华为交换机端口绑定限速镜像

2024/03/17 101次浏览

交流机装备（一）端口限速根本装备

华为3Com2000_EI、S20SI、S30SI、S3026E、S3526E、S35S35S39S30S50S50S5600系列:

华为交流机端口限速

2000_EI系列以上的交流机都能够限速!

限速不同的交流机限速的办法不一样!

2000_EI直接在端口视图下面输入LINE-RATE(4)参数可选!

端口限速装备

1功用需求及组网阐明

端口限速装备

『装备环境参数』

1.PC1和PC2的IP地址别离为10.10.1.1/10.10.1.2/24

『组网需求』

1.在SwitchA上装备端口限速，将PC1的下载速率约束在3Mbps，一起将PC1的上传速率约束在1Mbps

2数据装备进程

『S2000EI系列交流机端口限速装备流程』

运用以太网物理端口下面的line-rate指令，来对该端口的出、入报文进行流量限速。

【SwitchA相关装备】

1.进入端口E0/1的装备视图

[SwitchA]interfaceEthernet0/1

2.对端口E0/1的出方向报文进行流量限速，约束到3Mbps

[SwitchA-Ethernet0/1]line-rateoutbound30

3.对端口E0/1的入方向报文进行流量限速，约束到1Mbps

[SwitchA-Ethernet0/1]line-rateinbound16

【弥补阐明】

报文速率约束等级取值为1～127。假如速率约束等级取值在1～28规模内，则速率约束的粒度为64Kbps，这种状况下，当设置的等级为N，则端口上约束的速率巨细为N*64K；假如速率约束等级取值在29～127规模内，则速率约束的粒度为1Mbps，这种状况下，当设置的等级为N，则端口上约束的速率巨细为(N-27)*1Mbps。

此系列交流机的具体类型包括：S20EI、S20EI和S2403H-EI。

『S20SI和S30SI系列交流机端口限速装备流程』

运用以太网物理端口下面的line-rate指令，来对该端口的出、入报文进行流量限速。

【SwitchA相关装备】

1.进入端口E0/1的装备视图

[SwitchA]interfaceEthernet0/1

2.对端口E0/1的出方向报文进行流量限速，约束到6Mbps

[SwitchA-Ethernet0/1]line-rateoutbound2

3.对端口E0/1的入方向报文进行流量限速，约束到3Mbps

[SwitchA-Ethernet0/1]line-rateinbound1

【弥补阐明】

对端口发送或接纳报文约束的总速率，这儿以8个等级来表明，取值规模为1～意义为：端口作业在10M速率时，1～8别离表明312K，625K，938K，1.25M，2M，4M，6M，8M；端口作业在100M速率时，1～8别离表明3.12M，6.25M，9.38M，12.5M，20M，40M，60M，80M。

此系列交流机的具体类型包括：S2026C/Z-SI、S3026C/G/S-SI和E0SI。

『S3026E、S3526E、S30S50S5024系列交流机端口限速装备流程』

运用以太网物理端口下面的line-rate指令，对该端口的出方向报文进行流量限速；结合acl，运用以太网物理端口下面的traffic-limit指令，对端口的入方向报文进行流量限速。

【SwitchA相关装备】

1.进入端口E0/1的装备视图

[SwitchA]interfaceEthernet0/1

2.对端口E0/1的出方向报文进行流量限速，约束到3Mbps

[SwitchA-Ethernet0/1]line-rate3

3.装备acl，界说契合速率约束的数据流

[SwitchA]aclnumber4000

[SwitchA-acl-link-4000]rulepermitingressanyegressany

4.对端口E0/1的入方向报文进行流量限速，约束到1Mbps

[SwitchA-Ethernet0/1]traffic-limitinboundlink-group40001exceeddrop

【弥补阐明】

line-rate指令直接对端口的一切出方向数据报文进行流量约束，而traffic-limit指令有必要结合acl运用，对匹配了指定拜访操控列表规矩的数据报文进行流量约束。在装备acl的时期，也能够经过装备三层拜访规矩，来对指定的源或意图网段报文，进行端口的入方向数据报文进行流量约束。

端口收支方向限速的粒度为1Mbps。

此系列交流机的具体类型包括：S3026E/C/G/T、S3526E/C/EF、S3050C、S5012G/T和S5024G。

『S35S3552系列交流机端口限速装备流程』

运用以太网物理端口下面的traffic-shape和traffic-limit指令，别离来对该端口的出、入报文进行流量限速。

【SwitchA相关装备】

1.进入端口E0/1的装备视图

[SwitchA]interfaceEthernet0/1

2.对端口E0/1的出方向报文进行流量限速，约束到3Mbps

[SwitchA-Ethernet0/1]traffic-shape32503250

3.装备acl，界说契合速率约束的数据流

[SwitchA]aclnumber4000

[SwitchA-acl-link-4000]rulepermitingressanyegressany

4.对端口E0/1的入方向报文进行流量限速，约束到1Mbps

[SwitchA-Ethernet0/1]traffic-limitinboundlink-group00001500001000exceeddrop

【弥补阐明】

此系列交流机的具体类型包括：S3528G/P和S3552G/P/F。

『S3900系列交流机端口限速装备流程』

运用以太网物理端口下面的line-rate指令，对该端口的出方向报文进行流量限速；结合acl，运用以太网物理端口下面的traffic-limit指令，对匹配指定拜访操控列表规矩的端口入方向数据报文进行流量约束。

