目  录

1 登录Web· 1-1

1.1 对浏览器和操作系统的要求·· 1-1

1.2 配置限制和指导·· 1-1

1.3 初次登录Web· 1-1

1.4 退出Web· 1-2

2 如何使用Web· 2-1

2.1 Web页面布局介绍·· 2-1

2.2 Web页面分类·· 2-2

2.2.1 特性页面·· 2-2

2.2.2 表项显示页面·· 2-2

2.2.3 配置页面·· 2-3

2.3 Web常用按钮和图标·· 2-3

2.4 Web常用操作·· 2-4

2.4.1 保存当前配置·· 2-4

2.4.2 显示表项详情或修改表项设置·· 2-4

2.4.3 重启设备·· 2-4

3 Web页面导航··· 3-1

3.1 简介·· 3-1

3.2 一级菜单包含的特性及其支持的功能·· 3-1

3.2.1 概览·· 3-1

3.2.2 设备·· 3-1

3.2.3 网络·· 3-2

3.2.4 资源·· 3-5

3.2.5 QoS· 3-5

3.2.6 安全·· 3-6

3.2.7 日志·· 3-6

3.2.8 SmartMC· 3-6

3.2.9 无线AC· 3-7

4 设备功能介绍··· 4-1

4.1 系统设置·· 4-1

4.1.1 系统时间·· 4-1

4.1.2 NTP/SNTP简介·· 4-1

4.1.3 NTP/SNTP时钟源工作模式·· 4-1

4.1.4 NTP/SNTP时钟源身份验证·· 4-2

4.2 管理员·· 4-2

4.2.1 帐户管理·· 4-2

4.2.2 角色管理·· 4-3

4.2.3 密码管理·· 4-4

4.3 IRF· 4-6

5 网络功能介绍··· 5-1

5.1 链路聚合·· 5-1

5.1.1 聚合组·· 5-1

5.1.2 选中/非选中状态·· 5-1

5.1.3 操作Key· 5-1

5.1.4 属性类配置·· 5-1

5.1.5 聚合模式·· 5-2

5.2 风暴抑制·· 5-5

5.3 端口隔离·· 5-5

5.4 VLAN· 5-5

5.4.1 基于端口划分VLAN· 5-5

5.4.2 VLAN接口·· 5-6

5.5 MAC· 5-6

5.5.1 MAC地址表分类·· 5-6

5.5.2 MAC地址表项老化时间·· 5-6

5.5.3 接口MAC地址学习·· 5-7

5.6 STP· 5-7

5.6.1 生成树工作模式·· 5-7

5.6.2 MSTP基本概念·· 5-8

5.6.3 生成树端口角色·· 5-8

5.6.4 生成树端口状态·· 5-9

5.7 LLDP· 5-9

5.7.1 LLDP代理·· 5-9

5.7.2 LLDP报文的发送机制·· 5-9

5.7.3 LLDP报文的接收机制·· 5-9

5.7.4 端口初始化延迟时间·· 5-10

5.7.5 LLDP Trap功能·· 5-10

5.7.6 LLDP TLV· 5-10

5.7.7 兼容CDP功能·· 5-10

5.8 DHCP Snooping· 5-10

5.9 IP· 5-11

5.9.1 IP地址分类和表示·· 5-11

5.9.2 子网和掩码·· 5-12

5.9.3 IP地址的配置方式·· 5-12

5.9.4 接口MTU· 5-12

5.10 ARP· 5-13

5.10.1 动态ARP表项·· 5-13

5.10.2 静态ARP表项·· 5-13

5.10.3 代理ARP· 5-13

5.10.4 免费ARP· 5-14

5.10.5 ARP攻击防御·· 5-15

5.11 DNS· 5-18

5.11.1 动态域名解析·· 5-18

5.11.2 静态域名解析·· 5-18

5.11.3 DNS代理·· 5-19

5.12 DDNS· 5-19

5.13 IPv6· 5-19

5.13.1 IPv6地址表示方式·· 5-19

5.13.2 IPv6地址分类·· 5-20

5.13.3 IEEE EUI-64生成接口标识·· 5-21

5.13.4 接口上全球单播地址的配置方法·· 5-21

5.13.5 接口上链路本地地址的配置方法·· 5-21

5.14 ND· 5-22

5.14.1 邻居表项·· 5-22

5.14.2 RA报文·· 5-22

5.14.3 ND代理功能·· 5-23

5.15 端口镜像·· 5-25

5.16 静态路由·· 5-25

5.16.1 RIP· 5-25

5.17 策略路由·· 5-26

5.17.1 策略·· 5-26

5.17.2 策略路由与Track联动·· 5-26

5.18 IGMP snooping· 5-26

5.19 MLD snooping· 5-26

5.20 DHCP· 5-27

5.20.1 DHCP服务器·· 5-27

5.20.2 DHCP中继·· 5-29

5.21 HTTP/HTTPS· 5-30

5.22 FTP· 5-30

5.23 Telnet 5-30

5.24 NTP· 5-30

6 资源功能介绍··· 6-1

6.1 ACL· 6-1

6.1.1 ACL分类·· 6-1

6.1.2 ACL规则匹配顺序·· 6-1

6.1.3 ACL规则编号·· 6-2

6.2 时间段·· 6-3

7 QoS功能介绍··· 7-1

7.1 QoS策略·· 7-1

7.1.1 类·· 7-1

7.1.2 流行为·· 7-1

7.1.3 策略·· 7-1

7.1.4 应用策略·· 7-1

7.2 硬件队列·· 7-1

7.2.1 SP队列·· 7-2

7.2.2 WRR队列·· 7-3

7.2.3 WFQ队列·· 7-4

7.2.4 队列调度策略·· 7-4

7.3 优先级映射·· 7-5

7.3.1 端口优先级·· 7-5

7.3.2 优先级映射表·· 7-6

7.4 限速·· 7-6

8 安全功能介绍··· 8-1

8.1 包过滤·· 8-1

8.2 ISP域·· 8-1

8.3 RADIUS· 8-2

8.3.1 RADIUS协议简介·· 8-2

8.3.2 RADIUS增强功能·· 8-2

8.4 本地认证·· 8-3

9 SmartMC功能介绍··· 9-1

9.1 配置向导·· 9-1

9.2 智能管理·· 9-1

9.2.1 角色·· 9-1

9.2.2 拓扑收集·· 9-1

9.2.3 FTP服务器·· 9-2

9.2.4 出接口·· 9-2

9.2.5 自动链路聚合·· 9-2

9.2.6 关闭SmartMC· 9-2

9.3 智能运维·· 9-2

9.3.1 SmartMC组·· 9-2

9.3.2 升级设备·· 9-2

9.3.3 备份配置文件·· 9-3

9.3.4 一键部署VLAN· 9-3

9.3.5 批量下发配置·· 9-3

9.3.6 端口智能识别·· 9-3

9.3.7 资源监控·· 9-4

9.3.8 替换故障设备·· 9-4

9.4 可视化·· 9-4

9.4.1 拓扑·· 9-4

9.4.2 设备列表·· 9-6

9.5 智能业务·· 9-6

9.5.1 用户管理·· 9-6

10 日志功能介绍··· 10-1

10.1 日志信息等级·· 10-1

10.2 日志信息输出方向·· 10-1

11 Web典型配置举例··· 11-1

11.1 设备维护配置举例·· 11-1

11.1.1 系统时间配置举例·· 11-1

11.1.2 管理员配置举例·· 11-1

11.1.3 IRF配置举例·· 11-2

11.2 网络服务配置举例·· 11-4

11.2.1 以太网链路聚合配置举例·· 11-4

11.2.2 端口隔离配置举例·· 11-5

11.2.3 VLAN配置举例·· 11-6

11.2.4 MAC地址配置举例·· 11-6

11.2.5 LLDP配置举例·· 11-7

11.2.6 DHCP Snooping配置举例·· 11-8

11.2.7 添加静态ARP表项配置举例·· 11-9

11.2.8 静态DNS配置举例·· 11-10

11.2.9 动态DNS配置举例·· 11-10

11.2.10 与www.3322.org互通的DDNS配置举例·· 11-11

11.2.11 IPv6地址静态配置举例·· 11-13

11.2.12 ND配置举例·· 11-13

11.2.13 端口镜像配置举例·· 11-14

11.2.14 IPv4静态路由配置举例·· 11-15

11.2.15 RIP配置举例·· 11-16

11.2.16 IPv4本地策略路由配置举例·· 11-16

11.2.17 IGMP Snooping配置举例·· 11-17

11.2.18 MLD Snooping配置举例·· 11-18

11.2.19 DHCP配置举例·· 11-19

11.2.20 NTP配置举例·· 11-20

11.3 QoS配置举例·· 11-21

11.4 安全配置举例·· 11-22

11.4.1 通过ACL进行包过滤配置举例·· 11-22

11.4.2 802.1X用户的RADIUS认证配置举例·· 11-23

11.4.3 802.1X用户的本地认证配置举例·· 11-24

11.5 SmartMC配置举例·· 11-25

12 附录：通过命令行管理设备··· 12-1

12.1.1 ping· 12-1

12.1.2 ping ipv6· 12-2

12.1.3 quit 12-4

12.1.4 reboot 12-4

12.1.5 telnet 12-5

12.1.6 telnet ipv6· 12-6

 

1 登录Web

1.1  对浏览器和操作系统的要求

·            建议使用以下浏览器访问Web：Internet Explorer 8及以上版本、Firefox 4及以上版本、Chrome 10及以上版本、Safari 5.1及以上版本、Opera 11.11及以上版本。

·            使用的浏览器必须要设置能接受第一方Cookie（即来自站点的Cookie），并启用活动脚本（或JavaScript），才能正常访问Web。以上功能在不同浏览器中的名称及设置方法可能不同，请以实际情况为准。

·            使用Internet Explorer浏览器时，还必须启用以下两个功能，才能正常访问Web：对标记为可安全执行脚本的ActiveX控件执行脚本、运行ActiveX控件和插件。

·            更改设备的软件版本后，建议在登录Web页面之前先清除浏览器的缓存，以便正确地显示Web页面。

1.2  配置限制和指导

登录时请输入正确的用户名和密码。如果用户名输入错误，会造成登录失败；如果连续n次密码输入错误，设备将被锁定xx分钟或者被永久锁定，锁定期间不能再使用该用户名密码登录。设备允许连续输入的错误密码次数，以及锁定的时间可通过password-control login-attempt命令配置，具体配置请参见“安全配置指导”中的“Password Control”。

1.3  初次登录Web

设备支持HTTP（Hypertext Transfer Protocol，超文本传输协议）和HTTPS（Hypertext Transfer Protocol Secure，超文本传输协议的安全版本）两种Web访问方式。

设备出厂时已经缺省启用了HTTP和HTTPS服务，并且设置有缺省的Web登录信息，用户可以直接使用缺省登录信息通过HTTP或HTTPS服务登录设备的Web界面。缺省的Web登录信息包括：

·            用户名：admin

·            密码：无

·            用户角色：network-admin

·            设备（Vlan-interface1）的IP地址：

如果设备没有接入网络或设备接入的网络中没有部署DHCP服务器，则缺省的IP地址就是设备上的标签所示的地址（如图1-1所示），该IP地址的掩码为255.255.0.0。

图1-1 设备标签上的缺省IP地址

 

如果设备连入的网络中部署了DHCP服务器，则设备会自动从DHCP服务器获取IP地址。用户可以通过Console口登录到设备，并执行display ip interface brief命令，以查看设备当前的IP地址。

<Sysname>display ip interface brief                                                

*down: administratively down                                                   

(s): spoofing  (l): loopback                                                    

Interface           Physical Protocol IP address      VPN instance Description 

Loop0               up       up(s)    --              --           --          

MGE1/0/0/0          up       up       192.168.2.105   --           --          

MGE1/0/0/1          down     down     --              --           --          

MGE1/0/0/2          down     down     --              --           --          

MGE1/0/0/3          down     down     --              --           --          

Tun1                down     down     --              --           --          

Vlan2               down     down     192.168.1.50    --           --          

Vlan3               down     down     10.1.1.2        --           --           

采用缺省登录信息登录设备Web页面的步骤如下：

(2)       连接设备和PC

用以太网线将PC和设备上的以太网口（缺省情况下，所有端口均属于VLAN 1）相连。

(3)       为PC配置IP地址，保证其能与设备互通

通过查看设备标签或Console登录到设备执行display ip interface brief命令的方式获取设备当前的IP地址。将PC的IP地址设置为与设备IP地址在同一个网段。

(4)       启动浏览器

在PC上启动浏览器，在地址栏中输入设备地址，然后回车，进入设备的Web登录页面。通过HTTP方式访问Web时，输入的设备地址格式为“http://ip-address:80”（“http://”可以省略）；通过HTTPS方式访问Web时，输入的设备地址格式为“https://ip-address:443”。其中，ip-address为设备的IP地址；80和443分别为HTTP服务和HTTPS服务的缺省端口号，可以省略。

(5)       输入登录信息

在登录页面中输入用户名admin，单击<登录>按钮即可登录Web。

(6)       修改登录信息

登录设备后，可以进入“网络 > IP > IP”页面修改设备的IP地址，通过点击页面左上角的“”按钮修改用户admin的密码，以提高安全性；还可以进入“设备 > 维护 > 管理员”页面创建新的用户，以方便对设备进行管理。

 

1.4  退出Web

为保证设备的安全性，用户在Web上完成操作后应及时退出登录。

在Web页面上单击左上角的<退出>按钮，即可退出Web。

需要注意的是：

·            退出Web时，系统不会自动保存当前配置。因此，建议用户在退出Web前先点击页面左上方的“”按钮，或进入“设备 > 维护 > 配置文件”页面保存当前配置。

·            直接关闭浏览器不能使用户退出Web。

2 如何使用Web

2.1  Web页面布局介绍

图2-1 Web页面布局

（1）标识和辅助区	（2）导航栏
（3）执行区

 

 

如上图所示，Web页面有以下几个功能区域：

·            标识和辅助区：该区域用来显示公司Logo、设备名称、当前登录用户信息，并提供语言切换、更改登录用户密码、保存当前配置、退出登录功能。点击“”可以切换语言、更改登录用户密码；点击“ 可以保存当前配置；点击“”可以退出登录。

·            导航栏：以树的形式组织设备的Web功能菜单。用户在导航栏中可以方便的选择功能菜单，选择结果显示在执行区中。

·            执行区：进行配置操作、信息查看、操作结果显示的区域。

2.2  Web页面分类

根据执行区内容的不同，Web页面分为特性页面、表项显示页面和配置页面三种。

2.2.1  特性页面

如图2-2所示，特性页面显示了该特性包含的表项的统计信息、该特性支持的主要功能等。

图2-2 特性页面示意图

 

 

