05-交換機(jī)高級(jí)特性.ppt

1、第五章 交換機(jī)高級(jí)特性,學(xué)習(xí)目標(biāo),學(xué)完本章課程,您應(yīng)該了解和掌握以下幾點(diǎn)內(nèi)容: 理解以太網(wǎng)信道并掌握其配置. 理解HSRP與VRRP并掌握其配置. 理解和掌握802.1x和端口安全等交換機(jī)安全特性. 理解和配置VLAN ACL. 理解和配置SPAN以及RSPAN.,以太網(wǎng)信道(EC),以太網(wǎng)信道(EC)是由多條的快速以太網(wǎng)(FE)或千兆以太網(wǎng)(GE)鏈路組成一條單獨(dú)的邏輯鏈路.最多可以把8條物理鏈路捆綁成一個(gè)EC.當(dāng)其中某條物理鏈路出故障時(shí),流量自動(dòng)切換到EC上別的物理鏈路.當(dāng)一個(gè)物理端口加入到信道組(channel-group)時(shí),該物理端口狀態(tài)自動(dòng)關(guān)閉;當(dāng)該物理端口離開(kāi)該信道組時(shí),物理端口

2、狀態(tài)恢復(fù)為可用狀態(tài),并且配置還原為加入到該信道組之前的配置.,端口聚合,端口聚合協(xié)議(PAgP)為Cisco私有;鏈路聚合協(xié)議(LACP)被定義在IEEE 802.3ad中.它們的作用都是把配置相似的物理端口動(dòng)態(tài)的分配到一個(gè)邏輯組里.,配置層2的EC,配置層2的EC的步驟如下: 1.進(jìn)入接口配置模式,最多可以定義8個(gè)物理端口: Switch(config)#interface interface 2.定義端口模式: Switch(config-if)#switchport mode access|trunk 3.如果模式定義為層2接入端口,把端口分配進(jìn)特定的VLAN里: Switch(conf

3、ig-if)#switchport access vlan vlan-id 4.把端口分配進(jìn)信道組里,并定義PAgP或LACP的模式: Switch(config-if)#channel-group group-number mode auto|desirable|on|active|passive,熱備份路由器協(xié)議(HSRP),熱備份路由器協(xié)議(HSRP)是Cisco私有的協(xié)議,它通過(guò)利用一個(gè)優(yōu)先級(jí)方案來(lái)決定哪個(gè)路由器成為主路由器.如果一個(gè)路由器的優(yōu)先級(jí)設(shè)置的比所有其他路由器的優(yōu)先級(jí)高,則該路由器成為主路由器.路由器的默認(rèn)優(yōu)先級(jí)是100. 通過(guò)在啟用了HSRP的路由器之間廣播HSRP優(yōu)先級(jí),

4、HSRP選出主路由器.當(dāng)在預(yù)先設(shè)定的一段時(shí)間(即hold time,默認(rèn)為10秒)內(nèi)主路由器不能發(fā)送hello包,或HSRP檢測(cè)不到主路由器的hello包時(shí),將認(rèn)為主路由器出現(xiàn)了故障,這時(shí)HSRP會(huì)選擇優(yōu)先級(jí)最高的備份路由器變?yōu)橹髀酚善?同時(shí)將按HSRP優(yōu)先級(jí)在啟用了HSRP的路由器中再選擇一臺(tái)路由器做為新的備份路由器.所有參與HSRP的路由器共享一個(gè)虛擬IP地址,網(wǎng)絡(luò)中的工作站將默認(rèn)網(wǎng)關(guān)指向該虛擬IP地址.,配置HSRP,配置HSRP的步驟如下: 1.HSRP,配置虛擬IP地址: Switch(config-if)#standby group-number ip ip-address sec

5、ondary 2.設(shè)置優(yōu)先級(jí).定義主路由器: Switch(config-if)#standby group-number priority priority 3.啟用搶占特性以及定義延遲時(shí)間,默認(rèn)延遲時(shí)間為0秒.可選: Switch(config-if)#standby group-number preempt delay seconds 4.跟蹤記錄別的接口,如果別的接口出故障,那么HSRP優(yōu)先級(jí)適當(dāng)?shù)臅?huì)降低.可選: Switch(config-if)#standby group-number track interface priority,HSRP配置實(shí)例,交換機(jī)A配置如下: ! in

6、terface Ethernet0 standby 1 priority 110 standby 1 preempt standby 1 ip 10.0.0.3 standby 1 track Ethernet1 standby 2 preempt standby 2 ip 10.0.0.4 ! 交換機(jī)B配置如下: ! interface Ethernet0 standby 1 preempt standby 1 ip 10.0.0.3 standby 2 priority 110 standby 2 preempt standby 2 ip 10.0.0.4 standby 2 track

