交换机基本功能学习总结演示文稿

交换机基本功能学习总结演示文稿本文档共31页；当前第1页；编辑于星期三\19点58分交换机基本功能学习总结本文档共31页；当前第2页；编辑于星期三\19点58分主要内容一、交换机基本原理二、交换机功能介绍3本文档共31页；当前第3页；编辑于星期三\19点58分1、交换机概述2、交换机转发原理3、交换机常用接口4一、交换机基本原理本文档共31页；当前第4页；编辑于星期三\19点58分一、交换机基本原理——交换机概述交换机：（1）在通信系统中完成信息交换功能的设备；（2）主要工作在数据链路层；（3）采用物理地址进行信息交互。交换机中转发的两种常见的帧格式:（1）以太网帧格式（2）IEEE802.1Q帧格式5本文档共31页；当前第5页；编辑于星期三\19点58分交换机的核心思想：基于源MAC学习、基于目的MAC转发过程管理依据：MAC地址表项一、交换机基本原理——交换机转发原理MAC端口端口类别VLANMAC地址表项构成手工配置和动态学习的MAC地址表项这里的index表示什么意思？有什么作用？本文档共31页；当前第6页；编辑于星期三\19点58分更新和维护MAC地址表：（1）手工配置地址：a.静态地址表项，使用于网络中比较固定的网络设备，可以减少网络中的广播包；可以防止未授权设备接入网络或攻击网络。b.配置过滤地址，当接收到的数据报文源MAC或目的MAC与过滤表项中的地址相符的，丢弃。（2）动态地址学习：动态地址表项，存在老化时间。一、交换机基本原理——交换机转发原理本文档共31页；当前第7页；编辑于星期三\19点58分MAC地址学习和报文转发过程：当交换机收到一个报文，处理过程如下：（1）查看MAC地址表项（2）根据结果，处理报文（3）更新MAC地址表项a.在MAC地址表中添加记录b.更新MAC地址表中记录信息。一、交换机基本原理——交换机转发原理根据报文的目的MAC地址、报文所属的VLANID

、MAC地址表中查找相应的转发输出端口；a.丢弃

b.采取单播、组播、广播和复制流的方式转发报文本文档共31页；当前第8页；编辑于星期三\19点58分几种常用接口：设备上的单个物理接口有三种模式：Access、Trunk、Hybrid，通过SwitchPort接口配置命令；用于管理物理接口和与之相关的第二层协议。链路汇聚口把多个端口的带宽叠加起来使用，扩展了链路带宽；链路汇聚支持负载均衡,可以把流量均匀地分配给各成员链路。SVI接口SVI可以做为本机的管理接口，通过该管理接口管理员可管理设备。用来实现三层交换的逻辑接口。一、交换机基本原理——交换机接口本文档共31页；当前第9页；编辑于星期三\19点58分交换机接口示意图：一、交换机功能介绍——交换机接口

交换机接口示意图本文档共31页；当前第10页；编辑于星期三\19点58分二、交换机功能介绍1、VLAN管理

2、ACL3、IGMP4、DHCP5、端口管理本文档共31页；当前第11页；编辑于星期三\19点58分二、交换机功能介绍——VLAN管理什么是VLAN？VLAN有什么用？虚拟局域网，VirtualLocalAreaNetwork，虚拟局域网是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的技术。用于在二层交换机上分割广播域的技术，使第二层的单播、广播和多播帧在一个VLAN内转发、扩散，而不会直接进入其它的VLAN之中。没有划分vlan时报文转发划分vlan后报文转发本文档共31页；当前第12页；编辑于星期三\19点58分二、交换机功能介绍——VLANVLAN中几个基本概念：（1）VID（2）PVID（或称NativeVlan）（3）AllowedVlan端口操作模式VIDPVID

