路由和交换技术（第二版）

《路由和交换技术》项目1-5VLAN间路由项目1-4路由概念第一部分交换网络项目1-6静态路由项目1-2基本的交换概念和配置项目1-1交换网络简介项目1-3VLAN第一部分交换网络项目1-8单区域OSPF项目1-7动态路由项目1-9DHCP项目1-11网络地址转换项目1-10访问控制列表项目1-12VPN目标导航理解交换网络中数据、语音和视频的融合理解中小型企业中的交换网络掌握交换网络中的帧转发过程掌握冲突域与广播域1.接入层2.分布层3.核心层1.1.1融合网络1.1LAN设计1.1.2交换网络交换LAN提供更多的灵活性、流量管理和其他功能，例如：（1）服务质量(QoS)（2）更高的安全性（3）支持无线网络连接（4）支持新技术，例如IP电话和移动服务1.1LAN设计1.1.2交换网络1、固定配置交换机

固定配置交换机并不支持除交换机出厂配置以外的功能或选件，如下图所示。型号决定了可用的功能和选件。例如，24端口的千兆位固定配置交换机不能支持附加的端口。1.1LAN设计1.1.2交换网络2、模块化配置交换机

模块化配置交换机的配置较灵活。模块化配置交换机通常有不同尺寸的机箱，允许安装不同数目的模块化线路卡，如下图所示。线路卡实际上包含端口。线路卡之于交换机机箱犹如扩展卡之于PC。机箱越大，它能支持的模块也就越多。有许多不同的机箱尺寸可供选择。带有24端口线路卡的模块化交换机支持附加的24端口线路卡，使端口总数增加到48个。1.1LAN设计1.1.2交换网络3、可堆叠配置交换机

可堆叠配置交换机可以使用专用电缆进行互连，电缆可在交换机之间提供高带宽的吞吐能力，如下图所示。1.1LAN设计1.2.1帧转发1.2交换环境1、作为网络与通信基本概念的交换

交换和转发帧的概念在网络和电信中是通用的。各类交换机将会在LAN、WAN和公共交换电话网(PSTN)中使用。交换的基本概念是指设备根据两个标准进行决策：（1）入口端口（2）目的地址

关于交换机如何转发流量的决策与该流量的传输有关。术语“入口”用于描述帧由何处进入端口上的设备。术语“出口”用于描述帧从特定端口离开设备。当交换机进行决策时，会以入口端口和消息的目的地址为基础。LAN交换机会维护一个表，用它来确定通过交换机转发流量的方式。LAN交换机唯一智能化的地方是它能够使用自己的表根据入口端口和消息的目的地址来转发流量。使用LAN交换机时，只有一个主交换表用于描述地址和端口之间的严格对应；因此，已给定目的地址的消息无论从哪个入口端口进入，始终都会从同一出口端口退出。思科LAN交换机根据帧的目的MAC地址转发以太网帧。1.2交换环境1.2.1帧转发2、动态填充交换机MAC地址表

交换机使用MAC地址通过指向相应端口的交换机将网络通信转向目的地。交换机为了知道要使用哪个端口来传送帧，它必须首先知道每个端口上存在哪些设备。当交换机获知端口与设备的关系后，就会构建一个MAC地址表。LAN交换机将通过维护MAC地址表来确定如何处理传入的数据帧。交换机通过记录与其每个端口相连的每个设备的MAC地址来构建其MAC地址表。交换机使用MAC地址表中的信息将指向特定设备的帧从为此设备分配的端口发送出去。

交换机根据源MAC地址填充MAC地址表。当交换机收到一个传入的帧，而其目的MAC地址在MAC地址表中找不到时，交换机会将该帧转发到除作为该帧入口的端口之外的所有端口（泛洪）。当目的设备作出响应时，交换机会将帧的源MAC地址和接收该帧的端口添加到MAC地址表中。在多台交换机互连的网络中，MAC地址表将包含与其他交换机连接的每个端口的多个MAC地址。1.2交换环境1.2.1帧转发3、交换机转发方法LAN交换机能够将第2层转发决策从软件转移到专用集成电路(ASIC)。ASIC减少了设备中的数据包处理时间，并使设备能够处理更多端口而不会降低性能。这种在第2层转发数据帧的方法称为存储转发交换。除此之外，交换机还有一种转发方法是直通交换。存储转发方法是在收到整个帧并检测完帧中的错误后才作出帧的转发决策。直通方法在确定了传入帧的目的MAC地址和出口端口后就开始转发过程。1.2交换环境1.2.1帧转发（1）存储转发交换存储转发交换有两个主要特征使其区别于直通交换：错误检查和自动缓冲。①错误检查②自动缓冲（2）直通交换直通交换的一个优点就是使交换机开始转发帧的时间比存储转发交换早。直通交换有两个主要特征：快速帧转发和无效帧处理。①快速帧转发②免分片1.2交换环境1.2.2交换域1、冲突域

在基于集线器的以太网段上，网络设备会竞争介质，因为设备必须依次传输数据。在设备之间共享同一带宽的网段被称为冲突域，因为当该网段中两个或更多设备尝试同时通信时可能会出现冲突。1.2交换环境1.2.1帧转发2、广播域虽然交换机基于MAC地址过滤大多数帧，但是它们不过滤广播帧。对于LAN上接收广播帧的其他交换机，交换机必须在所有端口泛洪这些帧。相连交换机的集合构成了一个广播域。1.2交换环境1.2.1帧转发3、缓解网络拥塞LAN交换机具有特殊特征，使其能够有效地缓解网络拥塞。首先，它们可以将LAN细分为多个单独的冲突域。交换机的每个端口都代表一个单独的冲突域，为该端口连接的设备提供完全的带宽。

