http://chewei20060421.blog.163.com/blog/static/82653198201031625752183/
http://u.xizi.com/?uid-15519-action-viewspace-itemid-154812
http://bbs.365master.com/thread-165571-1-1.html
銳捷交換機(jī)常用操作命令手冊(cè)
目 錄
一、交換機(jī)配置模式介紹
二、交換機(jī)基本配置
2.1 接口介質(zhì)類型配置
2.2 接口速度/雙工配置
2.3 VLAN配置
2.4 端口鏡像
2.5 端口聚合
2.6 交換機(jī)堆疊
2.7 ACL配置
2.8 端口安全
2.9 交換機(jī)防攻擊配置
2.10 DHCP配置
2.11 三層交換機(jī)配置
三、交換機(jī)常用查看命令
一、交換機(jī)配置模式介紹
交換機(jī)配置模式主要有：
用戶模式：此模式只可以簡(jiǎn)單的查看一些交換機(jī)的配置和一些簡(jiǎn)單的修改。
Switch>
特權(quán)模式：此模式可以查看一些交換機(jī)的配置，后面講述的很多show命令便是在此模式下進(jìn)行的，還可以對(duì)一些簡(jiǎn)單的設(shè)置配置，例如時(shí)間。
Switch> enable //在用戶模式下輸入enable將進(jìn)入配置模式
Switch＃
全局配置模式：此模式下可以進(jìn)行對(duì)交換機(jī)的配置，例如：命名、配置密碼、設(shè)路由等。
Switch＃configure erminal //特權(quán)模式下可以通過config terminal 命令進(jìn)入配置模式
Switch(config)#
端口配置模式：此模式下對(duì)端口進(jìn)行配置，如配置端口ip等。
Switch(config)#interface gigabitEthernet 1/1 //配置模式下輸入interface gigabitEthernet 1/1進(jìn)入到端口g 1/1接口模式。
二、交換機(jī)基本配置
交換機(jī)命名：
在項(xiàng)目實(shí)施的時(shí)候，建議為處于不同位置的交換機(jī)命名，便于記憶，可提高后期管理效率。
switch(config)#hostname ruijie //ruijie為該交換機(jī)的名字
交換機(jī)配置管理密碼：
配置密碼可以提高交換機(jī)的安全性，另外，telnet登錄交換機(jī)的時(shí)候，必須要求有telnet管理密碼。
switch (config)#enable secret level 1 0 rg //配置telnet管理密碼為rg，其中1表示telnet密碼，0表示密碼不加密
switch (config)#enable secret level 15 0 rg //配置特權(quán)模式下的管理密碼rg，其中15表示為特權(quán)密碼
交換機(jī)配置管理IP
switch (config)#interface vlan 1 //假設(shè)管理VLAN為VLAN 1
switch (config-if)#ip address 192.168.1.1 255.255.255.0 //給管理VLAN配置管理IP地址
switch (config-if)#no shutdown //激活管理IP，養(yǎng)成習(xí)慣，無(wú)論配置什么設(shè)備，都使用一下這個(gè)命令
交換機(jī)配置網(wǎng)關(guān)：
switch(config)#ip default-gateway 192.168.1.254 //假設(shè)網(wǎng)關(guān)地址為192.168.1.254，此命令用戶二層設(shè)備。
通過以上幾個(gè)命令的配置，設(shè)備便可以實(shí)現(xiàn)遠(yuǎn)程管理，在項(xiàng)目實(shí)施時(shí)（尤其是設(shè)備位置比較分散）特別能提高效率。
2.1 接口介質(zhì)類型配置
銳捷為了降低SME客戶的總體擁有成本，推出靈活選擇的端口形式：電口和光口復(fù)用接口，方便用戶根據(jù)網(wǎng)絡(luò)環(huán)境選擇對(duì)應(yīng)的介質(zhì)類型。
但光口和電口同時(shí)只能用其一，如使用了光口1F，則電口1不能使用。
接口介質(zhì)類型的轉(zhuǎn)換：
Switch(config)#interface gigabitethernet 0/1
Switch(config-if)#medium-type fiber //把接口工作模式改為光口
Switch(config-if)#medium-type copper //把接口工作模式改為電口
默認(rèn)情況下，接口是工作在電口模式
在項(xiàng)目實(shí)施中，如果光纖模塊指示燈不亮，工作模式是否正確也是故障原因之一。
2.2 接口速度/雙工配置
命令格式：
Switch(config)#interface interface-id //進(jìn)入接口配置模式
Switch(config-if)#speed {10 | 100 | 1000 | auto } //設(shè)置接口的速率參數(shù)，或者設(shè)置為auto
Switch(config-if)#duplex {auto | full | half} //設(shè)置接口的雙工模式
1000只對(duì)千兆口有效；
默認(rèn)情況下，接口的速率為auto，雙工模式為auto。
配置實(shí)例：
實(shí)例將gigabitethernet 0/1的速率設(shè)為1000M，雙工模式設(shè)為全雙工：
Switch(config)#interface gigabitethernet 0/1
Switch(config-if)#speed 1000
Switch(config-if)#duplex full
在故障處理的時(shí)候，如果遇到規(guī)律性的時(shí)斷時(shí)續(xù)或掉包，在排除其他原因后，可以考慮是否和對(duì)端設(shè)備的速率和雙工模式不匹配，尤其是兩端設(shè)備為不同廠商的時(shí)候。
光口不能修改速度和雙工配置，只能auto。
2.3 VLAN配置
添加VLAN到端口：
在交換機(jī)上建立VLAN：
Switch (config)#vlan 100 //建立VLAN 100
Switch (config)#name ruijie //該VLAN名稱為ruijie
將交換機(jī)接口劃入VLAN 100中：
