S6500产品典型配置指导(端口+端口聚合)
华为产品维护资料
XXX产品典型配置指导2005/3/23
目录
声明........................................................................................................... 错误！未定义书签。技术支持.................................................................................................... 错误！未定义书签。更新说明（没有更新的删除该页）.............................................................. 错误！未定义书签。S6500产品典型配置指导 (1)
1 S6500产品端口典型配置指导 (1)
1.1 S6500系列以太网交换机支持的端口特性简介 (1)
1. 组网图 (1)
2. 应用要求 (1)
3. 适用产品、版本 (1)
4. 配置过程和解释 (2)
5. 完整配置 (2)
2 S6500产品端口汇聚典型配置指导 (5)
2.1 S6500产品端口汇聚原理和工作机制 (5)
1．组网图 (6)
2．应用要求 (7)
3．适用产品、版本 (7)
4．配置过程和解释 (7)
5．完整配置 (7)
S6500产品典型配置指导
1 S6500产品端口典型配置指导
1.1 S6500系列以太网交换机支持的端口特性简介
1）10Base-T/100Base-TX以太网端口：支持MDI/MDI-X自适应，可以工作在半双
工、全双工或自协商模式下。
2）100BaseFX-SMF/MMF以太网端口：工作在百兆全双工模式下，双工模式可以
设置为FULL或AUTO，速率设置可以为100Mbit/s或AUTO。
3）1000Base-X（GBIC）和1000Base-X（SFP）以太网端口：工作在千兆全双工
模式下，速率设置可以为1000Mbit/s或AUTO。
4）10/100/1000Base-T以太网端口：支持MDI/MDI-X自适应；工作方式：1000M
全双工，100M半双工/全双工或10M半双工/全双工。
5）万兆以太网端口：双工模式只能设置为full（全双工），速率只能设置为10000
（10000Mbit/s）。
以上几种以太网端口的配置方法基本相同，在下面统一介绍。
1. 组网图
2. 应用要求
以太网交换机Switch A与对端交换机Switch B使用Trunk端口
GigabitEthernet1/0/1相连，本例简要介绍如何进入端口视图，配置端口的特性，并
查看端口配置情况。
3. 适用产品、版本
硬件版本：6500全系列硬件单板
软件版本：6500交换机1000/2000/3000系列软件版本
4. 配置过程和解释
配置端口特性时，要配置端口的内容主要包括以下几个方面：
●进入以太网端口视图
●打开/关闭以太网端口
●对以太网端口进行描述
●设置以太网端口双工状态
●设置以太网端口速率
●设置以太网端口网线类型
●设置以太网端口流量控制
●允许/禁止长帧通过以太网端口
●设置以太网端口或者VLAN广播风暴抑制
●设置以太网端口的链路类型
●把当前以太网端口加入到指定VLAN
●设置以太网端口缺省VLAN ID
●设置端口的VLAN VPN特性
●将某些端口的配置拷贝到其它端口
5. 完整配置
假定switch A的端口类型是1000Base-X（GBIC），switch B的端口类型是
100Base-TX，实现switch A和switch B 的通信配置如下：
只列出switch A的配置，switch B应做类似的配置。
＃进入以太网端口视图
[Quidway S6503]int g 1/0/1
#对以太网端口进行描述，以区别其它的以太网端口，可以省略
[Quidway S6503-GigabitEthernet1/0/1]description snow
＃取消对以太网端口的描述
[Quidway S6503-GigabitEthernet1/0/1]undo description
＃设置以太网端口的双工状态，缺省情况下是auto
[Quidway S6503-GigabitEthernet1/0/1]duplex full
＃取消对以太网端口的双工状态的设置
[Quidway S6503-GigabitEthernet1/0/1]undo duplex
＃设置以太网端口的速率，可以根据以太网端口的特性进行具体的速率配置，缺省情况下为auto状态
[Quidway S6503-GigabitEthernet1/0/1]speed auto
＃取消对以太网端口速率的配置
[Quidway S6503-GigabitEthernet1/0/1]undo speed
＃设置以太网端口能识别的网线类型（交叉线、直连线或AUTO），S6500系列的以太网交换机只支持AUTO，缺省配置就是auto，下面这条命令可以省略
[Quidway S6503-GigabitEthernet1/0/1]mdi auto
＃设置以太网端口的流量控制
[Quidway S6503-GigabitEthernet1/0/1]flow-control
＃取消以太网端口的流量控制
[Quidway S6503-GigabitEthernet1/0/1]undo flow-control
＃设置允许/禁止通过此端口的帧的长度，缺省情况下，允许通过的帧长介于1518字节和1536字节之间，此项配置允许通过的最大帧长是9216字节，如下设置时，允许通过的帧长介于1518字节和2345字节之间
[Quidway S6503-GigabitEthernet1/0/1]jumboframe enable 2345
＃恢复允许通过此端口的帧长为默认值
[Quidway S6503-GigabitEthernet1/0/1]undo jumboframe enable
＃设置以太网端口的广播风暴抑制（A型业务板不支持此项操作，只有非A型业务板支持，A型业务板的类型见注释所示），如下所设，只允许20％的广播流量通过[Quidway S6503-GigabitEthernet1/0/1]broadcast-suppression 20
说明：
A型业务板主要有：
LS81FT48A、LS81FM24A、LS81FS24A、LS81GB8UA和LS81GT8UA。
＃取消对以太网端口的广播风暴抑制
[Quidway S6503-GigabitEthernet1/0/1]undo broadcast-suppression
