· 建议使用以下浏览器访问Web:Internet Explorer 8及以上版本、Firefox 4及以上版本、Chrome 10及以上版本、Safari 5.1及以上版本、Opera 11.11及以上版本。
· 使用的浏览器必须要设置能接受第一方Cookie(即来自站点的Cookie),并启用活动脚本(或JavaScript),才能正常访问Web。以上功能在不同浏览器中的名称及设置方法可能不同,请以实际情况为准。
· 使用Internet Explorer浏览器时,还必须启用以下两个功能,才能正常访问Web:对标记为可安全执行脚本的ActiveX控件执行脚本、运行ActiveX控件和插件。
· 更改设备的软件版本后,建议在登录Web页面之前先清除浏览器的缓存,以便正确地显示Web页面。
登录时请输入正确的用户名和密码。如果用户名输入错误,会造成登录失败;如果连续n次密码输入错误,设备将被锁定xx分钟或者被永久锁定,锁定期间不能再使用该用户名密码登录。设备允许连续输入的错误密码次数,以及锁定的时间可通过password-control login-attempt命令配置,具体配置请参见“安全配置指导”中的“Password Control”。
设备支持HTTP(Hypertext Transfer Protocol,超文本传输协议)和HTTPS(Hypertext Transfer Protocol Secure,超文本传输协议的安全版本)两种Web访问方式。
设备出厂时已经缺省启用了HTTP和HTTPS服务,并且设置有缺省的Web登录信息,用户可以直接使用缺省登录信息通过HTTP或HTTPS服务登录设备的Web界面。缺省的Web登录信息包括:
· 用户名:admin
· 密码:无
· 用户角色:network-admin
· 设备(Vlan-interface1)的IP地址:
如果设备没有接入网络或设备接入的网络中没有部署DHCP服务器,则缺省的IP地址就是设备上的标签所示的地址(如图1-1所示),该IP地址的掩码为255.255.0.0。
如果设备连入的网络中部署了DHCP服务器,则设备会自动从DHCP服务器获取IP地址。用户可以通过Console口登录到设备,并执行display ip interface brief命令,以查看设备当前的IP地址。
<Sysname>display ip interface brief
*down: administratively down
(s): spoofing (l): loopback
Interface Physical Protocol IP address VPN instance Description
Loop0 up up(s) -- -- --
MGE1/0/0/0 up up 192.168.2.105 -- --
MGE1/0/0/1 down down -- -- --
MGE1/0/0/2 down down -- -- --
MGE1/0/0/3 down down -- -- --
Tun1 down down -- -- --
Vlan2 down down 192.168.1.50 -- --
Vlan3 down down 10.1.1.2 -- --
采用缺省登录信息登录设备Web页面的步骤如下:
(2) 连接设备和PC
用以太网线将PC和设备上的以太网口(缺省情况下,所有端口均属于VLAN 1)相连。
(3) 为PC配置IP地址,保证其能与设备互通
通过查看设备标签或Console登录到设备执行display ip interface brief命令的方式获取设备当前的IP地址。将PC的IP地址设置为与设备IP地址在同一个网段。
(4) 启动浏览器
在PC上启动浏览器,在地址栏中输入设备地址,然后回车,进入设备的Web登录页面。通过HTTP方式访问Web时,输入的设备地址格式为“http://ip-address:80”(“http://”可以省略);通过HTTPS方式访问Web时,输入的设备地址格式为“https://ip-address:443”。其中,ip-address为设备的IP地址;80和443分别为HTTP服务和HTTPS服务的缺省端口号,可以省略。
(5) 输入登录信息
在登录页面中输入用户名admin,单击<登录>按钮即可登录Web。
(6) 修改登录信息
登录设备后,可以进入“网络 > IP > IP”页面修改设备的IP地址,通过点击页面左上角的“”按钮修改用户admin的密码,以提高安全性;还可以进入“设备 > 维护 > 管理员”页面创建新的用户,以方便对设备进行管理。
同时通过Web登录设备的最大用户数为32。
为保证设备的安全性,用户在Web上完成操作后应及时退出登录。
在Web页面上单击左上角的<退出>按钮,即可退出Web。
需要注意的是:
· 退出Web时,系统不会自动保存当前配置。因此,建议用户在退出Web前先点击页面左上方的“”按钮,或进入“设备 > 维护 > 配置文件”页面保存当前配置。
· 直接关闭浏览器不能使用户退出Web。
图2-1 Web页面布局
(1)标识和辅助区 |
(2)导航栏 |
(3)执行区 |
|
不同产品Web页面布局可能存在差异,请以实际产品为准。
如上图所示,Web页面有以下几个功能区域:
· 标识和辅助区:该区域用来显示公司Logo、设备名称、当前登录用户信息,并提供语言切换、更改登录用户密码、保存当前配置、退出登录功能。点击“”可以切换语言、更改登录用户密码;点击“ 可以保存当前配置;点击“”可以退出登录。
· 导航栏:以树的形式组织设备的Web功能菜单。用户在导航栏中可以方便的选择功能菜单,选择结果显示在执行区中。
· 执行区:进行配置操作、信息查看、操作结果显示的区域。
根据执行区内容的不同,Web页面分为特性页面、表项显示页面和配置页面三种。
如图2-2所示,特性页面显示了该特性包含的表项的统计信息、该特性支持的主要功能等。
图2-2 特性页面示意图
如图2-3所示,表项显示页面用来显示表项的具体信息。点击标题项(如“MAC地址”),可以根据该标题项对表项信息进行升序或降序排列。
如图2-4所示,配置页面用来完成某项配置任务,如添加、修改一条表项。某项配置任务需要的所有配置均可在该页面上完成,不需要在页面之间跳转,以方便用户使用。如图2-4所示,在配置包过滤策略时需要创建并关联ACL,在包过滤策略的配置页面上点击“”即可创建ACL,无需跳转到ACL的配置页面。
Web页面上常用的按钮、图标及其功能,如表2-1所示。
表2-1 Web常用按钮和图标
按钮和图标 |
功能说明 |
|
用于查看特性的联机帮助信息 |
|
用于查看某个功能或参数的在线帮助信息 |
|
点击该图标,可以进入下一级页面进行配置或查看当前配置信息 |
|
表项的统计计数 |
|
显示功能当前的开启/关闭状态,点击该按钮可以修改开启/关闭状态 |
|
用于刷新表项内容 |
|
· 表项显示页面上,用于添加一条表项 · 配置页面上,具有如下功能: ¡ 用于对当前表项的添加进行确认,并新增一条表项 ¡ 添加一个ACL或策略等,以避免配置过程中在页面之间进行跳转 |
|
在文本框中输入查询关键字,点击该按钮对表项进行简单查询 |
|
高级查询按钮,点击该按钮后可以输入多个条件对表项进行组合条件查询 |
|
表项显示页面上,将鼠标放在某一条表项上,将在表项的最右端显示该图标 该图标用于显示当前表项的详情。进入详情页面后,可以对该表项进行修改 |
|
表项显示页面上,将鼠标放在某一条表项上,将在表项的最右端显示该图标 该图标用于删除当前表项 |
|
表项显示页面上,选中一条或多条表项后,将在页面的最下端显示该图标 该图标用于删除被选中的一条或多条表项 |
|
用于选择显示表项中的哪些标题项 |
|
用于进入配置页面 |
Web页面上常用的操作包括保存当前配置、显示表项详情或修改表项设置、重启设备等。
对设备执行配置操作后,建议及时保存当前配置,以免配置丢失。保存当前配置的方法有以下两种:
· 点击页面左上方标识和辅助区内的“”按钮保存配置。
· 进入“设备 > 维护 > 配置文件”页面,保存配置。
在表项显示页面上,将鼠标放在某一条表项上,将在表项的最右端显示详情图标“”。点击该图标进入详情页面后,不仅可以显示表项的详细信息,还可以对该表项进行修改。
执行某些操作(如配置IRF)后,需要重启设备才能使配置生效。重启设备的方法为:进入“设备 > 维护 > 重启”页面,点击重启设备按钮。
在重启设备前,建议先保存当前配置,以免配置丢失。
用户登入设备WEB页面后,能够看到的页面导航内容、能够执行的操作与该用户的用户角色有关。所有配置操作的缺省用户角色要求为network-admin或mdc-admin。查看操作的缺省用户角色为所有角色。
用户角色为network-admin或mdc-admin的用户登录后,Web页面导航栏上的一级菜单包括概览、设备、网络、资源、QoS、安全、PoE、日志、无线AC和SmartMC。点击一级菜单,会展开子菜单,子菜单由分类和特性名称组成。依次点击“一级菜单—>特性名称”可以进入相应的Web页面对该特性进行配置。
显示系统日志、当前的CPU和内存利用率以及设备的序列号、硬件版本等系统信息。
设备菜单包含的特性及其支持的功能如表3-1所示。
分类 |
特性名称 |
功能 |
维护 |
系统设置 |
· 设置设备的信息,包括名称、位置和联系方式 · 查看和配置系统时间,包括手工指定和通过协议同步网络时间(用户登录缺省MDC后,可以查看和配置系统时间;登录非缺省MDC后,只能查看系统时间,不能配置系统时间) |
管理员 |
· 创建、修改、删除角色 · 创建、修改、删除管理员,并指定管理员对应的角色,以控制管理员的访问权限 · 管理密码 |
|
配置文件 |
· 保存当前配置 · 导入/导出配置 · 查看当前配置 · 将设备恢复到出厂配置 |
|
软件更新 |
· 升级系统软件 · 查看系统软件列表,包括设备本地启动使用的软件列表、下次启动将使用的主用软件列表和备用软件列表 |
|
诊断 |
收集诊断信息,用于定位问题 |
|
重启 |
· 重启设备 · 重启成员设备 |
|
关于 |
显示设备的基本信息,比如:设备名称、序列号、版本信息、电子标签、法律声明等 |
|
虚拟化 |
· 组建IRF,包括配置设备的成员编号、优先级、域编号、绑定IRF端口、激活IRF端口配置等 · 查看IRF的拓扑信息 |
网络菜单包含的特性及其支持的功能如表3-2所示。
分类 |
特性名称 |
功能 |
接口 |
接口 |
· 查看设备支持的接口列表以及接口的主要属性(状态、IP地址、速率、双工模式、描述) · 删除逻辑接口、创建子接口、启用/禁用接口等 · 流量统计 |
链路聚合 |
创建、修改、删除二层聚合组和三层聚合组 |
|
风暴抑制 |
· 设置流量统计时间间隔 · 设置流量控制参数 · 显示接口流量控制信息 |
|
端口隔离 |
· 创建、修改隔离组 |
|
链路 |
VLAN |
· 基于端口划分VLAN · 创建VLAN接口 |
MAC |
· 创建和删除静态MAC地址表项、动态MAC地址表项和黑洞MAC地址表项 · 显示已有的MAC地址表项 |
|
STP |
· 全局和接口开启/关闭STP功能 · 配置STP、RSTP、PVST和MSTP工作模式 · 配置实例优先级 · 配置多生成树域 |
|
LLDP |
· 开启/关闭LLDP功能 · 修改LLDP工作模式 · 修改接口模式 · 配置LLDP发送的TLV类型 |
|
DHCP Snooping |
· 配置端口为信任或非信任端口 · 配置DHCP Snooping表项记录功能和表项备份机制 · DHCP Snooping端口设置,包括MAC地址检查、请求方向报文检查、接受DHCP报文限速和DHCP Snooping表项最大学习数 · 配置接口是否开启 Option 82功能。若开启该功能,则可以配置Option 82的处理方式,填充模式和填充内容 |
|
IP |
IP |
· 配置接口IP地址获取方式(DHCP或者手工配置) · 修改接口的IP地址和MTU值 · 创建LoopBack接口 |
ARP |
· 管理静态、动态ARP表项 · 配置ARP代理 · 配置免费ARP · 配置ARP攻击防御 |
|
DNS |
· 配置静态、动态域名解析 · 配置DNS代理 · 配置域名后缀 |
|
IPv6 |
IPv6 |
· 配置接口IPv6地址获取方式(手工指定、自动获取或自动生成) · 修改接口的IPv6地址 · 创建Loopback接口 |
ND |
· 管理静态、动态ND表项 · 配置STALE状态ND表项老化时间 · 配置链路本地ND表项资源占用最小化 · 配置跳数限制 · 配置RA前缀,包括前缀及长度,有效生命期和首选生命期等 · 配置接口的RA规则,包括是否抑制RA报文,RA报文最大和最小发布间隔,是否携带MTU选项,是否指定跳数限制,是否设置被管理地址标志位,是否设置其他信息标志位,路由器生存时间,邻居请求重传间隔,路由器优先级和保持邻居可达时间 · 在接口上开启普通ND代理和本地ND代理 · 设置接口的ND规则,包括动态表项数量限制和重复地址检测请求次数 |
|
DNS |
· 配置静态、动态IPv6域名解析 · 配置IPv6 DNS代理 · 配置IPv6域名后缀 |
|
镜像 |
端口镜像 |
· 配置本地镜像组 · 配置远程镜像组 |
路由 |
路由表 |
查看IPv4和IPv6路由表项,包括路由表的概要信息和统计信息 |
静态路由 |
· 查看IPv4和IPv6静态路由表项 · 创建、修改和删除IPv4、IPv6静态路由表项 |
|
RIP |
· 创建、修改和删除RIP实例 · 引入外部路由 · 配置接口运行的RIP版本 · 配置接口的验证方式 |
|
策略路由 |
· 创建、修改、删除IPv4策略路由和IPv6策略路由 · 对接口转发的报文应用策略 · 对本地发送的报文应用策略 |
|
组播 |
IGMP Snooping |
· 配置丢弃未知组播数据报文功能 · 配置IGMP查询器相关功能 · 配置端口快速离开功能 · 限制端口加入的组播组数量 |
MLD Snooping |
· 配置丢弃未知IPv6组播数据报文功能 · 配置MLD查询器相关功能 · 配置端口快速离开功能 · 限制端口加入的IPv6组播组数量 |
|
服务 |
DHCP |
· DHCP服务器功能 ¡ 配置DHCP服务 ¡ 配置接口工作在DHCP服务器模式 ¡ 配置DHCP地址池 ¡ 配置IP地址冲突检测功能 · DHCP中继功能 ¡ 配置DHCP服务 ¡ 配置接口工作在DHCP中继模式,指定对应的DHCP服务器地址 · 配置是否记录DHCP中继表项,中继表项定时刷新功能和刷新时间间隔 |
HTTP/HTTPS |
· 启用/禁用设备HTTP/HTTPS登录功能 · 配置登录用户连接的空闲超时时间 · 配置HTTP/HTTPS的服务端口号 · 使用ACL过滤登录用户 |
|
FTP |
· 开启FTP服务器功能 · 配置设备发送的FTP报文的DSCP优先级 · 使用ACL过滤FTP用户 · 配置FTP连接的空闲超时时间 |
|
Telnet |
· 启用/禁用设备Telnet登录功能 · 配置IPv4/IPv6 Telnet报文的DSCP优先级 · 使用ACL过滤登录用户 |
|
NTP |
配置本地时钟作为参考时钟 |
资源菜单包含的特性及其支持的功能如表3-3所示。
分类 |
特性名称 |
功能 |
ACL |
IPv4 |
· 创建基本或高级IPv4 ACL、基本或高级IPv6 ACL、二层ACL和用户自定义ACL · 修改、删除在本页面和其他业务模块(如包过滤)页面创建的ACL |
IPv6 |
||
二层 |
||
用户自定义 |
||
时间段 |
时间段 |
创建、修改和删除时间段 |
QoS菜单包含的特性及其支持的功能如表3-4所示。
表3-4 QoS菜单包含的特性及其支持的功能
分类 |
特性名称 |
功能 |
QoS |
QoS 策略 |
创建、修改和删除基于接口的QoS策略、基于VLAN的QoS策略和基于全局的QoS策略 |
硬件队列 |
修改接口硬件队列设置 |
|
优先级映射 |
· 配置端口优先级和端口优先级信任模式 · 配置优先级映射表,包括应用和重置802.1p优先级到本地优先级映射表、DSCP到802.1p优先级映射表和DSCP到DSCP映射表 |
|
限速 |
创建、修改和删除接口限速 |
安全菜单包含的特性及其支持的功能如表3-5所示。
分类 |
特性名称 |
功能 |
包过滤 |
包过滤 |
· 创建、修改和删除基于接口的包过滤、基于VLAN的包过滤和基于全局的包过滤 · 配置包过滤缺省动作 |
认证 |
ISP 域 |
配置ISP域 |
RADIUS |
配置RADIUS方案 |
|
本地认证 |
配置本地用户 |
日志菜单包含的特性及其支持的功能如表3-6所示。
分类 |
特性名称 |
功能 |
日志 |
系统日志 |
· 查看设备记录的日志信息 · 查询、统计、删除日志信息 |
设置 |
· 开启或关闭日志输出到日志缓冲区的功能,并配置日志缓冲区可存储的信息条数 · 配置日志主机的地址(或域名)、端口号 |
点击SmartMC菜单,浏览器会跳转到SmartMC功能的管理页面。
SmartMC页面包含的特性及其支持的功能如表3-7所示。
表3-7 SmartMC页面的特性及其支持的功能
分类 |
特性名称 |
功能 |
SmartMC |
配置向导 |
配置管理设备 |
智能管理 |
· 配置设备角色 · 配置SmartMC网络拓扑收集时间间隔 · 配置FTP服务器 · 配置SmartMC网络的出接口 · 配置自动链路聚合功能 · 关闭SmartMC功能 |
|
智能运维 |
· SmartMC组配置 · 升级成员设备的启动软件和配置文件 · 备份成员设备的配置文件 · 为成员设备创建VLAN · 向成员设备批量下发配置 · 端口智能识别 · 资源监控 · 替换故障成员设备 |
|
可视化 |
· SmartMC网络拓扑管理 · 自定义设备类型 |
|
智能业务 |
用户管理 |
点击无线AC菜单,浏览器会跳转到无线AC的概览页面。
系统设置功能用来对设备的名称、位置等信息以及系统时间进行设置。
为了便于管理,并保证与其它设备协调工作,设备需要准确的系统时间。
系统时间的获取方式有:
· 手工配置。用户手工指定的时间即为当前的系统时间,不管是否同时修改了时区和夏令时。后续,设备使用内部晶体震荡器产生的时钟信号计时。如果用户没有手工配置系统时间,仅修改了时区或夏令时,设备会使用新时区和夏令时来调整系统时间。
· 自动同步。设备使用协议周期性地同步服务器的UTC(Coordinated Universal Time,国际协调时间)时间,并用同步得到的UTC时间和设备上配置的时区、夏令时参数进行运算,得出当前的系统时间。如果用户修改了时区或夏令时,设备会重新计算系统时间。该方式获取的时间比手工配置的时间更精准,推荐使用。
全球分为24个时区。请将设备的时区配置为当地地理时区。
在执行夏令时制的国家/地区需要配置夏令时。夏令时会相对非夏令时提前1小时,开始时间、结束时间和您所处国家/地区的夏令时要求一致即可。(如果夏令时开始时刻到达时,页面显示的系统时间没有加一,请刷新页面查看效果)
· 物理设备上创建的所有虚拟设备(即MDC)使用同一系统时间。配置自动同步时,用户可选择通过某个MDC获取时间。
· 用户登录缺省MDC后,可以查看和配置系统时间;登录非缺省MDC后,只能查看系统时间,不能配置系统时间。
NTP(Network Time Protocol,网络时间协议)可以用来在分布式时间服务器和客户端之间进行时间同步,使网络内所有设备的时间保持一致,从而使设备能够提供基于统一时间的多种应用。
SNTP(Simple NTP,简单NTP)采用与NTP相同的报文格式及交互过程,但简化了NTP的时间同步过程,以牺牲时间精度为代价实现了时间的快速同步,并减少了占用的系统资源。在时间精度要求不高的情况下,可以使用SNTP来实现时间同步。
NTP支持服务器模式和对等体模式两种时钟源工作模式,如表4-1所示。在服务器模式中,设备只能作为客户端;在对等体模式中,设备只能作为主动对等体。
SNTP只支持服务器模式这一种时钟源工作模式。在该模式中,设备只能作为客户端,从NTP服务器获得时间同步,不能作为服务器为其他设备提供时间同步。
表4-1 NTP时钟源工作模式
模式 |
工作过程 |
时间同步方向 |
应用场合 |
服务器模式 |
客户端上需要手工指定NTP服务器的地址。客户端向NTP服务器发送NTP时间同步报文。NTP服务器收到报文后会自动工作在服务器模式,并回复应答报文 一个客户端可以配置多个时间服务器,如果客户端从多个时间服务器获取时间同步,则客户端收到应答报文后,进行时钟过滤和选择,并与优选的时钟进行时间同步 |
客户端能够与NTP服务器的时间同步 NTP服务器无法与客户端的时间同步 |
该模式通常用于下级的设备从上级的时间服务器获取时间同步 |
对等体模式 |
主动对等体(Symmetric active peer)上需要手工指定被动对等体(Symmetric passive peer)的地址。主动对等体向被动对等体发送NTP时间同步报文。被动对等体收到报文后会自动工作在被动对等体模式,并回复应答报文 如果主动对等体可以从多个时间服务器获取时间同步,则主动对等体收到应答报文后,进行时钟过滤和选择,并与优选的时钟进行时间同步 |
主动对等体和被动对等体的时间可以互相同步 如果双方的时钟都处于同步状态,则层数大的时钟与层数小的时钟的时间同步 |
该模式通常用于同级的设备间互相同步,以便在同级的设备间形成备份。如果某台设备与所有上级时间服务器的通信出现故障,则该设备仍然可以从同级的时间服务器获得时间同步 |
NTP/SNTP时钟源身份验证功能可以用来验证接收到的NTP报文的合法性。只有报文通过验证后,设备才会接收该报文,并从中获取时间同步信息;否则,设备会丢弃该报文。从而,保证设备不会与非法的时间服务器进行时间同步,避免时间同步错误。
管理员通过SSH、Telnet、FTP、终端接入(即从Console口、AUX口、Async口接入)方式登录到设备上之后,可以对设备进行配置和管理。对登录用户的管理和维护主要涉及以下几个部分:
· 帐户管理:对用户的基本信息(用户名、密码)以及相关属性的管理。
· 角色管理:对用户可执行的系统功能以及可操作的系统资源权限的管理。
· 密码管理:对用户登录密码的设置、老化、更新以及用户登录状态等方面的管理。
为使请求某种服务的用户可以成功登录设备,需要在设备上添加相应的帐户。所谓用户,是指在设备上设置的一组用户属性的集合,该集合以用户名唯一标识。一个有效的用户条目中可包括用户名、密码、角色、可用服务、密码管理等属性。
对登录用户权限的控制,是通过为用户赋予一定的角色来实现。一个角色中定义了允许用户执行的系统功能以及可操作的系统资源,具体实现如下:
· 通过角色规则实现对系统功能的操作权限的控制。
· 通过资源控制策略实现对系统资源(接口、VLAN)的操作权限的控制。
一个角色中可以包含多条规则,规则定义了允许/禁止用户操作某类实体的权限。
对于登录Web页面的用户,系统实际支持的实体类型仅为Web菜单。Web菜单是指通过Web对设备进行配置时,各配置页面以Web菜单的形式组织,按照层次关系,形成多级菜单的树形结构。
基于Web菜单的规则用来控制指定的Web菜单选项是否允许被操作。因为菜单项中的操作控件具有相应的读,写或执行属性,所以定义基于Web菜单的规则时,可以精细地控制菜单项中读、写或执行控件的操作。
· 读权限:可查看指定菜单的配置信息和维护信息。
· 写权限:可配置指定菜单的相关功能和参数。
· 执行权限:可执行指定菜单的特定控件操作的功能,如Ping操作。
资源控制策略规定了用户对系统资源的操作权限。对于登录Web页面的用户而言,对接口/VLAN/VRF的操作是指创建接口/VLAN/VRF、配置接口/VLAN/VRF的属性、删除接口/VLAN/VRF和应用接口/VLAN/VRF。
资源控制策略需要与角色规则相配合才能生效。
系统预定义了多种角色,这些角色缺省均具有操作所有系统资源的权限,但具有不同的系统功能操作权限。如果系统预定义的用户角色无法满足权限管理需求,管理员还可以自定义用户角色来对用户权限做进一步控制。
系统预定义的安全日志管理员(security-audit)角色,仅具有安全日志菜单的读、写、执行权限。由于目前Web页面不支持安全日志菜单,请不要赋予用户安全日志管理员角色。
根据用户登录方式的不同,为用户授权角色分为以下两类:
· 对于通过本地AAA认证登录设备的用户,由本地用户配置决定为其授权的用户角色。
· 对于通过AAA远程认证登录设备的用户,由AAA服务器的配置决定为其授权的用户角色。
将有效的角色成功授权给用户后,登录设备的用户才能以各角色所具有的权限来配置、管理或者监控设备。如果用户没有被授权任何角色,将无法成功登录设备。
一个用户可同时拥有多个角色。拥有多个角色的用户可获得这些角色中被允许执行的功能以及被允许操作的资源的集合。
为了提高用户登录密码的安全性,可通过定义密码管理策略对用户的登录密码进行管理,并对用户的登录状态进行控制。
管理员可以限制用户密码的最小长度。当设置用户密码时,如果输入的密码长度小于设置的最小长度,系统将不允许设置该密码。
管理员可以设置用户密码的组成元素的组合类型,以及至少要包含每种元素的个数。密码的组成元素包括以下4种类型:
· [A~Z]
· [a~z]
· [0~9]
· 32个特殊字符(空格~`!@#$%^&*()_+-={}|[]\:”;’<>,./)
密码元素的组合类型有4种,具体涵义如下:
· 组合类型为1表示密码中至少包含1种元素;
· 组合类型为2表示密码中至少包含2种元素;
· 组合类型为3表示密码中至少包含3种元素;
· 组合类型为4表示密码中包含4种元素。
当用户设置密码时,系统会检查设定的密码是否符合配置要求,只有符合要求的密码才能设置成功。
为确保用户的登录密码具有较高的复杂度,要求管理员为其设置的密码必须符合一定的复杂度要求,只有符合要求的密码才能设置成功。目前,可配置的复杂度要求包括:
· 密码中不能包含连续三个或以上的相同字符。例如,密码“a111”就不符合复杂度要求。
· 密码中不能包含用户名或者字符顺序颠倒的用户名。例如,用户名为“abc”,那么“abc982”或者“2cba”之类的密码就不符合复杂度要求。
管理员可以设置用户登录设备后修改自身密码的最小间隔时间。当用户登录设备修改自身密码时,如果距离上次修改密码的时间间隔小于配置值,则系统不允许修改密码。例如,管理员配置用户密码更新间隔时间为48小时,那么用户在上次修改密码后的48小时之内都无法成功进行密码修改操作。
有两种情况下的密码更新并不受该功能的约束:用户首次登录设备时系统要求用户修改密码;密码老化后系统要求用户修改密码。
当用户登录密码的使用时间超过老化时间后,需要用户更换密码。如果用户输入的新密码不符合要求,或连续两次输入的新密码不一致,系统将要求用户重新输入。对于FTP用户,密码老化后,只能由管理员修改FTP用户的密码;对于Telnet、SSH、Terminal(通过Console口或AUX口登录设备)用户可自行修改密码。
在用户登录时,系统判断其密码距离过期的时间是否在设置的提醒时间范围内。如果在提醒时间范围内,系统会提示该密码还有多久过期,并询问用户是否修改密码。如果用户选择修改,则记录新的密码及其设定时间。如果用户选择不修改或者修改失败,则在密码未过期的情况下仍可以正常登录。对于FTP用户,只能由管理员修改FTP用户的密码;对于Telnet、SSH、Terminal(通过Console口或AUX口登录设备)用户可自行修改密码。
管理员可以设置用户密码过期后在指定的时间内还能登录设备指定的次数。这样,密码老化的用户不需要立即更新密码,依然可以登录设备。例如,管理员设置密码老化后允许用户登录的时间为15天、次数为3次,那么用户在密码老化后的15天内,还能继续成功登录3次。
系统保存用户密码历史记录。当用户修改密码时,系统会要求用户设置新的密码,如果新设置的密码以前使用过,且在当前用户密码历史记录中,系统将给出错误信息,提示用户密码更改失败。另外,用户更改密码时,系统会将新设置的密码逐一与所有记录的历史密码以及当前密码比较,要求新密码至少要与旧密码有4字符不同,且这4个字符必须互不相同,否则密码更改失败。
可以配置每个用户密码历史记录的最大条数,当密码历史记录的条数超过配置的最大历史记录条数时,新的密码历史记录将覆盖该用户最老的一条密码历史记录。
由于为用户配置的密码在哈希运算后以密文的方式保存,配置一旦生效后就无法还原为明文密码,因此,用户的当前登录密码,不会被记录到该用户的密码历史记录中。
密码尝试次数限制可以用来防止恶意用户通过不断尝试来破解密码。
每次用户认证失败后,系统会将该用户加入密码管理的黑名单。可加入密码管理功能黑名单的用户包括:FTP用户和通过VTY方式访问设备的用户。不会加入密码管理功能黑名单的用户包括:用户名不存在的用户、通过Console口或AUX口连接到设备的用户。
当用户连续尝试认证的失败累加次数达到设置的尝试次数时,系统对用户的后续登录行为有以下三种处理措施:
· 永久禁止该用户登录。只有管理员把该用户从密码管理的黑名单中删除后,该用户才能重新登录。
· 禁止该用户一段时间后,再允许其重新登录。当配置的禁止时间超时或者管理员将其从密码管理的黑名单中删除,该用户才可以重新登录。
· 不对该用户做禁止,允许其继续登录。在该用户登录成功后,该用户会从密码管理的黑名单中删除。
管理员可以限制用户帐号的闲置时间,禁止在闲置时间之内始终处于不活动状态的用户登录。若用户自从最后一次成功登录之后,在配置的闲置时间内再未成功登录过,那么该闲置时间到达之后此用户帐号立即失效,系统不再允许使用该帐号的用户登录。
IRF(Intelligent Resilient Framework,智能弹性架构)是一种软件虚拟化技术。它的核心思想是将多台设备连接在一起,进行必要的配置后,虚拟化成一台设备。使用这种虚拟化技术可以集合多台设备的硬件资源和软件处理能力,实现多台设备的协同工作、统一管理和不间断维护。
IRF在网络中作为一个节点运行,能够简化网络拓扑、方便用户管理和维护。用户从任意成员设备的接口登录并配置IRF,IRF会将这些配置同步到所有成员设备,从而保证所有成员设备配置的一致性。
IRF虚拟化技术涉及如下基本概念:
IRF中每台设备都称为成员设备。成员设备按照功能不同,分为两种角色:
· 主用设备(简称为主设备):负责管理和控制整个IRF。
· 从属设备(简称为从设备):处理业务、转发报文的同时作为主设备的备份设备运行。当主设备故障时,系统会自动从从设备中选举一个新的主设备接替原主设备工作。
主设备和从设备均由角色选举产生。一个IRF中同时只能存在一台主设备,其它成员设备都是从设备。
成员编号是设备在IRF中的标识,IRF通过成员编号来管理成员设备。请先修改成员编号并确保编号在IRF中唯一,再加入IRF。否则,该设备不能加入IRF。修改后的成员编号,需要手工重启本设备后生效。
成员优先级是成员设备的一个属性,主要用于角色选举过程中确定成员设备的角色。优先级越高当选为主设备的可能性越大。
一种专用于IRF成员设备之间进行连接的逻辑接口,每台成员设备上有IRF-Port1和IRF-Port2。它需要和物理端口绑定之后才能生效。
与IRF端口绑定,用于IRF成员设备之间进行连接的物理接口。IRF物理端口用来转发IRF相关协商报文以及需要跨成员设备转发的业务报文。一个IRF端口可绑定多个IRF物理端口。
为了适应各种组网应用,同一个网络里可以部署多个IRF,IRF之间使用域编号以示区别。
由于IRF链路故障,导致IRF中相邻成员设备不连通,一个IRF变成两个或多个IRF,这个过程称为IRF分裂。
分裂的IRF通过修复链路故障重新组成IRF,或两个独立的IRF通过物理连接和必要的配置组成一个IRF,这个过程称为IRF合并。
以太网链路聚合通过将多条以太网物理链路捆绑在一起形成一条以太网逻辑链路,实现增加链路带宽的目的,同时这些捆绑在一起的链路通过相互动态备份,可以有效地提高链路的可靠性。
链路捆绑是通过接口捆绑实现的,多个以太网接口捆绑在一起后形成一个聚合组,而这些被捆绑在一起的以太网接口就称为该聚合组的成员端口。每个聚合组唯一对应着一个逻辑接口,称为聚合接口。聚合组与聚合接口的编号是相同的,例如聚合组1对应于聚合接口1。
聚合组/聚合接口可以分为以下两种类型:
· 二层聚合组/二层聚合接口:二层聚合组的成员端口全部为二层以太网接口,其对应的聚合接口称为二层聚合接口。
· 三层聚合组/三层聚合接口:三层聚合组的成员端口全部为三层以太网接口,其对应的聚合接口称为三层聚合接口。
聚合接口的速率和双工模式取决于对应聚合组内的选中端口:聚合接口的速率等于所有选中端口的速率之和,聚合接口的双工模式则与选中端口的双工模式相同。
聚合组内的成员端口具有以下两种状态:
· 选中(Selected)状态:此状态下的成员端口可以参与数据的转发,处于此状态的成员端口称为“选中端口”。
· 非选中(Unselected)状态:此状态下的成员端口不能参与数据的转发,处于此状态的成员端口称为“非选中端口”。
操作Key是系统在进行链路聚合时用来表征成员端口聚合能力的一个数值,它是根据成员端口上的一些信息(包括该端口的速率、双工模式等)的组合自动计算生成的,这个信息组合中任何一项的变化都会引起操作Key的重新计算。在同一聚合组中,所有的选中端口都必须具有相同的操作Key。
属性类配置:包含的配置内容如表5-1所示。在聚合组中,只有与对应聚合接口的属性类配置完全相同的成员端口才能够成为选中端口。
配置项 |
内容 |
端口隔离 |
端口是否加入隔离组、端口所属的端口隔离组 |
VLAN配置 |
端口上允许通过的VLAN、端口缺省VLAN、VLAN报文是否带Tag配置 |
链路聚合分为静态聚合和动态聚合两种模式,处于静态聚合模式下的聚合组称为静态聚合组,处于动态聚合模式下的聚合组称为动态聚合组。
静态聚合和动态聚合工作时首先要选取参考端口,之后再确定成员端口的状态。
(1) 选择参考端口
参考端口从本端的成员端口中选出,其操作Key和属性类配置将作为同一聚合组内的其他成员端口的参照,只有操作Key和属性类配置与参考端口一致的成员端口才能被选中。
对于聚合组内处于up状态的端口,按照端口的高端口优先级->全双工/高速率->全双工/低速率->半双工/高速率->半双工/低速率的优先次序,选择优先次序最高、且属性类配置与对应聚合接口相同的端口作为参考端口;如果多个端口优先次序相同,首先选择原来的选中端口作为参考端口;如果此时多个优先次序相同的端口都是原来的选中端口,则选择其中端口号最小的端口作为参考端口;如果多个端口优先次序相同,且都不是原来的选中端口,则选择其中端口号最小的端口作为参考端口。
(2) 确定成员端口状态
动态聚合模式通过LACP(Link Aggregation Control Protocol,链路聚合控制协议)协议实现,动态聚合组内的成员端口可以收发LACPDU(Link Aggregation Control Protocol Data Unit,链路聚合控制协议数据单元),本端通过向对端发送LACPDU通告本端的信息。当对端收到该LACPDU后,将其中的信息与所在端其他成员端口收到的信息进行比较,以选择能够处于选中状态的成员端口,使双方可以对各自接口的选中/非选中状态达成一致。
(1) 选择参考端口
参考端口从聚合链路两端处于up状态的成员端口中选出,其操作Key和属性类配置将作为同一聚合组内的其他成员端口的参照,只有操作Key和属性类配置与参考端口一致的成员端口才能被选中。
· 首先,从聚合链路的两端选出设备ID(由系统的LACP优先级和系统的MAC地址共同构成)较小的一端:先比较两端的系统LACP优先级,优先级数值越小其设备ID越小;如果优先级相同再比较其系统MAC地址,MAC地址越小其设备ID越小。
· 其次,对于设备ID较小的一端,再比较其聚合组内各成员端口的端口ID(由端口优先级和端口的编号共同构成):先比较端口优先级,优先级数值越小其端口ID越小;如果优先级相同再比较其端口号,端口号越小其端口ID越小。端口ID最小、且属性类配置与对应聚合接口相同的端口作为参考端口。
(2) 确定成员端口的状态
在设备ID较小的一端,动态聚合组内成员端口状态的确定流程如图5-2所示
与此同时,设备ID较大的一端也会随着对端成员端口状态的变化,随时调整本端各成员端口的状态,以确保聚合链路两端成员端口状态的一致。
静态聚合和动态聚合的优点分别为:
· 静态聚合模式:一旦配置好后,端口的转发流量的状态就不会受网络环境的影响,比较稳定。
· 动态聚合模式:能够根据对端和本端的信息调整端口的转发流量的状态,比较灵活。
风暴抑制用于控制以太网上的报文风暴。配置该功能后,系统会按照配置的时间间隔统计端口收到的未知单播/组播/广播报文流量。如果某类报文流量超过上限阈值,系统会执行相应的控制动作,以及决定是否输出Trap和日志。控制动作包括:
· 无:在端口上不执行任何动作。
· 阻塞端口:端口将暂停转发该类报文(其它类型报文照常转发),端口处于阻塞状态,但仍会统计该类报文的流量。当该类报文的流量小于其下限阈值时,端口将自动恢复对此类报文的转发。
· 关闭端口:端口将被关闭,系统停止转发所有报文。当该类报文的流量小于其下限阈值时,端口状态不会自动恢复,需要手工启用接口或取消端口上流量阈值的配置来恢复。
为了实现端口间的二层隔离,可以将不同的端口加入不同的VLAN,但VLAN资源有限。采用端口隔离特性,用户只需要将端口加入到隔离组中,就可以实现隔离组内端口之间二层隔离,而不关心这些端口所属VLAN,从而节省VLAN资源。
隔离组内的端口与未加入隔离组的端口之间二层流量双向互通。
VLAN(Virtual Local Area Network,虚拟局域网)技术可以把一个物理LAN划分成多个逻辑的LAN——VLAN,每个VLAN是一个广播域。处于同一VLAN的主机能够直接互通,而处于不同VLAN的主机不能够直接互通。
VLAN可以基于端口进行划分。它按照设备端口来定义VLAN成员,将指定端口加入到指定VLAN中之后,端口就可以转发该VLAN的报文。
在某VLAN内,可根据需要配置端口加入Untagged端口列表或Tagged端口列表(即配置端口为Untagged端口或Tagged端口),从Untagged端口发出的该VLAN报文不带VLAN Tag,从Tagged端口发出的该VLAN报文带VLAN Tag。
端口的链路类型分为三种。在端口加入某VLAN时,对不同链路类型的端口加入的端口列表要求不同:
· Access:端口只能发送一个VLAN的报文,发出去的报文不带VLAN Tag。该端口只能加入一个VLAN的Untagged端口列表。
· Trunk:端口能发送多个VLAN的报文,发出去的端口缺省VLAN的报文不带VLAN Tag,其他VLAN的报文都必须带VLAN Tag。在端口缺省VLAN中,该端口只能加入Untagged端口列表;在其他VLAN中,该端口只能加入Tagged端口列表。
· Hybrid:端口能发送多个VLAN的报文,端口发出去的报文可根据需要配置某些VLAN的报文带VLAN Tag,某些VLAN的报文不带VLAN Tag。在不同VLAN中,该端口可以根据需要加入Untagged端口列表或Tagged端口列表。
不同VLAN间的主机不能直接通信,通过设备上的VLAN接口,可以实现VLAN间的三层互通。VLAN接口是一种三层的虚拟接口,它不作为物理实体存在于设备上。每个VLAN对应一个VLAN接口,VLAN接口的IP地址可作为本VLAN内网络设备的网关地址,对需要跨网段的报文进行基于IP地址的三层转发。
MAC(Media Access Control,媒体访问控制)地址表记录了MAC地址与接口的对应关系,以及接口所属的VLAN等信息。设备在转发报文时,根据报文的目的MAC地址查询MAC地址表,如果MAC地址表中包含与报文目的MAC地址对应的表项,则直接通过该表项中的出接口转发该报文;如果MAC地址表中没有包含报文目的MAC地址对应的表项时,设备将采取广播的方式通过对应VLAN内除接收接口外的所有接口转发该报文。
MAC地址表项分为以下几种:
· 动态MAC地址表项:可以由用户手工配置,也可以由设备通过源MAC地址学习自动生成,用于目的是某个MAC地址的报文从对应接口转发出去,表项有老化时间。手工配置的动态MAC地址表项优先级等于自动生成的MAC地址表项。
· 静态MAC地址表项:由用户手工配置,用于目的是某个MAC地址的报文从对应接口转发出去,表项不老化。静态MAC地址表项优先级高于自动生成的MAC地址表项。
· 黑洞MAC地址表项:由用户手工配置,用于丢弃源MAC地址或目的MAC地址为指定MAC地址的报文(例如,出于安全考虑,可以禁止某个用户发送和接收报文),表项不老化。
· 多端口单播MAC地址表项:由用户手工配置,用于目的是某个单播MAC地址的报文从多个接口复制转发出去,表项不老化。多端口单播MAC地址表项优先级高于自动生成的MAC地址表项。
· 安全服务MAC地址表项:可以由用户手工配置,也可以由设备通过源MAC地址学习自动生成,用于转发指定MAC地址的报文,表项不老化。
MAC地址表中自动生成的表项并非永远有效,每一条表项都有一个生存周期,这个生存周期被称作老化时间。配置动态MAC地址表项的老化时间后,超过老化时间的动态MAC地址表项会被自动删除,设备将重新进行MAC地址学习,构建新的动态MAC地址表项。如果在到达生存周期前某表项被刷新,则重新计算该表项的老化时间。
用户配置的老化时间过长或者过短,都可能影响设备的运行性能:
· 如果用户配置的老化时间过长,设备可能会保存许多过时的MAC地址表项,从而耗尽MAC地址表资源,导致设备无法根据网络的变化更新MAC地址表。
· 如果用户配置的老化时间太短,设备可能会删除有效的MAC地址表项,导致设备广播大量的数据报文,增加网络的负担。
用户需要根据实际情况,配置合适的老化时间。如果网络比较稳定,可以将老化时间配置得长一些或者配置为不老化;否则,可以将老化时间配置得短一些。比如在一个比较稳定的网络,如果长时间没有流量,动态MAC地址表项会被全部删除,可能导致设备突然广播大量的数据报文,造成安全隐患,此时可将动态MAC地址表项的老化时间设得长一些或不老化,以减少广播,增加网络稳定性和安全性。动态MAC地址表项的老化时间作用于全部接口上。
缺省情况下,MAC地址学习功能处于开启状态。有时为了保证设备的安全,需要关闭MAC地址学习功能。常见的危及设备安全的情况是:非法用户使用大量源MAC地址不同的报文攻击设备,导致设备MAC地址表资源耗尽,造成设备无法根据网络的变化更新MAC地址表。关闭MAC地址学习功能可以有效防止这种攻击。在开启全局的MAC地址学习功能的前提下,用户可以关闭单个接口的MAC地址的学习功能。
如果MAC地址表过于庞大,可能导致设备的转发性能下降。通过配置接口的MAC地址数学习上限,用户可以控制设备维护的MAC地址表的表项数量。当接口学习到的MAC地址数达到上限时,该接口将不再对MAC地址进行学习,同时,用户还可以根据需要选择是否允许系统转发源MAC不在MAC地址表里的报文。
生成树协议运行于二层网络中,通过阻塞冗余链路构建出无数据环路的树型网络拓扑,并在设备或数据链路故障时,重新计算出新的树型拓扑。
生成树协议包括STP、RSTP、PVST和MSTP。
· STP:由IEEE制定的802.1D标准定义,是狭义的生成树协议。
· RSTP:由IEEE制定的802.1w标准定义,它在STP基础上进行了改进,实现了网络拓扑的快速收敛。其“快速”体现在,当一个端口被选为根端口和指定端口后,其进入转发状态的延时将大大缩短,从而缩短了网络最终达到拓扑稳定所需要的时间。
· PVST:可以在每个VLAN内都拥有一棵生成树,能够有效地提高链路带宽的利用率。
· MSTP:由IEEE制定的802.1s标准定义,它可以弥补STP和RSTP的缺陷,既可以快速收敛,也能使不同VLAN的流量沿各自的路径转发,从而为冗余链路提供了更好的负载分担机制。
生成树的工作模式有以下几种:
· STP模式:设备的所有端口都将向外发送STP BPDU。如果端口的对端设备只支持STP,可选择此模式。
· RSTP模式:设备的所有端口都向外发送RSTP BPDU。当端口收到对端设备发来的STP BPDU时,会自动迁移到STP模式;如果收到的是MSTP BPDU,则不会进行迁移。
· PVST模式:设备的所有端口都向外发送PVST BPDU,每个VLAN对应一棵生成树。进行PVST组网时,若网络中所有设备的生成树维护量(使能生成树协议的VLAN数×使能生成树协议的端口数)达到一定数量,会导致CPU负荷过重,不能正常处理报文,引起网络震荡。不同型号的设备支持的生成树维护量不同,请以设备的实际情况为准。
· MSTP模式:设备的所有端口都向外发送MSTP BPDU。当端口收到对端设备发来的STP BPDU时,会自动迁移到STP模式;如果收到的是RSTP BPDU,则不会进行迁移。
MSTP把一个交换网络划分成多个域,这些域称为MST(Multiple Spanning Tree Regions,多生成树域)域。每个域内形成多棵生成树,各生成树之间彼此独立并分别与相应的VLAN对应,每棵生成树都称为一个MSTI(Multiple Spanning Tree Instance,多生成树实例)。CST(Common Spanning Tree,公共生成树)是一棵连接交换网络中所有MST域的单生成树。IST(Internal Spanning Tree,内部生成树)是MST域内的一棵生成树,它是一个特殊的MSTI,通常也称为MSTI 0,所有VLAN缺省都映射到MSTI 0上。CIST(Common and Internal Spanning Tree,公共和内部生成树)是一棵连接交换网络内所有设备的单生成树,所有MST域的IST再加上CST就共同构成了整个交换网络的一棵完整的单生成树。
其中,对于属于同一MST域的设备具有下列特点:
· 都使能了生成树协议。
· 域名相同。
· VLAN与MSTI间映射关系的配置相同。
· MSTP修订级别的配置相同。
· 这些设备之间有物理链路连通。
生成树可能涉及到的端口角色有以下几种:
· 根端口(Root Port):在非根桥上负责向根桥方向转发数据的端口就称为根端口,根桥上没有根端口。
· 指定端口(Designated Port):负责向下游网段或设备转发数据的端口就称为指定端口。
· 替换端口(Alternate Port):是根端口或主端口的备份端口。当根端口或主端口被阻塞后,替换端口将成为新的根端口或主端口。
· 备份端口(Backup Port):是指定端口的备份端口。当指定端口失效后,备份端口将转换为新的指定端口。当使能了生成树协议的同一台设备上的两个端口互相连接而形成环路时,设备会将其中一个端口阻塞,该端口就是备份端口。
· 边缘端口(Edge Port):不与其他设备或网段连接的端口就称为边缘端口,边缘端口一般与用户终端设备直接相连。
· 主端口(Master Port):是将MST域连接到总根的端口(主端口不一定在域根上),位于整个域到总根的最短路径上。主端口是MST域中的报文去往总根的必经之路。主端口在IST/CIST上的角色是根端口,而在其他MSTI上的角色则是主端口。
· 域边界端口(Boundary Port):是位于MST域的边缘、并连接其他MST域或MST域与运行STP/RSTP的区域的端口。主端口同时也是域边界端口。在进行MSTP计算时,域边界端口在MSTI上的角色与CIST的角色一致,但主端口除外——主端口在CIST上的角色为根端口,在其他MSTI上的角色才是主端口。
STP只涉及根端口和指定端口两种端口角色,RSTP的端口角色中新增了替换端口、备份端口和边缘端口三种端口角色,MSTP涉及所有的端口角色。
RSTP和MSTP中的端口状态可分为三种,如表5-2所示。
表5-2 RSTP和MSTP中的端口状态
状态 |
描述 |
Forwarding |
该状态下的端口可以接收和发送BPDU,也转发用户流量 |
Learning |
是一种过渡状态,该状态下的端口可以接收和发送BPDU,但不转发用户流量 |
Discarding |
该状态下的端口可以接收和发送BPDU,但不转发用户流量 |
STP定义了五种端口状态:Disabled、Blocking、Listening、Learning和Forwarding。其中Disabled、Blocking和Listening状态都对应RSTP/MSTP中的Discarding状态。
LLDP(Link Layer Discovery Protocol,链路层发现协议)提供了一种标准的链路层发现方式,可以将本端设备的信息(包括主要能力、管理地址、设备标识、接口标识等)组织成不同的TLV(Type/Length/Value,类型/长度/值),并封装在LLDPDU(Link Layer Discovery Protocol Data Unit,链路层发现协议数据单元)中发布给与自己直连的邻居,邻居收到这些信息后将其以标准MIB(Management Information Base,管理信息库)的形式保存起来,以供网络管理系统查询及判断链路的通信状况。
LLDP代理是LLDP协议运行实体的一个抽象映射。一个接口下,可以运行多个LLDP代理。目前LLDP定义的代理类型包括:最近桥代理、最近非TPMR桥代理和最近客户桥代理。LLDP在相邻的代理之间进行协议报文交互,并基于代理创建及维护邻居信息。
在指定类型LLDP代理下,当端口工作在TxRx或Tx模式时,设备会以报文发送时间间隔为周期,向邻居设备发送LLDP报文。如果设备的本地配置发生变化则立即发送LLDP报文,以将本地信息的变化情况尽快通知给邻居设备。但为了防止本地信息的频繁变化而引起LLDP报文的大量发送,可以配置限制发送报文速率的令牌桶大小来作限速处理。
当设备的工作模式由Disable/Rx切换为TxRx/Tx,或者发现了新的邻居设备(即收到一个新的LLDP报文且本地尚未保存发送该报文设备的信息)时,该设备将自动启用快速发送机制,即将LLDP报文的发送周期设置为快速发送周期,并连续发送指定数量(快速发送LLDP报文的个数)的LLDP报文后再恢复为正常的发送周期。
当端口工作在TxRx或Rx模式时,设备会对收到的LLDP报文及其携带的TLV进行有效性检查,通过检查后再将邻居信息保存到本地,并根据Time To Live TLV中TTL(Time To Live,生存时间)的值来设置邻居信息在本地设备上的老化时间,若该值为零,则立刻老化该邻居信息。
由于TTL=Min(65535,(TTL乘数×LLDP报文的发送间隔+1)),即取65535与(TTL乘数×LLDP报文的发送间隔+1)中的最小值,因此通过调整TTL乘数可以控制本设备信息在邻居设备上的老化时间。
当端口的LLDP工作模式发生变化时,端口将对协议状态机进行初始化操作。为了避免端口工作模式频繁改变而导致端口不断执行初始化操作,可配置端口初始化延迟时间,当端口工作模式改变时延迟一段时间再执行初始化操作。
如果开启了发送LLDP Trap功能,设备可以通过向网管系统发送Trap信息以通告如发现新的LLDP邻居、与原来邻居的通信链路发生故障等重要事件。
