01-02 LACP
Quidway CX200/300城域业务平台
特性描述-以太网和RPR 目录
目录
2 LACP.............................................................................................................................................2-1
2.1 链路聚合简介..............................................................................................................................................2-2
2.1.1 链路聚合的引入.................................................................................................................................2-2
2.1.2 链路聚合的概念.................................................................................................................................2-2
2.1.3 链路聚合的分类.................................................................................................................................2-3
2.2 手工负载分担链路聚合原理......................................................................................................................2-4
2.3 静态LACP模式实现原理..........................................................................................................................2-4
2.3.1 基本概念............................................................................................................................................2-4
2.3.2 LACP协议及报文..............................................................................................................................2-5
2.3.3 静态模式Eth-Trunk接口建立过程..................................................................................................2-6
2.3.4 活动链路与非活动链路切换.............................................................................................................2-8
2.3.5 LACP抢占及抢占延时......................................................................................................................2-9
2.4 链路聚合应用............................................................................................................................................2-10
2.4.1 链路聚合组接口配置QoS...............................................................................................................2-10
2.5 参考资料....................................................................................................................................................2-11
插图目录Quidway CX200/300城域业务平台
特性描述-以太网和RPR
插图目录
图2-1 手工负载分担模式组网图.....................................................................................................................2-4图2-2 静态LACP模式组网图........................................................................................................................2-4图2-3 LACP报文详细信息..............................................................................................................................2-6图2-4 静态LACP模式链路聚合互发LACPDU示意图...............................................................................2-7图2-5 确定静态LACP模式主动端示意图.....................................................................................................2-8图2-6 LACP抢占场景示意图..........................................................................................................................2-9图2-7 链路聚合组接口配置QoS示意图......................................................................................................2-10
Quidway CX200/300城域业务平台
特性描述-以太网和RPR 2 LACP
2 LACP 关于本章
本章描述内容如下表所示。
标题内容
2.1 链路聚合简介介绍链路聚合的基本概念及分类。
