H3C交換機基本配置命令.doc

.H3C交換機基本配置核心交換機作為公司核心網(wǎng)絡(luò)的主要中樞，合理的配置1. 認證方式為Scheme時的Telnet登錄配置dis cu查看當前配置h3ctelnetserverenable /啟動Telnet服務(wù)h3clocal-userwinda /創(chuàng)建本地用戶windah3c-luser-windapasswordcipher123456 /為本地用戶winda創(chuàng)建密文顯示的密碼h3c-luser-windaservice-typetelnet /定義該用戶的服務(wù)類型為telneth3c-luser-windaauthorization-attributelevel3 /定義該用戶的特權(quán)級別h3c-luser-windaquit /退出用戶配置模式h3cuser-interfacevty04 /設(shè)置虛擬用戶端口h3c-ui-vty0-4authentication-modescheme /設(shè)定遠程登錄用戶的登錄方式使用用戶名和密碼h3c-ui-vty0-4userprivilegelevel3 /設(shè)置遠程登錄用戶登錄后的最高級別2. 以太網(wǎng)端口的基本配置（1）二層以太網(wǎng)端口中，包括三種類型：Access、Trunk、HybridInterface Ethernet 1/0/1 /進入以太網(wǎng)端口視圖port link-type access /access端口：只能屬于一個VLANport link-type trunk /trunk端口：屬于多個VLAN，只允許默認VLAN的報文發(fā)送時不攜帶VLAN標簽port link-type hybrid /hybrid端口：屬于多個VLAN，可以允許多個VLAN的報文發(fā)送時不攜帶VLAN標簽description text /設(shè)置以太網(wǎng)端口的描述字符串，用來表示該端口duplex auto |full |half /設(shè)置以太網(wǎng)端口的雙工模式speed10 |100 |1000 |10000 | auto /設(shè)置以太網(wǎng)端口的速率（2）以太網(wǎng)端口環(huán)回監(jiān)測功能配置loopback-detection enable /開啟環(huán)回監(jiān)測功能（3）端口組配置（手工端口組）S3610、S5120、S5800系列：port-group manual port-group-name /創(chuàng)建手工端口組，并進入手工端口組視圖S5510-EI系列：port-group group-idS3610、S5120、S5800系列：group-member interface-list /添加二層以太網(wǎng)端口到指定手工端口組中S5510-EI系列：port interface-list（4）手工端口匯聚組配置link-aggregation group agg-id mode manual /創(chuàng)建手工匯聚組link-aggregation group agg-id description agg-name /配置匯聚組描述符port link-aggregation group agg-id /將以太網(wǎng)端口加入到指定的匯聚組（5）端口綁定配置am user-bind mac-addr mac-address |ip-addr ip-address* interface-list /將合法用戶的MAC地址和IP地址綁定到指定的端口上（6）三層接口IP地址配置interface vlan-interface vlan-idip address ip-address mask |mask-length sub3. VLAN的基本配置（1） VLAN的創(chuàng)建vlan vlan-id /創(chuàng)建VLAN（2） 基于端口VLAN配置Access端口：port link-type access /(可選)默認情況下，端口的鏈路類型為access類型port access vlan vlan-id /將當前access端口加入到指定vlanTrunk端口：port link-type trunk /配置端口的鏈路類型為trunk類型port trunk permit vlan vlan-id-list | all /將以上trunk端口加入到指定一個或多個VLANport trunk pvid vlan vlan-id /（可選）設(shè)置以上trunk端口的默認VLANHybrid端口：port link-type hybrid /配置端口的鏈路類型為hybrid類型port hybrid vlan vlan-id-list tagged |untagged /將以上hybrid端口加入到指定的一個或多個VLAN中port hybrid pvid vlan vlan-id /（可選）設(shè)置以上hybrid端口的默認VLAN4. 端口鏡像配置（1） 本地端口鏡像配置mirroring-group group-id local /未鏡像組配置源端口，創(chuàng)建本地鏡像組l mirroring-group group-id mirroring-port mirroring-port-list both |inbound |outbound /在系統(tǒng)視圖下配置指定端口為本地鏡像組的源端口l interface interface-type interface-numbermirroring-group group-id mirroring-port both |inbound |outbound/在接口視圖下配置指定端口為本地鏡像組的源端口mirroring-group group-id mirroring-vlan mirroring-vlan-list both | inbound |outbound/為本地鏡像組配置源vlan，一個鏡像組內(nèi)可以配置多個源vlanl mirroring-group group-id monitor-port monitor-port-id /在系統(tǒng)視圖下配置指定端口為本地鏡像組的目的端口l interface interface-type interface-numbermirroring-group group-id monitor-port/在接口視圖下配置指定端口為本地鏡像組的目的端口（2） 二層遠程端口鏡像配置a.反射端口方式b.