第3章以太网交换机实验

本章学习目标 掌握Ethernet交换机的作用、工作原理和配置方法；  掌握VLAN、VTP、STP和VLAN间路由的配置方法；  掌握对VLAN、VTP、STP和VLAN间路由配置的检查与测试；  能够使用Ethernet交换机相关技术实现网络互联。

本章首先向读者介绍Ethernet交换机的作用、工作原理和配置方法，接着分别介绍划分VLAN、VTP、STP和VLAN间路由技术的配置方法，这些技术在企业中得到了广泛的应用。3.1以太网交换机的基本工作原理和配置方法3.1.1理论知识与实验原理

Ethernet交换机(Ethernet Switch)采用以太网交换技术实现对报文的快速转发，它可以被理解为一个多接口的网桥，将以太网帧从一个交换机接口转发到另一个接口。以太网交换机的每个接口都直接与一个单个主机或另一个集线器相连，并且一般都工作在全双工方式。当主机需要通信时，交换机能同时连通许多对的接口，使每一对相互通信的主机都能像独占通信媒体那样，无碰撞地传输数据。Ethernet交换机属于数据链路层设备，可以识别数据包中的介质访问控制MAC(Media Access Control)地址信息，根据MAC地址进行转发，并将这些MAC地址与对应的接口记录在自己内部的转发表中。1. Ethernet交换机的工作原理Ethernet交换机的工作原理可以概括为： “学习源地址，转发已知帧，广播未知帧，丢弃本网段”。具体的工作流程如下： (1) 当交换机从某个接口接收到一个数据帧，它先读取帧首部中的源MAC地址，从而得知源MAC地址的主机是连接在哪个接口上的。如果源MAC地址不在转发表中，就在转发表中登记该MAC地址和对应接口。(2) 再去读取帧首部的目的MAC地址，并在转发表中逐项查找是否存在该MAC地址。(3) 如果转发表中存在目的MAC地址，并且其对应接口与接收接口不是同一个接口，则把数据帧通过目的MAC地址对应的接口转发出去。(4) 如果转发表中目的MAC地址对应的接口与接收接口是同一个接口，则把数据帧直接丢弃不转发。(5) 如果转发表中不存在目的MAC地址，则把数据帧通过所有接口广播出去。当目的主机对源主机回应时，交换机又可以学习到一个目的MAC地址与对应接口，并写入转发表。在下次传送数据时就不再需要对所有接口进行广播了。这个过程不断循环，最终全网的MAC地址的转发信息都可以学习到，交换机就是这样建立和维护它自己的转发表。2. 交换机IP地址和子网掩码这里所配置的交换机IP地址，是为了方便管理而配置的。交换机配置了IP地址以后，用户可以从网络的任何地方Telnet到交换机上对其进行管理。并且，配置了IP地址以后，用户还可以通过Web访问交换机，对其进行管理。这个IP地址仅用于管理，不属于交换机的任何接口。可以为每个VLAN提供一个管理地址，进入VLAN接口后使用“ip address ipaddress netmask”命令可以对此VLAN的IP地址和子网掩码进行配置(在没有划分VLAN之前，交换机中默认存在VLAN1)。3.1.2相关命令讲解1. ip address ipaddress netmask

命令用于配置交换机的IP地址和子网掩码。其中的ipaddress参数用来指定IP地址，netmask参数用来指定子网掩码。该命令用于接口配置模式Switch(configif)#下。命令使用示例：

Switch(config)#interface vlan 1

Switch(config-if)#ip address 192.168.1.10 255.255.255.0

该命令为交换机的VLAN 1设置的IP地址为192.168.1.10，子网掩码为255.255.255.0。2. ip defaultgateway gateway命令用于配置交换机的默认网关。其中的gateway参数用来指定网关。该命令用于全局配置模式Switch(config)#下。命令使用示例：

Switch(config)#ip default-gateway 192.168.1.254

该命令为交换机设置默认网关为192.168.1.254。3. show macaddresstable命令用于查看交换机学习到的转发表。该命令用于特权模式Switch#下。命令使用示例：

Switch#show mac-address-table

该命令查看交换机学习到的转发表。4. show ip interface vlan vlanid命令用于查看交换机指定VLAN的管理地址配置信息。其中的vlanid参数用来指定VLAN ID，有效的VLAN ID范围是1~4094。该命令用于特权模式Switch#下。命令使用示例：

Switch#show ip interface vlan 1

该命令查看交换机VLAN 1的管理地址配置信息。3.1.3实验目的(1) 了解交换机的工作原理； (2) 掌握交换机的配置方法； (3) 掌握对交换机配置的检查与测试。3.1.4实验环境在图3.1所示的实验拓扑中，交换机SW采用Cisco 3640路由器模拟的“EtherSwitch router”以太网交换机(具体方法参见“1.3.2 GNS3模拟以太网交换机”)，在slot1上插入一块NM16ESW的