2.2 手工负载分担链路聚合原理介绍手工负载分担模式链路聚合实现原理及适用场景。
2.3 静态LACP模式实现原
理
介绍静态LACP模式链路聚合实现原理及适用场景。
2.4 链路聚合应用介绍链路聚合的典型组网应用。
2.5 参考资料参考资料清单。
2 LACP Quidway CX200/300城域业务平台
特性描述-以太网和RPR
2.1 链路聚合简介
2.1.1 链路聚合的引入
随着以太网技术在城域网和广域网领域的广泛应用，运营商对采用以太网技术的骨干
链路带宽和可靠性提出越来越高的要求。在传统技术中，常用的增加带宽的方式是更
换高速率的接口板或更换支持高速率接口板的设备来实现，但这种方案需要付出高额
的费用，而且不够灵活。采用链路聚合技术可以在不进行硬件升级的条件下，通过将
多个物理接口捆绑为一个逻辑接口实现增大链路带宽的目的。在实现增大带宽目的的
同时，链路聚合采用备份链路的机制，可以有效的提高设备之间链路的可靠性。2.1.2 链路聚合的概念
链路聚合
链路聚合是将—组物理接口捆绑在一起作为一个逻辑接口来增加带宽及可靠性的方
法。相关的协议标准请参考IEEE 802.3ad。
链路聚合组
将若干条物理链路捆绑在一起所形成的逻辑链路称之为链路聚合组或者Trunk。
如果这些被捆绑链路都是以太网链路，该聚合组被称为以太网链路聚合组，或者简写
为Eth-Trunk。该聚合组接口称之为Eth-Trunk接口。
组成Eth-Trunk接口的各个接口称之为成员接口。
Eth-Trunk接口可以作为普通的以太网接口来使用，它与普通以太网接口的差别只在
于：转发的时候Eth-Trunk接口需要从众多成员接口中选择一个或多个接口来进行转
发。所以，除了一些必须在物理接口下配置的特性，可以像操作普通以太网接口那样
操作Eth-Trunk逻辑接口。
不能把Eth-Trunk接口再捆绑为另一个Eth-Trunk接口的成员。
活动接口和非活动接口
链路聚合存在活动接口和非活动接口两种。转发数据的接口称为活动接口，而不转发
数据的接口称为非活动接口。
活动接口对应的链路称为活动链路，非活动接口对应的链路称为非活动链路。
在链路聚合中为了提高链路的可靠性，引入了备份链路的机制。而这些备份链路对应
的接口通常情况下担当了非活动接口的角色，只有当前活动接口出现故障时，备份的
接口才可以由非活动接口转变为活动接口。
Quidway CX200/300城域业务平台
特性描述-以太网和RPR 2 LACP 活动接口数上限阈值
在Eth-Trunk接口上，如果配置了活动接口数上限阈值，当活动接口数达到这个值后，
再向Eth-Trunk接口添加成员接口，不会增加Eth-Trunk接口的活动接口数目。
活动接口数下限阈值
设置活动接口数下限阈值主要目的是保证Eth-Trunk链路的带宽。防止由于活动接口数
目过少而使这些链路负载过大，出现传输数据丢包的情况。
在Eth-Trunk接口上，如果配置了活动接口数下限阈值，当活动接口数目低于该值时，
Eth-Trunk接口状态将变为Down，此时所有Eth-Trunk接口的成员接口不再转发数据。
2.1.3 链路聚合的分类
链路聚合根据是否启用链路聚合控制协议分为两种类型：
z手工负载分担模式链路聚合
z LACP协议链路聚合
手工负载分担模式链路聚合
手工负载分担模式是一种最基本的链路聚合方式，在该模式下，Eth-Trunk接口的建
立，成员接口的加入完全由手工来配置，没有链路聚合控制协议的参与。该模式下所
有成员接口都参与数据的转发，分担负载流量，因此称为手工负载分担模式。LACP协议链路聚合
LACP（Link Aggregation Control Protocol）链路聚合包含两种类型：
z静态LACP模式链路聚合
静态LACP模式下，Eth-Trunk接口的建立，成员接口的加入，都是由手工配置完
成的。但与手工负载分担模式链路聚合不同的是，该模式下LACP协议报文参与
活动接口的选择。也就是说，当把一组接口加入Eth-Trunk接口后，这些成员接口
中哪些接口作为活动接口，哪些接口作为非活动接口还需要经过LACP协议报文
的协商确定。
z动态LACP模式链路聚合
动态LACP模式下，Eth-Trunk接口的建立，成员接口的加入，活动接口的选择完
全由LACP协议通过协商完成。这就意味着启用了动态LACP协议的两台直连设
备上，不需要创建Eth-Trunk接口，也不需要指定哪些接口作为聚合组成员接口，
两台设备会通过LACP协商自动完成链路的聚合操作。
由于该模式过于灵活，会产生管理及维护方面的诸多隐患，不适合在运营网络中
使用。所以CX200/300不支持动态LACP模式的链路聚合。
CX200/300支持的链路聚合规格
CX200/300支持2种模式的链路聚合：
z手工负载分担模式
z静态LACP模式
2 LACP
Quidway CX200/300城域业务平台
特性描述-以太网和RPR
每台CX200/300最多可配置各种模式的Eth-Trunk 接口数量为20个。每个Eth-Trunk 接口最多可以捆绑8个成员接口。
2.2 手工负载分担链路聚合原理
手工负载分担模式链路聚合是应用比较广泛的一种链路聚合，大多数运营级网络设备均支持该特性，当需要在两个直连设备间提供一个较大的链路带宽而对端设备又不支持LACP 协议时，可以使用手工负载分担模式。如图2-1所示。 图2-1 手工负载分担模式组网图
该模式下的所有接口参与数据的转发，并且在所有成员接口上分担负载。CX200/300
支持的负载分担方式如下：
z 根据源MAC 地址进行负载分担。 z 根据目的MAC 地址进行负载分担。
z
根据源MAC 地址异或目的MAC 地址进行负载分担。
手工负载分担模式的Eth-Trunk 接口可以聚合不同单板、不同双工模式的成员接口。
2.3 静态LACP 模式实现原理
2.3.1 基本概念
静态LACP 模式链路聚合是一种利用LACP 协议进行参数协商选取活动链路的聚合模式。该模式由LACP 协议确定聚合组中的活动和非活动链路，又称为M ∶N 模式，即M 条活动链路与N 条备份链路的模式。这种模式提供了更高的链路可靠性，并且可以在M 条链路中实现不同方式的负载均衡。 图2-2 静态LACP 模式组网图
主链路备份链路
M:N 模式的Eth-Trunk 接口中M 和N 的值可以通过配置活动接口数上限阈值来确定。
Quidway CX200/300城域业务平台
特性描述-以太网和RPR 2 LACP 系统LACP优先级
静态LACP模式下，两端设备所选择的活动接口必须保持一致，否则链路聚合组就无
法建立。而要想使两端活动接口保持一致，可以使其中一端具有更高的优先级，另一
端根据高优先级的一端来选择活动接口即可。系统LACP优先级就是为了区分两端优
先级的高低而配置的参数。
系统LACP优先级值越小优先级越高，缺省系统LACP优先级值为32768。
接口LACP优先级
接口LACP优先级是为了区别不同接口被选为活动接口的优先程度。接口LACP优先
级值越小，优先级越高。缺省情况下，接口LACP优先级为32768。
2.3.2 LACP协议及报文
基于IEEE802.3ad标准的LACP，链路汇聚控制协议是一种实现链路动态聚合与解聚合
的协议。LACP协议通过LACPDU（Link Aggregation Control Protocol Data Unit）与对
端交互信息。
在静态LACP模式的Eth-Trunk接口中加入成员接口后，这些接口将通过发送
LACPDU向对端通告自己的系统优先级、系统MAC、接口优先级、接口号和操作Key
等信息。对端接收到这些信息后，将这些信息与其它接口所保存的信息比较以选择能
够聚合的接口，双方对哪些接口能够成为活动接口达成一致，确定活动链路。
