锐捷交换机设置

1、一、交换机基本配置交换机命名：在项目实施的时候，建议为处于不同位置的交换机命名，便于记忆，可提高后期管理效率。switch(config)#hostnameruijie/ruijie为该交换机的名字交换机配置管理密码：配置密码可以提高交换机的安全性，另外，telnet登录交换机的时候，必须要求有telnet管理密码。switch(config)#enablesecretlevel10rg/配置telnet管理密码为rg，其中1表示telnet密码，0表示密码不加密switch(config)#enablesecretlevel150rg配置特权模式下的管理密码rg，其中15表示为特权密码交换机

2、配置管理IPswitch(config)#interfacevlan1假设管理VLAN为VLAN1switch(config-if)#ipaddress给管理VLAN配置管理IP地址switch(config-if)#noshutdown激活管理IP，养成习惯，无论配置什么设备，都使用一下这个命令交换机配置网关：switch(config)#ipdefault-gateway54假设网关地址为54，此命令用户二层设备。通过以上几个命令的配置，设备便可以实现远程管理，在项目实施时(尤其是设备位置比较分散)特别能提高效率。接口介质类型配置锐捷为了降低SME客户的总体拥有成本，推出灵活选择的端口形式

3、：电口和光口复用接口，方便用户根据网络环境选择对应的介质类型。但光口和电口同时只能用其一，如图1,如使用了光口1F，则电口1不能使用。接口介质类型的转换：Switch(config)#interfacegigabitethernet0/1Switch(config-if)#medium-typefiber把接口工作模式改为光口Switch(config-if)#medium-typecopper把接口工作模式改为电口默认情况下，接口是工作在电口模式在项目实施中，如果光纤模块指示灯不亮，工作模式是否正确也是故障原因之一。接口速度/双工配置命令格式：Switch(config)#interface

4、interface-id进入接口配置模式Switch(config-if)#speed10|100|1000|auto设置接口的速率参数，或者设置为autoSwitch(config-if)#duplexauto|full|half设置接口的双工模式1000只对千兆口有效；默认情况下，接口的速率为auto，双工模式为auto。配置实例：实例将gigabitethernet0/1的速率设为1000M，双工模式设为全双工：Switch(config)#interfacegigabitethernet0/1Switch(config-if)#speed1000Switch(config-if)#du

5、plexfull在故障处理的时候，如果遇到规律性的时断时续或掉包，在排除其他原因后，可以考虑是否和对端设备的速率和双工模式不匹配，尤其是两端设备为不同厂商的时候。光口不能修改速度和双工配置，只能auto。VLAN配置添力口VLAN至I端口：在交换机上建立VLAN：Switch(config)#vlan100/建立VLAN100Switch(config)#nameruijie该VLAN名称为ruijie将交换机接口划入VLAN100中：Switch(config)#interfacerangef0/1-48/range表示选取了系列端口1-48,这个对多个端口进行相同配置时非常有用Switch

6、(config-if-range)#switchportaccessvlan100将接口划到VLAN100中Switch(config-if-range)#noswitchportaccessvlan将接口划回到默认VLAN1中，即端口初始配置交换机端口的工作模式：Switch(config)#interfacefastEthernet0/1Switch(config-if)#switchportmodeaccess该端口工作在access模式下Switch(config-if)#switchportmodetrunk/该端口工作在trunk模式下如果端口下连接的是PC,则该端口一般工作在ac

7、cess模式下，默认配置为access模式。如果端口是上联口，且交换机有划分多个VLAN,则该端口工作在TRUNK模式下。如图2：端口F0/1、F0/2、F0/3都必须工作在TRUNK模式下。NATIVEVLAN配置：Switch(config)#interfacefastEthernet0/1Switch(config-if)#switchportmodetrunkSwitch(config-if)#switchporttrunknativevlan100设置该端口NATIVEVLAN为100端口只有工作在TRUNK模式下，才可以配置NATIVEVLAN；在TRUNK上NativeVLAN的