＃设置以太网端口的链路类型：access、trunk、hybrid。默认情况下链路类型为access
[Quidway S6503-GigabitEthernet1/0/1]port link-type trunk
说明：
设置以太网的链路类型时，trunk端口和hybrid端口之间不能直接切换，如果此端口是trunk端口，必须先设置成access端口，然后再设置为hybrid端口。
＃取消对以太网端口的链路类型设置
[Quidway S6503-GigabitEthernet1/0/1]undo port link-type
＃把此端口（trunk类型）加入到指定的vlan
[Quidway S6503-GigabitEthernet1/0/1]port trunk permit vlan 100 20
＃把当前的trunk端口从指定的vlan中删除
[Quidway S6503-GigabitEthernet1/0/1]undo port trunk permit vlan 100 20
＃如果是hybrid端口，则使用如下命令加入，可以是tagged或untagged类型的
[Quidway S6503-GigabitEthernet1/0/1]port hybird vlan 100 20 tagged
＃把hybrid端口从指定的vlan中删除
[Quidway S6503-GigabitEthernet1/0/1]undo port hybird vlan 100 20
＃设置以太网端口trunk(hybrid)缺省的vlan id
[Quidway S6503-GigabitEthernet1/0/1]port trunk pvid vlan 100
＃设置端口的vlan vpn特性，要保证此端口没有开启如下功能：dot1x、GVRP、
GMRP、spanning-tree和NTDP。
[Quidway S6503-GigabitEthernet1/0/1]vlan-vpn enable
#取消端口的vlan vpn特性
[Quidway S6503-GigabitEthernet1/0/1]undo vlan-vpn enable
＃将此端口的基本配置拷贝到其他端口
[Quidway S6503]copy configuration source g 1/0/1 destination g 1/0/2
说明：
端口的基本配置包括：
VLAN配置：端口上允许通过的VLAN及其缺省的VLAN ID；
LACP配置：LACP打开/关闭状态；
QoS配置：流量限速、优先级标记、缺省的802.1p优先级、带宽保证、拥塞避免、流重定向、流量统计；
STP配置：端口的STP使能/关闭、与端口相连的链路属性（如点对点或非点对点）、STP优先级、路径开销、报文发送速率限制、是否环路保护、是否根保护、是否为边缘端口；
端口配置：端口的链路类型、端口速率、双工模式。
＃查看以太网端口的当前配置，在任意视图下均可输入下列命令进行查看
[Quidway S6503]display int g 1/0/1
2 S6500产品端口汇聚典型配置指导
2.1 S6500产品端口汇聚原理和工作机制
端口汇聚是将多个端口汇聚在一起形成一个汇聚组，以实现出/入负荷在汇聚组中各个成员端口中的分担，同时也提供了更高的连接可靠性。
按照汇聚方式不同，端口汇聚分为：手工汇聚、静态LACP汇聚和动态LACP汇聚。
按照汇聚组类型的不同，端口汇聚组分为：负载分担汇聚组和非负载分担汇聚组。
手工汇聚由用户手工配置，不允许系统自动添加或删除汇聚组中的端口。汇聚组中至少包含一个端口，当汇聚组中只有一个端口时，必须通过删除此汇聚组来将该端口从汇聚组中删除。
静态LACP汇聚与手工汇聚相同，只是静态汇聚端口的LACP协议处于使能状态，当一个静态汇聚组被删除时，其成员端口将形成一个或多个动态LACP汇聚，并保持LACP 使能。禁止用户关闭静态汇聚端口的LACP协议。
动态LACP汇聚是一种系统自动创建/删除的汇聚，不允许用户增加或删除动态LACP 汇聚中的成员端口。只有速率和双工属性相同、连接到同一个设备、有相同基本配置的端口才能被动态汇聚在一起。即使只有一个端口也可以创建动态汇聚，此时为单端口汇聚。
动态汇聚中，端口的LACP协议处于使能状态。
在以上三种汇聚方式中，端口可能处于两种状态：Selected或Standby。静态LACP 和动态LACP汇聚中的Selected端口和Standby端口都能收发LACP协议，但Standby 端口不能转发用户报文。
在同一个汇聚组中，端口的基本配置必须相同。
说明：
A型业务板和非A型业务板对端口汇聚的限制如下表1和表2所示：
表1 A型业务板对端口汇聚的限制
表2 非A 型业务板对端口汇聚的限制
1． 组网图
Switch A
2．应用要求
把以太网交换机Switch A的三个端口ethernet 2/0/1~2/0/3汇聚起来接入以太网交换机Switch B，从而实现出/入负荷在各个端口中的分担，并且如果有端口shutdown，通过其端口的流量也不会丢失，提高了可靠性。
3．适用产品、版本
硬件版本：6500全系列硬件单板
软件版本：6500交换机1000/2000/3000系列软件版本。
4．配置过程和解释
●使能/关闭端口LACP协议
●创建/删除汇聚组
●将以太网端口加入/退出汇聚组
●配置/删除汇聚组描述符
●配置系统优先级
●配置端口优先级
5．完整配置
配置过程以Switch A为例，Switch B须做同样的配置：
●配置手工汇聚组如下：
＃创建手工汇聚组group 1，创建静态汇聚组只需把manual替换为static即可。
[Quidway S6503]link-aggregation group 1 mode manual
＃将以太网端口ethernet 2/0/1~2/0/3加入手工汇聚组group 1
[Quidway S6503]int Ethernet2/0/1
[Quidway S6503-Ethernet2/0/1]port link-aggregation group 1
[Quidway S6503]int Ethernet2/0/2
[Quidway S6503-Ethernet2/0/2]port link-aggregation group 1
[Quidway S6503]int Ethernet2/0/3
[Quidway S6503-Ethernet2/0/3]port link-aggregation group 1
＃将以太网端口ethernet 2/0/1退出手工(静态LACP)汇聚组
