Release 6315及以上版本，设备Vlan-interface 1接口出厂缺省配置为通过DHCP方式自动获取IP地址，同时为该接口分配了默认管理IP地址192.168.0.233。仅当设备未获取到动态IP地址或获取到的动态地址失效时，Vlan-interface 1接口的默认管理IP地址才是可用的。

采用缺省登录信息Web登录设备的步骤如下：

(1) 连接设备和PC

用以太网线将PC和设备上的以太网口（缺省情况下，所有端口均属于VLAN 1）相连。

(2) 为PC配置IP地址，保证其能与设备互通

通过查看设备标签的方式获取设备当前的IP地址。将PC的IP地址设置为与设备IP地址在同一个网段。

(3) 启动浏览器

在PC上启动浏览器，在地址栏中输入设备地址，然后回车，进入设备的Web登录页面。通过HTTP方式访问Web时，输入的设备地址格式为“http://ip-address:80”（“http://”可以省略）；通过HTTPS方式访问Web时，输入的设备地址格式为“https://ip-address:443”。其中，ip-address为设备的IP地址；80和443分别为HTTP服务和HTTPS服务的缺省端口号，可以省略。

(4) 输入登录信息

在登录页面中输入用户名admin、密码admin和验证码，单击<登录>按钮即可登录Web。

(5) 修改登录信息

登录设备后，可以进入“网络 > IP > IP”页面修改设备的IP地址，通过点击页面左上角的“”按钮修改用户admin的密码，以提高安全性；还可以进入“设备 > 维护 > 管理员”页面创建新的用户，以方便对设备进行管理。

同时通过Web登录设备的最大用户数为32。

1.3 退出Web

为保证设备的安全性，用户在Web上完成操作后应及时退出登录。

在Web页面上单击左上角的<退出>按钮，即可退出Web。

需要注意的是：

· 退出Web时，系统不会自动保存当前配置。因此，建议用户在退出Web前先点击页面左上方的“”按钮，或进入“设备 > 维护 > 配置文件”页面保存当前配置。

· 直接关闭浏览器不能使用户退出Web。

2 如何使用Web

2.1 Web页面布局介绍

图2-1 Web页面布局

（1）标识和辅助区	（2）导航栏
（3）执行区

如上图所示，Web页面有以下几个功能区域：

· 标识和辅助区：该区域用来显示公司Logo、设备名称、当前登录用户信息，并提供语言切换、更改登录用户密码、保存当前配置、退出登录功能。点击“”可以切换语言、更改登录用户密码；点击“”可以保存当前配置；点击“”可以退出登录。

· 导航栏：以树的形式组织设备的Web功能菜单。用户在导航栏中可以方便的选择功能菜单，选择结果显示在执行区中。

· 执行区：进行配置操作、信息查看、操作结果显示的区域。

2.2 Web页面分类

根据执行区内容的不同，Web页面分为特性页面、表项显示页面和配置页面三种。

2.2.1 特性页面

如图2-2所示，特性页面显示了该特性包含的表项的统计信息、该特性支持的主要功能等。

图2-2 特性页面示意图

2.2.2 表项显示页面

如图2-3所示，表项显示页面用来显示表项的具体信息。点击标题项（如“MAC地址”），可以根据该标题项对表项信息进行升序或降序排列。

图2-3 表项显示页面示意图

2.2.3 配置页面

如图2-4所示，配置页面用来完成某项配置任务，如添加、修改一条表项。某项配置任务需要的所有配置均可在该页面上完成，不需要在页面之间跳转，以方便用户使用。如图2-4所示，在配置包过滤策略时需要创建并关联ACL，在包过滤策略的配置页面上点击“”即可创建ACL，无需跳转到ACL的配置页面。

图2-4 配置页面示意图

2.3 Web常用按钮和图标

Web页面上常用的按钮、图标及其功能，如表2-1所示。

表2-1 Web常用按钮和图标

按钮和图标	功能说明
	用于查看特性的联机帮助信息
	用于查看某个功能或参数的在线帮助信息
	点击该图标，可以进入下一级页面进行配置或查看当前配置信息
	表项的统计计数
	显示功能当前的开启/关闭状态，点击该按钮可以修改开启/关闭状态
	用于刷新表项内容
	· 表项显示页面上，用于添加一条表项 · 配置页面上，具有如下功能： ¡ 用于对当前表项的添加进行确认，并新增一条表项 ¡ 添加一个ACL或策略等，以避免配置过程中在页面之间进行跳转
	在文本框中输入查询关键字，点击该按钮对表项进行简单查询
	高级查询按钮，点击该按钮后可以输入多个条件对表项进行组合条件查询
	表项显示页面上，将鼠标放在某一条表项上，将在表项的最右端显示该图标该图标用于显示当前表项的详情。进入详情页面后，可以对该表项进行修改
	表项显示页面上，将鼠标放在某一条表项上，将在表项的最右端显示该图标该图标用于删除当前表项
	表项显示页面上，选中一条或多条表项后，将在页面的最下端显示该图标该图标用于删除被选中的一条或多条表项
	用于选择显示表项中的哪些标题项
	用于进入配置页面

2.4 Web常用操作

Web页面上常用的操作包括保存当前配置、显示表项详情、重启设备等。

2.4.1 保存当前配置

对设备执行配置操作后，建议及时保存当前配置，以免配置丢失。保存当前配置的方法有以下两种：

· 点击页面左上方标识和辅助区内的“”按钮保存配置。

· 进入“设备 > 维护 > 配置文件”页面，保存配置。

2.4.2 显示表项详情或修改表项设置

在表项显示页面上，将鼠标放在某一条表项上，将在表项的最右端显示详情图标“”。点击该图标进入详情页面后，不仅可以显示表项的详细信息，还可以对该表项进行修改。

2.4.3 重启设备

执行某些操作（如配置IRF）后，需要重启设备才能使配置生效。重启设备的方法为：进入“设备 > 维护 > 重启”页面，点击重启设备按钮。

在重启设备前，建议先保存当前配置，以免配置丢失。

3 Web页面导航

3.1 简介

用户登录Web后，能够看到的页面导航内容、能够执行的操作与该用户的用户角色有关。所有配置操作的缺省用户角色要求为network-admin。查看操作的缺省用户角色为所有角色。

用户角色为network-admin的用户登录后，Web页面导航栏上的一级菜单包括概览、设备、网络、资源、QoS、安全、PoE、SmartMC和日志。点击一级菜单，会展开子菜单，子菜单由分类和特性名称组成。依次点击“一级菜单—>特性名称”可以进入相应的Web页面对该特性进行配置。

仅S5000V3-EI系列交换机支持SmartMC功能，且仅支持作为SmartMC网络中的成员设备。

3.2 一级菜单包含的特性及其支持的功能

3.2.1 概览

显示系统日志、当前的CPU和内存利用率以及设备的序列号、硬件版本等系统信息。

3.2.2 设备

设备菜单包含的特性及其支持的功能如表3-1所示。

表3-1 设备菜单包含的特性及其支持的功能

分类	特性名称	功能
维护	系统设置	· 设置设备的信息，包括名称、位置和联系方式 · 查看和配置系统时间，包括手工指定和通过协议同步网络时间
	管理员	· 创建、修改、删除角色 · 创建、修改、删除管理员，并指定管理员对应的角色，以控制管理员的访问权限 · 管理密码
	配置文件	· 保存当前配置 · 导入/导出配置 · 查看当前配置 · 将设备恢复到出厂配置
	文件系统	· 查看存储介质的基本信息 · 查看文件/文件夹的基本信息 · 删除文件 · 上传/下载文件
	软件更新	· 升级系统软件 · 查看系统软件列表，包括设备本地启动使用的软件列表、下次启动将使用的主用软件列表和备用软件列表
	诊断	收集诊断信息，用于定位问题
	重启	重启设备
	关于	显示设备的基本信息，比如：设备名称、序列号、版本信息、电子标签、法律声明等
虚拟化	IRF	· 组建IRF，包括配置设备的成员编号、优先级、域编号、绑定IRF端口、激活IRF端口配置等 · 查看IRF的拓扑信息

3.2.3 网络

网络菜单包含的特性及其支持的功能如表3-2所示。

表3-2 网络菜单包含的特性及其支持的功能

分类	特性名称	功能
探测工具	Ping	· 测试IPv4网络中某主机的连通性 · 测试IPv6网络中某主机的连通性
探测工具	Tracert	· IPv4 Tracert · IPv6 Tracert
接口	接口	· 查看设备支持的接口列表以及接口的主要属性（链路状态、IP地址、速率、双工模式、描述） · 删除逻辑接口、创建子接口、启用/禁用接口等
	链路聚合	· 创建、修改、删除二层聚合组 · 配置全局聚合负载分担类型
	风暴抑制	· 设置流量统计时间间隔 · 设置流量控制参数 · 显示接口流量控制信息
	端口隔离	· 创建、修改隔离组
链路	VLAN	· 基于端口划分VLAN · 创建VLAN接口
	MAC	· 创建和删除静态MAC地址表项、动态MAC地址表项和黑洞MAC地址表项 · 显示已有的MAC地址表项
	STP	· 全局和接口开启/关闭STP功能 · 配置STP、RSTP、PVST和MSTP工作模式 · 配置实例优先级 · 配置多生成树域
	LLDP	· 开启/关闭LLDP功能 · 修改LLDP代理和桥模式 · 修改接口工作模式 · 配置LLDP发送的TLV类型
	DHCP Snooping	· 配置端口为信任或非信任端口 · 配置DHCP Snooping表项记录功能和表项备份机制 · DHCP Snooping端口设置，包括MAC地址检查、请求方向报文检查、接受DHCP报文限速和DHCP Snooping表项最大学习数 · 配置接口是否开启 Option 82功能。若开启该功能，则可以配置Option 82的处理方式，填充模式和填充内容
IP	IP	· 配置接口IP地址获取方式（DHCP或者手工配置） · 修改接口的IP地址和MTU值 · 创建LoopBack接口
	ARP	· 管理静态、动态ARP表项 · 配置ARP代理 · 配置免费ARP · 配置ARP攻击防御
	DNS	· 配置静态、动态域名解析 · 配置DNS代理 · 配置域名后缀
IPv6	IPv6	· 配置接口IPv6地址获取方式（手工指定、自动获取或自动生成） · 修改接口的IPv6地址 · 配置接口的MTU值 · 创建Loopback接口
	ND	· 管理静态、动态ND表项 · 配置STALE状态ND表项老化时间 · 配置链路本地ND表项资源占用最小化 · 配置跳数限制 · 配置RA前缀，包括前缀及长度，有效生命期和首选生命期等 · 配置接口的RA规则，包括是否抑制RA报文，RA报文最大和最小发布间隔，是否携带MTU选项，是否指定跳数限制，是否设置被管理地址标志位，是否设置其他信息标志位，路由器生存时间，邻居请求重传间隔，路由器优先级和保持邻居可达时间 · 在接口上开启普通ND代理和本地ND代理 · 设置接口的ND规则，包括动态表项数量限制和重复地址检测请求次数
	DNS	· 配置静态、动态IPv6域名解析 · 配置IPv6 DNS代理 · 配置IPv6域名后缀
镜像	端口镜像	· 配置本地镜像组 · 配置远程镜像组
路由	路由表	查看IPv4和IPv6路由表项，包括路由表的概要信息和统计信息
	静态路由	· 查看IPv4和IPv6静态路由表项 · 创建、修改和删除IPv4、IPv6静态路由表项
	策略路由	· 创建、修改、删除IPv4策略路由和IPv6策略路由 · 对接口转发的报文应用策略 · 对本地发送的报文应用策略
组播	IGMP Snooping	· 配置丢弃未知组播数据报文功能 · 配置IGMP查询器相关功能 · 配置端口快速离开功能 · 限制端口加入的组播组数量
组播	MLD Snooping	· 配置丢弃未知IPv6组播数据报文功能 · 配置MLD查询器相关功能 · 配置端口快速离开功能 · 限制端口加入的IPv6组播组数量
服务	HTTP/HTTPS	· 启用/禁用设备HTTP/HTTPS登录功能 · 配置登录用户连接的空闲超时时间 · 配置HTTP/HTTPS的服务端口号 · 使用ACL过滤登录用户
	SSH	· 开启Stelnet、SFTP、SCP服务器功能 · 配置设备发送的SSH报文的DSCP优先级 · 使用ACL过滤SSH用户 · 配置SFTP用户连接的空闲超时时间
	FTP	· 开启FTP服务器功能 · 配置设备发送的FTP报文的DSCP优先级 · 使用ACL过滤FTP用户 · 配置FTP连接的空闲超时时间 · 配置FTP服务与SSL服务器端策略关联
	Telnet	· 启用/禁用设备Telnet登录功能 · 配置IPv4/IPv6 Telnet报文的DSCP优先级 · 使用ACL过滤登录用户
	NTP	配置本地时钟作为参考时钟
	SNMP	· 开启SNMP功能 · 配置SNMP版本、团体名、组、用户等参数 · 开启Trap发送功能及配置相关参数

3.2.4 资源

资源菜单包含的特性及其支持的功能如表3-3所示。

表3-3 资源菜单包含的特性及其支持的功能

分类	特性名称	功能
ACL	IPv4	· 创建基本或高级IPv4 ACL、基本或高级IPv6 ACL和二层ACL · 修改、删除在本页面和其他业务模块（如包过滤）页面创建的ACL
	IPv6
	二层
时间段	时间段	创建、修改和删除时间段
SSL	SSL	· 创建、修改和删除SSL服务器端策略 · 创建、修改和删除SSL客户端策略
公钥	公钥	· 管理本地非对称密钥对 · 管理对端主机公钥
PKI	PKI	· 管理CA证书和本地证书 · 创建、修改和删除PKI域、PKI实体
PKI	证书访问控制	· 创建、修改和删除证书访问控制策略 · 创建、修改和删除证书属性组

3.2.5 QoS

QoS菜单包含的特性及其支持的功能如表3-4所示。

表3-4 QoS菜单包含的特性及其支持的功能

分类	特性名称	功能
QoS	QoS策略	创建、修改和删除基于接口的QoS策略、基于VLAN的QoS策略和基于全局的QoS策略
	硬件队列	修改接口硬件队列设置
	优先级映射	· 配置端口优先级和端口优先级信任模式 · 配置优先级映射表，包括应用和重置802.1p优先级到本地优先级映射表、DSCP到802.1p优先级映射表和DSCP到DSCP映射表
	限速	创建、修改和删除接口限速

3.2.6 安全

安全菜单包含的特性及其支持的功能如表3-5所示。

表3-5 安全菜单包含的特性及其支持的功能

分类	特性名称	功能
包过滤	包过滤	· 创建、修改和删除基于接口的包过滤、基于VLAN的包过滤和基于全局的包过滤 · 配置包过滤缺省动作
包过滤	IP Source Guard	静态配置IPv4接口绑定表项
接入	802.1X	· 开启和关闭802.1X功能 · 配置802.1X的认证方法 · 配置端口接入控制方式 · 配置端口的授权状态
	MAC地址认证	· 开启和关闭MAC地址认证功能 · 配置MAC地址认证的用户认证域 · 配置用户名格式
	端口安全	· 开启和关闭端口安全功能 · 配置端口安全模式 · 配置入侵保护模式 · 配置NTK模式 · 配置安全MAC老化模式
	Portal	· 配置Portal认证服务器 · 配置Portal Web服务器 · 配置本地Portal Web服务器 · 创建免认证规则 · 创建接口策略
认证	ISP域	配置ISP域
	RADIUS	配置RADIUS方案
	TACACS	配置TACACS方案
	本地认证	配置进行本地认证的用户信息

3.2.7 PoE

表3-6 PoE菜单包含的特性及其支持的功能

分类	特性名称	功能
PoE	PoE	· 配置设备的功率告警阈值 · 启用/禁用接口的PoE功能 · 配置接口的最大供电功率、供电优先级及受电设备描述、故障描述信息 · PSE升级

分类

特性名称

功能

PoE

· 配置设备的功率告警阈值

· 启用/禁用接口的PoE功能

· 配置接口的最大供电功率、供电优先级及受电设备描述、故障描述信息

· PSE升级

3.2.8 SmartMC

表3-7 SmartMC菜单包含的特性及其支持的功能

分类	特性名称	功能
SmartMC	配置向导	配置管理设备
智能管理	· 配置设备角色 · 关闭SmartMC功能

分类

特性名称

功能

SmartMC

配置向导

配置管理设备

智能管理

· 配置设备角色

· 关闭SmartMC功能

3.2.9 日志

日志菜单包含的特性及其支持的功能如表3-8所示。

表3-8 日志菜单包含的特性及其支持的功能

分类	特性名称	功能
日志	系统日志	· 查看设备记录的日志信息 · 查询、统计、删除日志信息
设置	· 开启或关闭日志输出到日志缓冲区的功能，并配置日志缓冲区可存储的信息条数 · 配置日志主机的地址（或域名）、端口号

分类

特性名称

功能

日志

系统日志

· 查看设备记录的日志信息

· 查询、统计、删除日志信息

设置

· 开启或关闭日志输出到日志缓冲区的功能，并配置日志缓冲区可存储的信息条数

· 配置日志主机的地址（或域名）、端口号

4 设备功能介绍

4.1 系统设置

系统设置功能用来对设备的名称、位置等信息以及系统时间进行设置。

4.1.1 系统时间

为了便于管理，并保证与其它设备协调工作，设备需要准确的系统时间。

系统时间的获取方式有：

· 手工配置。用户手工指定的时间即为当前的系统时间，不管是否同时修改了时区和夏令时。后续，设备使用内部晶体震荡器产生的时钟信号计时。如果用户没有手工配置系统时间，仅修改了时区或夏令时，设备会使用新时区和夏令时来调整系统时间。

· 自动同步。设备使用协议周期性地同步服务器的UTC（Coordinated Universal Time，国际协调时间）时间，并用同步得到的UTC时间和设备上配置的时区、夏令时参数进行运算，得出当前的系统时间。如果用户修改了时区或夏令时，设备会重新计算系统时间。该方式获取的时间比手工配置的时间更精准，推荐使用。

全球分为24个时区。请将设备的时区配置为当地地理时区。

在执行夏令时制的国家/地区需要配置夏令时。夏令时会相对非夏令时提前1小时，开始时间、结束时间和您所处国家/地区的夏令时要求一致即可。（如果夏令时开始时刻到达时，页面显示的系统时间没有加一，请刷新页面查看效果）

4.1.2 NTP/SNTP简介

NTP（Network Time Protocol，网络时间协议）可以用来在分布式时间服务器和客户端之间进行时间同步，使网络内所有设备的时间保持一致，从而使设备能够提供基于统一时间的多种应用。

SNTP（Simple NTP，简单NTP）采用与NTP相同的报文格式及交互过程，但简化了NTP的时间同步过程，以牺牲时间精度为代价实现了时间的快速同步，并减少了占用的系统资源。在时间精度要求不高的情况下，可以使用SNTP来实现时间同步。

4.1.3 NTP/SNTP时钟源工作模式

NTP支持服务器模式和对等体模式两种时钟源工作模式，如表4-1所示。在服务器模式中，设备只能作为客户端；在对等体模式中，设备只能作为主动对等体。

SNTP只支持服务器模式这一种时钟源工作模式。在该模式中，设备只能作为客户端，从NTP服务器获得时间同步，不能作为服务器为其他设备提供时间同步。

表4-1 NTP时钟源工作模式

模式	工作过程	时间同步方向	应用场合
服务器模式	客户端上需要手工指定NTP服务器的地址。客户端向NTP服务器发送NTP时间同步报文。NTP服务器收到报文后会自动工作在服务器模式，并回复应答报文一个客户端可以配置多个时间服务器，如果客户端从多个时间服务器获取时间同步，则客户端收到应答报文后，进行时钟过滤和选择，并与优选的时钟进行时间同步	客户端能够与NTP服务器的时间同步 NTP服务器无法与客户端的时间同步	该模式通常用于下级的设备从上级的时间服务器获取时间同步
对等体模式	主动对等体（Symmetric active peer）上需要手工指定被动对等体（Symmetric passive peer）的地址。主动对等体向被动对等体发送NTP时间同步报文。被动对等体收到报文后会自动工作在被动对等体模式，并回复应答报文如果主动对等体可以从多个时间服务器获取时间同步，则主动对等体收到应答报文后，进行时钟过滤和选择，并与优选的时钟进行时间同步	主动对等体和被动对等体的时间可以互相同步如果双方的时钟都处于同步状态，则层数大的时钟与层数小的时钟的时间同步	该模式通常用于同级的设备间互相同步，以便在同级的设备间形成备份。如果某台设备与所有上级时间服务器的通信出现故障，则该设备仍然可以从同级的时间服务器获得时间同步

模式

工作过程

时间同步方向

应用场合

服务器模式

客户端上需要手工指定NTP服务器的地址。客户端向NTP服务器发送NTP时间同步报文。NTP服务器收到报文后会自动工作在服务器模式，并回复应答报文

一个客户端可以配置多个时间服务器，如果客户端从多个时间服务器获取时间同步，则客户端收到应答报文后，进行时钟过滤和选择，并与优选的时钟进行时间同步

客户端能够与NTP服务器的时间同步

NTP服务器无法与客户端的时间同步

该模式通常用于下级的设备从上级的时间服务器获取时间同步

对等体模式

主动对等体（Symmetric active peer）上需要手工指定被动对等体（Symmetric passive peer）的地址。主动对等体向被动对等体发送NTP时间同步报文。被动对等体收到报文后会自动工作在被动对等体模式，并回复应答报文

如果主动对等体可以从多个时间服务器获取时间同步，则主动对等体收到应答报文后，进行时钟过滤和选择，并与优选的时钟进行时间同步

主动对等体和被动对等体的时间可以互相同步

如果双方的时钟都处于同步状态，则层数大的时钟与层数小的时钟的时间同步

该模式通常用于同级的设备间互相同步，以便在同级的设备间形成备份。如果某台设备与所有上级时间服务器的通信出现故障，则该设备仍然可以从同级的时间服务器获得时间同步

4.1.4 NTP/SNTP时钟源身份验证

· 对于服务器模式：要使用身份验证功能，必须在服务器端和客户端上都开启身份验证功能，并配置相同的密钥ID和密钥，否则身份验证失败或无法进行身份验证。

· 对于对等体模式：要使用身份验证功能，必须在主动对等体和被动对等体上都开启身份验证功能，并配置相同的密钥ID和密钥，否则身份验证失败或无法进行身份验证。

4.2 管理员

管理员通过SSH、Telnet、FTP、HTTP、HTTPS、终端接入（即从Console口）方式登录到设备上之后，可以对设备进行配置和管理。对登录用户的管理和维护主要涉及以下几个部分：

· 帐户管理：对用户的基本信息（用户名、密码）以及相关属性的管理。

· 角色管理：对用户可执行的系统功能以及可操作的系统资源权限的管理。

· 密码管理：对用户登录密码的设置、老化、更新以及用户登录状态等方面的管理。

4.2.1 帐户管理

为使请求某种服务的用户可以成功登录设备，需要在设备上添加相应的帐户。所谓用户，是指在设备上设置的一组用户属性的集合，该集合以用户名唯一标识。一个有效的用户条目中可包括用户名、密码、角色、可用服务、密码管理等属性。

4.2.2 角色管理

对登录用户权限的控制，是通过为用户赋予一定的角色来实现。一个角色中定义了允许用户执行的系统功能以及可操作的系统资源，具体实现如下：

· 通过角色规则实现对系统功能的操作权限的控制。

· 通过资源控制策略实现对系统资源（接口、VLAN）的操作权限的控制。

1. 角色规则

一个角色中可以包含多条规则，规则定义了允许/禁止用户操作某类实体的权限。

对于登录Web页面的用户，系统实际支持的实体类型仅为Web菜单。Web菜单是指通过Web对设备进行配置时，各配置页面以Web菜单的形式组织，按照层次关系，形成多级菜单的树形结构。

基于Web菜单的规则用来控制指定的Web菜单选项是否允许被操作。因为菜单项中的操作控件具有相应的读，写或执行属性，所以定义基于Web菜单的规则时，可以精细地控制菜单项中读、写或执行控件的操作。

· 读权限：可查看指定菜单的配置信息和维护信息。

· 写权限：可配置指定菜单的相关功能和参数。

· 执行权限：可执行指定菜单的特定控件操作的功能，如Ping操作。

2. 资源控制策略

资源控制策略规定了用户对系统资源的操作权限。对于登录Web页面的用户而言，对接口/VLAN的操作是指创建接口/VLAN、配置接口/VLAN的属性、删除接口/VLAN和应用接口/VLAN。

资源控制策略需要与角色规则相配合才能生效。

3. 缺省角色

系统预定义了多种角色，这些角色缺省均具有操作所有系统资源的权限，但具有不同的系统功能操作权限。如果系统预定义的用户角色无法满足权限管理需求，管理员还可以自定义用户角色来对用户权限做进一步控制。

系统预定义的安全日志管理员（security-audit）角色，仅具有安全日志菜单的读、写、执行权限。由于目前Web页面不支持安全日志菜单，请不要赋予用户安全日志管理员角色。

4. 为用户赋予角色

根据用户登录方式的不同，为用户授权角色分为以下两类：

· 对于通过本地AAA认证登录设备的用户，由本地用户配置决定为其授权的用户角色。

· 对于通过AAA远程认证登录设备的用户，由AAA服务器的配置决定为其授权的用户角色。

将有效的角色成功授权给用户后，登录设备的用户才能以各角色所具有的权限来配置、管理或者监控设备。如果用户没有被授权任何角色，将无法成功登录设备。

一个用户可同时拥有多个角色。拥有多个角色的用户可获得这些角色中被允许执行的功能以及被允许操作的资源的集合。

4.2.3 密码管理

为了提高用户登录密码的安全性，可通过定义密码管理策略对用户的登录密码进行管理，并对用户的登录状态进行控制。

1. 密码长度检查

管理员可以限制用户密码的最小长度。当设置用户密码时，如果输入的密码长度小于设置的最小长度，系统将不允许设置该密码。

2. 密码组合检查

管理员可以设置用户密码的组成元素的组合类型，以及至少要包含每种元素的个数。密码的组成元素包括以下4种类型：

· [A～Z]

· [a～z]

· [0～9]

· 32个特殊字符（空格~`!@#$%^&*()_+-={}|[]\:”;’<>,./）

密码元素的组合类型有4种，具体涵义如下：

· 组合类型为1表示密码中至少包含1种元素；

· 组合类型为2表示密码中至少包含2种元素；

· 组合类型为3表示密码中至少包含3种元素；

· 组合类型为4表示密码中包含4种元素。

当用户设置密码时，系统会检查设定的密码是否符合配置要求，只有符合要求的密码才能设置成功。

3. 密码复杂度策略

为确保用户的登录密码具有较高的复杂度，要求管理员为其设置的密码必须符合一定的复杂度要求，只有符合要求的密码才能设置成功。目前，可配置的复杂度要求包括：

· 密码中不能包含连续三个或以上的相同字符。例如，密码“a111”就不符合复杂度要求。

· 密码中不能包含用户名或者字符顺序颠倒的用户名。例如，用户名为“abc”，那么“abc982”或者“2cba”之类的密码就不符合复杂度要求。

4. 密码更新管理

管理员可以设置用户登录设备后修改自身密码的最小间隔时间。当用户登录设备修改自身密码时，如果距离上次修改密码的时间间隔小于配置值，则系统不允许修改密码。例如，管理员配置用户密码更新间隔时间为48小时，那么用户在上次修改密码后的48小时之内都无法成功进行密码修改操作。

有两种情况下的密码更新并不受该功能的约束：用户首次登录设备时系统要求用户修改密码；密码老化后系统要求用户修改密码。

5. 密码老化管理

当用户登录密码的使用时间超过老化时间后，需要用户更换密码。如果用户输入的新密码不符合要求，或连续两次输入的新密码不一致，系统将要求用户重新输入。对于FTP用户，密码老化后，只能由管理员修改FTP用户的密码；对于Telnet、SSH、Terminal（通过Console口登录设备）用户可自行修改密码。

6. 密码过期提醒

在用户登录时，系统判断其密码距离过期的时间是否在设置的提醒时间范围内。如果在提醒时间范围内，系统会提示该密码还有多久过期，并询问用户是否修改密码。如果用户选择修改，则记录新的密码及其设定时间。如果用户选择不修改或者修改失败，则在密码未过期的情况下仍可以正常登录。对于FTP用户，只能由管理员修改FTP用户的密码；对于Telnet、SSH、Terminal（通过Console口）用户可自行修改密码。

7. 密码老化后允许登录

管理员可以设置用户密码过期后在指定的时间内还能登录设备指定的次数。这样，密码老化的用户不需要立即更新密码，依然可以登录设备。例如，管理员设置密码老化后允许用户登录的时间为15天、次数为3次，那么用户在密码老化后的15天内，还能继续成功登录3次。

8. 密码历史记录

系统保存用户密码历史记录。当用户修改密码时，系统会要求用户设置新的密码，如果新设置的密码以前使用过，且在当前用户密码历史记录中，系统将给出错误信息，提示用户密码更改失败。另外，用户更改密码时，系统会将新设置的密码逐一与所有记录的历史密码以及当前密码比较，要求新密码至少要与旧密码有4字符不同，且这4个字符必须互不相同，否则密码更改失败。

可以配置每个用户密码历史记录的最大条数，当密码历史记录的条数超过配置的最大历史记录条数时，新的密码历史记录将覆盖该用户最老的一条密码历史记录。

由于为用户配置的密码在哈希运算后以密文的方式保存，配置一旦生效后就无法还原为明文密码，因此，用户的当前登录密码，不会被记录到该用户的密码历史记录中。

9. 密码尝试次数限制

密码尝试次数限制可以用来防止恶意用户通过不断尝试来破解密码。

每次用户认证失败后，系统会将该用户加入密码管理的黑名单。可加入密码管理功能黑名单的用户包括：FTP用户和通过VTY方式访问设备的用户。不会加入密码管理功能黑名单的用户包括：用户名不存在的用户、通过Console口连接到设备的用户。

