交換機(jī)基本功能學(xué)習(xí)總結(jié)

1學(xué)習(xí)總結(jié)—交換機(jī)知識(shí)學(xué)習(xí)報(bào)告主要內(nèi)容一、交換機(jī)基本源理二、交換機(jī)功能介紹21、交換機(jī)概括2、交換機(jī)轉(zhuǎn)發(fā)原理3、交換機(jī)常用接口3一、交換機(jī)基本源理一、交換機(jī)基本源理——交換機(jī)概括交換機(jī)：（1）在通信系統(tǒng)中達(dá)成信息交換功能的設(shè)備；（2）主要工作在數(shù)據(jù)鏈路層；（3）采用物理地址進(jìn)行信息交互。交換機(jī)中轉(zhuǎn)發(fā)的兩種常有的幀格式:（1）以太網(wǎng)幀格式（2）IEEE802.1Q幀格式4交換機(jī)的核心思想：鑒于源MAC學(xué)習(xí)、鑒于目的MAC轉(zhuǎn)發(fā)過程管理依照：MAC地址表項(xiàng)一、交換機(jī)基本源理——交換機(jī)轉(zhuǎn)發(fā)原理MAC端口端口類別VLANMAC地址表項(xiàng)構(gòu)成手工配置和動(dòng)向?qū)W習(xí)的MAC地址表項(xiàng)這里的index表示什么意思？有什么作用？更新和保護(hù)MAC地址表：（1）手工配置地址：a.靜態(tài)地址表項(xiàng)，使用于網(wǎng)絡(luò)中比較固定的網(wǎng)絡(luò)設(shè)備，能夠減少網(wǎng)絡(luò)中的廣播包；能夠防范未受權(quán)設(shè)備接入網(wǎng)絡(luò)或攻擊網(wǎng)絡(luò)。b.配置過濾地址，當(dāng)接收到的數(shù)據(jù)報(bào)文源MAC或目的MAC與過濾表項(xiàng)中的地址符合的，拋棄。（2）動(dòng)向地址學(xué)習(xí)：動(dòng)向地址表項(xiàng)，存在老化時(shí)間。一、交換機(jī)基本源理——交換機(jī)轉(zhuǎn)發(fā)原理MAC地址學(xué)習(xí)和報(bào)文轉(zhuǎn)發(fā)過程：當(dāng)交換機(jī)收到一個(gè)報(bào)文，辦理過程以下：（1）查察MAC地址表項(xiàng)（2）依據(jù)結(jié)果，辦理報(bào)文（3）更新MAC地址表項(xiàng)a.在MAC地址表中增加記錄b.更新MAC地址表中記錄信息。一、交換機(jī)基本源理——交換機(jī)轉(zhuǎn)發(fā)原理依據(jù)報(bào)文的目的MAC地址、報(bào)文所屬的VLANID、MAC地址表中查找相應(yīng)的轉(zhuǎn)發(fā)輸出端口；a.拋棄b.采納單播、組播、廣播和復(fù)制流的方式轉(zhuǎn)發(fā)報(bào)文幾種常用接口：設(shè)備上的單個(gè)物理接口有三種模式：Access、Trunk、Hybrid，經(jīng)過SwitchPort接口配置命令；用于管理物理接口和與之有關(guān)的第二層協(xié)議。鏈路匯聚口把多個(gè)端口的帶寬疊加起來使用，擴(kuò)展了鏈路帶寬；鏈路匯聚支持負(fù)載均衡,能夠把流量均勻地分派給各成員鏈路。SVI接口SVI能夠做為本機(jī)的管理接口，經(jīng)過該管理接口管理員可管理設(shè)備。用來實(shí)現(xiàn)三層交換的邏輯接口。一、交換機(jī)基本源理——交換機(jī)接口交換機(jī)接口表示圖：一、交換機(jī)功能介紹——交換機(jī)接口交換機(jī)接口表示圖二、交換機(jī)功能介紹1、VLAN管理2、ACL3、IGMP4、DHCP5、端口管理二、交換機(jī)功能介紹——VLAN管理什么是VLAN？VLAN有什么用？虛假局域網(wǎng)，VirtualLocalAreaNetwork，虛假局域網(wǎng)是一種經(jīng)過將局域網(wǎng)內(nèi)的設(shè)備邏輯地而不是物理地區(qū)分紅一個(gè)個(gè)網(wǎng)段從而實(shí)現(xiàn)虛假工作組的技術(shù)。用于在二層交換機(jī)上切割廣播域的技術(shù)，使第二層的單播、廣播和多播幀在一個(gè)VLAN內(nèi)轉(zhuǎn)發(fā)、擴(kuò)散，而不會(huì)直接進(jìn)入其余的VLAN之中。沒有區(qū)分vlan時(shí)報(bào)文轉(zhuǎn)發(fā)區(qū)分vlan后報(bào)文轉(zhuǎn)發(fā)二、交換機(jī)功能介紹——VLANVLAN中幾個(gè)基本看法：（1）VID（2）PVID（或稱NativeVlan）（3）AllowedVlan端口操作模式VIDPVID

