华为交换机A配置与管理
- 格式:docx
- 大小:20.81 KB
- 文档页数:16
端口限速基本配置1端口绑定基本配置ACL基本配置密码恢复三层交换配置端口镜像配置DHCP配置配置文件管理远程管理配置STP配置私有VLAN配置端口trunk、hybrid应用配置交换机配置(一)端口限速基本配置华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列:华为交换机端口限速2000_EI系列以上的交换机都可以限速!限速不同的交换机限速的方式不一样!2000_EI直接在端口视图下面输入LINE-RATE 端口限速配置1功能需求及组网说明端口限速配置『配置环境参数』1. PC1和PC2的IP地址分别为『组网需求』1. 在SwitchA上配置端口限速,将PC1的下载速率限制在3Mbps,同时将PC1的上传速率限制在1Mbps2数据配置步骤『S2000EI系列交换机端口限速配置流程』使用以太网物理端口下面的line-rate命令,来对该端口的出、入报文进行流量限速。
【SwitchA相关配置】1. 进入端口E0/1的配置视图[SwitchA]interface Ethernet 0/12. 对端口E0/1的出方向报文进行流量限速,限制到3Mbps[SwitchA- Ethernet0/1]line-rate outbound 303. 对端口E0/1的入方向报文进行流量限速,限制到1Mbps[SwitchA- Ethernet0/1]line-rate inbound 16【补充说明】报文速率限制级别取值为1~127。
如果速率限制级别取值在1~28范围内,则速率限制的粒度为64Kbps,这种情况下,当设置的级别为N,则端口上限制的速率大小为N*64K;如果速率限制级别取值在29~127范围内,则速率限制的粒度为1Mbps,这种情况下,当设置的级别为N,则端口上限制的速率大小为(N-27)*1Mbps。
华为交换机配置命令超详解华为3COM交换机配置命令详解1、配置文件相关命令[Quidway]display current-configuration ;显示当前生效的配置[Quidway]display saved-configuration ;显示flash中配置文件,即下次上电启动时所用的配置文件reset saved-configuration ;檫除旧的配置文件reboot ;交换机重启display version ;显示系统版本信息2、基本配置[Quidway]super password ;修改特权用户密码[Quidway]sysname ;交换机命名[Quidway]interface ethernet 0/1 ;进入接口视图[Quidway]interface vlan x ;进入接口视图;配置VLAN的IP地址;静态路由=网关3、telnet配置[Quidway]user-interface vty 0 4 ;进入虚拟终端[S3026-ui-vty0-4]authentication-mode password ;设置口令模式[S3026-ui-vty0-4]set authentication-mode password simple 222 ;设置口令[S3026-ui-vty0-4]user privilege level 3 ;用户级别4、端口配置[Quidway-Ethernet0/1]duplex {half|full|auto} ;配置端口工作状态[Quidway-Ethernet0/1]speed {10|100|auto} ;配置端口工作速率[Quidway-Ethernet0/1]flow-control ;配置端口流控[Quidway-Ethernet0/1]mdi {across|auto|normal} ;配置端口平接扭接[Quidway-Ethernet0/1]port link-type {trunk|access|hybrid} ;设置端口工作模式[Quidway-Ethernet0/1]undo shutdown ;激活端口[Quidway-Ethernet0/2]quit ;退出系统视图5、链路聚合配置[DeviceA] link-aggregation group 1 mode manual ;创建手工聚合组1[DeviceA] interface ethernet 1/0/1 ;将以太网端口Ethernet1/0/1加入聚合组1[DeviceA-Ethernet1/0/1] port link-aggregation group 1[DeviceA-Ethernet1/0/1] interface ethernet 1/0/2 ;将以太网端口Ethernet1/0/1加入聚合组1[DeviceA-Ethernet1/0/2] port link-aggregation group 1[DeviceA] link-aggregation group 1 service-type tunnel # 在手工聚合组的基础上创建Tunnel业务环回组。
华为交换机根本配置命令详解1、配置文件相关命令[Quidway]display current-configuration 显示当前生效的配置[Quidway]display saved-configuration 显示flash中配置文件,即下次上电启动时所用的配置文件reset saved-configuration 檫除旧的配置文件reboot 交换机重启display version 显示系统版本信息2、根本配置[Quidway]super password 修改特权用户密码[Quidway]sysname 交换机命名[Quidway]interface ethernet 1/0/1 进入接口视图[Quidway]interface vlan 1进入接口视图[Quidway-Vlan-interfacex]ip address 10.1.1.11 255.255.0.0 配置VLAN的IP地址[Quidway]ip route-static 0.0.0.0 0.0.0.0 10.1.1.1静态路由=网关3、telnet配置[Quidway]user-interface vty 0 4 进入虚拟终端[S3026-ui-vty0-4]authentication-mode password 设置口令模式[S3026-ui-vty0-4]set authentication-mode password simple xmws123 设置口令[S3026-ui-vty0-4]user privilege level 3 用户级别4、端口配置[Quidway-Ethernet1/0/1]duplex {half|full|auto} 配置端口工作状态[Quidway-Ethernet1/0/1]speed {10|100|auto} 配置端口工作速率[Quidway-Ethernet1/0/1]flow-control 配置端口流控[Quidway-Ethernet1/0/1]mdi {across|auto|normal} 配置端口平接扭接[Quidway-Ethernet1/0/1]port link-type {trunk|access|hybrid} 设置端口工作模式[Quidway-Ethernet1/0/1]undo shutdown 激活端口[Quidway-Ethernet1/0/2]quit 退出系统视图5、链路聚合配置[DeviceA] link-aggregation group 1 mode manual 创立手工聚合组1[Qw_A] interface ethernet 1/0/1 将以太网端口Ethernet1/0/1参加聚合组1 [Qw_A-Ethernet1/0/1] port link-aggregation group 1[Qw_A-Ethernet1/0/1] interface ethernet 1/0/2 将以太网端口Ethernet1/0/1参加聚合组1[Qw_A-Ethernet1/0/2] port link-aggregation group 1[Qw_A] link-aggregation group 1 service-type tunnel # 在手工聚合组的根底上创立t unnel业务环回组。
一.准备网口转串口线(母头),串口(公头)转USB线,光转电模块,PC机,IPOP软件IPO 4.1.EXE二.连接将交换机consle口与电脑连接好之后,打开IPOP软件后,点击终端工具使用COM口进行连接操作,在管理里查看COM端口,三.配置1.配置交换机Telne验证方式为AAA认证<s5700>sys[s5700] user-interface vty 0 4[s5700-ui-vty0-4] authentication-mode aaa[s5700-ui-vty0-4] quit2.配置Telnet登录用户参数,用户名、密码、用户级别。
配置用户名为admin,密码也为xinwei@123,用户级别为15级(最高级别)[s5700] aaa[s5700-aaa] local-user admin password cipher xinwei@123[s5700-aaa] local-user admin privilege level 15[s5700-aaa] local-user admin service-type telnet[s5700-aaa]q<s3700>save3.添加VLAN[s5700] vlan 2[s5700-vlan2] quit4.设定端口模式并将端口与vlan做映射[s5700]interface Ethernet0/0/1Access模式[s5700- GigabitEthernet0/0/1 ]port link-type access[s5700- GigabitEthernet0/0/1] port default vlan 2[s5700- GigabitEthernet0/0/1] description To_xiuyingTrunk模式[s5700- GigabitEthernet0/0/1] port link-type trunk[s5700- GigabitEthernet0/0/1] port trunk allow-pass vlan 2[s5700- GigabitEthernet0/0/1] description To_xiuying[s5700-GigabitEthernet0/0/1]quit5.给VLAN添加IP[s5700]interface vlanif 2[s5700-Vlanif2]ip address 192.168.0.253[s5700-Vlanif2] description To_xiuying 可根据具体情况进行说明6.查看交换机配置[s5700]dis cu7.Telnet连接通过光转电模块用网线将PC与配置好的VLAN端口连接,电脑IP配成与VLAN网关同网段下。
