1、第7章 交換機(jī)和路由器的配置 路由器和交換機(jī)基礎(chǔ)交換機(jī)的VLAN配置端口中繼Trunk配置生成樹(shù)協(xié)議STP配置 7.1 路由器配置途徑(1) Console口接終端或運(yùn)行終端仿真軟件的PC； (2) AUX口接Modem，通過(guò) 線與遠(yuǎn)方的終端或運(yùn)行終端仿真軟件的PC相連； (3) 通過(guò)Ethernet上的TFTP服務(wù)器； (4) 通過(guò)Ethernet上的TELNET程序； (5) 通過(guò)Ethernet上的SNMP網(wǎng)管工作站。交換機(jī)常見(jiàn)的Cisco交換機(jī)有1900和2900系列、3500系列和6500系列 配置交換機(jī)端口模式 交換機(jī)的端口工作模式一般可以分為三種：Access, Multi和Tr

2、unk。Trunk模式的端口用于交換機(jī)與交換機(jī)、交換機(jī)與路由器，大多用于級(jí)聯(lián)網(wǎng)絡(luò)設(shè)備，所以也稱為干道模式。Access模式多用于接入層，也稱為接入模式。如圖所示，可以將交換機(jī)的端口工作模式分別設(shè)置為干道模式和接入模式，PC和交換機(jī)之間設(shè)置為接入模式，交換機(jī)之間設(shè)置為干道模式。 interface range可以對(duì)一組端口進(jìn)行統(tǒng)一配置，如果已知端口是直接與PC連接的，并且沒(méi)有接路由器、交換機(jī)和集線器的情況下可以使用spanning-tree portfast命令來(lái)設(shè)置快速端口，快速端口不再經(jīng)歷生成樹(shù)的4個(gè)狀態(tài)，直接進(jìn)入轉(zhuǎn)發(fā)狀態(tài)，以提高接入速度。Switch(config)#interface r

3、ange fastethernet 0/1 - 20 /*對(duì)端口120進(jìn)行配置Switch(config-if-range)#switchport mode access /*設(shè)置端口為接入模式Switch(config-if-range)#spanning-tree portfast /*設(shè)置端口120為快速端口交換機(jī)可以通過(guò)自動(dòng)協(xié)商工作在干道模式，但是按照要求，如果該端口屬于主干道，則應(yīng)該明確標(biāo)明該端口屬于Trunk模式。Switch(config)#interface fastethernet 0/24 /*對(duì)端口24進(jìn)行配置Switch(config-if)#switchport mo

4、de trunk /*端口為干道模式7.2 交換機(jī)VLAN配置 VLAN(Virtual Local Area Network)簡(jiǎn)稱為虛擬局域網(wǎng)。虛擬局域網(wǎng)不是特殊的局域網(wǎng)，它只是局域網(wǎng)為用戶提供的一種服務(wù)。虛擬局域網(wǎng)是一種將局域網(wǎng)設(shè)備從邏輯上劃分成一個(gè)個(gè)網(wǎng)段，從而實(shí)現(xiàn)虛擬工作組的數(shù)據(jù)交換技術(shù)。這一技術(shù)主要應(yīng)用于交換機(jī)和路由器中，并在交換機(jī)中使用較多，但并不是所有的交換機(jī)都具有此功能，只有VLAN協(xié)議的第三層以上的交換機(jī)才具有此功能。 VLAN技術(shù)的出現(xiàn)，使得管理員根據(jù)實(shí)際應(yīng)用需求，把同一物理局域網(wǎng)內(nèi)的不同用戶邏輯地劃分成不同的廣播域，每一個(gè)VLAN都包含一組有著相同需求的計(jì)算機(jī)工作站，與物理

