华为交换机各种配置实例.doc

华为QuidWay交换机配置命令手册1、开始13910093建立本地配置环境，将主机的串口通过配置电缆与以太网交换机的Console口连接。在主机上运行终端仿真程序（如Windows的超级终端等），设置终端通信参数为：波特率为9600bit/s、8位数据位、1位停止位、无校验和无流控，并选择终端类型为VT100。以太网交换机上电，终端上显示以太网交换机自检信息，自检结束后提示用户键入回车，之后将出现命令行提示符（如）。键入命令，配置以太网交换机或查看以太网交换机运行状态。需要帮助可以随时键入?2、命令视图(1)用户视图(查看交换机的简单运行状态和统计信息):与交换机建立连接即进入(2)系统视图(配置系统参数)Quidway:在用户视图下键入system-view(3)以太网端口视图(配置以太网端口参数)Quidway-Ethernet0/1:在系统视图下键入interface ethernet 0/0/1(4)VLAN视图(配置VLAN参数)Quidway-Vlan1:在系统视图下键入vlan 1(5)VLAN接口视图(配置VLAN和VLAN汇聚对应的IP接口参数)Quidway-Vlan-interface1:在系统视图下键入interface vlan-interface 1(6)本地用户视图(配置本地用户参数)Quidway-luser-user1:在系统视图下键入local-useruser1(7)用户界面视图(配置用户界面参数)Quidway-ui0:在系统视图下键入user-interface3、其他命令设置系统时间和时区clock time Beijing?add 8clock datetime 12:00:00 2005/01/23设置交换机的名称Quidwaysysname TRAIN-3026-1TRAIN-3026-1配置用户登录Quidwayuser-interface vty 0 4Quidway-ui-vty0authentication-mode scheme创建本地用户Quidwaylocal-user huaweiQuidway-luser-huaweipassword simple huaweiQuidway-luser-huawei service-type telnet level 34、VLAN配置方法配置环境参数SwitchA端口E0/1属于VLAN2，E0/2属于VLAN3组网需求把交换机端口E0/1加入到VLAN2 ，E0/2加入到VLAN3数据配置步骤VLAN配置流程(1)缺省情况下所有端口都属于VLAN 1，并且端口是access端口，一个access端口只能属于一个vlan；(2)如果端口是access端口，则把端口加入到另外一个vlan的同时，系统自动把该端口从原来的vlan中删除掉；(3)除了VLAN1，如果VLAN XX不存在，在系统视图下键入VLAN XX，则创建VLAN XX并进入VLAN视图；如果VLAN XX已经存在，则进入VLAN视图。【SwitchA相关配置】方法一：(1)创建（进入）vlan2SwitchAvlan 2(2)将端口E0/1加入到vlan2SwitchA-vlan2port ethernet 0/1(3)创建（进入）vlan3SwitchA-vlan2vlan 3(4)将端口E0/2加入到vlan3SwitchA-vlan3port ethernet 0/2方法二：(1)创建（进入）vlan2SwitchAvlan 2(2)进入端口E0/1视图SwitchAinterface ethernet 0/1(3)指定端口E0/1属于vlan2SwitchA-Ethernet1port access vlan 2(4)创建（进入）vlan3SwitchAvlan 3(5)进入端口E0/2视图SwitchAinterface ethernet 0/2(6)指定端口E0/2属于vlan3SwitchA-Ethernet2port access vlan 3测试验证(1)使用命令disp cur可以看到端口E0/1属于vlan2，E0/2属于vlan3；(2)使用display interface Ethernet 0/1可以看到端口为access端口，PVID为2；(3)使用display interface Ethernet 0/2可以看到端口为access端口，PVID为35、交换机IP地址配置功能需求及组网说明配置环境参数三层交换机SwitchA有两个端口ethetnet 0/1、ethernet 0/2，分别属于vlan 2、vlan 3；以vlan 2的三层接口地址分别是/24作为PC1的网关；以vlan 3的三层接口地址分别是/24作为PC2的网关；组网需求PC1和PC2通过三层接口互通【SwitchA相关配置】(1)创建（进入）vlan2Quidwayvlan 2(2)将端口E0/1加入到vlan2Quidway-vlan2port ethernet 0/1(3)进入vlan2的虚接口Quidway-vlan2interface vlan 2(4)在vlan2的虚接口上配置IP地址Quidway-Vlan-interface2ip address (5)创建（进入）vlan3Quidwayvlan 3(6)将E0/2加入到vlan3Quidway-vlan3port ethernet 0/2(7)进入vlan3的虚接口Quidway-vlan3interface vlan 3(8)在vlan3的虚接口上配置IP地址Quidway-Vlan-interface3ip address 测试验证(1)PC1和PC2都可以PING通自己的网关(2)PC1和PC2可以相互PING通6、端口的trunk配置配置环境参数(1)SwitchA 端口E0/1属于vlan10，E0/2属于vlan20，E0/3与SwitchB端口E0/3互连(2)SwitchB 端口E0/1属于vlan10，E0/2属于vlan20，E0/3与SwitchA端口E0/3互连组网需求(1)要求SwitchA的vlan10的PC与SwitchB的vlan10的PC互通(2)要求SwitchA的vlan20的PC与SwitchB的vlan20的PC互通数据配置步骤【SwitchA相关配置】(1)创建（进入）vlan10SwitchA