其次，他们提供设备之间的全双工通信。全双工连接可以同时承载发送和接收的信号。全双工连接显著提高了LAN网络性能，对于1Gb/s或更高的以太网速度是必需的。大连理工大学出版社地址：大连市软件园路80号E-mail:dutp@URL：http://《路由和交换技术》项目1-5VLAN间路由项目1-4路由概念第一部分交换网络项目1-6静态路由项目1-2基本的交换概念和配置项目1-1交换网络简介项目1-3VLAN第一部分交换网络项目1-8单区域OSPF项目1-7动态路由项目1-9DHCP项目1-11网络地址转换项目1-10访问控制列表项目1-12VPN目标导航交换机的初始配置配置交换机端口以满足网络需求配置管理交换机虚拟接口交换环境中的基本安全攻击交换环境中的最佳安全实践配置端口安全功能以限制网络访问2.1.1交换机初始配置2.1交换机的基本配置1、交换机启动顺序思科交换机开启之后，它将经过以下启动顺序：（1）首先，交换机将加载存储在ROM中的加电自检(POST)程序。POST会检查CPU子系统。它会测试CPU、DRAM以及构成闪存文件系统的闪存设备部分。（2）接下来，交换机加载启动加载器软件。启动加载器是存储在ROM中并在POST成功完成后立即运行的小程序。（3）启动加载器执行低级CPU初始化。启动加载器初始化CPU寄存器，寄存器控制物理内存的映射位置、内存量以及内存速度。（4）启动加载器初始化系统主板上的闪存文件系统。（5）最后，启动加载器查找并将默认IOS操作系统软件镜像加载到内存，并将对交换机的控制权交给IOS。2.1交换机的基本配置2.1.1交换机初始配置2、从系统崩溃中恢复

如果由于系统文件丢失或损坏而使操作系统不能使用，则启动加载器将提供对交换机的访问。启动加载器有一个命令行，可以提供对闪存中存储的文件的访问。3、交换机LED指示灯（1）系统LED-显示系统是否通电以及是否正常工作。（2）冗余电源系统(RPS)LED-显示RPS状态。（3）端口状态LED-当LED为绿色时，表示选择了端口状态模式。此模式为默认模式。选择后，端口LED将显示不同含义的颜色。（4）端口双工LED-当LED为绿色时，表示选择了端口双工模式。（5）端口速度LED-表示选择了端口速度模式。选择后，端口LED将显示不同含义的颜色。（6）以太网供电(PoE)模式LED-如果支持PoE，则存在PoE模式LED。2.1交换机的基本配置2.1.1交换机初始配置4、交换机基本配置配置和管理CiscoLAN交换机的方法有许多种。这些方法包括：CiscoIOS命令行界面(CLI)CiscoNetworkAssistantCiscoDeviceManagerCiscoView管理软件SNMP（简单网络管理协议）2.1交换机的基本配置2.1.1交换机初始配置5、交换机备份

对于客户的请求，拿到客户保存的或公司备份的配置文件后，通过反转线将PC机串口（Com）连接到交换机的控制端口（Console），通过交叉线或直连线将网卡（NIC）连接到交换机的Fastethernet0/1端口。并将PC的IP地址合理设置，启动TFTPServer程序，通过超级终端登录交换机进行恢复操作，连接图如图所示。2.1交换机的基本配置6、利用TFTP升级交换机系统配置利用TFTP升级交换机系统配置首先启动TFTP服务器软件并进行相关参数设置；然后在交换机上配置管理接口IP地址，再在交换机特权模式下执行COPY命令即可，拓扑图如图所示。2.1.1交换机初始配置2.1交换机的基本配置课堂实验1：基本交换机配置2.2交换机的基本配置2.1.2交换机端口问题1、自动MDIX用于启用auto-MDIX的命令如图所示。2.1交换机的基本配置2.1.2交换机端口问题2、网络接入层问题showinterfaces命令的输出可用于检测常见介质问题。该输出的一个最重要部分就是显示线路和数据链路协议的状态。图表示用于查看接口状态的摘要行。2.1交换机的基本配置2.1.2交换机端口问题下图显示了showinterfaces命令输出的示例。示例显示了FastEthernet0/1接口的计数和统计信息。2.2.1安全远程访问2.2交换机安全：管理和实施1、SSH运行安全外壳(SSH)是一种提供远程设备的安全（加密）管理连接的协议。SSH应替代Telnet来管理连接。Telnet是一种较早协议，对登录身份验证（用户名和密码）和通信设备之间传输的数据都采用不安全的明文传输。SSH通过在设备进行身份验证（用户名和密码）时以及在通信设备之间传输数据时提供强加密，确保远程连接的安全。将SSH分配给TCP端口22。将Telnet分配给TCP端口23。第1步：检验是否支持SSH。第2步：配置IP域。第3步：生成RSA密钥对。第4步：配置用户身份验证。第5步：配置vty线路。第6步：启用SSH第2版。课堂实验2：配置SSH2.2.2LAN中的安全问题1、常见安全攻击：MAC地址泛洪

如下图所示，主机C上的攻击者可以使用虚假的、随机生成的源MAC地址和目的MAC地址将帧发送到交换机。交换机将使用虚假帧中的信息更新MAC地址表。当MAC地址表中填满虚假MAC地址时，交换机将进入失效开放的模式在该模式中，交换机会将所有帧广播到网络中的所有计算机上。因此，攻击者可以看到所有帧。2、常见的安全攻击：DHCP欺骗2.2.2LAN中的安全问题

对交换网络可以执行两种类型的DHCP攻击：DHCP耗竭攻击和DHCP欺骗。在DHCP耗竭攻击中，攻击者将使用DHCP请求泛洪DHCP服务器，以耗尽DHCP服务器可以发出的所有可用IP地址。在发出这些IP地址后，服务器无法发出更多地址，这种情况将导致新的客户端不能获得网络访问权限，从而实现拒绝服务(DoS)攻击。3、常见的安全攻击：利用CDP

默认情况下，大多数思科路由器和交换机在所有端口上都启用了CDP。CDP信息会定期以未加密的广播形式发送。该信息会在每台设备的CDP数据库中进行本地更新。2.2.3交换机端口安全1、保护未使用端口的安全

很多管理员所采用的一种简单方法是禁用交换机上所有未使用的端口，这样做可帮助他们保护网络，使其免受未经授权的访问。2、DHCP监听DHCP侦听是一种确定哪些交换机端口可响应DHCP请求的CiscoCatalyst功能。端口标识为可信和不可信。可信端口可发送所有DHCP消息，包括DHCP提供和DHCP确认数据包；不可信端口只能发送请求。可信端口担当DHCP服务器，也可作为通向DHCP服务器的上行链路。如果不可信端口上的诈骗设备试图将DHCP提供数据包发送到网络，则该端口将关闭。3、端口安全性静态安全MAC地址-使用switchportport-securitymac-addressmac-address接口配置模式命令在端口上手动配置的MAC地址。以此方法配置的MAC地址存储在地址表中，并添加到交换机的运行配置中。动态安全MAC地址-通过动态获取并只存储在地址表中的MAC地址。以此方式配置的MAC地址在交换机重新启动时将被移除。粘滞安全MAC地址-可以通过动态获取或手动配置，然后存储到地址表中并添加到运行配置中的MAC地址。2.2.3交换机端口安全4、端口安全：违规模式

