华为交换机-CSDN博客

3.
SwitchB允许其它任意网段的地址telnet访问

2
数据配置步骤『PC管理交换机的流程』
1.
如果一台PC想远程TELNET到一台设备上，首先要保证能够二者之间正常通信。SwitchA为三层交换机，可以有多个三层虚接口，它的管理vlan可以是任意一个具有三层接口并配置了IP地址的vlan
2.
SwitchB为二层交换机，只有一个二层虚接口，它的管理vlan即是对应三层虚接口并配置了IP地址的vlan
3.
Telnet用户登录时，缺省需要进行口令认证，如果没有配置口令而通过Telnet登录，则系统会提示“password required, but none set.”。
【SwitchA相关配置】
PC在vlan100内，交换机上对应的端口为E0/10-E0/20
1.
创建（进入）vlan100
[SwitchA]vlan 100
2.
将E0/10-E0/20加入到vlan10里
[SwitchA-vlan100] port Ethernet 0/10 to Ethernet 0/20
3.
创建vlan100的虚接口
[SwitchA]interface Vlan-interface 100
4.
给vlan100的虚接口配置IP地址
[SwitchA-Vlan-interface100]ip address 10.10.10.1 255.255.255.0
5.
创建（进入）vlan10
[SwitchA]vlan 10
6.
将连接SwitchB的E0/1加入vlan10
[SwitchA-vlan10] port Ethernet 0/1
7.
创建（进入）vlan10的虚接口
[SwitchA]interface Vlan-interface 10
8.
给vlan10的虚接口配置IP地址
[SwitchA-Vlan-interface10]ip address 192.168.0.1 255.255.255.0
【SwitchB相关配置】
1.
创建（进入）vlan100
[SwitchA]vlan 100
2.
将E0/24加入到vlan100里
[SwitchA-vlan100] port Ethernet 0/24
3.
创建（进入）vlan100的虚接口
[SwitchB]interface Vlan-interface 100
4.
给vlan100的虚接口配置IP地址
[SwitchB-Vlan-interface100]ip address 192.168.0.2 255.255.255.0
5.
一般二层交换机允许其它任意网段访问需要加入一条缺省路由
[SwitchB]ip route-static 0.0.0.0 0.0.0.0 192.168.0.1
【TELNET不验证配置】
[SwitchA-ui-vty0-4]authentication-mode none
【TELNET密码验证配置】
1.
进入用户界面视图
[SwitchA]user-interface vty 0 4
2.
设置认证方式为密码验证方式
[SwitchA-ui-vty0-4]authentication-mode password
3.
设置明文密码
[SwitchA-ui-vty0-4]set authentication password simple Huawei
4.
缺省情况下，从VTY用户界面登录后可以访问的命令级别为0级。需要将用户的权限设置为3，这用户可以进入系统视图进行操作，否则只有0级用户的权限
[SwitchA-ui-vty0-4]user privilege level 3
【TELNET本地用户名和密码验证配置】
1.
进入用户界面视图
[SwitchA]user-interface vty 0 4
2.
使用authentication-mode
scheme命令，表示需要进行本地或远端用户名和口令认证。
[SwitchA-ui-vty0-4]authentication-mode scheme
3.
设置本地用户名和密码
[SwitchA]local-user Huawei
[SwitchA-user-huawei]service-type telnet level 3
[SwitchA-user-huawei]password simple Huawei
4.
如果不改变TELNET登录用户的权限，用户登录以后是无法直接进入其它视图的，可以设置super password，来控制用户是否有权限进入其它视图
[SwitchA]local-user Huawei
[SwitchA-user-huawei]service-type telnet
[SwitchA-user-huawei]password simple Huawei
[SwitchA]super password level 3 simple huawei

【TELNET RADIUS验证配置】
以使用huawei开发的cams作为RADIUS服务器为例
1.
设置TELNET登录方式为scheme
[SwitchA-ui-vty0-4]authentication-mode scheme
2.
配置RADIUS认证方案
[SwitchA]radius scheme cams
3.
配置RADIUS认证服务器地址10.110.51.31
[SwitchA-radius-cams]primary authentication 10.110.51.31 1812
4.
配置RADIUS计费服务器地址10.110.51.31
[SwitchA-radius-cams]primary accounting 10.110.51.31 1813
5.
配置交换机与认证服务器的验证口令
[SwitchA-radius-cams]key authentication expert
6.
配置交换机与计费服务器的验证口令
[SwitchA-radius-cams]key accounting expert
7.
配置服务器类似为huawei，即使用CAMS
[SwitchA-radius-cams]server-type Huawei
8.
送往RADIUS的报文不带域名
[SwitchA-radius-cams]user-name-format without-domain
9.
创建（进入）一个域
[SwitchA]domain Huawei
10.
在域huawei中引用名为“cams”的认证方案
[SwitchA-isp-huawei]radius-scheme cams
11.
将huawei域设置为缺省域
[SwitchA]domain default enable huawei
【TELNET访问控制配置】
1.
设置只允许符合ACL1的IP地址登录交换机
[SwitchA-ui-vty0-4]acl 1 inbound
2.
设置规则只允许某网段登录
[SwitchA]acl number 1
[SwitchA-acl-basic-1]
[SwitchA-acl-basic-1]rule permit source 10.10.10.0 0.0.0.255
3.
设置规则只禁止某网段登录
[SwitchA]acl number 1
[SwitchA-acl-basic-1]
[SwitchA-acl-basic-1]rule deny source 10.10.10.0 0.0.0.255
3
测试验证1.
PC属于vlan10可以telnet到SwitchA和SwitchB上，
2.
PC属于其它vlan不能telnet到SwitchA，能够telnet到SwitchB上

