为您找到与思科交换机端口协议down相关的共200个结果:
RGMP:Cisco Router Port Group Management Protocol
思科路由器端口组管理协议(RGMP)弥补了 Internet 组管理协议(IGMP:Internet Group Management Protocol)在 Snooping 技术机制上所存在的不足。RGMP 协议作用于组播路由器和交换机之间。通过 RGMP,可以将交换机中转发的组播数据包固定在所需要的路由器中。RGMP 的设计目标是应用于具有多种路由器相连的骨干交换网(Backbone Switched Networks)。
IGMP Snooping 技术的局限性主要体现在:该技术只能将组播流量固定在接收机间经过其它交换机直接或间接相连的交换端口,在 IGMP Snooping 技术下,组播流量不能固定在至少与一台组播路由器相连的端口处,从而引起这些端口的组播流量扩散。IGMP Snooping 是机制固有的局限性。基于此,路由器无法报告流量状态,所以交换机只能知道主机请求的组播流量类型,而不知道路由器端口接收的流量类型。
RGMP 协议支持将组播流量固定在路由器端口。为高效实现流量固定,要求网络交换机和路由器都必须支持 RGMP 。通过 RGMP,骨干交换机可以知道每个端口需要的组类型,然后组播路由器将该信息传送给交换机。但是路由器只发送 RGMP 信息,而忽视了所接收的 RGMP 信息。当组不再需要接收通信流量时,路由器会发送一个 RGMP 离开信息(Leave Message)。RGMP 协议中网络交换机需要消耗网络端口达到 RGMP 信息并对其进行处理操作。此外,RGMP 中的交换机不允许将接收到的 RGMP 信息转发/扩散到其它网络端口。
RGMP 的设计目标是与支持分配树 Join/Prune 的组播路由选择协议相结合使用。其典型协议为 PIM-SM。RGMP 协议只规定了 IP v4 组播路由选择操作,而不包括 IP v6。
浏览量:2
下载量:0
时间:
众所周知思科Cisco路由器是世界上一流的,他的相关操作也跟别的路由器不太一样,那你知道怎么组装思科第三层交换机吗?下面是读文网小编整理的一些关于怎么组装思科第三层交换机的相关资料,供你参考。
首先我们要了解第二层交换机的局限
但这些廉价交换机都是所谓的“第二层交换机”。它工作在OSI模型的第二层——数据链路层,它通过建立在内存中的交换表,来记录数据帧中所包含的计算机网卡的MAC地址和相关联的端口。交换机只将数据帧传递到相应的端口,如果交换表中没有目的地址的记录,它就只能以广播的方式发往所有端口。因此,目前所有的交换机都提供了划分VLAN的功能。VLAN划分一般是由端口来指定的,数据帧只会被发送到同一VLAN的端口,这样也就提高了性能,节省了带宽。
不过,这种交换机只能用在结构不太复杂的网络上,比如整个网络只有一个网段,或是虽有不同的网段,但网段之间的计算机互不访问等场合。对于其它的情况,这种交换机就显得功能不足了,因此它们往往只用作大型网络的支干交换机,负责“交换到桌面”的最后一道交换。而主干交换机就要用到“第三层交换机”,简单地说,“第三层交换机”就是增加了路由功能的“第二层交换机”,它使得用户的数据可以在网际间传送而不需要另外的路由器,而且其转发速度高于普通路由器(超级路由器当然除外)。但是功能的增强,不可避免地导致价钱的升高,相对于不到千元的第二层交换机,第三层交换机的价格一般都在几万元以上,这当然也与这些交换机并不普及有关。
接着开始“组装”第三层交换机
这就让一些单位在选择网络设备时感到为难,高端交换机价格不菲,低端交换机不能满足要求,最后只能退而求其次,仍然用路由器和集线器来构建网络。其实在要求不太高的情况,我们可以用其它设备作为网关来实现“第二层交换机”到“第三层交换机”的升级。既然“第三层交换机”可以认为是路由器加上普通交换机构成的,最简单的做法当然就是添加路由器了,不过安装了Windows 2000 Server操作系统的计算机也可做到,尤其现在计算机配件价格大降,组装一台够要求的机器仅仅五六千元而已。但要注意的是:使用两块网卡来连接两个网段的方法在这里是不行的,那样这台机器虽然可以被任何网段访问到,但以它为网关来访问其它不同网段的机器是无法做到的。
我们假定这个网络由两个网段组成:网段一的网络地址是100.100.100.0,掩码是255.255.255.0;网段二的网络地址是100.100.101.0,掩码也是255.255.255.0。计算机通过普通交换机相连,现在希望这两个网段能互相访问。显然,这时不能用VLAN将它们隔开。
路由器设置
用双绞线将路由器与交换机的任一端口相连,配置路由器的局域网口对应不同网段的两个IP地址。命令如下:IP ADDR 100.100.100.1 255.255.255.0。其它计算机只需将网关设为同网段的路由器地址,就可访问另一网段的机器。对于更多网段的情况,只需继续在路由器上配置地址即可。
看过文章“怎么组装思科第三层交换机”
浏览量:2
下载量:0
时间:
思科拥有丰富的行业经验、先进的技术,路由器功能也在世界遥遥领先,那么你知道思科如何配置跨交换机相同VLAN间通讯吗?下面是读文网小编整理的一些关于思科如何配置跨交换机相同VLAN间通讯的相关资料,供你参考。
Switch>en
Switch>enable
Switch#conf
Switch#configure
Switch#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch(config)#hostname SWA
SWA(config)#in v
SWA(config)#in vlan 1
SWA(config-if)#ip add 192.168.1.4 255.255.255.0
SWA(config-if)#no shut
SWA(config-if)#no shutdown
%LINK-5-CHANGED: Interface Vlan1, changed state to up
%LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan1, changed state to up
SWA(config-if)#exit
SWA(config)#v
SWA(config)#vl
SWA(config)#vlan 100
SWA(config-vlan)#exit
SWA(config)#vl
SWA(config)#vlan 200
SWA(config-vlan)#exit
SWA(config)#in r
SWA(config)#in range f0/1-8
SWA(config-if-range)#sw
SWA(config-if-range)#switchport m
SWA(config-if-range)#switchport mode a
SWA(config-if-range)#switchport mode access
SWA(config-if-range)#sw
SWA(config-if-range)#switchport a
SWA(config-if-range)#switchport access v
SWA(config-if-range)#switchport access vlan 100
SWA(config-if-range)#exit
SWA(config)#in r
SWA(config)#in range f0/9-16
SWA(config-if-range)#sw
SWA(config-if-range)#switchport m
SWA(config-if-range)#switchport mode a
SWA(config-if-range)#switchport mode access
SWA(config-if-range)#sw
SWA(config-if-range)#switchport a
SWA(config-if-range)#switchport access v
SWA(config-if-range)#switchport access vlan 200
SWA(config-if-range)#exit
SWAconfig)#in f0/24
SWA(config-if)#sw
SWA(config-if)#switchport m
SWA(config-if)#switchport mode t
SWA(config-if)#switchport mode trunk
%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/24, changed state to down
%LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan1, changed state to down
%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/24, changed state to up
%LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan1, changed state to up
SWA(config-if)#sw
SWA(config-if)#switchport t
SWA(config-if)#switchport trunk a
SWA(config-if)#switchport trunk allowed v
SWA(config-if)#switchport trunk allowed vlan a
SWA(config-if)#switchport trunk allowed vlan al
SWA(config-if)#switchport trunk allowed vlan all
SWA(config-if)#exit
SWA(config)#
另外一个交换机也是相同配置方法 只需要修改IP地址。
看过文章“思科如何配置跨交换机相同VLAN间通讯"
浏览量:3
下载量:0
时间:
有不少网友不知道cisco交换机端口限速怎么设置?下面读文网小编为大家讲解具体设置方法,供你参考!
