extreme X450配置管理.docxVIP

1.Extreme 交换机配置基础1.1 连接配置端口Extreme 交换机提供五种搭建配置环境的方式：1) Console 口连接终端或运行终端仿真软件的微机2) 通过局域网的telnet 程序3) 通过ssh 程序登录4) 通过局域网Web 程序5) 通过局域网的snmp 网管工作站1.1.1 使用console 口连接第一次配置必须通过console 口进行连接，此时终端的硬件设置为：波特率：9600数据位：8停止位：1奇偶校验：无流控：XON/XOFF终端（或运行终端仿真程序的工作站）的串口配置必须与交换机的配置端口配置相同。1.1.2 telnet 连接系统最多允许同时建立8 个Telnet 连接进程，如果某个进程在20 分钟内没有任何活动，该Telnet 连接进程将被终止，并且在两个小时内部允许建立新的进程。 通过telnet 连接到另一台主机telnet ip-address port_number10 年 EXTREME 设备操作手册如果未指定TCP 端口，telnet 会使用默认的TCP 端口 配置交换机的IP 参数在使用telnet、ssh、web、snmp 管理计算机之前，您必须首先配置交换机的IP 参数。 手动配置IP 参数手动配置交换机的IP 参数需要：l 以管理员的身份登录l 为vlan 配置IP 地址和子网掩码IP 通常以vlan 为基础来分配，交换机可以有多个IP 地址。手动配置IP 参数的详细步骤如下：1) 通过配置端口连接到交换机2) 在终端上，按回车键直到出现命令提示符3) 在提示符下，输入具有管理员权限的账户和口令，例如：Login：admin4) 使用以下命令为vlan 分配IP 和子网掩码：Config vlan ipaddress subnet-mask5) 使用以下命令为vlan 指定缺省网关：Config iproute add default metric6) 使用save 命令保存配置信息：7) 配置完成后，使用logout 或quit 命令推出交换机命令行 关闭telnet 连接进程采用以下步骤关闭活动的telnet 连接：1) 以管理员账户登陆交换机2) 使用show sessions 命令确定要终止的进程3) 使用以下命令终止进程clear sessions session_number 禁止telnet 访问在默认情况下，交换机允许启动telnet 服务，如果您想禁止telnet 访问，可以使用以下命令：disable telnet重新启动telnet 服务enable telnet（执行以上操作需要有管理员权限）1.1.3 用SSH 登陆传统的网络服务程序，如：ftp、pop 和telnet 在本质上都是不安全的，因为它们在网络上使用明文传输口令和数据，别有用心的人非常容易就可以截获这些口令和数据。而且这些数据程序的安全验证方式也是有其弱点的，就是很容易受到“中间人”(man-in-the-middle)的攻击。所谓“中间人”的攻击方式，就是“中间人”冒充真正的服务器接收到你传给服务器的数据，然后再冒充你把数据传给真正的服务器。服务器和你之间的数据传输被“中间人”一转手做了手脚之后，就会出现很严重的问题。从前，一个名为tatu ylnen 的芬兰程序员开赴了一种网络协议和服务软件，称为SSH(secure shell 的缩写)。通过使用SSH，你可以把所有传输的数据进行加密，这样“中间人”这种攻击方式就不可以能实现了，而其也能够防止DNS 和IP 欺骗。还有一个额外的好处就是传输的数据时经过压缩的，所以可以加快传输的速度。SSH 有很多功能，虽然许多人吧Secure Shell 仅当做Telnet 的替代物，但你可以使用它来保护你的网络连接的安全。你可以通过本地或远程系统上的Secure Shell 转发其他网络通讯，如POP、X、PPP、FTP。你还可以转发其他类型的网络通信，包括CVS和任意其他的TCP通信。另外，你可以使用带TCP包装的Secure Shell，以加强连接的安全性，除此之外，SSH 还有一些其他的方便的功能，可用于诸如Oracle 之类的应用，也可以将它用于远程备份和想SecurID 卡一样的附加认证。SSH 服务在Extreme 交换机中默认是没有被安装的，因此需要我们在使用ssh 服务的时候自己去安装ssh 服务功能包，安装ssh 服务功能包的具体操作如下：1) 为交换机的管理vlan 配置一个IP 地址n Config vlan mgmt ipaddress n E.g：config vlan mgmt ipaddress /242) 将TFTP Server 与交换机的Management 接口相连，从TFTP Server 上ping mgmt vlan 的地址，确保能够连通后，执行第三步。