课件13综合企业网代码

计算机网络工程2026课件13综合企业网代码计算机网络工程·企业网全栈配置实战LECTURE13ENTERPRISENETWORKVRP/H3C/CISCOHCOURSESYLLABUS课程目录七大核心模块·从二层交换到无线网络CHAPTER01课程导引与环境准备企业网架构总览与实验拓扑说明华为VRP命令行基础与配置模式切换CHAPTER02二层交换技术代码VLAN划分与Trunk/Access端口配置STP/RSTP/MSTP生成树协议完整配置CHAPTER03三层路由协议代码OSPF多区域配置与路由汇总BGP路由反射器与策略路由实现CHAPTER04网络安全策略代码ACL访问控制列表与NAT地址转换802.1X认证与防火墙安全策略配置CHAPTER05基础服务部署代码DHCP服务器与中继代理配置DNS服务器搭建与解析记录管理CHAPTER06无线网络融合代码AC控制器与AP上线注册流程WLAN业务模板绑定与射频调优CHAPTER07故障排查与课程总结display诊断命令与debug调试技巧典型故障案例分析与排查方法论计算机网络实验课程CHAPTER0101课程导引与环境准备企业网架构认知与命令行基础ENTERPRISENETWORK三层网络架构华为VRP命令行实验环境搭建企业网三层架构总览Core·Distribution·Access—分层设计与职能归属企业网采用核心-汇聚-接入三层分层设计，每层承担不同的网络职能：核心层专注高速转发与路由收敛，汇聚层实施策略控制与VLAN间路由，接入层负责终端接入与端口安全。配置代码必须按层级归属到对应设备，才能实现模块化、可维护的网络工程。CoreLayer核心层：高速骨干转发部署S12700/S9300等高端交换机，运行OSPF多区域或BGP协议实现快速路由收敛与冗余备份配置链路聚合Eth-Trunk提升带宽利用率，启用BFD毫秒级故障检测保障业务连续性DistributionLayer汇聚层：策略控制中枢部署S5700/S6700系列交换机，承担VLAN间三层网关、ACL过滤、QoS标记与流量整形等策略功能作为DHCP中继和802.1X认证控制点，集中管理用户接入权限与地址分配策略AccessLayer接入层：终端安全接入部署S3700/S2700系列接入交换机，按部门划分VLAN并配置Access/Trunk端口类型启用端口安全、BPDU保护和边缘端口，防止非法设备接入与二层环路风险CLIREFERENCE主流厂商CLI命令对照华为VRP·H3CComware·CiscoIOS华为VRP、H3CComware与CiscoIOS的命令行结构高度同构，但关键字存在系统性差异。掌握三者之间的命令映射关系（如system-view对应configureterminal、display对应show、undo对应no），是跨厂商企业网配置能力的基础。功能华为VRPH3CComwareCiscoIOS进入系统视图system-viewsystem-viewconfigureterminal查看当前配置displaycurrent-configurationdisplaycurrent-configurationshowrunning-config查看接口状态displayinterfacebriefdisplayinterfacebriefshowipinterfacebrief删除/取消配置undo<command>undo<command>no<command>保存配置savesavecopyrunstart查看路由表displayiprouting-tabledisplayiprouting-tableshowiproute重启设备rebootrebootreload返回上级视图quitquitexit三家CLI结构同构，关键字系统性差异；掌握映射即可跨平台操作TOPOLOGY实验拓扑与IP地址规划10.x.x.x私有地址空间·管理VLAN与业务VLAN分离统一的IP规划是企业网配置的前提。本实验采用10.x.x.x私有地址空间，管理VLAN100独立于业务VLAN，Loopback0地址作为OSPFRouterID和管理通道。所有后续章节的配置代码均基于此地址方案，确保拓扑一致性和代码可复现性。核心设备IP地址分配表设备名称角色接口/VLANIFIP地址用途Core-SW1核心主Loopback0/32OSPFRID/管理Core-SW1核心主Vlanif100/24管理网关Core-SW2核心备Loopback0/32OSPFRID/管理Agg-SW1汇聚A区Vlanif1054/24研发部网关Agg-SW2汇聚B区Vlanif2054/24市场部网关AC-Controller无线控制Vlanif1000/24CAPWAP源接口DHCP-Server地址服务GE0/0/10/24全局地址池管理VLAN100与业务VLAN分离，Loopback0统一用作RouterID核心层2台汇聚层2台服务设备2台CONFIGURATION设备初始化基础配置代码EnterpriseDeviceInitialization·主机名·管理IP·SSH·NTP设备初始化配置涵盖主机名设定、管理接口IP配置、远程访问服务开启和时间同步四个核心环节，是所有高级配置的前置条件。Core-SW1_config.cfg#基础系统配置sysnameCore-SW1vlanbatch

