沥血奉献~CCNP.642-902.V200选择题（2012.09.13）+李桃梅CCNP视频考点对应注释+中文

zyjwch

正准备中……

hanzhe5208

haodongxi好东西

嚣张靓仔

老王王八蛋

于波

,很好

xiaohaogood

谢谢分享

352071536

CCNP SWITCH 学习笔记  2012-03-02 01:14:05|  分类： 心得摘录 |  标签： |字号大
中
8 {6 `" T# }4 F; g9 r" Q小 订阅
2 i* L3 \* o/ T$ d& k. A6 ^寒假之前借了SWITCH这本书，行李太多也没带回家去了，电子书看了刺眼，所以直到回校才看。原本以为是介绍数据链路层的一本书，后来才知道是讲园区网的，因为是自学，而且很多PT模拟不了，GNS3开两个路由器CPU就100%了，所以没辙，许多实验做不了，很多知识，像SNMP、SLA、AAA、组播、QoS都没怎么仔细了解。希望以后在Cisco Team或者其他书籍渠道能把NP巩固得更好一些。

笔记做得较简略，只能做提纲吧作为备忘，明天开始可以看CCNP Route了。

9 l/ P  b8 K; m/ m1 ^

一、分析Cisco企业园区架构
1.1 企业园区网设计概述
企业网络包括：核心骨干网、园区网、数据中心、分支机构/WAN、Internet边缘；
1 W! y, d# \, O+ c0 w园区网的作用：是分布与某一个地理位置内的终端用户能够访问到网络通信服务和网络资源。数据中心是用来存放计算机系统和相关组成部分的设施；
园区网设计方案的分层模型：
接入层：用来使用户、服务器或边缘设备能够访问网络，可以加入安全、访问控制、过滤管理等内容；
分布层：位于接入层和核心层之间，充当服务和控制的边界；
核心层：以最快的速度交换数据包。
* x7 w5 Z( c6 f( D0 L8 z7 v% ]多层交换机：
二层交换机：只能根据MAC地址对数据包进行交换，与传统二层交换机相连的设备必须位于相同的子网，可能具有一些第三、四层的特性，如IGMP、QoS等；
三层交换机：能够使用路由协议根据IP地址制定最优转发决策，可能无法支持BGP；
四层交换机：根据协议会话进行交换，识别各种不同类型的IP数据流，如FTP、NTP、HTTP等，区分流量；
  J8 c7 d: u% \  F9 I/ \, m) J七层交换机：根据数据有效负载中的信息，使用NBAR来放行阻止流量。
Catalyst交换机：
6500系列：13插槽，支持最多16个10GBit以太网接口，支持最高7层特性；
3 L) l9 ~6 t: U) V* r1 [) f; E4500系列：10插槽，支持2,3层交换；
3 F+ A5 R7 @% Z, K% d- m9 B. [4948G,3960和3560系列：48个1Gbit和4个10Gbit接分布层，支持2,3层交换，不支持冗余硬件；
2000系列：48个1Gbit和多个10Gbit接分布层，仅支持2层交换，不支持冗余硬件。
Nexus 7000系列：18个模块，230Gbit；
: \  t" m7 w5 w  U4 hNexus 5000和2000系列：低延迟，纯二层。
MLS（多层交换）：表示使用ASIC的高级特性如QoS、NAT后，设备仍然能够以线速对数据帧进行路由或交换；
园区网流量类型：网络管理、语音、IP组播、一般数据、清道夫类；
5 G# M( j3 ^' W% [5 N' p0 Z以服务为导向的网络架构（SONA）：
网络基础设施层：供客户随时随地连接网络；
交互服务层：为利用网络基础设施的应用和业务流程有效分配资源；
" ^, G; p# G2 W' R+ \应用层
  G/ d* t2 P, P4 n1.2企业园区网设计
9 a$ Y5 k6 k) @% L$ ?/ x" \: n* R接入层：高可用性(FHRP首跳冗余协议、HSRP热备份路由协议，只有三层交换机才支持)、网络融合、安全性；
5 z+ J1 w0 z4 n# `5 A  ~& L- T分布层：
- t  C# U, C# g: [1 a# ?% }汇集接入层交换机
) g% w' [% R# A' Y2 b为简化起见而分隔接入层
汇总去往接入层的路由
总是用两条链路来连接上游核心层路由器
+ Z$ ~/ n+ [0 _. P9 l可以应用数据包过滤、安全特性和QoS特性
* k) g+ V6 T" j. ?核心层：
; Q( \" s/ |  u9 W0 H将位于分布层的交换机同网络的其他部分汇聚到一起；
3 x& L4 j0 W4 K/ l) z" r通过提供冗余的汇集点来实现快速收敛和高可用性；
1 x7 Z' ^9 h7 f6 I可以在未来随着分布层和接入层的扩展而扩展；
小型园区网 < 200台终端设备，中型200-1000，大型2000以上；
  \$ y$ t0 M1 u3 C& B1 k1.3 使用PPDIOO生命周期法来设计并实施网络
准备Prepare：确定需求
规划Plan：规划目标、设备、用户需求
, z  w! g" E! z1 n: V设计Design：设计作业
" K- z$ w% t% f5 ?3 E" D实施Implement：建设网络，包括（步骤描述、参考设计文件、详尽的实施准则、预估实施所需的时间）
  U1 E' }6 p$ [# j+ W" b0 m9 V( z运营Operate：测试
优化Optimize：主动管理
! r* T$ p  j9 c8 J! y9 r+ k二、在园区网中实施VLAN
2.1 在园区网中实施VLAN技术
