路由与交换技术

1、网络班教案Ping命令Ping -tARP命令ARP -aARP -s 1:12用于查看高速缓存中的所有项目。地址解析协议，同一广播域，IPmac广播发送，回应以单播，只解析一次Ipconfig 命令提供接口的基本配置信息。Ipconfig/all可查看Mac地址，固化网卡，可临时改网上邻居/属性/配置/高级/network address以及网最大传输单元：MTUMac地址表：是端口对设备的mac地址硬件：ASIC CAM floading发送数据帧通过源、目的地址广播地址（未知地址）：扩散操作扩散：除进入接口外，其余全部发送一遍。交换机没有地址表等于HUB例：1000条不同mac地址，地址

2、表满，floading就会被A收到，这就是黑客 多个发送通过hash算法，指针指向记录，内存可编址寄存器Tracert 命令用于查看计算机获取的网络数据，确定数据包为到达目的地所必须经过的有关路 径，并指明哪个路由器响应时间比较长。tracert 0route命令用于管理静态路由表。Route add 目标掩码网关增加一个路由Route delete 目标掩码网关删除一个路由Route change 目标掩码网关改变一个路由Route-f清除全部路由Route print显示路由表Nslookup 命令用来进行手动DNS查询的最常用工具。Netsh命令是本地或远程计算机的网络组件的命令行和脚本

3、实用程序。为了存档或配置其他 服务器。NetshInterfaceIpShow addressSet address name=本地连接 source=static addr=21 mask= gateway= gwmetric=1Show address或在DOS下Netsh Interface Ip Set address name=本地连接 source=static addr=21 mask= gateway= gwmetric=1DOS下改IP地址 netsh interface ipadd address a 00 exitDOS删除IP地址netsh interface ipde

4、lete address a 00DOS下配置IPV6NetshInterfaceIpv6InstallAdd address c 12:1DOS删除IP地址netsh interface ipv6uninstall交换（链路层）：构建局域网路由（网络层）：构建广域网一、认识交换机的端口连接console线注意：不要带电拔插，console 口和PC的串口。使用超级终端连入交换机开始/程序/附件/通讯/超级终端端口号为：com1console 口决定连接哪个端口，如console 口没连到本机，则连接时使用TCP/IP设置超级终端属性为默认（波特率为9600）或secure CRT下载或通过t

5、elnet连接查看当前配置DCS-2026E enableDCS-2026Eshow running-config熟悉常用show命令Show version查看当前设备版本Show flash显示保存在flash中的文件及大小Show arp显示ARP映射表Show history显示用户最近输入的历史命令Show rom显示启动文件及大小Show running-config显示当前运行状态下生效的交换机参数配置Show startup-config显示当前运行状态下写在flash memory中的交换机参数配置，通常也是交换机下次上电启动时所用的配置文件Show switchport i

6、nterface显示交换机端口的VLAN端口模式和所属VLAN号及 交换机端口信息Show interface ethernet 0/0/1 显示指定交换机端口的信息二、setup模式的配置方法交换机出厂第一次启动，进入“setup configuration”，用户可选择进入setup模式 或者跳过setup模式。DCS-2026E#三、特权用户配置模式的配置方法在一般用户配置模式下键入“ enable”进入特权用户配置模式。也称为“ #”模 式。查询交换机配置信息、各个端口的连接情况、收发数据统计等。要设置特权用户口令。四、全局配置模式的配置方法在特权模式下输入“config”进入全局配置

7、模式。也称“config”模式。DCS-2026E (Config)#用户可对交换机进行全局性的配置，如MAC地址表、端口镜像、创建VLAN等。s1enables1#configs1(Config)#enable password level adminCurrent password:New password:*Confirm new password:*s1(Config)#exits1#验证配置：1、重新进入交换机DCS-2026EenablePassword:*DCS-2026E#2、show命令查看DCS-2026E#show run取消enable密码DCS-2026E(Confi