[Quidway S6503-Ethernet2/0/1]undo port link-aggregation group
＃删除手工汇聚组，所有端口都将离开此汇聚组，手动删除静态LACP汇聚组后，则该汇聚组的端口将形成一个或多个动态汇聚组
[Quidway S6503]undo link-aggregation group 1
#设置汇聚组group 1的描述符为snow
[Quidway S6503]link-aggregation group 1 description snow
＃删除汇聚组group 1的描述符
[Quidway S6503]undo link-aggregation group 1 description
采用动态LACP汇聚方式如下：
＃开启以太网端口ethernet 2/0/1~2/0/3的LACP功能
[Quidway S6503]int Ethernet2/0/1
[Quidway S6503-Ethernet2/0/1]lacp enable
[Quidway S6503]int Ethernet2/0/2
[Quidway S6503-Ethernet2/0/2]lacp enable
[Quidway S6503]int Ethernet2/0/3
[Quidway S6503-Ethernet2/0/3]lacp enable
上述端口的基本配置必须相同，在开启了LACP功能后，才能自动汇聚成一个动态LACP汇聚组。
＃配置系统优先级，只对动态LACP汇聚有效，系统在确定端口的Selected和Standby状态时，根据设备的ID来判断，设备的ID＝系统优先级＋系统MAC，先比较系统优先级，如果相同再比较系统MAC
[Quidway S6503]lacp system-priority 2987
＃取消配置系统的优先级
[Quidway S6503]undo lacp system-priority
＃配置端口的优先级，只对动态LACP汇聚有效，当汇聚组内成员超过设备支持的每组Selected端口数时，要根据端口ID来确定汇聚组成员的Selected和Standby 状态。设置以太网端口Ethernet2/0/1的端口优先级为2233。
[Quidway S6503-Ethernet2/0/1]lacp port-priority 2233
＃取消对端口的优先级配置
[Quidway S6503-Ethernet2/0/1]undo lacp port-priority
第八章实验讲义-- 交换机基本配置端口安全与STP
第12章交换机基本配置 交换机是局域网中最重要的设备，交换机是基于MAC来进行工作的。和路由器类似，交换机也有IOS，IOS的基本使用方法是一样的。本章将简单介绍交换的一些基本配置。关于VLAN和Trunk等将在后面章节介绍。 12.1 交换机简介 交换机是第2层的设备，可以隔离冲突域。交换机是基于收到的数据帧中的源MAC地址和目的MAC地址来进行工作的。交换机的作用主要有两个：一个是维护CAM（Conetxt Address Memory）表，该表是计算机的MAC地址和交换端口的映射表；另一个是根据CAM 来进行数据帧的转发。交换对帧的处理有3种：交换机收到帧后，查询CAM表，如果能查询到目的计算机所在的端口，并且目的计算机所在的端口不是交换接收帧的源端口，交换机将把帧从这一端口转发出去（Forward）；如果该计算机所在的端口和交换机接收帧的源端口是同一端口，交换机将过滤掉该帧（Filter）；如果交换机不能查询到目的计算机所在的端口，交换机将把帧从源端口以外的其他所有端口上发送出去，这称为泛洪（Flood），当交换机接收到的帧是广播帧或多播帧，交换机也会泛洪帧。 12.2 实验0：交换机基本配置 1.实验目的: 通过本实验，可以掌握交换机的基本配置这项技能。 2.实验拓扑 实验拓扑图如图12-2所示。 图12-2 实验1拓扑图 3.实验步骤 （1）步骤1：通过PC0以Console方式登录交换机Switch0. 注意配置PC0上的终端. 登录成功后, 通过PC0配置交换机Switch0的主机名 Switch>enable Switch#conf terminal
交换机的端口安全配置
【实验文档】【实验0021】【交换机的端口安全配置】 【实验名称】 交换机的端口安全配置。 【实验目的】 掌握交换机的端口安全功能，控制用户的安全接入。 【背景描述】 你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP 地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G 上边。 【技术原理】 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。 限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。 交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。 配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： ? protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 ? restrict 当违例产生时，将发送一个Trap通知。 ? shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。 【实现功能】 针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。【实验设备】 S2126G交换机（1台），PC（1台）、直连网线（1条）
交换机端口汇聚配置