交换机Vlan 介绍
VLAN （Virtual Local Area Network ），是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的技术。IEEE 于1999 年颁布了用以标准化VLAN 实现方案的IEEE 802.1Q 协议标准草案。
VLAN 技术允许网络管理者将一个物理的LAN 逻辑地划分成不同的广播域（或称虚拟LAN ，即VLAN ），每一个VLAN 都包含一组有着相同需求的计算机，由于VLAN 是逻辑地而不是物理地划分，所以同一个VLAN 内的各个计算机无须被放置在同一个物理空间里，即这些计算机不一定属于同一个物理LAN 网段。
VLAN 的优势在于VLAN 内部的广播和单播流量不会被转发到其它VLAN 中，从而有助于控制网络流量、减少设备投资、简化网络管理、提高网络安全性。
交换机VLAN
配置
『配置环境参数』
SwitchA端口E0/1属于VLAN2，E0/2属于VLAN3
『组网需求』
把交换机端口E0/1加入到VLAN2 ，E0/2加入到VLAN3
2
数据配置步骤『VLAN配置流程』
1.
缺省情况下所有端口都属于VLAN 1，并且端口是access端口，一个access端口只能属于一个vlan；
2.
如果端口是access端口，则把端口加入到另外一个vlan的同时，系统自动把该端口从原来的vlan中删除掉；
3.
除了VLAN1，如果VLAN XX不存在，在系统视图下键入VLAN XX，则创建VLAN XX并进入VLAN视图；如果VLAN XX已经存在，则进入VLAN视图。
【SwitchA相关配置】
方法一：
1.
创建（进入）vlan2
[SwitchA]vlan 2
2.
将端口E0/1加入到vlan2
[SwitchA-vlan2]port ethernet 0/1
3.
创建（进入）vlan3
[SwitchA-vlan2]vlan 3
4.
将端口E0/2加入到vlan3
[SwitchA-vlan3]port ethernet 0/2

方法二：
1.
创建（进入）vlan2
[SwitchA]vlan 2
2.
进入端口E0/1视图
[SwitchA]interface ethernet 0/1
3.
指定端口E0/1属于vlan2
[SwitchA-Ethernet1]port access vlan 2
4.
创建（进入）vlan3
[SwitchA]vlan 3
5.
进入端口E0/2视图
[SwitchA]interface ethernet 0/2
6.
指定端口E0/2属于vlan3
[SwitchA-Ethernet2]port access vlan 3
3
测试验证1.
使用命令disp cur可以看到端口E0/1属于vlan2，E0/2属于vlan3；
2.
使用display interface Ethernet 0/1可以看到端口为access端口，PVID为2；
3.
使用display interface Ethernet 0/2可以看到端口为access端口，PVID为3。

以太网端口链路类型介绍

以太网端口有三种链路类型：Access 、Hybrid 和Trunk 。Access 类型的端口只能属于1 个VLAN ，一般用于连接计算机的端口；Trunk 类型的端口可以属于多个VLAN ，可以接收和发送多个VLAN 的报文，一般用于交换机之间连接的端口；Hybrid 类型的端口可以属于多个VLAN ，可以接收和发送多个VLAN 的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。Hybrid 端口和Trunk 端口的不同之处在于Hybrid 端口可以允许多个VLAN 的报文发送时不打标签，而Trunk 端口只允许缺省VLAN 的报文发送时不打标签。
这里的trunk 并不是端口干路的概念，即端口汇聚或者链路聚合，而是允许vlan 透传的一个概念。如果想使用端口汇聚请参见相关《端口汇聚》章节。
需要注意的是：
l
在一台以太网交换机上，Trunk 端口和Hybrid 端口不能同时被设置。
l
如果某端口被指定为镜像端口，则不能再被设置为Trunk 端口，反之亦然。
缺省情况下，端口为Access 端口。
Access 端口只属于1 个VLAN ，所以它的缺省VLAN 就是它所在的VLAN ，不用设置；Hybrid 端口和Trunk 端口属于多个VLAN ，所以需要设置缺省VLAN ID 。如果设置了端口的缺省VLAN ID ，当端口接收到不带VLAN Tag 的报文后，则将报文转发到属于缺省VLAN 的端口；当端口发送带有VLAN Tag 的报文时，如果该报文的VLAN ID 与端口缺省的VLAN ID 相同，则系统将去掉报文的VLAN Tag ，然后再发送该报文。
需要注意的是：
l
Trunk 端口不能和isolate-user-vlan 同时配置；Hybrid 端口可以和isolate-user-vlan 同时配置。但如果缺省VLAN 是在isolate-user-vlan 中建立了映射的VLAN ，则不允许修改缺省VLAN ID ，只有在解除映射后才能进行修改。
l
本Hybrid 端口或Trunk 端口的缺省VLAN ID 和相连的对端交换机的Hybrid 端口或Trunk 端口的缺省VLAN ID 必须一致，否则报文将不能正确传输。
缺省情况下，Hybrid 端口和Trunk 端口的缺省VLAN 为VLAN 1 ，Access 端口的缺省VLAN 是本身所属于的VLAN 。

