目录

封面

扉页

前言

项目1　访问交换机与路由器设备

1.1 任务1：Cisco设备连接概述

1.2 任务2：通过Console口访问路由器设备

1.2.1 任务目标

1.2.2 施工设备

1.2.3 任务场景

1.3 任务3：通过Telnet访问路由器

1.3.1 任务目标

1.3.2 施工设备

1.3.3 任务场景

1.4 任务4：通过SDM访问路由器

1.4.1 任务目标

1.4.2 施工设备

1.4.3 任务场景

项目拓展

项目小结

思考题

项目2　Cisco IOS的用户配置

2.1 任务1：Cisco IOS 技术概述

2.1.1 硬件组成

2.1.2 IOS简介

2.1.3 命令状态

2.1.4 常用命令

2.2 任务2：熟悉路由器和交换机的基本配置

2.2.1 任务目标

2.2.2 施工设备

2.2.3 任务场景

2.2.4 路由器和交换机的默认初始配置

项目拓展

项目小结

思考题

项目3　交换机的基本配置

3.1 任务1：交换原理及相关技术

3.1.1 交换机工作原理

3.1.2 CDP协议概述和配置

3.2 任务2：Cisco 2950交换机接口基本配置

3.2.1 任务目标

3.2.2 施工设备

3.2.3 任务场景

3.3 任务3: CDP协议概述和配置

3.3.1 任务目标

3.3.2 施工设备

3.3.3 任务场景

项目拓展

项目小结

思考题

项目4　构建虚拟局域网

4.1 任务1：认识虚拟局域网

4.1.1 VLAN概述

4.1.2 虚拟局域网配置的相关技术

4.2 任务2：划分VLAN

4.2.1 任务目标

4.2.2 施工设备

4.2.3 任务场景

4.3 任务3：配置trunk

4.3.1 任务目标

4.3.2 施工设备

4.3.3 任务场景

4.4 任务4：配置VTP

4.4.1 任务目标

4.4.2 施工设备

4.4.3 任务场景

4.5 任务5：配置EtherChannel

4.5.1 任务目标

4.5.2 施工设备

4.5.3 任务场景

项目拓展

项目小结

思考题

项目5　生成树配置

5.1 任务1：生成树概述

5.2 任务2：配置生成树

5.2.1 任务目标

5.2.2 施工设备

5.2.3 任务场景

5.3 任务3：VLAN生成树综合应用实验项目

5.3.1 任务目标

5.3.2 施工设备

5.3.3 任务场景

项目拓展

项目小结

思考题

项目6　静态路由和动态路由的配置

6.1 任务1：静态路由和动态路由技术概述

6.1.1 静态路由

6.1.2 动态路由

6.2 任务2：静态路由和默认路由

6.2.1 任务目标

6.2.2 施工设备

6.2.3 任务场景

6.3 任务3：RIP基本配置

6.3.1 任务目标

6.3.2 施工设备

6.3.3 任务场景

6.4 任务4：IGRP配置

6.4.1 任务目标

6.4.2 施工设备

6.4.3 任务场景

项目拓展

项目小结

思考题

项目7　配置EIGRP协议

7.1 任务1：EIGRP概述

7.1.1 EIGRP路由协议简介

7.1.2 EIGRP路由协议的数据库

7.1.3 EIGRP数据包

7.2 任务2：EIGRP的基本配置

7.2.1 任务目标

7.2.2 施工设备

7.2.3 任务场景

7.3 任务3：EIGRP默认网络

7.3.1 任务目标

7.3.2 施工设备

7.3.3 任务场景

7.4 任务4：EIGRP的汇总

7.4.1 任务目标

7.4.2 施工设备

7.4.3 任务场景

项目拓展

项目小结

思考题

项目8　OSPF协议的配置

8.1 任务1：OSPF技术概述

8.2 任务2：OSPF单区域配置

8.2.1 任务目标

8.2.2 施工设备

8.2.3 任务场景

项目拓展

项目小结

思考题

项目9　帧中继和DHCP的配置

9.1 任务1：帧中继概述

9.2 任务2：配置帧中继网络

9.2.1 任务目标

9.2.2 施工设备

9.2.3 任务场景

项目拓展

项目小结

思考题

项目10　多层交换技术

10.1 任务1：多层交换概述

10.2 任务2：Cisco 3550配置基础

10.2.1 任务目标

10.2.2 施工设备

10.2.3 任务场景

10.3 任务3：Cisco 3550 VLAN间转发

10.3.1 任务目标

10.3.2 施工设备

10.3.3 任务场景

项目拓展

项目小结

思考题

项目11 访问控制列表和NAT配置

11.1 任务1：访问控制列表和NAT概述

11.2 任务2：访问控制列表配置

11.2.1 任务目标

11.2.2 施工设备

11.2.3 任务场景

11.3 任务3：NAT配置

11.3.1 任务目标

11.3.2 施工设备

11.3.3 任务场景

项目拓展

项目小结

思考题

项目12　IPv6技术和无线网络概述

12.1 任务1：概述

12.2 任务2：IPv6 RIPng

12.2.1 任务目标

12.2.2 施工设备

12.2.3 任务场景

12.3 任务3：Cisco无线AP配置

12.3.1 任务目标

12.3.2 施工设备

12.3.3 任务场景

项目拓展

项目小结

思考题

项目13　综合实训项目

13.1 任务1：方案设计要求和原则

13.2 任务2：单核心网络

13.3 任务3：双核心网络

项目拓展

项目小结

思考题

版权

21世纪高等职业教育信息技术类规划教材

交换机/路由器配置与管理

桑世庆　卢晓慧　主编

刘世泰　审

人民邮电出版社

北京

前言

计算机网络是现代信息社会的基础，而路由和交换设备又是计由器的配置与管理日渐成为重要的技能，为各用人单位所重视。

高等职业教育是以培养学生的能力为主线，以培养学生的职业能力为目标，要求高职学生在了解必备的理论基础知识的基础上，具备较强的实际应用和操作能力。基于此，本教材以项目应用为主线，帮助学生了解网络设备的特性，学会安装、调试、管理及使用方法，掌握网络互连技巧，重点培养学生的实际动手能力，为学生提供较为详尽的任务指导，培养适应社会需要，能构建、维护和管理网络设备的网络能力人才。在编写过程中，力求做到网络理论以够用为原则，重点突出实践操作，突出先进性和实用性。

本书的特点主要体现在以下两方面。

1．信息丰富，内容翔实，重点突出。本书在内容上涉及网络技术的各个方面，但重点是研究路由和交换技术。全书配置了大量的实例和方案拓扑，为了帮助读者理解，还包含了对一些“要点”的特别注释和“提示”，以帮助读者弄清各种容易混淆的概念。在各项目最后备有项目拓展，以帮助有兴趣的学生进一步研究。

2．所有章节以项目式教学方式展开。每个项目通过实际的项目背景引入操作任务，每个任务都完成一个小的独立功能。3 个部分（交换部分总结案例、路由部分总结案例、综合实训项目）都有总结项目，所以本教程特别适合高职院校开展的项目式教学方式。

本书由嘉兴职业技术学院桑世庆、卢晓慧任主编。全书共13个项目，其中项目1由陈忆昆编项目2由黄雪峰编写，项目3由杭州职业技术学院申毅编写，项目4～项目8由桑世庆编写， 9～项目13由卢晓慧编写。中国民航信息网络股份有限公司的刘世泰工程师审阅书稿并提出多宝贵的修改意见，我们在此表示诚挚的谢意！

限于作者水平，书中难免存在错误和不妥之处，敬请广大读者批评指正，并发 E-mail 至SSQ440@126.com与作者联系。

作者

2009年10月

项目1　访问交换机与路由器设备

随着城域网网络技术的飞速发展，教育网的业务也进一步向公众扩展，“校校通”工程已经成为今后中小学教育信息化建设的重点。某网络有限公司作为专业的网络产品及系统集成商，在多年的城域网建设经验中，提出了可管理与可增值的校校通网络解决方案，经过多方努力，此方案最终中标。现由公司派出两名工程人员对某小学进行施工。现对设备进行调试，具体目的如下。

（1）确定设备经过长途运输后，是否完好。

（2）对设备进行登录调试，测试设备是否正常，IOS的版本是否满足方案要求。

（3）对设备进行初始化配置。

该网络的拓扑如图1-1所示。

图1-1 网络拓扑

本项目首先简要介绍如何通过Console 口或者Telnet从计算机上访问路由器和交换机，并对它们进行调试和配置。

1.1 任务1：Cisco设备连接概述

Cisco 路由器和交换机的连接方式基本相似，路由器和交换机没有键盘和鼠标，需要借助计算机进行配置。这里以路由器为例进行介绍。首先按照指定的方式完成物理连接，这是连接访问的物理基础。其次对Cisco路由器进行配置、验证及统计数据审核的权限。Cisco路由器有多种不同的访问方式，通常，首选方式是通过Console口进行连接访问。Console口一般是一个RJ-45的连接器（8针的模块），它位于路由器的背面。在默认情况下，连接到这个端口时不需要输入密码。而Cisco路由器在默认情况下使用cisco作为用户名和密码。

计算机的串口和路由器的Console口是通过反转线（rollover cable）进行连接的，反转线的一端接在路由器的Console口上，另一端接到一个RJ-45/DB-9适配器上，DB-9则接到计算机的串口上，如图1-2所示。所谓的反转线就是线两端的RJ-45接头上的线序是反的，如图1-3所示。计算机和路由器连接好后，可以使用各种各样的终端软件配置路由器。

图1-2 计算机和路由器通过反转线进行连接

也能通过Aux端口连接到Cisco路由器上，由于Aux端口与 Console 口基本上是一样的，因此，你可以像使用Console口一样使用它，如图1-4所示。但是，在可以使用Aux 端口前，你需要配置好相关的 Modem 命令，这样， Modem才可以同此路由器相互通信。这是一个非常好的功能，假如有一台路由器出了问题，而你又需要去配置它，这个功能允许你通过连接到它的Aux端口，远程拨号到这个路由器上。

第3种方式是通过应用程序Telnet来连接并配置路由器。Telnet是一个仿真终端程序，它运行起来就像一个哑终端。这样，你可以使用Telnet连接到路由器上的任何一个活动接口上，如以太网或串行端口。

图1-3 反转线的线序

图1-4 Cisco 2610路由器

这里介绍的是Cisco 2800系列的路由器（见图1-5）。这类路由器是Cisco 2600系列路由器的替代产品，它们被称为综合服务路由器（ISR）。之所以将它们称为综合服务路由器，是因为它们能提供众多的服务，如内置的安全服务。同2600系列的路由器一样，它也是一种标准组件化的设备，但它运行速度更快，性能更为优良，良好的设计也为它提供了更为多样化的网络连接能力。

图1-5 Cisco 2800系列路由器

1.2 任务2：通过Console口访问路由器设备

1.2.1 任务目标

通过本实验的学习，读者可以掌握以下技能。

● 通过Console电缆实现路由器与PC的连接。

● 正确配置PC仿真终端程序的串口参数。

● 熟悉Cisco路由器的开机自检过程和输出界面。

● 对实验中一般性问题的处理。

1.2.2 施工设备

本实验需要以下设备。

● Cisco 2821路由器1台。

● PC 1 台，装有超级终端软件或其他终端仿真软件的操作系统，可为 Windows98/NT/2000/XP。

● Console电缆1条，并配有适合于PC串口的接口转换器。

1.2.3 任务场景

本任务通过Console口访问Cisco路由器。连接示意图如图1-6所示。用反转线连接路由器到PC的COM 1口，进行路由设备的测试，查看路由器的版本是否符合工程要求，具体步骤如下。

（1）如图1-6所示，连接好计算机COM 1口和路由器的Console口，路由器开机。

图1-6 Console电缆连接图

（2）打开超级终端。

在Windows 中的【开始】→【程序】→【附件】→【通信】菜单下打开“超级终端”程序，出现图1-7所示的窗口。在“名称”对话框中输入名称，例如“Router”；单击【确定】按钮。出现图1-8所示的窗口时，在“连接时使用”下拉菜单中选择“COM 1”，单击【确定】按钮。

图1-7 超级终端窗口

（3）设置通信参数。

通常在路由器出厂时，传输速率为9600bit/s，因此在图1-9所示的窗口中，单击【还原为默认值】按钮，设置超级终端的通信参数；再单击【确定】按钮。按【回车】键，看看超级终端窗口上是否出现路由器提示符或其他字符，如果出现提示符或者其他字符，则说明计算机已经连接到路由器，下面可以开始配置路由器了。

图1-8 选择COM 1口

图1-9 设置通信参数

（4）路由器开机。

关闭路由器电源，稍后重新打开电源，观察路由器的开机过程，如下所示。

System Bootstrap, Version 12.4(1r) [hqluong 1r], RELEASE SOFTWARE (fc1)

//以上显示BOOT ROM 的版本

Copyright (c) 2005 by CISCO Systems, Inc.

Initializing memory for ECC

c2821 processor with 262144 Kbytes of main memory

Main memory is configured to 64 bit mode with ECC enabled

//以上显示路由器的内存大小

Readonly ROMMON initialized

program load complete, entry point: 0x8000f000, size: 0x274bf4c

Self decompressing the image :

###########################################################################

################################################################################## ###################################################################################### ###################################################################################### ###################################################################################### ###################################### [OK]

//以上是IOS 解压过程

Smart Init is enabled

smart init is sizing iomem

ID MEMORY_REQ TYPE

0003E8 0X003DA000 C2821 Mainboard

0X00264050 Onboard VPN

0X000021B8 Onboard USB

0X002C29F0 public buffer pools

0X00211000 public particle pools

TOTAL: 0X00B13BF8

（此处省略）

A summary of U.S. laws governing CISCO cryptographic products may be found at:

http://www.CISCO.com/wwl/export/crypto/tool/stqrg.html

If you require further assistance please contact us by sending email to

export@CISCO.com.

Installed image archive

CISCO 2821 (revision 49.46) with 249856K/12288K bytes of memory. //内存大小

Processor board ID FHK1039F21Q

2 Gigabit Ethernet interfaces //两个吉比特以太网接口

2 Low-speed serial(sync/async) interfaces //两个低速串行口（同步/异步）

1 Virtual Private Network (VPN) Module //一个VPN 网络模块

DRAM configuration is 64 bits wide with parity enabled.

239K bytes of non-volatile configuration memory. //NVRAM 的大小

62720K bytes of ATA CompactFlash (Read/Write) //FLASH 卡的大小

--- System Configuration Dialog ---

Continue with configuration dialog? [yes/no]:N

//是否进入配置对话模式？输入“N”结束该模式

以上内容中，阴影部分列出了 Cisco 路由器的硬件平台、IOS 版本、各种存储器（RAM、NVRAM、Flash）的容量，所具有的接口类型等重要信息。最后一行表明路由器的NVRAM内没有可用的配置文件，路由器让用户选择是否进入配置模式。

此时在超级终端中输入“N”，屏幕上出现一些状态信息后，出现“Router>”字样，表明路由器己启动正常，同时也确认了PC和路由器之间的连接是正常的。

1.3 任务3：通过Telnet访问路由器

1.3.1 任务目标

通过本实验，读者可以掌握如下技能。

● 配置路由器以太网接口的IP 地址，并打开接口。

● 配置路由器的enable 密码和vty 密码。

● Telnet 程序的使用。

1.3.2 施工设备

本实验需要以下设备。

● Cisco 2821路由器1台和Cisco 3550交换机1台。

● PC 1台，装有超级终端软件或其他终端仿真软件的操作系统，可为Windows 98/NT/2000/XP。

● Console电缆1根，RJ-45线缆若干。

1.3.3 任务场景

通过Console口对路由器进行基本配置，如IP地址、用户名和密码等。现在要求使用RJ-45线和学校购买的汇集层交换机进行连接。利用相同的方式对 Cisco3550 交换机进行初始化，并进行 IP 地址的配置。连接示意图如图 1-10所示。要通过Telnet访问路由器，需要先通过Console口对路由器进行基本配置。

图1-10 Console电缆连接图

1．基本配置

（1）配置路由器以太网接口的IP地址。

Router>enable //进入路由器的特权模式

Router#

Router#configure terminal //进入路由器的配置模式

Enter configuration commands, one per line. End with CNTL/Z.

Router (config)#

Router (config)#interface g0/0

Router (config-if)#

//进入路由器的以太网口g0/0 接口，其中，g表示GigabitEthernet，0/0表示是第0个插槽中的第0个接口

Router (config-if)#ip address 172.16.0.1 255.255.0.0

//配置接口的IP 地址

Router (config-if)#no shutdown

//打开接口，默认时路由器的所有接口都是关闭的，这一点和交换机有很大差别

Router (config-if)#end

//退出配置模式

（2）配置路由器的密码。

Router#conf terminal

Router(config)#line vty 0 4

//进入路由器的vty虚拟终端，“vty 0 4”表示vty 0 到vty 4，共5 个虚拟终端

Router(config-line)#password CISCO　//配置vty 的密码，即Telnet 密码

Router(config-line)#login

Router(config-line)#exit

Router(config)#enable password CISCO　//配置进入到路由器特权模式的密码

Router(config)#end

（3）通过Telnet访问路由器。

在计算机上配置网卡的IP 地址为172.16.0.100/255.255.0.0，并打开DOS 命令行窗口。

首先测试计算机和路由器的连通性，再进行Telnet远程登录，如下所示。

C:\>ping 172.16.0.1

Pinging 172.16.0.1 with 32 bytes of data:

Reply from 172.16.0.1: bytes=32 time<1ms TTL=255

Reply from 172.16.0.1: bytes=32 time<1ms TTL=255

Reply from 172.16.0.1: bytes=32 time<1ms TTL=255

Reply from 172.16.0.1: bytes=32 time<1ms TTL=255

Ping statistics for 172.16.0.1:

Packets: Sent = 4, Received = 4, Lost = 0 (0% lo

Approximate round trip times in milli-seconds:

Minimum = 0ms, Maximum = 0ms, Average = 0ms

//以上表明计算机能ping 通路由器

C:\>telnet 172.16.0.1 //Telnet 路由器以太网卡上的IP 地址

User Access Verification

Password:

Router>enable

Password:

Router#exit

//输入vty 的密码CISCO、输入enable 的密码CISCO，能正常进入路由器的特权模式

2．实验调试

如果无法从计算机上ping 通路由器，依照以下步骤进行调试。

（1）检查计算机、交换机、路由器之间的连接是否松动。

（2）检查连接线是否应该是直通线。

（3）检查计算机的网卡和IP 地址是否正常。

（4）检查路由器的以太网接口是否正常。

Router#show int g0/0

GigabitEthernet0/0 is up, line protocol is up

Hardware is MV96340 Ethernet, address is 0019.5535.b828 (bia 0019.5535.b828)

Internet address is 172.16.0.1/16

在上面的命令输出中，应该看到两个“up”，否则检查路由器和交换机之间的连接。

1.4 任务4：通过SDM访问路由器

1.4.1 任务目标

掌握如何通过SDM对路由器进行连接和管理。

1.4.2 施工设备

本实验需要以下设备。

● Cisco 2821路由器1台和Cisco 3550交换机1台。

● PC 1台，装有超级终端软件或其他终端仿真软件的操作系统，可为Windows 98/NT/2000/XP。

● Console电缆1根，RJ-45线若干。

1.4.3 任务场景

Cisco SDM 是为基于 Cisco IOS软件的路由器开发的一种Web设备管理工具。它能够通过智能向导简化路由器和安全配置，使用户在不需要了解命令行界面（CLI）的情况下就能快速容易地部署、配置和监控Cisco路由器。连接拓扑如图1-11所示。

（1）配置基本IP地址。

（2）在R1上进行设置，使其能够与SDM建立连接。

R1(config)#username stsd privilege 15 secret cisco

//创建15级用户

R1(config)#ip http server

//打开R1的http服务器

R1(config)#ip http authentication local

//将http认证设置为使用本地认证数据库

（3）通过SDM连接R1，完成如图1-12～图1-16所示的操作。

图1-11 SDM与路由器的连接

图1-12 在地址栏中输入R1的IP地址

图1-13 输入在R1中创建的15级的用户名与密码

图1-14 同意java安全警告

图1-15 再输入一次用户名和密码

图1-16 SDM界面

连接完成。现在就可以通过SDM对R1进行管理了，SDM的功能除了与设备型号相关之外，还与IOS的版本号有很大关系。

项目拓展

交换机是局域网中的主要设备，以上方案中主要是利用路由器进行网络设备测试，如果对方案中接入层的交换机 Cisco Catalyst 2950 系列智能交换机进行测试，那么应该如何操作呢？Catalyst 2950系列交换机是配置固定、可堆叠的独立设备系列，提供了线速快速以太网和吉比特以太网连接。它为中型网络和城域接入应用边缘提供了智能服务，也可以为局域网提供极佳的连接性能和管理功能。

请对交换机的初始化配置进行测试。

项目小结

本项目介绍了路由器和交换机的常用接口及其作用，以及通过连接计算机串口和路由器Console口来配置路由器的方式。也介绍了如何配置路由器以使用户能够通过Telnet和SDM配置路由器。

思考题

（1）如何将路由器的名字设置为ssq？

（2）Console口有什么作用？

（3）Console登录和Telnet登录有什么相同点和不同点？

（4）SDM和Telnet配置方式有什么区别？

（5）如何配置路由器以太网接口的IP地址？

项目2　Cisco IOS的用户配置

为了加快信息化建设，某集团将建设一个以集团办公自动化、电子商务、业务综合管理、多媒体视频会议、远程通信、信息发布及查询为核心，以现代网络技术为依托，技术先进、扩展性强的现代化计算机网络系统。该系统将集团的各个办公室、多媒体会议室、控制中心的PC、工作站、终端设备、控制系统用高速计算机网络连接起来，实现网络内外的互连互通。该网络系统是日后支持办公自动化、供应链管理以及各应用系统运行的基础设施，为了确保这些关键应用系统的安全和正常运行，系统必须具备如下的特性。

（1）采用先进的网络通信技术完成集团企业网的建设，实现各分公司的信息化。

（2）在整个企业集团内实现所有部门的办公自动化，提高工作效率和管理服务水平。

（3）在整个企业集团内实现资源共享、产品信息共享、实时新闻发布。

（4）在整个企业集团内实现财务电算化。

（5）在整个企业集团内实现集中式的供应链管理系统和客户服务关系管理系统。

该网络系统的拓扑如图2-1所示。

图2-1 网络拓扑

针对本项目，首先简要介绍设备的硬件组成，然后重点介绍路由器和交换机的 IOS。由于对路由器和交换机的配置实际上就是对IOS的配置，因此，只有熟悉了IOS中的大量命令后，才能使配置的网络设备发挥更大的效用。

2.1 任务1：Cisco IOS 技术概述

Cisco互联网络操作系统(IOS)是Cisco路由器和交换机的核心，是一个可以提供路由、交换、网络互连以及远程通信功能的专有内核。第一版IOS是由William Yeager在1986编写的，它推动了网络应用的发展。Cisco的IOS运行在绝大多数的Cisco路由器上，以及Cisco Catalyst交换机上，如Catalyst的2950/2960系列和Catalyst的3550/3560系列的交换机。

Cisco的IOS将负责完成一些重要的工作，如下所示。

● 加载网络协议和功能。

● 对产生高速流量的设备进行连接。

● 在控制访问中添加安全性，防止未授权的网络访问。

● 为简化网络的增长和冗余备份提供可扩展性。

● 可靠地连接网络资源。

上一项目中介绍的各种访问路由器的方法实际上是对IOS进行的访问。通常，将访问IOS命令行的操作称为EXEC会话。下面以路由器为例进行介绍。

2.1.1 硬件组成

路由器能起到隔离广播域的作用，还能在不同网络间转发数据包。路由器实际上是一台特殊用途的计算机，和常见的PC一样，路由器有CPU、内存、BOOT ROM，而没有键盘、硬盘、显示器；然而与计算机相比，路由器多了 NVRAM、FLASH 以及各种各样的接口。路由器各个部件的作用如下。

（1）CPU：中央处理单元，和计算机一样，它是路由器的控制和运算部件。

（2）RAM/DRAM：内存，用于存储临时的运算结果，如路由表、ARP 表、快速交换缓存、缓冲数据包、数据队列、当前配置。众所周知，RAM 中的数据在路由器断电后是会丢失的。

（3）FLASH：可擦除、可编程的ROM，用于存放路由器的IOS，FLASH 的可擦除特性允许更新、升级 IOS 时无须更换路由器内部的芯片。路由器断电后，FLASH 中的内容不会丢失。FLASH 容量较大时，就可以存放多个IOS 版本。

（4）NVRAM：非易失性RAM，用于存放路由器的配置文件。路由器断电后，NVRAM 中的内容不会丢失。

（5）ROM：只读存储器，存储了路由器的开机诊断程序、引导程序和特殊版本的 IOS 软件（用于诊断等有限用途），ROM中的软件升级时需要更换芯片。

（6）接口（Interface）：用于网络连接，路由器就是通过这些接口和不同的网络进行连接的。

路由器的硬件信息及其相关显示命令如图2-2所示。

图2-2 路由器的硬件信息及显示命令

2.1.2 IOS简介

路由器也有自己的操作系统，通常称为 IOS（Internet Operating System）。和计算机上的Windows操作系统一样，IOS 是路由器的灵魂，所有配置是通过IOS 完成的。Cisco 的IOS是命令行界面（Command Line Interface，CLI），CLI有以下两种基本工作模式。

（1）用户模式（User mode）：通常用来查看路由器的状态。在此状态下，无法对路由器进行配置，可以查看的路由器信息也是有限的。

（2）特权模式（Privilege mode）：可以更改路由器的配置，当然也可以查看路由器的所有信息。

CLI提供了简单、丰富的编辑功能。在CLI下，可以在路由器的各种模式间进行切换来对路由器进行配置。完成路由器的配置后，可以把配置保存在NVRAM 中，路由器开机时会自动读取。

Cisco 路由器开机后，首先执行一个开机自检过程（Power On Self Test，POST），诊断验证CPU、内存及各个端口是否正常，随后路由器进入软件初始化过程，如图2-3所示，其步骤如下。

图2-3 路由器启动过程示意图

（1）执行ROM 中的引导加载（Bootstrap Loader），它和计算机中的BIOS相似，会把IOS装到RAM中。

（2）IOS 可以存放在许多地方（FLASH、TFTP 服务器或ROM），路由器寻找IOS镜像的顺序，取决于配置寄存器的启动域以及其他的设置。配置寄存器（configuration register）是一个16 位（二进制）的寄存器，低4 位就是启动域，不同的值代表从不同的位置查找 IOS，如表 2-1所示。详细的IOS 查找过程如图2-4所示。

（3）加载IOS 到RAM中：如果IOS 是压缩过的，就先解压。

（4）在NVRAM 中查找配置文件，并把配置文件加载到RAM 中运行。

（5）如果在 NVRAM 中没有找到配置文件，就进入 setup 配置模式（也称为配置对话模式）。

表2-1 配置寄存器中启动域的值

图2-4 路由器查找IOS的详细流程

2.1.3 命令状态

1．router>

路由器处于用户命令状态，这时用户可以查看路由器的连接状态，访问其他网络和主机，但不能查看和更改路由器的配置信息。

2．router#

在router>提示符下键入enable，路由器进入特权命令状态router#，这时不但可以执行所有的用户命令，还可以查看和更改路由器的配置信息。

3．router(config)#

在router#提示符下键入configure terminal，出现提示符router(config)#，此时路由器处于全局设置状态，这时可以设置路由器的全局参数。

4．router(config-if)#;

路由器处于局部设置状态，这时可以设置路由器某个局部的参数。

类似的状态如 router(config-line)#;

router(config-router)#;

5．>提示符

路由器处于ROM Monitor 状态，在开机后60 秒内按Ctrl-Break组合键可进入此状态，这时路由器不能完成正常的功能，只能进行软件升级和手工引导。

6．设置对话状态

这是一台新路由器开机时自动进入的状态，在特权命令状态使用 SETUP 命令也可进入此状态，这时可通过对话方式对路由器进行设置。

2.1.4 常用命令

1．帮助

在IOS操作中，无论处于任何状态和位置，都可以输入“？”得到系统的帮助。

2．改变命令状态

表2-2 命令状态

3．显示命令

表2-3 显示命令

4．拷贝命令

用于IOS及配置的备份和升级。确认配置正确无误后将配置文件复制到NVRAM中去，其命令为copy running-config startup-config。如果想用NVRAM 中的配置覆盖DRAM 中的配置，可以使用命令copy startup-config running-config。

5．网络命令

表2-4 常用网络命令

在超级权限模式下。

（1）ping目的地址或输入ping后按下回车键，通过提示进行扩展的ping。通过ping可以检测下三层，即物理层、数据链路层、网络层是否工作正常。

（2）traceroute目的地址可以跟踪数据通过哪一条路径到达目的地。

（3）telnet目的地址可以检测应用层是否工作正常。

6．基本设置命令

表2-5 基本设置命令

续表

（1）全局设置模式。

全局设置下可以设置一些全局性的参数。要进入全局设置模式，必须首先进入特权模式，然后，在特权模式下输入configure terminal命令，然后按下回车键即进入全局设置模式。

其默认提示符如下所示。

Router (config)#

如果设置了路由器的名字，则其提示符为“路由器的名字(config)#”，这里先介绍几个配置命令。

● 配置路由器的名字。

hostname 路由器的名字

● 设置进入特权模式时的密码。

enable password 密码字符串或enable secret密码字符串

其中用enable password 设置的密码没有进行加密的，可以查看到密码字符串；用enable secret设置的密码是加密的，设置后无法查看到密码字符串。

注意

设置密码后，一定不要忘记。在某些情况下，如果忘记密码将无法进入特权模式。

（2）其他设置模式。

要进入其他设置模式，首先必须进入全局设置模式。下面介绍端口设置模式。在全局设置模式下按以下命令格式进行输入。

interface 端口号

● interface serial 号码//高速同步串口的号码由0开始。

● interface ethernet 号码//以太网端口的号码由0开始。

● line Console 0。

为安全起见，可以配置密码，配置如下。

line con 0

login

password 密码字符串

2.2 任务2：熟悉路由器和交换机的基本配置

2.2.1 任务目标

通过本实验的学习，读者可以掌握以下技能。

● 了解路由器的启动过程。

● 正确认识路由器的各种模式。

● 了解IOS的命令功能。

● 正设置用户名和密码。

2.2.2 施工设备

本实验需要以下设备。

● Cisco 2811路由器1台，IOS版本不限。

● PC 1台，装有超级终端软件或其他终端仿真软件的操作系统，可为Windows 98/NT/2000/XP。

● Console电缆1条，并配有适合于PC串口的接口转换器。

2.2.3 任务场景

本任务主要是对工程中的路由器进行配置。在上一个项目中了解路由器连接方法的基础上，现在来配置Cisco 2811路由器的各种操作模式，并在指定的模式下配置用户的登录方式、设置操作环境等。另外，本实验中的配置同样可以用于 Cisco 交换机。连接示意图如图2-5所示。

图2-5 Console连接示意图

1．登录模式

（1）路由器开机，用终端进行连接。并输入“n”取消配置对话，进入CLI配置模式。

System Bootstrap, Version 12.1(3r)T2, RELEASE SOFTWARE (fc1)

Copyright (c) 2000 by cisco Systems, Inc.

cisco 2811 (MPC860) processor (revision 0x200) with 60416K/5120K bytes of memory

Self decompressing the image :

########################################################################## [OK]

Restricted Rights Legend

Use, duplication, or disclosure by the Government is

subject to restrictions as set forth in subparagraph

(c) of the Commercial Computer Software - Restricted

Rights clause at FAR sec. 52.227-19 and subparagraph

(c) (1) (ii) of the Rights in Technical Data and Computer

Software clause at DFARS sec. 252.227-7013.

cisco Systems, Inc.

170 West Tasman Drive

San Jose, California 95134-1706

Cisco IOS Software, 2800 Software (C2800NM-ADVIPSERVICESK9-M), Version 12.4(15)T1,RELEASE SOFTWARE (fc2)

Technical Support: http://www.cisco.com/techsupport

Copyright (c) 1986-2007 by Cisco Systems, Inc.

Compiled Wed 18-Jul-07 06:21 by pt_rel_team

Image text-base: 0x400A925C, data-base: 0x4372CE20

This product contains cryptographic features and is subject to United

States and local country laws governing import, export, transfer and

use. Delivery of Cisco cryptographic products does not imply

third-party authority to import, export, distribute or use

encryption.Importers, exporters, distributors and users are responsible for compliancewith U.S. and local country laws. By using this product you agree to comply with applicablelaws and egulations. If you are unable to comply with U.S. and local laws, return this productimmediately.

A summary of U.S. laws governing Cisco cryptographic products may be found at:

http://www.cisco.com/wwl/export/crypto/tool/stqrg.html

If you require further assistance please contact us by sending email to export@cisco.com.

cisco 2811 (MPC860) processor (revision 0x200) with 60416K/5120K bytes of memoryProcessor board ID JAD05190MTZ (4292891495)

M860 processor: part number 0, mask 49

2 FastEthernet/IEEE 802.3 interface(s)

239K bytes of non-volatile configuration memory.

62720K bytes of ATA CompactFlash (Read/Write)

Cisco IOS Software, 2800 Software (C2800NM-ADVIPSERVICESK9-M), Version 12.4(15)T1,RELEASE SOFTWARE (fc2)

Technical Support: http://www.cisco.com/techsupport

Copyright (c) 1986-2007 by Cisco Systems, Inc.

Compiled Wed 18-Jul-07 06:21 by pt_rel_team

--- System Configuration Dialog ---

Continue with configuration dialog? [yes/no]: n

Press RETURN to get started!

Router> //用户模式

Router>enable //在用户模式输入enable 进入特权模式（也叫enable 模式）

Router#disable //在特权模式输入disable 退出到用户模式

Router>enable //在用户模式输入enable 进入特权模式

Router#configure terminal //在特权模式输入configure terminal 进入到全局配置模式

（3）在各种接口之间切换，vty（虚拟终端连接）在前面已介绍，在这里不再说明。

Router(config)#interface ethernet 0/0 //在配置模式输入“interface+接口类型+接口编号”进入接口模式

Router(config-if)#exit //输入exit 退出接口模式

Router(config)#router rip //输入“router + 路由协议”进入router 模式

Router(config-router)#exit //退出router 模式

Router(config)#line Console 0 //进入line 模式

Router(config-line)#end //从line 模式退出（任何时候输入end 会退出到特权模式）

Router#conf t

Router(config)#interface ethernet 0/0.1 //进入子接口模式

Router(config-subif)#end //任何时候输入end 会退出到特权模式

2．环境参数设置

（1）在登录设备前进行必要的配置。启动路由器，进入用户状态，进行如下配置。

Router>enable

Router#configure terminal

Router(config)#no ip domain lookup //关闭动态的域名解析

Router(config)#line Console 0

Router(config-line)#exec-timeout 0 0 //关闭控置台的会话超时，以保证不会被踢出去

Router(config-line)#logging synchronous //关闭日志同步，阻止控置台的一些提示信息

Router(config-line)#exit

Router(config)#

注意

上面的功能可以不关闭，但这样可能影响到设备的速度，因此，建议关闭。

（2）进行环境设置。主要设置路由器的标识和登录模式显示的信息，这样可以提示用户的权限和区别设备。

Router(config)#hostname R1 //修改路由器的标识

R1(config)#banner motd #

This is Cisco Router 2811. //配置日期信息标志区(MOTD)，登录到路由器时显示

R1(config)#

R1(config)#banner exec# //配置执行标志区，如Telnet到路由器时显示的欢迎信息

Telnet to Router 2811!

#

R1(config)#end

R1#clock set 15:05:33 25 February 2006 //配置时钟

R1#

（3）查看设备的信息。

R1#show clock //查看配置的时钟

*15:8:53.547 UTC ??? ?? 25 2006

R1#sh version //显示路由器的版本信息

Cisco IOS Software, 2800 Software (C2800NM-ADVIPSERVICESK9-M), Version 12.4(15)T1, RELEASE SOFTWARE (fc2)

Technical Support: http://www.cisco.com/techsupport

Copyright (c) 1986-2007 by Cisco Systems, Inc.

Compiled Wed 18-Jul-07 06:21 by pt_rel_team

ROM: System Bootstrap, Version 12.1(3r)T2, RELEASE SOFTWARE (fc1)

Copyright (c) 2000 by cisco Systems, Inc.

System returned to ROM by power-on

System image file is "c2800nm-advipservicesk9-mz.124-15.T1.bin"

……

R1#sh startup-config //显示下次路由器重新加载时将要使用的配置

Using 380 bytes

!

version 12.4

no service password-encryption

!

hostname Router

!

ip ssh version 1

!

interface FastEthernet0/0

no ip address

duplex auto

speed auto

shutdown

!

……

可以通过表2-3中的命令来查看信息，由于IOS版本和设备型号的差异，show后面所跟的参数将会有所不同，这在后面的实验中可以看出。

3．密码配置

（1）在 Cisco 设备中，密码主要分为明文和密文，password 主要是定义明文；secret 用来定义密文。密文的权限更高，也就是说，如果既定义了明文又定义了密文，则密文优先。下面来定义各种登录密码。

R1#conf t

R1(config)#enable password tree //配置进入特权模式的密码、明文

R1(config)#enable secret tree1 //功能同上

R1(config)#line con 0

R1(config-line)#password tree //设置登录到路由器的密码，使其出现在进用户模式之前

R1(config-line)#login //启用登录

R1(config-line)#line vty 0 4 //为Telnet 访问路由器设置5条线路0～4

R1(config-line)#pass tree //设置Telnet 到路由器的密码，如果不设置，则Telnet服务将无法启用

R1(config-line)#login

R1(config-line)#end

R1#

R1#sh run

Building configuration...

Current configuration : 487 bytes

!

version 12.4

no service password-encryption

!

hostname Router

!

enable secret 5 $1$mERr$zOwfncqfmuy79e2Dwc6SI.

enable password cisco

......

banner motd ^Csfdsafda^C

line con 0

password tree

login

line vty 0 4

password tree

login

!

end

Router#

（2）从上一步可以看出，在显示配置时可以看到明文密码，这是不安全的。为此，Cisco 提供了加密明文的命令。

R1#conf t

R1(config)#service password-encryption //加密明文密码

R1(config)# Ctrl+Z //end、exit、Ctrl+Z 为3种退出命令

R1#sh run //显示结果，明文密码以被加密

Building configuration...

Current configuration : 508 bytes

!

version 12.4

service password-encryption

!

hostname Router

!

!

enable secret 5 $1$mERr$zOwfncqfmuy79e2Dwc6SI.

enable password 7 0822455D0A16

......

motd ^Csfdsafda^C

line con 0

password 7 08355E4B

login

line vty 0 4

password 7 08355E4B0C

login

!

end

Router#

从上面两步可以看出配置的区别。

（3）验证密码设置。通常情况用logout，也可使用exit。操作如图2-6所示。

图2-6 验证密码设置

（4）取消密码的设置。在原命令前加一个no关键词，可以取消密码的设置，如图2-7所示。

R1#conf t

R1(config)#no enable password

R1(config)#no en secret

R1(config)#line con 0

R1(config-line)#no pass

R1(config-line)#no login

R1(config-line)#line vty 0 4

R1(config-line)#no pass

R1(config-line)#no log

R1(config-line)#end

R1#erase startup-config //删除启动配置文件。

R1#reload //重启路由器。

图2-7 验证密码的取消

2.2.4 路由器和交换机的默认初始配置

本小节主要通过讲解按向导配置路由器由的具体操作来使读者明确各初始配置选项的意义。在对路由器进行初始配置时，进入方式选择YES即可按向导来配置路由器。

（1）将Console线的一端连在Cisco路由器的Console口，一端连在计算机的COM口。

（2）在计算机上启动超级终端，为连接取个名字，比如 CISCO_SETUP，下一步在【连接时使用】下拉列表中选择COM1，然后在下一步设定【每秒位数】为9600，【数据位】为8，【奇偶校验】为“无”，【停止位】为1，【数据流控制】为“无”，最后单击【确定】按钮。

（3）打开路由器电源，这时超级终端将出现以下画面。

System Bootstrap, Version 11.1(20)AA2, EARLY DEPLOYMENT RELEASE SOFTWARE (fc1)

Copyright (c) 1999 by cisco Systems, Inc.C2800 processor with 32768 Kbytes of main memory Main memory is configured to 64 bit mode with parity disabled

program load complete, entry point: 0x80008000, size: 0x4ed478 Self decompressing the image :

################################################################

################################################################

################################################################

################################################################

################################################################################## ##############################################

[OK]

Restricted Rights Legend

Use, duplication, or disclosure by the Government is

subject to restrictions as set forth in subparagraph

(c) of the Commercial Computer Software - Restricted

Rights clause at FAR sec. 52.227-19 and subparagraph

(c) (1) (ii) of the Rights in Technical Data and Computer

Software clause at DFARS sec. 252.227-7013.

cisco Systems, Inc.

170 West Tasman Drive

San Jose, California 95134-1706

Cisco Internetwork Operating System Software

IOS (tm) 2800 Software (C2811-I-M), Version 12.1(2)T, RELEASE SOFTWARE (fc1)

Copyright (c) 1986-2000 by cisco Systems, Inc.

Compiled Tue 16-May-00 12:26 by ccai

Image text-base: 0x600088F0, data-base: 0x60924000

cisco 2811 (R4700) processor (revision 0x00) with 24576K/8192K bytes of memory.

Processor board ID 25125768

R4700 CPU at 100Mhz, Implementation 33, Rev 1.0

Bridging software.

X.25 software, Version 3.0.0.

2 FastEthernet/IEEE 802.3 interface(s)

1 Serial network interface(s)

DRAM configuration is 64 bits wide with parity disabled.

125K bytes of non-volatile configuration memory.

8192K bytes of processor board System flash (Read/Write)

--- System Configuration Dialog ---

Would you like to enter the initial configuration dialog? [yes/no]: y

//是否进入初始化配置对话？选Y

At any point you may enter a question mark '?' for help. Use ctrl-c to abort configuration dialog at any prompt. Default settings are in square brackets '[]'.Basic management setup configures only enough connectivity for management of the system, extended setup will ask you to configure each interface on the system

//在任何地方都可以输入“？”来得到系统的帮助。按 ctrl-c 组合键可以退出设置过程。默认设置将显示在‘[]’中。

Would you like to enter basic management setup? [yes/no]: n

是否进入基本配置安装？选N

First, would you like to see the current interface summary? [yes]: y

//首先,是否看一下当前接口状态？

Any interface listed with OK? values "NO" does not have a valid configuration

Interface IP-Address OK? Method Status Protocol

FastEthernet0/0unassigned NO unset up down

Serial0/0 unassigned NO unset down down

FastEthernet0/1unassigned NO unset up down

Configuring global parameters:

Enter host name [Router]:RouterA

//输入路由器的名字

The enable secret is a password used to protect access to privileged EXEC and

configuration modes. This password, after entered, becomes encrypted in theconfiguration.

Enter enable secret: aaa

//输入密文密码

The enable password is used when you do not specify an enable secret password, with some older software versions, and some boot images.

Enter enable password: bbb

//输入明文密码(不能和密文相同)

The virtual terminal password is used to protect access to the router over a networkinterface.

Enter virtual terminal password: ccc

//输入虚拟终端的密码(以备远程登录)

Configure SNMP Network Management? [yes]: n

//配置SNMP网络管理吗?选N

Configure IP? [yes]: y

//配置IP吗?选Y

Configure IGRP routing? [yes]: n

//配置IGRP路由协议吗?选N

Configure RIP routing? [no]: n

配置RIP路由协议吗?选N

Configure bridging? [no]: n //配置桥接吗?选N

Async lines accept incoming modems calls. If you will have users dialing in via modems, configure these lines.

Configure Async lines? [yes]: n

//配置异步线路吗?选N

Configuring interface parameters:

Do you want to configure FastEthernet0/0 interface? [yes]: y

//是否想配置FastEthernet0/0接口?选Y

Use the 100 Base-TX (RJ-45) connector? [yes]: y

//用RJ-45连接器吗?选Y

Operate in full-duplex mode? [no]: y

//选用全双工模式?选Y

Configure IP on this interface? [yes]: y

//在这个接口上配置IP吗?选Y

IP address for this interface: 192.168.0.1

//配置该接口的IP地址

Subnet mask for this interface [255.255.255.0] : 255.255.255.0

//配置该接口的子网掩码(默认为255.255.255.0,可以手工输入修改)

Class C network is 192.168.0.0, 24 subnet bits; mask is /24

Do you want to configure Serial0/0 interface? [yes]: y

//您想配置Serial0/0接口吗?选Y

Some supported encapsulations are

ppp/hdlc/frame-relay/lapb/x25/atm-dxi/smds

Choose encapsulation type [hdlc]:

//选择封装方式(默认的封装方式是HDLC)

No serial cable seen.

Choose mode from (dce/dte) [dte]:

//因为没有连串口线，所以会让您选择设备类型

Configure IP on this interface? [yes]: y

//在接口上配置IP

Configure IP unnumbered on this interface? [no]:

IP address for this interface: 172.16.0.5

//配置该接口的IP地址

Subnet mask for this interface [255.255.0.0] : 255.255.255.252

//配置该接口的子网掩码(默认为255.255.0.0,可以手工输入修改为255.255.255.252)

Class B network is 172.16.0.0, 30 subnet bits; mask is /30

//以下配置同上

Do you want to configure FastEthernet0/1 interface? [yes]:

Use the 100 Base-TX (RJ-45) connector? [yes]:

Operate in full-duplex mode? [no]: y

Configure IP on this interface? [yes]: y

IP address for this interface: 172.16.0.9

Subnet mask for this interface [255.255.0.0] : 255.255.255.252 Class B network is 172.16.0.0, 30 subnet bits; mask is /30

The following configuration command script was created:

//把您的配置显示出来

hostname aaa

enable secret 5 $1$ul/V$ezbZFgvzGHD.YPSieC0Ew/

enable password RouterA

line vty 0 4

password ccc

no snmp-server

!

ip routing

no bridge 1

!

interface FastEthernet0/0

media-type 100BaseX

full-duplex

ip address 192.168.0.1 255.255.255.0

!

interface Serial0/0

encapsulation hdlc

ip address 172.16.0.5 255.255.255.252

!

interface FastEthernet0/1

media-type 100BaseX

full-duplex

ip address 172.16.0.9 255.255.255.252

dialer-list 1 protocol ip permit

dialer-list 1 protocol ipx permit

!

end

//以下提示您是否保存这次设置

[1] Return back to the setup without saving this config.

[2] Save this configuration to nvram and exit.

Enter your selection [2]: 2

//选择2保存设置，并存入NVRAM中

Building configuration...

[OK] Use the enabled mode 'configure' command to modify this configuration.

Press RETURN to get started!

//路由器重新启动

00:00:08: %LINK-3-UPDOWN: Interface Serial0/0, changed state to down

00:00:08: %LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to up

00:00:08: %LINK-3-UPDOWN: Interface FastEthernet0/1, changed state to up

00:00:09: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0, changed state todown

00:03:18: %IP-5-WEBINST_KILL: Terminating DNS process

00:03:24: %SYS-5-RESTART: System restarted --

Cisco Internetwork Operating System Software

IOS (tm) 3600 Software (C3640-I-M), Version 12.1(2)T, RELEASE SOFTWARE (fc1)

Copyright (c) 1986-2000 by cisco Systems, Inc.

Compiled Tue 16-May-00 12:26 by ccai

RouterA>//　进入用户模式

利用配置对话过程可以避免手工输入命令的麻烦，但它还不能完全代替手工设置，一些特殊的设置还必须通过手工输入的方式完成。

项目拓展

如果您是网络管理员，同时管理几十台甚至上百台不同型号的路由器、交换机等网络设备，那么，在定期配置备份、更改密码、进行网络调整时感到很费力吧！

以上配置主要以本方案中的路由器为例对网络设备进行初始化配置。在这个工程中，有多台网络设备如Cisco 3550 和Cisco 2950 交换机，是否有更方便的批处理配置方式对它们进行配置呢？

请考虑批量配置的方式以及具体的实施步骤。

项目小结

本项目给出了一直贯穿项目始终的案例，介绍了路由器的硬件组成，以及CLI的几种模式和各种编辑命令。IOS 具有大量命令，本项目主要介绍路由器的基本初始化命令。本项目还介绍了路由器配置文件的保存、备份，以及用户名和密码的配置。只有熟悉了IOS中的命令后，才能更好地发挥路由器和交换机的效用。

思考题

（1）什么是全局设置模式？

（2）Cisco 路由器开机后的启动过程是怎么样的？

（3）NVRAM有什么作用？

（4）如何正确设置终端登录的用户名和密码？

（5）如何保存配置信息？

项目3　交换机的基本配置

某大学是一所极具现代意识，以现代化教学为特色的民办学校。为了更好地使用计算机这一现代化的高科技产物，使其在教学、管理等方面发挥应有的作用，学校计划在校内建立校园网并与Internet相连。

根据学校的要求，按照“统一规划、分布实施、讲究实效、安全可靠”的原则，进行大学校园网综合系统设计。

学校校园网建成后，将发挥以下作用。

（1）为全校教师、科研人员、管理人员、学生提供一个先进的计算机网络环境，并将计算机引入教学、科研、管理和学习等各个领域。

（2）改善学校教学科研、管理和学习环境。

（3）校园网建成后带来的工作环境和教学、科研、管理、学习等方面的提升，有利于培养面向世界、面向未来的高层次人才。

学校校园网的网络拓扑如图3-1所示。

交换机是局域网中最重要的设备，它是基于MAC地址来工作的。本项目将介绍Cisco2950二层交换机的一些基本配置，以及交换机端口安全的设置方法。

3.1 任务1：交换原理及相关技术

3.1.1 交换机工作原理

交换机是第2层网络设备，主要用做工作站、服务器、路由器、集线器和其他交换机的集中点。与交换机一样，集线器是早期的集中设备，提供多端口的连接。集线器比交换机的功能要差一些，主要是因为连接在集线器上的所有网络设备处于同一个网络域，会引起冲突。另外，集线器工作在半双工的模式下，也就是说在一个特定的时刻只能发送或者接收数据。交换机是一台多端口的网桥，在当前以太局域网中得到了广泛应用。交换机为所连接的两台连网设备提供一条独享的点到点的虚线路，即我们所说的微分段技术，因此避免了冲突。交换机可以工作在全双工模式下，即可以同时发送和接收数据。

图3-1 网络拓扑

交换机基于收到的数据帧中的源MAC 地址和目的MAC 地址来进行工作。交换机的作用主要有两个：一个作用是维护CAM（Context Address Memory）表，该表是MAC地址和交换机端口的映射表；另一个作用是根据CAM进行数据帧的转发。交换机对帧的处理有3种方式：交换机收到帧后，查询CAM 表，如果能查询到目的计算机所在的端口，并且目的计算机所在的端口不是交换机接收帧的源端口，交换机将把帧从这一端口转发出去（Forward）；如果该计算机所在的端口和交换机接收帧的源端口是同一端口，交换机将过滤掉该帧（Filter）；如果交换机不能查询到目的计算机所在的端口，交换机将把帧从源端口以外的其他所有端口上发送出去，这称为泛洪（Flood），当交换机接收到的是数据帧是广播帧或者多播帧时，交换机也会泛洪该数据帧。

交换机转发数据帧的方式有3种，如图3-2所示。

图3-2 交换机转发数据帧的方式

1．存储转发（Store and Forward）

存储转发方式是先存储后转发的方式。它把从端口输入的数据帧先全部接收并存储起来；然后进行CRC（循环冗余码校验）检查，把错误帧丢弃；最后才取出数据帧目的地址，查找地址表后进行过滤和转发。存储转发方式延迟大，但是它可以对进入交换机的数据帧进行高级别的错误检测。这种方式可以支持不同速度的端口间的转发。

2．直接转发（Cut Through）

交换机在输入端口检测到一个数据帧时，检查该帧的帧头，只要获取了该帧的目的地址，就开始转发帧。它的优点是开始转发前不需要读取整个完整的帧，因此延迟非常小。它的缺点是不能提供错误检测能力。

3．碎片隔离转发（Fragment-Free）

这是改进后的直接转发，是介于前两者之间的一种转发方法。碎片隔离方法在读取数据帧的前64字节后，就开始转发该帧。这种方式虽然也不提供数据校验，但是能够避免大多数的错误。它的数据处理速度比直接转发方式的慢，但比存储转发方式的快许多。

Cisco 交换机和路由器一样，本质上也是一台特殊的计算机，也有 CPU、RAM 等部件，也具有 IOS，所以交换机的很多基本配置（例如密码、主机名等）和路由器是类似的。

交换机的配置模式主要有以下几种，如图3-3所示。

图3-3 交换机的配置模式

3.1.2 CDP协议概述和配置

CDP（Cisco Discovery Protocol，Cisco 发现协议）是工作在数据链路层上的协议，是 Cisco专有的协议，用于发现和查看相邻Cisco设备的简单配置信息。CDP不需要IP或其他第3层协议的启动即可工作，记住这一点非常重要。

CDP有两个定时器，即更新时间定时器和保持时间定时器，默认情况下前者为60s，后者为180s。Cisco设备每隔60s从启用了CDP的接口向外发送一个CDP信息，相邻的Cisco设备接收到此信息后，更新自己的CDP邻居表；在Cisco设备的CDP邻居表中，刚刚收到CDP更新信息的条目的保持时间定时器置为 180s，同时开始倒计时，当从 180s 到 0s 的倒计时过程中没有收到此条目相对应的设备发来的更新信息，系统会将这一设备条目从CDP邻居表中删除。

通常用以下命令来执行、监控、维护CDP信息。

1．cdp run命令

这个命令是用来在全局模式下开启CDP。在默认情况下，CDP在全局模式下是开启的，可以通过使用no cdp run 命令关闭CDP。这样做的好处是CDP 不会定期发送CDP 消息，从而节省了带宽。

2．cdp enable命令

这个命令需要在端口模式下配置。它在一个特定的端口开启CDP。在默认情况下，CDP支持所有的端口发送和接收 CDP 消息，但是在某些端口上（如异步端口），CDP 是关闭的。可以通过使用no cdp enable在某个端口关闭CDP消息更新。

提示

如果在全局模式下用no cdp run命令关闭了CDP，则网络端口就不能开启CDP。

3．clear cdp counters命令

这个命令用来重置CDP流量计数器。当使用这个命令后，再用show cdp traffic命令时，就会看到所有的进出CDP数据包等信息都被清空了。

4．show cdp命令

这个命令的功能是显示发送 CDP消息的间隔时间。还可以通过这个命令查看 CDP的版本信息。

5．show cdp entry {*|device-name[*][protocol | version]}命令

可以用show cdp entry命令查看特定邻居设备的信息。通过这个命令，可以查看特定邻居的IP地址、硬件平台、相连接的端口、IOS版本信息。

6．show cdp interface [type number]命令

如果想查看CDP在特定端口是开启的还是关闭的，可以使用show cdp interface命令。这个命令也可以显示CDP的消息更新时间等内容。

7．show cdp neighbors [type number] [detail]命令

用show cdp neighbors命令可以获得相连接的CDP邻居的平台、设备类型和相连接的端口等信息。

3.2 任务2：Cisco 2950交换机接口基本配置

3.2.1 任务目标

通过对本实验的学习，读者可以掌握以下技能。

● 了解交换机的背景及工作原理。

● 以Cisco 2950为例，熟悉配置交换机的常用IOS命令。

3.2.2 施工设备

本实验需要以下设备。

● Cisco 2950交换机1台，IOS版本12.3以上。

● PC 1台和Console电缆1条。

3.2.3 任务场景

随着网络流量的增加，主干网上1000Mbit/s交换机的带宽压力不断增加。这时可以采用Cisco3750交换机特有的冗余连接特性，增加一台1000Mbit/s交换机，并在这两个1000Mbit/s交换机之间建立多条连接。这样不仅提供了更大的带宽（最高可达 32Gbit/s），同时又增强了主干网段的连接刚性，还增加了更多的1000Mbit/s交换端口，为以后增加更多的服务设备提供了良好的扩展性。这里主要以接入层交换机Cisco 2950为例进行配置，连接示意图如图3-4所示。

图3-4 交换机实验连接示意图

1．基本接口配置

（1）配置主机名。

Switch>enable

Switch#conf terminal

Enter configuration commands, one per line. End with CNTL/Z.