出端口方式1) 低端H3C交換機遠程端口鏡像的配置，如S3100、S5510、S5600：u 充當源交換機時的配置remote-probe vlan enable /將當前VLAN配置為遠程鏡像VLANmirroring stp-collaboration /（可選）開啟端口鏡像與STP聯(lián)動功能，開啟該功能后，設(shè)備將通過監(jiān)測端口的STP狀態(tài)來自動控制該端口上的鏡像功能是否生效。mirroring-group group-id remote-source /創(chuàng)建遠程源鏡像組mirroring-group group-id mirroring-port mirroring-port-list both |inbound |outbound /配置遠程端口鏡像源端口mirroring-group group-id reflector-port reflector-port /為遠程鏡像組配置反射端口mirroring-group group-id remote-probe vlan remote-probe-vlan-id/為指定遠程源鏡像組配置遠程鏡像VLANu 充當中間交換機時的配置remote-probe vlan enable /定義當前VLAN配置為遠程鏡像VLANu 充當目的交換機的配置remote-probe vlan enable /定義當前VLAN配置為遠程鏡像VLANmirroring-group group-id remote-destination /配置遠程目的鏡像組mirroring-group group-id monitor-port monitor-port /為遠程目的鏡像組配置目的端口mirroring-group group-id remote-probe vlan remote-probe-vlan-id/為遠程鏡像組配置遠程鏡像VLAN2) 中高端H3C交換機二層遠程端口鏡像的配置 遠程源鏡像組配置：mirroring-group group-id remote-source /創(chuàng)建遠程源鏡像組l mirroring-group group-id mirroring-port mirroring-port-list both |inbound |outbound /系統(tǒng)視圖下配置指定端口為遠程源鏡像組源端口l interface interface-type interface-numbermirroring-group group-id mirroring-port both |inbound |outbound /接口視圖下配置指定端口為遠程源鏡像組源端口mirroring-group group-id mirroring-vlan mirroring-vlan-list both | inbound | outbound/為遠程源鏡像組配置源VLANl mirroring-group group-id monitor-egress monitor-egress-port-id /系統(tǒng)視圖下配置指定端口為遠程源鏡像組的出端口l interface interface-type interface-numbermirroring-group group-id monitor-egress /接口視圖下配置指定端口為遠程源鏡像組的出端口l mirroring-group group-id reflector-port reflector-port /系統(tǒng)視圖下配置指定端口為遠程源鏡像組的反射端口l interface interface-type interface-numbermirroring-group group-id reflector-port /接口視圖下配置指定端口為遠程源鏡像組的反射端口mirroring-group group-id remote-probe vlan remote-probe-vlan-id/為遠程源鏡像組配置遠程鏡像VLAN 遠程目的鏡像組配置mirroring-group group-id remote-destination /配置遠程目的鏡像組l mirroring-group group-id monitor-port monitor-port-id /系統(tǒng)視圖下配置指定端口為遠程目的鏡像組的目的端口l interface interface-type interface-numbermirroring-group group-id monitor-port /接口視圖下配置指定端口為遠程目的鏡像組的目的端口mirroring-group group-id remote-probe vlan remote-probe-vlan-id/為遠程目的鏡像組配置遠程鏡像VLAN（3） 三層遠程端口鏡像配置1) GRE隧道的配置interface tunnel interface-number /創(chuàng)建一個Tunnel接口，并進入該視圖ip address ip-address mask | mask-length /設(shè)置Tunnel接口的IPV4地址tunnel-protocol gre /配置隧道模式為GRE隧道模式source ip-address | interface-type interface-number /設(shè)置Tunnel接口的源端地址或接口destination ip-address /設(shè)置Tunnel接口的目的端地址2) 三層遠程端口鏡像配置mirroring-group group-id local /創(chuàng)建本地鏡像組l mirroring-group group-id mirroring-port mirroring-port-list both |inbound |outbound /系統(tǒng)視圖下為本地鏡像組配置源端口l interface interface-type interface-numbermirroring-group group-id mirroring-port both |inbound |outbound /接口視圖下為本地鏡像組配置源端口mirroring-group group-id mirroring-cpu slot slot-number-list both | inbound |outbound/（僅S58系列支持）在系統(tǒng)視圖下為本地鏡像組配置源CPUl mirroring-group group-id monitor-port monitor-port-id /系統(tǒng)視圖下為本地鏡像組配置目的端口l interface interface-type interface-numbermirroring-group group-id monitor-port /接口視圖下為本地鏡像組配置目的端口5. DHCP基本配置舉例常見的DHCP組網(wǎng)方式可分為兩類：一種是DHCP服務(wù)器和客戶端都在一個子網(wǎng)內(nèi)，直接進行DHCP協(xié)議的交互；第二種是DHCP服務(wù)器和客戶端分別處于不同的子網(wǎng)中，必須通過DHCP中繼代理實現(xiàn)IP地址的分配。