目  录

1 产品概述

1.1 产品简介

1.2 主要特性

1.2.1 强大的功能特性

1.2.2 友好的用户界面

1.2.3 丰富的统计诊断功能和管理方式

1.3 典型组网应用

2 如何快速登录Web

2.1 建立网络连接

2.1.1 有线方式

2.1.2 无线方式

2.2 取消代理服务器

2.3 登录设备Web设置页面

3 快速使用指南

3.1 首页

3.2 上网设置

3.3 无线设置

3.4 终端管理

4 系统监控

4.1 系统信息

4.1.1 简介

4.1.2 配置步骤

4.2 系统日志

4.2.1 简介

4.2.2 查看日志信息

4.2.3 管理日志信息

4.3 端口流量

4.3.1 简介

4.3.2 配置步骤

5 接口管理

5.1 WAN设置

5.1.1 简介

5.1.2 配置步骤

5.2 LAN设置

5.2.1 简介

5.2.2 配置步骤

5.3 VLAN设置

5.3.1 简介

5.3.2 设置VLAN基本参数

5.3.3 设置端口VLAN划分

5.4 DHCP列表

5.4.1 简介

5.4.2 配置步骤

5.5 IPv6设置

5.5.1 简介

5.5.2 配置步骤

6 无线管理

6.1 无线配置

6.1.1 2.4G/5G设置

6.1.2 全局设置

6.2 AP管理

6.2.1 AP管理

6.2.2 密码管理

6.2.3 升级管理

6.3 AP列表

6.4 AP模板

7 交换机管理

7.1 交换机管理

7.1.1 交换机管理

7.1.2 升级管理

7.2 交换机列表

7.2.1 简介

7.2.2 配置步骤

7.3 交换机详细设置

7.3.1 系统监控

7.3.2 系统配置

8 智能划网

8.1 简介

8.2 网络管理

8.3 接入终端管理

8.4 终端类型

8.5 典型应用举例

8.5.1 典型应用组网需求

8.5.2 组网图配置方案

8.5.3 详细配置步骤

9 上网管理

9.1 上网限速

9.1.1 简介

9.1.2 配置步骤

9.2 黑白名单

9.2.1 简介

9.2.2 设置上网管理模式

9.2.3 设置上网名单

10 VPN管理

10.1 简介

10.1.1 IPSec基本概念

10.1.2 IKE基本概念

10.1.3 IPSec应用场景

10.2 开启IPSec功能

10.2.1 配置步骤

10.3 设置IPSec

10.3.1 配置步骤

10.4 查看IPSec安全联盟

10.4.1 配置步骤

11 认证管理

11.1 认证页面

11.1.1 简介

11.1.2 配置步骤

11.2 认证方案

11.2.1 配置步骤

11.3 账号管理

11.3.1 简介

11.3.2 配置步骤

11.4 免认证方案

11.4.1 简介

11.4.2 设置用户IP白名单

11.4.3 设置用户MAC白名单

11.4.4 设置目的IP白名单

11.4.5 设置域名白名单

11.5 用户管理

11.5.1 配置步骤

12 应用服务

12.1 设置UPnP

12.1.1 简介

12.1.2 配置步骤

12.2 设置DDNS

12.2.1 简介

12.2.2 配置步骤

13 安全管理

13.1 简介

13.1.1 动态ARP绑定

13.1.2 ARP报文合法检测

13.1.3 ARP防欺骗

13.1.4 静态APR绑定

13.2 ARP防护

13.2.1 配置步骤

13.3 ARP列表

13.3.1 配置步骤

14 高级设置

14.1 设置静态路由

14.1.1 简介

14.1.2 配置步骤

14.2 设置策略路由

14.2.1 简介

14.2.2 配置步骤

14.3 设置虚拟服务器

14.3.1 简介

14.3.2 设置DMZ服务

14.3.3 虚拟服务器列表

15 设备管理

15.1 设备管理

15.1.1 系统设置

15.1.2 登录设置

15.1.3 时间设置

16 系统维护

16.1 系统运维

16.1.1 远程运维

16.1.2 蓝牙运维

16.2 诊断报告

17 附录 - 故障排除

18 附录 - 术语表

1 产品概述

1.1  产品简介

H3C Magic BR2005是企业级全千兆路由器，采用全新硬件架构、具备丰富的软件功能、支持全面的安全策略，主要面向写字楼、小微企业、办事处以及商铺等商业用户。

表1-1 本手册适用产品列表

1.2  主要特性

1.2.1  强大的功能特性

1. 支持LAN/WAN切换，负载均衡

·     支持LAN/WAN切换，便于多运营商接入，提高出口上网速率。

·     支持带宽保障，当其中一条运营商线路出现故障时，其余线路也能正常工作，上网不受影响。

2. 无线AP扩展

·     内置AC功能，支持对H3C Magic商用系列AP的统一管理。

·     支持无线一键优化，无线网优一键搞定。

·     AP零配置，即插即用。

3. 支持模式切换，全千兆高速上网体验

路由及纯AC模式一键切换。模式切换后，需重启设备方可生效。

·     “路由模式”：设备出厂缺省为路由模式，此时，设备既可用来管理AP，又具备路由功能。

·     “纯AC模式”：此时设备只能作为AC（AP管理器），用于旁挂管理，不具备路由功能，无法给客户端分配IP地址。

4. 便捷的VPN组网能力

支持IPSec VPN，通过简易的WEB配置实现端到端安全的VPN连接，支持多种加密算法，是分支节点理想的接入设备。

5. 企业级的安全防护

·     内置专业的防火墙，可以防护外部多种专业的攻击手段，如：ARP攻击等。

·     支持ARP防伪认证功能，可以有效避免内部PC中毒后引起的网络中断，保障上网体验。

1.2.2  友好的用户界面

·     提供非常简便的Web设置页面，配置直观、易操作、使用复杂度低。

·     每个Web设置页面均提供详细的联机帮助，供您查阅。

1.2.3  丰富的统计诊断功能和管理方式

·     提供了丰富的统计信息和状态信息显示功能，使您对设备当前的运行状态一目了然。

·     支持通过本地和远程Web方式对设备进行详细的配置和管理。

1.3  典型组网应用

图1-1 组网应用

2 如何快速登录Web

2.1  建立网络连接

完成硬件安装后，在登录设备的Web管理界面之前，您可选择有线或无线方式建立网络连接。

2.1.1  有线方式

将设备的LAN口与管理计算机的网口相连，并设置管理计算机的IP地址。

1. 设置管理计算机的IP地址

操作步骤如下（以Windows 10系统为例）：

2. 确认管理计算机和设备之间的网络是否连通

操作步骤如下：

2.1.2  无线方式

通过无线终端（手机或者带有无线网卡的电脑等），搜索Wi-Fi名称为“H3C_XXXXXX”的无线网络（默认没有加密），进行连接即可，XXXXXX为设备MAC地址后六位。

