day17、4 - 三层交换机热备份

一、三层交换网络规划

1.三层交换机网络+HSRP

• 上一章学习的公司网络是很简单的，但是现实中公司中会有多台二层交换机，二层交换机再连接到三层交换机，利用三层交换机实现公司中划分vlan后，不同vlan之间也可以相互通信，而且再添加一个路由器连接到三层交换机，则公司员工就可以通过三层交换机再到路由器实现与外网通信（上网）。所以在公司网络中，三层交换机的地位是很高的，那么就需要额外买一台三层交换机，作为备份使用，如下图

  

• 三层交换机需要起虚接口并配置对应vlan网关的IP，假如图中有4个vlan，那么就需要在每个三层交换机上都起四个虚接口，分别作为这4个vlan的网关，但是一个网络中不能同时出现两个相同IP的网关，会冲突。比如在r1-gate三层交换机上vlan10–10.1.1.252，vlan20–20.1.1.252，vlan30–30.1.1.252等；在r2-gate三层交换机上vlan10–10.1.1.253，vlan20–20.1.1.253，vlan30–30.1.1.253等。那么此时员工PC网关该如何指呢？就需要用到HSRP协议热备份网关

  

• 现在需要创建HSRP组并设置虚拟路由器网关的虚拟IP，由于有4个vlan，则有4个网段的网关，就需要设置4个HSRP组，一个组中有两个同一vlan的真实网关和此vlan的虚拟网关，所以也要设置4个虚拟IP。比如第一个HSRP组号为10，组中活跃路由器网关IP为10.1.1.252，备份路由器网关IP为10.1.1.253，虚拟IP为10.1.1.254；第二个HSRP组号为20，组中活跃路由器网关IP为20.1.1.252，备份路由器网关IP为20.1.1.253，虚拟IP为20.1.1.254…以此类推一共有4组。那么现在只需要让PC网关指向对应vlan的虚拟IP，就可以实现正常上网且当一个网关故障时另一个网关抢占活跃名分，实现快速切换，让员工感觉不到切换。比如PC1接入vlan10接口，那么PC1网关指向10.1.1.254；PC3接入vlan30接口，那么PC3网关指向30.1.1.254即可。

2.多个三层交换机网络中环路问题

• 在此网络中，会发现有两条环路，这种环路可以理解为是三个交换机之间构成的环路，与路由器形成的环路不同

  

• 交换机构成的环路会造成：广播风暴！使交换机报黄灯，即交换机工作量巨大已经快无法承受

• 原因：当一个PC发送广播，经过二层交换机，二层交换机将广播转发，又因为二层交换机与三层交换机之间的线路都配置成了trunk链路，表示允许任何vlan通过，则此PC发送的广播可以在trunk链路中传播，那么另一台交换机收到广播后，一看帧头中的目标MAC为广播MAC，则会继续向trunk链路转发广播，第三台再收到又会广播，那么广播就会周而复始的在交换机构成的网络中循环传播下去，就会造成广播风暴！

• 如何解决：目前厂家在生产企业级管理型交换机时就已经内置了一个生成树协议–STP协议，利用此协议，三台交换机会相互通信交流谁当老大，如果协商出来一台交换机当老大，假设在下图中，左边的三层交换机是老大，那么在环路中与老大交换机相连的线路正常，另外两个交换机的f0/2或者f0/3接口会设置禁止通行，相当于f0/1和f0/1trunk端口之间的线路数据无法通过，则不会形成环路。所以如果网络中的交换机内置了STP协议，只要交换机之间形成环路，就立即通过此协议协商出逻辑down掉哪条线路的接口，避免形成环路（如下图中逻辑down掉这两个端口）

  

• 如果有多台三层交换机做热备份使用的网路中，一般是HSRP协议和STP协议共同协作

3.理解三层交换机在网络中的连接

• 因为我们说过三层交换机内部可以理解为由一个纯的二层交换机和一个纯的路由器组成，所以连接方式如下图

  

• 理解STP协议会逻辑down掉环路的某端口：红色圈起来的为逻辑down掉的端口；那么二层交换机与三层交换机之间有很多线路，但此时只有绿色对钩的线路可以走，就避免交换机之间形成环路

  

• HSRP如何起作用详见本章三层交换机综合实验—3.验证—当中的第二点

二、三层交换机综合实验

1.实验要求

• 如图所示

  

1. 要求公司中划分vlan隔离广播，减小广播危害
2. 配置三层交换机，实现不同vlan间PC可以相互通信
3. 配置HSRP热备份三层交换机的各vlan网关，实现一个网关故障，可以切换另一个网关实现快速切换
4. 配置所有路由器和三层交换机，实现内外网互通

2.实验步骤

1）配置交换部分

1. 配置二层交换机的trunk和三层交换机的trunk

   注意由于已经给二层交换机端口配置trunk，那么相连的三层交换机端口已经自动配置成trunk，只需要再手动打开两台三层交换机的任意一台设置互连的端口为trunk即可。但是直接配置trunk会报错，先给端口设置标签协议：switchport trunk encapsulation dot1q，再配置trunk

   • 二层交换机配置trunk

     

   • 三层交换机配置trunk

     

