目  录

1 MAC地址

1.1 概述

1.2 配置MAC地址表项

1.3 配置MAC地址表项的老化时间

1.4 MAC地址典型配置举例

2 VLAN

2.1 概述

2.2 VLAN配置任务简介

2.3 新建VLAN

2.4 配置VLAN中的端口

2.5 配置端口所属的VLAN

2.6 VLAN典型配置举例

2.7 注意事项

3 ARP管理

3.1 概述

3.1.1 ARP简介

3.1.2 免费ARP简介

3.2 查看ARP表项

3.3 配置静态ARP表项

3.4 删除ARP表项

3.5 配置免费ARP功能

3.6 静态ARP典型配置举例

4 ARP防攻击

4.1 概述

4.1.1 ARP Detection功能介绍

4.1.2 固定源MAC攻击检测功能

4.1.3 ARP主动确认功能

4.1.4 ARP报文源MAC一致性检查功能

4.2 配置ARP Detection功能

4.3 配置其他ARP防攻击功能

5 IGMP Snooping

5.1 概述

5.2 IGMP Snooping配置任务简介

5.3 全局启用IGMP Snooping

5.4 在VLAN内配置IGMP Snooping

5.5 在端口上配置IGMP Snooping

5.6 查看IGMP Snooping组播表项信息

5.7 IGMP Snooping典型配置举例

6 IPv4和IPv6路由

6.1 概述

6.2 查看IPv4激活路由表

6.3 新建IPv4静态路由

6.4 查看IPv6激活路由表

6.5 新建IPv6静态路由

6.6 IPv4静态路由配置举例

6.7 IPv6静态路由配置举例

6.8 注意事项

7 DHCP

7.1 概述

7.1.1 DHCP简介

7.1.2 DHCP Snooping简介

7.2 配置DHCP服务器

7.2.1 DHCP服务器配置任务简介

7.2.2 启动DHCP服务

7.2.3 配置DHCP服务器的静态地址池

7.2.4 配置DHCP服务器的动态地址池

7.2.5 配置接口工作在DHCP服务器模式

7.2.6 查看地址池中已被分配的地址信息

7.3 配置DHCP中继

7.3.1 DHCP中继配置任务简介

7.3.2 启动DHCP服务并配置DHCP中继的高级参数

7.3.3 配置DHCP服务器组

7.3.4 配置接口工作在DHCP中继模式

7.3.5 配置和查看用户地址表项

7.4 配置DHCP Snooping

7.4.1 DHCP Snooping配置任务简介

7.4.2 启动DHCP Snooping

7.4.3 配置接口的DHCP Snooping功能

7.4.4 查看DHCP Snooping用户信息

7.5 DHCP服务器典型配置举例

7.6 DHCP中继典型配置举例

7.7 DHCP Snooping典型配置举例

8 DNS

8.1 概述

8.2 DNS配置任务简介

8.3 配置静态域名解析表

8.4 启动动态域名解析

8.5 配置设备为DNS代理

8.6 配置DNS服务器的IP地址

8.7 配置域名后缀

8.8 清空动态域名缓存区

8.9 DNS典型配置举例

9 服务管理

9.1 概述

9.2 配置服务管理

10 诊断工具

10.1 概述

10.1.1 Ping

10.1.2 Trace Route

10.2 Ping操作

10.2.1 IPv4 Ping

10.2.2 IPv6 Ping

10.3 Trace Route操作

1 MAC地址

1.1  概述

为了转发报文，设备需要维护MAC地址表。MAC地址表的表项包含了与该设备相连的设备的MAC地址、与此设备相连的设备的接口号以及所属的VLAN ID。MAC地址表中的表项包括静态表项和动态表项，其中静态表项是由用户配置的；动态表项包括用户配置的以及设备学习得来的。静态表项不会被老化掉，而动态表项会被老化掉。

设备学习MAC地址的方法如下：如果从某接口（假设为接口A）收到一个数据帧，设备就会分析该数据帧的源MAC地址（假设为MAC-SOURCE）并认为目的MAC地址为MAC-SOURCE的报文可以由接口A转发；如果MAC地址表中已经包含MAC-SOURCE，设备将对该表项进行更新；如果MAC地址表中尚未包含MAC-SOURCE，设备则将这个新MAC地址以及该MAC地址对应的接口A作为一个新的表项加入到MAC地址表中。

设备在转发报文时，根据MAC地址表项信息，会采取以下两种转发方式：

·              单播方式：当MAC地址表中包含与报文目的MAC地址对应的表项时，设备直接将报文从该表项中的转发出接口发送。

·              广播方式：当设备收到目的地址为全F的报文，或MAC地址表中没有包含对应报文目的MAC地址的表项时，设备将采取广播方式将报文向除接收接口外的所有接口进行转发。

图1-1 设备的MAC地址表项

1.2  配置MAC地址表项

(1)      在导航栏中选择“网络 > MAC地址”，默认进入“MAC”页签的页面，页面显示所有的MAC地址表项，如下图所示。

图1-2 MAC页签

(2)      单击<新建>按钮，进入新建MAC地址表项的配置页面，如下图所示。

图1-3 MAC地址创建

(3)      配置MAC地址表项的信息，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表1-1 新建MAC地址表项的详细配置

1.3  配置MAC地址表项的老化时间

(1)      在导航栏中选择“网络 > MAC地址”.

(2)      单击“设置”页签，进入MAC地址表项老化时间的配置页面，如下图所示。

图1-4 设置

(3)      配置MAC地址表项老化时间，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表1-2 MAC地址表老化时间的详细配置

1.4  MAC地址典型配置举例

1. 组网需求

用户通过Web网管设置MAC地址表功能。要求在VLAN1中的GigabitEthernet1/0/1端口下添加一个静态MAC地址表项00e0-fc35-dc71。

2. 配置步骤

配置静态MAC地址表项。

步骤1：在导航栏中选择“网络 > MAC地址”，默认进入“MAC”页签的页面。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·              输入MAC地址为“00e0-fc35-dc71”。

·              选择类型为“static”。

·              选择VLAN ID为“1”。

·              选择端口为“GigabitEthernet1/0/1”。

步骤4：单击<确定>按钮完成操作。

图1-5 新建静态MAC地址表项

2 VLAN

2.1  概述

以太网是一种基于CSMA/CD（Carrier Sense Multiple Access/Collision Detect，载波侦听多路访问/冲突检测）的共享通讯介质的数据网络通讯技术，当主机数目较多时会导致冲突严重、广播泛滥、性能显著下降，甚至网络不可用等问题。通过交换机实现LAN互联虽然可以解决冲突（Collision）严重的问题，但仍然不能隔离广播报文。在这种情况下出现了VLAN（Virtual Local Area Network，虚拟局域网）技术，这种技术可以把一个LAN划分成多个虚拟的LAN——VLAN，每个VLAN是一个广播域，VLAN内的主机间通信就和在一个LAN内一样，而VLAN间则不能直接互通。这样，广播报文被限制在一个VLAN内，如下图所示。

图2-1 VLAN示意图

VLAN根据划分方式不同可以分为不同类型，Web界面目前只支持对基于端口的VLAN的配置。基于端口划分VLAN是VLAN最简单、最有效的划分方式。他按照设备端口来定义VLAN成员，将指定端口加入到指定VLAN中之后，端口就可以转发指定VLAN的报文。