5、上形成的LAN有著相同的屬性。由于它是從邏輯上而不是從物理上劃分的，所以同一個(gè)VLAN內(nèi)的各個(gè)工作站沒(méi)有限制在同一個(gè)物理范圍中，即這些工作站可以在不同物理LAN網(wǎng)段。一個(gè)VLAN內(nèi)部的廣播和單播流量都不會(huì)轉(zhuǎn)發(fā)到其他VLAN中，從而有助于控制流量、減少設(shè)備投資、簡(jiǎn)化網(wǎng)絡(luò)管理、提高網(wǎng)絡(luò)的安全性。通過(guò)將企業(yè)網(wǎng)絡(luò)劃分為虛擬網(wǎng)絡(luò)VLAN網(wǎng)段，可以強(qiáng)化網(wǎng)絡(luò)管理和網(wǎng)絡(luò)安全，控制不必要的數(shù)據(jù)廣播。在共享網(wǎng)絡(luò)中，一個(gè)物理的網(wǎng)段就是一個(gè)廣播域。而在交換網(wǎng)絡(luò)中，廣播域可以是由一組任意選定的第二層網(wǎng)絡(luò)地址(MAC地址)組成的虛擬網(wǎng)段。這樣，網(wǎng)絡(luò)中工作組的劃分可以突破共享網(wǎng)絡(luò)中的地理位置限制，而完全根據(jù)管理功能來(lái)劃分。

6、這種基于工作流的分組模式，大大提高了網(wǎng)絡(luò)規(guī)劃和重組的管理功能。在同一個(gè)VLAN中的工作站，不論它們實(shí)際與哪個(gè)交換機(jī)連接，它們之間的通信就好像在獨(dú)立的交換機(jī)上一樣。同一個(gè)VLAN中的廣播只有VLAN中的成員才能聽(tīng)到，而不會(huì)傳輸?shù)狡渌腣LAN中去，這樣可以很好地控制不必要的廣播風(fēng)暴的產(chǎn)生。同時(shí)，若沒(méi)有路由，不同VLAN之間不能相互通信，這樣增加了企業(yè)網(wǎng)絡(luò)中不同部門之間的安全性。網(wǎng)絡(luò)管理員可以通過(guò)配置VLAN之間的路由來(lái)全面管理企業(yè)內(nèi)部不同管理單元之間的信息互訪。交換機(jī)可以根據(jù)用戶工作站的MAC地址來(lái)劃分VLAN。所以，用戶可以自由地在企業(yè)網(wǎng)絡(luò)中移動(dòng)辦公，不論他在何處接入交換網(wǎng)絡(luò)，都可以與VLAN

7、內(nèi)其他用戶輕松自如地通信。VLAN除了能將網(wǎng)絡(luò)劃分為多個(gè)廣播域，從而有效地控制廣播風(fēng)暴的發(fā)生，以及使網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)變得非常靈活的優(yōu)點(diǎn)外，還可以用于控制網(wǎng)絡(luò)中不同部門、不同站點(diǎn)之間的互相訪問(wèn)。VLAN是為解決以太網(wǎng)的廣播問(wèn)題和安全性而提出的一種技術(shù)，它在以太網(wǎng)幀的基礎(chǔ)上增加了VLAN頭，用VLAN ID把用戶劃分為更小的工作組，限制不同工作組間的用戶互訪，每個(gè)工作組就是一個(gè)虛擬局域網(wǎng)。通過(guò)該技術(shù)，虛擬局域網(wǎng)可以限制廣播范圍，并能夠形成虛擬工作組，動(dòng)態(tài)管理網(wǎng)絡(luò)。劃分VLAN的方法基于端口劃分VLAN 基于MAC地址劃分VLAN 基于網(wǎng)絡(luò)層協(xié)議劃分VLAN 基于IP組播劃分VLAN 基于策略劃分VL

8、AN 基于用戶定義、非用戶授權(quán)劃分VLAN VLAN拓?fù)鋱DCisco 2950交換機(jī)Switch1與4臺(tái)PC主機(jī)相連，4臺(tái)主機(jī)PC1, PC2, PC3和PC4的IP地址分別是和。在沒(méi)有為交換機(jī)劃分VLAN的情況下，4臺(tái)PC主機(jī)可以互相連通。根據(jù)要求，可以為Switch1劃分VLAN，即要求：PC1與PC2劃分在一個(gè)VLAN中，可以互相連通；PC3與PC4劃分在另一個(gè)VLAN中，可以互相連通；VLAN 2中的主機(jī)和VLAN 3中的主機(jī)不能互相連通。 配置步驟SwitchenableSwitch#configure terminalEnter configuration commands, on