---------------------------------------------------------------最新资料推荐------------------------------------------------------ 交换机端口汇聚配置 端口汇聚配置 1 功能需求及组网说明PC1PC2E0/1E0/2E0/1Switch BSwitch AE0/2 端口汇聚配置『配置环境参数』 1. 交换机 SwitchA 和 SwitchB 通过以太网口实现互连。 2. SwitchA 用于互连的端口为 e0/1 和 e0/2， SwitchB 用于互连的端口为e0/1 和 e0/2。 『组网需求』增加 SwitchA 的 SwitchB 的互连链路的带宽，并且能够实现链路备份，使用端口汇聚。 2 数据配置步骤『端口汇聚数据转发流程』如上图，如果在汇聚时配置的是ingress 属性，假如PC1 的数据包进入SwitchA，假如第一次去 PING PC2，那么第一次将是广播包，数据包将从汇聚端口的逻辑主端口送出，报文送达 Switch2 时，此时 PC1 的 MAC 也将对应学习到 Switch2 的逻辑主端口，此时 PC2 再进行回包主要看 PC1 的源 MAC 学习到哪个端口，就会通过哪个端口进行转发，所以 ingress 是根据流进行转发，如果流是单一的，那么该数据流也将一直走同一个端口，除非该端口故障。 如果在汇聚时配置的是 both 属性， 2 个端口汇聚，如 PC1 的数据包进入SwitchA，假如第一次去 PING PC2，那么第一次将是广播包，数据包将从汇聚端口的逻辑主端口送出，报文送达Switch2 时，此时 PC1 的 MAC 也将对应学习到 Switch2 的逻辑主 1 / 3
配置交换机端口聚合
配置交换机端口聚合（思科、华为、锐捷） 2008-08-18 16:27 思科命令行配置： CLI:SW#conf t SW(config)#interface range f1/1 -2 SW(config-if)#channel-group 1 mode desirable/on SW(config-if)#swithport SW(config-if)#switchport mode trunk SW(config-if)#switchport trunk encap dot1q 可以通过 interface port-channel 1 进入端口通道 华为端口聚合配置： 华为交换机的端口聚合可以通过以下命令来实现： S3250(config)#link-aggregation port_num1 to port_num2 {ingress | ingress-egress} 其中port_num1是起始端口号，port_num2是终止端口号。 ingress/ingress-egress这个参数选项一般选为ingress-egress。 在做端口聚合的时候请注意以下几点： 1、每台华为交换机只支持1个聚合组 2、每个聚合组最多只能聚合4个端口。 3、参加聚合的端口号必须连续。 对于聚合端口的监控可以通过以下命令来实现： S3026(config)#show link-aggregation [master_port_num] 其中master_port_num是参加聚合的端口中端口号最小的那个端口。 通过这条命令可以显示聚合组中包括哪些端口等一些与端口聚合相关的参数。 锐捷端口聚合配置： Switch#configure terminal Switch(config)#interface range fastethernet 1/1-2 Switch(config-if-range)#port-group 5 Switch(config-if-range)#switchport mode trunk 你可以在全局配置模式下使用命令#interface aggregateport n(n为AP号) 来直接创建一个AP(如果AP n不存在)。 配置aggregate port的流量平衡 aggregateport load-balance {dst-mac | src-mac |ip} 设置AP的流量平衡，选择使用的算法： dst-mac：根据输入报文的目的MAC地址进行流量分配。在AP各链路中，目的MAC地址相同的报文被送到相同的接口，目的MAC不同的报文分配到不同的接口
链路聚合配置命令
目录 1 链路聚合配置命令................................................................................................................................ 1-1 1.1 链路聚合配置命令............................................................................................................................. 1-1 1.1.1 description .............................................................................................................................. 1-1 1.1.2 display lacp system-id ............................................................................................................ 1-2 1.1.3 display link-aggregation member-port.................................................................................... 1-2 1.1.4 display link-aggregation summary.......................................................................................... 1-4 1.1.5 display link-aggregation verbose............................................................................................ 1-5 1.1.6 enable snmp trap updown...................................................................................................... 1-7 1.1.7 interface bridge-aggregation .................................................................................................. 1-8 1.1.8 lacp port-priority...................................................................................................................... 