HCIE第三次作业----STP和WAN

STP

选举机制-----BPDU
·RID
·COST
·BID
·PID
· 对端PID
· 本端PID

接口状态机制
·disabled
·blocking 选举根桥
·listening
·learning 15秒转发延时
·forearding

MSTP对STP和RSTP的改进
MSTP把一个交换网络划分成多个域每个域内形成多棵生成树，生成树之间彼此独立。
每棵生成树叫做一个多生成树实例MSTI(Multiple Spanning Tree Instance),每个域叫做一个MST域(MST Region: Multiple SpanningTree Region)。

问题一:设备运行STP初始化场景
STP从初始状态到完全收敛至少需经过30s:

针对问题一:P/A机制(1)
P/A机制基本原理

特点:由于有来回确认机制和同步变量机制，就无需依靠计时器来保障无环。

阶段一:设备刚刚启动，RSTP协议刚刚启用，所有交换机都认为自己是根桥，向其他交换机发送P置位的BPDU，并把发送P消息的端口变成DP口，同时接口处在 Discarding状态。
阶段二:交换机SWA收到SWB和SWC的P消息会置之不理，因为他的桥优先级最高交换机SWB和SWC收到SWA的P消息后，由于认同SWA是最优的根桥，会根据P/A协商流程回复A消息，并把发送端口变成RP端口，同时接口处在Forwarding状态。阶段三:SWA与SWB，SWA与SWB的P/A协商已经完成，接下来是SWB和SWC的 P/A协商。
SWB和SWC都会发送根桥为SWA的P消息给对方。
SWC收到SWB的P消息后，发现P消息里虽然根桥和自己认可的一样，但是发送者的桥优先级比自己高(SWB>SWC)所有马上停止发送P消息，但是由于已经有端口是RP口，也不会回A消息。
SWB收到SWC的P消息后，发现P消息里虽然根桥和自己认可的一样，但是发送者的桥优先级比自己低(SWB>SWC)会不停的发送P消息。
以上状态在等待2个ForwardDelay时间后，SWB端口为DP端口，处在 Forwarding状态，SWC端口为AP端口，处在Discarding状态。
实际上SWB与SWC之间的协商等同于退回到STP的模式，但是反正是 Discarding状态，根本不影响其他业务转发。

问题二:交换机有BP端口，RP端口down掉场景
SWC与SWA的直连链路down掉，其BP端口切换成RP端口并进入转发状态至少需要经过30s:

针对问题二:根端口快速切换机制
SWC与SWA的直连链路down掉，其AP端口切换成RP端口并进入转发状态可在秒级时间内完成收敛:

问题三:交换机无BP端口，RP端口down掉场景

SWB与SWA的直连链路down掉，则SWC的BP端口切换成DP端口并进入转发状态大约需要50s:

针对问题三:次等BPDU处理机制
SWB与SWA的直连链路down掉，SWC的AP端口切换成DP端口并进入转发状态可在秒级时间内完成:

问题四:运行STP的交换机连接用户终端的场景
交换机连接终端的链路进入转发需要经过30s:

针对问题四:边缘端口的引入
在RSTP中，交换机连接终端的链路可立即进入转发状态:

问题五:STP的拓扑变更机制

先由变更点朝根桥方向发送TCN消息，收到该消息的上游交换机就会回复TCA消息进行确认:最后TCN消息到达根桥后，再由根桥发送TC消息通知设备删除桥MAC地址表项，机制复杂，效率低下。

针对问题五:拓扑变更机制的优化
判断拓扑变化唯一标准:一个非边缘端口迁移到Forwarding状态。

STP的其他不足之处—端口状态

RSTP对STP的改进

端口角色与端口状态
快速收敛机制
拓扑变化处理机制

STP和RSTP的缺陷

RSTP和STP还存在同一个缺陷:由于局域网内所有的VLAN共享一棵生成树，因此无法在VLAN间实现数据流量的负载均衡，链路被阻塞后将不承载任何流量，还有可能造成部分VLAN的报文无法转发。
如图所示网络中，生成树结构在图中用虚线表示，S6为根交换设备。S2和S5之间、S1和S4之间的链路被阳寒。HostA和B同属于VLAN2，由于S2和S5之间的链路被阳塞 S3和S6之间的链路又不允许VLAN2的报文通过，因此HostA和HostB之间无法互相通讯。

