第八章實(shí)驗(yàn)講義交換機(jī)基本配置端口安全與STP

精選文檔精選文檔PAGE精選文檔

第12章互換機(jī)基本配置

互換機(jī)是局域網(wǎng)中最重要的設(shè)施，互換機(jī)是鑒于MAC來(lái)進(jìn)行工作的。和路由器近似，互換機(jī)也有IOS，IOS的基本使用方法是同樣的。本章將簡(jiǎn)單介紹互換的一些基本配置。對(duì)于VLAN和Trunk等將在后邊章節(jié)介紹。

12.1互換機(jī)簡(jiǎn)介

互換機(jī)是第2層的設(shè)施，能夠隔絕矛盾域?；Q機(jī)是鑒于收到的數(shù)據(jù)幀中的源MAC地

址和目的MAC地點(diǎn)來(lái)進(jìn)行工作的?；Q機(jī)的作用主要有兩個(gè)：一個(gè)是保護(hù)CAM（Conetxt

AddressMemory）表，該表是計(jì)算機(jī)的MAC地點(diǎn)和互換端口的映照表；另一個(gè)是依據(jù)CAM

來(lái)進(jìn)行數(shù)據(jù)幀的轉(zhuǎn)發(fā)?；Q對(duì)幀的辦理有3種：互換機(jī)收到幀后，查問(wèn)CAM表，假如能查

詢到目的計(jì)算機(jī)所在的端口，而且目的計(jì)算機(jī)所在的端口不是互換接收幀的源端口，互換機(jī)

將把幀從這一端口轉(zhuǎn)發(fā)出去（Forward）；假如該計(jì)算機(jī)所在的端口和互換機(jī)接收幀的源端口

是同一端口，互換機(jī)將過(guò)濾掉該幀（Filter）；假如互換機(jī)不可以查問(wèn)到目的計(jì)算機(jī)所在的端口，

互換機(jī)將把幀從源端口之外的其余所有端口上發(fā)送出去，這稱為泛洪（Flood），當(dāng)互換機(jī)接收到的幀是廣播幀或多播幀，互換機(jī)也會(huì)泛洪幀。

12.2實(shí)驗(yàn)0：互換機(jī)基本配置

1.實(shí)驗(yàn)?zāi)康?

經(jīng)過(guò)本實(shí)驗(yàn)，能夠掌握互換機(jī)的基本配置這項(xiàng)技術(shù)。

2.實(shí)驗(yàn)拓?fù)?/p>

實(shí)驗(yàn)拓?fù)鋱D如圖12-2所示。

圖12-2實(shí)驗(yàn)1拓?fù)鋱D

3.實(shí)驗(yàn)步驟

1）步驟1：經(jīng)過(guò)PC0以Console方式登錄互換機(jī)Switch0.注意配置PC0上的終端.

登錄成功后,經(jīng)過(guò)PC0配置互換機(jī)Switch0的主機(jī)名

Switch>enable

Switch#confterminal

Enterconfigurationcommands，oneperline.EndwithCNTL/ZSwitch(config)#hostnameS1

2）步驟2：配置telnet密碼和enable密碼.

S1(config)#enablesecretcisco

S1(config)#linevty015

S1(config-line)#passwordcisco

S1(config-line)#login

（3）步驟3：接口基本配置

默認(rèn)時(shí)，互換機(jī)的以太網(wǎng)接口是開(kāi)啟的，對(duì)于互換機(jī)的以太網(wǎng)口能夠配置其雙工模式和速率等。

S1(config)#interfacef0/1

S1(config-if)#duplexauto

//duplex來(lái)用配置接口的雙工模式,參數(shù)包含：full——全雙工；half——半雙工；auto——自動(dòng)檢測(cè)雙工的模式

S1(config-if)#speedauto

//speed命令用來(lái)配置互換機(jī)的接口速度，,參數(shù)包含:10——10Mbps；100——100Mbps；1000

——1000Mbps；auto——自動(dòng)檢測(cè)接口速度（4）步驟4：配置管理地點(diǎn)褲塋獻(xiàn)樣喲朮締墊駁織殼僂惡?jiǎn)T邁?；Q機(jī)也同意被

