华为交换机配置.docx

华为交换机配置.docx

《华为交换机配置.docx》由会员分享，可在线阅读，更多相关《华为交换机配置.docx（45页珍藏版）》请在冰点文库上搜索。

华为交换机配置

小伙伴们通过Console口登录后还希望远程登录和管理交换机，就可以在交换机上配置Telnet办事功能并使用AAA验证方法登录。

令狐采学

步调1：

从PC1通过交换机Console口登录交换机。

步调2：

配置交换机名称和管理IP地址。

systemview

[Quidway] sysnameServer

[Server] interfaceethernet0/0/0  //框式和盒式的管理口是不一样的哦，框式和盒式的辨别是:

Ethernet0/0/0、MEth0/0/1。

有些盒式设备没有管理口，可使用VLANIF接口配置管理IP地址。

[ServerEthernet0/0/0] ipaddress10.10.10.1024

[ServerEthernet0/0/0] quit

步调3：

配置路由协议，包管PC2和交换机之间路由可达。

步调4：

配置Telnet用户的级别和认证方法。

[Server] telnetserverenable

[Server] userinterfacevty04

[Serveruivty04] userprivilegelevel15

[Serveruivty04] authenticationmodeaaa

[Serveruivty04] quit

[Server] aaa

[Serveraaa] localuseradmin1234passwordirreversiblecipherHelloworld@6789

[Serveraaa] localuseradmin1234privilegelevel15

[Serveraaa] localuseradmin1234servicetypetelnet

[Serveraaa] quit

步调5：

从PC2以Telnet方法登录交换机。

以进入Windows运行窗口，并执行相关命令，通过Telnet方法登录交换机为例：

单击“确定”后，在登录窗口输入用户名和密码，验证通过后，呈现用户视图的命令行提示符。

暗示登录胜利。

什么是镜像？

 镜像是指将经过指定端口（镜像端口）或者指定VLAN（镜像VLAN）的报文复制一份到另一个指定端口（观察端口），然后转发到网络监控设备，供网络管理员进行网络监控与故障管理。

 看官们可以通过下面的这张图了解下镜像具体的工作机制，以及需要注意的处所。

那么镜像在网络维护中具体能做些什么呢？

1、故障定位

在系统运行过程中，可能由于系统软件处理异常、网络设备硬件故障、计算机病毒或用户不正常使用等原因造成网络上流量异常或产生毛病报文。

为了在不影响系统运行的情况下对网络上的报文进行阐发，以定位故障产生的原因，这时候就可以使用镜像。

2、业务可视

为了更好的理解企业内部业务流量模型, 在网络汇聚或核心交换机上，对业务流量进行镜像，以便在不影响正常业务的情况下，使企业各类应用清晰可视。

 比方说, 几多用户在上班时间拜访QQ； 员工拜访公司内部办事器的拜访量排名情况。

3、入侵检测

为了发明各种攻击企图、攻击行为或者攻击结果，以包管网络系统资源的机密性、完整性和可用性, 在企业的上行接口，将所有收支的流量镜像到一个IDS办事器上，进行实时阐发。

比方外部拜访公司办事器的拜访量激增，阐发一下这些是不是属于攻击报文等。

 另外，要特别说明一下，江湖就要有江湖的规矩，坏了规矩，就会招致整个武林的一致声讨。

所以，虽然镜像功能如此的强年夜，可是在华为S系列交换机上用的是时候，请谨记：

 该功能主要用于网络检测和故障管理，可能涉及使用个人用户某些通信内容。

华为公司无法双方收集或存储用户通信内

容。

建议您只有在所适用法令律例允许的目的和规模内方可启用相应的功能。

在使用、存储用户通信内容的过程中，您应采纳足够的办法以确保用户的通信内容受到严格呵护。

 好了，看官们现在了解到镜像强年夜的威力之后，那我们下面就来看看华为S系列交换机哪些不合方法的镜像功能。

 功能

 界说

 产品支持情况

 端口镜像

 将指定端口（镜像端口）的报文复制到观察端口。

 全支持

 流镜像

 将指定类型的报文复制到观察端口。

 全支持

VLAN镜像

将指定VLAN（镜像VLAN）的报文复制到观察端口。

框式交换机和S5720HI不支持

MAC镜像

将指定MAC地址的报文复制到观察端口。

框式交换机和S5720HI不支持

 如何配置？

  无论上述的哪种方法，主要配置下面两步：

 1、创建观察端口。

不合的场景可以选择不合的命令，如表所示。

 场景

 对应配置命令

 观察端口与监控设备直连，本地镜像。

observeport[]

