【网络工程】交换机经典配置及【文案】汽车系列

XX3Com8016交换机DHCP配置1功能需求及组网说明8016DHCP配置『配置环境参数』1.DHCPserver的IP地址192.168.0.10/242.DHCPserver连接在交换机G1/0/0，属于vlan100，网关即vlan100虚接口地址/243.交换机通过G1/0/1连接SwitchAG1/1，G1/0/2连接SwitchBG1/14.SwitchA通过G2/1连接SwitchCG1/15.vlan10的用户网段为/246.vlan20的用户网段为/247.vlan30的用户网段为/248.SwitchA和SwitchC为二层交换机，SwitchB为三层交换机『组网需求』1.8016作DHCPrelay，利用远端DHCPserver为SwitchA下面的vlan10分配IP地址2.SwitchB上的vlan20用户以8016上的vlan20虚接口为网关，8016作DHCPserver直接为其分配IP地址3.SwitchC上的vlan30用户以SwitchB上的vlan30虚接口为网关，8016作DHCPserver为其分配IP地址2数据配置步骤『8016DHCPrelay数据流程』DHCPRelay的作用则是为了适应客户端和服务器不在同一网段的情况，通过Relay，不同子网的用户可以到同一个DHCPserver申请IP地址，这样便于地址池的管理和维护。【8016DHCPrelay配置】1.DHCPserver要配置到一个VLAN上，这个VLAN可以是任意的，但是要实现Relay，不要将Server同任何客户端配置到同一个VLAN内，建议专门划出VLAN给DHCPserver组使用，这里将DHCP服务器组1对应的端口的VLAN配置为100。[Quidway]vlan100[Quidway-vlan100]portgigabitethernet1/0/0[Quidway]interfacevlanif1002.配置DHCPserver的网关地址[Quidway-Vlanif100]ipaddress3.配置DHCP服务器组1对应的IP地址。[Quidway]dhcprelayserver-group1server04.配置DHCP服务器组1服务的VLAN范围为10[Quidway]dhcprelayserver-group1vlan105.进入G1/0/1，设置为trunk端口，允许vlan10通过[Quidway-gigabitethernet1/0/1]porttrunkpermitvlan106.配置VLAN10的对应网关地址。[Quidway]interfacevlanif10[Quidway-Vlanif10]ipaddress『8016作DHCPserver数据流程』内置DHCPserver下挂的用户类型有两种：一种是S8016的VLAN用户，用户直接向S8016发起DHCP请求，这类称为VLAN地址池用户；另一种是中间经过了DHCP中继设备（例如MA5200设备），DHCP请求在到达S8016之前经过了DHCPrelay，这类称为全局地址池用户。【8016vlan用户】1.用户所在VLANID为20，创建并进入VLAN配置视图。[Quidway]vlan202.将VLAN20用户地址分配方式设置为本地。[Quidway-vlan20]addressallocatelocal3.配置VLAN20接口IP地址，同时指定了DHCPserver可分配的地址资源为~55。[Quidway]interfacevlan20[Quidway-Vlanif20]ipaddress4.S8016下挂了一台DNS服务器，IP地址是5，在S8016中设置DNS服务器的IP地址，同时将这个IP地址在地址池中禁止分配给用户。[Quidway-vlan2]dhcpserverforbidden-ip5[Quidway-vlan2]dnsprimary-ip55.进入G1/0/2，设置为trunk端口，允许vlan20通过[Quidway-gigabitethernet1/0/2]porttrunkpermitvlan20【全局地址用户】1.创建全局地址池，并命名为“abc”，地址池用户网关地址为[Quidway]dhcpserverip-poolabc2.配置路由IP信息[Quidway]dhcpservergatewayabc3.S8016下挂了另外一台DNS服务器，IP地址是5，在S8016中设置DNS服务器的IP地址，同时将这个IP地址在地址池中禁止分配给用户。[Quidway]dnsprimary-ipabc5[Quidway]dhcpserverforbidden-ipabc54.配置VLAN200与SwitchB相应的虚接口vlan200在同一个网段[Quidway]interfacevlanif200[Quidway-Vlanif200]ipaddress【SwitchB相关配置】1.创建（进入）vlan30[SwitchB]vlan302.将E0/1加入到vlan30[SwitchB-vlan30]portEthernet0/13.实际当中一般将上行端口设置成trunk属性，允许vlan透传[SwitchB-GigabitEthernet2/1]portlink-typetrunk4.允许SwitchC的vlan从G2/1端口透传通过[SwitchB-GigabitEthernet2/1]porttrunkpermitvlan305.实际当中一般将上行端口设置成trunk属性，允许vlan透传[SwitchB-GigabitEthernet1/1]portlink-typetrunk6.允许所有膙lan从E0/3端口透传通过，也可以指定具体的vlan值[SwitchB-GigabitEthernet1/1]porttrunkpermitvlan307.创建（进入）vlan30的虚接口[SwitchB]interfaceVlan-interface308.给vlan30的虚接口配置IP地址[SwitchB-Vlan-interface30]ipaddress[SwitchB]9.定义一个DHCPserver[SwitchB]dhcp-server0ip[SwitchB-Vlan-interface30]dhcp-server010.创建（进入）vlan200的虚接口，vlan200用于SwitchB与8016互连[SwitchB]interfaceVlan-interface20011.给vlan200的虚接口配置IP地址[SwitchB-Vlan-interface200]ipaddress【SwitchC相关配置】1.创建（进入）vlan30[SwitchC]vlan302.将E0/1加入到vlan30[SwitchC-vlan30]portEthernet0/13.实际当中一般将上行端口设置成trunk属性，允许vlan透传[SwitchC-GigabitEthernet1/1]portlink-typetrunk4.