交换机命令行管理.docx
- 文档编号:3616524
- 上传时间:2022-11-24
- 格式:DOCX
- 页数:85
- 大小:3.27MB
交换机命令行管理.docx
《交换机命令行管理.docx》由会员分享,可在线阅读,更多相关《交换机命令行管理.docx(85页珍藏版)》请在冰豆网上搜索。
交换机命令行管理
交换机命令行管理
交换机高级配置所涉及到的命令和技术,大多只适用于大中型规模的、网络应用较为广泛的网络,以及对网络安全性和稳定性要求较高的网络。
当然,高级配置自然需要性能较高的交换机的硬件和软件支持。
本章技术要点:
①VLAN、VLANTrunk、STP、VTP、QoS、HSRP、SPAN、RSPAN、CDP和UDLD的配置;②基于端口的传输控制;③EtherChannel的配置;④访问列表的配置;⑤配置Postfast端口;⑥三层交换机的基本配置。
10.1 配置VLAN
VLAN的主要作用有两点,一是提高网络安全性,阻止XX的VLAN访问,二是提高网络传输效率,将广播隔离在子网之内。
因此,VLAN划分是可网管交换机的最基本的配置之一。
10.1.1 VLAN配置策略
在配置VLAN时,应当遵循以下策略方针:
在VTP客户端、服务器和透明模式中,交换机支持1005个VLAN。
标准序列VLAN的ID号为1~1001。
VLAN号为1002~1005是TokenRing和FDDIVLAN。
VLAN1~1005通常被保存在VLAN数据库中。
如果VTP模式是透明的,VTP和VLAN配置也保存在交换机运行配置文件中。
在VTP透明模式(VTP禁用)中,交换机也支持VLANID1006~4094。
该扩展序列VLAN和%
10.1.2 VLAN默认配置
以太网VLAN默认配置见表10-1。
表10-1 以太网VLAN默认配置
属性
默认
范围
VLANID
1
1~4094。
扩展范围VLAN(ID6~4094)不能被保存在VLAN数据库
VLAN名称
VLANxxxx,其中xxxx表示为与VLANID相同的数字,包括0开头的VLANID
没有范围
IEEE802.10SAID
100001(100000加VLANID)
1~4294967294
MTU大小
1500
1500~18190
VLAN状态
活动,挂起
远程SPAN
2~1001,1006~4094
10.1.3 配置VLAN
创建VLAN共需要两个步骤,先是创建VLAN,然后,再将相关端口指定至该VLAN。
这个过程跟先划分若干部门,然后,再将人员一一分配至各部门非常相似。
如图10-1所示为在一台交换机上创建4个VLAN,并将相应的端口指定至相应的VLAN。
(点击查看大图)图10-1 VLAN划分1.创建VLAN
1.其具体操作步骤如下。
2.将端口指定至VLAN
当已经在交换机上创建了VLAN之后,接下来,就需要根据规划将相应的端口指定至该VLAN。
当然,也不必在创建VLAN后就立即返回至特权模式并保存配置,而是在将端口指定至VLAN后,再返回并保存。
其具体操作步骤如下。
若欲将多个端口指定至某个VLAN,必须一一重复执行上述命令。
或者采用指定端口组的方式,一次将多个端口指定至同一VLAN。
3.清除端口配置
将指定端口恢复为默认值,即可清除该端口的所有配置,当然也包括VLAN设置。
其具体操作步骤如下。
删除VLAN后,所有指定至VLAN的端口将不再可用,直到将其指定至新VLAN时止。
10.2 基于端口的传输控制
借助对端口传输控制的配置,既可以有效杜绝广播风暴对整个网络的冲击,从而保证网络的正常通信;同时,又可以拒绝未被授权的计算机接入网络,或者限制某个端口接入计算机的数量,从而保证网络的接入安全,避免网络被个别用户滥用。
10.2.1 配置端口属性
通常情况下,端口的传输速率和双工模式无需另行配置,可以采用系统默认值。
但是,为了便于实现对端口的远程管理,应当为每个端口都输入描述文字。
同时,为了降低端口配置的复杂性,可以将若干端口指定为端口组,从而将相关配置一次应用于该端口组内的所有端口。
1.端口基本配置
端口基本配置的内容包括速率、全双工模式和端口描述。
其具体操作步骤如下。
2.配置端口组
许多端口的配置都完全相同。
如果一个个端口分别地配置太过繁琐,又容易出错。
将若干端口定义成一个端口组后,只需设置该端口组,所包含的端口即可拥有相同的配置。
(1)指定端口范围
指定端口范围的具体操作步骤如下。
在指定端口范围时,注意以下几个方面的问题。