限速方式1: rate-limit
例: 对GigabitEthernet 3/2端口上下行均限速为 10Mbps
interface GigabitEthernet 3/2 https://用户接口
rate-limit input 10000000 1000 2000 conform-action drop exceed-action
rate-limit output 10000000 1000 2000 conform-action drop exceed-action
限速方式2:service-policy
例对对GigabitEthernet 3/2接口中传送的某一段IP( 192.168.0.0 0.0.0.31) 上下行均限速为 100Mbps
Extended IP access list 112
permit ip any 192.168.0.0 0.0.0.31
deny ip any any
Extended IP access list 113
permit ip 192.168.0.0 0.0.0.31 any
deny ip any any
class-map match-all Test-up
match access-group 113
class-map match-all Test-down
match access-group 112
!
!
policy-map Test-up
class Test-up
police 100000000 2000000 2000000 conform-action transmit exceed-action drop
policy-map Test-down
class Test-down
police 100000000 1000000 1000000 conform-action transmit exceed-action drop
! 因Cisco 6509 只能制作input方向的限速,因此在用户接口、设备的上行接口均需制作限速
interface GigabitEthernet3/2 用户接口
description Test
ip address 192.168.0.1 255.255.255.0
speed nonegotiate
service-policy input Test-up
二、详细配置过程
注:每个接口每个方向只支持一个策略;一个策略可以用于多个接口。因此所有PC的下载速率的限制都应该定义在同一个策略(在本例子当中
为policy
1、在交换机上启动QOS
Switch(config)#mls qos https://在交换机上启动QOS
2、分别定义PC1(10.10.1.1)和PC2(10.10.2.1)访问控制列表
Switch(config)#access-list 10 permit 10.10.1.0 0.0.0.255 https://控制pc1上行流量
Switch(config)#access-list 100 permit any 10.10.1.0 0.0.0.255 https://控制pc1下行流量
Switch(config)#access-list 11 permit 10.10.2.0 0.0.0.255 https://控制pc2上行流量
Switch(config)#access-list 111 permit any 10.10.2.0 0.0.0.255 https://控制pc2下行流量
3、定义类,并和上面定义的访问控制列表绑定
Switch(config)# class-map user1-up https://定义PC1上行的类,并绑定访问列表10
Switch(config-cmap)# match access-group 10
Switch(config-cmap)# exit
Switch(config)# class-map user2-up
Switch(config-cmap)# match access-group 11 https://定义PC2上行的类,并绑定访问列表10
Switch(config-cmap)# exit
Switch(config)# class-map user1-down
Switch(config-cmap)# match access-group 100 https://定义PC1下行的类,并绑定访问列表100
Switch(config-cmap)# exit
Switch(config)# class-map user2-down
Switch(config-cmap)# match access-group 111 https://定义PC2下行的类,并绑定访问列表111
Switch(config-cmap)# exit
4、定义策略,把上面定义的类绑定到该策略
Switch(config)# policy-map user1-up https://定义PC1上行的速率为1M
Switch(config-pmap)# class user1-up
Switch(config-pmap-c)# trust dscp
Switch(config-pmap-c)# police 1024000 1024000 exceed-action drop
Switch(config)# policy-map user2-up https://定义PC2上行的速率为2M
Switch(config-pmap)# class user2-up
Switch(config-pmap-c)# trust dscp
Switch(config-pmap-c)# police 2048000 1024000 exceed-action drop
Switch(config)# policy-map user-down
Switch(config-pmap)# class user1-down
Switch(config-pmap-c)# trust dscp
Switch(config-pmap-c)# police 1024000 1024000 exceed-action drop
Switch(config-pmap-c)# exit
Switch(config-pmap)# class user2-down
Switch(config-pmap-c)# trust dscp
Switch(config-pmap-c)# police 2048000 1024000 exceed-action drop
Switch(config-pmap-c)# exit
5、在接口上运用策略
Switch(config)# interface f0/1
Switch(config-if)# service-policy input user1-up
Switch(config)# interface f0/2
Switch(config-if)# service-policy input user2-up
Switch(config)# interface g0/1
Switch(config-if)# service-policy input user-down
读文网小编分享了cisco交换机端口限速怎么设置的解决方法,希望大家喜欢。
浏览量:3
下载量:0
时间:
思科依靠自身的技术和对网络经济模式的深刻理解,成为了网络应用的成功实践者之一,那么你知道思科交换机DHCPSnooping的功能是什么吗?下面是读文网小编整理的一些关于思科交换机DHCPSnooping的相关资料,供你参考。
采用DHCP服务的常见问题
架设DHCP服务器可以为客户端自动分配IP地址、掩码、默认网关、DNS服务器等网络参数,简化了网络配置,提高了管理效率。但在DHCP服务的管理上存在一些问题,常见的有:
●DHCP Server的冒充
●DHCP Server的DOS攻击,如DHCP耗竭攻击
●某些用户随便指定IP地址,造成IP地址冲突
1、DHCP Server的冒充
由于DHCP服务器和客户端之间没有认证机制,所以如果在网络上随意添加一台DHCP服务器,它就可以为客户端分配IP地址以及其他网络参数。只要让该DHCP服务器分配错误的IP地址和其他网络参数,那就会对网络造成非常大的危害。
2、DHCP Server的拒绝服务攻击
通常DHCP服务器通过检查客户端发送的DHCP请求报文中的CHADDR(也就是Client MAC address)字段来判断客户端的MAC地址。正常情况下该CHADDR字段和发送请求报文的客户端真实的MAC地址是相同的。攻击者可以利用伪造 MAC的方式发送DHCP请求,但这种攻击可以使用Cisco 交换机的端口安全特性来防止。端口安全特性(PortSecurity)可以限制每个端口只使用唯一的MAC地址。但是如果攻击者不修改DHCP请求报文的源 MAC地址,而是修改DHCP报文中的CHADDR字段来实施攻击,那端口安全就不起作用了。由于DHCP服务器认为不同的CHADDR值表示请求来自不同的客户端,所以攻击者可以通过大量发送伪造CHADDR的DHCP请求,导致DHCP服务器上的地址池被耗尽,从而无法为其他正常用户提供网络地址,这是一种DHCP耗竭攻击。DHCP耗竭攻击可以是纯粹的DOS攻击,也可以与伪造的DHCP服务器配合使用。当正常的DHCP服务器瘫痪时,攻击者就可以建立伪造的DHCP服务器来为局域网中的客户端提供地址,使它们将信息转发给准备截取的恶意计算机。甚至即使DHCP请求报文的源MAC地址和 CHADDR字段都是正确的,但由于DHCP请求报文是广播报文,如果大量发送的话也会耗尽网络带宽,形成另一种拒绝服务攻击。
3、客户端随意指定IP地址
客户端并非一定要使用DHCP服务,它可以通过静态指定的方式来设置IP地址。如果随便指定的话,将会大大提高网络IP地址冲突的可能性。
DHCP Snooping技术介绍
DHCP监听(DHCP Snooping)是一种DHCP安全特性。Cisco交换机支持在每个VLAN基础上启用DHCP监听特性。通过这种特性,交换机能够拦截第二层VLAN域内的所有DHCP报文。
DHCP监听将交换机端口划分为两类:
●非信任端口:通常为连接终端设备的端口,如PC,网络打印机等
●信任端口:连接合法DHCP服务器的端口或者连接汇聚交换机的上行端口
通过开启DHCP监听特性,交换机限制用户端口(非信任端口)只能够发送DHCP请求,丢弃来自用户端口的所有其它DHCP报文,例如 DHCPOffer报文等。而且,并非所有来自用户端口的DHCP请求都被允许通过,交换机还会比较DHCP请求报文的(报文头里的)源MAC地址和(报文内容里 的)DHCP客户机的硬件地址(即CHADDR字段),只有这两者相同的请求报文才会被转发,否则将被丢弃。这样就防止了DHCP耗竭攻击。信任端口可以 接收所有的DHCP报文。通过只将交换机连接到合法DHCP服务器的端口设置为信任端口,其他端口设置为非信任端口,就可以防止用户伪造DHCP服务器来攻击网络。DHCP监听特性还可以对端口的DHCP报文进行限速。通过在每个非信任端口下进行限速,将可以阻止合法DHCP请求报文的广播攻击。DHCP 监听还有一个非常重要的作用就是建立一张DHCP监听绑定表(DHCP SnoopingBinding)。一旦一个连接在非信任端口的客户端获得一个合法的DHCPOffer,交换机就会自动在DHCP监听绑定表里添加一个 绑定条目,内容包括了该非信任端口的客户端IP地址、MAC地址、端口号、VLAN编号、租期等信息。如:
Switch#show ip dhcp snooping binding
MacAddress IpAddress Lease(sec) Type VLAN Interface
------------------ --------------- ---------- ----------------- ----------------
00:0F:1F:C5:10:08 192.168.10.131 682463 dhcp-snooping10 FastEthernet0/1
这张DHCP监听绑定表为进一步部署IP源防护(IPSG)和动态ARP检测(DAI)提供了依据。说明:
I.非信任端口只允许客户端的DHCP请求报文通过,这里只是相对于DHCP报文来说的。其他非DHCP报文还是可以正常转发的。这就表示客户端可以以静态指定IP地址的方式通过非信任端口接入网络。由于静态客户端不会发送DHCP报文,所以DHCP监听绑定表里也不会有该静态客户端的记录。信任端口的 客户端信息不会被记录到DHCP监听绑定表里。如果有一客户端连接到了一个信任端口,即使它是通过正常的DHCP方式获得IP地址,DHCP监听绑定表里也不有该客户端的记录。如果要求客户端只能以动态获得IP的方式接入网络,则必须借助于IPSG和DAI技术。
II.交换机为了获得高速转发,通常只检查报文的二层帧头,获得目标MAC地址后直接转发,不会去检查报文的内容。而DHCP监听本质上就是开启交换机对DHCP报文的内容部分的检查,DHCP报文不再只是被检查帧头了。
III. DHCP监听绑定表不仅用于防御DHCP攻击,还为后续的IPSG和DAI技术提供动态数据库支持。
IV.DHCP监听绑定表里的Lease列就是每个客户端对应的DHCP租约时间。当客户端离开网络后,该条目并不会立即消失。当客户端再次接入网络, 重新发起DHCP请求以后,相应的条目内容就会被更新。如上面的00F.1FC5.1008这个客户端原本插在Fa0/1端口,现在插在Fa0/3端口, 相应的记录在它再次发送DHCP请求并获得地址后会更新为:
Switch#show ip dhcp snooping binding
or
Switch#show ip source binding
MacAddress IpAddress Lease(sec) Type VLAN Interface
------------------ --------------- ---------- ------------- ---- ----------------
00:0F:1F:C5:10:08 192.168.10.131 691023 dhcp-snooping 10 FastEthernet0/3
V.当交换机收到一个DHCPDECLINE或DHCPRELEASE广播报文,并且报文头的源MAC地址存在于DHCP监听绑定表的一个条目中。但是报文的实际接收端口与绑定表条目中的端口字段不一致时,该报文将被丢弃。
●DHCPRELEASE报文:此报文是客户端主动释放IP 地址(如Windows 客户端使用ipconfig/release),当DHCP服务器收到此报文后就可以收回IP地址,分配给其他的客户端了
●DHCPDECLINE报文:当客户端发现DHCP服务器分配给它的IP地址无法使用(如IP地址发生冲突)时,将发出此报文让DHCP服务器禁止使用这次分配的IP地址。
VI. DHCP监听绑定表中的条目可以手工添加。
VII. DHCP监听绑定表在设备重启后会丢失,需要重新绑定,但可以通过设置将绑定表保存在flash或者tftp/ftp服务器上,待设备重启后直接读取,而不需要客户端再次进行绑定
VIII. 当前主流的Cisco交换机基本都支持DHCP Snooping功能。
DHCP Option 82
当DHCP服务器和客户端不在同一个子网内时,客户端要想从DHCP服务器上分配到IP地址,就必须由DHCP中继代理(DHCPRelayAgent)来转发DHCP请求包。DHCP中继代理将客户端的DHCP报文转发到DHCP服务器之前,可以插入一些选项信息,以便 DHCP服 务器能更精确的得知客户端的信息,从而能更灵活的按相应的策略分配IP地址和其他参数。这个选项被称为:DHCP relay agentinformation option(中继代理信息选项),选项号为82,故又称为option 82,相关标准文档为RFC3046.Option82是对DHCP选项的扩展应用。选项82只是一种应用扩展,是否携带选项82并不会影响DHCP原有 的应用。另外还要看DHCP服务器是否支持选项82.不支持选项82的DHCP服务器接收到插入了选项82的报文,或者支持选项82的DHCP服务器接收到了没有插入选项82的报文,这两种情况都不会对原有的基本的DHCP服务造成影响。要想支持选项82带来的扩展应用,则DHCP服务器本身必须支持选项 82以及收到的DHCP报文必须被插入选项82信息。从非信任端口收到DHCP请求报文,不管DHCP服务器和客户端是否处于同一子网,开启了DHCP监 听功能的Cisco交换机都可以选择是否对其插入选项82信息。默认情况下,交换机将对从非信任端口接收到的DHCP请求报文插入选项82信息。
当一台开启DHCP监听的汇聚交换机和一台插入了选项82信息的边界交换机(接入交换机)相连时:
●如果边界交换机是连接到汇聚交换机的信任端口,那么汇聚交换机会接收从信任端口收到的插入选项82的DHCP报文信息,但是汇聚交换机不会为这些信息建立DHCP监听绑定表条目。
●如果边界交换机是连接到汇聚交换机的非信任端口,那么汇聚交换机会丢弃从该非信任端口收到的插入了选项82的DHCP报文信息。但在 IOS12.2(25)SE版本之后,汇聚交换机可以通过在全局模式下配置一条ip dhcp snooping informationallow-untrusted命令。这样汇聚交换机就会接收从边界交换机发来的插入选项82的DHCP报文信息,并且也为这些信 息建立DHCP监听绑定表条目。
在配置汇聚交换机下联口时,将根据从边界交换机发送过来的数据能否被信任而设置为信任或者非信任端口。
四、DHCP Snooping的配置
Switch(config)#ip dhcp snooping https://打开DHCP Snooping功能
Switch(config)#ip dhcp snooping vlan 10 https://设置DHCP Snooping功能将作用于哪些VLAN
Switch(config)#ip dhcp snooping verify mac-address https://检测非信任端口收到的DHCP请求报文的源MAC和CHADDR字段是否相同,以防止DHCP耗竭攻击,该功能默认即为开启
Switch(config-if)#ip dhcp snooping trust https://配置接口为DHCP监听特性的信任接口,所有接口默认为非信任接口
Switch(config-if)#ip dhcp snooping limit rate 15 https://限制非信任端口的DHCP报文速率为每秒15个包(默认即为每秒15个包)如果不配该语句,则show ip dhcp snooping的结果里将不列出没有该语句的端口,可选速率范围为1-2048
建议:在配置了端口的DHCP报文限速之后,最好配置以下两条命令
Switch(config)#errdisable recovery causedhcp-rate-limit https://使由于DHCP报文限速原因而被禁用的端口能自动从err-disable状态恢复
Switch(config)#errdisable recovery interval 30 https://设置恢复时间;端口被置为err-disable状态后,经过30秒时间才能恢复
Switch(config)#ip dhcp snooping information option https://设置交换机是否为非信任端口收到的DHCP报文插入Option 82,默认即为开启状态
Switch(config)#ip dhcp snooping information optionallow-untrusted https://设置汇聚交换机将接收从非信任端口收到的接入交换机发来的带有选项82的DHCP报文
Switch#ip dhcp snooping binding 000f.1fc5.1008 vlan 10 192.168.10.131 interface fa0/2expiry 692000 https://特权模式命令;手工添加一条DHCP监听绑定条目;expiry为时间值,即为监听绑定表中的lease(租期)
Switch(config)#ip dhcp snooping databaseflash:dhcp_snooping.db https://将DHCP监听绑定表保存在flash中,文件名为dhcp_snooping.db
Switch(config)#ip dhcp snoopingdatabase tftp:https://192.168.2.5/Switch/dhcp_snooping.db https://将DHCP监听绑定表保存到tftp服务器;192.168.2.5为tftp服务器地址,必须事先确定可达。URL中的Switch是tftp服务 器下一个文件夹;保存后的文件名为dhcp_snooping.db,当更改保存位置后会立即执行"写"操作。
Switch(config)#ip dhcp snooping database write-delay30 https://指DHCP监听绑定表发生更新后,等待30秒,再写入文件,默认为300秒;可选范围为15-86400秒
Switch(config)#ip dhcp snooping database timeout 60https://指DHCP监听绑定表尝试写入操作失败后,重新尝试写入操作,直到60秒后停止尝试。默认为300秒;可选范围为0-86400秒
说 明:实际上当DHCP监听绑定表发生改变时会先等待write-delay的时间,然后执行写入操作,如果写入操作失败(比如tftp服务器不可达),接 着就等待timeout的时间,在此时间段内不断重试。在timeout时间过后,停止写入尝试。但由于监听绑定表已经发生了改变,因此重新开始等待 write-delay时间执行写入操作……不断循环,直到写入操作成功。
Switch#renew ip dhcp snooping databaseflash:dhcp_snooping.db https://特权级命令;立即从保存好的数据库文件中读取DHCP监听绑定表。
看过文章“思科交换机DHCPSnooping"
浏览量:2
下载量:0
时间:
思科cisco路由交换是所有设备中小编觉得最难的。不少网友都不知道思科交换机怎么恢复出厂设置。其实步骤并不难,下面读文网小编给大家介绍一下具体操作办法,供大家参考!