允许所有的vlan从E0/3端口透传通过，也可以指定具体的vlan值[SwitchC-GigabitEthernet1/1]porttrunkpermitvlan303测试验证1.PC1、PC2和PC3都能够正确的获取IP地址和网关2.PC1、PC2和PC3都能够PING通自己的网关及DHCPserverXX交换机端口镜像配置--------------------------------------------------------------------------------【3026等交换机镜像】S2008/S2016/S2026/S2403H/S3026等交换机支持的都是基于端口的镜像，有两种方法：方法一1.配置镜像（观测）端口[SwitchA]monitor-porte0/82.配置被镜像端口[SwitchA]portmirrorEthernet0/1toEthernet0/2方法二1.可以一次性定义镜像和被镜像端口[SwitchA]portmirrorEthernet0/1toEthernet0/2observing-portEthernet0/8【8016交换机端口镜像配置】1.假设8016交换机镜像端口为E1/0/15，被镜像端口为E1/0/0，设置端口1/0/15为端口镜像的观测端口。[SwitchA]portmonitorethernet1/0/152.设置端口1/0/0为被镜像端口，对其输入输出数据都进行镜像。[SwitchA]portmirroringethernet1/0/0bothethernet1/0/15也可以通过两个不同的端口，对输入和输出的数据分别镜像1.设置E1/0/15和E2/0/0为镜像（观测）端口[SwitchA]portmonitorethernet1/0/152.设置端口1/0/0为被镜像端口，分别使用E1/0/15和E2/0/0对输入和输出数据进行镜像。[SwitchA]portmirroringgigabitethernet1/0/0ingressethernet1/0/15[SwitchA]portmirroringgigabitethernet1/0/0egressethernet2/0/0『基于流镜像的数据流程』基于流镜像的交换机针对某些流进行镜像，每个连接都有两个方向的数据流，对于交换机来说这两个数据流是要分开镜像的。【3500/3026E/3026F/3050】〖基于三层流的镜像〗1.定义一条扩展访问控制列表[SwitchA]aclnum1012.定义一条规则报文源地址为/32去往所有目的地址[SwitchA-acl-adv-101]rule0permitipsource0destinationany3.定义一条规则报文源地址为所有源地址目的地址为/32[SwitchA-acl-adv-101]rule1permitipsourceanydestination04.将符合上述ACL规则的报文镜像到E0/8端口[SwitchA]mirrored-toip-group101interfacee0/8〖基于二层流的镜像〗1.定义一个ACL[SwitchA]aclnum2002.定义一个规则从E0/1发送至其它所有端口的数据包[SwitchA]rule0permitingressinterfaceEthernet0/1(egressinterfaceany)3.定义一个规则从其它所有端口到E0/1端口的数据包[SwitchA]rule1permit(ingressinterfaceany)egressinterfaceEthernet0/14.将符合上述ACL的数据包镜像到E0/8[SwitchA]mirrored-tolink-group200interfacee0/8【5516】支持对入端口流量进行镜像配置端口Ethernet3/0/1为监测端口，对Ethernet3/0/2端口的入流量镜像。[SwitchA]mirrorEthernet3/0/2ingress-toEthernet3/0/1【6506/6503/6506R】目前该三款产品只支持对入端口流量进行镜像，虽然有outbount参数，但是无法配置。镜像组名为1，监测端口为Ethernet4/0/2，端口Ethernet4/0/1的入流量被镜像。[SwitchA]mirroring-group1inboundEthernet4/0/1mirrored-toEthernet4/0/2【补充说明】1.镜像一般都可以实现高速率端口镜像低速率端口，例如1000M端口可以镜像100M端口，反之则无法实现2.8016支持跨单板端口镜像XX路由器qoscar+nat+dhcp+vlan配置心得--------------------------------------------------------------------------------好久没有写博客了，也好久没有泡坛了，工作压力是大了很多，但实际上还是自己懒了很多，也比以前浮澡了很多，趁今天领导都去开会的机会，把昨天的帮客户解决网络问题的心得写一下，供大家参考，也希望大家提出宝贵意见。客户网络环境：一个小型办公网络，有两家公司（A、B）在一个写字楼办公，共申请一条4M独享VDSL专线（其中A是缴3M的专线费用，B是缴1M的专线费用），共60台电脑左右，各30台电脑，各三台非网管24口D-LINK交换机，一台XX1821路由器（1wan口，4lan口）。用户特殊需求：（1）、A、B不能互访。（2）、A、B都通过XX路由器DHCP获取地址。（3）、A、B带宽必须划分开，A享受3M带宽，B享受1M带宽（原来的时候B公司网络流量过大经常影响到A公司网络办公）。简单解决方案：根据现有网络条件，实际上仅通过XX1821路由器可以实现以上功能，具体实施如下：（1）、在XX路由器1821内部网关口（eth1/0）划分子接口（eth1/0.1、eth1/0.2），分别配置两个网关（、），并分别进行封装与vlan2、vlan3相对应。（2）、在XX路由器1821两个lan口（eth1/1、eth1/2）划分两个vlan(vlan2、vlan3)。（3）、分别在两个不同的逻辑子接口（eth1/0.1、eth1/0.2）配置nat并应用。（4）、分别在两个不同的逻辑子接口（eth1/0.1、eth1/0.2）配置dhcp，在同一物理接口针对两个vlan网络应用dhcp来分配两个不同的网段。（5）、由于该路由器lan口为二层端口，无法实现qoscar限速，只能考虑在其唯一的内部网关接口（eth1/0）的子接口上实现qoscar限速达到带宽限制的作用。（6）、配置wan口地址（X、X、X、X），配置staticroute地址，大功告成。（7）、配置用户登录（super、console、vty等）用户名及密码（这里仅配置密码模式）。（8）、测试并观察端口信息、负载信息等，随时调整相应策略，由于考虑到其设备处理能力及时间紧迫，并未增加太多策略（如ACL等）和功能。具体配置如下：#sysnameQuidway#clocktimezonegmt-12:000minus12:00:00#cpu-usagecycle1min#connection-limitdisableconnection-limitdefaultactiondenyconnection-limitdefaultamountupper-limit50lower-limit20#webset-packageforceflash:/http.zip#radiusschemesystem#domainsystem#local-user*******passwordcipher.]