要更改交换机端口的违规模式，请使用switchportport-securityviolation{protect|restrict|shutdown}接口配置模式命令。5、端口安全：检验

在交换机上配置了端口安全后，请检查每个接口，以检验端口安全是否设置正确并确保静态MAC地址已配置正确。

要显示交换机或指定接口的端口安全设置，请使用showport-security[interfaceinterface-id]命令。默认情况下，此端口允许一个MAC地址。6、端口处于错误禁用状态

当端口配置了端口安全时，违规可能会导致端口变为错误禁用状态。当端口处于错误禁用状态时，它是有效关闭的，此端口上不会发送或接收任何流量。注意：端口协议和链路状态变为关闭。项目2综合练习–配置交换机安全功能1、实验背景

在PC和服务器上锁定访问和安装良好的安全功能十分常见。重要的是也要为我们的网络基础架构设备（例如交换机和路由器）配置安全功能。在本实验中，我们将会参考一些在LAN交换机上配置安全功能的最佳做法。我们将仅允许SSH和安全的HTTPS会话。还将配置并检验端口安全，以阻止任何具有交换机无法识别的MAC地址的设备。2、实验拓扑3、地址分配表项目2综合练习–配置交换机安全功能4、实验内容第1部分：设置拓扑并初始化设备第2部分：配置基本设备设置并检验连接第3部分：配置并检验S1上的SSH访问配置SSH访问。修改SSH参数。检验SSH配置。第4部分：配置并检验S1上的安全功能配置并检验常规安全功能。配置并检验端口安全功能。项目2综合练习–配置交换机安全功能大连理工大学出版社地址：大连市软件园路80号E-mail:dutp@URL：http://《路由和交换技术》项目1-5VLAN间路由项目1-4路由概念第一部分交换网络项目1-6静态路由项目1-2基本的交换概念和配置项目1-1交换网络简介项目1-3VLAN第一部分交换网络项目1-8单区域OSPF项目1-7动态路由项目1-9DHCP项目1-11网络地址转换项目1-10访问控制列表项目1-12VPN目标导航解释交换网络中VLAN的用途。分析交换机如何根据多交换环境的VLAN配置转发帧。根据要求配置交换机端口分配给VLAN。配置LAN交换机的TRUNK端口。配置动态中继协议(DTP)。对交换网络中的VLAN和TRUNK配置进行故障排除。配置安全功能以减少VLAN分段环境中的攻击。3.1.1VLAN概述3.1VLAN分段1、VLAN定义在交换网际网络内，通过VLAN可灵活地进行分段和组织。VLAN能够将LAN中的设备分组。VLAN中的一组设备通信时就如同连接到同一条线路。VLAN基于逻辑连接，而不是物理连接，如下图所示。3.1.1VLAN概述3.1VLAN分段2、VLAN的优势使用VLAN主要有以下优点：（1）安全－含有敏感数据的用户组可与网络的其余部分隔离，从而降低泄露机密信息的可能性。（2）成本降低－成本高昂的网络升级需求减少，现有带宽和上行链路的利用率更高，因此可节约成本。（3）性能提高－将第2层平面网络划分为多个逻辑工作组（广播域）可以减少网络上不必要的流量并提高性能。（4）缩小广播域-将网络划分为多个VLAN可减少广播域中的设备数量。（5）提高IT员工效率－VLAN为管理网络带来了方便，因为有相似网络需求的用户将共享同一个VLAN。通过为VLAN设置一个适当的名称，IT员工很容易就知道该VLAN的功能。（6）简化项目管理和应用管理-VLAN将用户和网络设备聚合到一起，以支持商业需求或地域上的需求。3.1.1VLAN概述3.1VLAN分段3、VLAN的类型（1）数据VLAN（2）默认VLAN（3）本征VLAN（4）管理VLAN（5）语音VLAN3.1.2多交换环境中的VLAN3.1VLAN分段1、VLANTRUNK

中继是两台网络设备之间的点对点链路，负责传输多个VLAN的流量。VLANTRUNK在整个网络上扩展VLAN。

在下图中，交换机S1和S2之间的链路以及S1和S3均配置为在网络中传输来自VLAN10、20、30和99的流量。如果没有VLANTRUNK，此网络将无法运行。3.1VLAN分段2、通过VLAN控制广播域

如下图所示，网络已使用两个VLAN划分。教师设备已分配给VLAN10，而学生设备已分配给VLAN20。当广播帧从教师计算机PC1发送到交换机S2时，交换机仅向配置为支持VLAN10的交换机端口转发广播帧。3.1.2多交换环境中的VLAN3.1VLAN分段3、本征VLAN和802.1Q标记

在下图中，PC1通过集线器连接到802.1QTRUNK链路。PC1发送无标记流量，交换机与TRUNK端口上配置的本征VLAN关联并相应地转发流量。PC1在TRUNK上收到的有标记流量将被丢弃。此场景反映了不理想的网络设计，原因如下：使用集线器，主机连接到TRUNK链路，并且它意味着交换机的接入端口已分配给本征VLAN。但这也说明了IEEE802.1Q规范使用本征VLAN来处理传统场景的动机。3.1.2多交换环境中的VLAN3.2.1VLAN分配3.2VLAN实施情况1、Catalyst交换机上的VLAN范围

不同的CiscoCatalyst交换机支持不同数量的VLAN。支持的VLAN数足以满足大多数企业需要。例如，Catalyst2960和3560系列交换机支持4,000多个VLAN。在这些交换机上，普通范围的VLAN编号为1到1,005，扩展范围的VLAN编号为1,006到4,094。2、创建VLAN

