Cisco Catalyst 6509交换机FWSM防火墙模块设置资料
Cisco Catalyst 6509交换机FWSM防火墙模块测试报告
我们以往接触比较多的防火墙大都是独立的设备产品，抑或是和路由器集成在一起的模块，这种防火墙往往是位于网关位置，担当了内外网之间的防护线职能。而思科系统公司充分利用自己对网络的理解，以一种不同的理念和思路把安全贯彻到了网络上的每一个角落。当我们《网络世界》评测实验室拿到插入FWSM防火墙模块的被测设备Catalyst 6509交换机时，更是深刻地体会到了Cisco这种独特的视角。
集成：改动防火墙角色
从外观上看，不同于以往的防火墙，FWSM防火墙模块本身并不带有所有端口，能插在Catalyst 6509交换机所有一个交换槽位中，交换机的所有端口都能够充当防火墙端口，一个FWSM模块能服务于交换机所有端口，在网络基础设施之中集成状态防火墙安全特性。
由于70%的安全问题来自企业网络内部，因此企业网络的安全不仅在周边，防止未经授权的用户进入企业网络的子网和VLAN是我们一直忽视的问题，也正是6509交换机加上FWSM防火墙模块要完成的职责。
Catalyst 6509作为企业的汇聚或核心交换机，往往要为企业的不同部门划分子网和VLAN，FWSM模块的加入为不同部门之间搭建了坚实的屏障。
和传统防火墙的体系结构不同，FWSM内部体系主要由一个双Intel PIII处理器和3个IBM网络处理器及相应的ASIC芯片组成。其中两个网络处理器各有三条千兆线路连接到6509的背板上。FWSM使用的是Cisco PIX操作系统这一实时、牢固的嵌入式操作系统，采用基于ASA（自适应安全算法）的核心实现机制，继承了思科PIX防火墙性能和功能方面的既有优势。
对于已购买了Catalyst 6509交换机的用户来说，他们不必对原有产品进行更换，就能通过独立购买FWSM 模块，获得这种防火墙特性，在简化网络结构的同时，真正实现对用户的投资保护。
功能：细致到每一处
从FWSM防火墙模块的管理和易用性来看，对于那些非常熟悉Cisco IOS命令行的工程师来说，通过Console或Telnet进行设置非常容易上手，而对于笔者这种对Cisco 命令仅略通一二的人来说，最佳的管理和设置方式莫过于用Web进行管理，Web管理其实是调用了用来管理PIX防火墙的PIX Device Manager(PDM)2.1(1)工具，非常直观地帮助用户进行规则设置、管理和状态监视。进行Web管理的安全通过HTTP+SSL（HTTPS）来进行保障。
网络特性方面，我们需要提及的是由于和交换机集成，所以FWSM模块拥有非常多独特之处，包括能支持各种百兆和千兆以太网接口，进而拥有了Catalyst 6509交换机的可扩展性，支持静态路由和RIP、OSPF 动态路由协议，能作ARP代理和DHCP服务器。在规则设定中支持基于VLAN设定安全区域，对每个VLAN 实施安全策略。
在高可用性方面，不仅在Catalyst 6509上插的两个防火墙模块之间能实现冗余备份，两台Catalyst 6509交换机之间能通过LAN进行故障恢复。据思科工程师介绍，6509最多能插入4个FWSM防火墙模块，这四个模块绑在一起能提供的吞吐量是单个防火墙模块的4倍。
对于访问FWSM防火墙模块的用户，思科考虑的非常细心的一个特点是通过PDM能对CLI命令设置优先级，分为15个级别，创建和这些优先级对应的用户账号或登录环境，以更细的粒度对访问者进行管理。NAT是防火墙的必要特性，FWSM模块不仅对动态和静态NAT提供了良好支持，而且还支持基于端口的PAT（端口地址转换）。在使用PDM时，可通过组合网络对象、服务、协议或端口成为组进行管理和规则设置，最多支持128K ACL设置。
对日志的支持程度是防火墙功能是否完备的重要标志。FWSM不仅支持将日志记录到防火墙中，并对所用缓冲区进行限制，还支持用Syslog 服务器记录日志，将日志警告分为8个级别进行限制。
FWSM防火墙模块能够支持H.323、SIP等VoIP相关协议。
PDM提供的状态监视功能非常强大，能按照图像或表格形式非常直观地显示CPU、内存利用率及进出防火墙的数据包状态等周详信息。
易于查找的帮助信息也是思科为用户考虑的周到之处，用户通过Web界面能非常容易得到相关信息。
性能：多流环境上佳表现
传统防火墙往往会成为网络上的瓶颈，因此性能是用户相当关心的问题。通过此次测试（请见表中数据），我们能看到出众的性能是FWSM和Catalyst 6500紧密集成所带来的结果，交换机的优异性能表目前启动防火墙后同样得到了良好的体现。
去年我们原来作过千兆防火墙公开比较评测，当时测试环境是在两条流条件下进行的，成绩最佳的千兆防火墙在64字节帧长下吞吐量达到59%线速。此次测试我们选用两个1000Base-SX分别作内、外网口，采用20条UDP流并存的条件下，测试结果64、512、1518三种帧长下吞吐量为85.19%、100%、100%,显然，和以往我们原来测试过的结果相比，吞吐量性能更为出色。
而且，我们还发现由于设置为按照目的端口进行负载均衡，在防火墙上使用show conn命令能实时观察到网络处理器之间确实对所承担的Session进行了分担。
帧丢失率和延迟的测试结果更是让人眼前一亮，三种帧长下的结果为6.29%、0、0。在吞吐量的条件下测试的延迟结果也均在90?以下。
衡量防火墙性能的一个更有标志性的指标“最大TCP/HTTP并发连接数”结果为942802，完万能满足大型企业级用户的需求。
性能测试结果
帧长
64字节
512字节
1518字节
吞吐量
85.19%
100%
100%
帧丢失率
6.29%
延迟（μs）
80.88
48.86
81.29
最大并发连接数
942802 我们能看到防火墙和交换机的结合在提升企业网络内部安全性的同时对网络性能的影响并不大，让用户能真正体验到安全和性能的完美结合。传统防火墙处于网关位置，往往会结合入侵检测或VPN功能，是各种功能的综合体。而思科Catalyst 6500系列FWSM模块的防火墙特性更为突出，不仅能独立工作，还能和部署在同一台6500交换机箱中独立的入侵检测模块、VPN模块和SSL加密模块密切协作，各司其职，这也显示了细化分工的趋势，使企业能按照更为清晰的架构搭建多层次的安全网络。测试方法在性能测试中，我们使用了由思傅伦通信公司提供的SmartBits 6000B测试仪。我们在测试中使用的测试软件为SmartFlow 1.50和WebSuite Firewall 1.10。使用1000Base-X SmartMetrics模块的两个1000Base-SX GBIC，通过光纤将其分别和被测设备的两个千兆端口直连。测试环境如图所示。
在测试中，我们将Catalyst 6509交换机设置为类似于一台防火墙和一个路由器串联，防火墙设置为内、外网全通，交换机设置为根据目的端口进行负载均衡。
我们用SmartFlow完成了吞吐量、延迟和帧丢失率的测试，双向设置20个流（每个方向各有10个流），测试时间为120秒。
每个方向的10个流中源MAC/IP/端口相同，目的MAC/IP相同，目的端口不同。其中吞吐量测试中允许的帧丢失率为0,延迟测试是在吞吐量的条件下完成的。测试过程选用了64、512、1518字节三种帧长。
我们用WebSuite Firewall 完成了最大并发连接数的测试，测试速率为4000个连接/秒。每项测试我们都
进行三遍，最终取平均值作最后结果。
被测的Catalyst 6509交换机控制引擎设置为SUP2/MSFC2,IOS版本为12.1(13)E5,FWSM 软件版本为1.1(2),PDM版本为2.1(1)。
Cisco Catalyst 6500系列交换机和Cisco 7600系列互连网路由器的防火墙服务模块(1)
阅读提示：防火墙服务模块（FWSM）是个Catalyst 6500系列多千兆位防火墙模块。FWSM是一种支持交换矩阵的模块，能和总线和交换矩阵进行交互。
Q. 什么是防火墙服务模块？
A. 防火墙服务模块（FWSM）是个Catalyst 6500系列多千兆位防火墙模块。FWSM是一种支持交换矩阵的模块，能和总线和交换矩阵进行交互。FWSM能在Cisco Catalyst 6500系列交换机和Cisco 7600系列互连网路由器中提供状态防火墙功能。
Q. FWSM主要具有哪些特性？
A. FWSM的主要特性包括：
? 高性能，OC-48 或5 Gbps 吞吐量，全双工防火墙功能
? 具有整个PIX 6.0软件功能集和PIX 6.2的下列特性：
o 命令授权
o 对象组合
o ILS/NetMeeting修正
o URL过滤改进
? 3M pps 吞吐量
? 支持100个VLAN
? 一百万个并发连接
? LAN故障恢复：主从备份模式，设备内部/设备之间
? 利用OSPF/RIP进行动态路由
? 每个机箱支持多个模块
Q. 防火墙服务模块（FWSM）和Cisco PIX防火墙之间有何不同？
A. FWSM是Cisco Catalyst 6500系列交换机和Cisco 7600系列互连网路由器的一种集成模块--和独立的Cisco PIX防火墙不同。
FWSM建立在Cisco PIX技术的基础之上。
Q. FWSM运行的是什么操作系统？
A. FWSM和Cisco PIX防火墙运行的操作系统都是实时操作系统Finesse。Finesse是一种真正的微核系统，能够提供可重复使用的软件、便于移植的原始码，并能提高产品质量，减少测试次数，缩短产品上市时间，提高投资回报。
Q. FWSM用什么机制检测流量？
A. FWSM使用和Cisco PIX防火墙相同的检测算法：自适应安全算法（ASA）。ASA是一种状态检测引擎，能检测流量的完整性。ASA能使用源和目的地的地址和端口、TCP序列号，及其他TCP标志，散列IP报头信息。散列的作用相当于指纹，即创建一个独特的代码，表明建立输入或输出连接的客户端的身份。
如需查看更多的ASA文件，请接入：
https://www.wendangku.net/doc/f09071828.html,/univercd/cc ... 60/config/intro.htm
Q. Cisco PIX防火墙和PWSM的特性有何差别？