8、数据是无标记的(Untagged),所以即使没有在端口即使没有工作在TRUNK模式下，NativeVlan仍能正常通讯；默认情况下，锐捷交换机的NATIVEVLAN为1。建议不要更改。VLAN修剪配置：Switch(config)#interfacefastEthernet0/2Switch(config-if)#switchporttrunkallowedvlanremove2-9,11-19,21-4094设定VLAN要修剪的VLANSwitch(config-if)#noswitchporttrunkallowedvlan取消端口下的VLAN修剪VLAN1是设备默认VLAN,VLAN10

9、和VLAN20是用户VLAN,所以需要修剪掉的VLAN为2-9,11-19,21-4094。(4094为VLANID的最大值)VLAN信息查看：Switch#showvlanVLANNameStatusPorts1defaultactiveFa0/1,Fa0/11,Fa0/12Fa0/13,Fa0/14,Fa0/15Fa0/16,Fa0/17,Fa0/18Fa0/19,Fa0/20,Fa0/21Fa0/22,Fa0/23,Fa0/24100VLAN0100activeFa0/1,Fa0/2,Fa0/3Fa0/4,Fa0/5,Fa0/6Fa0/7,Fa0/8,Fa0/9Fa0/10Switch#

10、1.4端口镜像端口镜像配置：Switch(config)#monitorsession1destinationinterfaceGigabitEthernet0/2/配置G0/2为镜像端口Switch(config)#monitorsession1sourceinterfaceGigabitEthernet0/1both/配置G0/1为被镜像端口，且出入双向数据均被镜像。Switch(config)#nomonitorsession1/去掉镜像1S21、S35等系列交换机不支持镜像目的端口当作普通用户口使用，如果需要做用户口，请将用户MAC与端口绑定。锐捷SME交换机镜像支持一对多镜像，不支持

11、多对多镜像。去除TAG标记：Switch(config)#monitorsession1destinationinterfaceGigabitEthernet0/2encapsulationreplicate/encapsulationreplicate表述镜像数据不带TAG标记。目前该功能只有S37、S57、S86、S96交换机支持，其他型号交换机不支持。锐捷交换机支持两种模式：镜像目的口输出报文是否带TAG根据源数据流输入的时候是否带TAG来决定。强制所有的镜像输出报文都不带TAG，受限于目前芯片的限制，只支持二层转发报文不带Tag，经过三层路由的报文，镜像目的端口输出的报文会带Tag。端

12、口镜像信息查看：S3750#shmonitorsession1Session:1SourcePorts:RxOnly:NoneTxOnly:NoneBoth:Fa0/1DestinationPorts:Fa0/2encapsulationreplicate:true1.5端口聚合端口聚合配置：Switch(config)#interfacefastEthernet0/1Switch(config-if)#port-group1把端口f0/1加入到聚合组1中。Switch(config-if)#noport-group1把端口f0/1从聚合组1中去掉。如图4,端口聚合的使用可以提高交换机的上联链

13、路带宽和起到链路冗余的作用。S2126G/50G交换机最大支持的6个AP，每个AP最多能包含8个端口。6号AP只为模块1和模块2保留，其它端口不能成为该AP的成员，模块1和模块2也只能成为6号AP的成员。S2700系列交换机最大支持的31个AP，每个AP最多能包含8个端口。S3550-24/48系列交换机最大支持的6个AP，每个AP最多能包含8个端口。S3550-12G/12G+/24G系列交换机最大支持的12个AP,每个AP最多能包含8个端口。S3550-12SFP/GT系列交换机最大支持的12个AP,每个AP最多能包含8个端口。57系列交换机最大支持12个AP,每个AP最多能包含个8端口。

14、配置为AP的端口，其介质类型必须相同。聚合端口需是连续的端口，例如避免把端口1和端口24做聚合。端口聚合信息查看：S3750#showaggregatePort1summary查看聚合端口1的信息。AggregatePortMaxPortsSwitchPortModePortsAg18EnabledAccessFa0/1,Fa0/2S3750#信息显示AP1的成员端口为0/1和0/2。1.6交换机堆叠设置交换机优先级：S3750(config)#device-priorit5锐捷交换机的堆叠采用的是菊花链式堆叠，注意堆叠线的连接方法，如图5：图5也可以不设置交换机优先级，设备会自动堆叠成功。堆