(或稱NativeVlAN)AllowedVlANAccess1、VLAN標(biāo)識(shí)符；2、默認(rèn)為

Vlan1。

--

--Trunk

--1、端口的虛擬局域網(wǎng)ID號(hào)，關(guān)系到端口收發(fā)數(shù)據(jù)幀時(shí)的VLANTAG標(biāo)記；2、默認(rèn)為

Vlan1。1、標(biāo)識(shí)出允許哪些vlan通過；

2、默認(rèn)允許AllowedVLAN為VLAN1，可設(shè)置讓多個(gè)VLAN通過。Hybrid

--1、端口的虛擬局域網(wǎng)ID號(hào)，關(guān)系到端口接收數(shù)據(jù)幀時(shí)的VLANTAG標(biāo)記。2、默認(rèn)為Vlan1。1、同Trunk口

2、同Trunk口

3、可設(shè)置在端口發(fā)送（轉(zhuǎn)發(fā)出去）該數(shù)據(jù)幀時(shí)是否帶上允許通過的vlan的VLANTag，在接收時(shí)設(shè)置是否帶tag沒有影響。三種操作模式下端口VID、PVID和Allowedvlan對(duì)照VLAN中的報(bào)文轉(zhuǎn)發(fā)二、交換機(jī)功能介紹——VLAN端口操作模式入方向出方向access1、untag報(bào)文，打上端口vid的

TAG后接收。

2、tag報(bào)文，判斷報(bào)文tagvid是否等于端口vid，等于則接收；否則丟棄。判斷報(bào)文tagvid是否等于端口vid，等于則剝離tag后轉(zhuǎn)發(fā)；否則丟棄。trunk1、untag報(bào)文，打上端口Nativevid的

TAG后，并判斷

Nativevid是否在allowedvlan列表中，在則接收，不在則丟棄；

2、tag報(bào)文，判斷報(bào)文tagvid是否在allowedvlan列表中，在則接收，否則丟棄。1、報(bào)文tagvid不在allowedvlan列表中，丟棄。

2、報(bào)文tagvid在allowedvlan列表中，進(jìn)一步判斷報(bào)文tagvid是否等于Nativevid，等于則剝離tag后轉(zhuǎn)發(fā)，否則直接轉(zhuǎn)發(fā)。hybrid同trunk模式1、報(bào)文tagvid不在allowedvlan列表中，丟棄。

2、報(bào)文tagvid在allowedvlan列表中，再判斷報(bào)文tagvid與端口的allowedvlan列表中對(duì)應(yīng)vlan是untag還是tag，是untag則剝離tag后轉(zhuǎn)發(fā)，否則（設(shè)置為tag）直接轉(zhuǎn)發(fā)Vlan中報(bào)文轉(zhuǎn)發(fā)接見控制列表（AccessControlList，ACL）：經(jīng)過配置一系列般配規(guī)則，對(duì)指定數(shù)據(jù)流（如限制的源IP地址、端口號(hào)等）執(zhí)行贊成或禁止經(jīng)過，來辨別特別種類報(bào)文的流量過濾器。主要作用：（1）防范非法的主體進(jìn)入受保護(hù)的網(wǎng)絡(luò)資源。（2）贊成合法用戶接見受保護(hù)的網(wǎng)絡(luò)資源。（3）防范合法的用戶對(duì)受保護(hù)的網(wǎng)絡(luò)資源進(jìn)行非受權(quán)的接見。ACL使用接見控制條目(ACE)控制用戶和組的接見權(quán)。ACE有permit和deny兩種控制方式。支持3種接見控制列表：（1）標(biāo)準(zhǔn)IP接見控制列表（2）擴(kuò)展IP接見控制列表（3）擴(kuò)展MAC接見控制列表二、交換機(jī)功能介紹——ACLACL總結(jié)：二、交換機(jī)功能介紹——ACL類型配置說明標(biāo)準(zhǔn)IP訪問控制列表1、可配置10個(gè)列表（編號(hào)：0-9）；

