下载文档原格式
华为路由器交换机配置命令大全华为路由器交换机配置大全本文提供XXX路由器交换机的配置命令，包括计算机命令和交换机命令。
一、计算机命令以下是一些常用的计算机命令：shutdown-hnow；关机init 0；关机logout；用户注销login；用户登录ifconfig；显示IP地址ifconfig eth0 netmask；设置IP地址ifconfig eht0 netmask down；禁用IP地址route add 0.0.0.0 gw；设置网关route del 0.0.0.0 gw；删除网关route add default gw；设置网关route del default gw；删除网关route；显示网关ping；发ECHO包；远程登录二、XXX路由器交换机配置命令以下是一些常用的XXX路由器交换机配置命令：Quidway]dis cur；显示当前配置Quidway]display n；显示当前配置Quidway]display interfaces；显示接口信息Quidway]display vlan；显示vlan信息Quidway]display n；显示版本信息Quidway]super password；修改特权用户密码Quidway]sysname；交换机命名Quidway]XXX；进入接口视图Quidway]interface vlan x；进入接口视图Quidway-Vlan-interface x]ip address 10.65.1.1 255.255.0.0；配置VLAN的IP地址Quidway]Ip route-static 0.0.0.0 0.0.0.0 10.65.1.2；静态路由＝网关Quidway]rip；rip协议Quidway]local-user ftpQuidway]user-interface vty 0 4；进入虚拟终端S3026-ui-vty0-4]n-mode password；设置口令模式首先，这篇文章需要进行重新排版和编辑，以便更清晰地传达信息。
华为ospf配置命令_【总结】：华为、H3C、锐捷三家交换机配置命令详解【转】⼀直以来，对于华为、H3C、锐捷交换机的命令配置，不断的有朋友留⾔，三家交换机的配置命令容易弄混，经常在实际项⽬配置中出错，因此，本期我们将来介绍这三家交换机的基础配置命令，⼤家可以分别来看下他们的命令有什么不同。
为了让⼤家更加清楚，每⾏代码都有解释。
⼀、华为交换机基础配置命令1、创建vlan：//⽤户视图，也就是在Quidway模式下运⾏命令。
system-view //进⼊配置视图[Quidway] vlan 10 //创建vlan 10，并进⼊vlan10配置视图，如果vlan10存在就直接进⼊vlan10配置视图[Quidway-vlan10] quit //回到配置视图[Quidway] vlan 100 //创建vlan 100，并进⼊vlan100配置视图，如果vlan10存在就直接进⼊vlan100配置视图[Quidway-vlan100] quit //回到配置视图2、将端⼝加⼊到vlan中：[Quidway] interface GigabitEthernet2/0/1 (10G光⼝)[Quidway- GigabitEthernet2/0/1] port link-type access //定义端⼝传输模式[Quidway- GigabitEthernet2/0/1] port default vlan 100 //将端⼝加⼊vlan100[Quidway- GigabitEthernet2/0/1] quit //回到配置视图[Quidway] interface GigabitEthernet1/0/0 //进⼊1号插槽上的第⼀个千兆⽹⼝配置视图中。
0代表1号⼝[Quidway- GigabitEthernet1/0/0] port link-type access //定义端⼝传输模式[Quidway- GigabitEthernet2/0/1] port default vlan 10 //将这个端⼝加⼊到vlan10中[Quidway- GigabitEthernet2/0/1] quit 3、将多个端⼝加⼊到VLAN中system-view[Quidway]vlan 10[Quidway-vlan10]port GigabitEthernet 1/0/0 to 1/0/29 //将0到29号⼝加⼊到vlan10中[Quidway-vlan10]quit4、交换机配置IP地址[Quidway] interface Vlanif100 // 进⼊vlan100接⼝视图与vlan 100命令进⼊的地⽅不同[Quidway-Vlanif100] ip address 119.167.200.90 255.255.255.252 // 定义vlan100管理IP三层交换⽹关路由[Quidway-Vlanif100] quit //返回视图[Quidway] interface Vlanif10 // 进⼊vlan10接⼝视图与vlan 10命令进⼊的地⽅不同[Quidway-Vlanif10] ip address 119.167.206.129 255.255.255.128 // 定义vlan10管理IP三层交换⽹关路由[Quidway-Vlanif10] quit5、配置默认⽹关：[Quidway]ip route-static 0.0.0.0 0.0.0.0 119.167.200.89 //配置默认⽹关。
华为交换机配置命令大全华为交换机是一种高性能、高可靠的数据通信设备，广泛应用于各种网络环境中。
为了更好地使用华为交换机，我们需要了解一些基本的配置命令。
本文将为大家详细介绍华为交换机的配置命令大全，帮助大家更好地了解和使用华为交换机。
1. 登录华为交换机。
首先，我们需要登录华为交换机进行配置。
一般来说，我们可以通过串口、Telnet或SSH方式登录交换机。
以SSH方式登录为例，我们可以使用以下命令：```shell。
ssh -l username 192.168.1.1。
```。
其中，username为登录用户名，192.168.1.1为交换机的IP地址。
登录成功后，我们需要输入密码进行验证。
2. 查看交换机当前配置。
在登录成功后，我们可以使用以下命令查看交换机的当前配置信息：```shell。
display current-configuration。
```。
这条命令可以显示出交换机当前的全部配置信息，包括接口配置、VLAN配置、路由配置等。
3. 配置交换机接口。
接下来，我们可以对交换机的接口进行配置。
比如，我们可以通过以下命令配置一个VLAN接口：```shell。
interface Vlanif1。
ip address 192.168.1.1 255.255.255.0。
```。
这条命令将为VLAN接口Vlanif1配置IP地址为192.168.1.1，子网掩码为255.255.255.0。
4. 配置交换机VLAN。
除了配置接口，我们还可以对交换机的VLAN进行配置。
比如，我们可以使用以下命令创建一个VLAN：```shell。
vlan 10。
```。
这条命令将创建一个VLAN ID为10的VLAN。
5. 配置交换机路由。
在需要进行路由配置时，我们可以使用以下命令添加静态路由：```shell。
ip route-static 0.0.0.0 0.0.0.0 192.168.1.254。
```。
