德國hirschmann交換機技術數據與操作

hirschmann交換機：交換機端口限速總結

可限速的交換機一般都在三層或者以上的交換機，自2008年之后新出的交換機型號二層設備就可以做到QOS限速，度達到1Mbps，例如Cisco 2960系列交換機。在這之后的大多數國內的標準二層交換機都可以做多限速，度基本能達到1Mbps，比如中興的標準二層，H3C的標準二層都可以做到。老式的CISCO標準二層交換機例如2950類的交換也可以做到限速，但是度只能達到10Mbps。2950G的交換和2950 為EI型 的交換沒有太大的限速區別，因為限速和IOS有關系，2950 系列的交換IOS版本一般都是在9.0 左右，的2960系列交換機 IOS 版本在 12.2 左右，高版本的IOS 提供了更強的系統功能。

下面針對一些限速的方法進行總結：

PC1接在Cisco3550 F0/1上，速率為1M;

PC1接在Cisco3550 F0/2上，速率為2M;

Cisco3550的G0/1為出口。

PC是直接接在三層交換機端口的，意思就是說限制的是三層交換機端口的上下行流量控制，同理，如果三層交換機端口不是接PC，而是一個二層交換機，那么可以對下層的設備進行上聯限速。

注:每個接口每個方向只支持一個策略;一個策略可以用于多個接口。因此所有PC的下載速率的限制都應該定義。在同一個策略(在本例子當中為policy-map user-down)，而PC不同速率的區分是在Class-map分別定義。

