三种办法让交换机路由器更加安全

三种办法让交换机路由器更加安全

在网络之间的访问控制中，路由过滤措施可以基于源/目标交换槽或端口，源/目标VLAN,源/目标IP，或TCP/UDP端口，ICMP类型，或MAC地址。现在的网络要求设计成各层次都是安全的，通过部署交换机和路由器的安全设置，企业可以传统的安全技术创建强壮、各层都安全的系统。

传统的网络安全技术侧重于系统入侵检测，反病毒软件或防火墙。内部安全如何?在网络安全构造中，交换机和路由器是非常重要的，在七层网络中每一层都必须是安全的。很多交换机和路由器都有丰富的安全功能，要了解有些什么，如何工作，如何部署，一层有问题时不会影响整个网络。交换机和路由器被设计成缺省安全的，出厂时就处于安全设置的状态，特别操作的设置在用户要求时才会被激活，所有其他选项都是关闭的，以减少危险，网管员也无需了解哪些选项应该关闭。

在初始登录时会被强制要求更改密码，也有密码的期限选项及登录尝试的次数限制，而且以加密方式存储。限期的帐号(维护帐号或后门)是不会存在的。交换机及路由器在掉电，热启动、冷启动，升级IOS、硬件或一个模块失败的情况下都必须是安全的，而且在这些事件发生后应该不会危及安全并恢复运作，因为日志的原因，网络设备应该通过网络时间协议保持安全精确的时间。通过SNMP协议连接管理的名称也应该被改变。

抵挡DoS攻击

从可用性出发，交换机和路由器需要能抵挡拒绝服务式Dos攻击，并在攻击期间保持可用性。理想状态是他们在受到攻击时应该能够做出反应，屏蔽攻击IP及端口。每件事件都会立即反应并记录在日志中，同时他们也能识别并对蠕虫攻击做出反应。

交换机及路由器中使用FTP，HTTP，TELNET或SSH都有可以有代码漏洞，在漏洞被发现报告后，厂商可以开发、创建、测试、发布升级包或补丁。

基于角色的管理给予管理员最低程序的许可来完成任务，允许分派任务，提供检查及平衡，只有受信任的连接才能管理倔们。管理权限可赋予设备或其他主机，例如管理权限可授予一定IP地址及特定的TCP/UDP端口。

控制管理权限的最好办法是在授权进入前分权限，可以通过认证和帐户服务器，例如远程接入服务，终端服务，或LDAP服务。

远程连接的加密

很多情况下，管理员需要远程管理交换机及路由器，通常只能从公共网络上访问。为了保证管理传输的安全，需要加密协议，SSH是所有远程命令行设置和文件传输的标准协，基于WEB的则用SSL或TLS协议，LDAP通常是通讯的协议，而SSL/TLS则加密此通讯。

SNMP用来发现、监控、配置网络设备，SNMP3是足够安全的版本，可以保证授权的通信。

建立登录控制可以减轻受攻击的可能性，设定尝试登录的次数，在遇到这种扫描时能做出反应。详细的日志在发现尝试破解密码及端口扫描时是非常有效的。

交换机及路由器的配置文件的安全也是不容忽视的，通常配置文件保存在安全的位置，在混乱的情况下，可以取出备份文件，安装并激活系统，恢复到已知状态。有些交换机结合了入侵检测的功能，一些通过端口映射支持，允许管理员选择监控端口。

虚拟网络的角色

虚拟的本地网络VLAN是第二层上的有限广播域，由一组计算机设备组成，通常位一多个LAN上，可能跨越一个或多个LAN交换机，而与它们的物理位置无关，设备之间好像在同一个网络间通信一样，允许管理员将网络分为多个可管理运行良好的小块，将啬、移动、更改设备、用户及权限的任务简化。

VLAN可在各种形式上形成，如交换口，MAC地址，IP地址，协议类型，DHCP，802.1Q 标志或用户自定义。这些可以单独或组合部署。

VLAN认证技术在用户通过认证过程后授权给用户进入一个或多个VLAN，该授权不是给予设备。

防火墙可以控制网络之间的访问，最广泛应用的是嵌在传统路由器和多层交换机上的，也称作ACLs,防火墙的不同主要在于他们扫描包的深度，是端到端的直接通讯还是通过代理，是否有session。

在网络之间的访问控制中，路由过滤措施可以基于源/目标交换槽或端口，源/目标VLAN,源/目标IP，或TCP/UDP端口，ICMP类型，或MAC地址。对于某些交换机和路由器，动态ACL标准可以用户通过认证过程后被创建，就像是认证的VLAN，不过是在第三层上。当未知的源地址要求连入已知的内部目标时是有用的。

现在的网络要求设计成各层次都是安全的，通过部署交换机和路由器的安全设置，企业可以传统的安全技术创建强壮、各层都安全的系统。

作为管理员需要为单位所有的网络设备机制定一套基本的安全配置策略是极为重要的。为此，笔者将某单位内部路由器和交换机的安全策略拿来与大家共享：

路由器安全策略示例：

1. 路由器上不得配置用户账户。

2. 路由器上的enable password命令必须以一种安全的加密形式保存。

3. 禁止IP的直接广播。

4. 路由器应当阻止源地址为非法地址的数据包。

5. 在本单位的业务需要增长时，添加相应的访问规则。

6. 路由器应当放置在安全的位置，对其物理访问仅限于所授权的个人。

7. 每一台路由器都必须清楚地标识下面的声明：

“注意：禁止对该网络设备的非授权访问。您必须在获得明确许可的情况下才能访问或配置该设备。在此设备上执行的所有活动必须加以记录，对该策略的违反将受到纪律处分，并有可能被诉诸于法律。”

每一台网络交换机必须满足以下的配置标准：

1. 交换机上不得配置用户账户。

2. 交换机上的enable password命令必须以一种安全的加密形式保存。

3. 如果交换机的MAC水平的地址能够锁定，就应当启用此功能。

4. 如果在一个端口上出现新的或未注册的MAC地址，就应当禁用此端口。

5. 如果断开链接后又重新建立链接，就应当生成一个SNMP trap.

