第4章 生成树协议与端口安全综述

第4章生成树协议与端口安全4.1生成树协议

4.1.1生成树协议的作用

功能强大、可靠的网络需要有效地传输流量，提供冗余和故障的快速恢复功能。在第2层网络中，路由协议不可用，生成树协议通过从软件层面修改网络物理拓扑结构来构建一个无环路逻辑转发拓扑结构，提供了物理线路的冗余连接，消除了网络风暴，从而提高网络的稳定性和减少网络故障的发生率。

4.1生成树协议4.1.2生成树协议的原理1．生成树协议的工作过程

２．根网桥的选择

３．根端口的选择

４．指定端口的选择

５．删除桥接环

6．生成树协议的端口状态

4.1生成树协议4.1.3快速生成树协议改进1：为根端口和指定端口设置了快速切换用的替换端口（AlternatePort）和备份端口（BackupPort）两种角色，当根端口/指定端口失效的情况下，替换端口/备份端口就会无时延地进入转发状态改进2：在只连接了两个交换端口的点对点链路中，指定端口只需与下游网桥进行一次握手就可以无时延地进入转发状态

改进3：直接与终端相连而不是把其他网桥相连的端口定义为边缘端口（EdgePort）。边缘端口可以直接进入转发状态，不需要任何延时.4.1生成树协议4.1.4

VLAN快速生成树协议每个VLAN都生成一棵树是一种比较直接，而且最简单的解决方法，能够保证每一个VLAN都不存在环路4.1.5多实例生成树协议多实例生成树协议是基于实例的，所谓实例就是多个VLAN的一个集合，通过多个VLAN捆绑到一个实例中去的方法可以节省通信开销和资源占用率。4.1生成树协议4.1.6生成树协议的配置Sw_3550(config)#［no］spanning-tree[vlan

vlan]Sw_3550(config)#spanning-treevlan

vlanpriority0Sw_3550(config)#spanning-treepathcostmethod{long|short}Sw_3550(config-if)#spanning-treeguard{root|none}Sw_3550(config-if)#spanning-treeport-priorityport-prioritySw_3550(config-if)#spanning-treevlan

vlan-listport-prioritypriority4.1生成树协议Sw_3550(config)#spanning-treevlan

vlan

forward-timedelay

Sw_3550(config)#spanning-treevlan

vlanhello-timeintervalSw_3550(config)#spanning-treevlan

vlanmax-ageagingtimeSw_3550(config)#spanning-treeportfastSw_3550(config)#spanning-treeportfast

bpduguard

Sw_3550(config)#spanning-treeportfast

bpdufilter

Sw_3550(config)#spanning-treeuplinkfast[max-update-ratepackets-per-second]4.1生成树协议Sw_3550(config)#spanning-treebackbonefast

Sw_3550#showspanning-tree[active[detail]]Sw_3550#showspanning-tree[backbonefast|blockedports|interface|pathcostmethod|summary[totals]|uplinkfast]Sw_3550#showspanning-tree[root[address|cost|detail|forward-time|hello-time|id|max-age|port|prioritysystem-id]|vlan

vlan_list[active[detail]|blockedports|bridge[address|detail|forward-time|hello-time|id|max-age|priority|protocol]|detail[active]|inconsistentports|summary]]4.1.7生成树协议实例4.1.8生成树协议总结4.1生成树协议4.2端口安全

4.2.1端口安全的作用端口安全功能是通过对MAC地址表的配置，来实现在某一端口只允许一台或者几台确定的设备访问此台交换机端口。从而减少交换机被黑客攻击，增强交换机的安全性，提高局域网的安全性。4.2端口安全

4.2.1端口安全的原理

⑴交换机在重新启动或手工清除MAC地址表后，MAC地址表没有任何MAC地址的记录。如图所示。

4.2端口安全⑵假设主机A向主机C发送数据包，因为现在MAC地址表为空，所以端口E0将从数据包中提取源MAC地址，将此MAC地址记录到MAC地址表中，同时向其它所有的端口发送此数据包，如果某一主机在接收到此数据包后，将提取目标MAC地址，并与自己网卡的MAC地址进行比较，如果相等，则接收此数据包；否则丢弃此数据包。如图所示。4.2端口安全⑶如果主机A、B、C、D都已经向其它主机发送数据包，则MAC地址表将会有4条记录。如图所示。

4.2端口安全⑷现在假设主机A向主机C发送数据包，交换机会提取数据包的目的MAC地址，通过查找MAC地址表，有一条记录的MAC地址与目的MAC地址相等，而且知道此目的MAC所对应的端口为E2，此时E0端口会将数据包直接转发到E2端口，如图所示。

4.2端口安全4.2.2端口安全的配置

sw_3550(config_if)#switchportport-securitysw_3550(config_if)#

switchportport-securitymaximum

valuesw_3550(config_if)#

switchportport-securitymac-address

mac-address