' `$ N2 Y8 [3 j! K+ A4 A端到端VLAN：各VLAN遍布整个网络的所有位置，在默认情况下，该VLAN的泛洪流量会穿越每一台交换机，排错难度大，可能产生生成树问题；
, g3 [- z+ O# E( h- g本地VLAN：VLAN集中在一个区域，与部分交换机关联；
轻松判断数据流
& P7 n* a: @& R0 r灵活的冗余路径
) f# K# ~2 [+ p; P( a9 e设计方案扩展性强
- z1 ?7 W* p4 l7 r+ Q( l) O8 g有限故障域
普适原则：
! X, T% _. t/ P7 W1 W$ D1 Y7 _每个模块1-3个VLAN
不要使用默认VLAN 1，将语音、数据、管理、Native、黑洞、默认VLAN分开
使用802.1q，对于Trunk，尽量关闭DTP
$ ~3 V; q* ^6 c( h4 `7 I2 [VLAN id：2-1001正常，1002-1005用于令牌环的默认VLAN，1006-1024系统使用，1025-4094正常但VTP不支持
4 h: V# }. B$ V一旦删除VLAN，该VLAN的端口会进入inactive的状态，此时不会转发任何流量
7 r9 I% \7 {" H1 F2.2 在Cisco园区网实施链路聚集
接入层交换机与分布层交换机之间相连用Trunk，为了避免环路，一般分布层之间不再连线
2 K9 \8 V, s- }$ D8 r当链路需要设置Trunk，可以设为非协商nonegotiate，节省两秒收敛速度
8 J2 ]: b' I# P. u3 G6 K2 BSwitchport trunk encapsulation {isl | dot1q | nonegotiate}
Switchport trunk native vlan vlan-id
+ f2 i$ D7 R9 E. u+ L- QSwitchport trunk allowed vlan ***
2.3 VTP协议
交换机只在trunk干道传递VTP信息，每5秒通告一次，在没配置VTP和没收到通告的交换机处于"no-management-domain"状态
7 {" u! h# D0 ~8 T  U, W% T: i域名相同、密码、版本号、trunk
. B7 K* P( @7 P3 d9 ]- b/ DVTP消息类型：
汇总通告消息（当前VTP域名和配置修订号）
子集通告消息，每条包括一个VLAN信息的列表
; o$ E( M# b# C, A& Y通告请求信息
Show vtp counters
Vtp pruning VTP剪枝
2.4 pVLAN
9 \, i! O+ `4 N- S$ L  SShow vlan private-vlan
$ G& d) D& d3 Y- g* F, o$ Z+ h% s配置
Switch(config)# vlan 10
Switch(config-vlan)# private-vlan {community | isolated | primary} ！设置主VLAN和子VLAN
6 F1 z7 }8 L0 S3 Y; a' lSwitch(config-vlan)# private-vlan association **** ！在主VLAN里面关联子VLAN ID
Switch(config-if)# private mode private-vlan promiscuous
Switch(config-if)# switchport private-vlan mapping 100 201,202 ！设置冗杂端口并添加主次VLAN ID
6 q/ n5 b6 f+ n* d: u; @Switch(config-if)# private mode private-vlan host
4 V) u: s4 I. I. A! C. USwitch(config-if)# switchport private-vlan host-association 100 201 ！设置团体或隔离端口，添加主次VLAN ID
; W5 v+ ]( N3 P8 L5 S跨越交换机的私用VLAN配置
$ H/ f: _; b' E- E) {) G. }) }: K/ G将端口配置为私用VLAN：switchport private-vlan association trunk 2 201
允许的VLAN：switchport private-vlan trunk allowed vlan vlan-list
配置native vlan：switchport private-vlan trunk native vlan vlan-id
2.5 使用EtherChannel来配置链路聚集
PAgP端口汇聚协议：Cisco特有的，数据包每30秒发送一次协商配置
On-On（默认）
& n+ r, o+ s4 ~9 p0 x7 l# q; F5 K2 G3 TDesirable-Auto/Desirable
) M. b9 S! n" D9 p) \) c+ V5 C: ALACP：IEEE标准
- L$ V2 J# t9 y" nOn-On(默认)
Active/Passive-Active
步骤
& b- s, `4 O$ v. s# b指定接口范围
指定协议 Switch(config-if-range)# channel-protocol { PAgP | LACP}
$ m8 X4 A3 X' f$ m0 A8 ~创建port-channel接口(端口号码本地有效)：Switch(config-if-range)# channel-group number mode***
