思科Catalyst交換機最佳技術(shù)實踐

思科Catalyst交換機最佳技術(shù)實踐技術(shù)創(chuàng)新，變革未來什么是最佳實踐？經(jīng)過眾多復(fù)雜網(wǎng)絡(luò)環(huán)境實踐檢驗的最佳解決方案在統(tǒng)計上覆蓋面最廣因而風險最低的解決方案通過犧牲一定程度的靈活性換取確定性結(jié)果的簡單解決方案易于管理的解決方案以及網(wǎng)絡(luò)運營團隊配置的解決方案促進高可用性和高穩(wěn)定性的解決方案準備工作背景信息主要基于運行IOS軟件的Catalyst6500和4500系列交換機大部分信息同時適用于所有Catalyst交換機本文檔內(nèi)容來自于：/cisco/web/support/CN/107/1079/1079581_185.html關(guān)于VLAN1所有交換機的端口默認歸屬于VLAN1，默認所有Trunk鏈路都包含VLAN1更改VLAN1中包含端口的2個原因：當VLAN1的范圍大得足以影響穩(wěn)定性時需要將VLAN1上的控制平面數(shù)據(jù)與用戶數(shù)據(jù)分開，以便簡化故障排除并減少對CPU影響關(guān)于VLAN1（續(xù)）CDP、VTP和PAgP更新總是在帶有VLAN1標記的中繼上轉(zhuǎn)發(fā)，即使已將VLAN1從中繼清除DTP數(shù)據(jù)包總是在VLAN1（ISL）或NativeVLAN（Dot1q）中傳遞在PVST+中，除非VLAN1已經(jīng)從中繼清除，否則會在CSTVLAN1上以untag的格式轉(zhuǎn)發(fā)802.1QIEEEBPDU，以便與其他廠商產(chǎn)品互操作關(guān)于VLAN1（續(xù)）對于所有其他VLAN，將發(fā)送CiscoPVST+BPDU并對其進行標記802.1s多生成樹(MST)BPDU始終在ISL和802.1Q中繼上的VLAN1中發(fā)送，即使VLAN1已經(jīng)從中繼清除標準功能關(guān)于VTP協(xié)議VTP在整個網(wǎng)絡(luò)范圍內(nèi)管理VLAN的添加、刪除和重命名，以維護VLAN配置的一致性服務(wù)器上每發(fā)生一次更改，VTP配置修訂號就加1，然后該表將在整個域中傳播您可以將大多數(shù)Catalyst交換機配置為在下列任一VTP模式下運行：服務(wù)器客戶端透明關(guān)于VTP協(xié)議（續(xù)）一臺新交換機的VTP初始設(shè)置：功能默認值VTPDOMAINNAME空VTP模式ServerVTP版本Version1VTP修剪取決于軟件版本IOS軟件中的VTP操作VLAN信息分別保存在startup-config和vlan.dat文件中如需備份配置文件，應(yīng)同時備份vlan.dat文件VTP和擴展VLANextendsystemID用于支持802.1Q標準的4096個VLAN，可節(jié)省交換機上MAC地址ID大于1005的VLAN不會通過VTP傳播VLAN范圍用法是否通過VTP傳播？0，4095保留僅供系統(tǒng)使用。您看不到或無法使用這些VLAN。1正常Cisco默認值。您可以使用此VLAN，但是不能刪除它。是2-1001正常適用于以太網(wǎng)VLAN?？梢詣?chuàng)建、使用和刪除這些VLAN。是1002-1005正常FDDI和令牌環(huán)的Cisco默認值。無法刪除VLAN1002-1005。是1006-4094保留僅適用于以太網(wǎng)VLAN。否VTP和擴展VLAN（續(xù)）Catalyst6000/6500和Catalyst4000/4500交換機支持1024個或64個MAC地址，具體取決于機箱類型默認情況下，具有1024個MAC地址的Catalyst交換機不啟用擴展系統(tǒng)ID，MAC地址按順序分配默認情況下，具有64個MAC地址的機箱啟用擴展系統(tǒng)ID，該功能無法禁用VTP和擴展VLAN（續(xù)）對于具有1024個MAC地址的Catalyst系列交換機，啟用擴展系統(tǒng)ID能夠支持在PVST+下運行的4096個VLAN或16個MISTP實例具有唯一標識符，而不增加交換機上所需的MAC地址的數(shù)量擴展系統(tǒng)ID將STP需要的MAC地址數(shù)量從每個VLAN或MISTP實例一個減少到每臺交換機一個。