Port Aggregation Protocol

Abkürzung: PAgP

Was ist PAgP?

PAgP steht für Port Aggregation Protocol. Es ist ein proprietäres Netzwerkprotokoll von Cisco zur automatischen Bündelung mehrerer physischer Ethernet-Verbindungen zu einer logischen Leitung. Eine solche gebündelte Verbindung wird als EtherChannel bezeichnet. PAgP ermöglicht die dynamische Aushandlung eines EtherChannels zwischen zwei Cisco-Switches oder zwischen einem Switch und einem Server mit unterstützter Netzwerkkarte. Das Protokoll validiert die Konfiguration der beteiligten Ports, erkennt Ausfälle einzelner Mitglieder und stellt die Konsistenz der Bündelung sicher. PAgP wurde vor dem IEEE-Standard LACP entwickelt und war lange die vorherrschende Methode zur dynamischen EtherChannel-Bildung in reinen Cisco-Umgebungen.

Funktionsweise

PAgP tauscht in regelmäßigen Abständen Steuerpakete zwischen den potenziellen Mitgliedsports eines EtherChannels aus. Diese PAgP-Pakete werden an die reservierte Multicast-Adresse 01:00:0C:CC:CC:CC gesendet und enthalten Informationen über die System-Priorität, die Port-Priorität und die Gruppenzugehörigkeit des sendenden Geräts. Zwei Geräte vergleichen ihre Parameter und entscheiden, welche Ports zu einem EtherChannel gebündelt werden können. Nur Ports mit identischer Konfiguration hinsichtlich Geschwindigkeit, Duplex-Modus, VLAN-Modus und native VLAN werden in das Bündel aufgenommen. PAgP überwacht die Mitgliedsports kontinuierlich und entfernt ausgefallene Links automatisch aus dem Kanal, ohne die logische Verbindung zu unterbrechen.

Betriebsmodi

PAgP definiert vier Modi für die beteiligten Ports, die das Verhalten bei der Aushandlung festlegen.

On: Der Port wird statisch als EtherChannel konfiguriert, ohne PAgP-Aushandlung. Der Switch sendet keine PAgP-Pakete und erwartet auch keine vom Partner. Dieser Modus entspricht einem manuell konfigurierten EtherChannel und wird nicht von PAgP gesteuert.
Auto: Der Port verhält sich passiv und wartet auf eingehende PAgP-Pakete. Er antwortet auf Angebote des Partners, initiiert aber selbst keine Aushandlung. Ein Port im Auto-Modus bildet nur dann einen EtherChannel, wenn die Gegenseite im Desirable-Modus arbeitet. Zwei Auto-Ports bilden keinen Kanal.
Desirable: Der Port sendet aktiv PAgP-Pakete und fordert den Partner zur Bildung eines EtherChannels auf. Ein Desirable-Port kann mit einem Auto-Port oder einem anderen Desirable-Port einen Kanal bilden. Dies ist die flexibelste Einstellung für eine dynamische Bündelung.
Off: Der Port nimmt nicht an PAgP teil und kann kein EtherChannel bilden.

Für einen erfolgreichen dynamischen EtherChannel muss mindestens eine Seite im Desirable-Modus sein, während die andere Seite Auto oder Desirable sein darf. Zwei Auto-Ports oder die Kombination On mit einem beliebigen dynamischen Modus führen zu keinem Kanal.

Aushandlungsparameter und Gruppenzuordnung

Jedes Gerät besitzt eine System-Priorität und jeder Port eine Port-Priorität. Die Werte sind standardmäßig vorgegeben und können vom Administrator verändert werden. Die Prioritäten beeinflussen, welcher Switch bei unterschiedlichen Konfigurationen die Führungsrolle im Kanal übernimmt und welche Ports bei Überschreitung der maximalen Kanalgröße als aktiv ausgewählt werden. Die Gruppenzugehörigkeit wird über die Kanalgruppennummer festgelegt. Ports, die derselben Kanalgruppe angehören und kompatible Modi besitzen, versuchen, einen gemeinsamen EtherChannel zu bilden. PAgP stellt sicher, dass alle Mitglieder dieselben Eigenschaften aufweisen, um Fehlkonfigurationen und Schleifen zu vermeiden.

Abgrenzung zu LACP

PAgP und das standardisierte Link Aggregation Control Protocol (LACP) nach IEEE 802.1AX erfüllen denselben Zweck, unterscheiden sich aber in wesentlichen Punkten.

