05-交換機高級特性.ppt

1、第五章 交換機高級特性,學習目標,學完本章課程,您應該了解和掌握以下幾點內(nèi)容: 理解以太網(wǎng)信道并掌握其配置. 理解HSRP與VRRP并掌握其配置. 理解和掌握802.1x和端口安全等交換機安全特性. 理解和配置VLAN ACL. 理解和配置SPAN以及RSPAN.,以太網(wǎng)信道(EC),以太網(wǎng)信道(EC)是由多條的快速以太網(wǎng)(FE)或千兆以太網(wǎng)(GE)鏈路組成一條單獨的邏輯鏈路.最多可以把8條物理鏈路捆綁成一個EC.當其中某條物理鏈路出故障時,流量自動切換到EC上別的物理鏈路.當一個物理端口加入到信道組(channel-group)時,該物理端口狀態(tài)自動關閉;當該物理端口離開該信道組時,物理端口

2、狀態(tài)恢復為可用狀態(tài),并且配置還原為加入到該信道組之前的配置.,端口聚合,端口聚合協(xié)議(PAgP)為Cisco私有;鏈路聚合協(xié)議(LACP)被定義在IEEE 802.3ad中.它們的作用都是把配置相似的物理端口動態(tài)的分配到一個邏輯組里.,配置層2的EC,配置層2的EC的步驟如下: 1.進入接口配置模式,最多可以定義8個物理端口: Switch(config)#interface interface 2.定義端口模式: Switch(config-if)#switchport mode access|trunk 3.如果模式定義為層2接入端口,把端口分配進特定的VLAN里: Switch(conf

3、ig-if)#switchport access vlan vlan-id 4.把端口分配進信道組里,并定義PAgP或LACP的模式: Switch(config-if)#channel-group group-number mode auto|desirable|on|active|passive,熱備份路由器協(xié)議(HSRP),熱備份路由器協(xié)議(HSRP)是Cisco私有的協(xié)議,它通過利用一個優(yōu)先級方案來決定哪個路由器成為主路由器.如果一個路由器的優(yōu)先級設置的比所有其他路由器的優(yōu)先級高,則該路由器成為主路由器.路由器的默認優(yōu)先級是100. 通過在啟用了HSRP的路由器之間廣播HSRP優(yōu)先級,

4、HSRP選出主路由器.當在預先設定的一段時間(即hold time,默認為10秒)內(nèi)主路由器不能發(fā)送hello包,或HSRP檢測不到主路由器的hello包時,將認為主路由器出現(xiàn)了故障,這時HSRP會選擇優(yōu)先級最高的備份路由器變?yōu)橹髀酚善?同時將按HSRP優(yōu)先級在啟用了HSRP的路由器中再選擇一臺路由器做為新的備份路由器.所有參與HSRP的路由器共享一個虛擬IP地址,網(wǎng)絡中的工作站將默認網(wǎng)關指向該虛擬IP地址.,配置HSRP,配置HSRP的步驟如下: 1.HSRP,配置虛擬IP地址: Switch(config-if)#standby group-number ip ip-address sec

5、ondary 2.設置優(yōu)先級.定義主路由器: Switch(config-if)#standby group-number priority priority 3.啟用搶占特性以及定義延遲時間,默認延遲時間為0秒.可選: Switch(config-if)#standby group-number preempt delay seconds 4.跟蹤記錄別的接口,如果別的接口出故障,那么HSRP優(yōu)先級適當?shù)臅档?可選: Switch(config-if)#standby group-number track interface priority,HSRP配置實例,交換機A配置如下: ! in

6、terface Ethernet0 standby 1 priority 110 standby 1 preempt standby 1 ip 10.0.0.3 standby 1 track Ethernet1 standby 2 preempt standby 2 ip 10.0.0.4 ! 交換機B配置如下: ! interface Ethernet0 standby 1 preempt standby 1 ip 10.0.0.3 standby 2 priority 110 standby 2 preempt standby 2 ip 10.0.0.4 standby 2 track

7、Ethernet1 !,讓交換機A為組1的主路由器,組2的備份路由器;讓交換機B成為組2的主路由器,組1的備份路由器.組1和組2的虛擬IP地址分別為10.0.0.3和10.0.0.4.,驗證HSRP的配置,Switch#show standby brief P indicates configured to preempt. | Interface Grp Prio P State Active addr Standby addr Group addr Vl11 11 110 Active local 172.16.11.114 172.16.11.115,虛擬路由器冗余協(xié)議(VRRP),VR