2.2  VLAN配置任务简介

表2-1 VLAN配置步骤

2.3  新建VLAN

(1)      在导航栏中选择“网络 > VLAN”，默认进入“VLAN”页签的页面，如下图所示。

图2-2 VLAN

(2)      单击<新建>按钮，进入新建VLAN的配置页面，如下图所示。

(3)      在“VLAN ID”文本框中输入要创建的VLAN ID。

(4)      单击<确定>按钮完成操作。

图2-3 新建VLAN

2.4  配置VLAN中的端口

(1)      在导航栏中选择“网络 > VLAN”，默认进入“VLAN”页签的页面，如图2-2所示。

(2)      在VLAN列表中找到要修改VLAN，单击对应的“操作”列中的图标，进入修改VLAN的配置页面，如下图所示。

图2-4 修改VLAN

(3)      配置VLAN的描述，以及VLAN中的端口成员，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表2-2 VLAN中端口的详细配置

2.5  配置端口所属的VLAN

(1)      在导航栏中选择“网络 > VLAN”。

(2)      单击“端口”页签，进入端口显示页面，如下图所示。

图2-5 端口

(3)      在端口列表中找到要修改端口，单击对应的“操作”列中的图标，进入修改端口的配置页面，如下图所示。

图2-6 修改端口

(4)      配置端口所属的VLAN，详细配置如下表所示。

(5)      单击<确定>按钮完成操作。

表2-3 端口所属VLAN的详细配置

2.6  VLAN典型配置举例

1. 组网需求

·              AC与Switch使用GigabitEthernet1/0/1相连。

·              GigabitEthernet1/0/1为Hybrid端口，缺省VLAN ID为100。

·              配置GigabitEthernet1/0/1，使该端口允许VLAN 2、VLAN 6到VLAN 50、VLAN 100的报文通过。

图2-7 VLAN配置组网图

2. 配置AC

(1)      创建VLAN 2、VLAN 6到VLAN 50、VLAN 100。

步骤1：在导航栏中选择“网络 > VLAN”，默认进入“VLAN”页签的页面。

步骤2：单击<新建>按钮。

步骤3：如下图所示，输入VLAN ID为“2,6-50,100”。

步骤4：单击<确定>按钮完成操作。

图2-8 新建VLAN

(2)      通过修改VLAN来配置GigabitEthernet1/0/1为VLAN 100的Untagged成员。

步骤1：在“VLAN”页签的页面输入VLAN范围为“100”，如下图所示。

步骤2：单击<选择>按钮，页面上的VLAN列表将只显示VLAN 100的信息。

图2-9 VLAN选择

步骤3：单击VLAN 100对应的图标。

步骤4：如下图所示，在端口列表中选中GigabitEthernet1/0/1对应的“Untagged成员端口”列中的单选按钮。

步骤5：单击<确定>按钮完成操作。

图2-10 修改VLAN

(3)      通过修改端口来配置GigabitEthernet1/0/1为VLAN 2、VLAN 6到VLAN 50的Tagged成员。

步骤1：在导航栏中选择“网络 > VLAN”，单击“端口”页签。

步骤2：在端口列表中单击GigabitEthernet1/0/1对应的图标。

步骤3：进行如下配置，如下图所示。

·              选择成员类型为“Tagged”。

·              输入VLAN ID为“2,6-50”。

图2-11 修改端口

步骤4：单击<确定>按钮，弹出如下图所示的对话框。

步骤5：在对话框中单击<确定>完成操作。

图2-12 确认配置对话框

3. 配置Switch

与AC上的配置步骤相似，不再赘述。

2.7  注意事项

配置VLAN时需要注意如下事项：

(1)      VLAN1为系统缺省VLAN，用户不能手工创建和删除。

(2)      保留VLAN是系统为实现特定功能预留的VLAN，用户不能手工创建和删除。

(3)      用户不能手工删除设备上动态学习到的VLAN。

3 ARP管理

3.1  概述

3.1.1  ARP简介

ARP（Address Resolution Protocol，地址解析协议）是将IP地址解析为以太网MAC地址（或称物理地址）的协议。

在局域网中，当主机或其它网络设备有数据要发送给另一个主机或设备时，它必须知道对方的网络层地址（即IP地址）。但是仅仅有IP地址是不够的，因为IP数据报文必须封装成帧才能通过物理网络发送，因此发送站还必须有接收站的物理地址，所以需要一个从IP地址到物理地址的映射。APR就是实现这个功能的协议。

3.1.2  免费ARP简介

1. 免费ARP报文

免费ARP报文是一种特殊的ARP报文，该报文中携带的发送者IP地址和目标IP地址都是本机IP地址，报文源MAC地址是本机MAC地址，报文的目的MAC地址是广播地址。

设备通过对外发送免费ARP报文来实现以下功能：

·              确定其它设备的IP地址是否与本机IP地址冲突。当其它设备收到免费ARP报文后，如果发现报文中的IP地址和自己的IP地址相同，则给发送免费ARP报文的设备返回一个ARP应答，告知该设备IP地址冲突。

·              设备改变了硬件地址，通过发送免费ARP报文通知其他设备更新ARP表项。

2. 免费ARP报文学习功能

使能了免费ARP报文学习功能后，设备会根据收到的免费ARP报文中携带的信息（源IP地址、源MAC地址）对自身维护的ARP表进行修改。设备先判断ARP表中是否存在与此免费ARP报文源IP地址对应的ARP表项：

·              如果没有对应的ARP表项，设备会根据该免费ARP报文中携带的信息新建ARP表项。

·              如果存在对应的ARP表项，设备会根据该免费ARP报文中携带的信息更新对应的ARP表项。

关闭免费ARP报文学习功能后，设备不会根据收到的免费ARP报文来新建ARP表项，但是会更新已存在的对应ARP表项。如果用户不希望通过免费ARP报文来新建ARP表项，可以关闭免费ARP报文学习功能，以节省ARP表项资源。

3.2  查看ARP表项

在导航栏中选择“网络 > ARP管理”，默认进入“ARP表”页签的页面，如下图所示。页面显示所有ARP表项的信息。

图3-1 ARP表

3.3  配置静态ARP表项

(1)      在导航栏中选择“网络 > ARP管理”，默认进入“ARP表”页签的页面，如图3-1所示。

(2)      单击<新建>按钮，进入新建静态ARP表项的配置页面，如下图所示。

图3-2 新建静态ARP

(3)      配置静态ARP表项的信息，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表3-1 静态ARP表项的详细配置

3.4  删除ARP表项

(1)      在导航栏中选择“网络 > ARP管理”，默认进入“ARP表”页签的页面，如图3-1所示。

(2)      删除ARP表项，详细配置如下表所示。

表3-2 删除ARP表项的详细配置

3.5  配置免费ARP功能

(1)      在导航栏中选择“网络 > ARP管理”。

(2)      单击“免费ARP”页签，进入如下图所示的页面。

图3-3 免费ARP

(3)      配置免费ARP功能，详细配置如下表所示。

表3-3 免费ARP功能的详细配置

3.6  静态ARP典型配置举例

1. 组网需求

·              AC通过接口GigabitEthernet1/0/1连接Router，IP地址为192.168.1.2/24。接口GigabitEthernet1/0/1属于VLAN 100。

·              Router的IP地址为192.168.1.1/24，MAC地址为00e0-fc01-0000。

为了增加AC和Router通信的安全性，可以在AC上配置静态ARP表项。

图3-4 静态ARP配置组网图

2. 配置步骤

(1)      创建VLAN 100。

步骤1：在导航栏中选择“网络 > VLAN”，默认进入“VLAN”页签的页面。

步骤2：单击<新建>按钮。

步骤3：如下图所所示，输入VLAN ID为“100”。

步骤4：单击<确定>按钮完成操作。

图3-5 新建VLAN 100

(2)      将端口GigabitEthernet1/0/1加入到VLAN 100中。

步骤1：在“VLAN”页签的页面单击VLAN 100对应的图标。

步骤2：如下图所示，选择端口GigabitEthernet1/0/1为“Untagged成员端口”。

步骤3：单击<确定>按钮完成操作。

图3-6 将端口添加到VLAN 100中

(3)      配置Vlan-interface100及其IP地址。

步骤1：在导航栏中选择“设备 > 接口管理”。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·              在接口名称中选择接口类型为“Vlan-interface”，输入接口编号为“100”。