2.2  取消代理服务器

如果当前管理计算机使用代理服务器访问因特网，则必须取消代理服务，操作步骤如下：

2.3  登录设备Web设置页面

3 快速使用指南

3.1  首页

在首页，快速查看设备的组网拓扑图、当前工作模式、运行时长以及设备状态。

表3-1 页面关键项描述

3.2  上网设置

设置WAN口的上网连接方式，支持自动方式(DHCP)、手动方式(静态IP)、宽带拨号(PPPoE)三种连接方式。具体选择何种方式请咨询当地运营商。

(1)     选择需设置的WAN口。

(2)     根据实际需要及网络环境进行设置。点击<保存>。

¡     自动方式(DHCP)：无需设置，自动从运营商处获取IP地址。

¡     手动方式(静态IP)：手动填入运营商提供的IP地址、子网掩码、网关和DNS服务器。

¡     宽带拨号(PPPoE)：填入运营商提供的上网宽带账号和密码。

3.3  无线设置

(1)     设置“双频合一”功能的开启/关闭。

(2)     设置无线名称和密码。点击<保存>。

3.4  终端管理

查看所有连接在路由器下的终端接入信息，包括终端名称、IP/MAC地址、上传/下载速率、接入方式等。

(1)     点击<断开连接>图标，可断开无线客户端与设备的连接。

(2)     鼠标停留在<详情>图标，查看更多该终端的详细信息，包括连接时间、接入的无线SSID、信号强度、信道、频宽等。

(3)     输入终端关键信息，点击搜索图标，快速查找终端设备。

4 系统监控

4.1  系统信息

4.1.1  简介

显示设备基本信息和端口链路状态等信息。

4.1.2  配置步骤

(1)     点击“更多→系统监控→系统信息”。

(2)     在“基本信息”区段中，查看设备型号、序列号、工作模式、Boot版本、软件版本。

(3)     在“端口状态”区段中，查看各端口的链路状态。鼠标移至各端口，可单独查看各端口的详细连接信息，包括端口协商速率、上网方式、IP/MAC地址等。

(4)     右侧可查看：

¡     系统时间、运行时长；

¡     无线网络的名称密码等无线信息；

¡     内存和CPU使用率。

4.2  系统日志

4.2.1  简介

设备能够记录当前运行过程中的设置状态变化、网络攻击等信息，可以帮助您快速定位设备故障、了解网络情况及对网络攻击进行定位。

设备还支持把日志信息实时发送给日志服务器的功能，以免设备重新启动后，所有记录的日志都会丢失。

根据日志记录等级和日志信息输出来源，可以快速定位日志信息。

表4-1 日志信息等级描述

表4-2 日志信息来源描述

4.2.2  查看日志信息

1. 配置步骤

(1)     点击“更多→系统监控→系统日志”。

(2)     在日志列表中，显示设备上电启动后的所有日志信息。

(3)     点击<下载>图标，将将设备所记录的日志信息下载到本地保存。

(4)     点击<全部清空>图标，清除设备所记录的日志信息。

4.2.3  管理日志信息

1. 配置步骤

(1)     在“日志等级”配置项处，选择日志记录的级别。

(2)     在“日志来源”配置项处，选择日志的来源。

(3)     设置“发送系统日志”功能的开启/关闭，如开启，需输入日志服务器的IP地址或域名地址。

(4)     点击<保存>，完成配置。

4.3  端口流量

4.3.1  简介

设备为您提供了端口流量监控功能，对每个物理端口的流量进行实时采样。您可以根据设备所获取的统计数据，更好地了解当前的网络流量状态，掌握网络运行状况，便于管理与控制。

·     图模式：以直观的波动线图显示各端口上行和下行的速率和流量。

·     比特模式：以表格形式显示各端口流量、速率和链路状态。

4.3.2  配置步骤

(1)     点击“更多→系统监控→端口流量”。

(2)     选择查看方式，图模式或比特模式。

5 接口管理

5.1  WAN设置

5.1.1  简介

1. 设置WAN接口

设置WAN接口，以实现设备访问外网。设备支持3个LAN/WAN转换口。

2. 设置MAC地址克隆

设备出厂时，各WAN口都有一个缺省的MAC地址，一般情况下，无需改变。但是，比如：有些运营商要求只有注册过的设备才能连接到因特网，此时，您就需要使用设备WAN口MAC地址克隆功能，将WAN口MAC地址修改为在运营商侧注册过的MAC地址。

5.1.2  配置步骤

(1)     点击“更多→接口管理→WAN设置”。

(2)     根据接入因特网的链路个数，配置相应的WAN出口数量。

(3)     之后点击不同WAN图标，对各WAN口的具体参数进行设置

(4)     根据用户实际需要及网络环境，设置上网方式。具体选择何种方式请咨询当地运营商。

¡     自动方式(DHCP)：无需设置，自动从运营商处获取IP地址。

¡     手动方式(静态IP)：手动填入运营商提供的IP地址、子网掩码、网关和DNS服务器。

¡     宽带拨号(PPPoE)：设置WAN口作为PPPoE客户端，使用PPPoE用户名和密码拨号连接获取IP地址。

(5)     点击<展开更多设置>，设置MTU、MAC地址克隆等更多参数。

(6)     点击<保存>，完成配置。

表5-1 页面关键项描述

5.2  LAN设置

5.2.1  简介

1. 设置LAN接口

设置LAN接口IP地址，以实现下行设备访问设备。

2. 设置DHCP服务器

如果希望设备可以自动为连接到LAN接口的客户端（如连接到设备的计算机等）分配IP地址，则需要开启DHCP服务。

DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）是一个局域网协议，主要用于为局域网内的主机分配IP地址。DHCP支持动态及静态地址分配机制：

·     动态地址分配功能配置在接口上，此功能给用户主机动态分配IP地址，时间到期或主机明确表示放弃该地址时，该地址可以被其它主机使用。该分配方式适用于局域网的主机获取有一定有效期限的地址的组网环境。

·     静态分配的IP地址不与客户端的接口绑定，仅需要与主机的网卡MAC地址进行绑定，具有永久使用权限。该分配方式适用于局域网的主机获取租期为无限长的IP地址的组网环境。

5.2.2  配置步骤

(1)     点击“更多→接口管理→LAN设置”。

(2)     根据规划好的IP地址，修改设备LAN口IP地址，以适应实际环境。

(3)     设置“DHCP服务”的开启/关闭。默认开启“DHCP服务”，即为连接到设备的客户端（例如连接到设备的计算机等）动态分配IP地址。需设置设备可分配给客户端的IP地址池范围（开始和结束地址）、以及IP地址的租期。

(4)     点击<保存>，完成配置。

5.3  VLAN设置

5.3.1  简介

将设备上的LAN接口加入指定的VLAN，使得局域网内处于同一VLAN的主机能直接互通，处于不同VLAN的主机不能直接互通，从而实现广播域的隔离和虚拟工作组的划分。适用于连接位置比较固定的用户。

5.3.2  设置VLAN基本参数

1. 配置步骤

(1)     点击“更多→接口管理→VLAN设置→VLAN列表”。

(2)     点击<添加>按钮，为设备创建连接内网的VLAN和VLAN接口，设置VLAN ID、IP地址及其掩码。

(3)     将VLAN接口作为内网设备的网关，设置其“DHCP服务”的开启/关闭。默认开启“DHCP服务”，即为连接到设备的客户端（例如连接到设备的计算机等）动态分配IP地址。需设置设备可分配给客户端的IP地址池范围（开始和结束地址）、以及IP地址的租期。