6. 交换机应当放置在安全的位置，对其物理访问仅限于所授权的个人。

7. 交换机应当禁用任何Web 服务器软件，如果需要这种软件来维护交换机的话，应当启动服务器来配置交换机，然后再禁用它。对管理员功能的所有访问控制都应当启用。

8. 每一台交换机都必须清楚地标识下面的声明：

“注意：禁止对该网络设备的非授权访问。您必须在获得明确许可的情况下才能访问或配置该设备。在此设备上执行的所有活动必须加以记录，对该策略的违反将受到纪律处分，并有可能被诉诸于法律。”这些安全要求未必适合你单位的情况，仅供参考。

集线器、交换机、路由器、网桥、网关之间的区别与联系

1、集线器(HUB) 集线器就是将网线集中到一起的机器，也就是多台主机和设备的连接器。集线器的主要功能是对接收到的信号进行同步整形放大，以扩大网络的传输距离，是中继器的一种形式，区别在于集线器能够提供多端口服务，也称为多口中继器。集线器在OSI/RM中的物理层。集线器的基本功能是信息分发，它把一个端口接收的所有信号向所有端口分发出去。一些集线器在分发之前将弱信号重新生成，一些集线器整理信号的时序以提供所有端口间的同步数据通信。 集线器实际就是一种多端口的中继器。集线器一般有4、8、16、24、32等数量的RJ45接口，通过这些接口，集线器便能为相应数量的电脑完成“中继”功能（将已经衰减得不完整的信号经过整理，重新产生出完整的信号再继续传送）。由于它在网络中处于一种“中心”位置，因此集线器也叫做“HUB”。 集线器的工作原理很简单，比如有一个具备8个端口的集线器，共连接了8台电脑。集线器处于网络的“中心”，通过集线器对信号进行转发，8台电脑之间可以互连互通。具体通信过程是这样的：假如计算机1要将一条信息发送给计算机8，当计算机1的网卡将信息通过双绞线送到集线器上时，集线器并不会直接将信息送给计算机8，它会将信息进行“广播”——将信息同时发送给8个端口，当8个端口上的计算机接收到这条广播信息时，会对信息进行检查，如果发现该信息是发给自己的，则接收，否则不予理睬。由于该信息是计算机1发给计算机8的，因此最终计算机8会接收该信息，而其它7台电脑看完信息后，会因为信息不是自己的而不接收该信息。 2、交换机(Switch) 交换机是集线器的升级换代产品，外形上和集线器没什么分别，是一种在通信系统中自动完成信息交换功能的设备，用途和HUB一样也是连接组网之用，但是它具有比集线器更强大的功能。 交换机也叫交换式集线器，它通过对信息进行重新生成，并经过内部处理后转发至指定端口，具备自动寻址能力和交换作用，由于交换机根据所传递信息包的目的地址，将每一信息包独立地从源端口送至目的端口，避免了和其他端口发生碰撞。广义的交换机就是一种在通信系统中完成信息交换功能的设备。 在计算机网络系统中，交换机是针对共享工作模式的弱点而推出的。集线器是采用共享工作模式的代表，如果把集线器比作一个邮递员，那么这个邮递员是个不认识字的“傻瓜”——要他去送信，他不知道直接根据信件上的地址将信件送给收信人，只会拿着信分发给所有的人，然后让接收的人根据地址信息来判断是不是自己的!而交换机则是一个“聪明”的邮递员——交换机拥有一条高带宽的背部总线和内部交换矩阵。交换机的所有的端口都挂接在这条背部总线上，当控制电路收到数据包以后，处理端口会查找内存中的地址对照表以确定目的MAC （网卡的硬件地址）的NIC（网卡）挂接在哪个端口上，通过内部交换矩阵迅速将数据包传送到目的端口。目的MAC若不存在，交换机才广播到所有的端口，接收端口回应后交换机会“学习”新的地址，并把它添加入内部地址表中。 可见，交换机在收到某个网卡发过来的“信件”时，会根据上面的地址信息，以及自己掌握的“常住居民户口簿”快速将信件送到收信人的手中。万一收信人的地址不在“户口簿”上，交换机才会像集线器一样将信分发给所有的人，然后从中找到收信人。而找到收信人之后，交换机会立刻将这个人的信息登记到“户口簿”上，这样以后再为该客户服务时，就可以迅速将信件送达了。

路由器实验资料报告材料1

路由器技术实验报告 ------------安徽工业大学计算机与科学技术学院

《路由器技术》实验指导书 一．实验总学时（课外学时/课学时）：22 开实验个数：7 二．适用专业：计算机专业 三．考核方式及办法：在规定实验时间完成实验要求,依据实验过程、实验结果和实验报告综合考核。四．配套的实验教材或指导书：自编实验指导书 五. 实验项目： 实验一：Packet Tracer软件使用交换机的配置与管理 （容一）：认识Packet Tracer软件 Packet Tracher介绍 Packet Tracer 是Cisco 公司针对CCNA认证开发的一个用来设计、配置和故障排除网络的模拟软件。Packer Tracer 模拟器软件比Boson 功能强大，比Dynamips 操作简单，非常适合网络设备初学者使用。学习任务： 1、安装Packer Tracer； 2、利用一台型号为2960 的交换机将2pc机互连组建一个小型局域网； 3、分别设置pc机的ip 地址； 4、验证pc 机间可以互通。 实验设备： Switch_2960 1 台；PC 2 台；直连线 配置信息： PC1 IP：192.168.1.2 Submask：255.255.255.0 Gateway：192.168.1.1 PC2 IP：192.168.1.3 Submask：255.255.255.0 Gateway：192.168.1.1

