Cisco 2950交换机简要使用说明

Cisco 2950交换机简要使用说明

目录

1 概述 (3)

2 配置端口 (3)

2.1 配置一个端口 (3)

2.2 配置一组端口 (4)

2.3 配置二层端口 (5)

2.3.1 配置端口速率及双工模式 (5)

2.4 监控及维护端口 (6)

2.4.1 监控端口和控制器的状态 (6)

2.4.2 刷新、重置端口及计数器 (6)

2.4.3 关闭和打开端口 (7)

3 配置VLAN (8)

3.1 理解VLAN (8)

3.2 可支持的VLAN (8)

3.3 配置正常范围的VLAN (9)

3.3.1 生成、修改以太网VLAN (9)

3.3.2 删除VLAN (10)

3.3.3 将端口分配给一个VLAN (11)

3.4 配置VLAN Trunks (12)

3.4.1 定义trunk允许的VLAN (13)

3.4.2 配置Native VLAN（802.1q） (14)

3.5 使用VTP (14)

3.5.1 VTP管理域设置 (14)

3.5.2 VTP中继设置 (15)

3.5.3 创建VLAN和分配端口到VLAN (15)

4 访问控制（ACL） (15)

4.1 以数值命名的ACL (16)

4.1.1 创建标准IP ACL (17)

4.1.2 创建扩展IP ACL (17)

4.2 以字符命名的ACL (18)

4.2.1 创建标准IP ACL (19)

4.2.2 创建扩展IP ACL (19)

4.3 在接口上应用IP ACL (20)

5 网络风暴控制 (20)

5.1 网络风暴控制设置原则 (20)

5.2 设置网络风暴控制参数 (21)

5.3 取消网络风暴控制 (21)

6 使用STP实现负载均衡 (21)

6.1 使用STP端口权值的负载均衡 (22)

6.2 配置STP路径值的负载均衡 (24)

1 概述

本使用说明只包括日常使用的有关命令及特性，其它未涉及的命令及特性请参考英文的详细配置手册。cisco 2950是只支持二层特性的交换机。

VLAN

最大支持250 个VLAN

VLAN ID范围在1到4094（IEEE 802.1Q 标准）之间

支持ISL及IEEE 802.1Q封装

安全

支持IOS标准的密码保护

支持标准及扩展的访问列表来定义安全策略

支持基于VLAN的访问列表

监视

交换机LED指示端口状态

SPAN及远端SPAN (RSPAN) 可以监视任何端口或VLAN的流量

内置支持四组的RMON监控功能（历史、统计、告警及事件）

2 配置端口

2.1 配置一个端口

配置一个端口命令适用于配置某个10M/100M端口、配置某个vlan。在特权模式下可执行以下命令：

2.2 配置一组端口

配置一组端口命令适用于配置一组10M/100M接口、一组VLAN或一组以太网通道。在特

使用interface range命令时有如下的规则:

（1）有效的组范围:

vlan从1 到4094

fastethernet 槽位/{first port} - {last port}, 槽位为0，first port为1，last port为24。

gigabitethernet槽位/{first port} - {last port},槽位为0，first port为1，last port为2。

port-channel port-channel-number - port-channel-number, port-channel号从1到64（2）端口号之间需要加入空格

如：interface range fastethernet 0/1 – 5是有效的，而interface range fastethernet 0/1-5是无效的。

（3）interface range 命令只能配置已经存在的interface vlan

（4）所有在同一组的端口必须是相同类别的。

举例：

Switch> enable/*进入特权模式*/

Switch# configure terminal /*进入全局配置模式*/

Switch(config)# interface range fastethernet0/1 - 5 /*配置f0/1 ~ f0/5端口*/

Switch(config-if-range)# no shutdown/*打开f0/1 ~ f0/5端口*/

Switch(config-if-range)# end /*退出特权模式*/

可以在组配置命令中加入句号来配置不同类型端口组，举例：

Switch> enable/*进入特权模式*/

Switch# configure terminal /*进入全局配置模式*/

Switch(config)# interface range fastethernet0/1 - 3, gigabitethernet0/1 - 2

/*配置f0/1 ~ f0/3、g0/1、g0/2端口*/ Switch(config-if-range)# no shutdown/*打开f0/1 ~ f0/3、g0/1、g0/2端口*/ Switch(config-if-range)# end /*退出特权模式*/

2.3 配置二层端口

2.3.1 配置端口速率及双工模式

可以配置快速以太口的速率为10/100Mbps，但对于GBIC端口则不能配置速率及双工模式，当需要联接不支持自适应的其它千兆端口时，有时可以配置nonegotiate。

举例：

Switch> enable/*进入特权模式*/

Switch# configure terminal /*进入配置模式*/

Switch(config)# interface fastethernet0/3 /*开始配置f0/3端口*/

Switch(config-if)# speed 10 /*设置f0/3速度为10M*/ Switch(config-if)# duplex half /*设置f0/3为半双工*/

2.4 监控及维护端口

2.4.1 监控端口和控制器的状态

主要命令见下表：

举例如下:

Switch# show running-config interface fastethernet0/2 Building configuration...

