网络技术练兵(交换)课件

2009.92009新业务开发中心网络技术练兵培训网络技术练兵(交换)6月16日6月17日6月18日6月19日6月20日上午10：00－13：00交换路由技术培训网络汇聚与接入配置实验静态路由与动态路由培训静态路由与动态路由实验网络技能竞赛（网络搭建与故障处理）午休下午16：00－19：00网络汇聚与接入配置实验同上静态路由与动态路由实验防火墙应用培训与实验同上网络技术练兵日程安排实验设备：AR28－31路由器2台S3552交换机6台S2403交换机3台EUDEMON200防火墙1台笔记本若干网络练兵网络实验拓扑最终演练效果搭建网络环境：汇聚与接入层网络、静态路由与OSPF动态路由网络、路由器边界专线接入网络、防火墙边界防护网络。掌握网络技术：通过实验完成二层和三层交换机、路由器的基本配置，掌握VLAN、STP、端口绑定、VRRP、静态路由、OSPF动态路由、NAT、IP地址规划等技术。

二层交换机目录二层交换常用数据配置VLAN应用配置三层交换机汇聚数据配置帐号管理及网管配置二层交换机应用举例交换机VLAN基础知识复习VLAN的产生原因－广播风暴……广播L2对所接收到的数据帧根据MAC地址进行二层转发，冲突域被限制到了一个端口上。但是无法限制广播域的大小。VLAN的起源——基于端口分组解决广播泛滥问题的主导思想：将没有互访需求的主机隔离开主机A主机B主机C主机D以太网交换机VLAN表端口所属VLANPort1VLAN5Port2VLAN10…………Port7VLAN5…………Port10VLAN10Port1Port2Port7Port10VLAN的帧格式DASATypeDataCRC标准以太网帧DASATypeDataCRCtagTPIDPriorityCFIVLANIDTCI带有IEEE802.1Q标记的以太网帧AccessLink和TrunkLink接入链路干道链路帧在网络通信中的变化VLAN2VLAN1VLAN1VLAN2带有VLAN1标签的以太网帧带有VLAN2标签的以太网帧不带VLAN标签的以太网帧广播包在二层网络中的传播VLAN1VLAN2VLAN1VLAN3VLAN2VLAN1VLAN5VLAN5VLAN2VLAN5广播报文发送TrunkLink目录二层交换常用数据配置VLAN应用配置实现环境的塔建帐号管理及网管配置二层交换机应用举例交换机基本知识设备数据配置环境的搭建方法一：通过console口搭建本地的配置环境。超级终端配置CRT软件配置

如果忘记参数怎么办？点还原默认值设备数据配置环境的搭建方法二：通过telnet远程登录搭建远程的配置环境。（1）Telnet用户登录时，缺省需要进行口令认证，如果没有配置口令而通过Telnet登录，则系统会提示“passwordrequired,butnoneset.”（2）通过Telnet配置交换机时，不要删除或修改对应本telnet连接的交换机上的VLAN接口的IP地址，否则会导致Telnet连接断开（3）Telnet用户登录时，缺省可以访问命令级别为0级的命令（4）如果通过PC直接接在交换机上进行telnet配置，注意接PC的以太网端口要属于交换机的管理VLAN（5）如果出现“Toomanyusers!”的提示，表示当前Telnet到以太网交换机的用户过多，则请稍候再连（Quidway系列以太网交换机最多允许5个Telnet用户同时登录）TELNET连接认证设置配置过程注释[Quidway]user-interfacevty04[Quidway-ui-vty0]authentication-modepassword/scheme/none[Quidway-ui-vty0]setauthenticationpasswordsimple/cipherhuawei[Quidway]superpasswordlevel3simple/cipherhuawei