当用户连续尝试认证的失败累加次数达到设置的尝试次数时，系统对用户的后续登录行为有以下三种处理措施：

· 永久禁止该用户登录。只有管理员把该用户从密码管理的黑名单中删除后，该用户才能重新登录。

· 禁止该用户一段时间后，再允许其重新登录。当配置的禁止时间超时或者管理员将其从密码管理的黑名单中删除，该用户才可以重新登录。

· 不对该用户做禁止，允许其继续登录。在该用户登录成功后，该用户会从密码管理的黑名单中删除。

10. 用户帐号闲置时间管理

管理员可以限制用户帐号的闲置时间，禁止在闲置时间之内始终处于不活动状态的用户登录。若用户自从最后一次成功登录之后，在配置的闲置时间内再未成功登录过，那么该闲置时间到达之后此用户帐号立即失效，系统不再允许使用该帐号的用户登录。

4.3 IRF

S1850-X系列交换机不支持配置本功能。

IRF（Intelligent Resilient Framework，智能弹性架构）是一种软件虚拟化技术。它的核心思想是将多台设备连接在一起，进行必要的配置后，虚拟化成一台设备。使用这种虚拟化技术可以集合多台设备的硬件资源和软件处理能力，实现多台设备的协同工作、统一管理和不间断维护。

IRF在网络中作为一个节点运行，能够简化网络拓扑、方便用户管理和维护。用户从任意成员设备的接口登录并配置IRF，IRF会将这些配置同步到所有成员设备，从而保证所有成员设备配置的一致性。

IRF虚拟化技术涉及如下基本概念：

1. 角色

IRF中每台设备都称为成员设备。成员设备按照功能不同，分为两种角色：

· 主用设备（简称为主设备）：负责管理和控制整个IRF。

· 从属设备（简称为从设备）：处理业务、转发报文的同时作为主设备的备份设备运行。当主设备故障时，系统会自动从从设备中选举一个新的主设备接替原主设备工作。

主设备和从设备均由角色选举产生。一个IRF中同时只能存在一台主设备，其它成员设备都是从设备。

2. 成员编号

成员编号是设备在IRF中的标识，IRF通过成员编号来管理成员设备。请先修改成员编号并确保编号在IRF中唯一，再加入IRF。否则，该设备不能加入IRF。修改后的成员编号，需要手工重启本设备后生效。

3. 成员优先级

成员优先级是成员设备的一个属性，主要用于角色选举过程中确定成员设备的角色。优先级越高当选为主设备的可能性越大。

4. IRF端口

一种专用于IRF成员设备之间进行连接的逻辑接口，每台成员设备上有IRF-Port1和IRF-Port2。它需要和物理端口绑定之后才能生效。

5. IRF物理端口

与IRF端口绑定，用于IRF成员设备之间进行连接的物理接口。IRF物理端口用来转发IRF相关协商报文以及需要跨成员设备转发的业务报文。一个IRF端口可绑定多个IRF物理端口。

6. IRF域

为了适应各种组网应用，同一个网络里可以部署多个IRF，IRF之间使用域编号以示区别。

7. IRF分裂和IRF合并

由于IRF链路故障，导致IRF中相邻成员设备不连通，一个IRF变成两个或多个IRF，这个过程称为IRF分裂。

分裂的IRF通过修复链路故障重新组成IRF，或两个独立的IRF通过物理连接和必要的配置组成一个IRF，这个过程称为IRF合并。

5 网络功能介绍

5.1 链路聚合

以太网链路聚合通过将多条以太网物理链路捆绑在一起形成一条以太网逻辑链路，实现增加链路带宽的目的，同时这些捆绑在一起的链路通过相互动态备份，可以有效地提高链路的可靠性。

5.1.1 聚合组

链路捆绑是通过接口捆绑实现的，多个以太网接口捆绑在一起后形成一个聚合组，而这些被捆绑在一起的以太网接口就称为该聚合组的成员端口。每个聚合组唯一对应着一个逻辑接口，称为聚合接口。聚合组与聚合接口的编号是相同的，例如聚合组1对应于聚合接口1。

二层聚合组/二层聚合接口：二层聚合组的成员端口全部为二层以太网接口，其对应的聚合接口称为二层聚合接口。

聚合接口的速率和双工模式取决于对应聚合组内的选中端口：聚合接口的速率等于所有选中端口的速率之和，聚合接口的双工模式则与选中端口的双工模式相同。

5.1.2 选中/非选中状态

聚合组内的成员端口具有以下两种状态：

· 选中（Selected）状态：此状态下的成员端口可以参与数据的转发，处于此状态的成员端口称为“选中端口”。

· 非选中（Unselected）状态：此状态下的成员端口不能参与数据的转发，处于此状态的成员端口称为“非选中端口”。

5.1.3 操作Key

操作Key是系统在进行链路聚合时用来表征成员端口聚合能力的一个数值，它是根据成员端口上的一些信息（包括该端口的速率、双工模式等）的组合自动计算生成的，这个信息组合中任何一项的变化都会引起操作Key的重新计算。在同一聚合组中，所有的选中端口都必须具有相同的操作Key。

5.1.4 属性类配置

属性类配置：包含的配置内容如表5-1所示。在聚合组中，只有与对应聚合接口的属性类配置完全相同的成员端口才能够成为选中端口。

表5-1 属性类配置

配置项	内容
端口隔离	端口是否加入隔离组、端口所属的端口隔离组
VLAN配置	端口上允许通过的VLAN、端口缺省VLAN、VLAN报文是否带Tag配置

5.1.5 聚合模式

链路聚合分为静态聚合和动态聚合两种模式，它们各自的优点如下所示：

· 静态聚合模式：一旦配置好后，端口的选中/非选中状态就不会受网络环境的影响，比较稳定。

· 动态聚合模式：通过LACP协议实现，能够根据对端和本端的信息调整端口的选中/非选中状态，比较灵活。

处于静态聚合模式下的聚合组称为静态聚合组，处于动态聚合模式下的聚合组称为动态聚合组。

5.1.6 全局负载分担类型

通过采用不同的聚合负载分担类型，可以实现灵活地对聚合组内流量进行负载分担。聚合负载分担的类型可以归为以下类型：

· 逐流负载分担：按照报文的源/目的MAC地址、源/目的IP地址等类型中的一种或某几种的组合区分流，使属于同一数据流的报文从同一条成员链路上通过。

· 逐包负载分担：不区分数据流，而是以报文为单位，将流量分担到不同的成员链路上进行传输。

· 按照报文类型自动选择所采用的聚合负载分担类型。

5.2 风暴抑制

风暴抑制用于控制以太网上的报文风暴。配置该功能后，系统会按照配置的时间间隔统计端口收到的未知单播/组播/广播报文流量。如果某类报文流量超过上限阈值，系统会执行相应的控制动作，以及决定是否输出Trap和日志。控制动作包括：

· 无：在端口上不执行任何动作。

· 阻塞端口：端口将暂停转发该类报文（其它类型报文照常转发），端口处于阻塞状态，但仍会统计该类报文的流量。当该类报文的流量小于其下限阈值时，端口将自动恢复对此类报文的转发。

· 关闭端口：端口将被关闭，系统停止转发所有报文。当该类报文的流量小于其下限阈值时，端口状态不会自动恢复，需要手工启用接口或取消端口上流量阈值的配置来恢复。

5.3 端口隔离

为了实现端口间的二层隔离，可以将不同的端口加入不同的VLAN，但VLAN资源有限。采用端口隔离特性，用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层隔离，而不关心这些端口所属VLAN，从而节省VLAN资源。

隔离组内的端口与未加入隔离组的端口之间二层流量双向互通。

5.4 VLAN

VLAN（Virtual Local Area Network，虚拟局域网）技术可以把一个物理LAN划分成多个逻辑的LAN——VLAN，每个VLAN是一个广播域。处于同一VLAN的主机能够直接互通，而处于不同VLAN的主机不能够直接互通。

5.4.1 基于端口划分VLAN

VLAN可以基于端口进行划分。它按照设备端口来定义VLAN成员，将指定端口加入到指定VLAN中之后，端口就可以转发该VLAN的报文。

在某VLAN内，可根据需要配置端口加入Untagged端口列表或Tagged端口列表（即配置端口为Untagged端口或Tagged端口），从Untagged端口发出的该VLAN报文不带VLAN Tag，从Tagged端口发出的该VLAN报文带VLAN Tag。

端口的链路类型分为三种。在端口加入某VLAN时，对不同链路类型的端口加入的端口列表要求不同：

· Access：端口只能发送一个VLAN的报文，发出去的报文不带VLAN Tag。该端口只能加入一个VLAN的Untagged端口列表。

· Trunk：端口能发送多个VLAN的报文，发出去的端口缺省VLAN的报文不带VLAN Tag，其他VLAN的报文都必须带VLAN Tag。在端口缺省VLAN中，该端口只能加入Untagged端口列表；在其他VLAN中，该端口只能加入Tagged端口列表。

· Hybrid：端口能发送多个VLAN的报文，端口发出去的报文可根据需要配置某些VLAN的报文带VLAN Tag，某些VLAN的报文不带VLAN Tag。在不同VLAN中，该端口可以根据需要加入Untagged端口列表或Tagged端口列表。

5.4.2 VLAN接口

不同VLAN间的主机不能直接通信，通过设备上的VLAN接口，可以实现VLAN间的三层互通。VLAN接口是一种三层的虚拟接口，它不作为物理实体存在于设备上。每个VLAN对应一个VLAN接口，VLAN接口的IP地址可作为本VLAN内网络设备的网关地址，对需要跨网段的报文进行基于IP地址的三层转发。

5.5 MAC

MAC（Media Access Control，媒体访问控制）地址表记录了MAC地址与接口的对应关系，以及接口所属的VLAN等信息。设备在转发报文时，根据报文的目的MAC地址查询MAC地址表，如果MAC地址表中包含与报文目的MAC地址对应的表项，则直接通过该表项中的出接口转发该报文；如果MAC地址表中没有包含报文目的MAC地址对应的表项时，设备将采取广播的方式通过对应VLAN内除接收接口外的所有接口转发该报文。

5.5.1 MAC地址表分类

MAC地址表项分为以下几种：

· 动态MAC地址表项：可以由用户手工配置，也可以由设备通过源MAC地址学习自动生成，用于目的是某个MAC地址的报文从对应接口转发出去，表项有老化时间。手工配置的动态MAC地址表项优先级等于自动生成的MAC地址表项。

· 静态MAC地址表项：由用户手工配置，用于目的是某个MAC地址的报文从对应接口转发出去，表项不老化。静态MAC地址表项优先级高于自动生成的MAC地址表项。

· 黑洞MAC地址表项：由用户手工配置，用于丢弃源MAC地址或目的MAC地址为指定MAC地址的报文（例如，出于安全考虑，可以禁止某个用户发送和接收报文），表项不老化。

· 安全服务MAC地址表项：可以由用户手工配置，也可以由设备通过源MAC地址学习自动生成，用于转发指定MAC地址的报文，表项不老化。

5.5.2 MAC地址表项老化时间

MAC地址表中自动生成的表项并非永远有效，每一条表项都有一个生存周期，这个生存周期被称作老化时间。配置动态MAC地址表项的老化时间后，超过老化时间的动态MAC地址表项会被自动删除，设备将重新进行MAC地址学习，构建新的动态MAC地址表项。如果在到达生存周期前某表项被刷新，则重新计算该表项的老化时间。

用户配置的老化时间过长或者过短，都可能影响设备的运行性能：

· 如果用户配置的老化时间过长，设备可能会保存许多过时的MAC地址表项，从而耗尽MAC地址表资源，导致设备无法根据网络的变化更新MAC地址表。

· 如果用户配置的老化时间太短，设备可能会删除有效的MAC地址表项，导致设备广播大量的数据报文，增加网络的负担。

用户需要根据实际情况，配置合适的老化时间。如果网络比较稳定，可以将老化时间配置得长一些或者配置为不老化；否则，可以将老化时间配置得短一些。比如在一个比较稳定的网络，如果长时间没有流量，动态MAC地址表项会被全部删除，可能导致设备突然广播大量的数据报文，造成安全隐患，此时可将动态MAC地址表项的老化时间设得长一些或不老化，以减少广播，增加网络稳定性和安全性。动态MAC地址表项的老化时间作用于全部接口上。

5.5.3 接口MAC地址学习

缺省情况下，MAC地址学习功能处于开启状态。有时为了保证设备的安全，需要关闭MAC地址学习功能。常见的危及设备安全的情况是：非法用户使用大量源MAC地址不同的报文攻击设备，导致设备MAC地址表资源耗尽，造成设备无法根据网络的变化更新MAC地址表。关闭MAC地址学习功能可以有效防止这种攻击。在开启全局的MAC地址学习功能的前提下，用户可以关闭单个接口的MAC地址的学习功能。

如果MAC地址表过于庞大，可能导致设备的转发性能下降。通过配置接口的MAC地址数学习上限，用户可以控制设备维护的MAC地址表的表项数量。当接口学习到的MAC地址数达到上限时，该接口将不再对MAC地址进行学习，同时，用户还可以根据需要选择是否允许系统转发源MAC不在MAC地址表里的报文。

5.6 STP

生成树协议运行于二层网络中，通过阻塞冗余链路构建出无数据环路的树型网络拓扑，并在设备或数据链路故障时，重新计算出新的树型拓扑。

生成树协议包括STP、RSTP和MSTP。

· STP：由IEEE制定的802.1D标准定义，是狭义的生成树协议。

· RSTP：由IEEE制定的802.1w标准定义，它在STP基础上进行了改进，实现了网络拓扑的快速收敛。其“快速”体现在，当一个端口被选为根端口和指定端口后，其进入转发状态的延时将大大缩短，从而缩短了网络最终达到拓扑稳定所需要的时间。

· PVST：可以在每个VLAN内都拥有一棵生成树，能够有效地提高链路带宽的利用率。

· MSTP：由IEEE制定的802.1s标准定义，它可以弥补STP和RSTP的缺陷，既可以快速收敛，也能使不同VLAN的流量沿各自的路径转发，从而为冗余链路提供了更好的负载分担机制。

5.6.1 生成树工作模式

生成树的工作模式有以下几种：

· STP模式：设备的所有端口都将向外发送STP BPDU。如果端口的对端设备只支持STP，可选择此模式。

· RSTP模式：设备的所有端口都向外发送RSTP BPDU。当端口收到对端设备发来的STP BPDU时，会自动迁移到STP模式；如果收到的是MSTP BPDU，则不会进行迁移。

· PVST模式：设备的所有端口都向外发送PVST BPDU，每个VLAN对应一棵生成树。进行PVST组网时，若网络中所有设备的生成树维护量（开启生成树协议的VLAN数×开启生成树协议的端口数）达到一定数量，会导致CPU负荷过重，不能正常处理报文，引起网络震荡。不同型号的设备支持的生成树维护量不同，请以设备的实际情况为准。

· MSTP模式：设备的所有端口都向外发送MSTP BPDU。当端口收到对端设备发来的STP BPDU时，会自动迁移到STP模式；如果收到的是RSTP BPDU，则不会进行迁移。

5.6.2 MSTP基本概念

MSTP把一个交换网络划分成多个域，这些域称为MST（Multiple Spanning Tree Regions，多生成树域）域。每个域内形成多棵生成树，各生成树之间彼此独立并分别与相应的VLAN对应，每棵生成树都称为一个MSTI（Multiple Spanning Tree Instance，多生成树实例）。CST（Common Spanning Tree，公共生成树）是一棵连接交换网络中所有MST域的单生成树。IST（Internal Spanning Tree，内部生成树）是MST域内的一棵生成树，它是一个特殊的MSTI，通常也称为MSTI 0，所有VLAN缺省都映射到MSTI 0上。CIST（Common and Internal Spanning Tree，公共和内部生成树）是一棵连接交换网络内所有设备的单生成树，所有MST域的IST再加上CST就共同构成了整个交换网络的一棵完整的单生成树。

其中，对于属于同一MST域的设备具有下列特点：

· 都开启了生成树协议。

· 域名相同。

· VLAN与MSTI间映射关系的配置相同。

· MSTP修订级别的配置相同。

· 这些设备之间有物理链路连通。

5.6.3 生成树端口角色

生成树可能涉及到的端口角色有以下几种：

· 根端口（Root Port）：在非根桥上负责向根桥方向转发数据的端口就称为根端口，根桥上没有根端口。

· 指定端口（Designated Port）：负责向下游网段或设备转发数据的端口就称为指定端口。

· 替换端口（Alternate Port）：是根端口或主端口的备份端口。当根端口或主端口被阻塞后，替换端口将成为新的根端口或主端口。

· 备份端口（Backup Port）：是指定端口的备份端口。当指定端口失效后，备份端口将转换为新的指定端口。当开启了生成树协议的同一台设备上的两个端口互相连接而形成环路时，设备会将其中一个端口阻塞，该端口就是备份端口。

· 主端口（Master Port）：是将MST域连接到总根的端口（主端口不一定在域根上），位于整个域到总根的最短路径上。主端口是MST域中的报文去往总根的必经之路。主端口在IST/CIST上的角色是根端口，而在其他MSTI上的角色则是主端口。

STP只涉及根端口、指定端口和替换端口三种端口角色，RSTP的端口角色中新增了备份端口，MSTP涉及所有的端口角色。

5.6.4 生成树端口状态

RSTP和MSTP中的端口状态可分为三种，如表5-2所示。

表5-2 RSTP和MSTP中的端口状态

状态	描述
Forwarding	该状态下的端口可以接收和发送BPDU，也转发用户流量
Learning	是一种过渡状态，该状态下的端口可以接收和发送BPDU，但不转发用户流量
Discarding	该状态下的端口可以接收和发送BPDU，但不转发用户流量

STP定义了五种端口状态：Disabled、Blocking、Listening、Learning和Forwarding。其中Disabled、Blocking和Listening状态都对应RSTP/MSTP中的Discarding状态。

5.7 LLDP

LLDP（Link Layer Discovery Protocol，链路层发现协议）提供了一种标准的链路层发现方式，可以将本端设备的信息（包括主要能力、管理地址、设备标识、接口标识等）组织成不同的TLV（Type/Length/Value，类型/长度/值），并封装在LLDPDU（Link Layer Discovery Protocol Data Unit，链路层发现协议数据单元）中发布给与自己直连的邻居，邻居收到这些信息后将其以标准MIB（Management Information Base，管理信息库）的形式保存起来，以供网络管理系统查询及判断链路的通信状况。

5.7.1 LLDP代理

LLDP代理是LLDP协议运行实体的一个抽象映射。一个接口下，可以运行多个LLDP代理。目前LLDP定义的代理类型包括：最近桥代理、最近非TPMR桥代理和最近客户桥代理。LLDP在相邻的代理之间进行协议报文交互，并基于代理创建及维护邻居信息。

5.7.2 LLDP报文的发送机制

在指定类型LLDP代理下，当端口工作在TxRx或Tx模式时，设备会以报文发送时间间隔为周期，向邻居设备发送LLDP报文。如果设备的本地配置发生变化则立即发送LLDP报文，以将本地信息的变化情况尽快通知给邻居设备。但为了防止本地信息的频繁变化而引起LLDP报文的大量发送，可以配置限制发送报文速率的令牌桶大小来作限速处理。

当设备的工作模式由Disable/Rx切换为TxRx/Tx，或者发现了新的邻居设备（即收到一个新的LLDP报文且本地尚未保存发送该报文设备的信息）时，该设备将自动启用快速发送机制，即将LLDP报文的发送周期设置为快速发送周期，并连续发送指定数量（快速发送LLDP报文的个数）的LLDP报文后再恢复为正常的发送周期。

5.7.3 LLDP报文的接收机制

当端口工作在TxRx或Rx模式时，设备会对收到的LLDP报文及其携带的TLV进行有效性检查，通过检查后再将邻居信息保存到本地，并根据Time To Live TLV中TTL（Time To Live，生存时间）的值来设置邻居信息在本地设备上的老化时间，若该值为零，则立刻老化该邻居信息。

由于TTL＝Min（65535，（TTL乘数×LLDP报文的发送间隔＋1）），即取65535与（TTL乘数×LLDP报文的发送间隔＋1）中的最小值，因此通过调整TTL乘数可以控制本设备信息在邻居设备上的老化时间。

5.7.4 端口初始化延迟时间

当端口的LLDP工作模式发生变化时，端口将对协议状态机进行初始化操作。为了避免端口工作模式频繁改变而导致端口不断执行初始化操作，可配置端口初始化延迟时间，当端口工作模式改变时延迟一段时间再执行初始化操作。

5.7.5 LLDP Trap功能

如果开启了发送LLDP Trap功能，设备可以通过向网管系统发送Trap信息以通告如发现新的LLDP邻居、与原来邻居的通信链路发生故障等重要事件。

5.7.6 LLDP TLV

TLV是组成LLDP报文的单元，每个TLV都代表一个信息。LLDP可以封装的TLV包括基本TLV、802.1 TLV、802.3 TLV和LLDP-MED（Link Layer Discovery Protocol Media Endpoint Discovery，链路层发现协议媒体终端发现） TLV。

基本TLV是网络设备管理基础的一组TLV，802.1 TLV、802.3 TLV和LLDP-MED TLV则是由标准组织或其他机构定义的TLV，用于增强对网络设备的管理，可根据实际需要选择是否在LLDPDU中发送。

5.7.7 兼容CDP功能

开启本功能后，设备可以利用LLDP来接收、识别直连设备发送来的CDP报文，并向其回应CDP报文。

5.8 DHCP Snooping

DHCP Snooping是DHCP的一种安全特性，具有如下功能：

1. 保证客户端从合法的服务器获取IP地址

网络中如果存在私自架设的非法DHCP服务器，则可能导致DHCP客户端获取到错误的IP地址和网络配置参数，从而无法正常通信。为了使DHCP客户端能通过合法的DHCP服务器获取IP地址，DHCP Snooping安全机制允许将端口设置为信任端口和不信任端口：

· 信任端口正常转发接收到的DHCP报文。

· 不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文后，丢弃该报文。

在DHCP Snooping设备上指向DHCP服务器方向的端口需要设置为信任端口，其他端口设置为不信任端口，从而保证DHCP客户端只能从合法的DHCP服务器获取IP地址，私自架设的伪DHCP服务器无法为DHCP客户端分配IP地址。

2. 记录DHCP Snooping表项

DHCP Snooping通过监听DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文，记录DHCP Snooping表项，其中包括客户端的MAC地址、DHCP服务器为DHCP客户端分配的IP地址、与DHCP客户端连接的端口及VLAN等信息。利用这些信息可以实现ARP Detection功能，即根据DHCP Snooping表项来判断发送ARP报文的用户是否合法，从而防止非法用户的ARP攻击。

3. 备份DHCP Snooping表项

DHCP Snooping设备重启后，设备上记录的DHCP Snooping表项将丢失。如果DHCP Snooping与其他模块配合使用，则表项丢失会导致这些模块无法通过DHCP Snooping获取到相应的表项，进而导致DHCP客户端不能顺利通过安全检查、正常访问网络。

DHCP Snooping表项备份功能将DHCP Snooping表项保存到指定的文件中，DHCP Snooping设备重启后，自动根据该文件恢复DHCP Snooping表项，从而保证DHCP Snooping表项不会丢失。

4. 支持Option 82功能

Option 82记录了DHCP客户端的位置信息。管理员可以利用该选项定位DHCP客户端，实现对客户端的安全和计费等控制。Option 82包含两个子选项：Circuit ID和Remote ID。

支持Option 82功能是指设备接收到DHCP请求报文后，根据报文中是否包含Option 82以及用户配置的处理策略及填充模式等对报文进行相应的处理，并将处理后的报文转发给DHCP服务器。当设备接收到DHCP服务器的响应报文时，如果报文中含有Option 82，则删除Option 82，并转发给DHCP客户端；如果报文中不含有Option 82，则直接转发。

具体的处理方式见表5-3。

表5-3 Option 82处理方式

收到DHCP请求报文	处理策略	DHCP Snooping对报文的处理
收到的报文中带有Option 82	Drop	丢弃报文
	Keep	保持报文中的Option 82不变并进行转发
	Replace	根据DHCP Snooping上配置的填充模式、内容、格式等填充Option 82，替换报文中原有的Option 82并进行转发
收到的报文中不带有Option 82	-	根据DHCP Snooping上配置的填充模式、内容、格式等填充Option 82，添加到报文中并进行转发

5.9 IP

5.9.1 IP地址分类和表示

IP地址是每个连接到IPv4网络上的设备的唯一标识。IP地址长度为32比特，通常采用点分十进制方式表示，即每个IP地址被表示为以小数点隔开的4个十进制整数，每个整数对应一个字节，如10.1.1.1。

IP地址由两部分组成：

· 网络号码字段（Net-id）：用于区分不同的网络。网络号码字段的前几位称为类别字段（又称为类别比特），用来区分IP地址的类型。

· 主机号码字段（Host-id）：用于区分一个网络内的不同主机。

IP地址分为5类，每一类地址范围如表5-4所示。目前大量使用的IP地址属于A、B、C三类。

表5-4 IP地址分类

地址类型	地址范围	说明
A	0.0.0.0～127.255.255.255	IP地址0.0.0.0仅用于主机在系统启动时进行临时通信，并且永远不是有效目的地址 127.0.0.0网段的地址都保留作环回测试，发送到这个地址的分组不会输出到链路上，它们被当作输入分组在内部进行处理
B	128.0.0.0～191.255.255.255	-
C	192.0.0.0～223.255.255.255	-
D	224.0.0.0～239.255.255.255	组播地址
E	240.0.0.0～255.255.255.255	255.255.255.255用于广播地址，其它地址保留今后使用

5.9.2 子网和掩码

随着Internet的快速发展，IP地址已近枯竭。为了充分利用已有的IP地址，可以使用子网掩码将网络划分为更小的部分（即子网）。通过从主机号码字段部分划出一些比特位作为子网号码字段，能够将一个网络划分为多个子网。子网号码字段的长度由子网掩码确定。

子网掩码是一个长度为32比特的数字，由一串连续的“1”和一串连续的“0”组成。“1”对应于网络号码字段和子网号码字段，而“0”对应于主机号码字段。

多划分出一个子网号码字段会浪费一些IP地址。例如，一个B类地址可以容纳65534（2¹⁶-2，去掉主机号码字段全1的广播地址和主机号码字段全0的网段地址）个主机号码。但划分出9比特长的子网字段后，最多可有512（2⁹）个子网，每个子网有7比特的主机号码，即每个子网最多可有126（2⁷-2，去掉主机号码字段全1的广播地址和主机号码字段全0的网段地址）个主机号码。因此主机号码的总数是512*126=64512个，比不划分子网时要少1022个。

若不进行子网划分，则子网掩码为默认值，此时子网掩码中“1”的长度就是网络号码的长度，即A、B、C类IP地址对应的子网掩码默认值分别为255.0.0.0、255.255.0.0和255.255.255.0。

5.9.3 IP地址的配置方式

接口获取IP地址有以下几种方式：

· 通过手动指定IP地址

· 通过DHCP分配得到IP地址

5.9.4 接口MTU

当设备收到一个报文后，如果发现报文长度比转发接口的MTU值大，则进行下列处理：

· 如果报文不允许分片，则将报文丢弃；

· 如果报文允许分片，则将报文进行分片转发。

为了减轻转发设备在传输过程中的分片和重组数据包的压力，更高效的利用网络资源，请根据实际组网环境设置合适的接口MTU值，以减少分片的发生。

5.10 ARP

ARP（Address Resolution Protocol，地址解析协议）是将IP地址解析为以太网MAC地址（或称物理地址）的协议。

设备通过ARP协议解析到目的MAC地址后，将会在自己的ARP表中增加IP地址和MAC地址映射关系的表项，以用于后续到同一目的地报文的转发。

ARP表项分为两种：动态ARP表项、静态ARP表项。

5.10.1 动态ARP表项

动态ARP表项由ARP协议通过ARP报文自动生成和维护，可以被老化，可以被新的ARP报文更新，可以被静态ARP表项覆盖。当到达老化时间、接口状态down时，系统会删除相应的动态ARP表项。

动态ARP表项可以固化为静态ARP表项，但被固化后无法再恢复为动态ARP表项。

为了防止部分接口下的用户占用过多的ARP资源，可以通过设置接口学习动态ARP表项的最大个数来进行限制。

5.10.2 静态ARP表项

静态ARP表项通过手工创建或由动态ARP表项固化而来，不会被老化，不会被动态ARP表项覆盖。

配置静态ARP表项可以增加通信的安全性。静态ARP表项可以限制和指定IP地址的设备通信时只使用指定的MAC地址，此时攻击报文无法修改此表项的IP地址和MAC地址的映射关系，从而保护了本设备和指定设备间的正常通信。

在配置静态ARP表项时，如果管理员希望用户使用某个固定的IP地址和MAC地址通信，可以将该IP地址与MAC地址绑定；如果进一步希望限定用户只在指定VLAN的特定接口上连接，则需要进一步指定报文转发的VLAN和出接口。

一般情况下，ARP动态执行并自动寻求IP地址到以太网MAC地址的解析，无需管理员的介入。

当静态ARP表项中的IP地址与VLAN虚接口的IP地址属于同一网段时，该静态ARP表项才能正常指导转发。

5.10.3 ARP攻击防御

ARP协议有简单、易用的优点，但是也因为其没有任何安全机制而容易被攻击发起者利用。目前ARP攻击和ARP病毒已经成为局域网安全的一大威胁，为了避免各种攻击带来的危害，设备提供了多种技术对攻击进行防范、检测和解决。

