华为S9306配置规范.doc

华为 S9603 配置规范 第 1 页 目 录 第第 3 章章华为华为 S9603 配置规范配置规范 6 3 1系统基本配置规范 6 3 1 1设备名称配置 6 3 1 2Banner 配置 6 3 1 3设备自身时间及 NTP 7 3 1 3 1时区配置 7 3 1 3 2NTP 配置 7 3 1 4VTY 接口配置 8 3 1 4 1连接数限制 8 3 1 4 2空闲时间 8 3 1 4 3访问控制列表 9 3 1 4 4配置范例 9 3 1 5AAA 配置 10 3 1 5 1概述 10 3 1 5 2AAA 配置 10 3 1 5 3本地用户帐号 12 3 2端口配置规范 12 3 2 1Loopback 地址配置 12 3 2 2GE 端口配置 13 3 2 2 1GE 用做上连接口 13 3 2 2 2GE 端口 QINQ 配置 14 3 2 2 3FE 端口 QINQ 配置 14 3 2 2 4GE FE 端口专线配置 15 3 3路由协议配置规范 15 3 3 1静态路由配置 15 3 3 1 1静态路由配置方式 15 3 4用户策略配置 16 3 4 1定义防病毒访问控制列表 16 3 4 2QOS 策略配置 17 3 4 3用户限速配置 18 3 5网管配置 19 3 5 1SNMP 管理代理配置 19 3 5 1 1全局开启 SNMP 进程 19 3 5 1 2RO Community 值 20 3 5 1 3RW Community 值 21 华为 S9603 配置规范 第 2 页 3 5 1 4SNMP 访问控制列表 21 3 5 2故障管理配置 22 3 5 2 1SNMP TRAP 信息内容 22 3 5 2 2SNMP TRAP 服务器地址 22 3 5 2 3SNMP TRAP 消息源地址 23 3 5 2 4SYSLOG 服务器地址 23 3 5 2 5SYSLOG 信息级别 23 3 5 2 6SYSLOG 消息源地址 23 3 5 2 7配置范例 参考 24 华为 S9603 配置规范 第 1 页 第第 1 章章 华为华为 S9603 配置规范配置规范 1 1 系统基本配置规范系统基本配置规范 1 1 1 设备名称配置设备名称配置 配置说明 配置说明 规范设备命名 唯一性标识城域网中的每台设备 用于对城域网的每台设 备进行区分 方便设备管理 提高可读性和可管理性 规范要求 规范要求 设备名称要求符合第二章中 IP 城域网网络设备命名及链路描述规范 中 规定 配置规范 配置规范 sysname HS TJL DSW 1 M 9306 配置验证 配置验证 配置后立即生效 设备名称显示在配置命令行的左边 配置注意细节 配置注意细节 可以根据需要在 M 后添加设备型号 1 1 2 Banner 配置配置 配置说明 配置说明 统一 Banner 语言 以省网标准为主 规范要求 规范要求 城域网所有交换机配置统一的 Banner 信息 登陆时提示 WARNING Authorised access only all of your done will be recorded disconnect IMMEDIATELY if you are not an authorised user 配置规范 配置规范 Quidway header login information WARNING Authorised access only all of your done will be recorded disconnect IMMEDIATELY if you are not an authorised user 配置验证 配置验证 华为 S9603 配置规范 第 2 页 登陆路由器时应看到 banner 提示 配置注意细节 配置注意细节 Banner 语言应起到提示和警告非授权访问者的作用 严禁在 Banner 中出 现任何表示欢迎的字样 1 1 3 设备自身时间及设备自身时间及 NTP NTP 实现网络设备时间同步功能 与时间有关的应用 例如 Log 信息 基 于时间限制带宽等 都需要基于正确的时间 1 1 3 1时区配置时区配置 配置说明 配置说明 统一设备的时区配置 规范要求 规范要求 配置系统时区为 GMT 8 北京时区 配置规范 配置规范 clock timezone Beijing add 08 00 00 在用户模式下配置 配置验证 配置验证 display clock 配置注意细节 配置注意细节 无 1 1 3 2NTP 配置配置 配置说明 配置说明 使用 NTP 同步网络上所有设备的时间 保证网络设备得到正确的时间 规范要求 规范要求 配置主和备两组 NTP 服务器 配置规范 配置规范 ntp service unicast server preference 优选其中一台出口为NTP SERVER ntp service unicast server 另一台出口为备用NTP SERVER 配置验证 配置验证 华为 S9603 配置规范 第 3 页 display clock display ntp service status display ntp service session 配置注意细节 配置注意细节 无 1 1 4 VTY 接口配置接口配置 1 1 4 1连接数限制连接数限制 配置说明 配置说明 对同时远程登陆到设备上的 session 数进行限制 可以防止大量的 session 连接占用过多系统资源 同时便于集中运维 保证故障期间的正常处理 规范要求 规范要求 配置 BRAS 路由器并发连接数限制为 10 个 配置规范 配置规范 user interface maximum vty 10 配置验证 配置验证 display user interface maximum vty 配置注意细节 配置注意细节 无 1 1 4 2空闲时间空闲时间 配置说明 配置说明 设置了 Telnet 超时功能 当空闲时间超过设定值后 Telnet 线程断开 防 