交换机IP地址配置

『配置环境参数』
1.
三层交换机SwitchA 有两个端口ethetnet 0/1 、ethernet 0/2 ，分别属于vlan 2 、vlan 3 ；
2.
以vlan 2 的三层接口地址分别是1.0.0.1/24 作为PC1 的网关；
3.
以vlan 3 的三层接口地址分别是2.0.0.1/24 作为PC2 的网关；
『组网需求』
PC1 和PC2 通过三层接口互通。
2
数据配置步骤『IP 地址配置流程』
交换机目前除了某些产品具有管理以太网口，如6500 、8016 等，可以直接将IP 地址配置在管理以太网口上以外，如果要配置IP 地址，必须配置在vlan 虚接口上。在这个意义上来说，这个虚接口和路由器的以太网口是类似的。
二层交换机只能配置一个三层虚接口，三层交换机可以配置多个三层虚接口。
三层交换机如果起用了多个三层虚接口，这个时候多个虚接口之间是直连路由，所以它们的网段之间默认是直接互通的。如果要实现某些网段之间的隔离，需要通过配置访问控制列表来实现。
【SwitchA 相关配置】
1.
创建（进入）vlan2
[Quidway]vlan 2
2.
将端口E0/1 加入到vlan2
[Quidway-vlan2]port ethernet 0/1
3.
进入vlan2 的虚接口
[Quidway-vlan2]interface vlan 2
4.
在vlan2 的虚接口上配置IP 地址
[Quidway-Vlan-interface2]ip address 1.0.0.1 255.255.255.0
5.
创建（进入）vlan3
[Quidway]vlan 3
6.
将E0/2 加入到vlan3
[Quidway-vlan3]port ethernet 0/2
7.
进入vlan3 的虚接口
[Quidway-vlan3]interface vlan 3
8.
在vlan3 的虚接口上配置IP 地址
[Quidway-Vlan-interface3]ip address 2.0.0.1 255.255.255.0
3
测试验证1.
PC1 和PC2 都可以PING 通自己的网关
2.
PC1 和PC2 可以相互PING 通

环境配置参数』1.
PC1 接在交换机E0/1 端口，IP 地址1.1.1.1/24
2.
PC2 接在交换机E0/2 端口，IP 地址2.2.2.2/24
3.
E0/24 为交换机上行端口
4.
Server 接在交换机E0/8 端口，该端口作为镜像端口
『组网需求』
1.
通过交换机端口镜像的功能使用server 对两台pc 的业务报文进行监控。
2.
按照镜像的不同方式进行配置：
1)
基于端口的镜像
2)
基于流的镜像
2
数据配置步骤『端口镜像的数据流程』
基于端口的镜像是把被镜像端口的进出数据报文完全拷贝一份到镜像端口，这样来进行流量观测或者故障定位。
【3026 等交换机镜像】
S2008/S2016/S2026/S2403H/S3026 等交换机支持的都是基于端口的镜像，有两种方法：
方法一
1.
配置镜像（观测）端口
[SwitchA]monitor-port e0/8
2.
配置被镜像端口
[SwitchA]port mirror Ethernet 0/1 to Ethernet 0/2
方法二
1.
可以一次性定义镜像和被镜像端口
[SwitchA]port mirror Ethernet 0/1 to Ethernet 0/2 observing-port Ethernet 0/8
【8016 交换机端口镜像配置】
1.
假设8016 交换机镜像端口为E1/0/15 ，被镜像端口为E1/0/0 ，设置端口1/0/15 为端口镜像的观测端口。
[SwitchA] port monitor ethernet 1/0/15
2.
设置端口1/0/0 为被镜像端口，对其输入输出数据都进行镜像。
[SwitchA] port mirroring ethernet 1/0/0 both ethernet 1/0/15
也可以通过两个不同的端口，对输入和输出的数据分别镜像
1.
设置E1/0/15 和E2/0/0 为镜像（观测）端口
[SwitchA] port monitor ethernet 1/0/15
2.
设置端口1/0/0 为被镜像端口，分别使用E1/0/15和E2/0/0对输入和输出数据进行镜像。
[SwitchA] port mirroring gigabitethernet 1/0/0 ingress ethernet 1/0/15
[SwitchA] port mirroring gigabitethernet 1/0/0 egress ethernet 2/0/0

『基于流镜像的数据流程』
基于流镜像的交换机针对某些流进行镜像，每个连接都有两个方向的数据流，对于交换机来说这两个数据流是要分开镜像的。
【3500/3026E/3026F/3050 】
〖基于三层流的镜像〗
1.
定义一条扩展访问控制列表
[SwitchA]acl num 100
2.
定义一条规则报文源地址为1.1.1.1/32 去往所有目的地址
[SwitchA-acl-adv-101]rule 0 permit ip source 1.1.1.1 0 destination any
3.
定义一条规则报文源地址为所有源地址目的地址为1.1.1.1/32
[SwitchA-acl-adv-101]rule 1 permit ip source any destination 1.1.1.1 0
4.
将符合上述ACL 规则的报文镜像到E0/8 端口
[SwitchA]mirrored-to ip-group 100 interface e0/8