15、叠后，只有通过主交换机CONSOLE口对堆叠组进行管理。查看堆叠信息：Student_dormitory_B#showmembermemberMACaddresspriorityaliasSWVerHWVer100d0.f8d9,f0ba101.613.2200d0.f8d9.f2ef11.613.2300d0.f8ff.d38e11.613.31.7ACL配置ACL配置：配置ACL步骤：建立ACL：Switch(config)#Ipaccess-listextenruijie建立ACL访问控制列表名为ruijie，extend表示建立的是扩展访问控制列表。Switch(config)#noI

16、paccess-listextenruijie册U除名为ruijie的ACL。增加一条ACE项后，该ACE是添加到ACL的最后，不支持中间插入，所以需要调整ACE顺序时，必须整个删除ACL后再重新配置。添加ACL的规则：Switch(config-ext-nacl)#denyicmpany禁止PINGIP地址为的设备。Switch(config-ext-nacl)#denytcpanyanyeq135禁止端口号为135的应用。Switch(config-ext-nacl)#denyudpanyanyeqwww禁止协议为www的应用。Switch(config-ext-nacl)#permiti

17、panyany允许所有行为。将ACL应用到具体的接口上：Switch(config)#interfacerangef0/1Switch(config-if)#ipaccess-groupruijiein把名为ruijie的ACL应用到端口f0/1上。Switch(config-if)#noipaccess-groupruijiein从接口去除ACL。ACL模版：下面给出需要禁止的常见端口和协议(不限于此)：Switch(config-ext-nacl)#denytcpanyanyeq135Switch(config-ext-nacl)#denytcpanyanyeq139Switch(conf

18、ig-ext-nacl)#denytcpanyanyeq593Switch(config-ext-nacl)#denytcpanyanyeq4444Switch(config-ext-nacl)#denyudpanyanyeq4444Switch(config-ext-nacl)#denyudpanyanyeq135Switch(config-ext-nacl)#denyudpanyanyeq137Switch(config-ext-nacl)#denyudpanyanyeq138Switch(config-ext-nacl)#denytcpanyanyeq445Switch(config-e

19、xt-nacl)#denyudpanyanyeq445Switch(config-ext-nacl)#denyudpanyanyeq593Switch(config-ext-nacl)#denytcpanyanyeq593Switch(config-ext-nacl)#denytcpanyanyeq3333Switch(config-ext-nacl)#denytcpanyanyeq5554Switch(config-ext-nacl)#denyudpanyanyeq5554S2150G(config-ext-nacl)#denyudpanyanyeqnetbios-ssS2150G(conf

20、ig-ext-nacl)#denyudpanyanyeqnetbios-dgmS2150G(config-ext-nacl)#denyudpanyanyeqnetbios-nsSwitch(config-ext-nacl)#permitipanyany最后一条必须要加上permitipanyany，否则可能造成网络的中断。ACL注意点：交换机的ACL、802.1X、端口安全、保护端口等共享设备硬件表项资源，如果出现如下提示：Error:OutofRulesResources，则表明硬件资源不够，需删除一些ACL规则或去掉某些应用。ARP协议为系统保留协议，即使您将一条denyanyany的AC

21、L关联到某个接口上，交换机也将允许该类型报文的交换。扩展访问控制列表尽量使用在靠近想要控制的目标区域的设备上。如果ACE项是先permit，则在最后需要手工加denyipanyany，如果ACE项是先deny，则在最后需要手工加口permitipanyany。ACL信息查看：Switch#showaccess-lists1ExtendedIPaccesslist:1denytcpanyanyeq135denytcpanyanyeq136denytcpanyanyeq137denytcpanyanyeq138denytcpanyanyeq139denytcpanyanyeq443denytcpa

22、nyanyeq445permitipanyanySwitch#1.8端口安全端口安全可以通过限制允许访问交换机上某个端口的MAC地址以及IP来实现控制对该端口的输入。当安全端口配置了一些安全地址后，则除了源地址为这些安全地址的包外，此端口将不转发其它任何报文。可以限制一个端口上能包含的安全地址最大个数，如果将最大个数设置为1,并且为该端口配置一个安全地址，则连接到这个口的工作站(其地址为配置的安全M地址)将独享该端口的全部带宽。端口安全配置：Switch(config)#interfacerangef0/1Switch(config-if)#switchportport-security开启端