100#管理VLAN接口interfaceVlanif100ipaddress

quit#SSH远程登录stelnetserverenablersalocal-key-paircreate

2048user-interfacevty

04authentication-modeaaaprotocolinboundsshquit#AAA本地认证aaalocal-useradminpasswordcipher

Huawei@123local-useradminprivilegelevel

15quit#NTP时间同步ntp-serviceunicast-server

54#日志服务器info-centerloghost

0管理通道建立sysnameCore-SW1设定设备名称；Vlanif100配置管理IP/24，建立带外管理通道加密远程登录stelnetserverenable+RSA2048位密钥生成；VTY线路配置AAA认证，仅允许SSH协议入站全网时间同步NTP指向54，确保全网设备日志时间戳一致，便于故障关联分析与事件溯源本地认证与权限AAA配置本地用户admin，密码cipher密文存储，权限级别15级最高管理权限，生产环境禁止明文日志集中存储info-centerloghost0将所有设备告警与操作记录集中存储，满足审计合规要求平台差异：H3C命令几乎相同｜Cisco将sysname换为hostname，interfaceVlanif换为interfaceVlanCHAPTER02二层交换技术代码VLAN划分·STP/RSTP/MSTP配置企业网二层设计的核心基石VLANSTP/RSTPMSTPConfigurationVLAN划分与端口类型配置Access·Trunk·Hybrid—三种端口类型精确设定VLAN配置是企业网二层设计的基石。Trunk端口的allow-pass列表和PVID必须两端对齐，否则会导致VLAN标签错乱和跨交换机通信失败。Hybrid端口通过tagged/untagged组合实现灵活的多VLAN承载。1VLAN创建与Access端口#批量创建VLANvlanbatch102030to50#Access端口配置interfaceGigabitEthernet0/0/1portlink-typeaccessportdefaultvlan102Trunk端口与PVID对齐#Trunk端口配置interfaceGigabitEthernet0/0/24portlink-typetrunkporttrunkallow-passvlan102030100porttrunkpvidvlan1003Hybrid端口灵活承载#Hybrid端口配置interfaceGigabitEthernet0/0/5portlink-typehybridporthybridtaggedvlan1020porthybriduntaggedvlan100VLAN创建与Access端口vlanbatch102030to50一次性批量创建业务VLAN，避免逐条创建的繁琐操作Access端口用于连接PC等终端设备，只属于一个VLAN，数据帧不带标签传输Trunk端口与PVID对齐allow-passvlan指定允许的VLAN列表，用于交换机互联的干道链路PVID必须一致，两端交换机PVID不一致会导致未标记帧被错误归类，这是常见故障原因Hybrid端口灵活承载tagged+untagged组合实现混合标签，单端口可同时承载多个VLANIP电话场景：语音VLANtagged传输、数据VLANuntagged透传，单端口承载双业务流实验注意：Trunk端口PVID不匹配是VLAN跨交换机通信失败的最常见原因，务必在两端配置相同的本征VLANCONFIGURATIONRSTP生成树协议配置代码华为设备·五步配置法·生产级实践RSTP配置的核心在于四点：全网统一工作模式、显式指定根桥与备份根桥、边缘端口配合BPDU保护、根桥上行端口启用根保护。忽略任一环节都可能导致拓扑震荡或次优路径。01全局切换工作模式[Switch]stpmoderstp所有交换机必须统一为RSTP模式；华为默认运行MSTP，纯二层环境可简化为RSTP02显式指定根桥与备份根桥[SwitchA]stprootprimary[SwitchB]stprootsecondary避免默认优先级32768导致的随机选举，确保核心交换机始终为根桥03设置边缘端口[Switch]interfaceGE0/0/2[GE0/0/2]stpedged-portenable连接PC的端口设为边缘端口，跳过Listening/Learning阶段直接进入Forwarding04全局启用BPDU保护[Switch]stpbpdu-protection边缘端口收到BPDU立即shutdown，防止非法交换机接入引发拓扑重算05启用根保护[Switch-GE0/0/1]stproot-protection在根桥下行端口启用，收到更优BPDU时临时阻塞端口而非让出根桥角色NNETWORKCONFIGMSTPMSTP多实例负载分担配置Multi-InstanceLoadBalancingConfigurationMSTP通过将VLAN映射到多个生成树实例实现流量负载分担，配置顺序严格：先定义域（region-name+revision-level+instance-vlan映射），再activeregion-configuration激活，最后按实例指定根桥。域名、修订号、映射表三者全网必须完全一致，否则退化为STP互操作模式。01定义MST域标识stpregion-configurationregion-nameENT-NETrevision-level1stpregion-configuration→region-nameENT-NET→revision-level1全网设备必须完全相同02VLAN分组映射到实例instance1vlan10to30instance2vlan31to50instance1vlan10to30→instance2vlan31to50业务VLAN分组映射，实现流量分流03激活域配置activeregion-configurationactiveregion-configuration此命令之前的修改不会生效；修改映射后需重新激活04按实例指定根桥stpinstance1rootprimarystpinstance2rootsecondarystpinstance1rootprimary/stpinstance2rootsecondary不同实例指定不同根桥，实现双向负载分担05验证域配置一致性displaystpregion-configurationdisplaystpregion-configurationConfigurationDigest哈希值必须全网相同才表示域匹配CONFIGURATIONEth-Trunk链路聚合配置代码Eth-Trunk链路聚合通过捆绑多条物理链路提升带宽和可靠性，推荐LACP动态协商模式以实现自动故障检测与成员管理。配置时需确保两端LACP模式一致、成员端口参数完全相同，并选择合适的负载分担算法避免流量不均。eth-trunk-config.txt#创建Eth-Trunk并配置LACP模式<SW-Core>