止未被授权的人员在操作员离开后进行非法操作 规范要求 规范要求 对 VTY 登录超时设置进行配置 设置空闲时间为 10 分钟 配置规范 配置规范 user interface console 0 idle timeout 10 0 user interface aux 0 idle timeout 10 0 user interface vty 0 9 华为 S9603 配置规范 第 4 页 idle timeout 10 0 配置验证 配置验证 disp curr b user interface 配置注意细节 配置注意细节 华为设备默认超时时间即为 10 分钟 配置后也不会显示配置 1 1 4 3访问控制列表访问控制列表 配置说明 配置说明 限制 Telnet 登录网络的源地址 从而增强设备的安全性 最大限度防止非 法登陆尝试 规范要求 规范要求 配置 Telnet 源地址限制 包含省公司地址段和最小化的地市网管中心维护 IP 网段 Telnet 访问控制列表条目从 10 开始 条目的间隔步长为 10 在访问控制 列表的最后显示配置一条 deny any any 语句 配置规范 参考 配置规范 参考 acl number 2088 rule 10 permit source 202 105 80 0 0 0 0 255 rule 20 permit source 202 105 82 0 0 0 0 255 rule 30 permit source 59 37 66 0 0 0 0 255 rule 40 permit source 125 88 116 0 0 0 0 255 rule 50 permit source X X X X X X X X 地市网管地址段 rule 99 deny source any user interface vty 0 4 authentication mode aaa 设置VTY口登录用户的验证方式为AAA acl 2088 inbound 配置验证 配置验证 disp acl 2088 disp curr b user interface 配置注意细节 配置注意细节 无 1 1 4 4配置范例配置范例 华为 S9603 配置规范 第 5 页 acl number 2088 rule 10 permit source 202 105 80 0 0 0 0 255 rule 20 permit source 202 105 82 0 0 0 0 255 rule 30 permit source 59 37 66 0 0 0 0 255 rule 40 permit source 125 88 116 0 0 0 0 255 rule 50 permit source X X X X X X X X 地市网管地址段 rule 99 deny source any user interface vty 0 4 authentication mode aaa 设置VTY口登录用户的验证方式为AAA acl 2088 inbound idle timeout 10 0 用户超时断开连接时间设置为10分钟 protocol inbound telnet 登录支持telnet协议 1 1 5 AAA 配置配置 1 1 5 1概述概述 AAA 使用 Radius 统一验证 全省统一大后台 1 1 5 2AAA 配置配置 配置说明 配置说明 配置用户的认证方式 配置用户的计费方式 配置用户认证服务器地址及参数 配置用户计费服务器地址及参数 规范要求 规范要求 认证方式采用 radius 方式 计费方式采用 radius 方式 认证及计费服务器的地址根据省公司统一安排情况设置 设置 Radius 密钥时要与省后台相关人员协商确定 认证端口号根据各个地方的实际情况设置 计费端口号根据各个地方的实际情况设置 配置规范 参考 配置规范 参考 华为 S9603 配置规范 第 6 页 radius server template system radius 方案名称为 system 主备 radius 和源地址在一条命令中 radius server authentication 202 103 28 138 1645 source loopback 0 secondary radius server accounting 202 103 28 138 1645 source loopback 0 secondary radius server shared key aaa8010 undo radius server user name domain included nas ip 59 175 247 182 上报 radius 报文中的源地址 取用上行接口的互联 IP 先在 aaa 视图下配置 authentication scheme authorization scheme accounting scheme authentication scheme system authentication mode radius local authorization scheme system authorization mode if authenticated local accounting scheme system accounting mode 没有先 radius 后 local 只有如下方式 hwtacacs HWTACACS accounting local Local accounting local hwtacacs Local HWTACACS accounting local radius Local RADIUS accounting none No accounting radius RADIUS accounting domain system aaa 视图下 domain system authentication login radius scheme system local 配置认证方案为先 radius 后 