1、在交換機上啟動QOS

Switch(config)#mls qos //在交換機上啟動QOS

2、分別定義PC1(10.10.1.1)和PC2(10.10.2.1)訪問控制列表

Switch(config)#access-list 10 permit 10.10.1.0 0.0.0.255 //控制pc1上行流量

Switch(config)#access-list 100 permit any 10.10.1.0 0.0.0.255 //控制pc1下行流量

Switch(config)#access-list 11 permit 10.10.2.0 0.0.0.255 //控制pc2上行流量

Switch(config)#access-list 111 permit any 10.10.2.0 0.0.0.255 //控制pc2下行流量

3、定義類，并和上面定義的訪問控制列表綁定

Switch(config)# class-map user1-up //定義PC1上行的類，并綁定訪問列表10

Switch(config-cmap)# match access-group 10

Switch(config-cmap)# exit

Switch(config)# class-map user2-up

Switch(config-cmap)# match access-group 11 //定義PC2上行的類，并綁定訪問列表10

Switch(config-cmap)# exit

Switch(config)# class-map user1-down

Switch(config-cmap)# match access-group 100 //定義PC1下行的類，并綁定訪問列表100

Switch(config-cmap)# exit

Switch(config)# class-map user2-down

Switch(config-cmap)# match access-group 111 //定義PC2下行的類，并綁定訪問列表111

Switch(config-cmap)# exit

4、定義策略，把上面定義的類綁定到該策略

Switch(config)# policy-map user1-up //定義PC1上行的速率為1M

Switch(config-pmap)# class user1-up

Switch(config-pmap-c)# trust dscp

Switch(config-pmap-c)# 1024000 1024000 exceed-action drop

Switch(config)# policy-map user2-up //定義PC2上行的速率為2M

Switch(config-pmap)# class user2-up

Switch(config-pmap-c)# trust dscp

Switch(config-pmap-c)# 2048000 1024000 exceed-action drop

Switch(config)# policy-map user-down //定義PC1下行的速率為1M

Switch(config-pmap)# class user1-down

Switch(config-pmap-c)# trust dscp

Switch(config-pmap-c)# 1024000 1024000 exceed-action drop

Switch(config-pmap-c)# exit

Switch(config-pmap)# class user2-down //定義PC2下行的速率為2M

Switch(config-pmap-c)# trust dscp

Switch(config-pmap-c)# 2048000 1024000 exceed-action drop

Switch(config-pmap-c)# exit

5、在接口上運用策略

Switch(config)# interface f0/1 //進入PC1端口上聯交換機端口配置模式

Switch(config-if)# service-policy input user1-up //綁定PC1上行策略為user1-up

Switch(config)# interface f0/2 //進入PC2端口上聯交換機端口配置模式

Switch(config-if)# service-policy input user2-up //綁定PC2上行策略為user2-up

Switch(config)# interface g0/1 //進入交換機上聯千兆端口配置模式

Switch(config-if)# service-policy input user-down //綁定交換機上聯端口策略為 user-down

利用三層交換中的strom-control（風暴控制）功能，該功能是基于端口控制單播\多播\組播,可以到0.01%，但是一個近似值 。此方法是一個門限方式，限制監控時間為每秒，超過設置的門限便丟棄包，并且用戶是不知情的，以為是網絡終端，或者遠程無響應，顯然這種方式不能確保終端用戶每時每刻的網絡暢通，所以本人認為此方法只適用于某些場合，或者和其它策略配合使用。

具體配置方法：

Switch(config)# interface f0/1 //進入交換機端口配置模式

Switch(config-if)# strom-control unicast/broadcast/multi level 10 //該port帶寬的10%

理解風暴控制

風暴控制防止交換機的端口被局域網中的廣播、多播或者一個物理端口上的單播風暴所破壞。局域網風暴發生在包在局域網中泛洪，建立的過多的流量并喪失了網絡性能。協議棧中的錯誤或者網絡配置上的錯誤可以導致風暴。

風暴控制(或者叫流量壓制)管理進棧的流量狀態，通過一段時間和對比測量帶有預先設定的壓制級別門限值的方法來管理。門限值表現為該端口總的可用帶寬的百分比。交換機支持單獨的風暴控制門限給廣播、組播和單播。如果流量類型的門限值達到了，更多這種類型的流量就會受到壓制，直到進棧流量下降到門限值級別以下。

注意：當組播的速度超出一組門限，所有的進站流量(廣播組播單播)都會被丟棄，直到級別下降到門限級別以下。只有stp的包會被轉發。當廣播和單播門限超出的時候，只有超出門限的流量會被封閉。

當風暴控制開啟了時，交換機監視通過接口的包來交換總線和決定這個包是單播，組播還是廣播。交換機監視廣播組播和單播的數目，每1秒鐘一次，并且當某種類型流量的門限值到達了，這種流量就會被丟棄了。這個門限以可被廣播使用的總的可用帶寬的百分比被。

以下是一個接口上的一段時間內的廣播流量的模型曲線圖。

這個例子也可被組播和單播流量套用。在這個例子中，廣播流量在T1-T2、T4-T5時間之間被轉發超過配置門限值所有的該種流量都在下一個時間被丟棄。因此廣播流量在T2和T5時間內是被封閉的。在下一個時斷，T3，如果廣播流量沒有超出限制，那么它又被轉發了。

風暴控制算法的工作是風暴控制抑制級別和每秒鐘間隔控制的結合。一個更高的門限允許更多的包通過。如果把門限值設置成意味著將不會限制所有任何的流量。0%意味著所有的廣播組播和單播流量都會被封閉。

注意：因為包不會在統一時間間隔內到達，每秒鐘間隔間如果沒有流量會影響風暴控制。

交換機持續監視端口的流量，而且當利用級別降到門限以下，這種被丟棄類型的流量，又會被再次轉發。

你可以使用storm-control接口命令來設定門限值給每一種類型的流量。

默認的風暴控制配置：默認地，單播組播廣播的風暴控制都是在交換機上關閉的，意味著：壓制級別都是。

開啟風暴控制：你在接口開啟風暴控制，并輸入總可用帶寬的百分比來確定你要使用給該種流量；輸入會允許所有流量。然而，因為硬件的限制以及包大小的不同的會導致偏差，門限值百分比是一個近似值。

注意：風暴控制僅支持在物理端口下使用；它不支持以太通道下使用，盡管能敲進去。

德國hirschmann赫斯曼交換機技術數據與操作

交換機的主機名、進入enable模式的密碼、遠程登陸的用戶名和密碼及設置、管理vlan的IP地址、交換機的默認網關、交換機的端口、SNMP服務、交換機時間設置等。這些和之前的2950交換機都是一樣的， 2960交換機和2950相比增加了限速等功能，由于今后客戶新上架除了簽署了流量合同的其他都要在交換機的端口上做限速。

