企业网络建设之二层网络技术优化办法-天涯论坛

219mze 发表于 2024-8-31 10:51:50

企业网络建设之二层网络技术优化办法

<h1 style="color: black; text-align: left; margin-bottom: 10px;">1、概述</h1>
日前绝大部分大型网络的网络设备数量较多，网络结构较为繁杂，然而大部分网络显现问题时，都数是因为二层协议导致的网络中断，影响规模很强，引起用户没法正常业务及上网办公等问题，其实日前的二层网络技术已有必定累积，能够处理绝大部分的二层网络问题，为此结合大型二层网络架构供给技术优化手段，保准企业网络的稳定性靠谱性。
<h1 style="color: black; text-align: left; margin-bottom: 10px;">2、网络优化目的</h1>
综合以上的问题，在现有的基本上，从设备、配置、守护等层面进行改造，采用先进稳定的技术和管理模式，为了保准基本网络的安全性、稳定性，建设一个快速、有效、通畅、安全的办公网络，优化后的网络架构必须具备以下几点：安全靠谱性：经过二层网络的调节和优化，实现网络的安全稳定运行，即使网络中出现单条链路中断，或攻击包时，亦能稳定运行并即时实现日志告警，从而加强企业网络的靠谱性。方便运维：经过技术手段隔离各个二级公司或二层广播报文，成立个节点独立守护模式，以便缩小影响范围，防止大面积网络瘫痪，有效的加强运维工作，实现当问题显现时能够快速的定位到问题源即时处理。<h1 style="color: black; text-align: left; margin-bottom: 10px;">3、优化方法</h1>
<h1 style="color: black; text-align: left; margin-bottom: 10px;">3.1 网络优化</h1>
大型网络中的二层设备众多，其汇聚设备亦分布在各个区域，分别负责该区域的数据转发，针对二层环境供给如下两种常规优化办法；接入交换机与汇聚交换机之间经过trunk模式互联，所有终端的网关位置都在汇聚交换机上。虽然开启了stp功能，然则误操作亦很容易显现环路，引起全部网络的故障。因此将下接二级机构的互联接口调节为三层路由模式，缩小影响范围，方便快速定位问题。在楼层汇聚层交换机上关闭汇聚交换机空闲端口，加强网络安全性，防止外来人员随意接入骨干设备。<h1 style="color: black; text-align: left; margin-bottom: 10px;">3.2 STP生成树优化</h1>
网络中互联交换机之间虽然启用了生成树协议，然则并不完善，非常多优化策略并无运用，例如边缘端口和bpduguard等。边缘端口（portfast）指的是不直接与任何交换机连接，亦不经过端口所连接的网络间接与任何交换机相连的端口。用户倘若将某个端口指定为边缘端口，那样当该端口由堵塞状态向转发状态迁移时，这个端口能够实现快速迁移，而无需等待延迟时间。
图1 配置STP功能图
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-axegupay5k/0956a5f9ecc14c818362f2dbb948d955~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1725641323&x-signature=L6DYwB8BcZwGr%2FeIBFUNvRwNTpQ%3D" style="width: 50%; margin-bottom: 20px;"></div>
配置STP功能
配置环网中的设备生成树协议工作在STP模式
 stp mode stp # 配置交换设备SwitchA的STP工作模式。
 stp mode stp # 配置交换设备SwitchB的STP工作模式。
 stp mode stp # 配置交换设备SwitchC的STP工作模式。
 stp mode stp # 配置交换设备SwitchD的STP工作模式。
所有交换机配置STP域名
stp region-configuration
region-name XXX
配置根桥和备份根桥设备
 stp root primary # 配置SwitchA为根桥。
 stp root secondary # 配置SwitchD为备份根桥。
配置端口的路径开销值，实现将该端口阻塞
 stp pathcost-standard legacy # 配置SwitchA的端口路径开销计算办法为华为计算办法。
 stp pathcost-standard legacy # 配置SwitchB的端口路径开销计算办法为华为计算办法。
 stp pathcost-standard legacy # 配置SwitchC端口GigabitEthernet0/0/1端口路径开销值为20000。
 interface gigabitethernet 0/0/1