1-8 1.1.9 lacp system-priority................................................................................................................. 1-9 1.1.10 link-aggregation mode........................................................................................................ 1-10 1.1.11 port link-aggregation group ................................................................................................ 1-10 1.1.12 reset lacp statistics............................................................................................................. 1-11 1.1.13 shutdown ............................................................................................................................ 1-11
服务器基本安全配置
服务器基本安全配置 1.用户安全 (1)运行lusrmgr.msc,重命名原Administrator用户为自定义一定长度的名字，并新建同名 Administrator普通用户，设置超长密码去除所有隶属用户组。 (2)运行gpedit.msc——计算机配置—安全设置—账户策略—密码策略 启动密码复杂性要求，设置密码最小长度、密码最长使用期限，定期修改密码保证服务器账户的密码安全。 (3)运行gpedit.msc——计算机配置—安全设置—账户策略—账户锁定策略 启动账户锁定，设置单用户多次登录错误锁定策略，具体设置参照要求设置。
(4)运行gpedit.msc——计算机配置—安全设置—本地策略—安全选项 交互式登录:不显示上次的用户名；——启动 交互式登录：回话锁定时显示用户信息；——不显示用户信息 (5)运行gpedit.msc——计算机配置—安全设置—本地策略—安全选项 网络访问：可匿名访问的共享；——清空 网络访问：可匿名访问的命名管道；——清空 网络访问：可远程访问的注册表路径；——清空 网络访问：可远程访问的注册表路径和子路径；——清空 (6)运行gpedit.msc——计算机配置—安全设置—本地策略 通过终端服务拒绝登陆——加入一下用户（****代表计算机名）ASPNET Guest IUSR_***** IWAM_***** NETWORK SERVICE SQLDebugger 注：用户添加查找如下图：
(7)运行gpedit.msc——计算机配置—安全设置—本地策略—策略审核 即系统日志记录的审核消息，方便我们检查服务器的账户安全，推荐设置如下： (8)
交换机汇聚配置
（1）交换机的基本配置 （2）在交换机上创建聚合接口 （3）在交换机上配置聚合端口 （4）端口聚合增加交换机之间的传输带宽，验证当一条链路断开时仍能互相通信。 第一步：交换机A的基本配置。 SwitchA(config)#vlan 10 SwitchA(config-vlan)#name sales SwitchA(config-vlan)#exit SwitchA(config)#interface fastEthernet0/5 SwitchA(config-if)#switchport access vlan 10 验证测试：验证已创建了VLAN 10，并将0/5端口已划分到VLAN 10中。SwitchA#show vlan id 10 VLAN Name Status Ports -------------------------------------------------------------------------------------------------------- 10 sales active Fa0/5 第二步：在交换机SwitchA上配置聚合端口。 SwitchA(config)#interface aggregateport 1 ！创建聚合接口AG1 SwitchA(config-if)#switchport mode trunk ！配置AG模式为trunk SwitchA(config-if)#exit SwitchA(config)#interface range fastEthernet 0/1-2 ！进入接口0/1和0/2 SwitchA(config-if-range)#port-group 1 ！配置接口0/1和0/2属于AG1验证测试：验证接口fastEthernet0/1和0/2属于AG1。 SwitchA#show aggregatePort 1 summary ！查看端口聚合组1的信息AggregatePort MaxPorts SwitchPort Mode Ports -------------------------------------------------------------------------------------------------- Ag1 8 Enabled Trunk Fa0/1, Fa0/2 注：AG1，最大支持端口数为8个，当前VLAN模式为Trunk，组成员有F0/1、F0/2。 第三步：交换机B的基本配置。 （具体步骤与SwitchA类似） 第四步：在交换机SwitchB上配置聚合端口。 （具体步骤与SwitchA类似） 第五步：验证当交换机直接的一条链路断开时，PC1与PC2仍能互相通信。 注意事项： （1）只有同类型端口才能聚合为一个AG端口。 （2）所有物理端口必须属于同一个VLAN。 （3）在锐捷交换机上最多支持8个物理端口聚合为一个AG。 （4）在锐捷交换机上最多支持6组聚合端口。 参考配置： SwitchA#show running-config ！显示交换机SwitchA的全部配置 Bui lding configuration… Current configuration : 497 bytes