A. FWSM支持Cisco PIX防火墙6.0版本的所有功能和6.2版本的某些功能。下表列出了他们的主要差别。如需查看这些差别的周详说明，请参阅"Cisco PIX 和防火墙模块的差别"文件。[提供该文件的URL][应当链接到防火墙网页]
特性FSM Cisco PIX
性能 5 Gb 1.7 Gb
VLAN标签有无
路由动态静态
故障恢复使用许可不必需要
VPN 功能无有
IDS 签名无有
最大接口数100 10
输入控制列表（ACL）支持128000 2M
Q. FWSM的性能怎么？
A. 总性能约为5Gbps。FWSM能每秒支持一百万个并发连接，并且每秒能建立超过10万个连接。
Q. 装有FWSM的Catalyst 6500主要部署在什么地方？
A. 装有FWSM的Cisco Catalyst 6500 系列能提供目前性能最高的防火墙功能--他能够让企业将多种关键任务型防火墙功能整合到一个设备之中，从而减少分散的防火墙的个数，简化对多个防火墙的管理。FWSM 主要部署在企业园区的边缘和分布点。
Q. FWSM所能支持的最低的软件版本是多少？
A. 最低的IOS软件版本是12.1(13)E，而综合CatOS的最低版本是7.5(1)。
Q. FWSM支持交换矩阵吗？
A. 是的，FWSM支持交换矩阵。他具有一条和总线的连接和一条和交换矩阵的连接。
Q. FWSM是否利用热备份路由协议（HSRP）实现冗余？
A. 不是。主FWSM和冗余FWSM都使用和Cisco PIX防火墙相同的协议交换逻辑更新和状态信息。Q. 怎样将流量发送给FWSM？该模块是否具有外部端口？
A. FWSM上没有外部端口。系统会给FWSM分配一些传输流量的VLAN，这些VLAN上的流量将获得防火墙的保护。
Q. FWSM是否支持冗余？
A. FCS能提供状态防火墙故障恢复。FWSM采用了独特的设计，能结合PIX状态故障恢复功能。FWSM 模块能安装在同一个或另外一个Catalyst 6500系列交换机中。
Q. FWSM是否支持路由协议？
A. 是的，他支持开放最短路径优先（OSPF）和路由信息协议（RIP）。
Q. 在订购FWSM时，我应当使用什么产品编号？
A. FWSM的产品编号为：
产品编号说明
WS-SVC-FWM-1-K9 用于Cisco Catalyst 6500的防火墙服务模块
WS-SVC-FWM-1-K9= 用于Cisco Catalyst 6500的防火墙服务模块（备件）
SC-SVC-FWM-1.1-K9 用于Catalyst 6500的防火墙模块软件
SC-SVC-FWM-1.1-K9= 用于Catalyst 6500的防火墙模块软件（备件）
Q. FWSM是否具有使用许可选项？
A. 没有，该模块没有所有受限的和不受限的使用许可选项。
Q. FWSM使用的是什么三重数据加密标准（3DES）软件？
A. FWSM上的加密功能只能用于网络管理。你不能用该模块上的3DES软件进行远程接入或站点间隧道端接。
Q. 模块软件是否内置3DES软件，我是否需要独立订购该软件？
A. 3DES 和软件映像捆绑提供。你不必独立订购该软件。
Q. 机载闪存和DRAM内存有多大，我能否升级DRAM？
A. FWSM的闪存为128MB，DRAM内存为1GB。内存无法现场升级。
Q. FWSM获得了什么认证？
A. 我们将在2002日历年度的第四季度之前获得ICSA认证。
Q. 我是否能在FWSM上连接远程虚拟专用网（VPN）用户？
A. 不行，FWSM不能提供VPN功能。
Q. 我是否能在同一个机箱中安装多个模块？
A. 能，每个机箱最多能安装四个模块。
Q. FWSM是否支持组播功能？
A. 最初的版本不能支持组播功能，不过组播支持将在未来的版本中提供。
Q. 我是否能在同一个设备中安装和运行FWSM和IPSec VPN加速模块？
A. 不能。最初版本的IOS映像不能互相兼容，因而不能将这两个模块安装在同一个设备中。
Q. FWSM是否支持IDSM入侵检测模块？
A. 防火墙服务模块和IDS模块能共存于同一个设备中。由于IDS模块是个从设备，所以获得防火墙保护的VLAN也能拓展到IDS模块，进行入侵检测。
Q. FWSM是否能提供拒绝服务/DDoS检测和管理功能？
A. 能。FWSM能根据协议或地址设置阀值、日志和设置。
Q. FWSM能发现哪些拒绝服务攻击？
A. 他能发现下列攻击：
o ICMP Flood
o UDP Flood
o Ping of Death
o IP Spoofing
o IP源路由选项
Q. FWSM是否支持IP源路由过滤功能？
A. IP源路由过滤功能由IOS提供。
Q. FWSM是否能支持URL/HTTP过滤?
A. 是的，需要通过像Websense这样的Web过滤工具。
Q. FWSM缺省的安全设置是什么？
A. FWSM会拒绝所有方向上的所有分组，包括来自于管理接口的探测流量。
Q. FWSM是否能提供高可用性的主/主备份支持？
A. FWSM 目前能提供主/从备份支持。主/主备份支持目前正在研究之中。
Q. FWSM的主/从冗余功能是否能提供无缝的故障恢复？
A. 能。
Q. FWSM是否支持流量整型？
A. FWSM能通过Catalyst 6500线卡支持流量整型，这种线卡能为FWSM提供VLAN接口。
Q. FWSM是否支持QoS机制和速率限制？
A. 能，他支持Catalyst 6500的所有QoS功能。
Q. FWSMD是否支持安全的带外管理？
A. 能，通过管理VLAN上的IPSec。
Q. FWSM是否支持Traceroute和ping?
A. 如果获得明确许可就能支持。缺省状态下不支持。
Q. 应当用什么应用设置FWSM和监视系统日志流量？
A. 在最初的版本中，用户能通过CLI 和Cisco PIX设备管理器（PDM）管理FWSM。PDM能通过基于向导的菜单帮助用户进行防火墙设置。
防火墙透明模式设置
防火墙的透明模式
特性介绍：从PIX 7.0和FWSM 2.2开始防火墙能支持透明的防火墙模式，接口不必设置地址信息，工作在二层。只支持两个接口inside和outside，当然能设置一个管理接口，不过管理接口不能用于处理用户流量，在多context模式下不能复用物理端口。由于连接的是同一地址段的网络，所以不支持NAT，虽然没有IP地址不过同样能设置ACL来检查流量。
进入透明模式Firewall(config)# firewall transparent
(show firewall 来验证当前的工作模式，由于路由模式和透明模式工作方式不同，所以互相转换的时候会清除当前设置文件)
设置接口Firewall(config)# interface hardware-id
Firewall(config-if)# speed {auto | 10 | 100 |nonegotiate}
Firewall(config-if)# duplex {auto | full | half}
Firewall(config-if)# [no] shutdown
Firewall(config-if)# nameif if_name
Firewall(config-if)# security-level level
注：不用设置IP地址信息，不过其他的属性还是要设置的，接口的安全等级一般要不相同，
same-security-traffic permit inter-interface命令能免除此限制。
设置管理地址Firewall(config)# ip address ip_address subnet_mask
Firewall(config)# route if_name foreign_network foreign_mask gateway [metric]
MAC地址表的设置Firewall# show mac-address-table 显示MAC地址表
Firewall(config)# mac-address-table aging-time minutes 设置MAC地址表过期时间
Firewall(config)# mac-address-table static if_name mac_address 设置静态MAC条目
Firewall(config)# mac-learn if_name disable 禁止特定接口地址学习(show mac-learn验证)
ARP检查Firewall(config)# arp if_name ip_address mac_address 静态ARP条目
Firewall(config)# arp-inspection if_name enable [flood | no-flood]
端口启用ARP检查为非IP协议设置转发策略Firewall(config)# access-list acl_id ethertype {permit | deny} {any | bpdu | ipx | mpls-unicast | mpls-multicast | ethertype}
Firewall(config)# access-group acl_id {in | out} interface if_name
6509的FWMS模块设置
6509的FWMS模块设置
我的6509 fwsm笔记
https://www.wendangku.net/doc/f09071828.html,/viewthread.php?tid=4910
基于PIX6.0，支持100个VLAN，和switch通过6G的etherchannel连接，802.1q封装。
未设置的VLAN都作为inside处理，他们之间的通信不经过FWSM。
外发的包到达高安全级端口，要经过NAT修改源地址后流向低安全级端口；流入的包要先经过检查，修改目标地址后转发到受保护端口
FWSM能在MSFC前，也能在MSFC后
3个设置例子
1
OUTSIDE??MSFC?vlan10?FWSM?vlan20?CORE??HOST的设置过程
? Create the Layer 3 Interface to be used as gateway by FWSM. This is done in global config mode.