#设置认证方式PASSWORD指定密码方式,SCHEME本地用户方式,NONE不需要密码#设置认证的密码口令为huawei#设置切换低级别用户到高级别用户的密码注：高端路由器或交换机的VTY值为0至15Telnet用户登录时，缺省需要进行口令认证，如果没有配置口令而登录，则系统会提示“passwordrequired,butnoneset.”。如果使用authentication-modenone命令，则Modem和Telnet用户登录时不需要进行口令的验证。本地用户设置配置过程注释[Quidway]local-userhuawei[Quidway-luser-huawei]passwordsimple/cipherhuawei[Quidway-luser-huawei]service-type

#配置用户名#配置密码#配置用户类型注：当配置了本地用户并将类型指定为telnet后,用telnet登录时将使用本地用户名和密码认证：user-interfacevty04authentication-modescheme使用USER方式登陆setauthenticationpasswordsimple

huawei本条将不生效视图分类视图功能提示符进入命令退出命令用户视图查看交换机的简单运行状态和统计信息<Quidway>与交换机建立连接即进入quit断开与交换机连接系统视图配置系统参数[Quidway]在用户视图下键入system-viewquit或return返回用户视图以太网端口视图配置以太网端口参数[Quidway-Ethernet0/1]在系统视图下键入：interface

ethernet0/1quit返回系统视图VLAN视图配置VLAN参数[Quidway-Vlan1]在系统视图下键入vlan1quit返回系统视图VLAN接口视图配置VLAN和VLAN汇聚对应的IP接口参数[Quidway-Vlan-interface1]在系统视图下键入：interface

vlan-interface1quit返回系统视图本地用户视图配置本地用户参数[Quidway-luser-user1]在系统视图下键入：local-useruser1quit返回系统视图登陆界面及等级切换

PleasepressENTER.<Quidway>%Apr205:38:462000QuidwaySHELL/5/LOGIN:ConsoleloginfromAux0/0

<Quidway>super进入特权模式Nowuserprivilegeis3level,andjustcommandswhichlevelisequaltoorlessthanthislevelcanbeused.Privilegenote:0-VISIT,1-MONITOR,2-SYSTEM,3-MANAGE<Quidway>systemview进入系统配置模式Entersystemview,returntouserviewwithCtrl+Z.[Quidway]displaycurrent-configuration显示当前配置保存配置[Quidway]sysnamehuawei指定设备名称[huawei]quit退出当前模式<huawei>save保存配置Thiswillsavetheconfigurationintheflashmemory.Theswitchconfigurationswillbewrittentoflash.Areyousure?[Y/N]yNowsavingcurrentconfigurationtoflashmemory.Pleasewaitforawhile...Currentconfigurationsavedtoflashmemorysuccessfully.<Quidway>VLAN创建及端口指定创建VLAN:进入vlan视图，如果指定的vlan没有创建则先创建它[undo]vlanvlan_idundovlan：删除已创建的vlan给指定vlan增加/删除以太网接口命令格式：portinterface_list

undoportinterface_list

参数含义：

interface_list

：由端口类型和端口序号组成VLAN的划分及配置：ACCESS配置过程注释方法一：[Quidway]vlan2[Quidway-vlan2]portethernet0/1[Quidway-vlan2]vlan3[Quidway-vlan3]portethernet0/2toethernet0/22方法二：[Quidway]vlan2[Quidway-vlan2]quit[Quidway]interfaceethernet0/1[Quidway-Ethernet1]portaccessvlan2[Quidway-Ethernet1]quit[Quidway]vlan3[Quidway-vlan3]quit[Quidway]interfaceethernet0/2[Quidway-Ethernet2]portaccessvlan3#创建VLAN2#将端口1加入到VLAN2#创建VLAN3#将端口2至22加入到VLAN3注：缺省情况下所有端口都属于VLAN1，并且端口是access端口，一个access端口只能属于一个vlan；如果端口是access端口，则把端口加入到另外一个vlan的同时，系统自动把该端口从原来的vlan中删除掉。设置/取消Trunk端口中允许通过的VLAN用途：该命令用来设置或取消Trunk端口中允许通过的VLAN命令格式：[undo]porttrunkpermitvlan{vlan_id_list|all}缺省值：端口为非Trunk端口，不具备Trunk功能。交换机端口缺省值:ACCESSVLAN11、设置以太网端口的全双工/半双工属性例：将以太网端口Ethernet0/1端口设置为自协商状态/半双工/全双工[Quidway-Ethernet0/1]duplexauto/half/full2、设置端口的速率例：将以太网端口Ethernet0/1的端口速率设置为100Mbit/s[Quidway-Ethernet0/1]speed