cisco交换机的端口安全配置
【官方提供】【实验文档】【实验0021】【交换机的端口安全配置】 【实验名称】 交换机的端口安全配置。 【实验目的】 掌握交换机的端口安全功能，控制用户的安全接入。 【背景描述】 你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP 地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G 上边。 【技术原理】 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。 限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。 交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。 配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： ? protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 ? restrict 当违例产生时，将发送一个Trap通知。 ? shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。 【实现功能】 针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。【实验设备】 S2126G交换机（1台），PC（1台）、直连网线（1条）
hc交换机的端口配置
H3C交换机的端口配置 一、端口常用配置 1. 实验原理 1.1 交换机端口基础 随着网络技术的不断发展，需要网络互联处理的事务越来越多，为了适应网络需求，以太网技术也完成了一代又一代的技术更新。为了兼容不同的网络标准，端口技术变的尤为重要。端口技术主要包含了端口自协商、网络智能识别、流量控制、端口聚合以及端口镜像等技术，他们很好的解决了各种以太网标准互连互通存在的问题。以太网主要有三种以太网标准：标准以太网、快速以太网和千兆以太网。他们分别有不同的端口速度和工作视图。 1.2 端口速率自协商 标准以太网其端口速率为固定10M。快速以太网支持的端口速率有10M、100M和自适应三种方式。千兆以太网支持的端口速率有10M、100M、1000M和自适应方式。以太网交换机支持端口速率的手工配置和自适应。缺省情况下，所有端口都是自适应工作方式，通过相互交换自协商报文进行匹配。 其匹配的结果如下表。
当链路两端一端为自协商，另一端为固定速率时，我们建议修改两端的端口速率，保持端口速率一致。其修改端口速率的配置命令为： [H3C-Ethernet0/1] speed {10|100|1000|auto} 如果两端都以固定速率工作，而工作速率不一致时，很容易出现通信故障，这种现象应该尽量避免。 1.3 端口工作视图 交换机端口有半双工和全双工两种端口视图。目前交换机可以手工配置也可以自动协商来决定端口究竟工作在何种视图。修改工作视图的配置命令为： [H3C-Ethernet0/1] duplex {auto|full|half} 1.4 端口的接口类型 目前以太网接口有MDI和MDIX两种类型。MDI称为介质相关接口，MDIX称为介质非相关接口。我们常见的以太网交换机所提供的端口都属于MDIX接口，而路由器和PC提供的都属于MDI接口。有的交换机同时支持上述两种接口，我们可以强制制定交换机端口的接口类型，其配置命令如下：
22_端口聚合实验
1. 实验报告如有雷同，雷同各方当次实验成绩均以0分计。 2. 当次小组成员成绩只计学号、姓名登录在下表中的。 3. 在规定时间内未上交实验报告的，不得以其他方式补交，当次成绩按0分计。 4. 实验报告文件以PDF 格式提交。 【实验目的】理解链路聚合的配置及原理。 【实验内容】 (1)完成实验教程第三章实例3-5的实验，回答实验提出的问题及实验思考。（P99-102） (2)端口聚合和生成树都可以实现冗余链路，这两种方式有什么不同？ (3)你认为本实验能实现负载平衡吗？如果不能，请讨论原因并设计方法，进行实验验证。 【实验要求】 一些重要信息信息需给出截图，注意实验步骤的前后对比。 【实验记录】(如有实验拓扑请自行画出,) (1)【实验名称】 端口聚合提供冗余备份链路。 【实验目的】 理解链路聚合的配置及原理。 【背景描述】 假设某企业采用两台交换机组成一个局域网，由于很多数据流量是跨过交换机进行转发的，因此需要提高交换机之间的传输带宽，并实现链路冗余备份，为此网络管理员在两台交换机之间采用两根网线互连，并将相应的两个端口聚合为一个逻辑端口，现要在交换机上做适当配置来实现这一目标。 【技术原理】 端口聚合（Aggregate-port ）又称链路聚合，是指两台交换机之间在物理上将多个端口连接起来，将多条链路聚合成一条逻辑链路。从而增大链路带宽，解决交换网络中因带宽引起的网络瓶颈问题。多条物理链路之间能够相互冗余备份，其中任意一条链路断开，不会影响其他链路的正常转发数据。 端口聚合遵循IEEE 802.3ad 协议的标准。 【实现功能】 增加交换机之间的传输带宽，并实现链路冗余备份。 【实验设备】 S3760（两台）、PC （两台）、直连线（4条） 【实验拓扑】 按照拓扑图连接网络时注意，两台交换机都配置完端口聚合后，再将两台交换机连接起来。如果先连线再配置会造成广播风暴，影响交换机的正常工作。 院系 软件学院 班 级 电政一班 组长 狄志路 学号 12330072 学生 狄志路 实验分工 狄志路 设计方案，实现操作，撰写 实验报告 警示
端口聚合及端口安全配置
配置端口聚合提供冗余备份链路 1 实验原理 端口聚合又称链路聚合，是指两台交换机之间在物理上将多个端口连接起来，将多条链路聚合成一条逻辑链路，从而增大链路带宽，解决交换网络中因带宽引起的网络瓶劲问题。多条物理链路之间能够相互冗余备份，其中任意一条链路断开，不会影响其他链路的正常转发数据。 2 实验步骤 （1）交换机A的基本配置 switchA#conf t switchA(config)#vlan 10 switchA(config-vlan)#name sales switchA(config-vlan)#exit switchA(config)#int fa0/5 switchA(config-if)#switchport access vlan 10 switchA(config)#exit switchA#sh vlan id 10 (2)在交换机switchA上配置端口聚合