【SwitchA相关装备】

1.进入端口E1/0/1的装备视图

[SwitchA]interfaceEthernet1/0/1

2.对端口E0/1的出方向报文进行流量限速，约束到3Mbps

[SwitchA-Ethernet1/0/1]line-rate3000

3.装备acl，界说契合速率约束的数据流

[SwitchA]aclnumber4000

[SwitchA-acl-link-4000]rulepermitingressanyegressany

4.对端口E0/1的入方向报文进行流量限速，约束到1Mbps

[SwitchA-Ethernet1/0/1]traffic-limitinboundlink-group40001000exceeddrop

【弥补阐明】

端口收支方向限速的粒度为64Kbps。

此系列交流机的具体类型包括：S39S3928P/F/TP和S3952P。

『S5600系列交流机端口限速装备流程』

【SwitchA相关装备】

1.进入端口E1/0/1的装备视图

[SwitchA]interfaceEthernet1/0/1

2.对端口E0/1的出方向报文进行流量限速，约束到3Mbps

[SwitchA-Ethernet1/0/1]line-rate3000

3.装备acl，界说契合速率约束的数据流

[SwitchA]aclnumber4000

[SwitchA-acl-link-4000]rulepermitingressanyegressany

4.对端口E0/1的入方向报文进行流量限速，约束到1Mbps

[SwitchA-Ethernet1/0/1]traffic-limitinboundlink-group40001000exceeddrop

【弥补阐明】

端口收支方向限速的粒度为64Kbps。

此系列交流机的具体类型包括：S5624P/F和S5648P。

交流机装备（二）端口绑定根本装备

端口+MAC

a)AM指令

运用独特的AMUser-bind指令，来完结MAC地址与端口之间的绑定。例如：

[SwitchA]amuser-bindmac-address00efcf8d3interfaceEthernet0/1

装备阐明：因为运用了端口参数，则会以端口为参照物，即此刻端口E0/1只答应PC1上网，而运用其他未绑定的MAC地址的PC机则无法上网。可是PC1运用该MAC地址能够在其他端口上网。

b)mac-address指令

运用mac-addressstatic指令，来完结MAC地址与端口之间的绑定。例如：

[SwitchA]mac-addressstatic00efcf8d3interfaceEthernet0/1vlan1

[SwitchA]mac-addressmax-mac-count0

装备阐明：因为运用了端口学习功用，故静态绑定mac后，需再设置该端口mac学习数为使其他PC接入此端口后其mac地址无法被学习。

IP+MAC

a)AM指令

运用独特的AMUser-bind指令，来完结IP地址与MAC地址之间的绑定。例如：

[SwitchA]

装备阐明：以上装备完结对PC机的IP地址和MAC地址的大局绑定，即与绑定的IP地址或许MAC地址不同的PC机，在任何端口都无法上网。

支撑类型：S3026E/EF/C/G/T、S3026C-PWR、E026/E026T、S3050C、E0S3526E/C/EF、S5012T/G、S5024G

b)arp指令

运用独特的arpstatic指令，来完结IP地址与MAC地址之间的绑定。例如：

[SwitchA]

装备阐明：以上装备完结对PC机的IP地址和MAC地址的大局绑定。

端口+IP+MAC

运用独特的AMUser-bind指令，来完结IP、MAC地址与端口之间的绑定。例如：

[SwitchA]/1

装备阐明：能够完结将PC1的IP地址、MAC地址与端口E0/1之间的绑定功用。因为运用了端口参数，则会以端口为参照物，即此刻端口E0/1只答应PC1上网，而运用其他未绑定的IP地址、MAC地址的PC机则无法上网。可是PC1运用该IP地址和MAC地址能够在其他端口上网。

支撑类型：S3026E/S3026E-FM/S30FS；S3026G；S3026C；S3026C-PWR；E3026；E050；S3526E/C;S3526E-FM/FS;S5012T/G、S5024G、S39S56S6500(3代引擎)

交流机装备（三）ACL根本装备

二层ACL

.组网需求:

经过二层拜访操控列表，完结在每天8:00～18:00时刻段内对源MAC为00efc0101意图MAC为00efc0303报文的过滤。该主机从GigabitEthernet0/1接入。

.装备进程:

(1)界说时刻段

进入根据姓名的二层拜访操控列表视图，命名为traffic-of-link。

[Quidway]aclnametraffic-of-linklink

将traffic-of-link的ACL激活。

[Quidway-GigabitEthernet0/1]packet-filterlink-grouptraffic-of-link

三层ACL

a)根本拜访操控列表装备事例

.组网需求:

经过根本拜访操控列表，完结在每天8:00～18:00时刻段内对源IP为10.1.1.1主机宣布报文的过滤。该主机从GigabitEthernet0/1接入。

.装备进程:

(1)界说时刻段

进入根据姓名的根本拜访操控列表视图，命名为traffic-of-host。

[Quidway]aclnametraffic-of-hostbasic

将traffic-of-host的ACL激活。

[Quidway-GigabitEthernet0/1]packet-filterinboundip-grouptraffic-of-host

b)高档拜访操控列表装备事例

.组网需求:

公司企业网经过Switch的端口完结各部分之间的互连。研发部分的由GigabitEthernet0/1端口接入，薪酬查询服务器的地址为129.110.1.2。要求正确装备ACL，约束研发部分在上班时刻8:00至18:00拜访薪酬服务器。

.装备进程:

