第11章第三层交换机.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,*,第11章 第三层交换机,张书源,11.1 子网划分问题,很多局域网都存在子网划分的要求。它主要有以下好处：,1、对不同部门、不同功能、不同位置的网络通过子网进行隔离，使资源共享限于各个子网内部。,2、方便网络的设计和管理。通常一个子网中的故障不会影响其它子网的工作。管理者也可以把子网的管理权限下放到各个子网，减轻了管理员的负担。,3、减小广播范围。一般广播都只能在子网内部传播，这样可减小广播的范围，避免广播风暴的发生。,划分子网的方法,实现子网的划分方法有多种，管理员可根据具体的网络环境选用，有时还可以几种方法并用。,一、用VLAN划分,VLAN是一种对网络进行逻辑分段的方法，从IP地址上看，各计算机可能处于同一个网段中，但从效果上看，只有IP在同一网段，且属于同一VLAN的计算机才能通信。,192.168.0.1/24,192.168.0.2/24,192.168.0.3/24,192.168.0.4/24,VLAN1,VLAN2,评价：,设备代价：很低。只需要可配置的第二层交换机。,组网难度：高。当网络中有多台交换机时，组建起来会比较困难。,管理难度：高。,扩展性：差。当需要添加新的交换机和逻辑网段时，在配置上往往需要做很多设置。,其它：由于不同VLAN间的计算机无法通信，无法在网段中放置能被各网段都能访问的服务器。,结论：,VLAN一般只在结构简单的小网络中使用。,二、用路由器划分,使用路由器可以对网络进行物理分段，各网段使用不同的网络地址。,192.168.0.0/24,192.168.1.0/24,10.10.1.0/24,Internet,网段1,网段2,网段3,评价：,设备代价：高。由于路由器的接口数量少，所以构建多个网段时需要多台路由器。,组网难度：低。网络构建很容易。,管理难度：低。,扩展性：差。当需要添加新的网段时，如果路由器接口不够用了，就需要添加新路由器。,结论：,现在已经很少使用，除非有闲置的路由器，且需要的网段数量不多时使用。,三、用单臂路由划分,单臂路由：路由器+二层交换，它可以让一个路由器接口连接多个网段。,Internet,192.168.0.0/24VLAN2,192.168.1.0/24VLAN3,评价：,设备代价：低。只需要支持VLAN的路由器和二层交换机。,组网难度：较高。多交换机环境下的VLAN组建有难度。,管理难度：较高。,扩展性：一般。,其它：路由器负担较重，容易影响整体性能。,结论：,常在规模比较小的网络中使用。,四、用三层交换机划分,三层交换机的每个接口可连接一个网段。,Internet,网段1,网段2,网段3,192.168.0.0/24,192.168.1.0/24,10.10.1.0/24,评价：,设备代价较高。三层交换机是价格较为昂贵的设备。,组网难度：低。,管理难度：低。,扩展性：好。三层交换机一般有十几个接口，多的可达四十多个接口，一般可满足大型局域网对网段划分的要求。,其它：三层交换机的速度比路由器快，不容易发生网络拥塞问题。,结论：,这是目前应用最多的网络分段方法，可在各种规模的局域网中使用。,三层交换机的技术特点,1、三层交换机的接口区分为二层接口和三层接口，二层接口只支持交换功能，三层接口还支持路由功能。,2、三层接口支持路由功能，可实现不同子网间的通信。,3、交换机的三层功能不包括协议转换功能，所以三层交换机不能连接不同的网络，不能实现诸如PPP、帧中继等不同的封装。,4、三层交换机的主要功能由硬件实现，工作速度高于路由器，但功能没有路由器多，没有NAT等功能。,5、三层交换机一般用于局域网内部，用于网段的划分，它不承担和外网的连接工作。,11.2 三层交换机的配置,在默认情况下，三层交换机的所有接口都是二层接口，可作为二层交换机使用。只有把接口配置成三层接口，才支持路由功能。,三层接口有三种类型：,1、路由口（Routed Port）,2、SVI,3、3层以太网通道（L3 EtherChannel）,三层路由口的配置,把单个接口配置成三层接口，接口上有一个IP地址，可连接一个子网。,1,2,3,4,5,6,7,8,9,10,11,12,网段1,网段2,网段3,三层路由口的配置方法：,Switch(config)#,interface,接口,Switch(config-if)#,no switchport,Switch(config-if)#,ip address,IP地址 子网掩码,Switch(config-if)#,no shutdown,no switchport命令用于把二层接口改为三层接口，只有改为三层接口后，才能配置IP地址。,二层接口改为三层接口后，会自动shutdown，需要用no shutdown激活后才能使用。,说明：,每个三层口可连接一个网段，不同三层口必须配置到不同的网段中。,1,2,3,4,5,6,7,8,9,10,11,12192.168.1.1/24,192.168.2.1/24,192.168.30.1/24,192.168.1.0/24,192.168.2.0/24,192.168.30.0/24,每个网段中的计算机的默认网关应设置为三层交换机相应接口的IP地址。,启用IP路由：,只有启用了IP路由才能使用交换机的三层功能。,启用IP路由命令：,Switch(config)#,ip routing,很多种类的交换机，默认路由功能是打开的，可以省略该命令。,查看路由表：,Switch#,show ip route,配置静态路由：,与路由器的配置方法相同。,网段1,网段2,网段3,192.168.0.0/24192.168.1.0/24,10.10.1.0/24,172.16.0.0/16,192.168.100.1/24,Switch(config)#,ip route 172.16.0.0 255.255.0.0 192.168.100.1,配置路由协议：,与路由器的配置方法相同。