『无题』

新Blog地址

2008-06-05T12:47:00.004+08:00

我现在搬了家!
新家的地址：www.zhaocs.info
以后Blogger近1年将不会更新。
文章会在新博客上发布，请朋友到我的新家去！

中国城市列表

2008-05-05T10:47:00.008+08:00

直辖市

省

其中省会用粗体字表明。

安徽省

地级市：合肥、宿州、淮北、阜阳、蚌埠、淮南、滁州、马鞍山、芜湖、铜陵、安庆、黄山、六安、巢湖、池州、宣城、亳州。
县级市：界首、明光、天长、桐城、宁国。

----------------------------------------------------------------------------------

福建省

副省级城市：厦门。
地级市：福州、南平、三明、莆田、泉州、漳州、龙岩、宁德。
县级市：福清、长乐、邵武、武夷山、建瓯、建阳、永安、石狮、晋江、南安、龙海、漳平、福安、福鼎。

----------------------------------------------------------------------------------

甘肃省

地级市：兰州、嘉峪关、金昌、白银、天水、酒泉、张掖、武威、庆阳、平凉、定西、陇南。
县级市：玉门、敦煌、临夏、合作。

----------------------------------------------------------------------------------

广东省

副省级城市：广州、深圳。
地级市：清远、韶关、河源、梅州、潮州、汕头、揭阳、汕尾、惠州、东莞、珠海、中山、江门、佛山、肇庆、云浮、阳江、茂名、湛江。
县级市：从化、增城、英德、连州、乐昌、南雄、兴宁、普宁、陆丰、恩平、台山、开平、鹤山、高要、四会、罗定、阳春、化州、信宜、高州、吴川、廉江、雷州。

----------------------------------------------------------------------------------

贵州省

地级市：贵阳、六盘水、遵义、安顺
县级市：清镇、赤水、仁怀、凯里、都匀、兴义、毕节、铜仁、福泉

----------------------------------------------------------------------------------

河北省

地级市：石家庄、邯郸、唐山、保定、秦皇岛、邢台、张家口、承德、沧州、廊坊、衡水。
县级市：辛集、藁城、晋州、新乐、鹿泉、丰南、遵化、迁安、霸州、三河、定州、涿州、安国、高碑店、泊头、任丘、黄骅、河间、冀州、深州、南宫、沙河、武安。

----------------------------------------------------------------------------------

黑龙江省

副省级城市：哈尔滨
地级市：齐齐哈尔、黑河、大庆、伊春、鹤岗、佳木斯、双鸭山、七台河、鸡西、牡丹江、绥化。
县级市：双城、尚志、五常、阿城、讷河、北安、五大连池、铁力、同江、富锦、虎林、密山、绥芬河、海林、宁安、安达、肇东、海伦。

----------------------------------------------------------------------------------

河南省

地级市：郑州、开封、洛阳、平顶山、安阳、鹤壁、新乡、焦作、濮阳、许昌、漯河、三门峡、南阳、商丘、周口、驻马店、信阳。
省直辖县级市：济源。
县级市：荥阳、新郑、登封、新密、巩义、邓州、偃师、孟州、沁阳、卫辉、辉县、林州、永城、禹州、长葛、舞钢、汝州、义马、灵宝、项城。

----------------------------------------------------------------------------------

湖北省

副省级城市：武汉。
地级市：十堰、襄樊、荆门、孝感、黄冈、鄂州、黄石、咸宁、荆州、宜昌、随州。
省直辖县级市：仙桃、天门、潜江。
县级市：丹江口、老河口、枣阳、宜城、钟祥、汉川、应城、安陆、广水、麻城、武穴、大冶、赤壁、石首、洪湖、松滋、宜都、枝江、当阳、恩施、利川。

----------------------------------------------------------------------------------

湖南省

地级市：长沙、张家界、常德、益阳、岳阳、株洲、湘潭、衡阳、郴州、永州、邵阳、怀化、娄底。
县级市：浏阳、津市、沅江、汨罗、临湘、醴陵、湘乡、韶山、耒阳、常宁、资兴、武冈、洪江、冷水江、涟源、吉首。

----------------------------------------------------------------------------------

吉林省

副省级城市：长春。
地级市：吉林市、白城、松原、四平、辽源、通化、白山。
县级市：德惠、九台、榆树、盘石、蛟河、桦甸、舒兰、洮南、大安、双辽、公主岭、梅河口、集安、临江、延吉、图们、敦化、珲春、龙井、和龙。

----------------------------------------------------------------------------------

江西省

地级市：南昌、九江、景德镇、鹰潭、新余、萍乡、赣州、上饶、抚州、宜春、吉安。
县级市：瑞昌、乐平、瑞金、南康、德兴、丰城、樟树、高安、井冈山、贵溪。

----------------------------------------------------------------------------------

江苏省

副省级城市：南京。
地级市：徐州、连云港、宿迁、淮安、盐城、扬州、泰州、南通、镇江、常州、无锡、苏州。
县级市：江阴、宜兴、邳州、新沂、金坛、溧阳、常熟、张家港、太仓、昆山、吴江、如皋、通州、海门、启东、大丰、东台、高邮、仪征、江都、扬中、句容、丹阳、兴化、姜堰、泰兴、靖江。

----------------------------------------------------------------------------------

辽宁省

副省级城市：沈阳、大连。
地级市：朝阳、阜新、铁岭、抚顺、本溪、辽阳、鞍山、丹东、营口、盘锦、锦州、葫芦岛。
县级市：新民、瓦房店、普兰店、庄河、北票、凌源、调兵山、开原、灯塔、海城、凤城、东港、大石桥、盖州、凌海、北宁、兴城。

----------------------------------------------------------------------------------

山东省

副省级城市：济南、青岛。
地级市：聊城、德州、东营、淄博、潍坊、烟台、威海、日照、临沂、枣庄、济宁、泰安、莱芜、滨州、菏泽。
县级市：章丘、胶州、胶南、即墨、平度、莱西、临清、乐陵、禹城、安丘、昌邑、高密、青州、诸城、寿光、栖霞、海阳、龙口、莱阳、莱州、蓬莱、招远、文登、荣成、乳山、滕州、曲阜、兖州、邹城、新泰、肥城。

----------------------------------------------------------------------------------

陕西省

副省级城市：西安。
地级市：延安、铜川、渭南、咸阳、宝鸡、汉中、榆林、商洛、安康。
县级市：韩城、华阴、兴平。

----------------------------------------------------------------------------------

山西省

地级市：太原、大同、朔州、阳泉、长治、晋城、忻州、吕梁、晋中、临汾、运城。
县级市：古交、潞城、高平、原平、孝义、汾阳、介休、侯马、霍州、永济、河津

----------------------------------------------------------------------------------

四川省

副省级城市：成都。
地级市：广元、绵阳、德阳、南充、广安、遂宁、内江、乐山、自贡、泸州、宜宾、攀枝花、巴中、达州、资阳、眉山、雅安。
县级市：崇州、邛崃、都江堰、彭州、江油、什邡、广汉、绵竹、阆中、华蓥、峨眉山、万源、简阳、西昌

----------------------------------------------------------------------------------

云南省

地级市：昆明、曲靖、玉溪、丽江、昭通、思茅、临沧、保山。
县级市：安宁、宣威、潞西、瑞丽、大理、楚雄、个旧、开远、景洪。

----------------------------------------------------------------------------------

浙江省

副省级城市：杭州、宁波。
地级市：湖州、嘉兴、舟山、绍兴、衢州、金华、台州、温州、丽水。
县级市：临安、富阳、建德、慈溪、余姚、奉化、平湖、海宁、桐乡、诸暨、上虞、嵊州、江山、兰溪、永康、义乌、东阳、临海、温岭、瑞安、乐清、龙泉。

----------------------------------------------------------------------------------

自治区

其中自治区首府用粗体字表明。

广西壮族自治区

地级市：南宁、桂林、柳州、梧州、贵港、玉林、钦州、北海、防城港、崇左、百色、河池、来宾、贺州。
县级市：岑溪、桂平、北流、东兴、凭祥、宜州、合山。

----------------------------------------------------------------------------------

内蒙古自治区

地级市：呼和浩特、包头、乌海、赤峰、呼伦贝尔、通辽、乌兰察布、鄂尔多斯、巴彦淖尔。
县级市：满洲里、扎兰屯、牙克石、根河、额尔古纳、乌兰浩特、阿尔山、霍林郭勒、锡林浩特、二连浩特、丰镇。

----------------------------------------------------------------------------------

新疆维吾尔自治区

地级市：乌鲁木齐、克拉玛依。
自治区直辖县级市：石河子、阿拉尔、图木舒克、五家渠。
县级市：喀什、阿克苏、和田、吐鲁番、哈密、阿图什、博乐、昌吉、阜康、米泉、库尔勒、伊宁、奎屯、塔城、乌苏、阿尔泰。

转自维客。

POE & Stack For 3750

2008-04-15T13:54:00.005+08:00

环境：

5台3750堆叠。

------------------ show switch detail ------------------

Switch/Stack Mac Address : 001d.a224.0400
H/W Current
Switch# Role Mac Address Priority Version State
----------------------------------------------------------
*1 Master 001d.a224.0400 14 0 Ready
2 Member 001d.a23c.ff80 12 0 Ready
3 Member 001d.e516.f880 10 0 Ready
4 Member 001d.a223.fb00 8 0 Ready
5 Member 001d.a23c.df80 6 0 Ready

Stack Port Status Neighbors
Switch# Port 1 Port 2 Port 1 Port 2
--------------------------------------------------------
1 Ok Ok 2 5
2 Ok Ok 3 1
3 Ok Ok 4 2
4 Ok Ok 5 3
5 Ok Ok 1 4

问题：

1. 其中一台3750的多个端口POE失效。
2. POE Failure的端口可以正常转发数据。
3. 以下是客户的邮件：

1. There is no information desplayed on the LCD Screen of the IP Phone. As far as i know, the headset/mute/spraker buttons on the phone will flash in turn when connnected to the good port. But there is no response when we connected the good phone directly to the 7 ports.

2. So far there are 7 ports on this switch can not supply the IP Phones.
P14/15/16/17/43/45/46.

3. The IP Phones/RJ-45 Lines/config file of the switch are all well.

解决问题：

让客户采集必要的POE的相关信息：

1\ Captrue the information for "show int f3/0/14 transceiver properties" and "show power inline f3/0/14 " when insert the ip phone into the port.

2\ Captrue the information for "show int fx/0/x transceiver properties" and "show power inline fx/0/x " for good port.

以下是信息：

#show int f3/0/14 transceiver properties
Diagnostic Monitoring is not implemented.
Name : Fa3/0/14
Administrative Speed: auto
Administrative Duplex: auto
Administrative Auto-MDIX: on
Administrative Power Inline: enable
Operational Speed: auto
Operational Duplex: auto
Operational Auto-MDIX: on
Media Type: 10/100BaseTX

#show power inline f3/0/14
Interface Admin Oper Power Device Class Max
(Watts)
--------- ------ ---------- ------- -------------------
Fa3/0/14 auto off 0.0 n/a n/a 15.4

Interface AdminPowerMax AdminConsumption
(Watts) (Watts)
---------- --------------- --------------------

Fa3/0/14 15.4 15.4

++++++++++++++++++++++++++++++++++++++++

#sh interfaces f3/0/13 transceiver properties
Diagnostic Monitoring is not implemented.
Name : Fa3/0/13
Administrative Speed: auto
Administrative Duplex: auto
Administrative Auto-MDIX: on
Administrative Power Inline: enable
Operational Speed: 100
Operational Duplex: full
Operational Auto-MDIX: on
Media Type: 10/100BaseTX

#sh power inline f3/0/13
Interface Admin Oper Power Device Class Max
(Watts)
--------- ------ ---------- ------- -------------------
Fa3/0/13 auto on 6.3 IP Phone 7940 n/a 15.4

Interface AdminPowerMax AdminConsumption
(Watts) (Watts)
---------- --------------- --------------------

Fa3/0/13 15.4 15.4

POE端口供电问题，可能供电芯片损坏，更换备件。

客户解决中的问题：

对于堆叠的交换机，如何进行割接更换？

Follow information is step for cut over:

1\ Backup the Master config to flash.

#copy run flash

2\ Upgrade the IOS for RMA part.

#archive upload-sw tftp://172.16.2.155/c3750-ipbasek9-mz.122-40.SE.tar
!--- upload the ios to tftp
#archive download-sw /leave-old-sw /reload tftp://172.16.2.155/c3750-ipbasek9-mz.122-40.SE.tar
!--- download-sw Download a new copy of software from a server
!--- /leave-old-sw Leave old sw installed after successful sw upgrade
!--- /reload Reload system (if no unsaved config changes) after successful sw upgrade

3\ Change the New part SW priority:

Switch#sh sw
Switch/Stack Mac Address : 0016.9de7.ea00
H/W Current
Switch# Role Mac Address Priority Version State
----------------------------------------------------------
*1 Master 0016.9de7.ea00 10 0 Ready
Switch#config ter
Enter configuration commands, one per line. End with CNTL/Z.
Switch(config)#sw 1 pri 1
Changing the Switch Priority of Switch Number 1 to 1
Do you want to continue?[confirm]
New Priority has been set successfully
Switch(config)#end
Switch#
Switch#sh sw
Switch/Stack Mac Address : 0016.9de7.ea00
H/W Current
Switch# Role Mac Address Priority Version State
----------------------------------------------------------
*1 Master 0016.9de7.ea00 1 0 Ready
#wr

4\ Power down and join the stack.

5\ Power on.

关于堆叠的一些基础知识：

在LAB中，3台3750堆叠：

1. 加台新设备，如果带电加，可能会导致其他设备重启，这样如果新SW优先级大，他会同步其他两台设备的配置。不加电入网，不会影响堆叠：
Switch#sh sw
Switch/Stack Mac Address : 0016.9de7.ea00
H/W Current
Switch# Role Mac Address Priority Version State
----------------------------------------------------------
*1 Master 0016.9de7.ea00 10 0 Ready
2 Member 0016.9df2.6480 2 0 Ready
3 Member 0012.4306.6380 14 0 Ready

2. 堆叠成功后，配置及文件名都被同步，3台设备的Console口信息都是相同的，而且均是Master的。

3. 上面的1，2，3是逻辑的，所以不能从这上面判断现实中的交换机（比如说1，有可能在现实中是中间的交换机）。所以在排除故障是，只能根据序列号来判定具体是哪台交换机故障。

4. 把3下架后，console进去：
c3750-2#sh sw
Switch/Stack Mac Address : 0012.4306.6380
H/W Current
Switch# Role Mac Address Priority Version State
----------------------------------------------------------
1 Member 0000.0000.0000 0 0 Provisioned
2 Member 0000.0000.0000 0 0 Provisioned
*3 Master 0012.4306.6380 3 0 Ready

配置及端口信息仍然存在。

在另外两台堆叠SW上：
c3750-2#sh sw
Switch/Stack Mac Address : 0016.9de7.ea00
H/W Current
Switch# Role Mac Address Priority Version State
----------------------------------------------------------
*1 Master 0016.9de7.ea00 10 0 Ready
2 Member 0016.9df2.6480 2 0 Ready
3 Member 0000.0000.0000 0 0 Provisioned

CCIE SP --- 组播 <1> IP 多播路由介绍

2008-04-10T11:27:00.031+08:00

Some Well-Known Reserved Multicast Addresses

Address Group
---------------------------------------
224.0.0.1 All systems on this subnet
224.0.0.2 All routers on this subnet
224.0.0.4 DVMRP routers
224.0.0.5 All OSPF routers
224.0.0.6 OSPF designated routers
224.0.0.9 RIP-2 routers
224.0.0.10 EIGRP routers
224.0.0.13 PIM routers
224.0.0.15 CBT routers
224.0.1.39 Cisco-RP-Announce
224.0.1.40 Cisco-RP-Discovery

以太网组播地址的映射

具有多播功能的以太网、令牌环和FDDI的NIC都采用保留的IEEE802地址0100.5E00.0000来决定唯一的多播MAC地址。

以太网接口把组IP地址的最后23bit映射到保留的MAC地址的最后23bit组成一个多播MAC地址，如上图所示。图中，以太网的多播MAC地址是由IP地址的最后23bit连接在MAC地址0100.5E00.0000的前256bit后构成。

如OSPF的224.0.0.5的组播MAC地址0100.5E00.0005就是这么得来的。

为什么组播MAC需要映射？难道直接用原来的MAC不行么（10进制转16进制）？其实，D类地址跟A、B、C类完全是不同的，当初定义就不一样，所以，MAC地址的算法自然也就不一样！在考虑组播时不要拿它跟普通IP做对比。另外，组播的源地址大部分在软件上设置（如视频电视等），当然router上也可以设置组播源。

从上面的图中可以看出，每一个组播MAC都会对应32个不同的地址，因为D类地址规则是“1110”，又因组播MAC是由IP地址的后23位映射的，所以中间有“10111”五位可变的位，也就是2的5次方，32个组合。

虽然有重复，但根据IETF的观点，这种可能性比较小，在此可以不用深入研究为什么可能性小。

组播管理协议IGMP

IGMPv2:

IGMPv2的主机功能：
1. Membership Report 消息
主机加入组播时发出，不会等待路由器的查询。此信息发送的时间间隔为10s.
因为主机发的信息是组播的，所以组中的其他成员也会收到这个信息，如果主机在它的计时器超时前收到Membership Report信息，他就不会再发送此信息，这样可以节约带宽，不会使整个子网充斥这Membership Report信息。

2. Version 1 Membership Report 消息
为了兼容IGMPv1的消息而设置的。

3. Leave Group 消息
主机退出时发出的消息。

IGMPv2的路由功能：
1. General Query
路由器对所有子网进行轮询查找是否有组员存在。默认时间间隔为60s，可以通过ip igmp query-interveal命令来更改此默认时间。

此查询包含Max Response Time的值，这个值是主机用Membership Report来响应查询的时间，这个值的默认时间为10s，可以通过ip igmp query-max-response-time来改变。Max Response Time占用了8bit。

此消息被发向“子网中的所有系统”224.0.0.1 ，也就是所有支持多播的设备。如果路由器连续3次发送的查询没有回应，那么它就认为它的子网中没有此组的组员。

2. Group-Specific Query

主机正常退出时会发送Leave Group ，当路由器收到此信息后，必须判断子网中是否有组员存在，为了这个目的，路由器会发送Group-Specific Query，与Greneral Query不同的是，它包含的是组的地址，目的地址是组地址而不是224.0.0.1。

如果此信息被破坏或被丢弃，组员收不到，那么路由器会认为没有组员存在而停止转发组数据。因此路由器会每隔1s分别发送2个Group-Specific Query消息。
当多播路由器被激活时，他认为自己是查询者，所以会发送General Query和 Group-Specific Query消息。当子网中有多个路由器时，会选较小IP地址的路由器做查询者。当路由器收到General Query时，会查看源地址，如果它自己的IP地址更小，那么会继续发送查询；当新路由器收到一个General Query，发现此路由器有较小的IP，那么那么他会成为非查询者。

非查询者有一个非查询者时间间隔，也就是Other Query Present Interval，是默认时间的2倍，也就是120s，可用ip igmp query-timeout来改变。如果过了120s还收不到查询者的查询时，他会认为查询者不存在了，并自己成为查询者。

IGMPv1:
1. 没有leave group消息。
2. 没有group-specfic query消息
3. 不在查询消息中存在最大响应时间，而在主机中固定一个最大响应时间，为10s。
4. 没有选举过程，所以可能在一个子网中存在多个查询者。

IGMP v1&v2

Gold#debug ip igmp
IGMP debugging is on
Gold#

IGMP: Send v2 Query on Ethernet0/0 to 224.0.0.1

IGMP: Received v2 Report from 172.16.1.23 (Ethernet0/0) for 239.1.2.3

IGMP: Received v1 Report from 172.16.1.254 (Ethernet0/0) for 228.0.5.3

IGMP: Starting old host present timer for 228.0.5.3 on Ethernet0/0

IGMP: Send v2 Query on Ethernet0/0 to 224.0.0.1

IGMP: Received v2 Report from 172.16.1.23 (Ethernet0/0) for 239.1.2.3

IGMP: Received v1 Report from 172.16.1.254 (Ethernet0/0) for 228.0.5.3

IGMP: Starting old host present timer for 228.0.5.3 on Ethernet0/0

路由器不断发送版本2的General Queries消息，而且最大响应时间不为0。路由器收到239.1.2.3的IGMPv2的Membership Report消息与组228.0.5.3的IGMPv1的Membership Report。版本1的消息会使路由器为这个组设置一个 old host present timer时间，版本1的主机会忽略它。主机将版本2的查询理解为版本1的查询。

组成员资格协议CGMP

交换网中多播的控制方法：
1. CGMP
下面将详细讲解。

2. 手工配置的交换式多播树
静态的绑定端口和组播地址，主要有以下缺点：
1，手工配置，不适合大量部署。
2，不能跨越VLAN

3. GMRP
动态的添加多播地址，是一个开放协议，802.1p，它是一个严格的2层协议。

4. IGMP监听
支持多个厂家的3层协议，检查所有经过的IGMP消息，如果用软件来实施，那会严重降低交换机的性能，所以当交换机的硬件转发支持IGMP时（或有专门的ASIC），才推荐用这个。

CGMP的操作
CGMP是cisco的专有协议，只有路由器能产生CGMP包，交换机只能读取这些包。

CGMP分2种包：
1. Join，路由器发出，告诉交换机向多播组加入一个或多个组员。
2. Leave，路由器发出，告诉交换机删除一个或多个组员，或是整个组。

2种包的信息包括了：
1. GDA：组目的地址
2. USA：单播源地址。

当CGMP的路由器启动后，它向交换机发送一个CGMP的join包，这个包中的GDA为0（0000.0000.0000.0000），USA设置为自己的MAC地址。于是交换机知道多播路由器连接在它收到这个包的端口上。路由器每隔60s发送一个包来维持存活。

以下是CGMP的操作过程：

主机发送IGMP Membership Report，经过交换机到达路由器，路由器会发送Join包给交换机，交换机收到后，根据包的信息，建立MAC地址与组播地址的映射关系，当路由器发送IGMP查询时，交换机会把查询信息发送到除接受端口外的所有组端口上。

主机发送IGMP Leave消息，路由器收到后，发出2个IGMP Group-Specific Query查询，交换机收到后，把此消息转到组的端口上，如果有还有组员响应，那么路由器发送IGMP Leave包到交换机，交换机收到后，根据包中的描述，删除跟组员相对应的端口。如果没有组员响应，路由器也发送IGMP Leave包，交换机收到后，删除整个组。

上面讲到都是EGMP 的Leave包，但意义不同，以下是CGMP包的格式：


Type	GDA	USA	Function
Join	Zero	Router MAC	Identifies the port as a multicast router port.
Join	Group MAC	Member MAC	Identifies the multicast group and adds the member's port to the group.
Leave	Group MAC	Member MAC	Removes the member port from the specified group.
Leave	Group MAC	Zero	Removes the group from the CAM.
Leave	Zero	Router MAC	Removes all groups and ports bound for the router's port from the CAM.
Leave	Zero	Zero	Removes all groups from all switches.

HSRP Unicast Flapping

2008-03-24T16:39:00.015+08:00

环境：

1、3750与7206之间为三层OSPF互联
2、29、37之间连接全为两层trunk
3、29-1到29-5都属于vlan2，并且block口在29之间
4、37之间设置HSRP，3750-1对于VLAN2来说是主的

问题：

1、在29上并未配置端口镜像，但能在29-5上能获得server 发给client的IP unicast包，而且目的地址均不同。只要29-5和29-2的端口只要开着，不论有没有业务，就会收到流量，而且很平均。

2、主要受影响的是2950-2和2950-5，都是跟3750-2连的，而且如果block端口在29之间，那么就会出现这个问题，如果把block端口定在上联口，那么就没有问题了。

解决问题：

The problem was a result of non-symmetric traffic patterns through the L3-switched network.