华为交换机配置命令超详解华为3COM交换机配置命令详解1、配置文件相关命令[Quidway]display current-configuration ;显示当前生效的配置[Quidway]display saved-configuration ；显示flash中配置文件，即下次上电启动时所用的配置文件reset saved-configuration ；檫除旧的配置文件reboot ；交换机重启display version ；显示系统版本信息2、基本配置[Quidway]super password ；修改特权用户密码[Quidway]sysname ；交换机命名[Quidway]interface ethernet 0/1 ；进入接口视图[Quidway]interface vlan x ；进入接口视图；配置VLAN的IP地址；静态路由＝网关3、telnet配置[Quidway]user-interface vty 0 4 ；进入虚拟终端[S3026-ui-vty0-4]authentication-mode password ；设置口令模式[S3026-ui-vty0-4]set authentication-mode password simple 222 ；设置口令[S3026-ui-vty0-4]user privilege level 3 ；用户级别4、端口配置[Quidway-Ethernet0/1]duplex {half|full|auto} ；配置端口工作状态[Quidway-Ethernet0/1]speed {10|100|auto} ；配置端口工作速率[Quidway-Ethernet0/1]flow-control ；配置端口流控[Quidway-Ethernet0/1]mdi {across|auto|normal} ；配置端口平接扭接[Quidway-Ethernet0/1]port link-type {trunk|access|hybrid} ；设置端口工作模式[Quidway-Ethernet0/1]undo shutdown ；激活端口[Quidway-Ethernet0/2]quit ；退出系统视图5、链路聚合配置[DeviceA] link-aggregation group 1 mode manual ；创建手工聚合组1[DeviceA] interface ethernet 1/0/1 ；将以太网端口Ethernet1/0/1加入聚合组1[DeviceA-Ethernet1/0/1] port link-aggregation group 1[DeviceA-Ethernet1/0/1] interface ethernet 1/0/2 ；将以太网端口Ethernet1/0/1加入聚合组1[DeviceA-Ethernet1/0/2] port link-aggregation group 1[DeviceA] link-aggregation group 1 service-type tunnel # 在手工聚合组的基础上创建Tunnel业务环回组。
2综合配置案例关于本章2.1 中小型园区/分支出口综合配置举例2.2 大型园区出口配置示例（防火墙直连部署）2.3 大型园区出口配置示例（防火墙旁路部署）2.4 校园敏捷网络配置示例2.5 轨道交通承载网快速自愈保护技术配置举例2.6 配置交换机上同时部署ACU2和NGFW的示例2.1 中小型园区/分支出口综合配置举例园区网出口简介园区网出口一般位于企业网内部网络与外部网络的连接处，是内部网络与外部网络之间数据流的唯一出入口。
对于中小型企业来说，考虑到企业网络建设的初期投资与长期运维成本，一般希望将多种业务部署在同一设备上。
企业网络用户一般同时需要访问Internet和私网VPN，而对于中小型企业来说考虑到建设及维护成本问题，一般租用运营商Internet网络组建私网VPN。
对于部分可靠性要求较高的园区网络，一般考虑部署两台出口路由器做冗余备份实现设备级可靠性，同时应用链路聚合、VRRP、主备路由等技术保证园区出口的可靠性。
华为AR系列路由器配合华为S系列交换机是中小型园区网出口设备的理想解决方案。
l园区出口设备需要具备NAT Outbound及NAT Server的功能，实现私网地址和公网地址之间的转换，以满足用户访问Internet或者Internet用户访问内网服务器的需求。
l园区出口设备需要具备通过Internet构建私网VPN的功能，以满足企业用户各个机构之间私网VPN互通的需求。
l园区出口设备需要具备数据加密传输的功能，以保证数据的完整性和机密性，保障用户业务传输的安全。
l中小型园区出口需要具备可靠性、安全性、低成本、易维护等特点。
配置注意事项l本配置案例适用于中小型企业园区/分支出口解决方案。
l本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为S 系列园区交换机快速配置中的“中小园区组网场景”。
组网需求某企业总部和分支分别位于不同的城市，地域跨度较远，总部存在A、B两个不同的部门，分支只有一个部门。
华为三层交换机配置实例一例服务器1双网卡，内网IP:192.168.0.1，其它计算机通过其代理上网PORT1属于VLAN1PORT2属于VLAN2PORT3属于VLAN3VLAN1的机器可以正常上网配置VLAN2的计算机的网关为：192.168.1.254配置VLAN3的计算机的网关为：192.168.2.254即可实现VLAN间互联如果VLAN2和VLAN3的计算机要通过服务器1上网则需在三层交换机上配置默认路由系统视图下：ip route-static 0.0.0.0 0.0.0.0 192.168.0.1然后再在服务器1上配置回程路由进入命令提示符route add 192.168.1.0 255.255.255.0 192.168.0.254route add 192.168.2.0 255.255.255.0 192.168.0.254这个时候vlan2和vlan3中的计算机就可以通过服务器1访问internet了~~华为路由器与CISCO路由器在配置上的差别＂华为路由器与同档次的CISCO路由器在功能特性与配置界面上完全一致，有些方面还根据国内用户的需求作了很好的改进。
例如中英文可切换的配置与调试界面，使中文用户再也不用面对着一大堆的英文专业单词而无从下手了。
另外它的软件升级，远程配置，备份中心，PPP回拨，路由器热备份等，对用户来说均是极有用的功能特性。
在配置方面，华为路由器以前的软件版本(VRP1.0－相当于CISCO的IOS)与CISCO有细微的差别，但目前的版本(VRP1.1)已和CISCO兼容，下面首先介绍VRP软件的升级方法，然后给出配置上的说明。
一、VRP软件升级操作升级前用户应了解自己路由器的硬件配置以及相应的引导软件bootrom的版本，因为这关系到是否可以升级以及升级的方法，否则升级失败会导致路由器不能运行。
在此我们以从VRP1.0升级到VRP1.1为例说明升级的方法。
H3C交换机配置命令大全1、system-view 进入系统视图模式2、sysname 为设备命名3、display current-configuration 当前配置情况4、 language-mode Chinese|English 中英文切换5、interface Ethernet 1/0/1 进入以太网端口视图6、 port link-type Access|Trunk|Hybrid 设置端口访问模式7、 undo shutdown 打开以太网端口8、 shutdown 关闭以太网端口9、 quit 退出当前视图模式10、 vlan 10 创建VLAN 10并进入VLAN 10的视图模式11、 port access vlan 10 在端口模式下将当前端口加入到vlan 10中12、port E1/0/2 to E1/0/5 在VLAN模式下将指定端口加入到当前vlan中13、port trunk permit vlan all 允许所有的vlan通过H3C路由器1、system-view 进入系统视图模式2、sysname R1 为设备命名为R13、display ip routing-table 显示当前路由表4、 language-mode Chinese|English 中英文切换5、interface Ethernet 0/0 进入以太网端口视图6、配置IP地址和子网掩码7、 undo shutdown 打开以太网端口8、 shutdown 关闭以太网端口9、 quit 退出当前视图模式10、配置静态路由11、配置默认的路由H3C S3100 SwitchH3C S3600 SwitchH3C MSR 20-20 Router1、调整超级终端的显示字号；2、捕获超级终端操作命令行，以备日后查对；3、 language-mode Chinese|English 中英文切换；4、复制命令到超级终端命令行，粘贴到主机；5、交换机清除配置 :reset save ；reboot ；6、路由器、交换机配置时不能掉电，连通测试前一定要检查网络的连通性，不要犯最低级的错误。
