CISCO 6509 三层交换机配置

network

CISCO 6509 三层交换机配置

Cisco Catalyst 6500系列交换机提供3插槽、6插槽、9插槽和13插槽的机箱，以及多种集成式服务模块，包括数
千兆位网络安全性、内容交换、语音和网络分析模块。 Catalyst 6500系列中的所有型号都使用了统一的模块和
操作系统软件，形成了能够适应未来发展的体系结构，由于能提供操作一致性，因而能提高IT基础设施的利用率，
并增加投资回报。从48端口到576端口的10/100/1000以太网布线室到能够支持192个1Gbps或32个10Gbps骨干端口，
提供每秒数亿个数据包处理能力的网络核心，Cisco Catalyst 6500系列能够借助冗余路由与转发引擎之间的
故障切换功能提高网络正常运行时间。
提高网络正常运行时间，提高网络弹性。提供数据包丢失保护，能够从网络故障中快速恢复。能够在冗余
控制引擎间实现快速的1～3秒状态故障切换。
提供可选的高性能Cisco Catalyst 6500系列Supervisor Engine 720、无源背板、多引擎的冗余；
并可利用Cisco EtherChannel?技术、IEEE 802.3ad链路汇聚、IEEE 802.1s/w和热备份路由器
协议/虚拟路由器冗余协议（HSRP/VRRP）达到高可用性
不需要部署外部设备，直接在6500机箱内部署集成式的千兆位的网络服务模块，以简化网络管理，
降低网络的总体成本。这些网络服务模块包括：
l        千兆位防火墙模块--提供接入保护
l        高性能入侵检测系统（IDS）模块--提供入侵检测保护
l        千兆位网络分析模块--提供可管理性更高的基础设施和全面的远程超级（RMON）支持
l        高性能SSL模块--提供安全的高性能电子商务流量
l        千兆位VPN和基于标准的IP Security（IPSec）模块--降低的互联网和内部专网的连接成本。
集成式内容交换模块（CSM）能够为Cisco Catalyst 6500系列提供功能丰富的高性能的服务器和防火墙网络负载平衡连接，
以提高网络基础设施的安全性、可管理性和强大控制
基于网络的应用识别（NBAR）等软件特性可提供增强网络管理和QoS控制机制。
利用分布式Cisco Express Forwarding dCEF720平台提供400Mpps交换性能。支持多种Cisco Express Forwarding（CEF）
实现方式和交换矩阵速率。
多协议第3层路由支持满足了传统的网络要求，并能够为企业网络提供平滑的过渡机制。支持IPv6，并提供高性能的IPv6服务。
提供MPLS及MPLS/VPN的支持，并具有丰富的MPLS服务。增强的数据、语音和视频服务
提供10/100和10/100/1000接口模块，借助在接口模块内增加电源子卡就可让这些接口模块提供在线的电源，
提供IEEE 802.3af的支持，保护今天的投资。
每台设备可提供576个支持语音的，具有在线电源的10/100/1000M铜线接口。提供192个GBIC千兆位以太网接口。
可提供高密度的OC-3 POS接口的通道化的OC-48接口。
2. 连接设备
2.1. 从console连接
第一次对6000交换机进行配置，必须从console进入。　
首先先将机器上架，按要求接好电源，然后用随机附带的Console线和转接头将交换机的console口与PC的串口相联，如下：
  
Com口设置如下：
9600 baud
8 data bits
No parity
1 stop bits
检查电源无误后，开电，可能会出现类似下面的显示，按黑粗体字回答:
System Bo otstrap, Version 7.7(1)
Copyright (c) 19 94-20 03 by cisco Systems, Inc.
Cat6k-Sup720/SP processor with 524288 Kbytes of main memory

Autoboot executing command: "boot bootflash:"

Self decompressing the image : ######################################################################[OK]

              Restricted Rights Legend

Use, duplication, or disclosure by the Government is
subject to restrictions as set forth in subparagraph
(c) of the Commercial Computer Software - Restricted
Rights clause at FAR sec. 52.227-19 and subparagraph
(c) (1) (ii) of the Rights in Technical Data and Computer
Software clause at DFARS sec. 252.227-7013.

           cisco Systems, Inc.
           170 West Tasman Drive
           San Jose, California 95134-1706