8、g)#no enable password level adminInput password:*五、恢复交换机的出厂设置s1enables1#set defaults1#writes1#reload/=reset 重启动查看Show run回车显示一行，空格显示一屏，按TAB自动Ctrl +Z返回#模式下 记录保存Show startup-config Write Show flash拔电重启按Ctrl+B清除BOOT：Del startup-config 恢复出厂reboot 接口配置模式： ConfigInterface Ethernet 0/0/10：主机0：模块 1：接口Speed-

9、duplex force100-full速率配置 100 兆全双工1-24 100 兆 25-261000 兆 27-28 光纤六、VLAN配置模式：ConfigVlan 100Exit Exit Show vlan七、设置交换机名： s1#config s1(Config)#hostname s1八、给交换机的默认Vlan设置IP地址即管理IP configinterface vlan 1进入 vlan 1 接口ip address /配置地址 no shutdown/激活 vlan 接口exit exitno ip address /删除配置地址shutdown关闭指定的以太网端口如：打开

10、0/0/1-4号端口 s1(Config)# interface Ethernet 0/0/1-4 no shutdown验证：show run为交换机设置授权telnet用户 s1(Config)#telnet-user dcnu password 0 digitalexit验证：show run配置主机IPPing连通性九、使用telnet登录telnet /交换机 IPs1(Config)#telnet-server securityip 0访问本交换机的安全IP地址no telnet-server securityip 0删除指定的 telnet 客户端的安全 IP 地址十、启动交换机

11、WEB服务s1(Config)#ip http sers1(Config)#web-user admin password 0 digitalweb server is on使用http登录 HYPERLINK 十一、配置TFTP服务器备份：DCS-2026E#show startup-configThis is first time start up system.DCS-2026E#writeDCS-2026E#copy nos.img t HYPERLINK 0/nos.img 0/nos.img启动TFTP软件观察效果还原：s1#copy t HYPERLINK 0/nos.img 0

12、/nos.img startup-configCopy nos.img t HYPERLINK 0/nos.img 0/nos.imgdel nos.imgsetconigload nos.imgwrite nos.imgreboot十二、使用软件抓取网络数据包SnifferEthereal1、配置网络环境2、配置交换机端口为trunk端口ConfigInterface Ethernet 0/0/23Switchport mode trunk3、配置交换机的IP地址（VLAN1）为/24ConfigInt vlan 1Ip address ExitExit4、设置 pc 机 IP 地址：0/2

13、45、开启pc机的抓包过程6、使用交换机ping pc机，观察抓包结果可以ping通结论：没有802.1q数据包通过7、将交换机的IP地址配置到VLAN200接口ConfigNo interface vlan 1Interface vlan 200Ip address ExitEixt8、再次使用交换机ping pc机，观察抓包结果无法ping通结论：以为802.1q数据包注意：ping不通时，关闭防火墙s1#show mac-address-table count 最多 16384s1#show mac-address-tableA发出去的数据会在端口 4的一侧以广播形式发送，这样B、C、端

14、口 4都能收 到该广播包，但只有B响应。端口一侧的冲突不会影响另外一个端口的工作。如A想和U和F通信，首先，由A发出的数据在端口 4的一侧查找目的地址， 如果找不到，它才会把数据扩散到其他能够到达的通往目的地的潜在端口，如， 一个级联端口或同一 VLAN中的其他端口。最终找到。避免冗余环路冗余：链路、设备的备份例如：图多条链路引起的问题比它能够解决的问题还要多。交换机不知道如何处理环路，从而形成死循环。会造成整个网络处于阻塞状态， 导致网络瘫痪。冗余链路的危害广播风暴MAC系统失效帧封装MAC地址，通过ARP解析成MAC地址广播风暴占用网络整个带宽一个MAC不能对应多个接口图同一接口可对应多个