switchA(config)#int aggregateport 1 switchA(config-if)#switchport mode trunk switchA(config-if)#exit switchA(config)#int range fa0/1-2 switchA(config-if-range)#port-group 1 switchA(config-if-range)#exit switchA#sh aggregatePort 1summary (3)在交换机B上基本配置（同（1）） （4）在交换机switchB上配置端口聚合（同（2））（5）验证测试 验证当交换机之间一条链路断开时，PC1和PC2任能互相通信。 C:\>Ping 192.168.10.30 –t
华为交换机两种端口聚合模式使用实例
2.5 配置举例 介绍了两种模式下的典型应用场景举例。 2.5.1 配置手工负载分担模式链路聚合示例 2.5.2 配置静态LACP 模式链路聚合示例 2.5.1 配置手工负载分担模式链路聚合示例 2 LACP 配置 组网需求 如图2-4 所示，S-switch-A 和S-switch-B 为两台S-switch 设备，它们之间的链路为某城 域网骨干传输链路之一，要求S-switch-A 和S-switch-B 之间的链路有较高的可靠性，并在S-switch-A 和S-switch-B 之间实现数据流量的负载分担。 配置思路 采用如下的思路配置负载分担链路聚合： 1. 创建Eth-Trunk。 2. 加入Eth-Trunk 的成员接口。 说明 创建Eth-Trunk 后，缺省的工作模式为手工负载分担模式，所以，缺省情况下，不需要配置 其模式为手工负载分担模式。如果当前模式已经配置为其它模式，可以使用mode 命令更 改。 数据准备 为完成此配置例，需准备的数据： l 链路聚合组编号。 l Eth-Trunk 的成员接口类型和编号。 配置步骤 1. 创建Eth-Trunk # 配置S-switch-A。
[S-switch-A-Eth-Trunk1] quit # 配置S-switch-B。
接入交换机常见安全配置
适用场景：1-24口下联P C用户,25口下联二层网管交换机,26口上联汇聚交换机 堆叠环境中，若未指定优先级，则是根据它们的MAC地址（mac小的为主机）来确定谁是主机。优先级为越大越好，范围1-10。出场默认为1。 1、系统时间同步：如果客户有使用 ntp/sntp进行全网统一的时间配置的需求，可在设备上做Ruijie(config)#hostname TSG#5750 //给交换机命名 Ruijie(config)#sntp enable //首先开启 sntp 服务 Ruijie(config)#sntp server 210.72.145.44 //配置服务器IP地址，此为国家授时中心服务器IP 地址 Ruijie(config)#sntp interval 36000 // 配置sntp交互的时间间隔 措施一：限制远程管理源地址 Ruijie(config)#access-list 99 permit host 192.168.1.100 //配置控制列表，严格限定允许ip Ruijie(config)#line vty 0 35 Ruijie(config-line)#access-class 99 in 措施二：限制SNMP管理源地址 Ruijie(config)#access-list 99 permit host 192.168.1.100 //配置控制列表，严格限定允许ip Ruijie(config)#snmp-server community ruijie rw 99 措施三：使用加密管理协议，使用SSH管理，禁用Telnet协议 Ruijie(config)#no enable service telnet-server //禁用telnet管理 Ruijie(config)#enable service ssh-server //启用SSH管理 Ruijie(config)#crypto key generate dsa //设置ssh加密模式
配置ESXi的端口聚合
配置ESXi6.0的端口聚合 由于本人只有华为S5700-48TP-SI的交换机，所以请根据实际情况配置交换机，本例中ESXi 服务器的网卡3连接交换机的3端口，网卡4连接交换机的4端口。 一、交换机配置 1、创建聚合端口组，关于配置BPDU生成树侦测协议的开启与关闭可以查阅官方的 KB，本人英文不好，看不太明白，为了使端口可以通过多个VLAN这里把端口配置成了Trunk端口模式，如果不需要多个VLAN可以把端口配置成Access模式。
第14章 端口安全配置
第14章端口安全配置 本章主要讲述了迈普系列交换机支持的端口安全功能以及详细的配置信息。 章节主要内容： z端口安全介绍 z端口安全配置 z监控与维护 14.1端口安全介绍 端口安全一般应用在接入层。它能够对使用交换机端口的主机进行限制，允许某些特定的主机访问网络，而其他主机均不能访问网络。 端口安全功能将用户的MAC地址、IP地址、VLAN ID以及PORT号四个元素灵活绑定，杜绝非法用户接入网络，从而保证网络数据的安全性，并保证合法用户能够得到足够的带宽。 用户可以通过三种规则来限制可以访问网络的主机，这三种规则分别是MAC规则，IP规则和 MAX 规则，MAC规则又分为三种绑定方式：MAC绑定，MAC+IP绑定，MAC+VID绑定；IP规则可以针对某一IP也可以针对一系列IP；MAX规则用以限定端口可以“自由学习”到的（按顺序）最多MAC地址数目，这个地址数目不包括MAC规则和IP规则产生的合法MAC地址。如果端口仅配置了拒绝规则，没有配置MAX规则，其他报文均不能转发（通过允许规则检查的例外）。对于配置permit的MAC规则和IP 规则系统将在端口LinkUp和端口安全使能时主动将配置写入二层转发表或发送ARP请求报文（详细见配置命令），这三种规则的配置如下： （1）MAC规则 MAC绑定： (config-port- xxx)#port-security permit mac-address 0050.bac3.bebd (config-port- xxx)#port-security deny mac-address 0050.bac3.bebd MAC+VID绑定： (config-port- xxx)#port-security permit mac-address 0050.bac3.bebd vlan-id 100
H3C端口聚合配置