2.2.2  表项显示页面

如图2-3所示，表项显示页面用来显示表项的具体信息。点击标题项（如“MAC地址”），可以根据该标题项对表项信息进行升序或降序排列。

图2-3 表项显示页面示意图

 

2.2.3  配置页面

如图2-4所示，配置页面用来完成某项配置任务，如添加、修改一条表项。某项配置任务需要的所有配置均可在该页面上完成，不需要在页面之间跳转，以方便用户使用。如图2-4所示，在配置包过滤策略时需要创建并关联ACL，在包过滤策略的配置页面上点击“”即可创建ACL，无需跳转到ACL的配置页面。

图2-4 配置页面示意图

 

2.3  Web常用按钮和图标

Web页面上常用的按钮、图标及其功能，如表2-1所示。

表2-1 Web常用按钮和图标

按钮和图标	功能说明
	用于查看特性的联机帮助信息
	用于查看某个功能或参数的在线帮助信息
	点击该图标，可以进入下一级页面进行配置或查看当前配置信息
	表项的统计计数
	显示功能当前的开启/关闭状态，点击该按钮可以修改开启/关闭状态
	用于刷新表项内容
	·         表项显示页面上，用于添加一条表项 ·         配置页面上，具有如下功能： ¡  用于对当前表项的添加进行确认，并新增一条表项 ¡  添加一个ACL或策略等，以避免配置过程中在页面之间进行跳转
	在文本框中输入查询关键字，点击该按钮对表项进行简单查询
	高级查询按钮，点击该按钮后可以输入多个条件对表项进行组合条件查询
	表项显示页面上，将鼠标放在某一条表项上，将在表项的最右端显示该图标 该图标用于显示当前表项的详情。进入详情页面后，可以对该表项进行修改
	表项显示页面上，将鼠标放在某一条表项上，将在表项的最右端显示该图标 该图标用于删除当前表项
	表项显示页面上，选中一条或多条表项后，将在页面的最下端显示该图标 该图标用于删除被选中的一条或多条表项
	用于选择显示表项中的哪些标题项
	用于进入配置页面

 

2.4  Web常用操作

Web页面上常用的操作包括保存当前配置、显示表项详情或修改表项设置、重启设备等。

2.4.1  保存当前配置

对设备执行配置操作后，建议及时保存当前配置，以免配置丢失。保存当前配置的方法有以下两种：

·            点击页面左上方标识和辅助区内的“”按钮保存配置。

·            进入“设备 > 维护 > 配置文件”页面，保存配置。

2.4.2  显示表项详情或修改表项设置

在表项显示页面上，将鼠标放在某一条表项上，将在表项的最右端显示详情图标“”。点击该图标进入详情页面后，不仅可以显示表项的详细信息，还可以对该表项进行修改。

2.4.3  重启设备

执行某些操作（如配置IRF）后，需要重启设备才能使配置生效。重启设备的方法为：进入“设备 > 维护 > 重启”页面，点击重启设备按钮。

在重启设备前，建议先保存当前配置，以免配置丢失。

 

3 Web页面导航

3.1  简介

用户登入设备WEB页面后，能够看到的页面导航内容、能够执行的操作与该用户的用户角色有关。所有配置操作的缺省用户角色要求为network-admin或mdc-admin。查看操作的缺省用户角色为所有角色。

用户角色为network-admin或mdc-admin的用户登录后，Web页面导航栏上的一级菜单包括概览、设备、网络、资源、QoS、安全、PoE、日志、无线AC和SmartMC。点击一级菜单，会展开子菜单，子菜单由分类和特性名称组成。依次点击“一级菜单—>特性名称”可以进入相应的Web页面对该特性进行配置。

3.2  一级菜单包含的特性及其支持的功能

3.2.1  概览

显示系统日志、当前的CPU和内存利用率以及设备的序列号、硬件版本等系统信息。

3.2.2  设备

设备菜单包含的特性及其支持的功能如表3-1所示。

表3-1 设备菜单包含的特性及其支持的功能

分类	特性名称	功能
维护	系统设置	·         设置设备的信息，包括名称、位置和联系方式 ·         查看和配置系统时间，包括手工指定和通过协议同步网络时间（用户登录缺省MDC后，可以查看和配置系统时间；登录非缺省MDC后，只能查看系统时间，不能配置系统时间）
	管理员	·         创建、修改、删除角色 ·         创建、修改、删除管理员，并指定管理员对应的角色，以控制管理员的访问权限 ·         管理密码
	配置文件	·         保存当前配置 ·         导入/导出配置 ·         查看当前配置 ·         将设备恢复到出厂配置
	软件更新	·         升级系统软件 ·         查看系统软件列表，包括设备本地启动使用的软件列表、下次启动将使用的主用软件列表和备用软件列表
	诊断	收集诊断信息，用于定位问题
	重启	·         重启设备 ·         重启成员设备
	关于	显示设备的基本信息，比如：设备名称、序列号、版本信息、电子标签、法律声明等
虚拟化	IRF	·         组建IRF，包括配置设备的成员编号、优先级、域编号、绑定IRF端口、激活IRF端口配置等 ·         查看IRF的拓扑信息

 

3.2.3  网络

网络菜单包含的特性及其支持的功能如表3-2所示。

表3-2 网络菜单包含的特性及其支持的功能

分类	特性名称	功能
接口	接口	·         查看设备支持的接口列表以及接口的主要属性（状态、IP地址、速率、双工模式、描述） ·         删除逻辑接口、创建子接口、启用/禁用接口等 ·         流量统计
	链路聚合	创建、修改、删除二层聚合组和三层聚合组
	风暴抑制	·         设置流量统计时间间隔 ·         设置流量控制参数 ·         显示接口流量控制信息
	端口隔离	·         创建、修改隔离组
链路	VLAN	·         基于端口划分VLAN ·         创建VLAN接口
	MAC	·         创建和删除静态MAC地址表项、动态MAC地址表项和黑洞MAC地址表项 ·         显示已有的MAC地址表项
	STP	·         全局和接口开启/关闭STP功能 ·         配置STP、RSTP、PVST和MSTP工作模式 ·         配置实例优先级 ·         配置多生成树域
	LLDP	·         开启/关闭LLDP功能 ·         修改LLDP工作模式 ·         修改接口模式 ·         配置LLDP发送的TLV类型
	DHCP Snooping	·         配置端口为信任或非信任端口 ·         配置DHCP Snooping表项记录功能和表项备份机制 ·         DHCP Snooping端口设置，包括MAC地址检查、请求方向报文检查、接受DHCP报文限速和DHCP Snooping表项最大学习数 ·         配置接口是否开启 Option 82功能。若开启该功能，则可以配置Option 82的处理方式，填充模式和填充内容
IP	IP	·         配置接口IP地址获取方式（DHCP或者手工配置） ·         修改接口的IP地址和MTU值 ·         创建LoopBack接口
	ARP	·         管理静态、动态ARP表项 ·         配置ARP代理 ·         配置免费ARP ·         配置ARP攻击防御
	DNS	·         配置静态、动态域名解析 ·         配置DNS代理 ·         配置域名后缀
IPv6	IPv6	·         配置接口IPv6地址获取方式（手工指定、自动获取或自动生成） ·         修改接口的IPv6地址 ·         创建Loopback接口
	ND	·         管理静态、动态ND表项 ·         配置STALE状态ND表项老化时间 ·         配置链路本地ND表项资源占用最小化 ·         配置跳数限制 ·         配置RA前缀，包括前缀及长度，有效生命期和首选生命期等 ·         配置接口的RA规则，包括是否抑制RA报文，RA报文最大和最小发布间隔，是否携带MTU选项，是否指定跳数限制，是否设置被管理地址标志位，是否设置其他信息标志位，路由器生存时间，邻居请求重传间隔，路由器优先级和保持邻居可达时间 ·         在接口上开启普通ND代理和本地ND代理 ·         设置接口的ND规则，包括动态表项数量限制和重复地址检测请求次数
	DNS	·         配置静态、动态IPv6域名解析 ·         配置IPv6 DNS代理 ·         配置IPv6域名后缀
镜像	端口镜像	·         配置本地镜像组 ·         配置远程镜像组
路由	路由表	查看IPv4和IPv6路由表项，包括路由表的概要信息和统计信息
	静态路由	·         查看IPv4和IPv6静态路由表项 ·         创建、修改和删除IPv4、IPv6静态路由表项
	RIP	·         创建、修改和删除RIP实例 ·         引入外部路由 ·         配置接口运行的RIP版本 ·         配置接口的验证方式
	策略路由	·         创建、修改、删除IPv4策略路由和IPv6策略路由 ·         对接口转发的报文应用策略 ·         对本地发送的报文应用策略
组播	IGMP Snooping	·         配置丢弃未知组播数据报文功能 ·         配置IGMP查询器相关功能 ·         配置端口快速离开功能 ·         限制端口加入的组播组数量
	MLD Snooping	·         配置丢弃未知IPv6组播数据报文功能 ·         配置MLD查询器相关功能 ·         配置端口快速离开功能 ·         限制端口加入的IPv6组播组数量
服务	DHCP	·         DHCP服务器功能 ¡  配置DHCP服务 ¡  配置接口工作在DHCP服务器模式 ¡  配置DHCP地址池 ¡  配置IP地址冲突检测功能 ·         DHCP中继功能 ¡  配置DHCP服务 ¡  配置接口工作在DHCP中继模式，指定对应的DHCP服务器地址 ·         配置是否记录DHCP中继表项，中继表项定时刷新功能和刷新时间间隔
	HTTP/HTTPS	·         启用/禁用设备HTTP/HTTPS登录功能 ·         配置登录用户连接的空闲超时时间 ·         配置HTTP/HTTPS的服务端口号 ·         使用ACL过滤登录用户
	FTP	·         开启FTP服务器功能 ·         配置设备发送的FTP报文的DSCP优先级 ·         使用ACL过滤FTP用户 ·         配置FTP连接的空闲超时时间
	Telnet	·         启用/禁用设备Telnet登录功能 ·         配置IPv4/IPv6 Telnet报文的DSCP优先级 ·         使用ACL过滤登录用户
	NTP	配置本地时钟作为参考时钟

 

3.2.4  资源

资源菜单包含的特性及其支持的功能如表3-3所示。

表3-3 资源菜单包含的特性及其支持的功能

分类	特性名称	功能
ACL	IPv4	·         创建基本或高级IPv4 ACL、基本或高级IPv6 ACL、二层ACL和用户自定义ACL ·         修改、删除在本页面和其他业务模块（如包过滤）页面创建的ACL
	IPv6
	二层
	用户自定义
时间段	时间段	创建、修改和删除时间段

 

3.2.5  QoS

QoS菜单包含的特性及其支持的功能如表3-4所示。

表3-4 QoS菜单包含的特性及其支持的功能

分类	特性名称	功能
QoS	QoS 策略	创建、修改和删除基于接口的QoS策略、基于VLAN的QoS策略和基于全局的QoS策略
	硬件队列	修改接口硬件队列设置
	优先级映射	·         配置端口优先级和端口优先级信任模式 ·         配置优先级映射表，包括应用和重置802.1p优先级到本地优先级映射表、DSCP到802.1p优先级映射表和DSCP到DSCP映射表
	限速	创建、修改和删除接口限速

 

3.2.6  安全

安全菜单包含的特性及其支持的功能如表3-5所示。

表3-5 安全菜单包含的特性及其支持的功能

分类	特性名称	功能
包过滤	包过滤	·         创建、修改和删除基于接口的包过滤、基于VLAN的包过滤和基于全局的包过滤 ·         配置包过滤缺省动作
认证	ISP 域	配置ISP域
	RADIUS	配置RADIUS方案
	本地认证	配置本地用户

 

3.2.7  日志

日志菜单包含的特性及其支持的功能如表3-6所示。

表3-6 日志菜单包含的特性及其支持的功能

分类	特性名称	功能
日志	系统日志	·         查看设备记录的日志信息 ·         查询、统计、删除日志信息
	设置	·         开启或关闭日志输出到日志缓冲区的功能，并配置日志缓冲区可存储的信息条数 ·         配置日志主机的地址（或域名）、端口号

 

3.2.8  SmartMC

点击SmartMC菜单，浏览器会跳转到SmartMC功能的管理页面。

SmartMC页面包含的特性及其支持的功能如表3-7所示。

表3-7 SmartMC页面的特性及其支持的功能

分类	特性名称	功能
SmartMC	配置向导	配置管理设备
	智能管理	·         配置设备角色 ·         配置SmartMC网络拓扑收集时间间隔 ·         配置FTP服务器 ·         配置SmartMC网络的出接口 ·         配置自动链路聚合功能 ·         关闭SmartMC功能
	智能运维	·         SmartMC组配置 ·         升级成员设备的启动软件和配置文件 ·         备份成员设备的配置文件 ·         为成员设备创建VLAN ·         向成员设备批量下发配置 ·         端口智能识别 ·         资源监控 ·         替换故障成员设备
	可视化	·         SmartMC网络拓扑管理 ·         自定义设备类型
	智能业务	用户管理

 

3.2.9  无线AC

点击无线AC菜单，浏览器会跳转到无线AC的概览页面。

4 设备功能介绍

4.1  系统设置

系统设置功能用来对设备的名称、位置等信息以及系统时间进行设置。

4.1.1  系统时间

为了便于管理，并保证与其它设备协调工作，设备需要准确的系统时间。

系统时间的获取方式有：

·            手工配置。用户手工指定的时间即为当前的系统时间，不管是否同时修改了时区和夏令时。后续，设备使用内部晶体震荡器产生的时钟信号计时。如果用户没有手工配置系统时间，仅修改了时区或夏令时，设备会使用新时区和夏令时来调整系统时间。

·            自动同步。设备使用协议周期性地同步服务器的UTC（Coordinated Universal Time，国际协调时间）时间，并用同步得到的UTC时间和设备上配置的时区、夏令时参数进行运算，得出当前的系统时间。如果用户修改了时区或夏令时，设备会重新计算系统时间。该方式获取的时间比手工配置的时间更精准，推荐使用。

全球分为24个时区。请将设备的时区配置为当地地理时区。

在执行夏令时制的国家/地区需要配置夏令时。夏令时会相对非夏令时提前1小时，开始时间、结束时间和您所处国家/地区的夏令时要求一致即可。（如果夏令时开始时刻到达时，页面显示的系统时间没有加一，请刷新页面查看效果）

 

4.1.2  NTP/SNTP简介

NTP（Network Time Protocol，网络时间协议）可以用来在分布式时间服务器和客户端之间进行时间同步，使网络内所有设备的时间保持一致，从而使设备能够提供基于统一时间的多种应用。

SNTP（Simple NTP，简单NTP）采用与NTP相同的报文格式及交互过程，但简化了NTP的时间同步过程，以牺牲时间精度为代价实现了时间的快速同步，并减少了占用的系统资源。在时间精度要求不高的情况下，可以使用SNTP来实现时间同步。

