BRAS跨板未配置nas logic-port导致端口故障案例

BRAS跨板trunk未配置nas logic-port导致端口下

部分用户偶尔在radius上吊死故障案例

一．问题描述：

由于某局点原上行带宽为1*GE，由于业务增长较块，又新增一条GE链路，并进行了链路聚合，但聚合后端口下部分用户偶尔会出现在radius上挂死的情况，而在其他端口未发现异常。二．网络拓扑：

三．原因分析：

怀疑是ME60没有发送用户计费停止报文，或者发送了radius没有回应，通过trace 该trunk端口下的用户进行分析：Radius Sent a Packet-----ME60给radius发送了计费停止报文

Server Template: 1

Server IP : 123.129.193.62

Vpn-Instance: -

NAS Port : 1813

Protocol: Standard

Code : Account request

Len : 491

ID : 22

[User-Name(1) ] [14] [063200309044]

[Acct-Status-Type(40) ] [6 ] [2] --------type为2的报文表示计费停止报文radius在收到计费停止报文20毫秒后给予响应

Aug 11 2013 15:14:26.450 SDZZ-TZ51-ME60-BS2 BTRC_DebugInfo:

[objectID=5][slotID=0][RADIUS] [user info:

USERNAME : 063200309044@e]

[trace info:

Radius Received a Packet

Server Template: 1

Server IP : 123.129.193.62

Vpn-Instance: -

Server Port : 1646

NAS Port : 1813

Protocol: Standard

Code : Account resp----radius给了回应

Len : 20

ID : 22

从trace信息来看，整个用户下线流程已经顺利完成了，不应该出现用户挂死的情况。仔细查看trace信息，发现用户下线时和再次上线时的NAS-Port-Id不同，如下：

下线的时候：

[NAS-Port-Id(87) ] [50]

[slot=2;subslot=2;port=8;vlanid=3694;vlanid2=564;]

上线的时候：

[NAS-Port-Id(87) ] [50]

[slot=1;subslot=2;port=8;vlanid=3694;vlanid2=564

经检查trunk8物理端口下配置发现没有配置nas logic-port 四．处理过程：

nas logic-port eth-Trunk 1/0/8后正常，由于radius没有绑定NAS-Port-Id，便配置一个，保证用户上下线时所带的NAS-Port-Id 相同即可。

五．建议与总结：

1、加强与客户的沟通，尽快确定用户范围和故障现象及其共性

2、遇到特殊故障，无法确定用户范围的，我们可以trace某个子

接口下的所有用户进行定位(注：务必保证trace的子接口流量较小且用户数量不多，不然可能导致CPU过高，影响现网业务)

3、跨板trunk的时候一定要配置NAS-Port-Id，如果不配置会导

致用户在radius上挂死

4、要善于通过trace信息来定位故障原因

实验四 交换机端口安全技术

交换机端口安全技术 24.1 实验内容与目标 完成本实验，应该能够达到以下目标。 ● 掌握802.1x 的基本配置 ● 掌握端口隔离基本配置 ● 掌握端口绑定技术基本配置 24.2 实验组网图 本实验按照实验图24-1进行组网。 PCA PCB SWA 实验图24-1 实验组网图 24.3 实验设备与版本 本实验所需之主要设备器材如实验表24-1所示。 实验表 24-1 实验设备器材 24.4 实验过程 实验任务一 配置802.1x 本实验通过在交换机上配置802.1x 协议，使接入交换机的PC 经

过认证后才能访问网络资源。通过本实验，掌握802.1x认证的基本 原理和802.1x本地认证的基本配置。 步骤一：建立物理连接并初始化交换机配置。 按实验组网图进行物理连接，并检查设备的软件版本及配置信息，确保各设备软件版本符合要求，所有配置为初始状态。如果配置不符合要求，在用户视图下擦除设备中的配置文件，然后重启设备以使系统采用默认的配置参数进行初始化。 步骤二：检查互通性。 分别配置PCA、PCB的IP地址为172.16.0.1/24、172.16.0.2/24。配置完成后，在PCA上用ping命令来测试到PCB的互通性，其结果是。 步骤三：配置802.1x协议。 实现在交换机SWA上启动802.1x协议，过程如下： 首先需要分别在和开启802.1x认证功能，在 下面的空格中补充完整的命令。 [SWA] [SWA]dot1x 其次在SWA上创建本地802.1x用户，用户名为abcde，密码为 明文格式的12345，该用户的服务类型server-type是，在如下的空格中完成该本地用户的配置命令。 步骤四：802.1x验证。 配置完成后，再次在PCA上用ping命令来测试到PCB的互通性，其结果是。 导致如上结果的原因是交换机上开启了802.1x认证，需要在客 户端配置802.1x认证相关属性。 PC可以使用802.1x客户端软件或Windows系统自带客户端接入交换机，本实验以Windows系统自带客户端为例说明如何进行设置。 在Windows操作系统的“控制面板”窗口中双击“网络和Internet 连接”图标，在弹出的窗口中双击“网络连接”图标，在弹出的窗口中右击“本地连接”图标，执行“属性”命令，如实验图24-2所示。 再选择“验证”选项卡，并选中“启用此网络的IEEE802.1x验证”复选框，如实验图24-3所示，然后单击“确定”按钮，保存退

