2024年2月6日发(作者：栋欣艳)
入门篇TELNET远程管理交换机配置一组网需求：1．PC通过telnet登陆交换机并对其进行管理；2．分别应用帐号+密码方式、仅密码方式以及radius认证方式；3．只允许192.1.1.0/24网段的地址的PCTELNET访问。二组网图：作为telnet登陆主机的PC与SwitchA之间通过局域网互连（也可以直连），PC可以ping通SwitchA。三配置步骤：1H3CS3100-SIS5100系列交换机TELNET配置流程账号+密码方式登陆1．配置TELNET登陆的ip地址
[SwitchA-ui-vty0-4]userprivilegelevel35．添加TELNET管理的用户，用户类型为”telnet”，用户名为”huawei”，密码为”admin”[SwitchA]local-userhuawei[SwitchA-luser-huawei]service-typetelnetlevel3[SwitchA-luser-huawei]passwordsimpleadmin仅密码方式登陆1．配置TELNET登陆的ip地址(与上面账号+密码登陆方式相同)2．进入用户界面视图[SwitchA]user-interfacevty043．设置认证方式为密码验证方式[SwitchA-ui-vty0-4]authentication-modepassword4．设置登陆验证的password为明文密码”huawei”[SwitchA-ui-vty0-4]setauthenticationpasswordsimplehuawei5．配置登陆用户的级别为最高级别3(缺省为级别1)[SwitchA-ui-vty0-4]userprivilegelevel3TELNETRADIUS验证方式配置1．配置TELNET登陆的ip地址(与上面账号+密码登陆方式相同)2．进入用户界面视图[SwitchA]user-interfacevty043．配置远端用户名和口令认证[SwitchA-ui-vty0-4]authentication-modescheme4．配置RADIUS认证方案，名为”cams”[SwitchA]radiusschemecams5．配置RADIUS认证服务器地址192.168.0.31[SwitchA-radius-cams]primaryauthentication192.168.0.3118126．配置交换机与认证服务器的验证口令为”huawei”[SwitchA-radius-cams]keyauthenticationhuawei7．送往RADIUS的报文不带域名[SwitchA-radius-cams]user-name-formatwithout-domain
8．创建（进入）一个域，名为”huawei”[SwitchA]domainhuawei9．在域”huawei”中引用名为”cams”的认证方案[SwitchA-isp-huawei]radius-schemecams10．将域”huawei”配置为缺省域[SwitchA]domaindefaultenableHuaweiTELNET访问控制配置1．配置访问控制规则只允许192.1.1.0/24网段登录[SwitchA]aclnumber2000[SwitchA-acl-basic-2000]ruledenysourceany[SwitchA-acl-basic-2000]rulepermitsource192.1.1.00.0.0.2552．配置只允许符合ACL2000的IP地址登录交换机[SwitchA]user-interfacevty04[SwitchA-ui-vty0-4]acl2000inbound3．补充说明：�TELNET访问控制配置是在以上三种验证方式配置完成的基础上进行的配置；�2TELNET登陆主机与交换机不是直连的情况下需要配置默认路由。H3CS3600S5600系列交换机TELNET配置流程账号+密码方式登陆1．配置TELNET登陆的ip地址
[SwitchA-ui-vty0-4]authentication-modescheme4．配置登陆用户的级别为最高级别3(缺省为级别1)[SwitchA-ui-vty0-4]userprivilegelevel35．添加TELNET管理的用户，用户类型为”telnet”，用户名为”huawei”，密码为”admin”[SwitchA]local-userhuawei[SwitchA-luser-huawei]service-typetelnetlevel3[SwitchA-luser-huawei]passwordsimpleadmin仅密码方式登陆1．配置TELNET登陆的ip地址(与上面账号+密码登陆方式相同)2．进入用户界面视图[SwitchA]user-interfacevty043．设置认证方式为密码验证方式[SwitchA-ui-vty0-4]authentication-modepassword4．设置登陆验证的password为明文密码”huawei”[SwitchA-ui-vty0-4]setauthenticationpasswordsimplehuawei5．配置登陆用户的级别为最高级别3(缺省为级别1)[SwitchA-ui-vty0-4]userprivilegelevel3TELNETRADIUS验证方式配置(以使用华为3Com公司开发的CAMS作为RADIUS服务器为例)1．配置TELNET登陆的ip地址(与上面账号+密码登陆方式相同)2．进入用户界面视图[SwitchA]user-interfacevty043．配置远端用户名和口令认证[SwitchA-ui-vty0-4]authentication-modescheme4．配置RADIUS认证方案，名为”cams”[SwitchA]radiusschemecams5．配置RADIUS认证服务器地址192.168.0.31[SwitchA-radius-cams]primaryauthentication192.168.0.3118126．配置交换机与认证服务器的验证口令为”huawei”
[SwitchA-radius-cams]keyauthenticationhuawei7．送往RADIUS的报文不带域名[SwitchA-radius-cams]user-name-formatwithout-domain8．创建（进入）一个域，名为”huawei”[SwitchA]domainhuawei9．在域”huawei”中引用名为”cams”的认证方案[SwitchA-isp-huawei]radius-schemecams10．将域”huawei”配置为缺省域[SwitchA]domaindefaultenableHuaweiTELNET访问控制配置1．配置访问控制规则只允许192.1.1.0/24网段登录[SwitchA]aclnumber2000[SwitchA-acl-basic-2000]ruledenysourceany[SwitchA-acl-basic-2000]rulepermitsource192.1.1.00.0.0.2552．配置只允许符合ACL2000的IP地址登录交换机[SwitchA]user-interfacevty04[SwitchA-ui-vty0-4]acl2000inbound3．补充说明：��TELNET登陆主机与交换机不是直连的情况下需要配置默认路由；在交换机上增加superpassword(缺省情况下，从VTY用户界面登录后的级别为1级，无法对设备进行配置操作。必须要将用户的权限设置为最高级别3，才可以进入系统视图并进行配置操作。低级别用户登陆交换机后，需输入superpassword改变自己的级别)例如，配置级别3用户的superpassword为明文密码”super3”：[SwitchA]superpasswordlevel3simplesuper33H3CS5500-SIS3610S5510系列交换机TELNET配置流程1．补充说明：�由于H3CS5500-SIS3610S5510系列交换机采用全新的ComwareV5平台，命令行稍有改动。在采用上述配置的基础上，只要在系统视图下增加命令：[SwitchA]telnetserverenable即可。四配置关键点：
1．三层交换机，可以有多个三层虚接口，它的管理VLAN可以是任意一个具有三层接口并配置了IP地址的VLAN，而二层交换机，只有一个二层虚接口，它的管理VLAN即是对应三层虚接口并配置了IP地址的VLAN；2．交换机缺省的TELNET认证模式是密码认证，如果没有在交换机上配置口令，当TELNET登录交换机时，系统会出现”passwordrequired,butnoneset.”的提示；3．TELNET登陆可以应用windows自带的dos、超级终端，也可以应用别的telnet软件进行登陆。交换机基于端口VLAN应用配置一组网需求：PC1和PC2分别连接到交换机的端口E1/0/1和E1/0/2，端口分别属于VLAN10和VLAN20。二组网图：三配置步骤：1方法11．创建（进入）VLAN10，将E1/0/1加入到VLAN10[SwitchA]vlan10[SwitchA-vlan10]portEthernet1/0/12．创建（进入）VLAN20，将E1/0/2加入到VLAN20[SwitchA]vlan20[SwitchA-vlan20]portEthernet1/0/2方法21．进入以太网端口E1/0/1的配置视图[SwitchA]interfaceEthernet1/0/1
2．配置端口E1/0/1的PVID为10[SwitchA-Ethernet1/0/1]portaccessvlan103．进入以太网端口E1/0/1的配置视图[SwitchA]interfaceEthernet0/24．配置端口E1/0/2的PVID为20[SwitchA-Ethernet1/0/2]portaccessvlan20四配置关键点：无Web管理的配置五组网需求：PC通过IE浏览器对SwitchA进行管理。六组网图：作为Web登陆主机的PC与SwitchA之间通过局域网互连（也可以直连），PC可以ping通SwitchA。七配置步骤：1H3CS3100-SI-SIS5100系列交换机Web配置流程1．确认WEB管理文件已经在交换机flash中
B管理的用户，”，”，”3．添加WEWEB用户类型为”telnettelnet”用户名为”huaweihuawei”密码为”adminadmin”[SwitchA]local-userhuawei[SwitchA-luser-huawei]service-typetelnetlevel3[SwitchA-luser-huawei]passwordsimpleadmin2H3CS3600S5600系列交换机Web配置流程1．确认WEB管理文件已经在交换机flash中
�配置跟上述配置完全一致，但是不需要在flash中有web管理的文件，因为该文件已经被集成在vrp软件版本中了，只要按照上述的配置作就可以了。八配置关键点：1．对于S3100-SIS5100系列二层交换机，配置管理VLAN时必须保证没有别的VLAN虚接口；2．在将WEB管理文件载入交换机flash时，不要将文件进行解压缩，只需将完整的文件载入交换机即可(向交换机flash载入WEB管理文件的方法，请参考本配置实例中交换机的系统管理配置章节)。VLAN接口动态获取IP地址配置九组网需求：1．SwitchA为二层交换机，管理VLAN为VLAN10，SwitchA的VLAN接口10动态获取IP地址；2．SwitchA的以太网端口E1/0/1为Trunk端口，连接到SwitchB，同时SwitchB提供DHCPServer功能。十组网图：十一4配置步骤：SwitchA配置1．将E0/1端口设为trunk,并允许所有的vlan通过[SwitchA-Ethernet1/0/1]portlink-typetrunk[SwitchA-Ethernet1/0/1]porttrunkpermitvlanall2．创建（进入）VLAN10[SwitchA]vlan10
3．创建（进入）VLAN接口10[SwitchA]interfaceVlan-interface104．为VLAN接口10配置IP地址[SwitchA-Vlan-interface10]ipaddressdhcp-allocSwitchB配置请参考DHCPServer配置部分十二配置关键点：1．二层交换机只允许设置一个VLAN虚接口，在创建VLAN10的虚接口前需要保证没有别的VLAN虚接口；2．虽然交换机的VLAN接口动态获取了IP地址，但是不能获得网关地址，因此还需要在交换机上手工添加静态默认路由。流限速的配置十三组网需求：在交换机的Ethernet1/0/1口的入方向设置流量限速，限定速率为1Mbps（1024Kbps）。十四组网图：十五5配置步骤：H3C5100系列交换机典型访问控制列表配置1．配置acl，定义符合速率限制的数据流[SwitchA]aclnumber4000[SwitchA-acl-link-4000]rulepermitingressanyegressany2．对端口E1/0/1的入方向报文进行流量限速，限制到1Mbps
[SwitchA-Ethernet1/0/1]traffic-limitinboundlink-group40001exceeddrop配置关键点：无自定义ACL的配置十六组网需求：配置自定义ACL，通过匹配报文对应的协议号、MAC地址及IP地址等字段，过滤攻击主机发出的冒充网关的ARP报文。十七组网图：十八配置步骤：H3C3600的配置1．定义5000acl[Switch]aclnumber50002．把整个端口arp协议报文中源ip地址为192.168.0.1的ARP报文禁掉（16和32分别是协议字段和源IP字段的偏移量）[Switch-acl-user-5000]rule0deny0806ffff16c0a80001ffffffff323．允许arp协议报文源mac地址（偏移量为26）是000f-e226-233c（网关）的arp报文通过[Switch-acl-user-5000]rule1permit0806ffff16000fe226233cffffffffffff26[Switch-acl-user-5000]quit4．端口下下发创建的ACL
