交換機系統(tǒng)基礎(chǔ)及常用配置

路由器安全技術(shù)技術(shù)基礎(chǔ)課程系列講師介紹邁普通信xxx部門：張三電話箱：zhangsan@課程內(nèi)容端口鏡像技術(shù)及應(yīng)用4交換機系統(tǒng)基礎(chǔ)1VLAN技術(shù)及應(yīng)用2鏈路匯聚技術(shù)及應(yīng)用3MAC地址表管理5交換機三種典型配置方式

通過console口，采用shell命令進行配置通過Telnet遠(yuǎn)程登錄到交換機上配置通過SNMP網(wǎng)管系統(tǒng)對交換機進行配置交換機命令運行模式

模式名稱模式進入方法系統(tǒng)提示符功能說明普通用戶模式用戶合法性驗證通過后自動進入Switch>·執(zhí)行基本測試·顯示基本系統(tǒng)信息Enable模式在STD模式下執(zhí)行enable命令Switch#·查看交換機的全部運行狀態(tài)和統(tǒng)計信息文件系統(tǒng)配置模式在Enable模式下通過命令filesystem進入該模式Switch(config-fs)#·文件系統(tǒng)配置模式全局配置模式在Enable模式下執(zhí)行configureterminal命令Switch(config)#·配置交換機運行全局參數(shù)端口配置模式在全局配置模式或者端口配置模式下執(zhí)行portport-list命令Switch(config-port-0/1)#·配置交換機運行端口參數(shù)VLAN協(xié)議配置模式在全局配置模式或VLAN協(xié)議配置模式下執(zhí)行vlanvlan_id命令Switch(config-vlan1)#·配置交換機運行VLAN協(xié)議參數(shù)接口配置模式在全局模式下或者接口模式下執(zhí)行interface命令(同時指定相應(yīng)的接口)Switch(config-if-vlan10)#·配置接口信息系統(tǒng)命令結(jié)構(gòu)模式圖進行配置只能看看能夠操作系統(tǒng)基本配置

命令描述配置模式hostnamehostname配置交換機名稱configclockyearmonthdayhourminutesecond配置系統(tǒng)時鐘enableclocktimeone{|stringhourOffset[minOffset]}配置系統(tǒng)時區(qū)config系統(tǒng)登錄安全服務(wù)配置

命令描述配置模式servicelogin-secure啟動系統(tǒng)安全服務(wù)configlogin-securecheck-record-interval<>配置登錄安全服務(wù)清除老化的登錄認(rèn)證失敗和快速連接信息間隔時間。系統(tǒng)默認(rèn)60分鐘configlogin-secureforbid-time<>配置登錄安全服務(wù)禁止違規(guī)IP地址登錄的時間。系統(tǒng)默認(rèn)10分鐘configlogin-securemax-try-time<1-20>配置登錄安全服務(wù)起效的連續(xù)登錄認(rèn)證失敗次數(shù)。系統(tǒng)默認(rèn)5次configlogin-securerecord-aging-time<>配置登錄安全服務(wù)老化登錄認(rèn)證失敗和快速連接信息的時間。系統(tǒng)默認(rèn)15分鐘configlogin-securequick-connectmax-times<10-10000>配置安全登錄服務(wù)的防止快速連接功能的最大連接次數(shù)。系統(tǒng)默認(rèn)20次configlogin-securequick-connectrestrict-interval<10s-600s>配置安全登錄服務(wù)的防止快速連接功能的兩次連接間的最小間隔時間。系統(tǒng)默認(rèn)30秒。configlogin-securequick-connectunrestrict-interval<>配置安全登錄服務(wù)的防止快速連接功能起效后禁止違規(guī)IP地址登錄連接時間。系統(tǒng)默認(rèn)20分鐘configshowlogin-secureinformation查看登錄安全服務(wù)的登錄認(rèn)證失敗記錄enableshowlogin-securequick-connect查看登錄安全服務(wù)的快速連接記錄enable文件系統(tǒng)命令簡介