2. 使用VTP技术在任意一台三层交换机上创建vlan并下发到二层交换机和另一台三层交换机

   

3. 将二层交换机端口加入对应vlan

   • 检查一下是否下发成功

     

   • 再加入vlan

     

4. 在r1-gate三层交换机上根据vlan起虚端口，配IP：x.x.x.252（注意一定要先开启三层路由功能）

   

5. 在r2-gate三层交换机上根据vlan起虚接口，配IP：x.x.x.253

   

   ---

   目前为止，内网的不同vlan的电脑如果都指向同一个三层交换机上的虚接口网关，那么是可以通信的，比如PC1IP设置为10.1.1.1/24，网关指向10.1.1.252；PC2IP设置为20.1.1.1/24，网关指向20.1.1.252。则PC1和PC2是可以通信的。但是如果PC1不变，PC2网关指向20.1.1.253。那么此时PC1和PC2是无法通信的。所以每一个员工此时有两个网关的选择，为了避免这种情况的出现，则接着进行热备份，虚拟IP设为254，那么不同vlan的员工指向自己对应网段的网关IP接口，如10.1.1.254、20.1.1.254等

6. 给三层交换机上的网关做热备份

   • 因为活跃路由器的优先级设置为200，且追踪自降优先级默认为10，所以在配置备份路由器优先级范围为[191,199]，保证不超过活跃路由器优先级且活跃路由器连接外网端口故障自降优先级后比备份路由器低。实现热切换

   • 如何规划谁作为活跃谁作为备份：如果让一个三层交换机作为公司所有vlan的活跃路由器，那么工作压力会很大，所以一般有两个三层交换机的话，一个作为vlan10，vlan20的活跃路由器；另一个作为vlan30和vlan40的活跃路由器，各一半，平均分配压力到三层交换机。

   

7. 查看热备份信息

   现在可能会有些问题，因为活跃路由器设置过track跟踪连接外网的端口，而此时还没有开启端口，所以会先自降优先级，活跃成备份，备份成活跃，但不影响内网通信。等配置路由部分开启端口就恢复正常了

   

2）配置路由部分

1. 开启所有路由器和三层交换机连接路由器的端口并配IP

   给三层交换机的端口配置IP时一定要先将二层端口升级为三层端口，才可以给三层交换机的端口配置IP

   • 开启三层交换机端口并配置IP

     

   • 开启r-in路由器并配置IP

     

   • 开启外网中的路由器并配置IP

     

2. 给所有路由器和三层交换机路由引擎配置路由表

   • 注意在配置r-in时，现实中在配置外网网段的路由条目时，需要配置默认条目，因为互联网有很多网段，不可能每个网段都配置静态路由。但是这里实验为了方便，保证相邻路由器不互指默认路由的前提下，r-in路由器对外网方向上的网段配置成静态路由，因为可以数得过来。其他的外网的交换机也遵守上面的前提配置方便实验的路由表。
   • 在配置r-in路由器的路由表时一定要注意路由到内网网段的路由条目的下一跳IP，可以选择从连接r1-gate的线路路由到公司内网的网段；也可以把路由到10、20网段的消息设置浮动路由：优先指向r1-gate，备份指向r2-gate；把路由到30、40网段的消息设置浮动路由：优先指向r2-gate，备份指向r1-gate。这样分担线路的压力，而且保证有故障时也可以正常将消息路由

   • 给r1-gate配置路由表并查看

     

   • 给r2-gate配置路由表并查看

     

   • 给r-in配置路由表并查看

     

   • 给r1-out配置路由表并查看

     

   • 给r2-out配置路由表并查看

     

3.验证

1. 手动给所有PC配置IP，尝试内网与内网、内网与外网的通信

   

2. 故障的几种特殊情况举例：理解整个网络有线路故障，但在HSRP协议和STP协议相互配合下为什么能够正常通信？

   

   0. 当网络正常时，我们用PC1（属于vlan10）去pingPC5。由于我们在设置HSRP热备份时，r1-gate作为vlan10和vlan20的活跃路由器、vlan30和vlan40的备份路由器。所以当没有故障时，PC1与外网通信会去请求虚拟路由器(10.1.1.254)，虚拟路由器只认活跃路由器，所以会将帧发送到r1-gate路由器中的虚拟网关，然后再根据路由表将帧路由出去，但是由于交换设备的STP协议将r1-gate的f0/2端口逻辑down掉，所以④号线走不通，只能经过交换机再走⑥号线，所以会先经过r2-gate再经过③号线到达r1-gate；当PC5回包时经过r-in，由于设置的r-in的路由表时，发给10网段的应从①号线走、②号线作为备份（浮动路由），所以会到达r1-gate，根据路由表转发。④号线走不通，所以发到r2-gate再到sw1，最终到达PC1

      

   1. 当①号线路故障：可能是r1-gate的f0/4端口故障，或者是这根网线故障，或者r-in的f0/0端口故障（后面都是如此，不再赘述）

      

   2. 当⑥号线路故障：一旦检测到⑥号线故障，STP协议会立刻逻辑开启r1-gate的端口，是④号线可以通行

      

   3. 当③号线路故障：由于③号线路故障，r1-gate的f0/2端口会被逻辑开启，那么帧直接经过sw1到达r1-gate