[Switch]interfaceEthernet1/0/1[Switch-Ethernet1/0/1]packet-filterinbounduser-group5000H3C5600的配置1．定义5000acl[Switch]aclnumber50002．把整个端口arp协议报文源ip地址为192.168.0.1的ARP报文禁掉[Switch-acl-user-5000]rule0deny0806ffff20c0a80001ffffffff363．允许arp协议报文中源mac地址是000f-e226-233c的arp报文通过[Switch-acl-user-5000]rule1permit0806ffff20000fe226233cffffffffffff32[Switch-acl-user-5000]quit4．端口下下发创建的ACL[Switch]interfaceEthernet1/0/1[Switch-Ethernet1/0/1]packet-filterinbounduser-group5000H3C36105510的配置1．定义5000acl[Switch]aclnumber50002．定义匹配的ACL规则，匹配arp报文[Switch-acl-user-5000]ruledenyl20806ffff123．配置扩展流模板bbb[Switch]flow-templatebbbextendl21224．在端口E1/0/1上应用流模板bbb[Switch]interfaceEthernet1/0/1[Switch-Ethernet1/0/1]flow-templatebbb[Switch-Ethernet1/0/1]quit配置关键点：1．如果开启了QinQ功能后，不建议应用用户自定义acl；2．H3C3100-SI51005500-SI不支持5000-5999的acl，H3C3610及5510因为与流模板冲突，无法下发以上防ARP的ACL，需要配置自定义流模板。
交换机Trunk端口配置十九组网需求：1．SwitchA与SwitchB用trunk互连，相同VLAN的PC之间可以互访，不同VLAN的PC之间禁止互访；2．PC1与PC2之间在不同VLAN，通过设置上层三层交换机SwitchB的VLAN接口10的IP地址为10.1.1.254/24，VLAN接口20的IP地址为20.1.1.254/24可以实现VLAN间的互访。二十组网图：1．VLAN内互访，VLAN间禁访2．通过三层交换机实现VLAN间互访二十一配置步骤：6实现VLAN内互访VLAN间禁访配置过程SwitchA相关配置：1．创建（进入）VLAN10，将E0/1加入到VLAN10[SwitchA]vlan10[SwitchA-vlan10]portEthernet0/1
2．创建（进入）VLAN20，将E0/2加入到VLAN20[SwitchA]vlan20[SwitchA-vlan20]portEthernet0/23．将端口G1/1配置为Trunk端口，并允许VLAN10和VLAN20通过[SwitchA]interfaceGigabitEthernet1/1[SwitchA-GigabitEthernet1/1]portlink-typetrunk[SwitchA-GigabitEthernet1/1]porttrunkpermitvlan1020SwitchB相关配置：1．创建（进入）VLAN10，将E0/10加入到VLAN10[SwitchB]vlan10[SwitchB-vlan10]portEthernet0/102．创建（进入）VLAN20，将E0/20加入到VLAN20[SwitchB]vlan20[SwitchB-vlan20]portEthernet0/203．将端口G1/1配置为Trunk端口，并允许VLAN10和VLAN20通过[SwitchB]interfaceGigabitEthernet1/1[SwitchB-GigabitEthernet1/1]portlink-typetrunk[SwitchB-GigabitEthernet1/1]porttrunkpermitvlan10207通过三层交换机实现VLAN间互访的配置SwitchA相关配置：1．创建（进入）VLAN10，将E0/1加入到VLAN10[SwitchA]vlan10[SwitchA-vlan10]portEthernet0/12．创建（进入）VLAN20，将E0/2加入到VLAN20[SwitchA]vlan20[SwitchA-vlan20]portEthernet0/23．将端口G1/1配置为Trunk端口，并允许VLAN10和VLAN20通过[SwitchA]interfaceGigabitEthernet1/1[SwitchA-GigabitEthernet1/1]portlink-typetrunk[SwitchA-GigabitEthernet1/1]porttrunkpermitvlan1020SwitchB相关配置：
1．创建VLAN10[SwitchB]vlan102．设置VLAN10的虚接口地址[SwitchB]interfacevlan10[SwitchB-int-vlan10]ipaddress10.1.1.254255.255.255.03．创建VLAN20[SwitchB]vlan204．设置VLAN20的虚接口地址[SwitchB]interfacevlan20[SwitchB-int-vlan20]ipaddress20.1.1.254255.255.255.05．将端口G1/1配置为Trunk端口，并允许VLAN10和VLAN20通过[SwitchA]interfaceGigabitEthernet1/1[SwitchA-GigabitEthernet1/1]portlink-typetrunk[SwitchA-GigabitEthernet1/1]porttrunkpermitvlan1020二十二配置关键点：无交换机端口链路类型介绍二十三交换机端口链路类型介绍交换机以太网端口共有三种链路类型：Access、Trunk和Hybrid。1．Access类型的端口只能属于1个VLAN，一般用于连接计算机的端口；2．Trunk类型的端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，一般用于交换机之间连接的端口；3．Hybrid类型的端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。其中，Hybrid端口和Trunk端口的相同之处在于两种链路类型的端口都可以允许多个VLAN的报文发送时打标签；不同之处在于Hybrid端口可以允许多个VLAN的报文发送时不打标签，而Trunk端口只允许缺省VLAN的报文发送时不打标签。三种类型的端口可以共存在一台以太网交换机上，但Trunk端口和Hybrid端口之间不能直接切换，只能先设为Access端口，再设置为其他类型端口。例如：Trunk端口不能直接被设置为Hybrid端口，只能先设为Access端口，再设置为Hybrid端口。
二十四各类型端口使用注意事项配置Trunk端口或Hybrid端口，并利用Trunk端口或Hybrid端口发送多个VLAN报文时一定要注意：本端端口和对端端口的缺省VLANID(端口的PVID)要保持一致。当在交换机上使用isolate-user-vlan来进行二层端口隔离时，参与此配置的端口的链路类型会自动变成Hybrid类型。Hybrid端口的应用比较灵活，主要为满足一些特殊应用需求。此类需求多为在无法下发访问控制规则的交换机上，利用Hybrid端口收发报文时的处理机制，来完成对同一网段的PC机之间的二层访问控制。二十五各类型端口在接收和发送报文时的处理1．端口接收报文时的处理：端口接收到的报文类型报文帧结构中携带VLAN报文帧结构中不携带标记Access端口丢弃该报文VLAN标记为该报文打上VLAN标记为本端口的PVIDTrunk端口判断本端口是否允许携同上带该VLAN标记的报文通过。如果允许则报文携带原有VLAN标记进行转发，否则丢弃该报文Hybrid端口同上同上2．端口发送报文时的处理：Access端口Trunk端口剥掉报文所携带的VLAN标记，进行转发首先判断报文所携带的VLAN标记是否和端口的PVID相等。如果相等，则剥掉报文所携带的VLAN标记，进行转发；否则报文将携带原有的VLAN标记进行转发Hybrid端口首先判断报文所携带的VLAN标记在本端口需要做怎样的处理。如果是untagged方式转发，则处理方
式同Access端口；如果是tagged方式转发，则处理方式同Trunk端口交换机DHCPSever的配置二十六组网需求：1．在交换机上配置DHCPServer，使下面的用户动态获取相应网段的IP地址；2．DHCPServer的IP地址是192.168.0.1/24，PC机接在E1/0/2口上。二十七组网图：二十八配置步骤：1．创建（进入）VLAN2[Switch]vlan22．将E1/0/1端口加入VLAN2[Switch-vlan2]portEthernet1/0/23．进入VLAN接口2[Switch-vlan2]intvlan24．为VLAN2配置IP地址[Switch-Vlan-interface2]ipaddress192.168.0.1255.255.255.05．全局使能DHCP功能[Switch]dhcpenable6．创建DHCP地址池并进入DHCP地址池视图[Switch]dhcpserverip-poolh3c7．配置动态分配的IP地址范围[Switch-dhcp-pool-h3c]network192.168.0.1mask255.255.255.08．配置网关地址[Switch-dhcp-pool-h3c]gateway-list192.168.0.19．禁止将PC机的网关地址分配给用户[Switch]dhcpserverforbidden-ip192.168.0.110．指定vlan2虚接口工作在全局地址池模式
[Switch]dhcpselectglobalinterfacevlan-interface2二十九配置关键点：1．需保证虚接口地址在地址池中，这样VLAN下接的PC机方能自动获得192.168.0.0/24网段的IP地址；2．对于DHCPServer设备，可以使用全局地址池和接口地址池进行地址分配，这两种配置方法的适用情况是：如果DHCPClient和DHCPServer在同一网段，这两种配置方法都适用，如果DHCPClient与DHCPServer不在同一网段，那么只能用基于全局地址池的DHCPServer配置。当虚接口工作在全局地址池模式时使用以下命令：[Switch]dhcpselectglobalall3．Vlan接口默认情况下以全局地址池方式进行地址分配，因此当vlan接口配置了全局地址池方式进行地址分配后，查看交换机当前配置时，在相应的vlan接口下无法看到有关DHCP的配置；4．此系列交换机的具体型号包括：QuidwayS3500、QuidwayS3900-EI、QuidwayS5600、H3CS3600-EI、H3CS5600系列交换机。交换机DHCPRelay的配置三十组网需求：在交换机上配置DHCPRelay，使下面的用户动态获取相应网段的IP地址。三十一组网图：三十二配置步骤：1．全局使能DHCP功能[H3C]dhcpenable2．指定DHCPServer组1所采用的DHCPServer的IP地址[H3C]dhcp-server1ip192.168.0.13．配置DHCPRelay到DHCPServer的接口地址[H3C]vlan2[H3C-vlan2]porte1/0/2
[H3C]intvlan2[H3C-Vlan-interface2]ipaddress192.168.0.2255.255.255.04．配置DHCPRelay到PC的接口地址[H3C]vlan3[H3C-vlan3]porte1/0/3[H3C]intvlan3[H3C-Vlan-interface3]ipaddress192.168.1.1255.255.255.05．指定VLAN接口归属到DHCPServer组1[H3C-Vlan-interface3]dhcp-server1三十三配置关键点：1．必须保证路由可达；2．保证动态获得的IP地址在地址池中；3．此系列交换机的具体型号包括：QuidwayS3500、QuidwayS3900、QuidwayS5600、H3CS3600和H3CS5600系列交换机。防ARP攻击配置举例关键词：ARP、DHCPSnooping摘要：本文主要介绍如何利用以太网交换机DHCP监控模式下的防ARP攻击功能，防止校园网中常见的“仿冒网关”、“欺骗网关”、“欺骗终端用户”、ARP泛洪等攻击形式。同时，详细描述了组网中各个设备的配置步骤和配置注意事项，指导用户进行实际配置。缩略语：ARP（AddressResolutionProtocol，地址解析协议）MITM（Man-In-The-Middle，中间人攻击）
第1章ARP攻击防御功能介绍近来，许多校园网络都出现了ARP攻击现象。严重者甚至造成大面积网络不能正常访问外网，学校深受其害。H3C公司根据ARP攻击的特点，提出了“全面防御，模块定制”的ARP攻击防御理念，并给出了两种解决方案。(1)DHCP监控模式下的ARP攻击防御解决方案这种方式适合动态分配IP地址的网络场景，需要接入交换机支持DHCPSnooping功能。通过全网部署，可以有效的防御“仿冒网关”、“欺骗网关”、“欺骗终端用户”、“ARP中间人攻击”、“ARP泛洪攻击”等校园网中常见的ARP攻击方式；且不需要终端用户安装额外的客户端软件，简化了网络配置。(2)认证方式下的ARP攻击防御解决方案这种方式适合网络中动态分配IP地址和静态分配IP地址共存的网络场景，且只能防御“仿冒网关”的ARP攻击方式。它不需要在接入交换机上进行特殊的防攻击配置，只需要客户端通过认证协议（802.1x）登录网络，认证服务器（如CAMS服务器）会识别客户端，并下发网关的IP/MAC对应关系给客户端，来防御“仿冒网关”攻击。1.1ARP攻击简介按照ARP协议的设计，一个主机即使收到的ARP应答并非自身请求得到的，也会将其IP地址和MAC地址的对应关系添加到自身的ARP映射表中。这样可以减少网络上过多的ARP数据通信，但也为“ARP欺骗”创造了条件。校园网中，常见的ARP攻击有如下几中形式。(1)仿冒网关攻击者伪造ARP报文，发送源IP地址为网关IP地址，源MAC地址为伪造的MAC地址的ARP报文给被攻击的主机，使这些主机更新自身ARP表中网关IP地址与MAC地址的对应关系。这样一来，主机访问网关的流量，被重定向到一个错误的MAC地址，导致该用户无法正常访问外网。
