2024年9月21日发(作者：冒梅雪)
一、交换机基本配置
交换机命名：
在项目实施的时候，建议为处于不同位置的交换机命名，便于记忆，可提高后期管理效率。
switch(config)#hostname ruijie //ruijie
为该交换机的名字
交换机配置管理密码：
配置密码可以提高交换机的安全性，另外，
telnet
登录交换机的时候，必须要求有
telnet
管
理密码。
switch (config)#enable secret level 1 0 rg //
配置
telnet
管理密码为
rg
，其中
1
表示
telnet
密码，
0
表示密码不加密
switch (config)#enable secret level 15 0 rg //
配置特权模式下的管理密码
rg
，其中
15
表示为特
权密码
交换机配置管理
IP
switch (config)#interface vlan 1 //
假设管理
VLAN
为
VLAN 1
switch (config-if)#ip address 192.168.1.1 255.255.255.0 //
给管理
VLAN
配置管理
IP
地址
switch (config-if)#no shutdown //
激活管理
IP
，养成习惯，无论配置什么设备，都使用一下这
个命令
交换机配置网关：
switch(config)#ip default-gateway 192.168.1.254 //
假设网关地址为
192.168.1.254
，此命令用户
二层设备。
通过以上几个命令的配置，设备便可以实现远程管理，在项目实施时（尤其是设备位置比较
分散）特别能提高效率。
1.1
接口介质类型配置
锐捷为了降低
SME
客户的总体拥有成本，推出灵活选择的端口形式：电口和光口复用接口，
方便用户根据网络环境选择对应的介质类型。
但光口和电口同时只能用其一，如图
1
，如使用了光口
1F
，则电口
1
不能使用。
接口介质类型的转换：
Switch(config)#interface gigabitethernet 0/1
Switch(config-if)#medium-type fiber //
把接口工作模式改为光口
Switch(config-if)#medium-type copper //
把接口工作模式改为电口
默认情况下，接口是工作在电口模式
在项目实施中，如果光纤模块指示灯不亮，工作模式是否正确也是故障原因之一。
1.2
接口速度
/
双工配置
命令格式：
Switch(config)#interface interface-id //
进入接口配置模式
Switch(config-if)#speed {10 | 100 | 1000 | auto } //
设置接口的速率参数，或者设置为
auto
Switch(config-if)#duplex {auto | full | half} //
设置接口的双工模式
1000
只对千兆口有效；
默认情况下，接口的速率为
auto
，双工模式为
auto
。
配置实例：
实例将
gigabitethernet 0/1
的速率设为
1000M
，双工模式设为全双工：
Switch(config)#interface gigabitethernet 0/1
Switch(config-if)#speed 1000
Switch(config-if)#duplex full
在故障处理的时候，如果遇到规律性的时断时续或掉包，在排除其他原因后，可以考虑是否
和对端设备的速率和双工模式不匹配，尤其是两端设备为不同厂商的时候。
光口不能修改速度和双工配置，只能
auto
。
1.3 VLAN
配置
添加
VLAN
到端口：
在交换机上建立
VLAN
：
Switch (config)#vlan 100 //
建立
VLAN 100
Switch (config)#name ruijie //
该
VLAN
名称为
ruijie
将交换机接口划入
VLAN 100
中：
Switch (config)#interface range f 0/1-48 //range
表示选取了系列端口
1-48
，这个对多个端口进
行相同配置时非常有用
Switch (config-if-range)#switchport access vlan 100 //
将接口划到
VLAN 100
中
Switch (config-if-range)#no switchport access vlan //
将接口划回到默认
VLAN 1
中，即端口初
始配置
交换机端口的工作模式：
Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport mode access //
该端口工作在
access
模式下
Switch(config-if)#switchport mode trunk //
该端口工作在
trunk
模式下
如果端口下连接的是
PC
，则该端口一般工作在
access
模式下，默认配置为
access
模式。
如果端口是上联口，且交换机有划分多个
VLAN
，则该端口工作在
TRUNK
模式下。
如图
2
：端口
F0/1
、
F0/2
、
F0/3
都必须工作在
TRUNK
模式下。
NATIVE VLAN
配置：
Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport mode trunk
Switch(config-if)#switchport trunk native vlan 100 //