4.1.3  NTP/SNTP时钟源工作模式

NTP支持服务器模式和对等体模式两种时钟源工作模式，如表4-1所示。在服务器模式中，设备只能作为客户端；在对等体模式中，设备只能作为主动对等体。

SNTP只支持服务器模式这一种时钟源工作模式。在该模式中，设备只能作为客户端，从NTP服务器获得时间同步，不能作为服务器为其他设备提供时间同步。

表4-1 NTP时钟源工作模式

模式	工作过程	时间同步方向	应用场合
服务器模式	客户端上需要手工指定NTP服务器的地址。客户端向NTP服务器发送NTP时间同步报文。NTP服务器收到报文后会自动工作在服务器模式，并回复应答报文 一个客户端可以配置多个时间服务器，如果客户端从多个时间服务器获取时间同步，则客户端收到应答报文后，进行时钟过滤和选择，并与优选的时钟进行时间同步	客户端能够与NTP服务器的时间同步 NTP服务器无法与客户端的时间同步	该模式通常用于下级的设备从上级的时间服务器获取时间同步
对等体模式	主动对等体（Symmetric active peer）上需要手工指定被动对等体（Symmetric passive peer）的地址。主动对等体向被动对等体发送NTP时间同步报文。被动对等体收到报文后会自动工作在被动对等体模式，并回复应答报文 如果主动对等体可以从多个时间服务器获取时间同步，则主动对等体收到应答报文后，进行时钟过滤和选择，并与优选的时钟进行时间同步	主动对等体和被动对等体的时间可以互相同步 如果双方的时钟都处于同步状态，则层数大的时钟与层数小的时钟的时间同步	该模式通常用于同级的设备间互相同步，以便在同级的设备间形成备份。如果某台设备与所有上级时间服务器的通信出现故障，则该设备仍然可以从同级的时间服务器获得时间同步

 

4.1.4  NTP/SNTP时钟源身份验证

NTP/SNTP时钟源身份验证功能可以用来验证接收到的NTP报文的合法性。只有报文通过验证后，设备才会接收该报文，并从中获取时间同步信息；否则，设备会丢弃该报文。从而，保证设备不会与非法的时间服务器进行时间同步，避免时间同步错误。

4.2  管理员

管理员通过SSH、Telnet、FTP、终端接入（即从Console口、AUX口、Async口接入）方式登录到设备上之后，可以对设备进行配置和管理。对登录用户的管理和维护主要涉及以下几个部分：

·            帐户管理：对用户的基本信息（用户名、密码）以及相关属性的管理。

·            角色管理：对用户可执行的系统功能以及可操作的系统资源权限的管理。

·            密码管理：对用户登录密码的设置、老化、更新以及用户登录状态等方面的管理。

4.2.1  帐户管理

为使请求某种服务的用户可以成功登录设备，需要在设备上添加相应的帐户。所谓用户，是指在设备上设置的一组用户属性的集合，该集合以用户名唯一标识。一个有效的用户条目中可包括用户名、密码、角色、可用服务、密码管理等属性。

4.2.2  角色管理

对登录用户权限的控制，是通过为用户赋予一定的角色来实现。一个角色中定义了允许用户执行的系统功能以及可操作的系统资源，具体实现如下：

·            通过角色规则实现对系统功能的操作权限的控制。

·            通过资源控制策略实现对系统资源（接口、VLAN）的操作权限的控制。

1. 角色规则

一个角色中可以包含多条规则，规则定义了允许/禁止用户操作某类实体的权限。

对于登录Web页面的用户，系统实际支持的实体类型仅为Web菜单。Web菜单是指通过Web对设备进行配置时，各配置页面以Web菜单的形式组织，按照层次关系，形成多级菜单的树形结构。

基于Web菜单的规则用来控制指定的Web菜单选项是否允许被操作。因为菜单项中的操作控件具有相应的读，写或执行属性，所以定义基于Web菜单的规则时，可以精细地控制菜单项中读、写或执行控件的操作。

·            读权限：可查看指定菜单的配置信息和维护信息。

·            写权限：可配置指定菜单的相关功能和参数。

·            执行权限：可执行指定菜单的特定控件操作的功能，如Ping操作。

2. 资源控制策略

资源控制策略规定了用户对系统资源的操作权限。对于登录Web页面的用户而言，对接口/VLAN/VRF的操作是指创建接口/VLAN/VRF、配置接口/VLAN/VRF的属性、删除接口/VLAN/VRF和应用接口/VLAN/VRF。

资源控制策略需要与角色规则相配合才能生效。

3. 缺省角色

系统预定义了多种角色，这些角色缺省均具有操作所有系统资源的权限，但具有不同的系统功能操作权限。如果系统预定义的用户角色无法满足权限管理需求，管理员还可以自定义用户角色来对用户权限做进一步控制。

 

4. 为用户赋予角色

根据用户登录方式的不同，为用户授权角色分为以下两类：

·            对于通过本地AAA认证登录设备的用户，由本地用户配置决定为其授权的用户角色。

·            对于通过AAA远程认证登录设备的用户，由AAA服务器的配置决定为其授权的用户角色。

将有效的角色成功授权给用户后，登录设备的用户才能以各角色所具有的权限来配置、管理或者监控设备。如果用户没有被授权任何角色，将无法成功登录设备。

一个用户可同时拥有多个角色。拥有多个角色的用户可获得这些角色中被允许执行的功能以及被允许操作的资源的集合。

4.2.3  密码管理

为了提高用户登录密码的安全性，可通过定义密码管理策略对用户的登录密码进行管理，并对用户的登录状态进行控制。

1. 密码长度检查

管理员可以限制用户密码的最小长度。当设置用户密码时，如果输入的密码长度小于设置的最小长度，系统将不允许设置该密码。

2. 密码组合检查

管理员可以设置用户密码的组成元素的组合类型，以及至少要包含每种元素的个数。密码的组成元素包括以下4种类型：

·            [A～Z]

·            [a～z]

·            [0～9]

·            32个特殊字符（空格~`!@#$%^&*()_+-={}|[]\:”;’<>,./）

密码元素的组合类型有4种，具体涵义如下：

·            组合类型为1表示密码中至少包含1种元素；

·            组合类型为2表示密码中至少包含2种元素；

·            组合类型为3表示密码中至少包含3种元素；

·            组合类型为4表示密码中包含4种元素。

当用户设置密码时，系统会检查设定的密码是否符合配置要求，只有符合要求的密码才能设置成功。

3. 密码复杂度策略

为确保用户的登录密码具有较高的复杂度，要求管理员为其设置的密码必须符合一定的复杂度要求，只有符合要求的密码才能设置成功。目前，可配置的复杂度要求包括：

·            密码中不能包含连续三个或以上的相同字符。例如，密码“a111”就不符合复杂度要求。

·            密码中不能包含用户名或者字符顺序颠倒的用户名。例如，用户名为“abc”，那么“abc982”或者“2cba”之类的密码就不符合复杂度要求。

4. 密码更新管理

管理员可以设置用户登录设备后修改自身密码的最小间隔时间。当用户登录设备修改自身密码时，如果距离上次修改密码的时间间隔小于配置值，则系统不允许修改密码。例如，管理员配置用户密码更新间隔时间为48小时，那么用户在上次修改密码后的48小时之内都无法成功进行密码修改操作。

有两种情况下的密码更新并不受该功能的约束：用户首次登录设备时系统要求用户修改密码；密码老化后系统要求用户修改密码。

5. 密码老化管理

当用户登录密码的使用时间超过老化时间后，需要用户更换密码。如果用户输入的新密码不符合要求，或连续两次输入的新密码不一致，系统将要求用户重新输入。对于FTP用户，密码老化后，只能由管理员修改FTP用户的密码；对于Telnet、SSH、Terminal（通过Console口或AUX口登录设备）用户可自行修改密码。

6. 密码过期提醒

在用户登录时，系统判断其密码距离过期的时间是否在设置的提醒时间范围内。如果在提醒时间范围内，系统会提示该密码还有多久过期，并询问用户是否修改密码。如果用户选择修改，则记录新的密码及其设定时间。如果用户选择不修改或者修改失败，则在密码未过期的情况下仍可以正常登录。对于FTP用户，只能由管理员修改FTP用户的密码；对于Telnet、SSH、Terminal（通过Console口或AUX口登录设备）用户可自行修改密码。

7. 密码老化后允许登录

管理员可以设置用户密码过期后在指定的时间内还能登录设备指定的次数。这样，密码老化的用户不需要立即更新密码，依然可以登录设备。例如，管理员设置密码老化后允许用户登录的时间为15天、次数为3次，那么用户在密码老化后的15天内，还能继续成功登录3次。

8. 密码历史记录

系统保存用户密码历史记录。当用户修改密码时，系统会要求用户设置新的密码，如果新设置的密码以前使用过，且在当前用户密码历史记录中，系统将给出错误信息，提示用户密码更改失败。另外，用户更改密码时，系统会将新设置的密码逐一与所有记录的历史密码以及当前密码比较，要求新密码至少要与旧密码有4字符不同，且这4个字符必须互不相同，否则密码更改失败。

可以配置每个用户密码历史记录的最大条数，当密码历史记录的条数超过配置的最大历史记录条数时，新的密码历史记录将覆盖该用户最老的一条密码历史记录。

由于为用户配置的密码在哈希运算后以密文的方式保存，配置一旦生效后就无法还原为明文密码，因此，用户的当前登录密码，不会被记录到该用户的密码历史记录中。

9. 密码尝试次数限制

密码尝试次数限制可以用来防止恶意用户通过不断尝试来破解密码。

每次用户认证失败后，系统会将该用户加入密码管理的黑名单。可加入密码管理功能黑名单的用户包括：FTP用户和通过VTY方式访问设备的用户。不会加入密码管理功能黑名单的用户包括：用户名不存在的用户、通过Console口或AUX口连接到设备的用户。

当用户连续尝试认证的失败累加次数达到设置的尝试次数时，系统对用户的后续登录行为有以下三种处理措施：

·            永久禁止该用户登录。只有管理员把该用户从密码管理的黑名单中删除后，该用户才能重新登录。

·            禁止该用户一段时间后，再允许其重新登录。当配置的禁止时间超时或者管理员将其从密码管理的黑名单中删除，该用户才可以重新登录。

·            不对该用户做禁止，允许其继续登录。在该用户登录成功后，该用户会从密码管理的黑名单中删除。

10. 用户帐号闲置时间管理

管理员可以限制用户帐号的闲置时间，禁止在闲置时间之内始终处于不活动状态的用户登录。若用户自从最后一次成功登录之后，在配置的闲置时间内再未成功登录过，那么该闲置时间到达之后此用户帐号立即失效，系统不再允许使用该帐号的用户登录。

4.3  IRF

IRF（Intelligent Resilient Framework，智能弹性架构）是一种软件虚拟化技术。它的核心思想是将多台设备连接在一起，进行必要的配置后，虚拟化成一台设备。使用这种虚拟化技术可以集合多台设备的硬件资源和软件处理能力，实现多台设备的协同工作、统一管理和不间断维护。

IRF在网络中作为一个节点运行，能够简化网络拓扑、方便用户管理和维护。用户从任意成员设备的接口登录并配置IRF，IRF会将这些配置同步到所有成员设备，从而保证所有成员设备配置的一致性。

IRF虚拟化技术涉及如下基本概念：

1. 角色

IRF中每台设备都称为成员设备。成员设备按照功能不同，分为两种角色：

·            主用设备（简称为主设备）：负责管理和控制整个IRF。

·            从属设备（简称为从设备）：处理业务、转发报文的同时作为主设备的备份设备运行。当主设备故障时，系统会自动从从设备中选举一个新的主设备接替原主设备工作。

主设备和从设备均由角色选举产生。一个IRF中同时只能存在一台主设备，其它成员设备都是从设备。

2. 成员编号

成员编号是设备在IRF中的标识，IRF通过成员编号来管理成员设备。请先修改成员编号并确保编号在IRF中唯一，再加入IRF。否则，该设备不能加入IRF。修改后的成员编号，需要手工重启本设备后生效。

3. 成员优先级

成员优先级是成员设备的一个属性，主要用于角色选举过程中确定成员设备的角色。优先级越高当选为主设备的可能性越大。

4. IRF端口

一种专用于IRF成员设备之间进行连接的逻辑接口，每台成员设备上有IRF-Port1和IRF-Port2。它需要和物理端口绑定之后才能生效。

5. IRF物理端口

与IRF端口绑定，用于IRF成员设备之间进行连接的物理接口。IRF物理端口用来转发IRF相关协商报文以及需要跨成员设备转发的业务报文。一个IRF端口可绑定多个IRF物理端口。

6. IRF域

为了适应各种组网应用，同一个网络里可以部署多个IRF，IRF之间使用域编号以示区别。

7. IRF分裂和IRF合并

由于IRF链路故障，导致IRF中相邻成员设备不连通，一个IRF变成两个或多个IRF，这个过程称为IRF分裂。

分裂的IRF通过修复链路故障重新组成IRF，或两个独立的IRF通过物理连接和必要的配置组成一个IRF，这个过程称为IRF合并。

5 网络功能介绍

5.1  链路聚合

以太网链路聚合通过将多条以太网物理链路捆绑在一起形成一条以太网逻辑链路，实现增加链路带宽的目的，同时这些捆绑在一起的链路通过相互动态备份，可以有效地提高链路的可靠性。

5.1.1  聚合组

链路捆绑是通过接口捆绑实现的，多个以太网接口捆绑在一起后形成一个聚合组，而这些被捆绑在一起的以太网接口就称为该聚合组的成员端口。每个聚合组唯一对应着一个逻辑接口，称为聚合接口。聚合组与聚合接口的编号是相同的，例如聚合组1对应于聚合接口1。

聚合组/聚合接口可以分为以下两种类型：

·            二层聚合组/二层聚合接口：二层聚合组的成员端口全部为二层以太网接口，其对应的聚合接口称为二层聚合接口。

·            三层聚合组/三层聚合接口：三层聚合组的成员端口全部为三层以太网接口，其对应的聚合接口称为三层聚合接口。

聚合接口的速率和双工模式取决于对应聚合组内的选中端口：聚合接口的速率等于所有选中端口的速率之和，聚合接口的双工模式则与选中端口的双工模式相同。

5.1.2  选中/非选中状态

聚合组内的成员端口具有以下两种状态：

·            选中（Selected）状态：此状态下的成员端口可以参与数据的转发，处于此状态的成员端口称为“选中端口”。

·            非选中（Unselected）状态：此状态下的成员端口不能参与数据的转发，处于此状态的成员端口称为“非选中端口”。

5.1.3  操作Key

操作Key是系统在进行链路聚合时用来表征成员端口聚合能力的一个数值，它是根据成员端口上的一些信息（包括该端口的速率、双工模式等）的组合自动计算生成的，这个信息组合中任何一项的变化都会引起操作Key的重新计算。在同一聚合组中，所有的选中端口都必须具有相同的操作Key。