local authorization login radius scheme system local 配置授权方案为先 radius 后 local accounting login radius scheme system local 配置计费方案为先 radius 后 local undo access limit state active undo idle cut 配置验证 配置验证 华为 S9603 配置规范 第 7 页 display authentication scheme system 配置注意细节 配置注意细节 无 1 1 5 3本地用户帐号本地用户帐号 配置说明 配置说明 配置本地用户帐号 作为 AAA 服务器连接失败时的应急登陆用 规范要求 规范要求 全省网络设备配置相同本地用户帐号 admin 设置最高权限 使用省公司 统一指定的密码 根据实际情况可保留地市本地管理帐号 配置规范 参考 配置规范 参考 local user admin password cipher admin service type telnet 配置验证 配置验证 display user name admin 配置注意细节 配置注意细节 保留地市本地帐号 1 2 端口配置规范端口配置规范 1 2 1 Loopback 地址配置地址配置 配置说明 配置说明 配置 Loopback 地址 提供一个永远 up 的 IP 地址 用于各种路由协议邻 居的建立 远程登录 设备管理等 规范要求 规范要求 城域骨干网交换机配置一个 loopback 0 地址 掩码必须为 32 位 Loopback 接口需添加端口描述 端口描述要求符合第二章中 IP 城域网网 络设备命名及链路描述规范中规定 配置规范 配置规范 华为 S9603 配置规范 第 8 页 interface LoopBack0 ip address 255 255 255 255 description For Management 配置验证 配置验证 disp inter loopback 0 查看运行情况 dis current configuration interface LoopBack 0 查看配置情况 配置注意细节 配置注意细节 无 1 2 2 GE 端口配置端口配置 1 2 2 1GE 用做上连接口用做上连接口 配置说明 配置说明 配置 GE 端口用做上连接口 规范要求 规范要求 配置 GE 端口 speed 设置为 1000M 双工为自行协商 并且在端口上定义 病毒过滤策略 配置接口描述符合第二章中 IP 城域网网络设备命名及链路描述规范中规定 并注意端口描述中的对端端口应区别不同设备 配置规范 配置规范 interface GigabitEthernet2 0 21 port link type trunk undo port trunk permit vlan 1 undo port trunk allow pass vlan 1 port trunk permit vlan 100 2001 to 2005 port trunk allow pass vlan 100 2001 to 2005 speed 1000 duplex full description dT ZQ HT DSW 1 M 1G GI1 0 0 qos apply policy virus filter inbound 上行端口应用端口过滤的策略 traffic policy virus filter inbound qos apply policy virus filter outbound traffic policy virus filter outbound 配置验证 配置验证 disp inter gi2 0 21 查看运行情况 disp cu inter gi2 0 21 查看配置情况 华为 S9603 配置规范 第 9 页 配置注意细节 配置注意细节 无 1 2 2 2GE 端口端口 QINQ 配置配置 配置说明 配置说明 配置 GE 端口用做下联接口 开启 QINQ 功能 规范要求 规范要求 配置开启 GE 端口 QINQ 功能 配置接口描述符合第二章中 IP 城域网网络设备命名及链路描述规范中规定 并注意端口描述中的对端端口应区别不同设备 配置规范 配置规范 interface GigabitEthernet4 0 1 port link type hybrid undo port hybrid vlan 1 vlan 1可以undo掉 port hybrid vlan 3990 to 3991 4094 tagged port hybrid vlan 1001 to 1005 untagged qinq enable qos apply policy g4 0 1 inbound qos apply policy nm outbound description dT ZQ HT DSW 1 M 1G GI1 0 0 配置验证 配置验证 disp inter gi4 0 1 查看运行情况 disp cu inter gi4 0 1 查看配置情况 配置注意细节 配置注意细节 无 1 2 2 3FE 端口端口 QINQ 配置配置 配置说明 配置说明 配置 FE 端口做下联端口 开启 QINQ 功能 规范要求 规范要求 配置开启 GE 端口 QINQ 功能 配置接口描述符合第二章中 IP 城域网网络设备命名及链路描述规范中规定 配置规范 配置规范 华为 S9603 配置规范 第 10 页 interface Ethernet3 0 1 port link type hybrid port hybrid vlan 3990 to 3991 4094 tagged 网管vlan port hybrid tagged vlan 3990 to 3991 4094 port hybrid vlan 1 2001 to 2005 untagged vlan 1不能undo掉 其他为 QinQ的外层vlan