首先也是十分重要的一點就是，在交換機的配置沒有完成前，特別是VTP模式的配置（一般情況下VTP的初始模式因配置為transparent模式）沒有完成前禁止將交換機接入網絡，以免使網絡中的VLAN信息發生改變，因當使用console線對其進行配置。

在剛開始配置2950的時候由于還沒有設置密碼，處于安全方面的考慮不要將其接入網絡，因使用console口對其進行配置。交換機剛加電啟動時所有的端口會進行自檢，開始時每個端口上的指示燈會呈琥珀色經過一段時間后熄滅。系統的指示等默認情況下會亮在SYST和 STAT兩個燈上。

交換機啟動后使用console線對其進行設置。Console線使用的是串行接口，串行口與電腦的串行口相連（如電腦沒有串行口可以使用轉接器連接），RJ-45的接頭和交換機的console口相連。線連好后在windows上點擊 開始→程序→附件→通訊→超級終端，在跳出新建連接對話框后在名稱一欄中填入想要新建的連接名稱，然后確定。接著所連接的COM口，在COM1屬性里波特率選擇“9600"，數據位選擇“8"，奇偶效驗選擇“無"，停止位選擇“1"，流量控制選擇“無"；或直接點擊“還原默認值"，確定進入2950配置界面。

2950如*次啟動會出現對話配置模式選項，選擇yes進入對話配置模式，選擇no進入CLI命令行界面。以下配置都在CLI模式下進行。

在CLI模式下交換機顯示：switch>

在此輸入命令 switch> 用戶模式

switch>enable 進入特權模式

switch# configure terminal 進入配置模式

switch(config)# 配置模式

設置主機名 switch(config)#hostname 主機名 一般情況下主機名的設置規則是switch后面跟交換機編號，如switch20、switch21等

設置enable密碼 switch(config)#enable secret 密碼 設置密碼時使用secret命令，因為它比password命令有更好的安全性，密碼用Password Agent軟件隨機生成12位包含數字和大小寫字母的密碼

設置遠程登陸的 switch(config)# username 用戶名privilege 權限 secret 密碼

用戶名、權限和密碼 在設置權限參數時一般填0(zui低權限)，用戶名統一為netmaster，密碼用Password Agent軟件隨機生成12位包含數字和大小寫字母的密碼

