第八章实验讲义-交换机基本配置端口安全与STP

MAC来进行工作的。和路由器类似,关第12章交换机基本配置MAC来进行工作的。和路由器类似,关交换机是局域网中最重要的设备，交换机是基于交换机也有IOS，IOS的基本使用方法是一样的。本章将简单介绍交换的一些基本配置。于VLAN和Trunk等将在后面章节介绍。12.1交换机简介交换机是第2层的设备，可以隔离冲突域。交换机是基于收到的数据帧中的源址和目的MAC交换机是第2层的设备，可以隔离冲突域。交换机是基于收到的数据帧中的源址和目的MAC地址来进行工作的。交换机的作用主要有两个：一个是维护AddressMemory）表，该表是计算机的MAC地址和交换端口的映射表；来进行数据帧的转发。交换对帧的处理有 3种：交换机收到帧后，查询询到目的计算机所在的端口，将把帧从这一端口转发出去MAC地

(ConetxtCAM另一个是根据CAMCAM表，如果能查并且目的计算机所在的端口不是交换接收帧的源端口， 交换机（Forward）；如果该计算机所在的端口和交换机接收帧的源端口是同一端口，交换机将过滤掉该帧（Filter）；如果交换机不能查询到目的计算机所在的端口，交换机将把帧从源端口以外的其他所有端口上发送出去，这称为泛洪（ Flood），当交换机接收到的帧是广播帧或多播帧，交换机也会泛洪帧。12.2实验0:交换机基本配置实验目的：通过本实验，可以掌握交换机的基本配置这项技能。实验拓扑实验拓扑图如图实验拓扑图如图实验步骤（1）步骤1:通过PC0以Console方式登录交换机SwitchO.注意配置PC0上的终端.登录成功后，通过PC0配置交换机SwitchO的主机名Switch>enableSwitch#confterminal

Enterconfigurationcommands，oneperline.EndwithCNTL/ZSwitch(config)#hostnameS12)步骤2：配置telnet密码和enable密码.S1(config)#enablesecretciscoS1(config)#linevty015S1(config-line)#passwordciscoS1(config-line)#login步骤3：接口基本配置默认时，交换机的以太网接口是开启的，对于交换机的以太网口可以配置其双工模式和速率等。S1(config)#interfacef0/1全双工；half全双工；half――半双工；auto――自//duplex来用配置接口的双工模式,参数包括：full——全动检测双工的模式S1(config-if)#speedauto//speed命令用来配置交换机的接口速度， ，参数包括:10 10Mbps；100 100Mbps；1000 1000Mbps；auto 自动检测接口速度步骤4：配置管理地址交换机也允许被Telnet，这时需要在交换机上配置一个 IP地址，这个地址是在Vian接口上配置的,如下：S1(config)#intvlan1S1(config-if)#ipaddress172.16.0.1255.255.0.0S1(config-if)#noshutdownS1(config)#ipdefault-gateway172.16.0.254//以上在VLAN1接口上配置了管理地址，接在VLAN1上的计算机可以直接进行Telnet该地址。为了其他网段的用户可以 Telnet交换机，在交换上配置了默认网关。自行测试,实现通过PC2以telnet方式登录交换机Switch0步骤5:保存配置S1#copyrunning-configstartup-configDestination[startup-config]?Buildingconfiguration...[OK]12.3实验1：交换机端口安全实验目的通过本实验，读者可以掌握如下技能：①理解交换机的CAM表；②理解交换机的端口安全；配置交换的端口安全特性。实验拓扑实验拓扑图如图12-3所示。

S1R1F0X1 S1R1F0X1 172-1€.0.101VLAN1：1T2J6.0.1；16图12-3实验2拓扑图实验步骤交换机端口安全特性可以让我们配置交换机端口， 使得当具有非法MAC地址的设备接入时，交换机会自动关闭接口或者拒绝非法设备接入，也可以限制某个端口上最大的 MAC地址数。在这里限制f0/1接口只允许R1接入。(1)步骤1:检查R1的fO/0接口的MAC地址R1(config)#intfO/0R1(config-if)#noshutdownR1(config-if)#ipaddress172.16.0.101255.255.0.0R1#showintf0/0(此处省略)//记下你看到f0/0接口的Mac地址，写到实验报告(2)步骤2:配置交换端口安全S1(config)#intf0/1S1(config-if)#shutdownS1(config-if)#switchportmodeaccess//以上命令把端口改为访问模式，即用来接入计算机，在下一章将详细介绍该命令的含义S1(config-if)#switchportport-security//以上命令是打开交换机的端口安全功能S1(confg-if)#switchportport-securitymaximum1//以上命令只允许该端口下的 MAC条目最大数量为1，即只允许一个设备接入S1(config-if)#switchportport-securityviolationshutdown//“switchport-securityviolation{protect|shutdown|restrict} ”命令含义如下：protect:当新的计算机接入时， 如果该接口的MAC条目超过最大数量， 则这个新的计算机将无法接入，而原有的计算机不受影响；shutdown:当新的计算机接入时， 如果该接口的MAC条目超过最大数量，则该接口将会被关闭，则这个新的计算机和原有的计算机都无法接入， 需要管理员使用”noshutdown”命令重新打开；restrict:当新的计算机接入时， 如果该接口的MAC条目超过最大数量， 则这个新的计算机可以接入，然而交换机将向发送警告信息。S1(config-if)#switchportport-securitymac-address0001.6381.6cce(此处填你看到的R1的fO/0接口的Mac地址)//允许R1路由器从f0/1接口接入S1(config-if)#noshutdownS1(config)#intvlan1S1(config-if)#noshutdownS1(config-if)#ipaddress172.16.0.1255.255.0.0//以上配置交换机的管理地址(3)步骤3:检查MAC地址表S1#showmac-address-table