不同设备支持配置的ARP攻击防御功能如下：

· 网关设备支持配置的功能包括：ARP黑洞路由、ARP源抑制、源MAC地址一致性检查、ARP主动确认、源MAC地址固定的ARP攻击检测、授权ARP和ARP扫描；

· 接入设备支持配置的功能包括：ARP报文限速、ARP网关保护、ARP过滤保护和ARP Detection。

1. ARP防止IP报文攻击功能

如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备，则会造成下面的危害：

· 设备向目的网段发送大量ARP请求报文，加重目的网段的负载。

· 设备会试图反复地对目标IP地址进行解析，增加了CPU的负担。

为避免这种IP报文攻击所带来的危害，设备提供了下列两个功能：

· ARP黑洞路由功能：开启该功能后，一旦接收到目标IP地址不能解析的IP报文，设备立即产生一个黑洞路由，使得设备在一段时间内将去往该地址的报文直接丢弃。等待黑洞路由老化时间过后，如有报文触发则再次发起解析，如果解析成功则进行转发，否则仍然产生一个黑洞路由将去往该地址的报文丢弃。这种方式能够有效地防止IP报文的攻击，减轻CPU的负担。

· ARP源抑制功能：如果发送攻击报文的源是固定的，可以采用ARP源抑制功能。开启该功能后，如果网络中每5秒内从某IP地址向设备某接口发送目的IP地址不能解析的IP报文超过了设置的阈值，则设备将不再处理由此IP地址发出的IP报文直至该5秒结束，从而避免了恶意攻击所造成的危害。

2. ARP报文源MAC地址一致性检查功能

ARP报文源MAC地址一致性检查功能主要应用于网关设备上，防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。

配置本特性后，网关设备在进行ARP学习前将对ARP报文进行检查。如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同，则认为是攻击报文，将其丢弃；否则，继续进行ARP学习。

3. ARP主动确认功能

ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。

启用ARP主动确认功能后，设备在新建或更新ARP表项前需进行主动确认，防止产生错误的ARP表项。

使能严格模式后，新建ARP表项前，ARP主动确认功能会执行更严格的检查：

· 收到目标IP地址为自己的ARP请求报文时，设备会发送ARP应答报文，但不建立ARP表项；

· 收到ARP应答报文时，需要确认本设备是否对该报文中的源IP地址发起过ARP解析：若发起过解析，解析成功后则设备启动主动确认功能，主动确认流程成功完成后，设备可以建立该表项；若未发起过解析，则设备丢弃该报文。

4. 源MAC地址固定的ARP攻击检测功能

本特性根据ARP报文的源MAC地址对上送CPU的ARP报文进行统计，在5秒内，如果收到同一源MAC地址（源MAC地址固定）的ARP报文超过一定的阈值，则认为存在攻击，系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前，如果设置的检查模式为过滤模式，则会打印日志信息并且将该源MAC地址发送的ARP报文过滤掉；如果设置的检查模式为监控模式，则只打印日志信息，不会将该源MAC地址发送的ARP报文过滤掉。

对于网关或一些重要的服务器，可能会发送大量ARP报文，为了使这些ARP报文不被过滤掉，可以将这类设备的MAC地址配置成保护MAC地址，这样，即使该设备存在攻击也不会被检测、过滤。

5. 授权ARP功能

所谓授权ARP，就是动态学习ARP的过程中，只有和DHCP服务器生成的租约或DHCP中继生成的安全表项一致的ARP报文才能够被学习。

使能接口的授权ARP功能后，系统会禁止该接口学习动态ARP表项，可以防止用户仿冒其他用户的IP地址或MAC地址对网络进行攻击，保证只有合法的用户才能使用网络资源，增加了网络的安全性。

6. ARP扫描功能

启用ARP扫描功能后，设备会对局域网内的邻居自动进行扫描（向邻居发送ARP请求报文，获取邻居的MAC地址，从而建立动态ARP表项）。

ARP扫描功能一般与ARP固化功能配合使用。ARP固化功能用来将当前的ARP动态表项（包括ARP扫描生成的动态ARP表项）转换为静态ARP表项。通过对动态ARP表项的固化，可以有效防止攻击者修改ARP表项。

建议在网吧这种环境稳定的小型网络中使用这两个功能。

7. ARP报文限速功能

ARP报文限速功能是指对上送CPU的ARP报文进行限速，可以防止大量ARP报文对CPU进行冲击。例如，在配置了ARP Detection功能后，设备会将收到的ARP报文重定向到CPU进行检查，这样引入了新的问题：如果攻击者恶意构造大量ARP报文发往设备，会导致设备的CPU负担过重，从而造成其他功能无法正常运行甚至设备瘫痪，这个时候可以启用ARP报文限速功能来控制上送CPU的ARP报文的速率。

建议用户在配置了ARP Detection或者发现有ARP泛洪攻击的情况下，使用ARP报文限速功能。

配置ARP报文限速功能后，如果用户开启了ARP限速日志功能，则当接口上单位时间收到的ARP报文数量超过用户设定的限速值，设备将这个时间间隔内的超速峰值作为日志的速率值发送到设备的信息中心，通过设置信息中心的参数，最终决定日志报文的输出规则（即是否允许输出以及输出方向）。为防止过多的日志信息干扰用户工作，用户可以设定日志信息的发送时间间隔。当用户设定的时间间隔超时时，设备执行发送日志的操作。

8. ARP网关保护功能

在设备上不与网关相连的接口上配置此功能，可以防止伪造网关攻击。

在接口上配置此功能后，当接口收到ARP报文时，将检查ARP报文的源IP地址是否和配置的被保护网关的IP地址相同。如果相同，则认为此报文非法，将其丢弃；否则，认为此报文合法，继续进行后续处理。

9. ARP过滤保护功能

ARP过滤保护功能用来限制接口下允许通过的ARP报文，可以防止仿冒网关和仿冒用户的攻击。

在接口上配置此功能后，当接口收到ARP报文时，将检查ARP报文的源IP地址和源MAC地址是否和允许通过的IP地址和MAC地址相同：

· 如果相同，则认为此报文合法，继续进行后续处理；

· 如果不相同，则认为此报文非法，将其丢弃。

10. ARP Detection功能

ARP Detection功能主要应用于接入设备上，对于合法用户的ARP报文进行正常转发，否则直接丢弃，从而防止仿冒用户、仿冒网关的攻击。

ARP Detection包含三个功能：用户合法性检查、ARP报文有效性检查、ARP报文强制转发。

(1) 用户合法性检查

如果仅在VLAN上开启ARP Detection功能，则仅进行用户合法性检查。

对于ARP信任接口，不进行用户合法性检查；对于ARP非信任接口，需要进行用户合法性检查，以防止仿冒用户的攻击。

用户合法性检查是根据ARP报文中源IP地址和源MAC地址检查用户是否是所属VLAN所在接口上的合法用户，包括基于IP Source Guard静态绑定表项的检查、基于DHCP Snooping表项的检查。只要符合任何一个，就认为该ARP报文合法，进行转发。如果所有检查都没有找到匹配的表项，则认为是非法报文，直接丢弃。

(2) ARP报文有效性检查

对于ARP信任接口，不进行报文有效性检查；对于ARP非信任接口，需要根据配置对MAC地址和IP地址不合法的报文进行过滤。可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。

· 源MAC地址的检查模式：会检查ARP报文中的源MAC地址和以太网报文头中的源MAC地址是否一致，一致则认为有效，否则丢弃报文；

· 目的MAC地址的检查模式（只针对ARP应答报文）：会检查ARP应答报文中的目的MAC地址是否为全0或者全1，是否和以太网报文头中的目的MAC地址一致。全0、全1、不一致的报文都是无效的，需要被丢弃；

· IP地址检查模式：会检查ARP报文中的源IP或目的IP地址，如全1、或者组播IP地址都是不合法的，需要被丢弃。对于ARP应答报文，源IP和目的IP地址都进行检查；对于ARP请求报文，只检查源IP地址。

(3) ARP报文强制转发

对于从ARP信任接口接收到的ARP报文不受此功能影响，按照正常流程进行转发；对于从ARP非信任接口接收到的并且已经通过用户合法性检查的ARP报文的处理过程如下：

· 对于ARP请求报文，通过信任接口进行转发；

对于ARP应答报文，首先按照报文中的以太网目的MAC地址进行转发，若在MAC地址表中没有查到目的MAC地址对应的表项，则将此ARP应答报文通过信任接口进行转发。

5.11 DNS

DNS（Domain Name System，域名系统）是一种用于TCP/IP应用程序的分布式数据库，提供域名与地址之间的转换。IPv4 DNS提供域名和IPv4地址之间的转换，IPv6 DNS提供域名和IPv6地址之间的转换。

设备作为DNS客户端，当用户在设备上进行某些应用（如Telnet到一台设备或主机）时，可以直接使用便于记忆的、有意义的域名，通过域名系统将域名解析为正确的地址。

域名解析分为动态域名解析和静态域名解析两种。动态域名解析和静态域名解析可以配合使用。在解析域名时，首先采用静态域名解析（查找静态域名解析表），如果静态域名解析不成功，再采用动态域名解析。由于动态域名解析需要域名服务器的配合，会花费一定的时间，因而可以将一些常用的域名放入静态域名解析表中，这样可以大大提高域名解析效率。

5.11.1 动态域名解析

使用动态域名解析时，需要手工指定域名服务器的地址。

动态域名解析通过向域名服务器查询域名和地址之间的对应关系来实现将域名解析为地址。

动态域名解析支持域名后缀列表功能。用户可以预先设置一些域名后缀，在域名解析的时候，用户只需要输入域名的部分字段，系统会自动将输入的域名加上不同的后缀进行解析。例如，用户想查询域名aabbcc.com，那么可以先在后缀列表中配置com，然后输入aabbcc进行查询，系统会自动将输入的域名与后缀连接成aabbcc.com进行查询。

使用域名后缀的时候，根据用户输入域名方式的不同，查询方式分成以下几种情况：

· 如果用户输入的域名中没有“.”，比如aabbcc，系统认为这是一个主机名，会首先加上域名后缀进行查询，如果所有加后缀的域名查询都失败，将使用最初输入的域名（如aabbcc）进行查询。

· 如果用户输入的域名中间有“.”，比如www.aabbcc，系统直接用它进行查询，如果查询失败，再依次加上各个域名后缀进行查询。

· 如果用户输入的域名最后有“.”，比如aabbcc.com.，表示不需要进行域名后缀添加，系统直接用输入的域名进行查询，不论成功与否都直接返回结果。就是说，如果用户输入的字符中最后一个字符为“.”，就只根据用户输入的字符进行查找，而不会去匹配用户预先设置的域名后缀，因此最后这个“.”，也被称为查询终止符。带有查询终止符的域名，称为FQDN（Fully Qualified Domain Name，完全合格域名）。

5.11.2 静态域名解析

手工建立域名和地址之间的对应关系。当用户使用域名进行某些应用时，系统查找静态域名解析表，从中获取指定域名对应的地址。

5.11.3 DNS代理

DNS代理（DNS proxy）用来在DNS client和DNS server之间转发DNS请求和应答报文。局域网内的DNS client把DNS proxy当作DNS server，将DNS请求报文发送给DNS proxy。DNS proxy将该请求报文转发到真正的DNS server，并将DNS server的应答报文返回给DNS client，从而实现域名解析。

使用DNS proxy功能后，当DNS server的地址发生变化时，只需改变DNS proxy上的配置，无需改变局域网内每个DNS client的配置，从而简化了网络管理。

5.12 IPv6

IPv6（Internet Protocol Version 6，互联网协议版本6）是网络层协议的第二代标准协议，也被称为IPng（IP Next Generation，下一代互联网协议），它是IETF（Internet Engineering Task Force，互联网工程任务组）设计的一套规范，是IPv4的升级版本。IPv6和IPv4之间最显著的区别为：地址的长度从32比特增加到128比特。

5.12.1 IPv6地址表示方式

IPv6地址被表示为以冒号（:）分隔的一连串16比特的十六进制数。每个IPv6地址被分为8组，每组的16比特用4个十六进制数来表示，组和组之间用冒号隔开，比如：2001:0000:130F:0000:0000:09C0:876A:130B。

为了简化IPv6地址的表示，对于IPv6地址中的“0”可以有下面的处理方式：

· 每组中的前导“0”可以省略，即上述地址可写为2001:0:130F:0:0:9C0:876A:130B。

· 如果地址中包含一组或连续多组均为0的组，则可以用双冒号“::”来代替，即上述地址可写为2001:0:130F::9C0:876A:130B。

IPv6地址由两部分组成：地址前缀与接口标识。其中，地址前缀相当于IPv4地址中的网络号码字段部分，接口标识相当于IPv4地址中的主机号码部分。

地址前缀的表示方式为：IPv6地址/前缀长度。其中，前缀长度是一个十进制数，表示IPv6地址最左边多少位为地址前缀。

5.12.2 IPv6地址分类

IPv6主要有三种类型的地址：单播地址、组播地址和任播地址。

· 单播地址：用来唯一标识一个接口，类似于IPv4的单播地址。发送到单播地址的数据报文将被传送给此地址所标识的接口。

· 组播地址：用来标识一组接口（通常这组接口属于不同的节点），类似于IPv4的组播地址。发送到组播地址的数据报文被传送给此地址所标识的所有接口。

· 任播地址：用来标识一组接口（通常这组接口属于不同的节点）。发送到任播地址的数据报文被传送给此地址所标识的一组接口中距离源节点最近（根据使用的路由协议进行度量）的一个接口。

IPv6中没有广播地址，广播地址的功能通过组播地址来实现。

IPv6地址类型是由地址前面几位（称为格式前缀）来指定的，主要地址类型与格式前缀的对应关系如表5-5所示。

表5-5 IPv6地址类型与格式前缀的对应关系

地址类型		格式前缀（二进制）	IPv6前缀标识	简介
单播地址	未指定地址	00...0 (128 bits)	::/128	不能分配给任何节点。在节点获得有效的IPv6地址之前，可在发送的IPv6报文的源地址字段填入该地址，但不能作为IPv6报文中的目的地址
	环回地址	00...1 (128 bits)	::1/128	不能分配给任何物理接口。它的作用与在IPv4中的环回地址相同，即节点用来给自己发送IPv6报文
	链路本地地址	1111111010	FE80::/10	用于邻居发现协议和无状态自动配置中链路本地上节点之间的通信。使用链路本地地址作为源或目的地址的数据报文不会被转发到其他链路上
	全球单播地址	其他形式	-	等同于IPv4公网地址，提供给网络服务提供商。这种类型的地址允许路由前缀的聚合，从而限制了全球路由表项的数量
组播地址		11111111	FF00::/8	-
任播地址		从单播地址空间中进行分配，使用单播地址的格式		-

5.12.3 IEEE EUI-64生成接口标识

IPv6单播地址中的接口标识符用来唯一标识链路上的一个接口。目前IPv6单播地址基本上都要求接口标识符为64位。

不同接口的IEEE EUI-64格式的接口标识符的生成方法不同，分别介绍如下：

· 所有IEEE 802接口类型（例如，以太网接口、VLAN接口）：IEEE EUI-64格式的接口标识符是从接口的链路层地址（MAC地址）变化而来的。IPv6地址中的接口标识符是64位，而MAC地址是48位，因此需要在MAC地址的中间位置（从高位开始的第24位后）插入十六进制数FFFE（1111111111111110）。为了使接口标识符的作用范围与原MAC地址一致，还要将Universal/Local (U/L)位（从高位开始的第7位）进行取反操作。最后得到的这组数就作为EUI-64格式的接口标识符。

· Tunnel接口：IEEE EUI-64格式的接口标识符的低32位为Tunnel接口的源IPv4地址，ISATAP隧道的接口标识符的高32位为0000:5EFE，其他隧道的接口标识符的高32位为全0。

· 其他接口类型（例如，Serial接口）：IEEE EUI-64格式的接口标识符由设备随机生成。

5.12.4 接口上全球单播地址的配置方法

IPv6全球单播地址可以通过下面几种方式配置：

· 采用EUI-64格式形成：当配置采用EUI-64格式形成IPv6地址时，接口的IPv6地址的前缀需要手工配置，而接口标识符则由接口自动生成；

· 手工配置：用户手工配置IPv6全球单播地址；

· 无状态自动配置：根据接收到的RA报文中携带的地址前缀信息及使用EUI-64功能生成的接口标识，自动为接口生成IPv6全球单播地址；

· 有状态获取地址：通过DHCPv6服务器自动获取IPv6地址。

一个接口上可以配置多个全球单播地址。

5.12.5 接口上链路本地地址的配置方法

IPv6的链路本地地址可以通过两种方式获得：

· 自动生成：设备根据链路本地地址前缀（FE80::/10）及使用EUI-64功能生成的接口标识，自动为接口生成链路本地地址；

· 手工指定：用户手工配置IPv6链路本地地址。

每个接口只能有一个链路本地地址，为了避免链路本地地址冲突，推荐使用链路本地地址的自动生成方式。

配置链路本地地址时，手工指定方式的优先级高于自动生成方式。即如果先采用自动生成方式，之后手工指定，则手工指定的地址会覆盖自动生成的地址；如果先手工指定，之后采用自动生成的方式，则自动配置不生效，接口的链路本地地址仍是手工指定的。此时，如果删除手工指定的地址，则自动生成的链路本地地址会生效。

5.13 ND

IPv6邻居发现（Neighbor Discovery，ND）协议使用五种类型的ICMPv6消息（如表5-6所示），实现地址解析、验证邻居是否可达、重复地址检测、路由器发现/前缀发现、地址自动配置和重定向等功能。

表5-6 ND使用的ICMPv6消息

ICMPv6消息	类型号	作用
邻居请求消息NS（Neighbor Solicitation）	135	获取邻居的链路层地址
		验证邻居是否可达
		进行重复地址检测
邻居通告消息NA（Neighbor Advertisement）	136	对NS消息进行响应
邻居通告消息NA（Neighbor Advertisement）	136	节点在链路层变化时主动发送NA消息，向邻居节点通告本节点的变化信息
路由器请求消息RS（Router Solicitation）	133	节点启动后，通过RS消息向路由器发出请求，请求前缀和其他配置信息，用于节点的自动配置
路由器通告消息RA（Router Advertisement）	134	对RS消息进行响应
路由器通告消息RA（Router Advertisement）	134	在没有抑制RA消息发布的条件下，路由器会周期性地发布RA消息，其中包括前缀信息选项和一些标志位的信息
重定向消息（Redirect）	137	当满足一定的条件时，缺省网关通过向源主机发送重定向消息，使主机重新选择正确的下一跳地址进行后续报文的发送

5.13.2 邻居表项

邻居表项保存的是设备在链路范围内的邻居信息，设备邻居表项可以通过邻居请求消息NS及邻居通告消息NA来动态创建，也可以通过手工配置来静态创建。

目前，静态邻居表项有两种配置方式：

· 配置本节点的三层接口相连的邻居节点的IPv6地址和链路层地址；

· 配置本节点VLAN中的二层端口相连的邻居节点的IPv6地址和链路层地址。

对于VLAN接口，可以采用上述两种方式来配置静态邻居表项：

· 采用第一种方式配置静态邻居表项后，设备还需要解析该VLAN下的二层端口信息。

· 采用第二种方式配置静态邻居表项后，需要保证该二层端口属于指定的VLAN，且该VLAN已经创建了VLAN接口。

5.13.3 RA报文

设备为同一链路上的主机发布RA报文，主机可以根据RA报文中的信息进行无状态自动配置等操作。设备可以抑制RA报文的发送，也可以周期性发送RA报文，相邻两次RA报文发送时间间隔是在最大时间间隔与最小时间间隔之间随机选取的一个值。最小时间间隔应该小于等于最大时间间隔的0.75倍。

RA报文中的参数和参数描述如表5-7所示。

表5-7 RA报文中的参数

参数	描述
地址前缀/前缀长度	主机根据该地址前缀/前缀长度生成对应的IPv6地址，完成无状态自动配置操作
有效生命期	表示前缀有效期。在有效生命期内，通过该前缀自动生成的地址可以正常使用；有效生命期过期后，通过该前缀自动生成的地址变为无效，将被删除
首选生命期	表示首选通过该前缀无状态自动配置地址的时间。首选生命期过期后，节点通过该前缀自动配置的地址将被废止。节点不能使用被废止的地址建立新的连接，但是仍可以接收目的地址为被废止地址的报文。首选生命期必须小于或等于有效生命期
不用于无状态配置标识	选择了该标识，则指定前缀不用于无状态地址配置
不是直连可达标识	选择了该标识，则表示该前缀不是当前链路上直连可达的
MTU	发布链路的MTU，可以用于确保同一链路上的所有节点采用相同的MTU值
不指定跳数限制标识	选择了该标识，则表示RA消息中不带有本设备的跳数限制
被管理地址配置标志位（M flag）	用于确定主机是否采用有状态自动配置获取IPv6地址如果选择了该标志位，主机将通过有状态自动配置（例如DHCPv6服务器）来获取IPv6地址；否则，将通过无状态自动配置获取IPv6地址，即根据自己的链路层地址及路由器发布的前缀信息生成IPv6地址
其他信息配置标志位（O flag）	用于确定主机是否采用有状态自动配置获取除IPv6地址外的其他信息如果选择了其他信息配置标志位，主机将通过有状态自动配置（例如DHCPv6服务器）来获取除IPv6地址外的其他信息；否则，将通过无状态自动配置获取其他信息
路由器生存时间（Router Lifetime）	用于设置发布RA消息的路由器作为主机的默认路由器的时间。主机根据接收到的RA消息中的路由器生存时间参数值，就可以确定是否将发布该RA消息的路由器作为默认路由器。发布RA消息中路由器生存时间为0的路由器不能作为默认路由器
邻居请求重传间隔（Retrans Timer）	设备发送NS消息后，如果未在指定的时间间隔内收到响应，则会重新发送NS消息
配置路由优先级 ( Router Preference )	用于设置发布RA消息的路由器的路由器优先级，主机根据接收到的RA消息中的路由器优先级，可以选择优先级最高的路由器作为默认网关。在路由器的优先级相同的情况下，遵循“先来先用”的原则，优先选择先接收到的RA消息对应的发送路由器作为默认网关
保持邻居可达时间（Reachable Time）	当通过邻居可达性检测确认邻居可达后，在所设置的可达时间内，设备认为邻居可达；超过设置的时间后，如果需要向邻居发送报文，会重新确认邻居是否可达

5.13.4 ND代理功能

如果NS请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机，那么连接它们的具有代理功能的设备就可以代答该请求，回应NA报文，这个过程称作ND代理（ND Proxy）。

ND Proxy功能屏蔽了分离的物理网络这一事实，使用户使用起来，好像在同一个物理网络上。

ND Proxy功能根据应用场景不同分为普通ND Proxy和本地ND Proxy。

1. 普通ND Proxy

普通ND Proxy的典型应用环境如图5-1所示。Device通过两个三层接口Int A和Int B连接两个网络，两个三层接口的IPv6地址不在同一个网段，接口地址分别为4:1::99/64、4:2::99/64。但是两个网络内的主机Host A和Host B的地址通过掩码的控制，既与相连设备的接口地址在同一网段，同时二者也处于同一个网段。

图5-1 普通ND代理的典型应用环境

在这种组网情况下，当Host A需要与Host B通信时，由于目的IPv6地址与本机的IPv6地址为同一网段，因此Host A会直接发出请求Host B硬件地址的NS请求。但是，此时的两台主机处于不同的广播域中，Host B无法收到Host A的NS请求报文，当然也就无法应答。

通过在Device上启用普通ND Proxy功能，可以解决此问题。在接口Int A和Int B上启用普通ND Proxy后，Router可以应答Host A的NS请求。同时，Device作为Host B的代理，把其它主机发送过来的报文转发给Host B。这样，实现Host A与Host B之间的通信。

2. 本地ND Proxy

本地ND Proxy的应用场景如图5-2所示。Host A属于VLAN 2，Host B属于VLAN 3，它们分别连接到端口Int A和Int C上。

图5-2 本地ND代理的应用场景

在这种组网情况下，当Host A需要与Host B通信时，由于目的IPv6地址与本机的IPv6地址为同一网段，因此Host A会直接发出请求Host B硬件地址的NS请求。但是，因为连接两台主机处于不同的VLAN中，Host B无法收到Host A的NS请求报文。

通过在Device A上启用本地ND Proxy功能，可以解决此问题。在接口Int B上启用本地ND Proxy后，Device A会代替Host B回应NA，Host A发给Host B的报文就会通过Device A进行转发，从而实现Host A与Host B之间的通信。

5.14 端口镜像

端口镜像通过将指定端口的报文复制到与数据监测设备相连的端口，使用户可以利用数据监测设备分析这些复制过来的报文（称为镜像报文），以进行网络监控和故障排除。

在端口镜像中涉及以下概念：

(1) 源端口：设备上被监控的端口。源端口上的报文会被复制一份到目的端口。源端口所在的设备称为源设备。

(2) 目的端口：设备上与数据监测设备相连的端口，源端口上的报文将被复制一份到此端口。目的端口所在的设备称为目的设备。

(3) 镜像组：源端口和目的端口的组合，它分为：

· 本地镜像组：当源端口和目的端口位于同一设备时，端口所在镜像组称为本地镜像组。

· 远程镜像组：当源端口和目的端口位于不同设备时，源端口和目的端口所在的镜像组分别称为远程源镜像组和远程目的镜像组，镜像报文通过远程镜像VLAN在源设备与目的设备之间传输。

5.15 静态路由

静态路由是一种特殊的路由，由管理员手工配置。当网络结构比较简单时，只需配置静态路由就可以使网络正常工作。静态路由不能自动适应网络拓扑结构的变化，当网络发生故障或者拓扑发生变化后，必须由管理员手工修改配置。

缺省路由是在没有找到匹配的路由表项时使用的路由。配置IPv4缺省路由时，指定目的地址为0.0.0.0/0；配置IPv6缺省路由时，指定目的地址为::/0。

5.16 策略路由

与单纯依照IP报文的目的地址查找路由表进行转发不同，策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对于满足一定条件（ACL规则）的报文，执行指定的操作（设置报文的下一跳）。

5.16.1 策略

策略用来定义报文的匹配规则，以及对报文执行的操作。一个策略可以由一个或者多个节点组成。节点的构成如下：

· 每个节点由节点编号来标识。节点编号越小节点的优先级越高，优先级高的节点优先被执行。

· 每个节点的具体内容由报文匹配规则和执行操作来指定。报文匹配规则定义该节点的匹配规则，执行操作定义该节点的动作。

· 每个节点对报文的处理方式由匹配模式决定。匹配模式分为允许和拒绝两种。

应用策略后，系统将根据策略中定义的匹配规则和操作，对报文进行处理：系统按照优先级从高到低的顺序依次匹配各节点，如果报文满足这个节点的匹配规则，就执行该节点的动作；如果报文不满足这个节点的匹配规则，就继续匹配下一个节点；如果报文不能满足策略中任何一个节点的匹配规则，则根据路由表来转发报文。

1. 报文匹配规则

通过配置ACL规则用于匹配报文，用于执行后续操作。

2. 执行操作

设置报文转发的下一跳，并为其配置与Track项关联或是指定当前下一跳是否为直连下一跳。

5.16.2 策略路由与Track联动

策略路由通过与Track联动，增强了应用的灵活性和对网络环境变化的动态感知能力。

策略路由可以在配置报文的下一跳时与Track项关联，根据Track项的状态来动态地决定策略的可用性。策略路由配置仅在关联的Track项状态为Positive或NotReady时生效。

5.17 IGMP snooping

IGMP snooping（Internet Group Management Protocol snooping，互联网组管理协议窥探）运行在二层设备上，通过侦听三层设备与接收者主机间的IGMP报文建立IGMP snooping转发表，并根据该表指导组播数据的转发。

IGMP snooping转发表的表项由VLAN、组播组地址、组播源地址和成员端口四个元素构成，其中成员端口是指二层设备上朝向组播组成员的端口。

5.18 MLD snooping

MLD snooping（Multicast Listener Discovery snooping，组播侦听者发现协议窥探）运行在二层设备上，通过侦听三层设备与接收者主机间的MLD报文建立MLD snooping转发表，并根据该表指导IPv6组播数据的转发。

MLD snooping转发表的表项由VLAN、IPv6组播组地址、IPv6组播源地址和成员端口四个元素构成，其中成员端口是指二层设备上朝向IPv6组播组成员的端口。

5.19 HTTP/HTTPS

为了方便用户对网络设备进行配置和维护，设备提供了Web登录功能。用户可以通过PC登录到设备上，使用Web界面直观地配置和维护设备。

设备支持的Web登录方式有以下两种：

· HTTP登录方式：HTTP（Hypertext Transfer Protocol，超文本传输协议）用来在Internet上传递Web页面信息。目前，设备支持的HTTP协议版本为HTTP/1.0。

· HTTPS登录方式：HTTPS（Hypertext Transfer Protocol Secure，超文本传输协议的安全版本）是支持SSL（Secure Sockets Layer，安全套接字层）协议的HTTP协议。HTTPS通过SSL协议，能对客户端与设备之间交互的数据进行加密，能为设备制定基于证书属性的访问控制策略，提高了数据传输的安全性和完整性，保证合法客户端可以安全地访问设备，禁止非法客户端访问设备，从而实现了对设备的安全管理。

采用HTTPS登录时，设备上只需使能HTTPS服务，用户即可通过HTTPS登录设备。此时，设备使用的证书为自签名证书，使用的SSL参数为各个参数的缺省值。（自签名证书指的是服务器自己生成的证书，无需从CA获取）

通过引用ACL（Access Control List，访问控制列表），可以对访问设备的登录用户进行控制：

· 当未引用ACL、引用的ACL不存在或者引用的ACL为空时，允许所有登录用户访问设备；

· 当引用的ACL非空时，则只有ACL中permit的用户才能访问设备，其它用户不允许访问设备，可以避免非法用户使用Web页面登录设备。

5.20 SSH

SSH是Secure Shell（安全外壳）的简称，是一种在不安全的网络环境中，通过加密机制和认证机制，实现安全的远程访问以及文件传输等业务的网络安全协议。

SSH协议采用了典型的客户端/服务器模式，并基于TCP协议协商建立用于保护数据传输的会话通道。

本设备可作为SSH服务器，为SSH客户端提供以下几种应用：

· Secure Telnet：简称Stelnet，可提供安全可靠的网络终端访问服务。

· Secure FTP：简称SFTP，基于SSH2，可提供安全可靠的网络文件传输服务。

· Secure Copy：简称SCP，基于SSH2，可提供安全的文件复制功能。

SSH协议有两个版本，SSH1.x和SSH2.0（本文简称SSH1和SSH2），两者互不兼容。SSH2在性能和安全性方面比SSH1有所提高。设备作为SSH服务器时，非FIPS模式下支持SSH2和SSH1两个版本，FIPS模式下只支持SSH2版本。