命令命令功能命令運行模式copy文件拷貝config-fsftpcopy通過FTP服務(wù)器拷貝文件config-fstftpcopy通過TFTP服務(wù)器拷貝文件config-fsdelete文件刪除config-fstype查看文件內(nèi)容config-fsdir查看目錄或文件config-fscd改變當(dāng)前路徑config-fs系統(tǒng)工具

系統(tǒng)命令show可以查看的信息分為以下幾類：系統(tǒng)軟、硬件資源信息系統(tǒng)統(tǒng)計信息系統(tǒng)配置信息系統(tǒng)基本信息命令功能stack顯示系統(tǒng)中各個任務(wù)堆棧的使用情況memory顯示系統(tǒng)內(nèi)存信息mbuf顯示系統(tǒng)緩沖區(qū)信息process顯示系統(tǒng)任務(wù)/進程信息device顯示系統(tǒng)物理、邏輯設(shè)備信息interface顯示系統(tǒng)網(wǎng)絡(luò)接口信息hosts顯示系統(tǒng)內(nèi)部主機表信息arp顯示系統(tǒng)ARP表信息ip顯示IP層（包括TCP、UDP）的統(tǒng)計信息startup-config顯示系統(tǒng)啟動配置文件內(nèi)容version顯示系統(tǒng)硬件、軟件版本信息system{chassis|mpu|lpu|sfu|siu|power|fan}顯示系統(tǒng)板卡、SIU、電源、風(fēng)扇等各設(shè)備部件信息系統(tǒng)認(rèn)證和命令分級授權(quán)管理

命令描述配置模式enablepassword[0]string設(shè)置enable密碼confignoenablepasswordCR|level1~15刪除enable密碼configuserstringpassword0LINE設(shè)置用戶的密碼configuserstringnopassword設(shè)置用戶在登錄時無需密碼驗證configuserstringprivilege0-15設(shè)置用戶的授權(quán)級別config軟件系統(tǒng)升級MONITOR程序升級通過console升級monitor程序的bin文件命令格式：lxr<CR>Monitor:>lxr

downloadmonitorimage<.bin>withxmodemprotocol:XMODEMReceive:WaitingforSender...CCCdownloadsuccess,imagesize=xxxxxx(xxxxxx).

Updatemonitorflash.…………………………Monitor:>軟件系統(tǒng)升級MONITOR程序升級通過TFTP/FTP方式升級monitor程序的bin文件命令格式：Sysupdate[vrfvrf-name]dest-ipaddress

filenamemonitor[ftpftp-usernameftp-password][reload]<CR>SWITCH#sysupdate0

monitor.binmonitor[reload]<CR>downloading"monitor.bin":##################################################################################################################OKDownload"monitor.bin"(xxxxxxBytes)successedUpdatemonitorflash.……………………..SysupdatemonitorOK.switch#軟件系統(tǒng)升級應(yīng)用程序(IOS)升級通過TFTP/FTP方式升級應(yīng)用程序的pck文件配置命令：

Sysupdate[vrfvrf-name]dest-ipaddress

filenameimage[ftpftp-usernameftp-password][reload]<CR>SWITCH#sysupdate5switch.pckimageftptargettarget[reload]<CR>downloading"switch.pck":##########################################################OKDownload"switch.pck"(xxxxxxxBytes)successedWritingfile/flash/switch.pck..........................................................................................................................................................................................OK!backupiostorawflash...................................OK!Sysupdateimageswitch.pcksuccessed!Switch#端口基本配置進入端口配置模式全局配置模式下使用portportlist

來開始端口的配置模式命令描述switch#configterminal進入全局配置模式switch(config)#portportlist

進入端口配置模式單個端口，6800和8900系列用“config-port-×/×”表示；3900系列使用config-port-x/x/x表示；多個端口，用“config-port-range”表示。端口配置命令命令描述配置模式shutdown開啟端口/聚合組config-port-xxxconfig-port-rangeconfig-link-aggregationnoshutdown關(guān)閉端口/聚合組config-port-xxxconfig-port-rangeconfig-link-aggregationdescriptionstring配置端口描述信息config-port-xxxconfig-port-rangeconfig-link-aggregationnodescription取消描述信息配置config-port-xxxconfig-port-range