2、每個(gè)列表可配置10個(gè)ACE（編號(hào)0-9），默認(rèn)是0；

3、對(duì)收到的報(bào)文的源IP進(jìn)行控制：

a.任意源IP地址

b.指定源IP地址范圍。擴(kuò)展IP訪問控制列表1、可配置10個(gè)列表（編號(hào)：10-19）；

2、每個(gè)列表可配置10個(gè)ACE（編號(hào)0-9），默認(rèn)是0；

3、對(duì)收到的報(bào)文的源IP和目的IP進(jìn)行控制：

a.任意IP地址

b.指定IP地址范圍。

4、可以指定收到報(bào)文時(shí)過濾那些協(xié)議的報(bào)文，常見的有：

a.IPb.IGMPc.TCPd.UDP

其中,指定過濾TCP、UDP協(xié)議報(bào)文時(shí)，同時(shí)可以指定過濾具體某個(gè)源端口/目的端口的TCP、UDP協(xié)議報(bào)文。擴(kuò)展MAC訪問控制列表1、可配置6個(gè)列表（編號(hào)：20-25）；

2、每個(gè)列表可配置10個(gè)ACE（編號(hào)0-9），默認(rèn)是0；

3、對(duì)收到的報(bào)文的源MAC和目的MAC進(jìn)行控制：

a.任意MAC地址

b.指定某個(gè)MAC地址。

4、可指定過濾具體某個(gè)以太頭類型的報(bào)文。

太頭類型范圍：0x0000-0xffffACL三種種類總結(jié)什么是IGMPSnooping？IGMPSnooping是InternetGroupManagementProtocolSnooping(互聯(lián)網(wǎng)組管理協(xié)議窺探)的簡稱，它是運(yùn)行在二層設(shè)備上的組播拘束體制，用于管理和控制組播組。二、交換機(jī)功能介紹——IGMPSnooping運(yùn)行IGMPSnooping后交換機(jī)運(yùn)行IGMPSnooping前后對(duì)照:組播IP與組播MAC地址對(duì)應(yīng)關(guān)系：二、交換機(jī)功能介紹——IGMPSnooping11100000000100000000010111100IP組播地址后23位映射到MAC地址中32位IP組播地址48位MAC地址（以太網(wǎng)/FDDI）此5位地址不作映射，因此32個(gè)IP組播地址映射成一個(gè)MAC地址簡而言之，組播MAC地址前24固定為0x01-00-5e，倒數(shù)第24為0，后23位是將IP組播地址后23位映照而來。二、交換機(jī)功能介紹——IGMPSnoopingIGMP版本：IGMPv1、IGMPv2、IGMPv3Version查詢報(bào)告IGMPV1普遍組查詢成員報(bào)告IGMPv2普遍組查詢成員報(bào)告特定組查詢：相比v1增加了特定組播組的查詢離開報(bào)文：相比v1增加了組播成員離開機(jī)制IGMPv3普遍組查詢成員報(bào)告(6種類型，相比v1和v2增加了對(duì)組播源的控制):

