华为交换机配置.docx

资源描述

华为交换机配置.docx

《华为交换机配置.docx》由会员分享，可在线阅读，更多相关《华为交换机配置.docx（65页珍藏版）》请在冰点文库上搜索。

华为交换机配置.docx

华为交换机配置

小伙伴们通过Console口登录后还希望远程登录和管理交换机，就可以在交换机上配置Telnet服务功能并使用AAA验证方式登录。

步骤1：

从PC1通过交换机Console口登录交换机。

步骤2：

配置交换机名称和管理IP地址。

system-view

[Quidway] sysnameServer

[Server] interfaceethernet0/0/0 //框式和盒式的管理口是不一样的哦，框式和盒式的分别是:

Ethernet0/0/0、MEth0/0/1。

有些盒式设备没有管理口，可使用VLANIF接口配置管理IP地址。

[Server-Ethernet0/0/0] ipaddress10.10.10.1024

[Server-Ethernet0/0/0] quit

步骤3：

配置路由协议，保证PC2和交换机之间路由可达。

步骤4：

配置Telnet用户的级别和认证方式。

[Server] telnetserverenable

[Server] user-interfacevty04

[Server-ui-vty0-4] userprivilegelevel15

[Server-ui-vty0-4] authentication-modeaaa

[Server-ui-vty0-4] quit

[Server] aaa

[Server-aaa] local-useradmin1234passwordirreversible-cipherHelloworld@6789

[Server-aaa] local-useradmin1234privilegelevel15

[Server-aaa] local-useradmin1234service-typetelnet

[Server-aaa] quit

步骤5：

从PC2以Telnet方式登录交换机。

以进入Windows运行窗口，并执行相关命令，通过Telnet方式登录交换机为例：

单击“确定”后，在登录窗口输入用户名和密码，验证通过后，出现用户视图的命令行提示符。

表示登录成功。

什么是镜像？

镜像是指将经过指定端口（镜像端口）或者指定VLAN（镜像VLAN）的报文复制一份到另一个指定端口（观察端口），然后转发到网络监控设备，供网络管理员进行网络监控与故障管理。

看官们可以通过下面的这张图了解下镜像具体的工作机制，以及需要注意的地方。

那么镜像在网络维护中具体能做些什么呢？

1、故障定位

在系统运行过程中，可能由于系统软件处理异常、网络设备硬件故障、计算机病毒或用户不正常使用等原因造成网络上流量异常或产生错误报文。

为了在不影响系统运行的情况下对网络上的报文进行分析，以定位故障产生的原因，这时候就可以使用镜像。

2、业务可视

为了更好的理解企业内部业务流量模型, 在网络汇聚或核心交换机上，对业务流量进行镜像，以便在不影响正常业务的情况下，使企业各类应用清晰可视。

比如说, 多少用户在上班时间访问QQ；员工访问公司内部服务器的访问量排名情况。

3、入侵检测

为了发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性, 在企业的上行接口，将所有出入的流量镜像到一个IDS服务器上，进行实时分析。

比如外部访问公司服务器的访问量激增，分析一下这些是不是属于攻击报文等。

另外，要特别说明一下，江湖就要有江湖的规矩，坏了规矩，就会招致整个武林的一致声讨。

所以，虽然镜像功能如此的强大，但是在华为S系列交换机上用的是时候，请谨记：

该功能主要用于网络检测和故障管理，可能涉及使用个人用户某些通信内容。

华为公司无法单方采集或存储用户通信内

容。

建议您只有在所适用法律法规允许的目的和范围内方可启用相应的功能。

在使用、存储用户通信内容的过程中，您应采取足够的措施以确保用户的通信内容受到严格保护。

好了，看官们现在了解到镜像强大的威力之后，那我们下面就来看看华为S系列交换机哪些不同方式的镜像功能。

功能

定义

产品支持情况

端口镜像

将指定端口（镜像端口）的报文复制到观察端口。

全支持

流镜像

将指定类型的报文复制到观察端口。

全支持

VLAN镜像

将指定VLAN（镜像VLAN）的报文复制到观察端口。

框式交换机和S5720HI不支持

MAC镜像

将指定MAC地址的报文复制到观察端口。

框式交换机和S5720HI不支持

如何配置？

无论上述的哪种方式，主要配置下面两步：

1、创建观察端口。

不同的场景可以选择不同的命令，如表所示。

场景

对应配置命令

观察端口与监控设备直连，本地镜像。

observe-port[]