Gateway Switch网关的MAC更新了攻击者Host A图1-1“仿冒网关”攻击示意图(2)欺骗网关攻击者伪造ARP报文，发送源IP地址为同网段内某一合法用户的IP地址，源MAC地址为伪造的MAC地址的ARP报文给网关；使网关更新自身ARP表中原合法用户的IP地址与MAC地址的对应关系。这样一来，网关发给该用户的所有数据全部重定向到一个错误的MAC地址，导致该用户无法正常访问外网。GatewayHost A的MAC更新了 Switch攻击者Host A图1-2“欺骗网关”攻击示意图(3)欺骗终端用户攻击者伪造ARP报文，发送源IP地址为同网段内某一合法用户的IP地址，源MAC地址为伪造的MAC地址的ARP报文给同网段内另一台合法主机；使后者更新自身ARP表中原合法用户的IP地址与MAC地址的对应关系。这样一来，网段内的其他主机发给该用户的所有数据都被重定向到错误的MAC地址，同网段内的用户无法正常互访。
Gateway SwitchHost A的MAC更新了Host A攻击者Host C图1-3“欺骗终端用户”攻击示意图(4)“中间人”攻击ARP“中间人”攻击，又称为ARP双向欺骗。如图1-4所示，HostA和HostC通过Switch进行通信。此时，如果有恶意攻击者（HostB）想探听HostA和HostC之间的通信，它可以分别给这两台主机发送伪造的ARP应答报文，使HostA和HostC用MAC_B更新自身ARP映射表中与对方IP地址相应的表项。此后，HostA和HostC之间看似“直接”的通信，实际上都是通过黑客所在的主机间接进行的，即HostB担当了“中间人”的角色，可以对信息进行了窃取和篡改。这种攻击方式就称作“中间人（Man-In-The-Middle）攻击”。Gateway Switch伪造的ARP应答报文伪造的ARP应答报文Host AHost B(攻击者)st B(Host C图1-4ARP“中间人”攻击示意图(5)ARP报文泛洪攻击恶意用户利用工具构造大量ARP报文发往交换机的某一端口，导致CPU负担过重，造成其他功能无法正常运行甚至设备瘫痪。1.1ARP攻击防御H3C公司根据ARP攻击的特点，给出了DHCP监控模式下的ARP攻击防御解决方案和认证模式下的ARP攻击防御解决方案。前者通过接入交换机上开启DHCP
Snooping功能、配置IP静态绑定表项、ARP入侵检测功能和ARP报文限速功能，可以防御常见的ARP攻击；后者不需要在接入交换机上进行防攻击配置，而需要通过CAMS服务器下发网关的IP/MAC对应关系给客户端，防御“仿冒网关”攻击。详见表1-1。表1-1常见网络攻击和防范对照表攻击方式防御方法动态获取IP地址的用户进行“仿冒网关”、“欺配置DHCPSnooping、ARP入侵检测功能骗网关”、“欺骗终端用户”、“ARP中间人攻击”手工配置IP地址的用户进行“仿冒网关”、“欺配置IP静态绑定表项、ARP入侵检测功能骗网关”、“欺骗终端用户”、“ARP中间人攻击”ARP泛洪攻击动态和手工配置IP地址的用户进行“仿冒网关”攻击配置ARP报文限速功能配置认证模式的ARP攻击防御解决方案(CAMS下发网关配置功能)1.1.1DHCPSnooping功能DHCPSnooping是运行在二层接入设备上的一种DHCP安全特性。(1)(2)通过监听DHCP报文，记录DHCP客户端IP地址与MAC地址的对应关系；通过设置DHCPSnooping信任端口，保证客户端从合法的服务器获取IP地址。�信任端口正常转发接收到的DHCP报文，从而保证了DHCP客户端能够从DHCP服务器获取IP地址。不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文后，丢弃该报文，从而防止了DHCP客户端获得错误的IP地址。��说明：目前H3C低端以太网交换机上开启DHCPSnooping功能后，所有端口默认被配置为DHCPSnooping非信任端口。为了使DHCP客户端能从合法的DHCP服务器获取IP地址，必须将与合法DHCP服务器相连的端口设置为信任端口，设置的信任端口和与DHCP客户端相连的端口必须在同一个VLAN内。1.1.2IP静态绑定功能DHCPSnooping表只记录了通过DHCP方式动态获取IP地址的客户端信息，如果用户手工配置了固定IP地址，其IP地址、MAC地址等信息将不会被DHCPSnooping表记录。因此，交换机支持手工配置IP静态绑定表的表项，实现用户的IP地址、MAC地址及接入交换机连接该用户的端口之间的绑定关系。这样，该固定用户的报文就不会被ARP入侵检测功能过滤。
1.1.1ARP入侵检测功能H3C低端以太网交换机支持将收到的ARP（请求与回应）报文重定向到CPU，结合DHCPSnooping安全特性来判断ARP报文的合法性并进行处理，具体如下。�当ARP报文中的源IP地址及源MAC地址的绑定关系与DHCPSnooping表项或者手工配置的IP静态绑定表项匹配，且ARP报文的入端口及其所属VLAN与DHCPSnooping表项或者手工配置的IP静态绑定表项一致，则为合法ARP报文，进行转发处理。当ARP报文中的源IP地址及源MAC地址的绑定关系与DHCPSnooping表项或者手工配置的IP静态绑定表项不匹配，或ARP报文的入端口，入端口所属VLAN与DHCPSnooping表项或者手工配置的IP静态绑定表项不一致，则为非法ARP报文，直接丢弃。��说明：��DHCPSnooping表只记录了通过DHCP方式动态获取IP地址的客户端信息。如果固定IP地址的用户需要访问网络，必须在交换机上手工配置IP静态绑定表的表项，即：用户的IP地址、MAC地址及连接该用户的端口之间的绑定关系。实际组网中，为了解决上行端口接收的ARP请求和应答报文能够通过ARP入侵检测问题，交换机支持通过配置ARP信任端口，灵活控制ARP报文检测功能。对于来自信任端口的所有ARP报文不进行检测，对其它端口的ARP报文通过查看DHCPSnooping表或手工配置的IP静态绑定表进行检测。1.1.2ARP报文限速功能H3C低端以太网交换机支持端口ARP报文限速功能，使受到攻击的端口暂时关闭，来避免此类攻击对CPU的冲击。开启某个端口的ARP报文限速功能后，交换机对每秒内该端口接收的ARP报文数量进行统计，如果每秒收到的ARP报文数量超过设定值，则认为该端口处于超速状态（即受到ARP报文攻击）。此时，交换机将关闭该端口，使其不再接收任何报文，从而避免大量ARP报文攻击设备。同时，设备支持配置端口状态自动恢复功能，对于配置了ARP限速功能的端口，在其因超速而被交换机关闭后，经过一段时间可以自动恢复为开启状态。1.1.3CAMS下发网关配置功能CAMS（ComprehensiveAccessManagementServer，综合访问管理服务器）作为网络中的业务管理核心，可以与以太网交换机等网络产品共同组网，完成用户的认证、授权、计费和权限管理。如图1-5所示。
CAMSIP networkGatewaySwitch ASwtich BHost AHost BHost CHost D图1-1CAMS组网示意图认证模式的ARP攻击防御解决方案，不需要在接入交换机上进行特殊的防攻击配置，只需要客户端通过802.1x认证登录网络，并在CAMS上进行用户网关的设置，CAMS会通过接入交换机，下发网关的IP/MAC对应关系给客户端，来防御“仿冒网关”攻击。1.2ARP攻击防御配置指南表1-1ARP攻击防御配置任务-操作进入系统视图进入以太网端口视图设置指定端口为DHCPSnooping信任端口退出至系统视图命令system-viewinterfaceinterface-typeinterface-number--必选dhcp-snoopingtrust缺省情况下，交换机的端口均为不信任端口-必选开启交换机DHCPSnooping功能dhcp-snooping缺省情况下，以太网交换机的DHCPSnooping功能处于禁止状态说明配置DHCPSnooping功能记录DHCP客户端的IP/MAC对应关系quit
任务操作进入以太网端口视图命令interfaceinterface-typeinterface-numberipsourcestaticbindingip-addressip-address[mac-addressmac-address]quitinterfaceinterface-typeinterface-numberarpdetectiontrust-可选说明配置指定端口的IP静态绑定表项配置IP静态绑定表项缺省情况下，没有配置IP静态绑定表项--可选退出至系统视图进入以太网端口视图配置ARP信任端口缺省情况下，端口为ARP非信任端口--必选配置ARP入侵检测功能，防御常见的ARP攻击退出至系统视图进入VLAN视图quitvlanvlan-id开启ARP入侵检测功能arpdetectionenable缺省情况下，指定VLAN内所有端口的ARP入侵检测功能处于关闭状态-必选退出至系统视图quit开启ARP报文限速功能arprate-limitenable缺省情况下，端口的ARP报文限速功能处于关闭状态可选配置允许通过端口的ARP报文的最大速率arprate-limitrate缺省情况下，端口能通过的ARP报文的最大速率为15pps-可选配置ARP限速功能退出至系统视图开启因ARP报文超速而被关闭的端口的状态自动恢复功能quitarpprotective-downrecoverenable缺省情况下，交换机的端口状态自动恢复功能处于关闭状态可选配置因ARP报文超速而被关闭的端口的端口状态自动恢复时间arpprotective-downrecoverintervalinterval缺省情况下，开启端口状态自动恢复功能后，交换机的端口状态自动恢复时间为300秒
�说明：有关各款交换机支持的ARP攻击防御功能的详细介绍和配置命令，请参见各产品的操作、命令手册。1.3支持ARP攻击防御功能的产品列表表1-2支持ARP攻击防御功能的产品列表功能产品型号S5600(Release1602)S5100-EI(Release2200)S5100-SI(Release2200)S3600-EI(Release1602)S3600-SI(Release1602)S3100-EI(Release2104)S3100-52P(Release1602)E352/E328(Release1602)E152(Release1602)E126A(Release2104)DHCPSnooping����������ARP入侵检测����������IP静态绑定����������ARP报文限速�����������说明：有关各款交换机支持的防ARP攻击功能的详细介绍，请参见各产品的操作手册。
第2章ARP攻击防御配置举例2.1DHCP监控模式下的ARP攻击防御配置举例2.1.1组网需求某校园网内大部分用户通过接入设备连接网关和DHCP服务器，动态获取IP地址。管理员通过在接入交换机上全面部署ARP攻击防御相关特性，形成保护屏障，过滤掉攻击报文。详细网络应用需求分析如下。�校园网用户分布在两个区域Hostarea1和Hostarea2，分别属于VLAN10和VLAN20，通过接入交换机SwitchA和SwitchB连接到网关Gateway，最终连接外网和DHCP。Hostarea1所在子网内拥有一台TFTP服务器，其IP地址为192.168.0.10/24，MAC地址为000d-85c7-4e00。为防止仿冒网关、欺骗网关等ARP攻击形式，开启SwitchA上VLAN10内、SwitchB上VLAN20内ARP入侵检测功能，设置SwitchA和SwitchB的端口Ethernet1/0/1为ARP信任端口。为防止ARP泛洪攻击，在SwitchA和SwitchB所有直接连接客户端的端口上开启ARP报文限速功能。同时，开启因ARP报文超速而被关闭的端口的状态自动恢复功能，并设置恢复时间间隔100秒。���
2.1.2组网图DHCP serverIP networkEth1/0/3Vlan-int 10n-t 1192.168.0.1/24Eth1/0/1Vlan-int 20t 2192.168.1.1/24Eth1/0/2GatewayVLAN101Host areaHost area1Switch ASwtich BEth1/0/1Eth1/0/1Eth1/0/4VLAN202Host areaHost area2Eth1/0/4Eth1/0/2Eth1/0/3Eth1/0/2Eth1/0/3TFTP serverP:192.168.0.10/24Host AHost BHost CHost DHost E图2-1DHCP监控模式下的ARP攻击防御组网示意图2.1.3配置思路�在接入交换机SwitchA和SwitchB上开启DHCPsnooping功能，并配置与DHCP服务器相连的端口为DHCPsnooping信任端口。在接入交换机SwitchA上为固定IP地址的TFTP服务器配置对应的IP静态绑定表项。在接入交换机SwitchA和SwitchB对应VLAN上开启ARP入侵检测功能，并配置其上行口为ARP信任端口。在接入交换机SwitchA和SwitchB直接连接客户端的端口上配置ARP报文限速功能，同时全局开启因ARP报文超速而被关闭的端口的状态自动恢复功能。���2.1.4配置步骤1.使用的版本本举例中使用的接入交换机SwitchA和SwitchB为E126A系列以太网交换机。
2.配置客户端动态获取IP地址。图1-1配置客户端自动获取IP地址示意图3.配置SwitchA#创建VLAN10，并将端口Ethernet1/0/1到Ethernet1/0/4加入VLAN10中。
[SwitchA]vlan10[SwitchA-vlan10]arpdetectionenable[SwitchA-vlan10]quit#开启SwitchA的端口Ethernet1/0/2、Ethernet1/0/3上的ARP报文限速功能。[SwitchA]interfaceEthernet1/0/2[SwitchA-Ethernet1/0/2]arprate-limit[SwitchA-Ethernet1/0/2]arprate-limit[SwitchA-Ethernet1/0/2]quit[SwitchA]interfaceEthernet1/0/3[SwitchA-Ethernet1/0/3]arprate-limit[SwitchA-Ethernet1/0/3]arprate-limit[SwitchA-Ethernet1/0/3]quitenable20enable20#配置端口状态自动恢复功能，恢复时间间隔为100秒。[SwitchA]arpprotective-downrecoverenable[SwitchA]arpprotective-downrecoverinterval100#配置网关的缺省路由。[SwitchA]iproute-static0.0.0.00192.168.0.14.配置SwitchB#创建VLAN20，并将相应端口加入VLAN20中。
#配置网关的缺省路由。[SwitchB]iproute-static0.0.0.00192.168.1.15.配置Gateway