Cisco Internetwork Operating System Software
IOS (tm) s72033_sp Software (s72033_sp-SP-M), Version 12.2(17a)SX1, EARLY DEPLOYMENT RELEASE SOFTWARE (fc1)
TAC Support: http://www.cisco.com/tac
Copyright (c) 1986-2003 by cisco Systems, Inc.
Compiled Wed 29-Oct-03 08:20 by cmong
Image text-base: 0x40020FBC, data-base: 0x40D32000

00:00:03: %PFREDUN-6-ACTIVE: Initializing as ACTIVE processor

00:00:03: %OIR-6-CONSOLE: Changing console ownership to route processor

System Bo otstrap, Version 12.2(14r)S9, RELEASE SOFTWARE (fc1)
TAC Sup port: ht tp:/ /w w w.cisco.com/tac
Copyright (c) 20 03 by cisco Systems, Inc.
Cat6k-Sup720/RP platform with 524288 Kbytes of main memory

Download Start

! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! !
! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! !
! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! !
! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! !
! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! !
! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! !
! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! !

Download Completed! Booting the image.

Self decompressing the image : #############################################################################
############################################################### [OK]


              Restricted Rights Legend

Use, duplication, or disclosure by the Government is
subject to restrictions as set forth in subparagraph
(c) of the Commercial Computer Software - Restricted
Rights clause at FAR sec. 52.227-19 and subparagraph
(c) (1) (ii) of the Rights in Technical Data and Computer
Software clause at DFARS sec. 252.227-7013.

           cisco Systems, Inc.
           170 West Tasman Drive
           San Jose, California 95134-1706

Cisco Internetwork Operating System Software
IOS (tm) s72033_rp Software (s72033_rp-PK9S-M), Version 12.2(17a)SX1, EARLY DEPLOYMENT RELEASE SOFTWARE (fc1)
TAC Support: http://www.cisco.com/tac
Copyright (c) 1986-2003 by cisco Systems, Inc.
Compiled Wed 29-Oct-03 08:16 by cmong
Image text-base: 0x40008FBC, data-base: 0x41E50000
2008-1-24 08:45 PM 小榕
4. 端口设置
4.1. 端口基本设置
Cisco 65xx系列交换机的端口缺省都是路由模式，一般都会配置为交换端口使用，进入端口配置模式：
对于单一端口，在配置模式下输入：interface Ethernet,Fast Ethernet,Gigabit Ethernet x/y, x为槽位号，y为端口号。
对于一组端口，可以使用以下的命令进入，例如：
Router(config)# interface range fastethernet 5/1 - 5     或：
Router(config-if)# interface range gigabitethernet 2/1 - 2, gigabitethernet 3/1 - 2
进行端口配置模式后，可以shutdown,或no shutdown端口，并可以对端口进行配置，快速以太端口有全双工、
半双工和自动协商模式，如果知道对端连接的设备是采用何种方式，最好采用手工设置方式固定端口的模式和速率。
缺省是自动协商模式。
快速以太端口的速率可以设置为100M，也可以设置为10M和自动协商。缺省是自动协商方式。如：
Router(config-if)#speed [10 | 100 | auto]（速度）
Router(config-if)# duplex [auto | full | half]（双工）
或添加注释，如：
Router(config-if)# description Channel-group to "Marketing"
4.2. 配置二层交换接口
（以fastethernet为例，gigabitethernet一样）
Router(config)# interface fastethernet x/y
Router(config-if)# shutdown
Router(config-if)# switchport         ；6500上缺省端口为路由端口，需要写switchport将端口设置为交换端口
Router(config-if)# switchport mode access
Router(config-if)# switchport access vlan x
Router(config-if)# no shutdown
Router(config-if)# end