LACPDU报文详细信息如图2-3所示。
2 LACP
Quidway CX200/300城域业务平台
特性描述-以太网和RPR 图2-3LACP报文详细信息
主要字段信息解释
Actor_Port/Partner_Port：本端/对端接口信息。
Actor_State/Partner_State：本端/对端状态。
Actor_System_Priority/Partner_System_Priority：本端/对端系统优先级。
Actor_System/Partner_System：本端/对端系统ID。
Actor_Key/Partner_Key：本端/对端操作Key，各接口的该值相同才能够聚合。
Actor_Port_Priority/Partner_Port_Priority：本端/对端接口优先级。
2.3.3 静态模式Eth-Trunk接口建立过程
静态模式Eth-Trunk接口建立过程如下所示：
Quidway CX200/300城域业务平台
特性描述-以太网和RPR 2 LACP
1.两端互相发送LACPDU报文。
2.两端设备根据系统LACP优先级确定主动端。
3.两端设备根据接口LACP优先级确定活动接口，最终以主动端设备的活动接口确
定两端的活动接口。
互发LACPDU报文
在两端设备CX-A和CX-B上创建Eth-Trunk接口并配置为静态LACP模式，然后向
Eth-Trunk接口中手工加入成员接口。此时成员接口上便启用了LACP协议，两端互相
发出LACPDU报文，如图2-4所示。
图2-4静态LACP模式链路聚合互发LACPDU示意图
LACPDU
确定主动端
Eth-Trunk两端设备均会收到对端发来的LACP报文，根据报文中的优先级字段，确认
活动接口。优先级字段的值越小，优先级越高。
如图2-5所示，当CX-B收到CX-A发送LACP报文时，CX-B会查看并记录对端信
息，并且比较系统优先级字段。CX-A的系统优先级为10，高于CX-B的系统优先
级，所以选择CX-A为主动端。此时CX-B将按照CX-A的接口优先级选择活动接口。
如果Eth-Trunk链路两端设备的系统优先级一致，系统将选择系统ID字段较小的作为
主动端。系统ID由设备的MAC地址产生。
2 LACP
Quidway CX200/300城域业务平台
特性描述-以太网和RPR 图2-5确定静态LACP模式主动端示意图
CX-A CX-B
选择主动端
选择活动接口
CX 系统优先级接口接口优先级
GigabitEthernet 1/0/1 1
GigabitEthernet 1/0/2 2
CX-A 10
GigabitEthernet 2/0/1 3
GigabitEthernet 1/0/1 3
GigabitEthernet 1/0/2 2
CX-B 11
GigabitEthernet 2/0/1 1
选择活动接口
选出主动端后，两端都会以主动端的接口优先级来选择活动接口。
如图2-5所示，CX-A为主动端，CX-A的接口GE1/0/1、GE1/0/2的优先级高于接口
GE2/0/1，此时接口GE1/0/1、GE1/0/2被选为活动接口，组成LACP聚合组，以负载分
担的方式转发数据。
2.3.4 活动链路与非活动链路切换
切换条件
静态模式链路聚合组两端设备中任何一端检测到以下事件，都会触发聚合组的链路切
换：
z聚合组中链路Down事件。
z LACP协议发现链路故障。
z聚合组中接口不可用。
z在使能了LACP抢占前提下，更改备份接口的优先级高于当前活动接口的优先级后，会发生切换的过程。(抢占的具体内容请参见2.3.5 LACP抢占及抢占延时)
Quidway CX200/300城域业务平台 特性描述-以太网和RPR
2 LACP
如何切换
当满足上面切换条件其中之一时按照如下步骤进行切换： 1. 关闭故障链路。
2. 从N 条备份链路中选择优先级最高的链路接替活动链路中的故障链路。
3. 优先级最高的备份链路转为活动状态并转发数据，完成切换。
2.3.5 LACP 抢占及抢占延时
LACP 抢占
在Eth-Trunk 接口视图下使能LACP 抢占后，聚合组会始终保持高优先级的接口作为活动接口的状态。LACP 抢占的意义，可以通过以下场景理解。 图2-6 LACP 抢占场景示意图
接口优先级
主链路备份链路
接口优先级
CX
系统优先级
接口
接口优先级
GigabitEthernet 1/0/1
9 GigabitEthernet 1/0/2
10 CX-A 10 GigabitEthernet 1/0/332768 GigabitEthernet 1/0/1
9 GigabitEthernet 1/0/2
10 CX-B 11 GigabitEthernet 1/0/332768
如图2-6所示，在CX-A 和CX-B 上进行以下配置：
z CX-A 的接口GE1/0/1、GE1/0/2和GE1/0/3为Eth-Trunk 1的成员接口。 z CX-B 的接口GE1/0/1、GE1/0/2和GE1/0/3为Eth-Trunk 1的成员接口。 z CX-A 、CX-B 的活动接口数最大上限阈值为2。
z
CX-A 的接口GE1/0/1、GE1/0/2的LACP 优先级分别为9和10，GE1/0/3保持缺省值32768。
z
CX-B 的接口GE1/0/1、GE1/0/2的LACP 优先级分别为9和10，GE1/0/3保持缺省值32768。
当通过LACP 协议协商完毕后，接口GE1/0/1、GE1/0/2因为优先级较高被选作活动接口，接口GE1/0/3成为备份接口。 使能LACP 的抢占功能后：
z
若CX-A 或CX-B 接口GE1/0/1出现故障时，接口GE1/0/3成为活动接口，接口GE1/0/1成为备份接口。当GE1/0/1故障恢复后将进行抢占，重新成为活动接口，此时接口GE1/0/3再次成为备份接口。
如果在Eth-Trunk 接口下未使能抢占，则故障恢复后接口GE1/0/1仍为备份接口。
2 LACP
Quidway CX200/300城域业务平台
特性描述-以太网和RPR z当备份接口的优先级高于活动接口时，备份接口将进行抢占，成为活动接口。如
修改CX-A的接口GE1/0/3的优先级为8，此时接口GE1/0/3将成为活动接口，优先级较低的接口GE1/0/2将成为备份接口。
由于CX-B为被动端，修改CX-B接口的优先级不会触发接口进行抢占。
LACP抢占延时
配置抢占延时是为了避免由于某些链路状态频繁变化而导致整个Eth-Trunk数据传输不
稳定。
LACP抢占延时设定了触发抢占需要等待的时间。
在图2-6中，GE1/0/1由于链路故障切换为非活动接口，此后该链路又恢复了正常。在
系统使能了LACP抢占的情况下，经过抢占延时后，GE1/0/1会重新切换到活动状态。
2.4 链路聚合应用
2.4.1 链路聚合组接口配置QoS
如图2-7所示，不同业务的数据流量经UPE（Underlayer Provider Edge）设备、PE-
AGG（Provider Edge-Aggregation）设备进入核心网。为保证UPE和PE-AGG之间的
链路带宽及可靠性，在它们之间建立Eth-Trunk。
图2-7链路聚合组接口配置QoS示意图
Eth-Trunk的工作模式根据以下两种情况选择：
z如果两端设备均支持LACP协议，推荐使用静态LACP模式链路聚合。
z如果对端设备不支持LACP协议，可以使用手工负载分担模式链路聚合。
Quidway CX200/300城域业务平台
特性描述-以太网和RPR 2 LACP 建立Eth-Trunk接口后，可以把该逻辑接口当作普通接口实施QoS策略。