口上配置的,以下：

Telnet，這時(shí)需要在互換機(jī)上配置一個(gè)

IP地點(diǎn)，這個(gè)地點(diǎn)是在

Vlan

接

S1(config)#intvlan1

S1(config-if)#ipaddress172.16.0.1255.255.0.0

S1(config-if)#noshutdown

S1(config)#ipdefault-gateway172.16.0.254屢躚飭躓穡闥聞漿擰撐棗錒鑌華剛。//以上在VLAN1接口上配置了管理地點(diǎn)，接在VLAN1上的計(jì)算機(jī)能夠直接進(jìn)行

地點(diǎn)。為了其余網(wǎng)段的用戶能夠Telnet互換機(jī)，在互換上配置了默認(rèn)網(wǎng)關(guān)。

自行測(cè)試,實(shí)現(xiàn)經(jīng)過(guò)PC2以telnet方式登錄互換機(jī)Switch0縷瑤騸喬琿雙騍詼漚輔缽戩曄蕷颮。

Telnet

該

（5）步驟5:保留配置

S1#copyrunning-configstartup-config

Destination[startup-config]?

Buildingconfiguration...

［OK］

12.3實(shí)驗(yàn)1：互換機(jī)端口安全

1.實(shí)驗(yàn)?zāi)康?/p>

經(jīng)過(guò)本實(shí)驗(yàn)，讀者能夠掌握以下技術(shù)：

①理解互換機(jī)的CAM表；

②理解互換機(jī)的端口安全；

③配置互換的端口安全特征。

2.實(shí)驗(yàn)拓?fù)?/p>

實(shí)驗(yàn)拓?fù)鋱D如圖12-3所示。銬皚寢錆鐔點(diǎn)闐冑饃廳嶗錠詢圍轡。圖12-3實(shí)驗(yàn)2拓?fù)鋱D

3.實(shí)驗(yàn)步驟互換機(jī)端口安全特征能夠讓我們配置互換機(jī)端口，使適當(dāng)擁有非法MAC入時(shí)，互換時(shí)機(jī)自動(dòng)封閉接口或許拒絕非法設(shè)施接入，也能夠限制某個(gè)端口上最大的地點(diǎn)數(shù)。在這里限制f0/1接口只同意R1接入。嘰賺鉬夾繭鵂體饞趕師韙靄嬈蠟躍。

地點(diǎn)的設(shè)施接

MAC

（1）步驟

1：檢查

R1

的

f0/0

接口的

MAC

地點(diǎn)

R1(config)#intf0/0R1(config-if)#noshutdown

R1(config-if)#ipaddress172.16.0.101255.255.0.0

R1#showintf0/0

（此處省略）

//記下你看到f0/0接口的Mac地點(diǎn)，寫(xiě)到實(shí)驗(yàn)報(bào)告

（2）步驟2：配置互換端口安全

S1(config)#intf0/1

S1(config-if)#shutdown

S1(config-if)#switchportmodeaccess

//以上命令把端口改為接見(jiàn)模式，即用來(lái)接入計(jì)算機(jī)，在下一章將詳盡介紹該命令的含義

S1(config-if)#switchportport-security

//以上命令是翻開(kāi)互換機(jī)的端口安全功能

S1(confg-if)#switchportport-securitymaximum1

//以上命令只同意該端口下的MAC條目最大數(shù)目為1，即只同意一個(gè)設(shè)施接入

S1(config-if)#switchportport-securityviolationshutdown闖藹閭蘄僨鏍鯔髕蓽鈰廄釃擄釤鐨。//“switchport-securityviolation{protect|shutdown|restrict}protect:當(dāng)新的計(jì)算機(jī)接入時(shí)，假如該接口的MAC備劇餛薌鍵縫煉纜獅朧俁繡國(guó)賦龜。

