华为交换机配置手册(2011最新版)

3

、

用“

show

spanning- tree

statistics

Ethernet

”命令观察接口状态，并根据显示信息解释

spanning-tree protocol

的运行机制。

4

、

用“

debug stp packet

”命令进一步观察

STP

生成的

BP DU

信息。

5

、

修改< /p>

SwitchB

端口

e0/2

64

，

然后用

“

show spanning-tree statistics ethernet0/2

”

观察端口的 变化。

6

、

修改< /p>

SwitchB

端口

e0/2

pathcost

为

1 00

，

然后用

“

show spanning-tree statistics ethernet0/2

< br>”

观察端口的变化。

7

、

将

SwitchA

和

SwitchB

之间的两根双绞线拔掉一根，然后在两台交换机上用“

show

spanning-tree statistics ethernet0/1 to ethernet0/2

”观察

STP

信息的变化。测试

PCA

是否仍能

Pi ng

通

PCC

。请说明原因，并比较端 口聚合和

STP

的不同。

8

、

通过以上步骤，理解

STP

的功能和配置。

配置如下：

SwitchA

：

SwitchA (config)#spanning-tree enable //

在全局配置模式下启用

STP

SwitchB

：

SwitchB (config)#spanning-tree enable //

在全局配置模式下启用

STP

SwitchB (config)#spanning-tree priority 4096 //

设置优先级

SwitchB (config)#interface e 0/2

SwitchB (config-if- Ethernet0/2)#spanning-tree pathcost 100 //

< br>设置端口的

pathcost

值

问题：

如果我们将两台交换机的端口

e0/1

和

e0/2

< br>配置为

trunk

端口并且不配置端口聚合和

，

将

会

发生什么现象？

PCA

是否仍能

Ping

通

PCC

1.4.4

通用

< br>VLAN

注册协议（

GVRP

）

仍用练 习二的组网图。这次在

SwitchA

和

SwitchB

上配置

GVRP

。< /p>

请完成以下步骤：

1

、

配置某些端口为

trunk

端口，并允许前 面配置的所有

VLAN

通过。

2

、

在两个

trunk

端口上使能动态

VLAN

注册协议——

GVRP

。

3

、

在

SwitchA

上注册

VLAN6-10< /p>

，在

SwitchB

上注册

VLAN11-15

，观察在每个交换机上

的

VLAN

注册状态。

4

、

在

SwitchA

上配置

< br>VLAN4

并将端口

e0/1

配 置为

fixed

模式，将

Switch B

端口

e0/1

配置

< br>为

forbidden

模式。观察在每个交换机上的

VLAN

注册状态。

5

、

通过以上步骤，理解

GVRP

的功能和配置 。

配置如下：

SwitchA

SwitchA (config)#gvrp enable //

在全局配置模式下启用

GVRP

SwitchA (config)#switch ethernet 0/1

SwitchA (config-if- Ethernet0/1)# switch mode trunk

SwitchA (config-if-Ethernet0/1)# switch trunk allow vlan all

SwitchA (config-if-Ethernet 0/1)#gvrp enable //

在接口模式下启用

GVRP

SwitchB

SwitchB (config)#gvrp enable

SwitchB (config)#switch ethernet 0/1

SwitchB (config-if-Ethernet0/1)# switch mode trunk

SwitchB (config-if- Ethernet0/1)# switch trunk allow vlan all

SwitchB (config-if-Ethernet 0/1)#gvrp enable

1.4.5

三层交换机和

ACL

这次我们要用到 一台三层交换机

QuidwayS3526

，具体组网图如下。 注意

SwitchA

是一台三

层交换机 。

每台

PC

机的

IP

地址指定如下：

PCA

：

10.1.1.1

PCB

：

10.1.2.1

PCC

：

10.1.1.2

PCD

：

10.1.3.1

掩码：

255.255.255.0

请完成以下步骤：

1

、

如上图所示，配置四台

PC

机分别属于各自 相关的

VLAN

。

2

、

配置端口聚合，使

SwitchA

和

SwitchB

之间的带宽为

200Mbps

。

3

、

配置某些端口为

trunk

端口并允许前面 配置的所有

VLAN

通过。

4

、

在两台交换机的端口

e0/1

配置

GVRP

，使能动态注册

VLAN

信息。

5

、

测试在同一

VLAN

内的

< br>PC

机能否互相

Ping

通。< /p>

以上配置我们在前面的练习中已全部学过，另外还需要完成以下 工作：

我们需要使

PCB

PCA

、

PCC< /p>

通信，

PCD

能和

PCA

、

PCB

、

< br>PCC

通信。当然，

PCA

和< /p>

PCC

仍能互相通信。

我们知道，不同

< br>VLAN

间的通信在二层是隔离的。所以我们必须寻找一种方法能够通过三

层实现通信。

SwitchA

（

QuidwayS3526

）是一种三层交换机，能帮助我们解决这个问题。 按

以下步骤来实现不同

VLAN

之间的

PC

机互通：

1

、

在交换机

A

上配置

VLAN2

的接口地址是

10. 1.1.100

，

VLAN3

的接口地 址是

10.1.2.100

，

VLAN 4

的接口地址是

10.1.3.100

。

2

、

将

PCA

和

PCC

的网关配置为

10.1.1.100

，

PCB

的网关为

10.1.2.100

，

PCD

的网关为

10.1.3.100

。

现在，试着在

PC

机之间互相