9 j* T4 M% g& y( U' ?  U指定参数（IP地址，VLAN等）
( P; V- s; N/ Y5 P# A" P4 _/ M8 M验证：show int f0/24 etherchannel; show etherchannel 1 port-channel; show etherchannel summary
! j* M  \$ S  g; \流量负载分担
  m9 w! d0 k( D- C9 N1 L8 dport-channel load-bannace ***
& P5 `! ^# L+ p$ \3 eshow etherchannel load-balance
三、实施生成树
$ b" g* K2 Y3 {/ Z. p3.1 生成树协议的演化
在Cisco交换机中，PVST+是在启用VLAN时的默认STP协议
对普通BID，2字节优先权（0-61440），6字节MAC地址；对于PVST，4位优先权，扩展系统ID 12位，6字节MAC地址；
spanning-tree portfast default：在access端口启用portfast特性
spanning-tree portfast trunk：在trunk端口启用portfast特性
10Gbit/s 开销为1，1Gbit/s 开销为4，100Mbit/s 开销为19，10Mbit/s 开销为100；
; z: |' n! R3 @" f! l3.4 多生成树MST
2 Y/ v* l* L8 Q8 h& Y: r& ?同一MST区域：同一区域名称、同一修订号、同一VLAN映射
交换机发送VLAN到实例映射表的摘要、配置修订号和名称，一旦摘要不一样，接收到BPDU端口就位于区域边界
1 Z! C& `; O1 N) U7 nMST的扩展系统ID：网桥优先级（4bit）+ 扩展系统ID（12bit包括MSTI号）+ MAC地址
Show current; show pending;
3.5 生成树的增强
BPDU防护：防止交换机设备意外连接到启动Portfast特性的端口，若收到BPDU，端口进入"err-disable"，端口关闭(默认是阻塞状态)，可以设置超时时间重新启动
* s  [" U' |/ a' @" M9 @, b全局：spanning-tree portfast edge bpduguard default
" x  Y4 R# h- F接口：spanning-tree bpudguard enable
6 I3 t3 i6 A- \" OBPDU过滤：限制交换机不向接入端口发送不必要的BPDU，若收到外界的BPDU，则关闭portfast成为转发端口
全局：spanning-tree portfast bpdufilter default
/ N3 O* u8 K) A4 C. ]3 p2 y接口：spanning-tree bpdufilter enable
BPDU过滤优先级高于BPDU防护
根防护：在所有的接入端口上启用根防护特性，使跟网桥不会通过这些端口建立起来，当不再接收到更优的BPDU时，转为转发状态；
7 D  }1 T# w! w- b: M' {; X  lShow spanning-tree inconsistentports     !显示不一致根的端口
3.6 避免转发环路和黑洞
; m. m* B! z& d7 P8 ?: E环路防护：交换机将在过渡到STP转发状态前执行额外的检查，如果在启动了环路保护特性的非指定端口不能再接收到BPDU，那么交换机就会进入STP不一致状态，而不允许其经历监听、学习状态最终过度到转发状态（如果重新接收到了BPDU，可以恢复转发态）
, l# q1 J4 F: n- P- o$ f+ T5 _管理人员应该在阻塞端口、根端口和替代端口上启用环路保护
: I' Y8 J& c& ^2 c接口：spanning-tree guard loop
全局：spanning-tree loopguard default
端口取消：no spanning-tree loopguard
  \& Q' B. K! R6 ^验证：show spanning-tree int f0/1 detail
单向链路检测UDLD：
UDLD是一个二层协议，它与一层机制协同工作来判断链路的物理状态，自动协商功能将照顾到物理信令和故障检测，UDLD则可以检测邻居身份和关闭连接不当的端口
) {) U9 }; b1 J. t4 RUDLD使用的MAC地址是01-00-0c-cc-cc-cc，数据包中包括发送端口的设备ID，端口ID，邻居的设备ID和端口ID
2 H- S6 m- [" i7 v积极模式尝试与邻居建立连接关系，在连接8次都失败之后，端口的状态会成为err-disable状态，禁用端口
. k  `( X) k) ]; [比较积极端口UDLD和环路保护：
' f* T% k- ]& d7 _3 o环路防护可以防止由于软件问题所引起的指定端口不能发送BPDU所导致的STP故障
, G- _& L7 H+ f% C8 T5 rUDLD可以禁用etherchannel的发生故障的端口，环路保护会阻塞所有端口
5 a: I: m  D# y6 wFlex链路：STP的替代解决方案
Flex链路，备用链路
接口级别: switchport backup interface
0 ^! u+ V  \0 @  W4 `) }4 T9 u2 n3.7 生成树的推荐用法
5 x- S: w6 O( Q5 \( j在网络的分布层和核心层建立三层连接，只有接入层工作在二层，使用等价多路径ECMP

