1、廣西在線思科高級網(wǎng)絡(luò)工程師Cisco Certified Network Associate(640-802+工程案例)主講：蒙碧舟www.G 第五章 交換機基礎(chǔ)知識及配置目標(biāo)完成本章,你能:描述二層交換機和透明橋是如何轉(zhuǎn)發(fā)分組的. 描述LAN交換機如何學(xué)習(xí)和使用MAC地址的.以太網(wǎng)的MAC地址Mac地址有4 8位，但它通常被表示為12位的點分十六進(jìn)制數(shù)。Mac地址全球唯一，由 I E E E對這些地址進(jìn)行管理和分配。每個地址由兩部分組成，分別是供應(yīng)商代碼和序列號。其中前2 4位二進(jìn)制代表該供應(yīng)商代碼。剩下的24位由廠商自己分配。如果48位全是1，則表明該地址是廣播地址。如果第8位是1，則表示

2、該地址是組播地址。00e0.fc39.8034能學(xué)習(xí)終端設(shè)備的MAC地址能根據(jù)MAC地址表做分組轉(zhuǎn)發(fā)過濾能通過STP(生成樹協(xié)議)實施環(huán)路避免以太網(wǎng)交換機和透明橋功能兩種交換方法（Two Switching Methods）根據(jù)帶寬分配給交換機端口的方式，LAN交換機可分為對稱或非對稱兩類。對稱交換和非對稱交換第2層交換和第3層交換第2層LAN交換機只根據(jù)OSI數(shù)據(jù)鏈路層（第2層）MAC地址執(zhí)行交換和過濾。第2層交換機對網(wǎng)絡(luò)協(xié)議和用戶應(yīng)用程序完全透明。 第3層交換機不僅使用第2層MAC地址信息來作出轉(zhuǎn)發(fā)決策，而且還可以使用IP地址信息。 第3層交換機還能夠執(zhí)行第3層路由功能，從而省去了 LAN

3、上對專用路由器的需要。 第3層交換機 第 3 層交換機通過檢查以太網(wǎng)數(shù)據(jù)包中的第 3 層信息來作出轉(zhuǎn)發(fā)決策。 第 3 層交換機可以像專用路由器一樣在不同的 LAN 網(wǎng)段之間路由數(shù)據(jù)包。 路由器 建立與遠(yuǎn)程網(wǎng)絡(luò)和設(shè)備的遠(yuǎn)程訪問連接。 專用路由器在支持WAN接口卡 (WIC)方面更加靈活，這使得它成為用于連接 WAN的首選設(shè)備，而且有時是唯一的選擇。 第2層交換和第3層交換第2層交換和第3層交換第3層交換機不能完全取代網(wǎng)絡(luò)中的路由器。路由器不僅可以執(zhí)行第3層交換機無法完成的其它第3層服務(wù)，還能夠執(zhí)行第3層交換機所無法實現(xiàn)的一些數(shù)據(jù)包轉(zhuǎn)發(fā)任務(wù)，例如建立與遠(yuǎn)程網(wǎng)絡(luò)和設(shè)備的遠(yuǎn)程訪問連接。地址學(xué)習(xí)工作站A

4、向工作站C發(fā)送幀.交換機緩存工作站A的MAC地址到MAC地址表中.由于在MAC地址表中沒有C的MAC地址,交換機向除了E0接口之外的所有其他接口擴(kuò)散(flooding)這個數(shù)據(jù)幀.在MAC地址表中的MAC地址缺省存留5分鐘.地址學(xué)習(xí) (繼續(xù))工作站D向工作站C發(fā)送數(shù)據(jù)幀.交換機緩存工作站D的MAC地址到端口E3中;交換機將向除了E3之外的所有接口擴(kuò)散這個數(shù)據(jù)幀,因為在MAC地址表中沒有工作站C的MAC地址.如果工作站C有回應(yīng),則交換機將緩存工作站C的MAC地址到MAC地址表中.交換機 選擇性轉(zhuǎn)發(fā)以太網(wǎng)交換機選擇性地將個別幀從接收端口轉(zhuǎn)發(fā)到連接目的節(jié)點的端口。交換機維護(hù)著一個表，稱為MAC 表。