（容二）：交换机的基本配置与管理 1.实验目标： 掌握交换机基本信息的配置管理。 2.实验背景： 某公司新进一批交换机，在投入网络以后要进行初始配置与管理，你作为网络管理员，对交换机进行基本的配置与管理。 3.技术原理： 交换机的管理方式基本分为两种：带管理和带外管理。 1.通过交换机的Console 端口管理交换机属于带外管理；这种管理方式不占用交换机的网络端口，第一次配置交换机必须利用Console端口进行配置。 2.通过Telnet、拨号等方式属于带管理。 交换机的命令行操作模式主要包括： ●用户模式Switch> ●特权模式Switch# ●全局配置模式Switch(config)# ●端口模式Switch(config-if)# 4.实验步骤： ●新建Packet Tracer 拓扑图 ●了解交换机命令行 ●进入特权模式(en) ●进入全局配置模式(conf t) ●进入交换机端口视图模式(int f0/1) ●返回到上级模式(exit) ●从全局以下模式返回到特权模式(end) ●帮助信息(如? 、co?、copy?) ● ●命令简写(如conf t) ●命令自动补全(Tab) ●快捷键(ctrl+c 中断测试,ctrl+z 退回到特权视图)

交换机和路由器的基本配置

实验一交换机和路由器的基本配置 交换机的基本配置 【实验名称】 交换机的基本配置。 【实验目的】 掌握交换机命令行各种操作模式的区别，能够使用各种帮助信息，以及用命令进行基本的配置。 【背景描述】 你是某公司新进的网管，公司要求你熟悉网络产品，公司采用全系列锐捷网络产品，首先要求你登录交换机，了解、掌握交换机的命令行操作技巧，以及如何使用一些基本命令进行配置。 【需求分析】 需要在交换机上熟悉各种不同的配置模式以及如何在配置模式间切换，使用命令进行基本的配置，并熟悉命令行界面的操作技巧。 【实验拓扑】 图1-1 实验拓扑图 【实验设备】 三层交换机1台 【预备知识】 交换机的命令行界面和基本操作 【实验原理】 交换机的管理方式基本分为两种：带内管理和带外管理。通过交换机的Console口管理交换机属于带外管理，不占用交换机的网络接口，其特点是需要使用配置线缆，近距离配置。第一次配置交换机时必须利用Console端口进行配置。 交换机的命令行操作模式，主要包括：用户模式、特权模式、全局配置模式、端口模式等几种。 ???用户模式进入交换机后得到的第一个操作模式，该模式下可以简单查看交换机的软、硬件版本信息，并进行简单的测试。用户模式提示符为switch> ???特权模式由用户模式进入的下一级模式，该模式下可以对交换机的配置文件进行管理，查看交换机的配置信息，进行网络的测试和调试等。特权模式提示符为switch# ???全局配置模式属于特权模式的下一级模式，该模式下可以配置交换机的全局性参数（如主机名、登录信息等）。在该模式下可以进入下一级的配置模式，对交换机具体的功能进行配置。全局模式提示符为switch(config)# ???端口模式属于全局模式的下一级模式，该模式下可以对交换机的端口进行参数配置。端口模式提示符为switch(config-if)# 交换机的基本操作命令包括：

路由器、交换机、MODEM、HUB(集线器)的功能及区别

路由器、交换机、MODEM、HUB的作用和不同之处，下面以大家参考： 集线器--集线器也叫Hub，工作在物理层（最底层），没有相匹配的软件系统，是纯硬件设备。集线器主要用来连接计算机等网络终端。集线器为共享式带宽，连接在集线器上的任何一个设备发送数据时，其他所有设备必须等待，此设备享有全部带宽，通讯完毕，再由其他设备使用带宽。正因此，集线器连接了一个冲突域的网络。所有设备相互交替使用，就好象大家一起过一根独木桥一样。集线器不能判断数据包的目的地和类型，所以如果是广播数据包也依然转发，而且所有设备发出数据以广播方式发送到每个接口，这样集线器也连接了一个广播域的网络。 交换机--交换机Switch，工作在数据链路层（第二层），稍微高端一点的交换机都有一个操作系统来支持。和集线器一样主要用于连接计算机等网络终端设备。交换机比集线器更加先进，允许连接在交换机上的设备并行通讯，好比高速公路上的汽车并行行使一般，设备间通讯不会再发生冲突，因此交换机打破了冲突域，交换机每个接口是一个冲突域，不会与其他接口发生通讯冲突。并且有系统的交换机可以记录MAC地址表，发送的数据不会再以广播方式发送到每个接口，而是直接到达目的接口，节省了接口带宽。但是交换机和集线器一样不能判断广播数据包，会把广播发送到全部接口，所以交换机和集线器一样连接了一个广播域网络。高端一点的交换机不仅可以记录MAC地址表，还可以划分VLAN （虚拟局域网）来隔离广播，但是VLAN间也同样不能通讯。要使VLAN间能够通讯，必须有三层设备介入。

路由器--路由器Router，工作在网络层（第三层），所有的路由器都有自己的操作系统来维持，并且需要人员调试，否则不能工作。路由器没有那么多接口，主要用来进行网络与网络的连接。简单的说路由器把数据从一个网络发送到另一个网络，这个过程就叫路由。路由器不仅能像交换机一样隔离冲突域，而且还能检测广播数据包，并丢弃广播包来隔离广播域，有效的扩大了网络的规模。在路由器中记录着路由表，路由器以此来转发数据，以实现网络间的通讯。路由器的介入可以使交换机划分的VLAN实现互相通讯。 集线器：纯硬件、用于连接网络终端、不能打破冲突域和广播域。 交换机：拥有软件系统、用于连接网络终端、能够打破冲突域，但是不能分割广播域。 路由器：拥有软件系统、用于连接网络、可以打破冲突域也可以分割广播域，是连接大型网络的比备设备 MODEM其实是取MOdulatorDEModulator两个英文的缩写合并而成，译成中文就是"调制解调器"。MODEM的主要功能就是将数据在数字信号和模拟信号之间转换，以实现在电话线上的传输。现在的MODEM基本上都带有传真和语音功能，所以通常叫做Fax/Voice/Modem。在日常生活使用的电话线路中，所有信息都是以连续性的模拟信号，也就是音频信号来表示和传送，而对电脑来说，只认识0和1两个数字，所有信息都是以不连续的数字信号来表示和传送，这下MODEM就派上用场了！电脑先把数据交给MODEM，MODEM把数字信号转为音频模拟信号，送进电话线里这个过程叫"调制"；在接收一方MODEM 收到音频模拟信号，将其还原为数字信息交给电脑处理，这个过程叫"解调"。MODEM的作用打个比方，就好比是网络这座桥梁两端的桥头堡。至于电脑与