·              选择IP配置为“静态地址”。

·              输入IP地址为“192.168.1.2”。

·              选择网络掩码为“24 (255.255.255.0)”。

步骤4：单击<确定>按钮完成操作。

图3-7 创建Vlan-interface100

(4)      配置静态ARP表项。

步骤1：在导航栏中选择“网络 > ARP管理”，默认进入“ARP表”页签的页面。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·              输入IP地址为“192.168.1.1”。

·              输入MAC地址为“00e0-fc01-0000”。

·              选中“高级选项”前的复选框。

·              输入VLAN ID为“100”。

·              选择端口为“GigabitEthernet1/0/1”。

步骤4：单击<确定>按钮完成操作。

图3-8 新建静态ARP表项

4 ARP防攻击

4.1  概述

ARP协议有简单、易用的优点，但是也因为其没有任何安全机制而容易被攻击发起者利用。目前ARP攻击和ARP病毒已经成为局域网安全的一大威胁，为了避免各种攻击带来的危害，设备提供了多种技术对攻击进行检测和解决。

4.1.1  ARP Detection功能介绍

ARP Detection功能主要应用于接入设备上，对于合法用户的ARP报文进行正常转发，否则直接丢弃，从而防止仿冒用户、仿冒网关的攻击。

通过Web页面配置ARP Detection可以实现两个功能：用户合法性检查、ARP报文有效性检查。

·              用户合法性检查：对于ARP信任端口，不进行用户合法性检查；对于ARP非信任端口，根据ARP报文中源IP地址和源MAC地址检查用户是否是所属VLAN所在端口上的合法用户，丢弃非法用户的ARP报文，以防止仿冒用户的攻击。

·              ARP报文有效性检查：对于ARP信任端口，不进行报文有效性检查；对于ARP非信任端口，根据配置对MAC地址和IP地址不合法的报文进行过滤，可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。

4.1.2  固定源MAC攻击检测功能

固定源MAC攻击检测功能根据ARP报文的源MAC地址进行统计，在5秒内，如果收到同一源MAC地址的ARP报文超过一定的阈值，则认为存在攻击，系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前，如果设置的检查模式为过滤模式，则会打印Log信息并且将该源MAC地址发送的ARP报文过滤掉；如果设置的模式为监控模式，则只打印Log信息，不会将该源MAC地址发送的ARP报文过滤掉。

对于网关或一些重要的服务器，可能会发送大量ARP报文，为了使这些ARP报文不被过滤掉，可以将这类设备的MAC地址配置成保护MAC地址，这样，即使该MAC地址存在攻击也不会被检测、过滤。

只对上送CPU的ARP报文进行统计。

4.1.3  ARP主动确认功能

ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。启用ARP主动确认功能后，设备在新建或更新ARP表项前需进行主动确认，防止产生错误的ARP表项。

4.1.4  ARP报文源MAC一致性检查功能

ARP报文源MAC一致性检查功能主要应用于网关设备上，防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。

配置本特性后，网关设备在进行ARP学习前将对ARP报文进行检查。如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同，则认为是攻击报文，将其丢弃；否则，继续进行ARP学习。

4.2  配置ARP Detection功能

(1)      在导航栏中选择“网络 > ARP防攻击”，默认进入“ARP Detection”页签的页面，如下图所示。

图4-1 ARP Detection

(2)      配置ARP Detection功能，详细配置如下表所示。

(3)      单击<确定>按钮完成操作。

表4-1 ARP Detection的详细配置

4.3  配置其他ARP防攻击功能

其他ARP防攻击功能包括：固定源MAC攻击检测功能、ARP主动确认功能、ARP源MAC一致性检查功能。

(1)      在导航栏中选择“网络 > ARP防攻击”。

(2)      单击“高级设置”页签，进入如下图所示的页面。

图4-2 高级设置

(3)      配置其他ARP防攻击功能的参数，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表4-2 其他ARP防攻击功能的详细配置

图4-3 配置保护MAC

5 IGMP Snooping

5.1  概述

IGMP Snooping是Internet Group Management Protocol Snooping（互联网组管理协议窥探）的简称，它是运行在二层设备上的组播约束机制，用于管理和控制组播组。

运行IGMP Snooping的二层设备通过对收到的IGMP报文进行分析，为端口和MAC组播地址建立起映射关系，并根据这样的映射关系转发组播数据。

如下图所示，当二层设备没有运行IGMP Snooping时，组播数据在二层被广播；当二层设备运行了IGMP Snooping后，已知组播组的组播数据不会在二层被广播，而在二层被组播给指定的接收者。

图5-1 二层设备运行IGMP Snooping前后的对比

IGMP Snooping通过二层组播将信息只转发给有需要的接收者，可以带来以下好处：

·              减少二层网络中的广播报文，节约网络带宽。

·              增强组播信息的安全性。

·              为实现对每台主机的单独计费带来方便。

5.2  IGMP Snooping配置任务简介

表5-1 IGMP Snooping配置步骤

5.3  全局启用IGMP Snooping

(1)      在导航栏中选择“网络 > IGMP Snooping”，默认进入“基本配置”页签的页面，如下图所示。

(2)      选中IGMP Snooping“Enable”前的单选按钮。

(3)      单击<确定>按钮完成操作。

图5-2 基本配置

5.4  在VLAN内配置IGMP Snooping

(1)      在导航栏中选择“网络 > IGMP Snooping”，默认进入“基本配置”页签的页面，如图5-2所示。

(2)      在“VLAN配置”中单击要配置的VLAN对应的图标，进入该VLAN的IGMP Snooping配置页面，如下图所示。

图5-3 VLAN配置

(3)      在VLAN内配置IGMP Snooping，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表5-2 VLAN内IGMP Snooping的详细配置

5.5  在端口上配置IGMP Snooping

(1)      在导航栏中选择“网络 > IGMP Snooping”。

(2)      单击“高级配置”页签，进入如下图所示的页面。

图5-4 高级配置

(3)      在端口上配置IGMP Snooping高，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表5-3 IGMP Snooping高级参数的详细配置