在分布层交换机之间的二层端口，以及接入层交换机连接到分布交换机的上行链路端口上实施环路防护特性
' o- z1 O3 m# x2 i在面向接入层交换机的分布层交换机端口上配置根防护特性
在从接入层交换机通往分布层交换机的上行链路端口上实施uplinkfast
) y) C; c9 _* ^从接入层到终端的端口启用BPDU防护和根防护、portfast
& i  M8 N6 x( G3 k' gUDLD协议
/ q0 r7 C4 B% |( B. F& S, U3.8 STP潜在故障
双工不匹配
单向链路失效
: q2 v1 W5 x4 {  \1 R9 u; S) I帧破坏
, d- O5 f# J. c: o# ]! z8 u% J; I资源错误，CPU负担过大,show process cpu
) l; s! D$ f. n) R- R. `' ^1 hPortfast配置错误
Debug spanning-tree events
( S/ C- S7 Y) B5 ~3 ZLogging buffered
四、实施VLAN间路由
4.1 描述VLAN间路由
& w1 x1 V, h+ u9 ]" K路由端口、SVI、BVI
  L. f9 [" d3 @. ]4 M/ _路由端口(单臂路由)：简单、单点故障、拥塞、延迟
$ L( [  p5 x& S$ q  n: D8 KSVI：远快于单臂路由、利用软件、三层交换机较昂贵
- O$ p# |1 Z$ Z3 B& F! I# \BVI：利用硬件更快
4.3 在多层交换环境中实施动态主机配置协议
% @8 d* O/ ~7 [5 |7 M' x申请DHCP的步骤：
客户端发送DHCPDISCOVER广播消息寻找服务器(0.0.0.0 255.255.255.255)
服务器发送OFFER信息，提供IP地址，MAC地址，域名以及IP地址的租期，DHCP不能保证IP会留给这个客户端，但是会保留直到有客户端正式请求这个地址
客户端返回正式请求，DHCPREQUEST，广播
服务器单播发给客户端DHCPACK，确认IP地址分配给了客户端
DHCP中继：ip helper-address
( J. V, E* P) y进入虚接口配置
7 x# Y0 A) ?2 S; d1 V' v2 X' [在这里注意到一个问题，必须要路由器路由表包含了那个网段，才能分配地址，而且虚接口只能和封装了的路由器子接口连通
6 y( M; s$ d8 F. i1 WCAM表：二层交换机地址表；TCAM表：三态内容寻址存储器，主要用于快速查找ACL、路由等表项。
FIB：转发信息库；AT：邻接关系表
五、在园区网中实施高可用性和冗余性
0 Y. I+ @- v) W. W, \5.1 理解高可用性
最佳的冗余性：
1 F5 T3 k* G5 C; M4 I4 F, J  V核心层和分布层部署冗余的交换机以及全互联链路，以此提供最高冗余性和最优收敛时间
1 N: R0 I3 c; Z! l0 q接入层交换机与冗余的分布层交换机之间应该部署冗余的连接
5.3 实施网络监测
Syslog: UDP514端口
& B0 `- ?1 t% {) ~5 }( F+ d# h6 N严重级别：
1 d7 [+ c3 j. EFACILITY-SUBFACILITY-SEVERITY-MNEMONIC: Message-text
特性（硬件类型、协议、软件型号）、严重性（0-7）、助记码、消息文本
3 H) m# u; }& y3 T( q' ^6 mService sequence-numbers：Syslog可以显示序列号
& `, L8 \- I* eservice timestamps [debug | log] [datetime uptime] [localtime | msec | show-timezone | year] 显示时间戳日期和时间
, S+ ~$ T' X1 |9 U' o( g6 e& K, mSNMP：UDP、轮询