vlan 10(2)将E0/1加入到vlan10SwitchA-vlan10port Ethernet 0/1(3)创建（进入）vlan20SwitchAvlan 20(4)将E0/2加入到vlan20SwitchA-vlan20port Ethernet 0/2(5)实际当中一般将上行端口设置成trunk属性，允许vlan透传SwitchA-Ethernet0/3port link-type trunk(6)允许所有的vlan从E0/3端口透传通过，也可以指定具体的vlan值SwitchA-Ethernet0/3port trunk permit vlan all【SwitchB相关配置】(1)创建（进入）vlan10SwitchB vlan 10(2)将E0/1加入到vlan10SwitchB-vlan10port Ethernet 0/1(3)创建（进入）vlan20SwitchBvlan 20(4)将E0/2加入到vlan20SwitchB-vlan20port Ethernet 0/2(5)实际当中一般将上行端口设置成trunk属性，允许vlan透传SwitchB-Ethernet0/3port link-type trunk(7)允许所有的vlan从E0/3端口透传通过，也可以指定具体的vlan值SwitchB-Ethernet0/3port trunk permit vlan all【补充说明】(1)如果一个端口是trunk端口，则该端口可以属于多个vlan；(2)缺省情况下trunk端口的PVID为1，可以在端口模式下通过命令port trunk pvid vlanvlanid 来修改端口的PVID；(3)如果从trunk转发出去的数据报文的vlan id和端口的PVID一致，则该报文的VLAN信息会被剥去，这点在配置trunk端口时需要注意。(4)一台交换机上如果已经设置了某个端口为hybrid端口，则不可以再把另外的端口设置为trunk端口。(5)一般情况下最好指定端口允许通过哪些具体的VLAN，不要设置允许所有的VLAN通过。测试验证(1)SwitchA vlan10内的PC可以与SwitchB vlan10内的PC互通(2)SwitchA vlan20内的PC可以与SwitchB vlan20内的PC互通(3)SwitchA vlan10内的PC不能与SwitchB vlan20内的PC互通(4)SwitchA vlan20内的PC不能与SwitchB vlan10内的PC互通7、端口汇聚配置配置环境参数(1)交换机SwitchA和SwitchB通过以太网口实现互连。(2)SwitchA用于互连的端口为e0/1和e0/2，SwitchB用于互连的端口为e0/1和e0/2。组网需求增加SwitchA的SwitchB的互连链路的带宽，并且能够实现链路备份，使用端口汇聚数据配置步骤【SwitchA交换机配置】(1)进入端口E0/1SwitchAinterface Ethernet 0/1(2)汇聚端口必须工作在全双工模式SwitchA-Ethernet0/1duplex full(3)汇聚的端口速率要求相同，但不能是自适应SwitchA-Ethernet0/1speed 100(4)进入端口E0/2/CMS/Pub/huawei/huawei_expe/2009_10_23_30519_12.htm 华为交换机各种配置实例交换机配置（一）端口限速基本配置华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列:华为交换机端口限速2000_EI系列以上的交换机都可以限速!限速不同的交换机限速的方式不一样!2000_EI直接在端口视图下面输入LINE-RATE (4 )参数可选!端口限速配置1功能需求及组网说明端口限速配置配置环境参数1. PC1和PC2的IP地址分别为/24、/24组网需求1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps2数据配置步骤S2000EI系列交换机端口限速配置流程使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】1. 进入端口E0/1的配置视图SwitchAinterface Ethernet 0/12. 对端口E0/1的出方向报文进行流量限速，限制到3MbpsSwitchA- Ethernet0/1line-rate outbound 303. 对端口E0/1的入方向报文进行流量限速，限制到1MbpsSwitchA- Ethernet0/1line-rate inbound 16【补充说明】报文速率限制级别取值为1127。如果速率限制级别取值在128范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。S2000-SI和S3000-SI系列交换机端口限速配置流程使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】1. 进入端口E0/1的配置视图SwitchAinterface Ethernet 0/12. 对端口E0/1的出方向报文进行流量限速，限制到6MbpsSwitchA- Ethernet0/1line-rate outbound 23. 对端口E0/1的入方向报文进行流量限速，限制到3MbpsSwitchA- Ethernet0/1line-rate inbound 1【补充说明】对端口发送或接收报文限制的总速率，这里以8个级别来表示，取值范围为18，含义为：端口工作在10M速率时，18分别表示312K，625K，938K，1.25M，2M，4M，6M，8M；端口工作在100M速率时，18分别表示3.12M，6.25M，9.38M，12.5M，20M，40M，60M，80M。此系列交换机的具体型号包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI。S3026E、S3526E、S3050、S5012、S5024系列交换机端口限速配置流程使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合acl，使用以太网物理端口下面的traffic-limit命令，对端口的入方向报文进行流量限速。【SwitchA相关配置】1. 进入端口E0/1的配置视图SwitchAinterface Ethernet 0/12. 对端口E0/1的出方向报文进行流量限速，限制到3MbpsSwitchA- Ethernet0/1line-rate 33. 配置acl，定义符合速率限制的数据流SwitchAacl number 4000SwitchA-acl-link-4000rule permit ingress any egress any4. 对端口E0/1的入方向报文进行流量限速，限制到1MbpsSwitchA- Ethernet0/1traffic-limit inbound link-group 4000 1 exceed drop【补充说明】line-rate命令直接对端口的所有出方向数据报文进行流量限制，而traffic-limit命令必须结合acl使用，对匹配了指定访问控制列表规则的数据报文进行流量限制。在配置acl的时候，也可以通过配置三层访问规则，来对指定的源或目的网段报文，进行端口的入方向数据报文进行流量限制。端口出入方向限速的粒度为1Mbps。此系列交换机的具体型号包括：S3026E/C/G/T、S3526E/C/EF、S3050C、S5012G/T和S5024G。S3528、S3552系列交换机端口限速配置流程使用以太网物理端口下面的traffic-shape和traffic-limit命令，分别来对该端口的出、入报文进行流量限速。【SwitchA相关配置】1. 进入端口E0/1的配置视图SwitchAinterface Ethernet 0/12. 对端口E0/1的出方向报文进行流量限速，限制到3MbpsSwitchA- Ethernet0/1traffic-shape 3250 32503. 配置acl，定义符合速率限制的数据流SwitchAacl number 4000SwitchA-acl-link-4000rule permit ingress any egress any4. 对端口E0/1的入方向报文进行流量限速，限制到1MbpsSwitchA- Ethernet0/1traffic-limit inbound link-group 4000 1000 150000 150000 1000 exceed drop【补充说明】此系列交换机的具体型号包括：S3528G/P和S3552G/P/F。S3900系列交换机端口限速配置流程使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合acl，使用以太网物理端口下面的traffic-limit命令，对匹配指定访问控制列表规则的端口入方向数据报文进行流量限制。【SwitchA相关配置】1. 进入端口E1/0/1的配置视图SwitchAinterface Ethernet 1/0/12. 对端口E0/1的出方向报文进行流量限速，限制到3MbpsSwitchA- Ethernet1/0/1line-rate 30003. 配置acl，定义符合速率限制的数据流SwitchAacl number 4000SwitchA-acl-link-4000rule permit ingress any egress any4. 对端口E0/1的入方向报文进行流量限速，限制到1MbpsSwitchA- Ethernet1/0/1traffic-limit inbound link-group 4000 1000 exceed drop【补充说明】line-rate命令直接对端口的所有出方向数据报文进行流量限制，而traffic-limit命令必须结合acl使用，对匹配了指定访问控制列表规则的数据报文进行流量限制。在配置acl的时候，也可以通过配置三层访问规则，来对指定的源或目的网段报文，进行端口的入方向数据报文进行流量限制。端口出入方向限速的粒度为64Kbps。此系列交换机的具体型号包括：S3924、S3928P/F/TP和S3952P。S5600系列交换机端口限速配置流程使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合acl，使用以太网物理端口下面的traffic-limit命令，对匹配指定访问控制列表规则的端口入方向数据报文进行流量限制。【SwitchA相关配置】1. 进入端口E1/0/1的配置视图SwitchAinterface Ethernet 1/0/12. 对端口E0/1的出方向报文进行流量限速，限制到3MbpsSwitchA- Ethernet1/0/1line-rate 30003. 配置acl，定义符合速率限制的数据流SwitchAacl number 4000SwitchA-acl-link-4000rule permit ingress any egress any4. 对端口E0/1的入方向报文进行流量限速，限制到1MbpsSwitchA- Ethernet1/0/1traffic-limit inbound link-group 4000 1000 exceed drop【补充说明】line-rate命令直接对端口的所有出方向数据报文进行流量限制，而traffic-limit命令必须结合acl使用，对匹配了指定访问控制列表规则的数据报文进行流量限制。在配置acl的时候，也可以通过配置三层访问规则，来对指定的源或目的网段报文，进行端口的入方向数据报文进行流量限制。端口出入方向限速的粒度为64Kbps。此系列交换机的具体型号包括：S5624P/F和S5648P。交换机配置（二）端口绑定基本配置1，端口+MACa)AM命令使用特殊的AM User-bind命令，来完成MAC地址与端口之间的绑定。