3) 从TFTP Server 上下载ssh 服务功能包并安装n Download image n E.g：download image bd8800--ssh.xmod4) 待安装完成后运行更新n Run update5) 重启thttpd 服务进程n Restart process thttpd6) 创建一个新的ssh2 key 文件n Config ssh2 key7) 启用ssh 登录n Enable ssh28) 使用SSH 终端测试 （测试的时候可以选用第三方关于SSH 的登录软件，例如：CRT）1.1.4 用Web 登陆Extreme 设备能够为不熟悉Extreme 设备操作管理的人1) 配置vlan 的IP 地址（同以上Telnet 配置方法相同）2) 开启web 服务功能enable web http3) 关闭web 服务功能disable web http1.1.5 用SNMP 登陆交换机支持simple network management protocol (SNMP)，在相关的管理信息库management information base （MIB）正确安装完成后，任何基于SNMP的网络管理系统均可以用来管理交换机。 访问交换机的SNMP 代理为了访问在交换机上的SNMP 代理，至少需要一个已经分配了IP 地址的vlan 配置SNMP您可以配置交换机上的一下SNMP 参数：n 团体名（community）团体名允许交换机和管理者之间进行简单的验证，Extreme 交换机支持两种团体，只读和读写（readonly/readwrite）。只读是只允许交换机拥有“只读”权限，读写出允许管理者访问交换机外，还允许管理者对交换机设置进行修改。缺省的只读团体为“public”，缺省的读写团体名为“private”，交换机最多支持8 个团体名，每个团体名称最多可达127 个字符。为了安全性，建议用如下命令删除缺省的community“public”“private”config snmp delete community readonly publicconfig snmp delete community readwrite private再添加你自己的community：config snmp add community readonly config snmp add community readwrite n 系统联系人选项（syscontact）以文本形式表示的负责管理交换机的人员，联系人最多可由255 个字符组成。config snmp syscontact n 交换机名称（sysname）指定交换机的名称，名称最多有255个字符组成。config snmp sysname n 指定系统所在位置选项(syslocation)指定系统所在位置，系统所在位置最多可有255 个字符组成。config snmp syslocation n 启用/禁止SNMP 访问使用以下命令启用/禁止SNMP 访问enable|disable snmp access-1.2 管理级别Extreme 交换机支持两级管理,这两级管理分别是User 和Administrator。1.2.1 administration 权限账户具有administrator 管理权限的帐户可以访问和更改所有的交换机参数，而且可以添加和删除用户，以及更改所有帐户的口令。管理员帐户可以终止通过Telnet 建立的连接进程。如果管理员帐户选择终止某个进程，则所有通过Telnet登录的用户将得到提示连接进程已经终止。administration 权限的用户登录时，提示符以“#”结尾，如：SUM-X450a #SUM-X450a #SUM-X450a #1.2.2 user 权限账户具有User 管理权限的帐户可以访问除以下两项外的所有可管理项目：A：用户帐户数据库；B：SNMP 团体名（Community Strings）。具有User 权限的帐户可以使用“ping”命令以检测设备是否可达，以及更改自己的口令。 当具有User 权限的用户登录时，提示符以“”结尾，如：SUM-X450a SUM-X450a SUM-X450a 1.2.3 缺省帐户Extreme 交换机有两个缺省帐户，分别是admin(administrator 级别帐户)和user(user 级别帐户)。 更改缺省口令缺省帐户没有口令。口令必须是不少于4 个字符且不多于12 个字符的字符串。帐户和口令都是区分大小写的。请按照以下步骤为缺省的admin 帐户添加口令：1) 以admin 用户名登录；2) 在口令提示符下，按回车键；3) 使用以下命令添加口令：config account admin4) 在提示符下，键入新口令；5) 在提示符下，键入第四部口令以确认1.2.4 建立管理账户Extreme 交换机最多允许建立16 个管理账户，用户可以使用缺省的admin和user 账户，也可以另行建立账户和口令。Admin 账户不能被删除。