HSRP、SVI、BUDP防护、BPDU过滤、替代端口、备用端口、ACL

柔情只为你懂 2022-07-15 11:12 181阅读 0赞

马上np交换要考试了，复习了下。遇到了一些问题。做下总结。都写的比较浅显。若有错误忘大佬指出。

## HSRP ##

初始，监听，宣告，备用，活跃

不是所有的HSRP组中的所有路由器都会经过所有状态的转换  
所有的路由器一开始都是处于初始状态  
监听状态的目的是为了确认组中是否已存在活跃路由器/备用路由器  
处于宣告的会积极参与称为活跃路由/备用路由  
HSRP使用Hello和保存(Hold)事件来决定何时转换到不同状态  
路由器优先级来决定哪台路由器做活跃路由器  
只有活跃、备用路由器出现故障才会进行新的选举,也可以管理员通过抢占来改变  
状态会先认为自己为备用，没有活跃就再变成活跃的。

使用的原因是因为网关很重要，于是就做了个冗余。配置首跳冗余性协议。  
方法是让一台路由器充当活跃的网关路由器，而另一台路由器则处于备用模式。也可以有其他路由器。处于初始状态。等待上位~  
是做了一个虚拟的IP和MAC地址。作为网关。而实际数据是通过活跃路由器。

MAC地址的后两位是用来区分不同HSRP组的。

## SVI ##

交换机虚拟接口  
实际上就是用VLAN来做的。给VLAN分配IP 和掩码。

![这里写图片描述][20161114184635303]

配置是先 int vlan vlan-id  
然后 ip add ip 掩码  
最后 no shutdowm  
两边都有配置。  
相当于构建一个虚拟的通道。两边都是vlan 。不同vlan~

**\*注意：**  
存在这个vlan，并且交换机中存在它的vlan数据库  
存在这个接口并且它的状态不是管理关闭的  
交换机上存在至少一个二层端口，这个vlan至少有一条链路处于启用状态

## BPDU防护 ##

能够防止交换设备意外地连接到启用了portfast特性的端口  
因为会导致2层环路/拓扑变更。

BPDU防护有两种配置方式。当然效果不同  
1、全局模式下配置：  
只针对portfast端口。那些portfast端口收到BPDU就进入err-disable状态  
2、接口模式下  
针对配置的这个端口。不论是不是portfast端口。接收到就进入err-disable状态

默认所有portfast端口都启用BPDU防护

若变成了err-disable状态，只有先shutdown，然后在 no shutdown才可以恢复。

## BPDU过滤 ##

能够限制交换机不向接入端口发送不必要的BPDU  
同样有两种配置方式  
1、全局配置：  
同样是只针对portfast。但是只能过滤发出的BPDU，不能过滤收到的BPDU  
2、接口模式：  
也是，不管是不是portfast都有效。而且是收发的BPDU都过滤了。

## 替代端口 ##

替代端口是RSTP中的。把阻塞端口分成了替代和备用。根据不同的链路情况分为不同的类型。  
替代端口是用来替代链路根端口的备用端口  
![这里写图片描述][20161114190445906]  
相当于爸爸儿子的关系。子承父业  
P1的BPDU比P3更好。P3只好成为替代端口。  
若SW1去往根桥的链路断了。那么替代端口启用。来转发数据

备用端口

备用端口是，同一个交换机的两条链路。优先级不同。好的为正常链路。不好的那一端只好成为备用端口。备份的是他旁边的链接。  
相当于兄弟的关系。兄弟没了。另一个兄弟顶上。  
![这里写图片描述][20161114190651374]

## ACL ##

访问控制列表  
用于访问的控制。  
第一条acl很重要  
写的顺序应该是由小向大写。  
由permit和deny组成  
默认最后一句有一个deny any any

ACL的3p原则  
1、对每种协议都要设置自己的ACL  
2、对每一个方向一个ACL。一个ACL只能控制一个方向  
3、对每一个接口一个ACL。一个ACL只能控制一个接口

分为标准ACL和扩展ACL  
当然扩展ACL功能更强大。可以按协议，端口来控制  
**格式：**  
**标准**  
access-list access-list-number \{ permit | deny \} \{source \[source-wildcard\] | any\}  
命令解释如下。  
access-list：访问列表命令。  
access-list-number：访问列表号码，值为1~99.  
permit：允许。  
deny：拒绝。  
source：源IP地址。  
source-wildcard：源IP地址的通配符。

**扩展**  
access-list access-list-number \{ permit | deny \} \{ protocol \\ protocol-keyword \} \{ source \[ source-wildcard \] | any \} \{ destination destination-wildcard \} | any \}\[protocol-specific options\]\[log\]  
命令解释如下。  
access-list-number：访问列表号码，值为100~199.  
protocol \\ protocol-keyword：可使用的协议，包括IP、ICMP、IGRP、EIGRP、OSPF等。  
destination destination-wild：目的IP地址，格式与源IP地址相同。  
protocol-specific options：协议制定的选项。  
log：记录有关数据报进入访问列表的信息。

\*放置的位置  
标准：靠近目的  
扩展：靠近源

还有通配符的问题要注意。

[20161114184635303]: /images/20220715/98523bad9b1e43ac9d91b6c96e6249c0.png
[20161114190445906]: /images/20220715/d863b9f2167e457582b63a9928b1bcdf.png
[20161114190651374]: /images/20220715/3ca70574f8d142a38dbde9df83569cb2.png