”命令含義以下：

條目超出最大數(shù)目，則這個(gè)新的計(jì)算

機(jī)將沒(méi)法接入，而原有的計(jì)算機(jī)不受影響；

shutdown:當(dāng)新的計(jì)算機(jī)接入時(shí)，假如該接口的MAC條目超出最大數(shù)目，則該接口將會(huì)

被封閉，則這個(gè)新的計(jì)算機(jī)和原有的計(jì)算機(jī)都沒(méi)法接入，需要管理員使用”noshutdown”

命令從頭翻開(kāi)；

restrict:當(dāng)新的計(jì)算機(jī)接入時(shí)，假如該接口的MAC條目超出最大數(shù)目，則這個(gè)新的計(jì)算

機(jī)能夠接入，但是互換機(jī)將向發(fā)送警示信息。鋁啟壞礬朧閘嚕鈞曉決諷漬綴貫計(jì)。S1(config-if)#switchportport-securitymac-address0001.6381.6cce(此處填你看到的R1的

f0/0接口的Mac地點(diǎn))

//同意R1路由器從f0/1接口接入

S1(config-if)#noshutdown

S1(config)#intvlan1

S1(config-if)#noshutdown

S1(config-if)#ipaddress172.16.0.1255.255.0.0

//以上配置互換機(jī)的管理地點(diǎn)

（3）步驟3：檢查MAC地點(diǎn)表

S1#showmac-address-table藥鎰癘鴨攝镕憤渙殯喬慣覓唄習(xí)濘。

MacAddressTable

Switch#shmac-address-table

MacAddressTable

鍘盜驥竄諱釧灃擔(dān)鍋鑷鋟癉錕風(fēng)誣。Vlan

MacAddress

Type

Ports

1

0001.6381.6cce

STATIC

Fa0/1

//R1

的MAC

已經(jīng)被登記在

f0/1

接口，而且表示是靜態(tài)加入的

（4）步驟

4：模擬非法接入

這時(shí)從

R1ping

互換機(jī)的管理地點(diǎn)，能夠

ping

通，以下：

R1#ping172.16.0.1

Typeescapesequencetoabort.

Sending5，100-byteICMPEchosto172.16.0.1，timeoutis2seconds;?。。。?！

Successrateis100percent(5/5)，round-tripmin/avg/max=1/1/4ms

覽馱銳鳳俁適幗閭閭罌約覬齷鈿鎔。在R1上改正f0/0的MAC地點(diǎn)為另一個(gè)地點(diǎn)，模擬是此外一臺(tái)設(shè)施接入，以下：

R1(config)#intf0/0

R1(config-if)#mac-address12.12.12

黷幣鍛橋癬騏喲搶鏑躑賧鈺銀測(cè)腡。幾秒鐘后，則在S1上出現(xiàn)：

%LINEPROTO-5-UPDOWN:LineprotocolonInterfaceVlan1,changedstatetodown//以上提示f0/1接口被封閉

靈袞嚙滎詁襪橫絢興讒蕢鵓還誡閨。R1#ping172.16.0.1

(將該命令的履行結(jié)果寫(xiě)到實(shí)驗(yàn)報(bào)告)

當(dāng)非法設(shè)施移除后(把路由器的f0/0接口的MAC地點(diǎn)改正為本來(lái)的0001.6381.6cce，模

擬這一場(chǎng)景)，在互換機(jī)f0/1接口下，履行”shutdown”和”noshutdown”命令能夠從頭翻開(kāi)該接口。

鹼視唄勱謙躉蝕寵醬組趲葦躡賾煩。R1#ping172.16.0.1

(將該命令的履行結(jié)果寫(xiě)到實(shí)驗(yàn)報(bào)告)

4.實(shí)驗(yàn)調(diào)試

S1#showport-security厴術(shù)歿漢橫貽歟箋馴鉞犖脫亂墜濁。SecurePortMaxSecureAddr

CurrentAddrr

SecurityViolation

SecurityAction

Count）（Count）（Count）

聾湊縲傳櫥鄧覺(jué)價(jià)擊橫羨門陽(yáng)頌鵯。Fa0/1110ShutdownTotalAddressesinSystem(excludingonemacperport)：0MaxAddresseslimitinSystem(excludingonemacperport)：6272//以上能夠查察端口安全的設(shè)置狀況第13章:STP生成樹(shù)協(xié)議