o MSFC(config)#interface vlan 10
o MSFC(config-int)#ip address 206.10.10.1 255.255.255.0
o MSFC(config-int)#no shutdown
? Define a vlan-group for the Firewall Module and assign the vlans to a Firewall Module.
o MSFC(config)#firewall vlan-group 1 10,20
o MSFC(config)#firewall module 3 vlan-group 1
? Session to the FWSM. To do this type “session slot &module # proc 1” in enable mode. For our example we will assume the
FWSM is in slot 3 of the chassis.
o MSFC#session slot 3 proc 1
? Create Layer 3 interf aces on the FWSM. The command to do this is “nameif &vlan# &interface name &security level” in
global config mode.
o FWSM(config)#nameif 10 outside 0
o FWSM(config)#ip address outside 206.10.10.2 255.255.255.0
o FWSM(config)#nameif 20 inside 100
o FWSM(config)#ip address inside 10.20.20.1 255.255.255.0
? Add default route to Outside security level on the FWSM.
o FWSM(config)#route outside 0.0.0.0 0.0.0.0 206.10.10.1 1
? Configure a STATIC NAT entry for hosts A and B to be seen by outside users.
o FWSM(config)#static (inside,outside) 206.10.10.25 10.20.20.25 netmask 255.255.255.255 ?Host A
o FWSM(config)#static (inside,outside) 206.10.10.26 10.20.20.26 netmask 255.255.255.255 ?Host B
? Configure a NAT entry for users in the inside security level that wish to initiate a connection to the outside security level.
o FWSM(config)#nat (inside) 1 0 0
o FWSM(config)#global (outside) 1 206.10.10.100
? Configure access control lists and apply them to the interfaces to restrict access to the inside securty level by hosts on the
outside security level.
o FWSM(config)#access-list outside-acl permit tcp any host 206.10.10.25 eq www
o FWSM(config)# access-list outside-acl permit tcp any host 206.10.10.25 eq ftp
o FWSM(config)# access-list outside-acl permit tcp any host 206.10.10.25 eq ftp-data
o FWSM(config)# access-list outside-acl permit icmp any host 206.10.10.25 (this allows outside users to ping)
o FWSM(config)#access-list outside-acl permit tcp any host 206.10.10.26 eq www
o FWSM(config)# access-list outside-acl permit tcp any host 206.10.10.26 eq ftp
o FWSM(config)# access-list outside-acl permit tcp any host 206.10.10.26 eq ftp-data
o FWSM(config)# access-list outside-acl permit icmp any host 206.10.10.26 ?(this allows outside users to ping)
? Now apply the defined access-list "outside-acl" to the outside interface as follows:
o FWSM(config)#access-group outside-acl in interface outside
2
OUTSIDE?vlan10?FWSM?vlan20?MSFC?vlan30?CORE??HOST 和上面例子的不同之处在于：FWSM通过vlan10连接外部，所以65连接外部的g8/1要属于vlan10
o MSFC(config)#interface gigabit 8/1
o MSFC(config-int)# switchport
o MSFC(config-int)#switchport mode access
o MSFC(config-int)#switchport access vlan 10
o MSFC(config-int)#no shutdown
MSFC上使用静态路由即可
o MSFC(config)#ip route 0.0.0.0 0.0.0.0 10.20.20.1
FWSM使用静态路由以便使外部数据能进入内部
o FWSM(config)#route inside 10.0.0.0 255.0.0.0 10.20.20.2
3
DMZ
|
vlan50
|
OUTSIDE??MSFC?vlan10?FWSM?vlan20?CORE??HOST的设置过程比1增加了如下：
|
vlan60
|
DMZ
? Create the DMZ VLAN’s on the MSFC in global config mode
o MSFC(config)#vlan 50
o MSFC(config-vlan)#no shutdown
o MSFC(config)#vlan 60
o MSFC(config-vlan)#no shutdown
? Add VLAN’s 50 and 60 to the firewall-vlan group created in Configuration #1.
o MSFC(config)#firewall vlan-group 1 50,60
DMZ的计算机连接端口要设成switchport以便FWSM能看到
o MSFC(config)#interface FastEthernet 7/1
o MSFC(config-int)#switchport
o MSFC(config-int)switchport mode access
o MSFC(config-int)switchport access vlan 60
o MSFC(config-int)no shutdown
? Session to the FWSM as outlined in Configuration #1 and configure the Layer 3 interfaces for the DMZ security levels.
o FWSM(config)#nameif 60 dmz1 60
o FWSM(config)#nameif 50 dmz2 50
o FWSM(config)#ip address dmz1 10.60.60.1 255.255.255.0
o FWSM(config)#ip address dmz2 10.50.50.1 255.255.255.0
? To enable users to be able to connect with the servers in the DMZ’s, STATIC and NAT translations will have to be
established depending upon the direction of the traffic flow.
o FWSM(config)#nat (dmz1) 2 10.60.60.0 255.255.255.0
o FWSM(config)#global (outside) 2 206.10.10.60
o FWSM(config)#global (dmz2) 2 10.50.50.200
o FWSM(config)#nat (dmz2) 3 10.50.50.0 255.255.255.0
o FWSM(config)#global (outside) 3 206.10.10.50
o FWSM(config)#static (inside,dmz1) 10.60.60.60 10.20.20.25 netmask 255.255.255.255
o FWSM(config)#static (inside,dmz2) 10.50.50.50 10.20.20.25 netmask 255.255.255.255
o FWSM(config)#static (dmz1,dmz2) 10.50.50.50 10.60.60.25 netmask 255.255.255.255
有关acl
o FWSM(config)#access-list web permit tcp any host 206.10.10.125 eq www
o FWSM(config)#access-list web permit tcp any host 206.10.1
6509的FWMS模块设置
6509的FWMS模块设置
我的6509 fwsm笔记
https://www.wendangku.net/doc/f09071828.html,/viewthread.php?tid=4910
基于PIX6.0，支持100个VLAN，和switch通过6G的etherchannel连接，802.1q封装。
未设置的VLAN都作为inside处理，他们之间的通信不经过FWSM。
外发的包到达高安全级端口，要经过NAT修改源地址后流向低安全级端口；流入的包要先经过检查，修改目标地址后转发到受保护端口
FWSM能在MSFC前，也能在MSFC后
3个设置例子
1
OUTSIDE??MSFC?vlan10?FWSM?vlan20?CORE??HOST的设置过程
? Create the Layer 3 Interface to be used as gateway by FWSM. This is done in global config mode.
o MSFC(config)#interface vlan 10
o MSFC(config-int)#ip address 206.10.10.1 255.255.255.0
o MSFC(config-int)#no shutdown
? Define a vlan-group for the Firewall Module and assign the vlans to a Firewall Module.
o MSFC(config)#firewall vlan-group 1 10,20
o MSFC(config)#firewall module 3 vlan-group 1
? Session to the FWSM. To do this type “session slot &module # proc 1” in enable mode. For our example we will assume the
FWSM is in slot 3 of the chassis.
o MSFC#session slot 3 proc 1
? Create Layer 3 interfaces on th e FWSM. The command to do this is “nameif &vlan# &interface name &security level” in
global config mode.
o FWSM(config)#nameif 10 outside 0
o FWSM(config)#ip address outside 206.10.10.2 255.255.255.0
o FWSM(config)#nameif 20 inside 100
o FWSM(config)#ip address inside 10.20.20.1 255.255.255.0
? Add default route to Outside security level on the FWSM.
o FWSM(config)#route outside 0.0.0.0 0.0.0.0 206.10.10.1 1
? Configure a STATIC NAT entry for hosts A and B to be seen by outside users.