5、該表將目的 MAC 地址與用于連接節(jié)點的端口進(jìn)行比對。交換機 選擇性轉(zhuǎn)發(fā)以太網(wǎng) LAN 交換機采用五種基本操作來實現(xiàn)其用途：獲取過期泛洪選擇性轉(zhuǎn)發(fā)過濾1交換機 選擇性轉(zhuǎn)發(fā)32交換機 選擇性轉(zhuǎn)發(fā)54交換機 選擇性轉(zhuǎn)發(fā)76過濾數(shù)據(jù)幀(繼續(xù))工作站A向工作站B發(fā)送數(shù)據(jù)幀.由于工作站B的MAC地址和接收的數(shù)據(jù)幀處于相同的接口,交換機將丟棄這個幀.工作站D發(fā)送廣播或多播幀.二層交換機的接口處于不同的沖突域,但卻處于相同的廣播域中,交換機對于多播或廣播沒有抑制的能力;因此,將向除了接收端口之外的所有其他端口擴(kuò)散這個幀.交換機從來也不學(xué)習(xí)多播或廣播地址.廣播和多播數(shù)據(jù)幀冗余消除了單點失效,實現(xiàn)了網(wǎng)絡(luò)的彈性和

6、高可用性.冗余帶來了廣播風(fēng)暴、相同幀的復(fù)制 、MAC地址表不穩(wěn)定等諸多問題,下面帶領(lǐng)大家進(jìn)行相應(yīng)的分析.冗余環(huán)境下的利與弊廣播風(fēng)暴（Broadcast Storm）主機X向路由器Y發(fā)送單播幀.路由器Y的MAC地址還沒有被交換機學(xué)習(xí)到.路由器Y將接收到兩個相同的幀.大多數(shù)協(xié)議被設(shè)計為不接收相同的幀,如果收到相同,就認(rèn)為是重傳的幀,但實際并不是如此;因此,會造成協(xié)議運算錯誤.有的協(xié)議會交給上層協(xié)議處理,有可能產(chǎn)生嚴(yán)重的后果.相同幀的不斷復(fù)制主機X發(fā)送單播幀給路由器Y.交換機還沒有學(xué)習(xí)到路由器Y的MAC地址.交換機A和B都在端口0學(xué)到了.兩臺交換機都從端口1擴(kuò)散這個幀.交換機和都從端口不正確地學(xué)習(xí)到

7、了主機的地址.伴隨著就是地址的不斷翻動，使包不能正確傳遞MAC 地址表的不穩(wěn)定總結(jié)橋接或交換網(wǎng)絡(luò)出于高可用性的目的，一般都有鏈路冗余；如果沒有相應(yīng)的避免技術(shù)，就會出現(xiàn)廣播風(fēng)暴、相同幀的復(fù)制，地址表不穩(wěn)定等諸多問題 廣播風(fēng)暴是“路徑回環(huán)”的結(jié)果，使得交換網(wǎng)絡(luò)無窮盡地發(fā)送和復(fù)制廣播包，最終使網(wǎng)絡(luò)癱瘓 在冗余的環(huán)境下,“相同幀的復(fù)制”指的是同一個幀到達(dá)主機兩次或多次，可能會引起不可預(yù)知的后果地址表不穩(wěn)定導(dǎo)致地址學(xué)習(xí)的翻動，嚴(yán)重干擾正常分組的發(fā)送，出現(xiàn)大量的傳遞錯誤，最終使網(wǎng)絡(luò)癱瘓更復(fù)雜的拓?fù)浣Y(jié)構(gòu)可能導(dǎo)致多重回路在第2層沒有能夠防止這種回路的機制服務(wù)器/主機工作站回路回路回路多重回路問題 廣播回路的解