' C# w/ o" Q# `3 v# L) R5 U包含三个元素：网络管理应用(SNMP管理器)、SNMP代理(运行在被管理设备内)、MIB数据库对象
网络管理应用周期性的轮询SNMP代理；代理负责收集并存储设备及自身运作的信息、响应请求、生成陷阱；
代理收集信息后保持在本地的MIB中，团体字符串Community String负责控制设备对MIB的访问
SNMP消息：
Get Request：管理应用想代理请求指定MIB变量的值
Get Next Request：请求表格或列表的下一个对象
Set Request：用了设置代理上的一个MIB的变量
8 q( v* w; W; N; pGet Response：代理用其来响应管理器发出的请求
Trap：代理用其向管理器主动发出告警
' s; ~& I9 u7 B3 n, rSNMPv1和v2无法提供安全特性，无认证也无加密，v3有三个安全等级（不需认证不加密、认证不加密、认证加密）
SLA：Service-Level Agreement IP服务水平协议 show ip sla statistics; show ip sla configuration
5.5 实施冗余的Supervisor引擎
1 P$ w' D3 Q5 W4 Z6 T5 PRPR：路由处理器冗余性
发生情况：活跃的Supervisor引擎上的RP，SP发生故障，通过CLI手动切换，活跃的Supervisor引擎被拆除，Supervisor引擎之间的时钟同步失败
/ s; T/ U5 ~+ q, a4 K1 x6 z) D) KSSO：状态化故障倒换
, v  ], l( k8 y( v5.6 理解FHRP(首跳冗余性协议
0 e: q" D3 F* _5 M6 K- ~* b, uFHRP：First hop redundancy protocols
$ m6 c: v, ]* I( dHSRP：热备份路由器协议
HSRP：Cisco开发，提供网关的冗余性，无需在子网终端设备上进行任何额外的配置，一组路由器被视为一个虚拟路由器，共享IP地址和MAC地址
HSRP路由器组中的路由使用hello相互通信，224.0.0.2的UDP1985端口，所有路由器都需要建立L2邻接关系
$ S9 {7 ~; G4 A, ~: [一个HSRP路由器组可以有2台以上的路由器，但只有活跃路由器和备用路由器各一台，其他路由器保持在初始状态，当活跃路由器和备份路由器都发生故障时，其他路由器会竞争活跃路由器和备用路由器
0 S% H  I7 @9 o* i$ N五种状态
初始：还未运行HSRP、启用HSRP的接口第一次进入Up状态
监听：指导虚拟IP地址，但不是活跃或备份路由器，只会监听hello消息
宣告：发送周期性hello，参与竞选
9 O& j7 j6 H& w4 c* _' Z备用，发送周期性hello
1 x5 i- i' A+ Q- a0 j活跃，发送周期性hello
优先级，默认100，相同优先级路由IP高的成为活跃
/ i# G& w+ C+ U9 z( E6 ^当同时启用了STP和HSRP，必须保证STP根网桥和HSRP活跃路由器相同，不然会出现次优路径(因为某些端口被STP阻塞，无法直接到达HSRP活跃路由器)
HSRP配置：
/ r0 n6 z; U! g! KStandby group-number ip ip-address    ！配置组号和虚拟IP地址
Standby group-number priority value    ！配置优先级(抢占和非抢占模式，默认是0,0-255，越高越可能)
Standby group-number preempt    ！配置抢占模式
Standby group-number authentication ****    ！配置认证
standby 150 track Ethernet0    ！定义追踪端口
! K. D9 f% I* I& V) J3 VVRRP：虚拟路由器冗余性协议