 stp cost 20000
 quit
 stp pathcost-standard legacy # 配置SwitchD的端口路径开销计算办法为华为计算办法。
与终端相连的交换端口开启BPDU守护与过滤功能
将与PC机相连的端口设置为边缘端口并使能端口的BPDU报文过滤功能
 interface gigabitethernet 0/0/2
 stp edged-port enable
 stp bpdu-filter enable
在全局视图：stp bpdu-protection
<h1 style="color: black; text-align: left; margin-bottom: 10px;">3.2 MSTP生成树优化</h1>
在一个繁杂的网络中，因为冗余备份的需要，规划者一般都倾向于在设备之间安排多条理学链路，其中一条做为主用链路，其他做为备份链路。这般就难免会形成环路，若网络中存在环路，可能会导致广播风暴和MAC表项被破坏。为此，能够在网络中安排MSTP协议预防环路。MSTP可阻塞二层网络中的冗余链路，将网络修剪成树状，达到消除环路的目的。
图2 配置MSTP功能图
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-6w9my0ksvp/9b63bf7e0325496f91e982273431ba28~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1725641323&x-signature=cavpLMix6maViZQcm6%2F%2BwsKjDjI%3D" style="width: 50%; margin-bottom: 20px;"></div>
配置MSTP功能
配置MST域
[~SwitchA] stp region-configuration
[~SwitchA-mst-region] region-name RG1
[*SwitchA-mst-region] instance 1 vlan 2 to 10
[*SwitchA-mst-region] instance 2 vlan 11 to 20
[*SwitchA-mst-region] commit
配置SwitchB的MST域
[~SwitchB] stp region-configuration
[~SwitchB-mst-region] region-name RG1
[*SwitchB-mst-region] instance 1 vlan 2 to 10
[*SwitchB-mst-region] instance 2 vlan 11 to 20
[*SwitchB-mst-region] commit
配置SwitchC的MST域。
[~SwitchC] stp region-configuration
[~SwitchC-mst-region] region-name RG1
[*SwitchC-mst-region] instance 1 vlan 2 to 10
[*SwitchC-mst-region] instance 2 vlan 11 to 20
[*SwitchC-mst-region] commit
配置SwitchD的MST域。
[~SwitchD] stp region-configuration
[~SwitchD-mst-region] region-name RG1
[*SwitchD-mst-region] instance 1 vlan 2 to 10
[*SwitchD-mst-region] instance 2 vlan 11 to 20
[*SwitchD-mst-region] commit
配置MSTI1的根桥与备份根桥
[~SwitchA] stp instance 1 root primary //配置SwitchA为MSTI1的根桥
[~SwitchB] stp instance 1 root secondary //配置SwitchB为MSTI1的备份根桥
配置MSTI2的根桥与备份根桥
[~SwitchB] stp instance 2 root primary //配置SwitchB为MSTI2的根桥
[~SwitchA] stp instance 2 root secondary //配置SwitchA为MSTI2的备份根桥
配置SwitchA的端口路径开销值的计算办法为华为计算办法
[~SwitchA] stp pathcost-standard legacy
配置SwitchB的端口路径开销计算办法为华为计算办法
[~SwitchB] stp pathcost-standard legacy
配置SwitchC的端口路径开销计算办法为华为计算办法，将端口10GE1/0/2在实例MSTI2中的路径开销值配置为20000。
[~SwitchC] stp pathcost-standard legacy
