搜索
1、IP地址配置1.1、配置接口的从IP地址ipadd10.1.1.2255.255.255.0sub从地址的好处是在一个VLAN能使用两个网段的地址，这个在网络IP地址切换时可实现无中断切换，在重庆公管中心遇到了这种情况。2、ARP配置2．1、配置静态ARP1、为了将目的IP地址不在本网段的报文，穿过本网段的某个网关，使得到该IP地址的报文能通过该网关进行转发。2、当用户需要过滤掉一些目的IP地址为非法的报文时，将这些非法的IP地址绑定到某个不存在的MAC地址。配置普通静态ARP表项在设备上同时配置静态ARP和VRRP时，不能将VLANIF接口下所配置的VRRP备份组的虚拟IP地址作为该静态ARP表项中的IP地址，否则会生成错误的主机路由，影响正常转发。arpstaticip-addressmac-address配置VLAN内的静态ARP表项arpstaticip-addressmac-addressvidvlan-idinterfaceinterface-typeinterfacenumber配置VPN实例内的静态ARP表项arpstaticip-addressmac-addressvpn-instancevpn-instance-name2.2、优化动态ARP步骤1执行命令system-view，进入系统视图。步骤2执行命令interfacevlanifvlan-id，进入VLANIF接口视图。步骤3执行命令arpdetect-timesdetect-times，设置动态ARP表项的老化探测次数。步骤4执行命令arpexpire-timeexpire-time，设置动态ARP表项的老化超时时间。缺省情况下，动态ARP表项的老化探测次数为3，老化超时时间为1200秒，即20分钟。步骤5执行命令arpdetect-modeunicast，设置接口以单播方式发送ARP老化探测报文。缺省情况下，接口以广播方式发送ARP老化探测报文。arp抑制功能系统在同一时间内接收到大量源IP地址相同的ARP报文时，需要对ARP表项进行重复更新。为了维护系统性能，可以启动ARP抑制功能，系统将对ARP报文只应答，不更新。arp-suppressenabl配置路由式Proxyarp代理ARP的功能就是使IP地址属于同一网段却不属于同一物理网络的设备能够相互通信一个企业的2个物理网络，属于同一IP网络的不同子网，中间使用交换机分隔。为了使这两个物理网络实现互通，需要在交换机与物理网络连接的接口上启动ProxyARP功能。各子网中的主机IP地址的网络号应一致，主机上不需要配置缺省网关。什么是代理ARP？代理ARP就是通过使用一个主机(通常为router),来作为指定的设备对另一设备的ARP请求作出应答。这个可以说是一个官方解释了。大家可以用同一个拓扑来验证一下，在这里我们最常使用Router关闭路由功能来模拟成PC完成这个实验（左方PC为路由器模拟，在做此实验前请把前一实验的ARP信息清除，建议重启）：PC上不配置默认网关，此时用PC去ping192.168.1.2和10.1.1.3。会得到以下ARP表由此可见，PC发出ARP请求10.1.1.3的MAC地址，R2以自己的FastEthernet0/0口地址代理R3去回应PC，告诉PC自己的FastEthernet0/0就是10.1.1.3的MAC地址。结论：有默认网关的的时候PC按默认网关走，没有默认网关的时候路由器通过代理ARP完成通信。到目前为止一切都看起来那么的合理，那么的顺利。这个实验是一些培训班常做的实验之一。其实，错了！问题出在哪里？问题就出在我们是用一台路由器去模拟PC。不管是否关闭路由功能，它始终不是PC，它处理数据的方式与PC也不一样。请大家思考一下，如果是一台PC，在没有默认网关的情况下去ping一个非本网段地址，会出现什么情况？在没有默认网关的情况下ping一个非本网段地址，显示目标网络不可达，然后直接丢包，根本不会发出ARP查询。PC在什么时候会发出ARP查询呢？ping一个本网段地址的时候（大家可以抓包来验证一下）。其实就是思科文档的这种情况了：看清楚了，PC-A的IP地址是/16位，PC-D的IP地址是/24位，所以当PC-A去pingPC-D的时候，PC-A认为是ping同一个网段，会发出ARP请求，这个时候ARP请求就到了路由器上了。路由器如果开启了代理ARP功能，会代替PC-D给PC-A回应，告诉PC-A路由器的e0口MAC地址00-00-0c-94-36-ab就是PC-D的MAC地址，完成代理ARP操作，保护了PC-D的MAC地址隐私。proxyARP有哪些优点?最主要的一个优点就是能够在不影响其他router的路由表的情况下在网络上添加一个新的router,这样使得子网的变化对主机是透明的proxyARP应该使用在主机没有配置默认网关或没有任何路由策略的网络上proxyARP带来的哪些负面影响?1.增加了某一网段上ARP流量2.主机需要更大的ARPtable来处理IP地址到MAC地址的映射3.安全问题,比如ARP欺骗(spoofing)4.不会为不使用ARP来解析地址的网络工作5.不能够概括和推广网络拓扑思科默认开启arp-proxy华为配置intvlan2arp-proxyenableipadd172.16.23.11424聚合VLAN内的proxyarp在聚合vlan网关下配置intvlan2arp-proxyinner-sub-vlan-proxyenable使能二层拓扑探测功能使能二层拓扑探测功能后，当二层接口状态由Down变为Up时，系统更新所有该二层口所属VLAN对应的ARP表项。l2-topologydetectenable，3、DHCP配置3.1配置接口工作在全局地址池模式intvlan1ipadd10.1.2.224dhcpseletcglobal3.2配置全局地址池ippoolcisconetworkleaseexcluded-ip-addressgateway-listdns-list3.3防止IP地址重复分配功能地址探测是通过dhcpserverping命令实现的，检测是否能在指定时间内得到Ping应答。