交换机的配置和管理

1、 学习目标学习目标 掌握交换机的概念 掌握交换机基本参数的功能和配置方法 掌握VLAN的功能及在二层和三层交换机上的实现及测试方法 交换机的配置及交换机的配置及VLANVLAN的设置的设置 重点难点重点难点l掌握交换机基本参数的功能和配置方法l掌握VLAN的功能及在二层和三层交换机上的实现及测试方法5 5. .2 2 交换机的基本操作和配置交换机的基本操作和配置交换机是一个较复杂的多端口透明网桥。在处理转发决策时，交换机和透明网桥是类似的，但是由于交换机采用了专门设计的集成电路，这样交换机能够以线路速率在所有的端口并行转发信息，提供了比传统网桥高得多的操作性能。在交换机中有一个交换表（swit

2、ching table）或MAC地址表，如图7.1所示。MAC地址为00-e0-fc-0c-1f-11的计算机1要将数据发送给MAC地址为00-e0-fc-0c-1f-22的计算机2 5.2.1 交换机的应用特点交换机的应用特点如图所示，使用直连双绞线，将PC与交换机的F0/1（即FastEthernet0/1，第一个快速以太网端口）相连。另外，使用交换机自带的控制线连接交换机的Console端口和PC的COM端口（COM1或COM3）。在PC上安装Windows 2000或Windows XP/Vista操作系统。1 登录交换机 通过一个终端仿真程序来实现，一般使用Windows操作系统自带

3、的“超级终端”程序。 图7.6 交换机的操作界面在“用户模式”下只能查看交换机的一些基本参数，如果要对交换机进行配置操作，必须由“用户模式”进入“特权模式”：Switchenable (进入“特权模式”)Password: （输入密码）Switch# (已进入“特权模式”)在“特权模式”下，我们可以使用交换机支持的所有的命令，包括配置和管理及调试。“特权模式”下，交换机显示Switch#提示符，其中（#）表示此时交换机处于“特权模式”。“特权模式”给用户提供了对交换机的详细配置方法。 在“全局配置模式”下可以对设备的主要参数进行配置，配置方法如下：Switch#configure termin

4、al (进入“全局配置”模式)Switch（config）# (已进入“全局配置”模式)交换机的名称主要用于在网络中标识不同的交换机，以方便对交换机的管理。同时，当网络中使用了网络软件时，必须对交换机配置名称，这样才能对交换机进行管理。Switch（config）# hostname Switch-A (使用hostname命令将交换机的名称更改为“Switch-A”)Switch-A(config)# （显示交换机的名称已更改为“Swithc-A”）不管是二层还是三层交换机都能够配置管理地址。配置管理地址的目的是对交换机进行远程管理。Switch-A（config）#interface vl

5、an 1 （进入交换机管理VLAN 1的端口“配置模式”）Switch-A(config-if)# （显示已进入端口“配置模式”）Switch-A(config-if)#ip address 192.168.1.1 255.255.255.0 （将交换机管理VLAN1的端口地址配置为192.168.1.1，子网掩码为255.255.255.0）Switch-A(config-if)#no shutdown （开启交换机的管理VLAN 1端口）Switch-A(config-if)#end （退出端口配置模式，也可以使用exit命令逐层退出）Switch-A# （当前状态为“特权模式”）配置密码

6、的目的是加强对交换机的安全管理。当配置了密码后，当管理员在对交换机进行配置之前必须输入正确的用户名和密码，否则交换机拒绝用户对其进行配置。（1）配置开机密码（Console Password）Switch-A (config)# line console 0Switch-A (config)# login Switch-A (config-line)# password cisco （设置开机的密码为cisco）（2）配置远程登录（Telnet）密码Switch-A (config)# line vty 0 4 Switch-A (config-line)# login Switch-A (c