Switch (config)#interface range f 0/1-48 //range表示選取了系列端口1-48，這個(gè)對(duì)多個(gè)端口進(jìn)行相同配置時(shí)非常有用
Switch (config-if-range)#switchport access vlan 100 //將接口劃到VLAN 100中
Switch (config-if-range)#no switchport access vlan //將接口劃回到默認(rèn)VLAN 1中，即端口初始配置
交換機(jī)端口的工作模式：
Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport mode access //該端口工作在access模式下
Switch(config-if)#switchport mode trunk //該端口工作在trunk模式下
如果端口下連接的是PC，則該端口一般工作在access模式下，默認(rèn)配置為access模式。
如果端口是上聯(lián)口，且交換機(jī)有劃分多個(gè)VLAN，則該端口工作在TRUNK模式下。
NATIVE VLAN配置：
Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport mode trunk
Switch(config-if)#switchport trunk native vlan 100 //設(shè)置該端口NATIVE VLAN為100
端口只有工作在TRUNK模式下，才可以配置NATIVE VLAN；
在TRUNK上Native VLAN的數(shù)據(jù)是無(wú)標(biāo)記的(Untagged)，所以即使沒有在端口即使沒有工作在TRUNK模式下，Native Vlan仍能正常通訊；
默認(rèn)情況下，銳捷交換機(jī)的NATIVE VLAN為1。建議不要更改。
VLAN修剪配置：
Switch(config)#interface fastEthernet 0/2
Switch(config-if)#switchport trunk allowed vlan remove 2-9,11-19,21-4094 //設(shè)定VLAN要修剪的VLAN
Switch(config-if)#no switchport trunk allowed vlan //取消端口下的VLAN修剪
VLAN信息查看：
Switch#show vlan
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Fa0/1 ,Fa0/11,Fa0/12
Fa0/13,Fa0/14,Fa0/15
Fa0/16,Fa0/17,Fa0/18
Fa0/19,Fa0/20,Fa0/21
Fa0/22,Fa0/23,Fa0/24
100 VLAN0100 active Fa0/1 ,Fa0/2 ,Fa0/3
Fa0/4 ,Fa0/5 ,Fa0/6
Fa0/7 ,Fa0/8 ,Fa0/9
Fa0/10
Switch#
2.4 端口鏡像
端口鏡像配置：
Switch (config)# monitor session 1 destination interface GigabitEthernet 0/2
//配置G0/2為鏡像端口
Switch (config)# monitor session 1 source interface GigabitEthernet 0/1 both
//配置G0/1為被鏡像端口，且出入雙向數(shù)據(jù)均被鏡像。
Switch (config)# no monitor session 1 //去掉鏡像1
S21、S35等系列交換機(jī)不支持鏡像目的端口當(dāng)作普通用戶口使用，如果需要做用戶口，請(qǐng)將用戶MAC與端口綁定。
銳捷SME交換機(jī)鏡像支持一對(duì)多鏡像，不支持多對(duì)多鏡像。
去除TAG標(biāo)記：
Switch (config)# monitor session 1 destination interface GigabitEthernet 0/2 encapsulation replicate
// encapsulation replicate表述鏡像數(shù)據(jù)不帶TAG標(biāo)記。
目前該功能只有S37、S57、S86、S96交換機(jī)支持，其他型號(hào)交換機(jī)不支持。
銳捷交換機(jī)支持兩種模式：
鏡像目的口輸出報(bào)文是否帶TAG根據(jù)源數(shù)據(jù)流輸入的時(shí)候是否帶TAG來(lái)決定。
強(qiáng)制所有的鏡像輸出報(bào)文都不帶TAG ，受限于目前芯片的限制，只支持二層轉(zhuǎn)發(fā)報(bào)文不帶Tag，經(jīng)過三層路由的報(bào)文，鏡像目的端口輸出的報(bào)文會(huì)帶Tag。
端口鏡像信息查看：
S3750#sh monitor session 1
Session: 1
Source Ports:
Rx Only : None
Tx Only : None
Both : Fa0/1
Destination Ports: Fa0/2
encapsulation replicate: true
2.5 端口聚合
端口聚合配置：
Switch(config)#interface fastEthernet 0/1
Switch (config-if)#port-group 1 //把端口f0/1加入到聚合組1中。
Switch (config-if)#no port-group 1 //把端口f0/1從聚合組1中去掉。
S2126G/50G交換機(jī)最大支持的6個(gè)AP，每個(gè)AP最多能包含8個(gè)端口。6號(hào)AP只為模塊1和模塊2保留，其它端口不能成為該AP的成員，模塊1和模塊2也只能成為6號(hào)AP的成員。
S2700 系列交換機(jī)最大支持的31個(gè)AP，每個(gè)AP 最多能包含8個(gè)端口。
S3550-24/48系列交換機(jī)最大支持的6個(gè)AP，每個(gè)AP最多能包含8個(gè)端口。
S3550-12G/12G+/24G系列交換機(jī)最大支持的12個(gè)AP，每個(gè)AP最多能包含8個(gè)端口。
S3550-12SFP/GT系列交換機(jī)最大支持的12個(gè)AP，每個(gè)AP最多能包含8個(gè)端口。
57系列交換機(jī)最大支持12個(gè)AP，每個(gè)AP最多能包含個(gè)8端口。
