北电2500,4500,5000系列交换机技术

 

Nortel ERS2500/4500/5600安装调试
目录
 
一.          设备概述... 3
二.          设备的接入... 3
三.          命令行的操作模式说明... 5
四.          基本的交换机维护... 5
1.            Telnet 服务的开启或关闭... 5
2.            备份配置文件... 5
3.            恢复配置... 5
4.            交换机系统软件的升级... 5
5.            维护建议... 6
6.            Telnet 串口接入密码设置... 6
.             基本设备配置... 7
1             接口基本属性的修改... 7
2             VLAN 基本的配置... 7
2.1     接口的模式配置. 7
2.2     基于端口的VLAN划分. 8
2.3     将端口加入到相应的VLAN9
2.4     VLAN接口地址的配置. 9
2.5     管理VLAN配置. 10
2.6     设置本机的地址和网关. 10
.       生成树的配置... 10
七.     端口聚合的配置... 11
八.     静态路由的配置... 12
九.     DHCP-relay的配置... 13
十.     SMLT配置指导... 13
十一.   VRRP配置指导... 16
十二.   接入安全指导... 17
12.1    DHCP SNOOPING17
12.2    Dynamic ARP Inspection17
12.3    IP Source Guard18
 
 
 
 


一.             设备概述
Nortel ERS2500/4500/5600 系列交换机的软件和维护界面一致的。
 
二.             设备的接入
在获得一台新的ERS系列设备后,你可以通过使用专用的连接线把电脑和交换机的CONSOLE口连接起来。
采用RJ45到DB9的Console线的线序如下:
 
RJ45
1
2
3
4
5
6
7
8
 
绿
DB9
N/A
N/A
3
5
N/A
2
N/A
N/A
 
在PC上
开始——》程序——》附件——》通讯——》超级终端
选择PC上面对应的串口,将参数调整成以下数据:
点击确定;
接着按Ctrl+Y,将看到以下交换机的主配置菜单;
以上是NORTEL ERS交换机的配置主菜单(本例采用ERS5698交换机)
 
我们可以进入 System Characteristics更改设备的名称
通过键盘的方向键,选择到 sysName,按回车键,在 Enter String:下敲下你想要的更改的系统名称,回车键进行确认。本例中设置系统名称为:SW TEST。
test(config)#snmp-server name britel     // 也可以使用这个修改主机名
Ctrl+C 键返回到交换机的主菜单
选择交换机的主菜单的 Command Line Interface...项进入交换机的命令行配置模式。
三.             命令行的操作模式说明
ERS有四种模式:用户模式,特权模式,全局模式,接口模式

当前模式
CLI提示
进入下一模式命令
关闭当前模式命令
用户模式
4548GT-PWR>
用enable命令进入特权模式
用下面任意一个命令关闭会话
• exit
• logout
特权模式
4548GT-PWR#
用config t进入全局模式
用exit命令关闭模式,进入用户模式
用Logout命令关闭CLI会话
全局模式
4548GT-PWR(config)#
用int f all命令进入接口模式
用exit命令关闭模式,进入特权模式
用Logout命令关闭CLI会话
接口模式
4548GT-PWR(config-if)#
This is the to
level.
用exit命令进入全局模式;用end命令进入特权模式;logout关闭CLI会话

 
 
四.             基本的交换机维护
1.        Telnet 服务的开启或关闭
默认,交换机的telnet服务是开启的
SW_TEST(config)#telnet-access enable     // 开启 telnet 服务
SW_TEST(config)#telnet-access disable     // 关闭 telnet 服务
 
2.        备份配置文件
为了以后的维护的方便或者在对设备进行比较大的改动时,都需要将设备的配置文件备份下来,以便快速的恢复设备到前一个配置状态。
SW_TEST(config)#copy config tftp address 192.168.121.250 filename ers56.cfg
% Contacting TFTP host.
% Configuration file successfully written.
192.168.121.250 TFTP 服务器的 IP 地址, ers56.cfg 是保存到 TFTP 服务器下的配置文件的名称。
 
3.        恢复配置
当设备由于故障而导致配置文件不完整或完全丢失时,可以将备份的配置文件重新导入到交换机,使其配置服务正常。
SW_TEST#copy tftp config address 192.168.121.250 filename ers56.cfg
% Config file download successful.
% Performing reconfiguration
NOTE:当配置文件导入到交换机后,交换机将重新启动,进行新配置文件的读取。
 