13.1STP簡(jiǎn)介

為了增添局域網(wǎng)的冗余性，我們經(jīng)常會(huì)在網(wǎng)絡(luò)中引入冗余鏈路，但是這樣卻會(huì)惹起互換環(huán)路?；Q環(huán)路會(huì)帶來(lái)3個(gè)問(wèn)題：廣播風(fēng)暴、同一幀的多個(gè)拷貝以及互換機(jī)CAM表不穩(wěn)固。

STP（STP，SpanningTreeProtocol）能夠解決這些問(wèn)題，STP基本思路是阻斷一些互換機(jī)接

賾綻鯁淵駑貢蕎鍛懶顏丟髏鎂潰財(cái)?？?，建立一棵沒(méi)有環(huán)路的轉(zhuǎn)發(fā)樹(shù)。STP利用BPDU（BridgeProtocolDataUnit）和其余互換機(jī)進(jìn)行通訊，進(jìn)而確立哪個(gè)互換機(jī)該阻斷哪個(gè)接口。在BPDU中有幾個(gè)重點(diǎn)的字段，比如：根橋ID、路徑代價(jià)和端口ID等。為了在網(wǎng)絡(luò)中形成一個(gè)沒(méi)有環(huán)路的拓?fù)洌W(wǎng)絡(luò)中的互換機(jī)要進(jìn)行以下3個(gè)步驟：①選舉根橋，②選用根端口，③選用指定端口。在這些步驟中，哪個(gè)互換機(jī)能獲勝將取決于以下因素（按次序進(jìn)行）：①最低的根橋ID；②最低的根路徑代價(jià)；③最低發(fā)送都橋ID；④最低發(fā)送者端口ID。每個(gè)互換機(jī)都擁有一個(gè)獨(dú)一的橋ID，這個(gè)ID由兩部分構(gòu)成：網(wǎng)橋優(yōu)先級(jí)+MAC地點(diǎn)。網(wǎng)橋優(yōu)先級(jí)是一個(gè)2字節(jié)的數(shù)，互換機(jī)的默認(rèn)優(yōu)先級(jí)為32768；MAC地點(diǎn)就是互換機(jī)的MAC地點(diǎn)。擁有最低橋ID的互換機(jī)就是根橋。根橋上的接口都是指定端口，會(huì)轉(zhuǎn)發(fā)數(shù)據(jù)包。選舉了根橋后，其余的互換就成為了非根橋。每臺(tái)非根橋要選舉一條到根橋的根路徑。STP使用路徑Cost來(lái)決定抵達(dá)根橋的最正確路徑（Cost是累加的，帶寬大的鏈路Cost低），最低Cost值的路徑就是根路徑，該接口就是根端口；假如Cost同樣，就依據(jù)選舉次序選舉根口。根端口轉(zhuǎn)發(fā)數(shù)據(jù)包?；Q機(jī)的其余接口還要確立是不是指定端口，互換機(jī)將進(jìn)一步根據(jù)上邊的四個(gè)因向來(lái)競(jìng)爭(zhēng)。指定口是轉(zhuǎn)發(fā)數(shù)據(jù)幀的。剩下的其余的接口將被阻斷，不轉(zhuǎn)發(fā)數(shù)據(jù)包。這樣網(wǎng)絡(luò)就建立出一棵沒(méi)有環(huán)路的轉(zhuǎn)發(fā)樹(shù)。當(dāng)網(wǎng)絡(luò)的拓?fù)浒l(fā)生變化時(shí)，網(wǎng)絡(luò)會(huì)從一個(gè)狀態(tài)向另一個(gè)狀態(tài)過(guò)渡，從頭翻開(kāi)或阻斷某些接口?；Q機(jī)的端口要經(jīng)過(guò)幾種狀態(tài)：禁用（Disable）、堵塞（Blocking）、監(jiān)聽(tīng)狀態(tài)Listenning）和學(xué)習(xí)狀態(tài)（Learning），最后是轉(zhuǎn)發(fā)狀態(tài)（Forwarding）。