TLV是组成LLDP报文的单元,每个TLV都代表一个信息。LLDP可以封装的TLV包括基本TLV、802.1 TLV、802.3 TLV和LLDP-MED(Link Layer Discovery Protocol Media Endpoint Discovery,链路层发现协议媒体终端发现) TLV。
基本TLV是网络设备管理基础的一组TLV,802.1 TLV、802.3 TLV和LLDP-MED TLV则是由标准组织或其他机构定义的TLV,用于增强对网络设备的管理,可根据实际需要选择是否在LLDPDU中发送。
开启本功能后,设备可以利用LLDP来接收、识别Cisco的IP电话发送的CDP报文,并向其回应CDP报文。
DHCP Snooping是DHCP的一种安全特性,具有如下功能:
网络中如果存在私自架设的非法DHCP服务器,则可能导致DHCP客户端获取到错误的IP地址和网络配置参数,从而无法正常通信。为了使DHCP客户端能通过合法的DHCP服务器获取IP地址,DHCP Snooping安全机制允许将端口设置为信任端口和不信任端口:
· 信任端口正常转发接收到的DHCP报文。
· 不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文后,丢弃该报文。
在DHCP Snooping设备上指向DHCP服务器方向的端口需要设置为信任端口,其他端口设置为不信任端口,从而保证DHCP客户端只能从合法的DHCP服务器获取IP地址,私自架设的伪DHCP服务器无法为DHCP客户端分配IP地址。
DHCP Snooping通过监听DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文,记录DHCP Snooping表项,其中包括客户端的MAC地址、DHCP服务器为DHCP客户端分配的IP地址、与DHCP客户端连接的端口及VLAN等信息。利用这些信息可以实现ARP Detection功能,即根据DHCP Snooping表项来判断发送ARP报文的用户是否合法,从而防止非法用户的ARP攻击。
DHCP Snooping设备重启后,设备上记录的DHCP Snooping表项将丢失。如果DHCP Snooping与其他模块配合使用,则表项丢失会导致这些模块无法通过DHCP Snooping获取到相应的表项,进而导致DHCP客户端不能顺利通过安全检查、正常访问网络。
DHCP Snooping表项备份功能将DHCP Snooping表项保存到指定的文件中,DHCP Snooping设备重启后,自动根据该文件恢复DHCP Snooping表项,从而保证DHCP Snooping表项不会丢失。
Option 82记录了DHCP客户端的位置信息。管理员可以利用该选项定位DHCP客户端,实现对客户端的安全和计费等控制。Option 82包含两个子选项:Circuit ID和Remote ID。
支持Option 82功能是指设备接收到DHCP请求报文后,根据报文中是否包含Option 82以及用户配置的处理策略及填充模式等对报文进行相应的处理,并将处理后的报文转发给DHCP服务器。当设备接收到DHCP服务器的响应报文时,如果报文中含有Option 82,则删除Option 82,并转发给DHCP客户端;如果报文中不含有Option 82,则直接转发。
具体的处理方式见表5-3。
表5-3 Option 82处理方式
收到DHCP请求报文 |
处理策略 |
DHCP Snooping对报文的处理 |
收到的报文中带有Option 82 |
Drop |
丢弃报文 |
Keep |
保持报文中的Option 82不变并进行转发 |
|
Replace |
根据DHCP Snooping上配置的填充模式、内容、格式等填充Option 82,替换报文中原有的Option 82并进行转发 |
|
收到的报文中不带有Option 82 |
- |
根据DHCP Snooping上配置的填充模式、内容、格式等填充Option 82,添加到报文中并进行转发 |
IP地址是每个连接到IPv4网络上的设备的唯一标识。IP地址长度为32比特,通常采用点分十进制方式表示,即每个IP地址被表示为以小数点隔开的4个十进制整数,每个整数对应一个字节,如10.1.1.1。
IP地址由两部分组成:
· 网络号码字段(Net-id):用于区分不同的网络。网络号码字段的前几位称为类别字段(又称为类别比特),用来区分IP地址的类型。
· 主机号码字段(Host-id):用于区分一个网络内的不同主机。
IP地址分为5类,每一类地址范围如表5-4所示。目前大量使用的IP地址属于A、B、C三类。
表5-4 IP地址分类
地址类型 |
地址范围 |
说明 |
A |
0.0.0.0~127.255.255.255 |
IP地址0.0.0.0仅用于主机在系统启动时进行临时通信,并且永远不是有效目的地址 127.0.0.0网段的地址都保留作环回测试,发送到这个地址的分组不会输出到链路上,它们被当作输入分组在内部进行处理 |
B |
128.0.0.0~191.255.255.255 |
- |
C |
192.0.0.0~223.255.255.255 |
- |
D |
224.0.0.0~239.255.255.255 |
组播地址 |
E |
240.0.0.0~255.255.255.255 |
255.255.255.255用于广播地址,其它地址保留今后使用 |
随着Internet的快速发展,IP地址已近枯竭。为了充分利用已有的IP地址,可以使用子网掩码将网络划分为更小的部分(即子网)。通过从主机号码字段部分划出一些比特位作为子网号码字段,能够将一个网络划分为多个子网。子网号码字段的长度由子网掩码确定。
子网掩码是一个长度为32比特的数字,由一串连续的“1”和一串连续的“0”组成。“1”对应于网络号码字段和子网号码字段,而“0”对应于主机号码字段。
多划分出一个子网号码字段会浪费一些IP地址。例如,一个B类地址可以容纳65534(216-2,去掉主机号码字段全1的广播地址和主机号码字段全0的网段地址)个主机号码。但划分出9比特长的子网字段后,最多可有512(29)个子网,每个子网有7比特的主机号码,即每个子网最多可有126(27-2,去掉主机号码字段全1的广播地址和主机号码字段全0的网段地址)个主机号码。因此主机号码的总数是512*126=64512个,比不划分子网时要少1022个。
若不进行子网划分,则子网掩码为默认值,此时子网掩码中“1”的长度就是网络号码的长度,即A、B、C类IP地址对应的子网掩码默认值分别为255.0.0.0、255.255.0.0和255.255.255.0。
接口获取IP地址有以下几种方式:
· 通过手动指定IP地址
· 通过DHCP分配得到IP地址
当设备收到一个报文后,如果发现报文长度比转发接口的MTU值大,则进行下列处理:
· 如果报文不允许分片,则将报文丢弃;
· 如果报文允许分片,则将报文进行分片转发。
为了减轻转发设备在传输过程中的分片和重组数据包的压力,更高效的利用网络资源,请根据实际组网环境设置合适的接口MTU值,以减少分片的发生。
ARP(Address Resolution Protocol,地址解析协议)是将IP地址解析为以太网MAC地址(或称物理地址)的协议。
设备通过ARP协议解析到目的MAC地址后,将会在自己的ARP表中增加IP地址和MAC地址映射关系的表项,以用于后续到同一目的地报文的转发。
ARP表项分为两种:动态ARP表项、静态ARP表项。
动态ARP表项由ARP协议通过ARP报文自动生成和维护,可以被老化,可以被新的ARP报文更新,可以被静态ARP表项覆盖。当到达老化时间、接口状态down时,系统会删除相应的动态ARP表项。
动态ARP表项可以固化为静态ARP表项,但被固化后无法再恢复为动态ARP表项。
为了防止部分接口下的用户占用过多的ARP资源,可以通过设置接口学习动态ARP表项的最大个数来进行限制。
静态ARP表项通过手工创建或由动态ARP表项固化而来,不会被老化,不会被动态ARP表项覆盖。
配置静态ARP表项可以增加通信的安全性。静态ARP表项可以限制和指定IP地址的设备通信时只使用指定的MAC地址,此时攻击报文无法修改此表项的IP地址和MAC地址的映射关系,从而保护了本设备和指定设备间的正常通信。
在配置静态ARP表项时,如果管理员希望用户使用某个固定的IP地址和MAC地址通信,可以将该IP地址与MAC地址绑定;如果进一步希望限定用户只在指定VLAN的特定接口上连接,则需要进一步指定报文转发的VLAN和出接口。
一般情况下,ARP动态执行并自动寻求IP地址到以太网MAC地址的解析,无需管理员的介入。
当静态ARP表项中的IP地址与VLAN虚接口的IP地址属于同一网段时,该静态ARP表项才能正常指导转发。
如果ARP请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机,那么连接它们的具有代理ARP功能的设备就可以回答该请求,这个过程称作代理ARP。
代理ARP功能屏蔽了分离的物理网络这一事实,使用户使用起来,好像在同一个物理网络上。
代理ARP分为普通代理ARP和本地代理ARP,二者的应用场景有所区别:
· 普通代理ARP:想要互通的主机分别连接到设备的不同三层接口上,且这些主机不在同一个广播域中。
· 本地代理ARP:想要互通的主机连接到设备的同一个三层接口上,且这些主机不在同一个广播域中。
在配置本地代理ARP时,用户也可以指定进行ARP代理的IP地址范围。
免费ARP报文是一种特殊的ARP报文,该报文中携带的发送端IP地址和目标IP地址都是本机IP地址。
设备通过对外发送免费ARP报文来实现以下功能:
· 确定其它设备的IP地址是否与本机的IP地址冲突。当其它设备收到免费ARP报文后,如果发现报文中的IP地址和自己的IP地址相同,则给发送免费ARP报文的设备返回一个ARP应答,告知该设备IP地址冲突。
· 设备改变了硬件地址,通过发送免费ARP报文通知其它设备更新ARP表项。
启用了学习免费ARP报文功能后,设备会根据收到的免费ARP报文中携带的信息(发送端IP地址、发送端MAC地址)对自身维护的ARP表进行修改。设备先判断ARP表中是否存在与此免费ARP报文中的发送端IP地址对应的ARP表项:
· 如果没有对应的ARP表项,设备会根据该免费ARP报文中携带的信息新建ARP表项;
· 如果存在对应的ARP表项,设备会根据该免费ARP报文中携带的信息更新对应的ARP表项。
关闭学习免费ARP报文功能后,设备不会根据收到的免费ARP报文来新建ARP表项,但是会更新已存在的对应ARP表项。如果用户不希望通过免费ARP报文来新建ARP表项,可以关闭学习免费ARP报文功能,以节省ARP表项资源。
开启回复免费ARP报文功能后,当设备收到非同一网段的ARP请求时发送免费ARP报文。关闭该功能后,设备收到非同一网段的ARP请求时不发送免费ARP报文。
用户可以配置某些接口定时发送免费ARP报文,以便及时通知下行设备更新ARP表项或者MAC地址表项,主要应用场景如下:
· 防止仿冒网关的ARP攻击
如果攻击者仿冒网关发送免费ARP报文,就可以欺骗同网段内的其它主机,使得被欺骗的主机访问网关的流量被重定向到一个错误的MAC地址,导致其它主机用户无法正常访问网络。
为了降低这种仿冒网关的ARP攻击所带来的影响,可以在网关的接口上启用定时发送免费ARP功能。启用该功能后,网关接口上将按照配置的时间间隔周期性发送接口主IP地址和手工配置的从IP地址的免费ARP报文。这样,每台主机都可以学习到正确的网关,从而正常访问网络。
· 防止主机ARP表项老化
在实际环境中,当网络负载较大或接收端主机的CPU占用率较高时,可能存在ARP报文被丢弃或主机无法及时处理接收到的ARP报文等现象。这种情况下,接收端主机的动态ARP表项会因超时而老化,在其重新学习到发送设备的ARP表项之前,二者之间的流量就会发生中断。
为了解决上述问题,可以在网关的接口上启用定时发送免费ARP功能。启用该功能后,网关接口上将按照配置的时间间隔周期性发送接口主IP地址和手工配置的从IP地址的免费ARP报文。这样,接收端主机可以及时更新ARP映射表,从而防止了上述流量中断现象。
ARP协议有简单、易用的优点,但是也因为其没有任何安全机制而容易被攻击发起者利用。目前ARP攻击和ARP病毒已经成为局域网安全的一大威胁,为了避免各种攻击带来的危害,设备提供了多种技术对攻击进行防范、检测和解决。
不同设备支持配置的ARP攻击防御功能如下:
· 网关设备支持配置的功能包括:ARP黑洞路由、ARP源抑制、源MAC地址一致性检查、ARP主动确认、源MAC地址固定的ARP攻击检测、授权ARP和ARP扫描;
· 接入设备支持配置的功能包括:ARP报文限速、ARP网关保护、ARP过滤保护和ARP Detection。
如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备,则会造成下面的危害:
· 设备向目的网段发送大量ARP请求报文,加重目的网段的负载。
· 设备会试图反复地对目标IP地址进行解析,增加了CPU的负担。
为避免这种IP报文攻击所带来的危害,设备提供了下列两个功能:
· ARP黑洞路由功能:开启该功能后,一旦接收到目标IP地址不能解析的IP报文,设备立即产生一个黑洞路由,使得设备在一段时间内将去往该地址的报文直接丢弃。等待黑洞路由老化时间过后,如有报文触发则再次发起解析,如果解析成功则进行转发,否则仍然产生一个黑洞路由将去往该地址的报文丢弃。这种方式能够有效地防止IP报文的攻击,减轻CPU的负担。
· ARP源抑制功能:如果发送攻击报文的源是固定的,可以采用ARP源抑制功能。开启该功能后,如果网络中每5秒内从某IP地址向设备某接口发送目的IP地址不能解析的IP报文超过了设置的阈值,则设备将不再处理由此IP地址发出的IP报文直至该5秒结束,从而避免了恶意攻击所造成的危害。
ARP报文源MAC地址一致性检查功能主要应用于网关设备上,防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。
配置本特性后,网关设备在进行ARP学习前将对ARP报文进行检查。如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同,则认为是攻击报文,将其丢弃;否则,继续进行ARP学习。
ARP的主动确认功能主要应用于网关设备上,防止攻击者仿冒用户欺骗网关设备。
启用ARP主动确认功能后,设备在新建或更新ARP表项前需进行主动确认,防止产生错误的ARP表项。
使能严格模式后,新建ARP表项前,ARP主动确认功能会执行更严格的检查:
· 收到目标IP地址为自己的ARP请求报文时,设备会发送ARP应答报文,但不建立ARP表项;
· 收到ARP应答报文时,需要确认本设备是否对该报文中的源IP地址发起过ARP解析:若发起过解析,解析成功后则设备启动主动确认功能,主动确认流程成功完成后,设备可以建立该表项;若未发起过解析,则设备丢弃该报文。
本特性根据ARP报文的源MAC地址对上送CPU的ARP报文进行统计,在5秒内,如果收到同一源MAC地址(源MAC地址固定)的ARP报文超过一定的阈值,则认为存在攻击,系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前,如果设置的检查模式为过滤模式,则会打印日志信息并且将该源MAC地址发送的ARP报文过滤掉;如果设置的检查模式为监控模式,则只打印日志信息,不会将该源MAC地址发送的ARP报文过滤掉。
对于网关或一些重要的服务器,可能会发送大量ARP报文,为了使这些ARP报文不被过滤掉,可以将这类设备的MAC地址配置成保护MAC地址,这样,即使该设备存在攻击也不会被检测、过滤。
所谓授权ARP,就是动态学习ARP的过程中,只有和DHCP服务器生成的租约或DHCP中继生成的安全表项一致的ARP报文才能够被学习。
使能接口的授权ARP功能后,系统会禁止该接口学习动态ARP表项,可以防止用户仿冒其他用户的IP地址或MAC地址对网络进行攻击,保证只有合法的用户才能使用网络资源,增加了网络的安全性。
启用ARP扫描功能后,设备会对局域网内的邻居自动进行扫描(向邻居发送ARP请求报文,获取邻居的MAC地址,从而建立动态ARP表项)。
ARP扫描功能一般与ARP固化功能配合使用。ARP固化功能用来将当前的ARP动态表项(包括ARP扫描生成的动态ARP表项)转换为静态ARP表项。通过对动态ARP表项的固化,可以有效防止攻击者修改ARP表项。
建议在网吧这种环境稳定的小型网络中使用这两个功能。
ARP报文限速功能是指对上送CPU的ARP报文进行限速,可以防止大量ARP报文对CPU进行冲击。例如,在配置了ARP Detection功能后,设备会将收到的ARP报文重定向到CPU进行检查,这样引入了新的问题:如果攻击者恶意构造大量ARP报文发往设备,会导致设备的CPU负担过重,从而造成其他功能无法正常运行甚至设备瘫痪,这个时候可以启用ARP报文限速功能来控制上送CPU的ARP报文的速率。
建议用户在配置了ARP Detection或者发现有ARP泛洪攻击的情况下,使用ARP报文限速功能。
配置ARP报文限速功能后,如果用户开启了ARP限速日志功能,则当接口上单位时间收到的ARP报文数量超过用户设定的限速值,设备将这个时间间隔内的超速峰值作为日志的速率值发送到设备的信息中心,通过设置信息中心的参数,最终决定日志报文的输出规则(即是否允许输出以及输出方向)。为防止过多的日志信息干扰用户工作,用户可以设定日志信息的发送时间间隔。当用户设定的时间间隔超时时,设备执行发送日志的操作。
在设备上不与网关相连的接口上配置此功能,可以防止伪造网关攻击。
在接口上配置此功能后,当接口收到ARP报文时,将检查ARP报文的源IP地址是否和配置的被保护网关的IP地址相同。如果相同,则认为此报文非法,将其丢弃;否则,认为此报文合法,继续进行后续处理。
ARP过滤保护功能用来限制接口下允许通过的ARP报文,可以防止仿冒网关和仿冒用户的攻击。
在接口上配置此功能后,当接口收到ARP报文时,将检查ARP报文的源IP地址和源MAC地址是否和允许通过的IP地址和MAC地址相同:
· 如果相同,则认为此报文合法,继续进行后续处理;
· 如果不相同,则认为此报文非法,将其丢弃。
ARP Detection功能主要应用于接入设备上,对于合法用户的ARP报文进行正常转发,否则直接丢弃,从而防止仿冒用户、仿冒网关的攻击。
ARP Detection包含三个功能:用户合法性检查、ARP报文有效性检查、ARP报文强制转发。
(1) 用户合法性检查
如果仅在VLAN上开启ARP Detection功能,则仅进行用户合法性检查。
对于ARP信任接口,不进行用户合法性检查;对于ARP非信任接口,需要进行用户合法性检查,以防止仿冒用户的攻击。
用户合法性检查是根据ARP报文中源IP地址和源MAC地址检查用户是否是所属VLAN所在接口上的合法用户,包括基于IP Source Guard静态绑定表项的检查、基于DHCP Snooping表项的检查。只要符合任何一个,就认为该ARP报文合法,进行转发。如果所有检查都没有找到匹配的表项,则认为是非法报文,直接丢弃。
(2) ARP报文有效性检查
对于ARP信任接口,不进行报文有效性检查;对于ARP非信任接口,需要根据配置对MAC地址和IP地址不合法的报文进行过滤。可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。
· 源MAC地址的检查模式:会检查ARP报文中的源MAC地址和以太网报文头中的源MAC地址是否一致,一致则认为有效,否则丢弃报文;
· 目的MAC地址的检查模式(只针对ARP应答报文):会检查ARP应答报文中的目的MAC地址是否为全0或者全1,是否和以太网报文头中的目的MAC地址一致。全0、全1、不一致的报文都是无效的,需要被丢弃;
· IP地址检查模式:会检查ARP报文中的源IP或目的IP地址,如全1、或者组播IP地址都是不合法的,需要被丢弃。对于ARP应答报文,源IP和目的IP地址都进行检查;对于ARP请求报文,只检查源IP地址。
(3) ARP报文强制转发
对于从ARP信任接口接收到的ARP报文不受此功能影响,按照正常流程进行转发;对于从ARP非信任接口接收到的并且已经通过用户合法性检查的ARP报文的处理过程如下:
· 对于ARP请求报文,通过信任接口进行转发;
对于ARP应答报文,首先按照报文中的以太网目的MAC地址进行转发,若在MAC地址表中没有查到目的MAC地址对应的表项,则将此ARP应答报文通过信任接口进行转发。
DNS(Domain Name System,域名系统)是一种用于TCP/IP应用程序的分布式数据库,提供域名与地址之间的转换。IPv4 DNS提供域名和IPv4地址之间的转换,IPv6 DNS提供域名和IPv6地址之间的转换。
设备作为DNS客户端,当用户在设备上进行某些应用(如Telnet到一台设备或主机)时,可以直接使用便于记忆的、有意义的域名,通过域名系统将域名解析为正确的地址。
域名解析分为动态域名解析和静态域名解析两种。动态域名解析和静态域名解析可以配合使用。在解析域名时,首先采用静态域名解析(查找静态域名解析表),如果静态域名解析不成功,再采用动态域名解析。由于动态域名解析需要域名服务器的配合,会花费一定的时间,因而可以将一些常用的域名放入静态域名解析表中,这样可以大大提高域名解析效率。
使用动态域名解析时,需要手工指定域名服务器的地址。
动态域名解析通过向域名服务器查询域名和地址之间的对应关系来实现将域名解析为地址。
动态域名解析支持域名后缀列表功能。用户可以预先设置一些域名后缀,在域名解析的时候,用户只需要输入域名的部分字段,系统会自动将输入的域名加上不同的后缀进行解析。例如,用户想查询域名aabbcc.com,那么可以先在后缀列表中配置com,然后输入aabbcc进行查询,系统会自动将输入的域名与后缀连接成aabbcc.com进行查询。
使用域名后缀的时候,根据用户输入域名方式的不同,查询方式分成以下几种情况:
· 如果用户输入的域名中没有“.”,比如aabbcc,系统认为这是一个主机名,会首先加上域名后缀进行查询,如果所有加后缀的域名查询都失败,将使用最初输入的域名(如aabbcc)进行查询。
· 如果用户输入的域名中间有“.”,比如www.aabbcc,系统直接用它进行查询,如果查询失败,再依次加上各个域名后缀进行查询。
· 如果用户输入的域名最后有“.”,比如aabbcc.com.,表示不需要进行域名后缀添加,系统直接用输入的域名进行查询,不论成功与否都直接返回结果。就是说,如果用户输入的字符中最后一个字符为“.”,就只根据用户输入的字符进行查找,而不会去匹配用户预先设置的域名后缀,因此最后这个“.”,也被称为查询终止符。带有查询终止符的域名,称为FQDN(Fully Qualified Domain Name,完全合格域名)。
手工建立域名和地址之间的对应关系。当用户使用域名进行某些应用时,系统查找静态域名解析表,从中获取指定域名对应的地址。
DNS代理(DNS proxy)用来在DNS client和DNS server之间转发DNS请求和应答报文。局域网内的DNS client把DNS proxy当作DNS server,将DNS请求报文发送给DNS proxy。DNS proxy将该请求报文转发到真正的DNS server,并将DNS server的应答报文返回给DNS client,从而实现域名解析。
使用DNS proxy功能后,当DNS server的地址发生变化时,只需改变DNS proxy上的配置,无需改变局域网内每个DNS client的配置,从而简化了网络管理。
DNS仅仅提供了域名和地址之间的静态对应关系,当节点的地址发生变化时,DNS无法动态地更新域名和地址的对应关系。此时,如果仍然使用域名访问该节点,通过域名解析得到的地址是错误的,从而导致访问失败。
DDNS(Dynamic Domain Name System,动态域名系统)用来动态更新DNS服务器上域名和地址之间的对应关系,保证通过域名解析到正确的地址。
使用DDNS服务前,用户需要先登录DDNS服务器,注册账户。设备作为DDNS客户端,在地址变化时,向DDNS服务器发送更新域名和地址对应关系的DDNS更新请求,更新请求中携带用户的账户信息(用户名和密码)。DDNS服务器对账户信息认证通过后,通知DNS服务器动态更新域名和地址之间的对应关系。
目前,只有IPv4域名解析支持DDNS,IPv6域名解析不支持DDNS,即只能通过DDNS动态更新域名和IPv4地址之间的对应关系。
为了简化配置,设备通过DDNS策略来管理和维护DDNS客户端的参数,如DDNS服务提供商信息(即DDNS服务器信息)、用户的账户信息(用户名和密码)、更新时间间隔、关联的SSL客户端策略等。创建DDNS策略后,可以在不同的接口上应用相同的DDNS策略,从而简化DDNS的配置。
IPv6(Internet Protocol Version 6,互联网协议版本6)是网络层协议的第二代标准协议,也被称为IPng(IP Next Generation,下一代互联网协议),它是IETF(Internet Engineering Task Force,互联网工程任务组)设计的一套规范,是IPv4的升级版本。IPv6和IPv4之间最显著的区别为:地址的长度从32比特增加到128比特。
IPv6地址被表示为以冒号(:)分隔的一连串16比特的十六进制数。每个IPv6地址被分为8组,每组的16比特用4个十六进制数来表示,组和组之间用冒号隔开,比如:2001:0000:130F:0000:0000:09C0:876A:130B。
