華為交換機各種配置實例網(wǎng)管必學

歐陽陽理創(chuàng)編歐陽陽理創(chuàng)編2021.03.04華為交換機各種配置實例[網(wǎng)管必學時間：2021.03.05創(chuàng)作：歐陽理交換機配置(一)端口限速基本配置華為3Com2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列:華為交換機端口限速2000_EI系列以上的交換機都可以限速!限速不同的交換機限速的方式不一樣!2000_EI直接在端口視圖下面輸入LINE-RATE(4)參數(shù)可選!端口限速配置1功能需求及組網(wǎng)說明端口限速配置『配置環(huán)境參數(shù)』1.PC1和PC2的IP地址分別為10.10.1.1/24、10.10.1.2/24『組網(wǎng)需求』1.在SwitchA上配置端口限速，將PC1的下載速率限制在3Mbps，同時將PC1的上傳速率限制在1Mbps2數(shù)據(jù)配置步驟『S2000EI系列交換機端口限速配置流程』使用以太網(wǎng)物理端口下面的line-rate命令，來對該端口的出、入報文進行流量限速。【SwitchA相關配置】1.進入端口E0/1的配置視圖[SwitchA]interfaceEthernet0/1對端口E0/1的出方向報文進行流量限速，限制到3Mbps[SwitchA-Ethernet0/1]line-rateoutbound30對端口E0/1的入方向報文進行流量限速，限制到1Mbps[SwitchA-Ethernet0/1]line-rateinbound16【補充說明】報文速率限制級別取值為1?127。如果速率限制級別取值在1?28范圍內(nèi)，則速率限制的粒度為64Kbps,這種情況下，當設置的級別為N,則端口上限制的速率大小為N*64K；如果速率限制級別取值在29?127范圍內(nèi)，則速率限制的粒度為1Mbps,這種情況下，當設置的級別為N,則端口上限制的速率大小為(N-27)*1Mbps。此系列交換機的具體型號包括：S2008-EI、S2016-EI和S2403H-EI?！篠2000-SI和S3000-SI系列交換機端口限速配置流程』使用以太網(wǎng)物理端口下面的line-rate命令,來對該端口的出、入報文進行流量限速。【SwitchA相關配置】進入端口E0/1的配置視圖[SwitchA]interfaceEthernet0/1對端口E0/1的出方向報文進行流量限速,限制到6Mbps[SwitchA-Ethernet0/1]line-rateoutbound2對端口E0/1的入方向報文進行流量限速,限制到3Mbps[SwitchA-Ethernet0/1]line-rateinbound1【補充說明】對端口發(fā)送或接收報文限制的總速率,這里以8個級別來表示,取值范圍為1?8,含義為：端口工作在10M速率時,1?8分別表示312K,625K,938K,1.25M,2M,4M,6M,8M；端口工作在100M速率時，1?8分別表示3.12M,6.25M,9.38M,12.5M,20M,40M,60M,80M。此系列交換機的具體型號包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI。『S3026E、S3526E、S3050、S5012、S5024系列交換機端口限速配置流程』使用以太網(wǎng)物理端口下面的line-rate命令，對該端口的出方向報文進行流量限速，?結合acl,使用以太網(wǎng)物理端口下面的traffic-limit命令，對端口的入方向報文進行流量限速。【SwitchA相關配置】進入端口E0/1的配置視圖[SwitchA]interfaceEthernet0/1對端口E0/1的出方向報文進行流量限速,限制到3Mbps[SwitchA-Ethernet0/1]line-rate3配置acl,定義符合速率限制的數(shù)據(jù)流[SwitchA]aclnumber4000[SwitchA-acl-link-4000]rulepermitingressanyegressany對端口E0/1的入方向報文進行流量限速,限制到1Mbps[SwitchA-Ethernet0/1]traffic-limitinboundlink-group40001exceeddrop【補充說明】line-rate命令直接對端口的所有出方向數(shù)據(jù)報文進行流量限制,而traffic-limit命令必須結合acl使用,對匹配了指定訪問控制列表規(guī)則的數(shù)據(jù)報文進行流量限制。在配置acl的時候,也可以通過配置三層訪問規(guī)則,來對指定的源或目的網(wǎng)段報文,進行端口的入方向數(shù)據(jù)報文進行流量限制。端口出入方向限速的粒度為1Mbps。此系列交換機的具體型號包括：S3026E/C/G/T、S3526E/C/EF、S3050C、S5012G/T和S5024G。『S3528、S3552系列交換機端口限速配置流程』使用以太網(wǎng)物理端口下面的traffic-shape和traffic-limit命令,分別來對該端口的出、入報文進行流量限速?！維witchA相關配置】1.進入端口E0/1的配置視圖[SwitchA]interfaceEthernet0/1對端口E0/1的出方向報文進行流量限速，限制到3Mbps[SwitchA-Ethernet0/1]traffic-shape32503250配置acl,定義符合速率限制的數(shù)據(jù)流[SwitchA]aclnumber4000[SwitchA-acl-link-4000]rulepermitingressanyegressany對端口E0/1的入方向報文進行流量限速,限制到1Mbps[SwitchA-Ethernet0/1]traffic-limitinboundlink-group400010001500001500001000exceeddrop【補充說明】此系列交換機的具體型號包括：S3528G/P和S3552G/P/F?！篠3900系列交換機端口限速配置流程』使用以太網(wǎng)物理端口下面的line-rate命令,對該端口的出方向報文進行流量限速，?結合acl,使用以太網(wǎng)物理端口下面的traffic-limit命令,對匹配指定訪問控制列表規(guī)則的端口入方向數(shù)據(jù)報文進行流量限制?！維witchA相關配置】進入端口E1/0/1的配置視圖[SwitchA]interfaceEthernet1/0/1對端口E0/1的出方向報文進行流量限速,限制到3Mbps[SwitchA-Ethernet1/0/1]line-rate3000配置acl,定義符合速率限制的數(shù)據(jù)流[SwitchA]aclnumber4000[SwitchA-acl-link-4000]rulepermitingressanyegressany對端口E0/1的入方向報文進行流量限速,限制到1Mbps[SwitchA-Ethernet1/0/1]traffic-limitinboundlink-group40001000exceeddrop【補充說明】line-rate命令直接對端口的所有出方向數(shù)據(jù)報文進行流量限制，而traffic-limit命令必須結合acl使用，對匹配了指定訪問控制列表規(guī)則的數(shù)據(jù)報文進行流量限制。在配置acl的時候，也可以通過配置三層訪問規(guī)則，來對指定的源或目的網(wǎng)段報文，進行端口的入方向數(shù)據(jù)報文進行流量限制。端口出入方向限速的粒度為64Kbps。此系列交換機的具體型號包括：S3924、S3928P/F/TP和S3952P?！篠5600系列交換機端口限速配置流程』使用以太網(wǎng)物理端口下面的line-rate命令，對該端口的出方向報文進行流量限速，?結合acl,使用以太網(wǎng)物理端口下面的traffic-limit命令，對匹配指定訪問控制列表規(guī)則的端口入方向數(shù)據(jù)報文進行流量限制?！維witchA相關配置】進入端口E1/0/1的配置視圖[SwitchA]interfaceEthernet1/0/1對端口E0/1的出方向報文進行流量限速,限制到3Mbps[SwitchA-Ethernet1/0/1]line-rate3000配置acl,定義符合速率限制的數(shù)據(jù)流[SwitchA]aclnumber4000[SwitchA-acl-link-4000]rulepermitingressanyegressany對端口E0/1的入方向報文進行流量限速,限制到1Mbps[SwitchA-Ethernet1/0/1]traffic-limitinboundlink-group40001000exceeddrop【補充說明】line-rate命令直接對端口的所有出方向數(shù)據(jù)報文進行流量限制,而traffic-limit命令必須結合acl使用,對匹配了指定訪問控制列表規(guī)則的數(shù)據(jù)報文進行流量限制。在配置acl的時候,也可以通過配置三層訪問規(guī)則,來對指定的源或目的網(wǎng)段報文,進行端口的入方向數(shù)據(jù)報文進行流量限制。端口出入方向限速的粒度為64Kbps。此系列交換機的具體型號包括：S5624P/F和S5648P。交換機配置(二)端口綁定基本配置端口+MACAM命令使用特殊的AMUser-bind命令,來完成MAC地址與端口之間的綁定。例如：[SwitchA]amuser-bindmac-address00e0-fc22-f8d3interfaceEthernet0/1配置說明：由于使用了端口參數(shù),則會以端口為參照物，即此時端口E0/1只允許PC1上網(wǎng)，而使用其他未綁定的MAC地址的PC機則無法上網(wǎng)。但是PC1使用該MAC地址可以在其他端口上網(wǎng)。mac-address命令使用mac-addressstatic命令,來完成MAC地址與端口之間的綁定。例如：[SwitchA]mac-addressstatic00e0-fc22-f8d3interfaceEthernet0/1vlan1[SwitchA]mac-addressmax-mac-count0配置說明：由于使用了端口學習功能,故靜態(tài)綁定mac后,需再設置該端口mac學習數(shù)為0,使其他PC接入此端口后其mac地址無法被學習。IP+MACa)AM命令使用特殊的AMUser-bind命令,來完成IP地址與MAC地址之間的綁定。例如：[SwitchA]amuser-bindip-address10.1.1.2mac-address00e0-fc22-f8d3配置說明：以上配置完成對PC機的IP地址和MAC地址的全局綁定，即與綁定的IP地址或者MAC地址不同的PC機，在任何端口都無法上網(wǎng)。支持型號：S3026E/EF/C/G/T、S3026C-PWR、E026/E026T、S3050C、E050、S3526E/C/EF、S5012T/G、S5024Gb）arp命令使用特殊的arpstatic命令，來完成IP地址與MAC地址之間的綁定。例如：[SwitchA]arpstatic10.1.1.200e0-fc22-f8d3配置說明：以上配置完成對PC機的IP地址和MAC地址的全局綁定。3,端口+IP+MAC使用特殊的AMUser-bind命令，來完成IP、MAC地址與端口之間的綁定。例如：[SwitchA]amuser-bindip-address10.1.1.2mac-address00e0-fc22-f8d3interfaceEthernet0/1配置說明：可以完成將PC1的IP地址、MAC地址與端口E0/1之間的綁定功能。由于使用了端口參數(shù),則會以端口為參照物,即此時端口E0/1只允許PC1上網(wǎng),而使用其他未綁定的IP地址、MAC地址的PC機則無法上網(wǎng)。但是PC1使用該IP地址和MAC地址可以在其他端口上網(wǎng)。支持型號：S3026E/S3026E-FM/S3026-FS；S3026G；S3026C；S3026C-PWR；E3026；E050；S3526E/C;S3526E-FM/FS;S5012T/G、S5024G、S3900、S5600、S6500（3代引擎）交換機配置（三）ACL基本配置1,二層ACL.組網(wǎng)需求:通過二層訪問控制列表，實現(xiàn)在每天8:00?18:00時間段內(nèi)對源MAC為00e0-fc01-0101目的MAC為00e0-fc01-0303報文的過濾。該主機從GigabitEthernet0/1接入。.配置步驟:（1）定義時間段#定義8:00至18:00的周期時間段。[Quidway]time-rangehuawei8:00to18:00daily(2)定義源MAC為00e0-fc01-0101目的MAC為00e0-fc01-0303的ACL進入基于名字的二層訪問控制列表視圖，命名為traffic-of-link。[Quidway]aclnametraffic-of-linklink定義源MAC為00e0-fc01-0101目的MAC為00e0-fc01-0303的流分類規(guī)則。[Quidway-acl-link-traffic-of-link]rule1denyingress00e0-fc01-01010-0-0egress00e0-fc01-03030-0-0time-rangehuawei(3)激活ACL。將traffic-of-link的ACL激活。[Quidway-GigabitEthernet0/1]packet-filterlink-grouptraffic-of-link2，三層ACLa)基本訪問控制列表配置案例.組網(wǎng)需求:通過基本訪問控制列表，實現(xiàn)在每天8:00?18:00時間段內(nèi)對源IP為10.1.1.1主機發(fā)出報文的過濾。該主機從GigabitEthernet0/1接入。.配置步驟:定義時間段#定義8:00至18:00的周期時間段。[Quidway]time-rangehuawei8:00to18:00daily定義源IP為10.1.1.1的ACL進入基于名字的基本訪問控制列表視圖，命名為traffic-of-host。[Quidway]aclnametraffic-of-hostbasic#定義源IP為10.1.1.1的訪問規(guī)則。[Quidway-acl-basic-traffic-of-host]rule1denyipsource10.1.1.10time-rangehuawei激活ACL。將traffic-of-host的ACL激活。[Quidway-GigabitEthernet0/1]packet-filterinboundip-grouptraffic-of-hostb)高級訪問控制列表配置案例.組網(wǎng)需求:公司企業(yè)網(wǎng)通過Switch的端口實現(xiàn)各部門之間的互連。研發(fā)部門的由GigabitEthernet0/1端口接入，工資查詢服務器的地址為129.110.1.2。要求正確配置ACL，限制研發(fā)部門在上班時間8:00至18:00訪問工資服務器。.配置步驟:(1)定義時間段定義8:00至18:00的周期時間段。[Quidway]time-rangehuawei8:00to18:00working-day定義到工資服務器的ACL進入基于名字的高級訪問控制列表視圖，命名為traffic-of-payserver。[Quidway]aclnametraffic-of-payserveradvanced#定義研發(fā)部門到工資服務器的訪問規(guī)則。[Quidway-acl-adv-traffic-of-payserver]rule1denyipsourceanydestination129.110.1.20.0.0.0time-rangehuawei激活ACL。將traffic-of-payserver的ACL激活。[Quidway-GigabitEthernet0/1]packet-filterinboundip-grouptraffic-of-payserver3，常見病毒的ACL創(chuàng)建aclaclnumber100禁pingruledenyicmpsourceanydestinationany用于控制Blaster蠕蟲的傳播ruledenyudpsourceanydestinationanydestination-porteq69ruledenytcpsourceanydestinationanydestination-porteq4444用于控制沖擊波病毒的掃描和攻擊ruledenytcpsourceanydestinationanydestination-porteq135ruledenyudpsourceanydestinationanydestination-porteq135ruledenyudpsourceanydestinationanydestination-porteqnetbios-nsruledenyudpsourceanydestinationanydestination-porteqnetbios-dgmruledenytcpsourceanydestinationanydestination-porteq139ruledenyudpsourceanydestinationanydestination-porteq139ruledenytcpsourceanydestinationanydestination-porteq445ruledenyudpsourceanydestinationanydestination-porteq445ruledenyudpsourceanydestinationanydestination-porteq593ruledenytcpsourceanydestinationanydestination-porteq593用于控制振蕩波的掃描和攻擊ruledenytcpsourceanydestinationanydestination-porteq445ruledenytcpsourceanydestinationanydestination-porteq5554ruledenytcpsourceanydestinationanydestination-porteq9995ruledenytcpsourceanydestinationanydestination-porteq9996用于控制Worm_MSBlast.A蠕蟲的傳播ruledenyudpsourceanydestinationanydestination-porteq1434下面的不出名的病毒端口號（可以不作）ruledenytcpsourceanydestinationanydestination-porteq1068ruledenytcpsourceanydestinationanydestination-porteq5800ruledenytcpsourceanydestinationanydestination-porteq5900ruledenytcpsourceanydestinationanydestination-porteq10080ruledenytcpsourceanydestinationanydestination-porteq455ruledenyudpsourceanydestinationanydestination-porteq455ruledenytcpsourceanydestinationanydestination-porteq3208ruledenytcpsourceanydestinationanydestination-porteq1871ruledenytcpsourceanydestinationanydestination-porteq4510ruledenyudpsourceanydestinationanydestination-porteq4334ruledenytcpsourceanydestinationanydestination-porteq4331ruledenytcpsourceanydestinationanydestination-porteq4557然后下發(fā)配置packet-filterip-group100目的：針對目前網(wǎng)上出現(xiàn)的問題，對目的是端口號為1434的UDP報文進行過濾的配置方法，詳細和復雜的配置請看配置手冊。NE80的配置：NE80(config)#rule-mapr1udpanyanyeq1434//r1為role-map的名字，udp為關鍵字，anyany所有源、目的IP,eq為等于，1434為udp端口號NE80(config)#acla1r1deny//a1為acl的名字，r1為要綁定的rule-map的名字，NE80(config-if-Ethernet1/0/0)#access-groupacla1//在1/0/0接口上綁定acl，acl為關鍵字，a1為acl的名字NE16的配置：NE16-4(config)#firewallenableall//首先啟動防火墻NE16-4(config)#access-list101denyudpanyanyeq1434//deny為禁止的關鍵字，針對udp報文，anyany為所有源、目的IP,eq為等于，1434為udp端口號NE16-4(config-if-Ethernet2/2/0)#ipaccess-group101in//在接口上啟用access-list，in表示進來的報文，也可以用out表示出去的報文中低端路由器的配置[Router]firewallenable[Router]acl101[Router-acl-101]ruledenyudpsourceanydestionanydestination-porteq1434[Router-Ethernet0]firewallpacket-filter101inbound6506產(chǎn)品的配置：舊命令行配置如下：6506(config)#aclextendedaaadenyprotocoludpanyanyeq14346506(config-if-Ethernet5/0/1)#access-groupaaa國際化新命令行配置如下：[Quidway]aclnumber100[Quidway-acl-adv-100]ruledenyudpsourceanydestinationanydestination-porteq1434[Quidway-acl-adv-100]quit[Quidway]interfaceethernet5/0/1[Quidway-Ethernet5/0/1]packet-filterinboundip-group100not-care-for-interface5516產(chǎn)品的配置：舊命令行配置如下：5516(config)#rule-mapl3aaaprotocol-typeudpingressanyegressanyeq14345516(config)#flow-actionfffdeny5516(config)#aclbbbaaafff5516(config)#access-groupbbb國際化新命令行配置如下：[Quidway]aclnum100[Quidway-acl-adv-100]ruledenyudpsourceanydestinationanydestination-porteq1434[Quidway]packet-filterip-group1003526產(chǎn)品的配置：舊命令行配置如下：rule-mapl3r10.0.0.00.0.0.01.1.0.0255.255.0.0eq1434flow-actionf1denyaclacl1r1f1access-groupacl1國際化新命令配置如下：aclnumber100rule0denyudpsource0.0.0.00source-porteq1434destination1.1.0.00packet-filterip-group101rule0注：3526產(chǎn)品只能配置外網(wǎng)對內(nèi)網(wǎng)的過濾規(guī)則，其中1.1.0.0255.255.0.0是內(nèi)網(wǎng)的地址段。8016產(chǎn)品的配置：舊命令行配置如下：8016(config)#rule-mapintervlanaaaudpanyanyeq14348016(config)#aclbbbaaadeny8016(config)#access-groupaclbbbvlan10portall國際化新命令行配置如下：8016(config)#rule-mapintervlanaaaudpanyanyeq14348016(config)#eaclbbbaaadeny8016(config)#access-groupeaclbbbvlan10portall防止同網(wǎng)段ARP欺騙的ACL一、組網(wǎng)需求：1.二層交換機阻止網(wǎng)絡用戶仿冒網(wǎng)關IP的ARP攻擊二、組網(wǎng)圖：圖1二層交換機防ARP攻擊組網(wǎng)S3552P是三層設備，其中IP：100.1.1.1是所有PC的網(wǎng)關，S3552P上的網(wǎng)關MAC地址為000f-e200-3999。PC-B上裝有ARP攻擊軟件?，F(xiàn)在需要對S3026C_A進行一些特殊配置，目的是過濾掉仿冒網(wǎng)關IP的ARP報文。三、配置步驟對于二層交換機如S3026C等支持用戶自定義ACL(number為5000到5999丿的交換機，可以配置ACL來進行ARP報文過濾。全局配置ACL禁止所有源IP是網(wǎng)關的ARP報文aclnum5000rule0deny0806ffff2464010101ffffffff40rule1permit0806ffff24000fe2003999ffffffffffff34其中rule0把整個S3026C_A的端口冒充網(wǎng)關的ARP報文禁掉，其中斜體部分64010101是網(wǎng)關IP地址100.1.1.1的16進制表示形式。Rulel允許通過網(wǎng)關發(fā)送的ARP報文，斜體部分為網(wǎng)關的mac地址000f-e200-3999。注意：配置Rule時的配置順序，上述配置為先下發(fā)后生效的情況。在S3026C-A系統(tǒng)視圖下發(fā)acl規(guī)則：[S3026C-A]packet-filteruser-group5000這樣只有S3026C_A上連網(wǎng)關設備才能夠發(fā)送網(wǎng)關的ARP報文，其它主機都不能發(fā)送假冒網(wǎng)關的arp響應報文。三層交換機實現(xiàn)仿冒網(wǎng)關的ARP防攻擊一、組網(wǎng)需求：1.三層交換機實現(xiàn)防止同網(wǎng)段的用戶仿冒網(wǎng)關IP的ARP攻擊二、組網(wǎng)圖圖2三層交換機防ARP攻擊組網(wǎng)三、配置步驟對于三層設備，需要配置過濾源IP是網(wǎng)關的ARP報文的ACL規(guī)則，配置如下ACL規(guī)則：aclnumber5000rule0deny0806ffff2464010105ffffffff40rule0禁止S3526E的所有端口接收冒充網(wǎng)關的ARP報文，其中斜體部分64010105是網(wǎng)關IP地址100.1.1.5的16進制表示形式。下發(fā)ACL到全局[S3526E]packet-filteruser-group5000仿冒他人IP的ARP防攻擊一、組網(wǎng)需求：作為網(wǎng)關的設備有可能會出現(xiàn)錯誤ARP的表項，因此在網(wǎng)關設備上還需對用戶仿冒他人IP的ARP攻擊報文進行過濾。二、組網(wǎng)圖：參見圖1和圖2三、配置步驟：1.如圖1所示，當PC-B發(fā)送源IP地址為PC-D的arpreply攻擊報文，源mac是PC-B的mac(000d-88f8-09fa),源ip是PC-D的ip(100.1.1.3),目的ip和mac是網(wǎng)關(3552P丿的，這樣3552上就會學習到錯誤的arp,如下所示：錯誤arp表項IPAddressMACAddressVLANIDPortNameAgingType100.1.1.4000d-88f8-09fa1Ethernet0/220Dynamic100.1.1.3000f-3d81-45b41Ethernet0/220Dynamic從網(wǎng)絡連接可以知道PC-D的arp表項應該學習到端口E0/8上，而不應該學習到E0/2端口上。但實際上交換機上學習到該ARP表項在E0/2。上述現(xiàn)象可以在S3552上配置靜態(tài)ARP實現(xiàn)防攻擊：arpstatic100.1.1.3000f-3d81-45b41e0/8在圖2S3526C上也可以配置靜態(tài)ARP來防止設備學習到錯誤的ARP表項。對于二層設備(S3050C和S3026E系列丿，除了可以配置靜態(tài)ARP外，還可以配置IP＋MAC＋port綁定，比如在S3026C端口E0/4上做如下操作：amuser-bindip-addr100.1.1.4mac-addr000d-88f8-09fainte0/4則IP為100.1.1.4并且MAC為000d-88f8-09fa的ARP報文可以通過E0/4端口，仿冒其它設備的ARP報文則無法通過，從而不會出現(xiàn)錯誤ARP表項。四、配置關鍵點：此處僅僅列舉了部分QuidwayS系列以太網(wǎng)交換機的應用。在實際的網(wǎng)絡應用中，請根據(jù)配置手冊確認該產(chǎn)品是否支持用戶自定義ACL和地址綁定。僅僅具有上述功能的交換機才能防止ARP欺騙。5，關于ACL規(guī)則匹配的說明a）ACL直接下發(fā)到硬件中的情況交換機中ACL可以直接下發(fā)到交換機的硬件中用于數(shù)據(jù)轉(zhuǎn)發(fā)過程中的過濾和流分類。此時一條ACL中多個子規(guī)則的匹配順序是由交換機的硬件決定的，用戶即使在定義ACL時配置了匹配順序也不起作用。ACL直接下發(fā)到硬件的情況包括：交換機實現(xiàn)QoS功能時引用ACL、硬件轉(zhuǎn)發(fā)時通過ACL過濾轉(zhuǎn)發(fā)數(shù)據(jù)等。b）ACL被上層模塊引用的情況交換機也使用ACL來對由軟件處理的報文進行過濾和流分類。此時ACL子規(guī)則的匹配順序有兩種：config（指定匹配該規(guī)則時按用戶的配置順序）和auto（指定匹配該規(guī)則時系統(tǒng)自動排序，即按“深度優(yōu)先”的順序）。這種情況下用戶可以在定義ACL的時候指定一條ACL中多個子規(guī)則的匹配順序。用戶一旦指定某一條訪問控制列表的匹配順序，就不能再更改該順序。只有把該列表中所有的規(guī)則全部刪除后，才能重新指定其匹配順序。ACL被軟件引用的情況包括：路由策略引用ACL、對登錄用戶進行控制時引用ACL等。交換機配置（四）密碼恢復說明：以下方法將刪除原有config文件，使設備恢復到出廠配置。在設備重啟時按Ctrl+B進入BOOTMENU之后，PressCtrl-BtoenterBootMenu...5Password:缺省為空，回車即可DownloadapplicationfiletoflashselectapplicationfiletobootDisplayallfilesinflashDeletefilefromFlashModifybootrompassword0.RebootEnteryourchoice(0-5):4選擇4No.FileNameFileSize(bytes)1S3026CGSSI.btm2572242wnm2.2.2-0005.zip4478273snmpboots44*R0023P01.app29856915hostkey4286serverkey5727vrpcfg.txt1281FreeSpace:3452928bytesThecurrentapplicationfileisR0023P01.appPleaseinputthefilenumbertodelete:7選擇7,刪除當前的配置文件Doyouwanttodeletevrpcfg.txtnow?YesorNo(Y/N)yDeletefiledone!BOOTMENUDownloadapplicationfiletoflashselectapplicationfiletobootDisplayallfilesinflashDeletefilefromFlashModifybootrompassword0.RebootEnteryourchoice(0-5):0選擇0,重啟設備注：刪除之后交換機就恢復了出廠配置。交換機配置(五)三層交換配置1，三層交換數(shù)據(jù)包轉(zhuǎn)發(fā)流程圖：2，三層交換機配置實例：服務器1雙網(wǎng)卡，內(nèi)網(wǎng)IP:192.168.0.1,其它計算機通過其代理上網(wǎng)PORT1屬于VLAN1PORT2屬于VLAN2PORT3屬于VLAN3VLAN1的機器可以正常上網(wǎng)配置VLAN2的計算機的網(wǎng)關為：192.168.1.254配置VLAN3的計算機的網(wǎng)關為：192.168.2.254即可實現(xiàn)VLAN間互聯(lián)如果VLAN2和VLAN3的計算機要通過服務器1上網(wǎng)則需在三層交換機上配置默認路由系統(tǒng)視圖下：iproute-static0.0.0.00.0.0.0192.168.0.1然后再在服務器1上配置回程路由進入命令提示符routeadd192.168.1.0255.255.255.0192.168.0.254routeadd192.168.2.0255.255.255.0192.168.0.254這個時候vlan2和vlan3中的計算機就可以通過服務器1訪問internet了~~3,三層交換機VLAN之間的通信VLAN的劃分應與IP規(guī)劃結合起來，使得一個VLAN接口IP就是對應的子網(wǎng)段就是某個部門的子網(wǎng)段,VLAN接口IP就是一個子網(wǎng)關。VLAN應以部門劃分，相同部門的主機IP以VLAN接口IP為依據(jù)劃歸在一個子網(wǎng)范圍，同屬于一個VLAN。這樣不僅在安全上有益,而且更方便網(wǎng)絡管理員的管理和監(jiān)控。注意：各VLAN中的客戶機的網(wǎng)關分別對應各VLAN的接口IP。