o FWSM(config)#static (inside,outside) 206.10.10.25 10.20.20.25 netmask 255.255.255.255 ?Host A
o FWSM(config)#static (inside,outside) 206.10.10.26 10.20.20.26 netmask 255.255.255.255 ?Host B
? Configure a NAT entry for users in the inside security level that wish to initiate a connection to the outside security level.
o FWSM(config)#nat (inside) 1 0 0
o FWSM(config)#global (outside) 1 206.10.10.100
? Configure access control lists and apply them to the interfaces to restrict access to the inside securty level by hosts on the
outside security level.
o FWSM(config)#access-list outside-acl permit tcp any host 206.10.10.25 eq www
o FWSM(config)# access-list outside-acl permit tcp any host 206.10.10.25 eq ftp
o FWSM(config)# access-list outside-acl permit tcp any host 206.10.10.25 eq ftp-data
o FWSM(config)# access-list outside-acl permit icmp any host 206.10.10.25 (this allows outside users to ping)
o FWSM(config)#access-list outside-acl permit tcp any host 206.10.10.26 eq www
o FWSM(config)# access-list outside-acl permit tcp any host 206.10.10.26 eq ftp
o FWSM(config)# access-list outside-acl permit tcp any host 206.10.10.26 eq ftp-data
o FWSM(config)# access-list outside-acl permit icmp any host 206.10.10.26 ?(this allows outside users to ping)
? Now apply the defined access-list "outside-acl" to the outside interface as follows:
o FWSM(config)#access-group outside-acl in interface outside
2
OUTSIDE?vlan10?FWSM?vlan20?MSFC?vlan30?CORE??HOST 和上面例子的不同之处在于：FWSM通过vlan10连接外部，所以65连接外部的g8/1要属于vlan10
o MSFC(config)#interface gigabit 8/1
o MSFC(config-int)# switchport
o MSFC(config-int)#switchport mode access
o MSFC(config-int)#switchport access vlan 10
o MSFC(config-int)#no shutdown
MSFC上使用静态路由即可
o MSFC(config)#ip route 0.0.0.0 0.0.0.0 10.20.20.1
FWSM使用静态路由以便使外部数据能进入内部
o FWSM(config)#route inside 10.0.0.0 255.0.0.0 10.20.20.2
3
DMZ
|
vlan50
|
OUTSIDE??MSFC?vlan10?FWSM?vlan20?CORE??HOST的设置过程比1增加了如下：
|
vlan60
|
DMZ
? Create the DMZ VLAN’s on the MSFC in global config mode
o MSFC(config)#vlan 50
o MSFC(config-vlan)#no shutdown
o MSFC(config)#vlan 60
o MSFC(config-vlan)#no shutdown
? Add VLAN’s 50 and 60 to the firewall-vlan group created in Configuration #1.
o MSFC(config)#firewall vlan-group 1 50,60
DMZ的计算机连接端口要设成switchport以便FWSM能看到
o MSFC(config)#interface FastEthernet 7/1
o MSFC(config-int)#switchport
o MSFC(config-int)switchport mode access
o MSFC(config-int)switchport access vlan 60
o MSFC(config-int)no shutdown
? Session to the FWSM as outlined in Configuration #1 and configure the Layer 3 interfaces for the DMZ security levels.
o FWSM(config)#nameif 60 dmz1 60
o FWSM(config)#nameif 50 dmz2 50
o FWSM(config)#ip address dmz1 10.60.60.1 255.255.255.0
o FWSM(config)#ip address dmz2 10.50.50.1 255.255.255.0
? To enable users to be able to connect with the servers in the DMZ’s, STATIC and NAT translations will have to be
established depending upon the direction of the traffic flow.
o FWSM(config)#nat (dmz1) 2 10.60.60.0 255.255.255.0
o FWSM(config)#global (outside) 2 206.10.10.60
o FWSM(config)#global (dmz2) 2 10.50.50.200
o FWSM(config)#nat (dmz2) 3 10.50.50.0 255.255.255.0
o FWSM(config)#global (outside) 3 206.10.10.50
o FWSM(config)#static (inside,dmz1) 10.60.60.60 10.20.20.25 netmask 255.255.255.255
o FWSM(config)#static (inside,dmz2) 10.50.50.50 10.20.20.25 netmask 255.255.255.255
o FWSM(config)#static (dmz1,dmz2) 10.50.50.50 10.60.60.25 netmask 255.255.255.255
有关acl
o FWSM(config)#access-list web permit tcp any host 206.10.10.125 eq www
o FWSM(config)#access-list web permit tcp any host 206.10.1
HSRP 和GLBP的比较
小弟最近在改造公司的网络，三台6509，其中两台上面设置了FWSM和IDS模块，另外一块没有，三台6509放置在两个机房，主机房为一台有FWSM和IDS模块的6509和一台没有FWSM和IDS模块的6509，备份机房放置一台设置了FWSM和IDS模块的6509。
小弟网络中有若干VLAN需要透传于这三台6509之间，请教是否能使用GLBP协议？
GLBP协议和HSRP协议各自具有哪些优劣特性。
2007-3-9 14:34
链路冗余：HSRP/SLB/VRRP/GLBP简单理解
一、HSRP介绍及相关设置
1）HSRP介绍
全称Hot Standby Routing Protocol，原理比较简单，类似于服务器HA群集，
两台或更多的路由器以同样的方式设置成Cluster，创建出单个的虚拟路由器，
然后客户端将网关指向该虚拟路由器。
最后由HSRP决定哪个路由器扮演真正的默认网关。
具体说，HRSP用于在源主机无法动态地学习到网关IP地址的情况下防止默认路由的失败。
他主要用于多接入，多播和广播局域网(例如以太网)。
2）相关技术介绍
局域网中，在主网关失效瘫痪的情况下，怎么找到备份网关，主要有以下几种办法：
proxy ARP
IRDP
动态路由
HSRP
Proxy ARP
支持Proxy ARP 的计算机无论和本网段的计算机还是不同网段的计算机进入通讯都发送ARP广播以寻找和目的地址相对应的MAC地址，
这时，知道目的地址的路由器会响应ARP的请求，并将自己的MAC地址广播给源计算机，
然后源计算机就将IP数据包发给该路由器，并由路由器最终将数据包发送到目的。
ARP代理的主要缺点是转换时间长，如果主网关正在传输数据时失效，客户机仍然会继续发包，导致传输中断，
只有再另外发送Proxy ARP请求或重新启动之后才能找到备用网关以进行传输。
IRDP
支持IRDP的客户机会监听主网关发出的“Hello”的多点广播信息包，
如果该计算机不再收到“Hello”信息时，他就会利用备份路由器进行数据传输。
动态路由
如果使用动态路由来实现网关转换，则存在收敛过慢和内存占用的问题。
HRSP
自动转换
3）HRSP原理
需要注意的是，Cluster里的每个成员路由器仍然是标准的路由器，
客户端仍然能将成员路由器设置成其默认网关。
在Cisco路由器中，最多能设置256个HSRP组，
因为HSRP能够使用的MAC地址类似于：0000.0c07.ac**。
HRSP每隔3秒发送hello包，包括group ID，HSRP group和优先级(默认为100)。
路由器彼此之间依据优先级，确定优先级最高的路由器是活动路由器。
如果优先级相同，在IP地址高的成为活动路由器。
在HRSP组中，只允许同时存在一个活动路由器，其他路由器都处于备用状态，
备用路由器不转发数据包。
如果备用路由器持续不断地收到活动路由器发来的hello包，
则其会一直处于备用状态。
一旦备用路由器在规定的时间内(Hold Time，默认10秒)没有收到hello包，，
则认为活动路由器失效，
优先级最高的备用路由器就接替活动路由器的角色，开始转发数据包。
4）HRSP preempt技术
HRSP技术能够确保优先级高的路由器失效恢复后总能处于活动状态。
活动路由器失效后，优先级最高的备用路由器处于活动状态，
如果没有使用preempt技术，
则当活动路由器恢复后，只能处于备用状态，
先前的备用服务器代替其角色处于活动状态，直到下一次选举发生。
5）HRSP track技术
如果所监测的端口出现故障，则也能进行路由器的转换。
如果主路由器上有多条线路被跟踪，
则当一条线路出现故障时，就会转换到备份路由器上，即使其他都线路正常工作，
直到主路由器该线路正常工作，才能重新转换回来。
