透過交換機系統提高網路效率

　　　交換機是區域網中的一種核心的網路終端，那麼維護好交換機系統也變得十分的重要了，為了讓區域網網路能夠更穩定地工作，我們時常需要對交換機裝置進行合理調教，確保該裝置始終能夠高效地執行。

定期升級讓交換機永葆活力

筆者曾經遭遇一則網路頻繁中斷故障，每次只有重新啟動交換機系統才能解決問題;在仔細排查流量異常、網路病毒等因素後，又請ISP運營商對上網線路進行了測試，結果顯示上網線路也沒有任何問題。

在毫無頭緒的情況下，筆者突然想起該交換機裝置已經連續工作了很多年，軟體系統的版本比較低，會不會是由於版本太低的原因導致了交換機系統活力不足呢?為了驗證自己的猜測是否正確。

筆者立即以系統管理員身份登入進入交換機後臺管理介面，在該介面的命令列狀態下執行了“displayCPU”命令，發現交換機系統的CPU 佔用率一直在95%以上，這難怪連線到該交換機中的工作站不能上網了;

之後，筆者又在命令列狀態下執行了“displayversion”命令，從其後的結果介面中，筆者發現交換機系統的VRP平臺軟體版本果然比較低，馬上到對應交換機裝置的官方網站中下載最新版本的平臺軟體，並開始對交換機系統軟體進行升級。

由於單位使用的交換機支援遠端管理功能，為此筆者採用了最為常見的FTP方式進行升級的;在正式升級之前，筆者先檢視了一下目標交換機 Flash儲存器的剩餘空間大小，要是剩餘空間不多的話，需要刪除一些過時的檔案，不然的話最新的交換機升級包程式將無法上傳到交換機系統中。

在確認Flash儲存器剩餘空間足夠後，筆者將自己使用的普通工作站當成是FTP伺服器，將交換機裝置看成是客戶端系統，如此一來筆者不需要對交換機裝置進行任何配置，就能很輕易地架設好一臺FTP伺服器了，此時筆者就能從交換機上登入到FTP伺服器上，利用FTP命令將事先下載儲存到本地普通工作站上的最新VRP平臺軟體下載儲存到交換機的Flash儲存器中了。

為了防止平臺軟體升級失敗，筆者又對原始的交換機配置檔案備份了一下，畢竟交換機裝置從低版本升級到高版本時，由於命令列上的差異，可能會造成部分交換機配置資訊發生丟失，這個時候對舊配置檔案進行備份是相當有必要的。
3lian素材 www.3lian.com
之後，筆者使用boot命令，指定交換機系統在下次啟動時自動呼叫最新的平臺軟體，當交換機系統重新啟動成功並更新好了VRP平臺軟體後，又對照以前的配置將交換機系統重新配置了一下，交換機的工作狀態立即恢復正常了。

而且很長一段時間後，筆者發現該系統的CPU佔用率一直為15%左右，這說明交換機平臺軟體升級到最新版本後，確實可以讓交換機永葆活力。所以，當區域網交換機工作狀態一直不穩定時，我們應該及時檢查一下對應平臺軟體的版本高低，一旦發現交換機系統版本較低時，必須及時對其進行升級，這樣能夠解決許多由交換機自身效能引起的隱性故障現象。

蒐集可疑流量。一旦可疑流量被監測到，我們需要捕獲這些資料包來判斷這個不正常的流量到底是不是發生了新的蠕蟲攻擊。正如上面所述，Netflow並不對資料包做深層分析。

我們需要網路分析工具或入侵檢測裝置來做進一步的判斷。但是，如何能方便快捷地捕獲可疑流量並導向網路分析工具呢？速度是很重要的，否則你就錯過了把蠕蟲扼殺在早期的機會。除了要很快定位可疑裝置的物理位置，還要有手段能儘快蒐集到證據。

我們不可能在每個接入層交換機旁放置網路分析或入侵檢測裝置，也不可能在發現可疑流量時扛著分析儀跑去配線間。有了上面的分析，下面我們就看如何利用Catalyst的功能來滿足這些需要！

檢測可疑流量Cat6500 和 Catalyst 4500 ( Sup IV, Sup V 和 Sup V – 10 GE ) 提供了基於硬體的Netflow 功能，採集流經網路的流量資訊。這些資訊採集和統計都透過硬體ASCI完成，所以對系統效能沒有影響。 Catalyst 4500 Sup V-10GE預設就帶了Netflow卡，所以不需增加投資。

追蹤可疑源頭，Catalyst 整合的安全特性提供了基於身份的網路服務(IBNS)，以及DHCP監聽、源IP防護、和動態ARP檢測等功能。這些功能提供了使用者的IP地址和MAC地址、物理埠的繫結資訊，同時防範IP地址假冒。這點非常重要，如果不能防範IP地址假冒，那麼Netflow蒐集到的資訊就沒有意義了。

使用者一旦登入網路，就可獲得這些資訊。結合ACS，還可以定位使用者登入的使用者名稱。在Netflow 收集器(Netflow Collector)上編寫一個指令碼檔案，當發現可疑流量時，就能以email的方式。

把相關資訊傳送給網路管理員。在通知email裡，報告了有不正常網路活動的使用者CITG, 所屬組是CITG-1(這是802.1x登入所用的)。接入層交換機的IP地址是10.252.240.10，物理介面是 FastEthernet4/1.

另外還有客戶端IP地址和MAC地址 ，以及其在5分鐘內(這個時間是指令碼所定義的)發出的flow和packet數量。掌握了這些資訊後，網管員就可以馬上採取以下行動了：透過遠端SPAN 捕獲可疑流量。Catalyst接入層交換機系統上所支援的遠端埠映象功能可以將流量捕獲映象到一個遠端交換機上。

例如將接入層交換機系統上某個埠或VLAN的流量穿過中繼映象到分佈層或核心層的某個埠，只需非常簡單的幾條命令即可完成。流量被捕獲到網路分析或入侵檢測裝置(例如Cat6500整合的網路分析模組NAM或IDS模組)，作進一步的分析和做出相應的動作。