10/1003、设置端口的描述字符串例：设置以太网端口Ethernet0/1的描述字符串为lanswitch-interface[Quidway-Ethernet0/1]descriptionlanswitch-interface注意:网络设备互联时建议设置为强制100M和全双工VLAN的划分及配置：TRUNK配置过程注释[Quidway]interfaceethernet0/23[Quidway-Ethernet23]descriptionto_6506A_E6/0/47[Quidway-Ethernet23]portlink-typetrunk[Quidway-Ethernet23]porttrunkpermitvlan1020to25[Quidway-Ethernet23]undoporttrunkpermitvlan1[Quidway-Ethernet23]speed100

[Quidway-Ethernet23]duplexfull#备注说明#设置接为类型为TRUNK#允许VLAN10,20至25数据通过#将VLAN1过滤#设置接口速度及双工管理VLAN及IP的配置1、建议管理VLAN[Quidway]VLAN1002、配置设备的管理IP地址[Quidway]interfacevlan-interface100[Quidway-Vlan-interface100]ipaddress192.168.100.2255.255.255.03、配置设备的网关[Quidway]iproute-static0.0.0.00.0.0.0192.168.100.1注:二层交换机只能设置一个管理VLAN二层交换机配置分析<IDC-3026-L8-1>dispcu#

sysnameIDC-3026-L8-1#superpasswordlevel3cipher

%T'2=T+2C)8WWA*K:\11[!!!#radiusschemesystemserver-typehuaweiprimaryauthentication127.0.0.11645primaryaccounting127.0.0.11646user-name-formatwithout-domaindomainsystemradius-schemesystemaccess-limitdisablestateactivevlan-assignment-modeintegeridle-cutdisableself-service-urldisablemessengertimedisabledomaindefaultenablesystem#local-servernas-ip127.0.0.1keyhuaweiSNMP简单网络管理协议配置配置过程注释<Quidway>system-view[Quidway]snmp-agentcommunityreadpublic[Quidway]snmp-agentcommunitywriteprivate[Quidway]snmp-agentsys-infocontactMr.Wang-Tel:3306[Quidway]snmp-agentsys-infolocationtelephone-closet,3rd-floor[Quidway]snmp-agenttrapenable[Quidway]snmp-agenttarget-hosttrapaddressudp-domain129.102.149.23udp-port5000paramssecuritynamepublic#进入系统视图#设置团体名和访问权限#设置管理员标识、联系方法以及物理位置#允许向网管工作站129.102.149.23发送Trap报文，使用的团体名为public。注：一般情况下只需设置团体名和访问权限设备即可被管理，其他为可选配置二层交换机配置分析stpenable#vlan1#vlan100#vlan501#vlan514#interfaceVlan-interface100ipaddress10.238.165.110255.255.255.224#interfaceAux0/0#interfaceEthernet0/1portaccessvlan514#interfaceEthernet0/2portaccessvlan514二层交换机配置分析#interfaceEthernet0/23duplexfullspeed100portlink-typetrunkundoporttrunkpermitvlan1porttrunkpermitvlan2to2094#interfaceEthernet0/24duplexfullspeed100portlink-typetrunkundoporttrunkpermitvlan1porttrunkpermitvlan2to4094#interfaceGigabitEthernet1/1#interfaceGigabitEthernet2/1#interfaceNULL0二层交换机配置分析#iproute-static0.0.0.00.0.0.010.238.165.99preference60#snmp-agentsnmp-agentlocal-engineid800007DB00E0FC3176776877snmp-agentcommunityreadpublicsnmp-agentsys-infocontactHuaWeiBeiJingChinasnmp-agentsys-infolocationBeiJingChinasnmp-agentsys-infoversionall#user-interfaceaux0user-interfacevty04setauthenticationpasswordcipherN'TSG%'VB%)-[1%-:KQZW!!!注意事项序号注意项目记录1登录交换机时请注意在超级终端中流控选择“无”2启动时按”ctrl+B”可以进入到bootmenu模式3当交换机提示”PleasePressENTER”，敲完回车后请等待一下，设备需要一定的时间才能进入到命令行界面（具体的时间试产品而定）4进入系统视图请输入”system-view”（输入”sys”即可）5对使用的端口、vlan、interfacevlan进行详细的描述6如果配置了telnet用户，一定要设置权限或配置super密码7在使用VRRP主备时,务必要打开STP生成树协议8使用别的产品模块前请确认该模块是否可以混用9配置acl时请注意掩码配置是否准确10二层交换机配置管理IP后，请确保管理vlan包含了管理报文到达的端口11配置完毕后请在用户视图下（即尖括号视图下）采用save命令保存配置12请确保在设备保存配置的时候不掉电，否则可能会导致配置丢失13如果要清除所有配置，请在用户视图下（即尖括号视图下）采用resetsaved-configuration，并重启交换机阶段提示二层交换机不设置IP地址可以吗？如何快速把交换机前十个口划到指定的VLAN10？如果删除了VLAN10，那原属于VLAN10的端口，会怎么样变化？[IDC-3026-L6-2]interfaceVlan-interface101Noenoughroutingdomainresource!这个错误提示是什么意思？PING网关老丢包可能是什么原因？ENDVLAN间路由目录第一节VLAN间路由的需求第二节三层交换机做VLAN间路由第三节三层交换机基本介绍第四节VLAN间路由的配置第五节应用举例