,Switch(config)#,router rip,Switch(config)#,network,网络号,如果网络号设置为0.0.0.0，则表示在所有接口上启用RIP协议。,配置举例,192.168.1.1/24,192.168.2.1/24,192.168.30.1/24,192.168.1.2/24,192.168.2.2/24,192.168.30.2/24,192.168.100.0/24,192.168.1.3/24,172.16.1.2/16,172.16.1.1/16,F0:.2,F0/12:.1,F0/1,F0/2,F0/3,配置交换机：,S1(config)#,interface f0/1,S1(config-if)#,no switchport,S1(config-if)#,ip address 192.168.1.1 255.255.255.0,S1(config-if)#,no shutdown,f0/2、f0/3、f0/12都进行类似的配置。,S1(config)#,ip routing,S1(config)#,router rip,S1(config-router)#,network 192.168.1.0,S1(config-router)#,network 192.168.2.0,S1(config-router)#,network 192.168.30.0,S1(config-router)#,network 192.168.100.0,SVI的配置,SVI是以VLAN为单位定义的三层口。把多个接口组成一个VLAN，为VLAN配置一个IP地址，则这个VLAN成为一个三层口。,1,2,3,4,5,6,7,8,9,10,11,12,VLAN2,VLAN3,VLAN4,网段1,网段2,网段3,SVI接口的配置方法：,1、创建VLAN：,Switch#,vlan database,Switch(vlan)#,vlan,VLAN号,name,VLAN名,2、为VLAN配置IP地址：,Switch(config)#,interface vlan,VLAN号,Switch(config-if)#,ip address,IP地址 子网掩码,Switch(config-if)#,no shutdown,3、为VLAN分配接口：,Switch(config)#,interface,接口,Switch(config-if)#,switchport access vlan,VLAN号,说明：,每个SVL相当于一个三层口；,各SVL的IP地址应属于不同的网段；,加入SVL的接口不需要用no switchport转换为路由口。,配置举例,192.168.1.1/24,VLAN20:192.168.2.1/24,192.168.1.2/24,192.168.2.2/24,192.168.2.3/24,192.168.100.0/24,192.168.1.3/24,172.16.1.2/16,172.16.1.1/16,F0:.2,F0/12:.1,F0/1,F0/2,F0/3,配置一个SVI口，它包括F0/2、F0/3，地址为192.168.2.1/24：,S1#,vlan database,S1(vlan)#,vlan 20 name VLAN20,S1(vlan)#,end,S1(config)#,interface vlan 20,S1(config-if)#,ip address 192.168.2.1 255.255.255.0,S1(config-if)#,no shutdown,S1(config-if)#,interface f0/2,S1(config-if)#,switchport access vlan 20,S1(config-if)#,interface f0/3,S1(config-if)#,switchport access vlan 20,在实际应用中，我们通常只配置一个SVI接口，用作交换机的管理接口，管理员可通过它远程登录交换机并进行管理。,三层以太网通道的配置,以太网通道是一种把两个设备间的多条物理链路捆绑在一起组成一条设备间逻辑链路的技术。它可以使带宽倍增，主要用于数据量很大的通路。,1,2,3,4,5,6,7,8,9,10,11,12,1,2,3,4,5,6,7,8,9,10,11,12,服务器,以太网通道,三层以太网通道用于构建一个高速子网，整个通道可看作一个高速接口，有一个IP地址。,1,2,3,4,5,6,7,8,9,10,11,12,1,2,3,4,5,6,7,8,9,10,11,12服务器子网,192.168.100.1/24,192.168.100.0/24,.10,.11,.12,三层交换机,二层交换机,配置二层以太网通道,Switch(config)#,interface port-channel 1,Switch(config-if)#,interface f0/11,Switch(config-if)#,channel-group 1 mode on,Switch(config-if)#,interface f0/12,Switch(config-if)#,channel-group 1 mode on,1是通道号，取值16。,后面的语句是把接口f0/11和f0/12加入该通道。,配置三层以太网通道,Switch(config)#,interface port-channel 1,Switch(config-if)#,no switchport,Switch(config-if)#,ip address 192.168.100.1 255.255.255.0,Switch(config-if)#,no shutdown,Switch(config-if)#,interface f0/11,Switch(config-if)#,channel-group 1 mode on,Switch(config-if)#,interface f0/12,Switch(config-if)#,channel-group 1 mode on,no switchport用于把二层口转换为三层口。