23、口安全Switch(config-if)#switchportport-security关闭端口安全Switch(config-if)#switchportport-securitymaximum8设置端口能包含的最大安全地址数为8Switch(config-if)#switchportport-securityviolationprotect设置处理违例的方式为protectSwitch(config-if)#switchportport-securitymac-address00d0.f800.073cip-address在接口fastethernet0/1配置一个安全地址00d0.f80

24、0.073c，并为其绑定一个IP地址：Switch(config-if)#noswitchportport-securitymac-address00d0.f800.073cip-address删除接口上配置的安全地址以上配置的最大安全地址数为8个，但只在端口上绑定了一个安全地址，所以该端口仍然能学习7个地址。违例处理方式有：protect：保护端口，当安全地址个数满后，安全端口将丢弃未知名地址(不是该端口的安全地址。restrict：当违例产生时，将发送一个Trap通知。shutdown：当违例产生时，将关闭端口并发送一个Trap通知。端口安全信息查看：Switch#showport-sec

25、urityinterfacefastethernet0/3查看接口f0/3的端口安全配置信息。Interface:Fa0/3PortSecurity:EnabledPortstatus:downViolationmode:ShutdownMaximumMACAddresses:8TotalMACAddresses:0ConfiguredMACAddresses:0Agingtime:8minsSecureStaticaddressaging:EnabledSwitch#showport-securityaddress查看安全地址信息VlanMacAddressIPAddressTypePort

26、RemainingAge(mins)00d0.f800.073c02ConfiguredFa0/38100d0.f800.3cc9ConfiguredFa0/17一个安全端口只能是一个accessport；802.1x认证功能和端口安全不能同时打开；在同一个端口上不能同时应用绑定IP的安全地址和ACL,否则会提示属性错误：Error:Attributeconflict。1.9交换机防攻击配置防ARP攻击：在交换机上对防ARP攻击的功能有：IP和MAC地址的绑定：Switch(config)#arpip-addresshardware-addresstypeinterface-idSwitch(

27、config)#arp1100d0.f800.073carpagigabitethernet0/1此命令只有三层交换机支持。防网关被欺骗：假设交换机的千兆口为上联口，百兆端口接用户，上联口接网关。如果某个用户假冒网关的IP发出ARP请求，那么其他用户无法区分是真正的网关还是假冒的网关，把假冒网关的ARP保存到本机的ARP列表中，最终将造成用户上网不正常。针对ARP欺骗的手段，可以通过设置交换机的防ARP欺骗功能来防止网关被欺骗。具体的做法就是，在用户端口上通过防ARP欺骗命令设置要防止欺骗的IP，阻止以该设置IP为源IP地址的ARP通过交换机，这样可以保证交换机下联端口的主机无法进行网关ARP

28、欺骗。如图6,防网关被欺骗配置在靠近用户侧的设备上。配置：Switch(config)#Interfaceinterface-id/进入指定端口进行配置。Switch(config-if)#Anti-ARP-Spoofingipip-address/配置防止ip-address的ARP欺骗。配置实例：假设S2126GG1/1接上联端口，Fa0/124接用户，网关ip地址为，在端口1到24口设置防网关ARP欺骗如下：Switch(config)#interrangefastEthernet0/1-24进入端口Fa0/124进行配置。Switch(config-if-range)#anti-ARP

29、-Spoofingip设置防止arp欺骗Switch(config-if-range)#noanti-ARP-Spoofingip去掉防ARP欺骗。防网关被欺骗只能配置在用户端口处，不能配置在交换机的上联口，否则会造成网络中断。防网关被欺骗不能防ARP主机欺骗，也就是说该功能只是在一定程度上减少ARP欺骗的可能性，并不是完全防止ARP欺骗。防STP攻击：网络中攻击者可以发送虚假的BPDU报文，扰乱网络拓扑和链路架构，充当网络根节点，获取信息。采取的防范措施：对于接入层交换机，在没有冗余链路的情况下，尽量不用开启STP协议。(传统的防范方式)。使用交换机具备的BPDUGuard功能，可以禁止网络