在UPE的入接口GE1/0/1、GE1/0/2、GE1/0/3上，对进入的流量进行流分类、流量监
管，依据一定的匹配规则标识数据流，对不同的数据流配置不同的流量监管策略，保
证视频及语音业务的带宽需求。UPE的出接口(即链路聚合组接口Eth-Trunk 1)上对出
流量进行流量整形、拥塞管理、拥塞避免，保证高优先级的报文被及时发送。
2.5 参考资料
如果您想了解更多关于链路聚合的信息，请参考以下文档。
文档编号描述
Aggregation Control Protocol
IEEE802.3ad Link
华为防火墙双机热备配置及组网
防火墙双机热备配置及组网指导 防火墙双机热备，主要是提供冗余备份的功能，在网络发生故障的时候避免业务出现中断。防火墙双机热备组网根据防火墙的模式，分路由模式下的双机热备组网和透明模式下的双机热备组网，下面分别根据防火墙的不同模式下的组网提供组网说明及典型配置。 1 1：防火墙双机热备命令行说明 防火墙的双机热备的配置主要涉及到HRP的配置，VGMP的配置，以及VRRP的配置，防火墙的双机热备组网配置需要根据现网的业务和用户的需求来进行调整，下面就防火墙的双机热备配置涉及到的命令行做一个解释说明。 1.1 1.1 HRP命令行配置说明 HRP是华为的冗余备份协议，Eudemon 防火墙使用此协议进行备份组网，达到链路状态备份的目的，从而保证在设备发生故障的时候业务正常。 HRP协议是华为自己开发的协议，主要是在VGMP协议的基础上进行扩展得到的；VGMP是华为的私有协议，主要是用来管理VRRP的，VGMP也是华为的私有协议，是在VRRP的基础上进行扩展得到的。不管是VGMP的报文，还是HRP的报文，都是VRRP的报文，只是防火墙在识别这些报文的时候能根据自己定义的字段能判断出是VGMP的报文，HRP的报文，或者是普通的VRRP的报文。 在Eudemon防火墙上，hrp的作用主要是备份防火墙的会话表，备份防火墙的servermap 表，备份防火墙的黑名单，备份防火墙的配置，以及备份ASPF模块中的公私网地址映射表和上层会话表等。 两台防火墙正确配置VRRP，VGMP，以及HRP之后，将会形成主备关系，这个时候防火墙的命令行上会自动显示防火墙状态是主还是备，如果命令行上有HRP_M的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为主防火墙，如果命令行上有HRP_S的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为备防火墙。防火墙的主备状态只能在两台防火墙之间进行协商，并且协商状态稳定之后一定是一台为主状态另外一台为备状态，不可能出现两台都为主状态或者都是备状态的。 在防火墙的HRP形成主备之后，我们称HRP的主备状态为HRP主或者是HRP备状态，在形成HRP的主备状态之后默认是一部分配置在主防火墙上配置之后能自动同步到备防火墙上的，而这些命令将不能在备防火墙的命令行上执行，这些命令包括ACL，接口加入域等，但其中一些命令行是不会从主防火墙上备份到备防火墙上。 HRP的配置命令的功能和使用介绍如下： ★ hrp enable ：HRP使能命令，使能HRP之后防火墙将形成主备状态。 ★ hrp configuration check acl ：检查主备防火墙两端的ACL的配置是否一致。执行此命令之后，主备防火墙会进行交互，执行完之后可以通过命令行display hrp configuration check acl来查看两边的配置是否一致。
lacp学习笔记
LACP学习笔记 一、LACP简介 1、LACP协议简介 基于IEEE802.3ad 标准的LACP（Link Aggregation Control Protocol，链路汇聚控制协议）是一种实现链路动态汇聚与解汇聚的协议。LACP 协议通过LACPDU（Link Aggregation Control Protocol Data Unit，链路汇聚控制协议数据单元）与对端交互信息。 使能某端口的LACP 协议后，该端口将通过发送LACPDU 向对端通告自己的系统优先级、系统MAC、端口优先级、端口号和操作Key。对端接收到这些信息后，将这些信息与其它端口所保存的信息比较以选择能够汇聚的端口，从而双方可以对端口 加入或退出某个动态汇聚组达成一致。 2、LACP报文 主要字段介绍： Actor_Port/Partner_Port：本端/对端接口信息。 Actor_State/Partner_State：本端/对端状态。 Actor_System_Priority/Partner_System_Priority：本端/对端系统优先级。
Actor_System/Partner_System：本端/对端系统ID。 Actor_Key/Partner_Key：本端/对端操作Key，各接口的该值相同才能够聚合。 Actor_Port_Priority/Partner_Port_Priority：本端/对端接口优先级。 二、链路聚合的分类 1、手工负载分担模式链路聚合 1）手工汇聚概述 手工负载分担模式是一种最基本的链路聚合方式，在该模式下，Eth-Trunk 接口的建立，成员接口的加入完全由手工来配置，没有链路聚合控制协议的参与。该模式下所有成员接口（selected）都参与数据的转发，分担负载流量，因此称为手工负载分担模式。手工汇聚端口的LACP 协议为关闭状态，禁止用户使能手工汇聚端口的LACP 协议。 2）手工汇聚组中的端口状态 在手工汇聚组中，端口可能处于两种状态：Selected 或Standby。处于Selected 状 态且端口号最小的端口为汇聚组的主端口，其他处于Selected 状态的端口为汇聚组 的成员端口。 由于设备所能支持的汇聚组中的最大端口数有限制，如果处于Selected 状态的端口 数超过设备所能支持的汇聚组中的最大端口数，系统将按照端口号从小到大的顺序 选择一些端口为Selected 端口，其他则为Standby 端口。 3）手工汇聚对端口配置的要求 一般情况下，手工汇聚对汇聚前的端口速率和双工模式不作限制。但对于以下情况，系统会作特殊处理： 对于初始就处于DOWN 状态的端口，在汇聚时对端口的速率和双工模式没有限制； 对于曾经处于UP 状态，并协商或强制指定过端口速率和双工模式，而当前处于DOWN 状态的端口，在汇聚时要求速率和双工模式一致； 对于一个汇聚组，当汇聚组中某个端口的速率和双工模式发生改变时，系统不进行解汇聚，汇聚组中的端口也都处于正常工作状态。但如果是主端口出现速率降低和双工模式变化，则该端口的转发可能出现丢包现象。 2、LACP 协议链路聚合 LACP（Link Aggregation Control Protocol）链路聚合包含两种类型： 1）静态LACP 模式链路聚合 a）静态LACP 模式链路聚合简介 静态LACP 模式下，Eth-Trunk 接口的建立，成员接口的加入，都是由手工配置完成的。但与手工负载分担模式链路聚合不同的是，该模式下LACP 协议报文参与活动接口的选择。也就是说，当把一组接口加入Eth-Trunk 接口后，这些成员接口中哪些接口作为活动接口，哪些接口作为非活动接口还需要经过LACP 协议报文的协商确定。 静态汇聚端口的LACP 协议为使能状态，当一个静态汇聚组被删除时，其成员端口 将形成一个或多个动态LACP 汇聚，并保持LACP 使能。禁止用户关闭静态汇聚端口的LACP 协议。 b）静态汇聚组中的端口状态 在静态汇聚组中，端口可能处于两种状态：Selected 或Standby。Selected 端口和Standby 端口都能收发LACP 协议，但Standby 端口不能转发用户报文。 说明： 在一个汇聚组中，处于Selected 状态且端口号最小的端口为汇聚组的主端口，其他处于Selected 状态的端口为汇聚组的成员端口。 在静态汇聚组中，系统按照以下原则设置端口处于Selected 或者Standby 状态：