交换机、路由器设备选型总结

一、交换机选型： 1.背板带宽是交换机接口处理器或接口卡和数据总线间所能吞吐的最大数据量。 交换机机箱内部背后设置的大量的铜线，而背板带宽指的是这些铜线提供的带宽，与背板带宽有关的，是背板铜线部署的多少；交换容量是实际业务板卡与交换引擎之间的连接带宽，真正标志了交换机总的数据交换能力，与交换容量有关的，是业务插槽与管理引擎上的交换芯片，交换容量是决定交换机性能转发的主要因素。 所有单端口容量*端口数量之和的2倍<背板带宽，才可以实现全双工无阻塞交换。 比如cisco公司的Catalyst2950G-48,它有48个100Mbit/s端口和2个1000Mbit/s端口，它的背板带宽应该不小于13.6Gbit/s，才能满足线速交换的要求。 计算如下：(2*1000+48*100)*2(Mbit/s)=13.6(Gbit/s) 2.满配置吞吐量(Mpps)=满配置GE端口数×1.488Mpps,其中1个千兆端口在包长为64字节时的理论吞吐量为1.488Mpps。例如:1台最多能够提供64个千兆端口的交换机，其满配置吞吐量应达到64×1.488Mpps = 95.2Mpps，才能够确保在任何端口均线速工作时，提供无阻塞的包交换。假如一台交换机最多能够提供176个千兆端口，而宣称的吞吐量为不到261.8Mpps(176 x 1.488Mpps = 261.8)，那么用户有理由认为该交换机采用的是有阻塞的结构设计。 1.488的由来：包转发线速的衡量标准是以单位时间内发送64byte的数据包（最小包）的个数作为计算基准的。 计算方法如下：一个数据包的实际长度为(64＋8＋12)byte=(512+64+96)bit=672bit,说明：当以太网帧为64byte时，需考虑8byte的帧头和12byte的帧间隙的固定开销。故一个线速的千兆以太网端口在转发64byte包时的包转发率为1.488095Mpps=1000Mbit/s/672bit。快速以太网的线速端口包转发率正好为千兆以太网的十分之一，为0.1488095Mpps=100Mbit/s/672bit。 对于万兆以太网，一个线速端口的包转发率为14.88Mpps； 对于千兆以太网，一个线速端口的包转发率为1.488Mpps； 对于快速以太网，一个线速端口的包转发率为0.1488Mpps； 对于OC－12的POS端口，一个线速端口的包转发率为1.17Mpps； 对于OC－48的POS端口，一个线速端口的包转发率为468MppS。 3.典型的网络设计会采用过载(Oversubscription)设计模式 过载设计的规则： 接入层到汇聚层--过载率：10:1到20:1 汇聚层到核心层--过载率：2:1到4:1 服务器群--过载率：1:1到4:1 例子：假设三级网络结构 接入层：10000台PC，每台PC使用1000M接入，采用10G上联汇聚层，20:1的过载率； 汇聚到核心层：10GE上联，4:1的过载率；双核心架构，核心交换机之间使用双10G 捆绑链路相连提供冗余。 最终核心层的网络流量最高为：10000*1000M*2*1/(4*20)+10G*2*2=290Gbps,也就是说最大需要的背板带宽为290Gbps,包转发能力为：290G*1.488Mpps=431.52Mpps; 汇聚层的网络流量为：10G*(4+2)*2=120Gbps,即最大需要背板带宽为120Gbps，包转发率为：120G*1.488Mpps=178.56Gpps； 接入层选择48口的交换机，交换容量为：(48*1000M+1*10000M)*2=116Gbps,即最大需求背板带宽为116Gbps，包转发率为：116*1.488Mpps=172.6Mpps。按照20:1的过载

深入了解路由器与交换机的功能和区别

深入了解路由器与交换机的功能和区别（1） 2009-06-08 12:30中国IT实验室安琪 关键字：交换机路由器 最近看到很多人在询问交换机、路由器是什么，功能如何，有何区别，笔者就这些问题简单的做些解答。 首先说交换机(又名交换式集线器)作用可以简单的理解为将一些机器连接 起来组成一个局域网。而路由器与交换机有明显区别，它的作用在于连接不同的网段并且找到网络中数据传输最合适的路径，可以说一般情况下个人用户需求不大。路由器是产生于交换机之后，就像交换机产生于集线器之后，所以路由器与交换机也有一定联系，并不是完全独立的两种设备。路由器主要克服了交换机不能路由转发数据包的不足。 目前个人比较多宽带接入方式就是ADSL，因此笔者就ADSL的接入来简单的说明一下。现在购买的ADSL猫大多具有路由功能(很多的时候厂家在出厂时将路由功能屏蔽了，因为电信安装时大多是不启用路由功能的，启用DHCP。打开ADSL的路由功能)，如果个人上网或少数几台通过ADSL本身就可以了，如果电脑比较多你只需要再购买一个或多个集线器或者交换机。 考虑到如今集线器与交换机的价格相差十分小，不是特殊的原因，请购买一个交换机。不必去追求高价，因为如今产品同质化十分严重，我最便宜的交换机现在没有任何问题。给你一个参考报价，建议你购买一个8口的，以满足扩充需求，一般的价格100元左右。接上交换机，所有电脑再接到交换机上就行了。余下所要做的事情就只有把各个机器的网线插入交换机的接口，将猫的网线插入uplink接口。然后设置路由功能，DHCP等，就可以共享上网了。 看完以上的解说读者应该对交换机、路由器有了一些了解，目前的使用主要还是以交换机、路由器的组合使用为主，具体的组合方式可根据具体的网络情况和需求来确定。 交换机与路由器的区别