为了简化IPv6地址的表示,对于IPv6地址中的“0”可以有下面的处理方式:
· 每组中的前导“0”可以省略,即上述地址可写为2001:0:130F:0:0:9C0:876A:130B。
· 如果地址中包含一组或连续多组均为0的组,则可以用双冒号“::”来代替,即上述地址可写为2001:0:130F::9C0:876A:130B。
IPv6地址由两部分组成:地址前缀与接口标识。其中,地址前缀相当于IPv4地址中的网络号码字段部分,接口标识相当于IPv4地址中的主机号码部分。
地址前缀的表示方式为:IPv6地址/前缀长度。其中,前缀长度是一个十进制数,表示IPv6地址最左边多少位为地址前缀。
IPv6主要有三种类型的地址:单播地址、组播地址和任播地址。
· 单播地址:用来唯一标识一个接口,类似于IPv4的单播地址。发送到单播地址的数据报文将被传送给此地址所标识的接口。
· 组播地址:用来标识一组接口(通常这组接口属于不同的节点),类似于IPv4的组播地址。发送到组播地址的数据报文被传送给此地址所标识的所有接口。
· 任播地址:用来标识一组接口(通常这组接口属于不同的节点)。发送到任播地址的数据报文被传送给此地址所标识的一组接口中距离源节点最近(根据使用的路由协议进行度量)的一个接口。
IPv6中没有广播地址,广播地址的功能通过组播地址来实现。
IPv6地址类型是由地址前面几位(称为格式前缀)来指定的,主要地址类型与格式前缀的对应关系如表5-5所示。
表5-5 IPv6地址类型与格式前缀的对应关系
地址类型 |
格式前缀(二进制) |
IPv6前缀标识 |
简介 |
|
单播地址 |
未指定地址 |
00...0 (128 bits) |
::/128 |
不能分配给任何节点。在节点获得有效的IPv6地址之前,可在发送的IPv6报文的源地址字段填入该地址,但不能作为IPv6报文中的目的地址 |
环回地址 |
00...1 (128 bits) |
::1/128 |
不能分配给任何物理接口。它的作用与在IPv4中的环回地址相同,即节点用来给自己发送IPv6报文 |
|
链路本地地址 |
1111111010 |
FE80::/10 |
用于邻居发现协议和无状态自动配置中链路本地上节点之间的通信。使用链路本地地址作为源或目的地址的数据报文不会被转发到其他链路上 |
|
全球单播地址 |
其他形式 |
- |
等同于IPv4公网地址,提供给网络服务提供商。这种类型的地址允许路由前缀的聚合,从而限制了全球路由表项的数量 |
|
组播地址 |
11111111 |
FF00::/8 |
- |
|
任播地址 |
从单播地址空间中进行分配,使用单播地址的格式 |
- |
IPv6单播地址中的接口标识符用来唯一标识链路上的一个接口。目前IPv6单播地址基本上都要求接口标识符为64位。
不同接口的IEEE EUI-64格式的接口标识符的生成方法不同,分别介绍如下:
· 所有IEEE 802接口类型(例如,以太网接口、VLAN接口):IEEE EUI-64格式的接口标识符是从接口的链路层地址(MAC地址)变化而来的。IPv6地址中的接口标识符是64位,而MAC地址是48位,因此需要在MAC地址的中间位置(从高位开始的第24位后)插入十六进制数FFFE(1111111111111110)。为了使接口标识符的作用范围与原MAC地址一致,还要将Universal/Local (U/L)位(从高位开始的第7位)进行取反操作。最后得到的这组数就作为EUI-64格式的接口标识符。
· Tunnel接口:IEEE EUI-64格式的接口标识符的低32位为Tunnel接口的源IPv4地址,ISATAP隧道的接口标识符的高32位为0000:5EFE,其他隧道的接口标识符的高32位为全0。
· 其他接口类型(例如,Serial接口):IEEE EUI-64格式的接口标识符由设备随机生成。
IPv6全球单播地址可以通过下面几种方式配置:
· 采用EUI-64格式形成:当配置采用EUI-64格式形成IPv6地址时,接口的IPv6地址的前缀需要手工配置,而接口标识符则由接口自动生成;
· 手工配置:用户手工配置IPv6全球单播地址;
· 无状态自动配置:根据接收到的RA报文中携带的地址前缀信息及使用EUI-64功能生成的接口标识,自动为接口生成IPv6全球单播地址;
· 有状态获取地址:通过DHCPv6服务器自动获取IPv6地址。
一个接口上可以配置多个全球单播地址。
IPv6的链路本地地址可以通过两种方式获得:
· 自动生成:设备根据链路本地地址前缀(FE80::/10)及使用EUI-64功能生成的接口标识,自动为接口生成链路本地地址;
· 手工指定:用户手工配置IPv6链路本地地址。
每个接口只能有一个链路本地地址,为了避免链路本地地址冲突,推荐使用链路本地地址的自动生成方式。
配置链路本地地址时,手工指定方式的优先级高于自动生成方式。即如果先采用自动生成方式,之后手工指定,则手工指定的地址会覆盖自动生成的地址;如果先手工指定,之后采用自动生成的方式,则自动配置不生效,接口的链路本地地址仍是手工指定的。此时,如果删除手工指定的地址,则自动生成的链路本地地址会生效。
IPv6邻居发现(Neighbor Discovery,ND)协议使用五种类型的ICMPv6消息(如表5-6所示),实现地址解析、验证邻居是否可达、重复地址检测、路由器发现/前缀发现、地址自动配置和重定向等功能。
表5-6 ND使用的ICMPv6消息
ICMPv6消息 |
类型号 |
作用 |
邻居请求消息NS(Neighbor Solicitation) |
135 |
获取邻居的链路层地址 |
验证邻居是否可达 |
||
进行重复地址检测 |
||
邻居通告消息NA(Neighbor Advertisement) |
136 |
对NS消息进行响应 |
节点在链路层变化时主动发送NA消息,向邻居节点通告本节点的变化信息 |
||
路由器请求消息RS(Router Solicitation) |
133 |
节点启动后,通过RS消息向路由器发出请求,请求前缀和其他配置信息,用于节点的自动配置 |
路由器通告消息RA(Router Advertisement) |
134 |
对RS消息进行响应 |
在没有抑制RA消息发布的条件下,路由器会周期性地发布RA消息,其中包括前缀信息选项和一些标志位的信息 |
||
重定向消息(Redirect) |
137 |
当满足一定的条件时,缺省网关通过向源主机发送重定向消息,使主机重新选择正确的下一跳地址进行后续报文的发送 |
邻居表项保存的是设备在链路范围内的邻居信息,设备邻居表项可以通过邻居请求消息NS及邻居通告消息NA来动态创建,也可以通过手工配置来静态创建。
目前,静态邻居表项有两种配置方式:
· 配置本节点的三层接口相连的邻居节点的IPv6地址和链路层地址;
· 配置本节点VLAN中的二层端口相连的邻居节点的IPv6地址和链路层地址。
对于VLAN接口,可以采用上述两种方式来配置静态邻居表项:
· 采用第一种方式配置静态邻居表项后,设备还需要解析该VLAN下的二层端口信息。
· 采用第二种方式配置静态邻居表项后,需要保证该二层端口属于指定的VLAN,且该VLAN已经创建了VLAN接口。
设备为同一链路上的主机发布RA报文,主机可以根据RA报文中的信息进行无状态自动配置等操作。设备可以抑制RA报文的发送,也可以周期性发送RA报文,相邻两次RA报文发送时间间隔是在最大时间间隔与最小时间间隔之间随机选取的一个值。最小时间间隔应该小于等于最大时间间隔的0.75倍。
RA报文中的参数和参数描述如表5-7所示。
表5-7 RA报文中的参数
参数 |
描述 |
地址前缀/前缀长度 |
主机根据该地址前缀/前缀长度生成对应的IPv6地址,完成无状态自动配置操作 |
有效生命期 |
表示前缀有效期。在有效生命期内,通过该前缀自动生成的地址可以正常使用;有效生命期过期后,通过该前缀自动生成的地址变为无效,将被删除 |
首选生命期 |
表示首选通过该前缀无状态自动配置地址的时间。首选生命期过期后,节点通过该前缀自动配置的地址将被废止。节点不能使用被废止的地址建立新的连接,但是仍可以接收目的地址为被废止地址的报文。首选生命期必须小于或等于有效生命期 |
不用于无状态配置标识 |
选择了该标识,则指定前缀不用于无状态地址配置 |
不是直连可达标识 |
选择了该标识,则表示该前缀不是当前链路上直连可达的 |
MTU |
发布链路的MTU,可以用于确保同一链路上的所有节点采用相同的MTU值 |
不指定跳数限制标识 |
选择了该标识,则表示RA消息中不带有本设备的跳数限制 |
被管理地址配置标志位(M flag) |
用于确定主机是否采用有状态自动配置获取IPv6地址 如果选择了该标志位,主机将通过有状态自动配置(例如DHCPv6服务器)来获取IPv6地址;否则,将通过无状态自动配置获取IPv6地址,即根据自己的链路层地址及路由器发布的前缀信息生成IPv6地址 |
其他信息配置标志位(O flag) |
用于确定主机是否采用有状态自动配置获取除IPv6地址外的其他信息 如果选择了其他信息配置标志位,主机将通过有状态自动配置(例如DHCPv6服务器)来获取除IPv6地址外的其他信息;否则,将通过无状态自动配置获取其他信息 |
路由器生存时间(Router Lifetime) |
用于设置发布RA消息的路由器作为主机的默认路由器的时间。主机根据接收到的RA消息中的路由器生存时间参数值,就可以确定是否将发布该RA消息的路由器作为默认路由器。发布RA消息中路由器生存时间为0的路由器不能作为默认路由器 |
邻居请求重传间隔(Retrans Timer) |
设备发送NS消息后,如果未在指定的时间间隔内收到响应,则会重新发送NS消息 |
配置路由优先级 ( Router Preference ) |
用于设置发布RA消息的路由器的路由器优先级,主机根据接收到的RA消息中的路由器优先级,可以选择优先级最高的路由器作为默认网关。在路由器的优先级相同的情况下,遵循“先来先用”的原则,优先选择先接收到的RA消息对应的发送路由器作为默认网关 |
保持邻居可达时间(Reachable Time) |
当通过邻居可达性检测确认邻居可达后,在所设置的可达时间内,设备认为邻居可达;超过设置的时间后,如果需要向邻居发送报文,会重新确认邻居是否可达 |
如果NS请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机,那么连接它们的具有代理功能的设备就可以代答该请求,回应NA报文,这个过程称作ND代理(ND Proxy)。
ND Proxy功能屏蔽了分离的物理网络这一事实,使用户使用起来,好像在同一个物理网络上。
ND Proxy功能根据应用场景不同分为普通ND Proxy和本地ND Proxy。
普通ND Proxy的典型应用环境如图5-3所示。Device通过两个三层接口Int A和Int B连接两个网络,两个三层接口的IPv6地址不在同一个网段,接口地址分别为4:1::99/64、4:2::99/64。但是两个网络内的主机Host A和Host B的地址通过掩码的控制,既与相连设备的接口地址在同一网段,同时二者也处于同一个网段。
图5-3 普通ND代理的典型应用环境
在这种组网情况下,当Host A需要与Host B通信时,由于目的IPv6地址与本机的IPv6地址为同一网段,因此Host A会直接发出请求Host B硬件地址的NS请求。但是,此时的两台主机处于不同的广播域中,Host B无法收到Host A的NS请求报文,当然也就无法应答。
通过在Device上启用普通ND Proxy功能,可以解决此问题。在接口Int A和Int B上启用普通ND Proxy后,Router可以应答Host A的NS请求。同时,Device作为Host B的代理,把其它主机发送过来的报文转发给Host B。这样,实现Host A与Host B之间的通信。
本地ND Proxy的应用场景如图5-4所示。Host A属于VLAN 2,Host B属于VLAN 3,它们分别连接到端口Int A和Int C上。
图5-4 本地ND代理的应用场景
在这种组网情况下,当Host A需要与Host B通信时,由于目的IPv6地址与本机的IPv6地址为同一网段,因此Host A会直接发出请求Host B硬件地址的NS请求。但是,因为连接两台主机处于不同的VLAN中,Host B无法收到Host A的NS请求报文。
通过在Device A上启用本地ND Proxy功能,可以解决此问题。在接口Int B上启用本地ND Proxy后,Device A会代替Host B回应NA,Host A发给Host B的报文就会通过Device A进行转发,从而实现Host A与Host B之间的通信。
端口镜像通过将指定端口的报文复制到与数据监测设备相连的端口,使用户可以利用数据监测设备分析这些复制过来的报文(称为镜像报文),以进行网络监控和故障排除。
在端口镜像中涉及以下概念:
(1) 源端口:设备上被监控的端口。源端口上的报文会被复制一份到目的端口。源端口所在的设备称为源设备。
(2) 目的端口:设备上与数据监测设备相连的端口,源端口上的报文将被复制一份到此端口。目的端口所在的设备称为目的设备。
(3) 镜像组:源端口和目的端口的组合,它分为:
· 本地镜像组:当源端口和目的端口位于同一设备时,端口所在镜像组称为本地镜像组。
· 远程镜像组:当源端口和目的端口位于不同设备时,源端口和目的端口所在的镜像组分别称为远程源镜像组和远程目的镜像组,镜像报文通过远程镜像VLAN在源设备与目的设备之间传输。
静态路由是一种特殊的路由,由管理员手工配置。当网络结构比较简单时,只需配置静态路由就可以使网络正常工作。静态路由不能自动适应网络拓扑结构的变化,当网络发生故障或者拓扑发生变化后,必须由管理员手工修改配置。
缺省路由是在没有找到匹配的路由表项时使用的路由。配置IPv4缺省路由时,指定目的地址为0.0.0.0/0;配置IPv6缺省路由时,指定目的地址为::/0。
RIP是一种基于距离矢量算法的协议,它通过UDP报文进行路由信息的交换,端口号为520。RIP主要用于规模较小的网络,比如校园网。大型网络一般不使用RIP。
RIP有两个版本:RIP-1和RIP-2。
· RIP-1是有类别路由协议,它只支持以广播方式发布协议报文。RIP-1报文无法携带掩码信息,而且不支持不连续子网。
· RIP-2是无类别路由协议,有两种报文传送方式:广播方式和组播方式,缺省将采用组播方式发送报文,使用的组播地址为224.0.0.9。当接口运行RIP-2广播方式时,也可接收RIP-1的报文。
有两种使能RIP的方式:启用网段和启用接口,启用接口的优先级高于启用网段。
在安全性要求较高的网络环境中,可以通过配置报文的认证方式来对RIP-2报文进行有效性检查和验证。RIP-2支持两种认证方式:简单认证和MD5认证。MD5认证包括RFC 2082和RFC 2453两种,具体情况请参见相应RFC文档。
RIP-1不支持认证。
与单纯依照IP报文的目的地址查找路由表进行转发不同,策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对于满足一定条件(ACL规则)的报文,执行指定的操作(设置报文的下一跳)。
策略用来定义报文的匹配规则,以及对报文执行的操作。一个策略可以由一个或者多个节点组成。节点的构成如下:
· 每个节点由节点编号来标识。节点编号越小节点的优先级越高,优先级高的节点优先被执行。
· 每个节点的具体内容由报文匹配规则和执行操作来指定。报文匹配规则定义该节点的匹配规则,执行操作定义该节点的动作。
· 每个节点对报文的处理方式由匹配模式决定。匹配模式分为允许和拒绝两种。
应用策略后,系统将根据策略中定义的匹配规则和操作,对报文进行处理:系统按照优先级从高到低的顺序依次匹配各节点,如果报文满足这个节点的匹配规则,就执行该节点的动作;如果报文不满足这个节点的匹配规则,就继续匹配下一个节点;如果报文不能满足策略中任何一个节点的匹配规则,则根据路由表来转发报文。
通过配置ACL规则用于匹配报文,用于执行后续操作。
设置报文转发的下一跳,并为其配置与Track项关联或是指定当前下一跳是否为直连下一跳。
策略路由通过与Track联动,增强了应用的灵活性和对网络环境变化的动态感知能力。
策略路由可以在配置报文的下一跳时与Track项关联,根据Track项的状态来动态地决定策略的可用性。策略路由配置仅在关联的Track项状态为Positive或NotReady时生效。
IGMP snooping(Internet Group Management Protocol snooping,互联网组管理协议窥探)运行在二层设备上,通过侦听三层设备与接收者主机间的IGMP报文建立IGMP snooping转发表,并根据该表指导组播数据的转发。
IGMP snooping转发表的表项由VLAN、组播组地址、组播源地址和成员端口四个元素构成,其中成员端口是指二层设备上朝向组播组成员的端口。
MLD snooping(Multicast Listener Discovery snooping,组播侦听者发现协议窥探)运行在二层设备上,通过侦听三层设备与接收者主机间的MLD报文建立MLD snooping转发表,并根据该表指导IPv6组播数据的转发。
MLD snooping转发表的表项由VLAN、IPv6组播组地址、IPv6组播源地址和成员端口四个元素构成,其中成员端口是指二层设备上朝向IPv6组播组成员的端口。
DHCP(Dynamic Host Configuration Protocol,动态主机配置协议)用来为网络设备动态地分配IP地址等网络配置参数。
DHCP采用客户端/服务器通信模式,由客户端向服务器提出请求分配网络配置参数的申请,服务器返回为客户端分配的IP地址等配置信息,以实现IP地址等信息的动态配置。
在DHCP的典型应用中,一般包含一台DHCP服务器和多台客户端(如PC和便携机)。如果DHCP客户端和DHCP服务器处于不同物理网段时,客户端可以通过DHCP中继与服务器通信,获取IP地址及其他配置信息。
在以下场合通常利用DHCP服务器来完成IP地址分配:
· 网络规模较大,手工配置需要很大的工作量,并难以对整个网络进行集中管理。
· 网络中主机数目大于该网络支持的IP地址数量,无法给每个主机分配一个固定的IP地址。例如,Internet接入服务提供商限制同时接入网络的用户数目,用户必须动态获得自己的IP地址。
· 网络中只有少数主机需要固定的IP地址,大多数主机没有固定的IP地址需求。
DHCP服务器通过地址池来保存为客户端分配的IP地址、租约时长、网关信息、域名后缀、DNS服务器地址、WINS服务器地址、NetBIOS节点类型和DHCP选项信息。服务器接收到客户端发送的请求后,选择合适的地址池,并将该地址池中的信息分配给客户端。
DHCP服务器在将IP地址分配给客户端之前,还需要进行IP地址冲突检测。
地址池的地址管理方式有以下几种:
· 静态绑定IP地址,即通过将客户端的硬件地址或客户端ID与IP地址绑定的方式,实现为特定的客户端分配特定的IP地址;
· 动态选择IP地址,即在地址池中指定可供分配的IP地址范围,当收到客户端的IP地址申请时,从该地址范围中动态选择IP地址,分配给该客户端。
在DHCP地址池中还可以指定这两种类型地址的租约时长。
DHCP服务器为客户端分配IP地址时,地址池的选择原则如下:
(1) 如果存在将客户端MAC地址或客户端ID与IP地址静态绑定的地址池,则选择该地址池,并将静态绑定的IP地址和其他网络参数分配给客户端。
(2) 如果不存在静态绑定的地址池,则按照以下方法选择地址池:
· 如果客户端与服务器在同一网段,则将DHCP请求报文接收接口的IP地址与所有地址池配置的网段进行匹配,并选择最长匹配的网段所对应的地址池。
· 如果客户端与服务器不在同一网段,即客户端通过DHCP中继获取IP地址,则将DHCP请求报文中giaddr字段指定的IP地址与所有地址池配置的网段进行匹配,并选择最长匹配的网段所对应的地址池。
DHCP服务器为客户端分配IP地址的优先次序如下:
(1) 与客户端MAC地址或客户端ID静态绑定的IP地址。
(2) DHCP服务器记录的曾经分配给客户端的IP地址。
(3) 客户端发送的DHCP-DISCOVER报文中Option 50字段指定的IP地址。Option 50为客户端请求的IP地址选项(Requested IP Address),客户端通过在DHCP-DISCOVER报文中添加该选项来指明客户端希望获取的IP地址。该选项的内容由客户端决定。
(4) 按照动态分配地址选择原则,顺序查找可供分配的IP地址,选择最先找到的IP地址。
(5) 如果未找到可用的IP地址,则从当前匹配地址池中依次查询租约过期、曾经发生过冲突的IP地址,如果找到则进行分配,否则将不予处理。
DHCP利用选项字段传递控制信息和网络配置参数,实现地址动态分配的同时,为客户端提供更加丰富的网络配置信息。
Web页面为DHCP服务器提供了灵活的选项配置方式,在以下情况下,可以使用Web页面DHCP选项功能:
· 随着DHCP的不断发展,新的DHCP选项会陆续出现。通过该功能,可以方便地添加新的DHCP选项。
· 有些选项的内容,RFC中没有统一规定。厂商可以根据需要定义选项的内容,如Option 43。通过DHCP选项功能,可以为DHCP客户端提供厂商指定的信息。
· Web页面只提供了有限的配置功能,其他功能可以通过DHCP选项来配置。例如,可以通过Option 4,IP地址1.1.1.1来指定为DHCP客户端分配的时间服务器地址为1.1.1.1。
· 扩展已有的DHCP选项。当前已提供的方式无法满足用户需求时(比如通过Web页面最多只能配置8个DNS服务器地址,如果用户需要配置的DNS服务器地址数目大于8,则Web页面无法满足需求),可以通过DHCP选项功能进行扩展。
常用的DHCP选项配置如表5-8所示。
表5-8 常用DHCP选项配置
选项编号 |
选项名称 |
推荐的选项填充类型 |
3 |
Router Option |
IP地址 |
6 |
Domain Name Server Option |
IP地址 |
15 |
Domain Name |
ASCII字符串 |
44 |
NetBIOS over TCP/IP Name Server Option |
IP地址 |
46 |
NetBIOS over TCP/IP Node Type Option |
十六进制数串 |
66 |
TFTP server name |
ASCII字符串 |
67 |
Bootfile name |
ASCII字符串 |
43 |
Vendor Specific Information |
十六进制数串 |
为防止IP地址重复分配导致地址冲突,DHCP服务器为客户端分配地址前,需要先对该地址进行探测。
DHCP服务器的地址探测是通过ping功能实现的,通过检测是否能在指定时间内得到ping响应来判断是否存在地址冲突。DHCP服务器发送目的地址为待分配地址的ICMP回显请求报文。如果在指定时间内收到回显响应报文,则认为存在地址冲突。DHCP服务器从地址池中选择新的IP地址,并重复上述操作。如果在指定时间内没有收到回显响应报文,则继续发送ICMP回显请求报文,直到发送的回显显示报文数目达到最大值。如果仍然没有收到回显响应报文,则将地址分配给客户端,从而确保客户端获得的IP地址唯一。
由于在IP地址动态获取过程中采用广播方式发送请求报文,因此DHCP只适用于DHCP客户端和服务器处于同一个子网内的情况。为进行动态主机配置,需要在所有网段上都设置一个DHCP服务器,这显然是很不经济的。
DHCP中继功能的引入解决了这一难题:客户端可以通过DHCP中继与其他网段的DHCP服务器通信,最终获取到IP地址。这样,多个网络上的DHCP客户端可以使用同一个DHCP服务器,既节省了成本,又便于进行集中管理。
为了防止非法主机静态配置一个IP地址并访问外部网络,设备支持DHCP中继用户地址表项记录功能。
启用该功能后,当客户端通过DHCP中继从DHCP服务器获取到IP地址时,DHCP中继可以自动记录客户端IP地址与硬件地址的绑定关系,生成DHCP中继的用户地址表项。
本功能与其他IP地址安全功能(如ARP地址检查和授权ARP)配合,可以实现只允许匹配用户地址表项中绑定关系的报文通过DHCP中继。从而,保证非法主机不能通过DHCP中继与外部网络通信。
DHCP客户端释放动态获取的IP地址时,会向DHCP服务器单播发送DHCP-RELEASE报文,DHCP中继不会处理该报文的内容。如果此时DHCP中继上记录了该IP地址与MAC地址的绑定关系,则会造成DHCP中继的用户地址表项无法实时刷新。为了解决这个问题,DHCP中继支持动态用户地址表项的定时刷新功能。
DHCP中继动态用户地址表项定时刷新功能开启时,DHCP中继每隔指定时间采用客户端获取到的IP地址和DHCP中继接口的MAC地址向DHCP服务器发送DHCP-REQUEST报文:
· 如果DHCP中继接收到DHCP服务器响应的DHCP-ACK报文或在指定时间内没有接收到DHCP服务器的响应报文,则表明这个IP地址已经可以进行分配,DHCP中继会删除动态用户地址表中对应的表项。为了避免地址浪费,DHCP中继收到DHCP-ACK报文后,会发送DHCP-RELEASE报文释放申请到的IP地址。
如果DHCP中继接收到DHCP服务器响应的DHCP-NAK报文,则表示该IP地址的租约仍然存在,DHCP中继不会删除该IP地址对应的表项。