观察端口与监控设备通过中间二层网络相连，二层远程镜像。

observe-port[]vlan

观察端口与监控设备通过中间三层网络相连，三层远程镜像。

（仅框式交换机支持）

observe-port[]destination-ipsource-ip[dscp|vlan]*

PS：

如果需要将报文复制到多个观察端口，可以将上面的命令执行多次，或者配置观察端口组进行批量配置。

2、将指定的报文镜像到观察端口。

不同的镜像方式对应有不同的命令，如表所示。

镜像方式

端口镜像

port-mirroringtoobserve-port{both|inbound|outbound}

流镜像

基于MQC：

mirroringtoobserve-port

基于ACL：

traffic-mirror

VLAN镜像

mirroringtoobserve-portinbound

MAC镜像

mac-mirroringmac-addresstoobserve-portinbound

PS：

both | inbound | outbound分别表示镜像设备双向（接收和发送两个方向）/入方向（接收方向）/出方向（发送方向）的报文。

下面小编再通过简单的组网环境演示一下我们常用的二层远程端口镜像是如何配置的吧。

如图所示，员工A与DNS服务器在同一个VLAN，通过二层网络通信，现在监控PC通过在SwitchA配置的二层远程端口镜像，来监控员工A访问DNS服务器的记录。

1、具体每台交换机上的配置如下：

SwitchA的配置文件

sysnameSwitchA

vlanbatch1020 //VLAN10为用户VLAN，VLAN20用于转发镜像报文

observe-port1interfaceGigabitEthernet0/0/1vlan20 //配置GE0/0/1为二层远程观察端口，

用的观察端口索引为1，远程镜像VLAN为VLAN20，复制的报文会通过GE0/0/1向VLAN20转发

interfaceGigabitEthernet0/0/1 //观察端口不需要加入VLAN20，上面的配置已实现镜像报文通过GE0/0/1向VLAN20转发

interfaceGigabitEthernet0/0/2

portlink-typeaccess

portdefaultvlan10 //端口加入VLAN，员工A与DNS之间通信

port-mirroringtoobserve-port1inbound //将GE0/0/2入方向的报文（即接收到的员工A发送的报文）镜像到观察端口1（即GE0/0/1）