路由与交换实训报告

路由与交换实训报告 Document serial number【KKGB-LBS98YT-BS8CB-BSUT-BST108】

苏州市职业大学 实习（实训）报告名称交换与路由技术 2011年12月29日至2011年12月30日共1周院系计算机工程系 班级 10网络安全（CIW） 姓名胡帅帅 系主任李金祥 教研室主任谭方勇 指导教师方立刚、高小惠苏州市职业大学实习（实训）任务书名称：路由与交换 起讫时间：2011年12月29日~2011年12月30日院系：计算机工程系 班级： 10网络安全

指导教师：方立刚、高小惠系主任：李金祥

实验要求： 1、根据拓朴图分别在S2126和S3550创建相应VLAN ，并在S2126上将F0/10-15加入VLAN2，将F0/16-20加入VLAN4，在S3550上将F0/10-12加入VLAN3 2、在两台交换机之间配置实现冗余链路，解决环路问题 3、S3550通过SVI 方式和RA 互连 4、S3550配置实现VLAN 间互连 5、RA 和RB 之间采用PPP 链路，采用PAP 方式进行验证提高链路的安全性。 6、在全网运应RIPV2实现全网互连。 7、通过访问列表控制所有人可以正常访问服务器，只有VLAN4不可以访问FTP 服务。 8、通过相关命令显示相关配置结果，并进行验证 三、实习（实训）方式 ■ 集中 □ 分散 □ 校内 □ 校外 F0 S0 S0 F0 A B F0/5 VLAN1 F0/5 VLAN2 VLAN4 S2126 S3550 RA: 30 F 30 F S3550 : VLAN3＝ FTPserver VLAN3 F0/6 F0/6

三层交换机与路由器的配置_实例(图解)

三层交换机与路由器的配置实例（图解） 目的：学会使用三层交换与路由器让处于不同网段的网络相互通信 实验步骤：一：二层交换机的配置： 在三个二层交换机上分别划出两VLAN，并将二层交换机上与三层交换或路由器上的接线设置为trunk接口 二：三层交换机的配置： 1：首先在三层交换上划出两个VLAN，并进入VLAN为其配置IP，此IP将作为与他相连PC的网关。 2：将与二层交换机相连的线同样设置为trunk接线，并将三层交换与路由器连接的线设置为路由接口（no switchsport） 3：将路由器和下面的交换机进行单臂路由的配置 实验最终结果：拓扑图下各个PC均能相互通信

交换机的配置命令： SW 0: Switch> Switch>en Switch#conf Configuring from terminal, memory, or network [terminal]? Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#vlan 2 Switch(config-vlan)#exit Switch(config)#int f0/2 Switch(config-if)#switchport access vlan 2 Switch(config-if)#no shut Switch(config-if)#int f0/3 Switch(config-if)#switchport mode trunk %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/3, changed state to down %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/3, changed state to up Switch(config-if)#exit Switch(config)# SW 1: Switch>en Switch#conf Configuring from terminal, memory, or network [terminal]? Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#int f0/2 Switch(config-if)#switchport access vlan 2 % Access VLAN does not exist. Creating vlan 2 Switch(config-if)#no shut Switch(config-if)#exit Switch(config)#int f0/3 Switch(config-if)#switchport mode trunk %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/3, changed state to down %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/3, changed state to up Switch(config-if)# SW 2: Switch>en Switch#conf Configuring from terminal, memory, or network [terminal]?

路由器、交换机常用维护手册

第一章路由器常用维护手册 1.路由器简单配置 1.1用串行电缆将PC机串口与路由器CONSOLE口连接，用WIN95的超级终端或NETTERM软件进行配置。PC机串口设置为波特率9600 数据位8 停止位1。 1.2新出厂的路由器启动后会进入自动配置状态。可按提示对相应端口进行配置。 1.3命令行状态。若不采用自动配置，可在自动配置完成后，问题是否采用以上配置时，回答N。此时进入命令行状态。 1.4进入CONFIG模式。在router>键入enable , 进入router # ,再键入config t ,进入router(config)# 。 1.5配置广域端口。在正确连接好与E1端口的电缆线后，在router # 下键入sh controller cbus 。检验端口物理特性，及连线是否正确。之后，进入config 模式。 进行入下配置。 int serial <端口号> E1端口号。 ip address <掩码> 广域网地址 bandwidth 2000 传输带宽 clock source line 时钟设定。 1.6检验配置。设置完成后，按ctrl Z退出配置状态。键入write mem 保存配置。 用sh conf 检查配置信息。用sh int 检查端口状态。 第二节路由器常用命令 2.1Exec commands:

<1-99> 恢复一个会话 bfe 手工应急模式设置 clear 复位功能 clock 管理系统时钟 configure 进入设置模式 connect 打开一个终端 copy 从tftp服务器拷贝设置文件或把设置文件拷贝到tftp服务器上debug 调试功能 disable 退出优先命令状态 disconnect 断开一个网络连接 enable 进入优先命令状态 erase 擦除快闪内存 exit 退出exce模式 help 交互帮助系统的描述 lat 打开一个本地传输连接 lock 锁定终端 login 以一个用户名登录 logout 退出终端 mbranch 向树形下端分支跟踪多路由广播 mrbranch 向树形上端分支跟踪反向多路由广播 name-connection 给一个存在的网络连接命名 no 关闭调试功能 pad 打开X.29 PAD连接 ping 发送回显信息 ppp 开始点到点的连接协议 reload 停机并执行冷启动 resume 恢复一个活动的网络连接 rlogin 打开远程注册连接 rsh 执行一个远端命令 send 发送信息到另外的终端行 setup 运行setup命令 show 显示正在运行系统信息 slip 开始SLIP协议 start-chat 在命令行上执行对话描述