①有效的端口范围。
vlanvlan-ID:
VLANID的取值范围为1~1005(SI版软件),或1~4094(EI版软件)。
fastethernetslot/{firstport}-{lastport}:
slot的值为0。
gigabitethernetslot/{firstport}-{lastport}:
slot的值为0。
port-channelport-channel-number-port-channel-number:
port-channel-number的取值范围为1~6。
②连字符。
连续的端口号可以在起止端口号间使用连字符表示。
③端口类型。
端口组内的所有端口都必须是相同类型的,或者全部为FastEthernet端口、GigabitEthernet端口、EtherChannel端口或者全部为VLAN。
(2)定义端口组宏
如果需要频繁地配置某个端口组,可以将该端口组设置为端口组宏,针对该宏所作的设置,将应用至每个端口。
具体操作步骤如下。
3.检查模块或端口状态
对于多插槽交换机而言,可以使用showmoduleall命令检查已经安装的模块,以及每个模块的MAC地址、版本号及工作状态。
当然,也可以只检查指定的模块。
检查所有模块的状态:
Switch#showmoduleall
检查指定模块的状态:
Switch#showmodulemod_num
当需要查看端口工作状态时,可以使用showinterfacesstatus命令:
Switch#showinterfacesstatus
4.关闭并重启端口
关闭并重启端口的具体操作步骤如下。
10.2.2广播风暴控制
当端口接收到大量的广播、单播或多播包时,就会发生广播风暴。
转发这些包将导致网络速度变慢或超时。
借助于对端口的广播风暴控制,可以有效地避免硬件损坏或链路故障导致的网络瘫痪。
默认状态下,广播、多播和单播风暴控制被禁用
1.启用风暴控制
启用风暴控制的具体操作步骤如下。
以下列出了代码中各命令的具体描述:
level。
指定阻塞端口的带宽上限值。
当广播、多播或单播传输占到宽带的多大比例(百分比)时,端口将阻塞传输。
取值范围为0.00~100.00。
如果将值设置为100%,将不限制任何传输;如果将值设置为0%,那么,该端口的所有广播、多播和单播都将被阻塞。
level-low。
指定启用端口的带宽下限值。
该值应当小于或等于下限值,当广播、多播或单播传输占用带宽的比例低于该值时,端口恢复转发传输。
取值范围为0.00~100.00。
bps。
bps可表示为bit/s。
指定端口阻塞的传输速率上限值。
当广播、多播或单播传输达到每秒若干比特(bps)时,端口将阻塞传输。
取值范围为0.0~10000000000.0。
bps-low。
指定端口启用的传输速率下限值。
该值应当小于或等于下限值,当广播、多播或单播传输低于每秒若干比特(bps)时,端口将恢复传输。
取值范围为0.0~10000000000.0。
如果数值较大,也可以使用k、m或g等词头来表示。
pps。
指定端口阻塞的转发速率上限值。
当广播、多播或单播传输速率达到每秒若干包(pps)时,端口将阻塞传输。
取值范围为0.0~10000000000.0。
pps-low。
指定端口启用的传输速率下限值。
该值应当小于或等于下限值,当广播、多播或单播转发速率低于每秒若干包(pps)时,端口将恢复传输。
取值范围为0.0~10000000000.0。
如果数值较大,也可以使用k、m或g等词头来表示。
2.禁用风暴控制
禁用风暴控制的具体操作步骤如下。
10.2.3 端口流控制
流控制只适用于1000Base-T、1000Base-SX和GBIC端口。
在千兆端口启用流控制后,可以在拥塞期间暂停其他终端的连接。
当端口处于拥塞状态,无法接收到数据流时,将通知其他端口暂停发送,直到恢复正常状态。
当本地设备发现任何终端发生拥塞时,将发送一个暂停帧,以通知其连接伙伴或远端拥塞设备。
收到暂停帧后,远程设备将停止发送任何数据包,以防止在拥塞期内丢失任何数据包。
具体操作步骤如下。
当在交换机配置有QoS(QualityofService)时,不要再配置IEEE802.3X流控制。
10.2.4 端口带宽限制
网络传输速率变慢的主要原因,往往是某些用户对网络的滥用。