The traffic path is follow for send:
PC --- >>> 2950-1 --->>> 3750-1 --->>> 7204-1 --->>>
Intranet Server

But the return traffic path may be:
Intranet Server --->>> 7204-2 --->>> 3750-2 --->>> 3750-1
--->>> 2950-1 --->>> PC

Because no traffic from PC to 37-2, so the mac will aging after 5 minutes, then the 3750-2 will flood, both 29-2 and 29-5 will be impacted. After the 3750-1 received the flood unicast, the 3750-1 have the 2950-1' mac, but the 37-1 didn't pronounce the mac to 37-2.

In addition, the arp aging is 4 hour, so only after 4 hour, the 37-2 will resend new arp broadcast, then the PC will response. So the 37-2 will received the PC's mac. But alive time only 5 minutes. After 5 minutes, the mac will be cleared. Then 3750-2 flood, impact the 29-2 and 29-5.

There have three workaround:
------------------------------------------------------------------------------------------
1\ Decrease default arp timeout from 4 hours to below 5 minutes in vlan 2 of 37-2.

This results in the L3 SW issuing arp request to the host every 5 minutes.
So this will refresh the mac table on the switch, before it gets aged out, thus preventing flooding.

Attention: Change the arp timeout, the 37-2 will have numerous arp broadcast, it maybe impact the 37-2 performance.

2\ Increase default Mac address-table aging time from 5 minutes to more 4 hours in 37-2.

This results in the L3 SW issuing the arp request to the host before the Mac aging.
So the arp broadcast will happen in 4 hours.

Attention: Change the Mac aging timeout, the PC client number will be limited. Because the

CAM table size is restrictedness.
In addition, if change the 2950's port for PC client, the PC client maybe cannot online, because the Mac aging is 4 hours.

3\ Adjustment the route between 37 and 72.

Change the non-symmetric traffic patterns to symmetric traffic patterns .

客户解决中的问题：

The customer cut over failed and complain that workaround have problem.

There have some reasons for cuting over fail when you change the aging time to 14400.
------------------------------------------------------------------------------------------
1\ The problem exists when you cut over. So the 37-2 have no Mac address for some client of 29-1.

2\ The Mac aging is 4 hours after you change the aging time, but arp timeout also is 4 hours. So after 4 hours, the 37-2 will learn those Mac address.

You need clear arp table after change the Mac aging time and the network will OK.
------------------------------------------------------------------------------------------
I had recreated the customer environment in my lab, following command information is to change the mac aging time.

(config)#mac-address-table aging-time 14400
#sh mac-address-table aging-time
Global Aging Time: 14400
Vlan Aging Time
---- ----------
1 14400
2 14400
3 14400
999 14400
#clear arp

更改MAC的老化时间后，过了1周。。。

客户告知没有解决问题，仍然存在同样的问题，协调客户抓包分析后，发现确实有Unicast Flapping，然而发现在37-1和37-2上MAC地址是全的，而且也已经把MAC的老化时间改为4小时了，为什么仍然会出现此问题？

再次解决问题：

1、为什么在交换机的MAC地址是全的？

那是因为抓包的时间跟show mac信息的时间不是同时的，所以在看采集的信息中批对show的信息，没有什么意义。而且每个人老化时间都不可能达到一致，所以当有MAC老化后，在arp发送并响应这段时间中，仍然会有Unicast Flapping，只不过非常短，也就1S左右，所以在查看抓包的信息时，如果多个数据包的源和目的地址均相同，而且在1S左右，那么就是正常的。

2、分析采集的数据，发现在29-2上仍然有多个数据包的源和目的地址均相同并超过1S !

为什么会这样？难道之前更改的老化时间没有任何效果？
经过查阅相关资料，找到了原因：

这是由于TCN导致的问题。

什么是TCN？在生成树中，如果拓扑发生变化，交换机会产生TCN并把此信息发给根桥，并且根桥把此信息发送到整个广播域中。当根桥收到TCN后，他会把MAC的老化时间设为15S。

因此当改完MAC的老化时间，并clear arp后，确实能暂时解决，但当客户下班或上班时，电脑肯定需要开启或关闭，所以就会产生TCN，因此根桥就会忽略MAC 4小时的老化时间，把MAC都改成了15S， 15S过后，所有MAC都被清空。

现象又回到了最初的问题-非对称路由，只有当4小时过后，才能通过ARP来学习新的MAC地址。

以下是给用户回的邮件并给出了Workaround：

After change the MAC aging to 14400, the flapping didn't disappear. Follow information for reason.

1\ The switch will send information "TCN BPDU" to root bridge when the PC power on or power down.

2\ After root switch received the "TCN BPDU", The Root Bridge then sets the Topology Change Acknowledgment flag (to acknowledge the TCN BPDU sent by the previous bridge) and the Topology change flag in the next Configuration BPDU that it sends out.

3\ The Root Bridge continues to set the Topology Change flag in all Configuration BPDUs that it sends out for a total of Forward Delay + Max Age seconds (default = 35 seconds). This flag instructs all bridges to shorten their bridge table aging process from the default value of 300 seconds to the 15 seconds.

4\ After 15S, the issue back to the past: non-symmetric traffic patterns.

Workaround

------------------------------------

Change the port mode to "portfast", then the switch will not send "TCN BPDU" to root bridge when the PC power on or power down. So the MAC aging time will don't be changed.

But i attention to you, don't connect hubs, concentrators, switches, bridges and so on to port of portfast. If you connect, the STP will loop, then the problem will serious impact the business.

(config-if)#span portfast

%Warning: portfast should only be enabled on ports connected to a single

host. Connecting hubs, concentrators, switches, bridges, etc... to this

interface when portfast is enabled, can cause temporary bridging loops.

Use with CAUTION

%Portfast has been configured on GigabitEthernet1/0/44 but will only

have effect when the interface is in a non-trunking mode.

(config-if)#end

------------------------------------

总结：

这种Design在国内非常常见，只要是由HSRP导致的非对称路由，上层又没有做策略，都会有这种问题，但为什么翻译的不是很明显，主要可能是由于带宽充足，而且下连的客户端比较少，所以没有发现，而且出现Mac Flapping, 不会造成设备Performance的降低，只会占用一定量的带宽。

此CASE涉及到了HSRP，Mac Flapping，ARP table 及Mac and ARP的aging。所以对于数据包传送的理解非常有帮助。

根据此CASE，可以扩展思考以下问题：
1、当数据帧从一个广播域到达HSRP主的端口及转发出去的整个2层详细的过程是怎样的？
2、为什么3层不涉及到Mac地址表？只查看ARP表就可以了？
3、到了3层和2层的交接点，是如何从ARP到Mac的？在一些比较新的IOS中，ARP表中包括了Mac地址及端口，那是否就不需要Mac地址表了？

这有篇关于在HSRP中，非对称路由导致Mac地址问题的标准文档。

P1i的常用设置

2008-03-14T22:54:00.007+08:00

一、GPRS设置

索尼爱立信官方网站GPRS设置。

二、彩信设置

索尼爱立信官方网站彩信设置。

三、Email设置

索尼爱立信官方网站Email设置。

四、利用P1i的Modem拨号，使本本上网

1、手机的设置 ( 只有P1i需要设置，P1c已经内置，不用设置 )

Main menu --->>> Control panel --->>> Connections --->>> Internet accounts --->>> More --->>> New account --->>> Data account --->>> 名称随便写 --->>> Address: cmnet --->>> Save

2、利用索尼爱立信的“PC Suite”软件才设置拨号

此软件可以到索尼爱立信的官方网站下载，也可以在此处直接连接。
进入主程序 --->>> 查看P1i是否以手机模式连接，这需要在P1i上选择，再界面上看到绿色的通道说明正常 --->>> 点击“移动网络向导” --->>> 新连接 --->>> 选择“数据包交换数据” --->>> 选择P1i的调制解调器 --->>> 随便取个名字 --->>> 检查连接，成功后进入选择网络运营商，默认手动模式 --->>> APN接入点 “cmnet”（跟手机上的一一对应） --->>> 用户名密码均为空，完成。恭喜你，你可以拨号了^_^~

拨号建立连接后，你可在CMD中用“ipconfig /all”命令可以看到以下连接数据：

Ethernet adapter 本地连接:

Media State . . . . . . . . . . . : Media disconnected
Description . . . . . . . . . . . : Intel(R) 82566MM Gigabit Network Con
nection
Physical Address. . . . . . . . . : 00-1C-25-72-48-E1

PPP adapter 12:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : WAN (PPP/SLIP) Interface
Physical Address. . . . . . . . . : 00-53-45-00-00-00
Dhcp Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 10.2.71.62 --->>>自动获得
Subnet Mask . . . . . . . . . . . : 255.255.255.255
Default Gateway . . . . . . : 10.2.71.62 --->>>跟上面一样，不用理会

另外提醒下，拨号上网后，流量走的很快，而且在北京GPRS没有包月无限流量的，所以不划算，只有当万不得已时才用这个功能，解燃眉之急~

Dos常用命令汇总

2008-03-10T10:49:00.004+08:00

1、dir

无参数：查看当前所在目录的文件和文件夹。
/s：查看当前目录已经其所有子目录的文件和文件夹。
/a：查看包括隐含文件的所有文件。
/ah：只显示出隐含文件。
/w：以紧凑方式（一行显示5个文件）显示文件和文件夹。
/p：以分页方式（显示一页之后会自动暂停）显示。
|more：前面那个符号是“\”上面的那个，叫做重定向符号，就是把一个命令的结果输出为另外一个命令的参数。more也是一个命令，dir /w |more 得到的结果和dir /w /p的结果是一样的。

其他的参数大家可以用：dir/?查看。

2、cd

cd 目录名：进入特定的目录。如果看到有个目录显示为：abcdef就输入：

cd abcdef进入该目录。

cd\ 退回到根目录。
cd..退回到上一级目录。

3、md / rd

md 目录名：建立特定的文件夹。（dos下面习惯叫目录，win下面习惯叫文件夹^_^）
rd 目录名：删除特定的文件夹。

4、cls

清除屏幕。

5、copy

copy 路径\文件名路径\文件名：把一个文件拷贝到另一个地方。

6、move

move 路径\文件名路径\文件名：把一个文件移动（就是剪切+复制）到另一个地方。

7、del

del 文件名：删除一个文件。
del *.*：删除当前文件夹下所有文件。
del不能删除文件夹。

8、deltree

删除文件夹和它下面的所有子文件夹还有文件，厉害……不要乱用。

9、format

format x: x代表盘符，格式化一个分区。在dos下是用fat文件系统格式化的。

10、type

type 文件名：显示出文本文件的内容。

11、edit

其实这是个小程序，编辑文本文件用的。

12、ren

ren 旧文件名新文件名：改文件名。

13、attrib

attrib autorun.inf -s -h -r 去掉autorun.inf文件的系统、只读、隐藏属性

Dynagen如何保存配置

2008-02-09T16:58:00.000+08:00

方法一：常见的就是通过TFTP

在net配置文件中用语句f0/0 = NIO_gen_eth:\Device\NPF_{BA68CE2E-1ACE-4DCB-AF5D-92179DD5F49C}
来连接到本机，在本机（当然，和本机在同一局域网中的其它机器也可以）上安装一个TFTP服务端软件（建议用3Com），把虚拟好的路由器的以太网接口设置成和你的机器在同一网段上，然后在特权模式下用copy run tftp，然后按要求输入TFTP服务器的ip地址，一路回车即可。

这种方法比较麻烦，而且必须当你的拓扑，路由全通时使用这个还行！试验初期这种方法没意义，大家不会想把每个router的以太口都跟PC连起来吧？！

方法二：在终端窗口中用复制/粘贴

具体方法是，在终端上执行show run，然后把显示完整的配置文件信息复制一下，粘贴到一个文本文件中保存即可。在这种方法中，有可能配置文件很长，需要在终端窗口中敲多次空格才能显示完整，比较烦，你也可以执行下面命令，以使在终端窗口中显示更多行。
R1#conf terminal
R1(config)#line console 0
R1(config-line)#length 500
R1(config-line)#end
R1#
这里的length 后面的值在0－512之间，单位是“行”，“0”代表不停留，用完后，觉得不习惯可以再改过来。

方法三：利用SecureCRT来保存配置

点击"File->Load Session",在弹出的保存对话框中输入你想保存配置文件的名字，确定后，再在终端中输入show run，显示完整后，再把"File->Load Session"前的钩去掉即可。

另外可以用CRT的脚本来使其自动保存命令，点击“Options->Global Options->Edit Default Setting->Terminal->Log File”。具体如何配置，可以参考其它文档，再此就不多说了。

方法四：用Dynagen的export和命令

注意，使用此命令之前，必须先保存配置文件，用write命令或是用copy run start，然后再用下面命令。
=> export R1 d:\
The directory "d:\" already exists. Ok to overwrite (Y/N)? y
Exporting R1 to "d:\\R1.cfg"
=>
执行结束后，会在D:\有一个R1.cfg的文件，当然，你也可以用export /all D:\来导出所有设备的配置文件。如果你想导入以前保存好的配置文件的话，就用import /all D:\ 命令。
其实此命令的原理是Dynagen把配置保存在NVRAM中了，当你用完import命令后，必须用copy start run命令后，才能达到效果。

方法五：用Dynagen的save命令

这种方法备份的配置信息会保存在当前用的net文件中，这些信息是经过处理过的，你看不明白，它会在每个路由器中增加一个属性，如：
[[router R1]]
model = 3660
f0/0 = NIO_gen_eth:\Device\NPF_{BA68CE2E-1ACE-4DCB-AF5D-92179DD5F49C}
configuration = IQohIExhc3QgY***********Cg==
下次再启动net文件时，系统会提示你是否加载配置信息，你自由选择就可以了。
这种方法好像没有效果，我没有试成功！而且如果用这个，“.net”拓扑文档就显得非常乱。部推荐使用这个。

简单配置CISCO设备的syslog

2008-01-13T11:36:00.000+08:00

ROUTER

Router(config)#logging 192.168.0.30
!---配置syslog服务器地址,可以定义多个

Router(config)#service timestamps debug datetime localtime show-timezone msec

Router(config)#service timestamps log datetime localtime show-timezone msec syslog

!---信息包含时间戳

Router(config)#logging facility local3

!---定义facility级别,不同设备不同参数，目前还不明白是什么意思！

Router(config)#logging trap warning

!---定义severity级别缺省为infor级别，一共8个级别，可以用数字表示

Router#show logging

Syslog logging: enabled (0 messages dropped, 0 flushes, 0 overruns)

Console logging: level debugging, 79 messages logged

Monitor logging: level debugging, 0 messages logged

Buffer logging: disabled

Trap logging: level warnings, 80 message lines logged

Logging to 192.168.0.30, 57 message lines logged

SWITCH(CATOS)

Console> (enable) set logging timestamp enable

!---定义信息包含日期戳

Console> (enable) set logging server 192.168.0.30

!---指定服务器地址,最多可以指定3个

Console> (enable) set logging server facility local4

!---定义facility级别,同上，没有搞定这个具体是干什么的。

Console> (enable) set logging server severity 4

!---定义severity级别除了前面提到的路由器上的severity级别以外还有一些交换机特有的

Console> (enable) set logging server enable

!---启用syslog服务

Console> (enable) show logging

Logging buffered size: 500

timestamp option: enabled

Logging history size: 1

Logging console: enabled

Logging server: enabled

{192.168.0.30}

server facility: LOCAL4

server severity: warnings(4

Current Logging Session: enabled

Facility Default Severity Current Session Severity

------------- ----------------------- ------------------------

cdp 3 4

drip 2 4

PIX

Firewall(config)# loggin timestamp

!---定义信息包含日期戳

Firewall(config)# logging host 192.168.0.30

!---服务器地址,可以指定以udp或者tcp来发送信息,具体看相关文档。

Firewall(config)# logging facility 21

!---定义facility级别,防火墙使用两位字符,local0对应16,依次类推,缺省为20也就是local4,具体含义没弄清楚。

Firewall(config)# logging trap 7

!---定义severity级别,7为debug,0为emer,1为alert.

Firewall(config)# logging on

!---启用syslog

Firewall(config)# no logging message 111005

!--抑制特定的syslog信息，111005具体代表什么，请查看相关文档。

Firewall(config)# exit

Firewall# show logging

Syslog logging: enabled

Facility: 21

Timestamp logging: enabled

Standby logging: disabled

Console logging: disabled

Monitor logging: disabled

Buffer logging: disabled

Trap logging: level debugging, 6 messages logged

Logging to inside 192.168.0.30

History logging: disabled

Device ID: disabled

根据相关的版本和不同的设备，可能设置会有些不同，请上Cisco Documentation上查找相关文档。

光纤接口，交换机的光模块，接口及其他

2007-07-07T14:31:00.000+08:00

光纤的接口有哪几种?

1．SC型光纤连接器：

这是一种由日本NTT公司开发的光纤连接器。其外壳呈矩形，所采用的插针与耦合套筒的结构尺寸与FC型完全相同，其中插针的端面多采用PC或APC型研磨方式；紧固方式是采用插拔销闩式，不需旋转。此类连接器价格低廉，插拔操作方便，介入损耗波动小，抗压强度较高，安装密度高。

此类光纤做为GBIC的接头，为1GB接口。

GBIC模块常用的分两种：
1．WS-G5486(CISCO 1000BASE-LX/LH GBIC)
此模块最大距离为10km，有时超过10km也可以用，但有时可能会出问题。

2．WS-G5487(CISCO 1000BASE-ZX GBIC)
此模块最长支持70km，如果在两点间距离在25km内，那么需要加光衰使光的强度降下来。要不可能会把模块击穿！

在使用前需要测量一下光的衰减程度，这就要用到光功率计，在进行测量时应注意：

1．5486的测量波段为1310，5487的测量波段为1550！

2．下面的数据是正常范围的数值，如果大于下面的数值，就需要增加光衰来降低光的强度！

Device

Type

Transmit (dBm)

Receive (dBm)

Max

Min

Max

Min

WS-G5486

1000BASE-LX/LH

-3

-9.5

-3

-19

WS-G5487

1000BASE-ZX

5

0

-3

-23*

如果想了解更多GBIC的内容，请点击这里！

2．FC型光纤连接器：

这种连接器最早是由日本NTT研制。FC是Ferrule Connector的缩写，表明其外部加强方式是采用金属套，紧固方式为螺丝扣。最早，FC类型的连接器，采用的陶瓷插针的对接端面是平面接触方式(FC)。此类连接器结构简单，操作方便，制作容易，但光纤端面对微尘较为敏感，且容易产生菲涅尔反射，提高回波损耗性能较为困难。后来，对该类型连接器做了改进，采用对接端面呈球面的插针(PC)，而外部结构没有改变，使得插入损耗和回波损耗性能有了较大幅度的提高。

3．LC型连接器：

LC型连接器是著名Bell研究所研究开发出来的，采用操作方便的模块化插孔(RJ)闩锁机理制成。其所采用的插针和套筒的尺寸是普通SC、FC等所用尺寸的一半，为1.25mm。这样可以提高光配线架中光纤连接器的密度。目前，在单模SFF方面，LC类型的连接器实际已经占据了主导地位，在多模方面的应用也增长迅速。

此接口为2GB的接口。

4．相关图片：
FC转SC，FC一端插光纤步线架，SC一端接catalyst或其他上面的GBIC。
LC就是路由器常用的SFP，mini GBIC所插的线头。

一头GBIC,另一头MINI-GBIC。

两头都是GBIC。
对于10Base-F连接来说，连接器通常是ST类型，另一端FC连的是光纤步线架。

6500交换机引擎的内存和flash

2007-06-04T16:54:00.000+08:00

首先要知道引擎由SP和RP组成，完整的引擎上会有3部分，一是最下面那块大板(引擎)，另一个是右边的一块子卡(PFC)，最后是左边的子卡(MSFC)，引擎和PFC合称交换引擎(SP)，MSFC称路由引擎(RP)，SP和RP的概念是从720开始的。

SP和RP是独立的操作系统，所以各自有Memory和Flash，如果运行CatOS加MSFC的IOS时，SUP引擎作为主控的SP（Swtich processer），MSFC作为引擎的RP（Router processer），子卡存在。但如果运行Native IOS，那么引擎先从SP引导，读取IOS中SP的部分，加载成功后将Console转到RP，进行RP引导，但由于RP中的Flash是没有IOS，所以用TFTP的形式从SP下载IOS中的RP部分(每次都得下么？？)，引导完后，控制权留在RP上，因此在启动完成后的引擎上sh ver，你会发现IOS版本不同你在flash中的文件稍有不同，会有一个rp的字样，这表示是rp部分，而切换到SP的Console后sh ver则可以看到sp的字样。

HR-6509B#sh ver
Cisco Internetwork Operating System Software
IOS (tm) c6sup2_rp Software (c6sup2_rp-PS-M), Version 12.1(26)E3, RELEASE SOFTWARE (fc1)

Flash分内置和外置，内置的叫bootflash，外置的在Sup1上叫Slot0:，从Sup2开始，Cisco支持ATA格式的PCMCIA Flash，因此Sup2上会有Slot0:和Disk0:，如果是MEM格式的用Slot0:，如果是ATA格式的用Disk0:，到Sup3(720)，开始用CF，也就只支持ATA格式了。

现在再来看IOS中的不同的设备就比较清楚了。SP上的所有设备都会有个sup-的前缀，所以sup-bootflash:就是SP上的Flash，sup-slot0:就是SP上的PCMCIA插槽。

至于Flash:设备则是个虚设备，只是一个指针，具体指到哪里用pwd命令看，可以用cd 命令更改。

注意：6509在从CatOS升级到IOS之后，原先引擎的BOOTFLASH会被改名为：SUP-BOOTFLASH。而原先MSFC的BOOTFLASH会被认为引擎的BOOTFLASH。虽然如此，6509是不能通过MSFC的BOOTFLASH上的IOS启动的。必须通过SUP-BOOTFLASH。这个要注意！

以下是6509的实例:

cisco WS-C6509 (R7000) processor (revision 2.0) with 227328K/34816K bytes of memory.
Processor board ID SCA044505H0
R7000 CPU at 300Mhz, Implementation 39, Rev 3.3, 256KB L2, 1024KB L3 Cache
Last reset from power-on
X.25 software, Version 3.0.0.
Bridging software.
65 Virtual Ethernet/IEEE 802.3 interface(s)
96 FastEthernet/IEEE 802.3 interface(s)
12 Gigabit Ethernet/IEEE 802.3 interface(s)
381K bytes of non-volatile configuration memory.

32768K bytes of Flash internal SIMM (Sector size 512K).
Standby is up
Standby has 112640K/18432K bytes of memory.