覆盖DHCPSnooping动态表项的内容；如果先配置了IP静态绑定表项，再开启交换机的DHCPSnooping功能，则DHCP客户端不能通过该交换机获取到IP静态绑定表项中已经存在的IP地址。�实际组网中，为了解决上行端口接收的ARP请求和应答报文能够通过ARP入侵检测问题，交换机支持通过配置ARP信任端口，灵活控制ARP报文检测功能。对于来自信任端口的所有ARP报文不进行检测，对其它端口的ARP报文通过查看DHCPSnooping表或手工配置的IP静态绑定表进行检测。建议用户不要在汇聚组中的端口上配置ARP入侵检测、ARP报文限速功能。�1.2认证模式下的ARP攻击防御配置举例1.2.1组网需求某校园网内大部分用户通过接入设备连接网关和外网的服务器。管理员希望通过客户端和服务器间的认证机制，在客户端绑定网关的IP/MAC对应关系，过滤掉仿冒网关的ARP攻击报文。详细网络应用需求分析如下：�接入用户可以通过DHCP自动获取IP地址，也可以手工配置静态IP地址。但需要安装802.1x客户端，即：通过802.1x认证才能访问网络。服务器采用H3C公司的CAMS认证/授权、计费服务器；CAMS通过将网关的IP-MAC对应关系下发到认证客户端，防止用户端的网关仿冒等ARP攻击。接入交换机需要开启802.1x和AAA相关配置。��
1.2.2组网图DHCP serverCAMSIP networkP:20.10.1.1/16Eth1/0/3Vlan-int 10t 1192.168.0.1/24Eth1/0/1Vlan-int 20n-t 2192.168.1.1/24Eth1/0/2P:10.10.1.1/16GatewayVLAN101Host areaHost area1Switch AEth1/0/1Eth1/0/1Eth1/0/4Swtich BVLAN202Host areaHost area2Eth1/0/3Eth1/0/2Eth1/0/2Eth1/0/3Host AHost BHost CHost DHost E图1-2认证模式下的ARP攻击防御组网示意图1.2.3配置思路���用户安装802.1x客户端，即需要通过802.1x认证才能访问网络。接入交换机SwitchA和SwitchB上开启802.1x和AAA相关配置。通过CAMS服务器将网关的IP-MAC对应关系下发到认证客户端，防止用户端的网关仿冒等ARP攻击。1.2.4配置步骤1.配置SwitchA#创建VLAN10，并添加相应端口。
[SwitchA-radius-cams]server-typeextended[SwitchA-radius-cams]quit＃定义ISP域abc，并配置认证采用RADIUS方案cams。[SwitchA]domainabc[SwitchA-isp-abc]radius-schemecams[SwitchA-isp-abc]quit＃将ISP域abc设置为缺省ISP域。[SwitchA]domaindefaultenableabc＃交换机全局开启802.1x功能。[SwitchA]dot1x＃在端口Ethernet1/0/2下开启802.1x功能。[SwitchA]interfaceEthernet1/0/2[SwitchA-Ethernet1/0/2]dot1x[SwitchA-Ethernet1/0/2]quit＃在端口Ethernet1/0/3下开启802.1x功能。[SwitchA]interfaceEthernet1/0/3[SwitchA-Ethernet1/0/3]dot1x[SwitchA-Ethernet1/0/3]quit#配置网关的缺省路由[SwitchA]iproute-static0.0.0.00192.168.0.12.配置SwitchB#创建VLAN20，并添加相应端口。
[SwitchB]interfaceEthernet1/0/2[SwitchB-Ethernet1/0/2]dot1x[SwitchB-Ethernet1/0/2]quit[SwitchB]interfaceEthernet1/0/3[SwitchB-Ethernet1/0/3]dot1x[SwitchB-Ethernet1/0/3]quit[SwitchB]interfaceEthernet1/0/4[SwitchB-Ethernet1/0/4]dot1x[SwitchB-Ethernet1/0/4]quit#配置网关的缺省路由。[SwitchB]iproute-static0.0.0.00192.168.113.配置Gateway
��“基本信息”中设置服务名为“Host”。“认证客户端配置”选择“仅限CAMS配套客户端”；“IP地址获取方式”选择“不限”。图1-4增加服务页面点击确定，成功添加服务类型。(3)添加帐户用户（以组网图中用户“HostA”帐号的创建为例）登录CAMS服务器配置平台，点击左侧的“用户管理”的“帐号用户”，进入“帐户管理”界面。图1-5用户帐户界面点击“增加”按钮后：
��设置用户为“HostA”，密码为“HostA@school”，用户姓名为“HostA”。在“服务信息”一栏，选择服务名称“Host”。图1-6用户开户页面点击确定完成用户添加。(4)接入设备配置登录CAMS服务器配置平台，点击左侧的“系统管理”的“系统配置”，进入“系统配置”界面。图1-7系统配置页面选择修改“接入设备配置”界面。点击页面下方的“增加”按钮，增加配置项。配置接入用户的IP地址，共享密钥等信息，如下图所示。
图1-8增加配置项页面点击确定后，可以看到如下提示：图1-9操作成功提示此时需要返回“系统配置”页面，点击“立即生效”。图1-10系统配置页面的立即生效按钮(5)用户网关配置登录CAMS服务器配置平台，点击左侧的“系统管理”的“系统配置”，进入“系统配置”界面。
图1-11系统配置页面选择修改“用户网关配置”，可以增加或修改网关的地址等信息。图1-12用户网关配置页面点击页面下方的“增加”按钮，增加配置项。（以图2-3中，网关Vlan-interface1接口为例）图1-13用户网关配置列表页面点击“确定”，返回“系统配置”页面，点击“立即生效”。完成用户网关配置。5.配置客户端接入用户PC上需要安装H3C公司iNode客户端产品。具体配置如下。(1)启动客户端
图1-14客户端页面(2)选择“802.1x协议”点击下一步：图1-15新建802.1x连接选择“普通连接”，点击“下一步”。
图1-16选择普通连接(3)设置用户名和密码点击下一步：图1-17设置用户名和密码(4)设置连接属性
点击下一步：图1-18设置连接属性(5)完成连接的创建图1-19连接创建成功(6)启动连接
图1-20启动连接1.2.5注意事项�如果接入用户的网段过多，可能导致无法将全部网关的IP-MAC对应关系下发到认证客户端。CAMS服务器上“用户网关配置”的最大数目，和接入交换机最多支持的网关ARP信息的下发数目，请参考相应的产品规格。接入交换机上RADIUS策略，需要配置为server-typeextended。�
堆叠管理配置三十四组网需求：1．SwitchA作为主堆叠交换机，使用堆叠方式对SwitchB和SwitchC管理；12．SwitchA使用端口G1/1和G2/1上的堆叠模块，分别与SwitchB的G1/G1/1和SwitchC的G1/1上的堆叠模块互连，每个端口都是Trunk端口，并且允许业务VLAN以及管理VLAN100通过。三十五组网图：三十六配置步骤：集群管理默认使用VLAN1作为管理VLAN，可以使用management-vlan命令来修改交换机在集群管理中的管理VLAN。8置SwitchA配置：1．创建VLAN100[SwitchA]vlan1002．将VLAN100配置为管理VLAN[SwitchA]management-vlan1003．进入堆叠端口G1/1，将其配置为trunk端口，并允许管理VLAN100通过[SwitchA]interfaceGigabitEthernet1/1[SwitchA-GigabitEthernet1/1]portlink-typetrunk[SwitchA-GigabitEthernet1/1]porttrunkpermitvlan1004．进入堆叠端口G2/1，将其配置为trunk端口，并允许管理VLAN100通过[SwitchA]interfaceGigabitEthernet1/2Quidway2000-EI、3000和H3C3100-SI、5100、3500系列交换机的配
[SwitchA-GigabitEthernet1/2]portlink-typetrunk[SwitchA-GigabitEthernet1/2]porttrunkpermitvlan1005．配置堆叠管理使用的IP地址范围[SwitchA]stackingip-pool100.1.1.1166．建立堆叠[SwitchA]stackingenableSwitchB配置：1．创建VLAN100[SwitchB]vlan1002．将VLAN100配置为管理VLAN[SwitchB]management-vlan1003．进入堆叠端口G1/1，将其配置为trunk端口，并允许管理VLAN100通过[SwitchB]interfaceGigabitEthernet1/1[SwitchB-GigabitEthernet1/1]portlink-typetrunk[SwitchB-GigabitEthernet1/1]porttrunkpermitvlan1004．建立堆叠[SwitchB]stackingenableSwitchC配置：1．创建VLAN100[SwitchC]vlan1002．将VLAN100配置为管理VLAN[SwitchC]management-vlan1003．进入堆叠端口G1/1，将其配置为trunk端口，并允许管理VLAN100通过[SwitchC]interfaceGigabitEthernet1/1[SwitchC-GigabitEthernet1/1]portlink-typetrunk[SwitchC-GigabitEthernet1/1]porttrunkpermitvlan1004．建立堆叠[SwitchC]stackingenable9H3C3600系列交换机的配置SwitchA配置：1．使能端口G1/1，G1/2的堆叠功能[SwitchA]fabric-portGigabitEthernet1/0/1enable
[SwitchA]fabric-portGigabitEthernet1/0/2enableSwitchB配置：1．使能端口G1/1的堆叠功能[SwitchB]fabric-portGigabitEthernet1/0/1enableSwitchC配置：1．使能端口G1/1的堆叠功能[SwitchC]fabric-portGigabitEthernet1/0/1enable三十七配置关键点：1．在主堆叠交换机上登录从堆叠交换机的命令为：[SwitchA]stackingnum注意该命令只能在主堆叠交换机上使用，如果从某个从堆叠交换机视图切换回主堆叠交换机视图，则只需输入quit即可；2．对于H3C5600系列交换机只要插上专用的堆叠电缆，会自动堆叠无需人工操作集群管理配置三十八组网需求：1．SwitchA作为集群管理交换机，对成员SwitchB和SwitchC进行集群管理；2．SwitchA使用以太网端口E0/1和E0/2，分别与SwitchB和SwitchC的端口E0/24互连，互连端口都是Trunk端口，允许业务VLAN以及管理VLAN100通过；3．此案例同时适用于以下产品：H3C3100-SI、5100、3500、3600、5600、3610、5510系列交换机Quidway3000、2000-EI系列交换机。三十九组网图：
四十配置步骤：集群管理默认使用VLAN1作为管理VLAN，可以使用management-vlan命令来修改交换机在集群管理中的管理VLAN。SwitchA配置：1．创建VLAN100[SwitchA]vlan1002．将VLAN100配置为管理VLAN[SwitchA]management-vlan1003．进入以太网端口E0/1，将其配置为Trunk端口，并允许管理VLAN100通过[SwitchA]interfaceEthernet0/1[SwitchA-Ethernet0/1]portlink-typetrunk[SwitchA-Ethernet0/1]porttrunkpermitvlan1004．进入以太网端口E0/2，将其配置为Trunk端口，并允许管理VLAN100通过[SwitchA]interfaceEthernet0/2[SwitchA-Ethernet0/2]portlink-typetrunk[SwitchA-Ethernet0/2]porttrunkpermitvlan1005．启动集群功能[SwitchA]clusterenable6．进入集群视图，配置集群管理内部使用的IP地址，起始地址为100.1.1.1，共有16个地址[SwitchA]cluster[SwitchA-cluster]ip-pool100.1.1.1255.255.255.240
7．配置集群名字为huawei，并自动建立集群[SwitchA-cluster]buildH3C[H3C_A-cluster]auto-buildSwitchB配置：1．创建VLAN100[SwitchB]vlan1002．将VLAN100配置为管理VLAN[SwitchB]management-vlan1003．进入以太网端口E0/24，将其配置为trunk端口，并允许管理VLAN100通过[SwitchB]interfaceEthernet0/24[SwitchB-Ethernet0/24]portlink-typetrunk[SwitchB-Ethernet0/24]porttrunkpermitvlan1004．启动集群功能[SwitchB]clusterenableSwitchC配置：1．创建VLAN100[SwitchC]vlan1002．将VLAN100配置为管理VLAN[SwitchC]management-vlan1003．进入以太网端口E0/24，将其配置为trunk端口，并允许管理VLAN100通过[SwitchC]interfaceEthernet0/24[SwitchC-Ethernet0/24]portlink-typetrunk[SwitchC-Ethernet0/24]porttrunkpermitvlan1004．启动集群功能[SwitchC]clusterenable四十一配置关键点：1．在管理设备上查看成员设备的命令：[SwitchA]displayclustermember在管理设备上登陆指定的成员设备的命令：