路由器(Router)、集线器(Hub)交换机(Switch)的各自特点与区别

路由器（Router）、集线器（Hub）交换机（Switch）的各自特点与区别 1.路由器（Router）是一种负责寻径的网络设备，它在互连网络中从多条路径中寻找通讯量最少的一条网络路径提供给用户通信。路由器用于连接多个逻辑上分开的网络。对用户提供最佳的通信路径，路由器利用路由表为数据传输选择路径，路由表包含网络地址以及各地址之间距离的清单，路由器利用路由表查找数据包从当前位置到目的地址的正确路径。路由器使用最少时间算法或最优路径算法来调整信息传递的路径，如果某一网络路径发生故障或堵塞，路由器可选择另一条路径，以保证信息的正常传输。路由器可进行数据格式的转换，成为不同协议之间网络互连的必要设备。 路由器使用寻径协议来获得网络信息，采用基于“寻径矩阵”的寻径算法和准则来选择最优路径。按照OSI参考模型，路由器是一个网络层系统。路由器分为单协议路由器和多协议路由器。 Internet由各种各样的网络构成，路由器是其中非常重要的组成部分，整个Internet上的路由器不计其数。Intranet要并入Internet，兼作Internet服务，路由器是必不可少的组件，并且路由器的配置也比较复杂。 （一）路由器的寻址和路由选择 在互连网上交换信息的一个基本要求是每个站都具有可达的唯一地址。像邮政编址类似，互连网地址也由几部分组成。在互连网上，通常要求使用网络地址、主机地址和计算机上运行的应用。 规定了地址之后，接下来便是如何选择路径到达报文的终点。路由选择涉及规定路由选择参数以及如何获得这些参数。 在互连网中使用的地址是32位的IP地址，该地址由网络号和主机号组成。IP地址分为下述3类：A类地址使用7位来标识网络，24位用来规定网络上的主机； B类地址使用14位来标识网络，16位用来标识主机； C类地址使用21位来标识网络，8位用来标识主机。 路由器在选择路径时常用的算法有两种：一是距离向量；二是链路状态。前一种由路由选择信息协议（RIP）使用，后一种由开放式最短路径优先协议（OSPF）使用。 现举例来说明路由器如何工作。假设由一个路由器连接了三个子网，子网地址（掩码）分别为1000、2000 和 3000，相互通信的两个站的地址分别是1400和2034。 假定编址为1400的站向2034发送报文。信源站首先将其网络地址掩码（1000）与终点网络地址掩码进行比较，因为两者不同，源站认识到报文接收者不在同一LAN上，不能直接发送到接收者。于是该源站便从其路由选择表中把它所连接的路由器1的地址和该报文置于一个信封内，并将信封发给路由器1。 路由器1收到报文，丢掉信封，观察报文的终点地址，将其与它具有的3个网络地址掩码（1000，2 000 和 3000）比较。由于与2000相同，路由器便将报文直接发送给接收者。当然，这个例子是互连网络中最简单的一种，但基本原理是一样的。 （二）路由器与网桥的差别

以太网交换机和路由器的区别

以太网交换机和路由器的区别 （1）工作层次不同 最初的的交换机是工作在OSI／RM开放体系结构的数据链路层，也就是第二层，而路由器一开始就设计工作在OSI模型的网络层。由于交换机工作在OSI的第二层（数据链路层），所以它的工作原理比较简单，而路由器工作在OSI的第三层（网络层），可以得到更多的协议信息，路由器可以做出更加智能的转发决策。 （2）数据转发所依据的对象不同 交换机是利用物理地址或者说MAC地址来确定转发数据的目的地址。而路由器则是利用不同网络的ID 号（即IP地址）来确定数据转发的地址。IP地址是在软件中实现的，描述的是设备所在的网络，有时这些第三层的地址也称为协议地址或者网络地址。MAC地址通常是硬件自带的，由网卡生产商来分配的，而且已经固化到了网卡中去，一般来说是不可更改的。而IP地址则通常由网络管理员或系统自动分配。 （3）传统的交换机只能分割冲突域，不能分割广播域；而路由器可以分割广播域 由交换机连接的网段仍属于同一个广播域，广播数据包会在交换机连接的所有网段上传播，在某些情况下会导致通信拥挤和安全漏洞。连接到路由器上的网段会被分配成不同的广播域，广播数据不会穿过路由器。虽然第三层以上交换机具有VLAN功能，也可以分割广播域，但是各子广播域之间是不能通信交流的，它们之间的交流仍然需要路由器。 （4）路由器提供了防火墙的服务 路由器仅仅转发特定地址的数据包，不传送不支持路由协议的数据包传送和未知目标网络数据包的传送，从而可以防止广播风暴。 交换机一般用于LAN-WAN的连接，交换机归于网桥，是数据链路层的设备，有些交换机也可实现第三层的交换。路由器用于WAN-WAN之间的连接，可以解决异性网络之间转发分组，作用于网络层。他们只是从一条线路上接受输入分组，然后向另一条线路转发。这两条线路可能分属于不同的网络，并采用不同协议。相比较而言，路由器的功能较交换机要强大，但速度相对也慢，价格昂贵，第三层交换机既有交换机线速转发报文能力，又有路由器良好的控制功能，因此得以广泛应用。

