组网案例11.docx

组网案例11.docx

《组网案例11.docx》由会员分享，可在线阅读，更多相关《组网案例11.docx（26页珍藏版）》请在冰点文库上搜索。

组网案例11

目 录

第1章 Quidway系列以太网交换机简介1

1.1 Quidway系列以太网交换机简介1

1.1.1 低端以太网交换机1

1.1.2 中端以太网交换机2

1.1.3 高端以太网交换机2

1.2 本模块简介2

第2章 宽带小区网络3

2.1 组网需求3

2.2 使用CAMS构造宽带小区网络3

2.2.1 解决方案3

2.2.2 配置步骤4

2.3 利用MA5200构造宽带小区网络8

2.3.1 解决方案8

2.3.2 配置步骤9

第3章 中小企业/大企业分支机构组网12

3.1 组网需求12

3.2 利用华为交换机构造企业网络12

3.2.1 解决方案12

3.2.2 配置步骤12

                                                                    第1章 Quidway系列以太网交换机简介

1.1 Quidway系列以太网交换机简介

华为推出全系列、全线速的Quidway系列以太网交换机，覆盖了从低端到高端、从接入到核心所有领域，提供丰富的二层、三层特性和统一的网管，满足客户对网络的各种要求。

华为Quidway系列以太网交换机组网方式灵活，既可以应用于企业网络，也可以用于运营商的宽带网络。

& 说明：

关于交换机提供的特性，可以参见相应产品的用户手册。

1.1.1 低端以太网交换机

华为低端系列以太网交换机主要位于网络的接入层，包括S2008B、S2016B、S2026B、S2000系列（S2008、S2016、S2026、S2403H）、S3000系列（S3026、S3026FM、S3026FS、S3026E、S3026EFM、S3026EFS）、S2000-SI/S3000-SI系列（S2026C-SI、S202Z-SI、S3026C-SI、S3026G-SI、S3026S-SI）、S3000-EI系列（S3026C-EI、S3026G-EI、S3026T-EI）、S3500系列（S3526、S3526FM、S3526FS、S3526E、S3526EFM、S3526EFS、S3526C、S3552）。

其中S3500系列具有三层功能，是二/三层以太网交换机，其它交换机都是二层交换机。

1.1.2 中端以太网交换机

华为中端系列以太网交换机主要位于网络的汇聚层，包括S5516、S6500系列二/三层以太网交换机。

1.1.3 高端以太网交换机

华为高端以太网交换机位于网络的核心层，包括S8016路由交换机、S8500系列路由交换机等。

1.2 本模块简介

华为Quidway系列以太网交换机组网方式灵活，既可以应用于企业网络，也可以用于宽带接入，本模块主要介绍中低端以太网交换机的几种典型组网案例，包括宽带小区网、中小企业网。

                                                                                                                        第2章 宽带小区网络

2.1 组网需求

宽带小区的组网，要求可认证、可计费、可授权，同时可以进行集中管理，达到电信级的可运营、可管理的要求。

2.2 使用CAMS构造宽带小区网络

2.2.1 解决方案

在宽带小区以太网接入中，S3026以太网交换机放在小区楼道，下行直接接入用户或者通过S2000系列以太网交换机接入用户，向上可以通过GE、FE连接到小区中心设备（如S3526以太网交换机），S3526通过一个L3（如S8016等）接入到城域网。

                                                                                                                                                                     图2-1小区以太网接入组网示意图

在组网中为了对每个用户进行认证、授权和计费，需要配置802.1x；同时需要将每个用户进行二层隔离；为了便于网管，需要配置SNMP；为了防止交换机被非法访问，交换机上需要配置对访问方式的ACL控制。

整个网络采用VLAN10作为管理VLAN，所有交换机上VLAN10接口的IP地址在同一个网段10.110.110.0/24，主RADIUS服务器的IP为10.110.10.18；网管工作站的IP地址为10.11.10.1。

在S3026上作如下配置：

isolate-user-vlan配置，将小区每个用户之间进行二层隔离，每个用户分配在一个SecondaryVLAN内；802.1x认证配置，认证方式为通过RADIUS服务器对用户进行认证；管理VLAN配置、网管路由配置、SNMP配置、各种访问方式的ACL控制配置；hybrid端口配置。

