华为S9306配置规范

1、.PAGE . 目 录 TOC o 1-4 h z u HYPERLINK l _Toc230923161第3章华为S9603配置规 PAGEREF _Toc230923161 h 6HYPERLINK l _Toc2309231623.1系统根本配置规 PAGEREF _Toc230923162 h 6HYPERLINK l _Toc230923163设备名称配置 PAGEREF _Toc230923163 h 6HYPERLINK l _Toc230923164Banner配置 PAGEREF _Toc230923164 h 6HYPERLINK l _Toc230923165设备自身时间

2、及NTP PAGEREF _Toc230923165 h 7HYPERLINK l _Toc230923166时区配置 PAGEREF _Toc230923166 h 7HYPERLINK l _Toc230923167NTP配置 PAGEREF _Toc230923167 h 7HYPERLINK l _Toc230923168VTY接口配置 PAGEREF _Toc230923168 h 8HYPERLINK l _Toc230923169连接数限制 PAGEREF _Toc230923169 h 8HYPERLINK l _Toc230923170空闲时间 PAGEREF _Toc230

3、923170 h 8HYPERLINK l _Toc230923171访问控制列表 PAGEREF _Toc230923171 h 9HYPERLINK l _Toc230923172配置例 PAGEREF _Toc230923172 h 9HYPERLINK l _Toc230923173AAA配置 PAGEREF _Toc230923173 h 10HYPERLINK l _Toc230923174概述 PAGEREF _Toc230923174 h 10HYPERLINK l _Toc230923175AAA配置 PAGEREF _Toc230923175 h 10HYPERLINK l

4、 _Toc230923176本地用户 PAGEREF _Toc230923176 h 12HYPERLINK l _Toc2309231773.2端口配置规 PAGEREF _Toc230923177 h 12HYPERLINK l _Toc230923178Loopback地址配置 PAGEREF _Toc230923178 h 12HYPERLINK l _Toc230923179GE端口配置 PAGEREF _Toc230923179 h 13HYPERLINK l _Toc230923180GE用做上连接口 PAGEREF _Toc230923180 h 13HYPERLINK l _

5、Toc230923181GE端口QINQ配置 PAGEREF _Toc230923181 h 14HYPERLINK l _Toc230923182FE端口QINQ配置 PAGEREF _Toc230923182 h 14HYPERLINK l _Toc230923183GE、FE端口专线配置 PAGEREF _Toc230923183 h 15HYPERLINK l _Toc2309231843.3路由协议配置规 PAGEREF _Toc230923184 h 15HYPERLINK l _Toc230923185静态路由配置 PAGEREF _Toc230923185 h 15HYPERL

6、INK l _Toc230923186静态路由配置方式 PAGEREF _Toc230923186 h 15HYPERLINK l _Toc2309231873.4用户策略配置 PAGEREF _Toc230923187 h 16HYPERLINK l _Toc230923188定义防病毒访问控制列表 PAGEREF _Toc230923188 h 16HYPERLINK l _Toc230923189QOS策略配置 PAGEREF _Toc230923189 h 17HYPERLINK l _Toc230923190用户限速配置 PAGEREF _Toc230923190 h 18HYPER

7、LINK l _Toc2309231913.5网管配置 PAGEREF _Toc230923191 h 19HYPERLINK l _Toc230923192SNMP管理代理配置 PAGEREF _Toc230923192 h 19HYPERLINK l _Toc230923193全局开启SNMP进程 PAGEREF _Toc230923193 h 19HYPERLINK l _Toc230923194RO munity值 PAGEREF _Toc230923194 h 20HYPERLINK l _Toc230923195RW munity值 PAGEREF _Toc230923195 h

8、21HYPERLINK l _Toc230923196SNMP访问控制列表 PAGEREF _Toc230923196 h 21HYPERLINK l _Toc230923197故障管理配置 PAGEREF _Toc230923197 h 22HYPERLINK l _Toc230923198SNMP TRAP信息容 PAGEREF _Toc230923198 h 22HYPERLINK l _Toc230923199SNMP TRAP 效劳器地址 PAGEREF _Toc230923199 h 22HYPERLINK l _Toc230923200SNMP TRAP消息源地址 PAGEREF