当配置普通范围的VLAN时，配置详细信息存储在交换机闪存中名为vlan.dat的文件中。闪存是永久性的，不需要使用copyrunning-configstartup-config命令。下图显示了用于将VLAN添加到交换机并为其命名的CiscoIOS命令语法在交换机配置中，最好为每个VLAN命名。3.1VLAN分段3.2.1VLAN分配下图显示了如何在交换机S1上配置学生VLAN(VLAN20)。在拓扑示例中，学生计算机(PC2)没有与VLAN关联，但是它有IP地址2。3.2VLAN实施情况3、为VLAN分配端口3.2.1VLAN分配

在创建VLAN后，下一步是为VLAN分配端口。接入端口一次只能分配给一个VLAN；但端口连接到IP电话时例外，在这种情况下有两个VLAN与端口关联：一个用于语音，另一个用于数据。下图显示了将端口定义为接入端口并将其分配给VLAN的语法。Switchportmodeaccess命令可选。使用此命令后，接口变为永久访问模式。3.1VLAN分段3.2.1VLAN分配4、更改VLAN端口成员

更改VLAN端口成员有许多方法。下图显示了使用noswitchportaccessvlan接口配置模式命令将交换机端口更改为VLAN1成员的语法。3.2VLAN实施情况3.2.1VLAN分配5、删除VLAN

在下图中，novlanvlan-id全局配置模式命令用于移除交换机中的VLAN20。交换机S1具有最低配置，使用VLAN1中的所有端口和VLAN数据库中未使用的VLAN20。使用novlan20命令后，showvlanbrief命令可以检验vlan.dat文件中不再显示VLAN20。命令如下：

3.1VLAN分段6、检验VLAN信息在配置VLAN后，可以使用CiscoIOSshow命令验证VLAN配置。例如：showvlan和showinterfaces命令选项。3.2.1VLAN分配3.2VLAN实施情况课堂实验–配置VLAN3.1VLAN分段3.2.2VLANTRUNK1、配置IEEE802.1QTRUNK链路下图显示了CiscoIOS命令语法，用于将本征VLAN指定为除VLAN1外的其他VLAN。3.2VLAN实施情况

在下图中，VLAN10、20和30分别支持教师、学生和访客计算机（PC1、PC2和PC3）。本征VLAN也应从VLAN1更改为另一VLAN，如VLAN99。默认情况下，允许所有VLAN通过TRUNK链路。可使用switchporttrunkallowedvlan命令来限制允许的VLAN。3.2.2VLANTRUNK3.1VLAN分段3.2.2VLANTRUNK

在下图中，交换机S1上的F0/1端口配置为TRUNK端口，将本征VLAN分配到VLAN99，并将TRUNK指定为仅转发VLAN10、20、30和99的流量。3.2VLAN实施情况3.2.2VLANTRUNK2、将TRUNK重置为默认状态

下图显示了用于删除允许的VLAN和重置TRUNK的本征VLAN的命令。重置为默认状态时，TRUNK允许所有VLAN并使用VLAN1作为本征VLAN。3.1VLAN分段3.2.2VLANTRUNK3、检验TRUNK配置

下图显示了交换机S1上的交换机端口F0/1的配置。使用showinterfacesinterface-IDswitchport命令可以检验配置。

最上面突出显示的区域显示，端口F0/1的管理模式已设置为TRUNK。该端口处于中继模式。第二处突出显示的区域表明，本征VLAN为VLAN99。继续观察输出，最下面突出显示的区域显示，该TRUNK已启用所有VLAN。3.2VLAN实施情况课堂实验2:配置TRUNK3.1VLAN分段3.2.3动态中继协议

以太网TRUNK接口支持不同的中继模式。接口可以设置为中继或非中继，或者与相邻接口协商中继。TRUNK协商由动态中继协议(DTP)管理，它仅在网络设备之间点对点地进行操作。DTP是Catalyst2960和Catalyst3560系列交换机上自动启用的思科专有协议。其他厂商的交换机不支持DTP。只用当相邻交换机的端口被配置为某个支持DTP的TRUNK模式，DTP才可管理TRUNK协商。

注意：某些网络互连设备可能不正确地转发DTP帧，从而导致错误配置。要避免此问题，请关闭连接到不支持DTP的设备的思科交换机接口上的DTP。如下图所示，在交换机S1和S3的接口F0/3上，CiscoCatalyst2960和3560交换机的默认DTP配置为dynamicauto。3.2VLAN实施情况总结

本章介绍了VLAN。VLAN基于逻辑连接，而不是物理连接。VLAN机制允许网络管理员创建可跨单个或多个交换机的逻辑广播域，而无需考虑物理接近度。此功能可用于减小广播域的大小，或用于对组或用户进行逻辑分组，不必位于相同物理位置。VLAN分为几类：默认VLAN管理VLAN本征VLAN用户/数据VLAN黑洞VLAN语音VLAN综合技能练习3.1VLAN分段1、实验背景