5.6  查看IGMP Snooping组播表项信息

(1)      在导航栏中选择“网络 > IGMP Snooping”，默认进入“基本配置”页签的页面，如图5-2所示。

(2)      单击“显示表项”前的扩展按钮，可以查看IGMP Snooping组播表项的概要信息，如下图所示，详细说明如表5-4所示。

图5-5 显示表项

(3)      单击要查看的表项对应的图标，进入该IGMP Snooping组播表项详细信息的显示页面，如下图所示，详细说明如表5-4所示。

图5-6 表项详细信息

表5-4 IGMP Snooping组播表项信息的详细说明

5.7  IGMP Snooping典型配置举例

1. 组网需求

·              如下图所示，Router A通过Ethernet1/2接口连接组播源（Source），通过Ethernet1/1接口连接AC。

·              组播源（Source）向组播组224.1.1.1发送组播数据，Host A是组播组224.1.1.1的接收者（Receiver）。

·              Router A上运行IGMPv2，AC上运行版本2的IGMP Snooping。

·              为了防止AC在没有二层组播转发表项时将组播数据在VLAN内广播，在AC上启用丢弃未知组播数据报文的功能。

·              为了节约带宽和资源，在AC的GigabitEthernet1/0/2口上启用端口快速离开功能。

图5-7 IGMP Snooping配置组网图

2. 配置IP地址

按照上图配置各接口的IP地址，具体配置过程略。

3. 配置Router A

在Router A上启用IP组播路由，在各接口上启用PIM-DM，并在接口Ethernet1/1上启用IGMP。具体配置过程略。

4. 配置AC

(1)      创建VLAN 100。

步骤1：在AC的导航栏中选择“网络 > VLAN”，默认进入“VLAN”页签的页面。

步骤2：单击<新建>按钮。

步骤3：如下图所示，输入VLAN ID为“100”。

步骤4：单击<确定>按钮完成操作。

图5-8 创建VLAN 100

(2)      配置端口GigabitEthernet1/0/1和GigabitEthernet1/0/2为VLAN 100的Untagged成员。

步骤1：单击VLAN 100对应的图标，进入修改VLAN的页面。

步骤2：如下图所示，分别选中GigabitEthernet1/0/1和GigabitEthernet1/0/2对应的“Untagged成员端口”列中的单选按钮。

步骤3：单击<确定>按钮完成操作。

图5-9 把端口添加到该VLAN中

(3)      全局使能IGMP Snooping。

步骤1：在导航栏中选择“网络 > IGMP Snooping”，默认进入“基本配置”页签的页面。

步骤2：如下图所示，选中IGMP Snooping“Enable”前的单选按钮。

步骤3：单击<确定>按钮完成操作。

图5-10 全局使能IGMP Snooping

(4)      在VLAN 100内启用IGMP Snooping和丢弃未知组播数据报文功能。

步骤1：单击VLAN 100对应的图标。

步骤2：进行如下配置，如下图所示。

·              选中IGMP Snooping“Enable”前的单选按钮。

·              选中版本“2”前的单选按钮。

·              选中丢弃未知组播数据报文“Enable”前的单选按钮。

步骤3：单击<确定>按钮完成操作。

图5-11 VLAN配置

(5)      在GigabitEthernet1/0/2口上启用端口快速离开功能。

步骤1：单击“高级配置”页签。

步骤2：进行如下配置，如下图所示。

·              选择端口名称为“GigabitEthernet1/0/2”。

·              输入VLAN ID为“100”。

·              选中端口快速离开“Enable”前的单选按钮。

步骤3：单击<确定>按钮完成操作。

图5-12 高级配置

5. 配置结果验证

在AC上查看IGMP Snooping组播表项的信息。

步骤1：在AC的导航栏中选择“网络 > VLAN”，默认进入“基本配置”页签的页面。

步骤2：单击“显示表项”前的扩展按钮。

步骤3：查看IGMP Snooping组播表项概要信息，如下图所示。

图5-13 配置结果（IGMP Snooping组播表项概要信息）

步骤4：单击VLAN 100的IGMP Snooping组播表项（0.0.0.0，224.1.1.1）对应的图标。

步骤5：查看该IGMP Snooping组播表项的详细信息，如下图所示。

图5-14 配置结果（IGMP Snooping组播表项详细信息）

由此可见，AC上的端口GigabitEthernet1/0/2已经加入了组播组224.1.1.1。

6 IPv4和IPv6路由

6.1  概述

在网络中路由器根据所收到的报文的目的地址选择一条合适的路径，并将报文转发到下一个路由器。路径中最后的路由器负责将报文转发给目的主机。路由就是报文在转发过程中的路径信息，用来指导报文转发。

路由表中保存了各种路由协议发现的路由。路由器通过路由表选择路由，把优选路由下发到FIB（Forwarding Information Base）表中，通过FIB指导报文转发。每个路由器中都至少保存着一张路由表和一张FIB表。

静态路由是一种特殊的路由，由管理员手工配置。配置静态路由后，去往指定目的地的数据报文将按照管理员指定的路径进行转发。静态路由配置方便，对系统要求低，适用于拓扑结构简单并且稳定的小型网络。其缺点是每当网络拓扑结构发生变化，都需要手工重新配置，不能自动适应。

6.2  查看IPv4激活路由表

(1)      在导航栏中选择“网络 > IPv4路由”，默认进入“显示”页签的页面，如下图所示。

图6-1 IPv4路由显示

(2)      查看IPv4激活路由表的信息，详细说明如下表所示。

表6-1 IPv4激活路由表的详细说明

6.3  新建IPv4静态路由

(1)      在导航栏中选择“网络 > IPv4路由”。

(2)      单击“创建”页签，进入IPv4静态路由配置页面，如下图所示。

图6-2 IPv4静态路由创建

(3)      配置IPv4静态路由的信息，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表6-2 IPv4静态路由的详细配置

6.4  查看IPv6激活路由表

(1)      在导航栏中选择“网络 > IPv6路由”，默认进入“显示”页签的页面，如下图所示。

图6-3 IPv6路由显示

(2)      查看IPv6激活路由表的信息，详细说明如下表所示。

(3)      单击<确定>按钮完成操作。

表6-3 IPv6激活路由表的详细说明

6.5  新建IPv6静态路由

(1)      在导航栏中选择“网络 > IPv6路由”。

(2)      单击“创建”页签，进入IPv6静态路由配置页面，如下图所示。

图6-4 IPv6路由创建

(3)      配置IPv6静态路由的信息，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表6-4 IPv6静态路由的详细配置

6.6  IPv4静态路由配置举例

1. 组网需求

Switch A、Switch B和AC各接口及主机的IP地址和掩码如下图所示。要求Switch A、Switch B和AC之间配置IPv4静态路由后，Host A和Host B之间能够互通。

图6-5 IPv4静态路由配置组网图

2. 配置思路

采用如下的思路配置IPv4静态路由：

(1)      在Switch A上配置一条到Switch B的缺省路由。

(2)      在Switch B上分别配置两条到Switch A和AC的静态路由。

(3)      在AC上配置一条到Switch B的缺省路由。

3. 配置步骤

(1)      在Switch A上配置一条下一跳为“1.1.4.2”的缺省路由。

(2)      在Switch B上配置一条目的地址为“1.1.2.0/24”、下一跳为“1.1.4.1”的静态路由，和一条目的地址为“1.1.3.0/24”、下一跳为“1.1.5.6”的静态路由。

(3)      在AC上配置缺省路由。

步骤1：在AC的导航栏中选择“网络 > IPv4路由”。

步骤2：单击“创建”页签，进入IPv4静态路由配置页面。

步骤3：进行如下配置，如下图所示。

·              输入目的IP地址为“0.0.0.0”。

·              输入掩码为“0”。

·              输入下一跳为“1.1.5.5”。

步骤4：单击<确定>按钮完成操作。

图6-6 配置缺省路由

4. 配置结果验证

(1)      查看激活路由列表。

分别进入Switch A、Switch B和AC的IPv4路由显示页面。查看到页面上的激活路由列表中有新配置的静态路由。

(2)      在Host A上使用ping命令验证Host B是否可达（假定主机安装的操作系统为Windows XP）。

C:\Documents and Settings\Administrator>ping 1.1.3.2

Pinging 1.1.3.2 with 32 bytes of data:

Reply from 1.1.3.2: bytes=32 time=1ms TTL=128

Reply from 1.1.3.2: bytes=32 time=1ms TTL=128

Reply from 1.1.3.2: bytes=32 time=1ms TTL=128

Reply from 1.1.3.2: bytes=32 time=1ms TTL=128

Ping statistics for 1.1.3.2:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 1ms, Maximum = 1ms, Average = 1ms

6.7  IPv6静态路由配置举例

1. 组网需求

Switch A、Switch B和AC各接口及主机的IP地址和掩码如下图所示。要求Switch A、Switch B和AC之间配置IPv6静态路由协议后，Host A和Host B之间能够互通。