15、MACs1#show mac-address-tables1#show mac-address-table count最多 16384s1#show mac-address-table aging-time保留时间通过接线查看效果解决办法：生成树协议（STP） spanning-tree protocol为了解决冗余链路引起的问题，IEEE通过了 IEEE802.1d协议，即生成树协议。 IEEE802.1d协议虽然解决了链路闭合引起的死循环问题，但生成树的收敛（指 重新设定网络中的交换机端口状态）过程需要50秒左右的时间，现在为4秒左 右，因此IEEE 802.1w又称为“快速生成树协议”。

16、STP version: IEEE 802.1w思路、算法、例子对于一个存在环路的物理网络而言，若想消除环路，形成一个树形结构的逻辑网 络即可。一个树形网络首要解决的问题就是：哪台交换机可作为“根” 最短路径：主路径，其它为备份路径（临时关闭）只有主路径出现故障时，备份路径起作用，通过算法重新计算，由交换自动完成 注意：阻塞端口只被动接收来自其他端口的数据帧，但并不处理，但对于上级交 换机发送的BPDU数据帧它还是会处理并根据情况做出状态调整的。B： Bridge P： ProtocolD： Data U： Unit生成树根的选择：1、选择根交换机1） 优先级：06553516位默认32768

17、最小为根-优先级相同比较MAC2）MAC：最小为根s1（Config）#spanning-trees1#show spanning-tree改优先级s1（Config）#spanning-tree priority 81928192 为 4094 的倍数 如：61440 或 28672交换机发包MAC相同2、选择最短路径1） cost：比较开销图算法累加10M2000000100M2000001000M20000假设都是100MB-A E3C-AE4D-AE7不是 E8两条路最短变成环路比较上级交换机的优先级往根方向 比较上级交换机的MAC120B小此时E8处于关闭状态如B和C是同一个交换机图

18、继续比较上边端口的优先级比较上级交换机端口优先级128. 015默认128为端口优先级；015为端口号比较上级交换机端口编号s2(config)#spanning-trees2(config)#spanning-tree mst 0 priority 4096s2(Config-If-Ethernet0/0/1)#spanning-tree mst 0 port-priority 16 删除生成树s2(config)#No spanning-tree实验：用两根网线连成环(两个交换机)通过拔线切换未连接第二根线前的结果s1#ping 0Type Ac to abort.Sending 5 56

19、-byte ICMP Echos to 0, timeout is 2 seconds. !Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms 连接第二根后的结果，形成广播风暴，成功率为0s1#ping 0Type Ac to abort.Sending 5 56-byte ICMP Echos to 0, timeout is 2 seconds.Success rate is 0 percent (0/5), round-trip min/avg/max = 0/0/0 ms 启用生成树，结果s1#pin

20、g 0Type Ac to abort.Sending 5 56-byte ICMP Echos to 0, timeout is 2 seconds. !Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms 改变端口查看结果s1#show spanning-treeSTP Domain default information-STP Domain Config Info -STP version: IEEE 802.1wBridge Id Information:Priority: 32768Mac addr

21、ess: 00:03:0f:02:f9:adBridge Max Age : 20Bridge Hello Time : 2Bridge Forward Delay : 15Bridge Diameter : 7Root bridge information:PriorityMac addressRoot Path CostRoot Port: 32768:00:03:0f:02:f9:ad: 0: 0Topology Changes : 7s2#show mac-address-table Read mac address table. Vlan Mac Address100-03-0f-0

22、2-f9-ads2#show mac-address-table Read mac address table. Vlan Mac Address100-03-0f-02-f9-adDYNAMIC Hardware Ethernet0/12s1100-03-0f-02-fa-11STATIC System CPUs2100-19-21-58-3f-b3DYNAMIC Hardware Ethernet0/12pcType Creator PortsCurrent port list:Ethernet0/8, Ethernet0/12, Ethernet0/19,Ethernet0/812820