AAA配置与管理一、基础1、AAA是指:authentication(认证)、authorization(授权)、accounting(计费)的简称,是网络安全的一种管理机制;Authentication是本地认证/授权,authorization和accounting是由远处radius(远程拨号认证系统)服务或hwtacacs(华为终端访问控制系统)服务器完成认证/授权;AAA是基于用户进行认证、授权、计费的,而NAC 方案是基于接入设备接口进行认证的。
在实际应用中,可以使用AAA的一种或两种服务。
2、AAA基本架构:C/S结构,AAA客户端(也叫NAS-网络接入服务器)是使能了aaa功能的网络设备(可以是一台或多台、不一定是接入设备)3、AAA基于域的用户管理:通过域来进行AAA用户管理,每个域下可以应用不同的认证、授权、计费以及radius或hwtacacs服务器模板,相当于对用户进行分类管理缺省情况下,设备存在配置名为default(全局缺省普通域)和default_admin(全局缺省管理域),均不能删除,只能修改,都属于本地认证;default为接入用户的缺省域,default_admin为管理员账号域(如http、ssh、telnet、terminal、ftp用户)的缺省域。
用户所属域是由域分隔符后的字符串来决定的,域分隔符可以是@、|、%等符号,如user@就表示属于huawei域,如果用户名不带@,就属于系统缺省default域。
自定义域可以被配置为全局缺省普通域或全局缺省管理域,但域下配置的授权信息较AAA服务器的授权信息优先级低,通常是两者配置的授权信息一致。
4、radius协议Radius通过认证授权来提供接入服务、通过计费来收集、记录用户对网络资源的使用。
定义UDP 1812、1813作为认证(授权)、计费端口Radius服务器维护三个数据库:Users:存储用户信息(用户名、口令、使用的协议、IP地址等)Clients:存储radius客户端信息(接入设备的共享密钥、IP地址)Dictionary:存储radius协议中的属性和属性值含义Radius客户端与radius服务器之间通过共享密钥来对传输数据加密,但共享密钥不通过网络来传输。
1 华为路由交换机的配置命令说明华为交换、路由器常见命令路由器基本配置命令举例[Quidway]sysname router_name 命名路由器(或交换机)[Quidway]delete 删除Flash ROM中的配置[Quidway]save 将配置写入Flash ROM[Quidway]interface serial 0 进入接口配置模式[Quidway]quit 退出接口模式到系统视图[Quidway]shutdown/undo shutdown 关闭/重启接口[Quidway]ip address ip_address subnet_mask 为接口配置IP地址和子网掩码[Quidway]display version 显示VRP版本号[Quidway]display current-configuration 显示系统运行配置信息[Quidway]display interfaces 显示接口配置信息[Quidway]display ip routing 显示路由表[Quidway]ping ip_address 测试网络连通性[Quidway]tracert ip_address 测试数据包从主机到目的地所经过的网关[Quidway]debug all 打开所有调试信息[Quidway]undo debug all 关闭所有调试信息[Quidway]info-center enable 开启调试信息输出功能[Quidway]info-center console dubugging 将调试信息输出到PC[Quidway]info-center monitor dubugging 将调试信息输出到Telnet终端或哑终端换机配置命令举例(大括号{}中的选项为单选项,斜体字部分为参数值[Quidway]super password password 修改特权模式口令[Quidway]sysname switch_name 命名交换机(或路[Quidway]interface ethernet 0/1 进入接口视图[Quidway]quit 退出系统视图[Quidway-Ethernet0/1]duplex {half|full|auto} 配置接口双工工[Quidway-Ethernet0/1]speed {10|100|auto} 配置接口速率[Quidway-Ethernet0/1]flow-control 开启流控制[Quidway-Ethernet0/1]mdi {across|normal|auto} 配置MDI/MDIX[Quidway-Ethernet0/1]shutdown/undo shutdown 关闭/重启端口VLAN基本配置命令(以Quidway S3026为例) [Quidway]vlan 3 创建并进入VLAN配置模式,缺省时系统将所有端口加入VLAN 1,这个端口既不能被创建也不能被删除。
1. 交换机支持的命令:交换机基本状态:switch: ;ROM状态,路由器是rommon>hostname> ;用户模式hostname# ;特权模式hostname(config)# ;全局配置模式hostname(config-if)# ;接口状态交换机口令设置:switch>enable ;进入特权模式switch#config terminal ;进入全局配置模式switch(config)#hostname ;设置交换机的主机名switch(config)#enable secret xxx ;设置特权加密口令switch(config)#enable password xxa ;设置特权非密口令switch(config)#line console 0 ;进入控制台口switch(config-line)#line vty 0 4 ;进入虚拟终端switch(config-line)#login ;允许登录switch(config-line)#password xx ;设置登录口令xxswitch#exit ;返回命令交换机VLAN设置:switch#vlan database ;进入VLAN设置switch(vlan)#vlan 2 ;建VLAN 2switch(vlan)#no vlan 2 ;删vlan 2switch(config)#int f0/1 ;进入端口1switch(config-if)#switchport access vlan 2 ;当前端口加入vlan 2 switch(config-if)#switchport mode trunk ;设置为干线switch(config-if)#switchport trunk allowed vlan 1,2 ;设置允许的vlan switch(config-if)#switchport trunk encap dot1q ;设置vlan 中继switch(config)#vtp domain ;设置发vtp域名switch(config)#vtp password ;设置发vtp密码switch(config)#vtp mode server ;设置发vtp模式switch(config)#vtp mode client ;设置发vtp模式交换机设置IP地址:switch(config)#interface vlan 1 ;进入vlan 1switch(config-if)#ip address ;设置IP地址switch(config)#ip default-gateway ;设置默认网关switch#dir flash: ;查看闪存交换机显示命令:switch#write ;保存配置信息switch#show vtp ;查看vtp配置信息switch#show run ;查看当前配置信息switch#show vlan ;查看vlan配置信息switch#show interface ;查看端口信息switch#show int f0/0 ;查看指定端口信息2. 