《网络设备安全》课件第2章 以太网技术及交换机基本配置

2.1以太网的技术基础2.1.1以太网发展历史20世纪70年代产生于施乐公司最初的以太网使用粗同轴电缆为传输介质，为共享式以太网，会产生冲突利用CSMA/CD算法解决共享信道内的信道争用问题1978年，DEC公司、Intel公司和Xerox拟定了一个针对10Mbps以太网的标准，成为DIX标准1983年，DIX标准演变成IEEE802.3标准随着以太网技术的发展，百兆、千兆、万兆的标准相继出台2.1.2IEEE802.3和OSI模型

IEEE802局域网体系结构只对应于OSI／RM的数据链路层和物理层，如图所示，以太网将数据链路层的功能划分到了两个不同的子层：逻辑链路控制(LLC)子层和介质访问控制(MAC)子层。图2-1IEEE802局域网体系结构会话层应用层表示层传输层网络层数据链路层物理层OSI/RMLLC层MAC层物理层以太网IEEE802参考模型IEEE802.3IEEE802.2对于以太网，IEEE802.2标准规范LLC子层的功能，而802.3标准规范MAC子层和物理层的功能。局域网对LLC子层是透明的，只有到MAC子层才能见到具体局域网。局域网链路层有两种不同的数据单元：LLCPDU（LLC子层协议数据单元）和MAC帧（介质访问控制子层协议数据单元）。高层的协议数据单元传到LLC子层的时候，会加上适当控制信息，便构成了LLCPDU；LLCPDU再向下传到MAC子层的时候，也会在首部和尾部加上控制信息，便构成了MAC子层的协议数据单元MAC帧。2.1.3以太网MAC地址

为协助确定以太网中的源地址和目的地址，创建了称为介质访问控制(MAC)地址的唯一标识符。MAC地址由48比特长，12个的16进制数字组成，0到23位是厂商向IETF等机构申请用来标识厂商的代码，也称为“编制上唯一的标识符”（OrganizationallyUniqueIdentifier)，是识别LAN（局域网）结点的标志。MAC地址的24到47位由厂商自行分派，是各个厂商制造的所有网卡的一个唯一编号。在OSI模型中，第三层网络层负责IP地址，第二层数据链路层则负责MAC位址。因此一个网卡会有一个全球唯一固定的MAC地址，但可对应多个IP地址。2.1.4以太网帧结构

以太网网络中仍然在用的以太网帧结构，主要有四种不同格式，分别为：EthernetII，也称为DIX2.0，Xerox与DEC、Intel在1982年制定的以太网标准帧格式。Cisco将其称为ARPA。这是最常见的一种以太网帧格式，也是今天以太网的事实标准。Ethernet802.3raw，Novell在1983年公布的专用以太网标准帧格式。Cisco将其称为Novell-Ether。Ethernet802.3SAP，IEEE在1985年公布的Ethernet802.3的SAP版本以太网帧格式。Cisco将其称为SAP。Ethernet802.3SNAP，IEEE在1985年公布的Ethernet802.3的SNAP版本以太网帧格式。Cisco将其称为SNAP。以太网帧格式在每种以太网帧格式的开头都有64比特（8字节）的前导字符，如图所示。其中，前7个字节称为前同步码（PA），内容是16进制数0xAA，紧跟后1字节为帧起始标志符（SFD）0xAB，它标识着以太网帧的开始。前导字符的作用是使接收节点进行同步并做好接收数据帧的准备2.1.5介质访问控制方法冲突任意时刻信道只能传输一路数据每台主机发出的数据可以被其他所有主机所接收如果有两台主机同时发送数据，则产生冲突2.1.5介质访问控制方法

在以太网通信中，节点都在共享信道的时候，如何保证传输信道有序、高效地为许多节点提供传输服务，这就是以太网的介质访问控制协议要解决的关键问题。目前主要采用带有冲突检测的载波监听多路访问控制技术，即CSMA/CD（CarrierSenseMultipleAccess/CollisionDetect）。CSMA/CD其实现流程是：一个节点要发帧之前，必须首先监听信道，以确认共享信道上是否有其它节点正在发送帧。如果共享信道空闲，则发送帧。如果共享信道忙，则使用某种坚持退避算法（ALOHA，即：不坚持；1坚持；p坚持）等待一段时间后重试。在发送帧的同时，继续作载波监听。如果检测到发生了冲突，则立即停止发送帧，同时向共享上广播一串阻塞信号，以通知信道上其它节点发生的冲突。在发生冲突后，使用退避算法作一段时间的退避，然后重发。如果重传次数超过16次时，就认为此帧永远无法正确发出，抛弃此帧，并向高层报错。非坚持算法如果传输信道是空闲的，则可以立即发送如果信道是忙的，则等待一个由概率分布决定的随机重发延迟后，再重复前一步骤1-坚持算法如果传输信道空闲的，则可以立即发送如果信道是忙的，则继续监听，直至检测到信道空闲，然后立即发送如果有冲突（在一段时间内未收到肯定的回复），则等待一个随机时间，重复步骤前面2步P-坚持算法首先监听总线，如果传输信道是空闲的，则以概率P进行发送，而以（1-P）的概率延迟一个时间单位。一个时间单位通常等于最大传输时延的2倍。延迟一个时间单位后，再重复第一步。如果传输信道是忙的，则继续监听直至信道空闲并重复第一步。集线器：广播域、冲突域交换机：广播域、冲突域路由器：广播域、冲突域2.1.7以太网类型