8、RP的原理和HSRP基本相同,但它是開放式的協(xié)議.,配置VRRP,配置VRRP的步驟如下: 1.設置優(yōu)先級,默認值為100: Switch(config-if)#vrrp group-number priority priority 2.啟用搶占特性并定義延遲時間.可選: Switch(config-if)#vrrp group-number preempt delay seconds 3.設置虛擬IP地址: Switch(config-if)#vrrp group-number ip ip-address secondary,802.1x端口認證,配置802.1x端口認證,配置802.1x端

9、口認證的步驟如下: 1.啟用認證,授權和審計(AAA): Switch(config)#aaa new-model 2.創(chuàng)建方式列表(method list): Switch(config)#aaa authentication dot1x default list 3.全局啟用802.1x端口認證: Switch(config)#dot1x system-auth-control 4.確定要參與802.1x認證的端口: Switch(config)#interface interface 5.啟用802.1x認證: Switch(config-if)#dot1x port-control a

10、uto,端口安全,配置端口安全,配置端口安全特性的步驟如下: 1.啟用端口安全特性: Switch(config-if)#switchport port-security 2.限制被允許訪問的MAC地址的最大數(shù)目: Switch(config-if)#switchport port-security maximum number vlan vlan-list 3.靜態(tài)定義MAC地址,可以設置一個或多個MAC地址: Switch(config-if)#switchport port-security mac-address mac-address vlan vlan-id 4.定義當收到帶有違法

11、MAC地址信息的幀的時候,端口所采取的動作.如果關鍵字設置shutdown,那么一旦端口收到帶有未知MAC地址(即違法)的幀的時候,端口將被設置為error-disable狀態(tài),即不可用;關鍵字restrict和protect的區(qū)別僅僅在于后者會發(fā)送日志信息,它們對違法的幀的操作均為丟棄: Switch(config-if)#switchport port-security violation protect|restrict|shutdown,驗證端口安全,Switch#show port-security,顯示端口安全配置信息.,Switch#show port-securitySecur

12、e Port MaxSecureAddr CurrentAddr SecurityViolation Security Action (Count) (Count) (Count)- Fa5/1 11 11 0 ShutdownFa5/5 15 5 0 RestrictFa5/11 5 4 0 Protect-Total Addresses in System: 21Max Addresses limit in System: 128,VLAN訪問控制列表(VACL),配置VACL,配置VACL的步驟如下: 1.定義VACL.序列號默認為10,序列號以10進行遞增: Switch(config

13、)#vlan access-map name sequence-number 2.定義匹配條件: Switch(config-access-map)#match ip|mac address ACL 3.定義執(zhí)行動作,默認為轉發(fā).可選: Switch(config-access-map)#action forward|drop 4.把VACL應用在VLAN上. Switch(config)#vlan filter name vlan-list vlan-list,交換式端口分析器(SPAN),配置SPAN,Switch(config)#monitor session session_num s

14、ource interface type/num | vlan num , | - | rx | tx |both,配置SPAN源會話.,Switch(config)#monitor session session_number destination interface type/num , | - | vlan num,配置SPAN目標會話.,遠程SPAN,配置RSPAN,定義RSPAN專用的VLAN.,Switch(config)#vlan vlan-number,啟用用于RSPAN的VLAN.,Switch(config-vlan)#remote-span,RSPAN配置實例,交換機A

15、配置如下: ! vlan 2 remote-span monitor session 1 source interface FastEthernet1/1 both monitor session 1 destination remote vlan 2 ! 交換機B配置如下: ! vlan 2 remote-span ! 交換機C配置如下: ! vlan 2 remote-span monitor session 1 source remote vlan 2 monitor session 1 destination interface Fastethernet 2/2 !,使用RSPAN監(jiān)聽交換機A連接服務器的端口.,驗證SPAN和RSPAN信息,Switch#show monitor session session_number detail,顯示SPAN會話信息.,Switch#show monitor session 2Session 2-Type : Remote Source SessionSource Ports: RX Only: Fa3/1 Dest RSPAN VLAN: 901,Switch#show monitor se