路由器支持的命令:路由器显示命令:router#show run ;显示配置信息router#show interface ;显示接口信息router#show ip route ;显示路由信息router#show cdp nei ;显示邻居信息router#reload ;重新起动路由器口令设置:router>enable ;进入特权模式router#config terminal ;进入全局配置模式router(config)#hostname ;设置交换机的主机名router(config)#enable secret xxx ;设置特权加密口令router(config)#enable password xxb ;设置特权非密口令router(config)#line console 0 ;进入控制台口router(config-line)#line vty 0 4 ;进入虚拟终端router(config-line)#login ;要求口令验证router(config-line)#password xx ;设置登录口令xxrouter(config)#(Ctrl+z) ;返回特权模式router#exit ;返回命令路由器配置:router(config)#int s0/0 ;进入Serail接口router(config-if)#no shutdown ;激活当前接口router(config-if)#clock rate 64000 ;设置同步时钟router(config-if)#ip address ;设置IP地址router(config-if)#ip address second ;设置第二个IProuter(config-if)#int f0/0.1 ;进入子接口router(config-subif.1)#ip address ;设置子接口IProuter(config-subif.1)#encapsulation dot1q ;绑定vlan中继协议router(config)#config-register 0x2142 ;跳过配置文件router(config)#config-register 0x2102 ;正常使用配置文件router#reload ;重新引导路由器文件操作:router#copy running-config startup-config ;保存配置router#copy running-config tftp ;保存配置到tftprouter#copy startup-config tftp ;开机配置存到tftprouter#copy tftp flash: ;下传文件到flashrouter#copy tftp startup-config;下载配置文件ROM状态:Ctrl+Break ;进入ROM监控状态rommon>confreg 0x2142 ;跳过配置文件rommon>confreg 0x2102 ;恢复配置文件rommon>reset ;重新引导rommon>copy xmodem: flash: ;从console传输文件rommon>IP_ADDRESS=10.65.1.2 ;设置路由器IPrommon>IP_SUBNET_MASK=255.255.0.0 ;设置路由器掩码rommon>TFTP_SERVER=10.65.1.1 ;指定TFTP服务器IPrommon>TFTP_FILE=c2600.bin ;指定下载的文件rommon>tftpdnld ;从tftp下载rommon>dir flash: ;查看闪存内容rommon>boot ;引导IOS静态路由:ip route ;命令格式router(config)#ip route 2.0.0.0 255.0.0.0 1.1.1.2 ;静态路由举例router(config)#ip route 0.0.0.0 0.0.0.0 1.1.1.2 ;默认路由举例动态路由:router(config)#ip routing ;启动路由转发router(config)#router rip ;启动RIP路由协议。
小伙伴们通过Console口登录后还希望远程登录和管理交换机,就可以在交换机上配置Telnet服务功能并使用AAA验证方式登录。
步骤1:从PC1通过交换机Console口登录交换机。
步骤2:配置交换机名称和管理IP地址。
<Quidway>system-view[Quidway] sysname Server[Server] interface ethernet 0/0/0 //框式和盒式的管理口是不一样的哦,框式和盒式的分别是: Ethernet 0/0/0、MEth 0/0/1。
有些盒式设备没有管理口,可使用VLANIF接口配置管理IP地址。
[Server-Ethernet0/0/0] ip address 10.10.10.10 24[Server-Ethernet0/0/0] quit步骤3:配置路由协议,保证PC2和交换机之间路由可达。
步骤4:配置Telnet用户的级别和认证方式。
[Server] telnet server enable[Server] user-interface vty 0 4[Server-ui-vty0-4] user privilege level 15[Server-ui-vty0-4] authentication-mode aaa[Server-ui-vty0-4] quit[Server] aaa[Server-aaa] local-user admin1234 password irreversible-cipher Helloworld@6789[Server-aaa] local-user admin1234 privilege level 15[Server-aaa] local-user admin1234 service-type telnet[Server-aaa] quit步骤5:从PC2以Telnet方式登录交换机。
以进入Windows运行窗口,并执行相关命令,通过Telnet方式登录交换机为例:单击“确定”后,在登录窗口输入用户名和密码,验证通过后,出现用户视图的命令行提示符。
入门篇TELNET远程管理交换机配置一组网需求:1.PC通过telnet登陆交换机并对其进行管理;2.分别应用帐号+密码方式、仅密码方式以及radius认证方式;3.只允许192.1.1.0/24网段的地址的PC TELNET访问。
二组网图:作为telnet登陆主机的PC与Switch A之间通过局域网互连(也可以直连),PC可以ping通Switch A。
三配置步骤:1H3C S3100-SI S5100系列交换机TELNET配置流程账号+密码方式登陆1.配置TELNET登陆的ip地址<SwitchA>system-view[SwitchA]vlan2[SwitchA-vlan2]port Ethernet1/0/1[SwitchA-vlan2]quit[SwitchA]management-vlan2[SwitchA]interface vlan2[SwitchA-Vlan-interface2]ip address192.168.0.1242.进入用户界面视图[SwitchA]user-interface vty043.配置本地或远端用户名+口令认证方式[SwitchA-ui-vty0-4]authentication-mode scheme4.配置登陆用户的级别为最高级别3(缺省为级别1)[SwitchA-ui-vty0-4]user privilege level35.添加TELNET管理的用户,用户类型为”telnet”,用户名为”huawei”,密码为”admin”[SwitchA]local-user huawei[SwitchA-luser-huawei]service-type telnet level3[SwitchA-luser-huawei]password simple admin仅密码方式登陆1.配置TELNET登陆的ip地址(与上面账号+密码登陆方式相同)2.进入用户界面视图[SwitchA]user-interface vty043.设置认证方式为密码验证方式[SwitchA-ui-vty0-4]authentication-mode password4.设置登陆验证的password为明文密码”huawei”[SwitchA-ui-vty0-4]set authentication password simple huawei5.配置登陆用户的级别为最高级别3(缺省为级别1)[SwitchA-ui-vty0-4]user privilege level3TELNET RADIUS验证方式配置1.配置TELNET登陆的ip地址(与上面账号+密码登陆方式相同)2.进入用户界面视图[SwitchA]user-interface vty043.配置远端用户名和口令认证[SwitchA-ui-vty0-4]authentication-mode scheme4.配置RADIUS认证方案,名为”cams”[SwitchA]radius scheme cams5.配置RADIUS认证服务器地址192.168.0.31[SwitchA-radius-cams]primary authentication192.168.0.3118126.配置交换机与认证服务器的验证口令为”huawei”[SwitchA-radius-cams]key authentication huawei7.送往RADIUS的报文不带域名[SwitchA-radius-cams]user-name-format without-domain8.创建(进入)一个域,名为”huawei”[SwitchA]domain huawei9.在域”huawei”中引用名为”cams”的认证方案[SwitchA-isp-huawei]radius-scheme cams10.将域”huawei”配置为缺省域[SwitchA]domain default enable HuaweiTELNET访问控制配置1.配置访问控制规则只允许192.1.1.0/24网段登录[SwitchA]acl number2000[SwitchA-acl-basic-2000]rule deny source any[SwitchA-acl-basic-2000]rule permit source192.1.1.00.0.0.2552.配置只允许符合ACL2000的IP地址登录交换机[SwitchA]user-interface vty04[SwitchA-ui-vty0-4]acl2000inbound3.补充说明:�TELNET访问控制配置是在以上三种验证方式配置完成的基础上进行的配置;�TELNET登陆主机与交换机不是直连的情况下需要配置默认路由。
AAA配置与管理一、基础1、AAA是指:authentication(认证)、authorization(授权)、accounting(计费)的简称,是网络安全的一种管理机制;Authentication是本地认证/授权,authorization和accounting是由远处radius(远程拨号认证系统)服务或hwtacacs (华为终端访问控制系统)服务器完成认证/授权;AAA是基于用户进行认证、授权、计费的,而NAC方案是基于接入设备接口进行认证的。
在实际应用中,可以使用AAA的一种或两种服务。