9、 _Toc230923200 h 23HYPERLINK l _Toc230923201SYSLOG效劳器地址 PAGEREF _Toc230923201 h 23HYPERLINK l _Toc230923202SYSLOG信息级别 PAGEREF _Toc230923202 h 23HYPERLINK l _Toc230923203SYSLOG消息源地址 PAGEREF _Toc230923203 h 23HYPERLINK l _Toc230923204配置例参考 PAGEREF _Toc230923204 h 24. 华为S9603配置规系统根本配置规设备名称配置配置说明：规设备命名，

10、唯一性标识城域网中的每台设备，用于对城域网的每台设备进展区分，方便设备管理，提高可读性和可管理性。规要求：设备名称要求符合第二章中IP城域网网络设备命名及链路描述规中规定。配置规：sysname HS-TJL-DSW-1.M.9306配置验证：配置后立即生效，设备名称显示在配置命令行的左边。配置注意细节：可以根据需要在.M后添加设备型号。Banner配置配置说明：统一Banner语言，以省网标准为主。规要求：城域网所有交换机配置统一的Banner信息，登陆时提示：WARNING! Authorised access only, all of your done will be recorded

11、! disconnect IMMEDIATELY if you are not an authorised user! 配置规：Quidway header login information %WARNING! Authorised access only, all of your done will be recorded! disconnect IMMEDIATELY if you are not an authorised user!%配置验证：登陆路由器时应看到banner提示。配置注意细节：Banner语言应起到提示和警告非授权访问者的作用，严禁在Banner中出现任何表示欢送的字

12、样。设备自身时间及NTPNTP实现网络设备时间同步功能，与时间有关的应用，例如Log信息，基于时间限制带宽等，都需要基于正确的时间。 时区配置配置说明：统一设备的时区配置。规要求：配置系统时区为GMT+8，时区。配置规：clock timezone Beijing add 08:00:00#在用户模式下配置配置验证：display clock配置注意细节：无。NTP配置配置说明：使用NTP同步网络上所有设备的时间，保证网络设备得到正确的时间。规要求：配置主和备两组NTP效劳器。配置规：ntp-service unicast-server *.*.*.* preference#优选其中一台出口为

13、NTP SERVERntp-service unicast-server *.*.*.* #另一台出口为备用NTP SERVER配置验证：display clockdisplay ntp-service statusdisplay ntp-service session配置注意细节：无。VTY接口配置连接数限制配置说明：对同时远程登陆到设备上的session数进展限制，可以防止大量的session连接占用过多系统资源，同时便于集中运维，保证故障期间的正常处理。规要求：配置BRAS路由器并发连接数限制为10个。配置规：user-interface ma*imum-vty 10配置验证：displ

14、ay user-interface ma*imum-vty配置注意细节：无空闲时间配置说明：设置了Telnet超时功能，当空闲时间超过设定值后，Telnet线程断开，防止未被授权的人员在操作员离开后进展非法操作。规要求：对VTY登录超时设置进展配置，设置空闲时间为10分钟。配置规：user-interface console 0idle-timeout 10 0user-interface au* 0idle-timeout 10 0user-interface vty 0 9idle-timeout 10 0配置验证：disp curr | b user-interface配置注意细节：华为

15、设备默认超时时间即为10分钟，配置后也不会显示配置。访问控制列表配置说明：限制Telnet登录网络的源地址，从而增强设备的平安性，最大限度防止非法登陆尝试。规要求：配置Telnet源地址限制，包含省公司地址段和最小化的地市网管中心维护IP网段。Telnet访问控制列表条目从10开场，条目的间隔步长为10，在访问控制列表的最后显示配置一条deny any any语句。配置规参考：acl number 2088 rule 10 permit source 202.105.80.0 .255 rule 20 permit source 202.105.82.0 .255 rule 30 permit