在本练习中，完整配置了两台交换机。在第三台交换机上，我们负责分配IP地址到交换机虚拟接口，配置VLAN，将VLAN分配到接口，配置中继并执行基本的交换机安全措施。2、实验拓扑3.1.1VLAN概述3.2VLAN实施情况3、地址分配表设备接口IP地址子网掩码默认网关S1VLAN88172.31.88.2255.255.255.0172.31.88.1S2VLAN88172.31.88.3255.255.255.0172.31.88.1S3VLAN88172.31.88.4255.255.255.0172.31.88.1PC1NIC172.31.10.21255.255.255.0172.31.10.1PC2NIC172.31.20.22255.255.255.0172.31.20.1PC3NIC172.31.30.23255.255.255.0172.31.30.1PC4NIC172.31.10.24255.255.255.0172.31.10.1PC5NIC172.31.20.25255.255.255.0172.31.20.1PC6NIC172.31.30.26255.255.255.0172.31.30.13.1.1VLAN概述3.1VLAN分段4、实验内容（实验环境布置参考配套资源中思科实验）S1和S2已配置完全。你不能访问这些交换机。请根据以下要求配置S3：•根据地址分配表配置IP编址和默认网关。•根据VLAN和端口分配表创建、命名并分配VLAN。•将本征VLAN99分配到TRUNK端口并禁用DTP。•限制TRUNK只允许VLAN10、20、30、88和99。•使用VLAN99作为TRUNK端口的本征VLAN。•在S1上配置基本的交换机安全措施。3.1.1VLAN概述3.2VLAN实施情况大连理工大学出版社地址：大连市软件园路80号E-mail:dutp@URL：http://《路由和交换技术》第一部分交换网络项目1-5VLAN间路由项目1-4路由概念项目1-6静态路由项目1-2基本的交换概念和配置项目1-1交换网络简介项目1-3VLAN第一部分交换网络项目1-8单区域OSPF项目1-7动态路由项目1-9DHCP项目1-11网络地址转换项目1-10访问控制列表项目1-12VPN目标导航明确路由器的主要特性和功能明确路由器所使用的存储器类型以及每种存储器中存储的内容掌握路由器基本配置明确路由器如何传递数据包明确路由表结构及路由条目各字段含义明确各类路由特点掌握查看路由及分析网络的方法路由器是一种特殊的计算机，它由CPU、存储器、接口/端口等硬件以及IOS等软件组成：CPU负责执行存储器中的IOS指令和数据以完成路径选择和转发数据包；接口/端口实现网络/设备连接IOS则是网络设备上最重要的的操作系统软件4.1.1路由器的功能作为网间互联设备，路由器有三方面的功能：互联网络、选择最佳路径以及转发数据包。4.1路由器的初始配置根据存储器的特性和用途不同，路由器存储器分为四种，如表4.1所示：4.1.1路由器的功能4.1路由器的初始配置4.1.2路由器的基本设置思科路由器和交换机有许多相似之处。一般来说，思科路由器的基本设置包括：（1）基本配置，如给设备命名、安全管理访问、配置标语等（2）配置IPv4路由器接口（3）配置IPv6路由器接口（4）配置IPv4环回接口（5）检验直连网络的连接下面以一个实例说明4.1路由器的初始配置4.1.2路由器的基本设置以下配置针对图4.2网络拓扑中的R1路由器。4.1路由器的初始配置4.1.2路由器的基本设置（1）基本配置：给设备命名、安全管理访问、配置标语等Router#configureterminalEnterconfigurationcommands,oneperline.EndwithCNTL/Z.Router(config)#hostnameR1R1(config)#enablesecretclassR1(config)#lineconsole0R1(config-line)#passwordciscoR1(config-line)#loginR1(config-line)#exitR1(config)#servicepassword-encryptionR1(config)#bannermotd$AuthorizedAccessOnly!$R1#4.1路由器的初始配置4.1.2路由器的基本设置（2）配置IPv4路由器接口4.1路由器的初始配置4.1.2路由器的基本设置（3）配置IPv6路由器接口注意：通过使用ipv6enable接口配置命令，接口可以生成自己的IPv6本地链路地址，而无需使用全局单播地址。4.1路由器的初始配置4.1.2路由器的基本设置（4）配置IPv4环回接口（5）检验直连网络的连接show命令可用于验证接口的操作和配置。以下三个命令对于快速确定接口状态尤其有用：①showipinterfacebrief②showiproute③showrunning-configinterfaceinterface-id

以下两个命令用于收集接口的更多详细信息：

①showinterfaces

②showipinterface用于验证IPv6接口配置的命令与IPv4所使用的命令类似4.1路由器的初始配置4.2.1路由及路由表分析——路由器的路由过程4.2路由器工作原理第1步：删除第2层帧头和帧尾来解封第3层数据包；第2步：检查数据包目的IP地址以便从路由表中选择最佳路径；

第3步：如果路由器找到通往目的地的路径，则将第3层数据包封装成新的第2层帧并将从送出接口转发出去。4.2.1路由及路由表分析——分析路由表4.2路由器工作原理路由表是保存在RAM中的数据文件，其中存储了与直连网络以及远程网络相关的信息。路由表中的条目可按以下方式添加：（1）本地路由接口-当接口已配置并处于活动状态时添加；（2）直连接口-当接口已配置并处于活动状态时添加到路由表中；（3）静态路由-当路由已手动配置而且送出接口处于活动状态时添加；

（4）动态路由-当实施了动态路由协议（如EIGRP或OSPF）并且网络已确定时添加。

路由表条目的来源由代码来标识，常用代码包括：L-用于标识为路由器接口分配的地址；C-用于标识直连网络；S-用于标识静态路由；D-用于标识使用EIGRP从另一台路由器动态获取的网络；O-用于标识OSPF路由4.2.1路由及路由表分析——分析路由表4.2路由器工作原理作为网络管理员，必须知道如何解释IPv4和IPv6路由表中的内容。如图所示：4.2.1路由及路由表分析——管理距离和度量值4.2路由器工作原理（1）管理距离（AdministrativeDistance）

管理距离(AD）用来定义路由来源的优先级别，即“可信度”。AD的取值范围0~255。路由协议管理距离（AD）直连路由0静态路由1外部BGP（EBGP）20内部EIGRP90IS-IS115OSPF110RIP120外部EIGRP170内部BGP200（2）度量值（Metric）度量值是指路由协议用来分配达到远程网络的路由开销的值。对于同一种路由协议，当有多条路径通往同一目的网络时，路由协议使用度量来确定最佳路径。度量值越低，路径越优先。IP路由协议中经常使用跳数、带宽、负载、延迟、可靠性以及开销作为度量值。4.2.2静态路由与动态路由协议概述4.2路由器工作原理