〖基于二层流的镜像〗
1.
定义一个ACL
[SwitchA]acl num 200
2.
定义一个规则从E0/1 发送至其它所有端口的数据包
[SwitchA]rule 0 permit ingress interface Ethernet0/1 egress interface Ethernet0/2
3.
定义一个规则从其它所有端口到E0/1 端口的数据包
[SwitchA]rule 1 permit ingress interface Ethernet0/2 egress interface Ethernet0/1
4.
将符合上述ACL 的数据包镜像到E0/8
[SwitchA]mirrored-to link-group 200 interface e0/8

【5516/6506/6503/6506R 】
目前该三款产品支持对入端口流量进行镜像
1.
定义镜像端口
[SwitchA]monitor-port Ethernet 3/0/2
2.
定义被镜像端口
[SwitchA]mirroring-port Ethernet 3/0/1 inbound

【补充说明】
1.
镜像一般都可以实现高速率端口镜像低速率端口，例如1000M 端口可以镜像100M 端口，反之则无法实现
2.
8016 支持跨单板端口镜像
3
测试验证在观测端口上通过工具软件可以看到被镜像端口的相应的报文，可以进行流量观测或者故障定位。

端口汇聚配置

『配置环境参数』
1.
交换机SwitchA 和SwitchB 通过以太网口实现互连。
2.
SwitchA 用于互连的端口为e0/1 和e0/2 ，SwitchB 用于互连的端口为e0/1 和e0/2 。
『组网需求』
增加SwitchA 的SwitchB 的互连链路的带宽，并且能够实现链路备份，使用端口汇聚。
2
数据配置步骤『端口汇聚数据转发流程』
如上图，如果在汇聚时配置的是ingress 属性，假如PC1 的数据包进入SwitchA ，假如第一次去PING PC2 ，那么第一次将是广播包，数据包将从汇聚端口的逻辑主端口送出，报文送达Switch2 时，此时PC1 的MAC 也将对应学习到Switch2 的逻辑主端口，此时PC2 再进行回包主要看PC1 的源MAC 学习到哪个端口，就会通过哪个端口进行转发，所以ingress 是根据流进行转发，如果流是单一的，那么该数据流也将一直走同一个端口，除非该端口故障。

如果在汇聚时配置的是both 属性，2 个端口汇聚，如PC1 的数据包进入SwitchA ，假如第一次去PING PC2 ，那么第一次将是广播包，数据包将从汇聚端口的逻辑主端口送出，报文送达Switch2 时，此时PC1 的MAC 也将对应学习到Switch2 的逻辑主端口，此时Switch2 将根据自己的算法进行选路：将PC1 的MAC （二进制）和PC2 的MAC （二进制）的最后一位进行与操作，如果与出来的结果为0 ，将选择主端口；如果与出来的结果为1 ，将选择备份端口。也就是说如果对于一个单一的数据流（例如固定两台PC ）那么它们的数据流将一直在固定某个端口进行转发。
如果是三个或者四个端口进行汇聚，将PC1 的MAC 和PC2 的MAC （二进制）的最后二位进行与操作，一共四种结果，如果与出来的结果为0 ，将选择主端口；如果与出来的结果为1 ，选择第一个备份端口，如果与出来的结果为0 ，再选择第二个备份端口，依此类推。
如果是五个到八个端口进行汇聚，将PC1 的MAC 和PC2 的MAC （二进制）的最后三位进行与操作，一共八种结果，再进行端口选择。汇聚端口越多，算法就越复杂。
【SwitchA 交换机配置】
1.
进入端口E0/1
[SwitchA]interface Ethernet 0/1
2.
汇聚端口必须工作在全双工模式
[SwitchA-Ethernet0/1]duplex full
3.
汇聚的端口速率要求相同，但不能是自适应
[SwitchA-Ethernet0/1]speed 100
4.
进入端口E0/2
[SwitchA]interface Ethernet 0/2
5.
汇聚端口必须工作在全双工模式
[SwitchA-Ethernet0/2]duplex full
6.
汇聚的端口速率要求相同，但不能是自适应
[SwitchA-Ethernet0/2]speed 100
7.
根据源和目的MAC 进行端口选择汇聚
[SwitchA]link-aggregation Ethernet 0/1 to Ethernet 0/2 both
【SwitchA 交换机配置】
[SwitchB]interface Ethernet 0/1
[SwitchB-Ethernet0/1]duplex full
[SwitchB-Ethernet0/1]speed 100
[SwitchB]interface Ethernet 0/2
[SwitchB-Ethernet0/2]duplex full
[SwitchB-Ethernet0/2]speed 100
[SwitchB]link-aggregation Ethernet 0/1 to Ethernet 0/2 both
【补充说明】
1.
同一个汇聚组中成员端口的链路类型与主端口的链路类型保持一致，即如果主端口为Trunk 端口，则成员端口也为Trunk 端口；如主端口的链路类型改为Access 端口，则成员端口的链路类型也变为Access 端口。
2.
不同的产品对端口汇聚时的起始端口号要求各有不同，请对照《操作手册》进行配置。