9、e per line. End with CNTL/Z.Switch(config)#exitSwitch#vlan databaseSwitch(vlan)#no vlan vlan-id nameSwitch(vlan)#no vlan vlan-idSwitch(vlan)#vlan 2 name work2VLAN 2 added: Name: work2Switch(vlan)#Switch(vlan)#vlan 3 name work3VLAN 3 added: Name: work3Switch(vlan)#Switch(vlan)#exitAPPLY completed.Exi

10、ting.Switch#Switch#Switch#configure terminalEnter configuration commands, one per line. End with CNTL/Z.Switch(config)#interface range fa0/1 - 2, fa0/3 - 4Switch(config-if)#Switch(config-if)#switchport mode accessSwitch(config-if)#interface range fa0/1 - 2Switch(config-if)#switchport access vlan 2Sw

11、itch(config-if)#Switch(config-if)#interface range fa0/3 - 4Switch(config-if)#switchport access vlan 3Switch(config-if)#end在配置完成后，測(cè)試連通性。在PC1上執(zhí)行命令測(cè)試連通性：C:ping /*測(cè)試結(jié)果連通C:ping /*測(cè)試結(jié)果不連通C:ping /*測(cè)試結(jié)果不連通在PC3上執(zhí)行命令測(cè)試連通性：C:ping /*測(cè)試結(jié)果不連通C:ping /*測(cè)試結(jié)果不連通C:ping /*測(cè)試結(jié)果連通從上面的測(cè)試結(jié)果可以看出，PC1與PC2可以連通，都屬于同一個(gè)VLAN 2，PC3

12、與PC4可以連通，都屬于同一個(gè)VLAN 3，屬于同一個(gè)VLAN的PC可以連通，屬于不同VLAN的PC不能連通。 7.3 交換機(jī)端口中繼Trunk配置 7.3.1 VTP工作原理1VTP協(xié)議VTP(VLAN Trunking Protocol)是VLAN中繼協(xié)議，也稱為虛擬局域網(wǎng)干道協(xié)議。它是OSI參考模型第二層的通信協(xié)議，主要用于管理在同一個(gè)域的網(wǎng)絡(luò)范圍內(nèi)VLAN的建立、刪除和重命名。在一臺(tái)VTP Server上配置一個(gè)新的VLAN時(shí)，該VLAN的配置信息將自動(dòng)傳播到本域內(nèi)的其他所有交換機(jī)。這些交換機(jī)會(huì)自動(dòng)地接收這些配置信息，使其VLAN的配置與VTP Server保持一致，從而減少在多臺(tái)設(shè)備

13、上配置同一個(gè)VLAN信息的工作量，而且保持了VLAN配置的統(tǒng)一性。VTP通過(guò)網(wǎng)絡(luò)ISL(Inter-Switch Link)幀保持VLAN配置統(tǒng)一性。在系統(tǒng)級(jí)管理中增加、刪除和調(diào)整VLAN，VTP能夠自動(dòng)地將信息向網(wǎng)絡(luò)中其他的交換機(jī)廣播。此外，VTP減小了那些可能導(dǎo)致安全問(wèn)題的配置。為了便于管理，只要在VTP Server上進(jìn)行相應(yīng)的設(shè)置，VTP Client就會(huì)自動(dòng)學(xué)習(xí)VTP Server上的VLAN信息。 2VTP模式VTP有三種模式，分別是Server, Client和Transparent。Server：創(chuàng)建、更改和刪除VLAN以及用于整個(gè)VTP域的其他配置參數(shù)，這些消息被依次傳到相同

