交换机上对流量的拦截

1.Storm-Control 风暴控制
风暴控制防止交换机的端口被局域网中的广播、组播或者一个物理端口上的单播风暴所破坏。当流量在局域网中泛洪，建立的过多的流量将占用过多的带宽，并导致网络拥塞。风暴控制用于对进入的流量进行控制，从上面我们可以看出控制的对象可以是单播、广播和组播流量。我们通过事先定义一个门限值（用接口可用带宽的百分比表示），当某种流量超出了门限值，将对该流量进行控制，使其降到门限值一下。在这里需要注意的是；对于单播和广播，交换机会对超出门限值的那部分单播或广播流量进行丢弃，但是对于组播来说，一旦组播流量超出门限值，所有的进入交换机的流量（无论是单播、组播还是广播）都会被丢弃！还有就是STP及CDP组播流量不会受到限制，但要注意路由协议的流量会受到限制！
风暴控制在交换机上默认关闭。
配置：
interface fastethernet0/17
storm-control multicast level 70    ’multicast还可以是unicast或broadcast，70代表的是百分比而不是带宽。
注重：风暴控制仅支持在物理端口下使用；它不支持以太通道下使用，尽管命令能敲进去。再来看下下面的例子：
interface fastethernet0/18
storm-control multicast level 70 50
第一个70是block的门限，50是指如果降到50以下则不再block，这是可选项，不写的话和block门限相同。这个命令还有以下的格式；
storm-control multicast level bps 70 [50]  ’这个表示位每秒，不是百分比了
storm-control multicast level pps 70 [50]  ’这个表示包每秒
storm-control action shutdown         ’设置检测到storm后（block门限到达）接口的动作。有两种；shutdown和trap。shutdown将端口置
于err-disable状态。可以使用下面的命令自动将接口启用；
errdisable recovery cause storm-control
trap将发送SNMP消息。默认情况下既不是shutdown也不是trap，只是block掉流量。

2.对未知流量的拦截
默认情况下，如果数据包具有未知的目标MAC地址，那么交换机将把它扩散到与接收端口的VLAN相同的VLAN中所有端口。某些端口不需要扩散功能。例如，如果某个端口只有手工分配的MAC地址，并且没有连接所配置MAC地址之外的其它任何网络设备，那么它就不需要接收扩散数据包。此外，如果端口已经学到最大数目的MAC地址，那么对于通过配置安全MAC地址或端口启用端口安全的端口，它就不必接收未知的单播扩散。
通过使用单播或多播扩散阻塞的特性，将可以避免在不必要的端口上转发单播扩散流量。
配置：
interface fa0/1
switchport block multicast            ’所有的广播流量都是未知流量，不能阻塞！
switchport block unicast