interfaceGigabitEthernet0/0/3

portlink-typeaccess

portdefaultvlan10 //端口加入VLAN，员工A与DNS之间通信

SwitchB的配置文件

sysnameSwitchB

vlanbatch20 //用于转发镜像报文到监控PC

interfaceGigabitEthernet0/0/1

portlink-typetrunk

porttrunkallow-passvlan20 //端口加入VLAN，用于转发镜像报文到监控PC

interfaceGigabitEthernet0/0/2

portlink-type access

port defaultvlan20 //端口加入VLAN，用于转发镜像报文到监控PC

2、在SwitchA查看端口镜像的配置情况：

3、检查员工A与DNS服务器间通信的报文是否镜像到监控PC：

先在监控PC上启用抓包工具，然后在员工A的PC上向DNS服务器发个ping报文。

最后通过抓包工具抓取报文。

可以发现抓取到了源地址为员工A地址、目的地址为监控PC地址的ping报文。

【交换机在江湖】第二十五章网监利器镜像——规格篇

Hi，小伙伴们~小编我又浓重登场了~在上一期的《镜像原理配置篇》中，我们介绍了镜像工作的基本原理，他在网络中的具体应用，以及如何配置。

不过在实际应用配置时，小伙伴们可能会遇到这样的问题：

我想将交换机连到多台监控设备上，为啥配置的时候一直提示资源已达上限，配不下去？

其实，很多时候这与我们的镜像规格有关。

由于芯片能力、镜像内部处理流程等因素的问题，导致了不同交换机间的镜像规格差异较大。

因此，小编费了九牛二虎之力，将不同版本不同形态交换机的镜像规格收集整理了一下，希望能对小伙们有所帮助~

本期将介绍下面几块内容：

1. 观察端口规格：

如果需要了解交换机最多能配置多少个观察端口，以及如何计算剩余可用观察端口资源，可以查阅这部分内容。

2. 1：

N镜像规格：

如果需要了解1份报文能同时镜像到多少个观察端口，可以查阅这部分内容。

3. N：

1镜像规格：

如果需要了解最多能有多少份不同的报文同时镜像到1个观察端口，可以查阅这部分内容。

4. M：

N镜像规格：

如果需要了解M份不同的报文同时镜像到多少个观察端口，可以查阅这部分内容。

5. 如何解决设备观察端口不足的问题：

如果想知道在交换机镜像资源有限的情况下，如何通过其他方法解决这个问题，可以查阅这部分内容。

1 观察端口规格

1.1 观察端口的配置方式

介绍观察端口规格前，小编先和大家介绍下观察端口的配置方式。

因为不同的配置方式对一部分交换机的观察端口规格会有影响。

在V200R005以前的版本交换机只支持逐一配置单个观察端口。

从V200R005版本开始，交换机支持单个配置和批量配置两种方式，而且这两种方式可以同时配置。

批量配置的观察端口相当于加入了一个观察端口组，镜像端口在配置的时候会绑定这整个观察端口组。

所以批量配置一般在1：

N镜像的时候使用，主要是为了配置方便，如图所示。

1.2 观察端口规格

观察端口规格包括两方面内容，一方面是我们的交换机最多能配多少个观察端口；另一方面是镜像端口入方向能绑定多少个观察端口，出方向能绑定多少个观察端口。

我们在配置镜像功能时，这两方面的内容都需要注意。

下面表1~表5分别列举了不同版本不同框式单板和盒式交换机的观察端口规格：

表1 华为S系列框式交换机不同单板在V200R001版本~V200R003版本的观察端口规格

单板

入方向可绑定观察端口数量

出方向可绑定观察端口数量

可配观察端口数量

S系列单板

FA系列单板

E系列单板

FC系列单板

备注 1:

整机最多可以配置8个观察端口。

表2 华为S系列框式交换机不同单板在V200R005版本及以后版本的观察端口规格

单板

入方向可绑定观察端口数量

出方向可绑定观察端口数量

可配观察端口数量

SA系列单板（不包含ES0D0X12SA00（S7700）、EH1D2X12SSA0（S9700）、ET1D2X12SSA0（S12700）、LE0DX12XSA00（S9300））

ES0D0X12SA00（S7700）、EH1D2X12SSA0（S9700）、ET1D2X12SSA0（S12700）、LE0DX12XSA00（S9300）

SC系列单板

X（X≤4）

4-X（X≤4）

E系列单板（不包含 ES1D2C02FEE0（S7700）、EH1D2X48SEC0（S9700）、EH1D2C02FEE0（S9700）、ET1D2X48SEC0（S12700）、ET1D2C02FEE0（S12700）、LE1D2C02FEE0（S9300））

EH1D2X48SEC0 ES1D2C02FEE0（S7700）、EH1D2X48SEC0（S9700）、EH1D2C02FEE0（S9700）、ET1D2X48SEC0（S12700）、ET1D2C02FEE0（S12700）、LE1D2C02FEE0（S9300））

X（X≤4）

4-X（X≤4）

FA系列单板（S7700、S9700、S9300）

FC系列单板（S7700、S9700、S9300）

X（X≤4）

4-X（X≤4）

B系列单板（S7700、S9700、S9300）

X（X≤4）

4-X（X≤4）

X1E系列单板

适配置方式而定

备注 1:

X1E系列单板的观察端口规格因观察端口配置方式的不同而不同。

如果是单个配置，最多可配置8次，即总共可配8个观察端口；如果是批量配置，一次最多可配置64个观察端口，最多可配置8次，理论上最多可配置8x64=512个观察端口；入方向/出方向最多可绑定512个观察端口。

备注 2:

如果不包括X1E系列单板批量配置的观察端口规格，整机最多可以配置8个观察端口。

表3 华为S系列盒式交换机在V100R006C05版本的观察端口规格

形态

入方向可绑定观察端口数量

出方向可绑定观察端口数量

可配观察端口数量

S2700SI

S2710SI

S2700EI

表4 华为S系列盒式交换机在V200R001版本~V200R003版本的观察端口规格

形态

入方向可绑定观察端口数量

出方向可绑定观察端口数量

可配观察端口数量

S3700HI

S5700S-LI、S5700LI

S5710-C-LI

S5700SI

S5700EI

S5710EI

S5700HI

S5710HI

S6700

表5 华为S系列盒式交换机在V200R005版本及以后版本的观察端口规格

形态

入方向可绑定观察端口数量

出方向可绑定观察端口数量

可配观察端口数量

S1720

S2720

S2750

S5700S-LI、S5700LI

S5710-X-LI

S5700SI

S5720S-SI、S5720SI

S5700EI

S5710EI

S5720EI

S5720HI

适配置方式而定

S5700HI

S5710HI

S6700EI

X（X≤4）

4-X（X≤4）

S6720EI

X（X≤4）

4-X（X≤4）

E600

备注 1:

S5720HI的观察端口规格因观察端口配置方式的不同而不同。

1.3 观察端口使用情况计算方式

我们使用了一个观察端口进行镜像以后，如果还需要再配观察端口，连接其他监控设备，就需要计算交换机上剩余可配的观察端口数量，镜像端口入方向和出方向还能再绑定多少个观察端口。