@*********service-typetelnetterminallevel3service-typeftp#aclnumber2000\\配置natAclrule0permitsource55#aclnumber3000\\配置natAclrule0permitipsource55aclnumber3001\\配置FirewallAclrule0denyipdestination55aclnumber3002\\配置FirewallAclrule0denyipdestination55#interfaceEthernet1/0ipaddressdhcp-alloc#interfaceEthernet1/0.1ipaddressdhcpselectinterface\\dhcp应用于子接口dhcpserverdns-list015firewallpacket-filter3001inbound\\firewallACL过滤应用于接口vlan-typedot1qvid2\\子接口封装dot1qqoscarinboundanycir4096000cbs204800ebs1000greenpassreddiscard\\流量限速qoscar配置qoscaroutboundanycir4096000cbs204800ebs1000greenpassreddiscard\\流量限速qoscar配置#interfaceEthernet1/0.2ipaddressdhcpselectinterface\\dhcp应用于子接口dhcpserverdns-list015firewallpacket-filter3002inbound\\firewallACL过滤应用于接口vlan-typedot1qvid3\\子接口封装dot1qqoscarinboundanycir1024000cbs51200ebs1000greenpassreddiscard\\流量限速qoscar配置qoscaroutboundanycir1024000cbs51200ebs1000greenpassreddiscard\\流量限速qoscar配置#interfaceEthernet1/1portaccessvlan2\\将e1/1端口加入vlan2#interfaceEthernet1/2portaccessvlan3\\将e1/1端口加入vlan2#interfaceEthernet1/3#interfaceEthernet1/4#interfaceEthernet2/0\\进入wan口配置ipaddressX、X、X、X24natoutbound3000natoutbound2000#interfaceNULL0#FTPserverenable#iproute-staticy、y、y、ypreference60#user-interfacecon0\\用户登录配置authentication-modepasswordsetauthenticationpasswordcipher0HB8%-MB%I^[Q1R','&6NQ!!user-interfacevty04userprivilegelevel3setauthenticationpasswordcipher0HB8%-MB%I^[Q1R','&6NQ!!#return[Quidway]XX路由器和交换机配置地址转换--------------------------------------------------------------------------------一.端口：路由器——ethernet（以太口）、Serial（串口）、loopback（虚拟端口）交换机——ethernet、vlan、loopback注意：交换机默认其24个端口全在vlan1里面，交换机在给vlan配了ip之后就具有路由器的功能了。另一个需要注意的是，所用的端口是否被shutdown了，如果被shutdown了，需要进入相应的端口执行undoshutdown。二.配置ip除了交换机的以太口不可以配置ip外，其他端口都可以，配置方法相同。[Quidway]interface*（所要配置的端口，如vlan1）[Quidway-*]ipadd*.*.*.*（ip）*.*.*.*（掩码）/*（掩码位数，一般只在路由器上适用）三.NAT上网（此命令是在VRP版本为3.4的路由器上测试的，在其他版本上是否适用，未经考察）组网图：R1E0/2E0/3E0/1E1:192.192.169.*/24E0:/24Ip:0/24网关:Ip:1/24网关:Ip:2/24网关:Ip:3/24网关:PCAPCBPCCE0/4TointernetPCDS1E0/5NAPT工作过程：P191.用地址池的方法上网：首先配置路由器的接口的ip地址，然后配置地址转换，把所有内网地址转换成所配置的地址池中的地址，参考命令如下：[R1]aclnumber2000//在vrp为3.4的路由器上，2000-2999表示basicacl[R1-acl-basic-2000]rulepermitsource55（地址掩码的反码）[R1-acl-basic-2000]ruledenysourceany#这个访问控制列表定义了IP源地址为/24的外出数据包[R1]nataddress-group1（地址池的组号）05#这条命令定义了一个包含6个公网地址（10～15）的地址池，地址池代号为1[R1]interfacee1[R1-Ethernet1]natoutbound2000（acl的编号）address-group1（地址池的代号）[R1]iproute-static（千万不要忘记这一步，！）#上面设置了路由器的E0和E1端口IP地址，并在路由表中添加缺省路由。2.共用一个ip上网首先配置路由器的接口的ip地址，参考命令如下：system[Router]sysnameR1[R1]interfacee0[R1-Ethernet0]ipadd24[R1]interfacee1[R1-Ethernet1]ipadd024//这里假设出口ip是0然后配置地址转换，参考命令如下：[R1]aclnumber2000//在vrp为3.4的路由器上，2000-2999表示basicacl[R1-acl-basic-2000]rulepermitsource55（地址掩码的反码）[R1-acl-basic-2000]ruledenysourceany#这个访问控制列表定义了IP源地址为/24的外出数据包[R1]interfacee1[R1-Ethernet1]natserverprotocoltcpglobal0（E1的ip）inside（内网网关E0的ip）[R1-Ethernet1]natoutbound2000（acl的编号）[R1]iproute-static#上面设置了路由器的E0和E1端口IP地址，并在路由表中添加缺省路由。注：有的组网图可能会复杂一些，比如交换机上划分了vlan，需要在路由器上添加到交换机的路由四、配置路由1.