config-link-aggregationduplex{auto|full|half}配置雙工模式config-port-xxxconfig-port-rangespeed{10|100|1000|10000|auto}配置速率config-port-xxxconfig-port-rangestorm-control{broadcast|multicast|unicast}{ppspackets|bpsrate-bps}配置風(fēng)暴抑制config-port-xxxconfig-port-rangenostorm-control{broadcast|multicast|unicast}取消端口的風(fēng)暴控制config-port-xxxconfig-port-rangestorm-controlaction{shutdown|trap}配置風(fēng)暴控制行為config-port-xxxconfig-port-range端口配置命令命令描述配置模式flowcontrol{on|off}配置流量控制config-port-xxxmdix{auto|normal|cross}配置端口信號發(fā)送方式config-port-xxxconfig-port-rangemtunum配置最大報文長度config-port-xxxconfig-port-rangelink-delay<second>配置狀態(tài)延時時間config-port-xxxconfig-port-rangeloopback{external|internal}進行環(huán)回測試config-port-xxxconfig-port-rangenoloopback取消環(huán)回測試config-port-xxxconfig-port-rangehol-blocking{enable|disable}配置是否使能線頭阻塞config-port-xxxconfig-port-rangeport-mode{lan|wan}配置端口工作模式config-port-xxxconfig-port-rangemedia-type{auto|copper|fiber}配置端口的媒介類型config-port-xxxconfig-port-range端口配置命令命令描述配置模式errdisablerecoveryintervaltimer-value配置err-disabled端口的自動恢復(fù)時間configerrdisablerecoverycause{all|bpduguard|ulfd|dai|dhcp-snooping|l|oam|storm-control|eips-udld}配置err-disabled后可以自動恢復(fù)的模塊confignoerrdisablerecoverycause{all|bpduguard|ulfd|dai|dhcp-snooping|l|oam|storm-control|eips-udld}取消err-disabled后可以自動恢復(fù)的模塊配置configport-type{uni|nni}配置端口UNI/NNI類型config-port-xxxconfig-port-range

config-link-aggregationnoport-type恢復(fù)端口默認(rèn)UNI/NNI類型config-port-xxxconfig-port-rangeconfig-link-aggregationuni-isolate{

community|

isolated}配置UNI端口之間是否通信config-port-xxxconfig-port-rangeconfig-link-aggregationtestcable-diagnosticsport[portlist]檢測端口上連接電纜的狀態(tài)enableclearcable-diagnosticsport[portlist]清除指定端口上線纜檢測結(jié)果enable課程內(nèi)容端口鏡像技術(shù)及應(yīng)用4交換機系統(tǒng)基礎(chǔ)1VLAN技術(shù)及應(yīng)用2鏈路匯聚技術(shù)及應(yīng)用3MAC地址表管理5VLAN原理－IEEE802.1Q標(biāo)準(zhǔn)DASATypeDataCRC標(biāo)準(zhǔn)以太網(wǎng)幀

DASATagTypeDataCRC0x8100PriorityCFIVLANIDIEEE802.1Q標(biāo)準(zhǔn)幀格式802.1QVLAN相關(guān)概念A(yù)ccess類型端口只能屬于一個VLAN，且端口的缺省VLANID與所屬的VLANID相同，一般與用戶設(shè)備相連。端口的默認(rèn)類型為Access類型。Trunk類型端口可以允許多個VLAN通過，可以接收和發(fā)送多個VLAN的報文，只允許缺省VLAN的報文發(fā)送時不帶Tag標(biāo)簽，一般用于網(wǎng)絡(luò)設(shè)備之間互聯(lián)。Hybrid類型端口可以加入多個VLAN，可以接收和發(fā)送多個VLAN的報文，可以允許多個VLAN的報文發(fā)送不帶Tag標(biāo)簽，可用于與用戶設(shè)備相連，也可用于于網(wǎng)絡(luò)設(shè)備互聯(lián)。VLAN應(yīng)用實例VLAN60包括：Port1（access）Port2（access）Port5（trunk）VLAN61包括：Port3（access

）Port4（access）Port5（trunk）

表2VLAN示例表1VLAN配置示例

Port12345缺省VLAN6060616160MyPowerP3126GPort1Port2Port3Port4Port5VLAN60VLAN61MPSXXXX建議VLAN和IP子網(wǎng)間是一對一的關(guān)系，便于管理VLAN配置啟動VLAN配置