23、0000EnabledForwardingDesign8000:00030F02F9AD0 x8008Ethernet0/12128200000EnabledForwardingDesign8000:00030F02F9AD0 x800CEthernet0/19128200000EnabledForwarding Design8000:00030F02F9AD0 x8013设置优先级改变根s2(Config)#spanning-tree priority 8192改变端口优先级s1#configs1(Config)#int e 0/12s1(Config-Ethernet0/12)#spann

24、ing-tree port-priority 112是8的倍数，如16或112D： 00： 00： 00 组播Source： 00:03交换机本身VLAN技术 VLAN：- Virtual Local Area Network-中译名为虚拟局域网-一组逻辑上的设备或用户-不同交换机的端口间有可能会连通-相同交换机的端口间也有可能不能通-可以共享广播数据，单播数据可直达-提升网络性能-广播被限制在一个VLAN内部，其他VLAN用户可保证传输效率-提升安全性-只有相同VLAN成员数据包可以随意联系-符合组织结构逻辑分布-将交换机的物理连通转变为网络的逻辑连通性-满足设置灵活的网管需要-配置在交换机

25、中完成，网络环境的变化由网管通过配置改变广播被限制在一个Vlan内部，广播域的划分，安全网段之间通过IP，单位各部门划VLAN符合网管的需要帧标记法(IEEE802.1Q)不同楼层的设备基本要使用不同交换机,两个交换机间如何交换相同VLAN信息, 以及如何区分不同VLAN的问题。IEEE制定的802.1Q标准为必要的帧分配一个唯一的标记用以标识这个帧的VLAN信息。能提供可升级性和可跨越性。虚拟局域网协议允许在以太网的帧格式中插入一个4字节的标识符，称为VLAN标记(tag)，用来指明发送该帧的工作站属于哪一个虚拟局域网。使跨交换机相同VLAN间通信成为可能在IEEE802.1Q中，有两种动作

26、行为：封装、去封装与之对应的交换机的端口也分为两种：access端口： VID=PVIDtrunck端口： VID=ALL，PVID=1用于交换机本身发出的数据，通过VLAN1发出的。默认VLAN是1，要去掉标记进来看PVID 如VLAN的标记出去标记去掉，对用户透明的，只有交换机认识。直接连trunk目的是捕获带标记的帧实验设置交换进行广播域的划分。一个端口属于一个 vlan,access 进入交换机之间的级联，一个交换机属多个vlantrunkShow vlanVlan1-4094Vlan 10Switchport interface Ethernet 0/1-10;12Show Swit

27、chport interface Ethernet 0/0/1No vlan 10单台交换机划分VLAN第一步：交换机恢复出厂设置EnSet defaultWritereload第二步：给交换机设置IP地址ConfigInt vlan 1Ip address No shut第三步：创建VLAN100和VLAN200，并添加端口ConfigVlan 100Switchport interface Ethernet 0/1-8ConfigVlan 200Switchport interface Ethernet 0/9-16验证配置：Show vlan验证实验，按不同端口进行ping1-8 端口

28、PC Ping 不通9-16 端口 PC Ping 不通17-24 端口 PC Ping 通1-8 端口 pc1 ping pc2通1-8 端口 9-16 端口pc1 ping pc2不通1-8 端口 17-24 端口pc1 ping pc2不通要根据所接端口决定是否ping通删除VLANNo vlan 100跨交换机相同VLAN互访交换机级联，在同一 VLAN第一步：交换机恢复出厂设置第二步：给交换机设置IP地址第三步：创建VLAN100和VLAN200，并添加端口第四步：设置交换机trunk端口交换机AconfigInterface Ethernet 0/0/24Switchport mo

29、de trunkSwitchport trunk allowed vlan all可省略Show vlan交换机B与A相同配置第五步：验证实验交换机Aping交换机B注意：接线要连到trunk 口（24 口）配置交换机，使VLAN100，200内部都可以互通；两个交换机之间300VLAN之间不能访问；Switchport trunk allowed vlan 100；200Trunk端口缺省允许通过所有VLAN；用户可以通过上述命令设置哪些VLAN的 流量可以通过Trunk 口，没有包含的VLAN流量则被禁止。改变trunk的pvidSwitchport trunk native vlan 1