8、決辦法: 生成樹協(xié)議Spanning-Tree Protocol將某些端口置于阻塞狀態(tài)就能防止冗余結(jié)構(gòu)的網(wǎng)絡(luò)拓?fù)渲挟a(chǎn)生回路 阻塞x總結(jié)以太網(wǎng)交換機的每個端口處于不同的沖突域中;因此消除了沖突,每個端口處于全帶寬方式,極大的提升了網(wǎng)絡(luò)性能. 交換機使用下列三種方式中的一種轉(zhuǎn)發(fā)數(shù)據(jù)幀:存儲轉(zhuǎn)發(fā),直通,無碎片轉(zhuǎn)發(fā)；目前以存儲轉(zhuǎn)發(fā)方式居多。 交換機通過維護(hù)MAC地址表來確定地址-端口的映射關(guān)系. 當(dāng)一個幀到達(dá)交換機時,如果在 MAC地址表中存在目的MAC和端口的映射則直接轉(zhuǎn)發(fā),無須擴(kuò)散.CISCO交換機啟動/配置基礎(chǔ)Catalyst 1900 交換機LED(發(fā)光二極管)說明Catalyst 2950

9、交換機LED說明交換機啟動順序啟動加載器是存儲在 NVRAM中的小程序，并且在交換機第一次開啟時運行。交換機加電自檢時LED狀態(tài)變化 1. 啟動時,所有端口的LED變?yōu)榫G色.2. 進(jìn)行POST程序測試,相應(yīng)接口的LED逐一變滅.3. 如果有POST程序檢測失敗,相應(yīng)的LED變?yōu)槌壬?4. 如果有POST檢測錯誤發(fā)生,系統(tǒng)LED也呈現(xiàn)橙色.5. 如果所有測試全部通過, 則POST 完成.6. 一旦POST完成,則所有端口的LED閃一下,然后全部變?yōu)镺FF狀態(tài).注:如果IOS系統(tǒng)丟失或處于交換機監(jiān)控模式時則所有端口LED全都變?yōu)榫G色,并且系統(tǒng)指示燈不斷閃爍.IP address: CDP: 啟動1

10、00baseT port: 自動協(xié)商雙工模式Spanning tree(生成樹): 啟動控制臺密碼: 無Catalyst 1900 and 2950 缺省配置所謂的缺省配置就是交換機出廠時的初始化配置.切換命令行界面模式作為一項安全功能，Cisco IOS軟件將 EXEC（執(zhí)行）會話分成以下訪問級別 用戶執(zhí)行：只允許用戶訪問有限量的基本監(jiān)視命令。用戶執(zhí)行模式是在從 CLI 登錄到 Cisco 交換機后所進(jìn)入的默認(rèn)模式。用戶執(zhí)行模式由 提示符標(biāo)識。 特權(quán)執(zhí)行：允許用戶訪問所有設(shè)備命令，如用于配置和管理的命令，特權(quán)執(zhí)行模式可采用口令加以保護(hù)，使得只有獲得授權(quán)的用戶才能訪問設(shè)備。特權(quán)執(zhí)行模式由 #

11、提示符標(biāo)識。切換命令行界面模式Cisco IOS軟件的命令模式結(jié)構(gòu)采用分層的命令結(jié)構(gòu)。每一種命令模式支持與設(shè)備中某一類型的操作關(guān)聯(lián)的特定 Cisco IOS命令。使用幫助Cisco IOS CLI提供了兩種類型的幫助：- 詞語幫助- 命令語法幫助使用幫助控制臺錯誤消息-當(dāng)輸入了不正確的命令時，控制臺錯誤消息有助于確定問題。Cisco CLI提供已輸入命令的歷史記錄。對于命令歷史記錄功能，可以完成以下任務(wù)：-顯示命令緩沖區(qū)的內(nèi)容。-設(shè)置命令歷史記錄緩沖區(qū)大小。.-重新調(diào)用存儲在歷史記錄緩沖區(qū)中的先前輸入的命令。每一種配置模式都有相應(yīng)的緩沖區(qū)。訪問命令歷史記錄Catalyst交換機的初始啟動需要完