Current configuration : 131 bytes

!

interface FastEthernet0/2

switchport mode access

switchport protected

no ip address

mls qos cos 7

mls qos cos override

end

2.4.2 刷新、重置端口及计数器

Note clear counters 命令只清除用show interface所显示的计数，不影响用snmp得到

的计数

Note clear counters 命令只清除用show interface所显示的计数，不影响用snmp得到的计数

举例如下：

Switch# clear counters fastethernet0/5

Clear "show interface" counters on this interface [confirm] y

Switch#

*Sep 30 08:42:55: %CLEAR-5-COUNTERS: Clear counter on interface FastEthernet0/5

by vty1 (171.69.115.10)

2.4.3 关闭和打开端口

使用no shutdown命令重新打开端口.

举例：

Switch# configure terminal

Switch(config)# interface fastethernet0/5

Switch(config-if)# shutdown

Switch(config-if)#

*Sep 30 08:33:47: %LINK-5-CHANGED: Interface FastEthernet0/5, changed state to a administratively down

Switch# configure terminal

Switch(config)# interface fastethernet0/5

Switch(config-if)# no shutdown

Switch(config-if)#

*Sep 30 08:36:00: %LINK-3-UPDOWN: Interface FastEthernet0/5, changed state to up

3 配置VLAN

3.1 理解VLAN

一个VLAN就是一个虚拟交换网，其逻辑上按功能、项目、应用来分而不必考虑用户的物理位置。任何交换口都可以属于某一VLAN, IP包、广播包及组播包均可以发送或广播给在此VLAN内的最终用户。每一个VLAN均可看成是一个逻辑网络，发往另一VLAN的数据包必须由路由器或网桥转发（如下图）。由于VLAN被看成是一个逻辑网络，其具有自己的网桥管理信息庫(MIB) 并可支持自己的生成树

VLAN作为逻辑定义的网络示意图

VLAN常常与IP子网相联系，同一IP子网属于同一VLAN。在cisco 2950上VLAN之间的数据包无法进行转发，必须连接具有三层交换功能的设备才可以在VLAN之间进行转发。

3.2 可支持的VLAN

cisco 2950交换机支持250个 VLAN，可以分别是VTP client, server, 及transparent modes。 VLAN号可以从1到4094。 VLAN号1002到1005保留给令牌环及FDDI VLAN。 VTP只能学习到普通范围的VLAN，即从VLAN到1到1005； VLAN号大于1005属于

扩展VLAN，不存在VLAN数据庫中。当需要生成VLAN 号从1006到4094，交换机必须配置成VTP透明模式。

Cisco 2950交换机支持基于每一VLAN的生成树(PVST)，最多支持128个生成树。本交换机支持ISL及IEEE 802.1Q trunk二种封装。

3.3 配置正常范围的VLAN

VLAN号1，1002到1005是自动生成的不能被去掉。

VLAN号1到1005的配置被写到文件vlan.dat中，可以用show vlan命令查看，vlan.dat 文件存放在NVRAM中。

注意不要手工删除vlan.dat文件，可能造成VLAN的不完整。如要删除vlan需要用

有关的命令来进行。交换机必须处于VTP Server状态才能添加、修改、删除VLAN，处于处于VTP Client状态不能对VLAN进行添加、修改、删除操作。

注意不要手工删除vlan.dat文件，可能造成VLAN的不完整。如要删除vlan需要用有关的命令来进行。交换机必须处于VTP Server状态才能添加、修改、删除VLAN，处于VTP Client状态不能对VLAN进行添加、修改、删除操作。

3.3.1 生成、修改以太网VLAN

用no vlan name或no vlan mtu 退回到缺省的vlan配置状态

举例如下:

Switch> enable /*进入特权模式*/

Switch# configure terminal /*进入全局配置模式*/

Switch(config)# vlan 20 /*创建vlan 20*/

Switch(config-vlan)# name test20 /*为vlan 20命名*/

Switch(config-vlan)# end /*退出特权模式*/

也可以直接在enable状态下，进行VLAN配置：

举例如下：

Switch> enable /*进入特权模式*/

Switch# vlan database /*配置vlan数据库*/

Switch(vlan)# vlan 20 name test20 /*创建vlan 20并命名*/

Switch(vlan)# exit /*退出vlan数据库配置模式*/ 3.3.2 删除VLAN

当在一个处于VTP服务器状态的交换机上删除VLAN时，则此VLAN将在所有相同VTP 的交换机上删除。当在透明模式下删除时，只在当前交换机上删除。

注意当删除一个VLAN时，原来属于此VLAN的端口将处于非激活的状态，直到将其

分配给某一VLAN。

注意当删除一个VLAN时，原来属于此VLAN的端口将处于非激活的状态，直到将其分配给某一VLAN。

也可用vlan database进入VLAN配置状态，用no vlan vlan-id来删除。

3.3.3 将端口分配给一个VLAN

使用default interface interface-id还原到缺省配置状态。

举例如下：

Switch> enable

Switch# configure terminal

Switch(config)# interface fastethernet0/1

Switch(config-if)# switchport mode access

Switch(config-if)# switchport access vlan 2

Switch(config-if)# end

Switch#

3.4 配置VLAN Trunks

Trunk端口允许多个VLAN的数据通过，默认情况下允许所有的VLAN通过。如果在

举例：

Switch> enable

Switch# configure terminal

Switch(config)# interface fastethernet0/4

Switch(config-if)# switchport mode trunk

Switch(config-if)# end

3.4.1 定义trunk允许的VLAN

缺省情况下trunk允许所有的VLAN通过。可以使用switchport trunk allowed vlan remove vlan-list来去掉某一VLAN。

举例如下:

Switch> enable /*进入特权模式*/

Switch(config)# interface fastethernet0/1 /*配置f0/1*/

Switch(config-if)# switchport trunk allowed vlan remove 2/*设置此端口不能访问vlan 2*/ Switch(config-if)# end /*退出特权模式*/

3.4.2 配置Native VLAN（802.1q）

封装802.1q的trunk端口可以接受带有标签和不带标签的数据流，交换机向native vlan传送不带标签的数据流，缺省情况下native VLAN是1。

使用no switchport trunk native vlan 端口配置命令回到缺省的状态

3.5 使用VTP

VTP是Virtual trunk protocol的缩写，是一种用于设置VLAN的协议。当局域网中switch 数目较多时，如果需要添加、删除、修改VLAN信息，则需要在每台switch上进行同样的操作，这样就比较烦琐，但如果使用VTP来配置VLAN信息，则大大减轻了劳动强度。使用VTP来管理VLAN有以下几个步骤。

3.5.1 VTP管理域设置

在VTP中存在两种类型的switch，一种是VTP Server，另一种是VTP Client。VTP Server 可以添加、删除、修改VLAN信息，VLAN配置保存在NVRAM中，VLAN信息同步到Client。VTP Client不能添加、删除、修改VLAN信息，不能将VLAN配置存储在NVRAM中，只能被动的学习VLAN信息，随时同步VTP Server的VLAN信息。因此将switch配置成VTP 后，当需要修改VLAN时只修改VTP Server上的VLAN即可。要想在交换机之间实现VTP，必须使所有交换机的VTP管理域名相同，否则VTP信息无法同步。

3.5.2 VTP中继设置

为了使VTP信息能够在switch之间传递，需要将连接switch的端口配置为trunk，具体设置方法在3.4中有详细地介绍。

3.5.3 创建VLAN和分配端口到VLAN

在完成以上两步后需要在VTP Server上创建VLAN配置，具体方法参见3.3.1。VTP Server 在VLAN设置完成后会将VLAN数据同步到VTP Client，VTP Client学习到VTP数据后，会修改自己的VLAN DA TABASE。最后一步是在每个switch上将需要的端口划归到相应的VLAN，具体方法参见3。

4 访问控制（ACL）

访问控制是一种网络安全手段，访问控制简称ACL（Access control list），简而言之就是包过滤。当数据包通过switch相应接口时，ACL能够允许或禁止此数据包通过。ACL需要定制一系列允许和禁止条件，当switch的接口接收到一个数据包时，switch将此数据包与ACL中的条件一个一个进行比较，第一个匹配的条件就决定switch是拒绝还是转发此数据包。ACL中条件顺序是非常关键的，因为一旦条件匹配switch就停止继续进行条件匹配。访问表包含一个隐藏的隐含Deny命令作为最后一条规则，即在ACL上最后增加一个命令：

“任何没有被前面过滤显式允许的数据包均被删除”。如果接口上没有ACL设置，switch将直接转发数据包。

在cisco 2950这种二层交换机上配置ACL是有必要的，如果不配置ACL，连接到二层交换机上的终端可以将数据包传递到局域网中所有的主机，可能造成网络安全隐患。可以使用ACL控制终端只能访问局域网的部分主机，或者只允许终端上某些类型的数据包可以通过switch端口。

ACL用途示意图

如上图Host A与Host B连接到cisco 2950，通过在cisco 2950上的接口设置ACL后，Host A可以访问局域网，Host B无法访问局域网。

ACL包含一个ACE（Access control entries）列表。每个ACE实际上就是一个匹配条件，一但这个条件被匹配，数据包就可能被转发或丢弃。

Standard IP access lists use source addresses for matching operations.

