一、基本概念
第2層交換：是在LAN上使用設(shè)備的硬件地址對(duì)網(wǎng)絡(luò)進(jìn)行分段的過(guò)程。
交換技術(shù)：是用來(lái)交大的沖突域分隔為小一些的沖突域的技術(shù)。
沖突域：是指用兩臺(tái)或多臺(tái)設(shè)備對(duì)網(wǎng)絡(luò)進(jìn)行分段所形成的區(qū)域，這些區(qū)域共享同一帶寬。
交換機(jī)：它使用專用集成電路(ASIC)來(lái)創(chuàng)建并維護(hù)其過(guò)濾表，它與網(wǎng)橋一樣，用來(lái)分隔沖突域，并在每個(gè)端口提供獨(dú)立的帶寬，因此提高了用戶的訪問(wèn)速率，每個(gè)端口均為半雙工的10Mb/s。但它與網(wǎng)校一樣都不能分隔廣播域。
交換機(jī)設(shè)計(jì)的網(wǎng)絡(luò)：要考慮兩點(diǎn)，一是必須絕對(duì)下確的發(fā)隔沖突域，二是確信用戶在本地網(wǎng)段花費(fèi)了80%的時(shí)間。
交換技術(shù)與橋接的區(qū)別：1、網(wǎng)橋是基于軟件的，而交換機(jī)是基于硬件的；2、交換機(jī)可以看成是多端口的網(wǎng)橋；3、每個(gè)網(wǎng)橋只有一個(gè)生成樹(shù)，而交換機(jī)可以有許多生成樹(shù)；4、交換機(jī)的端口數(shù)量比網(wǎng)橋大的多；5、網(wǎng)橋和交換機(jī)都轉(zhuǎn)發(fā)第二層廣播。
第2層的三種交換功能：1、地址學(xué)習(xí)（address learning）：學(xué)習(xí)每個(gè)幀的源設(shè)備硬件地址，并把他們寫到MAC地址表中；2、轉(zhuǎn)發(fā)/過(guò)濾決定（forword/filter decisions）：根據(jù)接收到幀的目的地址，并在MAC表中找到其相對(duì)應(yīng)的硬件地址。幀被轉(zhuǎn)發(fā)到指定目的端口；3、避免環(huán)路(loop avoidance)：采用生成樹(shù)協(xié)議來(lái)防止環(huán)路的產(chǎn)生。
二、交換技術(shù)
1、MAC地址學(xué)習(xí)。
當(dāng)交換機(jī)加電時(shí)，MAC地址表是空的，當(dāng)有幀發(fā)過(guò)來(lái)時(shí)，交換機(jī)學(xué)習(xí)該幀的源地址，并將其寫到MAC地址表中，然后，交換機(jī)將該幀擴(kuò)期到網(wǎng)絡(luò)中，如果某臺(tái)設(shè)備回應(yīng)了該幀，交換機(jī)將反回信息的源地址寫到MAC地址表中。
2、轉(zhuǎn)發(fā)/過(guò)濾決定。
當(dāng)幀到到交換機(jī)接口時(shí)，交換機(jī)將其目的地址與MAC地址表進(jìn)行對(duì)比，如果MAC地址表內(nèi)有該目的地址，交換機(jī)將該幀直接轉(zhuǎn)發(fā)到目的接口，如果MAC表中沒(méi)有該地址，幀就被廣播到除了發(fā)送幀接口之外的任何接口。
sw1#show mac address-table //查看交換機(jī)的MAC地址表
sw1(config)#interface fastethernet0/1 //進(jìn)入指定的接口，準(zhǔn)備為該接口配置安全
sw1(config-if)#switchport port-security mac_address mac_address //指定該接口只允許基硬件MAC地址訪問(wèn)
sw1(config-if)#switchpott port-security maximum 1 // 設(shè)定該接口只能使用一個(gè)MAC地址。
sw1(config-if)#switchport port-security violation shutdowm // 如果該接口接入其它主機(jī)，則該接口將關(guān)閉
下面的例子，是設(shè)定該接口使用靜態(tài)MAC地址安全，
sw1(config-if)#switchport port-security mac-address sticky //
sw1(config-if)#switchport port-security maximum 2 //
sw1(config-if)#switchport port-security violation shutdown //
3、避免環(huán)路
一般在交換機(jī)之間存在著一條冗余的鏈路，其目的是防止網(wǎng)絡(luò)突然癱瘓。但是冗余的存在就會(huì)產(chǎn)生環(huán)路，解決辦法：生成樹(shù)協(xié)議。
三、生成樹(shù)協(xié)議
1、基本概念
根橋(boot bridge)：橋ID最低的網(wǎng)橋。
橋協(xié)議數(shù)據(jù)單元(BPDU：bridge protocol data until)：所有交換機(jī)之間都相互交換信息，并根據(jù)這些信息選出根交換機(jī)，也根據(jù)這些信息來(lái)時(shí)行網(wǎng)絡(luò)的后續(xù)配置。
橋ID:STP利用ID來(lái)跟蹤網(wǎng)絡(luò)中的所有交換機(jī)。橋ID是由橋優(yōu)先級(jí)和MAC地址的組合來(lái)決定的。
非根橋(nonroot bridge)：除了根橋外的，其它網(wǎng)有網(wǎng)橋。
端口開(kāi)銷(port cost)：當(dāng)兩臺(tái)交換機(jī)之間有多條鏈路且都不是根端口時(shí)，就根據(jù)端口開(kāi)銷來(lái)決定最佳路徑，鏈路的開(kāi)銷取決于鏈路的帶寬。
