《《网络管理与维护技术》-苏英如-电子教案 03第3章 交换机配置》由会员分享，可在线阅读，更多相关《《网络管理与维护技术》-苏英如-电子教案 03第3章 交换机配置（40页珍藏版）》请在金锄头文库上搜索。
1、网络管理与维护技术,主编 苏英如,中国水利水电出版社,【本章要点】 管理用VLAN、管理用IP参数、端口角色设置 端口（链路）捆绑、端口流控、端口与地址捆绑，端口 接入设备数控制 交换机间链路、VTP VLAN定义、端口VLAN设置、VLAN间路由 生成树状态查看方法、生成树性能优化 在第3层交换机上构建DHCP服务器 在第3层交换机上将IP地址与MAC地址绑定,第3章 交换机配置,3.1 交换机基本配置 3.2 VLAN 3.3 STP 3.4 在第3层交换机上配置DHCP服务 3.5 在第3层交换机上将IP地址与MAC地址绑定,第3章 交换机配置,3.1.1 管理用IP参数 3.1.2 端
2、口通信参数 3.1.3 端口角色转换 3.1.4 EtherChannel端口捆绑 3.1.5 端口流控 3.1.6 将地址捆绑至端口 3.1.7 限制端口可接入设备数,3.1 交换机基本配置,对一个LAN而言，一般应将所有交换机的管理IP地址设置在一个私有网段（如10.9.9.0/24）内，该IP子网的网关通常为第3层交换机上的虚拟端口VLAN1，如图3-1所示。 图3-1 设置管理用IP参数,3.1.1 管理用IP参数,S1(config)#int vlan 1 S1(config-if)#ip address 10.9.9.1 255.255.255.0 S1(config-if)#ex
3、it S1(config)#ip default-gateway 10.9.9.254,S0(config)#int vlan 1 S0(config-if)#ip address 10.9.9.254 255.255.255.0,场景如图3-1所示，要求： 设置交换机S1的f0/1f0/10的通信速度为100Mbps，通信模式为全双工； 将端口f0/11，f0/20f0/23定义为宏组，并在这些端口上启用Port Fast特性。 S1(config-if-range)#int range f0/1 10 S1(config-if-range)#speed 100 S1(config-if-r
4、ange)#duplex full S1(config)#define interface-range G1 fastEthernet 0/11 , f0/20 23 S1(config)#interface range macro G1 S1(config-if-range)#spanning-tree portfast,3.1.2 端口通信参数,对第3层交换机而言，其端口既可用做第2层端口，又可用做第3层端口。型号不同的交换机，端口的默认角色不同。 S0(config)#do sh run int f0/1 interface FastEthernet0/1 no switchport n
5、o ip address 根据配置信息，可知端口f0/1默认为第2层端口。,3.1.3 端口角色转换,1第2层端口捆绑 场景：交换机S0的端口f0/1、f0/2已经分别与S1的端口f0/1、f0/2连接。 要求：将上述2条信道捆绑为1条逻辑信道，以实现冗余和负载均衡。 S0(config)#int range f0/1 - 2 S0(config-if-range)#channel-group 1 mode on S0(config-if-range)#Z S0#sh etherchannel load-balance Source MAC address S0#conf t S0(confi
6、g)#port-channel load-balance dst-mac,3.1.4 EtherChannel端口捆绑,2第3层端口捆绑 场景：交换机S0的第3层端口g1/0/11、g1/0/12已经分别与S1的第3层端口g1/0/11、g1/0/12连接。 要求：将上述2条信道捆绑为1条逻辑信道，以实现冗余和负载均衡。 设置方法与第2层EtherChannel类似。需要注意的是成员端口不能设置IP参数，配置完成后，所生成的逻辑端口为第3层端口，功能与普通的第3层端口相同（如：可为其设置IP参数）。 S0(config)#int range g1/0/11 - 12 S0(config-if-
7、range)#no switchport S0(config-if-range)# no ip address S0(config-if-range)# channel-group 1 mode on S0(config-if-range)#Z S0(config)#port-channel load-balance src-dst-ip,3.1.4 EtherChannel端口捆绑,交换机的许多端口（尤其是第2层端口）与用户设备直接相连。屏蔽来自用户设备的“不和谐”报文，有助于净化网络流量，提高速度。 通常，抑制广播报文是最常见的，有时，也需要限制单播或组播报文。 流控功能的强弱、语法与设备
8、密切相关。 以WS-C2960-48TC-L+IOS Ver 12.2平台为例： 1抑制广播报文 S(config)#int f0/24 S(config-if)#storm-control broadcast level 50 30 2抑制单播报文 S(config)#int f0/25 S(config-if)#storm-control unicast level bps 50m 30m 3抑制组播报文 S(config)#int f0/26 S(config-if)#storm-control action shutdown S(config-if)#storm-control mul