Switch(config)#hostname S1

（2）配置密码。

S1(config)#enable secret cisco

S1(config)#line vty 0 15

S1(config-line)#password cisco

S1(config-line)#login

（3）接口基本配置。

默认情况下，交换机的以太网接口是开启的。可以对交换机以太网接口的双工模式、速率等进行配置。

S1(config)#interface f0/1

switch(config-if)#duplex { full | half | auto }

//duplex 用来配置接口的双工模式：full——全双工、half——半双工、auto——自动检测双工的模式

switch(config-if)#speed { 10 | 100 | 1000 | auto }

//speed 命令用来配置交换机的接口速度：10——10Mbit/s、100——100Mbit/s、1000——1000Mbit/s、auto——自动检测接口速度

（4）配置管理地址。

也可以通过 Telnet 来访问交换机，这时需要在交换机上配置一个 IP 地址，这个地址是在VLAN接口上配置的，如下所示。

S1(config)#int vlan 1

S1(config-if)#ip address 172.16.0.1 255.255.0.0

S1(config-if)#no shutdown

S1(config)#ip default-gateway 172.16.0.254

//以上在VLAN 1 接口上配置了管理地址，接在VLAN 1 上的计算机可以直接以Telnet方式访问该地址。为了允许其他网段的计算机也可以通过Telnet访问交换机，在交换机上配置了默认网关。

（5）保存配置。

S1#copy running-config startup-config

Destination filename [startup-config]?

Building configuration...

[OK]

2．交换机端口安全

交换机端口的安全特性，可以防止非法设备的接入，也可以限制某个端口上的最大MAC 地址数。这里限制f0/1接口，使其只允许R1 接入。实验拓扑如图3-5所示。

图3-5 交换机端口安全实验连接拓扑

（1）检查R1的g0/0接口的MAC 地址。

R1(config)#int g0/0

R1(config-if)#no shutdown

R1(config-if)#ip address 172.16.0.101 255.255.0.0

R1#show int g0/0

GigabitEthernet0/0 is up, line protocol is up

Hardware is MV96340 Ethernet, address is 0019.5535.b828 (bia 0019.5535.b828)

//这里可以看到g0/0 接口的MAC 地址，记下它

Internet address is 172.16.0.101/16

MTU 1500 bytes, BW 100000 kbit, DLY 100 usec,

……

（2）配置交换机端口安全。

S1(config)#int f0/1

S1(config-if)#shutdown

S1(config-if)#switch mode access

//以上命令把端口改为访问模式，即用于计算机的接入。下一章将详细介绍该命令的含义

S1(config-if)#switch port-securitiy

//以上命令是打开交换机的端口安全功能

S1(config-if)#switch port-securitiy maximum 1

//以上命令将该端口下的MAC 条目的最大数量设置为1，即只允许一个设备接入

S1(config-if)#switch port-securitiy violation { protect | shutdown | restrict }

● protect：当新的计算机接入时，如果该接口的MAC 条目超过最大数量，则这个新的计算机将无法接入，而原有的计算机不受影响。

● shutdown：当新的计算机接入时，如果该接口的MAC 条目超过最大数量，则该接口将会被关闭，新的计算机和原有的计算机都无法接入，需要管理员使用no shutdown命令重新打开。

● restrict：当新的计算机接入时，如果该接口的MAC 条目超过最大数量，则这个新的计算机可以接入，但是交换机将发出警告信息。

S1(config-if)#switchport port-security mac-address 0019.5535.b828

//允许R1 路由器从f0/1 接口接入。

S1(config-if)#no shutdown

S1(config)#int vlan1

S1(config-if)#no shutdown

S1(config-if)#ip address 172.16.0.1 255.255.0.0

//以上配置交换机的管理地址。

（3）检查MAC 地址表。

S1#show mac-address-table

Mac Address Table

-------------------------------------------

……

Vlan Mac Address Type Ports

---- ----------- -------- -----

All 0100.0ccc.cccc STATIC CPU

1 0018.ba11.eb91 DYNAMIC Fa0/15

1 0019.5535.b828 STATIC Fa0/1

Total Mac Addresses for this criterion: 24

//R1 的MAC地址已经登记在f0/1 接口，并且表明是静态加入的

（4）模拟非法接入。

这时从R1 ping 交换机的管理地址，可以ping通，如下所示。

R1#ping 172.16.0.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.0.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/4 ms

在R1 上修改g0/0 的MAC 地址为另一个地址，模拟另外一台设备的接入，如下所示。

R1(config)#int g0/0

R1(config-if)#mac-address 12.12.12

几秒钟后，S1上出现以下信息。

01:09:39: %PM-4-ERR_DISABLE: psecure-violation error detected on Fa0/1, putting Fa0/1 inerr-disable state

01:09:39: %PORT_SECURITY-2-PSECURE_VIOLATION: Security violation occurred, caused by MAC address

0012.0012.0012 on port FastEthernet0/1.

01:09:40: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1,

changed state to down

//以上提示f0/1 接口被关闭。

S1#show int f0/1

FastEthernet0/1 is down, line protocol is down (err-disabled)

Hardware is Fast Ethernet, address is 0018.ba11.f503 (bia 0018.ba11.f503)

MTU 1500 bytes, BW 100000 Kbit, DLY 100 usec,reliability 255/255, txload 1/255, rxload1/255

//以上表明f0/1 接口因为错误而被关闭。非法设备移除后，在f0/1 接口下，执行shutdown和no shutdown命令可以重新打开该接口。

（5）实验调试。

S1#show port-security

Secure Port MaxSecureAddr CurrentAddr SecurityViolation Security Action

(Count) (Count) (Count)

--------------------------------------------------------------------------

Fa0/1 1 1 0 Shutdown

--------------------------------------------------------------------------

Total Addresses in System (excluding one mac per port) : 0

Max Addresses limit in System (excluding one mac per port) : 6272

//以上可以查看端口安全的设置情况。

3.3 任务3: CDP协议概述和配置

3.3.1 任务目标

通过对本实验的学习，读者可以掌握以下技能。

● 开启CDP。

● 串口设备的连接。

● CDP的常用配置。

3.3.2 施工设备

本实验需要以下设备。

● Cisco 3640路由器2台，IOS版本不限。

● 2台具有广域网模块的路由器，串口线一对。

3.3.3 任务场景

这个项目主要使用Cisco设备，所以可以利用Cisco专有协议CDP（Cisco Discovery Protocol， Cisco发现协议）来发现直连的Cisco设备的相关信息。CDP利用直连的两个设备间定时发送的hello信息（CDP数据包）来维持邻居关系。直连设备互相交换的CDP数据包的内容主要包括对端设备的名称、对端设备的性能（如交换机还是路由器）、对端设备的平台（型号）、对端设备的IP地址（或管理IP）等信息。下面以两个路由器的连接为例测试这个协议的应用。具体拓扑如图3-6所示。

图3-6 CDP实验连接拓扑

实验步骤

（1）在R1、R2上的预配置。

Rack17R1#conf t

Enter configuration commands, one per line. End with CNTL/Z.

Rack17R1(config)#int s1/2

Rack17R1(config-if)#ip ad 10.1.1.1 255.255.255.0

Rack17R1(config-if)#no sh

Rack17R2#conf t

Enter configuration commands, one per line. End with CNTL/Z.

Rack17R2(config)#int s2/1

Rack17R2(config-if)#ip ad 10.1.1.2 255.255.255.0

Rack17R2(config-if)#no sh

（2）在R1上使用show cdp nei命令查看R1周围的Cisco设备。

Rack17R1#sh cdp nei

Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge

S - Switch, H - Host, I - IGMP, r - Repeater

Device ID　Local Intrfce　Holdtme Capability Platform Port ID

Rack17R2Ser 1/2 170 R 3640 Ser 2/1

//现在可以看见Rack17R2和R2上的接口。

Rack17R1#sh cdp neighbors detail

//通过查看详细信息可以看见R2的IP地址，IOS版本和一些相关参数

-------------------------

Device ID: Rack17R2

Entry address(es):

IP address: 10.1.1.2

Platform: cisco 3640, Capabilities: Router

Interface: Serial1/2, Port ID (outgoing port): Serial2/1

Holdtime : 174 sec

Version :

Cisco Internetwork Operating System Software

IOS (tm) 3600 Software (C3640-D-M), Version 12.0(4), RELEASE SOFTWARE (fc1)

Copyright (c) 1986-1999 by cisco Systems, Inc.

Compiled Thu 15-Apr-99 10:31 by ccai

（3）查看CDP的流量。

Rack17R1#sh cdp traffic

CDP counters :

Packets output: 3, Input: 3//可以看见收到和发出去的流量

Hdr syntax: 0, Chksum error: 0, Encaps failed: 0

No memory: 0, Invalid packet: 0, Fragmented: 0

（4）对CDP包进行调试。

Rack17R1#debug cdp packets //对CDP数据包进行调试

CDP packet info debugging is on

Rack17R1#clear cdp table //清除缓存表

Rack17R1#clear cdp counters //清除计数器

00:08:15: CDP-PA: Packet received from Rack17R2 on interface Serial1/2

00:08:15: **Entry NOT found in cache**

Rack17R1#

00:08:18: CDP-PA: Packet sent out on Serial1/2

Rack17R1#sh cdp n

Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge

S - Switch, H - Host, I - IGMP, r - Repeater

Device ID　Local Intrfce　Holdtme Capability Platform Port ID

Rack17R2　Ser 1/2　161 R 3640 Ser 2/1

（5）在R1上关闭CDP。

Rack17R1#conf t

Enter configuration commands, one per line. End with CNTL/Z.

Rack17R1(config)#int s1/2

Rack17R1(config-if)#no cdp enable//　在接口s1/2下关闭CDP协议。

Rack17R1(config-if)#^Z

00:09:16: %SYS-5-CONFIG_I: Configured from Console by Console

Rack17R1#sh cdp int s1/2

//现在看不见在接口S1/2上运行的CDP了，但是其他接口在默认情况下依然运行CDP协议！！

Rack17R1#

Rack17R1#

（6）在其他接口上关闭CDP。

Rack17R1#conf t

Enter configuration commands, one per line. End with CNTL/Z.

Rack17R1(config)#no cdp run//在全局模式下关闭CDP

Rack17R1(config)#^Z

00:09:50: %SYS-5-CONFIG_I: Configured from Console by Console

Rack17R1#sh cdp n

% CDP is not enabled//查看CDP邻居信息，发现CDP没有激活！！！！

项目拓展

某省原已建好的局域网主要用于办公自动化，随着对预算、预测等新业务的规划开展，某省财政需要充分利用现有网络和新建设的网络来提供财政服务。此次网络建设覆盖了11个地市和2个县。建设好的网络不但可以传递财政业务、OA信息等，同时还可以在网上开展IP电话等增值业务，以降低长途话费，节省开支，从而实现全省办公自动化，及时准确地提供各种政府决策信息，满足财政发展的需求。

由于各网络是分阶段建设完成的，而且采购匹次和方式各异，所以形成了设备不统一、厂家多样的局面，现在思考一下是否可以启用CDP协议，原因是什么。

项目小结

本项目给出了一直贯穿项目始终的案例，在介绍交换机工作原理的基础上，讲解了以太网数据帧在Cisco交换机中的3种转发方式，最后介绍了CDP命令的主要配置方法和应用。本项目以Cisco2950交换机为例对交换机的常用配置方式进行了讲解，让读者对交换机的工作过程有所了解。

思考题

（1）交换机转发数据帧的3种转发方式的区别是什么？

（2）CDP的常用命令及其作用是什么？

（3）如何在端口下开启CDP？

项目4　构建虚拟局域网

今天的校园网（Campus Network）已经成为学校发展的重要基础设施，是提高学校教学和科研水平不可缺少的支撑环境，也是衡量学校学术水平和管理水平的重要标志。某大学打算对校园网进行改造，希望改造后的校园网能够达到如下目标。

（1）秉承定制化的设计思想，合理有效地整合多种资源以便实现全面的利用，为学校的教学和管理提供一个开放且易于操作的平台，保证投入运行的校园网与学校的日常教育和办公活动融为一体，切实发挥出信息化的共享、高效等优势。

（2）利用智能交换机提供的动态VLAN划分功能，自动将不同属性的使用者划分到不同的区域，如办公区、教学区、后勤区等，从而保证不同区域间信息的独立和安全，方便对其进行管理和维护。

（3）针对学校实施多媒体教学时非常头疼的问题，诸如学生使用 BT 下载、上非法网站等，可以利用交换机制定ACL来阻止非法应用，保障学校网络资源高效合理的应用。

（4）这套网络解决方案的结构应该具有适应性以及可扩展性，可以为不同应用环境提供不同的传输速率，并可满足大流量的多媒体传输需求；同时，可以支持丰富的网络接口类型，便于用户灵活合理地使用网络。

该大学校园网是一个以学校综合楼为网络中心，以办公楼、图书馆、外语学院、体育系、重点实验室、招待所楼为二级分中心的结构，其间用吉比特以太网及光缆传输介质呈中心向四周辐射的星状互连起来，并依次将学校各部门、学生宿舍等接入校园网。由于网络主干采用吉比特以太网，故可以充分满足学校各部门对网络带宽的一般需要和特殊需要。由于采用第三层交换技术，所以可对不同的应用需求划分各自的虚拟子网，子网间既相互联系又彼此隔离，充分满足安全及带宽管理的要求。该校园网网络拓扑如图4-1所示。

本项目中，虚拟局域网管理功能主要利用 Cisco 交换机来实现。它不仅具有普通的两层交换功能，还具有VLAN等功能。VLAN技术可以使管理员很容易地控制广播域的大小。有了VLAN，交换机之间的级联链路就可以利用Trunk技术来保证该链路可以同时传输多个VLAN的数据。为了方便管理各交换机上的VLAN信息，这里也引入了VTP。交换机之间的级联链路带宽如果不够，还可以把多条链路捆绑起来形成逻辑链路，解决带宽问题。

图4-1 某大学校园网网络拓扑

4.1 任务1：认识虚拟局域网

4.1.1 VLAN概述

VLAN是英文Virtual Local Area Network 的缩写，即虚拟局域网。VLAN 建立在局域网交换机的基础之上。从原理上讲，VLAN与普通局域网没有什么不同，但从用户使用和网络管理的角度来看，VLAN 与普通局域网最基本的差异体现在：VLAN 并不局限于某一网络或物理范围， VLAN中的用户可以位于一个园区的任意位置，甚至位于不同的国家。如图4-2所示为VLAN的划分示意图。

VLAN有下面这些优点。

（1）控制网络的广播风暴：采用 VLAN 技术，可将某个交换机端口划到某个 VLAN 中，而一个VLAN的广播风暴不会影响其他VLAN的性能。

（2）确保网络安全：共享式局域网之所以很难保证网络的安全性，是因为只要用户接入交换机上的某一个活动端口，就能访问整个网络。而VLAN能限制个别用户组的访问，控制广播的大小和位置，甚至能锁定某台设备的MAC 地址，因此VLAN 能确保网络的安全性。

（3）简化网络管理：网络管理员能借助于 VLAN 技术轻松管理整个网络。例如需要为完成某个项目建立一个工作组网络，该工作组中的成员可能遍及全国或全世界，此时，网络管理员只需设置几条命令，就能在几分钟内建立该项目的VLAN网络，其成员就可以像在本地使用局域网一样使用VLAN网络。

VLAN的分类主要有以下几种。

（1）基于端口的 VLAN ：基于端口的VLAN 是划分虚拟局域网最简单也是最有效的方法。这实际上是某些交换机端口的集合，网络管理员只需要管理和配置交换机端口，而不管交换机端口连接什么设备。

（2）基于 MAC 地址的 VLAN ：由于只有网卡才分配有MAC 地址，因此按MAC 地址来划分VLAN，实际上是将某些工作站和服务器划分在一个VLAN中。事实上，该VLAN 是一些MAC 地址的集合。当设备移动时，由于其MAC地址没有改变，因此VLAN能够自动识别。由于网络管理员需要管理和维护的是设备的 MAC 地址，因此当网络规模很大、设备很多时，将会带来管理难度。

（3）基于第三层的 VLAN ：基于第三层的 VLAN 是在路由器中常用的方法：IP 子网和IPX 网络号等。其中，局域网交换机允许一个子网扩展到多个局域网交换端口，甚至允许一个端口对应于多个子网。

（4）基于策略的 VLAN ：基于策略的 VLAN 的划分是一种比较灵活有效的方法，主要取决于在VLAN的划分中所采用的策略。

图4-2 VLAN划分示意图

4.1.2 虚拟局域网配置的相关技术

（1）VLAN的范围。

根据平台和软件版本不同，Cisco交换机最多支持4094个VLAN。

0,4095：保留，仅限系统使用，用户不能对其查看。

1：Cisco默认VLAN，不能删除。

2～1001：用于以太网的VLAN，用户可自己创建的VLAN。

1002～1005：用于FDDI和令牌环的默认VLAN，不能删除。

1006～1024：保留，仅限系统使用。用户不能对其查看。

1025～4094：仅用于以太网的VLAN。VTP版本1和版本2不支持，VTP版本3支持。为了能够配置扩展VLAN，交换机必须处于VTP透明模式。

（2）创建VLAN。

在全局配置模式下，其创建命令如下所示。

Sw1(config)#vlan 2

Sw1(config-vlan)#name SSg

Sw1#show vlan

Sw1#show vlan brief

在数据库配置模式下，其创建命令如下所示。

Sw3#vlan database（此命令在老版本中使用，新版本可直接写vlan）

Sw3(vlan)#vlan 3 name CCIE

Sw3(vlan)#exit

创建完VLAN后，一定要输入exit，否则不能生效。

注意

一旦删除了VLAN，需要将端口手动移动到别的VLAN，否则这些接入端口将进入“非活跃”状态，使用show vlan brie查看时将看不到。

在Sw1上将R1和R2连到Sw的端口都划入VLAN 2。

Sw1(config)#int f0/6

Sw1(config-if)#switchport mode access （指定为接入端口）

Sw1(config-if)#switchport access vlan 2将接口划入VLAN2）

（3）Trunk。

适用Trunk技术可以在单条物理链路上承载多个VLAN的流量。Trunk可以在一条网络介质上同时传输多个VLAN的数据，一般用在交换机与交换机之间，且必须使用100Mbit/s以上的端口来进行点对点连接。Trunk使一个单独的端口同时成为数个VLAN的端口，这样可以不需要三层设备。

如果在交换机之间使用了Trunk，那么多个VLAN间的信息将从这个Trunk上通过；如果没有使用Trunk，而使用的是一般的连接，那么将只有VLAN1的信息能通过这个连接传递（VLAN1默认作为管理VLAN）。

① Trunk协议主要包括以下两种。

802.1q：工业标准的Trunk协议，支持不同厂商的VLAN设备。

ISL（Interior Switching Link）：Cisco专有的协议，只适用于Cisco某些产品。

DTP（Dynamic Trunking Protocol）是Cisco专有的VLAN协议，主要用于协商两台设备间链路上的Trunk及Trunk封装类型。

Cisco 网络设备支持动态协商端口的工作状态，这为网络设备的实施提供了一定的方便（但不建议使用动态方式），根据动态协议的实现方式，Cisco网络设备接口主要分为下面几种模式。

switchport mode access：强制接口成为access接口，并且可以与对方主动进行协商，诱使对方成为access模式。

switchport mode dynamic desirable：主动与对方协商成为Trunk接口的可能性，如果邻居接口模式为Trunk/desirable/auto之一，则接口将变成Trunk接口工作。如果不能形成Trunk模式，则工作在access模式。这种模式是现在交换机的默认模式。

switchport mode dynamic auto：只有邻居交换机主动与自己协商时才会变成Trunk接口，所以它是一种被动模式，当邻居接口为Trunk/desirable之一时，才会成为Trunk。如果不能形成Trunk模式，则工作在access模式。

switchport mode trunk：强制接口成为Trunk接口，并且主动诱使对方成为Trunk模式，所以当邻居交换机接口成为Trunk/desirable/auto时会成为Trunk接口。

switchport nonegotiate：严格来说，这不算一种接口模式，它的作用只是阻止交换机接口发出DTP数据包，它必须与switchport mode trunk或者switchport mode access一起使用。

switchport mode dot1q-tunnel：配置交换机接口为隧道接口（非Trunk），以便与用户交换机的Trunk接口形成不对称链路。

② ISL（Interior Switching Link）。ISL 协议用于实现交换机间的 VLAN Trunk。它是一个信息包标记协议，在支持ISL接口上发送的帧由一个标准以太网帧以及相关的VLAN信息组成。使用 ISL 后，每个数据帧头部都会附加 26 字节的 ISL报头，并在帧尾携带上 4 个 CRC值。该值是对包括 ISL 头部在内的整个数据帧进行计算后得出的。换而言之，就是总共增加了 30 字节的信息。在使用 ISL 的环境下，当数据帧离开汇聚链路时，只需去除 ISL 报头和CRC就可以了。

③ 802.1Q。802.1Q 的正式名称为虚拟桥接局域网标准，用在不同厂家生产的交换机之间。一个 802.1Q 链路端口同时支持加标签和未加标签的流量。所有未加标签的流量在默认的端口VLAN ID上传输。一个带有与外出端口的默认VLAN ID的包发送时不加标签。所有的其他流量则需要加上VLAN标签。802.1Q所附加的VLAN识别信息，位于数据帧中“发送源MAC地址”与“类别域”之间，具体内容为2字节的TPID和2字节的TCI，共计4字节。由于在数据帧中添加了4个字节的内容，那么CRC值将发生变化。此时的CRC值为插入TPID、TCI之后，对整个数据帧重新计算后的结果。

而当数据帧离开汇聚链路时，TPID和TCI会被去除，这时还要进行一次CRC的计算。交换机通过TPID来确定数据帧内附加了基于IEEE 802.1Q的VLAN信息。

与ISL相比，802.1Q具有的好处如下所示。

● 具有更低的开销，因此转发效率强于ISL。

● 802.1Q为行业标准，有着更为广泛的支持。

● 支持QoS 中的802.1p 字段（就是ToS 字段中的3 位Priority 位）。如果不支持802.1Q 的设备接收到此帧，将忽略帧中的ToS字段，当作标准的以太网帧转发。

④ Native VLAN。交换机在发送数据时会使用VLAN的标记来对数据进行标记，以识别它属于哪个VLAN。而802.1Q允许一个不打标记的VLAN，这个VLAN就是Native VLAN。每台交换机只能有一个VLAN成为Native VLAN。

⑤ 802.1Q-in-Q 隧道。802.1Q 的另外一种特性是具有支持隧道的能力，如 802.1Q-in-Q 隧道，它能够允许ISP在VLAN内部传输VLAN，进而可以保护单独客户的VLAN分配，而无需要求它们的 VLAN 分配是唯一的。在数据帧进入 ISP 网络之前，ISP 网络的交换机将增加802.1Q 的标记来标识客户的 VLAN。它提供了一种真正能够将企业的流量与核心网络中其他企业的流量进行隔离的方法。

（4）VTP。

VTP（VLAN Trunking Protocol）是一种消息协议，用于在VTP域内同步VLAN信息（如VLAN的添加、删除和重命名），而不必在每个交换机上配置相同的VLAN信息，从而实现VLAN配置的一致性。使用VTP，可以在一个或多个交换机上建立配置修改中心，并自动完成于网络中其他所有交换机的通信，可以有效减少交换网络中的管理事务。

交换机可以在以下任何一种VTP模式下操作。

Server：在VTP Server（服务器）模式，可以为整个VTP域建立、修改和删除VLAN，并制定其他配置参数（如VTP版本和VTP修剪）。VTP服务器向其他在相同VTP域的交换机通告它们的VLAN配置，并同步它们的VLAN配置。VTP Server是默认模式。

Client：VTP Client（客户端）在许多行为上与VTP Server完全相同，但不是能VTP Client上建立、修改或删除VLAN。

Transparent：VTP Transparent（透明）交换机不加入到VTP。VTP Transparent交换机不通告它的VLAN配置，也不同步它的VLAN配置。然而在VTP版本2中，Transparent交换机向其中继端口转发它接收到的VTP通告。

VTP域中的每一条交换机都利用保留的多播地址，定期向其每一个中继端口发送通告。VTP通告被相邻的交换机接收，并必然地更新它们的VTP和VLAN配置。而VTP修剪则通过减少不必要的泛洪来提高网络带宽。VTP修剪通过访问适当设备的方式，限制了到中继链接的泛洪，增加了网络的有效带宽。默认状态下，VTP 修剪未被启用。在启用 VTP 修剪之前，必须确认管理域中所有的设备都支持该功能。当在VTP Server上为整个管理域其中VTP修剪后，VTP修剪将在几秒钟内实现。

默认状态下，从VLAN 2到VLAN 100均可修剪。VLAN则通常不可被修剪。VTP修剪不能在一个管理域中的一两台交换机上设置，如果一个交换机设置了VTP修剪，那么，在该管理域中的所有交换机都将被设置为VTP修剪。

（5）EtherChannel。

EtherChannel（以太通道）是由Cisco公司开发的应用于交换机之间的多链路捆绑技术。它的基本原理是：将两个设备间多条快速以太或吉比特以太物理链路捆绑在一起组成一条逻辑链路，从而达到带宽倍增的目的。除了增加带宽外，EtherChannel还可以在多条链路上均衡分配流量，起到负载分担的作用；在一条或多条链路故障时，只要还有链路正常，流量将转移到其他链路上，整个过程在几毫秒内完成，从而起到冗余的作用，增强了网络的稳定性和安全性。EtherChannel 中，负载在各个链路上的分布可以根据源 IP 地址、目的 IP 地址、源MAC地址、目的MAC地址、源IP地址和目的IP地址组合、源MAC地址和目的MAC地址组合等来进行。

两台交换机之间可以用自动协商的方式来形成 EtherChannel。目前有两个协商协议：PAGP和LACP，前者是CISCO专有的协议，而LACP是公共的标准。表4-1是PAGP协商的规律总结，表4-2是LACP协商的规律总结。

表4-1 PAGP协商的规律总结

表4-2 LACP协商的规律总结

4.2 任务2：划分VLAN

4.2.1 任务目标

通过任务的学习，读者可以掌握以下技能。

● 熟悉VLAN 的创建。

● 把交换机接口划分到特定VLAN。

4.2.2 施工设备

本任务需要以下设备。

● Cisco 3550交换机1台，IOS版本不限。

● 路由器2台和Console线缆1根。

● RJ-45若干线缆。

4.2.3 任务场景

利用先进的计算机技术和现代网络通信技术，可以为大学各部门建立一个统一、高速、便捷的信息交流平台。局域网交换机可以将网络划分为多个广播域，即VLAN，但它不能在两个VLAN 之间传送信息。VLAN之间的通信仍然需要路由寻址，也就是仍然需要路由器。现通过在学生区汇集层交换机两端接入路由器，并以此设备为终端进行虚拟网配置和调试，设备间的连接拓扑如图4-3所示。

图4-3 设备间的连接拓扑

1．VLAN的配置

要配置VLAN，则首先要创建VLAN，然后再把交换机的端口划分到特定的VLAN上。

（1）在划分VLAN 前，配置R1 和R2 路由器的g0/0 接口，并测试R1与R2的连通性。默认情况下，交换机的全部接口都在VLAN1 上，因此R1和R2应该能够相互通信。

（2）在S1上创建VLAN。

S1#vlan database //进入到VLAN 配置模式

S1(vlan)#vlan 2 name VLAN2

VLAN 2 added:

Name: VLAN2 //以上步骤创建VLAN2，其中2是VLAN的编号，VLAN编号的范围为1～1001

S1(vlan)#vlan 3 name VLAN3

VLAN 3 added:

Name: VLAN3

S1(vlan)#exit

APPLY completed.

Exiting... //退出VLAN模式，创建的VLAN立即生效

提示

交换机中的VLAN 信息存放在单独的文件flash:vlan.dat中，如果要完全清除交换机的配置，除了使用erase starting-config命令外，还要使用delete flash:vlan.dat命令把VLAN数据删除。

提示

新版本的IOS中，可以在全局配置模式中创建VLAN，如下所示。

S1(config)#vlan 2

S1(config-vlan)#name VLAN2

S1(config-vlan)#exit

S1(config)#vlan 3

S1(config-vlan)#name VLAN3

（3）把端口划分在VLAN中。

S1(config)#interface f0/1

S1(config-if)#switch mode access

//以上把交换机端口的模式改为access 模式，说明该端口是用于连接计算机的，而不是用于trunk

S1(config-if)#switch access vlan 2

//把该端口f0/1 划分到VLAN 2 中

S1(config)#interface f0/2

S1(config-if)#switch mode access

S1(config-if)#switch access vlan 3

提示

默认情况下，所有交换机接口都在VLAN 1上，并且VLAN 1 是不能删除的。如果有多个接口需要划分到同一VLAN 下，也可以采用如下方式。

S1(config)#interface range f0/2 -3

S1(config-if)#switch mode access

S1(config-if)#switch access vlan 2

提示

如果要删除VLAN，使用no vlan 2命令即可。删除某一VLAN后，要记得把该VLAN上的端口重新划分到别的VLAN上，否则将导致端口“消失”。

2．VLAN的调试

（1）查看VLAN。使用show vlan或者show vlan brief命令可以查看VLAN的信息，以及每个 VLAN 上有哪些端口。注意，这里只能看到本交换机上哪个端口在 VLAN 上，而不能看到其他交换机的端口是否在该VLAN上。

S1# show vlan

VLAN Name　　　　Status　　　Ports

1 default　active　Fa0/1，Fa0/2，Fa0/3，Fa0/4

Fa0/5，Fa0/6，Fa0/7，Fa0/8

Fa0/9，Fa0/10，Fa0/11，Fa0/12

Fa0/13，Fa0/14，Fa0/16，Fa0/17

Fa0/18，Fa0/19，Fa0/20，Fa0/21

Fa0/22，Fa0/23，Fa0/24，Gi0/1

Gi0/2

2 VLAN2　active

3 VLAN3active

1002 fddi-default　act/unsup

1003 token-ring-default　act/unsup

1004 fddinet-default　act/unsup

（此处省略）

//在交换机上，VLAN1是默认VLAN，不能删除，也不能改名。此外还有1002、1003等VLAN的存在。

（2）VLAN间的通信。由于f0/1和f0/2属于不同的VLAN，此时利用ping命令测试R1和R2之间的连通性时将会失败。

4.3 任务3：配置trunk

4.3.1 任务目标

通过任务的学习，读者可以掌握以下技能。

● 配置交换机接口的trunk。

● 理解DTP 的协商规律。

4.3.2 施工设备

本任务需要以下设备。

● Cisco 3550交换机2台，IOS版本不限。

● 路由器4台和Console线缆1根。

● RJ-45线缆若干。

4.3.3 任务场景

随着招生规模的连年扩大，学校的校区由原来的一个老校区扩展为两个校区。为了适应校园整体信息化建设的需要，需要把分散的校园网络连接为一体，实现互连互通。为此，需要不同的VLAN在交换机之间传输数据，这就需要用到trunk。具体拓扑如图4-4所示。

在上一任务的基础上继续以下操作。

（1）根据任务2的步骤在S2 上创建VLAN，并把接口划分在图4-4 所示的VLAN 中。

（2）配置Trunk。

图4-4 trunk连接拓扑

S1(config)#int f0/13

S1(config-if)#switchport trunk encanpsulation dot1q

//配置 trunk 链路的封装类型，同一链路的两端要有相同的封装。有的交换机例如 2950 交换机只能用 dot1q封装，因此无需执行该命令。

S1(config-if)#switch mode trunk //把接口配置为trunk

S2(config)#int f0/13

S2(config-if)#switchport trunk encanpsulation dot1q

S2(config-if)#switch mode trunk

（3）检查 trunk 链路的状态。在对处于同一 VLAN，但不在同一交换机上的主机进行连通性测试时，使用show interface f0/13 trunk命令可以查看交换机端口的trunk状态，如下所示。

Port Mode Encapsulation Status Native vlan

Fa0/13 on 802.1q trunking 1

//f0/13 接口已经是trunk 链路了，封装为802.1q

Port Vlans allowed on trunk

Fa0/13 1-4094

Port Vlans allowed and active in management domain

Fa0/13 1-3

Port Vlans in spanning tree forwarding state and not pruned

Fa0/13 2-3

为了确认trunk链路已经建立，需要在链路两端进行测试。测试R1和R3、R2和R4之间的连通性。由于R1 和R3 处在同一VLAN，所以R1 应该能ping 通R3。

（4）配置Native VLAN。

S1(config)#int f0/13

S1(config-if)#switchport trunk native vlan 2

//trunk 链路上配置Native VLAN，这里将其名称改为VLAN 2，默认是VLAN 1

S2(config)#int f0/13

S2(config-if)#switchport trunk native vlan 2

S1#show interface f0/13 trunk

Port Mode Encapsulation Status Native vlan

Fa0/13 on 802.1q trunking 2 //可以查到trunk 链路的Native VLAN为2

【技术要点】在trunk链路上，数据帧会根据采用的封装类型（ISL或802.1q）进行封装，然而Native VLAN的数据不需重新封装就可在trunk链路上传输。很显然，链路两端的Native VLAN要一致。否则，交换机会提示出错。

（5）DTP配置。

【技术要点】以下命令与DTP的配置有关，这些命令不能任意组合。

switchport turnk encapsulation { negotiate | isl | dot1q }：配置trunk链路上的封装类型，可以是双方协商确定，也可以使指定的isl或dot1q。

switchport nonegotiate：trunk链路上不发送协商包（默认情况是是发送的）。

switch mode { trunk | dynamic desirable | dynamic auto }：

● trunk：这个参数将端口设置为永久trunk模式，封装类型由switchport trunk encapsulation命令决定。

● dynamic desirable：端口主动变为trunk，如果另一端为negotiate、dynamic desirable、dynamicauto，将成功协商。

● dynamic auto：被动协商，如果另一端为negotiate、dynamic desirable，将成功协商。

如果要把接口配置为negotiate，使用以下命令。

S1(config-if)#switchport trunk encapsulation ｛ isl | dot1q ｝

S1(config-if)#switchport mode trunk

S1(config-if)#no switchport negotiate

如果要把接口配置为nonegotiate，使用以下命令。

S1(config-if)#switchport trunk encapsulation ｛ isl | dot1q ｝

S1(config-if)#switchport mode trunk

S1(config-if)#switchport nonegotiate

如果要把接口配置为desirable，使用以下命令。

S1(config-if)#switchport mode dynamic desirable

S1(config-if)#switchport trunk encapsulation ｛ negotiate | isl | dot1q ｝

如果要把接口配置为auto，使用以下命令。

S1(config-if)#switchport mode dynamic auto

S1(config-if)#switchport trunk encapsulation ｛ negotiate | isl | dot1q ｝

这里进行如下配置。

S1(config-if)#switchport mode dynamic desirable

S1(config-if)#switchport trunk encapsulation negotiate

S2(config-if)#switchport mode dynamic auto

S2(config-if)#switchport trunk encapsulation negotiate

S1#show interface f0/13 trunk

Port　　Mode　　Encapsulation　　Status　　　Native vlan

Fa0/13　　desirable　n-isl　　　　trunking　　1

//这里可以看到 trunk已经形成，封装为 n-isl，这里的“n”表示封装类型是自动协商的。需要在两端进行检查，以确认两端都形成了trunk。

Port　　Vlans allowed on trunk

Fa0/13　　1-4094

Port　　Vlans allowed and active in management domain

Fa0/13　　1-3

Port　　Vlans in spanning tree forwarding state and not pruned

Fa0/13　　2-3

提示

由于交换机有默认配置，因此进行以上配置后，使用show running命令可能看不到我们的配置。默认情况下，Catalyst 2950 和3550 的配置是desirable 模式；而Catalyst 3560是auto模式，所以两台3560 交换机之间不会自动形成trunk，3560 交换机和2950交换机之间却可以形成trunk。

4.4 任务4：配置VTP

4.4.1 任务目标

通过任务的学习，读者可以掌握以下技能。

● 理解VTP的3种模式。

● 熟悉VTP的配置。

4.4.2 施工设备

本任务需要以下设备。

● Cisco 3550交换机3台，IOS版本不限。

● RJ-45线缆若干。

4.4.3 任务场景

由于网建设校园时考虑到各部门的特点，需要按照功能对网络进行汇集，如行政楼、图书馆、外语学院、体育系、重点实验室、招待所楼为二级分中心，所以按照域的概念对交换机进行管理，这样更有利于提高网络的智能化配置和管理要求。现在对交换机管理域进行划分和管理，具体拓扑如图4-5所示。

图4-5 VTP配置拓扑

1．VTP的配置

在前面任务的基础上继续以下操作。

（1）把3台交换机的配置清空，重启交换机。

S1#delete flash:vlan.dat

S1#erase startup-config

S1#reload

（2）检查S1和S3之间、S3和S2之间的trunk是否自动形成。如果没有，请参照任务3配置trunk。

（3）配置S1为VTP server。

S1(config)#vtp mode server

Device mode already VTP SERVER.

//将S1配置为VTP server，这也是默认值

S1(config)#vtp domain VTP-TEST

Changing VTP domain name from NULL to VTP-TEST //配置VTP域名

S1(config)#vtp password cisco

Setting device VLAN database password to cisco

//配置VTP的密码，目的是防止不明身份的交换机加入到域中

（4）配置S3为VTP transparent。

S3#vlan database

S3(vlan)#vtp transparent

Setting device to VTP TRANSPARENT mode.

S3(vlan)#vtp domain VTP-TEST

Domain name already set to VTP-TEST .

S3(vlan)#vtp password cisco

Setting device VLAN database password to cisco.

提示

有的IOS 版本只支持在vlan database 下配置vlan。

（5）配置S2 为VTP客户端。

S2(config)#vtp mode client

Setting device to VTP CLIENT mode.

S2(config)#vtp domain VTP-TEST

Domain name already set to VTP-TEST.

S2(config)#vtp password cisco

2．VTP的调试

（1）在S1上创建VLAN，检查S2、S3上的VLAN信息。

S1(config)#vlan 2

S1(config)#vlan 3

S2#show vlan

VLAN Name　　　　　　　　Status　　Ports

----------------------------------------------------------------------------------

1　default　　　　　　　active　　Fa0/1，Fa0/2，Fa0/3，Fa0/4

Fa0/5，Fa0/6，Fa0/7，Fa0/8

2　VLAN0002　　　　　　　active

3　VLAN0003　　　　　　　active

1002 fddi-default

//可以看到S2已经学习到了S1上创建的VLAN了。

S3#show vlan

VLAN Name　　　　　　　　Status　　Ports

----------------------------------------------------------------------------------

1　default　　　　　　　active　　Fa0/3，Fa0/4，Fa0/5，Fa0/6

Fa0/7，Fa0/8，Fa0/9，Fa0/10

Fa0/11，Fa0/12

1002 fddi-default　　　　　　active

1003 token-ring-default　　　　active

1004 fddinet-default　　　　　active

1005 trnet-default　　　　　active

//可以看到S2上有了VLAN2和VLAN3，而S3上并没有，因为S3是transparent模式。

（2）查看VTP信息。

S1#show vtp status

VTP Version　　　　：2　　　　//该VTP支持版本2

Configuration Revision　　　：2　　　//修订号为2，该数值非常重要

Maxium VLANs supported locally　：1005

Number of existing VLANs　　：7　　　　//VLAN数量

VTP Operating Mode　　　：Server　　　//VTP模式

VTP Domain Name　　　：VTP-TEST　　//VTP域名

VTP Pruning Mode　　　：Disabled　　//VTP修剪没有启用

VTP V2 Mode　　　　：Disabled　　//VTP版本2没有启用，现在是版本1

VTP Traps Generation　　：Disabled

MD5 digest　　　　：0xD4 0x30 0xE7 0xB7 0xDC 0xDF 0x1B 0xD8

Configuration last modified by 0.0.0.0 at 3-1-93 00:22:16

Local updater ID is 0.0.0.0 (no valid interface found)

（3）观察VTP的revision 数值。在S1上修改、创建或者删除VLAN，在S2、S3 上观察revision数值是否增加1。

（4）配置、修剪版本2。

S1(config)#vtp pruning

S1(config)#vtp version 2

S1#show vtp status

VTP Version　　　　：2

Configuration Revision　　　：4

Maxium VLANs supported locally　：1005

Number of existing VLANs　　：7

VTP Operating Mode　　　：Server

VTP Domain Name　　　：VTP-TEST

VTP Pruning Mode　　　：Enabled　//启用了VTP修剪

VTP V2 Mode　　　　：Enabled　//VTP版本为2

VTP Traps Generation　　：Disabled

MD5 digest　　　　　　:0xA6 0x56 0x25 0xDE 0xE2 0x39 0x6A 0x10

Configuration last modified by 0.0.0.0 at 3-1-93 00:32:28

Local updater ID is 0.0.0.0 (no valid interface found)

提示

修剪和配置VTP 版本只需要在一个VTP server 进行即可，其他server 或者client会自动随之更改。VTP 修剪是为了防止不必要的流量从trunk 链路上通过，通常需要启用。

4.5 任务5：配置EtherChannel

4.5.1 任务目标

通过任务的学习，读者可以掌握以下技能。

● EtherChannel的工作原理。

● EtherChannel的配置。

4.5.2 施工设备

本任务需要以下设备。

● Cisco 2950交换机1台，IOS版本不限。

● RJ-45线缆若干。

4.5.3 任务场景

学校内部的学生机房都采用普通交换机，每个机房中有40台计算机。在机房的使用过程中，有个问题一直困扰着任课教师和学生。有时候，老师在A机房上课，他让学生从B机房中的文件服务器中下载资料，由于两个机房的机器接入了不同的交换机，因此在少量学生下载的时候速度还可以接受，但是所有学生同时下载的时候速度将会变慢，这就造成了上课时间的浪费，而使用EtherChannel技术可以解决该问题，实现拓扑如图4-6所示。

图4-6 EtherChannel配置拓扑

构成 EtherChannel 的端口必须具有相同的特性，如双工模式、速度、trunking 的状态等。可以采用手动配置和自动配置（PAGP或者LAGP）两种方法来配置EtherChannel。自动配置就是让EtherChannel协商协议自动协商，从而建立EtherChannel。

（1）手动配置EtherChannel。

S1(config)#interface port-channel 1

//以上是创建 EtherChannel，并指定一个唯一的 EtherChannel 编号，编号的范围是 1～6。可以用 no interface port-channel 1命令来取消EtherChannel。

S1(config)#interface f0/13

S1(config-if)#channel-group 1 mode on

S1(config)#interface f0/14

S1(config-if)#channel-group 1 mode on

//以上将物理接口指定到已经创建的通道中。

S1(config)#int port-channel 1

S1(config-if)#switchport mode trunk

S1(config-if)#speed 100

S1(config-if)#duplex full

//以上配置通道中的物理接口的属性。

S2(config)#interface port-channel 1

S2(config)#interface f0/13

S2(config-if)#channel-group 1 mode on

S2(config)#interface f0/14

S2(config-if)#channel-group 1mode on

S2(config)#int port-channel 1

S2(config-if)#switchport mode trunk

S2(config-if)#speed 100

S2(config-if)#duplex full

S1(config)#port-channel load-balance dst-mac

S2(config)#port-channel load-balance dst-mac

//以上是配置 EtherChannel 的负载平衡方式，命令格式为 port-channel load-balance method。负载平衡的方式有dst-ip、dst-mac、src-dst-ip、 src-dst-mac等。

（2）查看EtherChannel信息。

S1#show etherchannel summary

Flags：　D – down　P – in port-channel

I – stand-alone s – suspend

H – Hot-standby（LACP only）

R – Layer3　　S – Layer2

U – in use　　f – failed to allocate aggregator

u – unsuitable for bundling

w – waiting to be aggregated

d – default port

Number of channel-groups in use：1

Number of aggregators：　　1

Group　　Port-channel　　　Protocol　　Ports

----------------------------------------------------------------------------------

1　　　Pol(SU)　　　——　　　Fa0/14(P)

//可以看到，EtherChannel已经形成，“SU”表示EtherChannel正常；如果显示为“SD”，则把EtherChannel接口关掉重新开启。

（3）配置PAGP或者LACP。

【技术要点】

要把接口配置为PAGP的desirable模式，使用channel-group 1 mode desirable命令。

要把接口配置为PAGP的auto模式，使用channel-group mode auto命令。

要把接口配置为LACP的active模式，使用channel-group 1mode active命令。

要把接口配置为LACP的passive模式，使用channel-group 1 mode passive命令。

这里进行如下配置。

S1(config)#interface range f0/13 -14

S1(config-if)#channel-group 1 mode desirable

S2(config)#interface range f0/13 -14

S2(config-if)#channel-group 1 mode desirable

S1#show etherchannel summary

Flags：　D – down　P – in port-channel

I – stand-alone s – suspend

H – Hot-standby（LACP only）

R – Layer3　　S – Layer2

U – in use　　f – failed to allocate aggregator

u – unsuitable for bundling

w – waiting to be aggregated

d – default port

Number of channel-groups in use：1

Number of aggregators：　　1

Group　　Port-channel　　　Protocol　　Ports

-------------------------------------------------------------------------------------------------

1　　　Pol(SU)　　　　PApP　　Fa0/13(P)　Fa0/14(P)

//可以看到，EtherChannel协商成功。注意应在链路的两端进行检查，确认两端都形成EtherChannel通道才行。

项目拓展

某网络管理员跳槽来到了一家房地产集团任职。楼市的火爆使得这家房地产公司的规模迅速膨胀，公司新招聘的员工几乎翻了9倍，网络接入点从原来的140多个疯长到600多个。该集团采购了30多台交换机，加上原有的10多台，这样交换机的数量达到了40多台，整个网络共有20多个VLAN20，网管员看着半个屋子的交换机，他该怎么办呢?是手工输入800多条VLAN配置命令吗?

如果没有一种集中管理VLAN的方法，就需要在每个交换机上设置，在修改、添加或者删除VLAN时将耗费大量精力。是否可以让全部接入交换机都从核心交换机上自动学习VLAN，这样只需要在核心交换机上修改VLAN，接入交换机只是将端口加入相应VLAN就可以了呢?