根端口(root port)：是直接連接到根橋的鏈路所在的端口，或者是到根橋鏈路最短的端口。如果有多條鏈路連接到根橋，應(yīng)檢測(cè)每條鏈路的帶寬來(lái)決定鏈路的開(kāi)銷，開(kāi)銷最小的為根端口；如果開(kāi)銷相同，就使用橋ID最小的那個(gè)橋。如果多條鏈路來(lái)自于同一臺(tái)設(shè)備，就使用端口號(hào)最低的那個(gè)端口。
指定端口(designated port )：有最低開(kāi)銷的端口。指定端口被標(biāo)記為轉(zhuǎn)發(fā)端口。
非指定端口（nondesignated port）：開(kāi)銷比指定端口高的端口。非指定端口被標(biāo)記來(lái)阻塞端口。
轉(zhuǎn)發(fā)端口(forwarding port )：指能夠轉(zhuǎn)發(fā)幀的端口。
阻塞端口(blocked port)：指不能轉(zhuǎn)發(fā)幀的端口。然而，阻塞端口始終監(jiān)聽(tīng)?zhēng)?/span>
2、生成樹(shù)的操作：
STP的任務(wù)：是找到網(wǎng)絡(luò)中所有的鏈路，并關(guān)閉任何冗余的鏈路，以防止網(wǎng)絡(luò)出現(xiàn)環(huán)路。其實(shí)現(xiàn)方法是：STP首先選舉出一個(gè)根橋，由根橋來(lái)負(fù)責(zé)決定網(wǎng)絡(luò)的拓?fù)洹?/span>
選舉根橋：在網(wǎng)絡(luò)中，橋ID用來(lái)選舉根橋，并決定根端口。橋ID為8個(gè)字節(jié)長(zhǎng)，其中包括了設(shè)備的優(yōu)先級(jí)和MAC地址。默認(rèn)的優(yōu)先級(jí)別為：32768
在選舉根橋時(shí)，要將橋ID【優(yōu)先級(jí)】與MAC在址結(jié)合起來(lái)，如果橋ID【優(yōu)先級(jí)】相同，則MAC地址小的為根橋?！緲?/span>id是可以更改的，在大型網(wǎng)絡(luò)中一般會(huì)人為指定根橋】
在關(guān)閉端口時(shí)，如果幾條鏈路的帶寬相同，則關(guān)閉端口號(hào)最高的鏈路。
改變默認(rèn)優(yōu)先級(jí)，是改變根橋的最佳方式。
Sw1(config)#do show spanning-tree //查看生成樹(shù)的信息
Sw1(config)#spanning-tree vlan 1 priority <0~61440> //修改優(yōu)先級(jí)，以改變根橋，0為最優(yōu)，第次以4096的倍數(shù)遞增。
3、生成樹(shù)端口狀態(tài)
阻塞(blocking)：被阻塞的端口不能轉(zhuǎn)發(fā)幀，它只能監(jiān)聽(tīng)BPDU。當(dāng)交換機(jī)加電時(shí)，默認(rèn)情況下，所有端口都處于阻塞狀態(tài)。
偵聽(tīng)(listening)：端口都偵聽(tīng)BPDU，以確信在傳送數(shù)據(jù)幀之前，在網(wǎng)絡(luò)上沒(méi)有環(huán)路產(chǎn)生。
學(xué)習(xí)(learning)：交換機(jī)端口偵聽(tīng)BPDU，并學(xué)習(xí)交換式網(wǎng)絡(luò)中所有路徑。處在學(xué)習(xí)狀態(tài)的端口形成了MAC地址表，但不能轉(zhuǎn)發(fā)數(shù)據(jù)幀。
轉(zhuǎn)發(fā)(forwarding)：在橋接端口上，處在轉(zhuǎn)發(fā)狀態(tài)的端口發(fā)送并接收所有的數(shù)據(jù)幀。
禁用(disabled)：處于禁用判詞的端口不能參與幀的轉(zhuǎn)發(fā)和形成STP。
注：只有處于學(xué)習(xí)狀態(tài)或轉(zhuǎn)發(fā)狀態(tài)下，交換機(jī)才能填寫MAC地址表。
收斂：當(dāng)網(wǎng)橋或交換機(jī)上的所有端口都轉(zhuǎn)變?yōu)檗D(zhuǎn)發(fā)或阻塞狀態(tài)時(shí)，變產(chǎn)生了收斂。在交換機(jī)端口上，生成樹(shù)拓?fù)鋸淖枞睫D(zhuǎn)發(fā)的收斂時(shí)間為50秒。也可以設(shè)置快速端口(portfast)在某端口上禁用生成樹(shù)。
生成樹(shù)快速端口(portfast)：
Sw1(config-if)#spanning-tree portfast //針對(duì)某一端口設(shè)置快速端口
//將端口1～12都設(shè)置成快速端口。在配置端口為快速端口時(shí)，一定要確定不會(huì)產(chǎn)生環(huán)路。
Sw1(config)#interface range fastethernet0/1~12
Sw1(config-if-range)#spanning-tree portfast
生成樹(shù)上行鏈路快速(uplinkfast)：是Cisco特性，當(dāng)鏈路失效時(shí)，它用來(lái)改進(jìn)交換機(jī)的收斂的時(shí)間。該命令只能配置在接入層交換機(jī)上或帶冗余鏈路的交換機(jī)上，且至少有一條鏈路處于阻塞狀態(tài)時(shí)。Uplinkfast允許交換機(jī)在主鏈路(primary link)失效前，找出到根橋的可選路徑。主要作用的確定并快速修復(fù)鏈路失效。
生成樹(shù)主干快速(backbonefast)：如果某條鏈路并沒(méi)有直連到失效的交換機(jī)時(shí)，可以用該命令實(shí)現(xiàn)快速收斂。Backbonefast可以所在catalyst交換機(jī)上啟用，以便能夠檢測(cè)到非直連的鏈路失效。
例：
S1
Switch#config terminal
Switch(config)#hostname s1
S1(config)#enable secret todd
S1(config)#interface fastethernet0/1