9、ticast level pps 4000 2000,3.1.5 端口流控,捆绑MAC地址至端口，可增强接入环节的安全性；捆绑IP地址至端口，一般用于防止因用户私设IP地址而引发冲突。 1捆绑MAC地址 直接指定端口对应的MAC地址。 设置交换模式，启用端口安全特性。默认交换模式为“dynamic auto”，不支持“port-security”。 指定端口可接受的MAC地址数量、违规处理方式、可信任MAC地址。默认的违规处理方式为“shutdown”，在“protect”方式下，与非信任MAC地址有关的流量，将被滤除。,3.1.6 将地址捆绑至端口,S(config)#mac access-
10、list extended p07 S(config-ext-macl)#permit host 0030.6e00.10d3 any S(config-ext-macl)#exit S(config)#int g0/7 S(config-if)#mac access-group p07 in 只能用于in方向上。,也可以用另一方法实现port-security： S0(config)#int f0/1 S0(config-if)#switchport mode access S0(config-if)# switchport port-security ,S0(config-if)#swit
11、chport port-security maximum 2 S0(config-if)#switchport port-security violation protect S0(config-if)#switchport port-security mac-address 0030.6e00.10d4 S0(config-if)#switchport port-security mac-address 0030.6e00.10d5,2捆绑IP地址 只允许IP地址在区间118.230.167.134，118.230.167.148上的设备接入，怎样设置？ ip access-list sta
12、ndard acl-p24 permit 118.230.167.148 permit 118.230.167.135 permit 118.230.167.134 permit 118.230.167.136 0.0.0.7 permit 118.230.167.144 0.0.0.3 只能用于in方向 interface FastEthernet0/24 switchport access vlan 676 ip access-group acl-p24 in 在第2层交换机上，解析第3层协议系扩展功能，因此，某些版本的IOS（如标准IOS）不支持该功能。,3.1.6 将地址捆绑至端口,3
13、.1.7 限制端口可接入设备数,有时需要控制端口可接入的设备数量，但并不关心所接设备的MAC地址。 场景之一： 交换机S1的f0/10端口，最多允许接入2台设备。若有违规，则关闭端口。 S1(config)#int f0/10 S1(config-if)#switchport mode access S1(config-if)#switchport port-security maximum 2 S1(config-if)#switchport port-security mac-address sticky S1(config-if)#switchport port-security vio
14、lation shutdown 场景之二： 交换机S1的f0/11端口，最多允许接入2台设备。若有违规，则与违规接入设备有关的流量将被丢弃。 更改违规方式为“protect”即可,3.2 VLAN,VLAN（Virtual LAN，虚拟局域网）技术用于缩小广播域，增强安全性，提高控制灵活性。一般可将VLAN理解为以太网上一组物理端口的集合。 图3-2 VLAN场景 在该场景中，交换机S0的端口f0/1-8、S1的f0/1-4构成了VLAN 227；S0的f0/13-20、S1的端口f0/11-14构成了VLAN 228。,VLAN配置过程和方法： 1配置交换机间链路Trunk 2配置VTP 3
15、定义VLAN 4将端口分配至VLAN中 5配置VLAN间路由,3.2 VLAN,与交换机级联链路类似，Trunk用于在交换机间传输流量； 与交换机级联链路不同，因VLAN跨越了交换机，为识别流量所属的 VLAN，发送至Trunk的流量必须按某种格式进行封装。 封装格式（协议）有二： Cisco私有协议ISL（交换机间链路）和IEEE 802.1Q。为兼容非Cisco设备，一般选用后者。 在图3-2中，两交换机的F0/24端口间的物理连接完成后，交换机S0的Trunk设置步骤如下： S0(config)#int f0/24 S0(config-if)#switchport mode trunk
16、S0(config-if)#switchport trunk encapsulation dot1q S0(config-if)#Z S0#sh int f0/24 trunk,1配置交换机间链路Trunk,2配置VTP,VTP（VLAN Trunking Protocol，VLAN中继协议）是Cisco的私有协议，该协议用于简化VLAN定义、配置过程。 对图3-2而言，若不运行该协议，则VLAN227和VLAN228需在两台交换机上进行定义。若配置了VTP，则每个VLAN只需定义一次，便全局有效。 在VTP域中，交换机可工作在服务器、客户机或透明模式下。 在服务器模式下，交换机接收并传播VTP通告，并据以更新VLAN设置；用户可创建、修改VLAN，有关信息将被以通告的形式传遍整个VTP域； 在客户机模式下，交换机被动地接收并传播VTP通告，并更新VLAN设置，但不能修改全局性的VLAN信息。 在透明模式下，交换机不参与VTP操作，只是简单转发VTP通告，透明模式很少使用。,2配置VTP,作为VTP