system-view[SW-Core]

interfaceEth-Trunk1[SW-Core-Eth-Trunk1]

modelacp-static[SW-Core-Eth-Trunk1]

load-balancedst-ip[SW-Core-Eth-Trunk1]

trunkportGigabitEthernet0/0/1to0/0/4[SW-Core-Eth-Trunk1]

portlink-typetrunk[SW-Core-Eth-Trunk1]

quit#设置LACP优先级（值越小越优先）[SW-Core]

lacppriority

100#验证聚合状态与流量分布[SW-Core]

displayeth-trunk1LACP模式一致性两端Eth-Trunk编号可不同，但LACP模式必须一致，否则无法协商Up。推荐使用lacp-static动态协商模式。成员端口参数统一所有成员端口的速率、双工模式、VLAN配置必须完全相同，否则端口无法加入聚合组或导致流量异常。负载分担算法选择建议选dst-ip或src-dst-ip；仅用src-mac会导致哈希不均，部分链路过载而其他链路空闲。状态验证与监控用displayeth-trunk实时查看成员端口Up/Down状态与流量分布，确认各链路负载均衡。NNETWORKCOURSECONFIGURATIONVRRPVRRP网关冗余配置代码GatewayRedundancyConfigurationVRRP通过主备网关冗余保障终端业务的连续性，配置要点包括优先级差异化设定、抢占模式开启、上行链路跟踪联动。Master设备优先级须显著高于Backup，并配置track接口实现上行故障时自动降级切换。Master设备配置要点PRIMARY·PRIORITY200interfaceVlanif10[R1-Vlanif10]

vrrpvrid1virtual-ip54虚拟网关IP：设定54为终端统一默认网关，主备切换对终端完全透明priority&preempt[R1-Vlanif10]

vrrpvrid1priority200[R1-Vlanif10]

