网络安全基础DHCP

端口隔离

     1. 实现同一vlan内端口之间的隔离

     2.只需要将端口加入隔离组中，就能实现隔离组内端口之间二层数据的隔离

     3.优势：节约vlan，提供了更安全的组网环境

 

[sw1-GigabitEthernet0/0/1]port-isolate  enable group 1

[sw1-GigabitEthernet0/0/2]port-isolate enable group 1

进入接口将这个接口的设备加入隔离组，另一个需要隔离的设备也加入同一隔离组 

 

[sw1]display port-isolate group 1   查看隔离组

 

 

 

 

 

DHCP（动态主机配置协议）

       作用：  实现IP地址的动态分配，集中管理

       优势：避免手工配置错误，提高效率，快速适应网络变化

       角色：DHCP 客户端         DHCP服务器

       DHCP 中继（中转站-可选）负责DHCP服务器和DHCP客户端之间的DHCP报文

      企业内部一般不需要部署中继

 

DHCP工作原理：

 

发现阶段：客户端广播发现DHCP服务器   DHCP Discover报文

提供阶段：DHCP服务器单播回offer       DHCP Offer报文

选择阶段：选IP  广播  避免别的服务器打扰，告诉他们已经选择哪个服务器 DHCP Request

确认阶段：确认  单播    DHCP ACK报文

 

 

 

 

 

基于全局DHCP配置

[ar1]dhcp enable启用dhcp服务

[ar1]ip pool tedu 创建ip地址池

[ar1-ip-pool-tedu]network 192.168.1.0 mask 24  配置可分配的地址段

[ar1-ip-pool-tedu]gateway-list 192.168.1.254  配置网关地址

[ar1-ip-pool-tedu]dns-list 8.8.8.8  配置dns地址

[ar1-ip-pool-tedu]lease day 3   配置租约

[ar1-GigabitEthernet0/0/0]dhcp select global 在接口下开启基于全局dhcp

[ar1-ip-pool-tedu]excluded-ip-address 192.168.1.200 192.168.1.253  地址池中排除ip地址

 

 

基于接口DHCP配置

[ar1]dhcp enable启用dhcp服务

[ar2]in g0/0/0  进入接口

[ar1-GigabitEthernet0/0/0]ip add192.168.1.254 24  进入接口添加ip地址

[ar1-GigabitEthernet0/0/0]dhcp select interface   启用基于接口的dhcp

[ar1-GigabitEthernet0/0/0]dhcp server dns-list 8.8.8.8  在接口中配置dns地址

[ar1-GigabitEthernet0/0/0]dhcp server lease day 999 接口中配置租期

[ar1-GigabitEthernet0/0/0]dhcp server excluded-ip-address 192.168.1.250 192.168.1.253   排除ip地址

 

 

DHCP中继配置 

[ar1]dhcp enable  开启dhcp服务

[ar1]in g0/0/1  进入接口

[ar1-GigabitEthernet0/0/1]dhcp select relay  开启dhcp中继服务

[ar1-GigabitEthernet0/0/1]dhcp relay server-ip 192.168.20.20  指定dhcp服务器的ip地址

 

 

[sw1]display ip pool name vlan2查看地址池的信息

[sw1]display ip pool name vlan2 all  查看详细地址池信息

[sw3]display ip pool name vlan10 used  查看已使用的ip地址

 

8.8.8.8是GOOGLE公司提供的DNS，该地址是全球通用的

 

 

租期：

地址使用时间到达​50%  单播    

地址使用时间到达 87.5% 广播

 

PC>ipconfig /release   释放dhcp分配的ip地址

PC>ipconfig /release    重新获得dhcp分配的IP地址

 

 

 

[sw1-GigabitEthernet0/0/4]port link-type turnk    已经加入vlan10，在加入turnk会出现错误提示

                                        ^

Error: Unrecognized command found at '^' position.

 

第一种解决方法

[sw1-GigabitEthernet0/0/4]port default vlan 1  加入到默认vlan   vlan1

[sw1-GigabitEthernet0/0/4]port link-type trunk    将接口改为trunk

 

第二种解决方法

[sw1-GigabitEthernet0/0/4]undo port default vlan    恢复接口上vlan的缺省配置

[sw1-GigabitEthernet0/0/4]port link-type trunk  将接口改为trunk

 

 

 

 

[sw1-GigabitEthernet0/0/4]port link-type access   已经加入配为trunk，在加入access会出现错误提示

                                        ^

Error: Unrecognized command found at '^' position.

第一种解决方法

[sw1-GigabitEthernet0/0/4]undo port trunk  allow-pass vlan 2~4094    恢复接口上vlan的缺省配置

[sw1-GigabitEthernet0/0/4]port link-type access  将接口改为access

第二种解决方法

[sw1-GigabitEthernet0/0/4]undo port trunk  allow-pass vlan all    恢复接口上vlan的缺省配置

[sw1-GigabitEthernet0/0/4]port trunk allow-pass vlan 1

[sw1-GigabitEthernet0/0/4]port link-type access  将接口改为access

 

 

 

补充

Vlan：分割二层网络

 

Vlanif虚接口作用：实现vlan间路由

 

Vlan聚合：主要用于校园网   作用：节约ip地址

 

端口隔离作用：isolate  使相同vlan间设备不能通信

 

帧格式：目的地址，源地址，类型，数据（ip头部，tcp头部，上层数据），帧校验序列

 

DHCP作用：给主机分配网络参数，集中管理分配的ip地址

 

DHCP工作原理：1.发现   客户端发送 dhcp discover报文 

作用：发现dhcp服务器，请求IP地址

Mac地址：携带主机的mac地址  chaddr 客户机硬件地址

源ip：0.0.0.0 未分配的ip地址，通常代表主机

目的ip：255.255.255.255  广播ip

 

2.  提供   offer   服务器收到offer报文后，单播回复offer报文

 

            3.  选择    客户端收到offer报文后，广播发送dhcp request报文

 

5. 确认  服务器收到客户端发的request报文，单播回复ack报文