vlan 透传转发流程』报文在进入交换机端口时如果没有802.1Q 标记将被打上端口的PVID （即defauld vlan ID ），之后该数据包就只能在这个vlan 域内进行转发，不同的vlan 在二层之间是隔离开的，不能实现互相访问。
【SwitchA 相关配置】
1.
创建（进入）vlan10
[SwitchA] vlan 10
2.
将E0/1 加入到vlan10
[SwitchA-vlan10]port Ethernet 0/1
3.
创建（进入）vlan20
[SwitchA]vlan 20
4.
将E0/2 加入到vlan20
[SwitchA-vlan20]port Ethernet 0/2
5.
实际当中一般将上行端口设置成trunk 属性，允许vlan 透传
[SwitchA-Ethernet0/3]port link-type trunk
6.
允许所有的vlan 从E0/3 端口透传通过，也可以指定具体的vlan 值
[SwitchA-Ethernet0/3]port trunk permit vlan all
【SwitchB 相关配置】
1.
创建（进入）vlan10
[SwitchB] vlan 10
2.
将E0/1 加入到vlan10
[SwitchB-vlan10]port Ethernet 0/1
3.
创建（进入）vlan20
[SwitchB]vlan 20
4.
将E0/2 加入到vlan20
[SwitchB-vlan20]port Ethernet 0/2
5.
实际当中一般将上行端口设置成trunk 属性，允许vlan 透传
[SwitchB-Ethernet0/3]port link-type trunk
6.
允许所有的vlan 从E0/3 端口透传通过，也可以指定具体的vlan 值
[SwitchB-Ethernet0/3]port trunk permit vlan all
【补充说明】
1.
如果一个端口是trunk 端口，则该端口可以属于多个vlan ；
2.
缺省情况下trunk 端口的PVID 为1 ，可以在端口模式下通过命令port trunk pvid vlan vlanid 来修改端口的PVID ；
3.
如果从trunk 转发出去的数据报文的vlan id 和端口的PVID 一致，则该报文的VLAN 信息会被剥去，这点在配置trunk 端口时需要注意。
4.
一台交换机上如果已经设置了某个端口为hybrid 端口，则不可以再把另外的端口设置为trunk 端口。
5.
一般情况下最好指定端口允许通过哪些具体的VLAN ，不要设置允许所有的VLAN 通过。

交换机端口trunk属性配置之配合路由子接口

配置环境参数』1.
SwitchA 端口E0/1 属于vlan10 ，E0/2 属于vlan20 ，E0/3 与Router 端口E0 互连
2.
vlan10 内PC 地址192.168.0.2/24 ，网关为路由器E0.1 子接口地址192.168.0.1/24
3.
vlan20 内PC 地址10.10.10.2/24 ，网关为路由器E0.2 子接口地址10.10.10.1/24
4.
SwitchA 管理vlan100 虚接口地址172.16.0.2/24 ，网关为路由E0 接口地址172.16.0.1
『组网需求』
1.
vlan10 、vlan20 和vlan100 能够通过交换机透传到路由器，并且能够通过路由器子接口实现三层互通
2
数据配置步骤『交换机配合路由器子接口数据配置流程』
一般来说交换机与路由器子接口配合，都因为交换机是二层交换机，没有三层路由功能，通过路由器终结二层交换机透传过来的vlan 数据包，实现三层互通，是此类组网的主要目的。在路由器子接口之间，各个网段之间为直连路由，如果要实现某些网段之间的访问控制，一般通过在路由器上配置访问控制列表来实现。
三层交换机由于本身支持多个虚接口，可以直接实现多网段之间的三层互通，一般不涉及此类组网。
【SwitchA 相关配置】
1.
创建（进入）vlan10
[SwitchA] vlan 10
2.
将E0/1 加入到vlan10
[SwitchA-vlan10]port Ethernet 0/1
3.
创建（进入）vlan20
[SwitchA]vlan 20
4.
将E0/2 加入到vlan20
[SwitchA-vlan20]port Ethernet 0/2
5.
实际当中一般将上行端口设置成trunk 属性，允许vlan 透传
[SwitchA-Ethernet0/3]port link-type trunk
6.
允许所有的vlan 从E0/3 端口透传通过，也可以指定具体的vlan 值
[SwitchA-Ethernet0/3]port trunk permit vlan all
7.
创建（进入）vlan100
[SwitchA]vlan 100
8.
vlan100 可以不包含具体的端口
9.
创建（进入）vlan100 的虚接口
[SwitchA]interface Vlan-interface 100
10.
给vlan100 的虚接口配置IP 地址
[SwitchA-Vlan-interface100]ip address 172.16.0.2 255.255.255.0
11.
设置E0/3 端口PVID 为100 ，将管理vlan100 送出去的报文vlan 标记剥去，送往路由器主接口
[SwitchA-Ethernet0/3]port trunk pvid vlan 100
12.
如果需要允许其它网段与交换机管理vlan 地址互通，需要配置一条默认路由
[SwitchA]ip route-static 0.0.0.0 0.0.0.0 172.16.0.1

【RouterA 相关配置】
1.
创建（进入）E0.1 子接口
[RouterA]inter Ethernet 0.1
2.
在E0.1 子接口里封装vlan10
[RouterA-Ethernet0.1]vlan-type dot1q vid 10
3.
在E0.1 子接口配置IP 地址
[RouterA-Ethernet0.1]ip address 192.168.0.1 255.255.255.0
4.
创建（进入）E0.2 子接口
[RouterA]inter Ethernet 0.2
5.
在E0.2 子接口里封装vlan20
[RouterA-Ethernet0.2]vlan-type dot1q vid 20
6.
在E0.2 子接口配置IP 地址
[RouterA-Ethernet0.2]ip address 10.10.10.1 255.255.255.0
7.
进入E0 接口
[SwitchB-vlan20]port Ethernet 0
[RouterA-Ethernet0]ip address 172.16.0.1 255.255.255.0