图3.1交换机实验拓扑

16口10兆以太网卡以接入其所在的局域网。PC1和PC2采用Cisco 3640路由器模拟，分别在slot0上插入一块NM1FETX的1口100兆快速以太网卡以用于与交换机SW之间互联。

通过在交换机SW的VLAN 1上配置管理地址并提供Telnet服务，允许用户Telnet到SW上对其进行管理。要求通过适当的实验配置，使得PC1和PC2能互相Ping通； PC1和PC2能远程Telnet到SW上对其进行管理。3.1.5实验步骤(1) 主机PC1和PC2的基本配置。

PC1#configure terminal

PC1(config)#no ip routing

PC1(config)#interface fastEthernet 0/0

PC1(config-if)#ip address 192.168.1.1 255.255.255.0

PC1(config-if)#no shutdown

PC1(config-if)#exit

PC1(config)#ip default-gateway 192.168.1.10

PC1(config)#exit

PC2#configure terminal

PC2(config)#no ip routing

PC2(config)#interface fastEthernet 0/0

PC2(config-if)#ip address 192.168.1.2 255.255.255.0

PC2(config-if)#no shutdown

PC2(config-if)#exit

PC2(config)#ip default-gateway 192.168.1.10

PC2(config)#exit

(2) 在交换机SW的VLAN 1上配置管理地址。

SW#conf t

SW(config)#int vlan 1

SW(config-if)#ip address 192.168.1.10 255.255.255.0

!---配置vlan 1的IP地址和子网掩码，该地址就是PC1和PC2的网关

SW(config-if)#no shutdown

SW(config-if)#exit

SW(config)#ip default-gateway 192.168.1.254!---配置交换机的默认网关

!---以上在交换机的VLAN 1上配置了管理地址，VLAN 1上的计算机可以直接Telnet该地址。设置默认网关是为了让其他网络的计算机也可以Telnet交换机。

SW(config)#line vty 0 4 !---最多允许5个Telnet连接

SW(config-line)#password 123456 !---Telnet密码

SW(config-line)#login !---允许远程Telnet

SW(config-line)#exit

SW(config)#enable password 654321 !---Telnet时，从用户模式进入特权模式的密码

SW(config)#

(3) 利用“show ip interface vlan 1”命令查看交换机VLAN 1的管理地址配置信息。

SW#show ip interface vlan 1

Vlan1 is up, line protocol is up

Internet address is 192.168.1.10/24!---配置的IP地址和子网掩码

Broadcast address is 255.255.255.255

Address determined by setup command

MTU is 1500 bytes

... !---以下省略

(4) 测试PC间的通信，PC1和PC2之间的互Ping。

PC1#ping 192.168.1.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max=20/48/164 ms

PC2#ping 192.168.1.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max=360/825/1284 ms

由于PC1和PC2属于VLAN 1，因此他们之间能相互Ping通。

(5) 在PC上远程登录SW。

PC1#telnet 192.168.1.10!---测试PC1远程登录SW

Trying 192.168.1.10 ... Open

User Access Verification

Password:

SW>en

Password:

SW#

PC2#telnet 192.168.1.10 !---测试PC2远程登录SW

Trying 192.168.1.10 ... Open

User Access Verification

Password:

SW>en

Password:

SW#

我们看到，PC可以Telnet到SW上对其进行管理。(6) 使用“show macaddresstable”命令查看交换机学习到的转发表。

SW#show mac-address-table

Destination AddressAddress TypeVLANDestination Port

---------------------------------------------

cc02.1354.0000 Dynamic 1 FastEthernet1/0

cc03.1808.0000 Dynamic 1 FastEthernet1/1

cc01.18f8.0000 Self 1 Vlan1

我们看到，以上的转发表中有交换机自动学习到的MAC条目，也有交换机自身的MAC条目。3.1.6扩展实验1. 实验环境

在图3.2所示的实验拓扑中，交换机SW和SW2采用Cisco 3640路由器模拟的EtherSwitch router以太网交换机，交换机SW和SW2的slot1上插入一块NM16ESW的16口10兆以太网卡以接入其所在的局域网。PC1、PC2、PC3和PC4采用Cisco 3640路由器模拟，分别在slot0上插入一块NM1FETX的1口100兆快速以太网卡以用于与交换机SW和SW2之间互联。

图3.2交换机扩展实验拓扑

2. 实验要求在交换机SW和SW2的VLAN 1上配置管理地址并提供Telnet服务，允许用户Telnet到SW和SW2上对其进行管理。要求通过适当的实验配置，使得PC1、PC2、PC3和PC4能互相Ping通； PC1、PC2、PC3和PC4能远程Telnet到SW和SW2上对其进行管理。3.2划分虚拟局域网3.2.1理论知识与实验原理