华为交换机命令想必网管们都为配置华为路由器的大量而繁琐配置命令而头疼，下面放出的是华为路由器简单配置命令，一起来看看吧!一、普通用户模式(1)help 系统帮助简述;(2)telnet 远程登录功能;(3)language 语言模式切换;(4)ping 检查网络主机连接及主机是否可达;(5)show 显示系统运行信息;(6)tracert 跟踪到目的地经过了哪些路由器;(7)exit 退出配置。
二、特权用户模式(1)enable 转入特权用户模式;(2)telnet 远程登录功能;(3)clear 清除各项统计信息;(4)ping 检查网络主机连接及主机是否可达;(5)no 关闭调试开关(6)erase 擦除FLASH中的配置;(7)first-config 设置或清除初次配置标志;(8)clock 管理系统时钟;(9)debug 开启调试开关;(10)disable 返回普通用户模式;(11)download 下载新版本软件和配置文件;(12)exec-timeout 打开EXEC超时退出开关;(13)monitor 打开用户屏幕调试信息输出开关;(14)setup 配置路由器参数;(15)show 显示系统运行信息;(16)tracert 跟踪到目的地经过了哪些路由器;(17)unmonitor 关闭用户屏幕调试信息输出开关;(18)write 将当前配置参数保存至FLASH MEM中;(19)reboot 路由器重启;(20)exit 退出配置。
三、全局配置模式(1)configure 进入全局配置模式;(2)arp 设置静态ARP人口;(3)aaa-enable 使能配置AAA(认证，授权和计费);(4)access-list 配置标准访问表;(5)ip 全局IP配置命令子集;(6)ipx 全局IPX配置命令子集;(7)chat-script 生成一个用在modem上的执行脚本;(8)custom-list 创建定制队列列表;(9)dialer-list 创建dialer-list;(10)dram-wait 设置DRAM等待状态;(11)enable 修改ENABLE口令;(12)firewall 配置防火墙状态;(13)flow-interval 设置流量控制时间间隔;(14)frame-relay 帧中继全局配置命令集;(15)ftp-server FTP 服务器;(16)help 系统帮助命令简述;(17)host 添加主机名称和其IP地址;(18)vpdn 设置VPDN;(19)vpdn-group 设置VPDN组;(20)hostname 修改主机名;(21)ifquelen 更改接口队列长度;(22)interface 选择配置接口;(23)loghost 设置日志主机IP地址;(24)logic-channel 配置逻辑通道;(25)login 启动EXEC登录验证;(26)modem-timeout 设置modem 超时时间;(27)multilink 配置multilink 用户使用的接口;(28)multilink-user 配置multilink 用户使用的接口;(29)natserver 设置FTP,TELNET,WWW服务的IP地址;(30)no 关闭某些参数开关;(31)priority-list 创建优先级队列列表;(32)router 启动路由处理;(33)settr 设置时间范围;(34)snmp-server 修改SNMP参数;(35)tcp 配置全局TCP参数;(36)timerange 启动或关闭时间区域;(37)user 为PPP验证向系统中加入用户;(38)exit 退出全局配置模式。
华为交换机各种配置实例网管必学交换机配置一端口限速基本配置华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列:华为交换机端口限速2000_EI系列以上的交换机都可以限速限速不同的交换机限速的方式不一样2000_EI直接在端口视图下面输入LINE-RATE 4 参数可选端口限速配置1功能需求及组网说明端口限速配置『配置环境参数』1. PC1和PC2的IP地址分别为10.10.1『组网需求』1. 在SwitchA上配置端口限速,将PC1的下载速率限制在3Mbps,同时将PC1的上传速率限制在1Mbps2数据配置步骤『S2000EI系列交换机端口限速配置流程』使用以太网物理端口下面的line-rate命令,来对该端口的出、入报文进行流量限速;SwitchA相关配置SwitchAinterface Ethernet 0/12. 对端口E0/1的出方向报文进行流量限速,限制到3MbpsSwitchA- Ethernet0/1line-rate outbound 303. 对端口E0/1的入方向报文进行流量限速,限制到1MbpsSwitchA- Ethernet0/1line-rate inbound 16补充说明报文速率限制级别取值为1～127;如果速率限制级别取值在1～28范围内,则速率限制的粒度为64Kbps,这种情况下,当设置的级别为N,则端口上限制的速率大小为N64K；如果速率限制级别取值在29～127范围内,则速率限制的粒度为1Mbps,这种情况下,当设置的级别为N,则端口上限制的速率大小为N-271Mbps;此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI;『S2000-SI和S3000-SI系列交换机端口限速配置流程』使用以太网物理端口下面的line-rate命令,来对该端口的出、入报文进行流量限速;SwitchA相关配置1. 进入端口E0/1的配置视图SwitchAinterface Ethernet 0/12. 对端口E0/1的出方向报文进行流量限速,限制到6MbpsSwitchA- Ethernet0/1line-rate outbound 23. 对端口E0/1的入方向报文进行流量限速,限制到3MbpsSwitchA- Ethernet0/1line-rate inbound 1补充说明对端口发送或接收报文限制的总速率,这里以8个级别来表示,取值范围为1～8,含义为：端口工作在10M速率时,1～8分别表示312K,625K,938K,,2M,4M,6M,8M；端口工作在100M速率时,1～8分别表示,,,,20M,40M,60M,80M;此系列交换机的具体型号包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI;『S3026E、S3526E、S3050、S5012、S5024系列交换机端口限速配置流程』使用以太网物理端口下面的line-rate命令,对该端口的出方向报文进行流量限速；结合acl,使用以太网物理端口下面的traffic-limit命令,对端口的入方向报文进行流量限速;SwitchA相关配置1. 进入端口E0/1的配置视图SwitchAinterface Ethernet 0/12. 对端口E0/1的出方向报文进行流量限速,限制到3MbpsSwitchA- Ethernet0/1line-rate 33. 配置acl,定义符合速率限制的数据流SwitchAacl number 4000SwitchA-acl-link-4000rule permit ingress any egress any4. 对端口E0/1的入方向报文进行流量限速,限制到1MbpsSwitchA- Ethernet0/1traffic-limit inbound link-group 4000 1 exceed drop补充说明line-rate命令直接对端口的所有出方向数据报文进行流量限制,而traffic-limit命令必须结合acl使用,对匹配了指定访问控制列表规则的数据报文进行流量限制;在配置acl的时候,也可以通过配置三层访问规则,来对指定的源或目的网段报文,进行端口的入方向数据报文进行流量限制;端口出入方向限速的粒度为1Mbps;此系列交换机的具体型号包括：S3026E/C/G/T、S3526E/C/EF、S3050C、S5012G/T和S5024G;『S3528、S3552系列交换机端口限速配置流程』使用以太网物理端口下面的traffic-shape和traffic-limit命令,分别来对该端口的出、入报文进行流量限速;SwitchA相关配置1. 