Napatech Capture-SmartNICs: was passiert wirklich mit einem SFP+, das nicht auf der qualifizierten Liste steht
Wir betreiben Packet Capture auf einer Handvoll Napatech-Karten, und ich stelle gerade die Optikbestellung für das nächste Rack zusammen. Bevor ich irgendetwas ausgebe, will ich verstehen, was die Liste der qualifizierten Module in der Praxis wirklich bedeutet, denn der Wortlaut lässt Interpretationsspielraum.
- Napatech NT40E3 und NT20E3 Capture-Karten in den bestehenden Hosts
- Ein NT200A02, der in den neuen Build kommt
- Meist 10G-SFP+- und 25G-SFP28-Links, ein paar 40G-QSFP+ Richtung Aggregation-Layer
- Ein Regal voll Coherent FTLX8571D3BCL 10G-SFP+-Module bereits auf Lager
Was auf der Werkbank liegt:
NT40E3, NT20E3, NT200A02 - capture cards
FTLX8571D3BCL - 10G SR/LR SFP+ from stockBisher bin ich das Verzeichnis der qualifizierten Module durchgegangen, habe ein paar Teile gegen unsere Karten abgeglichen und mir für jedes die Spalte mit der Treiberversion angeschaut. Was ich immer noch nicht rausfinde, ist der Fehlermodus. Wenn ich ein mechanisch identisches SFP+, das nicht auf der Liste steht, in ein NT40E3 stecke: weist die Karte es zurück, so wie ein Switch mit EEPROM-Prüfung das täte, oder bleibt es einfach dunkel? Und andersrum: garantiert das Stehen auf der Liste überhaupt, dass das Modul angesteuert wird?
Comments 3
Kein EEPROM-Lock bei Napatech, das Switch-artige Ablehnungsszenario kannst du also streichen. Wir betreiben seit Jahren NT20E3 und ein NT40E3, und noch nie hat eine Karte ein Modul wegen eines Vendor-Codes ausgespuckt.
Was stattdessen existiert, ist ein Verzeichnis qualifizierter Pluggables, und das ist enger gefasst, als man erwarten würde. Drei Angaben pro Eintrag: welches Modul, gegen welche SmartNIC es getestet wurde, und das früheste Treiber-Release, das es unterstützt. Der dritte Punkt hat mich mal erwischt - ein Teil kann für genau deine Karte gelistet sein und unter einem älteren Treiber trotzdem nichts tun. Es gibt auch eine Spalte zur regulatorischen Sicherheit, und die liest sich nicht bei jedem Eintrag gleich. Dein FTLX8571D3BCL taucht in dieser Liste überall als qualifiziertes 10G-SR/LR-Teil auf, der Lagerbestand ist also ein sicherer Start.
Der Haken, nach dem du fragst, steckt in der Liste selbst. Gelistet ist nicht dasselbe wie angesteuert: ob ein Modultyp funktioniert, hängt vom Firmware-Image ab - was Napatech auf einer Turnkey-Karte ausliefert, oder was man sich auf einer Link-Programmable-Karte selbst baut. Ein mechanisch einwandfreies SFP+ kann also, gelistet oder nicht, dunkel bleiben, weil das Image es nie gelernt hat, nicht weil irgendetwas es abgelehnt hätte. Bei den Turnkey-Karten entscheiden die Datenblätter, nicht das Verzeichnis.
Genau das hatte ich falsch verstanden. Ich habe das Verzeichnis als Whitelist gelesen, die die Karte durchsetzt, dabei ist es eher eine Aussage darüber, was der Firmware beigebracht wurde anzusteuern. Zwei unserer Hosts sind Turnkey, und der neue NT200A02 kommt als Link-Programmable rein, das sind also zwei verschiedene Fragen, und ich behandle sie auch so: Datenblätter für das Turnkey-Paar, eigenes Image für die programmierbare Karte. Der FTLX8571D3BCL-Bestand deckt die 10G-Seite ab, und für die 25G-Links schaue ich mir die Spalte mit der Treiberversion an, bevor ich mich auf irgendwas festlege.
Gut zu wissen, wie unterschiedlich Hersteller das formulieren, denn die praktische Konsequenz ist nicht in jedem Fall dieselbe.
Extreme, dem inzwischen die Brocade-Linien SLX, VDX und MLX neben den eigenen Plattformen gehören, führt eine genehmigte Liste pro Produktfamilie. Die dazugehörige Policy-Notiz ist unverblümt: wer etwas Nicht-Genehmigtes einsteckt, Optiken oder die dazugehörigen Interface-Module, trägt die Konsequenzen allein - keine Garantie, keine Compliance-Aussage, keine Serviceverpflichtung wird zugesagt. Teile auf der Liste tragen eine Zertifizierung nach NRTL, FCC CFR 21 1040.10, CDRH, CE, EN60825-1 und/oder GR-468. Was sie nicht verrät: wie sich eine gegebene Box verhält, wenn man etwas Ungelistetes einsteckt.
Barracuda geht den umgekehrten Weg und führt gar keine Appliance-Whitelist, sondern stützt sich auf die Intel-Treiber-Testliste, weil die Annahme durch die NIC entschieden wird: ein ET076-Modul ist 4x 10GbE SFP+ auf einem Intel X710, also lehnt die Firewall ab, was der X710-Treiber ablehnt. Cisco blockiert auf der Firepower 2100 gar keine Nicht-Cisco-SFPs, rät nur davon ab, und TAC kann einen Interoperabilitätsfall mit einem solchen Modul ablehnen. Drei Policies, drei ziemlich unterschiedliche Fehlermodi.