(1)界说时刻段

进入根据姓名的高档拜访操控列表视图，命名为traffic-of-payserver。

[Quidway]aclnametraffic-of-payserveradvanced

将traffic-of-payserver的ACL激活。

[Quidway-GigabitEthernet0/1]packet-filterinboundip-grouptraffic-of-payserver

常见病毒的ACL

创立acl

aclnumber100

禁ping

ruledenyicmpsourceanydestinationany

用于操控Blaster蠕虫的传达

ruledenyudpsourceanydestinationanydestination-porteq69

ruledenytcpsourceanydestinationanydestination-porteq4444

用于操控冲击波病毒的扫描和进犯

ruledenytcpsourceanydestinationanydestination-porteq135

ruledenyudpsourceanydestinationanydestination-porteq135

ruledenyudpsourceanydestinationanydestination-porteqnetbios-ns

ruledenyudpsourceanydestinationanydestination-porteqnetbios-dgm

ruledenytcpsourceanydestinationanydestination-porteq139

ruledenyudpsourceanydestinationanydestination-porteq139

ruledenytcpsourceanydestinationanydestination-porteq445

ruledenyudpsourceanydestinationanydestination-porteq445

ruledenyudpsourceanydestinationanydestination-porteq593

ruledenytcpsourceanydestinationanydestination-porteq593

用于操控振荡波的扫描和进犯

ruledenytcpsourceanydestinationanydestination-porteq445

ruledenytcpsourceanydestinationanydestination-porteq5554

ruledenytcpsourceanydestinationanydestination-porteq9995

ruledenytcpsourceanydestinationanydestination-porteq9996

用于操控Worm_蠕虫的传达

ruledenyudpsourceanydestinationanydestination-porteq1434

下面的不出名的病毒端口号（能够不作）

ruledenytcpsourceanydestinationanydestination-porteq1068

ruledenytcpsourceanydestinationanydestination-porteq5800

ruledenytcpsourceanydestinationanydestination-porteq5900

ruledenytcpsourceanydestinationanydestination-porteq10080

ruledenytcpsourceanydestinationanydestination-porteq455

ruledenyudpsourceanydestinationanydestination-porteq455

ruledenytcpsourceanydestinationanydestination-porteq3208

ruledenytcpsourceanydestinationanydestination-porteq1871

ruledenytcpsourceanydestinationanydestination-porteq4510

ruledenyudpsourceanydestinationanydestination-porteq4334

ruledenytcpsourceanydestinationanydestination-porteq4331

ruledenytcpsourceanydestinationanydestination-porteq4557

然后下发装备

packet-filterip-group100

意图：针对现在网上呈现的问题，对意图是端口号为1434的UDP报文进行过滤的装备办法，具体和杂乱的装备请看装备手册。

NE80的装备：

NE80(config)acla1r1deny

//a1为acl的姓名，r1为要绑定的rule-map的姓名，

NE80(config-if-Ethernet1/0/0)firewallenableall

//首要发动防火墙

NE4(config)ipaccess-group101in

//在接口上启用access-list，in表明进来的报文，也能够用out表明出去的报文

中低端路由器的装备

[Router]firewallenable

[Router]acl101

[Router-acl-101]ruledenyudpsourceanydestionanydestination-porteq1434

[Router-Ethernet0]firewallpacket-filter101inbound

6506产品的装备：

旧指令行装备如下：

6506(config)access-groupaaa

国际化新指令行装备如下：

[Quidway]aclnumber100

[Quidway-acl-adv-100]ruledenyudpsourceanydestinationanydestination-porteq1434

[Quidway-acl-adv-100]quit

[Quidway]interfaceethernet5/0/1

[Quidway-Ethernet5/0/1]packet-filterinboundip-group100not-care-for-interface

5516产品的装备：

旧指令行装备如下：

5516(config)flow-actionfffdeny

5516(config)access-groupbbb

国际化新指令行装备如下：

[Quidway]aclnum100

[Quidway-acl-adv-100]ruledenyudpsourceanydestinationanydestination-porteq1434

[Quidway]packet-filterip-group100

3526产品的装备：

旧指令行装备如下：

flow-actionf1deny

aclacl1r1f1

access-groupacl1

国际化新指令装备如下：

aclnumber100

packet-filterip-group101rule0

注：3526产品只能装备外网对内网的过滤规矩，其间1.1.0.0255.255.0.0是内网的地址段。

8016产品的装备：

旧指令行装备如下：

8016(config)aclbbbaaadeny

8016(config)rule-mapintervlanaaaudpanyanyeq1434

8016(config)access-groupeaclbbbvlan10portall

避免同网段ARP诈骗的ACL

一、组网需求：

1.二层交流机阻挠网络用户仿冒网关IP的ARP进犯

二、组网图：

图1二层交流机防ARP进犯组网

S3552P是三层设备，其间IP：100.1.1.1是一切PC的网关，S3552P上的网关MAC地址为000f-e23999。PC-B上装有ARP进犯软件。现在须要对S3026C_A进行一些独特装备，意图是过滤掉仿冒网关IP的ARP报文。

三、装备进程

关于二层交流机如S3026C等支撑用户自界说ACL（number为5000到5999）的交流机，能够装备ACL来进行ARP报文过滤。

大局装备ACL制止一切源IP是网关的ARP报文

aclnum5000

rule0deny0806ffff2464010101ffffffff40

rule1permit0806ffff24000fe2003999ffffffffffff34

其间rule0把整个S3026C_A的端口假充网关的ARP报文禁掉，其间斜体部分64010101是网关IP地址100.1.1.1的16进制表明办法。Rule1答应经过网关发送的ARP报文，斜体部分为网关的mac地址000f-e23999。