例如：SwitchAam user-bind mac-address 00e0-fc22-f8d3 interface Ethernet 0/1配置说明：由于使用了端口参数，则会以端口为参照物，即此时端口E0/1只允许PC1上网，而使用其他未绑定的MAC地址的PC机则无法上网。但是PC1使用该MAC地址可以在其他端口上网。b)mac-address命令使用mac-address static命令，来完成MAC地址与端口之间的绑定。例如：SwitchAmac-address static 00e0-fc22-f8d3 interface Ethernet 0/1 vlan 1SwitchAmac-address max-mac-count 0 配置说明：由于使用了端口学习功能，故静态绑定mac后，需再设置该端口mac学习数为0，使其他PC接入此端口后其mac地址无法被学习。2，IP+MACa)AM命令使用特殊的AM User-bind命令，来完成IP地址与MAC地址之间的绑定。例如：SwitchAam user-bind ip-address mac-address 00e0-fc22-f8d3配置说明：以上配置完成对PC机的IP地址和MAC地址的全局绑定，即与绑定的IP地址或者MAC地址不同的PC机，在任何端口都无法上网。支持型号：S3026E/EF/C/G/T、S3026C-PWR、E026/E026T、S3050C、E050、S3526E/C/EF、S5012T/G、S5024Gb)arp命令使用特殊的arp static命令，来完成IP地址与MAC地址之间的绑定。例如：SwitchAarp static 00e0-fc22-f8d3配置说明：以上配置完成对PC机的IP地址和MAC地址的全局绑定。3，端口+IP+MAC使用特殊的AM User-bind命令，来完成IP、MAC地址与端口之间的绑定。例如：SwitchAam user-bind ip-address mac-address 00e0-fc22-f8d3 interface Ethernet 0/1配置说明：可以完成将PC1的IP地址、MAC地址与端口E0/1之间的绑定功能。由于使用了端口参数，则会以端口为参照物，即此时端口E0/1只允许PC1上网，而使用其他未绑定的IP地址、MAC地址的PC机则无法上网。但是PC1使用该IP地址和MAC地址可以在其他端口上网。支持型号：S3026E/S3026E-FM/S3026-FS；S3026G；S3026C；S3026C-PWR；E3026；E050；S3526E/C;S3526E-FM/FS; S5012T/G、S5024G、S3900、S5600、S6500(3代引擎)交换机配置（三）ACL基本配置1，二层ACL. 组网需求:通过二层访问控制列表，实现在每天8:0018:00时间段内对源MAC为00e0-fc01-0101目的MAC为00e0-fc01-0303报文的过滤。该主机从GigabitEthernet0/1接入。.配置步骤:(1)定义时间段# 定义8:00至18:00的周期时间段。Quidway time-range huawei 8:00 to 18:00 daily(2)定义源MAC为00e0-fc01-0101目的MAC为00e0-fc01-0303的ACL# 进入基于名字的二层访问控制列表视图，命名为traffic-of-link。Quidway acl name traffic-of-link link# 定义源MAC为00e0-fc01-0101目的MAC为00e0-fc01-0303的流分类规则。Quidway-acl-link-traffic-of-link rule 1 deny ingress 00e0-fc01-0101 0-0-0 egress 00e0-fc01-0303 0-0-0 time-range huawei(3)激活ACL。# 将traffic-of-link的ACL激活。Quidway-GigabitEthernet0/1 packet-filter link-group traffic-of-link2，三层ACLa)基本访问控制列表配置案例. 组网需求:通过基本访问控制列表，实现在每天8:0018:00时间段内对源IP为主机发出报文的过滤。该主机从GigabitEthernet0/1接入。.配置步骤:(1)定义时间段# 定义8:00至18:00的周期时间段。Quidway time-range huawei 8:00 to 18:00 daily(2)定义源IP为的ACL# 进入基于名字的基本访问控制列表视图，命名为traffic-of-host。Quidway acl name traffic-of-host basic# 定义源IP为的访问规则。Quidway-acl-basic-traffic-of-host rule 1 deny ip source 0 time-range huawei(3)激活ACL。# 将traffic-of-host的ACL激活。Quidway-GigabitEthernet0/1 packet-filter inbound ip-group traffic-of-hostb)高级访问控制列表配置案例.组网需求:公司企业网通过Switch的端口实现各部门之间的互连。研发部门的由GigabitEthernet0/1端口接入，工资查询服务器的地址为。要求正确配置ACL，限制研发部门在上班时间8:00至18:00访问工资服务器。.配置步骤:(1)定义时间段# 定义8:00至18:00的周期时间段。Quidway time-range huawei 8:00 to 18:00 working-day(2)定义到工资服务器的ACL# 进入基于名字的高级访问控制列表视图，命名为traffic-of-payserver。Quidway acl name traffic-of-payserver advanced# 定义研发部门到工资服务器的访问规则。Quidway-acl-adv-traffic-of-payserver rule 1 deny ip source any destination time-range huawei(3)激活ACL。# 将traffic-of-payserver的ACL激活。