 观察端口与监控设备通过中间二层网络相连，二层远程镜像。

observeport[]vlan

 观察端口与监控设备通过中间三层网络相连，三层远程镜像。

（仅框式交换机支持）

observeport[]destinationipsourceip[dscp|vlan]*

 PS：

如果需要将报文复制到多个观察端口，可以将上面的命令执行屡次，或者配置观察端口组进行批量配置。

 2、将指定的报文镜像到观察端口。

不合的镜像方法对应有不合的命令，如表所示。

 镜像方法

 镜像方法

 端口镜像

portmirroringtoobserveport{both|inbound|outbound}

 流镜像

基于MQC：

mirroringtoobserveport

基于ACL：

trafficmirror

 VLAN镜像

mirroringtoobserveportinbound

 MAC镜像

macmirroringmacaddresstoobserveportinbound

  PS：

both | inbound | outbound辨别暗示镜像设备双向（接收和发送两个标的目的）/入标的目的（接收标的目的）/出标的目的（发送标的目的）的报文。

 下面小编再通过简单的组网环境演示一下我们经常使用的二层远程端口镜像是如何配置的吧。

 如图所示，员工A与DNS办事器在同一个VLAN，通过二层网络通信，现在监控PC通过在SwitchA配置的二层远程端口镜像，来监控员工A拜访DNS办事器的记录。

 1、具体每台交换机上的配置如下：

SwitchA的配置文件

 #

 sysnameSwitchA

 #

 vlanbatch1020   //VLAN10为用户VLAN，VLAN20用于转发镜像报文

 #

 observeport1interfaceGigabitEthernet0/0/1vlan20  //配置GE0/0/1为二层远程观察端口，

用的观察端口索引为1，远程镜像VLAN为VLAN20，复制的报文会通过GE0/0/1向VLAN20转发

 #

 interfaceGigabitEthernet0/0/1   //观察端口不需要加入VLAN20，上面的配置已实现镜像报文通过GE0/0/1向VLAN20转发

 #

 interfaceGigabitEthernet0/0/2

  portlinktypeaccess

  portdefaultvlan10    //端口加入VLAN，员工A与DNS之间通信

  portmirroringtoobserveport1inbound  //将GE0/0/2入标的目的的报文（即接收到的员工A发送的报文）镜像到观察端口1（即GE0/0/1）