共享式以太网10BASE510BASE210BASE-T/F交换式以太网10BASE-T/F100BASE-T4/TX/FX1000BASE-T/SX/LX……2.2二层交换机简介2.2.1交换机的处理技术通用CPU处理技术采用ASIC芯片处理技术采用FPGA处理技术采用NP网络处理器使用NP+ASIC的体系设计方式是目前网络交换设备的主要处理技术。2.2.2交换机的工作模式

交换机主要还是采用这三种模式：直接转发式、存储转发式和无碎片转发式2.2.2交换机的工作模式

直通转发：交换机收到帧头（通常只检查14个字节）后立刻察看目的MAC地址并进行转发优点：速度快、延迟小；缺点：无法保证传输数据的可靠性，占用宽带资源，不支持连接不同网速的网段存储转发：接收完整的帧，执行完校验后，转发正确的帧而丢弃错误的帧优点：提供CRC校验，保证数据传输质量，可以连接不同速度的网段；缺点：转发数据量大后会有延时，会增大缓存容量无碎片直通转发：交换机读取前64个字节后开始转发优点：可避免数据碎片的转发，提高网络效率64B2.2.3交换机的工作原理

根据第2层MAC地址，通过一种确定性的方法在端口之间来转发帧交换机的三项主要功能：学习转发/过滤消除环路MAC地址表：存储地址到端口的映射关系的数据库地址学习E0:E1:E2:E3:MAC地址表E0E1E2E3主机A：00-D0-F8-00-11-11主机B：00-D0-F8-00-22-22主机C：00-D0-F8-00-33-33主机D：00-D0-F8-00-44-44初始的MAC地址表为空地址学习E0:00-D0-F8-00-11-11E1:E2:E3:MAC地址表E0E1E2E3主机A：00-D0-F8-00-11-11主机B：00-D0-F8-00-22-22主机C：00-D0-F8-00-33-33主机D：00-D0-F8-00-44-44主机A发给主机D的数据帧将被泛洪，同时MAC地址表中增加主机A和端口E0的映射关系地址学习MAC地址表E0:00-D0-F8-00-11-11E1:E2:E3:00-D0-F8-00-33-33E0E1E2E3主机A：00-D0-F8-00-11-11主机B：00-D0-F8-00-22-22主机C：00-D0-F8-00-33-33主机D：00-D0-F8-00-44-44主机D回复后，它的MAC地址和端口E3的映射关系也将被写入MAC地址表地址学习MAC地址表E0:00-D0-F8-00-11-11E1:

00-D0-F8-00-22-22E2:00-D0-F8-00-33-33E3:00-D0-F8-00-44-44E0E1E2E3主机A：00-D0-F8-00-11-11主机B：00-D0-F8-00-22-22主机C：00-D0-F8-00-33-33主机D：00-D0-F8-00-44-44随着这个过程不断重复，最终建立起完整的MAC地址表转发/过滤E0:00-D0-F8-00-11-11E1:

00-D0-F8-00-22-22E2:00-D0-F8-00-33-33E3:00-D0-F8-00-44-44MAC地址表E0E1E2E3主机A：00-D0-F8-00-11-11主机B：00-D0-F8-00-22-22主机C：00-D0-F8-00-33-33主机D：00-D0-F8-00-44-44单播帧依据MAC地址表进行转发/过滤转发/过滤E0:00-D0-F8-00-11-11E0:00-D0-F8-00-55-55E1:

00-D0-F8-00-22-22E2:00-D0-F8-00-33-33E3:00-D0-F8-00-44-44MAC地址表E0E1E2E3主机E：00-D0-F8-00-55-55主机B：00-D0-F8-00-22-22主机C：00-D0-F8-00-33-33主机D：00-D0-F8-00-44-44主机A：00-D0-F8-00-11-11如果一个端口上连接多台主机，依然能够进行过滤2.2.4交换机的主要指标