默认路由[Quidway]iproute-static（目的地址）（地址掩码）*.*.*.*（下一条地址）2.静态路由[Quidway]iproute-static*.*.*.*（目的地址）*.*.*.*（地址掩码）*.*.*.*（下一条地址）3.rip（交换机和路由器的配置相同）[Quidway]rip[Quidway-rip]network*.*.*.*（所要启动rip协议的端口的网络号）4.ospf（交换机和路由器的配置相同）[Quidway]routerid*.*.*.*[Quidway]ospf[Quidway-ospf]area*（启动ospf的自治区域）[Quidway-ospf-area-0.0.0.*]network*.*.*.*（所要启动rip协议的端口的网络号）*.*.*.*（网络掩码的反码）注：要注意交换机/路由器对应端口所在的自治区域。帧在网络通信中的变化端口镜像：将某些指定端口（出或入方向）的数据流量映射到监控端口，以便集中使用数据捕获软件进行数据分析[S1]intere0/13[S1-Ethernet0/13]portlink–typeTrunk[S1-Ethernet0/13]porttrunkpermitVLAN23这样E0/13既属于VLAN2又属于VLAN3，“Tagged”表示从该端口通过的保温都要打上IEEE802.1q标记，用于标记该报文所属的VLAN。区域内，每台路由器描述的是自己能够确保正确的信息--自己周边的网络拓扑结构--无论路由器位于网络中什么位置，都可以准确无误得接收到全网的拓扑结构图；OSPF根据收集到的链路状态用最短路径树算法计算路由，从算法上本身保证了不会生成自环路由；当网络拓扑结构发生变化时，会有一台或多台路由器感知到这一变化，重新描述网络拓扑结构，并将其通知给其它路由器，每个路由器收到更新信息后，都会立即重新运行最短路径树算法，得到新的路由。区域间，通过ABR将一个区域内已计算出的路由封装成Type3类的LSA发送到另一个区域中来传递路由信息。此时的OSPF是基于D-V算法的。为消除自环，所有ABR将本区域内的路由信息封装成LSA后统一发送给骨干区域，再由骨干区域将这些信息发送给其他区域，骨干区域内每一条LSA都确切知道生成者信息（所有区域必须和骨干区域相连，骨干区域自身也必须是连通的）。所以就不会产生路由自环。服务器00我要用的ip：13；网关：附：displayiproutingiproute-static*.*.*.*(目标ip)*.*.*.*(掩码)*.*.*.*(下一条ip)iproute*.*.*.*(目标ip)*.*.*.*(掩码)*.*.*.*(下一条ip)undoiproute-static*.*.*.*(目标ip)*.*.*.*(掩码)*.*.*.*(下一条ip)import-routestatic将静态路由引入ospfdisplayospflsa假如S1上的vlan3与R1的e0/0相连，要设定其Metric值为100[S1]intervlan3[S1-Vlan-interface3]ospfcost100[R1]intere0/0[R1-Ethernet0]ospfcost100[R1]tracert*.*.*.*(目标ip)1ip12ip23ip3说明R1到达目标先到ip1再到ip2再到ip3(目标)，由此可得出最短路径树查看交换机的ＭＡＣ地址：displayarpXX路由器交换机VLAN配置实例--------------------------------------------------------------------------------使用4台PC（pc多和少，原理是一样的，所以这里我只用了4台pc），XX路由器（R2621）、交换机（S3026e）各一台，组建一VLAN，实现虚拟网和物理网之间的连接。实现防火墙策略，和访问控制（ACL）。方案说明：四台PC的IP地址、掩码如下列表：P1网关IP为P2网关IP为P3网关IP为P4网关IP为路由器上Ethernet0的IP为Ethernet1的IP为firewall设置默认为deny实施命令列表：交换机上设置，划分VLAN：sys//切换到系统视图[Quidway]vlanenable[Quidway]vlan2[Quidway-vlan2]porte0/1toe0/8[Quidway-vlan2]quit//默认所有端口都属于VLAN1,指定交换机的e0/1到e0/8八个端口属于VLAN2[Quidway]vlan3[Quidway-vlan3]porte0/9toe0/16[Quidway-vlan3]quit//指定交换机的e0/9到e0/16八个端口属于VLAN3[Quidway]disvlanall[Quidway]discu路由器上设置，实现访问控制：[Router]interfaceethernet0[Router-Ethernet0]ipaddress[Router-Ethernet0]quit//指定ethernet0的ip[Router]interfaceethernet1[Router-Ethernet1]ipaddress[Router-Ethernet1]quit//开启firewall，并将默认设置为deny[Router]fireenable[Router]firedefaultdeny//允许访问//firewall策略可根据需要再进行添加[Router]acl101[Router-acl-101]rulepermitipsourcedestination[Router-acl-101]quit//启用101规则[Router-Ethernet0]firepa101[Router-Ethernet0]quit[Router-Ethernet1]firepa101[Router-Ethernet1]quitXX三层以太网交换机基本原理及转发流程--------------------------------------------------------------------------------1.二层转发流程1.1.MAC地址介绍MAC地址是48bit二进制的地址，如：00-e0-fc-00-00-06。可以分为单播地址、多播地址和广播地址。单播地址：第一字节最低位为0，如：00-e0-fc-00-00-06多播地址：第一字节最低位为1，如：01-e0-fc-00-00-06广播地址：48位全1，如：ff-ff-ff-ff-ff-ff注意：1）普通设备网卡或者路由器设备路由接口的MAC地址一定是单播的MAC地址才能保证其与其它设备的互通。2）MAC地址是一个以太网络设备在网络上运行的基础，也是链路层功能实现的立足点。1.2.二层转发介绍交换机二层的转发特性，符合802.1D网桥协议标准。交换机的二层转发涉及到两个关键的线程：地址学习线程和报文转发线程。学习线程如下：XX认证技术文章21）交换机接收网段上的所有数据帧，利用接收数据帧中的源MAC地址来建立MAC地址表；2）端口移动机制：交换机如果发现一个包文的入端口和报文中源MAC地址的所在端口不同，就产生端口移动，将MAC地址重新学习到新的端口；3）地址老化机制：如果交换机在很长一段时间之内没有收到某台主机发出的报文，在该主机对应的MAC地址就会被删除，等下次报文来的时候会重新学习。