第八章实验讲义-- 交换机基本配置端口安全与STP

第12章交换机基本配置 交换机是局域网中最重要的设备，交换机是基于MAC来进行工作的。和路由器类似，交换机也有IOS，IOS的基本使用方法是一样的。本章将简单介绍交换的一些基本配置。关于VLAN和Trunk等将在后面章节介绍。 12.1 交换机简介 交换机是第2层的设备，可以隔离冲突域。交换机是基于收到的数据帧中的源MAC地址和目的MAC地址来进行工作的。交换机的作用主要有两个：一个是维护CAM（Conetxt Address Memory）表，该表是计算机的MAC地址和交换端口的映射表；另一个是根据CAM 来进行数据帧的转发。交换对帧的处理有3种：交换机收到帧后，查询CAM表，如果能查询到目的计算机所在的端口，并且目的计算机所在的端口不是交换接收帧的源端口，交换机将把帧从这一端口转发出去（Forward）；如果该计算机所在的端口和交换机接收帧的源端口是同一端口，交换机将过滤掉该帧（Filter）；如果交换机不能查询到目的计算机所在的端口，交换机将把帧从源端口以外的其他所有端口上发送出去，这称为泛洪（Flood），当交换机接收到的帧是广播帧或多播帧，交换机也会泛洪帧。 12.2 实验0：交换机基本配置 1.实验目的: 通过本实验，可以掌握交换机的基本配置这项技能。 2.实验拓扑 实验拓扑图如图12-2所示。 图12-2 实验1拓扑图 3.实验步骤 （1）步骤1：通过PC0以Console方式登录交换机Switch0. 注意配置PC0上的终端. 登录成功后, 通过PC0配置交换机Switch0的主机名 Switch>enable Switch#conf terminal

交换机常见的故障类型及分析排查

交换机常见的故障类型及分析排查交换机运行中出现故障是不可避免的，但出现故障后应当迅速地进行处理，尽快查出故障点，排除故障，这是网管人员应尽的职责。但是要做到这一点，就必须了解交换机故障的类型及具备对故障进行分析和处理的能力。为此，本文就交换机常出现的故障类型及分析排查的方法进行简要的介绍。 电源故障 由于外部供电不稳定，电源线路老化或者雷击等原因导致电源损坏或者风扇停转，以致不能正常工作。或者由于电源缘故导致机内其他部件的损坏都会使交换机出现问题。 假如交换机面板上的POWER指示灯是绿色的，就表示是正常的;假如该指示灯灭了，则说明交换机没有正常供电。这类问题很轻易发现，也很轻易解决，同时也是最轻易预防的。 针对这类故障，首先应该做好外部电源的供给工作，一般通过引入独立的电力线来提供独立的电源，并添加稳压器来避免瞬间高压或低压现象。假如条件答应，可以添加UPS(不间断电源)来保证交换机的正常供电，有的UPS提供稳压功能，而有的没有，选择时要注重。在机房内设置专业的避雷措施，来避免雷电对交换机的伤害。现在有很多做避雷工程的专业公司，实施网络布线时可以考虑。

端口故障 这是最常见的硬件故障，无论是光纤端口还是双绞线的RJ-45端口，在插拔接头时一定要小心。假如不小心把光纤插头弄脏，可能导致光纤端口污染而不能正常通信。我们经常看到很多人喜欢带电插拔接头，理论上讲是可以的，但是这样也无意中增加了端口的故障发生率。在搬运时不小心，也可能导致端口物理损坏。假如购买的水晶头尺寸偏大，插入交换机时，也轻易破坏端口。此外，假如接在端口上的双绞线有一段暴露在室外，万一这根电缆被雷电击中，就会导致所连交换机端口被击坏，或者造成更加不可预料的损伤。 一般情况下，端口故障是某一个或者几个端口损坏。所以，在排除了端口所连计算机的故障后，可以通过更换所连端口，来判定其是否损坏。碰到此类故障，可以在电源关闭后，用酒精棉球清洗端口。假如端口确实被损坏，那就只能更换端口了。 模块故障 交换机是由很多模块组成，比如：堆叠模块、治理模块(也叫控制模块)、扩展模块等。这些模块发生故障的几率很小，不过一旦出现问题，就会遭受巨大的经济损失。假如插拔模块时不小心，或者搬运交换机时受到碰撞，或者电源不稳定等情况，都可能导致此类故障的发生。 当然上面提到的这3个模块都有外部接口，比较轻易辨认，有的还可以通过模块上的指示灯来辨别故障。比如：堆叠模块上有一个扁平的