13.2實(shí)驗(yàn)2:STP實(shí)驗(yàn)

一、配置實(shí)例拓?fù)鋱D墮鯽蔭擲談礱儂涼滿訂儂訶鵠氳瀕。圖一

兩臺(tái)Cisco2960互換機(jī)使用兩個(gè)千兆端口相連，默認(rèn)狀況下STP協(xié)議啟用的。經(jīng)過(guò)兩臺(tái)互換機(jī)之間傳遞BPDU協(xié)議數(shù)據(jù)單元，選出根互換機(jī)、根端口等，以便確立端口的轉(zhuǎn)發(fā)狀態(tài)。上圖中標(biāo)志為黃色的端口處于block狀態(tài)。注意將你的互換機(jī)名取為：姓名全拼0、姓名全拼1。

棗嶸鵬恒憐壟鷸蝸尋縊蛻嫻濰瘍懟。二、STP基本配置命令

1、第一在兩個(gè)互換機(jī)上分別運(yùn)轉(zhuǎn)showspanning-tree,剖析根橋的選舉依照。

Switch0#shspanning-tree

(將履行該命令的履行結(jié)果拷屏

,寫(xiě)到實(shí)驗(yàn)報(bào)告

)

Switch1#showspanning-tree

(將履行該命令的履行結(jié)果拷屏

,寫(xiě)到實(shí)驗(yàn)報(bào)告

)

（剖析結(jié)果

,誰(shuí)是根橋?為何選舉它為根橋

?寫(xiě)入報(bào)告）

2、改正BrigdeID，從頭選根網(wǎng)橋

switch1(config)#spanning-treevlan1priority4096

優(yōu)先級(jí)能夠被設(shè)置為0-61440范圍內(nèi)的值，數(shù)值以4096遞加；

Switch1(config)#end

Switch1#

%SYS-5-CONFIG_I:Configuredfromconsolebyconsole嚌遙氫穢繅蘆琿斂硤淪雛鶯慳懾譽(yù)。Switch1#shspanning-tree(將履行該命令的履行結(jié)果拷屏,寫(xiě)到實(shí)驗(yàn)報(bào)告

)

Switch0#shspanning-tree

(將履行該命令的履行結(jié)果拷屏

,寫(xiě)到實(shí)驗(yàn)報(bào)告

)

(剖析結(jié)果,誰(shuí)是根橋?為何選舉它為根橋?)

互換機(jī)端口優(yōu)先級(jí)值改正命令是：

switch(config-if)spanning-treevlanvlan-idport-priority優(yōu)先級(jí)值韻蠣擲塤絞諄緙鴯隴約陣謀歲訣塒。

經(jīng)過(guò)改正端口優(yōu)先值能夠改變根橋，也能夠改正端口的轉(zhuǎn)發(fā)狀態(tài)。

3、查察、查驗(yàn)STP（生成樹(shù)協(xié)議）配置的常用命令：

switch#showspanning-tree

switch#showspanning-treevlanvlanid//每個(gè)VLAN生成一棵STP樹(shù)

比方在互換機(jī)上運(yùn)轉(zhuǎn)：

Switch0#shspanning-treevlan1

VLAN0001

Spanningtreeenabledprotocolieee

RootIDPriority4097

Address0090.0CCC.2AB5

Cost4

Port25(GigabitEthernet1/1)

HelloTime2secMaxAge20secForwardDelay15sec

澮釁終逕鎂監(jiān)膽擲膚鷥鋏護(hù)彥匯烴。BridgeIDPriority32769(priority32768sys-id-ext1)