图6-7 IPv6静态路由配置组网图

2. 配置思路

采用如下的思路配置IPv6静态路由：

(1)      在Switch A上配置一条到Switch B的缺省路由。

(2)      在Switch B上分别配置两条到Switch A和AC的静态路由。

(3)      在AC上配置一条到Switch B的缺省路由。

3. 配置步骤

(1)      在Switch A上配置一条下一跳为“4::2”的缺省路由。

(2)      在Switch B上配置一条目的地址为“1::/64”、下一跳为“4::1”的静态路由，和一条目的地址为“3::/64”、下一跳为“5::1”的静态路由。

(3)      在AC上配置缺省路由。

步骤1：在AC的导航栏中选择“网络 > IPv6路由”。

步骤2：单击“创建”页签，进入IPv6静态路由配置页面。

步骤3：进行如下配置，如下图所示。

·              输入目的IP地址为“::”。

·              选择前缀长度为“0”。

·              输入下一跳为“5::2”。

步骤4：单击<确定>按钮完成操作。

图6-8 配置缺省路由

4. 配置结果验证

(1)      查看激活路由列表。

分别进入Switch A、Switch B和AC的IPv6路由显示页面。查看到页面上的激活路由列表中有新配置的静态路由。

(2)      在Switch A上使用ping命令验证Host B是否可达。

<SwitchA> system-view

[SwitchA] ping ipv6 3::2

  PING 3::2 : 56  data bytes, press CTRL_C to break

    Reply from 3::2

    bytes=56 Sequence=1 hop limit=254  time = 63 ms

    Reply from 3::2

    bytes=56 Sequence=2 hop limit=254  time = 62 ms

    Reply from 3::2

    bytes=56 Sequence=3 hop limit=254  time = 62 ms

    Reply from 3::2

    bytes=56 Sequence=4 hop limit=254  time = 63 ms

    Reply from 3::2

    bytes=56 Sequence=5 hop limit=254  time = 63 ms

  --- 3::2 ping statistics ---

    5 packet(s) transmitted

    5 packet(s) received

    0.00% packet loss

    round-trip min/avg/max = 62/62/63 ms

6.8  注意事项

配置静态路由时需要注意如下事项：

(1)      如果在配置静态路由时没有指定优先级，就会使用缺省优先级。重新设置缺省优先级后，新设置的缺省优先级仅对新增的静态路由有效。Web界面目前不支持对缺省优先级的配置。

(2)      在配置静态路由时，如果先指定下一跳，然后再将该下一跳的地址配置为本地接口（如以太网接口、VLAN接口等）的IP地址，则该条静态路由不会生效。

(3)      在指定出接口时要注意：

·              对于NULL0和Loopback接口，配置了出接口就不再配置下一跳。

·              对于点到点接口，即使不知道对端地址，也可以在路由器配置时指定出接口。这样，即使对端地址发生了改变也无须改变该路由器的配置。如封装PPP协议的接口，通过PPP协商获取对端的IP地址，这时可以不指定下一跳，只需指定出接口即可。

·              对于NBMA、P2MP等接口，它们支持点到多点网络，这时除了配置IP路由外，还需在链路层建立二次路由，即IP地址到链路层地址的映射。通常情况下，建议在配置出接口时，同时配置下一跳IP地址。

·              在配置静态路由时，建议不要直接指定广播类型接口作为出接口（如以太网接口、Virtual-Template、VLAN接口等）。因为广播类型的接口，会导致出现多个下一跳，无法唯一确定下一跳。在某些特殊应用中，如果必须配置广播接口为出接口，则必须同时指定其对应的下一跳。

7 DHCP

7.1  概述

7.1.1  DHCP简介

随着网络规模的不断扩大和网络复杂度的提高，计算机的数量经常超过可供分配的IP地址数量。同时随着便携机及无线网络的广泛使用，计算机的位置也经常变化，相应的IP地址也必须经常更新，从而导致网络配置越来越复杂。DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）就是为满足这些需求而发展起来的。

DHCP采用客户端/服务器通信模式，由客户端向服务器提出配置申请，服务器返回为客户端分配的IP地址等相应的配置信息，以实现IP地址等信息的动态配置。

在DHCP的典型应用中，一般包含一台DHCP服务器和多台客户端（如PC和便携机），如下图所示。

图7-1 DHCP典型应用

如下图所示，当DHCP客户端和DHCP服务器处于不同物理网段时，客户端可以通过DHCP中继与服务器通信，获取IP地址及其他配置信息。

图7-2 DHCP中继的典型组网应用

7.1.2  DHCP Snooping简介

DHCP Snooping是DHCP的一种安全特性，具有如下功能：

(1)      记录DHCP客户端IP地址与MAC地址的对应关系

出于安全性的考虑，网络管理员可能需要记录用户上网时所用的IP地址，确认用户从DHCP服务器获取的IP地址和用户主机MAC地址的对应关系。DHCP Snooping可以实现该功能。

DHCP Snooping通过监听DHCP-REQUEST和信任端口收到的DHCP-ACK广播报文，记录DHCP客户端的MAC地址以及获取到的IP地址。

(2)      保证客户端从合法的服务器获取IP地址

在网络中如果有私自架设的DHCP服务器，则可能导致用户得到错误的IP地址。为了使用户能通过合法的DHCP服务器获取IP地址，DHCP Snooping安全机制允许将端口设置为信任端口和不信任端口：

·              信任端口正常转发接收到的DHCP报文，从而保证了DHCP客户端能够从DHCP服务器获取IP地址。

·              不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文后，丢弃该报文，从而防止了DHCP客户端获得错误的IP地址。