几种典型交换机常见的故障以及解决办法

几种典型交换机常见的故障以及解决办法 计算机中有很多的部件都是随着计算机的运行时刻在工作，交换机、路由器这样的网络设备，在没有断电的情况下也时刻处于工作状态，无论一台交换机的性能有多好，时间工作长，难免不会出现故障，尽管交换机的故障多种多样，而且经常出现的也就这么几种。下面为大家归纳了交换机的几类典型的故障及其解决方法。 1.端口故障 故障现象：整个网络的运作正常，但个别的机器不能正常通信。 故障原因：这是交换机故障中最常见的，如果光纤插头或RJ-45端口脏了，可能导致端口污染而不能正常通信。还有，平常很多人都喜欢带电插拔接头，在理论上说似乎并没有不妥，但实际上经常这样的话就无意中增加了端口的故障发生率;在搬运时的不小心，也可能导致端口物理损坏;购买的水晶头尺寸偏大，插入交换机时，也很容易破坏端口。此外，如果接在端口上的双绞线有一段暴露在室外，万一这根电缆被雷电击中，就会导致所连交换机端口被击坏。 解决方法：一般情况下，端口故障是个别的端口损坏，先检查出现问题的计算机，在排除了端口所连计算机的故障后，可以通过更换所连端口，来判断其是否端口问题，若更换端口后问题能解决的话，再进一步判断是端口的何种缘故。关闭电源后，用酒精棉球清洗端口，如果端口确实被损坏，那就只能更换端口了。此外，无论是光纤端口还是双绞线的RJ-45端口，在插拔接头时一定要小心，建议插拔时最好不要带电操作。 2.电路板故障 故障现象：有一个电脑室经常出现一部分电脑不能访问服务器的现象。 故障原因：交换机一般是由主电路板和供电电路板组成，造成这种故障一般都是这两个部分出现了问题。而造成电路板不能正常工作的主要因素有：电路板上的元器件受损或基板不良，硬件工注不合适和硬件更新后以及由于兼容问题而造成的电路板块类型不合适等。 解决方法：首先确定究竟是主电路板还是供电电路板出现问题，先从电源部分开始检查，用万能表在去掉主电路板负载的情况下通电测量，看测量出的指标是否正常，若不正常，则换用一个AT电源，输入电源到主电路板，交换机前面板的指示灯恢复正常的亮度和颜色，而所连接这台交换机的电脑正常互访，就说明是供电电路板出现了问题。若以上操作无效的话，问题就应该是出现在主电路板上了。 3.电源故障 故障现象：开启交换机后，交换机没有正常运作，而且发现面板上的POWER指示灯并没有亮，而且风扇也不转动。 故障原因：这种故障通常是由于外部供电环境的不稳定，或者是电源线路老化，又或者是由于遭受雷击等而导致电源损坏或者风扇停止，从而导致交换机不能正常工作。还有可能是由于电源缘故而导致交换机机内的其他部件坏的损坏。 解决方法：这类问题很容易发现也很容易解决，当发生这种故障时，首先检查电源系统，看看供电插座有没有电流，电压是否正常。要是供电正常的话，那就要检查电源线是否有所损坏，有没有松动等，若电源线损坏的话就更换一条，松动了的话就重新插好。 如果问题还没有解决，那问题就应该落在交换机的电源或者是机内的其他部件损坏了。预防方法也比较简单，首先要做的就是保证外部供电环境的稳定，这可以通过引入独立的电力线来提供独立的电源，并添加稳压器来避免瞬间高压或低压象。可能的话，建议最好配置UPS系统。还有的就是采取必要的避雷措施，以防雷电对交换机造成的损害。 连接电缆和配线架跳线、配置不当、系统数据的问题也时有发生，此外，局数据错误也会对整个交换局造成影响，而用户数据被错误设置，则会对某个用户产生影响，还有的就是

交换机的端口配置与管理.pdf

实验2　交换机的端口配置与管理 实验目标 掌握交换机基本信息的配置管理。 实验背景 某公司新进一批交换机，在投入网络以后要进行初始配置与 管理，你作为网络管理员，对交换机进行端口的配置与管 理。 技术原理 交换机的管理方式基本分为两种：带内管理和带外管理。 通过交换机的Console端口管理交换机属于带外管理；这 种管理方式不占用交换机的网络端口，第一次配置交换机 必须利用Console端口进行配置。 交换机的命令行操作模式主要包括： 用户模式 Switch> 特权模式 Switch# 全局配置模式 Switch(config)# 端口模式 Switch(config-if)# 实验步骤： 新建Packet Tracer拓扑图 了解交换机端口配置命令行 修改交换机名称(hostname X) 配置交换机端口参数(speed,duplex) 查看交换机版本信息(show version) 查看当前生效的配置信息(show running-config) 查看保存在NVRAM中的启动配置信息(show startup- config) 查看端口信息 Switch#show interface 查看交换机的MAC地址表Switch#show mac-address-table 选择某个端口Switch(config)# interface type mod/port (type 表示端口类型，通常有ethernet、Fastethernet、 Gigabitethernet)（mod表示端口所在的模块，port表示在该 模块中的编号）例如interface fastethernet0/1 选择多个端口Switch(config)#interface type mod/startport- endport

