交換機(jī)配置（七）DHCP配置
1，交換機(jī)作DHCP Server
『配置環(huán)境參數(shù)』
1. PC1、PC2的網(wǎng)卡均采用動(dòng)態(tài)獲取IP地址的方式
2. PC1連接到交換機(jī)的以太網(wǎng)端口0/1，屬于VLAN10；PC2連接到交換機(jī)的以太網(wǎng)端口0/2，屬于VLAN20
3. 三層交換機(jī)SwitchA的VLAN接口10地址為10.1.1.1/24，VLAN接口20地址為10.1.2.1/24
『組網(wǎng)需求』
1. PC1可以動(dòng)態(tài)獲取10.1.1.0/24網(wǎng)段地址，并且網(wǎng)關(guān)地址為10.1.1.1；PC2可以動(dòng)態(tài)獲取10.1.2.0/24網(wǎng)段地址，并且網(wǎng)關(guān)地址為10.1.2.1
『DHCP Server配置流程流程』
可以完成對(duì)直接連接到三層交換機(jī)的PC機(jī)分配IP地址，也可以對(duì)通過DHCP中繼設(shè)備連接到三層交換機(jī)的PC機(jī)分配IP地址。
分配地址的方式可以采用接口方式，或者全局地址池方式。
【SwitchA采用接口方式分配地址相關(guān)配置】
1. 創(chuàng)建（進(jìn)入）VLAN10
[SwitchA]vlan 10
2. 將E0/1加入到VLAN10
[SwitchA-vlan10]port Ethernet 0/1
3. 創(chuàng)建（進(jìn)入）VLAN接口10
[SwitchA]interface Vlan-interface 10
4. 為VLAN接口10配置IP地址
[SwitchA-Vlan-interface10]ip address 10.1.1.1 255.255.255.0
5. 在VLAN接口10上選擇接口方式分配IP地址
[SwitchA-Vlan-interface10]dhcp select interface
6. 禁止將PC機(jī)的網(wǎng)關(guān)地址分配給用戶
[SwitchA]dhcp server forbidden-ip 10.1.1.1
【SwitchA采用全局地址池方式分配地址相關(guān)配置】
1. 創(chuàng)建（進(jìn)入）VLAN10
[SwitchA]vlan 10
2. 將E0/1加入到VLAN10
[SwitchA-vlan10]port Ethernet 0/1
3. 創(chuàng)建（進(jìn)入）VLAN接口10
[SwitchA]interface Vlan-interface 10
4. 為VLAN接口10配置IP地址
[SwitchA-Vlan-interface10]ip address 10.1.1.1 255.255.255.0
5. 在VLAN接口10上選擇全局地址池方式分配IP地址
[SwitchA-Vlan-interface10]dhcp select global
6. 創(chuàng)建全局地址池，并命名為”vlan10”
[SwitchA]dhcp server ip-pool vlan10
7. 配置vlan10地址池給用戶分配的地址范圍以及用戶的網(wǎng)關(guān)地址
[SwitchA-dhcp-vlan10]network 10.1.1.0 mask 255.255.255.0
[SwitchA-dhcp-vlan10]gateway-list 10.1.1.1
8. 禁止將PC機(jī)的網(wǎng)關(guān)地址分配給用戶
[SwitchA]dhcp server forbidden-ip 10.1.1.1
【補(bǔ)充說明】
以上配置以VLAN10的為例，VLAN20的配置參照VLAN10的配置即可。在采用全局地址池方式時(shí)，需新建一個(gè)與”vlan10”不同名的全局地址池。
經(jīng)過以上配置，可以完成為PC1分配的IP地址為10.1.1.0/24，同時(shí)PC1的網(wǎng)關(guān)地址為10.1.1.1；為PC2分配的IP地址為10.1.2.0/24，同時(shí)PC2的網(wǎng)關(guān)地址為10.1.2.1。
VLAN接口默認(rèn)情況下以全局地址池方式進(jìn)行地址分配，因此當(dāng)VLAN接口配置了以全局地址池方式進(jìn)行地址分配后，查看交換機(jī)當(dāng)前配置時(shí)，在相應(yīng)的VLAN接口下無法看到有關(guān)DHCP的配置。
利用全局地址池方式，可以完成為用戶分配與三層交換機(jī)本身VLAN接口地址不同網(wǎng)段的IP地址。
2，DHCP Relay配置
『配置環(huán)境參數(shù)』
1. DHCP Server的IP地址為192.168.0.10/24
2. DHCP Server連接在交換機(jī)的G1/1端口，屬于vlan100，網(wǎng)關(guān)即交換機(jī)vlan接口100的地址192.168.0.1/24
3. E0/1-E0/10屬于vlan10，網(wǎng)段地址10.10.1.1/24
4. E0/11-E0/20屬于vlan20，網(wǎng)段地址10.10.2.1/24
『組網(wǎng)需求』
1. 在SwitchA上配置DHCP Relay使下面用戶動(dòng)態(tài)獲取指定的相應(yīng)網(wǎng)段的IP地址
2. PC1、PC2均可以ping通自己的網(wǎng)關(guān)，同時(shí)PC1、PC2之間可以互訪
