1、史上最详细全中文Cisco 3560 交换机使用手册(末尾送交换机安全技术)目 录CISCO Catalyst 3560-E 系列交换机的功能应用及安全解决方案 .4一、Cisco Catalyst 3560-E 系列交换机介绍 .41、概述 .42、交换机配置 .43、Cisco Catalyst 3560-E 软件 .64、万兆以太网上行链路和 Cisco TwinGig SFP 转换器 .65、模块化电源 .66、以太网供电 .77、冗余电源系统 .78、主要特性和优势 .79、可用性和可扩展性 .710、高性能 IP 路由 .811、出色的服务质量 .812、高级安全特性 .813、智
2、能以太网供电(PoE)管理 .1014、管理和控制特性 .1015、网络管理工具 .10二、Cisco Catalyst 3560-E 系列交换机配置 .101、访问设备的方式 .102、查看 CISCO 设备的简单运行状态 .103、Catalyst 3560 接口说明 .104、Catalyst 3560 接口配置 .105、交换机的启动及基本配置案例 .106、交换机的端口和 MAC 地址表的设置 .147、配置 VLAN.157.1 vlan 简介 .157.2 VLAN 的的特性 .157.3 VLAN 配置 .157.4 VLAN 的删除 .167.5 将端口分配给一个 VLAN.
3、167.6 配置 VLAN.167.7 配置 VTP DOMAIN VTP DOMAIN 称为管理域。 .177.8 配置 VLAN 接口地址 .177.9、cisco 3560 pvlan 配置实例 .188、交换机 HSRP 配置 .199、 路由协议配置 .209.1 RIP 路由 .209.2 OSPF 路由 .21三、Cisco Catalyst 3560-E 系列交换机安全防护 .221、思科交换机端口配置 VLAN 跟 IP 地址捆绑 .222、配置 802.1X 身份验证协议 .243、访问控制列表的应用 .24案例一：VLAN1 和 VLAN2 不能互访,但都可以和 VLAN
4、3 互相访问 .24案例二：要求所有 VLAN 都不能访问 VLAN3 但 VLAN3 可以访问其他所有 VLAN 25案例三：用单向访问控制列表（reflect+evalute） .254、Cisco3560 交换机端口限速配置 .265.交换机服务的安全策略 .276. 交换机端口安全-端口隔离 .30CISCO Catalyst 3560-E 系列交换机的功能应用及安全解决方案一、Cisco Catalyst 3560-E 系列交换机介绍1、概述Cisco Catalyst 3560-E 系列交换机(图 1)是一个企业级独立式配线间交换机系列，支持安全融合应用的部署，并能根据网络和应用需
5、求的发展，最大限度地保护投资。通过将 10/100/1000 和以太网供电(PoE)配置与万兆以太网上行链路相结合，Cisco Catalyst 3560-E 能够支持 IP 电话、无线和视频等应用，提高了员工生产率。Cisco Catalyst 3560-E 系列的主要特性：（1）Cisco TwinGig 转换器模块，将上行链路从千兆以太网移植到万兆以太网 （2）PoE 配置，为所有 48 个端口提供了 15.4W PoE （3）模块化电源，可带外部可用备份电源 （4）在硬件中提供组播路由、IPv6 路由和访问控制列表 （5）带外以太网管理端口，以及 RS-232 控制台端口 图 1. C
6、isco Catalyst 3560-E 系列交换机2、交换机配置（1）Cisco Catalyst 3560-E 系列交换机的配置：交换机配置特性 说明 Cisco Catalyst 3560E-24TD24 个以太网 10/100/1000 端口和 2 个 X2 万兆以太网上行链路 Cisco Catalyst 3560E-24PD24 个以太网 10/100/1000 端口，带 PoE，2 个 X2 万兆以太网上行链路 Cisco Catalyst 3560E-48TD48 个以太网 10/100/1000 端口和 2 个 X2 万兆以太网上行链路 Cisco Catalyst 3560
7、E-48PD48 个以太网 10/100/1000 端口，带 PoE，2 个 X2 万兆以太网上行链路 Cisco Catalyst 3560E-48PD-F48 个以太网 10/100/1000 端口，每个端口支持 15.4W PoE，2个 X2 万兆以太网上行链路 （2）Cisco Catalyst 3560 系列交换机硬件说明 规格 性能 32Gbps 交换矩阵，38.7Mpps(Cisco Catalyst 3560G-24TS 和 Catalyst 3560G-PS，以及 Cisco Catalyst 3560G-48TS 和 Catalyst 3560G-48PS)； 17.6Gb
8、ps 交换矩阵，13.1Mpps(Cisco Catalyst 3560-48PS)；8.8Gbps 交换矩阵，6.6Mpps (Cisco Catalyst 3560-24PS) 128MB DRAM 32MB 闪存(Cisco Catalyst 3560G-24TS 和 Catalyst 3560G-24PS，以及Cisco Catalyst 3560G-48TS 和 Catalyst 3560G-48PS)；16MB 闪存(Cisco Catalyst 3560-48PS 和 Catalyst 3560-24PS) 最多可以配置 12000 个 MAC 地址 最多可以配置 11000 个
9、单播路由和 1000 个 IGMP 群组和组播路由 可配置的最大传输单元（MTU）为 9000 字节；用于千兆位以太网端口上桥接的最大以太网帧为 9018 字节（巨型帧）；用于 10/100 端口上桥接的最大多协议标签交换（MPLS）标记帧为 1546 字节 （3）Cisco Catalyst 3560 系列交换机产品对比说明产品说明产品编号 说明 WS-C3560-24PS-S 24 个以太网 10/100 端口和 2 个基于 SFP 的千兆位以太网端口 安装了标准多层软件镜像（SMI），提供基本 RIP 和静态路由，可升级到全动态 IP 路由 WS-C3560-24PS-E 24 个以太网
10、 10/100 端口和 2 个基于 SFP 的千兆位以太网端口 安装了增强多层软件镜像（EMI），提供高级 IP 路由 WS-C3560-48PS-S 48 个以太网 10/100 端口和 4 个基于 SFP 的千兆位以太网端口 安装了标准多层软件镜像（SMI），提供基本 RIP 和静态路由，可升级到全动态 IP 路由 WS-C3560-48PS-E 48 个以太网 10/100 端口和 4 个基于 SFP 的千兆位以太网端口 安装了增强多层软件镜像（EMI），提供高级 IP 路由 WS-C3560G-24TS-S 24 个以太网 10/100/1000 端口和 4 个基于 SFP 的千兆位以
11、太网端口 安装了标准多层软件镜像（SMI），提供基本 RIP 和静态路由，可升级到全动态 IP 路由 WS-C3560G-24TS-E 24 个以太网 10/100/1000 端口和 4 个基于 SFP 的千兆位以太网端口 安装了增强多层软件镜像（EMI），提供高级 IP 路由 WS-C3560G-48TS-S 48 个以太网 10/100/1000 端口和 4 个基于 SFP 的千兆位以太网端口 安装了标准多层软件镜像（SMI），提供基本 RIP 和静态路由，可升级到全动态 IP 路由 WS-C3560G-48TS-E 48 个以太网 10/100/1000 端口和 4 个基于 SFP 的千
12、兆位以太网端口 安装了增强多层软件镜像（EMI），提供高级 IP 路由 WS-C3560G-24PS-S 24 个以太网 10/100/1000 端口和 4 个基于 SFP 的千兆位以太网端口 安装了标准多层软件镜像（SMI），提供基本 RIP 和静态路由，可升级到全动态 IP 路由 WS-C3560G-24PS-E 24 个以太网 10/100/1000 端口和 4 个基于 SFP 的千兆位以太网端口 安装了增强多层软件镜像（EMI），提供高级 IP 路由 48 个以太网 10/100/1000 端口和 4 个基于 SFP 的千兆位以太网端口 WS-C3560G-48PS-S 安装了标准多层
13、软件镜像（SMI），提供基本 RIP 和静态路由，可升级到全动态 IP 路由 WS-C3560G-48PS-E 48 个以太网 10/100/1000 端口和 4 个基于 SFP 的千兆位以太网端口 安装了增强多层软件镜像（EMI），提供高级 IP 路由 3、Cisco Catalyst 3560-E 软件Cisco Catalyst 3560-E 系列配备 IP Base 或 IP Services 特性集。IP Base 特性集包括高级服务质量（QoS）、限速、访问控制列表（ACL）以及基本的静态和路由信息协议（RIP）路由功能。IP Services 特性集则提供一组更加丰富的企业级功能
14、，包括先进的、基于硬件的 IP 单播和组播路由(EIGRP、OSPF、BGP、PIM 等)。此外，它还提供了一个Advanced IP Services 特性集支持 IPv6 路由。通过 Cisco IOS 软件激活功能，客户能够透明地升级 Cisco Catalyst 3560-E 系列交换机中的软件特性集。软件激活能够授权和支持 Cisco IOS 软件特性集。交换机中包含一个特殊的文件，称之为许可证文件，当交换机启动时 Cisco IOS 软件将对其进行检查。Cisco IOS 软件能根据许可证的类型，激活相应的特性集。许可证类型能够改变或升级，以激活不同的特性集。4、万兆以太网上行链路
15、和 Cisco TwinGig SFP 转换器Cisco Catalyst 3560-E 为高带宽应用提供了线速万兆以太网上行链路端口，能够消除拥塞，确保数据的顺利分发。TwinGig 转换器(见图 2)能将 1 个万兆以太网 X2 接口转换成2 个千兆以太网小型可插拔(SFP)端口。因此，客户能够在开始时使用配备千兆以太网上行链路的交换机，然后，随着业务需求的发展再部署万兆以太网上行链路，无需升级接入层。Cisco TwinGig 适配器能将 1 个万兆以太网 X2 接口转换成 2 个千兆以太网 SFP 接口5、模块化电源Cisco Catalyst 3560-E 系列交换机拥有一个电源插槽
16、，能够支持下列电源。PoE 交换机需要一个 PoE 电源。仅处理数据的交换机能够利用下列电源： C3K-PWR-1150WAC: 1150WAC 电源，带 740W PoE C3K-PWR-750WAC: 750WAC 电源，用于 24 端口交换机，带 370W PoE C3K-PWR-265WAC: 265WAC 电源，用于 48 或 24 端口交换机，无 PoE C3K-PWR-265WDC: 265WDC 电源，用于 48 或 24 端口交换机，无 PoE Cisco Catalyst 3560-E 系列交换机和 Cisco RPS 2300 冗余电源系统相结合，能够透明地防范内部电源故
17、障，与不间断电源(UPS)系统相结合，则能够防止断电，因此，语音和数据融合网络可获得最高的电源可用性。利用 RPS 2300 提供备用电源，Cisco Catalyst 3560-E 系列交换机电源能够实现热插拔。表 3 列出了电源兼容性参数。6、以太网供电Cisco Catalyst 3560-E 系列能为包含思科 IP 电话和 Cisco Aironet无线局域网（WLAN）接入点、以及任何符合 IEEE 802.3af 的终端设备提供更低总拥有成本（TCO）的部署。以太网供电免除了为每个 PoE 设备提供墙壁电源的需要，且节省了 IP 电话和无线局域网部署中的额外电线成本。Cisco C
18、atalyst 3560-E 24 端口 PoE 配置能同时支持 24 个 15.4W 的全功率 PoE 端口，达到最高设备功率支持。Cisco Catalyst 3560-E 48 端口 PoE 配置能够利用可选的 1150W电源，支持 48 个 15.4W 同步全功率 PoE 端口。对于无需最高电源的部署，可利用较小的电源实施 Cisco Catalyst 智能电源管理，支持 24 个 15.4W 的端口、48 个 7.7W 的端口或两者间的任意组合。7、冗余电源系统Cisco Catalyst 3560-E 系列交换机支持新一代冗余电源系统(RPS) 2300。 冗余电源系统 2300
19、(RPS 2300) 能为 6 台相连 Cisco Catalyst 3560-E 系列交换机中的 2 台同时提供透明的备用电源，提高了数据、语音和视频融合网络的可用性。在交换机由 RPS 2300供电时，能拨出故障电源。8、主要特性和优势（1）易用性：部署Cisco Catalyst 3560-E 提供了大量易用特性，如 Cisco Smartports, 凭借思科多年丰富的网络技术，快速方便地配置先进的 Cisco Catalyst 智能功能。Cisco Smartport 宏为每种连接类型提供了一套经过验证、便于使用的模板，使用户能以最少的人力和技术投入，一致、可靠地配置必要的安全、IP
20、 电话、可用性、QoS 和可管理性特性。（2）其他易用特性包括： 利用 DHCP，由一个引导服务器对多个交换机进行自动配置，从而简化了交换机的部署。自动的 QoS（AutoQoS）能够通过发布用于检测思科 IP 电话、区分流量类别和配置出口队列的接口和全局交换机命令，简化 VoIP 网络的 QoS 设置。所有端口上的自动协商功能可以自动地选择半双工或者全双工传输模式，以优化带宽。 DTP 能够在所有交换机端口上实现动态端口中继设置。 PAgP 能够自动创建思科快速 EtherChannel群组或者千兆 EtherChannel 群组，以便连接到另外一个交换机、路由器或者服务器。 LACP 让用
21、户能够利用符合 IEEE 802.3ad 的设备创建以太网通道。这种功能类似于思科 EtherChannel 技术和 PAgP。 如果错误地接上了不正确的电缆类型（交叉或者直通），自动 MDIX（依赖于介质的接口交叉）能够自动地调整发送和接收对。 9、可用性和可扩展性Cisco Catalyst 3560-E 系列配备了一个强大的特性集，利用 IP 路由和能够最大限度地提高第二层网络可用性的全套生成树协议增强特性，实现了网络可扩展性和更高可用性。在标准生成树协议基础上增强的特性，如 PVST+、 Uplink Fast 和 Port Fast，以及Flexlink 等创新特性，大幅度延长了网络
22、正常运行时间。 Flexlink 提供了冗余性，收敛时间不到 100ms。 IEEE 802.1w RSTP 和 MSTP 能够提供独立于生成树计数器的快速生成树收敛，并提供第二层负载均衡和分布式处理的优势。 每 VLAN 快速生成树（PVRST+）能够基于每 VLAN 实现快速生成树的重新收敛，而不需要部署生成树实例。 能够利用 HSRP 创建冗余的、故障保护的路由拓扑。 UDLD 和主动 UDLD 能在光纤接口上检测出并禁用因光纤布线错误或端口故障而导致的单向链路。 交换机端口自动恢复（Errdisable）能够自动尝试重新建立由于网络错误而禁用的链路。 10、高性能 IP 路由思科快速转
23、发硬件路由架构为 Cisco Catalyst 3560-E 系列交换机提供了极高的 IP 路由性能。 基本的 IP 单播路由协议（静态、RIPv1 和 RIPv2）能够用于小型网络路由应用。 先进的 IP 单播路由协议（OSPF、EIGRP 和 BGPv4）能够用于负载均衡和建设可扩展的LAN。需要 IP Services 特性集。 在硬件中支持 IPv6 路由(RIPng、OSPFv3)，实现最高性能。IPv6 路由需要 Advanced IP Services 特性集。 等成本路由支持第三层负载均衡和冗余。 基于策略的路由（PBR）能够通过实现流向控制（无论配置哪种路由协议），提供出色的
24、控制功能。需要 IP Services 特性集。 HSRP 为路由链路提供了动态负载均衡和故障切换功能，每设备最多支持 32 条 HSRP 链路。 支持用于 IP 组播路由的 PIM，包括 PIM 稀疏模式（PIM-SM）、PIM 密集模式（PIM-DM）和 PIM 稀疏密集模式。需要 IP Services 特性集。 DVMRP 隧道能够跨越不支持组播的网络，互联两个支持组播的网络。需要 IP Services 特性集。 回退桥接模式能够在两个或者更多的 VLAN 之间转发非 IP 流量。需要 IP Services 特性集。 11、出色的服务质量Cisco Catalyst 3560-E
25、系列提供了千兆以太网速度和智能服务，确保了一切顺畅运行，速度甚至为普通网速的 10 倍。业界领先的标记、分类和排程机制为数据、语音和视频流量的传输提供了出色的线速性能。下面列出了 Cisco Catalyst 3560-E 系列交换机支持的部分 QoS 特性： 提供了标准 802.1p CoS 和 DSCP 字段分类，利用源和目的地 IP 地址、MAC 地址或者第四层 TCP/UDP 端口号进行基于单个分组的标记和重新分类。 所有端口上的思科控制平面和数据平面 QoS ACL 能够确保在单个分组的基础上进行正确的标记。 每个端口的 4 个输出队列让用户能够对堆叠中最多四种流量类型进行不同的管理
26、。 整形循环（SRR）调度确保了用户能够通过智能化地服务于输入和输出队列，为数据流量提供不同的优先级。 加权队尾丢弃（WTD）能够在发生中断之前，为输入和输出队列提供拥塞避免功能。 严格优先级排序能够确保优先级最高的分组先于所有其他流量获得服务。思科承诺信息速率（CIR）功能能够以低达 8Kbps 的增量提供带宽。 速率限制基于源和目的地 IP 地址、源和目的地 MAC 地址、第四层 TCP/UDP 信息或者这些字段的任意组合，并利用 QoS ACL（IP ACL 或者 MAC ACL）、级别图和策略图提供。 每个快速以太网或者千兆以太网端口最多能够支持 64 个汇总或者单独策略控制器。 12
27、、高级安全特性Cisco Catalyst 3560-E 系列支持全面的安全特性集，用于连接和访问控制，包括ACL、验证、端口级安全和利用 802.1x 及其扩展协议实现的基于身份识别的网络服务。这一全面的特性集不仅能够防范外部攻击，还能抵御网络“中间人“攻击，这是当前业务环境中最常遭遇的情况。该交换机还支持网络准入控制（NAC）安全框架。 动态 ARP 检测(DAI)能防止恶意用户利用 ARP 协议不安全的特点进行攻击，确保了用户数据的完整性。 DHCP 监听能防止恶意用户欺骗 DHCP 服务器、发送假冒地址。该特性常被其他主要安全特性用于防御 ARP 破坏等许多攻击。 IP 源保护能够防止
28、恶意用户通过在客户端的 IP 和 MAC 地址、端口和 VLAN 间创建捆绑列表，来骗取或假冒其他用户的 IP 地址。 专用 VLAN 能划分第二层流量，并将广播网段转变成类似多访问的非广播网段，从而将主机间流量限制在一个公用网段内。 专用 VLAN 边缘提供了交换机端口间的安全和隔离功能，能确保用户无法监听其他用户的流量。 通过丢弃缺少可验证 IP 源地址的 IP 数据包，单播 RPF 特性有助于减少由于恶意或假冒（欺骗性）IP 源地址进入网络而造成的问题。 IEEE 802.1x 能够实现动态的、基于端口的安全，提供用户身份验证功能。 具有 VLAN 分配功能的 IEEE 802.1x 能
29、够为某个特定的用户提供一个动态的 VLAN，而无论用户连接到什么地方。 支持语音 VLAN 的 IEEE 802.1x 允许一个 IP 电话接入语音 VLAN，而无论端口是否经过授权。 IEEE 802.1x 和端口安全能够对端口进行身份验证，并能管理所有 MAC 地址的网络接入权限，包括客户端的访问权限。 具有 ACL 分配功能的 IEEE 802.1x 允许实施基于特定身份的安全策略，而无论用户连接到什么地方。 具有访客 VLAN 的 IEEE 802.1x 允许没有 IEEE 802.1x 客户端的访客通过访客 VLAN 进行有限的网络接入。 非 802.1x 客户端 Web 验证特性允
30、许非 802.1x 客户端利用基于 SSL 的浏览器进行验证。多域验证能在同一交换机端口上验证 IP 电话和 PC，并将它们分别放入相应的语音和数据 VLAN 中。 MAC 地址验证旁路（MAB）特性允许没有 802.1x 客户端的第三方 IP 电话利用其 MAC 地址获得验证。 所有 VLAN 上的思科安全 VLAN ACL（VACL）能够防止在 VLAN 中桥接未经授权的数据流。思科标准和扩展 IP 安全路由器 ACL 能够针对控制平面和数据平面流量，在路由接口上指定安全策略。IPv6 ACL 可用于过滤 IPv6 流量。 “ 用于第二层接口的、基于端口的 ACL（PRAC）让用户能够将安
31、全策略用于各个交换机端口。 SSH、Kerberos 和 SNMPv3 可以通过在 Telnet 和 SNMP 进程中加密管理员流量，提供网络安全。由于美国出口法律的限制，SSH、Kerberos 和 SNMPv3 的加密版本需要一种特殊的加密软件。 SPAN 端口上的双向数据支持让思科安全入侵检测系统（IDS）能够在检测到某个入侵者时采取行动。 TACACS+和 RADIUS 身份验证能够对交换机进行集中控制，并防止未经授权的用户更改配置。 MAC 地址通知让管理员可以在网络添加或者删除用户时获得通知。端口安全能够根据MAC 地址，保障对某个接入或者汇聚端口的访问权限。控制台访问的多级安全功
32、能能够防止未授权用户更改交换机配置。 BPDU 保护装置能够在启动了生成树协议 PortFast 的接口上收到的 BPDU 时，关闭该端口，以避免偶然出现的拓扑环路 生成树根防护（STRG）防止不处于网络管理员控制范围的边缘设备成为生成树协议根节点。 IGMP 过滤能够通过滤除非指定用户的访问者，提供组播身份验证，并限制每个端口上可用的并发组播流的数量。 通过部署 VLAN 成员策略服务器（VMPS）客户端功能支持动态 VLAN 分配，它能够在指定端口加入 VLAN 方面提供灵活性。动态 VLAN 能够实现 IP 地址的快速分配。 13、智能以太网供电(PoE)管理Cisco Catalyst
33、 3560-E PoE 机型支持思科 IP 电话和 Cisco Aironet 无线局域网(WLAN)接入点，以及任何符合 IEEE 802.3af 的终端设备。Cisco Catalyst 3560-E-48PD能够同时支持 48 个 15.4W 的全功率 PoE 端口，功率共计 1150W。 CDPv2 允许 Cisco Catalyst 3560-E 系列交换机在连接思科受电设备（如 IP 电话或接入点）时，采取比 IEEE 分类更细化的电源设置。 每端口功耗命令允许客户对各个端口的最大功率设置进行定义。 每端口 PoE 功率检测能测量实际消耗的功率，支持更智能化的受电设备控制。 PoE
34、 MIB 提供了主动用电情况查看功能，使客户能设置多种功率阈值级别。 14、管理和控制特性Cisco Catalyst 3560-E 系列交换机拥有丰富的管理和控制特性集，包括： Cisco IOS CLI 支持能够为所有的思科路由器和 Cisco Catalyst 桌面交换机提供通用的用户界面和指令集。 交换数据库管理员模板，用于接入、路由和 VLAN 部署，允许管理员根据部署的特殊需求，方便地为所需特性提供最大限度的内存空间。 通用在线诊断（GOLD）能够检查硬件组件的健康状态，检验在运行和引导时系统数据和控制平面能否正常运行。 VRF-Lite 使电信运营商能够利用重叠的 IP 地址支持
35、两个或两个以上的 VPN。 本地代理 ARP 能与专用 VLAN 边缘相结合，最大限度地减少广播次数，增加可用的带宽。VLAN1 最小化能在每个 VLAN 中继链路上禁用 VLAN1。 IPv4 IGMP 监听和 IPv6 MLD v1、v2 监听，使客户端能快速接收和删除组播流，并仅向请求者提供需要占用大量带宽的视频流。 组播 VLAN 注册(MVR)能在一个组播 VLAN 中持续地发送组播流，并根据带宽和安全的需要将组播流与用户 VLAN 隔离。 每端口广播、组播和单播风暴控制能够防止故障终端影响系统总体性能。 语音 VLAN 能够通过将语音流量放在一个单独的 VLAN 上，简化电话安装步
36、骤，实现更加方便的管理和排障。 思科 VTP 能够在所有交换机中支持动态的 VLAN 和动态的中继端口配置。 远程交换端口分析器（RSPAN）让管理员能够从一个第二层交换网络中的任何一台交换机远程监控同一个网络中另外一台交换机上的端口。 为了加强对流量的管理、监控和分析，内嵌远程监控（RMON）软件代理支持 4 个 RMON群组（历史、统计、警报和事件）。 第二层跟踪路由程序能够通过确定某个分组从源到目的地所经过的物理路径，降低诊断难度。 TFTP 能够通过从一个集中地点下载升级软件，降低软件升级的管理成本。 NTP 能够为内联网中的所有交换机提供准确的、统一的时间。 每个端口上的多功能 LED 能够显示端口状态；半双工和全双工模式；10BASE-T、100BASE-TX 和 1000BASE-T 指示，交换机等级状态 L
