华三接入层交换机需注意配置的几项细节

Posted 2023-05-03

参考技术A

1、查看交换机上应用的配置文件
[h3c]dis startup
Current startup saved-configuration file: flash:/config.cfg
Next main startup saved-configuration file: flash:/config.cfg
Next backup startup saved-configuration file: NULL

2、配置主备配置文件
<h3c>startup saved-configuration config.cfg ?
backup Backup config file
main Main config file
<cr>

3、Telnet 用户认证方式登录
user-interface vty 0 4
authentication-mode scheme
user privilege level 3

Telnet 密码方式登录
user-interface aux 0
user-interface vty 0 4
user privilege level 3
set authentication password simple abc

新建用户
local-user admin
password simple abcpassword
service-type telnet
level 3

4、配置MSTP
stp enable
stp region-configuration
region-name abc
revision-level 1
instance 1 vlan 200
active region-configuration

*********************************************************
5 、配置接入层交换机只接电脑，不能接交换机，避免已经配置好的生成树受新添加的交换机影响造成网络的不稳定。
stp bpdu-protection

对于接入层设备，接入端口一般直接与用户终端（如PC机）或文件服务器相连，此时接入端口被设置为边缘端口以实现这些端口的快速迁移。当这些边缘端口接收到配置消息后，系统会自动将这些端口设置为非边缘端口，重新计算生成树，这样就引起网络拓扑的震荡。
正常情况下，边缘端口应该不会收到生成树协议的配置消息。如果有人伪造配置消息恶意攻击交换机，就会引起网络震荡。BPDU保护功能可以防止这种网络攻击。交换机上启动了BPDU保护功能以后，如果边缘端口收到了配置消息，系统就将这些端口关闭，同时通知网管这些端口被MSTP关闭。被关闭的边缘端口只能由网络管理人员恢复。

配置端口为边缘端口

[h3c]interface Ethernet1/0/5
[h3c-Ethernet1/0/5]stp edged-port enable

对于直接与终端相连的端口，请将该端口设置为边缘端口，同时启动BPDU保护功能。这样既能够使该端口快速迁移到转发状态，也可以保证网络的安全。
**********************************************************
6、DHCP Snooping防止非法DHCP服务器分发地址影响正常网络

例：
开启交换机DHCP Snooping功能

[h3c]DHCP Snooping

配置合法的DHCP服务器转发端口
[h3c]interface Ethernet1/0/5
[h3c-Ethernet1/0/5]dhcp-snooping trust

配置防DHCP服务器仿冒功能
例：
开启交换机DHCP Snooping功能

[h3c]DHCP Snooping

开启防DHCP服务器仿冒功能
[h3c]interface Ethernet1/0/5
[h3c-Ethernet1/0/5]dhcp-snooping server-guard enable
意思是在端口上启用仿冒功能，万一有非法DHCP服务器进入即触发预设置的策略

配置防DHCP服务器仿冒功能的处理策略
[h3c-Ethernet1/0/5]dhcp-snooping server-guard method trap | shutdown
缺省情况下，交换机防DHCP服务器仿冒功能的处理策略为trap

显示DHCP服务器仿冒相关信息
display dhcp-snooping server-guard

其实配置snooping和仿冒功能效果都是一样，防止非法的DHCP服务器进入网络，只是h3c交换机不同型号支持的方法不同。

汇总有点乱，都是平时配置接入层交换机时经常用到的，也解决了不少问题，现在发上来，一个是自己留个记录，二是也给大家参考一下，或者大家看后，觉得还有什么需要补充的配置，尽管说，共同学习。

交换机端口镜像配置（华为华三）

交换机端口镜像配置（华为、华三）

• 端口镜像应用场景设定
• • 华三交换机配置端口镜像
  • 华为交换机配置端口镜像

端口镜像应用场景设定

某企业近期为了加强网络安全防护，新购置了一台IDS网络安全检测设备，IDS检测设备的配置工作交给了Kim大Q，Kim大Q检查了IDS设备，发现IDS的主要配置端口有两个一个是旁路接入的Mirror port，另外一个是Management port，但Kim大Q近期也未配置过端口镜像，公司内部的交换机主要有华为和华三两种，整理了2种品牌的交换机端口镜像配置笔记。

华三交换机配置端口镜像

1. 配置步骤如下：
   1.进入配置：system-view
   2.选择本地类型镜像组：[SW1]mirroring-group 1 local
   3.为镜像组配置源端口：[SW1]mirroring-group 1 mirroring-port G0/0/1 both (设置源端口，镜像可以根据实际情况灵活选择入方向、出方向，或全部流量；both,全部流量；inbound,入方向；outbound,出方向)
   4.如果源端口为多个，可以批量设置：[SW1]mirroring-group 1 mirroring-port g0/0/1 to g0/0/23 (源端口从g0/0/1到g/0/0/23)
   5.为镜像组配置目的端口：mirroring-group 1 monitor-port g0/0/24
   6.将网络安全设备IDS的镜像口与华三交换机g0/0/24口即monitor-port口跳线连接。

华为交换机配置端口镜像

1. 配置步骤如下：
   1.进入配置：system-view
   2.配置观察口：[SW1]observe-port 1 interface g0/0/24
   3.配置镜像的源端口：[SW1]int g0/0/1
   [SW1-gigabit0/0/1]port-mirroring to observe-port 1 both ( both,全部流量；inbound,入方向；outbound,出方向)
   4.批量配置镜像的源端口：[SW1]interface range g0/0/1 to g0/0/23
   [SW1-port-group]port-mirroring to observe-port 1 both
   5.验证观察端口是否配置正确：[SW1]display observe-port
   6.验证镜像源端口是否配置正确：[SW1]display port-mirroring
   7.将网络安全设备IDS的镜像口与华为交换机g0/0/24口即observe-port口跳线连接。
   整理完配置笔记，Kim大Q也准备撸起袖子大干一场了，小伙伴们希望也可以帮到大家快速配置，尤其一些旁路接入的网络设备。