1)拔下交换机电源,用手按住交换机“Mode” 按钮,插上电源,等待交换机进入控制台模式。其提示符为“switch:”
2)switch: flash_init https://初始化flash文件系统
3)switch: dir flash: https://命令显示flash中所保存的配置文件的名称。
4)switch: rename flash:config.text flash:config.old https://命令把原来的配置文件改名为config.old。(NVRAM是从flash虚拟的,flash:config.text =startup-config)
5)switch: reset https://命令把原来的配置文件改名为config.old。重新启动交换机,这时交换机找不到其配置文件(所以配置文件中的特权密码也就无效),系统就会提示是否进入“配置对话(configuration dialog)” ,选择“N” 。
6)switch># enable https://进入特权执行模式。
7)switch# rename flash:config.old flash:config.text https://把配置文件名字修改回来
8)switch#copy flash:config.text running-config https://把配置文件从FLASH中装载到RAM中。
9)Switch# config terminal https://进入全局配置模式
10)Switch(config)# no enable password https://删除使能密码
11)Switch(config)# no enable secret https://删除加密的密码
12)Switch(config)# end https://直接返回到特权模式
13)Switch# show runnig-confighttps://查看正在进行的配置文件,请注意查看密码
14)Switch# copy running-config startup-config https://备份配置文件到NVRAM
读文网小编分享了思科交换机恢复出厂设置的解决方法。希望大家喜欢。
浏览量:3
下载量:0
时间:
Cisco依靠自身的技术和对网络经济模式的深刻理解,成为了网络应用的成功实践者之一,那么你知道思科48口交换机如何配置ACL吗?下面是读文网小编整理的一些关于思科48口交换机如何配置ACL的相关资料,供你参考。
大家先看下配置,我的要求就是,在47口上做镜像,4vlan内的机器的数据镜像到47口上,47口接监控服务器,然后在做下访问控制,4vlan内的机器 跟47口上的服务器可以相互通讯,但4vlan之间不能相互通讯!目前47口的ip地址为192.168.25.1 255.255.255.0.
FwhSwh#show run
Building configuration…
Current configuration : 4909 bytes
!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname FwhSwh
!
!
no aaa new-model
ip subnet-zero
ip routing
!
ip dhcp pool vlan20
network 192.168.20.0 255.255.255.0
default-router 192.168.20.1
dns-server 202.106.196.115 202.106.0.20
!
ip dhcp pool vlan21
network 192.168.21.0 255.255.255.0
default-router 192.168.21.1
dns-server 202.106.196.115 202.106.0.20
!
ip dhcp pool vlan22
network 192.168.22.0 255.255.255.0
default-router 192.168.22.1
dns-server 202.106.196.115 202.106.0.20
!
ip dhcp pool vlan23
network 192.168.23.0 255.255.255.0
default-router 192.168.23.1
dns-server 202.106.0.20
!
!
!
!
no file verify auto
spanning-tree mode pvst
spanning-tree extend system-id
!
vlan internal allocation policy ascending
!
interface FastEthernet0/1
switchport access vlan 20
!
interface FastEthernet0/2
switchport access vlan 20
!
interface FastEthernet0/3
switchport access vlan 20
!
interface FastEthernet0/4
switchport access vlan 20
!
interface FastEthernet0/5
switchport access vlan 20
!
interface FastEthernet0/6
switchport access vlan 20
!
interface FastEthernet0/7
switchport access vlan 20
!
interface FastEthernet0/8
switchport access vlan 20
!
interface FastEthernet0/9
switchport access vlan 20
!
interface FastEthernet0/10
switchport access vlan 20
!
interface FastEthernet0/11
switchport access vlan 20
!
interface FastEthernet0/12
switchport access vlan 20
!
interface FastEthernet0/13
switchport access vlan 20
!
interface FastEthernet0/14
switchport access vlan 20
!
interface FastEthernet0/15
switchport access vlan 20
!
interface FastEthernet0/16
switchport access vlan 20
!
interface FastEthernet0/17
switchport access vlan 20
!
interface FastEthernet0/18
switchport access vlan 20
!
interface FastEthernet0/19
switchport access vlan 20
!
interface FastEthernet0/20
switchport access vlan 20
!
interface FastEthernet0/21
switchport access vlan 21
!
interface FastEthernet0/22
switchport access vlan 21
!
interface FastEthernet0/23
switchport access vlan 21
!
interface FastEthernet0/24
switchport access vlan 21
!
interface FastEthernet0/25
switchport access vlan 21
!
interface FastEthernet0/26
switchport access vlan 21
!
interface FastEthernet0/27
switchport access vlan 21
!
interface FastEthernet0/28
switchport access vlan 21
!
interface FastEthernet0/29
switchport access vlan 21
!
interface FastEthernet0/30
switchport access vlan 21
!
interface FastEthernet0/31
switchport access vlan 22
!
interface FastEthernet0/32
switchport access vlan 22
!
interface FastEthernet0/33
switchport access vlan 22
!
interface FastEthernet0/34
switchport access vlan 22
!
interface FastEthernet0/35
switchport access vlan 22
!
interface FastEthernet0/36
switchport access vlan 22
!
interface FastEthernet0/37
switchport access vlan 22
!
interface FastEthernet0/38
switchport access vlan 22
!
interface FastEthernet0/39
switchport access vlan 22
!
interface FastEthernet0/40
switchport access vlan 22
!
interface FastEthernet0/41
switchport access vlan 23
!
interface FastEthernet0/42
switchport access vlan 23
!
interface FastEthernet0/43
switchport access vlan 23
!
interface FastEthernet0/44
switchport access vlan 23
!
interface FastEthernet0/45
!
interface FastEthernet0/46
!
interface FastEthernet0/47
!
interface FastEthernet0/48
no switchport
ip address *.*.*.* 255.255.255.0
!
interface GigabitEthernet0/1
!
interface GigabitEthernet0/2
!
interface GigabitEthernet0/3
!
interface GigabitEthernet0/4
!
interface Vlan1
no ip address
shutdown
!
interface Vlan20
ip address 192.168.20.1 255.255.255.0
ip access-group 100 in
ip helper-address 192.168.20.1
!
interface Vlan21
ip address 192.168.21.1 255.255.255.0
ip access-group 101 in
ip helper-address 192.168.21.1
!
interface Vlan22
ip address 192.168.22.1 255.255.255.0
ip access-group 102 in
ip helper-address 192.168.22.1
!
interface Vlan23
ip address 192.168.23.1 255.255.255.0
ip access-group 103 in
ip helper-address 192.168.23.1
!
ip classless
ip route 0.0.0.0 0.0.0.0 10.0.0.1
no ip http server
!
access-list 100 deny ip any 192.168.21.0 0.0.0.255
access-list 100 deny ip any 192.168.22.0 0.0.0.255
access-list 100 permit ip any any
access-list 101 deny ip any 192.168.22.0 0.0.0.255
access-list 101 deny ip any 192.168.20.0 0.0.0.255
access-list 101 deny ip any 192.168.23.0 0.0.0.255
access-list 101 permit ip any any
access-list 102 deny ip any 192.168.20.0 0.0.0.255
access-list 102 deny ip any 192.168.21.0 0.0.0.255
access-list 102 deny ip any 192.168.23.0 0.0.0.255
access-list 102 permit ip any any
access-list 103 deny ip any 192.168.21.0 0.0.0.255
access-list 103 deny ip any 192.168.22.0 0.0.0.255
access-list 103 permit ip any any
!
control-plane
!