vrrpvrid1preempt-modetimerdelay20延迟抢占：高优先级确保Master身份，延迟20秒抢占避免链路抖动时频繁切换Backup设备与链路跟踪STANDBY·PRIORITY100interfaceVlanif10[R2-Vlanif10]

vrrpvrid1priority100低优先级备用：正常情况不转发流量，仅监听Master的VRRP通告报文，Master超时后接管trackinterface[R1]

track

1interfaceGigabitEthernet0/0/1[R1-Vlanif10]

vrrpvrid1track1reduced120上行联动：监控上行口状态，Down时优先级降低120（200→80），自动触发主备切换保障业务连续03Chapter03三层路由协议代码OSPF多区域·BGP路由反射器·策略路由SECTIONDIVIDERCONFIGURATIONOSPF多区域配置核心代码骨干区域连续·通配符掩码·路由汇总·虚链路穿越OSPF多区域配置遵循骨干区域连续、非骨干直连Area0的设计原则。配置关键在于正确的通配符掩码书写、合理的区域边界划分、silent-interface抑制终端网段Hello开销，以及ABR上的区域间路由汇总。邻居状态达到Full才表示LSDB同步完成，displayospfpeerbrief是首要验证手段。OSPF进程与区域宣告ospf1router-id创建进程并手动指定RouterID，避免接口IP变化导致RID不稳定area0→network55在骨干区域宣告管理网段，通配符掩码注意是反掩码优化与控制配置silent-interfaceVlanif10抑制终端VLAN的Hello报文发送，减少不必要的邻居发现和协议开销abr-summary在ABR上汇总区域间路由，将多条明细路由合并为一条汇总LSA认证与虚链路area0authentication-modemd5启用MD5认证，防止非法设备注入虚假路由信息area1virtual-link当非骨干区域无法直连Area0时，通过虚链路穿越过渡区域建立逻辑连接OSPFAdvancedOSPF高级特性与调优代码路由引入·开销调整·BFD联动·特殊区域OSPF高级配置涵盖路由引入、接口开销调整、BFD快速检测和特殊区域设定四个维度。import-route可将静态/直连路由注入OSPF域；ospfcost手动干预选路偏好；BFD联动将故障感知从秒级提升至毫秒级；stub/nssa区域精简末梢设备路由表。这些调优手段是企业网OSPF从"能用"到"好用"的关键进阶。01import-routestaticcost10type1将静态默认路由引入OSPF，type1使外部路由开销累加内部路径成本02interfaceGE0/0/1→ospfcost10手动降低高速链路开销，确保流量优先经过万兆骨干而非千兆备份链路03ospfbfdenable全局或接口级启用BFD联动，链路故障时BFD在毫秒内通知OSPF触发SPF重算04area2stubno-summary将末梢区域设为完全Stub，ABR仅下发一条默认路由，大幅减少区域内设备路由表条目05default-route-advertisealways在ASBR上强制下发默认路由，即使本机没有活跃默认路由也向OSPF域内通告CONFIGURATIONPAGE17BGP路由反射器配置代码RouteReflector·IBGPScalabilitySolutionBGP路由反射器通过RR-Client架构消除IBGP全连接的会话爆炸问题，RR在客户机之间反射路由信息而客户机无需互建邻居。配置需注意集群ID一致性、客户机间反射控制和RR转发表卸载三个关键点。bgp65001→ipv4-familyunicast→peerreflect-client将指定对等体设为RR的客户机reflectorcluster-id多RR冗余部署时配置相同集群ID，防止路由反射环路undoreflectbetween-clients客户机已全连接时关闭客户机间反射，减少冗余路由更新routing-tablerib-only禁止BGP路由写入IP转发表，让RR专注路由传递不承担转发reflectchange-path-attribute允许RR修改路由属性用于流量工程，需谨慎防环RR-ClientTopologyRRCluster-1ClientClientClientreflectreflectbgp_rr_config.txt#BGPRouteReflectorConfigurationbgp