【补充说明】
1.
如果一个端口是trunk 端口，则该端口可以属于多个vlan
2.
缺省情况下trunk 端口的PVID 为1 ，可以在端口模式下通过命令port trunk pvid vlan vlanid 来修改端口的PVID
3.
一台交换机上如果已经设置了某个端口为hybrid 端口，则不可以再把另外的端口设置为trunk 端口
3
测试验证1.
PC 都能PING 通自己的网关
2.
PC 之间能够PING 通
3.
交换机能够与路由器E0 接口地址互通

交换机端口trunk属性配置之配合路由子接口

配置环境参数』1.
SwitchA 端口E0/1 属于vlan10 ，E0/2 属于vlan20 ，E0/3 与Router 端口E0 互连
2.
vlan10 内PC 地址192.168.0.2/24 ，网关为路由器E0.1 子接口地址192.168.0.1/24
3.
vlan20 内PC 地址10.10.10.2/24 ，网关为路由器E0.2 子接口地址10.10.10.1/24
4.
SwitchA 管理vlan100 虚接口地址172.16.0.2/24 ，网关为路由E0 接口地址172.16.0.1
『组网需求』
1.
vlan10 、vlan20 和vlan100 能够通过交换机透传到路由器，并且能够通过路由器子接口实现三层互通
2
数据配置步骤『交换机配合路由器子接口数据配置流程』
一般来说交换机与路由器子接口配合，都因为交换机是二层交换机，没有三层路由功能，通过路由器终结二层交换机透传过来的vlan 数据包，实现三层互通，是此类组网的主要目的。在路由器子接口之间，各个网段之间为直连路由，如果要实现某些网段之间的访问控制，一般通过在路由器上配置访问控制列表来实现。
三层交换机由于本身支持多个虚接口，可以直接实现多网段之间的三层互通，一般不涉及此类组网。
【SwitchA 相关配置】
1.
创建（进入）vlan10
[SwitchA] vlan 10
2.
将E0/1 加入到vlan10
[SwitchA-vlan10]port Ethernet 0/1
3.
创建（进入）vlan20
[SwitchA]vlan 20
4.
将E0/2 加入到vlan20
[SwitchA-vlan20]port Ethernet 0/2
5.
实际当中一般将上行端口设置成trunk 属性，允许vlan 透传
[SwitchA-Ethernet0/3]port link-type trunk
6.
允许所有的vlan 从E0/3 端口透传通过，也可以指定具体的vlan 值
[SwitchA-Ethernet0/3]port trunk permit vlan all
7.
创建（进入）vlan100
[SwitchA]vlan 100
8.
vlan100 可以不包含具体的端口
9.
创建（进入）vlan100 的虚接口
[SwitchA]interface Vlan-interface 100
10.
给vlan100 的虚接口配置IP 地址
[SwitchA-Vlan-interface100]ip address 172.16.0.2 255.255.255.0
11.
设置E0/3 端口PVID 为100 ，将管理vlan100 送出去的报文vlan 标记剥去，送往路由器主接口
[SwitchA-Ethernet0/3]port trunk pvid vlan 100
12.
如果需要允许其它网段与交换机管理vlan 地址互通，需要配置一条默认路由
[SwitchA]ip route-static 0.0.0.0 0.0.0.0 172.16.0.1

【RouterA 相关配置】
1.
创建（进入）E0.1 子接口
[RouterA]inter Ethernet 0.1
2.
在E0.1 子接口里封装vlan10
[RouterA-Ethernet0.1]vlan-type dot1q vid 10
3.
在E0.1 子接口配置IP 地址
[RouterA-Ethernet0.1]ip address 192.168.0.1 255.255.255.0
4.
创建（进入）E0.2 子接口
[RouterA]inter Ethernet 0.2
5.
在E0.2 子接口里封装vlan20
[RouterA-Ethernet0.2]vlan-type dot1q vid 20
6.
在E0.2 子接口配置IP 地址
[RouterA-Ethernet0.2]ip address 10.10.10.1 255.255.255.0
7.
进入E0 接口
[SwitchB-vlan20]port Ethernet 0
[RouterA-Ethernet0]ip address 172.16.0.1 255.255.255.0

【补充说明】
1.
如果一个端口是trunk 端口，则该端口可以属于多个vlan
2.
缺省情况下trunk 端口的PVID 为1 ，可以在端口模式下通过命令port trunk pvid vlan vlanid 来修改端口的PVID
3.
一台交换机上如果已经设置了某个端口为hybrid 端口，则不可以再把另外的端口设置为trunk 端口
3
测试验证1.
PC 都能PING 通自己的网关
2.
PC 之间能够PING 通
3.
交换机能够与路由器E0 接口地址互通

如何配置本地登录和远程登录的用户名和密码？(1) 只需输入password 即可远程登陆交换机。

进入用户界面视图
[SwitchA]user-interface vty 0 4

设置认证方式为密码验证方式
[SwitchA-ui-vty0-4]authentication-mode password

设置登陆验证的password 为明文密码”huawei ”
[SwitchA-ui-vty0-4]set authentication password simple huawei

配置登陆用户的级别为最高级别3( 缺省为级别1)
[SwitchA-ui-vty0-4]user privilege level 3
【TELNET 本地用户名和密码验证配置】
需要输入username 和password 才可以登陆交换机。