 #

interfaceGigabitEthernet0/0/3

 portlinktypeaccess

 portdefaultvlan10   //端口加入VLAN，员工A与DNS之间通信

SwitchB的配置文件

 #

 sysnameSwitchB

 #

 vlanbatch20  //用于转发镜像报文到监控PC

 #

 interfaceGigabitEthernet0/0/1

  portlinktypetrunk

  porttrunkallowpassvlan20  //端口加入VLAN，用于转发镜像报文到监控PC

 #

 interfaceGigabitEthernet0/0/2

  portlinktype access

  port defaultvlan20  //端口加入VLAN，用于转发镜像报文到监控PC

 2、在SwitchA检查端口镜像的配置情况：

 3、 检查员工A与DNS办事器间通信的报文是否镜像到监控PC：

 先在监控PC上启用抓包工具，然后在员工A的PC上向DNS办事器发个ping报文。

最后通过抓包工具抓取报文。

 可以发明抓取到了源地址为员工A地址、目的地址为监控PC地址的ping报文。

【交换机在江湖】第二十五章网监利器镜像——规格篇

 Hi，小伙伴们~小编我又浓重退场了~在上一期的《镜像原理配置篇》中，我们介绍了镜像工作的基来源根基理，他在网络中的具体应用，以及如何配置。

不过在实际应用配置时，小伙伴们可能会遇到这样的问题：

我想将交换机连到多台监控设备上，为啥配置的时候一直提示资源已达上限，配不下去？

其实，很多时候这与我们的镜像规格有关。

由于芯片能力、镜像内部处理流程等因素的问题，招致了不合交换机间的镜像规格差别较年夜。

因此，小编费了九牛二虎之力，将不合版本不合形态交换机的镜像规格收集整理了一下，希望能对小伙们有所帮忙~

本期将介绍下面几块内容：

1.         观察端口规格：

如果需要了解交换机最多能配置几多个观察端口，以及如何计算剩余可用观察端口资源，可以查阅这部额外容。

2.         1：

N镜像规格：

如果需要了解1份报文能同时镜像到几多个观察端口，可以查阅这部额外容。

3.         N：

1镜像规格：

如果需要了解最多能有几多份不合的报文同时镜像到1个观察端口，可以查阅这部额外容。

4.         M：

N镜像规格：

如果需要了解M份不合的报文同时镜像到几多个观察端口，可以查阅这部额外容。

5.         如何解决设备观察端口缺乏的问题：

如果想知道在交换机镜像资源有限的情况下，如何通过其他办法解决这个问题，可以查阅这部额外容。

1      观察端口规格

1.1      观察端口的配置方法

介绍观察端口规格前，小编先和年夜家介绍下观察端口的配置方法。

因为不合的配置方法对一部分交换机的观察端口规格会有影响。

在V200R005以前的版本交换机只支持逐一配置单个观察端口。

从V200R005版本开始，交换机支持单个配置和批量配置两种方法，并且这两种方法可以同时配置。

批量配置的观察端口相当于加入了一个观察端口组，镜像端口在配置的时候会绑定这整个观察端口组。

所以批量配置一般在1：

N镜像的时候使用，主要是为了配置便利，如图所示。

1.2      观察端口规格

观察端口规格包含两方面内容，一方面是我们的交换机最多能配几多个观察端口；另一方面是镜像端口入标的目的能绑定几多个观察端口，出标的目的能绑定几多个观察端口。

我们在配置镜像功能时，这两方面的内容都需要注意。

下面表1~表5辨别列举了不合版本不合框式单板和盒式交换机的观察端口规格：

表1 华为S系列框式交换机不合单板在V200R001版本~V200R003版本的观察端口规格

S系列单板

2

1

3

FA系列单板

2

1

3

E系列单板

2

1

3

FC系列单板

1

1

2

备注 1:

 整机最多可以配置8个观察端口。

表2 华为S系列框式交换机不合单板在V200R005版本及以后版本的观察端口规格

SA系列单板（不包含ES0D0X12SA00（S7700）、EH1D2X12SSA0（S9700）、ET1D2X12SSA0（S12700）、LE0DX12XSA00（S9300））

4

1

5

ES0D0X12SA00（S7700）、EH1D2X12SSA0（S9700）、ET1D2X12SSA0（S12700） 、LE0DX12XSA00（S9300）

4

2

6

SC系列单板

X（X≤4）

4X（X≤4）

4

E系列单板（不包含 ES1D2C02FEE0（S7700）、EH1D2X48SEC0（S9700）、EH1D2C02FEE0（S9700）、ET1D2X48SEC0（S12700）、ET1D2C02FEE0（S12700）、LE1D2C02FEE0（S9300））

4

2

6

EH1D2X48SEC0 ES1D2C02FEE0（S7700）、EH1D2X48SEC0（S9700）、EH1D2C02FEE0（S9700）、ET1D2X48SEC0（S12700）、ET1D2C02FEE0（S12700）、LE1D2C02FEE0（S9300））

X（X≤4）

4X（X≤4）

4

FA系列单板（S7700、S9700、S9300）

4

2

6

FC系列单板（S7700、S9700、S9300）

X（X≤4）

4X（X≤4）

4

B系列单板（S7700、S9700、S9300）

X（X≤4）

4X（X≤4）

4

X1E系列单板

适配置方法而定

适配置方法而定

适配置方法而定

备注 1:

  X1E系列单板的观察端口规格因观察端口配置方法的不合而不合。

如果是单个配置，最多可配置8次，即总共可配8个观察端口；如果是批量配置，一次最多可配置64个观察端口，最多可配置8次，理论上最多可配置8x64=512个观察端口；入标的目的/出标的目的最多可绑定512个观察端口。

备注 2:

  如果不包含X1E系列单板批量配置的观察端口规格，整机最多可以配置8个观察端口。

表3 华为S系列盒式交换机在V100R006C05版本的观察端口规格

S2700SI

1

1

1

S2710SI

4

1

4

S2700EI

1

1

1

表4 华为S系列盒式交换机在V200R001版本~V200R003版本的观察端口规格

S3700HI

2

1

2

S5700SLI、S5700LI

1

1

1

S5710CLI

1

1

1

S5700SI

1

1

1

S5700EI

4

1

4

S5710EI

2

1

2

S5700HI

2

1

2

S5710HI

2

1

2

S6700

1

1

1

表5 华为S系列盒式交换机在V200R005版本及以后版本的观察端口规格

S1720

1

1

1

S2720

1

1

1

S2750

1

1

1

S5700SLI、S5700LI

1

1

1

S5710XLI

1

1

1

S5700SI

1

1

1

S5720SSI、S5720SI

1

1

1

S5700EI

4

1

4

S5710EI

4

4

8

S5720EI

4

4

8

S5720HI

适配置方法而定

适配置方法而定

适配置方法而定

S5700HI

4

4

8

S5710HI

4

4

8

S6700EI

X（X≤4）

4X（X≤4）

4

S6720EI

X（X≤4）

4X（X≤4）

4

E600

1

1

1

备注 1:

  S5720HI的观察端口规格因观察端口配置方法的不合而不合。

如果是单个配置，最多可配置8次，即总共可配8个观察端口；如果是批量配置，一次最多可配置64个观察端口，最多可配置8次，理论上最多可配置8x64=512个观察端口；入标的目的/出标的目的最多可绑定512个观察端口。

1.3      观察端口使用情况计算方法

我们使用了一个观察端口进行镜像以后，如果还需要再配观察端口，连接其他监控设备，就需要计算交换机上剩余可配的观察端口数量，镜像端口入标的目的和出标的目的还能再绑定几多个观察端口。

需要注意，镜像端口的入标的目的和出标的目的可绑定观察端口数量是分隔计算的，即使入标的目的和出标的目的绑定的是同一个观察端口，入标的目的和出标的目的剩余可绑定观察端口数量城市各自减1。

比方以FA单板为例，FA单板最多可配置6个观察端口，所有镜像端口入标的目的加起来最多可以绑定4个观察端口，出标的目的加起来最多可以绑定2个观察端口。

如果镜像端口入标的目的和出标的目的绑定到了同一个观察端口，入标的目的可以绑定的剩余观察端口数量为3，出标的目的可以绑定的剩余观察端口数量为1，那么剩余可用观察端口数量为3+1=4，并不是是61=5。

2      1：

N镜像规格

1

21：

1：

N镜像是指将单份报文同时镜像到N个不合的观察端口，如图所示：

端口镜像中，1：

N镜像中N的规格可以同即是，同一个镜像端口的入标的目的或者出标的目的可以绑定到N个观察端口。

流镜像中，1：

N镜像中N的规格可以同即是，流分类绑定的单个流镜像行为是镜像到批量配置的观察端口组，观察端口组里面有N个观察端口。

因此，流镜像要实现1：

N镜像，流行为里面绑定的必须是观察端口组。

VLAN镜像或者MAC镜像中，1：

N镜像中N的规格可以同即是，同一个VLAN入标的目的绑定的观察端口组内，观察端口组里面有N个观察端口。

因此，VLAN镜像或者MAC镜像要实现1：

N镜像，VLAN入标的目的绑定的必须是观察端口组。

三层远程镜像不支持1：

N镜像。

为了便利理解，下面的规格介绍是以我们经常使用的端口镜像来讲解1：

N镜像中N的规格，其他方法的1：

N镜像中N的数值与端口镜像的相同。

1：

N镜像主要是用于需要连接多个监控设备的场景，在V200R005以前的版本，只有华为S系列框式交换机的E系列、FA系列、ES0D0X12SA00、EH1D2X12SSA0单板支持，并且整机最多支持入标的目的1：