對所設置的密碼 switch(config)# service password-encryption 進行加密

設置管理vlan和 switch(config)# interface vlan1 進入管理vlan的配置

默認網關 switch(config-if)# ip address IP地址 子網掩碼 設置管理vlan的IP，遠程登陸使用此IP

switch(config-if)#no shutdown 啟用管理vlan

switch(config-if)#exit 退出管理vlan的配置

switch(config)# ip default-gateway IP地址 設置默認網關

設置交換機端口 switch(config)# interface FastEthernet 0/1 進入交換機的1號端口

switch(config-if)# description uplink port 對端口進行描述，默認時交換機1號口為上連口

switch(config-if)# switchport mode trunk 將上連口設為trunk模式

switch(config-if)# speed 100 設置端口速率

switch(config-if)# duplex full 端口設為全雙工模式

switch(config-if) interface range fastEthernet 0/2 -24

進入端口2至端口24的配置

switch(config-if-range)#shutdown 關閉這些端口，到使用時再打開

設置SNMP服務 switch(config)#snmp-server community 字符串LgB96G0o RO

命令允許讀訪問到任何提交community string為字符串的軟件，字符串設置要符合長度8位以上、需包含大小寫字母和數字

關閉http服務 switch(config)#no ip http server 由于開啟http服務在全全上存在隱患，因關閉

設置vty switch(config)#line vty 0 4 設置net為0至4共5條線路

switch24(config-line)# login local 使系統在遠程登錄時使用本地設置的用戶名和密碼進行驗證

設置timestamps switch(config)# service timestamps debug datetime

switch(config)# service timestamps log datetime 默認時debug/log為uptime，改為datetime

設置VTP模式 switch#vlan database 進入VTP的設置

switch (vlan)#vtp transparent 將VTP模式設置為transparent模式

設置交換機時間 switch#clock set hh:mm:ss

保存交換機的設置 switch#copy running-config startup-config

查看交換機設置 switch#show running-config 查看交換機的配置

端口流量的限制

交換機端口流量的限制是用policy-map來實現的。

switch (config)#ip access-list standard name // 建立標準的命名訪問控制列表，name為ACL的名稱

Switch (config-std-nacl)# permit any // 匹配任何ip

Switch (config)#class-map name // 設置QoS Class Map

Switch (config-cmap)#match access-group name name // 綁定ACL列表

Switch (config)#policy-map name // 設置策略名稱

Switch (config-pmap)#class name // 綁定class-map

Switch (config-pmap-c)#3000000 100000 exceed-action drop 定義策略正常速率為每秒3Mbit，允許超出的范圍是100KByte，超出范圍的數據包就drop

Switch (config)#interface range fastEthernet 0/1 – 24 // 進入1－24端口，默認交換機除了上聯口外都要做限速

Switch (config-if)#service-policy input name //在端口上進的方向綁定策略

Switch (config) #mls qos //啟用mls qos使策略生效

端口綁定MAC地址

進入配置模式后用以下命令綁定：

Switch(config-if )switchport port-security mac-address MAC(主機的MAC地址)

解除綁定

Switch(config-if )no switchport port-security mac-address MAC(主機的MAC地址)

二層交換機如何限速？

使用cisco 2950 交換機，每個端口都是二層接入，如何限速？

使用service-policy可以進行端口限速：

可以先定義class，然后

Switch(config)# policy-map policy1

Switch(config-pmap)# class class1

Switch(config-pmap-c)# 1000000 65536 exceed-action drop

然后在接口下配置：

Switch(config)# interface gigabitethernet0/17

Switch(config-if)# service-policy input plcmap1

給個6500上的限速例子：

Mls qos aggregate- test 50000000 100000 conform-action transmit exceed-action drop

Mls qos

class-map match-any test_limite

match access-group name test_addr

policy-map rate-limit-uplink

class test_limite

aggregate test

ip access-list extended test_addr

permit ip any x.x.x.x 0.0.0.255

inter g0/1

service-policy input rate-limit-uplink

總結:Cisco交換機端口限速常用配置，以前端口限速的工作都是由上級部門來做，zui近由于分公司自己的內部客戶需求，我們要為其提供50M的帶寬.　為此我們可是煞費苦心作了兩天的測試，先來說說我們測試的設備連接情況：

思科3560端口0/47（模擬用戶）——————思科6509端口0/1、0/2（模擬局端，兩條路有上聯，熱備）。

測試方法在3560及6509上分別起ftp進行測速

重點來了，來說說6509上的命令吧：

mls qos aggregate- test 50000000 100000 conform-action transmit exceed-action drop

mls qos

class-map match-any test_limite

match access-group name test_addr

policy-map rate-limit-uplink

class test_limite

aggregate test

ip access-list extended test_addr (因為上下行都引用策略一樣因此不單獨做acl)

permit ip any x.x.x.x 0.0.0.3 (分配給用戶的互聯網地址段A）

permit ip x.x.x.x 0.0.0.3 any

permit ip any x.x.x.x 0.0.0.3 (分配給用戶的互聯網地址段B）

permit ip x.x.x.x 0.0.0.3 any

inter f0/1

ip addre x.x.x.x 255.255.255.252

service-policy input test_uplink限制上傳

inter f0/2

ip addre x.x.x.x 255.255.255.252

service-policy input test_uplink限制上傳

inter g0/47

service-policy input rate-limit-uplink限制下載

經過測試，這個方案成功了！有幾點需要解釋一下，因為35和65只有在input方向才能引用策略，所以同時對上行和下載作限速需要在上聯和下載兩方向的端口上做，其次，我們中間有很多彎路，說來給大家提個醒，開始我們用的測試設備性能很低，所以始終測試不出理想的結果，很泄氣，無意中拿了的一臺電腦去測試，結果居然出人意料，后來又找了一臺高性能設備進行測試，結果非常理想，在此提醒大家，低性能的設備在測試高帶寬的時候要特別注意。