清除二层接口配置
（以fastethernet为例，gigabitethernet一样）
Router(config)# interface fastethernet x/y
Router(config-if)# no switchport
Router(config-if)# end
注：使用default interface {ethernet | fastethernet | gigabitethernet} slot/port,使端口回到原来的缺省配置。
4.3. 配置三层路由端口
6500的端口缺省就是具有三层交换的端口，用来跟其他设备的连接，当将一个端口配置成三层端口之后，
就可以在此端口上分配IP地址了。
Router(config)# interface fastethernet x/y
Router(config)# ip add x.x.x.x x.x.x.x
Router(config)# no shutdown
4.4. 配置端口Trunk
将一个二层端口配置为Trunk模式：
Router(config)# interface fastethernet x/y （以fastethernet为例，gigabitethernet一样）
Router(config-if)# shutdown
Router(config-if)# switchport
Router(config-if)# switchport trunk encapsulation dot1q
Router(config-if)# switchport mode trunk
Router(config-if)# no shutdown
Router(config-if)# end
Router# exit
4.5. Ethernaet Channel
Router(config)# interface range gigabitethernet1/1 - 2
Router(config-if)#no ip address
Router(config-if)#switchport
Router(config-if)#switchport trunk encapsulation dot1q
Router(config-if)#switchport mode trunk
Router(config-if)#switchport trunk native vlan 1
Router(config-if)#channel-group 1 mode on

产生配置结果如下：
interface Port-channel1        ；自动产生，并且一定要如下所示，否则可能会有问题。
switchport
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/1
  no ip address
  switchport
  switchport trunk encapsulation dot1q
  switchport trunk native vlan 1
  channel-group 1 mode on
!
interface GigabitEthernet1/2
  no ip address
  switchport
  switchport trunk encapsulation dot1q
  switchport trunk native vlan 1
  channel-group 1 mode on
如果有问题，使用命令#no int port-channel 1  ,#int g2/1 -2  ,#no switchport
4.6. 查看端口配置
Router# show running-config interface fastethernet 5/8
Router# show interfaces fastethernet 5/8 switchport
Router# show running-config interface port-channel 1
Router# show spanning-tree interface fastethernet 4/4
5. 配置VLAN
5.1. 配置VTP
VTP是一个2层信息协议，包括版本1和2。一个网络设备只能属于一个VTP domain。缺省，
Catalyst 6500交换机配置为VTP server mode，在没有管理域的状态。直到在一个trunk链路上收
到其他域的宣告或手工配置管理域。VTP并不是一定要配置，但是配置可以简化配置复杂度和易于管理。
VTP pruning（VTP裁剪）增强了网络带宽利用率。结合VTP，使得没有必要接收某个vlan的广播信
息的交换机被裁剪，免于接收包括broadcast, multicast, unknown, and flooded unicast的包。
Router(config)# vtp domain domain_name
Router(config)# vtp mode {client | server | transparent}
Router(config)# vtp version {1 | 2}
Router(config)# vtp password password_string
Router(config)# vtp pruning
Router# show vtp status
5.2. 配置VLAN端口
5.3. 创建VLAN
缺省状态下，所有的二层端口均属于vlan1，vlan的配置方法如下：
        命令        目的
Step 1          Router# vlan database        进入vlan配置方式.
Step 2          Router(vlan)# vlan vlan_ID         加入一个VLAN.
Step 3        Router(vlan)# vtp domain  name        设置vtp域名
Step 3          Router(vlan)# exit         更新VLAN数据库，并在管理域内广播，退到全局模式
Step 4          Router# show vlan name vlan_name         验证VLAN配置

删除配置好的vlan
Router# vlan database
Router(vlan)# no vlan x
Deleting VLAN 3...
Router(vlan)# exit
5.4. 给vlan分配端口
Router(config)# interface fastethernet x/y
Router(config-if)# shutdown
Router(config-if)# switchport
Router(config-if)# switchport mode access
Router(config-if)# switchport access vlan x
Router(config-if)# no shutdown
Router(config-if)# end
Router# exit
5.5. 配置vlan地址
Router(config)# interface vlan x
Router(config)# ip add x.x.x.x x.x.x.x
6. 配置HSRP
不同网段之间的通信都是通过在终端工作站上设定缺省网关来实现的，为了实现冗余，每台交换机上必然要
配置相同的网段，那么就会在一个网段中出现2个不同地址的路由接口（对于工作站就是缺省网关），
当1条上联链路失效时，数据必然会从另外1条链路传输到另外一台交换机上进行处理，这时就存在缺省网关变更的问题。
为了消除当一条链路失效导致的工作站缺省网关重新定义的问题，我们使用Cisco公司专有HSRP
（Hot Standby Redundant Protocol）技术来解决这个问题。
HSRP技术就是将分布在2台交换机上相同网段的不同路由接口IP地址映射为一个虚拟IP地址来
消除工作站缺省网关重新定义的问题。配置如下：
在其中一台65xx上按下面模版进行配置
interface Vlan x
  ip address x.x.x.x x.x.x.x
  no ip redirects
  no ip directed-broadcast
  standby 1 ip y.y.y.y
  standby 1 priority 100
  standby 1 preempt
standby 1 authentication secret
2008-1-24 08:45 PM 小榕
在另一台65xx上按下面模版进行配置
interface Vlan x
  ip address x.x.x.x x.x.x.x
  no ip redirects
  no ip directed-broadcast
standby 1 ip y.y.y.y
  standby 1 priority 110                        ；这个优先级高，成为Master
  standby 1 preempt
standby 1 authentication secret

