Fabric OS(全面网络保密功能)Brocade QuickLoopBrocade Remote Switch(长距离连接技术ATM/IP)Brocade Extended Fabrics(长距离连接技术不需转换帧的结构)Brocade Fabric WatchFabric OS不同版本软件对比不同版本软件对比软件产品软件产品4.03.02.xWebToolsPPPFabric WatchPPPQuickLoopPPExtended FabricPPPRemote SwitchPPPAdvanced Zoning PPBasic ZoningTrunkingPPAdvanced Performance MonitoringPPSecure Fabric OSPSESP许可证管理相关的命令一览许可证管理相关的命令一览License Key的获得的获得基于每台交换机独特的WWN来生成独一无二的License KeyLicense的购买方式的购买方式Individual License(单买一套软件)Bundle License(多套软件捆绑一起）通过命令行进行管理时命令一览通过命令行进行管理时命令一览licenseHelplicenseShowlicenseAddlicenseRemove或使用或使用WEB TOOLS许可证管理许可证管理许可证中的大小写是敏感的使用使用WEB TOOLS来管理来管理Licenses智能网管智能网管自动报警系统自动报警系统:FabricWatch定时检验系统定时检验系统:SNMP第二网关键的管理工具第二网关键的管理工具:FabricWatch简介简介对Fabric中的元素进行周期监控，遇到问题或潜在的故障，发送警告通知(Fabric 状态,错误和性能)可抓住难对付的潜在问题从而做出适当矫正反应可扩充新的管理单元(每一个管理单元都可以为特殊需要而定制)FabricWatch是从Fabric OS v2.2开始新添加的许可证产品虽然FabricWatch是基于单一交换机实现，可以在整个Fabric上使用(许可证必须在所有交换机上全部配置并且激活该功能)FabricWatch的的自动报警流程自动报警流程 范围 监控值的升高或降低 状态变更SNMP TRAPPort LogEvent LogFabric事件环境端口GBICsFabricWatch的配置方法的配置方法可以通过多种用户界面实现配置可以通过多种用户界面实现配置:1.Fabric OS命令命令2.SNMP MIB3.WEB TOOLS4.Brocade Fabric Access API5.可从可从主机下载配置主机下载配置策略策略(4套套)a)fw.workgroup.errlog 交换机在工作组级SAN环境中.b)fw.workgroup.snmp 只有在所有的报警设置都是通过snmp-trap来实现而不是通过错误日志实现时才不同.c)fw.enterprise.backbone.errlog 交换机在企业级SAN骨干环境中.d)fw.enterprise.backbone.snmp 只有在所有的报警设置都是通过snmp-trap来实现而不是通过错误日志实现时才不同.保持配置的一致性保持配置的一致性在一台交换机上设定所有的配置，然后将配置在一台交换机上设定所有的配置，然后将配置Upload文件文件将已经定义好的配置文件将已经定义好的配置文件Download到到Fabric中所有交换机中所有交换机Fabric Manager提供了便利的手段完成该功能提供了便利的手段完成该功能可从可从fwHelp命令先下手命令先下手启动启动或终止或终止Fabric Watch的的报警设置报警设置fwalarmsFilterSet 0|1（0 0代表关闭，代表关闭，1 1代表打开，默认为代表打开，默认为0 0）WEBTOOLS:Fabric Watch设置设置Fabric Watch 增强增强Security Policy Violation MonitoringViolations:Telnet,HTTPAPI,SES,MSRSNMP,WSNMPSerial PortSet custom thresholdsSend Alarm.Select“Security”sub tree node under“Switch”nodeFabric Watch 增强增强Switch Availability Monitoring(SAM)Select“SAM”sub tree node under“Switch”nodeAvailability:Uptime,DowntimeMTBF,MTTF,Average DurationSet custom thresholdsSend Alarm.阅读阅读FabricWatch日志的方式日志的方式Error FW-CHANGED,4,fabricFL000(Fabric Fabric login)value has changed.current value:75 Login(s).