该功能在实际应用中完万能由线路备份功能实现。
6）HRSP设置
routerA#conf t
routerA(config)#int e0
routerA(config)#standby ip 172.16.1.254
routerA(config)#standby preempt
routerA(config)#standby track serial 0
routerA(config)#exit
routerA#
二、SLB介绍及相关设置
1）SLB介绍
全称Server Load Balancing，能看作HSRP的扩展，实现多个服务器之间的复杂均衡。
虚拟服务器代表的是多个真实服务器的群集，
客户端向虚拟服务器发起连接时，通过某种复杂均衡算法，转发到某真实服务器。
负载均衡算法有两种：
Weighted round robin(WRR)和Weighted least connections(WLC),
WRR使用加权轮询算法分配连接，WLC通过一定的权值，将下一个连接分配给活动连接数少的服务器。2）SLB设置
设置分为两部分，
第一部分是使用slb serverfarm serverfarm_name命令定义SLB选项，包括指定真实服务器地址；
第二部分是使用ip slb vserver virtual_server-name来指定虚拟服务器地址。
router#config t
router(config)#ip slb serverfarm email
router(config-slb-sfarm)#real 192.168.1.1
router(config-slb-sfarm)#inservice
router(config-slb-sfarm)#real 192.168.1.2
router(config-slb-sfarm)#inservice
router(config-slb-sfarm)#exit
router(config)#ip slb vserver vserver_one
router(config-slb-vserver)#vitual 10.1.1.1 tcp 25
router(config-slb-vserver)#serverfarm email
router(config-slb-vserver)#inservice
router(config-slb-vserver)#exit
router(config)#exit
router#
三、VRRP介绍
全称Virtual Router Redundancy Protocol，和HSRP类似，
只是HSRP是Cisco专有的协议，只应用在Cisco设备上。
VRRP符合Internet标准，定义见RFC2338，是不同厂家之间一起遵循的标准。
VRRP负责从VRRP路由器组中选择一个作为Master，
然后客户端使用虚拟路由器地址作为其默认网关。
设置例子见：
[url=https://www.wendangku.net/doc/f09071828.html,/xxlr1.asp?id=6134]https://www.wendangku.net/doc/f09071828.html,/xxlr1.asp?id=6134
四、GLBP介绍及设置
1）GLBP介绍
全称Gateway Load Banancing Protocol，
和HRSP、VRRP不同的是，GLBP不仅提供冗余网关，还在各网关之间提供负载均衡，
而HRSP、VRRP都必须选定一个活动路由器，而备用路由器则处于闲置状态。
和HRSP不同的是，GLBP能绑定多个MAC地址到虚拟IP，
从而允许客户端选择不同的路由器作为其默认网关，而网关地址仍使用相同的虚拟IP，
从而实现一定的冗余。
2）活动网关选举
使用类似于HRSP的机制选举活动网关，
优先级最高的路由器成为活动落由器，称作Acitve Virtual Gateway，其他非AVG提供冗余。
某路由器被推举为AVG后，和HRSP不同的工作开始了，AVG分配虚拟的MAC地址给其他GLBP组成员。
所有的GLBP组中的路由器都转发包，
不过各路由器只负责转发和自己的虚拟MAC地址的相关的数据包。
3）地址分配
每个GLBP组中最多有4个虚拟MAC地址，非AVG路由器有AVG按序分配虚拟MAC地址，
非AVG也被称作Active Virtual Forwarder(AVF)。
AVF分为两类：Primary Virtual Forwarder和Secondary Virtual Forwarder。
直接由AVG分配虚拟MAC地址的路由器被称作Primary Virtual Forwarder，
后续不知道AVG真实IP地址的组成员，只能使用hellos包来识别其身份，然后被分配虚拟MAC地址，此类被称作Secondary Virtual Forwarder。
4）GLBP设置
如果AVG失效，则推举就会发生，决定哪个AVF替代AVG来分配MAC地址，推举机制依赖于优先级。最多能设置1024个GLBP组，不同的用户组能设置成使用不同的组AVG来作为其网关。
router#conf t
router(config)#int fastethernet 0/0
router(config-if)#ip address 10.1.1.1
router(config-if)#glbp 99 ip 10.1.1.254
router(config-if)#glbp 99 priority 105
router(config-if)#glbp 99 preempt delay 10
router(config-if)#glbp 99 weighting track int s0 10
router(config-if)#exit
router(config)#^Z
华为交换机配置30例
目录 交换机远程TELNET登录 (2) 交换机远程AUX口登录 (5) 交换机DEBUG信息开关 (6) 交换机SNMP配置 (9) 交换机WEB网管配置 (10) 交换机VLAN配置 (12) 端口的TRUNK属性配置（一） (14) 交换机端口TRUNK属性配置（二） (16) 交换机端口TRUNK属性配置（三） (18) 交换机端口HYBRID属性配置 (21) 交换机IP地址配置 (23) 端口汇聚配置 (25) 交换机端口镜像配置 (27) 交换机堆叠管理配置 (29) 交换机HGMP V1 管理配置 (31) 交换机集群管理（HGMP V2）配置 (33) 交换机STP配置 (34) 路由协议配置 (36) 三层交换机组播配置 (41) 中低端交换机DHCP-RELAY配置 (44) 交换机802.1X配置 (46) 交换机VRRP配置 (51) 单向访问控制 (54) 双向访问控制 (57) IP+MAC+端口绑定 (62) 通过ACL实现的各种绑定的配置 (64) 基于端口限速的配置 (66) 基于流限速的配置 (68)
其它流动作的配置 (70) 8016 交换机DHCP配置 (73)
. . . . . 交换机远程T ELNET 登录 1 功能需求及组网说明 2 telnet 配置 『配置环境参数 』 PC 机固定I P 地址10.10.10.10/24 SwitchA 为三层交换机，vlan100 地址10.10.10.1/24 SwitchA 与S witchB 互连v lan10 接口地址192.168.0.1/24 SwitchB 与S witchA 互连接口v lan100 接口地址192.168.0.2/24 交换机S witchA 通过以太网口e thernet 0/1 和S witchB 的e thernet0/24 实现互连。 『组网需求』 1. SwitchA 只能允许10.10.10.0/24 网段的地址的P C telnet 访问 2. SwitchA 只能禁止10.10.10.0/24 网段的地址的P C telnet 访问 3. SwitchB 允许其它任意网段的地址t elnet 访问 2 数据配置步骤 『PC 管理交换机的流程』 1. 如果一台P C 想远程T ELNET 到一台设备上，首先要保证能够二者之间正常通信。 SwitchA 为三层交换机，可以有多个三层虚接口，它的管理v lan 可以是任意一个 具有三层接口并配置了I P 地址的v lan 2. SwitchB 为二层交换机，只有一个二层虚接口，它的管理v lan 即是对应三层虚 接口并配置了I P 地址的v lan 3. Telnet 用户登录时，缺省需要进行口令认证，如果没有配置口令而通过T elnet 登录，则系统会提示“password required, but none set.”。 【SwitchA 相关配置】
思科交换机-常用命令及配置
思科交换机-常用命令及配置 switch> 用户模式 1：进入特权模式enable switch> enable switch# 2：进入全局配置模式configure terminal switch> enable switch＃configure terminal switch(conf)# 3：交换机命名hostname name 以cisco001 为例 switch> enable switch＃c onfigure terminal switch(conf)#hostname cisco001 cisco001(conf)# 4：配置使能口令（未加密）enable password cisco 以cisco 为例switch> enable switch＃configure terminal cisco001(conf)# enable password cisco 5：配置使能密码（加密）enable secret ciscolab 以cicsolab 为例switch> enable switch＃configure terminal switch(conf)# enable secret ciscolab
6：设置虚拟局域网vlan 1 interface vlan 1 switch> enable switch＃configure terminal switch(conf)# interface vlan 1 switch(conf)# ip address 192.168.1.1 255.255.255.0 配置交换机端口ip 和子网掩码 switch (conf-if)#no shut 激活端口 switch (conf-if)#exit switch (conf)#ip default-gateway 192.168.254 设置网关地址 7：进入交换机某一端口interface fastehernet 0/17 以17 端口为例 switch> enable switch＃configure terminal switch(conf)# interface fastehernet 0/17 switch(conf-if)# 8：查看命令show switch> enable switch# show version 察看系统中的所有版本信息 show interface vlan 1 查看交换机有关ip 协议的配置信息 show running-configure 查看交换机当前起作用的配置信息 show interface fastethernet 0/1 察看交换机1 接口具体配置和统计信息 show mac-address-table 查看mac 地址表
思科交换机安全 做 802.1X、port-security案例