设备作为SSH服务器时，利用本地密码认证机制验证SSH客户端的用户名和密码的合法性。身份认证通过后，SSH客户端将与SSH服务器建立相应的会话，并在该会话上进行数据信息的交互。

5.21 FTP

FTP用于在FTP服务器和FTP客户端之间传输文件，是IP网络上传输文件的通用协议。本设备可作为FTP服务器，使用20端口传输数据，使用21端口传输控制消息。

5.22 Telnet

设备可以开启Telnet服务器功能，以便用户能够通过Telnet登录到设备进行远程管理和监控。

通过引用ACL（Access Control List，访问控制列表），可以对访问设备的登录用户进行控制：

· 当未引用ACL、引用的ACL不存在或者引用的ACL为空时，允许所有登录用户访问设备；

· 当引用的ACL非空时，则只有ACL中permit的用户才能访问设备，其它用户不允许访问设备，可以避免非法用户通过Telnet访问设备。

5.23 NTP

NTP通过时钟层数来定义时钟的准确度。时钟层数的取值范围为1～15，取值越小，时钟准确度越高。

在某些网络中，例如无法与外界通信的孤立网络，网络中的设备无法与权威时钟进行时间同步。此时，可以从该网络中选择一台时钟较为准确的设备，指定该设备与本地时钟进行时间同步，即采用本地时钟作为参考时钟，使得该设备的时钟处于同步状态。该设备作为时间服务器为网络中的其他设备提供时间同步，从而实现整个网络的时间同步。

通过Web页面可以配置本地时钟作为参考时钟。

5.24 SNMP

SNMP（Simple Network Management Protocol，简单网络管理协议）是互联网中的一种网络管理标准协议，广泛用于实现管理设备对被管理设备的访问和管理。

使用SNMP协议，网络的管理者（NMS）可以读取/设置设备（Agent）上参数的值，设备可以向NMS发送Trap信息，自动告知设备上发生的紧急事件。

5.24.1 MIB

1. MIB简介

MIB（Management Information Base，管理信息库）是被管理对象的集合，比如接口状态、CPU利用率等，这些被管理对象，在MIB中称为节点。每个Agent都有自己的MIB。MIB定义了节点之间的层次关系以及对象的一系列属性，比如对象的名称、访问权限和数据类型等。NMS根据访问权限对MIB节点进行读/写操作，从而实现对Agent的管理。

2. OID和子树

MIB以树状结构进行存储。树的每个节点都是一个被管理对象，它用从根开始的一条路径唯一地识别（OID）。例如，被管理对象internet可以用一串数字{1.3.6.1}唯一确定，这串数字是被管理对象的OID（Object Identifier，对象标识符）。

子树是MIB树上的一个分枝，是子树根节点和根节点下所有子节点的集合。子树可以用该子树根节点的OID来标识，例如，以private为根节点的子树的OID为private的OID——{1.3.6.1.4}。

3. MIB视图

MIB视图是MIB的子集合，将团体名/用户名与MIB视图绑定，可以限制NMS能够访问的MIB对象。当用户配置MIB视图包含某个MIB子树时，NMS可以访问该子树的所有节点；当用户配置MIB视图不包含某个MIB子树时，NMS不能访问该子树的所有节点。

4. 子树掩码

子树掩码用来和子树OID共同来确定一个视图的范围。子树掩码用十六进制格式表示，转化成二进制后，每个比特位对应OID中的一个小节，其中，

· 1表示精确匹配，即要访问的节点OID与MIB对象子树OID对应小节的值必须相等；

· 0表示通配，即要访问的节点OID与MIB对象子树OID对应小节的值可以不相等。

例如：子树掩码为0xDB（二进制格式为11011011），子树OID为1.3.6.1.6.1.2.1，所确定的视图就包括子树OID为1.3.*.1.6.*.2.1（*表示可为任意数字）的子树下的所有节点。

· 若子树掩码的bit数目大于子树OID的小节数，则匹配时，子树掩码的第一位与子树OID的第一小节对齐，第二位与第二小节对齐，以此类推，子树掩码中多出的bit位将被忽略。

· 若子树掩码的bit数目小于子树OID的小节数，则匹配时，子树掩码的第一位与子树OID的第一小节对齐，第二位与第二小节对齐，以此类推，子树掩码中不足的bit位将自动设置为1。

· 如果没有指定子树掩码，则使用缺省子树掩码（全1）。

5.24.2 SNMP版本

设备支持SNMPv1、SNMPv2c和SNMPv3三种版本。只有NMS和Agent使用的SNMP版本相同时，NMS才能和Agent建立连接。

· SNMPv1和SNMPv2c使用团体名认证。只有设备和NMS上配置的团体名相同，NMS才可以访问设备。

· SNMPv3采用用户名认证机制，并且可以配置认证和加密功能。认证用于验证报文发送方的合法性，避免非法用户的访问；加密则是对NMS和Agent之间的传输报文进行加密，以免被窃听。采用认证和加密功能可以为NMS和Agent之间的通信提供更高的安全性。

5.24.3 SNMP的访问控制

1. SNMPv1和SNMPv2c的访问控制

用户在创建团体名的时候可以：

· 使用MIB视图限定NMS可以访问的节点。一个团体名只能绑定一个MIB视图。

¡ 当访问规则配置为只读时，表示NMS只能获取MIB视图中包含的MIB节点的值。

¡ 当访问规则配置为读写时，表示NMS可以读取和设置MIB视图中包含的MIB节点的值。

· 使用基本ACL和高级ACL来限制非法NMS访问设备：

¡ 当引用的ACL下配置了规则时，则只有规则中permit的NMS才能访问设备，其它NMS不允许访问设备。

¡ 当未引用ACL、引用的ACL不存在、或者引用的ACL下没有配置规则时，允许所有NMS访问设备。

2. SNMPv3的访问控制

用户在创建组的时候，可以使用MIB视图限定NMS可以访问的节点。只读视图、读写视图或通知视图，至少配置一个：

· 配置只读视图，表示NMS使用该组内的用户名访问设备时，只能获取只读视图中包含的MIB节点的值。一个组只能绑定一个只读视图。

· 配置读写视图，表示NMS使用该组内的用户名访问设备时，可以读取和设置读写视图中包含的MIB节点的值。一个组只能绑定一个读写视图。

· 配置通知视图，表示NMS使用该组内的用户名访问设备时，通知视图中的Trap节点会自动向NMS发送通告。一个组只能绑定一个只读视图。

用户在创建用户名的时候和组绑定，表示NMS使用该用户名访问设备时，只能访问组内限定的节点。

用户在创建组和用户的时候，均可以使用基本ACL和高级ACL来限制非法NMS访问设备。只有组和用户绑定的ACL均允许的NMS才能访问设备，组和用户绑定的ACL均遵循以下规则：

· 当引用的ACL下配置了规则时，则只有规则中permit的NMS才能访问设备，其它NMS不允许访问设备。

· 当未引用ACL、引用的ACL不存在、或者引用的ACL下没有配置规则时，允许所有NMS访问设备。

6 资源功能介绍

6.1 ACL

ACL（Access Control List，访问控制列表）是一或多条规则的集合，用于识别报文流。这里的规则是指描述报文匹配条件的判断语句，匹配条件可以是报文的源地址、目的地址、端口号等。设备依照这些规则识别出特定的报文，并根据预先设定的策略对其进行处理。

6.1.1 ACL分类

ACL包括表6-1所列的几种类型，它们的主要区别在于规则制订依据不同：

表6-1 ACL分类

ACL分类		规则制定依据
IPv4 ACL	基本ACL	依据报文的源IPv4地址制订规则
IPv4 ACL	高级ACL	依据报文的源/目的IPv4地址、源/目的端口号、优先级、承载的IPv4协议类型等三、四层信息制订规则
IPv6 ACL	基本ACL	依据报文的源IPv6地址制订规则
IPv6 ACL	高级ACL	依据报文的源/目的IPv6地址、源/目的端口号、优先级、承载的IPv6协议类型等三、四层信息制订规则
二层ACL		依据报文的源/目的MAC地址、802.1p优先级、链路层协议类型等二层信息

6.1.2 ACL规则匹配顺序

一个ACL中可以包含多条规则，设备将报文按照一定顺序与这些规则进行匹配，一旦匹配上某条规则便结束匹配过程。规则匹配顺序有两种：

· 配置顺序：按照规则编号由小到大进行匹配。

· 自动排序：按照“深度优先”原则由深到浅进行匹配，见表6-2：

表6-2 各类型ACL的“深度优先”排序法则

ACL分类		规则制定依据
IPv4 ACL	基本ACL	(1) 先比较源IPv4地址的范围，较小者（即通配符掩码中“0”位较多者）优先 (2) 如果源IPv4地址范围相同，再比较配置的先后次序，先配置者优先
IPv4 ACL	高级ACL	(1) 先比较协议范围，指定有IPv4承载的协议类型者优先 (2) 如果协议范围相同，再比较源IPv4地址范围，较小者优先 (3) 如果源IPv4地址范围也相同，再比较目的IPv4地址范围，较小者优先 (4) 如果目的IPv4地址范围也相同，再比较TCP/UDP端口号的覆盖范围，较小者优先 (5) 如果TCP/UDP端口号的覆盖范围无法比较，则比较配置的先后次序，先配置者优先
IPv6 ACL	基本ACL	(1) 先比较源IPv6地址的范围，较小者（即前缀较长者）优先 (2) 如果源IPv6地址范围相同，再比较配置的先后次序，先配置者优先
IPv6 ACL	高级ACL	(1) 先比较协议范围，指定有IPv6承载的协议类型者优先 (2) 如果协议范围相同，再比较源IPv6地址范围，较小者优先 (3) 如果源IPv6地址范围也相同，再比较目的IPv6地址范围，较小者优先 (4) 如果目的IPv6地址范围也相同，再比较TCP/UDP端口号的覆盖范围，较小者优先 (5) 如果TCP/UDP端口号的覆盖范围无法比较，则比较配置的先后次序，先配置者优先
二层ACL		(1) 先比较源MAC地址范围，较小者（即掩码中“1”位较多者）优先 (2) 如果源MAC地址范围相同，再比较目的MAC地址范围，较小者优先 (3) 如果目的MAC地址范围也相同，再比较配置的先后次序，先配置者优先

· 比较IPv4地址范围的大小，就是比较IPv4地址通配符掩码中“0”位的多少。

· 比较IPv6地址范围的大小，就是比较IPv6地址前缀的长短：前缀越长，范围越小。

· 比较MAC地址范围的大小，就是比较MAC地址掩码中“1”位的多少：“1”位越多，范围越小。

6.1.3 ACL规则编号

每条规则都有自己的编号，这个编号可由手工指定或由系统自动分配。由于规则编号可能影响规则的匹配顺序，因此当系统自动分配编号时，为方便后续在已有规则之间插入新规则，通常在相邻编号之间留有一定空间，这就是规则编号的步长。系统自动分配编号的方式为：从0开始，按照步长分配一个大于现有最大编号的最小编号。比如原有编号为0、5、9、10和12的五条规则，步长为5，则系统将自动为下一条规则分配编号15。如果步长发生了改变，则原有全部规则的编号都将自动从0开始按新步长重新排列。比如原有编号为0、5、9、10和15的五条规则，当步长变为2后，这些规则的编号将依次变为0、2、4、6和8。

6.2 时间段

时间段（Time Range）定义了一个时间范围。用户通过创建一个时间段并在某业务中将其引用，就可使该业务在此时间段定义的时间范围内生效。但如果一个业务所引用的时间段尚未配置或已被删除，该业务将不会生效。

譬如，当一个ACL规则只需在某个特定时间范围内生效时，就可以先配置好这个时间段，然后在配置该ACL规则时引用此时间段，这样该ACL规则就只能在该时间段定义的时间范围内生效。

时间段可分为以下两种类型：

· 周期时间段：表示以一周为周期（如每周一的8至12点）循环生效的时间段。

· 绝对时间段：表示在指定时间范围内（如2011年1月1日8点至2011年1月3日18点）生效时间段。

每个时间段都以一个名称来标识，一个时间段内可包含一或多个周期时间段和绝对时间段。当一个时间段内包含有多个周期时间段和绝对时间段时，系统将先分别取各周期时间段的并集和各绝对时间段的并集，再取这两个并集的交集作为该时间段最终生效的时间范围。

6.3 SSL

SSL（Secure Sockets Layer，安全套接字层）是一个安全协议，为基于TCP的应用层协议（如HTTP）提供安全连接。SSL协议广泛应用于电子商务、网上银行等领域，为应用层数据的传输提供安全性保证。

SSL提供的安全连接可以实现如下功能：

· 保证数据传输的机密性：利用对称密钥算法对传输的数据进行加密，并利用密钥交换算法，如RSA（Rivest Shamir and Adleman），加密传输对称密钥算法中使用的密钥。

· 验证数据源的身份：基于数字证书利用数字签名方法对SSL服务器和SSL客户端进行身份验证。SSL服务器和SSL客户端通过PKI（Public Key Infrastructure，公钥基础设施）提供的机制获取数字证书。

· 保证数据的完整性：消息传输过程中使用MAC（Message Authentication Code，消息验证码）来检验消息的完整性。

6.4 公钥

在非对称密钥算法中，加密和解密使用的密钥一个是对外公开的公钥，一个是由用户秘密保存的私钥。公钥和私钥一一对应，二者统称为非对称密钥对。设备支持的非对称密钥算法包括RSA（Rivest Shamir and Adleman）、DSA（Digital Signature Algorithm，数字签名算法）和ECDSA（Elliptic Curve Digital Signature Algorithm，椭圆曲线数字签名算法）等。

非对称密钥算法广泛应用于各种应用中，例如SSH（Secure Shell，安全外壳）、SSL（Secure Sockets Layer，安全套接字层）、PKI（Public Key Infrastructure，公钥基础设施）。为配合具体应用使用非对称密钥算法进行加/解密和数字签名，设备统一对自身及远端的密钥对进行了管理。

6.4.1 管理本地非对称密钥对

1. 生成本地非对称密钥对

在本地设备上，可以生成RSA、DSA、ECDSA三种类型的本地非对称密钥。

2. 显示或导出本地非对称密钥对中的主机公钥

在本地设备上，可以对本地非对称密钥对进行查看和导出操作，具体包括：

· 直接查看非对称密钥对中的公钥信息。记录下该主机公钥数据后，在远端主机上，可以通过文本粘贴的方式将记录的本地主机公钥导入到远端设备上。

· 按照指定格式将本地主机公钥导出到指定文件。将该文件上传到远端主机上后，可以通过从公钥文件中导入的方式将本地主机公钥保存到远端设备上。

· 按照指定格式将本地主机公钥导出到页面上显示。通过拷贝粘贴等方式将显示的主机公钥保存到文件中，并将该文件上传到远端主机上后，可以通过从公钥文件中导入的方式将本地主机公钥保存到远端设备上。

3. 销毁本地非对称密钥对

在如下几种情况下，建议用户销毁旧的非对称密钥对，并生成新的密钥对：

· 本地设备的私钥泄露。这种情况下，非法用户可能会冒充本地设备访问网络。

· 保存密钥对的存储设备出现故障，导致设备上没有公钥对应的私钥，无法再利用旧的非对称密钥对进行加/解密和数字签名。

· 本地证书到达有效期，需要删除对应的本地密钥对。

6.4.2 管理远端主机公钥

在本地设备上，可以对远端非对称密钥对的公钥进行导入、查看和删除操作。在某些应用（如SSH）中，为了实现本地设备对远端主机的身份验证，需要在本地设备上保存远端主机的RSA或DSA主机公钥。保存远端主机公钥是通过导入远端主机公钥的操作实现的。

导入远端主机公钥的方式有如下两种：

· 从公钥文件中获取：事先将远端主机的公钥文件保存到本地设备（例如，通过FTP或TFTP，以二进制方式将远端主机的公钥文件保存到本地设备），本地设备从该公钥文件中导入远端主机的公钥。导入公钥时，系统会自动将远端主机的公钥文件转换为PKCS（Public Key Cryptography Standards，公共密钥加密标准）编码形式。

· 文本输入：事先在远端主机上查看其公钥信息，并记录远端主机公钥的内容。在本地设备上采用手工输入的方式将远端主机的公钥数据导入到本地。手工输入对端主机公钥时，可以逐个字符输入，也可以一次拷贝粘贴多个字符。

6.5 PKI

PKI（Public Key Infrastructure，公钥基础设施）是一个利用公钥理论和技术来实现并提供信息安全服务的具有通用性的安全基础设施。

PKI系统以数字证书的形式分发和使用公钥。基于数字证书的PKI系统，能够为网络通信和网络交易（例如电子政务和电子商务）提供各种安全服务。目前，设备的PKI系统可为安全协议IPsec（IP Security，IP安全）、SSL（Secure Sockets Layer，安全套接字层）提供证书管理机制。

6.5.1 数字证书和CRL

数字证书是经CA（Certificate Authority，证书颁发机构）签名的、包含公钥及相关的用户身份信息的文件，它建立了用户身份信息与用户公钥的关联。CA对数字证书的签名保证了证书是可信任的。数字证书的格式遵循ITU-T X.509国际标准，目前最常用的为X.509 V3标准。数字证书中包含多个字段，包括证书签发者的名称、被签发者的名称（或者称为主题）、公钥信息、CA对证书的数字签名、证书的有效期等。

本文涉及两类证书：CA证书、本地证书。

· CA证书是CA持有的证书。若PKI系统中存在多个CA，则会形成一个CA层次结构，最上层的CA是根CA，它持有一个自签名的证书（即根CA对自己的证书签名），下一级CA证书分别由上一级CA签发。这样，从根CA开始逐级签发的证书就会形成多个可信任的链状结构，每一条路径称为一个证书链。

· 本地证书是本设备持有的证书，由CA签发。

由于用户名称的改变、私钥泄漏或业务中止等原因，需要存在一种方法将现行的证书吊销，即废除公钥及相关的用户身份信息的绑定关系。在PKI系统中，可以通过发布CRL（Certificate Revocation List，证书吊销列表）的方式来公开证书的吊销信息。当一个或若干个证书被吊销以后，CA签发CRL来声明这些证书是无效的，CRL中会列出所有被吊销的证书的序列号。因此，CRL提供了一种检验证书有效性的方式。

6.5.2 PKI体系结构

一个PKI体系由终端PKI实体、CA、RA和证书/CRL发布点四类实体共同组成。

1. PKI实体

PKI实体是PKI服务的最终使用者，可以是个人、组织、设备或计算机中运行的进程。一份证书是一个公钥与一个实体身份信息的绑定。PKI实体的参数是PKI实体的身份信息，CA根据PKI实体提供的身份信息来唯一标识证书申请者。

一个有效的PKI实体参数中必须至少包括以下参数之一：

(1) DN（Distinguished Name，识别名），包含以下参数：

· 实体通用名。对于DN参数，实体的通用名必须配置。

· 实体所属国家代码，用标准的两字符代码表示。例如，“CN”是中国的合法国家代码，“US”是美国的合法国家代码

· 实体所在地理区域名称

· 实体所属组织名称

· 实体所属组织部门名称

· 实体所属州省

(2) FQDN（Fully Qualified Domain Name，完全合格域名），是PKI实体在网络中的唯一标识

(3) IP地址

2. CA（Certificate Authority，证书颁发机构）

CA是一个用于签发并管理数字证书的可信PKI实体。其作用包括：签发证书、规定证书的有效期和发布CRL。

3. RA（Registration Authority，证书注册机构）

RA是一个受CA委托来完成PKI实体注册的机构，它接收用户的注册申请，审查用户的申请资格，并决定是否同意CA给其签发数字证书，用于减轻CA的负担。建议在部署PKI系统时，RA与CA安装在不同的设备上，减少CA与外界的直接交互，以保护CA的私钥。

4. 证书/CRL发布点

证书/CRL发布点用于对用户证书和CRL进行存储和管理，并提供查询功能。通常，证书/CRL发布点位于一个目录服务器上，该服务器可以采用LDAP（Lightweight Directory Access Protocol，轻量级目录访问协议）协议、HTTP等协议工作。其中，较为常用的是LDAP协议，它提供了一种访问发布点的方式。LDAP服务器负责将CA/RA服务器传输过来的数字证书或CRL进行存储，并提供目录浏览服务。用户通过访问LDAP服务器获取自己和其他用户的数字证书或者CRL。

6.5.3 管理证书

设备基于PKI域管理证书，并为相关应用（比如IPsec、SSL）基于PKI域提供证书服务。PKI域是一个本地概念，一个PKI域中包括了证书申请操作相关的信息，例如PKI实体名称、证书申请使用的密钥对、证书的扩展用途等。

1. 导入证书

导入证书是指，将PKI实体有关的CA证书、本地证书导入到PKI域中保存。如果设备所处的环境中没有证书的发布点、CA服务器不支持通过SCEP协议与设备交互、或者证书对应的密钥对由CA服务器生成，则可采用此方式获取证书。

证书导入之前：

· 需要通过FTP、TFTP等协议将证书文件传送到设备的存储介质中。

· 必须存在签发本地证书的CA证书链才能成功导入本地证书，这里的CA证书链可以是保存在设备上的PKI域中的，也可以是本地证书中携带的。因此，若设备和本地证书中都没有CA证书链，则需要首先执行导入CA证书的操作。

导入本地证书时：

· 如果用户要导入的本地证书中含有CA证书链，则可以通过导入本地证书的操作一次性将CA证书和本地证书均导入到设备。

· 如果要导入的本地证书中不含有CA证书链，但签发此本地证书的CA证书已经存在于设备上的任一PKI域中，则可以直接导入本地证书。

· 如果要导入的证书文件中包含了根证书，则需要确认该根证书的指纹信息是否与用户的预期一致。用户需要通过联系CA服务器管理员来获取预期的根证书指纹信息。

· 如果导入的本地证书中包含了密钥对，则需要输入密钥对口令。用户需要联系CA服务器管理员取得口令的内容。导入过程中，系统首先根据查找到的PKI域中已有的密钥对配置来保存该密钥对。若PKI域中已保存了对应的密钥对，则设备会提示用户选择是否覆盖已有的密钥对。若该PKI域中没有任何密钥对的配置或已有的密钥对的配置与证书中的密钥对不一致，则设备会根据证书中的密钥对的算法及证书的密钥用途，重新生成相应的密钥对配置。

导入CA证书时：

· 如果要导入的CA证书为根CA或者包含了完整的证书链（即含有根证书），则可以导入到设备。

· 如果要导入的CA证书没有包含完整的证书链（即不含有根证书），但能够与设备上已有的CA证书拼接成完整的证书链，则也可以导入到设备；如果不能与设备上已有的CA证书拼接成完成的证书链，则不能导入到设备。

2. 导出证书

PKI域中已存在的CA证书、本地证书可以导出到文件中保存，导出的证书可以用于证书备份或供其它设备使用。

3. 请求证书

请求证书的过程就是PKI实体向CA自我介绍的过程。PKI实体向CA提供身份信息，以及相应的公钥，这些信息将成为颁发给该PKI实体证书的主要组成部分。设备可以为PKI实体生成证书申请信息，之后由用户通过带外方式（如电话、电子邮件等）将该信息发送给CA进行证书申请。

在请求本地证书之前，必须保证当前的PKI域中已经存在CA证书且指定了证书请求时使用的密钥对。

· PKI域中的CA证书用来验证获取到的本地证书的真实性和合法性。

· PKI域中指定的密钥对用于为PKI实体申请本地证书，其中的公钥和其他信息交由CA进行签名，从而产生本地证书。

生成证书申请时，如果本地不存在PKI域中所指定的密钥对，则系统会根据PKI域中指定的名字、算法和长度自动生成对应的密钥对。

6.6 证书访问控制

6.6.1 证书访问控制策略

通过应用证书访问控制策略，可以对安全应用中的用户访问权限进行进一步的控制，保证了与之通信的服务器端的安全性。例如，在HTTPS（Hypertext Transfer Protocol Secure，超文本传输协议的安全版本）应用中，HTTPS服务器可以通过引用证书访问控制策略，根据自身的安全需要对客户端的证书合法性进行检测。

一个证书访问控制策略中可以定义多个访问控制规则，每一个访问控制规则都是一个动作与一个证书属性组的关联：

· 动作：表示与该规则匹配的证书是否有效。“允许”表示证书有效；“拒绝”表示证书无效。

· 证书属性组：一系列属性规则的集合，这些属性规则是对证书的颁发者名、主题名以及备用主题名进行过滤的匹配条件。

证书与访问控制规则的匹配原则：

· 如果一个证书中的相应属性能够满足一条访问控制规则所关联的证书属性组中所有属性规则的要求，则认为该证书和该规则匹配。

· 如果访问控制规则关联的证书属性组不存在，或者该证书属性组没有配置任何属性，则认为所有证书都能够和该规则相匹配。

· 如果一个证书访问控制策略中有多个规则，则按照规则编号从小到大的顺序遍历所有规则，一旦证书与某一个规则匹配，则立即结束检测，不再继续匹配其它规则。

· 若遍历完所有规则后，证书没有与任何规则匹配，则该证书将因不能通过访问控制策略的检测而被认为无效。

· 若安全应用（如HTTPS）引用的证书访问控制策略不存在，则认为该应用中被检测的证书有效。

6.6.2 证书属性组

一个证书属性组中可以定义多个属性规则，每一个属性规则表示了一个证书属性的匹配条件，该匹配条件由属性、操作符、属性域、属性值组成。

不同类型的证书属性域与操作关键字的组合代表了不同的匹配条件，具体如下表所示：

表6-3 对证书属性域的操作涵义

操作符	DN属性域	FQDN//IP属性域
包含	DN中包含指定的属性值	任意一个FQDN/IP中包含了指定的属性值
不包含	DN中不包含指定的属性值	所有FQDN/IP中均不包含指定的属性值
等于	DN等于指定的属性值	任意一个FQDN/IP等于指定的属性值
不等于	DN不等于指定的属性值	所有FQDN/IP均不等于指定的属性值

证书属性与属性规则的匹配原则：

· 如果证书的相应属性中包含了属性规则里指定的属性域，且满足属性规则中定义的匹配条件，则认为该属性与属性规则相匹配。只有证书中的相应属性与某属性组中的所有属性规则都匹配，才认为该证书与此属性组匹配。

· 如果证书中的某属性中没有包含属性规则中指定的属性域，或者不满足属性规则中的匹配条件，则认为该证书与此属性组不匹配。

7 QoS功能介绍

7.1 QoS策略

QoS即服务质量。对于网络业务，影响服务质量的因素包括传输的带宽、传送的时延、数据的丢包率等。在网络中可以通过保证传输的带宽、降低传送的时延、降低数据的丢包率以及时延抖动等措施来提高服务质量。

QoS策略包含了三个要素：类、流行为、策略。用户可以通过QoS策略将指定的类和流行为绑定起来，灵活地进行QoS配置。

7.1.1 类

类用来定义一系列的规则来对报文进行分类。

7.1.2 流行为

流行为用来定义针对报文所做的QoS动作。

7.1.3 策略

策略用来将指定的类和流行为绑定起来，对符合分类条件的报文执行流行为中定义的动作。

7.1.4 应用策略

QoS策略支持以下应用方式：

· 基于接口应用QoS策略：QoS策略对通过接口接收或发送的流量生效。接口的每个方向（出和入两个方向）只能应用一个策略。如果QoS策略应用在接口的出方向，则QoS策略对本地协议报文不起作用。一些常见的本地协议报文如下：链路维护报文、LDP、SSH等。

· 基于VLAN应用QoS策略：QoS策略对通过同一个VLAN内所有接口接收或发送的流量生效。基于全局应用QoS策略：QoS策略对所有流量生效。

7.2 硬件队列

拥塞是指当前供给资源相对于正常转发处理需要资源的不足，从而导致服务质量下降的一种现象。在分组交换以及多用户业务并存的复杂环境下，拥塞又是不可避免的，因此必须采用适当的方法来解决拥塞，通常采用队列的方式完成拥塞管理。下面是三种常用的队列：SP队列，WRR队列和WFQ队列。

7.2.1 SP队列

图7-1 SP队列示意图

SP队列是针对关键业务类型应用设计的。关键业务有一个重要的特点，即在拥塞发生时要求优先获得服务以减小响应的延迟。优先队列将端口的8个输出队列分成8类，依次为7、6、5、4、3、2、1、0队列，它们的优先级依次降低。

在队列调度时，SP严格按照优先级从高到低的次序优先发送较高优先级队列中的分组，当较高优先级队列为空时，再发送较低优先级队列中的分组。这样，将关键业务的分组放入较高优先级的队列，将非关键业务的分组放入较低优先级的队列，可以保证关键业务的分组被优先传送，非关键业务的分组在处理关键业务数据的空闲间隙被传送。

SP的缺点是：拥塞发生时，如果较高优先级队列中长时间有分组存在，那么低优先级队列中的报文将一直得不到服务。

7.2.2 WRR队列

图7-2 WRR队列示意图

WRR队列在队列之间进行轮流调度，保证每个队列都得到一定的服务时间。以端口有8个输出队列为例，WRR可为每个队列配置一个加权值（依次为w7、w6、w5、w4、w3、w2、w1、w0），加权值表示获取资源的比重。如一个100Mbps的端口，配置它的WRR队列的加权值为50、50、30、30、10、10、10、10（依次对应w7、w6、w5、w4、w3、w2、w1、w0），这样可以保证最低优先级队列至少获得5Mbps的带宽，解决了采用SP调度时低优先级队列中的报文可能长时间得不到服务的问题。

