集线器/交换机取出交换机？

Question 1

我们运营着几个网络实施，其中第三方连接链接到集中式 Cisco 主干网（即多租户设置）。我可以说，我见过大量不同的（好吧，贫民窟）设备连接到 Catalyst 平台，如果说我学到了什么，那就是 Cisco 平台对这类事情具有极强的弹性。

不过，有一个致命弱点——一个廉价的轮毂在正确的配置下可能会容易地广播风暴会破坏整个网络，这甚至不是思科平台的错。我在生产配置中发现了这一点，我所做的唯一真正的研究就是找到离该集线器最近的垃圾箱，但事情是这样发生的：

使用上行链路端口将集线器正常连接到思科交换机
将工作站连接到集线器端口（在我们的例子中，运行 Windows XP 操作系统，但没关系）
将集线器上的另外两个端口连接在一起（可以使用单个 CAT5 直接连接，也可以通过另一个集线器间接连接）。

一切顺利直到该工作站发出广播公告。虽然集线器和 Cisco 足够智能，可以防止其他广播数据包上的广播风暴，但集线器不够智能，无法检测到其两个端口相互连接，并且将使用几乎 100% 的处理能力来无限循环地来回广播该数据包，以及所有其他端口（即到 Cisco 的上行链路）。

如果您的配置是这种情况，您会注意到，在整个网络中，该广播 VLAN 上的所有端口都会变得疯狂，直到集线器无法维持容量并丢弃神奇的循环数据包（可能需要几分钟，具体取决于竞争流量），然后一切恢复正常。

在这种情况下，SNMP 不会帮助你，因为全部该 VLAN 上的端口会因流量过大而变得异常繁忙。不过，Wireshark 可以帮您解决这个问题，因为它可以轻松捕获导致循环的 IP（如果是广播数据包，有时还可以捕获机器名称），并快速找到有问题的设备。

这可能不是您所遇到的确切情况，但这个情况对我们影响很大，可能会给您提供一些研究您情况的想法。

Answer

我们运营着几个网络实施，其中第三方连接链接到集中式 Cisco 主干网（即多租户设置）。我可以说，我见过大量不同的（好吧，贫民窟）设备连接到 Catalyst 平台，如果说我学到了什么，那就是 Cisco 平台对这类事情具有极强的弹性。

不过，有一个致命弱点——一个廉价的轮毂在正确的配置下可能会容易地广播风暴会破坏整个网络，这甚至不是思科平台的错。我在生产配置中发现了这一点，我所做的唯一真正的研究就是找到离该集线器最近的垃圾箱，但事情是这样发生的：

使用上行链路端口将集线器正常连接到思科交换机
将工作站连接到集线器端口（在我们的例子中，运行 Windows XP 操作系统，但没关系）
将集线器上的另外两个端口连接在一起（可以使用单个 CAT5 直接连接，也可以通过另一个集线器间接连接）。

一切顺利直到该工作站发出广播公告。虽然集线器和 Cisco 足够智能，可以防止其他广播数据包上的广播风暴，但集线器不够智能，无法检测到其两个端口相互连接，并且将使用几乎 100% 的处理能力来无限循环地来回广播该数据包，以及所有其他端口（即到 Cisco 的上行链路）。

如果您的配置是这种情况，您会注意到，在整个网络中，该广播 VLAN 上的所有端口都会变得疯狂，直到集线器无法维持容量并丢弃神奇的循环数据包（可能需要几分钟，具体取决于竞争流量），然后一切恢复正常。

在这种情况下，SNMP 不会帮助你，因为全部该 VLAN 上的端口会因流量过大而变得异常繁忙。不过，Wireshark 可以帮您解决这个问题，因为它可以轻松捕获导致循环的 IP（如果是广播数据包，有时还可以捕获机器名称），并快速找到有问题的设备。

这可能不是您所遇到的确切情况，但这个情况对我们影响很大，可能会给您提供一些研究您情况的想法。

Question 2

一些琐碎的观点，但我还没有看到有人提及：

确保交换机端口未强制设置为全双工，因为如果强制设置为全双工，它们将无法与集线器配合使用。仔细想想，如果强制设置为全双工或全双工，它们很可能无法正确连接到需要自动协商的 Netgear 型交换机

确保您的用户不会将交换机连接到两个网络插座“以增加其带宽”。

Cisco 交换机曾经（现在可能仍然有 - 我现在已经不做这个行业了）有一项名为“Faststart”的功能。对于启用了 Faststart 的任何端口，交换机都不会进行完整的生成树分析，通过启用该功能，管理员“承诺”不会将交换机或集线器连接到该端口。这样做的原因是为了避免在 Cisco 决定可以安全启用该端口之前客户端 PC 的 DHCP 请求超时。您可能也想看看这一点。（如果我完全记错了，我提前道歉，希望有更了解最新情况的人能纠正我）

Answer

一些琐碎的观点，但我还没有看到有人提及：

确保交换机端口未强制设置为全双工，因为如果强制设置为全双工，它们将无法与集线器配合使用。仔细想想，如果强制设置为全双工或全双工，它们很可能无法正确连接到需要自动协商的 Netgear 型交换机

确保您的用户不会将交换机连接到两个网络插座“以增加其带宽”。

Cisco 交换机曾经（现在可能仍然有 - 我现在已经不做这个行业了）有一项名为“Faststart”的功能。对于启用了 Faststart 的任何端口，交换机都不会进行完整的生成树分析，通过启用该功能，管理员“承诺”不会将交换机或集线器连接到该端口。这样做的原因是为了避免在 Cisco 决定可以安全启用该端口之前客户端 PC 的 DHCP 请求超时。您可能也想看看这一点。（如果我完全记错了，我提前道歉，希望有更了解最新情况的人能纠正我）

Question 3

如果您在端口上使用端口安全性，那么只要给定端口上的 MAC 数量超过预期，就会出现问题。将集线器插入交换网络的主要问题是，最终会得到更大的冲突域（而不是“交换机 + 终端单元”，最终会得到“交换机 + 集线器上的所有下游设备”），可能会导致交换环路（如果集线器连接到两个交换机），并且最终可能会得到一个足够大的网络，以至于广播域“太宽”（LAN 绝对需要足够小，以便从一个极端到另一个极端的数据包可以在以太网前导码中看到；由于集线器往往更不擅长让数据包快速通过（更便宜），最终可能会违反这一点）。

如果您有一个较大的冲突域，则任何尝试与该冲突域通信的内容最终都会具有较低的吞吐量。

如果有交换环路，则可能会出现广播风暴，并且由于生成树关闭了转发端口，端口可能会随机不转发流量。

如果您的广播域太宽，那么由于发生延迟冲突，最终会导致虚假重新传输。

Answer