端口和MAC绑定：port-security 基于DHCP的端口和IP,MAC绑定：ip source guard 基于DHCP的防止ARP攻击：DAI 防止DHCP攻击：DHCP Snooping cisco所有局域网缓解技术都在这里了！ 常用的方式： 1、802.1X，端口认证，dot1x，也称为IBNS(注：IBNS包括port-security)：基于身份的网络安全；很多名字，有些烦 当流量来到某个端口，需要和ACS交互，认证之后得到授权，才可以访问网络，前提是CLIENT必须支持802.1X方式，如安装某个软件 Extensible Authentication Protocol Over Lan(EAPOL) 使用这个协议来传递认证授权信息 示例配置： Router#config ure terminal Router(config)#aaa new-model Router(config)#aaa authentication dot1x default group radius Switch(config)#radius-server host 10.200.200.1 auth-port 1633 key radkey Router(config)#dot1x system-auth-control 起用DOT1X功能 Router(config)#interface fa0/0 Router(config-if)#dot1x port-control auto AUTO是常用的方式，正常的通过认证和授权过程 强制授权方式：不通过认证，总是可用状态 强制不授权方式：实质上类似关闭了该接口，总是不可用
交换机的安全设置六大原则及三层交换的组播配置
交换机的安全设置六大原则说明 L2-L4 层过滤 现在的新型交换机大都可以通过建立规则的方式来实现各种过滤需求。规则设置有两种模式，一种是MAC 模式，可根据用户需要依据源MAC或目的MAC有效实现数据的隔离，另一种是IP模式，可以通过源IP、目的IP、协议、源应用端口及目的应用端口过滤数据封包；建立好的规则必须附加到相应的接收或传送端口上，则当交换机此端口接收或转发数据时，根据过滤规则来过滤封包，决定是转发还是丢弃。另外，交换机通过硬件“逻辑与非门”对过滤规则进行逻辑运算，实现过滤规则确定，完全不影响数据转发速率。 802.1X 基于端口的访问控制 为了阻止非法用户对局域网的接入，保障网络的安全性，基于端口的访问控制协议802.1X无论在有线LAN 或WLAN中都得到了广泛应用。例如华硕最新的GigaX2024/2048等新一代交换机产品不仅仅支持802.1X 的Local、RADIUS 验证方式，而且支持802.1X 的Dynamic VLAN 的接入，即在VLAN和802.1X 的基础上，持有某用户账号的用户无论在网络内的何处接入，都会超越原有802.1Q 下基于端口VLAN 的限制，始终接入与此账号指定的VLAN组内，这一功能不仅为网络内的移动用户对资源的应用提供了灵活便利，同时又保障了网络资源应用的安全性；另外，GigaX2024/2048 交换机还支持802.1X 的Guest VLAN功能，即在802.1X的应用中，如果端口指定了Guest VLAN项，此端口下的接入用户如果认证失败或根本无用户账号的话，会成为Guest VLAN 组的成员，可以享用此组内的相应网络资源，这一种功能同样可为网络应用的某一些群体开放最低限度的资源，并为整个网络提供了一个最外围的接入安全。 流量控制（traffic control） 交换机的流量控制可以预防因为广播数据包、组播数据包及因目的地址错误的单播数据包数据流量过大造成交换机带宽的异常负荷，并可提高系统的整体效能，保持网络安全稳定的运行。 SNMP v3 及SSH 安全网管SNMP v3 提出全新的体系结构，将各版本的SNMP 标准集中到一起，进而加强网管安全性。SNMP v3 建议的安全模型是基于用户的安全模型，即https://www.wendangku.net/doc/f09071828.html,M对网管消息进行加密和认证是基于用户进行的，具体地说就是用什么协议和密钥进行加密和认证均由用户名称（userNmae）权威引擎标识符（EngineID）来决定（推荐加密协议CBCDES，认证协议HMAC-MD5-96 和HMAC-SHA-96），通过认证、加密和时限提供数据完整性、数据源认证、数据保密和消息时限服务，从而有效防止非授权用户对管理信息的修改、伪装和窃听。 至于通过Telnet 的远程网络管理，由于Telnet 服务有一个致命的弱点——它以明文的方式传输用户名及口令，所以，很容易被别有用心的人窃取口令，受到攻击，但采用SSH进行通讯时，用户名及口令均进行了加密，有效防止了对口令的窃听，便于网管人员进行远程的安全网络管理。
思科交换机命令大全
思科交换机常用命令大全 1.1 用户模式与特权模式 用户模式：可以使用一些基本的查询命令 特权模式：可以对交换机进行相关的配置 进入特权模式命令：Switch>enable 退出特权模式命令：Switch#exit 启用命令查询：？ 时间设置：Switch#clock set 时间（自选参数，参数必须符合交换机要求） 显示信息命令：Switch#show 可选参数 注意：可以用TAB键补齐命令，自选参数为用户自定义参数，可选参数为交换机设定参数 查看交换机配置: Switch#show running-config 保存交换机配置：Switch#copy running-config startup-config Switch#wr 查看端口信息：Switch#show interface 查看MAC地址表：Switch#show mac-address-table 查看交换机CPU的状态信息：Switch#show processes 1.2 全局配置模式 进入全局配置模式：Switch#configure terminal
主机名修改：Switch(config)#hostname 主机名（自选参数） 特权模式进入密码： Switch(config)#enable secret 密码（自选参数） 取消特权模式密码：Switch(config)#no enable secret 取消主机名设置： Switch(config)#no hostname 退出配置模式： Switch(config)#exit 需要特别注意的是在配置模式中无法使用show命令，如果要使用 的话show前必须加do和空格，例如：do show * 指定根交换机命令：Switch(config)#spanning-tree vlan 自选参数（VLAN号）root primary 例如： Switch(config)#spanning-tree vlan 1 root primary 需要注意的是：设置根交换机是基于VLAN的 关闭生成树协议命令：Switch(config)#no spanning-tree vlan 自选参数（VLAN 号） 例如： Switch(config)#no spanning-tree vlan 1 1.3 接口配置模式 进入接口配置模式：Switch(config)#interface 端口名称（可选参数） 启用端口：Switch(config-if)#no shutdown 停用端口：Switch(config-if)#shutdown 进入同种类型多端口配置：Switch(config)# interface range fastethernet 0/1-5 进入不同类型多端口配置：Switch(config)#interface range fastethernet 0/1-5，gigabitethernet 0/1-2
华为,CISCO交换机基本命令配置
华为交换机命令 2007-12-14 14:59 计算机命令 ~~~~~~~~~~ PCA login: root ；使用root用户 password: linux ；口令是linux # shutdown -h now ；关机 # init ；关机 # logout ；用户注销# login ；用户登录# ifconfig ；显示IP地址# ifconfig eth0
# ping
思科交换机路由器命令大全
思科交换机路由器命令 大全 YUKI was compiled on the morning of December 16, 2020
1. 交换机支持的命令：交换机基本状态： 交换机口令设置： switch>enable ；进入特权模式switch#config terminal ；进入全局配置模式 switch(config)#hostname ；设置交换机的主机名 switch(config)#enable secret xxx ；设置特权加密口 令switch(config)#enable password xxa ；设置特权非 密口令switch(config)#line console 0 ；进入控制台 口switch(config-line)#line vty 0 4 ；进入虚拟终端 switch(config-line)#login ；允许登录 switch(config-line)#password xx ；设置登录口令 xxswitch#exit ；返回命令 交换机VLAN设置：
switch(vlan)#vlan 2 ；建VLAN 2switch(vlan)#no vlan 2 ；删vlan 2switch(config)#int f0/1 ；进入端 口1switch(config-if)#switchport access vlan 2 ； 当前端口加入vlan 2switch(config-if)#switchport mode trunk ；设置为干线switch(config- if)#switchport trunk allowed vlan 1，2 ；设置允许 的vlanswitch(config-if)#switchport trunk encap dot1q ；设置vlan 中继switch(config)#vtp domain ；设置发vtp域名switch(config)#vtp password ；设置发vtp密码switch(config)#vtp mode server ；设置发vtp模式switch(config)#vtp mode client ；设置发vtp模式 交换机设置IP地址： 交换机显示命令：
思科交换机安全配置(包括AAA、端口安全、ARP安全、DHCP侦听、日志审计流量限制)
网络拓扑图如下： 根据图示连接设备。 在本次试验中，具体端口情况如上图数字标出。核心交换机（core ）设置为s1或者SW1，汇聚层交换机（access）设置为s2或者SW2。 IP 地址分配： Router：e0：：f0/1: 接口：Core vlan10: Vlan20: Vlan30: Access vlan10: Vlan20: Vlan30: 服务器IP地址：区域网段地址： PC1：PC2：路由器清空配置命令： en erase startup-config Reload 交换机清空配置命令： en erase startup-config
delete Reload 加速命令： en conf t no ip domain lookup line con 0 exec-timeout 0 0 logging syn hostname 一、OFFICE 区域地址静态分配，防止OFFICE 网络发生ARP 攻击，不允许OFFICE 网段PC 互访；STUDENTS 区域主机输入正确的学号和密码后接入网络，自动获取地址，阻止STUDENTS网段地址发生ARP攻击； 1、基本配置 SW1的配置： SW1(config)#vtp domain cisco 然后在pc上进入接口，设置为DHCP获取地址,命令如下： int f0/1 ip add dhcp 查看结果：