路由器可通过两种方式获知远程网络：手动-远程网络需要使用静态路由手动输入到路由表；动态-远程路由使用动态路由协议自动获取。也就是静态路由和动态路由。

静态路由与动态路由特点比较如下表：

静态路由动态路由配置复杂性随着网络规模的增大而愈趋复杂通常不收网络规模限制拓扑结构变化需要管理员参与自动根据拓扑机构变化进行调整扩展性适合简单的网络拓扑结构简单拓扑结构和复杂拓扑结构均适合安全性更安全不够安全资源使用率不需要额外的资源占用CPU、内存和链路带宽可预测性总是通过同一路径到达目的网络根据当前网络拓扑结构确定路径4.2.2静态路由与动态路由协议概述4.2路由器工作原理Cisco路由器可以支持多种IPv4动态路由协议，包括：（1）EIGRP-增强型内部网关路由协议（2）OSPF-开放最短路径优先（3）IS-IS-中间系统到中间系统（4）RIP-路由信息协议Cisco路由器还支持动态IPv6路由协议，包括：（1）RIPng（RIP下一代）（2）OSPFv3（3）EIGRP(IPv6)大连理工大学出版社地址：大连市软件园路80号E-mail:dutp@URL：《路由和交换技术》项目1-5VLAN间路由项目1-4路由概念第一部分交换网络项目1-6静态路由项目1-2基本的交换概念和配置项目1-1交换网络简介项目1-3VLAN第一部分交换网络项目1-8单区域OSPF项目1-7动态路由项目1-9DHCP项目1-11网络地址转换项目1-10访问控制列表项目1-12VPN目标导航明确VLAN间路由的含义明确传统VLAN间路由的实现掌握配置VLAN间单臂路由明确三层交换机特性及用途掌握利用3层交换配置VLAN间路由传统的VLAN间路由占用路由器多个物理接口，每个接口配置不同的子网地址，这种VLAN间路由的方法效率低下，在交换网络中通常不使用。5.1.1VLAN间路由操作三种VLAN间路由：传统的VLAN间路由、单臂路由和三层交换机实现VLAN间路由。5.1VLAN间路由及单臂路由配置“单臂路由”是路由器与交换机S1通过单一的物理网络连接(TRUNK)相连。在路由器上，为网络上各个唯一VLAN创建子接口，并为各个子接口分配特定于其子网/VLAN的IP地址。5.1.2单臂路由实现VLAN间路由5.1VLAN间路由及单臂路由配置交换机中继配置5.1.2单臂路由实现VLAN间路由—配置实例5.1VLAN间路由及单臂路由配置S1(config)#vlan10S1(config-vlan)#vlan30S1(config-vlan)#interfacef0/5S1(config-if)#switchportmodetrunkS1(config-if)#intf0/6S1(config-if)#switchportaccessvlan30S1(config-if)#intf0/11S1(config-if)#switchportaccessvlan10S1(config-if)#end路由器子接口配置R1(config)#interfaceg0/0R1(config-if)#noshutdownR1(config-if)#interfaceg0/0.10R1(config-subif)#encapsulationdot1Q10R1(config-subif)#ipaddR1(config-subif)#interfaceg0/0.30R1(config-subif)#encapsulationdot1Q30R1(config-subif)#ipadd【课堂实验1】配置单臂路由器VLAN间路由5.2.1三层交换机简介5.2三层交换机及其VLAN间路由第3层交换机可提供基于硬件的数据处理，速度通常为每秒百万包(pps)，而传统路由器提供的数据包交换速度仅每秒十万到一百多万包。所有的Catalyst多层交换机均支持SVI接口和路由接口两种三层接口。5.2.2三层交换机实现VLAN间路由5.2三层交换机及其VLAN间路由三层交换机实现VLAN间路由比单臂路由器VLAN间路由更有扩展的可能。Catalyst3560交换机可充当第3层设备，并且可以在VLAN和数量有限的静态路由之间进行路由。下面利用右图中的MS1交换机实现两个VLAN间的路由。5.2.2三层交换机实现VLAN间路由5.2三层交换机及其VLAN间路由（1）在交换机上创建Vlan并将端口接入相应的VlanMS(config)#vlan10MS(config-vlan)#namefirstMS(config-vlan)#vlan20MS(config-vlan)#namesecondMS(config-vlan)#vlan99MS(config-vlan)#namemanagementMS(config-vlan)#intrangef0/1-10MS(config-if-range)#switchportaccessvlan10MS(config-if-range)#intrangef0/11-22MS(config-if-range)#switchportaccessvlan20MS(config-if-range)#intrangef0/23-24MS(config-if-range)#switchportaccessvlan99MS(config-if-range)#end之后可以使用“showvlan”命令查看VlanMS#showvlanVLANNameStatus Ports-----------------------------------------------------1default active Gig0/1,Gig0/210Management active Fa0/1,Fa0/2,Fa0/3,Fa0/4 Fa0/5,Fa0/6,Fa0/7,Fa0/8 Fa0/9,Fa0/10second active Fa0/11,Fa0/12,Fa0/13,

Fa0/14,Fa0/15,Fa0/16, Fa0/17,

Fa0/18,Fa0/19, Fa0/20,Fa0/21,Fa0/2299management active Fa0/23,Fa0/24<省略输出>5.2.2三层交换机实现VLAN间路由5.2三层交换机及其VLAN间路由(2)启用三层交换机路由功能并设置SVI接口MS(config)#iprouting//启用路由功能MS(config)#intvlan10MS(config-if)#ipadd//设置Vlan接口地址MS(config-if)#intvlan20MS(config-if)#ipaddMS(config-if)#intvlan99MS(config-if)#ipaddMS(config-if)#end5.2.2三层交换机实现VLAN间路由5.2三层交换机及其VLAN间路由(3)配置三层交换机与路由器间的静态路由配置路由器R1R1(config)#intf0/0R1(config-if)#ipadd52R1(config-if)#noshutR1(config-if)#intf0/1R1(config-if)#ipaddR1(config-if)#noshutR1(config-if)#exitR1(config)#iproutef0/0R1(config)#end为三层交换机MS添加静态路由MS(config)#iprouteMS(config)#end5.2.2三层交换机实现VLAN间路由5.2三层交换机及其VLAN间路由思考：

通过交换机的SVI接口可实现Vlan间路由，那么如何通过三层交换机的路由端口来实现呢？MS(config)#intvlan99MS(config-if)#noipaddMS(config-if)#exitMS(config)#intf0/24MS(config-if)#noswitchport//禁用二层端口，启用路由端口MS(config-if)#ipaddMS(config-if)#end

交换机的路由端口一般用于点对点链路，如本实例中连接R1路由器的MS交换机的f0/24端口。本实例中若改为路由端口实现，只需将前面Vlan99相关配置删除，并配置f0/24路由端口即可：5.2三层交换机及其VLAN间路由【课堂实验2】配置三层交换实现VLAN间路由总结VLAN间路由是在不同VLAN之间，通过一台专用路由器或多层交换机进行路由通信的过程传统VLAN间路由取决于每个所配置的VLAN上的可用物理路由器端口，单臂路由器拓扑已经取代传统VLAN间路由；使用单臂路由器时，每个逻辑子接口上都必须配置正确的IP寻址和VLAN信息，而且必须配置TRUNK封装来匹配交换机的中继接口；3层交换包含SVI和路由端口，包含SVI的第3层交换是VLAN间路由的一种形式。路由端口是一种类似于路由器接口的物理端口。与接入端口不同，路由端口不与特定VLAN相关。1.实验背景