!
line con 0
line vty 0 4
no login
line vty 5 15
no login
!
!
end
看过文章“思科48口交换机如何配置ACL"
浏览量:2
下载量:0
时间:
今天读文网小编就针对思科2960系列交换机产品,说一说进行网络限速的方法。附带需要的命令行脚本。希望能帮到你。
(1)、针对IP地址限速
switch(config)#access-list 101 permit ip host 10.10.10.100 any
switch(config)#class-map match-all output-class
switch(config-cmap)#match access-group 101
switch(config)#policy-map 5m
switch(config-pmap)#class output-class
switch(config-pmap-c)#police 5000000 1000000 exceed-action drop
switch(config)#int f0/1 --->下联口
switch(config-if)#service-policy input 5m --->限制上传
(2)、常规限速
switch(config)#policy-map 5m
switch(config-pmap)#class class-default
switch(config-pmap-c)#police 5000000 1000000 exceed-action drop
switch(config)#int f0/1 --->下联口
switch(config-if)#service-policy input 5m --->限制上传
备注:
如果多个IP地址在一个访问控制列表共享一个class,则共享上传或下载的5M带宽;如果在不同的class里,则不同访问控制列表享受各对应class的对应上传或者下载带宽。
Clojure、Scala等JVM上的新语言却层出不穷,这又进一步激发了人们继续以JVM为平台搭建新兴大数据系统的热情。而《实战Java虚拟机》一书就是为深入JVM学习做准备的。
历时一年反复写作和各种读者在课程中的提问,整理过称的辛苦和困难遇到很多,但好在终于出版了。本书赠送51CTO中JVM课程的50元优惠券,大家看视频的同时,也可以辅助图书进行深入了解每个技术点。
浏览量:2
下载量:0
时间:
美国网件公司一直致力于网络技术创新,专注于产品的可靠性和易用性提升,其生产的路由器功能强大,那么你知道网件全网管交换机怎么实现虚拟路由器VRRP协议吗?下面是读文网小编整理的一些关于网件全网管交换机怎么实现虚拟路由器VRRP协议的相关资料,供你参考。
VRRP基本配置涉及以下几条命令:
(1)全局打开VRRP
ip vrrp
(2)在相关端口建立Standby Group
ip vrrp
(3)在相关端口启用VRRP
ip vrrp mode
(4)设置虚拟IP地址
ip vrrp ip [secondary]
(5)设置优先级
ip vrrp priorty <1-254>
注:VRRP默认优先级为100
高级配置
(1) 上行链路检测
设备连接上行链路的接口出现故障时,Standby Group无法感知上行链路的故障,如果该设备此时处于Master状态,将会导致该网络的主机无法访问外部网络。通过监视指定接口的功能,可以解决该问题。当连接上行链路不可用状态时,设备主动降低自己的优先级,使得Standby Group内其它设备的优先级高于这个设备,以便优先级最高的路由器成为Master,承担转发任务。
目前Netgear全网管交换机支持两种上行链路检测的方法:
一种是设备上行端口检测
ip vrrp track interface [decrement ]
另一种是目标路由检测
ip vrrp track ip route [decrement ]
(2) Master是否可以被抢占
默认情况下,Master可以被抢占。如果不希望Master被抢占,可以通过no ip vrrp preemt关闭抢占特性。
(3) 认证
VRRP认证可以防止网络中的非法设备加入到Standby Group中,可以通过在接口模式下使用ip vrrp authentication{none|simple }
配置举例
拓扑图
基本配置
Core1:
(Core1) (Config)#ip vrrp
(Core1) (Config)#interface 1/0/2
(Core1) (Interface 1/0/2)#ip vrrp 10
(Core1) (Interface 1/0/2)#ip vrrp 10 mode
(Core1) (Interface 1/0/2)#ip vrrp 10 ip 192.168.1.1
(Core1) (Interface 1/0/2)#ip vrrp 10 priority 105
(Core1) (Interface 1/0/2)#exit
Core2:
(Core2) (Config)#ip vrrp
(Core2) (Config)#interface 1/0/2
(Core2) (Interface 1/0/2)#ip vrrp 10
(Core2) (Interface 1/0/2)#ip vrrp 10 mode
(Core2) (Interface 1/0/2)#ip vrrp 10 ip 192.168.1.1
(Core2) (Interface 1/0/2)#exit
通过show ip vrrp interface可以看到Core1成为了Master,Core2成为了Backup
上行链路检测
(Core1) (Interface 1/0/2)#ip vrrp 10 track interface 1/0/1
关闭1/0/1端口
(Core1) (Interface 1/0/1)#shutdown
可以通过show ip vrrp interface看到 Core1 的 Priority 降低了 10,变为 95。由于低于 Core2 的 100,所以Core1现在成为了Backup,而Core2成为了Master。
认证
(Core1) (Interface 1/0/2)#ip vrrp 10 authentication simple netgear
通过show ip vrrp interface stats可以看到 Authentication Type Mismatch 值为211,证明 Core1 和 Core2 有211个 VRRP 数据包认证类型不同。
(Core2) (Interface 1/0/2)#ip vrrp 10 authentication simple netgear
这时 Authentication Type Mismatch 值不再增加,证明双方的认证类型一致,而 Authentication Failure 一直为0,证明双方的认证密钥一致。此时 VRRP 恢复正常工作。
最后,我们测试一下 VRRP 的效果,在能正常通信的情况下,端口 Core1 的1/0/2端口,通过终端 ping 目标主机,出现两个请求超时后,即恢复正常。
注:M5300-28G M5300-52G M5300-28G-PoE+ M5300-52G-PoE+ GSM7228PS GSM7252PS需要升级相应许可证。
看过文章“网件全网管交换机怎么实现虚拟路由器VRRP协议”
浏览量:4
下载量:0
时间:
思科路由器是世界闻名的通讯设备之一了,有不少用户不知道怎么生成树协议,怎么设置?读文网小编为大家分享了具体操作方法,供大家参考!
1. 桥接环路
广播风暴;多帧复制;MAC数据库Instability。
2. 避免桥接环路
STP(Spanning Tree Protocol)能够克服冗余网络中透明桥接的问题。通过判断网络中存在环路的地方并阻断冗余链路,如果发生某条链路失效的情况,那么网桥就会将接口从阻塞状态过渡到转发状态。
1) 在网桥之间传输特殊的配置消息:1.从所有的网络中选出一个做为根桥;2.计算从本网桥到根网桥的最短路由;3.对每个网段选出离根桥的最近网桥为指定桥,根端口是给出的路径是本网桥到根网桥的最佳路径。
2) STP使用根网桥、根端口和指定端口等概念来建立网络的无环路径。
生成树为每台网桥或交换机分配唯一的标识符,也称为网桥ID,网桥ID包括两部分:2字节的优先级值和6字节的MAC地址。
3) Cisco Catalyst交换机的默认优先级是32768,优先级取值范围0~65535.