Configuration register is 0x2102
*****************************************************************
6509#sh sup-bootflash:
-#- ED ----type---- --crc--- -seek-- nlen -length- ---------date/time--------- name
1 .. image FD002195 E2C184 27 14598404 Dec 04 2006 09:09:14 +08:00 c6sup12-ps-mz.121-26.E3.bin

1392252 bytes available (14598532 bytes used)
*****************************************************************
6509#sh sup-slot0:
-#- ED ----type---- --crc--- -seek-- nlen -length- ---------date/time--------- name
1 .. image 5E2B6017 E0E73C 27 14608060 May 29 2007 15:18:36 +08:00 c6sup12-ps-mz.121-26.E8.bin

10164420 bytes available (14608188 bytes used)
*****************************************************************
6509#dir
Directory of slot0:/ !----------因为是simm(mem)所以默认是slot0:

1 -rw- 14608060 May 29 2007 15:18:36 +08:00 c6sup12-ps-mz.121-26.E8.bin

24772608 bytes total (10164420 bytes free)
*****************************************************************
6509#sh run
……
boot system flash slot0:c6sup12-ps-mz.121-26.E8.bin
boot system flash sup-bootflash:c6sup12-ps-mz.121-26.E3.bin

以下是7206VXR (NPE400)的实例:

cisco 7206VXR (NPE400) processor (revision B) with 245760K/16384K bytes of memory.
Processor board ID 33551180
R7000 CPU at 350Mhz, Implementation 39, Rev 3.3, 256KB L2, 4096KB L3 Cache
6 slot VXR midplane, Version 2.9

Last reset from power-on
Bridging software.
X.25 software, Version 3.0.0.
SuperLAT software (copyright 1990 by Meridian Technology Corp).
TN3270 Emulation software.
Primary Rate ISDN software, Version 1.1.
Channelized E1, Version 1.0.
2 FastEthernet/IEEE 802.3 interface(s)
46 Serial network interface(s)
40 Channelized E1/PRI port(s)
125K bytes of non-volatile configuration memory.

62976K bytes of ATA PCMCIA card at slot 0 (Sector size 512 bytes).
8192K bytes of Flash internal SIMM (Sector size 256K).
Configuration register is 0x2102
*****************************************************************
BJ72#sh bootflash:
-#- ED ----type---- --crc--- -seek-- nlen -length- -----date ------ name
1 .. image 39A27CBE 6A7EAC 25 6716972 Mar 01 1993 00:02:18 c7200-kboot-mz.123-6e.bin

885076 bytes available (6717100 bytes used)
*****************************************************************
BJ72#dir
Directory of disk0:/ !---因为用的是ATA PCMCIA，所以是disk0:

1 -rw- 23837072 Jul 11 2005 18:52:04 c7200-js-mz.123-14.T2.bin
2 -rw- 18490744 May 22 2006 16:20:18 c7200-js-mz.122-15.T17.bin
3 -rw- 86658 Sep 23 2006 13:51:54 BJ72PE0320060923.txt
4 -rw- 84646 Feb 16 2007 03:31:16 20070216

64225280 bytes total (21692416 bytes free)
*****************************************************************
BJ72#sh disk0:
-#- --length-- -----date ------ path
1 23837072 Jul 11 2005 18:52:04 c7200-js-mz.123-14.T2.bin
2 18490744 May 22 2006 16:20:18 c7200-js-mz.122-15.T17.bin
3 86658 Sep 23 2006 13:51:54 BJ72PE0320060923.txt
4 84646 Feb 16 2007 03:31:16 20070216

21692416 bytes available (42532864 bytes used)

以下是摘自Cisco官方网站，如需要，请查阅全文！

Flash memory ATA disks and Flash memory cards use similar commands. The primary syntax change is that disk0: or disk1: refers to Flash memory ATA disks, while slot0: or slot1: refers to Flash memory cards. Generally, use the syntax slot0: for Flash memory cards less than 20 MB, and use disk0: for Flash disk greater than 20 MB. Keep in mind that there are 32 MB linear PCMCIA Flash cards where you use slot0:.

To see which Flash cards are used in your router, use the show version command and look at the bottom portion of the output！

Ipconfig

2007-06-04T12:54:00.000+08:00

显示所有当前的 TCP/IP 网络配置值、刷新动态主机配置协议 (DHCP) 和域名系统 (DNS) 设置。使用不带参数的 ipconfig 可以显示所有适配器的 IPv6 地址或 IPv4 地址、子网掩码和默认网关。

语法

ipconfig [/all] [/renew[Adapter]] [/release [Adapter]] [/flushdns] [/displaydns] [/registerdns] [/showclassidAdapter] [/setclassidAdapter [ClassID]]

参数

/all

显示所有适配器的完整 TCP/IP 配置信息。在没有该参数的情况下，ipconfig 只显示各个适配器的 IPv6 地址或 IPv4 地址、子网掩码和默认网关值。适配器可以代表物理接口（例如安装的网络适配器）或逻辑接口（例如拨号连接）。

/renew[ Adapter]

更新所有适配器（如果未指定适配器），或特定适配器（如果包含了 Adapter 参数）的 DHCP 配置。该参数仅在具有配置为自动获取 IP 地址的适配器的计算机上可用。要指定适配器名称，请键入使用不带参数的 ipconfig 命令显示的适配器名称。

/release [Adapter]

发送 DHCPRELEASE 消息到 DHCP 服务器，以释放所有适配器（如果未指定适配器）或特定适配器（如果包含了 Adapter 参数）的当前 DHCP 配置并丢弃 IP 地址配置。该参数可以禁用配置为自动获取 IP 地址的适配器的 TCP/IP。要指定适配器名称，请键入使用不带参数的 ipconfig 命令显示的适配器名称。

/flushdns

刷新并重设 DNS 客户解析缓存的内容。在 DNS 故障排除期间，可以使用本过程从缓存中丢弃否定缓存项和任何其他动态添加项。

/displaydns

显示 DNS 客户解析缓存的内容，包括从 local Hosts 文件预装载的记录，以及最近获得的针对由计算机解析的名称查询的资源记录。DNS 客户服务在查询配置的 DNS 服务器之前使用这些信息快速解析被频繁查询的名称。

/registerdns

初始化计算机上配置的 DNS 名称和 IP 地址的手工动态注册。可以使用该参数对失败的 DNS 名称注册进行故障排除或解决客户和 DNS 服务器之间的动态更新问题，而不必重新启动客户端计算机。TCP/IP 协议高级属性中的 DNS 设置可以确定 DNS 中注册了哪些名称。

/showclassid Adapter

显示指定适配器的 DHCP 类别 ID。要查看所有适配器的 DHCP 类别 ID，请在 Adapter 位置使用星号 (*) 通配符。该参数仅在具有配置为自动获取 IP 地址的适配器的计算机上可用。

/setclassid Adapter [ClassID]

配置特定适配器的 DHCP 类别 ID。要设置所有适配器的 DHCP 类别 ID，请在 Adapter 位置使用星号 (*) 通配符。该参数仅在具有配置为自动获取 IP 地址的适配器的计算机上可用。如果未指定 DHCP 类别 ID，则会删除当前类别 ID。

在命令提示符下显示帮助。

注释

	1. ipconfig 命令是等同于 winipcfg 命令，后者在 Windows Millinnium Edition、Windows 98 和 Windows 95 中提供。尽管 Windows XP 和 Windows Server 2003 家族没有提供与 winipcfg 等效的图形化命令，但是可以使用“网络连接”来查看和更新 IP 地址。要执行此操作，请打开“网络连接”，右键单击某一网络连接，单击“状态”，然后单击“支持”选项卡。
	2. 该命令最适用于配置为自动获取 IP 地址的计算机。它使用户可以确定哪些 TCP/IP 配置值是由 DHCP、自动专用 IP 寻址 (APIPA) 和其他配置配置的。
	3. 如果 Adapter 名称包含空格，请在该适配器名称两边使用引号（即 "Adapter 名称"）。
	4. 对于适配器名称，ipconfig 可以使用星号 () 通配符字符指定名称为指定字符串开头的适配器，或名称包含有指定字符串的适配器。例如，Local 可以匹配所有以字符串 Local 开头的适配器，而 *Con* 可以匹配所有包含字符串 Con 的适配器。
	5. 只有当“Internet 协议 (TCP/IP)”协议在“网络连接”中安装为网络适配器属性的组件时，该命令才可用。

示例

要显示所有适配器的基本 TCP/IP 配置，请键入：

ipconfig

要显示所有适配器的完整 TCP/IP 配置，请键入：

ipconfig /all

仅更新“本地连接”适配器的由 DHCP 分配 IP 地址的配置，请键入：

ipconfig /renew "Local Area Connection"

要在排除 DNS 的名称解析故障期间刷新 DNS 解析器缓存，请键入：

ipconfig /flushdns

要显示名称以 Local 开头的所有适配器的 DHCP 类别 ID，请键入：

ipconfig /showclassid Local*

要将“本地连接”适配器的 DHCP 类别 ID 设置为 TEST，请键入：

ipconfig /setclassid "Local Area Connection" TEST

PIX模拟器PEMU全面分析

2007-05-10T10:32:00.000+08:00

注意：网上已经有很多资料介绍pemu这款pix模拟器了，所以基础的东西我就不在这讲了，这篇文章主要介绍一下脚本文件是如何调用和运行的。在这说明一下，我用的是已经编译好的文件。

mount -t tmpfs -o size=144m none /dev/shm
dd if=/dev/zero of=FLASH bs=1k count=16k

这两句是生成FLASH的,如果有了,就没必要写了,具体什么意思也没必要知道,呵呵,会用就行了

先来看一下要介绍的几个文件：

因我用的是slax，slax里的libpcap是0.9.4的，可是pemu需要0.8的，所以pemu的bridge一直就起不了作用，但是咱们分别从两方面来分析：一种是可以bridge，一种是不可以bridge。

1.可以桥接

我们在这里只讨论要用到的几个文件，pix1.sh、if1up、ifup.ini

pix1.sh

#!/bin/sh
modprobe tun
./pemu -no-kqemu -net nic,vlan=1 ,macaddr=00:00:01:01:01:01 -net tap,vlan=1,script=if1up ifname=tap1 -net nic,vlan=2,macaddr=00:00:02:02:02:02 -net tap,vlan=2,script=if2up ifname=tap2 -serial stdio -m 128 FLASH
#-serial telnet::7001,server,nowait -m 128 FLASH
#-net nic,vlan=4,macaddr=00:00:04:04:04:04 -net tap,vlan=4,script=if4up

现在来分析（这里主要分析脚本），当运行这个脚本时，他会调用if1up及if2up这两个脚本，这里的ifname是指定tap，默认是从tap0开始的。下面看看if1up和if2up中的内容

if1up

#!/bin/sh
a=`grep $1 ifup.ini`
#用grep查找ifup.ini文件，并把$1赋值给a
#这里$1指的是tap1
if [ "$a" = "" ] ; then
#判断如果值是空的，则
/sbin/ifconfig $1 up
#其实这句话没有什么意义，因为都是空值了，还up什么呀~嘿嘿
else
ip=`echo $a | cut -f2 -d" "`
#给ip负值，-f2 -d" "表示以空格为分割符，显示第2栏的数值
#察看ifup.ini，第2栏为“10.0.0.1”
mask=`echo $a | cut -f3 -d" "`
#跟上同理，显示第3栏“255.255.255.0”并付给mask
if [ "$ip" = "bridge" ] ; then
ifconfig $1 up
( sleep 5 && ./bridge $1 $mask) &
else
/sbin/ifconfig $1 $ip netmask $mask up
fi
fi

现在看一看ifup.ini

ifup.ini

tap1 10.0.0.1 255.255.255.0
tap2 bridge eth1

这时，运行./pix1.sh就可以了

2.不可以桥接

看完以上的分析，大概大家都明白脚本是如何工作的了，但如果没有libpcap0.8怎么办？ifup.ini、ifup和bridge都是必要的文件么？

其实必要的文件只有bios.bin、Mybios_d8000、pemu、pemu.ini、FLASH这五个文件，其余的文件都可以不要，为什么要那些脚本文件，脚本文件就是方便操作者而已！

好了，现在我把脚本程序改一下，来适应bridge不能用的情况

pix1.sh

#!/bin/sh
modprobe tun
./pemu -no-kqemu -net nic,vlan=1 ,macaddr=00:00:01:01:01:01 -net tap,vlan=1,script=test1 ifname=tap1 -net nic,vlan=2,macaddr=00:00:02:02:02:02 -net tap,vlan=2,script=test2 ifname=tap2-serial stdio -m 128 FLASH
#-serial telnet::7001,server,nowait -m 128 FLASH
#-net nic,vlan=4,macaddr=00:00:04:04:04:04 -net tap,vlan=4,script=if4up

test1

#!/bin/sh
/sbin/ifconfig tap1 up
/sbin/ifconfig eth0 up

/sbin/brctl addbr br0
#brctl是桥接命令，这里是指定义一个br0的桥端口
/sbin/ifconfig br0 up
#启动br0端口
/sbin/brctl addif br0 tap1
#把tap1绑定到桥上
/sbin/brctl addif br0 eth0
#把eth0绑定到桥上

test2跟test1基本是一样的，直接运行pix1就可以顺利调用test文件，从而可以实现端口的绑定！

DHCP的分析及IP helper-address的应用

2007-05-09T17:42:00.000+08:00

DHCP 原理：

1. 寻找 Server
当 DHCP 客户端第一次登录网路的时候﹐也就是客户发现本机上没有任何 IP 资料设定﹐它会向网路发出一个 DHCPDISCOVER 封包。因为客户端还不知道自己属于哪一个网路﹐所以封包的来源位址会为 0.0.0.0 ﹐而目的位址则为 255.255.255.255 ﹐然后再附上 Dhcpdiscover 的信息﹐向网路进行广播。

2. 提供 IP 租用位址
当 DHCP 伺服器监听到客户端发出的 Dhcpdiscover 广播后﹐它会从那些还没有租出的位址范围内﹐选择最前面的的空置 IP ，连同其它 TCP/IP 设定，回应给客户端一个 DHCPOFFER 封包。

由于客户端在开始的时候还没有 IP 位址﹐所以在其 Dhcpdiscover 封包内会带有其 MAC 位址信息﹐并且有一个 XID 编号来辨别该封包﹐DHCP 伺服器回应的 Dhcpoffer 封包则会根据这些资料传递给要求租约的客户。根据伺服器端的设定﹐Dhcpoffer 封包会包含一个租约期限的信息。

3. 接受 IP 租约
如果客户端收到网路上多台 DHCP 伺服器的回应﹐只会挑选其中一个 Dhcpoffer 而已(通常是最先抵达的那个)﹐并且会向网路发送一个Dhcprequest广播封包﹐告诉所有 DHCP 伺服器它将指定接受哪一台伺服器提供的 IP 位址。

同时﹐客户端还会向网路发送一个 ARP 封包﹐查询网路上面有没有其它机器使用该 IP 位址﹔如果发现该 IP 已经被占用﹐客户端则会送出一个 DHCPDECLINE 封包给 DHCP 伺服器﹐拒绝接受其 Dhcpoffer ﹐并重新发送 Dhcpdiscover 信息。

4. 租约确认

当 DHCP 伺服器接收到客户端的 Dhcprequest 之后﹐会向客户端发出一个 DHCPACK 回应﹐以确认 IP 租约的正式生效﹐也就结束了一个完整的 DHCP 工作过程。

现在目前这个问题就已经解决了，在路由器上打开IP helper-address 就是为了第一步将客户端的dhcpdiscover广播包变为单播包，而实际上第二步dhcp服务器是根据请求客户端的mac地址和XID编号将IP地址发给请求的客户端的，本身就是单播包。下图:如果办事处DHCP服务器down机，想通过总部DHCP服务器获得地址，仅仅需要在办事处路由器C 口配置IP helper-address 总部DHCP服务器地址 ，同时配置好DHCP服务器即可。

BGP MPLS-VPN的更新以及数据转发的过程

2007-04-19T10:18:00.000+08:00

先来阐述一下BGP MPLS-VPN的更新以及数据转发的过程：

CE（R1）-----PE（R2）------P（R3）--------PE（R4）-------CE（R5）

控制平面：r1-----------r5

1. CE和PE之间运行普通的路由协议（RIPV2，OSPF，EBGP，ISIS），将私网的路由发送到PE这个时候，PE（R2）发现路由更新是从某个接口发过来的，所以它就找出与该接口所绑定的VRF，针对VRF来给其打上RD和RT标识以及私网标签。然后更改自己的地址（通常是LOOPBACK地址）为下一跳。

2. 然后把更新发送到对端的PE，当然一定要确保到对端的TCP可达，如果不可达的话，那么这个更新信息将被丢弃。然后按照正常的LSP进行转发到PE（R4）；如果没有启用MPLS，那么会按照正常的IP进行转发的。当对端PE收到这个更新信息之后，会将RT的outport和自己的import进行比较，如果匹配则倒入相应的VRF表中，这个时候私网标签将被保留，用来转发数据的时候使用。然后，针对VRF与接口的绑定关系，将更新消息转发给CE

数据转发过程：r5---------r1

1. R5将去往R1，这个时候把数据包发送给R4，这个时候R4一看是从这个接口上来的数据包，所以呢，我就和与该接口相关联的VRF相对应。为该数据封装私网标签（更新的时候R4所保留的），然后查看下一跳地址（R2）。当它找到下一跳地址后（R2的LOOPBACK），就会在LFIB表中查找与该地址相对应的公网标签。

2. 如果没有相对应的标签，那么这个数据包将被丢弃。（因为这个时候的数据已经封上了私网标签，也就是说是一个带标签的数据，所以一定要有公网进行转发）如果有的话，就会封装第二层标签（公网标签），从而呢，交给MPLS转发。根据LSP的转发到达倒数第二跳后该公网标签被剥去，由该P路由器转发给R1，PC设备根据私网标签来决定该数据属于哪个VRF表，当确定了VRF表之后，就会把私网标签去掉，从而把数据转发到VRF所对应的接口，从而到达CE。

RD：就是和网络地址进行绑定的一个标签，只要打上该标签之后，该数据就会变成VPNV4路由，从而呢来辨别相同网段，不然正常的IPV4路由是不能辨别的。For example: 如果你把两条相同地址的路由redistribute 到BGP中，那么这个BGP在收到之后，BGP只会保留一条，并且发送到对端的PE，从而使另一个路由丢失。所以我们使用RD来区分这两个不同的路由。

RT：就是用来表示我对VPN路由的喜好，如果我的import和你的outport的数值一样，那么我将记录下来。说到这儿了，我们就来说一下BGP协议的no bgp defau rout fil命令的功能，它的意思是说，我要关闭BGP对RT的过滤功能。因为，当一台PE在收到VPNV4的更新后，会对路由器的所有VRF表进行一个查询，看看哪个VRF的INMPORT和我的OUTPORT一样，如果所有的VRF的OUTPORT都和我的不一样或者是我根本就没有VRF（MPLS 跨AS的ASBR上边）那么，我会将该更新消息，而如果你使用了no bgp default route-target filter命令后，不管你是否有VRF或者不管你VRF的OUTPORT是否和我的一样，那么我将都要保存，使用sh ip bgp vpnv4 all将可以看到该信息。

AAA认证实列分析

2007-04-12T11:26:00.000+08:00

aaa new-model

!---激活AAA访问控制

aaa authentication login default tacacs+ local

①用户登录时默认起用Tacacs+（这个是默认的名字，可以通过命令更改这个默认列表名）做AAA认证，不成功就用本地数据库（username）；

②当vty上设了pssword时，只有在local后面加上line才起作用，这时登录界面还是以username开头，这时用户名和密码都是在vty设的password密码，如pass zy；登录时，username：zy / pssword：zy，这样进入用户exec，然后通过在router上设置的enable进入特权exec；

③如果在列表最后加none，那么就不需要认证直接进入用户exec界面，然后再根据enable密码进入特权exec；

aaa authentication login vty local

!---列表名为vty，调用才能生效，如logging authen vty，加了前面那句后，这句加上就没什么意义了

aaa authentication enable default group tacacs+ enable

!---enable密码的授权交给tacacs+，如果失败，用本地enable密码进行验证

aaa authentication ppp default tacacs+

!---在运行PPP的串行线上采用Tacacs+做认证

aaa authorization exec default if-authenticated group tacacs+ local

!---如果认证通过，AAA授权exec（这里其实跟linux中的shell差不多），根据版本不同，命令的写法可能也不同。

aaa authorization network tacacs+

!---由TACACS+服务器授权与网络相关的服务请求。

aaa accounting exec default start-stop group tacacs+

!---为EXEC会话运行记帐.进程开始和结束时发通告给TACACS+服务器。

aaa accounting network start-stop tacacs+

!---为与网络相关的服务需求运行记帐包括SLIP，PPP，PPP NCPs，ARAP等。在进程开始和结束时发通告给TACACS+服务器。

aaa accounting commands 15 default stop-only group tacacs+

!---用AAA来记录权限为15的命令

tacacs-server host 10.111.4.2

!---指定Tacacs服务器地址

tacacs-server key tac

!---在Tacacs+服务器和访问服务器设定共享的关键字，访问服务器和Tacacs+服务器使用这个关键字去加密口令和响应信息。这里使用tac作为关键字。

注意：以上如果用了自定义的列表名，那么必须在相应的接口上激活认证，才能生效！

以上只是介绍了router下AAA的配置，在ACS上也需要做相应的操作，才能达到预期的效果！

Cisco登录密码简述

2007-04-12T08:40:00.000+08:00

配置进入特权模式密码：

router(config)# enable password cisco
!---配置进入enable模式的密码,区分大小写
router(config)# enable secret ciscocisco
!---配置进入enable模式的密码,是加密的密码,show run是看不见的

配置TELNET密码：

router#configure t
!---进入全局配置模式
router(config)#line vty 0 4
!---配置TELNET的5个虚拟终端
router(config-line)#password cisco
!---设置密码为cisco
router(config-line)#login 生效
!---用这种方法后,telnet直接输入密码,然后进入用户模式，如：

Router#10.10.10.2
Trying 10.10.10.2 ... Open

User Access Verification

Password:
Router>

(注意：vty在不设置密码的情况下，TELNET服务不会开启)

配置CONSOLE口密码：
router(config)#configure t
!---进入全局配置模式
router(config)#line console 0
!---指定端口
router(config-line)# logging synchronous
!---输入同步，这样生成的日志就不会打断正在输入命令了
router(config-line)# exec-timeout 0 0
!---禁止因为一段时间没有输入而跳出,默认是10分钟,前面分钟,后面秒
router(config-line)#password cisco
!---设置密码为cisco
router(config-line)#login
!---激活生效

配置本地数据库：

router(config)# username zy password 0 123
!---之间的0表示没加密，可以用“7”来加密“123”
router(config)#line vty 0 4
router(config-line)#login local
!---此时，telnet认证使用本地数据库中的用户名和密码，如：

Router#10.10.10.2
Trying 10.10.10.2 ... Open

User Access Verification

Username: zy
Password:
Router>

FreeBSD恢复root密码

2007-04-06T15:43:00.000+08:00

要恢复密码，必须进入单用户模式，而且FreeBSD新版本跟旧版本的恢复密码方法还不太一样，具体请看下面：

FreeBSD 4.x 或之前的版本：

在系统起动显示以下信息时按 “Spacebar”

Hit [Enter] to boot immediately, or any other key for command prompt. Booting [kernel] in 10 seconds...