2、AAA基本架构:C/S结构,AAA客户端(也叫NAS-网络接入服务器)是使能了aaa功能的网络设备(可以是一台或多台、不一定是接入设备)3、AAA基于域的用户管理:通过域来进行AAA用户管理,每个域下可以应用不同的认证、授权、计费以及radius或hwtacacs服务器模板,相当于对用户进行分类管理缺省情况下,设备存在配置名为default(全局缺省普通域)和default_admin(全局缺省管理域),均不能删除,只能修改,都属于本地认证;default为接入用户的缺省域,default_admin为管理员账号域(如http、ssh、telnet、terminal、ftp用户)的缺省域。
用户所属域是由域分隔符后的字符串来决定的,域分隔符可以是@、|、%等符号,如***************就表示属于huawei域,如果用户名不带@,就属于系统缺省default域。
自定义域可以被配置为全局缺省普通域或全局缺省管理域,但域下配置的授权信息较AAA服务器的授权信息优先级低,通常是两者配置的授权信息一致。
4、radius协议Radius通过认证授权来提供接入服务、通过计费来收集、记录用户对网络资源的使用。
定义UDP 1812、1813作为认证(授权)、计费端口Radius服务器维护三个数据库:Users:存储用户信息(用户名、口令、使用的协议、IP地址等)Clients:存储radius客户端信息(接入设备的共享密钥、IP地址)Dictionary:存储radius协议中的属性和属性值含义Radius客户端与radius服务器之间通过共享密钥来对传输数据加密,但共享密钥不通过网络来传输。
为 QuidWay 交换机配置命令手册:1、开始建立本地配置环境,将主机的串口通过配置电缆与以太网交换机的 Console 口连接。
在主机上运行终端仿真程序(如Windows 的超级终端等),设置终端通信参数为:波特率为 9600bit/s 、8 位数据位、 1 位停止位、无校验和无流控,并选择终端类型为 VT100。
以太网交换机上电,终端上显示以太网交换机自检信息,自检结束后提示用户键入回车,之后将出现命令行提示符(如 <Quidway>)。
键入命令,配置以太网交换机或查看以太网交换机运行状态。
需要帮助可以随时键入“?“2、命令视图(1)用户视图 (查看交换机的简单运行状态和统计信息)<Quidway>:与交换机建立连接即进入 (2)系统视图 (配置系统参数 )[Quidway]:在用户视图下键入system- view(3)以太网端口视图 (配置以太网端口参数在系统视图下键入(4)VLAN视图 (配置 VLAN参数 )[Quidway-Vlan1]:在系统视图下键入 vlan 1(5)VLAN接口视图 (配置 VLAN和 VLAN汇聚对应的 IP 接口参数 )[Quidway-Vlan-interface1]:在系统视图下键入 interface vlan-interface 1(6)本地用户视图 (配置本地用户参数 )[Quidway-luser-user1]:在系统视图下键入 local-useruser1(7)用户界面视图 (配置用户界面参数 )[Quidway-ui0]:在系统视图下键入 user-interface3、其他命令设置系统时间和时区 <Quidway>clock time Beijing add 8设置交换机的名称 [Quidway]sysname TRAIN-3026-1[TRAIN-3026-1]配置用户登录 [Quidway]user-interface vty 0 4[Quidway-ui-vty0]authentication-mode scheme创建本地用户 [Quidway]local-user huawei[Quidway-luser-huawei]password simple huawei[Quidway-luser-huawei] service-type telnet level3 4、VLAN配置方法『配置环境参数』SwitchA 端口属于 VLAN2,属于 VLAN3『组网需求』把交换机端口加入到VLAN2,加入到 VLAN3数据配置步骤『 VLAN配置流程』(1)缺省情况下所有端口都属于 VLAN 1,并且端口是 access端口,一个access端口只能属于一个 vlan;(2)如果端口是 access端口,则把端口加入到另外一个 vlan 的同时,系统自动把该端口从原来的 vlan 中删除掉;(3)除了 VLAN1,如果 VLAN XX不存在,在系统视图下键入VLAN XX,则创建VLANXX并进入 VLAN视图;如果 VLAN XX已经存在,则进入VLAN视图。
南京师范大学随园校区3、4、5舍布线安装工程项目招标公告南京师范大学因教学科研的需要,对随园校区3、4、5舍布线安装工程项目进行邀请招标采购,现欢迎符合相关条件的合格投标人投标。
一、招标项目名称随园校区3、4、5舍布线安装工程项目二、项目编号:15010四、招标文件发布信息招标文件发布时间:自招标公告在“南京师范大学主页招标信息”发布之日起至投标截止时间止。
招标文件在“南京师范大学主页招标信息”上免费下载。
有关本次招标的事项若存在变动或修改,敬请及时关注“南京师范大学主页招标信息”发布的信息更正公告。
五、投标文件接收信息投标文件接收时间:2015年3月20 日上午9:15-9:30投标文件接收截止时间:2015年3月20日上午9:30投标文件接收地点:南师大仙林校区(南京市文苑路1号)厚生楼514室招标办投标文件接收人:任霞马志良。
六、开标有关信息开标时间: 2015年3月20日上午10:00开标地点:南师大仙林校区(南京市文苑路1号)厚生楼五楼会议室七、本次招标联系事项采购人:南京师范大学联系人:任霞马志良咨询电话:、网址:/purchase/八、投标文件制作份数要求:正本份数:壹份,副本份数:肆份九、本次招标投标保证金本次招标不收取投标保证金。
南京师范大学招投标管理办公室2015年3月1日南师大随园校区3、4、5舍学生公寓布线安装工程项目招标文件项目编号15010一、概述:1、工程名称:南师大随园校区3、4、5舍布线安装工程项目2、施工地点:南师大随园校区3、4、5舍;3、施工内容:详见附件一的工程量清单及要求;4、承包方式:包工包料;5、质量要求:按国家现行施工规范施工,达到合格标准。
工程所需主要材料须选用知名品牌合格产品,并符合国家环保要求;6、工期要求:承诺的最短工期(日历天数);7、质量保证期:自工程竣工验收合格之日起至少三年(线材要求质保20年,需附原厂授权及保证)。
二、投标单位要求:1、具有独立法人资质;2、具有电子工程或智能化安装工程三级或三级以上资质;项目经理具有二级建造师或以上资质;3、具有有效期内的安全施工许可证,若在施工期内发生安全问题,由中标单位承担;4、具有相关的工程业绩及良好信誉。
基础/管理配置:system-viewquitreturnundodisplay current-configurationdisplay thisdisplay this include-defaultsave//用户视图下rebootheader login information "Hello,Welcome to Huawei!" display hotkeylanguage-mode { chinese | english }history-command max-size VALUEdisplay history-command [ all-users ]clock datetime HH:MM:SS YYYY-MM-DDclock timezone time-zone-name { add | minus } offset配置Console:使用AAA验证:user-interface console 0authentication-mode aaaquitaaalocal-user ADMIN123 password irreversible-cipher ADMIN123 local-user ADMIN123 service-type terminalquit使用密码验证:user-interface console 0authentication-mode passwordset authentication password cipher ADMIN123配置VTY(Telent):telnet server enableaaalocal-user ADMIN123 password irreversible-cipher ADMIN123 local-user ADMIN123 privilege level 15local-user ADMIN123 service-type telnetquituser-interface maximum-vty 15user-interface vty 0 4user privilege level 15authentication-mode aaaidle-timeout 10 0quit验证命令:display usersdisplay user-interface maximum-vtydisplay user-interface vty summarydisplay local-userdisplay vty mode配置SSH:使用本地用户密码方式(可使用rsa密钥方式)system-viewrsa local-key-pair create//或dsa local-key-pair create//display rsa local-key-pair public//display dsa local-key-pair publicstelnet server enablessh server timeout 60user-interface vty 0 4authentication-mode aaaprotocol inbound {all | ssh}//默认为telnet方式aaalocal-user CLIENT001 password irreversible-cipher CLIENT001local-user CLIENT001 privilege level 3local-user CLIENT001 service-type sshquitssh user CLIENT001 authentication-type passwordssh user