交换机的背板带宽，是交换机接口处理器或接口卡和数据总线之间所能吞吐的最大数据量，单位为Gbps，也叫交换带宽包转发率以Mpps（百万包/每秒）为单位，标志了交换机转发数据包能力的大小。端口速率是指交换机接口的数据交换速度。目前常见的有10Mbit/s、100Mbit/s、1000Mbit/s、10GMbit/s几类。是否支持VLAN。在局域网中，通过VLAN技术逻辑划分多个网络区域，方便网络管理和提升安全管理。因此，交换交换机是否支持VLAN，是实现网络区域划分的关键问题。存储MAC地址能力。交换机MAC地址表的存储的数量越大，对数据转发的速度和效率就越高。2.3配置二层交换机

通过带外方式对交换机进行管理通过Telnet对交换机进行远程管理通过Web对交换机进行远程管理通过SNMP管理工作站对交换机进行远程管理利用交换机附带的Console线缆将交换机的Console端口与主机的串口连接起来，启动交换机，就可以在主机上的终端软件进行连接管理了，如Windows系统自带的超级终端。（1）选择“开始”“程序”“附件”“超级终端”命令，打开超级终端，按照提示进行配置。其中，在“端口设置”选项卡中各参数设置如下图所示：2.3.1配置交换机方式简介

交换端口Console口端口指示灯电源指示灯通过交换机的Console口，使用超级终端工具通过Console线缆连接主机的Com端口通过Telnet方式管理交换机交换机必须已经配置了管理IP地址、密码等，并开启Telnet可以使用Windows自带的Telnet连接工具登录后界面和Console口连接是一致配置了管理IP地址、密码等步骤命令含义

步骤1Switch#configureterminal进入全局配置模式

步骤2Switch(config)#linevty04从全局配置模式切换为控制台

0的线路配置模式。步骤3Switch(config-line)#

passwordcisco将

cisco设置为交换机telnet的口令。使用

nopassword命令从控制台线路上移除口令。步骤4Switch(config-line)#login将telnet设置为需要输入口令后才会允许访问。使用

nologin命令取消在登录控制台线路时输入口令的要求。步骤5Switch(config-line)#exit

回到全局配置模式。步骤6Switch(config)#interfacevlan1进入VLAN1步骤7Switch(config-if)#ipaddress设置VLAN1的IP地址步骤8Switch(config-line)#end通过WEB方式管理交换机交换机必须已经配置了管理IP地址、密码等，并开启HTTP登录后的界面可以使用浏览器进行访问2.3.2使用命令行接口配置交换机

命令模式：设备管理界面分成若干不同的模式，用户当前所处的命令模式决定了可以使用的命令用户模式特权模式配置模式开机自动进入：Switch>Switch>enableSwitch#全局模式：Switch#configureterminal

Switch(config)#VLAN模式：Switch(config)#vlan10

Switch(config-vlan)#接口模式：Switch(config)#interfacefastethernet0/0

Switch(config-if)#获得帮助“？”键：列出每个命令模式支持的命令，列出该命令的下一个关联的关键字命令？：列出该关键字关联的下一个变量命令字符串+？：获得相同开头字母的命令关键字字符串<Tab>键：自动补齐剩余命令单词Help：获得帮助系统的摘要描述信息Switch#?Switch#show？Switch(config)#snmp-servercommunity?WORDSNMPcommunitystring

Switch#di?dirdisable

Switch#showconf<Tab>Switch#showconfiguration

简写命令只需输入命令关键字的一部分字符，只要这部分字符足够识别唯一的命令关键字即可Switch#showrunSwitch#showaccess%Ambiguouscommand:"showaccess"命令行界面的提示信息%Ambiguouscommand:"showc“用户没有输入足够的字符，网络设备无法识别唯一的命令。%Incompletecommand.用户没有输入该命令的必需的关键字或者变量参数。%Invalidinputdetectedat‘^’marker.用户输入命令错误，符号（^）指明了产生错误的单词的位置。2.3.3交换机的基本管理配置管理系统的日期和时间switch#clocksethh:mm:ssdaymonthyearhh:mm:ssday：小时(24小时制)，分钟和秒day:日，范围1－31month:月，范围1－12year:年，注意不能使用缩写。系统名称

为了管理的方便，给交换机取名，我们可以使用hostname命令为一台交换机配置系统名称。如果没有为配置系统名称，即缺省名为“Switch”。Switch>enableSwitch#configureterminalSwitch(config)#hostnameswitch123Switch123（config）#end创建标题当用户登录交换机时，我们可能需要告诉用户一些必要的信息。我们可以通过设置标题来达到这个目的。Switch(config)#bannermotd&。。。。。。。&管理地址表MAC