WRR队列还有一个优点是，虽然多个队列的调度是轮询进行的，但对每个队列不是固定地分配服务时间片——如果某个队列为空，那么马上换到下一个队列调度，这样带宽资源可以得到充分的利用。

WRR队列分为：

· 基本WRR队列：基本WRR队列包含多个队列，用户可以定制各个队列的权重，WRR按用户设定的参数进行加权轮询调度。

· 分组WRR队列：所有队列全部采用WRR调度，用户可以根据需要将输出队列划分为WRR优先级队列组1和WRR优先级队列组2。进行队列调度时，设备首先在优先级队列组1中进行轮询调度；优先级队列组1中没有报文发送时，设备才在优先级队列组2中进行轮询调度。

在分组WRR队列中，也可以配置队列加入SP分组，采用严格优先级调度算法。调度时先调度SP组，然后调度其他WRR优先组。当前设备仅支持WRR优先级队列组1。

7.2.3 WFQ队列

图7-3 WFQ队列示意图

WFQ能够按流的“会话”信息（协议类型、源和目的TCP或UDP端口号、源和目的IP地址、ToS域中的优先级位等）自动进行流分类，并且尽可能多地提供队列，以将每个流均匀地放入不同队列中，从而在总体上均衡各个流的延迟。在出队的时候，WFQ按流的优先级来分配每个流应占有出口的带宽。优先级的数值越小，所得的带宽越少。优先级的数值越大，所得的带宽越多。

例如：接口中当前共有5个流，它们的优先级分别为0、1、2、3、4，则带宽总配额为所有（流的优先级＋1）的和，即1＋2＋3＋4＋5＝15。每个流所占带宽比例为：（自己的优先级数＋1）/（所有（流的优先级＋1）的和）。即每个流可得的带宽分别为：1/15，2/15，3/15，4/15，5/15。

WFQ和WRR队列调度算法类似，也可以分为基本WFQ队列和分组WFQ队列。在分组WFQ队列中，也可以配置队列加入SP分组，采用严格优先级调度算法。调度时先调度SP组，然后调度其他WFQ优先组。两者差异如下：WFQ支持带宽保证，可以保证端口流量拥塞时能够获得的最小队列带宽。

设备当前不支持通过Web配置WFQ队列。

7.2.4 队列调度策略

队列调度策略中的队列支持两种调度方式：SP、WRR分组。在一个队列调度策略中支持SP和WRR分组的混合配置。混合配置时，SP、WRR分组之间是严格优先级调度，调度优先级按队列号从大到小依次降低，WRR分组内部按权重进行调度。SP和WRR分组混合配置调度关系如图7-4所示。

图7-4 SP和WRR混合配置图

· 队列7（即图中的Q7，下同）优先级最高，该队列的报文优先发送。

· 队列6优先级次之，队列7为空时发送本队列的报文。

· 队列3、4、5之间按照权重轮询调度，在队列7、6为空时调度WRR分组1。

· 队列1、2之间按照权重轮询调度，在队列7、6、5、4、3为空时调度WRR分组2。

· 队列0优先级最低，其它队列的报文全部发送完毕后调度本队列。

7.3 优先级映射

报文在进入设备以后，设备会根据映射规则分配或修改报文的各种优先级的值，为队列调度和拥塞控制服务。

优先级映射功能通过报文所携带的优先级字段来映射其他优先级字段值，就可以获得决定报文调度能力的各种优先级字段，从而为全面有效的控制报文的转发调度等级提供依据。

7.3.1 端口优先级

如果配置了优先级信任模式，即表示设备信任所接收报文的优先级，会自动解析报文的优先级或者标志位，然后按照映射表映射到报文的优先级参数。

如果没有配置优先级信任模式，并且配置了端口优先级值，则表明设备不信任所接收报文的优先级，而是使用端口优先级，按照映射表映射到报文的优先级参数。

1. 配置端口优先级

按照接收端口的端口优先级，设备通过一一映射为报文分配优先级。

2. 配置优先级信任模式

根据报文自身的优先级，查找优先级映射表，为报文分配优先级参数，可以通过配置优先级信任模式的方式来实现。

在配置接口上的优先级模式时，用户可以选择下列信任模式：

· Untrust：不信任任何优先级。

· Dot1p：信任报文自带的802.1p优先级，以此优先级进行优先级映射。

· DSCP：信任IP报文自带的DSCP优先级，以此优先级进行优先级映射。

7.3.2 优先级映射表

报文在进入设备以后，设备会根据映射规则分配或修改报文的各种优先级的值，为队列调度和拥塞控制服务。

设备中提供了三张优先级映射表，分别802.1p优先级到本地优先级映射表、DSCP到802.1p优先级映射表和DSCP到DSCP映射表。如果缺省优先级映射表无法满足用户需求，可以根据实际情况对映射表进行修改。

7.4 限速

限速是采用令牌桶进行流量控制。当令牌桶中存有令牌时，可以允许报文的突发性传输；当令牌桶中没有令牌时，报文必须等到桶中生成了新的令牌后才可以继续发送。这就限制了报文的流量不能大于令牌生成的速度，达到了限制流量，同时允许突发流量通过的目的。

评估流量时令牌桶的参数包括：

· 平均速率：向桶中放置令牌的速率，即允许的流的平均速度。通常配置为CIR。

· 突发尺寸：令牌桶的容量，即每次突发所允许的最大的流量尺寸。通常配置为CBS，突发尺寸必须大于最大报文长度。

每到达一个报文就进行一次评估。每次评估，如果桶中有足够的令牌可供使用，则说明流量控制在允许的范围内，此时要从桶中取走满足报文的转发的令牌；否则说明已经耗费太多令牌，流量超标了。

假如在设备的某个接口上配置了限速，所有经由该接口发送的报文首先要经过限速的令牌桶进行处理。如果令牌桶中有足够的令牌，则报文可以发送；否则，报文将进入QoS队列进行拥塞管理。这样，就可以对该接口的报文流量进行控制。

8 安全功能介绍

8.1 包过滤

包过滤是指采用ACL规则对接口、VLAN或全局入方向或出方向的报文进行过滤，即对匹配上ACL规则的报文按照其中定义的匹配动作允许或拒绝通过，对未匹配上任何ACL规则的报文则按照指定的缺省动作进行处理。

8.2 IP Source Guard

8.2.1 IP Source Guard简介

IP Source Guard功能用于对接口收到的报文进行过滤控制，通常配置在接入用户侧的接口上，以防止非法用户报文通过，从而限制了对网络资源的非法使用（比如非法主机仿冒合法用户IP接入网络），提高了接口的安全性。

设备上配置了IP Source Guard功能的接口接收到用户报文后，首先查找与该接口绑定的表项（简称为绑定表项），如果报文的信息与某绑定表项匹配，则转发该报文；若匹配失败，则丢弃该报文。IP Source Guard可以根据报文的源IP地址、源MAC地址和VLAN标签对报文进行过滤。报文的这些特征项可单独或组合起来与接口进行绑定，形成如下几类绑定表项：

· IP绑定表项

· MAC绑定表项

· IP＋MAC绑定表项

· IP＋VLAN绑定表项

· MAC＋VLAN绑定表项

· IP＋MAC＋VLAN绑定表项

8.2.2 静态配置IPv4接口绑定表项

静态配置IPv4接口绑定表项适用于局域网络中主机数较少且主机使用静态配置IP地址的情况，比如在接入某重要服务器的接口上配置绑定表项，仅允许该接口接收与该服务器通信的报文。

IPv4静态绑定表项用于过滤接口收到的IPv4报文，或者与ARP Detection功能配合使用检查接入用户的合法性。这类表项只在当前接口上生效。

8.3 802.1X

802.1X协议是一种基于端口的网络接入控制协议，即在局域网接入设备的端口上对所接入的用户和设备进行认证，以便控制用户设备对网络资源的访问。

8.3.1 802.1X的体系结构

802.1X系统中包括三个实体：

· 客户端：请求接入局域网的用户终端，由局域网中的设备端对其进行认证。客户端上必须安装支持802.1X认证的客户端软件。

· 设备端：局域网中控制客户端接入的网络设备，位于客户端和认证服务器之间，为客户端提供接入局域网的端口，并通过与认证服务器的交互来对所连接的客户端进行认证。

· 认证服务器端：用于对客户端进行认证、授权和计费，通常为RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器。认证服务器根据设备端发送来的客户端认证信息来验证客户端的合法性，并将验证结果通知给设备端，由设备端决定是否允许客户端接入。

8.3.2 802.1X的认证方法

在接入设备上，802.1X认证方法有三种方式：

· CHAP或PAP认证方法。在这种方式下，设备对EAP认证过程进行终结，将收到的EAP报文中的客户端认证信息封装在标准的RADIUS报文中，与服务器之间采用PAP或CHAP方法进行认证。CHAP以密文的方式传送密码，而PAP是以明文的方式传送密码。

· EAP认证方法。在这种方式下，设备端对收到的EAP报文进行中继，使用EAPOR（EAP over RADIUS）封装格式将其承载于RADIUS报文中发送给RADIUS服务器。

8.3.3 接入控制方式

端口支持以下两种接入控制方式：

· 基于端口认证：只要该端口下的第一个用户认证成功后，其它接入用户无须认证就可使用网络资源，但是当第一个用户下线后，其它用户也会被拒绝使用网络。

· 基于MAC认证：该端口下的所有接入用户均需要单独认证，当某个用户下线后，也只有该用户无法使用网络。

8.3.4 授权状态

端口支持以下三种授权状态：

· 强制授权：表示端口始终处于授权状态，允许用户不经认证即可访问网络资源。

· 强制非授权：表示端口始终处于非授权状态。设备端不为通过该端口接入的客户端提供认证服务。

· 自动识别：表示端口初始状态为非授权状态，仅允许EAPOL报文收发，不允许用户访问网络资源；如果用户通过认证，则端口切换到授权状态，允许用户访问网络资源。

8.3.5 周期性重认证

该功能开启后，设备会根据周期性重认证时间间隔定期向该端口在线802.1X用户发起重认证，以检测用户连接状态的变化、确保用户的正常在线，并及时更新服务器下发的授权属性（例如ACL、VLAN、User Profile）。

8.3.6 在线用户握手

该功能开启后，设备会定期向通过802.1X认证的在线用户发送握手报文，以定期检测用户的在线情况。如果设备连续多次没有收到客户端的响应报文，则会将用户置为下线状态。

8.3.7 安全握手

在线用户握手功能处于开启状态的前提下，还可以通过开启在线用户握手安全功能，来防止在线的802.1X认证用户使用非法的客户端与设备进行握手报文的交互，而逃过代理检测、双网卡检测等iNode客户端的安全检查功能。

8.3.8 认证触发

设备端主动触发方式用于支持不能主动发送EAPOL-Start报文的客户端，例如Windows XP自带的802.1X客户端。设备主动触发认证的方式分为以下两种：

· 单播触发：当设备收到源MAC地址未知的报文时，主动向该MAC地址单播发送Identity类型的EAP-Request帧来触发认证。若设备端在设置的时长内没有收到客户端的响应，则重发该报文。

· 组播触发：设备每隔一定时间（缺省为30秒）主动向客户端组播发送Identity类型的EAP-Request帧来触发认证。

8.3.9 Auth-Fail VLAN

802.1X Auth-Fail VLAN功能允许用户在认证失败的情况下访问某一特定VLAN中的资源。需要注意的是，这里的认证失败是认证服务器因某种原因明确拒绝用户认证通过，比如用户密码错误，而不是认证超时或网络连接等原因造成的认证失败。

1. 基于端口认证

在接入控制方式为基于端口认证的端口上配置Auth-Fail VLAN后，若该端口上有用户认证失败，则该端口会离开当前的VLAN被加入到Auth-Fail VLAN，所有在该端口接入的用户将被授权访问Auth-Fail VLAN里的资源。

当加入Auth-Fail VLAN的端口上有用户发起认证并失败，则该端口将会仍然处于Auth-Fail VLAN内；如果认证成功，则该端口会离开Auth-Fail VLAN，之后端口加入VLAN情况与认证服务器是否下发授权VLAN有关，具体如下：

若认证服务器下发了授权VLAN，则端口加入下发的授权VLAN中。用户下线后，端口会离开下发的授权VLAN，若端口上配置了Guest VLAN，则加入Guest VLAN，否则加入缺省VLAN。

若认证服务器未下发授权VLAN，则端口回到缺省VLAN中。用户下线后，端口仍在缺省VLAN中。

2. 基于MAC认证

在接入控制方式为基于MAC认证的端口上配置Auth-Fail VLAN后，该端口上认证失败的用户将被授权访问Auth-Fail VLAN里的资源。

当Auth-Fail VLAN中的用户再次发起认证时，如果认证成功，则设备会根据认证服务器是否下发VLAN决定将该用户加入到下发的授权VLAN中，或使其回到端口的缺省VLAN中；如果认证失败，则该用户仍然留在该Auth-Fail VLAN中。

8.3.10 Guest VLAN

802.1X Guest VLAN功能允许用户在未认证的情况下，访问某一特定VLAN中的资源。

当端口上处于Guest VLAN中的用户发起认证且失败时：如果端口配置了Auth-Fail VLAN，则该端口会被加入Auth-Fail VLAN；如果端口未配置Auth-Fail VLAN，则该端口仍然处于Guest VLAN内。

当端口上处于Guest VLAN中的用户发起认证且成功时，端口会离开Guest VLAN，之后端口加入VLAN情况与认证服务器是否下发VLAN有关，具体如下：

若认证服务器下发VLAN，则端口加入下发的VLAN中。用户下线后，端口离开下发的VLAN回到初始VLAN中，该初始VLAN为端口加入Guest VLAN之前所在的VLAN。

若认证服务器未下发VLAN，则端口回到初始VLAN中。用户下线后，端口仍在该初始VLAN中。

根据端口的接入控制方式不同，Guest VLAN的生效情况有所不同。

1. 基于端口认证

在接入控制方式为基于端口认证的端口上配置Guest VLAN后，若全局和端口上都使能了802.1X，端口授权状态为auto，且端口处于激活状态，则该端口就被立即加入Guest VLAN，所有在该端口接入的用户将被授权访问Guest VLAN里的资源。

2. 基于MAC认证

在接入控制方式为基于MAC认证的端口上配置Guest VLAN后，端口上未认证的用户将被授权访问Guest VLAN里的资源。

8.3.11 Critical VLAN

802.1X Critical VLAN功能允许用户在认证时，当所有认证服务器都不可达的情况下访问某一特定VLAN中的资源。目前，只采用RADIUS认证方式的情况下，在所有RADIUS认证服务器都不可达后，端口才会加入Critical VLAN。若采用了其它认证方式，则端口不会加入Critical VLAN。

根据端口的接入控制方式不同，Critical VLAN的生效情况有所不同。

1. 基于端口认证

在接入控制方式为基于端口认证的端口上配置Critical VLAN后，若该端口上有用户认证时，所有认证服务器都不可达，则该端口会被加入到Critical VLAN，之后所有在该端口接入的用户将被授权访问Critical VLAN里的资源。在用户进行重认证时，若所有认证服务器都不可达，且端口指定在此情况下强制用户下线，则该端口也会被加入到Critical VLAN。

已经加入Critical VLAN的端口上有用户发起认证时，如果所有认证服务器不可达，则端口仍然在Critical VLAN内；如果服务器可达且认证失败，且端口配置了Auth-Fail VLAN，则该端口将会加入Auth-Fail VLAN，否则回到端口的缺省VLAN中；如果服务器可达且认证成功，则该端口加入VLAN的情况与认证服务器是否下发VLAN有关，具体如下：

若认证服务器未下发授权VLAN，则端口回缺省VLAN中。用户下线后，端口仍在缺省VLAN中。

2. 基于MAC认证

在接入控制方式为基于MAC认证的端口上配置Critical VLAN后，若该端口上有用户认证时，所有认证服务器都不可达，则端口将允许Critical VLAN通过，用户将被授权访问Critical VLAN里的资源。

当Critical VLAN中的用户再次发起认证时，如果所有认证服务器不可达，则用户仍然在Critical VLAN中；如果服务器可达且认证失败，且端口配置了Auth-Fail VLAN，则该用户将会加入Auth-Fail VLAN，否则回到端口的缺省VLAN中；如果服务器可达且认证成功，则设备会根据认证服务器是否下发授权VLAN决定将该用户加入下发的授权VLAN中，或使其回到端口的缺省VLAN中。

8.3.12 端口的强制认证ISP域

在端口上指定强制认证域为802.1X接入提供了一种安全控制策略。所有从该端口接入的802.1X用户将被强制使用指定的认证域来进行认证、授权和计费，从而防止用户通过恶意假冒其它域账号从本端口接入网络。另外，管理员也可以通过配置强制认证域对不同端口接入的用户指定不同的认证域，从而增加了管理员部署802.1X接入策略的灵活性。

8.3.13 配置802.1X SmartOn功能

开启了SmartOn功能的端口上收到802.1X客户端发送的EAPOL-Start报文后，将向其回复单播的EAP-Request/Notification报文，并开启SmartOn通知请求超时定时器定时器等待客户端响应的EAP-Response/Notification报文。若SmartOn通知请求超时定时器超时后客户端仍未回复，则设备会重发EAP-Request/Notification报文，并重新启动该定时器。当重发次数达到规定的最大次数后，会停止对该客户端的802.1X认证；若在重发次数达到最大次数之前收到了该Notification报文的回复报文，则获取该报文中携带的Switch ID和SmartOn密码的MD5摘要，并与设备本地配置的SmartOn的Switch ID以及SmartOn密码的MD5摘要值比较，若相同，则继续客户端的802.1X认证，否则中止客户端的802.1X认证。

802.1X SmartOn功能与在线用户握手功能互斥，建议两个功能不要同时开启。

8.4 MAC地址认证

8.4.1 MAC地址认证简介

MAC地址认证是一种基于端口和MAC地址对用户的网络访问权限进行控制的认证方法，它即不需要用户安装任何客户端软件，也不需要用户手动输入用户名或密码。设备在启动了MAC地址认证的端口上首次检测到用户的MAC地址以后，即启动对该用户的认证操作。

1. 静默MAC信息

该列表显示了MAC地址被设置为静默MAC的用户信息。

当用户认证失败时，该用户的MAC地址就会被设置为静默MAC。在静默时间内（可通过静默时间间隔设置），来自该列表中的静默MAC地址的用户报文到达时，设备直接做丢弃处理，以防止非法MAC短时间内的重复认证。

2. 用户名格式

根据设备最终用于验证用户身份的用户名格式和内容的不同，可以将MAC地址认证使用的用户帐户格式分为两种类型：

· MAC地址用户名格式：使用用户的MAC地址作为认证时的用户名和密码。

· 固定用户名格式：不论用户的MAC地址为何值，所有用户均使用设备上指定的一个固定用户名和密码替代用户的MAC地址作为身份信息进行认证。由于同一个端口下可以有多个用户进行认证，因此这种情况下端口上的所有MAC地址认证用户均使用同一个固定用户名进行认证，服务器端仅需要配置一个用户帐户即可满足所有认证用户的认证需求，适用于接入客户端比较可信的网络环境。

3. 用户认证域

为了便于接入设备的管理员更为灵活地部署用户的接入策略，设备支持指定MAC地址认证用户使用的认证域，可以通过以下两种配置实现：

· 在系统视图下指定一个认证域，该认证域对所有开启了MAC地址认证的端口生效。

· 在接口视图下指定该端口的认证域，不同的端口可以指定不同的认证域。

端口上接入的MAC地址认证用户将按照如下顺序选择认证域：端口上指定的认证域-->系统视图下指定的认证域-->系统缺省的认证域。

4. 用户下线检测时间间隔

用来设置用户空闲超时的时间间隔。若设备在一个下线检测时间间隔之内，没有收到某在线用户的报文，将切断该用户的连接，同时通知RADIUS服务器停止对其计费。

5. 静默时间间隔

用来设置用户认证失败以后，设备停止对其提供认证服务的时间间隔。在静默期间，设备不对来自认证失败用户的报文进行认证处理，直接丢弃。静默期后，如果设备再次收到该用户的报文，则依然可以对其进行认证处理。

6. 服务器超时时间间隔

用来设置设备同RADIUS服务器的连接超时时间。在用户的认证过程中，如果在服务器超时时间间隔内设备一直没有收到RADIUS服务器的应答，则设备将在相应的端口上禁止此用户访问网络。

8.4.2 在端口上开启MAC地址认证

只有全局和端口的MAC地址认证均开启后，MAC地址认证配置才能在端口上生效。

1. Guest VLAN

MAC地址认证的Guest VLAN功能允许用户在认证失败的情况下，访问某一特定VLAN中的资源。

当端口上处于Guest VLAN中的用户发起认证且失败时，该端口仍然处于Guest VLAN内；认证成功时，端口会离开Guest VLAN，之后端口加入VLAN情况与认证服务器是否下发VLAN有关具体如下：

· 若认证服务器下发VLAN，则端口加入下发的VLAN中。用户下线后，端口离开下发的VLAN回到初始VLAN中，该初始VLAN为端口加入Guest VLAN之前所在的VLAN。

· 若认证服务器未下发VLAN，则端口回到初始VLAN中。用户下线后，端口仍在该初始VLAN中。

2. Critial VLAN

MAC地址认证的Critical VLAN功能允许用户在认证时，当所有认证服务器都不可达的情况下访问某一特定VLAN中的资源。目前，只采用RADIUS认证方式的情况下，在所有RADIUS认证服务器都不可达后，端口才会加入Critical VLAN。若采用了其它认证方式，则端口不会加入Critical VLAN。

3. 延迟认证

端口同时开启了MAC地址认证和802.1X认证的情况下，某些组网环境中希望设备对用户报文先进行802.1X认证。例如，有些客户端在发送802.1X认证请求报文之前，就已经向设备发送了其它报文，比如DHCP报文，因而触发了并不期望的MAC地址认证。这种情况下，就可以开启端口的MAC地址认证延时功能。

开启端口的MAC地址认证延时功能之后，端口就不会在收到用户报文时立即触发MAC地址认证，而是会等待一定的延迟时间，若在此期间该用户一直未进行802.1X认证或未成功通过802.1X认证，则延迟时间超时后端口会对之前收到的用户报文进行MAC地址认证。

需要注意的是，开启了MAC地址认证延迟功能的接口上不建议同时配置端口安全的模式为macAddressElseUserLoginSecure或macAddressElseUserLoginSecureExt，否则MAC地址认证延迟功能不生效。

4. 多VLAN功能

端口工作在单VLAN模式下时，在用户已上线，且没有被下发授权VLAN情况下，如果此用户在属于不同VLAN的相同端口再次接入，则，设备将让原用户下线，使得该用户能够在新的VLAN内重新开始认证。如果已上线用户被下发了授权VLAN，则此用户在属于不同VLAN的相同端口再次接入时不会被强制下线。

端口工作在多VLAN模式下时，如果相同MAC地址的用户在属于不同VLAN的相同端口再次接入，设备将能够允许用户的流量在新的VLAN内通过，且允许该用户的报文无需重新认证而在多个VLAN中转发。

对于接入IP电话类用户的端口，指定端口工作在MAC地址认证的多VLAN模式或为IP电话类用户授权VLAN，可避免IP电话终端的报文所携带的VLAN tag发生变化后，因用户流量需要重新认证带来语音报文传输质量受干扰的问题。

5. 重认证服务器不可达用户在线状态

是否对MAC地址在线用户进行周期性重认证由认证服务器决定。重认证的目的是检测用户连接状态的变化、确保用户的正常在线，并及时更新服务器下发的授权属性（例如ACL、VLAN、User Profile）。认证服务器通过下发RADIUS属性来指定用户会话超时时长以及会话中止的动作类型，它们共同决定了如何对用户进行重认证。

· 当会话中止的动作类型为要求用户进行重认证时，端口会在用户会话超时时长到达后对该用户进行重认证；

· 当会话中止的动作类型为要求用户下线时，端口会在用户会话超时时长到达强制该用户下线；

· 当认证服务器未下发用户会话超时时长时，设备不会对用户进行重认证。

认证服务器上如何下发以上RADIUS属性的具体配置以及是否可以下发重认证周期的情况与服务器类型有关，请参考具体的认证服务器实现。

端口对用户进行重认证过程中，重认证服务器不可达时端口上的MAC地址认证用户状态由端口上选择的处理方式决定。在网络连通状况短时间内不良的情况下，合法用户是否会因为服务器不可达而被强制下线，需要结合实际的网络状态来调整。若配置为保持用户在线，当服务器在短时间内恢复可达，则可以避免用户频繁上下线；若配置为强制下线，当服务器可达性在短时间内不可恢复，则可避免用户在线状态长时间与实际不符。

8.5 端口安全

8.5.1 端口安全简介

端口安全是一种基于MAC地址对网络接入进行控制的安全机制，是对已有的802.1X认证和MAC地址认证的扩充。这种机制通过检测端口收到的数据帧中的源MAC地址来控制非授权设备或主机对网络的访问，通过检测从端口发出的数据帧中的目的MAC地址来控制对非授权设备的访问。

1. 端口安全工作机制

端口安全的主要功能是通过定义各种端口安全模式，让设备学习到合法的源MAC地址，以达到相应的网络管理效果。启动了端口安全功能之后，当发现非法报文时，系统将触发相应特性，并按照预先指定的方式进行处理，既方便用户的管理又提高了系统的安全性。这里的非法报文是指：

· MAC地址未被端口学习到的用户报文。

· 未通过认证的用户报文。

2. 授权失败用户下线

如果打开授权失败用户下线功能，当下发的授权ACL、User Profile不存在或者ACL、User Profile下发失败时，将强制用户下线。

如果没有打开授权失败用户下线功能，当下发的授权ACL、User Profile不存在或者ACL、User Profile下发失败时，用户保持在线，授权ACL、User Porfile不生效。

3. 安全MAC地址老化时长

当安全MAC地址的保持时间达到设置的安全MAC地址老化时长时，该安全MAC地址将被从安全MAC地址列表中删除。

安全MAC地址的老化时间间隔对所有端口学习到的安全MAC地址以及手工添加的地址均有效。当取值为0时，表示安全MAC地址不会被老化。

4. 端口暂时关闭时长

当入侵保护模式设置为暂时关闭端口模式，且端口收到非法报文时，系统暂时关闭端口的时长。

5. 认证OUIMAC

配置的OUI值只在端口安全模式为userLoginWithOUI时生效。在userLoginWithOUI模式下，端口上除了允许一个802.1X认证用户接入之外，还额外允许一个特殊用户接入，该用户报文的源MAC地址的OUI与设备上配置的某个OUI值相符。

8.5.2 端口设置

1. 端口安全模式

端口安全模式可大致分为以下两大类：

· 控制MAC学习类：无需认证，包括端口自动学习MAC地址和禁止MAC地址学习两种模式。

· 认证类：利用MAC地址认证和802.1X认证机制来实现，包括单独认证和组合认证等多种模式。

配置了安全模式的端口上收到用户报文后，首先查找MAC地址表，如果该报文的源MAC地址已经存在于MAC地址表中，则端口转发该报文，否则根据端口所采用的安全模式进行相应的处理，并在发现非法报文后触发端口执行相应的安全防护措施（Need To Know、入侵检测）。关于各模式的具体工作机制，以及是否触发Need To Know、入侵检测的具体情况请参见表8-1。

表8-1 端口安全模式描述表

安全模式			工作机制	NTK/入侵检测
缺省情况	noRestrictions		表示端口的安全功能关闭，端口处于无限制状态	无效
端口控制MAC地址学习		autoLearn	端口可通过手工配置或自动学习MAC地址，这些地址将被添加到安全MAC地址表中，称之为安全MAC地址当端口下的安全MAC地址数超过端口安全允许学习的最大安全MAC地址数后，端口模式会自动转变为Secure模式。之后，该端口停止添加新的安全MAC，只有源MAC地址为安全MAC地址、手工配置的MAC地址的报文，才能通过该端口该模式下，端口不会将自动学习到的MAC地址添加为MAC地址表中的动态MAC地址	可触发
端口控制MAC地址学习		Secure	禁止端口学习MAC地址，只有源MAC地址为端口上的安全MAC地址、手工配置的MAC地址的报文，才能通过该端口	可触发
端口采用802.1X认证	userLogin		对接入用户采用基于端口的802.1X认证此模式下，端口下的第一个802.1X用户认证成功后，其它用户无须认证就可接入	无效
	userLoginSecure		对接入用户采用基于MAC地址的802.1X认证此模式下，端口最多只允许一个802.1X认证用户接入	可触发
	userLoginWithOUI		该模式与userLoginSecure模式类似，但端口上除了允许一个802.1X认证用户接入之外，还额外允许一个特殊用户接入，该用户报文的源MAC的OUI与设备上配置的OUI值相符此模式下，报文首先进行OUI匹配，OUI匹配失败的报文再进行802.1X认证，OUI匹配成功和802.1X认证成功的报文都允许通过端口
	userLoginSecureExt		对接入用户采用基于MAC的802.1X认证，且允许端口下有多个802.1X用户
端口采用MAC地址认证	macAddressWithRadius		对接入用户采用MAC地址认证此模式下，端口允许多个用户接入	可触发
端口采用802.1X和MAC地址认证组合认证	macAddressOrUserLoginSecure		端口同时处于userLoginSecure模式和macAddressWithRadius模式，且允许一个802.1X认证用户及多个MAC地址认证用户接入此模式下，802.1X认证优先级大于MAC地址认证：报文首先进行802.1X认证，如果802.1X认证失败再进行MAC地址认证	可触发
	macAddressElseUserLoginSecure		端口同时处于macAddressWithRadius模式和userLoginSecure模式，但MAC地址认证优先级大于802.1X认证。允许端口下一个802.1X认证用户及多个MAC地址认证用户接入非802.1X报文直接进行MAC地址认证。802.1X报文先进行MAC地址认证，如果000MAC地址认证失败再进行802.1X认证
	macAddressOrUserLoginSecureExt		与macAddressOrUserLoginSecure类似，但允许端口下有多个802.1X和MAC地址认证用户
	macAddressElseUserLoginSecureExt		与macAddressElseUserLoginSecure类似，但允许端口下有多个802.1X和MAC地址认证用户