CLIENT001 service-type stelnetdisplay ssh user-informationdisplay ssh server statusdisplay ssh server sessionssh client first-time enableWeb网管(https):system-viewhttp server load defaulthttp secure-server enablehttp timeout xxxaaalocal-user NAME password irreversible-cipher PASSWORD local-user NAME privilege level LEVEL//级别在3级以上具有管理权限local-user NAME service-type httpdisplay http userdisplay http server配置管理VLAN(L2 Switch):vlan 4000name MGMTmanagement-vlan//Vlan1不能配置为管理VLANquitundo interface vlanif1//只支持1个VLANIF接口,所以需要删除vlanif1interface vlanif 4000ip address x.x.x.x y.y.y.ydisplay vlan//带有*的VLAN为管理VLANDisplay查看设备状态:display devicedisplay esndisplay versiondisplay powerdisplay power systemdisplay voltage {all | slot SLOT-ID}display temperature {all | slot SLOT-ID}display fandisplay fan-para {all | slot SLOT-ID}display cpu-usage [slave | slot SLOT-ID]display cpu-usage configuratoin [slave | slot SLOT-ID]display memory-usage [slave | slot SLOT-ID]display memory-usage threshold [slot SLOT-ID]display environment versiondisplay thisdisplay this interfacedisplay system-macdisplay elabel [ chassis-id[/slot-id][/subcard-id ] ] [ brief ]display elabel backplane chassis chassis-iddisplay diagnostic-informationdisplay healthdisplay transceiver [ interface interface-type interface-number | slot slot-id ] [ verbose ] display spu-information硬件管理:reset slot slot-id [ all | master ]//复位单板slave restart//复位备用主控板display switchover stateslave switchover enable//使能主备倒换功能slave switchoverdisplay osp statusstartup osp SLOT-IDshutdown osp SLOT-ID [ force ]reset osp SLOT-IDpower on slot SLOT-IDpower off slot SLOT-IDtransceiver phony-alarm-disable//关闭非华为定制光模块的告警功能display fabric-mode configuration//查看设备线速模式的配置set fabric-mode turbo [ all | chassis CHASSIS-ID ]//配置设备的线速模式为扩展模式,默认线速模式为普通模式信息中心(LOG):info-center enable//使能信息中心功能info-center timestamp log { { date | format-date | short-date } [ precision-time { second | tenth-second | millisecond } ] | boot | none }//配置Log信息的时间戳info-center logbufferinfo-center logbuffer size LOGBUFFER-SIZEterminal logginginfo-center timestamp debugging { { date | format-date | short-date } [ precision-time { second | tenth-second | millisecond } ] | boot | none }//配置Debug信息的时间戳reset info-center statisticsreset logbufferdisplay info-center [ statistics ]display logbuffer配置NTP:clock datetime HH:MM:SS YYYY-MM-DDntp-service refclock-master [ IP-ADDRESS ] [ STRATUM ]//配置本地时钟作为NTP主时钟undo ntp-service [ ipv6 ] server disable//使能设备作为NTP服务器的功能。
为QuidWay交换机配置命令手册:1、开始建立本地配置环境,将主机的串口通过配置电缆与以太网交换机的Console口连接。
在主机上运行终端仿真程序(如Windows的超级终端等),设置终端通信参数为:波特率为9600bit/s、8位数据位、1位停止位、无校验和无流控,并选择终端类型为VT100。
以太网交换机上电,终端上显示以太网交换机自检信息,自检结束后提示用户键入回车,之后将出现命令行提示符(如<Quidway>)。
键入命令,配置以太网交换机或查看以太网交换机运行状态。
需要帮助可以随时键入"?"2、命令视图(1)用户视图(查看交换机的简单运行状态和统计信息)<Quidway>:与交换机建立连接即进入(2)系统视图(配置系统参数)[Quidway]:在用户视图下键入system-view(3)以太网端口视图(配置以太网端口参数)[Quidway-Ethernet0/1]:在系统视图下键入interface ethernet 0/1(4)VLAN视图(配置VLAN参数)[Quidway-Vlan1]:在系统视图下键入vlan 1(5)VLAN接口视图(配置VLAN和VLAN汇聚对应的IP接口参数)[Quidway-Vlan-interface1]:在系统视图下键入interface vlan-interface 1(6)本地用户视图(配置本地用户参数)[Quidway-luser-user1]:在系统视图下键入local-user user1(7)用户界面视图(配置用户界面参数)[Quidway-ui0]:在系统视图下键入user-interface3、其他命令设置系统时间和时区<Quidway>clock time Beijing add 8<Quidway>clock datetime 12:00:00 2005/01/23设置交换机的名称[Quidway]sysname TRAIN-3026-1[TRAIN-3026-1]配置用户登录[Quidway]user-interface vty 0 4[Quidway-ui-vty0]authentication-mode scheme创建本地用户[Quidway]local-user huawei[Quidway-luser-huawei]password simple huawei[Quidway-luser-huawei] service-type telnet level 34、VLAN配置方法『配置环境参数』SwitchA端口E0/1属于VLAN2,E0/2属于VLAN3『组网需求』把交换机端口E0/1加入到VLAN2 ,E0/2加入到VLAN3数据配置步骤『VLAN配置流程』(1)缺省情况下所有端口都属于VLAN 1,并且端口是access端口,一个access端口只能属于一个vlan;(2)如果端口是access端口,则把端口加入到另外一个vlan的同时,系统自动把该端口从原来的vlan中删除掉;(3)除了VLAN1,如果VLAN XX不存在,在系统视图下键入VLAN XX,则创建VLAN XX并进入VLAN视图;如果VLAN XX已经存在,则进入VLAN视图。
华为路由器交换机配置命令大全华为路由器交换机配置命令大全一、登录与认证命令1.Telnet 登录命令2.SSH 登录命令3.Console 登录命令4.用户认证命令二、设备管理命令1.设备信息查看命令2.设备参数配置命令3.设备重启命令4.设备保存配置命令三、接口配置命令1.查看接口状态命令2.配置接口描述命令3.配置接口IP地质命令4.配置接口MTU命令5.开启/关闭接口命令四、路由配置命令1.配置静态路由命令2.配置默认路由命令3.配置动态路由命令4.查看路由表命令5.清空路由表命令五、VLAN 配置命令1.配置VLAN命令2.配置端口VLAN命令3.配置VLAN接口命令六、交换机功能配置命令1.配置端口镜像命令2.配置链路聚合命令3.配置交换机端口安全命令4.配置交换机QoS命令七、安全配置命令1.配置访问控制列表命令2.配置NAT命令3.配置防火墙命令4.配置SSL VPN命令附录:附件:1.示例配置文件2.常见问题解答法律名词及注释:1.Telnet:一种远程登录协议,用于远程连接路由器或交换机进行管理和配置。
2.SSH:Secure Shell,一种用于远程登录的网络协议,提供安全的数据通信和用户认证方式。
3.Console:一种通过串口连接设备进行本地登录的方式。
4.VLAN:Virtual Local Area Network,虚拟局域网,将不同的物理分组划分到不同的逻辑分组中,实现逻辑分离。