30、00图使用抓包软件抓取802.1Q数据SnifferEthereal1、配置网络环境2、配置交换机端口为trunk端口ConfigInterface Ethernet 0/0/23Switchport mode trunk3、配置交换机的IP地址（VLAN1）为/24ConfigInt vlan 1Ip address ExitExit4、设置 pc 机 IP 地址：0/245、开启pc机的抓包过程6、使用交换机ping pc机，观察抓包结果可以ping通结论：没有802.1q数据包通过7、将交换机的IP地址配置到VLAN200接口ConfigNo interface vlan 1Interf

31、ace vlan 200Ip address ExitEixt8、再次使用交换机ping pc机，观察抓包结果无法ping通结论：为802.1q数据包注意：ping不通时，关闭防火墙GVRP全局，交换机之间必须trunkVlan注册协议GvrpInt e 0/1Switchport mode trunkgvrp注意：Gvrp在有Vlan划分一端设置，要接trunk 口（如24 口）端口安全：mac地址泛洪，欺骗为了安全和便于管理需要将mac地址与端口进行绑定，该mac地址的数据流只 能从绑定端口进入，不能从其他端口进入。但可允许其他mac地址的数据流通 过。静态实现MAC地址与端口绑定做本实验

32、前选删除生成树：s1（Config）#no spanning-tree每发包源mac不同，这样就把地址表占满，则B、C、D就没机会学习，就当作 广播处理，这样就会发给每个接口（包括黑客）。FloaddingARP的欺骗假冒MAC地址，冲掉5号的BARP攻击广播：A-记录B-回应B如黑客，假mac返回给A，这样对上网流量掌握ARP查询包，扫描绑定：lock锁定接口所有安全静态绑定实验：第一步：得到pc的mac地址Ipconfig/all第二步：交换机全部恢复出厂设置，配置交换机的IP第三步：使能端口的mac地址绑定功能s1(Config)#int e 0/6s1(Config-Ethernet0

33、/6)#switchport port-security第四步：添加端口静态安全mac地址，缺省端口最大安全mac地址数为1s1(Config-Ethernet0/6)#switchport port-security mac-address 00-19-21-58-3F-B3s1(Config-Ethernet0/6)#switchport port-security lock验证配置：Show port-securityShow port-security address第五步：使用ping命令命令验证Pc 0/6 通改主机mac后，再验证本实验注意：端口号要正确第六步：在一个以太口上静态

34、捆绑多个macs1(Config)#int e 0/6s1(Config-Ethernet0/6)#switchport port-security maximum 4s1(Config-Ethernet0/6)#switchport port-security mac-address 00-19-21-58-3F-B3s1(Config-Ethernet0/6)#switchport port-security mac-address 00-19-21-58-3F-B4 s1(Config-Ethernet0/6)#switchport port-security mac-address 0

35、0-19-21-58-3F-B5或者：configmac-address-table static address 00-00-00-00-00-01 vlan 1 interface e0/6删除no mac-address-table static address 00-00-00-00-00-01 vlan 1 interface e0/6动态绑定实验：第一步：得到pc的mac地址Ipconfig/all第二步：交换机全部恢复出厂设置，配置交换机的IP第三步：使能端口的mac地址绑定功能，动态学习mac并转换注意：要连接到对应端口s1(Config)#int e 0/6s1(Config

36、-Ethernet0/6)#switchport port-securitys1(Config-Ethernet0/6)#switchport port-security locks1(Config-Ethernet0/6)#switchport port-security convertShow port-security addressShow port-security mac-addresss1#show port-security interface e 0/6删除：s1(Config-Ethernet0/6)#no switchport port-security先学到解锁注意：必