（1）Mode-is-Include（G，S）

（2）Mode-is-Exclude（G，S）

（3）Change-to-Include（G，S）

（4）Change-to-Exclude（G，S）

（5）Allow-new-source（G，S）

（6）Block-old-source（G，S）特定組查詢特定源組查詢：相比v1和v2增加了對(duì)組播源的控制IGMPSnooping的工作原理運(yùn)行IGMPSnooping的二層設(shè)備經(jīng)過對(duì)收到的IGMP報(bào)文進(jìn)行分析，為端口和MAC組播地址成立起映照關(guān)系，并依據(jù)這樣的映照關(guān)系來轉(zhuǎn)發(fā)組播數(shù)據(jù)。IGMPSnooping的有關(guān)端口交換機(jī)將本設(shè)備上的所有路由器端口和成員端口分別記錄到路由端口列表和成員端口列表中，依靠這兩個(gè)列表來轉(zhuǎn)發(fā)組播數(shù)據(jù)，并對(duì)其進(jìn)行及時(shí)保護(hù)。二、交換機(jī)功能介紹——IGMPSnooping（1）路由端口交換機(jī)上朝向三層組播設(shè)備(DR或IGMP盤問器)一側(cè)的端口。（2）成員端口又稱組播成員端口，表示交換機(jī)上朝向組播構(gòu)成員一側(cè)的端口。路由端口列表更新（1）收到IGMP廣泛組盤問報(bào)文（IGMPv1/v2/v3）a.假如在路由器端口列表中已包含該動(dòng)向路由器端口，則重置其老化準(zhǔn)時(shí)器；b.假如在路由器端口列表中還沒有包含該動(dòng)向路由器端口，則將其增加到路由器端口列表中，并啟動(dòng)老化準(zhǔn)時(shí)器。（2）收到IGMP特定組盤問報(bào)文（IGMPv2/v3）a.假如接收端口為一已存在的動(dòng)向路由器端口，則重置其老化準(zhǔn)時(shí)器；b.假如接收端口不是一已存在的路由器端口，則將這個(gè)接收端口增加到路由器端口列表中，并啟動(dòng)其老化準(zhǔn)時(shí)器。（3）收到IGMP特定源組盤問報(bào)文（IGMPv3）a.假如接收端口為一已存在的動(dòng)向路由器端口，則重置其老化準(zhǔn)時(shí)器；b.假如接收端口不是一已存在的路由器端口，則將這個(gè)接收端口增加到路由器端口列表中，并啟動(dòng)其老化準(zhǔn)時(shí)器。（4）交換機(jī)為每個(gè)動(dòng)向路由連結(jié)口都啟動(dòng)一個(gè)準(zhǔn)時(shí)器，其超不時(shí)間就是動(dòng)向路由連結(jié)口的老化時(shí)間。假如在其老化時(shí)間超時(shí)前沒有收到IGMP盤問報(bào)文，交換機(jī)將把該端口從路由器端口列表中刪除。二、交換機(jī)功能介紹——IGMPSnooping動(dòng)向成員端口列表更新：（1）交換機(jī)為動(dòng)向成員端口啟動(dòng)一個(gè)準(zhǔn)時(shí)器，其超不時(shí)間就是動(dòng)向成員端口老化時(shí)間。對(duì)于成員端口，假如在其老化時(shí)間超時(shí)前沒有收到IGMP加入報(bào)文，交換機(jī)將把該端口從成員端口列表中刪除。（2）收到IGMP成員關(guān)系報(bào)告報(bào)文（IGMPv1/v2/v3）a.假如不存在該組播組所對(duì)應(yīng)的轉(zhuǎn)發(fā)布項(xiàng)，則創(chuàng)立轉(zhuǎn)發(fā)布項(xiàng)，將該端口作為動(dòng)向成員端口增加到出端口列表中，并啟動(dòng)其老化準(zhǔn)時(shí)器；b.假如已存在該組播組所對(duì)應(yīng)的轉(zhuǎn)發(fā)布項(xiàng)，但其出端口列表中不包含該端口，則將該端口作為動(dòng)向成員端口增加到出端口列表中，并啟動(dòng)其老化準(zhǔn)時(shí)器；c.假如已存在該組播組所對(duì)應(yīng)的轉(zhuǎn)發(fā)布項(xiàng)，且其出端口列表中已包含該動(dòng)向成員端口，則重置其老化準(zhǔn)時(shí)器。（3）收到IGMP走開組報(bào)文（IGMPv2/v3）假如要走開的組播組所對(duì)應(yīng)的轉(zhuǎn)發(fā)布項(xiàng)存在，且該組播組對(duì)應(yīng)的轉(zhuǎn)發(fā)布項(xiàng)的出端口列表中包含該端口，將該端口從組播組所對(duì)應(yīng)的轉(zhuǎn)發(fā)布項(xiàng)的出端口列表中刪除。二、交換機(jī)功能介紹——IGMPSnoopingIGMPSnooping后對(duì)報(bào)文轉(zhuǎn)發(fā)辦理（1）收到IGMP廣泛組盤問報(bào)文時(shí)，交換機(jī)將其經(jīng)過VLAN內(nèi)除接收端口以外的其余所有端口轉(zhuǎn)發(fā)出去。