交换机的端口安全配置

【实验文档】【实验0021】【交换机的端口安全配置】 【实验名称】 交换机的端口安全配置。 【实验目的】 掌握交换机的端口安全功能，控制用户的安全接入。 【背景描述】 你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP 地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G 上边。 【技术原理】 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。 限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。 交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。 配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： ? protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 ? restrict 当违例产生时，将发送一个Trap通知。 ? shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。 【实现功能】 针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。【实验设备】 S2126G交换机（1台），PC（1台）、直连网线（1条）

cisico 二层交换机端口错包排查方法

CISCO二层交换机端口错包排查方法，以C2950为例进行说明 ①交换机端口原来配置 2950#sh ru int fa0/3 interface FastEthernet0/3 description test switchport access vlan 100 no ip address duplex full speed 100 end ②交换机端口原来数据包统计, 2950#sh int fa0/3 FastEthernet0/3 is up, line protocol is up (connected) Hardware is Fast Ethernet, address is 000d.bd98.1c43 (bia 000d.bd98.1c43) Description: test MTU 1500 bytes, BW 100000 Kbit, DLY 1000 usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation ARPA, loopback not set Keepalive set (10 sec) Full-duplex, 100Mb/s input flow-control is off, output flow-control is off ARP type: ARPA, ARP Timeout 04:00:00 Last input never, output 00:00:01, output hang never Last clearing of "show interface" counters 21w6d Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0 Queueing strategy: fifo Output queue :0/40 (size/max) 5 minute input rate 0 bits/sec, 0 packets/sec 5 minute ouxtput rate 0 bits/sec, 0 packets/sec 330574221 packets input, 78353246 bytes, 0 no buffer Received 372 broadcasts, 0 runts, 0 giants, 0 throttles 3540 input errors, 3540 CRC, 0 frame, 0 overrun, 0 ignored 0 watchdog, 0 multicast, 0 pause input 0 input packets with dribble condition detected 307917156 packets output, 176359999 bytes, 0 underruns 0 output errors, 0 collisions, 0 interface resets 0 babbles, 0 late collision, 0 deferred 0 lost carrier, 0 no carrier, 0 PAUSE output

交换机常见故障和排障方法

交换机常见故障和排障方法 交换机的优越性能和价钱的大幅度降落，促使了交换机的迅速普及。网络管理员在工作中经常会遇到各种各样的交换机故障，如何迅速、正确地查出故障并消除故障呢？本文就常见的故障类型和排障步骤做一个简略的介绍。由于交换机在公司网络中利用范畴非常普遍，从低端到中端，从中端到高端，几乎涉及每个级别的产品，所以交换机产生故障的机率比路由器，硬件防火墙等要高很多，这也是为什么我们首先讨论交换机故障的分类与消除故障步骤的原因。 一，交换机故障分类： 交换机故障一般可以分为硬件故障和软件故障两大类。硬件故障重要指交换机电源、背板、模块、端口等部件的故障，可以分为以下几类。 （1）电源故障： 由于外部供电不稳定，或者电源线路老化或者雷击等原因导致电源毁坏或者风扇停滞，从而不能正常工作。由于电源缘故而导致机内其他部件毁坏的事情也经常产生。 如果面板上的POWER指点灯是绿色的，就表示是正常的；如果该指点灯灭了，则解释交换机没有正常供电。这类问题很容易发现，也很容易解决，同时也是最容易预防的。 针对这类故障，首先应该做好外部电源的供应工作，一般通过引入独立的电力线来供应独立的电源，并添加稳压器来避免瞬间高压或低压现象。如果条件允许，可以添加UPS（不间断电源）来保证交换机的正常供电，有的UPS供应稳压功效，而有的没有，选择时要注意。在机房内设置专业的避雷方法，来避免雷电对交换机的伤害。现在有很多做避雷工程的专业公司，履行网络布线时可以斟酌。 （2）端口故障： 这是最常见的硬件故障，无论是光纤端口还是双绞线的RJ-45端口，在插拔接头时必定要当心。如果不当心把光纤插头弄脏，可能导致光纤端口污染而不能正常通讯。我们经常看到很多人喜欢带电插拔接头，理论上讲是可以的，但是这样也无意中增加了端口的故障产生率。在搬运时不当心，也可能导致端口物理毁坏。如果购置的水晶头尺寸偏大，插入交换机时，也容易毁坏端口。此外，如果接在端口上的双绞线有一段暴露在室外，万一这根电缆被雷电击中，就会导致所连交换机端口被击坏，或者造成更加不可预见的损伤。 一般情况下，端口故障是某一个或者几个端口毁坏。所以，在消除了端口所连计算机的故障后，可以通过更换所连端口，来断定其是否毁坏。遇到此类故障，