win7防火墙设置指南、多重作用防火墙策略以及设置方法
win7防火墙设置指南、多重作用防火墙策略以及设置方法 214小游戏https://www.360docs.net/doc/af15688450.html,/ windows XP集成防火强常被视为鸡肋，不过随着vista和WIN7的发布，微软对于防火墙的两次升级让windows的firewall不再是系统的累赘，特别是win7的firewall，强悍的功能让微软的防火墙也有了“专业”的味道。 本文就教大家来了解一下windows7下的 firewall设置以及向你展示怎样对多重作用防火墙策略下对Firewall进行配置。Windows Firewall的演变过程。 一、windows防火墙的演变 Windows XP中的防火墙是一款简单、初级仅保护流入信息，拦截任何不是由你主动发启入站连接的软件－－它是默认关闭的。SP2后它才被默认启动并可以通过组策略的方式由管理员进行配置。而 Vista Firewall 是建立在一个新的Windows Filtering Platform （WFP、Windows过滤平台）上、并通过Advanced Security MMC嵌入式管理单元添加了新的过滤外发信息的能力。在Windows 7中MS对firewall做了进一步的微调，使其更具可用性，尤其针对移动计算机，更是舔加了对多重作用防火墙策略的支持。 二、windows 7 firewall（防火墙）设置方法 与Vista相同的是，可以通过访问控制面板程序对Windows 7 firewall进行基础配置。与Vista不同的是，你还可以通过访问控制面板的方式对其进行高级配置（包括对出站连接过滤器的配置），而不是一定要创建空白MMC并加入嵌入式管理单元来实现。只是点击一下左侧面板里的高级配置选项。 更多的网络配置 Vista firewall允许你去选择是在公共网格上还是在专用网络中，而在Windows 7中你有三个选择－－公用网络、家庭网络、办公网络。后两个选项是专用网络的细化。 如果你选择了“家庭网络”选项，你将可以建立一个“家庭组”。在这种环境中，“网路发现”会自动启动，你将可以看到网络中其它的计算机和设备，同时他们也将可以看到你的计算机。隶属于“家庭组”的计算机能够共享图片、音乐、视频、文档库以及如打印机这样的硬件设备。如果有你不想共享的文件夹在文档库中，你还可以排除它们。 如果你选择的是“工作网络”，“网路发现”同样会自动启动，但是你将不能创建或是加入“家庭组”。如果你的计算机加入了Windows域（通过控制面板－－系统和安全－－系统－－高级系统配置－－计算机名选项卡）并通过DC验证，那么防火墙将自动识别网络类型为域环境网络。 而“公用网络”类型是当你在机场、宾馆、咖啡馆或使用移动宽带网络联通公共wi-fi 网络时的适当选择，“网路发现”将默认关闭，这样其它网络中的计算机就不会发现你的共享而你也将不能创建或加入“家庭组”。 在全部的网络模式中，Windows 7 firewall都将在默认情况下拦截任何发送到不属于白名单中应用程序的连接。Windows 7允许你对不同网络类型分别配置。 多重作用防火墙策略 在Vista中，尽管你有公用网络和私用网络两个配置文件，但是只会有一个在指定的时间内起作用。所以如果你的计算机发生要同时连接两个不同网络的情况，那你就要倒霉啦。最严格的那条配置文件会被用户到所有的连接上，这意味着你可能无法在本地（私用）网络中做你想做的事，因为你是在公用网络在规则下操作。而在Windows 7 （和 Server 2008 R2）中，不同网络适配器上可以使用不同的配置文件。也就是说专用网络之间的网络连接受专用网络规则支配，而与公用网络之间的流量则应用公用网络规则。 起作用的是那些不显眼的小事 在很多事例中，更好的可用性往往取决于小的改变，MS听取了用户的意见并将一些“不
华为交换机各种配置实例[网管必学]
华为交换机各种配置实例[网管必学 交换机配置（一）端口限速基本配置 华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE (4 )参数可选! 端口限速配置 1功能需求及组网说明 端口限速配置 『配置环境参数』 1. PC1和PC2的IP地址分别为10.10.1.1/24、10.10.1.2/24 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps
2数据配置步骤 『S2000EI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。 【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30 3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps [SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】 报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。 此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。
华为配置静态LACP模式链路聚合示例
华为配置静态LACP模式链路聚合示例 组网需求 如图所示，在两台Switch设备上配置静态LACP模式链路聚合组，提高两设备之间的带宽与可靠性，具体要求如下： 2条活动链路具有负载分担的能力。 两设备间的链路具有1条冗余备份链路，当活动链路出现故障链路时，备份链路替代故障链路，保持数据传输的可靠性。 图配置静态LACP模式链路聚合组网图 配置思路 采用如下的思路配置静态LACP模式链路聚合： 在Switch设备上创建Eth-Trunk，配置Eth-Trunk为静态LACP模式。 将成员接口加入Eth-Trunk。 配置系统优先级确定主动端。 配置活动接口上限阈值。 配置接口优先级确定活动链路。 数据准备 为完成此配置例，需准备如下的数据： 两端Switch设备链路聚合组编号。 SwitchA系统优先级。 活动接口上限阈值。 活动接口LACP优先级。
操作步骤 创建编号为1的Eth-Trunk，配置它的工作模式为静态LACP模式# 配置SwitchA。
防火墙的基本配置原则