配置為AP的端口，其介質(zhì)類型必須相同。
聚合端口需是連續(xù)的端口，例如避免把端口1和端口24做聚合。
端口聚合信息查看：
S3750#show aggregatePort 1 summary //查看聚合端口1的信息。
AggregatePort MaxPorts SwitchPort Mode Ports
------------- -------- ---------- ------------- -------------------------------
Ag1 8 Enabled Access Fa0/1 , Fa0/2
S3750#
信息顯示AP1的成員端口為0/1和0/2。
2.6 交換機(jī)堆疊
設(shè)置交換機(jī)優(yōu)先級(jí)：
S3750(config)#device-priorit 5
銳捷交換機(jī)的堆疊采用的是菊花鏈?zhǔn)蕉询B，注意堆疊線的連接方法，如圖5：
也可以不設(shè)置交換機(jī)優(yōu)先級(jí)，設(shè)備會(huì)自動(dòng)堆疊成功。
堆疊后，只有通過主交換機(jī)CONSOLE口對(duì)堆疊組進(jìn)行管理。
查看堆疊信息：
Student_dormitory_B#show member
member MAC address priority alias SWVer HWVer
------ ---------------- -------- -------------------------------- ----- -----
1 00d0.f8d9.f0ba 10 1.61 3.2
2 00d0.f8d9.f2ef 1 1.61 3.2
3 00d0.f8ff.d38e 1 1.61 3.3
2.7 ACL配置
ACL配置：
配置ACL步驟：
建立ACL：
Switch(config)# Ip access-list exten ruijie //建立ACL訪問控制列表名為ruijie，extend表示建立的是擴(kuò)展訪問控制列表。
Switch(config)#no Ip access-list exten ruijie //刪除名為ruijie的ACL。
增加一條ACE項(xiàng)后，該ACE是添加到ACL的最后，不支持中間插入，所以需要調(diào)整ACE順序時(shí)，必須整個(gè)刪除ACL后再重新配置。
添加ACL的規(guī)則：
Switch (config-ext-nacl)#deny icmp any 192.168.1.1 255.255.255.0 //禁止PING IP地址為192.168.1.1的設(shè)備。
Switch (config-ext-nacl)# deny tcp any any eq 135 //禁止端口號(hào)為135的應(yīng)用。
Switch (config-ext-nacl)#deny udp any any eq www //禁止協(xié)議為www的應(yīng)用。
Switch(config-ext-nacl)# permit ip any any //允許所有行為。
將ACL應(yīng)用到具體的接口上：
Switch (config)#interface range f 0/1
Switch (config-if)#ip access-group ruijie in //把名為ruijie的ACL應(yīng)用到端口f 0/1上。
Switch (config-if)#no ip access-group ruijie in //從接口去除ACL。
ACL模版：
下面給出需要禁止的常見端口和協(xié)議（不限于此）：
Switch (config-ext-nacl)# deny tcp any any eq 135
Switch(config-ext-nacl)# deny tcp any any eq 139
Switch(config-ext-nacl)# deny tcp any any eq 593
Switch(config-ext-nacl)# deny tcp any any eq 4444
Switch(config-ext-nacl)# deny udp any any eq 4444
Switch(config-ext-nacl)# deny udp any any eq 135
Switch(config-ext-nacl)# deny udp any any eq 137
Switch(config-ext-nacl)# deny udp any any eq 138
Switch(config-ext-nacl)# deny tcp any any eq 445
Switch(config-ext-nacl)# deny udp any any eq 445
Switch(config-ext-nacl)# deny udp any any eq 593
Switch(config-ext-nacl)# deny tcp any any eq 593
Switch(config-ext-nacl)# deny tcp any any eq 3333
Switch(config-ext-nacl)# deny tcp any any eq 5554
Switch(config-ext-nacl)# deny udp any any eq 5554
S2150G(config-ext-nacl)#deny udp any any eq netbios-ss
S2150G(config-ext-nacl)#deny udp any any eq netbios-dgm
S2150G(config-ext-nacl)#deny udp any any eq netbios-ns
Switch(config-ext-nacl)# permit ip any any
最后一條必須要加上permit ip any any，否則可能造成網(wǎng)絡(luò)的中斷。
ACL注意點(diǎn)：
交換機(jī)的ACL、802.1X、端口安全、保護(hù)端口等共享設(shè)備硬件表項(xiàng)資源，如果出現(xiàn)如下提示：% Error: Out of Rules Resources，則表明硬件資源不夠，需刪除一些ACL規(guī)則或去掉某些應(yīng)用。
ARP協(xié)議為系統(tǒng)保留協(xié)議，即使您將一條deny any any的ACL關(guān)聯(lián)到某個(gè)接口上，交換機(jī)也將允許該類型報(bào)文的交換。
擴(kuò)展訪問控制列表盡量使用在靠近想要控制的目標(biāo)區(qū)域的設(shè)備上。