16、 source 59.37.66.0 .255 rule 40 permit source 125.88.116.0 .255 rule 50 permit source *.*.*.* *.*.*.* #地市网管地址段 rule 99 deny source any#user-interface vty 0 4 authentication-mode aaa#设置VTY口登录用户的验证方式为AAA acl 2088 inbound配置验证：disp acl 2088disp curr | b user-interface配置注意细节：无。配置例acl number 2088 rule 10

17、permit source 202.105.80.0 .255 rule 20 permit source 202.105.82.0 .255 rule 30 permit source 59.37.66.0 .255 rule 40 permit source 125.88.116.0 .255 rule 50 permit source *.*.*.* *.*.*.* #地市网管地址段 rule 99 deny source any# user-interface vty 0 4 authentication-mode aaa#设置VTY口登录用户的验证方式为AAA acl 2088 in

18、bound idle-timeout 10 0 用户超时断开连接时间设置为10分钟protocol inbound telnet 登录支持telnet协议AAA配置概述AAA使用Radius统一验证，全省统一大后台。AAA配置配置说明：配置用户的认证方式配置用户的计费方式配置用户认证效劳器地址及参数配置用户计费效劳器地址及参数规要求：认证方式采用radius 方式计费方式采用radius 方式认证及计费效劳器的地址根据省公司统一安排情况设置设置Radius 密钥时要与省后台相关人员协商确定认证端口号根据各个地方的实际情况设置计费端口号根据各个地方的实际情况设置配置规参考：radius-serv

19、er template system radius方案名称为system主备radius和源地址在一条命令中 radius-server authentication 202.103.28.138 1645 source loopback 0 secondaryradius-server accounting 202.103.28.138 1645 source loopback 0 secondary radius-server shared-key aaa8010 undo radius-server user-name domain-included nas-ip 59.175.247.

20、182 上报radius报文中的源地址，取用上行接口的互联IP先在aaa视图下配置authentication-scheme、authorization-scheme、accounting-schemeauthentication-scheme systemauthentication-mode radius localauthorization-scheme systemauthorization-mode if-authenticated localaccounting-scheme systemaccounting-mode 没有先radius后local，只有如下方式 hwtacacs

21、 HWTACACS accounting local Local accounting local-hwtacacs Local HWTACACS accounting local-radius Local RADIUS accounting none No accounting radius RADIUS accounting domain systemaaa视图下domain system authentication login radius-scheme system local 配置认证方案为先radius，后local authorization login radius-sche

22、me system local 配置授权方案为先radius，后local accounting login radius-scheme system local 配置计费方案为先radius，后local undo access-limit state activeundo idle-cut配置验证：display authentication-schemesystem配置注意细节：无。本地用户配置说明：配置本地用户，作为AAA效劳器连接失败时的应急登陆用。规要求：全省网络设备配置一样本地用户admin，设置最高权限，使用省公司统一指定的密码，根据实际情况可保存地市本地管理。配置规参考：lo

23、cal-user admin password cipher admin)*service-typetelnet配置验证：display user name admin配置注意细节：保存地市本地。端口配置规Loopback地址配置配置说明：配置Loopback地址，提供一个永远up的IP地址，用于各种路由协议邻居的建立、远程登录、设备管理等。规要求：城域骨干网交换机配置一个loopback 0地址，掩码必须为32位。Loopback接口需添加端口描述，端口描述要求符合第二章中IP城域网网络设备命名及链路描述规中规定。配置规：interface LoopBack0 ip address *.*.