当使用MRTG等流量监控软件检测到流量来源于某个端口时,可以在核心交换机、汇聚交换机,甚至接入交换机上,对相应的端口作必要的处理,限制其传输带宽,从而限制每个用户所允许的最大流量,以便使其他网络用户能够恢复正常的网络应用服务。
具体操作步骤如下。
例如,若欲限制GigabitEthernet4/4带宽为128kbit/s,当连接的普通突发速率、最大突发在8KB(即64kbit/s)~9KB(即72kbit/s)范围内时,所执行的操作是transmit传输,即发送;当超出该范围时,则相应的操作就是drop。
其中,128000用于限制最大带宽,8000和9000则用于限制突发连接,保证不因个别用户的大量传输而使整个链路性能大幅度下降。
限制输入和输出速率后,该端口配置如下:
interfaceGigabitEthernet4/4
noswitchport
descriptiontushuguan
ipaddress211.82.220.9255.255.255.248
ipaccess-group120in
ipaccess-group120out
rate-limitoutputaccess-group10212800080009000
conform-actiontransmitexceed-actiondrop
rate-limitinputaccess-group10212800080009000
conform-actiontransmitexceed-actiondrop
!
IP访问列表只需设置应用带宽限制的IP地址范围(192.168.0.0~192.168.255.255)即可,内容如下:
access-list102permitip192.168.0.00.0.255.255any
在启用宽带限制之前,必须先在全局模式下执行ipcef命令,启用交换机的快速转发技术。
10.2.5 保护端口
保护端口可以确保同一交换机上的端口之间不进行通信。
保护端口不向其他保护端口转发任何传输,包括单播、多播和广播包。
传输不能在第二层保护端口间进行,所有保护端口间的传输都必须通过第三层设备转发。
保护端口与非保护端口间的传输不受任何影响。
具体操作步骤如下。
若欲禁用保护端口,可以使用noswitchportprotected端口配置命令。
10.2.6 端口阻塞
默认状态下,未知目的MAC地址的泛洪包被允许从端口向外传输。
如果未知的单播和多播通信被转发到保护端口,将导致安全问题。
可以采用阻塞端口的方式,防止未知的单播和多播通信被转在端口间转发。
具体操作步骤如下。
10.2.7 端口安全
借助安全端口,可以只允许指定的MAC地址或指定数量的MAC地址访问某个端口,从而避免XX的计算机接入网络,或限制某个端口所连接的计算机数量,从而确保网络接入的安全。
当配置端口安全时,应当注意以下问题:
安全端口不能是Trunk端口。
安全端口不能是SwitchPortAnalyzer(SPAN)的目的端口。
安全端口不能是属于EtherChannel的端口。
安全端口不能是private-VLAN端口。
1.配置安全端口
配置安全端口的具体操作步骤如下。
2.设置端口安全老化
当为端口指定最大MAC地址数时,为了保障该端口能够得以充分利用,可以采用设置端口安全老化时间和模式的方式,使系统能够自动删除长时间未连接的MAC地址,从而不必手动删除,减少网络维护的工作量。
具体操作步骤如下。
10.3 冗余链接配置
无论交换机、端口还是链路,都不可避免地会发生故障。
为了保证网络的畅通和稳定,提高网络的可用性,各种形式的冗余链接就成为必要。
10.3.1 配置EtherChannel
使用PAgP或LACP协议,可以很容易地在有EtherChannel能力的端口间,自动建立FastEtherChannel和GigabitEtherChannel连接,进行信息的交流。
该协议具有学习相邻端口组动态和信息的能力。
PAgP是EtherChannel的增强版,支持在EtherChannel上的SpanningTree和UplinkFast功能,并支持自动配置EtherChannel的捆绑。
UplinkFast也是Cisco交换机技术,能够保证交换机在几秒钟内快速从失败中恢复。
如图10-5所示为在CiscoCatalyst2960和Catalyst3750之间创建的拥有两条链路的GigabitEtherChannel。
(点击查看大图)图10-5 GigabitEtherChannel