本篇要为大家介绍一些实用的知识，那就是如何配置防火中的安全策略。但要注意的是，防火墙的具体配置方法也不是千篇一律的，不要说不同品牌，就是同一品牌的不同型号也不完全一样，所以在此也只能对一些通用防火墙配置方法作一基本介绍。同时，具体的防火墙策略配置会因具体的应用环境不同而有较大区别。首先介绍一些基本的配置原则。 一. 防火墙的基本配置原则 默认情况下，所有的防火墙都是按以下两种情况配置的： ?拒绝所有的流量，这需要在你的网络中特殊指定能够进入和出去的流量的一些类型。 ?允许所有的流量，这种情况需要你特殊指定要拒绝的流量的类型。可论证地，大多数防火墙默认都是拒绝所有的流量作为安全选项。一旦你安装防火墙后，你需要打开一些必要的端口来使防火墙内的用户在通过验证之后可以访问系统。换句话说，如果你想让你的员工们能够发送和接收Email，你必须在防火墙上设置相应的规则或开启允许POP3 和SMTP 的进程。 在防火墙的配置中，我们首先要遵循的原则就是安全实用，从这个角度考虑，在防火墙的配置过程中需坚持以下三个基本原则：（1）. 简单实用：对防火墙环境设计来讲，首要的就是越简单越好。其实这也是任何事物的基本原则。越简单的实现方式，越容易理解和使用。而且是设计越简单，越不容易出错，防火墙的安全功能越容易得到保证，管理也越可靠和简便。 每种产品在开发前都会有其主要功能定位，比如防火墙产品的初衷就是实现网络之间的安全控制，入侵检测产品主要针对网络非法行为进行监控。但是随着技术的成熟和发展，这些产品在原来的主要功能之外或多或少地增加了一些增值功能，比如在防火墙上增加了查杀病毒、入侵检测等功能，在入侵检测上增加了病毒查杀功能。但是这些增值功能并不是所有应用环境都需要，在配置时我们也可针对具体应用环境进行配置，不必要对每一功能都详细配置，这样一则会大大增强配置难度，同时还可能因各方面配置不协调，引起新的安全漏洞，得不偿失。 （2）. 全面深入：单一的防御措施是难以保障系统的安全的，只有采用全面的、多层次的深层防御战略体系才能实现系统的真正安全。在防火墙配置中，我们不要停留在几个表面的防火墙语句上，而应系统地看等整个网络的安全防护体系，尽量使各方面的配置相互加强，从深层次上防护整个系统。这方面可以体现在两个方面：一方面体现在防火墙系统的部署上，多层次的防火墙部署体系，即采用集互联网边界防火墙、部门边界防火墙和主机防火墙于一体的层次防御；另一方面将入侵检测、网络加密、病毒查杀等多种安全措施结合在一起的多层安全体系。 3）. 内外兼顾：防火墙的一个特点是防外不防内，其实在现实的网络环境
华为交换机及路由器各种配置实例大全(20200909191858)
交换机配置（三）ACL基本配置 交换机配置（一）端口限速基本配置 华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE (4 ) 参数可选! 端口限速配置 1功能需求及组网说明 端口限速配置 『配置环境参数』 1. PC1和PC2的IP地址分别为、 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率 限制在1Mbps 2数据配置步骤 『S2000EI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30
3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps [SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】 报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的 粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的 级别为N，则端口上限制的速率大小为(N-27)*1Mbps。 此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。 『S2000-SI和S3000-SI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到6Mbps [SwitchA- Ethernet0/1]line-rate outbound 2 3. 对端口E0/1的入方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate inbound 1 【补充说明】 对端口发送或接收报文限制的总速率，这里以8个级别来表示，取值范围为1～8，含义为：端口工作在10M速率时，1～8分别表示312K，625K，938K，，2M，4M，6M，8M；端口工作在100M速率时，1～8分别表示，，，，20M，40M，60M，80M。 此系列交换机的具体型号包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI。 『S3026E、S3526E、S3050、S5012、S5024系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合 acl，使用以太网物理端口下面的traffic-limit命令，对端口的入方向报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图
华为路由器防火墙配置
华为路由器防火墙配置 一、access-list 用于创建访问规则。 (1)创建标准访问列表 access-list [ normal | special ] listnumber1 { permit | deny } source-addr [ source-mask ] (2)创建扩展访问列表 access-list [ normal | special ] listnumber2 { permit | deny } protocol source-addr source- mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] | icmp-type [ icmp-code ] ] [ log ] (3)删除访问列表 no access-list { normal | special } { all | listnumber [ subitem ] } 【参数说明】 normal 指定规则加入普通时间段。 special 指定规则加入特殊时间段。 listnumber1 是1到99之间的一个数值，表示规则是标准访问列表规则。 listnumber2 是100到199之间的一个数值，表示规则是扩展访问列表规则。 permit 表明允许满足条件的报文通过。 deny 表明禁止满足条件的报文通过。 protocol 为协议类型，支持ICMP、TCP、UDP等，其它的协议也支持，此时没有端口比较 的概念;为IP时
有特殊含义，代表所有的IP协议。 source-addr 为源地址。 source-mask 为源地址通配位，在标准访问列表中是可选项，不输入则代表通配位为0.0.0.0。 dest-addr 为目的地址。 dest-mask 为目的地址通配位。 operator[可选] 端口操作符，在协议类型为TCP或UDP时支持端口比较，支持的比较操作有:等于(eq) 、大于(gt)、小于(lt)、不等于(neq)或介于(range);如果操作符为range，则后面需要跟两个 端口。 port1 在协议类型为TCP或UDP时出现，可以为关键字所设定的预设值(如telnet)或0~65535之间的一个 数值。 port2 在协议类型为TCP或UDP且操作类型为range时出现;可以为关键字所设定的预设值(如telnet)或 0~65535之间的一个数值。 icmp-type[可选] 在协议为ICMP时出现，代表ICMP报文类型;可以是关键字所设定的预设值(如echo- reply)或者是0~255之间的一个数值。 icmp-code在协议为ICMP且没有选择所设定的预设值时出现;代表ICMP码，是0~255之间的一个数值。 log [可选] 表示如果报文符合条件，需要做日志。 listnumber 为删除的规则序号，是1~199之间的一个数值。
LACP