7.2  配置DHCP服务器

7.2.1  DHCP服务器配置任务简介

表7-1 DHCP服务器配置步骤

7.2.2  启动DHCP服务

(1)      在导航栏中选择“网络 > DHCP”，默认进入“DHCP服务器”页签的页面，如下图所示。

(2)      在页面最上方选中DHCP服务“启动”前的单选按钮，即可启动全局DHCP服务。

图7-3 DHCP服务器

7.2.3  配置DHCP服务器的静态地址池

(1)      在导航栏中选择“网络 > DHCP”，默认进入“DHCP服务器”页签的页面，如图7-3所示。

(2)      在“地址池”中选中“静态”前的单选按钮，显示的是所有静态地址池。

(3)      单击<新建>按钮，进入新建静态地址池的配置页面，如下图所示。

图7-4 静态地址池创建

(4)      配置静态地址池的信息，详细配置如下表所示。

(5)      单击<确定>按钮完成操作。

表7-2 静态地址池的详细配置

7.2.4  配置DHCP服务器的动态地址池

(1)      在导航栏中选择“网络 > DHCP”，默认进入“DHCP服务器”页签的页面，如图7-3所示。

(2)      在“地址池”中选中“动态”前的单选按钮，显示的是所有动态地址池。

(3)      单击<新建>按钮，进入新建动态地址池的配置页面，如下图所示。

图7-5 动态地址池创建

(4)      配置动态地址池的信息，详细配置如下表所示。

(5)      单击<确定>按钮完成操作。

表7-3 动态地址池的详细配置

7.2.5  配置接口工作在DHCP服务器模式

(1)      在导航栏中选择“网络 > DHCP”，默认进入“DHCP服务器”页签的页面，如图7-3所示。

(2)      在“接口设置”中单击接口对应的图标，进入该接口DHCP服务器功能的配置页面，如下图所示。

(3)      选中DHCP服务器“启动”前的单选按钮。

(4)      单击<确定>按钮完成操作。

图7-6 DHCP服务器接口设置

7.2.6  查看地址池中已被分配的地址信息

(1)      在导航栏中选择“网络 > DHCP”，默认进入“DHCP服务器”页签的页面，如图7-3所示。

(2)      在在页面最下方的“在用地址”中选中<在用地址>按钮，即可查看地址池中已被分配的IP地址信息，如图7-7所示，详细说明如下表所示。

图7-7 显示在用地址

表7-4 已被分配的地址信息的详细说明

7.3  配置DHCP中继

7.3.1  DHCP中继配置任务简介

表7-5 DHCP中继配置步骤

7.3.2  启动DHCP服务并配置DHCP中继的高级参数

(1)      在导航栏中选择“网络 > DHCP”。

(2)      单击“DHCP中继”页签，进入如下图所示的页面。

图7-8 DHCP中继

(3)      在页面最上方选中DHCP服务“启动”前的单选按钮。

(4)      单击<显示高级配置>按钮，可以展开DHCP中继高级参数的配置内容，如下图所示。

图7-9 DHCP中继高级配置

(5)      配置DHCP中继高级参数，详细配置如下表所示。

(6)      单击<确定>按钮完成操作。需要注意的是，DHCP服务启动状态的配置也需要单击<确定>按钮才能完成。

表7-6 DHCP中继高级参数的详细配置

7.3.3  配置DHCP服务器组

(1)      在导航栏中选择“网络 > DHCP”。

(2)      单击“DHCP中继”页签，进入如图7-8所示页面。

(3)      在“服务器组”中单击<新建>按钮，进入新建DHCP服务器组的配置页面，如下图所示。

图7-10 新建DHCP服务器组

(4)      配置DHCP服务器组的信息，详细配置如下表所示。

(5)      单击<确定>按钮完成操作。

表7-7 DHCP服务器组的详细配置

7.3.4  配置接口工作在DHCP中继模式

(1)      在导航栏中选择“网络 > DHCP”。

(2)      单击“DHCP中继”页签，进入如图7-8所示页面。

(3)      在“接口设置”中单击接口对应的图标，进入该接口DHCP中继功能的配置页面，如下图所示。

图7-11 DHCP中继接口设置

(4)      配置接口工作在DHCP中继模式，详细配置如下表所示。

(5)      单击<确定>按钮完成操作。

表7-8 接口工作在DHCP中继模式的详细配置

7.3.5  配置和查看用户地址表项

(1)      在导航栏中选择“网络 > DHCP”。

(2)      单击“DHCP中继”页签，进入如图7-8所示的页面。

(3)      在“用户信息”中单击<用户信息>按钮，进入用户地址表项的显示页面，可以查看静态和动态用户地址表项，如下图所示。

图7-12 用户地址表项信息

(4)      单击<新建>按钮，进入新建静态用户地址表项的配置页面，如下图所示。

图7-13 新建静态用户地址表项

(5)      配置静态用户地址表项的信息，详细配置如下表所示。

(6)      单击<确定>按钮完成操作。

表7-9 静态用户地址表项的详细配置

7.4  配置DHCP Snooping

7.4.1  DHCP Snooping配置任务简介

表7-10 DHCP Snooping配置步骤

7.4.2  启动DHCP Snooping

(1)      在导航栏中选择“网络 > DHCP”。

(2)      单击“DHCP Snooping”页签，进入如下图所示的页面。

(3)      在页面最上方选中DHCP Snooping“启动”前的单选按钮，即可启动DHCP Snooping功能。

图7-14 DHCP Snooping

7.4.3  配置接口的DHCP Snooping功能

(1)      在导航栏中选择“网络 > DHCP”。

(2)      单击“DHCP Snooping”页签，进入如图7-14所示的页面。

(3)      在“接口设置”中单击接口对应的图标，进入该接口DHCP Snooping功能的配置页面，如下图所示。

图7-15 DHCP Snooping接口设置

(4)      配置接口DHCP Snooping功能，详细配置如下表所示。

(5)      单击<确定>按钮完成操作。

表7-11 接口DHCP Snooping功能的详细配置

7.4.4  查看DHCP Snooping用户信息

(1)      在导航栏中选择“网络 > DHCP”。

(2)      单击“DHCP Snooping”页签，进入如图7-14所示的页面。

(3)      在“用户信息”中单击<用户信息>按钮，进入DHCP Snooping用户信息的显示页面，如下图所示。

图7-16 DHCP Snooping用户信息

(4)      查看DHCP Snooping记录的IP地址和MAC地址的绑定信息，详细说明如下表所示。

表7-12 DHCP Snooping用户信息的详细说明

7.5  DHCP服务器典型配置举例

1. 组网需求

·              配置AC作为DHCP服务器为网段10.1.1.0/24中的客户端动态分配IP地址，AC上Vlan-interface2的IP地址为10.1.1.1/24。

·              10.1.1.0/24网段内的地址租用期限为10天12小时，网关的地址为10.1.1.1。

图7-17 DHCP服务器配置组网图

2. 配置步骤

(1)      启动DHCP服务。

步骤1：在导航栏中选择“网络 > DHCP”，默认进入“DHCP服务器”页签的页面。

步骤2：如下图所示，选中DHCP服务“启动”前的单选按钮完成操作。

图7-18 启动DHCP服务

(2)      配置Vlan-interface2工作在DHCP服务器模式。（缺省情况下接口工作在DHCP服务器模式，此步骤可以省略）

步骤1：在“接口设置”中单击Vlan-interface2对应的图标。

步骤2：如下图所示，选中DHCP服务器“启动”前的单选按钮。

步骤3：单击<确定>按钮完成操作。

图7-19 配置Vlan-interface2工作在DHCP服务器模式

(3)      置DHCP服务器的动态地址池。

步骤1：在“地址池”中默认选中的是“动态”前的单选按钮，单击<新建>按钮。

步骤2：进行如下配置，如下图所示。

·              输入地址池名称为“test”。

·              输入IP地址为“10.1.1.0”。

·              输入掩码为“255.255.255.0”。

·              输入租用期限为“10”天“12”小时“0”分“0”秒。

·              输入网关地址为“10.1.1.1”。

步骤3：单击<确定>按钮完成操作。

图7-20 配置DHCP服务器的动态地址池

7.6  DHCP中继典型配置举例

1. 组网需求

·              具有DHCP中继功能的AC通过端口（属于VLAN1）连接到DHCP客户端所在的网络

·              DHCP服务器的IP地址为10.1.1.1/24。

·              通过AC转发DHCP报文，DHCP客户端可以从DHCP服务器上申请到10.10.1.0/24网段的IP地址及相关配置信息。

图7-21 DHCP中继配置组网图

2. 配置步骤

(1)      启动DHCP服务。

步骤1：在导航栏中选择“网络 > DHCP”。

步骤2：单击“DHCP中继”页签的页面。

步骤3：如图所示，选中DHCP服务“启动”前的单选按钮。

步骤4：单击<确定>按钮完成操作。

图7-22 启动DHCP服务

(2)      配置DHCP服务器组。

步骤1：在“服务器组”中单击<新建>按钮。

步骤2：进行如下配置，如下图所示。

·              输入服务器组ID为“1”。

·              输入IP地址为“10.1.1.1”。

步骤3：单击<确定>按钮完成操作。

图7-23 新建服务器组

(3)      配置接口Vlan-interface1工作在DHCP中继模式。

步骤1：在“接口设置”中单击Vlan-interface1对应的图标。

步骤2：进行如下配置，如下图所示。

·              选中DHCP中继“启动”前的单选按钮。

·              选择服务器组ID为“1”。

步骤3：单击<确定>按钮完成操作。

图7-24 DHCP中继接口设置

7.7  DHCP Snooping典型配置举例

1. 组网需求

AC通过以太网端口GigabitEthernet1/0/2连接到DHCP服务器。要求：

·              AC上启动DHCP Snooping功能，并支持Option 82功能；对包含Option 82的请求报文的处理策略为“Replace”。

