网络安全从入门到入狱(8 交换机进阶篇 生成树,链路聚合,以及虚接口)

生成树协议STP

当多个交换机互联的时候，一旦出现一个arp广播，那么广播就会在交换机内部无线循环，这被称之为环路导致的网络风暴。
而这无法消除的广播就会占用交换机性能，导致网络瘫痪。
而为了网路的稳定性，又需要备用线路。
所以需要使用stp生成树协议来对环路上的线路进行阻塞。
stp协议中，会将以太交换机指定为根交换机，该交换机的端口为指定端口，其余交换机和根交换机链接的端口为根端口。
根交换机会通过BID来确定根交换机。
当然我们也可以设置优先级进行配置根交换机。
如果说我们设置的优先级值一致，则会通过MAC地址确定根交换机。
最后是阻塞端口,环路通过单一的一个阻塞端口阻止了环路，但倘若其余链路损坏，那么被阻塞的链路就会重新启动。

STP端口状态

stp的端口有五种状态,
disable
blocking
listening
learning
forwardding

stp的缺点和替代。

STP虽然可以解决这些问题，但是其更改设置的时间慢，设备使用率低。鸡收敛速度慢.
我们还有其余替代方式

RSTP :快速生成树协议，速度够快.
RSTP将STP 的端口进行了更改,减少了禁用阻塞侦听三种.增加了端口的角色.AP根端口的备份端口和BP指定端口的备份

MSTP多生成树协议。可以在一台交换机内配置多个生成树，甚至每一个vlan都可以有一个生成树。
需要注意的是,mstp多生成树协议,是通过绑定不同的实例进行的,实际上我们还是只创建了一个stp,但在其中创建了多个实例树.
配置命令:
stp region-configuration //开启stp功能并且进入设置
region-name tedu //设置stp的名字
instance 1 vlan 10 //绑定实例树1
instance 2 vlan 20
active region-configuration //保存配置并启动stp
stp instance 1 priority 8192 //设置实例的优先级

eth-trunk链路聚合

eth-trunk 是链路聚合技术,将多个独立物理接口绑定一起作为逻辑接口使用
优点是可以提高带宽,增强设备可靠性,可以负载均衡,
模式分为,手动模式和lacp模式
老机器只用手工模式,
lacp模式
lacp需要先确定住主动设备.以优先级判断.如果优先级相同,则比较mac地址.越小越有限.
主动端口以接口的优先级确定活动端口
当然,我们可以设置活动链路和备份链路,和LACP抢占功能
配置命令:
Lacp priority 100 //配置lacp优先级
Interface eth-trunk 1 //创建链路聚合组
Mode lacp-static
Trunkport g0/0/1 //添加链路聚合成员
Max active-linknumber2 //设置活动端口上限为2
Lacp preempt enable //开启抢占

交换机配置

单臂路由的问题在于:当企业内网络规模很大的时候,单臂路由的带宽无法满足企业内部上网的需求.
然而我们又需要在不同vlan之间实现相互访问.这个时候我们就会使用交换机vlanif虚接口,使用交换机进行路由转发功能.
目前因市场的需求,本该在数据链路层的交换机,也逐渐增加了网络层的功能,像是这种交换机我们称之为三层交换机,而这种交换机是可以使用vlan虚接口配置网关,做到网关的功能

vlanif虚接口配置:

interface vlanif 1 
ip add 网关地址 子网掩码

虚接口可以实现跨网段通信,并且比路由器更加稳定.是实现vlan之间互通的首选.

vlan聚合

多vlan之中,处于不同网段的vlan会造成地址的浪费.
我们使用sub-vlan进行隔离广播域,而super-vlan配置建立网关.这就是子vlan和超级vlan的区别.超级vlan又称作vlan聚合.
正常情况下,我们建立的vlan如果不开启vlanif都属于sub-vlan.只包含物理接口,不能建立vlanif接口.

super-vlan需要在vlanif里面写入网关地址和开启arp,只能建立三层vlanif接口,不包含物理接口一个超级vlan可以包含多个子vlan,

但是vlan聚合也会造成同一vlan中未聚合的子vlan无法相互通信.
可以使用proxy arp功能解决这一个问题

aggregate-vlan //配置当前vlan为聚合vlan(超级vlan)
access-vlan 2 to 4 //在当前vlan中添加子vlan2/3/4
ip address 192.168.10.254 24 //配置当前vlanif虚接口的IP地址

arp-proxy inter-sub-vlan-proxy enable        //开启arp代理功能
补充:隔离端口组:
port-isolate enable group 1     //将当前组加入隔离端口功能组,在这个组内,所有成员无法相互通信,但可以向外通信