2. 入侵保护模式

当设备检测到一个非法的用户通过端口试图访问网络时，入侵检测特性用于配置设备可能对其采取的安全措施，包括以下三种方式：

· 阻塞MAC地址：表示将非法报文的源MAC地址加入阻塞MAC地址列表中，源MAC地址为阻塞MAC地址的报文将被丢弃。此MAC地址在被阻塞3分钟（系统默认，不可配）后恢复正常。

· 永久关闭端口：表示将收到非法报文的端口永久关闭。

· 暂时关闭端口：表示将收到非法报文的端口暂时关闭一段时间。关闭时长可通过端口暂时关闭时长来设置。

3. NTK模式

Need To Know特性用来限制认证端口上出方向的报文转发，可支持以下三种限制方式：

· ntkonly：仅允许目的MAC地址为已通过认证的MAC地址的单播报文通过。

· ntk-withbroadcasts：允许目的MAC地址为已通过认证的MAC地址的单播报文或广播地址的报文通过。

· ntk-withmulticasts：允许目的MAC地址为已通过认证的MAC地址的单播报文，广播地址或组播地址的报文通过。

配置了Need To Know的端口在以上任何一种方式下都不允许目的MAC地址未知的单播报文通过。

4. 安全MAC地址老化模式

安全MAC地址老化模式有以下两种方式：

· 固定时间老化方式，在该方式下，在安全MAC地址的老化时间到达后立即老化，不论该安全MAC地址是否还有流量产生。设备缺省采用该方式。

· 无流量老化方式，在该方式下，设备会定期检测（检测周期不可配）端口上的安全MAC地址是否有流量产生，若某安全MAC地址在配置的老化时间内没有任何流量产生，则才会被老化，否则该安全MAC地址不会被老化，并在下一个老化周期内重复该检测过程。下一个周期内若还有流量产生则继续保持该安全MAC地址的学习状态，该方式可有效避免非法用户通过仿冒合法用户MAC地址乘机在合法用户的安全MAC地址老化时间到达之后占用端口资源。

5. 保存安全MAC地址

开启该功能后，指定端口上的Sticky MAC地址会立即被转换为动态类型的安全MAC地址，且将不能手工添加Sticky MAC地址。关闭该功能后，该端口上的动态类型的安全MAC地址会立即转换为Sticky MAC地址，且用户可以手工添加Sticky MAC地址。

动态类型的安全MAC地址不会被保存在配置文件中，设备重启之后会丢失。在不希望设备上保存重启之前端口上已有的Sticky MAC地址的情况下，可将其设置为动态类型的安全MAC地址。

6. 忽略授权信息

802.1X用户或MAC地址认证用户通过本地认证或RADIUS认证时，本地设备或远程RADIUS服务器会把授权信息下发给用户。通过此功能可实现端口是否忽略这类下发的授权信息。

7. 最大用户数

端口安全允许某个端口下有多个用户同时接入，但是允许的用户数不能超过规定的最大值。

配置端口允许的最大安全MAC地址数有两个作用：

· 控制端口允许接入网络的最大用户数。对于采用802.1X、MAC地址认证或者两者组合形式的认证类安全模式，端口允许的最大用户数取该设置的值与相应模式下允许认证用户数的最小值；

· 控制autoLearn模式下端口能够添加的最大安全MAC地址数。

8.6 Portal

Portal在英语中是入口的意思。Portal认证通常也称为Web认证，即通过Web页面接受用户输入的用户名和密码，对用户进行身份认证，以达到对用户访问进行控制的目的。

Portal认证是一种灵活的访问控制技术，可以在接入层以及需要保护的关键数据入口处实施访问控制，具有如下优势：

· 可以不安装客户端软件，直接使用Web页面认证，使用方便。

· 可以为运营商提供方便的管理功能和业务拓展功能，例如运营商可以在认证页面上开展广告、社区服务、信息发布等个性化的业务。

· 支持多种组网型态，例如二次地址分配认证方式可以实现灵活的地址分配策略且能节省公网IP地址，可跨三层认证方式可以跨网段对用户作认证。

Portal系统中包括五个实体：

· 认证客户端：用户终端的客户端系统，为运行HTTP/HTTPS协议的浏览器或运行Portal客户端软件的主机。

· 接入设备：交换机、路由器等宽带接入设备的统称。

· Portal认证服务器：接收Portal客户端认证请求的服务器端系统，与接入设备交互认证客户端的认证信息。

· Portal Web服务器：负责向客户端提供Web认证页面，并将客户端的认证信息（用户名、密码等）提交给Portal认证服务器。Portal Web服务器通常与Portal认证服务器是一体的，也可以是独立的服务器端系统。

· AAA服务器：与接入设备进行交互，完成对用户的认证、授权和计费。

8.6.1 Portal认证服务器

Portal认证服务器用于接收Portal客户端认证请求的服务器端系统，与接入设备交互认证客户端的认证信息。

1. 服务器可达性探测

在Portal认证的过程中，如果接入设备与Portal认证服务器的通信中断，则会导致新用户无法上线，已经在线的Portal用户无法正常下线的问题。为解决这些问题，需要接入设备能够及时探测到Portal认证服务器可达状态的变化，并能触发执行相应的操作来应对这种变化带来的影响。

开启Portal认证服务器的可达性探测功能后，无论是否有接口上使能了Portal认证，设备会定期检测Portal认证服务器发送的报文（例如，用户上线报文、用户下线报文、心跳报文）来判断服务器的可达状态：若设备在指定的探测超时时间内收到Portal报文，且验证其正确，则认为此次探测成功且服务器可达，否则认为此次探测失败，服务器不可达。

当接入设备检测到Portal认证服务器可达或不可达状态改变时，可执行以下一种或多种操作：

· 发送Trap信息：Portal认证服务器可达或者不可达的状态改变时，向网管服务器发送Trap信息。Trap信息中记录了Portal认证服务器名以及该服务器的当前状态。

· 发送日志：Portal认证服务器可达或者不可达的状态改变时，发送日志信息。日志信息中记录了Portal认证服务器名以及该服务器状态改变前后的状态。

2. 用户信息同步

为了解决接入设备与Portal认证服务器通信中断后，两者的Portal用户信息不一致问题，设备提供了一种Portal用户信息同步功能。该功能利用了Portal同步报文的发送及检测机制，具体实现如下：

(1) 由Portal认证服务器周期性地（周期为Portal认证服务器上指定的用户心跳间隔值）将在线用户信息通过用户同步报文发送给接入设备。

(2) 接入设备在用户上线之后，即开启用户同步检测定时器，在收到用户同步报文后，将其中携带的用户列表信息与自己的用户列表信息进行对比，如果发现同步报文中有设备上不存在的用户信息，则将这些自己没有的用户信息反馈给Portal认证服务器，Portal认证服务器将删除这些用户信息；如果发现接入设备上的某用户信息在一个用户同步报文的检测超时时间内，都未在该Portal认证服务器发送过来的用户同步报文中出现过，则认为Portal认证服务器上已不存在该用户，设备将强制该用户下线。

8.6.2 Portal Web服务器

Portal Web服务器负责向客户端提供Web认证页面，并将客户端的认证信息（用户名、密码等）提交给Portal认证服务器。Portal Web服务器通常与Portal认证服务器是一体的，也可以是独立的服务器端系统。

1. URL携带的参数

该功能用于配置用户访问Portal Web服务器时，要求携带的一些参数，比较常用的是要求携带用户的IP地址、MAC地址、用户原始访问的URL信息。用户也可以手工指定，携带一些特定的字符信息。配置完成后，在设备给用户强制重定向URL时会携带这些参数，例如配置Portal Web服务器的URL为：http://www.test.com/portal，若同时选择如下两个参数信息：用户的IP地址和初始访问的URL，且初始访问的URL为http://www/abc.com/welcome则设备给源IP为1.1.1.1的用户重定向时回应的URL格式即为：http://www.test.com/portal?userip=1.1.1.1&userurl=http://www.abc.com/welcome。

2. 服务器可达性探测

在Portal认证的过程中，如果接入设备与Portal Web服务器的通信中断，将无法完成整个认证过程，因此必须对Portal Web服务器的可达性进行探测。

由于Portal Web服务器用于对用户提供Web服务，不需要和设备交互报文，因此无法通过发送某种协议报文的方式来进行可达性检测。无论是否有接口上使能了Portal认证，开启了Portal Web服务器的可达性探测功能之后，接入设备采用模拟用户进行Web访问的过程来实施探测：接入设备主动向Portal Web服务器发起TCP连接，如果连接可以建立，则认为此次探测成功且服务器可达，否则认为此次探测失败。

· 探测参数

¡ 探测间隔：进行探测尝试的时间间隔。

¡ 探测次数：允许连续探测失败的最大次数。若连续探测失败数目达到此值，则认为服务器不可达。

· 可达状态改变时触发执行的操作（可以选择其中一种或同时使用多种）

¡ Trap：Portal Web服务器可达或者不可达的状态改变时，向网管服务器发送Trap信息。Trap信息中记录了Portal Web服务器名以及该服务器的当前状态。

¡ Log：Portal Web服务器可达或者不可达的状态改变时，发送日志信息。日志信息中记录了Portal Web服务器名以及该服务器状态改变前后的状态。

8.6.3 本地Portal Web服务器

本地Portal Web服务器功能是指，Portal认证系统中不采用外部独立的Portal Web服务器和Portal认证服务器，而由接入设备实现Portal Web服务器和Portal认证服务器的功能。这种情况下，Portal认证系统仅包括三个基本要素：认证客户端、接入设备和AAA服务器。

1. 认证客户端和本地Portal Web服务器之间的交互协议

认证客户端和内嵌本地Portal Web 服务器的接入设备之间可以采用HTTP和HTTPS协议通信。若客户端和接入设备之间交互HTTP协议，则报文以明文形式传输，安全性无法保证；若客户端和接入设备之间交互HTTPS协议，则报文基于SSL提供的安全机制以密文的形式传输，数据的安全性有保障。

2. 本地Portal Web服务器支持用户自定义认证页面

本地Portal Web服务器支持由用户自定义认证页面的内容，即允许用户编辑一套或多套认证页面的HTML文件，并将其压缩之后使用添加按钮将其上传到设备中。每套认证页面可包括六个主索引页面（登录页面、登录成功页面、登录失败页面、在线页面、系统忙碌页面、下线成功页面）及其页面元素（认证页面需要应用的各种文件，如Logon.htm页面中的back.jpg），每个主索引页面可以引用若干页面元素。

此功能用于将设备中的一套自定义的认证页面文件设置为系统缺省的认证页面文件。从而本地Portal Web服务器可以根据不同的认证阶段向客户端推出对应的认证页面。如果没有设置缺省认证页面文件，则本地Portal Web服务器功能无法实现。

用户在自定义这些页面时需要遵循一定的规范，否则会影响本地Portal Web服务器功能的正常使用和系统运行的稳定性。

(1) 文件名规范

主索引页面文件名不能自定义，必须使用中所列的固定文件名。

表8-2 认证页面文件名

主索引页面	文件名
登录页面	logon.htm
登录成功页面	logonSuccess.htm
登录失败页面	logonFail.htm
在线页面用于提示用户已经在线	online.htm
系统忙页面用于提示系统忙或者该用户正在登录过程中	busy.htm
下线成功页面	logoffSuccess.htm

主索引页面文件之外的其他文件名可由用户自定义，但需注意文件名和文件目录名中不能含有中文且不区分大小写。

(2) 页面请求规范

· 本地Portal Web服务器只能接受Get请求和Post请求。

· Get请求用于获取认证页面中的静态文件，其内容不能为递归内容。例如，Logon.htm文件中包含了Get ca.htm文件的内容，但ca.htm文件中又包含了对Logon.htm的引用，这种递归引用是不允许的。

· Post请求用于用户提交用户名和密码以及用户执行登录、下线操作。

(3) Post请求中的属性规范

· 认证页面中表单（Form）的编辑必须符合以下原则：

¡ 认证页面可以含有多个Form，但是必须有且只有一个Form的action=logon.cgi，否则无法将用户信息送到本地Portal服务器。

¡ 用户名属性固定为”PtUser”，密码属性固定为”PtPwd”。

¡ 需要有用于标记用户登录还是下线的属性”PtButton”，取值为"Logon"表示登录，取值为"Logoff"表示下线。

¡ 登录Post请求必须包含”PtUser”，”PtPwd”和"PtButton"三个属性。

¡ 下线Post请求必须包含”PtButton”这个属性。

· 需要包含登录Post请求的页面有logon.htm和logonFail.htm。

logon.htm页面脚本内容的部分示例：

<p>Password :<input type="password" name = "PtPwd" style="width:160px;height:22px" maxlength=32>

</form>

· 需要包含下线Post请求的页面有logonSuccess.htm和online.htm。

online.htm页面脚本内容的部分示例：

</form>

(4) 页面文件压缩及保存规范

· 完成所有认证页面的编辑之后，必须按照标准Zip格式将其压缩到一个Zip文件中，该Zip文件的文件名只能包含字母、数字和下划线。

· 压缩后的Zip文件中必须直接包含认证页面，不允许存在间接目录。

· 压缩生成的Zip文件可以通过FTP或TFTP的二进制方式上传至设备，并保存在设备的根目录下。

Zip文件保存目录示例：

<Sysname> dir

Directory of flash:

0 -rw- 1405 Feb 28 2008 15:53:31 ssid2.zip

1 -rw- 1405 Feb 28 2008 15:53:20 ssid1.zip

2 -rw- 1405 Feb 28 2008 15:53:39 ssid3.zip

3 -rw- 1405 Feb 28 2008 15:53:44 ssid4.zip

2540 KB total (1319 KB free)

(5) 认证成功后认证页面自动跳转

若要支持认证成功后自定义认证页面的自动跳转功能，即认证页面会在用户认证成功后自动跳转到设备指定的网站页面，则需要按照如下要求在认证页面logon.htm和logonSuccess.htm的脚本文件中做如下改动。

· 将logon.htm文件中的Form的target值设置为“_blank”。

修改的脚本内容如下突出显示部分所示：

· logonSucceess.htm文件添加页面加载的初始化函数“pt_init()”。

增加的脚本内容如下突出显示部分所示：

<html>

<head>

<title>LogonSuccessed</title>

</head>

... ...

</body>

</html>

8.6.4 免认证规则

通过配置免认证规则可以让特定的用户不需要通过Portal认证即可访问外网特定资源，这是由免认证规则中配置的源信息以及目的信息决定的。

· 基于IP配置

免认证规则的匹配项包括IP地址、TCP/UDP端口号。

· 基于源配置

免认证规则的匹配项包括用户源MAC地址、用户源VLAN ID和用户源接口。

只有符合免认证规则的用户报文才不会触发Portal认证，因此这些报文所属的用户才可以直接访问网络资源。

8.6.5 接口策略

接口策略是指在接口下配置Portal认证的认证方式、引用的Portal Web服务器、用户认证时使用的认证域等认证信息。同时可以在接口下配置相应的扩展功能，如用户逃生功能、BAS-IP地址功能和用户探测功能等。

1. 用户逃生功能

当接入设备探测到Portal认证服务器或者Portal Web服务器不可达时，可打开接口的网络限制，允许Portal用户不需经过认证即可访问网络资源，也就是通常所说的Portal逃生功能。

如果接口上同时开启了Portal认证服务器逃生功能和Portal Web服务器逃生功能，则当任意一个服务器不可达时，即放开接口控制，当两个服务器均恢复可达性后，再重新启动Portal认证功能。重新启动接口的Portal认证功能之后，未通过认证的用户需要通过认证之后才能访问网络资源，已通过认证的用户可继续访问网络资源。

2. BAS-IP地址功能

配置此功能后，设备向Portal认证服务器上传通知类Portal协议报文时使用的源IP地址为设置的BAS-IP地址。

如果没有配置此功能，则设备向Portal认证服务器上传Portal协议报文时使用的源IP地址的选择分为一下两种情况：

· 对于响应类报文IPv4 Portal报文中的BAS-IP属性为报文的源IP地址，IPv6 Portal报文中的BAS-IPv6属性为报文源IPv6地址。

· 对于通知类报文IPv4 Portal报文中的BAS-IP属性为出接口的IP地址，IPv6 Portal报文中的BAS-IPv6属性为出接口的IPv6地址。

3. 用户探测功能

IPv4探测类型为ARP请求或ICMP请求，IPv6探测类型IPv4探测类型为ARP请求或ICMP请求，IPv6探测类型为ND请求或ICMPv6请求。

ARP和ND方式的探测只适用于直接方式和二次地址分配方式的Portal认证。ICMP方式的探测适用于所有认证方式。

根据探测类型的不同，设备有以下两种探测机制：

· 当探测类型为ICMP/ICMPv6时，若设备发现在设定的闲置时间内接口上未收到某Portal用户的报文，则会向该用户以设置的探测间隔来周期性的发送探测报文。如果在指定探测次数之内，设备收到了该用户的响应报文，则认为用户在线，且停止发送探测报文，重复这个过程，否则，强制其下线。

· 当探测类型为ARP/ND时，若设备发现在设定的闲置时间内接口上未收到某Portal用户的报文，则会向该用户发送ARP/ND请求报文。设备以设置的探测间隔定期检测用户ARP/ND表项是否被刷新过，如果在指定探测次数内用户ARP/ND表项被刷新过，则认为用户在线，且停止检测用户ARP/ND表项，重复这个过程，否则，强制其下线。

8.7 ISP域

设备对用户的管理是基于ISP（Internet Service Provider，互联网服务提供者）域的，一个ISP域对应着一套实现AAA（Authentication、Authorization、Accounting，认证、授权、计费）的配置策略，它们是管理员针对该域用户制定的一套认证、授权、计费方法，可根据用户的接入特征以及不同的安全需求组合使用。

设备支持的认证方法包括：

· 不认证：对用户非常信任，不对其进行合法性检查，一般情况下不采用这种方法。

· 本地认证：认证过程在接入设备上完成，用户信息（包括用户名、密码和各种属性）配置在接入设备上。优点是速度快，可以降低运营成本；缺点是存储信息量受设备硬件条件限制。

· 远端认证：认证过程在接入设备和远端的服务器之间完成，接入设备和远端服务器之间通过RADIUS或TACACS协议通信。优点是用户信息集中在服务器上统一管理，可实现大容量、高可靠性、支持多设备的集中式统一认证。当远端服务器无效时，可配置备选认证方式完成认证。

设备支持的授权方法包括：

· 不授权：接入设备不请求授权信息，不对用户可以使用的操作以及用户允许使用的网络服务进行授权。此时，认证通过的login用户只有系统所给予的缺省用户角色，其中FTP/SFTP/SCP用户的工作目录是设备的根目录，但并无访问权限；认证通过的非login用户，可直接访问网络。

· 本地授权：授权过程在接入设备上进行，根据接入设备上为本地用户配置的相关属性进行授权。

· 远端授权：授权过程在接入设备和远端服务器之间完成。RADIUS协议的认证和授权是绑定在一起的，不能单独使用RADIUS进行授权。RADIUS认证成功后，才能进行授权，RADIUS授权信息携带在认证回应报文中下发给用户。TACACS协议的授权和认证相分离，在认证成功后，TACACS授权信息通过授权报文进行交互。当远端服务器无效时，可配置备选授权方式完成授权。

设备支持的计费方法包括：

· 不计费：不对用户计费。

· 本地计费：计费过程在接入设备上完成，实现了本地用户连接数的统计和限制，并没有实际的费用统计功能。

· 远端计费：计费过程在接入设备和远端的服务器之间完成。当远端服务器无效时，可配置备选计费方式完成计费。

每个用户都属于一个ISP域。为便于对不同接入方式的用户进行区分管理，提供更为精细且有差异化的认证、授权、计费服务，设备将用户划分为以下几个类型：

· LAN接入用户：例如802.1X认证用户。

· 登录用户：例如Telnet、FTP、终端接入用户（即从Console接口登录的用户）。

· Portal用户。

在多ISP的应用环境中，不同ISP域的用户有可能接入同一台设备，因此系统中可以存在多个ISP域，其中包括一个缺省存在的名称为system的ISP域。如果某个用户在登录时没有提供ISP域名，系统将把它归于缺省的ISP域。系统缺省的ISP域可以手工修改为一个指定的ISP域。

用户认证时，设备将按照如下先后顺序为其选择认证域：接入模块指定的认证域-->用户名中指定的ISP域-->系统缺省的ISP域。其中，仅部分接入模块支持指定认证域，例如802.1X认证。

8.8 RADIUS

8.8.1 RADIUS协议简介

RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）是一种分布式的、客户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全性、又允许远程用户访问的各种网络环境中。

· RADIUS客户端：一般位于接入设备上，可以遍布整个网络，负责将用户信息传输到指定的RADIUS服务器，然后根据服务器返回的信息进行相应处理（如接受/拒绝用户接入）。

· RADIUS服务器：一般运行在中心计算机或工作站上，维护用户的身份信息和与其相关的网络服务信息，负责接收接入设备发送的认证、授权、计费请求并进行相应的处理，然后给接入设备返回处理结果（如接受/拒绝认证请求）。

RADIUS协议使用UDP作为封装RADIUS报文的传输层协议，通过使用共享密钥机制来保证客户端和RADIUS服务器之间消息交互的安全性。

当接入设备对用户提供AAA（Authentication、Authorization、Accounting，认证、授权、计费）服务时，若要对用户采用RADIUS服务器进行认证、授权、计费，则作为RADIUS客户端的接入设备上需要配置相应的RADIUS服务器参数。

8.8.2 RADIUS增强功能

1. Accounting-on功能

设备重启后，重启前的原在线用户可能会被RADIUS服务器认为仍然在线而短时间内无法再次登录。为了解决这个问题，需要开启Accounting-on功能。

开启了Accounting-on功能后，设备会在重启后主动向RADIUS服务器发送Accounting-on报文来告知自己已经重启，并要求RADIUS服务器停止计费且强制通过本设备上线的用户下线。若设备发送Accounting-on报文后RADIUS服务器无响应，则会在按照一定的时间间隔尝试重发几次。分布式设备单板重启时，Accounting-on功能的实现需要和IMC网管系统配合使用。

2. Session control功能

IMC RADIUS服务器使用session control报文向设备发送授权信息的动态修改请求以及断开连接请求。设备上开启接收session control报文的开关后，会打开知名UDP端口1812来监听并接收RADIUS服务器发送的session control报文。

需要注意的是，该功能仅能和IMC RADIUS服务器配合使用。

8.9 TACACS

TACACS（Terminal Access Controller Access Control System，终端访问控制器控制系统协议）安全协议基于RFC 1492，提供了增强功能。该协议与RADIUS协议类似，采用客户端/服务器模式实现NAS与TACACS服务器之间的通信。

TACACS协议主要用于PPP（Point-to-Point Protocol，点对点协议）和VPDN（Virtual Private Dial-up Network，虚拟专用拨号网络）接入用户及终端用户的认证、授权和计费。其典型应用是对需要登录到NAS设备上进行操作的终端用户进行认证、授权以及对终端用户执行的操作进行记录。设备作为TACACS的客户端，将用户名和密码发给TACACS服务器进行验证，用户验证通过并得到授权之后可以登录到设备上进行操作，TACACS服务器上会记录用户对设备执行过的命令。

当接入设备对用户提供AAA（Authentication、Authorization、Accounting，认证、授权、计费）服务时，若要对用户采用TACACS服务器进行认证、授权、计费，则作为TACACS客户端的接入设备上需要配置相应的TACACS服务器参数。

8.10 本地认证

本地认证泛指由接入设备对用户进行认证、授权和计费，进行本地认证的用户的信息（包括用户名、密码和各种属性）配置在接入设备上。

为使某个请求网络服务的用户可以通过本地认证，需要在设备上添加相应的用户条目。所谓用户，是指在设备上设置的一组用户属性的集合，该集合以用户名唯一标识。

为了简化用户的配置，增强用户的可管理性，引入了用户组的概念。用户组是一系列公共用户属性的集合，某些需要集中管理的公共属性可在用户组中统一配置和管理，属于该用户组的所有用户都可以继承这些属性。

9 PoE功能介绍

9.1 PSE

9.1.1 剩余保证功率

PSE最大供电功率与该PSE中所有优先级为“最高优先级”的PI（Power Interface，电源接口）的最大供电功率的差值即为剩余保证功率。

9.1.2 最大供电功率

所有与该PSE相连的PD设备能够获取到的最大供电总功率。设备暂不支持配置最大供电功率。

功率告警阈值：当PSE在当前功率利用率首次超过或低于设置的功率阈值时，系统将生成告警信息。

9.2 PI

9.2.1 最大供电功率

电源接口能够提供给下挂PD的最大功率。当PD要求的功率大于PI的最大功率时，设备不会给PD供电。

9.2.2 供电优先级

PSE供电优先级顺序从高到低为“最高优先级”、“高优先级”、“低优先级”。当PSE对PD供电时，将比较各接口的供电优先级，优先级高的优先得到供电；如果新接入的PD连接的PI优先级与正在供电的PI优先级相同，则正在供电的PI优先级较高；正在供电并且配置的优先级相同，则接口编号较小的接口有更高的优先级。

在设置PI的供电优先级为最高优先级时，当PSE剩余保证功率小于该PI的最大供电功率时，设置不成功；否则，该PI优先级设置成功，并将抢占部分低优先级PI的功率，功率被抢占的PI所连接的设备断电，但是这些PI的配置不变。将某个PI的优先级从最高优先级降为其它优先级，其它PI所连接的PD可能会获得供电的机会。

10 SmartMC功能介绍

· 仅S5000V3-EI系列交换机的R6315及以上版本支持SmartMC功能，S1850-X系列交换机和S5000E-X系列交换机不支持SmartMC功能。

· 在SmartMC网络中包括管理设备和成员设备两种角色。S5000V3-EI系列交换机只能作为SmartMC网络中的成员设备，成员设备需要和管理设备配合使用SmartMC功能。

· SmartMC的主要功能体现在管理设备的Web页面上，作为成员设备，仅支持如下功能：进入“配置向导”或“智能管理 > 角色”页面，将成员设备切换为管理设备；进入“智能管理 > 关闭SmartMC”页面，关闭SmartMC功能。

10.1 配置向导

通过配置向导，可以将设备配置为SmartMC网络的管理设备。包括管理IP地址、出接口以及管理用户。

10.2 智能管理

10.2.1 角色

1. 设备角色简介

SmartMC网络有管理设备和成员设备两种角色：

· 管理设备：管理SmartMC网络中所有设备。

· 成员设备：SmartMC网络中被管理的设备。

管理设备开启SmartMC功能时，会同时配置如下DHCP服务：

· 开启DHCP服务。

· 创建名称为SmartMC的DHCP地址池。

· 将VLAN1接口所在网段配置为DHCP地址池动态分配IP地址网段。

· 地址池动态分配IP地址的范围。

· DHCP客户端（成员设备）使用的自动配置文件。自动配置文件中包含将设备配置为成员设备时所需配置。成员设备以出厂配置启动时，获取文件中的配置完成启动，并自动加入到SmartMC网络。

· 配置DHCP地址池中分配的IP地址的租约为无限长。

· 配置VLAN1接口引用的地址池。

将管理设备切换为成员设备时，将进行如下操作：

· 删除DHCP地址池。

· 取消VLAN1接口工作在DHCP服务器模式。

2. 注意事项

将管理设备切换为成员设备后，请手工删除FTP服务器中原管理设备备份的配置文件。否则，切换后的成员设备可能下载原管理设备的配置文件并运行，导致网络冲突。

10.2.2 关闭SmartMC

关闭SmartMC功能。

11 日志功能介绍

11.1 日志信息等级

设备产生的日志信息按严重性可划分为如表11-1所示的八个等级，各等级的严重性依照数值从0～7依次降低。

表11-1 日志信息等级列表

数值	信息等级	描述
0	emergency	表示设备不可用的信息，如系统授权已到期
1	alert	表示设备出现重大故障，需要立刻做出反应的信息，如流量超出接口上限
2	critical	表示严重信息，如设备温度已经超过预警值，设备电源、风扇出现故障等
3	error	表示错误信息，如接口链路状态变化等
4	warning	表示警告信息，如接口连接断开，内存耗尽告警等
5	notification	表示正常出现但是重要的信息，如通过终端登录设备，设备重启等
6	informational	表示需要记录的通知信息，如通过命令行输入命令的记录信息，执行ping命令的日志信息等
7	debugging	表示调试过程产生的信息

11.2 日志信息输出方向

系统可以向日志缓冲区（logbuffer）、日志主机（loghost）等方向发送日志信息。日志信息的各个输出方向相互独立，可在页面中分别设置。

12 Web典型配置举例

12.1 设备维护配置举例

12.1.1 系统时间配置举例

1. 组网需求

为了保证系统时间的准确性，设备从NTP服务器获取系统时间，并对NTP服务器的身份进行验证。

图12-1 系统时间配置组网图

2. 配置步骤

(1) 配置NTP客户端Device

Device的系统时间在“设备 > 维护 > 系统设置”页面配置，配置步骤为：

· 在日期和时间页签下选择自动同步网络日期和时间，采用的协议为网络时间协议（NTP）。

· 勾选对时钟源进行身份验证。

· 指定身份验证密钥ID为100，验证模式为MD5，密钥值为aabbcc。

· 指定NTP服务器的IP地址为10.1.1.2，并工作在服务器模式，添加身份验证密钥ID100。

(2) 配置NTP服务器

在NTP服务器上开启NTP服务，并配置身份验证功能。具体配置方法以采用的NTP服务器为准，配置过程略。

3. 验证配置

完成上述配置后，可以看到系统时钟处于同步状态，且设备的系统时间与NTP服务器上的系统时间保持一致。

12.1.2 管理员配置举例

1. 组网需求

在Switch上配置一个管理员帐户，用于用户采用HTTP方式登录Switch，具体要求如下：

· 用户使用管理员帐户登录时，Switch对其进行本地认证；

· 管理员帐户名称为webuser，密码为12345；

· 通过认证之后，用户被授予角色network-admin。

图12-2 管理员配置组网图

2. 配置步骤

· 配置VLAN和VLAN接口

进入Switch的“网络 > 链路 > VLAN”页面，创建VLAN 2。进入VLAN 2的详情页面，将与管理员PC相连的接口加入VLAN 2的Tagged端口列表，并创建VLAN接口2，配置VLAN接口2的IP地址为192.168.1.20/24。