啟用擴展系統(tǒng)ID以有效利用擴展范圍VLAN時，需要在同一個STP域內(nèi)的所有交換機上啟用該功能快速以太網(wǎng)自動協(xié)商針對任何終端設(shè)備，首選自動協(xié)商針對以下對象禁用自動協(xié)商（保留意見）：支持網(wǎng)絡(luò)基礎(chǔ)架構(gòu)設(shè)備（如交換機和路由器）的端口其他非臨時終端系統(tǒng)，例如服務(wù)器和打印機自動協(xié)商參數(shù)中，speed參數(shù)具有更高優(yōu)先級千兆以太網(wǎng)自動協(xié)商GE光纖端口自動協(xié)商不涉及協(xié)商端口速度僅在以下情況禁用自動協(xié)商：在與不支持協(xié)商的設(shè)備連接的交換機端口上因為互操作性問題導(dǎo)致連接問題時GE銅纜端口禁用自動協(xié)商后會同時禁用線序檢測功能下面接口命令確保啟用自動協(xié)商功能：nospeed下面接口命令用來禁止自動協(xié)商功能：speednonegotiate動態(tài)中繼協(xié)議(DTP)模式功能是否傳輸DTP幀？最終狀態(tài)（本地端口）DynamicAuto使端口愿意將鏈路轉(zhuǎn)換為中繼。如果鄰接端口設(shè)置為on或desirable模式，那么該端口將變成中繼端口。是，定期建立中繼Trunk將端口置于永久trunking模式，并通過協(xié)商把鏈路轉(zhuǎn)換成中繼。該端口成為中繼端口，即使其鄰接端口不同意此更改。是，定期Trunking，無條件Nonegotiate將端口置于永久trunking模式，但是不允許端口生成DTP幀。必須將鄰接端口手動配置為中繼端口，才能建立中繼鏈路。這對不支持DTP的設(shè)備非常有用。否Trunking，無條件Dynamicdesirable使端口主動嘗試將鏈路轉(zhuǎn)換成中繼鏈路。如果鄰接端口設(shè)置為on、desirable或auto模式，那么該端口將變成中繼端口。是，定期僅當遠程模式為on、auto或desirable時，才會最終處于trunking狀態(tài)。access將端口置于永久non-trunking模式，然后通過協(xié)商將鏈路轉(zhuǎn)換成非中繼鏈路。該端口成為非中繼端口，即使其鄰接端口不同意此更改。在穩(wěn)定狀態(tài)下不會傳輸，但從on模式更改至其他模式后，會傳輸通知以加快遠程終端檢測。非中繼802.1Q協(xié)議的nativeVLAN問題nativeVLAN不匹配時，可能造成不同VLAN間的主機互相通訊執(zhí)行下面命令，設(shè)置一個虛假VLAN作為nativeVLANSwitch(config)#interfacetypeslot#/port#Switch(config-If)#switchporttrunknativevlan999任何時候，交換機的控制協(xié)議流量都通過802.1QTrunk接口中的VLAN1來傳遞。如果更改nativeVLAN，這些控制幀將帶上VLAN1標記802.1Q和ISL執(zhí)行下面命令，查看交換機接口能夠支持的Trunk封裝方式showinterfacescapabilities如果交換機不支持ISL協(xié)議,則不支持執(zhí)行下面命令:switchporttrunkencapsulationdot1qCisco建議在兩端采用顯式中繼模式配置dynamicdesirable。