2；V200R005版本及后续的版本，华为S系列交换机开始全面支持1：

N镜像，具体不合框式单板和盒式交换机支持情况如表1和表2所示。

表1 华为S系列框式交换机不合单板在V200R005版本及以后版本的1：

N镜像规格

SA系列单板（不包含ES0D0X12SA00（S7700）、EH1D2X12SSA0（S9700）、ET1D2X12SSA0（S12700）、LE0DX12XSA00（S9300））

NA（只能镜像到1个观察端口）

NA（只能镜像到1个观察端口）

ES0D0X12SA00（S7700）、EH1D2X12SSA0（S9700）、ET1D2X12SSA0（S12700）、LE0DX12XSA00（S9300）

2

2

SC系列单板

Y（Y≤4）

4Y（Y≤4）

E系列单板（不包含

ES1D2C02FEE0（S7700）、EH1D2X48SEC0（S9700）、EH1D2C02FEE0（S9700）、ET1D2X48SEC0（S12700）、ET1D2C02FEE0（S12700）、LE1D2C02FEE0（S9300））

2

2

ES1D2C02FEE0（S7700）、EH1D2X48SEC0（S9700）、EH1D2C02FEE0（S9700）、ET1D2X48SEC0（S12700）、ET1D2C02FEE0（S12700）、LE1D2C02FEE0（S9300））

Y（Y≤4）

4Y（Y≤4）

FA系列单板（S7700、S9700、S9300）

2

2

FC系列单板（S7700、S9700、S9300）

Y（Y≤4）

4Y（Y≤4）

B系列单板（S7700、S9700、S9300）

Y（Y≤4）

4Y（Y≤4）

X1E系列单板

适配置方法而定

适配置方法而定

备注 1:

  X1E系列单板的观察端口规格因观察端口配置方法的不合而不合。

如果是单个配置，单个镜像端口入标的目的或出标的目的最多可绑定1个观察端口；如果是批量配置，理论上单个镜像端口入标的目的或出标的目的最多可绑定64个观察端口。

备注 2:

  在1：

N镜像中，如果镜像端口某一标的目的绑定的是通过批量方法创建的一个观察端口组，则该标的目的不克不及再绑定到其他的观察端口。

表2 华为S系列盒式交换机在V200R005版本及以后版本的1：

N镜像规格

S1720

NA（只能镜像到1个观察端口）

NA（只能镜像到1个观察端口）

S2720

NA（只能镜像到1个观察端口）

NA（只能镜像到1个观察端口）

S2750

NA（只能镜像到1个观察端口）

NA（只能镜像到1个观察端口）

S5700SLI、S5700LI

NA（只能镜像到1个观察端口）

NA（只能镜像到1个观察端口）

S5710XLI

NA（只能镜像到1个观察端口）

NA（只能镜像到1个观察端口）

S5700SI

NA（只能镜像到1个观察端口）

NA（只能镜像到1个观察端口）

S5720SSI、S5720SI

NA（只能镜像到1个观察端口）

NA（只能镜像到1个观察端口）

S5700EI

NA（只能镜像到1个观察端口）

NA（只能镜像到1个观察端口）

S5710EI

4

4

S5720EI

4

4

S5700HI

4

4

S5710HI

4

4

S5720HI

适配置方法而定

适配置方法而定

S6700EI

Y（Y≤4）

4Y（Y≤4）

S6720EI

Y（Y≤4）

4Y（Y≤4

E600

NA（只能镜像到1个观察端口）

NA（只能镜像到1个观察端口）

备注 1:

  S5720HI的观察端口规格因观察端口配置方法的不合而不合。

如果是单个配置，单个镜像端口入标的目的或出标的目的最多可绑定1个观察端口；如果是批量配置，理论上单个镜像端口入标的目的或出标的目的最多可绑定64个观察端口。

备注 2:

  在1：

N镜像中，如果镜像端口某一标的目的绑定的是通过批量方法创建的一个观察端口组，则该标的目的不克不及再绑定到其他的观察端口。

3      N：

1镜像规格

1

N：

1镜像是指将N份不合的报文同时镜像到单个观察端口，如图所示：

N：

1镜像主要用于需要监控多个镜像端口流经的报文流。

其中N的规格没有限制，就是说只要小伙伴愿意，可以把这个交换机的端口入标的目的或者出标的目的都绑定到同一个观察端口，对镜像端口的数量没有限制。

4      M：

N镜像规格

M：

N镜像是指将M