HCIA---day3

陈鑫

---

交换技术  

*垃圾流量问题----广播的数据帧会产生大量的流量，并占用带宽资源和计算机的处理速度。

*安全问题----如果计算机可以轻易的接收到不应该接收的数据帧，就会产生安全隐患。

VLAN技术----虚拟局域网 

VLAN帧格式  

 

VLAN的类型

#基于端口的 VLAN 划分方式 ---- 一层 VLAN

     *最常用的方式

     *在接口进行配置，将 vlan 编号映射到交换机物理接口，从该接口进入的帧被划分到该 vlan

#基于 MAC 地址的 VLAN---- 二层 vlan

#基于协议的 VLAN---- 三层 vlan

端口类型

#Access端口-----接入

     *一般用于交换机与终端设备相连的接口。

     *只能属于一个 VLAN

注：可以消除数据包的VLAN设置

#Trunk 端口 ---- 干道

     *一般用于交换机与交换机相连的接口。

     *可以同时属于多个 VLAN

#Hybrid 端口 ---- 混杂

     *同时具备前两种端口的功能。

VLAN的配置

# 第一步，在交换机上创建VLAN

[sw1]vlan ?
 INTEGER<1-4094> VLAN ID -------用来标识和区分不同VLAN，取值范围为0-4095，其中0
和4095不可用
[sw1]vlan 2 -----创建VLAN 2；默认情况下，交换机存在vlan 1，并且所有接口均属于vlan
1。
[sw1]vlan 3
[sw1]vlan batch 2 to 10 -----同时创建连续的vlan2、3、4....10
[sw1]vlan batch 20 30 40 50 ----同时创建vlan20、30、40、50

#第二步，将接口划入 VLAN-------必须按照命令配置顺序执行

[sw1]interface GigabitEthernet 0/0/1
[sw1-GigabitEthernet0/0/1]port link-type access ----将接口类型更改为access
[sw1-GigabitEthernet0/0/1]port default vlan 2 ---将接口划分给vlan2

#第三步，配置Trunk干道

配置位置在，交换机与交换机相连的接口

[sw2-GigabitEthernet0/0/3]port link-type trunk ----将接口类型设置为trunk
[sw2-GigabitEthernet0/0/3]port trunk allow-pass vlan 2 3 -----在trunk的允许列表中加入
vlan2和vlan3，若不在trunk的允许列表中的vlan，是不允许被trunk这条链路放通的。

VLAN之间通讯

---

多臂路由

注：交换机和路由器的接口 0/0/4  ，0/0/5 是设置access接口，可以消除VLAN设置

单臂路由

*单臂路由就是通过对路由器接口划分子接口的方式进行数据转发。

*子接口（ Sub-interface ）是基于路由器 以太网接口 所创建的逻辑接口，以物理接口 ID+ 子接口 ID 进行标识，子接口继承物理接口的功能。

*子接口不同于物理接口，子接口可以处理携带 VLAN 的标签。由于子接口不支持 VLAN 报文，当它收到VLAN 报文后，将会把该报文丢弃，因此，需要在子接口上开启处理 VLAN 报文的能力。