Address0030.F2E4.E734

HelloTime2secMaxAge20secForwardDelay15sec

AgingTime20

妝禎吶擾縑奧將會(huì)縶驤親隱對(duì)鈀鏡。InterfaceRoleStsCostPrio.NbrType

Gi1/2AltnBLK4128.26P2p

Gi1/1RootFWD4128.25P2p

Fa0/1DesgFWD19128.1P2p

Fa0/2DesgFWD19128.2P2p

饉鶻穌滾著駱裊緡箋謬槨遙鸛摳拋。選作：實(shí)驗(yàn)：區(qū)分VLAN

實(shí)驗(yàn)?zāi)康?/p>

經(jīng)過(guò)本實(shí)驗(yàn)，讀者能夠掌握以下技術(shù)：

①熟習(xí)VLAN的創(chuàng)立；

②把互換機(jī)接口區(qū)分到特定VLAN

實(shí)驗(yàn)拓?fù)錅u總蝕膠別銫皚鑄紱嬤結(jié)齡纏蹣騍。實(shí)驗(yàn)拓?fù)鋱D如圖13-2所示。圖13-2實(shí)驗(yàn)1拓?fù)鋱D

實(shí)驗(yàn)步驟

要配置VLAN，第一要?jiǎng)?chuàng)立VLAN，而后把互換機(jī)的端口區(qū)分到特定的端口上。實(shí)驗(yàn)步驟以下:

(1)在區(qū)分VLAN前，依照?qǐng)D13-2所示配置路由器R1和R2的f0/0接口的IP，從R1ping

192.168.12.2進(jìn)行測(cè)試。

默認(rèn)時(shí)，互換機(jī)的所有接口都在VLAN1上，R1和R2應(yīng)能夠通訊。

(2)在S1上創(chuàng)立VLAN。

S1(config)#vlan2

S1(config-vlan)#nameVLAN2

S!(config-vlan)#exit

//以上創(chuàng)立VLAN，2就是VLAN的編號(hào)，VLAN號(hào)的范圍為1~1001，VLAN2是該VLAN

的名字

S1(config)#vlan3

S1(config-vlan)#nameVLAN3

//以上創(chuàng)立VLAN，3就是VLAN的編號(hào)，VLAN號(hào)的范圍為1~1001，VLAN3是該VLAN

的名字

【提示】

互換機(jī)中的VLAN信息寄存在獨(dú)自的文件中flash:vlan.dat，所以假如要完整消除互換機(jī)的

配置，除了使用”erasestarting-config”命令外，還可使用”deleteflash:vlan.dat”

命令把VLAN數(shù)據(jù)刪除。

(3)把端口區(qū)分在VLAN中,此中f0/1區(qū)分到VLAN2,f0/2區(qū)分到VLAN3:

S1(config)#interfacef0/1

S1(config-if)#switchportmodeaccess

//把互換機(jī)端口的模式改為access模式，說(shuō)明該端口是用于連結(jié)計(jì)算機(jī)的，而不是用于Trunk

S1(config-if)#switchportaccessvlan2

//把該端口f0/1區(qū)分到VLAN2中

霧貳曄叢蔣療論驁癢倉(cāng)鰈決紓廬鴻。S1(config)#interfacef0/2

S1(config-if)#switchportmodeaccess

S1(config-if)#switchportaccessvlan3

【提示】

默認(rèn)時(shí)，所有互換機(jī)接口都在VLAN1上，VLAN1是不可以刪除的。假如有多個(gè)接口需要區(qū)分到同一VLAN下，也能夠采納以下命令節(jié)儉時(shí)間:

S1(config)#interfacerangef0/2-3

S1(config-if-range)#switchmodeaccess

S1(config-if-range)#switchaccessvlan2

【提示】

假如要?jiǎng)h除VLAN，使用”novlan2”命令即可。刪除某一VLAN后，要記得把該VLAN

上的端口從頭區(qū)分到其余VLAN上，不然將致使端口的”消逝”。顯奐盞將閑攤錐輦騰運(yùn)戇訌資蔣氈。實(shí)驗(yàn)調(diào)試(1)查察VLAN:使用”showvlan”或許”showvlanbrief”命令查察VLAN信息，以及每個(gè)VLAN上有什么端口。要注意這里只好看到的是本互換機(jī)上哪