mr1311的博客_交换,路由,网吧

mr1311

这个家伙比较懒，还没有个人介绍

26.9万 人气
16 原创
0 粉丝
10.8万 阅读数

关注

于 2007-06-06 加入 51CTO15.1年

近期文章

2017年 1篇 2012年 3篇 2011年 12篇 2010年 10篇 2009年 6篇 2008年 29篇 2007年 19篇

近期评论

彻底清除备份域服务器数据元的方法
域控制器好久没有做过了，今天一看，倍感亲切啊~~呵呵
ROS PCQ
学习|@|
Cisco交换机实现端口安全的方法及事项
配置端口安全性有很多方法。下面描述可在Cisco交换机上配置端口安全性的方法。|@||@|静态安全MAC地址：静态MAC地址是使用switchport port-security mac-address mac-address接口配置命令手动配置的。以此方法配置的MAC地址存储在地址表中，并添加到交换机的运行配置中。|@||@|动态安全MAC地址：动态MAC地址是动态获取的，并且仅存储在地址表中。以此方式配置的MAC地址在交换机重新启动时将被移除。|@||@|粘滞安全MAC地址：可以将端口配置为动态获得MAC地址，然后将这些MAC地址保存到运行配置中。|@||@|粘滞安全MAC地址有以下特性。|@||@|当使用switchport port-security mac-address sticky接口配置命令在接口上启用粘滞获取时，接口将所有动态安全MAC地址（包括那些在启用粘滞获取之前动态获得的MAC地址）转换为粘滞安全MAC地址，并将所有粘滞安全MAC地址添加到运行配置。|@||@|如果使用no switchport port-security mac-address sticky接口配置命令禁用粘滞获取，则粘滞安全MAC地址仍作为地址表的一部分，但是已从运行配置中移除。已经被删除的地址可以作为动态地址被重新配置和添加到地址表。|@||@|如果使用switchport port-security mac-address sticky mac-address接口配置命令配置粘滞安全MAC地址时，这些地址将添加到地址表和运行配置中。如果禁用端口安全性，则粘滞安全MAC地址仍保留在运行配置中。|@||@|如果将粘滞安全MAC地址保存在配置文件中，则当交换机重新启动或者接口关闭时，接口不需要重新获取这些地址。如果不保存粘滞安全地址，则它们将丢失。如果粘滞获取被禁用，粘滞安全MAC地址则被转换为动态安全地址，并被从运行配置中删除。|@||@|如果禁用粘滞获取并输入switchport port-security mac-address sticky mac-address接口配置命令，则会出现错误消息，并且粘滞安全MAC地址不会添加到运行配置。|@||@|当出现以下任一情况时，则会发生安全违规。|@||@|地址表中添加了最大数量的安全MAC地址，有工作站试图访问接口，而该工作站的MAC地址未出现在该地址表中。|@||@|在一个安全接口上获取或配置的地址出现在同一个VLAN中的另一个安全接口上。|@||@|根据出现违规时要采取的操作，可以将接口配置为3种违规模式之一。|@||@|保护：当安全MAC地址的数量达到端口允许的限制时，带有未知源地址的数据包将被丢弃，直至移除足够数量的安全MAC地址或增加允许的最大地址数。不会得到发生安全违规的通知。|@||@|限制：当安全MAC地址的数量达到端口允许的限制时，带有未知源地址的数据包将被丢弃，直至您移除足够数量的安全MAC地址或增加允许的最大地址数。在此模式下，您会得到发生安全违规的通知。具体而言就是，将有SNMP陷阱发出、syslog消息记入日志，以及违规计数器的计数增加。|@||@|关闭：在此模式下，端口安全违规将造成接口立即变为错误禁用（error-disabled）状态，并关闭端口LED。该模式还会发送SNMP陷阱、将syslog消息记入日志，以及增加违规计数器的计数。当安全端口处于错误禁用状态时，先输入shutdown再输入no shutdown接口配置命令可使其脱离此状态。此模式为默认模式。|@||@|
loopback接口