此模式是默認模式當連接到CiscoIOS路由器時，Cisco建議關(guān)閉DTP協(xié)議的發(fā)送，即執(zhí)行接口模式命令:switch(config-if)#switchportnonegotiateSTP協(xié)議的Cisco配置建議默認情況下，所有Catalyst交換機均啟用STP。任何時候都不應(yīng)該手工禁止STP協(xié)議不要更改計時器，這可能會對穩(wěn)定性產(chǎn)生負面影響理想情況下，禁止在管理VLAN上傳輸用戶流量請勿過度設(shè)計冗余。這可能導(dǎo)致產(chǎn)生過多的阻塞端口，并且會給長期穩(wěn)定性造成負面影響操控并且確定根功能和阻塞端口所在的位置。記錄有關(guān)拓撲圖的此信息從中繼端口修剪不必要的VLAN善用STPportfast特性以太網(wǎng)信道-EtherChannel功能不同硬件平臺上使用的幀分配算法是不同的默認情況下，Catalyst3750、Catalyst4500和Catalyst6500/6000系列交換機通過散列源和目標IP地址來執(zhí)行負載均衡如果大部分數(shù)據(jù)流是在相同源和目標IP地址之間傳輸，則可以使用第4層分配以改進負載均衡port-channelload-balancesrc-dst-portNote：上述算法只散列Layer4端口信息而不包含IP地址，Catalyst3750系列交換機不支持Layer4分配可在6500/3750系列交換機上通過CLI界面確定將使用EtherChannel中的哪個接口來轉(zhuǎn)發(fā)特定的數(shù)據(jù)流EtherChannel配置指南和限制交換機所支持的EtherChannel最大數(shù)量取決于硬件平臺和軟件版本在將兼容端口聚合到單個邏輯端口之前，EtherChannel會驗證所有物理端口上的端口屬性（基于配置檢查）推薦先將所有物理端口恢復(fù)至默認狀態(tài)，然后再配置EtherChannel，最后再在邏輯接口上配置所需接口參數(shù)L2EtherChannel與STP接口Cost默認情況下，8個GE端口捆綁后，其生成樹端口成本比10GE的生成樹端口成本低可使用下面命令更改STP接口Cost計算方式spanning-treepathcostmethodlong或使用下面命令手工設(shè)置10GE接口的Costspanning-treecostcostEtherChannel的生成樹端口成本在端口信道成員鏈路出現(xiàn)故障后會立即更新（僅IOS），以反映新的可用帶寬EtherChannel鏈路故障處理方式可能的故障：端口被拔掉、GBIC被拔掉、光纖中斷EtherChannel對不同故障類型的處理方式不同：邏輯端口最少需要2個物理端口一個物理端口失效會造成邏輯端口被拆除且將重新初始化與生成樹有關(guān)的原始物理端口在STP完成收斂之前，用戶數(shù)據(jù)可能會被丟棄EtherChannel鏈路配置建議若要減少Catalyst6500/6000上不必要的拓撲更改，請完成下列建議之一：如果每個模塊使用一個端口來形成信道，請使用三個或更多模塊（總共為三個）。如果信道跨越兩個模塊，請在每個模塊上使用兩個端口（總共為四個）。如果在兩個卡之間需要雙端口信道，則只使用Supervisor引擎端口。PAgP協(xié)議工作模式ModeConfigurableOptionsOn無PAgP，本端永遠建立ChannelAuto有PAgP，被動模式Desirable有PAgP，主動模式Non-silentdefaultonCatalyst5500/5000fiberFEandGEports.另一個可選參數(shù)，需要檢測是否從對端收到數(shù)據(jù)SilentdefaultonallCatalyst6K/4Kports,aswellas5500/5000copperports.另一個可選參數(shù)，無需檢測是否從對端收到數(shù)據(jù)，15S后即加入ChannelL2EtherChannel思科推薦配置配置命令：Switch(config-if)#channel-group