为了方便用户对网络设备进行配置和维护,设备提供了Web登录功能。用户可以通过PC登录到设备上,使用Web界面直观地配置和维护设备。
设备支持的Web登录方式有以下两种:
· HTTP登录方式:HTTP(Hypertext Transfer Protocol,超文本传输协议)用来在Internet上传递Web页面信息。目前,设备支持的HTTP协议版本为HTTP/1.0。
· HTTPS登录方式:HTTPS(Hypertext Transfer Protocol Secure,超文本传输协议的安全版本)是支持SSL(Secure Sockets Layer,安全套接字层)协议的HTTP协议。HTTPS通过SSL协议,能对客户端与设备之间交互的数据进行加密,能为设备制定基于证书属性的访问控制策略,提高了数据传输的安全性和完整性,保证合法客户端可以安全地访问设备,禁止非法客户端访问设备,从而实现了对设备的安全管理。
采用HTTPS登录时,设备上只需使能HTTPS服务,用户即可通过HTTPS登录设备。此时,设备使用的证书为自签名证书,使用的SSL参数为各个参数的缺省值。(自签名证书指的是服务器自己生成的证书,无需从CA获取)
通过引用ACL(Access Control List,访问控制列表),可以对访问设备的登录用户进行控制:
· 当未引用ACL、引用的ACL不存在或者引用的ACL为空时,允许所有登录用户访问设备;
· 当引用的ACL非空时,则只有ACL中permit的用户才能访问设备,其它用户不允许访问设备,可以避免非法用户使用Web页面登录设备。
FTP用于在FTP服务器和FTP客户端之间传输文件,是IP网络上传输文件的通用协议。本设备可作为FTP服务器,使用20端口传输数据,使用21端口传输控制消息。
设备可以开启Telnet服务器功能,以便用户能够通过Telnet登录到设备进行远程管理和监控。
通过引用ACL(Access Control List,访问控制列表),可以对访问设备的登录用户进行控制:
· 当未引用ACL、引用的ACL不存在或者引用的ACL为空时,允许所有登录用户访问设备;
· 当引用的ACL非空时,则只有ACL中permit的用户才能访问设备,其它用户不允许访问设备,可以避免非法用户通过Telnet访问设备。
NTP(Network Time Protocol,网络时间协议)可以用来在分布式时间服务器和客户端之间进行时间同步,使网络内所有设备的时间保持一致,从而使设备能够提供基于统一时间的多种应用。
NTP通过时钟层数来定义时钟的准确度。时钟层数的取值范围为1~15,取值越小,时钟准确度越高。
在某些网络中,例如无法与外界通信的孤立网络,网络中的设备无法与权威时钟进行时间同步。此时,可以从该网络中选择一台时钟较为准确的设备,指定该设备与本地时钟进行时间同步,即采用本地时钟作为参考时钟,使得该设备的时钟处于同步状态。该设备作为时间服务器为网络中的其他设备提供时间同步,从而实现整个网络的时间同步。
通过Web页面可以配置本地时钟作为参考时钟。
ACL(Access Control List,访问控制列表)是一系列用于识别报文流的规则的集合。这里的规则是指描述报文匹配条件的判断语句,匹配条件可以是报文的源地址、目的地址、端口号等。设备依照这些规则识别出特定的报文,并根据预先设定的策略对其进行处理。
ACL包括表6-1所列的几种类型,它们的主要区别在于规则制订依据不同:
表6-1 ACL分类
ACL分类 |
规则制定依据 |
|
IPv4 ACL |
基本ACL |
依据报文的源IPv4地址制订规则 |
高级ACL |
依据报文的源/目的IPv4地址、源/目的端口号、优先级、承载的IPv4协议类型等三、四层信息制订规则 |
|
IPv6 ACL |
基本ACL |
依据报文的源IPv6地址制订规则 |
高级ACL |
依据报文的源/目的IPv6地址、源/目的端口号、优先级、承载的IPv6协议类型等三、四层信息制订规则 |
|
二层ACL |
依据报文的源/目的MAC地址、802.1p优先级、链路层协议类型等二层信息 |
|
自定义ACL |
以报文头为基准,指定从报文的第几个字节开始与掩码进行“与”操作,并将提取出的字符串与用户定义的字符串进行比较,从而找出相匹配的报文 |
一个ACL中可以包含多条规则,设备将报文按照一定顺序与这些规则进行匹配,一旦匹配上某条规则便结束匹配过程。规则匹配顺序有两种:
· 配置顺序:按照规则编号由小到大进行匹配。
· 自动排序:按照“深度优先”原则由深到浅进行匹配,见表6-2(自定义ACL不支持自动排序):
表6-2 各类型ACL的“深度优先”排序法则
ACL分类 |
规则制定依据 |
|
IPv4 ACL |
基本ACL |
1. 先比较源IPv4地址的范围,较小者(即通配符掩码中“0”位较多者)优先 2. 如果源IPv4地址范围相同,再比较配置的先后次序,先配置者优先 |
高级ACL |
1. 先比较协议范围,指定有IPv4承载的协议类型者优先 2. 如果协议范围相同,再比较源IPv4地址范围,较小者优先 3. 如果源IPv4地址范围也相同,再比较目的IPv4地址范围,较小者优先 4. 如果目的IPv4地址范围也相同,再比较TCP/UDP端口号的覆盖范围,较小者优先 5. 如果TCP/UDP端口号的覆盖范围无法比较,则比较配置的先后次序,先配置者优先 |
|
IPv6 ACL |
基本ACL |
1. 先比较源IPv6地址的范围,较小者(即前缀较长者)优先 2. 如果源IPv6地址范围相同,再比较配置的先后次序,先配置者优先 |
高级ACL |
1. 先比较协议范围,指定有IPv6承载的协议类型者优先 2. 如果协议范围相同,再比较源IPv6地址范围,较小者优先 3. 如果源IPv6地址范围也相同,再比较目的IPv6地址范围,较小者优先 4. 如果目的IPv6地址范围也相同,再比较TCP/UDP端口号的覆盖范围,较小者优先 5. 如果TCP/UDP端口号的覆盖范围无法比较,则比较配置的先后次序,先配置者优先 |
|
二层ACL |
1. 先比较源MAC地址范围,较小者(即掩码中“1”位较多者)优先 2. 如果源MAC地址范围相同,再比较目的MAC地址范围,较小者优先 3. 如果目的MAC地址范围也相同,再比较配置的先后次序,先配置者优先 |
· 比较IPv4地址范围的大小,就是比较IPv4地址通配符掩码中“0”位的多少。
· 比较IPv6地址范围的大小,就是比较IPv6地址前缀的长短:前缀越长,范围越小。
· 比较MAC地址范围的大小,就是比较MAC地址掩码中“1”位的多少:“1”位越多,范围越小。
每条规则都有自己的编号,这个编号可由手工指定或由系统自动分配。由于规则编号可能影响规则的匹配顺序,因此当系统自动分配编号时,为方便后续在已有规则之间插入新规则,通常在相邻编号之间留有一定空间,这就是规则编号的步长。系统自动分配编号的方式为:从0开始,按照步长分配一个大于现有最大编号的最小编号。比如原有编号为0、5、9、10和12的五条规则,步长为5,则系统将自动为下一条规则分配编号15。如果步长发生了改变,则原有全部规则的编号都将自动从0开始按新步长重新排列。比如原有编号为0、5、9、10和15的五条规则,当步长变为2后,这些规则的编号将依次变为0、2、4、6和8。
时间段(Time Range)定义了一个时间范围。用户通过创建一个时间段并在某业务中将其引用,就可使该业务在此时间段定义的时间范围内生效。但如果一个业务所引用的时间段尚未配置或已被删除,该业务将不会生效。
譬如,当一个ACL规则只需在某个特定时间范围内生效时,就可以先配置好这个时间段,然后在配置该ACL规则时引用此时间段,这样该ACL规则就只能在该时间段定义的时间范围内生效。
时间段可分为以下两种类型:
· 周期时间段:表示以一周为周期(如每周一的8至12点)循环生效的时间段。
· 绝对时间段:表示在指定时间范围内(如2011年1月1日8点至2011年1月3日18点)生效时间段。
每个时间段都以一个名称来标识,一个时间段内可包含一或多个周期时间段和绝对时间段。当一个时间段内包含有多个周期时间段和绝对时间段时,系统将先分别取各周期时间段的并集和各绝对时间段的并集,再取这两个并集的交集作为该时间段最终生效的时间范围。
QoS即服务质量。对于网络业务,影响服务质量的因素包括传输的带宽、传送的时延、数据的丢包率等。在网络中可以通过保证传输的带宽、降低传送的时延、降低数据的丢包率以及时延抖动等措施来提高服务质量。
QoS策略包含了三个要素:类、流行为、策略。用户可以通过QoS策略将指定的类和流行为绑定起来,灵活地进行QoS配置。
类用来定义一系列的规则来对报文进行识别分类。
流行为用来定义针对类识别后的报文所做的QoS动作。
策略用来将指定的类和流行为绑定起来,对符合分类条件的报文执行流行为中定义的动作。
QoS策略支持以下应用方式:
· 基于接口应用QoS策略:QoS策略对通过接口接收或发送的流量生效。接口的每个方向(出和入两个方向)只能应用一个策略。如果QoS策略应用在接口的出方向,则QoS策略对本地协议报文不起作用。一些常见的本地协议报文如下:链路维护报文、IS-IS、OSPF、RIP、BGP、LDP、RSVP、SSH等。
· 基于VLAN应用QoS策略:QoS策略对通过同一个VLAN内所有接口接收或发送的流量生效。基于VLAN应用的QoS策略不能应用在动态VLAN上,例如GVRP协议创建的VLAN。
· 基于全局应用QoS策略:QoS策略对所有流量生效。
拥塞是指当前供给资源相对于正常转发处理需要资源的不足,从而导致服务质量下降的一种现象。在分组交换以及多用户业务并存的复杂环境下,拥塞又是不可避免的,因此必须采用适当的方法来解决拥塞,通常采用队列的方式完成拥塞管理。下面是三种常用的队列:SP队列,WRR队列和WFQ队列。
图7-1 SP队列示意图
SP队列是针对关键业务类型应用设计的。关键业务有一个重要的特点,即在拥塞发生时要求优先获得服务以减小响应的延迟。优先队列将端口的8个输出队列分成8类,依次为7、6、5、4、3、2、1、0队列,它们的优先级依次降低。
在队列调度时,SP严格按照优先级从高到低的次序优先发送较高优先级队列中的分组,当较高优先级队列为空时,再发送较低优先级队列中的分组。这样,将关键业务的分组放入较高优先级的队列,将非关键业务的分组放入较低优先级的队列,可以保证关键业务的分组被优先传送,非关键业务的分组在处理关键业务数据的空闲间隙被传送。
SP的缺点是:拥塞发生时,如果较高优先级队列中长时间有分组存在,那么低优先级队列中的报文将一直得不到服务。
图7-2 WRR队列示意图
WRR队列在队列之间进行轮流调度,保证每个队列都得到一定的服务时间。以端口有8个输出队列为例,WRR可为每个队列配置一个加权值(依次为w7、w6、w5、w4、w3、w2、w1、w0),加权值表示获取资源的比重。如一个100Mbps的端口,配置它的WRR队列的加权值为50、50、30、30、10、10、10、10(依次对应w7、w6、w5、w4、w3、w2、w1、w0),这样可以保证最低优先级队列至少获得5Mbps的带宽,解决了采用SP调度时低优先级队列中的报文可能长时间得不到服务的问题。
WRR队列还有一个优点是,虽然多个队列的调度是轮询进行的,但对每个队列不是固定地分配服务时间片——如果某个队列为空,那么马上换到下一个队列调度,这样带宽资源可以得到充分的利用。
WRR队列分为:
· 基本WRR队列:基本WRR队列包含多个队列,用户可以定制各个队列的权重,WRR按用户设定的参数进行加权轮询调度。
· 分组WRR队列:所有队列全部采用WRR调度,用户可以根据需要将输出队列划分为WRR优先级队列组1和WRR优先级队列组2。进行队列调度时,设备首先在优先级队列组1中进行轮询调度;优先级队列组1中没有报文发送时,设备才在优先级队列组2中进行轮询调度。
在分组WRR队列中,也可以配置队列加入SP分组,采用严格优先级调度算法。调度时先调度SP组,然后调度其他WRR优先组。
图7-3 WFQ队列示意图
WFQ能够按流的“会话”信息(协议类型、源和目的TCP或UDP端口号、源和目的IP地址、ToS域中的优先级位等)自动进行流分类,并且尽可能多地提供队列,以将每个流均匀地放入不同队列中,从而在总体上均衡各个流的延迟。在出队的时候,WFQ按流的优先级来分配每个流应占有出口的带宽。优先级的数值越小,所得的带宽越少。优先级的数值越大,所得的带宽越多。
例如:接口中当前共有5个流,它们的优先级分别为0、1、2、3、4,则带宽总配额为所有(流的优先级+1)的和,即1+2+3+4+5=15。每个流所占带宽比例为:(自己的优先级数+1)/(所有(流的优先级+1)的和)。即每个流可得的带宽分别为:1/15,2/15,3/15,4/15,5/15。
WFQ和WRR队列调度算法类似,也可以分为基本WFQ队列和分组WFQ队列。在分组WFQ队列中,也可以配置队列加入SP分组,采用严格优先级调度算法。调度时先调度SP组,然后调度其他WFQ优先组。两者差异如下:WFQ支持带宽保证,可以保证端口流量拥塞时能够获得的最小队列带宽。
队列调度策略中的队列支持三种调度方式:SP、WRR、WFQ。在一个队列调度策略中支持SP和WRR、SP和WFQ的混合配置。混合配置时,SP、WRR分组、WFQ分组之间是严格优先级调度,调度优先级按队列号从大到小依次降低,WRR和WFQ分组内部按权重进行调度。以SP和WRR分组混合配置为例,调度关系如图所示。
图7-4 SP和WRR混合配置图
· 队列7(即图中的Q7,下同)优先级最高,该队列的报文优先发送。
· 队列6优先级次之,队列7为空时发送本队列的报文。
· 队列3、4、5之间按照权重轮询调度,在队列7、6为空时调度WRR分组1。
· 队列1、2之间按照权重轮询调度,在队列7、6、5、4、3为空时调度WRR分组2。
队列0优先级最低,其它队列的报文全部发送完毕后调度本队列。
报文在进入设备以后,设备会根据映射规则分配或修改报文的各种优先级的值,为队列调度和拥塞控制服务。
优先级映射功能通过报文所携带的优先级字段来映射其他优先级字段值,就可以获得决定报文调度能力的各种优先级字段,从而为全面有效的控制报文的转发调度等级提供依据。
如果配置了优先级信任模式,即表示设备信任所接收报文的优先级,会自动解析报文的优先级或者标志位,然后按照映射表映射到报文的优先级参数。
如果没有配置优先级信任模式,并且配置了端口优先级值,则表明设备不信任所接收报文的优先级,而是使用端口优先级,按照映射表映射到报文的优先级参数。
按照接收端口的端口优先级,设备通过一一映射为报文分配优先级。
根据报文自身的优先级,查找优先级映射表,为报文分配优先级参数,可以通过配置优先级信任模式的方式来实现。
在配置接口上的优先级模式时,用户可以选择下列信任模式:
· Untrust:不信任任何优先级。
· Dot1p:信任报文自带的802.1p优先级,以此优先级进行优先级映射。
· DSCP:信任IP报文自带的DSCP优先级,以此优先级进行优先级映射。
报文在进入设备以后,设备会根据映射规则分配或修改报文的各种优先级的值,为队列调度和拥塞控制服务。
优先级映射功能通过报文所携带的优先级字段来映射其他优先级字段值,就可以获得决定报文调度能力的各种优先级字段,从而为全面有效的控制报文的转发调度等级提供依据。
设备中提供了三张优先级映射表,分别802.1p优先级到本地优先级映射表、DSCP到802.1p优先级映射表和DSCP到DSCP映射表。如果缺省优先级映射表无法满足用户需求,可以根据实际情况对映射表进行修改。
限速是采用令牌桶进行流量控制。当令牌桶中存有令牌时,可以允许报文的突发性传输;当令牌桶中没有令牌时,报文必须等到桶中生成了新的令牌后才可以继续发送。这就限制了报文的流量不能大于令牌生成的速度,达到了限制流量,同时允许突发流量通过的目的。
评估流量时令牌桶的参数包括:
· 平均速率:向桶中放置令牌的速率,即允许的流的平均速度。通常配置为CIR。
· 突发尺寸:令牌桶的容量,即每次突发所允许的最大的流量尺寸。通常配置为CBS,突发尺寸必须大于最大报文长度。
每到达一个报文就进行一次评估。每次评估,如果桶中有足够的令牌可供使用,则说明流量控制在允许的范围内,此时要从桶中取走满足报文的转发的令牌;否则说明已经耗费太多令牌,流量超标了。
假如在设备的某个接口上配置了限速,所有经由该接口发送的报文首先要经过限速的令牌桶进行处理。如果令牌桶中有足够的令牌,则报文可以发送;否则,报文将进入QoS队列进行拥塞管理。这样,就可以对该接口的报文流量进行控制。
包过滤是指采用ACL规则对接口、VLAN或全局入方向或出方向的报文进行过滤,即对匹配上ACL规则的报文按照其中定义的匹配动作允许或拒绝通过,对未匹配上任何ACL规则的报文则按照指定的缺省动作进行处理。
设备对用户的管理是基于ISP(Internet Service Provider,互联网服务提供者)域的,一个ISP域对应着一套实现AAA(Authentication、Authorization、Accounting,认证、授权、计费)的配置策略,它们是管理员针对该域用户制定的一套认证、授权、计费方法,可根据用户的接入特征以及不同的安全需求组合使用。
设备支持的认证方法包括:
· 不认证:对用户非常信任,不对其进行合法性检查,一般情况下不采用这种方法。
· 本地认证:认证过程在接入设备上完成,用户信息(包括用户名、密码和各种属性)配置在接入设备上。优点是速度快,可以降低运营成本;缺点是存储信息量受设备硬件条件限制。
· 远端认证:认证过程在接入设备和远端的服务器之间完成,接入设备和远端服务器之间通过RADIUS或TACACS协议通信。优点是用户信息集中在服务器上统一管理,可实现大容量、高可靠性、支持多设备的集中式统一认证。当远端服务器无效时,可配置备选认证方式完成认证。
设备支持的授权方法包括:
· 不授权:接入设备不请求授权信息,不对用户可以使用的操作以及用户允许使用的网络服务进行授权。此时,认证通过的login用户只有系统所给予的缺省用户角色,其中FTP/SFTP/SCP用户的工作目录是设备的根目录,但并无访问权限;认证通过的非login用户,可直接访问网络。
· 本地授权:授权过程在接入设备上进行,根据接入设备上为本地用户配置的相关属性进行授权。
· 远端授权:授权过程在接入设备和远端服务器之间完成。RADIUS协议的认证和授权是绑定在一起的,不能单独使用RADIUS进行授权。RADIUS认证成功后,才能进行授权,RADIUS授权信息携带在认证回应报文中下发给用户。TACACS协议的授权和认证相分离,在认证成功后,TACACS授权信息通过授权报文进行交互。当远端服务器无效时,可配置备选授权方式完成授权。
设备支持的计费方法包括:
· 不计费:不对用户计费。
· 本地计费:计费过程在接入设备上完成,实现了本地用户连接数的统计和限制,并没有实际的费用统计功能。
· 远端计费:计费过程在接入设备和远端的服务器之间完成。当远端服务器无效时,可配置备选计费方式完成计费。
每个用户都属于一个ISP域。为便于对不同接入方式的用户进行区分管理,提供更为精细且有差异化的认证、授权、计费服务,设备将用户划分为以下几个类型:
· LAN接入用户。
· 登录用户:例如Telnet、FTP、终端接入用户(即从Console、AUX等接口登录的用户)。
· Portal用户。
在多ISP的应用环境中,不同ISP域的用户有可能接入同一台设备,因此系统中可以存在多个ISP域,其中包括一个缺省存在的名称为system的ISP域。如果某个用户在登录时没有提供ISP域名,系统将把它归于缺省的ISP域。系统缺省的ISP域可以手工修改为一个指定的ISP域。
用户认证时,设备将按照如下先后顺序为其选择认证域:接入模块指定的认证域-->用户名中指定的ISP域-->系统缺省的ISP域。其中,仅部分接入模块支持指定认证域。
RADIUS(Remote Authentication Dial-In User Service,远程认证拨号用户服务)是一种分布式的、客户端/服务器结构的信息交互协议,能保护网络不受未授权访问的干扰,常应用在既要求较高安全性、又允许远程用户访问的各种网络环境中。
· RADIUS客户端:一般位于接入设备上,可以遍布整个网络,负责将用户信息传输到指定的RADIUS服务器,然后根据服务器返回的信息进行相应处理(如接受/拒绝用户接入)。
· RADIUS服务器:一般运行在中心计算机或工作站上,维护用户的身份信息和与其相关的网络服务信息,负责接收接入设备发送的认证、授权、计费请求并进行相应的处理,然后给接入设备返回处理结果(如接受/拒绝认证请求)。
RADIUS协议使用UDP作为封装RADIUS报文的传输层协议,通过使用共享密钥机制来保证客户端和RADIUS服务器之间消息交互的安全性。
当接入设备对用户提供AAA(Authentication、Authorization、Accounting,认证、授权、计费)服务时,若要对用户采用RADIUS服务器进行认证、授权、计费,则作为RADIUS客户端的接入设备上需要配置相应的RADIUS服务器参数。
设备重启后,重启前的原在线用户可能会被RADIUS服务器认为仍然在线而短时间内无法再次登录。为了解决这个问题,需要开启Accounting-on功能。
开启了Accounting-on功能后,设备会在重启后主动向RADIUS服务器发送Accounting-on报文来告知自己已经重启,并要求RADIUS服务器停止计费且强制通过本设备上线的用户下线。若设备发送Accounting-on报文后RADIUS服务器无响应,则会在按照一定的时间间隔尝试重发几次。分布式设备单板重启时,Accounting-on功能的实现需要和H3C IMC网管系统配合使用。
H3C的IMC RADIUS服务器使用session control报文向设备发送授权信息的动态修改请求以及断开连接请求。设备上开启接收session control报文的开关后,会打开知名UDP端口1812来监听并接收RADIUS服务器发送的session control报文。
需要注意的是,该功能仅能和H3C的IMC RADIUS服务器配合使用。
本地认证泛指由接入设备对用户进行认证、授权和计费,进行本地认证的用户的信息(包括用户名、密码和各种属性)配置在接入设备上。
为使某个请求网络服务的用户可以通过本地认证,需要在设备上添加相应的用户条目。所谓用户,是指在设备上设置的一组用户属性的集合,该集合以用户名唯一标识。
为了简化用户的配置,增强用户的可管理性,引入了用户组的概念。用户组是一系列公共用户属性的集合,某些需要集中管理的公共属性可在用户组中统一配置和管理,属于该用户组的所有用户都可以继承这些属性。
通过配置向导,可以将设备配置为SmartMC网络的管理设备。包括管理IP地址、出接口以及管理用户。
SmartMC网络有管理设备和成员设备两种角色:
· 管理设备:管理SmartMC网络中所有设备。
· 成员设备:SmartMC网络中被管理的设备。
管理设备开启SmartMC功能时,会同时配置如下DHCP服务:
· 开启DHCP服务。
· 创建名称为SMARTMC的DHCP地址池。
· 将VLAN1接口所在网段配置为DHCP地址池动态分配IP地址网段。
· 地址池动态分配IP地址的范围。
· DHCP客户端(成员设备)使用的自动配置文件。自动配置文件中包含将设备配置为成员设备时所需配置。成员设备以出厂配置启动时,获取文件中的配置完成启动,并自动加入到SmartMC网络。
· 配置DHCP地址池中分配的IP地址的租约为无限长。
· 配置VLAN1接口引用的地址池。
将管理设备切换为成员设备时,将进行如下操作:
· 关闭DHCP服务。
· 删除DHCP地址池。
· 取消VLAN1接口工作在DHCP服务器模式。
将管理设备切换为成员设备时后,请手工删除FTP服务器中原管理设备备份的配置文件。否则,切换后的成员设备可能下载原管理设备的配置文件并运行,导致网络冲突。
配置网络拓扑收集时间间隔。
FTP服务器用于保存成员设备升级使用的启动软件和配置文件,以及管理设备和成员设备正常运行过程中备份的配置文件。
用户可以配备专用的FTP服务器,也可以配置管理设备作为FTP服务器:
· 如果使用管理设备作为FTP服务器,请保证管理设备有足够的存储资源保存成员设备所需要的文件。
· 如果使用专用的FTP服务器,建议将FTP服务器和管理设备相连,FTP服务器将使用VLAN 1和管理设备、成员设备通信。如果将FTP服务器和成员设备相连,为成员设备创建VLAN后,会将成员设备和FTP服务器相连的接口划入新创建的VLAN,从而导致FTP服务器和SmartMC网络断开连接。关于一键部署VLAN的详细介绍,请参见“9.3.4 一键部署VLAN”。
配置SmartMC网络中的用户与外部网络互通使用的接口。
两台成员设备之间存在多条物理链路时,自动形成一条以太网逻辑链路,实现增加链路带宽的目的,同时这些捆绑在一起的链路通过相互动态备份,可以有效地提高链路的可靠性。
关闭SmartMC功能后,会使设备拓扑SmartMC网络,不可管理其它设备或被管理,且设备中SmartMC相关配置会被清除。
在管理设备上创建了SmartMC组,并将成员设备加入SmartMC组,对设备进行配置或升级时,指定对应的SmartMC组即可完成对组内所有成员设备的操作。SmartMC组的匹配规则类型有匹配IP地址、匹配MAC地址以及匹配设备类型。
升级成员设备的启动软件和配置文件。可以升级指定设备或SmartMC组。在升级过程中,可以查看设备的升级状态,并对未开始升级或对正在从FTP服务器下载文件的设备取消升级。
· 对于升级时间,有三种选项:延时升级、定时升级、立即升级。如果用户选择了立即升级,则无法取消升级;如果用户选择了延时升级或者定时升级,在设备开始升级前,还可以选择取消升级。