设置该端口
NATIVE VLAN
为
100
端口只有工作在
TRUNK
模式下，才可以配置
NATIVE VLAN
；
在
TRUNK
上
Native VLAN
的数据是无标记的
(Untagged)
，所以即使没有在端口即使没有工
作在
TRUNK
模式下，
Native Vlan
仍能正常通讯；
默认情况下，锐捷交换机的
NATIVE VLAN
为
1
。建议不要更改。
VLAN
修剪配置：
Switch(config)#interface fastEthernet 0/2
Switch(config-if)#switchport trunk allowed vlan remove 2-9,11-19,21-4094 //
设定
VLAN
要修剪
的
VLAN
Switch(config-if)#no switchport trunk allowed vlan //
取消端口下的
VLAN
修剪
VLAN1
是设备
默认
VLAN
，
VLAN10
和
VLAN20
是用户
VLAN
，所以需要修剪掉的
VLAN
为
2-9,11-19,21-4094
。（
4094
为
VLAN ID
的最大值）
VLAN
信息查看：
Switch#show vlan
VLAN Name Status Ports
1 default active Fa0/1 ,Fa0/11,Fa0/12
Fa0/13,Fa0/14,Fa0/15
Fa0/16,Fa0/17,Fa0/18
Fa0/19,Fa0/20,Fa0/21
Fa0/22,Fa0/23,Fa0/24
100 VLAN0100 active Fa0/1 ,Fa0/2 ,Fa0/3
Fa0/4 ,Fa0/5 ,Fa0/6
Fa0/7 ,Fa0/8 ,Fa0/9
Fa0/10
Switch#
1.4
端口镜像
端口镜像配置：
Switch (config)# monitor session 1 destination interface GigabitEthernet 0/2
//
配置
G0/2
为镜像端口
Switch (config)# monitor session 1 source interface GigabitEthernet 0/1 both
//
配置
G0/1
为被镜像端口，且出入双向数据均被镜像。
Switch (config)# no monitor session 1 //
去掉镜像
1
S21
、
S35
等系列交换机不支持镜像目的端口当作普通用户口使用，如果需要做用户口，请
将用户
MAC
与端口绑定。
锐捷
SME
交换机镜像支持一对多镜像，不支持多对多镜像。
去除
TAG
标记：
Switch (config)# monitor session 1 destination interface GigabitEthernet 0/2 encapsulation
replicate
// encapsulation replicate
表述镜像数据不带
TAG
标记。
目前该功能只有
S37
、
S57
、
S86
、
S96
交换机支持，其他型号交换机不支持。
锐捷交换机支持两种模式：
镜像目的口输出报文是否带
TAG
根据源数据流输入的时候是否带
TAG
来决定。
强制所有的镜像输出报文都不带
TAG
，受限于目前芯片的限制，只支持二层转发报文不带
Tag
，经过三层路由的报文，镜像目的端口输出的报文会带
Tag
。
端口镜像信息查看：
S3750#sh monitor session 1
Session: 1
Source Ports:
Rx Only : None
Tx Only : None
Both : Fa0/1
Destination Ports: Fa0/2
encapsulation replicate: true
1.5
端口聚合
端口聚合配置：
Switch(config)#interface fastEthernet 0/1
Switch (config-if)#port-group 1 //
把端口
f0/1
加入到聚合组
1
中。
Switch (config-if)#no port-group 1 //
把端口
f0/1
从聚合组
1
中去掉。
如图
4
，端口聚合的使用可以提高交换机的上联链路带宽和起到链路冗余的作用。
S2126G/50G
交换机最大支持的
6
个
AP
，每个
AP
最多能包含
8
个端口。
6
号
AP
只为模块
1
和模块
2
保留，其它端口不能成为该
AP
的成员，模块
1
和模块
2
也只能成为
6
号
AP
的
成员。
S2700
系列交换机最大支持的
31
个
AP
，每个
AP
最多能包含
8
个端口。
S3550-24/48
系列交换机最大支持的
6
个
AP
，每个
AP
最多能包含
8
个端口。
S3550-12G/12G+/24G
系列交换机最大支持的
12
个
AP
，每个
AP
最多能包含
8
个端口。
S3550-12SFP/GT
系列交换机最大支持的
12
个
AP
，每个
AP
最多能包含
8
个端口。
57
系列交换机最大支持
12
个
AP
，每个
AP
最多能包含个
8
端口。
配置为
AP
的端口，其介质类型必须相同。
聚合端口需是连续的端口，例如避免把端口
1
和端口
24
做聚合。
端口聚合信息查看：
S3750#show aggregatePort 1 summary //
查看聚合端口
1
的信息。
AggregatePort MaxPorts SwitchPort Mode Ports