5.1.4  属性类配置

属性类配置：包含的配置内容如表5-1所示。在聚合组中，只有与对应聚合接口的属性类配置完全相同的成员端口才能够成为选中端口。

表5-1 属性类配置

配置项	内容
端口隔离	端口是否加入隔离组、端口所属的端口隔离组
VLAN配置	端口上允许通过的VLAN、端口缺省VLAN、VLAN报文是否带Tag配置

 

5.1.5  聚合模式

链路聚合分为静态聚合和动态聚合两种模式，处于静态聚合模式下的聚合组称为静态聚合组，处于动态聚合模式下的聚合组称为动态聚合组。

静态聚合和动态聚合工作时首先要选取参考端口，之后再确定成员端口的状态。

1. 静态聚合

(1)       选择参考端口

参考端口从本端的成员端口中选出，其操作Key和属性类配置将作为同一聚合组内的其他成员端口的参照，只有操作Key和属性类配置与参考端口一致的成员端口才能被选中。

对于聚合组内处于up状态的端口，按照端口的高端口优先级->全双工/高速率->全双工/低速率->半双工/高速率->半双工/低速率的优先次序，选择优先次序最高、且属性类配置与对应聚合接口相同的端口作为参考端口；如果多个端口优先次序相同，首先选择原来的选中端口作为参考端口；如果此时多个优先次序相同的端口都是原来的选中端口，则选择其中端口号最小的端口作为参考端口；如果多个端口优先次序相同，且都不是原来的选中端口，则选择其中端口号最小的端口作为参考端口。

(2)       确定成员端口状态

静态聚合组内成员端口状态的确定流程如图5-1所示。

图5-1 静态聚合组内成员端口状态的确定流程

 

2. 动态聚合

动态聚合模式通过LACP（Link Aggregation Control Protocol，链路聚合控制协议）协议实现，动态聚合组内的成员端口可以收发LACPDU（Link Aggregation Control Protocol Data Unit，链路聚合控制协议数据单元），本端通过向对端发送LACPDU通告本端的信息。当对端收到该LACPDU后，将其中的信息与所在端其他成员端口收到的信息进行比较，以选择能够处于选中状态的成员端口，使双方可以对各自接口的选中/非选中状态达成一致。

(1)       选择参考端口

参考端口从聚合链路两端处于up状态的成员端口中选出，其操作Key和属性类配置将作为同一聚合组内的其他成员端口的参照，只有操作Key和属性类配置与参考端口一致的成员端口才能被选中。

·            首先，从聚合链路的两端选出设备ID（由系统的LACP优先级和系统的MAC地址共同构成）较小的一端：先比较两端的系统LACP优先级，优先级数值越小其设备ID越小；如果优先级相同再比较其系统MAC地址，MAC地址越小其设备ID越小。

·            其次，对于设备ID较小的一端，再比较其聚合组内各成员端口的端口ID（由端口优先级和端口的编号共同构成）：先比较端口优先级，优先级数值越小其端口ID越小；如果优先级相同再比较其端口号，端口号越小其端口ID越小。端口ID最小、且属性类配置与对应聚合接口相同的端口作为参考端口。

(2)       确定成员端口的状态

在设备ID较小的一端，动态聚合组内成员端口状态的确定流程如图5-2所示

图5-2 动态聚合组内成员端口状态的确定流程

 

与此同时，设备ID较大的一端也会随着对端成员端口状态的变化，随时调整本端各成员端口的状态，以确保聚合链路两端成员端口状态的一致。

3. 静态聚合和动态聚合的优点

静态聚合和动态聚合的优点分别为：

·            静态聚合模式：一旦配置好后，端口的转发流量的状态就不会受网络环境的影响，比较稳定。

·            动态聚合模式：能够根据对端和本端的信息调整端口的转发流量的状态，比较灵活。

5.2  风暴抑制

风暴抑制用于控制以太网上的报文风暴。配置该功能后，系统会按照配置的时间间隔统计端口收到的未知单播/组播/广播报文流量。如果某类报文流量超过上限阈值，系统会执行相应的控制动作，以及决定是否输出Trap和日志。控制动作包括：

·            无：在端口上不执行任何动作。

·            阻塞端口：端口将暂停转发该类报文（其它类型报文照常转发），端口处于阻塞状态，但仍会统计该类报文的流量。当该类报文的流量小于其下限阈值时，端口将自动恢复对此类报文的转发。

·            关闭端口：端口将被关闭，系统停止转发所有报文。当该类报文的流量小于其下限阈值时，端口状态不会自动恢复，需要手工启用接口或取消端口上流量阈值的配置来恢复。

5.3  端口隔离

为了实现端口间的二层隔离，可以将不同的端口加入不同的VLAN，但VLAN资源有限。采用端口隔离特性，用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层隔离，而不关心这些端口所属VLAN，从而节省VLAN资源。

隔离组内的端口与未加入隔离组的端口之间二层流量双向互通。

5.4  VLAN

VLAN（Virtual Local Area Network，虚拟局域网）技术可以把一个物理LAN划分成多个逻辑的LAN——VLAN，每个VLAN是一个广播域。处于同一VLAN的主机能够直接互通，而处于不同VLAN的主机不能够直接互通。

5.4.1  基于端口划分VLAN

VLAN可以基于端口进行划分。它按照设备端口来定义VLAN成员，将指定端口加入到指定VLAN中之后，端口就可以转发该VLAN的报文。

在某VLAN内，可根据需要配置端口加入Untagged端口列表或Tagged端口列表（即配置端口为Untagged端口或Tagged端口），从Untagged端口发出的该VLAN报文不带VLAN Tag，从Tagged端口发出的该VLAN报文带VLAN Tag。

端口的链路类型分为三种。在端口加入某VLAN时，对不同链路类型的端口加入的端口列表要求不同：

·            Access：端口只能发送一个VLAN的报文，发出去的报文不带VLAN Tag。该端口只能加入一个VLAN的Untagged端口列表。

·            Trunk：端口能发送多个VLAN的报文，发出去的端口缺省VLAN的报文不带VLAN Tag，其他VLAN的报文都必须带VLAN Tag。在端口缺省VLAN中，该端口只能加入Untagged端口列表；在其他VLAN中，该端口只能加入Tagged端口列表。

·            Hybrid：端口能发送多个VLAN的报文，端口发出去的报文可根据需要配置某些VLAN的报文带VLAN Tag，某些VLAN的报文不带VLAN Tag。在不同VLAN中，该端口可以根据需要加入Untagged端口列表或Tagged端口列表。

5.4.2  VLAN接口

不同VLAN间的主机不能直接通信，通过设备上的VLAN接口，可以实现VLAN间的三层互通。VLAN接口是一种三层的虚拟接口，它不作为物理实体存在于设备上。每个VLAN对应一个VLAN接口，VLAN接口的IP地址可作为本VLAN内网络设备的网关地址，对需要跨网段的报文进行基于IP地址的三层转发。

5.5  MAC

MAC（Media Access Control，媒体访问控制）地址表记录了MAC地址与接口的对应关系，以及接口所属的VLAN等信息。设备在转发报文时，根据报文的目的MAC地址查询MAC地址表，如果MAC地址表中包含与报文目的MAC地址对应的表项，则直接通过该表项中的出接口转发该报文；如果MAC地址表中没有包含报文目的MAC地址对应的表项时，设备将采取广播的方式通过对应VLAN内除接收接口外的所有接口转发该报文。

5.5.1  MAC地址表分类

MAC地址表项分为以下几种：

·            动态MAC地址表项：可以由用户手工配置，也可以由设备通过源MAC地址学习自动生成，用于目的是某个MAC地址的报文从对应接口转发出去，表项有老化时间。手工配置的动态MAC地址表项优先级等于自动生成的MAC地址表项。

·            静态MAC地址表项：由用户手工配置，用于目的是某个MAC地址的报文从对应接口转发出去，表项不老化。静态MAC地址表项优先级高于自动生成的MAC地址表项。

·            黑洞MAC地址表项：由用户手工配置，用于丢弃源MAC地址或目的MAC地址为指定MAC地址的报文（例如，出于安全考虑，可以禁止某个用户发送和接收报文），表项不老化。

·            多端口单播MAC地址表项：由用户手工配置，用于目的是某个单播MAC地址的报文从多个接口复制转发出去，表项不老化。多端口单播MAC地址表项优先级高于自动生成的MAC地址表项。

·            安全服务MAC地址表项：可以由用户手工配置，也可以由设备通过源MAC地址学习自动生成，用于转发指定MAC地址的报文，表项不老化。

5.5.2  MAC地址表项老化时间

MAC地址表中自动生成的表项并非永远有效，每一条表项都有一个生存周期，这个生存周期被称作老化时间。配置动态MAC地址表项的老化时间后，超过老化时间的动态MAC地址表项会被自动删除，设备将重新进行MAC地址学习，构建新的动态MAC地址表项。如果在到达生存周期前某表项被刷新，则重新计算该表项的老化时间。

用户配置的老化时间过长或者过短，都可能影响设备的运行性能：

·            如果用户配置的老化时间过长，设备可能会保存许多过时的MAC地址表项，从而耗尽MAC地址表资源，导致设备无法根据网络的变化更新MAC地址表。

·            如果用户配置的老化时间太短，设备可能会删除有效的MAC地址表项，导致设备广播大量的数据报文，增加网络的负担。

用户需要根据实际情况，配置合适的老化时间。如果网络比较稳定，可以将老化时间配置得长一些或者配置为不老化；否则，可以将老化时间配置得短一些。比如在一个比较稳定的网络，如果长时间没有流量，动态MAC地址表项会被全部删除，可能导致设备突然广播大量的数据报文，造成安全隐患，此时可将动态MAC地址表项的老化时间设得长一些或不老化，以减少广播，增加网络稳定性和安全性。动态MAC地址表项的老化时间作用于全部接口上。

5.5.3  接口MAC地址学习

缺省情况下，MAC地址学习功能处于开启状态。有时为了保证设备的安全，需要关闭MAC地址学习功能。常见的危及设备安全的情况是：非法用户使用大量源MAC地址不同的报文攻击设备，导致设备MAC地址表资源耗尽，造成设备无法根据网络的变化更新MAC地址表。关闭MAC地址学习功能可以有效防止这种攻击。在开启全局的MAC地址学习功能的前提下，用户可以关闭单个接口的MAC地址的学习功能。

如果MAC地址表过于庞大，可能导致设备的转发性能下降。通过配置接口的MAC地址数学习上限，用户可以控制设备维护的MAC地址表的表项数量。当接口学习到的MAC地址数达到上限时，该接口将不再对MAC地址进行学习，同时，用户还可以根据需要选择是否允许系统转发源MAC不在MAC地址表里的报文。

5.6  STP

生成树协议运行于二层网络中，通过阻塞冗余链路构建出无数据环路的树型网络拓扑，并在设备或数据链路故障时，重新计算出新的树型拓扑。

生成树协议包括STP、RSTP、PVST和MSTP。

·            STP：由IEEE制定的802.1D标准定义，是狭义的生成树协议。

·            RSTP：由IEEE制定的802.1w标准定义，它在STP基础上进行了改进，实现了网络拓扑的快速收敛。其“快速”体现在，当一个端口被选为根端口和指定端口后，其进入转发状态的延时将大大缩短，从而缩短了网络最终达到拓扑稳定所需要的时间。

·            PVST：可以在每个VLAN内都拥有一棵生成树，能够有效地提高链路带宽的利用率。

·            MSTP：由IEEE制定的802.1s标准定义，它可以弥补STP和RSTP的缺陷，既可以快速收敛，也能使不同VLAN的流量沿各自的路径转发，从而为冗余链路提供了更好的负载分担机制。

5.6.1  生成树工作模式

生成树的工作模式有以下几种：

·            STP模式：设备的所有端口都将向外发送STP BPDU。如果端口的对端设备只支持STP，可选择此模式。

·            RSTP模式：设备的所有端口都向外发送RSTP BPDU。当端口收到对端设备发来的STP BPDU时，会自动迁移到STP模式；如果收到的是MSTP BPDU，则不会进行迁移。

·            PVST模式：设备的所有端口都向外发送PVST BPDU，每个VLAN对应一棵生成树。进行PVST组网时，若网络中所有设备的生成树维护量（使能生成树协议的VLAN数×使能生成树协议的端口数）达到一定数量，会导致CPU负荷过重，不能正常处理报文，引起网络震荡。不同型号的设备支持的生成树维护量不同，请以设备的实际情况为准。

·            MSTP模式：设备的所有端口都向外发送MSTP BPDU。当端口收到对端设备发来的STP BPDU时，会自动迁移到STP模式；如果收到的是RSTP BPDU，则不会进行迁移。

5.6.2  MSTP基本概念

MSTP把一个交换网络划分成多个域，这些域称为MST（Multiple Spanning Tree Regions，多生成树域）域。每个域内形成多棵生成树，各生成树之间彼此独立并分别与相应的VLAN对应，每棵生成树都称为一个MSTI（Multiple Spanning Tree Instance，多生成树实例）。CST（Common Spanning Tree，公共生成树）是一棵连接交换网络中所有MST域的单生成树。IST（Internal Spanning Tree，内部生成树）是MST域内的一棵生成树，它是一个特殊的MSTI，通常也称为MSTI 0，所有VLAN缺省都映射到MSTI 0上。CIST（Common and Internal Spanning Tree，公共和内部生成树）是一棵连接交换网络内所有设备的单生成树，所有MST域的IST再加上CST就共同构成了整个交换网络的一棵完整的单生成树。

其中，对于属于同一MST域的设备具有下列特点：

·            都使能了生成树协议。

·            域名相同。

·            VLAN与MSTI间映射关系的配置相同。

·            MSTP修订级别的配置相同。

·            这些设备之间有物理链路连通。

5.6.3  生成树端口角色

生成树可能涉及到的端口角色有以下几种：

·            根端口（Root Port）：在非根桥上负责向根桥方向转发数据的端口就称为根端口，根桥上没有根端口。

·            指定端口（Designated Port）：负责向下游网段或设备转发数据的端口就称为指定端口。

·            替换端口（Alternate Port）：是根端口或主端口的备份端口。当根端口或主端口被阻塞后，替换端口将成为新的根端口或主端口。

·            备份端口（Backup Port）：是指定端口的备份端口。当指定端口失效后，备份端口将转换为新的指定端口。当使能了生成树协议的同一台设备上的两个端口互相连接而形成环路时，设备会将其中一个端口阻塞，该端口就是备份端口。