请按照以下步骤建立新账户：1) 以admin 账户登陆；2) 在口令提示符下，按回车键进入系统3) 使用以下命令建立新账户：creat account admin | user 4) 在提示符下，键入新口令5) 在提示符下，键入第4 步口令以确认1.2.5 修改账户密码必须拥有管理员权限，才能修改账户密码。修改账户密码使用以下命令：configur account 此时系统会出现以下提示，输入当前密码和新密码即可：current password:password:reenter password:1.2.6 查看账户信息必须拥有管理员权限，才能够查看账户信息。查看账户信息使用以下命令：show account1.2.7 删除账户必须拥有管理员权限，才能够删除账户信息。删除账户信息使用以下命令：delete account 1.3 命令语法介绍请按照以下步骤使用命令行:A. 进行配置钱，请确认您有必要的权限。执行大多数命令需要您有administration 权限。B. 键入命令如果键入的命令未包括参数，请转到第3 步，如果键入的命令需要参数，请继续。l 如果该命令有附件选项，请在键入命令是输入；l 如果该命令包括参数，请键入参数名称和数值；C. 当完整的命令输入完成后，按回车键1.3.1 语法检测功能Extreme 交换机内置有语法检查功能，如果您不能确定某个命令的完整语法，请输入尽量多的命令，语法检查功能将提供可能选项的列表。如果您输入了错误的命令，语法检查功能还可以提供帮助。1.3.2 使用语法检查功能完成命令如果您只键入部分命令，请按Tab键得到可能的命令列表，并选择合适的命令。1.3.3 命令的缩略在不引起歧义的前提下，您可以只键入命令的前几个字母来代表整个命令。另外，所有可以命名的部件必须有一个唯一的名称。当您配置一个已经命名的部件时，您可以直接键入该部件名称，而不需要输入代表该部件的关键词，例如，以下命令用于建立VLAN（您必须输入一个唯一的VLAN 名称）。creat vlan red一旦您输入了改命令，在其后涉及vlan 的命令中，您可以省略关键词vlan，直接输入vlan 名称即可，例如：config vlan red delete port 1-3,6命令可以只输入以下内容即可：config red delete port 1-3,61.3.4 接口数字范围如端口数目，可以表示为某个范围的数字；port 1-3可以通过逗号分开，表示多个端口：port 1-3，6，81.4 交换机配置的基本命令1.4.1 历史命令Extreme 交换机可以“记住”用户输入的最后49 个命令，您可以使用history来显示历史命令。1.4.2 常用命令l unconfig switch all【功能】将所有交换机参数（出已经定义的账户）充值为出厂缺省设置。如果使用参数all，包括已经定义的账户在内的所有交换机参数将被重置。【范例】unconfig switch alll config banner【功能】配置边界，用户可以配置登录提示符出现前显示的内容，最长可达24 行，80 列。【范例】config banner “that is Extreme SUMX450 switch”l creat account admin|user password【功能】建立账户【范例】creat account admin wf-admin nihao123！l config account encrypted e_password【功能】配置用户名及加密口令【范例】Config account wf-admin encrypted nihao123！l Help【功能】显示帮助信息【范例】helpl show switch【功能】查看交换机当前所使用的系统名称、运行时间、系统时间、当前状态、软件版本等信息【范例】show switchl show management【功能】查看交换机当前的系统设置，可以看到CLI、telnet、ssh、web access、snmp 等的设置情况【范例】show managementl config port auto off speed 10 | 100|1000 duplex half | full【功能】手动配置一个/多个端口的端口速度、全/半双工状态【范例】config port 1-24 auto off speed 100 duplex fulll config iproute add default 【功能】配置交换机的默认网关【范例】conf iproute add default l show iparp【功能】显示ARP 表中的内容【范例】show iparpl ping ip-addresss【功能】查看某个远程主机是否可以到达【范例】ping l traceroute ip-address【功能】跟踪路由所经过的路径【范例】tracert 1.4.3 配置交换机的系统时间和SNTP 协议 配置交换机的系统时间使用如下命令可以配置交换机的系统时间：l config time month day year hour minute second【功能】配置系统时间和日期【说明】格式为：month：month 1-12 Day：day of month 1-31Year：year YYYY Hour：hour 0-23Minute：minutes 0-59 seconds：seconds 0-59【范例】conf time 5 4 2010 15 10 配置sntp同步系统时间1) 使用以下命令在交换机上启动SNTP客户端功能:Enable sntp-client启动此功能后，交换机将定时发送对时请求给NTP服务器，或听取NTP服务器发送的时间广播，得到的时间信息将保留在交换机的实时时钟内。