14、域中的VTP客戶，VLAN配置信息存于NVRAM中。Client：VLAN配置信息不存于NVRAM，當(dāng)VTP的客戶也不能創(chuàng)建、更改和刪除VLAN時(shí)，只能同步收到VLAN信息。Transparent：當(dāng)交換機(jī)不需要或不想加入VTP時(shí)，主要是用做本地管理，不與其他交換機(jī)共享VLAN信息，但仍可以將VTP通告轉(zhuǎn)送到其他交換機(jī)。 3VTP裁剪 由于ISL主干線路承載了所有VLAN的流量，因此有些流量可能不必廣播到無(wú)需運(yùn)載它們的鏈路上。VTP裁剪使用VLAN通告來(lái)決定什么時(shí)候該主干連接不需要泛洪式的傳輸。在默認(rèn)的情況下，主干連接運(yùn)載此VTP管理域中的所有VLAN流量。而在實(shí)際工作中，有些交換機(jī)不必將本地

15、端口配置到每一個(gè)VLAN中，這樣就必須要啟用VTP裁剪。 4使用VTP配置VLAN 默認(rèn)情況下，VTP域名是不需要設(shè)置的，它可以指定或?qū)W習(xí)到。如果默認(rèn)配置收到一個(gè)有域名的VTP通告，它就會(huì)使用該域名。如果交換機(jī)已配置了域名，后來(lái)又收到一個(gè)域名通告，則交換機(jī)會(huì)忽略新收到的域名通告。VTP和管理域可以設(shè)置口令，但在域中的所有交換機(jī)必須輸入相同的口令，否則VTP將不能正常工作。VTP服務(wù)器上的VTP裁剪的啟用和禁止將會(huì)傳播到整個(gè)管理域中，如果VTP裁剪啟用，那么除了VLAN 1外的其他所有VLAN都將被裁剪。以太網(wǎng)端口有兩種鏈路類型，分別是Access和Trunk。Access類型的端口只能屬于一個(gè)

16、VLAN，一般用于連接PC；Trunk類型的端口可以屬于多個(gè)VLAN，可以接收和發(fā)送多個(gè)VLAN的報(bào)文，一般用于交換機(jī)端口之間的連接。如下圖所示，4臺(tái)PC與交換機(jī)之間的連接配置都是Access類型的，交換機(jī)Switch1和交換機(jī)Switch2之間的連接配置采用端口中繼Trunk。通過(guò)設(shè)置，可以使PC1和PC3同屬于一個(gè)VLAN 2，PC2和PC4同屬于一個(gè)VLAN 3。交換機(jī)Switch1端口1接PC1，端口2接PC2，交換機(jī)Switch2端口1接PC3，端口2接PC4，兩個(gè)交換機(jī)都使用端口3和對(duì)方連接。Switch1是3550三層交換機(jī)，Switch2是2950二層交換機(jī)。端口中繼配置拓?fù)鋱D

17、1配置操作中的命令介紹1) 設(shè)置交換機(jī)端口的中繼鏈路封裝類型switchport trunk encapsulation negotiateisldot1qno switchport trunk encapsulation negotiateisldot1q 交換機(jī)支持的封裝方法主要有以下三種：(1) dot1q即協(xié)議，大多數(shù)廠商都支持dot1q。(2) isl即Cisco公司的inter-switch-link，只有Cisco公司設(shè)備支持，是Cisco公司私有協(xié)議。(3) negotiate即與鏈路另一端的交換機(jī)進(jìn)行協(xié)商，選擇dot1q和isl其中一種。2) 設(shè)置交換機(jī)端口為中繼鏈路類型sw

18、itchport mode trunk3) 手工從Trunk鏈路中刪除不必要的VLANswitchport trunk allowed vlan remove vlanlistvlanlist列出了不允許通過(guò)的VLAN，可以是連續(xù)的，也可以是分散的。比如，switchport trunk allowed vlan remove 1000-2000表示不允許屬于VLAN 1000VLAN 2000的幀通過(guò)Trunk端口傳輸。switchport trunk allowed vlan remove 10, 20, 30表示不允許屬于VLAN 10, VLAN 20, VLAN 30的幀通過(guò)Trun