华为交换机安全防范技术

在网络实际环境中，随着计算机性能的不断提升，针对网络中的交换机、路由器或其它计算机等设备的攻击趋势越来越严重，影响越来越剧烈。交换机作为局域网信息交换的主要设备，特别是核心、汇聚交换机承载着极高的数据流量，在突发异常数据或攻击时，极易造成负载过重或宕机现象。为了尽可能抑制攻击带来的影响，减轻交换机的负载，使局域网稳定运行，交换机厂商在交换机上应用了一些安全防范技术，网络管理人员应该根据不同的设备型号，有效地启用和配置这些技术，净化局域网环境。本文以华为3COM公司的Quidway系列交换机为例，分两期为您介绍常用的安全防范技术和配置方法。以下您将学到广播风暴控制技术、MAC地址控制技术、DHCP控制技术及ACL技术。 广播风暴控制技术 网卡或其它网络接口损坏、环路、人为干扰破坏、黑客工具、病毒传播，都可能引起广播风暴，交换机会把大量的广播帧转发到每个端口上，这会极大地消耗链路带宽和硬件资源。可以通过设置以太网端口或VLAN的广播风暴抑制比,从而有效地抑制广播风暴，避免网络拥塞。 1.广播风暴抑制比 可以使用以下命令限制端口上允许通过的广播流量的大小，当广播流量超过用户设置的值后，系统将对广播流量作丢弃处理，使广播所占的流量比例降低到合理的范围，以端口最大广播流量的线速度百分比作为参数，百分比越小，表示允许通过的广播流量越小。当百分比为100时，表示不对该端口进行广播风暴抑制。缺省情况下，允许通过的广播流量为100%，即不对广播流量进行抑制。在以太网端口视图下进行下列配置： broadcast-suppression ratio 2.为VLAN指定广播风暴抑制比 同样，可以使用下面的命令设置VLAN允许通过的广播流量的大小。缺省情况下，系统所有VLAN不做广播风暴抑制，即max-ratio值为100%。 MAC地址控制技术 以太网交换机可以利用MAC地址学习功能获取与某端口相连的网段上各网络设备的MAC 地址。对于发往这些MAC地址的报文，以太网交换机可以直接使用硬件转发。如果MAC地址表过于庞大，可能导致以太网交换机的转发性能的下降。MAC攻击利用工具产生欺骗的MAC地址，快速填满交换机的MAC表，MAC表被填满后，交换机会以广播方式处理通过交换机的报文，流量以洪泛方式发送到所有接口，这时攻击者可以利用各种嗅探工具获取网络信息。TRUNK接口上的流量也会发给所有接口和邻接交换机，会造成交换机负载过大，网络缓慢和丢包，甚至瘫痪。可以通过设置端口上最大可以通过的MAC地址数量、MAC地址老化时间，来抑制MAC攻击。 1.设置最多可学习到的MAC地址数

网工作业之交换机和路由器配置过程总结(1)

网工大作业 学院： 专业: 姓名： 学号：

交换机和路由器配置过程总结 第一部分交换机配置 一、概述 一层、二层交换机工作在数据链路层，三层交换机工作在网络层，最常见的是以太网交换机。交换机一般具有用户模式、配置模式、特权模式、全局配置模式等模式。 二、基本配置命令(CISCO) Switch >enable 进入特权模式 Switch #config terminal 进入全局配置模式 Switch (config)#hostname 设置交换机的主机名 Switch(config)#enable password 进入特权模式的密码（明文形式保存） Switch(config)#enable secret 加密密码（加密形式保存）（优先） Switch(config)#ip default-gateway 配置交换机网关 Switch(config)#show mac-address-table 查看MAC地址 Switch(config)logging synchronous 阻止控制台信息覆盖命令行上的输入 Switch(config)no ip domain-lookup 关闭DNS查找功能 Switch(config)exec-timeout 0 0 阻止会话退出 使用Telnet远程式管理 Switch (config)#line vty 0 4 进入虚拟终端 Switch (config-line)# password 设置登录口令 Switch (config-line)# login 要求口令验证 控制台口令 switch(config)#line console 0 进入控制台口 switch(config-line)# password xx switch(config-line)# 设置登录口令login 允许登录 恢复出厂配置 Switch(config)#erase startup-config Switch(config)delete vlan.dat Vlan基本配置 Switch#vlan database 进去vlan配置模式 Switch(vlan)#vlan 号码name 名称创建vlan及vlan名 Switch(vlan)#vlan号码mtu数值修改MTU大小 Switch(vlan)#exit 更新vlan数据并推出 Switch#show vlan 查看\验证 Switch#copy running-config startup-config 保存配置 VLAN 中添加删除端口 Switch#config terminal 进入全局配置 Switch(config)#interface fastethernet0/1 进入要分配的端口 Switch(config-if)#Switchport mode access 定义二层端口 Switch(config-if)#Switchport acces vlan 号把端口分给一个vlan Switch(config-if)#switchport mode trunk 设置为干线 Switch(config-if)#switchport trunk encapsulation dot1q 设置vlan 中继协议

hc交换机与路由器的基本配置

H3C交换机与路由器的基本配置 交换机的基本配置： 传统的基于集线器的局域网中所有的站点都处于同一个“冲突域”中，这里的“冲突域”是.指CSMA/CD算法中每个站点所监听的网络范围。处于同一个冲突域中的站点在任意时刻只能有一个站点占用信道，这意味着传统以太网的带宽被各个站点在统计意义上均分的，这决定了传统形式的以太网不具有可伸缩性。局域网交换机可以让通信的双方拥有一条不受干扰的信道，当一个站点想发送一802.3帧是，他就向交换机发送一标准帧，交换机通过检查帧头的目的地址并将此帧通过高速背板总线从连接目的站点的端口发出。高速背板总线的设计可以保证同时通信的若干站点互不影响。 对交换机的配置有多中方法：通过Console口，通过telnet等。 用Console口对交换机进行配置是最常用的方法，也是对没有经过任何配置的交换机进行配置单唯一途径，配置过程如下： 1．用Console电缆把交换机和PC机进行连接，RJ—45的一端插在交换机的Console 口，另一端与计算机的串口相连。 交换机 Console线缆 PC 图1：通过Console口配置交换机 2．在PC机上打开超级终端应用程序建立与交换机的连接，在PC上点击开始，以此选择程序，附件，通讯，单击“超级终端”，弹出“连接描述”对话框，在名称框输入名称并在图标框选择一个图标（名称和图标可以自由设置，不会影响对交换机的配置），然后点击确定，弹出COM1属性对话框，设置波特率为：9600 数据位为：8 奇偶效验为：无停止位为：1 流量控制为：无，点击“确定”，进入配置编辑窗口。 图2：COM1口属性配置 3．在编辑窗口对交换机进行配置