留意：装备Rule时的装备次序，上述装备为先下发后收效的状况。

在S3026C-A体系视图下发acl规矩：

[S3026C-A]packet-filteruser-group5000

这样只要S3026C_A上连网关设备才干够发送网关的ARP报文，其它主机都不能发送假充网关的arp呼应报文。

三层交流机完结仿冒网关的ARP防进犯

一、组网需求：

1.三层交流机完结避免同网段的用户仿冒网关IP的ARP进犯

二、组网图

图2三层交流机防ARP进犯组网

三、装备进程

1.关于三层设备，须要装备过滤源IP是网关的ARP报文的ACL规矩，装备如下ACL规矩：

aclnumber5000

rule0deny0806ffff2464010105ffffffff40

rule0制止S3526E的一切端口接纳假充网关的ARP报文，其间斜体部分64010105是网关IP地址100.1.1.5的16进制表明办法。

2.下发ACL到大局

[S3526E]packet-filteruser-group5000

仿冒别人IP的ARP防进犯

一、组网需求：

作为网关的设备有可能会呈现过错ARP的表项，因而在网关设备上还需对用户仿冒别人IP的ARP进犯报文进行过滤。

二、组网图：

拜见图1和图2

三、装备进程：

1.如图1所示，当PC-B发送源IP地址为PC-D的arpreply进犯报文，源mac是PC-B的mac(000d-88f09fa)，源ip是PC-D的ip(100.1.1.3)，意图ip和mac是网关（3552P）的，这样3552上就会学习到过错的arp，如下所示：

---------------------过错arp表项--------------------------------

IPAddressMACAddressVLANIDPortNameAgingType

100.1.1.4000d-88f09fa1Ethernet0/220Dynamic

100.1.1.3000f-3d45b41Ethernet0/220Dynamic

从网络衔接能够知道PC-D的arp表项应该学习到端口E0/8上，而不应该学习到E0/2端口上。但实践上交流机上学习到该ARP表项在E0/2。上述现象能够在S3552上装备静态ARP完结防进犯：

2.在图2S3526C上也能够装备静态ARP来避免设备学习到过错的ARP表项。

3.关于二层设备（S3050C和S3026E系列），除了能够装备静态ARP外，还能够装备IP＋MAC＋port绑定，比方在S3026C端口E0/4上做如下操作：

则IP为100.1.1.4并且MAC为000d-88f09fa的ARP报文能够经过E0/4端口，仿冒其它设备的ARP报文则无法经过，然后不会呈现过错ARP表项。

四、装备要害点：

此处只是列举了部分QuidwayS系列以太网交流机的运用。在实践的网络运用中，请根据装备手册承认该产品是否支撑用户自界说ACL和地址绑定。只是具有上述功用的交流机才干避免ARP诈骗。

关于ACL规矩匹配的阐明

a)ACL直接下发到硬件中的状况

交流机中ACL能够直接下发到交流机的硬件中用于数据转发历程中的过滤和流分类。此刻一条ACL中多个子规矩的匹配次序是由交流机的硬件决议的，用户即便在界说ACL时装备了匹配次序也不起作用。

ACL直接下发到硬件的状况包括：交流机完结QoS功用时引证ACL、硬件转发时经过ACL过滤转发数据等。

b)ACL被上层模块引证的状况

交流机也运用ACL来对由软件处理的报文进行过滤和流分类。此刻ACL子规矩的匹配次序有两种：config（指定匹配该规矩时按用户的装备次序）和auto（指定匹配该规矩时体系主动排序，即按"深度优先"的次序）。这种状况下用户能够在界说ACL的时期指定一条ACL中多个子规矩的匹配次序。用户一旦指定某一条拜访操控列表的匹配次序，就不能再更改该次序。只要把该列表中一切的规矩悉数删去后，才干从头指定其匹配次序。

ACL被软件引证的状况包括：路由战略引证ACL、对登录用户进行操控时引证ACL等。

交流机装备（四）暗码康复

阐明：以下办法将删去原有config文件，使设备康复到出厂装备。

在设备重启时按Ctrl+B进入BOOTMENU之后，

PressCtrl-BtoenterBootMenu5

Password:缺省为空，回车即可

1.Downloadapplicationfiletoflash

2.Selectapplicationfiletoboot

3.Displayallfilesinflash

4.DeletefilefromFlash

5.Modifybootrompassword

0.Reboot

Enteryourchoice(5):4挑选4

(bytes)

===========================================================================

3snmpboots4

5hostkey428

6serverkey572

FreeSpace:3452928bytes

Pleaseinputthefilenumbertodelete:7挑选7,删去当时的装备文件

?YesorNo(Y/N)y

BOOTMENU

1.Downloadapplicationfiletoflash

2.Selectapplicationfiletoboot

3.Displayallfilesinflash

4.DeletefilefromFlash

5.Modifybootrompassword

0.Reboot

Enteryourchoice(5):0挑选0,重启设备

注：删去之后交流机就康复了出厂装备。

交流机装备（五）三层交流装备

三层交流数据包转发流程图：

三层交流机装备实例：

服务器1双网卡，内网IP:192.168.0.其它估算机经过其署理上网

PORT1归于VLAN1

PORT2归于VLAN2

PORT3归于VLAN3

VLAN1的机器能够正常上网

装备VLAN2的估算机的网关为：192.168.1.254

装备VLAN3的估算机的网关为：192.168.2.254

即可完结VLAN间互联

假如VLAN2和VLAN3的估算机要经过服务器1上网

则需在三层交流机上装备默许路由

体系视图下：

然后再在服务器1上装备回程路由

进入指令提示符

这个时期vlan2和vlan3中的估算机就能够经过服务器1拜访internet了~~

三层交流机VLAN之间的通讯

VLAN的区分应与IP规划结合起来，使得一个VLAN接口IP便是对应的子网段便是某个部分的子网段，VLAN接口IP便是一个子网关。VLAN应以部分区分，相同部分的主机IP以VLAN接口IP为根据划归在一个子网规模，同归于一个VLAN。这样不仅在安全上有利，并且更便利网络办理员的办理和监控。留意：各VLAN中的客户机的网关别离对应各VLAN的接口IP。