如果ACE項(xiàng)是先permit，則在最后需要手工加deny ip any any，如果ACE項(xiàng)是先deny，則在最后需要手工加permit ip any any。
ACL信息查看：
Switch#show access-lists 1
Extended IP access list: 1
deny tcp any any eq 135
deny tcp any any eq 136
deny tcp any any eq 137
deny tcp any any eq 138
deny tcp any any eq 139
deny tcp any any eq 443
deny tcp any any eq 445
……
permit ip any any
Switch#
2.8 端口安全
端口安全可以通過限制允許訪問交換機(jī)上某個(gè)端口的MAC地址以及IP來(lái)實(shí)現(xiàn)控制對(duì)該端口的輸入。
當(dāng)安全端口配置了一些安全地址后，則除了源地址為這些安全地址的包外，此端口將不轉(zhuǎn)發(fā)其它任何報(bào)文。
可以限制一個(gè)端口上能包含的安全地址最大個(gè)數(shù)，如果將最大個(gè)數(shù)設(shè)置為1，并且為該端口配置一個(gè)安全地址，則連接到這個(gè)口的工
作站(其地址為配置的安全M地址)將獨(dú)享該端口的全部帶寬。
端口安全配置：
Switch (config)#interface range f 0/1
Switch(config-if)# switchport port-security //開啟端口安全
Switch(config-if)# switchport port-security //關(guān)閉端口安全
Switch(config-if)# switchport port-security maximum 8 //設(shè)置端口能包含的最大安全地址數(shù)為8
Switch(config-if)# switchport port-security violation protect //設(shè)置處理違例的方式為protect
Switch(config-if)# switchport port-security mac-address 00d0.f800.073c ip-address 192.168.1.1
//在接口fastethernet0/1配置一個(gè)安全地址00d0.f800.073c，并為其綁定一個(gè)IP地址：192.168.1.1
Switch(config-if)#no switchport port-security mac-address 00d0.f800.073c ip-address 192.168.1.1 //刪除接口上配置的安全地址
以上配置的最大安全地址數(shù)為8個(gè)，但只在端口上綁定了一個(gè)安全地址，所以該端口仍然能學(xué)習(xí)7個(gè)地址。
違例處理方式有：
protect：保護(hù)端口，當(dāng)安全地址個(gè)數(shù)滿后，安全端口將丟棄未知名地址(不是該端口的安全地址。
restrict：當(dāng)違例產(chǎn)生時(shí)，將發(fā)送一個(gè)Trap通知。
shutdown：當(dāng)違例產(chǎn)生時(shí)，將關(guān)閉端口并發(fā)送一個(gè)Trap通知。
端口安全信息查看：
Switch# show port-security interface fastethernet 0/3 //查看接口f0/3的端口安全配置信息。
Interface : Fa0/3
Port Security: Enabled
Port status : down
Violation mode:Shutdown
Maximum MAC Addresses:8
Total MAC Addresses:0
Configured MAC Addresses:0
Aging time : 8 mins
SecureStatic address aging : Enabled
Switch# show port-security address //查看安全地址信息
Vlan Mac Address IP Address Type Port Remaining Age（mins）
---- --------------- --------------- ---------- -------- ------------------
1 00d0.f800.073c 192.168.12.202 Configured Fa0/3 8
1 00d0.f800.3cc9 192.168.12.5 Configured Fa0/1 7
一個(gè)安全端口只能是一個(gè)access port；
802.1x認(rèn)證功能和端口安全不能同時(shí)打開；
在同一個(gè)端口上不能同時(shí)應(yīng)用綁定IP 的安全地址和ACL，否則會(huì)提示屬性錯(cuò)誤： % Error: Attribute conflict。
2.9 交換機(jī)防攻擊配置
防ARP攻擊：
在交換機(jī)上對(duì)防ARP攻擊的功能有：
IP和MAC地址的綁定：
Switch(config)#arp ip-address hardware-address [type] interface-id
Switch(config)#arp 192.168.12.111 00d0.f800.073c arpa gigabitethernet 0/1
此命令只有三層交換機(jī)支持。
防網(wǎng)關(guān)被欺騙：
假設(shè)交換機(jī)的千兆口為上聯(lián)口，百兆端口接用戶，上聯(lián)口接網(wǎng)關(guān)。如果某個(gè)用戶假冒網(wǎng)關(guān)的IP發(fā)出ARP請(qǐng)求，那么其他用戶無(wú)法區(qū)分
是真正的網(wǎng)關(guān)還是假冒的網(wǎng)關(guān)，把假冒網(wǎng)關(guān)的ARP保存到本機(jī)的ARP列表中，最終將造成用戶上網(wǎng)不正常。
針對(duì)ARP欺騙的手段，可以通過設(shè)置交換機(jī)的防ARP欺騙功能來(lái)防止網(wǎng)關(guān)被欺騙。具體的做法就是，在用戶端口上通過防ARP欺騙命令
設(shè)置要防止欺騙的IP，阻止以該設(shè)置IP為源IP地址的ARP通過交換機(jī)，這樣可以保證交換機(jī)下聯(lián)端口的主機(jī)無(wú)法進(jìn)行網(wǎng)關(guān)ARP欺騙。