S1(config-if)#description 1st connection to core switch //描述功能
S1(config-if)#interface fastethernet 0/2
S1(config-if)#description 2st connection to core switch
Si(config-if)#interface fastethernet 0/3
S1(config-if)#description connection to host_a
S1(config-if)#interface fastethernet 0/4
S1(config-if)#description connection to phone_a
S1(config-if)#interface fastethernet 0/8
S1(config-if)#description connection to ISR
S1(config-if)#line console 0
S1(config-line)#password console
S1(config-line)#login
S1(config-line)#line vty 0 15
S1(config-line)#password telnet
S1(config-line)#login
S1(config-line)#line vlan 1
S1(config-line)#ip address 192.168.10.17 255.255.255.240
S1(config-line)#no shutdown
S1(config-line)#exit
S1(config)#banner motd #this is the s1 switch#
S1(config)#exit
S1#copy running-config starting-config
S2
Switch#config terminal
Switch(config)#hostname s2
S2(config)#enable secret todd
S2(config)#interface fastethernet0/1
S2(config-if)#description 1st connection to core switch
S2(config-if)#interface fastethernet 0/2
S2(config-if)#description 2st connection to core switch
S2(config-if)#interface fastethernet 0/3
S2(config-if)#description connection to host_b
S2(config-if)#interface fastethernet 0/4
S2(config-if)#description connection to phone_b
S2(config-if)#line console 0
S2(config-line)#password console
S2(config-line)#login
S2(config-line)#line vty 0 15
S2(config-line)#password telnet
S2(config-line)#login
S2(config-line)#line vlan 1
S2(config-line)#ip address 192.168.10.18 255.255.255.240
S2(config-line)#no shutdown
S2(config-line)#exit
S2(config)#banner motd #this is the s2 switch#
S2(config)#exit
S2#copy running-config starting-config
Core
Switch#config terminal
Switch(config)#hostname core
core(config)#enable secret todd
core(config)#interface fastethernet0/5
core(config-if)#description 1st connection to s2
core(config-if)#interface fastethernet 0/6
core(config-if)#description 2st connection to s2
core(config-if)#interface fastethernet 0/7
core(config-if)#description connection to s1
core(config-if)#interface fastethernet 0/8
core(config-if)#description connection to s1
core(config-if)#line console 0
core(config-line)#password console
core(config-line)#login
core(config-line)#line vty 0 15
core(config-line)#password telnet
core(config-line)#login
core(config-line)#line vlan 1
core(config-line)#ip address 192.168.10.19 255.255.255.240
core(config-line)#no shutdown
core(config-line)#exit
core(config)#banner motd #this is the core switch#
core(config)#exit
core#copy running-config starting-config
注：只有需要在LAN之外對(duì)交換機(jī)進(jìn)行管理時(shí)，才配置IP default-gateway.