2024年2月6日发(作者：栋欣艳)
入门篇TELNET远程管理交换机配置一组网需求：1．PC通过telnet登陆交换机并对其进行管理；2．分别应用帐号+密码方式、仅密码方式以及radius认证方式；3．只允许192.1.1.0/24网段的地址的PCTELNET访问。二组网图：作为telnet登陆主机的PC与SwitchA之间通过局域网互连（也可以直连），PC可以ping通SwitchA。三配置步骤：1H3CS3100-SIS5100系列交换机TELNET配置流程账号+密码方式登陆1．配置TELNET登陆的ip地址
[SwitchA-ui-vty0-4]userprivilegelevel35．添加TELNET管理的用户，用户类型为”telnet”，用户名为”huawei”，密码为”admin”[SwitchA]local-userhuawei[SwitchA-luser-huawei]service-typetelnetlevel3[SwitchA-luser-huawei]passwordsimpleadmin仅密码方式登陆1．配置TELNET登陆的ip地址(与上面账号+密码登陆方式相同)2．进入用户界面视图[SwitchA]user-interfacevty043．设置认证方式为密码验证方式[SwitchA-ui-vty0-4]authentication-modepassword4．设置登陆验证的password为明文密码”huawei”[SwitchA-ui-vty0-4]setauthenticationpasswordsimplehuawei5．配置登陆用户的级别为最高级别3(缺省为级别1)[SwitchA-ui-vty0-4]userprivilegelevel3TELNETRADIUS验证方式配置1．配置TELNET登陆的ip地址(与上面账号+密码登陆方式相同)2．进入用户界面视图[SwitchA]user-interfacevty043．配置远端用户名和口令认证[SwitchA-ui-vty0-4]authentication-modescheme4．配置RADIUS认证方案，名为”cams”[SwitchA]radiusschemecams5．配置RADIUS认证服务器地址192.168.0.31[SwitchA-radius-cams]primaryauthentication192.168.0.3118126．配置交换机与认证服务器的验证口令为”huawei”[SwitchA-radius-cams]keyauthenticationhuawei7．送往RADIUS的报文不带域名[SwitchA-radius-cams]user-name-formatwithout-domain
8．创建（进入）一个域，名为”huawei”[SwitchA]domainhuawei9．在域”huawei”中引用名为”cams”的认证方案[SwitchA-isp-huawei]radius-schemecams10．将域”huawei”配置为缺省域[SwitchA]domaindefaultenableHuaweiTELNET访问控制配置1．配置访问控制规则只允许192.1.1.0/24网段登录[SwitchA]aclnumber2000[SwitchA-acl-basic-2000]ruledenysourceany[SwitchA-acl-basic-2000]rulepermitsource192.1.1.00.0.0.2552．配置只允许符合ACL2000的IP地址登录交换机[SwitchA]user-interfacevty04[SwitchA-ui-vty0-4]acl2000inbound3．补充说明：�TELNET访问控制配置是在以上三种验证方式配置完成的基础上进行的配置；�2TELNET登陆主机与交换机不是直连的情况下需要配置默认路由。H3CS3600S5600系列交换机TELNET配置流程账号+密码方式登陆1．配置TELNET登陆的ip地址
[SwitchA-ui-vty0-4]authentication-modescheme4．配置登陆用户的级别为最高级别3(缺省为级别1)[SwitchA-ui-vty0-4]userprivilegelevel35．添加TELNET管理的用户，用户类型为”telnet”，用户名为”huawei”，密码为”admin”[SwitchA]local-userhuawei[SwitchA-luser-huawei]service-typetelnetlevel3[SwitchA-luser-huawei]passwordsimpleadmin仅密码方式登陆1．配置TELNET登陆的ip地址(与上面账号+密码登陆方式相同)2．进入用户界面视图[SwitchA]user-interfacevty043．设置认证方式为密码验证方式[SwitchA-ui-vty0-4]authentication-modepassword4．设置登陆验证的password为明文密码”huawei”[SwitchA-ui-vty0-4]setauthenticationpasswordsimplehuawei5．配置登陆用户的级别为最高级别3(缺省为级别1)[SwitchA-ui-vty0-4]userprivilegelevel3TELNETRADIUS验证方式配置(以使用华为3Com公司开发的CAMS作为RADIUS服务器为例)1．配置TELNET登陆的ip地址(与上面账号+密码登陆方式相同)2．进入用户界面视图[SwitchA]user-interfacevty043．配置远端用户名和口令认证[SwitchA-ui-vty0-4]authentication-modescheme4．配置RADIUS认证方案，名为”cams”[SwitchA]radiusschemecams5．配置RADIUS认证服务器地址192.168.0.31[SwitchA-radius-cams]primaryauthentication192.168.0.3118126．配置交换机与认证服务器的验证口令为”huawei”
[SwitchA-radius-cams]keyauthenticationhuawei7．送往RADIUS的报文不带域名[SwitchA-radius-cams]user-name-formatwithout-domain8．创建（进入）一个域，名为”huawei”[SwitchA]domainhuawei9．在域”huawei”中引用名为”cams”的认证方案[SwitchA-isp-huawei]radius-schemecams10．将域”huawei”配置为缺省域[SwitchA]domaindefaultenableHuaweiTELNET访问控制配置1．配置访问控制规则只允许192.1.1.0/24网段登录[SwitchA]aclnumber2000[SwitchA-acl-basic-2000]ruledenysourceany[SwitchA-acl-basic-2000]rulepermitsource192.1.1.00.0.0.2552．配置只允许符合ACL2000的IP地址登录交换机[SwitchA]user-interfacevty04[SwitchA-ui-vty0-4]acl2000inbound3．补充说明：��TELNET登陆主机与交换机不是直连的情况下需要配置默认路由；在交换机上增加superpassword(缺省情况下，从VTY用户界面登录后的级别为1级，无法对设备进行配置操作。必须要将用户的权限设置为最高级别3，才可以进入系统视图并进行配置操作。低级别用户登陆交换机后，需输入superpassword改变自己的级别)例如，配置级别3用户的superpassword为明文密码”super3”：[SwitchA]superpasswordlevel3simplesuper33H3CS5500-SIS3610S5510系列交换机TELNET配置流程1．补充说明：�由于H3CS5500-SIS3610S5510系列交换机采用全新的ComwareV5平台，命令行稍有改动。在采用上述配置的基础上，只要在系统视图下增加命令：[SwitchA]telnetserverenable即可。四配置关键点：
1．三层交换机，可以有多个三层虚接口，它的管理VLAN可以是任意一个具有三层接口并配置了IP地址的VLAN，而二层交换机，只有一个二层虚接口，它的管理VLAN即是对应三层虚接口并配置了IP地址的VLAN；2．交换机缺省的TELNET认证模式是密码认证，如果没有在交换机上配置口令，当TELNET登录交换机时，系统会出现”passwordrequired,butnoneset.”的提示；3．TELNET登陆可以应用windows自带的dos、超级终端，也可以应用别的telnet软件进行登陆。交换机基于端口VLAN应用配置一组网需求：PC1和PC2分别连接到交换机的端口E1/0/1和E1/0/2，端口分别属于VLAN10和VLAN20。二组网图：三配置步骤：1方法11．创建（进入）VLAN10，将E1/0/1加入到VLAN10[SwitchA]vlan10[SwitchA-vlan10]portEthernet1/0/12．创建（进入）VLAN20，将E1/0/2加入到VLAN20[SwitchA]vlan20[SwitchA-vlan20]portEthernet1/0/2方法21．进入以太网端口E1/0/1的配置视图[SwitchA]interfaceEthernet1/0/1
2．配置端口E1/0/1的PVID为10[SwitchA-Ethernet1/0/1]portaccessvlan103．进入以太网端口E1/0/1的配置视图[SwitchA]interfaceEthernet0/24．配置端口E1/0/2的PVID为20[SwitchA-Ethernet1/0/2]portaccessvlan20四配置关键点：无Web管理的配置五组网需求：PC通过IE浏览器对SwitchA进行管理。六组网图：作为Web登陆主机的PC与SwitchA之间通过局域网互连（也可以直连），PC可以ping通SwitchA。七配置步骤：1H3CS3100-SI-SIS5100系列交换机Web配置流程1．确认WEB管理文件已经在交换机flash中
B管理的用户，”，”，”3．添加WEWEB用户类型为”telnettelnet”用户名为”huaweihuawei”密码为”adminadmin”[SwitchA]local-userhuawei[SwitchA-luser-huawei]service-typetelnetlevel3[SwitchA-luser-huawei]passwordsimpleadmin2H3CS3600S5600系列交换机Web配置流程1．确认WEB管理文件已经在交换机flash中
�配置跟上述配置完全一致，但是不需要在flash中有web管理的文件，因为该文件已经被集成在vrp软件版本中了，只要按照上述的配置作就可以了。八配置关键点：1．对于S3100-SIS5100系列二层交换机，配置管理VLAN时必须保证没有别的VLAN虚接口；2．在将WEB管理文件载入交换机flash时，不要将文件进行解压缩，只需将完整的文件载入交换机即可(向交换机flash载入WEB管理文件的方法，请参考本配置实例中交换机的系统管理配置章节)。VLAN接口动态获取IP地址配置九组网需求：1．SwitchA为二层交换机，管理VLAN为VLAN10，SwitchA的VLAN接口10动态获取IP地址；2．SwitchA的以太网端口E1/0/1为Trunk端口，连接到SwitchB，同时SwitchB提供DHCPServer功能。十组网图：十一4配置步骤：SwitchA配置1．将E0/1端口设为trunk,并允许所有的vlan通过[SwitchA-Ethernet1/0/1]portlink-typetrunk[SwitchA-Ethernet1/0/1]porttrunkpermitvlanall2．创建（进入）VLAN10[SwitchA]vlan10
3．创建（进入）VLAN接口10[SwitchA]interfaceVlan-interface104．为VLAN接口10配置IP地址[SwitchA-Vlan-interface10]ipaddressdhcp-allocSwitchB配置请参考DHCPServer配置部分十二配置关键点：1．二层交换机只允许设置一个VLAN虚接口，在创建VLAN10的虚接口前需要保证没有别的VLAN虚接口；2．虽然交换机的VLAN接口动态获取了IP地址，但是不能获得网关地址，因此还需要在交换机上手工添加静态默认路由。流限速的配置十三组网需求：在交换机的Ethernet1/0/1口的入方向设置流量限速，限定速率为1Mbps（1024Kbps）。十四组网图：十五5配置步骤：H3C5100系列交换机典型访问控制列表配置1．配置acl，定义符合速率限制的数据流[SwitchA]aclnumber4000[SwitchA-acl-link-4000]rulepermitingressanyegressany2．对端口E1/0/1的入方向报文进行流量限速，限制到1Mbps
[SwitchA-Ethernet1/0/1]traffic-limitinboundlink-group40001exceeddrop配置关键点：无自定义ACL的配置十六组网需求：配置自定义ACL，通过匹配报文对应的协议号、MAC地址及IP地址等字段，过滤攻击主机发出的冒充网关的ARP报文。十七组网图：十八配置步骤：H3C3600的配置1．定义5000acl[Switch]aclnumber50002．把整个端口arp协议报文中源ip地址为192.168.0.1的ARP报文禁掉（16和32分别是协议字段和源IP字段的偏移量）[Switch-acl-user-5000]rule0deny0806ffff16c0a80001ffffffff323．允许arp协议报文源mac地址（偏移量为26）是000f-e226-233c（网关）的arp报文通过[Switch-acl-user-5000]rule1permit0806ffff16000fe226233cffffffffffff26[Switch-acl-user-5000]quit4．端口下下发创建的ACL