『交換機(jī)DHCP Relay配置流程』
DHCP Relay的作用則是為了適應(yīng)客戶端和服務(wù)器不在同一網(wǎng)段的情況，通過Relay，不同子網(wǎng)的用戶可以到同一個(gè)DHCP Server申請(qǐng)IP地址，這樣便于地址池的管理和維護(hù)。
【SwitchA相關(guān)配置】
1. 全局使能DHCP功能（缺省情況下，DHCP功能處于使能狀態(tài)）
[SwitchA]dhcp enable
2. 創(chuàng)建（進(jìn)入）VLAN100
[SwitchA]vlan 100
3. 將G1/1加入到VLAN100
[SwitchA-vlan100]port GigabitEthernet 1/1
4. 創(chuàng)建（進(jìn)入）VLAN接口100
[SwitchA]interface Vlan-interface 100
5. 為VLAN接口100配置IP地址
[SwitchA-Vlan-interface100]ip address 192.168.0.1 255.255.255.0
6. 創(chuàng)建（進(jìn)入）VLAN10
[SwitchA]vlan 10
7. 將E0/1-E0/10加入到VLAN10
[SwitchA-vlan10]port Ethernet 0/1 to Ethernet 0/10
8. 創(chuàng)建（進(jìn)入）VLAN接口10
[SwitchA]interface Vlan-interface 10
9. 為VLAN接口10配置IP地址
[SwitchA-Vlan-interface10]ip address 10.10.1.1 255.255.255.0
10. 使能VLAN接口10的DHCP中繼功能
[SwitchA-Vlan-interface10]dhcp select relay
11. 為VLAN接口10配置DHCP服務(wù)器的地址
[SwitchA-Vlan-interface10]ip relay address 192.168.0.10
12. 創(chuàng)建（進(jìn)入）VLAN20
[SwitchA-vlan10]vlan 20
13. 將E0/11-E0/20加入到VLAN20
[SwitchA-vlan20]port Ethernet 0/11 to Ethernet 0/20
14. 創(chuàng)建（進(jìn)入）VLAN接口20
[SwitchA]interface Vlan-interface 20
15. 為VLAN接口20配置IP地址
[SwitchA-Vlan-interface20]ip address 10.10.2.1 255.255.255.0
16. 使能VLAN接口20的DHCP中繼功能
[SwitchA-Vlan-interface20]dhcp select relay
17. 為VLAN接口20配置DHCP服務(wù)器的地址
[SwitchA-Vlan-interface20]ip relay address 192.168.0.10
【補(bǔ)充說明】
也可以在全局配置模式下，使能某個(gè)或某些VLAN接口上的DHCP中繼功能，例如：[SwitchA]dhcp select relay interface Vlan-interface 10
3，DHCP Snooping
『配置環(huán)境參數(shù)』
1. DHCP Server連接在交換機(jī)SwitchA的G1/1端口，屬于vlan10，IP地址為10.10.1.253/24
2. 端口E0/1和E0/2同屬于vlan10
『組網(wǎng)需求』
1. PC1、PC2均可以從指定DHCP Server獲取到IP地址
2. 防止其他非法的DHCP Server影響網(wǎng)絡(luò)中的主機(jī)
『交換機(jī)DHCP-Snooping配置流程』
當(dāng)交換機(jī)開啟了DHCP-Snooping后，會(huì)對(duì)DHCP報(bào)文進(jìn)行偵聽，并可以從接收到的DHCP Request或DHCP Ack報(bào)文中提取并記錄IP地址和MAC地址信息。另外，DHCP-Snooping允許將某個(gè)物理端口設(shè)置為信任端口或不信任端口。信任端口可以正常接收并轉(zhuǎn)發(fā)DHCP Offer報(bào)文，而不信任端口會(huì)將接收到的DHCP Offer報(bào)文丟棄。這樣，可以完成交換機(jī)對(duì)假冒DHCP Server的屏蔽作用，確?？蛻舳藦暮戏ǖ?/span>DHCP Server獲取IP地址。
【SwitchA相關(guān)配置】
1. 創(chuàng)建（進(jìn)入）VLAN10
[SwitchA]vlan 10
2. 將端口E0/1、E0/2和G1/1加入到VLAN10
[SwitchA-vlan10]port Ethernet 0/1 Ethernet 0/2 GigabitEthernet 1/1
3. 全局使能dhcp-snooping功能
[SwitchA]dhcp-snooping
4. 將端口G1/1配置為trust端口，
[SwitchA-GigabitEthernet1/1]dhcp-snooping trust
【補(bǔ)充說明】
