[原创]Ｃisco Catalyst局域网交换技术(完整下载版)

红头发

PDF下载:http://bbs.chinaitlab.com/viewFile.asp?Boardid=150&ID=8558

Cisco Catalyst LAN Switching

Preface

yUmi#sh start
!
Written by yUmis(牛奶咖喱) a.k.a. 红头发
Description 欢迎转po,请保留作者信息
Contact Me http://www.show-tym.com QQ:13030130
特别感谢yUmi,是她让我懂得了应该如何生活
Jul.1st.2004
!


Pt.1 Switching and Bridging Concepts

Ethernet

Ethernet(以太网)于20世纪70年代中期,由Xerox公司分部Palo Alto研究中心(PARC)开发的.Xerox最早发明的是一个2Mbps的以太网,后来又和Intel和DEC合作开发了出了10Mbps的以太网,俗称(Ethernet II或Ethernet DIX).后来IEEE通过802委员会(802 Committee)把Ethernet标准化为IEEE 802.3.它和Ethernet II十分相似

MAC地址

MAC地址用来标识以太网上每个节点(node)的地址,即物理地址.MAC地址为48位(bit)长,即6个字节.如下图:


MAC地址是烧录在网卡(Network Interface Controller,NIC)的ROM里的.为了保证MAC地址的唯一性,IEEE规定MAC地址前24位为厂商代码(vendor code),后24位为序列号(serial number)

Ethernet帧的格式

一些常见的以太网帧的格式,如下图:

preamble为前导符,7字节长,由10101010…重复组成,SFD为起始分界符,1字节长,由11组成,如下图:

Ethernet DIX帧里有类型(type)字段,用来鉴别层3的协议;而802.3 Ethernet帧把类型字段替换成了长度(length)字段,所以它无法辨别上层协议,这时就要用到802.2 LLC
还有2种常见的以太网帧的格式,如下图:

Novell的以太网帧只用于传输IPX流量,由于Novell没有想过IP会运行在其他层3协议上,所以它不需要类型字段,而且它也没有LLC
802.3 Ethernet Sub-Network Access Protocol(SNAP)的DSAP和SSAP字段的值为AA,OUI字段代表organizational unique identifier,3字节长,用于代表不同的组织.OUI由IEEE分配,Cisco的OUI为00000c

Carrier Sense Multiple Access with Collision Detection(CSMA/CD)

以太网使用一种叫做带冲突检测的载波监听多路访问(CSMA/CD)技术进行通信.这是一种比较友好的会话方式.比如你有话要说,但是你很礼貌的先听听看有没有别的人在说话(carrier sense),如果有人在说话,你就等他把话说完,你才开始说;如果没人说话,你就开始说.但是假如有2个人同时说话怎么办?假如有2个人同时说话了,双方一旦听到同时有除自己以外的人在说话的话(collision detection),就停止继续说话,2个人都随机等待一段时间,然后其中1个人再开始继续说话,另外那个人等他说完再接着说
Ethernet的通信方式就是这样的,如果双方同时要传输数据的话,将会产生一个collision的信号,由于电压超过正常的值,所以整个网段上的工作站都能注意到这个collision信号,接下来卷入这个collision事件的2个节点发送一个代表拥塞的信号给网段上的所有节点.此时线缆上不会有数据的传输(0Mbps),直到该冲突过程恢复以后.当这2个节点完成拥塞信号的传输以后,它们设置一个随机的计时器开始倒计时,先到0的节点会发现此时网段上没有工作站在进行传输,它就开始传输数据;后到0的那个节点发现之前那个节点已经在传输了,它就等待,等它传输完毕以后再进行传输
所以,在采用CSMA/CD机制的介质上,1次只能有1个节点可以进行传输.所以这也是把Ethernet叫做共享介质(shared medium)的原因

Fast Ethernet

当随着时间的推移,人们开始发现10Mbps的速率不够用是时候,就开始开发一种以太网的升级版本:Fast Ethernet.快速以太网的速率能够达到100Mbps.虽然基于IEEE 802.3u标准的快速以太网不是市场上第一个出现的100Mbps版本.IEEE 802.3u标准的快速以太网和802.3以太网的帧的格式是兼容的,唯一不一样的就是前者在速度上是后者的10倍,由于兼容性很好,802.3u就成为市场上的主流标准.快速以太网仍然采用CSMA/CD机制.由于以太网(包括快速以太网)都属于共享介质,所以在一个网段上,节点越多,产生冲突的机率就越大

Gigabit Ethernet

随着网络的发展,人们发现以快速以太网作为骨干介质越来越不能满足需要,而速率为155Mbps-622Mbps的ATM当时实现起来比较困难.IEEE后来又推出了基于802.3z的千兆以太网(Gigabit Ethernet).和之前的一样,帧的格式和Ethernet并无什么大的区别;在接线方面,千兆以太网,快速以太网和以太网的区别在于,千兆以太网没有采用铜线(copper wiring)标准

Full-Duplex Ethernet

当2个以太网节点通过10baseT互相直连,会有2条通道,其中1条为接收,另1条为发送.由于是直连,中间没有其他节点(比如hub),因此数据可以在没有冲突的情况下来回自由传输,这就叫全双工(full-duplex)以太网.如下图:

要实现全双工,2个节点必须直连,而且他们的网卡必须要支持全双工模式.由于采用全双工模式,发送和接收可以由2条通道同时进行,每条通道都为10Mbps,总共是20Mbps,所以有的时候人们又把全双工以太网称为20Mbps介质(快速和千兆以太网也是如此)

Physical Segment

当1个以太网网段的设备越多,产生冲突的可能性就越大.以太网网段能容纳的设备的数目是根据传输介质所规定的.物理网段,就是连接在传输线缆上的所有的设备的一个范围圈.换句话说就是,在一个物理网段上,所有设备都有产生冲突的可能性.另外1个用来描述物理网段的术语就是冲突域(collision domain).当然可以用某些设备对物理网段进行划分,比如路由器等等

Broadcasts and Logical Segmentation

TCP/IP使用广播来解析IP地址到MAC地址.一些路由协议也使用广播来对路由进行宣告,比如RIP和IGRP.广播不仅会消耗网络上的带宽,还会降低端用户比如工作站的处理能力.网桥(bridge)和交换机会转发广播,而路由器就不会.能够接收到别人发来的广播的所有节点组成的一个区域范围就叫广播域(broadcasting domain)或逻辑网段(logical segment)

Multicasts

多播(multicast)和广播类似,但是和广播的发送给所有节点相比,它是发送给一组特定类型的节点.节点类型通过地址来定义,比如一个帧的目标MAC地址为0100.0CCC.CCCC的就是发往所有的Cisco设备.网桥和交换机也会对多播进行转发

Frame-Forwarding Methods of a Switch

Cisco Catalyst对帧的3种转发方式如下图:

1.cut-through模式也叫fast forward或real time模式,它读取到帧的目标地址以后就立即进行转发
2.fragment free模式也叫modified cut-through模式,它读取到帧数据字段前64字节,然后进行转发
3.store-and-forward模式是读取整个帧,并进行FCS计算.由于帧的长短不一样,所以延迟根据帧的长短而变化


Pt.2 Transparent Bridging

网桥和交换机对帧的转发送采用的机制基本是一样的.网桥单独的根据目标MAC地址来转发帧.所有节点的MAC地址将被学习到,并以表的形式保存在RAM或cache memory中.在以太网环境中,转发帧的决定的过程叫透明桥接(transparent bridging),而在令牌环网络中该过程叫源路由桥接(source route bridging)

the Three Functions of a Transparent Bridge

透明网桥,如同它的名字,意思是它在以太网环境中对于端用户(end user)来说是透明的.它的3个作用:
1.学习
2.转发和过滤
3.避免环路(loop)

Learning

网桥要基于目标MAC地址来做转发决定,所以它要能学习到目标节点的MAC地址.当网桥连接到一个物理网段上去,它读取经过它的帧的源MAC地址,并做出推断,如果帧从来自某个它的特定的端口(port),它就认为工作站的位置是和那个端口相连.然后把这些信息放进自己的bridging table中,在放进去之前先计算FCS计算,这样能消除错误的判断.在Cisco Catalyst上,bridging table也叫做CAM(content address memory)

如下图:

A发送数据给B,B和网桥都接收到帧.当网桥接收到帧以后,学习到工作站A和port 1相连(因为是这个端口接收到A发来的帧的),于是它把工作站A的MAC地址和端口放进bridging table中
反过来,B对A做出应答的时候,如下图:

原理和刚才一样,B的MAC地址和端口信息被放进bridging table中去

Forwarding and Switching

网桥通过之前学习到的bridging table来做转发决定.这个决定是基于帧的目标MAC地址的.转发的过程如下图:

当A传输数据到C的时候,C的条目之前已经被学习到了,网桥就把帧转发到C所在的物理网段2
过滤的流程图如下:

当A发数据给B的时候,网桥根据bridging table判断出B和A在同一个物理网段,网桥就不会把帧发到物理网段2上去

Avoiding Loops

透明网桥的还有1个功能就是环路的避免.先来看看1个环路的产生,如下图:

A发送一个广播帧给Y和X,Y又发给Z,X也发给Z;Z又把从Y接收到的发给X,又把从X接收到的发给Y.这样就产生了一个bridge loop.阻止环路的产生的办法就是破坏掉冗余的链路,这就要考生成树协议(Spanning Tree Protocol,STP)完成
STP有几种版本,而且它们之间互不兼容.在交换机和网桥上实现STP之前要先验证下STP的版本,不同版本的STP是不会协同工作的.2种最常使用的STP版本是DEC版本的和IEEE版本的.Cisco的Catalyst在以太网上使用的是IEEE版本的STP,在Token Ring上使用的是IBM版本的STP

Spanning Tree Protocol

网桥会向其他那些有可能引起环路的交换机发送一种叫做BPDU(bridge protocol data unit)的包.Cisco的Catalyst每10秒从它所有的活跃端口向外发送BPDU,收到BPDU的交换机通过生成树算法(Spanning Tree Algorithm,STA)进行运算来决定需要关闭哪些冗余链路和端口,这一关闭的过程叫blocking.处于blocking状态的端口仍然是活跃的,它仍然能够接收和读取到BPDU,它会等到环路消除以后,才能转发帧.BPDU和STA的目的就是造就一个无环路的交换环境

the Root Bridge

所有的生成树(tree)都必须要有个根(root),作为根的那个网桥就叫根桥(root bridge),所有的网桥都分配了1个叫做网桥优先级(bridge priority)的数值.默认Catalyst的优先级都为32768.术语bridge ID是由MAC地址决定的,MAC地址最小的网桥就被选举为根桥

Which Ports Should Be Blocked?