· 如果选择定时升级,所指定的时间以管理设备上的时间为准,不以当前PC的时间为准。如果当前PC和管理设备的系统时间不一致,请同步当前PC和管理设备的系统时间,以便于使用本功能。
备份指定设备或SmartMC组的配置文件。用户可以配置自动备份间隔以及最多同时备份配置文件的成员设备的数量,还可以查看设备的备份状态。
为便于对端口进行批量配置,以简化设备管理,可以为成员设备创建VLAN,将成员设备中所有未连成员设备和管理设备的Access类型的端口加入到VLAN中。
· 对于如下情况,端口不会加入创建的VLAN中:
¡ 成员设备上与管理设备相连的Access类型的端口。
¡ 成员设备之间直接相连的Access类型端口。
¡ 连接离线设备的Access类型端口。需要用户手动清除离线设备后再次执行该操作。
· 如果成员设备创建VLAN成功,但是没有成功的向VLAN中添加所有满足条件的端口,则所有满足条件的端口的配置将恢复到创建VLAN前的状态。
· 一台成员设备创建VLAN失败不会影响其他成员设备的VLAN创建。
用户可以新建命令行批处理文件、向指定成员设备或SmartMC组下发批量配置以及查看下发状态。命令行批处理文件可以保存在管理设备的Flash存储介质中,也可以保存在FTP服务器上。
当管理设备通过LLDP感知到有AP或者IP电话接入SmartMC网络时,会先将端口下的配置恢复到默认情况,再根据设备类型,自动向端口下发指定的命令行批处理文件中的配置。
· 端口批量配置文件中的配置必须全部为端口视图下的配置,否则可能导致配置错误。
· 命令行批处理文件的内容不能超过8190字符。
· 配置命令行批处理文件时,设备不检查命令行批处理文件名称的正确性,因此,配置端口智能识别时,请保证其正确性。配置完成后,请不要删除或重命名此文件。
· 当AP或IP电话和SmartMC网络断开连接后,有设备通过此端口再次接入时:
¡ 如果接入的仍未AP或者IP电话管理设备会先将端口下的配置恢复到缺省请况,再向此端口下发配置。
¡ 如果接入的不是AP和IP电话,管理设备会将端口下的配置恢复到缺省情况。
对指定成员设备或SmartMC组进行资源监控,包括CPU使用率、内存使用率以及设备的温度信息。用户可以配置资源监控时间间隔以及资源监控数据的老化时间。
替换故障设备分为自动替换和手动替换:
· 自动替换:配置该功能后,管理设备会记录所有成员设备的位置信息。用户将新成员设备安装到原来故障成员设备的位置,管理设备先判断新加入设备的邻居信息是否稳定,若稳定则判断新成员设备与故障成员设备的型号、拓扑位置以及端口连接是否一致。如果一致,则进行故障替换操作,管理设备通知新成员设备到FTP服务器下载原故障成员设备的配置文件。新成员设备下载配置文件并运行配置文件中的配置。
· 手动替换:用户将新成员设备安装到原来故障成员设备的位置,并在拓扑页面中执行手动替换操作。此时新成员设备到FTP服务器下载原故障成员设备的配置文件并运行配置文件中的配置。
· 手动刷新拓扑图:根据邻居信息和设备信息刷新当前页面中的拓扑图。
· 拓扑信息收集:获取当前网络中设备信息,设备间的邻居信息和端口信息。
· 保存拓扑信息:将当前网络拓扑信息保存到Flash中的topology.dba中,重启管理设备时,管理设备和成员设备根据该拓扑文件恢复原来的网络拓扑。保存拓扑信息之后,如果网络拓扑与保存的拓扑信息不同,则从拓扑图中显示出来。
¡ 表示保存网络拓扑信息后,SmartMC网络中正常运行的成员设备。
¡ 表示在保存的网络拓扑基础上新增的设备。
¡ 表示在保存的网络拓扑基础上离线的设备。
· 拓扑初始化:清除SmartMC网络中的离线设备,并将当前网络中成员设备的状态重置为新组建SmartMC网络时的状态。
· 手动替换:用户将新成员设备安装到原来故障成员设备的位置后,执行该操作,新成员设备到FTP服务器下载原故障成员设备的配置文件并运行配置文件中的配置。请注意:
¡ 新加入的成员设备的型号、IRF编号必须与故障成员设备一致。
¡ 手动替换故障成员设备功能前,请务必将新成员设备安装到原故障成员设备的位置,并连接好线缆。
· 添加设备:将不能自动加入SmartMC网络的设备手动添加到SmartMC网络。对于如下情况,需要手动将成员设备添加到SmartMC网络:
¡ 仅开启SmartMC功能,但未配置SmartMC功能所需其他配置的设备(添加设备按钮的右上角会显示不能自动加入SmartMC网络的设备的数量)。
¡ 未配置任何SmartMC相关配置的设备(该情况下,虽然可以将成员设备加入到SmartMC网络,但无法正常使用,需要用户完善相关配置)。
用户可以通过拓扑图中设备间的连线颜色判断端口速率。由于页面中展现的是最近一个统计周期(缺省情况下,接口的报文速率统计周期为300秒)内的接口的报文速率统计信息,所以Web页面展现的端口速率具有一定的延迟性。您可以根据实际需求,使用flow-interval命令来调整接口统计报文信息的时间间隔。
· 端口认证:端口认证包括三种认证方式,分别为Web认证、802.1X认证和MAC地址认证。
¡ Web认证通过Web页面接受用户输入的用户名和密码,对用户进行身份认证,以达到对用户访问进行控制的目的。Web认证通常部署在接入层以及需要保护的关键数据入口处实施访问控制。在采用了Web认证的组网环境中,用户可以主动访问已知的Portal Web服务器网站进行Web认证,也可以在访问任意非Portal Web服务器网站时,被重定向到Portal Web服务器网站,继而开始Web认证。
¡ 802.1X认证基于802.1X协议。802.1X协议是一种基于端口的网络接入控制协议,即在局域网接入设备的端口上对所接入的用户和设备进行认证,以便控制用户设备对网络资源的访问。
¡ MAC地址认证是一种基于端口和MAC地址对用户的网络访问权限进行控制的认证方法,无需安装客户端软件。设备在启动了MAC地址认证的端口上首次检测到用户的MAC地址以后,启动对该用户的认证操作。认证过程中,不需要用户手动输入用户名或密码。若该用户认证成功,则允许其通过端口访问网络资源,否则该用户的MAC地址就被设置为静默MAC。在静默时间内,来自此MAC地址的用户报文到达时,设备直接做丢弃处理,以防止非法MAC短时间内的重复认证。
· 批量配置端口:设备面板中选择端口,并点击该按键后,将命令行批处理文件中的配置下发到对应端口上。
· 设备命名:修改管理设备或成员设备的名称。
· 登录Web页面:登录成员设备的Web页面。
· 重启设备:重启选中的成员设备。设备支持如下重启方式:
¡ 保存配置并重启。
¡ 强制重启。
¡ 出厂配置重启。对于支持自动配置的设备,设备以出厂配置重启后会进入自动配置流程。
重启设备会导致业务中断,请谨慎使用。
· 成员设备日志:显示成员设备的日志缓冲区日志、成员设备重启日志、AP重启日志等日志信息。成员设备重启日志保存在管理设备上,每台成员最多保存10条重启日志信息。
· 监控信息:显示成员设备的资源监控信息,如CPU利用率、内存利用率、温度以及监控信息。
设备列表展现了SmartMC网络中的所有设备。用户可以自定义成员设备类型并查看自定义设备类型。
本地用户即为需要进行网络接入的用户,对这些用户进行激活操作后,可通过设备访问网络服务。
对本地用户进行激活操作后的用户,这些用户通过端口认证后即可访问网络服务。
设备产生的日志信息按严重性可划分为如表10-1所示的八个等级,各等级的严重性依照数值从0~7依次降低。
数值 |
信息等级 |
描述 |
0 |
emergency |
表示设备不可用的信息,如系统授权已到期 |
1 |
alert |
表示设备出现重大故障,需要立刻做出反应的信息,如流量超出接口上限 |
2 |
critical |
表示严重信息,如设备温度已经超过预警值,设备电源、风扇出现故障等 |
3 |
error |
表示错误信息,如接口链路状态变化等 |
4 |
warning |
表示警告信息,如接口连接断开,内存耗尽告警等 |
5 |
notification |
表示正常出现但是重要的信息,如通过终端登录设备,设备重启等 |
6 |
informational |
表示需要记录的通知信息,如通过命令行输入命令的记录信息,执行ping命令的日志信息等 |
7 |
debugging |
表示调试过程产生的信息 |
系统可以向日志缓冲区(logbuffer)、日志主机(loghost)等方向发送日志信息。日志信息的各个输出方向相互独立,可在页面中分别设置。
为了保证系统时间的准确性,设备从NTP服务器获取系统时间,并对NTP服务器的身份进行验证。
图11-1 系统时间配置组网图
(1) 配置NTP客户端Device
Device的系统时间在“设备 > 维护 > 系统设置”页面配置,配置步骤为:
· 在日期和时间页签下选择自动同步网络日期和时间,采用的协议为网络时间协议(NTP)。
· 勾选对时钟源进行身份验证。
· 指定身份验证密钥ID为100,密钥值为aabbcc。
· 指定NTP服务器的IP地址为10.1.1.2,并工作在服务器模式,添加身份验证密钥ID100。
(2) 配置NTP服务器
在NTP服务器上开启NTP服务,并配置身份验证功能。具体配置方法以采用的NTP服务器为准,配置过程略。
完成上述配置后,可以看到系统时钟处于同步状态,且设备的系统时间与NTP服务器上的系统时间保持一致。
在Switch上配置一个管理员帐户,用于用户采用HTTP方式登录Switch,具体要求如下:
· 用户使用管理员帐户登录时,Switch对其进行本地认证;
· 管理员帐户名称为webuser,密码为12345;
· 通过认证之后,用户被授予角色network-admin。
图11-2 管理员配置组网图
· 配置VLAN和VLAN接口
进入Switch的“网络 > 链路 > VLAN”页面,创建VLAN 2。进入VLAN 2的详情页面,将与管理员PC相连的接口加入VLAN 2的Tagged端口列表,并创建VLAN接口2,配置VLAN接口2的IP地址为192.168.1.20/24。
(1) 配置管理员账户
管理员帐户在“设备 > 维护 > 管理员”页面配置,配置步骤为:
· 添加管理员。
· 配置用户名为webuser,密码为12345。
· 选择角色为network-admin。
· 指定可用的服务为HTTP。
(2) 开启HTTP和HTTPS服务
HTTP服务在“网络 > 服务 > HTTP/HTTPS”页面配置,配置步骤为:
· 开启HTTP登录服务。
· 开启HTTPS登录服务。
(1) 完成上述配置后,在管理员页面上可以看到已成功添加的管理员帐户。
(2) 用户在PC的Web浏览器地址栏中输入http://192.168.1.20并回车后,浏览器将显示Web登录页面。用户在该登录页面中输入管理员帐户名称、密码以及验证码后,即可成功登录设备的Web页面进行相关配置。
为了增加接入接口的数量,简化网络拓扑,使用Switch A和Switch B上的XGE1/0/49和XGE1/0/50组成IRF。
图11-3 IRF配置组网图
(1) Switch A的配置
# 在“设备 > 虚拟化 > IRF”页面配置IRF,配置步骤为:
· 基本配置:进入成员设备1的详情页面,将设备的新成员编号配置为2;为了让该设备当选为Master,将优先级配置为10。
· 绑定IRF端口:进入IRF接口1的详情页面,将IRF接口1和物理接口XGE1/0/49和XGE1/0/50绑定,模式均选默认增强模式。
· 高级配置:开启自动合并功能,将域编号配置为10。
# 激活IRF端口配置,激活时选择保存当前配置,重启设备,以便新成员编号生效。
(2) Switch B的配置
# 在“设备 > 虚拟化 > IRF”页面配置IRF,配置步骤为:
· 基本配置:进入成员设备1的详情页面,将设备的新成员编号配置为3。
· 绑定IRF端口:进入IRF接口2的详情页面,将IRF接口2和物理接口XGE1/0/49和XGE1/0/50绑定,模式均选普通。
· 高级配置:开启自动合并功能,将域编号配置为10。
# 激活IRF端口配置,激活时选择保存当前配置。
# 将Switch A的接口XGE1/0/49和XGE1/0/50和Switch B的接口XGE1/0/49和XGE1/0/50相连。
相连后,Switch B会自动重启,和Switch A组成IRF。
设备上的XGE1/0/49、XGE1/0/50、XGE1/0/51和XGE1/0/52接口均可和IRF端口绑定,用于IRF连接。其中XGE1/0/49和XGE1/0/50为光口,需要用光模块/光纤连接;XGE1/0/51和XGE1/0/52为电口,用以太网线连接即可。光口和电口可以绑定到同一个IRF端口,要求本端和对端的接口类型一致。
登录Switch A的Web页面,在Switch A的“设备 > 虚拟化 > IRF”页面查看拓扑信息,可以看到:
· IRF中有成员设备2(Switch A)和成员设备3(Switch B),并互相形成邻居。
· IRF接口处于连接状态。
· Switch A与Switch B通过各自的二层以太网接口GigabitEthernet1/0/1~GigabitEthernet1/0/3相互连接。
· 在Switch A和Switch B上分别配置二层静态链路聚合组,以提高链路的可靠性。
图11-4 以太网链路聚合配置组网图
(1) 配置以太网链路聚合
以太网链路聚合在“网络 > 接口 > 链路聚合”页面配置,配置步骤为:
· 在Switch A上添加二层聚合组10,指定聚合模式为静态聚合,将接口GigabitEthernet1/0/1~GigabitEthernet1/0/3加入到该聚合组中。
· Switch B配置与Switch A相同。
(2) 配置VLAN和VLAN接口
VLAN在“网络 > 链路 > VLAN”页面配置,配置步骤为:
· 在Switch A上创建VLAN 10。进入VLAN 10的详情页面,将与Host A相连的接口GigabitEthernet1/0/4加入VLAN 10的Untagged端口列表,将接口GigabitEthernet1/0/1~GigabitEthernet1/0/3加入VLAN 10的Tagged端口列表。
· Switch B配置与Switch A相同。
完成上述配置后,在链路聚合页面中可以看到GigabitEthernet1/0/1~GigabitEthernet1/0/3已经加入到静态聚合组10。Host A能够Ping通Host B。Switch A与Switch B之间的一条链路故障后,Host A仍然能够Ping通Host B。
小区用户Host A、Host B、Host C分别与Switch的端口GigabitEthernet1/0/1、GigabitEthernet1/0/2、GigabitEthernet1/0/3相连,Switch通过GigabitEthernet1/0/4端口与外部网络相连。现需要实现小区用户Host A、Host B和Host C彼此之间二层报文不能互通,但可以和外部网络通信。
图11-5 端口隔离配置组网图
端口隔离在“网络 > 接口 > 端口隔离”页面配置,配置步骤为:
· 创建隔离组2。
· 进入隔离组2的详情页面,配置端口GigabitEthernet1/0/1、GigabitEthernet1/0/2、GigabitEthernet1/0/3加入隔离组2的接口列表。
完成上述配置后,GigabitEthernet1/0/1、GigabitEthernet1/0/2、GigabitEthernet1/0/3实现二层隔离,Host A、Host B和Host C彼此之间不能ping通。
· Host A和Host C属于部门A,但是通过不同的设备接入公司网络;Host B和Host D属于部门B,也通过不同的设备接入公司网络。
· 为了通信的安全性,也为了避免广播报文泛滥,公司网络中使用VLAN技术来隔离部门间的二层流量。其中部门A使用VLAN 100,部门B使用VLAN 200。
图11-6 VLAN配置组网图
(1) 配置Switch A
进入Switch A的“网络 > 链路 > VLAN”页面,进行如下配置:
· 在Switch A上创建VLAN 100和VLAN 200。
· 进入VLAN 100的详情页面,配置端口GigabitEthernet1/0/1加入VLAN 100的Untagged端口列表(Host A不识别VLAN Tag);配置端口GigabitEthernet1/0/3加入VLAN 100的Tagged端口列表(Switch B需判断报文所属VLAN)。
· 进入VLAN 200的详情页面,配置端口GigabitEthernet1/0/2加入VLAN 200的Untagged端口列表(Host B不识别VLAN Tag);配置端口GigabitEthernet1/0/3加入VLAN 200的Tagged端口列表(Switch B需判断报文所属VLAN)。
(2) 配置Switch B
Switch B上进行与Switch A相同的VLAN配置,配置过程略。
完成上述配置后,Host A和Host C能够互相ping通,但是均不能ping通Host B和Host D。Host B和Host D能够互相ping通,但是均不能ping通Host A和Host C。
· 现有一台用户主机Host A,它的MAC地址为00-0f-e2-35-dc-71,属于VLAN 1,连接Switch的端口GigabitEthernet1/0/1。为防止假冒身份的非法用户骗取数据,在Switch的MAC地址表中为该用户主机添加一条静态表项。
· 另有一台用户主机Host B,它的MAC地址为00-0f-e2-35-ab-cd,属于VLAN 1。由于该用户主机曾经接入网络进行非法操作,为了避免此种情况再次发生,在Switch上添加一条黑洞MAC地址表项,使该用户主机接收不到报文。
· 配置Switch的动态MAC地址表项老化时间为500秒。
图11-7 MAC地址配置组网图
MAC地址在“网络 > 链路 > MAC”页面配置,配置步骤为:
· 增加一条静态MAC地址表项,MAC地址为00-0f-e2-35-dc-71,出接口为GigabitEthernet1/0/1,且该接口属于VLAN 1。
· 增加一条黑洞MAC地址表项,MAC地址为00-0f-e2-35-ab-cd,属于VLAN 1。
· 进入配置页面,配置动态MAC地址表项的老化时间为500秒。
完成上述配置后,在MAC地址表页面中可以看到已经创建的MAC地址表项,并且Host B无法Ping通Host A。
通过在Switch A和Switch B上配置LLDP功能,实现:
· Switch A可以发现Switch B,并获取Switch B的系统及配置等信息。
· Switch B不可以发现Switch A。
图11-8 LLDP配置组网图
LLDP在“网络 > 链路 > LLDP”页面配置。两台设备上的配置分别为:
· 在Switch A上全局开启LLDP功能。进入接口状态页面,在接口GigabitEthernet1/0/1上开启LLDP功能。进入接口设置页面,开启接口GigabitEthernet1/0/1的最近桥代理功能,并配置该接口的工作模式为只接收报文,使得Switch A能够发现邻居。
· 在Switch B上全局开启LLDP功能。进入接口状态页面,在接口GigabitEthernet1/0/1上开启LLDP功能。进入接口设置页面,开启接口GigabitEthernet1/0/1的最近桥代理功能,并配置该接口的工作模式为只发送报文,使得Switch B不能够发现邻居。
完成上述配置后,在Switch A的LLDP邻居页面中可以看到Switch B的信息,邻居关系建立;Switch B的LLDP邻居页面中没有邻居信息。
Switch B通过以太网端口GigabitEthernet1/0/1连接到合法DHCP服务器,通过以太网端口GigabitEthernet1/0/3连接到非法DHCP服务器,通过GigabitEthernet1/0/2连接到DHCP客户端。要求:
· 与合法DHCP服务器相连的端口可以转发DHCP服务器的响应报文,而其他端口不转发DHCP服务器的响应报文。
· 记录DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文中DHCP客户端IP地址及MAC地址的绑定信息,并将绑定关系保存在FTP服务器上的文件中。
图11-9 DHCP Snooping配置组网图
(1) 配置DHCP服务器Switch A(具体配置过程略)
(2) 配置FTP服务器
开启FTP服务,配置登录名为User,登录密码为Password。(具体配置过程略)
(3) 配置Switch B
DHCP Snooping功能在“网络 > 链路 > DHCP Snooping”页面配置,配置步骤为:
· 开启DHCP Snooping功能。
· 配置连接合法DHCP服务器的接口GigabitEthernet1/0/1为信任接口。
· 在连接DHCP客户端的接口GigabitEthernet1/0/2上开启表项记录功能。
· 在高级设置页面,配置DHCP Snooping设备的表项备份功能:将DHCP Snooping表项备份到远端服务器,URL地址为ftp://10.1.1.1/database.dhcp,指定访问远端服务器时使用的用户名为User,密码为Password。该URL地址表示远端服务器为FTP服务器、地址为10.1.1.1、备份文件名称为database.dhcp。
完成上述配置后,DHCP客户端只能从合法DHCP服务器获取IP地址和其它配置信息,非法DHCP服务器无法为DHCP客户端分配IP地址和其他配置信息。在DHCP Snooping上可以查看到记录的DHCP Snooping表项,同时FTP服务器上的文件database.dhcp中也保存了对应的DHCP Snooping表项信息。
Switch通过下行口连接主机,通过接口GigabitEthernet1/0/1连接Device。接口GigabitEthernet1/0/1属于VLAN 10,IP地址为192.168.1.2/24。Device接口的IP地址为192.168.1.1/24,MAC地址为10e0-fc01-0001。
为了增加Switch和Device通信的安全性,可以在Switch上为Device配置一条静态ARP表项,从而防止攻击报文修改此表项的IP地址和MAC地址对应关系。
图11-10 添加静态ARP表项配置组网图
(1) 配置VLAN和VLAN接口
进入Switch的“网络 > 链路 > VLAN”页面,创建VLAN 10。进入VLAN 10的详情页面,配置端口GigabitEthernet1/0/1加入VLAN 10的Tagged端口列表,并创建VLAN接口10,配置VLAN接口10的IP地址为192.168.1.2/24。
(2) 配置ARP表项
ARP在Switch的“网络 > IP > ARP”页面配置,配置步骤为:
· 添加静态ARP表项。
· 配置IP地址为192.168.1.1。
· 配置MAC地址为10-e0-fc-01-00-01。
· 指定报文转发的VLAN为10,接口为GigabitEthernet1/0/1。
完成上述配置后,在Switch上可以看到新增一条静态ARP表项。
为了避免记忆复杂的IP地址,Switch希望通过便于记忆的主机名访问某一主机。在Switch上手工配置IP地址对应的主机名,利用静态域名解析功能,就可以实现通过主机名访问该主机。
在本例中,Switch访问的主机IP地址为10.1.1.2,主机名为host.com。
图11-11 静态DNS配置组网图
(1) 配置VLAN和VLAN接口
进入Switch的“网络 > 链路 > VLAN”页面,创建VLAN 10。进入VLAN 10的详情页面,配置端口GigabitEthernet1/0/1加入VLAN 10的Tagged端口列表,并创建VLAN接口10,配置VLAN接口10的IP地址为10.1.1.1/24。
(2) 配置静态域名解析
进入Switch的“网络 > IP > DNS”页面,配置静态域名解析:主机名为host.com,对应的IPv4地址为10.1.1.2。
完成上述配置后,在Switch上执行ping host.com命令,可以解析到host.com对应的IP地址为10.1.1.2,并能够ping通主机。
为了避免记忆复杂的IP地址,Switch希望通过便于记忆的域名访问某一主机。如果网络中存在域名服务器,则可以利用动态域名解析功能,实现通过域名访问主机。
在本例中:
· 域名服务器的IP地址是2.1.1.2/16,域名服务器上存在域名host.com和IP地址3.1.1.1的对应关系。
· Switch作为DNS客户端,使用动态域名解析功能,将域名解析为IP地址。
· Switch上配置域名后缀com,以便简化访问主机时输入的域名。例如,通过输入host即可访问域名为host.com、IP地址为3.1.1.1/16的主机Host。
图11-12 动态DNS配置组网图
(1) 配置路由
在各设备上配置静态路由或动态路由协议,使得各设备之间路由可达。(具体配置过程略)
(2) 配置域名服务器
在DNS server上添加域名host.com和IP地址3.1.1.1的映射关系。(具体配置过程略)
(3) 在Switch上配置动态域名解析
进入Switch的“网络 > IP > DNS”页面,配置域名服务器地址为2.1.1.2。在高级设置页面,配置域名后缀为com。