(4)     点击<确认>，完成配置。

5.3.3  设置端口VLAN划分

1. 配置步骤

(1)     点击“更多→接口管理→VLAN设置→端口VLAN”。

(2)     在端口列表中，点击指定端口上“操作”区段的<编辑>按钮。

(3)     在弹出的对话框中，修改端口的PVID以及端口允许通过的VLAN。点击<确认>，完成修改。

表5-2 页面关键项描述

5.4  DHCP列表

5.4.1  简介

1. 显示和维护DHCP客户列表

显示已分配的DHCP客户列表信息。

2. 设置DHCP静态表

如果您想让设备给某些特定的客户端分配固定的IP地址，可以事先通过DHCP静态表将客户端的MAC地址和IP地址进行绑定，使其成为一对一的分配关系。

5.4.2  配置步骤

1. 显示和维护DHCP客户端列表

(1)     点击“更多→接口管理→DHCP列表→DHCP客户端列表”。

(2)     查看所有已分配的DHCP客户端列表信息。

(3)     点击<添加>按钮，路由自动将目前已经学习到的IP与MAC条目添加到静态地址分配列表中。

2. 设置DHCP静态列表

(1)     点击“更多→接口管理→DHCP列表→DHCP静态列表”。

(2)     点击<添加>按钮，为特定MAC地址分配固定的IP地址。

(3)     点击<确认>按钮，完成配置。

5.5  IPv6设置

5.5.1  简介

IPv6（Internet Protocol Version 6），全称为互联网协议第6版，是互联网工程任务组（IETF）设计的用于替代IPv4的下一代IP协议，有更大的地址空间，用于解决IPv4存在的网络地址资源不足等问题。

5.5.2  配置步骤

1. 开启IPv6功能

(1)     点击“更多→接口管理→IPv6设置”。

(2)     点击<IPv6>按钮，开启路由器的IPv6功能。

2. WAN设置

(1)     点击“更多→接口管理→IPv6设置→WAN设置”。

(2)     设置上网方式、默认网关、代理前缀等信息。目前上网方式仅支持自动获取，无需设置其他参数。

(3)     点击<保存>按钮，完成配置。

3. LAN设置

(1)     点击“更多→接口管理→IPv6设置→LAN设置”。

(2)     设置地址分配方式、主/辅DNS等信息。

(3)     点击<保存>按钮，完成配置。

表5-3 页面关键项描述

6 无线管理

当您需要手动增加AP、修改无线网络各种参数以便对无线网络进行优化或需要进行无线漫游时，可以使用无线管理功能。

6.1  无线配置

6.1.1  2.4G/5G设置

1. 简介

对2.4G网络和5G网络的无线名称、加密方式、无线密码以及其他无线参数进行配置。

2. 配置步骤

(1)     点击“更多→无线管理→无线配置→2.4G/5G设置”。

(2)     点击“SSID”页签，设置SSID参数（默认4个2.4G、4个5G）：

a.     设置“无线开关”的开启/关闭。

b.     如开启，需设置无线名称、加密方式、无线密码等参数。

c.     点击<展开更多设置>，设置桥接VLAN、客户端数量等更多参数。

d.     点击<保存>，完成配置。

表6-1 页面关键项描述

(3)     点击“基本设置”页签，设置无线基本参数。

表6-2 页面关键项描述

6.1.2  全局设置

1. 简介

对2.4G网络和5G网络的无线全局参数进行配置。

2. 配置步骤

(1)     点击“更多→无线管理→无线配置→全局设置”。

(2)     根据实际情况，选择是否开启如下功能：

a.     设置“二层漫游”功能的开启/关闭。如开启，则需设置“漫游阈值”。

b.     设置“弱信号终端禁止接入”功能的开启/关闭。如开启，则需设置“禁止接入信号强度”。

c.     勾选“广播探测”、“协议漫游”、“OFDMA”、“MU-MIMO”，设置各功能的开启/关闭。

(3)     点击<保存>，完成配置。

表6-3 页面关键项描述

6.2  AP管理

6.2.1  AP管理

1. 简介

您可通过开启AP管理功能，集中管理接入的AP设备。

2. 配置步骤

(1)     点击“更多→无线管理→AP管理→AP管理”。

(2)     设置“AP管理”的开启/关闭。默认开启AP管理。

(3)     点击<展开更多设置>。

(4)     选择AP管理使用的管理VLAN。默认为VLAN1，如需选择其它VLAN，请先进入VLAN设置页面进行配置。

(5)     设置管理AP的私有管理地址和子网掩码。

(6)     设置AP注册成功后分配的IP地址池起始和结束地址。须与AP管理地址设置在同一子网内。

(7)     点击<保存>，完成配置。

6.2.2  密码管理

1. 简介

若需要通过Web管理页面登录AP设备，需统一设置下挂AP的Web管理页面登录密码。

2. 配置步骤

(1)     点击“更多→无线管理→AP管理→密码管理”。

(2)     设置“密码管理”的开启/关闭。默认开启，与网关密码保持一致。也可选择“手动设置”，为AP设置统一的登录密码。

(3)     点击<保存>，完成配置。

6.2.3  升级管理

1. 简介

显示路由器上是否上传了AP的最新版本。如果上传了则会显示当前的版本信息。

您可以将最新的AP版本上传至路由器。

2. 配置步骤

(1)     点击“更多→无线管理→AP管理→升级管理”。

(2)     点击<选择文件>按钮，访问待上传的AP软件版本存放路径，并选择版本文件。

(3)     点击<上传>按钮，将待上传的AP软件版本上传到设备中。

(4)     点击版本文件右侧的<删除>图标，即可删除设备中的版本文件。

6.3  AP列表

1. 简介

可查看所有在线或离线的AP信息，并对AP进行配置修改。

无线网络状况不好时，可使用无线优化功能，重新部署AP网络、提高数据传输速率和网络资源利用率。

2. 配置步骤

(1)     点击“更多→无线管理→AP列表”。

(2)     对各AP进行如下操作：

¡     选中AP的模板设置项下拉框，直接切换AP模板。

¡     点击<详情>，查看在线AP的详细接入信息。

¡     点击更多符号：

-     点击<AP查找>按钮，可以使支持查找功能的AP的系统指示灯闪烁。

-     点击<诊断导出>按钮，可以将AP的运行状态、故障定位等信息导出到本地。

(3)     勾选各AP前的复选框，可进行如下功能配置：

¡     点击<配置同步>按钮，手动触发AP同步AC下发的配置。

¡     点击<绑定模板>按钮，选择AP需要绑定的已经创建的AP模板。

¡     点击无线优化：

-     网络分析：可自动分析您所选中的在线AP当前的网络状况，并以评分的形式在网络质量评分中显示出来。

-     一键优化：可优化选中的在线AP网络，自动选择最优无线信道，网络质量评分相应也会提升。

-     一键部署：自动部署全部在线AP的信道。

¡     点击<版本升级>按钮，AC下发当前设备上的AP版本并升级该AP设备。

¡     点击<重启>按钮，重启一个或多个选中的在线AP。

¡     点击<删除离线>按钮，删除一个或多个离线AP的信息记录。

¡     点击<诊断上传>按钮，可以将AP的运行状态、故障定位等信息上传到H3C云服务器。

6.4  AP模板

1. 简介

设备的无线配置会作为默认模板下发给AP。如AP需要更多不同的配置，您可以通过配置本页面，添加不同的AP配置模板。当有AP上线时，可以绑定某一个AP配置模板。

2. 配置步骤

(1)     点击“更多→无线管理→AP模板”。

(2)     点击<新增>按钮，可以添加新的AP配置模板：

a.     设置模板名称和模板描述。

b.     设置无线基本参数和SSID参数。

(3)     点击<新增>，完成配置。

7 交换机管理

7.1  交换机管理

7.1.1  交换机管理

1. 简介

设备支持管理H3C Magic BS系列云网交换机，您可通过开启交换机管理功能，集中管理接入的交换机设备。

2. 配置步骤

(1)     点击“更多→交换机管理→交换机管理→交换机管理”。

(2)     设置“交换机管理”功能的开启/关闭。默认开启交换机管理。

7.1.2  升级管理

1. 简介

显示路由器上是否上传了交换机的最新版本。如果上传了则会显示当前的版本信息。

您可以将最新的交换机版本上传至路由器。

2. 配置步骤

(1)     点击“更多→交换机管理→交换机管理→升级管理”。

(2)     点击<版本上传>按钮，访问待上传的交换机软件版本存放路径，并选择版本文件。

(3)     点击<上传>按钮，将待上传的交换机软件版本上传到设备中。

(4)     点击版本文件右侧的<删除>图标，即可删除设备中的版本文件。

7.2  交换机列表

7.2.1  简介

交换机列表包括交换机统计信息和交换机列表。

·     通过交换机统计信息，可知道设备在线/离线交换机数量，以及最多支持交换机的管理规格。

·     交换机列表中，您可以查看所有在线或离线的交换机信息，包括型号、序列号、IP地址、MAC地址、状态、工作模式、故障类型等。还可以对设备进行模式设置、重启、升级等操作。