接着在显示以下信息时输入 “boot -s ”

Type '?' for a list of commands, or 'help' for more detailed help. ok
按 Enter 后系统会运行至显示以下信息

Enter full pathname of shell or RETURN for /bin/sh:

再按 Enter 进入单用户, 显示 “#”
挂载档案系统, 输入

# fsck -p
!---文件档案检查
# mount -u /
!---挂载 /
# mount -t ufs -a
!---挂载所有文件档案

更改密码

# passwd
New password:_
Retype new password:_
passwd: updating the database...
passwd: done
# exit

FreeBSD 5 或都之后版本:

在系统起动显示以下画面时选择 “4” 按 Enter 进入单用户模式

系统会运行至显示以下信息

Enter full pathname of shell or RETURN for /bin/sh:

再按 Enter 进入单用户, 显示 “#”
挂载档案系统, 输入

# fsck -p
# mount -u /
# mount -t ufs -a

# passwd
New password:_
Retype new password:_
passwd: updating the database...
passwd: done
#exit

经典VLAN学习笔记----三层交换机

2007-04-05T02:23:00.000+08:00

1. 使用路由器进行VLAN间路由时的问题

现在，我们知道只要能提供VLAN间路由，就能够使分属不同VLAN的计算机互相通信。但是，如果使用路由器进行VLAN间路由的话，随着VLAN之间流量的不断增加，很可能导致路由器成为整个网络的瓶颈。

交换机使用被称为ASIC（Application Specified Integrated Circuit）的专用硬件芯片处理数据帧的交换操作，在很多机型上都能实现以缆线速度（Wired Speed）交换。而路由器，则基本上是基于软件处理的。即使以缆线速度接收到数据包，也无法在不限速的条件下转发出去，因此会成为速度瓶颈。就VLAN间路由而言，流量会集中到路由器和交换机互联的汇聚链路部分，这一部分尤其特别容易成为速度瓶颈。并且从硬件上看，由于需要分别设置路由器和交换机，在一些空间狭小的环境里可能连设置的场所都成问题。

2. 三层交换机（Layer 3 Switch）

为了解决上述问题，三层交换机应运而生。三层交换机，本质上就是“带有路由功能的（二层）交换机”。路由属于OSI参照模型中第三层网络层的功能，因此带有第三层路由功能的交换机才被称为“三层交换机”。

关于三层交换机的内部结构，可以参照下面的简图。在一台本体内，分别设置了交换机模块和路由器模块；而内置的路由模块与交换模块相同，使用ASIC硬件处理路由。因此，与传统的路由器相比，可以实现高速路由。并且，路由与交换模块是汇聚链接的，由于是内部连接，可以确保相当大的带宽。

3. 使用三层交换机进行VLAN间路由（VLAN内通信）

在三层交换机内部数据究竟是怎样传播的呢？基本上，它和使用汇聚链路连接路由器与交换机时的情形相同。

假设有如下图所示的4台计算机与三层交换机互联。当使用路由器连接时，一般需要在LAN接口上设置对应各VLAN的子接口；而三层交换机则是在内部生成“VLAN接口（VLAN Interface）”。VLAN接口，是用于各VLAN收发数据的接口。

（注：在Cisco的Catalyst系列交换机上，VLAN Interface被称为SVI——Switched Virtual Interface）

为了与使用路由器进行VLAN间路由对比，让我们同样来考虑一下计算机A与计算机B之间通信时的情况。首先是目标地址为B的数据帧被发到交换机；通过检索同一VLAN的MAC地址列表发现计算机B连在交换机的端口2上；因此将数据帧转发给端口2。

4. 使用三层交换机进行VLAN间路由（VLAN间通信）

接下来设想一下计算机A与计算机C间通信时的情形。针对目标IP地址，计算机A可以判断出通信对象不属于同一个网络，因此向默认网关发送数据（Frame 1）。

交换机通过检索MAC地址列表后，经由内部汇聚链接，将数据帧转发给路由模块。在通过内部汇聚链路时，数据帧被附加了属于红色VLAN的VLAN识别信息（Frame 2）。

路由模块在收到数据帧时，先由数据帧附加的VLAN识别信息分辨出它属于红色VLAN，据此判断由红色VLAN接口负责接收并进行路由处理。因为目标网络192.168.2.0/24是直连路由器的网络、且对应蓝色VLAN；因此，接下来就会从蓝色VLAN接口经由内部汇聚链路转发回交换模块。在通过汇聚链路时，这次数据帧被附加上属于蓝色VLAN的识别信息（Frame 3）。

交换机收到这个帧后，检索蓝色VLAN的MAC地址列表，确认需要将它转发给端口3。由于端口3是通常的访问链接，因此转发前会先将VLAN识别信息除去（Frame 4）。最终，计算机C成功地收到交换机转发来的数据帧。

整体的流程，与使用外部路由器时的情况十分相似——都需要经过发送方→交换模块→路由模块→交换模块→接收方。

5. 流（Flow）

根据到此为止的学习，我们已经知道VLAN间路由，必须经过外部的路由器或是三层交换机的内置路由模块。但是，有时并不是所有的数据都需要经过路由器（或路由模块）。

例如，使用FTP（File Transfer Protocol）传输容量为数MB以上的较大的文件时，由于MTU的限制，IP协议会将数据分割成小块后传输、并在接收方重新组合。这些被分割的数据，“发送的目标”是完全相同的。发送目标相同，也就意味着同样的目标IP地址、目标端口号（注：特别强调一下，这里指的是TCP/UDP端口）。自然，源IP地址、源端口号也应该相同。这样一连串的数据流被称为“流（Flow）”。

只要将流最初的数据正确地路由以后，后继的数据理应也会被同样地路由。据此，后继的数据不再需要路由器进行路由处理；通过省略反复进行的路由操作，可以进一步提高VLAN间路由的速度。

6. 加速VLAN间路由的机制

接下来，让我们具体考虑一下该如何使用三层交换机进行高速VLAN间路由。

首先，整个流的第一块数据，照常由交换机转发→路由器路由→再次由交换机转发到目标所连端口。这时，将第一块数据路由的结果记录到缓存里保存下来。需要记录的信息有：

目标IP地址
源IP地址
目标TCP/UDP端口号
源TCP/UDP端口号
接收端口号（交换机）
转发端口号（交换机）
转发目标MAC地址

等等。
同一个流的第二块以后的数据到达交换机后，直接通过查询先前保存在缓存中的信息查出“转发端口号”后就可以转发给目标所连端口了。

这样一来，就不需要再一次次经由内部路由模块中继，而仅凭交换机内部的缓存信息就足以判断应该转发的端口。
这时，交换机会对数据帧进行由路由器中继时相似的处理，例如改写MAC地址、IP包头中的TTL和Check Sum校验码信息等。

通过在交换机上缓存路由结果，实现了以缆线速度（Wired Speed）接收发送方传输来数据的数据、并且能够全速路由、转发给接收方。

需要注意的是，类似的加速VLAN间路由的手法多由各厂商独有的技术所实现，并且该功能的称谓也因厂商而异。例如，在Cisco的Catalyst系列交换机上，这种功能被称为“多层交换（Multi Layer Switching）”。另外，除了三层交换机的内部路由模块，外部路由器中的某些机型也支持类似的高速VLAN间路由机制。

7. 路由器的必要性

三层交换机的价格，在问世之初非常昂贵，但是现在它们的价格已经下降了许多。目前国外一些廉价机型的售价，折合成人民币后仅为一万多元，而且还在继续下降中。

既然三层交换机能够提供比传统型路由器更为高速的路由处理，那么网络中还有使用路由器的必要吗？

答案是：“是”。

使用路由器的必要性，主要表现在以下几个方面：

1. 用于与WAN连接

三层交换机终究是“交换机”。也就是说，绝大多数机型只配有LAN（以太网）接口。在少数高端交换机上也有用于连接WAN的串行接口或是ATM接口，但在大多数情况下，连接WAN还是需要用到路由器。

2. 保证网络安全

在三层交换机上，通过数据包过滤也能确保一定程度的网络安全。但是使用路由器所提供的各种网络安全功能，用户可以构建更为安全可靠的网络。

路由器提供的网络安全功能中，除了最基本的数据包过滤功能外，还能基于IPSec构建VPN（Virtual Private Network）、利用RADIUS进行用户认证等等。

3. 支持除TCP/IP以外的网络架构

尽管TCP/IP已经成为当前网络协议架构的主流，但还有不少网络利用Novell Netware下的IPX/SPX或Macintosh下的Appletalk等网络协议。三层交换机中，除了部分高端机型外基本上还只支持TCP/IP。因此，在需要使用除TCP/IP之外其他网络协议的环境下，路由器还是必不可少的。

注：在少数高端交换机上，也能支持上述路由器的功能。例如Cisco的Catalyst6500系列，就可以选择与WAN连接的接口模块；还有可选的基于IPSec实现VPN的模块；并且也能支持TCP/IP以外的其他网络协议。

8. 路由器和交换机配合构建LAN的实例

下面让我们来看一个路由器和交换机搭配构建LAN的实例。

利用在各楼层配置的二层交换机定义VLAN，连接TCP/IP客户计算机。各楼层间的VLAN间通信，利用三层交换机的高速路由加以实现。如果网络环境要求高可靠性，还可以考虑冗余配置三层交换机。

与WAN的连接，则通过带有各种网络接口的路由器进行。并且，通过路由器的数据包过滤和VPN等功能实现网络安全。此外，使用路由器还能支持Novell Netware等TCP/IP之外的网络。

只有在充分掌握了二层、三层交换机以及传统路由器的基础上，才能做到物竞其用，构筑出高效率、高性价比的网络。

经典VLAN学习笔记（结）

2007-04-05T01:41:00.000+08:00

1. 同一VLAN内的通信

接下来，我们分析使用汇聚链路连接交换机与路由器时，VLAN间路由是如何进行的。如下图所示，为各台计算机以及路由器的子接口设定IP地址。

红色VLAN（VLAN ID=1）的网络地址为192.168.1.0/24，蓝色VLAN（VLAN ID=2）的网络地址为192.168.2.0/24。各计算机的MAC地址分别为A/B/C/D，路由器汇聚链接端口的MAC地址为R。交换机通过对各端口所连计算机MAC地址的学习，生成如下的MAC地址列表。

首先考虑计算机A与同一VLAN内的计算机B之间通信时的情形。

计算机A发出ARP请求信息，请求解析B的MAC地址。交换机收到数据帧后，检索MAC地址列表中与收信端口同属一个VLAN的表项。结果发现，计算机B连接在端口2上，于是交换机将数据帧转发给端口2，最终计算机B收到该帧。收发信双方同属一个VLAN之内的通信，一切处理均在交换机内完成。
2. 不同VLAN间通信时数据的流程

接下来是这一讲的核心内容，不同VLAN间的通信。让我们来考虑一下计算机A与计算机C之间通信时的情况。

1. 计算机A从通信目标的IP地址（192.168.2.1）得出C与本机不属于同一个网段。因此会向设定的默认网关（Default Gateway，GW）转发数据帧。在发送数据帧之前，需要先用ARP获取路由器的MAC地址。

（注：如果想了解ARP得具体过程，请查看ARP实例分析）

2. 得到路由器的MAC地址R后，接下来就是按图中所示的步骤发送往C去的数据帧。①的数据帧中，目标MAC地址是路由器的地址R、但内含的目标IP地址仍是最终要通信的对象C的地址。

3. 交换机在端口1上收到①的数据帧后，检索MAC地址列表中与端口1同属一个VLAN的表项。由于汇聚链路会被看作属于所有的VLAN，因此这时交换机的端口6也属于被参照对象。这样交换机就知道往MAC地址R发送数据帧，需要经过端口6转发。

4. 从端口6发送数据帧时，由于它是汇聚链接，因此会被附加上VLAN识别信息。由于原先是来自红色VLAN的数据帧，因此如图中②所示，会被加上红色VLAN的识别信息后进入汇聚链路。路由器收到②的数据帧后，确认其VLAN识别信息，由于它是属于红色VLAN的数据帧，因此交由负责红色VLAN的子接口接收。

5. 接着，根据路由器内部的路由表，判断该向哪里中继。

6. 由于目标网络192.168.2.0/24是蓝色VLAN，且该网络通过子接口与路由器直连，因此只要从负责蓝色VLAN的子接口转发就可以了。这时，数据帧的目标MAC地址被改写成计算机C的目标地址；并且由于需要经过汇聚链路转发，因此被附加了属于蓝色VLAN的识别信息。这就是图中③的数据帧。

7. 交换机收到③的数据帧后，根据VLAN标识信息从MAC地址列表中检索属于蓝色VLAN的表项。由于通信目标——计算机C连接在端口3上、且端口3为普通的访问链接，因此交换机会将数据帧除去VLAN识别信息后（数据帧④）转发给端口3，最终计算机C才能成功地收到这个数据帧。

进行VLAN间通信时，即使通信双方都连接在同一台交换机上，也必须经过：

“发送方——交换机——路由器——交换机——接收方”这样一个流程。

经典VLAN学习笔记（下）

2007-04-05T00:40:00.000+08:00

1. IEEE802.1Q与ISL

汇聚方式：在交换机的汇聚链接上，可以通过对数据帧附加VLAN信息，构建跨越多台交换机的VLAN。附加VLAN信息的方法，最具有代表性的有：

IEEE802.1Q
ISL

现在就让我们看看这两种协议分别如何对数据帧附加VLAN信息。

IEEE802.1Q：

IEEE802.1Q，俗称“Dot One Q”，是经过IEEE认证的对数据帧附加VLAN识别信息的协议。在此，请大家先回忆一下以太网数据帧的标准格式。IEEE802.1Q所附加的VLAN识别信息，位于数据帧中“发送源MAC地址”与“类别域（Type Field）”之间。具体内容为2字节的TPID和2字节的TCI，共计4字节。在数据帧中添加了4字节的内容，那么CRC值自然也会有所变化。这时数据帧上的CRC是插入TPID、TCI后，对包括它们在内的整个数据帧重新计算后所得的值。

而当数据帧离开汇聚链路时，TPID和TCI会被去除，这时还会进行一次CRC的重新计算。TPID的值，固定为0x8100。交换机通过TPID，来确定数据帧内附加了基于IEEE802.1Q的VLAN信息。而实质上的VLAN ID，是TCI中的12位元。由于总共有12位，因此最多可供识别4096个VLAN。基于IEEE802.1Q附加的VLAN信息，就像在传递物品时附加的标签。因此，它也被称作“标签型VLAN（Tagging VLAN）”。

ISL（Inter Switch Link）：

ISL，是Cisco产品支持的一种与IEEE802.1Q类似的、用于在汇聚链路上附加VLAN信息的协议。使用ISL后，每个数据帧头部都会被附加26字节的“ISL包头（ISL Header）”，并且在帧尾带上通过对包括ISL包头在内的整个数据帧进行计算后得到的4字节CRC值。换而言之，就是总共增加了30字节的信息。在使用ISL的环境下，当数据帧离开汇聚链路时，只要简单地去除ISL包头和新CRC就可以了。由于原先的数据帧及其CRC都被完整保留，因此无需重新计算CRC。ISL有如用ISL包头和新CRC将原数据帧整个包裹起来，因此也被称为“封装型VLAN（Encapsulated VLAN）”。需要注意的是，不论是IEEE802.1Q的“Tagging VLAN”，还是ISL的“Encapsulated VLAN”，都不是很严密的称谓。不同的书籍与参考资料中，上述词语有可能被混合使用，因此需要大家在学习时格外注意。并且由于ISL是Cisco独有的协议，因此只能用于Cisco网络设备之间的互联。

2. VLAN间路由

VLAN间路由的必要性：

根据目前为止学习的知识，我们已经知道两台计算机即使连接在同一台交换机上，只要所属的VLAN不同就无法直接通信。接下来我们将要学习的就是如何在不同的VLAN间进行路由，使分属不同VLAN的主机能够互相通信。

首先，先来复习一下为什么不同VLAN间不通过路由就无法通信。在LAN内的通信，必须在数据帧头中指定通信目标的MAC地址。而为了获取MAC地址，TCP/IP协议下使用的是ARP。ARP解析MAC地址的方法，则是通过广播。也就是说，如果广播报文无法到达，那么就无从解析MAC地址，亦即无法直接通信。计算机分属不同的VLAN，也就意味着分属不同的广播域，自然收不到彼此的广播报文。因此，属于不同VLAN的计算机之间无法直接互相通信。

为了能够在VLAN间通信，需要利用OSI参照模型中更高一层——网络层的信息（IP地址）来进行路由。关于路由的具体内容，这里就不详细说明了。路由功能，一般主要由路由器提供。但在今天的局域网里，我们也经常利用带有路由功能的交换机——三层交换机（Layer 3 Switch）来实现。接下来就让我们分别看看使用路由器和三层交换机进行VLAN间路由时的情况。

使用路由器进行VLAN间路由：

在使用路由器进行VLAN间路由时，与构建横跨多台交换机的VLAN时的情况类似，我们还是会遇到“该如何连接路由器与交换机”这个问题。路由器和交换机的接线方式，大致有以下两种：

1. 将路由器与交换机上的每个VLAN分别连接
2. 不论VLAN有多少个，路由器与交换机都只用一条网线连接

最容易想到的，当然还是“把路由器和交换机以VLAN为单位分别用网线连接”了。将交换机上用于和路由器互联的每个端口设为访问链接，然后分别用网线与路由器上的独立端口互联。如下图所示，交换机上有2个VLAN，那么就需要在交换机上预留2个端口用于与路由器互联；路由器上同样需要有2个端口；两者之间用2条网线分别连接。

如果采用这个办法，大家应该不难想象它的扩展性很成问题。每增加一个新的VLAN，都需要消耗路由器的端口和交换机上的访问链接，而且还需要重新布设一条网线。而路由器，通常不会带有太多LAN接口的。新建VLAN时，为了对应增加的VLAN所需的端口，就必须将路由器升级成带有多个LAN接口的高端产品，这部分成本、还有重新布线所带来的开销，都使得这种接线法成为一种不受欢迎的办法。

那么，第二种办法“不论VLAN数目多少，都只用一条网线连接路由器与交换机”呢？当使用一条网线连接路由器与交换机、进行VLAN间路由时，需要用到汇聚链接。

具体实现过程为：首先将用于连接路由器的交换机端口设为汇聚链接，而路由器上的端口也必须支持汇聚链路。双方用于汇聚链路的协议自然也必须相同。接着在路由器上定义对应各个VLAN的“子接口（Sub Interface）”。尽管实际与交换机连接的物理端口只有一个，但在理论上我们可以把它分割为多个虚拟端口。VLAN将交换机从逻辑上分割成了多台，因而用于VLAN间路由的路由器，也必须拥有分别对应各个VLAN的虚拟接口。

采用这种方法的话，即使之后在交换机上新建VLAN，仍只需要一条网线连接交换机和路由器。用户只需要在路由器上新设一个对应新VLAN的子接口就可以了。与前面的方法相比，扩展性要强得多，也不用担心需要升级LAN接口数不足的路由器或是重新布线。

经典VLAN学习笔记（中）

2007-04-04T23:39:00.000+08:00

1. VLAN的访问链接

交换机的端口交换机的端口，可以分为以下两种：

访问链接（Access Link）
汇聚链接（Trunk Link）

接下来就让我们来依次学习这两种不同端口的特征。首先学习“访问链接”。

访问链接：指的是“只属于一个VLAN，且仅向该VLAN转发数据帧”的端口。在大多数情况下，访问链接所连的是客户机。通常设置VLAN的顺序是：

1. 生成VLAN
2. 设定访问链接（决定各端口属于哪一个VLAN）

设定访问链接的手法，可以是事先固定的、也可以是根据所连的计算机而动态改变设定。前者被称为“静态VLAN”、后者自然就是“动态VLAN”了。

2. 静态VLAN

静态VLAN又被称为基于端口的VLAN（Port Based VLAN）。顾名思义，就是明确指定各端口属于哪个VLAN的设定方法。

由于需要一个个端口地指定，因此当网络中的计算机数目超过一定数字（比如数百台）后，设定操作就会变得烦杂无比。并且，客户机每次变更所连端口，都必须同时更改该端口所属VLAN的设定——这显然不适合那些需要频繁改变拓补结构的网络。

3. 动态VLAN

另一方面，动态VLAN则是根据每个端口所连的计算机，随时改变端口所属的VLAN。这就可以避免上述的更改设定之类的操作。动态VLAN可以大致分为3类：

基于MAC地址的VLAN（MAC Based VLAN）
基于子网的VLAN（Subnet Based VLAN）
基于用户的VLAN（User Based VLAN）

其间的差异，主要在于根据OSI参照模型哪一层的信息决定端口所属的VLAN。

基于MAC地址的VLAN：就是通过查询并记录端口所连计算机上网卡的MAC地址来决定端口的所属。假定有一个MAC地址“A”被交换机设定为属于VLAN“10”，那么不论MAC地址为“A”的这台计算机连在交换机哪个端口，该端口都会被划分到VLAN10中去。计算机连在端口1时，端口1属于VLAN10；而计算机连在端口2时，则是端口2属于VLAN10。

由于是基于MAC地址决定所属VLAN的，因此可以理解为这是一种在OSI的第二层设定访问链接的办法。但是，基于MAC地址的VLAN，在设定时必须调查所连接的所有计算机的MAC地址并加以登录。而且如果计算机交换了网卡，还是需要更改设定。

基于子网的VLAN：则是通过所连计算机的IP地址，来决定端口所属VLAN的。不像基于MAC地址的VLAN，即使计算机因为交换了网卡或是其他原因导致MAC地址改变，只要它的IP地址不变，就仍可以加入原先设定的VLAN。

因此，与基于MAC地址的VLAN相比，能够更为简便地改变网络结构。IP地址是OSI参照模型中第三层的信息，所以我们可以理解为基于子网的VLAN是一种在OSI的第三层设定访问链接的方法。

基于用户的VLAN：则是根据交换机各端口所连的计算机上当前登录的用户，来决定该端口属于哪个VLAN。这里的用户识别信息，一般是计算机操作系统登录的用户，比如可以是Windows域中使用的用户名。这些用户名信息，属于OSI第四层以上的信息。

总的来说，决定端口所属VLAN时利用的信息在OSI中的层面越高，就越适于构建灵活多变的网络。

访问链接的总结：

综上所述，设定访问链接的手法有静态VLAN和动态VLAN两种，其中动态VLAN又可以继续细分成几个小类。其中基于子网的VLAN和基于用户的VLAN有可能是网络设备厂商使用独有的协议实现的，不同厂商的设备之间互联有可能出现兼容性问题，因此在选择交换机时，一定要注意事先确认。

下表总结了静态VLAN和动态VLAN的相关信息：

种类------------------------------------------- 解说
静态VLAN 基于端口的VLAN ---------------将交换机的各端口固定指派给VLAN
动态VLAN 基于MAC地址的VLAN ---------根据各端口所连计算机的MAC地址设定
基于子网的VLAN ----------------------------根据各端口所连计算机的IP地址设定
基于用户的VLAN ----------------------------根据端口所连计算机上登录用户设定

4. VLAN的汇聚链接

到此为止，我们学习的都是使用单台交换机设置VLAN时的情况。那么，如果需要设置跨越多台交换机的VLAN时又如何呢？

在规划企业级网络时，很有可能会遇到隶属于同一部门的用户分散在同一座建筑物中的不同楼层的情况，这时可能就需要考虑到如何跨越多台交换机设置VLAN的问题了。假设有如下图所示的网络，且需要将不同楼层的A、C和B、D设置为同一个VLAN。

这时最关键的就是“交换机1和交换机2该如何连接才好呢？”

最简单的方法，自然是在交换机1和交换机2上各设一个红、蓝VLAN专用的接口并互联了。

但是，这个办法从扩展性和管理效率来看都不好。

例如，在现有网络基础上再新建VLAN时，为了让这个VLAN能够互通，就需要在交换机间连接新的网线。建筑物楼层间的纵向布线是比较麻烦的，一般不能由基层管理人员随意进行。并且，VLAN越多，楼层间（严格地说是交换机间）互联所需的端口也越来越多，交换机端口的利用效率低是对资源的一种浪费、也限制了网络的扩展。