项目小结

本项目主要介绍了 VLAN 在交换机上的创建，以及如何把接口划分在指定的 VLAN 中。在交换机之间级联的链路应该配置为 Trunk，Trunk 的形成是否可以通过 DTP 协商确定。Trunk 有两种封装方式。而VTP 可以让我们集中化管理VLAN 的信息，VTP 有3种模式，不同模式可以完成不同的功能。EtherChannel 技术可以把多条链路捆绑起来形成大带宽的逻辑链路，Ether 确Channel的形成是否也可以用协议自动协商。

思考题

（1）VLAN的主要作用？

（2）创建VLAN的主要步骤？

（3）建立trunk的目的？如何配置trunk模式？

（4）哪一种VTP模式只能接收VLAN信息而不能改动VLAN作息？

（5）默认的VTP模式是什么？

项目5　生成树配置

随着网络系统的不断发展，新的数据库系统和应用系统不断走向大规模集成化，系统的网络传输带宽的需求也不断增强；同时网络安全性也越来越受到用户的重视。针对上述要求，某证券公司第二营业部计算机网络系统的设计采用了安全可靠的三层网络结构。它把一个营业部的网络分为内网和外网，内外网通过中间件相连，前后台由不同的服务器进行处理，实现了前台与后台的分离。数据服务器在内网中，用户网络与交易数据只通过中间件连接。通信经过加密处理，采用多线程技术提高了网络运行效率，实现了网络与数据的分离，可防止黑客的侵袭。中间件通信采用加密算法，每个中间件有不同的密钥，使得黑客攻击无经验可借鉴，即使外网服务器被攻破，内网的数据服务器和文件服务器仍不会被黑客破坏。该证券公司的网络拓扑如图5-1所示。

图5-1 证券公司的网络拓扑

证监会对证券网络提出了3个分离（技术与业务分离、前台与后台分离、网络与数据分离）的要求，因此该系统采用了虚拟局域网（VLAN）技术。Cisco交换机提供Cisco ISL及802.1Q技术，可提高整个网络的安全和效率。把交易服务器和行情服务器分布在不同的VLAN，使得股民只能访问行情服务器所在的 VLAN，而不能访问交易服务器；并把不同作用的客户机分配在不同的 VLAN，限制它们之间的相互访问；或者利用端口管理技术，限制它对交换机某一个端口的访问。

生成树协议（Spanning-Tree Protocol，STP）是一个用于在局域网中消除环路的协议。运行该协议的交换机通过彼此交互信息而发现网络中的环路，并适当对某些端口进行阻塞以消除环路。随着局域网规模的不断增长，STP已经成为了当前最重要的局域网协议之一。本章将这种技术和VLAN进行综合应用。

5.1 任务1：生成树概述

交换机之间具有冗余链路本来是一件很好的事情，但是它有可能引起的问题比它能够解决的问题还要多。如果你真的准备两条以上的链路，就必然形成了一个环路，交换机并不知道如何处理环路，只是周而复始地转发帧，形成一个“死循环”，这个死循环会造成整个网络处于阻塞状态，导致网络瘫痪。

采用生成树协议可以避免环路。生成树协议的根本目的是将一个存在物理环路的交换网络变成一个没有环路的逻辑树形网络。对于一个STP网络，根桥有且只有一个。它是整个网络的逻辑中心，但不一定是物理中心。根桥可能会根据网络拓扑的变化发生改变。而且一旦网络收敛之后，只有根桥按照一定的时间间隔产生并且向外发送一种称为“配置消息”的协议报文，其他的交换机仅对该种报文进行“接力”，这样来保证拓扑的稳定。

生成树的生成计算有两大基本度量依据：ID和路径开销（Path Cost，PC）。ID又分为两种：BID和PID。

BID即Bridge ID，或称为桥ID。IEEE 802.1D标准定义该值由16位的桥优先级（Bridge Priority）和桥MAC地址构成。BID桥优先级占据高16位，其余的低48位是MAC地址。在STP网络中，桥ID最小的交换机会被选举为根桥。

PID即Port ID，或称为端口ID。PID也是由两部分构成的，高8位是端口优先级，低位是端口号。PID只在某些情况下对选择指定端口有作用。

为了在网络中形成一个没有环路的拓扑，网络中的交换机要进行以下 3 个步骤：①选举根桥；②选取根口；③选取指定口。这些步骤中，哪个交换机能获胜将取决于以下因素（按顺序进行）。

（1）最低的桥ID。

（2）最低的路径开销。

（3）最低发送者桥ID。

（4）最低发送者端口ID。

在选举完成后，具有最低桥 ID 的交换机就是根桥。根桥上的接口都是指定口，会转发数据包。选举了根桥后，其他的交换机就成为非根桥了。每台非根桥要选举一条到根桥的根路径。STP使用路径开销来决定到达根桥的最佳路径（开销是累加的，带宽大的链路其开销低），最低开销值的路径就是根路径，该接口就是根口；如果开销一样，就根据选举顺序选举根口。根口用于转发数据包。交换机的其他接口还要决定是指定口还是阻断口，交换机之间将进一步根据上面的4个因素来竞争。指定口用于转发数据帧。剩下的其他接口将被阻断，不转发数据包。这样网络就构建出一棵没有环路的转发树。当网络的拓扑发生变化时，网络会从一个状态向另一个状态过渡，重新打开或阻断某些接口。交换机的端口要经过几种状态： 禁用（Disable）、阻塞（Blocking）、监听（Listening）、学习（Learning）、转发（Forwarding）。

1．PVST

当网络上有多个VLAN 时，PVST（Per Vlan STP）会为每个VLAN 构建一棵STP 树。这样的好处是可以独立地为每个 VLAN 控制哪些接口要转发数据，从而实现负载平衡。缺点是如果VLAN 数量很多，会给交换机带来沉重的负担。Cisco 交换机默认的模式就是PVST。

2．portfast、uplinkfast、backbonefast

STP 的收敛时间通常需要30～50s。为了减少收敛时间，引入以下特性对其进行改善。

portfast特性使得以太网接口一旦有设备接入，就立即进入转发状态。如果接口上连接的只是计算机或者其他不运行STP的设备，这是非常合适的。

uplinkfast 则经常用在接入层交换机上。当它与主干交换机上的主链路发生故障时，能立即切换到备份链路上，而不需要等待30s 或者50s 的时间。Uplinkfast 只需要在接入层交换机上配置即可。

backbonefast 则主要用在主干交换机之间。当主干交换机之间的链路上故障时，可以在 30s时间内就切换到备份链路上。backbonefast 需要在全部交换机上配置。

3．MST

在 PVST 中，交换机为每个 VLAN 都构建一棵 STP 树，这不仅为 CPU 带来很大负载，也会占用大量的带宽。MST 则是把多个VLAN 映射到一个STP 实例上，从而减少了STP 实例。MST 可以和STP、PVST 配合使用。对于运行STP、PVST 的交换机来说，一个MST 域看起来就像一台交换机。

5.2 任务2：配置生成树

5.2.1 任务目标

通过实验的学习，读者可以掌握以下技能。

● 理解生成树决策的4个步骤。

● 掌握公共的生成树的配置。

5.2.2 施工设备

本实验需要以下设备。

● Cisco 3550交换机2台，IOS版本12.3以上。

● RJ-45线缆若干。

5.2.3 任务场景

本项目中，主干交换机选用2台能满足高速应用的Cisco Catalyst 3550-EN 交换机，每台提供2个1000Mbit/s端口插槽，24个10/100Mbit/s自适应端口，用于服务器、重要工作站及二级交换机的连接。在两台Cisco Catalyst 3550-EN交换机之间，采用吉比特连接，网络主要设备实现线路冗余和负载平衡。这里要启用生成树协议，以防止产生环路。

对于二级交换机，使用2台Cisco Catalyst 2950，每一台可提供24个100Mbit/s端口，用于连接主干交换机的端口，实现二级网络交换机冗余。主干交换机和二级交换机共能提供约140台PC接入。具体拓扑如图5-2所示。

图5-2 生成树实验连接拓扑

实验步骤

（1）配置SW1。

SW1(config)#int range fastEthernet 0/23 – 24

//进入一个接口范围，同时对多个端口进行配置

SW1(config-if-range)#switchport mode trunk

SW1(config-if-range)#no shutdown

（2）配置SW2。

SW2(config)#int range fastEthernet 0/23 - 24

SW2(config-if-range)#switchport mode trunk

SW2(config-if-range)#no shutdown

（3）在SW1上用show spanning-tree命令验证生成树。

SW1#show spanning-tree

VLAN0001

Spanning tree enabled protocol ieee

Root ID Priority 32769

Address 0008.20ff.6400

This bridge is the root　　　　　　　　// SW1 为根网桥

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec //根交换机的网桥ID

Bridge ID Priority 32769 (priority 32768 sys-id-ext 1)

Address 0008.20ff.6400

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Aging Time 15

// SW1 的网桥ID

Interface Role Sts Cost Prio.Nbr Type

---------------- ---- --- --------- -------- --------------------------------

Fa0/23 Desg FWD 19 128.23 P2p

//Desg表示F0/23为指定端口；FWD表示端口的生成树状态为转发状态；19表示F0/23到根网桥的开销为19；128.23中的128表示端口优先级，23表示端口号。

Fa0/24　　Desg　　FWD　　19　　128.24　　p2p

（4）在SW2 上用show spanning-tree命令验证生成树。

SW2#show spanning-tree

VLAN0001

Spanning tree enabled protocol ieee

Root ID Priority 32769 //根交换机的网桥ID

Address 0008.20ff.6400

Cost 19

Port 23 (FastEthernet0/23)

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 32769 (priority 32768 sys-id-ext 1)

Address 000d.bce7.5940

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Aging Time 300

SW2 的网桥ID

Interface Role Sts Cost Prio.Nbr Type

---------------- ---- --- --------- -------- --------------------------------

Fa0/23 Root FWD 19 128.23 P2p

Fa0/24 Altn BLK 19 128.24 P2p

//F0/24 为altn(后备端口),端口的生成树状态为BLK(blocking)状态，Root 表示根端口,Altn 表示后备端口。

5.3 任务3：VLAN生成树综合应用实验项目

5.3.1 任务目标

通过实验的学习，读者可以掌握以下技能。

● 按照拓扑图连接交换机。

● 在交换机上配置 VLAN，启用 STP，实现不同的 VLAN 选择不同的根网桥，以及负载平衡。

● 在接入交换机上配置上行链路。

● 配置接入交换机连接主机的端口为速端口。

● 在两台核心交换机之间配置以太网通道。

5.3.2 施工设备

本实验需要以下设备。

● Cisco 2950交换机2台，Cisco 3550交换机2台，IOS版本12.3以上。

● PC 2台和Console线缆。

● RJ-45线缆若干。

5.3.3 任务场景

本项目采用Cisco的ISL技术或802.1Q VLAN Trunk技术。通过VLAN对广播域进行控制，使得只有在同一个VLAN的设备才可以接收到广播，从而可以提高网络性能。通过Cisco独有的ISL 技术，可在单一的物理链路上划分多个子通道以对应多个 VLAN，使服务器用一个端口与多个VLAN 交换数据。Intel 8480 网卡可支持ISL 技术，可在一个端口分出多个逻辑端口对应不同的VLAN。这样通过ISL或802.1Q，可以实现服务器在同一个通道同时完成VLAN Trunk的备份及负载均衡。具体拓扑如图5-3所示。

图5-3 生成树综合实验连接拓扑

1．实验步骤

（1）在交换机A、B、C和D上分别添加VLAN1、VLAN 2、VLAN3、VLAN4，配置各交换机之间的连接接口为Trunk模式。

① 交换机A配置如下。

A#conf t

Enter configuration commands, one per line. End with CNTL/Z.

A(config)#interface range f0/1 - 2

A(config-if-range)#switchport mode trunk　　//配置端口1～2为中继

A(config-if-range)#

*Mar 1 00:04:01.611: %DTP-5-TRUNKPORTON: Port Fa0/1-2 has become dot1q trunk

A(config-if-range)#interface range f0/10–11　//配置端口11～12为中继

A(config-if-range)#switchport mode trunk

A(config-if-range)#

*Mar 1 00:04:36.191: %DTP-5-TRUNKPORTON: Port Fa0/10-11 has become dot1q trunk

A(config-if-range)#exit

A(config)#exit

A#

A#vlan database

A(vlan)#vtp domain 2t57 //配置VTP域为2t57

Changing VTP domain name from NULL to 2t57

A(vlan)#vtp server

Device mode already VTP SERVER.　　//配置VTP模式为Server

A(vlan)#exit

APPLY completed.

Exiting...

A#vlan database

A(vlan)#vlan 2 name VLAN2

VLAN 2 added:

Name: VLAN2

A(vlan)#vlan 3 name VLAN3

VLAN 3 added:

Name: VLAN3

A(vlan)#vlan 4 name VLAN4

VLAN 4 added:

Name: VLAN4

A(vlan)#exit

APPLY completed. //添加VLAN 2、3、4

Exiting...

A#

A#show vlan-s

VLAN Name　　　　　Status　Ports

-------------------- --- -------------------------------

1　default　　　　　active　Fa0/0, Fa0/3,Fa0/4, Fa0/5

Fa0/6, Fa0/7, Fa0/8, Fa0/9

Fa0/12,Fa0/13,Fa0/14,Fa0/15

2　VLAN2　　　　　　active

3　VLAN3　　　　　　active

4　VLAN4　　　　　　active

1002 fddi-default　　　　　active

1003 token-ring-default　　　active

1004 fddinet-default　　　　active

1005 trnet-default　　　　active

VLAN Type SAID MTU Parent RingNo BridgeNo Stp BrdgMode Trans1 Trans2

- -------- ------ ------ -------- ---- -------- ------ ------

1　enet　100001　1500　-　-　-　-　-　　1002　1003

2　enet　100002　1500　-　-　-　-　-　0　0

3　enet　100003　1500　-　-　-　-　-　0　0

4　enet　100004　1500　-　-　-　　-　-　0　0

1002 fddi　101002　1500　-　-　-　-　-　1　1003

1003 tr　101003　1500　1005　0　-　-　srb　1　　1002

1004 fdnet 101004　1500　-　-　1　ibm　-　0　0

VLAN Type　SAID　　MTU　Parent RingNo BridgeNo Stp　BrdgMode Trans1 Trans2

---- ----- ---------- ----- ------ ------ -------- ---- -------- ------ ------

1005 trnet 101005　1500　-　-　1　　ibm　-　　0　0

A#

A#show interface f0/1 switchport　　　　　//查看端口1

Name: Fa0/1

Switchport: Enabled　　　　　　　　　//端口开启

Administrative Mode: trunk　　　　　　　//管理模式：trunk

Operational Mode: trunk　　　　　　　　//运行模式：trunk

Administrative Trunking Encapsulation: dot1q　　//管理trunk封装：802.1Q

Operational Trunking Encapsulation: dot1q　　　//运行trunk封装：802.1Q

Negotiation of Trunking: Disabled　　　　　// trunk协商：未开启

Access Mode VLAN: 0 ((Inactive))　　　　　//VLAN访问模式：0（非活动）

Trunking Native Mode VLAN: 1 (default)　　　　//本地VLANtrunk模式：1（默认）

Trunking VLANs Enabled: ALL　　　　　　//trunk VLAN开启：所有

Trunking VLANs Active: 1-4　　　　　　　//活动的中继多VLAN：1-4

Priority for untagged frames: 0　　　　//未标记的帧优先级：0

Override vlan tag priority: FALSE　　　　//超量标记帧优先级：错误

Voice VLAN: none　　　　　　　　//语音VLAN：无

Appliance trust: none　　　　　　　//信任的应用：无

A#show interface f0/2 switchport　　　　//查看端口2

Name: Fa0/2

Switchport: Enabled

Administrative Mode: trunk

Operational Mode: trunk　　　　　　//运行模式：trunk

Administrative Trunking Encapsulation: dot1q

Operational Trunking Encapsulation: dot1q

Negotiation of Trunking: Disabled

Access Mode VLAN: 0 ((Inactive))

Trunking Native Mode VLAN: 1 (default)

Trunking VLANs Enabled: ALL

Trunking VLANs Active: 1-4

Priority for untagged frames: 0

Override vlan tag priority: FALSE

Voice VLAN: none

Appliance trust: none

A#show interface f0/10 switchport　　　　//查看端口10

Name: Fa0/10

Switchport: Enabled

Administrative Mode: trunk

Operational Mode: trunk　　　　　　//运行模式：trunk

Administrative Trunking Encapsulation: dot1q

Operational Trunking Encapsulation: dot1q

Negotiation of Trunking: Disabled

Access Mode VLAN: 0 ((Inactive))

Trunking Native Mode VLAN: 1 (default)

Trunking VLANs Enabled: ALL

Trunking VLANs Active: 1-4

Priority for untagged frames: 0

Override vlan tag priority: FALSE

Voice VLAN: none

Appliance trust: none

A#show interface f0/11 switchport　　　　//查看端口11

Name: Fa0/11

Switchport: Enabled

Administrative Mode: trunk

Operational Mode: trunk　　　　　　//运行模式：trunk

Administrative Trunking Encapsulation: dot1q

Operational Trunking Encapsulation: dot1q

Negotiation of Trunking: Disabled

Access Mode VLAN: 0 ((Inactive))

Trunking Native Mode VLAN: 1 (default)

Trunking VLANs Enabled: ALL

Trunking VLANs Active: 1-4

Priority for untagged frames: 0

Override vlan tag priority: FALSE

Voice VLAN: none

Appliance trust: none

② 交换机B配置如下。

B#conf t

Enter configuration commands, one per line. End with CNTL/Z.

B(config)#interface range f0/1 – 2　　　　　//配置端口1～2为trunk

B(config-if-range)#switchport mode trunk

B(config-if-range)#

*Mar 1 00:05:18.543: %DTP-5-TRUNKPORTON: Port Fa0/1-2 has become dot1q trunk

B(config-if-range)#interface range f0/10 – 11　　//配置端口10～11为trunk

B(config-if-range)#switchport mode trunk

B(config-if-range)#

*Mar 1 00:05:45.963: %DTP-5-TRUNKPORTON: Port Fa0/10-11 has become dot1q trunke Exit

B(config)#exit

B#

B#vlan database

B(vlan)#vtp domain 2t57　　　　　　　　//配置VTP域名为2t57

Domain name already set to 2t57 .

B(vlan)#exit

APPLY completed.

Exiting...

B#show vlan-s

VLAN Name　　　　　　　　Status　Ports

---- ------------------------------ --------- -------------------------------

1　default　　　　　　active　Fa0/0, Fa0/3, Fa0/4, Fa0/5

Fa0/6, Fa0/7, Fa0/8, Fa0/9

Fa0/12, Fa0/13, Fa0/14, Fa0/15

2　VLAN2　　　　　　active

3　VLAN3　　　　　　active

4　VLAN4　　　　　　active　　//VTP同步VLAN成功

1002 fddi-default　　　　　active

1003 token-ring-default　　　active

1004 fddinet-default　　　　active

1005 trnet-default　　　　active

VLAN Type　SAID　　MTU　Parent RingNo BridgeNo Stp　BrdgMode Trans1 Trans2

---- ----- ---------- ----- ------ ------ -------- ---- -------- ------ ------

1　enet　100001　1500　-　-　-　　-　-　　1002　1003

2　enet　100002　1500　-　-　-　　-　-　　0　0

3　enet　100003　1500　-　-　-　　-　-　　0　0

4　enet　100004　1500　-　-　-　　-　-　　0　0

1002 fddi　101002　1500　-　0　-　　-　-　　1　1003

1003 tr　101003　1500　1005　0　-　　-　srb　1　1002

1004 fdnet 101004　1500　-　-　1　　ibm　-　　0　0

VLAN Type　SAID　　MTU　Parent RingNo BridgeNo Stp　BrdgMode Trans1 Trans2

---- ----- ---------- ----- ------ ------ -------- ---- -------- ------ ------

1005 trnet 101005　1500　-　-　1　　ibm　-　　0　0

B#

B#show interface f0/1 switchport　　　　　　//查看端口1

Name: Fa0/1

Switchport: Enabled

Administrative Mode: trunk

Operational Mode: trunk　　//运行模式：trunk

Administrative Trunking Encapsulation: dot1q

Operational Trunking Encapsulation: dot1q

Negotiation of Trunking: Disabled

Access Mode VLAN: 0 ((Inactive))

Trunking Native Mode VLAN: 1 (default)

Trunking VLANs Enabled: ALL

Trunking VLANs Active: 1-4

Priority for untagged frames: 0

Override vlan tag priority: FALSE

Voice VLAN: none

Appliance trust: none

B#show interface f0/2 switchport　　　　　//查看端口2

Name: Fa0/2

Switchport: Enabled

Administrative Mode: trunk

Operational Mode: trunk　　//运行模式：trunk

Administrative Trunking Encapsulation: dot1q

Operational Trunking Encapsulation: dot1q

Negotiation of Trunking: Disabled

Access Mode VLAN: 0 ((Inactive))

Trunking Native Mode VLAN: 1 (default)

Trunking VLANs Enabled: ALL

Trunking VLANs Active: 1-4

Priority for untagged frames: 0

Override vlan tag priority: FALSE

Voice VLAN: none

Appliance trust: none

B#show interface f0/10 switchport　　　　　//查看端口10

Name: Fa0/10

Switchport: Enabled

Administrative Mode: trunk

Operational Mode: trunk //运行模式：trunk

Administrative Trunking Encapsulation: dot1q

Operational Trunking Encapsulation: dot1q

Negotiation of Trunking: Disabled

Access Mode VLAN: 0 ((Inactive))

Trunking Native Mode VLAN: 1 (default)

Trunking VLANs Enabled: ALL

Trunking VLANs Active: 1-4

Priority for untagged frames: 0

Override vlan tag priority: FALSE

Voice VLAN: none

Appliance trust: none

B#show interface f0/11 switchport　　　　　//查看端口11

Name: Fa0/11

Switchport: Enabled

Administrative Mode: trunk

Operational Mode: trunk //运行模式：trunk

Administrative Trunking Encapsulation: dot1q

Operational Trunking Encapsulation: dot1q

Negotiation of Trunking: Disabled

Access Mode VLAN: 0 ((Inactive))

Trunking Native Mode VLAN: 1 (default)

Trunking VLANs Enabled: ALL

Trunking VLANs Active: 1-4

Priority for untagged frames: 0

Override vlan tag priority: FALSE

Voice VLAN: none

Appliance trust: none

③ 交换机C配置如下。

C#conf t

Enter configuration commands, one per line. End with CNTL/Z.

C(config)#interface range f0/10 – 11　　　//配置端口10～11为trunk

C(config-if-range)#switchport mode trunk

C(config-if-range)#

*Mar 1 00:06:14.191: %DTP-5-TRUNKPORTON: Port Fa0/10-11 has become dot1q trunk

C(config-if-range)#exit

C(config)#exit

C#

C#vlan d

C(vlan)#vtp domain 2t57　　　　　　//配置VTP域名为2t57

Domain name already set to 2t57 .

C(vlan)#vtp client　　　　　　　　//配置VTP为客户端模式

Setting device to VTP CLIENT mode.

C(vlan)#exit

In CLIENT state, no apply attempted.

Exiting...

C#show vlan-s

VLAN Name　　　　　　Status　Ports

---- ------------------------------ --------- -------------------------------

1　default　　　　　　active　Fa0/0, Fa0/1, Fa0/2, Fa0/3

Fa0/4, Fa0/5, Fa0/6, Fa0/7

Fa0/8, Fa0/9, Fa0/12, Fa0/13

Fa0/14, Fa0/15

2　VLAN2　　　　　　active

3　VLAN3　　　　　　active

4　VLAN4　　　　　　active　　//VTP同步VLAN成功

1002 fddi-default　　　　active

1003 token-ring-default　　　active

1004 fddinet-default　　　active

1005 trnet-default　　　　active

VLAN Type　SAID　　MTU　Parent RingNo BridgeNo Stp　BrdgMode Trans1 Trans2

---- ----- ---------- ----- ------ ------ -------- ---- -------- ------ ------

1　enet　100001　1500　-　-　-　　-　-　　1002　1003

2　enet　100002　1500　-　-　-　　-　-　　0　0

3　enet　100003　1500　-　-　-　　-　-　　0　0

4　enet　100004　1500　-　-　-　　-　-　　0　0

1002 fddi　101002　1500　-　0　-　　-　-　　1　1003

1003 tr　101003　1500　1005　0　-　　-　srb　1　1002

VLAN Type　SAID　　MTU　Parent RingNo BridgeNo Stp　BrdgMode Trans1 Trans2

---- ----- ---------- ----- ------ ------ -------- ---- -------- ------ ------

1004 fdnet 101004　1500　-　-　1　　ibm　-　　0　0

1005 trnet 101005　1500　-　-　1　　ibm　-　　0　0

C#

C#show interface f0/10 switchport　　　　//查看端口10

Name: Fa0/10

Switchport: Enabled

Administrative Mode: trunk

Operational Mode: trunk　　　　　　//运行模式：trunk

Administrative Trunking Encapsulation: dot1q

Operational Trunking Encapsulation: dot1q

Negotiation of Trunking: Disabled

Access Mode VLAN: 0 ((Inactive))

Trunking Native Mode VLAN: 1 (default)

Trunking VLANs Enabled: ALL

Trunking VLANs Active: 1-4

Priority for untagged frames: 0

Override vlan tag priority: FALSE

Voice VLAN: none

Appliance trust: none

C#show interface f0/11 switchport　　　　//查看端口11

Name: Fa0/11

Switchport: Enabled

Administrative Mode: trunk

Operational Mode: trunk　　　　　　//运行模式：trunk

Administrative Trunking Encapsulation: dot1q

Operational Trunking Encapsulation: dot1q

Negotiation of Trunking: Disabled

Access Mode VLAN: 0 ((Inactive))

Trunking Native Mode VLAN: 1 (default)

Trunking VLANs Enabled: ALL

Trunking VLANs Active: 1-4

Priority for untagged frames: 0

Override vlan tag priority: FALSE

Voice VLAN: none

Appliance trust: none

④ 交换机D配置如下。

D#conf t

Enter configuration commands, one per line. End with CNTL/Z.

D(config)#interface range f0/10 – 11　　　//配置端口10～11为trunk

D(config-if-range)#switchport mode trunk

D(config-if-range)#e

*Mar 1 00:06:41.843: %DTP-5-TRUNKPORTON: Port Fa0/10-11 has become dot1q trunk Exit

D(config)#exit

D#

D#vlan d

D(vlan)#vtp domain 2t57　　　　　　//配置VTP域名为2t57

Domain name already set to 2t57 .

D(vlan)#vtp client　　　　　　　　//配置VTP为客户端模式

Setting device to VTP CLIENT mode.

D(vlan)#exit

In CLIENT state, no apply attempted.

Exiting...

D#show vlan-s

VLAN Name　　　　　　Status　Ports

---- ------------------------------ --------- -------------------------------

1　default　　　　　　active　Fa0/0, Fa0/1, Fa0/2, Fa0/3

Fa0/4, Fa0/5, Fa0/6, Fa0/7

Fa0/8, Fa0/9, Fa0/12, Fa0/13

Fa0/14, Fa0/15

2　VLAN2　　　　　　active

3　VLAN3　　　　　　active

4　VLAN4　　　　　　active　　//VTP同步VLAN成功

1002 fddi-default　　　　　active

1003 token-ring-default　　　active

1004 fddinet-default　　　　active

1005 trnet-defaultactive

VLAN Type SAIDMTU Parent RingNo BridgeNo Stp BrdgMode Trans1 Trans2

---- ----- ---------- ----- ------ ------ -------- ---- -------- ------ ------

1 enet 1000011500 ---- -1002 1003

2 enet 1000021500 ---- -0 0

3 enet 1000031500 ---- -0 0

4 enet 1000041500 ---- -0 0

1002 fddi 1010021500 -0-- -1 1003

1003 tr 1010031500 1005 0-- srb 1 1002

VLAN Type　SAID　　MTU　Parent RingNo BridgeNo Stp　BrdgMode Trans1

Trans2

---- ----- ---------- ----- ------ ------ -------- ---- -------- ------ ------

1004 fdnet 101004　1500　-　-　1　　ibm　-　　0　0

1005 trnet 101005　1500　-　-　1　　ibm　-　　0　0

D#

D#show interface f0/10 switchport

Name:Fa0/10　　　　　　　　　　　//查看端口10

Switchport: Enabled

Administrative Mode: trunk

Operational Mode: trunk　　　　　　　　//运行模式：trunk

Administrative Trunking Encapsulation: dot1q

Operational Trunking Encapsulation: dot1q

Negotiation of Trunking: Disabled

Access Mode VLAN: 0 ((Inactive))

Trunking Native Mode VLAN: 1 (default)

Trunking VLANs Enabled: ALL

Trunking VLANs Active: 1-4

Priority for untagged frames: 0

Override vlan tag priority: FALSE

Voice VLAN: none

Appliance trust: none

D#show interface f0/11 switchport　　　　　//查看端口11

Name: Fa0/11

Switchport: Enabled

Administrative Mode: trunk

Operational Mode: trunk　　　　　　　　//运行模式：trunk

Administrative Trunking Encapsulation: dot1q

Operational Trunking Encapsulation: dot1q

Negotiation of Trunking: Disabled

Access Mode VLAN: 0 ((Inactive))

Trunking Native Mode VLAN: 1 (default)

Trunking VLANs Enabled: ALL

Trunking VLANs Active: 1-4

Priority for untagged frames: 0

Override vlan tag priority: FALSE

Voice VLAN: none

Appliance trust: none

（2）配置根网桥。

① 配置交换机A为VLAN 1和VLAN 2的根网桥。交换机A的配置如下。

A#conf t

Enter configuration commands, one per line. End with CNTL/Z.

A(config)#spanning-tree vlan 1 root primary　　//配置成为VLAN 1的根网桥

% This switch is already the root of VLAN1 spanning tree

//这个交换机已经是VLAN 1生成树的根网桥

VLAN 1 bridge priority set to 8192　　　//VLAN1网桥优先级设置为8192

VLAN 1 bridge max aging time unchanged at 20　//VLAN1网桥最大生存时间仍为20

VLAN 1 bridge hello time unchanged at 2　　//VLAN1网桥握手时间仍为2

VLAN 1 bridge forward delay unchanged at 15　//VLAN1网桥转发延迟仍为15

A(config)#spanning-tree vlan 2 root primary　//配置为VLAN 2的根网桥

% This switch is already the root of VLAN2 spanning tree

//这个交换机已经是VLAN 2生成树的根网桥

VLAN 2 bridge priority set to 8192

VLAN 2 bridge max aging time unchanged at 20

VLAN 2 bridge hello time unchanged at 2

VLAN 2 bridge forward delay unchanged at 15

A(config)#exit

A#

*Mar　1 00:20:38.031: %SYS-5-CONFIG_I: Configured from Console by Console

A#show spa brief　　　　　　　　//查看交换机A生成树信息

VLAN1　　　　　　　　　　　//VLAN1

Spanning tree enabled protocol ieee　　　//生成树开启的协议ieee

Root ID　Priority　8192　　　　　//根网桥优先级 8192

Address　cc00.0d08.0000　　　//地址　cc00.0d08.0000

This bridge is the root　　　　//这个网桥是根网桥

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

//握手时间 2秒　最大生存期 20秒 转发延迟 15秒

Bridge ID　Priority　8192　　　　　//网桥ID优先级 8192

Address　cc00.0d08.0000　　//地址　cc00.0d08.0000

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

//握手时间 2秒　最大生存期 20秒　转发延迟 15秒

Aging Time 300　　　　　　//生存期 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

--------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/1　128.2　128　19 FWD　0　8192 cc00.0d08.0000 128.2

FastEthernet0/2　128.3　128　19 FWD　0　8192 cc00.0d08.0000 128.3

FastEthernet0/10　128.11　128　19 FWD　0　8192 cc00.0d08.0000 128.11

FastEthernet0/11　128.12　128　19 FWD　0　8192 cc00.0d08.0000 128.12

//根网桥上所有端口均为指定端口，所有端口状态：转发

VLAN2

Spanning tree enabled protocol ieee

Root ID　Priority　8192

Address　cc00.0d08.0001

This bridge is the root

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID　Priority　8192

Address　cc00.0d08.0001

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/1　128.2　128　19 FWD　0　8192 cc00.0d08.0001 128.2

FastEthernet0/2　128.3　128　19 FWD　0　8192 cc00.0d08.0001 128.3

FastEthernet0/10　128.11　128　19 FWD　0　8192 cc00.0d08.0001 128.11

FastEthernet0/11　128.12　128　19 FWD　0　8192 cc00.0d08.0001 128.12

VLAN3

Spanning tree enabled protocol ieee

Root ID Priority 32768

Address　cc00.0d08.0002

This bridge is the root

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID Priority 32768

Address　cc00.0d08.0002

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/1　128.2　128　19 FWD　0 32768 cc00.0d08.0002 128.2

FastEthernet0/2　128.3　128　19 FWD　0 32768 cc00.0d08.0002 128.3

FastEthernet0/10　128.11　128　19 FWD　0 32768 cc00.0d08.0002 128.11

FastEthernet0/11　128.12　128　19 FWD　0 32768 cc00.0d08.0002 128.12

VLAN4

Spanning tree enabled protocol ieee

Root ID Priority 32768

Address　cc00.0d08.0003

This bridge is the root

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID Priority 32768

Address　cc00.0d08.0003

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/1　128.2　128　19 FWD　0 32768 cc00.0d08.0003 128.2

FastEthernet0/2　128.3　128　19 FWD　0 32768 cc00.0d08.0003 128.3

FastEthernet0/10　128.11　128　19 FWD　0 32768 cc00.0d08.0003 128.11

FastEthernet0/11　128.12　128　19 FWD　0 32768 cc00.0d08.0003 128.12

②配置交换机BVLAN3、VLAN4的优先级为 8192。

B#conf t

Enter configuration commands, one per line.　End with CNTL/Z.

B(config)#spanning-tree vlan 3 priority 8192　//配置VLAN 3网桥优先级为8192

B(config)#spanning-tree vlan 4 priority 8192　//配置VLAN 4网桥优先级为8192

B(config)#exit

B#

*Mar　1 00:22:19.671: %SYS-5-CONFIG_I: Configured from Console by Console

B#show spa brief

VLAN1

Spanning tree enabled protocol ieee

Root ID　Priority　8192　　　　　//根网桥优先级8192

Address　cc00.0d08.0000

Cost　　19　　　　　　//根路径开销19

Port　　2 (FastEthernet0/1)　　//端口2（FastEthernet0/1）

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID　Priority　32768　　　　　//网桥优先级32768

Address　cc00.1444.0000

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/1　128.2　128　19 FWD　0　8192 cc00.0d08.0000 128.2

FastEthernet0/2　128.3　128　19 BLK　0　8192 cc00.0d08.0000 128.3

FastEthernet0/10　128.11　128　19 FWD　19 32768 cc00.1444.0000 128.11

FastEthernet0/11　128.12　128　19 FWD　19 32768 cc00.1444.0000 128.12

//端口2被阻塞

VLAN2

Spanning tree enabled protocol ieee

Root ID　Priority　8192

Address　cc00.0d08.0001

Cost　　19

Port　　2 (FastEthernet0/1)

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID　Priority　32768

Address　cc00.1444.0001

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/1　128.2　128　19 FWD　0　8192 cc00.0d08.0001 128.2

FastEthernet0/2　128.3　128　19 BLK　0　8192 cc00.0d08.0001 128.3

FastEthernet0/10　128.11　128　19 FWD　19 32768 cc00.1444.0001 128.11

FastEthernet0/11　128.12　128　19 FWD　19 32768 cc00.1444.0001 128.12

//端口2被阻塞

VLAN3

Spanning tree enabled protocol ieee

Root ID　Priority　8192

Address　cc00.1444.0002

This bridge is the root　　　//成为VLAN3的根网桥

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID　Priority　8192

Address　cc00.1444.0002

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/1　128.2　128　19 FWD　0　8192 cc00.1444.0002 128.2

FastEthernet0/2　128.3　128　19 FWD　0　8192 cc00.1444.0002 128.3

FastEthernet0/10　128.11　128　19 FWD　0　8192 cc00.1444.0002 128.11

FastEthernet0/11　128.12　128　19 FWD　0　8192 cc00.1444.0002 128.12

//根网桥上所有端口均为指定端口，所有端口状态：转发

VLAN4　　　　　　　　　　//成为VLAN 4的根网桥

Spanning tree enabled protocol ieee

Root ID　Priority　8192

Address　cc00.1444.0003

This bridge is the root

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID　Priority　8192

Address　cc00.1444.0003

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/1　128.2　128　19 FWD　0　8192 cc00.1444.0003 128.2

FastEthernet0/2　128.3　128　19 LRN　0　8192 cc00.1444.0003 128.3

FastEthernet0/10　128.11　128　19 FWD　0　8192 cc00.1444.0003 128.11

FastEthernet0/11　128.12　128　19 FWD　0　8192 cc00.1444.0003 128.12

//根网桥上所有端口均为指定端口，所有端口状态：转发

交换机A配置如下。

A#show spa brief

VLAN1

Spanning tree enabled protocol ieee

Root ID　Priority　8192

Address　cc00.0d08.0000

This bridge is the root

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID　Priority　8192

Address　cc00.0d08.0000

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/1　128.2　128　19 FWD　0　8192 cc00.0d08.0000 128.2

FastEthernet0/2　128.3　128　19 FWD　0　8192 cc00.0d08.0000 128.3

FastEthernet0/10　128.11　128　19 FWD　0　8192 cc00.0d08.0000 128.11

FastEthernet0/11　128.12　128　19 FWD　0　8192 cc00.0d08.0000 128.12

VLAN2

Spanning tree enabled protocol ieee

Root ID　Priority　8192

Address　cc00.0d08.0001

This bridge is the root

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID　Priority　8192

Address　cc00.0d08.0001

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/1　128.2　128　19 FWD　0　8192 cc00.0d08.0001 128.2

FastEthernet0/2　128.3　128　19 FWD　0　8192 cc00.0d08.0001 128.3

FastEthernet0/10　128.11　128　19 FWD　0　8192 cc00.0d08.0001 128.11

FastEthernet0/11　128.12　128　19 FWD　0　8192 cc00.0d08.0001 128.12

VLAN3

Spanning tree enabled protocol ieee

Root ID　Priority　8192

Address　cc00.1444.0002

Cost　　19

Port　　2 (FastEthernet0/1)

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID Priority 32768

Address　cc00.0d08.0002

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/1　128.2　128　19 FWD　0　8192 cc00.1444.0002 128.2

FastEthernet0/2　128.3　128　19 BLK　0　8192 cc00.1444.0002 128.3

FastEthernet0/10　128.11　128　19 FWD　19 32768 cc00.0d08.0002 128.11

FastEthernet0/11　128.12　128　19 FWD　19 32768 cc00.0d08.0002 128.12

VLAN4

Spanning tree enabled protocol ieee

Root ID Priority 8192

Address　cc00.1444.0003

Cost19

Port　　2 (FastEthernet0/1)

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID Priority 32768

Address　cc00.0d08.0003

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/1128.2 128 19 FWD 0 8192 cc00.1444.0003 128.2

FastEthernet0/2128.3 128 19 BLK 0 8192 cc00.1444.0003 128.3

FastEthernet0/10128.11 128 19 FWD 19 32768 cc00.0d08.0003 128.11

FastEthernet0/11128.12 128 19 FWD 19 32768 cc00.0d08.0003 128.12

（3）配置交换机A与B之间的以太通道。

① 交换机A配置如下。

A#conf t

Enter configuration commands, one per line. End with CNTL/Z

A(config)#interface range f0/1 – 2　　　　　//端口1和2

A(config-if-range)#channel-group 1 mode on　　　//以太通道1模式开启

Creating a port-channel interface Port-channel1　//创建一个以太通道Port-channel1

A(config-if-range)#

*Mar 1 00:25:57.543: %EC-5-BUNDLE: Interface Fa0/1 joined port-channel Po1

*Mar 1 00:25:58.363: %EC-5-BUNDLE: Interface Fa0/2 joined port-channel Po1

//端口1和2加入到以太通道Po1

A(config-if-range)#

*Mar 1 00:26:00.091: %LINEPROTO-5-UPDOWN: Line protocol on Interface Port-chann

el1, changed state to up　　　　　　//以太通道1上的线路协议，修改状态为“启用”

A(config-if-range)#exit

A(config)#exit

A#

*Mar 1 00:26:09.175: %SYS-5-CONFIG_I: Configured from Console by Console

A#

A#show interface port 1　　　　　　//查看通道1

Port-channel1 is up, line protocol is up　　//以太通道1开启，线路协议开启

Hardware is EtherChannel, address is cc00.0d08.f001 (bia cc00.0d08.f001)

//硬件是EtherChannel地址是cc00.0d08.f001

MTU 1500 bytes, BW 200000 kbit, DLY 1000 usec,

//MTU: Maximum Transmission Unit (最大传输单元) 1500字节

//BW: Band Width (带宽) 200000 kbit （表示通道建立成功，原值为100000kbit）

//DLY: Delay (端口延迟) 1000 毫秒

reliability 255/255, txload 1/255, rxload 1/255

//可靠性 255/255，发送负载 1/255，接收负载 1/255

Encapsulation ARPA, loopback not set　　//封装为ARPA，环回没有设置

Keepalive set (10 sec)　　　　　//保活设置（10秒）

Full-duplex, 100Mb/s　　　　　　//全双工，100Mbit/s

Members in this channel: Fa0/1 Fa0/2　　//在此通道中的成员：端口0/1 端口0/2

ARP type: ARPA, ARP Timeout 04:00:00　　//ARP类型：ARPA，ARP超时04:00:00

Last input 00:00:00, output never, output hang never

//Last input: 自从接口接收到最近的一个数据包后的时间。当该数据包是被precess-switch的方式转发的时候计数器会更新，而当该包是被fast-switch的方式转发时则计数器不更新

//output: 自从接口发送最后一个数据包以后

//output hang: 接口因数据包传输时间过长而重启的时间，never为没有重启过

Last clearing of "show interface" counters never　//清除接口统计计数器后的时间

Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0

//输入列队: 0/75/0/0 (长度/最大/丢弃/淹没)；总输出丢弃：0

Queueing strategy: fifo　　　　　　　//队列策略：fifo

Output queue: 0/40 (size/max)　　　　　　//输入队列：0/40 (长度/最大)

5 minute input rate 0 bits/sec, 0 packets/sec　　//5分钟输入率 0 bit/秒，0包/秒

5 minute output rate 0 bits/sec, 0 packets/sec　　//5分钟输出率0 bit/秒，0包/秒

0 packets input, 0 bytes, 0 no buffer

//0包输入，0字节，因缓存不足丢弃的数据包 0 个

Received 0 broadcasts, 0 runts, 0 giants, 0 throttles //收到的广播和多播数据包数量 0，小于介质最小包大小而被丢弃的包的个数 0，大于介质最大包大小而被丢弃的包的个数0，接口disable的次数0

0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored

//输入错误 0，CRC：接口接收到的冗余校验和的数量 0，frame：接受到的含有 CRC 错误和非整数的十进制数目的数据包的数量 0，overrun：因为输入的速率超出了接受者硬件的处理能力没有硬件缓存来处理的次数 0， ignored：因为接口的内部缓存而造成的接受到数据包被忽略的数目

0 input packets with dribble condition detected

//frame超长输入的数据包个数 0

0 packets output, 0 bytes, 0 underru

//系统发出的数据包格数 0，系统接发的所有数据包0字节，发送者传输过快导致路由器无法处理的次数

0 output errors, 0 collisions, 1 interface resets

//接口认为的所有传输数据包的错误的总和 0，因为以太网冲突导致重传的数据包的个数 0，接口重启次数 1

0 babbles, 0 late collision, 0 deferred

//传输的计时器到 0

//late collision：传输数据包序文报头后发生的碰撞叫late collisions。通常发生late collision都是因为以太网的线缆过长，超出了它所能传输的距离限制造成的

//deferred：因为载波的问题，芯片延后传输帧

0 lost carrier, 0 no carrier //传输过程中丢失载波次数，没有载波的次数

0 output buffer failures, 0 output buffers swapped out

//输出缓存错误0，输出缓存交换 0

② 交换机B配置如下。

B#conf t

Enter configuration commands, one per line. End with CNTL/Z

B(config)#interface range f0/1 – 2　　　　　//端口1和2

B(config-if-range)#channel-group 2 mode on　　　//以太通道2模式开启

Creating a port-channel interface Port-channel2

B(config-if-range)#

*Mar 1 00:26:19.815: %EC-5-BUNDLE: Interface Fa0/1 joined port-channel Po2

*Mar 1 00:26:20.763: %EC-5-BUNDLE: Interface Fa0/2 joined port-channel Po2

B(config-if-range)#

*Mar 1 00:26:22.479: %LINEPROTO-5-UPDOWN: Line protocol on Interface Port-chann

el2, changed state to up

B(config-if-range)#exit

B(config)#exit

B#

*Mar 1 00:26:28.135: %SYS-5-CONFIG_I: Configured from Console by Console

B#

B#show interface port 2

Port-channel2 is up, line protocol is up

Hardware is EtherChannel, address is cc00.1444.f001 (bia cc00.1444.f001)

MTU 1500 bytes, BW 200000 kbit, DLY 1000 usec,

//BW: Band Width (带宽) 200000 kbit （表示通道建立成功，原值位100000kbit）

reliability 255/255, txload 1/255, rxload 1/255

Encapsulation ARPA, loopback not set

Keepalive set (10 sec)

Full-duplex, 100Mb/s

Members in this channel: Fa0/1 Fa0/2

ARP type: ARPA, ARP Timeout 04:00:00

Last input 00:00:00, output never, output hang never

Last clearing of "show interface" counters never

Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0

Queueing strategy: fifo

Output queue: 0/40 (size/max)

5 minute input rate 0 bits/sec, 0 packets/sec

5 minute output rate 0 bits/sec, 0 packets/sec

0 packets input, 0 bytes, 0 no buffer

Received 0 broadcasts, 0 runts, 0 giants, 0 throttles

0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored

0 input packets with dribble condition detected

0 packets output, 0 bytes, 0 underruns

0 output errors, 0 collisions, 1 interface resets

0 babbles, 0 late collision, 0 deferred

0 lost carrier, 0 no carrier

0 output buffer failures, 0 output buffers swapped out

（4）在交换机C与D上配置上行速链路。

① 交换机C配置如下。

C#conf t

Enter configuration commands, one per line. End with CNTL/Z

C(config)#spanning-tree uplinkfast　　　　//配置上行速链路

C(config)#

*Mar 1 00:29:44.051: %SPANTREE_FAST-7-PORT_FWD_UPLINK: VLAN3 FastEthernet0/11 movedto Forwarding (UplinkFast). //VLAN3 端口0/11 移动到转发（上行速链路）

C(config)#exit

C#

*Mar 1 00:30:03.931: %SYS-5-CONFIG_I: Configured from Console by Console

C#show spa brief

VLAN1

Spanning tree enabled protocol ieee uplinkfast enabled

//生成树开启的协议ieee上行速链路开启

Root ID　Priority　8192

Address　cc00.0d08.0000

Cost　　3019

Port　　12 (FastEthernet0/11)

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID　Priority　49152

Address　cc00.1580.0000

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/10　128.11　128　3019 BLK　12 32768 cc00.1444.0000 128.12

FastEthernet0/11　128.12　128　3019 FWD　0　8192 cc00.0d08.0000 128.12

VLAN2

Spanning tree enabled protocol ieee uplinkfast enabled

Root ID　Priority　8192

Address　cc00.0d08.0001

Cost　　3019

Port　　12 (FastEthernet0/11)

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID　Priority　49152

Address　cc00.1580.0001

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/10　128.11　128　3019 BLK　12 32768 cc00.1444.0001 128.12

FastEthernet0/11　128.12　128　3019 FWD　0　8192 cc00.0d08.0001 128.12

VLAN3

Spanning tree enabled protocol ieee uplinkfast enabled

Root ID　Priority　8192

Address　cc00.1444.0002

Cost　　3019

Port　　11 (FastEthernet0/10)

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID　Priority　49152

Address　cc00.1580.0002

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/10　128.11　128　3019 FWD　0　8192 cc00.1444.0002 128.12

FastEthernet0/11　128.12　128　3019 BLK　12 32768 cc00.0d08.0002 128.12

VLAN4

Spanning tree enabled protocol ieee uplinkfast enabled

Root ID　Priority　8192

Address　cc00.1444.0003

Cost　　3019

Port　　11 (FastEthernet0/10)

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 49152

Address　cc00.1580.0003

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/10　128.11　128　3019 FWD　0　8192 cc00.1444.0003 128.12

FastEthernet0/11　128.12　128　3019 BLK　12 32768 cc00.0d08.0003 128.12

C#

C#conf t

Enter configuration commands, one per line. End with CNTL/Z

C(config)#interface f0/11　　　　　　　//端口11

C(config-if)#shutdown　　　　　　　　//关闭

C(config-if)#

*Mar 1 00:32:48.647: %SPANTREE_FAST-7-PORT_FWD_UPLINK: VLAN1 FastEthernet0/10 movedto Forwarding (UplinkFast)

//VLAN1端口0/10 移动到转发（上行速链路）

*Mar 1 00:32:49.183: %DTP-5-NONTRUNKPORTON: Port Fa0/11 has become non-trunk

//端口0/11已经变成非中继

*Mar 1 00:32:50.339: %LINK-5-CHANGED: Interface FastEthernet0/11, changed state

to administratively down　//端口0/11，修改参数关闭管理

*Mar 1 00:32:51.339: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthern

et0/11, changed state to down //在0/11上线路协议，修改参数为关闭

C(config-if)#exit

C(config)#exit

C#

*Mar 1 00:33:00.471: %SYS-5-CONFIG_I: Configured from Console by Console

C#show spa brief

VLAN1

Spanning tree enabled protocol ieee uplinkfast enabled

Root ID　Priority　8192

Address　cc00.0d08.0000

Cost　　3031

Port　　11 (FastEthernet0/10)

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Bridge ID　Priority　49152

Address　cc00.1580.0000

Hello Time　2 sec　Max Age 20 sec　Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/10　128.11　128　3019 FWD　12 32768 cc00.1444.0000 128.12

//端口0/11被关闭后，自动启用被阻塞的端口0/10并变成转发状态，时间大约50秒

VLAN2

Spanning tree enabled protocol ieee uplinkfast enabled

Root ID Priority 8192

Address　cc00.0d08.0001

Cost　　3031

Port　　11 (FastEthernet0/10)

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 49152

Address　cc00.1580.0001

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/10　128.11　128　3019 FWD　12 32768 cc00.1444.0001 128.12

//端口0/11被关闭后，自动启用被阻塞的端口0/10并变成转发状态，时间大约50秒

VLAN3

Spanning tree enabled protocol ieee uplinkfast enabled

Root ID Priority 8192

Address　cc00.1444.0002

Cost　　3019

Port　　11 (FastEthernet0/10)

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 49152

Address　cc00.1580.0002

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/10　128.11　128　3019 FWD　0　8192 cc00.1444.0002 128.12

VLAN4

Spanning tree enabled protocol ieee uplinkfast enabled

Root ID Priority 8192

Address　cc00.1444.0003

Cost　　3019

Port　　11 (FastEthernet0/10)

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 49152

Address　cc00.1580.0003

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/10　128.11　128　3019 FWD　0　8192 cc00.1444.0003 128.12

② 交换机D配置如下。

D#conf t

Enter configuration commands, one per line. End with CNTL/Z

D(config)#spanning-tree uplinkfast　　　　//配置上行速链路

D(config)#

*Mar 1 00:30:29.371: %SPANTREE_FAST-7-PORT_FWD_UPLINK: VLAN3 FastEthernet0/11 movedto Forwarding (UplinkFast).

D(config)#exit

D#

*Mar 1 00:30:33.723: %SYS-5-CONFIG_I: Configured from Console by Console

D#show spa brief

VLAN1

Spanning tree enabled protocol ieee uplinkfast enabled

Root ID Priority 8192

Address　cc00.0d08.0000

Cost　　3019

Port　　12 (FastEthernet0/11)

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 49152

Address　cc00.165c.0000

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/10　128.11　128　3019 BLK　12 32768 cc00.1444.0000 128.11

FastEthernet0/11　128.12　128　3019 FWD　0　8192 cc00.0d08.0000 128.11

VLAN2

Spanning tree enabled protocol ieee uplinkfast enabled

Root ID Priority 8192

Address　cc00.0d08.0001

Cost　　3019

Port　　12 (FastEthernet0/11)

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 49152

Address　cc00.165c.0001

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/10　128.11　128　3019 BLK　12 32768 cc00.1444.0001 128.11

FastEthernet0/11　128.12　128　3019 FWD　0　8192 cc00.0d08.0001 128.11

VLAN3

Spanning tree enabled protocol ieee uplinkfast enabled

Root ID Priority 8192

Address　cc00.1444.0002

Cost　　3019

Port　　11 (FastEthernet0/10)

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 49152

Address　cc00.165c.0002

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/10　128.11　128　3019 FWD　0　8192 cc00.1444.0002 128.11

FastEthernet0/11　128.12　128　3019 BLK　12 32768 cc00.0d08.0002 128.11

VLAN4

Spanning tree enabled protocol ieee uplinkfast enabled

Root ID Priority 8192

Address　cc00.1444.0003

Cost　　3019

Port　　11 (FastEthernet0/10)

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 49152

Address　cc00.165c.0003

Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Aging Time 300

Interface　　　　　　　Designated

Name　　　　Port ID Prio Cost　Sts Cost　Bridge ID　　　Port ID

-------------------- ------- ---- ----- --- ----- -------------------- -------

FastEthernet0/10　128.11　128　3019 FWD　0　8192 cc00.1444.0003 128.11

FastEthernet0/11　128.12　128　3019 BLK　12 32768 cc00.0d08.0003 128.11

（5）配置交换机C与D的1～5号端口为速端口。

① 交换机C配置如下。

C#conf t

Enter configuration commands, one per line. End with CNTL/Z.