（2）收到IGMP成員關(guān)系報(bào)告報(bào)文時(shí)，交換機(jī)將經(jīng)過VLAN內(nèi)的所有路由器端口將報(bào)告報(bào)文轉(zhuǎn)發(fā)出去。（3）收到IGMP走開組報(bào)文時(shí)：a.假如不存在該組播組對(duì)應(yīng)的轉(zhuǎn)發(fā)布項(xiàng)，或許該組播組對(duì)應(yīng)的轉(zhuǎn)發(fā)布項(xiàng)的出端口列表中不包含該端口，則不辦理這個(gè)報(bào)文。b.假如存在該組播組對(duì)應(yīng)的轉(zhuǎn)發(fā)布項(xiàng)，且該組播組對(duì)應(yīng)的轉(zhuǎn)發(fā)布項(xiàng)的出端口列表中包含該端口，將走開組報(bào)文從VLAN的所有路由器端口轉(zhuǎn)發(fā)出去。（4）收到特定組盤問報(bào)文后，將其經(jīng)過該組播組的所有成員端口轉(zhuǎn)發(fā)出去。（5）收到特定源組盤問報(bào)文后，將其經(jīng)過該組播組且組播源包含報(bào)文源IP的所有成員端口轉(zhuǎn)發(fā)出去。二、交換機(jī)功能介紹——IGMPSnoopingDHCP8種報(bào)文（1）DHCPRequest報(bào)文（5種）：DHCPDiscovery、DHCPRequest、DHCPRelease、DHCPInform、DHCPDecline（2）DHCPReply報(bào)文（3種）：DHCPOffer、DHCPACK、DHCPNAK二、交換機(jī)功能介紹——DHCPSnoopingDHCP交互過程:DHCP攻擊表示圖：DHCPSnooping的作用經(jīng)過配置非相信端口，過濾偽（非法）DHCP服務(wù)器發(fā)送的DHCP報(bào)文二、交換機(jī)功能介紹——DHCPSnooping開啟DHCP功能后XDHCPSnooping的工作體制:（1）相信（Trust）端口:端口可轉(zhuǎn)發(fā)所有DHCP報(bào)文（2）非相信（Untrust）端口:端口拒絕轉(zhuǎn)發(fā)DHCPOffer、DHCPACK、DHCPNAK報(bào)文。二、交換機(jī)功能介紹——DHCPSnooping所以，我們把合法的DHCPServer連結(jié)的端口設(shè)置為Tust口，其余口設(shè)置為Untrust口，即可以實(shí)現(xiàn)對(duì)非法DHCPServer的障蔽。1、風(fēng)暴控制2、流量控制3、端口隔絕4、端口鏡像5、端口聚合6、端口限速二、交換機(jī)功能介紹——端口管理風(fēng)暴控制（1）風(fēng)暴控制的作用當(dāng)LAN中存在過度的廣播、多播或未知單播數(shù)據(jù)流時(shí)，以致網(wǎng)絡(luò)性能下降，甚至網(wǎng)絡(luò)癱瘓。這種狀況我們稱之為LAN風(fēng)暴。（2）工作體制經(jīng)過設(shè)置風(fēng)暴控制值，交換機(jī)端口只贊成經(jīng)過所設(shè)定帶寬的廣播、多播或未知單播數(shù)據(jù)流經(jīng)過，高出帶寬部分的數(shù)據(jù)流將被拋棄，直到數(shù)據(jù)流恢復(fù)正常，從而防止過度的泛洪數(shù)據(jù)流進(jìn)入LAN中形成風(fēng)暴。（3）供應(yīng)六種設(shè)置方式：二、交換機(jī)功能介紹——端口管理流量控制網(wǎng)絡(luò)擁堵一般是因?yàn)樗俾什话闩洌ㄈ?00M向10M端口發(fā)送數(shù)據(jù)）和突發(fā)的集中傳輸而產(chǎn)生的，它可能以致這幾種狀況：延時(shí)增加、丟包、重傳增加，網(wǎng)絡(luò)資源不可以有效利用。實(shí)現(xiàn)方法：（1）半雙工：退后壓力算法(backpressure)（2）全雙工:IEEE802.3x流控：當(dāng)端口堵塞時(shí)，交換機(jī)將會(huì)發(fā)送一個(gè)PAUSE幀告訴對(duì)方，此刻繁忙。暫停一段時(shí)間在發(fā)送。流控幀（PAUSE幀）是以太網(wǎng)幀的一種,格式以下：二、交換機(jī)功能介紹——端口管理0180.C200.0001SMAC88080001PAUSETIMEPADFCS6Octets6Octets2Octets2Octets2Octets42Octets4Octets其中:0001為以太網(wǎng)操作碼，PAUSE幀的操作碼固定為0x0001。PAUSETIME即暫停時(shí)間，其數(shù)值表示發(fā)送此PAUSE幀的站點(diǎn)要求對(duì)端收到PAUSE幀后暫停發(fā)送數(shù)據(jù)的時(shí)間，單位為pause_quanta，即傳遞512bit數(shù)據(jù)所用時(shí)間:0-65535端口隔絕有些應(yīng)用環(huán)境下，要求交換機(jī)上的