7、onfig-line)# password cisco （3）配置特权模式（Enable Password）密码Switch-A (config)# enable password cisco （设置明文密码为cisco）或 Switch-A (config)# enable secret cisco （设置加密密码为cisco）在交换机上的配置参数需要保存在交换机上存储器中，否则如果因为在交换机上的配置参数需要保存在交换机上存储器中，否则如果因为断电等原因重新启动交换机后，未保存的参数将会全部丢失。断电等原因重新启动交换机后，未保存的参数将会全部丢失。Switch-A#write memor

8、y或或Switch-A#Copy running-config starup-config在对交换机进行配置后，可以通过以下的方法进行验证。（1）设置PC的IP地址。（2）验证telnet登录密码。首先在PC上进入DOS提示符，并输入telnet 192.168.1.1命令，这时将会出现如图7.7所示的登录界面，（3）验证“特权模式”密码。另外，还可以使用“show configure”命令查看当前交换机的配置情况。也可以使用“show ip interface”或“show interface vlan 1”查看交换机的管理IP地址。在交换机的配置过程中，我们可以使用系统提供的帮助功能“？”

9、获得相应模式下所支持的命令列表。 VLAN（Virtual Local Area Network，虚拟局域网）概念 是一种通过将局域网内的设备逻辑上划分成为一个个网段并进行管理的技术。VLAN扩大了交换机的应用和管理功能VLAN，是交换机的重要功能之一。 VLAN技术的出现，使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。5.3 VLAN的设置和应用的设置和应用 由于它是从逻辑上划分，而不是从物理上划分，所以同一个VLAN内的各个工作站没有限制在同一个物理范围中，即这些工作

10、站可以在不同物理LAN网段。由VLAN的特点可知，一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。 网络中工作组的划分可以突破共享网络中的地理位置限制，而完全根据管理功能来划分。这种基于工作流的分组模式，大大提高了网络规划和重组的管理功能。 在同一个VLAN中的工作站，不论它们实际与哪个交换机连接，它们之间的通讯就好象在独立的交换机上一样。同一个VLAN中的广播只有VLAN中的成员才能听到，而不会传输到其他的VLAN中去，这样可以很好的控制不必要的广播风暴的产生。同时，若没有路由的话，不同VLAN之间不能相互通讯，这

11、样增加了企业网络中不同部门之间的安全性。 VLAN本质就是指一个网段，之所以叫做虚拟的局域网，是因为它是在虚拟的路由器的接口下创建的网段。 例：一个路由器只有一个用于终端连接的端口（当然这种情况基本不可能发生，只不过简化举例），这个端口被分配了192.168.1.1/24的地址。然而由于公司有两个部门，一个销售部，一个企划部，每个部门要求单独成为一个子网，有单独的服务器。 但是路由器的物理端口只应该可以分配一个IP地址，那怎样来区分不同网段了？这就可以在这个物理端口下，创建两个子接口-逻辑接口实现。 这些网段因为是在逻辑接口下创建的，所以称之为虚拟局域网VLAN。 例如：两个交换机，如果你想要

12、每个交换机上的端口都分别属于不同的网段，那么你有几个网段，就提供几个路由器的接口，这个时候，虽然在路由器的物理接口上可以定义这个接口可以连接哪个网段，但是在交换机的层次上，它并不能区分哪个端口属于哪个网段，那么唯一实现能区分的方法，就是划分VLAN，使用了VLAN就能区分出某个交换机端口的终端是属于哪个网段的。 综上，当一个交换机上的所有端口中有至少一个端口属于不同网段的时候；或当路由器的一个物理端口要连接2个或者以上的网段的时候，就是VLAN发挥作用的时候，这就是VLAN的目的。 1. 广播风暴防范广播风暴防范 限制网络上的广播，将网络划分为多个限制网络上的广播，将网络划分为多个VLAN可减