4) 生成树路径开销是以路径中所有链路的带宽为基础而累积的总路径开销。
各种链路速度的生成树路径开销:
链路速度 开销
10Gbit/s 2
1Gbit/s 4
100Mbit/s 19
10Mbit/s 100
3. STP
1) STP通过桥接协议数据单元(BPDU)来获取网络中其它交换机的信息。
对于运行STP的交换机,它能够使用BPDU完成下列任务:
n 选举根网桥;
n 确定冗余路径的位置;
n 通过阻塞特定端口来避免环路;
n 通告网络的拓扑变更;
n 监控生成树的状态;
2) BPDU有两种类型:
n 配置BPDU: 这种BPDU是所有端口上的根网桥以周期性间隔发出 的;
n TCN(拓扑变更通告)BPDU:这种BPDU是当交换机检测到拓扑变更时产生的。
3) BPDU帧格式
协议ID 该值总为0,当前保留未使用;
版本 STP的版本,数值大的被认为最新定义的;
消息类型 BPDU类型(配置BPDU=0;TCN BPDU=80);
标志 表示拓扑变化,值为0表示没变;值为1表示改变;
根ID 根网桥的网桥ID,表示当前网络中的根桥;
路径开销 到达根网桥的STP开销,网桥到达根桥的路径开销数
值大小可以由网桥自动生成或手工配置;
网桥ID BPDU发送网桥ID;
端口ID BPDU发送网桥端口ID;
消息寿命 BPDU有效存活时间从根网桥发出BPDU之后的秒
数,每经过一个网桥都递减1,所以它本质是到达根网桥的跳计数;
最大寿命 网桥在将根网桥看作不可用之前保留根网桥ID的最
大时间,最大为20秒;
Hello时间 周期发送,默认为2秒;
转发延迟 端口转入发送状态延时;
4) 生成树端口状态
n 阻塞:监听流入的BPDU,端口不能学习接收帧的MAC地址;
n 监听:决定根,根端口,指定端口和非指定端口,不接收或转发数
据,接收并转发BPDU,不进行地址学习;
n 学习:不接收或转发数据报文,接收并转发BPDU,开始地址学习;
n 转发:接收并发送数据,接收并转发BPDU,开始地址学习;
n 禁用:不收发任何报文;
5) 3种计数器
n Hello时间:默认2s,可以被配置为1~10s之间的某个数值;
n 转发延迟: 默认15s,可以配置为4~30s之间某个值;
n 最大寿命: 默认20s,可以配置为6~40s之间某个值。
4. STP操作
1) 选举1个根网桥:每个VLAN中只能有1个网桥担当根网桥,在根网桥上,所有的端口都担当指定端口。指定端口不仅能够发送和接收流量,而且还可以发送和接收配置消息或BPDU;
2) 选择所有非根网桥的根端口:STP协议在每个非根网桥上建立1个根端口,根端口是非根网桥到根网桥的最低开销路径;如果有多条等价路径,那么非根网桥将选择连接到最低网桥ID的端口,再次再选最低端口ID的端口;
3) 在各个网段,STP在网桥上建立一个指定端口,到达根网桥的路径开销最低;
备注:每一个广播网络只能有一个根桥,每个非根桥只能有一个根端口,每个网段只能有一个指定端口,非指定端口和非根端口将被阻塞。
4) 网桥ID包含2个字节的优先级和6个字节的MAC地址,网桥ID的数值越低,成为根的概率也就越高。
5) 在确定无环路拓扑的时候,交换机将运行如下5种标准:
n 确定最低的根网桥ID;
n 确定最低的到达根网桥的路径开销;
n 确定最低的发送方网桥ID;
n 确定最低的端口优先级;
n 确定最低的端口ID.
5. 增强的按VLAN的生成树(PVST+)
PVST+为每个VLAN维护一个单独的生成树实例,默认情况下,在没有手工禁用STP的前提下,每个配置的VLAN都将运行单个生成树。PVST+能够以每个VLAN为基础提供负载均衡。
通常情况下,Catalyst交换机MAC地址池最多可以容纳1024个地址,MAC地址池作为VLAN生成树中网桥ID的MAC地址部分。在启用MAC地址缩减特性,使用了“系统ID扩展”附加字段,交换机只能将交换机优先级指定为4096的倍数。
通常情况下,辅助根所选用的优先级值是8192,,实际情况下,可以有多台交换机担当备份根交换机。
为接口分配的开销越低,生成树也就越优先选择该接口,接口开销的取值范围是1~200 000 000.
6. 快速生成树协议
快速生成树协议(RSTP)能够显著加快重新计算生成树的速度,RSTP不仅定义了其它端口角色:替代端口、备份端口,而且还定义了三种端口状态:丢弃状态、学习状态和转发状态。
RSTP 802.1w丢弃状态表示802.1D STP的禁用、阻塞和监听状态的合并。
替代端口:如果活跃的根端口发送故障,那么替代端口将成为根端口;
备份端口:如果现有的指定端口发生故障,那么备份端口将成为指定端口。
当RSTP检测到网络中有一台交换机运行了STP,则RSTP会自动降为STP来使用。
如果给定端口在3个连续的“hello”时间内没有接收到任何BPDU,那么网桥将立即对协议信息进行老化处理。如果最大寿命计时器到期,那么协议也将立即被老化处理。在RSTP中,BPDU的发送可以担当网桥之间的“keep-alive”机制。如果连续3次未收到BPDU,那么网桥就相信它已经将达到邻接根网桥或指定网桥的连接丢失。
当链路发生转变的时候,边缘端口不会产生拓扑变更,如果边缘端口接收到BPDU,那么它将立即放弃边缘端口的状态,并且成为一个正常的生成树端口。
默认情况下,如果端口工作在全双工模式,那么就认为它是点到点链路类型;如果端口工作在半双工模式,那么就认为它工作在共享介质之上。
7. 多生成树
MST(多生成树),将RST算法扩展到多个生成树。MST的主要目的是降低与网络的物理拓扑相匹配的生成树实例的总数,进而可以降低交换机的CPU周期。发挥了单生成树的优点,减少网络设备的消耗,并且可以拥有多个生成树,通过实例来实现的。
CST(公共生成树),本质上是整个桥接网络的一个生成树实例,而与VLAN的编号无关。大多数网络不需要太多的拓扑,通过映射几个VLAN,将可以降低生成树实例的数目。
MST实例必须能够至少处理一个IST(内部生成树)实例,IST实例接收并且向CST实例发送BPDU,IST实例能够将整个MST区域表示为到达外部世界的CST虚拟网桥。
CIST(公共和内部生成树)是每个MST区域中IST实例、互连MST区域的CST实例、802.1D网桥的集合。
读文网小编分享了cisco生成树协议设置的方法,希望大家喜欢。
浏览量:2
下载量:0
时间:
网络上的未知软件和未知网页很多都是带病毒的,那么你知道怎么用交换机端口隔离拒绝病毒入侵吗?下面是读文网小编整理的一些关于怎么用交换机端口隔离拒绝病毒入侵的相关资料,供你参考。
例如单位局域网采用MyPower S3026G型号的普通楼层交换机,将位于大楼一、二、三层中的所有计算机全部连接起来,这些楼层交换机全部连接到单位的核心交换机中,核心交换机又通过天融信硬件防火墙与Internet网络进行了连接。由于单位交换机都支持即插即用功能,网络管理员对它们没有进行任何配置,就直接连接到局域网网络中; 在这种连接状态下,局域网中所有楼层的计算机相互之间都能访问,这样一来单位同事们经常利用局域网网络进行共享交流。
刚开始的时候,局域网运行一直很稳定;最近不知道由于什么缘故,单位所有计算机都不能通过局域网进行共享访问Internet网络了,不过相互之间它们却能够正常访问。
分析解决
对于这种故障现象,笔者想当然地认为问题肯定出在硬件防火墙或核心交换机上,而与普通计算机的上网设置以及网络线缆连通性没有任何关系;不过,当笔者断开所有楼层交换机以及单位的服务器或重要工作站,仅让一台工作状态正常的笔记本电脑与核心交换机保持连接时,该笔记本电脑却能够正常访问 Internet网络,显然核心交换机与硬件防火墙的工作状态也是正常的。那问题究竟出现在什么地方呢?
考虑到局域网中的所有计算机都不能上网,笔者估计可能出现了网络环路,或者存在类似ARP这样的网络病毒,只有这些因素才能造成整个局域网大面积不能正常上网。由于网络环路故障排查起来相对复杂一些,笔者打算先从网络病毒因素开始查起;想到做到,笔者立即与其他几个单位员工分头行动,使用最新版本的杀毒软件依次对每一台普通工作站进行病毒查杀操作;经过一番持久战,潜藏在局域网中的许多病毒的确被我们消灭干净了。原本以为解决了网络病毒,局域网不能上网的故障现象也应该自动消除了,可是重新将所有计算机接入到单位局域网中后,发现上述故障现象依然存在,难道这样的故障现象真的与网络病毒没有任何关系?