12、成以下步驟：- 步驟 1：PC 或終端已連接到控制臺端口。準(zhǔn)備配置交換機準(zhǔn)備配置交換機Catalyst交換機的初始啟動需要完成以下步驟：- 步驟 2：終端仿真器應(yīng)用程序（如 HyperTerminal）正在運行且配置正確。準(zhǔn)備配置交換機Catalyst交換機的初始啟動需要完成以下步驟：- 步驟 3：在控制臺上查看啟動過程2.3.6 基本交換機配置管理接口注意事項- 要使用 TCP/IP 來遠(yuǎn)程管理交換機，就需要為交換機分配 IP 地址?；窘粨Q機配置配置管理接口- 要在交換機的管理 VLAN 上配置 IP 地址和子網(wǎng)掩碼，您必須處在 VLAN 接口配置模式下?；窘粨Q機配置配置默認(rèn)網(wǎng)關(guān)- 需要

13、將交換機配置為可將 IP 數(shù)據(jù)包轉(zhuǎn)發(fā)到遠(yuǎn)程網(wǎng)絡(luò)?；窘粨Q機配置驗證配置- 顯示了 VLAN 99 已經(jīng)配置了 IP 地址和子網(wǎng)掩碼，并且快速以太網(wǎng)端口 F0/18 已經(jīng)分配了 VLAN 99 管理接口?；窘粨Q機配置配置雙工和速度- 使用duplex接口配置命令來指定交換機端口的雙工操作模式?？梢允謩釉O(shè)置交換機端口的雙工模式和速度，以避免廠商間的自動協(xié)商問題?；窘粨Q機配置配置Web接口- 現(xiàn)代 Cisco 交換機有很多基于 Web 的配置工具，這些工具需要交換機配置為 HTTP 服務(wù)器。基本交換機配置管理MAC地址表- 交換機使用 MAC地址表來確定如何在端口間轉(zhuǎn)發(fā)流量。這些 MAC 表包含

14、動態(tài)地址和靜態(tài)地址。驗證交換機配置使用Show命令- 交換機使用 MAC地址表來確定如何在端口間轉(zhuǎn)發(fā)流量。這些 MAC 表包含動態(tài)地址和靜態(tài)地址。使用Show命令-當(dāng)需要驗證 Cisco 交換機的配置時，show 命令非常有用。 驗證交換機配置交換機show version命令wg_sw_a#show versionCisco Catalyst 1900/2820 Enterprise Edition SoftwareVersion V8.01.01 written from 171.068.229.225Copyright (c) Cisco Systems, Inc. 1993-2001w

15、g_sw_c uptime is 15day(s) 21hour(s) 53minute(s) 11second(s) cisco Catalyst 1900 (486sxl) processor with 2048K/1024K bytes of memoryHardware board revision is 5Upgrade Status: No upgrade currently in progress. Config File Status: No configuration upload/download is in progress 27 Fixed Ethernet/IEEE

16、802.3 interface(s)Base Ethernet Address: 00-50-BD-73-E2-C0這是一個1924交換機,有27個以太接口;當(dāng)前的軟件版本是:V8.01.01;從啟動到現(xiàn)在經(jīng)過了15天21小時53分鐘;每個端口的MAC地址是基于00-50-BD-73-E2-C0開始的,比如第一個端口的MAC地址是00-50-BD-73-E2-C1使用Show命令- show running-config 命令顯示交換機上當(dāng)前正在運行的配置。使用此命令可驗證是否正確配置了交換機。驗證交換機配置使用Show命令- show interfaces命令顯示交換機網(wǎng)絡(luò)接口的狀態(tài)信息和統(tǒng)