在这企业网中打算规划四个VLAN子网对应着四个重要部分，笔者以为这也是小企业最遍及的部分结构，别离是：

VLAN10——归纳行政办公室；

VLAN20——销售部；

VLAN30——财务部；

VLAN40——数据中心（网络中心）。

区分VLAN今后，要为每一个VLAN配一个"虚拟接口IP地址"。

VLAN10——192.168.10.1

VLAN20——192.168.20.1

VLAN30——192.168.30.1

VLAN40——192.168.40.1

拓朴图如下：

VLAN及路由装备

1.DES-3326SR三层交流机的VLAN的装备历程：

（1）创立VLAN

DES-3326SRCreatevlanvlan10tag10创立VLAN名为vlan并符号VID为10

DES-3326SRCreatevlanvlan30tag30创立VLAN名为vlan并符号VID为30

DES-3326SRConfigvlanvlan10adduntag6把端口6添加到VLAN10

DES-3326SRConfigvlanvlan30adduntag18把端口6添加到VLAN30

/24VLAN10stateenabled创立虑拟的接口if10给名为VLAN10的VLAN子网，并且指定该接口的IP为192.168.10.1/24。创立后enabled激活该接口。

相同办法设置其它的接口IP：

/24VLAN30stateenabled

DES-3326SRConfigvlandefaultdelete24删去默许VLAN(default)包括的端口24''

DES-3226SConfigvlanvlan10adduntag24把端口24添加到VLAN10

同理，装备其它DES-3226S二层交流机。完结今后就能够将各个所属VLAN的二层交流机与DES-3326SR三层交流机的相应VLAN的端口衔接即可。

交流机装备（六）端口镜像装备

【3026等交流机镜像】

S2008/S2016/S2026/S2403H/S3026等交流机支撑的都是根据端口的镜像，有两种办法：

办法一

1.装备镜像（观测）端口

[SwitchA]monitor-porte0/8

2.装备被镜像端口

[SwitchA]portmirrorEthernet0/1toEthernet0/2

办法二

1.能够一次性界说镜像和被镜像端口

[SwitchA]portmirrorEthernet0/1toEthernet0/2observing-portEthernet0/8

【8016交流机端口镜像装备】

1.假定8016交流机镜像端口为E1/0/被镜像端口为E1/0/设置端口1/0/15为端口镜像的观测端口。

[SwitchA]portmonitorethernet1/0/15

2.设置端口1/0/0为被镜像端口，对其输入输出数据都进行镜像。

[SwitchA]portmirroringethernet1/0/0bothethernet1/0/15

也能够经过两个不同的端口，对输入和输出的数据别离镜像

1.设置E1/0/15和E2/0/0为镜像（观测）端口

[SwitchA]portmonitorethernet1/0/15

2.设置端口1/0/0为被镜像端口，别离运用E1/0/15和E2/0/0对输入和输出数据进行镜像。

[SwitchA]portmirroringgigabitethernet1/0/0ingressethernet1/0/15

[SwitchA]portmirroringgigabitethernet1/0/0egressethernet2/0/0

『根据流镜像的数据流程』

根据流镜像的交流机针对某些流进行镜像，每个衔接都有两个方向的数据流，关于交流机来说这两个数据流是要分隔镜像的。

【3500/3026E/3026F/3050】

〖根据三层流的镜像〗

1.界说一条扩展拜访操控列表

[SwitchA]aclnum101

2.界说一条规矩报文源地址为1.1.1.1/32去往一切意图地址

[SwitchA-acl-adv-101]

3.界说一条规矩报文源地址为一切源地址意图地址为1.1.1.1/32

[SwitchA-acl-adv-101]

4.将契合上述ACL规矩的报文镜像到E0/8端口

[SwitchA]mirrored-toip-group101interfacee0/8

〖根据二层流的镜像〗

1.界说一个ACL

[SwitchA]aclnum200

2.界说一个规矩从E0/1发送至其它一切端口的数据包

[SwitchA]rule0permitingressinterfaceEthernet0/1(egressinterfaceany)

3.界说一个规矩从其它一切端口到E0/1端口的数据包

[SwitchA]rule1permit(ingressinterfaceany)egressinterfaceEthernet0/1

4.将契合上述ACL的数据包镜像到E0/8

[SwitchA]mirrored-tolink-group200interfacee0/8

【5516】

支撑对入端口流量进行镜像

装备端口Ethernet3/0/1为监测端口，对Ethernet3/0/2端口的入流量镜像。

[SwitchA]mirrorEthernet3/0/2ingress-toEthernet3/0/1

【6506/6503/6506R】

现在该三款产品只支撑对入端口流量进行镜像，虽然有outbount参数，可是无法装备。

镜像组名为监测端口为Ethernet4/0/端口Ethernet4/0/1的入流量被镜像。

[SwitchA]mirroring-group1inboundEthernet4/0/1mirrored-toEthernet4/0/2

【弥补阐明】

1.镜像一般都能够完结高速率端口镜像低速率端口，例如1000M端口能够镜像100M端口，反之则无法完结

2.8016支撑跨单板端口镜像

华为各种类型交流机端口镜像装备办法总结

有不少朋友在问华为交流机镜像方面的问题。经过自己现有的材料和文档，现把各种类型的交流机镜像办法总结一下。以便各位朋友能够便利查阅！在学装备之前，关于端口镜像的根本概念仍是要必定的了解！