19、k端口傳輸。4) 將Trunk端口加入到指定的VLANswitchport trunk allowed vlan add vlanlist比如，switchport trunk allowed vlan add 10, 20表示允許VLAN 10和VLAN 20的幀通過(guò)Trunk端口傳輸。 配置步驟1) 創(chuàng)建交換機(jī)的VLAN和設(shè)置端口Trunk在交換機(jī)Switch1上創(chuàng)建VLAN和設(shè)置端口Trunk：Switch1(vlan)#vlan 2 name work2 /*創(chuàng)建VLAN 2，其名稱為work2Switch1(vlan)#vlan 3 name work3 /*創(chuàng)建VLAN 3，其名稱

20、為work3Switch1(config)#interface range fa0/1 2 /*進(jìn)入組配置界面Switch1(config-if-range)#switchport mode access /*設(shè)置端口1, 2為access模式Switch1(config-if)#interface fa0/1Switch1(config-if)#switchport access vlan 2 /*將端口1加入到VLAN 2中Switch1(config-if)#interface fa0/2Switch1(config-if)#switchport access vlan 3 /*將端口2

21、加入到VLAN 3中Switch1(config-if)#interface fa0/3Switch1(config-if)#switchport trunk encapsulation dot1q /*啟用封裝協(xié)議Switch1(config-if)#switchport mode trunk /*將端口3設(shè)置為Trunk模式Switch1(config-if)#switchport trunk allowed vlan remove 2-1001, 1006-4094 /*刪除這些VLAN，1002-1005不能刪除，留作FDDI和TR專用Switch1(config-if)#switch

22、port trunk allowed vlan add 2, 3 /*允許VLAN 2和VLAN 3的幀通過(guò)在交換機(jī)Switch2上創(chuàng)建VLAN和設(shè)置端口Trunk：Switch2(vlan)#vlan 2 name work2 /*創(chuàng)建VLAN 2，其名稱為work2Switch2(vlan)#vlan 3 name work3 /*創(chuàng)建VLAN 3，其名稱為work3Switch2(config)#interface range fa0/1 - 2 /*進(jìn)入組配置界面Switch2(config-if-range)#switchport mode access /*設(shè)置端口1, 2為acc

23、ess模式Switch2(config-if)#interface fa0/1Switch2(config-if)#switchport access vlan 2 /*將端口1加入到VLAN 2中Switch2(config-if)#interface fa0/2Switch2(config-if)#switchport access vlan 3 /*將端口2加入到VLAN 3中Switch2(config-if)#interface fa0/3Switch2(config-if)#switchport mode trunk /*將端口3設(shè)置為Trunk模式Switch2(config-i

24、f)#switchport trunk allowed vlan remove 2-1001Switch2(config-if)#switchport trunk allowed vlan add 2, 3 /*允許VLAN 2和VLAN 3的幀通過(guò)注意： 2950二層交換機(jī)其Trunk鏈路的封裝類型只支持中繼，所以這里不用專門配置其Trunk的封裝類型。VLAN的范圍是11005。2) 配置4臺(tái)PC的IP地址PC1：PC2：PC3：PC4：子網(wǎng)掩碼都為。3) 測(cè)試Trunk屬性的工作狀態(tài)可以使用show命令來(lái)查看兩個(gè)交換機(jī)端口分配情況和Trunk端口屬性信息。Switch1#show int

25、erface statusSwitch1#show interface trunkSwitch2#show interface statusSwitch2#show interface status從運(yùn)行結(jié)果可以看到，兩個(gè)交換機(jī)的端口1都屬于VLAN 2，兩個(gè)交換機(jī)的端口2都屬于VLAN 3，兩個(gè)交換機(jī)的端口3都被設(shè)置成Trunk屬性端口，允許VLAN 1, VLAN 2和VLAN 3通過(guò)。4) 測(cè)試連通性在各臺(tái)PC主機(jī)上ping其他主機(jī)。在PC1上操作ping PC3：測(cè)試結(jié)果表明能夠ping通。在PC2上操作ping PC4：測(cè)試結(jié)果表明能夠ping通。由此可以表明，交換機(jī)的端口3同時(shí)屬于