(或称NativeVlAN)AllowedVlANAccess1、VLAN标识符；2、默认为

Vlan1。

--

--Trunk

--1、端口的虚拟局域网ID号，关系到端口收发数据帧时的VLANTAG标记；2、默认为

Vlan1。1、标识出允许哪些vlan通过；

2、默认允许AllowedVLAN为VLAN1，可设置让多个VLAN通过。Hybrid

--1、端口的虚拟局域网ID号，关系到端口接收数据帧时的VLANTAG标记。2、默认为Vlan1。1、同Trunk口

2、同Trunk口

3、可设置在端口发送（转发出去）该数据帧时是否带上允许通过的vlan的VLANTag，在接收时设置是否带tag没有影响。

三种操作模式下端口VID、PVID和Allowedvlan对比本文档共31页；当前第13页；编辑于星期三\19点58分VLAN中的报文转发二、交换机功能介绍——VLAN端口操作模式入方向出方向access1、untag报文，打上端口vid的

TAG后接收。

2、tag报文，判断报文tagvid是否等于端口vid，等于则接收；否则丢弃。判断报文tagvid是否等于端口vid，等于则剥离tag后转发；否则丢弃。trunk1、untag报文，打上端口Nativevid的

TAG后，并判断

Nativevid是否在allowedvlan列表中，在则接收，不在则丢弃；

2、tag报文，判断报文tagvid是否在allowedvlan列表中，在则接收，否则丢弃。1、报文tagvid不在allowedvlan列表中，丢弃。

2、报文tagvid在allowedvlan列表中，进一步判断报文tagvid是否等于Nativevid，等于则剥离tag后转发，否则直接转发。hybrid同trunk模式1、报文tagvid不在allowedvlan列表中，丢弃。

2、报文tagvid在allowedvlan列表中，再判断报文tagvid与端口的allowedvlan列表中对应vlan是untag还是tag，是untag则剥离tag后转发，否则（设置为tag）直接转发Vlan中报文转发本文档共31页；当前第14页；编辑于星期三\19点58分访问控制列表（AccessControlList，ACL）：通过配置一系列匹配规则，对指定数据流（如限定的源IP地址、端口号等）执行允许或禁止通过，来识别特殊种类报文的流量过滤器。主要作用：（1）防止非法的主体进入受保护的网络资源。（2）允许合法用户访问受保护的网络资源。（3）防止合法的用户对受保护的网络资源进行非授权的访问。ACL使用访问控制条目(ACE)控制用户和组的访问权。ACE有permit和deny两种控制方式。支持3种访问控制列表：（1）标准IP访问控制列表（2）扩展IP访问控制列表（3）扩展MAC访问控制列表二、交换机功能介绍——ACL本文档共31页；当前第15页；编辑于星期三\19点58分ACL总结：二、交换机功能介绍——ACL类型配置说明标准IP访问控制列表1、可配置10个列表（编号：0-9）；

2、每个列表可配置10个ACE（编号0-9），默认是0；

3、对收到的报文的源IP进行控制：

a.任意源IP地址

b.指定源IP地址范围。扩展IP访问控制列表1、可配置10个列表（编号：10-19）；

2、每个列表可配置10个ACE（编号0-9），默认是0；

3、对收到的报文的源IP和目的IP进行控制：

a.任意IP地址

b.指定IP地址范围。

4、可以指定收到报文时过滤那些协议的报文，常见的有：

a.IPb.IGMPc.TCPd.UDP

其中,指定过滤TCP、UDP协议报文时，同时可以指定过滤具体某个源端口/目的端口的TCP、UDP协议报文。扩展MAC访问控制列表1、可配置6个列表（编号：20-25）；