port hybrid tagged vlan 1 2001 to 2005 qinq enable 端口下使能QinQ功能 port link type dot1q tunnel qos apply policy e3 0 1 inbound 应用针对此端口的QinQ策略 入 方向 traffic policy e3 0 1 inbound 入方向限速可以使用qos car qos apply policy nm outbound 应用网管vlan的出方向策略 traffic policy nm outbound 配置验证 配置验证 display interface GigabitEthernet3 0 1 查看运行情况 disp cu inter gi3 0 1 查看配置情况 配置注意细节 配置注意细节 无 1 2 2 4GE FE 端口专线配置端口专线配置 配置说明 配置说明 配置接入专线用户的 GE FE 端口 规范要求 规范要求 配置限速策略 配置规范 配置规范 interface GigabitEthernet4 0 2 port access vlan 3501 qos apply policy rate 1m inbound 入方向限速 应用限速策略 traffic policy e3 0 1 inbound 入方向限速可以使用qos car qos lr outbound cir 1024 cbs 102400 出方向限速 直接设定 cbs 100cir cir单位Kbps qos lr cir 1024 cbs 102400 outbound 配置验证 配置验证 display interface GigabitEthernet4 0 2 查看运行情况 disp cu inter GigabitEthernet4 0 2 查看配置情况 配置注意细节 配置注意细节 无 1 3 路由协议配置规范路由协议配置规范 1 3 1 静态路由配置静态路由配置 华为 S9603 配置规范 第 11 页 1 3 1 1静态路由配置方式静态路由配置方式 配置说明 配置说明 手工配置静态路由并设定相关参数 规范要求 规范要求 无 配置规范 配置规范 ip route static 1 1 1 1 255 255 255 255 2 2 2 2 配置验证 配置验证 display ip routing table protocol static 配置注意细节 配置注意细节 静态路由缺省优先级为 60 1 4 用户策略配置用户策略配置 1 4 1 定义防病毒访问控制列表定义防病毒访问控制列表 配置说明 配置说明 定义防病毒 ACL 防御病毒攻击 规范要求 规范要求 定义周知及常见的病毒端口 配置规范 配置规范 acl number 3100 病毒端口过滤控制列表 rule 0 deny tcp destination port eq 3127 rule 1 deny tcp destination port eq 1025 rule 2 deny tcp destination port eq 5554 rule 3 deny tcp destination port eq 9996 rule 4 deny tcp destination port eq 1068 rule 5 deny tcp destination port eq 135 rule 6 deny udp destination port eq 135 rule 7 deny tcp destination port eq 137 rule 8 deny udp destination port eq netbios ns rule 9 deny tcp destination port eq 138 rule 10 deny udp destination port eq netbios dgm rule 11 deny tcp destination port eq 139 rule 12 deny udp destination port eq netbios ssn rule 13 deny tcp destination port eq 593 rule 14 deny tcp destination port eq 4444 rule 15 deny tcp destination port eq 5800 rule 16 deny tcp destination port eq 5900 华为 S9603 配置规范 第 12 页 rule 17 deny tcp destination port eq 8998 rule 18 deny tcp destination port eq 445 rule 19 deny udp destination port eq 445 rule 20 deny udp destination port eq 1434 rule 21 deny udp destination port eq 1433 rule 22 deny tcp destination port eq 707 rule 23 deny tcp destination port eq 136 配置验证 配置验证 display cur 配置注意细节 配置注意细节 无 1 4 2 QOS 策略配置策略配置 配置说明 配置说明 定义流类型 比如病毒端口过滤 QINGQ 流 定义匹配用户 VLAN 范围 网管入方向流及网管出方向流 定义相关的流动作及相关的策略 规范要求 规范要求 流及 QOS 策略的名称由省公司统一制定 配置规范 参考 配置规范 参考 traffic classifier virus filter operator and 定义流 端口病毒过滤 if match acl 3100 定义匹配报文的ACL规则 traffic classifier qinq1 operator and 定义流 QinQ流 if match customer vlan id 2 