|
交换机基础配置 原理概述 交换机之间通过以太网电接口对接时需要协商- -些接口参数， 比如速率、双工模式等。交换机的全双工是指交换机在发送数据的同时也能够接收数据，两者同时进行。就如平时打电话一样，说话的同时也能够听到对方的声音。而半双工指在同- -时刻只能发送或接收数据，就像一条比较窄的路， 只能先通过一边的车， 然后再通过另一-边的车， 若两边一起通过的话就会撞车。如果交换机两端接口协商模式不- -致，会导致报文交互异常。  接口速率指交换机接口每秒钟传输数据的多少，在交换机上可根据需要调整以太网接口速率。默认情况下，当以太网接口工作在非自协商模式时，它的速率为接口支持的最大速率。 例如：某公司刚成立，新组建网络，购置了3台交换机。其中S1和S2为接入层交换机，S3为汇聚层交换机。现在网络管理员需要对3台新交换机进行基本配置,保证交换机间的接口使用全双工模式，并根据需要配置接口速率。 实验拓扑 交换机基础配置的拓扑如图2-1所示。  实验编址 实验编址见表2-1。  实验步骤 1.基本配置 根据实验编址表进行相应的基本IP地址配置，并使用ping命令检测各直连链路的连通性。  现在PC-1和PC-2能够正常通信。  2. 配置交换机双工模式 配置接口的双工模式可在自协商或者非自协商模式下进行。 在自协商模式下，接口的双工模式是和对端接口协商得到的，但协商得到的双工模式可能与实际要求不符。可通过配置双工模式的取值范围来控制协商的结果。例如，互连的两个设备对应的接口都支持全/半双工，经自协商后工作在半双工模式，与实际要求的全双工模式不符，这时就可以执行auto duplex full命令使接口的可协商双工模式变为全双工模式。默认情况下，以太网接口自协商双工模式范围为接口所支持的双工模式。在非自协商模式下，可以根据实际需求手动配置接口的双工模式。 在S1、S2、S3交换机接口下先通过undo negotiation auto命令关掉自协商功能，再手工指定双工模式为全双工。   3.配置接口速率 在自协商模式下，以太网接口的速率是和对端接口协商得到的。如果协商的速率与实际要求不符，可通过配置速率的取值范围来控制协商的结果。例如，互连的两个设备对应的接口经自协商后的速率为10Mbit/s, 与实际要求的100Mbit/s 不符，可通过执行auto speed 100命令配置使得接口可协商的速率为100Mbit/s。默认情况下，以太网接口自协商速率范围为接口支持的所有速率。 在非自协商模式下，需手动配置接口速率，避免发生无法正常通信的情况。 默认情况下，以太网接口的速率为接口支持的最大速率。 根据网络需要调整接口速率。由于网络用户较少，配置GE接口速率为100Mbit/s, 配置Ethernet接口速率为10Mbit/s。 在3台交换机接口下配置速率。首先关闭接口自协商模式,然后配置以太网接口的速率。  用同样的方法配置另外两台设备接口的速率。   理解ARP及Proxy ARP 理解ARP及Proxy ARP ARP (Address Resolution Protocol)是用来将IP地址解析为MAC地址的协议。ARP表项可以分为动态和静态两种类型。动态ARP是利用ARP广播报文，动态执行并自动 进行IP地址到以太网MAC地址的解析，无需网络管理员手工处理。静态ARP是建立IP地址和MAC地址之间固定的映射关系，在主机和路由器上不能动态调整此映射关系，需要网络管理员手工添加。设备上有一个ARP高速缓存(ARP cache)，用来存放IP地址到MAC地址的映射表，利用ARP请求和应答报文来缓存映射表，以便能正确地把三 层数据包封装成二层数据帧，达到快速封装数据帧、正确转发数据的目的。