交换机需要构建和维护一张MAC地址表，MAC地址表包含了用于端口间报文转发的地址信息。MAC地址表包含了动态、静态、过滤三种类型的地址：动态地址是交换机通过接收到的报文自动学习到的MAC地址，交换机会通过学习新的地址和老化掉不再使用的地址来不断更新其动态地址表。当交换机复位后，交换机学习到的所有动态地址都将丢失，交换机需要重新学习这些地址。静态地址是手工添加的MAC地址。静态地址和动态地址功能相同，不过相对动MAC态地址而言，静态地址只能手工进行配置和删除，不能学习和老化，静态地址将保存到配置文件中，即使交换机复位，静态地址也不会丢失。过滤地址是手工添加的地址。当交换机接收到以过滤地址为源地址的包时将会直接丢弃。过滤MAC地址永远不会被老化，只能手工进行配置和删除，过滤地址将保存到配置文件中，即使交换机复位，过滤地址也不会丢失。MAC地址表的缺省配置内容

缺省设置

地址表老化时间

300秒

动态地址表

自动学习

静态地址表

没有配置任何静态地址

过滤地址表

没有配置任何过滤地址

增加和删除静态地址表项如果我们要增加一个静态地址，就需要指定MAC地址（包的目的地址）、VLAN（这个静态地址将加入哪个VLAN的地址表中）、接口（目的地址为指定MAC地址的包将被转发到的接口）。switch(config)#mac-address-tablestaticmac-addrvlanvlan-idinterfaceinterface-id！增加一个静态地址表项switch(config)#nomac-address-tablestaticmac-addrvlanvlan-idinterfaceinterface-id

！删除一个指定的静态地址表项删除动态MAC地址表switch#clearmac-address-tabledynamic

删除交换机上所有的动态地址switch#clearmac-address-tabledynamicaddressmac-add删除一个特定MAC地址，即指定mac-add2.3.4交换机接口的基本配置

交换机接口可分为AccessPort和TrunkPortAccessPort和TrunkPort的配置必须通过switchport接口配置命令手动配置。端口为accessport时，该端口只能属于一个VLAN，端口为Trunkport时，该端口传输属于多个VLAN的帧，缺省情况下Trunkport将传输所有VLAN的帧，可通过设置VLAN许可列表来限制trunkport传输哪些VLAN的帧。接口编号规则对于SwitchPort（交换机端口），其编号由两个部分组成：插槽号，端口在插槽上的编号。插槽的编号是从0~N（N表示插槽的个数）。插槽的编号规则是：面对交换机的面板，插槽按照从前至后，从左至右，从上至下的顺序一次排列，对应的插槽号从0开始依次增加。插槽上的端口编号是从1~M（M表示插槽上的端口数），编号顺序是从左到右。接口配置命令的使用进入接口和退出接口的操作switch#configureterminal

!进入全局配置模式switch(config)#interfacegigabitethernet2/1！进入gigabitethernet2/1接口模式switch(config-if)#！在接口下使用end退回到特权模式switch#配置接口的速度，双工，流控步骤命令含义步骤1switch#configureterminal进入全局配置模式步骤2switch(config)#

interfaceif-id进入接口if-id配置模式。步骤3switch(config-if)#speed{10|100|1000|auto}设置接口的速率参数，或者设置为auto。注意：1000只对千兆端口有效步骤4switch(config-if)#duplex{auto|ful|half}设置接口的双工模式。步骤5switch(config-if)#flowcontrol{auto|on|ff}设置接口的流控模式。注意：当speed,duplex,flowcontrol都设为非auto模式时，该接口关闭自协商过程步骤6switch(config-if)#end回到特权模式。步骤7switch#showfastethernetif-id查看交换机端口的配置信息查看交换机的系统和配置信息

序号命令含义

1switch#showversion显示系统、版本信息2switch#showversiondevices显示交换机当前的设备信息3switch#showversionslots显示交换机当前的插槽和模块信息4switch#showrunning-config查看交换机当前生效的配置信息5switch#showservice显示交换机上TelnetServer，WebServer，SNMPAgent的当前状态6switch#showmac-address-table显示交换机MAC地址（动态、静态、过滤）8switch#showvlan显示VLAN设置信息9switch#showinterfaces显示交换机接口信息10switch#show?显示show命令可用的参数帮助信息2.5生成树协议交换网络内的冗余拓扑减少单点故障，增加网络可靠性产生交换环路，会导致：广播风暴多帧复制MAC地址表抖动SW1SW2SW3F0/2F0/2F0/1F0/1F0/1F0/2文件服务器