进入用户界面视图
[SwitchA]user-interface vty 0 4

配置本地或远端用户名和口令认证
[SwitchA-ui-vty0-4]authentication-mode scheme

配置本地TELNET 用户，用户名为”huawei ”，密码为”huawei ”，权限为最高级别3( 缺省为级别1)
[SwitchA]local-user huawei
[SwitchA-user-huawei]password simple huawei
[SwitchA-user-huawei]service-type telnet level 3
(2) 通过con 口只需输入password 即可远程登陆交换机。

进入用户界面视图
[Quidway]user-interface aux 0
设置认证方式为密码验证方式
[Quidway-ui-aux0] authentication-mode password
设置登陆验证的password 为明文密码”huawei ”
[Quidway-ui-aux0] set authentication password simple huawei

配置登陆用户的级别为最高级别3( 缺省为级别1)

[Quidway-ui-aux0] user privilege level 3

【CON 口本地用户名和密码验证配置】
需要输入username 和password 才可以登陆交换机。
[Quidway]user-interface aux 0

配置本地或远端用户名和口令认证
[Quidway-ui-aux0] authentication-mode scheme

配置本地TELNET 用户，用户名为”huawei ”，密码为”huawei ”，权限为最高级别3( 缺省为级别1)
[SwitchA]local-user huawei
[SwitchA-user-huawei]password simple huawei
[SwitchA-user-huawei]service-type telnet level 3

如何配置 WEB 登录的用户名密码？首先保证PC 到交换机能ping 通, 然后再配置以下：
用户名为”huawei ”，密码为”huawei ”，权限为最高级别3( 缺省为级别1)
[SwitchA]local-user huawei
[SwitchA-user-huawei]password simple huawei
[SwitchA-user-huawei]service-type telnet level 3

如何清除本地登录的密码？在设备重启时按Ctrl+b 进入BOOT MENU 之后，
Press Ctrl-B to enter Boot Menu... 5
Password : ## 缺省为空，回车即可

选择：4. Delete file from Flash

删除里面的配置文件即可：vrpcfg.txt

重启设备即可。

注：删除之后交换机就恢复了出厂配置。

QuidwayS8500 的配置密码丢失，如何进去？
首先用ctrl+b 进入BOOTROM 菜单，然后再按ctrl+z 进入隐含菜单，把配置文件删除。

对低端交换机 telnet 用户进行 radius 认证时 , 对 WEB 网管用户是否也可以采用 radius 认证

不可以,WEB 网管用户只可以采用本地认证, 在交换机上单独为WEB 网管用户创建一个用户名和密码及服务类型, 与radius 认证无关.

BOOTROM 密码丢失如何解决

收集交换机MAC 地址联系800 工程师。（在交换机后面板上有白色标签或重启交换机时会显示）
例：Initialize LS65LTSU.......................OK!
      SDRAM selftest............................OK!
      FLASH selftest............................OK!
      CPLD selftest.............................OK!
      Switch chip selftest......................OK!
      Switch SDRAM selftest.....................OK!
      Port g1/1 has no module
      Port g2/1 has no module
      PHY selftest..............................OK!
      Please check port leds..............finished!

      The switch Mac is: 00E0-FC22-CDAF   注 : 此地址即为交换机的 MAC 地址

如何彻底删除 flash 的文件<Quidway>delete /unreserved vrpcfg.txt

注:vrgcfg.txt 为文件名。

如何清空回收站里的文件<Quidway>reset recycle-bin

在升级 VRP 时，如果提示空间不够，如何格式化 flash 在交换机重启时按Ctrl+B 进入boot 菜单，缺省密码为空；然后按Ctrl+F 选Y
最后返回boot 菜单重启设备。

如何恢复出厂设置？<Quidway>reset saved-configuration   选Y 重启设备即可。

如何将交换机的配置文件和 VRP 文件导出保存
第一步：在路由器上配置FTP 帐号，并启用FTP server 服务
启动FTP server
[Quidway] ftp server enable

配置本地帐号aaa/aaa
[Quidway] local-user aaa password simple aaa

配置aaa 的服务类型为FTP
[Quidway] local-user aaa service-type ftp
[Quidway] interface Ethernet 0/0
[Quidway-Ethernet0/0] ip address 1.1.1.1 8
第二步：ftp 1.1.1.1( 此处1.1.1.1 是路由器的IP 地址) ，FTP 到路由器上

输入用户名:aaa 输入密码:aaa
ftp>get system c:\123 （123 是保存的文件名,system 为交换机上的VRP 文件）
ftp>get vrpcfg.cfg c:\vrpcfg.cfg  (vrpcfg.cfg 为交换机上配置文件)

QuidwayS8016 如何清除密码

现在网上运行的S8016 根据bootrom 不同有两个版本，一个是Ver017) ，一个是Ver128 和Ver128 以后的

按Ctrl+B 　 àVer017 版本处理
默认密码是8011
按CTRL ＋Z
可以选择 Disable Config Password 或者删除配置文件

按Ctrl+B 　- à Ver128 及以后版本处理
默认密码是8011
再按Ctrl+P
Disable config password? Yes or No(Y/N): y    // 按Y 确认
如何配置本地登录和远程登录的用户名和密码？(1) 只需输入password 即可远程登陆交换机。

进入用户界面视图
[SwitchA]user-interface vty 0 4

设置认证方式为密码验证方式
[SwitchA-ui-vty0-4]authentication-mode password

设置登陆验证的password 为明文密码”huawei ”
[SwitchA-ui-vty0-4]set authentication password simple huawei