5.MTU:Maximum Transmission Unit,最大传输单元,指数据链路层上一次发送的帧的最大长度。
6.NAT:Network Address Translation,网络地质转换,用于在私有网络和公共网络之间进行通信的转换技术。
7.QoS:Quality of Service,服务质量,用于在网络通信中对不同数据流进行优先级和带宽控制。
华为交换机配置教程华为交换机配置教程华为交换机是目前市场上最常用的网络设备之一,它可以提供可靠的网络通信服务。
本教程将向您介绍如何配置华为交换机。
1. 首先,连接华为交换机到电源,并将其连接到本地网络。
确保所有的连接都是正确的,并确保交换机的电源正常工作。
2. 连接到交换机的计算机上,打开一个浏览器,并输入交换机的IP地址。
这个地址通常是192.168.1.1,但也可能因您的网络设置而有所不同。
输入正确的地址后,按下回车键,您会看到华为交换机的登录页面。
3. 在登录页面上,输入正确的用户名和密码。
默认的用户名是admin,密码是admin。
如果您修改了用户名和密码,请使用修改后的凭据登录。
4. 成功登陆后,您将进入华为交换机的控制面板。
在这里,您可以进行各种配置和管理操作。
例如,您可以创建和删除VLAN(虚拟局域网),设置端口安全性,配置子接口等等。
5. 如果您想配置VLAN,在控制面板上找到“VLAN”选项,并点击进入。
在VLAN页面上,您可以创建新的VLAN,并将端口分配给它。
您可以根据需要创建多个VLAN,并将它们与不同的端口进行关联。
6. 如果您想设置端口安全性,找到“安全性”选项,并点击进入。
在这里,您可以配置交换机的端口安全策略,设置允许和禁止连接的MAC地址,以及设置一些其他相关的参数。
7. 如果您想配置子接口,在控制面板上找到“接口”选项,并点击进入。
在接口页面上,您可以配置交换机的子接口参数,如VLAN ID,IP地址等等。
这对于划分不同的网络和实现更高的网络可用性非常有用。
8. 配置完成后,记得保存并应用您的改动。
在控制面板上找到“保存”选项,并点击保存您的配置。
这样,您的配置将被应用到交换机上。
华为交换机的配置教程到此结束。
通过按照以上步骤进行配置,您将能够对华为交换机进行各种操作和管理。
同时,我们也建议您参考华为交换机的用户手册和官方文档,以获取更详细的信息和指导。
希望这个教程能对您有所帮助,并对您在配置华为交换机时更加自信和熟练。
交换机配置指导(华为)一、 型号(LS-S3928P-PWR-EI)1、性能指标项目S3900-SI S3900-EI线速二/三层交换所有端口支持线速转发交换容量为19.2Gbit/s包转发率9.6Mpps(S3928)/13.2Mpps(S3952)交换模式存储转发模式VLAN 支持4K个符合IEEE 802.1Q标准的VLAN 支持基于端口的VLANVoice VLAN 支持识别进入端口的流的MAC地址,如果是IP电话流,就会将该端口加入相应的Voice VLAN广播风暴抑制支持基于端口速率百分比的广播风暴抑制,同时支持基于pps的广播风暴抑制端口环回检测支持端口收、发数据线被短路的检测与告警静态路由、RIPv1/2IP路由N/A OSPF、ECMP支持组播VLAN;支持基于端口复制;支持IGMP snooping、Filter、Fast leave;组播N/A IGMP V1/V2、PIM-SM、PIM-DM 生成树协议支持STP/RSTP/MSTP。
64VLAN虚接口每个虚接口支持4个Secondary IPUDP helper 支持支持通过LACP进行动态端口汇聚支持通过LACP进行动态端口汇聚,支持跨设备汇聚支持进行通过命令行手动进行端口汇聚支持FE(Fast Ethernet)端口汇聚支持GE(Gigabit Ethernet)端口汇聚支持每个汇聚组最大端口数8FE或者4GE端口汇聚S3928p最多支持14组端口汇聚组,S3952P最多支持26组汇聚组最多支持32组端口汇聚Jumbo frame N/A 支持镜像支持多对一的端口镜像,即多个源端口,一个镜像端口支持流镜像地址自学习IEEE 802.1D标准最多支持16K个MAC地址MAC地址表支持静态MAC地址1K流控支持IEEE 802.3x流控(全双工) 支持背压式流控(半双工)IRF简单堆叠 支持,最多8台IRF N/A 支持IRF 8台加载与升级支持XModem协议实现加载升级支持FTP、TFTP加载升级管理支持命令行接口(CLI)配置支持Telnet远程配置支持通过Console口配置支持SNMP支持RMON1,2,3,9组MIB支持华为iManager N2000 DMS网管系统支持WEB网管支持系统日志支持分级告警维护支持调试信息输出支持PING、TracertQoS/ACL 支持对端口接收报文的速率和发送报文的速率进行限制支持报文重定向支持CAR(Committed Access Rate)功能,流量限速的粒度为:64Kbit/s 支持8个端口输出队列支持灵活的队列调度算法,可以同时基于端口和队列进行设置,支持SP (Strict Priority)、WRR(Weighted Round Robin)、WFQ、SP+WFQ、SP+WRR五种模式支持报文的802.1p和DSCP优先级重新标记支持L2(Layer 2)~L4(Layer 4)包过滤功能,提供基于源MAC地址、目的MAC(Medium Access Control)地址、源IP地址、目的IP地址、端口、协议、VLAN(Virtual Local Area Network)、VLAN范围、MAC地址范围和非法帧过滤支持基于时间段(Time Range)的ACL和QoS控制支持Qos Profile管理方式,允许用户定制Qos服务方案Web cache重定向支持用户分级管理和口令保护支持IEEE 802.1X 认证支持AAA&Radius 认证支持MAC 地址学习数目限制支持MAC 地址与端口绑定 支持DUD(Disconnect Unauthorised Device)认证,通过MAC 地址学习数目限制和MAC 地址与端口绑定实现支持SSH支持防止DoS 攻击功能支持端口隔离支持MAC 地址黑洞安全特性 N/A 支持集中式MAC 地址认证WRED支持 DHCP CLIENT支持 DHCP RELAY支持 BOOTP支持 NTP支持 口令恢复支持 基于端口的Trap 支持缺省配置文件 支持2、配置1)查看交换机配置<quidway>display current-configuration#sysname GDGZ-MA-WLAN-SW02-ZSY10-3F-ZD#radius scheme system#domain system#vlan 1#vlan 4#vlan 153#vlan 1904#interface Vlan-interface4ip address 172.17.2.166 255.255.255.0#interface Aux1/0/0#interface Ethernet1/0/1poe enableport access vlan 153#interface Ethernet1/0/2 poe enableport access vlan 153#interface Ethernet1/0/3poe enableport access vlan 153#interface Ethernet1/0/4poe enableport access vlan 153#interface Ethernet1/0/5poe enableport access vlan 153#interface Ethernet1/0/6poe enableport access vlan 153#interface Ethernet1/0/7poe enableport access vlan 153#interface Ethernet1/0/8 poe enableport access vlan 153#interface Ethernet1/0/9poe enableport access vlan 153#interface Ethernet1/0/10poe enableport access vlan 153#interface Ethernet1/0/11poe enableport access vlan 153#interface Ethernet1/0/12poe enableport access vlan 153#interface Ethernet1/0/13poe enableport access vlan 153#interface Ethernet1/0/14 poe enableport access vlan 153#interface Ethernet1/0/15poe enableport access vlan 153#interface Ethernet1/0/16poe enable#interface Ethernet1/0/17poe enable#interface Ethernet1/0/18poe enable#interface Ethernet1/0/19poe enable#interface Ethernet1/0/20poe enable#interface Ethernet1/0/21poe enableport access vlan 1904#interface Ethernet1/0/22poe enableport access vlan 4#interface Ethernet1/0/23poe enableport access vlan 4#interface Ethernet1/0/24poe enableport link-type trunkport trunk permit vlan all#interface GigabitEthernet1/1/1#interface GigabitEthernet1/1/2#interface GigabitEthernet1/1/3#interface GigabitEthernet1/1/4#undo irf-fabric authentication-mode#interface NULL0#voice vlan mac-address 0001-e300-0000 mask ffff-ff00-0000 #ip route-static 0.0.0.0 0.0.0.0 172.17.2.1 preference 60 #user-interface aux 0 7user-interface vty 0 4user privilege level 3set authentication password simple huawei#return2)交换机命名配置<quidway>sys[quidway]sysname DXCZD-ZSY1-SW01-1F [交换机名称]3)远程登陆配置(telnet)a.