当决定关闭一些产生环路的端口的时候,假如卷入的端口有2个甚至更多,那到底把哪些端口更改为blocking状态呢?这就要根据端口耗费(port cost)来决定.端口耗费一般是基于传输介质的速率来分配的,一般这个耗费的值是用1000除以传输介质的速率得到的,比如100Mbps的快速以太网的端口耗费就是10,以太网的是100
与根桥直接相的端口,或到达根桥距离最短的端口,就叫根端口(root port);假如有多条到达根桥的最短的链路,就比较port cost,耗费低的作为根端口;假如耗费一样,就比较bridge ID,ID小的作为根端口
还有个术语叫指定端口(designated port),它是在物理网段上,离根端口最近的那个端口

STP工作的一些步骤如下:
1.决定根桥:在优先级相同的情况下,比较bridge ID,ID小的作为根桥
2.决定指定端口:到达根桥的最短的链路的端口port cost低的作为指定端口;假如耗费一样,就比较bridge ID,ID小的作为指定端口.指定端口处于转发(forwarding)状态
3.决定根端口:与根桥直接相的端口,或到达根桥距离最短的端口,就叫根端口(root port);假如有多条到达根桥的最短的链路,就比较port cost,耗费低的作为根端口;假如耗费一样,就比较bridge ID,ID小的作为根端口
4.决定哪些端口应该被堵塞为blocking状态:只要是非根端口和指定端口的,都进入blocking状态
5.决定哪些端口处于转发状态:根端口和指定端口

例子如下图,拓扑图给出了已知的MAC地址,并且所有优先级均为32768:

注意A的MAC地址最小,优先级均为32768,所以A作为根桥,并且要注意的是根桥的所有端口均作为转发模式(指定端口).接下来决定根端口,直接与根桥相连的作为根端口,而且作为转发模式,所以可以判定出根端口个指定端口,bridge ID决定指定和非指定端口.但是注意D和E之间,由于D的bridge ID小,所以D的为指定端口,E的作为非指定端口,如下图:


Spanning Tree Port States

STP端口的几种状态如下图:


Pt.3 Token Ring and Source-Route Bridging

IEEE吸收了原先的Token Ring标准并加以小小的改动,制定了一套IEEE 802.5标准的Token Ring(1985年发布).它主要使用在IBM产品的环境中

Token Ring Architecture

20世纪70年代中期到末期,LAN技术变的越来越流行.蓝色巨人IBM决定开发1套自用的LAN介质,当时Ethernet并不能在IBM产品的环境下运做的很好.于是就产生了Token Ring.IEEE的Token Ring能够很好的和IBM的Token Ring兼容
Token Ring使用多路访问单元(Multiaccess Unit,MAU)来组建一个环(ring),所有的工作站都连接到MAU上的.其中物理拓扑为星型,逻辑拓扑为环型. Catalyst采用的是5类线缆和RJ-45连接器,物理拓扑如下图:

逻辑拓扑如下图:

Token Ring采用传递令牌(token)的方式来决定谁发送数据.谁拥有令牌,谁就可以传输帧.数据帧在环上传传输,目标工作站接收到这个帧以后对它进行拷贝,然后设置帧的1个位后继续把它放在环上传输,直到又回到源设备,源设备发现帧中有1位已经变动,说明它发出去的帧已经被目标设备收到.所以它重新生成一个token,并传递给别的工作站.如下图:

Token Ring仍然是一种共享介质,因为工作站要等待token的传递.环上的站点越多,等待的时间就越长
另外一种特殊的工作站,叫active monitor,是用来维护和保持Token Ring的稳定性的.它保证了token在环上的传递正常与否.如果token出错,active monitor会重新生成一个token
Token Ring传输数据的速率有2种:4Mbps和16Mbps.4Mbps版本的现金用的很少了,能够支持的产品也不是很多.另外,Token Ring可以以不同的速率传输数据可能会导致一些问题.一些Token Ring的NIC能够支持这2种速率.但是在它自动感应(autosense)之前,它先以默认的4Mbps的速率操作,然后工作站错误的以4Mbps的速率接入到环里去,而环一般都为16Mbps的速率,这样环就会短暂性的失去连接,导致一些问题的发生.所以在把工作站接入到环里的时候要先验证下速率是多少,是否匹配

Token Ring Segmentation

当环上的站点过多的时候,就需要对Token Ring分段:物理的或逻辑的创建更多的环
物理的创建更多的环可以在不影响层3协议的情况下,创建更多的环,产生更多的token,这样就可以有更多的会话.但是广播仍然会传播到整个Token Ring上去.如下图是一个没有分段的大型的Token Ring:

假设环的速率为16Mbps,那么总共的吞吐量为16Mbps
把环分为3段,如下图:

如图一个大环被分成3个单独的环,将会产生3个token,而且总的吞吐量将达到16Mbps*3=48Mbps.这3个环仍然处于同一个IP子网下,所以物理的分段不影响广播域的变化
Token Ring的物理分段可以由网桥,交换机和带有Token Ring接口的路由器完成
Token Ring的逻辑分段由路由器完成

Source-Route Bridging

源路由桥接是Token Ring的网桥和交换机使用的桥接方法,它和层3的路由协议十分相似:用数字鉴别物理环,就像用路由协议用网络号鉴别网络一样.每一个处于源路由环境的网桥都接收一个bridge number.如下图:

如图,每个环和网桥都有一个号码
组成Token Ring帧头部的一个字段叫RIF(routing information field).RIF字段包含了通过源路由桥接环境到达目标设备的选定了的路由信息.源设备为每一个数据包建立RIF字段,同时这也要求端节点设备拥有可以建立RIF字段的软件.源路由网桥读取到RIF字段以后,决定是否转发帧到相连的环上去
RIF字段包含2部分:
RC字段(route control)为第一部分,16位长
第二部分为RD(route designator字段.RD是数目根据帧要到达目标设备所穿越的网桥和环的数目而变化,如下图:

RIF字段里最多可以包含14个RD,这也限制了源路由桥接环境的最大跳数为13跳(hop)
下图是源路由桥接环境的通信过程:

A的RIF字段如下图:


Route Discovery

在源路由桥接环境里,源设备是如何发现目标设备的呢?为了能够发现目标设备,源节点使用一种叫做explorer packet的包.有几种类型的explorer packet.其中一种叫all-route explorer (ARE) packet.ARE packet会被所有的网桥转发.发现过程如下图:

当ARE packet到达目标环以后,ARE packet仍然会被继续转发直到达到RD的最大值或者已经有了RD.ARE packet将继续从R 101传送下去直到回到R 104.所以第一个ARE packet依次经过B1,B2,B3一直到B6,当第一个ARE packet完成一个轮回以后再次回到B1,B1看见已经之前有了RD,所以B1不会把这个包继续转发下去

另外一种explorer packet叫做Spanning Tree Explorer(STE) packet,也叫Single-Route Explorer(SRE) packet.ARE packet可以导致多个包到达目标设备,增加了额外的流量.源路由网桥运行STA来计算和转发STE packet,只从指定端口转发出去.源路由网桥所采用的STA多为IBM的版本而不是IEEE版本和老的DEC版本.Cisco Catalyst只使用IBM的版本

Source-Route Transparent Bridging

在一些环境里,端用户可能不需要使用软件建立RIF,在这样环境下,源路由网桥可以配置成2种形式的桥接:源路由和透明.有时也叫做SRT(Source-Route Transparent)桥接.SRT网桥查找Token Ring帧头部信息中一个特殊的位叫做RII(routing information indicator).RII实际上是目标MAC地址的第一位.当设置了这个位以后,暗示帧里包含的有RIF,因此帧被源路由桥接
相反的,没有设置RII的话,SRT网桥将透明的对这个帧进行桥接

Source-Route Translational Bridging

当以太网和Token Ring要在同一环境中实现的时候,就要用到路由器.然而一旦用到路由器的话,以太网和Token Ring上的设备就处于不同的逻辑网段了.如果你不想这么做,就可以用SRT/LB(Source-Route Translational Bridge).SRT/LB会很繁忙,因为它要在以太网这边实现透明桥接,又要在Token Ring这边实现源路由桥界
如果需要的话SRT/LB还能互相翻译以太网和Token Ring的帧
Cisco Catalyst如果没有外部路由器或route-switch模块的话就不能支持SRT/LB[/url]

红头发

Pt.4 Virtual LANs

随着网络的发展,出现了一种叫做VLAN的新技术.VLAN打破了物理位置的限制,增加了网络的安全性等等.还可以利用trunk把VLAN延伸到多个交换机上去

VLAN Defined

还可以把VLAN定义为广播域,处于同一个VLAN里的设备就处于同一个广播域,如下图,Catalyst 1900上的2个VLAN,每个VLAN分别为1个广播域:

VLAN 1和VLAN 2是不可以互相通信的
2种划分VLAN的方法:静态(static)和动态(dynamic)

Static VLANs

静态VLAN是基于端口划分的.管理员可以根据需要,决定哪些端口处在特定的VLAN里

Dynamic VLANs

动态VLAN是指端口动态自行决定自己属于哪个VLAN,比如通过VMPS(VLAN Management Policy Server)对MAC地址和VLAN之间做个映射

Trunking

假如我们要把VLAN延伸到几个交换机上去怎么办?trunk允许多个VLAN流量信息通过一条物理连接相互传送.经过trunk的VLAN信息都被打上tag,标明VLAN ID,如下图:


Trunking over Fast Ethernet and Gigabit Ethernet

trunk线路至少要是快速以太网(以太网不行),2种tag类型如下:
1.Inter-Switch Link(ISL)
2.802.1Q(dot1q)
ISL是Cisco私有的,802.1Q为IEEE开发,并不是所有的Catalyst都支持802.1Q
trunk是通过线路模块上的ASIC(Application-Specified Integrated Circuit)实现的,是基于硬件的
ISL只支持快速以太网和千兆以太网;而802.1Q不仅仅支持这些,还支持FDDI和Token Ring等等

VLANs and the Spanning Tree Protocol

如果在大型网络中实现多个VLAN的话,STP的随意性可能会造成一些不合需要的拓扑结构.如下图:

粗线部分为STP生成的线路,PC 1要访问Server 1的话要经过根桥才能访问;对于PC 2访问Server 2是一样的.这显然是一个不合理的结构.其中一个解决方案是把和Server 1相连的交换机作为根桥,如下图:

PC 1访问Server 1的问题得到解决,但是PC 2的问题又出来了.为了解决这个问题,Cisco实现了一套每个VLAN一个STP的版本,它可以根据不同的VLAN选择不同的转发路径.每个VLAN上一个单独是STP实例,这样刚才的问题就得到了很好的解决,如下图:


Trunking to Routers

VLAN间(inter-VLAN)通信需要用到层3设备比如路由器,如下图:

但是假如你有100个VLAN,路由器没有足够多的接口来提供VLAN间通信怎么办?这时就要用到单臂路由(router on a stick或one-armed routing),优点是节约了路由器的接口,缺点是接口不一定有足够的带宽来处理VLAN间的通信,如下图:


Trunking to Servers

假如一种全局性的服务比如email服务器,想要为每个VLAN里的用户提供email服务.但是假如你把email服务器放在一个单独的VLAN里的话,其他VLAN想要访问该服务的话,就必须经过路由器的路由,这种情况下将产生延时(latency).如下图:

VLAN A的用户必须经过路由器才能访问到VLAN B里的服务器.这样增加了路由器的负担和trunk线路的流量
Cisco把ISL技术许可给一些厂商比如Sun,IBM和Intel等,允许它们的产品的NIC上支持ISL.这样,服务器就能够读取帧的ISL标签,允许服务器在一个连接上可以连接多个VLAN.如下图:

红头发

Pt.5 Small and Medium-Sized Catalyst Switches

Catalyst 1900

Catalyst 1900系列是Cisco Catalyst最低端的产品.1900系列有2种软件版本:常规(regular)版和企业(enterprise)版.常规版只提供些基本的特性,比如VLAN的划分,cut-through交换等;企业版增加了一些高级特性,比如Fast EtherChannel和在快速以太网端口上的ISL trunk等.企业版的在型号后面带有EN标记
根据物理版本的划分又有3种不同的型号.每个版本都有1个AUI(attached user interface)和2个快速以太网端口.Catalyst 1912有12个以太网端口(10Mbps);而Catalyst 1924有24个以太网端口;Catalyst 1924C有24个以太网端口和,并且在其中的一个快速以太网端口上使用的是光纤(fiber)SC连接器
下图就是Catalyst 1924前端视图:


后端视图如下:

Catalyst 1900系列的配置是十分简单的,可以通过类似Cisco IOS的CLI(command line interface)进行配置;或者通过基于web浏览的web接口进行配置
Catalyst 1900系列的一些特性包括:
1.可以升级到企业版
2.可以在以太网或快速以太网端口用全双工模式操作
3.拥塞控制特性,包括基于IEEE 802.3X的流控制(flow control)
4.可以基于web方式的管理
5.基于每个端口的广播风暴(broadcast storm)的控制
6.支持Cisco 600-W的冗余AC电源系统,提供备份电源
7.bridge table中可以支持多达1024个MAC地址
8.支持Telnet和SNMP(Simple Network Management Protocol)
9.支持4组嵌入式的远程监视(RMON):history,alarm,event和statistics
等等

Catalyst 2820

Catalyst 2820系列和Catalyst 1900系列拥有相似的结构,但是它在高度上是Catalyst 1900系列的近2倍,它有24个10Mbps的RJ-45的以太网端口和1个AUI的10Mbps的以太网端口,并且具有高速的up-link bay
目前Catalyst 2820系列有2种型号:Catalyst 2822和Catalyst 2828.区别是Catalyst 2822的bridge table支持2048个MC地址,而Catalyst 2828支持8192个MAC地址
Catalyst 2820系列和Catalyst 1900系列最明显的区别是前者具有uplink bay.它能接受FDDI,CDDI和ATM等端口和100Mbps模块
Catalyst 2820系列拥有的特性和Catalyst 1900系列拥有的特性差不多

Catalyst 2900XL Series

Cisco介绍Catalyst 2900XL系列是在Catalyst 5000系列之后Catalyst 5000系列其中的一种型号叫Catalyst 2900,但是这个Catalyst 2900和Catalyst 2900XL系列无任何关系.Catalyst 2900XL系列运行的软件是Cisco IOS;而Catalyst 5000系列用的是它自己的操作系统
Catalyst 2900XL系列有3.2Gps的底板(backplane,即机箱内部,在接口处理器或接口卡与数据总线和能源分布总线之间的物理连接);Catalyst 5000系列的底板为1.2Gbps.如下图,就是Catalyst 2900XL系列后端视图:

Catalyst 2924XL的前端视图如下图:

下面是Catalyst 2900XL系列的一些汇总信息:

Catalyst 2900XL系列和之前的Catalyst 1900系列,Catalyst 2820系列相比更为高级,但是价格比它们更贵,比Catalyst 5000系列稍为便宜
Catalyst 2900XL系列根据物理版本可以划分为模块化型号和非模块化型号.模块化的带有字母M标记
Catalyst 2900XL系列可以通过基于web的方式或在IOS下配置
Catalyst 2900XL系列的特性如下:
1.10BaseT/100BaseTX端口
2.拥有4Mb的共享内存
3.100BaseT上的全双工操作
4.Fast EtherChannel技术
5.基于web管理的接口
6.支持Telnet和SNMP
7.支持IOS管理
8.默认配置存储在闪存(flash memory)中
9.基于端口的广播风暴的管理
10.底板速率为3.2Gps,可以每秒转发近120万的包(packet)

Catalyst 3000 Series

Catalyst 3000系列采用的架构和其他系列有很大的区别.多个Catalyst 3000系列的交换机可以堆叠(stack) 在一起形成一个更大的交换机
Catalyst 3000系列有3种型号,它们都是模块化(modular)的.有2种modular bay类型:regular expansion bay,而flexslot expansion bay可以接受regular expansion bay或一个3011 WAN模块
Catalyst 3000有16个以太网端口和2个expansion bay;Catalyst 3100有24个以太网端口和1个flexslot;而Catalyst没有固定(fixed)端口,1个flexslot和6个regular expansion slot
所有的Catalyst 3000系列的底盘(chassis)在堆叠端口模块(Stackport Module)背后都有1个modular bay.堆叠端口模块有1个私有的端口用做堆叠用途,这个端口看上去有点像SCSI-2连接器.假如只有2个交换机需要堆叠,它们可以通过堆叠模块端口连接在一起;如果多于2个(最大8个)要堆叠,就要购买Catalyst Matrix,Catalyst Matrix是带有SCSI-2 端口的一个盒子
3011 WAN模块可以放置在Catalyst 3100和Catalyst 3200的flexslot上.它是基于Cisco 2503路由器的,有2个高速串行接口(serial interface)和1个ISDN BRI接口.使用的是Cisco 2500系列的路由器的IOS镜象文件,IOS Release 11.1(6)或更高.3011 WAN模块对于需要串行连接但是又不想购买费用稍高的路由器的小型办公室是十分有用的

Catalyst 3900 Series

Catalyst 3900有20个固定的Token Ring端口和一个double-wide expansion bay,它能装下2个single-wide expansion card或者1个double-wide expansion card.另外,Catalyst 3900也是一种可堆叠的交换机,支持4到8个交换机的堆叠.Catalyst 3900拥有源路由桥接(SRB),源路由交换(source-route switching,SRS)和源路由透明桥接(SRT)的能力.Catalyst 3900还支持TokenChannel.TokenChannel有点类似Fast EtherChannel和EtherChannel,把端口捆绑在一起,所以可以产生256Mbps的吞吐量
Catalyst 3900的double-wide expansion slot能够接收ISL uplink模块,这就允许Token Ring VLAN被trunk到更大型的Catalyst 5000系列或者另一个Catalyst 3900上去.另外还有一个双端口的ATM expansion module用来连接到ATM骨干上去
另外一种型号Catalyst 3920是最后一款Catalyst Token Ring交换机,它有24个固定的Token Ring端口和一个集成的Stackport Module.这就允许可以堆叠8个Catalyst 3920,多达192个Token Ring端口

Catalyst 4000 Series

目前有2种型号:Catalyst 4003和Catalyst 4912G
Catalyst 4003有3个卡槽(slot),最顶上的slot是为supervisor engine(监督引擎)保留,监督引擎是交换机的大脑,负责绝大多数的交换任务.剩余的2个slot可以装一些line card.Catalyst 4000系列使用的是和Catalyst 5000系列相同的操作系统
Catalyst 4000系列是支持Gigabit Ethernet的最低型号.目前有6端口和18端口的2种line card用于Catalyst 4003底盘
Catalyst 4912G支持多达12个GBIC(Gigabit Ethernet Interface Controller).GBIC是千兆以太网端口的小型模块.保持模块化的目的是为了允许组织根据距离需要,实现不同的千兆物理介质.Catalyst 4912G的底板为24Gbps,这就保证了带宽不会超额
Catalyst 4000系列的特性包括在所有的端口,VLAN和trunking端口上支持Fast EtherChannel和Gigabit EtherChannel.它还支持协议的过滤,它通过连接到它本身的端节点来探测正在使用的协议和决定在那些端口上转发哪些广播.比如只支持IP的节点将不会接收到IPX的广播
GBIC的出现有2种版本,1000BaseSX GBIC模块用于短距,小于2公里;1000BaseLX/LH GBIC模块用于长距离,长达10公里
如下图就是带有Gigabit Ethernet和10/100Mbps以太网端口的Catalyst 4003:


下面是一些Catalyst 4000系列的模块图:

红头发

Pt.6 the Catalyst 5000 Series

Catalyst 5000系列属于Cisco交换类的旗舰产品.目前它支持Gigabit Ethernet,Fast EtherChannel,ATM OC-3和ATM OC-12

Supervisor Engine

Catalyst 5000系列的交换机的底盘支持许多line card.底盘本身是不具备帧交换的能力的.单独的line card叫做supervisor engine,它是交换机的大脑,负责交换机几乎所有的高层功能,还负责到底板的数据包的仲裁,帧的转发决定,和大多数SNMP进程
Cisco目前有3种类型的supervisor engine,一般叫做supervisor engine I,supervisor engine II和supervisor engine III.supervisor engine I是使用25MHz的Motorola 68EC040处理器.它有2个使用RJ-45连接器的100Mbps-only的交换端口,1个console端口用于CLI(命令行)的访问和2个MII(media independent interface)可以用来替代100Mbps-only的交换端口.它的特性还包括支持VLAN,IGMP/CGMP,端口的安全管理和广播的控制
底板(也叫背板,backplane)的速率可达1.2Gbps,如下图:

supervisor engine II使用的是和supervisor engine I相同的处理器和相同的端口配置.特性包括可以考虑作为冗余的supervisor engine放在Catalyst 5000系列的底板,要求能够热备份(hot standby).即如果一个supervisor engine II出错以后,可以自动切换到冗余的supervisor engine II进行工作.Catalyst 5500支持这一特性.supervisor engine II如下图:

active LED暗示了当前的是作为主要的supervisor engine
supervisor engine III比之前2种都要高级很多.它使用基于RISC的150MHz的R-4700处理器.supervisor engine III的端口配置是模块化的.有不同的uplink模块可以选择,之前2种所具备的特性它都具备,如下图:

只有supervisor engine III支持net flow feature card(NFFC)或多层交换(multilayer switching),也只有supervisor engine III支持Gigabit EtherChannel
下图是3种supervisor engine的一个特性比较:

下图是memory数量的比较:


Catalyst 5000 Line Cards

一些Ethernet line card如下图:



有2种类型的10Mbps Ethernet line card:switched Ethernet line card和group switched Ethernet line cards.后者有点像把1个10Mbps的Hub放在1个card上,再放到底板里.48口的Ethernet line card使用的是Telco连接器(由于card上空间的问题)
Fast Ethernet的line card也分为switched和group switched.并且有些能够支持Fast EtherChannel和ISL而有的不支持.下图是各种Fast Ethernet的line card的特性比较:

Catalyst 5000系列可以通过FDDI translational bridge line card支持FDDI line card.FDDI line card可以使用各种连接器.一般使用MIC多模光纤(media interface connector multimode fiber)连接.不过Cisco也支持单模光纤(single-mode fiber)和铜(copper)介质.如下图:

所有的帧都经过translational bridge的方式桥接到背板,从1个端口交换到另1和端口的时候将产生延时.Catalyst 5000不是用来作为FDDI交换机而设计的,所以它一般作为FDDI环的末端节点
ATM LAN Emulation(LANE) line card用来连接ATM骨干(backbone)到WAN.如下图:

RSM(Route-Switch module)可以从VLAN到VLAN的对帧进行路由.当前连接到背板的极限速率为400Mbps.RSM有自己的CLI,并且是真正的IOS.如下图:

RSM有它自己的NVRAM,Flash Memory,RAM和处理器.它独立于交换机上其他的line card.RSM实际想可以想象成是1个路由器接口,它具有IOS的所有路由服务特性.RSM还有个可选模块叫做VIP模块(versatile interface processor module)和VIP-2模块.RSM上的VIP模块允许交换机可以有直连到底盘的WAN接口.RSM加上VIP模块就可以当作路由器使用了
还有一些诸如Gigabit Ethernet line card和Catalyst 8510 line card这里就不做介绍

Catalyst 2900 Series

Catalyst 2900系列是Catalyst 5000系列的一部分.Catalyst 2900系列有2个卡槽(slot).除了Catalyst 2948G,其他的都采用的是supervisor engine I,背板速率为1.2Gbps.Catalyst 2900系列有5种型号:Catalyst 2901,Catalyst 2902,Catalyst 2926,Catalyst 2926G和Catalyst 2948G.Catalyst 2901和Catalyst 2902已经停产.Catalyst 2948G如下图:

Catalyst 2900系列的各种型号特性的比较如下:


Catalyst 5000

Catalyst 5000的背板有5个slot,最顶的slot安装supervisor engine,推荐安装supervisor engine I或supervisor engine II.因为Catalyst 5000的背板不支持supervisor engine III的3.6Gbps的速率.如下图:

Catalyst 5000有双热交换(hot-swappable)电源支持来提供冗余,所有的line card也是基于热交换的(热交换类似热插拔)

Catalyst 5002

Catalyst 5002只有2个slot,不像Catalyst 2900系列,它的line card是可插拔的,支持3种supervisor engine,如下图:


Catalyst 5500

Catalyst 5500的底盘是整个Catalyst 500系列中最大的,总共有13个slot,如下图:

最顶的slot为主要的supervisor engine保留,往下1格的slot可以为次要supervisor engine保留也可以用来安置line card.slot 13为LightStream 1010 ATM switch processor(ASP)或Catalyst 8500 switch route processor(SRP)保留.如果没有ASP和SRP的话,不用于安置line card

Catalyst 5505

Catalyst 5505和Catalyst 5000一样,也有5个slot.它们大致相似,区别在于背板.Catalyst 5505的背板速率可达3.6Gbps,所以它能够安装supervisor engine III而且它不支持supervisor engine I.Catalyst 5505也支持多个supervisor engine作为冗余.如下图:

Catalyst 5509

Catalyst 5509有9个slot.背板速率可达3.6Gbps,所以它能够安装supervisor engine III,而且它不支持supervisor engine I.Catalyst 5509系列是高密度Gigabit Ethernet安装的理想解决方案,因为它支持多达38个千兆以太网端口.并且也支持热交换电源备份和冗余supervisor engine

红头发

Pt.7 Configuring the Catalyst 5000 Series Switch

对Catalyst 5000系列的交换机进行配置可以有2种方式,可以通过购买一个叫做CWSI(Cisco Works for Switched Internetworks)的产品或者通过CLI进行配置.CLI可以通过交换机的console port用类似HyperTerminal的终端程序进行访问,把线缆的一端连接到PC的com口,另一端连接到交换机的console port即可

Introduction to the Catalyst Operating System

Catalyst 5000系列使用的操作系统并不是IOS,而是CatOS(Catalyst Operating System).当交换机电源启动以后,会运行正常的bootstrap程序并且进行POST测试.下面的输出摘自使用supervisor engine II的Catalyst 5000:
ATE0
ATS0 = 1
Catalyst 5000 Power Up Diagnostics
Init NVRAM Log
LED Test
ROM CHKSUM
DUAL PORT RAM r/w
RAM r/w
RAM address test
Byte/Word Enable test
RAM r/w 55aa
RAM r/w aa55
EARL test
BOOTROM Version 2.1, Dated Apr 6 1998 16:49:40
BOOT date: 00/00/00 BOOT time: 06:10:23
SIMM RAM address test
SIMM Ram r/w 55aa
SIMM Ram r/w aa55
Start to Uncompress Image . . .
IP address for Catalyst not configured
BOOTP will commence after the ports are online
Ports are coming online . . .
Cisco Systems Console
Enter password:
Mon Apr 14 1999 13:22:11 Module 1 is online
Mon Apr 14 1999 13:22:11 Module 2 is online
Mon Apr 14 1999 13:22:11 Module 3 is online
Mon Apr 14 1999 13:22:11 Module 4 is online
如果是交换机的第一次启动,或者假如交换机的配置文件被擦除了,交换机将发出BOOTP请求,RARP将解析它的IP地址,如下:
Sending RARP request with address 00:40:02:24:25:ff
Sending bootp request with address: 00:40:02:24:25:ff
Sending RARP request with address 00:40:02:24:25:ff
Sending bootp request with address: 00:40:02:24:25:ff
Sending RARP request with address 00:40:02:24:25:ff
Sending bootp request with address: 00:40:02:24:25:ff
Sending RARP request with address 00:40:02:24:25:ff
Sending bootp request with address: 00:40:02:24:25:ff
Sending RARP request with address 00:40:02:24:25:ff
Sending bootp request with address: 00:40:02:24:25:ff
Sending RARP request with address 00:40:02:24:25:ff
Sending bootp request with address: 00:40:02:24:25:ff
Sending RARP request with address 00:40:02:24:25:ff
Sending bootp request with address: 00:40:02:24:25:ff
Sending RARP request with address 00:40:02:24:25:ff
Sending bootp request with address: 00:40:02:24:25:ff
Sending RARP request with address 00:40:02:24:25:ff
Sending bootp request with address: 00:40:02:24:25:ff
Sending RARP request with address 00:40:02:24:25:ff
Sending bootp request with address: 00:40:02:24:25:ff
Catalyst 5000系列的CLI有点类似Cisco路由器的CLI.同样,CatOS也有在线帮助,使用问号或者help命令查看当前可用命令和介绍,语法等信息,如下:
console>; (enable) ?
Commands:
–––––––––––––––––––––––––––––––––––––––
cd              Setdefault flash device
clear            Clear, use 'clear help' for more info
configure        Configure system from network
copy            Copy files between TFTP/module/flash devices
delete           Delete a file on flash device
dir              Show list of files on flash device
disable          Disable privileged mode
disconnect       Disconnect user session
download        Download code to a processor
enable           Enable privileged mode
format           Format a flash device
help            Show this message
history          Show contents of history substitution buffer
ping            Send echo packets to hosts
pwd             Show default flash device
quit             Exit from the Admin session
reconfirm        Reconfirm VMPS
reload           Force software reload to linecard
reset             Reset system or module
session           Tunnel to ATM or Router module
set               Set, use 'set help' for more info
-More-
-More-表示还有更多的输出,可以按回车键一次显示一行,也可以按其他键1次显示1页,或者按下q键退出查看输出
当你输出一个不正确的命令的时候,将收到提示信息,如下:
Cat5000>; (enable) hlp
Unknown command "hlp". Use 'help' for more info.
Cat5000>; (enable)
一些快捷键如下:
Ctrl-A:跳转到命令行的第一个字母
Ctrl-B或左方向键:把光标向左移动1个字母
Ctrl-C:退出
Ctrl-D:删除光标处的文字
Ctrl-E:跳转到命令行末端
Ctrl-F或右方向键:把光标向右移动1个字母
Ctrl-K:删除光标到该行末尾的内容
Ctrl-L;Ctrl-R:另起1行,重复当前命令
Ctrl-N或下方向键:输入历史缓存里的下一条命令
Ctrl-P或上方向键:输入历史缓存里的上一条命令
Ctrl-U;Ctrl-X:删除光标到该行开头的内容
Ctrl-W:删除最后输入的一个单词
Esc-B:把光标向后移动一个单词
Esc-F:把光标向前移动一个单词
设置终端命令为24行,如下:
Cat5000>; (enable) set length 24
Screen length for this session set to 24.
Cat5000>; (enable)

Catalyst Modes

Catalyst Modes

当交换机初次启动,或者配置文件被擦除以后,交换机会出现登陆密码提示,如下:
Cisco Systems Console

Enter password:
默认口令为回车键,输入后进到用户模式,提示符为console>;,输入enable命令进如特权模式,提示符变为console>;(enable).在特权模式下,可以通过set等命令对交换机的配置进行修改.set命令相当于IOS里的配置模式

the Banner

当登陆到交换机的时候,会有banner信息提示,最常用的banner信息就是MOTD(message of the day),命令如下:
Cat5000>; (enable) set banner motd [beginning delimiter]
motd banner
[end delimiter]
delimiter前后必须一样

Automatic Session Logout

交换机有个令人烦恼的功能,自动注销功能:当你在一定时间内无任何动作,即所谓的空闲(idle),用户将自动注销登陆,默认这个空闲时间为5分钟,修改这一默认时间的命令为set logout [min],例子如下:
Cat5000>; (enable) set logout 20
Sessions will be automatically logged out after 20 minutes of idle time.
Cat5000>; (enable)

Supervisor Engine's Console Baud Rate

默认的波特率(baud rate)为9600,可以通过如下命令进行修改:
Cat5000>; (enable) set system baud [baud rate]
可选baud rate为600,1200,2400,4800,9600,19200和38400

Terminal Message Logging

当有一点令人觉得讨厌的是,当你在console工作的时候,终端信息将时不时的显示出来,打断你的命令输入(即,输入到一半,命令被终端信息给分离打断了).可以使用set logging命令用来配置该信息的格式和位置,默认是发送终端信息到console,如下:
Cat5000>; (enable) set logging console enable
System logging messages will be sent to the console.
Cat5000>; (enable)
再次输入set logging console enable的时候,终端信息将发送到当前终端会话,如下:
Cat5000>; (enable) set logging console enable
System logging messages will be sent to the current login session.
Cat5000>; (enable)
把logging文件存放在TFTP服务器上,并且服务器的IP地址为172.16.1.10,如下:
Cat5000>; (enable) set logging server enable
System logging messages will be sent to the configured syslog
servers.
Cat5000>; (enable) set logging server 172.16.1.10
172.16.1.10 added to System logging server table.
Cat5000>; (enable)
参观当前logging设置,如下:
Cat5000>; (enable) show logging
Logging console: enabled
Logging server: enabled
{172.16.1.10}
Current Logging Session: enabled

Setting Passwords

设置初始的用户模式的密码,使用set password命令,然后将提示输入旧密码,接着输入2次新密码,如下:
Cat5000>; (enable) set password
Enter old password: [old user mode password]
Enter new password: [new user mode password]
Retype new password: [new user mode password]
Password changed.
Cat5000>; (enable)
设置特权模式的密码,使用set enablepass命令,如下:
Cat5000>; (enable) set enablepass
Enter old password: [old enable password]
Enter new password: [new enable password]
Retype new password: [new enable password]
Password changed.
Cat5000>; (enable)
给交换机设置主机名,使用set system name命令,如下:
console>; (enable) set system name yUmi520
System name set.
yUmi520>; (enable)

the Interface sc0

set interface sc0命令设置sc0接口的VLAN信息,IP地址,子网掩码和广播地址,如下:
console>; (enable) set interface sc0 [VLAN] [ip_address [subnet-mask] [broadcast]]
子网掩码可以选,如果不设置的话就采用默认的掩码,比如:
console>; (enable) set interface sc0 172.16.100.5
默认sc0接口的VLAN是VLAN 1,并且默认的IP地址,子网掩码和广播地址都为0.0.0.0.当IP地址设置为0.0.0.0以后,交换机将自动启用BOOTP和RARP来获取IP地址.使用show module命令查看sc0接口的MAC地址,如下:

注意上面输出中的斜线部分那行的MAC地址范围是supervisor engine(slot1)的MAC地址范围,将用于sc0的BOOTP和ARP请求
配置sc0接口的路由使用set ip route命令,如下:
Cat5000>; (enable) set ip route [destination-network] [gateway-address]
例子,创建到网络172.16.2.0的路由,并指定172.16.1.1作为网关.如下图:

Console>; (enable) set ip route 172.16.2.0 172.16.1.1
Route added.
但是这个命令有个问题是,它只指定了到达网络172.16.2.0的路由,假如该网络包含其他内网或Internet的话,手动一个个的指定是比较麻烦的.于是,多数情况下,为了方便,都会使用如下命令:
Cat5000>; (enable) set ip route default [default-gateway-address] [primary]
其中可选参数primary为当存在多个网关的时候,指定其中1个为主网关.如果指定了多个网关,但是没有使用primary参数的话,最后输入的那个网关作为主网关.当主网关出问题以后,交换机会自动查找备用网关.最多可以配置3个默认网关,除了Catalyst 4000和Catalyst 2926G只能配置1个.例子如下图:

Cat5000>; (enable) set ip route default 172.16.1.1 primary
Route added.
Cat5000>; (enable) set ip route default 172.16.1.2
Route added.
验证配置的路由信息使用show ip route命令,如下:
Cat5000>; (enable) show ip route
Fragmentation    Redirect     Unreachable
––––––   ––––     ––––
enabled         enabled        enabled
The primary gateway: 172.16.1.1
Destination      Gateway        Flags       Use      Interface
––––––   ––––      ––––   –––     ––––
default         172.16.1.1        G          0          sc0
default         172.16.1.2        G          0          sc0
172.16.1.0      172.16.1.5         U         0          sc0
default          default          U H        0          sl0
Cat5000>; (enable)
如果你要从sc0的路由表中清除一条路由或网关的话,使用如下命令:
Cat5000>; (enable) clear ip route default 172.16.1.2
Route deleted.
Cat5000>; (enable) show ip route
Fragmentation    Redirect     Unreachable
––––––   ––––     ––––
enabled         enabled        enabled
The primary gateway: 172.16.1.1
Destination      Gateway        Flags       Use      Interface
––––––   ––––      ––––   –––     ––––
default         172.16.1.1        G          0          sc0
default         172.16.1.2        G          0          sc0
default          default          U H        0          sl0

IP Permit Lists

IP permit list是包含了允许访问sc0口的IP地址,这样增加了安全性,默认这一特性是关闭的,设置IP permit list的步骤如下:
1.启用或关闭IP permit list:
Cat5000>; (enable) set ip permit [enable | disable]
2.设置允许访问sc0的IP地址:
Cat5000>; (enable) set ip permit [ip_address subnet-mask]
3.验证IP permit list:
Cat5000>; (enable) show ip permit
例子,允许节点172.16.3.10和网络172.16.2.0内的所有节点访问sc0,如下图:

Cat5000>; (enable) set ip permit enable
IP permit list enabled.
WARNING!! IP permit list has no entries.
Cat5000>; (enable) set ip permit 172.16.3.10
172.16.3.10 added to IP permit list.
Cat5000>; (enable) set ip permit 172.16.2.0 255.255.255.0
172.16.2.0 with mask 255.255.255.0 added to IP permit list.
Cat5000>; (enable)
接下来验证IP permit list,如下:
Cat5000>; show ip permit
IP permit list feature enabled.
Permit List          Mask
––––––    –––––
172.16.3.10
172.16.2.0        255.255.255.0
Denied IP Address   Last Accessed Time         Type
––––––    –––––––––      –––––
172.16.3.1          03/20/99,12:45:20          Telnet
Cat5000>;
要清除IP permit list中的某条条目或者所有条目,使用如下命令:
Cat5000>; (enable) clear ip permit [ip_address or all] [subnet-mask(if necessary)]
例子:
Cat5000>; (enable) clear ip permit all
IP permit list cleared.
WARNING!! IP permit list is still enabled.
Cat5000>; (enable)

DNS and an IP Host Table

配置交换机使用DNS服务器,使用set ip dns命令,首先要启用DNS,如下:
Cat5000>; (enable) set ip dns enable
DNS is enabled.
Cat5000>; (enable)
默认是disable的,接下来设置DNS服务器的IP地址,如下:
Cat5000>; (enable) set ip dns server 172.16.1.6
198.92.30.32 added to DNS server table as primary server.
Cat5000>; (enable) set ip dns server 172.16.1.7
171.69.2.132 added to DNS server table as primary server.
Cat5000>; (enable) set ip dns server 172.16.1.8 primary
171.69.2.143 added to DNS server table as primary server.
DNS服务器表里的条目最多可以有3条,参数primary指定该地址为主要的DNS服务器地址
可以使用show ip dns查看当前DNS设置,如下:
Cat5000>; show ip dns
DNS is currently enabled.
The default DNS domain name is: ar-inc.com
DNS name server        status
–––––––       –––
172.16.1.6
172.16.1.7             primary
172.16.1.8
Cat5000>;
还可以设置主机表,使用set ip alias命令,如下:
Cat5000>; (enable) set ip alias [name] [ip_address]
该命令添加一条条目到主机表中
验证主机表使用show ip alias [name]命令.例子如下:
Cat5000>; (enable) set ip alias Cat-1 172.16.1.1.
IP alias added.
Cat5000>; (enable) set ip alias Cat-2 172.16.1.2
IP alias added.
Cat5000>; (enable) set ip alias Cat-3 172.16.1.3
IP alias added.
Cat5000>; (enable) set ip alias Cat-4 172.16.1.4
IP alias added.
Cat5000>; (enable) show ip alias
default       0.0.0.0
cat-1        172.16.1.1
cat-2        172.16.1.2
cat-3        172.16.1.3
cat-4        172.16.1.4
Cat5000>; (enable)
上面输出里的default 0.0.0.0通常代表默认路由

the Interface sl0

为了能够远程拨号访问交换机,sl0接口允许在sonsole口上建立SLIP(Serial Line Internet Protocol)连接.使用set interface sl0来配置sl0口运行SLIP,如下:
Cat5000>; (enable) set interface sl0 [slip_address] [destination_address]
如果要使得console口接受SLIP呼叫的话,还要使用slip attach命令.例子如下:
Cat5000>; (enable) set interface sl0 172.16.1.1 172.16.1.2
Interface sl0 slip and destination address set.
Cat5000>; (enable) slip attach
Console Port now running SLIP.
可以使用show interface命令,查看sl0和sc0口的汇总信息,如下:
sl0: flags = 51<UP,POINTOPOINT,RUNNING>;
slip 172.16.1.1 dest 172.16.1.2
sc0: flags = 63<UP,BROADCAST,RUNNING>;
vlan 1 inet 172.16.100.1 netmask 255.255.255.0 broadcast
172.16.100.255
Cat5000>; (enable)

the Reset Command

如果要重启交换机,使用reset system命令,当然也可以简写为reset.当然也可以单独的重启某个模.比如重启slot3上的line card,如下:
Cat5000>; (enable) reset 3
This command will reset module 3 and may disconnect your telnet session.

Do you want to continue (y/n) [n]? y
Resetting module 3 . . .
Cat5000>; (enable) 04/06/1999,18:53:35:SYS-5:Module 3 reset from telnet/172.16.1.5/
Cat5000>; (enable) 04/06/1999,18:53:57:SYS-5:Module 3 is online

the Configuration File

Catalyst 5000不像路由器,配置文件不存在running-config和startup-config之分,当RAM中的配置文件变动以后,自动同步到NVRAM中去.配置文件是以文本文件的形式保存的,可以使用show config命令查看配置文件

Backing Up and Restoring a Configuration File

对于supervisor engine I和II,把配置文件备份到TFTP服务器上,使用write network命令,如下:
Cat5000>; (enable) write network
IP address or name of remote host? 172.16.1.10
Name of configuration file? switch.txt
Upload configuration to config-file-name on address (y/n) [n]? y
. . . . .
. . . . . . . . . .
. . . . . . . . . .
. .
/
Finished network upload. (124356 bytes)
Cat5000>; (enable)
对于supervisor engine III或者Catalyst 4000,使用copy config tftp命令,如下:
Cat5000>; (enable) copy config tftp
IP address or name of remote host? 172.16.1.10
Name of configuration file? switch.txt
Upload configuration to config-file-name on address (y/n) [n]? y
. . . . .
. . . . . . . . . .
. . . . . . . . . .
. .
/
Finished network upload. (124356 bytes)
Cat5000>; (enable)
要从TFTP服务器上恢复备份配置文件的话,对于supervisor engine I和II,使用configure network命令,如下:
Cat5000>; (enable) configure network
IP address or name of remote host []? 172.16.1.10
Name of file to copy from []? switch.txt
Configure using tftp:switch.txt (y/n) [n]? y
/
Finished network download. (124356 bytes)
对于supervisor engine III或Catalyst 4000,使用copy tftp config命令,如下:
Cat5000>; (enable) copy tftp config
IP address or name of remote host []? 172.16.1.10
Name of file to copy from []? switch.txt
Configure using tftp:switch.txt (y/n) [n]? y
/
Finished network download. (124356 bytes)
要注意的是这些是supervisor engine的配置文件而不是RSM或ATM LANE card的配置文件.这些模块运行的是IOS并且有着自己的配置文件

Managing the Catalyst IOS Files

对CatOS的版本进行升级,推荐根据以下几个步骤进行升级:
1.先决定你要进行升级的版本号
2.建立一个TFTP服务器,把新的CatOS放在特定目录
3.备份当前旧的CatOS.可以使用show version命令查看版本号.如下:
Cat5000>; (enable) sh ver
WS-C5000 Software, Version McpSW: 4.3(1a) NmpSW: 4.3(1a)
Copyright (c) 1995-1998 by Cisco Systems
NMP S/W compiled on Nov 23 1998, 15:22:34
MCP S/W compiled on Nov 23 1998, 15:19:30
System Bootstrap Version: 3.1.2
Hardware Version: 2.0 Model: WS-C5000 Serial #: 010847706
(略)
备份到TFTP服务器上,对于supervisor engine I和II,使用upload命令,对于supervisor engine III,使用copy flash tftp命令.如下:
Cat5000>; (enable) upload 172.16.10.1 sup-412a.img
Upload Module 1 image to sup-412.img on 172.16.10.1 (y/n) [n]?
y -
Finished network upload. (2718432 bytes)
Cat5000>; (enable)
4.从TFTP服务器上下载新的CatOS镜象文件,对于supervisor engine I和II,使用download命令,对于supervisor engine III,使用copy tftp flash命令.如下:
Cat5000>; (enable) copy tftp flash
Upload Module 1 image to sup-412.img on 172.16.10.1 (y/n) [n]?
y -
Finished network upload. (2718432 bytes)
Cat5000>; (enable)
5.至此新的CatOS已经下载到Flash中去了,使用reset命令重启交换机,升级过程完毕
要注意的是supervisor engine I和II只有1个区域用来存放闪存,但是对于supervisor engine III,有3个区域,如下图:

复制文件的语法如下:
Cat5000>; (enable) copy [source-memory-area]:[file-name] [destination-memory-area]
复制的过程中还可以定义新的文件名,如下:
Cat5000>; (enable) copy [source-memory-area]:[file-name] [destination-memory-area]:[new-name]
例子如下图:

Cat5000>; (enable) copy bootflash:sup-412a.img slot0:
Supervisor engine III还有个特性是闪存区域还可以存放配置文件,如下:
Cat5000>; (enable) copy config flash
Flash device [bootflash]? bootflash:
Name of file to copy to [test_image]? Switch.txt
Upload configuration to bootflash:switch.txt
678324 bytes available on device slot1, proceed (y/n) [n]? y
. . . . . . . . .
. . . . . . . . .
. . . . . . . . .
. . . . . . . .
.
/
Configuration has been copied successfully. (175664 bytes).
Cat5000>; (enable)

the Boot System Command

可以使用set boot system命令来定义启动时加载的文件,如下:
Cat5000>; (enable) set boot system flash [memory area]:[filename]
比如,要让交换机下次启动的时候,从slot0的PCMCIA卡加载sup3-441.img到操作系统中去,如下:
Cat5000>; (enable) set boot system flash slot0:sup3-441.img