配置：
Switch(config)#Interface interface-id //進(jìn)入指定端口進(jìn)行配置。
Switch(config-if)#Anti-ARP-Spoofing ip ip-address //配置防止ip-address的ARP欺騙。
配置實(shí)例：
假設(shè)S2126G G1/1接上聯(lián)端口，F(xiàn)a0/1~24接用戶，網(wǎng)關(guān)ip地址為192.168.64.1，在端口1到24口設(shè)置防網(wǎng)關(guān)ARP欺騙如下：
Switch(config)# inter range fastEthernet 0/1-24 //進(jìn)入端口Fa0/1~24進(jìn)行配置。
Switch(config-if-range)#anti-ARP-Spoofing ip 192.168.64.1 //設(shè)置防止192.168.64.1 arp欺騙
Switch(config-if-range)# no anti-ARP-Spoofing ip 192.168.64.1 //去掉防ARP欺騙。
防網(wǎng)關(guān)被欺騙只能配置在用戶端口處，不能配置在交換機(jī)的上聯(lián)口，否則會(huì)造成網(wǎng)絡(luò)中斷。
防網(wǎng)關(guān)被欺騙不能防ARP主機(jī)欺騙，也就是說該功能只是在一定程度上減少ARP欺騙的可能性，并不是完全防止ARP欺騙。
防STP攻擊：
網(wǎng)絡(luò)中攻擊者可以發(fā)送虛假的BPDU報(bào)文，擾亂網(wǎng)絡(luò)拓?fù)浜玩溌芳軜?gòu)，充當(dāng)網(wǎng)絡(luò)根節(jié)點(diǎn)，獲取信息。
采取的防范措施：
對(duì)于接入層交換機(jī)，在沒有冗余鏈路的情況下，盡量不用開啟STP協(xié)議。（傳統(tǒng)的防范方式）。
使用交換機(jī)具備的BPDU Guard功能，可以禁止網(wǎng)絡(luò)中直接接用戶的端口或接入層交換機(jī)的下連端口收到BPDU報(bào)文。從而防范用戶發(fā)
送非法BPDU報(bào)文。
配置：
Switch(config)# inter fastEthernet 0/1 //進(jìn)入端口Fa0/1。
Switch(config-if)# spanning-tree bpduguard enable //打開該端口的的BPDU guard功能
Switch(config-if)# spanning-tree bpduguard diaable //關(guān)閉該端口的的BPDU guard功能
打開的BPDU guard，如果在該端口上收到BPDU，則會(huì)進(jìn)入error-disabled 狀態(tài)，只有手工把該端口shutdown然后再no shutdown或
者重 新啟動(dòng)交換機(jī)，才能恢復(fù)。
該功能只能在直接面向PC的端口打開，不能在上聯(lián)口或非直接接PC的端口打開。
防DOS/DDOS攻擊：
DoS/DDoS（拒絕服務(wù)攻擊/分布式拒絕服務(wù)攻擊）：它是指故意攻擊網(wǎng)絡(luò)協(xié)議的缺陷或直接通過野蠻手段耗盡受攻擊目標(biāo)的資源，目
的是讓目標(biāo)計(jì)算機(jī)或網(wǎng)絡(luò)無(wú)法提供正常的服務(wù)，甚至系統(tǒng)崩潰。
銳捷交換機(jī)可設(shè)置基于RFC 2827的入口過濾規(guī)則
配置：
Switch(config)# inter fastEthernet 0/1 //進(jìn)入端口Fa0/1。
Switch(config-if)#ip deny spoofing-source //預(yù)防偽造源IP的DOS攻擊的入口過濾功能。丟棄所有與此網(wǎng)絡(luò)接口前綴不符合的輸入報(bào)文。
Switch(config-if)#no ip deny spoofing-source //關(guān)閉入口過濾功能。
只有配置了網(wǎng)絡(luò)地址的三層接口才支持預(yù)防DoS攻擊的入口過濾功能。
注意只能在直連(connected)接口配置該過濾，在和骨干層相連的匯聚層接口（即uplink口）上設(shè)置入口過濾，會(huì)導(dǎo)致來(lái)自于
internet各種源ip報(bào)文無(wú)法到達(dá)該匯聚層下鏈的主機(jī)。
只能在一個(gè)接口上關(guān)聯(lián)輸入ACL或者設(shè)置入口過濾，二者不能同時(shí)應(yīng)用。如果已經(jīng)將一個(gè)接口應(yīng)用了一個(gè)ACL，再打開預(yù)防DoS的入口
過濾，將導(dǎo)致后者產(chǎn)生的ACL代替前者和接口關(guān)聯(lián)。反之亦然。
在設(shè)置基于defeat DoS的入口過濾后，如果修改了網(wǎng)絡(luò)接口地址，必須關(guān)閉入口過濾然后再打開，這樣才能使入口過濾對(duì)新的網(wǎng)絡(luò)
地址生效。同樣，對(duì)SVI應(yīng)用了入口過濾，SVI對(duì)應(yīng)物理端口的變化，也要重新設(shè)置入口過濾。
S57系列交換機(jī)中S5750S不支持Defeat DoS。
IP掃描攻擊：
目前發(fā)現(xiàn)的掃描攻擊有兩種：
目的IP地址變化的掃描，稱為scan dest ip attack。這種掃描最危害網(wǎng)絡(luò)，消耗網(wǎng)絡(luò)帶寬，增加交換機(jī)負(fù)擔(dān)。
目的IP地址不存在，卻不斷的發(fā)送大量報(bào)文，稱為“same des tip attack。對(duì)三層交換機(jī)來(lái)說，如果目的IP地址存在，則報(bào)文的轉(zhuǎn)
發(fā)會(huì)通過交換芯片直接轉(zhuǎn)發(fā)，不會(huì)占用交換機(jī)CPU的資源，而如果目的IP不存在，交換機(jī)CPU會(huì)定時(shí)的嘗試連接，而如果大量的這種
攻擊存在，也會(huì)消耗著CPU資源。
配置：
Switch(config)#system-guard enable //打開系統(tǒng)保護(hù)
Switch(config)#no system-guard //關(guān)閉系統(tǒng)保護(hù)功能
非法用戶隔離時(shí)間每個(gè)端口均為120秒
