组网案例11.docx

1、组网案例11目录第1章 Quidway系列以太网交换机简介 11.1 Quidway系列以太网交换机简介 11.1.1 低端以太网交换机 11.1.2 中端以太网交换机 21.1.3 高端以太网交换机 21.2 本模块简介 2第2章 宽带小区网络 32.1 组网需求 32.2 使用CAMS构造宽带小区网络 32.2.1 解决方案 32.2.2 配置步骤 42.3 利用MA5200构造宽带小区网络 82.3.1 解决方案 82.3.2 配置步骤 9第3章 中小企业/大企业分支机构组网 123.1 组网需求 123.2 利用华为交换机构造企业网络 123.2.1 解决方案 123.2.2 配置步骤

2、 12 第1章 Quidway系列以太网交换机简介1.1 Quidway系列以太网交换机简介华为推出全系列、全线速的Quidway系列以太网交换机，覆盖了从低端到高端、从接入到核心所有领域，提供丰富的二层、三层特性和统一的网管，满足客户对网络的各种要求。华为Quidway系列以太网交换机组网方式灵活，既可以应用于企业网络，也可以用于运营商的宽带网络。&说明：关于交换机提供的特性，可以参见相应产品的用户手册。1.1.1 低端以太网交换机华为低端系列以太网交换机主要位于网络的接入层，包括S2008B、S2016B、S2026B、S2000系列（S2008、S2016、S2026、S2403H）、S

3、3000系列（S3026、S3026 FM、S3026 FS、S3026E、S3026E FM、S3026E FS）、S2000-SI/S3000-SI系列（S2026C-SI、S202Z-SI、S3026C-SI、S3026G-SI、S3026S-SI）、S3000-EI系列（S3026C-EI、S3026G-EI、S3026T-EI）、S3500系列（S3526、S3526 FM、S3526 FS、S3526E、S3526E FM、S3526E FS、S3526C、S3552）。其中S3500系列具有三层功能，是二/三层以太网交换机，其它交换机都是二层交换机。1.1.2 中端以太网交换机华

4、为中端系列以太网交换机主要位于网络的汇聚层，包括S5516、S6500系列二/三层以太网交换机。1.1.3 高端以太网交换机华为高端以太网交换机位于网络的核心层，包括S8016路由交换机、S8500系列路由交换机等。1.2 本模块简介华为Quidway系列以太网交换机组网方式灵活，既可以应用于企业网络，也可以用于宽带接入，本模块主要介绍中低端以太网交换机的几种典型组网案例，包括宽带小区网、中小企业网。 第2章 宽带小区网络2.1 组网需求宽带小区的组网，要求可认证、可计费、可授权，同时可以进行集中管理，达到电信级的可运营、可管理的要求。2.2 使用CAMS构造宽带小区网络2.2.1 解决方案在

5、宽带小区以太网接入中，S3026以太网交换机放在小区楼道，下行直接接入用户或者通过S2000系列以太网交换机接入用户，向上可以通过GE、FE连接到小区中心设备（如S3526以太网交换机），S3526通过一个L3（如S8016等）接入到城域网。 图2-1 小区以太网接入组网示意图在组网中为了对每个用户进行认证、授权和计费，需要配置802.1x；同时需要将每个用户进行二层隔离；为了便于网管，需要配置SNMP；为了防止交换机被非法访问，交换机上需要配置对访问方式的ACL控制。整个网络采用VLAN10作为管理VLAN，所有交换机上VLAN10接口的IP地址在同一个网段10.110.110.0/24，主

6、RADIUS服务器的IP为10.110.10.18；网管工作站的IP地址为10.11.10.1。在S3026上作如下配置：isolate-user-vlan配置，将小区每个用户之间进行二层隔离，每个用户分配在一个Secondary VLAN内；802.1x认证配置，认证方式为通过RADIUS服务器对用户进行认证；管理VLAN配置、网管路由配置、SNMP配置、各种访问方式的ACL控制配置；hybrid端口配置。在S3526上进行如下配置：网关配置、hybrid端口配置、SNMP配置、各种访问方式的ACL控制配置。2.2.2 配置步骤这里简单说明交换机上的基本配置。&说明：本文仅说明交换机上的基本