C(config)#interface range f0/1 – 5　　　　　　//端口0/1 - 5

C(config-if-range)#spanning-tree portfast　　　　//配置速端口

%Warning: portfast should only be enabled on ports connected to a single host

Connecting hubs, concentrators, switches, bridges, etc.to this interface

when portfast is enabled, can cause temporary spanning tree loops

Use with CAUTION

//警告：速端口只能被用于连接到单主机、集线器、集中器、交换机、网桥等端口

//当启用速端口时，会操正临时生成树环路。小心使用！

%Portfast has been configured on FastEthernet0/1 but will only

have effect when the interface is in a non-trunking mode.

//速端口已经在端口0/1上启用，但是它只作用在非中继模式的端口上

%Warning: portfast should only be enabled on ports connected to a single host.

Connecting hubs, concentrators, switches, bridges, etc.to this interface

when portfast is enabled, can cause temporary spanning tree loops.

Use with CAUTION

%Portfast has been configured on FastEthernet0/2 but will only

have effect when the interface is in a non-trunking mode.

%Warning: portfast should only be enabled on ports connected to a single host.

Connecting hubs, concentrators, switches, bridges, etc.to this interface

when portfast is enabled, can cause temporary spanning tree loops.

Use with CAUTION

%Portfast has been configured on FastEthernet0/3 but will only

have effect when the interface is in a non-trunking mode.

%Warning: portfast should only be enabled on ports connected to a single host.

Connecting hubs, concentrators, switches, bridges, etc.to this interface

when portfast is enabled, can cause temporary spanning tree loops.

Use with CAUTION

%Portfast has been configured on FastEthernet0/4 but will only

have effect when the interface is in a non-trunking mode.

%Warning: portfast should only be enabled on ports connected to a single host.

Connecting hubs, concentrators, switches, bridges, etc.to this interface

when portfast is enabled, can cause temporary spanning tree loops.

Use with CAUTION

%Portfast has been configured on FastEthernet0/5 but will only

have effect when the interface is in a non-trunking mode.

C(config-if-range)#exit

C(config)#exit

② 交换机D配置如下。

D#conf t

Enter configuration commands, one per line. End with CNTL/Z.

D(config)#interface range f0/1 – 5　　　　　　//端口0/1～5

D(config-if-range)#spanning-tree portfast　　　　//配置速端口

%Warning: portfast should only be enabled on ports connected to a single host.

Connecting hubs, concentrators, switches, bridges, etc.to this interface

when portfast is enabled, can cause temporary spanning tree loops.

Use with CAUTION

%Portfast has been configured on FastEthernet0/1 but will only

have effect when the interface is in a non-trunking mode.

%Warning: portfast should only be enabled on ports connected to a single host.

Connecting hubs, concentrators, switches, bridges, etc.to this interface

when portfast is enabled, can cause temporary spanning tree loops.

Use with CAUTION

%Portfast has been configured on FastEthernet0/2 but will only

have effect when the interface is in a non-trunking mode.

%Warning: portfast should only be enabled on ports connected to a single host.

Connecting hubs, concentrators, switches, bridges, etc.to this interface

when portfast is enabled, can cause temporary spanning tree loops.

Use with CAUTION

%Portfast has been configured on FastEthernet0/3 but will only

have effect when the interface is in a non-trunking mode.

%Warning: portfast should only be enabled on ports connected to a single host.

Connecting hubs, concentrators, switches, bridges, etc.to this interface

when portfast is enabled, can cause temporary spanning tree loops.

Use with CAUTION

%Portfast has been configured on FastEthernet0/4 but will only

have effect when the interface is in a non-trunking mode.

%Warning: portfast should only be enabled on ports connected to a single host.

Connecting hubs, concentrators, switches, bridges, etc.to this interface

when portfast is enabled, can cause temporary spanning tree loops.

Use with CAUTION

%Portfast has been configured on FastEthernet0/5 but will only

have effect when the interface is in a non-trunking mode.

D(config-if-range)#exit

D(config)#exit

项目拓展

本方案中，服务器至主交换机采用百兆以太网连接，使用具有先进负载平衡技术的 2 块百兆网卡（Intel 8480）来承担。一旦某一网卡出现问题，系统会自动切换到另一块网卡上，从而达到冗余的目的。两台Cisco Catalyst 3550 交换机作为网络主干交换机（适用于工作站数量小于550 台的网络），交换机之间通过吉比特以太通道技术（Gigabit Ether Channel）相互连接，保证负载均衡及线路备份。2条吉比特线路用作GEC连接，实现了全双工4G带宽。采用生成树技术避免回路，实现交换机间的线路备份，在正常情况下，当主干交换机的光纤端口或光纤链路出现故障时，整个网络可通过生成树重新计算并构造网络结构，配合 uplinkFast 技术，在 2 秒内自动启用备份线路，无须人工干预。思考一下服务器根据以上功能描述、服务器部应放在哪里？为什么？

在VLAN 1 接口上配置了管理地址，接在VLAN 1 上的计算机可以直接Telnet 该地址。为了使其他网段的计算机也可以Telnet到该交换机，请在另一端口上接上另一台计算机，并把端口加入到交换机的VLAN 2，测试出现的情况。

项目小结

通过本项目的学习主要学会STP的作用和基本工作原理。交换机通过STP协议有选择性地阻断了某口，从而构建无环路的转发路径。STP需要选取根桥、根口、指定口。减少STP收敛的措施有uplinkfast、kbonefast和RSTP协议。默认时Cisco交换机为每个VLAN构建一棵树，这样方便控制树，但导致STP树数量太多。MST则可以为多个VLAN共同构建一棵树。

思考题

（1）STP的作用和基本工作原理是什么？

（2）portfast的作用是什么？

（3）如何对公共的生成树进行配置？

（4）如何配置快速端口？

（5）如何对MST进行配置？

项目6　静态路由和动态路由的配置

某开发区为了更好地为入驻企业提供网络服务，打算建设一个相对独立的园区网络服务系统。园区网络服务系统的建设，不仅是建设内部的局域网以及实现与 Internet 和入住企业的互连，还要在先进的网络系统和信息平台的基础之上，根据未来发展的需要，利用自身的资源状况、优势，对整个系统进行统一的规划设计，以建设一个整体的IP网络系统。该网络系统不仅能够为各个分支机构和其他不同用户提供不同的接入方式，而且能够与城域网配合，构建园区网的数据中心，为用户提供全方位的服务。

网络设计完成后能达到如下目标。

（1）在网络核心层进行部分网状的冗余物理连接。

（2）接入层设备通过Dual homing双连接到核心层。

（3）网络采用多出口设计到Internet。

（4）在接入层采用路由汇总减少边缘链路波动对核心网络的影响。

（5）合理采用静、动态路由，提高可靠性。

具体园区网络拓扑如图6-1所示。

图6-1 园区网络拓扑

本项目中，网络系统具有节点分布广、层次多的特点。这些特点决定了必须有一个健全的网络平台来保证各项业务的顺利运作。因此，在设计时必须充分考虑项目单位的组织管理模式、基础设施和机构节点分布、业务操作流程等方面的情况，从实际出发设计本项目网络系统的总体结构。

项目单位的组织和业务管理模式采用分层式结构。层次化网络设计的主要优点是大大简化了网络的管理，便于对整个网络进行监控和管理；同时，也能够优化各层次网络、应用系统的性能，促进各项业务的协作和流程化发展。因此，根据如上组织管理结构，并结合各节点机构的地域分布，我们将本项目网络系统在垂直方向按照机构功能划分为骨干层、汇接层和接入层3 个层次。汇接层到骨干层运行静态路由，园区内部运行动态路由，并加入访问控制列表进行地址控制。

6.1 任务1：静态路由和动态路由技术概述

路由分为静态路由和动态路由，其相应的路由表称为静态路由表和动态路由表。静态路由表由网络管理员在系统安装时，根据网络的配置情况预先设定，网络结构发生变化后由网络管理员手工修改路由表。动态路由随网络运行情况的变化而变化，路由器根据路由协议提供的功能自动计算数据传输的最佳路径，由此得到动态路由表。

根据路由算法，动态路由协议可分为距离向量路由协议（Distance Vector Routing Protocol）和链路状态路由协议（Link State Routing Protocol）。距离向量路由协议基于Bellman-Ford算法，主要有RIP、IGRP；链路状态路由协议基于图论中的Dijkstra算法，即最短路径优先（Shortest PathFirst，SPF）算法，如OSPF。在距离向量路由协议中，路由器将部分或全部的路由表传递给与其相邻的路由器；而在链路状态路由协议中，路由器将链路状态信息传递给在同一区域内的所有路由器。根据路由器在自治系统（AS）中的位置，可将路由协议分为内部网关协议（Interior Gateway Protocol，IGP）和外部网关协议（External Gateway Protocol，EGP）。EGP是为简单的树形拓扑结构而设计的，在处理路由环路和设置路由策略时，具有明显的缺点，目前已被边界网关协议（BGP）所代替。

6.1.1 静态路由

静态路由表由网络管理员预先建立，并且只能由网络管理员更改，所以只适于网络传输状态比较简单的环境。静态路由具有以下特点。

● 静态路由无需进行路由交换，因此节省网络的带宽，降低了路由器的内存和CPU利用率。

● 静态路由具有更高的安全性。在使用静态路由的网络中，所有要连到网络上的路由器都需在邻接路由器上设置其相应的路由。因此，在某种程度上提高了网络的安全性。

● 有的情况下必须使用静态路由，如DDR、使用NAT技术的网络环境。

静态路由具有以下缺点。

● 管理者必须真正理解网络的拓扑并正确配置路由。

● 网络的扩展性能差。如果要在网络上增加一个网络，管理者必须在所有路由器上加一条路由。

● 配置繁琐。特别是当需要跨越几台路由器通信时，其路由配置更为复杂。

配置静态路由的命令为ip route，命令的格式如下。

ip route 目的网络 掩码 { 网关地址 | 接口 }

例：ip route 192.168.1.0 255.255.255.0 s0/0

例：ip route 192.168.1.0 255.255.255.0 12.12.12.2

在配置静态路由时，如果是点到点的链路（如 PPP 封装的链路），采用网关地址和接口都是可以的；然而如果是多路访问的链路（如以太网），则只能采用网关地址，即不能写成如ip route 192.168.1.0 255.255.255.0 f0/0这样的格式。

6.1.2 动态路由

动态路由是指路由器能够自动地建立路由表，并且能够根据实际情况的变化适时地进行调整。路由器之间的路由信息交换是基于路由协议实现的，如图6-2所示。

图6-2 动态路由实现

动态路由机制的运行依赖路由器的两个基本功能：对路由表的维护；路由器之间适时的路由信息交换。通过图 6-2，可以直观地看到路由信息交换的过程。交换路由信息的最终目的在于通过路由表找到一条数据交换的“最佳”路径。每一种路由算法都有其衡量“最佳”的一套原则。大多数算法使用一个量化的参数来衡量路径的优劣，一般来说，参数值越小，路径越好。该参数可以通过路径的某一特性进行计算，也可以在综合多个特性的基础上进行计算。几个比较常用的特性有路径所包含的路由器跳数（hop count）、网络传输开销（cost）、带宽（bandwidth）、延迟（delay）、负载（load）、可靠性（reliability）和最大传输单元MTU（Maximum Transmission Unit）。

路由条目的比较步骤：先按照最长匹配选择最长的；长度相同则选 AD 最小的；AD 相同才比较度量值。各种IGP的AD标准：RIP→120；IS-IS→115；SPF→110；IGRP→100；EIGRP→90；静态路由→1；直连路由→0 。

表6-1 路由协议的默认管理距离

续表

动态路由协议分为距离向量路由协议和链路状态路由协议，两种协议各有特点，现分别介绍如下。

1．距离向量路由协议

距离向量指协议使用跳数或向量来确定从一个设备到另一个设备的距离，而不考虑每跳链路的速率。距离向量路由协议不使用正常的邻居关系，而是用以下两种方法获知拓扑的改变和路由的超时。

● 当路由器不能直接从连接的路由器收到路由更新时；

● 当路由器从邻居收到一个更新，通知它网络某处拓扑发生了变化。

在小型网络中（少于100个路由器，或需要更少的路由更新和计算的环境），距离向量路由协议可以良好运行。当小型网络扩展到大型网络时，由于该算法计算新路由的收敛速度较慢，而且在计算过程中，网络处于一种过渡状态，因此极可能发生循环并造成暂时的拥塞。再者，当网络底层链路技术多种多样，带宽各不相同时，距离向量算法对此视而不见。距离向量路由协议的这种特性不仅造成了网络收敛的延迟，而且浪费了带宽。随着路由表的增大，该协议需要消耗更多的CPU资源和内存。

2．链路状态路由协议

链路状态路由协议没有跳数的限制，使用最短路径优先算法来计算最佳路由。链路状态路由协议收敛时间较短，而且支持 VLSM（可变长子网掩码）和 CIDR。链路状态路由协议在直接相连的路由器之间维护正常的邻居关系，从而保证了路由可以以更快的速度收敛。链路状态路由协议在会话期间通过交换 Hello 包（也叫链路状态信息）创建对等关系，而不像距离向量路由协议那样，需要发送整个路由表进行路由更新。链路状态路由协议只广播更新的或改变的网络拓扑，这节省了带宽，降低了CPU利用率。另外，如果网络不发生变化，更新包只在特定的时间内发出（通常为30min到2h）。

3．链路状态路由协议和距离向量路由协议的比较

距离向量协议也称为距离矢量协议，是根据距离矢量（跳数 hop）来进行路由选择的一个确定最佳路由的方法，比如RIP就是一种距离向量协议。

链路状态协议则是根据带宽、延迟等指标综合考虑而得到一个权值，再根据权值确定最佳路由的方法，比如OSPF就是一类链路状态协议。

如果把距离矢量路由选择协议比作是由路标提供的信息，那么链路状态路由选择协议就是一张交通线路图；因为它有一张完整的网络图，所以它是不容易被欺骗而作出错误的路由决策的；链路状态不同于距离矢量依照传闻进行路由选择的工作方式，每台路由器都会产生一些关于自己、本地直接链路以及这些链路的状态和所有直接相连邻居的信息。

4．常用动态路由协议的分析

（1）距离向量路由协议（RIP）。RIP（路由信息协议）是路由器生产商之间使用的第一个开放标准，是使用最广泛的路由协议。Cisco 路由器可以通过 RIP 协议与其他厂商的路由器连接。RIP有RIPv1和RIPv2两个版本，它们均基于经典的距离向量路由算法，最大跳数为15跳，两者的区别见表6-2。

RIPv1 是有类路由（Classful Routing）协议，由于路由上不包括掩码信息，所以网络上的所有设备必须使用相同的子网掩码，它不支持 VLSM。RIPv2 可发送子网掩码信息，是无类路由（Classless Routing）协议，它支持VLSM。RIP 使用UDP 数据包更新路由信息。路由器每隔30s更新一次路由信息，如果在180s内没有收到相邻路由器的回应，则认为去往该路由器的路由不可用，即该路由器不可到达。如果在240s后仍未收到该路由器的应答，则把有关该路由器的路由信息从路由表中删除。

表6-2 RIPv1 和RIPv2 的区别

配置RIP的基本功能：启动RIP，并在指定的网段启用RIP。具体命令如表6-3所示。

表6-3 RIP配置

提示

这些配置只有在RIP启动后才会生效。RIP只在指定网段的接口上运行；对于不在指定网段上的接口，RIP既不在它上面接收和发送路由，也不将它的接口路由转发出去。因此，RIP启动后必须指定其工作网段。network 0.0.0.0命令用来在所有接口上启用RIP。

RIP 的算法简单，但在路径较多时收敛速度较慢，广播路由信息时占用的带宽资源较多，它适用于网络拓扑结构相对简单且数据链路故障率极低的小型网络中。

（2）距离向量路由协议（IGRP）。20世纪80年代中期，最流行的AS内的路由协议是RIP。虽然RIP在小到中型的有类网络中非常有用，但随着网络的发展，其限制越来越显著，特别是RIP的跳数限制（16）制约了网络的规模，且其单一的度量（跳数）在复杂的环境中也变得很不灵活。 Cisco 路由器的普及和 IGRP 的健壮性促使许多拥有大型网络的组织开始用 IGRP 代替RIP。

IGRP（内部网关路由协议）是20世纪80年代中期由Cisco公司开发的路由协议，其目的是为AS内的路由提供一种健壮的协议。它是一种动态的、长跨度（最大可支持255跳）的路由协议，使用向量作为度量来确定到达一个网络的最佳路由，并由延迟、带宽、可靠性、负载等来计算最优路由。由于该协议在同一个自治系统内支持较大的跳数，因此适合复杂的网络。Cisco IOS允许管理员对IGRP的网络带宽、延迟、可靠性和负载进行权重设置，以影响度量的计算。与RIP一样，IGRP使用UDP发送路由条目。每个路由器每隔90s更新一次路由信息，如果270s内没有收到某路由器的回应，则认为该路由器不可到达；如果630s内仍未收到应答，则IGRP进程将从路由表中删除该路由。

与RIP一样，运行IGRP的最低要求是掌握两个命令的使用：router igrp和network。不过，由于IGRP的度量考虑了更多的的参数，通常会需要设置一些更高级的参数。

① 命令格式：router igrp [as number]

② 具体的命令输入如下。

Router(config)#router igrp 109

Router(config-router)#network 172.16.0.0

③ 这里的 AS 号可以是 1～65535 之间的任意一个数，但要保证某一个 AS 中的所有路由器使用相同的AS号。通过输入几个router igrp语句并给不同的AS号指定不同网络，还可以在某个路由器上启用多个IGRP进程。

与RIP相比，IGRP的收敛时间更长，但传输路由信息所需的带宽减少，此外，IGRP的分组格式中无空白字节，从而提高了IGRP的报文效率。

6.2 任务2：静态路由和默认路由

6.2.1 任务目标

通过实验的学习，读者可以掌握以下技能。

● 理解路由在数据传输过程中的作用。

● 通过该实验学会配置静态路由，并通过ping命令体会静态路由的效果。

● 掌握ping命令在设备中的使用。

● 通过在R2、R3上配置静态路由，使R2、R3可以相互通信。

6.2.2 施工设备

本实验需要以下设备。

● Cisco 3620交换机2台，IOS版本12.3以上。

● Console线缆2条。

● RJ-45线缆若干。

6.2.3 任务场景

园区网的IP地址块可以从城域网的用户网络地址块中分配，也可以使用从其他地方申请到的IP地址。本项目采用前者，因为这样可以作路由汇总，减少网络开销。

为了使用户的IP地址可以从Internet和城域网上进行访问，在3620上要配置静态路由，然后将此静态路由重发布到IGP中。在3620上要做IGP的地址汇总，这样防止过多的外部路由进入城域网的骨干网。这里重点介绍一下静态路由的配置，具体拓扑如图6-3所示。

图6-3 静态路由拓扑

1．配置静态路由

（1）配置R2接口地址。

R2：

Router(config)#host R2

R2(config)#int s1/0　　　　　　　//进入S0接口

R2(config-if)#ip add 192.168.0.2 255.255.255.0 //设置S1/0接口的IP地址

R2(config-if)#no shut　　　　　　　//开启端口

R2(config-if)#int s1/1

R2(config-if)#ip add 192.168.1.1 255.255.255.0

R2(config-if)#no shut

R2(config-if)#exit

（2）配置R2接口地址。

R3：

Router(config)#host R3

R3(config)#int s1/0

R3(config-if)#ip add 192.168.1.2 255.255.255.0

R3(config-if)#no shut

R3(config-if)#int s1/1

R3(config-if)#ip add 192.168.2.1 255.255.255.0

R3(config-if)#no shut

R3(config-if)#exit

（3）在R2和R3上配置静态路由。

在R2上配置静态路由。

R2(config)#ip route 192.168.2.0 255.255.255.0 192.168.1.2

//手动设置下一跳网络地址

R2(config)#

在R3上配置静态路由。

R3(config)#ip route 192.168.0.0 255.255.255.0 192.168.1.1

//手动设置下一跳网络地址

R3(config)#

（4）在R2和R3上用show ip route命令查看路由表。

查看R2的路由表。

R2#show ip route

Codes: C - connected, S - static, R - RIP, M - mobile, B – BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 –IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded

static route Gateway of last resort is not set

C　192.168.0.0/24 is directly connected, Serial1/0

C　192.168.1.0/24 is directly connected, Serial1/1

S　192.168.2.0/24 [1/0] via 192.168.1.2　　//R2上的静态路由

R2#

查看R3的路由表。

Success rate is 100 percent (5/5), round-trip min/avg/max = 8/47/100 ms

R3#show ip route

Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route

Gateway of last resort is not set

S　192.168.0.0/24 [1/0] via 192.168.1.1

192.168.1.0/24 is directly connected, Serial1/0

C　192.168.2.0/24 is directly connected, Serial1/1

R3#

（5）在R2上ping R3，进行测试。

R2#ping

Protocol [ip]:

Target IP address: 192.168.2.1　　　　　//目标IP地址

Repeat count [5]:　　　　　　　　//发送ping次数

Datagram size [100]:　　　　　　　//ping包的大小

Timeout in seconds [2]:　　　　　　//超时时间

Extended commands [n]: Y　　　　　　//是否进一步扩展命令

Source address or interface: 192.168.0.2　　//源IP地址

Type of service [0]:

Set DF bit in IP header? [no]:

Validate reply data? [no]:

Data pattern [0xABCD]:

Loose, Strict, Record, Timestamp, Verbose[none]:

Sweep range of sizes [n]:

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.2.1, timeout is 2 seconds:

Packet sent with a source address of 192.168.0.2

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 12/27/56 ms

R2#

以上输出结果表明，通过在R2、R3上配置静态路由，可以实现R2、R3之间的相互通信。配置静态路由的命令为ip route，其命令格式如下。

ip route 目标网络号 子网掩码 下一跳路由ip |接口

上面的R2也可写成如下的端口模式。

ip route 192.168.2.0 255.255.255.0 s1/0

提示

在配置静态路由时，如果是点对点的链路（如 PPP 封装的链路），可以采用下一跳路由IP 或接口；然而如果是多路访问的链路（以太网），则只能采用下一跳路由IP！

2．配置默认路由

实验拓扑如图6-3所示。通过在R2和R3上配置默认路由，实现R2、R3之间的相互通信。

（1）首先分别删除R2、R3 上的静态路由信息。

R2：

R2#conf t

Enter configuration commands, one per line. End with CNTL/Z.

R2(config)#no ip route 192.168.2.0 255.255.255.0 192.168.1.2

R2(config)#^Z

R2#

R3：

R3(config)#no ip route 192.168.0.0 255.255.255.0 192.168.1.1

R3(config)#^Z

R3#

（2）在R2 、R3 上分别配置默认路由。

R2：

R2#conf t

Enter configuration commands, one per line. End with CNTL/Z.

R2(config)#ip route 0.0.0.0 0.0.0.0 s1/0 //使用的是下一跳路由接收端口

R2(config)#^Z

R3：

R3#conf t

Enter configuration commands, one per line. End with CNTL/Z.

R3(config)#ip route 0.0.0.0 0.0.0.0 s1/1 //使用的是下一跳路由接收端口

R3(config)#^Z

（3）分别查看R2、R3路由表信息。

R2的路由表信息。

R2#show ip route

Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route

Gateway of last resort is 0.0.0.0 to network 0.0.0.0

C 192.168.0.0/24 is directly connected, Serial1/0

C 192.168.1.0/24 is directly connected, Serial1/1

S* 0.0.0.0/0 is directly connected, Serial1/0

R2#

R3的路由表信息。

R3#show ip route

Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route

Gateway of last resort is 0.0.0.0 to network 0.0.0.0

C 192.168.1.0/24 is directly connected, Serial1/0

C 192.168.2.0/24 is directly connected, Serial1/1

S* 0.0.0.0/0 is directly connected, Serial1/1

R3#

（4）在R2上ping R3，进行测试。

R2#ping

Protocol [ip]:

Target IP address: 192.168.1.2

Repeat count [5]:

Datagram size [100]:

Timeout in seconds [2]:

Extended commands [n]: y

Source address or interface: 192.168.0.1

% Invalid source. Must use IP address or full interface name without spaces (e.g.Serial0/1)

Source address or interface:

Type of service [0]:

Set DF bit in IP header? [no]:

Validate reply data? [no]:

Data pattern [0xABCD]:

Loose, Strict, Record, Timestamp, Verbose[none]:

Sweep range of sizes [n]:

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 8/16/32 ms

R2#

通过以上结果可以看到，在R2、 R3 上配置的静态路由已经运行起来了，并R2、R3可以相互通信，实验是成功的。

配置默认路由的命令格式如下。

ip route 0.0.0.0 0.0.0.0 下一跳ip地址|端口

默认路由的配置比较简单，就是当前路由找不到匹配的路由条目时，都交给下一跳IP地址。

6.3 任务3：RIP基本配置

6.3.1 任务目标

本任务为动态路由配置的基本实验。通过实验的学习，可以掌握以下技能。

● 掌握动态路由配置基本方法，实现RIP动态路由配置。

● 掌握被动接口的含义、配置和应用场合。

● 掌握RIPv1、RIPv2路由配置的区别。

● 掌握手动路由汇总。

6.3.2 施工设备

本实验需要以下设备。

● Cisco 3620交换机3台， IOS版本12.3以上。

● Console线缆3条。

● RJ-45线缆若干。

6.3.3 任务场景

园区网主要包括用于向企业用户提供商业 Internet 接入服务的设备和链路。用户在公司里有自己的路由器用于Internet接入。路由器在功能上提供VPN互连、园区中的高速Internet接入。由于园区的企业在20家以内，如果全部采用静态路由则不太合适，因为这需要对每一条路由条目进行配置，过程繁琐，所以采用RIP动态路由协议来实现，具体拓扑如图6-4所示。

图6-4 RIP路由实验连接拓扑

1．RIPv1基本配置实验

（1）在jiance1上配置RIP协议。

jiance1(config)#router rip　　　　　//启动RIP协议

jiance1(config-router)#network 192.168.1.0 //把接口参与到 RIP 协议中，并把接口的网段广播出去。

（2）在jiance2上配置RIP协议。

jiance2(config)#router rip

jiance2(config-router)#network 192.168.1.0

jiance2(config-router)#network 192.168.2.0

（3）在jiance3上配置RIP协议。

jiance3(config)#router rip

jiance3(config-router)#network 192.168.2.0

（4）查看jiance1的路由协议。

jiance1#show ip protocol

Routing Protocol is rip

Sending updates every 30 seconds　// RIP每30秒发送路由更新到它的邻居。

Invalid after 180 seconds, hold down 180, flushed after 240

// 180秒时间后还接收不到邻居广播的路由条目，则认为邻居为possiblely down状态。

// 180秒时间之内，如果出现物理问题，则宣告这个端口上所有接收到的路由条目为possiblely down状态。

//标注为possiblely down状态的路由条目，再经过60秒的时间后将完全从路由表中删除。

Outgoing update filter list for all interfaces is not set

Incoming update filter list for all interfaces is not set

Redistributing: rip

Default version control: send version 1, receive any version

Interface Send Recv Triggered RIP Key-chain

Serial0/0 1 1 2

Automatic network summarization is in effect

Maximum path: 4

Routing for Networks:

192.168.1.0

Routing Information Sources:

Gateway Distance Last Update

Distance: (default is 120)

（5）查看jiance1的路由表。

jiance1#sh ip route

Gateway of last resort is not set

C 192.168.1.0/24 is directly connected, Serial0/0

R 192.168.2.0/24 [120/1] via 192.168.1.2, 00:00:15, Serial0/0

// RIP协议的标号为R。

// IP的管理距离值为120。

// RIP利用跳数作为度量值，从R1 到192.168.2.0 网段需要经过一台路由器，也就是一跳，所以为1。

（6）测试连通性。

Jiance1#ping 192.168.2.3

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2

seconds:

!!!!!

2．RIPv1被动接口与单播更新

由于园区里的企业路由是终端，各个企业间相互独立，所以企业里的路由器端口可以采用被动更新。现用以下拓扑为例进行配置。以太网口g0/0 和g0/1 连接主机，不需要向这些接口发送路由更新，所以可考虑将路由器的该接口设置为被动接口。具体拓扑如图6-5所示。

图6-5 配置被动接口的拓扑

（1）配置路由器R1。

R1(config)#router rip

R1(config-router)#version 1

R1(config-router)#network 10.0.0.0

R1(config-router)#network 172.16.0.0

R1(config-router)#network 192.168.12.0

R1(config-router)#passive-interface GigabitEthernet0/0

R1(config-router)#passive-interface GigabitEthernet0/1

（2）配置路由器R2。

R2(config)#router rip

R2(config-router)#version 1

R2(config-router)#network 192.168.12.0

R2(config-router)#network 2.0.0.0

（3）实验调试。

R1#debug ip rip

R1#clear ip route *

Feb 9 13:24:41.275: RIP: sending request on Serial0/0/0 to 255.255.255.255

Feb 9 13:24:41.283: RIP: received v1 update from 192.168.12.2 on Serial0/0/0

Feb 9 13:24:41.283: 2.0.0.0 in 1 hops

Feb 9 13:24:43.275: RIP: sending v1 flash update to 255.255.255.255 via Serial0/

192.168.12.1)

Feb 9 13:24:43.275: RIP: build flash update entries

Feb 9 13:24:43.275: network 10.0.0.0 metric 1

Feb 9 13:24:43.275: network 172.16.0.0 metric 1

从以上输出可以看出，路由器R1 确实不向被动接口g0/0 和g0/1 发送路由更新。

【技术要点】被动接口只能接收路由更新，不能以广播或组播方式发送更新，但是可以以单播的方式发送更新。配置单播更新的命令如下。

R1(config-router)#neighbor A.B.C.D

3．RIPv2基本配置

Cisco 路由器默采用 RIPv1 版本，由于企业里可能有多台服务器，所以方案要求进行路由汇总，但RIPv1不支持汇总和传递CIDR，所以要求用RIPv2，具体拓扑如图6-6所示。

图6-6 RIPv2基本配置拓扑

（1）按如上拓扑图进行底层配置，并检查相邻设备的连通性。

（2）在3台路由器上进行RIPv2的配置。

R1(config)#router rip

R1(config-router)#version 2

R1(config-router)#network 172.16.0.0

R1(config-router)# network 10.0.0.0

R2(config)#router rip

R2(config-router)#version 2

R2(config-router)# network 10.0.0.0

R3(config)#router rip

R3(config-router)#version 2

R3(config-router)# network 172.16.0.0

R3(config-router)# network 10.0.0.0

（3）用show ip route命令查看路由表，观察是否存在自动汇总。

（4）关闭自动汇总，再看路由表有什么变化。

R1(config)#router rip

R1(config-router)#version 2

R1(config-router)#no auto-summary

R2(config)#router rip

R2(config-router)#version 2

R2(config-router)#no auto-summary

R3(config)#router rip

R3(config-router)#version 2

R3(config-router)#no auto-summary

（5）在R1上修改RIP 的4个计时器。

R1(config)#router rip

R1(config-router)#version 2

R1(config-router)#timers basic 20 120 120 160

//四个值分别代表update, Invalid, hold down, flushed

4．RIPv2手动汇总路由

现配置基于 RIPv2 手动汇总路由，并测试 RIPv2对 CIDR的支持特性，测试拓扑如图 6-7所示。

图6-7 RIPv2 路由手动汇总

（1）配置路由器R1。

R1(config)#router rip

R1(config-router)#version 2

R1(config-router)#no auto-summary

R1(config-router)#network 1.0.0.0

R1(config-router)#network 192.168.12.0

（2）配置路由器R2。

R2(config)#router rip

R2(config-router)#version 2

R2(config-router)#no auto-summary

R2(config-router)#network 192.168.12.0

R2(config-router)#network 192.168.23.0

（3）配置路由器R3。

R3(config)#router rip

R3(config-router)#version 2

R3(config-router)#no auto-summary

R3(config-router)#network 192.168.23.0

R3(config-router)#network 192.168.34.0

（4）配置路由器R4。

R4(config)#router rip

R4(config-router)#version 2

R4(config-router)#no auto-summary

R4(config-router)#network 192.168.34.0

R4(config-router)#network 4.0.0.0

R4(config)#interface s0/0/0

R4(config-if)#ip summary-address rip 4.4.0.0 255.255.252.0 //RIP 手工路由汇总

5．实验调试

（1）路由器R1在没有执行汇总之前的路由表如下。

R1#show ip route

Codes: C - connected, S - static, R - RIP, M - mobile, B – BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route

Gateway of last resort is not set

C 192.168.12.0/24 is directly connected, Serial0/0/0

1.0.0.0/24 is subnetted, 1 subnets

C 1.1.1.0 is directly connected, Loopback0

4.0.0.0/24 is subnetted, 4 subnets

R 4.4.0.0 [120/3] via 192.168.12.2, 00:00:21, Serial0/0/0

R 4.4.1.0 [120/3] via 192.168.12.2, 00:00:21, Serial0/0/0

R 4.4.2.0 [120/3] via 192.168.12.2, 00:00:12, Serial0/0/0

R 4.4.3.0 [120/3] via 192.168.12.2, 00:00:05, Serial0/0/0

R 192.168.23.0/24 [120/1] via 192.168.12.2, 00:00:21, Serial0/0/0

R 192.168.34.0/24 [120/2] via 192.168.12.2, 00:00:22, Serial0/0/0

从上面的输出看到，路由器R1 的路由表中有R4 的4 条环回接口的明细路由。

（2）执行汇总以后，路由器R1 的路由表如下。

R1#show ip route

Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route

Gateway of last resort is not set

C 192.168.12.0/24 is directly connected, Serial0/0/0

1.0.0.0/24 is subnetted, 1 subnets

C 1.1.1.0 is directly connected, Loopback0

4.0.0.0/22 is subnetted, 1 subnets

R 4.4.0.0 [120/3] via 192.168.12.2, 00:00:21, Serial0/0/0

R 192.168.23.0/24 [120/1] via 192.168.12.2, 00:00:21, Serial0/0/0

R 192.168.34.0/24 [120/2] via 192.168.12.2, 00:00:22, Serial0/0/0

上面的输出表明，在路由器R1 的路由表中接收到汇总路由，当然R2、R3 上也能接收到汇总路由。

现在将路由器R4上4个环回接口lo0～lo4的地址分别修改为192.168.96.4/24、192.168.97.4/24、192.168.98.4/24、192.168.99.4/24，s0/0/0 接口不能实现路由汇总，在R4上做如下的配置。

R4(config-if)#router rip

R4(config-router)#network 192.168.96.0

R4(config-router)#network 192.168.97.0

R4(config-router)#network 192.168.98.0

R4(config-router)#network 192.168.99.0

R4(config-if)#ip summary-address rip 192.168.96.0 255.255.252.0

路由器会提示如下信息。

"Summary mask must be greater or equal to major net"

该信息表明，汇总后的掩码长度必须要大于或等于主类网络，因为“22<24”，所以不能汇总。所以RIPv2 不支持CIDR 汇总，但是可以传递CIDR 汇总。

解决方案如下。

（1）用静态路由发布被汇总的路由。

R4(config)#ip route 192.168.96.0 255.255.252.0 null0

（2）将静态路由重发布到RIP 网络中。

R4(config)#router rip

R4(config-router)#redistribute static //将静态路由重发布到RIP 路由协议中。

R4(config-router)#no network 192.168.96.0

R4(config-router)#no network 192.168.97.0

R4(config-router)#no network 192.168.98.0

R4(config-router)#no network 192.168.99.0

（3）在路由器R1 上查看路由表。

R1#show ip route

Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR

P - periodic downloaded static route

Gateway of last resort is not set

C 192.168.12.0/24 is directly connected, Serial0/0/0

1.0.0.0/24 is subnetted, 1 subnets

C 1.1.1.0 is directly connected, Loopback0

R 192.168.23.0/24 [120/1] via 192.168.12.2, 00:00:18, Serial0/0/0

R 192.168.34.0/24 [120/2] via 192.168.12.2, 00:00:18, Serial0/0/0

R 192.168.96.0/22 [120/3] via 192.168.12.2, 00:00:18, Serial0/0/0

通过输出不难看出，RIPv2 是可以传递CIDR 汇总信息的。

6.4 任务4：IGRP配置

6.4.1 任务目标

通过本任务的学习，读者可以掌握以下技能。

● 掌握IGRP 路由配置。

● 掌握IGRP和RIP区别。

6.4.2 施工设备

本实验需要以下设备。

● Cisco 3620交换机3台， IOS版本不限。

● 路由器Console线缆3条。

● RJ-45线缆若干。

6.4.3 任务场景

本园区方案中动态路由配置的过程主要集中在RIP协议的配置上，如果采用IGRP路由协议，那将如何实现呢？现以具体实例来熟悉IGRP路由协议的配置过程以及与RIP的区别，具体拓扑如图6-8所示。

图6-8 IGRP路由协议的配置拓扑

1．实验步骤

（1）配置各路由器的IP地址，并使用ping命令确认直连接口是互通的。

（2）在各台路由器启用RIPv1的路由协议。

（3）在R1上查看路由，发现有RIP学习到的路由。

R1#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route

Gateway of last resort is not set

R 172.16.0.0/16 [120/1] via 10.3.3.2, 00:00:00, Serial1/1

10.0.0.0/8 is variably subnetted, 3 subnets, 2 masks

C　　10.3.3.0/24 is directly connected, Serial1/1

C　　10.2.2.0/27 is directly connected, Loopback1

C　　10.1.1.0/24 is directly connected, Loopback0

R1#

（4）配置各路由器的IGRP协议。

R1(config)#router igrp 200　//启用IGRP路由协议，其自治系统的编号为200

R1(config-router)#network 10.0.0.0

R1(config-router)#exit

R2(config)#router igrp 200

R2(config-router)#network 172.16.0.0

R2(config-router)#network 10.0.0.0

R2(config-router)#exit

R3(config)#router igrp 200

R3(config-router)#network 172.16.0.0

R3(config-router)#exit

（5）再次查看R1路由器的路由表（路由表中始终存放最佳路由）。

R1#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route

Gateway of last resort is not set

I 172.16.0.0/16 [100/10476] via 10.3.3.2, 00:00:00, Serial1/1

//由于IGRP的管理距离为100，而RIP的管理距离为120。根据规则，路由器将为采用IGRP路由条目。10476为IGRP的度量。

10.0.0.0/8 is variably subnetted, 3 subnets, 2 masks

C　　10.2.2.0/27 is directly connected, Loopback1

C　　10.1.1.0/24 is directly connected, Loopback0

C　　10.3.3.0/24 is directly connected, Serial1/1

R1#

（6）查看IGRP的属性。

R1#show ip protocols

Routing Protocol is "igrp 200"

Sending updates every 90 seconds, next due in 36 seconds

Invalid after 270 seconds, hold down 280, flushed after 630

Outgoing update filter list for all interfaces is not set

Incoming update filter list for all interfaces is not set

Default networks flagged in outgoing updates

Default networks accepted from incoming updates

IGRP metric weight K1=1, K2=0, K3=1, K4=0, K5=0　// K值用于计算度量

IGRP maximum hopcount 100　　　　　//默认支持100跳，最多可以达到255跳

IGRP maximum metric variance 1

Redistributing: igrp 200

Maximum path: 4

Routing for Networks:

10.0.0.0

Routing Information Sources:

Gateway　　Distance　Last Update

10.3.3.2　　　100　00:00:36

Distance: (default is 100) //管理距离

（7）在R3上ping 10.2.2.1，结果不通。

（8）跟踪IGRP的通告。

R1#debug ip igrp events　　　　　　//查看IGRP的通告事件

R1#debug ip igrp transactions　　　　　//查看IGRP的通告事件内容

R1#

00:05:03: IGRP: sending update to 255.255.255.255 via Serial1/1 (10.3.3.1)

00:05:03:　　subnet 10.1.1.0, metric=501　　// IGRP事件内容

00:05:03: IGRP: Update contains 1 interior, 0 system, and 0 exterior routes.

//事件信息

00:05:03: IGRP: Total routes in update: 1

00:05:03: IGRP: sending update to 255.255.255.255 via Loopback0 (10.1.1.1)

00:05:03:　　subnet 10.3.3.0, metric=8476

00:05:03:　　network 172.16.0.0, metric=10476

00:05:03: IGRP: Update contains 1 interior, 1 system, and 0 exterior routes.

00:05:03: IGRP: Total routes in update: 2

00:05:03: IGRP: sending update to 255.255.255.255 via Loopback1 (10.2.2.1)

00:05:03:　　network 172.16.0.0, metric=10476

00:05:03: IGRP: Update contains 0 interior, 1 system, and 0 exterior routes.

00:05:03: IGRP: Total routes in update: 1

R1#

00:05:09: IGRP: received update from 10.3.3.2 on Serial1/1

00:05:09:　　network 172.16.0.0, metric 10476 (neighbor 8476)

00:05:09: IGRP: Update contains 0 interior, 1 system, and 0 exterior routes.

00:05:09: IGRP: Total routes in update: 1

R1#

R1#undebug ip igrp transactions

R1#undebug ip igrp events //关闭跟踪

项目拓展

假设校园网分为2个区域，每个区域内使用1台路由器连接2个子网，现要在路由器上做适当配置，实现校园网内各个区域子网之间的相互通信。

请把两台路由器通过串口以V.35 DCE/DTE电缆连接在一起，每个路由器上设置2个Loopback端口模拟子网，设置静态路由，实现所有子网间的互通。具体拓扑如图6-9所示。

图6-9 模拟拓扑

项目小结

通过本项目的学习主要学会 IP 路由选择的类型。真正理解本项目中的基本内容是非常重要的，因为Cisco路由器所完成的每项工作都必须基于某种类型的IP路由选择的配置和运行。在项目中主要学习了IP路由如何在路由器间将数据包构成帧传送给目的主机。在这里，路由器上配置了静态路由，并介绍了IP用于判断到达目标网络可用路由的管理距离。随后详细介绍了动态路由，特别是RIP以及它在一个网络上的工作方式。最后，通过任务学习了如何验证RIP和如何将RIPv2应用到我们的网络中。

思考题

（1）动态路由和静态路由的区别是什么？

（2）如何进行默认路由的配置？

（3）动态路由分为哪几类？

（4）如何进行RIP路由的配置？

（5）RIPv1和RIPv2的区别是什么？

读累了记得休息一会哦~

公众号：古德猫宁李

- 电子书搜索下载

- 书单分享

- 书友学习交流

网站：沉金书屋 https://www.chenjin5.com

- 电子书搜索下载

- 电子书打包资源分享

- 学习资源分享

项目7　配置EIGRP协议

某集团是一家享有盛誉的大型制药企业，分支机构遍布全国各地，具有庞大的生产销售体系，为了提升管理水平，实现其经营发展目标，该集团决定建立一套完善的产品供销管理系统。

经过反复论证，集团决定采用集中式网络拓扑，将终端服务器、数据服务器统一设置在集团总部，集团各分支机构的终端通过 Internet 及移动网络访问集团总部的服务器来应用各自的业务模块。具体特点如下。

（1）集团统一数据库。集团与各分支机构使用统一的数据服务器，各分支机构无须设置各自的数据服务器，可直接通过网络来访问集团总部的终端服务器。

（2）确保集团管理的时效性。由于采用统一的数据服务器，各分支机构的相应业务、财务等数据流实时更新，这为集团管理提供了实时的数据分析。

（3）降低信息化成本。各分支机构无须下设应用数据服务器，从而使得维护工作集中在集团总部的信息化管理部门，因此大大降低了维护成本。

图7-1所示为该集团的管理系统拓扑图。

本方案所采用的设备都是 Cisco 公司的产品，结合该事实以及网络的实际情况，将使用EIGRP（Enhanced Interior Gateway Routing Protocol，增强型内部网关路由协议）来作为该系统的路由协议。

7.1 任务1：EIGRP概述

7.1.1 EIGRP路由协议简介

EIGRP是Cisco的私有路由协议，它综合了距离向量和链路状态两者的优点，其特点如下所示。

图7-1 管理系统拓扑图

（1）快速收敛：链路状态包（Link-State Packet，LSP）不是依靠路由计算来转发的，所以网络的收敛较快。该协议只宣告链路和链路状态，而不宣告路由，所以即使链路发生了变化也不会引起该链路的路由被宣告。但是链路状态路由协议使用的是 Dijkstra 算法，该算法比较复杂，因此比较耗费CPU和内存资源。和其他单独计算路由的路由协议相比，链路状态路由协议采用扩散计算（diffusing computation）的方法，在多台路由器之间通过一种并行的方式执行路由的计算，这样就可以在无环路产生的情况下快速收敛。

（2）减少带宽占用：EIGRP不进行周期性的更新，它只在路由的路径和度量发生变化以后进行部分更新。当路径信息改变以后，DUAL只发送那条路由信息改变了的更新，而不是发送整个路由表。和将更新传输到一个区域内的所有路由器上的链路状态路由协议相比，DUAL只发送更新给需要该更新信息的路由器。在WAN低速链路上，EIGRP可能会占用大量带宽（默认占用链路带宽的50%），较新的IOS版本允许使用命令ip bandwidth-percent eigrp来修改这一默认值。

（3）支持多种网络层协议：EIGRP通过使用protocol-depend entmodules（PDMs），可以支持ApplleTalk、IP、NovellNetware等协议。

（4）无缝连接数据链路层协议和拓扑结构：EIGRP不要求对OSI参考模型的二层协议进行特别配置。EIGRP能够有效地工作在LAN和WAN中，且网络中不会产生环路；EIGRP的配置相当简单，支持VLSM，使用多播和单播而不是广播来宣告路由信息，从而节约了带宽。EIGRP的度量算法与IGRP相同，其位数为32位。EIGRP还可以做非等价路径的负载平衡。

（5）安全性：EIGRP可以在路由更新中使用MD5进行加密验证。

7.1.2 EIGRP路由协议的数据库

运行EIGRP的路由器维持3张表。Neighbor Table、Topology Table和Routing Table，如图7-2所示。其中Neighbor Table保存了和路由器建立了邻居关系的且直接相连的路由器；Topology Table包含路由器学习到的到达目的地的所有路由条目，其过程如下。

（1）Neighbor Table中的每个邻居都转发1份IP路由表的拷贝给它们的邻居。

（2）每个邻居把从它们的邻居处得来的路由表存储在自己的EIGRP拓扑数据库中。

（3）EIGRP检查拓扑数据库，然后选择出一条到达目的地的最佳路由。

（4）EIGRP从拓扑数据库中选择到达目的地的最佳的后继路由器，然后将其放到路由表里。路由器为每种协议（如IP、IPX）各自保持1张单独的路由表。

EIGRP中3张表之间的关系如图7-2所示。

图7-2 EIGRP中3张表之间关系

（5）EIGRP 度量的计算方法。EIGRP 选择一条主路由（最佳路由）和一条备份路由放在Topology Table（EIGRP支持最多6条到达目的地链路），它支持几种路由类型有内部、外部（非EIGRP）和汇总路由。EIGRP使用的度量以及计算方法如下。

① EIGRP Metric的5个标准。

● 带宽（bandwidth）：10的7次方除以源和目的之间最低的带宽，再乘以256。

● 延迟（delay）：接口的累积延迟乘以256，单位是微秒。

● 可靠性（reliability）：根据keepalive而定的源和目的之间最不可靠的可靠度的值。

● 负载（loading）：根据包速率和接口配置带宽而定的源和目的之间最不差的负载的值。

● 最大传输单元（MTU）：路径中最小的 MTU。MTU 包含在 EIGRP 的路由更新中，但是一般不参与EIGRP度的运算 。

② EIGRP Metric的计算。EIGRP使用DUAL来决定到达目的地的最佳路由，当最佳路由出问题的时候，EIGRP不使用holddowntimer而是立即使用备份路由，这样就使得EIGRP可以进行快速收敛。

EIGRP计算度量的公式如下，其中K为常量。

metric=[K1*bandwidth+(K2*bandwidth)/(256–load)+K3*delay]*[K5/(reliability+K4)]

默认情况下，K1=1，K2=0，K3=1，K4=0，K5=0。K值通过EIGRP的Hello包传输。如果两个路由器的K值不匹配则不能形成邻居关系。EIGRP的度量中，K值通过EIGRP消息中的“类型/长度/值类型”字段来设置，如图7-3所示。

图7-3 K值示意图

③ EIGRP 度量和 IGRP 度量的换算。EIGRP 的度量和 IGRP 的度量能够很好地兼容。IGRP的度量是24位的格式，而EIGRP是32位的格式。它们之间的关系是EIGRP的度量是256倍的IGRP的度量。也就是说，假如IGRP的度量为1 000，换算成EIGRP则为256 000。

7.1.3 EIGRP数据包

EIGRP使用多种类型的数据包，这些数据包通过IP头部信息里的协议号88来标识，目的地址则被设为组播地址 224.0.0.10。如果 EIGRP 数据包被封装在以太网帧内，则目的 MAC 地址也是一个组播地址：01-00-5E-00-00-0A。EIGRP数据包的格式如图7-4所示。

图7-4 EIGRP数据包格式

（1）Hello数据包：用来发现和恢复邻居，通过组播的方式发送。

（2）ACK（acknowledgement）数据包：不包含数据（data）的 Hello 包，使用单播并不可靠的方式发送。

（3）Update 数据包：不定期地发送路由更新信息（比如网络链路发生变化时）。当只有一台路由器需要路由更新时，Update数据包通过单播发送；当有多个路由器需要路由更新的时候，通过组播发送。

（4）Query（查询）和Reply（应答）数据包：是DUAL 有限状态机用来管理扩散计算用的，查询包可以是以组播或单播方式发送的，应答包是通过单播方式发送的。

（5）Request（请求）数据包：供路由服务器（server）使用。

EIGRP配置的2个步骤如下。

① 使用router eigrp <process-id>启动EIGRP。

② 使用network命令指定参与EIGRP进程的主网络号，process-id范围是1～65535；也可以使用InterNIC分配的AS号，具体如下。

Earhart(config)#router eigrp 15

Earhart(config-router)#network 172.20.0.0

7.2 任务2：EIGRP的基本配置

7.2.1 任务目标

通过实验的学习，读者可以掌握以下技能。

● 掌握EIGRP的基本配置。

● 掌握EIGRP的通配符掩码配置方法。

● 掌握EIGRP的自动汇总特性，以及如何关闭自动汇总。

● 掌握EIGRP的手动汇总。

7.2.2 施工设备

本实验需要以下设备。

● Cisco 3620交换机3台，IOS版本不限。

● 路由器3台和Console线缆1根。

● RJ-45线缆若干。

7.2.3 任务场景

集团选择一台高档服务器作为中央处理机放置在销售总公司，用于完成信息处理的任务，同时，对于信息传输量较大的管理中心（如：销售总公司），应建立良好的网络环境，使其具备高传输带宽、各个广域网端口等功能。各生产厂、分销中心、办事处可通过 DDN、X.25 及 PSTN 等线路与集团实现联网。集团总公司主要负责重要数据的汇总和处理，集团分支机构 1＃负责所有生产厂的汇总和处理，并将结果交给总公司，集团分支机构 2＃负责分销点的处理。现在集团内路由器运行EIGRP协议，具体拓扑如图7-5所示。