由于DHCP服務(wù)器提供給用戶包含了服務(wù)器分配給用戶的IP地址的報(bào)文――”dhcp offer”報(bào)文，由G1/1端口進(jìn)入SwitchA并進(jìn)行轉(zhuǎn)發(fā)，因此需要將端口G1/1配置為”trust”端口。如果SwitchA上行接口配置為Trunk端口，并且連接到DHCP中繼設(shè)備，也需要將上行端口配置為”trust”端口。
交換機(jī)配置（八）配置文件管理
（1）文件常用操作
1，命令 display current-configuration:查看以太網(wǎng)交換機(jī)的當(dāng)前配置
2，命令 display saved-configuration：查看以太網(wǎng)交換機(jī)的啟動(dòng)配置
3，命令 reset saved-configuration：擦除Flash Memory中的配置文件，以太網(wǎng)交換機(jī)下次上電時(shí)，系統(tǒng)將采用缺省的配置參數(shù)進(jìn)行初始化。
（2）FTP文件上傳與下載
1. 組網(wǎng)需求
交換機(jī)作為FTP Server，遠(yuǎn)端的PC作為FTP Client。在FTP Server上作了如下配置：配置了一個(gè)FTP用戶名為switch，密碼為hello，對(duì)該用戶授權(quán)了交換機(jī)上Flash根目錄的讀寫權(quán)限。交換機(jī)上的一個(gè)VLAN接口的IP地址為1.1.1.1，PC的IP地址為2.2.2.2，交換機(jī)和PC之間路由可達(dá)。
交換機(jī)的應(yīng)用程序switch.app保存在PC上。PC通過FTP向遠(yuǎn)端的交換機(jī)上傳switch.app，同時(shí)將交換機(jī)的配置文件vrpcfg.txt下載到PC實(shí)現(xiàn)配置文件的備份。
2. 組網(wǎng)圖（略）
3. 配置步驟
1) 交換機(jī)上的配置
# 用戶登錄到交換機(jī)上。（用戶可以在本地通過Console口登錄到交換機(jī)上，也可以通過telnet遠(yuǎn)程登錄到交換機(jī)上。各種登錄方式請(qǐng)參見入門模塊的描述。）
# 在交換機(jī)上開啟FTP服務(wù)，設(shè)置好用戶名、密碼和路徑：
[Quidway] ftp server enable
[Quidway] local-user switch
[Quidway-luser-switch] service-type ftp ftp-directory flash:
[Quidway-luser-switch] password simple hello
2) 在PC上運(yùn)行FTP Client程序，同交換機(jī)建立FTP連接，同時(shí)通過上載操作把交換機(jī)的應(yīng)用程序switch.app上載到交換機(jī)的Flash根目錄下，同時(shí)從交換機(jī)上下載配置文件vrpcfg.txt。FTP Client應(yīng)用程序由用戶自己購買、安裝，Quidway系列交換機(jī)不附帶此軟件。
注意：如果交換機(jī)的Flash memory空間不夠大，請(qǐng)刪除Flash中原有的應(yīng)用程序然后再上載新的應(yīng)用程序到交換機(jī)Flash中。
3) 在上載完畢后，用戶在交換機(jī)上進(jìn)行升級(jí)操作。
# 用戶可以通過命令boot boot-loader來指定下載的程序?yàn)橄麓螁?dòng)時(shí)的應(yīng)用程序，然后重啟交換機(jī)，實(shí)現(xiàn)交換機(jī)應(yīng)用程序的升級(jí)。
boot boot-loader switch.app
reboot
（3）TFTP文件上傳與下載
1. 組網(wǎng)需求
交換機(jī)作為TFTP Client，PC作為TFTP Server，在TFTP Server上配置了TFTP的工作路徑。交換機(jī)上的一個(gè)VLAN接口的IP地址為1.1.1.1，交換機(jī)和PC相連的端口屬于該VLAN，PC的IP地址為1.1.1.2。
交換機(jī)的應(yīng)用程序switch.app保存在PC上。交換機(jī)通過TFTP從TFTP Server上下載switch.app，同時(shí)將交換機(jī)的配置文件vrpcfg.txt上傳到TFTP Server的工作目錄實(shí)現(xiàn)配置文件的備份。
2. 組網(wǎng)圖（略）
3. 配置步驟
1) 在PC上啟動(dòng)了TFTP Server，配置TFTP Server的工作目錄。
2) 交換機(jī)上的配置
# 用戶登錄到交換機(jī)上。（用戶可以在本地通過Console口登錄到交換機(jī)上，也可以通過telnet遠(yuǎn)程登錄到交換機(jī)上。各種登錄方式請(qǐng)參見入門模塊的描述。）
注意：如果交換機(jī)的Flash memory空間不夠大，請(qǐng)刪除Flash中原有的應(yīng)用程序然后再下載新的應(yīng)用程序到交換機(jī)的Flash中。
# 進(jìn)入系統(tǒng)視圖。
system-view
[Quidway]
# 配置VLAN接口的IP地址為1.1.1.1，同時(shí)保證與PC相連的端口屬于這個(gè)VLAN。（本例中以VLAN 1為例。）
[Quidway] interface vlan 1
[Quidway-vlan-interface1] ip address 1.1.1.1 255.255.255.0
[Quidway-vlan-interface1] quit