·            边缘端口（Edge Port）：不与其他设备或网段连接的端口就称为边缘端口，边缘端口一般与用户终端设备直接相连。

·            主端口（Master Port）：是将MST域连接到总根的端口（主端口不一定在域根上），位于整个域到总根的最短路径上。主端口是MST域中的报文去往总根的必经之路。主端口在IST/CIST上的角色是根端口，而在其他MSTI上的角色则是主端口。

·            域边界端口（Boundary Port）：是位于MST域的边缘、并连接其他MST域或MST域与运行STP/RSTP的区域的端口。主端口同时也是域边界端口。在进行MSTP计算时，域边界端口在MSTI上的角色与CIST的角色一致，但主端口除外——主端口在CIST上的角色为根端口，在其他MSTI上的角色才是主端口。

STP只涉及根端口和指定端口两种端口角色，RSTP的端口角色中新增了替换端口、备份端口和边缘端口三种端口角色，MSTP涉及所有的端口角色。

5.6.4  生成树端口状态

RSTP和MSTP中的端口状态可分为三种，如表5-2所示。

表5-2 RSTP和MSTP中的端口状态

状态	描述
Forwarding	该状态下的端口可以接收和发送BPDU，也转发用户流量
Learning	是一种过渡状态，该状态下的端口可以接收和发送BPDU，但不转发用户流量
Discarding	该状态下的端口可以接收和发送BPDU，但不转发用户流量

 

STP定义了五种端口状态：Disabled、Blocking、Listening、Learning和Forwarding。其中Disabled、Blocking和Listening状态都对应RSTP/MSTP中的Discarding状态。

5.7  LLDP

LLDP（Link Layer Discovery Protocol，链路层发现协议）提供了一种标准的链路层发现方式，可以将本端设备的信息（包括主要能力、管理地址、设备标识、接口标识等）组织成不同的TLV（Type/Length/Value，类型/长度/值），并封装在LLDPDU（Link Layer Discovery Protocol Data Unit，链路层发现协议数据单元）中发布给与自己直连的邻居，邻居收到这些信息后将其以标准MIB（Management Information Base，管理信息库）的形式保存起来，以供网络管理系统查询及判断链路的通信状况。

5.7.1  LLDP代理

LLDP代理是LLDP协议运行实体的一个抽象映射。一个接口下，可以运行多个LLDP代理。目前LLDP定义的代理类型包括：最近桥代理、最近非TPMR桥代理和最近客户桥代理。LLDP在相邻的代理之间进行协议报文交互，并基于代理创建及维护邻居信息。

5.7.2  LLDP报文的发送机制

在指定类型LLDP代理下，当端口工作在TxRx或Tx模式时，设备会以报文发送时间间隔为周期，向邻居设备发送LLDP报文。如果设备的本地配置发生变化则立即发送LLDP报文，以将本地信息的变化情况尽快通知给邻居设备。但为了防止本地信息的频繁变化而引起LLDP报文的大量发送，可以配置限制发送报文速率的令牌桶大小来作限速处理。

当设备的工作模式由Disable/Rx切换为TxRx/Tx，或者发现了新的邻居设备（即收到一个新的LLDP报文且本地尚未保存发送该报文设备的信息）时，该设备将自动启用快速发送机制，即将LLDP报文的发送周期设置为快速发送周期，并连续发送指定数量（快速发送LLDP报文的个数）的LLDP报文后再恢复为正常的发送周期。

5.7.3  LLDP报文的接收机制

当端口工作在TxRx或Rx模式时，设备会对收到的LLDP报文及其携带的TLV进行有效性检查，通过检查后再将邻居信息保存到本地，并根据Time To Live TLV中TTL（Time To Live，生存时间）的值来设置邻居信息在本地设备上的老化时间，若该值为零，则立刻老化该邻居信息。

由于TTL＝Min（65535，（TTL乘数×LLDP报文的发送间隔＋1）），即取65535与（TTL乘数×LLDP报文的发送间隔＋1）中的最小值，因此通过调整TTL乘数可以控制本设备信息在邻居设备上的老化时间。

5.7.4  端口初始化延迟时间

当端口的LLDP工作模式发生变化时，端口将对协议状态机进行初始化操作。为了避免端口工作模式频繁改变而导致端口不断执行初始化操作，可配置端口初始化延迟时间，当端口工作模式改变时延迟一段时间再执行初始化操作。

5.7.5  LLDP Trap功能

如果开启了发送LLDP Trap功能，设备可以通过向网管系统发送Trap信息以通告如发现新的LLDP邻居、与原来邻居的通信链路发生故障等重要事件。

5.7.6  LLDP TLV

TLV是组成LLDP报文的单元，每个TLV都代表一个信息。LLDP可以封装的TLV包括基本TLV、802.1 TLV、802.3 TLV和LLDP-MED（Link Layer Discovery Protocol Media Endpoint Discovery，链路层发现协议媒体终端发现） TLV。

基本TLV是网络设备管理基础的一组TLV，802.1 TLV、802.3 TLV和LLDP-MED TLV则是由标准组织或其他机构定义的TLV，用于增强对网络设备的管理，可根据实际需要选择是否在LLDPDU中发送。

5.7.7  兼容CDP功能

开启本功能后，设备可以利用LLDP来接收、识别Cisco的IP电话发送的CDP报文，并向其回应CDP报文。

5.8  DHCP Snooping

DHCP Snooping是DHCP的一种安全特性，具有如下功能：

1. 保证客户端从合法的服务器获取IP地址

网络中如果存在私自架设的非法DHCP服务器，则可能导致DHCP客户端获取到错误的IP地址和网络配置参数，从而无法正常通信。为了使DHCP客户端能通过合法的DHCP服务器获取IP地址，DHCP Snooping安全机制允许将端口设置为信任端口和不信任端口：

·            信任端口正常转发接收到的DHCP报文。

·            不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文后，丢弃该报文。

在DHCP Snooping设备上指向DHCP服务器方向的端口需要设置为信任端口，其他端口设置为不信任端口，从而保证DHCP客户端只能从合法的DHCP服务器获取IP地址，私自架设的伪DHCP服务器无法为DHCP客户端分配IP地址。

2. 记录DHCP Snooping表项

DHCP Snooping通过监听DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文，记录DHCP Snooping表项，其中包括客户端的MAC地址、DHCP服务器为DHCP客户端分配的IP地址、与DHCP客户端连接的端口及VLAN等信息。利用这些信息可以实现ARP Detection功能，即根据DHCP Snooping表项来判断发送ARP报文的用户是否合法，从而防止非法用户的ARP攻击。

3. 备份DHCP Snooping表项

DHCP Snooping设备重启后，设备上记录的DHCP Snooping表项将丢失。如果DHCP Snooping与其他模块配合使用，则表项丢失会导致这些模块无法通过DHCP Snooping获取到相应的表项，进而导致DHCP客户端不能顺利通过安全检查、正常访问网络。

DHCP Snooping表项备份功能将DHCP Snooping表项保存到指定的文件中，DHCP Snooping设备重启后，自动根据该文件恢复DHCP Snooping表项，从而保证DHCP Snooping表项不会丢失。

4. 支持Option 82功能

Option 82记录了DHCP客户端的位置信息。管理员可以利用该选项定位DHCP客户端，实现对客户端的安全和计费等控制。Option 82包含两个子选项：Circuit ID和Remote ID。

支持Option 82功能是指设备接收到DHCP请求报文后，根据报文中是否包含Option 82以及用户配置的处理策略及填充模式等对报文进行相应的处理，并将处理后的报文转发给DHCP服务器。当设备接收到DHCP服务器的响应报文时，如果报文中含有Option 82，则删除Option 82，并转发给DHCP客户端；如果报文中不含有Option 82，则直接转发。

具体的处理方式见表5-3。

表5-3 Option 82处理方式

收到DHCP请求报文	处理策略	DHCP Snooping对报文的处理
收到的报文中带有Option 82	Drop	丢弃报文
	Keep	保持报文中的Option 82不变并进行转发
	Replace	根据DHCP Snooping上配置的填充模式、内容、格式等填充Option 82，替换报文中原有的Option 82并进行转发
收到的报文中不带有Option 82	-	根据DHCP Snooping上配置的填充模式、内容、格式等填充Option 82，添加到报文中并进行转发

 

5.9  IP

5.9.1  IP地址分类和表示

IP地址是每个连接到IPv4网络上的设备的唯一标识。IP地址长度为32比特，通常采用点分十进制方式表示，即每个IP地址被表示为以小数点隔开的4个十进制整数，每个整数对应一个字节，如10.1.1.1。

IP地址由两部分组成：

·            网络号码字段（Net-id）：用于区分不同的网络。网络号码字段的前几位称为类别字段（又称为类别比特），用来区分IP地址的类型。

·            主机号码字段（Host-id）：用于区分一个网络内的不同主机。

IP地址分为5类，每一类地址范围如表5-4所示。目前大量使用的IP地址属于A、B、C三类。

表5-4 IP地址分类

地址类型	地址范围	说明
A	0.0.0.0～127.255.255.255	IP地址0.0.0.0仅用于主机在系统启动时进行临时通信，并且永远不是有效目的地址 127.0.0.0网段的地址都保留作环回测试，发送到这个地址的分组不会输出到链路上，它们被当作输入分组在内部进行处理
B	128.0.0.0～191.255.255.255	-
C	192.0.0.0～223.255.255.255	-
D	224.0.0.0～239.255.255.255	组播地址
E	240.0.0.0～255.255.255.255	255.255.255.255用于广播地址，其它地址保留今后使用

 

5.9.2  子网和掩码

随着Internet的快速发展，IP地址已近枯竭。为了充分利用已有的IP地址，可以使用子网掩码将网络划分为更小的部分（即子网）。通过从主机号码字段部分划出一些比特位作为子网号码字段，能够将一个网络划分为多个子网。子网号码字段的长度由子网掩码确定。

子网掩码是一个长度为32比特的数字，由一串连续的“1”和一串连续的“0”组成。“1”对应于网络号码字段和子网号码字段，而“0”对应于主机号码字段。

多划分出一个子网号码字段会浪费一些IP地址。例如，一个B类地址可以容纳65534（2¹⁶-2，去掉主机号码字段全1的广播地址和主机号码字段全0的网段地址）个主机号码。但划分出9比特长的子网字段后，最多可有512（2⁹）个子网，每个子网有7比特的主机号码，即每个子网最多可有126（2⁷-2，去掉主机号码字段全1的广播地址和主机号码字段全0的网段地址）个主机号码。因此主机号码的总数是512*126=64512个，比不划分子网时要少1022个。

若不进行子网划分，则子网掩码为默认值，此时子网掩码中“1”的长度就是网络号码的长度，即A、B、C类IP地址对应的子网掩码默认值分别为255.0.0.0、255.255.0.0和255.255.255.0。

5.9.3  IP地址的配置方式

接口获取IP地址有以下几种方式：

·            通过手动指定IP地址

·            通过DHCP分配得到IP地址

5.9.4  接口MTU

当设备收到一个报文后，如果发现报文长度比转发接口的MTU值大，则进行下列处理：

·            如果报文不允许分片，则将报文丢弃；

·            如果报文允许分片，则将报文进行分片转发。

为了减轻转发设备在传输过程中的分片和重组数据包的压力，更高效的利用网络资源，请根据实际组网环境设置合适的接口MTU值，以减少分片的发生。

5.10  ARP

ARP（Address Resolution Protocol，地址解析协议）是将IP地址解析为以太网MAC地址（或称物理地址）的协议。

设备通过ARP协议解析到目的MAC地址后，将会在自己的ARP表中增加IP地址和MAC地址映射关系的表项，以用于后续到同一目的地报文的转发。

ARP表项分为两种：动态ARP表项、静态ARP表项。

5.10.1  动态ARP表项

动态ARP表项由ARP协议通过ARP报文自动生成和维护，可以被老化，可以被新的ARP报文更新，可以被静态ARP表项覆盖。当到达老化时间、接口状态down时，系统会删除相应的动态ARP表项。

动态ARP表项可以固化为静态ARP表项，但被固化后无法再恢复为动态ARP表项。

为了防止部分接口下的用户占用过多的ARP资源，可以通过设置接口学习动态ARP表项的最大个数来进行限制。

5.10.2  静态ARP表项

静态ARP表项通过手工创建或由动态ARP表项固化而来，不会被老化，不会被动态ARP表项覆盖。

配置静态ARP表项可以增加通信的安全性。静态ARP表项可以限制和指定IP地址的设备通信时只使用指定的MAC地址，此时攻击报文无法修改此表项的IP地址和MAC地址的映射关系，从而保护了本设备和指定设备间的正常通信。

在配置静态ARP表项时，如果管理员希望用户使用某个固定的IP地址和MAC地址通信，可以将该IP地址与MAC地址绑定；如果进一步希望限定用户只在指定VLAN的特定接口上连接，则需要进一步指定报文转发的VLAN和出接口。

一般情况下，ARP动态执行并自动寻求IP地址到以太网MAC地址的解析，无需管理员的介入。

 

5.10.3  代理ARP

如果ARP请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机，那么连接它们的具有代理ARP功能的设备就可以回答该请求，这个过程称作代理ARP。

代理ARP功能屏蔽了分离的物理网络这一事实，使用户使用起来，好像在同一个物理网络上。

代理ARP分为普通代理ARP和本地代理ARP，二者的应用场景有所区别：

·            普通代理ARP：想要互通的主机分别连接到设备的不同三层接口上，且这些主机不在同一个广播域中。

·            本地代理ARP：想要互通的主机连接到设备的同一个三层接口上，且这些主机不在同一个广播域中。

在配置本地代理ARP时，用户也可以指定进行ARP代理的IP地址范围。

5.10.4  免费ARP

免费ARP报文是一种特殊的ARP报文，该报文中携带的发送端IP地址和目标IP地址都是本机IP地址。

设备通过对外发送免费ARP报文来实现以下功能：

·            确定其它设备的IP地址是否与本机的IP地址冲突。当其它设备收到免费ARP报文后，如果发现报文中的IP地址和自己的IP地址相同，则给发送免费ARP报文的设备返回一个ARP应答，告知该设备IP地址冲突。

·            设备改变了硬件地址，通过发送免费ARP报文通知其它设备更新ARP表项。

1. 学习免费ARP报文功能

启用了学习免费ARP报文功能后，设备会根据收到的免费ARP报文中携带的信息（发送端IP地址、发送端MAC地址）对自身维护的ARP表进行修改。设备先判断ARP表中是否存在与此免费ARP报文中的发送端IP地址对应的ARP表项：

·            如果没有对应的ARP表项，设备会根据该免费ARP报文中携带的信息新建ARP表项；

·            如果存在对应的ARP表项，设备会根据该免费ARP报文中携带的信息更新对应的ARP表项。

关闭学习免费ARP报文功能后，设备不会根据收到的免费ARP报文来新建ARP表项，但是会更新已存在的对应ARP表项。如果用户不希望通过免费ARP报文来新建ARP表项，可以关闭学习免费ARP报文功能，以节省ARP表项资源。