（1）DHCP地址池的配置示例一：DHCP服務(wù)器為同一網(wǎng)段中的客戶端動態(tài)分配IP地址，地址池網(wǎng)段/24分為兩個網(wǎng)段：/25和28/25。DHCP服務(wù)器兩個Ethernet接口地址分別為/25和29/25。網(wǎng)段/25內(nèi)的地址租用期限為10天12小時，域名為，DNS地址為，無NetBIOS地址，出口路由器地址為26；網(wǎng)段28/25網(wǎng)段內(nèi)的地址租用期限為5天，DNS地址為，NetBIOS地址為，出口路由器的地址為54。#啟動DHCP服務(wù)dhcpenable#配置接口工作在DHCP服務(wù)器模式下，并從全局地址池中分配IP地址。dhcpselectglobalinterfaceethernet0/0/0toethernet0/0/1#配置不參與自動分配的IP地址（DNS、NetBIOS和出口網(wǎng)關(guān)地址）。dhcpserverforbidden-ipdhcpserverforbidden-ipdhcpserverforbidden-ip26dhcpserverforbidden-ip54#配置DHCP地址池0的共有屬性（地址池范圍、DNS地址）。dhcpserverip-pool0network mask dns-list#配置DHCP地址池1的屬性（地址池范圍、出口網(wǎng)關(guān)、地址租用期限）。gateway-list26expiredday10hour12#配置DHCP地址池2的屬性（地址池范圍、出口網(wǎng)關(guān)、NetBIOS地址、地址租用期限）。dhcpserverip-pool2network28mask28expiredday5nbns-listgateway-list54（2） DHCP中繼配置dhcp enabledhcp relay server-group group-id ip ip-addressinterface Vlan-interface vlan-idip address ip-address mask |mask-length subdhcp select relaydhcp relay server-select group-id 6. SNMP配置snmp-agent sys-info contact /設(shè)置管理員的標識及聯(lián)系方法，請把替換為你要設(shè)置成的值，下同。這個值初始是HuaWei BeiJing China，用指令display current-configuration可以在當前執(zhí)行的配置的靠末尾看到該項。snmp-agent sys-info location /設(shè)置交換機的位置信息，這項初始沒有設(shè)置。snmp-agent community read public/設(shè)置一個華為交換機snmp Community，使用該Community連接交換機時，只可以讀取其華為交換機snmp信息。你可以把指令中的public換成你想要的字符串。snmp-agent community write private/設(shè)置一個華為交換機snmp Community，使用該Community連接交換機時，不僅可以讀取其華為交換機snmp信息，還可以將值寫入華為交換機snmp的MIB對象，實現(xiàn)對設(shè)備進行配置。你可以把指令中的private換成你想要的字符串。snmp-agent sys-info version all/設(shè)置交換機支持的華為交換機snmp協(xié)議，有v1,v2c,v3這3個版本，如果你不確定，最好設(shè)為all，將會同時支持這3個協(xié)議。在S3050C-0025上初始是只支持v3版本的，如果你沒有正確設(shè)定它，mibbrower等一些讀取軟件可能會無法讀取信息。7. ACL配置基本ACL：編號范圍：20002999高級ACL：編號范圍：30003999二層ACL：編號范圍：40004999（1） 基本ACL配置acl number acl-number name acl-namematch-order auto | config /創(chuàng)建基本ACL并進入基本ACL視圖description text /（可選）定義ACL的描述信息step step-value /（可選）定義ACL規(guī)則編號步長rule rule-iddeny | permit counting |fragment |logging |source sour-addr sour-wildcard | any | time-range time-range-name |vpn-instance vpn-instance-name*/為以上IPV4基本ACL創(chuàng)建一條規(guī)則rule rule-id comment text /（可選）為指定的規(guī)則配置描述信息hardware-count enable /（可選）開啟基于硬件應(yīng)用的ACL統(tǒng)計功能（2） 高級ACL配置acl number acl-number name acl-namematch-order auto | config /創(chuàng)建IPV4高級ACL并進入高級ACL視圖description text /（可選）定義ACL的描述信息step step-value /（可選）定義ACL規(guī)則編號步長rule rule-iddeny | permit protocol ack ack-value |fin fin-value |psh psh-value |rst rst-value |syn syn-value |urg urg-value * |established |counting |destination dest-addr dest-wildcard |any |destination-port operator port1port2 | dscp dscp |fragment |icmp-type icmp-type icmp-code |icmp-message | logging | precedence precedence |reflective |source sour-addr sour-wildcard | any |source-port |operator port1port2 |time-range time-range-name |tos tos |vpn-instance vpn-instance-name*/為以上IPV4高級ACL創(chuàng)建一條規(guī)則rule rule-id comment text /（可選）為指定的規(guī)則配置描述信息hardware-count enable /（可選）開啟基于硬件應(yīng)用的ACL統(tǒng)計功能（3） 二層ACL配置acl number acl-number name acl-namematch-order auto | config /創(chuàng)建二層ACL并進入二層ACL視圖description text /（可選）定義ACL的描述信息step step-value /（可選）定義ACL規(guī)則編號步長rule rule-iddeny | permit cos vlan-pri |counting |dest-mac dest-addr dest-mask |lsap lsap-type lsap-type-mask |type protocol-type protocol-type-mask |source-mac sour-addr source-mask |time-range time-range-name */定義二層ACL規(guī)則rule rule-id comment text /（可選）為指定的規(guī)則配置描述信息hardware-count enable /（可選）開啟基于硬件應(yīng)用的ACL統(tǒng)計功能（4） ACL應(yīng)用配置acl copy source-acl-number |name source-acl-name to dest-acl-number |name dest-acl-name/ACL復(fù)制packet-filter vlan vlan-id inbound acl-rule/（可選）在指定VLAN中應(yīng)用ACL，對VLAN中的所有端口上接收到的數(shù)據(jù)包進行過濾8. QoS配置（1） 定義流分類和匹配規(guī)則；（2） 定義流行為；（3） 定義QoS策略，并將流分類和流行為綁定在一起；（4） 應(yīng)用QoS策略。l 定義流分類traffic classifier tcl-name operator and |or /定義一個流分類，并進入類視圖if-match match-criteria /定義對應(yīng)流分類的匹配規(guī)則l 定義流行為traffic behavior behavior-name /定義流行為，并進入流行為視圖l 定義QoS策略qos policy policy-name /定義策略并進入視圖classifier tcl-name behavior behavior-name mode dcbx |dot1q-tag-manipulation/在策略中為類指定采用的流行為l 應(yīng)用QoS策略1) 基于全局應(yīng)用QoS策略qos apply policy policy-name global inbound |outbound2) 基于端口應(yīng)用QoS策略qos apply policy policy-name inbound |outbound3) 基于在線用戶應(yīng)用QoS策略user-profile profile-name /創(chuàng)建User Profile并進入相應(yīng)的user-profile視圖qos apply policy policy-name inbound |outbound /在對應(yīng)的在線用戶上應(yīng)用指定關(guān)聯(lián)的QoS策略user-profile profile-name enable /激活User profile4) 基于VLAN應(yīng)用QoS策略qos vlan-policy policy-name vlan vlan-id-list inbound |outbound5) 基于控制平面應(yīng)用QoS策略control-plane slot slot-number /進入控制平面視圖qos apply policy policy-name inbound /在控制平面入方向上應(yīng)用指定的QoS策略9. IRF配置（1）Fabric端口配置fabric-port interface-type interface-number enable /在系統(tǒng)視圖下開啟Fabric端口interface interface-type interface-numberport link-type irf-fabric /在對應(yīng)以太網(wǎng)端口視圖下將對應(yīng)以太網(wǎng)端口配置為Fabric端口（2） UnitID配置change self-unit to unit-id | auto-numbering /系統(tǒng)視圖下配置本地交換機的UnitID1) 更改當前交換機的UnitIDchange unit-id to unit-id | auto-numbering2) 修改堆疊中其他交換機的UnitIDchange unit-id unit-id1 to unit-id2 | auto-numbering3) 保存或取消設(shè)置更改fabric save-unit-id10. IRF2配置（1） IRF基本配置irf domain domain-id /IRF域編號配置irf member member-id renumber new-member-id /IRF2成員編號配置（2） IRF2端口配置irf-port member-id/port-number /創(chuàng)建IRF2邏輯端口，進入IRF2邏輯端口視圖 port group interface interface-type interface-number mode enhanced |normal /將IRF2邏輯端口和IRF2物理端口綁定irf-port-configuration active /激活設(shè)備中所有IRF2邏輯端口下的配置（3） IRF2成員優(yōu)先級配置irf member member-id priority priority（4） IRF2成員設(shè)備描述信息配置irf member member-id description text（5） IRF2鏈路負載分擔類型配置irf-port load-sharing mode destination-ip |destination-mac |source-ip |source-mac*（6） IRF2的橋MAC保留時間配置irf mac-address persistent timer |always（7） 啟用IRF2系統(tǒng)啟動文件的自動加載功能irf auto-update enable（8） IRF2鏈路down延遲上報功能配置irf link-delay interval（9） IRF2 MAD配置IRF2支持多IRF2的三種MAD檢測方式：LACP MAD檢測、BFD MAD檢測、ARP MAD檢測。