08-安全配置指导

00-前言

前言

H3C S5500-SI/EI系列以太网交换机配置指导共分为十本手册，介绍了S5500-SI&S5500-EI系列以太网交换机各软件特性的原理及其配置方法，包含原理简介、配置任务描述和配置举例。《安全配置指导》主要介绍了各种安全业务特性的原理及配置方法，包括AAA、802.1X、MAC地址认证、Portal认证等接入认证特性，以及IP Source Guard、ARP攻击防御等安全防御特性。

前言部分包含如下内容：

读者对象

本手册主要适用于如下工程师：

l 网络规划人员

l 现场技术支持与维护人员

l 负责网络配置和维护的网络管理员

新增及修改特性说明

本手册对应S5500-SI&S5500-EI系列以太网交换机的Release2208软件版本，该版本与Release2202版本相比，新增了大量特性，具体请参见下表。

配置指导	新增及修改特性
AAA	新增特性： l AAA支持VPN多实例功能（仅S5500-EI支持） l AAA支持级别切换认证功能 l RADIUS支持多备份服务器功能 l RADIUS支持IPv6功能 l 配置accounting-on功能 l 开启RADIUS Attribute 25的CAR参数解析功能 l 配置设备作为RADIUS服务器功能
802.1X	新增特性： l 802.1X支持Auth-Fail VLAN功能 l 802.1单播触发功能
MAC地址认证	新增特性： l 配置端口接入的MAC地址认证用户最大数功能 l 二层以太网端口视图下，配置MAC地址认证用户使用的认证域 l MAC地址认证的用户名字母大小写可配功能
Portal	新增特性： l 二层Portal认证功能 l Portal支持双机热备功能（仅S5500-EI支持） l Portal探测功能 l Portal支持VPN多实例功能（仅S5500-EI支持） l 配置允许同时在线的最大Portal用户数功能 l 配置Portal用户认证端口的自动迁移功能 l 配置Portal认证的Auth-Fail VLAN功能 l 配置接口发送RADIUS报文的相关属性功能（仅S5500-EI支持） l 配置允许触发Portal认证的Web代理服务器端口功能 l 指定Portal用户认证成功后认证页面的自动跳转目的网站地址功能
Triple认证	Triple认证为本版本新增特性
端口安全	新增特性：支持Sticky MAC老化时间可配功能
User Profile	无
Password Control	Password Control为本版本新增特性
HABP	新增特性：配置HABP客户端所属VLAN功能
公钥管理	无
PKI	无
IPsec	IPsec为本版本新增特性
SSH2.0	新增特性：SSH连接和管理支持VPN多实例功能（仅S5500-EI支持）
SSL	新增特性：配置基于证书的SSL服务器身份验证功能
TCP攻击防御	TCP攻击防御为本版本新增特性
IP Source Guard	新增特性： l 配置全局静态绑定功能 l 配置IP Source Guard全局静态绑定例外端口功能 l IP Source Guard支持IPv6地址功能 l 三层以太网接口支持IP Source Guard动态绑定功能（仅S5500-EI支持）
ARP攻击防御	新增特性： l ARP自动扫描、固化功能 l ARP网关保护功能 l ARP过滤保护功能 l ARP报文强制转发功能修改特性： l ARP报文限速功能 l ARP攻击防御
ND攻击防御	ND攻击防御为本版本新增特性
URPF（仅S5500-EI支持）	无

本书约定

1.命令行格式约定

格式	意义
粗体	命令行关键字（命令中保持不变、必须照输的部分）采用加粗字体表示。
斜体	命令行参数（命令中必须由实际值进行替代的部分）采用斜体表示。
[ ]	表示用“[ ]”括起来的部分在命令配置时是可选的。
{ x \| y \| ... }	表示从两个或多个选项中选取一个。
[ x \| y \| ... ]	表示从两个或多个选项中选取一个或者不选。
{ x \| y \| ... } *	表示从两个或多个选项中选取多个，最少选取一个，最多选取所有选项。
[ x \| y \| ... ] *	表示从两个或多个选项中选取多个或者不选。
&<1-n>	表示符号&前面的参数可以重复输入1～n次。
#	由“#”号开始的行表示为注释行。

2.图形界面格式约定

格式	意义
< >	带尖括号“< >”表示按钮名，如“单击<确定>按钮”。
[ ]	带方括号“[ ]”表示窗口名、菜单名和数据表，如“弹出[新建用户]窗口”。
/	多级菜单用“/”隔开。如[文件/新建/文件夹]多级菜单表示[文件]菜单下的[新建]子菜单下的[文件夹]菜单项。

3.各类标志

本书还采用各种醒目标志来表示在操作过程中应该特别注意的地方，这些标志的意义如下：

	该标志后的注释需给予格外关注，不当的操作可能会对人身造成伤害。
	提醒操作中应注意的事项，不当的操作可能会导致数据丢失或者设备损坏。
	为确保设备配置成功或者正常工作而需要特别关注的操作或信息。
	对操作内容的描述进行必要的补充和说明。
	配置、操作、或使用设备的技巧、小窍门。

4.图标约定

本书使用的图标及其含义如下：

	该图标及其相关描述文字代表一般网络设备，如路由器、交换机、防火墙等。
	该图标及其相关描述文字代表一般意义下的路由器，以及其他运行了路由协议的设备。
	该图标及其相关描述文字代表二、三层以太网交换机，以及运行了二层协议的设备。

产品配套资料

H3C S5500-SI/EI以太网交换机的配套资料包括如下部分：

大类	资料名称	内容介绍
大类	资料名称	内容介绍
产品知识介绍	产品彩页	帮助您了解产品的主要规格参数及亮点
	技术白皮书	帮助您了解产品和特性功能，对于特色及复杂技术从细节上进行介绍
	PSR150-A[PSR150-D]电源手册	帮助您了解产品支持的150W可插拔电源模块的外观、功能、规格、安装及拆卸方法
	RPS电源用户手册	帮助您了解产品支持的RPS电源的外观、功能、规格
	H3C低端系列以太网交换机 RPS电源选购指南	帮助您了解各种RPS电源适用的交换机产品型号及RPS电源配套电缆的相关规格
	H3C低端系列以太网交换机可插拔模块手册	帮助您了解产品支持的可插拔模块类型、外观和规格
	接口模块扩展卡用户手册	帮助您了解该接口模块扩展卡的外观、规格
设备安装	安全兼容性手册	列出产品的兼容性声明，并对兼容性和安全的细节进行说明
	H3C 设备防雷安装指导手册	帮助您了解防雷接地设计和工程安装方法，以保证交换机具有良好的抗雷击性能
	快速入门	指导您对设备进行初始安装，通常针对最常用的情况，减少您的检索时间
	安装指导	帮助您详细了解设备硬件规格和安装方法，指导您对设备进行安装
	H3C可插拔SFP[SFP+][XFP]模块安装指南	帮助您掌握SFP/SFP+/XFP模块的正确安装方法，避免因操作不当而造成器件损坏
	接口模块扩展卡用户手册	帮助您了解该接口模块扩展卡的安装方法
业务配置	配置指导	帮助您掌握设备软件功能的配置方法及配置步骤
业务配置	命令参考	详细介绍设备的命令，相当于命令字典，方便您查阅各个命令的功能
运行维护	H3C系列以太网交换机登录密码恢复手册	指导您在设备登录密码丢失的情况下，找回密码、或重新配置登录密码
	故障处理手册	指导您快速定位并处理软件故障
	版本说明书	帮助您了解产品版本的相关信息（包括：版本配套说明、兼容性说明、特性变更说明、技术支持信息）及软件升级方法