配置命令：vlan

vlan-num【配置模式】VLAN協(xié)議配置模式。語法描述Vlan-num打開VLAN命令，并進入到VLAN配置模式，值的范圍為1~4094。

配置VLAN的端口狀態(tài)

配置命令：port

mode{access|trunk|hybrid}【配置模式】VLAN協(xié)議配置模式。語法描述access端口模式類型為Accesstrunk端口模式類型為Trunkhybrid端口模式類型為HybridVLAN配置配置端口的VLAN

配置Access端口加入VLAN。該命令的no形式，端口加入默認(rèn)VLAN1

。配置命令：pvid

accessvlanvlanId

【配置模式】端口配置模式。查看VLAN信息

配置命令：showvlan[vlan_id]【配置模式】Enable模式、全局配置模式、VLAN協(xié)議配置模式語法描述vlanIdvlanId的取值范圍為1～4094VLAN配置范例命令描述switch#configureterminal用戶從特權(quán)用戶模式進入全局配置模式switch(config)#port0/1進入端口0/1配置狀態(tài)switch(config-port-0/1)#portmodeaccess配置端口模式類型為Access（端口默認(rèn)模式Access，可以省略）switch(config-port-0/1)#portaccessvlan10端口加入VLAN10Access端口配置實例VLAN配置范例命令描述switch#configureterminal用戶從特權(quán)用戶模式進入全局配置模式switch(config)#port0/1進入端口0/1配置狀態(tài)switch(config-port-0/1)#portmodetrunk配置端口模式為Trunkswitch(config-port-0/1)#porttrunkallowedvlan10-20端口允許VLAN10~20通過switch(config-port-0/1)#porttrunkpvidvlan30配置端口的缺省VLANswitch(config-port-0/1)#vlandot1qtagpvid配置Trunk端口的缺省VLAN報文發(fā)送時帶TagTrunk端口配置實例VLAN配置范例命令描述switch#configureterminal用戶從特權(quán)用戶模式進入全局配置模式switch(config)#port0/1進入端口0/1配置狀態(tài)switch(config-port-0/1)#portmodehybrid配置端口模式類型為Hyrbidswitch(config-port-0/1)#porthybriduntaggedvlan10端口加入VLAN10，該VLAN報文發(fā)送不帶Tagswitch(config-port-0/1)#porthybridtaggedvlan30端口加入VLAN30，該VLAN報文發(fā)送帶Tagswitch(config-port-0/1)#porthybridpvidvlan20配置端口的缺省VLANHybrid端口配置實例VLAN配置范例命令描述switch(config)#vlan2創(chuàng)建vlan2switch(config)#port0/1進入端口0/1配置狀態(tài)switch(config-port-0/1)#portaccessvlan2將端口0/1加入vlan2switch(config)#interfacevlan2創(chuàng)建vlan2的三層接口switch(config-if-vlan2)#ipaddress配置vlan2的三層接口地址三層接口配置實例課程內(nèi)容端口鏡像技術(shù)及應(yīng)用4交換機系統(tǒng)基礎(chǔ)1VLAN技術(shù)及應(yīng)用2鏈路匯聚技術(shù)及應(yīng)用3MAC地址表管理5鏈路匯聚技術(shù)