7、配置。CAMS可以在网络运行过程中对交换机进行维护和管理。关于CAMS如何对交换机进行配置请参见CAMS的用户手册，这里就不再说明。 图2-2 组网示意图1. 配置Switch B下面以网络中某台Switch B为例说明基本配置过程。配置Switch B：配置isolate-user-vlan（isolate-user-vlan为VLAN5）、进行管理VLAN配置（配置管理VLAN的IP地址、一条路由）、配置802.1x认证、配置访问方式的ACL控制。管理VLAN10的IP地址为10.110.110.2，网管站的IP地址为10.11.10.1，向网管站发送数据的下一跳为10.110.110.1

8、。(1) 配置isolate-user-vlan。# 配置isolate-user-vlan。Quidway vlan 5Quidway-vlan5isolate-user-vlan enableQuidway-vlan5port ethernet 1/1# 配置Secondary VLAN。Quidway vlan 2Quidway-vlan2port ethernet 0/1Quidway-vlan2 quit Quidway vlan 3Quidway-vlan3port ethernet 0/2Quidway-vlan3 quit 依此类推。Quidway vlan 25Quidway

9、-vlan25port ethernet 0/24Quidway-vlan25 quit # 配置isolate-user-vlan和Secondary VLAN间的映射关系。Quidwayisolate-user-vlan 5 secondary 2 to 25(2) 配置管理VLAN及路由# 管理VLAN为VLAN 10，配置其接口IP地址。Quidway vlan 10Quidway-vlan10 quit Quidway interface vlan 10Quidway-Vlan-interface10ip address 10.110.110.2 255.255.255.0# 配置路

10、由，下一跳为10.110.110.1。Quidway ip route 10.11.10.1 255.255.255.248 10.110.110.1(3) 配置802.1x认证# 端口和设备上启动802.1x认证。Quidway dot1xQuidway dot1x interface ethernet 0/1 to ethernet 0/24# 配置802.1x认证基于MAC地址。Quidway dot1x port-method macbased interface ethernet 0/1 to ethernet 0/24Quidway dot1x dhcp-launch&说明：缺省情

11、况下，802.1x采用的认证方式就是基于MAC的认证方式，用户可以不用进行此项配置。# 配置到RADIUS上进行AAA认证。Quidway aaa authentication-scheme auth radius# 配置计费失败后仍然允许用户在线。Quidway aaa accounting-scheme acct1 enable online# 配置ISP域及其属性，如计费方法、认证方法等。Quidway domain rispQuidway-isp-risp authen-scheme authQuidway-isp-risp acct-scheme acct1Quidway-isp-r

12、isp state activeQuidway-isp-risp radius-scheme hostrmt# 配置RADIUS属性（主RADIUS服务器的IP为10.110.10.18）。Quidway radius scheme hostrmtQuidway-radius-hostrmt primary authentication 10.110.10.18Quidway-radius-hostrmt primary accounting 10.110.10.18Quidway-radius-hostrmt key authentication huaweiQuidway-radius-h

13、ostrmt key accounting huawei(4) 配置上行端口Ethernet1/1为hybrid端口# 配置该端口为hybrid端口，允许VLAN5和VLAN10的报文通过。Quidway interface Ethernet1/1Quidway-Ethernet1/1 port link-type hybridQuidway-Ethernet1/1 port hybrid pvid vlan 5Quidway-Ethernet1/1 port hybrid vlan 10 tagged(5) 配置SNMP# 进入全局配置模式。 system-view# 设置团体名和访问权限。