Standardisierung: PAgP ist proprietär und nur auf Cisco-Geräten verfügbar. LACP ist ein offener, herstellerunabhängiger Standard, der von praktisch allen Switch- und Server-Betriebssystemen unterstützt wird.
Modi: PAgP kennt die Modi Auto und Desirable, LACP die Modi Passiv und Aktiv. Die Begriffe unterscheiden sich, die Funktionsweise ist ähnlich: Auto und Passiv verhalten sich passiv, Desirable und Aktiv initiieren die Aushandlung.
Verbreitung: In reinen Cisco-Umgebungen ist PAgP historisch weit verbreitet und einfach zu konfigurieren. In heterogenen Umgebungen und modernen Rechenzentren wird LACP bevorzugt, da es plattformübergreifend funktioniert.
Erweiterungen: LACP unterstützt detailliertere Kontrollmechanismen und ist Grundlage für Multi-Chassis-EtherChannel-Technologien wie VPC (Virtual Port Channel) von Cisco oder MC-LAG anderer Hersteller. PAgP kann nicht für solche multi-chassis-übergreifenden Szenarien verwendet werden.

Konfiguration und Verwaltung

Die Konfiguration von PAgP erfolgt auf der logischen Port-Channel-Schnittstelle und den zugehörigen physischen Ports. Der Administrator erstellt einen Port-Channel, weist ihm eine Nummer zu und konfiguriert die Betriebsparameter wie Trunk-Modus oder erlaubte VLANs. Anschließend werden die physischen Interfaces mit dem Befehl channel-group [nummer] mode und dem gewünschten Modus (auto oder desirable) diesem Kanal zugewiesen. Die Einstellungen des Port-Channels werden automatisch auf die Mitgliedsports vererbt. Das Kommando show pagp neighbor zeigt die über PAgP erkannten Nachbarn, show etherchannel summary gibt einen Überblick über den Status aller Kanäle und Mitglieder.

Fehlerszenarien und typische Probleme

Die häufigste Ursache für nicht zustande kommende PAgP-EtherChannels sind inkonsistente Konfigurationen der Mitgliedsports. Alle Ports müssen dieselbe Geschwindigkeit, denselben Duplex-Modus, identische VLAN-Einstellungen und dasselbe native VLAN aufweisen. Unterschiede führen dazu, dass PAgP den Port als inkompatibel einstuft und nicht in den Kanal aufnimmt. Auch eine falsche Moduskombination verhindert die Bündelung. Zwei Ports im Auto-Modus oder ein Port im On-Modus in Kombination mit einem dynamischen Modus verbleiben als eigenständige Links, ohne einen EtherChannel zu bilden.

Ein weiteres Problem entsteht, wenn ein Mitgliedsport ausfällt oder flattert. PAgP erkennt den Ausfall und entfernt den Port aus dem Kanal, der verbleibende Datenverkehr wird auf die verbliebenen Links umverteilt. Der ausgefallene Port muss manuell überprüft und gegebenenfalls reaktiviert werden, bevor er wieder in den Kanal aufgenommen werden kann.

Sicherheitsaspekte und Empfehlungen

PAgP birgt wie jedes automatische Aushandlungsprotokoll gewisse Sicherheitsrisiken. Ein Angreifer mit physischem Zugang zu einem Switch-Port könnte einen eigenen Switch anschließen und durch PAgP-Aushandlungen ungewollte EtherChannels bilden. Dies kann zu VLAN-Überschneidungen oder Denial-of-Service-Zuständen führen. Aus diesem Grund sollte PAgP nur auf Ports aktiviert sein, die bewusst als EtherChannel-Mitglieder vorgesehen sind. Ungenutzte Ports sind in den Access-Modus zu versetzen oder zu deaktivieren. Der statische On-Modus ohne jegliches Aushandlungsprotokoll bietet die höchste Sicherheit, erfordert aber manuelle Konfiguration und entbehrt der Fehlererkennung.

In modernen Netzen wird PAgP zunehmend durch LACP ersetzt. LACP ist der offene Standard, wird in heterogenen Umgebungen unterstützt und ist Voraussetzung für fortschrittliche Multi-Chassis-Bündelungen. Dennoch kann PAgP in reinen Cisco-Netzen, die bereits mit diesem Protokoll betrieben werden, weiterhin eine zuverlässige und einfache Methode zur Link-Aggregation darstellen.