为了避免这种低效率的连接方式，人们想办法让交换机间互联的网线集中到一根上，这时使用的就是汇聚链接（Trunk Link）。

5. 何谓汇聚链接？

汇聚链接（Trunk Link）指的是能够转发多个不同VLAN的通信的端口。

汇聚链路上流通的数据帧，都被附加了用于识别分属于哪个VLAN的特殊信息。现在再让我们回过头来考虑一下刚才那个网络如果采用汇聚链路又会如何呢？用户只需要简单地将交换机间互联的端口设定为汇聚链接就可以了。这时使用的网线还是普通的UTP线，而不是什么其他的特殊布线。图例中是交换机间互联，因此需要用交叉线来连接。接下来，让我们具体看看汇聚链接是如何实现跨越交换机间的VLAN的。

A发送的数据帧从交换机1经过汇聚链路到达交换机2时，在数据帧上附加了表示属于红色VLAN的标记。交换机2收到数据帧后，经过检查VLAN标识发现这个数据帧是属于红色VLAN的，因此去除标记后根据需要将复原的数据帧只转发给其他属于红色VLAN的端口。这时的转送，是指经过确认目标MAC地址并与MAC地址列表对比后只转发给目标MAC地址所连的端口。只有当数据帧是一个广播帧、多播帧或是目标不明的帧时，它才会被转发到所有属于红色VLAN的端口。蓝色VLAN发送数据帧时的情形也与此相同。

通过汇聚链路时附加的VLAN识别信息，有可能支持标准的“IEEE 802.1Q”协议，也可能是Cisco产品独有的“ISL（Inter Switch Link）”。

如果交换机支持这些规格，那么用户就能够高效率地构筑横跨多台交换机的VLAN。另外，汇聚链路上流通着多个VLAN的数据，自然负载较重。因此，在设定汇聚链接时，有一个前提就是必须支持100Mbps以上的传输速度。另外，默认条件下，汇聚链接会转发交换机上存在的所有VLAN的数据。换一个角度看，可以认为汇聚链接（端口）同时属于交换机上所有的VLAN。由于实际应用中很可能并不需要转发所有VLAN的数据，因此为了减轻交换机的负载、也为了减少对带宽的浪费，我们可以通过用户设定限制能够经由汇聚链路互联的VLAN。

关于IEEE802.1Q和ISL的具体内容，请继续观看：

经典VLAN学习笔记（上）

2007-04-04T22:22:00.000+08:00

1. 什么是VLAN？

VLAN（Virtual LAN），翻译成中文是“虚拟局域网”。LAN可以是由少数几台家用计算机构成的网络，也可以是数以百计的计算机构成的企业网络。VLAN所指的LAN特指使用路由器分割的网络——也就是广播域。在此让我们先复习一下广播域的概念。广播域，指的是广播帧（目标MAC地址全部为1）所能传递到的范围，亦即能够直接通信的范围。严格地说，并不仅仅是广播帧，多播帧（Multicast Frame）和目标不明的单播帧（Unknown Unicast Frame）也能在同一个广播域中畅行无阻。本来，二层交换机只能构建单一的广播域，不过使用VLAN功能后，它能够将网络分割成多个广播域。

未分割广播域时……
那么，为什么需要分割广播域呢？那是因为，如果仅有一个广播域，有可能会影响到网络整体的传输性能。具体原因，请参看附图加深理解:

图中，是一个由5台二层交换机（交换机1～5）连接了大量客户机构成的网络。假设这时，计算机A需要与计算机B通信。在基于以太网的通信中，必须在数据帧中指定目标MAC地址才能正常通信，因此计算机A必须先广播“ARP请求（ARP Request）信息”，来尝试获取计算机B的MAC地址。

交换机1收到广播帧（ARP请求）后，会将它转发给除接收端口外的其他所有端口，也就是Flooding了。接着，交换机2收到广播帧后也会Flooding。交换机3、4、5也还会Flooding。最终ARP请求会被转发到同一网络中的所有客户机上。

请大家注意一下，这个ARP请求原本是为了获得计算机B的MAC地址而发出的。也就是说：只要计算机B能收到就万事大吉了。可是事实上，数据帧却传遍整个网络，导致所有的计算机都收到了它。如此一来，一方面广播信息消耗了网络整体的带宽，另一方面，收到广播信息的计算机还要消耗一部分CPU时间来对它进行处理。造成了网络带宽和CPU运算能力的大量无谓消耗。

读到这里，您也许会问：广播信息真是那么频繁出现的吗？答案是：是的！实际上广播帧会非常频繁地出现。利用TCP/IP协议栈通信时，除了前面出现的ARP外，还有可能需要发出DHCP、RIP等很多其他类型的广播信息。

ARP广播，是在需要与其他主机通信时发出的。当客户机请求DHCP服务器分配IP地址时，就必须发出DHCP的广播。而使用RIP作为路由协议时，每隔30秒路由器都会对邻近的其他路由器广播一次路由信息。RIP以外的其他路由协议使用多播传输路由信息，这也会被交换机转发（Flooding）。除了TCP/IP以外，NetBEUI、IPX和Apple Talk等协议也经常需要用到广播。例如在Windows下双击打开“网络计算机”时就会发出广播（多播）信息。总之，广播就在我们身边。

下面是一些常见的广播通信：

ARP请求：建立IP地址和MAC地址的映射关系。
RIP：一种路由协议。
DHCP：用于自动设定IP地址的协议。
NetBEUI：Windows下使用的网络协议。
IPX：Novell Netware使用的网络协议。
Apple Talk：苹果公司的Macintosh计算机使用的网络协议。

如果整个网络只有一个广播域，那么一旦发出广播信息，就会传遍整个网络，并且对网络中的主机带来额外的负担。因此，在设计LAN时，需要注意如何才能有效地分割广播域。

2. 广播域的分割与VLAN的必要性

分割广播域时，一般都必须使用到路由器。使用路由器后，可以以路由器上的网络接口（LAN Interface）为单位分割广播域。

但是，通常情况下路由器上不会有太多的网络接口，其数目多在1～4个左右。随着宽带连接的普及，宽带路由器（或者叫IP共享器）变得较为常见，但是需要注意的是，它们上面虽然带着多个（一般为4个左右）连接LAN一侧的网络接口，但那实际上是路由器内置的交换机，并不能分割广播域。况且使用路由器分割广播域的话，所能分割的个数完全取决于路由器的网络接口个数，使得用户无法自由地根据实际需要分割广播域。

与路由器相比，二层交换机一般带有多个网络接口。因此如果能使用它分割广播域，那么无疑运用上的灵活性会大大提高。用于在二层交换机上分割广播域的技术，就是VLAN。通过利用VLAN，我们可以自由设计广播域的构成，提高网络设计的自由度。

3. 实现VLAN的机制

在理解了“为什么需要VLAN”之后，接下来让我们来了解一下交换机是如何使用VLAN分割广播域的。首先，在一台未设置任何VLAN的二层交换机上，任何广播帧都会被转发给除接收端口外的所有其他端口（Flooding）。例如，计算机A发送广播信息后，会被转发给端口2、3、4。

这时，如果在交换机上生成红、蓝两个VLAN；同时设置端口1、2属于红色VLAN、端口3、4属于蓝色VLAN。再从A发出广播帧的话，交换机就只会把它转发给同属于一个VLAN的其他端口——也就是同属于红色VLAN的端口2，不会再转发给属于蓝色VLAN的端口。同样，C发送广播信息时，只会被转发给其他属于蓝色VLAN的端口，不会被转发给属于红色VLAN的端口。

就这样，VLAN通过限制广播帧转发的范围分割了广播域。上图中为了便于说明，以红、蓝两色识别不同的VLAN，在实际使用中则是用“VLAN ID”来区分的。

4. 直观地描述VLAN

如果要更为直观地描述VLAN的话，我们可以把它理解为将一台交换机在逻辑上分割成了数台交换机。在一台交换机上生成红、蓝两个VLAN，也可以看作是将一台交换机换做一红一蓝两台虚拟的交换机。

在红、蓝两个VLAN之外生成新的VLAN时，可以想象成又添加了新的交换机。但是，VLAN生成的逻辑上的交换机是互不相通的。因此，在交换机上设置VLAN后，如果未做其他处理，VLAN间是无法通信的。

明明接在同一台交换机上，但却偏偏无法通信——这个事实也许让人难以接受。但它既是VLAN方便易用的特征，又是使VLAN令人难以理解的原因。需要VLAN间通信时怎么办？当我们需要在不同的VLAN间通信时又该如何是好呢？

请大家再次回忆一下：VLAN是广播域。而通常两个广播域之间由路由器连接，广播域之间来往的数据包都是由路由器中继的。因此，VLAN间的通信也需要路由器提供中继服务，这被称作“VLAN间路由”。VLAN间路由，可以使用普通的路由器，也可以使用三层交换机。其中的具体内容，请看下篇～

ARP实例分析

2007-04-01T00:15:00.000+08:00

以下是一道ARP的试题，非常经典~

题目如下：PC1向PC2发送数据，全部都是初始化，之间的细节请描述清楚！
1.当PC1要往PC2发送数据时，发现目的地址跟本地地址不在同一个网段，所以发向网关，此时，PC1不知道网关的mac地址，所以发送广播arp（问192.168.0.254这个ip地址的mac是多少）

2.广播arp到达switch1后，发现cam表中没有此记录，所以把此广播arp发向除源接口之外的所有端口

3.当路由器收到这个arp后，发现跟自己的ip一样，所以路由器响应arp请求，并以单播形式回复一个arp响应（告知这个ip的mac是我E0的端口）

4.此单播arp响应到达switch1，switch1在cam表中建立项目，从某端口（跟router直连的端口）出去可以到达这个mac地址，建立表项后，又把此响应传到PC1上

5.PC1收到后，把此网关mac地址加入数据包中，以数据包的形式发送出去

6.switch1收到此数据包后，查找cam表，发现有此mac记录，并从相应的端口转发到router

7.router收到后，根据目标地址查找路由表，发现从E1口出去可以到达192.168.1.0/24这个网段，所以数据包被发送到E1口，源mac地址被改成E1的mac地址，源ip不动。此时router要向PC2发送数据包，但没有相应的mac地址，所以发送arp广播，查找PC2的mac地址

8.switch2收到后，发现cam表中没有此mac记录，所以把广播arp发向除源接口之外的所有端口

9.PC2收到后，发现是自己的ip，所以发出单播arp响应，告知这个ip的mac地址是我PC2

10.switch2收到后，记录mac地址，告知从连接PC2的端口出去能到达这个mac地址，并把响应继续传播

11.此时router收到后，把此mac地址加入数据包并转发出去

12.到达switch2后，根据cam表把数据包从相应端口转发出去，这时，数据包到达PC2

从PC2向PC1回应的过程跟以上过程意思一样，主要是利用arp广播获得mac地址，并记录到switch的cam表中，然后根据cam表做相应转发。数据转发的基础就是mac地址，所以在转发前，必须得到目的mac地址。

前缀列表的讨论

2007-03-26T11:19:00.000+08:00

在BGP路由选择协议中，可以对BGP路由选择更新进行过滤，要完成这个工作要用到前缀列表。

一、前缀列表的特点：
（1）可以增量修改，我们知道对于普通访问控制列表，我们不能删除该列表中的某个条目，如果想删除列表中的某个条目只能将该访问列表全部删除，而前缀列表中，一个条目可以单独地删除或添加。
（2）前缀列表在Cisco IOS 12.0及其以后的版本中可以使用。
（3）在大型列表的加载和路由查找方面比访问控制列表有显著的性能改进。
（4）前缀列表用于BGP路由。

二、前缀列表的命令描述：
（1）ip prefix-list list-name [seq seq-value] {deny|permit} network/len [ge ge-value] [le le-value]
list name 代表被创建的前缀列表名（注意该列表名是区分大小写的）
seq-value 代表前缀列表语名的32bit序号，用于确定过滤语句被处理的次序。缺省序号以5递增（5，10，15等等）。
deny|permit 代表当发现一个匹配条目时所要采取的行动
network/len 代表要进行匹配的前缀和前缀长度。Network是32位的地址，长度是一个十进制的数。
ge-value 代表比“network/len”更具体的前缀，要进行匹配的前缀长度的范围。如果只规定了“ge”属性，该范围被认为是从“ge-value”到32。
le-vlaue 代表比“network/len”更具体的前缀，要进行匹配的前缀长度的范围。如果只规定了“le”属性，该范围被认为是从“len”到“le-value”。

（2）neighbor {ip-address | peer-group-name} prefix-list prefix-listname {in|out}
ip-address 代表要为之进行路由过滤的BGP邻居的IP地址。
peer-group-name 代表BGP对等体组的名称。
prefix-listname 代表要被用来过滤路由的前缀列表的名称。
in 说明前缀列表要被应用在来自邻居的入路由通告。
out 说明前缀列表要被应用在发送给邻居的外出的路由通告。

三、在“ip prefix-list”命令中“ge”和“le”任选项的使用可能令人迷惑，理解起来比较难，下面我们做了一个测试，以便更好的了解这些选项的含义：
网络拓朴描述如下：
路由器A属于AS65000，路由器B与路由器C是路由器A的邻居，路由器A从路由器B学到了，172.16.10.0/24, 172.16.11.0/24这两条路由，路由器C接路由器A的端口地址是：10.1.1.1如图：

在这个测试中使用了3台路由器：路由器B，路由器A和路由器C，路由器C是路由器A的EBGP邻居，路由器C的接口地址为10.1.1.1，如上所示。
假设配置前缀列表之前，路由器A学到了下面的路由（从路由器B那里学来的）：
172.16.0.0 subnetted:
172.16.10.0/24
172.16.11.0/24
我们测试了如下5种情况：

第一种情况、
在这种情况下，对路由器A做了如下配置：

router bgp 65000
aggregate-address 171.16.0.0 255.255.0.0
neighbor 10.1.1.1 prefix-list tenonly out
in prefix-list tenonly permit 172.16.10.0/8 le 24

当用“show run”命令查看路由器的配置时，我们将看到路由器A自动地将这个配置的最后一行改为下面这样：

ip prefix-fix tenonly permit 172.0.0.0/8 le 24

这时路由器C学到了三个路由，即：

172.16.0.0/16
172.16.10.0/24
172.16.11.0/24

下面就祥细的说明一下路由器C为什么会学到这三条路由：

因为我们在路由器A中用aggregate创建了一条聚合路由器172.16.0.0/16，而且在使用这个命令的时候没有加参数summary-only所以，路由器A的EBGP邻居，即路由器C有可能学到三条路由，即聚合路由172.16.0.0/16，具体路由172.16.10.0/24，具体路由172.16.11.0/24。
在命令“in prefix-list tenonly permit 172.16.10.0/8 le 24”中， len等于8，len-value等24。
前面我们说过对于比“network/len”更具体的前缀，要加上参数len-value,如果只规定了“le”属性，该范围被认为是从“le”到“le-value”，这里的8和24是长度的概念，即可以精确匹配前8位，前9位，前11位，…….一直到可以精确匹配前24位。
172.16.0.0/16被认为是精确匹配了前16位，而172.16.10.0/24和172.16.11.0/24则被认为是精确匹配了前24位，如果是172.0.0.0/8则被认为是精确匹配了前8位，即这里的8至24可是掩码位的概念，就是说从路由器C的角度上来说，我可以学到路由器A的BGP路由表中的掩码为/8，/9，/10，/11，/12，/13，/14，/15，/16，/17，/18，/19，/20，/21，/22，/23，/24的路由器，所以在这种情况下路由器C学到了三条路由即：

172.16.0.0/16
172.16.10.0/24
172.16.11.0/24

第二种情况、

在这种情况中，对路由器A做了如下配置：

router bgp 65000
aggregate-address 171.16.0.0 255.255.0.0
neighbor 10.1.1.1 prefix-list tenonly out
in prefix-list tenonly permit 172.16.10.0/8 le 16

在这里从路由器C的角度来说，我有可能学到的路由是172.16.0.0/16 ， 172.16.11.0/24，172.16.10.0/24，但实际我只学到172.16.0.0/16这一条路由器，原因是，len-value的值已经改为16，即我只能学到掩码为/8，/9，/10，/11，/12，/13，/14，/15，/16的路由，在上面的三条路由中，符合条件的只有 172.16.0.0/16，所以路由器C只学到一条路由即：

172.16.0.0/16

第三种情况、

在这个情况中，对路由器A做了如下配置：

router bgp 65000
aggregate-address 171.16.0.0 255.255.0.0
neighbor 10.1.1.1 prefix-list tenonly out
in prefix-list tenonly permit 172.16.10.0/8 ge 17

在这里从路由器C的角度来说，我有可能学到的路由是172.16.0.0/16 ， 172.16.11.0/24，172.16.10.0/24，但路由器C只学到172.16.11.0/24，172.16.10.0/24这两条路由，为什么呢，这是因为这里ge-value 的值为17，它精确匹配前17位，前19位，前20位，一直可以精确匹配前32位，即从路由器C的角度上来看，我能说到路由器A中的BGP路由表中的掩码为/17，/18，/19，/20，/21，/22，/23，/24，/25，/26，/27，/28，/29，/30，/31，/32的路由，所以路由器C学到了两条路由即：

172.16.11.0/24
172.16.10.0/24

第四种情况、

在这个情况中，对路由器A做了如下配置：

router bgp 65000
aggregate-address 171.16.0.0 255.255.0.0
neighbor 10.1.1.1 prefix-list tenonly out
in prefix-list tenonly permit 172.16.10.0/8 ge 16 le24

在这里从路由器C的角度来说，我有可能学到的路由是172.16.0.0/16 ，172.16.11.0/24，172.16.10.0/24，路由器C能从路由器A的BGP路由表中学到掩码为/16，/17，/18，/19，/20，/21，/22，/23，/24的路由，以上三条路由都符合条件，所以都被路由器C学到了即：

172.16.0.0/16
172.16.11.0/24
172.16.10.0/24

第五种情况、

在这个情况中，对路由器A做了如下配置：

router bgp 65000
aggregate-address 171.16.0.0 255.255.0.0
neighbor 10.1.1.1 prefix-list tenonly out
in prefix-list tenonly permit 172.16.10.0/8 ge 17 le 24

在这里从路由器C的角度来说，我有可能学到的路由是172.16.0.0/16 ，172.16.11.0/24，172.16.10.0/24，路由器C能从路由器A的BGP路由表中学到掩码为/17，/18，/19，/20，/21，/22，/23，/24的路由，以上三条路由中只有172.16.11.0/24，172.16.10.0/24符合条件，所以路由器C学到了两条路由即：

172.16.11.0/24
172.16.10.0/24

STP、VTP、HSRP实验后的总结

2007-03-18T22:52:00.000+08:00

交换机的MAC地址：
交换机仅有一个背版mac地址，而且每个端口分别有一个mac地址（跟华为的可能不太一样），如
#sh int | i bia
Hardware is Fast Ethernet, address is cc00.0a8c.f000 (bia cc00.0a8c.f000)
Hardware is Fast Ethernet, address is cc00.0a8c.f001 (bia cc00.0a8c.f001)
Hardware is Fast Ethernet, address is cc00.0a8c.f002 (bia cc00.0a8c.f002)
其中bia后面的mac地址是固化的，前面的mac地址可以通过mac address H.H.H更改，在STP中，根网桥的mac地址是背版mac地址，不是端口mac地址。

分析show span：

sw4#sh span vlan 2 br
VLAN2
Spanning tree enabled protocol ieee
Root ID Priority 8192
Address cc00.0c24.0001
Cost 19
Port 3 (FastEthernet0/2)
Hello Time 2 sec Max Age 14 sec Forward Delay 10 sec

Bridge ID Priority 32768
Address cc00.16a4.0001
Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec
Aging Time 0

Interface Designated
Name Port ID Prio Cost Sts Cost Bridge ID Port ID
------------------ ------- ---- ----- --- ----- -------------------- ------
FastEthernet0/1 128.2 128 19 BLK 12 16384 cc00.10d8.0001 128.2
FastEthernet0/2 128.3 128 19 FWD 0 8192 cc00.0c24.0001 128.3

128.2 ：128是默认的，2指发送BPDU的交换机端口的物理位置（因为有f0/0所以f0/1在第二位）
cc00.10d8.0001是从连接的桥上sw2发来的bpdu
cc00.0c24.0001也是从连接的桥上sw1发来的bpdu
sw1是根网桥，所以连接root的f0/2就是根端口，同理在sw2上，那个以太网通道也是根端口，现在来判断那个是指定端口，因为sw2的桥id小于sw4，sw2的那个端口是指定端口，sw4上的f0/1是阻塞端口，这样看来就好理解了。

直径Diameter：
生成树协议的BPDU包，都是有TTL的且等于1，每台交换机都要处理这样的包，从而自己从新生成一个新的BPDU然后继续发送。由于TTL等于1 那么就只能转发1次，网络直径是7是默认的大小，表示我的BPDU扩散到网络的边缘就不能在继续下去了。因为这个是STP树的边界。
#span vlan 2 root pri diameter
!---diameter就是表示这个直径，更改这个，max-age和转发时间都相应的改了，所以一般不会更改这个值，默认就可以了。如果管理员要更改转发时间或优先级，建议用此命令来统一更改。

PortFast:
只能在接入层交换机的端口上，一般连接pc或服务器的。不能接交换机和集线器。

UplinkFast:
UplinkFast 加快直连链路失败的收敛速度，典型应用是接入层交换机通过冗余链路接入汇聚层，一条forward，一条block，当forward的链路 failure，则block的链路直接切换到forward状态，忽略fwd、dly、listen、learn状态。

UplinkFast 启用后会修改交换机的bridge priority为49152(缺省是32768)和增加3000所有端口的port cost，主要目的是提高拓扑的稳定性，即接入交换机不期望成为RB。例外情况是，如果root priority或port cost没有缺省值时则不修改/增加。

配置命令：

switch(config)# spanning-tree uplinkfast [max-update-rate value]
!- --max-update-rate：配置了uplinkfast的端口，当有link failure时不向RB方向发送TCN，相反作为源发者向下联的主机终端发送哑元多播，目的是清除下联主机清除failure链路的MAC，更新为新的 MAC纪录，且不影响未收影响的纪录，缺省150pps。
switch# show spanning-tree uplinkfast
!---显示uplinkfast的启用情况，max-update-rate设置，uplinkfast的统计数据。

注意：
1．配置命令在全局模式下执行
2．uplinkfast的配置针对所有VLAN，不能针对个体VLAN配置，且要保证待配置的VLAN没有修改过priority。

BackboneFast:
如果在网络中一条链路中断了，中断的交换机会发出劣等BPDU，喧告自己是ROOT，这条劣等BPDU会被转发到堵塞端口（堵塞端口可以收到BPDU），按照正常来说，从堵塞－>监听需要20秒的max_age，然后从监听－>学习－>转发一共要花费50秒的时间，堵塞端口才能处于转发状态，如果启动了该扩展功能，当交换机收到劣等BPDU时，他会通过可用路径给ROOT传送一条根链路查询BPDU，ROOT收到后，会马上回复BPDU，告知“我还活着”，这时有堵塞端口的交换机收到这条BPDU后，知道根还存在，立即把堵塞端口切换到监听状态，这样可以节省20秒的时间。

配置命令：
switch(config)# spanning-tree backbonefast
!---启用BackboneFast
switch# show spanning-tree backbonefast
!---显示BackboneFast配置信息

注意：
要想用此扩展功能，必须在网络中的所有switch上开启，才能起效果。

ROOT Guard：
如果网络的接入层被加入一个新的交换机，而且此交换机BPDU中带有更低的优先级，那么他会宣告自己是ROOT并且成为NEW ROOT，这样就破坏了ROOT的结构，如果新加入的交换机成为ROOT，那么原来的根的端口可能就会被堵塞，但是一般ROOT被设计在分布层，都是采用高速链路连接的，这样一来就浪费了链路，最不好的结果就是造成网络瘫痪（新加入的SW成为ROOT后，链路承载不了网络负荷）。
如果配置了ROOT Guard，一般配置在指定端口上面，当此端口收到更优的BPDU时，他会阻塞这个端口，直到BPDU比当前的差时，才开始转发，这样保护了ROOT交换机永远是ROOT。