MSTP 多生成树

1、为了能够负载均衡
通过多生成树进行负载均衡
对于同一VLAN生成树是无法做到负载均衡的
2、为了增大生成树网络
生成树交换网络规模无法做到很大，一般是50个设备的规模
隔离思想实现-----把一个大的生成树网络分割成多个区域，在区域内把所有VLAN一棵树分割为多个vlan或者一个vlan一棵树
生成树拓展特性
1、root guard 保护根桥不被抢占
[0/0/2]stp root-protection //根保护配置
可以配置在trunk与hybird、access接口，如果该接口收到比当前交换机更优的根桥BPDU，根保护会使得该接口进入阻塞状态，不能抢根，把生成树网络动荡降至至最低
2、BPDU guard 保护边缘端口不能让其接人交换机或者仿冒交换机的BPDU包，如果边缘端口收到BPDU，那么该接口将会被关闭，防止网络出现动荡

[Huawei]stp bpdu-protection //全局配置，使得该交换机所有边缘端口处在保护状态，如果边缘端口收到BPDU，那么该接口会被关闭
3、loop guard 环路保护
当光纤组网，出现单向链路故障或者端口拥塞的情况时候，生成树无法显示环路阻塞，从而引起所谓的单项链路故障环路，那么我们可以使用loop guard增强特性来阻止该情况发生

[Huawei-GigabitEthernet0/0/4]stp loop-protection //在可能出现单向环路的光接口配置该命令
注意：我们也可以用单向链路检查来阻止单项链路
4、TC protection
拓扑变更信息会导致生成树交换机删除其MAC地址表和ARP表，如果频繁收到TC信息就会导致交换机网络出现严重的转发问题—丢包或者大延迟

Display mac-address total-number //我们可以用该命令反复查看交换机MAC地址的数量，如果出现数量的急剧变化，那么我们需要考虑是否是由TC信息引发。
[huawei]stp tc-protection //该命令会使得交换机机制接收TC信息的数量，默认1s一个

MAC地址表的组成(1)

动态表项
由接口通过报文中的源MAC地址学习获得，表项可老化，默认老化时间300秒。
在系统复位接口板热插拔或接口板复位后，动态表项会丢失。静态表项
由用户手工配置，并下发到各接口板，表项不可老化。
在系统复位接口板热插拔或接口板复位后，保存的表项不会丢失。
黑洞表项
由用户手工配置，并下发到各接口板，表项不可老化。
配置黑洞MAC地址后，源MAC地址或目的MAC地址是该MAC的报文将会被丢弃。

端口安全

端口安全(PortSecurity)通过将接口学习到的动态MAC地址转换为安全MAC地址(包括安全动态MAC安全静态MAC和StickyMAC)，阻止非法用户通过本接口和交换机通信，从而增强设备的安全性。
安全MAC地址分类
安全动态MAC地址
使能端口安全而未使能StickyMAC功能时转换的MAC地址。
安全静态MAC地址
使能端口安全时手工配置的静态MAC地址。
Sticky MAC地址
使能端口安全后又同时使能StickyMAC功能后转换到的MAC地址。

端口安全：防止 MAC洪泛攻击，阻止未授权的用户接入该接口

MAC地址漂移
MAC地址漂移是指设备上一个VLAN内有两个端口学习到同一个MAC地址，后学习到的MAC地址表项覆盖原MAC地址表项的现象。
MAC地址漂移避免机制:
提高接口MAC地址学习优先级;
不允许相同优先级的接口发生MAC地址表项覆盖。

WAN

以太网接口

以太网由Xerox公司PARC研究中心于1973年5月22日首次提出。
以太网类型:
10M以太网(标准以太网)
100M以太网(快速以太网)
1000M以太网(千兆以太网)
10G以太网(万兆以太网)
100G以太网(100G以太网)
…