交换机端口安全功能配置

---------------------------------------------------------------最新资料推荐------------------------------------------------------ 交换机端口安全功能配置 4 《交换与路由技术》实验报告书班级： 姓名： 学号： 课程名称交换与路由技术实验项目实验九交换机端口安全实验项目类型课程名称交换与路由技术实验项目实验九交换机端口安全实验项目类型验证演示综合设计其他验证演示综合设计其他指导教师成绩指导教师成绩一、实验目的了解交换机端口在网络安全中的重要作用，掌握交换机端口安全功能配置方法，具体包括以下几个方面。 （1）认识交换机端口安全功能用途。 （2）掌握交换机端口安全功能配置方法。 二、实验设备及环境针对这一工作任务，公司网络接入交换机的所有端口配置最大连接数为 1，并对公司每台主机连接的交换机端口进行 IP+MAC 地址绑定，模拟网络拓扑结构图如图 11.1 所示。 假设 PC1 的 IP 地址为 192.168.0.10/24， PC2 的 IP 地址为192.168.0.20/24， PC3 的 IP 地址为 192.168.0.30/24. 4 三、实验步骤第 1 步： 配置交换机端口的最大连接数限制。 进行一组端口 Fa 0/1-23 配置模式。 开启交换机端口安全功能。 1 / 3

配置端口的最大连接数为 1。 配置安全违例的处理方式为shutdown，即当违例产生时，关闭端口并发送一个Trap通知。 除此之外，还有两种违例处理方式： protect 方式，即当安全地址个数满后，安全端口将丢弃求知名地址的包；restrict 方式，即当违例产生时，将发送一个Trap 通知。 查看交换机的端口安全配置。 第 2 步： 配置交换机端口的地址绑定。 在 PC1 上打开 cmd 命令提示符窗口，执行 Ipconfig/all 命令，记录下 PC1 的 IP地址及 MAC 地址。 配置交换机端口的地址绑定。 查看地址安全绑定配置。 第 3 步： 验证交换机端口安全功能的效果。 在 PC1 连接交换机端口 Fa 0/1， PC2 连接交换机端口 Fa 0/2，PC3 连接交换机端口 Fa 0/10 情况下，执行下列操作。 4 在 PC1 的命令提示符下输入 C:bping 192.168.0.300 在PC2 的命令提示符下输入C:bping 192.168.0.300 在 PC1 连接交换机端口 Fa 0/2; PC2 连接交换机端口 Fa 0/1， PO 连接交换机端口Fa 0/10 情况下，执行下列操作。

总结交换机常见故障的分类和排障步骤

总结交换机常见故障的一般分类和排障步骤 交换机的优越性能和价格的大幅度下降，促使了交换机的迅速普及。 网络管理员在工作中经常会遇到各种各样的交换机故障，如何迅速、准确地查出故障并排除故障呢?本文就常见的故障类型和排障步骤做一个简单的介绍。由于交换机在公司网络中应用范围非常广泛，从低端到中端，从中端到高端，几乎涉及每个级别的产品，所以交换机发生故障的机率比路由器，硬件防火墙等要高很多，这也是为什么我们首先讨论交换机故障的分类与排除故障步骤的原因。 一，交换机故障分类: 交换机故障一般可以分为硬件故障和软件故障两大类。硬件故障主要指交换机电源、背板、模块、端口等部件的故障，可以分为以下几类。 (1)电源故障: 由于外部供电不稳定，或者电源线路老化或者雷击等原因导致电源损坏或者风扇停止，从而不能正常工作。由于电源缘故而导致机内其他部件损坏的事情也经常发生。 如果面板上的POWER指示灯是绿色的，就表示是正常的;如果该指示灯灭了，则说明交换机没有正常供电。这类问题很容易发现，也很容易解决，同时也是最容易预防的。 针对这类故障，首先应该做好外部电源的供应工作，一般通过引入独立的电力线来提供独立的电源，并添加稳压器来避免瞬间高压或低压现象。如果条件允许，可以添加UPS(不间断电源)来保证交换机的正常供电，有的UPS提供稳压功能，而有的没有，选择时要注意。在机房内设置专业的避雷措施，来避免雷电对交换机的伤害。现在有很多做避雷工程的专业公司，实施网络布线时可以考虑。 (2)端口故障: 这是最常见的硬件故障，无论是光纤端口还是双绞线的RJ-45端口，在插拔接头时一定要小心。如果不小心把光纤插头弄脏，可能导致光纤端口污染而不能正常通信。我们经常看到很多人喜欢带电插拔接头，理论上讲是可以的，但是这样也无意中增加了端口的故障发生率。在搬运时不小心，也可能导致端口物理损坏。如果购买的水晶头尺寸偏大，插入交换机时，也容易破坏端口。此外，如果接在端口上的双绞线有一段暴露在室外，万一这根电缆被雷电击中，就会导致所连交换机端口被击坏，或者造成更加不可预料的损伤。