[*SwitchC] interface 10ge 1/0/2
[*SwitchC-10GE1/0/2] stp instance 2 cost 20000
[*SwitchC-10GE1/0/2] commit
配置SwitchD的端口路径开销计算办法为华为计算办法，将端口10GE1/0/2在实例MSTI1中的路径开销值配置为20000。
[~SwitchD] stp pathcost-standard legacy
[*SwitchD] interface 10ge 1/0/2
[*SwitchD-10GE1/0/2] stp instance 1 cost 20000
[*SwitchD-10GE1/0/2] commit
设备全局开启MSTP
[~SwitchA] stp enable //在SwitchA上起步MSTP
[~SwitchB] stp enable //在SwitchB上起步MSTP
[~SwitchC] stp enable //在SwitchC上起步MSTP
[~SwitchD] stp enable //在SwitchD上起步MSTP
将与终端相连的所有端口都关闭MSTP
# 配置SwitchC端口10GE1/0/1的STP去使能。
[~SwitchC] interface 10ge 1/0/1
[~SwitchC-10GE1/0/1] stp disable
[*SwitchC-10GE1/0/1] commit
# 配置SwitchD端口10GE1/0/1的STP去使能。
[~SwitchD] interface 10ge 1/0/1
[~SwitchD-10GE1/0/1] stp disable
[*SwitchD-10GE1/0/1] commit
配置守护功能
如在各实例的根桥设备的指定端口配置根守护功能
[~SwitchA] interface 10ge 1/0/1 //在SwitchA端口10GE1/0/1上起步根守护
[~SwitchA-10GE1/0/1] stp root-protection
[*SwitchA-10GE1/0/1] commit
[~SwitchB] interface 10ge 1/0/1 //在SwitchB端口10GE1/0/1上起步根守护
[~SwitchB-10GE1/0/1] stp root-protection
[*SwitchB-10GE1/0/1] commit
<h1 style="color: black; text-align: left; margin-bottom: 10px;">3.3 安排环路检测功能</h1>
网络中的环路会引起设备对广播、组播以及未知单播等报文进行重复发送，导致网络资源浪费乃至网络瘫痪。为了能够即时发掘二层网络中的环路，Loop Detection正是这般的检测技术。它经过从接口周期性发送检测报文，检测该报文是不是返回本设备（不需求收、发接口为同一接口），从而判断该接口、设备所在网络或设备下挂网络是不是存在环路。
图3配置STP功能图
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-6w9my0ksvp/98e39996bfaf445890534be917f42b5f~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1725641323&x-signature=G2%2BsusouuhLjRrsRytdOWPf8HsU%3D" style="width: 50%; margin-bottom: 20px;"></div>
开启全局的Loop Detection功能
 sysname Switch
 loop-detection enable //使能全局的Loop Detection功能
开启VLAN的Loop Detection功能
 vlan batch 10 to 20
 loop-detection enable vlan 10 to 20 //配置设备对VLAN10到VLAN20下的所有接口进行环路检测
配置Loop Detection检测报文的发送周期
 loop-detection interval-time 10 //配置Loop Detection检测报文的发送周期为10s
配置Loop Detection处理动作
打开Loop Detection告警开关。
 snmp-agent trap enable feature-name ldttrap //打开Loop Detection的告警开关，使设备拥有发送Loop Detection Trap报文的功能
配置Loop Detection处理动做为Shutdown。
 interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] stp disable //去使能接口的STP功能