30、中直接接用户的端口或接入层交换机的下连端口收到BPDU报文。从而防范用户发送非法BPDU报文。配置：Switch(config)#interfastEthernet0/1/进入端口Fa0/1。Switch(config-if)#spanning-treebpduguardenable打开该端口的的BPDUguard功能Switch(config-if)#spanning-treebpduguarddiaable关闭该端口的的BPDUguard功能打开的BPDUguard，如果在该端口上收到BPDU，则会进入error-disabled状态，只有手工把该端口shutdown然后再noshutdo

31、wn或者重新启动交换机，才能恢复。该功能只能在直接面向PC的端口打开，不能在上联口或非直接接PC的端口打开。防DOS/DDOS攻击：DoS/DDoS(拒绝服务攻击/分布式拒绝服务攻击)：它是指故意攻击网络协议的缺陷或直接通过野蛮手段耗尽受攻击目标的资源，目的是让目标计算机或网络无法提供正常的服务，甚至系统崩溃。锐捷交换机可设置基于RFC2827的入口过滤规则，如图7：配置：Switch(config)#interfastEthernet0/1进入端口Fa0/1。Switch(config-if)#ipdenyspoofing-source预防伪造源IP的DOS攻击的入口过滤功能。丢弃所有与此网

32、络接口前缀不符合的输入报文。Switch(config-if)#noipdenyspoofing-source关闭入口过滤功能。只有配置了网络地址的三层接口才支持预防DoS攻击的入口过滤功能。注意只能在直连(connected)接口配置该过滤，在和骨干层相连的汇聚层接口(即uplink口)上设置入口过滤，会导致来自于internet各种源ip报文无法到达该汇聚层下链的主机。只能在一个接口上关联输入ACL或者设置入口过滤，二者不能同时应用。如果已经将一个接口应用了一个ACL，再打开预防DoS的入口过滤，将导致后者产生的ACL代替前者和接口关联。反之亦然。在设置基于defeatDoS的入口过滤后，

33、如果修改了网络接口地址，必须关闭入口过滤然后再打开，这样才能使入口过滤对新的网络地址生效。同样，对SVI应用了入口过滤，SVI对应物理端口的变化，也要重新设置入口过滤。S57系列交换机中S5750S不支持DefeatDoS。IP扫描攻击：目前发现的扫描攻击有两种：目的田地址变化的扫描，称为scandestipattack。这种扫描最危害网络，消耗网络带宽，增加交换机负担。目的IP地址不存在，却不断的发送大量报文，称为samedestipattack。对三层交换机来说，如果目的IP地址存在，则报文的转发会通过交换芯片直接转发，不会占用交换机CPU的资源，而如果目的不存在，交换机CPU会定时的尝试

34、连接，而如果大量的这种攻击存在，也会消耗着CPU资源。配置：Switch(config)#system-guardenable打开系统保护Switch(config)#nosystem-guard关闭系统保护功能非法用户隔离时间每个端口均为120秒对某个不存在的IP不断的发IP报文进行攻击的最大阀值每个端口均为每秒20个对一批IP网段进行扫描攻击的最大阀值每个端口均为每秒10个监控攻击主机的最大数目100台主机查看信息：Switch#showsystem-guardisolated-ipinterfaceip-addressisolatereasonremain-time(second)Fa0

35、/119scanipattack110Fa0/109sameipattack61以上几栏分别表示：已隔离的IP地址出现的端口、已隔离的IP地址，隔离原因，隔离的剩余时间。isolatereason中有可能会显示chipresourcefull，这是因为交换机隔离了较多的用户，导致交换机的硬件芯片资源占满(根据实际的交换机运作及ACL设置，这个数目大约是每端口可隔离100120个IP地址)，这些用户并没有实际的被隔离，管理员需要采取其他措施来处理这些攻击者。另外，当非法用户被隔离时，会发一个LOG记录到日志系统中，以备管理员查询，非法用户隔离解除时也会发一个LOG通知。DHCP配置按照通常的DH