另外ARP还有扩展应用功能，比如Proxy ARP功能。 Proxy ARP，即代理ARP，当主机上没有配置默认网关地址(即不知道如何到达本地网络的网关设备)，可以发送一个广播ARP请求(请求目的主机的MAC地址),使具备Proxy ARP功能的路由器收到这样的请求后，在确认请求地址可达后，会使用自身的MAC地址作为该ARP请求的回应，使得处于不同物理网络的同- -网段的主机之间可以正常通信。 实验拓扑 ARP及ARP Proxy的拓扑如图2-2所示。  实验编址 实验编址见表2-2。 实验步骤 1.基本配置 根据实验编址表进行相应的基本IP地址配置，并使用ping命令检测各直连链路的连通性，如图2-3所示。 根据实验编址配置PC主机的IP地址及对应的掩码，掩码长度是16.配置完成后，在命令行下使用arp - a命令查看主机的ARP表。 查看到ARP表项为空，没有任何条目在里面。 根据实验编址配置路由器R1的接口IP地址，掩码长度为24。 配置完成后，使用display arp all命令查看R1的ARP表。 ARP表中仅含有R1的两个接口IP地址及与其对应的MAC地址的ARP表项,没有其他条目。 在PC-1.上使用ping命令测试到网关R1和PC-2的连通性。 在PC-3上，使用ping命令测试到网关R1的连通性。 可以观察到，直连网络连通性正常。 当主机和网关之间有数据访问时，如果ARP表中没有目标IP地址与目标MAC地 址的对应表项，ARP 协议会被触发，向直连网段发送ARP广播请求包，请求目标IP地址所对应的MAC地址。图2-4是PC-1发送的ARP广播请求，请求目标IP 10.1.1.254的MAC地址。 网关收到广播请求后，回应单播的ARP响应，里面含有自身IP地址与MAC地址的对应关系，如图2-5所示。 PC和RI都会从这一对消息中知道对方的IP地址与MAC地址的对应关系，并将它写到各自的ARP表中。在PC-1.上ping网关10.1.1.254后，在PC.上使用arp- a命令查看，在R1上使用display arp all命令查看。 可以观察到，在PC-1.上生成了网关IP地址10.1.1.254 和与其对应的MAC地址的ARP表项，在R1上生成了PC-1的IP地址10.1.1.1 和与其对应的MAC地址的ARP表项。上述出现在PC和R1里面的条目都是动态生成的。如果一段时间之 后没有更新，便会从上述ARP表中删除。 2.配置静态ARP 上述ARP协议的工作行为往往被攻击者利用。如果攻击者发送伪造的ARP报文，而且报文里面所通告的IP地址和MAC地址的映射是错误的，则主机或网关会把错误的映射更新到ARP表中。当主机要发送数据到指定的目标IP地址时，从ARP表里得到了不正确的硬件MAC地址，并用之封装数据帧，导致数据帧无法正确发送。由于公司内主机感染了这种ARP病毒，所以主机对网关R1进行ARP攻击，向网关RI通告含错误映射的ARP通告，导致网关路由器上使用不正确的动态ARP映射条目，造成其他主机无法与网关正常通信。模拟ARP攻击发生时,网络的通信受到了影响。在网关R1.上，使用arp static 10.1.1.15489-98CF-2803命令在路由器上静态添加一条关于PC-1的错误的ARP映射，假定此映射条目是通过一个ARP攻击报文所获得的(静态的条目优于动态的条目)，所以错误的映射将出现在ARP表中。 可以观察到，PC-1与网关间无法通信，因为在路由器R1上ARP的映射错误，导致路由器无法正确地发送数据包给PC-1。在R1的GE 0/0/1 接口抓包观察，如2-6所示 可以观察到，由于配置了静态ARP, R1发往PC-1的ping包的二层头部，目的MAC地址被错误地封装为5489-98CF-2803.