端口安全
S1#config terminal
S1(config)#interface range f0/3~4
S1(config-if-range)#switchport port-security maximum 1 //設(shè)置該端口只能接收一個(gè)MAC地址
S1(config-if-range)#switchport port-security mac-address sticky //設(shè)置靜態(tài)獲取MAC地址
S1(config-if-range)#switchport port-security violation shutdown //設(shè)置當(dāng)非法接入時(shí)，關(guān)閉接口。
S1(config-if-range)#end
S2#config terminal
S2(config)#interface range f0/3~4
S2(config-if-range)#switchport port-security maximum 1
S2(config-if-range)#switchport port-security mac-address sticky
S2(config-if-range)#switchport port-security violation shutdown
S2(config-if-range)#end
Portfast
S1(config)#int range f0/3~4
S1(config-if-range)#spanning-tree portfast //只能應(yīng)用于交換機(jī)與主機(jī)之間的鏈接。
S2(config)#int range f0/3~4
S2(config-if-range)#spanning-tree portfast
Bpdu護(hù)衛(wèi)(BPDUGuard):如果在端口上打開(kāi)了portfast，那么在該端口上應(yīng)啟用BPDUGuard.或BPDUFilter【BPDU過(guò)濾器】
S1(config)#interface range f0/3~4
S1(config-if-range)#spanning-tree bpduguard enable
S2(config)#interface range f0/3~4
S2(config-if-range)#spanning-tree bpduguard enable
Uplinkfast：在本地交換機(jī)上檢測(cè)鏈路失效，并且能快速修復(fù)鏈路
S1(config)#spanning-tree uplistfast
S2(config)#spanning-tree uplistfast
Backbonefast：用來(lái)在遠(yuǎn)端交換機(jī)上檢測(cè)鏈路失效
S1(config)#spanning-tree backbonefast
S2(config)#spanning-tree backbonefast
core(config)#spanning-tree backbonefast
配置etherchannel：在switch到switch、switch到router之間提供冗余的、高速的連接方式，簡(jiǎn)單說(shuō)就是將兩個(gè)設(shè)備間多條FE或GE物理鏈路捆在一起組成一條設(shè)備間邏輯鏈路，從而達(dá)到增加帶寬，提供冗余的目的。
S1(config)#interface port-channel 1
S1(config-if)#int rang f0/1~2
S1(config-if-range)#switchport mode trunk
S1(config-if-range)#switchport nonegotiate //交換機(jī)之間禁止進(jìn)行協(xié)商
S1(config-if-range)#channel-group 1mode desirable //用于將超過(guò)一個(gè)的交換機(jī)互聯(lián)的端口捆綁到一起，主要用于負(fù)載均衡
S1#show int f0/1 etherchannel
Core(config)#int port-channel 1
Core(config-if)#int range f0/1~2
Core(config-if-range)#switchport trunk encap dot1q
Core(config-if-range)#switchport mode trunk
Cort(config-if-range)#channel-group 1 mode desirable
Core#show int port-channel 1
S1#show vlan 1
注：在交換機(jī)上并不需要IP地址，在交換機(jī)上配置IP、掩碼、網(wǎng)關(guān)的唯一目的，就是方便管理。
S1#show mac address-table
S1#show spanning-tree
設(shè)置根橋
S1(config)#spanning-tree vlan 1 priroty 16348 //改變?cè)O(shè)備的優(yōu)先級(jí)別，以修改根橋
S1#show spanning-tree
直接設(shè)置成為根橋
S1(config)#spanning-tree vlan 1 root primary
聯(lián)系客服