MacAddressTableSwitch#shmac-address-tableMacAddressTableVlanMacAddressTypePorts1//R1的Fa0/10001.6381.6cceSTATICMAC已经被登记在f0/1接口，并且表明是静态加入的4）步骤4：模拟非法接入这时从R1ping交换机的管理地址，可以ping通，如下：R1#pingVlanMacAddressTypePorts1//R1的Fa0/10001.6381.6cceSTATICMAC已经被登记在f0/1接口，并且表明是静态加入的4）步骤4：模拟非法接入这时从R1ping交换机的管理地址，可以ping通，如下：R1#ping172.16.0.1Typeescapesequencetoabort.Sending5，100-byteICMPEchosto172.16.0.1，timeoutis2seconds;Successrateis100percent(5/5)，round-tripmin/avg/max=1/1/4ms在R1上修改f0/0的MAC地址为另一个地址，模拟是另外一台设备接入，如下：R1（config）#intf0/0R1（config-if）#mac-address12.12.12几秒钟后，则在S1上出现：%LINEPROTO-5-UPDOWN:LineprotocolonInterfaceVlan1,changedstatetodown//以上提示f0/1接口被关闭R1#ping172.16.0.1（将该命令的执行结果写到实验报告）当非法设备移除后（把路由器的fO/0接口的MAC地址修改为原来的0001.6381.6cce，模拟这一场景），在交换机f0/1接口下，执行”shutdown”和”noshutdown”命令可以重新打开该接口。R1#ping172.16.0.1（将该命令的执行结果写到实验报告）4.实验调试S1#showport-securitySecurePortMaxSecureAddr(Count)CurrentAddrr(Count)SecurityViolationSecurityAction(Count)Fa0/1ShutdownTotalAddressesinSystem(excludingonemacperport) ：0MaxAddresseslimitinSystem(excludingonemacperport) ：6272//以上可以查看端口安全的设置情况第13章:STP生成树协议13.1STP简介为了增加局域网的冗余性，我们常常会在网络中引入冗余链路，然而这样却会引起交换环路。交换环路会带来3个问题：广播风暴、同一帧的多个拷贝以及交换机CAM表不稳定。STP(STP,SpanningTreeProtocol)可以解决这些问题， STP基本思路是阻断一些交换机接口，构建一棵没有环路的转发树。 STP利用BPDU(BridgeProtocolDataUnit)和其他交换机进行通信，从而确定哪个交换机该阻断哪个接口。在BPDU中有几个关键的字段，例如：根桥ID、路径代价和端口ID等。为了在网络中形成一个没有环路的拓扑，网络中的交换机要进行以下3个步骤：①选举根桥，②选取根端口，③选取指定端口。 在这些步骤中，哪个交换机能获胜将取决于以下因素(按顺序进行)：①最低的根桥ID:②最低的根路径代价；③最低发送都桥 ID:④最低发ID,这个IDID,这个ID由两部分组成：网桥优先级+MA(地址。网字节的数，交换机的默认优先级为 32768;MAC地址就是交换机的MACID的交换机就是根桥。根桥上的接口都是指定端口，会转发数据包。其他的交换就成为了非根桥。每台非根桥要选举一条到根桥的根路径。来决定到达根桥的最佳路径(Cost是累加的，带宽大的链路Cost低)，该接口就是根端口；如果Cost一样，就根据选举顺序选举每个交换机都具有一个唯一的桥桥优先级是一个2地址。具有最低桥选举了根桥后，STP使用路径Cost交换机的其他接口还要确定是否是指定端口，交换机将进一步根指定口是转发数据帧的。剩下的其他的接口将被阻断，不转发数最低Cost值的路径就是根路径，根口。根端口转发数据包。交换机的其他接口还要确定是否是指定端口，交换机将进一步根指定口是转发数据帧的。剩下的其他的接口将被阻断，不转发数据上面的四个因素来竞争。据包。这样网络就构建出一棵没有环路的转发树。当网络的拓扑发生变化时，网络会从一个状态向另一个状态过渡，重新打开或阻断某些接口。交换机的端口要经过几种状态：禁用( Disable)、阻塞(Blocking)、监听状态(Listenning)和学习状态(Learning)，最后是转发状态(Forwarding)。13.2实验2:STP实验、配置实例拓扑图1=11=1[巨〕匡〕VRiTHipartrt.js iHATh©!ns IriI 日円[PDQt] IgufCli.l-t+riFUoncactiong閑舍，疣鶴■k，jCI*•[ftawj[Bfliarta , TbcflitPDUListWfcndcwI