交换机一般故障到特殊故障的排除

网络设备的范围很广，从交换机路由器到打印机服务器都属于网络设备的范畴，这些设备是网管员经常打交道的对象，之所以会经常和它们打交道，除了一般的工作需要外，最多的就是排除这些家伙的故障了。 网络设备故障通常有两种表现形式，软故障和硬故障，所谓软故障就是指因为误操作，错误配置，病毒等引起的网络设备的故障，这类故障通常能够通过更改设置，重新安装软件来排除，而硬故障是指网络设备本身的硬件系统发生了故障，这类故障一般智能通过更换硬件设备来解决，不过，网管员日常生活中所遇到的故障大部分是软故障，因此，本章主要涉及网络设备软故障的解决。 交换机故障 交换机，英文名称为“SWITCH”。大家肯定听说过“程控交换机”这个名词吧？“程控交换机”是指电话通讯系统中使用的线路交换机。计算机网络上使用的交换机就是从电话交换机的技术上发展而来的。一般意义上的交换机是指工作在OSI模型中第二层即数据链路层上的第二层交换机。从外观上来看，它与集线器（HUB）基本上没有太大区别，都是带有多个端口的长方形盒状体，而且都遵循IEEE802.3及其扩展标准，介质存取方式也均为CSMA／CD，但是它们在工作原理上还是有着根本的区别。 交换机的内部有一条带宽很高的背板总线和内部交换矩阵，交换机前面的所有端口都连接在背板总线之上。在交换机中还有一个重要的组成部分，那就是内存。在这个内存中保存着一张MAC地址对照表，它记录着MAC地址和端口的对应关系。如下图所示： 当交换机接收到一个数据时，首先取出数据包中的目标MAC地址，根据内存中所保存的MAC地址表来判断该数据包应该发送到哪个端口，然后就把数据包直接发送到目标端口。如果没有在MAC地址表中找到目标端口，则发送一个广播包至所有端口，来查找目标端口。只要目标端口所连接的计算机响应，则交换机就“记住”这个端口和MAC地址的对应关系，因为交换机具有学习功能。当下一次接收到一个拥有相同的目标MAC地址的数据时，这个数据会立即被转发到相应的端口上，而不用再发广播包。这样就使得数据传输效率大大提高，且不易出现广播风暴，也不会有被其它节点侦听的安全问题。而集线器不具有这个地址表，所以HUB接收到一个数据后，便将该数据发送到所有端口上，所以容易引起广播风暴，且易被其他节点侦听。

cisco交换机的端口安全配置

【官方提供】【实验文档】【实验0021】【交换机的端口安全配置】 【实验名称】 交换机的端口安全配置。 【实验目的】 掌握交换机的端口安全功能，控制用户的安全接入。 【背景描述】 你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP 地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G 上边。 【技术原理】 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。 限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。 交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。 配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： ? protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 ? restrict 当违例产生时，将发送一个Trap通知。 ? shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。 【实现功能】 针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。【实验设备】 S2126G交换机（1台），PC（1台）、直连网线（1条）

思科交换机安全配置(包括AAA、端口安全、ARP安全、DHCP侦听、日志审计流量限制)

网络拓扑图如下： 根据图示连接设备。 在本次试验中，具体端口情况如上图数字标出。核心交换机（core ）设置为s1或者SW1，汇聚层交换机（access）设置为s2或者SW2。 IP 地址分配： Router：e0：：f0/1: 接口：Core vlan10: Vlan20: Vlan30: Access vlan10: Vlan20: Vlan30: 服务器IP地址：区域网段地址： PC1：PC2：路由器清空配置命令： en erase startup-config Reload 交换机清空配置命令： en erase startup-config

delete Reload 加速命令： en conf t no ip domain lookup line con 0 exec-timeout 0 0 logging syn hostname 一、OFFICE 区域地址静态分配，防止OFFICE 网络发生ARP 攻击，不允许OFFICE 网段PC 互访；STUDENTS 区域主机输入正确的学号和密码后接入网络，自动获取地址，阻止STUDENTS网段地址发生ARP攻击； 1、基本配置 SW1的配置： SW1(config)#vtp domain cisco 然后在pc上进入接口，设置为DHCP获取地址,命令如下： int f0/1 ip add dhcp 查看结果：

5、Student区域ARP防护： SW2配置如下： ip dhcp snooping //开启DHCP侦听 ip dhcp snooping vlan 20 int range f0/1,f0/2 ip dhcp snooping limit rate 5 //限制DHCP请求包数量，此处为5 ip verify source port-security exit int port-channel 10 ip dhcp snooping trust //设置信任端口 然后修改pc1的mac地址，就可以发现端口down状态，修改mac地址命令如下： pc1(config)#int e0/0 pc1(config-if)#mac-address 、AAA认证： 服务器地址为：vlan 30 //创建vlan 30的原因：在sw1、sw2中配置svi口，服务器的地址为，使他们位于同一个网段。这样pc机发出的认证数据包就会被发往服务器 s1(config-if)#ip add f0/5 s1(config-if)#switchport mode access s1(config-if)#switchport access vlan 30 s2(config)#int vlan 30 s2(config-if)#ip add new-model //AAA配置位于接入层交换机，所以核心交换机sw1连接服务器的接口不需要配置IP地址 s2(config)#aaa authentication login vtylogin group radius s2(config)#radius-server host auth-port 1812 acct