(1) 配置管理员账户

管理员帐户在“设备 > 维护 > 管理员”页面配置，配置步骤为：

· 添加管理员。

· 配置用户名为webuser，密码为12345。

· 选择角色为network-admin。

· 指定可用的服务为HTTP。

(2) 开启HTTP和HTTPS服务

HTTP服务在“网络 > 服务 > HTTP/HTTPS”页面配置，配置步骤为：

· 开启HTTP登录服务。

· 开启HTTPS登录服务。

3. 验证配置

(1) 完成上述配置后，在管理员页面上可以看到已成功添加的管理员帐户。

(2) 用户在PC的Web浏览器地址栏中输入http://192.168.1.20并回车后，浏览器将显示Web登录页面。用户在该登录页面中输入管理员帐户名称、密码以及验证码后，即可成功登录设备的Web页面进行相关配置。

12.1.3 IRF配置举例

1. 组网需求

为了增加接入接口的数量，简化网络拓扑，使用Switch A和Switch B上的XGE1/0/49和XGE1/0/50组成IRF。

图12-3 IRF配置组网图

2. 配置步骤

(1) Switch A的配置

# 在“设备 > 虚拟化 > IRF”页面配置IRF，配置步骤为：

· 基本配置：进入成员设备1的详情页面，将设备的新成员编号配置为2；为了让该设备当选为Master，将优先级配置为10。

· 绑定IRF端口：进入IRF接口1的详情页面，将IRF接口1和物理接口XGE1/0/49和XGE1/0/50绑定。

· 高级配置：开启自动合并功能，将域编号配置为10。

# 激活IRF端口配置，激活时选择保存当前配置，重启设备，以便新成员编号生效。

(2) Switch B的配置

# 在“设备 > 虚拟化 > IRF”页面配置IRF，配置步骤为：

· 基本配置：进入成员设备1的详情页面，将设备的新成员编号配置为3。

· 绑定IRF端口：进入IRF接口2的详情页面，将IRF接口2和物理接口XGE1/0/49和XGE1/0/50绑定。

· 高级配置：开启自动合并功能，将域编号配置为10。

# 激活IRF端口配置，激活时选择保存当前配置。

# 将Switch A的接口XGE1/0/49和XGE1/0/50和Switch B的接口XGE1/0/49和XGE1/0/50相连。

相连后，Switch B会自动重启，和Switch A组成IRF。

S1850-X系列交换机不支持配置该举例。设备支持的IRF物理端口及相关限制与设备型号有关，具体请参见设备软件版本对应的配置指导。

3. 验证配置

登录Switch A的Web页面，在Switch A的“设备 > 虚拟化 > IRF”页面查看拓扑信息，可以看到：

· IRF中有成员设备2（Switch A）和成员设备3（Switch B），并互相形成邻居。

· IRF接口处于连接状态。

12.2 网络服务配置举例

12.2.1 以太网链路聚合配置举例

1. 组网需求

· Switch A与Switch B通过各自的二层以太网接口GigabitEthernet1/0/1～GigabitEthernet1/0/3相互连接。

· 在Switch A和Switch B上分别配置二层静态链路聚合组，以提高链路的可靠性。

图12-4 以太网链路聚合配置组网图

2. 配置步骤

(1) 配置以太网链路聚合

以太网链路聚合在“网络 > 接口 > 链路聚合”页面配置，配置步骤为：

· 在Switch A上添加二层聚合组10，指定聚合模式为静态聚合，将接口GigabitEthernet1/0/1～GigabitEthernet1/0/3加入到该聚合组中。

· Switch B配置与Switch A相同。

(2) 配置VLAN和VLAN接口

VLAN在“网络 > 链路 > VLAN”页面配置，配置步骤为：

· 在Switch A上创建VLAN 10。进入VLAN 10的详情页面，将与Host A相连的接口GigabitEthernet1/0/4加入VLAN 10的Untagged端口列表，将接口GigabitEthernet1/0/1～GigabitEthernet1/0/3加入VLAN 10的Tagged端口列表。

· Switch B配置与Switch A相同。

3. 验证配置

完成上述配置后，在链路聚合页面中可以看到GigabitEthernet1/0/1～GigabitEthernet1/0/3已经加入到静态聚合组10。Host A能够Ping通Host B。Switch A与Switch B之间的一条链路故障后，Host A仍然能够Ping通Host B。

12.2.2 端口隔离配置举例

1. 组网需求

小区用户Host A、Host B、Host C分别与Switch的端口GigabitEthernet1/0/1、GigabitEthernet1/0/2、GigabitEthernet1/0/3相连，Switch通过GigabitEthernet1/0/4端口与外部网络相连。现需要实现小区用户Host A、Host B和Host C彼此之间二层报文不能互通，但可以和外部网络通信。

图12-5 端口隔离配置组网图

2. 配置步骤

端口隔离在“网络 > 接口 > 端口隔离”页面配置，配置步骤为：

· 创建隔离组2。

· 进入隔离组2的详情页面，配置端口GigabitEthernet1/0/1、GigabitEthernet1/0/2、GigabitEthernet1/0/3加入隔离组2的接口列表。

3. 验证配置

完成上述配置后，GigabitEthernet1/0/1、GigabitEthernet1/0/2、GigabitEthernet1/0/3实现二层隔离，Host A、Host B和Host C彼此之间不能ping通。

12.2.3 VLAN配置举例

1. 组网需求

· Host A和Host C属于部门A，但是通过不同的设备接入公司网络；Host B和Host D属于部门B，也通过不同的设备接入公司网络。

· 为了通信的安全性，也为了避免广播报文泛滥，公司网络中使用VLAN技术来隔离部门间的二层流量。其中部门A使用VLAN 100，部门B使用VLAN 200。

图12-6 VLAN配置组网图

2. 配置步骤

(1) 配置Switch A

进入Switch A的“网络 > 链路 > VLAN”页面，进行如下配置：

· 在Switch A上创建VLAN 100和VLAN 200。

· 进入VLAN 100的详情页面，配置端口GigabitEthernet1/0/1加入VLAN 100的Untagged端口列表（Host A不识别VLAN Tag）；配置端口GigabitEthernet1/0/3加入VLAN 100的Tagged端口列表（Switch B需判断报文所属VLAN）。

· 进入VLAN 200的详情页面，配置端口GigabitEthernet1/0/2加入VLAN 200的Untagged端口列表（Host B不识别VLAN Tag）；配置端口GigabitEthernet1/0/3加入VLAN 200的Tagged端口列表（Switch B需判断报文所属VLAN）。

(2) 配置Switch B

Switch B上进行与Switch A相同的VLAN配置，配置过程略。

3. 验证配置

完成上述配置后，Host A和Host C能够互相ping通，但是均不能ping通Host B和Host D。Host B和Host D能够互相ping通，但是均不能ping通Host A和Host C。

12.2.4 MAC地址配置举例

1. 组网需求

· 现有一台用户主机Host A，它的MAC地址为000f-e235-dc71，属于VLAN 1，连接Switch的端口GigabitEthernet1/0/1。为防止假冒身份的非法用户骗取数据，在Switch的MAC地址表中为该用户主机添加一条静态表项。

· 另有一台用户主机Host B，它的MAC地址为000f-e235-abcd，属于VLAN 1。由于该用户主机曾经接入网络进行非法操作，为了避免此种情况再次发生，在Switch上添加一条黑洞MAC地址表项，使该用户主机接收不到报文。

· 配置Switch的动态MAC地址表项老化时间为500秒。

图12-7 MAC地址配置组网图

2. 配置步骤

MAC地址在“网络 > 链路 > MAC”页面配置，配置步骤为：

· 增加一条静态MAC地址表项，MAC地址为000f-e235-dc71，出接口为GigabitEthernet1/0/1，且该接口属于VLAN 1。

· 增加一条黑洞MAC地址表项，MAC地址为000f-e235-abcd，属于VLAN 1。

· 进入配置页面，配置动态MAC地址表项的老化时间为500秒。

3. 验证配置

完成上述配置后，在MAC地址表页面中可以看到已经创建的MAC地址表项，并且Host B无法Ping通Host A。

12.2.5 MSTP配置举例

1. 组网需求

· 网络中所有设备都属于同一个MST域。Switch A和Switch B为汇聚层设备，Switch C和Switch D为接入层设备。

· 通过配置MSTP，使不同VLAN的报文按照不同的MSTI转发：VLAN 10的报文沿MSTI 1转发，VLAN 30沿MSTI 2转发。

图12-8 MSTP配置组网图

2. 配置步骤

(1) 配置VLAN

VLAN在“网络 > 链路 > VLAN”页面配置。

· Switch A上的配置：

¡ 创建VLAN 10和VLAN 30。

¡ 进入VLAN 10的详情页面，将接口GigabitEthernet1/0/1和GigabitEthernet1/0/3加入VLAN 10的Tagged端口列表。

¡ 进入VLAN 30的详情页面，将接口GigabitEthernet1/0/2和GigabitEthernet1/0/3加入VLAN 30的Tagged端口列表。

· Switch B上的配置：

¡ 创建VLAN 10和VLAN 30。

¡ 进入VLAN 10的详情页面，将接口GigabitEthernet1/0/2和GigabitEthernet1/0/3加入VLAN 10的Tagged端口列表。

¡ 进入VLAN 30的详情页面，将接口GigabitEthernet1/0/1和GigabitEthernet1/0/3加入VLAN 30的Tagged端口列表。

· Switch C上的配置：

¡ 创建VLAN 10。

¡ 进入VLAN 10的详情页面，将接口GigabitEthernet1/0/1和GigabitEthernet1/0/2加入VLAN 10的Tagged端口列表。

· Switch D上的配置：

¡ 创建VLAN 30。

¡ 进入VLAN 30的详情页面，将接口GigabitEthernet1/0/1和GigabitEthernet1/0/2加入VLAN 30的Tagged端口列表。

(2) 配置MSTP

MSTP在“网络 > 链路 > STP”页面配置，配置步骤为：

· Switch A～Switch D上开启STP功能，设置工作模式为MSTP。

· Switch A～Switch D上，在域设置页面，配置MST域的域名为Web，将VLAN 10、30分别映射到MSTI 1、2上，并配置MSTP的修订级别为0。

3. 验证配置

完成上述配置后，在生成树状态中可以看到各个接口的端口角色、端口状态等信息。

12.2.6 LLDP配置举例

1. 组网需求

通过在Switch A和Switch B上配置LLDP功能，实现：

· Switch A可以发现Switch B，并获取Switch B的系统及配置等信息。

· Switch B不可以发现Switch A。

图12-9 LLDP配置组网图

2. 配置步骤

LLDP在“网络 > 链路 > LLDP”页面配置。两台设备上的配置分别为：

· 在Switch A上全局开启LLDP功能。进入接口状态页面，在接口GigabitEthernet1/0/1上开启LLDP功能。在高级设置的接口设置页面，开启接口GigabitEthernet1/0/1的最近桥代理功能，并配置该接口的工作模式为只接收报文，使得Switch A能够发现邻居。

· 在Switch B上全局开启LLDP功能。进入接口状态页面，在接口GigabitEthernet1/0/1上开启LLDP功能。在高级设置的接口设置页面，开启接口GigabitEthernet1/0/1的最近桥代理功能，并配置该接口的工作模式为只发送报文，使得Switch B不能够发现邻居。

3. 验证配置

完成上述配置后，在Switch A的LLDP邻居页面中可以看到Switch B的信息，邻居关系建立；Switch B的LLDP邻居页面中没有邻居信息。

12.2.7 DHCP Snooping配置举例

1. 组网需求

Switch B通过以太网端口GigabitEthernet1/0/1连接到合法DHCP服务器，通过以太网端口GigabitEthernet1/0/3连接到非法DHCP服务器，通过GigabitEthernet1/0/2连接到DHCP客户端。要求：

· 与合法DHCP服务器相连的端口可以转发DHCP服务器的响应报文，而其他端口不转发DHCP服务器的响应报文。

· 记录DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文中DHCP客户端IP地址及MAC地址的绑定信息，并将绑定关系保存在FTP服务器上的文件中。

图12-10 DHCP Snooping配置组网图

2. 配置步骤

(1) 配置DHCP服务器Switch A（具体配置过程略）

(2) 配置FTP服务器

开启FTP服务，配置登录名为User，登录密码为Password。（具体配置过程略）

(3) 配置Switch B

DHCP Snooping功能在“网络 > 链路 > DHCP Snooping”页面配置，配置步骤为：

· 开启DHCP Snooping功能。

· 配置连接合法DHCP服务器的接口GigabitEthernet1/0/1为信任接口。

· 在连接DHCP客户端的接口GigabitEthernet1/0/2上开启表项记录功能。

· 在高级设置页面，配置DHCP Snooping设备的表项备份功能：将DHCP Snooping表项备份到远端服务器，URL地址为ftp://10.1.1.1/database.dhcp，指定访问远端服务器时使用的用户名为User，密码为Password。该URL地址表示远端服务器为FTP服务器、地址为10.1.1.1、备份文件名称为database.dhcp。

3. 验证配置

完成上述配置后，DHCP客户端只能从合法DHCP服务器获取IP地址和其它配置信息，非法DHCP服务器无法为DHCP客户端分配IP地址和其他配置信息。在DHCP Snooping上可以查看到记录的DHCP Snooping表项，同时FTP服务器上的文件database.dhcp中也保存了对应的DHCP Snooping表项信息。

12.2.8 添加静态ARP表项配置举例

1. 组网需求

Switch通过下行口连接主机，通过接口GigabitEthernet1/0/1连接Device。接口GigabitEthernet1/0/1属于VLAN 10，IP地址为192.168.1.2/24。Device接口的IP地址为192.168.1.1/24，MAC地址为10e0-fc01-0001。

为了增加Switch和Device通信的安全性，可以在Switch上为Device配置一条静态ARP表项，从而防止攻击报文修改此表项的IP地址和MAC地址对应关系。

图12-11 添加静态ARP表项配置组网图

2. 配置步骤

(1) 配置VLAN和VLAN接口

进入Switch的“网络 > 链路 > VLAN”页面，创建VLAN 10。进入VLAN 10的详情页面，配置端口GigabitEthernet1/0/1加入VLAN 10的Tagged端口列表，并创建VLAN接口10，配置VLAN接口10的IP地址为192.168.1.2/24。

(2) 配置ARP表项

ARP在Switch的“网络 > IP > ARP”页面配置，配置步骤为：

· 添加静态ARP表项。

· 配置IP地址为192.168.1.1。

· 配置MAC地址为10-e0-fc-01-00-01。

· 指定报文转发的VLAN为10，接口为GigabitEthernet1/0/1。

3. 验证配置

完成上述配置后，在Switch上可以看到新增一条静态ARP表项。

12.2.9 静态DNS配置举例

1. 组网需求

为了避免记忆复杂的IP地址，Switch希望通过便于记忆的主机名访问某一主机。在Switch上手工配置IP地址对应的主机名，利用静态域名解析功能，就可以实现通过主机名访问该主机。

在本例中，Switch访问的主机IP地址为10.1.1.2，主机名为host.com。

图12-12 静态DNS配置组网图

2. 配置步骤

(1) 配置VLAN和VLAN接口

进入Switch的“网络 > 链路 > VLAN”页面，创建VLAN 10。进入VLAN 10的详情页面，配置端口GigabitEthernet1/0/1加入VLAN 10的Tagged端口列表，并创建VLAN接口10，配置VLAN接口10的IP地址为10.1.1.1/24。

(2) 配置静态域名解析

进入Switch的“网络 > IP > DNS”页面，配置静态域名解析：主机名为host.com，对应的IPv4地址为10.1.1.2。

3. 验证配置

完成上述配置后，在Switch上执行ping host.com命令，可以解析到host.com对应的IP地址为10.1.1.2，并能够ping通主机。

12.2.10 动态DNS配置举例

1. 组网需求

为了避免记忆复杂的IP地址，Switch希望通过便于记忆的域名访问某一主机。如果网络中存在域名服务器，则可以利用动态域名解析功能，实现通过域名访问主机。

在本例中：

· 域名服务器的IP地址是2.1.1.2/16，域名服务器上存在域名host.com和IP地址3.1.1.1的对应关系。

· Switch作为DNS客户端，使用动态域名解析功能，将域名解析为IP地址。

· Switch上配置域名后缀com，以便简化访问主机时输入的域名。例如，通过输入host即可访问域名为host.com、IP地址为3.1.1.1/16的主机Host。

图12-13 动态DNS配置组网图

2. 配置步骤

(1) 配置路由

在各设备上配置静态路由或动态路由协议，使得各设备之间路由可达。（具体配置过程略）

(2) 配置域名服务器

在DNS server上添加域名host.com和IP地址3.1.1.1的映射关系。（具体配置过程略）

(3) 在Switch上配置动态域名解析

进入Switch的“网络 > IP > DNS”页面，配置域名服务器地址为2.1.1.2。在高级设置页面，配置域名后缀为com。

3. 验证配置

完成上述配置后，在Switch上执行ping host命令，可以解析到host对应的IP地址为3.1.1.1，并能够ping通主机。

12.2.11 IPv6地址静态配置举例

1. 组网需求

Switch 的VLAN接口10通过EUI-64方式生成前缀为2001::/64的全球单播地址。

图12-14 IPv6地址静态配置组网图

2. 配置步骤

(1) 配置VLAN和VLAN接口

进入Switch的“网络 > 链路 > VLAN”页面，创建VLAN 10。进入VLAN 10的详情页面，配置端口GigabitEthernet1/0/1加入VLAN 10的Tagged端口列表，并创建VLAN接口10。

(2) 配置IPv6地址

IPv6地址在Switch的“网络 > IPv6 > IPv6”页面设置。进入VLAN接口10的详情页面，配置接口地址为2001::，前缀长度为64，接口标识使用EUI-64方式生成。

3. 验证配置

完成上述配置后，在Switch上查看到VLAN接口10的IPv6全球单播地址为2001::5EDD:70FF:FEB1:86D0，同时VLAN接口10上会自动生成一个链路本地地址FE80::5EDD:70FF:FEB1:86D0。

12.2.12 ND配置举例

1. 组网需求

如图12-15所示，Switch B通过ND消息发布前缀信息，Switch A使用无状态自动方式、根据Switch B发布的前缀信息生成全局单播IPv6地址。

图12-15 ND配置组网图

2. 配置步骤

(1) 配置Switch B

# 进入“网络 > 链路 > VLAN”页面，创建VLAN 10。进入VLAN 10的详情页面，配置端口GigabitEthernet1/0/2加入VLAN 10的Tagged端口列表，并创建VLAN接口10。

# 进入“网络 > IPv6 > IPv6”页面。进入VLAN接口10的详情页面，配置接口地址为2001::1/64。

# ND在“网络 > IPv6 > ND”页面配置，配置步骤为：

· 在高级设置页面，添加RA前缀：指定RA前缀的发送接口为VLAN接口10、前缀地址为2001::1、前缀长度为64、有效生命期为2592000秒、首选生命期为604800秒，用于无状态地址配置。

· 在高级设置页面，修改接口上的RA参数设置：取消接口抑制RA消息发送功能，设置最大发布间隔为600秒、最小发布间隔为200秒、路由器生存时间为1800秒。

(2) 配置Switch A

# 进入“网络 > 链路 > VLAN”页面，创建VLAN 10。进入VLAN 10的详情页面，配置端口GigabitEthernet1/0/2加入VLAN 10的Tagged端口列表，并创建VLAN接口10。

# 进入“网络 > IPv6 > IPv6”页面。进入VLAN接口10的详情页面，配置VLAN接口10通过无状态自动配置生成全球单播地址。

3. 验证配置

完成上述配置后，可以看到Switch A的VLAN接口10上自动生成了全球单播地址2001::EDA:41FF:FE5A:2AC8，该地址前缀与Switch B发布的RA前缀相同。

12.2.13 端口镜像配置举例

1. 组网需求

· Switch通过端口GigabitEthernet1/0/1和GigabitEthernet1/0/2分别连接市场部和技术部，并通过端口GigabitEthernet1/0/3连接Server。

· 通过配置本地端口镜像，使Server可以监控所有进、出市场部和技术部的报文。

图12-16 端口镜像配置组网图

2. 配置步骤

端口镜像在“网络 > 镜像 > 端口镜像”页面配置，配置步骤为：

· 创建本地镜像组1。

· 配置本地镜像组1的源端口为GigabitEthernet1/0/1和GigabitEthernet1/0/2，并指定对双方向的流量都进行镜像。

· 配置本地镜像组1的目的端口为GigabitEthernet1/0/3。

3. 验证配置

完成上述配置后，用户可以通过Server监控所有进、出市场部和技术部的报文。

12.2.14 IPv4静态路由配置举例

1. 组网需求

在Switch A、Switch B和Switch C上配置静态路由，实现主机之间的两两互通。

图12-17 IPv4静态路由配置组网图

2. 配置步骤

IPv4静态路由在“网络 > 路由 > 静态路由”页面配置。三台交换机上的配置分别为：

· 在Switch A上创建一条IPv4静态路由表项，指定目的IP地址为0.0.0.0、掩码长度为0、下一跳地址为1.1.4.2，该路由用来匹配所有的目的IP地址。

· 在Switch B上创建到达Host A所在网段和Host C所在网段的两条IPv4静态路由表项：

¡ 到达Host A所在网段的路由：目的IP地址为1.1.2.0、掩码长度为24,、下一跳地址为1.1.4.1；

¡ 到达Host C所在网段的路由：目的IP地址为1.1.3.0、掩码长度为24、下一跳地址为1.1.5.6。

· 在Switch C上创建一条IPv4静态路由表项，指定目的IP地址为0.0.0.0、掩码长度为0、下一跳地址为1.1.5.5，该路由用来匹配所有的目的IP地址。

3. 验证配置

完成上述配置后，在任意一台主机上可以ping通另外两台主机。

12.2.15 IPv4本地策略路由配置举例

1. 组网需求

通过策略路由控制由Switch A产生的TCP报文的下一跳为1.1.2.2，其它类型报文仍然按照查找路由表的方式进行转发。

图12-18 IPv4本地策略路由配置组网图

2. 配置步骤

IPv4本地策略路由在“网络 > 路由 > 策略路由”页面配置，在Switch A上的配置步骤为：

· 创建节点编号为5，匹配模式为允许的IPv4策略路由pbr。

· 创建IPv4高级ACL 3001，定义规则为允许IP协议类型为6（TCP）的报文通过。

· 指定策略路由pbr的报文匹配规则为IPv4 ACL 3001。

· 设置报文转发下一跳IP地址为1.1.2.2。

· 对本设备发送的IPv4报文应用策略pbr。

3. 验证配置

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，完成上述配置后：

· 在Switch A上可以成功通过Telnet方式登录Switch B。

· 在Switch A上无法通过Telnet方式登录Switch C。

· 在Switch A上可以ping通Switch C。

12.2.16 IGMP Snooping配置举例

1. 组网需求

· 如图12-19所示，在一个没有三层网络设备的纯二层网络中，组播源Source 1向组播组224.1.1.1发送组播数据，Host A和Host B都是该组播组的接收者，且都使用IGMPv2。

· 由于该网络中没有可运行IGMP的三层网络设备，因此由Switch A来充当IGMP查询器，并将其发出的IGMP查询报文的源IP地址配置为非0.0.0.0，以免影响各交换机上IGMP snooping转发表项的建立从而导致组播数据无法正常转发。

· 为防止交换机在没有相应转发表项时将组播数据在VLAN内广播，在所有交换机上都开启丢弃未知组播数据报文功能。

图12-19 IGMP Snooping配置组网图

2. 配置步骤

IGMP Snooping在“网络 > 组播 > IGMP Snooping”页面配置。三台交换机上的配置分别为：

· 在Switch A的VLAN 1内开启版本2的IGMP snooping，并开启丢弃未知组播数据报文功能和充当IGMP查询器功能，然后将普遍组查询报文和特定组查询报文的源IP地址都配置为192.168.1.10。

· 在Switch B的VLAN 1内开启版本2的IGMP snooping，并开启丢弃未知组播数据报文功能。

· 在Switch C的VLAN 1内开启版本2的IGMP snooping，并开启丢弃未知组播数据报文功能。

3. 验证配置

完成上述配置，并且接收者申请加入组播组224.1.1.1之后，在页面上可以看到该组播组对应的IGMP snooping转发表项。

12.2.17 MLD Snooping配置举例

1. 组网需求

· 如图12-20所示，在一个没有三层网络设备的纯二层网络中，组播源Source 1向IPv6组播组FF1E::101发送IPv6组播数据，Host A和Host B都是该IPv6组播组的接收者，且都使用MLDv1。

· 由于该网络中没有可运行MLD的三层网络设备，因此由Switch A来充当MLD查询器。

· 为防止交换机在没有相应转发表项时将IPv6组播数据在VLAN内广播，在所有交换机上都开启丢弃未知IPv6组播数据报文功能。

图12-20 MLD Snooping配置组网图

2. 配置步骤

MLD Snooping在“网络 > 组播 > MLD Snooping”页面配置。三台交换机上的配置分别为：

· 在Switch A的VLAN 1内开启版本1的MLD snooping，并开启丢弃未知IPv6组播数据报文功能和充当MLD查询器功能。

· 在Switch B的VLAN 1内开启版本1的MLD snooping，并开启丢弃未知IPv6组播数据报文功能。

· 在Switch C的VLAN 1内开启版本1的MLD snooping，并开启丢弃未知IPv6组播数据报文功能。

3. 验证配置

完成上述配置，并且接收者申请加入IPv6组播组FF1E::101之后，在页面上可以看到该IPv6组播组对应的MLD snooping转发表项。

12.2.18 使用本地认证的SSH server配置举例

1. 组网需求

如图12-21 图12-21 图12-21所示，网络管理员需要通过Internet远程登录到校园网的网关设备（Switch）上对其进行管理。为了提高安全性，可将Switch配置为Stelnet服务器，并在Host上运行Stelnet客户端软件，在二者之间建立SSH连接。具体要求为：

· Switch通过SSH的password认证方式对客户端进行认证，认证过程在Switch本地完成。

· 网络管理员Host的登录用户名为client，密码为aabbcc，登录设备后可执行设备支持的所有操作。

图12-21 设备作为Stelnet服务器配置组网图

2. 配置步骤

(1) 配置Stelnet服务器生成本地RSA、DSA、ECDSA密钥对

进入Switch的“资源 > 公钥 > 公钥”页面，添加本地RSA、DSA、ECDSA密钥对。

(2) 配置SSH服务器功能

进入Switch的“网络 > 服务 > SSH”页面，开启Stelnet服务。

(3) 配置VLAN和VLAN接口

进入Switch的“网络 > 链路 > VLAN”页面，创建VLAN 2。进入VLAN 2的详情页面，配置端口GigabitEthernet1/0/2加入VLAN 2的Untagged端口列表，并创建VLAN接口2，配置VLAN接口2的IP地址为192.168.1.40/24。

(4) 配置Stelnet客户端登录用户线的认证方式为scheme

使用Console口登录Switch，配置Stelnet客户端登录用户线的认证方式为scheme。

(5) 配置管理员账户

管理员帐户在“设备 > 维护 > 管理员”页面配置，配置步骤为：

· 添加管理员。

· 配置用户名为client，密码为aabbcc。

· 选择角色为network-admin。

· 指定可用的服务为SSH。

3. 验证配置

Stelnet客户端软件有很多，例如PuTTY、OpenSSH等。本文中仅以客户端软件PuTTY0.58为例，说明Stelnet客户端的配置方法。

打开PuTTY.exe程序，在“Host Name（or IP address）”文本框中输入Stelnet服务器的IP地址为192.168.1.40。单击<Open>按钮。按提示输入用户名client及密码aabbcc，成功进入Switch的配置界面。

12.2.19 NTP 配置举例

1. 组网需求

· Device A采用本地时钟作为参考时钟，使得自己的时钟处于同步状态。

· Device A作为时间服务器为Device B提供时间同步。

图12-22 NTP配置组网图

2. 配置步骤

(1) 配置NTP服务器Device A

进入Device A的“网络 > 服务 > NTP”页面，配置步骤为：

· 开启NTP服务。

· 配置本地时钟的IP地址为127.127.1.0。

· 配置本地时钟所处的层数为2。

(2) 配置NTP客户端Device B

系统时间在“设备 > 维护 > 系统设置”页面配置，配置步骤为：

· 在日期和时间页签下选择自动同步网络日期和时间，采用的协议为网络时间协议（NTP）。

· 指定NTP服务器（即时钟源）的IP地址为1.0.1.11，并指定时钟源工作在服务器模式。

3. 验证配置

完成上述配置后，Device B与Device A进行时间同步。此时Device B层数比Device A的层数大1，为3。

12.2.20 SNMP配置举例

1. 组网需求

· NMS上运行SNMP v2c，需要对Device进行远程访问。

· 当Device上发生紧急事件时，能通过Trap信息自动上报给NMS。

图12-23 SNMP配置组网图

2. 配置步骤

(1) 配置Device

进入Device的“网络 > 服务 > SNMP”页面，配置步骤为：

· 开启SNMP服务。

· 选择版本v2c。

· 新建团体readandwrite，具有读写属性，可访问缺省MIB视图下的所有节点。配置IPv4基本ACL，仅允许1.1.1.2/24使用团体名readandwrite来访问Device。

