当前位置：文档之家› 华为交换机安全基线

华为交换机安全基线

华为设备安全配置基线

第1章概述 (4)

1.1目的 (4)

1.2适用范围 (4)

1.3适用版本 (4)

第2章帐号管理、认证授权安全要求 (5)

2.1帐号管理 (5)

2.1.1用户帐号分配* (5)

2.1.2删除无关的帐号* (6)

2.2口令 (7)

2.2.1静态口令以密文形式存放 (7)

2.2.2帐号、口令和授权 ................................................................ 错误！未定义书签。

2.2.3密码复杂度 (8)

2.3授权 (8)

2.3.1用IP协议进行远程维护的设备使用SSH等加密协议 (8)

第3章日志安全要求 (10)

3.1日志安全 (10)

3.1.1启用信息中心 (10)

3.1.2开启NTP服务保证记录的时间的准确性 (11)

3.1.3远程日志功能* (12)

第4章IP协议安全要求 (13)

4.1IP协议 (13)

4.1.1VRRP认证 (13)

4.1.2系统远程服务只允许特定地址访问 (13)

4.2功能配置 (15)

4.2.1SNMP的Community默认通行字口令强度 (15)

4.2.2只与特定主机进行SNMP协议交互 (16)

4.2.3配置SNMPV2或以上版本 (17)

4.2.4关闭未使用的SNMP协议及未使用write权限 (18)

第5章IP协议安全要求 (19)

5.1其他安全配置 (19)

5.1.1关闭未使用的接口 (19)

5.1.2修改设备缺省BANNER语 (20)

5.1.3配置定时账户自动登出 (20)

5.1.4配置console口密码保护功能 (21)

5.1.5端口与实际应用相符 (22)

第1章概述

1.1目的

规范配置华为路由器、交换机设备，保证设备基本安全。

1.2适用范围

本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。

1.3适用版本

华为交换机、路由器。

第2章帐号管理、认证授权安全要求

2.1帐号管理

2.1.1用户帐号分配*

1、安全基线名称：用户帐号分配安全

2、安全基线编号：SBL-HUAWEI-02-01-01

3、安全基线说明：应按照用户分配帐号，避免不同用户间共享帐号，避免用户帐号和设备间通信使用的帐号共享。

4、参考配置操作：

[Huawei]aaa

[Huawei-aaa]local-user admin password cipher admin123

[Huawei-aaa]local-user admin privilege level 15

[Huawei-aaa]local-user admin service-type ssh

[Huawei-aaa]local-user user password cipheruser123

[Huawei-aaa]local-user user privilege level 4

[Huawei-aaa]local-user user service-type ssh

5、安全判定条件：

（1）配置文件中，存在不同的账号分配

（2）网络管理员确认用户与账号分配关系明确

6、检测操作：

使用命令dis cur命令查看：

aaa

authentication-scheme default

authorization-scheme default

accounting-scheme default

domain default

domaindefault_admin

local-user admin password cipher "=LP!6$^-IYNZPO3JBXBHA!!

local-user admin privilege level 15

local-user admin service-type ssh

local-user user password cipher"=LP!6$^-IYNZP

local-useruser privilege level 4

local-useruser service-type ssh

对比命令显示结果与运维人员名单，如果运维人员之间不存在共享账号，表明符合安全要求。

2.1.2删除无关的帐号*

1、安全基线名称：删除无关的账号

2、安全基线编号：SBL-HUAWEI-02-01-02

3、安全基线说明：应删除与设备运行、维护等工作无关的账号。

4、参考配置操作：

[Huawei]aaa

[Huawei-aaa]undo local-user user

5、安全判定条件：

（1）配置文件存在多个账号

（2）网络管理员确认账号与设备运行、维护等工作无关

6、检测操作：

使用dis cur | include local-user命令查看：

[Huawei]dis cur | include local-user

local-user admin password cipher "=LP!6$^-IYNZPO3JBXBHA!! local-user admin privilege level 15

local-user admin service-type ssh

若不存在无用账号则说明符合安全要求。

2.2口令

2.2.1静态口令以密文形式存放

1、安全基线名称：静态口令以密文形式存放

2、安全基线编号：SBL-HUAWEI-02-02-01

3、安全基线说明：配置本地用户和super口令使用密文密码。

4、参考配置操作：

[Huawei]aaa

[Huawei-aaa]local-user admin password cipher admin123 [Huawei]super password cipher admin123

5、安全判定条件：

配置文件中没有明文密码字段。

6、检测操作：

查看本地用户密码：

[Huawei]dis cur | include local-user

local-user admin password cipher "=LP!6$^-IYNZPO3JBXBHA!!

local-user admin privilege level 15

local-user admin service-type ssh

查看super密码：

[Huawei]dis cur | include super

super password level 3 cipher mPZr=2!Z<@u:|l#3M^#3Icf##

2.2.2密码复杂度

1、安全基线名称：密码复杂度

2、安全基线编号：SBL-HUAWEI-02-02-02

3、安全基线说明：对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。

4、参考配置操作：

[Huawei]aaa

[Huawei-aaa]local-user admin password cipher admin@xiangyun

5、安全判定条件：

密码强度符合要求，密码至少90天进行更换。

2.3授权

2.3.1用IP协议进行远程维护的设备使用SSH等加密协议

1、安全基线名称：用IP协议进行远程维护设备

2、安全基线编号：SBL-HUAWEI-02-03-01

3、安全基线说明：使用IP协议进行远程维护设备，应配置使用SSH等加密协议连接。

4、参考配置操作：

[Huawei]aaa

[Huawei-aaa] local-user admin password cipher admin123

[Huawei-aaa] local-user admin privilege level 15

[Huawei-aaa] local-user admin service-type ssh

[Huawei]rsa local-key-pair create

[Huawei]stelnet server enable

[Huawei]ssh user admin service-type stelnet

[Huawei]ssh user admin authentication-type password

[Huawei]user-interface vty 0 4

[Huawei-ui-vty0-4]protocol inboundssh

5、安全判定条件：

配置文件中只允许SSH等加密协议连接。

6、检测操作：

使用dis cur | include ssh命令：

[Huawei]dis cur | include ssh

local-user admin service-type ssh

ssh user admin

ssh user admin authentication-type password

ssh user admin service-type stelnet

第3章日志安全要求

3.1日志安全

3.1.1启用信息中心

1、安全基线名称：启用信息中心

2、安全基线编号：SBL-HUAWEI-03-01-01

3、安全基线说明：启用信息中心，记录与设备相关的事件。

4、参考配置操作：

[HUAWEI]info-center enable

5、安全判定条件：

（1）设备应配置日志功能，能对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录使用的IP地址。

（2）记录用户登录设备后所进行的所有操作。

6、检测操作：

使用dis info-center有显示Information Center: Enabled类似信息，如：

[Huawei]dis info-center

Information Center:enabled

Log host:

Console:

channel number : 0, channel name : console

Monitor:

channel number : 1, channel name : monitor

SNMP Agent:

channel number : 5, channel name : snmpagent

Log buffer:

enabled,max buffer size 1024, current buffer size 512,

current messages 56, channel number : 4, channel name : logbuffer

dropped messages 0, overwritten messages 0

Trap buffer:

enabled,max buffer size 1024, current buffer size 256,

current messages 4, channel number:3, channel name:trapbuffer

dropped messages 0, overwritten messages 0

Information timestamp setting:

log - date, trap - date, debug - date millisecond

Sent messages = 1227, Received messages = 1226

IO Reg messages = 0 IO Sent messages = 0

3.1.2开启NTP服务保证记录的时间的准确性

1、安全基线名称：日志记录时间准确性

2、安全基线编号：SBL-HUAWEI-03-01-02

3、安全基线说明：开启NTP服务，保证日志功能记录的时间的准确性。

4、参考配置操作：

配置ntp客户端，服务器地址为192.168.1.1：

[Huawei]ntp-service authentication enable

[Huawei]ntp-service unicast-server 192.168.1.1

5、安全判定条件：

日志记录时间准确。

6、检测操作：

[Huawei]dis cur | include ntp

ntp-service authentication enable

ntp-service unicast-server 192.168.1.1

3.1.3远程日志功能*

1、安全基线名称：远程日志功能

2、安全基线编号：SBL-HUAWEI-03-01-03

3、安全基线说明：配置远程日志功能，使设备能通过远程日志功能传输到日志服务器。

4、参考配置操作：

[HUAWEI]info-center loghost *.*.*.* //配置接收日志的服务器地址

[Huawei]info-center source default channel loghost log level emergencies //配置发送的日志级别

5、安全判定条件：

日志服务器能够正确接收网络设备发送的日志。

6、检测操作：

使用命令dis cur | include info-center查看：

[Huawei]dis cur | include info-center

info-center source default channel 2 log level emergencies

第4章IP协议安全要求

4.1IP协议

4.1.1VRRP认证

1、安全基线名称：VRRP认证

2、安全基线编号：SBL-HUAWEI-04-01-01

3、安全基线说明：VRRP启用认证，防止非法设备加入到VRRP组中。

4、安全判定条件：

查看VRRP组，只存在正确的设备。

5、检测操作：

使用命令dis vrrp

4.1.2系统远程服务只允许特定地址访问

1、安全基线名称：系统远程服务只允许特定地址访问

2、安全基线编号：SBL-HUAWEI-04-01-02

3、安全基线说明：设备以UDP/TCP协议对外提供服务，供外部主机进行访问，如作为NTP服务器、TELNET服务器、TFTP服务器、FTP服务器、SSH服务器等，应配置设备，只允许特定主机访问。

4、参考配置操作：

通过配置访问控制列表ACL，只允许特定的地址访问设备的服务，如：

[HUAWEI]aclnumber 3000

[HUAWEI-acl-adv-3000]rule 0 permit tcp source 10.18.54.12 0 destination 10.1.0.50 0 destination-port eq 443

[HUAWEI-acl-adv-3000]rule 65534 deny ip

[Huawei]traffic behavior 1

[Huawei-behavior-1]permit

[Huawei]traffic policy 1

[Huawei-classifier-1]if-match acl 3000

[Huawei]traffic policy 1

[Huawei-trafficpolicy-1]classifier 1 behavior 1

[Huawei]vlan 20

[Huawei-vlan20]traffic-policy 1 inbound

5、安全判定条件：

在相关端口上绑定相应的ACL。

6、检测操作：

使用dis cur命令查看：

…

acl number 3000

rule 5 permit tcp source 10.18.1.1 0

traffic classifier 1 operator and

if-matchacl 3000

traffic behavior 1

permit

traffic policy 1

classifier 1 behavior 1

drop-profile default

vlan 20

traffic-policy 1 inbound

4.2功能配置

4.2.1SNMP的Community默认通行字口令强度

1、安全基线名称：SNMP协议的community团体字

2、安全基线编号：SBL-HUAWEI-04-02-01

3、安全基线说明：修改SNMP的community默认团体字，字符串应符合口令强度要求。

4、参考配置操作：

[HUAWEI]snmp-agent community read

[HUAWEI] snmp-agent communitywrite

5、安全判定条件：

Community非默认，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。

6、检测操作：

使用命令dis cur | include snmp查看：

[HUAWEI]dis cur | include snmp

snmp-agent

snmp-agent local-engineid 800063A280A4F25325010000000001

snmp-agent community read xiangyun_read

snmp-agent community writexiangyun_write

snmp-agent sys-info version v3

snmp-agent trap enable arp

snmp-agent trap enable radius

snmp-agent trap enable stp

7、补充：

若设备不需要使用SNMP协议应关闭SNMP功能，若需要用到应使用V2版本以上的SNMP协议。

4.2.2只与特定主机进行SNMP协议交互

1、安全基线名称：只与特定主机进行SNMP协议交互

2、安全基线编号：SBL-HUAWEI-04-02-02

3、安全基线说明：设备只与特定主机进行SNMP协议交互

4、参考配置操作：

使用ACL限制只与特定主机进行SNMP交互

[HUAWEI]aclnumber2000

[HUAWEI-acl-adv-2000]rule 0 permit ip source 10.18.54.12 0

[HUAWEI-acl-adv-2000]rule 65534 deny ip

[HUAWEI]snmp-agent community read xiangyunacl2000

5、安全判定条件：

Snmp绑定了acl

6、检测操作：

使用dis cur | include snmp命令查看：

[HUAWEI]dis cur | include snmp

snmp-agent

snmp-agent local-engineid 800063A280A4F25325010000000001 snmp-agent community read xiangyun

snmp-agent sys-info version 3

snmp-agent trap enable arp

snmp-agent trap enable radius

snmp-agent trap enable stp

snmp-agent community read xiangyunacl2000

4.2.3配置SNMPV2或以上版本

1、安全基线名称：配置SNMPv2或以上版本

2、安全基线编号：SBL-HUAWEI-04-02-03

3、安全基线说明：系统应配置SNMPv2或以上版本

4、参考配置操作：

[HUAWEI]snmp-agent sys-info version v3

5、安全判定条件：

系统可以成功使用snmpv2或v3版本协议。

6、检测操作：

使用dis cur | include snmp命令查看：

[HUAWEI]dis cur | include snmp

…..

snmp-agent sys-info version 3

…..

4.2.4关闭未使用的SNMP协议及未使用write权限

1、安全基线名称：关闭未使用的SNMP协议及未使用write权限

2、安全基线编号：SBL-HUAWEI-04-02-04

3、安全基线说明：系统应及时关闭未使用的SNMP协议及未使用write权限

4、参考配置操作：

[Huawei]undosnmp-agent community write pipaxing

5、安全判定条件：

Snmp权限为read。

6、检测操作：

使用dis cur | include snmp命令查看，权限只有read：

[HUAWEI]dis cur | include snmp

…..

snmp-agent community read xiangyun

…..

第5章IP协议安全要求5.1其他安全配置

5.1.1关闭未使用的接口

1、安全基线名称：关闭未使用的接口

2、安全基线编号：SBL-HUAWEI-05-01-01

3、安全基线说明：关闭未使用的接口

4、参考配置操作：

[HUAWEI]int g1/0/10

[HUAWEI-GigabitEthernet1/0/10]shutdown

5、安全判定条件：

未使用接口应该管理员down。

6、检测操作：

[HUAWEI]dis cur

….

interface GigabitEthernet1/0/10

port link-mode bridge

combo enable fiber

shutdown

….

5.1.2修改设备缺省BANNER语

1、安全基线名称：修改设备缺省BANNER语

2、安全基线编号：SBL-HUAWEI-05-01-02

3、安全基线说明：要修改设备缺省BANNER语，BANNER最好不要有系统平台或地址等有碍安全的信息。

4、参考配置操作：

[Huawei]header login information {需要显示的登录信息}

5、安全判定条件：

欢迎界面、提示符等不包含敏感信息。

6、检测操作：

通过远程登录或console口登录查看设备提示信息。

5.1.3配置定时账户自动登出

1、安全基线名称：配置账号定时自动退出

2、安全基线编号：SBL-HUAWEI-05-01-03

3、安全基线说明：如Telnet、ssh、console登录连接超时退出

4、参考配置操作：

配置vty登录3分钟无操作自动退出：

[HUAWEI]user-interface vty 0 4

[HUAWEI-line-vty0-4]idle-timeout 3

华为交换机指令大全

交换机命令 ~~~~~~~~~~ [Quidway]dis cur ；显示当前配置 [Quidway]display current-configuration ；显示当前配置[Quidway]display interfaces ；显示接口信息 [Quidway]display vlan all ；显示路由信息 [Quidway]display version ；显示版本信息 [Quidway]super password ；修改特权用户密码[Quidway]sysname ；交换机命名 [Quidway]interface ethernet 0/1 ；进入接口视图[Quidway]interface vlan x ；进入接口视图 [Quidway-Vlan-interfacex]ip address 10.65.1.1 255.255.0.0 ；配置VLAN的IP地址 [Quidway]ip route-static 0.0.0.0 0.0.0.0 10.65.1.2 ；静态路由＝网关[Quidway]rip ；三层交换支持 [Quidway]local-user ftp [Quidway]user-interface vty 0 4 ；进入虚拟终端 [S3026-ui-vty0-4]authentication-mode password ；设置口令模式[S3026-ui-vty0-4]set authentication-mode password simple 222 ；设置口令[S3026-ui-vty0-4]user privilege level 3 ；用户级别[Quidway]interface ethernet 0/1 ；进入端口模式[Quidway]int e0/1 ；进入端口模式 [Quidway-Ethernet0/1]duplex {half|full|auto} ；配置端口工作状态[Quidway-Ethernet0/1]speed {10|100|auto} ；配置端口工作速率[Quidway-Ethernet0/1]flow-control ；配置端口流控 [Quidway-Ethernet0/1]mdi {across|auto|normal} ；配置端口平接扭接[Quidway-Ethernet0/1]port link-type {trunk|access|hybrid} ；设置端口工作模式 [Quidway-Ethernet0/1]port access vlan 3 ；当前端口加入到VLAN [Quidway-Ethernet0/2]port trunk permit vlan {ID|All} ；设trunk允许的VLAN [Quidway-Ethernet0/3]port trunk pvid vlan 3 ；设置trunk端口的PVID [Quidway-Ethernet0/1]undo shutdown ；激活端口 [Quidway-Ethernet0/1]shutdown ；关闭端口 [Quidway-Ethernet0/1]quit ；返回 [Quidway]vlan 3 ；创建VLAN [Quidway-vlan3]port ethernet 0/1 ；在VLAN中增加端口[Quidway-vlan3]port e0/1 ；简写方式 [Quidway-vlan3]port ethernet 0/1 to ethernet 0/4 ；在VLAN中增加端口[Quidway-vlan3]port e0/1 to e0/4 ；简写方式 [Quidway]monitor-port ；指定镜像端口[Quidway]port mirror ；指定被镜像端口[Quidway]port mirror int_list observing-port int_type int_num ；指定镜像和被镜像 [Quidway]description string ；指定VLAN描述字符

华为交换机各种配置方法

端口限速基本配置1 端口绑定基本配置 ACL基本配置密码恢复三层交换配置端口镜像配置 DHCP配置配置文件管理远程管理配置 STP配置私有VLAN配置端口trunk、hybrid应用配置交换机配置（一）端口限速基本配置华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE 端口限速配置 1功能需求及组网说明端口限速配置『配置环境参数』 1. PC1和PC2的IP地址分别为『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps 2数据配置步骤『S2000EI系列交换机端口限速配置流程』使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30 3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps [SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。『S2000-SI和S3000-SI系列交换机端口限速配置流程』

华为交换机常用命令

华为交换机常用命令： 1、display current-configuration 显示当前配置 2、display interface GigabitEthernet 1/1/4 显示接口信息 3、display packet-filter interface GigabitEthernet 1/1/4 显示接口acl应用信息 4、display acl all 显示所有acl设置3900系列交换机 5、display acl config all 显示所有acl设置6500系列交换机 6、display arp 10.78.4.1 显示该ip地址的mac地址，所接交换机的端口位置 7、display cpu显示cpu信息 8、system-view 进入系统图（配置交换机），等于config t 命令 9、acl number 5000 在system-view命令后使用，进入acl配置状态 10、rule 0 deny 0806 ffff 24 0a4e0401 f 40 在上面的命令后使用，，acl 配置例子 11、rule 1 permit 0806 ffff 24 000fe218ded7 f 34 //在上面的命令后使用，acl配置例子 12、interface GigabitEthernet 1/0/9 //在system-view命令后使用，进入接口配置状态 13、[86ZX-S6503-GigabitEthernet1/0/9]qos //在上面的命令后使用，进入接口qos配置 14、[86ZX-S6503-qosb-GigabitEthernet1/0/9]packet-filter inbound user-group 5000 //在上面的命令后使用，在接口上应用进站的acl 15、[Build4-2_S3928TP-GigabitEthernet1/1/4]packet-filter outbound user-group 5001 //在接口上应用出站的acl 16、undo acl number 5000 //取消acl number 5000 的设置 17、ip route-static 0.0.0.0 0.0.0.0 10.78.1.1 preference 60 //设置路由 18、reset counters interface Ethernet 1/0/14 //重置接口信息 19、save //保存设置 20、quit //退出（此信息仅为分享之用，我们不排除对您并不适用的可能。另，如此信息侵犯您的权益，请告知我们，我们会及时删除）华为路由器交换机配置命令：交换机命令 [Quidway]discur；显示当前配置 [Quidway]displaycurrent-configuration；显示当前配置 [Quidway]displayinterfaces；显示接口信息 [Quidway]displayvlanall；显示路由信息 [Quidway]displayversion；显示版本信息 [Quidway]superpassword；修改特权用户密码 [Quidway]sysname；交换机命名

华为交换机各种配置实例[网管必学]

华为交换机各种配置实例[网管必学交换机配置（一）端口限速基本配置华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE (4 )参数可选! 端口限速配置 1功能需求及组网说明端口限速配置『配置环境参数』 1. PC1和PC2的IP地址分别为10.10.1.1/24、10.10.1.2/24 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps

2数据配置步骤『S2000EI系列交换机端口限速配置流程』使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30 3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps [SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。

华为24口交换机独立端口命令

vlan 32 q interface Ethernet0/0/1 port-isolate enable q interface Ethernet0/0/2 port-isolate enable q interface Ethernet0/0/3 port-isolate enable q interface Ethernet0/0/4 port-isolate enable q interface Ethernet0/0/5 port-isolate enable q interface Ethernet0/0/6 port-isolate enable q interface Ethernet0/0/7 port-isolate enable q interface Ethernet0/0/8 port-isolate enable q interface Ethernet0/0/9 port-isolate enable q interface Ethernet0/0/10 port-isolate enable q interface Ethernet0/0/11 port-isolate enable q interface Ethernet0/0/12 port-isolate enable q interface Ethernet0/0/13 port-isolate enable q interface Ethernet0/0/14 port-isolate enable

interface Ethernet0/0/15 port-isolate enable q interface Ethernet0/0/16 port-isolate enable q interface Ethernet0/0/17 port-isolate enable q interface Ethernet0/0/18 port-isolate enable q interface Ethernet0/0/19 port-isolate enable q interface Ethernet0/0/20 port-isolate enable q interface Ethernet0/0/21 port-isolate enable q interface Ethernet0/0/22 port-isolate enable q interface Ethernet0/0/23 port-isolate enable q interface Ethernet0/0/24 port-isolate enable q interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 32 q q sa y

华三华为交换机-路由器配置常用命令汇总

H3C交换机配置命令大全 1、system-view 进入系统视图模式 2、sysname 为设备命名 3、display current-configuration 当前配置情况 4、language-mode Chinese|English 中英文切换 5、interface Ethernet 1/0/1 进入以太网端口视图 6、port link-type Access|Trunk|Hybrid 设置端口访问模式 7、undo shutdown 打开以太网端口 8、shutdown 关闭以太网端口 9、quit 退出当前视图模式 10、vlan 10 创建VLAN 10并进入VLAN 10的视图模式 11、port access vlan 10 在端口模式下将当前端口加入到vlan 10中 12、port E1/0/2 to E1/0/5 在VLAN模式下将指定端口加入到当前vlan中 13、port trunk permit vlan all 允许所有的vlan通过 H3C路由器配置命令大全 1、system-view 进入系统视图模式 2、sysname R1 为设备命名为R1 3、display ip routing-table 显示当前路由表 4、language-mode Chinese|English 中英文切换 5、interface Ethernet 0/0 进入以太网端口视图 6、ip address 192.168.1.1 255.255.255.0 配置IP地址和子网掩码 7、undo shutdown 打开以太网端口 8、shutdown 关闭以太网端口

华为交换机基本配置命令29908

华为交换机基本配置命令一、单交换机VLAN划分命令命令解释 system 进入系统视图 system-view 进入系统视图 quit 退到系统视图 undo vlan 20 删除vlan 20 sysname 交换机命名 disp vlan 显示vlan vlan 20 创建vlan(也可进入vlan 20) port e1/0/1toe1/0/5 把端口1-5放入VLAN 20 中 5700系列单个端口放入VLAN [Huawei]intg0/0/1 [Huawei]port link-typeaccess（注：接口类型access，hybrid、trunk） [Huawei]port default vlan 10 批量端口放入VLAN [Huawei]port-group 1 [Huawei-port-group-1]group-member ethernet G0/0/1 to ethernet G0/0/20 [Huawei-port-group-1]port hybrid untagged vlan 3 删除group（组）vlan 200内的15端口 [Huawei]intg0/0/15 [Huawei-GigabitEthernet0/0/15]undo port hybrid untagged vlan 200 通过group端口限速设置 [Huawei]Port-group 2 [Huawei]group-member g0/0/2 to g0/0/23 [Huawei]qos lr outbound cir 2000 cbs 20000 disp vlan 20 显示vlan里的端口20 int e1/0/24 进入端口24 undo port e1/0/10 表示删除当前VLAN端口10 disp curr 显示当前配置 return 返回 Save 保存 info-center source DS channel 0 log state off trap state off通过关闭日志信息命令改变DS模块来实现（关闭配置后的确认信息显示） info-center source DS channel 0 log state on trap state on 通过打开日志信息命令改变DS模块来实现（打开配置后的确认信息显示）

华为交换机及路由器各种配置实例大全(20200909191858)

交换机配置（三）ACL基本配置交换机配置（一）端口限速基本配置华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE (4 ) 参数可选! 端口限速配置 1功能需求及组网说明端口限速配置『配置环境参数』 1. PC1和PC2的IP地址分别为、『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps 2数据配置步骤『S2000EI系列交换机端口限速配置流程』使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30

3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps [SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。『S2000-SI和S3000-SI系列交换机端口限速配置流程』使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到6Mbps [SwitchA- Ethernet0/1]line-rate outbound 2 3. 对端口E0/1的入方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate inbound 1 【补充说明】对端口发送或接收报文限制的总速率，这里以8个级别来表示，取值范围为1～8，含义为：端口工作在10M速率时，1～8分别表示312K，625K，938K，，2M，4M，6M，8M；端口工作在100M速率时，1～8分别表示，，，，20M，40M，60M，80M。此系列交换机的具体型号包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI。『S3026E、S3526E、S3050、S5012、S5024系列交换机端口限速配置流程』使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合 acl，使用以太网物理端口下面的traffic-limit命令，对端口的入方向报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图

华为交换机配置命令手册

为QuidWay交换机配置命令手册： 1、开始建立本地配置环境，将主机的串口通过配置电缆与以太网交换机的Console口连接。在主机上运行终端仿真程序（如Windows的超级终端等），设置终端通信参数为：波特率为9600bit/s、8位数据位、1位停止位、无校验和无流控，并选择终端类型为VT100。以太网交换机上电，终端上显示以太网交换机自检信息，自检结束后提示用户键入回车，之后将出现命令行提示符（如）。键入命令，配置以太网交换机或查看以太网交换机运行状态。需要帮助可以随时键入"?" 2、命令视图 (1)用户视图(查看交换机的简单运行状态和统计信息):与交换机建立连接即进入 (2)系统视图(配置系统参数)[Quidway]:在用户视图下键入system-view (3)以太网端口视图(配置以太网端口参数)[Quidway-Ethernet0/1]:在系统视图下键入interface ethernet 0/1 (4)VLAN视图(配置VLAN参数)[Quidway-Vlan1]:在系统视图下键入vlan 1 (5)VLAN接口视图(配置VLAN和VLAN汇聚对应的IP接口参数)[Quidway-Vlan-interface1]:在系统视图下键入interface vlan-interface 1 (6)本地用户视图(配置本地用户参数)[Quidway-luser-user1]:在系统视图下键入local-user user1 (7)用户界面视图(配置用户界面参数)[Quidway-ui0]:在系统视图下键入user-interface 3、其他命令设置系统时间和时区clock time Beijing add 8 clock datetime 12:00:00 2005/01/23 设置交换机的名称[Quidway]sysname TRAIN-3026-1[TRAIN-3026-1] 配置用户登录[Quidway]user-interface vty 0 4 [Quidway-ui-vty0]authentication-mode scheme 创建本地用户[Quidway]local-user huawei [Quidway-luser-huawei]password simple huawei

华为交换机常用命令配置介绍

华为交换机配置命令华为QuidWay交换机配置命令手册： 1、开始建立本地配置环境，将主机的串口通过配置电缆与以太网交换机的Console口连接。在主机上运行终端仿真程序（如Windows的超级终端等），设置终端通信参数为：波特率为9600bit/s、8位数据位、1位停止位、无校验和无流控，并选择终端类型为VT100。以太网交换机上电，终端上显示以太网交换机自检信息，自检结束后提示用户键入回车，之后将出现命令行提示符（如）。键入命令，配置以太网交换机或查看以太网交换机运行状态。需要帮助可以随时键入"?" 2、命令视图 (1)用户视图(查看交换机的简单运行状态和统计信息):与交换机建立连接即进入 (2)系统视图(配置系统参数)[Quidway]:在用户视图下键入system-view (3)以太网端口视图(配置以太网端口参数)[Quidway-Ethernet0/1]:在系统视图下键入interface ethernet 0/1 (4)VLAN视图(配置VLAN参数)[Quidway-Vlan1]:在系统视图下键入vlan 1 (5)VLAN接口视图(配置VLAN和VLAN汇聚对应的IP接口参数)[Quidway-Vlan-interface1]:在系统视图下键入interface vlan-interface 1 (6)本地用户视图(配置本地用户参数)[Quidway-luser-user1]:在系统视图下键入local-user user1 (7)用户界面视图(配置用户界面参数)[Quidway-ui0]:在系统视图下键入user-interface 3、其他命令设置系统时间和时区clock time Beijing add 8 clock datetime 12:00:00 2005/01/23 设置交换机的名称[Quidway]sysname TRAIN-3026-1[TRAIN-3026-1] 配置用户登录[Quidway]user-interface vty 0 4 [Quidway-ui-vty0]authentication-mode scheme 创建本地用户[Quidway]local-user huawei [Quidway-luser-huawei]password simple huawei [Quidway-luser-huawei] service-type telnet level 3 4、VLAN配置方法『配置环境参数』 SwitchA端口E0/1属于VLAN2，E0/2属于VLAN3 『组网需求』把交换机端口E0/1加入到VLAN2 ，E0/2加入到VLAN3 数据配置步骤『VLAN配置流程』 (1)缺省情况下所有端口都属于VLAN 1，并且端口是access端口，一个access端口只能属于一个vlan； (2)如果端口是access端口，则把端口加入到另外一个vlan的同时，系统自动把该端口从原来的vlan中删除掉； (3)除了VLAN1，如果VLAN XX不存在，在系统视图下键入VLAN XX，则创建VLAN XX并进入VLAN视图；如果VLAN XX已经存在，则进入VLAN视图。

华为交换机及路由器各种配置实例大全

华为交换机各种配置实例交换机配置（三）ACL基本配置交换机配置（一）端口限速基本配置华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE (4 ) 参数可选! 端口限速配置 1功能需求及组网说明端口限速配置『配置环境参数』 1. PC1和PC2的IP地址分别为10.10.1.1/24、10.10.1.2/24 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps 2数据配置步骤『S2000EI系列交换机端口限速配置流程』使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30 3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps

[SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。『S2000-SI和S3000-SI系列交换机端口限速配置流程』使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到6Mbps [SwitchA- Ethernet0/1]line-rate outbound 2 3. 对端口E0/1的入方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate inbound 1 【补充说明】对端口发送或接收报文限制的总速率，这里以8个级别来表示，取值范围为1～8，含义为：端口工作在10M速率时，1～8分别表示312K，625K，938K，1.25M，2M，4M，6M，8M；端口工作在100M速率时，1～8分别表示3.12M，6.25M，9.38M，12.5M，20M，40M，60M，80M。此系列交换机的具体型号包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI。『S3026E、S3526E、S3050、S5012、S5024系列交换机端口限速配置流程』使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合acl，使用以太网物理端口下面的traffic-limit命令，对端口的入方向报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate 3 3. 配置acl，定义符合速率限制的数据流

华为交换机配置命令手册及实验

华为交换机配置命令手册及实验 Huawei 交换机配置命令手册： 1、开始建立本地配置环境，将主机的串口通过配置电缆与以太网交换机的Console 口连接。在主机上运行终端仿真程序（如Windows 的超级终端等），设置终端通信参数为：波特率为9600bit/s、8 位数据位、1 位停止位、无校验和无流控，并选择终端类型为 VT100。以太网交换机上电，终端上显示以太网交换机自检信息，自检结束后提示用户键入回车，之后将出现命令行提示符（如）。键入命令，配置以太网交换机或查看以太网交换机运行状态。需要帮助可以随时键入"" 2、命令视图 (1)用户视图(查看交换机简单运行状态和统计信息):与交换机建立连接即进入 (2)系统视图(配置系统参数)[Quidway]:在用户视图下键入system-view (3)以太网端口视图(配置以太网端口参数)[Quidway-Ethernet0/1]:在系统视图下键入 interface ethernet 0/1 (4)VLAN 视图(配置VLAN 参数)[Quidway-Vlan1]:在系统视图下键入vlan 123 Hessen was revised in January 2021

(5)VLAN 接口视图(配置VLAN 和VLAN 汇聚对应的IP 接口参数)[Quidway-Vlan- interface1]:在系统视图下键入interface vlan-interface 123 (6)本地用户视图(配置本地用户参数)[Quidway-luser-user1]:在系统视图下键入 local- user user1 (7)用户界面视图(配置用户界面参数)[Quidway-ui0]:在系统视图下键入user-interface 3、其他命令设置系统时间和时区clock time Beijing add 8 clock datetime 12:00:00 2005/01/23 设置交换机的名称[Quidway]sysname TRAIN-3026-1[TRAIN-3026-1]

华为交换机S5000系列常用配置

华为S5000交换机常用配置登录Web设置页面 1.您需要将管理计算机的IP地址与交换机的IP地址（缺省为19 2.168.0.233/255.255.255.0）设置在同一子网中。如果采用远程配置，请确保管理计算机和交换机路由可达。 2.开启/关闭HTTP服务器： system-view [Quidway]ip http shutdown//关闭http服务 [Quidway]undo ip http shutdown//开启http服务，缺省情况下，HTTP服务器处于开启状态。 3.请确认连接管理计算机进行Web设置的端口必须属于管理VLAN。缺省情况下，管理VLAN为VLAN1，且交换机的每个端口均属于VLAN1。 4.运行Web浏览器，在地址栏中输入http://192.168.0.233。回车后，输入用户名、密码（缺省均为admin，区分大小写），单击<登录>按钮或直接回车即可进入Web设置页面。端口的相关设置 1.端口的优先级：端口的优先级别共0～7级，0为最低，7为最高对于不带有802.1Q标签头的报文，交换机将使用端口的优先级作为该端口接收报文的802.1p优先级，然后根据该优先级查找本地优先级映射表，为报文标记本地优先级缺省情况下，端口的优先级为0 2.流量控制：当交换机和对端交换机都开启了流量控制功能后，如果交换机发生拥塞： (1)交换机将向对端交换机发送流控帧，通知对端交换机暂时停止发送报文 (2)对端交换机在接收到该流控帧后，将暂停向交换机发送报文，从而避免了报文丢失现象的发生，保证了网络业务的正常运行缺省情况下，端口流控处于关闭状态 3.风暴抑制比：您可以在端口下设置其允许通过的最大广播/组播/未知单播报文流量。当端口上的广播/组播/未知单播流量超出您设置的值后，交换机将丢弃超出广播/组播/未知单播流量限制的报文，从而使端口广播/组播/未知单播流量所占的比例降低到限定的范围，保证网络业务的正常运行缺省情况下为100%，表示不抑制 4.Jumbo帧：端口在进行文件传输等大吞吐量数据交换的时候，可能会收到Jumbo帧（即大于标准以太网帧长的长帧）。对于这样的长帧，系统会直接丢弃不再进行处理。开启允许Jumbo帧通过功能后，当端口收到大于标准长度时，系统会继续处理。缺省情况下，端口不支持接收Jumbo帧 5.本地端口镜像：端口镜像是将被镜像端口的报文复制一份到监控端口，监控端口会与数据监测设备相连，用户利用这些数据监测设备来分析复制到监控端口的报文，进行网络监控和

华为交换机综合配置案例

2综合配置案例关于本章 2.1 中小型园区/分支出口综合配置举例 2.2 大型园区出口配置示例（防火墙直连部署） 2.3 大型园区出口配置示例（防火墙旁路部署） 2.4 校园敏捷网络配置示例 2.5 轨道交通承载网快速自愈保护技术配置举例 2.6 配置交换机上同时部署ACU2和NGFW的示例

2.1 中小型园区/分支出口综合配置举例园区网出口简介园区网出口一般位于企业网内部网络与外部网络的连接处，是内部网络与外部网络之间数据流的唯一出入口。对于中小型企业来说，考虑到企业网络建设的初期投资与长期运维成本，一般希望将多种业务部署在同一设备上。企业网络用户一般同时需要访问Internet和私网VPN，而对于中小型企业来说考虑到建设及维护成本问题，一般租用运营商Internet网络组建私网VPN。对于部分可靠性要求较高的园区网络，一般考虑部署两台出口路由器做冗余备份实现设备级可靠性，同时应用链路聚合、VRRP、主备路由等技术保证园区出口的可靠性。华为AR系列路由器配合华为S系列交换机是中小型园区网出口设备的理想解决方案。 l园区出口设备需要具备NAT Outbound及NAT Server的功能，实现私网地址和公网地址之间的转换，以满足用户访问Internet或者Internet用户访问内网服务器的需求。 l园区出口设备需要具备通过Internet构建私网VPN的功能，以满足企业用户各个机构之间私网VPN互通的需求。 l园区出口设备需要具备数据加密传输的功能，以保证数据的完整性和机密性，保障用户业务传输的安全。 l中小型园区出口需要具备可靠性、安全性、低成本、易维护等特点。配置注意事项 l本配置案例适用于中小型企业园区/分支出口解决方案。 l本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为S 系列园区交换机快速配置中的“中小园区组网场景”。组网需求某企业总部和分支分别位于不同的城市，地域跨度较远，总部存在A、B两个不同的部门，分支只有一个部门。现在需要建设跨地域的企业园区网络，需要实现的需求如下： l总部和分支都需要实现用户访问Internet的需求。总部划分为A、B两个部门，其中A部门的用户可以访问Internet，但是B部门的用户不能访问Internet；分支所有用户都可以访问Internet。 l总部有Web服务器，对外提供WWW服务，外网用户可以访问内网服务器。 l总部和分支之间需要通过Internet进行私网VPN互通，通信内容需要有安全保护。 l总部园区出口可靠性要求较高，需要考虑链路级的可靠性和设备级的可靠性。 l分支可以适当降低可靠性要求。方案介绍根据用户需求，可以给出如图2-1所示的综合配置解决方案，该方案具备层次化、模块化、冗余性、安全性的特点，适用于中小型企业/分支的园区网络部署。

华为交换机配置实例

华为交换机配置实例序号注意项目记录 1 登录交换机时请注意在超级终端串口配置属性流控选择“无” 2 启动时按”ctrl+B”可以进入到boot menu模式 3 当交换机提示”Please Press ENTER”，敲完回车后请等待一下，设备需要一定的时间才能进入到命令行界面（具体的时间视产品而定） 4 请在用户视图（如）输入”system-view”（输入”sys”即可）进入系统视图(如[Quidway]) 5 对使用的端口、vlan、interface vlan进行详细的描述 6 如果配置了telnet用户，一定要设置权限或配置super密码 7 除了S5516使用SFP模块， S8016和S6500系列使用模块，其它产品使用模块不可以带电插拔 8 某产品使用其它产品模块前请确认该模块是否可以混用 9 配置acl时请注意掩码配置是否准确 10 二层交换机配置管理IP后，请确保管理vlan包含了管理报文到达的端口 11 配置完毕后请在用户视图下（如）采用save命令保存配置 12 请确保在设备保存配置的时候不掉电，否则可能会导致配置丢失 13 如果要清除所有配置，请在用户视图下（如）采用reset saved-configuration，并重启交换机注：其他配置需注意的地方请参考每部分内容后面的注明 LANSWITCH日常维护基本操作

1 基本操作 1.1 常用命令新旧对照列表常用命令新旧对照表旧新旧新 show display access-list acl no undo acl eacl exit quit write save show version disp version erase reset show run disp current-configuration show tech-support disp diagnostic-information show start disp saved-configuration router ospf ospf router bgp bgp router rip rip hostname sysname user local-user 0 simple 7 cipher mode link-type multi hybrid 注意: ITCH会自动识别不完整词 1. disp是display的缩写，在没有歧义时LANSW2. disp cur显示LANSWITCH当前生效的配置参数 3. disp和ping命令在任何视图下都可执行，不必切换到系统视图

文档之家

华为交换机安全基线

华为交换机指令大全

华为交换机各种配置方法

华为交换机常用命令

华为交换机各种配置实例[网管必学]

华为24口交换机独立端口命令

华三华为交换机-路由器配置常用命令汇总

华为交换机基本配置命令29908

华为交换机及路由器各种配置实例大全(20200909191858)

华为交换机配置命令手册

最新华为交换机常用配置实例

华为交换机常用命令配置介绍

华为交换机及路由器各种配置实例大全

华为交换机配置命令手册及实验

华为交换机S5000系列常用配置

华为交换机 综合配置案例

华为交换机配置实例

华为交换机综合配置案例