7.2.2  配置步骤

(1)     点击“更多→交换机管理→交换机管理→升级管理”。

(2)     勾选各交换机前的复选框，点击列表上方按钮：

¡     点击<模式设置>按钮，设置所选交换机运行的工作模式：

-     标准交换：开启流量控制、端口协商功能（缺省模式）。

-     端口隔离：开启下行端口之间的二层隔离功能，各端口只能与Uplink端口通信。

-     汇聚上联：开启流量控制、端口协商、4个Uplink光口或4个Uplink电口的聚合功能（源MAC+目的MAC，静态聚合）。

-     网络克隆：关闭流量控制功能，开启端口协商功能。

¡     点击<重启>按钮，重启一个或多个选中的在线交换机。

¡     点击<删除离线>按钮，删除一个或多个离线交换机的信息记录。

¡     点击<版本升级>按钮，手动下发当前设备上的交换机版本并升级该交换机设备。

(3)     直接点击交换机所在行的<进入>按钮，可进入交换机详细配置页面。

7.3  交换机详细设置

在交换机列表中，点击交换机的<进入>按钮，可直接跳转到交换机详细设置页面。

7.3.1  系统监控

1. 查看基本信息

(1)     点击“系统监控→基本信息”。

(2)     查看交换机的基本信息（如：当前运行的软件版本号、工作模式、运行时间等）。

(3)     如交换机支持PoE特性，可快速预览PoE当前的使用情况。

(4)     快速查看当前所有以太网端口的状态信息（如：链路状态、端口类型、速率、环路状态等）。您也可点击端口信息的任一端口图标，可快速跳转到端口配置页面。

2. 查看端口流量统计

(1)     点击“系统监控→端口统计”。

(2)     查看所有以太网端口当前的流量统计信息，包括端口开启状态、链路状态等。

7.3.2  系统配置

1. 设置交换机基本信息

(1)     点击“系统配置→基本设置”。

(2)     设置交换机的工作模式，包括4种不同的工作模式（标准交换、端口隔离、汇聚上联和网络克隆）。

(3)     选择是否开启交换机的自环检测功能。

(4)     输入合法的MAC地址，查询该MAC地址所对应的端口号。

表7-1 页面关键项描述

2. 设置端口开关和风暴抑制级别

如果局域网内存在大量的广播/组播/未知单播报文流量（可能由病毒导致）时，将会影响网络的正常通信。您可以通过设置设备上行口和下行口的风暴抑制功能，有效地抑制大量报文流量的传播，避免网络拥塞，保证网络业务的正常运行。

(1)     点击“系统配置→端口配置→端口设置”。

(2)     点击端口图标，选择要操作的端口（可多选）；选择开启/关闭选中的端口，点击<应用>按钮生效。

(3)     选择上行口和下行口的风暴抑制级别（包括：不抑制、低、中、高），点击<应用>按钮生效。

表7-2 页面关键项描述

3. 设置PoE端口开关

PoE（Power over Ethernet，以太网供电，又称远程供电）是指设备通过以太网电口，利用双绞线对外接PD（Powered Device，受电设备）进行远程供电。

PD是接受交换机供电的设备，如IP电话、无线AP（Access Point，接入点）、便携设备充电器、刷卡机、网络摄像机等。

(1)     点击“系统配置→端口配置→PoE设置”。

(2)     显示设备当前PoE端口功率使用状态和工作情况。

(3)     点击端口图标，选择要操作的端口（可多选）：

a.     开启/关闭选中端口的PoE开关；

b.     开启/关闭选择端口的长距离供电功能。

下方表格直观显示所有PoE端口的功率值、供电状态以及长距离供电状态，您也可通过表中的PoE开关快速进行切换。

表7-3 页面关键项描述

4. 设置端口镜像

端口镜像是将指定镜像源端口的报文复制到目的镜像端口，目的镜像端口会与数据监测设备相连，用户利用这些数据监测设备来分析复制到目的端口的报文，从而进行网络监控和故障排除。

(1)     点击“系统配置→端口配置→端口镜像”。

(2)     点击端口图标，选择要操作的端口（可多选），作为源镜像端口成员。

(3)     在下拉框中分别选择指定的目的镜像端口和镜像作用的方向。

(4)     点击<应用>按钮，端口镜像设置生效。

(5)     点击<关闭镜像>按钮，可关闭当前已生效的端口镜像设置。

表7-4 页面关键项描述

5. 恢复出厂设置

(1)     点击“系统配置→系统设置→恢复出厂”。

(2)     点击<复原>按钮，将交换机恢复到出厂设置（比如：当您从一个网络环境切换到另一个不同的网络环境的情况，可将交换机恢复到出厂设置，然后再进行重新设置，以适应当前的组网）。

8 智能划网

8.1  简介

智能划网，顾名思义，就是可以根据接入网络的终端设备类型，自动将终端设备划分到指定网络中。支持端口盲插，无论终端设备接在了哪个端口，都可以自动精准划分。

根据小微商业网络使用场景，设备预置了“有线终端网络”、“无线网络”、“监控网络”三种动态网络。在网络开局时，一键完成智能划网，实现三种类型设备的网络隔离划分，极大地简化了开局操作，简洁、快速、高效。

8.2  网络管理

1. 简介

您可以通过网络管理，划分不同的网络，每个网络属于不同的VLAN，相互隔离。各终端上线后，缺省为有线网络，无法删除。

2. 配置步骤

(1)     点击“更多→智能划网→网络管理”。

(2)     设置“智能划网”功能的开启/关闭。

(3)     点击<添加>按钮，新增所需的隔离网络。如将AP自动添加到无线网络，手动将交换机的端口或接入终端分配到该网络下。点击<下一步>，进行高级设置。

(4)     输入该网络的VLAN ID，开启DHCP服务，修改IP地址网段等。点击<保存>，完成配置。

8.3  接入终端管理

1. 简介

该页面显示所有交换机上下挂的终端及其详细信息。

您可自定义各个终端所属类型，以便更准确快捷的网络划分。

2. 配置步骤

(1)     点击“更多→智能划网→接入终端管理”。

(2)     勾选需修改的终端，点击右上角的<编辑>按钮，添加该终端的备注信息，修改其终端类型。

(3)     如勾选上“同步相同型号的终端为指定指定类型”，后续有同型号的该类中终端上线时，无需手动再次修改，设备会自动同步为您指定的终端类型。

(4)     如勾选上“修改终端类型后，立即对选中终端重新进行智能划网”，该终端将会立即切换VLAN到对应终端类型的网络中。此时，需注意确保该终端无下挂设备，否则可能导致其下挂设备无法访问Internet的情况。