需要注意，镜像端口的入方向和出方向可绑定观察端口数量是分开计算的，即使入方向和出方向绑定的是同一个观察端口，入方向和出方向剩余可绑定观察端口数量都会各自减1。

比如以FA单板为例，FA单板最多可配置6个观察端口，所有镜像端口入方向加起来最多可以绑定4个观察端口，出方向加起来最多可以绑定2个观察端口。

如果镜像端口入方向和出方向绑定到了同一个观察端口，入方向可以绑定的剩余观察端口数量为3，出方向可以绑定的剩余观察端口数量为1，那么剩余可用观察端口数量为3+1=4，并非是6-1=5。

2 1：

N镜像规格

21：

1：

N镜像是指将单份报文同时镜像到N个不同的观察端口，如图所示：

端口镜像中，1：

N镜像中N的规格可以等同于，同一个镜像端口的入方向或者出方向可以绑定到N个观察端口。

流镜像中，1：

N镜像中N的规格可以等同于，流分类绑定的单个流镜像行为是镜像到批量配置的观察端口组，观察端口组里面有N个观察端口。

因此，流镜像要实现1：

N镜像，流行为里面绑定的必须是观察端口组。

VLAN镜像或者MAC镜像中，1：

N镜像中N的规格可以等同于，同一个VLAN入方向绑定的观察端口组内，观察端口组里面有N个观察端口。

因此，VLAN镜像或者MAC镜像要实现1：

N镜像，VLAN入方向绑定的必须是观察端口组。

三层远程镜像不支持1：

N镜像。

为了方便理解，下面的规格介绍是以我们常用的端口镜像来讲解1：

N镜像中N的规格，其他方式的1：

N镜像中N的数值与端口镜像的相同。

1：

N镜像主要是用于需要连接多个监控设备的场景，在V200R005以前的版本，只有华为S系列框式交换机的E系列、FA系列、ES0D0X12SA00、EH1D2X12SSA0单板支持，而且整机最多支持入方向1：

2；V200R005版本及后续的版本，华为S系列交换机开始全面支持1：

N镜像，具体不同框式单板和盒式交换机支持情况如表1和表2所示。

表1 华为S系列框式交换机不同单板在V200R005版本及以后版本的1：

N镜像规格

单板

单个镜像端口入方向可绑定的观察端口数量

单个镜像端口出方向可绑定的观察端口数量

SA系列单板（不包含ES0D0X12SA00（S7700）、EH1D2X12SSA0（S9700）、ET1D2X12SSA0（S12700）、LE0DX12XSA00（S9300））

NA（只能镜像到1个观察端口）

ES0D0X12SA00（S7700）、EH1D2X12SSA0（S9700）、ET1D2X12SSA0（S12700）、LE0DX12XSA00（S9300）

SC系列单板

Y（Y≤4）

4-Y（Y≤4）

E系列单板（不包含

ES1D2C02FEE0（S7700）、EH1D2X48SEC0（S9700）、EH1D2C02FEE0（S9700）、ET1D2X48SEC0（S12700）、ET1D2C02FEE0（S12700）、LE1D2C02FEE0（S9300））

Y（Y≤4）

4-Y（Y≤4）

FA系列单板（S7700、S9700、S9300）

FC系列单板（S7700、S9700、S9300）

Y（Y≤4）

4-Y（Y≤4）

B系列单板（S7700、S9700、S9300）

Y（Y≤4）

4-Y（Y≤4）

X1E系列单板

适配置方式而定

备注 1:

X1E系列单板的观察端口规格因观察端口配置方式的不同而不同。

如果是单个配置，单个镜像端口入方向或出方向最多可绑定1个观察端口；如果是批量配置，理论上单个镜像端口入方向或出方向最多可绑定64个观察端口。

备注 2:

在1：

N镜像中，如果镜像端口某一方向绑定的是通过批量方式创建的一个观察端口组，则该方向不能再绑定到其他的观察端口。

表2 华为S系列盒式交换机在V200R005版本及以后版本的1：

N镜像规格

形态

单个镜像端口入方向可绑定的观察端口数量

单个镜像端口出方向可绑定的观察端口数量

S1720

NA（只能镜像到1个观察端口）

S2720

NA（只能镜像到1个观察端口）

S2750

NA（只能镜像到1个观察端口）

S5700S-LI、S5700LI

NA（只能镜像到1个观察端口）

S5710-X-LI

NA（只能镜像到1个观察端口）

S5700SI

NA（只能镜像到1个观察端口）

S5720S-SI、S5720SI

NA（只能镜像到1个观察端口）

S5700EI

NA（只能镜像到1个观察端口）

S5710EI

S5720EI

S5700HI

S5710HI

S5720HI

适配置方式而定

S6700EI

Y（Y≤4）

4-Y（Y≤4）

S6720EI

Y（Y≤4）

4-Y（Y≤4

E600

NA（只能镜像到1个观察端口）

备注 1:

展开阅读全文