应对ARP欺骗攻击，防止其感染路由器的ARP表，可以通过配置静态ARP表项来实现。如果IP地址和一个MAC地址的静态映射已经出现在ARP表中，则通过动态ARP方式学来的映射则无法进入ARP表。所以针对公司网络的现状，网络管理员在R1上手工配置三条关于PC-1、PC-2和PC-3的正确ARP映射。使用arp static命令，配置如下。 配置完成后，在PC-1上测试。 可以观察到，配置后连通性恢复正常。 公司网络中出现ARP攻击的情况是比较常见的，防御的办法之一是在 ARP表中手工添加ARP映射。此种方法的优点是简单易操作，不足之处是网络中每个网络设备都有ARP表，要全方位保护网络就要在尽可能多的三层设备.上把全网的ARP映射手工写入到ARP表里，工作量过大，如果更换IP或MAC后，还需要手工更新ARP映射，远没 有动态ARP协议维护ARP表方便。但如果公司网络规模不大或者网络设备不多的情况下，静态ARP方案还是具有- -定优势的。 3.配置Proxy ARP 目前公司的网络被路由器R1分割为两个独立的广播域，每个路由器接口对应一个IP网络，分别是10.1.1.0/24 和10.1.2.0/24，查看R1的路由表。 默认情况下，路由器上的ARP代理功能是关闭的。 如果RI保持ARP代理功能关闭的情况,则PC-2和PC-3之间不能互相通信。在PC-2上，使用ping访问10.1.2.3,并在PC-2的E 0/0/1接口上抓包来观察，如图2-7所示。 可以观察到，PC-2 发出了ARP广播，却一直没有收到ARP响应。原因是PC-2和PC-3分处在两个广播域内，PC-2发的ARP请求无法跨越中间的路由器，所以PC-3收 不到PC-2的ARP请求，PC-2也无法知晓目标主机PC-3的硬件MAC地址而导致数据封装失败。 但RI如果开启ARP代理之后，看是否能够解决这个问题。配置arp-proxy enable命令在路由器的接口，上来开启ARP代理功能。 启用ARP代理之后，同样的测试，在PC-2.上访问PC-3,并在PC-2的E0/0/1接口抓包观察，如图2-8所示。 可以观察到，PC-2 发出了ARP请求并收到了ARP响应，但响应中10.1.2.3 所对应的硬件MAC地址并非是PC-3的MAC地址，而是网关R1的GE 0/0/1接口MAC地址。 在PC-2上查看ARP表。 开启ARP代理后，PC-2 访问PC-3的工作过程如下。 R1的接口GE 0/0/1 开启了ARP代理后，收到PC-2的ARP广播请求报文后，R1根据ARP请求中的目标IP地址10.1.2.3查看自身的路由表中是否有对应的目标网络，R1的GE 0/0/2接口就是10.1.2.0/24网络,所以, R1直接把自身的GE 0/0/1接口的MAC地址通过ARP响应返回给PC-2, PC-2接收到此ARP响应后使用该MAC作为目标硬件地址发送报文给R1, R1收到后再把报文转发给PC-3. 同理，PC-3 要能访问R1连接的其他广播域的PC,也需要在R1的GE 0/0/2接口上开启ARP代理功能。 配置完成后，测试PC-3与PC-1间的连通性。 可以观祭到，通信止吊。 如果IP网络过大，广播对网络的影响也相应增大。在不改变网络主机配置的情况下，由管理员在网络中透明地插入一台路由器，靠路由器分割出多个广播域，降低了广播对网络的影响。在当前的IP网络中，此种做法并不多见。其缺点是主机间的通信会因为引入额外的路由器而延迟增大，并存在着瓶颈问题，所以- -般只作为临时解决方案使用。
为了方便广大网络爱好学习者一起学（聚）习（众）交（搞）流（基），特开设华为干货交流群，里面已经上传大量学习资料，欢迎广大网络工程师进群学习！ 扫描下方二维码 进群学习 |
|
|