交换机端口错误包类型

错误报分类： 1）input errors： 各种输入错误的总数，显示范围是20bit。 （2）runts： 表示接收到的超小帧个数。超小帧即接收到的报文小于64字节，且包括有效的CRC字段，报文格式正确。（3）giants： 表示接收到的超长帧个数。超长帧即接收到的有效报文字节长度大于1518（如果是带tag报文，大于1522），且小于设备能接收的超长帧最大值（1536）。 （4）CRC： 表示接收到的CRC校验错误报文个数，即接收到的报文在64～1518（带tag报文是1522）字节范围内，且字节是整数，而CRC校验错误。 （5）frame： 也是CRC校验出错报文个数，报文字节不是整数，其他同上。 （6）aborts： 表示接收到的非法报文总数，包括：○1报文碎片：小于64字节，且CRC校验错误（报文字节是整数或非整数）。○2jabber帧：大于1518（tag报文是1522）字节，且CRC校验错误（报文字节是整数或非整数）。○3符号错误帧：报文中至少包含1各错误的符号，其他部分合法。○4携带错误帧：在空闲阶段发现的错误携带帧。○5操作码未知帧：报文是MAC控制帧，但不是Pause帧。○6长度错误帧：报文中802.3长度字段与报文实际长度（46～1500字节）不匹配，但不包括802.3长度字段无效（如Ether Type）的报文。 （7）ignored： 表示在端口接收报文时因各种原因丢弃的报文总数。 4. 输出错误统计值详解 （1）output errors：

各种输出错误的总数，显示范围是20bit。 （2）aborts： 表示发送失败的报文总数，指已经开始发送，但由于各种原因（如冲突）而导致发送失败的报文。该项统计包括各类发送失败的报文，无论是二层或是三层转发。 （3）deferred： 表示延迟报文的总数。报文延迟是指因延迟过长的周期而导致发送失败的报文，而这些报文由于发送媒质繁忙而等待了超过2倍的最大报文发送时间。 （4）collisions： 表示冲突帧总数，即在发送过程中发生冲突的报文。冲突是指DO和RD信号同时出现，即发送和接收同时发生。（5）late collisions： 表示延迟冲突帧，即发送过程中发生延迟冲突超过512bit时间的帧。 （6）lost carrier： 表示在空闲阶段发现的错误携带帧的总数。

交换机端口故障处理思路

交换机端口故障处理思路 交换机端口出现故障，究其原因是因为交换机自身的性能发生老化， 这就意味着故障交换机的确出现了硬件性能下降的现象，因此会出现上网数据丢包严重的现象。总结这次工作，自己的一点心得就是要细心，在平时的工作中多积累，多总结，下次再出现此类问题就可以迅速的找到问题的所在点，并快速解决问题! 解决网络不通数据只有发送不接收 网络的畅通是表现在既有发送包，也有接收包，只有来去都畅通才正常。但是如果只有发送，却没有接收，碰到这样的故障到底又是怎么回事呢?在笔者短暂的两年网管生涯中，出现了几次这样的故障，但 他们发生的原因又各有不同。今天笔者就把一些解决方法奉献给大家。 一般来说，出现这种故障的时候，网络连接都是都是好的，即不会出现红色的叉子图标。但这又只是一种表现的正常，因此我们入手的时候必须先从自身入手。 从自身入手的第一点就是检查出现该故障前有没有安装过什么软件，有没有改过什么设置，尤其是杀毒软件、防火墙这一类的软件，因为设置不当就可能出现机器只发送不接收数据包的情况。接下来可以使用Ping 127.0.0.1 对本地网卡的工作状态进行一个基础的判断，如果能够ping 通则证明网卡是正常的。 为了保险起见，建议大家在这种情况下还应该将TCP/IP 重新安装一下。打开本地连接的属性窗口，然后单击安装按钮，在打开的组件窗口中选中协议项并打开添加窗口，选中Microsoft 下的Microsoft TCP/IP 版本6 将TCP/IP 重新安装一下。 再一种情况就是10/100M 自适应网卡的问题，尤其是集成网卡的低端机器，出现这种情况时不防将网直接设为10M。打开本地连接的属

交换机带外管理及端口识别

交换机带外管理及端口识别 一、实验目的 1、熟悉普通二层交换机的外观； 2、了解普通二层交换机各端口的名称和作用； 3、了解交换机最基本的管理方式——带外管理的方法。 二、应用环境 网络设备的管理方式可以简单地分为带外管理（out-of-band）和带内管理（in-band）两 种管理模式。所谓带内管理，是指网络的管理控制信息与用户网络的承载业务信息通过同一个逻辑信道传送，简而言之，就是占用业务带宽；而在带外管理模式中，网络的管理控制信息与用户网络的承载业务信息在不同的逻辑信道传送，也就是设备提供专门用于管理的带宽。 目前很多高端的交换机都带有带外网管接口，使网络管理的带宽和业务带宽完全隔离， 互不影响，构成单独的网管网。 通过Console 口管理是最常用的带外管理方式，通常用户会在首次配置交换机或者无法 进行带内管理时使用带外管理方式。 带外管理方式也是使用频率最高的管理方式。带外管理的时候，我们可以采用Windows 操作系统自带的超级终端程序来连接交换机，当然，用户也可以采用自己熟悉的终端程序。Console 口：也叫配置口，用于接入交换机内部对交换机作配置； Console 线：交换机包装箱中标配线缆，用于连接console 口和配置终端。 三、实验设备 1、DCS-3926S 交换机1 台 2、PC 机1 台 3、交换机 console 线1 根 四、实验拓扑 将PC 机的串口和交换机的console 口用console 线如图连接。