Quidway-GigabitEthernet0/1 packet-filter inbound ip-group traffic-of-payserver3，常见病毒的ACL创建aclacl number 100禁pingrule deny icmp source any destination any用于控制Blaster蠕虫的传播rule deny udp source any destination any destination-port eq 69rule deny tcp source any destination any destination-port eq 4444用于控制冲击波病毒的扫描和攻击rule deny tcp source any destination any destination-port eq 135rule deny udp source any destination any destination-port eq 135rule deny udp source any destination any destination-port eq netbios-nsrule deny udp source any destination any destination-port eq netbios-dgmrule deny tcp source any destination any destination-port eq 139rule deny udp source any destination any destination-port eq 139rule deny tcp source any destination any destination-port eq 445rule deny udp source any destination any destination-port eq 445rule deny udp source any destination any destination-port eq 593rule deny tcp source any destination any destination-port eq 593用于控制振荡波的扫描和攻击rule deny tcp source any destination any destination-port eq 445rule deny tcp source any destination any destination-port eq 5554rule deny tcp source any destination any destination-port eq 9995rule deny tcp source any destination any destination-port eq 9996用于控制 Worm_MSBlast.A 蠕虫的传播rule deny udp source any destination any destination-port eq 1434下面的不出名的病毒端口号 （可以不作）rule deny tcp source any destination any destination-port eq 1068rule deny tcp source any destination any destination-port eq 5800rule deny tcp source any destination any destination-port eq 5900rule deny tcp source any destination any destination-port eq 10080rule deny tcp source any destination any destination-port eq 455rule deny udp source any destination any destination-port eq 455rule deny tcp source any destination any destination-port eq 3208rule deny tcp source any destination any destination-port eq 1871rule deny tcp source any destination any destination-port eq 4510rule deny udp source any destination any destination-port eq 4334rule deny tcp source any destination any destination-port eq 4331rule deny tcp source any destination any destination-port eq 4557然后下发配置packet-filter ip-group 100目的：针对目前网上出现的问题，对目的是端口号为1434的UDP报文进行过滤的配置方法，详细和复杂的配置请看配置手册。NE80的配置：NE80(config)#rule-map r1 udp any any eq 1434/r1为role-map的名字，udp 为关键字，any any 所有源、目的IP，eq为等于，1434为udp端口号NE80(config)#acl a1 r1 deny/a1为acl的名字，r1为要绑定的rule-map的名字，NE80(config-if-Ethernet1/0/0)#access-group acl a1/在1/0/0接口上绑定acl，acl为关键字，a1为acl的名字NE16的配置：NE16-4(config)#firewall enable all/首先启动防火墙NE16-4(config)#access-list 101 deny udp any any eq 1434/deny为禁止的关键字，针对udp报文，any any 为所有源、目的IP，eq为等于， 