7. 配置NTP
NTP (Network Time Protocol) 为路由器、交换机和工作站之间提供了一种时间同步的机制。时间同步了，
多台网络设备上的相关事件记录可以放在一起看，更为清晰，方便了分析较复杂的故障和安全事件等。
（1）本地时钟设置：
        clock timezone Peking +8        ;定义时区
        clock calendar-valid                ;允许使用硬件calendar作为时钟源
        clock set hh:mm:ss <day of month>; month year        ;如clock set 14:02:30 10 December 2003
        clock update-calendar                ;更新硬件时钟
        （2）ntp server
ntp calendar-update                        ;允许NTP定期更新calendar        
ntp master 3                                ;允许本机作为NTP协议的主时钟，精度级别3，供其它对等体同步用。
ntp source int vlan 7                ;设置ntp时钟原的端口或IP地址
（3）常用的调试命令有：
show ntp status
show ntp associations
8. 配置镜像端口
在交换机上配置镜像端口（Mirroring Port）用于建立内部网络的监控端口，以便收集相关被监测端口的数据流量，
进行数据流监控及分析。我们这里配置镜像端口用于配置入侵检测设备（镜像端口）的检测口检测一级防火墙和
二级防火墙的内网接口，以探测是否有入侵行为发生。
#monitor session 1 source interface Fa7/14 - 19 rx
#monitor session 1 destination interface Fa7/22
#monitor session 2 source interface Fa7/24
#monitor session 2 destination interface Fa7/25
9. 升级配置
9.1. 交换机IOS保存和升级
交换机的IOS保存和升级是采用TFTP协议完成，所以首先你必须要下载一个TFTP软件，然后按照下面的步骤来进行：
1．在你的机器上启动TFTP 。
2．登陆到交换机，然后在enable状态下输入如下命令来完成IOS的保存：
switch#copy  flash  tftp   
Source IP address or hostname [171.68.206.171]?
Source filename []? cat6000-sup2k8.7-1-1.bin
Destination filename [cat6000-sup2k8.7-1-1.binn]?
Loading cat6000-sup2k8.7-1-1.bin to 171.68.206.171 (via VLAN1):    !!!!
!!!!!!!!!!!
[OK - 1125001 bytes]
3．如果你要升级IOS文件，那么你首先要检查flash空间是否够，如果空间不够的话，则需要先删除原来的IOS然后再升级。
按照如下命令来完成IOS的升级：
switch#copy  tftp  flash
Source IP address or hostname []? 171.68.206.171
Source filename []? cat6000-sup2k8.7-1-1.bin
Destination filename [cat6000-sup2k8.7-1-1.bin]?  y
Loading cat6000-sup2k8.7-1-1.bin  from 171.68.206.171 (via VLAN1):    !!!!
!!!!!!!!!!!
[OK - 1125001 bytes]
9.2. 配置从另外一个版本的IOS启动
如果交换机FLASH容量允许的话，我们可以在不删除原有交换机内部IOS软件的情况下配置交换机从
另外一个版本的IOS启动，这样可以避免一定程度上由于删除原有IOS软件带来的风险。
1．拷贝新的IOS到交换机的FLASH内。假设新的IOS软件名称为cat6000-sup2k8.7-1-1.bin
# copy tftp flash
2．配置从新的IOS软件引导
# boot system flash [flash-fs:][partition-number:][filename]
#boot system flash sup-bootflash: cat6000-sup2k8.7-1-1.bin