Cisco路由器交换机安全配置

Cisco路由器交换机安全配置 1. DDOS攻击 2. 非法授权访咨询攻击。 口令过于简单，口令长期不变，口令明文创送，缺乏强认证机制。 …. 利用Cisco Router和Switch能够有效防止上述攻击。 二、爱护路由器 2.1 防止来自其它各省、市用户Ddos攻击 最大的威逼：Ddos, hacker操纵其他主机，共同向Router访咨询提供的某种服务，导致Router利用率升高。 如SMURF DDOS 攻击确实是用最简单的命令ping做到的。利用IP 地址欺诈，结合ping就能够实现DDOS攻击。 防范措施： 应关闭某些缺省状态下开启的服务，以节约内存并防止安全破坏行为/攻击 以上均差不多配置。 防止ICMP-flooging攻击

以上均差不多配置。 除非在专门要求情形下，应关闭源路由: Router(config-t)#no ip source-route 以上均差不多配置。 禁止用CDP发觉邻近的cisco设备、型号和软件版本 如果使用works2000网管软件，则不需要此项操作 此项未配置。 使用CEF转发算法，防止小包利用fast cache转发算法带来的Router 内存耗尽、CPU利用率升高。 Router(config-t)#ip cef 2.2 防止非法授权访咨询 通过单向算法对“enable secret”密码进行加密

应该操纵到VTY的接入，不应使之处于打开状态;Console应仅作为最后的治理手段: 2.3 三、爱护网络 3.1防止IP地址欺诈 黑客经常冒充地税局内部网IP地址，获得一定的访咨询权限。

在省地税局和各地市的W AN Router上配置： 防止IP地址欺诈--使用基于unicast RPF(逆向路径转发) 包发送到某个接口，检查包的IP地址是否与CEF表中到达此IP地址的最佳路由是从此接口转发，若是，转发，否则，丢弃。 注意：通过log日志能够看到内部网络中哪些用户试图进行IP地址欺诈。 此项已配置。 防止IP地址欺诈配置访咨询列表 防止外部进行对内部进行IP地址 防止内部对外部进行IP地址欺诈 四、爱护服务器 关于地税局内部的某些Server,如果它不向各地提供服务能够在总局核心Cisco Router上配置空路由。 ip route 130.1.1.1 255.255.255.255.0 null

三层交换机不能完全取代路由的作用

三层交换机不能完全取代路由的作用 三层交换机并不等于路由器，也不可能完全取代路由器。 近年来随着Internet/Intranet的迅猛发展和B/S计算模式的广泛应用，跨地域、跨网络的业务急剧增长，业界和用户深感传统的路由器在网络中的瓶颈效应。而三层交换机既可操作在网络协议的第三层，起到路由决定的作用，又具有几乎达到第二层交换的速度，且价格相对较低。 一时间，三层交换机将取代路由器成为网络界最流行的话题。但事实果真如此吗？ 传统的路由器在网络中有路由转发、防火墙、隔离广播等作用，而在一个划分了VLAN以后的网络中，逻辑上划分的不同网段之间通信仍然要通过路由器转发。 由于在局域网上，不同VLAN之间的通信数据量很大，这样，如果路由器要对每一个数据包都路由一次，随着网络上数据量的不断增大，它将成为瓶颈。而第三层交换技术就是将路由技术与交换技术合二为一的技术。 在对第一个数据流进行路由后，它将会产生一个MAC地址与IP地址的映射表，当同样的数据流再次通过时，将根据此表直接从二层通过而不是再次路由，从而消除了路由器进行路由选择而造成网络的延迟，提高了数据包转发的效率。 路由器的转发采用最长匹配的方式，实现复杂，通常使用软件来实现。而三层交换机的路由查找是针对流的，它利用CACHE技术，很容易采用ASIC实现，因此，可以大大节约成本，并实现快速转发。 但从技术上讲，路由器和三层交换机在数据包交换操作上存在着明显区别。路由器一般由基于微处理器的引接执行数据包交换，而三层交换机通过硬件执行数据包交换。因此与三层交换机相比，路由器功能更为强大，像NAT、VPN等功能仍无法被完全替代。 处于同一个局域网中的各子网的互联，可以用三层交换机来代替路由器，但局域网必须与公网互联以实现跨地域的网络，这时路由器就不可缺少。一个完全构建在交换机上的网络会出现诸如碰撞、堵塞以及通信混乱等问题。使用路由器将网络划分为多个子网，通过路由所具备的功能来有效进行安全控制策略，则可以避这些问题。 三层交换机现在还不能提供完整的路由选择协议，而路由器则具备同时处理多个协议的能力。当连接不同协议的网络，像以太网和令牌环的组合网络，依靠三层交换机是不可能完成网间数据传输的。除此之外，路由器还具有第四层网络管理能力，这也是三层交换机所不具备的。 所以，三层交换机并不等于路由器，也不可能完全取代路由器。

交换机路由器配置复习总结

Show in terface fastethernet0/1 查看端口f0/1的配置结果交换机配置 1 . 交换机的基本配置 En able 进入特权模式 Config termi nal 进入配置模式 En able password cisco 设置enable password 为cisco En able secret cisco1 设置enable secret 为cisco1 Host name host1 设置主机名为host1 End 回到特权模式 Ip address 192.168.1.1 255.255.255.0 设置交换机的ip地址 Ip default-gateway 192.168.1.254 设置默认网关 Ip doma in-n ame 设置域名 Ip n ame-server 200.0.0.1 设置域名服务器 In terface f0/1 进入接口fO/1的配置模式 Speed 100 设置该端口速率为100Mb/s Duplex full 设置该端口为全双工 Descripti on to-pc1 设置该端口描述为to-pc1 Show in terface fastether netO/1 status 查看端口f0/1的状态 Mac-address-table agin g-time 100 设置超时时间为100s Mac-address-table perma nent 0000.0c01.bbcc f0/3 加入永久地址 Mac-address-table restricted static 0000.0c02.bbcc f0/6 f0/7 加入静态地址 Clear mac-address-table restricted static 清除限制地址 2. VLAN 配置