華為的2層交換機，是直接進端口后，用line-rate對上下行進行限速，不過好像是要雙向做

Cisco Catalyst 2960系列智能以太網交換機是一個全新的、固定配置的獨立設備系列，提供桌面快速以太網和千兆以太網連接，可為入門級企業、中型市場和分支機構網絡提供增強LAN服務。Catalyst2960系列具有集成安全特性，包括網絡準入控制(NAC)、服務質量(QoS)和永續性，可為網絡邊緣提供智能服務。

Cisco Catalyst 2960系列提供：為網絡邊緣提供了智能特性，如優良的訪問控制列表 (ACL)和增強安全特性雙介質上行鏈路端口提供了千兆以太網上行鏈路靈活性，可以使用銅纜或光纖上行鏈路端口—每個介質上行鏈路端口都有一個10/100/1000以太網端口和一個小型可插拔(SFP)千兆以太網端口，在使用時其中一個端口激活，但不能同時使用這兩個端口。通過QoS、速率限制、ACL和組播服務，實現了網絡控制和帶寬優化。通過多種驗證方法、數據加密技術和基于用戶、端口和MAC地址的網絡準入控制，實現了網絡安全性，通過思科網絡助理，簡化了網絡配置、升級和故障診斷，使用Smartports自動配置特定應用

Cisco Catalyst 2960-24TT：24個10/100以太網端口和2個10/100/1000固定以太網上行鏈路端口；1機架單元(RU)

Cisco Catalyst 2960-48TT：48個10/100以太網端口和2個10/100/1000固定以太網上行鏈路端口；1 RU

Cisco Catalyst 2960-24TC：24個10/100以太網端口和2個雙介質上行鏈路端口；1 RU

Cisco Catalyst 2960-48TC：48個10/100以太網端口和2個雙介質上行鏈路端口；1 RU

Cisco Catalyst 2960G-24TC：20個10/100/1000以太網端口，其中4個為雙介質端口；1 RU

CiscoCatalyst2960系列軟件鏡像提供了一系列豐富的智能服務，包括QoS、速率限制和ACL。SFP千兆以太網端口可安裝多種SFP收發器，包括Cisco1000BASE-SX、1000BASE-LX、1000BASE-BX、1000BASE-ZX、100BASE-FX、100BASE-LX10、100BASE-BX和粗波分多路復用 (CWDM) SFP收發器。

QoS:

提供了802.1p CoS和DSCP現場分類，可以利用源和目的地IP地址、源和目的地MAC地址或者第四層TCP/UDP端口號

進行基于單個分組的標記和重新分類。

所有端口上的思科控制平面和數據平面QoS ACL可以確保在單個分組的基礎上進行正確的標記。每個端口的4個輸出隊列讓用戶可以對堆疊中zui多四種流量類型進行不同的管理。

SRR調度確保了用戶可以通過智能化地服務于輸入和輸出隊列，為數據流量提供不同的優先級。加權隊尾丟棄（WTD）可以在發生中斷之前，為輸入和輸出隊列提供擁塞避免功能。

嚴格優先級排序可以確保優先級zui高的分組先于所有其他流量獲得服務。

高度的QoS功能不會對性能造成任何影響。

的速率限制:

思科CIR功能能夠以低達1Mbps的度保障帶寬。

速率限制基于源和目的地IP地址、源和目的地MAC地址、第四層TCP/UDP信息或者這些字段的任意組合，并利用QoS 、ACL（IP ACL或者MAC ACL）、級別圖和策略圖提供。

利用輸入策略控制和輸出整形，可以方便地管理來自于基站或者上行鏈路的異步上行和下行數據流。 每個快速以太網或者千兆以太網端口zui多可以支持64個匯總或者單獨策略控制器。

德國hirschmann赫斯曼交換機技術數據與操作