· 开启Trap功能，将目的主机设置为1.1.1.2，安全字为readandwrite，安全模型为v2c。

(2) 配置NMS

配置NMS使用的SNMP版本为v2c，读写团体名为readandwrite。具体配置请参考NMS的相关手册。

3. 验证配置

完成上述配置后，NMS上可获取MIB节点sysName的值，值为Device。当Device的接口被用户关闭时，NMS上可以收到linkDowm的Trap信息。

12.3 QoS配置举例

1. 组网需求

当三个部门访问Internet的流量发生拥塞时，要求按照2：1：1的比例依次调度管理部、研发部和市场部的流量。同时，保证发往Internet的所有数据总速率不得超过15Mbps。

图12-24 QoS配置组网图

2. 配置步骤

(1) 配置QoS策略

QoS策略在“QoS > QoS > QoS策略”页面配置。在接口GigabitEthernet1/0/2、GigabitEthernet1/0/3、GigabitEthernet1/0/4的入方向上应用QoS策略后，在策略详情中修改应用的策略，此处创建如下三个QoS策略：

· 创建IPv4 ACL 2001，添加一条允许源IP为192.168.1.0、通配符掩码为0.0.0.255的报文通过的规则；定义匹配该ACL的类；指定流行为为重标记报文的802.1p优先级为0。

· 创建IPv4 ACL 2002，添加一条允许源IP为192.168.2.0、通配符掩码为0.0.0.255的报文通过的规则；定义匹配该ACL的类；指定流行为为重标记报文的802.1p优先级为1。

· 创建IPv4 ACL 2003，添加一条允许源IP为192.168.3.0、通配符掩码为0.0.0.255的报文通过的规则；定义匹配该ACL的类；指定流行为为重标记报文的802.1p优先级为2。

(2) 配置优先级映射

优先级信任模式在“QoS > QoS > 优先级映射”页面配置。具体配置为：指定在接口GigabitEthernet1/0/1、GigabitEthernet1/0/2、GigabitEthernet1/0/3、GigabitEthernet1/0/4的优先级信任模式为信任Dot1p优先级。

优先级映射表在“QoS > QoS > 优先级映射”页面配置。具体配置为：将802.1p优先级到本地优先级映射表中，输入值为0、1、2对应的输出值分别改为0、1、2。

(3) 配置接口的硬件队列

接口的硬件队列在“QoS > QoS > 硬件队列”页面配置。进入接口GigabitEthernet1/0/1的详情页面，配置该接口的队列调度算法为WRR（byte-count），并将编号为0、1、2的队列的字节数分别修改为2、1、1。

(4) 配置接口限速

接口限速在“QoS > QoS > 限速”页面配置。具体配置为：在接口GigabitEthernet1/0/1的出方向上配置限速的CIR为15360千比特每秒。

3. 验证配置

完成上述配置后，可以在QoS策略页面查看策略的应用状态，也可以在硬件队列页面查看接口下队列的配置情况。

12.4 安全配置举例

12.4.1 通过ACL进行包过滤配置举例

1. 组网需求

某公司要求，允许总裁办在任意时间、财务部在工作时间（每周工作日的8点到18点）访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。

图12-25 通过ACL进行包过滤配置组网图

2. 配置步骤

包过滤在“安全 > 包过滤 > 包过滤”页面配置。配置步骤为：

· 创建接口的包过滤策略，在Switch的VLAN接口10的出方向上指定包过滤规则为IPv4 ACL。

· 创建IPv4高级ACL 3000，并按顺序制定三条规则：

¡ 允许协议类型为256（IP），源IP为192.168.1.0、通配符掩码为0.0.0.255，目的IP为192.168.0.100、通配符掩码为0的报文通过。

¡ 创建周期时间段work，指定开始时间为08：00，结束时间为18：00，生效时间为每周一、周二、周三、周四和周五。允许协议类型为256（IP），源IP为192.168.2.0、通配符掩码为0.0.0.255，目的IP为192.168.0.100、通配符掩码为0，生效时间段为work的报文通过。

¡ 拒绝协议类型为256（IP），目的IP为192.168.0.100、通配符掩码为0的报文通过。

· 开启ACL规则的匹配统计功能。

3. 验证配置

完成上述配置后，在页面上可以看到已经创建的IPv4高级ACL的规则状态。总裁办主机在任何时间都可以ping通财务数据库服务器；在工作时间财务部主机可以ping通该服务器；市场部在任何时间都不能ping通该服务器。

12.4.2 IP Source Guard IPv4静态绑定表项配置举例

1. 组网需求

Host A、Host B分别与Device B的接口GigabitEthernet1/0/2、GigabitEthernet1/0/1相连；Host C与Device A的接口GigabitEthernet1/0/2相连。Device B接到Device A的接口GigabitEthernet1/0/1上。各主机均使用静态配置的IP地址。

要求通过在Device A和Device B上配置IPv4静态绑定表项，满足以下各项应用需求：

· Device A的接口GigabitEthernet1/0/2上只允许Host C发送的IP报文通过。

· Device A的接口GigabitEthernet1/0/1上只允许Host A发送的IP报文通过。

· Device B的接口GigabitEthernet1/0/2上只允许Host A发送的IP报文通过。

· Device B的接口GigabitEthernet1/0/1上只允许Host B发送的IP报文通过。

图12-26 IP Source Guard IPv4静态绑定表项配置组网图

2. 配置步骤

(1) 配置Device A

# 配置各接口的IP地址（略）

# IP Source Guard功能在“安全 > 包过滤 > IP Source Guard”页面配置，配置步骤为：

· 添加静态IPv4表项，接口为GigabitEthernet1/0/1，IP地址为192.168.0.1，MAC地址为00-01-02-03-04-06；

· 添加静态IPv4表项，接口为GigabitEthernet1/0/2，IP地址为192.168.0.3，MAC地址为00-01-02-03-04-05；

(2) 配置Device B

# 配置各接口的IP地址（略）

# IP Source Guard功能在“安全 > 包过滤 > IP Source Guard”页面配置，配置步骤为：

· 添加静态IPv4表项，接口为GigabitEthernet1/0/1，IP地址为192.168.0.2，MAC地址为00-01-02-03-04-07；

· 添加静态IPv4表项，接口为GigabitEthernet1/0/2，IP地址为192.168.0.1，MAC地址为00-01-02-03-04-06；

3. 验证配置

完成上述配置后，可分别在Device A和Device B的“安全 > 包过滤 > IP Source Guard”页面查看到对应的IP Source Guard表项。

12.4.3 802.1X用户的RADIUS认证配置举例

1. 组网需求

用户通过Switch的端口GigabitEthernet1/0/1接入网络，Switch对该端口接入的用户进行802.1X认证以控制其访问Internet，具体要求如下：

· RADIUS服务器作为认证/授权/计费服务器与Switch相连，其IP地址为10.1.1.1/24。

· 端口GigabitEthernet1/0/1下的所有接入用户均需要单独认证，当某个用户下线时，也只有该用户无法使用网络。

· Switch对802.1X用户进行认证时，采用RADIUS认证方式，认证ISP域为dm1X。

· Switch与RADIUS认证/授权和计费服务器交互报文时的共享密钥均为name，认证/授权、计费的端口号分别为1812和1813，向RADIUS服务器发送的用户名不携带域名。

图12-27 802.1X用户的RADIUS认证配置组网图

2. 配置步骤

(1) 配置各接口的IP地址（略）

(2) 在Switch上配置RADIUS方案

RADIUS方案在“安全 > 认证 > RADIUS”页面配置，配置步骤为：

· 添加RADIUS方案，名称为802.1X。

· 指定主认证服务器IP地址为10.1.1.1，端口号为1812，共享密钥为name。设置主认证服务器状态为活动。

· 指定主计费服务器IP地址为10.1.1.1，端口号为1813，共享密钥为name。设置主计费服务器状态为活动。

· 指定发送给RADIUS服务器的用户名格式为不携带域名。

(3) 在Switch上配置ISP域

ISP域在“安全 > 认证 > ISP域”页面配置，配置步骤为：

· 添加ISP域，名称为dm1X，并将该ISP域的状态设置为活动。

· 指定接入方式为LAN接入。

· 指定LAN接入AAA方案的认证、授权和计费的方法均为RADIUS，方案都选择802.1X。

(4) 在Switch上配置802.1X

802.1X认证在“安全 > 接入 > 802.1X”页面配置，配置步骤为：

· 开启Switch的802.1X认证功能。

· 在接口GigabitEthernet1/0/1上开启802.1X认证功能，指定接入控制方式为基于MAC认证的方式。

· 在接口GigabitEthernet1/0/1的高级设置页面上，指定授权状态为自动识别，端口的强制认证ISP域为dm1X。

(5) 配置RADIUS服务器

在RADIUS服务器上添加用户帐户，保证用户的认证/授权/计费功能正常运行。具体配置方法请参考关于RADIUS服务器的配置说明。

3. 验证配置

(1) 在“安全 > 认证 > RADIUS”页面上，可以看到已添加成功的RADIUS方案802.1X的概要信息。

(2) 在“安全 > 认证 > ISP域”页面上，可以看到已添加成功的ISP域的dm1X的概要信息。

(3) 用户启动802.1X客户端，输入正确的用户名和密码之后，可以成功上线，在“安全 > 接入 > 802.1X”页面中，可以查看接口GigabitEthernet1/0/1的当前用户数。

12.4.4 802.1X用户的本地认证配置举例

1. 组网需求

用户通过Switch的端口GigabitEthernet1/0/1接入网络，Switch对该端口接入的用户进行802.1X认证以控制其访问Internet，具体要求如下：

· Switch对802.1X用户采用本地认证，认证域为abc。

· 802.1X用户的认证名为dotuser，认证密码为12345。

· 端口GigabitEthernet1/0/1上只要有一个802.1X用户认证成功后，从该端口接入的其它用户无须认证就可使用网络资源。

图12-28 802.1X用户的本地认证配置组网图

2. 配置步骤

(1) 配置各接口的IP地址（略）

(2) 配置本地用户

本地用户在“安全 > 认证 > 本地认证”页面配置，配置步骤为：

· 添加用户，用户名为dotuser，密码为12345。

· 指定可用的服务为LAN接入。

(3) 配置ISP域

ISP域在“安全 > 认证 > ISP域”页面配置，配置步骤为：

· 添加ISP域，名称为abc，并将该ISP域的状态设置为活动。

· 指定接入方式为LAN接入。

· 指定LAN接入AAA方案的认证方法为本地认证，授权方法为本地授权，计费方法为不计费。

(4) 配置802.1X

802.1X认证在“安全 > 接入 > 802.1X”页面配置，配置步骤为：

· 开启Switch的802.1X认证功能。

· 在接口GigabitEthernet1/0/1上开启802.1X认证功能，指定接入控制方式为基于端口认证的方式。

· 在接口GigabitEthernet1/0/1的高级设置页面上，指定授权状态为自动识别，端口的强制认证ISP域为abc。

3. 验证配置

(1) 完成上述配置后，在“安全 > 认证 > 本地认证”页面上可以看到已成功添加的本地用户，在“安全 > 认证 > ISP域”页面上可以看到已经成功添加的ISP域。

(2) 用户启动802.1X客户端，输入正确的用户名和密码之后，可以成功上线，在“安全 > 接入 > 802.1X”页面中，可以查看到接口GigabitEthernet1/0/1上的当前用户数为1。

12.4.5 MAC地址认证用户的RADIUS认证配置举例

1. 组网需求

用户通过Switch的端口GigabitEthernet1/0/1接入网络，Switch对该端口接入的用户进行MAC地址认证以控制其访问Internet，具体要求如下：

· RADIUS服务器作为认证/授权/计费服务器与Switch相连，其IP地址为10.1.1.1/24。

· 所有用户都属于认证域2000，认证时采用固定用户名格式，用户名为aaa，密码为qaz123wdc。

· Switch对MAC地址认证用户进行认证时，采用RADIUS认证方式。

图12-29 MAC地址认证用户的RADIUS认证配置组网图

2. 配置步骤

(1) 配置各接口的IP地址（略）

(2) 在Switch上配置RADIUS方案

RADIUS方案在“安全 > 认证 > RADIUS”页面配置，配置步骤为：

· 添加RADIUS方案，名称为macauth。

· 指定主认证服务器IP地址为10.1.1.1，端口号为1812，共享密钥为name。设置主认证服务器状态为活动。

· 指定主计费服务器IP地址为10.1.1.1，端口号为1813，共享密钥为name。设置主计费服务器状态为活动。

· 指定发送给RADIUS服务器的用户名格式为不携带域名。

(3) 在Switch上配置ISP域

ISP域在“安全 > 认证 > ISP域”页面配置，配置步骤为：

· 添加ISP域，名称为macauth，并将该ISP域的状态设置为活动。

· 指定接入方式为LAN接入。

· 指定LAN接入AAA方案的认证、授权和计费的方法均为RADIUS，方案都选择macauth。

(4) 在Switch上配置MAC地址认证

MAC地址认证在“安全 > 接入 > MAC地址认证”页面配置，配置步骤为：

· 开启Switch的MAC地址认证功能。

· 在接口GigabitEthernet1/0/1上开启MAC地址认证功能。

· 在高级设置页面上指定用户名格式为固定用户名格式，用户名和密码分别为aaa、qaz123wdc。

· 在高级设置页面上指定用户认证域为macauth。

(5) 配置RADIUS服务器

在RADIUS服务器上添加用户帐户，保证用户的认证/授权/计费功能正常运行。具体配置方法请参考关于RADIUS服务器的配置说明。

3. 验证配置

(1) 在“安全 > 认证 > RADIUS”页面上，可以看到已添加成功的RADIUS方案macauth的概要信息。

(2) 在“安全 > 认证 > ISP域”页面上，可以看到已添加成功的ISP域的macauth的概要信息。

(3) 用户MAC地址认证成功上线后，在“安全 > 接入 > MAC地址认证”页面中，可以查看接口GigabitEthernet1/0/1的当前用户数。

12.4.6 端口安全用户的RADIUS认证配置举例

1. 组网需求

用户通过Switch的端口GigabitEthernet1/0/1接入网络，Switch对该端口接入的用户进行端口安全认证以控制其访问Internet，具体要求如下：

· RADIUS服务器作为认证/授权/计费服务器与Switch相连，其IP地址为10.1.1.1/24。

· 端口GigabitEthernet1/0/1上同时允许一个802.1X用户以及一个与指定OUI值匹配的设备接入。

· Switch对802.1X用户进行认证时，采用RADIUS认证方式，认证ISP域为portsec。

· 添加5个OUI值，分别为：1234-0100-1111、1234-0200-1111、1234-0300-1111、1234-0400-1111和1234-0500-1111。

图12-30 端口安全用户的RADIUS认证配置组网图

2. 配置步骤

(1) 配置各接口的IP地址（略）

(2) 在Switch上配置RADIUS方案

RADIUS方案在“安全 > 认证 > RADIUS”页面配置，配置步骤为：

· 添加RADIUS方案，名称为portsec。

· 指定主认证服务器IP地址为10.1.1.1，端口号为1812，共享密钥为name。设置主认证服务器状态为活动。

· 指定主计费服务器IP地址为10.1.1.1，端口号为1813，共享密钥为name。设置主计费服务器状态为活动。

· 指定发送给RADIUS服务器的用户名格式为不携带域名。

(3) 在Switch上配置ISP域

ISP域在“安全 > 认证 > ISP域”页面配置，配置步骤为：

· 添加ISP域，名称为portsec，并将该ISP域的状态设置为活动。

· 指定接入方式为LAN接入。

· 指定LAN接入AAA方案的认证、授权和计费的方法均为RADIUS，方案都选择portsec。

(4) 在Switch上配置端口安全

802.1X认证在“安全 > 接入 > 端口安全”页面配置，配置步骤为：

· 开启Switch的端口安全认证功能。

· 在接口GigabitEthernet1/0/1上指定端口安全模式为userLoginWithOUI。

· 在接口GigabitEthernet1/0/1的高级设置页面上的802.1X标签下，指定802.1X用户使用的端口的强制认证ISP域为portsec。

· 在高级设置页面上的认证OUIMAC中添加5个OUI值，分别为：1234-0100-1111、1234-0200-1111、1234-0300-1111、1234-0400-1111和1234-0500-1111。

(5) 配置RADIUS服务器

在RADIUS服务器上添加用户帐户，保证用户的认证/授权/计费功能正常运行。具体配置方法请参考关于RADIUS服务器的配置说明。

3. 验证配置

(1) 在“安全 > 认证 > RADIUS”页面上，可以看到已添加成功的RADIUS方案portsec的概要信息。

(2) 在“安全 > 认证 > ISP域”页面上，可以看到已添加成功的ISP域的portsec的概要信息。

(3) 802.1X用户上线后，在“安全 > 接入 > 端口安全”页面中，可以查看接口GigabitEthernet1/0/1的当前用户数为1。

12.4.7 Portal直接认证配置举例

1. 组网需求

· 用户主机与接入设备Switch直接相连，采用直接方式的Portal认证。用户通过手工配置或DHCP获取的一个公网IP地址进行认证，在通过Portal认证前，只能访问Portal Web服务器；在通过Portal认证后，可以使用此IP地址访问非受限互联网资源。

· 采用一台Portal服务器承担Portal认证服务器和Portal Web服务器的职责。

· 采用RADIUS服务器作为认证/计费服务器。

图12-31 配置Portal直接认证组网图

2. 配置步骤

(1) 配置Portal server （略）

(2) 在Switch上配置RADIUS方案

RADIUS方案在“安全 > 认证 > RADIUS”页面配置，配置步骤为：

· 添加RADIUS方案，名称为rs1。

· 指定主认证服务器IP地址为192.168.0.112，端口号为1812，共享密钥为radius。设置主认证服务器状态为活动。

· 指定主计费服务器IP地址为192.168.0.112，端口号为1813，共享密钥为radius。设置主计费服务器状态为活动。

· 指定发送给RADIUS服务器的用户名格式为不携带域名。

· 在高级设置页面上开启接收session-control报文功能。

(3) 在Switch上配置ISP域

ISP域在“安全 > 认证 > ISP域”页面配置，配置步骤为：

· 添加ISP域，名称为dm1，并将该ISP域的状态设置为活动。

· 指定接入方式为Portal。

· 指定Portal接入AAA方案的认证、授权和计费的方法均为RADIUS，方案都选择rs1。

· 在高级设置页面上指定系统缺省的ISP域为dm1，所有接入用户共用此缺省域的认证和计费方法。若用户登录时输入的用户名未携带ISP域名，则使用缺省域下的认证方法。

(4) 在Switch上配置VLAN和VLAN接口

VLAN在“网络 > 链路 > VLAN”页面配置，配置步骤为：

在Switch A上创建VLAN 100。进入VLAN 100的详情页面，配置Vlan-interface的IP地址为2.2.2.1。

(5) 在Switch上配置Portal认证

Portal认证在“安全 > 接入 > Portal”页面配置，配置步骤为：

· 添加Portal认证服务器：名称为newpt，IP地址为192.168.0.111，共享密钥为portal，服务器监听端口号为50100。

· 添加Portal Web服务器：URL为http://192.168.0.111:8080/portal。（Portal Web服务器的URL请与实际环境中的Portal Web服务器配置保持一致，此处仅为示例）。

· 添加接口策略：接口为Vlan-interface100，IPv4 Portal认证方式为直接认证，引用Portal Web服务器为newpt，BAS-IP地址为2.2.2.1。

(6) 配置RADIUS服务器

在RADIUS服务器上添加用户帐户，保证用户的认证/授权/计费功能正常运行。具体配置方法请参考关于RADIUS服务器的配置说明。

3. 验证配置

(1) 在“安全 > 认证 > RADIUS”页面上，可以看到已添加成功的RADIUS方案rs1的概要信息。

(2) 在“安全 > 认证 > ISP域”页面上，可以看到已添加成功的ISP域的dm1的概要信息。

(3) 用户Portal认证成功上线后，在“安全 > 接入 > Portal”页面中，可以在“在线用户信息”中查看接口Vlan-intrerface100的当前用户数。

12.4.8 Portal可跨三层认证配置举例

1. 组网需求

Switch A支持Portal认证功能。用户Host通过Switch B接入到Switch A。

· 配置Switch A采用可跨三层Portal认证。用户在未通过Portal认证前，只能访问Portal Web服务器；用户通过Portal认证后，可以访问非受限互联网资源。

· 采用一台Portal服务器承担Portal认证服务器和Portal Web服务器的职责。

· 采用RADIUS服务器作为认证/计费服务器。

图12-32 配置可跨三层Portal认证组网图

2. 配置步骤

(1) 配置Portal server （略）

(2) 在Switch上配置RADIUS方案

RADIUS方案在“安全 > 认证 > RADIUS”页面配置，配置步骤为：

· 添加RADIUS方案，名称为rs1。

· 指定主认证服务器IP地址为192.168.0.112，端口号为1812，共享密钥为radius。设置主认证服务器状态为活动。

· 指定主计费服务器IP地址为192.168.0.112，端口号为1813，共享密钥为radius。设置主计费服务器状态为活动。

· 指定发送给RADIUS服务器的用户名格式为不携带域名。

· 在高级设置页面上开启接收session-control报文功能。

(3) 在Switch上配置ISP域

ISP域在“安全 > 认证 > ISP域”页面配置，配置步骤为：

· 添加ISP域，名称为dm1，并将该ISP域的状态设置为活动。

· 指定接入方式为Portal。

· 指定Portal接入AAA方案的认证、授权和计费的方法均为RADIUS，方案都选择rs1。

(4) 在Switch上配置VLAN和VLAN接口

VLAN在“网络 > 链路 > VLAN”页面配置，配置步骤为：

在Switch A上创建VLAN 4。进入VLAN 4的详情页面，配置Vlan-interface的IP地址为20.20.20.1。

(5) 在Switch上配置Portal认证

Portal认证在“安全 > 接入 > Portal”页面配置，配置步骤为：

· 添加Portal认证服务器：名称为newpt，IP地址为192.168.0.111，共享密钥为portal，服务器监听端口号为50100。

· 添加Portal Web服务器：URL为http://192.168.0.111:8080/portal。（Portal Web服务器的URL请与实际环境中的Portal Web服务器配置保持一致，此处仅为示例）。

· 添加接口策略：接口为Vlan-interface4，IPv4 Portal认证方式为可跨三层认证，引用Portal Web服务器为newpt，BAS-IP地址为20.20.20.1。

(6) 配置RADIUS服务器

在RADIUS服务器上添加用户帐户，保证用户的认证/授权/计费功能正常运行。具体配置方法请参考关于RADIUS服务器的配置说明。

3. 验证配置

(1) 在“安全 > 认证 > RADIUS”页面上，可以看到已添加成功的RADIUS方案rs1的概要信息。

(2) 在“安全 > 认证 > ISP域”页面上，可以看到已添加成功的ISP域的dm1的概要信息。

(3) 用户Portal认证成功上线后，在“安全 > 接入 > Portal”页面中，可以在“在线用户信息”中查看接口Vlan-intrerface4的当前用户数。

12.4.9 使用本地Portal Web服务器的直接Portal认证配置举例

1. 组网需求

· Switch同时承担Portal Web服务器和Portal认证服务器的职责。

· 采用RADIUS服务器作为认证/计费服务器。

· 配置本地Portal Web服务器使用HTTP协议，且HTTP服务侦听的TCP端口号为2331。

图12-33

2. 配置步骤

(1) 在Switch上配置RADIUS方案

RADIUS方案在“安全 > 认证 > RADIUS”页面配置，配置步骤为：

· 添加RADIUS方案，名称为rs1。

· 指定主认证服务器IP地址为192.168.0.112，端口号为1812，共享密钥为radius。设置主认证服务器状态为活动。

· 指定主计费服务器IP地址为192.168.0.112，端口号为1813，共享密钥为radius。设置主计费服务器状态为活动。

· 指定发送给RADIUS服务器的用户名格式为不携带域名。

· 在高级设置页面上开启接收session-control报文功能。

(2) 在Switch上配置ISP域

ISP域在“安全 > 认证 > ISP域”页面配置，配置步骤为：

· 添加ISP域，名称为dm1，并将该ISP域的状态设置为活动。

· 指定接入方式为Portal。

· 指定Portal接入AAA方案的认证、授权和计费的方法均为RADIUS，方案都选择rs1。

(3) 在Switch上配置VLAN和VLAN接口

VLAN在“网络 > 链路 > VLAN”页面配置，配置步骤为：

在Switch A上创建VLAN 100。进入VLAN 100的详情页面，配置Vlan-interface的IP地址为2.2.2.1。

(4) 在Switch上配置Portal认证

Portal认证在“安全 > 接入 > Portal”页面配置，配置步骤为：

· 添加Portal Web服务器：URL为http://2.2.2.1:2331/portal。（Portal Web服务器的URL可配置为开启Portal认证的接口的IP地址或除127.0.0.1以外的Loopback接口的IP地址）。

· 添加本地Portal Web服务器：使用协议为HTTP协议，缺省认证页面文件为abc.zip（确保已上传到设备存储介质的根目录下），TCP端口号为2331。

· 添加接口策略：接口为Vlan-interface100，IPv4 Portal认证方式为直接认证，引用Portal Web服务器为newpt。

(5) 配置RADIUS服务器

在RADIUS服务器上添加用户帐户，保证用户的认证/授权/计费功能正常运行。具体配置方法请参考关于RADIUS服务器的配置说明。

3. 验证配置

(1) 在“安全 > 认证 > RADIUS”页面上，可以看到已添加成功的RADIUS方案rs1的概要信息。

(2) 在“安全 > 认证 > ISP域”页面上，可以看到已添加成功的ISP域的dm1的概要信息。

(3) 用户Portal认证成功上线后，在“安全 > 接入 > Portal”页面中，可以在“在线用户信息”中查看接口Vlan-intrerface100的当前用户数。

12.4.10 SSH 用户TACACS认证、授权、计费配置

1. 组网需求

要求使用TACACS服务器对登录Switch的SSH用户进行认证、授权、计费，具体需求如下：

· 由一台TACACS服务器担当认证、授权、计费服务器的职责，服务器IP地址为10.1.1.1/24。

· Switch与认证、授权、计费TACACS服务器交互报文时的共享密钥均为expert，向TACACS服务器发送的用户名中不带域名。

· SSH用户登录Switch时使用TACACS服务器上配置的用户名以及密码进行认证，认证通过后具有角色network-admin。

图12-34 SSH用户TACACS认证、授权和计费配置组网图

2. 配置步骤

(1) 配置Stelnet服务器生成本地RSA、DSA、ECDSA密钥对

进入Switch的“资源 > 公钥 > 公钥”页面，添加本地RSA、DSA、ECDSA密钥对。

(2) 配置SSH服务器功能

进入Switch的“网络 > 服务 > SSH”页面，开启Stelnet服务。

(3) 配置VLAN和VLAN接口

进入Switch的“网络 > 链路 > VLAN”页面，创建VLAN 2。进入VLAN 2的详情页面，配置端口GigabitEthernet1/0/2加入VLAN 2的Tagged端口列表，并创建VLAN接口2，配置VLAN接口2的IP地址为192.168.1.40/24。

(4) 配置TACACS方案

TACACS方案在“安全 > 认证 > TACACS”页面配置，配置步骤为：

· 添加TACACS方案，名称为tac。

· 指定主认证服务器IP地址为10.1.1.1，端口号为49，共享密钥为expert。

· 指定主授权服务器IP地址为10.1.1.1，端口号为49，共享密钥为expert。

· 指定主计费服务器IP地址为10.1.1.1，端口号为49，共享密钥为expert。

· 指定发送给TACACS服务器的用户名格式为不携带域名。

(5) 配置ISP域

ISP域在“安全 > 认证 > ISP域”页面配置，配置步骤为：

· 添加ISP域，名称为bbb，并将该ISP域的状态设置为活动。

· 指定接入方式为登录用户。

· 指定登录用户AAA方案的认证、授权和计费的方法均为TACACS，方案都选择tac。

(6) 配置Stelnet客户端登录用户线的认证方式为scheme

用户登录Console口，配置Stelnet客户端登录用户线的认证方式为scheme。

(7) 配置TACACS服务器

在TACACS服务器上添加用户帐户，保证用户的认证/授权/计费功能正常运行，并指定授权给用户的角色为network-admin。具体配置方法请参考关于TACACS服务器的配置说明。

3. 验证配置

用户向Switch发起SSH连接，按照提示输入正确用户名及密码后，可成功登录Switch，并具有授权角色network-admin的操作权限。

12.5 PoE配置举例

1. 组网需求

当交换机连接IP电话、无线AP设备时，需要通过交换机的PoE功能利用双绞线对这些PD（Powered Device，受电设备）进行供电。

· GigabitEthernet1/0/1和GigabitEthernet1/0/2接入IP电话。GigabitEthernet1/0/3接入AP设备。

· IP电话的供电优先级高于AP设备。当PSE功率过载时，优先给IP电话供电。

· GigabitEthernet1/0/3下接AP的功率最大不能超过9000毫瓦。

图12-35 PoE配置组网图

2. 配置步骤

PoE功能在“PoE > PoE”页面配置，配置步骤为：

· 使能GigabitEthernet1/0/1和GigabitEthernet1/0/2的PoE功能，并将供电优先级设置为“最高优先级”。

· 使能GigabitEthernet1/0/3的PoE功能，并设置接口的最大供电功率为9000毫瓦。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

百业灵犀

技术解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

H3C S1850-X&S5000E-X&S5000V3-EI系列以太网交换机 Web配置指导-6W101

目录

01-正文

1.1 对浏览器和操作系统的要求

2 如何使用Web

2.1 Web页面布局介绍

2.2 Web页面分类

2.2.3 配置页面

2.3 Web常用按钮和图标

2.4 Web常用操作

3 Web页面导航

3.2 一级菜单包含的特性及其支持的功能

3.2.7 PoE

4 设备功能介绍

4.1 系统设置

4.1.2 NTP/SNTP简介

4.1.3 NTP/SNTP时钟源工作模式

4.1.4 NTP/SNTP时钟源身份验证

4.2 管理员

1. 角色规则

2. 资源控制策略

3. 缺省角色

4. 为用户赋予角色

4.2.3 密码管理

10. 用户帐号闲置时间管理

1. 角色

2. 成员编号

3. 成员优先级

4. IRF端口

5. IRF物理端口

6. IRF域