进入端口E0/1的配置视图SwitchAinterface Ethernet 0/12. 对端口E0/1的出方向报文进行流量限速,限制到3MbpsSwitchA- Ethernet0/1traffic-shape 3250 32503. 配置acl,定义符合速率限制的数据流SwitchAacl number 4000SwitchA-acl-link-4000rule permit ingress any egress any4. 对端口E0/1的入方向报文进行流量限速,限制到1MbpsSwitchA- Ethernet0/1traffic-limit inbound link-group 4000 1000 150000 150000 1000 exceed drop补充说明此系列交换机的具体型号包括：S3528G/P和S3552G/P/F;『S3900系列交换机端口限速配置流程』流量限速；结合acl,使用以太网物理端口下面的traffic-limit命令,对匹配指定访问控制列表规则的端口入方向数据报文进行流量限制; SwitchA相关配置1. 进入端口E1/0/1的配置视图SwitchAinterface Ethernet 1/0/12. 对端口E0/1的出方向报文进行流量限速,限制到3MbpsSwitchA- Ethernet1/0/1line-rate 30003. 配置acl,定义符合速率限制的数据流SwitchAacl number 4000SwitchA-acl-link-4000rule permit ingress any egress any4. 对端口E0/1的入方向报文进行流量限速,限制到1MbpsSwitchA- Ethernet1/0/1traffic-limit inbound link-group 4000 1000 exceed drop补充说明line-rate命令直接对端口的所有出方向数据报文进行流量限制,而traffic-limit命令必须结合acl使用,对匹配了指定访问控制列表规则的数据报文进行流量限制;在配置acl的时候,也可以通过配置三层访问规则,来对指定的源或目的网段报文,进行端口的入方向数据报文进行流量限制;端口出入方向限速的粒度为64Kbps;此系列交换机的具体型号包括：S3924、S3928P/F/TP和S3952P;『S5600系列交换机端口限速配置流程』流量限速；结合acl,使用以太网物理端口下面的traffic-limit命令,对匹配指定访问控制列表规则的端口入方向数据报文进行流量限制; SwitchA相关配置1. 进入端口E1/0/1的配置视图SwitchAinterface Ethernet 1/0/12. 对端口E0/1的出方向报文进行流量限速,限制到3MbpsSwitchA- Ethernet1/0/1line-rate 30003. 配置acl,定义符合速率限制的数据流SwitchAacl number 4000SwitchA-acl-link-4000rule permit ingress any egress any4. 对端口E0/1的入方向报文进行流量限速,限制到1MbpsSwitchA- Ethernet1/0/1traffic-limit inbound link-group 4000 1000 exceed drop补充说明line-rate命令直接对端口的所有出方向数据报文进行流量限制,而traffic-limit命令必须结合acl使用,对匹配了指定访问控制列表规则的数据报文进行流量限制;在配置acl的时候,也可以通过配置三层访问规则,来对指定的源或目的网段报文,进行端口的入方向数据报文进行流量限制;端口出入方向限速的粒度为64Kbps;此系列交换机的具体型号包括：S5624P/F和S5648P;交换机配置二端口绑定基本配置1,端口+MACaAM命令使用特殊的AM User-bind命令,来完成MAC地址与端口之间的绑定;例如：SwitchAam user-bind mac-address 00e0-fc22-f8d3 interface Ethernet 0/1配置说明：由于使用了端口参数,则会以端口为参照物,即此时端口E0/1只允许PC1上网,而使用其他未绑定的MAC地址的PC机则无法上网;但是PC1使用该MAC地址可以在其他端口上网;bmac-address命令使用mac-address static命令,来完成MAC地址与端口之间的绑定;例如：SwitchAmac-address static 00e0-fc22-f8d3 interface Ethernet 0/1 vlan 1SwitchAmac-address max-mac-count 0配置说明：由于使用了端口学习功能,故静态绑定mac后,需再设置该端口mac学习数为0,使其他PC接入此端口后其mac地址无法被学习;2,IP+MACaAM命令使用特殊的AM User-bind命令,来完成IP地址与MAC地址之间的绑定;例如：SwitchAam user-bind ip-address 10.1.1.2 mac-address00e0-fc22-f8d3配置说明：以上配置完成对PC机的IP地址和MAC地址的全局绑定,即与绑定的IP地址或者MAC地址不同的PC机,在任何端口都无法上网;支持型号：S3026E/EF/C/G/T、S3026C-PWR、E026/E026T、S3050C、E050、S3526E/C/EF、S5012T/G、S5024Gbarp命令使用特殊的arp static命令,来完成IP地址与MAC地址之间的绑定;例如：SwitchAarp static 10.1.1.2 00e0-fc22-f8d3配置说明：以上配置完成对PC机的IP地址和MAC地址的全局绑定;3,端口+IP+MAC使用特殊的AM User-bind命令,来完成IP、MAC地址与端口之间的绑定;例如：SwitchAam user-bind ip-address 10.1.1.2 mac-address00e0-fc22-f8d3 interface Ethernet 0/1配置说明：可以完成将PC1的IP地址、MAC地址与端口E0/1之间的绑定功能;由于使用了端口参数,则会以端口为参照物,即此时端口E0/1只允许PC1上网,而使用其他未绑定的IP地址、MAC地址的PC机则无法上网;但是PC1使用该IP地址和MAC地址可以在其他端口上网;支持型号：S3026E/S3026E-FM/S3026-FS；S3026G；S3026C；S3026C-PWR；E3026；E050；S3526E/C;S3526E-FM/FS; S5012T/G、S5024G、S3900、S5600、S65003代引擎交换机配置三ACL基本配置1,二层ACL. 组网需求:通过二层访问控制列表,实现在每天8:00～18:00时间段内对源MAC为00e0-fc01-0101目的MAC为00e0-fc01-0303报文的过滤;该主机从GigabitEthernet0/1接入;.配置步骤:1定义时间段定义8:00至18:00的周期时间段;Quidway time-range huawei 8:00 to 18:00 daily2定义源MAC为00e0-fc01-0101目的MAC为00e0-fc01-0303的ACL进入基于名字的二层访问控制列表视图,命名为traffic-of-link; Quidway acl name traffic-of-link link定义源MAC为00e0-fc01-0101目的MAC为00e0-fc01-0303的流分类规则;Quidway-acl-link-traffic-of-link rule 1 deny ingress00e0-fc01-0101 0-0-0 egress 00e0-fc01-0303 0-0-0 time-range huawei 3激活ACL;将traffic-of-link的ACL激活;Quidway-GigabitEthernet0/1 packet-filter link-grouptraffic-of-link2,三层ACLa基本访问控制列表配置案例. 