對(duì)某個(gè)不存在的IP不斷的發(fā)IP報(bào)文進(jìn)行攻擊的最大閥值每個(gè)端口均為每秒20個(gè)
對(duì)一批IP網(wǎng)段進(jìn)行掃描攻擊的最大閥值每個(gè)端口均為每秒10個(gè)
監(jiān)控攻擊主機(jī)的最大數(shù)目100臺(tái)主機(jī)
查看信息：
Switch#show system-guard isolated-ip
interface ip-address isolate reason remain-time(second)
---------- ------------------ -------------------- ------------------
Fa 0/1 192.168.5.119 scan ip attack 110
Fa 0/1 192.168.5.109 same ip attack 61
以上幾欄分別表示：已隔離的IP地址出現(xiàn)的端口、已隔離的IP地址，隔離原因，隔離的剩余時(shí)間。
isolate reason中有可能會(huì)顯示“chip resource full”，這是因?yàn)榻粨Q機(jī)隔離了較多的用戶，導(dǎo)致交換機(jī)的硬件芯片資源占滿（
根據(jù)實(shí)際的交換機(jī)運(yùn)作及ACL設(shè)置，這個(gè)數(shù)目大約是每端口可隔離100－120個(gè)IP地址），這些用戶并沒有實(shí)際的被隔離，管理員需要
采取其他措施來(lái)處理這些攻擊者。
另外，當(dāng)非法用戶被隔離時(shí)，會(huì)發(fā)一個(gè)LOG記錄到日志系統(tǒng)中，以備管理員查詢，非法用戶隔離解除時(shí)也會(huì)發(fā)一個(gè)LOG通知。
2.10 DHCP配置
按照通常的DHCP應(yīng)用模式（Client—Server模式），由于DHCP請(qǐng)求報(bào)文的目的IP地址為255.255.255.255，因此每個(gè)子網(wǎng)都要有一個(gè)DHCP Server來(lái)管理這個(gè)子網(wǎng)內(nèi)的IP動(dòng)態(tài)分配情況。為了解決這個(gè)問題，DHCP Relay Agent就產(chǎn)生了，它把收到的DHCP 請(qǐng)求報(bào)文轉(zhuǎn)發(fā)給DHCP Server，同時(shí)，把收到的DHCP響應(yīng)報(bào)文轉(zhuǎn)發(fā)給DHCP Client。DHCP Relay Agent就相當(dāng)于一個(gè)轉(zhuǎn)發(fā)站，負(fù)責(zé)溝通不同廣播域間的DHCP Client和DHCP Server的通訊。這樣就實(shí)現(xiàn)了局域網(wǎng)內(nèi)只要安裝一個(gè)DHCP Server就可對(duì)所有網(wǎng)段的動(dòng)態(tài)IP管理，即Client—Relay Agent—Server模式的DHCP動(dòng)態(tài)IP管理。
DHCP RELAY功能使用在網(wǎng)絡(luò)中只有一臺(tái)DHCP SERVER，但卻有多個(gè)子網(wǎng)的網(wǎng)絡(luò)中：
配置：
打開DHCP Relay Agent：
Switch(config)#service dhcp //打開DHCP服務(wù)，這里指打開DHCP Relay Agent
Switch(config)#no service dhcp //關(guān)閉DHCP服務(wù)
配置DHCP Server的IP地址：
Switch(config)#ip helper-address address //設(shè)置DHCP Server的IP地址
配置實(shí)例：
Switch(config)#service dhcp
Switch(config)#ip helper-address 192.168.1.1 //設(shè)置DHCP Server的IP地址為192.168.1.1
配置了DHCP Server，交換機(jī)所收到的DHCP請(qǐng)求報(bào)文將全部轉(zhuǎn)發(fā)給它，同時(shí)，收到Server的響應(yīng)報(bào)文也會(huì)轉(zhuǎn)發(fā)給DHCP Client。
2.11 三層交換機(jī)配置
SVI：
SVI(Switch virtual interface) 是和某個(gè)VLAN關(guān)聯(lián)的IP接口。每個(gè)SVI只能和一個(gè)VLAN關(guān)聯(lián)，可分為以下兩種類型：
SVI是本機(jī)的管理接口，通過該管理接口管理員可管理交換機(jī)。
SVI是一個(gè)網(wǎng)關(guān)接口，用于3層交換機(jī)中跨VLAN之間的路由。
配置：
switch(config)#interface vlan 10 //把VLAN 10配置成SVI
switch(config)#no interface vlan 10 //刪除SVI
switch(config-if)#ip address 192.168.1.1 255.255.255.0 //給該SVI接口配置一個(gè)IP地址
switch(config-if)#no ip address //刪除該SVI接口上的IP地址
此功能一般應(yīng)用在三層交換機(jī)做網(wǎng)關(guān)的時(shí)候，應(yīng)用SVI在該設(shè)備上建立相關(guān)VLAN的網(wǎng)關(guān)IP。
Routed Port：
在三層交換機(jī)上，可以使用單個(gè)物理端口作為三層交換的網(wǎng)關(guān)接口，這個(gè)接口稱為Routed port。Routed port不具備2層交換的功能
。通過no switchport命令將一個(gè)2層接口switch port轉(zhuǎn)變?yōu)镽outed port,然后給Routed port分配IP地址來(lái)建立路由。
配置：
switch (config)#interface fa 0/1
switch (config-if)#no switch //把f 0/1變成路由口
switch (config-if)#switch //把接口恢復(fù)成交換口
switch (config-if)#ip address 192.168.1.1 255.255.255.0 //可配置ip地址等