(info)FW-CHANGED =界限标签4=错误严重级别fabric=Class name of the Threshold NameFL=Area name of the Threshold Name000=Index value of the Threshold NameSNMP(Simple Network Management Protocol)SNMP管理工作站Agent SANTCP/IPEthernetGetGet NextSetTrapSNMP 协议命令协议命令Fabric OS SNMP命令命令命令一览命令一览agtcfgSetagtcfgDefaultagtcfgShowsnmpmibCapSetagtcfgSet命令命令:sw2:admin agtcfgSetcustomizing MIB-II system variables sysDescr:Fibre Channel SwitchsysLocation:End User PremisesysContact:Field Support Continue with the configuration(yes,y,no,n):no yesauthTrapsEnabled(true,t,false,f):falseSNMP community and trap recipient configuration:Community:Secret COderwCommunity:OrigEquipMfrrwCommunity:privaterwCommunity:publicroCommunity:commonroCommunity:FibreChannelroManagement Information Base(MIB)Agent 监视交换机上的参数=管理工作站管理工作站向交换机查询参数SNMP ProtocolMIBMIBDB为什么要使用为什么要使用MIB?SNMP协议只是提供了能进行网络管理的协议，但还不知道要管理什么。MIB正是为解决这个问题设计的，它定义了管理的内容。Brocade SNMP 支持多种类的支持多种类的MIB格式格式Brocade SilkWorm SNMP agent 支持：SNMPv1 and SNMPv2c ManagerMIB-II system group,interface group and SNMP groupFabric Element MIBFibre Alliance MIBVendor Specific MIBsStandard Generic TrapsEnterprise Specific TrapsSNMP管理工作站管理界面管理工作站管理界面Brocade交换机交换机MIB对象类型对象类型System GroupFlash Memory AdministrationOperation Environment Sensor TableFabric groupImmediate Neighborhood ISL Family TableSNMP Agent Configuration GroupSNMP Agent Configuration TableFibre Channel Port GroupFibre Channel Port TableuName Server Database GroupSW Name Server Local TableuEvent GroupSW Event TableuFabric Watch GroupLicense ScalarlClass Area TablelSW FW Threshold TablelEnd Device Release TableSW TrapsTraps for Fabric Watch Subsystems开动交换机开动交换机的的SNMP MIB来来接受接受FabricWatchSwitch:admin snmpmibcapsetThe SNMP Mib/Trap Capability has been set to support FE-MIB SW-MIB SW-TRAP FA-MIB(yes,y,no,n):no ySW-TRAP(yes,y,no,n):yes yFA-TRAP(yes,y,no,n):no ySW-EXTTRAP(yes,y,no,n):no yCommitting configuration.done.Switch:admin agtcfgsetsysDescr:Fibre Channel Switch.sysLocation:End User Premise sysContact:Field Support.swEventTrapLevel:(0.5)0 5authTrapsEnabled(true,t,false,f):false SNMP community and trap recipient configuration:Community(rw):private Trap Recipients IP address in dot notation:0.0.0.0 Community(ro):public Trap Recipients IP address in dot notation:0.0.0.0 SNMP access list configuration:Access host subnet area in dot notation:0.0.0.0 Read/Write?(true,t,false,f):true Committing configuration.done.安全的安全的FOS您是怎样保证您是怎样保证SAN网络安全性网络安全性?=安全性攻击点安全性攻击点Internet/Intranet谁正在管理配置和安全策略谁正在管理配置和安全策略?某个人正弄坏你的某个人正弄坏你的SAN网络配置网络配置?谁访问这个谁访问这个SAN网络网络?谁正在偷有价值谁正在偷有价值的数据？的数据？谁正在偷听以太网谁正在偷听以太网络？络？Brocade安全安全Fabric OS保护保护SAN网络网络NetworkManager交换机之间的认证和交换机之间的认证和授权授权管理访问控制管理访问控制信赖的交换机信赖的交换机(安全策略的分发安全策略的分发)设备级的访设备级的访问控制问控制安全管理通信安全管理通信API安全的安全的API 访问访问Digital Certificate-Public Key-Signature.Digital Certificate-Public Key-Signature.Digital Certificate-Public Key-Signature.Digital Certificate-Public Key-Signature.Digital Certificate-Public Key-Signature.