PPL*r「tQiQiitmnuiilL 」图一两台Cisco2960交换机使用两个千兆端口相连，默认情况下STP协议启用的。通过两台交换机之间传送BPDI协议数据单元，选出根交换机、根端口等，以便确定端口的转发状态。上图中标记为黄色的端口处于block状态。注意将你的交换机名取为：姓名全拼0、姓名全拼1。二、STP基本配置命令1、首先在两个交换机上分别运行showspanning-tree,分析根桥的选举依据。Switch0#shspanning-tree （将执行该命令的执行结果拷屏，写到实验报告）Switch1#showspanning-tree （将执行该命令的执行结果拷屏,写到实验报告）（分析结果，谁是根桥？为什么选举它为根桥？写入报告）2、修改BrigdeID，重新选根网桥switch1(config)#spanning-treevian1priority4096//优先级可以被设置为0-61440范围内的值，数值以4096递增;Switch1(config)#endSwitch1#%SYS-5-CONFIG_l:ConfiguredfromconsolebyconsoleSwitch1#shspanning-tree (将执行该命令的执行结果拷屏,写到实验报告）Switch0#shspanning-tree （将执行该命令的执行结果拷屏,写到实验报告）（分析结果,谁是根桥？为什么选举它为根桥?）交换机端口优先级值修改命令是：switch(config-if)spanning-treevianvian-idport-priority优先级值通过修改端口优先值可以改变根桥，也可以更改端口的转发状态。3、查看、检验STP（生成树协议）配置的常用命令:每个VLAN生成一棵STP树每个VLAN生成一棵STP树VLAN0001SpanningtreeenabledprotocolieeeRootIDPriority4097Address0090.0CCC.2AB5Cost 4Port 25(GigabitEthernet1/1)HelloTime2secMaxAge20secForwardDelay15secBridgeIDPriority32769(priority32768sys-id-ext1)Address0030.F2E4.E734HelloTime2secMaxAge20secForwardDelay15secAgingTime20InterfaceRoleStsCostPrio.NbrTypeGi1/2AltnBLK4128.26P2pGi1/1RootFWD4128.25P2pFa0/1DesgFWD19128.1P2pFa0/2DesgFWD19128.2P2p选作:实验:划分VLAN实验目的通过本实验，读者可以掌握如下技能:熟悉VLAN的创建；把交换机接口划分到特定VLAN实验拓扑实验拓扑图如图13-2所示。VLANS3.实验步骤S1■■FFO/2VLAN3132JS8.1Z.1/Z4*、 FO/O图13-2实验1拓扑图FO'/OR1R2要配置VLAN首先要创建VLAN然后把交换机的端口划分到特定的端口上。实验步骤如下：在划分VLAN前，按照图13-2所示配置路由器R1和R2的fO/0接口的IP，从R1ping192.168.12.2进行测试。默认时，交换机的全部接口都在 VLAN1上，在S1上创建VLANS1(config)#vlan2S1(config-vlan)#nameVLAN2S!(config-vian)#exit//以上创建VLAN，2就是VLAN的编号，的名字S1(config)#vlan3S1(config-vlan)#nameVLAN3//以上创建VLAN，3就是VLAN的编号，的名字【提示】交换机中的VLAN信息存放在单独的文件中配己置，除了使用” erasestarting-config命令把VLAN数据删除。把端口划分在VLAN中，其中fO/1S1(config)#interfacef0/1S1(config-if)#switchportmodeaccess〃把交换机端口的模式改为 access模式，说明该端口是用于连接计算机的， 而不是用于TrunkS1(config-if)#switchportaccessvlan2//把该端口f0/1划分到VLAN2中R1和R2应能够通信。VLANVLAN号的范围为1~1001,VLAN2是该VLAN号的范围为1~1001,VLAN3是该VLANfiash:vian.dat ，因此如果要完全清除交换机的”命令外，还可使用” deletefiash:vian.dat ”划分到VLAN2,fO/2划分到VLAN3:S1(config)#interfacef0/2S1(config-if)#switchportmodeaccessS1(config-if)#switchportaccessvlan3【提示】 默认时， —VLAN1上，VLAN1是不能删除的。如果有多个接口需要划—分到同一VLAN下，也可以采用如下命令节约时间 ：S1(config)#interfacerangefO/2-3 S1(config-if-range)#switchmodeaccess!S1(config-if-range)#switchaccessvian2【提示】如果要删除VLAN，使用”novlan2”命令即可。删除某一 VLAN后，要记得把该VLAN上的端口重新划分到别的 VLAN上，否则将导致端口的”消失”。4.实验调试(1)查看VLAN:使用”showvlan”或者”showvlanbrief”命令查看VLAN信息，以及每个VLAN上有什么端口。要注意这里只能看到的是本交换机上哪个端口在VLAN上，而不能看到其他交换机的端口在什么VLAN上。如下：S1#shvlanVLANNameStatusPortsVLANNamed