一、端口镜像概念：

PortMirror(端口镜像）是用于进行网络功用监测。能够这样了解：在端口A和端口B之间树立镜像联系，这样，经过端口A传输的数据将一起复制到端口B，以便于在端口B上衔接的剖析仪或许剖析软件进行功用剖析或毛病判别。

二、端口镜像装备

『环境装备参数』

1.PC1接在交流机E0/1端口，IP地址1.1.1.1/24

2.PC2接在交流机E0/2端口，IP地址2.2.2.2/24

3.E0/24为交流机上行端口

4.Server接在交流机E0/8端口，该端口作为镜像端口

『组网需求』

1.经过交流机端口镜像的功用运用server对两台pc的事务报文进行监控。

2.依照镜像的不同办法进行装备：

1)根据端口的镜像

2)根据流的镜像

2数据装备进程

『端口镜像的数据流程』

根据端口的镜像是把被镜像端口的进出数据报文彻底复制一份到镜像端口，这样来进行流量观测或许毛病定位。

【3026等交流机镜像】

S2008/S2016/S2026/S2403H/S3026等交流机支撑的都是根据端口的镜像，有两种办法：

办法一

1.装备镜像（观测）端口

[SwitchA]monitor-porte0/8

2.装备被镜像端口

[SwitchA]portmirrorEthernet0/1toEthernet0/2

办法二

1.能够一次性界说镜像和被镜像端口

[SwitchA]portmirrorEthernet0/1toEthernet0/2observing-portEthernet0/8

【8016交流机端口镜像装备】

1.假定8016交流机镜像端口为E1/0/被镜像端口为E1/0/设置端口1/0/15为端口镜像的观测端口。

[SwitchA]portmonitorethernet1/0/15

2.设置端口1/0/0为被镜像端口，对其输入输出数据都进行镜像。

[SwitchA]portmirroringethernet1/0/0bothethernet1/0/15

也能够经过两个不同的端口，对输入和输出的数据别离镜像

1.设置E1/0/15和E2/0/0为镜像（观测）端口

[SwitchA]portmonitorethernet1/0/15

2.设置端口1/0/0为被镜像端口，别离运用E1/0/15和E2/0/0对输入和输出数据进行镜像。

[SwitchA]portmirroringgigabitethernet1/0/0ingressethernet1/0/15

[SwitchA]portmirroringgigabitethernet1/0/0egressethernet2/0/0

『根据流镜像的数据流程』

根据流镜像的交流机针对某些流进行镜像，每个衔接都有两个方向的数据流，关于交流机来说这两个数据流是要分隔镜像的。

【3500/3026E/3026F/3050】

〖根据三层流的镜像〗

1.界说一条扩展拜访操控列表

[SwitchA]aclnum100

2.界说一条规矩报文源地址为1.1.1.1/32去往一切意图地址

[SwitchA-acl-adv-101]

3.界说一条规矩报文源地址为一切源地址意图地址为1.1.1.1/32

[SwitchA-acl-adv-101]

4.将契合上述ACL规矩的报文镜像到E0/8端口

[SwitchA]mirrored-toip-group100interfacee0/8

〖根据二层流的镜像〗

1.界说一个ACL

[SwitchA]aclnum200

2.界说一个规矩从E0/1发送至其它一切端口的数据包

[SwitchA]rule0permitingressinterfaceEthernet0/1egressinterfaceEthernet0/2

3.界说一个规矩从其它一切端口到E0/1端口的数据包

[SwitchA]rule1permitingressinterfaceEthernet0/2egressinterfaceEthernet0/1

4.将契合上述ACL的数据包镜像到E0/8

[SwitchA]mirrored-tolink-group200interfacee0/8

【5516/6506/6503/6506R】

现在该三款产品支撑对入端口流量进行镜像

1.界说镜像端口

[SwitchA]monitor-portEthernet3/0/2

2.界说被镜像端口

[SwitchA]mirroring-portEthernet3/0/1inbound

【弥补阐明】

1.镜像一般都能够完结高速率端口镜像低速率端口，例如1000M端口能够镜像100M端口，反之则无法完结

2.8016支撑跨单板端口镜像端口镜像装备

『环境装备参数』

交流机装备（七）DHCP装备

交流机作DHCPServer

『装备环境参数』

1.PCPC2的网卡均选用动态获取IP地址的办法

2.PC1衔接到交流机的以太网端口0/归于VLAN10；PC2衔接到交流机的以太网端口0/归于VLAN20

3.三层交流机SwitchA的VLAN接口10地址为10.1.1.1/VLAN接口20地址为10.1.2.1/24

『组网需求』

1.PC1能够动态获取10.1.1.0/24网段地址，并且网关地址为10.1.1.1；PC2能够动态获取10.1.2.0/24网段地址，并且网关地址为10.1.2.1