配置登陆用户的级别为最高级别3( 缺省为级别1)
[SwitchA-ui-vty0-4]user privilege level 3
【TELNET 本地用户名和密码验证配置】
需要输入username 和password 才可以登陆交换机。

进入用户界面视图
[SwitchA]user-interface vty 0 4

配置本地或远端用户名和口令认证
[SwitchA-ui-vty0-4]authentication-mode scheme

配置本地TELNET 用户，用户名为”huawei ”，密码为”huawei ”，权限为最高级别3( 缺省为级别1)
[SwitchA]local-user huawei
[SwitchA-user-huawei]password simple huawei
[SwitchA-user-huawei]service-type telnet level 3
(2) 通过con 口只需输入password 即可远程登陆交换机。

进入用户界面视图
[Quidway]user-interface aux 0
设置认证方式为密码验证方式
[Quidway-ui-aux0] authentication-mode password
设置登陆验证的password 为明文密码”huawei ”
[Quidway-ui-aux0] set authentication password simple huawei

配置登陆用户的级别为最高级别3( 缺省为级别1)

[Quidway-ui-aux0] user privilege level 3

【CON 口本地用户名和密码验证配置】
需要输入username 和password 才可以登陆交换机。
[Quidway]user-interface aux 0

配置本地或远端用户名和口令认证
[Quidway-ui-aux0] authentication-mode scheme

配置本地TELNET 用户，用户名为”huawei ”，密码为”huawei ”，权限为最高级别3( 缺省为级别1)
[SwitchA]local-user huawei
[SwitchA-user-huawei]password simple huawei
[SwitchA-user-huawei]service-type telnet level 3

如何配置 WEB 登录的用户名密码？首先保证PC 到交换机能ping 通, 然后再配置以下：
用户名为”huawei ”，密码为”huawei ”，权限为最高级别3( 缺省为级别1)
[SwitchA]local-user huawei
[SwitchA-user-huawei]password simple huawei
[SwitchA-user-huawei]service-type telnet level 3

如何清除本地登录的密码？在设备重启时按Ctrl+b 进入BOOT MENU 之后，
Press Ctrl-B to enter Boot Menu... 5
Password :       ## 缺省为空，回车即可

选择：4. Delete file from Flash

删除里面的配置文件即可：vrpcfg.txt

重启设备即可。

注：删除之后交换机就恢复了出厂配置。

QuidwayS8500 的配置密码丢失，如何进去？
首先用ctrl+b 进入BOOTROM 菜单，然后再按ctrl+z 进入隐含菜单，把配置文件删除。

对低端交换机 telnet 用户进行 radius 认证时 , 对 WEB 网管用户是否也可以采用 radius 认证

不可以,WEB 网管用户只可以采用本地认证, 在交换机上单独为WEB 网管用户创建一个用户名和密码及服务类型, 与radius 认证无关.

BOOTROM 密码丢失如何解决

收集交换机MAC 地址联系800 工程师。（在交换机后面板上有白色标签或重启交换机时会显示）
例：Initialize LS65LTSU.......................OK!
      SDRAM selftest............................OK!
      FLASH selftest............................OK!
      CPLD selftest.............................OK!
      Switch chip selftest......................OK!
      Switch SDRAM selftest.....................OK!
      Port g1/1 has no module
      Port g2/1 has no module
      PHY selftest..............................OK!
      Please check port leds..............finished!

      The switch Mac is: 00E0-FC22-CDAF   注 : 此地址即为交换机的 MAC 地址

如何彻底删除 flash 的文件<Quidway>delete /unreserved vrpcfg.txt

注:vrgcfg.txt 为文件名。

如何清空回收站里的文件<Quidway>reset recycle-bin

在升级 VRP 时，如果提示空间不够，如何格式化 flash 在交换机重启时按Ctrl+B 进入boot 菜单，缺省密码为空；然后按Ctrl+F 选Y
最后返回boot 菜单重启设备。

如何恢复出厂设置？<Quidway>reset saved-configuration   选Y 重启设备即可。

如何将交换机的配置文件和 VRP 文件导出保存
第一步：在路由器上配置FTP 帐号，并启用FTP server 服务
启动FTP server
[Quidway] ftp server enable

配置本地帐号aaa/aaa
[Quidway] local-user aaa password simple aaa

配置aaa 的服务类型为FTP
[Quidway] local-user aaa service-type ftp
[Quidway] interface Ethernet 0/0
[Quidway-Ethernet0/0] ip address 1.1.1.1 8
第二步：ftp 1.1.1.1( 此处1.1.1.1 是路由器的IP 地址) ，FTP 到路由器上

输入用户名:aaa 输入密码:aaa
ftp>get system c:\123 （123 是保存的文件名,system 为交换机上的VRP 文件）
ftp>get vrpcfg.cfg c:\vrpcfg.cfg  (vrpcfg.cfg 为交换机上配置文件)

QuidwayS8016 如何清除密码

现在网上运行的S8016 根据bootrom 不同有两个版本，一个是Ver017) ，一个是Ver128 和Ver128 以后的

按Ctrl+B 　 àVer017 版本处理
默认密码是8011
按CTRL ＋Z
可以选择 Disable Config Password 或者删除配置文件

按Ctrl+B 　- à Ver128 及以后版本处理
默认密码是8011
再按Ctrl+P
Disable config password? Yes or No(Y/N): y    // 按Y 确认

网络职场休闲学习-网络交换机

0