4.        交换机系统软件的升级
ERS系列交换机的系统软件主要由两部分组成:xxx.img (系统操作软件),xxx.bin(boot 系统软件),在升级过程中,必须先升级xxx.bin,然后再升级xxx.img,不然可能会出现升级不成功的情况。
SW_TEST#download address 192.168.121.250 diag ers56.bin     // 升级 boot 系统
升级系统软件大概要花费 5-10 分钟的时间(包括一次重启)
 
SW_TEST#download address 192.168.121.250 image er56.img // 升级系统操作软件
升级系统软件大概要花费 5-10 分钟的时间(包括一次重启)
 
 
192.168.121.250 TFTP 服务器 IP 地址, ers56.img ers56.bin TFTP 服务器里面的文件名称
 
5.        维护建议
由于ERS系列的AUTOSAVE功能至今依然还存在BUG,所以在配置ERS系列设备的时候将这个功能要手动的关闭,默认这个功能是开启的
SW_TEST(config)#no autosave enable
查看信息:
SW_TEST(config)#show autosave
Auto Save: Enabled
 
在关闭了AUTOSAVE 功能后,在交换机里面进行任何的配置改变都要手动保存配置文件,操作命令如下:
SW_TEST#copy config nvram
SW_TEST#save config 
 
在设备关闭的时候,建议使用一下软件 shutdown 步骤。
1. SHUTDOWN 交换机; SW_TEST#shutdown
2. 关闭电源
 
6.        Telnet 串口接入密码设置
建立本地的密码库,只有两个级别只读和读写
SW_TEST(config)#cli password read-write rwa
SW_TEST(config)#cli password read-only ro
 
要求Telnet和串口接入交换机需要通过本地验证
SW_TEST(config)#cli password serial local
SW_TEST(config)#cli password telnet local
查看信息:
SW_TEST(config)#show cli password
         Switch
Access Login     Password
------ --------- ------------------
RW     RW        secure
RO     RO        user
 
          Stack
Access Login     Password
------ --------- ------------------
RW     RW        secure
RO     RO        user
五.   基本设备配置
1、 接口基本属性的修改
首先进入接口模式
SW_TEST(config)#interface fastEthernet 2
SW_TEST(config-if)#speed 1000      // 修改接口的速率到 1000 ,默认是 AUTO 模式,所以这个属性一般是不用修改的
SW_TEST(config-if)#duplex full      // 修改接口的双工模式到 FULL
查看信息:
SW_TEST(config)#show interfaces
             Status                    Auto                       Flow
Port Trunk Admin   Oper Link LinkTrap Negotiation Speed    Duplex Control
---- ----- ------- ---- ---- -------- ----------- -------- ------ -------
1          Enable Down Down Enabled Enabled
2          Enable Down Down Enabled Enabled
3          Enable Down Down Enabled Enabled
4          Enable Down Down Enabled Enabled
5          Enable Down Down Enabled Enabled
6          Enable Down Down Enabled Enabled
7          Enable Down Down Enabled Enabled
8          Enable Down Down Enabled Enabled
9          Enable Down Down Enabled Enabled
10         Enable Down Down Enabled Enabled
 
2、 VLAN 基本的配置
VLAN CONTROL 介绍
1) Strict-在这个模式下,如果Port没有打标的话,每个端口只能属于一个VLAN;如果把一个端口移到另一个端口上的话,必须把这个端口先从VLAN中移除,才能把这个端口加到新的VLAN中。 这个模式是交换机默认的。
2) Automatic-在这个模式下,如果把一个端口加到一个新的VLAN中,它会自动的把这个端口从以前的VLAN中移除,然后加到新的VLAN;一个端口仅能在一个VLAN中。
3) AutoPVID-在这个模式下,每个不打标的端口可以属于多个VLAN,但pvid会随着加入的VLAN而改变。
4) Flexible-在这个模式下,每个不打标的端口可以属于多个VLAN,pvid不会随着加入的VLAN而改变。
VLAN Configuration Control 这个模式只适用于 access 的端口,对于打标的端口没有这个模式
 
2.1  接口的模式配置
默认所有的2500,4500,5000系列交换机的接口都是二层ACCESS接口。
将端口变成TRUNK口,默认TRUNK口只属于VLAN 1,如果要求这个TRUNK口可以通过多个VLAN,需要将端口加入到不同VLAN中去。
SW_TEST(config)#VLAN ports 2-10 tagging enable   // 将端口 2-10 变成 TRUNK
 