24、*.* description For Management配置验证：disp inter loopback 0 /查看运行情况dis current-configuration interface LoopBack 0/查看配置情况配置注意细节：无GE端口配置GE用做上连接口配置说明：配置GE端口用做上连接口。规要求：配置GE端口speed 设置为1000M，双工为自行协商，并且在端口上定义病毒过滤策略。配置接口描述符合第二章中IP城域网网络设备命名及链路描述规中规定。并注意端口描述中的对端端口应区别不同设备。配置规：interface GigabitEthernet2/0/21 port

25、link-type trunk undo port trunk permit vlan 1undo port trunk allow-pass vlan 1 port trunk permit vlan 100 2001 to 2005port trunk allow-pass vlan 100 2001 to 2005speed 1000 duple* full description dT:ZQ-HT-DSW-1.M 1G:GI1/0/0 qos apply policy virus-filter inbound 上行端口应用端口过滤的策略traffic-policy virus-filt

26、er inbound qos apply policy virus-filter outbound traffic-policy virus-filter outbound配置验证：disp inter gi2/0/21/查看运行情况disp cu inter gi2/0/21/查看配置情况配置注意细节：无。GE端口QINQ配置配置说明：配置GE端口用做下联接口，开启QINQ功能。规要求：配置开启GE端口QINQ功能。配置接口描述符合第二章中IP城域网网络设备命名及链路描述规中规定。并注意端口描述中的对端端口应区别不同设备。配置规：interface GigabitEthernet4/0/1

27、port link-type hybrid undo port hybrid vlan 1 vlan 1可以undo掉 port hybrid vlan 3990 to 3991 4094 tagged port hybrid vlan 1001 to 1005 untagged qinq enable qos apply policy g4/0/1 inbound qos apply policy nm outbound description dT:ZQ-HT-DSW-1.M 1G:GI1/0/0配置验证：disp inter gi4/0/1/查看运行情况disp cu inter gi4

28、/0/1/查看配置情况配置注意细节：无。FE端口QINQ配置配置说明：配置FE端口做下联端口，开启QINQ功能。规要求：配置开启GE端口QINQ功能。配置接口描述符合第二章中IP城域网网络设备命名及链路描述规中规定。配置规：interface Ethernet3/0/1 port link-type hybrid port hybrid vlan 3990 to 3991 4094 tagged 网管vlan port hybrid tagged vlan 3990 to 3991 4094 port hybrid vlan 1 2001 to 2005 untagged vlan 1不能un

29、do掉，其他为QinQ的外层vlan port hybrid tagged vlan 1 2001 to 2005qinq enable 端口下使能QinQ功能 port link-type dot1q-tunnelqos apply policy e3/0/1 inbound 应用针对此端口的QinQ策略，入方向traffic-policy e3/0/1 inbound 入方向限速可以使用qos car qos apply policy nm outbound 应用网管vlan的出方向策略traffic-policy nm outbound配置验证：display interface Gig

30、abitEthernet3/0/1 /查看运行情况disp cu inter gi3/0/1/查看配置情况配置注意细节：无。GE、FE端口专线配置配置说明：配置接入专线用户的GE、FE端口。规要求：配置限速策略。配置规：interface GigabitEthernet4/0/2 port access vlan 3501 qos apply policy rate-1m inbound 入方向限速，应用限速策略traffic-policy e3/0/1 inbound 入方向限速可以使用qos carqos lr outbound cir 1024 cbs 102400 出方向限速，直接设定

31、，cbs=100cir，cir单位Kbps qos lr cir 1024 cbs 102400 outbound配置验证：display interface GigabitEthernet4/0/2/查看运行情况disp cu inter GigabitEthernet4/0/2/查看配置情况配置注意细节：无。路由协议配置规静态路由配置静态路由配置方式配置说明：手工配置静态路由并设定相关参数。规要求：无。配置规：ip route-static .1 255.255.255.2552.2.2.2 配置验证：display ip routing-table protocol static配置注意

32、细节：静态路由缺省优先级为60。用户策略配置定义防病毒访问控制列表配置说明：定义防病毒ACL，防御病毒攻击。规要求：定义周知及常见的病毒端口。配置规：acl number 3100 病毒端口过滤控制列表 rule 0 deny tcp destination-port eq 3127 rule 1 deny tcp destination-port eq 1025 rule 2 deny tcp destination-port eq 5554 rule 3 deny tcp destination-port eq 9996 rule 4 deny tcp destination-port e