to 480 定义匹配用户vlan范围 if match cvlan id 2 traffic classifier qinq2 operator and if match customer vlan id 481 to 960 traffic classifier qinq3 operator and if match customer vlan id 1001 to 1480 traffic classifier qinq4 operator and if match customer vlan id 1481 to 1960 traffic classifier qinq5 operator and if match customer vlan id 1921 to 2000 traffic classifier qinq6 operator and if match customer vlan id 3001 to 3100 traffic classifier nm hw in operator and 定义流 网管入方向流 单层vlan标 签 if match customer vlan id 3991 定义匹配用户vlan范围 traffic classifier nm zx in operator and if match customer vlan id 3990 traffic classifier nm in operator and if match customer vlan id 4094 traffic classifier nm hw out operator and 定义流 网管出方向流 单层vlan标签 if match service vlan id 3991 定义网络侧vlan范围 华为 S9603 配置规范 第 13 页 if match vlan id 3991 traffic classifier nm zx out operator and if match service vlan id 3990 traffic classifier nm out operator and if match service vlan id 4094 traffic behavior virus filter 定义流动作 端口过滤 filter deny deny traffic behavior g2 0 1 1 定义流动作 G2 0 1端口第1个QinQ插入标签动 作 nest top most vlan id 2001 创建外层vlan动作 traffic behavior g2 0 1 2 nest top most vlan id 2002 traffic behavior nm hw in remark service vlan id 3991 为流行为配置标记网络侧vlan的动作 remark vlan id clan id 3991 traffic behavior nm zx in remark service vlan id 3990 traffic behavior nm in remark service vlan id 4094 traffic behavior nm hw out remark customer vlan id 3991 为流行为配置标记用户侧vlan的动作 remark vlan id clan id 3991 traffic behavior nm zx out remark customer vlan id 3990 traffic behavior nm out remark customer vlan id 4094 qos policy virus filter 定义策略 端口过滤 traffic policy virus filter qos policy均使用traffic policy替换 classifier virus filter behavior virus filter 为流指定动作 把流和动作关联起 来 qos policy g2 0 1 定义策略 QinQ端口入方向 按端口命 名 classifier nm hw in behavior nm hw in 网管使用 classifier nm zx in behavior nm zx in 网管使用 classifier nm in behavior nm in 网管使用 classifier qinq1 behavior g2 0 1 1 按端口需要配置 classifier qinq2 behavior g2 0 1 2 按端口需要配置 qos policy nm 定义策略 网管出方向 classifier nm hw out behavior nm hw out classifier nm zx out behavior nm zx out classifier nm out behavior nm out 1 4 3 用户限速配置用户限速配置 配置说明 配置说明 设置用户限速 规范要求 规范要求 采用 qos policy 为用户限速 华为 S9603 配置规范 第 14 页 配置规范配置规范 acl number 4000 rule 0 permit traffic classifier rate operator and 定义流 所有流量 if match acl 4000 traffic behavior rate 1m 定义流动作 入方向限速 car cir 1024 cbs 102400 ebs 102400 pir 1024 green pass red discard yellow pass car cir 1024 pir 1024 cbs 1024000 pbs 1024000 green pass red discard yellow pass traffic behavior rate 2m car cir 2048 cbs 204800 ebs 204800 pir 