当需要将TRUNK端口变成ACCESS类型的端口的时候,需要进行一下配置:
SW_TEST(config)#VLAN ports 2-10 tagging disable
 
当把接口从 TRUNK 变成 ACCESS 后,该接口将不属于任何一个 VLAN
查看信息:
SW_TEST(config)#show VLAN interface info
     Filter     Filter
     Untagged Unregistered
Port Frames     Frames    PVID PRI    Tagging    Name
---- -------- ------------ ---- --- ------------- ----------------
1    No       Yes          1    0   UntagAll      Port 1
2    No       Yes          1    0   UntagAll      Port 2
3    No       Yes          1    0   UntagAll      Port 3
4    No       Yes          1    0   UntagAll      Port 4
5    No       Yes          1    0   UntagAll      Port 5
6    No       Yes          1    0   UntagAll      Port 6
7    No       Yes          1    0   UntagAll      Port 7
8    No       Yes          1    0   UntagAll      Port 8
9    No       Yes          1    0   UntagAll      Port 9
10   No       Yes          1    0   UntagAll      Port 10
 
2.2  基于端口的 VLAN划分
默认,交换机的所有端口都属于 VLAN 1 .
 
SW_TEST(config)#VLAN create 200 name test type port    // 创建一个 VLAN VLAN 号为 200 ,名字为 test, 类型基于端口。
 
如果你想要删除一个VLAN,首先要将在该VLAN中的端口从VLAN中删除掉,然后将VLAN进行删除(推荐)
SW_TEST(config)#VLAN delete 200                      // 删除 VLAN 200
查看信息:
SW_TEST(config)#show VLAN
Id Name                 Type     Protocol         User PID Active IVL/SVL Mgmt
--- -------------------- -------- ---------------- -------- ------ ------- ----
1   VLAN #1              Port     None             0x0000   Yes    IVL     Yes
        Port Members: ALL
200 test                 Port     None             0x0000   Yes    IVL     No
        Port Members: NONE
 
2.3  将端口加入到相应的 VLAN
将把一个ACCESS端口加入到相应的VLAN中的时候,首先要将该端口从已在的VLAN中剔除,然后在加入到想要加入的VLAN中。
SW_TEST(config)#VLAN members remove 1 61-72 // 将端口 61-72 VLAN 1 中剔除掉
WARNING: STP configuration may be lost on selected ports. You may need to recon
figure the ports manually.(5.3没了)
SW_TEST(config)#VLAN members add 200 61-72 // 61-72 加入到 VLAN 200
 
查看信息:
SW_TEST(config)#show VLAN
Id Name                 Type     Protocol         User PID Active IVL/SVL Mgmt
--- -------------------- -------- ---------------- -------- ------ ------- ----
1   VLAN #1              Port     None             0x0000   Yes    IVL     Yes
        Port Members: 1-60,73-98
200 test                 Port     None             0x0000   Yes    IVL     No
        Port Members: 61-72
Total VLANs: 2
 
2.4  VLAN 接口地址的配置
由于VLAN相当于一个独立的子网,所以不同VLAN之间的通讯是需要三层的路由来支持的,所以一般需要每个VLAN都要配置一个用于当做该VLAN网关的,VLAN接口地址。
在配置这个接口地址的时候,我们需要将交换机的三层功能激活。
SW_TEST(config)#ip routing             // 开启交换机的三层功能
 
在配置VLAN接口地址的时候,相应的VLAN 必须被配置,例如,我要配置VLAN 200 的接口地址,必须先要执行2.2将VLAN 200创建。
 SW_TEST(config)#interface VLAN 200         // 进入 VLAN 200 接口
 SW_TEST(config-if)#ip address 10.10.10.1 255.255.255.0   // 配置接口地址
 SW_TEST(config-if)#ip routing               // 启动接口的三层功能
 
当想要修改配置的IP地址时,需要先删除先前的配置,如下:
SW_TEST(config)#interface VLAN 200
SW_TEST(config-if)#no ip address 10.10.10.1 255.255.255.0
 