number

modedesirable驗證命令：Switch#showruninterfaceport-channelnumberSwitch#showrunning-configinterfacetypeslot#/port#Switch#showinterfacestypeslot#/port#etherchannelSwitch#showetherchannelnumberport-channel開啟下面特性防止誤配置：Switch(config)#spanning-treeetherchannelguardmisconfig單向通信鏈路檢測特性（UDLD）思科私有屬性可用來檢測一條鏈路中是否存在單方向通信的狀況可以解決下面可能的故障：監(jiān)控實際布線配置-將任何布線錯誤的端口以errDisabled關(guān)閉防止單向鏈路引起的故障-在檢測到由于介質(zhì)或端口/接口故障導(dǎo)致的單向鏈路時，將受影響的端口以errDisabled關(guān)閉。生成相應(yīng)的syslog消息。此外，UDLD主動模式檢查以前視為雙向的鏈路在由于擁塞而變得不可用時不會失去連接。UDLD主動模式在整個鏈路上執(zhí)行持續(xù)的連接測試。UDLD主動模式的主要目的在于避免在某些正常模式UDLD未能解決的故障情況下出現(xiàn)流量黑洞。UDLD主動模式主動UDLD是專為解決那些需要對雙向連接執(zhí)行持續(xù)測試的少數(shù)情況而創(chuàng)建：監(jiān)控實際布線配置-將任何布線錯誤的端口以errDisabled關(guān)閉當UDLDPDU對稱丟失并且兩端都超時時。在這種情況下，兩個端口的狀態(tài)都不為errdisable。鏈路的一端出現(xiàn)端口阻塞（Tx和Rx）。鏈路的一端保持接通狀態(tài)，而另一端卻已經(jīng)關(guān)閉。自動協(xié)商或其他第1層故障檢測機制已禁用。減少對第1層FEFI機制的依賴是較為理想的方式。需要針對點對點FE/GE鏈路上的單向鏈路故障提供最大的防護。特別是在兩個鄰居之間不允許存在故障的情況下，可將UDLD主動探測視為檢測信號，該信號的存在可確保鏈路正常運行。最常見的情況是為了在自動協(xié)商或其他第1層故障檢測機制禁用或不可用時，對鏈路捆綁的某個成員執(zhí)行連接檢查UDLD鏈路的自動恢復(fù)默認情況下，全局禁用Errdisable恢復(fù)全局啟用后，默認超時時間為300秒在網(wǎng)絡(luò)的邊緣（接入層）部署自動回復(fù)特性建議不要在網(wǎng)絡(luò)核心部分部署自動恢復(fù)特性。因為通常有多個入口點進入核心，并且這可能導(dǎo)致問題重復(fù)出現(xiàn)路由鏈路上的UDLD對于使用任何路由協(xié)議的第3層路由連接，UDLD正常模式仍可保護其不受初始鏈路激活時的問題（例如布線錯誤或硬件故障）的影響UDLD主動模式對第3層路由連接也具有以下優(yōu)勢：防止不必要的流量黑洞（在某些情況下需要最低的計時器）將一個抖動鏈路置于errdisable狀態(tài)防止出現(xiàn)第3層EtherChannel配置導(dǎo)致的環(huán)路UDLD的思科配置建議在絕大多數(shù)情況下，Cisco建議在Cisco交換機之間的所有點對點FE/GE鏈路上啟用UDLD正常模式使用默認802.1D生成樹計時器時，將UDLD消息間隔設(shè)置為15秒（IOS12.1及更高版本的默認值）。在依賴STP實現(xiàn)冗余和收斂的網(wǎng)絡(luò)中（這表示拓撲中的一個或多個端口處于STP阻塞狀態(tài)），請將UDLD與適當?shù)墓δ芎蛥f(xié)議一起使用。這些功能包括FEFI、自動協(xié)商、環(huán)路防護等等。一般情況下，如果啟用了自動協(xié)商，則不必使用主動模式，因為自動協(xié)商可針對第1層的故障檢測進行糾正。無STP環(huán)路防護時啟用UDLD