注意：老化也是根据源MAC地址进行老化。报文转发线程:1）交换机在MAC地址表中查找数据帧中的目的MAC地址，如果找到，就将该数据帧发送到相应的端口，如果找不到，就向所有的端口发送；2）如果交换机收到的报文中源MAC地址和目的MAC地址所在的端口相同，则丢弃该报文；3）交换机向入端口以外的其它所有端口转发广播报文。1.3.VLAN二层转发介绍报文转发线程:引入了VLAN以后对二层交换机的报文转发线程产生了如下的影响：1）交换机在MAC地址表中查找数据帧中的目的MAC地址，如果找到（同时还要确保报文的入VLAN和出VLAN是一致的），就将该数据帧发送到相应的端口，如果找不到，就向（VLAN内）所有的端口发送；2）如果交换机收到的报文中源MAC地址和目的MAC地址所在的端口相同，则丢弃该报文；3）交换机向（VLAN内）入端口以外的其它所有端口转发广播报文。以太网交换机上通过引入VLAN，带来了如下的好处：1）限制了局部的网络流量，在一定程度上可以提高整个网络的处理能力。2）虚拟的工作组，通过灵活的VLAN设置，把不同的用户划分到工作XX认证技术文章3组内；3）安全性，一个VLAN内的用户和其它VLAN内的用户不能互访，提高了安全性。另外，还有常见的两个概念VLAN的终结和透传，从字面意思上就可以很好的了解这两个概念。所谓VLAN的透传就是某个VLAN不仅在一台交换机上有效，它还要通过某种方法延伸到别的以太网交换机上，在别的设备上照样有效；终结的意思及相对，某个VLAN的有效域不能再延伸到别的设备，或者不能通过某条链路延伸到别的设备。VLAN透传可以使用802.1Q技术，VLAN终结可以使用PVLAN技术。IEEE802.1Q协议是VLAN的技术标准,主要是修改了标准的帧头，添加了一个tag字段，其中包含了VLANID等VLAN信息，具体实现这里不谈，如果有兴趣可以看相关的标准和资料。注意：在Trunk端口转发报文的时候，如果报文的VLANTag等于端口上配置的默认VLANID，则该报文的Tag应该去掉，对端收到这个不带Tag信息的报文后，从端口的PVID获得报文的所属VLAN信息，因此配置的时候必须保证连接两台交换机之间的一条Trunk链路两端的PVID设置相同。为什么要去Tag呢？这样做是为了保证一般的用户插到Trunk上以后，仍旧可以正常通信，因为普通用户无法识别带有802.1QVlan信息的报文。使用802.1Q技术可以很好的实现VLAN的透传，可是有的时候需要把VLAN终结掉，也就是说这个VLAN边界在哪里终止，PVLAN技术可以很好的实现这个功能，同时达到节省VLAN的目的。cisco的PVLAN意思是privatevlan，而我们的PVLAN意思是primaryvlan。这里的VLAN有两类：Primaryvlan和secondaryvlan（子VLAN）。实现了接入用户二层报文的隔离，同时上层交换机下发的报文可以被每一个用户接收到，简化了配置，节省了VLAN资源。具体实现这里不谈，如果有兴趣可以相关资料。XX认证技术文章4下面谈谈三层交换流程。用VLAN分段，隔离了VLAN间的通信，用支持VLAN的路由器（三层设备）可以建立VLAN间通信。但使用路由器来互联企业园区网中不同的VLAN显然不合时代的潮流。因为我们可以使用三层交换来实现。差别1（性能）：传统的路由器基于微处理器转发报文，靠软件处理，而三层交换机通过ASIC硬件来进行报文转发，性能差别很大；差别2（接口类型）：三层交换机的接口基本都是以太网接口，没有路由器接口类型丰富；差别3：三层交换机，还可以工作在二层模式，对某些不需路由的包文直接交换，而路由器不具有二层的功能。首先让我们看一下设备互通的过程：如图所示：交换机上划分了两个VLAN，在VLAN1，VLAN2上配置了路由接口用来实现vlan1和vlan2之间的互通。A和B之间的互通（以A向B发起ping请求为例）：1）A检查报文的目的IP地址，发现和自己在同一个网段；2）A---->BARP请求报文，该报文在VLAN1内广播；3）B---->AARP回应报文；4）A---->Bicmprequest;5）B---->Aicmpreply;A和C之间的互通（以A向C发起ping请求为例）：1）A检查报文的目的IP地址，发现和自己不在同一个网段；2）A---->switch（intvlan1）ARP请求报文，该报文在VLAN1内广播；XX认证技术文章53）网关---->AARP回应报文；4）A---->switchicmprequest（目的MAC是intvlan1的MAC，源MAC是A的MAC，目的IP是C，源IP是A）；5）switch收到报文后判断出是三层的报文。检查报文的目的IP地址，发现是在自己的直连网段；6）switch（intvlan2）---->CARP请求报文，该报文在VLAN2内广播；7）C--->switch（intvlan2）ARP回应报文；8）switch（intvlan2）---->Cicmprequest（目的MAC是C的MAC，源MAC是intvlan2的MAC，目的IP是C，源IP是A）同步骤4）相比报文的MAC头进行了重新的封装，而IP层以上的字段基本上不变；9）C---->Aicmpreply，这以后的处理同前面icmprequest的过程基本相同。以上的各步处理中，如果ARP表中已经有了相应的表项，则不会给对方发ARP请求报文。怎么样来区分二和三层的数据流？3526产品是三层以太网交换机，在其处理流程中既包括了二层的处理功能，又包括了三层的处理功能。区别二三层转发的基本模型：vlan1vlan2ACB如图所示：三层交换机划分了2个VLAN，A和B之间的通信是在一个VLAN内6完成，对与交换机而言是二层数据流，A和C之间的通信需要跨越VLAN，是三层的数据流。上面提到的是宏观的方法，具体到微观的角度，一个报文从端口进入后，Swtich设备是怎么来区分二层包文，还是三层报文的呢？从A到B的报文由于在同一个VLAN内部，报文的目的MAC地址将是主机B的MAC地址，而从A到C的报文，要跨越VLAN，报文的目的MAC地址是设备虚接口VLAN1上的MAC地址。因此交换机区分二三层报文的标准就是看报文的目的MAC地址是否等于交换机虚接口上的MAC地址。以XXS3526交换机为例，三层交换机整个处理流程中分成了三个大的部分：1）平台软件协议栈部分这部分中关键功能有：运行路由协议，维护路由信息表；IP协议栈功能，在整个系统的处理流程中，这部分担负着重要的功能，当硬件不能完成报文转发的时候，这部分可以代替硬件来完成报文的三层转发。另外对交换机进行telnet,ping,ftp,snmp的数据流都是在这部分来处理。