# 將交換機(jī)的應(yīng)用程序switch.app從TFTP Server下載到交換機(jī)。
[Quidway] tftp get //1.1.1.2/switch.app switch.app
# 將交換機(jī)的配置文件vrpcfg.txt上傳到TFTP Server。
[Quidway] tftp put vrpcfg.txt //1.1.1.2/vrpcfg.txt
# 執(zhí)行quit命令退回到用戶視圖下。
[Quidway] quit
# 用戶可以通過命令boot boot-loader來指定下載的程序?yàn)橄麓螁?dòng)時(shí)的應(yīng)用程序，然后重啟交換機(jī)，實(shí)現(xiàn)交換機(jī)應(yīng)用程序的升級(jí)。
boot boot-loader switch.app
reboot
交換機(jī)配置（九）遠(yuǎn)程管理配置
1，WEB方式
『WEB方式遠(yuǎn)程管理交換機(jī)配置流程』
首先必備條件要保證PC可以與SwitchB通信，比如PC可以ping通SwitchB。
如果想通過WEB方式管理交換機(jī)，必須首先將一個(gè)用于支持WEB管理的文件載入交換機(jī)的flash中，該文件需要與交換機(jī)當(dāng)前使用的軟件版本相配套。WEB管理文件的擴(kuò)展名為”tar”或者”zip”，可以從網(wǎng)站上下載相應(yīng)的交換機(jī)軟件版本時(shí)得到。
需要在交換機(jī)上添加WEB管理使用的用戶名及密碼，該用戶的類型為telnet類型，而且權(quán)限為最高級(jí)別3。
注意，在將WEB管理文件載入交換機(jī)flash時(shí)，不要將文件進(jìn)行解壓縮，只需將完整的文件載入交換機(jī)即可(向交換機(jī)flash載入WEB管理文件的方法，請(qǐng)參考本配置實(shí)例中交換機(jī)的系統(tǒng)管理配置章節(jié))。
【SwitchB相關(guān)配置】
1.查看交換機(jī)flash里面的文件(保證WEB管理文件已經(jīng)在交換機(jī)flash中)
dir /all
Directory of flash:/
-rwxrwx 1 noone nogroup 442797 Apr 02 2000 13:09:50 wnm-xxx.zip
2.添加WEB管理的用戶，用戶類型為”telnet”，用戶名為”huawei”，密碼為”wnm”
[SwitchB]local-user huawei
[SwitchB-luser-huawei]service-type telnet level 3
[SwitchB-luser-huawei]password simple wnm
3.配置交換機(jī)管理地址
[SwitchB]interface vlan 100
[SwitchB-Vlan-interface100]ip addr 192.168.0.2 255.255.255.0
4.對(duì)HTTP訪問用戶的控制（Option）
[SwitchB]ip http acl acl_num/acl_name
相關(guān)學(xué)習(xí)帖：
[url]http://bbs.51cto.com/viewthread.php?tid=401882&fpage=1&highlight=web[/url]
2，TELNET方式
【TELNET密碼驗(yàn)證配置】
只需輸入password即可登陸交換機(jī)。
1. 進(jìn)入用戶界面視圖
[SwitchA]user-interface vty 0 4
2. 設(shè)置認(rèn)證方式為密碼驗(yàn)證方式
[SwitchA-ui-vty0-4]authentication-mode password
3. 設(shè)置登陸驗(yàn)證的password為明文密碼”huawei”
[SwitchA-ui-vty0-4]set authentication password simple huawei
4. 配置登陸用戶的級(jí)別為最高級(jí)別3(缺省為級(jí)別1)
[SwitchA-ui-vty0-4]user privilege level 3
5. 或者在交換機(jī)上增加super password(缺省情況下，從VTY用戶界面登錄后的級(jí)別為1級(jí)，無法對(duì)設(shè)備進(jìn)行配置操作。必須要將用戶的權(quán)限設(shè)置為最高級(jí)別3，才可以進(jìn)入系統(tǒng)視圖并進(jìn)行配置操作。低級(jí)別用戶登陸交換機(jī)后，需輸入super password改變自己的級(jí)別)例如，配置級(jí)別3用戶的super password為明文密碼”super3”
[SwitchA]super password level 3 simple super3
【TELNET本地用戶名和密碼驗(yàn)證配置】
需要輸入username和password才可以登陸交換機(jī)。
1. 進(jìn)入用戶界面視圖
[SwitchA]user-interface vty 0 4
2. 配置本地或遠(yuǎn)端用戶名和口令認(rèn)證
[SwitchA-ui-vty0-4]authentication-mode scheme
3. 配置本地TELNET用戶，用戶名為”huawei”，密碼為”huawei”，權(quán)限為最高級(jí)別3(缺省為級(jí)別1)
[SwitchA]local-user huawei