鏈路匯聚，即LinkAggregation，把多個物理鏈路捆綁在一起形成一個邏輯鏈路，它可以用于擴展鏈路帶寬。各個匯聚成員鏈路相互之間起到了動態(tài)備份的作用，提供更高的連接可靠性。1根千兆網(wǎng)線2根千兆網(wǎng)線作用兩臺設(shè)備之間的帶寬可以拓展到2000Mbps當(dāng)一條線纜出現(xiàn)問題，只是減少帶寬，但是通信不中斷；流量可以負(fù)載均衡；S2S1S2S1鏈路匯聚基本命令命令描述配置模式link-aggregationagg-idmode{manual|lacp}*創(chuàng)建匯聚組configlink-aggregationagg-idload-balance{dst-ip|dst-mac|src-dst-ip|src-dst-mac|src-ip|src-mac}設(shè)置匯聚組的負(fù)載均衡模式configlacpsystem-prioritypriority設(shè)置LACP系統(tǒng)優(yōu)先級configlink-aggregationagg-id{manual|active|passive}*端口加入?yún)R聚組config-port-XXXlacpport-prioritypriority設(shè)置LACP端口優(yōu)先級config-port-XXXnolink-aggregationagg-id刪除指定的匯聚組confignolink-aggregationagg-id將端口退出指定的匯聚組config-port-XXXnolacpsystempriority設(shè)置LACP系統(tǒng)優(yōu)先級為默認(rèn)值confignolacpport-priority設(shè)置LACP端口優(yōu)先級為默認(rèn)值config-port-XXXnolink-aggregationagg-idload-balance設(shè)置匯聚組的負(fù)載均衡為默認(rèn)值config鏈路匯聚實例

實例描述：上圖兩交換機之間端口0/1-0/3互聯(lián)，本地交換機switch1與對端交換機switch2匯聚，兩端各自有3個端口參與匯聚，假設(shè)兩端參加匯聚的端口號都是0/1-0/3。鏈路匯聚實例命令描述switch(config)#link-aggregation1modemanual創(chuàng)建手工匯聚組1switch(config)#port0/1-0/3進入端口模式switch(config-port-range)#link-aggregation1manual將端口以手工模式加入?yún)R聚組模式一：手工匯聚switch1的配置:命令描述switch(config)#link-aggregation1modemanual創(chuàng)建手工匯聚組1switch(config)#port0/1-0/3進入端口模式switch(config-port-range)#link-aggregation1manual將端口以手工模式加入?yún)R聚組switch2的配置:鏈路匯聚實例模式二：協(xié)議匯聚switch1的配置:命令描述switch(config)#link-aggregation1modelacp創(chuàng)建協(xié)議匯聚組1switch(config)#port0/1-0/3進入端口模式switch(config-port-range)#link-aggregation1active將端口以協(xié)議模式加入?yún)R聚組switch2的配置:命令描述switch(config)#link-aggregation1modelacp創(chuàng)建協(xié)議匯聚組1switch(config)#port0/1-0/3進入端口模式switch(config-port-range)#link-aggregation1active將端口以協(xié)議模式加入?yún)R聚組課程內(nèi)容端口鏡像技術(shù)及應(yīng)用4交換機系統(tǒng)基礎(chǔ)1VLAN技術(shù)及應(yīng)用2鏈路匯聚技術(shù)及應(yīng)用3MAC地址表管理5端口鏡像端口鏡像(PortMirroring)把交換機一個或多個端口（VLAN）的數(shù)據(jù)鏡像到一個或多個端口的方法。

端口鏡像的功能，可以監(jiān)視到進出網(wǎng)絡(luò)的所有數(shù)據(jù)包，通過分析工具，可以對用戶進行網(wǎng)絡(luò)訪問的數(shù)據(jù)進行記錄、分析。

應(yīng)用場景：對用戶數(shù)據(jù)進行監(jiān)控、接IDS分析設(shè)備；鏡像數(shù)據(jù)SPAN功能簡介

SwitchedPortAnalyzer（SPAN）是交換機端口分析，用來監(jiān)控交換機端口數(shù)據(jù)流的一種管理方式，原來稱為端口鏡像，為了更準(zhǔn)確的描述，并和業(yè)界通用，都統(tǒng)一叫做SPAN。SPAN包括本地SPAN和遠(yuǎn)程SPAN兩種。SPANSession--SPAN會話SPAN會話是指一組監(jiān)控端口與一個目的端口之間的數(shù)據(jù)流?？梢栽试S多個監(jiān)控端口的數(shù)據(jù)被鏡像到目的端口。被鏡像的數(shù)據(jù)流可以是輸入數(shù)據(jù)流，也可以是輸出數(shù)據(jù)流或者是同時鏡像輸入輸出流?？梢詫μ幱陉P(guān)閉狀態(tài)的端口設(shè)置SPAN，但此時的SPAN會話是非活動,但只要相關(guān)的接口被打開，SPAN就會變?yōu)榛顒拥摹１槐O(jiān)控的流量類型分為三種，Receive(Rx)監(jiān)控端口的接收流量，Transmit(Tx)監(jiān)控端口的發(fā)送流量，Both監(jiān)控端口的接收和發(fā)送流量。LocalSPAN—本地SPAN