本练习将强化实施VLAN间路由的能力，包括配置IP地址、VLAN、中继和子接口。2.实验拓扑综合练习–配置VLAN间路由大连理工大学出版社地址：大连市软件园路80号E-mail:dutp@URL：《路由和交换技术》第一部分交换网络项目1-5VLAN间路由项目1-4路由概念项目1-6静态路由项目1-2基本的交换概念和配置项目1-1交换网络简介项目1-3VLAN第一部分交换网络项目1-8单区域OSPF项目1-7动态路由项目1-9DHCP项目1-11网络地址转换项目1-10访问控制列表项目1-12VPN目标导航明确不同类型静态路由的用途掌握IPv4及IPv6静态路由和默认路由的配置明确CIDR替换有类编址的好处能设计并实施VLSM编址方案明确总结路由和浮动路由的含义能配置IPv4和IPv6总结路由能配置浮动静态路由以提供备份连接6.1.1静态路由的类型

静态路由是由管理员手动输入到路由表中的路由。相对于动态路由，静态路由简单安全、占用系统资源少；静态路由的管理距离(AD)为1。

静态路由包括标准静态路由、默认静态路由、总结静态路由和浮动静态路由四种类型。6.1静态路由的配置标准静态路由适用于连接特定远程网络。如右图中R2上可配置静态路由指向末节网络/246.1.1静态路由的类型

静态路由是由管理员手动输入到路由表中的路由。相对于动态路由，静态路由简单安全、占用系统资源少；静态路由的管理距离(AD)为1。

静态路由包括标准静态路由、默认静态路由、总结静态路由和浮动静态路由四种类型。6.1静态路由的配置标准静态路由

静态路由适用于连接特定远程网络。如右图中R2上可配置静态路由指向末节网络/246.1.1静态路由的类型默认静态路由

是将/0作为目的IPv4地址的静态路由，该地址与所有数据包都匹配。当路由表中没有其他路由与数据包的目的IP地址匹配时，会使用默认静态路由。

一般连接到ISP网络的边缘路由器（末节路由器）上会配置默认静态路由。如右图中的R16.1静态路由的配置6.1.1静态路由的类型总结静态路由

总结静态路由是对目的网络是连续的，且使用相同的送出接口的多条静态路由的总结。

如右图中，R1上可以使用一条总结静态路由/14提供到达/16到/16的四个网络的连接。6.1静态路由的配置6.1.1静态路由的类型浮动静态路由

浮动静态路由是在链路发生故障、主路由不可用时为其他主路由提供备份路径的静态路由，其管理距离一定要比主路由的管理距离大。

如右图中，分支机构路由器使用EIGRP主路由将数据包通过私有WAN传送到HQ，同时适用管理距离大于90的浮动静态路由作为备用路由。6.1静态路由的配置配置IPv4静态路由6.1.2配置静态路由和默认路由6.1静态路由的配置全局配置命令：iproutenetwork-addressnet-mask{ip-add|exit-int}[distance]network-address：远程网络的目的网络地址，通常称为“前缀”；subnet-mask：远程网络的子网掩码或仅掩码；ip-address：到远程目的网络所用的IP地址，一般称为“下一跳”；exit-intf：送出接口；distance：通过设置比动态获知的路由更大的管理距离下面通过一个例子来说明。配置IPv4静态路由—实例6.1.2配置静态路由和默认路由6.1静态路由的配置（1）在R1上配置下一跳静态路由R1(config)#iprouteR1(config)#iprouteR1(config)#iproute（2）在R2上配置直连静态路由R2(config)#iproutes0/0/0R2(config)#iproutes0/0/1（3）在R3上配置完全指定静态路由R3(config)#iproutes0/0/1R3(config)#iproutes0/0/1R3(config)#iproutes0/0/12.配置IPv4默认路由6.1.2配置静态路由和默认路由6.1静态路由的配置默认静态路由的基本命令语法为：iproute

{ip-address|exit-intf}如前面例子中的R1是末节路由器，配置默认静态路由会更加有效。R1(config)#iproute3.配置IPv6静态路由6.1.2配置静态路由和默认路由6.1静态路由的配置IPv6静态路由的配置与IPv4版本基本相同，唯一的差别是使用ipv6route命令进行配置。IPv6静态路由也可以实施为标准IPv6静态路由、默认IPv6静态路由、总结IPv6静态路由和浮动IPv6静态路由。

需要注意：必须配置ipv6unicast-routing全局配置命令，才能使路由器转发IPv6数据包。请看右侧图示的实例：3.配置IPv6静态路由6.1.2配置静态路由和默认路由6.1静态路由的配置R1路由器的下一跳IPv6静态路由配置如下：R1(config)#ipv6unicast-routingR1(config)#ipv6route2001:db8:ACAD:2::/642001:db8:ACAD:4::2R1(config)#ipv6route2001:db8:ACAD:5::/642001:db8:ACAD:4::2R1(config)#ipv6route2001:db8:ACAD:3::/642001:db8:ACAD:4::2R1(config)#

R1路由器的直连静态路由配置如下：R1(config)#ipv6unicast-routingR1(config)#ipv6route2001:db8:ACAD:2::/64S0/0/0R1(config)#ipv6route2001:db8:ACAD:5::/64S0/0/0R1(config)#ipv6route2001:db8:ACAD:3::/64S0/0/0R1(config)#4.配置IPv6默认路由6.1.2配置静态路由和默认路由6.1静态路由的配置ipv6默认静态路由的基本命令语法为：ipv6route::/0{ipv6-address|exit-intf}::/0可以匹配所有路由在前面的示例拓扑中，为R1配置了三条静态路由。由于R1是末节路由器，显然配置默认静态IPv6路由更为有效，如下：