组网需求:通过基本访问控制列表,实现在每天8:00～18:00时间段内对源IP为10.1.1.1主机发出报文的过滤;该主机从GigabitEthernet0/1接入;.配置步骤:1定义时间段定义8:00至18:00的周期时间段;Quidway time-range huawei 8:00 to 18:00 daily2定义源IP为10.1.1.1的ACL进入基于名字的基本访问控制列表视图,命名为traffic-of-host; Quidway acl name traffic-of-host basic定义源IP为10.1.1.1的访问规则;Quidway-acl-basic-traffic-of-host rule 1 deny ip source 10.1.1.1 0 time-range huawei3激活ACL;将traffic-of-host的ACL激活;Quidway-GigabitEthernet0/1 packet-filter inbound ip-grouptraffic-of-hostb高级访问控制列表配置案例.组网需求:.配置步骤:1定义时间段定义8:00至18:00的周期时间段;Quidway time-range huawei 8:00 to 18:00 working-day2定义到工资服务器的ACL进入基于名字的高级访问控制列表视图,命名为traffic-of-payserver;Quidway acl name traffic-of-payserver advanced定义研发部门到工资服务器的访问规则;0.0.0.0 time-range huawei3激活ACL;将traffic-of-payserver的ACL激活;Quidway-GigabitEthernet0/1 packet-filter inbound ip-group traffic-of-payserver3,常见病毒的ACL创建aclacl number 100禁pingrule deny icmp source any destination any用于控制Blaster蠕虫的传播rule deny udp source any destination any destination-port eq 69 rule deny tcp source any destination any destination-port eq 4444用于控制冲击波病毒的扫描和攻击rule deny tcp source any destination any destination-port eq 135 rule deny udp source any destination any destination-port eq 135 rule deny udp source any destination any destination-port eq netbios-nsrule deny udp source any destination any destination-port eq netbios-dgmrule deny tcp source any destination any destination-port eq 139rule deny tcp source any destination any destination-port eq 445 rule deny udp source any destination any destination-port eq 445 rule deny udp source any destination any destination-port eq 593 rule deny tcp source any destination any destination-port eq 593用于控制振荡波的扫描和攻击rule deny tcp source any destination any destination-port eq 445 rule deny tcp source any destination any destination-port eq 5554 rule deny tcp source any destination any destination-port eq 9995 rule deny tcp source any destination any destination-port eq 9996用于控制蠕虫的传播rule deny udp source any destination any destination-port eq 1434下面的不出名的病毒端口号可以不作rule deny tcp source any destination any destination-port eq 1068 rule deny tcp source any destination any destination-port eq 5800 rule deny tcp source any destination any destination-port eq 5900 rule deny tcp source any destination any destination-port eq 10080 rule deny tcp source any destination any destination-port eq 455 rule deny udp source any destination any destination-port eq 455 rule deny tcp source any destination any destination-port eq 3208 rule deny tcp source any destination any destination-port eq 1871 rule deny tcp source any destination any destination-port eq 4510 rule deny udp source any destination any destination-port eq 4334rule deny tcp source any destination any destination-port eq 4557然后下发配置packet-filter ip-group 100目的：针对目前网上出现的问题,对目的是端口号为1434的UDP报文进行过滤的配置方法,详细和复杂的配置请看配置手册;NE80的配置：NE80configrule-map r1 udp any any eq 14342/2/00.0.00.0.01.1.0二层交换机阻止网络用户仿冒网关IP的ARP攻击二、组网图：图1二层交换机防ARP攻击组网三、配置步骤对于二层交换机如S3026C等支持用户自定义ACLnumber为5000到5999的交换机,可以配置ACL来进行ARP报文过滤;全局配置ACL禁止所有源IP是网关的ARP报文acl num 5000rule 1 permit 0806 ffff 24 000fe2003999 ffffffffffff 34注意：配置Rule时的配置顺序,上述配置为先下发后生效的情况;在S3026C-A系统视图下发acl规则：S3026C-A packet-filter user-group 5000这样只有S3026C_A上连网关设备才能够发送网关的ARP报文,其它主机都不能发送假冒网关的arp响应报文;三层交换机实现仿冒网关的ARP防攻击一、组网需求：1. 三层交换机实现防止同网段的用户仿冒网关IP的ARP攻击二、组网图图2 三层交换机防ARP攻击组网三、配置步骤1. 