举例：showiproute：RoutingTables:Destination/MaskProtoPreMetricNexthopInterface/0Static600VLAN-Interface/21Direct00VLAN-Interface/32Direct00InLoopBack0/30Direct000VLAN-Interface0/32Direct00InLoopBack0/8Direct00InLoopBack0/32Direct00InLoopBack0XX认证技术文章7维护ARP表showarp：IpAddressMac_AddressVLANIDPortNameType00e0.fc00.55182GigabitEthernet2/1Dynamic50010.b555.f0391Ethernet0/9Dynamic00800.20aa.f41d1Ethernet0/10Dynamic370010.a4aa.fce61Ethernet0/12Dynamic00010.b555.e04f1Ethernet0/8Dynamic2）硬件处理流程主要的表项是：二层MAC地址表，和三层的ipfdb表，这两个表中用于保存转发信息，在转发信息比较全的情况下，报文的转发和处理全部由硬件来完成处理，不需要软件的干预。这两个表的功能是独立的，没有相互的关系，因为一个报文只要一进入交换机，硬件就会区分出这个包是二层还是三层。非此即彼。例如：showmacall：MACADDRVLANIDSTATEPORTINDEXAGINGTIME(s)0000.21cf.73f41LearnedEthernet0/192660002.557c.5a0004.7673.0b381LearnedEthernet0/92620005.5d04.96481LearnedEthernet0/162320005.5df5.9f641LearnedEthernet0/16300MAC地址表是精确匹配的IVL方式，其中关键的参数是：VlanID,Portindex。例如：showipfdball：0:System1:Learned2:UsrCfgAge3:UsrCfgnoAgeOther:ErrorIpAddressRtIfVtagVTValidPortMacStatus722InvalidGigabitEthernet2/100-e0-fc-00-55-18822InvalidGigabitEthernet2/100-e0-fc-00-55-1822InvalidGigabitEthernet2/100-e0-fc-00-55-180022InvalidGigabitEthernet2/100-e0-fc-00-55-182XX认证技术文章80322InvalidGigabitEthernet2/100-e0-fc-00-55-180622InvalidGigabitEthernet2/100-e0-fc-00-55-182路由接口索引（RtIf）：该索引用来确定该转发表项位于哪个路由接口下面，对3526产品来讲，支持的路由接口数目是32；Vlantag:该值用来表明所处的VLAN，该VLAN和路由接口是对应的；Vlantag有效位（VTValid）：用来标识转发出去的报文中是否需要插入Vlantag标记。端口索引（Port）：用来说明该转发表项的出端口；下一跳MAC：三层设备每完成一跳的转发，会重新封装报文中的MAC头，硬件ASIC芯片一般依据这个域里面的数值来封装报文头。两个重要的概念：解析，未解析，每次收到报文，ASIC都会从其中提取出源和目的地址在MACTable或者IPFdbTable中进行查找，如果地址在转发表中可以找到，则认为该地址是解析的，如果找不到，则认为该地址是未解析的。根据这个地址是源，还是目的，还可以有源解析，目的未解析等等的组合。对于二层未解析，硬件本身可以将该报文在VLAN内广播，但是对于三层报文地址的未解析报文硬件本身则不对该报文进行任何的处理，而产生CPU中断，靠软件来处理。硬件部分的处理可以用这句话来描述：收到报文后，判断该报文是二或是三层报文，然后判断其中的源，目的地址是否已经解析，如果已经解析，则硬件完成该报文的转发，如果是未解析的情况，则产生CPU中断，靠软件来学习该未解析的地址。3）驱动代码部分其中关键的核心有：地址解析任务：在该任务中对已经报上来的未解析的地址进行学习，以便硬件完成后续的报文的转发而不需软件干预。地址管理任务：为了便于软件管理和维护，软件部分保存了一份同硬件中转发表相同的地址表copy。XX认证技术文章9fib（forwardinginformationbase）表:这个表的信息来源于iproutetable中的路由信息，之所以把它放在了driver部分，是为了地址解析任务在学IP地址时查找的方便。举例：showfib：Destination/MaskNexthopFlagInterface/0IVLAN-Interface/21DVLAN-Interface/32DInLoopBack0/300DVLAN-Interface0/32DInLoopBack0/8DInLoopBack0三层转发主要涉及到两个关键的线程：地址学习线程和报文转发线程，这个和二层的线程是类似的；1）报文转发线程主要根据地址学习线程生成的转发表（ipfdbtable）信息来对报文进行转发，如果里面的信息足够多，这个转发的过程全部由硬件来完成，如果信息不够，则会要求地址学习线程来进行学习，同时该报文硬件不能转发，会交给软件协议栈来进行转发。2）地址学习线程主要用来生成硬件转发表（ipfdbtable）其实ipfdbtable和二层的MAC地址表也是类似的，只不过里面的具体表项所代表的含义和所起的作用不同罢了。有一个问题：在路由器等软件转发引擎中，每收一个报文都会去查路由表查下一跳，然后再查ARP表找下一跳的MAC，可是在三层交换机（如S3526）中，报文转发的时候不需要去查路由表和ARP表，这样的话，这两个表是不是就没有什么作用了？回答当然是否定的，在S3526的三层转发流程中，过程一般都是这样的，第一个报文硬件无法转发，要进行IP地址的学习，同时为了保证不丢包，该报文也由软件来进行转发，在学习完成以后，第二，第三个报文以XX认证技术文章10后就一直是由硬件来完成转发了，这个过程也可以套用“一次路由，多次交换”来形象的进行总结，在一次路由中，要利用路由表和ARP表来学习IP地址，和转发第一个报文，在以后的多次交换过程中，则只要有ipfdbtable就可以了。路由器网络接口解析大全--------------------------------------------------------------------------------路由器网络接口解析大全我们将通过以下几个方面来对路由器网络接口进行全面的介绍和分析。