实验步骤

（1）配置各台路由器的IP地址，并且使用ping命令确认各路由器直连口的互通性。

（2）在3台路由器上配置EIGRP，且自治系统编号为50。

图7-5 EIGRP基本配置拓扑

（3）登录到R2路由器，作如下配置（其他路由器参照该配置进行相应配置）。

R1#configure terminal

R1(config-if)#router eigrp 50

R1(config-router)#network 172.16.0.0 //默认情况下，EIGRP在配置路由器时，可以直接通告主类网络号

R1(config-router)#network 10.10.10.0

R1(config-router)#exit

R1(config)#

R2#configure terminal

R2(config-if)#router eigrp 50

R2(config-router)#network 172.16.0.0

R2(config-router)#network 131.131.0.0

R2(config-router)#exit

R2(config)#

R3#configure terminal

R3(config-if)#router eigrp 50

R3(config-router)#network 172.16.0.0

R3(config-router)#network 192.168.1.0

R3(config-router)#exit

R3(config)#

（4）在任意一台路由器上观察EIGRP的邻居关系。

R2#show ip eigrp 50 neighbors //查看eigrp 50自治系统的邻居

IP-EIGRP neighbors for process 50

H　Address　　　　Interface　　Hold Uptime　SRTT　RTO　Q　Seq

(sec)　　(ms)　Cnt Num

1　172.16.1.6　　　Se1/1　　　13 00:00:37　436　2616　0　2

0　172.16.1.1　　　Se1/0　　　13 00:02:34　736　4416　0　4

其中：列H指出邻居学习的顺序，Address指出邻居地址，Interface指出邻居所在的本地接口。

（5）在任意一台路由器上查看路由器，确认路由。

R2#show ip route

172.16.0.0/16 is variably subnetted, 3 subnets, 2 masks

C　　172.16.1.4/30 is directly connected, Serial1/1

D　　172.16.0.0/16 is a summary, 00:06:33, Null0

// EIGRP会自动为可汇总的子网生成一条指向null0口的路由，以实现汇总路由和避免路由黑洞的目的

C　　172.16.1.0/30 is directly connected, Serial1/0

D 192.168.4.0/24 [90/2297856] via 172.16.1.6, 00:04:39, Serial1/1

D 10.0.0.0/8 [90/2297856] via 172.16.1.1, 00:06:34, Serial1/0

C 131.131.0.0/16 is directly connected, Loopback0

D 192.168.0.0/24 [90/2297856] via 172.16.1.6, 00:04:39, Serial1/1

//90为EIGRP的内部管理距离，2297856为EIGRP计算的度量(FD)

D 192.168.1.0/24 [90/2297856] via 172.16.1.6, 00:04:39, Serial1/1

D 192.168.2.0/24 [90/2297856] via 172.16.1.6, 00:04:39, Serial1/1

D 192.168.3.0/24 [90/2297856] via 172.16.1.6, 00:04:39, Serial1/1

R2#

（6）在R2路由器上使用更简洁的查看EIGRP的路由命令。

R2#show ip route eigrp

172.16.0.0/16 is variably subnetted, 3 subnets, 2 masks

D 172.16.0.0/16 is a summary, 00:10:09, Null0

D 192.168.4.0/24 [90/2297856] via 172.16.1.6, 00:08:14, Serial1/1

D 10.0.0.0/8 [90/2297856] via 172.16.1.1, 00:10:10, Serial1/0

//R2路由器的自动汇总的路由

D 192.168.0.0/24 [90/2297856] via 172.16.1.6, 00:08:14, Serial1/1

D 192.168.1.0/24 [90/2297856] via 172.16.1.6, 00:08:14, Serial1/1

D 192.168.2.0/24 [90/2297856] via 172.16.1.6, 00:08:14, Serial1/1

D 192.168.3.0/24 [90/2297856] via 172.16.1.6, 00:08:14, Serial1/1

R2#

（7）注意到在R2路由器上有一条指向Serial1/0口的10.0.0.0/8的汇总路由，这是EIGRP路由协议自动汇总的特性体现。可以使用no auto-summary命令关闭，如下所示。

R1(config)

R1(config)#router eigrp 50

R1(config-router)#no auto-summary //关闭EIGRP的自动汇总特性

R1(config-router)#exit

R1(config)#

随后在R2上观察路由表的变化，如下所示。

R2#show ip route eigrp

172.16.0.0/16 is variably subnetted, 3 subnets, 2 masks

D　　172.16.0.0/16 is a summary, 00:07:26, Null0

D 192.168.4.0/24 [90/2297856] via 172.16.1.6, 00:05:09, Serial1/1

10.0.0.0/24 is subnetted, 4 subnets

D　　10.1.3.0 [90/2297856] via 172.16.1.1, 00:02:31, Serial1/0

D　　10.1.2.0 [90/2297856] via 172.16.1.1, 00:02:31, Serial1/0

D　　10.1.1.0 [90/2297856] via 172.16.1.1, 00:02:31, Serial1/0

D　　10.1.4.0 [90/2297856] via 172.16.1.1, 00:02:31, Serial1/0

//当关闭了自动汇总后，R2可以看到明细路由

D 192.168.0.0/24 [90/2297856] via 172.16.1.6, 00:05:09, Serial1/1

D 192.168.1.0/24 [90/2297856] via 172.16.1.6, 00:05:09, Serial1/1

D 192.168.2.0/24 [90/2297856] via 172.16.1.6, 00:05:09, Serial1/1

D 192.168.3.0/24 [90/2297856] via 172.16.1.6, 00:05:09, Serial1/1

R2#

（8）EIGRP也可以进行手动地址汇总。手动地址汇总可以有效地减少路由表的大小。比如在R2上的路由中，关于R3的192.168.*.*的网络显示为4条具体路由，可以在R3上进行如下配置，减少路由通告条目。

R3(config)#interface serail 1/0

R3(config-if)#ip summary eigrp 50 192.168.0.0 255.255.252.0

R3(config-if)#exit

（9）观察R2路由器的路由表。

R2#show ip route eigrp

…

D　　10.1.1.0 [90/2297856] via 172.16.1.1, 00:02:31, Serial1/0

D　　10.1.4.0 [90/2297856] via 172.16.1.1, 00:02:31, Serial1/0

D　　192.168.0.0/22 [90/2297856] via 172.16.1.6, 00:05:09, Serial1/1

………//显示为一条汇总路由，有效地减少了路由表的大小

（10）在R2上使用通配符掩码配置EIGRP。

R2(config)#no router eigrp 50

R2(config)#router eigrp 50

R2(config-router)#network 172.16.1.0 0.0.0.3

//使用通配符掩码可以很好地控制哪些接口加入到 EIGRP 的进程中。否则可能需要使用 passive-interface命令进行设置。此处仅将s1/0接口加入到eigrp中，所以R2的s1/1接口和R3的路由不会被转发给R1

R2(config-router)#network 131.131.0.0

R2(config-router)#exit

（11）在R2上确认邻居，此处仅发现与R1建立了邻居关系。

R2#show ip eigrp neighbors

IP-EIGRP neighbors for process 50

H　Address　　　Interface　　Hold Uptime　SRTT　RTO　Q　Seq

(sec)　　(ms)　Cnt Num

0　172.16.1.1　　　Se1/0　　　12 00:04:57 1510　5000　0　5

（12）查看R1的路由表，进行确认所学习到的路由。

R1#show ip route eigrp

172.16.0.0/16 is variably subnetted, 2 subnets, 2 masks

D　　172.16.0.0/16 is a summary, 00:02:55, Null0

10.0.0.0/8 is variably subnetted, 5 subnets, 2 masks

D　　10.0.0.0/8 is a summary, 00:02:55, Null0

D 131.131.0.0/16 [90/2297856] via 172.16.1.2, 00:00:06, Serial1/1

//由于采用通配符掩码进行选择性的配置，所以R1仅学习到131.131.0.0/16的路由条目，无法学习到R3的直接路由

R1#

7.3 任务3：EIGRP默认网络

7.3.1 任务目标

通过实验的学习，读者可以掌握以下技能。

● 通过ip default-network命令配置EIGRP默认网络。

● 掌握主类网络的使用。

7.3.2 施工设备

本实验需要以下设备。

● Cisco 3620交换机4台，IOS版本不限。

● 路由器4台和Console线缆1根。

● RJ-45线缆若干。

7.3.3 任务场景

为了加强管理，需要对集团内部的路由器统一进行管理，这主要是通过配置EIGRP默认路由并对主类网络进行限制来实现的。具体拓扑如图7-6所示。

图7-6 EIGRP的默认配置拓扑

实验步骤

（1）配置各台路由器的IP地址，并且使用ping命令确认各路由器直连口的互通性。

（2）配置R3路由器，使其用于模拟外部网络，也可以把它假想为Internet网络。在R3上配置一条默认路由，以便路由来自于EIGRP内部网络的数据包。

R3(config)#

R3(config)#ip route 0.0.0.0 0.0.0.0 192.168.10.1 //配置此条路由用来到达EIGRP内部网络

R3(config)#

（3）配置R1、R2和R5路由器的EIGRP路由协议，配置如下所示。

R1(config)#router eigrp 50

R1(config-router)#network 172.16.0.0

R1(config-router)#exit

R5(config)#router eigrp 50

R5(config-router)#network 172.16.0.0

R5(config-router)#exit

R2(config)#router eigrp 50

R2(config-router)#network 172.16.0.0

R2(config-router)#exit

（4）在R2上查看EIGRP的邻居，确认EIGRP正常运行。

R2#show ip eigrp neighbors

IP-EIGRP neighbors for process 50

H　Address　　　Interface　Hold Uptime　SRTT　RTO　Q　Seq Type

(sec)　　(ms)　　Cnt Num

1　172.16.1.6　　　Et1/2　　11 00:00:54　1　3000　0　2

0　172.16.1.1　　　Et1/0　　12 00:00:54　1　3000　0　2

（5）在R2上配置静态默认路由，用于到达外部网络，配置如下。

R2(config)#ip route 0.0.0.0 0.0.0.0 192.168.10.2

// R2通过此路由可以访问到外部网络

R2(config)#

R2#ping 192.168.1.1 //测试静态默认路由的有效性

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:

.!!!!

Success rate is 80 percent (4/5), round-trip min/avg/max = 4/43/92 ms

R2#

（6）路由器 R2 作为企业的出口路由器，由于其配置了静态路由，因此可以直接访问外网，但是内部的R1和R5路由器由于缺少路由，因此无法直接访问外网。下面显示了R1路由器的路由表，以及R1向外部发起ping的结果。

R1#show ip route

Gateway of last resort is not set

172.16.0.0/30 is subnetted, 2 subnets

D　　172.16.1.4 [90/284160] via 172.16.1.2, 00:06:40, FastEthernet0/1

C　　172.16.1.0 is directly connected, FastEthernet0/1

//路由表显示出R1没有到达外部网络的路由

R1#ping 192.168.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:

.....// 由于R1缺少到达外部网络的路由，因此R1无法访问外部网络

Success rate is 0 percent (0/5)

R1#

R5#show ip route

Gateway of last resort is not set

172.16.0.0/30 is subnetted, 2 subnets

C　　172.16.1.4 is directly connected, Ethernet1/1

D　　172.16.1.0 [90/307200] via 172.16.1.5, 00:12:15, Ethernet1/1

R5#

R5#ping 192.168.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:

.....// 内部路由器R5也遇到了与R1相同的问题

Success rate is 0 percent (0/5)

（7）为了解决问题，只需要分别在R1和R5路由器上配置一条指向R2路由器的静态默认路由即可，如下所示。

R1(config)#ip route 0.0.0.0 0.0.0.0 172.16.1.2

R1(config)#exit

R1#show ip route

Gateway of last resort is 172.16.1.2 to network 0.0.0.0

172.16.0.0/30 is subnetted, 2 subnets

D　　172.16.1.4 [90/284160] via 172.16.1.2, 00:09:19, FastEthernet0/1

C　　172.16.1.0 is directly connected, FastEthernet0/1

S* 0.0.0.0/0 [1/0] via 172.16.1.2//为R1添加一条到达外网的静态默认路由。

R1#

R1#ping 192.168.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:

!!!!!// 由于此时已经配置了默认路由，所以此时R1可以访问外部网络。

Success rate is 100 percent (5/5), round-trip min/avg/max = 48/71/92 ms

R1#

R5(config)#ip route 0.0.0.0 0.0.0.0 172.16.1.5

R5(config)#exit

R5#

R5#show ip route

Gateway of last resort is 172.16.1.5 to network 0.0.0.0

172.16.0.0/30 is subnetted, 2 subnets

C　　172.16.1.4 is directly connected, Ethernet1/1

D　　172.16.1.0 [90/307200] via 172.16.1.5, 00:13:57, Ethernet1/1

S* 0.0.0.0/0 [1/0] via 172.16.1.5

R5#

R5#ping 192.168.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 32/53/64 ms

R5#

（8）其实只需要给内部路由器（如R1和R5）配置默认路由，使其指向出口路由器R2，即可解决外部网络无法访问的问题。但是当内部网络路由器数量较多时，手动配置静态默认路由则会显得非常繁锁。因此，建议采用ip default-network 命令，让R2 路由器自动地向内部通告默认路由。

（9）将R1和R5的静态默认路由删除后，查看R1和R5的路由表，如下所示。

R1(config)#no ip route 0.0.0.0 0.0.0.0 172.16.1.2

R1(config)#exit

R1#

R1#show ip route

Gateway of last resort is not set

172.16.0.0/30 is subnetted, 2 subnets

D　　172.16.1.4 [90/284160] via 172.16.1.2, 00:19:02, FastEthernet0/1

C　　172.16.1.0 is directly connected, FastEthernet0/1

R1#

R1#ping 192.168.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:

.....

Success rate is 0 percent (0/5)

R1#

R5(config)#no ip route 0.0.0.0 0.0.0.0 172.16.1.5

R5(config)#exit

R5#

R5#show ip route

Gateway of last resort is not set

172.16.0.0/30 is subnetted, 2 subnets

C　　172.16.1.4 is directly connected, Ethernet1/1

D　　172.16.1.0 [90/307200] via 172.16.1.5, 00:19:42, Ethernet1/1

R5#

R5#ping 192.168.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:

.....

Success rate is 0 percent (0/5)

R5#

（10）在R2上配置默认网络，如下所示。

R2(config)#router eigrp 50

R2(config-router)#network 192.168.10.0

R2(config-router)#exit

R2(config)#ip default-network 192.168.10.0

R2(config)#exit

R2#show ip route

Gateway of last resort is 192.168.10.2 to network 0.0.0.0

* 192.168.10.0/24 is variably subnetted, 2 subnets, 2 masks

D*　192.168.10.0/24 is a summary, 00:00:53, Null0

// default-network命令标识的默认网络

C　　192.168.10.0/30 is directly connected, Ethernet1/1

172.16.0.0/16 is variably subnetted, 3 subnets, 2 masks

C　　172.16.1.4/30 is directly connected, Ethernet1/2

D　　172.16.0.0/16 is a summary, 00:22:22, Null0

C　　172.16.1.0/30 is directly connected, Ethernet1/0

S* 0.0.0.0/0 [1/0] via 192.168.10.2 //手动配置的静态默认路由

R2#

（11）查看R1和R5路由器的路由表，并且尝试访问外部网络。

R1#show ip route

Gateway of last resort is 172.16.1.2 to network 192.168.10.0

D* 192.168.10.0/24 [90/284160] via 172.16.1.2, 00:02:03, FastEthernet0/1

//由于R2上配置了默认网络，EIGRP路由器会将其通告给R1路由器

172.16.0.0/30 is subnetted, 2 subnets

D　　172.16.1.4 [90/284160] via 172.16.1.2, 00:02:04, FastEthernet0/1

C　　172.16.1.0 is directly connected, FastEthernet0/1

R1#

R1#ping 192.168.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 48/105/188 ms

R1#

R5#show ip route

Gateway of last resort is 172.16.1.5 to network 192.168.10.0

D* 192.168.10.0/24 [90/307200] via 172.16.1.5, 00:04:15, Ethernet1/1

172.16.0.0/30 is subnetted, 2 subnets

C 172.16.1.4 is directly connected, Ethernet1/1

D 172.16.1.0 [90/307200] via 172.16.1.5, 00:04:19, Ethernet1/1

R5#

R5#ping 192.168.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 76/87/96 ms

R5#

（12）使用 ip default-network 命令可以有效减少内部网络的配置任务。不过建议对 ipdefault-network 命令指出的默认网络采用主类网络的形式。如果使用无类网络，则可能会出现无法解释的问题。

7.4 任务4：EIGRP的汇总

7.4.1 任务目标

通过本实验的学习，读者可以掌握以下技能。

● 理解EIGRP的自动汇总的缺点。

● 掌握EIGRP的手动/自动汇总的配置方法。

7.4.2 施工设备

本实验需要以下设备。

● Cisco 3620交换机4台，IOS版本不限。

● 路由器4台和Console线缆1根。

● RJ-45线缆若干。

7.4.3 任务场景

为了减少路由器的路由条目，有必要在集团边缘路由器上进行路由汇总，EIGRP默认对路由进行自动汇总，但在集团内部子网划分较多的情况下，路由表就会变得复杂，这就需要通过手动修改配置信息，以实现按指定条目汇总路由信息，具体拓扑和操作如图7-7所示。

图7-7 EIGRP路由汇总拓扑

实验步骤

（1）配置各台路由器的IP地址，并且使用ping命令确认各路由器直连口的互通性。

（2）配置各台路由器的EIGRP协议，并且不关闭自动汇总功能。

（3）在 R2 上使用 ping 测试网络路由，会发现 R2 路由器无法 ping 通路由器 R4 所连接的10.1.X.0/24网络子网，如下所示。

R2#ping 10.1.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/46/92 ms

R2#

R2#ping 10.1.16.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.16.1, timeout is 2 seconds:

U.U.U //无法ping通10.1.16.1的IP地址

Success rate is 0 percent (0/5)

R2#

R2#ping 10.1.17.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.17.1, timeout is 2 seconds:

U.U.U

Success rate is 0 percent (0/5)

R2#

（4）查看R2的路由表。

R2#show ip route

Gateway of last resort is not set

172.16.0.0/30 is subnetted, 3 subnets

D　　172.16.1.8 [90/307200] via 172.16.1.6, 00:06:25, Ethernet1/1

C　　172.16.1.4 is directly connected, Ethernet1/1

C　　172.16.1.0 is directly connected, Ethernet1/0

D 10.0.0.0/8 [90/409600] via 172.16.1.1, 00:06:09, Ethernet1/0

// R2路由器显示的汇总路由

D 192.168.0.0/24 [90/409600] via 172.16.1.6, 00:06:25, Ethernet1/1

D 192.168.1.0/24 [90/409600] via 172.16.1.6, 00:06:25, Ethernet1/1

D 192.168.2.0/24 [90/409600] via 172.16.1.6, 00:06:25, Ethernet1/1

D 192.168.3.0/24 [90/409600] via 172.16.1.6, 00:06:25, Ethernet1/1

R2#

（5）查看R2路由器的拓扑表。

R2#show ip eigrp topology all-links // all-links参数用于显示所有链路

IP-EIGRP Topology Table for AS(50)/ID(172.16.1.5)

Codes: P - Passive, A - Active, U - Update, Q - Query, R - Reply,

r - Reply status

P 10.0.0.0/8, 1 successors, FD is 409600, serno 3

//10.0.0.0/8网络有2条路由，注意两条路由的FD值是不同的

via 172.16.1.1 (409600/128256), Ethernet1/0

via 172.16.1.6 (435200/409600), Ethernet1/1

P 192.168.0.0/24, 1 successors, FD is 409600, serno 4

via 172.16.1.6 (409600/128256), Ethernet1/1

P 192.168.1.0/24, 1 successors, FD is 409600, serno 5

via 172.16.1.6 (409600/128256), Ethernet1/1

P 192.168.2.0/24, 1 successors, FD is 409600, serno 6

via 172.16.1.6 (409600/128256), Ethernet1/1

P 192.168.3.0/24, 1 successors, FD is 409600, serno 7

via 172.16.1.6 (409600/128256), Ethernet1/1

P 172.16.1.8/30, 1 successors, FD is 307200, serno 8

via 172.16.1.6 (307200/281600), Ethernet1/1

P 172.16.1.4/30, 1 successors, FD is 281600, serno 2

via Connected, Ethernet1/1

P 172.16.1.0/30, 1 successors, FD is 281600, serno 1

via Connected, Ethernet1/0

R2#

导致R2无法ping通路由器R4所连接的10.1.X.0/24的网络主要原因是：R1本身属于主类的边界，它会将本地路由表中的子网向主类网络自动汇总。而 R4 也属于主类的边界，也会做出与R1相同的动作。因此R2会从不同的接口收到相同的汇总路由，即10.0.0.0/8网络路由。由于R2在比较了两条路由的可行距离后，选择了较小的FD值的路由，即R1通告的10.0.0.0/8汇总路由，而忽略了另外一个接口收到汇总路由。由此可见，并不是路由选择出错，而是自动汇总不能做到精确的控制导致R2无法ping通网络。

（6）为了解决汇总问题，需要在R1和R2上关闭自动汇总，而采用手动汇总，配置如下。

R1(config)#router eigrp 50

R1(config-router)#no auto-summary //关闭自动汇总。

R1(config-router)#exit

R1(config)#

R1(config)#interface fastEthernet 0/1

R1(config-if)#ip summary-address eigrp 50 10.1.0.0 255.255.252.0

//进行手动汇总，其汇总路由为10.1.0.0/22

R1(config-if)#exit

R1(config)#exit

R1(#

R4(config)#router eigrp 50

R4(config-router)#no auto-summary

R4(config-router)#exit

R4(config)#

R4(config)#interface fastEthernet 0/0

R4(config-if)#ip summary-address eigrp 50 10.1.16.0 255.255.252.0

R4(config-if)#exit

R4(config)#exit

（7）再次查看R2路由表。

R2#show ip route

Gateway of last resort is not set

172.16.0.0/30 is subnetted, 3 subnets

D　　172.16.1.8 [90/307200] via 172.16.1.6, 00:21:08, Ethernet1/1

C　　172.16.1.4 is directly connected, Ethernet1/1

C　　172.16.1.0 is directly connected, Ethernet1/0

10.0.0.0/22 is subnetted, 2 subnets

D　　10.1.0.0 [90/409600] via 172.16.1.1, 00:03:13, Ethernet1/0

D　　10.1.16.0 [90/435200] via 172.16.1.6, 00:01:02, Ethernet1/1

//被汇总的/22位网络路由

D 192.168.0.0/24 [90/409600] via 172.16.1.6, 00:21:08, Ethernet1/1

D 192.168.1.0/24 [90/409600] via 172.16.1.6, 00:21:08, Ethernet1/1

D 192.168.2.0/24 [90/409600] via 172.16.1.6, 00:21:08, Ethernet1/1

D 192.168.3.0/24 [90/409600] via 172.16.1.6, 00:21:08, Ethernet1/1

R2#

（8）再次使用ping命令确认网络可达性。

R2#ping 10.1.0.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.0.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 16/69/145 ms

R2#ping 10.1.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 16/44/64 ms

R2#ping 10.1.16.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.16.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 60/97/140 ms

R2#ping 10.1.17.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.17.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 48/93/149 ms

R2#

（9）再次查看R2的路由表。

R2#show ip route

Gateway of last resort is not set

172.16.0.0/30 is subnetted, 3 subnets

D　　172.16.1.8 [90/307200] via 172.16.1.6, 00:23:45, Ethernet1/1

C　　172.16.1.4 is directly connected, Ethernet1/1

C　　172.16.1.0 is directly connected, Ethernet1/0

10.0.0.0/22 is subnetted, 2 subnets

D　　10.1.0.0 [90/409600] via 172.16.1.1, 00:05:49, Ethernet1/0

D　　10.1.16.0 [90/435200] via 172.16.1.6, 00:03:38, Ethernet1/1

D 192.168.0.0/24 [90/409600] via 172.16.1.6, 00:23:45, Ethernet1/1

D 192.168.1.0/24 [90/409600] via 172.16.1.6, 00:23:45, Ethernet1/1

D 192.168.2.0/24 [90/409600] via 172.16.1.6, 00:23:45, Ethernet1/1

D 192.168.3.0/24 [90/409600] via 172.16.1.6, 00:23:45, Ethernet1/1

//192.168.X.0/24具体路由。

R2#

（10）为了能够有效地减少路由表的大小，还可以通过EIGRP对192.168.X.0/24的C类网络路由进行手动路由汇总，具体配置如下。

R3(config)#router eigrp 50

R3(config-router)#no auto-summary //虽然在R3 上配置的是超网汇总，但仍然需要在R3 的EIGRP 进程中关闭自动汇总特性，否则，EIGRP还是会向外通告具体路由

R3(config-router)#exit

R3(config)#

R3(config)#interface ethernet 1/1

R3(config-if)#ip summary-address eigrp 50 192.168.0.0 255.255.252.0

R3(config-if)#exit

R3(config)#

R3(config)#inter ethernet 1/0

R3(config-if)#ip summary-address eigrp 50 192.168.0.0 255.255.252.0

R3(config-if)#exit

R3(config)#

（11）查看R4和R2的路由表。

R4#show ip route

Gateway of last resort is not set

172.16.0.0/30 is subnetted, 3 subnets

C　　172.16.1.8 is directly connected, FastEthernet0/0

D　　172.16.1.4 [90/284160] via 172.16.1.9, 00:02:41, FastEthernet0/0

D　　172.16.1.0 [90/309760] via 172.16.1.9, 00:02:23, FastEthernet0/0

10.0.0.0/8 is variably subnetted, 6 subnets, 2 masks

D　　10.1.0.0/22 [90/437760] via 172.16.1.9, 00:02:23, FastEthernet0/0

C　　10.1.19.0/24 is directly connected, Loopback0

C　　10.1.18.0/24 is directly connected, Loopback0

C　　10.1.17.0/24 is directly connected, Loopback0

D　　10.1.16.0/22 is a summary, 00:03:33, Null0

C　　10.1.16.0/24 is directly connected, Loopback0

D 192.168.0.0/22 [90/156160] via 172.16.1.9, 00:02:41, FastEthernet0/0

//从R3收到的手动汇总的路由

R4#

R2#show ip route

Gateway of last resort is not set

172.16.0.0/30 is subnetted, 3 subnets

D　　172.16.1.8 [90/307200] via 172.16.1.6, 00:02:54, Ethernet1/1

C　　172.16.1.4 is directly connected, Ethernet1/1

C　　172.16.1.0 is directly connected, Ethernet1/0

10.0.0.0/22 is subnetted, 2 subnets

D　　10.1.0.0 [90/409600] via 172.16.1.1, 00:16:13, Ethernet1/0

D　　10.1.16.0 [90/435200] via 172.16.1.6, 00:02:54, Ethernet1/1

D 192.168.0.0/22 [90/409600] via 172.16.1.6, 00:02:54, Ethernet1/1

//从R3收到的手动汇总的路由

R2#

（12）使用ping命令确认路由有效性。

R2#ping 192.168.0.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.0.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/28/60 ms

R2#

R4#ping 192.168.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 24/37/48 ms

R4#

（13）通过本实验可以看出，虽然EIGRP的自动汇总能够为网络配置带来便捷，但是它过于依赖IP子网的规划。如果遇到糟糕的子网规划，则需要小心使用自动汇总特性。

项目拓展

默认情况下，EIGRP不对分组进行身份验证，为了防止接受未经批准的信源发送的虚假路由信息，所以要对配置EIGRP的路由器进行安全认证，以下是一个配置认证的实例。

config)#int s0/0

config-if)#ip authentication mode eigrp 12 md5

config-if)#ip authentication key-chain eigrp 12 RAchain

config-if)#exi

config)#key chain RAchain

config-keychain)#key 67

config-keychain-key)#key-string test

config-keychain-key)#end

参照以上配置方法，对两台路器进行配置实现它们的安全认证。

项目小结

本项目的学习重点是EIGRP，这是一个链路状态路由和距离矢量的混合。它允许不平衡开销的负载均衡、可控制的路由选择更新和正式的邻居关系。EIGPR使用可靠的传输协议（RTP）在邻居间完成通信，并且利用弥散更新算法（DU-AL）来计算到达远程网络的最佳路径。EIGRP也可以通过对VLSM、不连续网络和汇总特性的支持来支持大型网络的应用。

思考题

（1）EIGRP的特点有哪些？

（2）如何配置EIGRP？

（3）如何验证EIGRP的操作？

（4）EIGRP和RIP的配置方式有什么区别？

项目8　OSPF协议的配置

某市要成立一个商业银行，需要对原来市里6家城市信用社进行合并，并计划在商业银行挂牌以后实现全辖内储蓄和信用卡的通存通兑。由于原来各家城市信用社各自为政，不存在行政上的依赖关系。因此，各家信用社数据互相独立，不存在任何关系。如果商业银行挂牌成立以后，这种数据分布结构依然保持原状，将严重影响行政上的管理和业务上的发展。因此，有必要对原有的数据结构进行整合。

商业银行的网络建设目标如下所示。

（1）在全市范围内建设一个市商业银行专用通信子网。

（2）建立一个多协议的数据网络，并在所有的通信子网接入节点上支持TCP/IP。

（3）该通信子网具有规模可扩充性和网络可升级性。

（4）网管系统应具有对整个通信子网进行监控管理的能力，网管应用应当统一。

具体拓扑如图8-1所示。

本项目采用的路由协议为OSPF（开放最短路径优先）协议。OSPF 由IETF 在20 世纪80 年代末期开发，OSPF 是SPF 类路由协议中的开放式版本。最初的OSPF 规范体现在RFC 1131中，被称为OSPF 版本1，但是版本1 很快被进行了重大改进的新版本所代替，这个新版本体现在RFC 1247中。RFC 1247被称为OSPF 版本2，由于其性能和功能都较为稳定，因此此方案中采用的是OSPF版本2协议。

8.1 任务1：OSPF技术概述

每一台运行OSPF协议的路由器总是将本地网络的连接状态（如可用接口信息、可达邻居信息等）用LSA（链路状态广播）描述，并扩散到整个自治系统中去。这样，每台路由器都收到了自治系统中所有路由器生成的 LSA，这些 LSA 的集合组成了 LSDB （链路状态数据库）。由于每一条LSA是对一台路由器周边网络拓扑的描述，则整个LSDB就是对该自治系统网络拓扑的真实反映。

图8-1 银行拓扑

各路由器根据LSDB运行SPF（最短路径优先）算法，构建一棵以自己为根的最短路径树，这棵树给出了到自治系统中各节点的路由。在图论中，“树”是一种无环路的连接图。所以OSPF计算出的路由也是一种无环路的路由。

（1）OSPF协议为了减少自身的开销，提出了以下概念。

① DR（Designated Router）。在各类可以多址访问的网络中，如果存在两台或两台以上的路由器，该网络要选举出一个DR（指定路由器）。DR负责与本网段内所有路由器进行LSDB的同步。这样，两台非DR路由器之间就不再进行LSDB的同步，从而大大节省了同一网段内由于协议报文传输造成的带宽开销。

② 区域（Area）。OSPF 可以根据自治系统的拓扑结构和层次管理需求划分成不同的区域（Area），这样区域边界路由器（ABR）向其他区域发送路由信息时，以网段为单位生成摘要LSA。这样可以减少自治系统中的LSA的数量，以及路由计算的复杂度。

（2）OSPF协议特点。

总地来说，由于OSPF发展成熟，厂商支持广泛，它已经成为世界上使用最广泛的IGP，尤其在企业级网络，它也是IETF推荐的唯一的IGP。其他路由协议所能适应的网络和具备的主要优点，OSPF都能适应和具备。

① OSPF是真正的loop-free（无环）路由协议：这是由它所采用的算法（链路状态及最短路径树算法）决定的。

② OSPF收敛速度快：能够在最短的时间内将路由变化传递到整个自治系统，并完成路由重新计算。

③ 支持等价路由负载分担，能更有效地利用链路资源。

④ 提出区域（Area）划分的概念，将自治系统划分为不同区域后，通过区域之间的对路由信息的摘要，大大减少了整个自治系统所需传递的路由信息数量，减轻了对路由器的性能需求和管理难度，也使得路由信息不会随网络规模的扩大而急剧膨胀。

⑤ 协议设计精巧，将协议自身的报文开销控制到最小。

⑥ 通过严格划分的路由级别（共分4级），提供更可信的路由选择。

⑦ 良好的安全性。OSPF 支持基于接口的明文及 MD5 协议报文验证，可以很好地防止恶意攻击和错误的配置。

⑧ OSPF适应各种规模的网络。

⑨ 具备链路状态路由协议能感知全局网络拓扑相关信息的特点，可以扩展支持流量工程，最大程度地提高骨干网络资源的使用效率。

（3）OSPF的网络类型。

OSPF定义的5种网络类型如下。

①点到点网络。

②广播型网络。

③NBMA网络。

④点到多点网络。

⑤虚链接（virtual link）。

（4）OSPF主要维护如表8-1所示的3张表。

表8-1 OSPF 3张表描述

（5）OSPF路由器在建立完全邻接之前，所经过的状态如下。

① Down：初始化状态。

② Attempt：只适于 NBMA 网络。在 NBMA 网络中，邻居是手动指定的，在该状态下，路由器将使用HelloInterval取代PollInterval来发送Hello包。

③ Init：表明在DeadInterval里收到了Hello包，但是two-way通信仍然没有建立起来。

④ two-way：双向会话建立。

⑤ ExStart：信息交换初始状态。在这个状态下，本地路由器和邻居将建立Master/Slave关系，并确定DD Sequence Number，接口等级高的成为Master。

⑥ Exchange：信息交换状态。本地路由器向邻居发送数据库描述包，并且发送 LSR 用于请求新的LSA。

⑦ Loading：信息加载状态。本地路由器向邻居发送LSR用于请求新的LSA。

⑧ Full：完全邻接状态。这种邻接出现在Router LSA和Network LSA中 在一个邻接关系。

8.2 任务2：OSPF单区域配置

8.2.1 任务目标

通过实验的学习，读者可以掌握以下技能。

● 配置环回地址作为路由器的ID。

● 配置OSPF的进程并在相应的接口上启用进程。

● OSPF运行后，更新计时器。

8.2.2 施工设备

本实验需要以下设备。

● Cisco 2950交换机1台，IOS版本12.3以上。

● Cisco 3640路由器3台和Console线缆。

● RJ-45线缆若干。

8.2.3 任务场景

本项目为方便测试采用以太网接入方式。本方案主要采用Cisco 4500M作为中心路由器，采用Cisco2501作为各节点的接入路由器，全网采用TCP/IP作为网络通信协议。各个营业网点通过帧中继与中心路由器互连，实现数据集中。各个营业网点与中心路由器连接的速率为9600kbit/s。中心路由器为Cisco 4 500M，两台路由器均配置18串口板两块。中心还配置一台 Catalyst 1924EN交换机，用于接入路由器、小型机及其他关键设备。现以OSPF单区配置网络，具体测试拓扑如图8-2所示。

图8-2 OSPF连接拓扑

1．实验步骤

（1）配置路由器A的接口IP地址和环回接口IP地址，具体如下。

Router>en

Router#conf t

Enter configuration commands, one per line. End with CNTL/Z.

Router(config)#ho RA

RA(config)#interface loopback 0 //配置环回接口的IP地址

RA(config-if)#ip address 192.168.31.11 255.255.255.255

RA(config-if)#exit

RA(config)#in

RA(config)#interface f0/0 //配置端口f0/0的IP地址

RA(config-if)#ip address 192.168.1.1 255.255.255.0

RA(config-if)#no shut

RA(config-if)#exit

RA(config)#exit

RA#

*Dec 4 18:23:27.891: %LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to up//端口f0/0，参数改变生效

*Dec 4 18:23:28.739: %SYS-5-CONFIG_I: Configured from Console by Console

//通过Console修改的配置

*Dec 4 18:23:28.891:%LINEPROTO-5-UPDOWN:Line protocol on Interface FastEthernet0/0,

changed state to up //在端口f0/0 上的线路协议修改生效

*Dec 4 18:27:36.723: %CDP-4-DUPLEX_MISMATCH: duplex mismatch discovered on

FastEthernet0/0 (not full duplex), with Switcher FastEthernet0/1 (full duplex).

//发现此设备F0/0（半双工）和交换机F0/1（全双工）的双工模式不匹配

RA#conf t

Enter configuration commands, one per line. End with CNTL/Z.

RA(config)#interface f0/0

RA(config-if)#duplex full //接口F0/0 开启全双工

RA(config-if)#exit

（2）配置路由器B的接口IP地址和环回接口IP地址，具体如下。

Router>en

Router#conf t

Enter configuration commands, one per line. End with CNTL/Z.

Router(config)#ho RB

RB(config)#interface loopback 0 //配置环回接口的IP地址

RB(config-if)#ip address 192.168.31.22 255.255.255.255

RB(config-if)#exit

RB(config)#interface f0/0 //配置端口f0/0的IP地址

RB(config-if)#ip address 192.168.1.2 255.255.255.0

RB(config-if)#no shut

RB(config-if)#exit

RB(config)#exit

RB#

*Dec 4 18:25:15.427: %LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to up

*Dec 4 18:25:15.875: %SYS-5-CONFIG_I: Configured from Console by Console

*Dec 4 18:25:16.427: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0,changed state to up

*Dec 4 18:27:36.923: %CDP-4-DUPLEX_MISMATCH: duplex mismatch discovered on

FastEthernet0/0 (not full duplex), with Router FastEthernet0/2 (full duplex).

RB#conf t

Enter configuration commands, one per line. End with CNTL/Z.

RB(config)#interface f0/0

RB(config-if)#duplex full

RB(config-if)#exit

（3）配置路由器C的接口IP地址和环回接口IP地址，具体如下。

Router>en

Router#conf t

Enter configuration commands, one per line. End with CNTL/Z.

Router(config)#ho RC

RC(config)#interface loopback 0 //配置环回接口的IP地址

RC(config-if)#ip address 192.168.31.33 255.255.255.255

RC(config-if)#exit

RC(config)#interface f0/0 //配置端口f0/0的IP地址

RC(config-if)#ip address 192.168.1.3 255.255.255.0

RC(config-if)#no shut

RC(config-if)#exit

RC(config)#exit

RC#

*Dec 4 18:27:03.515: %LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to up

*Dec 4 18:27:03.595: %SYS-5-CONFIG_I: Configured from Console by Console

*Dec 4 18:27:04.515: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0,changed state to up

*Dec 4 18:27:36.823: %CDP-4-DUPLEX_MISMATCH: duplex mismatch discovered on Fast

Ethernet0/0 (not full duplex), with Router FastEthernet0/3 (full duplex).

RC#conf t

Enter configuration commands, one per line. End with CNTL/Z.

RC(config)#interface f0/0

RC(config-if)#duplex full

RC(config-if)#exit

*Dec 4 18:32:37.975: %SYS-5-CONFIG_I: Configured from Console by Console

（4）查看交换机信息，如下所示。

Switch#

*Mar 1 00:00:35.619: %CDP-4-DUPLEX_MISMATCH: duplex mismatch discovered on Fast

Ethernet0/3 (not half duplex), with RC FastEthernet0/0 (half duplex).

*Mar 1 00:00:48.463: %CDP-4-DUPLEX_MISMATCH: duplex mismatch discovered on Fast

Ethernet0/2 (not half duplex), with RB FastEthernet0/0 (half duplex).

*Mar 1 00:01:03.127: %CDP-4-DUPLEX_MISMATCH: duplex mismatch discovered on Fast

Ethernet0/1 (not half duplex), with RA FastEthernet0/0 (half duplex).

//因为路由器所有接口默认为半双工，而交换机所有接口默认为全双工模式，在双工模式不匹配的情况下，每隔数秒便会在半双工的设备上出现提示信息。当路由器上的接口配置为全双工模式后，以上提示信息停止。

（5）配置OSPF的进程并在相应的接口上启用，路由器A的配置如下。

RA#conf t

Enter configuration commands, one per line. End with CNTL/Z.

RA(config)#router ospf 10 //配置OSPF，ID 为10

RA(config-router)#network 192.168.1.0 0.0.0.255 area 0 //配置路由IP及区域ID

RA(config-router)#network 192.168.31.0 0.0.0.0 area 0 //配置路由IP及区域ID

RA(config-router)#exit

RA(config)#exit

RA#

*Dec 4 18:34:49.619: %SYS-5-CONFIG_I: Configured from Console by Console

RA#show ip route //显示路由信息

Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route

Gateway of last resort is not set //未设置默认网关

192.168.31.0/32 is subnetted, 3 subnets //192.168.31.0 网段分出3个子网

O 192.168.31.33 [110/2] via 192.168.1.3, 00:03:10, FastEthernet0/0

//OSPF路由：192.168.31.33距离110，Cost2，通过192.168.1.3，连接了3分10 秒，接口f0/0

O 192.168.31.22 [110/2] via 192.168.1.2, 00:03:10, FastEthernet0/0

//OSPF路由：192.168.31.22距离110，Cost2，通过192.168.1.2，连接了3分10 秒，接口f0/0

C 192.168.31.11 is directly connected, Loopback0

//192.168.31.11 是直连Loopback0

C 192.168.1.0/24 is directly connected, FastEthernet0/0

//192.168.1.0/24 网段是直连接口f0/0

RA#show ip ospf //查看OSPF信息

Routing Process "ospf 10" with ID 192.168.31.11 //路由进程ospf 10，ID 192.168.31.11

Supports only single TOS(TOS0) routes //支持单个TOS(TOS0)类路由器

Supports opaque LSA //支持不透明的LSA

Supports Link-local Signaling (LLS) //支持本地连接信令（LLS）

Initial SPF schedule delay 5000 msecs //初始SPF计划延期5000 毫秒

Minimum hold time between two consecutive SPFs 10000 msecs

//两个连续SPF之间最小保持时间10 000毫秒

Maximum wait time between two consecutive SPFs 10000 msecs

//两个连续SPF之间最大等待时间10 000毫秒

Minimum LSA interval 5 secs. Minimum LSA arrival 1 secs

//最小LSA间隔时间5 秒，最小LSA到达时间1 秒

LSA group pacing timer 240 secs //LSA组调步计时器240 秒

Interface flood pacing timer 33 msecs //接口泛洪调步计时器33毫秒

Retransmission pacing timer 66 msecs //重传调步计时器66 毫秒

Number of external LSA 0. Checksum Sum 0x000000

//外部LSA数量 0，校验和 总和0x000000

Number of opaque AS LSA 0. Checksum Sum 0x000000

//不透明自治系统LSA数量 0，校验和 总和 0x000000

Number of DCbitless external and opaque AS LSA 0

//外部非连接和非透明自治系统LSA的数量为0

Number of DoNotAge external and opaque AS LSA 0

//外部非老化和非透明自治系统LSA的数量为0

Number of areas in this router is 1. 1 normal 0 stub 0 nssa

//这个路由器上的区域数量为1，1个普通区域，0 个末端区域，0 个非纯末端区域

External flood list length 0 //外部泛洪列数长度 0

Area BACKBONE(0) //区域骨干 （0）

Number of interfaces in this area is 2 (1 loopback)

//在这个区域内有2（1 个Loopback）个接口

Area has no authentication //区域没有认证

SPF algorithm last executed 00:04:21.380 ago

//最短路径优先算法最后执行时间4 分21秒380 以前

SPF algorithm executed 7 times

//最短路径优先算法执行了7 次

Area ranges are //区域范围

Number of LSA 4. Checksum Sum 0x030A93

//链路状态通告数量4，校验和 总和 0x030A93

Number of opaque link LSA 0. Checksum Sum 0x000000

//非透明连接链路状态通告的数量为 0，校验和 总和 0x000000

Number of DCbitless LSA 0 //DCbitless 链路状态通告数量 0

Number of indication LSA 0 //指示LSA数量 0

Number of DoNotAge LSA 0 //DoNotAge LSA数量0

Flood list length 0 //泛洪列表长度0

RA#show ip ospf neighbor //查看OSPF邻居

Neighbor ID Pri State Dead Time Address Interface

192.168.31.22 1 FULL/BDR 00:00:32 192.168.1.2 FastEthernet0/0

192.168.31.33 1 FULL/DROTHER 00:00:34 192.168.1.3 FastEthernet0/0

RA#show ip ospf database //查看OSPF数据库

OSPF Router with ID (192.168.31.11) (Process ID 10)

Router Link States (Area 0)

Link ID ADV Router Age Seq# Checksum Link count

192.168.31.11 192.168.31.11 381 0x80000003 0x00D6B7 2

192.168.31.22 192.168.31.22 349 0x80000003 0x00AEBD 2

192.168.31.33 192.168.31.33 301 0x80000002 0x0088C2 2

Net Link States (Area 0)

Link ID ADV Router Age Seq# Checksum

192.168.1.1 192.168.31.11 301 0x80000002 0x00FC5D

show ip ospf interface f0/0 //查看OSPF接口状态

FastEthernet0/0 is up, line protocol is up

Internet Address 192.168.1.1/24, Area 0

Process ID 10, Router ID 192.168.31.11, Network Type BROADCAST, Cost: 1

//进程ID 10，路由器ID 192.168.31.11，网络类型 广播，代价：1

Transmit Delay is 1 sec, State DR, Priority 1

//传送延迟1 秒，状态 指定路由器，优先级 1

Designated Router (ID) 192.168.31.11, Interface address 192.168.1.1

//指定路由器（ID）192.168.31.11，接口地址 192.168.1.1

Backup Designated router (ID) 192.168.31.22, Interface address 192.168.1.2

//备份指定路由器（ID）192.168.31.22，接口地址 192.168.1.2

Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5

//计数器间隔配置，握手 10，死亡 40，等待 40，重传 5

oob-resync timeout 40 //oob-resync超时40

Hello due in 00:00:06 //握手在6 秒间

Index 1/1, flood queue length 0 //索引1/1，泛洪列队长度0

Next 0x0(0)/0x0(0)

Last flood scan length is 1, maximum is 1 //最后泛洪扫描长度1，最大1

Last flood scan time is 0 msec, maximum is 0 msec

//最后泛洪扫描时间0毫秒，最大0 毫秒

Neighbor Count is 2, Adjacent neighbor count is 2 //邻居数量2，邻接的邻居数量2

Adjacent with neighbor 192.168.31.22 (Backup Designated Router)

//邻接的邻居 192.168.31.22 （备份指定路由器）

Adjacent with neighbor 192.168.31.33

//邻接的邻居 192.168.31.33

Suppress hello for 0 neighbor(s) //禁止握手的邻居数量 0

（6）配置OSPF的进程并在相应的接口上启用，路由器B的配置如下。

RB#conf t

Enter configuration commands, one per line. End with CNTL/Z

RB(config)#router ospf 20 //配置OSPF，ID 为20

RB(config-router)#network 192.168.1.0 0.0.0.255 area 0 //配置路由IP及区域ID

RB(config-router)#network 192.168.31.0 0.0.0.0 area 0 //配置路由IP及区域ID

RB(config-router)#exit

RB(config)#exit

RB#

*Dec 4 18:35:22.051: %SYS-5-CONFIG_I: Configured from Console by Console

RB#show ip route

Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route

Gateway of last resort is not set

192.168.31.0/32 is subnetted, 3 subnets

O 192.168.31.33 [110/2] via 192.168.1.3, 00:03:16, FastEthernet0/0

C 192.168.31.22 is directly connected, Loopback0

O 192.168.31.11 [110/2] via 192.168.1.1, 00:03:16, FastEthernet0/0

C 192.168.1.0/24 is directly connected, FastEthernet0/0

RB#show ip ospf

Routing Process "ospf 20" with ID 192.168.31.22

Supports only single TOS(TOS0) routes

Supports opaque LSA

Supports Link-local Signaling (LLS)

Initial SPF schedule delay 5000 msecs

Minimum hold time between two consecutive SPFs 10000 msecs

Maximum wait time between two consecutive SPFs 10000 msecs

Minimum LSA interval 5 secs. Minimum LSA arrival 1 secs

LSA group pacing timer 240 secs

Interface flood pacing timer 33 msecs

Retransmission pacing timer 66 msecs

Number of external LSA 0. Checksum Sum 0x000000

Number of opaque AS LSA 0. Checksum Sum 0x000000

Number of DCbitless external and opaque AS LSA 0

Number of DoNotAge external and opaque AS LSA 0

Number of areas in this router is 1. 1 normal 0 stub 0 nssa

External flood list length 0

Area BACKBONE(0)

Number of interfaces in this area is 2 (1 loopback)

Area has no authentication

SPF algorithm last executed 00:05:19.312 ago

SPF algorithm executed 5 times

Area ranges are

Number of LSA 4. Checksum Sum 0x030A93

Number of opaque link LSA 0. Checksum Sum 0x000000

Number of DCbitless LSA 0

Number of indication LSA 0

Number of DoNotAge LSA 0

Flood list length 0

RB#show ip ospf neighbor

Neighbor ID Pri State Dead Time Address Interface

192.168.31.11 1 FULL/DR 00:00:39 192.168.1.1 FastEthernet0/0

192.168.31.33 1 FULL/DROTHER 00:00:31 192.168.1.3 FastEthernet0/0

RB#show ip ospf database

OSPF Router with ID (192.168.31.22) (Process ID 20)

Router Link States (Area 0)

Link ID ADV Router Age Seq# Checksum Link count

192.168.31.11 192.168.31.11 430 0x80000003 0x00D6B7 2

192.168.31.22 192.168.31.22 398 0x80000003 0x00AEBD 2

192.168.31.33 192.168.31.33 351 0x80000002 0x0088C2 2

Net Link States (Area 0)

Link ID ADV Router Age Seq# Checksum

192.168.1.1 192.168.31.11 351 0x80000002 0x00FC5D

RB#show ip ospf interface f0/0

FastEthernet0/0 is up, line protocol is up

Internet Address 192.168.1.2/24, Area 0

Process ID 20, Router ID 192.168.31.22, Network Type BROADCAST, Cost: 1

Transmit Delay is 1 sec, State BDR, Priority 1

Designated Router (ID) 192.168.31.11, Interface address 192.168.1.1

Backup Designated router (ID) 192.168.31.22, Interface address 192.168.1.2

Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5

oob-resync timeout 40

Hello due in 00:00:00

Index 1/1, flood queue length 0

Next 0x0(0)/0x0(0)

Last flood scan length is 0, maximum is 1

Last flood scan time is 0 msec, maximum is 0 msec

Neighbor Count is 2, Adjacent neighbor count is 2

Adjacent with neighbor 192.168.31.11 (Designated Router)

Adjacent with neighbor 192.168.31.33

Suppress hello for 0 neighbor(s)

（7）配置OSPF的进程并在相应的接口上启用，路由器C的配置如下。

RC#conf t

Enter configuration commands, one per line. End with CNTL/Z

RC(config)#router ospf 30 //配置OSPF，ID 为30

RC(config-router)#network 192.168.1.0 0.0.0.255 area 0 //配置路由IP及区域ID

RC(config-router)#network 192.168.31.0 0.0.0.0 area 0 //配置路由IP及区域ID

RC(config-router)#exit

RC(config)#exit

RC#

*Dec 4 18:35:46.755: %SYS-5-CONFIG_I: Configured from Console by Console

RC#show ip route

Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route

Gateway of last resort is not set

192.168.31.0/32 is subnetted, 3 subnets

C 192.168.31.33 is directly connected, Loopback0

O 192.168.31.22 [110/2] via 192.168.1.2, 00:03:25, FastEthernet0/0

O 192.168.31.11 [110/2] via 192.168.1.1, 00:03:25, FastEthernet0/0

C 192.168.1.0/24 is directly connected, FastEthernet0/0

RC#show ip ospf

Routing Process "ospf 30" with ID 192.168.31.33

Supports only single TOS(TOS0) routes

Supports opaque LSA

Supports Link-local Signaling (LLS)

Initial SPF schedule delay 5000 msecs

Minimum hold time between two consecutive SPFs 10000 msecs

Maximum wait time between two consecutive SPFs 10000 msecs

Minimum LSA interval 5 secs. Minimum LSA arrival 1 secs

LSA group pacing timer 240 secs

Interface flood pacing timer 33 msecs

Retransmission pacing timer 66 msecs

Number of external LSA 0. Checksum Sum 0x000000

Number of opaque AS LSA 0. Checksum Sum 0x000000

Number of DCbitless external and opaque AS LSA 0

Number of DoNotAge external and opaque AS LSA 0

Number of areas in this router is 1. 1 normal 0 stub 0 nssa

External flood list length 0

Area BACKBONE(0)

Number of interfaces in this area is 2 (1 loopback)

Area has no authentication

SPF algorithm last executed 00:06:02.584 ago

SPF algorithm executed 3 times

Area ranges are

Number of LSA 4. Checksum Sum 0x030A93

Number of opaque link LSA 0. Checksum Sum 0x000000

Number of DCbitless LSA 0

Number of indication LSA 0

Number of DoNotAge LSA 0

Flood list length 0

RC#show ip ospf neighbor

Neighbor ID Pri State Dead Time Address Interface

192.168.31.11 1 FULL/DR 00:00:31 192.168.1.1 FastEthernet0/0

192.168.31.22 1 FULL/BDR 00:00:31 192.168.1.2 FastEthernet0/0

RC#show ip ospf database

OSPF Router with ID (192.168.31.33) (Process ID 30)

Router Link States (Area 0)

Link ID ADV Router Age Seq# Checksum Link count

192.168.31.11 192.168.31.11 468 0x80000003 0x00D6B7 2

192.168.31.22 192.168.31.22 435 0x80000003 0x00AEBD 2

192.168.31.33 192.168.31.33 387 0x80000002 0x0088C2 2

Net Link States (Area 0)

Link ID ADV Router Age Seq# Checksum

192.168.1.1 192.168.31.11 387 0x80000002 0x00FC5D

RC#show ip ospf interface f0/0

FastEthernet0/0 is up, line protocol is up

Internet Address 192.168.1.3/24, Area 0

Process ID 30, Router ID 192.168.31.33, Network Type BROADCAST, Cost: 1

Transmit Delay is 1 sec, State DROTHER, Priority 1

Designated Router (ID) 192.168.31.11, Interface address 192.168.1.1

Backup Designated router (ID) 192.168.31.22, Interface address 192.168.1.2

Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5

oob-resync timeout 40

Hello due in 00:00:05

Index 1/1, flood queue length 0

Next 0x0(0)/0x0(0)

Last flood scan length is 0, maximum is 1

Last flood scan time is 0 msec, maximum is 0 msec

Neighbor Count is 2, Adjacent neighbor count is 2

Adjacent with neighbor 192.168.31.11 (Designated Router)

Adjacent with neighbor 192.168.31.22 (Backup Designated Router)

Suppress hello for 0 neighbor(s)

（8）更新计时器，配置路由器A上的Hello、Dead计数器。

RA#conf t

Enter configuration commands, one per line. End with CNTL/Z.