对于三层设备,需要配置过滤源IP是网关的ARP报文的ACL规则,配置如下ACL规则：acl number 50002. 下发ACL到全局S3526E packet-filter user-group 5000仿冒他人IP的ARP防攻击一、组网需求：作为网关的设备有可能会出现错误ARP的表项,因此在网关设备上还需对用户仿冒他人IP的ARP攻击报文进行过滤;二、组网图：参见图1和图2三、配置步骤：--------------------- 错误 arp 表项--------------------------------IP Address MAC Address VLAN ID Port Name Aging Type 从网络连接可以知道PC-D的arp表项应该学习到端口E0/8上,而不应该学习到E0/2端口上;但实际上交换机上学习到该ARP表项在E0/2;上述现象可以在S3552上配置静态ARP实现防攻击：2. 在图2 S3526C上也可以配置静态ARP来防止设备学习到错误的ARP表项;3. 对于二层设备S3050C和S3026E系列,除了可以配置静态ARP外,还可以配置IP＋MAC＋port绑定,比如在S3026C端口E0/4上做如下操作：四、配置关键点：此处仅仅列举了部分Quidway S系列以太网交换机的应用;在实际的网络应用中,请根据配置手册确认该产品是否支持用户自定义ACL和地址绑定;仅仅具有上述功能的交换机才能防止ARP欺骗;5,关于ACL规则匹配的说明a ACL直接下发到硬件中的情况交换机中ACL可以直接下发到交换机的硬件中用于数据转发过程中的过滤和流分类;此时一条ACL中多个子规则的匹配顺序是由交换机的硬件决定的,用户即使在定义ACL时配置了匹配顺序也不起作用;ACL直接下发到硬件的情况包括：交换机实现QoS功能时引用ACL、硬件转发时通过ACL过滤转发数据等;b ACL被上层模块引用的情况交换机也使用ACL来对由软件处理的报文进行过滤和流分类;此时ACL子规则的匹配顺序有两种：config指定匹配该规则时按用户的配置顺序和auto指定匹配该规则时系统自动排序,即按“深度优先”的顺序;这种情况下用户可以在定义ACL的时候指定一条ACL中多个子规则的匹配顺序;用户一旦指定某一条访问控制列表的匹配顺序,就不能再更改该顺序;只有把该列表中所有的规则全部删除后,才能重新指定其匹配顺序;ACL被软件引用的情况包括：路由策略引用ACL、对登录用户进行控制时引用ACL等;交换机配置四密码恢复说明：以下方法将删除原有config文件,使设备恢复到出厂配置;在设备重启时按Ctrl+B进入BOOT MENU之后,Press Ctrl-B to enter Boot Menu (5)Password : 缺省为空,回车即可1. Download application file to flash2. select application file to boot3. Display all files in flash4. Delete file from Flash5. Modify bootrom password0. RebootEnter your choice0-5: 4 选择4No. File Name File Sizebytes =============================================================== ============1 2572242 2.2.2 4478273 snmpboots 44 29856915 hostkey 4286 serverkey 5727 1281Free Space : 3452928 bytesThe current application file isPlease input the file number to delete: 7 选择7,删除当前的配置文件Do you want to delete nowYes or NoY/NyDelete file....doneBOOT MENU1. Download application file to flash2. select application file to boot3. Display all files in flash4. Delete file from Flash5. Modify bootrom password0. RebootEnter your choice0-5:0 选择0,重启设备注：删除之后交换机就恢复了出厂配置;交换机配置五三层交换配置1, 三层交换数据包转发流程图：2,三层交换机配置实例：PORT1属于VLAN1PORT2属于VLAN2PORT3属于VLAN3VLAN1的机器可以正常上网即可实现VLAN间互联如果VLAN2和VLAN3的计算机要通过服务器1上网则需在三层交换机上配置默认路由系统视图下：ip route-static 0.0.0然后再在服务器1上配置回程路由进入命令提示符这个时候vlan2和vlan3中的计算机就可以通过服务器1访问internet 了~~3,三层交换机VLAN之间的通信VLAN的划分应与IP规划结合起来,使得一个VLAN 接口IP就是对应的子网段就是某个部门的子网段,VLAN接口IP就是一个子网关;VLAN应以部门划分,相同部门的主机IP以VLAN接口IP为依据划归在一个子网范围,同属于一个VLAN;这样不仅在安全上有益,而且更方便网络管理员的管理和监控;注意：各VLAN中的客户机的网关分别对应各VLAN的接口IP;在这企业网中计划规划四个VLAN子网对应着四个重要部门,笔者认为这也是小企业最普遍的部门结构,分别是：VLAN10——综合行政办公室；VLAN20——销售部；VLAN30——财务部；VLAN40——数据中心网络中心;划分VLAN以后,要为每一个VLAN配一个“虚拟接口IP地址”;拓朴图如下：VLAN及路由配置三层交换机的VLAN的配置过程：1创建VLANDES-3326SRConfig vlan default delete 1 -24 删除默认VLANdefault包含的端口1-24''DES-3326SRCreate vlan vlan10 tag 10 创建VLAN名为vlan10,并标记VID为10DES-3326SRCreate vlan vlan20 tag 20 创建VLAN名为vlan20,并标记VID为20DES-3326SRCreate vlan vlan30 tag 30 创建VLAN名为vlan10,并标记VID为30DES-3326SRCreate vlan vlan40 tag 40 创建VLAN名为vlan10,并标记VID为402添加端口到各VLANDES-3326SRConfig vlan vlan10 add untag 1-6 把端口1-6添加到VLAN10DES-3326SRConfig vlan vlan20 add untag 7-12 把端口1-6添加到VLAN20DES-3326SRConfig vlan vlan30 add untag 13-18 把端口1-6添加到VLAN30DES-3326SRConfig vlan vlan40 add untag 19-24 把端口1-6添加到VLAN403创建VLAN接口IP创建虑拟的接口同样方法设置其它的接口IP：4路由当配置三层交换机的三层功能时,如果只是单台三层交换机,只需要配置各VLAN的虚拟接口就行,不再配路由选择协议;因为一台三层交换机上的虚拟接口会在交换机里以直接路由的身份出现,因此不需要静态路由或动态路由协议的配置;二层交换机的VLAN的配置过程：1创建VLANDES-3226SConfig vlan default delete 1 -24 删除默认VLANdefault 包含的端口1-24''DES-3226SCreate vlan vlan10 tag 10 创建VLAN名为vlan10,并标记VID为102添加端口到各VLANDES-3226SConfig vlan vlan10 add untag 1-24 把端口1-24添加到VLAN10同理,配置其它DES-3226S二层交换机;完成以后就可以将各个所属VLAN的二层交换机与DES-3326SR三层交换机的相应VLAN的端口连接即可;交换机配置六端口镜像配置3026等交换机镜像S2008/S2016/S2026/S2403H/S3026等交换机支持的都是基于端口的镜像,有两种方法：方法一1. 