[SwitchA-user-huawei]password simple huawei
[SwitchA-user-huawei]service-type telnet level 3
4. 在交換機(jī)上增加super password
[SwitchA]super password level 3 simple super3
【TELNET RADIUS驗(yàn)證配置】
以使用華為3Com公司開發(fā)的CAMS 作為RADIUS服務(wù)器為例
1. 進(jìn)入用戶界面視圖
[SwitchA]user-interface vty 0 4
2. 配置遠(yuǎn)端用戶名和口令認(rèn)證
[SwitchA-ui-vty0-4]authentication-mode scheme
3. 配置RADIUS認(rèn)證方案，名為”cams”
[SwitchA]radius scheme cams
4. 配置RADIUS認(rèn)證服務(wù)器地址10.110.51.31
[SwitchA-radius-cams]primary authentication 10.110.51.31 1812
5. 配置交換機(jī)與認(rèn)證服務(wù)器的驗(yàn)證口令為”huawei”
[SwitchA-radius-cams]key authentication huawei
6. 送往RADIUS的報(bào)文不帶域名
[SwitchA-radius-cams]user-name-format without-domain
7. 創(chuàng)建（進(jìn)入）一個(gè)域，名為”huawei”
[SwitchA]domain huawei
8. 在域”huawei”中引用名為”cams”的認(rèn)證方案
[SwitchA-isp-huawei]radius-scheme cams
9. 將域”huawei”配置為缺省域
[SwitchA]domain default enable huawei
【TELNET訪問控制配置】
1. 配置訪問控制規(guī)則只允許10.1.1.0/24網(wǎng)段登錄
[SwitchA]acl number 2000
[SwitchA-acl-basic-2000]rule deny source any
[SwitchA-acl-basic-2000]rule permit source 10.1.1.0 0.0.0.255
2. 配置只允許符合ACL2000的IP地址登錄交換機(jī)
[SwitchA-ui-vty0-4]acl 2000 inbound
相關(guān)學(xué)習(xí)帖：
[url]http://bbs.51cto.com/viewthread.php?tid=349090&fpage=1&highlight=telnet[/url]
3，SSH方式
1. 組網(wǎng)需求
配置終端（SSH Client）與以太網(wǎng)交換機(jī)建立本地連接。終端采用SSH協(xié)議進(jìn)行登錄到交換機(jī)上，以保證數(shù)據(jù)信息交換的安全。
2. 組網(wǎng)圖（略）
3. 配置步驟（SSH認(rèn)證方式為口令認(rèn)證）
[Quidway] rsa local-key-pair create
& 說明：如果此前已完成生成本地密鑰對(duì)的配置，可以略過此項(xiàng)操作。
[Quidway] user-interface vty 0 4
[Quidway-ui-vty0-4] authentication-mode scheme
[Quidway-ui-vty0-4] protocol inbound ssh
[Quidway] local-user client001
[Quidway-luser-client001] password simple huawei
[Quidway-luser-client001] service-type ssh
[Quidway] ssh user client001 authentication-type password
SSH的認(rèn)證超時(shí)時(shí)間、重試次數(shù)以及服務(wù)器密鑰更新時(shí)間可以采取系統(tǒng)默認(rèn)值，這些配置完成以后，您就可以在其它與以太網(wǎng)交換機(jī)連接的終端上，運(yùn)行支持SSH1.5的客戶端軟件，以用戶名client001，密碼huawei，訪問以太網(wǎng)交換機(jī)了。
交換機(jī)配置（十）STP配置
『配置環(huán)境參數(shù)』
1. SwitchA選用華為-3com公司的高中端交換機(jī)，如S8500或者S6500系列交換機(jī)
2. SwitchB和SwitchC選用華為-3com公司的低端交換機(jī)，如S3500或者S3550系列交換機(jī)
3. SwitchD、SwitchE和SwitchF選用華為-3com公司的低端交換機(jī)，如S3000或者S2000系列交換機(jī)
『組網(wǎng)需求』
1. 所有設(shè)備運(yùn)行STP(Spanning Tree Protocol)生成樹協(xié)議
2. 以SwitchB為根網(wǎng)橋，阻斷網(wǎng)絡(luò)中的環(huán)路，并能達(dá)到鏈路冗余備份的效果
『交換機(jī)STP配置流程』
通過改變交換機(jī)或者端口的STP優(yōu)先級(jí)，從而達(dá)到手工指定網(wǎng)絡(luò)中的根網(wǎng)橋，以及端口的STP角色，完成阻斷環(huán)路及鏈路的冗余備份。