UDLD：
单项链路检测，如果检测到是单项链路，那么交换机会自动关闭这个单项链路的端口。他是针对端口配置的。一般用于光纤上。
怎样才会出现单链路的情况？

Loop Guard：
当阻塞端口收不到指定交换机发来的BPDU时，他会由阻塞－>转发，但实际上因为某种原因这条链路没有断，这样就成了环路，为了不让这种现象发生，就有了Loop Guard机制。
当用了这个机制后，阻塞端口收不到指定交换机发来的BPDU时，他就会由阻塞->环路不一致状态，其实也就相当于阻塞状态。环路保护是针对vlan起作用的。

双机热备份详解

2007-03-14T17:19:00.000+08:00

对于某些企业或组织的某些关键业务数据的网络传输,要求网络设备高度的可靠性，而且需要维护方便。
　
Cisco路由器的备份技术有多种。这里介绍一下路由器自身的备份技术及线路备份技术。

一般来说，路由器是建立局域网与广域网连接的桥梁。所谓的路由器自身的备份技术是为了解决路由器由于自身硬件（如内存、CPU）或软件IOS的某种故障或局域端口的故障，所连接局域设备的端口或线路的故障所导致的网络瘫痪的问题。路由器的备份要求至少有一台与正在工作的主路由器功能相同的路由器，在主路由器瘫痪的情况下，以某种方式代替主路由器，为局域网用户提供路由服务。
　
　　对于局域网的计算机，在主路由器瘫痪的情况下，如何找到备份路由器，主要有以下集中办法：
　　
● proxy ARP
● IRDP
● 动态路由
● HSRP
　　　　
　　Proxy ARP
　　支持Proxy ARP的计算机无论与本网段的计算机还是不同网段的计算机进入通讯都发送ARP广播以寻找与目的地址相对应的MAC地址，这时，知道目的地址的路由器会响应ARP的请求，并将自己的MAC地址广播给源计算机，然后源计算机就将IP数据包发给该路由器，并由路由器最终将数据包发送到目的。在主路由器瘫痪情况下，计算机再进行通讯时，它将继续发送Proxy ARP广播，备份路由器响应该请求，并进行数据传输。

　　缺点：　　
　　如果主路由器正在传输数据时瘫痪，正在通信的计算机在未发送另外的Proxy ARP请求之前．根本就无法知道主路由器已瘫痪，会继续向该路由器发包，导致传输中断，正在通信的计算机只有在另外发送Proxy ARP请求或重新启动之后才能找到备份路由器以进行传输。
　　
　　Cisco路由器支技Proxy ARP
　　
　　IRDP
　　局域网中的支持IRDP的计算机会监听主路由器发出的“Hello”的多点广播信息包，如果该计算机不再收到“Hello”信息时，它就会利用备份路由器进行数据传输。
　　
　　动态路由
　　对于某些计算机，它们本身支持RIP动态路由以寻找路由器，这种办法的缺点是主路由器与备份路由器间的转换较慢。
　　
　　以上三种办法，主要都是在计算机一方采用的技术，Cisco路由器提供了HSRP技术，采用这种技术不需要计算机进行任何设置，即对计算机来说，主路由器与备份路由器之间切换是透明的，而且它们之间的切换速度较快。
　
　　采用HSRP进行备份的一组路由器共用一个虚拟的MAC地址及虚拟IP地址，每个参与HSRP的局域端口有一个本端口的IP地址和MAC地址，每个路由器都有一个权值，权值最高的作为主路由器进行工作，其它的不工作，当主路由器瘫痪时，第二个权值最高的路由器将作为主路由器，依次类推。路由器之间定期交换权值信息以确定路由器的工作状态。如果主路由器在一段时间内不发送这种信息包，其它备份路由器将认为该路由器已坏，权值高的备份路由器将接管虚拟MAC地址和IP地址，并负责传输数据。一旦主路由器恢复正常，将自动切换回去，重新接管传输数据的工作，之后备份路由器停止传输，处于备份状态。另外，HSRP允许路由器对某些端口的工作状态进行监测，一旦这个端口出现故障，也进行自动切换。
　　
　　总之，对于局域网的计算机，它们的网关只有一个，即虚拟IP地址。所有的备份工作都由路由器自动完成。
　　HSRP适应于主路由器与备份路由器的线路完全一致的情况。使用HSRP功能，建议采用收敛速度较快的动态路由协议，如OSPF，EIGRP。
　
　　HSRP基本配置步骤：　
　　ip address 192.168.10.1 255.255.255.252
!---在端口配置下，设置端口IP地址
　　standby 1 ip 192.168.10.254
!---在端口配置下，启用HSRP功能，并设置虚拟IP地址，其中只有有相同组号的路由器属于同一个hsrp组，所有属于同一个hsrp组的路由器的虚拟地址必须一致
　　standby 1 preempt
!---在端口设置状态下设置HSRP抢占该设置允许权值高于该hsrp组的其它路由器成为主路由器。所有都应该给路由器设置此项，以便每台路由器都可以成为其它路由器的备份路由器。如果不设置该项，即使用该路由器权值再高，也不会成为主路由器。　　
　　standby 1 priority 120
!---设置路由器的hsrp权值，如果不设置该项，缺省权值为100，其中权值数字大，则抢占为主路由器的优先权越高。
　　standby 1 authentication cisco
!---设置hsrp组路由器身份验证字符串，该项设置为可选设置，如果设置该项，则该hsrp组的所有路由器都必须进行该项设置，且只有有相同字符串的该组路由器才能进行hsrp。
　　standby 1 timers 5 15
!---设置hsrp切换时间，其中时间参数1表示路由器每间隔多长时间交换一次hello信息，以表明路由器是否出现故障或工作正常。时间参数2表示在多长时间内同组的其他路由器没有收到主路由器的信息，则宣布主路由器瘫痪。该设置的缺省值分别为3秒和10 秒。如果要更改缺省值，所有同hsrp组的路由器的该项设置必须一致。
　　standby 1 track fastethernet 0/1
!---端口跟踪设置，该项设置为可选设置，该设置表示如果所监测的端口出现故障，则也进行路由器的切换。可以跟踪多个端口。当跟踪的端口出现问题时，考虑到需要降低接口的优先级，让备份接口的优先级大于主动接口，好夺取主动权。默认的降幅是10，这个值是可配置的。当然，当把故障排除，端口恢复后，优先级会再度恢复，并抢回主动权。
　　

注意：如果主路由器上有多条线路被跟踪，则有一条线路出现故障时，就会切换到备份路由器上，即使其他都正常工作，直到主路由器该线路正常工作，才能重新切换过来。该项设置实现的功能在实际应用中完全可以由线路备份功能实现，而且在大多数情况下，该项设置也没有多大意义。　　

　　hsrp还有很多其它设置及应用，如感兴请在Cisco站点或Cisco Document上查找

STP、VTP、HSRP构建一个冗余的网络

2007-03-14T15:53:00.000+08:00

SW1

switch > enable
switch # configure terminal
switch (config) # hostname sw1
sw1 (config) # vtp domain cisco
sw1 (config) # vtp mode server
sw1 (config) # vtp password cisco
sw1 (config) # exit
sw1 # vlan database
sw1 (vlan) # vlan 2
sw1 (vlan) # vlan 3
sw1 (vlan) # exit
sw1 # configure terminal
sw1 (config) # interface range fastethernet 0/1 - 5
sw1 (config-if) # switchport mode trunk
sw1 (config-if) # no shutdown
sw1 (config-if) # interface range fastethernet 0/3 - 4
sw1 (config-if) # channel-group 1 mode on
sw1 (config-if) # exit
sw1 (config) # spanning-tree vlan 2 root primary
sw1 (config) # spanning-tree vlan 3 root secondby
sw1 (config) # exit
sw1 #

SW 2

switch > enable
switch # configure terminal
switch (config) # hostname sw 2
sw2 (config) # vtp domain cisco
sw2 (config) # vtp mode server
sw2 (config) # vtp password cisco
sw2 (config) # interface range fastethernet 0/1 - 5
sw2 (config-if) # switchport mode trunk
sw2 (config-if) # no shutdown
sw2 (config-if) # interface range fastethernet 0/3 - 4
sw2 (config-if) # channel-group 1 mode on
sw2 (config-if) # exit
sw2 (config) # spanning-tree vlan 3 root primary
sw2 (config)# spanning-tree vlan 2 root secondby
sw2 (config) # exit
sw2 #

SW 3

switch > enable
switch # configure terminal
switch (config) # hostname sw 3
sw3 (config) # vtp domain cisco
sw3 (config) # vtp mode client
sw3 (config) # vtp password cisco
sw3 (config) # interface range fastethernet 0/1 - 2
sw3 (config-if) # switchport mode trunk
sw3 (config-if) # no shutdown
sw3 (config-if) # interface fastethernet 0/3
sw3 (config-if) # switchport mode access
sw3 (config-if) # switchport access vlan 2
sw3 (config-if) # spanning-tree portfast
sw3 (config-if) # interface fastethernet 0/4
sw3 (config-if) # switchport mode access
sw3 (config-if) # switchport access vlan 3
sw3 (config-if) # spanning-tree portfast
sw3 (config-if) # exit
sw3 (config) # spanning-tree uplinkfast
sw3 (config) # spanning-tree vlan3
sw3 (config) # spanning-tree vlan2
sw3 (config) # exit
sw3 #

SW4

switch > enable
switch # configure terminal
switch (config) # hostname sw 4
sw4 (config) # vtp domain cisco
sw4 (config) # vtp mode client
sw4 (config) # vtp password cisco
sw4 (config) # interface range fastethernet 0/1 - 2
sw4 (config-if) # switchport mode trunk
sw4 (config-if) # no shutdown
sw4 (config-if) # interface fastethernet 0/3
sw4 (config-if) # switchport mode access
sw4 (config-if) # switchport access vlan 2
sw4 (config-if) # spanning-tree portfast
sw4 (config-if) # interface fastethernet 0/4
sw4 (config-if) # switchport mode access
sw4 (config-if) # switchport access vlan 3
sw4 (config-if) # spanning –tree portfast
sw4 (config-if) # exit
sw4 (config) # spanning-tree uplinkfast
sw4 (config) # spanning-tree vlan3
sw4 (config) # spanning-tree vlan2
sw4 (config) # exit
sw4 #

router > enable
router # configure terminal
router (config) # hostname r1
r1 (config) # interface fastethernet 0/0.1
r1 (config-subif) # ip add 192.168.2.254 255.255.255.0
r1 (config-subif) # encapsulation dot1q 2
r1 (config-subif) # standby 2 ip 192.168.2.1
r1 (config-subif) # standby 2 priority 105
r1 (config-subif) # standby 2 preempet
r1 (config-subif) # standby 2 track fastethernet 0/1
r1 (config-subif) # interface fastethernet 0/0.2
r1 (config-subif) # ip add 192.168.3.254 255.255.255.0
r1 (config-subif) # encapsulation dot1q 3
r1 (config-subif) # standby 3 ip 192.168.3.1
r1 (config-subif) # standby 3 preempet
r1 (config-subif) # standby 3 track fastethernet 0/1
r1 (config-if) # interface fastethernet 0/0
r1 (config-if) # no shutdown
r1 (config-if) # interface fastethernet 0/1
r1 (config-if) # ip add 192.168.4.2 255.255.255.0
r1 (config-if) # no shutdown
r1 (config-if) # exit
r1 (config) # exit
r1 #

router > enable
router # configure terminal
router (config) # hostname r2
r2 (config) # interface fastethernet 0/0.1
r2 (config-subif) # ip add 192.168.2.253 255.255.255.0
r2 (config-subif) # encapsulation dot1q 2
r2 (config-subif) # standby 2 ip 192.168.2.1
r2 (config-subif) # standby 2 preempet
r2 (config-subif) # standby 2 track fastethernet 0/1
r2 (config-subif) # interface fastethernet 0/0.2
r2 (config-subif) # ip add 192.168.3.253 255.255.255.0
r2 (config-subif) # encapsulation dot1q 3
r2 (config-subif) # standby 3 priority 105
r2 (config-subif) # standby 3 preempet
r2 (config-subif) # standby 3 ip 192.168.3.1
r2 (config-subif) # standby 3 track fastethernet 0/1
r2 (config-if) # interface fastethernet 0/0
r2 (config-if) # no shutdown
r2 (config-if) # interface fastethernet 0/1
r2 (config-if) # ip add 192.168.5.2 255.255.255.0
r2 (config-if) # no shutdown
r2 (config-if) # exit
r2 (config) # exit

router > enable
router # configure terminal
router (config) # hostname r3
r3 (config) # interface thernet 0/0
r3 (config-if) # ip add 192.168.4.1 255.255.255.0
r3 (config-if) # no shutdown
r3 (config) # interface ethernet 0/1
r3 (config-if) # ip add 192.168.5.1 255.255.255.0
r3 (config-if) # no shutdown
r3 (config-if) # exit
r3 (config) # exit
r3 #

常用交换机端口镜像配置

2007-03-13T15:39:00.000+08:00

大多数三层交换机和部份两层交换机，具备端口镜像功能，不同的交换机或不同的型号，镜像配置方法的有些区别，下面我们提供常见交换机的镜像配置方法：

1. Cisco CATALYST交换机端口监听配置
2. 3COM交换机端口监听配置
3. DELL交换机端口监听配置
4. NetCore交换机端口监听配置
5. Intel交换机端口监听配置
6. Avaya交换机端口监听配置
7. 华为交换机端口监听配置

Cisco CATALYST交换机端口监听配置
CISCO CATALYST交换机分为两种，在CATALYST家族中称监听端口为分析端口(analysis port)。
1、Catalyst 2900XL/3500XL/2950系列交换机端口监听配置(基于CLI)
以下命令配置端口监听：

port monitor

例如，F0/1和F0/2、F0/5同属VLAN1，F0/1监听F0/2、F0/5端口：

interface FastEthernet0/1
port monitor FastEthernet0/2
port monitor FastEthernet0/5
port monitor VLAN1

2、Catalyst 4000/5000/6000系列交换机端口监听配置(基于IOS)
以下命令配置端口监听：
set span
例如，模块6中端口1和端口2同属VLAN1，端口3在VLAN2，端口4和5在VLAN2，端口2监听端口1和3、4、5，

set span 6/1,6/3-5 6/2

3COM交换机端口监听配置
在3COM交换机中，端口监听被称为“Roving Analysis”。网络流量被监听的端口称作“监听口”（Monitor Port），连接监听设备的端口称作“分析口”（Analyzer Port）。
以下命令配置端口监听：

指定分析口
feature rovingAnalysis add，或缩写 f r a
例如：

Select menu option: feature rovingAn alysis add
Select analysis slot: 1
Select analysis port: 2

指定监听口并启动端口监听
feature rovingAnalysis start，或缩写 f r sta
例如：

Select menu option: feature rovingAn alysis start
Select slot to monitor (1-12): 1
Select port to monitor&nb sp; (1-8): 3

停止端口监听
feature rovingAnalysis stop，或缩写 f r sto

DELL交换机端口监听配置
在Dell交换机中，端口监听被称为“端口镜像”（Port Mirroring）。使用交换机的管理界面，参数如下：
Destination Port（目的地端口）：定义端口通信要镜像到的端口号；
Source Port（源端口）：定义被镜像端口的端口号。
Add（添加）：添加端口镜像操作。
Type（类型）：指定要镜像的端口通信类型。可能的字段值包括：“RX”-表示镜像进入网络的数据；“TX”-表示镜像流出网络的数据；Both（）-表示镜像所有数据。
Status（状态）：表示端口的状态。可能的字段值包括： “Active”-表示端口被启用；“Not Active”-表示端口被禁用。
Remove（删除）：删除端口镜像会话。可能的字段值包括： “已选取”-删除端口镜像会话；“未选取”-保留端口镜像会话。
具体设置：
1、在Port Mirroring对话框中的Destination Port中选中目的端口（镜像端口），再单击Add按钮；
2、在系统将打开“Add Source Port”（添加源端口）页面中，定义“Source Port”（源端口）和“Type”（类型）字段，并单击“Apply Changes”（应用更改），使系统接收更改。
（注：如果需要从端口镜像会话删除副本端口，请打开“Port Mirroring”（端口镜像）页面，选取“Remove”（删除）复选框，再单击“Apply Changes”（应用更改）。系统将删除端口镜像会话，并更新设备。）
以下命令配置端口监听：
指定分析口

CLI 命令实例：

Console(config)# interface ethernet 1/e1
Console(config-if)# port monitor 1/e8
Console# show ports monitor
Source port Destination Port Type Status
----------- ---------------- ----- -------
1/e1 1/e8 RX, TX Active

NetCore交换机端口监听配置
NetCore交换机中，端口监听被称为“端口镜像”（Port Mirroring）。
交换机提供四种监视状态：

Off 关闭Mirror功能
Rx 捕获被监视端口的接收数据
Tx 捕获被监视端口的发送数据
Both 捕获被监视端口的接收和发送的数据
进入NetCore的超级终端，在主菜单中输入“5”进入端口镜像设置界面，输入“1”设置端口镜像状态。
如设置端口1为镜像端口，端口8为被镜像端口，捕获该端口的接收和发送数据。
配置命令如下：

1. 选择配置的选项 (1,off, 2.Rx, 3.Tx, 4.Both) ：4
2. 选择捕获端口：1
3. 选择被镜像端口：8
按Esc键退回镜像设置界面，设置成功。

Intel交换机端口监听配置
Intel 称端口监听为“Mirror Ports”。网络流量被监听的端口称作“源端口”（Source Port），连接监听设备的端口称作“镜像口”（Mirror Port）。
配置端口监听步骤如下：
● 在navigation菜单，点击Statistics下的Mirror Ports，弹出Mirror Ports信息。
● 在Configure Source 列中点击端口来选择源端口，弹出Mirror Ports Configuration。
● 进行源端口设置：
● 源端口是镜像流量的来源口，镜像口是接收来自源端口流量的端口。
● 点击Apply确定
可以选择三种监听的方式：
1．连续（Always）：镜像全部流量。
2．周期（Periodic）：在一定周期内镜像全部流量。镜像周期在Sampling Interval configuration中设置。
3．禁止（Disabled）：关闭流量镜像。

Avaya交换机端口监听配置
在Avaya交换机用户手册中，端口监听被称为“端口镜像”（Port Mirror）。
以下命令配置端口监听：

{set|clear } Port Mirror
设置端口侦听：

set port mirror source-port
mirror-portsampling { always } [ max-packets -sec
] [ piggyback-port ]
禁止端口监听：

clear port mirror
命令中，
mod-port-range 指定端口的范围；
mod-port-spec 指定特定的端口；
piggyback-port 指定双向镜像的端口；
sampling 指定镜像周期；
max-packets-sec 仅在sampling设置为periodic时使用，指定监听口每秒最多的数据报数量。

华为交换机端口监听配置
华为交换机用户手册中，端口监听被称为“端口镜像”（Port Mirroring）。
使用Huawei Lanswitch View管理系统添加一个镜像端口：

选择 Device Setup或Stack Setup。
点击 Port Mirroring。
点击 Add按钮。对于堆叠，点击Switch并从列表选择一个交换机。
点击 Reflect from并选择流量将被镜像的端口。
点击 Reflect to并选上面所选择的端口上的

骨干网的可靠保障

2007-03-09T17:14:00.000+08:00

原作者：e刀客

热闹的春节期间，e刀客与嘟囔、菜头又聚在了一起。他们三个这回聊起了高端路由器。作为新一代的路由器产品，高端路由器主要使用在Internet骨干网上，它的性能优良，具有高密度、高速端口和巨大的交换容量。高端路由器不仅能为骨干网提供良好的升级、服务质量和故障恢复能力，而且能为下一代基于IP的高速骨干网的发展奠定良好基础。

立足“三高” 性能不断完善

网络发展催生新一代

　　春节期间，e刀客自然要与老朋友、老同学聚聚，其中当然包括嘟囔和菜头。这天是菜头做东，几杯酒下肚，e刀客正喝得兴致盎然，菜头不失时机地道出了请客的原因。新年过后，菜头又要跳槽了，打算从事路由器等网络设备的管理工作，可菜头对路由器一直是一知半解，所以想趁着假期赶快充充电。有道是“吃人家的嘴短”，e刀客不得不帮菜头这个忙，身为网管的嘟囔也不闲着，急忙卖弄起自己肚里的路由器知识。
　　嘟囔说道：“路由器工作在OSI模型中的第三层，即网络层。它能将不同的网络或网段之间的数据信息进行‘翻译’，以使它们能相互‘读’懂对方的数据，从而构成一个更大的网络。”e刀客点点头，看来在技术中心工作一段时间，嘟囔小姐的确有长进。菜头则不以为然地说：“这我都知道，你倒是给我讲讲高端路由器的情况。”嘟囔平时很少接触高端路由器，一时语噎。看来，还得e刀客亲自出马，e刀客告诉菜头：“高端路由器是指在Internet骨干网核心使用的、性能优良、具有高密度、高速端口和巨大交换容量的新一代路由器产品。高端路由器的可扩展性、高速接口、互操作性、QoS能力和可靠性不仅能为骨干网提供良好的升级、服务质量和故障恢复能力，而且能为下一代基于IP的高速骨干网的发展奠定良好基础。”
　　高端路由器是Internet骨干网建设的核心设备。相对中低端传统路由器而言，高端路由器是可运营的电信级路由器设备，高可靠性、高扩展性和高性能的“三高”特性是它的关键属性。
　　随着信息化和网络技术的进步，IP技术迅速发展，IP用户不断增加，目前许多数据通信业务都是基于IP的。尤其在电信拆分、重组后，IP网的建设将成为各运营商下一代网络战略布局的核心。作为Internet骨干网建设的核心设备，高端路由器成为IP通信发展的关键，除了要求它可靠、稳定外，对于灵活性、业务丰富能力及可扩展性等指标也提出了更高的要求。传统的路由器已经很难满足现代网络发展的需要，尤其是主干网络的需要。在这种背景下，高端路由器的数据处理能力不断提高，开始向新一代迈进。菜头急忙问道：“快说说这些路由器都有什么特点，新一代的路由器又有哪些改进？”
　　路由器的性能决定了路由器工作的效率，也决定了用户在建网时所考虑的承载数据量和应用。目前路由器的路由方式主要有二种：软件方式和硬件转发，软件方式通常采用集中式路由，硬件转发又分为集中式硬件转发和分布式硬件转发方式。
　　见菜头听得入迷，e刀客耐心地介绍起来。传统的路由器采用集中处理、软件转发的方式。那时IP网的规模不大，网关所需要连接的设备及需要处理的负载也较小，网关(路由器)基本上可以通过一个CPU和多个接口卡连在一个总线上的方式实现。接口卡通过总线将报文上送CPU，CPU负责路由收集、转发处理、设备管理等所有功能。网络接口收到报文后通过内部总线传递给CPU，由CPU完成所有处理后从另一个网络接口传递出去。
　　听到这里，嘟囔忍不住插嘴道：“采用这种方式的话，每一个报文都要经过总线送交CPU处理，当网络用户增多、网络流量增大时，CPU能负担得了吗？”
　　“没错，是存在这个问题。”e刀客接着说，由于接口数量、总线带宽和CPU的瓶颈越来越突出，于是后来的路由器就在网络接口卡上进行一些智能化处理。将少数常用的路由信息采用 Cache 技术保留在业务接口卡上，这样大多数报文就可以直接通过业务板 Cache 的路由表进行转发，以减少对总线和CPU的需求。对于 Cache 中不能找到的报文则送交CPU处理。
　　菜头听得很认真：“这些都是软件转发的方式，你刚才不是提到还有硬件转发方式吗？”真是个心急的菜头，e刀客正要解释硬件转发路由器呢。上个世纪90年代中后期，Internet 技术得到了空前的发展，Internet 用户和IP网络都迅猛增加。网络流量特别是核心网络的流量以指数级增长，传统的基于软件的IP路由器已经无法满足网络发展的需要。于是出现了ASIC实现方式，它把转发过程的所有细节全部采用硬件方式来实现，另外在交换网上采用了 Cross Bar 或共享内存的方式解决了内部交换的问题。这样，路由器的性能达到千兆比特，即早期的千兆交换式路由器(GSR，Gigabit Switch Router)。
　　但在这个时期，IP网络技术的缺陷越来越充分地暴露出来。IP地址缺乏问题、IP业务服务质量问题、IP安全等问题纷纷显现出来。于是，各种新技术也纷纷出现，象VPN技术、IP-QOS 技术、MPLS技术、流量工程技术等，IP标准也在逐步修改成熟。随着新技术的出现和标准化的进展，对高速路由器的业务功能要求也越来越高。基于这些问题，采用ASIC技术的路由器固有的不灵活、业务提供周期长等缺陷也不可避免地出现了。
　　于是，新一代路由器应运而生。新一代路由器采用全分布式处理技术，许多功能以硬件方式实现，并在关键的IP转发和业务流程处理上采用了可编程的网络处理器（NP）技术，取代通常使用的ASIC。网络处理器通常由若干微处理器和一些硬件协处理器组成，多个微处理器并行处理，通过软件来控制处理流程。对于一些复杂的标准操作(如内存操作、路由表查找算法、QoS的拥塞控制算法、流量调度算法等)采用硬件协处理器来提高处理性能。
　　嘟囔和菜头刨根问底：“具体说来，新一代路由器究竟有哪些优势呢？” e刀客向他们解释道：“概括来说，新一代路由器由以下几方面的优点。”
　　● 采用网络处理器技术实现IP报文处理和转发，所以可以在保证高速转发的同时进行复杂的协议处理，从而支持丰富的业务；
　　● 采用大容量的交换网结构，采用网络处理器，可通过升级软件增加新的处理功能，从而快速响应用户的业务需求；
　　● 具有强大的VPN、流分类、IP-QoS、MPLS等特性的支持能力，提供完善的QoS机制；
　　● 充分考虑骨干网络的需求，满足用户对安全性、稳定性、可靠性的要求。
　　“明白了，谢谢e刀客大侠的指点。”菜头和嘟囔竟相为e刀客斟起酒来。
　　走出平稳迎来高增长
　　新业务带动需求
　　菜头一向很关心市场动态，自然不会放过高端路由器的发展。这几天，e刀客带着菜头走访了不少市场人员，查阅了大量资料，当然嘟囔也跟着。别说，收获还真不少。
　　赛迪顾问的数据显示，高端路由器目前主要应用在电信等行业的骨干网上。相对于电信运营商，金融、政府、教育和商务大楼等市场的增长较为明显，成为市场需求的亮点。