一個(gè)限制是，當(dāng)一個(gè)接口是L2 Aggregate Port的成員口時(shí)，是不能用switchport/ no switchport命令進(jìn)行層次切換的。
該功能一般應(yīng)用在對(duì)端設(shè)備是路由器或?qū)Χ硕丝谧髀酚山涌谑褂谩?/p>
路由配置：
靜態(tài)路由是由用戶自行設(shè)定的路由，這些路由指定了報(bào)文從源地址到目的地址所走的路徑。
銳捷網(wǎng)絡(luò)所有三層交換機(jī)都支持路由功能，包括靜態(tài)路由、默認(rèn)路由、動(dòng)態(tài)路由。
靜態(tài)路由配置：
switch (config)#ip route 目的地址 掩碼 下一跳 //添加一條路由
switch (config)#no ip route 目的地址 掩碼 //刪除掉某條路由
默認(rèn)路由配置：
switch (config)#ip route 0.0.0.0 0.0.0.0 下一跳
switch (config)#no ip route 0.0.0.0 0.0.0.0 下一跳 //刪除某條默認(rèn)路由。
配置實(shí)例：
switch (config)#ip route 192.168.1.0 255.255.255.0 1.1.1.1 //配置到網(wǎng)段192.168.1.0的下一跳ip地址為1.1.1.1
switch (config)#ip route 0.0.0.0 0.0.0.0 1.1.1.1 //配置一條默認(rèn)路由，下一跳為1.1.1.1
信息顯示：
switch #show ip route //顯示當(dāng)前路由表的狀態(tài)
switch#sh ip route
Codes: C - connected, S - static, R - RIP
O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
* - candidate default
Gateway of last resort is 218.4.190.1 to network 0.0.0.0
S* 0.0.0.0/0 [1/0] via 218.4.190.1, FastEthernet 1/0
C 61.177.13.66/32 is local host.
C 61.177.24.1/32 is directly connected, dialer 1
S 172.16.0.0/24 [1/0] via 192.168.0.1, FastEthernet 0/0
C 192.168.0.0/24 is directly connected, FastEthernet 0/0
C 192.168.0.253/32 is local host.
C 218.4.190.0/29 is directly connected, FastEthernet 1/0
C 218.4.190.2/32 is local host.
S 218.5.3.0/24 [1/0] via 218.4.190.1, FastEthernet 1/0
Switch#
S代表是靜態(tài)路由，C代表是直連路由。
三、交換機(jī)常用查看命令
show cpu //查看CPU利用率
switch #show cpu
CPU utilization for five seconds: 3%
CPU utilization for one minute : 6%
CPU utilization for five minutes: 6%
如果CPU利用率偏高，就要考慮網(wǎng)絡(luò)中是否有攻擊或者網(wǎng)絡(luò)設(shè)備是否能勝任當(dāng)前的網(wǎng)絡(luò)負(fù)載。一般來(lái)說，CPU超過30%就不正常了。
show clock //查看交換機(jī)時(shí)鐘
switch #show clock
System clock : 2007-3-18 10:29:14 Sunday
show logging //查看交換機(jī)日志
switch #show logging
Syslog logging: Enabled
Console logging: Enabled(debugging)
Monitor logging: Disabled
Buffer logging: Enabled(debugging)
Server logging severity: debugging
File logging: Disabled
Logging history:
2007-3-18 11:26:36 @5-COLDSTART:System coldstart
2007-3-18 11:26:36 @5-LINKUPDOWN:Fa2/0/1 changed state to up
2007-3-18 11:26:37 @5-LINKUPDOWN:Fa1/0/10 changed state to up
2007-3-18 11:26:37 @5-LINKUPDOWN:Gi1/1/1 changed state to up
2007-3-18 11:26:37 @4-TOPOCHANGE:Topology is changed
注意，日志前面都有時(shí)間，但交換機(jī)的時(shí)鐘往往和生活中的時(shí)鐘對(duì)不上，這時(shí)需要我們使用show clock查看交換機(jī)時(shí)鐘，進(jìn)而推斷
日志發(fā)生的時(shí)間，便于發(fā)現(xiàn)問題。
show mac-address-table dynamic //查看交換機(jī)動(dòng)態(tài)學(xué)習(xí)到的MAC地址表
switch #show mac-address-table dynamic
Vlan MAC Address Type Interface
---------- -------------------- -------- -------------------
1 00d0.f8ba.6001 DYNAMIC Gi1/1/1
21 0020.ed42.b02e DYNAMIC Fa1/0/10
21 00d0.f8ba.6007 DYNAMIC Gi1/1/1
查看交換機(jī)的MAC表，要注意查看MAC地址是否是從正確的端口學(xué)習(xí)上來(lái)的，或者是否存在某個(gè)PC的MAC地址。
show running-config //查看當(dāng)前交換機(jī)運(yùn)行的配置文件