完成上述配置后,在Switch上执行ping host命令,可以解析到host对应的IP地址为3.1.1.1,并能够ping通主机。
· Switch为Internet上的用户提供Web服务,使用的域名为whatever.3322.org。
· 为保证Switch的IP地址变化后,Internet上的用户仍然可以利用域名whatever.3322.org访问Switch,Switch需要通过www.3322.org提供的DDNS服务及时通知DNS服务器更新域名和IP地址的对应关系。
· DNS服务器的IP地址为1.1.1.1。Switch通过该DNS服务器将DDNS服务器的域名www.3322.org解析为IP地址61.160.239.78。
图11-13 与www.3322.org互通的DDNS配置组网图
(1) 在DDNS服务器上申请账户
登录http://www.3322.org申请帐户,帐户名为abc,密码为123。(具体配置过程略)
(2) 配置DNS服务器
在DNS服务器上分别创建3322.org和IP地址61.160.239.18、whatever.3322.org和IP地址2.1.1.1的对应关系。(具体配置过程略)
(3) 配置路由
在各设备上配置静态路由或动态路由协议,使得各设备之间路由可达。(具体配置过程略)
(4) 配置DDNS客户端Switch
# 进入“网络 > 链路 > VLAN”页面,创建VLAN 10。进入VLAN 10的详情页面,配置端口GigabitEthernet1/0/1加入VLAN 10的Tagged端口列表,并创建VLAN接口10,配置VLAN接口10的IP地址为2.1.1.1/24。
# 进入“网络 > IP > 动态DNS”页面配置DDNS,配置步骤为:
· 创建名为3322的动态DDNS策略。
· 配置服务提供商为www.3322.org。
· 配置登录用户名为abc,登录密码为123。
· 配置定时发起更新请求的时间间隔为15分钟。
· 配置关联接口为VLAN接口10,当VLAN接口10的IP地址发生变化后,Switch先通过DNS服务器查到DDNS server的IP地址,然后及时通知DDNS server更新域名和接口IP地址的对应关系。
· 配置FQDN(即关联接口IP地址对应的域名)为whatever.3322.org。
# 进入“网络 > IP > DNS”页面,配置DNS服务器地址为1.1.1.1。
完成上述配置后,修改Switch的VLAN接口10的地址为2.1.1.2/24。一段时间后,在Host上ping域名whatever.3322.org,可以解析到对应的IP地址更新为2.1.1.2。
Switch 的VLAN接口10通过EUI-64方式生成前缀为2001::/64的全球单播地址。
图11-14 IPv6地址静态配置组网图
(1) 配置VLAN和VLAN接口
进入Switch的“网络 > 链路 > VLAN”页面,创建VLAN 10。进入VLAN 10的详情页面,配置端口GigabitEthernet1/0/1加入VLAN 10的Tagged端口列表,并创建VLAN接口10。
(2) 配置IPv6地址
IPv6地址在Switch的“网络 > IPv6 > IPv6”页面设置。进入VLAN接口10的详情页面,配置接口地址为2001::,前缀长度为64,接口类型使用EUI-64方式生成。
完成上述配置后,在Switch上查看到VLAN接口10的IPv6全球单播地址为2001::5EDD:70FF:FEB1:86D0,同时VLAN接口10上会自动生成一个链路本地地址FE80::5EDD:70FF:FEB1:86D0。
如图11-15所示,Switch B通过ND消息发布前缀信息,Switch A使用无状态自动方式、根据Switch B发布的前缀信息生成全局单播IPv6地址。
图11-15 ND配置组网图
(1) 配置Switch B
# 进入“网络 > 链路 > VLAN”页面,创建VLAN 10。进入VLAN 10的详情页面,配置端口GigabitEthernet1/0/2加入VLAN 10的Tagged端口列表,并创建VLAN接口10。
# 进入“网络 > IPv6 > IPv6”页面。进入VLAN接口10的详情页面,配置接口地址为2001::1/64。
# ND在“网络 > IPv6 > ND”页面配置,配置步骤为:
· 在高级设置页面,添加RA前缀:指定RA前缀的发送接口为VLAN接口10、前缀地址为2001::1、前缀长度为64、有效生命期为2592000秒、首选生命期为604800秒,用于无状态地址配置。
· 在高级设置页面,修改接口上的RA参数设置:取消接口抑制RA消息发送功能,设置最大发布间隔为600秒、最小发布间隔为200秒、路由器生存时间为1800秒。
(2) 配置Switch A
# 进入“网络 > 链路 > VLAN”页面,创建VLAN 10。进入VLAN 10的详情页面,配置端口GigabitEthernet1/0/2加入VLAN 10的Tagged端口列表,并创建VLAN接口10。
# 进入“网络 > IPv6 > IPv6”页面。进入VLAN接口10的详情页面,配置VLAN接口10通过无状态自动配置生成全球单播地址。
完成上述配置后,可以看到Switch A的VLAN接口10上自动生成了全球单播地址2001::EDA:41FF:FE5A:2AC8,该地址前缀与Switch B发布的RA前缀相同。
· Switch通过端口GigabitEthernet1/0/1和GigabitEthernet1/0/2分别连接市场部和技术部,并通过端口GigabitEthernet1/0/3连接Server。
· 通过配置本地端口镜像,使Server可以监控所有进、出市场部和技术部的报文。
图11-16 端口镜像配置组网图
端口镜像在“网络 > 镜像 > 端口镜像”页面配置,配置步骤为:
· 创建本地镜像组1。
· 配置本地镜像组1的源端口为GigabitEthernet1/0/1和GigabitEthernet1/0/2,并指定对双方向的流量都进行镜像。
· 配置本地镜像组1的目的端口为GigabitEthernet1/0/3。
完成上述配置后,用户可以通过Server监控所有进、出市场部和技术部的报文。
在Switch A、Switch B和Switch C上配置静态路由,实现主机之间的两两互通。
图11-17 IPv4静态路由配置组网图
IPv4静态路由在“网络 > 路由 > 静态路由”页面配置。三台交换机上的配置分别为:
· 在Switch A上创建一条IPv4静态路由表项,指定目的IP地址为0.0.0.0、掩码长度为0、下一跳地址为1.1.4.2,该路由用来匹配所有的目的IP地址。
· 在Switch B上创建到达Host A所在网段和Host C所在网段的两条IPv4静态路由表项:
¡ 到达Host A所在网段的路由:目的IP地址为1.1.2.0、掩码长度为24,、下一跳地址为1.1.4.1;
¡ 到达Host C所在网段的路由:目的IP地址为1.1.3.0、掩码长度为24、下一跳地址为1.1.5.6。
· 在Switch C上创建一条IPv4静态路由表项,指定目的IP地址为0.0.0.0、掩码长度为0、下一跳地址为1.1.5.5,该路由用来匹配所有的目的IP地址。
完成上述配置后,在任意一台主机上可以ping通另外两台主机。
在Switch A和Switch B上配置RIP,实现主机之间的互通。
图11-18 RIP配置组网图
# RIP在“网络 > 路由 > RIP”页面配置。两台交换机上的配置分别为:
· 在Switch A上开启RIP,新建RIP实例100,并通过指定网段地址1.1.1.0、网段掩码255.255.255.0和网段地址2.1.1.0、网段掩码255.255.255.0来添加网段1.1.1.0/24和2.1.1.0/24。
· 在Switch B上开启RIP,新建RIP实例100,并通过指定网段地址1.1.1.0、网段掩码255.255.255.0和网段地址10.1.1.0、网段掩码255.255.255.0来添加网段1.1.1.0/24和10.1.1.0/24。
完成上述配置后,在页面上可以看到已经创建的RIP实例及其相关信息,Host A和Host B之间可以相互ping通。
通过策略路由控制由Switch A产生的TCP报文的下一跳为1.1.2.2,其它类型报文仍然按照查找路由表的方式进行转发。
图11-19 IPv4本地策略路由配置组网图
IPv4本地策略路由在“网络 > 路由 > 策略路由”页面配置,在Switch A上的配置步骤为:
· 创建节点编号为5,匹配模式为允许的IPv4策略路由pbr。
· 创建IPv4高级ACL 3001,定义规则为允许IP协议类型为6(TCP)的报文通过。
· 指定策略路由pbr的报文匹配规则为IPv4 ACL 3001。
· 设置报文转发下一跳IP地址为1.1.2.2。
· 对本设备发送的IPv4报文应用策略pbr。
由于Telnet使用的是TCP协议,ping使用的是ICMP协议,完成上述配置后:
· 在Switch A上可以成功通过Telnet方式登录Switch B。
· 在Switch A上无法通过Telnet方式登录Switch C。
· 在Switch A上可以ping通Switch C。
· 如图11-20所示,在一个没有三层网络设备的纯二层网络中,组播源Source 1向组播组224.1.1.1发送组播数据,Host A和Host B都是该组播组的接收者,且都使用IGMPv2。
· 由于该网络中没有可运行IGMP的三层网络设备,因此由Switch A来充当IGMP查询器,并将其发出的IGMP查询报文的源IP地址配置为非0.0.0.0,以免影响各交换机上IGMP snooping转发表项的建立从而导致组播数据无法正常转发。
· 为防止交换机在没有相应转发表项时将组播数据在VLAN内广播,在所有交换机上都开启丢弃未知组播数据报文功能。
图11-20 IGMP Snooping配置组网图
IGMP Snooping在“网络 > 组播 > IGMP Snooping”页面配置。三台交换机上的配置分别为:
· 在Switch A的VLAN 1内开启版本2的IGMP snooping,并开启丢弃未知组播数据报文功能和充当IGMP查询器功能,然后将普遍组查询报文和特定组查询报文的源IP地址都配置为192.168.1.10。
· 在Switch B的VLAN 1内开启版本2的IGMP snooping,并开启丢弃未知组播数据报文功能。
· 在Switch C的VLAN 1内开启版本2的IGMP snooping,并开启丢弃未知组播数据报文功能。
完成上述配置,并且接收者申请加入组播组224.1.1.1之后,在页面上可以看到该组播组对应的IGMP snooping转发表项。
· 如图11-21所示,在一个没有三层网络设备的纯二层网络中,组播源Source 1向IPv6组播组FF1E::101发送IPv6组播数据,Host A和Host B都是该IPv6组播组的接收者,且都使用MLDv1。
· 由于该网络中没有可运行MLD的三层网络设备,因此由Switch A来充当MLD查询器。
· 为防止交换机在没有相应转发表项时将IPv6组播数据在VLAN内广播,在所有交换机上都开启丢弃未知IPv6组播数据报文功能。
图11-21 MLD Snooping配置组网图
MLD Snooping在“网络 > 组播 > MLD Snooping”页面配置。三台交换机上的配置分别为:
· 在Switch A的VLAN 1内开启版本1的MLD snooping,并开启丢弃未知IPv6组播数据报文功能和充当MLD查询器功能。
· 在Switch B的VLAN 1内开启版本1的MLD snooping,并开启丢弃未知IPv6组播数据报文功能。
· 在Switch C的VLAN 1内开启版本1的MLD snooping,并开启丢弃未知IPv6组播数据报文功能。
完成上述配置,并且接收者申请加入IPv6组播组FF1E::101之后,在页面上可以看到该IPv6组播组对应的MLD snooping转发表项。
DHCP客户端所在网段为10.10.1.0/24,DHCP服务器的IP地址为10.1.1.1/24。由于DHCP客户端和DHCP服务器不在同一网段,因此,需要在客户端所在网段设置DHCP中继设备,以便客户端可以从DHCP服务器申请到10.10.1.0/24网段的IP地址及相关配置信息。
图11-22 DHCP配置组网图
(1) 配置路由
在各设备上配置静态路由或动态路由协议,使得各设备之间路由可达。(具体配置过程略)
(2) 配置DHCP服务器Switch C
# 在“网络 > 链路 > VLAN”页面配置VLAN,配置步骤为:
· 创建VLAN 20。
· 进入VLAN 20的详情页面,配置端口GigabitEthernet1/0/2加入VLAN 20的Tagged端口列表,并创建VLAN接口20,配置VLAN接口20的地址为10.1.1.1/24。
# 在“网络 > 服务 > DHCP”页面配置DHCP服务器功能,配置步骤为:
· 开启DHCP服务。
· 配置VLAN接口20工作在DHCP服务器模式。
· 在地址池页面,创建名称为pool1的地址池,配置该地址池动态分配的地址段为10.10.1.0/24,在地址池选项中配置网关地址为10.10.1.1。
· 在高级设置页面,配置冲突地址检查功能中的发送回显请求报文的最大数目为1,等待回显应答报文的超时时间为500毫秒。
(3) 配置DHCP中继Switch B
# 在“网络 > 链路 > VLAN”页面配置VLAN,配置步骤为:
· 创建VLAN 10和VLAN 20。
· 进入VLAN 10的详情页面,配置端口GigabitEthernet1/0/1加入VLAN 10的Tagged端口列表,并创建VLAN接口10,配置VLAN接口10的地址为10.10.1.1/24。
· 进入VLAN 20的详情页面,配置端口GigabitEthernet1/0/2加入VLAN 20的Tagged端口列表,并创建VLAN接口20,配置VLAN接口20的地址为10.1.1.2/24。
# 在“网络 > 服务 > DHCP”页面配置DHCP中继功能,配置步骤为:
· 开启DHCP服务。
· 配置VLAN接口10工作在DHCP中继模式,并指定DHCP服务器的IP地址为10.1.1.1。
· 在高级设置页面,开启中继用户信息记录功能和中继表项定时刷新功能,配置刷新时间间隔为100秒。
(4) 配置DHCP客户端Switch A
# 在“网络 > 链路 > VLAN”页面配置VLAN,配置步骤为:
· 创建VLAN 10。
· 进入VLAN 10的详情页面,配置端口GigabitEthernet1/0/1加入VLAN 10的Tagged端口列表;并创建VLAN接口10。
# 在“网络 > IP > IP”页面配置DHCP客户端功能,配置步骤为:进入VLAN接口10的详情页面,配置VLAN接口10通过DHCP自动获取IP地址。
完成上述配置后,在DHCP服务器的已分配地址表中可以查看到已分配的IP地址;在DHCP中继表项中可以查看到对应的DHCP中继表项;在DHCP客户端上可以查看到获取的IP地址信息。
· Device A采用本地时钟作为参考时钟,使得自己的时钟处于同步状态。
· Device A作为时间服务器为Device B提供时间同步。
图11-23 NTP配置组网图
(1) 配置NTP服务器Device A
进入Device A的“网络 > 服务 > NTP”页面,配置步骤为:
· 开启NTP服务。
· 配置本地时钟的IP地址为127.127.1.0。
· 配置本地时钟所处的层数为2。
(2) 配置NTP客户端Device B
系统时间在“设备 > 维护 > 系统设置”页面配置,配置步骤为:
· 在日期和时间页签下选择自动同步网络日期和时间,采用的协议为网络时间协议(NTP)。
· 指定NTP服务器(即时钟源)的IP地址为1.0.1.11,并指定时钟源工作在服务器模式。
完成上述配置后,Device B与Device A进行时间同步。此时Device B层数比Device A的层数大1,为3。
当三个部门访问Internet的流量发生拥塞时,要求按照2:1:1的比例依次调度管理部、研发部和市场部的流量。同时,保证发往Internet的所有数据总速率不得超过15Mbps。
图11-24 QoS配置组网图
(1) 配置QoS策略
QoS策略在“QoS > QoS > QoS策略”页面配置。在接口GigabitEthernet1/0/2、GigabitEthernet1/0/3、GigabitEthernet1/0/4的入方向上应用QoS策略后,在策略详情中修改应用的策略,此处创建如下三个QoS策略:
· 创建IPv4 ACL 2001,添加一条允许源IP为192.168.1.0、通配符掩码为0.0.0.255的报文通过的规则;定义匹配该ACL的类;指定流行为为重标记报文的802.1p优先级为0。
· 创建IPv4 ACL 2002,添加一条允许源IP为192.168.2.0、通配符掩码为0.0.0.255的报文通过的规则;定义匹配该ACL的类;指定流行为为重标记报文的802.1p优先级为1。
· 创建IPv4 ACL 2003,添加一条允许源IP为192.168.3.0、通配符掩码为0.0.0.255的报文通过的规则;定义匹配该ACL的类;指定流行为为重标记报文的802.1p优先级为2。
(2) 配置优先级映射
优先级信任模式在“QoS > QoS > 优先级映射”页面配置。具体配置为:指定在接口GigabitEthernet1/0/1、GigabitEthernet1/0/2、GigabitEthernet1/0/3、GigabitEthernet1/0/4的优先级信任模式为信任Dot1p优先级。
优先级映射表在“QoS > QoS > 优先级映射”页面配置。具体配置为:将802.1p优先级到本地优先级映射表中,输入值为0、1、2对应的输出值分别改为0、1、2。
(3) 配置接口的硬件队列
接口的硬件队列在“QoS > QoS > 硬件队列”页面配置。进入接口GigabitEthernet1/0/1的详情页面,配置该接口的队列调度算法为WRR(byte-count),并将编号为0、1、2的队列的字节数分别修改为2、1、1。
(4) 配置接口限速
接口限速在“QoS > QoS > 限速”页面配置。具体配置为:在接口GigabitEthernet1/0/1的出方向上配置限速的CIR为15360千比特每秒。
完成上述配置后,可以在QoS策略页面查看策略的应用状态,也可以在硬件队列页面查看接口下队列的配置情况。
某公司要求,允许总裁办在任意时间、财务部在工作时间(每周工作日的8点到18点)访问财务数据库服务器,禁止其它部门在任何时间、财务部在非工作时间访问该服务器。
图11-25 通过ACL进行包过滤配置组网图
包过滤在“安全 > 包过滤 > 包过滤”页面配置。配置步骤为:
· 创建接口的包过滤策略,在Switch的VLAN接口10的出方向上指定包过滤规则为IPv4 ACL。
· 创建IPv4高级ACL 3000,并按顺序制定三条规则:
¡ 允许协议类型为256(IP),源IP为192.168.1.0、通配符掩码为0.0.0.255,目的IP为192.168.0.100、通配符掩码为0的报文通过。
¡ 创建周期时间段work,指定开始时间为08:00,结束时间为18:00,生效时间为每周一、周二、周三、周四和周五。允许协议类型为256(IP),源IP为192.168.2.0、通配符掩码为0.0.0.255,目的IP为192.168.0.100、通配符掩码为0,生效时间段为work的报文通过。
¡ 拒绝协议类型为256(IP),目的IP为192.168.0.100、通配符掩码为0的报文通过。
· 开启ACL规则的匹配统计功能。
完成上述配置后,在页面上可以看到已经创建的IPv4高级ACL的规则状态。总裁办主机在任何时间都可以ping通财务数据库服务器;在工作时间财务部主机可以ping通该服务器;市场部在任何时间都不能ping通该服务器。
用户通过Switch的端口GigabitEthernet1/0/1接入网络,Switch对该端口接入的用户进行802.1X认证以控制其访问Internet,具体要求如下:
· RADIUS服务器作为认证/授权/计费服务器与Switch相连,其IP地址为10.1.1.1/24。
· 端口GigabitEthernet1/0/1下的所有接入用户均需要单独认证,当某个用户下线时,也只有该用户无法使用网络。
· Switch对802.1X用户进行认证时,采用RADIUS认证方式,认证ISP域为dm1X。
· Switch与RADIUS认证/授权和计费服务器交互报文时的共享密钥均为name,认证/授权、计费的端口号分别为1812和1813,向RADIUS服务器发送的用户名不携带域名。
图11-26 802.1X用户的RADIUS认证配置组网图
(1) 配置各接口的IP地址(略)
(2) 在Switch上配置RADIUS方案
RADIUS方案在“安全 > 认证 > RADIUS”页面配置,配置步骤为:
· 添加RADIUS方案,名称为802.1X。
· 指定主认证服务器IP地址为10.1.1.1,端口号为1812,共享密钥为name。设置主认证服务器状态为活动。
· 指定主计费服务器IP地址为10.1.1.1,端口号为1813,共享密钥为name。设置主计费服务器状态为活动。
· 指定发送给RADIUS服务器的用户名格式为不携带域名。
(3) 在Switch上配置ISP域
ISP域在“安全 > 认证 > ISP域”页面配置,配置步骤为:
· 添加ISP域,名称为dm1X,并将该ISP域的状态设置为活动。
· 指定接入方式为LAN接入。
· 指定LAN接入AAA方案的认证、授权和计费的方法均为RADIUS,方案都选择802.1X。
(4) 在Switch上配置802.1X
802.1X认证在“安全 > 接入 > 802.1X”页面配置,配置步骤为:
· 开启Switch的802.1X认证功能。
· 在接口GigabitEthernet1/0/1上开启802.1X认证功能,指定接入控制方式为基于MAC认证的方式。
· 在接口GigabitEthernet1/0/1的高级设置页面上,指定授权状态为自动识别,端口的强制认证ISP域为dm1X。
(5) 配置RADIUS服务器
在RADIUS服务器上添加用户帐户,保证用户的认证/授权/计费功能正常运行。具体配置方法请参考关于RADIUS服务器的配置说明。
(1) 在“安全 > 认证 > RADIUS”页面上,可以看到已添加成功的RADIUS方案802.1X的概要信息。
(2) 在“安全 > 认证 > ISP域”页面上,可以看到已添加成功的ISP域的dm1X的概要信息。
(3) 用户启动802.1X客户端,输入正确的用户名和密码之后,可以成功上线,在“安全 > 接入 > 802.1X”页面中,可以查看接口GigabitEthernet1/0/1的当前用户数。
用户通过Switch的端口GigabitEthernet1/0/1接入网络,Switch对该端口接入的用户进行802.1X认证以控制其访问Internet,具体要求如下:
· Switch对802.1X用户采用本地认证,认证域为abc。
· 802.1X用户的认证名为dotuser,认证密码为12345。
· 端口GigabitEthernet1/0/1上只要有一个802.1X用户认证成功后,从该端口接入的其它用户无须认证就可使用网络资源。
图11-27 802.1X用户的本地认证配置组网图
(1) 配置各接口的IP地址(略)
(2) 配置本地用户
本地用户在“安全 > 认证 > 本地认证”页面配置,配置步骤为:
· 添加用户,用户名为dotuser,密码为12345。
· 指定可用的服务为LAN接入。
(3) 配置ISP域
ISP域在“安全 > 认证 > ISP域”页面配置,配置步骤为:
· 添加ISP域,名称为abc,并将该ISP域的状态设置为活动。
· 指定接入方式为LAN接入。
· 指定LAN接入AAA方案的认证方法为本地认证,授权方法为本地授权,计费方法为不计费。
(4) 配置802.1X
802.1X认证在“安全 > 接入 > 802.1X”页面配置,配置步骤为:
· 开启Switch的802.1X认证功能。
· 在接口GigabitEthernet1/0/1上开启802.1X认证功能,指定接入控制方式为基于端口认证的方式。
· 在接口GigabitEthernet1/0/1的高级设置页面上,指定授权状态为自动识别,端口的强制认证ISP域为abc。
(1) 完成上述配置后,在“安全 > 认证 > 本地认证”页面上可以看到已成功添加的本地用户,在“安全 > 认证 > ISP域”页面上可以看到已经成功添加的ISP域。
(2) 用户启动802.1X客户端,输入正确的用户名和密码之后,可以成功上线,在“安全 > 接入 > 802.1X”页面中,可以查看到接口GigabitEthernet1/0/1上的当前用户数为1。
SmartMC网络的物理连接如图11-28所示,TM为管理设备,TC 1~TC 3为成员设备。通过手动方式建立SmartMC网络,在管理设备上配置接口GigabitEthernet1/0/1为SmartMC网络的出接口,并通过SmartMC组升级所有成员设备的配置文件。
· 所有成员设备的设备类型都相同,均为S5560-EI系列设备。
· Host通过GigabitEthernet1/0/1接口连接到管理设备,Host和GigabitEthernet1/0/1接口的IP地址在网段192.168.56.0/24内。管理设备及各成员设备的Vlan-interface 1接口的IP地址在网段192.168.2.0/24内。