*一个物理接口可以创建多个子接口（多个网段）。

*连接路由器物理接口的交换机的接口，需要配置为 trunk 干道。

1 、交换机创建 VLAN

2 、将接口划入 VLAN ， access 接口

3 、配置 trunk 干道

[sw1-GigabitEthernet0/0/4]port link-type trunk

[sw1-GigabitEthernet0/0/4]port trunk allow-pass vlan 2 3

4 、创建子接口

[r1]interface GigabitEthernet 0/0/0.1

[r1-GigabitEthernet0/0/0.1]ip address 192.168.1.254 24

[r1-GigabitEthernet0/0/0.1]dot1q termination vid 2

[r1-GigabitEthernet0/0/0.1]arp broadcast enable ---- 子接口默认不开启 ARP 应答

[r1]interface GigabitEthernet 0/0/0.2

[r1-GigabitEthernet0/0/0.2]ip address 192.168.2.254 24

[r1-GigabitEthernet0/0/0.2]dot1q termination vid 3

[r1-GigabitEthernet0/0/0.2]arp broadcast enable ---- 子接口默认不开启 ARP 应答

三层交换机

*二层交换机指的是只具备二层交换功能的交换机。

*三层交换机是除了具备二层交换机的所有功能外，还支持通过三层接口实现路由转发功能。

*VLANIF 接口是一种三层的逻辑接口，支持 VLAN Tag（标签） 的添加和剥离能力，因此可以通过 vlanif 接口实 现vlan 间的通讯

[sw1]display vlan ---- 查看创建的 VLAN 以及对应接口

三层交换机配置：

[sw3]vlan batch 2 3

[sw3-GigabitEthernet0/0/1]port link-type trunk

[sw3-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 3

[sw3]interface Vlanif 2 ---- 创建 vlanif 接口，并指定 vlan 2 为该接口处理的 vlan 编号。

[sw3-Vlanif2]ip address 192.168.1.254 24

[sw3]interface Vlanif 3 ---- 创建 vlanif 接口，并指定 vlan 3 为该接口处理的 vlan 编号。

[sw3-Vlanif2]ip address 192.168.2.254 24

二层接口和三层接口对比

二层接口	三层接口
不能配置 IP 地址	可以配置 IP 地址
没有 MAC 地址	具备 MAC 地址
当二层接口收到数据帧时，设备在其 MAC 地址表中查询该帧的目的 MAC 地 址，找到匹配的 ,AC 地址表项后按照该表 项指示进行转发数据帧；若没有找到匹配 的 MAC 地址表项，则将数据帧进行洪泛	三层接口收到数据帧后，如果数据帧的目的 MAC 地址 与设备本地的 MAC 地址相同，则将数据帧解封装，然 后在路由表中查询数据包的目的 IP 地址，找到匹配路 由表项，并按照该表项指示进行转发数据，如果没有 找到匹配表项，则将数据包丢弃。
二层接口并不隔离广播域	三层接口隔离广播域
二层交换机，三层交换机	路由器、三层交换机

作业：

NAT技术----网络地址转换技术

---

作用：完成私网 IP 和公网 IP 的转换。

NAT 技术一般应用于内网的出口路由器上。

NAT的分类

#静态NAT-----一对一

       *在内网边界路由器上建立并维护一张 静态地址映射表 ，该表记录了公有 IP 地址和私有 IP 地址            之间的对应关系。

       

[r1]interface GigabitEthernet 0/0/1
[r1-GigabitEthernet0/0/1]nat static global 13.0.0.10 inside 192.168.1.1

13.0.0.10----> 被称为漂浮 IP ，该 IP 必须是从运营商购买来的合法的公网 IP 地址，且必

须与出接口地址处于同网段。

[r1]display nat static

 不允许使用出接口的公网地址作为IP转换地址。

 #动态NAT----一对多

       *缺陷：只有当上一个流量返回后，下一个流量才能够进行地址转换并转发 ----- 排队上网

 

[r2]nat address-group 1 13.0.0.10 13.0.0.19-----配置动态NAT地址池，公有地址必须
是真实购买的IP地址，且必须连续

抓取流量

[r2]acl 2000
[r2-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255

将ACL和NAT地址池进行绑定

[

r2-GigabitEthernet0/0/1]nat outbound 2000 address-group 1

no-pat---->该参数代表仅进行IP地址转换，而不进行端口转换

#easy ip-----NAPT技术-----网络地址端口转换技术 

[r2]acl 2000
[r2-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255
[r2-GigabitEthernet0/0/1]nat outbound 2000

端口映射

可以把访问企业公网的 IP 的某个端口的流量转发给企业内网的服务器

[r2-GigabitEthernet0/0/1]nat server protocol tcp global current-interface 10000 inside
192.168.1.100 23