26、VLAN 2和VLAN 3，說(shuō)明了一個(gè)Trunk端口可以屬于多個(gè)VLAN，可以接收和發(fā)送多個(gè)VLAN的報(bào)文。7.4 交換機(jī)生成樹(shù)協(xié)議STP配置STP(Spanning Tree Protocol)是生成樹(shù)協(xié)議，其主要作用是防止數(shù)據(jù)在局域網(wǎng)傳遞中“兜圈子”。在多個(gè)交換機(jī)構(gòu)成的環(huán)狀局域網(wǎng)中，由于交換機(jī)具有數(shù)據(jù)轉(zhuǎn)發(fā)功能，在沒(méi)有STP的情況下，很可能因?yàn)樵诰钟蚓W(wǎng)內(nèi)循環(huán)不停地轉(zhuǎn)發(fā)數(shù)據(jù)而消耗設(shè)備資源。該協(xié)議可應(yīng)用于環(huán)路網(wǎng)絡(luò)，通過(guò)一定的算法實(shí)現(xiàn)路徑冗余，同時(shí)將環(huán)路網(wǎng)絡(luò)修剪成無(wú)環(huán)路的樹(shù)型網(wǎng)絡(luò)，從而避免報(bào)文在環(huán)路網(wǎng)絡(luò)中的增生和無(wú)限循環(huán)。STP的基本思想就是生成“一棵樹(shù)”，樹(shù)的根是一個(gè)稱為根橋的交換機(jī)，根據(jù)設(shè)置不

27、同，不同的交換機(jī)會(huì)被選為根橋，但任意時(shí)刻只能有一個(gè)根橋。由根橋開(kāi)始，逐級(jí)形成一棵樹(shù)，根橋定時(shí)發(fā)送配置報(bào)文，非根橋接收配置報(bào)文并轉(zhuǎn)發(fā)，如果某臺(tái)交換機(jī)能夠從兩個(gè)以上的端口接收到配置報(bào)文，則說(shuō)明從該交換機(jī)到根有不止一條路徑，便構(gòu)成了循環(huán)回路，此時(shí)交換機(jī)根據(jù)端口的配置選出一個(gè)端口并把其他的端口阻塞，消除循環(huán)。當(dāng)某個(gè)端口長(zhǎng)時(shí)間不能接收到配置報(bào)文時(shí)，交換機(jī)就認(rèn)為該端口的配置超時(shí)，網(wǎng)絡(luò)拓?fù)淇赡芤呀?jīng)改變，此時(shí)重新計(jì)算網(wǎng)絡(luò)拓?fù)?，重新生成一棵?shù)。生成樹(shù)協(xié)議拓?fù)鋱DSwitch1和Switch2為Cisco 3550交換機(jī)，Switch3和Switch4為Cisco 2950交換機(jī)。4個(gè)交換機(jī)其網(wǎng)卡地址的值從小到大排

28、列依次為Switch1, Switch2, Switch3和Switch4，4個(gè)Cisco交換機(jī)環(huán)形連接會(huì)產(chǎn)生報(bào)文轉(zhuǎn)發(fā)環(huán)路。為了避免該現(xiàn)象發(fā)生，可以在每個(gè)交換機(jī)上啟動(dòng)生成樹(shù)協(xié)議，在邏輯上阻斷冗余鏈路。 配置步驟1生成樹(shù)協(xié)議的常用配置命令啟用或禁用生成樹(shù)協(xié)議：Switch(config)#nospanning-tree vlan id指定網(wǎng)橋?yàn)槟硞€(gè)VLAN上的根網(wǎng)橋：Switch(config)#spanning-tree vlan id root primary指定網(wǎng)橋?yàn)槟硞€(gè)VLAN上的備份網(wǎng)橋：Switch(config)#spanning-tree vlan id root secondary設(shè)置網(wǎng)橋優(yōu)先級(jí)：Switch(config)#spanning-tree vlan id priority priority值 /*取值范圍為065535，默認(rèn)為32768在STP中，根網(wǎng)橋是具有最小橋ID的網(wǎng)橋，網(wǎng)橋ID由網(wǎng)橋優(yōu)先級(jí)和網(wǎng)橋MAC地址構(gòu)成。在網(wǎng)橋優(yōu)先級(jí)相同的情況下，MAC地