打开telnet作态,不用登陆帐号,只需要密码登陆方式 [quidway]user interface vty 0 4[quidway-ui-vty0-4]authentication mode password[quidway-ui-vty0-4]set authentication passsword simple huiwei [密码] [quidway-ui-vty0-4]user privilege level 3b.使用用户帐号和密码登陆[quidway]local-user admin [帐号][quidway-luser-admin]password simple huawei[quidway-luser-admin]service-type telnet terminal[quidway-luser-admin]level 34)管理VLAN和管理地址配置<quidway>sys[quidway]vlan 2[管理VLAN ID][quidway-vlan4]quit[quidway]interface vlan-interface 2[管理VLAN ID][quidway-Vlan-interface4]ip address 172.17.4.90 255.255.255.0交换机IP地址 子网掩码[quidway-Vlan-interface4]quit[quidway]ip route-static 0.0.0.0 0.0.0.0 172.17.4.1[网关地址]5)端口配置(trunk口配置和access vlan配置)a.配置trunk口<quidway>sys[quidway]interface ethernet 1/0/24[配置上连端口][quidway-Ethernet1/0/24]port link-type trunk[quidway-Ethernet1/0/24]port trunk permit vlan 4[允许通过的VLAN ID]b.配置access vlan端口<quidway>sys[quidway]vlan 100[AP group vlan ID][quidway-vlan100]port ethernet 1/0/1 to ethernet 1/0/10[向VLAN100中加入端口1到端口10,一般为AP与交换机连接的端口]6)保存配置<quidway>save二、 型号(LS-S5328C-EI-24S/S2326TP-PWR-EI)1、配置1)查看交换机配置<quidway>display current-configuration2)交换机命名配置<quidway>sys[quidway]sysname DXCZD-ZSY1-SW01-1F [交换机名称]3)远程登陆配置(telnet)c.打开telnet作态,不用登陆帐号,只需要密码登陆方式 [quidway]user interface vty 0 4[quidway-ui-vty0-4]authentication mode password[quidway-ui-vty0-4]set authentication passsword simple huiwei [密码] [quidway-ui-vty0-4]user privilege level 3d.使用用户帐号和密码登陆[quidway]local-user admin [帐号][quidway-luser-admin]password simple huawei[quidway-luser-admin]service-type telnet terminal[quidway-luser-admin]level 34)管理VLAN和管理地址配置<quidway>sys[quidway]vlan 2[管理VLAN ID][quidway-vlan4]quit[quidway]interface vlan-interface 2[管理VLAN ID][quidway-Vlan-interface4]ip address 172.17.4.90 255.255.255.0 [quidway-Vlan-interface4]quit[quidway]ip route-static 0.0.0.0 0.0.0.0 172.17.4.1[网关地址]5)端口配置(trunk口配置和access vlan配置)c.配置trunk口<quidway>sys[quidway]interface g 0/0/24[配置上连端口][quidway-GigabitEthernet0/0/24]undo port default vlan 1[要先删除这条命令][quidway-GigabitEthernet0/0/24]port link-type trunk[quidway-GigabitEthernet0/0/24]port trunk allow-pass vlan 4[允许通过的VLAN ID]d.配置access vlan端口<quidway>sys[quidway]vlan 100[AP group vlan ID][quidway-vlan100]port e 0/0/1 to e 0/0/10[向VLAN100中加入端口1到端口10,一般为AP与交换机连接的端口]6)保存配置<quidway>save学校工作总结本学期,我校工作在全体师生的大力支持下,按照学校工作计划及行事历工作安排,紧紧围绕提高教育教学质量的工作思路,不断强化学校内部管理,着力推进教师队伍建设,进一步提高学校办学水平,提升学校办学品位,取得了显著的成绩。
华为交换机基础配置教程-交换机配置教程1:配置登录⽤户,⼝令等vQuidway> // ⽤户直⾏模式提⽰符,⽤户视图vQuidway>system-view // 进⼊配置视图[Quidway] // 配置视图(配置密码后必须输⼊密码才可进⼊配置视图)[Quidway] sysname xxx // 设置主机名成为xxx这⾥使⽤[Quidway] aaa // 进⼊aaa认证模式定义⽤户账户[Quidway-aaa] local-user wds password cipher wds[Quidway-aaa] local-user wds level 15[Quidway-aaa] local-user wds service-type telnet term inal ssh // 有时候这个命令是最先可以运// ⾏的,上边两个命令像password,level都是定义完vty的// authe nticati on-m ode aaa 后才出现[Quidway-aaa] quit[Quidway] user-i nteface vty 0 4 // 当时很奇怪这个命令就是找不到,最后尝试了⼏次才能运⾏[Quidway-ui-vtyO-4] authe nticati on-m ode aaa[Quidway-ui-vtyO-4] quit2 :华为S9303 VLan设置创建vlan :// ⽤户直⾏模式提⽰符,⽤户视图system-view // 进⼊配置视图[Quidway] vlan 10 // 创建vlan 10,并进⼊vlan10配置视图,如果vlan10存在就直接进⼊vlan10配置视图[Quidway-vla n10] quit // 回到配置视图[Quidway] vlan 100 // 创建vian 100,并进⼊vian100 配置视图,如果vian10 存在就直接进⼊vian100配置视图[Quidway-vla n100] quit // 回到配置视图将端⼝加⼊到vlan中:[Quidway] in terface GigabitEther net2/0/1 (10G 光⼝)[Quidway- GigabitEthernet2/0/1] port lin k-type access // 定义端⼝传输模式[Quidway- GigabitEthernet2/0/1] port default vlan 100 // 将端⼝加⼊vlan100 [Quidway- GigabitEthernet2/0/1] quit [Quidway] in terface GigabitEther net1/0/0 // 进⼊1号插槽上的第⼀个千兆⽹⼝配置视图中。
A A A配置与管理一、基础1、AAA是指:authentication(认证)、authorization(授权)、accounting(计费)的简称,是网络安全的一种管理机制;Authentication 是本地认证/授权,authorization和accounting是由远处radius(远程拨号认证系统)服务或hwtacacs(华为终端访问控制系统)服务器完成认证/授权;AAA是基于用户进行认证、授权、计费的,而NAC方案是基于接入设备接口进行认证的。
在实际应用中,可以使用AAA的一种或两种服务。
2、AAA基本架构:C/S结构,AAA客户端(也叫NAS-网络接入服务器)是使能了aaa功能的网络设备(可以是一台或多台、不一定是接入设备)3、AAA基于域的用户管理:通过域来进行AAA用户管理,每个域下可以应用不同的认证、授权、计费以及radius或hwtacacs服务器模板,相当于对用户进行分类管理缺省情况下,设备存在配置名为default(全局缺省普通域)和default_admin(全局缺省管理域),均不能删除,只能修改,都属于本地认证;default为接入用户的缺省域,default_admin为管理员账号域(如http、ssh、telnet、terminal、ftp用户)的缺省域。