之后,笔者打算检查局域网中是否存在网络环路现象。经过仔细分析,笔者认为要是某个交换端口下面的子网络存在网络环路现象时,那么对应交换端口的输入、输出流量都应该很大才对;基于这样的认识,笔者立即进入单位局域网的核心交换机后台管理系统,利用该系统自带的诊断功能,对每一个交换端口进行了扫描检查,从反馈回来的结果中笔者发现每一个交换端口的输入、输出流量正常,这说明网络环路现象也不存在。
在万般无奈之下,笔者任意找了一台故障计算机,利用系统自带的ping、tracert等命令,对局域网网关地址进行了跟踪测试,结果发现系统竟然会去寻找一个并不存在的网关地址,显然计算机系统中存在网络病毒,那么为什么杀毒软件没有将这些病毒扫描出来呢?经过上网搜索,笔者得知网络存在一种特殊的网络病毒,它们专门修改局域网的网关地址,造成计算机无法上网,并且这种网络病毒可以躲避杀毒软件的“围剿”,这也是我们使用杀毒软件没有找到该网络病毒的原因。后来,笔者按照网上提供的方案将该网络病毒清除后,故障计算机果然能够正常上网了;按照相同的处理方法,其他计算机无法上网故障一一被解决了。
深入应对
虽然上述故障已经被解决了,但是该局域网无法阻止网络病毒大面积传播的事实,警醒了笔者和同事;为了提升网络运行安全性,确保网络运行稳定性,笔者决定对单位局域网组网方式进行适当调整,以便让每个楼层的交换端口相互隔离,从而拒绝网络病毒在局域网中的快速传播。
由于MyPower S3026G型号的交换机共包含26个交换端口,笔者打算使用每个楼层交换机的25、26两个端口,级联到单位局域网的核心交换机上,其他的交换端口全部设置为隔离端口,单位中的所有普通计算机全部连接到隔离端口上,那样一来局域网中的所有普通计算机之间就只能通过核心交换机访问Internet网络,它们相互之间就不能进行访问了,这样可以保证网络病毒无法大面积传播了。考虑到单位局域网中还有一些服务器和重要工作站,为了让普通用户能访问到它们,笔者决定将核心交换机的1、2、3、4、5、6端口设置为共享端口,这些端口连接单位服务器或重要工作站,25、26两个端口作为上行连接端口,用于连接局域网中的硬件防火墙,其他交换端口设置为隔离端口,全部用来连接
普通的楼层交换机或者普通计算机。
基于这样的思路,笔者使用百兆双绞线将位于大楼一、二、三层中的楼层交换机上行端口,全部连接到核心交换机的7-24端口上,将核心交换机的上行端口连接到天融信硬件防火墙的接口上,将单位中的重要工作站和各种服务器连接到核心交换机的1、2、3、4、5、6端口上,以便让所有普通的计算机都能共享访问到,所有计算机都位于同一个网段之中。
在完成上面的物理连接之后,笔者使用MyPower S3026G交换机自带的控制线缆连接到核心交换机后台管理系统,同时进入该系统的全局配置状态,在该状态下执行字符串命令“isolate-port allowed ethernet 0/0/1-6;25;26”,将核心交换机的1、2、3、4、5、6端口设置为共享端口,将25、26两个端口作为上行连接端口;接着切换进入指定网段,例如假设执行“vlan 10”字符串命令,将交换机切换到vlan 10网段配置状态,再执行字符串命令“switchport interface ethernet 0/0/1-26”,将核心交换机的其他交换端口配置成隔离端口,之后依次执行“exit”、“write”命令,完成上述配置的保存操作,最后使用 “reload”命令完成上述配置的重新加载工作,那样一来核心交换机的各项配置就能正式生效了。
按照同样的操作方法,在普通楼层交换机的全局配置状态下,执行“isolate-port allowed ethernet 0/0/25;26”字符串命令,将楼层交换机的25、26两个端口设置为上行端口,执行“switchport interface ethernet 0/0/1-26”字符串命令,将其他端口全部设置为隔离端口,最后再加载、保存好上述交换配置。
经过上述重新连接以及交换配置操作后,局域网中的所有普通用户只能通过局域网访问Interent网络,同时也能够访问局域网中的服务器或重要工作站,但是不能访问其他普通计算机,而局域网中的服务器或重要工作站却能够访问所有普通计算机,如此一来日后普通计算机中即便存在网络病毒,也不会通过网络发生大面积的病毒传播,那么局域网网络的运行安全性就能得到保证了,同时网络访问更加畅通了。
看过文章“怎么用交换机端口隔离拒绝病毒入侵”
浏览量:3
下载量:0
时间:
一些攻击者可以利用端口号来入侵电脑,所以为了安全起见,修改默认端口号是提高安全性绝对不能忽视的,下面详细讲解给VTY接口配置密码、修改telnet端口号和阻塞23号端口的几个步骤。
Router(config-line)#rotary N ##这里N表示数字(在Cisco3500上范围为 ,修改以后的端口以3000为基数再加上N即可,例如N=2,则可用于登陆的telnet端口就是3002)
浏览量:2
下载量:0
时间:
辅助端口与控制台端口两者是亲兄弟,其功能基本一致。为此,网络管理员可以像使用控制台端口那么去使用它。不过,他有一个作用,是控制台端口无法实现的。若我们要通过控制台端口管理Cisco路由器的话,必须在路由器面前才行。而若我们通过辅助端口管理员路由器的话,则即使远在千里之外,网络管理员仍然可以控制他。当路由器出现问题或者网络管理员需要查看某些信息的时候,就可以采用远程拨号的方式通过辅助端口连接到“脱离网络”的路由器上。正是因为这个杰出的功能,所以其特别受到我们网络管理员的欢迎。
若要使用好辅助端口,其也有一些小诀窍。笔者在这里就当作抛砖引玉,大家一起研究一下如何把Cisco路由器的辅助端口用的更好。
诀窍一:把辅助端口作为后备的控制台端口
众所周知,辅助端口其功能跟控制台端口一致。但是,其默认情况下,使不能够用作第二控制台端口的。这主要是因为控制台端口与辅助端口其端口的形状不同,所以不能够通用。但是,有时候,如控制台端口出现故障或者出于其他方面的原因,我们往往需要把辅助端口当作控制台端口来使用。
其实,这也是一件很容易办到的事情。我不知道大家怎么样,反正在笔者的工具箱中有一条特殊的电缆。利用这条电缆就可以把辅助端口的接口类型转化为配置端口的接口类型。这种电缆在市场上基本上都可以买到。网络管理员若觉得有这个需要,也可以去配一根,以防不时之需。
在实际工作中,我们还往往将自己的笔记本电脑的串口通过专用的配置连接线与路由器的辅助端口直接相连,进行路由器的配置与维护。
诀窍二:把辅助端口当作异步串行接口使用
在有些路由器上,么有配置异步串行接口。此时,网络管理员就需要把辅助端口配置成异步串行端口来使用。若要达到这个目的,网络管理员可以通过line aux命令来进行配置,把这个辅助端口配置成辅助线路。
不过,这个跟上面的控制台端口不一样。虽然可以通过辅助端口实现异步串行接口的相关功能,但是,其毕竟不是专业的,所以,在性能上达不到异步串行接口的性能。
如异步串行接口支持直接内存访问。也就是说,路由器的缓冲直接将数据分组存储、读取系统内存,而不需要路由器CPU进行干预。很明显,这个特性就降低了路由器CPU的开销,提高路由器的性能。
如路由器具有异步串行接口,则其硬件芯片上有一个PPP帧可以用来消除路由器的中央处理器的开销。这个特性可以保证路由器同时在所有异步端口上保持高速度的通过量。这在实际管理中,非常有用。特别是在几个网络管理专家在共同会诊网络故障的时候,其价值就会体现出来了。
不过,话说回来,虽然把辅助端口当作异步端口来使用,不能够达到专业的异步串行接口那样的性能。可是,已经基本可以满足普通的管理需求。
诀窍三:为辅助端口设置独立的密码,以提高路由器的安全性
通过上面的描述,我们知道,辅助端口可以起到跟控制台端口相同的作用。所以,当辅助端口的密码泄露,被人远程拨号连接到路由器的话,那么对于企业网络的打击石致命的。所以,Cisco路由器为了提高本身的安全性,为辅助端口独立的设置了口令管理。
故网络管理员在口令设置中,最好不要跟其他口令相同。否则的话,会降低路由器本身的安全性。
总之,辅助端口在路由器管理中,具有举足轻重的作用。一般情况下,只有在路由器刚开始配置的时候需要用到控制台端口。而等到后续的网络维护与路由器一般故障排除的过程中,往往都是通过辅助端口来完成的。所以,辅助端口是路由器管理中的一个好帮手。
浏览量:2
下载量:0
时间:
美国netgear公司一直致力于网络技术创新,专注于产品的可靠性以及易用性提升,他生产的路由器设备功能强大,那么你知道怎么设置netgear智能网管交换机的端口MAC绑定功能吗?下面是读文网小编整理的一些关于怎么设置netgear智能网管交换机的端口MAC绑定功能的相关资料,供你参考。
启用全局的端口安全(Port Security)功能
进入Security > Traffic Control > Port Security > Port Security Configuration菜单,将Port Security Mode设置为Enable,点击右下角的APPLY。