【SwitchB相關(guān)配置】
1.全局使能STP功能（缺省情況下，DHCP功能處于使能狀態(tài)）
[SwitchB]stp enable
2.將SwtichB配置為樹根(兩種方法：將SwitchB的Bridge優(yōu)先級(jí)設(shè)置為0，或者直接將SwitchB指定為樹根，兩種方法一個(gè)效果)
[SwitchB]stp priotity 0
[SwitchB]stp root primary
3.在各個(gè)指定端口上啟動(dòng)根保護(hù)功能(在此例中，SwtichB的所有端口都是制定端口)
[SwitchB]interface Ethernet 0/1
[SwitchB-Ethernet-0/1]stp root-protection
【SwitchC相關(guān)配置】
1.全局使能STP功能（缺省情況下，DHCP功能處于使能狀態(tài)）
[SwitchB]stp enable
2.將SwtichC配置為備份樹根(兩種方法：將SwitcCB的Bridge優(yōu)先級(jí)設(shè)置為4096，或者直接將SwitchC指定為備份樹根，兩種方法一個(gè)效果)
[SwitchB]stp priotity 4096
[SwitchB]stp root secondary
3.在指定端口上啟動(dòng)根保護(hù)功能(在此例中，SwtichC的端口0/1、0/2和0/3是指定端口)
[SwitchB]interface Ethernet 0/1
[SwitchB-Ethernet-0/1]stp root-protection
【其他Switch的相關(guān)配置】
將接PC機(jī)的端口stp功能關(guān)閉，或者配置為邊緣端口，并使能BPDU保護(hù)功能
[SwitchD-Ethernet0/4]stp disable
[SwitchD-Ethernet0/5]stp edged-port enable
[SwitchD]stp bpdu-protection
【補(bǔ)充說明】
配置了”bpdu-protection”以后，如果某個(gè)邊緣端口收到BPDU報(bào)文，則該邊緣端口將會(huì)被關(guān)閉，必須由手工進(jìn)行恢復(fù)。
當(dāng)端口上配置了”stp root-protection”以后，該端口的角色只能是指定端口，且一旦該端口上收到了優(yōu)先級(jí)高的配置消息，則該端口的狀態(tài)將被配置為偵聽狀態(tài)，不再轉(zhuǎn)發(fā)報(bào)文，當(dāng)在足夠長的時(shí)間內(nèi)沒有收到更優(yōu)的配置消息時(shí)，端口會(huì)恢復(fù)原來的正常狀態(tài)。
交換機(jī)配置（十一）私有VLAN配置
『配置環(huán)境參數(shù)』
PC1的IP地址為10.1.1.1/24，PC2的IP地址為10.1.1.2/24，PC3的IP地址為10.1.1.3/24，服務(wù)器的IP地址為10.1.1.253/24；PC1、PC2和PC3分別連接到交換機(jī)的端口E0/1 、E0/2和 E0/3，端口分屬于VLAN10、20和30，服務(wù)器連接到交換機(jī)的端口G2/1，屬于VLAN100。
『交換機(jī)Isolate-user-VLAN完成端口隔離配置流程』
等同于原有命令行中的PVLAN，利用VLAN配置視圖中，Isolate-user-VLAN命令(原有命令行中的Primary-VLAN)來完成。
『配置過程』
【SwitchA相關(guān)配置】
1.創(chuàng)建（進(jìn)入）VLAN10，將E0/1加入到VLAN10
[SwitchA]vlan 10
[SwitchA-vlan10]port Ethernet 0/1
2.創(chuàng)建（進(jìn)入）VLAN20，將E0/2加入到VLAN20
[SwitchA]vlan 20
[SwitchA-vlan20]port Ethernet 0/2
3.創(chuàng)建（進(jìn)入）VLAN30，將E0/3加入到VLAN30
[SwitchA]vlan 30
[SwitchA-vlan30]port Ethernet 0/3
4.創(chuàng)建（進(jìn)入）VLAN100，將G2/1加入到VLAN100
[SwitchA]vlan 100
[SwitchA-vlan100]port GigabitEthernet 2/1
5.將VLAN100配置為Isolate-user-VLAN
[SwitchA-vlan100]Isolate-user-VLAN enable
6.在系統(tǒng)視圖模式下，配置Isolate-user-VLAN與各個(gè)secondary VLAN之間的映射關(guān)系
[SwitchA]isolate-user-vlan 100 secondary 10 20 30
【補(bǔ)充說明】
此功能配置主要用于對(duì)用戶主機(jī)進(jìn)行二層隔離。
在配置Isolate-user-VLAN與secondary VLAN之間的映射關(guān)系之前，Isolate-user-VLAN與secondary VLAN必須都包含物理端口。
配置了映射關(guān)系之后，不可以再對(duì)Isolate-user-VLAN或secondary VLAN進(jìn)行端口增減的操作，必須先解除映射關(guān)系。
交換機(jī)配置（十二）端口trunk、hybrid應(yīng)用配置