7 b3 d) I+ N2 |6 K" P$ e# `
HSRP
VRRP
9 H# q! b' ~" U/ [6 i3 }) R5 L/ m GLBP
0 J% }  {0 k: C% P/ |1 S
Cisco 专有
IEEE标准
. [( \" x% m; V; c- r* a Cisco专有

7 u  y& x, `4 O  }* w最多支持16个组
最多支持255个组
4 F$ H& a% i" c  ^$ B 最多支持1024个组
( z* L# C; Z' w; B+ c
3 N9 v# g8 b- ?4 Q$ c% D6 L2 {1个活跃路由1个备份多个候选
1个活跃若干个备份
1个AVG、若干AVF

虚拟IP和真实IP不同
. N1 N- R2 o  \" ^ 虚拟IP和真实IP相同
! \# h/ r& f+ C; J 虚拟IP地址与AVG和AVF真实IP不同

0 b$ r+ K! u8 s7 V$ J0 a/ t. M使用224.0.0.2
  N+ `6 m, f9 I 使用224.0.0.18
使用224.0.0.102

默认计时器：hello3秒，保持时间10秒
小于HSRP，默认hello一秒
) Q; L. a" }7 ~ 默认和HSRP一样
/ g' V8 o0 X% ?! J  ~4 O# N& P
可以追踪接口或对象
只可以追踪对象
' ?: y1 Q2 d& r6 J2 V 只可以追踪对象
+ `7 |0 h5 N/ y! w) c- G$ }* w
( Q+ R7 ?+ r3 Q' i: s- H! E' R使用认证，默认cisco
支持明文认证，后取消，但cisco设备可用
8 K: _+ A! h9 z6 x& x& Y4 G) n 支持认证、每个AVG/AVF有一个虚拟MAC地址