2. 回复免费ARP报文功能

开启回复免费ARP报文功能后，当设备收到非同一网段的ARP请求时发送免费ARP报文。关闭该功能后，设备收到非同一网段的ARP请求时不发送免费ARP报文。

3. 接口定时发送免费ARP报文功能

用户可以配置某些接口定时发送免费ARP报文，以便及时通知下行设备更新ARP表项或者MAC地址表项，主要应用场景如下：

·            防止仿冒网关的ARP攻击

如果攻击者仿冒网关发送免费ARP报文，就可以欺骗同网段内的其它主机，使得被欺骗的主机访问网关的流量被重定向到一个错误的MAC地址，导致其它主机用户无法正常访问网络。

为了降低这种仿冒网关的ARP攻击所带来的影响，可以在网关的接口上启用定时发送免费ARP功能。启用该功能后，网关接口上将按照配置的时间间隔周期性发送接口主IP地址和手工配置的从IP地址的免费ARP报文。这样，每台主机都可以学习到正确的网关，从而正常访问网络。

·            防止主机ARP表项老化

在实际环境中，当网络负载较大或接收端主机的CPU占用率较高时，可能存在ARP报文被丢弃或主机无法及时处理接收到的ARP报文等现象。这种情况下，接收端主机的动态ARP表项会因超时而老化，在其重新学习到发送设备的ARP表项之前，二者之间的流量就会发生中断。

为了解决上述问题，可以在网关的接口上启用定时发送免费ARP功能。启用该功能后，网关接口上将按照配置的时间间隔周期性发送接口主IP地址和手工配置的从IP地址的免费ARP报文。这样，接收端主机可以及时更新ARP映射表，从而防止了上述流量中断现象。

5.10.5  ARP攻击防御

ARP协议有简单、易用的优点，但是也因为其没有任何安全机制而容易被攻击发起者利用。目前ARP攻击和ARP病毒已经成为局域网安全的一大威胁，为了避免各种攻击带来的危害，设备提供了多种技术对攻击进行防范、检测和解决。

不同设备支持配置的ARP攻击防御功能如下：

·            网关设备支持配置的功能包括：ARP黑洞路由、ARP源抑制、源MAC地址一致性检查、ARP主动确认、源MAC地址固定的ARP攻击检测、授权ARP和ARP扫描；

·            接入设备支持配置的功能包括：ARP报文限速、ARP网关保护、ARP过滤保护和ARP Detection。

1. ARP防止IP报文攻击功能

如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备，则会造成下面的危害：

·            设备向目的网段发送大量ARP请求报文，加重目的网段的负载。

·            设备会试图反复地对目标IP地址进行解析，增加了CPU的负担。

为避免这种IP报文攻击所带来的危害，设备提供了下列两个功能：

·            ARP黑洞路由功能：开启该功能后，一旦接收到目标IP地址不能解析的IP报文，设备立即产生一个黑洞路由，使得设备在一段时间内将去往该地址的报文直接丢弃。等待黑洞路由老化时间过后，如有报文触发则再次发起解析，如果解析成功则进行转发，否则仍然产生一个黑洞路由将去往该地址的报文丢弃。这种方式能够有效地防止IP报文的攻击，减轻CPU的负担。

·            ARP源抑制功能：如果发送攻击报文的源是固定的，可以采用ARP源抑制功能。开启该功能后，如果网络中每5秒内从某IP地址向设备某接口发送目的IP地址不能解析的IP报文超过了设置的阈值，则设备将不再处理由此IP地址发出的IP报文直至该5秒结束，从而避免了恶意攻击所造成的危害。

2. ARP报文源MAC地址一致性检查功能

ARP报文源MAC地址一致性检查功能主要应用于网关设备上，防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。

配置本特性后，网关设备在进行ARP学习前将对ARP报文进行检查。如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同，则认为是攻击报文，将其丢弃；否则，继续进行ARP学习。

3. ARP主动确认功能

ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。

启用ARP主动确认功能后，设备在新建或更新ARP表项前需进行主动确认，防止产生错误的ARP表项。

使能严格模式后，新建ARP表项前，ARP主动确认功能会执行更严格的检查：

·            收到目标IP地址为自己的ARP请求报文时，设备会发送ARP应答报文，但不建立ARP表项；

·            收到ARP应答报文时，需要确认本设备是否对该报文中的源IP地址发起过ARP解析：若发起过解析，解析成功后则设备启动主动确认功能，主动确认流程成功完成后，设备可以建立该表项；若未发起过解析，则设备丢弃该报文。

4. 源MAC地址固定的ARP攻击检测功能

本特性根据ARP报文的源MAC地址对上送CPU的ARP报文进行统计，在5秒内，如果收到同一源MAC地址（源MAC地址固定）的ARP报文超过一定的阈值，则认为存在攻击，系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前，如果设置的检查模式为过滤模式，则会打印日志信息并且将该源MAC地址发送的ARP报文过滤掉；如果设置的检查模式为监控模式，则只打印日志信息，不会将该源MAC地址发送的ARP报文过滤掉。

对于网关或一些重要的服务器，可能会发送大量ARP报文，为了使这些ARP报文不被过滤掉，可以将这类设备的MAC地址配置成保护MAC地址，这样，即使该设备存在攻击也不会被检测、过滤。

5. 授权ARP功能

所谓授权ARP，就是动态学习ARP的过程中，只有和DHCP服务器生成的租约或DHCP中继生成的安全表项一致的ARP报文才能够被学习。

使能接口的授权ARP功能后，系统会禁止该接口学习动态ARP表项，可以防止用户仿冒其他用户的IP地址或MAC地址对网络进行攻击，保证只有合法的用户才能使用网络资源，增加了网络的安全性。

6. ARP扫描功能

启用ARP扫描功能后，设备会对局域网内的邻居自动进行扫描（向邻居发送ARP请求报文，获取邻居的MAC地址，从而建立动态ARP表项）。

ARP扫描功能一般与ARP固化功能配合使用。ARP固化功能用来将当前的ARP动态表项（包括ARP扫描生成的动态ARP表项）转换为静态ARP表项。通过对动态ARP表项的固化，可以有效防止攻击者修改ARP表项。

建议在网吧这种环境稳定的小型网络中使用这两个功能。

7. ARP报文限速功能

ARP报文限速功能是指对上送CPU的ARP报文进行限速，可以防止大量ARP报文对CPU进行冲击。例如，在配置了ARP Detection功能后，设备会将收到的ARP报文重定向到CPU进行检查，这样引入了新的问题：如果攻击者恶意构造大量ARP报文发往设备，会导致设备的CPU负担过重，从而造成其他功能无法正常运行甚至设备瘫痪，这个时候可以启用ARP报文限速功能来控制上送CPU的ARP报文的速率。

建议用户在配置了ARP Detection或者发现有ARP泛洪攻击的情况下，使用ARP报文限速功能。

配置ARP报文限速功能后，如果用户开启了ARP限速日志功能，则当接口上单位时间收到的ARP报文数量超过用户设定的限速值，设备将这个时间间隔内的超速峰值作为日志的速率值发送到设备的信息中心，通过设置信息中心的参数，最终决定日志报文的输出规则（即是否允许输出以及输出方向）。为防止过多的日志信息干扰用户工作，用户可以设定日志信息的发送时间间隔。当用户设定的时间间隔超时时，设备执行发送日志的操作。

8. ARP网关保护功能

在设备上不与网关相连的接口上配置此功能，可以防止伪造网关攻击。

在接口上配置此功能后，当接口收到ARP报文时，将检查ARP报文的源IP地址是否和配置的被保护网关的IP地址相同。如果相同，则认为此报文非法，将其丢弃；否则，认为此报文合法，继续进行后续处理。

9. ARP过滤保护功能

ARP过滤保护功能用来限制接口下允许通过的ARP报文，可以防止仿冒网关和仿冒用户的攻击。

在接口上配置此功能后，当接口收到ARP报文时，将检查ARP报文的源IP地址和源MAC地址是否和允许通过的IP地址和MAC地址相同：

·            如果相同，则认为此报文合法，继续进行后续处理；

·            如果不相同，则认为此报文非法，将其丢弃。

10. ARP Detection功能

ARP Detection功能主要应用于接入设备上，对于合法用户的ARP报文进行正常转发，否则直接丢弃，从而防止仿冒用户、仿冒网关的攻击。

ARP Detection包含三个功能：用户合法性检查、ARP报文有效性检查、ARP报文强制转发。

(1)       用户合法性检查

如果仅在VLAN上开启ARP Detection功能，则仅进行用户合法性检查。

对于ARP信任接口，不进行用户合法性检查；对于ARP非信任接口，需要进行用户合法性检查，以防止仿冒用户的攻击。

用户合法性检查是根据ARP报文中源IP地址和源MAC地址检查用户是否是所属VLAN所在接口上的合法用户，包括基于IP Source Guard静态绑定表项的检查、基于DHCP Snooping表项的检查。只要符合任何一个，就认为该ARP报文合法，进行转发。如果所有检查都没有找到匹配的表项，则认为是非法报文，直接丢弃。

(2)       ARP报文有效性检查

对于ARP信任接口，不进行报文有效性检查；对于ARP非信任接口，需要根据配置对MAC地址和IP地址不合法的报文进行过滤。可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。

·            源MAC地址的检查模式：会检查ARP报文中的源MAC地址和以太网报文头中的源MAC地址是否一致，一致则认为有效，否则丢弃报文；

·            目的MAC地址的检查模式（只针对ARP应答报文）：会检查ARP应答报文中的目的MAC地址是否为全0或者全1，是否和以太网报文头中的目的MAC地址一致。全0、全1、不一致的报文都是无效的，需要被丢弃；

·            IP地址检查模式：会检查ARP报文中的源IP或目的IP地址，如全1、或者组播IP地址都是不合法的，需要被丢弃。对于ARP应答报文，源IP和目的IP地址都进行检查；对于ARP请求报文，只检查源IP地址。

(3)       ARP报文强制转发

对于从ARP信任接口接收到的ARP报文不受此功能影响，按照正常流程进行转发；对于从ARP非信任接口接收到的并且已经通过用户合法性检查的ARP报文的处理过程如下：

·            对于ARP请求报文，通过信任接口进行转发；

对于ARP应答报文，首先按照报文中的以太网目的MAC地址进行转发，若在MAC地址表中没有查到目的MAC地址对应的表项，则将此ARP应答报文通过信任接口进行转发。

5.11  DNS

DNS（Domain Name System，域名系统）是一种用于TCP/IP应用程序的分布式数据库，提供域名与地址之间的转换。IPv4 DNS提供域名和IPv4地址之间的转换，IPv6 DNS提供域名和IPv6地址之间的转换。

设备作为DNS客户端，当用户在设备上进行某些应用（如Telnet到一台设备或主机）时，可以直接使用便于记忆的、有意义的域名，通过域名系统将域名解析为正确的地址。

域名解析分为动态域名解析和静态域名解析两种。动态域名解析和静态域名解析可以配合使用。在解析域名时，首先采用静态域名解析（查找静态域名解析表），如果静态域名解析不成功，再采用动态域名解析。由于动态域名解析需要域名服务器的配合，会花费一定的时间，因而可以将一些常用的域名放入静态域名解析表中，这样可以大大提高域名解析效率。

5.11.1  动态域名解析

使用动态域名解析时，需要手工指定域名服务器的地址。

动态域名解析通过向域名服务器查询域名和地址之间的对应关系来实现将域名解析为地址。

动态域名解析支持域名后缀列表功能。用户可以预先设置一些域名后缀，在域名解析的时候，用户只需要输入域名的部分字段，系统会自动将输入的域名加上不同的后缀进行解析。例如，用户想查询域名aabbcc.com，那么可以先在后缀列表中配置com，然后输入aabbcc进行查询，系统会自动将输入的域名与后缀连接成aabbcc.com进行查询。

使用域名后缀的时候，根据用户输入域名方式的不同，查询方式分成以下几种情况：

·            如果用户输入的域名中没有“.”，比如aabbcc，系统认为这是一个主机名，会首先加上域名后缀进行查询，如果所有加后缀的域名查询都失败，将使用最初输入的域名（如aabbcc）进行查询。

·            如果用户输入的域名中间有“.”，比如www.aabbcc，系统直接用它进行查询，如果查询失败，再依次加上各个域名后缀进行查询。

·            如果用户输入的域名最后有“.”，比如aabbcc.com.，表示不需要进行域名后缀添加，系统直接用输入的域名进行查询，不论成功与否都直接返回结果。就是说，如果用户输入的字符中最后一个字符为“.”，就只根据用户输入的字符进行查找，而不会去匹配用户预先设置的域名后缀，因此最后这个“.”，也被称为查询终止符。带有查询终止符的域名，称为FQDN（Fully Qualified Domain Name，完全合格域名）。

5.11.2  静态域名解析

手工建立域名和地址之间的对应关系。当用户使用域名进行某些应用时，系统查找静态域名解析表，从中获取指定域名对应的地址。

5.11.3  DNS代理

DNS代理（DNS proxy）用来在DNS client和DNS server之间转发DNS请求和应答报文。局域网内的DNS client把DNS proxy当作DNS server，将DNS请求报文发送给DNS proxy。DNS proxy将该请求报文转发到真正的DNS server，并将DNS server的应答报文返回给DNS client，从而实现域名解析。

使用DNS proxy功能后，当DNS server的地址发生变化时，只需改变DNS proxy上的配置，无需改变局域网内每个DNS client的配置，从而简化了网络管理。

5.12  DDNS

DNS仅仅提供了域名和地址之间的静态对应关系，当节点的地址发生变化时，DNS无法动态地更新域名和地址的对应关系。此时，如果仍然使用域名访问该节点，通过域名解析得到的地址是错误的，从而导致访问失败。

DDNS（Dynamic Domain Name System，动态域名系统）用来动态更新DNS服务器上域名和地址之间的对应关系，保证通过域名解析到正确的地址。

使用DDNS服务前，用户需要先登录DDNS服务器，注册账户。设备作为DDNS客户端，在地址变化时，向DDNS服务器发送更新域名和地址对应关系的DDNS更新请求，更新请求中携带用户的账户信息（用户名和密码）。DDNS服务器对账户信息认证通过后，通知DNS服务器动态更新域名和地址之间的对应关系。

目前，只有IPv4域名解析支持DDNS，IPv6域名解析不支持DDNS，即只能通过DDNS动态更新域名和IPv4地址之间的对应关系。

为了简化配置，设备通过DDNS策略来管理和维护DDNS客户端的参数，如DDNS服务提供商信息（即DDNS服务器信息）、用户的账户信息（用户名和密码）、更新时间间隔、关联的SSL客户端策略等。创建DDNS策略后，可以在不同的接口上应用相同的DDNS策略，从而简化DDNS的配置。