[Switch]interfaceEthernet1/0/1[Switch-Ethernet1/0/1]packet-filterinbounduser-group5000H3C5600的配置1．定义5000acl[Switch]aclnumber50002．把整个端口arp协议报文源ip地址为192.168.0.1的ARP报文禁掉[Switch-acl-user-5000]rule0deny0806ffff20c0a80001ffffffff363．允许arp协议报文中源mac地址是000f-e226-233c的arp报文通过[Switch-acl-user-5000]rule1permit0806ffff20000fe226233cffffffffffff32[Switch-acl-user-5000]quit4．端口下下发创建的ACL[Switch]interfaceEthernet1/0/1[Switch-Ethernet1/0/1]packet-filterinbounduser-group5000H3C36105510的配置1．定义5000acl[Switch]aclnumber50002．定义匹配的ACL规则，匹配arp报文[Switch-acl-user-5000]ruledenyl20806ffff123．配置扩展流模板bbb[Switch]flow-templatebbbextendl21224．在端口E1/0/1上应用流模板bbb[Switch]interfaceEthernet1/0/1[Switch-Ethernet1/0/1]flow-templatebbb[Switch-Ethernet1/0/1]quit配置关键点：1．如果开启了QinQ功能后，不建议应用用户自定义acl；2．H3C3100-SI51005500-SI不支持5000-5999的acl，H3C3610及5510因为与流模板冲突，无法下发以上防ARP的ACL，需要配置自定义流模板。
交换机Trunk端口配置十九组网需求：1．SwitchA与SwitchB用trunk互连，相同VLAN的PC之间可以互访，不同VLAN的PC之间禁止互访；2．PC1与PC2之间在不同VLAN，通过设置上层三层交换机SwitchB的VLAN接口10的IP地址为10.1.1.254/24，VLAN接口20的IP地址为20.1.1.254/24可以实现VLAN间的互访。二十组网图：1．VLAN内互访，VLAN间禁访2．通过三层交换机实现VLAN间互访二十一配置步骤：6实现VLAN内互访VLAN间禁访配置过程SwitchA相关配置：1．创建（进入）VLAN10，将E0/1加入到VLAN10[SwitchA]vlan10[SwitchA-vlan10]portEthernet0/1
2．创建（进入）VLAN20，将E0/2加入到VLAN20[SwitchA]vlan20[SwitchA-vlan20]portEthernet0/23．将端口G1/1配置为Trunk端口，并允许VLAN10和VLAN20通过[SwitchA]interfaceGigabitEthernet1/1[SwitchA-GigabitEthernet1/1]portlink-typetrunk[SwitchA-GigabitEthernet1/1]porttrunkpermitvlan1020SwitchB相关配置：1．创建（进入）VLAN10，将E0/10加入到VLAN10[SwitchB]vlan10[SwitchB-vlan10]portEthernet0/102．创建（进入）VLAN20，将E0/20加入到VLAN20[SwitchB]vlan20[SwitchB-vlan20]portEthernet0/203．将端口G1/1配置为Trunk端口，并允许VLAN10和VLAN20通过[SwitchB]interfaceGigabitEthernet1/1[SwitchB-GigabitEthernet1/1]portlink-typetrunk[SwitchB-GigabitEthernet1/1]porttrunkpermitvlan10207通过三层交换机实现VLAN间互访的配置SwitchA相关配置：1．创建（进入）VLAN10，将E0/1加入到VLAN10[SwitchA]vlan10[SwitchA-vlan10]portEthernet0/12．创建（进入）VLAN20，将E0/2加入到VLAN20[SwitchA]vlan20[SwitchA-vlan20]portEthernet0/23．将端口G1/1配置为Trunk端口，并允许VLAN10和VLAN20通过[SwitchA]interfaceGigabitEthernet1/1[SwitchA-GigabitEthernet1/1]portlink-typetrunk[SwitchA-GigabitEthernet1/1]porttrunkpermitvlan1020SwitchB相关配置：
1．创建VLAN10[SwitchB]vlan102．设置VLAN10的虚接口地址[SwitchB]interfacevlan10[SwitchB-int-vlan10]ipaddress10.1.1.254255.255.255.03．创建VLAN20[SwitchB]vlan204．设置VLAN20的虚接口地址[SwitchB]interfacevlan20[SwitchB-int-vlan20]ipaddress20.1.1.254255.255.255.05．将端口G1/1配置为Trunk端口，并允许VLAN10和VLAN20通过[SwitchA]interfaceGigabitEthernet1/1[SwitchA-GigabitEthernet1/1]portlink-typetrunk[SwitchA-GigabitEthernet1/1]porttrunkpermitvlan1020二十二配置关键点：无交换机端口链路类型介绍二十三交换机端口链路类型介绍交换机以太网端口共有三种链路类型：Access、Trunk和Hybrid。1．Access类型的端口只能属于1个VLAN，一般用于连接计算机的端口；2．Trunk类型的端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，一般用于交换机之间连接的端口；3．Hybrid类型的端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。其中，Hybrid端口和Trunk端口的相同之处在于两种链路类型的端口都可以允许多个VLAN的报文发送时打标签；不同之处在于Hybrid端口可以允许多个VLAN的报文发送时不打标签，而Trunk端口只允许缺省VLAN的报文发送时不打标签。三种类型的端口可以共存在一台以太网交换机上，但Trunk端口和Hybrid端口之间不能直接切换，只能先设为Access端口，再设置为其他类型端口。例如：Trunk端口不能直接被设置为Hybrid端口，只能先设为Access端口，再设置为Hybrid端口。
二十四各类型端口使用注意事项配置Trunk端口或Hybrid端口，并利用Trunk端口或Hybrid端口发送多个VLAN报文时一定要注意：本端端口和对端端口的缺省VLANID(端口的PVID)要保持一致。当在交换机上使用isolate-user-vlan来进行二层端口隔离时，参与此配置的端口的链路类型会自动变成Hybrid类型。Hybrid端口的应用比较灵活，主要为满足一些特殊应用需求。此类需求多为在无法下发访问控制规则的交换机上，利用Hybrid端口收发报文时的处理机制，来完成对同一网段的PC机之间的二层访问控制。二十五各类型端口在接收和发送报文时的处理1．端口接收报文时的处理：端口接收到的报文类型报文帧结构中携带VLAN报文帧结构中不携带标记Access端口丢弃该报文VLAN标记为该报文打上VLAN标记为本端口的PVIDTrunk端口判断本端口是否允许携同上带该VLAN标记的报文通过。如果允许则报文携带原有VLAN标记进行转发，否则丢弃该报文Hybrid端口同上同上2．端口发送报文时的处理：Access端口Trunk端口剥掉报文所携带的VLAN标记，进行转发首先判断报文所携带的VLAN标记是否和端口的PVID相等。如果相等，则剥掉报文所携带的VLAN标记，进行转发；否则报文将携带原有的VLAN标记进行转发Hybrid端口首先判断报文所携带的VLAN标记在本端口需要做怎样的处理。如果是untagged方式转发，则处理方
式同Access端口；如果是tagged方式转发，则处理方式同Trunk端口交换机DHCPSever的配置二十六组网需求：1．在交换机上配置DHCPServer，使下面的用户动态获取相应网段的IP地址；2．DHCPServer的IP地址是192.168.0.1/24，PC机接在E1/0/2口上。二十七组网图：二十八配置步骤：1．创建（进入）VLAN2[Switch]vlan22．将E1/0/1端口加入VLAN2[Switch-vlan2]portEthernet1/0/23．进入VLAN接口2[Switch-vlan2]intvlan24．为VLAN2配置IP地址[Switch-Vlan-interface2]ipaddress192.168.0.1255.255.255.05．全局使能DHCP功能[Switch]dhcpenable6．创建DHCP地址池并进入DHCP地址池视图[Switch]dhcpserverip-poolh3c7．配置动态分配的IP地址范围[Switch-dhcp-pool-h3c]network192.168.0.1mask255.255.255.08．配置网关地址[Switch-dhcp-pool-h3c]gateway-list192.168.0.19．禁止将PC机的网关地址分配给用户[Switch]dhcpserverforbidden-ip192.168.0.110．指定vlan2虚接口工作在全局地址池模式
[Switch]dhcpselectglobalinterfacevlan-interface2二十九配置关键点：1．需保证虚接口地址在地址池中，这样VLAN下接的PC机方能自动获得192.168.0.0/24网段的IP地址；2．对于DHCPServer设备，可以使用全局地址池和接口地址池进行地址分配，这两种配置方法的适用情况是：如果DHCPClient和DHCPServer在同一网段，这两种配置方法都适用，如果DHCPClient与DHCPServer不在同一网段，那么只能用基于全局地址池的DHCPServer配置。当虚接口工作在全局地址池模式时使用以下命令：[Switch]dhcpselectglobalall3．Vlan接口默认情况下以全局地址池方式进行地址分配，因此当vlan接口配置了全局地址池方式进行地址分配后，查看交换机当前配置时，在相应的vlan接口下无法看到有关DHCP的配置；4．此系列交换机的具体型号包括：QuidwayS3500、QuidwayS3900-EI、QuidwayS5600、H3CS3600-EI、H3CS5600系列交换机。交换机DHCPRelay的配置三十组网需求：在交换机上配置DHCPRelay，使下面的用户动态获取相应网段的IP地址。三十一组网图：三十二配置步骤：1．全局使能DHCP功能[H3C]dhcpenable2．指定DHCPServer组1所采用的DHCPServer的IP地址[H3C]dhcp-server1ip192.168.0.13．配置DHCPRelay到DHCPServer的接口地址[H3C]vlan2[H3C-vlan2]porte1/0/2
[H3C]intvlan2[H3C-Vlan-interface2]ipaddress192.168.0.2255.255.255.04．配置DHCPRelay到PC的接口地址[H3C]vlan3[H3C-vlan3]porte1/0/3[H3C]intvlan3[H3C-Vlan-interface3]ipaddress192.168.1.1255.255.255.05．指定VLAN接口归属到DHCPServer组1[H3C-Vlan-interface3]dhcp-server1三十三配置关键点：1．必须保证路由可达；2．保证动态获得的IP地址在地址池中；3．此系列交换机的具体型号包括：QuidwayS3500、QuidwayS3900、QuidwayS5600、H3CS3600和H3CS5600系列交换机。防ARP攻击配置举例关键词：ARP、DHCPSnooping摘要：本文主要介绍如何利用以太网交换机DHCP监控模式下的防ARP攻击功能，防止校园网中常见的“仿冒网关”、“欺骗网关”、“欺骗终端用户”、ARP泛洪等攻击形式。同时，详细描述了组网中各个设备的配置步骤和配置注意事项，指导用户进行实际配置。缩略语：ARP（AddressResolutionProtocol，地址解析协议）MITM（Man-In-The-Middle，中间人攻击）
第1章ARP攻击防御功能介绍近来，许多校园网络都出现了ARP攻击现象。严重者甚至造成大面积网络不能正常访问外网，学校深受其害。H3C公司根据ARP攻击的特点，提出了“全面防御，模块定制”的ARP攻击防御理念，并给出了两种解决方案。(1)DHCP监控模式下的ARP攻击防御解决方案这种方式适合动态分配IP地址的网络场景，需要接入交换机支持DHCPSnooping功能。通过全网部署，可以有效的防御“仿冒网关”、“欺骗网关”、“欺骗终端用户”、“ARP中间人攻击”、“ARP泛洪攻击”等校园网中常见的ARP攻击方式；且不需要终端用户安装额外的客户端软件，简化了网络配置。(2)认证方式下的ARP攻击防御解决方案这种方式适合网络中动态分配IP地址和静态分配IP地址共存的网络场景，且只能防御“仿冒网关”的ARP攻击方式。它不需要在接入交换机上进行特殊的防攻击配置，只需要客户端通过认证协议（802.1x）登录网络，认证服务器（如CAMS服务器）会识别客户端，并下发网关的IP/MAC对应关系给客户端，来防御“仿冒网关”攻击。1.1ARP攻击简介按照ARP协议的设计，一个主机即使收到的ARP应答并非自身请求得到的，也会将其IP地址和MAC地址的对应关系添加到自身的ARP映射表中。这样可以减少网络上过多的ARP数据通信，但也为“ARP欺骗”创造了条件。校园网中，常见的ARP攻击有如下几中形式。(1)仿冒网关攻击者伪造ARP报文，发送源IP地址为网关IP地址，源MAC地址为伪造的MAC地址的ARP报文给被攻击的主机，使这些主机更新自身ARP表中网关IP地址与MAC地址的对应关系。这样一来，主机访问网关的流量，被重定向到一个错误的MAC地址，导致该用户无法正常访问外网。