配置镜像观测端口SwitchAmonitor-port e0/82. 配置被镜像端口SwitchAport mirror Ethernet 0/1 to Ethernet 0/2方法二1. 可以一次性定义镜像和被镜像端口SwitchAport mirror Ethernet 0/1 to Ethernet 0/2 observing-port Ethernet 0/88016交换机端口镜像配置1. 假设8016交换机镜像端口为E1/0/15,被镜像端口为E1/0/0,设置端口1/0/15为端口镜像的观测端口;SwitchA port monitor ethernet 1/0/152. 设置端口1/0/0为被镜像端口,对其输入输出数据都进行镜像; SwitchA port mirroring ethernet 1/0/0 both ethernet 1/0/15也可以通过两个不同的端口,对输入和输出的数据分别镜像1. 设置E1/0/15和E2/0/0为镜像观测端口SwitchA port monitor ethernet 1/0/152. 设置端口1/0/0为被镜像端口,分别使用E1/0/15和E2/0/0对输入和输出数据进行镜像;SwitchA port mirroring gigabitethernet 1/0/0 ingress ethernet1/0/15SwitchA port mirroring gigabitethernet 1/0/0 egress ethernet 2/0/0『基于流镜像的数据流程』基于流镜像的交换机针对某些流进行镜像,每个连接都有两个方向的数据流,对于交换机来说这两个数据流是要分开镜像的;3500/3026E/3026F/3050〖基于三层流的镜像〗1. 定义一条扩展访问控制列表SwitchAacl num 1012. 定义一条规则报文源地址为1.1.1.1/32去往所有目的地址SwitchA-acl-adv-101rule 0 permit ip source 1.1.1.1 0 destination any3. 定义一条规则报文源地址为所有源地址目的地址为1.1.1.1/32 SwitchA-acl-adv-101rule 1 permit ip source any destination 1.1.1.1 04. 将符合上述ACL规则的报文镜像到E0/8端口SwitchAmirrored-to ip-group 101 interface e0/8〖基于二层流的镜像〗1. 定义一个ACLSwitchAacl num 2002. 定义一个规则从E0/1发送至其它所有端口的数据包SwitchArule 0 permit ingress interface Ethernet0/1 egress interface any3. 定义一个规则从其它所有端口到E0/1端口的数据包SwitchArule 1 permit ingress interface any egress interface Ethernet0/14. 将符合上述ACL的数据包镜像到E0/8SwitchAmirrored-to link-group 200 interface e0/85516支持对入端口流量进行镜像配置端口Ethernet 3/0/1为监测端口,对Ethernet 3/0/2端口的入流量镜像;SwitchAmirror Ethernet 3/0/2 ingress-to Ethernet 3/0/16506/6503/6506R目前该三款产品只支持对入端口流量进行镜像,虽然有outbount参数,但是无法配置;镜像组名为1,监测端口为Ethernet4/0/2,端口Ethernet4/0/1的入流量被镜像;SwitchAmirroring-group 1 inbound Ethernet4/0/1 mirrored-to Ethernet4/0/2补充说明1. 镜像一般都可以实现高速率端口镜像低速率端口,例如1000M端口可以镜像100M端口,反之则无法实现2. 8016支持跨单板端口镜像华为各种型号交换机端口镜像配置方法总结有不少朋友在问华为交换机镜像方面的问题;通过本人现有的资料和文档,现把各种型号的交换机镜像方法总结一下;以便各位朋友能够方便查阅在学配置之前,对于端口镜像的基本概念还是要一定的了解一、端口镜像概念：Port Mirror端口镜像是用于进行网络性能监测;可以这样理解：在端口A 和端口B 之间建立镜像关系,这样,通过端口A 传输的数据将同时复制到端口B ,以便于在端口B 上连接的分析仪或者分析软件进行性能分析或故障判断;二、端口镜像配置『环境配置参数』1. PC1接在交换机E0/1端口,IP地址1.1.1.1/242. PC2接在交换机E0/2端口,IP地址2.2.2.2/243. E0/24为交换机上行端口4. Server接在交换机E0/8端口,该端口作为镜像端口『组网需求』1. 通过交换机端口镜像的功能使用server对两台pc的业务报文进行监控;2. 按照镜像的不同方式进行配置：1 基于端口的镜像2 基于流的镜像2 数据配置步骤『端口镜像的数据流程』基于端口的镜像是把被镜像端口的进出数据报文完全拷贝一份到镜像端口,这样来进行流量观测或者故障定位;3026等交换机镜像S2008/S2016/S2026/S2403H/S3026等交换机支持的都是基于端口的镜像,有两种方法：方法一1. 配置镜像观测端口SwitchAmonitor-port e0/82. 配置被镜像端口SwitchAport mirror Ethernet 0/1 to Ethernet 0/2方法二1. 可以一次性定义镜像和被镜像端口SwitchAport mirror Ethernet 0/1 to Ethernet 0/2 observing-port Ethernet 0/88016交换机端口镜像配置1. 假设8016交换机镜像端口为E1/0/15,被镜像端口为E1/0/0,设置端口1/0/15为端口镜像的观测端口;SwitchA port monitor ethernet 1/0/152. 设置端口1/0/0为被镜像端口,对其输入输出数据都进行镜像; SwitchA port mirroring ethernet 1/0/0 both ethernet 1/0/15也可以通过两个不同的端口,对输入和输出的数据分别镜像1. 设置E1/0/15和E2/0/0为镜像观测端口SwitchA port monitor ethernet 1/0/152. 设置端口1/0/0为被镜像端口,分别使用E1/0/15和E2/0/0对输入和输出数据进行镜像;SwitchA port mirroring gigabitethernet 1/0/0 ingress ethernet1/0/15SwitchA port mirroring gigabitethernet 1/0/0 egress ethernet 2/0/0『基于流镜像的数据流程』基于流镜像的交换机针对某些流进行镜像,每个连接都有两个方向的数据流,对于交换机来说这两个数据流是要分开镜像的;3500/3026E/3026F/3050〖基于三层流的镜像〗1. 定义一条扩展访问控制列表SwitchAacl num 1002. 定义一条规则报文源地址为1.1.1.1/32去往所有目的地址SwitchA-acl-adv-101rule 0 permit ip source 1.1.1.1 0 destination any3. 定义一条规则报文源地址为所有源地址目的地址为1.1.1.1/32 SwitchA-acl-adv-101rule 1 permit ip source any destination 1.1.1.1 04. 将符合上述ACL规则的报文镜像到E0/8端口SwitchAmirrored-to ip-group 100 interface e0/8〖基于二层流的镜像〗1. 定义一个ACLSwitchAacl num 2002. 