Configure the Ethernet, FastEthernet, and Gigabit Ethernet Ports

可以给Ethernet,FastEthernet和Gigabit Ethernet端口分配一个名字,使用set port name命令,如下:
Cat5000>; (enable) set port name [module_number/port_number] [name_string]
例子如下:
Cat5000>; (enable) set port name 1/1 Connection to Backbone Catalyst 5500
Port 1/1 name set.
端口到背板的访问由port priority或port level决定,3种级别为high,normal和critical.critical是不可设置的,默认级别为normal.设置命令如下:
Cat5000>; (enable) set port level [module_number/port_number] [normal | high]
例子如下:
Cat5000>; (enable) set port level 1/1 high
Port 1/1 level set to high.
Cat5000>; (enable)
有的line card同时支持10Mbps和100Mbps,可以使用set port speed来指定速率,或者让它自动与对方协商,决定自身速率.,命令如下:
Cat5000>; (enable) set port speed module_number/port_number [10/100/auto]
例子如下:
Cat5000>; (enable) set port speed 1/1 100
Port 1/1 speed set to 100 Mbps.
Cat5000>; (enable)
对于只支持10Mbps或100Mbps的Ethernet和FastEthernet的双工模式的设置(Gigabit Ethernet不支持半双工),使用set pot duplex命令,如下:
Cat5000>; (enable) set port duplex module_number/port_number [full | half]
例子如下:
Cat5000>; (enable) set port duplex 1/1 full
Port 1/1 set to full-duplex.
Cat5000>; (enable)
对于同时支持10Mbps或100Mbps的端口,默认双工模式为auto,并且这个是和端口速率的关系是绑定了的,如果端口速率设置为auto,双工模式即为auto;如果端口速率设置为10Mbps或100Mbps,双工模式默认为半双工,但是可设置成全双工
使用show port命令对设置进行验证,如下:


Working with STP

修改桥的优先级,使用set spantree priority命令,默认是32765.优先级值低的选作根桥.如下:
Cat5000>; (enable) set spantree priority [bridge_priority] [vlan]
如果没有定义VLAN,默认是VLAN 1
如下,设置VLAN 10的根桥:
Cat5000>; (enable) set spantree priority 1 10
端口作为转发端口的几个因素:port cost和port priority.设置特定某个VLAN的port cost,命令如下:
Cat5000>; (enable) set spantree portvlancost [module_number/port_number] cost [cost] [VLAN]
设置所有VLAN,如下:
Cat5000>; (enable) set spantree portcost [module_number/port_number] [cost]
例子,设置所有的VLAN的port cost为10,如下:
Cat5000>; (enable) set spantree portcost 1/1 10
Spantree port 1/2 path cost set to 10.
设置VLAN 1中的port cost为10,如下:
Cat5000>; (enable) set spantree portvlancost 1/2 cost 10 1
Port 1/1 VLANs 2-1005 have path cost 19.
Port 1/1 VLANs 1 have path cost 10.
Cat5000>; (enable)
默认所有端口的port priority的值为32,范围是1到63,值越低,就越容易被选为转发端口
设置优先级的命令,对于所有的VLAN,命令如下:
Cat5000>; (enable) set spantree portpri mod_num/port_num priority [vlans]
对于特定VLAN,如下:
Cat5000>; (enable) set spantree portvlanpri mod_num/port_num priority [vlans]
例子,设置对于所有VLAN,端口2/1的优先级为1:
Cat5000>; (enable) set spantree portpri 2/1 1
Bridge port 2/1 port priority set to 1.
Cat5000>; (enable)
设置对于VLAN 1,端口2/1的优先级为1,如下:
Cat5000>; (enable) set spantree portvlanpri 2/1 1 10
Port 2/1 vlans 1-9,11-1005 using portpri 32.
Port 2/1 vlans 10 using portpri 1
Cat5000>; (enable)
在端口处于学习和监听的时候启用转发,如下:
Cat5000>; (enable) set spantree portfast [module_number/port_number] [enable | disable]
例子,比如端口2/1和服务器直接相连,这就没必要在端口学习和监听的时候对端口进行block,如下:
Cat5000>; (enable) set spantree portfast 2/1 enable
Warning: Spantree port fast start should only be enabled on ports connected to a single host. Connecting hubs, concentrators, switches, bridges, etc. to a fast start port can cause temporary spanning tree loops. Use with caution.
Spantree port 2/1 fast start enabled.
这些参数可以通过show spantree命令来查看,如下:
Cat5000>; (enable) show spantree [module/number] [vlan_number]
例子:
Cat5000>; (enable) show spantree 2/1
Port    Vlan    Port-State    Cost     Priority    Fast-Start    Group-method
–– ––––  ––––   –––   ––––  –––––   ––––––
2/1      1     forwarding     10       32       enabled
2/1      10    forwarding     19       1        enabled
2/1      20    forwarding     19       1        enabled
2/1      30    forwarding     19       1        enabled
2/1      40    forwarding     19       1        enabled
2/1     1003   not-connected   19       1        enabled
2/1     1005   not-connected   19       1        enabled
Cat5000>; (enable)
查看VLAN 1的所有端口的Spanning Tree信息统计,如下:
Cat5000>; show spantree 1
VLAN 1
Spanning tree enabled

Designated Root                     00-40-0b-73-64-c2
Designated Root Priority               1
Designated Root Cost                 0
Designated Root Port                  1/0
Root Max Age   6 sec       Hello Time   2 sec      Forward Delay    4 sec
Bridge ID MAC ADDR               00-40-0b-73-64-c2
Bridge ID Priority                     1
(略)

红头发

Pt.8 Advanced Configurations of the Catalyst 5000 Switch

VTP

实现VLAN的2个步骤:
1.创建VLAN
2.把交换机端口分配给VLAN

2种VLAN的定义:active VLAN和transit VLAN,如下图:

如图,中间的交换机并没有分配端口给VLAN 20,数据帧只经过它的trunk端口进行穿越,所以,在中间的交换机上,VLAN 20是transit VLAN,其他的都是active VLAN
划分VLAN的时候要设置的几个参数,比如VLAN ID,用来鉴别不同的VLAN;还可以给VLAN起个名字,作为描述用途,当然该参数是可选的;把交换机端口分配在同一个VLAN ID里,就构成一个VLAN(不是根据名字划分,是根据VLAN ID).如果你的VLAN要跨越多个VLAN,注意要保持这几个交换机上的VLAN配置保持一致
VTP(VLAN Trunk Protocol)就是用来在交换机之间交换VLAN信息,使得VLAN信息保持一致.如下图:

如图,当VLAN 10和VLAN 20跨越交换机1和交换机2的时候,在设置的时候出现了一个问题,就是VLAN 10和VLAN 20的名字,弄反了.这样对排错很不利甚至会产生更长远的错误影响.VTP是在trunk line上工作的,有了VTP,它将自动修复这个错误,如下图:

修复之后如下图,VLAN名字保持一致:

目前有2种版本的VTP:版本1和版本2.默认运行的是版本1.版本1和版本2的主要差异是版本2支持Token Ring

VTP Modes

VTP的3种模式:
1.服务器模式(server mode):该模式下,可以创建,修改和删除VLAN信息,并且向外发送和转发VTP信息,对VLAN配置信息进行同步,保存配置信息到NVRAM中
2.客户模式(client mode):该模式下,不能够创建,修改和删除VLAN信息,不向外发送VTP信息,但是可以转发VTP信息,同步VLAN配置信息,不把配置信息保存在NVRAM中
3.透明模式(transparent mode):只可以本地的创建,修改和删除VLAN信息,不向外发送VTP信息,但是可以转发VTP信息,不对VLAN配置信息进行同步,把配置信息保存在NVRAM中

VTP Pruning

VTP pruning技术:用来节约带宽,减少不必要的流量.如下图:

可以看出,Switch 3不属于Red VLAN,VTP信息不会经过Switch 2到达Switch 3上去
要注意的是,VTP pruning只能工作在VTP server mode

Management Domains

管理域(或VTP domain)是一组在处于相同管理之下的交换机的集合,在VTP domain里,VTP在trunk line上发送VTP更新(update).处于同一个VTP domain里的交换机才能交换VTP更新.所以在同一个VTP domain里的交换机的VTP域名要设置成一样的
VTP域名是大小写敏感的,使用set domain name命令进行设置,如下:
console>; (enable) set vtp domain [name]
例子如下图:

Switch_A>; (enable) set vtp domain ACC
VTP domain ACC modified
Switch_A>; (enable)
在A上设置VTP域名为ACC,在B上无须设置,因为B是通过trunk line直连到A,会自动加到AAC的管理范围(但是这个方法不推荐,推荐在B上进行手动设置VTP域名)
设置VTP的工作模式,使用set vtp mode命令,默认是server模式.如下:
Switch_A>; (enable) set vtp mode [mode]
例子:
Switch_A>; (enable) set vtp mode client
VTP domain ACC modified
Switch_A>; (enable) set vlan 30
Cannot add/modify VLANs on a VTP client.
Switch_A>; (enable)
由于把VLAN 30设置为了client模式,添加新的VLAN将收到错误提示

Configuring Secure Management Domains

如果你不想把直连的新的交换机自动加到某个VTP域的管理范围内,就可以设置VTP域的密码(password).把VTP域设置一个密码,上述情况就不会发生,设置密码的时候要注意,所有在同一个VTP域里的交换机上的密码要设置成一样的.设置命令,只需要在set vtp domain [name]后加上passwd [password]就可以了,刚才的例子,如下:
Switch_A>; (enable) set vtp domain ACC passwd TobaccoRoad
Generating MD5 secret for the password ....
VTP domain ACC modified
Switch_A>; (enable)
Switch_B>; (enable) set vtp domain ACC passwd TobaccoRoad
Generating MD5 secret for the password ....
VTP domain ACC modified
Switch_B>; (enable)

Configuring VTP Version 2

默认Catalyst上是没有启用版本2的.在启用之前要先看下你的交换机是否全部支持VTP版本2.设置VTP版本2,使用set vtp v2 enable命令,如下:
Switch_A>; (enable) set vtp v2 enable
This command will enable the version 2 function in the entire management domain.
All devices in the management domain should be version2-capable before enabling.
Do you want to continue (y/n) [n]? y
VTP domain ACC modified
Switch_A>; (enable)

Configuring VTP Pruning

VTP pruning默认是没有启用的,如果在一个VTP域里启用了VTP pruning,整个VTP域里的交换机都自动进行VTP pruning,即无须在第二台交换机上进行设置VTP pruning.命令如下:
console>; (enable) set vtp pruning enable
例子:
Switch_A>; (enable) set vtp pruning enable
This command will enable the pruning function in the entire
management domain.
All devices in the management domain should be pruning-capable before enabling.
Do you want to continue (y/n) [n]? y
VTP domain ACC modified
Switch_A>; (enable)
要注意的是VTP版本1不支持VTP pruning

Verifying the VTP Settings

要查看VTP信息统计,可以使用show vtp domain或show vtp statistics命令

Configuring VLANs

创建VLAN的命令如下:
Switch_A>; (enable) set vlan [vlan_number] name [VLAN_name]
可以使用show vlan验证VLAN的设置.一旦在一个交换机上创建了VLAN以后,这个VLAN信息将通过VTP被宣告给整个VTP域
接下来把端口分配给VLAN,如下:
Switch_A>; (enable) set vlan [vlan_num] [module/ports]
如果端口连续,可以使用连字号(hyphen)或逗号如下:
Switch_A>; (enable) set vlan 10 3/1-12
VLAN 10 modified.
VLAN 1 modified.
VLAN Mod/Ports
–––– ––––––––––
10 3/1-12
Switch_A>; (enable) set vlan 20 3/13-23,24
VLAN 20 modified.
VLAN 1 modified.
VLAN Mod/Ports
–––  ––––––––––
20 3/13-24
Switch_A>; (enable)