VLAN

隔离二层广播域VLAN隔离了二层广播域，也就严格地隔离了各个VLAN之间的任何流量，分属于不同VLAN的用户不能互相通信。VLAN100VLAN200VLAN300VLAN间通信不同VLAN之间的流量不能直接跨越VLAN的边界，需要使用路由，通过路由将报文从一个VLAN转发到另外一个VLAN。VLAN100VLAN200VLAN300VLAN间通信的路由选择在主机上配置默认网关，对于非本地的通信，主机会自动寻找默认网关，并把报文交给默认网关转发而不是直接发给目的主机。VLAN1001.1.1.10/24VLAN2002.2.2.20/24Ping2.2.2.20非本地通信使用默认网关网络1.1.1.0/24在接口1网络2.2.2.0/24在接口2解决方法（一）:每个VLAN一个物理连接

实现方法:在二层交换机上配置VLAN，每一个VLAN使用一条独占的物理连接连接到路由器的一个接口上。VLAN100VLAN200VLAN300前提：VLAN和IP子网间是一对一的关系缺点：每个VLAN需要占用一个路由器的端口；不同VLAN中的主机需配置不同的缺省网关

本办法在实际中很少使用解决方法（二）:单臂路由

二层交换机上和路由器上配置他们之间相连的端口使用VLANTrunking，使多个VLAN共享同一条物理连接到路由。VLAN100VLAN200VLAN300前提：VLAN和IP子网间是一对一的关系缺点1.需要多个设备，组网复杂；