(5)     点击<保存>，完成修改。

8.4  终端类型

1. 简介

该页面显示所有交换机上下挂的终端及其详细信息。

您可自定义各个终端所属类型，以便更准确快捷的网络划分。

2. 配置步骤

(1)     点击“更多→智能划网→终端类型”。

(2)     点击<添加>按钮，新增终端类型，如：门禁。

(3)     您也可以在该列表中修改或删除终端类型，默认的7种类型无法修改删除。

8.5  典型应用举例

8.5.1  典型应用组网需求

·     某企业使用电信线路接入，对应的带宽为1000M，带机量为100台。

·     企业有一个仓库，包含4个摄像机、1台录像机、1台门禁设备，需要单独网络管理。

·     办公区域有15台电脑、1台打印机，每台电脑都可以访问打印机。

·     访客都通过无线信号上网，不能访问办公区网络和仓库网络。

8.5.2  组网图配置方案

·     网关采用H3C Magic BR2005，交换机采用BS228FX-HP、BS228FX，AP采用BA3000C。

·     设置WAN口通过动态方式连接到因特网。

·     在网关的智能划网配置页面，手动将门禁设备划分到“监控网络”。

8.5.3  详细配置步骤

9 上网管理

9.1  上网限速

9.1.1  简介

QoS是指针对网络中各种应用不同的需求，提供不同的服务质量，比如：提供专用带宽、减少报文丢失率、降低报文传送时延及抖动。

某些应用（比如：P2P下载等）在给用户带来方便的同时，也占用了大量的网络带宽。一个网络的总带宽是有限的，如果这些应用过度占用网络带宽，必将会影响其他用户正常使用网络。

为了保证局域网内所有用户都能正常使用网络资源，您可以通过IP流量限速功能对局域网内指定主机的流量进行限制。

9.1.2  配置步骤

(1)     点击“更多→上网管理→上网限速”。

(2)     设置“QoS”功能的开启/关闭。开启后，可以设置上网限速。

(3)     点击<新增>符号，添加限速规则：

a.     设置被限速的主机的起始地址和结束地址。

b.     设置IP范围内各个主机的下载速率上限和上传速率上限。

(4)     点击<确认>，完成配置。

9.2  黑白名单

9.2.1  简介

如果您希望控制局域网内的主机访问外网，则可以配置MAC地址黑白名单：

·     黑名单模式：禁止MAC地址在黑名单内的用户上网，其他默认允许上网。

·     白名单模式：仅允许MAC地址在白名单内的用户上网，其他默认禁止上网。

9.2.2  设置上网管理模式

1. 配置步骤

(1)     点击“更多→上网管理→黑白名单→上网管理”。

(2)     设置“上网管理”功能的开启/关闭，如开启，须选择管理模式为黑名单/白名单。

(3)     点击<保存>，完成配置。

9.2.3  设置上网名单

1. 配置步骤

(1)     点击“更多→上网管理→黑白名单→上网名单”。

(2)     点击<新增>符号，设置黑/白名单中的MAC地址、描述。

(3)     点击<确认>，完成配置。

(4)     点击黑/白名单用户对应行的“操作”区段，可以修改或删除该名单。

10 VPN管理

10.1  简介

IPSec是IETF制定的三层隧道加密协议，为IP层上的网络数据安全提供了一整套安全体系结构，包括安全协议AH（Authentication Header，认证头）和ESP（Encapsulating Security Payload，封装安全载荷）、IKE（Internet Key Exchange，互联网密钥交换）以及用于网络认证及加密的一些算法等。其中，AH协议和ESP协议用于提供安全服务，IKE协议用于密钥交换。

10.1.1  IPSec基本概念

1. SA

IPSec在两个端点之间提供安全通信，端点被称为IPSec对等体。

安全联盟SA（Security Association）是IPSec的基础，也是IPSec的本质。SA是通信对等体间对某些要素的约定，例如，使用哪种协议（AH、ESP还是两者结合使用）、协议的封装模式（传输模式和隧道模式）、加密算法（DES、3DES和AES）、特定流中保护数据的共享密钥以及密钥的生存周期等。

SA是单向的，在两个对等体之间的双向通信，最少需要两个SA来分别对两个方向的数据流进行安全保护。同时，如果两个对等体希望同时使用AH和ESP来进行安全通信，则每个对等体都会针对每一种协议来构建一个独立的SA。

SA由一个三元组来唯一标识，这个三元组包括SPI（Security Parameter Index，安全参数索引）、目的IP地址、安全协议号（AH或ESP）。

SPI是为唯一标识SA而生成的一个32比特的数值，它在AH和ESP头中传输。使用IKE协商产生SA时，SPI将随机生成。

SA是具有生存周期的，且只对通过IKE方式建立的SA有效。生存周期到达指定的时间或指定的流量，SA就会失效。SA失效前，IKE将为IPSec协商建立新的SA，这样，在旧的SA失效前新的SA就已经准备好。在新的SA开始协商而没有协商好之前，继续使用旧的SA保护通信。在新的SA协商好之后，则立即采用新的SA保护通信。

2. 验证算法与加密算法

【验证算法】：

验证算法的实现主要是通过杂凑函数。杂凑函数是一种能够接受任意长的消息输入，并产生固定长度输出的算法，该输出称为消息摘要。IPSec对等体计算摘要，如果两个摘要是相同的，则表示报文是完整未经篡改的。

IPSec使用以下两种验证算法：

表10-1 验证算法

【加密算法】：

加密算法实现主要通过对称密钥系统，它使用相同的密钥对数据进行加密和解密。

IPSec支持以下三种加密算法：

表10-2 加密算法

3. 协商方式

IKE自动协商方式相对比较简单，只需要配置好IKE协商安全策略的信息，由IKE自动协商来创建和维护SA。

4. 安全隧道

安全隧道是建立在本端和对端之间可以互通的一个通道，它由一对或多对SA组成。

10.1.2  IKE基本概念

1. IKE简介

在实施IPSec 的过程中，可以使用IKE协议来建立SA。该协议建立在由Internet SA和密钥管理协议ISAKMP定义的框架上。IKE为IPSec 提供了自动协商交换密钥、建立SA的服务，能够简化IPSec的使用和管理。

IKE不是在网络上直接传输密钥，而是通过一系列数据的交换，最终计算出双方共享的密钥，并且即使第三者截获了双方用于计算密钥的所有交换数据，也不足以计算出真正的密钥。

(1)     IKE的安全机制

IKE具有一套自保护机制，可以在不安全的网络上安全地认证身份、分发密钥、建立IPSec SA。

【数据认证】：

数据认证有如下两方面的概念：

·     身份认证：身份认证确认通信双方的身份，支持预共享密钥认证。

·     身份保护：身份数据在密钥产生之后加密传送，实现了对身份数据的保护。

【DH】：

DH算法是一种公共密钥算法。通信双方在不传输密钥的情况下通过交换一些数据，计算出共享的密钥。即使第三者（如黑客）截获了双方用于计算密钥的所有交换数据，由于其复杂度很高，不足以计算出真正的密钥。所以，DH交换技术可以保证双方能够安全地获得公有信息。

【PFS】：

PFS特性是一种安全特性，指一个密钥被破解，并不影响其他密钥的安全性，因为这些密钥间没有派生关系。对于IPSec，是通过在IKE阶段2协商中增加一次密钥交换来实现的。PFS特性是由DH算法保障的。