Configuring Dynamic VLANs

可以通过采用VMPS(VLAN membership policy server),根据每个端口所连的计算机,随时改变端口所属的VLAN,最常见的就是基于MAC地址的划分.VMPS实际上也是Catalyst交换机,只不过是从TFTP服务器上下载了一个VLAN到MAC地址映射的文本文件
当交换机收到一个帧以后,交换机检查VMPS(有可能是它自己)的数据库,并比较帧的源MAC地址,如果数据库里有相应条目,收到这个帧的端口就把它转发到指定的VLAN上去;如果数据库中没有相应条目,那么端口有可能:
1.如果VMPS没有处于安全模式(secure mode),就返回access-denied信息
2.如果VMPS处于安全模式,端口将shut down
3.将把帧分配给特定的fallback VLAN
基于MAC地址动态划分VLAN的第一步是要搜集MAC地址,再来做MAC地址到VLAN的映射,然后保存为文本文件(数据库),存放到TFTP服务器上.一般VMPS数据库格式如下:
!VMPS Database for ACC
!
!
vmps domain ACC                                指定VTP域名
vmps mode open                                  指定VMPS模式
vmps fallback  -NONE-                           定义fallback VLAN
!
!MAC Addresses
!
vmps-mac-addrs
!
!address vlan-name
!
address 0001.1111.1111 vlan-name hardware           定义MAC地址到LAN的映射
address 0001.2222.2222 vlan-name hardware
address 0001.3333.3333 vlan-name Green
VMPS数据库完成以后,接下来就把Catalyst配置为VMPS服务器,命令如下:
Switch_A>; (enable) set vmps tftpserver [ip_address] [filename_VMPS_Database]
这个命令告诉交换机从哪下载数据库文件,并且在交换机启动以后加载到RAM中,交换机每次启动的时候,都会重新从TFTP服务器加载一次数据库文件,所以,要时时刻刻保持TFTP服务器可以访问.数据库的文件名可以任意设置,如果不设置,默认名为vmps-config-database.1
第三步要做的是,使用命令激活VMPS,如下:
Switch_A>; (enable) set vmps state enable
设置端口为动态分配,如下:
Switch_A>; (enable) set port membership [mod_num/port_num] dynamic
最后,配置其他交换机为VMPS的客户机,如下:
Switch_A>; (enable) set vmps server [ip_address_of_VMPS] [primary]
可以使用show vmps mac显示整个VMPS数据库的信息,如下:
Switch_A>; (enable) show vmps mac
MAC Address     VLAN Name  Last Requestor    Port ID  Last Accessed  Last Response
––––––
12-23-56-78-9a-bc  DUKE       0.0.0.0                   0,00:00:00      Success
aa-bb-cc-dd-ee-ff    FSU        0.0.0.0                   0,00:00:00      Success
fe-dc-ba-98-76-54    -NONE-    0.0.0.0                   0,00:00:00      Success
使用show vmps命令显示当前VMPS数据库状态,如下:

Configuring Trunking

在配置trunk之前,要看下端口是否具备trunk的能力,使用show port capabilities命令查看,如下:
Switch_A>; (enable) show port capabilities 1/1
Model                  WS-X5530
Port                    1/1
Type                   1000BaseSX
Speed                  1000
Duplex                 full
Trunk encap type         802.1Q,ISL
Trunk mode              on,off,desirable,auto,nonegotiate
Channel                 no
Broadcast suppression     percentage(0-100)
Flow control             receive-(off,on,desired),send-(off,on,desired)
Security                 no
Membership             static
Fast start                yes
Rewrite                  no
5种trunk模式如下:
1.on:启用trunk
2.off:不启用trunk
3.disirable:只要对方能够trunk,它就trunk
4.aut默认的模式,不关心是否能够trunk
5.nonnnegotiate:进行trunk但是不会和对方进行协商
设置trunk port的命令如下:
Switch_A>; (enable) set trunk [module_number/port_number] [on|off|desirable|auto|nonegotiate] [trunk_encapsulation_method]
例子:
Switch_A>; (enable) set trunk 1/1 on isl
Port(s) 1/1 trunk mode set to on.
Port(s) 1/1 trunk type set to isl.
Switch_A>; (enable)
2004 Jul 12 20:31:18 %DTP-5-TRUNKPORTONort 1/1 has become isl
trunk
Switch_A>; (enable)
使用show trunk命令进行验证trunk信息
Configuring Fast EtherChannel
设置Fast Ethernet的命令如下:
Switch>; (enable) set port channel [ports_to_be_channeled] [on|off|desirable|auto]
如下是把快速以太网端口1和2合并为Fast EtherChannel:
Switch_A>; (enable) set port channel 1/1-2
Port(s) 1/1-2 channel mode set to on.
使用show port channel命令验证查看channel信息
Configuring Port Protocol Filtering
协议过滤是指端口根据协议,来对流量进行过滤.比如在只基于IP环境工作的工作站,就没必要接收基于IPX协议的广播.这样就减轻了带宽和CPU资源的占用.在协议过滤中,包被分成了4个类别:
1.IP包
2.IPX包
3.AppleTalk,DECnet,和Banyan Vines包
4.其他类型的包
协议过滤的3种模式:
1.on:允许来自某组的从该端口传输出去
2.off:不允许来自某组的从该端口传输出去
3.aut不允许来自某组的从该端口传输出去,除非该端口先收到该组的流量.比如设置为auto的某端口是不会转发IPX流量,除非IPS流量从该端口进去过
要启用端口的协议过滤,首先使用set protocolfilter命令,如下:
Switch_B>; (enable) set protocolfilter enable
Protocol filtering enabled on this switch.
Switch_B>; (enable)
要注意的是,端口的协议过滤这一特性不是所有的Catalyst上都具备的,如下:
Switch_A>; (enable) set protocolfilter enable
Protocol filtering not supported by this hardware.
Switch_A>; (enable)
接下来设置端口协议过滤的模式和对流量的分组,如下:
Switch_B>; (enable) set port protocol [mod_num/port_num] [ip|ipx|group] [on|off|auto]
比如,只允许Switch B上的端口2/1-12转发IP流量,如下:
Switch_B>; (enable) set port protocol 2/1-12 ip on
IP protocol set to on mode on ports 2/1-12.
Switch_B>; (enable) set port protocol 2/1-12 ipx off
IPX protocol disabled on ports 2/1-12.
Switch_B>; (enable) set port protocol 2/1-12 group off
Group protocol disabled on ports 2/2-12.
Switch_B>; (enable)
验证端口的协议过滤使用show port protocol命令,如下:
Port    Vlan   IP   IP Hosts   IPX    IPX Hosts    Group    Group Hosts
––  –––  –  ––––  ––    ––––    –––   –––––
2/1      1     on    0        off      0          off         0
2/2      1     on    0        off      0          off         0
Configuring Port Security
另外一种安全机制,叫安全端口过滤(secure port filtering),这样的机制只允许端口转发来自某个特定MAC地址的帧,这个MAC地址可以手动指定或者动态决定.设置命令如下:
Switch_B>; (enable) set port security [mod_num/port_num] [enable|disable] [mac_addr]
假如你没有指定MAC地址的话,它将自动锁定收到的第一个帧的MAC地址,如下:
Switch_B>; (enable) set port security 2/2 enable
Port 2/2 port security enabled with the learned mac address.
Trunking disabled for Port 2/2 due to Security Mode
Switch_B>; (enable)
通过自动锁定所学习到的MAC地址可以通过命令show port security查看,如下:
Switch_B>; (enable) show port security 2/2
Port    Security     Secure-Src-Addr     Last-Src-Addr    Shutdown   Trap     IfIndex
––   ––––    ––––––       –––––     ––––  –––   ––––
2/2     enabled      22-22-22-22-22-22      No          disabled               10
(略)
Switch_B>; (enable)
Working with Sniffers
port mirroring(或叫port spanning)是Catalyst的一种特性,它可以在一个端口上监视流量到达另一端口的过程,这个端口就叫span port.设置监视到达span port的帧的命令如下:
Switch_B>; (enable) set span [source] [span port] [rx | tx | both]
参数source可以为单独的一个端口或者几个端口,还可以是VLAN ID;参数[rx | tx | both]可选,默认为both
例子,监视从端口2/3到端口2/2的帧,如下:
Switch_B>; (enable) set span 2/3 2/2
Enabled monitoring of Port 2/3 transmit/receive traffic by Port 2/2
Switch_B>; (enable)
监视从端口2/3-12到端口2/2的帧,如下:
Switch_B>; (enable) set span 2/3-12 2/2
Enabled monitoring of Port 2/3-12 transmit/receive traffic by Port 2/2
Switch_B>; (enable)
监视从VLAN 10到端口2/2的帧,如下:
Switch_B>; (enable) set span 10 2/2
Enabled monitoring of VLAN 10 transmit/receive traffic by Port 2/2
Switch_B>; (enable)
检查当前span port的设置,使用show span命令,如下:
Switch_B>; (enable) show span
Status               : enabled
Admin Source         : VLAN 10
Oper Source          : Port 2/49
Destination           : Port 2/2
Direction             : transmit/receive
Incoming Packets      : disabled
Switch_B>; (enable)
Controlling Broadcasts
可以在交换机的端口进行广播的控制.广播的控制可能因模块的不同而不同.有的模块不能限制单独的某个端口的广播,必须限制全部端口;有的就可以限制单独某个端口.限制广播的命令(百分比),如下:
Switch_A>; (enable) set port broadcast [mod_num/port_num] [threshhold%]
例子,限制端口2/1-12的广播流量的百分比不得高于50%,如下:
Switch_A>; (enable) set port broadcast 3/1-12 50%
Port 3/1-24 broadcast traffic limited to 50%.
还可以通过广播包数量而不是百分比的方式来进行限制,如下:
Switch_A>; (enable) set port broadcast 3/1-12 500
Ports 3/13-24 broadcast traffic unlimited.
Ports 3/1-12 broadcast traffic limited to 500 packets/second.
Switch_A>; (enable)
验证端口的广播控制使用show port broadcast命令,如下:
Switch_A>; (enable) show port broadcast
Port      Broadcast-Limit         Broadcast-Drop
––     –––––––        –––––––
1/1           -                       0
1/            -                       0
3/1          500p/s                    0
3/2          500 p/s                   0
3/3          500 p/s                   0
3/4          500 p/s                   0
(略)
Working with CAM
bridge table,也叫content address memort(CAM) table.可以使用set cam命令往CAM table中添加条目,这些条目可以是单播或多播.默认交换机会把多播当广播处理,会从每个端口都转发出去,可以使用set cam命令,来把多播和某些端口进行静态的映射.set cam命令语法如下:
Switch_A>; (enable) set cam [dynamic|static|permanent] [MAC_address] [mod/port] [VLAN]
注意,当参数指定了VLAN的时候,注意所有端口必须处于同一个VLAN
存放在CAM table中的条目的生存周期是有限的.默认,通过动态学习到的条目将保存5分钟,如果空闲时间超过5分钟,条目将被删除.如果要让条目暂时的保存在cam table中,使用dynamic参数;如果想一直保存直到交换机重启,使用static参数;如果想永久保存,使用permanent参数
例子,把多播映射到某些端口上,如下:
Switch_A>; (enable) set cam static 01-00-12-11-11-11 3/3,3/5,3/7,3/12
Static multicast entry added to CAM table.
Switch_A>; (enable)
验证cam table,使用show cam命令,如下:
Switch_A>; (enable) show cam [dynamic|static|permanent|system]
如果想修改动态学习到的条目的生存时间,使用set cam agingtime命令(单位为秒),如下:
Switch_A>; (enable) set cam agingtime 1-1005 600
Vlans 1-1005 CAM aging time set to 600 seconds.
Switch_A>; (enable)
Routing VLANs with an External Router (One-Armed Routing)
可以在外部路由器上,创建子接口(subinterface),来路由多个VLAN,每个子接口对应一个VLAN,IOS版本至少要为11.1(2).如下图:

Cisco4500(config-if)#int fa 0.10
Cisco4500(config-subif)#encap isl 10
Cisco4500(config-subif)#ip addr 172.16.10.1 255.255.255.0
Cisco4500(config-subif)#^Z
Cisco4500#conf t
Cisco4500(config)#int fa 0
Cisco4500(config-if)#int fa 0.20
Cisco4500(config-subif)#encap isl 20
Cisco4500(config-subif)#ip addr 172.16.20.1 255.255.255.0
Configuring the RSM
Route Switch Module(RSM)运行自己的操作系统,IOS.配置命令和配置Cisco路由器是一样的,不同的地方是RSM使用叫做VLAN interface的虚拟接口取代物理接口.按刚才的例子配置VLAN间通信,只需按如下配置即可:
interface Vlan10
description VLAN 10 FSU
ip address 172.16.10.1 255.255.255.0
!
interface Vlan20
description VLAN 20 Duke
ip address 172.16.20.1 255.255.255.0
!
Multilayer Switching (MLS) Defined
多层交换(multilayer switching)或3层交换(layer 3 switching)有点像路由器的仿制品,它查找路由的方式和路由器查找路由的方式是有所区别的
如下图:

当工作站A要发送帧给工作站B,帧先到达交换机,帧的目标MAC地址为路由器的MAC地址,源MAC地址为工作站A的MAC地址;目标IP地址为工作站B的IP地址,源IP地址问工作站A的IP地址.交换机把帧打上标签,表明该帧来自VLAN 10,转发给路由器
路由器收到帧以后,读取标签,解封装,然后根据目标IP地址做路由决定.由于路由器发现目标IP地址位于和交换机相连的VLAN 20,路由器又重新封装帧,转发给交换机,帧的源MAC地址更改为路由器的MAC地址,目标MAC地址更改为工作站B的MAC地址,并打上标签暗示帧目前属于VLAN 20
交换机收到帧以后,读取标签和目标MAC地址,转发帧给工作站B
整个过程,帧经过trunk line两次,经过路由器一次,经过交换机两次.路由器根据路由表做转发决定,这样有个缺点,就是增加了延时(latency).如果采用MLS或3层交换,可以在不产生多余延时的情况下达到同样效果,这样就不用查找路由表,也无需经过trunk line两次

Configuring MLS

配置MLS的时候,要用到路由器,它可以是外部路由器,或者是RSM,并且路由器的IOS版本必须至少是11.3(3)Wa4(4).这样的路由器也可以叫做MLS-RP
3层交换机使用supervisor engine III,并搭载NFFC(NetFlow Feature Card).CatOS版本必须至少是4.1(1).这样的3层交换机也叫MLS-SE
下面以一个图例来说明如何配置MLS,如下图:


步骤1:在Cisco 4500上启用MLS,使用以下命令:
C4500(config)#mls rp ip
C4500(config)#
步骤2:定义实行MLS的接口所属的VTP域,如下:
C4500(config-if)#mls rp vtp-dom ACC
C4500(config-if)#
步骤3:在Cisco 4500上选择1个和交换机相连的接口作为管理接口,MLSP包通过这个接口交换,如下:
C4500(config)#int fa0.10
C4500(config-subif)#mls rp management-interface
C4500(config-subif)#
这里选的是fa0.10作为管理接口,当然还可以使用其他的子接口作为管理接口
步骤4:在参与MLS的接口上启用MLS,如下:
C4500(config-subif)#int fa0.10
C4500(config-subif)#mls rp ip
C4500(config-subif)#int fa0.20
C4500(config-subif)#mls rp ip
C4500(config-subif)#
步骤5:验证MLS是否配置正确,如下:
C4500#sh mls rp
multilayer switching is globally enabled
mls id is 0010.7b9b.3eb1
mls ip address 209.118.4.184
mls flow mask is destination-ip
number of domains configured for mls 1

vlan domain name: ACC
current flow mask: destination-ip
current sequence number: 3513170556
current/maximum retry count: 0/10
current domain state: no-change
current/next global purge: false/false
current/next purge count: 0/0
domain uptime: 00:12:15
keepalive timer expires in 0 seconds
retry timer not running
change timer not running
fcp subblock count = 3

1 management interface(s) currently defined:
vlan 10 on FastEthernet0.10

2 mac-vlan(s) configured for multi-layer switching:

mac 0010.7b9b.3eb1
vlan id(s)
10 20

router currently aware of following 0 switch(es):
no switch id's currently exists in domain
一般的,只要交换机能够支持MLS,默认的配置就足够了.但是如果使用的是外部路由器的话,还应该在交换机上做如下配置:
步骤1:启用MLS,如下:
Switch_A>; (enable) set mls enable
Multilayer switching is enabled.
Switch_A>; (enable)
步骤2:定义MLS-RP的地址,如下:
Switch_A>; (enable) set mls include 172.16.10.1
Multilayer switching enabled for router 172.16.10.1.
Switch_A>; (enable)
步骤3:一些可选的设置.定义MLS条目的生存时间,默认为256秒,可选的值的为64秒的倍数,范围是64-1920秒,如果你不知道64的5倍是多少,(320),假如你输入319,它将自动修正为320.如下:
Switch_A>; (enable) set mls agingtime 340
Multilayer switching agingtime set to 344
Switch_A>; (enable)
步骤4:验证交换机的MLS-RP设置,如下:
Switch_A>; (enable) sh mls include
Included MLS-RP
–––––––––
172.16.10.1
Switch_A>; (enable)
验证MLS条目生存时间使用show mls命令

红头发

Pt.9 Configuring Token Ring on the Catalyst Switch

Configuring the Port Speed

配置端口速率的命令如下:
Switch_A>; (enable) set port speed [module_number/port_number] [4|16|auto]
如下,设置端口3/1的速率为16Mbps:
Switch_A>; (enable) set port speed 3/1 16
Port 3/1 speed set to 16Mbps.
Switch_A>; (enable)
默认是为auto(自动检测)

Configuring the Full Duplex Method

几种双工模式,如下:
1.aut自动检测,为默认模式
2.fdxcport:端口以全双工的模式连接到MAU
3.hdxcport:端口以半双工的模式连接到MAU
4.fdxstation:端口和工作站以全双工的模式直连
5.hdxstation:端口和工作站以半双工的模式直连
设置命令如下:
Switch_A>; (enable) set tokenring portmode [mod_num/port_num] [duplex_method]
例如,配置连接到MAU的3/1端口,以全双工模式操作,如下:
Switch_A>; (enable) set tokenring portmode 3/1 fdxcport
Port 3/1 mode set to fdxcport
Switch_A>; (enable)

Configuring Early Token Release

Catalyst的Token Ring line card支持Early Token Release.在端口上启用Early Token Release输入以下命令:
Switch_A>; (enable) set tokenring etr [module_number/port_number] [enable|disable]
默认是启用的

Reducing the Number of All Routes Explorer (ARE) Packets

启用减少ARE的功能,命令如下:
Switch_A>; (enable) set tokenring reduction [enable | disable]
默认是启用的

Viewing Token Ring Port Settings

要验证某一端口的设置,使用如下命令:
Switch_A>; (enable) show tokenring [module_number/port_number]

Token Ring VLANs

多个环的Token Ring网络通常可以用SRB(源路由桥接)或SRT(源路由透明桥接)连接在一起.Token Ring line card上的每个端口是个物理环,并且一般的,每个物理环都有1个ring number,SRB或SRT把它们连在一起形成一个逻辑环.如下图:


可以在交换机上,把一些端口分组到一起,形成虚拟的一个环,所有在一个虚拟环里的端口拥有相同的ring number,这就是源路由交换(SRS,source-route switching),如下图:


如图,所有的端口(物理环)被组合,分成了3个虚拟的环,这样使得管理起来更为简便.分组到同一个虚拟环里的所有端口将被分配给TrCRF VLAN(Token Ring concentrator relay function VLAN).为了在TrCRF之间进行桥接,就要创建TrBRF VLAN(Token Ring bridge relay function VLAN),TrBRF通过SRB或SRT来达到桥接TrCRF的目的,并且给TrCRF分配父子关系,如下图:


并且逻辑示意图如下:

一般的,TrCRF是只在一个交换机上创建,不过可以通过Cisco的ISL trunk封装把TrCRF分布到多个交换机上,如下图:


TrCRF减少了环的树数目,可以避免最大SRB跳数带来的问题

Configuring Token Ring VLANs

要在交换机上配置Token Ring VLAN,先要决定是否使用默认的设置.默认交换机上分别设置的有一个TrCRF和一个TrBRF,所有的端口分配给TrCRF,并且TrCRF是TrBRF的子关系.如下:
Switch_A>; (enable) show vlan
VLAN    Name        Status        Mod/Ports
–––   –––       –––       –––––
1         default       active        1/1-2
2/1-12
3/1-2
1002     fddi-default    active
1003    trcrf-default    active
1004   fddinet-default   active
1005    trbrf-default     active
如上,VLAN 1003是TrCRF,VLAN 1005是TrBRF.要创建更多的TrCRF,就得创建父关系的TrBRF.不可以在创建新的TrCRF使用默认的TrBRF,必须手动创建新的TrBRF.还有,要启用VTP版本2
在创建TrBRF的时候,必须指定一个bridge number,并且选择一种STP(可以选用IEEE STP或IBM STP,默认为IBM STP).MTU可以设置为1500或4472,默认为4472.创建TrBRF的命令如下:
Switch_A>; (enable) set vlan [vlan_num] name [name] type trbrf mtu [mtu] bridge [bridge_number] stp [ieee | ibm]
创建TrCRF的命令如下:
Switch_A>; (enable) set vlan vlan_num name [name] type trcrf mtu [mtu] ring [hex_ring_number or decring decimal_ring_number] parent [vlan_num]
ring number可以为16进制或10进制,如果要采用10进制的表示方法,必须加上关键字decring.并且父关系的VLAN必须存在,否则TrCRF不能被创建
例子如下图:

Switch_A>; (enable) set vlan 900 name Bridge_1 type trbrf bridge 1
Vlan 900 configuration successful
Switch_A >; (enable) set vlan 901 name Ring_101 type trcrf ring 101 parent 900
Vlan 901 configuration successful
Switch_A >; (enable) set vlan 902 name Ring_102 type trcrf ring 102 parent 900
Vlan 902 configuration successful
Vlan 902 configuration successful
Switch_A>; (enable) set vlan 901 3/1-8
VLAN 1003 modified.
VLAN 901 modified.
VLAN    Mod/Ports
–––   –––––
900                         3/1-8
Switch_A>; (enable) set vlan 901 3/9-16
VLAN 1003 modified.
VLAN 902 modified.
VLAN    Mod/Ports
–––   –––––
901                         3/9-16


Fin

yUmi#sh start
!
Written by yUmis(牛奶咖喱) a.k.a. 红头发
Description 欢迎转po,请保留作者信息
Contact Me http://www.show-tym.com QQ:13030130
再次感谢yUmi,对于自己所爱的的东西,是不能放弃的
Jul.15th.2004
!

红头发

PDF下载:http://bbs.chinaitlab.com/viewFile.asp?Boardid=150&ID=8558

红头发

没人看??faint..

mazu

哥们，你应该出书，太细致了。。。。呵呵 我学习的时候就没有总结的习惯  

请继续，偶会一直关注，欢迎交流