2、每个列表可配置10个ACE（编号0-9），默认是0；

3、对收到的报文的源MAC和目的MAC进行控制：

a.任意MAC地址

b.指定某个MAC地址。

4、可指定过滤具体某个以太头类型的报文。

太头类型范围：0x0000-0xffffACL三种类型总结本文档共31页；当前第16页；编辑于星期三\19点58分什么是IGMPSnooping？IGMPSnooping是InternetGroupManagementProtocolSnooping(互联网组管理协议窥探)的简称，它是运行在二层设备上的组播约束机制，用于管理和控制组播组。二、交换机功能介绍——IGMPSnooping运行IGMPSnooping后交换机运行IGMPSnooping前后对比:本文档共31页；当前第17页；编辑于星期三\19点58分组播IP与组播MAC地址对应关系：二、交换机功能介绍——IGMPSnooping11100000000100000000010111100IP组播地址后23位映射到MAC地址中32位IP组播地址48位MAC地址（以太网/FDDI）此5位地址不作映射，因此32个IP组播地址映射成一个MAC地址简而言之，组播MAC地址前24固定为0x01-00-5e，倒数第24为0，后23位是将IP组播地址后23位映射而来。本文档共31页；当前第18页；编辑于星期三\19点58分二、交换机功能介绍——IGMPSnoopingIGMP版本：IGMPv1、IGMPv2、IGMPv3Version查询报告IGMPV1普遍组查询成员报告IGMPv2普遍组查询成员报告特定组查询：相比v1增加了特定组播组的查询离开报文：相比v1增加了组播成员离开机制IGMPv3普遍组查询成员报告(6种类型，相比v1和v2增加了对组播源的控制):

（1）Mode-is-Include（G，S）

（2）Mode-is-Exclude（G，S）

（3）Change-to-Include（G，S）

（4）Change-to-Exclude（G，S）

（5）Allow-new-source（G，S）

（6）Block-old-source（G，S）特定组查询特定源组查询：相比v1和v2增加了对组播源的控制本文档共31页；当前第19页；编辑于星期三\19点58分IGMPSnooping的工作原理运行IGMPSnooping的二层设备通过对收到的IGMP报文进行分析，为端口和MAC组播地址建立起映射关系，并根据这样的映射关系来转发组播数据。IGMPSnooping的相关端口交换机将本设备上的所有路由器端口和成员端口分别记录到路由端口列表和成员端口列表中，依靠这两个列表来转发组播数据，并对其进行实时维护。二、交换机功能介绍——IGMPSnooping（1）路由端口交换机上朝向三层组播设备(DR或IGMP查询器)一侧的端口。（2）成员端口又称组播成员端口，表示交换机上朝向组播组成员一侧的端口。本文档共31页；当前第20页；编辑于星期三\19点58分路由端口列表更新（1）收到IGMP普遍组查询报文（IGMPv1/v2/v3）a.如果在路由器端口列表中已包含该动态路由器端口，则重置其老化定时器；