 port hybrid tagged vlan 10 to 20
[Switch-GigabitEthernet1/0/1] loop-detection mode port-shutdown //配置Loop Detection检测到环路时对接口GE1/0/1的处理动做为Shutdown
<h1 style="color: black; text-align: left; margin-bottom: 10px;">3.4 广播域控制</h1>
广播域掌控反常流量的办法有两种，分别是流量控制和风暴掌控，两种用于掌控广播、未知组播以及未知单播报文，防止这三类报文导致广播风暴的安全技术。
流量控制重点经过配置阈值来限制流量，而风暴掌控则重点经过关闭端口来阻断流量
图4配置组网图
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-6w9my0ksvp/5263871c45224e0e85bef9260069f862~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1725641323&x-signature=MuXAcbTlwrFxMLJCzH5J9VgjJ80%3D" style="width: 50%; margin-bottom: 20px;"></div>
流量控制配置
 interface gigabitethernet 0/0/1 //进入接口视图
配置广播流量控制，按百分比控制，百分比值为20%。
 broadcast-suppression 20
配置未知组播流量控制，按百分比控制，百分比值为20%。
 multicast-suppression 20
配置未知单播流量控制，按百分比控制，百分比值为20%。
 unicast-suppression 20
验证配置结果
执行命令display flow-suppression interface查看GE0/0/1接口下的流量控制配置状况。
 display flow-suppression interface gigabitethernet 0/0/1
风暴掌控配置
 interface gigabitethernet0/0/1 //进入接口视图
配置广播风暴掌控最小1000个包，最大2000个包
 storm-control broadcast min-rate 1000 max-rate 2000
配置未知组播风暴掌控最小1000个包，最大2000个包
 storm-control multicast min-rate 1000 max-rate 2000
配置未知单播风暴掌控最小1000个包，最大2000个包
 storm-control unicast min-rate 1000 max-rate 2000
配置风暴掌控的动做为阻塞报文
 storm-control action block
配置打开风暴掌控时记录日志的功能
 storm-control enable log
配置风暴掌控的检测时间间隔
 storm-control interval 90
验证配置结果
执行命令display storm-control interface查看GE0/0/1接口下的风暴控制配置状况。
 display storm-control interface gigabitethernet 0/0/1
<h1 style="color: black; text-align: left; margin-bottom: 10px;">3.5 DHCP防护</h1>
DHCP Server仿冒者攻击：在网络上随意添加一台DHCP服务器，它能够为客户端分配IP位置以及其他网络参数。倘若该DHCP服务器为用户分配错误的IP位置和其他网络参数，将会对网络导致非常大的害处。
为了为DHCP用户供给更优秀的服务，网络管理员能够经过配置DHCP Snooping功能，实现DHCP攻击防范。
图5配置组网图
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-6w9my0ksvp/58aef5ee0784459a8033491f9e810b63~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1725641323&x-signature=sK0ifPgS2onJMHjifW%2FpEgV%2BUig%3D" style="width: 50%; margin-bottom: 20px;"></div>
图5
开启DHCP Snooping基本功能
使能全局DHCP Snooping功能并配置设备仅处理DHCPv4报文
 dhcp snooping enable ipv4
使能用户侧接口的DHCP Snooping功能。以GE1/0/1接口为例，GE1/0/2的配置与GE1/0/1接口相同，再也不赘述。
 interface gigabitethernet 1/0/1
 dhcp snooping enable
使能ARP与DHCP Snooping的联动功能。
 arp dhcp-snooping-detect enable
检测DHCP Request报文中GIADDR字段是不是非零的功能。以GE1/0/1接口为例，GE1/0/2的配置与GE1/0/1接口相同，再也不赘述。
 interface gigabitethernet 1/0/1
 dhcp snooping check dhcp-giaddr enable
配置DHCP报文上送DHCP报文处理单元的最大准许速率并丢弃报文告警功能
配置DHCP报文上送DHCP报文处理单元的最大准许速率为90pps。
 dhcp snooping check dhcp-rate enable
 dhcp snooping check dhcp-rate 90
使能丢弃报文告警功能，并配置报文限速告警阈值。
 dhcp snooping alarm dhcp-rate enable
 dhcp snooping alarm dhcp-rate threshold 500
在用户侧接口进行配置。以GE1/0/1接口为例，GE1/0/2的配置与GE1/0/1接口相同，再也不赘述。
 interface gigabitethernet 1/0/1
 dhcp snooping check dhcp-request enable
 dhcp snooping alarm dhcp-request enable
 dhcp snooping alarm dhcp-request threshold 120
配置接口准许接入的最大用户数并使能对CHADDR字段检测功能，同期使能数据帧头MAC位置与DHCP报文中的CHADDR字段不一致被丢弃的报文达到阈值时产生告警信息功能。
在用户侧接口进行配置。以GE1/0/1接口为例，GE1/0/2的配置与GE1/0/1接口相同，再也不赘述。
 interface gigabitethernet 1/0/1
 dhcp snooping max-user-number 20
 dhcp snooping check dhcp-chaddr enable
 dhcp snooping alarm dhcp-chaddr enable
 dhcp snooping alarm dhcp-chaddr threshold 120
 quit

4zhvml8 发表于 2024-9-27 17:38:47

认真阅读了楼主的帖子，非常有益。

4zhvml8 发表于 2024-9-29 16:40:25

你的留言真是温暖如春，让我感受到了无尽的支持与鼓励。

nqkk58 发表于 2024-10-4 20:17:07

你的见解真是独到，让我受益良多。

4lqedz 发表于 2024-11-7 17:54:47

楼主的文章非常有意义，提升了我的知识水平。

页: [1]

天涯论坛's Archiver

企业网络建设之二层网络技术优化办法