『DHCPServer装备流程流程』

能够完结对直接衔接到三层交流机的PC机分配IP地址，也能够对经过DHCP中继设备衔接到三层交流机的PC机分配IP地址。

分配地址的办法能够选用接口办法，或许大局地址池办法。

【SwitchA选用接口办法分配地址相关装备】

1.创立（进入）VLAN10

[SwitchA]vlan10

2.将E0/1加入到VLAN10

[SwitchA-vlan10]portEthernet0/1

3.创立（进入）VLAN接口10

[SwitchA]interfaceVlan-interface10

4.为VLAN接口10装备IP地址

[SwitchA-Vlan-interface10]

5.在VLAN接口10上挑选接口办法分配IP地址

[SwitchA-Vlan-interface10]dhcpselectinterface

6.制止将PC机的网关地址分配给用户

[SwitchA]

【SwitchA选用大局地址池办法分配地址相关装备】

1.创立（进入）VLAN10

[SwitchA]vlan10

2.将E0/1加入到VLAN10

[SwitchA-vlan10]portEthernet0/1

3.创立（进入）VLAN接口10

[SwitchA]interfaceVlan-interface10

4.为VLAN接口10装备IP地址

[SwitchA-Vlan-interface10]

5.在VLAN接口10上挑选大局地址池办法分配IP地址

[SwitchA-Vlan-interface10]dhcpselectglobal

6.创立大局地址池，并命名为"vlan10"

[SwitchA]dhcpserverip-poolvlan10

7.装备vlan10地址池给用户分配的地址规模以及用户的网关地址

[SwitchA-dhcp-vlan10]

8.制止将PC机的网关地址分配给用户

[SwitchA]

【弥补阐明】

以上装备以VLAN10的为例，VLAN20的装备参照VLAN10的装备即可。在选用大局地址池办法时，需新建一个与"vlan10"不同名的大局地址池。

经过以上装备，能够完结为PC1分配的IP地址为10.1.1.0/一起PC1的网关地址为10.1.1.1；为PC2分配的IP地址为10.1.2.0/一起PC2的网关地址为10.1.2.1。

VLAN接口默许状况下以大局地址池办法进行地址分配，因而当VLAN接口装备了以大局地址池办法进行地址分配后，检查交流机当时装备时，在相应的VLAN接口下无法看到有关DHCP的装备。

运用大局地址池办法，能够完结为用户分配与三层交流机自身VLAN接口地址不同网段的IP地址。

DHCPRelay装备

『装备环境参数』

1.DHCPServer的IP地址为192.168.0.10/24

2.DHCPServer衔接在交流机的G1/1端口，归于vlan1网关即交流机vlan接口100的地址192.168.0.1/24

3.E0/E0/10归于vlan网段地址10.10.1.1/24

4.E0/E0/20归于vlan网段地址10.10.2.1/24

『组网需求』

1.在SwitchA上装备DHCPRelay使下面用户动态获取指定的相应网段的IP地址

2.PCPC2均能够ping通自己的网关，一起PCPC2之间能够互访

『交流机DHCPRelay装备流程』

DHCPRelay的作用则是为了习惯客户端和服务器不在同一网段的状况，经过Relay，不同子网的用户能够到同一个DHCPServer请求IP地址，这样便于地址池的办理和维护。

【SwitchA相关装备】

1.大局使能DHCP功用（缺省状况下，DHCP功用处于使能状况）

[SwitchA]dhcpenable

2.创立（进入）VLAN100

[SwitchA]vlan100

3.将G1/1加入到VLAN100

[SwitchA-vlan100]portGigabitEthernet1/1

4.创立（进入）VLAN接口100

[SwitchA]interfaceVlan-interface100

5.为VLAN接口100装备IP地址

[SwitchA-Vlan-interface100]

6.创立（进入）VLAN10

[SwitchA]vlan10

7.将E0/E0/10加入到VLAN10

[SwitchA-vlan10]portEthernet0/1toEthernet0/10

8.创立（进入）VLAN接口10

[SwitchA]interfaceVlan-interface10

9.为VLAN接口10装备IP地址

[SwitchA-Vlan-interface10]

10.使能VLAN接口10的DHCP中继功用

[SwitchA-Vlan-interface10]dhcpselectrelay

11.为VLAN接口10装备DHCP服务器的地址

[SwitchA-Vlan-interface10]

12.创立（进入）VLAN20

[SwitchA-vlan10]vlan20

13.将E0/E0/20加入到VLAN20

[SwitchA-vlan20]portEthernet0/11toEthernet0/20

14.创立（进入）VLAN接口20

[SwitchA]interfaceVlan-interface20

15.为VLAN接口20装备IP地址

[SwitchA-Vlan-interface20]

16.使能VLAN接口20的DHCP中继功用

[SwitchA-Vlan-interface20]dhcpselectrelay

17.为VLAN接口20装备DHCP服务器的地址

[SwitchA-Vlan-interface20]

【弥补阐明】

也能够在大局装备形式下，使能某个或某些VLAN接口上的DHCP中继功用，例如：[SwitchA]dhcpselectrelayinterfaceVlan-interface10