RA(config)#in

RA(config)#interface f0/0

RA(config-if)#ip ospf Hello-interval 5 //配置OSPF握手间隔5

RA(config-if)#ip ospf dead-interval 20 //配置OSPF死亡间隔20

RA(config-if)#exit

RA(config)#exit

RA#

*Dec 4 18:42:36.863: %SYS-5-CONFIG_I: Configured from Console by Console

RA#

*Dec 4 18:42:49.707: %OSPF-5-ADJCHG: Process 10, Nbr 192.168.31.22 on FastEther

net0/0 from FULL to DOWN, Neighbor Down: Dead timer expired

RA#show ip ospf interface f0/0

FastEthernet0/0 is up, line protocol is up

Internet Address 192.168.1.1/24, Area 0

Process ID 10, Router ID 192.168.31.11, Network Type BROADCAST, Cost: 1

Transmit Delay is 1 sec, State DR, Priority 1

Designated Router (ID) 192.168.31.11, Interface address 192.168.1.1

No backup designated router on this network

Timer intervals configured, Hello 5, Dead 20, Wait 20, Retransmit 5

//计数器间隔时间配置，握手5，死亡20，等待20，重传5

oob-resync timeout 40

Hello due in 00:00:03

Index 1/1, flood queue length 0

Next 0x0(0)/0x0(0)

Last flood scan length is 1, maximum is 1

Last flood scan time is 0 msec, maximum is 0 msec

Neighbor Count is 0, Adjacent neighbor count is 0

Suppress hello for 0 neighbor(s)

（9）更新计时器，配置路由器B上的Hello、Dead计数器。

RB#conf t

Enter configuration commands, one per line. End with CNTL/Z.

RB(config)#interface f0/0

RB(config-if)#ip ospf Hello-interval 5 //配置OSPF握手间隔5

RB(config-if)#ip ospf dead--interval 20 //配置OSPF死亡间隔20

*Dec 4 18:45:53.259: %OSPF-5-ADJCHG: Process 20, Nbr 192.168.31.11 on FastEther

net0/0 from LOADING to FULL, Loading Done

RB(config-if)#exit

RB(config)#exit

*Dec 4 18:46:07.163: %SYS-5-CONFIG_I: Configured from Console by Console

RB#show ip ospf

interface f0/0

FastEthernet0/0 is up, line protocol is up

Internet Address 192.168.1.2/24, Area 0

Process ID 20, Router ID 192.168.31.22, Network Type BROADCAST, Cost: 1

Transmit Delay is 1 sec, State DR, Priority 1

Designated Router (ID) 192.168.31.22, Interface address 192.168.1.2

Backup Designated router (ID) 192.168.31.33, Interface address 192.168.1.3

Timer intervals configured, Hello 5, Dead 20, Wait 20, Retransmit 5

oob-resync timeout 40

Hello due in 00:00:02

Index 1/1, flood queue length 0

Next 0x0(0)/0x0(0)

Last flood scan length is 1, maximum is 1

Last flood scan time is 0 msec, maximum is 0 msec

Neighbor Count is 2, Adjacent neighbor count is 2

Adjacent with neighbor 192.168.31.11

Adjacent with neighbor 192.168.31.33 (Backup Designated Router)

Suppress hello for 0 neighbor(s)

（10）更新计时器，配置路由器C上的Hello、Dead计数器。

RC#

RC#conf t

Enter configuration commands, one per line. End with CNTL/Z.

RC(config)#interface f0/0

RC(config-if)#ip ospf Hello-interval 5 //配置OSPF握手间隔5

RC(config-if)#ip ospf dead-interval 20 //配置OSPF死亡间隔20

*Dec 4 18:47:07.731: %OSPF-5-ADJCHG: Process 30, Nbr 192.168.31.22 on FastEther

net0/0 from LOADING to FULL, Loading Done

*Dec 4 18:47:07.839: %OSPF-5-ADJCHG: Process 30, Nbr 192.168.31.11 on FastEther

net0/0 from LOADING to FULL, Loading Done

RC(config-if)#exit

RC(config)#exit

*Dec 4 18:47:14.779: %SYS-5-CONFIG_I: Configured from Console by Console

RC#show ip ospf interface f0/0

FastEthernet0/0 is up, line protocol is up

Internet Address 192.168.1.3/24, Area 0

Process ID 30, Router ID 192.168.31.33, Network Type BROADCAST, Cost: 1

Transmit Delay is 1 sec, State DR, Priority 1

Designated Router (ID) 192.168.31.33, Interface address 192.168.1.3

Backup Designated router (ID) 192.168.31.11, Interface address 192.168.1.1

Timer intervals configured, Hello 5, Dead 20, Wait 20, Retransmit 5

oob-resync timeout 40

Hello due in 00:00:02

Index 1/1, flood queue length 0

Next 0x0(0)/0x0(0)

Last flood scan length is 0, maximum is 1

Last flood scan time is 0 msec, maximum is 0 msec

Neighbor Count is 2, Adjacent neighbor count is 2

Adjacent with neighbor 192.168.31.11 (Backup Designated Router)

Adjacent with neighbor 192.168.31.22

Suppress hello for 0 neighbor(s)

2．实验总结

通过 OSPF 路由协议的配置实验可以发现，OSPF 更适合于规模较大的网络环境，其收敛更快速，并依据带宽来计算路径开销等。OSPF路由协议单域配置要点如下。

（1）Router ID唯一识别一台路由器的IP 地址，获得方法先选取所有Loopback接口数值最高的IP地址；无Loopback接口IP情况下选物理端口数值最高的IP作为Router ID。

（2）OSPF保存的3 张表是邻居列表、链路状态数据表和路由表。

（3）OSPF 定义 4 种网络类型：点到点网络（Point-to-Point）、广播多址网络（Broadcast）、非广播多址网络（NBMA）和点到多点网络（Point-to-Multipoint）。

（4）DR（Designated Router）同网络中其他路由器变成邻接关系，并管理这个多址网络上的泛洪过程。BDR（Backup Designated Router）作为DR的备份与DR产生邻接并随时准备接替DR与其他路由器形成邻接关系。

（5）泛洪过程使用两种类型OSPF报文，分别是链路状态更新报文（Link State Update Packet，类型4）和链路状态确认报文（Link State Acknowledgment Packet，类型5）。

项目拓展

本项目采用的是以太网接入方式，如果采用帧中继接入方式，则需要哪些改进呢？这里要求仍采用Cisco4500M为中心路由器，Cisco2501为各节点的接入路由器，全网采用TCP/IP作为网络协议。各个营业点间通过帧中继与中心路由器连接，实现数据的集中。除了线路备份，还要多配置一台4 500M作为设备备份。另外，参照以上方案，在中心还配置一台 Catalyst1924EN交换机，用于接入路由器及其他关键设备。这里交换机的作用是什么呢？又该如何配置？

项目小结

通过本项目的学习可以了解到OSPF是一种链路状态路由协议，它可以应用于大中型企业网。校园网中使用的一般是OSPF单区域，OSPF同一区域的LSDB是一致的，这样所有的路由器都有全局拓扑，从而不会发生路由不可达的情况，这也导致所有设备承载的LSDB压力是一致的。对于OSPF理论和实践的重点从以下几个方面介绍：OSPF应用场合、OSPF数据表、OSPF数据包类型和OSPF配置步骤等，最后通过具体任务实现OSPF单区配置。

思考题

（1）OSPF的特点有哪些？

（2）如何配置单区OSPF路由？

（3）OSPF和EIGRP的配置区别是什么？

（4）如何验证OSPF的操作？

项目9　帧中继和DHCP的配置

医保系统的网络方案既要考虑长远的整体规划，也要考虑现阶段的实际需求。某市医保信息系统的整个网络以医保管理中心局域网络为核心，通过公用通信网络与各医疗服务机构和上级领导机关相连。医保管理中心与定点医疗机构之间采用“二级模式”或是“三级模式”的通信模式。其中，“二级模式”是指定点医疗机构直接将数据传送至医保管理中心；“三级模式”是指二级定点医疗机构先将数据传送至一级定点医疗机构，后者再将数据传至医保管理中心。整个网络通信方式可以采用实时方式、定时方式和分时方式，考虑到应用的实际情况，这里将整个网络划分为2个层次，即医保中心高速网为核心网络，各型定点医疗机构（医院、急救中心等）与医保中心直接连接。其中医保中心的网络和应用系统是整个医疗保险系统的处理中心，因此医保中心的主机系统以及网络系统的要求和复杂度最高。医保中心与大型定点医疗机构之间采用帧中继连接，县级医院及小型医院采用ISDN或PSTN与医保中心连接整个系统的网络拓扑图如图9-1所示。

帧中继线路是常用的广域网线路，其通信费用较低。帧中继技术的一些特殊性使得帧中继的配置较为复杂，特别是在帧中继上运行路由协议时更是如此。作为入门，对帧中继的理解应着重放在DLCI、PVC、帧中继映射和子接口等方面。

9.1 任务1：帧中继概述

帧中继（Frame Relay，FR）是面向连接的第2层传输协议，是典型的包交换技术。相比而言，同样带宽的帧中继通信费用比 DDN 专线要低，而且允许用户在帧中继交换网络比较空闲的时候以高于ISP 所承诺的速率进行传输。

1．帧中继的合理性

用户经常需要租用线路把分散在各地的网络连接起来，如图9-2（1）所示。如果采用点到点的专用线路（如DDN），ISP 需要给每个地方的路由器拉4条物理线路，同时每个路由器需要有4 个串口。而在图9-2（2）所示的帧中继网络拓扑中，每个路由器只需要一个串行接口并通过一条线路连接到帧中继云上，从而降低了线路的成本。

图9-1 医保网络拓扑

图9-2 拓扑图

2．DLCI基础

DLCI（Data Link Circiut Identification，数据链路连接标识符）实际上就是帧中继网络中的第2 层地址。在图9-3中，当路由器R1 要把数据发向路由器R2（IP地址为123.123.123.2）时，路由器R1 可以用DLCI=102 来对IP 数据包进行第2 层的封装。数据帧到了帧中继交换机后，帧中继交换机根据帧中继交换表进行交换：从S1 接口收到一个DLCI 为102 的帧时，交换机将把帧从 S2 接口发送出去，并且发送出去的帧的DLCI 改为 201，这样路由器 R2 就会接收到R1 发来的数据包。而当路由器 R2 要发送数据给 R1（IP 地址为 123.123.123.1）时，路由器 R2 可以用 DLCI=201 来对 IP 数据包进行第2 层的封装，数据帧到了帧中继交换机后，帧中继交换机同样根据帧中继交换表进行交换：从S2 接口收到一个DLCI 为201 的帧时，交换机将把帧从 S1 接口发送出去，并且发送出去的帧的DLCI 改为102，这样路由器R1 就会接收到R2 发来的数据包。

图9-3 帧中继网络

通过以上分析可以知道，DLCI 实际上就是IP数据包在帧中继链路上进行封装时所需的第2 层地址。在图9-3中，各路由器的第3层地址和第2层地址的映射如下。

R1：123.123.123.2→102

123.123.123.3→103

R2：123.123.123.1→201

123.123.123.3→203

R3：123.123.123.1→301

123.123.123.2→302

帧中继的一个非常重要的特性是 NBMA（非广播多路访问）。在图 9-3 中，如果路由器在DLCI 为 102 的 PVC 上发送一个广播，R2 路由器可以收到，而 R3 是无法收到的。如果 R1 发送的广播想让R2 和R3 都收到，必须分别在DLCI 为102 和103 的PVC 上发送一次，这就是非广播的含义。多路访问的意思是帧中继网络是多个设备接在同一网络介质上，以太网也是多路访问网络。

3．帧中继术语

（1）永久虚电路（PVC）：虚电路是永久建立的链路，由 ISP 在其帧中继交换机静态配置交换表实现。不管电路两端的设备是否连接，它总是为其保留相应的带宽。

（2）数据链路连接标识符（DLCI）：一个在路由器和帧中继交换机之间标识 PVC 或者 SVC的数值。

（3）本地管理接口（LMI）：是路由器和帧中继交换机之间的一种信令标准，负责管理设备之间的连接并维护其连接状态。

（4）承诺信息速率（Committed Information Rate，CIR）：也叫保证速率，是ISP承诺将要提供的有保证的速率，一般为一段时间内（承诺速率测量间隔T）的平均值，其单位为bit/s。

（5）超量突发（Excess Brust，EB）：在承诺信息速率之外，帧中继交换机试图发送而未被准许的最大额外数据量，单位为bit。超量突发依赖于ISP提供的服务状况，但它通常受到本地接入环路端口速率的限制。

4．LMI基础

LMI提供了一个帧中继交换机和路由器之间的简单信令。帧中继交换机和路由器之间的LMI类型必须相同，Cisco路由器在较高版本（11.2以后）的IOS 中具有自动检测LMI 类型的功能。配置接口LMI类型的命令为encapsulationframe-relay [ cisco | ietf ]。路由器从帧中继交换机收到LMI信息后，可以得知PVC 状态，PVC的3种状态如下。

● 激活状态（Active）：本地路由器与帧中继交换机的连接是启动且激活的，可以与帧中继交换机交换数据。

● 非激活状态（Inactive）：本地路由器与帧中继交换机的连接是启动且激活的，但 PVC 另一端的路由器不能与帧中继交换机通信。

● 删除状态（Deleted）：本地路由器没有从帧中继交换机上收到任何LMI，这可能因为线路或网络有问题，或者配置了不存在的PVC。

5．帧中继映射

DLCI是帧中继网络中的第2 层地址。路由器要通过帧中继网络把IP 数据包发到下一跳路由器时，它必须知道IP地址和DLCI的映射才能进行帧的封装。有两种方法可以获得该映射：一种是静态映射，由管理员手动输入；另一种是动态映射。在默认情况下，路由器帧中继接口启用动态映射。

（1）静态映射。

管理员手动输入的映射就为静态映射，其命令格式如下。

frame-relay map ip protocol address dlci [ broadcast ]

其中，

protocol：协议类型；

address：网络地址；

dlci：为所需要交换逆向ARP 信息的本地接口的DLCI 号；

broadcast：允许在帧中继线路上传送路由广播或组播信息。

静态映射的示例如下。

R1(config-if)#frame map ip 123.123.123.2 102 broadcast

（2）动态映射。

IARP（Inverse ARP，逆向ARP）允许路由器自动建立帧中继映射，其工作原理如图9-4所示。

图9-4 动态映射（IARP）工作示意图

● R1路由器从DLCI=102的PVC上发送IARP包，IARP包中有R1的IP地址12.12.12.1。

● 帧中继云对数据包进行交换，最终把IARP包通过DLCI=201 的PVC 发送给R2。

● 由于R2 是从201 的PVC 上接收到该IARP 包，R2 就自动建立一个映射。

12.12.12.1→201

● 同样R2也发送IARP 数据包，R1 收到该IARP 包，也会自动建立一个映射。

12.12.12.2→102

6．子接口

子接口实际上是一个逻辑的接口，而不是物理上的子接口。子接口有点到点和点到多点两种类型。采用点到点子接口时，每一个子接口用来连接一条PVC，PVC的另一端连接到另一路由器的一个子接口或物理接口。这种点对点子接口的连接与通过物理接口连接的点对点连接效果是一样的。点到多点子接口被用来建立多条 PVC，这些 PVC 连接到远端路由器的多个子接口或物理接口。这时，所有加入连接的接口（不管是物理接口还是子接口）都应该在同一个子网上。点到多点子接口和一个没有配置子接口的物理主接口相同，其路由更新要受到水平分割的限制。默认情况下，点到多点子接口水平分割是开启的。

9.2 任务2：配置帧中继网络

9.2.1 任务目标

通过对本实验的学习，读者可以掌握以下技能。

● 理解帧中继交换表的工作原理。

● 理解PVC 的概念。

● 用路由器充当帧中继交换机的配置。

● 帧中继的动态映射。

● 帧中继的静态映射。

9.2.2 施工设备

本实验需要以下设备。

● 路由器4台和Console电缆1根。

● RJ-45线缆若干。

9.2.3 任务场景

医保管理中心网络采用的路由器必须支持帧中继连接，以允许各定点医疗机构同时访问医保中心主机的数据；考虑到实时连接的重要性，另外再设定一台备份路由器，当帧中继连接中断时确保定点医疗机构还可以采用拨号的方式（如PSTN、ISDN）连接，从而保证线路的畅通。两台路由器通过快速以太网模块接入堆叠的交换机组，构成医保中心容错网络。下面路由器实现帧中继交换机的配置，以实现网络搭建，具体拓扑如图9-5所示。

图9-5 帧中继交换机配置

1．配置帧中继交换机

（1）开启帧中继交换功能。

R2(config)#frame-relay switching //把该路由器当成帧中继交换机

（2）配置接口封装。

R2(config)#int s0/0/0

R2(config-if)#no shutdown

R2(config-if)#clock rate 128000 //该接口为DCE，要配置时钟

R2(config-if)#encapsulation frame-relay //命令encapsulation frame-relay [ ietf ]用来配置接口封装成帧中继，如果不加ietf 参数，帧类型为cisco；如果加ietf 参数，则帧类型为ietf。

R2(config)#int s0/0/1

R2(config-if)#no shutdown

R2(config-if)#clock rate 128000

R2(config-if)#encapsulation frame-relay

R2(config)#int s0/1/0

R2(config-if)#no shutdown

R2(config-if)#clock rate 128000

R2(config-if)#encapsulation frame-relay

（3）配置LMI类型。

R2(config)#int s0/0/0

R2(config-if)#frame-relay lmi-type cisco

//命令“frame-relay lmi-type { ansi | cisco | q933a }用来配置LMI 的类型，默认是cisco

R2(config-if)#frame-relay intf-type dce

//命令frame-relay intf-type { dce | dte }用来配置接口是帧中继的DCE 还是DTE，要注意的是，这里的帧中继接口DCE与s0/0/0 接口是DCE 还是DTE 无关，也就是说即使s0/0/0 是DTE，也可以把它配置成帧中继的DCE

R2(config)#int s0/0/1

R2(config-if)#frame-relay lmi-type cisco

R2(config-if)#frame-relay intf-type dce

R2(config)#int s0/1/0

R2(config-if)#frame-relay lmi-type cisco

R2(config-if)#frame-relay intf-type dce

（4）配置帧中继交换表。

R2(config)#int s0/0/0

R2(config-if)#frame-relay route 103 interface s0/0/1 301

R2(config-if)#frame-relay route 104 interface s0/1/0 401

//命令frame-relay route 103 interface s0/0/1 301配置帧中继交换表，告诉路由器如果从该接口收到DLCI=103 的帧，要从s0/0/1 交换出去，并且DLCI 改为301。

R2(config)#int Serial0/0/1

R2(config-if)#frame-relay route 301 interface Serial0/0/0 103

R2(config)#int Serial0/1/0

R2(config-if)#frame-relay route 401 interface Serial0/0/0 104

（5）实验调试。

可以使用show frame-relay route、show frame pvc、show frame lmi等命令检查帧中继交换机是否正常。

show frame-relay route命令。

R2#show frame-relay route

Input Intf Input Dlci Output Intf Output Dlci Status

Serial0/0/0 103 Serial0/0/1 301 inactive

Serial0/0/0 104 Serial0/1/0 401 inactive

Serial0/0/1 301 Serial0/0/0 103 inactive

Serial0/1/0 401 Serial0/0/0 104 inactive

show frame pvc命令。

R2#show frame-relay pvc

PVC Statistics for interface Serial0/0/0 (Frame Relay DCE)

Active Inactive Deleted Static

Local 0 0 0 0

Switched 0 2 0 0

Unused 0 0 0 0

DLCI = 103, DLCI USAGE = SWITCHED, PVC STATUS = INACTIVE, INTERFACE = Serial0/0/0

//由于PVC 还未被使用，所以状态为inactive

input pkts 0 output pkts 0 in bytes 0

out bytes 0 dropped pkts 0 in pkts dropped 0

out pkts dropped 0 out bytes dropped 0

in FECN pkts 0 in BECN pkts 0 out FECN pkts 0

out BECN pkts 0 in DE pkts 0 out DE pkts 0

out bcast pkts 0 out bcast bytes 0

30 second input rate 0 bits/sec, 0 packets/sec

30 second output rate 0 bits/sec, 0 packets/sec

switched pkts 0

Detailed packet drop counters:

no out intf 0 out intf down 0 no out PVC 0

in PVC down 0 out PVC down 0 pkt to big 0

shaping Q full 0 pkt above DE 0 policing drop 0

pvc create time 00:06:05, last time pvc status changed 00:06:05

（此处省略）

2．帧中继的基本配置、帧中继映射

在上一实验的基础上进行本实验。图9-5中，我们已经模拟出了帧中继交换机，现在配置R1、R3、R4，使得它们能够互相通信，配置步骤如下。

（1）帧中继接口基本配置。

R1(config)#int s0/0/0

R1(config-if)#ip address 192.168.123.1 255.255.255.0

R1(config-if)#no shutdown

R1(config-if)#encapsulation frame-relay

//使用命令encapsulation frame-relay [ ietf ]设置帧中继封装类型。帧中继有两种封装类型：cisco 和ietf（Internet Engineering Task Force）。对于cisco 路由器，cisco 是它的默认值；对于非cisco 路由器，须选用 ietf 类型。但国内帧中继线路一般为 ietf 类型的封装，这里由于上面的帧中继交换机中封装类型是cisco，所以这里选择cisco。

R1(config-if)#frame-relay lmi-type cisco

//如果采用的是cisco 路由器且IOS 是11.2 及以后版本的，路由器可以自动适应LMI 的类型，则本步骤可不做。国内帧中继线路一般采用ansi 的LMI 信令类型，我们这里采用的是cisco。

（2）帧中继接口基本配置。

R3(config)#int s0/0/1

R3(config-if)#ip address 192.168.123.3 255.255.255.0

R3(config-if)#no shutdown

R3(config-if)#encapsulation frame-relay

（3）帧中继接口基本配置。

R4(config)#int s0/0/1

R4(config-if)#ip address 192.168.123.4 255.255.255.0

R4(config-if)#no shutdown

R4(config-if)#encapsulation frame-relay

（4）测试连通性。

从各个路由器ping其他路由器。

R1#ping 192.168.123.3

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.123.3, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms

R1#ping 192.168.123.4

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.123.4, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/28 ms

R1#show frame-relay map

Serial0/0/0 (up): ip 192.168.123.3 dlci 103(0x67,0x1870), dynamic,

broadcast,, status defined, active

Serial0/0/0 (up): ip 192.168.123.4 dlci 104(0x68,0x1880), dynamic,

broadcast,, status defined, active

//默认情况下，帧中继接口开启了动态映射，会自动建立帧中继映射，dynamic表明这是动态映射。

R1#show frame-relay pvc

PVC Statistics for interface Serial0/0/0 (Frame Relay DTE)

Active Inactive Deleted Static

Local 2 0 0 0

Switched 0 0 0 0

Unused 0 0 0 0

DLCI = 103, DLCI USAGE = LOCAL, PVC STATUS = ACTIVE, INTERFACE = Serial0/0/0

//可以看到DLCI=103 的PVC 的状态为active

input pkts 11 output pkts 11 in bytes 1074

out bytes 1074 dropped pkts 0 in pkts dropped 0

out pkts dropped 0 out bytes dropped 0

in FECN pkts 0 in BECN pkts 0 out FECN pkts 0

out BECN pkts 0 in DE pkts 0 out DE pkts 0

out bcast pkts 1 out bcast bytes 34

5 minute input rate 0 bits/sec, 0 packets/sec

5 minute output rate 0 bits/sec, 0 packets/sec

pvc create time 00:07:31, last time pvc status changed 00:06:01

（此处省略）

（5）手工配置帧中继映射。

默认情况下，路由器支持逆向ARP。若逆向ARP 未打开，可以用下列命令设置。

R1(config-if)#frame-relay inverse-arp

我们也可以关闭IARP，使用静态映射，命令如下。

frame-relay map ip address dlci [ broadcast ]

这里的 broadcast 参数是允许该帧中继链路传输多播或广播包，如果帧中继链路上要运行路由协议，该参数非常重要。

R1(config)#int s0/0/0

R1(config-if)#no frame-relay inverse-arp //关闭自动映射

R1(config-if)#frame-relay map ip 192.168.123.3 103 broadcast

R1(config-if)#frame-relay map ip 192.168.123.4 104 broadcast

R3(config)#int s0/0/1

R3(config-if)#no frame-relay inverse-arp

R3(config-if)#frame-relay map ip 192.168.123.1 301 broadcast

R4(config)#int s0/0/1

R4(config-if)#no frame-relay inverse-arp

R4(config-if)#frame-relay map ip 192.168.123.1 401 broadcast

（6）实验调试。

可以使用show frame-relay map、show frame-relay pvc、show frame-relay lmi等命令检查帧中继交换机是否正常。

show frame-relay map 命令。

R1#show frame-relay map

Serial0/0/0 (up): ip 192.168.123.3 dlci 103(0x67,0x1870), dynamic,

broadcast, status defined, active

从命令输出中可以得到的信息如下所示。

● 192.168.123.3 映射到103。

● dynamic：表明是动态映射。

● broadcast：该PVC 允许广播包的通过。

● active：该PVC 是激活的。

该命令是很重要的一条命令，如果在映射表中不存在映射，路由器将无法通信。可以使用clear frame-relay inarp命令清除无效的帧中继映射表。

show frame-relay pvc命令。

R1#show frame-relay pvc

PVC Statistics for interface Serial0/0 (Frame Relay DTE)

DLCI = 103, DLCI USAGE = LOCAL, PVC STATUS = ACTIVE, INTERFACE = Serial0/0

input pkts 102024 output pkts 116191 in bytes 13974906

out bytes 14707805 dropped pkts 0 in FECN pkts 287

in BECN pkts 290 out FECN pkts 0 out BECN pkts 0

in DE pkts 102024 out DE pkts 0

pvc create time 1w1d, last time pvc status changed 1w1d

……………………………………………

从命令输出中可以得到的信息如下所示。

● DLCI = 103：表明该PVC 的DLCI 为103。

● PVC STATUS = ACTIVE：表明PVC 的状态是激活的；若PVC STATUS = INACTIVE， 表明远端路由器没正确配置；若PVC STATUS = DELETED，表明输入了错误的DLCI，该PVC 不存在。

show frame-relay lmi命令。

R1#show frame-relay lmi

LMI Statistics for interface Serial0/0 (Frame Relay DTE) LMI TYPE = CISCO

Invalid Unnumbered info 0 Invalid Prot Disc 0

Invalid dummy Call Ref 0 Invalid Msg Type 0

Invalid Status Message 0 Invalid Lock Shift 0

Invalid Information ID 0 Invalid Report IE Len 0

Invalid Report Request 0 Invalid Keep IE Len 0

Num Status Enq. Sent 74859 Num Status msgs Rcvd 74857

Num Update Status Rcvd 0 Num Status Timeouts 2

从命令输出中可以得到的信息如下所示。

● LMI TYPE = CISCO：表明帧中继LMI 类型为cisco。

● Frame Relay DTE：这是帧中继DTE。

● Num Status Enq. Sent 74859：表明路由器向帧中继交换机发送的LMI状态查询消息的数量。

● Num Status msgs Rcvd 74857：表明路由器从帧中继交换机收到的LMI 状态信息的数量。

3．帧中继上的RIP 路由协议

在前面的基础上继续本实验,由于通过上面配置映射完成,现在帧中继网络中实广域网的路由，对于路由器的台不多的情况下，可以使用RIP路由协议，具体操作如下所示。

（1）在R1、R2、R3上配置RIP。

R1(config)#interface Loopback0

R1(config-if)#ip address 1.1.1.1 255.255.255.0

R1(config)#router rip

R1(config-router)#network 1.0.0.0

R1(config-router)#network 192.168.123.0

R3(config)#interface Loopback0

R3(config-if)#ip address 3.3.3.3 255.255.255.0

R3(config)#router rip

R3(config-router)#network 3.0.0.0

R3(config-router)#network 192.168.123.0

R4(config)#interface Loopback0

R4(config-if)#ip address 4.4.4.4 255.255.255.0

R4(config)#router rip

R4(config-router)#network 4.0.0.0

R4(config-router)#network 192.168.123.0

（2）检查路由表、测试。

在各个路由器上检查路由表，并用ping命令测试各环回接口之间的连通性。

R3#show ip route

……

C 192.168.123.0/24 is directly connected, Serial0/0/1

R 1.0.0.0/8 [120/1] via 192.168.123.1, 00:00:26, Serial0/0/1

3.0.0.0/24 is subnetted, 1 subnets

C 3.3.3.0 is directly connected, Loopback0

R 4.0.0.0/8 [120/2] via 192.168.123.1, 00:00:26, Serial0/0/1

//看到正常的路由表，注意RIP 路由表中的下一跳

R3#ping 4.4.4.4 source loopback 0

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 4.4.4.4, timeout is 2 seconds:

Packet sent with a source address of 3.3.3.3

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 52/54/56 ms

//以上表明从R3 的loopback0 接口能ping 通R4 的loopback0 接口

R3#ping 4.4.4.4

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 4.4.4.4, timeout is 2 seconds:

...

//这里ping 命令没指明源地址，则ICMP 数据包的源IP 为192.168.123.3，目标为4.4.4.4

R3 路由表查询路由表得知该数据包应该发送给192.168.123.1，而192.168.123.1 的帧中继映射DLCI 为301；数据包到达R1，R1 路由表查询路由表得知该数据包应该发送给192.168.123.4，而192.168.123.4 的帧中继映射DLCI 为104。R4 收到数据包，进行响应，ICMP 数据包的源IP 为4.4.4.4，目标为192.168.123.3；R4 有192.168.123.0/24 的直连路由，然而却没有192.168.123.3 的帧中继映射，因此无法进行封装。为了解决该问题，可以在R4 中增加如下映射。

R4(config)#int s0/0/1

R4(config-if)#frame-relay map ip 192.168.123.3 401

这样从R3 就可以直接ping 通R4 的loopback0 接口了。

（3）水平分割问题。

R1#show ip int s0/0/0

Serial0/0/0 is up, line protocol is up

Internet address is 192.168.123.1/24

……

Security level is default

Split horizon is disabled //接口封装了帧中继后，水平分割被自动关闭

ICMP redirects are always sent

……

在R1上重新打开水平分割，在各路由器上检查路由表。

R1(config)#int Serial0/0/0

R1(config-if)#ip split-horizon

R1#clear ip route * //清除路由表

R1#show ip route

C 192.168.123.0/24 is directly connected, Serial0/0/0

1.0.0.0/24 is subnetted, 1 subnets

C 1.1.1.0 is directly connected, Loopback0

R 3.0.0.0/8 [120/1] via 192.168.123.3, 00:00:01, Serial0/0/0

R 4.0.0.0/8 [120/1] via 192.168.123.4, 00:00:01, Serial0/0/0

//R1 可以获得R3 和R4 的环回接口路由

R3#clear ip route *

R3#show ip route

C 192.168.123.0/24 is directly connected, Serial0/0/1

R 1.0.0.0/8 [120/1] via 192.168.123.1, 00:00:00, Serial0/0/1

3.0.0.0/24 is subnetted, 1 subnets

C 3.3.3.0 is directly connected, Loopback0

//R3 只能获得 R1 的环回接口路由，这是由于 R1 上的水平分割开启后，R1 从 R4 接收到 R4 公告的路由后，不从帧中继口发送出来，导致R3 没有接收到R4 上公告的路由。

R3#clear ip route *

R4#show ip route

C 192.168.123.0/24 is directly connected, Serial0/0/1

R 1.0.0.0/8 [120/1] via 192.168.123.1, 00:00:01, Serial0/0/1

4.0.0.0/24 is subnetted, 1 subnets

C 4.4.4.0 is directly connected, Loopback0

//R4 也只能获得R1 的环回接口路由

项目拓展

广域网接入的方式有很多种，不过很多技术已经渐渐被淘汰，例如PPP，X.25等。本项目讲解的帧中继是当前比较流行的一种广域网接入技术，它由X.25发展而来，并通过虚电路实现数据包的交换。

帧中继的配置既容易又复杂，为什么这么说呢？这是因为在配置帧中继时分为两部分，一部分是DTE设备的配置，另一部分是DCE设备的配置。如果一个公司是通过电信部门使用帧中继的话，在配置时只需要在本地路由器上设置即可，也就是说只要在DTE设备上添加命令即可，而DCE上的设置交给电信部门的工作人员完成。不过为了更好地理解帧中继的概念和配置命令，在介绍DTC的同时也介绍了DTE。请根据本项目说明DTE和DCE的区别。

项目小结

本项目重点介绍了帧中继技术的使用场合和帧中继中常用到的关键术语：DLCI、PVC 和帧中继映射。DLCI 实际上就是数据链路层地址，路由器在帧中继链路上发送数据包时，要获得该地址才能封装成帧。可以手动或者使用逆向ARP来把网络层地址和DLCI进行映射。子接口是逻辑接口，子接口的引入使得在帧中继链路上运行路由协议变得容易起来，也使得帧中继的配置更加灵活。

思考题

（1）帧中继技术的使用场合有哪些？

（2）如何配置帧中映射？

（3）帧中继交换表的工作原理是什么？

（4）PVC的作用是什么？

项目10　多层交换技术

信息化对人类社会的发展产生了巨大而深远的影响，网络正逐步深入到社会生活的各个方面。政府部门承担着社会经济管理的职能，政府部门信息化是社会信息化的重要基础。而“政府上网工程”的实施旨在推动各级政府部门为社会服务的公众信息资源汇集和应用上网，实现信息资源共享，这对于全面推进国民经济信息化具有重要意义。

政府上网的另一个作用就是实现网上办公。以往人们到政府部门办事，往往要跑到该地区的各管辖部门的所在地区，如果涉及各个不同部门，要盖不同的章，则更是费时费力。除了有一些手续必须有实物证明外，可以建立一个文件资料电子化中心，把各种证明和文件电子化。同时，项目审批等与政府有关的各项工作都可以在网上完成。而在区政府内部，各部门之间也可以通过Intranet相互联系，各级领导也可以在网上对所管部门做出指示，指导各部门机构的工作，并能及时地进行意见反馈，从而节省工作时间并提高工作效率。

图10-1 政府网络工程拓扑

本项目中核心网络采用多层交换机，多层交换机/路由器的功能与传统的路由器和交换机无异，它们将局域网（LAN）和城域网（WAN）的功能集成于单一的设备中。它们可在同组的用户之间实现本地交换（即第二层交换），与不同组的用户间实现路由（即第三层交换或路由），同时为应用提供安全性和特别服务（即第四层交换）。具体拓扑如图10-1所示。

10.1 任务1：多层交换概述

1．多层交换机的分类

交换机的分类方法有很多种，按照不同的分类方法，交换机可以分成各种不同的类型。

按照网络OSI七层模型来划分，交换机可分为二层交换机、三层交换机、多层交换机。二层交换机是按照 MAC 地址进行数据帧的过滤和转发，这种交换机是目前最常见的交换机。三层交换机采用“一次路由，多次交换”的原理，基于IP地址转发数据包。部分三层交换机也具有四层交换机的一些功能，比如依据端口号进行转发。多层交换机可以称为内容型交换机，一般在大型的网络数据中心中使用。

按照外观和架构的特点，交换机可分为机箱式交换机、机架式交换机、桌面式交换机。机箱式交换机外观比较庞大，这种交换机所有的部件都是可插拔的部件（一般称之为模块），灵活性非常好。在实际组网中，可以根据网络的要求选择不同的模块。模块可以分为几大类：一类是管理模块，它相当于计算机的主板和 CPU，用于管理整个交换机的工作；一类是应用模块，相当于计算机的I/O模块，负责连接其他网络设备和网络终端；另外还有电源模块、风扇模块等。在购买机箱式交换机的时候，需要分别购买机箱、管理模块、应用模块以及电源模块。机箱式交换机一般都是三层交换机或者多层交换机，在网络设计中，由于机箱式交换机性能和稳定性都比较卓越，因此价格比较昂贵，一般作为核心层交换机或者汇聚层交换机使用。

桌面型交换机是最常见的一种交换机，使用最广泛，尤其是在一般办公室、小型机房和业务受理较为集中的业务部门、多媒体制作中心，网站管理中心等部门。在传输速度上，现代桌面型交换机大多提供多个具有 10/100Mbit/s 自适应能力的端口。机架式交换机是一种插槽式的交换机，这种交换机扩展性较好，可支持不同的网络类型，如以太网、快速以太网、千兆以太网、ATM、令牌环及 FDDI 等，但价格较贵，高端交换机有不少是采用机架式结构的。三层交换机采用硬件转发技术，实现数据的线速转发。在网络中用户数量极少的情况下，可以使用单臂路由实现数据的转发，但随着用户数量的增多，流经路由器和交换机之间的链路的流量也变得非常大，这条链路就会成为整个网络的瓶颈。针对此种情况，三层交换机应运而生。

2．三层交换原理及实现

三层交换技术=二层交换+三层路由工作原理

在图10-2中，当数据由端口芯片接收进来以后，首先在二层交换芯片中查找相应的目的MAC地址，如果查到，就进行二层转发，否则将数据送至三层引擎。在三层引擎中，ASIC 芯片查找相应的路由表信息，与数据的目的IP地址相比较，然后发送ARP数据包到目的主机，得到该主机的MAC地址，将MAC地址发到二层芯片，由二层芯片转发该数据包。

图10-2 硬件三层交换机原理

三层交换要进行硬件交换，三层引擎必须将有关路由选择等的三层信息下载到硬件中，以便对数据包进行处理。Cisco采用传统的MLS（多层交换）和基于CEF（Cisco快速转发）的MLS体系来实现在硬件中处理数据包。

（1）传统的MLS。

也被称作基于网流的交换。交换机的三层引擎只需要处理数据流中的第一个数据包，而后续的数据全部由硬件来执行转发（该方式又称为“一次路由，多次交换”），这样就实现了三层交换的线速转发。

（2）基于CEF的MLS。

基于拓扑的转发模型，预先将所有的路由信息加入到转发信息库FIB中，交换机能快速查找IP邻接关系、下一跳地址和MAC地址。

CEF中主要包含以下两个用于转发的信息表。

● 转发信息库FIB：类似路由表，包含下一跳地址信息。

● 邻接关系表：如果两个节点之间在第二层只有一跳，则它们彼此邻接。

基于CEF的MLS和传统的MLS相比，优势主要在于传统的MLS每个数据流的第一个包都要进行路由，而基于CEF的MLS在第一次路由后，就会在邻接关系表和FIB中保存目标信息，如果再有数据需要转发，就可以直接硬件查找FIB表和邻接关系表。

基于CEF的Cisco交换机在三层上支持以下两种硬件交换方法。

① 集中式交换：在一个专用的ASIC上作出转发决策。所有需要路由或交换的数据包都必须通过总线或交换矩阵进入中央引擎。采用集中交换时，交换机的硬件性能取决于中央交换引擎和交换矩阵/总线体系结构。传统的MLS只支持集中交换。

② 分布式交换：三层交换的接口或线路模块独立地作出转发决策，无需中央引擎的帮助。采用分布式交换的交换机将CEF的FIB和邻接关系表的备份放在线路模块或接口中，供路由选择和转发数据帧使用。分布式交换的系统性能为所有转发引擎的吞吐量总和。

10.2 任务2：Cisco 3550配置基础

10.2.1 任务目标

通过实验的学习，读者可以掌握以下技能。

● 熟悉高端三层交换机的外观。

● 了解高端三层交换机各端口的名称和作用。

● 学会使用相关命令对三层交换机的接口地址进行配置。

10.2.2 施工设备

本实验需要以下设备。

● Catalyst 2950交换机、Catalyst 3550交换机和Cisco 3640路由器各一台。

● RJ-45线缆若干。

10.2.3 任务场景

根据单位的实际需求，需要分三期完成该工程。在一期工程中，主要完成网络吉比特主干以及网络基础设施的构建，实现50台PC的100Mbit/s的全交换接入，并且实现与Internet的连接，建立政府的对外形象窗口——政府网站。该网站对公众不仅提供一般的主页浏览以及资料查询功能，还提供政府的电子信箱以及论坛功能。配置拓扑如图10-3所示。

图10-3 3550配置拓扑

实验步骤

（1）指定端口trunk，配置VLAN。

① 在2950交换机上指定端口trunk，配置VLAN。

Switch>en

Switch#conf t

Enter configuration commands, one per line. End with CNTL/Z.

Switch(config)#ho 2950

2950(config)#interface f0/1

2950(config-if)#switchport mode trunk //配置端口1 为trunk模式

2950(config-if)#exit

2950(config)#exit

2950#vlan d

2950(vlan)#vtp domain 2t57 //配置VTP域为2t57

Changing VTP domain from NULL to 2t57

2950(vlan)#vtp server //VTP模式为服务器模式

2950(vlan)#vlan 10 //添加VLAN 10

VLAN 10 added:

Name:VLAN0010

2950(vlan)#vlan 20 //添加VLAN 20

VLAN 20 added:

Name:VLAN0020

2950(vlan)#exit

APPLY completed.

Exiting...

2950#show vlan brief

VLAN Name Status Ports

---- ------------------------------ --------- -------------------------------

1 default active Fa0/1, Fa0/2, Fa0/3, Fa0/4

Fa0/5, Fa0/6, Fa0/7, Fa0/8

Fa0/9, Fa0/10, Fa0/11, Fa0/12

10 VLAN0010 active

20 VLAN0020 active //VLAN 10、20 添加成功

1002 fddi-default active

1003 token-ring-default active

1004 fddinet-default active

1005 trnet-default active

2950#conf t

Enter configuration commands, one per line. End with CNTL/Z.

2950(config)#interface f0/11

2950(config-if)#switchport access vlan 10 //将端口11 加入到VLAN 10 中

2950(config-if)#interface f0/12

2950(config-if)#switchport access vlan 20 //将端口11 加入到VLAN 20 中

2950(config-if)#exit

2950(config)#exit

2950#show vlan brief

VLAN Name Status Ports

---------------------------------- --------- -------------------------------

1 default active Fa0/1, Fa0/2, Fa0/3, Fa0/4

Fa0/5, Fa0/6, Fa0/7, Fa0/8

Fa0/9, Fa0/10

10 VLAN0010 active Fa0/11

20 VLAN0020 active Fa0/12 //端口添加成功

1002 fddi-default active

1003 token-ring-default active

1004 fddinet-default active

1005 trnet-default active

② 在3550交换机上指定trunk，同步VLAN信息。

Switch>en

Switch#conf t

Enter configuration commands, one per line. End with CNTL/Z.

Switch(config)#ho 3550

3550(config)#interface f0/1

3550(config-if)#switchport mode trunk　　//配置端口1 为中继模式

3550(config-if)#exit

3550(config)#exit

3550#vlan d

3550(vlan)#vtp domain 2t57 //配置VTP域名为2t57

VTP domain 2t57 modified

3550(vlan)#vtp client //配置VTP为客户机工作模式

3550(vlan)#exit

APPLY completed.

Exiting...

3550#show vlan brief

VLAN Name Status Ports

---------------------------------- --------- -------------------------------

1 default active Fa0/1, Fa0/2, Fa0/3, Fa0/4

Fa0/5, Fa0/6, Fa0/7, Fa0/8

Fa0/9, Fa0/10, Fa0/11, Fa0/12

Fa0/13, Fa0/14

10 VLAN0010 active

20 VLAN0020 active //VLAN 同步成功

1002 fddi-default active

1003 token-ring-default active

1004 fddinet-default active

1005 trnet-default active

（2）在3550交换机上配置启动路由。

3550#conf t

Enter configuration commands, one per line. End with CNTL/Z.

3550(config)#ip routing

3550(config)#interface vlan 10

3550(config-if)#ip address 192.168.10.1 255.255.255.0 //配置VLAN 10 的IP

3550(config-if)#no shut

3550(config-if)#interface vlan 20

3550(config-if)#ip address 192.168.20.1 255.255.255.0 //配置VLAN 20 的IP

3550(config-if)#no shut

3550(config-if)#exit

3550(config)#exit

3550(config)#interface f0/10

3550(config-if)#no switchport //配置端口10 为路由接口

3550(config-if)#ip address 192.168.30.1 255.255.255.0 //配置端口10 的IP地址

3550(config-if)#no shut

3550(config-if)#exit

3550(config)#ip route 0.0.0.0 0.0.0.0 192.168.30.2 //配置静态路由

3550(config)#exit

3550#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, * - candidate default

U - per-user static route

Gateway of last resort is to network 0.0.0.0

C 192.168.30.0 is directly connected, FastEthernet0/10 //30网段直连端口0

S* 0.0.0.0 [1/0] via 192.168.30.2 //静态路由下一跳地址

（3）在3640路由器上配置路由。

Router>en

Router#conf t

Enter configuration commands, one per line. End with CNTL/Z.

Router(config)#ho R1

R1(config)#interface f0/0

R1(config-if)#ip address 192.168.30.2 255.255.255.0 //配置端口f0/0的IP

R1(config-if)#no shut

%LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to up

R1(config-if)#interface f1/0 //配置端口f1/0的IP

R1(config-if)#ip address 192.168.40.1 255.255.255.0

R1(config-if)#no shut

%LINK-3-UPDOWN: Interface FastEthernet1/0, changed state to up

R1(config-if)#exit

%LINK-3-UPDOWN: Interface FastEthernet1/0, changed state to down

%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet1/0, changed state to down

//端口1/0 未连接任何设备，端口状态down

R1(config)#ip route 192.168.10.0 255.255.255.0 192.168.30.1 //配置到VLAN 10 的路由

R1(config)#ip route 192.168.20.0 255.255.255.0 192.168.30.1 //配置到VLAN 20 的路由

R1(config)#exit

R1#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, * - candidate default

U - per-user static route

Gateway of last resort is not set

C 192.168.30.0 is directly connected, FastEthernet0/0 //30网段直连端口0/0

S 192.168.10.0 [1/0] via 192.168.30.1 //路由到10网段的下一跳地址

R1#conf t

Enter configuration commands, one per line. End with CNTL/Z.