36、CP应用模式(ClientServer模式)，由于DHCP请求报文的目的IP地址为55，因此每个子网都要有一个DHCPServer来管理这个子网内的IP动态分配情况。为了解决这个问题，DHCPRelayAgent就产生了，它把收到的DHCP请求报文转发给DHCPServer,同时，把收到的DHCP响应报文转发给DHCPClient。DHCPRelayAgent就相当于一个转发站，负责沟通不同广播域间的DHCPClient和DHCPServer的通讯。这样就实现了局域网内只要安装一个DHCPServer就可对所有网段的动态IP管理，即ClientRelayAgentServer模式的DHCP动态

37、IP管理。如图8,DHCPRELAY功能使用在网络中只有一台DHCPSERVER,但却有多个子网的网络中：配置：打开DHCPRelayAgent：Switch(config)#servicedhcp打开DHCP服务，这里指打开DHCPRelayAgentSwitch(config)#noservicedhcp/关闭DHCP月艮务配置DHCPServer的IP地址：Switch(config)#iphelper-addressaddress/设置DHCPServer的IP地址配置实例：Switch(config)#servicedhcpSwitch(config)#iphelper-addres

38、s/设置DHCPServer的IP地址为配置了DHCPServer,交换机所收到的DHCP请求报文将全部转发给它，同时，收到Server的响应报文也会转发给DHCPCliento三层交换机配置SVI：SVI(Switchvirtualinterface)是和某个VLAN关联的IP接口。每个SVI只能和一个VLAN关联，可分为以下两种类型：SVI是本机的管理接口，通过该管理接口管理员可管理交换机。SVI是一个网关接口，用于3层交换机中跨VLAN之间的路由。配置：switch(config)#interfacevlan10/把VLAN10配置成SVIswitch(config)#nointerfa

39、cevlan10删除SVIswitch(config-if)#ipaddress给该SVI接口配置一个IP地址switch(config-if)#noipaddress/删除该SVI接口上的IP地址此功能一般应用在三层交换机做网关的时候，应用SVI在该设备上建立相关VLAN的网关IPoRoutedPort:在三层交换机上，可以使用单个物理端口作为三层交换的网关接口，这个接口称为RoutedportoRoutedport不具备2层交换的功能。通过noswitchport命令将一个2层接口switchport转变为Routedport,然后给Routedport分配IP地址来建立路由。配置：swi

40、tch(config)#interfacefa0/1switch(config-if)#noswitch把f0/1变成路由口switch(config-if)#switch把接口恢复成交换口switch(config-if)#ipaddress可配置ip地址等一个限制是，当一个接口是L2AggregatePort的成员口时，是不能用switchport/noswitchport命令进行层次切换的。该功能一般应用在对端设备是路由器或对端端口作路由接口使用。二、路由配置：静态路由是由用户自行设定的路由，这些路由指定了报文从源地址到目的地址所走的路径。锐捷网络所有三层交换机都支持路由功能，包括静态路

41、由、默认路由、动态路由。静态路由配置：switch(config)#iproute目的地址掩码下一跳添加一条路由switch(config)#noiproute目的地址掩码删除掉某条路由默认路由配置：switch(config)#iproute下一跳switch(config)#noiproute下一跳删除某条默认路由。配置实例：switch(config)#iproute配置到网段的下一跳ip地址为switch(config)#iproute/配置一条默认路由，下一跳为信息显示：switch#showiproute显示当前路由表的状态switch#shiprouteCodes:C-conne

42、cted,S-static,R-RIPO-OSPF,IA-OSPFinterareaN1-OSPFNSSAexternaltype1,N2-OSPFNSSAexternaltype2E1-OSPFexternaltype1,E2-OSPFexternaltype2*-candidatedefaultGatewayoflastresortistonetworkS*/01/0via,FastEthernet1/0C6/32islocalhost.C/32isdirectlyconnected,dialer1S/241/0via,FastEthernet0/0C/24isdirectlyconnec

43、ted,FastEthernet0/0C53/32islocalhost.C/29isdirectlyconnected,FastEthernet1/0C/32islocalhost.S/241/0via,FastEthernet1/0Switch#S代表是静态路由，C代表是直连路由。三、交换机常用查看命令showcpu查看CPU利用率switch#showcpuCPUutilizationforfiveseconds:3%CPUutilizationforoneminute:6%CPUutilizationforfiveminutes:6%如果CPU利用率偏高，就要考虑网络中是否有攻击或者网络设备是否能胜任当前的网络负载。一般来说，CPU