用户所属域是由域分隔符后的字符串来决定的,域分隔符可以是@、|、%等符号,域,如果用户名不带@,就属于系统缺省default域。
自定义域可以被配置为全局缺省普通域或全局缺省管理域,但域下配置的授权信息较AAA服务器的授权信息优先级低,通常是两者配置的授权信息一致。
4、radius协议Radius通过认证授权来提供接入服务、通过计费来收集、记录用户对网络资源的使用。
定义UDP 1812、1813作为认证(授权)、计费端口Radius服务器维护三个数据库:Users:存储用户信息(用户名、口令、使用的协议、IP地址等)Clients:存储radius客户端信息(接入设备的共享密钥、IP地址)Dictionary:存储radius协议中的属性和属性值含义Radius客户端与radius服务器之间通过共享密钥来对传输数据加密,但共享密钥不通过网络来传输。
5、hwtacacs协议Hwtacacs是在tacacs(rfc1492)基础上进行了功能增强的安全协议,与radius协议类似,主要用于点对点PPP和VPDN(virtual private dial-up network,虚拟私有拨号网络)接入用户及终端用户的认证、授权、计费。
与radius相比,具有更加可靠的传输和加密特性,更加适合于安全控制。
Hwtacacs协议与其他厂商支持的tacacs+协议的认证流程和实现方式是一致的,能够完全兼容tacacs+协议6、华为设备对AAA特性的支持支持本地、radius、 hwtacacs三种任意组合本地认证授权:优点是速度快,可降低运营成本;缺点是存储信息量受设备硬件条件限制RADIUS认证、计费:优点防止非法用户对网络的攻击相对较高;缺点是不支持单独授权功能,必须与认证功能一起,使用了认证功能就使用了授权功能Hwtacacs认证、授权、计费:认证、授权、计费室单独进行的,可以单独配置使用,在大型网络中可以部署多台hwtacacs服务器;还支持在一个方案中使用多协议模式,如本地认证常用于radius认证和hwtacacs认证的备用认证方案,本地授权作为hwtacacs授权的备用授权方案等二、本地方式认证和授权配置配置流程为:配置AAA方案——配置本地用户——配置业务方案——配置域的AAA方案一、配置AAA方案配置AAA方案就是配置AAA中的认证、授权、计费,用于“域的aaa方案”中绑定这些方案使用(所配置的各种方案只有在域中绑定后才能得到应用)认证方案:1、进入AAA视图[Huawei]aaa2、设置一个AAA认证方案名[Huawei-aaa]authentication-scheme test13、设置认证模式为本地认证(缺省为本地认证)[Huawei-aaa-authen-test1]authentication-mode ?hwtacacs HWTACACSlocal Localnone Noneradius RADIUS4、配置当前认证模板对用户提升级别进行认证时采用的认证模式(可选,默认为本地认证)[Huawei-aaa-authen-test1]authentication-super ?hwtacacs HWTACACSnone Noneradius RADIUS super Super(本地认证模式)5、配置用户名和域名解析的方向(可选,缺省从左向右)[Huawei-aaa]domainname-parse-direction ?left-to-right Configure the left to right direction of domainname parsingright-to-left Configure the right to left direction of domainname parsing授权方案:1、创建一个授权方案[Huawei-aaa]authorization-scheme tets12、配置本地授权模式[Huawei-aaa-author-tets1]authorization-mode ?hwtacacs Use HWTACACS authorization methodif-authenticated Use authorization method which lets user(s) authorized ifuser(s) not authenticated by none authentication methodlocal Use local authorization methodnone Use none authorization method3、设置授权服务器下发的用户授权信息的生效模式(可选,缺省为overlay模式)[Huawei-aaa]authorization-modify ?Modify 修改模式,新下发的授权信息覆盖上一次下发的所有属性类别的授权信息Overlay 覆盖模式,新下发的授权信息覆盖前次下发的所有用户授权信息# 模拟器未能模拟二、配置本地用户采用本地方式进行认证授权时,需要在本地设备配置用户的认证和授权信息,如用于认证的用户名、密码、用于授权的优先级、用户组、允许接入的服务器类型、可建立连接数、访问目录等1、设置本地用户名和密码[Huawei-aaa]local-user test password simple 1472582、设置本地用户的级别[Huawei-aaa]local-user test privilege level 153、设备本地用户加入用户组(可选,先配置好用户组[Huawei-aaa]local-user test user-group teset #模拟器无法模拟4、设置本地用户断开超时时间[Huawei-aaa]local-user test idle-timeout 6005、设备本地用户用于何种类型的服务[Huawei-aaa]local-user test service-type ?8021x 802.1x userbind Bind authentication userftp FTP userhttp Http userppp PPP userssh SSH usertelnet Telnet userterminal Terminal userweb Web authentication userx25-pad X25-pad user6、本地用户作为FTP使用时设置访问目录[Huawei-aaa]local-user test ftp-directory ?STRING<1-58>flash:flash:/7、设置本地用户状态[Huawei-aaa]local-user test state ?active Permit the user(s) to dealwith the authen requestblock Forbid the user(s) to dealwith the authen request (拒绝该用户认证请求)8、设备本地用户访问时最大连接数(缺省不限制)[Huawei-aaa]local-user test access-limit 109、设置本地账号锁定功能(连续登陆失败达到次数后锁定和解锁、重试等参数)[Huawei-aaa]local-aaa-user wrong-password retry-interval 5(重试时间间隔) retry-time 3 (连续认证失败的最大次数block-time 10(账号被锁定时间)10、修改账号密码<Huawei>local-user change-password三、配置业务方案(可选)“业务方案”也是一种授权方案,它是专门针对一些IP业务(如管理员权限、DHCP服务、DNS服务、策略路由)所进行的授权,也称为“业务授权方案”。
通常只需要使用admin-user privilege level 命令配置管理员用户的用户级别,其它命令只有在业务方案被其他特性(如IPSEC)调用时才需要配置。
具体配置:1、创建一个业务方案[Huawei-aaa]service-scheme test2、配置本地用户可作为管理员登陆设备并设置级别[Huawei-aaa-service-test]admin-user privilege level 153、设置业务方案下使用的DHCP服务器组(仅7700及以上支持)[Huawei-aaa-service-test]dhcp-server grpup test4、设置可用的DHCP IP地址池或移动已配置的地址的位置(仅7700及以上支持)[Huawei-aaa-service-test]ip-pool testpool move-to testpool25、设置业务方案下的主用或备用DNS服务器地址secondary Set secondary DNS server's IP address<cr>6、设置业务方案下用户的策略路由功能(仅7700及以上支持)(下一跳IP地址) 5(源路由vlan ID)四、配置域的AAA方案认证、授权方案、业务方案只有绑定域的AAA方案中才能得到应用1、设置一个域的AAA方案名(缺省存在default和default_admin两个域)[Huawei-aaa]domain testdomain2、绑定认证方案[Huawei-aaa-domain-testdomain]authentication-scheme test3、绑定授权方案[Huawei-aaa-domain-testdomain]authorization-scheme test4、绑定业务方案[Huawei-aaa-domain-testdomain]service-scheme tese5、设置域的AAA方案状态[Huawei-aaa-domain-testdomain]state ?active Activeblock Block6、设置域名分隔符(缺省为@)[Huawei-aaa]domain-name-delimiter @三、RADIUS方式认证、授权、计费配置配置流程为:配置AAA方案——配置radius服务器模板——配置业务方案——配置域的AAA方案一、认证授权配置Radius中的认证和授权时同步进行的,只要是能其认证功能,也就是能了授权功能。