65001ipv4-familyunicast#设置对等体为RR客户机peer

reflect-clientpeer

reflect-clientpeer

reflect-client#多RR冗余时配置集群IDreflectorcluster-id#客户机已全连接时关闭反射undoreflectbetween-clients#RR专注路由传递，不写转发表routing-tablerib-onlyPBRCONFIGURATIONNETWORK·POLICYROUTING策略路由PBR配置代码ACL匹配→Route-Policy定义动作→接口入方向应用策略路由PBR突破目的地址选路的限制，按源地址、协议、端口等条件自定义转发路径，适用于多出口分流、业务链路保障等场景。PBR优先级高于常规路由表，配置前须充分测试避免流量黑洞。01定义ACL匹配条件acl3001acl3001→rulepermitipsource55匹配研发部网段流量，作为策略路由的筛选依据02创建Route-Policy策略route-policyroute-policyPBR-RDpermitnode10→if-matchacl3001→applyip-addressnext-hop将ACL命中的流量指定下一跳地址，实现路径牵引03接口入方向应用策略interfaceinterfaceGE0/0/1→policy-based-routePBR-RD在入接口绑定策略路由，匹配流量按指定路径转发04验证匹配统计displaydisplaypolicy-based-routeresult查看策略路由命中计数，确认匹配结果是否符合预期05移除与排障undoundopolicy-based-route移除策略路由恢复正常选路，排障时优先检查PBR是否残留导致异常04CHAPTER04网络安全策略代码ACLNAT802.1X防火墙策略config>security_policy>acl/nat/dot1x/firewallH计算机网络CONFIGURATIONACL访问控制列表配置代码AccessControlList·流量过滤与安全策略的核心载体ACL分为基本ACL（匹配源地址）和高级ACL（匹配五元组），是企业网流量过滤与访问控制的基础工具。配置遵循最小权限、就近部署、命名规范三原则，应用时须注意inbound/outbound方向区分。基本ACL与高级ACLacl2001rulepermitsource55基本ACL仅匹配源地址，用于简单流量过滤acl3001rulepermittcpsrc55dst-porteq80高级ACL匹配五元组，可精细控制协议与端口接口应用与方向interfaceGE0/0/1traffic-filterinboundacl3001在入方向应用ACL，过滤进入该接口的流量inboundoutbound方向选择原则：过滤外来攻击用inbound，限制本机发出流量用outbound，方向错误则策略无效命名ACL与时段控制aclnameRD-WEB-ACCESSadvanced创建命名ACL，比数字编号更易维护和审计time-rangeWORK-HOUR08:00to18:00working-day→rulepermit...time-range结合时段控制实现上班时间访问策略最小权限—只放行必要流量，末尾隐含denyany就近部署—过滤非法流量尽量靠近源端命名规范—描述性名称代替数字编号便于维护CONFIGURATIONNETWORK·NATNAT地址转换配置代码EasyIP·NATServer·静态映射—三种企业网常用模式NAT解决私网地址访问公网和内网服务对外发布两大需求。EasyIP利用出接口IP做动态源NAT，适合动态公网场景；NATServer实现端口级目的NAT，将公网端口映射到内网服务器；静态NAT提供一对一固定映射。ACL匹配精度直接影响NAT效果，displaynatsessiontable是验证和排障的核心命令。01EasyIP源NATACL匹配内网流量acl3000acl3000rulepermitipsource55rulepermitipsource55匹配所有内网流量，ACL范围需精确出接口应用EasyIPinterfaceGE0/0/0interfaceGE0/0/0natoutbound3000natoutbound3000自动使用接口IP做地址转换，适合PPPoE等动态IP场景02NATServer发布服务端口映射到内网服务器natserverprotocoltcpnatserverprotocoltcpglobalcurrent-interface8080globalcurrent-interface8080inside0080inside0080公网8080端口映射到内网Web服务器80端口灵活配置选项globalcurrent-interface支持多端口映射和UDP协议，global可指定具体公网IP而非current-interface，适用于多公网IP出口场景03静态NAT与验证一对一静态映射natstaticglobal0natstaticglobal0inside00inside00内外网双向可达，适用于需固定IP访问的服务器会话验证与排障displaynatsessiontableverbosedisplaynatsessiontableverbose查看NAT会话详情，确认转换方向和地址是否正确NNetworkSecurityCONFIGURATION802.1X终端准入认证配置802.1X配合RADIUS实现企业网终端的身份认证与动态授权，配置流程涵盖RADIUS模板、AAA方案、认证域、接口使能四个核心环节。