在端口上启用端口安全(Port Security)功能
说明:启用Port Security(端口安全)的端口受到限制,不启用此功能的端口将仅受到Switching > Address Table >Advanced > Static Addresses下MAC地址列表的限制。
在g1-g20端口前打勾,将Port Security设置为Enable;
Max Allowed Dynamically Learned MAC(允许动态学习的最大MAC地址数量),默认值为600,这里设置为0(即不允许动态学习MAC地址);
注意:如果步骤3中添加静态MAC地址使用自动转换动态MAC地址到静态MAC地址表的方法,这里暂不修改此值;成功转换动态MAC地址之后,再作修改。
Max Allowed Statically Locked MAC(允许手动添加静态MAC地址的最大数量),默认值为20,可根据需要设置0-20的值。
设置修改完成之后,点击右下角的APPLY。
此时,我们看到Port Security Configuration项的Port Security Violations(非法接入MAC地址)列表显示了已连接的MAC地址的对应关系。
添加静态MAC地址到端口
1)、手动添加MAC地址到端口
进入Switching > Address Table > Advanced > Static Addresses菜单,在VLAN ID下拉列表中选择VLAN号如201,在MAC Address下输入电脑的MAC地址,在Interface下选择端口g1,点击APPLY保存配置。
2)、将已自动学习到的MAC地址信息自动转换到静态MAC地址列表
注意:如使用此方法自动转换动态MAC地址到静态MAC地址表,请在步骤2中先不修改Max Allowed Dynamically Learned MAC的值;在成功添加之后,再将Max Allowed Dynamically Learned MAC的值调为0。
进入Security > Traffic Control > Port Security > Security MAC Address菜单,在Dynamic MAC Address Table的Port List中选取对应的端口如g1,下方显示出自动学习到的MAC地址(如果未显示任何信息,点击右下角的REFRESH刷新),勾选“Convert Dynamic Address to Static”的复选框,在点击APPLY保存配置。
注意:目前,此方法仅能针对单个端口进行转换,不能针对整台交换机。
这样即实现了在VLAN201中启用端口安全(Port Security)的端口中,MAC地址00:26:9e:f6:0e:1c仅能从g1接入,并且其他MAC地址不能从g1接入。
无任是手动添加静态MAC地址,还是自动转换动态MAC地址,操作成功之后,在Switching > Address Table > Advanced> Static Addresses的Static MAC Address地址列表中可查看到绑定信息。
注意:一个端口可以同时绑定多个MAC,方法就是上面的步骤即可;但一个MAC只能绑定到一个端口,如果再绑到同VLAN的第二个端口,系统将报错(Error: Failed to add Static MAC Address)。
看过文章“怎么设置netgear智能网管交换机的端口MAC绑定功能”
浏览量:3
下载量:0
时间:
netgear是全球领先的企业网络解决方案,及数字家庭网络应用倡导者,那么你知道网件S3300系列智能交换机怎么设置端口镜像吗?下面是读文网小编整理的一些关于网件S3300系列智能交换机怎么设置端口镜像的相关资料,供你参考。
端口镜像功能简介
端口镜像是把交换机端口的数据在发出和/或接收的同时复制一份到指定的镜像端口,以监测网络通讯情况的功能,在网吧等需要对整个网络进行监控的环境中有重大作用。
NETGEAR S3300系列智能网管交换机支持标准的端口镜像功能。
本文以GS728TXP(S3300-28-PoE+)为例讲述如何配置S3300系列智能网管交换机的端口镜像功能。
一、网络拓扑:
设置环境
交换机型号:GS728TXP(S3300-28-POE+)
FW版本:V6.4.0.18
交换机通过1号端口上联到路由器,局域网的监控主机连接在2号端口。
二、端口镜像功能配置介绍
启用端口镜像功能
登陆GS728TXP(S3300-28-POE+)交换机管理界面,进入Monitoring > Mirroring菜单,设置目标端口、源端口和监控方向,并启用镜像功能。
Destination Interface:监控端口,即连接监控主机的端口,这里是1/g2。
端口格式为:非堆叠交换机(以第一个端口为例)千兆端口为“g1”,百兆端口为“e1”;堆叠交换机(以第一个堆叠单元的第一个端口为例)千兆端口为“1/g1”,百兆端口为“1/e1”。
注意:标准的端口镜像功能中,Destination Port端口连接的监控主机仅用于网络监控,不参与交换机的TCP/IP通讯,如需监控主机在监控的同时可以-需要安装双网卡,一块网卡用于监控,一块网卡用于上网。
Session Mode:选取Enable,启用端口镜像功能。
Source Port:被监控端口,这里为连接路由器端口(LAN中所有数据均会通过此端口传输,所以一般仅监控此端口即可),在端口1/g1前面打勾选中。
Direction:监控通讯数据方向
Tx and Rx:双向监控,这里选择此模式
Tx Only:数据输出,即上传
Rx Only:接收数据,即下载
设置好后,点击右上角的Apply保存设置。
查看端口状态
设置完成后,被监控端口的状态(Status)显示为Mirror。
您还可以在Switching > Ports > Port Configuration的Port Type查看端口状态,监控端口状态为Probe,被监控端口的状态为Mirrored。
删除已添加的镜像
若需删除已定义的镜像:进入Monitoring > Mirroring >Port Mirroring菜单,勾选中已添加镜像条目,点击右上角的Delete。
再将Session Mode点选为Disable,点击右上角的Apply保存设置。
注意:一个监控端口可以监控多个被监控端口,但每个交换机(堆叠组)内只能存在一个监控端口,不能有多个监控端口。
看过文章“网件S3300系列智能交换机怎么设置端口镜像”
浏览量:2
下载量:0
时间:
我们大家使用的多数思科路由器产品的telnet登录的远程端口号都是23,一些攻击者可以利用这个端口号来入侵。所以为安全起见,修改默认端口号并阻塞23号端口是提高安全性绝对不能忽视的,下面讲解给VTY接口配置密码、修改telnet端口号和阻塞23号端口的4个步骤,一起来读文网。
第一步:给VTY接口配置密码
Router(config)#line vty 0 X ## 其中X根据不同的型号数字而不同
Router(config-line)#password Telnet的密码 ##设置Telnet的密码
Router(config-line)#login ##启用密码验证
第二步:修改telnet端口
Router(config-line)#rotary N ##这里N表示数字(在Cisco3500上范围为 ,修改以后的端口以3000为基数再加上N即可,例如N=2,则可用于登陆的telnet端口就是3002)
第三步:阻塞默认23端口
1)设置一个扩展访问列表
Router(config)#access-list 101 deny tcp any any eq 23
Router(config)#access-list 101 permit ip any any
当然,如果想限制Telnet到路由器上IP范围,可以将access-list 101 permit ip any any 修改为:
access-list 101 permit ip A.B.C.D E.F.G.H I.J.K.L W.X.Y.Z
其中: A.B.C.D Source address(源地址);
E.F.G.H Source wildcard bits(源地址的反掩码);
I.J.K.L Destination address(目标地址);
W.X.Y.Z Destination wildcard bits(目标地址的反掩码);
2)将访问列表应用在VTY接口上
Router(config-line)# line vty 0 X
Router(config-line)#access-class 101 in
第四步:测试
telnet 路由器IP 3002
浏览量:2
下载量:0
时间: