一以太网端口配置命令
1.1．1 display interface
【命令】
display interface[ interface_type | interface_type interface_num |
interface_name ]
【视图】
所有视图
【参数】
interface_type：端口类型。
interface_num：端口号。
interface_name：端口名，表示方法为interface_name=interface_type
interface_num。
参数的具体说明请参见interface命令中的参数说明。
【描述】
display interface命令用来显示端口的配置信息。
在显示端口信息时，如果不指定端口类型和端口号，则显示交换机上所
有的端口信息；如果仅指定端口类型，则显示该类型端口的所有端口信
息；如果同时指定端口类型和端口号，则显示指定的端口信息。
【举例】
# 显示以太网端口Ethernet0/1的配置信息。
Ethernet0/1 current state : UP
IP Sending Frames' Format is PKTFMT_ETHNT_2, Hardware address is
00e0-fc00-0010
Description : aaa
The Maximum Transmit Unit is 1500
Media type is twisted pair, loopback not set
Port hardware type is 100_BASE_TX
100Mbps-speed mode, full-duplex mode
Link speed type is autonegotiation, link duplex type is
autonegotiation
Flow-control is not supported
The Maximum Frame Length is 1536
Broadcast MAX-ratio: 100%
PVID: 1
Mdi type: auto
Port link-type: access
Tagged VLAN ID : none
Untagged VLAN ID : 1
Last 5 minutes input: 0 packets/sec 0 bytes/sec
Last 5 minutes output: 0 packets/sec 0 bytes/sec
input(total): 0 packets, 0 bytes
0 broadcasts, 0 multicasts
input(normal): - packets, - bytes
- broadcasts, - multicasts
input: 0 input errors, 0 runts, 0 giants, - throttles, 0 CRC
0 frame, - overruns, 0 aborts, 0 ignored, - parity errors Output(total): 0 packets, 0 bytes
0 broadcasts, 0 multicasts, 0 pauses
Output(normal): - packets, - bytes
- broadcasts, - multicasts, - pauses
Output: 0 output errors, 0 underruns, - buffer failures
- aborts, 0 deferred, 0 collisions, 0 late collisions
- lost carrier, - no carrier
表1-1 端口配置信息描述表
表1-2 端口环回监测功能的开启情况信息描述表
1.1.3 display port
【命令】
display port { hybrid | trunk }
【视图】
所有视图
【参数】
hybrid：显示Hybrid端口。
Trunk：显示Trunk端口。
【描述】
display port命令用来显示当前系统是否有链路类型为Hybrid或者
Trunk的端口，如果有，则显示出对应的端口名。
【举例】
# 显示当前系统存在的Hybrid端口。
Now, the following hybrid ports exist:
Ethernet0/1 Ethernet0/2
以上信息表示当前系统有两个Hybrid端口，分别为Ethernet0/1和
Ethernet0/2。
1.1.4 duplex
【命令】
duplex { auto | full | half }
undo duplex
【视图】
以太网端口视图
【参数】
auto：端口处于自协商状态。
full：端口处于全双工状态。
half：端口处于半双工状态。
【描述】
duplex命令用来设置以太网端口的全双工/半双工属性，undo duplex
命令用来将端口的双工状态恢复为缺省的自协商状态。
缺省情况下，端口处于自协商状态。
相关配置可参考命令speed。
【举例】
# 将以太网端口Ethernet0/1端口设置为自协商状态。
[Quidway-Ethernet0/1] duplex auto
1.1.5 interface
【命令】
interface { interface_type interface_num | interface_name }
【视图】
系统视图
【参数】
interface_type：端口类型，取值为Ethernet或GigabitEthernet。
interface_num：端口号，采用槽位编号/端口编号的格式。对于S3526、
S3526E、S3526C以太网交换机，槽号取值范围为0～2：槽号取0表示
交换机提供的固定以太网端口，端口号取值范围为1～24；槽号取1或2
分别表示后面板上两个扩展模块提供的以太网端口，端口号只能取1。对
于S3526 FM、S3526 FS、S3526E FM、S3526E FS以太网交换机，
槽号取值范围为0～4：槽号取0表示交换机提供的固定以太网端口，端
口号取值范围为1～12；槽号取1或2分别表示前面板上两个扩展模块
提供的以太网端口，端口号取值范围均为1～6；槽号取3或4分别表示
后面板上两个扩展模块提供的以太网端口，端口号只能取1。对于
S3552G、S3552P以太网交换机，槽号取值范围为0、1：槽号取0表示
交换机提供的百兆以太网端口，端口号取值范围为1～48；槽号取1表
示交换机提供的千兆以太网端口，端口号取值范围为1～4。对于
S3528G、S3528P以太网交换机，槽号取值范围为0、1：槽号取0表示
交换机提供的百兆以太网端口，端口号取值范围为1～24；槽号取1表
示交换机提供的千兆以太网端口，端口号取值范围为1～4。对于S3552F
以太网交换机，槽号取值范围为1～7：槽号取1～6分别表示交换机前
面板上6个模块提供的百兆以太网端口，端口号取值范围均为1～8；槽
号取7表示交换机后面板提供的千兆以太网端口，端口号取值范围为1～
4。
interface_name：端口名，表示方法为interface_name= interface_type
interface_num。
【描述】
interface命令用来进入以太网端口视图。用户要配置以太网端口的相关
参数，必须先使用该命令进入以太网端口视图。
【举例】
# 进入Ethernet0/1以太网端口视图。
[Quidway] interface ethernet0/1
1.1.6 speed
【命令】
●在100Mbit/s以太网端口下命令形式为：
speed { 10 | 100 | auto }
●在1000Mbit/s以太网端口下命令的形式为：
speed { 10 | 100 | 1000 | auto }
●命令的undo形式为：
undo speed
【视图】
以太网端口视图
【参数】
10：表示端口速率为10Mbit/s。
100：表示端口速率为100Mbit/s。
1000：表示端口速率为1000Mbit/s。
auto：表示端口速率处于双方自协商状态。
【描述】
speed命令用来设置端口的速率，undo speed命令用来恢复端口的速
率为缺省值。
缺省情况下，端口速率处于双方自协商状态。
相关配置可参考命令duplex。
【举例】
# 将以太网端口Ethernet0/1的端口速率设置为10Mbit/s。
[Quidway-Ethernet0/1] speed 10
2.1 VLAN配置命令
2.1.1 description
【命令】
description string
undo description
【视图】
VLAN视图，VLAN接口视图
【参数】
string：当前VLAN或VLAN接口的描述字符串，字符串长度范围为1～32字符。VLAN缺省描述字符串为该VLAN的VLAN ID，例如“VLAN 0001”。VLAN接口缺省描述字符串为该VLAN接口的接口名，例如“Vlan-interface1 Interface”。
【描述】
description命令用来给当前VLAN或VLAN接口一个描述，undo description命令用来恢复指定VLAN或VLAN接口的描述字符串为缺省描述。
相关配置可参考命令display vlan，display interface vlan-interface。
【举例】
# 为当前的VLAN指定一个描述字符串“RESEARCH”。
[Quidway-vlan1] description RESEARCH
2.1.2 display interface vlan-interface
【命令】
display interface vlan-interface [ vlan_id ]
【视图】
所有视图
【参数】
vlan_id：指定要显示VLAN接口的接口号。
【描述】
display interface vlan-interface命令用来显示VLAN接口本身的一些相关信息，包括：VLAN 接口的物理状态与链路状态、发送帧格式、VLAN接口对应的MAC地址、IP地址及子网掩码、VLAN接口描述字符串及MTU等。
如果指定了vlan_id，则显示指定VLAN接口的情况；如果不指定，将显示已创建的所有VLAN接口的情况。
相关配置可参考命令interface vlan-interface。
第12章交换机基本配置 交换机是局域网中最重要的设备，交换机是基于MAC来进行工作的。和路由器类似，交换机也有IOS，IOS的基本使用方法是一样的。本章将简单介绍交换的一些基本配置。关于VLAN和Trunk等将在后面章节介绍。 12.1 交换机简介 交换机是第2层的设备，可以隔离冲突域。交换机是基于收到的数据帧中的源MAC地址和目的MAC地址来进行工作的。交换机的作用主要有两个：一个是维护CAM（Conetxt Address Memory）表，该表是计算机的MAC地址和交换端口的映射表；另一个是根据CAM 来进行数据帧的转发。交换对帧的处理有3种：交换机收到帧后，查询CAM表，如果能查询到目的计算机所在的端口，并且目的计算机所在的端口不是交换接收帧的源端口，交换机将把帧从这一端口转发出去（Forward）；如果该计算机所在的端口和交换机接收帧的源端口是同一端口，交换机将过滤掉该帧（Filter）；如果交换机不能查询到目的计算机所在的端口，交换机将把帧从源端口以外的其他所有端口上发送出去，这称为泛洪（Flood），当交换机接收到的帧是广播帧或多播帧，交换机也会泛洪帧。 12.2 实验0：交换机基本配置 1.实验目的: 通过本实验，可以掌握交换机的基本配置这项技能。 2.实验拓扑 实验拓扑图如图12-2所示。 图12-2 实验1拓扑图 3.实验步骤 （1）步骤1：通过PC0以Console方式登录交换机Switch0. 注意配置PC0上的终端. 登录成功后, 通过PC0配置交换机Switch0的主机名 Switch>enable Switch#conf terminal
思科自防御网络安全方案典型配置 1. 用户需求分析 客户规模： ?客户有一个总部，具有一定规模的园区网络； ?一个分支机构，约有20－50名员工； ?用户有很多移动办公用户 客户需求： ?组建安全可靠的总部和分支LAN和WAN； ?总部和分支的终端需要提供安全防护，并实现网络准入控制，未来实现对VPN用户的网络准入检查； ?需要提供IPSEC/SSLVPN接入； ?在内部各主要部门间，及内外网络间进行安全区域划分，保护企业业务系统； ?配置入侵检测系统，检测基于网络的攻击事件，并且协调设备进行联动； ?网络整体必须具备自防御特性，实现设备横向联动抵御混合式攻击； ?图形化网络安全管理系统，方便快捷地控制全网安全设备，进行事件分析，结合拓扑发现攻击，拦截和阻断攻击； ?整体方案要便于升级，利于投资保护； 思科建议方案： ?部署边界安全：思科IOS 路由器及ASA防火墙，集成SSL/IPSec VPN； ?安全域划分：思科FWSM防火墙模块与交换机VRF及VLAN特性配合，完整实现安全域划分和实现业务系统之间的可控互访； ?部署终端安全：思科准入控制NAC APPLIANCE及终端安全防护CSA解决方案紧密集成； ?安全检测：思科IPS42XX、IDSM、ASA AIP模块，IOS IPS均可以实现安全检测并且与网络设备进行联动； ?安全认证及授权：部署思科ACS 4.0认证服务器； ?安全管理：思科安全管理系统MARS，配合安全配置管理系统CSM使用。
2. 思科建议方案设计图 点击放大 3. 思科建议方案总体配置概述 ?安全和智能的总部与分支网络 o LAN：总部，核心层思科Cat6500；分布层Cat4500；接入层Cat3560和CE500交换机，提供公司总部园区网络用户的接入；分支可以采用思科ASA5505 防火墙内嵌的 8FE接口连接用户，同时其头两个LAN端口支持POE以太网供电，可以连接AP及IP 电话等设备使用，并且ASA5505留有扩展槽为便于以后对于业务模块的支持。 o WAN：总部ISR3845 路由器，分支ISR2811或者ASA防火墙，实现总部和分支之间安全可靠地互联，可以采用专线，也可以经由因特网，采用VPN实现；并且为远程办公 用户提供IPSEC/SSL VPN的接入。 ?总部和分支自防御网络部署说明 o总部和分支路由器或者ASA防火墙，IPS，及IPSec VPN和WEB VPN功能，实现安全的网络访问和应用传输，以及高级的应用控制；另外，可利用思科Auto-Secure功能 快速部署基本的安全功能。 o安全域划分：实现行业用户内部业务系统逻辑隔离，并且保证在策略允许的情况下实现可控的互访，可以利用思科FWSM防火墙模块与C6K交换机完美集成，并且思科交换 机VRF特性相结合，二层VLAN隔离，三层VRF隔离，最终利用VRF终结业务对应不 同的虚拟防火墙，并且配置各个业务网段专用虚拟防火墙实现不同安全区域业务之间的 可控互访。 o终端安全：终端安全＝NAC+CSA，利用思科NAC APPLINACE 解决方案通过配置CAM/CAS两台设备实现思科NAC解决方案保证对于网络内主机的入网健康检查，利用 思科CSA软件对于用户服务器及客户机进行安全加固、病毒零天保护、限制非法应用 （P2P)、限制U盘使用等操作，并且两套解决方案可以实现完美结合，并且CSA和与 MARS以及IPS进行横向联动，自动拦截攻击。 o安全检测：思科IPS42XX、IDSM、ASA AIP模块均可以实现安全检测并与网络设备进行联动，思科安全IPS设备支持并联和串连模式，旁路配置时可以监控各个安全域划分 区域内部业务，识别安全风险，与MARS联动，也可以与思科网络设备防火墙、C6K交
【实验文档】【实验0021】【交换机的端口安全配置】 【实验名称】 交换机的端口安全配置。 【实验目的】 掌握交换机的端口安全功能，控制用户的安全接入。 【背景描述】 你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP 地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G 上边。 【技术原理】 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。 限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。 交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。 配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： ? protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 ? restrict 当违例产生时，将发送一个Trap通知。 ? shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。 【实现功能】 针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。【实验设备】 S2126G交换机（1台），PC（1台）、直连网线（1条）
以太网端口聚合+RSTP配置 拓扑图 功能要求： 通过在网络中配置RSTP功能，实现消除网络环路的目的， 当RSTP的根桥DOWN掉后，可以通过非根桥正常通信，达到根桥和备用根桥的切换，某个链路DOWN后，可以通过将某个阻塞端口恢复为根端口或转发端口，以实现正常的数据通信， 当聚合链路中的某个链路DOWN掉后，不会影响正常的通信 配置过程： S5700-LSW1 [Huawei]DIS CU # sysname Huawei # vlan batch 10 20 # stp mode rstp # cluster enable ntdp enable ndp enable # drop illegal-mac alarm #
diffserv domain default # drop-profile default # aaa authentication-scheme default authorization-scheme default accounting-scheme default domain default domain default_admin local-user admin password simple admin local-user admin service-type http # interface Vlanif1 # interface MEth0/0/1 # interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 # interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 # interface GigabitEthernet0/0/3 port link-type access port default vlan 10 stp disable # interface GigabitEthernet0/0/4 port link-type access port default vlan 20 stp disable # interface GigabitEthernet0/0/5 # interface GigabitEthernet0/0/6 # interface GigabitEthernet0/0/7 # interface GigabitEthernet0/0/8 # interface GigabitEthernet0/0/9
服务器基本安全配置 1.用户安全 (1)运行lusrmgr.msc,重命名原Administrator用户为自定义一定长度的名字，并新建同名 Administrator普通用户，设置超长密码去除所有隶属用户组。 (2)运行gpedit.msc——计算机配置—安全设置—账户策略—密码策略 启动密码复杂性要求，设置密码最小长度、密码最长使用期限，定期修改密码保证服务器账户的密码安全。 (3)运行gpedit.msc——计算机配置—安全设置—账户策略—账户锁定策略 启动账户锁定，设置单用户多次登录错误锁定策略，具体设置参照要求设置。
(4)运行gpedit.msc——计算机配置—安全设置—本地策略—安全选项 交互式登录:不显示上次的用户名；——启动 交互式登录：回话锁定时显示用户信息；——不显示用户信息 (5)运行gpedit.msc——计算机配置—安全设置—本地策略—安全选项 网络访问：可匿名访问的共享；——清空 网络访问：可匿名访问的命名管道；——清空 网络访问：可远程访问的注册表路径；——清空 网络访问：可远程访问的注册表路径和子路径；——清空 (6)运行gpedit.msc——计算机配置—安全设置—本地策略 通过终端服务拒绝登陆——加入一下用户（****代表计算机名）ASPNET Guest IUSR_***** IWAM_***** NETWORK SERVICE SQLDebugger 注：用户添加查找如下图：
(7)运行gpedit.msc——计算机配置—安全设置—本地策略—策略审核 即系统日志记录的审核消息，方便我们检查服务器的账户安全，推荐设置如下： (8)
目录 第1章以太网端口配置 ............................................................................................................ 1-1 1.1 以太网端口简介.................................................................................................................. 1-1 1.2以太网端口配置步骤.......................................................................................................... 1-1 1.2.1 配置以太网端口描述................................................................................................ 1-1 1.2.2 配置以太网接口状态变化上报抑制时间................................................................... 1-1 1.2.3 以太网端口专有参数配置......................................................................................... 1-2 1.3 以太网端口显示和调试....................................................................................................... 1-4 1.4 以太网端口配置示例 .......................................................................................................... 1-6 1.5 以太网端口排错.................................................................................................................. 1-7第2章以太网端口聚合配置..................................................................................................... 2-1 2.1 以太网端口聚合简介 .......................................................................................................... 2-1 2.2以太网端口聚合配置步骤 .................................................................................................. 2-1 2.3 以太网端口聚合显示和调试................................................................................................ 2-2 2.4 以太网端口聚合配置示例 ................................................................................................... 2-2 2.5 以太网端口聚合排错 .......................................................................................................... 2-3第3章以太网端口镜像配置..................................................................................................... 3-1 3.1 以太网端口镜像简介 .......................................................................................................... 3-1 3.2 以太网端口镜像配置步骤 ................................................................................................... 3-1 3.3 以太网端口镜像显示和调试................................................................................................ 3-2 3.4 以太网端口镜像配置示例 ................................................................................................... 3-2 3.5以太网端口镜像排错.......................................................................................................... 3-4
---------------------------------------------------------------最新资料推荐------------------------------------------------------ 交换机端口安全功能配置 4 《交换与路由技术》实验报告书班级： 姓名： 学号： 课程名称交换与路由技术实验项目实验九交换机端口安全实验项目类型课程名称交换与路由技术实验项目实验九交换机端口安全实验项目类型验证演示综合设计其他验证演示综合设计其他指导教师成绩指导教师成绩一、实验目的了解交换机端口在网络安全中的重要作用，掌握交换机端口安全功能配置方法，具体包括以下几个方面。 （1）认识交换机端口安全功能用途。 （2）掌握交换机端口安全功能配置方法。 二、实验设备及环境针对这一工作任务，公司网络接入交换机的所有端口配置最大连接数为 1，并对公司每台主机连接的交换机端口进行 IP+MAC 地址绑定，模拟网络拓扑结构图如图 11.1 所示。 假设 PC1 的 IP 地址为 192.168.0.10/24， PC2 的 IP 地址为192.168.0.20/24， PC3 的 IP 地址为 192.168.0.30/24. 4 三、实验步骤第 1 步： 配置交换机端口的最大连接数限制。 进行一组端口 Fa 0/1-23 配置模式。 开启交换机端口安全功能。 1 / 3
配置端口的最大连接数为 1。 配置安全违例的处理方式为shutdown，即当违例产生时，关闭端口并发送一个Trap通知。 除此之外，还有两种违例处理方式： protect 方式，即当安全地址个数满后，安全端口将丢弃求知名地址的包；restrict 方式，即当违例产生时，将发送一个Trap 通知。 查看交换机的端口安全配置。 第 2 步： 配置交换机端口的地址绑定。 在 PC1 上打开 cmd 命令提示符窗口，执行 Ipconfig/all 命令，记录下 PC1 的 IP地址及 MAC 地址。 配置交换机端口的地址绑定。 查看地址安全绑定配置。 第 3 步： 验证交换机端口安全功能的效果。 在 PC1 连接交换机端口 Fa 0/1， PC2 连接交换机端口 Fa 0/2，PC3 连接交换机端口 Fa 0/10 情况下，执行下列操作。 4 在 PC1 的命令提示符下输入 C:bping 192.168.0.300 在PC2 的命令提示符下输入C:bping 192.168.0.300 在 PC1 连接交换机端口 Fa 0/2; PC2 连接交换机端口 Fa 0/1， PO 连接交换机端口Fa 0/10 情况下，执行下列操作。
以太网通道（EthernetChannel）(端口汇聚) 一、基本定义 将两台设备之间的多个物理以太网接口进行逻辑绑定，形成一条虚拟链路，以便增加带 宽。实现负载均衡、主备备份等的一种链路技术，必须是双数链路. 以太网通道必须遵循的一些规则 ●参与捆绑的端口必须都处于同一个VLAN。 ●如果端口配置的是中继模式，那么，应该在链路两端将通道中的所有端口配置成相同的中继模式。 ●所有参与捆绑的端口的物理参数设置必须相同。应该有同样的速度和全双工或者半双工模式设置。也就是说，参与捆绑的链路，速率必须相同。 二、配置 注意事项： Speed Duplex 要一致 相关特性要一致 具体配置： 配置2层以太网通道 Switch(config)#interface fastEthernet 0/1 Switch(config-if)#switchport mode access Switch(config-if)#switchport access vlan 2 Switch(config-if)#channel-group 5 mode ? active Enable LACP unconditionally auto Enable PAgP only if a PAgP device is detected desirable Enable PAgP unconditionally on Enable Etherchannel only passive Enable LACP only if a LACP device is detected Switch(config-if)#channel-group 5 mode auto Switch#show run 配置3层以太网通道 在3750及以前系列中应该首先通过全局命令手动创建一个端口通道逻辑接口 然后使用channel-group 接口配置命令把逻辑接口添加到通道组中 Switch(config-if)#interface port-channel 15 Switch(config-if)#no switchport Switch(config-if)#ip address 192.168.2.2 255.255.255.0 Switch(config-if)#end Switch# 把物理接口添加到通道组中 Switch(config)#interface fastEthernet 0/3 Switch(config-if)#no ip address Switch(config-if)#no switchport
【官方提供】【实验文档】【实验0021】【交换机的端口安全配置】 【实验名称】 交换机的端口安全配置。 【实验目的】 掌握交换机的端口安全功能，控制用户的安全接入。 【背景描述】 你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP 地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G 上边。 【技术原理】 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。 限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。 交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。 配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： ? protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 ? restrict 当违例产生时，将发送一个Trap通知。 ? shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。 【实现功能】 针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。【实验设备】 S2126G交换机（1台），PC（1台）、直连网线（1条）
配置以太网单板的内部端口 当网元通过以太网板内部端口（即VCTRUNK）将以太网业务传输到SDH侧时，需配置VCTRUNK端口的各种属性，以便配合对端网元的以太网单板，实现以太网业务在SDH网络中的传输。 前提条件 用户具有“网元操作员”及以上的网管用户权限。 已创建以太网单板。 注意事项 注意：错误的配置绑定通道，可能会导致业务中断。 操作步骤 1.在网元管理器中选择以太网单板，在功能树中选择“配置 > 以太网接口管理 > 以太 网接口”。 2.选择“内部端口”。 3.配置内部端口的TAG属性。 a.选择“TAG属性”选项卡。 b.配置内部端口的TAG属性。 c.单击“应用”。 4.配置内部端口的网络属性。 a.选择“网络属性”选项卡。 b.配置内部端口的网络属性。
图1支持QinQ功能的以太网单板的内部端口属性 图2支持MPLS功能的以太网单板的内部端口属性 c.单击“应用”。 5.配置内部端口使用的封装映射协议。 a.选择“封装/映射”选项卡。 b.配置内部端口使用的封装协议及各参数。 说明：传输线路两端的以太网单板的VCTURNK的“映射协议”和协议参数应保 持一致。 c.单击“应用”。 6.配置内部端口的LCAS功能。 a.选择“LCAS”选项卡。
b.设置“LCAS使能”以及LCAS其他参数。 说明：传输线路两端的以太网单板的VCTURNK的“LCAS使能”和LCAS协议参 数应保持一致。 c.单击“应用”。 7.设置端口的绑定通道。 a.选择“绑定通道”选项卡，单击“配置”，出现“绑定通道配置”对话框。 b.在“可配置端口”中选择VCTRUNK端口作为配置端口，在“可选绑定通道”中 选择承载层时隙。单击。 c.单击“确定”，单击“是”。出现“操作结果”对话框，提示操作成功。
以太网通道+VLAN+STP+HSRP+3层交换配置 由于水平有限，不对的地方还望高手指教，这里先谢过了。由于cisco的PACKET TRACER 5。2还不支持HSRP ，所以只写出了配置步骤。 1．先上拓扑图。 1．路由器RA的配置步骤，这里没有涉及到路由器的很多配置，都是很简单的基本配置，不在详细说明，直接上SHOW R RA#show s % Ambiguous command: "show s" RA#show r Building configuration... Current configuration : 838 bytes ! version 12.2 no service timestamps log datetime msec
no service timestamps debug datetime msec no service password-encryption ! hostname RA ! ! ! ! ! ! ! ! ! ! no ip domain-lookup ! ! ! ! ! ! interface FastEthernet0/0 ip address 192.168.2.1 255.255.255.0 duplex auto speed auto ! interface FastEthernet1/0 ip address 192.168.1.1 255.255.255.0 duplex auto speed auto ! interface Serial2/0 no ip address shutdown ! interface Serial3/0 no ip address shutdown ! interface FastEthernet4/0 no ip address shutdown ! interface FastEthernet5/0
配置端口聚合提供冗余备份链路 1 实验原理 端口聚合又称链路聚合，是指两台交换机之间在物理上将多个端口连接起来，将多条链路聚合成一条逻辑链路，从而增大链路带宽，解决交换网络中因带宽引起的网络瓶劲问题。多条物理链路之间能够相互冗余备份，其中任意一条链路断开，不会影响其他链路的正常转发数据。 2 实验步骤 （1）交换机A的基本配置 switchA#conf t switchA(config)#vlan 10 switchA(config-vlan)#name sales switchA(config-vlan)#exit switchA(config)#int fa0/5 switchA(config-if)#switchport access vlan 10 switchA(config)#exit switchA#sh vlan id 10 (2)在交换机switchA上配置端口聚合
switchA(config)#int aggregateport 1 switchA(config-if)#switchport mode trunk switchA(config-if)#exit switchA(config)#int range fa0/1-2 switchA(config-if-range)#port-group 1 switchA(config-if-range)#exit switchA#sh aggregatePort 1summary (3)在交换机B上基本配置（同（1）） （4）在交换机switchB上配置端口聚合（同（2））（5）验证测试 验证当交换机之间一条链路断开时，PC1和PC2任能互相通信。 C:\>Ping 192.168.10.30 –t
一以太网端口配置命令 1.1．1 display interface 【命令】 display interface[ interface_type | interface_type interface_num | interface_name ] 【视图】 所有视图 【参数】 interface_type：端口类型。 interface_num：端口号。 interface_name：端口名，表示方法为interface_name=interface_type interface_num。 参数的具体说明请参见interface命令中的参数说明。 【描述】 display interface命令用来显示端口的配置信息。 在显示端口信息时，如果不指定端口类型和端口号，则显示交换机上所 有的端口信息；如果仅指定端口类型，则显示该类型端口的所有端口信 息；如果同时指定端口类型和端口号，则显示指定的端口信息。 【举例】 # 显示以太网端口Ethernet0/1的配置信息。
适用场景：1-24口下联P C用户,25口下联二层网管交换机,26口上联汇聚交换机 堆叠环境中，若未指定优先级，则是根据它们的MAC地址（mac小的为主机）来确定谁是主机。优先级为越大越好，范围1-10。出场默认为1。 1、系统时间同步：如果客户有使用 ntp/sntp进行全网统一的时间配置的需求，可在设备上做Ruijie(config)#hostname TSG#5750 //给交换机命名 Ruijie(config)#sntp enable //首先开启 sntp 服务 Ruijie(config)#sntp server 210.72.145.44 //配置服务器IP地址，此为国家授时中心服务器IP 地址 Ruijie(config)#sntp interval 36000 // 配置sntp交互的时间间隔 措施一：限制远程管理源地址 Ruijie(config)#access-list 99 permit host 192.168.1.100 //配置控制列表，严格限定允许ip Ruijie(config)#line vty 0 35 Ruijie(config-line)#access-class 99 in 措施二：限制SNMP管理源地址 Ruijie(config)#access-list 99 permit host 192.168.1.100 //配置控制列表，严格限定允许ip Ruijie(config)#snmp-server community ruijie rw 99 措施三：使用加密管理协议，使用SSH管理，禁用Telnet协议 Ruijie(config)#no enable service telnet-server //禁用telnet管理 Ruijie(config)#enable service ssh-server //启用SSH管理 Ruijie(config)#crypto key generate dsa //设置ssh加密模式
1 配置基于Access端口的VLAN 配置基于Access端口的VLAN有两种方法：一种是在VLAN视图下进行配置，另一种是在接口视图/端口组视图/二层聚合接口视图或二层虚拟以太网接口视图下进行配置。 表1-4 配置基于Access端口的VLAN（在VLAN视图下） 表1-5 配置基于Access端口的VLAN（在接口视图/端口组视图下/二层聚合接口视图/二层虚拟以太网接口视图）
●在将Access端口加入到指定VLAN之前，要加入的VLAN必须已经存在。 ●在VLAN视图下向VLAN中添加端口时，只能添加二层以太网端口。● 2 1.4. 3 配置基于Trunk端口的VLAN Trunk端口可以允许多个VLAN通过，只能在接口视图/端口组视图/二层聚合接口视图或二层虚拟以太网接口视图下进行配置。 表1-6 配置基于Trunk端口的VLAN
●Trunk端口和Hybrid端口之间不能直接切换，只能先设为Access端口，再设 置为其它类型端口。例如：Trunk端口不能直接被设置为Hybrid端口，只能先 设为Access端口，再设置为Hybrid端口。 ●配置缺省VLAN后，必须使用port trunk permit vlan命令配置允许缺省VLAN 的报文通过，出接口才能转发缺省VLAN的报文。 3 1.4. 4 配置基于Hybrid端口的VLAN Hybrid端口可以允许多个VLAN通过，只能在接口视图/端口组视图/二层聚合接口视图或二层虚拟以太网接口视图下进行配置。 表1-7 配置基于Hybrid端口的VLAN
●Trunk端口和Hybrid端口之间不能直接切换，只能先设为Access端口，再设 置为其它类型端口。例如：Trunk端口不能直接被设置为Hybrid端口，只能先 设为Access端口，再设置为Hybrid端口。 ●在设置允许指定的VLAN通过Hybrid端口之前，允许通过的VLAN必须已经存 在。 ●配置缺省VLAN后，必须使用port hybrid vlan命令配置允许缺省VLAN的报 文通过，出接口才能转发缺省VLAN的报文。 4 1.4. 5 基于端口的VLAN典型配置举例 1. 组网需求 ●Host A和Host C属于部门A，但是通过不同的设备接入公司网络；Host B和 Host D属于部门B，也通过不同的设备接入公司网络。 ●为了通信的安全性，也为了避免广播报文泛滥，公司网络中使用VLAN技术来 隔离部门间的二层流量。其中部门A使用VLAN 100，部门B使用VLAN 200。 ●现要求不管是否使用相同的设备接入公司网络，同一VLAN内的主机能够互 通。即Host A和Host C能够互通，Host B和Host D能够互通。 2. 组网图 图1-6 基于端口的VLAN组网图 3. 配置步骤 (1)配置Device A # 创建VLAN 100，并将Ethernet1/1加入VLAN 100。
第14章端口安全配置 本章主要讲述了迈普系列交换机支持的端口安全功能以及详细的配置信息。 章节主要内容： z端口安全介绍 z端口安全配置 z监控与维护 14.1端口安全介绍 端口安全一般应用在接入层。它能够对使用交换机端口的主机进行限制，允许某些特定的主机访问网络，而其他主机均不能访问网络。 端口安全功能将用户的MAC地址、IP地址、VLAN ID以及PORT号四个元素灵活绑定，杜绝非法用户接入网络，从而保证网络数据的安全性，并保证合法用户能够得到足够的带宽。 用户可以通过三种规则来限制可以访问网络的主机，这三种规则分别是MAC规则，IP规则和 MAX 规则，MAC规则又分为三种绑定方式：MAC绑定，MAC+IP绑定，MAC+VID绑定；IP规则可以针对某一IP也可以针对一系列IP；MAX规则用以限定端口可以“自由学习”到的（按顺序）最多MAC地址数目，这个地址数目不包括MAC规则和IP规则产生的合法MAC地址。如果端口仅配置了拒绝规则，没有配置MAX规则，其他报文均不能转发（通过允许规则检查的例外）。对于配置permit的MAC规则和IP 规则系统将在端口LinkUp和端口安全使能时主动将配置写入二层转发表或发送ARP请求报文（详细见配置命令），这三种规则的配置如下： （1）MAC规则 MAC绑定： (config-port- xxx)#port-security permit mac-address 0050.bac3.bebd (config-port- xxx)#port-security deny mac-address 0050.bac3.bebd MAC+VID绑定： (config-port- xxx)#port-security permit mac-address 0050.bac3.bebd vlan-id 100
实验一 一．实验拓扑图 二．实验要求 1、在两台2950交换机上创立VLAN10、VLAN20、VLAN30和VLAN40。 2、把两个交换机上的interface f0/21 分配给VLAN10，interface f0/22 分配给VLAN20，interface f0/23 分配给VLAN30，interface f0/24 分配给VLAN40。 3、每台交换机的interface f0/5 配置为两台交换机的中继端口，实现VLAN数据传输。 4、配置两台交换机的interface f0/1 ，interface f0/2 的端口做以太通道中继线路。三．网络接口 2950A接口1<--→2950B接口1 2950A接口2<--→2950B接口2 2950A接口5<--→2950B接口5 四．实验配置 2950交换机的配置： Switch>en //进入特权模式 Switch#config t //进入全局配置模式 Switch(config)#hostname 2950A//设置主机名为2950A 2950A(config)#no ip do lo //关闭域名解析功能 2950A(config)#line con 0 //进入控制线0 2950A(config-line)#logg syn //光标同步 2950A(config-line)#exec-time 0 0 //对Console口进行空闲超时时间的配置2950A(config-line)#exit // 返回全局配置模式 2950A(config)#end //返回特权模式 2950A#vlan database //进入VLAN数据库 2950A(vlan)#vlan 10 //创建VLAN10 VLAN 10 added: Name: VLAN0010 2950A(vlan)#vlan 20 //创建VLAN20 VLAN 20 added: Name: VLAN0020 2950A(vlan)#vlan 30 //创建VLAN30 VLAN 30 added: Name: VLAN0030 2950A(vlan)#vlan 40 //创建VLAN40 VLAN 40 added: Name: VLAN0040