對于第3層點對點鏈路或具有無環(huán)路STP拓撲（沒有阻塞端口）的第2層鏈路，Cisco建議您在Cisco交換機之間的點對點FE/GE鏈路上啟用主動

UDLD。在這種情況下，消息間隔設(shè)置為7秒，并且802.1DSTP使用默認計時器。EtherChannel上的UDLD無論是否已部署STP環(huán)路防護，對于任何EtherChannel配置，建議將UDLD主動模式與desirable信道模式一起使用。EtherChannel上的UDLD無論是否已部署STP環(huán)路防護，對于任何EtherChannel配置，建議將UDLD主動模式與desirable信道模式一起使用。管理配置網(wǎng)絡(luò)圖的目的清晰的網(wǎng)絡(luò)圖是網(wǎng)絡(luò)運行的一個基本部分網(wǎng)絡(luò)圖在進行故障排除時非常重要在由于發(fā)生中斷而向供應(yīng)商和合作伙伴上報時，網(wǎng)絡(luò)圖也是最為重要的信息交流工具請勿低估網(wǎng)絡(luò)圖提供的準備、就緒和可訪問性。三種網(wǎng)絡(luò)圖表整體圖表即使對于最大型的網(wǎng)絡(luò)，顯示端到端的物理或邏輯連接性的圖表也是非常重要的物理圖表－此圖顯示所有交換機和路由器硬件以及布線。確保該圖標記了下列方面中的每一個方面：中繼鏈路速度信道組端口號Slot機箱類型軟件VTP域三種網(wǎng)絡(luò)圖表（續(xù)）物理圖表（續(xù)前頁）根網(wǎng)橋備份根網(wǎng)橋優(yōu)先級MAC地址每個VLAN的阻塞端口數(shù)邏輯圖－此圖僅顯示第3層功能，這意味著它將路由器顯示為對象，將VLAN顯示為以太網(wǎng)段。確保該圖標記了以下方面：IP地址子網(wǎng)輔助編址活動和備用HSRP接入核心分布層路由信息三種網(wǎng)絡(luò)圖表（續(xù)）邏輯圖示例交換機管理接口和Native

VLANCatalyst6500/6000系列的Supervisor引擎和MSFC上的處理器將VLAN1用于許多控制和管理協(xié)議。示例包括：交換機控制協(xié)議：STPBPDUVTPDTPCDP管理協(xié)議：SNMPTelnetSecureShell協(xié)議(SSH)Syslog小心處理VLAN1以及管理VLAN在使用VLAN1時主要關(guān)心的問題是：終端站點產(chǎn)生的大部分廣播和多播數(shù)據(jù)流通常不需要中斷Supervisor引擎NMP。多播應(yīng)用程序特別傾向于在服務(wù)器和客戶端之間發(fā)送大量數(shù)據(jù)。Supervisor引擎不需要查看此數(shù)據(jù)。可以限制某接口上用戶數(shù)據(jù)的VLAN1傳輸以及STP的運行將管理VLAN的直徑限制為與用戶VLAN一樣的路由域結(jié)構(gòu)。考慮將帶外管理和/或SSH支持作為增強網(wǎng)絡(luò)管理安全性的方法。IOS管理接口和NativeVLAN建議使用一個除VLAN1之外的其他VLAN作為管理VLAN將所有用戶數(shù)據(jù)排除在管理VLAN之外在每臺交換機上配置一個loopback0接口作為管理接口確保loopbakck接口的IP子網(wǎng)掩碼為32位將一個從未啟用的虛假VLAN配置為NativeVLAN。Cisco之前推薦使用VLAN999，但用戶可以任意選擇這個VLAN網(wǎng)絡(luò)帶外管理如果在生產(chǎn)網(wǎng)絡(luò)周圍構(gòu)建單獨的管理基礎(chǔ)架構(gòu)，則可以更有效地提供網(wǎng)絡(luò)管理。無論驅(qū)動的數(shù)據(jù)流或發(fā)生的控制平面事件如何，此設(shè)置都可以確保能夠遠程訪問設(shè)備。下面是兩個典型方法：使用獨有的LAN進行帶外管理使用終端服務(wù)器進行帶外管理CiscoSyslog配置建議一般建議使用如下推薦配置：nologgingconsolenologgingmonitor（僅保留console輸出）loggingbuffered16384loggingtrapnotifications（默認為debugging）loggingfacilitylocal7LogginghostLoggingsource-interfaceloopback0Servicetimestampslogdatetimelocaltimeshow-timezonemsec同時啟用網(wǎng)絡(luò)中所有GE接口上的鏈路狀態(tài)和鏈路捆綁狀態(tài)的日志記錄。接口syslog配置命令：loggingeventlink-statusloggingeventbundle-status