Ping

，你会发现

VLAN

不再是隔离的。任何两台计算机现在

都能通讯了。但是很明显，我们仍没有实现

PCB

不能和

PCA

、

PCC

通信的目标，那我们应

该怎么 办呢？

S3526

上提供了一个方法：使用访问控制列表（

ACL

）

。你可以用

ACL

来限制

10.1.1.0

网 段和

10.1.2.0

网段主机之间的通信。

< br>

配置如下：

SwitchA (config)link- aggregation e 0/1 to e 0/2 ingress-egress

SwitchA(config)#gvrp enable

SwitchA(config)#vlan 2

SwitchA (config-vlan2)#port e 0/9

SwitchA (config- vlan2)#vlan 3

SwitchA (config-vlan3)#port e 0/10

SwitchA (config-vlan4)#interface e 0/1

SwitchA (config-if- Ethernet0/1)#trunk all

SwitchA (config-if-Ethernet0/1)#gvrp enable

SwitchA (config-if- Ethernet0/1)#interface vlan 2

//

进入

VLAN 2

的虚接口配置模式

SwitchA (config-VLAN-Interface2)#ip address 10.1.1.100 255.255.255.0

//

配置

VLAN 2

虚接口的

IP

地址

SwitchA (config-VLAN- Interface2)#interface vlan 3

SwitchA (config-VLAN-Interface3)#ip address 10.1.2.100 255.255.255.0

SwitchA (config-VLAN- Interface3)#interface vlan 4

SwitchA (config-VLAN-Interface4)#ip address 10.1.3.100 255.255.255.0

SwitchA (config-VLAN-Interface4)#exit

SwitchA (config)#rule-map l3 net1tonet2 10.1.1.0 255.255.255.0 10.1.2.0 255.255.255.0

//

定义流分类规则

SwitchA (config)#flow- action net1tonet2 deny

//

定义流的动作

SwitchA (config)#acl net1tonet2 net1tonet2 net1tonet2

//

定义访问控制列表

SwitchA (config)#access- group net1tonet2

//

将< /p>

ACL

定义的访问控制策略激

现在让我们看一看

show running- config

的信息：

SwitchA(config)#show running-config

Building running configuration...

Current configuration is :

hostname SwitchA

rule-map l3 net1tonet2 10.1.1.0 255.255.255.0 10.1.2.0 255.255.255.0

flow-action net1tonet2 deny

acl net1tonet2 net1tonet2 net1tonet2

access-group net1tonet2

link-aggregation Ethernet0/1 to Ethernet0/2 ingress-egress

gvrp enable

interface Aux0/0

vlan 1

vlan 2

port Ethernet0/9

vlan 3

port Ethernet0/10

vlan 4

interface Ethernet0/1

trunk all

gvrp enable

interface Ethernet0/10

interface NULL0

interface VLAN-Interface2

ip address 10.1.1.100 255.255.255.0

interface VLAN-Interface3

ip address 10.1.2.100 255.255.255.0

interface VLAN-Interface4

ip address 10.1.3.100 255.255.255.0

line aux 0

no login

line vty 0 4

end

SwitchB#show running-config

Building running configuration...

Current configuration is :

hostname SwitchB

gvrp

!

interface Aux0/0

!

vlan 1

!

vlan 2

!

vlan 4

!

interface Ethernet0/1

switchport mode trunk

switchport trunk allowed vlan all

gvrp

!

interface Ethernet0/10

switchport access vlan 4

!

interface Ethernet0/11

???

.

!

interface Ethernet0/2

switchport mode trunk

switchport trunk allowed vlan all

gvrp

!

interface Ethernet0/20

???

interface Ethernet0/8

!

interface Ethernet0/9

switchport access vlan 2

!

interface NULL0

!

link- aggregation Ethernet0/1 to Ethernet0/2 ingress- egress

!

line aux 0

no login

line vty 0 4

!

end

------------ -------------------------------------------------- ------------------

--

作者：

admin

--

发布时间：

2005-4-18 9:46:45

--

4.6

以太交换网安全

仍然沿用练习五的组网图。

有时候我 们必须远程登录来配置交换机，

所以我们需要配置交换

机的远程 登录，

同时我们应避免这些交换机的非法访问。

在这个练习中，

你需要配置

SwitchA

使