定义一个规则从E0/1发送至其它所有端口的数据包SwitchArule 0 permit ingress interface Ethernet0/1 egress interface Ethernet0/23. 定义一个规则从其它所有端口到E0/1端口的数据包SwitchArule 1 permit ingress interface Ethernet0/2 egress interface Ethernet0/14. 将符合上述ACL的数据包镜像到E0/8SwitchAmirrored-to link-group 200 interface e0/85516/6506/6503/6506R目前该三款产品支持对入端口流量进行镜像1. 定义镜像端口SwitchAmonitor-port Ethernet 3/0/22. 定义被镜像端口SwitchAmirroring-port Ethernet 3/0/1 inbound补充说明1. 镜像一般都可以实现高速率端口镜像低速率端口,例如1000M端口可以镜像100M端口,反之则无法实现2. 8016支持跨单板端口镜像端口镜像配置『环境配置参数』交换机配置七DHCP配置1,交换机作DHCP Server『配置环境参数』1. PC1、PC2的网卡均采用动态获取IP地址的方式2. PC1连接到交换机的以太网端口0/1,属于VLAN10；PC2连接到交换机的以太网端口0/2,属于VLAN203. 三层交换机SwitchA的VLAN接口10地址为10.1.1『组网需求』1. PC1可以动态获取10.1.1『DHCP Server配置流程流程』可以完成对直接连接到三层交换机的PC机分配IP地址,也可以对通过DHCP中继设备连接到三层交换机的PC机分配IP地址;分配地址的方式可以采用接口方式,或者全局地址池方式;SwitchA采用接口方式分配地址相关配置1. 创建进入VLAN10SwitchAvlan 102. 将E0/1加入到VLAN10SwitchA-vlan10port Ethernet 0/13. 创建进入VLAN接口10SwitchAinterface Vlan-interface 104. 为VLAN接口10配置IP地址SwitchA-Vlan-interface10ip address 10.1.15. 在VLAN接口10上选择接口方式分配IP地址SwitchA-Vlan-interface10dhcp select interface6. 禁止将PC机的网关地址分配给用户SwitchAdhcp server p 10.1.1SwitchA采用全局地址池方式分配地址相关配置1. 创建进入VLAN10SwitchAvlan 102. 将E0/1加入到VLAN10SwitchA-vlan10port Ethernet 0/13. 创建进入VLAN接口10SwitchAinterface Vlan-interface 104. 为VLAN接口10配置IP地址SwitchA-Vlan-interface10ip address 10.1.15. 在VLAN接口10上选择全局地址池方式分配IP地址SwitchA-Vlan-interface10dhcp select global6. 创建全局地址池,并命名为”vlan10”SwitchAdhcp server ip-pool vlan107. 配置vlan10地址池给用户分配的地址范围以及用户的网关地址SwitchA-dhcp-vlan10network 10.1.1SwitchA-dhcp-vlan10gateway-list 10.1.1.18. 禁止将PC机的网关地址分配给用户SwitchAdhcp server p 10.1.1补充说明以上配置以VLAN10的为例,VLAN20的配置参照VLAN10的配置即可;在采用全局地址池方式时,需新建一个与”vlan10”不同名的全局地址池;经过以上配置,可以完成为PC1分配的IP地址为10.1.1VLAN接口默认情况下以全局地址池方式进行地址分配,因此当VLAN接口配置了以全局地址池方式进行地址分配后,查看交换机当前配置时,在相应的VLAN接口下无法看到有关DHCP的配置;利用全局地址池方式,可以完成为用户分配与三层交换机本身VLAN接口地址不同网段的IP地址;2,DHCP Relay配置『配置环境参数』3. E0/1-E0/10属于vlan10,网段地址10.10.1.1/244. E0/11-E0/20属于vlan20,网段地址10.10.2.1/24『组网需求』1. 在SwitchA上配置DHCP Relay使下面用户动态获取指定的相应网段的IP地址2. PC1、PC2均可以ping通自己的网关,同时PC1、PC2之间可以互访『交换机DHCP Relay配置流程』DHCP Relay的作用则是为了适应客户端和服务器不在同一网段的情况,通过Relay,不同子网的用户可以到同一个DHCP Server申请IP地址,这样便于地址池的管理和维护;SwitchA相关配置1. 全局使能DHCP功能缺省情况下,DHCP功能处于使能状态SwitchAdhcp enable2. 创建进入VLAN100SwitchAvlan 1003. 将G1/1加入到VLAN100SwitchA-vlan100port GigabitEthernet 1/14. 创建进入VLAN接口100SwitchAinterface Vlan-interface 1005. 为VLAN接口100配置IP地址6. 创建进入VLAN10SwitchAvlan 107. 将E0/1-E0/10加入到VLAN10SwitchA-vlan10port Ethernet 0/1 to Ethernet 0/10 8. 创建进入VLAN接口10SwitchAinterface Vlan-interface 109. 为VLAN接口10配置IP地址SwitchA-Vlan-interface10ip address 10.10.110. 使能VLAN接口10的DHCP中继功能SwitchA-Vlan-interface10dhcp select relay11. 为VLAN接口10配置DHCP服务器的地址12. 创建进入VLAN20SwitchA-vlan10vlan 2013. 将E0/11-E0/20加入到VLAN20SwitchA-vlan20port Ethernet 0/11 to Ethernet 0/20 14. 创建进入VLAN接口20SwitchAinterface Vlan-interface 2015. 为VLAN接口20配置IP地址SwitchA-Vlan-interface20ip address 10.10.216. 使能VLAN接口20的DHCP中继功能SwitchA-Vlan-interface20dhcp select relay17. 为VLAN接口20配置DHCP服务器的地址补充说明也可以在全局配置模式下,使能某个或某些VLAN接口上的DHCP中继功能,例如：SwitchAdhcp select relay interface Vlan-interface 103,DHCP Snooping『配置环境参数』1. DHCP Server连接在交换机SwitchA的G1/1端口,属于vlan10,IP 地址为10.10.1.253/242. 端口E0/1和E0/2同属于vlan10『组网需求』1. PC1、PC2均可以从指定DHCP Server获取到IP地址2. 防止其他非法的DHCP Server影响网络中的主机『交换机DHCP-Snooping配置流程』当交换机开启了DHCP-Snooping后,会对DHCP报文进行侦听,并可以从接收到的DHCP Request或DHCP Ack报文中提取并记录IP地址和MAC地址信息;另外,DHCP-Snooping允许将某个物理端口设置为信任端口或不信任端口;信任端口可以正常接收并转发DHCP Offer报文,而不信任端口会将接收到的DHCP Offer报文丢弃;这样,可以完成交换机对假冒DHCP Server的屏蔽作用,确保客户端从合法的DHCP Server获取IP地址; SwitchA相关配置。