10M/100M以太网
10M/100M以太网物理层按照速率等级和传输介质来划分。常见的类型如下:
10BASE-T采用两对非屏蔽的3类、4类、5类双绞线;
100BASE-TX:采用两对屏蔽双绞线或高质量的5类非屏蔽双绞线;
100BASE-FX:采用两根光纤，一根用于发送，一根用于接收。

T:表示双绞线;
TX:表示2对高质量的双绞线
FX:表示2根光纤。

1000M以太网
1000M以太网标准如下:
1000BASE-T:IEEE8023ab，5类非屏蔽双绞线
1000BASE-X:IEEE8023z多模光纤单模光纤和150欧平衡屏蔽式双绞线。1000BASE-CX:由于最大长度25米，现在应用已经很少。
1000BASE-SX:短波850nm，激光范围(770~860nm)只用于多模光纤。
1000BASE-LX长波1310nm，激光范围(1270~1355nm)主要用于单模光纤，但也可以用于多模光纤。

PPP基本概念-三大组件

PPP协议在TCP/IP协议栈中位于数据链路层，是目前应用最广泛的点到点链路层协议。
PPP的三个组件:
数据封装方式:定义封装多协议数据包的方法。
链路控制协议(LCP):定义建立协商和测试数据链路层连接的方法。
网络层控制协议(NCP):包含一组协议，用于对不同的网络层协议进行连接建立和参数协商。

PPP共定义了三个协议组件，分别是数据封装方式，链路控制协议(Link Control Protocol LCP)和网络层控制协议(Network Control Protocol,NCP)。数据封装方式定义了如何封装多种类型的上层协议数据包。
为了能适应多种多样的链路类型，PPP定义了链路控制协议LCP。LCP可以自动检测链路环境，如是否存在环路;协商链路参数，如最大数据包长度，使用何种认证协议等等。与其他数据链路层协议相比，PPP协议的一个重要特点是可以提供认证功能，链路两端可以协商使用何种认证协议并实施认证过程，只有认证成功才会建立连接。这个特点使PPP协议适合运营商用来接入分散的用户。
PPP定义了一组网络层控制协议NCP，每一个协议对应一种网络层协议，用于协商网络层地址等参数，例如IPCP用于协商控制IP，IPXCP用于协商控制IPX协议等。

建链过程
Dead:这是PPP工作开始和结束的阶段。当物理层变为可用状态(UP)之后，PPP进入
Establish阶段。
Establish:PPP在此阶段使用LCP协商链路层参数。如果链路层参数协商不成功(FAIL)则PPP连接建立不成功，PPP退回到Dead阶段。如果链路层参数协商成功(OPENED)则PPP进入Authenticate阶段。
Authenticate:PPP在此阶段认证对端，如果认证失败(FAIL)，则PPP进入Terminate阶段;如果认证成功(SUCCESS)或者没配置认证(NONE)则PPP进入Network阶段。
Network:PPP在此阶段使用NCP进行网络层参数协商，协商成功则PPP连接建立成功，开
始传输网络层数据包。当上层协议认为应当关闭此连接(例如按需电路)或者管理员手工关闭PPP连接(CLOSING)，则PPP进入Terminate阶段。
Terminate:PPP在此阶段使用LCP关闭PPP连接。PPP连接关闭(Down)后，PPP进入 Dead阶段。
注意:此处列出的是PPP的工作阶段，并非PPP的协议状态。由于PPP是由一组协议组成的，因此 PPP本身没有协议状态。只有特定的的协议如LCP和NCP等才有协议状态和状态转换(协议状态机)。
光模块使用的时候需要注意：
1、网络设备能够支持的模块种类需要明确，比如只支持SFP就不能插其他模块进去
2、链路两段的光模块一般需要速率和规格一致，比如一头是1000M SX SFP模块那么另外一头也是1000M SX SFP，单模与多模不可以对接。都是单模或多模的情况下10000与1000对接很有可能不能够速率不能够自适应，这个时候需要人为调整10000接口的速率调整为1000

interface GigabitEthernet0/0/2
undo negotiation auto
duplex full
speed 1000
3单模模块必须要使用单模光纤，多模模块必须要使用多模光纤，并且光纤的速率也需
要和模块匹配。比如1000M模块插100M光纤就会出问题。