· FTP服务器的IP地址为192.168.2.1,用户名为admin,密码为admin。
· 配置文件名称为startup.cfg,存放在FTP服务器上。
图11-28 SmartMC配置举例组网图
(1) 配置TC 1。
# 配置VLAN1接口。
<TC1> system-view
[TC1] interface vlan-interface 1
[TC1-Vlan-interface1] ip address 192.168.2.3 24
[TC1-Vlan-interface1] quit
# 开启HTTP、HTTPS服务。
[TC1] ip http enable
[TC1] ip https enable
# 开启成员设备的Telnet服务。
[TC1] telnet server enable
# 开启基于HTTP的NETCONF over SOAP功能。
[TC 1] netconf soap http enable
# 全局开启LLDP功能。
[TC1] lldp global enable
# 配置设备支持SNMPv2c版本。
[TC1] snmp-agent sys-info version v2c
# 创建SNMP只读团体public。
[TC1] snmp-agent community read public
有关snmp-agent sys-info version和snmp-agent community的详细介绍,请参见“网络管理和监控命令参考”中的“SNMP”。
# 配置本地用户admin,密码为admin、服务类型为Telnet、HTTP和HTTPS、RBAC角色为network-admin。
[TC1] local-user admin
[TC1-luser-manage-admin] password simple admin
[TC1-luser-manage-admin] service-type telnet http https
[TC1-luser-manage-admin] authorization-attribute user-role network-admin
[TC1-luser-manage-admin] quit
# 配置VTY用户线0~63的认证方式为scheme。
[TC1] line vty 0 63
[TC1-line-vty0-63] authentication-mode scheme
[TC1-line-vty0-63] quit
(2) 配置TC 2和TC 3。请参照配置TC 1的方法配置TC 2和TC 3,此处不再赘述。
(3) 配置TM。
# 配置GigabitEthernet1/0/1接口。
<TM> system-view
[TM] interface gigabitethernet 1/0/1
[TM-GigabitEthernet1/0/1] port link-mode route
[TM-GigabitEthernet1/0/1] ip address 192.168.56.1 24
[TM-GigabitEthernet1/0/1] quit
# 开启HTTP、HTTPS服务。
[TM] ip http enable
[TM] ip https enable
# 配置本地用户admin,密码为admin、服务类型为HTTP和HTTPS、RBAC角色为network-admin。
[TM] local-user admin
[TM-luser-manage-admin] password simple admin
[TM-luser-manage-admin] service-type http https
[TM-luser-manage-admin] authorization-attribute user-role network-admin
[TM-luser-manage-admin] quit
# 配置VTY用户线0~63的认证方式为scheme。
[TM] line vty 0 63
[TM-line-vty0-63] authentication-mode scheme
[TM-line-vty0-63] quit
(4) 登录TM的Web管理页面,进入SmartMC管理页面,进行配置。
a. 进入“管理IP”页面,配置管理IP地址为“192.168.2.2”,掩码长度为24。
b. 进入“出接口”页面,配置出接口为GigabitEthernet1/0/1。
c. 进入“管理用户”页面,配置用户名为admin、密码为admin。
d. 完成配置。
(5) 配置FTP服务器。
进入“智能管理 > FTP服务器页面”,配置FTP服务器地址为192.168.2.1,FTP用户名为admin,密码为admin。
(6) 将TC 1、TC 2和TC 3添加到SmartMC网络中。
进入“可视化 > 拓扑页面”,点击“添加设备”按钮,依次将TC 1、TC 2和TC 3添加到SmartMC网络中。
(7) 创建SmartMC组。
进入“智能运维 > SmartMC组”页面,点击“添加”按钮,添加组名称为“S1”、匹配规则类型为“IP地址”、IP地址为“192.168.2.0”、掩码长度为24的SmartMC组。
(8) 配置SmartMC组的升级配置文件。
进入“智能运维 > 升级设备”页面,选择“升级SmartMC组”,点击SmartMC组“S1”后的编辑按钮,配置其升级文件,升级文件类型选择“配置文件”,配置文件名称填写“startup.cfg”。
(9) 立即升级SmartMC组的配置文件。
选中SmartMC组“S1”,点击右上角的“升级”按钮,升级对象选择“配置文件”,升级时间选择“立即”,然后点击“确定”。
# 登录TM的Web管理页面,进入“SmartMC > 可视化 拓扑”页面,如下图所示,可查看到SmartMC网络拓扑结构。
图11-29 SmartMC网络拓扑图
# 登录TM的Web管理页面,进入“SmartMC > 可视化 > 拓扑”页面,选中TC 1,点击“登录Web页面”按钮,如下图所示,能够访问TC 1的Web管理页面。
图11-30 TC 1的Web管理页面
# 登录TM的Web管理页面,进入“SmartMC > 智能运维 > 升级设备”页面,点击“查看升级状态”按钮,如下图所示,查看到SmartMC组“S1”的配置文件的升级状态,各设备配置文件升级成功。
图11-31 查看成员设备升级状态
用户不仅可以通过Web页面来管理设备,还可以通过CLI来管理设备。
CLI作为Web配置方式的一种补充,在Web页面不可用时,可以通过CLI对设备进行基本配置和管理。
设备支持的命令行如表12-1所示。用户通过Console或Telnet方式登录设备后,就进入了用户视图。设备上的所有命令都是在用户视图下执行的。用户登录后能否使用这些命令行与用户的角色有关。缺省情况下,具有缺省用户角色的用户可以执行对应的命令,可以通过Web页面来修改执行该命令的用户角色。 Console和Telnet登录方式的详细介绍,请参见产品安装手册。
命令形式 |
命令作用 |
ping host |
检查指定IPv4地址是否可达,并输出相应的统计信息 |
ping ipv6 host |
检查指定IPv6地址是否可达,并输出相应的统计信息 |
quit |
退出登录 |
reboot [ slot slot-number ] [ force ] |
重启成员设备 |
telnet remote-host [ service-port ] [ vpn-instance vpn-instance-name ] [ source { interface interface-type interface-number | ip ip-address } | dscp dscp-value ] * |
Telnet登录到远端设备,以便进行远程管理 |
telnet ipv6 remote-host [ -i interface-type interface-number ] [ port-number ] [ vpn-instance vpn-instance-name ] [ source { interface interface-type interface-number | ipv6 ipv6-address } | dscp dscp-value ] * |
IPv6组网环境下,Telnet登录到远程主机,以便进行远程管理 |
ping命令用来检查指定IPv4地址是否可达,并输出相应的统计信息。
【命令】
ping host
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
host:目的端的IPv4地址或主机名。其中,主机名为1~253个字符的字符串,不区分大小写,字符串仅可包含字母、数字、“-”、“_”或“.”。
【使用指导】
在执行命令过程中,键入<Ctrl+C>可终止ping操作。
【举例】
# 检查IPv4地址为1.1.2.2的设备是否可达。
<Sysname> ping 1.1.2.2
Ping 1.1.2.2 (1.1.2.2): 56 data bytes, press CTRL_C to break
56 bytes from 1.1.2.2: icmp_seq=0 ttl=254 time=2.137 ms
56 bytes from 1.1.2.2: icmp_seq=1 ttl=254 time=2.051 ms
56 bytes from 1.1.2.2: icmp_seq=2 ttl=254 time=1.996 ms
56 bytes from 1.1.2.2: icmp_seq=3 ttl=254 time=1.963 ms
56 bytes from 1.1.2.2: icmp_seq=4 ttl=254 time=1.991 ms
--- Ping statistics for 1.1.2.2 ---
5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss
round-trip min/avg/max/std-dev = 1.963/2.028/2.137/0.062 ms
表12-2 ping命令显示信息描述表
字段 |
描述 |
Ping 1.1.2.2 (1.1.2.2): 56 data bytes, press CTRL_C to break |
检查IP地址为1.1.2.2的设备是否可达。每个ICMP回显请求报文中的数据为56字节,按组合键Ctrl+C可以终止ping操作 |
56 bytes from 1.1.2.2: icmp_seq=0 ttl=254 time=4.685 ms |
收到IP地址为1.1.2.2的设备回复的ICMP响应报文,若超时仍没有收到ICMP响应报文,则不输出信息 · bytes表示ICMP响应报文中的数据字节数 · icmp_seq表示报文序号,用来判断报文是否有分组丢失、失序或重复 · ttl表示ICMP响应报文中的TTL值 · time表示响应时间 |
--- Ping statistics for 1.1.2.2 --- |
ping操作中收发数据的统计结果 |
5 packet(s) transmitted |
发送的ICMP回显请求报文数 |
5 packet(s) received |
收到的ICMP响应报文数 |
0.0% packet loss |
未响应请求报文占发送的总请求报文的百分比 |
round-trip min/avg/max/std-dev = 4.685/4.761/4.834/0.058 ms |
响应时间的最小值、平均值、最大值和标准方差,单位为毫秒 |
ping ipv6命令用来检查指定IPv6地址是否可达,并输出相应的统计信息。
【命令】
ping ipv6 host
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
host:目的端的IPv6地址或主机名。其中,主机名为1~253个字符的字符串,不区分大小写,字符串仅可包含字母、数字、“-”、“_”或“.”。
【使用指导】
在执行命令过程中,键入<Ctrl+C>可终止ping ipv6操作。
【举例】
# 检查IPv6地址为2001::2的设备是否可达。
<Sysname> ping ipv6 2001::2
Ping6(56 data bytes) 2001::1 --> 2001::2, press CTRL_C to break
56 bytes from 2001::2, icmp_seq=0 hlim=64 time=62.000 ms
56 bytes from 2001::2, icmp_seq=1 hlim=64 time=23.000 ms
56 bytes from 2001::2, icmp_seq=2 hlim=64 time=20.000 ms
56 bytes from 2001::2, icmp_seq=3 hlim=64 time=4.000 ms
56 bytes from 2001::2, icmp_seq=4 hlim=64 time=16.000 ms
--- Ping6 statistics for 2001::2 ---
5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss
round-trip min/avg/max/std-dev = 4.000/25.000/62.000/20.000 ms
以上信息表明,目的端可达,源端发出的ICMPv6回显请求报文均能得到回应,报文往返时间的最小值、平均值、最大值和标准方差分别为4ms、25ms、62ms和20ms。
表12-3 ping ipv6命令显示信息描述表
字段 |
描述 |
Ping6 (56 data bytes) 2001::1 --> 2001::2, press CTRL_C to break |
从源地址2001::1给目的地址2001::2发送一个ICMPv6回显请求报文,每个ICMPv6回显请求报文中的数据为56字节,按组合键Ctrl+C可以终止IPv6 ping操作 |
56 bytes from 2001::2, icmp_seq=0 hlim=64 time=62.000 ms |
收到IPv6地址为2001::2的设备回复的ICMPv6响应报文,其中: · 数据字节数为56 · 报文序号为1 · hop limit值为64 · 响应时间是62ms |
--- Ping6 statistics for 2001::2 --- |
IPv6 ping操作中收发数据的统计结果 |
5 packet(s) transmitted |
发送的ICMPv6回显请求报文数 |
5 packet(s) received |
收到的ICMPv6响应报文数 |
0.0% packet loss |
未响应请求报文占发送的总请求报文的百分比 |
round-trip min/avg/max/ std-dev =4.000/25.000/62.000/20.000 ms |
响应时间的最小值、平均值、最大值和标准方差,单位为毫秒 |
quit命令用来使用户从当前视图退回到上一层视图。
【命令】
quit
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【使用指导】
如果当前是用户视图,执行quit后,会断开当前连接,退出系统。
【举例】
# 退出当前登录。
<Sysname> quit
reboot命令用来重启成员设备。
【命令】
reboot [ slot slot-number ] [ force ]
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
slot slot-number:表示设备在IRF中的成员编号。不指定该参数时,会重启所有成员设备。
force:强制重启:
· 不指定该参数时,重启设备,系统会做一些保护性检查(如启动软件包是否存在,是否正在写存储介质等),若检查不通过则退出处理,不会重启设备;
· 指定该参数时,系统将不进行任何检查,直接执行重启操作。
【使用指导】
需要注意的是:
· 重新启动可能会导致业务中断,请谨慎使用该命令。
· 如果主用启动软件包损坏或者不存在,则不能通过reboot命令重启设备。此时,可以通过指定新的主用启动软件包再重启。
· 如果设备在准备重启时,用户正在进行文件操作,为了安全起见,系统将不会执行此次重启操作。
· 使用force参数时,系统在重启时不会做任何保护性措施。重启后,可能导致文件系统损坏,请谨慎使用该参数。建议在系统故障或无法正常重启时,才使用该参数。
【举例】
# 重启所有成员设备。
<Sysname> reboot
Start to check configuration with next startup configuration file, please wait.........DONE!
Current configuration may be lost after the reboot, save current configuration? [Y/N]:y
Please input the file name(*.cfg)[flash:/startup.cfg]
(To leave the existing filename unchanged, press the enter key):
flash:/startup.cfg exists, overwrite? [Y/N]:y
Validating file. Please wait...
Saved the current configuration to mainboard device successfully.
This command will reboot the device. Continue? [Y/N]:y
Now rebooting, please wait...
# 强制重启所有设备。
<Sysname> reboot force
A forced reboot might cause the storage medium to be corrupted. Continue? [Y/N]:y
Now rebooting, please wait...
表12-4 reboot命令显示信息描述表
字段 |
描述 |
Start to check configuration with next startup configuration file, please wait.........DONE! Current configuration may be lost after the reboot, save current configuration? [Y/N]: |
检查当前配置是否和下次启动配置文件的内容一致。设备重启后,当前配置可能丢失,询问用户是否保存当前配置 |
Please input the file name(*.cfg)[flash:/startup.cfg] (To leave the existing filename unchanged, press the enter key) |
请输入保存当前配置的文件的名称,缺省为下次启动配置文件。如果将当前配置保存到下次启动配置文件,直接输入回车即可 |
flash:/startup.cfg exists, overwrite? [Y/N]: |
xx文件已存在,是否覆盖(需输入y才会保存当前配置) |
Validating file. Please wait |
正在检验文件的合法性,请等待 |
Saved the current configuration to mainboard device successfully. |
成功将当前配置保存到主设备 |
This command will reboot the device. Continue? [Y/N]: |
是否重启设备 |
A forced reboot might cause the storage medium to be corrupted. Continue? [Y/N]: |
执行强制重启可能会导致存储介质损坏,是否继续 |
Now rebooting, please wait |
系统正在重启,请稍候 |
telnet命令用于Telnet登录到远端设备,以便进行远程管理。
【命令】
telnet remote-host [ service-port ] [ vpn-instance vpn-instance-name ] [ source { interface interface-type interface-number | ip ip-address } | dscp dscp-value ] *
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
remote-host:远端设备的IPv4地址或主机名。其中,主机名为1~253个字符的字符串,不区分大小写,字符串仅可包含字母、数字、“-”、“_”或“.”。
service-port:远端设备提供Telnet服务的TCP端口号,取值范围为0~65535,缺省值为23。
vpn-instance vpn-instance-name:指定远端设备所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示远端设备位于公网中。
source:指定Telnet报文的源接口或源IPv4地址。如果未指定本参数,则使用路由出接口的主IP地址作为设备发送的Telnet报文的源IPv4地址。
interface interface-type interface-number:指定源接口,发送的Telnet报文的源IPv4地址为该接口的地址。interface-type interface-number为接口类型和接口编号。
ip ip-address:指定Telnet报文的源IPv4地址。
dscp-value:Telnet客户端向服务器端发送Telnet报文的DSCP优先级,取值范围为0~63,缺省值为48。
【使用指导】
FIPS模式下,不支持本命令。
用户可以使用<Ctrl+K>组合键或quit命令来中断本次Telnet登录。
本命令指定的源IPv4地址或源接口只对当前Telnet连接有效。
【举例】
# Telnet登录到远程主机(IP地址为1.1.1.2),并指定发送Telnet报文的源IP地址为1.1.1.1。
<Sysname> telnet 1.1.1.2 source ip 1.1.1.1
telnet ipv6命令用于IPv6组网环境下,Telnet登录到远程主机,以便进行远程管理。
【命令】
telnet ipv6 remote-host [ -i interface-type interface-number ] [ port-number ] [ vpn-instance vpn-instance-name ] [ source { interface interface-type interface-number | ipv6 ipv6-address } | dscp dscp-value ] *
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
remote-host:远端设备的IPv6地址或主机名。其中,主机名为1~253个字符的字符串,不区分大小写,字符串仅可包含字母、数字、“-”、“_”或“.”。
-i interface-type interface-number:指定Telnet报文的出接口。interface-type interface-number为接口类型和接口编号。当Telnet指定的服务端IPv6地址是全球单播地址时,则不能指定该参数;当指定的服务端IPv6地址为链路本地地址时,必须指定该参数。
port-number:远端设备提供Telnet服务的TCP端口号,取值范围为0~65535,缺省值为23。
vpn-instance vpn-instance-name:指定远端设备所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示远端设备位于公网中。
source:指定Telnet报文的源接口或源IPv6地址。如果未指定本参数,则使用路由出接口的主IPv6地址作为Telnet报文的源IPv6地址。
interface interface-type interface-number:指定源接口,发送的Telnet报文的源IPv6地址为该接口的主地址。interface-type interface-number为接口类型和接口编号。
ipv6 ipv6-address:指定Telnet报文的源IPv6地址。
dscp-value:IPv6 Telnet客户端向服务器端发送Telnet报文的DSCP优先级,取值范围为0~63,缺省值为48。
【使用指导】
FIPS模式下,不支持本命令。
用户可以使用<Ctrl+K>组合键或quit命令来中断本次Telnet登录。
【举例】
# Telnet登录到远程主机,IPv6地址为5000::1。
<Sysname> telnet ipv6 5000::1
H3C 交换机Web配置指导-6W100-整本手册.pdf (1.59 MB)