在S3526上进行如下配置：

网关配置、hybrid端口配置、SNMP配置、各种访问方式的ACL控制配置。

2.2.2 配置步骤

这里简单说明交换机上的基本配置。

& 说明：

本文仅说明交换机上的基本配置。

CAMS可以在网络运行过程中对交换机进行维护和管理。

关于CAMS如何对交换机进行配置请参见CAMS的用户手册，这里就不再说明。

                                                                                                                                                                                          图2-2组网示意图

1.配置SwitchB

下面以网络中某台SwitchB为例说明基本配置过程。

配置SwitchB：

配置isolate-user-vlan（isolate-user-vlan为VLAN5）、进行管理VLAN配置（配置管理VLAN的IP地址、一条路由）、配置802.1x认证、配置访问方式的ACL控制。

管理VLAN10的IP地址为10.110.110.2，网管站的IP地址为10.11.10.1，向网管站发送数据的下一跳为10.110.110.1。

（1）       配置isolate-user-vlan。

#配置isolate-user-vlan。

[Quidway]vlan5

[Quidway-vlan5]isolate-user-vlanenable

[Quidway-vlan5]portethernet1/1

#配置SecondaryVLAN。

[Quidway]vlan2

[Quidway-vlan2]portethernet0/1

[Quidway-vlan2]quit

[Quidway]vlan3

[Quidway-vlan3]portethernet0/2

[Quidway-vlan3]quit

依此类推。

[Quidway]vlan25

[Quidway-vlan25]portethernet0/24

[Quidway-vlan25]quit

#配置isolate-user-vlan和SecondaryVLAN间的映射关系。

[Quidway]isolate-user-vlan5secondary2to25

（2）       配置管理VLAN及路由

#管理VLAN为VLAN10，配置其接口IP地址。

[Quidway]vlan10

[Quidway-vlan10]quit

[Quidway]interfacevlan10

[Quidway-Vlan-interface10]ipaddress10.110.110.2255.255.255.0

#配置路由，下一跳为10.110.110.1。

[Quidway]iproute10.11.10.1255.255.255.24810.110.110.1

（3）       配置802.1x认证

#端口和设备上启动802.1x认证。

[Quidway]dot1x

[Quidway]dot1xinterfaceethernet0/1toethernet0/24

#配置802.1x认证基于MAC地址。

[Quidway]dot1xport-methodmacbasedinterfaceethernet0/1toethernet0/24

[Quidway]dot1xdhcp-launch

& 说明：

缺省情况下，802.1x采用的认证方式就是基于MAC的认证方式，用户可以不用进行此项配置。

#配置到RADIUS上进行AAA认证。

[Quidway]aaaauthentication-schemeauthradius

#配置计费失败后仍然允许用户在线。

[Quidway]aaaaccounting-schemeacct1enableonline

#配置ISP域及其属性，如计费方法、认证方法等。

[Quidway]domainrisp

[Quidway-isp-risp]authen-schemeauth

[Quidway-isp-risp]acct-schemeacct1

[Quidway-isp-risp]stateactive

[Quidway-isp-risp]radius-schemehostrmt

#配置RADIUS属性（主RADIUS服务器的IP为10.110.10.18）。

[Quidway]radiusschemehostrmt

[Quidway-radius-hostrmt]primaryauthentication10.110.10.18

[Quidway-radius-hostrmt]primaryaccounting10.110.10.18

[Quidway-radius-hostrmt]keyauthenticationhuawei

[Quidway-radius-hostrmt]keyaccountinghuawei

（4）       配置上行端口Ethernet1/1为hybrid端口

#配置该端口为hybrid端口，允许VLAN5和VLAN10的报文通过。

[Quidway]interfaceEthernet1/1

[Quidway-Ethernet1/1]portlink-typehybrid

[Quidway-Ethernet1/1]porthybridpvidvlan5

[Quidway-Ethernet1/1]porthybridvlan10tagged

（5）       配置SNMP

#进入全局配置模式。

system-view

#设置团体名和访问权限。

[Quidway]snmp-agentcommunityreadhuawei

[Quidway]snmp-agentcommunitywritebeiyan

#设置管理员标识、联系方法以及以太网交换机的物理位置。

[Quidway]snmp-agentsys-infocontactMr.Wang-Tel:

3306

[Quidway]snmp-agentsys-infolocationtelephone-closet,3rd-floor

#允许发送Trap。

[Quidway]snmp-agenttrapenable

#定义访问控制列表。

[Quidway]aclnumber1

[Quidway-acl-basic-1]rule0permitsource10.11.10.10

#创建SNMP组，并定义访问控制。

[Quidway]snmp-agentgroupv3huaweigroupacl1

#为SNMP组添加一个用户huaweimanager，设置认证密码为hello，并配置访问控制，只允许网管工作站访问交换机。

[Quidway]snmp-agentusm-userv3huaweimanagerhuaweigroupauthmd5huaweiacl1

（6）       配置对TELNET用户的访问控制，仅允许IP为10.110.110.46和10.110.110.52的用户通过TELNET访问交换机。

#定义基本访问控制列表。

[Quidway]aclnumber20

[Quidway-acl-basic-20]rule0permitsource10.110.110.460

[Quidway-acl-basic-20]rule1permitsource10.110.110.520

#引用访问控制列表。

[Quidway]user-interfacevty04

[Quidway-ui-vty0-4]acl20inbound

（7）       配置对HTTP用户的访问控制，仅允许IP地址为10.110.110.46的主机通过WEB方式访问交换机。

#定义基本访问控制列表。

[Quidway]aclnumber30

[Quidway-acl-basic-30]rule0permitsource10.110.110.460

#引用访问控制列表。

[Quidway]iphttpacl30

2.配置SwitchA

下面以一台SwitchA为例介绍配置。

（1）       配置Ethernet0/1为hybrid端口。

#配置SwitchA的端口Ethernet0/1为hybrid端口，并允许VLAN1和VLAN5的报文通过。

[Quidway]interfaceEthernet0/1

[Quidway-Ethernet0/1]portlink-typehybrid

[Quidway-Ethernet0/1]porthybridpvidvlan5

[Quidway-Ethernet0/1]porthybridvlan1tagged

（2）       配置VLAN5的接口IP地址

#创建VLAN5。

[Quidway]vlan5

#配置VLAN5的接口IP地址。

[Quidway]interfacevlan5

[Quidway-Vlan-interface5]ipaddress10.110.11.1255.255.255.192

#创建VLAN10。

[Quidway]vlan10

#配置VLAN10的接口IP地址。

[Quidway]interfacevlan10

[Quidway-Vlan-interface10]ipaddress10.110.110.1255.255.255.0

（3）       配置SNMP

#进入全局配置模式。

system-view

#设置团体名和访问权限。

[Quidway]snmp-agentcommunityreadhuawei

[Quidway]snmp-agentcommunitywritebeiyan

#设置管理员标识、联系方法以及以太网交换机的物理位置。

[Quidway]snmp-agentsys-infocontactMr.Wang-Tel:

3306

[Quidway]snmp-agentsys-infolocationtelephone-closet,3rd-floor

#允许发送Trap。

[Quidway]snmp-agenttrapenable

#定义访问控制列表，以便进行对通过SNMP登录交换机的用户进行ACL控制。

[Quidway]aclnumber1

[Quidway-acl-basic-1]rule0permitsource10.11.10.10

#创建SNMP组，并定义访问控制。

[Quidway]snmp-agentgroupv3huaweigroupacl1

#为SNMP组添加一个用户huaweimanager，设置认证密码为hello，并配置访问控制，只允许网管工作站访问交换机。

[Quidway]snmp-agentusm-userv3huaweimanagerhuaweigroupauthmd5huaweiacl1

（4）       配置对TELNET用户的访问控制，仅允许IP为10.110.110.46和10.110.110.52的用户通过TELNET访问交换机。

#定义基本访问控制列表。

[Quidway]aclnumber20

[Quidway-acl-basic-20]rule0permitsource10.110.110.460

[Quidway-acl-basic-20]rule1permitsource10.110.110.520

#引用访问控制列表。

[Quidway]user-interfacevty04

[Quidway-ui-vty0-4]acl20inbound

（5）       配置对HTTP用户的访问控制，仅允许IP地址为10.110.110.46的主机通过WEB方式访问交换机。

#定义基本访问控制列表。

[Quidway]aclnumber30

[Quidway-acl-basic-30]rule0permitsource10.110.110.460

#引用访问控制列表。

[Quidway]iphttpacl30

& 说明：

SwitchA可能下挂很多SwitchB，需要配置多个VLAN和VLAN接口IP地址。

本例仅以配置VLAN5为例。

在实际组网中一般采用S2000系列（如S2008、S2016、S2403H）接入用户。

2.3 利用MA5200构造宽带小区网络

2.3.1 解决方案

在宽带城域网组网图中，S3026以太网交换机作为宽带城域网的小区接入层交换机，通过与管理设备MA5200的配合实现宽带接入服务，两者之间的通信可通过HGMP（HuaweiGroupManagementProtocol）来承载。

通过S3026的HGMP代理程序，管理设备MA5200可以实现对S3026的集中管理。

MA5200可以通过上行高速口直接连接到城域网或骨干网，多台S3026上行直接挂在MA5200的100Mbit/s以太网光接口上，下行接到小区用户的计算机上。

“MA5200”加“S3026”的组网具备了用户管理、认证、鉴权和按时按量计费等多方面的的优势，使之既有以太网接入经济、成熟的特色，又有电信级的用户管理和运营能力，适用于新建小区和商用大楼，也可以运用于商业网的宽带化。

                                                                                                                                                                              图2-3宽带接入组网示意图

2.3.2 配置步骤

MA5200的配置可以参见MA5200的用户手册，这里不再说明。

S3026除了进行一些基本配置以外，还需要启动HGMPClient，以实现集中管理特性。

& 说明：

S3026以太网交换机作为HGMPClient时，必须要通过固定的上行端口与管理设备相连。

这些上行端口为：

Ethernet0/24、Ethernet1/1、Ethernet2/1。

1.配置S3026

下面以网络中某台S3026为例说明基本配置过程。

配置一台S3026：

进行管理VLAN配置、配置802.1x认证、配置访问方式的ACL控制。

管理VLAN10的IP地址为10.110.110.2，网管站的IP地址为10.11.10.1。

（1）       配置VLAN。

[Quidway]vlan2

[Quidway-vlan2]portethernet0/1

[Quidway-vlan2]quit

[Quidway]vlan3

[Quidway-vlan3]portethernet0/2

[Quidway-vlan3]quit

依此类推。

[Quidway]vlan25

[Quidway-vlan25]portethernet0/24

[Quidway-vlan25]quit

（2）       配置管理VLAN及路由

#管理VLAN为VLAN10，配置其接口IP地址。

[Quidway]vlan10

[Quidway-vlan10]quit

[Quidway]interfacevlan10

[Quidway-Vlan-interface10]ipaddress10.110.110.2255.255.255.0

#配置路由，下一跳为10.110.110.1。

[Quidway]iproute10.11.10.1255.255.255.24810.110.110.1

（3）       配置802.1x认证

#端口和设备上启动802.1x认证。

[Quidway]dot1x

[Quidway]dot1xinterfaceethernet0/1toethernet0/24

#配置802.1x认证基于MAC地址。

[Quidway]dot1xport-methodmacbasedinterfaceethernet0/1toethernet0/24

[Quidway]dot1xdhcp-launch

& 说明：

缺省情况下，802.1x采用的认证方式就是基于MAC的认证方式，用户可以不用进行此项配置。

#配置到RADIUS上进行AAA认证。

[Quidway]aaaauthentication-schemeauthradius

#配置计费失败后仍然允许用户在线。

[Quidway]aaaaccounting-schemeacct1enableonline

#配置ISP域及其属性，如计费方法、认证方法等。

[Quidway]domainrisp

[Quidway-isp-risp]authen-schemeauth

[Quidway-isp-risp]acct-schemeacct1

[Quidway-isp-risp]stateactive

[Quidway-isp-risp]radiu