,11.3 部署DHCP,DHCP是动态主机配置协议，是用于给网络中的客户机配置IP地址等网络参数的。由于DHCP是通过广播方式申请和配置参数的，所以它不能跨网段使用。,单网段的DHCP部署,方案一：用计算机作为DHCP服务器。,DHCP服务器,方案二：用路由器作为DHCP服务器。,DHCP服务器,现在的路由器都支持DHCP功能，经过配置可兼做DHCP服务器为网络中的计算机分配IP地址。,多网段的DHCP部署,方案一：每个网段中放置一台DHCP服务器。,方案二：只设置一台DHCP服务器，由三层交换机作为DHCP中继代理为没有DHCP服务器的网段转发DHCP请求和配置信息。,DHCP服务器,DHCP中继代理,这一方案在拥有三层交换机的网络中被广泛使用。,DHCP中继代理的配置,把三层交换机配置成DHCP中继代理：,Switch(config)#,service dhcp,Switch(config)#,ip helper-address DHCP服务器IP地址,service dhcp命令用于打开DHCP代理功能。,用no service dhcp可关闭此功能。,ip helper-address命令用于指定DHCP服务器地址。,DHCP服务器,10.00.1/24,10.1.1.1/24,10.2.2.1/24,在DHCP服务器上需建立一个由多个网段组成的超级作用域。,每个网段的客户机申请得到的IP地址取决于它所在的网关。比如，位于网关10.1.1.1/24下的客户机获得的地址是形如10.1.1.*/24的地址。,DHCP服务器的配置,设DHCP服务器的地址是10.0.0.50/24，DNS服务器位于同一主机中。,网段1：10.0.0.0/24，可分配地址10.0.0.5110.0.0.254，默认网关10.0.0.1。,网段2：10.1.1.0/24，可分配地址10.1.1.210.1.1.254，默认网关10.1.1.1。,网段3：10.2.2.0/24，可分配地址10.2.2.210.2.2.254，默认网关10.2.2.1。,对应三个网段建立3个作用域，设置相应的作用域参数。,把3个作用域组建成一个超级作用域。,这样DHCP服务器就可以为各个子网的客户机动态分配地址了。,11.4 局域网综合,某单位建立了一个局域网，主要特点如下：,1、网络分为3个子网，其中子网1为服务器子网，里面包含了Web服务器、DNS服务器、DHCP服务器等。Web服务器和DNS服务器可以对外访问。,2、网络内部采用私有地址进行编址，从服务商那里申请了一个包含16个地址的地址块200.1.1.0/28。,3、服务商端的地址是200.1.1.33/30，局域网端的地址是200.1.1.34/30，两端采用PPP连接，使用CHAP验证，用户名为R-bsy，密码为123，服务商端的名字为CNC。,网络拓扑：,R-bsy,CNC,12#,1#+2#,5#,6#,192.168.1.0/24,10.10.5.0/24,10.10.6.0/24,10.10.12.0/24,200.1.1.33/30,200.1.1.34/30,DCE,Web服务器：内部地址192.168.1.10，外部地址200.1.1.1。,DNS服务器：内部地址192.168.1.20，外部地址200.1.1.2。,DHCP服务器：192.168.1.22。,NAT池：200.1.1.5200.1.1.14/28,11#+12#,S3550,S2950,三层交换机S3550的配置：,1、配置三层口：,1#+2#：三层以太网通道，192.168.1.1/24。,5#：三层路由口，10.10.5.1/24。,6#：三层路由口，10.10.6.1/24。,12#：三层路由口，10.10.12.1/24。,S3550(config)#,interface port-channel 1,S3550(config-if)#,no switchport,S3550(config-if)#,ip address 192.168.1.1 255.255.255.0,S3550(config-if)#,no shutdown,S3550(config-if)#,interface f0/1,S3550(config-if)#,channel-group 1 mode on,S3550(config-if)#,interface f0/2,S3550(config-if)#,channel-group 1 mode on,S3550(config-if)#,interface f0/5,S3550(config-if)#,no switchport,S3550(config-if)#,ip address 10.10.5.1 255.255.255.0,S3550(config-if)#,no shutdown,S3550(config-if)#,interface f0/6,S3550(config-if)#,no switchport,S3550(config-if)#,ip address 10.10.6.1 255.255.255.0,S3550(config-if)#,no shutdown,S3550(config-if)#,interface f0/12,S3550(config-if)#,no switchport,S3550(config-if)#,ip address 10.10.12.1 255.255.255.0,S3550(config-if)#,no shutdown,2、配置路由：,启用路由功能。,配置默认路由，把非本地的访问均发往R-bsy路由器。