SNMP功能（Trap和Inform區(qū)別）SNMP功能的版本區(qū)別SNMPv1和SNMPv2c都使用基于社區(qū)形式的安全性。IP地址ACL和口令定義了能夠訪問代理MIB的管理器社區(qū)。SNMPv2c支持包括批量檢索機制和向管理站點報告的更詳細的錯誤消息。批量檢索機制支持對表和大量信息的檢索，這最大程度地減少了所需的往返次數(shù)。SNMPv3同時提供了安全模型和安全等級。安全模式是為用戶和用戶駐留的組設(shè)置的身份驗證策略。安全等級是安全模型中允許的安全級別。一般SNMP配置：Switch(config)#access-list98permitip_address

Switch(config)#snmp-servercommunityRO-communityro98snmp-servercommunityRW-communityrw98snmp-servercontactGlenRahn(HomeNumber)snmp-serverlocationtext

SNMPTrap配置建議一個SNMPagent可以與多個管理器進行通信。因此可同時配置多個不同版本的SNMPhost請針對正在使用的所有功能啟用SNMPtrap。默認全部禁止Switch(config)#snmptrapenableSwitch(config)#snmp-servertrap-sourceloopback0對于關(guān)鍵端口啟用端口陷阱。對于其他端口則不一定要啟用端口陷阱。要配置端口并啟用鏈路打開/關(guān)閉通知，執(zhí)行以下命令：Switch(config-if)#snmptraplink-status網(wǎng)絡(luò)時間協(xié)議(NTP)NTP會嘗試避免與時間可能不準確的計算機同步。NTP通過兩種方法實現(xiàn)這一點：NTP不與自身未同步的計算機同步NTP始終比較由幾臺計算機報告的時間，不與時間顯著不同于其他計算機的計算機同步（即使該計算機所處的層較低）NTP關(guān)聯(lián)可以是：對等關(guān)聯(lián)（ntppeer）服務(wù)器關(guān)聯(lián)（ntpserver）NTP服務(wù)器對等關(guān)系服務(wù)器會響應(yīng)客戶端請求，但不會嘗試合并從客戶端時間源獲得的任何日期信息。對等體會響應(yīng)客戶端請求，但會嘗試將客戶端請求用作更好時間源的潛在候選者，并協(xié)助保持時鐘頻率穩(wěn)定性。為了成為真正的對等體，連接的兩端必須加入對等關(guān)系，而不是一個用戶作為對等體而另一個用戶作為服務(wù)器。讓對等體交換密鑰，以便只有可信的主機能夠與其他作為對等體的主機交流。在客戶端對服務(wù)器的請求中，服務(wù)器會應(yīng)答客戶端，并會忘記客戶端曾經(jīng)詢問過問題。在對對等體的客戶端請求中，服務(wù)器應(yīng)答客戶端。服務(wù)器保存有關(guān)客戶端的狀態(tài)信息，以便跟蹤客戶端在計時方面的情況及它在哪一層服務(wù)器上運行。NTP配置的2個重要命令ntpupdate-calendar

clockcalendar-valid交換機建議通用配置vtpdomaindomain_name

vtpmodetransparentspanning-treeportfastbpduguard

spanning-treeetherchannelguardmisconfig

cdprun

noservicepad

servicepassword-encryption

enablesecretpassword

clocktimezoneCCT8clockcalendar-valid

ipsubnet-zero

iphosttftpserveryour_tftp_serveripdomain-namedomain_nameipname-servername_server_ip_addressname-servername_server_ip_addressipclassless

noipdomain-lookupnoiphttpserver

nologgingconsole

nologgingmonitorloggingbuffered16384

loggingtrapnotifications

loggingfacilitylocal7

loggingsyslog_server_ip_address

loggingsyslog_server_ip_address

loggingsource-interfaceloopback0

servicetimestampsdebugdatetimelocaltimeshow-timezonemsec

se