2048 green pass red discard yellow pass traffic behavior rate 5m car cir 5120 cbs 512000 ebs 512000 pir 5120 green pass red discard yellow pass traffic behavior rate 10m car cir 10240 cbs 1024000 ebs 1024000 pir 10240 green pass red discard yellow pass traffic behavior rate 15m car cir 15360 cbs 1536000 ebs 1536000 pir 15360 green pass red discard yellow pass traffic behavior rate 20m car cir 20480 cbs 2048000 ebs 2048000 pir 20480 green pass red discard yellow pass traffic behavior rate 30m car cir 30720 cbs 3072000 ebs 3072000 pir 30720 green pass red discard yellow pass qos policy rate 1m 定义策略 入方向限速 traffic policy rate 1m classifier rate behavior rate 1m qos policy rate 2m classifier rate behavior rate 2m qos policy rate 5m classifier rate behavior rate 5m qos policy rate 10m classifier rate behavior rate 10m qos policy rate 15m classifier rate behavior rate 15m qos policy rate 20m classifier rate behavior rate 20m qos policy rate 30m classifier rate behavior rate 30m 配置验证配置验证 display scheduler profile all 配置注意细节配置注意细节 无 1 5 网管配置网管配置 华为 S9603 配置规范 第 15 页 1 5 1 SNMP 管理代理配置管理代理配置 1 5 1 1全局开启全局开启 SNMP 进程进程 配置说明 配置说明 SNMP 的结构分为 NMS Network Management Station 和 Agent 两部分 SNMP 就是用来规定 NMS 和 Agent 之间是如何传递管理信息的应用层协议 NMS 是运行客户端程序的工作站 网管站 NMS 对网络设备发送各种 查询报文 接收来自被管理设备的响应报文及 Trap 报文 并将结果显示出来 Agent 是驻留在被管理设备上的一个进程 负责接受 处理来自网管站的 Request 报文 根据报文类型对管理变量进行 Read 或 Write 操作 并生成 Response 报文 反送给 NMS 另一方面 Agent 在设备发生冷 热启动等异常 情况时 也会主动向 NMS 发送 Trap 报文报告所发生的事件 NMS 与 Agent 的关系如下图所示 规范要求 规范要求 要求统一配置交换机作为 SNMP Agent 处理 NMS 发来的查询报文并返回 响应报文 配置规范 配置规范 snmp agent 启动SNMP Agent服务 配置验证 配置验证 display snmp agent sys info 配置注意细节 配置注意细节 华为 S9603 配置规范 第 16 页 无 1 5 1 2RO Community 值值 配置说明 配置说明 SNMP 团体 Community 由一字符串来命名 称为团体名 Community Name 不同的团体可具有只读 read only 或读写 read write 访问模式 具 有只读权限的团体只能对设备信息进行查询 而具有读写权限的团体还可以对 设备进行配置 配置 community 字符串不要过于简单 一般应由字母 数字及特殊字符等 组成 用于提高 SNMP 协议安全 规范要求 规范要求 规范 统一配置设备的 SNMP RO COMMNITY 由省公司统一指定 根据需 要保留地市 COMMUNITY 字符串 配置规范 参考 配置规范 参考 snmp agent community read hbnoc ipnms 设置团体名及访问权限 snmp agent community read 配置验证 配置验证 display snmp agent community read 配置注意细节 配置注意细节 无 1 5 1 3RW Community 值值 配置说明 配置说明 具有写权限的的团体可以对设备进行配置 规范要求 规范要求 规范 统一配置设备的 SNMP RO COMMNITY 由省公司统一指定 根据需 要保留地市 COMMUNITY 字符串 配置规范 参考 配置规范 参考 snmp agent community write hbnoc ipnms rw 设置团体名及访问权限 华为 S9603 配置规范 第 17 页 配置验证 配置验证 display snmp agent community write 配置注意细节 配置注意细节 无 1 5 1 4SNMP 访问控制列表访问控制列表 配置说明 配置说明 对 SNMP 增加 ACL 访问列表 只允许指定的 IP 地址能通过 SNMP 协议访 问设备 规范要求 规范要求 IP 地址段由省公司统一制定 配置规范 参考 配置规范 参考 snmp agent community read hbnoc ipnms acl 2077 snmp agent community write hbnoc