33、q 1068 rule 5 deny tcp destination-port eq 135 rule 6 deny udp destination-port eq 135 rule 7 deny tcp destination-port eq 137 rule 8 deny udp destination-port eq netbios-ns rule 9 deny tcp destination-port eq 138 rule 10 deny udp destination-port eq netbios-dgm rule 11 deny tcp destination-port eq

34、139 rule 12 deny udp destination-port eq netbios-ssn rule 13 deny tcp destination-port eq 593 rule 14 deny tcp destination-port eq 4444 rule 15 deny tcp destination-port eq 5800 rule 16 deny tcp destination-port eq 5900 rule 17 deny tcp destination-port eq 8998 rule 18 deny tcp destination-port eq 4

35、45 rule 19 deny udp destination-port eq 445 rule 20 deny udp destination-port eq 1434 rule 21 deny udp destination-port eq 1433 rule 22 deny tcp destination-port eq 707 rule 23 deny tcp destination-port eq 136配置验证：display cur配置注意细节：无QOS策略配置配置说明：定义流类型，比方病毒端口过滤、QINGQ流定义匹配用户VLAN围、网管入方向流及网管出方向流。定义相关的流动作

36、及相关的策略。规要求：流及QOS策略的名称由省公司统一制定。配置规参考：traffic classifier virus-filter operator and 定义流：端口病毒过滤 if-match acl 3100 定义匹配报文的ACL规则traffic classifier qinq1 operator and 定义流：QinQ流 if-match customer-vlan-id 2 to 480 定义匹配用户vlan围 if-match cvlan-id 2 traffic classifier qinq2 operator andif-match customer-vlan-id

37、481 to 960traffic classifier qinq3 operator andif-match customer-vlan-id 1001 to 1480traffic classifier qinq4 operator andif-match customer-vlan-id 1481 to 1960traffic classifier qinq5 operator andif-match customer-vlan-id 1921 to 2000traffic classifier qinq6 operator andif-match customer-vlan-id 30

38、01 to 3100#traffic classifier nm-hw-in operator and 定义流：网管入方向流单层vlan标签 if-match customer-vlan-id 3991 定义匹配用户vlan围traffic classifier nm-z*-in operator and if-match customer-vlan-id 3990traffic classifier nm-in operator and if-match customer-vlan-id 4094traffic classifier nm-hw-out operator and 定义流：网管

39、出方向流单层vlan标签 if-match service-vlan-id 3991 定义网络侧vlan围 if-match vlan-id 3991traffic classifier nm-z*-out operator and if-match service-vlan-id 3990traffic classifier nm-out operator and if-match service-vlan-id 4094#traffic behavior virus-filter 定义流动作：端口过滤 filter deny denytraffic behavior g2/0/1-1 定义

40、流动作：G2/0/1端口第1个QinQ插入标签动作 nest top-most vlan-id 2001 创立外层vlan动作traffic behavior g2/0/1-2nest top-most vlan-id 2002traffic behavior nm-hw-in remark service-vlan-id 3991 为流行为配置标记网络侧vlan的动作 remark vlan-id/clan-id 3991 traffic behavior nm-z*-in remark service-vlan-id 3990traffic behavior nm-in remark se

41、rvice-vlan-id 4094traffic behavior nm-hw-out remark customer-vlan-id 3991 为流行为配置标记用户侧vlan的动作remark vlan-id/clan-id 3991traffic behavior nm-z*-out remark customer-vlan-id 3990traffic behavior nm-out remark customer-vlan-id 4094#qos policy virus-filter 定义策略：端口过滤traffic policy virus-filter qos policy均使

42、用traffic policy替换 classifier virus-filter behavior virus-filter 为流指定动作，把流和动作关联起来qos policy g2/0/1 定义策略：QinQ端口入方向，按端口命名classifier nm-hw-in behavior nm-hw-in 网管使用 classifier nm-z*-in behavior nm-z*-in 网管使用classifier nm-in behavior nm-in 网管使用 classifier qinq1 behavior g2/0/1-1 按端口需要配置classifier qinq2 b