5、Student区域ARP防护： SW2配置如下： ip dhcp snooping //开启DHCP侦听 ip dhcp snooping vlan 20 int range f0/1,f0/2 ip dhcp snooping limit rate 5 //限制DHCP请求包数量，此处为5 ip verify source port-security exit int port-channel 10 ip dhcp snooping trust //设置信任端口 然后修改pc1的mac地址，就可以发现端口down状态，修改mac地址命令如下： pc1(config)#int e0/0 pc1(config-if)#mac-address 、AAA认证： 服务器地址为：vlan 30 //创建vlan 30的原因：在sw1、sw2中配置svi口，服务器的地址为，使他们位于同一个网段。这样pc机发出的认证数据包就会被发往服务器 s1(config-if)#ip add f0/5 s1(config-if)#switchport mode access s1(config-if)#switchport access vlan 30 s2(config)#int vlan 30 s2(config-if)#ip add new-model //AAA配置位于接入层交换机，所以核心交换机sw1连接服务器的接口不需要配置IP地址 s2(config)#aaa authentication login vtylogin group radius s2(config)#radius-server host auth-port 1812 acct
华为三层交换机配置实例分析
华为三层交换机配置实例一例 服务器1双网卡，内网IP:192.168.0.1，其它计算机通过其代理上网 PORT1属于VLAN1 PORT2属于VLAN2 PORT3属于VLAN3 VLAN1的机器可以正常上网 配置VLAN2的计算机的网关为：192.168.1.254 配置VLAN3的计算机的网关为：192.168.2.254 即可实现VLAN间互联 如果VLAN2和VLAN3的计算机要通过服务器1上网 则需在三层交换机上配置默认路由 系统视图下：ip route-static 0.0.0.0 0.0.0.0 192.168.0.1 然后再在服务器1上配置回程路由 进入命令提示符 route add 192.168.1.0 255.255.255.0 192.168.0.254 route add 192.168.2.0 255.255.255.0 192.168.0.254 这个时候vlan2和vlan3中的计算机就可以通过服务器1访问internet了~~ 华为路由器与CISCO路由器在配置上的差别＂ 华为路由器与同档次的CISCO路由器在功能特性与配置界面上完全一致，有些方面还根据国内用户的需求作了很好的改进。例如中英文可切换的配置与调试界面，使中文用户再也不用面对着一大堆的英文专业单词而无从下手了。另外它的软件升级，远程配置，备份中心，PPP回拨，路由器热备份等，对用户来说均是极有用的功能特性。 在配置方面，华为路由器以前的软件版本(VRP1.0－相当于CISCO的IOS)与CISCO有细微的差别，但目前的版本(VRP1.1)已和CISCO兼容，下面首先介绍VRP软件的升级方法，然后给出配置上的说明。 一、VRP软件升级操作 升级前用户应了解自己路由器的硬件配置以及相应的引导软件bootrom的版本，因为这关系到是否可以升级以及升级的方法，否则升级失败会导致路由器不能运行。在此我们以从VRP1.0升级到VRP1.1为例说明升级的方法。 1.路由器配置电缆一端与PC机的串口一端与路由器的console口连接 2.在win95/98下建立使用直连线的超级终端，参数如下： 波特率9600，数据位8，停止位1，无效验，无流控，VT100终端类型 3.超级终端连机后打开路由器电源，屏幕上会出现引导信息，在出现： Press Ctrl－B to enter Boot Menu. 时三秒内按下Ctrl＋b,会提示输入密码 Please input Bootrom password: 默认密码为空，直接回车进入引导菜单Boot Menu,在该菜单下选1，即Download application program升级VRP软件，之后屏幕提示选择下载波特率，我们一般选择38400 bps，随即出现提示信息： Download speed is 38400 bps.Please change the terminal's speed to 38400 bps,and select XMODEM protocol.Press ENTER key when ready. 此时进入超级终端“属性”，修改波特率为38400，修改后应断开超级终端的连接，再进入连接状态，以使新属性起效，之后屏幕提示： Downloading…CCC 这表示路由器已进入等待接收文件的状态，我们可以选择超级终端的文件“发送”功能，选定相应的VRP软件文件名，通讯协议选Xmodem，之后超级终端自动发送文件到路由器中，整个传送过程大约耗时8分半钟。完成后有提示信息出现，系统会将收到的VRP软件写入Flash Memory覆盖原来的系统，此时整个升级过程完成，系统提示改回超级终端的波特率： Restore the terminal's speed to 9600 bps. Press ENTER key when ready. 修改完后记住进行超级终端的断开和连接操作使新属性起效，之后路由器软件开始启动，用show ver命令将看见
思科交换机型号解释
思科交换机型号解释 1. CISCO开头的产品都是路由器； 2. RSP开头的都是CISCO7500系列产品的引擎； 3. VIP开头的产品都是CISCO 7500系列产品的多功能接口处理器模块 4. PA开头的产品都是CISCO 7500/7200系列产品的模块. 5. NPE开头的都是CISCO7200系列产品的引擎; 6. NM开头的都是CISCO低端路由器模块; 7. WIC开头的都是CISCO低端路由器的广域网接口模块； 8. VWIC开头的都是CISCO低端路由器的语音接口模块; 9. WS-C开头的产品都是交换机; 10. WS-X开头的产品是交换机的引擎或模块； 11. WS-G开头的产品是交换机的千兆光纤模块. 12.NN 是交换机的系列号， XX 对于固定配置的交换机来说是端口数，对于模块化交换机来说是插槽数，有 -C 标志表明带光纤接口， -M 表示模块化， - WS-C2960-24TT-L ，WS 表示什么？ 解： W代表支持IPSEC 40位加密 S代表Switchboard 交换机 WS就是代表支持支持IPSEC 40位加密的Switchboard 交换机型号 WS-C是有两种一个是C一个是X，C代表固化交换机或者机箱，X代表的是模块。 A 和 -EN 分别是指交换机软件是标准板或企业版。 eg:WS-C3750G-48TS-S C3750表明这款产品属于3750这个系列，也就是产品的型号。 G----表明其所有接口都是支持千兆或以上，如果没有这个就表明其主要端口都是10/100M 的或者100M的 48----表明其拥有主要的端口数量为48个 T----表明其主要端口是电口（也就是所谓的Twirst Pair的端口 P----表明其主要端口是电口，同时支持PoE以太网供电 S----表明其带的扩展的接口为SFP类型的接口 最后部分的S表明交换机带的软件是SMI标准影像的 E----表明是EMI影像的 二、型号后面的字母解释，如：WS-C3750G-48TS-S 中的G的位置 ?空-表示其主要端口都是10/100M的或100M的 ?G----全千兆及以上，2950G除外，他的G表示GBIC上行
cisco交换机的端口安全配置
【官方提供】【实验文档】【实验0021】【交换机的端口安全配置】 【实验名称】 交换机的端口安全配置。 【实验目的】 掌握交换机的端口安全功能，控制用户的安全接入。 【背景描述】 你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP 地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G 上边。 【技术原理】 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。 限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。 交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。 配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： ? protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 ? restrict 当违例产生时，将发送一个Trap通知。 ? shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。 【实现功能】 针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。【实验设备】 S2126G交换机（1台），PC（1台）、直连网线（1条）
三层交换机组播配置
三层交换机组播配置 1 功能需求及组网说明 PC1PC2 『配置环境参数』 1.组播服务器地址为19 2.168.0.10/24，网关为192.168.0.1/24 2.三层交换机SwitchA通过上行口G1/1连接组播服务器，交换机连接组播 服务器接口interface vlan 100，地址为192.168.0.1。 3.vlan10和vlan20下挂两个二层交换机SwitchB和SwitchC，地址为 10.10.10.1/24和10.10.20.1/24。 『组网需求』 1:在SwitchA、SwitchB和SwitchC上运行组播协议，要求L3上配置为IP PIM-SM模式 2 数据配置步骤 『PIM-SM数据流程』 PIM-SM（Protocol Independent Multicast，Sparse Mode）即与协 议无关的组播稀疏模式，属于稀疏模式的组播路由协议。PIM-SM主要用于组成 员分布相对分散、范围较广、大规模的网络。 与密集模式的扩散—剪枝不同，PIM-SM协议假定所有的主机都不需要接收组播 数据包，只有主机明确指定需要时，PIM-SM路由器才向它转发组播数据包。
PIM-SM协议中，通过设置汇聚点RP（Rendezvous Point）和自举路由器 BSR（Bootstrap Router），向所有PIM-SM路由器通告组播信息，并利用路 由器的加入/剪枝信息，建立起基于RP的共享树RPT（RP-rooted shared tree）。从而减少了数据报文和控制报文占用的网络带宽，降低路由器的处理开 销。组播数据沿着共享树流到该组播组成员所在的网段，当数据流量达到一定程 度，组播数据流可以切换到基于源的最短路径树SPT，以减少网络延迟。PIM-SM 不依赖于特定的单播路由协议，而是使用现存的单播路由表进行RPF检查。 运行PIM-SM协议，需要配置候选RP和BSR，BSR负责收集候选RP发来的信 息，并把它们广播出去。 【SwitchA相关配置】 1.使能多播路由 [SwitchA]multicast routing-enable 2.创建（进入）vlan100的虚接口 [SwitchA]int vlan 100 3.给vlan100的虚接口配置IP地址 [SwitchA-Vlan-interface100]ip add 192.168.0.1 255.255.255.0 4.创建（进入）vlan10的虚接口 [SwitchA]int vlan 10 5.给vlan10的虚接口配置IP地址 [SwitchA-Vlan-interface10]ip add 10.10.10.1 255.255.255.0 6.在接口上启动PIM SM [SwitchA-Vlan-interface10]pim SM 7.创建（进入）vlan20的虚接口 [SwitchA]interface Vlan-interface 20 8.给vlan20的虚接口配置IP地址 [SwitchA-Vlan-interface20]ip add 10.10.20.1 255.255.255.0 9.在接口上启动PIM SM [SwitchA-Vlan-interface20]pim SM 10.进入PIM视图 [SwitchA]pim 11.配置候选BSR [SwitchA-pim]c-bsr vlan 100 24 12.配置候选RP [SwitchA-pim]c-rp vlan 100