只有在固定端口(如双绞线端口或光纤端口)之间才能创建EtherChannel,而由GBIC或SFP插槽所创建的链路是不能用于创建EtherChannel的。
1.创建EtherChannel
创建EtherChannel的具体操作步骤如下。
PAgP或LACP模式如下所示:
Auto。
当侦测到PAgP设备时,将只启用PAgP。
将端口置于被动协商状态,可以对接收到的PAgP作出响应,但是,不能主动发送PAgP包进行协商。
Desirable。
无条件启用PAgP。
将端口置于主动协商状态,通过发送PAgP包,主动与其他端口进行协商。
On。
将端口强行指定至Channel。
只有两个on模式端口组连接时,EtherChannel才可用。
non-silent。
如果交换机连接到有PAgP能力的伙伴,可以将端口配置为nonsilent(非沉默)运行。
如果没有为auto或desirable模式指定non-silent关键字,默认为silent。
沉默设置被用于连接到文件服务器或包分析仪。
该设置允许PAgP,将端口添加至Channel组,并使用端口进行传输。
active,当侦测到LACP设备时,将只启用LACP。
激活端口的主动协商状态,通过发送LACP包,与其他端口进行主动协商。
passive,当侦测到LACP设备时,将只启用LACP。
将端口置于被动协商状态,可以对接收到的LACP作出响应,但是,不能主动发送LACP包进行协商。
采用PAgP协议时,以下几种模式可以构建EtherChannel:
一个端口为desirable模式,另一个端口为desirable或auto模式。
一个端口为auto模式,另一个端口为desirable模式。
采用LACP协议时,以下几种模式可以构建EtherChannel:
一个端口为active模式,另一个端口为active或passive模式。
一个端口为active模式,另一个端口为passive模式。
GBIC和SFP端口不能被配置为EtherChannel。
2.配置EtherChannel负载均衡
EtherChannel还具有负载分担和线路备份的作用。
所谓负载分担,是指当交换机之间或交换机与服务器之间在进行通信时,EtherChannel的所有链路将同时参与数据的传输,从而使所有的传输任务都能在极短的时间内完成,线路占用的时间更短,网络传输的效率更高。
所谓线路备份,是指当部分EtherChannel链路出现故障时,并不会导致连接的中断,其他链路将能够不受影响地正常工作,从而增强了网络的稳定性和安全性。
具体操作步骤如下。
3.从EtherChannel中移除端口
从EtherChannel中移除端口的具体操作步骤如下。
4.移除EtherChannel
移除EtherChannel的具体操作步骤如下。
10.3.2 STP配置
(1)
扩展树协议(SpanningTreeProtocolSTP)又称为生成树协议,它的产生源于链路的冗余连接。
在大中型网络当中,与主干网和服务器的连接是非常重要的,而端口或交换机的损坏却是不可避免的,那么,如何在一条链路损坏之后,还能有其他的链路保持连接呢?
这自然就要引进冗余链接。
当然冗余的链接增加了系统的安全性,但同时也带来了另外一个问题,那就是拓扑环。
1.STP的功能
解决循环连接的方案就是STP。
通过一定算法,STP使任意两个节点间有且只有一条路径连接,而其他的冗余链路则被自动阻塞,作为备份链路(如图10-6所示,虚线表示备份链路)。
只有当活动链路失败时,备份链路才会被激活,从而恢复设备之间的连接,保证网络的畅通。
与EtherChannel不同,STP只能保证在两台设备间拥有一条活动链路,因此,也就无法实现带宽加倍和负载均衡。
这就好像是一棵树,从树根开始长起,然后是树干、树枝,最后到树叶,从而保证任意两片树叶间只有一条路。
而链路选举的标准就是优先级值(Priority)和端口费用(Cost)。
不过,STP的优点是可以在任何端口实现,而不一定是固定的双绞线端口或光纤端口。
(点击查看大图)
要启用STP的交换机,其端口处于以下几种状态之一:
Blocking(阻塞)。
不参与帧的转发。
Listening(侦听)。
当确定该端口将参与帧转发时,在阻塞状态后的第一个过渡状态。
Learning(学习)。
准备参与帧转发。
Forwarding(转发)。
转发帧。
Disabled(禁用)。
端口处于Shutdown状态、没有连接,或者没有启用STP,从而不参与STP。
默认的STP配置参数见表10-3。