1)接口和活动状态(2)硬件字段为你提供接口的硬件类型(3)Internet地址(4)MTU(5)BW(6)DLY(7)可靠性(8)负载(9)封装(10)回送(11)ARP类型(12)ARP超时(13)最后的输入和输出(14)输出中断(15)最后一次清除(16)排队策略(17)队列消息(18)5-分钟I/O速率(19)分组和字节输入(20)无缓冲(21)接收的广播(22)Runts(23)Giants(24)Throttles实例:Router#showinterfacee0/0Ethernet0/0isup,lineprotocolisdownHardwareisAmdP2,addressis0009.4375.5e20(bia0009.4375.5e20)Internetaddressis3/24MTU1500bytes,BW10000Kbit,DLY1000usec,reliability172/255,txload3/255,rxload39/255EncapsulationARPA,loopbacknotsetKeepaliveset(10sec)ARPtype:ARPA,ARPTimeout04:00:00Lastinputnever,output00:00:07,outputhangneverLastclearingof"showinterface"countersneverInputqueue:0/75/0/0(size/max/drops/flushes);Totaloutputdrops:0Queueingstrategy:fifoOutputqueue:0/40(size/max)5minuteinputrate0bits/sec,0packets/sec5minuteoutputrate0bits/sec,0packets/sec0packetsinput,0bytes,0nobufferReceived0broadcasts,0runts,0giants,0throttles0inputerrors,0CRC,0frame,0overrun,0ignored0inputpacketswithdribbleconditiondetected50packetsoutput,3270bytes,0underruns50outputerrors,0collisions,2interfaceresets0babbles,0latecollision,0deferred50lostcarrier,0nocarrier0outputbufferfailures,0outputbuffersswappedout(1)接口和活动状态在上面的显示中，内容表示硬件接口是活动的，而处理行协议的软件过程相信此接口可用。如果路由器操作员拆卸此硬件接口，第一个字段将显示信息isadministrativelydown.如果路由器在活动间隔内收到5000个以上的错误，单词Disabled将出现在此字段中，以显示连路由器自动禁用此端口。行协议字段还显示以前提到的三个描述之一：up、down、administrativelydown.如果字段项是up,则表示处理行协议和软件过程相信此接口可用，因为她正在接收keepalives的目的也是如此，其他设备可以确定某个空闲连接是否仍然活动。对于以太网接口，Keepalives的默认值是10s。我们不久将注意到，Keepalives设置可以通过为特定接口使用showinterfaces命令来获得。可以用keepaliveinterface命令来改变keepalives设置。此命令的格式如下：Keepaliveseconds(2)硬件字段为你提供接口的硬件类型在以上的例子中，硬件是CISCO扩展总线(CxBus)以太网，即接口处理器的533-Mbps数据总线。因此，硬件通知我们高速CxBus接口处理器用于支持以太网连接。同时还要注意显示字段包括接口的Mac地址。Mac是48位长的。因为Mac地址的头24位是表示生产厂家ID，所以十六进制数00-10-79是由IEEE分配给Csico的标识符。(3)Internet地址如果某个接口是为IP路由配置，那么将为它分配一个Internet地址。此地址后面是他的子网掩码。IP地址是/24。反斜杠(/)后面表示此地址的头24位表示网络，他等于子网掩码。(4)MTU最大传输单元（MTU）表示运行在接口上的协议的信息字段所支持的最大字节数。因为以太网桢的信息字段的最大长度是1500字节，所以它的MTU显示为1500字节。对于几乎所有的以太网应用程序，默认的1500字节MTU应该是有效的。对于令牌环，默认的MTU值为8192字节；但是应该注意的一点是RFC1191建议的MTU值为16-Mbps令牌环选择17914的，而为4-Mbps令牌环选择4464字节。最小的MTU是64个字节，而最大的值是65535字节。如果IP数据报超过最大的MTU，将对它进行分段，这将增加额外开销，因为每个最后的数据报都包含它自己的报头。虽然在高速LAN连接中，通常无需担心与分段有关的额外开销，但在低速串行接口上，这可能会是一个比较严重的问题。可以用MTUinterface命令来改变默认的MTU，此命令格式如下：mtubytes字节数可以是从64~6553。(5)BW接口带宽(BW)通常指的是接口的运行速率，用每秒千字节表示。因为以太网运行速率为10Mbps，所以BW值显示为10000Kb。可以用Bandwidth命令设置信息带宽值，但实际上不用它来调整接口的带宽，因为对于某些类型的介质，如以太网，带宽是固定的。对于其他的介质，如串行线，通常通过调整硬件来调整其运行速率。例如通过DSU/CSU上设置不同的时钟速率来提高或降低串行接口的运行速率。因此，bandwidth命令主要目的是使当前带宽与高层协议通信。可以通过以下命令格式设置带宽值，千位表示以千位每秒表示的带宽。Bandwidthkilobits(6)DLY此字段表示接口的延迟，用微秒表示。以太网的延迟（DLY）为1000s。可以使用delayinterface命令为接口设置延迟值。此命令的格式如下：delaytens-of-microseconds(7)可靠性可靠性字段表示接口的可靠性，用255分之几表示。此字段中所显示的值由在5分钟内的幂平均值计算。因为以太网为每个桢计算CRC，所以可靠性是基于CRC错误率，而不是位错误率。255/255表示接口在5分钟内100%可靠。虽然没有可靠性命令，可以考虑定期使用的一个重要命令是clearconuterEXEC命令。此命令的功能是清楚或重置接口计数器。此命令的一般格式取决于正在使用的路由器。下面显示的是第二种格式用于Cisco7000系列产品：clearcounter[typenumber]clearcounter[typeslot/port]type表示特定的接口类型。如果你不指定特定接口，所有接口的计数器都被清除。(8)负载接口上的发送和接收负载均显示为255分之几。与可靠性字段类似，负载字段也是计算5分钟内的幂平均值。从上面可以看出，发送(Txload)负载表示为3/255，而接收(rxload)负载为39/255。因为以太网运行速率为10Mbps，所以可以通过将每分数乘以运行速率来获得接口活动的一般指示。这是因为每个以太网桢都至少有26个额外字节，而当信息字段少于45字节时，将使PAD字符添加到信息字段中。(9)封装此字段表示分配给接口的封装方法。在上面的例子中，封装显示为ARPA，他的标准的以太网2.0版封装方法。其他封装方法还包括IEEE802.3以太网的关键字iso1,以及IEEE802.3桢的关键字snap（子网访问协议）桢变异。(10)回送回送字段表示接口是否处于运行的回送模式。如果设置回送，这是当技术人员夜间将接口放入回送接口进行测试，而忘了重置回送时发生的常见问题，这会导致第二天早上会有一些有趣的电话打到控制中心。可以使用Loopbackinterface设置命令将接口置于运行的回送模式。Loopback命令没有参数，应使用noLoopback命令删除或禁用回送。