Gateway Switch网关的MAC更新了攻击者Host A图1-1“仿冒网关”攻击示意图(2)欺骗网关攻击者伪造ARP报文，发送源IP地址为同网段内某一合法用户的IP地址，源MAC地址为伪造的MAC地址的ARP报文给网关；使网关更新自身ARP表中原合法用户的IP地址与MAC地址的对应关系。这样一来，网关发给该用户的所有数据全部重定向到一个错误的MAC地址，导致该用户无法正常访问外网。GatewayHost A的MAC更新了 Switch攻击者Host A图1-2“欺骗网关”攻击示意图(3)欺骗终端用户攻击者伪造ARP报文，发送源IP地址为同网段内某一合法用户的IP地址，源MAC地址为伪造的MAC地址的ARP报文给同网段内另一台合法主机；使后者更新自身ARP表中原合法用户的IP地址与MAC地址的对应关系。这样一来，网段内的其他主机发给该用户的所有数据都被重定向到错误的MAC地址，同网段内的用户无法正常互访。
Gateway SwitchHost A的MAC更新了Host A攻击者Host C图1-3“欺骗终端用户”攻击示意图(4)“中间人”攻击ARP“中间人”攻击，又称为ARP双向欺骗。如图1-4所示，HostA和HostC通过Switch进行通信。此时，如果有恶意攻击者（HostB）想探听HostA和HostC之间的通信，它可以分别给这两台主机发送伪造的ARP应答报文，使HostA和HostC用MAC_B更新自身ARP映射表中与对方IP地址相应的表项。此后，HostA和HostC之间看似“直接”的通信，实际上都是通过黑客所在的主机间接进行的，即HostB担当了“中间人”的角色，可以对信息进行了窃取和篡改。这种攻击方式就称作“中间人（Man-In-The-Middle）攻击”。Gateway Switch伪造的ARP应答报文伪造的ARP应答报文Host AHost B(攻击者)st B(Host C图1-4ARP“中间人”攻击示意图(5)ARP报文泛洪攻击恶意用户利用工具构造大量ARP报文发往交换机的某一端口，导致CPU负担过重，造成其他功能无法正常运行甚至设备瘫痪。1.1ARP攻击防御H3C公司根据ARP攻击的特点，给出了DHCP监控模式下的ARP攻击防御解决方案和认证模式下的ARP攻击防御解决方案。前者通过接入交换机上开启DHCP
Snooping功能、配置IP静态绑定表项、ARP入侵检测功能和ARP报文限速功能，可以防御常见的ARP攻击；后者不需要在接入交换机上进行防攻击配置，而需要通过CAMS服务器下发网关的IP/MAC对应关系给客户端，防御“仿冒网关”攻击。详见表1-1。表1-1常见网络攻击和防范对照表攻击方式防御方法动态获取IP地址的用户进行“仿冒网关”、“欺配置DHCPSnooping、ARP入侵检测功能骗网关”、“欺骗终端用户”、“ARP中间人攻击”手工配置IP地址的用户进行“仿冒网关”、“欺配置IP静态绑定表项、ARP入侵检测功能骗网关”、“欺骗终端用户”、“ARP中间人攻击”ARP泛洪攻击动态和手工配置IP地址的用户进行“仿冒网关”攻击配置ARP报文限速功能配置认证模式的ARP攻击防御解决方案(CAMS下发网关配置功能)1.1.1DHCPSnooping功能DHCPSnooping是运行在二层接入设备上的一种DHCP安全特性。(1)(2)通过监听DHCP报文，记录DHCP客户端IP地址与MAC地址的对应关系；通过设置DHCPSnooping信任端口，保证客户端从合法的服务器获取IP地址。�信任端口正常转发接收到的DHCP报文，从而保证了DHCP客户端能够从DHCP服务器获取IP地址。不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文后，丢弃该报文，从而防止了DHCP客户端获得错误的IP地址。��说明：目前H3C低端以太网交换机上开启DHCPSnooping功能后，所有端口默认被配置为DHCPSnooping非信任端口。为了使DHCP客户端能从合法的DHCP服务器获取IP地址，必须将与合法DHCP服务器相连的端口设置为信任端口，设置的信任端口和与DHCP客户端相连的端口必须在同一个VLAN内。1.1.2IP静态绑定功能DHCPSnooping表只记录了通过DHCP方式动态获取IP地址的客户端信息，如果用户手工配置了固定IP地址，其IP地址、MAC地址等信息将不会被DHCPSnooping表记录。因此，交换机支持手工配置IP静态绑定表的表项，实现用户的IP地址、MAC地址及接入交换机连接该用户的端口之间的绑定关系。这样，该固定用户的报文就不会被ARP入侵检测功能过滤。
1.1.1ARP入侵检测功能H3C低端以太网交换机支持将收到的ARP（请求与回应）报文重定向到CPU，结合DHCPSnooping安全特性来判断ARP报文的合法性并进行处理，具体如下。�当ARP报文中的源IP地址及源MAC地址的绑定关系与DHCPSnooping表项或者手工配置的IP静态绑定表项匹配，且ARP报文的入端口及其所属VLAN与DHCPSnooping表项或者手工配置的IP静态绑定表项一致，则为合法ARP报文，进行转发处理。当ARP报文中的源IP地址及源MAC地址的绑定关系与DHCPSnooping表项或者手工配置的IP静态绑定表项不匹配，或ARP报文的入端口，入端口所属VLAN与DHCPSnooping表项或者手工配置的IP静态绑定表项不一致，则为非法ARP报文，直接丢弃。��说明：��DHCPSnooping表只记录了通过DHCP方式动态获取IP地址的客户端信息。如果固定IP地址的用户需要访问网络，必须在交换机上手工配置IP静态绑定表的表项，即：用户的IP地址、MAC地址及连接该用户的端口之间的绑定关系。实际组网中，为了解决上行端口接收的ARP请求和应答报文能够通过ARP入侵检测问题，交换机支持通过配置ARP信任端口，灵活控制ARP报文检测功能。对于来自信任端口的所有ARP报文不进行检测，对其它端口的ARP报文通过查看DHCPSnooping表或手工配置的IP静态绑定表进行检测。1.1.2ARP报文限速功能H3C低端以太网交换机支持端口ARP报文限速功能，使受到攻击的端口暂时关闭，来避免此类攻击对CPU的冲击。开启某个端口的ARP报文限速功能后，交换机对每秒内该端口接收的ARP报文数量进行统计，如果每秒收到的ARP报文数量超过设定值，则认为该端口处于超速状态（即受到ARP报文攻击）。此时，交换机将关闭该端口，使其不再接收任何报文，从而避免大量ARP报文攻击设备。同时，设备支持配置端口状态自动恢复功能，对于配置了ARP限速功能的端口，在其因超速而被交换机关闭后，经过一段时间可以自动恢复为开启状态。1.1.3CAMS下发网关配置功能CAMS（ComprehensiveAccessManagementServer，综合访问管理服务器）作为网络中的业务管理核心，可以与以太网交换机等网络产品共同组网，完成用户的认证、授权、计费和权限管理。如图1-5所示。
CAMSIP networkGatewaySwitch ASwtich BHost AHost BHost CHost D图1-1CAMS组网示意图认证模式的ARP攻击防御解决方案，不需要在接入交换机上进行特殊的防攻击配置，只需要客户端通过802.1x认证登录网络，并在CAMS上进行用户网关的设置，CAMS会通过接入交换机，下发网关的IP/MAC对应关系给客户端，来防御“仿冒网关”攻击。1.2ARP攻击防御配置指南表1-1ARP攻击防御配置任务-操作进入系统视图进入以太网端口视图设置指定端口为DHCPSnooping信任端口退出至系统视图命令system-viewinterfaceinterface-typeinterface-number--必选dhcp-snoopingtrust缺省情况下，交换机的端口均为不信任端口-必选开启交换机DHCPSnooping功能dhcp-snooping缺省情况下，以太网交换机的DHCPSnooping功能处于禁止状态说明配置DHCPSnooping功能记录DHCP客户端的IP/MAC对应关系quit
任务操作进入以太网端口视图命令interfaceinterface-typeinterface-numberipsourcestaticbindingip-addressip-address[mac-addressmac-address]quitinterfaceinterface-typeinterface-numberarpdetectiontrust-可选说明配置指定端口的IP静态绑定表项配置IP静态绑定表项缺省情况下，没有配置IP静态绑定表项--可选退出至系统视图进入以太网端口视图配置ARP信任端口缺省情况下，端口为ARP非信任端口--必选配置ARP入侵检测功能，防御常见的ARP攻击退出至系统视图进入VLAN视图quitvlanvlan-id开启ARP入侵检测功能arpdetectionenable缺省情况下，指定VLAN内所有端口的ARP入侵检测功能处于关闭状态-必选退出至系统视图quit开启ARP报文限速功能arprate-limitenable缺省情况下，端口的ARP报文限速功能处于关闭状态可选配置允许通过端口的ARP报文的最大速率arprate-limitrate缺省情况下，端口能通过的ARP报文的最大速率为15pps-可选配置ARP限速功能退出至系统视图开启因ARP报文超速而被关闭的端口的状态自动恢复功能quitarpprotective-downrecoverenable缺省情况下，交换机的端口状态自动恢复功能处于关闭状态可选配置因ARP报文超速而被关闭的端口的端口状态自动恢复时间arpprotective-downrecoverintervalinterval缺省情况下，开启端口状态自动恢复功能后，交换机的端口状态自动恢复时间为300秒
�说明：有关各款交换机支持的ARP攻击防御功能的详细介绍和配置命令，请参见各产品的操作、命令手册。1.3支持ARP攻击防御功能的产品列表表1-2支持ARP攻击防御功能的产品列表功能产品型号S5600(Release1602)S5100-EI(Release2200)S5100-SI(Release2200)S3600-EI(Release1602)S3600-SI(Release1602)S3100-EI(Release2104)S3100-52P(Release1602)E352/E328(Release1602)E152(Release1602)E126A(Release2104)DHCPSnooping����������ARP入侵检测����������IP静态绑定����������ARP报文限速�����������说明：有关各款交换机支持的防ARP攻击功能的详细介绍，请参见各产品的操作手册。
第2章ARP攻击防御配置举例2.1DHCP监控模式下的ARP攻击防御配置举例2.1.1组网需求某校园网内大部分用户通过接入设备连接网关和DHCP服务器，动态获取IP地址。管理员通过在接入交换机上全面部署ARP攻击防御相关特性，形成保护屏障，过滤掉攻击报文。详细网络应用需求分析如下。�校园网用户分布在两个区域Hostarea1和Hostarea2，分别属于VLAN10和VLAN20，通过接入交换机SwitchA和SwitchB连接到网关Gateway，最终连接外网和DHCP。Hostarea1所在子网内拥有一台TFTP服务器，其IP地址为192.168.0.10/24，MAC地址为000d-85c7-4e00。为防止仿冒网关、欺骗网关等ARP攻击形式，开启SwitchA上VLAN10内、SwitchB上VLAN20内ARP入侵检测功能，设置SwitchA和SwitchB的端口Ethernet1/0/1为ARP信任端口。为防止ARP泛洪攻击，在SwitchA和SwitchB所有直接连接客户端的端口上开启ARP报文限速功能。同时，开启因ARP报文超速而被关闭的端口的状态自动恢复功能，并设置恢复时间间隔100秒。���
2.1.2组网图DHCP serverIP networkEth1/0/3Vlan-int 10n-t 1192.168.0.1/24Eth1/0/1Vlan-int 20t 2192.168.1.1/24Eth1/0/2GatewayVLAN101Host areaHost area1Switch ASwtich BEth1/0/1Eth1/0/1Eth1/0/4VLAN202Host areaHost area2Eth1/0/4Eth1/0/2Eth1/0/3Eth1/0/2Eth1/0/3TFTP serverP:192.168.0.10/24Host AHost BHost CHost DHost E图2-1DHCP监控模式下的ARP攻击防御组网示意图2.1.3配置思路�在接入交换机SwitchA和SwitchB上开启DHCPsnooping功能，并配置与DHCP服务器相连的端口为DHCPsnooping信任端口。在接入交换机SwitchA上为固定IP地址的TFTP服务器配置对应的IP静态绑定表项。在接入交换机SwitchA和SwitchB对应VLAN上开启ARP入侵检测功能，并配置其上行口为ARP信任端口。在接入交换机SwitchA和SwitchB直接连接客户端的端口上配置ARP报文限速功能，同时全局开启因ARP报文超速而被关闭的端口的状态自动恢复功能。���2.1.4配置步骤1.使用的版本本举例中使用的接入交换机SwitchA和SwitchB为E126A系列以太网交换机。
2.配置客户端动态获取IP地址。图1-1配置客户端自动获取IP地址示意图3.配置SwitchA#创建VLAN10，并将端口Ethernet1/0/1到Ethernet1/0/4加入VLAN10中。
[SwitchA]vlan10[SwitchA-vlan10]arpdetectionenable[SwitchA-vlan10]quit#开启SwitchA的端口Ethernet1/0/2、Ethernet1/0/3上的ARP报文限速功能。[SwitchA]interfaceEthernet1/0/2[SwitchA-Ethernet1/0/2]arprate-limit[SwitchA-Ethernet1/0/2]arprate-limit[SwitchA-Ethernet1/0/2]quit[SwitchA]interfaceEthernet1/0/3[SwitchA-Ethernet1/0/3]arprate-limit[SwitchA-Ethernet1/0/3]arprate-limit[SwitchA-Ethernet1/0/3]quitenable20enable20#配置端口状态自动恢复功能，恢复时间间隔为100秒。[SwitchA]arpprotective-downrecoverenable[SwitchA]arpprotective-downrecoverinterval100#配置网关的缺省路由。[SwitchA]iproute-static0.0.0.00192.168.0.14.配置SwitchB#创建VLAN20，并将相应端口加入VLAN20中。
#配置网关的缺省路由。[SwitchB]iproute-static0.0.0.00192.168.1.15.配置Gateway