使用以下命令在交换机上关闭SNTP客户端功能：disable sntp-client 配置交换机定时发送对时请求给NTP服务器采用下述命令。如果选择听取NTP服务器的时间广播，则这一步骤可以省略：config sntp-client primary-server | secondary-server | update-intervalip_address |hostname NTP请求将首先发送给主要的服务器（primary）。如果主要服务器在一秒钟内没有响应，或未能同步，则发送请求给次要的服务器（secondary）。如果依然得不到响应，则重 新启动请求过程。缺省的更新时间周期为64秒。 使用以下命令确认SNTP配置:show snmp-client 显示SNTP的相关统计信息，与SNTP服务器的连接状况等。show switch 显示本地时间相对格林威治标准时的偏移量及是夏时制等1.5 配置文件管理1.5.1 保存配置信息您对交换机所作的任何配置在正式保存前，将被暂存在SDRAM 中，重新启动交换机后，保存在SDRAM 中的信息将不会被保留。为将配置信息永久保留，您必须将配置信息保存在FLASH 中，使用save 命令保存配置文件。1.5.2 出厂配置文件使用unconfig switch 命令将重置所有配置信息（除已经定义的用户账户为出厂）为出厂缺省配置文件使用unconfig switch all 命令将重置所有配置信息（包括已经定义的用户账户）为出厂缺省配置文件1.5.5 重启交换机使用reboot 命令重启交换机，交换机将立刻重启。-2.交换机的端口配置2.1 以太网端口介绍Extreme 交换机支持10/100/1000自适应端口，这些端口都支持QOS、vlan spanning tree、流控等特性，但是传输速率不同。2.2 开启/关闭以太网端口如果要在物理层上对端口进行开启/关闭可以使用以下命令：disable port port_list | all 关闭以太网端口enable port port_list | all 开启以太网端口缺省情况下，端口为开启状态2.3 设置交换机的端口速率和双工状态Extreme交换机支持以下端口类型:l 10Gbps portsl 10/100/1000Mbps copperportsl 10/100/1000GBICs10/100/1000Mbps在以太网供电(P0E)铜口上仅支持BD8800系列交换机的G48P、G48Pe模块和summitX450e-24P，X450e-48P，X250e-24P，X250e-48P交换机。可以对以太网端口的端口速度和双工特性进行设置，如全双工、半双工或自协商状态。使用以下命令设置以太网端口的速度和双工状态：config port auto off speed 10|100|1000 duplex half|full缺省情况下，以太网端口的速度和双工状态为自动协商。如果需要手动设置端口速度和双工状态为自动协商状态，使用如下命令：config ports auto on需要注意的是1000Base-SX，1000Base-LX和1000Base-ZX以太网端口的工作模式由系统设置为非自协商1000Mbit/s 速率全双工,不允许用户对其工作模式进行配置。在某些特定情况下，需要关闭1000M端口的自动协商状态，可以使用如下命令：config ports auto off duplex full2.5 配置端口的负载均衡2.5.1 端口组在均衡概述端口的负载均衡汇聚是将多个端口聚合在一起，成为一个逻辑端口，以实现对数据帧的分发负荷进行分担。当逻辑端口中的一个物理端口失败后，原来通过此端口传输的数据帧被重新分发到其它的物理端口。当这个物理端口重新恢复工作后，在逻辑端口上传输的所有数据帧又开始重新分发到所有物理端口上。在使用端口的负载均衡功能之前，您必须首先建立负载均衡端口组。建立负载均衡端口组的规则如下：1、负载均衡组中的端口个数不能多于16个；2、千兆端口与10/100M以太网端口不能同时加入一个负载均衡组中；2.5.2 使用动态协议(LACP)对端口进行捆绑动态协议捆绑端口使用以下命令：（动态协议捆绑，在使用中可以可以增加、删除新端口）enable sharing grouping algorithm address-base 2.5.3 静态对端口进行捆绑enable sharing grouping 命令执行成功后，系统将显示该组的master port。