b.如果在路由器端口列表中尚未包含该动态路由器端口，则将其添加到路由器端口列表中，并启动老化定时器。（2）收到IGMP特定组查询报文（IGMPv2/v3）a.如果接收端口为一已存在的动态路由器端口，则重置其老化定时器；b.如果接收端口不是一已存在的路由器端口，则将这个接收端口添加到路由器端口列表中，并启动其老化定时器。（3）收到IGMP特定源组查询报文（IGMPv3）a.如果接收端口为一已存在的动态路由器端口，则重置其老化定时器；b.如果接收端口不是一已存在的路由器端口，则将这个接收端口添加到路由器端口列表中，并启动其老化定时器。（4）交换机为每个动态路由连接口都启动一个定时器，其超时时间就是动态路由连接口的老化时间。如果在其老化时间超时前没有收到IGMP查询报文，交换机将把该端口从路由器端口列表中删除。二、交换机功能介绍——IGMPSnooping本文档共31页；当前第21页；编辑于星期三\19点58分动态成员端口列表更新：（1）交换机为动态成员端口启动一个定时器，其超时时间就是动态成员端口老化时间。对于成员端口，如果在其老化时间超时前没有收到IGMP加入报文，交换机将把该端口从成员端口列表中删除。（2）收到IGMP成员关系报告报文（IGMPv1/v2/v3）a.如果不存在该组播组所对应的转发表项，则创建转发表项，将该端口作为动态成员端口添加到出端口列表中，并启动其老化定时器；b.如果已存在该组播组所对应的转发表项，但其出端口列表中不包含该端口，则将该端口作为动态成员端口添加到出端口列表中，并启动其老化定时器；c.如果已存在该组播组所对应的转发表项，且其出端口列表中已包含该动态成员端口，则重置其老化定时器。（3）收到IGMP离开组报文（IGMPv2/v3）如果要离开的组播组所对应的转发表项存在，且该组播组对应的转发表项的出端口列表中包含该端口，将该端口从组播组所对应的转发表项的出端口列表中删除。二、交换机功能介绍——IGMPSnooping本文档共31页；当前第22页；编辑于星期三\19点58分IGMPSnooping后对报文转发处理（1）收到IGMP普遍组查询报文时，交换机将其通过VLAN内除接收端口以外的其他所有端口转发出去。（2）收到IGMP成员关系报告报文时，交换机将通过VLAN内的所有路由器端口将报告报文转发出去。（3）收到IGMP离开组报文时：a.如果不存在该组播组对应的转发表项，或者该组播组对应的转发表项的出端口列表中不包含该端口，则不处理这个报文。b.如果存在该组播组对应的转发表项，且该组播组对应的转发表项的出端口列表中包含该端口，将离开组报文从VLAN的所有路由器端口转发出去。（4）收到特定组查询报文后，将其通过该组播组的所有成员端口转发出去。（5）收到特定源组查询报文后，将其通过该组播组且组播源包含报文源IP的所有成员端口转发出去。二、交换机功能介绍——IGMPSnooping本文档共31页；当前第23页；编辑于星期三\19点58分DHCP8种报文（1）DHCPRequest报文（5种）：DHCPDiscovery、DHCPRequest、DHCPRelease、DHCPInform、DHCPDecline（2）DHCPReply报文（3种）：DHCPOffer、DHCPACK、DHCPNAK二、交换机功能介绍——DHCPSnoopingDHCP交互过程:本文档共31页；当前第24页；编辑于星期三\19点58分DHCP攻击示意图：DHCPSnooping的作用通过配置非信任端口，过滤伪（非法）DHCP服务器发送的DHCP报文二、交换机功能介绍——DHCPSnooping开启DHCP功能后X本文档共31页；当前第25页；编辑于星期三\19点58分DHCPSnooping的工作机制:（1）信任（Trust）端口:端口可转发所有DHCP报文（2）非信任（Untrust）端口:端口拒绝转发DHCPOffer、DHCPACK、DHCPNAK报文。二、交换机功能介绍——DHCPSnooping因此，我们把合法的DHCPServer连接的端口设置为Tust口，其他口设置为Untrust口，就可以实现对非法DHCPServer的屏蔽。本文档共31页；当前第26页；编辑于星期三\19点58分1、风暴控制2、流量控制3、端口隔离4、端口镜像5、端口聚合6、端口限速二、交换机功能介绍——端口管理本文档共31页；当前第27页；编辑于星期三\19点58分风暴控制（1）风暴控制的作用当LAN中存在过量的广播、多播或未知单播数据流时，导致网络性能下降，甚至网络瘫痪。这种情况我们称之为LAN风暴。（2）工作机制通过设置风暴控制值，交换机端口只允许通过所设定带宽的广播、多播或未知单播数据流通过，超出带宽部分的数据流将被丢弃，直到数据流恢复正常，从而避免过量的泛洪数据流进入LAN中形成风暴。（3）

提供六种设置方式：二、交换机功能介绍——端口管理本文档共31页；当前第28页；编辑于星期三\19点58分流量控制网络拥塞一般是由于速率不匹配（如100M向10M端口发送数据）和突发的集中传输而产生的，它可能导致这几种情况：延时增加、丢包、重传增加，网络资源不能有效利用。