5.13  IPv6

IPv6（Internet Protocol Version 6，互联网协议版本6）是网络层协议的第二代标准协议，也被称为IPng（IP Next Generation，下一代互联网协议），它是IETF（Internet Engineering Task Force，互联网工程任务组）设计的一套规范，是IPv4的升级版本。IPv6和IPv4之间最显著的区别为：地址的长度从32比特增加到128比特。

5.13.1  IPv6地址表示方式

IPv6地址被表示为以冒号（:）分隔的一连串16比特的十六进制数。每个IPv6地址被分为8组，每组的16比特用4个十六进制数来表示，组和组之间用冒号隔开，比如：2001:0000:130F:0000:0000:09C0:876A:130B。

为了简化IPv6地址的表示，对于IPv6地址中的“0”可以有下面的处理方式：

·            每组中的前导“0”可以省略，即上述地址可写为2001:0:130F:0:0:9C0:876A:130B。

·            如果地址中包含一组或连续多组均为0的组，则可以用双冒号“::”来代替，即上述地址可写为2001:0:130F::9C0:876A:130B。

IPv6地址由两部分组成：地址前缀与接口标识。其中，地址前缀相当于IPv4地址中的网络号码字段部分，接口标识相当于IPv4地址中的主机号码部分。

地址前缀的表示方式为：IPv6地址/前缀长度。其中，前缀长度是一个十进制数，表示IPv6地址最左边多少位为地址前缀。

5.13.2  IPv6地址分类

IPv6主要有三种类型的地址：单播地址、组播地址和任播地址。

·            单播地址：用来唯一标识一个接口，类似于IPv4的单播地址。发送到单播地址的数据报文将被传送给此地址所标识的接口。

·            组播地址：用来标识一组接口（通常这组接口属于不同的节点），类似于IPv4的组播地址。发送到组播地址的数据报文被传送给此地址所标识的所有接口。

·            任播地址：用来标识一组接口（通常这组接口属于不同的节点）。发送到任播地址的数据报文被传送给此地址所标识的一组接口中距离源节点最近（根据使用的路由协议进行度量）的一个接口。

IPv6中没有广播地址，广播地址的功能通过组播地址来实现。

IPv6地址类型是由地址前面几位（称为格式前缀）来指定的，主要地址类型与格式前缀的对应关系如表5-5所示。

表5-5 IPv6地址类型与格式前缀的对应关系

地址类型		格式前缀（二进制）	IPv6前缀标识	简介
单播地址	未指定地址	00...0  (128 bits)	::/128	不能分配给任何节点。在节点获得有效的IPv6地址之前，可在发送的IPv6报文的源地址字段填入该地址，但不能作为IPv6报文中的目的地址
	环回地址	00...1  (128 bits)	::1/128	不能分配给任何物理接口。它的作用与在IPv4中的环回地址相同，即节点用来给自己发送IPv6报文
	链路本地地址	1111111010	FE80::/10	用于邻居发现协议和无状态自动配置中链路本地上节点之间的通信。使用链路本地地址作为源或目的地址的数据报文不会被转发到其他链路上
	全球单播地址	其他形式	-	等同于IPv4公网地址，提供给网络服务提供商。这种类型的地址允许路由前缀的聚合，从而限制了全球路由表项的数量
组播地址		11111111	FF00::/8	-
任播地址		从单播地址空间中进行分配，使用单播地址的格式		-

 

5.13.3  IEEE EUI-64生成接口标识

IPv6单播地址中的接口标识符用来唯一标识链路上的一个接口。目前IPv6单播地址基本上都要求接口标识符为64位。

不同接口的IEEE EUI-64格式的接口标识符的生成方法不同，分别介绍如下：

·            所有IEEE 802接口类型（例如，以太网接口、VLAN接口）：IEEE EUI-64格式的接口标识符是从接口的链路层地址（MAC地址）变化而来的。IPv6地址中的接口标识符是64位，而MAC地址是48位，因此需要在MAC地址的中间位置（从高位开始的第24位后）插入十六进制数FFFE（1111111111111110）。为了使接口标识符的作用范围与原MAC地址一致，还要将Universal/Local (U/L)位（从高位开始的第7位）进行取反操作。最后得到的这组数就作为EUI-64格式的接口标识符。

·            Tunnel接口：IEEE EUI-64格式的接口标识符的低32位为Tunnel接口的源IPv4地址，ISATAP隧道的接口标识符的高32位为0000:5EFE，其他隧道的接口标识符的高32位为全0。

·            其他接口类型（例如，Serial接口）：IEEE EUI-64格式的接口标识符由设备随机生成。

5.13.4  接口上全球单播地址的配置方法

IPv6全球单播地址可以通过下面几种方式配置：

·            采用EUI-64格式形成：当配置采用EUI-64格式形成IPv6地址时，接口的IPv6地址的前缀需要手工配置，而接口标识符则由接口自动生成；

·            手工配置：用户手工配置IPv6全球单播地址；

·            无状态自动配置：根据接收到的RA报文中携带的地址前缀信息及使用EUI-64功能生成的接口标识，自动为接口生成IPv6全球单播地址；

·            有状态获取地址：通过DHCPv6服务器自动获取IPv6地址。

一个接口上可以配置多个全球单播地址。

5.13.5  接口上链路本地地址的配置方法

IPv6的链路本地地址可以通过两种方式获得：

·            自动生成：设备根据链路本地地址前缀（FE80::/10）及使用EUI-64功能生成的接口标识，自动为接口生成链路本地地址；

·            手工指定：用户手工配置IPv6链路本地地址。

每个接口只能有一个链路本地地址，为了避免链路本地地址冲突，推荐使用链路本地地址的自动生成方式。

配置链路本地地址时，手工指定方式的优先级高于自动生成方式。即如果先采用自动生成方式，之后手工指定，则手工指定的地址会覆盖自动生成的地址；如果先手工指定，之后采用自动生成的方式，则自动配置不生效，接口的链路本地地址仍是手工指定的。此时，如果删除手工指定的地址，则自动生成的链路本地地址会生效。

5.14  ND

IPv6邻居发现（Neighbor Discovery，ND）协议使用五种类型的ICMPv6消息（如表5-6所示），实现地址解析、验证邻居是否可达、重复地址检测、路由器发现/前缀发现、地址自动配置和重定向等功能。

表5-6 ND使用的ICMPv6消息

ICMPv6消息	类型号	作用
邻居请求消息NS（Neighbor Solicitation）	135	获取邻居的链路层地址
		验证邻居是否可达
		进行重复地址检测
邻居通告消息NA（Neighbor Advertisement）	136	对NS消息进行响应
		节点在链路层变化时主动发送NA消息，向邻居节点通告本节点的变化信息
路由器请求消息RS（Router Solicitation）	133	节点启动后，通过RS消息向路由器发出请求，请求前缀和其他配置信息，用于节点的自动配置
路由器通告消息RA（Router Advertisement）	134	对RS消息进行响应
		在没有抑制RA消息发布的条件下，路由器会周期性地发布RA消息，其中包括前缀信息选项和一些标志位的信息
重定向消息（Redirect）	137	当满足一定的条件时，缺省网关通过向源主机发送重定向消息，使主机重新选择正确的下一跳地址进行后续报文的发送

 

5.14.1  邻居表项

邻居表项保存的是设备在链路范围内的邻居信息，设备邻居表项可以通过邻居请求消息NS及邻居通告消息NA来动态创建，也可以通过手工配置来静态创建。

目前，静态邻居表项有两种配置方式：

·            配置本节点的三层接口相连的邻居节点的IPv6地址和链路层地址；

·            配置本节点VLAN中的二层端口相连的邻居节点的IPv6地址和链路层地址。

对于VLAN接口，可以采用上述两种方式来配置静态邻居表项：

·            采用第一种方式配置静态邻居表项后，设备还需要解析该VLAN下的二层端口信息。

·            采用第二种方式配置静态邻居表项后，需要保证该二层端口属于指定的VLAN，且该VLAN已经创建了VLAN接口。

5.14.2  RA报文

设备为同一链路上的主机发布RA报文，主机可以根据RA报文中的信息进行无状态自动配置等操作。设备可以抑制RA报文的发送，也可以周期性发送RA报文，相邻两次RA报文发送时间间隔是在最大时间间隔与最小时间间隔之间随机选取的一个值。最小时间间隔应该小于等于最大时间间隔的0.75倍。

RA报文中的参数和参数描述如表5-7所示。

表5-7 RA报文中的参数

参数	描述
地址前缀/前缀长度	主机根据该地址前缀/前缀长度生成对应的IPv6地址，完成无状态自动配置操作
有效生命期	表示前缀有效期。在有效生命期内，通过该前缀自动生成的地址可以正常使用；有效生命期过期后，通过该前缀自动生成的地址变为无效，将被删除
首选生命期	表示首选通过该前缀无状态自动配置地址的时间。首选生命期过期后，节点通过该前缀自动配置的地址将被废止。节点不能使用被废止的地址建立新的连接，但是仍可以接收目的地址为被废止地址的报文。首选生命期必须小于或等于有效生命期
不用于无状态配置标识	选择了该标识，则指定前缀不用于无状态地址配置
不是直连可达标识	选择了该标识，则表示该前缀不是当前链路上直连可达的
MTU	发布链路的MTU，可以用于确保同一链路上的所有节点采用相同的MTU值
不指定跳数限制标识	选择了该标识，则表示RA消息中不带有本设备的跳数限制
被管理地址配置标志位（M flag）	用于确定主机是否采用有状态自动配置获取IPv6地址 如果选择了该标志位，主机将通过有状态自动配置（例如DHCPv6服务器）来获取IPv6地址；否则，将通过无状态自动配置获取IPv6地址，即根据自己的链路层地址及路由器发布的前缀信息生成IPv6地址
其他信息配置标志位（O flag）	用于确定主机是否采用有状态自动配置获取除IPv6地址外的其他信息 如果选择了其他信息配置标志位，主机将通过有状态自动配置（例如DHCPv6服务器）来获取除IPv6地址外的其他信息；否则，将通过无状态自动配置获取其他信息
路由器生存时间（Router Lifetime）	用于设置发布RA消息的路由器作为主机的默认路由器的时间。主机根据接收到的RA消息中的路由器生存时间参数值，就可以确定是否将发布该RA消息的路由器作为默认路由器。发布RA消息中路由器生存时间为0的路由器不能作为默认路由器
邻居请求重传间隔（Retrans Timer）	设备发送NS消息后，如果未在指定的时间间隔内收到响应，则会重新发送NS消息
配置路由优先级 ( Router Preference )	用于设置发布RA消息的路由器的路由器优先级，主机根据接收到的RA消息中的路由器优先级，可以选择优先级最高的路由器作为默认网关。在路由器的优先级相同的情况下，遵循“先来先用”的原则，优先选择先接收到的RA消息对应的发送路由器作为默认网关
保持邻居可达时间（Reachable Time）	当通过邻居可达性检测确认邻居可达后，在所设置的可达时间内，设备认为邻居可达；超过设置的时间后，如果需要向邻居发送报文，会重新确认邻居是否可达

 

5.14.3  ND代理功能

如果NS请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机，那么连接它们的具有代理功能的设备就可以代答该请求，回应NA报文，这个过程称作ND代理（ND Proxy）。

ND Proxy功能屏蔽了分离的物理网络这一事实，使用户使用起来，好像在同一个物理网络上。

ND Proxy功能根据应用场景不同分为普通ND Proxy和本地ND Proxy。

1. 普通ND Proxy

普通ND Proxy的典型应用环境如图5-3所示。Device通过两个三层接口Int A和Int B连接两个网络，两个三层接口的IPv6地址不在同一个网段，接口地址分别为4:1::99/64、4:2::99/64。但是两个网络内的主机Host A和Host B的地址通过掩码的控制，既与相连设备的接口地址在同一网段，同时二者也处于同一个网段。

图5-3 普通ND代理的典型应用环境

 

在这种组网情况下，当Host A需要与Host B通信时，由于目的IPv6地址与本机的IPv6地址为同一网段，因此Host A会直接发出请求Host B硬件地址的NS请求。但是，此时的两台主机处于不同的广播域中，Host B无法收到Host A的NS请求报文，当然也就无法应答。

通过在Device上启用普通ND Proxy功能，可以解决此问题。在接口Int A和Int B上启用普通ND Proxy后，Router可以应答Host A的NS请求。同时，Device作为Host B的代理，把其它主机发送过来的报文转发给Host B。这样，实现Host A与Host B之间的通信。

2. 本地ND Proxy

本地ND Proxy的应用场景如图5-4所示。Host A属于VLAN 2，Host B属于VLAN 3，它们分别连接到端口Int A和Int C上。

图5-4 本地ND代理的应用场景

 

在这种组网情况下，当Host A需要与Host B通信时，由于目的IPv6地址与本机的IPv6地址为同一网段，因此Host A会直接发出请求Host B硬件地址的NS请求。但是，因为连接两台主机处于不同的VLAN中，Host B无法收到Host A的NS请求报文。

通过在Device A上启用本地ND Proxy功能，可以解决此问题。在接口Int B上启用本地ND Proxy后，Device A会代替Host B回应NA，Host A发给Host B的报文就会通过Device A进行转发，从而实现Host A与Host B之间的通信。

5.15  端口镜像

端口镜像通过将指定端口的报文复制到与数据监测设备相连的端口，使用户可以利用数据监测设备分析这些复制过来的报文（称为镜像报文），以进行网络监控和故障排除。

在端口镜像中涉及以下概念：

(1)       源端口：设备上被监控的端口。源端口上的报文会被复制一份到目的端口。源端口所在的设备称为源设备。

(2)       目的端口：设备上与数据监测设备相连的端口，源端口上的报文将被复制一份到此端口。目的端口所在的设备称为目的设备。

(3)       镜像组：源端口和目的端口的组合，它分为：

·            本地镜像组：当源端口和目的端口位于同一设备时，端口所在镜像组称为本地镜像组。

·            远程镜像组：当源端口和目的端口位于不同设备时，源端口和目的端口所在的镜像组分别称为远程源镜像组和远程目的镜像组，镜像报文通过远程镜像VLAN在源设备与目的设备之间传输。

5.16  静态路由

静态路由是一种特殊的路由，由管理员手工配置。当网络结构比较简单时，只需配置静态路由就可以使网络正常工作。静态路由不能自动适应网络拓扑结构的变化，当网络发生故障或者拓扑发生变化后，必须由管理员手工修改配置。