17、計信息。在配置和監(jiān)視網(wǎng)絡(luò)設(shè)備時，經(jīng)常會用到 show interfaces 命令。驗證交換機配置備份配置- 圖中顯示了三個將配置備份到閃存的示例?；窘粨Q機管理恢復(fù)配置 用已存配置覆蓋當(dāng)前配置。 當(dāng)配置恢復(fù)到 startup-config 中后，可在特權(quán)執(zhí)行模式下使用 reload 命令重新啟動交換機，以使其重新加載新的啟動配置?；窘粨Q機管理將配置文件備份到 TFTP 服務(wù)器 可以使用 TFTP 通過網(wǎng)絡(luò)備份配置文件。 當(dāng)配置成功存儲在 TFTP 服務(wù)器上之后，可以使用以下步驟將配置復(fù)制回交換機上： #copy tftp:/location/directory/filename system

18、:running-config基本交換機管理清除配置信息 要清除啟動配置的內(nèi)容，請使用 erase nvram: 或 erase startup-config 特權(quán)執(zhí)行命令。 要從閃存中刪除文件，請使用 delete flash:filename 特權(quán)執(zhí)行命令?；窘粨Q機管理交換機的口令恢復(fù)(1)步驟1:把管理機連接到交換機的CONSOLE接口,然后拔掉電源.步驟2:按住前面板的MODE按鈕,然后插上交換機的電源線.過5秒鐘左右松手,系統(tǒng)會有一些提示信息,表示進(jìn)入監(jiān)視模式switch:步驟3:輸入flash_init 初始化FLASH文件系統(tǒng).步驟4:輸入load_helper 裝載并初始化幫

19、助映像,這是存儲在ROM中的最小IOS映像,用于災(zāi)難恢復(fù).步驟5:輸入dir flash: 顯示FLASH的文件和目錄列表.步驟6:輸入rename flash:config.text flash:config.old ,修改配置文件名.步驟7:輸入boot,重啟系統(tǒng).步驟8:在提示符下鍵入N,跳過setup模式.交換機的口令恢復(fù)(2)步驟9:在提示符下,鍵入enable進(jìn)入特權(quán)模式.步驟10:輸入rename flash:config.old flash:config.text,將配置文件改回原來的名稱.步驟11:將配置文件拷貝到運行的配置中: Switch#copy startup-con

20、fig running-config步驟12:改變口令.步驟13:將改變的配置拷貝到配置文件中.配置交換機安全性配置口令選項保護(hù)控制臺- 要防止控制臺端口console受到未經(jīng)授權(quán)的訪問配置口令選項保護(hù)vty端口- Cisco 交換機的 vty 端口用于遠(yuǎn)程訪問設(shè)備。配置口令選項配置執(zhí)行模式口令- enable password 命令存在的一個問題是，它將口令以可閱讀文本的形式存儲在 startup-config 和 running-config 中。- 在全局配置模式提示符下輸入 enable secret 命令以及所要的口令，這樣即可指定加密形式的enable口令。如果配置了enable

21、secret口令，則交換機將使用enable secret口令，而不使用enable password口令。配置口令選項配置加密口令- 人們普遍認(rèn)同口令應(yīng)該加密，并且不能以明文格式存儲。- 當(dāng)從全局配置模式下輸入 service password-encryption 命令后，所有系統(tǒng)口令都將以加密形式存儲。配置口令選項enable口令恢復(fù)- 萬一遺失或遺忘了訪問口令，Cisco 提供了口令恢復(fù)機制以便于管理員仍能訪問其 Cisco 設(shè)備?？诹罨謴?fù)過程需要實際接觸設(shè)備。 并不能實際恢復(fù) Cisco 設(shè)備上的口令，尤其是在已啟用口令加密的情況下，但是可以將口令重設(shè)為新值。 系統(tǒng)在初始化閃存文件系

22、統(tǒng)之前已中斷。以下命令將初始化閃存文件系統(tǒng)，并完成操作系統(tǒng)軟件的加載： flash_init load_helper boot登錄標(biāo)語配置登錄標(biāo)語 Cisco IOS 命令集中包含一項功能，用于配置登錄到交換機的任何人看到的消息。這些消息稱為登錄標(biāo)語和當(dāng)日消息 (MOTD) 標(biāo)語。 所有連接的終端在登錄時都會顯示 MOTD 標(biāo)語。在需要向所有網(wǎng)絡(luò)用戶發(fā)送消息時（例如系統(tǒng)即將停機），MOTD 標(biāo)語尤其有用。配置Telnet和SSH遠(yuǎn)程訪問 Cisco 交換機上的 vty 有兩種選擇。常見安全攻擊MAC地址泛洪- 主機 A 向主機 B 發(fā)送流量。交換機收到幀，并在其 MAC 地址表中查找目的 MA