通過此命令，可以查看交換機(jī)的配置情況，我們?cè)谔幚砉收蠒r(shí)一般都要先了解設(shè)備有哪些配置。
show version //查看交換機(jī)硬件、軟件信息
switch #sh verison
System description : Red-Giant Gigabit Stacking Intelligent
Switch(S2126G/S2150G) By Ruijie Network
System uptime : 0d:3h:39m:6s
System hardware version : 3.2 //硬件版本信息
System software version : 1.61(4) Build Sep 9 2005 Release //IOS版本信息
System BOOT version : RG-S2126G-BOOT 03-02-02 //BOOT層版本信息
System CTRL version : RG-S2126G-CTRL 03-08-02 //CTRL版本信息
Running Switching Image : Layer2
有些故障是軟件版本的BUG，所以遇到問題時(shí)也需要了解該設(shè)備的軟件版本，是否版本過低，是否新版本已解決了這個(gè)故障。
show arp //查看交換機(jī)的arp表
S3750#show arp
Address Age (min) Hardware Addr Type Interface
--------------- ---------- -------------- ------ --------------------
192.168.0.1 6 00d0.f888.3177 arpa VL1
192.168.0.245 57 00d0.f8a5.6d5b arpa VL1
Arp表顯示了IP地址和MAC地址的對(duì)應(yīng)關(guān)系，可以了解設(shè)備是否正確學(xué)習(xí)了PC的IP和MAC，也可以分析是否有arp攻擊等。
show interfaces gigabitEthernet 4/1 counters //顯示接口詳細(xì)信息的命令
Interface : Gi4/1
5 minute input rate : 95144528 bits/sec, 12655 packets/sec
//5分鐘平均輸入比特和包的流量情況
5 minute output rate : 32025224 bits/sec, 9959 packets/sec
//5分鐘平均輸出比特和包的流量情況
InOctets : 538589***1435 //流入的總的信元數(shù)目
InUcastPkts : 5826645588 //流入端口的單播包的數(shù)目
InMulticastPkts : 2 //流入端口的組播包數(shù)目
InBroadcastPkts : 26738 //流入端口的廣播包數(shù)目
OutOctets : 2260427126592 //流出端口的信元數(shù)目
OutUcastPkts : 4719687624 //流出端口的單播包的數(shù)目
OutMulticastPkts : 1195703 //流出端口的組播包數(shù)目
OutBroadcastPkts : 195960 //流出端口的廣播包數(shù)目
Undersize packets : 0 //碎片包（小余64字節(jié)的包）的個(gè)數(shù)
Oversize packets : 0 //特大型（一般來(lái)說大于65535字節(jié)的包）的包的個(gè)數(shù)
collisions : 0 //沖突的次數(shù)
Fragments : 0 //碎片的個(gè)數(shù)
Jabbers : 0 //無(wú)意義的包的個(gè)數(shù)
CRC alignment errors : 0 //CRC校驗(yàn)錯(cuò)誤個(gè)數(shù)
AlignmentErrors : 0 //隊(duì)列錯(cuò)誤的個(gè)數(shù)
FCSErrors : 0 //幀F(xiàn)CS校驗(yàn)錯(cuò)誤的個(gè)數(shù)
dropped packet events (due to lack of resources): 0 //由于端口缺乏資源而丟棄的包的個(gè)數(shù)
packets received of length (in octets):
64:2372602475, 65-127: 1781677084, 128-255: 492840867, //相應(yīng)長(zhǎng)度范圍內(nèi)數(shù)據(jù)包的個(gè)數(shù)
256-511: 251776189, 512-1023: 1254108344, 1024-1518: 99779360
關(guān)注端口數(shù)據(jù)包的數(shù)目，如果某類型的數(shù)據(jù)包明顯異常多，比如廣播包多，則有可能網(wǎng)絡(luò)中有廣播風(fēng)暴。
關(guān)注碎片包、沖突包、CRC校驗(yàn)錯(cuò)誤包等錯(cuò)誤包的個(gè)數(shù)，如果很多，則要考慮端口有無(wú)物理故障，線路有無(wú)問題，或者兩端協(xié)商是否正常。
//隊(duì)列錯(cuò)誤的個(gè)數(shù)
FCSErrors : 0 //幀F(xiàn)CS校驗(yàn)錯(cuò)誤的個(gè)數(shù)
dropped packet events (due to lack of resources): 0 //由于端口缺乏資源而丟棄的包的個(gè)數(shù)
packets received of length (in octets):
64:2372602475, 65-127: 1781677084, 128-255: 492840867, //相應(yīng)長(zhǎng)度范圍內(nèi)數(shù)據(jù)包的個(gè)數(shù)
256-511: 251776189, 512-1023: 1254108344, 1024-1518: 99779360
關(guān)注端口數(shù)據(jù)包的數(shù)目，如果某類型的數(shù)據(jù)包明顯異常多，比如廣播包多，則有可能網(wǎng)絡(luò)中有廣播風(fēng)暴。
關(guān)注碎片包、沖突包、CRC校驗(yàn)錯(cuò)誤包等錯(cuò)誤包的個(gè)數(shù)，如果很多，則要考慮端口有無(wú)物理故障，線路有無(wú)問題，或者兩端協(xié)商是否正常。
聯(lián)系客服