以下例子显示了将以太网接口设置为回送模式。Interfaceethernet0/0Loopback可以使用showinterfaceloopbackEXEC命令查看回送的状态。如果你的路由器有大量的接口，并且技术人员进行定期检测，那么在一大早使用此命令以避免不必要的问题是一个不错的主意。(11)ARP类型此字段表示分配的地址解析协议（ARP）类型。在IP环境中，ARP类型是ARPA。默认情况下，以太网接口使用ARPA关键字以指定IP接口上的ARPA封装。可以通过使用arpinterface命令将封装更改为HPPROBE或SNAP，此命令格式如下：arp{arpa/probe/snap}请注意HPProbe被IOS用于试图解析IEEE802.3或以太网本地数据连路地址。应将ARP类型设为probe,以使得一个或多个路由器接口透明地与使用称为”虚拟地址请求和回复”的地址解析技术的HPIEEE802.3主机通信。(12)ARP超时此字段表示当非活动时，ARP项在清洗之前保留于缓存中的时间长度。ARP超时的默认值为4个小时，如上面例子所示：可以通过使用ARPtimeout命令调整ARP缓存项在缓存中的时间长度。此命令格式如：arptimeoutseconds(13)最后的输入和输出此字段表示最后一个分组或侦被接口成功接收或发送以来的小时、分钟和秒数。可以使用此字段中的值确定活动接口是否依然激活或者死接口何时出现故障。关于前者，在第一个showinterface命令指示接口新的最后输出(这还可以指示是否有问题发生)后10秒或1分钟，再输入第二个showinterface命令。它还表示如果出现问题，并非由于无法接收分组。例如，上面的例子中，最后一个成功输入发生在2秒之前。如果我们等待几秒，并发布又一个showinterface命令，就可以获得对此计数器的更新。(14)输出中断输出中断字段表示自接口由于发送时间太长而进行最后一次重置以来的时间。此字段的值用小时、分钟和秒数指定，或者如果未发生中断(hang)情况，将永不显示。如果自最后一次重置以来的小时数超过24，将显示天数和小时数，直到字段益出。当发生此情形时，将在此字段中显示星号(*)。(15)最后一次清除此字段表示测量累计统计信息的接口计数器最后一次被重置为0的时间。清除会影响几乎所以的统计信息，除了诸如负载和可靠性等路由统计信息之外。最后一次清除所显示的实际值是基于32位ms计数器的使用。显示星号表示经过的时间太长无法显示，而显示0:00:00表示计数器在2的31次幂ms到2的32次幂ms之前清除。在许多路由器上最后一次清除值将以星期和月或日和小时表示。例如，在上面的例子里，showinterfaces计数器最后一次清除显示为1w2d。(16)排队策略此字段表示分配给接口的配对策略。默认为先入后出(Firstinfirstout,FIFO)。如果以前为接口分配了优先级配对方式，将在此字段中列出此配对方法。(17)队列消息对于输出和输入队列，显示为m/n形式的一队数字，随后是由于队列已满而丢失的分组数。这里替代了m的值表示队列中的分组数，而替代n的值表示用分组表示最大队列大小。通过检查丢失的分组数以及在一段时间内m和n之间的关系，就可以确定是否需要建议对特定接口的队列长度进行调整以减少丢失的分组。但是，还应考虑与接口相连的介质和使用级别，以确定对输出队列长度进行调试是否有益。使用率高的介质最有可能引起队列中分组的丢失：路由器在传输数据时，将遭遇困难，从而导致输出分组排队，而这反过来导致当输出队列已满，且有其他分组到达以便通过接口传输到介质时出现分组丢失。在输入方，丢失的分组和m和n的较大比值表示路由器正忙于进行其他工作，而无法适时地处理进入的分组。如果次情形持续的时间比较长，则通常表示需要一个更强大的路由器以满足工作需要。通常，此情形可通过许多路由器接口的进入方向上的大量丢失的分组而观察到。在上面的showinterfaces中队列信息字段值显示目前任一队列中均无分组。而且，虽然输出队列已满而造成63个分组丢失，但没有分组由于输入队列而丢失。后者是一种常见情形，因为大多数路由器（除非配置过度）不应该在处理进入的数据方面有问题。(18)5-分钟I/O速率下一个字段显示在前5分钟通过接口发送和接收的平均位数和平均分组数。当解释在此字段中显示的数据时，必须考虑几个因素。首先，必须考虑接口的运行模式和接口相连的网络的配置。例如，如果接口是LAN接口，则即可以运行在混乱模式，从而度曲LAN上的每一侦，也可以运行在非混乱模式，即仅读取广播榛和直接投递到接口的桢。如果端口处于混乱模式，则读取所有的分组，并提供一种测试在网络中流动的数据的方法。如果接口不处于混乱状态，则仅对她发送和接收的流量有感觉，这可能只占网络中所有流量的一小部分。考虑到网络配置，如果接口连接到只有一个站的LAN，如WEB服务器，那么所有的流量将流经路由器的接口。这意味着可以获得一种相对准确的测试网络活动方法，而无需考虑接口所处的模式。需要考虑的另一个因素是5分钟I/O速率表示5分钟时间常数的幂平均值之一事实。因此，任意一个5分钟I/O速率都是这段时间内每秒流量的大概值。但是4个5分钟的时间跨度所产生的平均值将在20分钟的统一流量的即时速率的2%以内。因为分组的长度可变，所以每秒位率通常比从传输介质角度检查接口上的活动更有用。在上面的例子中，输入速率1540000bps约表示接口运行速率的1/6。你可能会感到奇怪，为什么输入速率比接口输出速率大将近一个数量级，回答在于接口的连接。在这一特定的路由器使用环境中，以太网接口连接到一个只具有一个另外的站（即公司WEB服务器）的10BASE-TLAN。WEB页请求以统一资源定位器（URL）的形式流动，而对URL请求的响应是WEB页；这解释了为什么输入和输出方向上的流量级别不成正比。现在，我们了解了5分钟I/O速率，接下来让我们介绍可为某个接口显示的特定分组的输入和输出信息。(19)分组和字节输入此字段首先表示路由器接收的无错误分组的总数量。其次，它还表示路由器接收的无错误分组的总字节数。如果用字节数除以分组数，就可以获得字节表示的平均分组长度。此信息可用于为在接口上流动的流量类型提供一般表示。例如，相对短的分组通常传输交互式的查询/响应流量，而相对长的分组通常传输包括WEB页的文件及包含在大多数这些页中的图形。(20)无缓冲无缓冲字段表示接口所接收的、由于路由器缺乏缓冲空间而不得不丢弃的分组数。不要将此缓冲空间与接口的内部缓冲弄混。当出现连续的“无缓冲”情形时，通常表示路由器需要更多的内存。但是，如果定期遇到nobuffers值，则可能是由于LAN上的广播风暴或者串行端口上的噪音发作所致。可以通过检查下一字段确定出现无缓冲值的原因是否属于广播风暴所致。(21)接收的广播此字段表示接口所接收的广播或多播分组的总数量。要注意的重要一点是许多广播是自然通信过程的一部分。例如，用于将第三层IP地址解析为第2层Mac地址的ARP取决于发放一个广播，以查询与必须获得的第3层地址相关的第2层地址的LAN的每一站，如此才能正确形成侦来传递分组。同样，在NovellIPX环境中，服务器每30s广播服务声明协议(SAP)分组。这些定义了服务器所提供的服务。如果你是严格的IP环境，