覆盖DHCPSnooping动态表项的内容；如果先配置了IP静态绑定表项，再开启交换机的DHCPSnooping功能，则DHCP客户端不能通过该交换机获取到IP静态绑定表项中已经存在的IP地址。�实际组网中，为了解决上行端口接收的ARP请求和应答报文能够通过ARP入侵检测问题，交换机支持通过配置ARP信任端口，灵活控制ARP报文检测功能。对于来自信任端口的所有ARP报文不进行检测，对其它端口的ARP报文通过查看DHCPSnooping表或手工配置的IP静态绑定表进行检测。建议用户不要在汇聚组中的端口上配置ARP入侵检测、ARP报文限速功能。�1.2认证模式下的ARP攻击防御配置举例1.2.1组网需求某校园网内大部分用户通过接入设备连接网关和外网的服务器。管理员希望通过客户端和服务器间的认证机制，在客户端绑定网关的IP/MAC对应关系，过滤掉仿冒网关的ARP攻击报文。详细网络应用需求分析如下：�接入用户可以通过DHCP自动获取IP地址，也可以手工配置静态IP地址。但需要安装802.1x客户端，即：通过802.1x认证才能访问网络。服务器采用H3C公司的CAMS认证/授权、计费服务器；CAMS通过将网关的IP-MAC对应关系下发到认证客户端，防止用户端的网关仿冒等ARP攻击。接入交换机需要开启802.1x和AAA相关配置。��
1.2.2组网图DHCP serverCAMSIP networkP:20.10.1.1/16Eth1/0/3Vlan-int 10t 1192.168.0.1/24Eth1/0/1Vlan-int 20n-t 2192.168.1.1/24Eth1/0/2P:10.10.1.1/16GatewayVLAN101Host areaHost area1Switch AEth1/0/1Eth1/0/1Eth1/0/4Swtich BVLAN202Host areaHost area2Eth1/0/3Eth1/0/2Eth1/0/2Eth1/0/3Host AHost BHost CHost DHost E图1-2认证模式下的ARP攻击防御组网示意图1.2.3配置思路���用户安装802.1x客户端，即需要通过802.1x认证才能访问网络。接入交换机SwitchA和SwitchB上开启802.1x和AAA相关配置。通过CAMS服务器将网关的IP-MAC对应关系下发到认证客户端，防止用户端的网关仿冒等ARP攻击。1.2.4配置步骤1.配置SwitchA#创建VLAN10，并添加相应端口。
[SwitchA-radius-cams]server-typeextended[SwitchA-radius-cams]quit＃定义ISP域abc，并配置认证采用RADIUS方案cams。[SwitchA]domainabc[SwitchA-isp-abc]radius-schemecams[SwitchA-isp-abc]quit＃将ISP域abc设置为缺省ISP域。[SwitchA]domaindefaultenableabc＃交换机全局开启802.1x功能。[SwitchA]dot1x＃在端口Ethernet1/0/2下开启802.1x功能。[SwitchA]interfaceEthernet1/0/2[SwitchA-Ethernet1/0/2]dot1x[SwitchA-Ethernet1/0/2]quit＃在端口Ethernet1/0/3下开启802.1x功能。[SwitchA]interfaceEthernet1/0/3[SwitchA-Ethernet1/0/3]dot1x[SwitchA-Ethernet1/0/3]quit#配置网关的缺省路由[SwitchA]iproute-static0.0.0.00192.168.0.12.配置SwitchB#创建VLAN20，并添加相应端口。
[SwitchB]interfaceEthernet1/0/2[SwitchB-Ethernet1/0/2]dot1x[SwitchB-Ethernet1/0/2]quit[SwitchB]interfaceEthernet1/0/3[SwitchB-Ethernet1/0/3]dot1x[SwitchB-Ethernet1/0/3]quit[SwitchB]interfaceEthernet1/0/4[SwitchB-Ethernet1/0/4]dot1x[SwitchB-Ethernet1/0/4]quit#配置网关的缺省路由。[SwitchB]iproute-static0.0.0.00192.168.113.配置Gateway
��“基本信息”中设置服务名为“Host”。“认证客户端配置”选择“仅限CAMS配套客户端”；“IP地址获取方式”选择“不限”。图1-4增加服务页面点击确定，成功添加服务类型。(3)添加帐户用户（以组网图中用户“HostA”帐号的创建为例）登录CAMS服务器配置平台，点击左侧的“用户管理”的“帐号用户”，进入“帐户管理”界面。图1-5用户帐户界面点击“增加”按钮后：
��设置用户为“HostA”，密码为“HostA@school”，用户姓名为“HostA”。在“服务信息”一栏，选择服务名称“Host”。图1-6用户开户页面点击确定完成用户添加。(4)接入设备配置登录CAMS服务器配置平台，点击左侧的“系统管理”的“系统配置”，进入“系统配置”界面。图1-7系统配置页面选择修改“接入设备配置”界面。点击页面下方的“增加”按钮，增加配置项。配置接入用户的IP地址，共享密钥等信息，如下图所示。
图1-8增加配置项页面点击确定后，可以看到如下提示：图1-9操作成功提示此时需要返回“系统配置”页面，点击“立即生效”。图1-10系统配置页面的立即生效按钮(5)用户网关配置登录CAMS服务器配置平台，点击左侧的“系统管理”的“系统配置”，进入“系统配置”界面。
图1-11系统配置页面选择修改“用户网关配置”，可以增加或修改网关的地址等信息。图1-12用户网关配置页面点击页面下方的“增加”按钮，增加配置项。（以图2-3中，网关Vlan-interface1接口为例）图1-13用户网关配置列表页面点击“确定”，返回“系统配置”页面，点击“立即生效”。完成用户网关配置。5.配置客户端接入用户PC上需要安装H3C公司iNode客户端产品。具体配置如下。(1)启动客户端
图1-14客户端页面(2)选择“802.1x协议”点击下一步：图1-15新建802.1x连接选择“普通连接”，点击“下一步”。
图1-16选择普通连接(3)设置用户名和密码点击下一步：图1-17设置用户名和密码(4)设置连接属性
点击下一步：图1-18设置连接属性(5)完成连接的创建图1-19连接创建成功(6)启动连接
图1-20启动连接1.2.5注意事项�如果接入用户的网段过多，可能导致无法将全部网关的IP-MAC对应关系下发到认证客户端。CAMS服务器上“用户网关配置”的最大数目，和接入交换机最多支持的网关ARP信息的下发数目，请参考相应的产品规格。接入交换机上RADIUS策略，需要配置为server-typeextended。�
堆叠管理配置三十四组网需求：1．SwitchA作为主堆叠交换机，使用堆叠方式对SwitchB和SwitchC管理；12．SwitchA使用端口G1/1和G2/1上的堆叠模块，分别与SwitchB的G1/G1/1和SwitchC的G1/1上的堆叠模块互连，每个端口都是Trunk端口，并且允许业务VLAN以及管理VLAN100通过。三十五组网图：三十六配置步骤：集群管理默认使用VLAN1作为管理VLAN，可以使用management-vlan命令来修改交换机在集群管理中的管理VLAN。8置SwitchA配置：1．创建VLAN100[SwitchA]vlan1002．将VLAN100配置为管理VLAN[SwitchA]management-vlan1003．进入堆叠端口G1/1，将其配置为trunk端口，并允许管理VLAN100通过[SwitchA]interfaceGigabitEthernet1/1[SwitchA-GigabitEthernet1/1]portlink-typetrunk[SwitchA-GigabitEthernet1/1]porttrunkpermitvlan1004．进入堆叠端口G2/1，将其配置为trunk端口，并允许管理VLAN100通过[SwitchA]interfaceGigabitEthernet1/2Quidway2000-EI、3000和H3C3100-SI、5100、3500系列交换机的配
[SwitchA-GigabitEthernet1/2]portlink-typetrunk[SwitchA-GigabitEthernet1/2]porttrunkpermitvlan1005．配置堆叠管理使用的IP地址范围[SwitchA]stackingip-pool100.1.1.1166．建立堆叠[SwitchA]stackingenableSwitchB配置：1．创建VLAN100[SwitchB]vlan1002．将VLAN100配置为管理VLAN[SwitchB]management-vlan1003．进入堆叠端口G1/1，将其配置为trunk端口，并允许管理VLAN100通过[SwitchB]interfaceGigabitEthernet1/1[SwitchB-GigabitEthernet1/1]portlink-typetrunk[SwitchB-GigabitEthernet1/1]porttrunkpermitvlan1004．建立堆叠[SwitchB]stackingenableSwitchC配置：1．创建VLAN100[SwitchC]vlan1002．将VLAN100配置为管理VLAN[SwitchC]management-vlan1003．进入堆叠端口G1/1，将其配置为trunk端口，并允许管理VLAN100通过[SwitchC]interfaceGigabitEthernet1/1[SwitchC-GigabitEthernet1/1]portlink-typetrunk[SwitchC-GigabitEthernet1/1]porttrunkpermitvlan1004．建立堆叠[SwitchC]stackingenable9H3C3600系列交换机的配置SwitchA配置：1．使能端口G1/1，G1/2的堆叠功能[SwitchA]fabric-portGigabitEthernet1/0/1enable
[SwitchA]fabric-portGigabitEthernet1/0/2enableSwitchB配置：1．使能端口G1/1的堆叠功能[SwitchB]fabric-portGigabitEthernet1/0/1enableSwitchC配置：1．使能端口G1/1的堆叠功能[SwitchC]fabric-portGigabitEthernet1/0/1enable三十七配置关键点：1．在主堆叠交换机上登录从堆叠交换机的命令为：[SwitchA]stackingnum注意该命令只能在主堆叠交换机上使用，如果从某个从堆叠交换机视图切换回主堆叠交换机视图，则只需输入quit即可；2．对于H3C5600系列交换机只要插上专用的堆叠电缆，会自动堆叠无需人工操作集群管理配置三十八组网需求：1．SwitchA作为集群管理交换机，对成员SwitchB和SwitchC进行集群管理；2．SwitchA使用以太网端口E0/1和E0/2，分别与SwitchB和SwitchC的端口E0/24互连，互连端口都是Trunk端口，允许业务VLAN以及管理VLAN100通过；3．此案例同时适用于以下产品：H3C3100-SI、5100、3500、3600、5600、3610、5510系列交换机Quidway3000、2000-EI系列交换机。三十九组网图：
四十配置步骤：集群管理默认使用VLAN1作为管理VLAN，可以使用management-vlan命令来修改交换机在集群管理中的管理VLAN。SwitchA配置：1．创建VLAN100[SwitchA]vlan1002．将VLAN100配置为管理VLAN[SwitchA]management-vlan1003．进入以太网端口E0/1，将其配置为Trunk端口，并允许管理VLAN100通过[SwitchA]interfaceEthernet0/1[SwitchA-Ethernet0/1]portlink-typetrunk[SwitchA-Ethernet0/1]porttrunkpermitvlan1004．进入以太网端口E0/2，将其配置为Trunk端口，并允许管理VLAN100通过[SwitchA]interfaceEthernet0/2[SwitchA-Ethernet0/2]portlink-typetrunk[SwitchA-Ethernet0/2]porttrunkpermitvlan1005．启动集群功能[SwitchA]clusterenable6．进入集群视图，配置集群管理内部使用的IP地址，起始地址为100.1.1.1，共有16个地址[SwitchA]cluster[SwitchA-cluster]ip-pool100.1.1.1255.255.255.240
7．配置集群名字为huawei，并自动建立集群[SwitchA-cluster]buildH3C[H3C_A-cluster]auto-buildSwitchB配置：1．创建VLAN100[SwitchB]vlan1002．将VLAN100配置为管理VLAN[SwitchB]management-vlan1003．进入以太网端口E0/24，将其配置为trunk端口，并允许管理VLAN100通过[SwitchB]interfaceEthernet0/24[SwitchB-Ethernet0/24]portlink-typetrunk[SwitchB-Ethernet0/24]porttrunkpermitvlan1004．启动集群功能[SwitchB]clusterenableSwitchC配置：1．创建VLAN100[SwitchC]vlan1002．将VLAN100配置为管理VLAN[SwitchC]management-vlan1003．进入以太网端口E0/24，将其配置为trunk端口，并允许管理VLAN100通过[SwitchC]interfaceEthernet0/24[SwitchC-Ethernet0/24]portlink-typetrunk[SwitchC-Ethernet0/24]porttrunkpermitvlan1004．启动集群功能[SwitchC]clusterenable四十一配置关键点：1．在管理设备上查看成员设备的命令：[SwitchA]displayclustermember在管理设备上登陆指定的成员设备的命令：