) m& ]- @7 ?2 ^" e' Y, F
+ X6 m  y7 ~/ Z9 x

+ S, K% X( g, e# X! R. dVRRP都是抢占的，优先级0-255,255一定是活跃，0一定不活跃，只有主用路由器才发送Hello公告
VRRP转换过程：
& r! n0 e) I( \) F6 n公告间隔
* t) K6 ?' ^+ I! o' j  n主用失效间隔，3*公告间隔+时滞时间
时滞时间 256-（优先级/256）
配置VRRP
Vrrp group-number ip virtual-gateway-address
Vrrp group-number priority ***
. R* W3 R) D. ?; b! X% YGLBP：网关负载分担协议
GLBP AVG活跃虚拟网关、GLBP AVF活跃虚拟转发者
: \; Q5 H  l1 j- T& `一个GLBP组中最多可以有四个组成员
VRRP和HSRP都只能设定一个门限值，GLBP设定两个门限值，当路由器加权下降到下限时，不再成为AVF，上升到一个较高的门限时，成为AVF
. Q( O% \: C0 P% h2 [" q& B. O在VLAN跨越多台交换机的环境中，建议管理员选择HSRP作为首跳冗余性协议，选择活跃路由器作为根网桥
5.6 Cisco IOS服务器负载分担
唯一能支持Cisco IOS SLB的Catalyst交换机是Catalyst 6500交换机
. u& a! p9 h9 l8 A配置SLB
ip slb serverfarm serverfarm-name    ！定义服务器群
real ***    ！关联真实服务器地址
inservice    ！启用真实服务器群
  e& o- Q  o- n$ G) Vip slb vserver vserver-name    ！定义虚拟服务器
virtual ip-address net-mask ***    ！配置虚拟IP
5 y" @4 G4 t' w- M* Xserverfarm 优选服务器 backup 次选服务器
) r3 `: V. t0 A8 v
- R* E; S+ K2 X& K! p; l5 `. I六、保障园区网设备安全
6.1 交换机安全基础
MAC层攻击：MAC地址泛洪
解决方法：端口安全
在必要的端口上阻塞单播泛洪 switchport block {unicast | multicast}
  X0 u6 ^- }! D1 D3 V: ?6.2 理解和防御VLAN攻击
' k" I# e  t' r3 M0 T" z# g交换机端口默认启用自动Auto模式的链路聚集协议，攻击者可以发送恶意DTP帧建立Trunk
使用双层标签实现VLAN跳转攻击
- }7 ^/ e* ?0 y解决方法：
5 `2 i; C6 m+ A+ s把未使用的端口设置为Access端口，并把他们放人同一个不使用的VLAN中，建立Trunk时设置承载VLAN范围
* O! i' _) b3 O+ G7 j, p配置VLAN ACL
6.3 理解和防御欺骗攻击
- M% M: Z2 d! s0 hDHCP欺骗：两方面，一个是DoS，一个是中间人
2 ^4 r& f. H0 \1 B! R: s解决方法：
" w" b! d( T$ T" T6 g4 }9 sDHCP侦听：把端口分为可信端口和不可信端口，可信端口可以发送任何DHCP消息，不可信端口只能发送请求
可信链路上直连着DHCP服务器，或者是连接DHCP服务器的上行链路
启用 option 82：ip dhcp snooping information option ！在转发DHCP请求数据包时插入源端口信息
ARP欺骗攻击(无故ARP)
) X" w# V( u7 H, T: s4 \解决方法：
8 g# R( S& L- i3 K9 L$ L7 ^" b" G动态ARP检测协议（DAI）
需先启动DHCP侦听
% F4 @0 r- E7 |% r, _3 [. O交换机会拦截不可信端口的所有ARP请求和应答，和原来的映射表进行对比
4 X4 D* t+ _9 V. k/ w& g2 w把所有Access端口设为不可信端口，把连接交换机的端口设置为可信端口
5 o) G4 g. M5 m' t$ d! S. x5 ~( W! PIP欺骗(使用邻居IP地址发送信息)
1 z# g8 y3 ^. v. C2 ?( @解决方法：
) S9 f' R' Q" d% \0 _8 d- qIP源防护(IPSG)：在DHCP不可信端口启动IP源防护(也是利用DHCP绑定表)
6 G# j1 `( o0 N3 m% O6.4 保障网络交换机的安全
1 h$ A: y0 b1 _5 iTelnet漏洞，明文传输，DoS攻击
配置SSH
9 W! v8 \* r9 D2 ?Username *** password ***
Ip domail-name xyz.com
- {/ N, ]2 T7 U& S6 ZCrypto key generate rsa