(2)     IKE的交换过程

IKE使用了两个阶段为IPSec进行密钥协商并建立SA：

·     第一阶段，通信各方彼此间建立了一个已通过身份认证和安全保护的通道，即建立一个ISAKMP SA。第一阶段有主模式和野蛮模式两种IKE交换方法。

·     第二阶段，用在第一阶段建立的安全隧道为IPSec协商安全服务，即为IPSec协商具体的SA，建立用于最终的IP数据安全传输的IPSec SA。

图10-1 主模式交换过程

如图10-1所示，第一阶段主模式的IKE协商过程中包含三对消息：

·     第一对叫SA交换，是协商确认有关安全策略的过程；

·     第二对消息叫密钥交换，交换Diffie-Hellman公共值和辅助数据（如：随机数），密钥材料在这个阶段产生；

·     最后一对消息是ID信息和认证数据交换，进行身份认证和对整个SA交换进行认证。

野蛮模式交换与主模式交换的主要差别在于，野蛮模式不提供身份保护，只交换3条消息。在对身份保护要求不高的场合，使用交换报文较少的野蛮模式可以提高协商的速度；在对身份保护要求较高的场合，则应该使用主模式。

(3)     IKE在IPSec中的作用

·     因为有了IKE，IPSec很多参数（如：密钥）都可以自动建立，降低了手工配置的复杂度。

·     IKE协议中的DH交换过程，每次的计算和产生的结果都是不相关的。每次SA的建立都运行DH交换过程，保证了每个SA所使用的密钥互不相关。

·     IPSec使用AH或ESP报文头中的序列号实现防重放。此序列号是一个32比特的值，此数溢出后，为实现防重放，SA需要重新建立，这个过程需要IKE协议的配合。

·     对安全通信的各方身份的认证和管理，将影响到IPSec的部署。IPSec的大规模使用，必须有认证机构或其他集中管理身份数据的机构的参与。

·     IKE提供端与端之间动态认证。

(4)     IPSec与IKE的关系

图10-2 IPSec与IKE的关系图

从图10-2中我们可以看出IKE和IPSec的关系：

·     IKE是UDP之上的一个应用层协议，是IPSec的信令协议；

·     IKE为IPSec协商建立SA，并把建立的参数及生成的密钥交给IPSec；

·     IPSec使用IKE建立的SA对IP报文加密或认证处理。

10.1.3  IPSec应用场景

对等模式应用在一对一网络中，如图10-3所示。

企业各分支网关之间均可主动建立IPsec隧道，来保护分支之间的数据通信。

在对等模式的网络中，两端的设备互为对等节点，都可以向对端发起IPSec SA的协商。

图10-3 对等模式组网

10.2  开启IPSec功能

10.2.1  配置步骤

(1)     点击“更多→上网管理→VPN管理→IPSEC”。

(2)     设置“IPSec”功能的开启/关闭。

10.3  设置IPSec

10.3.1  配置步骤

(1)     点击“更多→上网管理→VPN管理→IPSEC→IPSec设置”。

(2)     点击<新增>符号，设置IPSec IKE协商安全策略相关参数。

(3)     设置IKE交换的两个阶段。第一阶段，设置IKE协商参数及安全提议；第二阶段，设置IPSec安全提议，为IPSec协商SA提供各种安全参数。

(4)     点击<确认>，完成配置。

表10-3 页面关键项描述

10.4  查看IPSec安全联盟

10.4.1  配置步骤

(1)     点击“更多→上网管理→VPN管理→IPSEC→IPSec安全联盟”。

(2)     查看已建立的VPN隧道状态及对应的安全策略信息。

11 认证管理

Portal认证是互联网接入的一种认证方式，通过对用户进行身份验证，以控制用户访问。用户需认证通过后，方可使用网络资源。

目前支持的认证方式包括：

·     一键认证

用户零输入，只需点击页面上的<一键上网>即可通过认证。

·     账号认证

拥有认证账号的用户（输入用户名和密码）才能接入网络。认证账号需在账号管理页面中提前创建。

·     短信认证

用户通过手机号和短信验证码完成认证并登录。避免用户记忆复杂的账号密码，简化用户认证接入。

11.1  认证页面

11.1.1  简介

商家或企业可通过设置自定义的认证页面，实现身份验证、广告展示等信息。

11.1.2  配置步骤

(1)     点击“更多→认证管理→认证页面”。

(2)     设置自定义的认证页面，包括页面欢迎语、页面左上角logo、版本信息、背景图片。勾选认证方式。

(3)     之后在效果预览图中，可预览已配置完成的Portal认证页面。确认无误后，点击<保存>，完成配置。

11.2  认证方案

支持为不同的接入用户开启不同的认证方案。

11.2.1  配置步骤

(1)     点击“更多→认证管理→认证方案”。

(2)     设置“认证服务”功能的开启/关闭。认证服务需在外网连接正常情况下方能生效。

(3)     点击<新增>符号，添加认证方案：

a.     设置该认证方案是否生效。如重启该方案，已认证用户无需再次认证，可直接上网。

b.     设置认证方案名称，选择启用认证方案的接口（该接口需已配置IP地址），设置认证成功后的跳转链接。

c.     设置允许用户免费上网的时长。如时长超过该值，设备会强制该用户下线。

d.     设置“无流量检测”功能的开启/关闭。

-     如开启，需设置无流量超时下线的检测时长。如检测到该时间段内，在线用户无流量使用，则将被强制下线，需重新认证后才能继续上网。

e.     选择认证方式。

f.     点击<保存>，完成配置。

11.3  账号管理

11.3.1  简介

如您选择账号认证，需提前配置可用于上网的认证账号列表。

11.3.2  配置步骤

(1)     点击“更多→认证管理→账号管理”。

(2)     点击<新增>符号，添加用于认证登录的用户名及密码，并设置允许同时使用该账号登录的最大用户数量。

(3)     点击<保存>，完成配置。

(4)     在列表上方，通过点击<下载模板>、<导入账号>或<导出账号>，可将用户账号信息快速导入或导出。

11.4  免认证方案

11.4.1  简介

设置免认证用户的IP地址或MAC地址，可无需认证直接上网，如打印机或部分用户。

设置未认证亦可直接访问的网址资源。

11.4.2  设置用户IP白名单

1. 配置步骤

(1)     点击“更多→认证管理→免认证方案→用户IP白名单”。

(2)     点击<新增>符号，添加免认证用户的IP地址范围。可以输入单个IP（如192.168.110.2），或者是IP地址范围（如192.168.110.2-192.168.110.254）。

(3)     点击<保存>，完成配置。

11.4.3  设置用户MAC白名单

1. 配置步骤

(1)     点击“更多→认证管理→免认证方案→用户MAC白名单”。

(2)     点击<新增>符号，添加免认证用户的MAC地址。

(3)     点击<保存>，完成配置。

11.4.4  设置目的IP白名单

1. 配置步骤

(1)     点击“更多→认证管理→免认证方案→目的IP白名单”。

(2)     点击<新增>符号，添加所有用户（包括未认证用户）均可直接访问的IP地址。

(3)     点击<保存>，完成配置。

11.4.5  设置域名白名单

1. 配置步骤

(1)     点击“更多→认证管理→免认证方案→域名白名单”。

(2)     点击<新增>符号，添加免认证的网址。当用户的目的网址在域名白名单中时，无论用户是否完成认证，流量都会被直接放行。

(3)     点击<保存>，完成配置。

11.5  用户管理

11.5.1  配置步骤

(1)     点击“更多→认证管理→用户管理”。

(2)     可查看所有已通过认证的在线用户信息。包括用户的IP/MAC地址、接入时采用的认证方式和时长等。

(3)     点击<断开连接>图标，可将用户强制下线，断开连接，需重新认证后方可继续上网。

12 应用服务

12.1  设置UPnP

12.1.1  简介

UPnP（Universal Plug and Play，通用即插即用）功能是针对设备彼此间通讯而定制的一组协议的统称。设备作为UPnP网关，主要功能是完成端口自动映射，UPnP实现端口自动映射需要满足三个条件：