如果在最长等待Ping响应的时间内没有得到应答，则继续发送Ping报文，直到发送Ping包数量达到最大值，如果仍然没有收到应答，则认为本网段内没有设备使用该IP地址，从而确保客户端被分得的IP地址是唯一的。dhcpserverping5dhcpserverpingtimeout500(单位是毫秒)3.4DHCP数据保存功能将当前的DHCP用户信息保存到S5700的存储设备上，当S5700发生故障时可以从存储设备中及时恢复数据。dhcpserverdatabaseenable执行本命令后，系统将生成lease.txt和conflict.txt两个文件，存放在Flash的DHCP文件夹中，分别保存正常的地址租借信息和地址冲突信息dhcpserverdatabasewrite-delayinterval配置数据保存时间间隔缺省情况下，未使能DHCP数据保存到Flash的功能。如果使能此功能，缺省情况下，每隔7200秒保存一次当前的DHCP数据，并覆盖之前的数据文件dhcpserverdatabaserecover使能DHCP数据恢复功能后，系统重启时将从Flash的文件中恢复DHCP数据。3.5配置接口地址池的地址分配方式intvlan1ipadd10.1.1.124dhcpselectinterfacedhcpserverlease//配置租期dhcpserverexcluded-ip-addessdhcpserverstatic-bindip-address10.1.1.2mac-address2342-2323-3523dhcpserverdns-list3.6配置DHCP中继1、启用中继服务interfacevlan4ipaddress10.1.1.224dhcpselectrelay2、指定DHCP服务器，有两种方法，一种是在接口下直接指定，另一种配置DHCP服务器组，之后在接口下绑定接口下直接指定intvlan4dhcprelayserver-ip10.1.1.1配置DHCP服务器组dhcpservergroupciscodhcp-server10.1.1.1intvlan1dhcprelayserver-selectcisco3.7配置DHCP/BOOTP客户端intvlan3dhcpclienthostnameciscodchpclientclass-idciscoipaddressdhcp-allocipaddressboot-alloc4、UDPHelper配置网络中的主机有时需要通过发送广播报文来获得网络配置或查询网络中其他设备的名称。但是，当主机与服务器或待查询的设备不在同一个广播域时，主机就无法获得所需要的信息。为解决上述问题，设备提供了UDPHelper功能。通过该功能可以实现对指定UDP端口的IP广播报文进行中继转发，即将指定UDP端口的广播报文转换为单播报文发送给指定的目的服务器或将一个子网的广播报文转发给另外的子网，起到中继的作用。S5700在使能UDPHelper功能后，默认对6个UDP端口的广播报文进行中继转发，将这些默认UDP端口的广播报文单播转发到相应的目的服务器。其他UDP端口必须要在使能UDPHelper功能后手动配置。UDPHelper功能不支持对DHCP报文的中继，即中继转发的UDP端口不能配置为67和68。S5700EI和S5700SI不支持UDPHelper的功能。如果要中继DHCP报文，需要使能DHCPRelay特性。udp-helperport{port-number|dns|netbios-ds|netbios-ns|tacacs|tftp|time}intvlan5ipadd10.1.1.224udp-helperserver10.2.42.15、DNS配置静态DNS表项iphosterp10.1.1.2动态DNS配置dnsresolve使能动态域名解析功能dnsserver10.1.1.1dnsserversource-ip10.1.1.3，指定本端交换机的IP地址。指定本端交换机的IP地址，以指定的IP地址与DNS服务器端通信，从而保证通信的安全。6、IPV6配置地址表示方式IPv6的128位IP地址有以下两种表示形式。X:X:X:X:X:X:X:X在这种形式中，128位的IP地址被分为8组，每组的16位用4个十六进制字符（0～9，A～F）来表示，组和组之间用冒号（:）隔开。其中每个“X”代表一组十六进制数值。X:X:X:X:X:X:d.d.d.d分为如下两种类型–IPv4兼容IPv6地址–IPv4映射IPv6地址其中IPv4兼容IPv6地址用于配置IPv6overIPv4隧道。在这种形式中，“X”代表高阶的六组数字，用十六进制数来表示每组的16比特。“d”代表低阶的四组数字，用十进制数表示每组的8比特。后边的部分（d.d.d.d）其实就是一个标准的IPv4地址。一个IPv6地址可以分为如下两部分：网络前缀：n比特，相当于IPv4地址中的网络ID。接口标识：128-n比特，相当于IPv4地址中的主机ID。接口地址配置接口标识可通过三种方法生成：手工配置、系统通过软件自动生成或IEEEEUI-64规范生成。其中，EUI-64规范自动生成最为常用。IEEEEUI-64IEEEEUI-64规范是将接口的MAC地址转换为IPv6接口标识的过程。如图1所示，MAC地址的前24位（用c表示的部分）为公司标识，后24位（用m表示的部分）为扩展标识符。高7位是0表示了MAC地址本地唯一。转换的第一步将FFFE插入MAC地址的公司标识和扩展标识符之间，第二步将高7位的0改为1表示此接口标识全球唯一。图1EUI-64规范示意图例如：MAC地址：000E-0C82-C4D4；