发2.VLAN间通信通过路由器完成；

地3.路由器价格昂贵，速率较低。解决办法（三）:三层交换机二层交换机上和路由器在功能上的集成构成了三层交换机，三层交换机在功能上实现了VLAN的划分、VLAN内部的二层交换和VLAN间路由的功能。VLAN100VLAN200VLAN300VLAN100VLAN200VLAN300前提：VLAN和IP子网间是一对一的关系三层交换机功能模型10.110.0.113/24G:10.110.0.25410.110.1.69/24G:10.110.1.25410.110.1.88/24G:10.110.1.25410.110.2.200/24G:10.110.2.254ETH0:10.110.0.254/24ETH1:10.110.1.254/24ETH2:10.110.2.254/24三层交换机中的路由和二层交换二层交换引擎：实现同一网段内的快速二层转发三层路由引擎：实现跨网段的三层路由转发什么是三层交换机在逻辑上，三层交换和路由是等同的，三层交换的过程就是IP报文选路的过程。三层交换机与路由器在转发操作上的主要区别在于其实现的方式：三层交换机通过硬件实现查找和转发；传统路由器通过微处理器上运行的软件实现查找和转发；三层交换机的转发路由表与路由器一样，需要软件通过路由协议来建立和维护。三层交换机特别适合下面这样的组网几乎全以太网接口路由比较稳定，变化比较少,能够更加经济的替代传统路由器。三层交换机仍有不足之处：L3虽然几乎具备了路由器的所有功能，但在走向广域网的过程中却遇到了广域网接口带宽不足，路由性能低下的尴尬。常见的三层交换机不具备NAT功能，无法作为边界路由器使用。创建/删除VLAN的RouteInterface属性用途：为了给VLAN指定IP地址，需要给vlan创建一个虚拟路由接口。[undo]interfacevlanvif_id参数含义：vif_id：虚接口号，且虚接口号与vlanid相等给VLAN指定/删除IP地址和掩码用途：给VLAN指定IP地址和掩码/掩码长度ipaddress

ip_address{mask|mask_length}undoipaddress[ip_address]undoipaddress：删除vlan的ip地址参数含义：ip_address：vlan的ip地址mask：对应的子网掩码mask_length：对应的掩码长度配置VLAN[Quidway]vlan100[Quidway-vlan100]porte0/1toe0/10[Quidway]vlan200[Quidway-vlan200]porte0/11toe0/20VLAN100VLAN200给VLAN配置路由接口[Quidway]vlan100[Quidway-vlan100]interfacevlan100[Quidway-vlan-interface100]ipaddress1.1.1.254255.255.255.0[Quidway]vlan200[Quidway-vlan200]interfacevlan200[Quidway-vlan-interface200]ipaddress2.2.2.254255.255.255.01.1.1.254/242.2.2.254/24VLAN100VLAN200给主机配置默认网关在主机上配置主机的默认网关，将默认网关指向所在VLAN在三层交换机上的接口的地址。VLAN100VLAN2001.1.1.254/242.2.2.254/241.1.1.100/24默认网关:1.1.1.2542.2.2.100/24默认网关:2.2.2.254给主机配置默认网关在主机上访问网络上已经配置好的部分，测试配置的网络是否已经正常连通。VLAN100VLAN2001.1.1.254/242.2.2.254/241.1.1.100/24默认网关:1.1.1.2542.2.2.100/24默认网关:2.2.2.254ping1.1.1.100阶段提示通上以上内容,你可以在一个三层交换机上建立多个VLAN,并让他们之间实现互访了吗?还记得配置步骤了吗?1、创建VLANVlan1002、创建/删除VLAN的RouteInterface属性

interfacevlan1003、给VLAN指定/删除IP地址和掩码ipaddress1.1.1.254255.255.255.04、配置VLAN将接主机的端口划入VLAN[Quidway]vlan100[Quidway-vlan100]porte0/1toe0/105、给主机配置默认网关在主机上配置主机的默认网关，将默认网关指向所在VLAN在三层交换机上的接口的地址。IP:1.1.1.1mask:255.255.255.0gateway:1.1.1.254ENDVRRP原理VRRP将局域网的一组路由器（包括一个Master即活动路由器和若干个Backup即备份路由器）组织成一个虚拟路由器，称之为一个备份组简单来说，VRRP是一种容错协议，它保证当主机的下一跳路由器坏掉时，可以及时由另一台路由器来代替，从而保持通讯的连续性和可靠性。

用VRRP实现虚拟路由器实际IP地址：192.1.1.3/24Internet实际IP地址：192.1.1.2/24虚拟IP地址：192.1.1.10/24VRRP主要配置命令VRRP主要配置命令如下：添加备份组接口的虚拟IP地址设置备份组的优先级（可选）设置备份组的抢占方式和延迟时间（可选）设置备份组的认证方式和认证字（可选）设置备份组的定时器（可选）设置监视指定接口（可选）VRRP技术VRRP实现三层的负载均衡和冗余备份