五、实验要求 1、正确认识交换机上各端口名称； 2、熟练掌握使用交换机 console 线连接交换机的console 口和PC 的串口； 3、熟练掌握使用超级终端进入交换机的配置界面。 六、实验步骤 第一步：认识交换机的端口。 0/0/1 中的第一个0 表示堆叠中的第一台交换机，如果是1，就表示第2 台交换机；第2 个0 表示交换机上的第1 个模块（DCS-3926s 交换机有3 个模块：网络端口模块（M0），模块1（M1），模块2（M2）；最后的1 表示当前模块上的第1 个网络端口。 0/0/1 表示用户使用的是堆叠中第一台交换机网络端口模块上的第一个网络端口。 默认情况下，如果不存在堆叠，交换机总会认为自己是第0 台交换机。 第二步：连接console 线。 拔插console 线时注意保护交换机的console 口和PC 的串口，不要带电拔插。 第三步：使用超级终端连入交换机。 1、打开微软视窗系统，点击“开始”——“程序”——“附件”——“通讯”——“超级终端”。 2、为建立的超级终端连接取名字：点击后出现下图界面，输入新建连接的名称，系统 会为用户把这个连接保存在附件中的通讯栏中，以便于用户的下次使用。点击“确 定”按扭。

接入交换机常见安全配置

适用场景：1-24口下联P C用户,25口下联二层网管交换机,26口上联汇聚交换机 堆叠环境中，若未指定优先级，则是根据它们的MAC地址（mac小的为主机）来确定谁是主机。优先级为越大越好，范围1-10。出场默认为1。 1、系统时间同步：如果客户有使用 ntp/sntp进行全网统一的时间配置的需求，可在设备上做Ruijie(config)#hostname TSG#5750 //给交换机命名 Ruijie(config)#sntp enable //首先开启 sntp 服务 Ruijie(config)#sntp server 210.72.145.44 //配置服务器IP地址，此为国家授时中心服务器IP 地址 Ruijie(config)#sntp interval 36000 // 配置sntp交互的时间间隔 措施一：限制远程管理源地址 Ruijie(config)#access-list 99 permit host 192.168.1.100 //配置控制列表，严格限定允许ip Ruijie(config)#line vty 0 35 Ruijie(config-line)#access-class 99 in 措施二：限制SNMP管理源地址 Ruijie(config)#access-list 99 permit host 192.168.1.100 //配置控制列表，严格限定允许ip Ruijie(config)#snmp-server community ruijie rw 99 措施三：使用加密管理协议，使用SSH管理，禁用Telnet协议 Ruijie(config)#no enable service telnet-server //禁用telnet管理 Ruijie(config)#enable service ssh-server //启用SSH管理 Ruijie(config)#crypto key generate dsa //设置ssh加密模式

交换机接口信息解释

Display interface： [1] GigabitEthernet3/0/1 current state : DOWN 接口状态显示硬件链路的状态 [2] IP Sending Frames Format is PKTFMT_ETHNT_2, Hardware address is 00e0-fc00-0010 接口的输出帧封装类型和MAC地址显示接口的删除帧封装类型和MAC地址 [3] The Maximum Transmit Unit is 1500 接口的最大传输单元显示接口的最大传输单元 [4] Media type is not sure, loopback not set 端口的连接线类型和环回状态显示接口的连接线类型和环回状态 [5] Port hardware type is No Connector 端口的连接器硬件类型显示接口的连接器硬件类型 [6] Unknown-speed mode, unknown-duplex mode 端口的实际速度和双工状态显示端口的实际速度和双工状态 [7] Link speed type is autonegotiation, link duplex type is autonegotiation 端口是否是速度、双工的自协商配置显示端口速度、双工的自协商配置 [8] Flow-control is not supported 端口流控状态显示端口的MDI类型（不是缺省值的情况显示） 目前以太网有MDI和MDI-X两种类型的接口。MDI称为介质相关接口，MDI-X称为介质非相关接口。市场上常见的以太网交换的端口都属于MDI-X接口，而路由器和PC的端口都属于MDI接口。当MDI-X接口和连接时，需要用直连网线（Normal Cable）；当同一类型号的接口如MDI和MDI、MDI-X和MDI-X连接时，需要采用交叉网线（Cross Cable）。 [9] The Maximum Frame Length is 1536 端口可以正常转发的帧长度显示端口可以正常转发的帧长度 [10] Broadcast MAX-ratio: 100% 端口的广播抑制比显示端口的广播抑制比 [11] Allow jumbo frame to pass 端口是否允许jumbo帧通过显示端口是否允许jumbo帧通过 [12] PVID: 1 端口的PVID 显示端口的PVID pvid，就是指port vid，一般来说，pvid和vid是同时应用的（只要是支持802.1q的交换机），pvid指的是帧进端口的策略，vid指的是帧出端口的策略。进端口时如果帧没有vlan tag，就以pvid值给帧打上tag；如果有tag，就不改变其值。