·     设备必须开启UPnP功能；

·     内网主机的操作系统必须支持并开启UPnP功能；

·     应用程序必须支持并开启UPnP功能，如迅雷、BitComet、电骡eMule、MSN等软件都支持UPnP功能。

设备开启UPnP功能后，可以为支持该功能的应用程序自动添加端口映射，加速点对点的传输，还可以解决一些传统业务（比如，MSN）不能穿越NAT的问题。但开启UPnP功能也会为支持该功能的非法应用程序建立映射，存在安全隐患。

12.1.2  配置步骤

(1)     点击“更多→应用服务→UPnP”。

(2)     设置“UPnP”功能的开启/关闭。

12.2  设置DDNS

12.2.1  简介

当设备通过PPPoE方式或动态方式连接到因特网时，所获取到的IP地址是不固定的。因此，给想访问本局域网内服务器的因特网用户带来很大的不便。

DDNS（Dynamic Domain Name Server，动态域名解析服务）服务器则为此类用户端提供了一个固定的域名。开启DDNS功能后，设备会在DDNS服务器上建立一个IP与域名的映射表。当WAN口IP地址变化时，设备会自动向指定的DDNS服务器发起更新请求，DDNS服务器会更新域名与IP地址的映射关系。所以，无论设备的WAN口IP地址如何改变，因特网上的用户仍可以通过域名对本局域网内的服务器进行访问。

路由器作为DDNS客户端，本身并不提供动态DNS服务。因此，在使用此功能之前，必须进入DDNS服务提供商的官方主页注册，以获得用户名、密码和域名等信息。本路由器提供3322动态域名客户端。使用该功能之前，请先到www.pubyun.com去申请注册一个域名。

12.2.2  配置步骤

(1)     点击“更多→应用服务→DDNS→3322动态域名”。

(2)     点击<是否启用>按钮，开启或关闭动态域名服务。新用户可点击链接进行注册。

(3)     输入注册的用户名、密码和域名。

(4)     选择登录3322动态域名服务器的接口。

(5)     点击<保存>，完成配置。

13 安全管理

13.1  简介

ARP协议本身存在缺陷，攻击者可以轻易地利用ARP协议的缺陷对其进行攻击。ARP攻击防御技术提供了多种ARP攻击防御技术对局域网中的ARP攻击和ARP病毒进行防范、检测和解决。

ARP安全管理功能包括：

13.1.1  动态ARP绑定

为了防止通过DHCP方式获取IP地址的主机在设备上的ARP表项被篡改，您可以开启动态ARP绑定功能，使得所有通过DHCP服务器分配出去的IP地址和其对应的MAC地址自动绑定。且动态绑定的表项在地址租约到期后不会被删除。

13.1.2  ARP报文合法检测

通过检测验证ARP报文的合法性：

·     丢弃源MAC地址不一致的ARP报文

当设备接收到的ARP报文的源MAC地址与该报文的二层源MAC地址不一致时（通常情况下，认为存在ARP欺骗），则直接将其丢弃，不对其进行ARP学习。

·     ARP报文学习抑制

当设备发出一个ARP请求报文，收到了多个不同的ARP响应报文时，设备仅学习最先收到的ARP响应报文，丢弃其他响应报文，从而防止有过多的ARP响应报文返回造成ARP表项异常。

13.1.3  ARP防欺骗

设备检测到ARP欺骗时，LAN口和WAN口会主动发送免费ARP。

免费ARP报文是一种特殊的ARP报文，该报文中携带的发送端IP地址和目标IP地址都是本机IP地址，报文源MAC地址是本机MAC地址，报文的目的MAC地址是广播地址。

设备通过对外发送免费ARP报文来实现以下功能：

·     确定其他设备的IP地址是否与本机的IP地址冲突。当其他设备收到免费ARP报文后，如果发现报文中的IP地址和自己的IP地址相同，则给发送免费ARP报文的设备返回一个ARP应答，告知该设备IP地址冲突。

·     设备改变了硬件地址，通过发送免费ARP报文通知其他设备更新ARP表项。

13.1.4  静态APR绑定

静态ARP绑定需要通过手工配置和维护。建议您将局域网内所有主机都添加到设备的静态ARP表项中。

13.2  ARP防护

13.2.1  配置步骤

(1)     点击“更多→安全管理→ARP管理→ARP防护”。

(2)     选择是否勾选“动态ARP绑定”，如启用，可对DHCP分配的地址进行ARP保护。

(3)     选择是否勾选“APR报文合法检测”，如启用，可丢弃不一致的ARP报文，避免ARP表项异常。

(4)     选择是否勾选“APR防欺骗”，如启用，设备在检测到ARP欺骗时（比如源IP地址为设备接口IP地址但源MAC地址不是设备接口MAC地址的ARP报文），则会主送发送免费ARP。

(5)     点击<保存>，完成配置。

13.3  ARP列表

13.3.1  配置步骤

(1)     点击“更多→安全管理→ARP管理→ARP列表”。

(2)     可查看所有ARP表项，包括静态ARP、动态ARP和未绑定的ARP。

(3)     动态ARP和未绑定ARP表项，支持通过点击表项的“操作”区段，点击<静态绑定>按钮，将其绑定为静态ARP。

(4)     静态ARP支持修改、删除和新增。

(5)     点击右上角<新增>符号，新增静态ARP表项。输入IP地址和MAC地址后，点击<确认>，完成新增。

14 高级设置

14.1  设置静态路由

14.1.1  简介

静态路由是在路由器中通过手工方式设置的固定路由条目。当您的网络结构比较简单且比较稳定时，通过配置静态路由就可以实现网络互通。例如，当您知道网络的出接口，以及网关的IP地址时，设置静态路由即可实现正常通信。

静态路由的缺点在于：不能自动适应网络拓扑结构的变化，当网络发生故障或者拓扑发生变化后，可能会出现路由不可达，导致网络中断。此时必须由您手工修改静态路由的设置。

14.1.2  配置步骤

(1)     点击“更多→高级设置→路由设置→静态路由”。

(2)     点击右上角<新增>符号，新增静态路由。输入目的地址、下一跳地址和出接口后，点击<确认>，完成新增。

14.2  设置策略路由

14.2.1  简介

策略路由是一种依据您所制定的策略进行路由选择的机制。设备提供独特的策略路由功能，可以根据报文的某些字段（比如：源/目的IP地址、协议类型等）来区分数据流，并从指定的接口发送出去，起到业务分流的作用。

比如：某企业拥有两条带宽大小不同的因特网线路，并设置了普通用户区（IP地址范围是192.168.124.2～192.168.124.100）和管理层用户区（IP地址范围是192.168.124.101～192.168.124.200）。此时，您可以通过策略路由功能（根据源IP地址段区分）来将带宽比较小的线路分配给普通区用户，将带宽比较大的线路分配给管理层用户。