如果想要关掉接口的三层功能需要如下操作:
SW_TEST(config-if)#no ip routing
查看信息:
SW_TEST(config)#show VLAN ip
==============================================================================
Vid ifIndex Address         Mask            MacAddress        Offset Routing
==============================================================================
Primary Interfaces
------------------------------------------------------------------------------
1    10001   192.168.100.200 255.255.255.0   00:22:67:09:0C:80 1      Enabled
200 10200   10.10.10.1        255.255.255.0   00:22:67:09:0C:81 2      Enabled
------------------------------------------------------------------------------
% Total of Primary Interfaces: 2
2.5 Broute port ( 桥路由接口 ) 配置:
int fa3/1
brouter port 3/1 vlan 78 subnet 172.16.200.1/24 routing enable // 5000
NOTE :
   创建 Brouter port 时, VLAN 不能够是已经创建的
 
2.5  管理 VLAN配置
管理VLAN是指定设备本身作为一台机子需要的加入的VLAN,默认管理VLAN是VLAN 1,我们可以根据情况进行修改。
SW_TEST(config)#VLAN mgmt 100      // 将管理 VLAN 改为 VLAN 100
在修改管理 VLAN 的时候,如果之前的管理 VLAN 已经配置了 IP 地址,必须要将 IP 地址删掉。
 
2.6  设置本机的地址和网关
SW_TEST(config)#ip address 192.168.121.254 255.255.255.0 // 设置设备的本机地址
SW_TEST(config)#ip default-gateway 192.168.121.1          // 设置设备的网关地址
 
设置了这个设备的本机地址,其实就是设置了相应管理 VLAN VLAN 接口地址。
查看信息:
SW_TEST(config)#show ip
                     Configured        In Use        Last BootP/DHCP
                   --------------- --------------- --------------------
Stack IP Address: 0.0.0.0                         0.0.0.0
Switch IP Address: 192.168.121.254 192.168.121.254 0.0.0.0
Subnet Mask:       255.255.255.0   255.255.255.0   0.0.0.0
Default Gateway:   192.168.121.1   192.168.121.1   0.0.0.0
 
六.   生成树的配置
北电的交换机默认启动生成树为北电的生成树组(STG),所有创建的VLAN端口默认都是在这个生成数组里面。
生成树是为了解决多链路连接的时候,设备之间产生链路环路。生成树的基本原理就是将环路中的一条链路断掉,从而避免环路的产生。
在实际应用中,就是用默认值就可以了,唯一需要调整的就是生成树优先级的设置。优先级影响那个设备成为ROOT设备,一般将核心设备的优先级改高使其成为ROOT设备就可以了。优先级时使用十六进制表示的,值越低优先级越高。
SW_TEST(config)#spanning-tree priority 5000   // 设置生成树的优先级为 0x5000
 
在配置交换机的接口作为一个连接设备的 ACCESS 端口的时候,将这个接口的生成树学习状态变为 FAST (推荐)
SW_TEST(config)#interface fastEthernet 2-10
SW_TEST(config-if)#spanning-tree learning fast
SW_TEST (config-if)#spanning-tree bpdu-filtering timeout 0  //0 表示 FOREVER SHUTDOWN , 可以制定时间( 10-65535S
SW_TEST (config-if)#spanning-tree bpdu-filtering enable
SW_TEST (config-if)#exit
 
查看信息:
SW_TEST(config)#show spanning-tree config // 生成树的整体信息
Bridge Priority (hex):      8000
Designated Root:            8000002267090C01
Root Port :                  0
Root Path Cost:             0
Hello Time:                 2 seconds
Maximum Age Time:           20 seconds
Forward Delay:              15 seconds
Bridge Hello Time:          2 seconds
Bridge Maximum Age Time:    20 seconds
Bridge Forward Delay:       15 seconds
Tagged BPDU on tagged port: No
VID used for Tagged BPDU:   4001
STP Group State :            Active
STP Multicast Address:      01-80-C2-00-00-00
 
SW_TEST(config)#show spanning-tree port    // 接口生成树信息
Port Trunk   Participation   Priority Path Cost    State
---- ----- --------------- -------- --------- ----------
1           Normal Learning 128       1          Forwarding
2           Normal Learning 128       1          Forwarding
3           Normal Learning 128       1          Forwarding
4           Normal Learning 128       1          Forwarding
5           Normal Learning 128       1          Forwarding
6           Normal Learning 128       1          Forwarding
7           Normal Learning 128       1          Forwarding
8           Normal Learning 128       1          Forwarding
9           Normal Learning 128       1          Forwarding
10          Normal Learning 128       1          Forwarding
 
七.端口聚合的配置
端口聚合是只将多个端口绑定成一个端口来使用,用以来增加端口的带宽。
北电的端口技术叫做MLT(多链路中继)
 