14、Quidway snmp-agent community read huaweiQuidway snmp-agent community write beiyan# 设置管理员标识、联系方法以及以太网交换机的物理位置。Quidway snmp-agent sys-infocontact Mr.Wang-Tel:3306Quidway snmp-agent sys-info location telephone-closet,3rd-floor# 允许发送Trap。Quidway snmp-agent trap enable# 定义访问控制列表。Quidway acl number 1 Quid

15、way-acl-basic-1 rule 0 permit source 10.11.10.1 0# 创建SNMP组，并定义访问控制。Quidway snmp-agent group v3 huaweigroup acl 1# 为SNMP组添加一个用户huaweimanager，设置认证密码为hello，并配置访问控制，只允许网管工作站访问交换机。Quidwaysnmp-agent usm-user v3 huaweimanager huaweigroup auth md5 huawei acl 1(6) 配置对TELNET用户的访问控制，仅允许IP为10.110.110.46和10.110.

16、110.52的用户通过TELNET访问交换机。# 定义基本访问控制列表。Quidway acl number 20Quidway-acl-basic-20 rule 0 permit source 10.110.110.46 0Quidway-acl-basic-20 rule 1 permit source 10.110.110.52 0# 引用访问控制列表。Quidway user-interface vty 0 4Quidway-ui-vty0-4 acl 20 inbound(7) 配置对HTTP用户的访问控制，仅允许IP地址为10.110.110.46的主机通过WEB方式访问交换机。

17、# 定义基本访问控制列表。Quidway acl number 30Quidway-acl-basic-30 rule 0 permit source 10.110.110.46 0# 引用访问控制列表。Quidwayip http acl 302. 配置Switch A下面以一台Switch A为例介绍配置。(1) 配置Ethernet0/1为hybrid端口。# 配置Switch A的端口Ethernet0/1为hybrid端口，并允许VLAN1和VLAN5的报文通过。Quidway interface Ethernet0/1Quidway-Ethernet0/1 port link-ty

18、pe hybridQuidway-Ethernet0/1 port hybrid pvid vlan 5Quidway-Ethernet0/1 port hybrid vlan 1 tagged(2) 配置VLAN5的接口IP地址# 创建VLAN5。Quidway vlan 5# 配置VLAN5的接口IP地址。Quidway interface vlan 5Quidway-Vlan-interface5ip address 10.110.11.1 255.255.255.192# 创建VLAN10。Quidway vlan 10# 配置VLAN10的接口IP地址。Quidway interfa

19、ce vlan 10Quidway-Vlan-interface10ip address 10.110.110.1 255.255.255.0(3) 配置SNMP# 进入全局配置模式。 system-view# 设置团体名和访问权限。Quidway snmp-agent community read huaweiQuidway snmp-agent community write beiyan# 设置管理员标识、联系方法以及以太网交换机的物理位置。Quidway snmp-agent sys-info contact Mr.Wang-Tel:3306Quidway snmp-agent sys

20、-info location telephone-closet,3rd-floor# 允许发送Trap。Quidway snmp-agent trap enable# 定义访问控制列表，以便进行对通过SNMP登录交换机的用户进行ACL控制。Quidway acl number 1 Quidway-acl-basic-1 rule 0 permit source 10.11.10.1 0# 创建SNMP组，并定义访问控制。Quidway snmp-agent group v3 huaweigroup acl 1# 为SNMP组添加一个用户huaweimanager，设置认证密码为hello，并配

21、置访问控制，只允许网管工作站访问交换机。Quidway snmp-agent usm-user v3 huaweimanager huaweigroup auth md5 huawei acl 1(4) 配置对TELNET用户的访问控制，仅允许IP为10.110.110.46和10.110.110.52的用户通过TELNET访问交换机。# 定义基本访问控制列表。Quidway acl number 20Quidway-acl-basic-20 rule 0 permit source 10.110.110.46 0Quidway-acl-basic-20 rule 1 permit sourc