43、ehavior g2/0/1-2 按端口需要配置qos policy nm 定义策略：网管出方向 classifier nm-hw-out behavior nm-hw-out classifier nm-z*-out behavior nm-z*-out classifier nm-out behavior nm-out用户限速配置配置说明：设置用户限速。规要求：采用qos policy为用户限速。配置规：acl number 4000 rule 0 permittraffic classifier rate operator and 定义流：所有流量 if-match acl 4000tr

44、affic behavior rate-1m 定义流动作：入方向限速 car cir 1024 cbs 102400 ebs 102400 pir 1024 green pass red discard yellow pass car cir 1024 pir 1024 cbs 1024000 pbs 1024000 green pass red discard yellow passtraffic behavior rate-2m car cir 2048 cbs 204800 ebs 204800 pir 2048 green pass red discard yellow passtra

45、ffic behavior rate-5m car cir 5120 cbs 512000 ebs 512000 pir 5120 green pass red discard yellow passtraffic behavior rate-10m car cir 10240 cbs 1024000 ebs 1024000 pir 10240 green pass red discard yellow passtraffic behavior rate-15m car cir 15360 cbs 1536000 ebs 1536000 pir 15360 green pass red dis

46、card yellow passtraffic behavior rate-20m car cir 20480 cbs 2048000 ebs 2048000 pir 20480 green pass red discard yellow passtraffic behavior rate-30m car cir 30720 cbs 3072000 ebs 3072000 pir 30720 green pass red discard yellow passqos policy rate-1m 定义策略：入方向限速traffic policy rate-1m classifier rate

47、behavior rate-1mqos policy rate-2m classifier rate behavior rate-2mqos policy rate-5m classifier rate behavior rate-5mqos policy rate-10m classifier rate behavior rate-10mqos policy rate-15m classifier rate behavior rate-15mqos policy rate-20m classifier rate behavior rate-20mqos policy rate-30m cla

48、ssifier rate behavior rate-30m配置验证：display scheduler-profile all配置注意细节：无。网管配置SNMP管理代理配置全局开启SNMP进程配置说明：SNMP的构造分为NMSNetwork Management Station和Agent两局部。SNMP就是用来规定NMS和Agent之间是如何传递管理信息的应用层协议。NMS，是运行客户端程序的工作站，网管站NMS对网络设备发送各种查询报文，接收来自被管理设备的响应报文及Trap报文，并将结果显示出来。Agent是驻留在被管理设备上的一个进程，负责承受、处理来自网管站的Request报文，根

49、据报文类型对管理变量进展Read或Write操作，并生成Response报文，反送给NMS。另一方面，Agent在设备发生冷/热启动等异常情况时，也会主动向NMS发送Trap报文报告所发生的事件。NMS与Agent的关系如以下图所示：规要求：要求统一配置交换机作为SNMP Agent，处理NMS发来的查询报文并返回响应报文。配置规：snmp-agent #启动SNMP Agent效劳配置验证：display snmp-agent sys-info配置注意细节：无。RO munity值配置说明：SNMP团体munity由一字符串来命名，称为团体名munity Name。不同的团体可具有只读rea

50、d-only或读写read-write访问模式。具有只读权限的团体只能对设备信息进展查询，而具有读写权限的团体还可以对设备进展配置。配置munity字符串不要过于简单，一般应由字母、数字及特殊字符等组成，用于提高SNMP协议平安。规要求：规、统一配置设备的SNMP RO MNITY由省公司统一指定，根据需要保存地市MUNITY字符串。配置规参考：snmp-agent munity read hbnoc-ipnms #设置团体名及访问权限snmp-agent munity read *配置验证：display snmp-agent munity read配置注意细节：无。RW munity值配置说明：具有写权限的的团体可以对设备进展配置。规要求：规、统一配置设备的SN