在进行端口聚合的端口时一定要注意,参与聚合的端口必须速率,介质,端口的 VLAN 都必须相同而且最大的聚合端口数量为 4 个;最大的 MLT 的数量为 8 个。
 
具体配置如下:
SW_TEST(config)#mlt 1 name test      // MLT 1 命名
SW_TEST(config)#mlt 1 member 2-3    // 2-3 端口加入到 MLT 1
SW_TEST(config)#mlt 1 enable         // 启动 MLT 1
 
MLT 完全继承端口组的属性。
 
查看信息:
SW_TEST(config)#show mlt
Id Name             Members                Bpdu   Mode           Status Type
-- ---------------- ---------------------- ------ -------------- ------- ------
1 Trunk #1         2-3                    All    Basic          Enabled Access
2 Trunk #2         NONE                   All    Basic          Disabled
3 Trunk #3         NONE                   All    Basic          Disabled
4 Trunk #4         NONE                   All    Basic          Disabled
5 Trunk #5         NONE                   All    Basic          Disabled
6 Trunk #6         NONE                   All    Basic          Disabled
7 Trunk #7         NONE                   All    Basic          Disabled
8 Trunk #8         NONE                   All    Basic          Disabled
9 Trunk #9         NONE                   All    Basic          Disabled
10 Trunk #10        NONE                   All    Basic          Disabled
 
八.静态路由的配置
ERS2500和4500本质上都是二层设备不支持三层功能,但是在最新的版本的软件5.3,在4500上面支持静态路由。5000系列都是多层交换机。
 
SW_TEST(config)#ip route 172.168.10.0 255.255.255.0 172.168.100.1 1
 
// 以上的表示为 ; 到目的 172.168.10.0 这个网段通过的下一跳为 172.168.100.1
 
查看信息:
SW_TEST(config)#show ip route
==================================================================
                                        Ip Route
==================================================================
DST             MASK            NEXT            COST    VLAN PORT PROT TYPE PRF
-------------------------------------------------------------------------------
0.0.0 .0         0.0.0.0         172.16.173.8    10       1    15    S IB     5
172.16.173.0    255.255.255.0   172.16.173.86   1        1    ---- C DB     0
Total Routes: 2
-------------------------------------------------------------------------------
TYPE Legend:I=Indirect Route, D=Direct Route, A=Alternative Route, B=Best Route, U=Unresolved Route, N=Not in HW
九. DHCP-relay的配置
PC再通过DHCP去获取地址的时候,是通过广播的方式去请求的,但是VLAN是用于阻隔广播包的,如果将DHCP放在一个VLAN,其他的VLAN的PC就不可能从这个DHCP服务器拿到IP地址,除非每个VLAN都设置一个DHCP服务器,但是这个成本太高了,所以使用DHCP-RELAY这个技术来解决跨VLAN获取地址。
 
SW_TEST(config)#ip dhcp-relay     // 全局开启 DHCP-RALAY 功能
SW_TEST(config)#ip dhcp-relay fwd-path 192.168.121.254 192.168.131.3 mode dhcp
// 建立 DHCP 中继项, 192.168.121.254 是代理 DHCP 请求地址(一般为 VLAN 的接口地址), 192.168.121.3 DHCP 服务器的地址
 
SW_TEST(config)#interface VLAN 100    // 一般是基于 VLAN DHCP-RELAY 所以要在接口下,开启 DHCP-RALAY 功能
SW_TEST(config-if)#ip dhcp-relay mode dhcp 
OR
SW_TEST(config-if)#ip dhcp-relay
 
查看信息:
SW_TEST(config)#show ip dhcp-relay
DHCP relay is enabled
 
SW_TEST(config)#show ip dhcp-relay fwd-path
=============================================================
                     DHCP                                   
=============================================================
INTERFACE         SERVER             ENABLE     MODE        
-------------------------------------------------------------
172.18.20.254     172.18.10.253      TRUE       DHCP        
172.18.30.254     172.18.10.253      TRUE       DHCP  
 
SW_TEST(config)#show VLAN dhcp-relay
IfIndex    MIN_SEC ENABLED   MODE ALWAYS_BROADCAST
----------------------------------------------------
 10100         0     True      Dhcp    Disabled 
 10200         0     True      Dhcp    Disabled 
 10300         0     True      Dhcp    Disabled 
 10400         0     True      Both    Disabled  
 