表10-3 默认的STP配置
特征
默认配置
启用状态
VLAN1启用,最多可以启用64个STP
交换机优先级
32768
STP端口优先级
128
STP端口费用
1000Mbit/s:
4
100Mbit/s:
19
10Mbit/s:
100
STPVLAN端口优先级
128
STPVLAN端口费用
1000Mbit/s:
4
100Mbit/s:
19
10Mbit/s:
100
默认状态下,所有VLAN中的扩展树都被启用。
因此,无需为VLAN启用STP,只需根据拓扑结构,确定根交换机,并调整端口费用和优先级值,从而设置最佳路径。
2.禁用STP
如果确认在VLAN内没有拓扑环,可以禁用STP,以减少端口接入时的等待时间。
具体操作步骤如下。
若欲重新启用STP,可以使用spanning-treevlanvlan-id全局配置命令。
3.将交换机配置为根交换机
当VLAN中存在有拓扑环时,应当通过根交换机、端口优先级和路径费用等设置,确定网络拓扑结构,从而使Spanning-Tree(扩展树)的生成时间最短。
具体操作步骤如下。
若欲将交换机恢复为默认配置,可以在全局配置模式下使用nospanning-treevlanvlan-idroot命令。
10.3.2STP配置
(2)
4.配置端口优先值
如果VLAN内有拓扑环,Spanning-Tree将使用端口优先值确定将哪个端口置于转发状态,因此,可以为欲首先选择的端口赋予较高优先级值(较小的数值)。
如果所有端口都有相同的优先级值,那么,具有最小端口号的端口将被设置为转发状态,其他端口则处于阻塞状态。
使用nospanning-tree[vlanvlan-id]port-priority端口配置命令,可以将端口优先级恢复为默认值。
5.配置路径费用
Spanning-Tree路径费用的默认值取决于端口的类型与速率。
当VLAN中有拓扑环时,Spanning-Tree使用路径费用选择将哪个端口置于转发状态。
具有最低端口费用的端口将被选择用于向所有的VLAN转发帧。
因此,可以为欲选择的端口赋予较低的费用值,以确定网络拓扑。
通常情况下,应当为快速链路(如1000Mbit/s端口)赋予一个最小值,而为一个慢速链路(如100Mbit/s端口)赋予一个最大值。
如果所有端口的成本值都相同,那么,具有最小端口号的端口将被设置为转发状态,其他端口则处于阻塞状态。
具体操作步骤如下。
6.配置Trunk端口负载共享
借助负载共享,可以在拥有平行Trunk端口的交换机上实现带宽分流。
为了避免拓扑环,STP通常只保留平行连接中的一个连接,而阻止其他链接。
使用负载共享技术,可以依照通信所属VLAN,在两个链接之间分担流量。
(1)使用STP端口优先级实现负载共享
当两个端口位于同一台交换机上时会构成拓扑环,此时,交换机将使用STP端口优先级来决定启用哪个端口,阻止哪个端口。
可以在一个平行Trunk端口设置优先级,从而使该端口允许给定VLAN的所有数据的传输。
对于某个VLAN而言,拥有最高优先级(低值)的Trunk端口转发通信,拥有最低优先级(高值)的Trunk端口保持阻止状态。
Trunk端口负责发送或接收VLAN中所有的通信。
如图10-7所示,交换机之间有两个Trunk连接,相关配置如下:
VLAN8~10在Trunk1上指定的端口优先级值为16。
VLAN3~6在Trunk1上保持默认的端口优先级值128。
VLAN3~6在Trunk2上指定的端口优先级值为16。
VLAN8~10在Trunk2上保持默认的端口优先级值128。
此时,Trunk1负责VLAN8~10的数据传输,Trunk2负责VLAN3~6的数据传输。
当活动Trunk失败后,另外的Trunk连接将负责所有VLAN的传输。
配置过程的具体操作步骤如下。
(点击查看大图)图10-7 使用STP端口优先级实现负载共享
必须为每个端口连接配置相同的封装方式。
SwitchA(config-if)#switchporttrunkencapsulation{isl|dot1q|
negotiate}
10.3.2STP配置(3)
(2)使用STP路径费用实现负载共享
也可以通过设置不同的路径费用,在平行Trunk连接中共享VLAN传输,设置不同的端口。
通过为不同的VLAN设置不同的路径费用
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 交换机 命令行 管理