1，端口trunk應(yīng)用
『配置環(huán)境參數(shù)』
1.PC1的IP地址為10.1.1.1/24，PC2的IP地址為10.1.1.2/24，PC3的IP地址為10.1.1.3/24，PC4的IP地址為10.1.1.4/24；
2.PC1和PC2分別連接到交換機(jī)SwitchA的端口E0/1和E0/2，端口分屬于VLAN10和20；PC3和PC4分別連接在交換機(jī)SwitchB的端口E0/10和E0/20，端口分別屬于VLAN10和20。
3.SwitchA通過端口G2/1，連接到SwitchB的端口G1/1；SwitchA的端口G2/1和SwitchB的端口G1/1均是Trunk端口，而且允許VLAN10和VLAN20通過。
『組網(wǎng)需求』
1.SwitchA與SwitchB之間相同VLAN的PC之間可以互訪。
2.SwitchA與SwitchB之間不同VLAN的PC之間禁止互訪。
『交換機(jī)Trunk端口配置流程』
利用將端口配置為Trunk端口來完成在不同交換機(jī)之間透傳VLAN，達(dá)到屬于相同VLAN的PC機(jī)，跨交換機(jī)進(jìn)行二層訪問；或者不同VLAN的PC機(jī)跨交換機(jī)進(jìn)行三層訪問的目的。
『配置過程』
【SwitchA相關(guān)配置】
1.創(chuàng)建（進(jìn)入）VLAN10，將E0/1加入到VLAN10
[SwitchA]vlan 10
[SwitchA-vlan10]port Ethernet 0/1
2. 創(chuàng)建（進(jìn)入）VLAN20，將E0/2加入到VLAN20
[SwitchA]vlan 20
[SwitchA-vlan20]port Ethernet 0/2
3.將端口G2/1配置為Trunk端口，并允許VLAN10和VLAN20通過
[SwitchA]interface GigabitEthernet 1/1
[SwitchA-GigabitEthernet1/1]port link-type trunk
[SwitchA-GigabitEthernet1/1]port trunk permit vlan 10 20
【SwitchB相關(guān)配置】
1.創(chuàng)建（進(jìn)入）VLAN10，將E0/10加入到VLAN10
[SwitchA]vlan 10
[SwitchA-vlan10]port Ethernet 0/10
2.創(chuàng)建（進(jìn)入）VLAN20，將E0/20加入到VLAN20
[SwitchA]vlan 20
[SwitchA-vlan20]port Ethernet 0/20
3.將端口G2/1配置為Trunk端口，并允許VLAN10和VLAN20通過
[SwitchA]interface GigabitEthernet 2/1
[SwitchA-GigabitEthernet2/1]port link-type trunk
[SwitchA-GigabitEthernet2/1]port trunk permit vlan 10 20
2，端口hybrid應(yīng)用
『配置環(huán)境參數(shù)』
1.PC1、PC2和PC3分別連接到二層交換機(jī)SwitchA的端口E0/1 、E0/2和 E0/3，端口分屬于VLAN10、20和30，服務(wù)器連接到端口G2/1，屬于VLAN100。
2.PC1的IP地址為10.1.1.1/24，PC2的IP地址為10.1.1.2/24，PC3的IP地址為10.1.1.3/24，服務(wù)器的IP地址為10.1.1.254/24。
『組網(wǎng)需求』
1.PC1和PC2之間可以互訪；
2.PC1和PC3之間可以互訪；
3.PC1、PC2和PC3都可以訪問服務(wù)器；
4.其余的PC間訪問均禁止。
『交換機(jī)Hybrid端口配置流程』
利用Hybrid端口的特性――一個(gè)端口可以屬于多個(gè)不同的VLAN，來完成分屬不同VLAN內(nèi)的同網(wǎng)段PC機(jī)的訪問需求。
『配置過程』
【SwitchA相關(guān)配置】
1.創(chuàng)建（進(jìn)入）VLAN10，將E0/1加入到VLAN10
[SwitchA]vlan 10
[SwitchA-vlan10]port Ethernet 0/1
2.創(chuàng)建（進(jìn)入）VLAN20，將E0/2加入到VLAN20
[SwitchA]vlan 20
[SwitchA-vlan20]port Ethernet 0/2
3.創(chuàng)建（進(jìn)入）VLAN30，將E0/3加入到VLAN30
[SwitchA]vlan 30
[SwitchA-vlan30]port Ethernet 0/3
4.創(chuàng)建（進(jìn)入）VLAN100，將G2/1加入到VLAN100
[SwitchA]vlan 100
[SwitchA-vlan100]port GigabitEthernet 2/1
5.配置端口E0/1為Hybrid端口，能夠接收VLAN20、30和100發(fā)過來的報(bào)文
[SwitchA]interface Ethernet 0/1
[SwitchA-Ethernet0/1]port link-type hybrid
[SwitchA-Ethernet0/1]port hybrid vlan 20 30 100 untagged
6.配置端口E0/2為Hybrid端口，能夠接收VLAN10和100發(fā)過來的報(bào)文