传统的共享介质以太网和交换式以太网中，所有的用户在同一个广播域中(广播域，指的是广播帧(目标MAC地址全部为1)所能传递到的范围，亦即能够直接通信的范围。严格地说，并不仅仅是广播帧，多播帧(Multicast Frame)和目标不明的单播帧(Unknown Unicast Frame)也能在同一个广播域中畅行无阻)，会引起网络性能的下降，浪费宝贵的带宽资源，而且广播对网络性能的影响随着广播域的增大而迅速增强。此时的途径就是重新划分网络，把单一结构的大网划分成相互逻辑独立的小网。虚拟局域网(Virtual Local Area Network，VLAN)，是指在交换局域网的基础上，采用网络管理软件构建的可跨越不同网段、不同网络的端到端的逻辑网络。一个VLAN组成一个逻辑子网，即一个逻辑广播域，它可以覆盖多个网络设备，允许处于不同地理位置的网络用户加入到一个逻辑子网中。VLAN是一种比较新的技术，工作在OSI参考模型的第2层和第3层，VLAN之间的通信是通过第三层的路由器来完成的。VLAN技术的出现，使得管理员根据实际应用需求把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。由于它是从逻辑上划分而不是从物理上划分，所以同一个VLAN内的各个工作站没有限制在同一个物理范围(如一个部门、一个办公室、一层/栋办公楼等)中。如图3.3所示就是一个对分布在各楼层的交换机划分不同VLAN的示例。示例中每个VLAN中的成员都是分布在不同楼层，而不像物理划分那样，仅在一个楼层或者一个部门。

图3.3VLAN划分示例

1. VLAN的优点1) 控制网络的广播问题一般交换机不能过滤局域网广播报文，因此在大型交换局域网环境中造成广播量拥塞，对网络带宽造成了极大的浪费。用户不得已用路由器分割他们的网络，此时路由器的作用是广播的“防火墙”。VLAN的主要优点之一是： 支持VLAN的交换机可以有效地控制广播流量，广播流量仅仅在VLAN内被复制，而不是整个交换机，从而提供了类似路由器的广播“防火墙”功能。2) 简化网络管理即所说的动态管理网络，也就是当一个用户从一个位置移动到另一个位置时，他的网络属性不需要重新配置，而是动态地完成，这种动态管理网络给网络管理者和使用者都带来了极大的好处。一个用户，无论他到哪里，他都能在不做任何修改的情况下接入网络，这种前景是非常美好的。当然，并不是所有的VLAN划分方法都能做到这一点。3) 提高网络的安全性由于配置了VLAN后，一个VLAN的数据包不会发送到另一个VLAN，这样，其他VLAN的用户的网络上收不到任何该VLAN的数据包，从而就确保了该VLAN的信息不会被其他VLAN的人窃听，从而实现了信息的保密。2. VLAN的划分方式用户可以根据自己的需要来选择不同的VLAN网段划分方式，但这并不是说用户可以不受限制地提出子网划分需求，还受到VLAN技术本身所支持的划分方式的限制。目前来说，常见的主要有下面介绍的这5种VLAN网段划分方式，用户只能选择其中的一种。1) 按接口划分这是一种从OSI/RM物理层角度进行的VLAN划分方式，也是最常见的一种VLAN划分方式。它是将相同或者不同交换机中的某些接口定义为一个单独的区域，从而形成一个VLAN网段。同一VLAN网段中的计算机属于同一个VLAN组，不同VLAN组之间的用户进行通信需要通过路由器或者三层交换机进行。基于接口的划分方式是一种静态二层访问VLAN划分方式，其优点是配置起来非常方便，而且大多数品牌交换机都支持这一技术，所以实现起来成本较低，配置也非常简单。这种划分方式适用于网络环境比较固定的情况，因为它是基于接口的静态划分方式。不足之处是不够灵活，当一台计算机需要从一个接口移动到另一个新的接口，而新接口与旧接口不属于同一个VLAN时，需要修改接口的VLAN设置或在用户计算机上重新配置网络地址，这样才能加入到新的VLAN中； 否则，这台计算机将无法进行网络通信。

如图3.4所示的是在一个网络中将及时个交换机的2~5号接口和第二个交换机的1~4号接口划分为同一个VLAN网段(在此标记为VLAN 1)； 而将及时个交换机的11~16号接口和第二个交换机的17~20号接口划分在另一个VLAN网段中(在此标记为VLAN 2)。