关闭端口负载均衡使用以下命令：disable sharing master_port显示端口负载均衡的相关信息使用以下命令：show ports port_list sharing该命令显示与port list 相关的负载均衡组信息，包括master port 与其成员，如果port list 不是负载均衡组的成员，该命令将不显示任何信息。2.6 配置端口镜像2.6.1 端口镜像介绍Extreme提供基于端口的镜像功能，即可将指定的一个或多个端口的数据帧复制到监控端口（连接协议分析仪或RMON探测器）用于数据帧的分析和监视。Extreme交换机使用基于物理端口及数据包的传输方向的来控制复制到镜像端口的数据帧，即：所有通过某个物理端口的输入、输出或所有的(ingress/egress/both)数据帧，都被复制到指定镜像端口；某一个端口及一个方向（输入或输出）上的数据包只能够被镜像到一个端口。例：端口3的输入数据包不能被同时镜像到8，9两个端口。而且，一旦某个端口被选做镜像端口，该端口将不能被用于其它用途，即该端口的数据包也不能再镜像到其他端口。注意：包含错误的数据帧将不会被复制到镜像端口。2.6.2 端口镜像常用配置命令1) Enable mirroring to port 【功能】定义镜像端口【范例】enable mirroring port 12) Config mirroring add port ingress | egress | both【功能】定义被镜像端口，及数据帧流向：接受（ingress），发送（egress），以及双向（both）。【范例】config mirroring add port 1:2-10 both3) Show mirroring【功能】查看镜像端口相关信息【范例】show mirroring2.6.3 配置端口冗余对于一个交换机有两条上连线路分别到两个中心/汇集交换机的情况，可以采用端口冗余的配置Config port redundant link on |link off 【功能】 backup 端口作为master 端口的冗余端口，当master 端口down后，master 端口将自动激活并工作（上连光口或者堆叠中不同的交换机口都可以做成相互冗余）【说明】Link on 端口是处于热备份的，此时可以看到备份端口为UP，link灯是亮的。Link off 端口是处于冷备份的，此时可以看到备份端口为down，link灯是不亮的。【范例】 config ports 25 redundant link onunconfigure ports master_ports_list redundant【功能】删除冗余端口配置【范例】unconfig ports 25 redundant2.7 查看端口信息的命令1) show port information detail【功能】显示详细的接口信息2) show port config【功能】显示接口配置信息3) show port stats【功能】显示接口状态4) show port qosprofile【功能】显示实时QoS Profile的配置情况5) show port rxerrors【功能】显示实时接收错误统计信息6) show port txerrors【功能】显示实时发送统计信息2.8 Extreme 发现协议EDP (Extreme Discovery protocol) Extreme发现协议（Extreme discovery protocol）是由extreme设计的专用协议，能够帮助管理员收集关于本地连接和远程连接设备的相关信息。通过使用EDP可以收集相邻设备的硬件和协议信息，此信息对于故障诊断和网络文件归档非常有用。（类似于cisco的CDP协议）每个运行EDP协议的设备都会定期发送宣告消息，来更新邻居信息。同时每个运行EDP的设备也会接收EDP消息来记录邻居设备的信息。通过show edp port all 命令可以查看到lan中互联Extreme设备的相关信息，EDP的更新周期缺省为60S，过期时间为180S，Extreme设备在更新信息时，包括如下信息：互联设备的MAC地址（交换机ID）互联设备的软件版本信息互联端口号disable edp ports | all 【功能】关闭接口edp 协议【范例】disable edp port allenable edp ports | all 【功能】打开接口edp协议【范例】enable edp port all3.vlan 配置3.1 vlan 简介VLAN 即Virtual Local Area Networks，协议标准是IEEE 802.1Q协议。