十. SMLT配置指导
这里只介绍北电独有的MLT ,SMLT 和IST。这些是二层的冗余协议:
MLT :多链路中继,将多条链路模拟成一条链路
SMLT : 分离的多链路中继,将在不同设备上得多条链路模拟成如MLT达到的效果,并且可以防止环路的产生,因为这个技术使冗余链路间实现负载均衡
IST :这个技术是配合SMLT来操作的,它是用来交换两台设备间的网络数据的。
情景描述:
   ERS5000A ERS5000B 启用 SMLT Base MLT SMLT Base port 与接入交换机相连,
ERS5000A 配置 VLAN3999( 用于 IST) VLAN2 (用于客户)
ERS5000A(config)# vlan create 3999 name ist type port
ERS5000A(config)# vlan create 2 name vlan2 type port
ERS5000A(config)# vlan ports 1,2,3,4,5 tagging tagAll filter-untaggedframe
enable
ERS5000A(config)# vlan members remove 1 1,2,3,4,5
ERS5000A(config)# vlan members 3999 1,2
ERS5000A(config)# vlan members 2 1,2,3,4,5
ERS5000B 配置 VLAN3999( 用于 IST) VLAN2 (用于客户)
ERS5000B(config)# vlan create 3999 name ist type port
ERS5000B(config)# vlan create 2 name vlan2 type port
ERS5000B(config)# vlan ports 1,2,3,4,5 tagging tagAll filter-untaggedframe
enable
ERS5000B(config)# vlan members remove 1 1,2,3,4,5
ERS5000B(config)# vlan members 3999 1,2
ERS5000A(config)# vlan members 2 1,2,3,4,5
ERS5000A 配置 IST,SMLT base MLT
ERS5000A(config)# mlt 1 name ist enable member 1,2 learning disable
ERS5000A(config)# mlt 2 name 5530-1 enable member 3,4 learning disable
 
ERS5000B 配置 IST,SMLT base MLT
ERS5000B(config)# mlt 1 name ist enable member 1,2 learning disable
ERS5000A(config)# mlt 2 name 5530-1 enable member 3,4 learning disable
 
 ERS5000A 创建 IST
ERS5000A(config)# ip routing
ERS5000A(config)# interface vlan 3999
ERS5000A(config-if)# ip address 1.1.1.1 255.255.255.252
ERS5000A(config-if)# exit
ERS5000A(config)# interface mlt 1
ERS5000A(config-if)# ist enable peer-ip 1.1.1.2 vlan 3999
ERS5000A(config-if)# exit
   ERS5000B 创建 IST
ERS5000B(config)# ip routing
ERS5000B(config)# interface vlan 3999
ERS5000B(config-if)# ip address 1.1.1.2 255.255.255.252
ERS5000B(config-if)# exit
ERS5000B(config)# interface mlt 1
ERS5000B(config-if)# ist enable peer-ip 1.1.1.1 vlan 3999
ERS5000B(config-if)# exit
ERS5000A Create SMLT 20 Base MLT
ERS5000A(config)# interface mlt 2
ERS5000A(config-if)# smlt 2
ERS5000A(config-if)# exit
ERS5000B Create SMLT 20 Base MLT
ERS5000B(config)# interface mlt 2
ERS5000B(config-if)# smlt 2
ERS5000B(config-if)# exit
ERS5000A Create SMLT 30 Base port
ERS5000A(config)# interface FastEthernet ALL
ERS5000A(config-if)# smlt port 5 30
ERS5000A(config-if)# exit
ERS5000B Create SMLT 30 Base port
ERS5000B(config)# interface FastEthernet ALL
ERS5000B(config-if)# smlt port 11 30
ERS5000B(config-if)# exit
 