此类接口是应用最为广泛的一种虚接口，几乎在每台路由器上都会使用。常|@|见于如下用途。|@|1 作为一台路由器的管理地址|@|系统管理员完成网络规划之后，为了方便管理，会为每一台路由器创建一个|@|loopback 接口，并在该接口上单独指定一个IP 地址作为管理地址，管理员会|@|使用该地址对路由器远程登录（telnet ），该地址实际上起到了类似设备名称|@|一类的功能。|@|但是通常每台路由器上存在众多接口和地址，为何不从当中随便挑选一个呢？|@|原因如下：由于telnet 命令使用TCP 报文，会存在如下情况：路由器的某一个|@|接口由于故障down 掉了，但是其他的接口却仍旧可以telnet ，也就是说，到|@|达这台路由器的TCP 连接依旧存在。所以选择的telnet 地址必须是永远也不会|@|down 掉的，而虚接口恰好满足此类要求。由于此类接口没有与对端互联互通|@|的需求，所以为了节约地址资源，loopback 接口的地址通常指定为32 位掩码。|@|2 使用该接口地址作为动态路由协议OSPF 、BGP 的router id|@|动态路由协议OSPF 、BGP 在运行过程中需要为该协议指定一个Router id ，作|@|为此路由器的唯一标识，并要求在整个自治系统内唯一。由于router id 是一个|@|32 位的无符号整数，这一点与IP 地址十分相像。而且IP 地址是不会出现重复|@|现象的，所以通常将路由器的router id 指定为与该设备上的某个接口的地址相|@|同。由于loopback 接口的IP 地址通常被视为路由器的标识，所以也就成了|@|router id 的最佳选择。|@|3、使用该接口地址作为BGP 建立TCP 连接的源地址|@|在BGP 协议中，两个运行BGP 的路由器之间建立邻居关系是通过TCP 建立连|@|接完成的。|@|在配置邻居时通常指定loopback 接口为建立TCP 连接的源地址（通常只用于|@|IBGP ，原因同2.1 ，都是为了增强TCP 连接的健壮性）|@|配置命令如下：|@|router id 61.235.66.1|@|interface loopback 0|@|ip address 61.235.66.1 255.255.255.255|@|router bgp 100|@|neighbor 61.235.66.7 remote-as 200|@|neighbor 61.235.66.7 update-source LoopBack0|@|
nbr 2000 arp
配置基本访问列表|@| 基本访问列表的配置包括以下两步：1).定义基本访问列表；|@|2).将基本访问列表应用于特定接口。要配置基本访问列表，请在全局配置模式下执行以下命令：|@||@| 定义访问列表(必须)|@|Red-Giant(config)# access-list|@|access-list-number {permit|deny} […...]|@||@||@| 选择要应用访问列表的接口 (必须)|@|Red-Giant(config)# interface type number|@||@||@| 将访问列表应用特定接口(必须)|@|Red-Giant(config-if)# ip access-group|@|access-list-number {in|out} |@| |@|配置基于时间的访问列表|@|需要完成下面的配置任务：|@|1).校正路由器实时时钟(必须)；|@|2).创建并定义 Time-range 接口(必须)；|@|3).关联 ACL 与 Time-range接口(必须)；|@|4).在网络接口上应用基于时间的 ACL(必须)。|@||@|校正路由器实时时钟。该项功能的典型设置如下:|@|1.设置系统时钟(时间以及日期|@||@|Red-Giant# clock set hh: mm: ss date month year|@| or|@|Red-Giant# clock set hh: mm: ss month date year|@|2. 依据当前设置更新实时时钟 (硬件)|@|Red-Giant# clock update-calendar |@||@|创建并定义 Time-range 接口。该项功能的典型设置如下：|@| 1. 进入/创建指定名称的 time-range 接口|@|Red-Giant(config)# time-range time-range-name|@|2.|@|进入 time-range 配置层，设置限制的时间段。其中,只允许配置一个 absolute规则,但允许多个periodic 规则并存|@||@||@||@|Red-Giant(config-time-range)#|@|absolute [start time date] [end time date]|@|and/or|@|periodic days-of-the-week hh:mm to [days-of-the- week]hh:mm|@||@||@| |@||@||@||@||@||@|