行业分布（数据来源CCID）

　　上海贝尔阿尔卡特有限公司宽带网络事业部业务拓展及市场支持总监朱震告诉e刀客：“今年上半年高端路由器的发展相对比较平稳，目前还看不到明显的快速增长，这主要是由于通信市场中运营商的拆分和重组，对网络近期的规划造成一定影响，从而使高端路由器产品的需求没有达到预期。但可以预见，从今年下半年开始，高端路由器市场将迎来高速的增长。”
　　听到这里，菜头不明白了，“不是说运营商的分拆、重组会对高端路由器市场有一定影响吗？”e刀客笑道：“这种影响是暂时的。”新电信、新网通成功挂牌后，各自会组建网络，建设全业务网络平台。而IP网是“三网融合”的基础，它将成为运营商网络建设的重点。运营商在建设全国IP核心网和地区IP城域网的同时，必然会带动高端路由器的市场需求。同时，移动也会扩充CDMA网，随着短信等业务量的增加，它的骨干网络也会对高端路由器有较大需求。
　　“有数据为证。”嘟囔拿过e刀客手里的资料，大声读道：“据预测，我国数据通信市场将以30%以上的年复合增长率高速发展，到2005年时，市场规模将超过600亿元人民币。高端路由器的增长速度将加快。”
　　看着嘟囔得意的样子, 菜头岂肯罢休：“除此之外，高端路由器需求的增长还来自哪些方面？”e刀客不忍再看着嘟囔卡壳，急忙回答：“市场的需求来自多个方面。互联网和宽带用户的迅速增加、数据业务的增长，以及城域网建设的展开等都成为高端路由器市场发展的强大驱动力。”
　　见菜头不再追问嘟囔，e刀客接着说道：“首先，随着互联网用户数量的急剧增加，对路由器的质量提出了更高的要求。服务供应商必须继续增加高性能的路由器，以应对终端用户迅速增长所带来的网络拥挤，这为高端路由器的发展奠定了基础。其次，数据业务也将拉动宽带网建设需求的增长。数据业务目前已成为各运营商的发展重点和新业务增长点，各运营商都在大力开拓宽带业务市场，加大宽带城域网和IP骨干网的建设力度，从而促进高端路由器在城域网市场的大规模应用。”
　　“举例来说，随着宽带（以ADSL为代表）用户数量的增加，所需的网络流量是以前窄带用户（以拨号上网为代表）的5～10倍，这样，势必会对骨干网（包括核心层、汇聚层）造成一定的压力，从而来推动骨干网络扩容。”为了说得更明白些，e刀客向菜头和嘟囔解释道。
　　另外，随着原有专网规模的扩大、业务量的增加以及信息化程度的提高，今后在专网上采用高端路由器的数量会有较大的增长。比如，在金融、税务、公安、航空等行业性的专网上，业务将越来越多，将需要更好、更快、更可靠的网络，从而对市场产生积极影响。
　　其实在e刀客看来，高端路由器市场的增长主要还是基于用户新的需求。朱震对这一点深有体会，过去一直由技术来推动市场，如今用户更加理智，对运营商提出了更高要求，进而从根本上推动了高端路由器需求的增长。
　　“市场潜力如此巨大，高端路由器的厂商一定不少吧？”菜头问道。“是啊，以前由于技术门槛较高，高端路由器市场主要由国外厂商组成，像Cisco、Juniper、Alcatel、Lucent、Foundry等。”不过让e刀客高兴的是，近年来，华为、中兴、大唐、清华比威等国内厂商迅速崛起，在电信、金融、税务、广电等领域有了不错的表现。用户在选购产品时有了更多的选择。
　　着眼实际综合考虑
　　用户需求是关键
　　问题答完，见天色已晚，e刀客起身准备离开，没想到嘟囔突然问道：“市场上的路由器品牌如此众多，如何选择一款适合自己的产品呢？”这也是菜头想知道的问题，菜头只好拍拍胸脯道：“明天我一定请大家出去好好放松一下，e刀客大侠就帮人帮到底吧。”嘟囔也连忙起来为e刀客倒茶。
　　e刀客最听不得软话，只得接过茶，又坐了下来：“由于高端路由器大多作为企业网络的中枢设备，是企业数据路由、对外界进行数据交流的唯一通道，它的好坏直接影响到企业通信的效率，因此选择一款高性价比产品非常重要。对于用户而言，一定要根据实际需要进行选择。”e刀客下面就结合一些产品的实例来讲讲选购时注意的事项。

大唐ISR9110

　　路由器的性能无疑是个重要的因素，它决定了路由器工作的效率，也决定了用户在建网时所考虑的承载数据量和应用。e刀客刚才讲过，目前路由器的路由方式主要有软件方式和硬件转发二种，其中分布式硬件转发方式代表了新一代网络所需要的特性。选择硬件转发路由器将大大改善数据传输的延迟，保证企业核心业务的无阻塞运行。当然，在考虑性能的同时，也要兼顾路由器的硬件冗余性和稳定性。一个完全冗余设计的路由器产品将大大提高设备运行的可靠性，同时，稳定的软件系统也确保了用户的应用。
　　考虑到企业网络建设的连续性、兼容性和目前应用的高速带宽，路由器主要的接口要能同时支持多种接口类型，如各种铜缆和光纤接口的百兆以太网、千兆以太网、ATM 接口以及高速 POS 接口等。大唐电信ISR9110高端路由器就具有多种业务接口类型，它采用模块化设计，接口类型扩展方便。ISR9110支持目前流行的POS和ETHERNET接口，提供快速以太网电接口、千兆以太网单模光接口、千兆以太网多模光接口、POS OC-3单模光接口、POS OC-3等类型的网络接口模块。Alcatel的7770 OBX同样提供了丰富的接口种类，包括POS接口(从OC-3/STM-1至OC-192c/STM-64c，信道化和非信道化)、GE接口（1 Gb/s或者10 Gb/s）。对于POS接口，Alcatel 7770 OBX还可以提供VSR接口，用于短距离内的设备互联。

　 Juniper T系列

　　“选择路由器时还要考虑路由器所支持的开放标准协议。”e刀客娓娓道来。“选择开放的标准协议有什么意义呢？”菜头问道。“开放标准的协议是设备互连的良好前提，所支持的协议也意味着设计上的灵活和高效，比如是否支持完全的组播路由协议、是否支持 MPLS、是否支持冗余路由协议 VRRP。不标准的协议意味着不同设备供应商之间的不兼容，这样不便于用户使用不同设备供应商的产品。从以往的经验看，不标准的协议最后也总将被开放协议所取代。”e刀客耐心地解答。
　　另外，随着网络流量的爆炸性增长，网络规模日益膨胀，对服务质量（QoS，Quality of Service）的要求越来越高。目前各大网络设备厂商新推出的路由器产品都不同程度地支持QoS。Juniper T系列路由器就具有强大的QoS功能，它基于硬件的MPLS，适用于扩展的ATM、帧中继以及IP服务。e刀客总结道：“事实上，QoS不仅是路由器的一个发展趋势，以路由器为核心的整个IP网络都在朝这个方向发展。”
　　路由器上的QoS有以下几种实现方式：高带宽保证、带宽预留实现、接入控制、拥塞控制、区分服务、MPLS提供流量工程等。以上方式各有各的优缺点，有时候可以结合使用。
　　嘟囔很关心高端路由器的价格问题。其实高端路由器市场对价格并不十分敏感，e刀客认为，选用高端路由器的时候，性能因素显得更为突出。当然，选择一款性价比高的产品仍然很重要。
　　Juniper T系列高端路由器无疑在性价比方面做了充分考虑。Juniper T系列平台使网络服务提供商可以无缝地将网络从OC-3/STM-1 ATM和SONET/SDH扩展到密集2.5 Gbps到10 Gbps接口以及随后的T比特级容量。这种无服务中断的扩展能力能为用户提供良好的投资保护以及运营简单性。同时，在所有M系列和T系列平台上可以运行单一的JUNOS软件版本，这将削减对复杂、危险性高、昂贵的软硬件管理的需求。这种跨越所有接口对服务特性进行激活和扩展的能力意味着显著减少硬件需求以及不存在强制性升级。此外，使用T系列平台实现高性能多业务核心还能进一步削减成本，使得在诸如ATM和帧中继等传统技术上的投资可以得到重新利用。
　　“安全、可靠性也是选择路由器的一个重要因素，路由器的安全、可靠实际上就是网络安全、可靠的一半。路由器的可靠性主要体现在接口故障和网络流量增大时所具有的适应能力，安全性则体现在对现代网络存在的各种安全隐患的防护。”说到这里，e刀客看到嘟囔直点头，“这的确太重要了。现在网络黑客和病毒非常流行，前几天我们公司还受到了一次不小规模的攻击呢。”可以放心的是，Juniper T系列平台具有很高的安全性。由于采用大型过滤列表以及10Gbps的速率限制，它能防范DOS攻击。该平台还采用完全模块化的操作系统，能将问题隔离而不至于扩散到整个系统，从而保证了服务的可靠性。
　　e刀客看到菜头在一旁面露难色，“对于象我这样对路由器了解不多的用户来说，是不是很难管理呢?”“你就放心吧，现在各个路由器厂商都很重视路由器产品的网络管理。选择产品时可以从设备厂商所提供的网管系统的监管和配置能力、设备是否可以提供统计信息和深层故障检测的诊断功能等方面考虑。”e刀客给他吃了颗宽心丸。
　　路由器设备的可管理性代表了设备监控、维护和管理的重要特性。在保证质量的情况下最大限度地利用带宽、及早发现并诊断设备故障、迅速方便地根据需要改变配置，这些网络管理功能日益成为选择产品时的重要因素。
　　就拿大唐电信ISR9110来说吧。ISR9110路由器具有强大的软件平台，采用DttOS网络操作系统。DttOS是一个模块化的、可以裁减、可配置和持续发展的软件平台。它支持512K个路由表项，并可扩展至1M个路由表项，能适应网络规模日益扩大的要求。同时，支持广域网PPP协议和各种路由协议之间的信息交换。另外，它还支持TFTP，用户可以远程下载配置文件，方便地升级软件。
　　e刀客补充道：“是否具有流量控制和计费功能也是需要考虑的一点。” 为了保证不同应用的不同等级服务以及统计某一类用户的流量，企业用户需要对用户、网段、应用或接口设置不同的流量保障，对于这种用户，在选择路由器时要考虑到它的服务质量保证体系和流量控制特性，以及路由器是否具备 IP 计费的功能。
　　除了以上几点外，在选择路由器时还要根据企业自己的需要考察设备供应商在路由器设备上所支持的能力问题，比如路由器支持的路由表大小、支持 OSPF 的邻居数量、IP Cache 的数量以及是否可以优化等。由于路由器的处理和性能与产品的体系结构紧密相关，在选择产品时最好对路由器本身的结构深入地了解和比较。
　　听到这里，菜头和嘟囔都安静了，e刀客也终于可以松口气了。不过，嘟囔可没忘记菜头说过要请大家出去玩，在嘟囔的督促下，菜头哪敢赖帐，只好邀请大家一同前往郊区滑雪。
　　三头六臂各显神通
　　业务能力更加丰富
　　去滑雪场的路上，嘟囔拿出她的MP3听起歌来。这不仅是个MP3，它集多种功能于一体，还可以用作收音机和移动存储器。e刀客忍不住说，“就像高端路由器一样，也在走向多功能，能满足丰富的业务应用。”真是三句话不离本行，见菜头、嘟囔的目光都被吸引来，e刀客只好继续说道：“现在的高端路由器业务能力非常丰富，不仅可以同时支持IP路由、ATM交换和MPLS等功能，还可以满足服务提供商在网络边缘和网络核心开展多种业务的需求，可谓三头六臂，各显神通。”
　　与前几年相比，现在的网络并不只是追求网络的连通性，更多的是实施多种业务应用。为了适合每个行业的特殊需求，以往作为连接基本部件的路由器的职能向着安全、交换、光纤网、语音视频的支持等方面发展。

华为NE40在IP光城域网中的典型应用

　　作为华为第五代路由器的代表产品，华为Quidway NetEngine 40 通用交换路由器具有丰富的业务能力。它能提供传统IP VPN、千兆线速NAT、报文过滤、流量采样、端口镜像等各种业务。同时，NE40系列全面支持MPLS VPN业务，实现了完善的L3 MPLS VPN、L2 MPLS VPN、CCC业务能力，能胜任高性能PE应用，并提供安全和多层次的MPLS VPN解决方案。
　　“等等，这MPLS VPN是什么意思？”菜头听得一头雾水。

　　 7770 OBX在网络上的典型应用

　　“VPN(Virtual Private Network)虚拟专用网大家都很熟悉了，就是运营商通过其公网向用户提供的虚拟专有网络。”e刀客回答，“MPLS(Multi-Protocol Label Switching，多协议标记交换) 是一种高效的IP骨干网技术平台，为下一代的IP网络提供了一种灵活的具有可扩展性的骨干网交换技术。使用MPLS技术将大大提高网络的运行效率，实现对IP网上业务的QoS划分，并通过流量工程对网络的资源进行合理分配，实现约束路由。MPLS网络还能够提供高效的VPN业务、实时业务等。相对于传统的VPN技术来说，MPLS VPN可以实现底层标签自动的分配，提供比传统VPN技术更廉价、更快速的业务。同时，MPLS VPN能充分利用MPLS技术的一些先进特性，向客户提供不同质量等级的服务，也更容易实现跨运营商骨干网服务质量的保证。MPLS VPN还可以提供更多元化的业务种类。基于MPLS的VPN可以作为传统的基于二层专线的VPN、纯三层的IP VPN和隧道方式的VPN的替代技术，在现阶段是传统VPN技术的有效补充。”
　　嘟囔听得很细心：“那么L3、L2是指什么？”“具体到MPLS VPN的实现方式，根据运营商边界设备PE是否参与客户的路由，运营商在建立基于IP/MPLS的VPN时有两种选择。第三层的解决方案通常称作Layer3 MPLS VPN，第二层的解决方案通常称作Layer2 MPLS VPN。”
　　“看来这路由器涉及到的知识还真不少。” 菜头有感而发。“基本的网络知识是要具备的，所以菜头你平时也要多关注这方面的发展。”e刀客拍着菜头的肩说道，嘟囔更是不依不饶，“就是，e刀客也不能把所有的细节都一一介绍到，菜头你要多充充电了。”
　　NE40还具有灵活的组网能力，它拥有全套广域网络接口和高密度以太网络接口，支持城域网的环组网技术，能应对各种复杂的组网，满足IP城域网、骨干网、运营支撑网、教育网、政务网、金融网、企业网以及各种行业网的组网需求。e刀客手里正好有一个NE40的组网应用，还是让大家先看看实际的方案吧。
　　通过 NE40在IP光城域网中的典型应用图可以看到，新型城域网和各企业专网可以采用RPR报文环组网方式。其中城域网或企业网内的几个核心节点通过NE80组成核心RPR环，汇聚节点由NE40系列通用交换路由器组成多个边缘RPR环，与核心RPR环相交或相切。核心RPR环实现大粒度流量的调度，其中一个或两个节点兼做城域网或企业网出口。
　　“还有没有别的方案？”菜头显然对实际应用很感兴趣。e刀客向他展示了Alcatel 7770 OBX在网络上的典型应用。7770 OBX能提供基于QoS、DiffServ和MPLS的IP业务，给客户提供更多增值业务的机会。7770 OBX有三种典型的应用：Internet骨干网络、地区级IP骨干网核心及边缘；宽带城域网核心、大型POP点内对等边界；Internet交换中心、IDC等。
　　e刀客继续介绍道：“随着光纤网络的兴起，使网络能更有效地扩展，同时降低了成本，简化了业务设置。但多数传统公共网络设备是为传输话音业务而设的计，并用于优化该业务。这种设备不能方便地扩展，以满足现代数据传输的高速要求。”菜头和嘟囔一同问道：“有什么好的解决办法吗？”
　　 Cisco 7600系列

　　“光联网设备就能解决这种扩展问题。它能无缝、高效地发展到10Gbps接口，实现高速数据传输，使客户流量集中离网络边缘更近，还能简化部署在城域传输网中的设备。不仅如此，它还能放宽对中间信号再生的要求，因而能降低长距离传输的成本和复杂性。”e刀客接着说，“未来，电信服务供应商不仅要利用光技术加速服务的生成和供应，还应该能通过统一的光基础设施提供多种独特的增值服务。”
　　Cisco 7600系列互联网路由器不仅能提供光纤速度广域网和城域网（WAN和MAN）服务，还在网络边缘配备了高级IP服务。作为思科端到端IP＋光产品的重要组成部分，Cisco 7600不仅将帮助电信服务供应商突破服务和带宽的障碍，还为企业提供了高速连接和链路使用的高效性。
　　此外，为了提高网络的延展性和灵活性，越来越多的路由器厂商将路由功能和交换功能结合起来。在交换机产品中加进路由功能，同时强调路由器要能集合带宽并加大业务吞吐量。
　　“对于高端路由器产品，除了原有的功能外，为什么还要强调高速交换能力？”菜头不解。
　　“这种路由器特别适用于业务流量多的大型网络，它使网络传送信息的速度大大提高，并具有很强的兼容能力。”需要指出的是，路由功能和交换功能不是简单的叠加。e刀客觉得朱震的比喻很形象。交换机就像一个人发达的肌肉，它行动速度迅速。而路由器需要处理大量信息和整个网络的情况，速度相对慢一些，类似于人类大脑的角色。
　　以前，交换功能和路由功能基本是分开的。交换机和路由器的主要区别就是根据其所侧重的功能来划分的，前者主要实现良好的转发功能，后者则通过丰富的软件功能来体现对网络的控制特性。目前的发展方向则是交换式路由器和有路由功能的交换机。
　　“那么具有路由功能的交换机和具有交换功能的路由器有什么区别？”菜头和嘟囔几乎同时问道。
　　“它们的本质其实是一样的，就是提供一个强壮的、完整的人，他具有聪明的大脑和强壮的身体。快速的交换（线速转发）和完善的路由融合在一起将是一个重要趋势。”实际上，e刀客已看到了不少具有交换功能的路由器。基于G-MPLS的Alcatel 7770就能支持多种交换方式，包括TDM交换、光波长交换以及光端口交换。对多种交换方式的支持使得G-MPLS可以扩展传统MPLS的基本功能，并在某些场合可以增加一些新的功能。
　　说到这里，目的地也到了。e刀客、菜头和嘟囔高兴地走下车，直奔着滑雪场去了。

Cisco 产品配置＆命令手册

2007-03-09T11:33:00.000+08:00

E1/CE1/T1/PRI/BRI知识介绍和配置

2007-03-08T22:46:00.000+08:00

E1简介：
① 一条E1是2.048M的链路，用PCM编码。
② 一个E1的帧长为256个bit,分为32个时隙，一个时隙为8个bit。
③ 每秒有8k个E1的帧通过接口，即8K*256=2048kbps。
④ 每个时隙在E1帧中占8bit，8*8k=64k，即一条E1中含有32个64K。

E1帧结构：
E1分为有成帧，成复帧与不成帧三种方式，在成帧的E1中第0时隙用于传输帧同步数据，其余31个时隙可以用于传输有效数据；在成复帧的E1中，除了第0时隙外，第16时隙是用于传输信令的，只有第1到15，第17到第31共30个时隙可用于传输有效数据；而在不成帧的E1中，所有32个时隙都可用于传输有效数据。

E1信道的帧结构简述：
在E1信道中，8bit组成一个时隙（TS），由32个时隙组成了一个帧（F），16个帧组成一个复帧（MF）。在一个帧中，TS0 主要用于传送帧定位信号（FAS）、CRC-4（循环冗余校验）和对端告警指示，TS16主要传送随路信令（CAS）、复帧定位信号和复帧对端告警指示，TS1至TS15和TS17至TS31共30个时隙传送话音或数据等信息。我们称TS1至TS15和TS17至TS31为“净荷”，TS0和TS16为“开销”。如果采用带外公共信道信令（CCS），TS16就失去了传送信令的用途，该时隙也可用来传送信息信号，这时帧结构的净荷为TS1至TS31，开销只有TS0了。

由PCM编码介绍E1：
由PCM编码中E1的时隙特征可知，E1共分32个时隙TS0-TS31。每个时隙为64K，其中TS0为被帧同步码，Si、Sa4、Sa5、sa6、Sa7、A比特占用，若系统运用了CRC校验，则Si比特位置改传CRC校验码。TS16为信令时隙，当使用到信令(共路信令或随路信令)时，该时隙用来传输信令，用户不可用来传输数据。所以2M的PCM码型有