·              与DHCP服务器相连的端口可以转发DHCP服务器的响应报文，而其他端口不转发DHCP服务器的响应报文。

·              记录DHCP-REQUEST和信任端口收到的DHCP-ACK广播报文中DHCP客户端IP地址及MAC地址的绑定关系。

图7-25 DHCP Snooping配置组网图

2. 配置步骤

(1)      启动DHCP Snooping。

步骤1：在导航栏中选择“网络 > DHCP”。

步骤2：单击“DHCP Snooping”页签。

步骤3：如下图所示，选中DHCP Snooping“启动”前的单选按钮完成操作。

图7-26 启动DHCP Snooping

(2)      配置接口GigabitEthernet1/0/2的DHCP Snooping功能。

步骤1：在“接口设置”中单击GigabitEthernet1/0/2对应的图标。

步骤2：如下图所示，选中信任属性“信任”前的单选按钮。

步骤3：单击<确定>按钮完成操作。

图7-27 配置接口GigabitEthernet1/0/2的DHCP Snooping功能

(3)      配置接口GigabitEthernet1/0/1的DHCP Snooping功能。

步骤1：在“接口设置”中单击GigabitEthernet1/0/1对应的图标。

步骤2：进行如下配置，如下图所示。

·              选中信任属性“非信任”前的单选按钮。

·              选中添加Option 82选项“使能”前的单选按钮。

·              选择Option 82选项策略为“Replace”。

步骤3：单击<确定>按钮完成操作。

图7-28 配置接口GigabitEthernet1/0/1的DHCP Snooping功能

8 DNS

8.1  概述

域名系统（DNS，Domain Name System）是一种用于TCP/IP应用程序的分布式数据库，提供域名与IP地址之间的转换。通过域名系统，用户进行某些应用时，可以直接使用便于记忆的、有意义的域名，而由网络中的域名解析服务器将域名解析为正确的IP地址。

域名解析分为静态域名解析和动态域名解析，二者可以配合使用。在解析域名时，首先采用静态域名解析（查找静态域名解析表），如果静态域名解析不成功，再采用动态域名解析。由于动态域名解析可能会花费一定的时间，且需要域名服务器的配合，因而可以将一些常用的域名放入静态域名解析表中，这样可以大大提高域名解析效率。

1. 静态域名解析

静态域名解析就是手工建立域名和IP地址之间的对应关系。当用户使用域名进行某些应用（如Telnet应用）时，系统查找静态域名解析表，从中获取指定域名对应的IP地址。

2. 动态域名解析

·              动态域名解析是通过对域名服务器进行动态域名解析。

3. DNS代理

DNS代理（DNS proxy）用来在DNS client和DNS server之间转发DNS请求和应答报文，代替DNS client进行域名解析。

局域网内的DNS client把DNS proxy当作DNS server，将DNS请求报文发送给DNS proxy。DNS proxy将该请求报文转发到真正的DNS server，并将DNS server的应答报文返回给DNS client，从而实现域名解析。

使用DNS proxy功能后，当DNS server的地址发生变化时，只需改变DNS proxy上的配置，无需改变局域网内每个DNS client的配置，从而简化了网络管理。

8.2  DNS配置任务简介

1. 配置静态域名解析表

表8-1 静态域名解析表的配置步骤

2. 配置动态域名解析

表8-2 动态域名解析配置步骤

3. 配置设备为DNS代理

表8-3 配置设备为DNS代理的步骤

8.3  配置静态域名解析表

(1)      在导航栏中选择“网络> DNS”，默认进入“静态域名解析”页签的页面，如下图所示。

图8-1 静态域名解析

(2)      单击<新建>按钮，进入新建静态域名解析表项的配置页面，如下图所示。

图8-2 新建静态域名解析

(3)      配置静态域名解析表的信息，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表8-4 静态域名解析表的详细配置信息

8.4  启动动态域名解析

(1)      在导航栏中选择“网络 > DNS”。

(2)      单击“动态域名解析”页签，进入如下图所示的页面。

(3)      选中动态域名解析“启动”前的单选按钮。

(4)      单击<确定>按钮完成操作。

图8-3 动态域名解析

8.5  配置设备为DNS代理

(1)      在导航栏中选择“网络 > DNS”。

(2)      单击“动态域名解析”页签，进入如图8-3所示的页面。

(3)      选中DNS代理“启动”前的单选按钮。

(4)      单击<确定>按钮完成操作。

8.6  配置DNS服务器的IP地址

(1)      在导航栏中选择“网络 > DNS”。

(2)      单击“动态域名解析”页签，进入如图8-3所示的页面。

(3)      单击<添加IP地址>按钮，进入新建DNS服务器IP地址的页面，如下图所示。

(4)      在文本框中输入DNS服务器的IP地址。

(5)      单击<确定>按钮完成操作。

图8-4 新建DNS服务器IP地址

8.7  配置域名后缀

(1)      在导航栏中选择“网络 > DNS”。

(2)      单击“动态域名解析”页签，进入如图8-3所示的页面。

(3)      单击<添加域名后缀>按钮，进入新建DNS域名后缀的页面，如下图所示。

(4)      在文本框中输入DNS域名后缀。

(5)      单击<确定>按钮完成操作。

图8-5 新建DNS域名后缀

8.8  清空动态域名缓存区

(1)      在导航栏中选择“网络 > DNS”。

(2)      单击“动态域名解析”页签，进入如图8-3所示的页面。

(3)      选中“清空动态域名缓存区”前的复选框。

(4)      单击<确定>按钮完成操作。

8.9  DNS典型配置举例

1. 组网需求

为了避免记忆复杂的IP地址，AC希望通过便于记忆的域名访问某一主机。如果网络中存在DNS服务器，则可以利用动态域名解析功能，实现通过域名访问主机。

在本例中：

·              DNS服务器的IP地址是2.1.1.2/16，DNS服务器上存在com域，且com域中包含域名“host”和IP地址3.1.1.1/16的对应关系。

·              AC作为DNS客户端，使用动态域名解析功能，将域名解析为IP地址。

·              AC上配置域名后缀com，以便简化访问主机时输入的域名，例如通过输入host即可访问域名为host.com、IP地址为3.1.1.1/16的主机Host。