R1(config)#interface loopback 0 //端口环回0

R1(config-if)#ip address 192.168.40.1 255.255.255.0 //IP地址

192.168.40.0 overlaps with FastEthernet1/0 //40网段加载在端口1/0 上

R1(config-if)#exit

R1(config)#exit

（4）验证。

P1连通状态如下。

Boson BOSS 5.0 IP Configuration

Ethernet adapter Local Area Connection:

IP Address. . . . . . . . . . . . : 192.168.10.11 //P1 IP地址

Subnet Mask . . . . . . . . . . . : 255.255.255.0

Default Gateway . . . . . . . . . : 192.168.10.1 //网关为VLAN 10 IP地址

You can also use winipcfg to configure the IP Address

C:>ping 192.168.10.11

Pinging 192.168.10.11 with 32 bytes of data:

Reply from 192.168.10.11: bytes=32 time=60ms TTL=241

Reply from 192.168.10.11: bytes=32 time=60ms TTL=241

Reply from 192.168.10.11: bytes=32 time=60ms TTL=241

Reply from 192.168.10.11: bytes=32 time=60ms TTL=241

Reply from 192.168.10.11: bytes=32 time=60ms TTL=241

Ping statistics for 192.168.10.11: Packets: Sent = 5, Received = 5, Lost = 0

(0% loss),

Approximate round trip times in milli-seconds:

Minimum = 50ms, Maximum = 60ms, Average = 55ms

//ping通自己IP，端口状态正确

C:>ping 192.168.10.1

Pinging 192.168.10.1 with 32 bytes of data:

Reply from 192.168.10.1: bytes=32 time=60ms TTL=241

Reply from 192.168.10.1: bytes=32 time=60ms TTL=241

Reply from 192.168.10.1: bytes=32 time=60ms TTL=241

Reply from 192.168.10.1: bytes=32 time=60ms TTL=241

Reply from 192.168.10.1: bytes=32 time=60ms TTL=241

Ping statistics for 192.168.10.1: Packets: Sent = 5, Received = 5, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 50ms, Maximum = 60ms, Average = 55ms

//ping通网关，即VLAN 10 IP地址

C:>ping 192.168.20.1

Pinging 192.168.20.1 with 32 bytes of data:

Reply from 192.168.20.1: bytes=32 time=60ms TTL=241

Reply from 192.168.20.1: bytes=32 time=60ms TTL=241

Reply from 192.168.20.1: bytes=32 time=60ms TTL=241

Reply from 192.168.20.1: bytes=32 time=60ms TTL=241

Reply from 192.168.20.1: bytes=32 time=60ms TTL=241

Ping statistics for 192.168.20.1: Packets: Sent = 5, Received = 5, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 50ms, Maximum = 60ms, Average = 55ms

//ping通VLAN 20 IP地址

C:>ping 192.168.20.22

Pinging 192.168.20.22 with 32 bytes of data:

Reply from 192.168.20.22: bytes=32 time=60ms TTL=241

Reply from 192.168.20.22: bytes=32 time=60ms TTL=241

Reply from 192.168.20.22: bytes=32 time=60ms TTL=241

Reply from 192.168.20.22: bytes=32 time=60ms TTL=241

Reply from 192.168.20.22: bytes=32 time=60ms TTL=241

Ping statistics for 192.168.20.22: Packets: Sent = 5, Received = 5, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 50ms, Maximum = 60ms, Average = 55ms

//ping通在VLAN 20 上的主机P2

P2 连通状态如下。

Boson BOSS 5.0 IP Configuration

Ethernet adapter Local Area Connection:

IP Address. . . . . . . . . . . . : 192.168.20.22

Subnet Mask . . . . . . . . . . . : 255.255.255.0

Default Gateway . . . . . . . . . : 192.168.20.1 //网关为VLAN 20 IP地址

You can also use winipcfg to configure the IP Address

C:>ping 192.168.20.22

Pinging 192.168.20.22 with 32 bytes of data:

Reply from 192.168.20.22: bytes=32 time=60ms TTL=241

Reply from 192.168.20.22: bytes=32 time=60ms TTL=241

Reply from 192.168.20.22: bytes=32 time=60ms TTL=241

Reply from 192.168.20.22: bytes=32 time=60ms TTL=241

Reply from 192.168.20.22: bytes=32 time=60ms TTL=241

Ping statistics for 192.168.20.22: Packets: Sent = 5, Received = 5, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 50ms, Maximum = 60ms, Average = 55ms

//ping通自己IP

C:>ping 192.168.20.1

Pinging 192.168.20.1 with 32 bytes of data:

Reply from 192.168.20.1: bytes=32 time=60ms TTL=241

Reply from 192.168.20.1: bytes=32 time=60ms TTL=241

Reply from 192.168.20.1: bytes=32 time=60ms TTL=241

Reply from 192.168.20.1: bytes=32 time=60ms TTL=241

Reply from 192.168.20.1: bytes=32 time=60ms TTL=241

Ping statistics for 192.168.20.1: Packets: Sent = 5, Received = 5, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 50ms, Maximum = 60ms, Average = 55ms

//ping通网关

C:>ping 192.168.10.1

Pinging 192.168.10.1 with 32 bytes of data:

Reply from 192.168.10.1: bytes=32 time=60ms TTL=241

Reply from 192.168.10.1: bytes=32 time=60ms TTL=241

Reply from 192.168.10.1: bytes=32 time=60ms TTL=241

Reply from 192.168.10.1: bytes=32 time=60ms TTL=241

Reply from 192.168.10.1: bytes=32 time=60ms TTL=241

Ping statistics for 192.168.10.1: Packets: Sent = 5, Received = 5, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 50ms, Maximum = 60ms, Average = 55ms

//ping通VLAN 10 网段

C:>ping 192.168.10.11

Pinging 192.168.10.11 with 32 bytes of data:

Reply from 192.168.10.11: bytes=32 time=60ms TTL=241

Reply from 192.168.10.11: bytes=32 time=60ms TTL=241

Reply from 192.168.10.11: bytes=32 time=60ms TTL=241

Reply from 192.168.10.11: bytes=32 time=60ms TTL=241

Reply from 192.168.10.11: bytes=32 time=60ms TTL=241

Ping statistics for 192.168.10.11: Packets: Sent = 5, Received = 5, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 50ms, Maximum = 60ms, Average = 55ms

//ping通在VLAN 10 上的P1

10.3 任务3：Cisco 3550 VLAN间转发

10.3.1 任务目标

通过实验的学习，读者可以掌握以下技能。

● 熟悉实现不同VLAN间互访。

● 了解快速转发的作用。

10.3.2 施工设备

本实验需要以下设备。

● Catalyst 2950交换机。

● Catalyst 3550交换机和3640路由器。

10.3.3 任务场景

目前市场上有许多多层交换机。在这些交换机中，厂家通过硬件或软件的方式将路由功能集成到交换机中。交换机主要用于园区网中，园区网中的路由比较简单，但要求数据交换的速度较快，因此在园区网中用交换机代替路由器已是不争的事实。用交换机代替路由器实现VLAN间通信的方式也有两种。其一，是启用交换机的路由功能。其二，是利用某些高端交换机所支持的专用VLAN功能来实现VLAN间的通信。这里主要介绍第二种，具体拓扑如图10-4所示。

图10-4 VLAN间三层交换

1．实验步骤

（1）在二层交换机上配置VLAN。

SW-2L(config)#vlan 2

SW-2L(config-vlan)#vlan 3

SW-2L(config-vlan)#exit

配置所需要的接口，加入到vlan中。

SW-2L(config)#interface range f0/2

SW-2L(config-if-range)#switchport mode access

SW-2L(config-if-range)#switchport access vlan 2

SW-2L(config)#interface range f0/3

SW-2L(config-if-range)#switchport mode access

SW-2L(config-if-range)#switchport access vlan 3 //在二层交换机上配置trunk接口

SW-2L(config)#interface f0/1

SW-2L(config-if)#switchport mode trunk

（2）在三层交换机上配置与二层交换机相同的VLAN（配置步骤与方法相同，也可以配置一台交换机为VTP域服务器，其他交换机为VTP域客户端来自动学习VLAN信息）。

SW-3L(config)#vlan database

SW-3L(config-vlan)#vlan 2

SW-3L(config-vlan)#vlan 3

SW-3L(config-vlan)#exit

SW-3L(config)#interface f0/1 //在三层交换机上配置中继接口

SW-3L(config-if)#switchport trunk encapsulation dot1q

SW-3L(config-if)#switchport mode trunk

SW-3L(config)#ip routing //在三层交换机上启动路由

SW-3L(config)#interface vlan 1 //在三层交换机上配置各VLAN的IP地址

SW-3L(config-if)#ip address 192.168.1.1 255.255.255.0

SW-3L(config-if)#no shut SW-3L(config)#interface vlan 2

SW-3L(config-if)#ip address 192.168.2.1 255.255.255.0

SW-3L(config-if)#no shut

SW-3L(config)#interface vlan 3

SW-3L(config-if)#ip address 192.168.3.1 255.255.255.0

SW-3L(config-if)#no shut

SW-3L#show ip route //在三层交换机上查看路由表

SW-3L #sh ip route

Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route

Gateway of last resort is not set

C　192.168.1.0/24 is directly connected, Vlan1

C　192.168.2.0/24 is directly connected, Vlan2

C　192.168.3.0/24 is directly connected, Vlan3

（3）在主机192.168.2.2上ping 192.168.3.2。在这里，主机也是用路由器模拟的，其配置如下所示。

Router#conf t

Router(config)#host PC2

PC2(config)#int f0/2

PC2(config-if)#no sw

PC2(config-if)#ip add 192.168.2.2 255.255.255.0

PC2(config-if)#no shut

PC2(config-if)#exit

PC2(config)#ip default-ga 192.168.2.1

PC2(config)#no ip routing

PC2#ping 192.168.3.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.3.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 96/143/232 ms

（4）查看FIB（转发信息库）。

SW-3L#show ip cef　//查看FIB

SW-3L #sh ip cef

Prefix　　　　Next Hop　　　Interface

0.0.0.0/0　　　drop　　　　Null0 (default route handler entry)

0.0.0.0/32　　　receive

192.168.1.0/24　　attached　　　Vlan1

192.168.1.0/32　　receive

192.168.1.1/32　　receive

192.168.1.2/32　　192.168.1.2　　　Vlan1

192.168.1.255/32　receive

192.168.2.0/24　　attached　　　Vlan2

192.168.2.0/32　　receive

192.168.2.1/32　　receive

192.168.2.2/32192.168.2.2 Vlan2

192.168.2.255/32receive

192.168.3.0/24attachedVlan3

192.168.3.0/32receive

192.168.3.1/32receive

192.168.3.2/32192.168.3.2Vlan3

192.168.3.255/32receive

224.0.0.0/4drop

224.0.0.0/24receive

255.255.255.255/32 receive

SW-3L#show adjacency detail//查看邻接关系表

SW-3L #sh adjacency detail//查看邻接日志

2．总结

● 三层交换机的接口在默认情况下属于VLAN1，如果需要让三层交换机与路由器实现点到点的连接，则需要将交换机的某个接口配置为路由接口后，才能为这个接口配置IP地址。

● 三层交换机上配置静态或动态路由的方法与在路由器上配置路由的方法相同。

● 在实际应用中，三层交换机一般不会直接连接用户终端，三层交换机的接口用来连接接入交换机的trunk链路或服务器。

● 当二层交换机与三层交换机上相同 VLAN 中的主机通信时，是通过二层交换机的 trunk通信；不同的VLAN 的主机通信时，是通过三层交换机进行路由通信。

项目拓展

在当今的网络规划中，VLAN的设计是必不可少的，在考虑网络安全性能和传输速度的同时， VLAN 间的通信问题也是十分重要的一个环节。由于网络产品的开发和应用速度相当快，目前VLAN间的通信还没有统一的标准，各厂家生产的网络设备在实现VLAN间通信的技术上各有所长，因此在具体的网络规划中应根据网络设备的特点和具体的网络应用情况来决定采用哪种方式。

要想实现 VLAN 之间的通信，我们可以采用路由器实现 VLAN 间的通信。使用路由器实现VLAN间的通信时，路由器与交换机的连接方式有两种：第一种是通过路由器的不同物理接口与交换机上的每个 VLAN 分别连接；第二种是通过路由器的逻辑子接口与交换机的各个 VLAN 连接。请思考如何采用路由器实现VLAN间的通信。

项目小结

本项目重点介绍了三层交换机的工作原理和配置方式。三层交换机的接口在默认情况下属于VLAN1，如果需要让三层交换机与路由器实现点到点的连接，需要将交换机的某个接口配置为路由接口，才能为这个接口配置IP地址。三层交换机上配置静态或动态路由的方法与在路由器上配置路由的方法相同。在实际应用中，三层交换机上一般不会直接连接用户终端，三层交换机的接口用来连接接入交换机的trunk链路或服务器。当二层交换机与三层交换机上相同VLAN 中的主机通信时，是通过二层交换机的trunk进行通信；不同的VLAN 的主机通信时，是通过三层交换机进行路由通信的。

思考题

（1）三层交换机的工作原理是什么？

（2）如何在交换机端口上配置IP地址？

（3）二层交换机和三层交换机的区别是什么？

（4）如何通过三层交换机实现不同VLAN间通信的过程？

项目11 访问控制列表和NAT配置

近年来，大部分企业单位的 PC 还是以报表处理、单机作业为主，日常通信也只是简单地传送文件，这显然不能满足业务发展和现代化管理的需要。而 Internet及其相关技术的出现和高速发展，为企业提供了充分利用网络进行信息交流和管理的机会。

某集团公司总公司的内部网系统是一个集计算机技术、网络通信技术、数据库管理技术为一体的大型网络系统。它以管理信息为主体，连接生产、经营、维护、运营系统。而计划在上海建立的分公司网络是一个面向企业日常业务、立足生产、面向社会服务，辅助领导决策的计算机信息网络系统。该网络系统拓扑图如图11-1所示。

图11-1 网络方案拓扑

根据项目方案设计要求，分公司网络由总公司统一管理，且分公司采用NAT技术上网，并用访问控制列表（ACL）进行策略限制。网络设备为了过滤报文，需要配置一系列的匹配规则，以识别出特定的报文，然后根据预先设定的策略允许或禁止该报文通过。访问控制列表通过一系列的匹配条件对报文进行分类，这些条件可以是报文的源地址、目的地址、端口号等。

11.1 任务1：访问控制列表和NAT概述

1．使用访问控制列表的原因

最初的网络只是连接有限的 LAN 和 PC，随着路由器连接内部和外部的网络，以及 Internet的普及，控制访问成为新的挑战，网络管理员面临两难的局面：如何拒绝不期望的访问而允许需要的访问？访问控制列表增加了在路由器接口上过滤数据包出入的灵活性，可以帮助管理员限制网络流量，也可以控制用户和设备对网络的使用。它根据网络中每个数据包所包含的信息内容决定是否允许该数据包通过接口。

2．访问控制列表使用原则

（1）最小特权原则。

只给受控对象完成任务所必需的最小权限。也就是说被控制的总规则是各个规则的交集，只满足部分条件是不容许通过规则的。

（2）最靠近受控对象原则。

所有的网络层访问权限控制。也就是说在转发数据包时是采用自上而下的方式在ACL中逐条检测规则，只要发现条件符合就立刻转发数据包，而不继续检测下面的ACL语句。

（3）默认丢弃原则。

在Cisco路由交换设备中，默认在最后一句ACL语句中加入了DENY ANY ANY，也就是丢弃所有不符合条件的数据包。这一点要特别注意，虽然我们可以修改这个默认值，但未改前一定要引起重视。

3．ACL的分类

ACL技术可以有效地在三层上控制网络用户对网络资源的访问，它可以具体到两台网络设备间的网络应用，也可以按照网段进行大范围的访问控制管理，为网络应用提供了一个有效的安全手段。

（1）标准IP访问控制列表。一个标准IP访问控制列表匹配IP包中的源地址或源地址中的一部分，可对匹配的包采取拒绝或允许两个操作。编号范围从1～99的访问控制列表是标准IP访问控制列表。

（2）扩展IP访问控制列表。扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项，包括协议类型、源地址、目的地址、源端口、目的端口、建立连接的和IP优先级等。编号范围从100～199的访问控制列表是扩展IP访问控制列表。

（3）命名的IP访问控制列表。所谓命名的IP访问控制列表是以列表名代替列表编号来定义IP访问控制列表，同样包括标准和扩展两种访问控制列表，定义过滤的语句与编号方式中的语句相似。

4．配置访问控制列表的步骤如下

（1）创建访问控制列表。

access-list access-list-number {deny|permit} {test conditions}

//access-list-number：序列号，这个地方也可以写命名的名称。

//deny：拒绝。

//permit：允许。

//test conditions：过滤条件语句。

（2）应用访问控制列表。

首先要进入接口模式，然后使用下列命令应用访问控制列表。

ip access-group access-list-number {in|out}

5．标准访问控制列表的格式

access-list [list number| word] [permit|deny] [source address] [wildcard mask]

//[list number|word]: 列表序列号或者命名。

//[permit|deny]: 允许或者拒绝。

//[source address]: 源IP地址。

//[wildcard mask]: 掩码，如果不使用掩码，则使用关键字host，如host 192.168.2.4。

6．扩展访问控制列表的格式

access-list [list number| word] [permit | deny] [protocol | protocol key word] [source address] [source-swidcard mask] [source port] [destination address] [destination-wildceard mask] [destination port]

//[list number| word]: 访问控制列表的序列号或者命名。

//[permit | deny]: 允许或者拒绝。

//[protocol | protocol key word]: 协议或者协议号。

//[source address]: 源IP地址。

//[source-swidcard mask]: 源地址掩码，如果使用关键字host，则不用掩码。

//[source port]: 源端口。

//[destination address]: 目的地IP地址。

//[destination-wildceard mask]: 目的地地址掩码，如果使用host关键字，则不用掩码。

//[destination port]: 目的端口。

7．NAT技术

NAT（网络地址转换）是用于将一个地址域（如专用Intranet）映射到另一个地址域（如Internet）的标准方法。NAT 允许一个机构专用 Intranet 中的主机无需一个注册的（以及越来越缺乏的） Internet地址即可透明地连接到公共域中的主机。

8．NAT实现方式

NAT的实现方式有3种，即静态转换（Static Nat）、动态转换（Dynamic Nat）和端口多路复用OverLoad。

静态转换：是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。借助于静态转换，用户可以实现外部网络对内部网络中某些特定设备（如服务器）的访问。

动态转换：是指将内部网络的私有IP地址转换为公用IP地址时，IP地址对是不确定的，而是随机的，所有被授权访问Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法的外部地址集。当可用的合法IP地址略少于网络内部的计算机数量时，可以采用动态转换的方式。

端口多路复用：是指改变外出数据包的源端口并进行端口转换，即端口地址转换（PAT，Port Address Translation）。采用端口多路复用方式，内部网络的所有主机均可共享一个合法的外部 IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自Internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。

NAT配置中的常用命令如下所示。

ip nat {inside|outside}：接口配置命令。至少一个内部和一个外部接口上启用NAT。

ip nat inside source static local-ip global-ip：全局配置命令。在对内部局部地址使用静态地址转换时，用该命令进行地址定义。

access-list access-list-number {permit|deny} local-ip-address：使用该命令为内部网络定义一个标准的IP访问控制列表。

ip nat pool pool-name start-ip end-ip netmask netmask [type rotary]：使用该命令为内部网络定义一个NAT地址池。

ip nat inside source list access-list-number pool pool-name [overload]：使用该命令定义访问控制列表与NAT内部全局地址池之间的映射。

ip nat outside source list access-list-number pool pool-name [overload]：使用该命令定义访问控制列表与NAT外部局部地址池之间的映射。

11.2 任务2：访问控制列表配置

11.2.1 任务目标

通过实验的学习，读者可以实现以下功能。

● 192.168.1.1的主机对R4访问。

● 192.168.1.3的主机对R4访问。

● 131.16.24.0的网段主机对R4访问。

● 192.168.1.2的主机对R4访问。

11.2.2 施工设备

本实验需要以下设备。

● Cisco 3640路由器4台和Console线缆。

● RJ-45线缆若干。

11.2.3 任务场景

整个主干网以总公司的信息中心为管理中心，向外辐射，通过各部门、单位等几个节点构成主干网。中心节点机房配置企业级交换机作为网络中心交换机。为实现网络动态管理和虚拟局域网，在中心节点交换机上还配置第三层交换模块和网络监控模块。主干各节点及服务器采用100Mbit/s的链路连接，普通工作站采用交换式100Mbit/s的链路连接。总公司采用ACL对访问的分公司进行限制，具体测试拓扑如图11-2所示。

图11-2 访问控制列表拓扑图

1．标准访问控制列表的配置

（1）配置各路由器的IP地址，并使用ping命令确认直连接口相互可以ping通。

R4(config)#interface loopback 0

R4(config-if)#ip add 10.1.1.1 255.255.255.0

R4(config-if)#ip address 10.2.2.1 255.255.255.0 secondary

//使用secondary关键字，可以为接口配置多个从地址。

R4(config-if)#

（2）在各台路由器上启用OSPF协议。

（3）配置ACL的标准IP访问控制列表，它应放置离目标最近的接口。

R4(config)#access-list 1 permit 192.168.1.1 0.0.0.0

R4(config)#access-list 1 permit host 192.168.1.3

R4(config)#access-list 1 permit 131.16.24.0 0.0.0.255

R4(config)#access-list 1 permit host 172.16.1.1

//此处允许172.16.1.1的目的是保证了OSPF的通信

或

R4(config)#access-list 2 deny 192.168.1.2 0.0.0.0

R4(config)#access-list 2 permit any

（4）将ACL应用到接口。

R4(config)#interface serial 1/2

R4(config-if)#ip access-group 1 in

R4(config-if)#exit

（5）测试。

R1>ping 172.16.1.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.1.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 96/147/188 ms

R2>ping 172.16.1.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.1.2, timeout is 2 seconds:

U.U.U

Success rate is 0 percent (0/5)

R2#ping

Protocol [ip]:

Target IP address: 172.16.1.2

Repeat count [5]:

Datagram size [100]:

Timeout in seconds [2]:

Extended commands [n]: y

Source address or interface: 131.16.24.1

Type of service [0]:

Set DF bit in IP header? [no]:

Validate reply data? [no]:

Data pattern [0xABCD]:

Loose, Strict, Record, Timestamp, Verbose[none]:

Sweep range of sizes [n]:

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.1.2, timeout is 2 seconds:

Packet sent with a source address of 131.16.24.1

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 184/202/232 ms

R2#

R3#ping

Protocol [ip]:

Target IP address: 172.16.1.2

Repeat count [5]:

Datagram size [100]:

Timeout in seconds [2]:

Extended commands [n]: y

Source address or interface: 192.168.1.3

Type of service [0]:

Set DF bit in IP header? [no]:

Validate reply data? [no]:

Data pattern [0xABCD]:

Loose, Strict, Record, Timestamp, Verbose[none]:

Sweep range of sizes [n]:

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.1.2, timeout is 2 seconds:

Packet sent with a source address of 192.168.1.3

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 48/93/168 ms

R3#

（6）查看相关的ACL的配置属性。

R4#show ip interface serial 1/2

Serial1/2 is up, line protocol is up

Internet address is 172.16.1.2/24

Broadcast address is 255.255.255.255

Address determined by setup command

MTU is 1500 bytes

Helper address is not set

Directed broadcast forwarding is disabled

Multicast reserved groups joined: 224.0.0.5 224.0.0.6

Outgoing access list is not set

Inbound access list is 1

//在一个接口上，每个访问可以应用一个访问控制列表。此处 1 表示1号访问控制列表被应用在in访问的上。

Proxy ARP is enabled

Security level is default

Split horizon is enabled

ICMP redirects are always sent

ICMP unreachables are always sent

ICMP mask replies are never sent

IP fast switching is enabled

IP fast switching on the same interface is enabled

IP Flow switching is disabled

IP CEF switching is enabled

IP Feature Fast switching turbo vector

IP Feature CEF switching turbo vector

IP multicast fast switching is enabled

R4#show ip access-lists

Standard IP access list 1

permit 192.168.1.1 (135 matches)

//表示有135个包匹配了该ACL的条件。

permit 192.168.1.3 (15 matches)

permit 172.16.1.1 (77 matches)

permit 131.17.24.0, wildcard bits 0.0.0.255

permit 131.16.24.0, wildcard bits 0.0.0.255 (15 matches)

Standard IP access list 2

deny 192.168.1.2 (11 matches)

permit any (78 matches)

2．扩展访问控制列表的配置

（1）配置各路由器的IP地址，并使用ping命令确认直连接口相互可以ping通。

（2）在各台路由器上启用OSPF协议。

（3）配置ACL的扩展IP访问控制列表，它应放置离源最近的接口。

access-list 100 deny tcp host 192.168.1.1 host 172.16.1.2 eq 23

access-list 100 deny tcp host 192.168.1.1 10.0.0.0 0.255.255.255 eq telnet

access-list 100 deny tcp host 12.1.1.1 host 172.16.1.2 eq telnet

access-list 100 deny tcp host 12.1.1.1 10.0.0.0 0.255.255.255 eq telnet

access-list 100 deny icmp host 192.168.1.2 host 172.16.1.2

access-list 100 deny icmp host 192.168.1.2 10.0.0.0 0.255.255.255

access-list 100 deny icmp host 131.16.24.1 host 172.16.1.2

access-list 100 deny icmp host 131.16.24.1 10.0.0.0 0.255.255.255

access-list 100 permit ip any any

（4）将ACL应用到接口。

R3(config)#interface fastethernet 0/0

R3(config-if)#ip access-group 100 in

R3(config-if)#exit

（5）测试。

R1>ping 172.16.1.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.1.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 120/163/204 ms

R1>

R1>ping 10.1.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 172/188/220 ms

R1>

R1>ping 10.2.2.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.2.2.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 68/176/252 ms

R1>

R1>telnet 172.16.1.2

Trying 172.16.1.2 ...

% Destination unreachable; gateway or host down

R1>telnet 10.1.1.1

Trying 10.1.1.1 ...

% Destination unreachable; gateway or host down

R1>telnet 10.2.2.1

Trying 10.2.2.1 ...

% Destination unreachable; gateway or host down

R2#ping 172.16.1.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.1.2, timeout is 2 seconds:

U.U.U

Success rate is 0 percent (0/5)

R2#ping 10.1.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:

U.U.U

Success rate is 0 percent (0/5)

R2#ping 10.2.2.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.2.2.1, timeout is 2 seconds:

U.U.U

Success rate is 0 percent (0/5)

R2#

R2#telnet 172.16.1.2

Trying 172.16.1.2 ... Open

User Access Verification

Password:

R4>

R2#telnet 10.1.1.1

Trying 10.1.1.1 ... Open

User Access Verification

Password:

R4>

R2#telnet 10.2.2.1

Trying 10.2.2.1 ... Open

User Access Verification

Password:

R4>

11.3 任务3：NAT配置

11.3.1 任务目标

通过实验的学习，读者可以掌握以下技能。

● 配置静态NAT。

● 配置动态NAT。

● 应用访问控制列表。

11.3.2 施工设备

本实验需要以下设备。

● Cisco 3640路由器4台和Console线缆1根。

● RJ-45线缆若干。

11.3.3 任务场景

企业的远程访问系统包括通过专线网络、公用电话网和通过 CHINANET 构成的企业内部虚拟专用网络（VPN）。企业总部内采用快速以太网连接。而对于市区以外的部门和单位，则利用CHINANET和Internet网及数据加密技术构成企业的内部虚拟专用网，而对于分公司则采用NAT方式连接公网，具体拓扑如图11-3所示。

图11-3 NAT配置拓扑

1．配置静态NAT

（1）R1配置NAT转换。

R1(config)#int f0/0 //设置内部接口地址

R1(config-if)#ip address 192.168.1.254 255.255.255.0

R1(config-if)#no shutdown

R1(config)#int s1/0 //设置外部接口地址

R1(config-if)#ip address 1.1.1.1 255.255.255.252

R1(config-if)#no shutdown

R1(config)#ip nat inside source static 192.168.1.1 172.16.1.1

R1(config)#ip nat inside source static 192.168.1.2 172.16.1.2

//在内部局部和内部全局地址之间建立静态地址转换

R1(config)#int f0/0

R1(config-if)#ip nat inside //在内部接口启用NAT

R1(config-if)#exit

R1(config)#int s1/0

R1(config-if)#ip nat outside //在外部接口上启用NAT

R1(config)#ip route 0.0.0.0 0.0.0.0 1.1.1.2 //启用默认路由

（2）R2配置接口。

R2>en

R2#conf t

R2(config)#int s1/1

R2(config-if)#ip address 1.1.1.2 255.255.255.252

R2(config-if)#no shutdown

R2(config-if)#exit

R2(config)#int f0/0

R2(config-if)#ip address 2.2.2.1 255.255.255.0

R2(config-if)#no shutdown

R2(config-if)#exit

R2(config)#ip route 0.0.0.0 0.0.0.0 1.1.1.1

（3）验证。

PC1:

PC1#ping 2.2.2.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 2.2.2.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 168/254/336 ms

R1#show ip nat translations

Pro Inside global　Inside local　　Outside local　Outside global

icmp 172.16.1.1:7　192.168.1.1:7　2.2.2.2:7　　2.2.2.2:7

--- 172.16.1.1　　192.168.1.1　　---　　　---

--- 172.16.1.2　　192.168.1.2　　---　　　---

当PC1对PC3执行了ping命令之后，在R1上输入show ip nat translations命令，可以发现已经成功执行了NAT转换。

内部局部地址192.168.1.1到达路由器后执行NAT转换，转换成内部全局地址172.16.1.1。在PC3看来，与自己通信的是172.16.1.1。

R1#debug ip nat

IP NAT debugging is on

R1#

*Mar 1 01:13:06.659: NAT*: s=192.168.1.2->172.16.1.2, d=2.2.2.2 [25]

*Mar 1 01:13:06.803: NAT*: s=2.2.2.2, d=172.16.1.2->192.168.1.2 [25]

*Mar 1 01:13:06.995: NAT*: s=192.168.1.2->172.16.1.2, d=2.2.2.2 [26]

*Mar 1 01:13:07.163: NAT*: s=2.2.2.2, d=172.16.1.2->192.168.1.2 [26]

*Mar 1 01:13:07.235: NAT*: s=192.168.1.2->172.16.1.2, d=2.2.2.2 [27]

*Mar 1 01:13:07.395: NAT*: s=2.2.2.2, d=172.16.1.2->192.168.1.2 [27]

*Mar 1 01:13:07.443: NAT*: s=192.168.1.2->172.16.1.2, d=2.2.2.2 [28]

*Mar 1 01:13:07.575: NAT*: s=2.2.2.2, d=172.16.1.2->192.168.1.2 [28]

*Mar 1 01:13:07.603: NAT*: s=192.168.1.2->172.16.1.2, d=2.2.2.2 [29]

*Mar 1 01:13:07.735: NAT*: s=2.2.2.2, d=172.16.1.2->192.168.1.2 [29]

当PC2对PC3执行ping命令之后，在R1上运行dubug ip nat命令后，可以看到更加详细的转换。源地址192.168.2.2到达路由器之后转换成172.16.1.2与PC3进行通信。

2．配置动态NAT

（1）进行动态配置之前，将R1中配置的静态NAT删除掉。

R1(config)#no ip nat inside source static 192.168.1.1 172.16.1.1

R1(config)#no ip nat inside source static 192.168.1.2 172.16.1.2

R1(config)#int f0/0

R1(config-if)#no ip nat inside

R1(config-if)#exit

R1(config)#int s1/0

R1(config-if)#no ip nat outside

（2）配置动态NAT。

R1(config)#int f0/0

R1(config-if)#ip address 192.168.1.254 255.255.255.0 //设置内部接口地址

R1(config-if)#no shutdown

R1(config)#int s1/0

R1(config-if)#ip address 1.1.1.1 255.255.255.252 //设置外部接口地址

R1(config-if)#no shutdown

R1(config)#access-list 1 permit 192.168.1.0 0.0.0.255 //定义内部网络中允许访问外部网络的访问控制列表

R1(config)#ip nat pool test1 10.0.0.1 10.0.0.3 netmask 255.255.255.0 //定义合法IP地址池

R1(config)#ip nat inside source list 1 pool test1 //实现网络地址转换

R1(config)#int f0/0

R1(config-if)#ip nat inside

R1(config-if)#exit

R1(config)#int s1/0

R1(config-if)#ip nat outside

（3）验证。

PC1:

PC1#ping 2.2.2.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 2.2.2.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 264/298/332 ms

PC2:

PC2#ping 2.2.2.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 2.2.2.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 228/280/384 ms

R1:

R1#show ip nat translations

Pro Inside global　Inside local　　Outside local　Outside global

icmp 10.0.0.1:10　　192.168.1.1:10　2.2.2.2:10　　2.2.2.2:10

--- 10.0.0.1　　192.168.1.1　　---　　　---

icmp 10.0.0.2:7　　192.168.1.2:7　2.2.2.2:7　　2.2.2.2:7

--- 10.0.0.2　　192.168.1.2　　---　　　---

项目拓展

网络地址端口转换（Network Address Port Translation，NAPT）是人们比较熟悉的一种转换方式。NAPT普遍应用于接入设备中，它可以将中小型网络隐藏在一个合法的IP地址后面。NAPT与动态NAT不同，它将内部连接映射到外部网络中的一个单独的IP地址上，同时在该地址上加上一个由NAT设备选定的TCP端口号。在Internet中使用NAPT时，所有不同的信息流看起来好像来源于同一个IP地址。这个优点在小型办公室内非常实用，它可以通过从ISP处申请的一个IP地址，将多个连接接入Internet。思考网络服务器是如何实现内、外网地址转换的。

项目小结

本项目重点介绍了网络安全采用的技术。访问控制列表（ACL）可以对数据流进行过滤，是实现基本的网络安全手段之一。本项目主要研究基于IP的访问控制列表，随后介绍了网络地址转换（NAT）以及如何配置静态NAT、动态NAT和端口地址转换（NAPT）——也叫做NAT复用的配置。通过本项目的学习，读者可以提高对网络设备安全的配置和了解。

思考题

（1）ACL有哪些分类？

（2）ACL是如何实现网络安全的？

（3）静态NAT和动态NAT的区别是什么？

（4）NAT的主要作用有哪些？

（5）端口地址转换（PAT）的过程是怎样的？

项目12　IPv6技术和无线网络概述

某大学是一所地区重点高校，为了配合IPv6和无线技术在学校得到快速的普及和稳定的应用，学校计划建设 IPv6 和无线试验网。尽管已经得知 Cisco 双 Cisco 3640、AIR-AP1242AG性能很好，而且支持IPv6，但学校对此类设备仍然心存疑虑。一直服务于某大学的 ST 网络公司工程师小王得知这个消息后，主动和学校领导进行联系并安排一次测试，以打消之前的疑虑。

具体拓扑如图12-1所示。

图12-1 测试拓扑

无论是NAT 还是CIDR 都是缓解IP 地址短缺的手段，而IPv6 才是解决IP 地址短缺的最终方法。IPv6 是由 IETF 设计的下一代互联网协议，目的是取代现有的互联网协议 IPv4。无线网络也是目前推进速度最快的网络之一，以下通过此项目来介绍这两种技术。

12.1 任务1：概述

1．IPv6概述

（1）IPv6优点。

IPv4的设计思想成功地造就了目前的Internet，其核心价值体现在简单、灵活和开放性方面。但随着新业务的不断涌现，传统的IPv4 协议已经难以支持Internet的进一步扩张和新业务的应用，比如实时应用和服务质量保证等。IPv6 能够解决 IPv4 存在的许多问题，同时，IPv6 还对 IPv4做了大量的改进，包括路由和网络自动配置等。在IPv4向IPv6过渡的日期内，两者将共存，直至最终IPv6取代IPv4。IPv6的特点如下。

● 128比特的编址方案，为将来应用提供了足够的地址空间。

● 充足的地址空间将极大地满足网络智能设备，例如个人数据助理、移动电话、家庭网络接入设备等对地址增长的需求。

● 多级编址层次有助于路由聚合，提高了路由选择的效率和可扩展性。

● 自动配置性能使得在Internet 上大规模布置新设备成为可能。

● ARP广播被本地链路多播代替。

● IPv6对数据报头作了简化，以减少处理器开销并节省网络带宽。

● IPv6中的流标签字段可以提供流量区分功能。

● IPv6的组播可以区分永久性与临时性地址，更有利于组播功能的实现。

● IPv6地址本身的分层体系更加支持域名解析体系中的地址集聚和地址更改。

● IPv6协议内置安全机制，并已经标准化。

（2）IPv6地址。

IPv4 地址表示为点分十进制格式，而 IPv6 采用冒号分十六进制格式。例如， 2007:00D3:0000:2F3B:02BB:00FF:FE28:2000 是一个完整的IPv6 地址。

提示

① IPv6地址中，每个16位分组中的前导零位可以去除以简化表示。

② 可以将冒号十六进制格式中相邻的连续零位合并，用双冒号“::”表示。

③ 要在一个URL中使用文本IPv6地址，文本地址应该用符号“[”和“]”来封闭。

IPv6地址有3种类型：单播、任播和组播，在每种地址中又有一种或者多种类型的地址，如单播有本地链路地址、本地站点地址、可聚合全球地址、环回地址和未指定地址；任播有本地链路地址、本地站点地址和可聚合全球地址；多播有指定地址和请求节点地址。

下面主要介绍几种常用的地址类型。

① 本地链路地址。当在一个节点上启用 IPv6 协议栈时，节点的每个接口自动配置一个本地链路地址，前缀为FE80::/10。

② 本地站点地址。本地站点地址与RFC 1918 所定义的私有IPv4 地址空间类似，因此本地站点地址不能在全球IPv6 Internet上路由，其前缀为FEC0::/10。

③ 可聚合全球单播地址。IANA 分配 IPv6 寻址空间中的一个 IPv6 地址前缀作为可聚合全球单播地址。

④ IPv4 兼容地址。IPv4 兼容的 IPv6 地址是由过渡机制使用的特殊单播 IPv6 地址，目的是在主机和路由器上自动创建IPv4隧道以在IPv4网络上传送IPv6数据包。

⑤ 环回地址。单播地址0:0:0:0:0:0:0:1称为环回地址。节点用它来向自身发送IPv6数据包。它不能分配给任何物理接口。

⑥ 不确定地址。单播地址0:0:0:0:0:0:0:0 称为不确定地址，它不能分配给任何节点。

⑦ 多播指定地址。RFC 2373 在多播范围内为IPv6协议的操作定义和保留了几个IPv6 地址，这些保留地址称为多播指定地址。

⑧ 请求节点地址。对于节点或路由器的接口上配置的每个单播和任播地址，都自动启动一个对应的被请求节点地址。被请求节点地址受限于本地链路。

（3）VIP6书写规则。

① 前导0省略，一个段里前面0可省略。

② 连续0省略，如果有两个段全是0，则可省略为::，如2007:12::2/64 ，注意双冒号在一个地址当中只能用一次。

（4）IPv6基本配置。

自动生成本地链路：（link-local）IPv6地址

接口下ipv6 enable

更改IPv6 link-local地址：接口下 ipv6 address fe80:: link-local

启用IPv6路由功能：ipv6 unicast-routing

2．无线网络概述和配置

随着 Internet 的飞速发展，通信网络从传统的布线网络发展到了无线网络。作为无线网络之一的无线局域网（Wireless Local Area Network，WLAW）满足了人们移动办公的梦想，创造了一个丰富多彩的自由天空。

（1）WLAN的概念。WLAN是利用无线通信技术在一定的局部范围内建立的网络，是计算机网络与无线通信技术相结合的产物，它以无线多址信道作为传输媒介，提供传统有线局域网的功能，能够使用户真正实现随时、随地、随意的宽带网络接入。

（2）WLAN的特点。WLAN开始是作为有线局域网络的延伸而存在的，各团体、企事业单位广泛地采用了WLAN技术来构建其办公网络。随着应用的进一步发展，WLAN正逐渐从传统意义上的局域网技术发展成为“公共无线局域网”，成为Internet宽带接入的一种手段。WLAN具有易安装、易扩展、易管理、易维护、高移动性、保密性强、抗干扰等特点。

（3）WLAN的标准。由于WLAN是基于计算机网络与无线通信技术，在计算机网络结构中，逻辑链路控制（LLC）层及其之上的应用层对不同的物理层的要求可以是相同的，也可以是不同的，因此，WLAN标准主要是针对物理层和媒质访问控制层（MAC），这涉及所使用的无线频率范围、空中接口通信协议等技术规范与技术标准。

（4）IEEE 802.11X。

① IEEE 802.11。1990年，IEEE 802标准化委员会成立IEEE 802.11 WLAN标准工作组。IEEE 802.11又称为Wi-Fi（Wireless Fidelity），即无线保真，是在1997年6月由大量的局域网以及计算机专家审定通过的标准，该标准定义了物理层和媒体访问控制（MAC）规范。物理层定义了数据传输的信号特征和调制，定义了两个RF传输方法和一个红外线传输方法，RF传输方法采用了跳频扩频和直接序列扩频技术，工作在2.4000～2.4835GHz频段。

IEEE 802.11是IEEE最初制定的一个无线局域网标准，主要用于解决办公室局域网和校园网中用户与用户终端的无线接入，业务主要限于数据访问，速率最高只能达到2Mbit/s。由于它在速率和传输距离上都不能满足人们的需要，所以IEEE 802.11标准被IEEE 802.11b所取代了。

② IEEE 802.11b。1999年9月，IEEE 802.11b被正式批准。该标准规定，WLAN工作在2.4～2.4835GHz频段，数据传输速率达到11Mbit/s，传输距离控制在50～150英尺。该标准是对IEEE802.11的一个补充，采用补偿编码键控调制方式，采用点对点模式和基本模式，在数据传输速率方面可以根据实际情况在11Mbit/s、5.5Mbit/s、2Mbit/s、1Mbit/s之间自动切换，它改变了WLAN设计状况，扩大了WLAN的应用领域。

IEEE 802.11b已成为当前主流的WLAN标准，被多数厂商所采用，所推出的产品广泛应用于办公室、家庭、宾馆、车站、机场等众多场合，但是IEEE 802.11a和IEEE 802.11g的出现则得到了业界更多的关注。

③ IEEE 802.11a。1999年，IEEE 802.11a标准制定完成。该标准规定，WLAN工作在5.15～8.825GHz频段，数据传输速率达到54Mbit/s/72Mbit/s（Turbo），传输距离控制在10～100米。该标准也是 IEEE 802.11 的一个补充，它扩充了标准的物理层，采用正交频分复用（OFDM）的独特扩频技术，采用QFSK调制方式，可提供25Mbit/s的无线ATM接口和10Mbit/s的以太网无线帧结构接口，支持多种业务，如话音、数据和图像等。其一个扇区可以接入多个用户，每个用户可带多个用户终端。

IEEE 802.11a标准是IEEE 802.11b的后续标准，其设计初衷是取代802.11b标准，然而，802.11b工作的2.4GHz频段属于工业、教育、医疗等专用频段，并不需要取得授权许可，而802.11a工作的5.15～8.825GHz频带则需要授权使用。因此，一些公司仍没有表示支持802.11a标准，而另一些公司更加看好最新混合标准——802.11g。

④ IEEE802.11g。目前，IEEE推出了IEEE 802.11g认证标准。该标准拥有IEEE 802.11a的传输速率，安全性能较IEEE 802.11b好，采用两种调制方式，包含802.11a中采用的OFDM以及IEEE802.11b中采用的CCK，因此做到了与802.11a和802.11b兼容。

虽然802.11a应用范围更广，更容易受到企业用户的认可，但运营商为了兼顾现有802.11b设备的投资，因此极可能选用802.11g。

⑤ IEEE 802.11i。IEEE 802.11i标准结合了IEEE 802.1x中的用户端口身份验证和设备验证，对 WLAN MAC 层进行修改与整合，定义了严格的加密格式和鉴权机制，以改善 WLAN 的安全性。IEEE 802.11i新修订标准主要包括两项内容：“Wi-Fi保护访问”（Wi-Fi Protected Access，WPA）技术和“强健安全网络”（RSN）。Wi-Fi 联盟计划采用 802.11i 标准作为WPA 的第二个版本，并于2004年初开始实行。

IEEE 802.11i 标准在WLAN 网络建设中是相当重要的，数据的安全性是WLAN 设备制造商和WLAN网络运营商应该首先考虑的工作。

⑥ IEEE 802.11e/f/h。IEEE 802.11e标准对WLAN MAC层协议提出改进，以支持多媒体传输和所有WLAN无线广播接口的QoS机制。

IEEE 802.11f定义了访问节点之间的通信，支持IEEE 802.11的接入点互操作协议（IAPP）。

IEEE 802.11h用于802.11a的频谱管理技术。

（5）HIPERLAN。欧洲电信标准化协会（ETSI）的宽带无线电接入网络（BRAN）小组着手制定了Hiper（HighPerformanceRadio）接入泛欧标准，并推出了HIPERLAN1和HIPERLAN2。HIPERLAN1推出时，数据速率较低，没有引起人们的重视。在2000年，HIPERLAN2标准制定完成。HIPERLAN2 标准的最高数据速率能达到 54Mbit/s，HIPERLAN2 标准详细定义了 WLAN的检测功能和转换信令，用以支持许多无线网络，支持动态频率选择、无线信元转换、链路自适应、多束天线和功率控制等。该标准在WLAN性能、安全性、QoS等方面也给出了一些定义。

HIPERLAN1对应1EEE 802.11b。HIPERLAN2与IEEE 802.11a具有相同的物理层，它们可以采用相同的部件，并且，HIPERLAN2 强调与 3G 整合。HIPERLAN2 标准也是目前较完善的WLAN协议。

（6）HomeRF。HomeRF工作组是由美国家用射频委员会领导于1997年成立的，其主要工作任务是为家庭用户建立具有互操作性的话音和数据通信网。2001年8月推出了集成了语音和数据传送技术的HomeRF2.0版。它工作在10GHz频段，数据传输速率达到10Mbit/s，并以访问控制和加密技术来确保WLAN的安全。

HomeRF 是针对现有无线通信标准的综合和改进：当进行数据通信时，采用 IEEE 802.11 规范中的TCP/IP传输协议；进行语音通信时，则采用数字增强型无线通信标准。

除了 IEEE 802.11 委员会、欧洲电信标准化协会和美国家用射频委员会之外，无线局域网联盟WLANA（Wireless LAN Association）在WLAN的技术支持和实施方面也做了大量工作。WLANA是由无线局域网厂商建立的非营利性组织，由3Com、Aironet、Cisco、Intersil、Lucent、Nokia、Symbol 和中兴通讯等厂商组成，其主要工作包括验证不同厂商的同类产品的兼容性，对 WLAN产品的用户进行培训等。

（7）中国WLAN规范。中华人民共和国国家工业和信息化部正在制订WLAN的行业配套标准，包括《公众无线局域网总体技术要求》和《公众无线局域网设备测试规范》。该标准涉及的技术体制包括IEEE 802.11X系列（IEEE 802.11、802.11a、802.11b、802.11g、802.11h、802.11i）和HIPERLAN2。工业和信息化部通信计量中心承担了相关标准的制订工作，并联合设备制造商和国内运营商进行了大量的试验工作。同时，工业和信息化部通信计量中心和中兴通讯股份有限公司等联合建成了WLAN的试验平台，对WLAN系统设备的各项性能指标、兼容性和安全可靠性等方面进行全方位的测评。

此外，由工业和信息化部科技公司批准成立的中国宽带无线IP标准工作组（www.chinabwips.org）在移动无线IP接入、移动IP的安全性、移动IP业务等方面进行标准化工作。2003年5月，国家首批颁布了由“中国宽带无线IP标准工作组”负责起草的WLAN两项国家标准：《信息技术系统间远程通信和信息交换局域网和城域网特定要求第11部分：无线局域网媒体访问（MAC）和物理（PHY）层规范》、《信息技术系统间远程通信和信息交换局域网和城域网特定要求第11部分：无线局域网媒体访问（MAC）和物理（PHY）层规范：2.4GHz频段较高速物理层扩展规范》。这两项国家标准所采用的依据是ISO/IEC 8802.11 和ISO/IEC 8802.11b。两项国家标准的发布，将规范WLAN产品在我国的应用。

（8）WLAN网络结构。

一般来说，WLAN有两种网络类型：对等网络和基础结构网络。

对等网络：由一组有无线接口卡的计算机组成。这些计算机以相同的工作组名、ESSID和密码等对等的方式相互直接连接，在WLAN的覆盖范围之内，进行点对点与点对多点之间的通信。

基础结构网络：在基础结构网络中，具有无线接口卡的无线终端以无线接入点AP为中心，通过无线网桥AB、无线接入网关AG、无线接入控制器AC和无线接入服务器AS等将无线局域网与有线网网络连接起来，可以组建多种复杂的无线局域网接入网络，实现无线移动办公的接入。

（9）WLAN应用。作为有线网络的无线延伸，WLAN可以广泛应用在生活社区、游乐园、旅馆、机场、车站等区域实现旅游休闲上网；可以应用在政府办公大楼、校园、企事业等单位实现移动办公，方便开会及上课等；可以应用在医疗、金融证券等方面，分别实现医生在路途中对病人进行网上诊断和金融证券室外网上交易。

（10）无线AP配置。Cisco AP 的配置方法主要有Console 口登录、远程登录（如Telnet/SSH等）、Web浏览器登录等，后两种方式均需要获取或设置一个IP后方可登录。一般情况下，AP设置IP 地址的方法有按默认方式获取、配置DHCP 方式获取、使用IPSU（IP Setup Utility）获取、使用Console口获取等。

实际上对Cisco AP来讲，最简单的配置方法就是使用Web浏览器方式，即GUI方式。Cisco AP有两种基本GUI界面：一种是IOS GUI，如Arionet 1100系列；一种是VxWorks GUI，如Arionet 350的AP和网桥。而Arionet 1200系列可以支持这两种GUI界面。

图12-2所示为Cisco Aironet 1100系列AP GUI的配置界面。

图12-2 AP GUI配置界面

GUI的配置方法比较简单，因篇幅所限，这里不再作介绍。除了GUI和远程登录方式外， CLI（命令行）也是 Cisco AP 经常使用的配置方式。下面我们在 CLI 模式下对 Cisco AP 进行配置。

Cisco AP的CLI配置模式有用户模式、特权模式、全局模式、接口模式、线路模式等，它的命令提示符、基本配置命令与基于Cisco IOS的路由器和交换机的CLI配置模式基本相同。

① 配置主机名。

表12-1 配置AP主机

注意

hostname name命令中的name名称必须符合ARPANET主机名的规则，即最多为63个字符，并且必须以一个字母开头，结尾必须是一个字母或数字，中间只能是字母、数字或连接符。

② 配置IP地址。

为了实现对设备的远程管理，通常需要配置设备的管理地址，对于 AP 来说，可以通过配置AP的BVI地址来实现。

BVI即网桥虚拟接口，它是由AP自动创建的，当AP连接到有线网络时，AP使用BVI将所有接口都聚合到一个IP地址下，然后通过AP的以太网口和无线端口并使用该BVI的地址对AP进行管理。

表12-2 配置AP的IP

③ 配置网络映射。

表12-3 配置AP网络映射

在表12-3中，步骤2中的dot11 network-map [collect-interval]命令中的参数[collect-interval]为指定IAPP请求报文的时间（1～60秒），默认为5秒。

网络映射主要用于显示无线网络中所有设备的信息。当该功能启用时，AP 每隔一定时间间隔都会广播一个IAPP GenIfo Request报文，该报文从第二层域中的所有Cisco AP处收集信息。接收到GenIfo Request 报文后，AP向请求方发送IAPP GenIfo Response报文，以建立一个新的网络映射。

④ 显示关联信息。

表12-4 配置AP，以显示关联信息

表12-4中的步骤1中，show dot11 associations [client | repeater | statistics | H.H.H | bss-only |all-client]命令的各参数说明如下。

[client]：显示关联到AP的所有客户端设备。

[repeater]：显示关联到AP的所有转发器设备。

[statistics]：显示无线接口的AP关联统计信息。

[H.H.H]（mac-address）：显示具有指定MAC地址的客户端设备的详细信息。

[bss-only]：显示直接关联到AP的基本服务客户集客户端。

[all-client]：显示关联到AP的所有客户端的状态。

举例说明如下。

显示无线关联表:

AP# show dot11 associations

显示与AP关联的所有客户端设备：

AP# show dot11 associations client

显示AP的统计信息：

AP# show dot11 associations statistics

另外，可以使用以下命令清除相关信息。

表12-5 配置AP清除命令

举例说明如下。

清除接口radio0的统计信息：

ap# clear dot11 statistics dot11radio 0

清除MAC地址为0040.9631.81cf客户端的统计信息：

ap# clear dot11 statistics 0040.9631.81cf

⑤ 配置以太网接口。

Cisco AP以太网接口的配置方式与交换机和路由器基本一样，命令格式如下。

表12-6 配置AP以太网接口命令

在该接口模式下，可以配置它的全双工模式、端口速率、端口开启/关闭等，也可以配置它的IP地址（不推荐）。举例如下。

ap#configure terminal

ap(config)#interface fastethernet 0

ap(config-if)#speed 100

ap(config-if)#duplex full

ap(config-if)#no shutdown

ap(config-if)#end

//配置完以上信息后，可以使用以下show命令显示接口的信息。

ap#show interfaces

ap#show ip interface brief

ap#show running-config

⑥ 配置无线接口。

这里主要配置 AP接口的 SSID、工作模式（角色）、发射功率、传输速率、信道及扩展性能以及其他设置等。

a．设置SSID。

表12-7 配置APSSID的命令

表12-7的步骤2的ssid ssid-string命令中，ssid-string命令参数最多可以包括32个字母和数字，区分大小写，并且不能包含空格。

另外，除了上表中的开放式认证方式外，还经常使用如下认证方式。

表12-8 配置AP认证

如下例所示。

ap#configure terminal

ap(config)#interface dot11radio 0

ap(config-if)#ssid cxj_v122

ap(config-if-ssid)#authentication open

b．设置工作模式。

工作模式也即工作角色，主要是指AP工作在中继/转发模式还是根模式。在中继/转发模式下， AP无需与有线LAN进行连接，但它必须与一个连接有LAN的AP进行关联。而在根模式下， AP则需要连接到有线LAN上。

表12-9 工作模式

表12-9中的步骤3的station-role {repeater | root [fallback {shutdown | repeater}]}命令中，各参数说明如下。

repeater：指定AP为中继/转发模式。

root：指定 AP 为根模式。参数 fallback shutdown 指定了当主以太网口停用时关闭 AP；而fallback repeater指定了AP在主以太网口停用时工作在repeater模式下。

c．设置发射功率。

客户端功率设置：配置客户端的发射功率，客户端将以该设置的功率与AP进行802.11无线通信。当客户端设备与AP关联时，AP将功率电平的设置发送给客户端。

表12-10 客户端功率的设置

本地AP发射功率的设置可以使用power local命令来实现，如下所示。

表12-11 本地AP功率设置

注意

在2.4GHz频段下，既可以设置OFDM（正交频分多路复用）功率等级也可以使用CCK功率等级。IEEE 802.11b和IEEE 802.11g设备支持CCK（补充编码键控）模式，IEEE 802.11a和IEEE 802.11g设备支持OFDM模式。举例说明如下。