广播风暴广播信息在网络中不停地转发，直至导致交换机出现超负荷运转，最终耗尽所有带宽资源、阻塞全网通信SW1SW2F0/2F0/2F0/1F0/1广播广播主机A主机B

多帧复制单播的数据帧被多次复制传送到目的站点SW1SW2F0/2F0/2F0/1F0/1单播单播主机A主机B

MAC地址表抖动由于相同帧的拷贝在交换机的不同端口上被接收而引起的MAC地址表不稳定SW1SW2F0/2F0/2F0/1F0/1单播单播主机A主机BF0/1：主机AF0/2：主机A？F0/1：主机BF0/2：主机B？

2.5.1生成树协议概述IEEE802.1dSTP（生成树协议，Spanning-TreeProtocol）协议：使冗余端口置于“阻塞状态”网络中的计算机在通信时，只有一条链路生效当这个链路出现故障时，将处于“阻塞状态”的端口重新打开，从而确保网络连接稳定可靠SW1SW2SW3F0/2F0/2F0/1F0/1F0/1F0/2

快速生成树协议RSTP（RapidSpanningTreeProtocol）：对STP的补充，在物理拓扑变化或配置参数发生变化时，能够显著地减少网络拓扑的重新收敛时间定义了2种新增加的端口角色，用于取代阻塞端口：替代（alternate）端口AP：为根端口到根网桥的连接提供了替代路径备份（backup）端口BP：提供了到达同段网络的备份路径RootBridgeDPDPRPAPDPBP

RSTP的优点为根端口和指定端口设置了快速切换用的替换端口（AlternatePort）和备份端口（BackupPort）两种角色在只连接了两个交换端口的点对点链路中，指定端口只需与下游网桥进行一次握手就可以无时延地进入转发状态边缘端口可以直接进入转发状态，不需要任何延时

2.5.2STP与RSTPRSTP协议与STP协议完全兼容RSTP协议根据收到的BPDU版本号来自动判断与之相连的交换机支持STP协议还是RSTP协议2.5.3生成树协议配置

SpanningTree的缺省配置项目缺省值EnableStateDisable，不打开STPSTPPriority32768STPPortPriority128STPPortcost根据端口速率自动判断，计算方法为长整型HelloTime2sForward-delayTime15sMax-ageTime20sLinkType根据端口双工状态自动判断SpanningTree的配置恢复缺省配置Switch(config)#spanning-treereset

打开、关闭STPSwitch(config)#spanning-treeSwitch(config)#no

spanning-tree注意：锐捷交换机默认关闭spanningtree修改生成树协议的类型Switch(config)#spanning-treemode{mstp|stp|rstp}

注意：默认为MSTPSpanningTree的配置配置交换机的优先级

Switch(config)#spanning-treepriority

<0-61440>注意：网桥优先级配置只能为4096的倍数配置端口的优先级

Switch(config-if)#spanning-treeport-priority

<0-240>注意：端口优先级配置只能为16的倍数配置端口的路径成本

Switch(config-if)#spanning-treecost

cost

配置端口路径成本的默认计算方法

Switch(config)#spanning-treepath-costmethod{long|short}注意：默认值为长整型（long）

接口速率端口类型IEEE802.1dIEEE802.1w10M普通端口1002000000AggregateLink951900000100M普通端口19200000AggregateLink181900001000M普通端口420000AggregateLink319000配置HelloTime、Forward-delayTime和Max-ageTime

Switch(config)#spanning-treehello-time|forward-time|max-ageseconds

配置链路类型

Switch(config-if)#spanning-treelink-type{point-to-poin|shared}查看生成树的配置

Switch#showspanning-treeSwitch#showspanning-treeinterfaceinterface-id生成树配置实例SW1:32768.00-d0-f8-b4-e5-4bF0/3F0/2F0/2F0/1F0/1F0/4SW2:32768.00-d0-f8-06-1c-91SW4:32768.00-d0-f8-21-a5-42SW3:32768.00-d0-f8-82-f4-a1将成为RootBridgeF0/4F0/3将成为RootPoot要求成为根网桥要求成为根端口生成树配置实例SW1：S3760(config)#hostnameSW1SW1(config)#spanning-treeSW1(config)#spanning-treemoderstpSW1(config)#spanning-treepriority4096spanning-treevlan10rootprimarySW2：S3760(config)#hostnameSW2SW2(config)#spanning-treeSW2(config)#spanning-treemoderstp生成树配置实例SW3：S3750(config)#hostnameSW3SW3(config)#span