LACP-以太网链路聚合 以太网链路聚合是指将多个以太网端口聚合到一起，当作一个端口来处理，并提供更高的带宽和链路安全性。 10.1.1 介绍 定义 链路聚合组（LAG）将多个物理链路聚合起来，形成一条速率更大的逻辑链路传送数据。链路聚合的作用域在相邻设备之间，和整个网络结构不相关。在以太网中，链路和端口一一对应，因此链路聚合也叫做端口聚合。 LACP（Link Aggregation Control Protocol）是IEEE 802.3ad标准中实现链路聚合的控制 协议。通过该协议，不但可以自动实现设备之间端口聚合不需要用户干预，而且还可以检测端口的链路层故障，完成链路的聚合控制。 目的 链路聚合组可以实现以下功能： l 增加链路带宽 链路聚合组可以为用户提供一种经济的提高链路容量的方法。通过捆绑多条物理链路，用户不必升级现有设备就能获得更大带宽的数据链路，其容量等于各物理链路 容量之和。聚合模块按照其负荷分担算法将业务流量分配给不同的成员，实现链路 级的负荷分担功能。 l 提高链路安全性 链路聚合组中，成员互相动态备份。当某一链路中断时，其它成员能够迅速接替其 工作。 链路聚合类型 按照聚合类型分类可以分为手工聚合、动态聚合和静态聚合。MA5680T/MA5683T 支持手工聚合和静态聚合，不支持动态聚合。 l 手工链路聚合 由用户手工创建聚合组，增删成员端口时，不运行LACP （Link Aggregation Control Protocol）协议。端口存在UP和DOWN两种状态，根据端口物理状态（UP和DOWN）来确定是否进行聚合。 手工链路聚合由于没有使用LACP协议，链路两端的设备缺少对聚合进行协商的必 要交互，因此对聚合的控制不够准确和有效。例如，如果用户错误地将物理链路连 接到不同的设备上或者同一设备的不能形成聚合的端口上，则系统无法发现。另 外，手工链路聚合只能工作在负荷分担方式，应用也存在一定限制。 l 动态链路聚合 动态链路聚合在完全没有人工干预的情况下自动生成聚合，它使设备具有了某些即 插即用的特性。但在实际应用中，这种聚合方式显得过于灵活，会给用户带来使用 上的不便与困难。例如，由于聚合组是设备动态生成的，因此在设备重启等情况下 聚合组ID就可能会发生变化，这将给设备的管理带来麻烦。
防火墙基础知识
防火墙基础知识 3.3 包过滤包过滤技术(Ip Filtering or packet filtering) 的原理在于监视并过滤网络上流入流出的Ip包，拒绝发送可疑的包。由于Internet 与Intranet 的连接多数都要使用路由器，所以Router成为内外通信的必经端口，Router的厂商在Router上加入IP Filtering 功能，这样的Router也就成为Screening Router 或称为Circuit-level gateway. 网络专家Steven.M.Bellovin认为这种Firewall 应该是足够安全的，但前提是配置合理。然而一个包过滤规则是否完全严密及必要是很难判定的，因而在安全要求较高的场合，通常还配合使用其它的技术来加强安全性。Router 逐一审查每份数据包以判定它是否与其它包过滤规则相匹配。(注：只检查包头的内容，不理会包内的正文信息内容) 过滤规则以用于IP顺行处理的包头信息为基础。包头信息包括: IP 源地址、IP目的地址、封装协议(TCP、UDP、或IP Tunnel)、TCP/UDP源端口、ICMP包类型、包输入接口和包输出接口。如果找到一个匹配，且规则允许这包，这一包则根据路由表中的信息前行。如果找到一个匹配，且规则允许拒绝此包，这一包则被舍弃。如果无匹配规则，一个用户配置的缺省参数将决定此包是前行还是被舍弃。*从属服务的过滤包过滤规则允许Router取舍以一个特殊服务为基
础的信息流，因为大多数服务检测器驻留于众所周知的TCP/UDP端口。例如，Telnet Service 为TCP port 23端口等待远程连接，而SMTP Service为TCP Port 25端口等待输入连接。如要封锁输入Telnet 、SMTP的连接，则Router 舍弃端口值为23,25的所有的数据包。典型的过滤规则有以下几种： .允许特定名单内的内部主机进行Telnet输入对话 .只允许特定名单内的内部主机进行FTP输入对话 .只允许所有Telnet 输出对话 .只允许所有FTP 输出对话 .拒绝来自一些特定外部网络的所有输入信息* 独立于服务的过滤 有些类型的攻击很难用基本包头信息加以鉴别，因为这些独立于服务。一些Router可以用来防止这类攻击，但过滤规则需要增加一些信息，而这些信息只有通过以下方式才能获
华为交换机各种配置方法
端口限速基本配置1 端口绑定基本配置 ACL基本配置 密码恢复 三层交换配置 端口镜像配置 DHCP配置 配置文件管理 远程管理配置 STP配置 私有VLAN配置 端口trunk、hybrid应用配置 交换机配置（一）端口限速基本配置 华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE 端口限速配置 1功能需求及组网说明 端口限速配置 『配置环境参数』 1. PC1和PC2的IP地址分别为 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps 2数据配置步骤 『S2000EI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30 3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps [SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】 报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。 此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。 『S2000-SI和S3000-SI系列交换机端口限速配置流程』
华为USG防火墙配置完整版
华为U S G防火墙配置 HEN system office room 【HEN16H-HENS2AHENS8Q8-HENH1688】
华为USG2000防火墙配置 USG2000防火墙基本设置： 外观 1个调试口（CONSOLE）； 2个以太网口（GE0/0/0和GE0/0/1，电口或者SFP光口任取一）； 1个reset按钮（操作不当访问不到防火墙时初始化出厂配置）。 初始配置 GE0/0/0配置为路由接口，IP地址为 防火墙访问IP为，登录用户名admin，密码Admin@123 USG2000防火墙配置过程中注意事项： 接口配置时，不要操作当前连接的端口，否则可能导致防火墙无法连接的情况。 这种情况下需要按‘reset’按钮初始化出厂配置。
USG2000防火墙配置步骤 一、配置防火墙的网络接口 1.连接GE0/0/0端口，访问登录防火墙。 登录过程中出现证书错误，点击‘继续浏览此网站’继续。 输入用户名admin密码Admin@123登录防火墙。 登录后，弹出修改用户的初始密码的提示及快速向导。初始密码尽量不要修改。快速向导适于配置路由器模式，不适合I区和II区之间，直接点取消。 以上为USG2000基本配置界面。 现场配置所需要用到的只有网络和防火墙两个主菜单。 2.配置GE0/0/1端口 选择菜单网络/接口，在GE0/0/1行最后点配置。 别名设置‘安全II区端口’，选择模式‘交换’，连接类型选择为 ‘access’，点击应用。 3.添加Vlan接口 在接口页面中，点击新加，接口名称设置为‘配置接口’，类型设置为‘VLAN’，VALN ID设置为‘1’，接口成员选择‘GE0/0/1’，连接类型设置为‘静态IP’，IP地址设置为‘’，子网掩码设置为‘’，最后点击应用。如下图所示 4.按照配置GE0/0/1的方法，配置GE0/0/0，将别名设为‘安全I 区端口’。 注意：配置完成后，点击应用后，由于GE0/0/0的IP地址已变更，将无法访问到。 5.关闭所有浏览器页面，然后重新开启浏览器，连接GE0/0/0，访 问。 修改刚添加的‘配置接口’的Vlan端口，将GE0/0/0添加到接口