该协议规定了VLAN 的实现方法，VLAN主要在以太网交换机中实现。在交换机上对局域网进行划分，就形成了虚拟局域网。划分的依据可以是交换机端口，可以是端口MAC地址，也可以是网络层的IP地址，还可以是IP组播地址。通过在交换机上实现虚拟局域网可以实现网络的动态管理，即当一个用户移动时，可以减少因移动而引起的改变的代价；可以建立虚拟工作组；可以限制广播包；同时提高了网络的安全性。总之随着网络的发展，VLAN 的应用越来越广泛，功能也越来越多，具有很好的发展前景。3.2 IEEE 802.1Q 协议介绍如果不使用路由器或三层交换机等第三层设备，VLAN之间不能够互相通信。如果每一个端口只能属于某个特定的VLAN，第三层设备的采购费用和网络的整体维护费用会变成一个极大的负担。所以，Trunk端口被定义为可以传输多个VLAN信息的单个物理端口，它不属于某一个特殊的VLAN，而属于多个（可以是所有）VLAN。当交换机与交换机、交换机与路由器、路由器与路由器之间互联时，使用Trunk端口可以大大提供端口的使用效率。IBAS交换机的所有端口均支持Trunk连接。因为一个物理端口需要传输多个VLAN信息，所以在这个端口上需要有一种机制来区分属于每个特定VLAN的数据帧。数据帧标记（Frametagging）为每一个通过Trunk端口传输的数据帧附加一个用户自定义的标记以确定这个数据帧属于哪一个VLAN。当标记后的数据帧通过网络传输时，网络上的每一个相关交换机都会检查这个标记。如果数据帧需要继续传输到另一个Trunk端口，则标记保留；如果数据帧需要传送给与这台交换机相连的工作站，则该交换机将删除数据帧的标记，将其直接发送给目的工作站。这样，这个过程对用户来讲是透明的。IEEE 802.1Q协议是目前应用最广泛的数据帧标记协议，同时它是一个国际标准，使多个厂家生产的交换机设备可以互换使用。对于以太帧而言，802.1Q在源地址字段后，增加了一个四字节的标记用以确定该数据帧属于哪一个特定的VLAN。3.3 vlan 配置3.3.1 vlan 的类型Extreme交换机支持最多4096个VLAN。VLAN可以基于以下标准建立：l 物理端口基于端口的VLAN.在基于端口的VLAN中，将交换机上的一个或多个物理端口分配为一个VLAN。某个物理端口只能属于一个VLAN。l 802.1Q tagTrunk（同一条链路上可以传送多个VLAN信息）。l 基于协议的vlan3.3.2 建立和删除vlanExtreme交换机支持最多4096个VLAN。VLAN的名称为不超过32个字符长度的字符串，以下字符不能出现在VLAN名称中：l 空格l 逗号l 括号VLAN名称必须由字母作为第一个字符。VLAN名称仅在本地有意义， 就是说，在某个交换机上命名的VLAN名称仅对这台交换机有意义，而对与这台交换机相连的其它交换机没有意义。每一台新Extreme交换机上都存在一个缺省VLAN，它具有以下特性：l VLAN名称为default；l 该VLAN包括类交换机上的所有端口；l 该VLAN的VLANid为1。建立和删除VLAN的常用命令：1) create vlan 【功能】建立VLAN【范例】create valn red2) config vlan ipaddress | mask【功能】为VLAN分配IP地址和子网掩码（其中子网掩码为可选项）【范例】config vlan red ipaddress /243) config vlan add | delete ports tagged | untagged【功能】 将一个或多个端口加入到VLAN。您可以选择将端口定义为仅属于一个VLAN，或属于多个VLAN。缺省情况下，端口被定义为仅属于一个VLAN。【范例】config vlan red add port 2 tagged4) config vlan delete port portlist tagged | untagged【功能】从VLAN中删除一个或多个端口【范例】config vlan red delete port 2 tagged5) config vlan tag 【功能】为建立的VLAIN分配VLANid。VLANid取值范围为1到4095。【范例】config vlan red tag 26) unconfig vlan ipaddress【功能】删除VLAN的IP地址【范例】unconfig vlan red ipaddress7) delete vlan name【功能】删除VLAN【范例】delete vlan red8) config vlan broadcast-storm-packets maximum broadcast packets maximum multicast packets maximum flood packets【功能】配置VLAN中可能引起广播风暴的数据帧的数量，与config broadcast-storm-timer命令结合使用。【