R1(config)#ipv6route::/02001:db8:ACAD:4::2【课堂实验1】配置Ipv4静态路由和默认静态路由6.1静态路由的配置【课堂实验2】配置Ipv6静态路由和默认静态路由6.2.1有类寻址6.2认识CIDR和VLSM1.有类网络地址2.有类子网掩码6.2.1有类寻址6.2认识CIDR和VLSM3.有类路由协议工作过程有类路由协议的更新中不包含子网掩码信息，由接收路由器对其应用子网掩码。R2接收到来自R1的更新信息后，对更新信息应用接收接口子网掩码(/24)R2将三个子网总结为一个有类主网络，因为R3没有任何属于的子网，它将应用B类网络的有类子网掩码(/16)。6.2.1有类寻址6.2认识CIDR和VLSM4.有类寻址存在的问题有类寻址方案非常浪费地址！6.2.2CIDR6.2认识CIDR和VLSMCIDR（ClasslessInter-DomainRouting）——无类域间路由网络地址不再用第一个二进制八位数的值来确定，而是直接用子网掩码或者说前缀长度（如/8、/19）来确定。ISP不必局限于/8、/16或/24子网掩码，可通过/8、/9、/10等等开头的任意前缀更加有效地分配地址空间。如图所示6.2.2CIDR6.2认识CIDR和VLSMCIDR路由问题：

随着网络数量的增多，路由器所维护的路由表的容量也在不断激增。CIDR可通过两种方式减小路由表的大小：（1）路由总结——也称为前缀聚合，即将多条路由总结成一条路由以缩小路由表的大小；

（2）超网划分——当路由总结掩码比默认传统有类掩码小时，则进行超网划分。注意：所有超网都是路由总结，但路由总结并不都是超网。R1需要到达/16到/16范围内的4个网络，配置4条单独的静态路由可以完成任务，但是显然，配置一条CIDR总结路由会更有效。第1步：以二进制格式列出网络6.2.2CIDR6.2认识CIDR和VLSMCIDR路由总结步骤：第2步：计算最左侧的匹配位数量以确定总结路由的前缀长度或者说子网掩码第3步：复制匹配的位，然后在地址其余部分添加0，确定总结网络地址即：/14()总结路由配置如下：R1(config)#iproute.06.2.3VLSM6.2认识CIDR和VLSMVLSM（VariableLengthSubnetMask）---可变长度子网掩码传统的子网划分每个子网使用相同的子网掩码,子网大小相等，如下面左图所示；使用VLSM，子网掩码长度可变，使网络空间能够分为大小不等的部分，如下面右图所示。6.2.3VLSM--规划VLSM网络寻址方案6.2认识CIDR和VLSM请为下图网络规划VLSM网络寻址方案。待划分子网的地址空间是/24步骤：（1）计算子网数量及地址块大小（2）计算子网地址并记录地址方案（3）为设备分配接口地址【课堂实验2】设计和实施VLSM编址方案（1）对网络地址/24划分子网，以满足如下要求：ASW-1

LAN需要14主机IP地址ASW-2

LAN需要30主机IP地址ASW-3

LAN需要6主机IP地址ASW-4

LAN需要60主机IP地址（2）设计VLSM编址方案并记录方案6.2认识CIDR和VLSM6.3.1配置总结路由6.3总结静态路由和浮动静态路由

路由总结也就是所谓的路由汇聚，指使用更笼统、相对更短的子网掩码将一组连续地址作为一个地址来传播。CIDR是路由总结的一种形式。

如对右图网络中路由器R3配置一条总结静态路： Iproutes0/0/1

与配置以下三条非总结路由的效果是一样的：

Iproutes0/0/1 Iproutes0/0/1 Iproutes0/0/1都可以实现对/24、/24、/24三个网络的访问6.3.1配置总结路由6.3总结静态路由和浮动静态路由IPv6网络同样可以配置总结路由以提高路由效率，总结IPv6地址与总结IPv4地址类似。多条IPv6静态路由可以总结成一条IPv6路由，前提是符合以下条件：

（1）目的网络是连续的，并且可以总结成一个网络地址。

（2）多条静态路由都使用相同的送出接口或下一跳IPv6地址6.3.1配置总结路由6.3总结静态路由和浮动静态路由

配置IPv6总结路由示例要将IPv6网络总结成单个IPv6前缀和前缀长度，可以分七步完成：

第1步：列出网络地址（前缀）并确定地址的不同部分。

第2步：如果是缩写，则展开IPv6。

第3步：将不同的部分从十六进制转换为二进制。

第4步：统计网络最左侧的哪些位相同，确定出总结路由的前缀长度。

第5步：复制相同的位，然后添加0补足位数，确定总结后的网络地址（前缀）。

第6步：将二进制部分转换为十六进制。

第7步：追加总结路由的前缀（第4步得出的结果）6.3.1配置总结路由6.3总结静态路由和浮动静态路由

配置IPv6总结路由示例第1步：列出网络地址（前缀）并确定地址的不同部分。第2步：如果是缩写，则展开IPv6。6.3.1配置总结路由6.3总结静态路由和浮动静态路由

配置IPv6总结路由示例第3步：将不同的部分从十六进制转换为二进制。第4步：统计网络最左侧的哪些位相同，确定出总结路由的前缀长度。6.3.1配置总结路由6.3总结静态路由和浮动静态路由

配置IPv6总结路由示例第5步：复制相同的位，然后添加0补足位数，确定总结后的网络地址（前缀）。第6步：将二进制部分转换为十六进制。6.3.1配置总结路由6.3总结静态路由和浮动静态路由

配置IPv6总结路由示例第7步：追加总结路由的前缀（第4步得出的结果）确定总结路由后，用一条IPv6总结路由配置R1路由器：R1(config)#ipv6route2001:DB8:ACAD::/612001:db8:feed:1::26.3.2配置浮动静态路由6.3总结静态路由和浮动静态路由浮动静态路由是管理距离大于另一个静态或动态路由的管理距离的路由。目的通常是为了实现备用路由。下面的命令为网络中的R1配置了一条AD为5的浮动静态默认路由：R1(config)#iprouteR1(config)#iproute5

【课堂实验4】计算并配置IPv6路由总结6.3总结静态路由和浮动静态路由【课堂实验5】计算并配置IPv4浮动静态路由总结静态路由是管理员手动添加的路由，默认管理距离为1。VLSM即可变长度子网掩码，使用VLSM可以创建不同大小的子网，提高IP地址空间的使用效率，也使网络地址的表示更灵活。CIDR即无类域间路由。使用CIDR，可将多条静态路由总结为一条静态路由，以减