22、e 10.110.110.52 0# 引用访问控制列表。Quidway user-interface vty 0 4Quidway-ui-vty0-4 acl 20 inbound(5) 配置对HTTP用户的访问控制，仅允许IP地址为10.110.110.46的主机通过WEB方式访问交换机。# 定义基本访问控制列表。Quidway acl number 30Quidway-acl-basic-30 rule 0 permit source 10.110.110.46 0# 引用访问控制列表。Quidwayip http acl 30&说明：Switch A可能下挂很多Switch B，需要配置

23、多个VLAN和VLAN接口IP地址。本例仅以配置VLAN5为例。在实际组网中一般采用S2000系列（如S2008、S2016、S2403H）接入用户。2.3 利用MA5200构造宽带小区网络2.3.1 解决方案在宽带城域网组网图中，S3026以太网交换机作为宽带城域网的小区接入层交换机，通过与管理设备MA5200的配合实现宽带接入服务，两者之间的通信可通过HGMP（Huawei Group Management Protocol）来承载。通过S3026的HGMP代理程序，管理设备MA5200可以实现对S3026的集中管理。MA5200可以通过上行高速口直接连接到城域网或骨干网，多台S3026上

24、行直接挂在MA5200的100Mbit/s以太网光接口上，下行接到小区用户的计算机上。“MA5200”加“S3026”的组网具备了用户管理、认证、鉴权和按时按量计费等多方面的的优势，使之既有以太网接入经济、成熟的特色，又有电信级的用户管理和运营能力，适用于新建小区和商用大楼，也可以运用于商业网的宽带化。 图2-3 宽带接入组网示意图2.3.2 配置步骤MA5200的配置可以参见MA5200的用户手册，这里不再说明。S3026除了进行一些基本配置以外，还需要启动HGMP Client，以实现集中管理特性。&说明：S3026以太网交换机作为HGMP Client时，必须要通过固定的上行端口与管理设

25、备相连。这些上行端口为：Ethernet0/24、Ethernet1/1、Ethernet2/1。1. 配置S3026下面以网络中某台S3026为例说明基本配置过程。配置一台S3026：进行管理VLAN配置、配置802.1x认证、配置访问方式的ACL控制。管理VLAN10的IP地址为10.110.110.2，网管站的IP地址为10.11.10.1。(1) 配置VLAN。Quidway vlan 2Quidway-vlan2port ethernet 0/1Quidway-vlan2 quit Quidway vlan 3Quidway-vlan3port ethernet 0/2Quidway

26、-vlan3 quit 依此类推。Quidway vlan 25Quidway-vlan25port ethernet 0/24Quidway-vlan25 quit (2) 配置管理VLAN及路由# 管理VLAN为VLAN 10，配置其接口IP地址。Quidway vlan 10Quidway-vlan10 quit Quidway interface vlan 10Quidway-Vlan-interface10ip address 10.110.110.2 255.255.255.0# 配置路由，下一跳为10.110.110.1。Quidway ip route 10.11.10.1 2

27、55.255.255.248 10.110.110.1(3) 配置802.1x认证# 端口和设备上启动802.1x认证。Quidway dot1xQuidway dot1x interface ethernet 0/1 to ethernet 0/24# 配置802.1x认证基于MAC地址。Quidway dot1x port-method macbased interface ethernet 0/1 to ethernet 0/24Quidway dot1x dhcp-launch&说明：缺省情况下，802.1x采用的认证方式就是基于MAC的认证方式，用户可以不用进行此项配置。# 配置到RADIUS上进行AAA认证。Quidway aaa authentication-scheme auth radius# 配置计费失败后仍然允许用户在线。Quidway aaa accounting-scheme acct1 enable online# 配置ISP域及其属性，如计费方法、认证方法等。Quidway domain rispQuidway-isp-risp authen-scheme authQuidway-isp-risp acct-scheme acct1Quidway-isp-risp state activeQuidway-isp-risp radiu