1434为udp端口号NE16-4(config-if-Ethernet2/2/0)#ip access-group 101 in/在接口上启用access-list，in表示进来的报文，也可以用out表示出去的报文中低端路由器的配置Routerfirewall enableRouteracl 101Router-acl-101rule deny udp source any destion any destination-port eq 1434Router-Ethernet0firewall packet-filter 101 inbound6506产品的配置：旧命令行配置如下：6506(config)#acl extended aaa deny protocol udp any any eq 14346506(config-if-Ethernet5/0/1)#access-group aaa国际化新命令行配置如下：Quidwayacl number 100Quidway-acl-adv-100rule deny udp source any destination any destination-port eq 1434Quidway-acl-adv-100quitQuidwayinterface ethernet 5/0/1Quidway-Ethernet5/0/1packet-filter inbound ip-group 100 not-care-for-interface5516产品的配置：旧命令行配置如下：5516(config)#rule-map l3 aaa protocol-type udp ingress any egress any eq 14345516(config)#flow-action fff deny5516(config)#acl bbb aaa fff5516(config)#access-group bbb国际化新命令行配置如下：Quidwayacl num 100Quidway-acl-adv-100rule deny udp source any destination any destination-port eq 1434Quidwaypacket-filter ip-group 1003526产品的配置：旧命令行配置如下：rule-map l3 r1 eq 1434flow-action f1 denyacl acl1 r1 f1access-group acl1国际化新命令配置如下：acl number 100rule 0 deny udp source 0 source-port eq 1434 destination 0packet-filter ip-group 101 rule 0注：3526产品只能配置外网对内网的过滤规则，其中 是内网的地址段。8016产品的配置：旧命令行配置如下：8016(config)#rule-map intervlan aaa udp any any eq 14348016(config)#acl bbb aaa deny8016(config)#access-group acl bbb vlan 10 port all国际化新命令行配置如下：8016(config)#rule-map intervlan aaa udp any any eq 14348016(config)#eacl bbb aaa deny8016(config)#access-group eacl bbb vlan 10 port all防止同网段ARP欺骗的ACL一、组网需求：1. 二层交换机阻止网络用户仿冒网关IP的ARP攻击二、组网图：图1二层交换机防ARP攻击组网S3552P是三层设备，其中IP：是所有PC的网关，S3552P上的网关MAC地址为000f-e200-3999。PC-B上装有ARP攻击软件。现在需要对S3026C_A进行一些特殊配置，目的是过滤掉仿冒网关IP的ARP报文。三、配置步骤对于二层交换机如S3026C等支持用户自定义ACL（number为5000到5999）的交换机，可以配置ACL来进行ARP报文过滤。全局配置ACL禁止所有源IP是网关的ARP报文acl num 5000rule 0 deny 0806 ffff 24 64010101 ffffffff 40rule 1 permit 0806 ffff 24 000fe2003999 ffffffffffff 34其中rule0把整个S3026C_A的端口冒充网关的ARP报文禁掉，其中斜体部分64010101是网关IP地址的16进制表示形式。Rule1允许通过网关发送的ARP报文，斜体部分为网关的mac地址000f-e200-3999。注意：配置Rule时的配置顺序，上述配置为先下发后生效的情况。在S3026C-A系统视图下发acl规则：S3026C-A packet-filter user-group 5000这样只有S3026C_A上连网关设备才能够发送网关的ARP报文，其它主机都不能发送假冒网关的arp响应报文。三层交换机实现仿冒网关的ARP防攻击一、组网需求：1. 三层交换机实现防止同网段的用户仿冒网关IP的ARP攻击二、组网图图2 三层交换机防ARP攻击组网三、配置步骤1. 对于三层设备，需要配置过滤源IP是网关的ARP报文的ACL规则，配置如下ACL规则：acl number 5000rule 0 deny 0806 ffff 24 64010105 ffffffff 40rule0禁止S3526E的所有端口接收冒充网关的ARP报文，其中斜体部分64010105是网关IP地址的16进制表示形式。2. 下发ACL到全局S3526E packet-filter user-group 5000仿冒他人IP的ARP防攻击一、组网需求：作为网关的设备有可能会出现错误ARP的表项，因此在网关设备上还需对用户仿冒他人IP的ARP攻击报文进行过滤。二、组网图：参见图1和图2三、配置步骤：1. 如图1所示，当PC-B发送源IP地址为PC-D的arp reply攻击报文，源mac是PC-B的mac (000d-88f8-09fa)，源ip是PC-D的ip()，