23、C 地址。如果交換機在 MAC 地址表中無法找到目的 MAC，則交換機將復(fù)制幀并將其從每一個交換機端口廣播出去。常見安全攻擊MAC地址泛洪 主機 B 收到幀并向主機 A 發(fā)送響應(yīng)。交換機隨后獲知主機 B 的 MAC 地址位于端口 2，并將該信息寫入 MAC 地址表。 主機 C 也收到從主機 A 發(fā)到主機 B 的幀，但是因為該幀的目的 MAC 地址為主機 B，因此主機 C 丟棄該幀。常見安全攻擊MAC地址泛洪 由主機 A（或任何其它主機）發(fā)送給主機 B 的任何幀都轉(zhuǎn)發(fā)到交換機的端口 2，而不是從每一個端口廣播出去。常見安全攻擊MAC地址泛洪 攻擊者使用交換機的正常操作特性來阻止交換機正常工作。常

24、見安全攻擊MAC地址泛洪只要網(wǎng)絡(luò)攻擊工具一直運行，交換機的 MAC 地址表就會始終保持充滿。當(dāng)發(fā)生這種情況時，交換機開始將所有收到的幀從每一個端口廣播出去，這樣一來，從主機 A 發(fā)送到主機 B 的幀也會從交換機上的端口 3 向外廣播。常見安全攻擊欺騙攻擊 攻擊者竊取網(wǎng)絡(luò)流量的一種辦法是偽裝有效DHCP服務(wù)器發(fā)出的響應(yīng)。常見安全攻擊欺騙攻擊要防止 DHCP 攻擊，請使用 Cisco Catalyst 交換機上的 DHCP偵聽和端口安全性功能。常見安全攻擊CDP 攻擊 默認(rèn)情況下，大多數(shù) Cisco 路由器和交換機都啟用了CDP。建議如果設(shè)備不需要使用 CDP，則在設(shè)備上禁用 CDP。常見安全攻擊

25、telnet攻擊的類型：暴力密碼攻擊 Dos攻擊抵御暴力密碼攻擊：-經(jīng)常更改密碼-使用強密碼-限制可通過vty線路進(jìn)行通信的人員抵御暴力密碼攻擊： 更新為最新版本的Cisco IOS軟件網(wǎng)絡(luò)安全工具執(zhí)行以下功能：-網(wǎng)絡(luò)安全審計幫助您 揭示攻擊者只需監(jiān)視網(wǎng)絡(luò)流量就能收集到哪種信息確定要去除的虛假MAC地址的理想數(shù)量確定MAC地址表的老化周期 - 網(wǎng)絡(luò)滲透測試幫助您：找出網(wǎng)絡(luò)設(shè)備配置中的弱點發(fā)起多種攻擊以測試網(wǎng)絡(luò)小心：應(yīng)仔細(xì)計劃滲透測試，以避免影響網(wǎng)絡(luò)性能安全工具現(xiàn)代網(wǎng)絡(luò)安全工具的常見功能包括：-服務(wù)識別支持SSL服務(wù)非破壞性測試和破壞性測試漏洞數(shù)據(jù)庫 安全工具安全工具使用網(wǎng)絡(luò)安全工具可以：-捕獲聊天消息-從NFS流量中捕獲文件捕獲通用日志格式的HTTP請求捕獲Berkeley mbox格式的郵件消息捕獲密碼顯示在Netscape中實時捕獲的URL用隨機MAC地址泛洪攻擊交換LAN仿造對DNS地址查詢和指針查詢的響應(yīng)截獲交換LAN上的數(shù)據(jù)包配置端口安全性在所有交換機端口上實施安全措施，以