手工汇聚的配置： 当交换机之间采用Trunk端口互连时，配置端口汇聚会将流量在多个端口上进行分担，即采用端口汇聚可以完成增加带宽、负载分担和链路备份的效果路由器设置。 1．建立汇聚组 [SwitchA]link-aggregation group 1 mode manual 2．进入端口E1/0/1 [SwitchA]interface Ethernet1/0/1 3．参与端口汇聚的端口必须工作在全双工模式 [SwitchA-Ethernet1/0/1]duplex full 4．参与端口汇聚的端口工作速率必须一致 [SwitchA-Ethernet1/0/1]speed 100 5．将端口加入汇聚组 [SwitchA-Ethernet1/0/1]port link-aggregation group 1 6．端口E1/0/2和E1/0/3的配置与端口E1/0/1的配置一致 7．SwitchB与SwitchA的配置顺序及配置内容相同 8．补充说明：汇聚组中各成员端口对出端口方向的数据流进行负荷分担，如果数据流是IP报文，负荷分担基于源IP和目的IP，如果数据流不是IP报文，负荷分担基于源MAC和目的MAC。 静态汇聚的配置： 1．创建静态汇聚组1 [SwitchA] link-aggregation group 1 mode static 2．将以太网端口Ethernet1/0/1至Ethernet1/0/3加入汇聚1 [SwitchA] interface Ethernet1/0/1 [SwitchA-Ethernet1/0/1] port link-aggregation group 1 [SwitchA-Ethernet1/0/1] interface Ethernet1/0/2 [SwitchA-Ethernet1/0/2] port link-aggregation group 1
配置交换机端口聚合(思科、华为、锐捷)
配置交换机端口聚合(思科、华为、锐捷) 2008-08-18 16:27 思科命令行配置：CLI:SW#conf t SW(config)#interface range f1/1 -2 SW(config-if)# channel-group 1 mode desirable/on SW(config-if)#swithport SW(config-if)#switchport mode trunk SW(config-if)#switchport trunk encap dot1q 可以通过interface port-channel 1 进入端口通道 华为端口聚合配置：华为交换机的端口聚合可以通过以下命令来实现： S3250(config)#link-aggregation port_num1 to port_num2 {ingress | ingress-egress} 其中port_num1 是起始端口号，port_num2 是终止端口号。ingress/ingress-egress 这个参数选项一般选为ingress-egress 。在做端口聚合的时候请注意以下几点： 1、每台华为交换机只支持1 个聚合组 2、每个聚合组最多只能聚合4 个端口。 3、参加聚合的端口号必须连续。对于聚合端口的监控可以通过以下命令来实现： S3026(config)#show link-aggregation [master_port_num] 其中master_port_num 是参加聚合的端口中端口号最小的那个端口。通过这条命令可以显示聚合组中包括哪些端口等一些与端口聚合相关的参数。 锐捷端口聚合配置： Switch#configure terminal Switch(config)#interface range fastethernet 1/1-2 Switch(config-if-range)# port-group 5 Switch(config-if-range)#switchport mode trunk 你可以在全局配置模式下使用命令#inteface aggregateport n(n 为AP号)来直接创建一个AP(如果AP n不存在)。 配置aggregate port 的流量平衡 aggregateport load-balance {dst-mac | src-mac |ip} 设置AP的流量平衡，选择使用的算法： dst-mac :根据输入报文的目的MAC地址进行流量分配。在AP各链路中，目的MAC地址相同的报文被送到相同的接口，目的MAC不同的报文分配到不同的接口src-mac :根据输入报文的源MAC地址进行流量分配。在AP各链路中，来自不同地址的报文分配到不同的接口，来自相同的地址的报文使用相同的接口。 ip:根据源IP与目的IP进行流量分配。不同的源IP――目的IP对的流量通过不同的端口转发，同一源IP――目的IP对通过相同的链路转发，其它的源IP―― 目的IP 对通过其它的链路转发。
第14章 端口安全配置
第14章端口安全配置 本章主要讲述了贝尔系列交换机支持的端口安全功能以及详细的配置信息。 章节主要内容： ●端口安全介绍 ●端口安全配置 ●监控与维护 14.1端口安全介绍 端口安全一般应用在接入层。它能够对使用交换机端口的主机进行限制，允许某些特定的主机访问网络，而其他主机均不能访问网络。 端口安全功能将用户的MAC地址、IP地址、VLAN ID以及INTERFACE号四个元素灵活绑定，杜绝非法用户接入网络，从而保证网络数据的安全性，并保证合法用户能够得到足够的带宽。 用户可以通过三种规则来限制可以访问网络的主机，这三种规则分别是MAC规则，IP规则和MAX 规则，MAC规则又分为三种绑定方式：MAC绑定，MAC+IP绑定，MAC+VID绑定；IP规则可以针对某一IP也可以针对一系列IP；MAX规则用以限定端口可以“自由学习”到的（按顺序）最多MAC地址数目，这个地址数目不包括MAC规则和IP规则产生的合法MAC地址。在MAX规则下，又有sticky规则。如果端口仅配置了拒绝规则，没有配置MAX规则，其他报文均不能转发（通过允许规则检查的例外）。对于配置permit的MAC规则和IP规则系统将在端口LinkUp和端口安全使能时主动将配置写入二层转发表或发送ARP请求报文（详细见配置命令）。 Sticky规则的MAC地址，能够自动地学习，也能够手工地配置，并保存于运行的配置文件中。如果设备重启前保存运行的配置文件，设备重启后，不需再去配置，这些MAC地址自动生效。当端口下开启sticky功能，会将MAX规则学到的动态MAC地址添加成sticky规则，并保存到运行的配置的文件中。在MAX规则未学满的情况下，能允许继续学习新的MAC地址，形成sticky规则，直至sticky规则数达到MAX所配置的最大值。 这三种规则的配置如下：