配置指定客户端的发射功率为20mW：

ap(config-if)# power client 20

配置指定本地AP的发射功率为20mW：

ap(config-if)# power local 20

d．设置传输速率。

表12-12 传输速率

参数说明如下。

speed {[1.0] [2.0] [5.5]……中，可选参数的设置是指允许AP使用非基本设置的速率，即AP只以这些速率发送单播包。

speed [basic-1.0] [basic-2.0]……中，可选参数的设置是指允许AP使用基本设置的速率来发送所有单播和组播数据包。至少一个AP的速率必须被配置为基本设置的速率。

[rang]为可选参数，是指设置数据速率以获得最佳范围。

[throughput]为可选参数，是指设置数据率以获得最佳吞吐量。

[default]为可选参数，是指将数据速率设置为默认。

注意

IEEE 802.11g 无线功率在上升至 100mW 时，可以达到1Mbit/s、2Mbit/s、5.5Mbit/s和11Mbit/s的速率；对于6Mbit/s、9Mbit/s、12Mbit/s、18Mbit/s、24Mbit/s、36Mbit/s、48Mbit/s和54Mbit/s的数据速率，可以在802.11g最大无线功率为30mW时实现。举例说明如下。

设置AP无线接口的数据速率以获得最佳吞吐量：

ap(config-if)# speed throughput

设置AP无线接口，使其同时支持基本速率和非基本速率：

ap(config-if)# speed basic-1.0 2.0 5.5 11.0

e．设置无线信道。

表12-13 无线信道

参数说明如下。

number参数是指信道编号，除了不同的IEEE 802.11系列不同标准的信道有所差异外，不同的管制域所允许的信道也有所不同。

frequency参数是指无线信道的中心频率，有效的频率取决于每个管制域中所允许的信道。

least-congested参数是指启用或禁用扫描闲置信道，并使用该信道与客户端进行无线通信。

注意

这个命令不能够在5GHz频段下使用DFS（动态频率选择），只有用于欧洲和新加坡等国家的 5GHz 频段的设备才可以配置。另外，除了美国等国家在室内和室外对 52-64 信道的需求外，其他所有国家的 5GHz 频段仅限用于室内使用。 举例说明如下。

设置AP的channel为8，中心频率为2447：

ap(config-if)# channel 2447

设置AP自动扫描闲置channel：

ap(config-if)# channel least-congested

设置AP信道为默认配置：

ap(config-if)# no channel

f．启用802.11扩展。

该功能可以使 AP 支持一些高级特性，如无线漫游、负载平衡、客户端功率限制、高级安全机制等。可以使用如下命令开启该功能。

表12-14 启用802.11扩展

g．检查无线设备状态。

常用命令如下表所示。

表12-15 无线设备状态

h．其他基本设置。

AP的IOS配置命令格式和语义跟路由器、交换机的IOS基本类同，这里不再详细说明。以下为AP的配置示例，可以参阅Cisco命令手册来对其理解。

Telnet 服务的配置示例：

ap(config)#line vty 0 4

ap(config-line)#login

ap(config-line)#password Cisco_Aironet

ap#end

CDP服务的配置示例：

ap(config)#no cdp run

ap(config)#interface fastethernet 0

ap(config-if)#cdp enable

ap(config-if)#end

ap#show cdp

DNS服务的配置示例：

ap(config)#ip domain-name www.eskystar.com

ap(config)#no ip domain-lookup

HTTP服务的配置示例：

ap(config)#ip http authentication local

ap(config)#ip http port 8080

ap(config)#access-list 10 permit host 192.168.0.11

ap(config)#ip http access-class 1

ap(config)#ip http help-path file:///c:\wireless\help

ap(config)#end

以上是Cisco aironet AP的基本配置。另外，您可以参阅Cisco Aironet 产品的命令手册来了解更多的相关配置。

12.2 任务2：IPv6 RIPng

12.2.1 任务目标

通过本实验学习，可以掌握如下技能。

● 启用IPv6流量转发。

● 向RIPng网络注入默认路由。

● RIPng配置和调试。

12.2.2 施工设备

本实验需要以下设备。

● Cisco 3640路由器4台。

● RJ-45线缆若干。

12.2.3 任务场景

根据测试目标来看，在试验网中的主体部分应该是 IPv6 技术。根据背景分析来看，IPv6 地址的测试需要在纯IPv6环境下进行。所以需要用IPv6地址来配置设备，并测试其可用性。为了满足教学的要求，这里使用RIPng实现路由，具体拓扑如图12-3所示。

图12-3 IPv6 RIPng 配置

（1）配置路由器R1。

R1(config)#ipv6 unicast-routing

R1(config)#ipv6 router rip cisco //启动IPv6 RIPng 进程

R1(config-rtr)#split-horizon //启用水平分割

R1(config-rtr)#poison-reverse //启用毒化反转

R1(config)#interface Loopback0

R1(config-if)#ipv6 address 2006:1111::1/64

R1(config-if)#ipv6 rip cisco enable //在接口上启用RIPng

R1(config)#interface Serial0/0/0

R1(config-if)#ipv6 address 2007:12::1/64

R1(config-if)#ipv6 rip cisco enable

R1(config-if)#ipv6 rip cisco default-information originate

//向IPv6 RIPng 区域注入一条默认路由（：：/0）

R1(config-if)#no shutdown

R1(config)#ipv6 route ::/0 Loopback0 //配置默认路由

提示

ipv6 rip cisco default-information only命令可以向IPv6 RIPng区域注入一条默认路由，但是该命令只从该接口发送默认的 IPv6 路由，而该接口其他的 IPv6 RIPng 路由都将被抑制。

（2）配置路由器R2。

R2(config)#ipv6 unicast-routing

R2(config)#ipv6 router rip cisco

R2(config-rtr)#split-horizon

R2(config-rtr)#poison-reverse

R2(config)#interface Serial0/0/0

R2(config-if)#ipv6 address 2007:12::2/64

R2(config-if)#ipv6 rip cisco enable

R2(config-if)#clock rate 128000

R2(config-if)#no shutdown

R2(config)#interface Serial0/0/1

R2(config-if)#ipv6 address 2007:23::2/64

R2(config-if)#ipv6 rip cisco enable

R2(config-if)#clock rate 128000

R2(config-if)#no shutdown

（3）配置路由器R3。

R3(config)#ipv6 unicast-routing

R3(config)#ipv6 router rip cisco

R3(config-rtr)#split-horizon

R3(config-rtr)#poison-reverse

R3(config)#interface Serial0/0/0

R3(config-if)#ipv6 address 2007:34::3/64

R3(config-if)#ipv6 rip cisco enable

R3(config-if)#clockrate 128000

R3(config-if)#no shutdown

R3(config)#interface Serial0/0/1

R3(config-if)#ipv6 address 2007:23::3/64

R3(config-if)#ipv6 rip cisco enable

R3(config-if)#no shutdown

（4）配置路由器R4。

R4(config)#ipv6 unicast-routing

R4(config)#ipv6 router rip cisco

R4(config-rtr)#split-horizon

R4(config-rtr)#poison-reverse

R4(config)#interface Loopback0

R4(config-if)#ipv6 address 2008:4444::4/64

R4(config-if)#ipv6 rip cisco enable

R4(config)#interface Serial0/0/0

R4(config-if)#ipv6 address 2007:34::4/64

R4(config-if)#ipv6 rip cisco enable

R4(config-if)#no shutdown

（5）实验调试。

show ipv6 route命令。

R2#show ipv6 route

IPv6 Routing Table - 10 entries

Codes: C - Connected, L - Local, S - Static, R - RIP, B - BGP

U - Per-user Static route, M - MIPv6

I1 - ISIS L1, I2 - ISIS L2, IA - ISIS interarea, IS - ISIS summary

O - OSPF intra, OI - OSPF inter, OE1 - OSPF ext 1, OE2 - OSPF ext 2

ON1 - OSPF NSSA ext 1, ON2 - OSPF NSSA ext 2

D - EIGRP, EX - EIGRP external

R ::/0 [120/2]

via FE80::C800:AFF:FE90:0, Serial0/0/0

R 2006:1111::/64 [120/2]

via FE80::C800:AFF:FE90:0, Serial0/0/0

C 2007:12::/64 [0/0]

via ::, Serial0/0/0

L 2007:12::2/128 [0/0]

via ::, Serial0/0/0

C 2007:23::/64 [0/0]

via ::, Serial0/0/1

L 2007:23::2/128 [0/0]

via ::, Serial0/0/1

R 2007:34::/64 [120/2]

via FE80::C802:AFF:FE90:0, Serial0/0/1

R 2008:4444::/64 [120/3]

via FE80::C802:AFF:FE90:0, Serial0/0/1

L FE80::/10 [0/0]

via ::, Null0

L FF00::/8 [0/0]

via ::, Null0

以上输出表明，R1 确实向 IPv6 RIPng 网络注入一条 IPv6 的默认路由，同时收到 3 条 IPv6 RIPng 路由条目，而且所有 IPv6 RIPng 路由条目的下一跳地址均为邻居路由器接口的 link-local地址。可以通过show ipv6 rip next-hops命令查看RIPng的下一跳地址。

show ipv6 rip next-hops命令。

R2#show ipv6 rip next-hops

RIP process "cisco", Next Hops

FE80::C800:AFF:FE90:0/Serial0/0/0 [3 paths]

FE80::C802:AFF:FE90:0/Serial0/0/1 [3 paths]

show ip protocols命令。

R2#show ipv6 protocols

IPv6 Routing Protocol is "connected"

IPv6 Routing Protocol is "static"

IPv6 Routing Protocol is "rip cisco"

Interfaces:

Serial0/0/1

Serial0/0/0

Redistribution:

None

以上输出表明，启动的IPv6 RIPng 进程为cisco，同时在Serial0/0/1 和Serial0/0/0接口上起用RIPng。

show ipv6 rip database命令。

R2#show ipv6 rip database

RIP process "cisco", local RIB

2006:1111::/64, metric 2, installed

Serial0/0/0/FE80::C800:AFF:FE90:0, expires in 178 secs

2007:12::/64, metric 2

Serial0/0/0/FE80::C800:AFF:FE90:0, expires in 178 secs

2007:23::/64, metric 2

Serial0/0/1/FE80::C802:AFF:FE90:0, expires in 168 secs

2007:34::/64, metric 2, installed

Serial0/0/1/FE80::C802:AFF:FE90:0, expires in 168 secs

2008:4444::/64, metric 3, installed

Serial0/0/1/FE80::C802:AFF:FE90:0, expires in 168 secs

::/0, metric 2, installed

Serial0/0/0/FE80::C800:AFF:FE90:0, expires in 178 secs

以上输出显示了R2 的RIPng数据库。

debug ipv6 rip命令。

R2#debug ipv6 rip

RIP Routing Protocol debugging is on

R2#clear ipv6 route *

*Feb 15 14:17:34.851: RIPng: Sending multicast update on Serial0/0/1 for cisco

*Feb 15 14:17:34.851: src=FE80::C801:AFF:FE90:0

*Feb 15 14:17:34.855: dst=FF02::9 (Serial0/0/1)

*Feb 15 14:17:34.855: sport=521, dport=521, length=92

*Feb 15 14:17:34.859: command=2, version=1, mbz=0, #rte=4

*Feb 15 14:17:34.859: tag=0, metric=2, prefix=2006:1111::/64

*Feb 15 14:17:34.859: tag=0, metric=1, prefix=2007:12::/64

*Feb 15 14:17:34.863: tag=0, metric=1, prefix=2007:23::/64

*Feb 15 14:17:34.863: tag=0, metric=2, prefix=::/0

*Feb 15 14:17:34.867: RIPng: Sending multicast update on Serial0/0/0 for cisco

*Feb 15 14:17:34.867: src=FE80::C801:AFF:FE90:0

*Feb 15 14:17:34.871: dst=FF02::9 (Serial0/0/0)

*Feb 15 14:17:34.871: sport=521, dport=521, length=92

*Feb 15 14:17:34.871: command=2, version=1, mbz=0, #rte=4

*Feb 15 14:17:34.875: tag=0, metric=1, prefix=2007:12::/64

*Feb 15 14:17:34.875: tag=0, metric=1, prefix=2007:23::/64

*Feb 15 14:17:34.879: tag=0, metric=2, prefix=2007:34::/64

*Feb 15 14:17:34.879: tag=0, metric=3, prefix=2008:4444::/64

*Feb 15 14:17:43.439: RIPng: response received from FE80::C800:AFF:FE90:0 on Serial0/0/0 for cisco

*Feb 15 14:17:43.443: src=FE80::C800:AFF:FE90:0 (Serial0/0/0)

*Feb 15 14:17:43.443: dst=FF02::9

*Feb 15 14:17:43.447: sport=521, dport=521, length=72

*Feb 15 14:17:43.447: command=2, version=1, mbz=0, #rte=3

*Feb 15 14:17:43.447: tag=0, metric=1, prefix=2006:1111::/64

*Feb 15 14:17:43.451: tag=0, metric=1, prefix=2007:12::/64

*Feb 15 14:17:43.451: tag=0, metric=1, prefix=::/0

R2#

*Feb 15 14:17:57.815: RIPng: response received from FE80::C802:AFF:FE90:0 on Serial0/0/1for cisco

*Feb 15 14:17:57.819: src=FE80::C802:AFF:FE90:0 (Serial0/0/1)

*Feb 15 14:17:57.819: dst=FF02::9

*Feb 15 14:17:57.823: sport=521, dport=521, length=72

*Feb 15 14:17:57.823: command=2, version=1, mbz=0, #rte=3

*Feb 15 14:17:57.823: tag=0, metric=1, prefix=2007:23::/64

*Feb 15 14:17:57.827: tag=0, metric=1, prefix=2007:34::/64

*Feb 15 14:17:57.827: tag=0, metric=2, prefix=2008:4444::/64

12.3 任务3：Cisco无线AP配置

12.3.1 任务目标

通过本实验学习，读者可以掌握如下技能。

● 无线设备配置方式。

● 网络映射。

● 无线服务配置。

12.3.2 施工设备

本实验需要以下设备。

● Cisco AIR-AP1242AG设备1台。

● RJ-45线缆若干。

● PC 1台。

12.3.3 任务场景

根据测试目标，无线接入点（AP）在无线网络中充当用户的中心通信点，可以连接有线和无线网络。无线接入点使用Web浏览器或命令行界面（CLI）来配置。一般来说，AP可以配置以太网接口和无线端口。配置完成后，对其进行测试，查看工作站是否能够正确获得地址，正常使用网络服务。具体拓扑如图12-4所示。

图12-4 无线连接

（1）进入命令行界面。

User Access Verification

Username: Cisco

Password:

Ap>show version　//可以查看当前版本信息

（2）设置系统名。

Ap>enable

Ap#config t

Ap(config)#hostname myap //设置系统名，默认是ap

（3）为BVI分配IP地址。

当AP连接到有线网络的时候，会自动创建一个BVI（网桥虚拟接口）连接到网络，允许所有端口都聚合在一个IP地址下。

Ap#config t

Ap(config)#interface bvi1 //进入BVI接口配置模式

Ap(config-if)#ip address address mask //第二个address为你分配的IP地址，mask为掩码

（4）察看网络映射。

Ap(config)#dot11 network-map 30 //建立无线网络映射

Ap#show dot11 network-map //显示无线网络映射

Ap#show dot11 adjacent-ap //显示一个与某个AP邻连的AP列表

配置如下：

Ap(config-if)#ip address 10.0.0.1 255.255.255.0

Ap(config-if)#ip address dhcp ?

Client-id Specify client-id to use

Hostname Specify value for hostname option

Ap(config-if)#ip address dhcp

（5）配置SSID。

SSID（服务集标示符）一个唯一的标识符，允许客户端识别出一个接入点（AP）

Ap(config)#int dot11radio 0

Ap(config-if)#ssid myAP

Ap(config-if-ssid)#authentication open //设置认证类型

（6）监控AP状态。

Ap#show interface dot11radio 加上相应接口号

（7）配置一些相应的服务。

① Telnet/SSH。

Ap(config)#line vty 0 4

Ap(config-line)#login local

Ap(config-line)#end

Ap#show run

!

line con 0

line vty 0 4

login local

line vty 5 15

login

!

end

② 热备份。

备用设备位于它监控的 AP 附近，并且其配置与被监控的 AP 的配置相同。备用设备需要通过以太网接口和无线端口来监控AP。如果被监控的AP响应失败，那么备用设备将在线激活，从而替换被监控的设备。

Ap(config)#iapp standby mac-address

Ap(config-if)#interface dot11radio 0

Ap(config-if)#ssid ssid-string

Ap(config-if)#infrastructure-ssid [optional]

Ap(config-if)#exit

Ap(config)#iapp standby poll-frequency seconds

Ap(config)#exit

Ap#show iapp standby-parms

③ DNS配置。

Ap(config)#ip domain-name sina.com

禁用域名查找：

Ap(config)#no ip domain-lookup

④ HTTP配置。

下列命令可以为一个HTTP服务器提供安全性和改变默认帮助目录的配置。

Ap(config)#ip http

Ap(config)#ip http authentication local

Ap(config)#ip http port 8080

Ap(config)#access-list 1 permit host 10.0.1.1

Ap(config)#ip http access-class 1

其他的如代理移动IP、QoS、网络时间协议、WDS（无线域服务）等配置，建议使用AP的图形界面来进行。

注意

1．不能将直流电源同时连接到AP电源端口和内置电源。

2．绿色LED表示正常活动；黄色LED表示错误或者警告；红色LED表示AP没有正确运行或需要升级。

3．在CLI中输入？可以显示每种命令模式的可用命令列表。

项目拓展

地址规划是任何IP通信基础设置的基本方面。由于IPv6的地址体系结构和分配策略与IPv4不同，因此将IPv6引入真实网络时，设计者和运营者要重新考虑现有的地址编址方式，而在这方面缺乏行之有效的指导也是延缓 IPv6 部署的一个重要原因。对于今天的 CERNET 和 CERNET2而言，部署 IPv6 的环境已经是典型的多接入（multihoming）的环境，同时还有大量的新技术在研究和开发的过程中。例如真实IPv6地址的体系结构、IPv4到IPv6的无状态地址映射技术等，都或多或少涉及对地址体系结构的调整和变更。从这方面来说，发展这些新技术的同时，设计好多接入环境的地址规划方案，是一项颇具挑战性的工作。本项目中采用 RIPng 协议，如果采用OSPF、EIGRP，该如何进行配置呢？

项目小结

本项目重点介绍了IPv6的基本知识，以及IPv6在Internet中的应用。通过本项目的学习，读者可以了解IPv6的配置方式和路由工作方式。本项目随后介绍了无线网络的基本概念、基本原理及其功能，重点介绍了无线AP和IEEE标准的基本内容，特别对当前主要无线设备AP进行了基于任务的实现。

思考题

（1）IPv6的地址有哪些类型？

（2）IPv6路由配置过程是怎样的？

（3）如何实现无线网络的划分？

（4）无线AP的配置过程是怎样的？

项目13　综合实训项目

设计、部署网络工程时，通常按照其生命周期划分相应的工作任务，这主要分为 4个阶段：计划阶段、分析与设计阶段、网络实施阶段、运行与维护阶段。这也是网络方案实施的要点。

13.1 任务1：方案设计要求和原则

针对的用户不同，设计目标也大相径度。一般来说，设计目标是满足给定服务水平的原始需求。设计目标可能包括运作成本、性能等几个方面，但主要还是在性能与成本间进行权衡。当需要选择增强的性能时，成本就会明显上升；在考虑成本时，不仅要考虑网络构建一次性的投资成本，还必须考虑网络实施及运行成本。通常根据先期收集的原始需求，基本可以确定项目的投资及网络的运行成本，而在选择技术及性能时，通常会超出所预定的水平，因此在设计中应充分考虑各种备选设备、技术以及相关成本，以备不时之需。

为了充分满足用户需求，在设计网络方案时应考虑以下几点原则。

1．实用性

所设计的网络不仅要求能够满足企业当前使用，而且还应适应将来的网络发展需要。网络平台应具备多网络协议的支持能力，以避免原有网络设备投资的浪费。

2．安全性

网络系统应是一个安全系统，具备各种安全保卫手段和措施，如通过VLAN的划分和交换机过滤技术来保证网络安全性。

3．先进性

为保证网络能够适应将来的网络发展，网络中的硬件与网络协议都应采用与国际标准兼容的开放协议。

4．适用性

由于计算机技术的迅速发展，新技术不断产生，为保证对新技术的支持，需要不断增加设备的投资和各种资源。为避免设备投资的膨胀，方案要求网络硬件具有较高的性能价格比及最佳的适用性。

5．可靠性

网络要求具有较高的容错性能，网络设备要求具有高性能的容错技术，以确保网络系统不间断运行。

根据网络设计的原则，同时为确保网络系统的顺利运行和适应未来技术的发展，方案设计一般着重考虑以下几个方面。

1．开放系统

网络系统在设计时应采用国际标准协议，如网络传输协议 TCP/IP、IPX/SPX 等，并且支持 SNMP、RMON 等网络管理协议，支持 VLAN 802.1Q 标准，支持基于策略的服务 RSVP、802.1P等。

2．主流产品

所选择的网络设备应是国际及国内网络工程中采用的主流产品，即要具有高性能、高可靠性、高安全性、可扩展性、可升级并且具有可维护替换性。

3．一体化的网络管理

随着网络规模的扩大和系统复杂程度的增加，网络管理和故障排除变得越来越困难。方案应提供先进的网络管理工具，通过图形界面对网络设备进行集中化统一管理。

4．网络的高可用性

网络系统应充分考虑用户的管理和使用水平，具备运行速度快、易于管理的优势。网络设备要求配置合理，能够满足管理者对现代化管理的一般要求，能够实现视频会议、视频点播、多媒体教学和实验等，能以较小的投资获得最高的回报。

5．行业特点

行业业务特征决定了网络设备的需求，也决定了网络设备的技术选型要求。行业应用分析如下所示。

大型企业（500节点以上）：大型企业具有跨地域、跨行业、多层次和全方位等特点，业务内容覆盖面广，网络数据传输量大，数据交换能力强。并且要求网络系统能够稳定可靠地不间断运行。因此，在为大型企业设计、部署网络时，要在高性能、可管理性、高可靠性、适用性和性能价格比的基础上选择产品。

邮电行业：电信系统由于其经营特点和为公众服务的目的，使得电信系统机构在地理上分布范围广泛，业务的提供上种类繁多且不断更新。这对网络设备提出了更高的要求，其采用的网络设备一般为广域网产品。

铁路系统：铁路系统一般对广域网通信要求较高，各个站点的节点数不是特别多，所以各站点在建设局域网时可考虑选择部门级交换机或工作组级交换机。

银行业：银行业的分支部门分布范围广，业务活动频繁，业务品种变化多，业务量增长快，因此对稳定性和响应时间要求比较高。由于该行业对数据敏感性特别高，因此要求有链路冗余，传输链路应具有备份功能，一旦主线路发生故障，备份线路可立即替换。所以要求网络设备处理能力强，容错性能好，并考虑好扩展性、可用性及可靠性。

证券业：该行业具有迅速、及时响应和稳定、安全、可靠、不间断运行的特点。在选择设备时要求背板速度快、冗余性能好、可管理及可堆叠，并充分考虑好设备的可开放性、可扩展性、可用性和可靠性。

教育行业：教育行业对数据的关键性要求不是很高，主要涉及多媒体教学、视频点播等应用，在选择设备时要考虑到高带宽、高可用性及高扩展性。

中小型企业：对于网络节点数少于500的中小型企业，在创建企业内部网络时，由于企业内部数据流量不大，实时响应性不高，以及企业的可持续性发展等特点，应注重网络设备的通用性、可靠性、可管理性、可扩充性及性能价格比。

总之，网络背后的技术不断推陈出新用户却始终希望以一种透明的方式来使用网络。为适应这种需求，需要对网络的弹性、速度和安全进行控制。通过策略控制网络是新的网络技术范例。控制方式使网络变得透明并保持企业内部网络配置的灵活性。通过交换技术，能满足用户今天及未来的商业需求。而灵活的组网、线速性能以及完全的扩展性能使设备配置长期有效。

13.2 任务2：单核心网络

【案例背景】

某集团是一家在全国各地区有多个分公司的网络设备生产和服务商。为了加快集团内部的信息化建设，实现各个分公司的信息化、办公自动化，集团公司希望采用先进的网络通信技术，建设一个以集团办公、电子商务、财务电算化、业务综合管理、多媒体视频会议、远程通信、信息发布查询、集中式的供应链管理系统和客户服务关系管理系统为核心的现代网络系统，以保障集团内部办公自动化、供应链管理以及各应用系统的运行。

锐捷网络成立于2000年1月，是一家大型网络设备供应商，其产品与Cisco同类产品相比价格便宜很多，性价比较高。但锐捷和Cisco的很多命令是通用的（除了少部分协议，如OSPF、生成树和ELGRP等）。所以本项目以锐捷设备为基础进行网络配置，希望读者多接触一些设备，拓宽知识面。

【拓扑结构】

如图13-1所示为某集团企业内部的大型网络拓扑结构。

图13-1 某中型企业内部网络拓扑规划

【需求分析】

需求1：采用先进的网络通信技术完成集团企业网的建设，实现各个分公司的信息化。

分析1：全网采用光缆连接，并使用合理的三级设计结构，各分公司独立成区域，防止因个别区域发生问题，而影响整个网络的稳定运行。

需求2：在整个企业集团内实现所有部门的办公自动化，提高工作效率和管理服务水平。

分析2：既要实现部门内部的办公自动化，又要提高工作效率，建议整个网络用VLAN隔离，部门间的通信使用VLAN间路由来实现。

需求3：在整个企业集团内部实现资源共享、产品信息共享、实时新闻发布。

需求4：在整个企业集团内实现财务电算化。

需求5：在整个企业集团内实现集中式的供应链管理系统和客户服务关系管理系统。

分析：由于要实现企业集团公司与各个分公司的信息化，考虑到分公司较多，所分配的段较多的现状，建议采用动态路由协议，降低网络管理的维护成本。

【实验拓扑结构】

该实验所采取的拓扑结构如图13-2所示。

【实验设备】

出口设备：锐捷R2624路由器1台。

核心设备：锐捷S68系列（S68/S35系列设备）1台，配置吉比特光缆接口2块。

汇聚设备：锐捷S3550 2台，每台配置1块吉比特光缆接口。

接入设备：锐捷S2126G二层交换机4台。

图13-2 实验室中搭建的某集团内部大型网络拓扑

实验PC：8台。

终端用户的默认网关指向各自对应的 VLAN 接口的 IP 地址，设备的管理地址为192.168.0.0./24网段，其中S68为192.168.0.254。

【实验步骤】

（1）网络设备的基本配置及基本测试。

① S2624-A1交换机基本配置。

#configure terminal

#hostname S2126-A1

#vlan 1

#exit

#vlan 10

#exit

#vlan 20

#exit

#vlan 30

#exit

#interface range fa 0/1-3

#switchport aceess vlan 10

#exit

#interface range fa0/4-6

#Switchport access vlan 20

#exit

#interface range fa 0/7-9

#switchport aceess vlan 30

#exit

#Interface fa 0/10

#Switchport mode trunk

# exit

#interface vlan 1

#ip address 192.168.0.1 255.255.255. 0

#no shutdown

#exit　　　　　　　//设置管理IP地址

#ip default-gateway 192.168.0.254

② S2624-A2交换机基本配置（与S2624-A1交换机的配置基本相同）。

#configure terminal

#hostname S2126-A2

#vlan 1

#exit

#vlan 10

#exit

#vlan 20

#exit

#vlan 30

#exit

#interface range fa 0/1-3

#switchport aceess vlan 10

#exit

#interface range fa0/4-6

#Switchport access vlan 20

#exit

#interface range fa 0/7-9

#switchport aceess vlan 30

#exit

#Interface fa 0/20

#Switchport mode trunk

# exit

#interface vlan 1

#ip address 192.168.0.2 255.255.255.0

#no shutdown

#exit　　　　　　　//设置管理IP地址

#ip default-gateway 192.168.0.254

③ S2126-B1交换机的基本配置。

#configure terminal

#hostname S2126-B1

#vlan 1

#exit

#vlan 50

#exit

#vlan 60

#exit

#vlan 70

#exit

#interface range fa 0/1-3

#switchport aceess vlan50

#exit

#interface range fa0/4-6

#Switchport access vlan 60

#exit

#interface range fa 0/7-9

#switchport aceess vlan 70

#exit

#Interface fa 0/10

#Switchport mode trunk

# exit

#interface vlan 1

#ip address 192.168.0.3 255.255. 255.0

#no shutdown

#exit　　　　　　　//设置管理IP地址

#ip default-gateway 192.168.0.254

④ S2126-B1交换机的基本配置。

#configure terminal

#hostname S2126-B2

#vlan 1

#exit

#vlan 50

#exit

#vlan 60

#exit

#vlan 70

#exit

#interface range fa 0/1-3

#switchport aceess vlan50

#exit

#interface range fa0/4-6

#Switchport access vlan 60

#exit

#interface range fa 0/7-9

#switchport aceess vlan 70

#exit

#Interface fa 0/20

#Switchport mode trunk

# exit

#interface vlan 1

#ip address 192.168.0.4 255.255.255.0

#no shutdown

#exit　　　　　　　//设置管理IP地址

#ip default-gateway 192.168.0.254

⑤ S3550-A的基本配置。

#configure terminal

#hostname S3550-A

#vlan 1

#exit

#vlan 10

#exit

#vlan 20

#exit

#vlan 30

#exit

#vlan 100

#exit

#interface fa 0/1

#Switchport mode trunk

#exit

#Interface fa 0/10

#Switchport mode trunk

# exit

#Interface fa 0/20

#Switchport mode trunk

# exit

#interface vlan 1

#ip address 192.168.0.5 255.255.255.0

#no shutdown

#exit

#interface vlan 10

#ip address 172.16.10.1 255.255.255.0

#no shutdown

#exit

#interface vlan20

#ip address 172.16.20.1255.255.255.0

#no shutdown

#exit

#interface vlan30

#ip address 172.16.30.1 255.255.255.0

#no shutdown

#exit

#interface vlan100

#ip address 192.168.128.44 255.255.255.248

#no shutdown

#exit　　　　　　//设置管理IP地址

#ip default-gateway 192.168.0.254

⑥ S3550-B的基本配置。

#configure terminal

#hostname S3550-B

#vlan 1

#exit

#vlan50

#exit

#vlan 60

#exit

#vlan 70

#exit

#vlan 200

#exit

#interface fa 0/1

#Switchport mode trunk

#exit

#Interface fa 0/10

#Switchport mode trunk

#exit

#Interface fa 0/20

#Switchport mode trunk

#exit

#interface vlan 1

#ip address 192.168.0.6 255.255.255.0

#no shutdown

#exit

#interface vlan 50

#ip address 172.16.10.1 255.255.255.255.0

#no shutdown

#exit

#interface vlan 60

#ip address 172.16.20.1 255.255.255.0

#no shutdown

#exit

#interface vlan 70

#ip address 172.16.30.1 255.255.255.0

#no shutdown

#exit

#interface vlan 200

#ip address 192.168.129.44 255.255.255.248

#no shutdown

#exit　　　　　　//设置管理IP地址

#ip default-gateway 192.168.0.254

⑦ S6806-A核心交换机的基本配置。

#configure terminal

#hostname S6806-A

#interface GigabitEthernet 4/1

#Switchport mode trunk

#exit

#interface GigabitEthernet 4/2

#Switchport mode trunk

#exit

#interface GigabitEthernet 4/10

#Switchport access vlan300

#exit

#interface vlan 1

#ip address 192.168.0.254 255.255.255.0

#no shutdown

#exit

#interface vlan 100

#ip address 192.168.128.45 255.255.255.248

#no shutdown

#exit

#interface vlan 200

#ip address192.168.129.45 255.255.255.248

#no shutdown

#exit

#interface vlan 300

#ip address 192.168.86.17 255.255.255.240

#no shutdown

#exit

⑧ R2624-A的基本配置。

#configure terminal

#hostname R2624-A

#interface fa 1/0

#ip address 192.168.86.30 255.255.255.240

#no shutdown

#ip nat inside

#exit

#interface fa 1/1

#ip address 210.96.100.85 255.255.255.252

#no shutdown

#ip nat outside

#exit

（2）OSPF路由选择协议的配置及测试。

① S3550-A OSPF 路由协议配置。

#route ospf

#area 0.0.0.0

#network 172.16.10.0 0.0.0.255 area 0.0.0.0

#network 172.16.20.0 0.0.0.255 area 0.0.0.0

#network 172.16.30.0 0.0.0.255 area 0.0.0.0

#network 192.168.128.40 0.0.0.7 area 0.0.0.0

#end

② S3550-B OSPF路由协议配置。

#route ospf

#area 0.0.0.0

#network 172.18.50.0 0.0.0.255 area 0.0.0.0

#network 172.18.60.0 0.0.0.255 area 0.0.0.0

#network 172.18.70.0 0.0.0.255 area 0.0.0.0

#network 192.168.129.40 0.0.0.7 area 0.0.0.0

#end

③ S8606–A OSPF路由协议配置。

#route ospf

#area 0.0.0.0

#network 192.168.86.16 0.0.0.15 area 0.0.0.0

#network 192.168.128.40 0.0.0.7 area 0.0.0.0

#network 192.168.129.40 0.0.0.7 area 0.0.0.0

#end

④ R2624A OSPF 路由协议配置。

#route ospf 1

#network 210.96.100.84 0.0.0.3 area 0.0.0.0

#network 192.168.86.16 0.0.0.15 area 0.0.0.0

#default-information originate always

#end

⑤ OSPF验证。

查看S3550-A

#show ip route

查看S3550-B

#show ip route

查看S8606–A

#show ip route

查看R2624A

#show ip route

（3）基本连通性测试。

基本连通性测试包括网络连通性测试和不同VLAN间用户通信连通性测试。

① 网络连通性测试。在S2126-A1的VLAN 10内的用户，用户主机IP地址为172.16.10.195/24，网关为172.16.10.1。

>ipconfig

>ping 172.16.10.1

>ping 172.16.20.1

>ping 172.16.30.1

>ping 192.168.128.44

>ping 192.168.128.45

>ping 192.168.129.45

>ping 192.168.86.17

>ping 192.168.86.30

>ping 172.18.50.1

>ping 172.18.60.1

>ping 172.18.70.1

>ping 192.168.129.44

>ping 210.96.100.85

② VLAN 间通信测试。在这里只测试 VLAN 50 中用户 172.18.50.195 与 VLAN 10 中用户172.16.10.179通信的连通性，其中主机指向各自的网关。

>ipconfig

>ping 172.18.50.1

>ping 192.168.86.30

>ping 172.16.10.179

（4）NAT功能配置及测试。NAT功能通过R2624-A实现。

① 在R2624-A上配置NAT。

#access-list 10 permit any

#Exit

#ip nat insaide soure list 10interface fa 1 overload

#interface fa 0

#ip nat inside

#exit

#interface fa 1

#ip nat outside

#exit

② 测试 NAT 功能。参见实验拓扑图 13-2，在 R2126-A F1 口的对端放置 PC 模拟 ISP。通过调试内部主机172.18.50.195 ping此主机210.96.100.86，在路由器上调试NAT，通过查看相关调试信息测试NAT功能。

R2426-A#debug ip nat

R2426-A#debug ip nat detailed

R2426-A#debug ip nat packet

R2426-A#

>ipconfig

>ping 210.96.100.86

R2426-A#

13.3 任务3：双核心网络

【案例背景】

随着某高校对Internet应用需求的增长，校园网以光缆连接了全校近70栋楼宇，覆盖了90%的教学办公场所和75%的学生宿舍。该网络总共布有2万多个网络端口，其中约1.2万多个布线端口与网络设备连接，共接入计算机6 000多台，有固定注册用户约6 000人。

【拓扑结构】

图13-3所示为某高校双核心网络拓扑结构图，从中可详细了解具体的设备规划。

图13-3 某高校双核心网络拓扑

【需求分析】

需求1：要能够达到轻载要求——低负载、高带宽、最简单、最有效。

分析1：网络核心冗余，核心到汇聚双链路备份。

需求2：要具有先进的技术性——支持线速转发，具备高密度的太比特（万兆）端口，核心设备支持T级以上的背板设计，硬件实现ACL、QoS、组播等功能。

分析2：核心交换机可选择RG-S6800E系列来实现以上功能。

需求3：要稳定、可靠——确保物理层、链路层、网络层、病毒环境下的稳定、可靠。

分析3：要求各层设备能够有防病毒功能，项目中所选设备均可通过配置来预防病毒。

需求4：要有健壮的安全性——不以牺牲网络性能为代价，实现病毒和攻击的防护、用户接入控制、路由协议安全。

分析4：核心交换机具有SPOH功能，保证在实现防病毒攻击的前提下，核心交换机性能不受影响。接入采用安全智能接入层交换机RG-S2100系列。

需求 5：要易于管理——具备网络拓扑发现、网络设备集中统一管理、性能监视和预警、分类查看管理事件的能力。

分析5：项目中所有设备均支持SNMP，并通过锐捷star-view网络软件进行整网管理。

【实验拓扑】

图13-4所示为某高校双核心网络拓扑结构图，根据其网络应用和功能在实验室中进行了网络环境的搭建。

【地址规划】

如表13-1所示为各设备的IP地址规划。

图13-4 实验室中搭建的某高校双核心网络环境

表13-1 IP地址规划

【实验设备】

出口设备：RG-WALL100（或1000）1台。

核心设备：S68系列（或S65/S35系列设备）2台，配置吉比特光缆接口4块。

汇聚设备：S3550-24 2台，每台配置2块吉比特光缆接口。

接入设备：S2150G二层交换机4台。

实验PC：8台。

【实验步骤】

（1）网络设备的基本配置及基本测试。

① S2150-A1交换机的基本配置。

#configure terminal

#hostname S2150G-A

#vlan 1

#exit

#vlan 10

#exit

#vlan 20

#exit

#vlan 30

#exit

#interface range fa 0/1-10

#switchport aceess vlan 10

#exit

#interface range fa0/11-20

#Switchport access vlan 20

#exit

#interface range fa 0/21-30

#switchport aceess vlan 30

#exit

#Interface gigabitEthernet 1/1　　//配置S2150-A的上连光缆模块

#Switchport mode trunk

# exit

S2150G-B与S2150G-A的配置基本相同，在此略过。

② S3550-A交换机的基本配置。

#configure terminal

#hostname S3550-A

#vlan 1

#exit

#vlan 10

#exit

#vlan 20

#exit

#vlan 30

#exit

#interface fa 0/1

#switchport mode trunk

#switchport trunk native vlan 4093

#interface fa 0/2

#switchport mode trunk

#switchport trunk native vlan 4093

#interface fa 0/10

#switchport mode trunk

#switchport trunk native vlan 4093

#interface fa 0/20

#switchport mode trunk

#switchport trunk native vlan 4093

#exit

#interface vlan 10

#ip address 172.16.10.1 255.255.255.0

#interface vlan 20

#ip address 172.16.20.1 255.255.255.0

#interface vlan 30

#ip address 172.16.30.1 255.255.255.0

#interface vlan 1014

#ip address 192.168.128.44 255.255.255.248

#interface vlan 1024

#ip address 192.168.129.44 255.255.255.248

#end

S3550-A#ping 192.168.128.44

S3550-A#ping 192.168.129.44

S3550-A#ping 127.16.10.1

S3550-A#ping 127.16.20.1

S3550-A#ping 127.16.30.1

S3550-B交换机的基本配置与S3550-A交换机的基本配置大致相同，在此略过。

③ S6810-B1基本配置。

#configure terminal

#hostname S6806E-B

#vlan 1

#vlan 10

#vlan 20

#vlan 30

#exit

#interface fa 0/1

#switchport mode trunk

#switchport trunk native vlan 4093

#interface fa 0/2

#switchport mode trunk

#switchport trunk native vlan 4093

#interface fa 0/5

#no switchport

#ip address 192.168.128.2 255.255.255.248

#interface vlan 1024

#ip address 192.168.129.45 255.255.255.248

#interface vlan 1026

#ip address 192.168.129.67 255.255.255.248

S6806E-B#ping 192.168.128.2

S6806E-B#ping 192.168.129.45

S6806E-B#ping 192.168.129.67

（2）OSPFP配置及测试。

① S3550-A的路由配置。

#interface vlan 1024

#ip address 192.168.129.44 255.255.255.248

#ip ospf cost 100

#route ospf

#area 0.0.0.0

#network 192.168.0.0 0.0.255.255 area 0.0.0.0

#network 172.16.0.0 0.0.255.255 area 0.0.0.0

S3550-B的路由配置与S3550-A基本相同，在此略过。

② S6806E-A的路由配置。

#interface fa 0/5

#no switchport

#ip address 192.168.128.1 255.255.255.248

#ip ospf cost 1

#interface vlan 1016

#ip address 192.168.128.67 255.255.255.248

#ip ospf cost 60

#route ospf

#area 0.0.0.0

#network 192.168.0.0 0.0.255.255 area 0.0.0.0

③ 路由的测试。因为在核心S6806E上，基本都是直连路由，所以选择S3550进行路由测试。

S3550-A#ping 192.168.128.1　　　//测试与S6806E-A的连通性

S3550-A#traceroute 192.168.128.1　　//测试与S6806E-A的路由

S3550-A#ping 192.168.129.67　　　//测试与S6806E-B的连通性

S3550-A#traceroute 192.168.129.67　　//测试与S6806E-B的路由

S3550-A#ping 172.18.50.1　　　　//测试与S3550-B的连通性

S3550-A#traceroute 172.18.50.1　　//测试与S3550-B的路由

从S3550-B同样进行一次全面的检查

S3550-B#ping 192.168.128.2　　　//测试与S6806E-B的连通性

S3550-B#traceroute 192.168.128.2　　//测试与S6806E-B的路由

S3550-B#ping 192.168.128.45　　　//测试与S6806E-A的连通性

S3550-B#traceroute 192.168.128.45　　//测试与S6806E-A的路由

S3550-B#ping 172.18.10.1　　　　//测试与S3550-A的连通性

S3550-B#traceroute 172.18.10.1　　//测试与S3550-A的路由

项目拓展

【案例背景】

不断发展的信息技术对社会进步和国民经济的发展起着越来越大的促进作用，并对人们传统的思想观念和工作方式带来巨大的冲击。如今，网络已进入了各行各业，作为社会重要服务部门的医院，也不可避免地受到了信息化浪潮的影响，而且随着先进设备的引进和信息量的增多，设备共享和信息的规范管理越来越重要，为此，医院急需建立一个先进的信息网络系统来实现信息的管理和设备的共享。

【需求分析】

某医院建筑面积约10万平方米，建筑楼群有住院部、门诊部、行政部、外科楼、内科楼和实验楼等，拟建设的医院网络要具备以下功能。

（1）实现设备共享，减少重复投资。

（2）通过Web发布，实现Internet信息查询。

（3）通过远程拨号方式实现远程医疗。

（4）实现病房及办公室的实时监控，以便及时掌握病人病情的变化及医生值班的情况。

（5）信息共享及统一管理。医院的各种文件可以通过电子邮件或FTP等形式传送。

（6）建立多功能指挥中心，便于医院领导统一指挥。

请根据上面提供的信息，写出一个完整的解决方案。

项目小结

本项目重点介绍网络工程方案的实施过程。从方案的背景到客户的需求分析，最后制定方案的实施拓扑，并对方案中的主要设备进行了配置，实现了一个完整的方案实施过程。本项目全书知识点的综合应用，是网络工程中分析和解决问题的样板，也是课程综合实训的基础样例。

思考题

（1）方案分析的要点是什么？

（2）方案设计原则有哪些？

（3）概述单核心网络设计的过程。

（4）概述双核心网络设计的过程。

读累了记得休息一会哦~

公众号：古德猫宁李

- 电子书搜索下载

- 书单分享

- 书友学习交流

网站：沉金书屋 https://www.chenjin5.com

- 电子书搜索下载

- 电子书打包资源分享

- 学习资源分享

图书在版编目（CIP）数据

交换机/路由器配置与管理/桑世庆，卢晓慧主编.--北京：人民邮电出版社，2010.8

21世纪高等职业教育信息技术类规划教材

ISBN　978-7-115-22383-8

Ⅰ.①交…　Ⅱ.①桑…②卢…　Ⅲ.①计算机网络—信息交换机—高等学校：技术学校—教材②计算机网络—路由器—高等学校：技术学校—教材　Ⅳ.①TN915.05

中国版本图书馆CIP数据核字（2010）第060017号

内容提要

本书以项目式的形式介绍了常见路由和交换设备在网络工程中的主要应用。全书由13个项目组成，其内容涵盖了网络互连中大部分典型工作任务，主要分为4部分，第1部分为网络设备配置基础，通过项目训练路由器和交换机的初始化配置；第2部分为交换机的配置与管理，通过项目，掌握二层交换机的配置与应用；第 3 部分重点介绍了路由器和广域网配置，主要是路由协议和帧中继在网络工程中的典型应用；第 4部分是三层交换和综合项目训练，通过项目，理解网络设备在互连网络中进行配置的完整工作过程。

本书的特点是理论以够用为度，项目步骤叙述清楚、易懂，任务明确，侧重实用，力图反映目前大、中、小型企业的网络实际应用情况。本书的所有项目配置均通过实验验证。

本书可以作为高等职业技术院校计算机网络、计算机应用技术等专业的教材，也可作为网络培训或自学教材。

21世纪高等职业教育信息技术类规划教材

交换机/路由器配置与管理

♦主编　桑世庆　卢晓慧

♦审　刘世泰

责任编辑　王威

♦人民邮电出版社出版发行　　北京市崇文区夕照寺街14号

邮编　100061　　电子函件　315@ptpress.com.cn

网址　http://www.ptpress.com.cn

北京昌平百善印刷厂印刷

♦开本：787×1092　1/16

印张：13.5

字数：342千字　　2010年8月第1版

印数：1–3000册　　2010年8月北京第1次印刷

ISBN　978-7-115-22383-8

定价：25.00元

读者服务热线：(010)67170985　印装质量热线：(010)67129223

反盗版热线：(010)67171154

Table of Contents

封面

目录

扉页

前言

项目1　访问交换机与路由器设备

1.1 任务1：Cisco设备连接概述

1.2 任务2：通过Console口访问路由器设备

1.2.1 任务目标

1.2.2 施工设备

1.2.3 任务场景

1.3 任务3：通过Telnet访问路由器

1.3.1 任务目标

1.3.2 施工设备

1.3.3 任务场景

1.4 任务4：通过SDM访问路由器

1.4.1 任务目标

1.4.2 施工设备

1.4.3 任务场景

项目拓展

项目小结

思考题

项目2　Cisco IOS的用户配置

2.1 任务1：Cisco IOS 技术概述

2.1.1 硬件组成

2.1.2 IOS简介

2.1.3 命令状态

2.1.4 常用命令

2.2 任务2：熟悉路由器和交换机的基本配置

2.2.1 任务目标

2.2.2 施工设备

2.2.3 任务场景

2.2.4 路由器和交换机的默认初始配置

项目拓展

项目小结

思考题

项目3　交换机的基本配置

3.1 任务1：交换原理及相关技术

3.1.1 交换机工作原理

3.1.2 CDP协议概述和配置

3.2 任务2：Cisco 2950交换机接口基本配置

3.2.1 任务目标

3.2.2 施工设备

3.2.3 任务场景

3.3 任务3: CDP协议概述和配置

3.3.1 任务目标

3.3.2 施工设备

3.3.3 任务场景

项目拓展

项目小结

思考题

项目4　构建虚拟局域网

4.1 任务1：认识虚拟局域网

4.1.1 VLAN概述

4.1.2 虚拟局域网配置的相关技术

4.2 任务2：划分VLAN

4.2.1 任务目标

4.2.2 施工设备

4.2.3 任务场景

4.3 任务3：配置trunk

4.3.1 任务目标

4.3.2 施工设备

4.3.3 任务场景

4.4 任务4：配置VTP

4.4.1 任务目标

4.4.2 施工设备

4.4.3 任务场景

4.5 任务5：配置EtherChannel

4.5.1 任务目标

4.5.2 施工设备

4.5.3 任务场景

项目拓展

项目小结

思考题

项目5　生成树配置

5.1 任务1：生成树概述

5.2 任务2：配置生成树

5.2.1 任务目标

5.2.2 施工设备

5.2.3 任务场景

5.3 任务3：VLAN生成树综合应用实验项目

5.3.1 任务目标

5.3.2 施工设备

5.3.3 任务场景

项目拓展

项目小结

思考题

项目6　静态路由和动态路由的配置

6.1 任务1：静态路由和动态路由技术概述

6.1.1 静态路由

6.1.2 动态路由

6.2 任务2：静态路由和默认路由

6.2.1 任务目标

6.2.2 施工设备

6.2.3 任务场景

6.3 任务3：RIP基本配置

6.3.1 任务目标

6.3.2 施工设备

6.3.3 任务场景

6.4 任务4：IGRP配置

6.4.1 任务目标

6.4.2 施工设备

6.4.3 任务场景

项目拓展

项目小结

思考题

项目7　配置EIGRP协议

7.1 任务1：EIGRP概述

7.1.1 EIGRP路由协议简介

7.1.2 EIGRP路由协议的数据库

7.1.3 EIGRP数据包

7.2 任务2：EIGRP的基本配置

7.2.1 任务目标

7.2.2 施工设备

7.2.3 任务场景

7.3 任务3：EIGRP默认网络

7.3.1 任务目标

7.3.2 施工设备

7.3.3 任务场景

7.4 任务4：EIGRP的汇总

7.4.1 任务目标

7.4.2 施工设备

7.4.3 任务场景

项目拓展

项目小结

思考题

项目8　OSPF协议的配置

8.1 任务1：OSPF技术概述

8.2 任务2：OSPF单区域配置

8.2.1 任务目标

8.2.2 施工设备

8.2.3 任务场景

项目拓展

项目小结

思考题

项目9　帧中继和DHCP的配置

9.1 任务1：帧中继概述

9.2 任务2：配置帧中继网络

9.2.1 任务目标

9.2.2 施工设备

9.2.3 任务场景

项目拓展

项目小结

思考题

项目10　多层交换技术

10.1 任务1：多层交换概述

10.2 任务2：Cisco 3550配置基础

10.2.1 任务目标

10.2.2 施工设备

10.2.3 任务场景

10.3 任务3：Cisco 3550 VLAN间转发

10.3.1 任务目标

10.3.2 施工设备

10.3.3 任务场景

项目拓展

项目小结

思考题

项目11 访问控制列表和NAT配置

11.1 任务1：访问控制列表和NAT概述

11.2 任务2：访问控制列表配置

11.2.1 任务目标

11.2.2 施工设备

11.2.3 任务场景

11.3 任务3：NAT配置

11.3.1 任务目标

11.3.2 施工设备

11.3.3 任务场景

项目拓展

项目小结

思考题

项目12　IPv6技术和无线网络概述

12.1 任务1：概述

12.2 任务2：IPv6 RIPng

12.2.1 任务目标

12.2.2 施工设备

12.2.3 任务场景

12.3 任务3：Cisco无线AP配置

12.3.1 任务目标

12.3.2 施工设备

12.3.3 任务场景

项目拓展

项目小结

思考题

项目13　综合实训项目

13.1 任务1：方案设计要求和原则

13.2 任务2：单核心网络

13.3 任务3：双核心网络

项目拓展

项目小结

思考题

版权