13、少可减少参与广播风暴的设备数量。参与广播风暴的设备数量。 2. 安全安全 增强局域网的安全性，含有敏感数据的用户组可与网增强局域网的安全性，含有敏感数据的用户组可与网络的其余部分隔离，从而降低泄露机密信息的可能性。络的其余部分隔离，从而降低泄露机密信息的可能性。不同不同VLAN内的报文在传输时是相互隔离的内的报文在传输时是相互隔离的 3.成本降低成本降低 成本高昂的网络升级需求减少，现有带宽和上行链路成本高昂的网络升级需求减少，现有带宽和上行链路的利用率更高，因此可节约成本。的利用率更高，因此可节约成本。 4.性能提高性能提高将第二层平面网络划分为多个逻辑工作组（广将第二层平面网络划分为多个逻

14、辑工作组（广播域）可以减少网络上不必要的流量并提高性播域）可以减少网络上不必要的流量并提高性能。能。 5.提高提高IT员工效率员工效率VLAN为网络管理带来了方便，因为有相似网为网络管理带来了方便，因为有相似网络需求的用户将共享同一个络需求的用户将共享同一个VLAN。 端口端口VLAN概述概述理解端口VLAN（Port VLAN）的功能和配置方法。 按照交换机端口来定义VLAN用户，即VLAN从逻辑上把局域网交换机的端口划分开来，然后根据用户需要的IP地址在VLAN中划分子网。利用端口VLAN的特点，可以使位于同一个VLAN中的不同端口之间实现通信，从而有效地屏蔽广播风暴，提高网络的安全性。设

15、置端口VLAN时需要考虑两个问题： 一是VLAN ID，每一个VLAN都需要一个唯一的VLAN ID（VLAN号），不同类型的交换机在进行端口VLAN设置时，所提供的VLAN ID的值可能不同，但一般都支持198这一范围； 二是VLAN所包含的成员端口。 5.35.3端口端口VLANVLAN的设置和应用的设置和应用1 实验前的测试在对交换机未进行VLAN划分时，PC1和PC2之间是可以通信的，如果使用Ping命令测试，两台主机之间是可以Ping通的。图7.8 PC与交换机之间的连接及端口VLAN的划分2 创建VLAN根据图根据图7.8中的规划，通过以下的方式来创建中的规划，通过以下的方式来创建

16、VLAN，其中要创建的两个，其中要创建的两个VLAN分别为分别为VLAN 10和和VLAN 20。Switchenable (进入进入“特权模式特权模式”)Password: （输入密码）（输入密码）Switch# (显示：已进入显示：已进入“特权模式特权模式”)Switch#configure terminal (进入进入“全局配置全局配置”模式模式)Switch（config）# (显示：已进入显示：已进入“全局配置全局配置”模式模式)Switch（config）#VLAN 10 （创建（创建VLAN 10）Switch（config-vlan）# （显示：已自动进入（显示：已自动进入VL

17、AN 10的配置模式）的配置模式）Switch（config-vlan）#name test10 （给（给VLAN 10命名为命名为test 10）Switch（config-vlan）#exit （退出（退出VLAN 10配置模式）配置模式）Switch（config）#VLAN 20 （创建（创建VLAN 20）Switch（config-vlan）#name test20 （给（给VLAN 20命名为命名为test 20）Switch（config-vlan）#end （退出配置命令，进入特权模式）（退出配置命令，进入特权模式）如果要删除已创建的如果要删除已创建的VLAN，可以在配置模式

18、下输入，可以在配置模式下输入“no vlan vlan-id”来完成：来完成：Switch（config）#no vlan 10 （删除（删除VLAN 10） 4保存设置 在进行了交换机的配置后，为了防止断电等原因造成的配置参数丢失，可以通过以下命令进行保存。 Router-A#write memory 或 Router-A#Copy running-config starup-config（1） 分别将分别将PC1和和PC2同时连接到同时连接到VLAN 10或或VLAN 20所在的端口中，再利所在的端口中，再利用用Ping命令进行测试，发现命令进行测试，发现PC1和和PC2之间是可以通信的。