37、须接对应口黑洞：blackhole限制一些网卡不能上网，mac过滤s1(Config)#mac-address-table blackhole address 00-00-00-01-00-11 vlan 1 int e 0/8交换机mac与IP的绑定第一步：得到pc主机的mac地址第二步：交换机全部恢复出厂设置，配置交换机的IP地址第三步：使能am功能注意：39系列支持，以前不支持ConfigAm enableInt e 0/1am mac-ip-pool 00-00-00-01-00-11 show am第四步：解锁其他端口ConfigInt e 0/2No am portInt e 0/

38、3-20No am port端口镜像好：网管，坏：黑客要想看到接口，端口镜像集线器无论收到什么数据，都会将数据按照广播的方式在各个端口发送出去，这 个方法虽然造成网络带宽的浪费，但对网管设备对网络数据的收集和监听是很有 效的；交换机在收到数据帧后，会根据目的地址的类型决定是否需要转发数据， 或发送给哪个端口。但对于网管来说，要监视所有端口的往来数据就很难。解决办法：在交换机中作配置使交换机将某一端口的流量在必要的时候镜像给网 管设备所在端口，从而实现网管设备对某一端口的监视。这个过程称为“端口镜 像”。抓包软件CPU：就交换机本身发出的流量实验：第一步：交换机全部恢复出厂设置后，配置端口镜像，

39、将端口2或者端口3的流 量镜像到端口1源： monitor session 1 source interface e 0/0/2 both目 的： monitor session 1 source interface e 0/0/1Show monitor取消：no monitor session 1 source interface e 0/0/1堆叠与级联级联：近距离：普通远距离：光纤堆叠：交换机背板连，专门线缆，内部总线连的独立的非标准，不能不同厂商之间互 联。堆叠：菊花链：星型单链环，单链双向链路聚合图正常：不能直到扩展带宽聚合：创建逻辑端口组，最多可加8个条件：1、端口必须处于相同的

40、Vlan之中AccessTrunk2、端口必须使用相同的网络介质3、端口必须都处于全双工工作模式4、端口必须是相同传输速率的端口Port-group 1Int e 0/1-8Port-group 1 mode on静态链路聚合第一步：正确连接网线，恢复出厂设置，做初始配置（IP地址为可选配置），注意交换机之间只连接一根网线，以避免广播风暴出现。ConfigHostname siInt vlan 1Ip address No shutdownS2湘同第二步：创建port groupConfigPort-group 1Show port-group detailShow port-group br

41、iefS2:configPort-group 2第三步：手工生成链路聚合通道Int e 0/1-2Port-group 1 mode onExitInt port-channel 1Show vlanS2:int e 0/3-4Port-group 2 mode onExitInt port-channel 2Show port-group brief验证：拔线，通过show vlan查看，接线的端口看不到动态链路聚合LACP收到哪些把哪些LACP做聚合基于源mac做负载均衡源mac与目的mac 一样走一条链路基于目的IP做负载均衡动态创建链路聚合第一步、第二步与静态链路聚合相同s1#conf

42、igs1(Config)#int e 0/1-2s1(Config-Port-Range)#port-group 1 mode actives2(Config)#interface port-channel 1另一端：s2#configs2(Config)#int e 0/1-2s2(Config-Port-Range)#port-group 1 mode passives2(Config)#interface port-channel 2show pot-group brief路由：三层（网络层）查看：计算机的路由：route printInt f 0/1对应背面tp0Int f 0/3对应

43、背面tp3连局域网Int serial 0/1int serial 0/2连广域网Int async 0/0连解调器：拔号高端通过硬件，低端通过CPU 路由器的基本管理方法:通过console接口配置 通过telnet方式配置通过web方式配置1、命名2、配置IP3、telnet4、web管理恢复出厂DeleteRebootDecompress 解压EnableShow versionShow ip interface briefShow ip route Int f 0/0Ip address Show int f 0/0满足三条件：IP、连线、协议封装aaa authentication enable d