认证成功后可由RADIUS动态下发VLAN和ACL，实现基于身份的差异化网络访问控制。免认证规则用于放行CAPWAP等管理协议，避免认证流程阻断设备自身通信。01RADIUS服务器模板—指定认证服务器地址、端口与共享密钥radius-servertemplaterd1radius-serverauthentication01812shared-keycipherXXX02AAA认证方案—创建认证方案并指定RADIUS为认证方式aaaauthentication-schemeauth1authentication-moderadius03认证域—创建认证域，关联AAA方案与RADIUS服务器模板domainisp1authentication-schemeauth1radius-serverrd104接口使能—创建认证模板并在接入接口下应用802.1Xdot1x-access-profiled1authentication-profilep1dot1x-access-profiled105免认证规则—放行管理VLAN的CAPWAP隧道报文，避免阻断设备通信free-rule-templatefrtfree-rule1sourcevlan100H网络安全课件FIREWALLPOLICYCONFIGURATION防火墙安全策略配置代码防火墙安全策略基于区域模型，所有跨区流量须经策略检查。配置核心是安全区域划分、策略规则定义和对象化引用。策略按序匹配、首条命中即执行，精确规则前置、兜底denyany后置。VRPCLI—security-policy.cfg#①安全区域划分firewallzonetrustaddinterfaceGigabitEthernet1/0/1firewallzoneuntrustaddinterfaceGigabitEthernet1/0/2#②创建地址与服务对象ipaddress-setInternal-Serverstypeobjectaddress000mask32service-setWeb-Servicestypeobjectservice0protocoltcpdestination-port80443#③创建跨区域安全策略security-policyrulenameTrust-to-Untrustsource-zonetrustdestination-zoneuntrustsource-addressaddress-setInternal-ServersserviceWeb-ServicesactionpermitrulenameDeny-Allsource-zoneanydestination-zoneanyactiondeny区域化安全边界将接口划入Trust/Untrust/DMZ区域，所有跨区流量强制经过策略检查，实现最小权限访问控制。对象化引用用地址对象和服务对象替代硬编码IP与端口，策略可读性大幅提升，批量修改时只需更新对象定义。有序匹配策略策略从上到下逐条匹配、首条命中即执行。精确规则前置，宽泛规则后置，末条denyany兜底。命中统计与清理通过displaysecurity-policyhit-count审查策略命中次数，长期零命中策略应识别为历史遗留并及时清理。05CHAPTER05基础服务部署代码DHCP服务器与中继·DNS解析服务CONFIGURATIONNETWORK·DHCPDHCP服务器地址池配置代码全局地址池vs接口地址池·两种部署模式完整对比DHCP服务器提供全局地址池和接口地址池两种部署模式。全局地址池适合集中管理多网段，需手动指定网关和网络范围；接口地址池绑定物理接口，自动继承接口IP为网关，配置更简便。excluded-ip-address排除固定设备IP、dns-list指定解析服务器、lease设置合理租期是三大必配项。displayippool实时监控地址利用率，预防地址耗尽风险。