7、Ethernet1 !,讓交換機(jī)A為組1的主路由器,組2的備份路由器;讓交換機(jī)B成為組2的主路由器,組1的備份路由器.組1和組2的虛擬IP地址分別為10.0.0.3和10.0.0.4.,驗(yàn)證HSRP的配置,Switch#show standby brief P indicates configured to preempt. | Interface Grp Prio P State Active addr Standby addr Group addr Vl11 11 110 Active local 172.16.11.114 172.16.11.115,虛擬路由器冗余協(xié)議(VRRP),VR

8、RP的原理和HSRP基本相同,但它是開(kāi)放式的協(xié)議.,配置VRRP,配置VRRP的步驟如下: 1.設(shè)置優(yōu)先級(jí),默認(rèn)值為100: Switch(config-if)#vrrp group-number priority priority 2.啟用搶占特性并定義延遲時(shí)間.可選: Switch(config-if)#vrrp group-number preempt delay seconds 3.設(shè)置虛擬IP地址: Switch(config-if)#vrrp group-number ip ip-address secondary,802.1x端口認(rèn)證,配置802.1x端口認(rèn)證,配置802.1x端

9、口認(rèn)證的步驟如下: 1.啟用認(rèn)證,授權(quán)和審計(jì)(AAA): Switch(config)#aaa new-model 2.創(chuàng)建方式列表(method list): Switch(config)#aaa authentication dot1x default list 3.全局啟用802.1x端口認(rèn)證: Switch(config)#dot1x system-auth-control 4.確定要參與802.1x認(rèn)證的端口: Switch(config)#interface interface 5.啟用802.1x認(rèn)證: Switch(config-if)#dot1x port-control a

10、uto,端口安全,配置端口安全,配置端口安全特性的步驟如下: 1.啟用端口安全特性: Switch(config-if)#switchport port-security 2.限制被允許訪問(wèn)的MAC地址的最大數(shù)目: Switch(config-if)#switchport port-security maximum number vlan vlan-list 3.靜態(tài)定義MAC地址,可以設(shè)置一個(gè)或多個(gè)MAC地址: Switch(config-if)#switchport port-security mac-address mac-address vlan vlan-id 4.定義當(dāng)收到帶有違法

11、MAC地址信息的幀的時(shí)候,端口所采取的動(dòng)作.如果關(guān)鍵字設(shè)置shutdown,那么一旦端口收到帶有未知MAC地址(即違法)的幀的時(shí)候,端口將被設(shè)置為error-disable狀態(tài),即不可用;關(guān)鍵字restrict和protect的區(qū)別僅僅在于后者會(huì)發(fā)送日志信息,它們對(duì)違法的幀的操作均為丟棄: Switch(config-if)#switchport port-security violation protect|restrict|shutdown,驗(yàn)證端口安全,Switch#show port-security,顯示端口安全配置信息.,Switch#show port-securitySecur

12、e Port MaxSecureAddr CurrentAddr SecurityViolation Security Action (Count) (Count) (Count)- Fa5/1 11 11 0 ShutdownFa5/5 15 5 0 RestrictFa5/11 5 4 0 Protect-Total Addresses in System: 21Max Addresses limit in System: 128,VLAN訪問(wèn)控制列表(VACL),配置VACL,配置VACL的步驟如下: 1.定義VACL.序列號(hào)默認(rèn)為10,序列號(hào)以10進(jìn)行遞增: Switch(config

13、)#vlan access-map name sequence-number 2.定義匹配條件: Switch(config-access-map)#match ip|mac address ACL 3.定義執(zhí)行動(dòng)作,默認(rèn)為轉(zhuǎn)發(fā).可選: Switch(config-access-map)#action forward|drop 4.把VACL應(yīng)用在VLAN上. Switch(config)#vlan filter name vlan-list vlan-list,交換式端口分析器(SPAN),配置SPAN,Switch(config)#monitor session session_num s

14、ource interface type/num | vlan num , | - | rx | tx |both,配置SPAN源會(huì)話.,Switch(config)#monitor session session_number destination interface type/num , | - | vlan num,配置SPAN目標(biāo)會(huì)話.,遠(yuǎn)程SPAN,配置RSPAN,定義RSPAN專用的VLAN.,Switch(config)#vlan vlan-number,啟用用于RSPAN的VLAN.,Switch(config-vlan)#remote-span,RSPAN配置實(shí)例,交換機(jī)A

15、配置如下: ! vlan 2 remote-span monitor session 1 source interface FastEthernet1/1 both monitor session 1 destination remote vlan 2 ! 交換機(jī)B配置如下: ! vlan 2 remote-span ! 交換機(jī)C配置如下: ! vlan 2 remote-span monitor session 1 source remote vlan 2 monitor session 1 destination interface Fastethernet 2/2 !,使用RSPAN監(jiān)聽(tīng)交換機(jī)A連接服務(wù)器的端口.,驗(yàn)證SPAN和RSPAN信息,Switch#show monitor session session_number detail,顯示SPAN會(huì)話信息.,Switch#show monitor session 2Session 2-Type : Remote Source SessionSource Ports: RX Only: Fa3/1 Dest RSPAN VLAN: 901,Switch#show monitor se