缺省路由是在没有找到匹配的路由表项时使用的路由。配置IPv4缺省路由时，指定目的地址为0.0.0.0/0；配置IPv6缺省路由时，指定目的地址为::/0。

5.16.1  RIP

RIP是一种基于距离矢量算法的协议，它通过UDP报文进行路由信息的交换，端口号为520。RIP主要用于规模较小的网络，比如校园网。大型网络一般不使用RIP。

RIP有两个版本：RIP-1和RIP-2。

·            RIP-1是有类别路由协议，它只支持以广播方式发布协议报文。RIP-1报文无法携带掩码信息，而且不支持不连续子网。

·            RIP-2是无类别路由协议，有两种报文传送方式：广播方式和组播方式，缺省将采用组播方式发送报文，使用的组播地址为224.0.0.9。当接口运行RIP-2广播方式时，也可接收RIP-1的报文。

有两种使能RIP的方式：启用网段和启用接口，启用接口的优先级高于启用网段。

在安全性要求较高的网络环境中，可以通过配置报文的认证方式来对RIP-2报文进行有效性检查和验证。RIP-2支持两种认证方式：简单认证和MD5认证。MD5认证包括RFC 2082和RFC 2453两种，具体情况请参见相应RFC文档。

 

5.17  策略路由

与单纯依照IP报文的目的地址查找路由表进行转发不同，策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对于满足一定条件（ACL规则）的报文，执行指定的操作（设置报文的下一跳）。

5.17.1  策略

策略用来定义报文的匹配规则，以及对报文执行的操作。一个策略可以由一个或者多个节点组成。节点的构成如下：

·            每个节点由节点编号来标识。节点编号越小节点的优先级越高，优先级高的节点优先被执行。

·            每个节点的具体内容由报文匹配规则和执行操作来指定。报文匹配规则定义该节点的匹配规则，执行操作定义该节点的动作。

·            每个节点对报文的处理方式由匹配模式决定。匹配模式分为允许和拒绝两种。

应用策略后，系统将根据策略中定义的匹配规则和操作，对报文进行处理：系统按照优先级从高到低的顺序依次匹配各节点，如果报文满足这个节点的匹配规则，就执行该节点的动作；如果报文不满足这个节点的匹配规则，就继续匹配下一个节点；如果报文不能满足策略中任何一个节点的匹配规则，则根据路由表来转发报文。

1. 报文匹配规则

通过配置ACL规则用于匹配报文，用于执行后续操作。

2. 执行操作

设置报文转发的下一跳，并为其配置与Track项关联或是指定当前下一跳是否为直连下一跳。

5.17.2  策略路由与Track联动

策略路由通过与Track联动，增强了应用的灵活性和对网络环境变化的动态感知能力。

策略路由可以在配置报文的下一跳时与Track项关联，根据Track项的状态来动态地决定策略的可用性。策略路由配置仅在关联的Track项状态为Positive或NotReady时生效。

5.18  IGMP snooping

IGMP snooping（Internet Group Management Protocol snooping，互联网组管理协议窥探）运行在二层设备上，通过侦听三层设备与接收者主机间的IGMP报文建立IGMP snooping转发表，并根据该表指导组播数据的转发。

IGMP snooping转发表的表项由VLAN、组播组地址、组播源地址和成员端口四个元素构成，其中成员端口是指二层设备上朝向组播组成员的端口。

5.19  MLD snooping

MLD snooping（Multicast Listener Discovery snooping，组播侦听者发现协议窥探）运行在二层设备上，通过侦听三层设备与接收者主机间的MLD报文建立MLD snooping转发表，并根据该表指导IPv6组播数据的转发。

MLD snooping转发表的表项由VLAN、IPv6组播组地址、IPv6组播源地址和成员端口四个元素构成，其中成员端口是指二层设备上朝向IPv6组播组成员的端口。

5.20  DHCP

DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）用来为网络设备动态地分配IP地址等网络配置参数。

DHCP采用客户端/服务器通信模式，由客户端向服务器提出请求分配网络配置参数的申请，服务器返回为客户端分配的IP地址等配置信息，以实现IP地址等信息的动态配置。

在DHCP的典型应用中，一般包含一台DHCP服务器和多台客户端（如PC和便携机）。如果DHCP客户端和DHCP服务器处于不同物理网段时，客户端可以通过DHCP中继与服务器通信，获取IP地址及其他配置信息。

5.20.1  DHCP服务器

在以下场合通常利用DHCP服务器来完成IP地址分配：

·            网络规模较大，手工配置需要很大的工作量，并难以对整个网络进行集中管理。

·            网络中主机数目大于该网络支持的IP地址数量，无法给每个主机分配一个固定的IP地址。例如，Internet接入服务提供商限制同时接入网络的用户数目，用户必须动态获得自己的IP地址。

·            网络中只有少数主机需要固定的IP地址，大多数主机没有固定的IP地址需求。

DHCP服务器通过地址池来保存为客户端分配的IP地址、租约时长、网关信息、域名后缀、DNS服务器地址、WINS服务器地址、NetBIOS节点类型和DHCP选项信息。服务器接收到客户端发送的请求后，选择合适的地址池，并将该地址池中的信息分配给客户端。

DHCP服务器在将IP地址分配给客户端之前，还需要进行IP地址冲突检测。

1. DHCP地址池

地址池的地址管理方式有以下几种：

·            静态绑定IP地址，即通过将客户端的硬件地址或客户端ID与IP地址绑定的方式，实现为特定的客户端分配特定的IP地址；

·            动态选择IP地址，即在地址池中指定可供分配的IP地址范围，当收到客户端的IP地址申请时，从该地址范围中动态选择IP地址，分配给该客户端。

在DHCP地址池中还可以指定这两种类型地址的租约时长。

DHCP服务器为客户端分配IP地址时，地址池的选择原则如下：

(1)       如果存在将客户端MAC地址或客户端ID与IP地址静态绑定的地址池，则选择该地址池，并将静态绑定的IP地址和其他网络参数分配给客户端。

(2)       如果不存在静态绑定的地址池，则按照以下方法选择地址池：

·            如果客户端与服务器在同一网段，则将DHCP请求报文接收接口的IP地址与所有地址池配置的网段进行匹配，并选择最长匹配的网段所对应的地址池。

·            如果客户端与服务器不在同一网段，即客户端通过DHCP中继获取IP地址，则将DHCP请求报文中giaddr字段指定的IP地址与所有地址池配置的网段进行匹配，并选择最长匹配的网段所对应的地址池。

2. DHCP服务器分配IP地址的次序

DHCP服务器为客户端分配IP地址的优先次序如下：

(1)       与客户端MAC地址或客户端ID静态绑定的IP地址。

(2)       DHCP服务器记录的曾经分配给客户端的IP地址。

(3)       客户端发送的DHCP-DISCOVER报文中Option 50字段指定的IP地址。Option 50为客户端请求的IP地址选项（Requested IP Address），客户端通过在DHCP-DISCOVER报文中添加该选项来指明客户端希望获取的IP地址。该选项的内容由客户端决定。

(4)       按照动态分配地址选择原则，顺序查找可供分配的IP地址，选择最先找到的IP地址。

(5)       如果未找到可用的IP地址，则从当前匹配地址池中依次查询租约过期、曾经发生过冲突的IP地址，如果找到则进行分配，否则将不予处理。

3. DHCP选项

DHCP利用选项字段传递控制信息和网络配置参数，实现地址动态分配的同时，为客户端提供更加丰富的网络配置信息。

Web页面为DHCP服务器提供了灵活的选项配置方式，在以下情况下，可以使用Web页面DHCP选项功能：

·            随着DHCP的不断发展，新的DHCP选项会陆续出现。通过该功能，可以方便地添加新的DHCP选项。

·            有些选项的内容，RFC中没有统一规定。厂商可以根据需要定义选项的内容，如Option 43。通过DHCP选项功能，可以为DHCP客户端提供厂商指定的信息。

·            Web页面只提供了有限的配置功能，其他功能可以通过DHCP选项来配置。例如，可以通过Option 4，IP地址1.1.1.1来指定为DHCP客户端分配的时间服务器地址为1.1.1.1。

·            扩展已有的DHCP选项。当前已提供的方式无法满足用户需求时（比如通过Web页面最多只能配置8个DNS服务器地址，如果用户需要配置的DNS服务器地址数目大于8，则Web页面无法满足需求），可以通过DHCP选项功能进行扩展。

常用的DHCP选项配置如表5-8所示。

表5-8 常用DHCP选项配置

选项编号	选项名称	推荐的选项填充类型
3	Router Option	IP地址
6	Domain Name Server Option	IP地址
15	Domain Name	ASCII字符串
44	NetBIOS over TCP/IP Name Server Option	IP地址
46	NetBIOS over TCP/IP Node Type Option	十六进制数串
66	TFTP server name	ASCII字符串
67	Bootfile name	ASCII字符串
43	Vendor Specific Information	十六进制数串

 

4. DHCP服务器的IP地址冲突检测功能

为防止IP地址重复分配导致地址冲突，DHCP服务器为客户端分配地址前，需要先对该地址进行探测。

DHCP服务器的地址探测是通过ping功能实现的，通过检测是否能在指定时间内得到ping响应来判断是否存在地址冲突。DHCP服务器发送目的地址为待分配地址的ICMP回显请求报文。如果在指定时间内收到回显响应报文，则认为存在地址冲突。DHCP服务器从地址池中选择新的IP地址，并重复上述操作。如果在指定时间内没有收到回显响应报文，则继续发送ICMP回显请求报文，直到发送的回显显示报文数目达到最大值。如果仍然没有收到回显响应报文，则将地址分配给客户端，从而确保客户端获得的IP地址唯一。

5.20.2  DHCP中继

由于在IP地址动态获取过程中采用广播方式发送请求报文，因此DHCP只适用于DHCP客户端和服务器处于同一个子网内的情况。为进行动态主机配置，需要在所有网段上都设置一个DHCP服务器，这显然是很不经济的。

DHCP中继功能的引入解决了这一难题：客户端可以通过DHCP中继与其他网段的DHCP服务器通信，最终获取到IP地址。这样，多个网络上的DHCP客户端可以使用同一个DHCP服务器，既节省了成本，又便于进行集中管理。

1. DHCP中继用户地址表项记录功能

为了防止非法主机静态配置一个IP地址并访问外部网络，设备支持DHCP中继用户地址表项记录功能。

启用该功能后，当客户端通过DHCP中继从DHCP服务器获取到IP地址时，DHCP中继可以自动记录客户端IP地址与硬件地址的绑定关系，生成DHCP中继的用户地址表项。

本功能与其他IP地址安全功能（如ARP地址检查和授权ARP）配合，可以实现只允许匹配用户地址表项中绑定关系的报文通过DHCP中继。从而，保证非法主机不能通过DHCP中继与外部网络通信。

2. DHCP中继动态用户地址表项定时刷新功能

DHCP客户端释放动态获取的IP地址时，会向DHCP服务器单播发送DHCP-RELEASE报文，DHCP中继不会处理该报文的内容。如果此时DHCP中继上记录了该IP地址与MAC地址的绑定关系，则会造成DHCP中继的用户地址表项无法实时刷新。为了解决这个问题，DHCP中继支持动态用户地址表项的定时刷新功能。

DHCP中继动态用户地址表项定时刷新功能开启时，DHCP中继每隔指定时间采用客户端获取到的IP地址和DHCP中继接口的MAC地址向DHCP服务器发送DHCP-REQUEST报文：

·            如果DHCP中继接收到DHCP服务器响应的DHCP-ACK报文或在指定时间内没有接收到DHCP服务器的响应报文，则表明这个IP地址已经可以进行分配，DHCP中继会删除动态用户地址表中对应的表项。为了避免地址浪费，DHCP中继收到DHCP-ACK报文后，会发送DHCP-RELEASE报文释放申请到的IP地址。

如果DHCP中继接收到DHCP服务器响应的DHCP-NAK报文，则表示该IP地址的租约仍然存在，DHCP中继不会删除该IP地址对应的表项。

5.21  HTTP/HTTPS

为了方便用户对网络设备进行配置和维护，设备提供了Web登录功能。用户可以通过PC登录到设备上，使用Web界面直观地配置和维护设备。

设备支持的Web登录方式有以下两种：

·            HTTP登录方式：HTTP（Hypertext Transfer Protocol，超文本传输协议）用来在Internet上传递Web页面信息。目前，设备支持的HTTP协议版本为HTTP/1.0。

·            HTTPS登录方式：HTTPS（Hypertext Transfer Protocol Secure，超文本传输协议的安全版本）是支持SSL（Secure Sockets Layer，安全套接字层）协议的HTTP协议。HTTPS通过SSL协议，能对客户端与设备之间交互的数据进行加密，能为设备制定基于证书属性的访问控制策略，提高了数据传输的安全性和完整性，保证合法客户端可以安全地访问设备，禁止非法客户端访问设备，从而实现了对设备的安全管理。

采用HTTPS登录时，设备上只需使能HTTPS服务，用户即可通过HTTPS登录设备。此时，设备使用的证书为自签名证书，使用的SSL参数为各个参数的缺省值。（自签名证书指的是服务器自己生成的证书，无需从CA获取）

通过引用ACL（Access Control List，访问控制列表），可以对访问设备的登录用户进行控制：

·            当未引用ACL、引用的ACL不存在或者引用的ACL为空时，允许所有登录用户访问设备；

·            当引用的ACL非空时，则只有ACL中permit的用户才能访问设备，其它用户不允许访问设备，可以避免非法用户使用Web页面登录设备。

5.22  FTP

FTP用于在FTP服务器和FTP客户端之间传输文件，是IP网络上传输文件的通用协议。本设备可作为FTP服务器，使用20端口传输数据，使用21端口传输控制消息。

5.23  Telnet

设备可以开启Telnet服务器功能，以便用户能够通过Telnet登录到设备进行远程管理和监控。

通过引用ACL（Access Control List，访问控制列表），可以对访问设备的登录用户进行控制：

·            当未引用ACL、引用的ACL不存在或者引用的ACL为空时，允许所有登录用户访问设备；

·            当引用的ACL非空时，则只有ACL中permit的用户才能访问设备，其它用户不允许访问设备，可以避免非法用户通过Telnet访问设备。

5.24  NTP

NTP（Network Time Protocol，网络时间协议）可以用来在分布式时间服务器和客户端之间进行时间同步，使网络内所有设备的时间保持一致，从而使设备能够提供基于统一时间的多种应用。

NTP通过时钟层数来定义时钟的准确度。时钟层数的取值范围为1～15，取值越小，时钟准确度越高。

在某些网络中，例如无法与外界通信的孤立网络，网络中的设备无法与权威时钟进行时间同步。此时，可以从该网络中选择一台时钟较为准确的设备，指定该设备与本地时钟进行时间同步，即采用本地时钟作为参考时钟，使得该设备的时钟处于同步状态。该设备作为时间服务器为网络中的其他设备提供时间同步，从而实现整个网络的时间同步。

通过Web页面可以配置本地时钟作为参考时钟。