Cisco交换机常用配置命令
Cisco交换机常用配置命令 CISCO交换机基本配置 switch>ena 進入特权模式 switch#erasenvram 全部清除交换机的所有配置 switch#reload 重新启动交换机（初始提示符为switch> ) ------------------------------------------------------------------------------------ CISCO交换机基本配置：Console端口连接 用户模式hostname>； 特权模式hostname(config)# ； 全局配置模式hostname(config-if)# ； 交换机口令设置： switch>enable ；进入特权模式 switch#config；进入全局配置模式 switch(config)#hostname cisco ；设置交换机的主机名 switch(config)#enable secret csico1 ；设置特权加密口令 switch(config)#enable password csico8 ；设置特权非密口令 switch(config)#line console 0 ；进入控制台口 switch(config-line)#line vty 0 4 ；进入虚拟终端 switch(config-line)#login ；虚拟终端允许登录 switch(config-line)#password csico6 ；设置虚拟终端登录口令csico6 switch#write 保存配置設置 switch#copy running-config startup-config 保存配置設置，與write一樣switch#exit；返回命令 配置终端过一会时间就会由全局配置模式自动改为用户模式，将超时设置为永不超时 switch#conf t switch(config)#line con 0 switch(config-line)#exec-timeout 0 --------------------------------------------------------------------------------- 交换机显示命令： switch#write；保存配置信息 switch#showvtp；查看vtp配置信息 switch#show run ；查看当前配置信息 switch#showvlan；查看vlan配置信息 switch#showvlan name vlan2 switch#show interface ；查看端口信息
思科交换机配置命令大全分析解析
思科交换机配置命令大全 switch> 用户模式 1：进入特权模式enable switch> enable switch# 2：进入全局配置模式configure terminal switch> enable switch＃configure terminal switch(conf)# 3：交换机命名hostname aptech2950 以aptech2950为例 switch> enable switch＃configure terminal switch(conf)#hostname aptch-2950 aptech2950(conf)# 4：配置使能口令enable password cisco 以cisco为例 switch> enable switch＃configure terminal switch(conf)#hostname aptch2950 aptech2950(conf)# enable password cisco 5：配置使能密码enable secret ciscolab 以cicsolab为例 switch> enable switch＃configure terminal switch(conf)#hostname aptch2950 aptech2950(conf)# enable secret ciscolab 6：设置虚拟局域网vlan 1 interface vlan 1 switch> enable switch＃configure terminal switch(conf)#hostname aptch2950 aptech2950(conf)# interface vlan 1 aptech2950(conf-if)#ip address 192.168.1.1 255.255.255.0 配置交换机端口ip和子网掩码 aptech2950(conf-if)#no shut 是配置处于运行中 aptech2950(conf-if)#exit aptech2950(conf)#ip default-gateway 192.168.254 设置网关地址 7：进入交换机某一端口interface fastehernet 0/17 以17端口为例 switch> enable switch＃configure terminal
思科交换机安全(详细配置、讲解)(知识材料)
cisco所有局域网缓解技术 交换机安全802.1X、port-security、DHCP SNOOP、DAI、VACL、SPAN RSPAN 端口和MAC绑定：port-security 基于DHCP的端口和IP,MAC绑定：ip source guard 基于DHCP的防止ARP攻击：DAI 防止DHCP攻击：DHCP Snooping 常用的方式： 1、802.1X，端口认证，dot1x，也称为IBNS(注：IBNS包括port-security)：基于身份的网络安全；很多名字，有些烦当流量来到某个端口，需要和ACS交互，认证之后得到授权，才可以访问网络，前提是CLIENT 必须支持802.1X方式，如安装某个软件Extensible Authentication Protocol Over Lan(EAPOL)使用这个协议来传递认证授权信息 示例配置： Router#configure terminal Router(config)#aaa new-model Router(config)#aaa authentication dot1x default group radius Router(config)#radius-server host 10.200.200.1 auth-port 1633 key radkey Router(config)#dot1x system-auth-control 起用DOT1X功能 Router(config)#interface fa0/0 Router(config-if)#dot1x port-control auto AUTO是常用的方式，正常的通过认证和授权过程 强制授权方式：不通过认证，总是可用状态 强制不授权方式：实质上类似关闭了该接口，总是不可用 可选配置： Switch(config)#interface fa0/3 Switch(config-if)#dot1x reauthentication Switch(config-if)#dot1x timeout reauth-period 7200//2小时后重新认证 Switch#dot1x re-authenticate interface fa0/3//现在重新认证，注意：如果会话已经建立，此方式不断开会话 Switch#dot1x initialize interface fa0/3 //初始化认证，此时断开会话 Switch(config)#interface fa0/3 Switch(config-if)#dot1x timeout quiet-period 45 //45秒之后才能发起下一次认证请求 Switch(config)#interface fa0/3 Switch(config-if)#dot1x timeout tx-period 90 //默认是30S Switch(config-if)#dot1x max-req count 4//客户端需要输入认证信息，通过该端口应答AAA服务器，如果交换机没有收到用户的这个信息，交换机发给客户端的重传信息，30S发一次，共4次Switch#configure terminal Switch(config)#interface fastethernet0/3 Switch(config-if)#dot1x port-control auto Switch(config-if)#dot1x host-mode multi-host//默认是一个主机，当使用多个主机模式，必须使用AUTO方式授权，当一个主机成功授权，其他主机都可以访问网络；当授权失败，例如重认证失败或LOG OFF，所有主机都不可以使用该端口 Switch#configure terminal
三层交换机组播配置应用
三层交换机组播配置应用 『配置环境参数』 1. 组播服务器地址为19 2.168.0.10/24，网关为192.168.0.1/24 2. 三层交换机SwitchA通过上行口G1/1连接组播服务器，交换机连接组播服务器接口interface vlan 100，地址为192.168.0.1。 3. vlan10和vlan20下挂两个二层交换机SwitchB和SwitchC，地址为10.10.10.1/24和10.10.20.1/24。 『组网需求』 1:在SwitchA、SwitchB和SwitchC上运行组播协议，要求L3上配置为IP PIM-SM模式 2:数据配置步骤『PIM-SM数据流程』 PIM-SM（Protocol Independent Multicast，Sparse Mode）即与协议无关的组播稀疏模式，属于稀疏模式的组播路由协议。PIM-SM主要用于组成员分布相对分散、范围较广、大规模的网络。 与密集模式的扩散?剪枝不同，PIM-SM协议假定所有的主机都不需要接收组播数据包，只有主机明确指定需要时，PIM-SM路由器才向它转发组播数据包。 PIM-SM协议中，通过设置汇聚点RP（Rendezvous Point）和自举路由器BSR（Bootstrap Router），向所有PIM-SM路由器通告组播信息，并利用路由器的加入/剪枝信息，建立起基于RP的共享树RPT （RP-rooted shared tree）。从而减少了数据报文和控制报文占用的网络带宽，降低路由器的处理开销。组播数据沿着共享树流到该组播组成员所在的网段，当数据流量达到一定程度，组播数据流可以切换到基于源的最短路径树SPT，以减少网络延迟。PIM-SM不依赖于特定的单播路由协议，而是使用现存的单播路由表进行RPF检查。 运行PIM-SM协议，需要配置候选RP和BSR，BSR负责收集候选RP发来的信息，并把它们广播出去。 【SwitchA相关配置】 1. 使能多播路由 [SwitchA]multicast routing-enable 2. 创建（进入）vlan100的虚接口 [SwitchA]int vlan 100
- Cisco交换机生成树协议配置
- cisco交换机安全配置设定方法.doc
- 思科交换机安全配置(包括AAA、端口安全、ARP安全、DHCP侦听、日志审计流量限制)
- 思科cisco2950交换机配置手册中文
- 思科交换机端口安全(Port-Security)配置方法详解
- Cisco 交换机加固
- cisco交换机安全配置设定命令详解.doc
- Cisco 交换机端口安全
- cisco交换机安全配置设定
- Cisco交换机VLAN的配置讲解
- cisco交换机安全配置设定命令详解
- cisco交换机配置及安全防护全解
- 思科交换机基本配置非常详细
- Cisco交换机生成树协议配置
- cisco端口安全配置详解
- 思科交换机Port-Security配置
- 思科交换机安全(详细配置、讲解)(知识材料)
- Cisco交换机的基本配置解读
- cisco交换机端口安全功能配置
- cisco交换机配置及安全防护