数字认证数字认证 基于基于PKI 的安全性的安全性Internet/Intranet安全安全Fabric OS 管理管理Fabric Manager is the element manager for fabricsFabric Access APIAdvanced Fabric ServicesSecTelnet/SSHFabric Manager1-SecTelnet(all platforms)2-SSH(OS v4.1 and above)3-Fabric Manager4-Fabric Access API5-PKICert兼容性事项兼容性事项在没有启动安全模式时，在没有启动安全模式时，FOS 版版本本2.6,3.1和和4.1与过去的与过去的OS版本版本相兼容相兼容.在安全性模式击活以前，所有在安全性模式击活以前，所有SAN网络中的交换机必须升级到网络中的交换机必须升级到OS版本版本2.6,3.1 和和4.1如果旧版本的交换机连接到一个如果旧版本的交换机连接到一个具有安全性特性的具有安全性特性的SAN网络时，网络时，将会发生分段。将会发生分段。在配置安全策略和击活安全性前，在配置安全策略和击活安全性前，数字认证必须安装到数字认证必须安装到SAN网络的网络的每一个交换机上每一个交换机上(如果在工厂没有如果在工厂没有安装安装!)平台软件1GB交换机2800,2400,22x0,20 x0VxWorks2.6.1或以上Zoning 和Security License2GB交换机8、16口38003200VxWorks3.1Zoning 和Security License2GB交换机超过16口390012000Linux4.1Zoning 和Security LicenseFabric 管理策略集管理策略集(FMPS)Brocade的的Fabric安全性是通过定制策略来管理。安全性是通过定制策略来管理。FMPS由以下策略构成由以下策略构成:Fabric 配置服务器配置服务器(FCS)策略策略(信任的交换机信任的交换机)必须首先配置管理访问控制管理访问控制(MAC)策略策略控制 Telnet,HTTP,SNMP,SES,MGMT SRVR 和 API 访问设备连接控制设备连接控制(DCC)策略策略 端口级 ACLs交换机连接控制交换机连接控制(SCC)策略策略交换机级 ACLs可选项策略可选项策略 控制是否允许用节点WWN配置基于WWN的zoningFabric配置服务器配置服务器Fabric Configuration Server Switches(FCS)FCS_POLICY这种交换机被当作信任的交换机（Trusted Switches）一个交换机将FMPS 策略数据库分发到整个Fabric所有Zoning 配置所有安全策略单Fabric口令数据库SNMP Community Strings系统日期和时间(NTP:TsClockServer)在一个Fabric 内必须至少设置1 FCS 建议在FCS_POLICY 表中至少配置两个FCS 第一个交换机就是主FCS 交换机在表中其它的交换机是备份FCS 交换机不在这个表中的交换机被称为非FCS 交换机Fabric 配置服务器配置服务器-口令口令定制口令定制口令最小最小8个字母的长度个字母的长度主主FCS 口令和备份口令和备份FCS 口令口令RootFactoryAdmin(FCS Admin)User-整个fabric有相同口令 非非 FCS 交换机交换机Root-无效Factory-无效Admin-NON-FCS User-整个fabric有相同口令 口令的改变将传播到整个口令的改变将传播到整个fabric新加入的交换机采用新加入的交换机采用FCS的口令的口令管理访问控制（管理访问控制（MAC）八种 MAC 管理策略:1.SNMP MAC 策略2.Telnet MAC策略3.HTTP(WebTools)MAC策略4.API MAC策略5.SES MAC策略6.Management Server MAC策略7.Serial Port MAC策略8.Front Panel MAC策略 您可以决定怎样和谁来管理您可以决定怎样和谁来管理SAN网络网络Secure FOS 命令命令secModeEnablesecModeDisablesecModeShowsecPolicyCreatesecPolicyDeletesecPolicyAddsecPolicyRemovesecPolicySavesecPolicyAbortsecPolicyActivateSecure FOS 命令命令secPolicyShowsecPolicyDumpsecPolicyMoveFCSsecNonFCSPasswordsecSwitchPasswordsecStatsShowsecStatsReset小小 结结详细的描述了Brocade Fabric OS 特性Firmware Download的方法交换机配置文件的保存利用容易的方法来管理软件License详细智能网络管理:FabricWatchSNMP安全的SAN网络复习题复习题1.configUpload 到底代表从什么设备到什么设备?2.说出一个FabricWatch监控的范围?3.SAN网络安全有几中策略类型，分别是什么？4.Brocade支持哪三个类型的Fibre Channel MIBs?