全局地址池配置GLOBALIPPOOL#启用DHCP并创建全局地址池<Huawei>system-view[Huawei]dhcpenable[Huawei]ippoolvlan10[Huawei-ip-pool-vlan10]networkmask24[Huawei-ip-pool-vlan10]gateway-list54[Huawei-ip-pool-vlan10]dns-list14[Huawei-ip-pool-vlan10]excluded-ip-address0[Huawei-ip-pool-vlan10]leaseday0hour8dhcpenable→ippoolvlan10→networkmask24创建全局地址池并指定网段范围gateway-list→dns-list→excluded-ip-address配置网关、DNS和排除地址接口地址池与中继INTERFACEPOOL&RELAY#接口地址池（自动继承接口IP为网关）[Huawei]interfaceVlanif10[Huawei-Vlanif10]dhcpselectinterface[Huawei-Vlanif10]dhcpserverdns-list14[Huawei-Vlanif10]dhcpserverexcluded-ip-address#DHCP中继（跨网段转发请求）[Huawei-Vlanif10]dhcpselectrelay[Huawei-Vlanif10]dhcprelayserver-ip0dhcpselectinterface启用接口地址池，自动以Vlanif10IP为网关分配地址dhcpselectrelay→dhcprelayserver-ip在中继设备上指定DHCP服务器地址，跨网段转发请求运维提示：配置完成后执行displayippool查看地址池使用率和已分配记录；移动终端多的场景建议leaseday0hour8短租期加快地址回收。CONFIGURATIONDHCP·SECURITYDHCP中继与Snooping安全配置DHCP中继解决跨网段地址分配问题，在汇聚层设备上将终端请求转发至集中DHCP服务器。DHCPSnooping通过信任/非信任端口机制防御私接DHCP服务器的地址欺骗攻击，两者配合构成企业网DHCP服务的完整安全体系。DHCPRelay配置//在汇聚层Vlanif接口启用中继interfaceVlanif20dhcpselectrelaydhcprelayserver-ip0//备用服务器（冗余）dhcprelayserver-ip1DHCPSnooping配置//全局启用Snoopingdhcpsnoopingenable//信任端口：连接合法DHCP服务器的上行口interfaceGE0/0/24dhcpsnoopingtrusted//验证：查看端口报文统计displaydhcpsnoopingstatistics01启用DHCP中继dhcpselectrelay在汇聚层Vlanif接口启用dhcpselectrelay，将终端Discover报文封装后单播转发至指定DHCP服务器。02服务器冗余配置server-ip可配置多个server-ip实现主备冗余，主服务器不可达时自动切换至备用地址。03全局开启Snoopingdhcpsnoopingenable执行dhcpsnoopingenable后，所有端口默认为非信任状态，自动丢弃非法DHCPOffer报文。04配置信任端口trusted将连接合法DHCP服务器的上行口设为trusted，确保合法Offer报文正常通过。安全验证与监控displaydhcpsnoopingstatistics通过displaydhcpsnoopingstatistics查看各端口报文计数，非信任端口出现Offer计数即表明有非法服务器接入。DNSCONFIGURATIONDNS解析服务部署代码LinuxBIND·华为设备内置DNS·DHCP联动配置企业网DNS服务可选择LinuxBIND全功能部署或网络设备内置轻量部署。BIND支持正反向解析、区域传送和动态更新，是大型企业的标准选择；设备内置DNS配置简便但功能受限，适合小型场景。无论哪种方式，都须在DHCP地址池中正确指定DNS服务器地址，确保终端能解析内部域名。LinuxBIND正向解析全功能DNS服务，支持正反向解析与区域传送，大型企业标准选择named.conf·主区域定义zone

'corp.local'

IN{typemaster;file

'corp.local.zone';};在named.conf中定义主区域corp.local.zone·A记录wwwINA00mailINA00在区域文件中添加A记录映射内部服务域名设备内置DNS与客户端配置配置简便但功能受限，适合小型网络或应急场景的轻量部署华为设备·静态DNS记录dnsserverenablednsresolvehost00在华为设备上配置静态DNS记录DHCP地址池·DNS指向ippoolvlan10dns-list014在DHCP地址池中指定首选内部DNS和备用公网DNS06AC/APWLANRFTUNINGCHAPTER06WirelessNetworkIntegration无线网络融合代码AC/AP配置·WLAN业务模板·射频调优WLANCONFIGURATIONAC控制器与AP上线注册配置CAPWAPSource·APAuth·APRegistrationAP上线注册依赖CAPWAP隧道的正确建立。配置三要素：CAPWAP源接口指定AC管理地址、AP认证模式确定验证方式、AP预注册将设备纳入管理组。源接口路由可达与MAC地址准确匹配是成功上线的两个前提。01capwapsourceinterfaceVlanif100指定CAPWAP隧道源接口—AP通过此IP地址发现并注册AC，通常设为管理VLANIF接口02wlan>ap