[SwitchA]interface Ethernet 0/2
[SwitchA-Ethernet0/2]port link-type hybrid
[SwitchA-Ethernet0/2]port hybrid vlan 10 100 untagged
7.配置端口E0/3為Hybrid端口，能夠接收VLAN10和100發(fā)過來的報(bào)文
[SwitchA]interface Ethernet 0/3
[SwitchA-Ethernet0/3]port link-type hybrid
[SwitchA-Ethernet0/3]port hybrid vlan 10 100 untagged
8.配置端口G2/1為Hybrid端口，能夠接收VLAN10、20和30發(fā)過來的報(bào)文
[SwitchA]interface GigabitEthernet 2/1
[SwitchA-GigabitEthernet2/1]port link-type hybrid
[SwitchA-GigabitEthernet2/1]port hybrid vlan 10 20 30 untagged
【補(bǔ)充說明】
對(duì)于Hybrid端口來說，可以同時(shí)屬于多個(gè)VLAN。這些VLAN分別是該Hybrid端口的PVID，以及手工配置的”untagged”及”tagged”方式的VLAN。一定要注意對(duì)應(yīng)端口的VLAN配置，保證報(bào)文能夠被端口進(jìn)行正常的收發(fā)處理。
此應(yīng)用在二層網(wǎng)絡(luò)中，對(duì)相同網(wǎng)段的主機(jī)進(jìn)行訪問權(quán)限的控制。
S系列交換機(jī)實(shí)現(xiàn)不同VLAN之間互訪的配置
一、組網(wǎng)需求：
交換機(jī)配置了4個(gè)VLAN，分別為VLAN1，VLAN2，VLAN3，VLAN4，要求VLAN1可以與VLAN2，3，4互訪，但是VLAN2，3，4之間不能互訪，用Hybrid端口屬性實(shí)現(xiàn)此功能。
二、組網(wǎng)圖：
無
三、配置步驟：
1. 創(chuàng)建VLAN2
[Quidway]vlan 2
2. 創(chuàng)建VLAN3
[Quidway-vlan2]vlan 3
3. 創(chuàng)建VLAN4
[Quidway-vlan3]vlan 4
4. 進(jìn)入端口Ethernet1/0/1
[Quidway-vlan4] interface Ethernet1/0/1
5. 將端口設(shè)置為hybrid模式
[Quidway-Ethernet1/0/1]port link-type hybrid
6. 設(shè)置端口pvid為1
[Quidway-Ethernet1/0/1]port hybrid pvid vlan 1
7. 允許VLAN1，2，3，4不打標(biāo)簽通過
[Quidway-Ethernet1/0/1]port hybrid vlan 1 to 4 untagged
8. 進(jìn)入端口Ethernet1/0/2
[Quidway-Ethernet1/0/1]interface Ethernet1/0/2
9. 將端口設(shè)置為hybrid模式
[Quidway-Ethernet1/0/2]port link-type hybrid
10. 設(shè)置端口pvid為2
[Quidway-Ethernet1/0/2]port hybrid pvid vlan 2
11. 允許VLAN1，2不打標(biāo)簽通過
[Quidway-Ethernet1/0/2]port hybrid vlan 1 to 2 untagged
12. 進(jìn)入端口Ethernet1/0/3
[Quidway-Ethernet1/0/2]interface Ethernet1/0/3
13. 將端口設(shè)置為hybrid模式
[Quidway-Ethernet1/0/3]port link-type hybrid
14. 設(shè)置端口pvid為3
[Quidway-Ethernet1/0/3]port hybrid pvid vlan 3
15. 允許VLAN1，3不打標(biāo)簽通過
[Quidway-Ethernet1/0/3]port hybrid vlan 1 3 untagged
16. 進(jìn)入端口Ethernet1/0/4
[Quidway-Ethernet1/0/3]interface Ethernet1/0/4
17. 將端口設(shè)置為hybrid模式
[Quidway-Ethernet1/0/4]port link-type hybrid
18. 設(shè)置端口pvid為4
[Quidway-Ethernet1/0/4]port hybrid pvid vlan 4
19. 允許VLAN1，4不打標(biāo)簽通過
[Quidway-Ethernet1/0/4]port hybrid vlan 1 4 untagged
四、配置關(guān)鍵點(diǎn)：
1. 利用交換機(jī)以太網(wǎng)端口的Hybrid特性，可以實(shí)現(xiàn)PVLAN的功能。
2. 采用Hybrid屬性實(shí)現(xiàn)的PVLAN功能和PVLAN的工作機(jī)制存在較大差異，上述情況只適用于網(wǎng)絡(luò)流量，網(wǎng)絡(luò)用戶較少的應(yīng)用。