图3.4基于接口的VLAN划分示例

2) 按MAC地址划分VLAN这是从OSI/RM数据链路层角度进行的VLAN划分，是一种动态二层访问VLAN划分方式。每块网卡都有一个的硬件物理地址，即MAC地址。MAC地址是连接在网络中的每个设备网卡的物理地址，由IEEE控制。虽然说MAC地址可以在网络中虚拟修改，但在同一网络中仍不允许存在同一MAC地址号的网卡设备，否则最终只允许一个正常工作，所以无论如何，在同一网络中每个正常工作的网卡MAC地址都是的。MAC地址属于数据链路层，以此作为划分VLAN的依据能很好地独立于网络层上的各种应用。按MAC地址定义的VLAN有其特有的优势，解决了前面介绍的按接口划分VLAN方式中存在的站点移动问题。因为MAC地址是捆绑在网卡上的，对于连接于交换机接口的工作站来说，在它们初始化时相应的交换机会在VLAN的管理信息库中检查MAC地址，从而动态地匹配该接口到相应的VLAN中，所以这种形式的VLAN允许网络用户从一个物理位置移动到另一个物理位置，并且自动保留其所属虚拟网段的成员身份。同时，这种划分方式独立于网络的高层协议(如TCP/IP、IP、IPX等)，因此从某种意义上讲，利用MAC地址定义VLAN网段可以看成是一种基于用户的网络划分手段。这种方法的一个缺点是所有的用户必须被明确地分配一个VLAN，而且只有在完成初始化配置工作后设备才会实现对用户的自动跟踪。这样在一个拥有大量节点的大型网络中，如果要求管理员将每个用户都一一划分到某一个VLAN，并完成所有初始化配置，其工作量是可想而知的。注意： 目前Cisco设备中主要采用的就是以上两种VLAN划分方式，下面介绍的几种VLAN划分方式Cisco设备并没有相应的功能支持，而H3C(杭州华三通信技术有限公司)交换机则较好地支持了这几种VLAN划分方式。3) 基于网络层划分VLAN基于网络层来划分VLAN可以有两种方案： 一种是基于通信协议(如果网络中存在多协议)来划分； 另一种是基于网络层地址(最常见的是TCP/IP中的子网段地址)来划分。如果是基于通信协议来划分，则VLAN网段可以划分为IPv4子网、IPv6子网、IPX子网、AppleTalk子网或者其他协议VLAN等，当然这通常只有大型网络中才可能存在。在这种划分方式中，同一协议的工作站被划分为一个VLAN，交换机检查广播帧的以太帧标题域，查看其协议类型，若已存在该协议的VLAN则加入源接口，否则创建一个新的VLAN。由此可以看出，这种VLAN划分方式具有非常高的智能，不但大大减少了人工配置VLAN的工作量，同时保障了用户自由地增加、移动和修改。不同网段上的站点可属于同一VLAN，在不同VLAN上的站点也可在同一网段上。如果采用基于网络层地址划分的方式，通常是根据用户计算机的IP地址、子网掩码、IPX网络号等来划分。同样它也具有以上采用网络协议划分VLAN网段的智能性，交换机会自动检查每个设备的IP地址、子网掩码或者IPX网络号，并自动划分。基于网络层划分VLAN的方式具有以下两个主要优势： 首先，网络用户可以在网络内部自由移动而不用重新配置自己的工作站，尤其是使用TCP/IP的用户； 其次，这种类型的VLAN网络可以减少由于协议转换而造成的网络延迟。而且同一交换机接口可以被划分到多个VLAN网段中。当然也有一些自身的不足。与基于MAC地址划分VLAN方式相比，基于网络层的VLAN需要分析各种协议的地址格式并进行相应的转换，这需要消耗交换机设备较多的资源，因此在速度上稍显劣势。4) 基于IP广播组划分基于这种VLAN划分方式可将任何属于同一IP广播组的计算机划分到同一VLAN。任何一个工作站都有机会成为某一个广播组的成员，只要它对该广播组的广播确认信息给予肯定的回答。所有加入同一个广播组的工作站被视为同一个虚拟网的成员。然而，他们的这种成员身份可根据实际需求保留一定的时间。因此，利用IP广播域来划分虚拟网的方法给使用者带来了巨大的灵活性和可延展性。而且，在这种方式下，整个网络可以非常方便地通过路由器扩展规模。5) 基于策略的VLAN基于策略的VLAN是最灵活的VLAN划分方式。这种方式具有自动配置的能力，能够把相关的用户连成一体，在逻辑划分上称为“关系网络”。网络管理员只需在网管软件中确定划分VLAN的规则(或属性)，则当一个站点加入网络中时将会被发现并“感知”，并被自动地包含进正确的VLAN中。同时，对站点的移动和改变也可自动识别和跟踪。采用这种方式，整个网络可以非常方便地通过路由器扩展规模。有的产品还支持一个接口上的主机分别属于不同的VLAN，这在交换机与共享式集线器共存的环境中显得尤为重要。自动配置VLAN时，交换机中的软件自动检查进入交换机接口的广播信息的IP源地址，然后软件自动将这个接口分配给一个由IP子网映射成的VLAN。3. Cisco IOS交换机的