在這企業(yè)網(wǎng)中計劃規(guī)劃四個VLAN子網(wǎng)對應著四個重要部門,筆者認為這也是小企業(yè)最普遍的部門結構,分別是：VLAN10——綜合行政辦公室;VLAN20——銷售部；VLAN30——財務部；VLAN40數(shù)據(jù)中心(網(wǎng)絡中心丿。劃分VLAN以后，要為每一個VLAN配一個“虛擬接口IP地址”。VLAN10——192.168.10.1VLAN20192.168.20.1VLAN30——192.168.30.1VLAN40——192.168.40.1拓樸圖如下：VLAN及路由配置1.DES-3326SR三層交換機的VLAN的配置過程：(1丿創(chuàng)建VLANDES-3326SR#Configvlandefaultdelete1-24刪除默認VLAN(default)包含的端口1-24''DES-3326SR#Createvlanvlan10tag10創(chuàng)建VLAN名為vlan10,并標記VID為10DES-3326SR#Createvlanvlan20tag20創(chuàng)建VLAN名為vlan20,并標記VID為20DES-3326SR#Createvlanvlan30tag30創(chuàng)建VLAN名為vlan10,并標記VID為30DES-3326SR#Createvlanvlan40tag40創(chuàng)建VLAN名為vlan10,并標記VID為40添加端口到各VLANDES-3326SR#Configvlanvlan10adduntag1-6把端口1-6添加到VLAN10DES-3326SR#Configvlanvlan20adduntag7-12把端口1-6添加到VLAN20DES-3326SR#Configvlanvlan30adduntag13-18把端口1-6添加到VLAN30DES-3326SR#Configvlanvlan40adduntag19-24把端口1-6添加到VLAN40創(chuàng)建VLAN接口IPDES-3326SR#Createipifif10192.168.10.1/24VLAN10stateenabled創(chuàng)建慮擬的接口訐10給名為VLAN10的VLAN子網(wǎng)，并且指定該接口的IP為192.168.10.1/24。創(chuàng)建后enabled激活該接口。同樣方法設置其它的接口IP：DES-3326SR#Createipifif20192.168.20.1/24VLAN20stateenabledDES-3326SR#Createipifif30192.168.30.1/24VLAN30stateenabledDES-3326SR#Createipifif40192.168.40.1/24VLAN40stateenabled(4丿路由當配置三層交換機的三層功能時，如果只是單臺三層交換機，只需要配置各VLAN的虛擬接口就行，不再配路由選擇協(xié)議。因為一臺三層交換機上的虛擬接口會在交換機里以直接路由的身份出現(xiàn)，因此不需要靜態(tài)路由或動態(tài)路由協(xié)議的配置。2.DES-3226S二層交換機的VLAN的配置過程：(1丿創(chuàng)建VLANDES-3226S#Configvlandefaultdelete1-24刪除默認VLAN(default)包含的端口1-24''DES-3226S#Createvlanvlan10tag10創(chuàng)建VLAN名為vlan10,并標記VID為10(2)添加端口到各VLANDES-3226S#Configvlanvlan10adduntag1-24把端口1-24添加到VLAN10同理，配置其它DES-3226S二層交換機。完成以后就可以將各個所屬VLAN的二層交換機與DES-3326SR三層交換機的相應VLAN的端口連接即可。交換機配置(六)端口鏡像配置【3026等交換機鏡像】S2008/S2016/S2026/S2403H/S3026等交換機支持的都是基于端口的鏡像，有兩種方法：方法一配置鏡像(觀測)端口[SwitchA]monitor-porte0/8配置被鏡像端口[SwitchA]portmirrorEthernet0/1toEthernet0/2方法二可以一次性定義鏡像和被鏡像端口[SwitchA]portmirrorEthernet0/1toEthernet0/2observing-portEthernet0/8【8016交換機端口鏡像配置】假設8016交換機鏡像端口為E1/0/15,被鏡像端口為E1/0/0,設置端口1/0/15為端口鏡像的觀測端口。[SwitchA]portmonitorethernet1/0/15設置端口1/0/0為被鏡像端口，對其輸入輸出數(shù)據(jù)都進行鏡像。[SwitchA]portmirroringethernet1/0/0bothethernet1/0/15也可以通過兩個不同的端口，對輸入和輸出的數(shù)據(jù)分別鏡像設置E1/0/15和E2/0/0為鏡像（觀測丿端口[SwitchA]portmonitorethernet1/0