14.2.2  配置步骤

(1)     点击“更多→高级设置→路由设置→策略路由”。

(2)     点击右上角<新增>符号，新增策略路由。选定策略协议类型，输入源/目的地址等参数后，点击<确认>，完成新增。

14.3  设置虚拟服务器

14.3.1  简介

为保证局域网的安全，设备会阻断从因特网主动发起的连接请求。因此，如果您想让因特网用户能够访问局域网内的服务器（比如：Web服务器、Email服务器、FTP服务器等），需要设置虚拟服务器。

DMZ主机实际上就是一个缺省的虚拟服务器，虚拟服务器也可称为端口映射，它可以将WAN口IP地址、外部端口号和局域网内服务器IP地址、内部端口号建立映射关系，使所有对该WAN口某服务端口的访问重定向到指定的局域网内服务器的相应端口。

设备会根据以下步骤来进行端口映射：

图14-1 端口映射

14.3.2  设置DMZ服务

1. 配置步骤

(1)     点击“更多→高级设置→虚拟服务器→DMZ”。

(2)     设置DMZ服务“状态”的开启/关闭：

¡     如关闭，当虚拟服务器列表中不存在对应的映射项时，该数据包将被丢弃。

¡     如开启，当虚拟服务器列表中不存在对应的映射项时，该数据包将被重定向到DMZ主机，输入主机地址后，点击<保存>，完成配置。

14.3.3  虚拟服务器列表

1. 配置步骤

(1)     点击“更多→高级设置→虚拟服务器→虚拟服务器”。

(2)     点击右上角<新增>符号，新增虚拟服务器。输入相应参数后，点击<确认>，完成新增。

页面中关键项的含义如下表所示。

表14-1 页面关键项描述

15 设备管理

15.1  设备管理

15.1.1  系统设置

1. 简介

主要功能包括：

·     软件升级：

¡     在线升级：您可一键升级网关及组网中其他已在线的下挂设备，包括交换机和AP。自动加载最新版本的软件到设备，升级过程中，您可直接查看到AP和交换机的升级状态（设备状态包括：下载中、升级中、成功、失败）。

¡     本地升级：您可以手动上传最新版本的软件到设备，以便获得更多的功能和更为稳定的性能。

·     配置备份：如果希望将当前配置文件导出作为备份配置文件，则需通过本功能将当前配置文件导出保存到本地。

·     恢复配置：将设备当前的设置恢复到您之前备份过的配置（比如：当您发生误操作或其他情况导致设备的系统配置信息丢失时，您可用此备份文件进行恢复操作，保证设备的正常运行）。

·     恢复出厂配置：如果设备没有配置文件或者配置文件损坏时，希望设备能够正常启动运行；或者从一个网络环境切换到另一个不同的网络环境。则需通过本功能将设备上的配置恢复到出厂状态。

2. 配置步骤

(1)     点击“更多→设备管理→设备管理→系统设置”。

(2)     在“版本在线升级”设置项，点击<升级>按钮：

¡     如全网中，网关无下挂设备，升级设备仅为网关一台时，则在检测到有更新版本时，设备会弹出升级提示框，询问是否升级。点击<升级>按钮，设备直接升级到最新的软件版本。升级成功后，设备将自动重启。

¡     如全网中，网关有在线的下挂设备时，网关会检测全网的软件版本，并将可升级列表显示在页面中。勾选需升级设备或直接点击<一键升级>按钮，按“AP→交换机→网关”顺序逐一进行升级。

(3)     在“本地升级”设置项，点击<升级>按钮，将从H3C官网下载的软件文件上传到设备上，之后再次点击<升级>，开始升级。升级成功后，设备将自动重启。

(4)     点击<点击备份>按钮，将设备当前的配置信息打包成一个文件，备份到本地。

(5)     在“恢复配置”设置项，点击<上传文件>按钮，将之前备份过的配置文件上传，之后再点击<配置>，开始将设备恢复到之前的配置状态。恢复配置后，设备将自动重启。

(6)     点击<还原>按钮，可将设备恢复到出厂设置状态。恢复完成后，设备将自动重启。

(7)     点击<重启>按钮，重启设备。

15.1.2  登录设置

1. 简介

设置设备新的登录密码。

2. 配置步骤

(1)     点击“更多→设备管理→设备管理→登录设置”。

(2)     设置设备新的登录密码。

(3)     点击<保存>，完成配置。

15.1.3  时间设置

1. 简介

系统时间设置包括日期、时间和时区等。为了便于管理设备，并保证本设备与其它网络设备协同工作，您需要为设备配置准确的系统时间。

系统时间的获取方式有两种：

·     从网络获取

该方式下，设备使用从NTP服务器获取的时间作为当前的系统时间，并周期性地同步NTP服务器的时间，以便和NTP服务器的系统时间保持一致。

当设备连接到因特网后，会自动从设备缺省的NTP服务器或您手工设置的NTP服务器中获取时间。当通过NTP成功获取到系统时间后，该时间还会根据您选择的时区做相应的调整。

即便本设备重启，设备也会迅速重新同步NTP服务器的系统时间。如果您管理的网络中有NTP服务器，推荐使用该方式，该方式获取的时间比手工配置的时间更精准。

·     手工设置

该方式下，用户手工指定的日期和时间即为当前的系统时间。后续，设备使用内部时钟信号计时。手工设置的系统时间不会与其他设备同步，也不支持时区的切换。如果设备重启，系统时间会丢失。

2. 配置步骤

(1)     点击“更多→设备管理→设备管理→时间设置”。

(2)     选择“从网络获取”选项：

a.     将时区配置为设备所在地理区域的时区（比如，设备在中国，请选择“北京,重庆,香港特别行政区,乌鲁木齐”；如果设备位于美国，请选择“中部时间(美国和加拿大)”）。

b.     设置NTP服务器。

c.     点击<保存>，完成配置。

(3)     选择“手动设置”选项：

a.     将时间设置为设备所在地理区域的当前时间。

b.     选择年月日，选择时分秒。

c.     点击<保存>，完成配置。

16 系统维护

16.1  系统运维

16.1.1  远程运维

1. 简介

用户通过开启远程运维功能，使运维人员直接远程登录管理设备，更简便更快捷地定位并处理用户的网络问题。

2. 配置步骤

(1)     点击“更多→系统维护→系统运维→远程运维”。

(2)     选择运维人员是否可免密登录设备。

(3)     设置远程运维功能的生效时长。

(4)     设置“远程运维”功能的开启，设备将自动生成运维二维码，您可将其分享给运维人员，运维人员通过“H3C点点通”APP扫码远程登录并管理本设备。

16.1.2  蓝牙运维

1. 简介

用户通过开启设备蓝牙功能，与H3C点点通APP进行连接，快速完成设备开局和配置管理。

2. 配置步骤

(1)     点击“更多→系统维护→系统运维→蓝牙运维”。

(2)     设置“蓝牙”功能的开启，此时，设备处于待连接状态，持续时间不超过10分钟。

16.2  诊断报告

1. 简介

当设备运行出现异常时，可以通过此页面，自动将设备当前的运行状态、故障定位所需的各种信息压缩成一个定位信息文件，上传至H3C云服务器或保存到本地，以便H3C技术支持人员能快速准确定位并解决问题。

2. 配置步骤

(1)     点击“更多→系统维护→诊断报告”。

(2)     点击<发送给H3C>，可以将故障定位信息上传至H3C云服务器。

(3)     点击<导出到本地>，可以将定位信息文件下载到本地。

17 附录 - 故障排除

本手册仅介绍简单的设备故障处理方法，如仍不能排除，可通过表17-2获取售后服务。

表17-1 故障排除

表17-2 获取售后服务

18 附录 - 术语表

表18-1 术语表