链路聚合协议LACP
链路聚合协议LACP 目录 1.5.3. 2.4.4.5 链路聚合协议LACP 1.5.3. 2.4.4.5 链路聚合协议LACP 链路聚合的引入 随着以太网技术在网络领域的广泛应用，用户对采用以太网技术的骨干链路的带宽和可靠性提出越来越高的要求。在传统技术中，常用更换高速率的接口板或更换支持高速率接口板的设备的方式来增加带宽，但这种方案需要付出高额的费用，而且不够灵活。采用链路聚合技术可以在不进行硬件升级的条件下，通过将多个物理接口捆绑为一个逻辑接口实现增大链路带宽的目的。在实现增大带宽目的的同时，链路聚合采用备份链路的机制，可以有效的提高设备之间链路的可靠性。 作为链路聚合技术，Trunk可以完成多个物理端口聚合成一个Trunk口来提高带宽，同时能够检测到同一Trunk 内的成员链路有断路等故障，但是无法检测链路层故障、链路错连等故障。LACP（Link Aggregation Control Protocol）的技术出现后，提高了Trunk的容错性，并且能提供M:N备份功能，保证成员链路的高可靠性。 LACP为交换数据的设备提供一种标准的协商方式，以供系统根据自身配置自动形成聚合链路并启动聚合链路收发数据。聚合链路形成以后，负责维护链路状态。在聚合条件发生变化时，自动调整或解散链路聚合。 如图1所示，SwitchA与SwitchB之间创建Trunk，需要将SwitchA上的四个全双工GE接口与SwitchB捆绑成一个Trunk。由于错将SwitchA上的一个GE接口与SwitchC相连，这将会导致SwitchA向SwitchB传输数据时可能会将本应该发到SwitchB的数据发送到SwitchC上。而Trunk不能及时的检测到故障。 如果在SwitchA、SwitchB和SwitchC上都启用LACP协议，SwitchA的优先级设置高于SwitchB，经过协商 后，SwitchA发送的数据能够正确到达SwitchB。 图1 Trunk错连示意图 基本概念 链路聚合 将—组物理接口捆绑在一起作为一个逻辑接口来增加带宽及可靠性的方法。 链路聚合组 将若干条物理链路捆绑在一起所形成的逻辑链路称之为链路聚合组（LAG）或者Trunk。 如果这些被捆绑链路都是以太网链路，该聚合组被称为以太网链路聚合组，简写为Eth-Trunk。该聚 合组接口称之为Eth-Trunk接口。 组成Eth-Trunk的各个接口称之为成员接口。
防火墙基础知识
(一) 防火墙概念 防火墙不只是一种路由器、主系统或一批向网络提供安全性的系统。相反，防火墙是 一种获取安全性的方法；它有助于实施一个比较广泛的安全性政策，用以确定允许提供的服务和访问。就网络配置、一个或多个主系统和路由器以及其他安全性措施(如代替 静态口令的先进验证)来说，防火墙是该政策的具体实施。防火墙系统的主要用途就是 控制对受保护的网络(即网点)的往返访问。它实施网络访问政策的方法就是逼使各连接 点通过能得到检查和评估的防火墙。 ____________ ___________ | | | | | Computer | | Computer | |__________| |___________| ____________ ________ | | |应| |Packet | ______|________________|__________| 用|_____|Filter |___Internet | 网| |Router | 网点系统| 关| |________| |__________| 路由器和应用网关防火墙范例 防火墙系统可以是路由器，也可以是个人主机、主系统和一批主系统，专门把网 络或子网同那些可能被子网外的主系统滥用的协议和服务隔绝。防火墙系统通常位于等级较高的网关如网点与Internet的连接处，但是防火墙系统可以位于等级较低的网关, 以便为某些数量较少的主系统或子网提供保护。 防火墙基本上是一个独立的进程或一组紧密结合的进程，运行于Router or Server 来控制经过防火墙的网络应用程序的通信流量。一般来说，防火墙置于公共网络(如Inter- -net)人口处。它可以看作是交通警察。它的作用是确保一个单位内的网络与Internet之间所有的通信均符合该单位的安全方针。这些系统基本上是基于TCP/IP,并与实现方法有关，它能实施安全路障并为管理人员提供对下列问题的答案： * 谁在使用网络? * 他们在网上做什么? * 他们什么时间使用过网络?
华为交换机配置命令
华为交换机配置命令
华为交换机配置指令 视图切换指令
打开以太网端口：[Switch-ethernet port-id]undo shutdown 设置以太网端口描述字符串：[Switch-ethernet port-id]description text 设置以太网端口的双工模式：[Switch-ethernet port-id]duplex { auto| full| half } 设置以太网端口的速率：[Switch-ethernet port-id]speed { 10 | 100 | 1000 | auto } 设置以太网端口的MDI模式：[Switch-ethernet port-id]mdi {across| auto | normal } 开启以太网端口的流量控制功能：[Switch-ethernet port-id]flow-control display查看指令 查看版本信息：
华为USG防火墙配置
华为USG2000防火墙配置 USG2000防火墙基本设置： 外观 1个调试口（CONSOLE）； 2个以太网口（GE0/0/0和GE0/0/1，电口或者SFP光口任取一）； 1个reset按钮（操作不当访问不到防火墙时初始化出厂配置）。 初始配置 GE0/0/0配置为路由接口，IP地址为192.168.0.1 防火墙访问IP为192.168.0.1，登录用户名admin，密码Admin@123 USG2000防火墙配置过程中注意事项： 接口配置时，不要操作当前连接的端口，否则可能导致防火墙无法连接的情况。 这种情况下需要按‘reset’按钮初始化出厂配置。
USG2000防火墙配置步骤 一、配置防火墙的网络接口 1.连接GE0/0/0端口，访问19 2.168.0.1登录防火墙。 登录过程中出现证书错误，点击‘继续浏览此网站’继续。
输入用户名admin密码Admin@123登录防火墙。 登录后，弹出修改用户的初始密码的提示及快速向导。初始密码尽量不要修改。快速向导适于配置路由器模式，不适合I区和II区之间，直接点取消。
以上为USG2000基本配置界面。 现场配置所需要用到的只有网络和防火墙两个主菜单。 2.配置GE0/0/1端口 选择菜单网络/接口，在GE0/0/1行最后点配置。
别名设置‘安全II区端口’，选择模式‘交换’，连接类型选择为‘access’，点击应用。 3.添加Vlan接口 在接口页面中，点击新加，接口名称设置为‘配置接口’，类型设置为‘VLAN’，VALN ID 设置为‘1’，接口成员选择‘GE0/0/1’，连接类型设置为‘静态IP’，IP地址设置为‘192.168.1.100’，子网掩码设置为‘255.255.0.0’，最后点击应用。如下图所示 4.按照配置GE0/0/1的方法，配置GE0/0/0，将别名设为‘安全I区端口’。 注意：配置完成后，点击应用后，由于GE0/0/0的IP地址已变更，将无法访问到192.168.0.1。 5.关闭所有浏览器页面，然后重新开启浏览器，连接GE0/0/0，访问192.168.1.100。 修改刚添加的‘配置接口’的Vlan端口，将GE0/0/0添加到接口成员中。