,S3550(config)#,ip routing,S3550(config)#,ip route 0.0.0.0 0.0.0.0 10.10.12.2,10.10.12.2是R-bsy路由器的内网接口IP地址。,3、配置DHCP中继代理：,把各子网的DHCP请求发往地址为192.168.1.22的DHCP服务器。,S3550(config)#,service dhcp,S3550(config)#,ip helper-address 192.168.1.22,二层交换机S2950的配置：,配置以太网通道：,11#+12#：以太网通道。,S2950(config)#,interface port-channel 1,S2950(config-if)#,interface f0/11,S2950(config-if)#,channel-group 1 mode on,S2950(config-if)#,interface f0/12,S2950(config-if)#,channel-group 1 mode on,局域网边界路由器R-bsy的配置：,1、配置路由器名字为R-bsy：,供CHAP验证使用。,Router(config)#,hostname R-bsy,2、配置内网接口f0/0：,地址：10.10.12.2/24。,NAT入端。,R-bsy(config)#,interface f0/0,R-bsy(config-if)#,ip address 10.10.12.2 255.255.255.0,R-bsy(config-if)#,ip nat inside,R-bsy(config-if)#,no shutdown,3、配置外网接口s0/0：,地址：200.1.1.34/30。,NAT出端。PPP封装。CHAP验证。,R-bsy(config)#,interface s0/0,R-bsy(config-if)#,ip address 200.1.1.34 255.255.255.252,R-bsy(config-if)#,ip nat outside,R-bsy(config-if)#,encapsulation ppp,R-bsy(config-if)#,ppp authentication chap,R-bsy(config-if)#,no shutdown,4、配置CHAP验证的用户名和密码：,用户名：对方的路由器名字 CNC。,密码：123。,R-bsy(config)#,username CNC password 123,5、配置NAT：,静态NAT：用于转换Web服务器和DNS服务器的IP地址。,Web服务器：内部地址192.168.1.10，外部地址200.1.1.1。,DNS服务器：内部地址192.168.1.20，外部地址200.1.1.2。,服务器子网的其它服务器只用于内部网络，不对外。,动态NAT：用于转换子网2和子网3中各客户机的访问。,NAT池：200.1.1.5200.1.1.14/28。,R-bsy(config)#,ip nat inside source static 192.168.1.10 200.1.1.1,R-bsy(config)#,ip nat inside source static 192.168.1.20 200.1.1.2,R-bsy(config)#,ip nat pool p1 200.1.1.5 200.1.1.14 netmask 255.255.255.240,R-bsy(config)#,access-list 1 permit 10.10.5.0 0.0.0.255,R-bsy(config)#,access-list 1 permit 10.10.6.0 0.0.0.255,R-bsy(config)#,ip nat inside source list 1 pool p1 overload,注：访问列表一般应定义得精确一些。,6、配置路由：,由于网络结构比较简单，不必使用路由协议，可通过静态路由实现。,(1)配置到内部各子网的静态路由。,(2)配置到外部网络的默认路由。,R-bsy(config)#,ip route 192.168.1.0 255.255.255.0 10.10.12.1,R-bsy(config)#,ip route 10.10.5.0 255.255.255.0 10.10.12.1,R-bsy(config)#,ip route 10.10.6.0 255.255.255.0 10.10.12.1,R-bsy(config)#,ip route 0.0.0.0 0.0.0.0 200.1.1.33,服务商接入路由器CNC的配置：,1、配置路由器名字为CNC：,供CHAP验证使用。,Router(config)#,hostname CNC,2、配置接入接口s0/0：,地址：200.1.1.33/30。,DCE端。PPP封装。CHAP验证。,CNC(config)#,interface s0/0,CNC(config-if)#,ip address 200.1.1.33 255.255.255.252,CNC(config-if)#,clock rate 64000,CNC(config-if)#,encapsulation ppp,CNC(config-if)#,ppp authentication chap,CNC(config-if)#,no shutdown,3、配置CHAP验证的用户名和密码：,用户名：对方的路由器名字 R-bsy。,密码：123。,CNC(config)#,username R-bsy password 123,4、为局域网分配地址块：,分配的地址块为：200.1.1.0/28。,CNC(config)#,ip route 200.1.1.0 255.255.255.240 200.1.1.34,