查看信息:
Show ist
Show smlt mlt <ID>
Show smlt fastethernet <ID>
 
十一. VRRP配置指导
VRRP Virtual Router Redundancy Protocol,虚拟路由器冗余协议)将可以承担网关功能的一组路由器加入到备份组中,形成一台虚拟路由器,由VRRP的选举机制决定哪台路由器承担转发任务,局域网内的主机只需将虚拟路由器配置为缺省网关
  情景如第十章的拓扑,客户VLAN 2启用VRRP功能,ERS5000A VLAN 2 的地址为192.168.1.1,ERS5000B VLAN 2的地址为192.168.1.2,VRRP 的VRIP为192.168.1.3
ERS5000A 的配置
ERS5000A(config)# interface vlan 2
ERS5000A(config-if)# ip address 192.168.1.1 255.255.255.0
ERS5000A(config-if)# exit
ERS5000A(config)# router vrrp enable
ERS5000A(config)# interface vlan 2
ERS5000A(config-if)# ip vrrp address 2 192.168.1.3
ERS5000A(config-if)# ip vrrp 2 backup-master enable
ERS5000A(config-if)# ip vrrp 2 holddown-timer 60
ERS5000A(config-if)# ip vrrp 2 priority 200
ERS5000A(config-if)# ip vrrp 2 enable
ERS5000A(config-if)# exit
ERS5000B 的配置
ERS5000B(config)# interface vlan 2
ERS5000B(config-if)# ip address 192.168.1.2 255.255.255.0
ERS5000B(config-if)# exit
ERS5000B(config)# router vrrp enable
ERS5000B(config)# interface vlan 2
ERS5000B(config-if)# ip vrrp address 2 192.168.1.3
ERS5000B(config-if)# ip vrrp 2 backup-master enable
ERS5000B(config-if)# ip vrrp 2 holddown-timer 60
ERS5000B(config-if)# ip vrrp 2 priority 100
ERS5000B(config-if)# ip vrrp 2 enable
ERS5000B(config-if)# exit
查看信息:
show ip vrrp interface <VID> verbose vrid <VRID>
 
 
十二.接入安全指导
12.1               DHCP SNOOPING
 DHCP SNOOPING 是为了防止交换机的接入端口有用户冒充 DHCP SERVER 对客户机进行 DHCP 的欺骗行为。并且会在交换机建立相应的 DHCP-SNOOPING TABLE (MAC –IP ,PORT ID ,LEASE )
 DHCP SNOOPING 的角色:
TRUST PORT
UNTRUST PORT   ( 默认 )
 
角色的功能:
1.      TRUST PORT 能够通过任何 DHCP 的数据包
2.      UNTRUST PORT 只能通过 DHCP 的请求包( requst
假设交换机启用 DHCP SNOOPING VLAN 1 的所有端口都是 UNTRUST ,上联端口 1 ,作为 TRUST
5500(config)# ip dhcp-snooping vlan 1
5500(config)# ip dhcp-snooping enable
5500(config)# interface fastEthernet 15
5500(config-if)# ip dhcp-snooping trusteds
查看信息:
Show ip dhcp-snooping vlan   // 查看那些 VLAN 启用
      DHCP
VLAN  Snooping
----      --------
1       Enabled
2       Disabled
 
Show ip dhcp-snooping binding // 查看 DHCP BINDING table
MAC                IP               Lease (sec) Time-to-Expiry VID   Port
--------------------------------------------------------------------------
00-26-9e-99-f9-ae 172.16.173.103   691200       691304        1     21
 
12.2    Dynamic ARP Inspection
    Dynamic ARP Inspection 这个功能是基于 DHCP SNOOPING 来实现的,在 UNTRUST 端口,所有的包的源的 MAC IP 地址必须在 DHCP-SNOOPING BINDING TABLE 下存在才可以转发。
同上假设, VLAN 1 启用动态的 arp 检查功能, fa 15 作为 Trust
5500(config)#ip arp-inspection vlan 1
5500(config)#interface fastEthernet 15
5500(config-if)#ip arp-inspection trusted
显示信息:
show ip arp-inspection vlan // 查看启用功能的 VLAN
        ARP
VLAN Inspection
---- ----------
1    Enabled
2    Disabled
 
12.3                IP Source Guard
IP Source Guard 这个功能也是基于 DHCP SNOOPING 来实现的,在 UNTRUST 端口,所有进来的包都要检查其源地址是否在 DHCP-SNOOPING BINDING TABLE 存在,只有存在的才可以转发,不然就丢弃。
同上假设,在 20 端口启用这个功能。 (这个功能是基于端口来做的,且只能在交换机的 UNTRUST 口启用,)
5500(config)#interface fastEthernet 20
5500(config-if)#ip verify source
显示信息:
show ip verify source interface fa 20   // 查看那些端口启用了该功能
Port Source Guard Mode
---- -----------------
20   IP
show ip verify source statistics   // 查看该端口的状态
Port Filtered IP packets
---- -------------------
20   0

本文出自 “燃烧” 博客,谢绝转载!

你可能感兴趣的:(职场,休闲,slqbj)