19、需要说明的是：说之间是可以通信的。需要说明的是：说明位于同一个明位于同一个VLAN上的不同端口之间是可以进行通信的。上的不同端口之间是可以进行通信的。（2） 将将PC1接入接入VLAN 10所在的端口，再将所在的端口，再将PC2接入接入VLAN 20所在的端口。所在的端口。然后利用然后利用Ping命令进行测试，发现命令进行测试，发现PC1和和PC2之间无法进行通信。之间无法进行通信。需要说明的是：位于不同需要说明的是：位于不同VLAN之间的端口是无法直接进行通信的。之间的端口是无法直接进行通信的。不同交换机之间的通信，需要在交换机之间存在一个公用连接，当一台交换机将数据发送给另一台交换机时，将

20、通过该公用连接端口进行转发。多交换机之间VLAN的实现主要是解决不同交换机级联端口之间的通信问题。当多台交换机进行级联时，应该把级联端口设置为标记（tag）端口，而将其他端口均设置为未标记（untag）端口。Tag端口的功能相当于一个公共通道，它允许不同VLAN的数据都可以通过tag端口进行传输。5.4 5.4 多交换机之间多交换机之间VLANVLAN的设置和应用的设置和应用 5.4.2 多交换机之间端口VLAN的配置方法和过程（1）实验前测试。在对交换机未进行TAG设置时，位于不同交换机上的PC1和PC2之间是无法进行通信的，如果使用Ping命令测试，两台主机之间是无法Ping通的。（2）在

21、Switch-A上创建VLAN 10，并将f 0/2f 0/6端口分配添加到VLAN 10中。（3）在Switch-A上创建VLAN 20，并将f 7/2f 0/12端口分别添加到VLAN 20中。（4 4）在）在Switch-ASwitch-A上将用于与上将用于与Switch-BSwitch-B进行级联的端口进行级联的端口f0/1f0/1设置为设置为tagtag模式。模式。Switch-ASwitch-A（configconfig）# # （进入（进入SwithcSwithc-A-A的的“全局配置全局配置”模式）模式）Switch-ASwitch-A（configconfig）# inter

22、face # interface fastethernetfastethernet 0/1 0/1 （进入（进入fastEthernetfastEthernet 0/1 0/1的的端口配置模式）端口配置模式）Switch-ASwitch-A（configconfig-if-if）# #SwitchportSwitchport mode trunk mode trunk （将（将fastEthernetfastEthernet 0/1 0/1端口配置端口配置为为tagtag模式）模式）（5 5）保存设置。）保存设置。 （6 6）在）在Switch-BSwitch-B上创建上创建VLAN 10VL

23、AN 10，并将，并将f 0/2f 0/6f 0/2f 0/6端口分配添加到端口分配添加到VLAN 10VLAN 10中。中。（7 7）在）在Switch-BSwitch-B上创建上创建VLAN 20VLAN 20，并将，并将f 0/7f 0/12f 0/7f 0/12端口分别添加到端口分别添加到VLAN 20VLAN 20中。中。（8 8）在）在Switch-BSwitch-B上将与上将与Switch-ASwitch-A进行级联的端口进行级联的端口f0/1f0/1设置为设置为tagtag模式。模式。（9 9）保存设置。）保存设置。 5.4.3 验证配置结果（1） 将PC1连接到Switch-

24、A上VLAN 10的端口上，同时将PC2连接Switch-B上的任何一个位于VLAN 10的端口上，将PC1和PC2的IP地址设置在同一网段为（如分别为192.168.1.1和192.168.1.2，子网掩码为255.255.255.0），再利用Ping命令进行测试，发现PC1和PC2之间是可以通信的。（2） 同样，将PC1和PC2分别连接到Switch-A和Switch-B的VLAN 20的任何一个端口上，再使用Ping命令进行测试，PC1和PC2之间也是可以进行通信的。（3） 将PC1接入Switch-A上VLAN 10所在的端口，再将PC2接入Switch-B上VLAN 20所在的端口。然后利用Ping命令进行测试，发现PC1和PC2之间无法进行通信。（1）实验前测试。（2）在Switch-A上创建VLAN 10，并将f 0/2f 0/6端口分配添加到VLAN 10中。（3）在Switch-A上创