+ @$ r/ M4 J, O3 {$ S' E, {- _Ip ssh version 2
Line vty 0 4
Login local
* e5 s% b1 k$ Y. j! gTransport input ssh
AAA 认证授权审计
. S* F* V; u: k; U: O; q0 U, TIEEE 802.1x
7 e1 x4 K3 f2 X* j6 y6.6 性能和连通性排错
SPAN
# H4 t; O( L: |  ~. D, m目的端口不会参与生成树，目的端口不应该连另一台交换机，否则可能产生回路
1 _1 G9 G+ O7 |, `* {# BPSRAN 使用RSPAN VLAN，只要道路中的都有RSPAN VLAN，并配置源和出口，以及Trunk就行
' e) R& \& h* k" j+ n" l" S' B
七、在园区网架构中规划高级服务
3 N) ^0 \6 U  w3 R7.2 理解QoS
网络可以符合IETF(Internet工程任务组)的IntServ(集成服务)模型，也可以满足DiffServ(区分服务)模型
/ Q; ^3 m1 N4 K# d/ u8 b, dQoS特性包括：流量分类与标记、流量调节、拥塞避免和拥塞管理
QoS服务的三个基本等级：
, b; v5 `% U* _! m尽力而为的服务：没有任何保证的标准连接方式，FIFO
集成服务IntServ：严格的预订服务
区分服务DiffServ：统计优先，区分服务可以将通信流分类，然后将它们加入到效率不同的队列
  d  R2 C- c( q- j, S6 W# E9 U, N流量分类与标记
; `, L8 b% e+ ~% {' |& C! |' F$ FDSCP
) v, ^$ W; x3 P% l0 K) |二层帧使用3个比特来实现分类，0—7，成为Cos，class of service，服务类别
' ^9 j! T  Q- |! o三层IP包头的Tos的前6 bit为DHCP字段，最后2 bit 为ECN，早期拥塞通知，IP优先级为前3 bit
: D5 [3 {- S- b& H3 l& `6 yQoS信任，将Cos乘以8映射到内部DSCP，不信任端口CoS为0
5 z- r) g5 V, f. ?# Z拥塞管理
FIFO队列
6 R, ?$ |# ~2 `0 d/ k) n加权轮训队列WRR，Weighted round robin
自定义队列CQ，Custom Queuing
3 x# V3 Z7 Y, y5 W. q0 Z* M拥塞避免
. |& n4 n9 D1 c尾部丢弃：容易抖动，浪费带宽
) {3 N1 R" g: e8 p0 p* P' Q: SWRED，加权随机早期检测，在输出缓冲区达到指定的门限值后开始随机的丢弃某些类别的数据包
- K' a) l+ A: \, E& ]5 r  Y* |9 ]7.3 在园区网中实施IP组播
9 u1 D5 Q, G0 D6 g组播IP地址的结构224.0.0.0---239.255.255.255
: o0 C( y7 ?6 K$ o8 K% q保留的链路本地地址：224.0.0.0---224.0.0.255
# P0 j6 s9 @& g( H. N全局范围地址：224.0.1.0---238.255.255.255
. `$ P! n: u- c; }9 y& L* |2 z指定信源组播地址 SSM：232.0.0.0 --- 232.255.255.255 ！PIM的一种(S，G)
GLOP地址：233.0.0.0 --- 233.255.255.255 ！拥有自主系统号的组织静态定义用途
# B2 W! H  _* j4 D$ [$ \& j/ f有限范围地址：239.0.0.0 --- 239.255.255.255     ！相当于内部IP，学校、公司内部用
224.0.0.1 所有主机
# d1 e1 {5 o* D0 o; f224.0.0.2 所有路由器
* b2 x3 s  J( W组播MAC地址，前24位 01-00-5E，25为0，IP剩下28位取后23位补齐，32个IP对应一个Mac
反向路径转发RPF
2 s! v( A" `/ q7 i组播转发树：源树、共享树(RP，rendezvous point)
7.3.6 IP组播协议
' z+ c3 j" I/ @0 R  }; aPIM，protocol independent multicast，协议无关组播
/ y, g! J# m2 f3 j- A: N1 C* bIGMP，internet 组管理协议
PIM密集 PIM-DM PIM稀疏 PIM-SM
' b4 Q% w0 b8 a: e" G6 s8 g& f9 w

wlp

三克油啊

ddjz

江东阿郎

地方官号电话

luckyxh

感谢分享

海角的峰

Beloved小子

hahahhahaah

minling

hyatt000

支持！！
6 L4 k0 P" r. p