① PCM30：PCM30用户可用时隙为30个，TS1-TS15,TS17-TS31。TS16传送信令，无CRC校验。
② PCM31：PCM30用户可用时隙为31个，TS1-TS15,TS16-TS31。TS16不传送信令，无CRC校验。
③ PCM30C：PCM30用户可用时隙为30个，TS1-TS15,TS17-TS31。TS16传送信令，有CRC校验。
④ PCM31C：PCM30用户可用时隙为31个，TS1-TS15,TS16-TS31。TS16不传送信令，有CRC校验。

CE1,就是把2M的传输分成了30个64K的时隙，一般写成N*64，你可以利用其中的几个时隙，也就是只利用n个64K，必须接在ce1/pri上。

CE1----最多可有31个信道承载数据 timeslots 1----31 timeslots 0 传同步。

E1接口：
G．703非平衡的75 ohm，平衡的120 ohm2种接口

使用E1的三种方法：
1.将整个2M用作一条链路，如DDN 2M；
2.将2M用作若干个64k及其组合，如128K，256K等，这就是CE1；
3.在用作语音交换机的数字中继时，这也是E1最本来的用法，是把一条E1作为32个64K来用，但是时隙0和时隙15是用作signaling即信令的，所以一条E1可以传30路话音。PRI就是其中的最常用的一种接入方式，标准叫PRA信令。

用2611等的广域网接口卡，经V.35-G.703转换器接E1线。这样的成本应该比E1卡低的。目前DDN的2M速率线路通常是经HDSL线路拉至用户侧。E1可由传输设备出的光纤拉至用户侧的光端机提供E1服务。

E1的使用注意事项：
E1接口对接时，双方的E1不能有信号丢失/帧失步/复帧失步/滑码告警，但是双方在E1接口参数上必须完全一致，因为个别特性参数的不一致，不会在指示灯或者告警台上有任何告警，但是会造成数据通道的不通/误码/滑码/失步等情况。这些特性参数主要有；阻抗/ 帧结构/CRC4校验，阻有75ohm和120ohm两种，帧结构有PCM31/PCM30/不成帧三种；在新桥节点机中将PCM31和PCM30分别描述为CCS和CAS，对接时要告诉网管人员选择CCS，是否进行CRC校验可以灵活选择，关键要双方一致，这样采可保证物理层的正常。

E1常见问题：

1.E1 与 CE1是由谁控制，电信还是互连的两侧的用户设备？用户侧肯定要求支持他们，电信又是如何分别实现的。
答：首先由电信决定，电信可提供E1和CE1两种线路，但一般用户的E1线路都是CE1，除非你特别要只用E1，然后才由你的设备所决定，CE1可以当E1用，但E1却不可以作CE1。

2.CE1 是32个时隙都可用是吧？
答：CE1的0和16时隙不用,0是传送同步号,16传送控制命令,实际能用的只有30个时隙1-15，16-30

3.E1/CE1/PRI又是如何区分的和通常说的2M的关系。和DDN的2M又如何关联啊？
答：E1 和CE1 都是E1线路标准，PRI是ISDN主干线咱，30B+D，DDN的2M是透明线路你可以他上面跑任何协议。E1和CE1的区别，当然可不可分时隙了。

4.E1/CE1/PRI与信令、时隙的关系
答：E1，CE1，都是32时隙，30时隙，0、16分别传送同步信号和控制信今，PRI采用30B+D ，30B传数据，D信道传送信令， E1都是CAS结构，叫带内信令，PRI信令与数据分开传送，即带外信令。

5.CE1可否接E1
答：CE1 和E1 当然可以互联。但CE1必需当E1用，即不可分时隙使用。

6.为实现利用CE1实现一点对多点互连，此时中心肯定是2M了，各分支速率是N*64K<2m,分支物理上怎么接呢？>
答：在你设备上划分时隙，然到在电信的节点上也划分一样同样的时隙顺序，电信只需要按照你提供的时隙顺序和分支地点，将每个对应的时隙用DDN线路传到对应分支点就行了。

7.CE1端口能否直接连接E1电缆，与对端路由器的E1端口连通
答：不行

8.Cisco 7000系列上的ME1与Cisco 2600/3600上的E1、 CE1有什么区别？
答：Cisco 7000上的ME1可配置为E1、 CE1，而Cisco 2600/3600上的E1、CE1仅支持自己的功能。

9.非平衡与平衡到底有何区别？
答：主要是电气上的区别，平衡是指两条输出端信号全部输出(E1接口)，是120欧姆；非平衡的两条输出端信号只有一条输出，而另一条则接地（同轴电缆），是75欧姆。
非平衡：该电缆在路由器端为DB-15（公）连接器，在网络端是BNC头
平衡：该电缆在路由器端为DB-15（公）连接器，在网络端是RJ-45连接器

Blogger的日志发布到FTP空间

2007-03-06T12:26:00.000+08:00

无题: 『妖精の翼』- BLOG寄生體: 如何把Blogger的日志发布到FTP空间

Cisco路由器的启动顺序

2007-03-01T00:33:00.000+08:00

当路由器启动的时候，执行一系列步骤，称为boot sequence( 启动顺序)，来测试硬件并加载所需的软件。启动顺序包括下列步骤：

１. 路由器执行POST（开机自检）。POST检查硬件以验证设备的所有组件目前是可运行的。POST存储在ROM中并从ROM运行。

２. bootstrap查找并加载Cisco IOS软件。bootstrap是位于ROM中的程序（用boot system命令激活），用于执行程序。boot strap程序负责找到每个IOS程序的位置然后加载该文件。默认情况下，所有Cisco路由器都从闪存中加载IOS软件。如果配置文件中没有boot system命令，路由器会试图用系统Flash存储器中的第一个文件来启动。如果失败，路由器就会试图用TFTP从网络上加载一个缺省文件名的文件。如果还失败，系统就从启动Flash（bootflash:）中加载最小image启动到boot状态，boot状态和rommon状态（用于恢复密码）完全不同。在boot状态可以做很多配置，可以使用copy tftp：等命令。

路由器工作模式：

ROM监控模式：路由器已启动但是没有加载任何IOS，提示符为：>或rommon>

启动模式：启动Flash里含有最小化IOS启动程序，提示符为：router（boot）>

用户执行模式：成功加载启动了一份完整的IOS代码，可以显示系统信息、执行基本的测试等。不能查看配置文件和使用debug命令

特权执行模式：完全访问的第二级模式。可以现实系统设置和状态信息，可以进入配置模式，可以运行debug命令

配置模式：在enable模式中输入config
terminal命令进入配置模式。可以对接口、路由器以及线路配置进行设置

初始配置对话模式：启动时候，如果路由器没有进行配置（可能是因为路由器是新的或配置文件被write
erase命令删除了）的话，进入系统配置对话模式。可以依次进行主机名、执行密码以及enable密码的设置；还可对网络管理接口的IP和子网掩码配置。然后保存到NVRAM中去。

３. IOS软件在NVRAM中查找有效的配置文件。此文件称为startup-config,只有当管理员将running-config文件复制到NVRAM中时才产生该文件。

４. 如果NVRAM中有startup-config文件，路由器将加载并运行此文件。路由器目前时可操作的。如果NVRAM中没有startup-config文件，路由器将启动setup mode(设置模式)来配置上述启动操作。

在高端路由器上，如7500与7200系列：
当把flash卡插入路由器中时，它就转为disk0: ，其中“0”是跟据插槽来决定的，你可以用sh ver来查看如：
62976K bytes of ATA PCMCIA card at slot 0 (Sector size 512 bytes).

Cisco的寄存器：
通过show version命令可以看到路由器配置寄存器的值，缺省情况下为0x2102。这四个数字每一个均有着重要的意义。下面从右向左进行一一的介绍。

第一个２，还原成二进制为００１０，这一部分为boot field,对路由器IOS的启动起着至关重要的作用，当boot field 的值为２－１５中的任何一个时，路由器属于正常启动，当此值为０时，路由器启动后会进入ROMMON模式，此值为１时，路由器进入到RXBOOT模式（２５００路由器的ＦＬＡＳＨ在配置寄存器的值为２１０２时属性为只读，如果要升级ＩＯＳ必须把寄存器的值修改为２１０１）

　　第二个０，还原成二进制为００００，这四位中，起关键作用的是第三位（即整个寄存器里面的BIT 7）,值为０，当路由器启动后会从ＮＶＲＡＭ里面的配置文件调到ＲＡＭ里运行，值为１时，路由器启动后会忽略ＮＶＲＡＭ的配置（这就是我们在进行PASSWORD RECOVERY时把寄存器的值改为２１４２的原因）

　　第三个１，还原成二进值为０００１，我们来关注BIT8，值为０时，路由器在正常运行模式下CTRL + BREAK无效；值为１，路由器在任何运行模式下只要按下CTRL + BREAK均会立即进入ROMMON模式。

　　第四个２，还原成二进制为０１００，其中BIT13,当值为０时，路由器如果进行网络启动会尝试无穷多次。当值为１时，路由器最多进行５次的网络启动尝试。

常用的寄存器的值：

0x2102 ：工业默认值
0x2142 ：从FLASH中启动，但不使用NVRAM中的配置文件（用于口令恢复）
0x2101 ：从Boot RAM中启动，应用于更新系统文件
0x2141 ：从Boot RAM中启动，但不使用NVRAM中的配置文件，其中C位的第三位为1时表示关闭Break键，反之表示打开Break键。
0x141：表示关闭Break键，不使用NVRAM中的配置文件，并且从系统默认的ROM中的系统中启动。
0x0040：表示允许路由器读取NVRAM中的配置文件。

用FTP备份Blogger

2007-02-28T20:56:00.000+08:00

Blogger

恢复Cisco路由器密码的二种方法

2007-02-28T15:01:00.000+08:00

在Cisco路由器忘记或丢失enable密码的情况时，一共有两种方法恢复，取决于你使用的路由器是哪一系列产品。

路由器的密码恢复是将路由器重启、中断再进入ROM监控模式，将设备设置为忽略配置文件，然后再重启，退出初始配置对话模式，配置存储器，然后读出或重新设置密码即可。

第一种方法适用于非精简指令集计算机（RISC）：

使用这种方法可恢复下列路由器：Cisco 2000系列、2500系列、3000系列、使用680x0 Motorola CPU的Cisco 4000系列、运行10.0版本以上Cisco IOS系统的7000系列路由器。

实现步骤：
1.在路由器的console口接上一个终端或用安装仿真终端软件的PC机。

2.输入show version命令，然后记下寄存器值，通常是0x2102 or 0x102。这个值显示在最后一行，注意寄存器的配置是否把Break设为enable或disable。缺省配置寄存器值是0x2102，这个值从左数第三个数字如果是1，则是disable Break；如果为零，则Break为enabled。

3.切断电源后再重启。

4.在路由器启动的60秒内在终端机上按Break键。将显示rommon> 提示符。如果提示符不是这样，则终端没有发出正确的中断信号，检查Break键是否正确或是否被设为disable。

5.在提示符下输入o/r0x42或o/r0x41，o/r0x42意思是从Flash memory引导，o/r0x41意思是从ROMs引导(注意，第一个字符是字母o，不是数字0)。最好用0x42，在Flash memory没有装或erase的情况下，才用0x41，如果有0x41则只能view或erase配置，不能直接更改密码。

6.在rommon>提示符下输入初始化命令。

7.输入系统配置对话提示符敲no,一直等提示信息显示：Press RETURN to get started!

8.敲回车，出现Router>提示符。

9.输入enable命令，出现Router#提示符。

10.选择下面选项中的一项：
如果password没有加密，直接用more nvram:startup-config命令可以看密码；在password加密的情况下，无法看，只能修改，输入命令如下：
　　
　　Router # configure memory
Router(config)# enable secret 1234abcd
　　Router(config)# ctrl-z
　　Router # write memory

注意：

Router # configure terminal
-----不能写此命令，如果写了，NVRAM中的配置就被覆盖了

11.在EXEC提示符输入configure terminal进入配置模式。输入config-register命令，把在第二步中记录的寄存器值复原。
　　
12.敲Ctrl-Z，退出配置状态。
　　
13.在特权模式下用write memory命令保存配置，然后reboot重启。
　　
第二种方法适用精简指令集计算机（RISC）：：
　　
使用这种方法可恢复下列路由器：Cisco 1003、1600系列、3600系列、4500系列、7200系列、7500系列和IDT Orion-Based路由器。

实现步骤：
前四步与上一种方法一样。

5.在rommon>提示符下输入confreg命令，显示如下：

Do you wish to change configuration[y/n]?

输入yes，然后回车。在回答后面的问题时一直选择no，直到出现

ignore system config info[y/n]?

时输入yes。接着继续敲no回答，一直到看到

change boot characteristics[y/n]?

时输入yes。显示如下：

enter to boot:

在这个提示符下可以有2和1两种选择。如果Flash memory is erased选择1，这样只能view or erase配置，不能直接修改password。最好选择2。出现如下提示：

Do you wish to change configuration[y/n]?

回答no，然后回车，显示

rommon>

6.在特权EXEC下输入reload命令。
后面操作同第一种方法。

NSIS error错误的解决办法

2007-02-28T14:54:00.000+08:00

最近下载了软件安装的时候，经常看到这个NSIS error的提示。

The installer you are trying to use is corruptedor incomplete. This could be the result of a dameged disk ，a failed download or a virus. You may want to contact the author of this installed to obtain a new copy. It may be possible to skip this check using the/NCRC command line switch （NOT RECOMMENDED）.

英文意思：运行一个用Nullsoft Scriptable Install System (NSIS)建立的程序常会发生这种错误，起因可能是下载来的文件不完整，或存放该程序的磁盘区坏了，也可能因病毒。无论何种原因，建议你联系程序的作者，重新下载，再安装。或命令行中附加参数 /NCRC 试试安装。(不推荐此法)。

找到了比较具体的解决办法：

Error with Single Installer
Disable any download accelerators and download the installer again.
Update any active anti-virus and download the installer again.
Disable any active anti-virus and download the installer again.
Download the installer from another source. It might be corrupted on the server, or the connection to the server is unreliable.
Download the installer using another computer and copy it to the original computer using a reliable media.

Error with Multiple Installers
Disable any download accelerators and download the installer again.
Disable any firewalls and download the installer again.
If it is installed, uninstall the [url=http://forums.winamp.com/showthread.php?postid=1895971#post1895971]nVidia firewall [/url]and download the installer again.
Scan for, and remove malware
Scan for, and remove viruses
Scan the hard drive using scandisk, chkdsk, or any other hard drive repair tool
Download the installer using another network connection and copy it to the original computer using a reliable media.

Random or Start-up Errors
Scan for, and remove malware

上面一段是针对3种情况（单独的一个安装文件、多个安装文件、随机或者系统系统的时候出现NSIS错误）的说明。对应的中文即：

单独的安装文件：
1.不使用任何加速的下载工具，再下载一次
2.升级你的杀毒软件，再下载一次
3.关掉你的杀毒软件实时监控，再下载一次
4/5.从另一个源（站点）重新下载，或者换一台计算机再重新下载

多个安装文件：
1.不要使用加速软件，再下载一次
2.关闭防火墙再下载一次
3.如果已经安装了，卸载nVidia 防火墙，再下载安装文件
4/5.扫描系统，并且卸载：malware、viruses
6.扫描检查磁盘，看是否有磁盘、文件错误。
7.使用另一个网络连接重新下载或者可靠的介质重新拷贝

随机或者开机时候出现错误：
扫描，并且卸载malware
现在我遇到这种情况的软件都是从“多特”下载的（51CT现在也是用多特的服务器），里面的文件应该都是被它们重新封装过。所以如果你安装的时候出现NSIS错误，建议去“嬴政”“霏凡”重新下载

有些软件安装的时候的确要关闭杀毒软件的实时监控（AAA logo就是）。

NSIS 是“Nullsoft 脚本安装系统”(Nullsoft Scriptable Installation System)的缩写，它是一个免费的 Win32 安装、卸载系统，本来是一个由 Nullsoft 创建并用于作为 Winamp 及其插件发布的系统，但现已被上百个应用程序所应用。当使用到它的程序启动时发生错误，就会弹出该窗口，比如花生壳软件启动时出错错误，就有可能出现上述提示，此时请分析启动了哪些软件，检查并修复该程序，再重启，问题一般就能解决。

显示隐藏文件的方法

2007-02-28T14:51:00.000+08:00

由于病毒的原因，显示隐藏文件不好使，此时可以用下面这种发法解决：

显示隐藏文件的方法

打开“记事本”，复制如下内容：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]

"CheckedValue"=dword:00000001

保存文件名：“显示被隐藏的文件.REG”，（确保在“文件夹选项”中去掉“隐藏已知文件类型的扩展名”），双击运行此文件，再重新到“文件夹选项”中设置显示隐藏文件就可以了！

auto病毒的处理方法

2007-02-28T14:43:00.000+08:00

这有可能是因为你机器中过病毒，杀毒之后的结果。这种病毒在每个驱动器下都有一个卷标AutoRun.inf文件，只要你双击驱动器，就会激活病毒，我们需要手工来删除AutoRun.inf这个文件，在“命令提示符”下输入“attrib autorun.inf -s -h -r”去掉它的“系统”、“只读”、“隐藏”属性，这样输入“del autorun.inf”才可以删除。接着进入注册表查找“COMMAND.EXE”键值项，找到后将整个shell子键删除。

具体方法如下(以D盘为例)：

开始---运行---cmd（打开命令提示符）
D: dir/a （没有参数A是看不到的，A是显示所有的意思）
此时你会发现一个autorun.inf文件，
attrib autorun.inf -s -h -r 去掉autorun.inf文件的系统、只读、隐藏属性，否则无法删除
autorun.inf 、del autorun.inf
到这里还没完，因为你双击了D盘盘符没有打开却得到一个错误。要求定位DESKTOP.exe，
这个时候自动运行的信息已经加入注册表了。下面清除注册表中相关信息：
开始→运行→regedit→编辑→查找→DESKTOP.exe

找到的第一个就是D盘的自动运行，删除整个shell子键就行了。

重复以上操作数次，解决其他驱动器的问题，注册表中的信息是在一起的，在删除D盘
Shell\Open\Autorun的时候顺便都删除了吧。

------------------------------------------------------------------------------------------------

你把以下内容保存到记事本，然后改为 .bat 格式的批处理文件
再双击运行

c:
attrib autorun.inf -s -h -r
del autorun.inf /f/s/q/a
d:
attrib autorun.inf -s -h -r
del autorun.inf /f/s/q/a
e:
attrib autorun.inf -s -h -r
del autorun.inf /f/s/q/a
f:
attrib autorun.inf -s -h -r
del autorun.inf /f/s/q/a

虽然这样做很容易，但这种发法有可能把驱动器中的所有autorun.inf都删除，包括文件夹中的auto文件。

argh.文件夹

2007-02-28T14:38:00.000+08:00

安装矮人DOS5时，会在除C盘外的每个盘,建一个, argh.的目录，这个目录是用来放 gho的备份的，也是一键备份的目录，不对你的系统,或文件有任何的影响，一般是隐藏加系统属性，一般也看不到。如果你删除了这个目录，一键备份，就会出错，因此不建议新手删除这个目录。

如果你已经卸载了矮人DOS的话，如果要删除这些文件夹，可以采用以下方法：
在开始→运行→cmd里打入rd/s x:\argh. (x为欲删除argh.文件夹的盘符）

如果上述方法不行就在开始→运行→cmd里打入rd /s X:\argh..\ (x为欲删除argh.文件夹的盘符)
或者下载unlocker软件也可以将其删除 !

Dynamips CCIE Lab

2007-02-28T11:56:00.000+08:00

Dynamips，这绝对不是一般的Cisco路由器模拟器! Dynamips和Boson Netsim的区别在于：Boson是模拟出IOS的命令行，而Dynamips是模拟出Cisco7200路由器的硬件环境，然后在这个环境中直接运行真实的IOS。

此模拟器有两种版本，一种是Dynagen，另一种是Dynamips，Dynagen是在Dynamips的基础上再次编写而生出来的程序，因为用这个写拓扑比较容易，所以用它的人很多(我以前就用它)，但是，越傻瓜的东西，效率就越低，好比Dynamips身上加了一个壳，要用里面的东西(Dynamips)，还得把壳打开，能不慢才怪呢! 而且用Dynagen不是很稳定，不仅占用内存大、CPU使用率也大，而且还总会出现一些奇怪的故障，我比较建议大家用Dynamips，不会编写.bat的兄弟，可以去官方网站上查阅一下，用几个小时就可以搞定了!

现在Dynamips解决了原先CPU利用率100％的问题，现在大家不用担心CPU占用率一直是100％了! Dynamips几乎可以完成CCNA、CCNP、CCSP、CCIP、CCIE绝大部分的路由试验。

以下是使用事项：

1.连接pc机
双击“xp_获取gen-eth.bat”，抄下主机网卡的参数，例如：

H:\dynamips>dynamips-wxp.exe -e
Cisco 7200 Simulation Platform (version 0.2.6-RC2-x86)
Copyright (c) 2005,2006 Christophe Fillot.

Network device list:

rpcap://\Device\NPF_GenericDialupAdapter : Network adapter 'Genericdialup ad
apter' on local host
rpcap://\Device\NPF_{E1FD1562-A990-46CD-8356-C6C315D5E835} : Network adapter
'TP-LINK 11b/g Wireless Adapter(Microsoft's Packet Scheduler) ' on local host

抄下真实网卡的信息：“NPF_{E1FD1562-A990-46CD-8356-C6C315D5E835}”，替换Router1.bat中的"gen_eth"参数。（此处用记事本编辑）
需要替换的字段如下：

-s2:0:gen_eth:"\Device\NPF_{E1FD1562-A990-46CD-8356-C6C315D5E835}"

替换成你所获得的网卡参数，就可以了

2.解决CPU占用率的问题
随便打开一个.bat文件，如router2.bat，把里面的“--idle-pc=0x627900ac”删了，然后双击启
动router2.bat，在路由器里随便敲点配置，按wr保存，此时在命令行窗口中按"ctrl" +"]"，松
开后按i，可以获取到idle-pc参数，例如：

Please wait while gathering statistics...
Done. Suggested idling PC:
0x604f1484(count=56)
0x604b99e8 (count=22)
0x604eaf94 (count=43)
0x604eb174 (count=36)
0x604eb190 (count=49)
0x604eb200 (count=75)
0x60423b48 (count=59)
0x604ebc58 (count=33)
0x60593c70(count=26)
0x604ebc74 (count=33)
Restart the emulator with"--idle-pc=0x604f1484"(for example)

从上述参数中选择任何一个即可，如果想获得最佳性能，建议一个一个测试（不过，有很多人说
count数值最大的，效果也是最好的，大家不防试试）。记住要改每个.bat文件中的idle，而且，每换ios,idle值也需要重新获得。在这个拓扑中用到两种ios，一个是72，另一个是36，所以idle值要分别获取！

经我测试，模拟器可以连接Vmware虚拟机，如果想做ACS试验的兄弟们，可以用Vmware装一个2000Server，我测试过，可以做此试验。不过机子性能不高的兄弟们可别逞强装Vmware，那样会很慢的。

好了，就先写到这吧，祝大家好好利用这款模拟器，非常好的东东呀~

因为不会上传rar压缩文档，所以只是把拓扑图发了上来，模拟器大家只能上网上找去了
我在工大也发表过此帖，如果大家想下载模拟器的话，可以去看看我之前发过的帖子！

Device	Type	Transmit (dBm)		Receive (dBm)
		Max	Min	Max	Min
WS-G5486	1000BASE-LX/LH	-3	-9.5	-3	-19
WS-G5487	1000BASE-ZX	5	0	-3	-23*