VRRP组对外虚拟同一个IP地址&同一个MAC地址 VRRP（VirtualRouterRedundancyProtocol）是一种LAN接入设备容错协议，合作8505A主路由器配置例：interfaceVlan-interface30ipaddress10.238.111.252255.255.255.0vrrpvrid30virtual-ip10.238.111.254vrrpvrid30priority200合作8505B备路由器配置例：：interfaceVlan-interface30ipaddress10.238.111.253255.255.255.0vrrpvrid30virtual-ip10.238.111.254vrrpvrid30priority100其中virtual-ip10.238.111.254就是网关。

网关填10.238.111.252可以吗？VRRP

PING注意事项VRRP的虚拟地址是否可以访问？比如ping通，或使用网管访问？

对于这个问题一直有争议，因为在RFC2338的6.4.3中有一句话：“MUSTNOTacceptpacketsaddressedtotheIPaddress(es)associatedwiththevirtualrouterifitisnottheIPaddressowner.”由此认为访问虚拟IP地址的报文比如ping报文，除非Master是IPaddressowner，否则都不应该处理。

但是，这一限制会造成一些困惑，很多用户有ping网关的习惯，并且并不懂VRRP，如果ping不通网关他们会认为网络有问题并可能引发纠纷，造成不必要的误会。目前基本上所有厂家的设备事实上都支持对虚拟地址的ping。华为的路由器一直支持，三层交换机有一段时间不支持，后来在用户的压力下也支持了，有些设备版本还搞了一个命令vrrpping-enable。如果配置VRRP前没有执行vrrpping-enable命令，将不能PING通VRRP地址，除非删除重做。VRRP应用网络拓扑图中三层交换机C、D与二层交换机互联均使用TRUNK，这样会形成一个环路，怎么办？使用生成树协议，将备用链路在逻辑上断开，将主链路出问题后，自动恢复。STP生成树协议配置过程注释SwitchA交换机配置：[SwitchA]stpenableSwitchB交换机配置：[SwitchB]stpenable[SwitchB]stprootprimarySwitchC交换机配置：[SwitchC]stpenable[SwitchC]stprootsecondarySwitchD交换机配置：[SwitchD]stpenable#启动生成树协议#启动生成树协议#配置本桥为根桥#启动生成树协议#配置本桥为备份根桥#启动生成树协议注：缺省情况下交换机的优先级都是32768，如果想人为指定某一台交换机为根交换机，也可以通过修改优先级来实现；缺省情况下打开生成树后，所有端口都会开启生成树协议，请把接PC的端口改为边缘端口模式。

VRRP应用举例1两台三层交换机互联接口起TRUNK，并将VLAN允许通过。三层与二层交换机互联起RUNK。二层交换机配置：1、在二层中必须开启STP协议。2、二层与三层互联接口为TRUNK，并允许指定VLAN能过。互联接口强制为全双工和100M3、二层其他配置没有特殊的地方。。建立指定VLAN，把端口划到特定VLAN中就可以接终端了。。VRRP应用举例vlan1#vlan101descriptionmanager#vlan111#interfaceVlan-interface101ipaddress10.238.112.28255.255.255.224vrrpvrid101virtual-ip10.238.112.30vrrpvrid101priority150#interfaceVlan-interface111ipaddress10.238.176.60255.255.255.192vrrpvrid111virtual-ip10.238.176.62vrrpvrid111priority120interfaceGigabitEthernet1/0/1duplexfullspeed1000portlink-typetrunkundoporttrunkpermitvlan1porttrunkpermitvlan101111interfaceGigabitEthernet1/0/2Descconnect-sw1-0-23duplexfullspeed1000portlink-typetrunkundoporttrunkpermitvlan1porttrunkpermitvlan101111vlan1#vlan101descriptionmanagervlan111#interfaceVlan-interface101