Extended IP access lists use source and destination addresses for matching operations and optional protocol-type information for finer granularity of control.

MAC extended access list use source and destination MAC addresses and optional protocol type information for matching operations.

有三种类型的ACL：

（1）标准IP ACL，只使用源IP地址进行数据匹配。

（2）扩展IP ACL，使用源、目的IP地址以及IP协议类型进行更为准确的匹配。

（3）扩展MAC ACL，使用源、目的MAC地址以及IP协议类型过滤。

通常我们使用（1）、（2）较多，（3）不再详细描述。定义ACL规则时，IP用户过滤规则必须在四层系统过滤规则之前定义

4.1 以数值命名的ACL

4.1.1 创建标准IP ACL

举例：

Switch (config)# access-list 2 deny host 171.69.198.102 /*创建名字为2的标准IP ACL，丢

弃来自171.69.198.102的数据包*/ Switch (config)# access-list 2 permit any /*允许其它主机访问*/

Switch(config)# end /*退出特权模式*/

Switch# show access-lists /*验证配置*/

4.1.2 创建扩展IP ACL

举例：

Switch(config)# access-list 102 deny tcp 171.69.198.0 0.0.0.255 172.20.52.0 0.0.0.255 eq telnet /*定义序号为102的扩展IP ACL ，拒绝171.69.198.0网段的主机telnet 访问172.20.52.0网段的主机*/

Switch(config)# access-list 102 permit tcp any any /*允许其它类型的tcp 访问*/ Switch(config)# end /*退出特权模式*/ Switch# show access-lists /*验证配置*/

注意 在扩展IP ACL 中创建一个ACE 时，任何ACE 只能放在ACL 的末尾，不能对ACL 中的ACE 重新排序，也不能在中间增加、删除ACE ，删除一个ACE 就会将整个ACL ACL 删除。但是可以使用no permit 和no deny 命令从ACL 中删除ACE ，前提条件是使用用以字符命名的ACL ，而不能使用数字命名的ACL 。

注意 在扩展IP ACL 中创建一个ACE 时，任何ACE 只能放在ACL 的末尾，不能对

ACL 中的ACE 重新排序，也不能在中间增加、删除ACE ，删除一个ACE 就会将整个ACL 删除。但是可以使用no permit 和no deny 命令从ACL 中删除ACE ，前提条件是使用以字符命名的ACL ，而不能使用数字命名的ACL 。

4.2 以字符命名的ACL

创建的ACL不仅仅只能以数值命名，也可以以字符命名。用字符来命名ACL的优点是可以从ACL中删除一条匹配条件。

4.2.1 创建标准IP ACL

4.2.2 创建扩展IP ACL

以字符命名的ACL可以在末尾增加ACE，但不能在中间增加ACE，可以使用no permit 和no deny删除ACE。

举例：

Switch(config)# ip access-list extended border-list /*配置以字符命名的扩展ACL*/ Switch(config-ext-nacl)# no permit ip host 10.1.1.3 any /*删除一条ACE*/

4.3 在接口上应用IP ACL

举例：

Switch(config)# interface gigabitethernet0/3 /*配置g0/3口*/

Router(config-if)# ip access-group 2 in /*在g0/3上应用ACL 2*/

5 网络风暴控制

5.1 网络风暴控制设置原则

cisco 2950是以广播包的流量比率作为上下阀值，控制参数的上下阀值的选择需要研究。因为正常情况下网络上的广播包的流量是比较小的，如果阀值选的过小可能会影响到正常的通信；如果阀值选的过大，当真正的网络风暴来临时无法起到控制作用。选择cisco 2950每个网口广播包抑制上下阀值分别为1%和0.8%（总带宽为100M），，也就是1Mbits/S和0.8Mbit/S应该是一个合适的数值，正常情况下网络上的某台工作站是不可能产生超过1Mbits/S的广播包流量，而真正的网络风暴是远远大于1Mbits/S的广播包流量。设置某个网口的上下阀值为1%和0.8%后，当这个网口上的广播包流量超过了1Mbits/S，此网口广播包抑制功能开始生效，并且Switch对此网口的广播包开始丢弃；直到广播包的流量降到0.8Mbits/S后，此网口的抑制功能才取消。如果网口工作在10M带宽，则设置控制上下阀值应为10%和8%。