1 LACP MAD檢測配置interface bridge-aggregation interface-number /創(chuàng)建二層聚合接口和二層聚合組，并進入二層聚合端口視圖link-aggregation mode dynamic/配置以上聚合組工作在動態(tài)聚合模式下mad enable /在以上靜態(tài)聚合組中啟用LACP MAD檢測功能interface interface-type interface-numberport link-aggregation group number /將以上二層以太網(wǎng)端口加入到指定的聚合組2 BFD MAD檢測interface vlan-interface interface-numbermad bfd enable /在以上VLAN接口上啟用BFD MAD檢測功能mad ip address ip-address mask |mask-length member member-id/為指定成員設(shè)備的以上VLAN接口配置MAD IP地址3 ARP MAD檢測interface vlan-interface interface-numberip address ip-address mask |mask-lengthmad arp enable /在以上VLAN接口上啟用ARP MAD檢測功能11. ARP配置arp static ip-address mac-address vlan-id interface-type interface-number/手工添加靜態(tài)ARP表項，相當于IP與MAC地址的靜態(tài)綁定arp timer aging aging-time /配置動態(tài)ARP表項的老化時間arp check enable /開啟ARP表項的檢查功能display arp dynamic |static | ip-address /顯示當前交換機上的ARP表項display arp dynamic |staic |begin |include |exclude regular-expression /查看包含指定內(nèi)容的ARP映射表display arp count dynamic |static|begin |include |exclude regular-expression | ip-address /查看指定類型的ARP表項的數(shù)目display arp count detection statistics interface interface-type interface-number /查看指定端口被丟棄掉的不可信任的ARP報文的數(shù)量display arp timer aging /查看動態(tài)ARP老化定時器的時間reset arp dynamic |static |interface interface-type interface-number /消除ARP表項interface vlan-interface vlan-idarp max-learning-num number /在VLAN接口視圖下配置允許學(xué)習(xí)的動態(tài)ARP表項的最大數(shù)目arp anti-attack valid-check enable /系統(tǒng)視圖下開啟對ARP報文源MAC地址一致性檢查功能#ARP入侵檢測功能配置：dhcp-snooping /全局開啟交換機DHCP Snooping功能ip source static import dot1x /全局開啟基于802.1x認證用戶的ARP入侵檢測功能interface interface-type interface-numberdhcp-snooping trust /配置DHCP Snooping的信任端口arp detection trust /設(shè)置當前端口為ARP信任端口vlan vlan-id /進入VLAN視圖arp detection enable /開啟指定VLAN內(nèi)所有端口的ARP入侵檢測功能arp restricted-forwarding enable /在對應(yīng)VLAN內(nèi)開啟ARP嚴格轉(zhuǎn)發(fā)功能 #ARP報文限速功能配置：interface interface-type interface-numberarp rate-limit enable /開啟以上端口的ARP報文限速功能arp rate-limit rate /配置允許通過的ARP報文的最大速率arp protective-down recover enable /全局開啟交換機上的端口狀態(tài)自動恢復(fù)功能arp protective-down recover interval interval/全局設(shè)置端口狀態(tài)由關(guān)閉恢復(fù)為開啟的時間間隔#ARP代理配置：interface Vlan-interface vlan-idarp proxy enable /開啟普通代理ARP功能local-proxy-arp enable ip-range startIP to endIP /開啟本地代理ARP功能display arp proxy interface vlan-interface vlan-id /顯示普通代理ARP和本地代理ARP的狀態(tài)12. 集群配置（1） NDP的啟用及參數(shù)配置ndp enable /啟用NDP用于收集鄰接設(shè)備信息ndp timer aging aging-in-seconds /指定接收設(shè)備應(yīng)該保持本設(shè)備發(fā)送的NDP報文時間ndp timer hello seconds /修改NDP信息的更新頻率（2） NTDP的啟用及參數(shù)配置ntdp ena