本地SPAN支持在一臺交換機上的端口鏡像，所有的監(jiān)控端口和目的端口在同一臺交換機上。本地SPAN鏡像一個或多個監(jiān)控端口的數(shù)據(jù)到目的端口。SourcePort

DestinationPort

RSPAN—遠(yuǎn)程SPAN

RSPAN支持監(jiān)控端口和目的端口不在同一臺交換機上，跨越網(wǎng)絡(luò)實現(xiàn)遠(yuǎn)程監(jiān)控。每個RSPANSession在指定的RSPANVLAN上承載監(jiān)控流量。RSPAN包括RSPANSourceSession(源會話)、RSPANVLAN和RSPANDestinationSession(目的會話)，需要在不同的交換機配置RSPAN源會話和RSPAN目的會話。配置RSPAN源會話時，需要指定一個或多個監(jiān)控端口和一個RSPANVLAN。監(jiān)控數(shù)據(jù)發(fā)送到RSPANVLAN。在另一臺交換機設(shè)備配置RSPAN目的會話，需要指定目的端口和RSPANVLAN，RSPAN目的會話將RSPANVLAN數(shù)據(jù)發(fā)送到目的端口。SourcePort

DestinationPort

RSPANVLANSwitch1

Switch2

0/30/10/100/10基本配置命令命令描述配置模式nomonitorsession{session_number|all|local|remote}清除SPANSession配置。configmonitorsessionsession_numbersource{portport-id|[,|-][both|rx|tx]}|{remotevlanvlan-id}|{link-aggregationlinkNum}*指定SPANSession和源端口、RSPANDestinationSession關(guān)聯(lián)RSPANVLAN。configmonitorsessionsession_numberdestination{portport-id|link-aggregationlinkNum}|{remotevlanvlan-idportport-id}*指定SPANSession目的端口、RSPANSourceSession關(guān)聯(lián)RSPANVLAN。configremote-span*配置VLAN為RSPANVLAN。VLAN模式應(yīng)用實例實例描述：如圖所示，在switch中，配置port0/1為監(jiān)控端口，監(jiān)控流量類型為rx，配置port0/2為目的端口。將port0/1入方向的數(shù)據(jù)鏡像到目的端口port0/2。命令描述switch(config)#monitorsession1sourceport0/1rx配置監(jiān)控端口，監(jiān)控流量類型為rx。switch(config)#monitorsession1destinationport0/2配置目的端口。課程內(nèi)容端口鏡像技術(shù)及應(yīng)用4交換機系統(tǒng)基礎(chǔ)1VLAN技術(shù)及應(yīng)用2鏈路匯聚技術(shù)及應(yīng)用3MAC地址表管理5MAC地址表管理簡介MAC地址表項包含了用于端口之間進行報文轉(zhuǎn)發(fā)的地址信息，MAC地址表項中分為3類地址：靜態(tài)MAC地址：靜態(tài)MAC地址只能通過手動設(shè)置或者其他軟件模塊設(shè)置動態(tài)MAC地址：交換機接收到報文后，根據(jù)報文源MAC地址學(xué)習(xí)到的MAC地址過濾MAC地址：過濾MAC地址具有全局性，作用于整臺交換機。當(dāng)設(shè)備接收到以過濾地址為源地址或者目的地址的報文時將會直接丟棄MAC地址表管理基本命令命令描述配置模式mac-addressstaticH.H.Hvlanvlan-id{portportnum|link-aggregationtrunk-id}設(shè)置靜態(tài)MAC地址confignomac-addressstaticH.H.Hvlanvlan-id{portportnum|link-aggregationtrunk-id}刪除一個靜態(tài)MAC地址configmac-addressstaticH.H.Hvlanvlan-iddrop設(shè)置一個靜態(tài)過濾MAC地址confignomac-addressstaticH.H.Hvlanvlan-iddrop刪除一個靜態(tài)過濾MAC地址configmac-address