DHCPSnooping

『装备环境参数』

1.DHCPServer衔接在交流机SwitchA的G1/1端口，归于vlanIP地址为10.10.1.253/24

2.端口E0/1和E0/2同归于vlan10

『组网需求』

1.PCPC2均能够从指定DHCPServer获取到IP地址

2.避免其他不合法的DHCPServer影响网络中的主机

『交流机DHCP-Snooping装备流程』

当交流机敞开了DHCP-Snooping后，会对DHCP报文进行侦听，并能够从接纳到的DHCPRequest或DHCPAck报文中提取并记载IP地址和MAC地址信息。别的，DHCP-Snooping答应将某个物理端口设置为信赖端口或不信赖端口。信赖端口能够正常接纳并转发DHCPOffer报文，而不信赖端口会将接纳到的DHCPOffer报文丢掉。这样，能够完结交流机对假充DHCPServer的屏蔽作用，确保客户端从合法的DHCPServer获取IP地址。

【SwitchA相关装备】

1.创立（进入）VLAN10

[SwitchA]vlan10

2.将端口E0/E0/2和G1/1加入到VLAN10

[SwitchA-vlan10]portEthernet0/1Ethernet0/2GigabitEthernet1/1

3.大局使能dhcp-snooping功用

[SwitchA]dhcp-snooping

4.将端口G1/1装备为trust端口，

[SwitchA-GigabitEthernet1/1]dhcp-snoopingtrust

【弥补阐明】

因为DHCP服务器提供给用户包括了服务器分配给用户的IP地址的报文――"dhcpoffer"报文，由G1/1端口进入SwitchA并进行转发，因而须要将端口G1/1装备为"trust"端口。假如SwitchA上行接口装备为Trunk端口，并且衔接到DHCP中继设备，也须要将上行端口装备为"trust"端口。

交流机装备（八）装备文件办理

（1）文件常用操作

指令displaycurrent-configuration:检查以太网交流机的当时装备

指令displaysaved-configuration：检查以太网交流机的发动装备

指令resetsaved-configuration：擦除FlashMemory中的装备文件，以太网交流机下次上电时，体系将选用缺省的装备参数进行初始化。

（2）FTP文件上传与下载

1.组网需求

交流机作为FTPServer，远端的PC作为FTPClient。在FTPServer上作了如下装备：装备了一个FTP用户名为switch，暗码为hello，对该用户授权了交流机上Flash根目录的读写权限。交流机上的一个VLAN接口的IP地址为1.1.1.PC的IP地址为2.2.2.交流机和PC之间路由可达。

交流机的运用程序保存在PC上。PC经过FTP向远端的交流机上传，一起将交流机的装备文件下载到PC完结装备文件的备份。

2.组网图（略）

3.装备进程

1)交流机上的装备

在交流机上敞开FTP服务，设置好用户名、暗码和途径：

[Quidway]ftpserverenable

[Quidway]local-userswitch

[Quidway-luser-switch]service-typeftpftp-directoryflash:

[Quidway-luser-switch]passwordsimplehello

2)在PC上运转FTPClient程序，同交流机树立FTP衔接，一起经过上载操作把交流机的运用程序上载到交流机的Flash根目录下，一起从交流机上下载装备文件。FTPClient运用程序由用户自己购买、装置，Quidway系列交流机不顺便此软件。

留意：假如交流机的Flashmemory空间不够大，请删去Flash华夏有的运用程序然后再上载新的运用程序到交流机Flash中。

3)在上载结束后，用户在交流机上进行晋级操作。

用户登录到交流机上。（用户能够在本地经过Console口登录到交流机上，也能够经过telnet长途登录到交流机上。各种登录办法请拜见入门模块的描绘。）

留意：假如交流机的Flashmemory空间不够大，请删去Flash华夏有的运用程序然后再下载新的运用程序到交流机的Flash中。

装备VLAN接口的IP地址为1.1.1.一起确保与PC相连的端口归于这个VLAN。（本例中以VLAN1为例。）

[Quidway]interfacevlan1

[Quidway-vlan-interface1]

[Quidway-vlan-interface1]quit

将交流机的装备文件上传到TFTPServer。

[Quidway]//1.1.1.2/

用户能够经过指令bootboot-loader来指定下载的程序为下次发动时的运用程序，然后重启交流机，完结交流机运用程序的晋级。

reboot

交流机装备（九）长途办理装备

WEB办法

『WEB办法长途办理交流机装备流程』

首要必备条件要确保PC能够与SwitchB通讯，比方PC能够ping通SwitchB。

假如想经过WEB办法办理交流机，有必要首要将一个用于支撑WEB办理的文件载入交流机的flash中，该文件须要与交流机当时运用的软件版别相配套。WEB办理文件的扩展名为"tar"或许"zip"，能够从网站上下载相应的交流机软件版别时得到。

须要在交流机上添加WEB办理运用的用户名及暗码，该用户的类型为telnet类型，并且权限为最高等级3。

留意，在将WEB办理文件载入交流机flash时，不要将文件进行解压缩，只需将完好的文件载入交流机即可(向交流机flash载入WEB办理文件的办法，请参阅本装备实例中交流机的体系办理装备章节)。

【SwitchB相关装备】

1.检查交流机flash里边的文件(确保WEB办理文件已经在交流机flash中)

dir/all

Directoryofflash:/

-rwxrwx1noonenogroup442797Apr02200013:09:50

2.添加WEB办理的用户，用户类型为"telnet"，用户名为"huawei"，暗码为"wnm"

[SwitchB]local-userhuawei

[SwitchB-luser-huawei]service-typetelnetlevel3

[SwitchB-luser-huawei]passwordsimplewnm

3.装备交流机办理地址

[SwitchB]interfacevlan100

[SwitchB-Vlan-interface100]

4.对HTTP拜访用户的操控（Option）

[SwitchB]iphttpaclacl_num/acl_name

维克百科网

华为交换机端口绑定限速镜像

友情链接：