图8-6 DNS配置组网图

2. 配置DNS服务器

(1)      创建区域com。

步骤1：在开始菜单中，选择“程序 > 管理工具 > DNS”，进入域名服务器配置界面。

步骤2：如下图所示，右键点击“正向查找区域”，选择“新建区域”。

步骤3：按照提示创建新的区域com。

图8-7 创建区域

(2)      添加域名和IP地址的映射。

步骤1：如下图所示，右键点击区域com，选择“新建主机”，弹出新建主机的对话框。

图8-8 新建主机

步骤2：如下图所示，在新建主机的对话框中输入名称host和IP地址3.1.1.1。

步骤3：单击<添加主机>按钮完成操作。

图8-9 添加域名和IP地址的映射

3. 配置AC

(1)      启动动态域名解析功能。

步骤1：在导航栏中选择“网络 > DNS”。

步骤2：单击“动态域名解析”页签。

步骤3：如下图所示，选中动态域名解析“启动”前的单选按钮。

步骤4：单击<确定>按钮完成操作。

图8-10 使能动态域名解析功能

(2)      配置DNS服务器IP地址。

步骤1：单击<添加IP地址>按钮，进入新建DNS服务器IP地址的页面。

步骤2：如下图所示，输入DNS服务器IP地址为“2.1.1.2”。

步骤3：单击<确定>按钮完成操作。

图8-11 新建DNS服务器IP地址

(3)      配置域名后缀。

步骤1：单击<添加域名后缀>按钮，进入新建DNS域名后缀的页面。

步骤2：如下图所示，输入DNS域名后缀为“com”。

步骤3：单击<确定>按钮完成操作。

图8-12 新建DNS域名后缀

4. 配置结果验证

在AC上执行Ping主机名host的操作，可以ping通，且对应的目的地址为3.1.1.1。

步骤1：在导航栏中选择“网络 > 诊断工具”，进入“IPv4 Ping”页签的页面。

步骤2：输入目的主机名为“host”。

步骤3：单击<开始>按钮执行Ping操作。

步骤4：查看到如下图所示的Ping操作结果。

图8-13 Ping操作结果

9 服务管理

9.1  概述

服务管理模块提供了FTP、Telnet、SSH、SFTP、HTTP和HTTPS服务的使能管理功能，可以使用户只在需要使用相应的服务时使能服务，否则关闭服务。这样，可以提高系统的性能和设备的安全性，实现对设备的安全管理。

服务管理模块还提供了修改HTTP、HTTPS服务端口号的功能，以及设置将FTP、HTTP、HTTPS服务与ACL（Access Control List，访问控制列表）关联，只允许通过ACL过滤的客户端访问设备的功能，以减少非法用户对这些服务的攻击。

1. FTP服务

FTP（File Transfer Protocol，文件传输协议）协议在TCP/IP协议族中属于应用层协议，用于在远端服务器和本地客户端之间传输文件，是IP网络上传输文件的通用协议。

2. Telnet服务

Telnet协议在TCP/IP协议族中属于应用层协议，用于在网络中提供远程登录和虚拟终端的功能。

3. SSH服务

SSH是Secure Shell（安全外壳）的简称。用户通过一个不能保证安全的网络环境远程登录到设备时，SSH可以利用加密和强大的认证功能提供安全保障，保护设备不受诸如IP地址欺诈、明文密码截取等攻击。

4. SFTP服务

SFTP是Secure FTP的简称，是SSH 2.0中新增的功能。SFTP建立在SSH连接的基础之上，它使得远程用户可以安全地登录设备，进行文件管理和文件传送等操作，为数据传输提供了更高的安全保障。

5. HTTP服务

HTTP是Hypertext Transfer Protocol（超文本传输协议）的简称。它用来在Internet上传递Web页面信息。HTTP位于TCP/IP协议栈的应用层。

在设备上使能HTTP服务后，用户就可以通过HTTP协议登录设备，利用Web功能访问并控制设备。

6. HTTPS服务

HTTPS（Secure HTTP，安全的HTTP）是支持SSL（Secure Sockets Layer，安全套接层）协议的HTTP协议。

HTTPS通过SSL协议，从以下几方面提高了设备的安全性：

·              通过SSL协议保证合法客户端可以安全地访问设备，禁止非法的客户端访问设备；

·              客户端与设备之间交互的数据需要经过加密，保证了数据传输的安全性和完整性，从而实现了对设备的安全管理；

·              为设备制定基于证书属性的访问控制策略，对客户端的访问权限进行控制，进一步避免了非法客户对设备进行攻击。

9.2  配置服务管理

(1)      在导航栏中选择“网络 > 服务管理”，进入服务管理的配置页面，如下图所示。

图9-1 服务管理

(2)      配置各种服务的启用状态及相关参数，详细配置如下表所示。

(3)      单击<确定>按钮完成操作。

表9-1 服务管理的详细配置

10 诊断工具

10.1  概述

10.1.1  Ping

通过使用Ping工具，用户可以检查指定IP地址的设备是否可达，测试网络连接是否出现故障。

Ping的成功执行过程为：

(1)      源设备向目的设备发送ICMP回显请求（ECHO-REQUEST）报文。

(2)      目的设备在接收到该请求报文后，向源设备发送ICMP回显应答（ECHO-REPLY）报文。

(3)      源设备在收到该应答报文后，显示相关的统计信息。

Ping的输出信息分为以下几种情况：

·              Ping的执行对象可以是目的设备的IP地址或者主机名，如果该目的设备的主机名不可识别，则源设备上输出提示信息。

·              如果在超时时间内源设备没有收到目的设备回的ICMP回显应答报文，则输出提示信息和Ping过程报文的统计信息；如果在超时时间内源设备收到响应报文，则输出响应报文的字节数、报文序号、TTL（Time To Live，生存时间）、响应时间和Ping过程报文的统计信息。

Ping过程报文的统计信息包括发送报文个数、接收到响应报文个数、未响应报文数百分比、响应时间的最小值、平均值和最大值。

10.1.2  Trace Route

通过使用Trace Route工具，用户可以查看报文从源设备传送到目的设备所经过的三层设备。当网络出现故障时，用户可以使用该命令分析出现故障的网络节点。

Trace Route的执行过程为：

(1)      源设备发送一个TTL为1的报文给目的设备。

(2)      第一跳（即该报文所到达的第一个三层设备）回应一个TTL超时的ICMP报文（该报文中含有第一跳的IP地址），这样源设备就得到了第一个三层设备的地址。

(3)      源设备重新发送一个TTL为2的报文给目的设备。

(4)      第二跳回应一个TTL超时的ICMP报文，这样源设备就得到了第二个三层设备的地址。

(5)      以上过程不断进行，直到最终到达目的设备，源设备就得到了从它到目的设备所经过的所有三层设备的地址。

Trace Route的执行对象可以是目的设备的IP地址或者主机名，如果该目的设备的主机名不可识别，则源设备上输出提示信息。

10.2  Ping操作

10.2.1  IPv4 Ping

(1)      在导航栏中选择“网络 > 诊断工具”，默认进入“IPv4 Ping”页签的页面。

(2)      单击“高级设置”前的扩展按钮，可以展开IPv4 Ping操作高级参数的配置内容，如下图所示。

图10-1 IPv4 Ping

(3)      在“目的IP地址或主机名”文本框中输入目标设备的IPv4地址或者主机名。

(4)      根据具体需要设置IPv4 Ping操作的高级参数。

(5)      单击<开始>按钮开始执行Ping操作。

(6)      在“信息”框中会显示Ping操作的输出结果，如下图所示。

图10-2 IPv4 Ping操作结果

10.2.2  IPv6 Ping

(1)      在导航栏中选择“网络 > 诊断工具”。

(2)      默认进入“IPv6 Ping”页签的页面。

(3)      单击“高级设置”前的扩展按钮，可以展开IPv6 Ping操作高级参数的配置内容，如下图所示。

图10-3 IPv6 Ping

(4)      在“目的IPv6地址或主机名”文本框中输入目标设备的IPv6地址或者主机名。

(5)      根据具体需要设置IPv6 Ping操作的高级参数。

(6)      单击<开始>按钮开始执行Ping操作。

(7)      在“信息”框中会显示Ping操作的输出结果，如下图所示。

图10-4 IPv6 Ping操作结果

10.3  Trace Route操作

(1)      在导航栏中选择“网络 > 诊断工具”。

(2)      单击“Trace Route”页签，进入如下图所示的页面。

图10-5 Trace Route

(3)      在文本框中输入Trace Route操作的目的IP地址或者主机名。

(4)      单击<开始>按钮开始执行Trace Route操作。

(5)      在“信息”框中会显示Trace Route操作的输出结果，如下图所示。

图10-6 Trace Route操作结果