Ag1 8 Enabled Access Fa0/1 , Fa0/2
S3750#
信息显示
AP1
的成员端口为
0/1
和
0/2
。
1.6
交换机堆叠
设置交换机优先级：
S3750(config)#device-priorit 5
锐捷交换机的堆叠采用的是菊花链式堆叠，注意堆叠线的连接方法，如图
5
：
图
5
也可以不设置交换机优先级，设备会自动堆叠成功。
堆叠后，只有通过主交换机
CONSOLE
口对堆叠组进行管理。
查看堆叠信息：
Student_dormitory_B#show member
member MAC address priority alias SWVer HWVer
------ ---------------- -------- -------------------------------- ----- -----
1 00d0.f8d9.f0ba 10 1.61 3.2
2 00d0.f8d9.f2ef 1 1.61 3.2
3 00d0.f8ff.d38e 1 1.61 3.3
1.7 ACL
配置
ACL
配置：
配置
ACL
步骤：
建立
ACL
：
Switch(config)# Ip access-list exten ruijie //
建立
ACL
访问控制列表名为
ruijie
，
extend
表示建
立的是扩展访问控制列表。
Switch(config)#no Ip access-list exten ruijie //
删除名为
ruijie
的
ACL
。
增加一条
ACE
项后，该
ACE
是添加到
ACL
的最后，不支持中间插入，所以需要调整
ACE
顺序时，必须整个删除
ACL
后再重新配置。
添加
ACL
的规则：
Switch (config-ext-nacl)#deny icmp any 192.168.1.1 255.255.255.0 //
禁止
PING IP
地址为
192.168.1.1
的设备。
Switch (config-ext-nacl)# deny tcp any any eq 135 //
禁止端口号为
135
的应用。
Switch (config-ext-nacl)#deny udp any any eq www //
禁止协议为
www
的应用。
Switch(config-ext-nacl)# permit ip any any //
允许所有行为。
将
ACL
应用到具体的接口上：
Switch (config)#interface range f 0/1
Switch (config-if)#ip access-group ruijie in //
把名为
ruijie
的
ACL
应用到端口
f 0/1
上。
Switch (config-if)#no ip access-group ruijie in //
从接口去除
ACL
。
ACL
模版：
下面给出需要禁止的常见端口和协议（不限于此）：
Switch (config-ext-nacl)# deny tcp any any eq 135
Switch(config-ext-nacl)# deny tcp any any eq 139
Switch(config-ext-nacl)# deny tcp any any eq 593
Switch(config-ext-nacl)# deny tcp any any eq 4444
Switch(config-ext-nacl)# deny udp any any eq 4444
Switch(config-ext-nacl)# deny udp any any eq 135
Switch(config-ext-nacl)# deny udp any any eq 137
Switch(config-ext-nacl)# deny udp any any eq 138
Switch(config-ext-nacl)# deny tcp any any eq 445
Switch(config-ext-nacl)# deny udp any any eq 445
Switch(config-ext-nacl)# deny udp any any eq 593
Switch(config-ext-nacl)# deny tcp any any eq 593
Switch(config-ext-nacl)# deny tcp any any eq 3333
Switch(config-ext-nacl)# deny tcp any any eq 5554
Switch(config-ext-nacl)# deny udp any any eq 5554
S2150G(config-ext-nacl)#deny udp any any eq netbios-ss
S2150G(config-ext-nacl)#deny udp any any eq netbios-dgm
S2150G(config-ext-nacl)#deny udp any any eq netbios-ns
Switch(config-ext-nacl)# permit ip any any
最后一条必须要加上
permit ip any any
，否则可能造成网络的中断。
ACL
注意点：
交换机的
ACL
、
802.1X
、端口安全、保护端口等共享设备硬件表项资源，如果出现如下提
示：
% Error: Out of Rules Resources
，则表明硬件资源不够，需删除一些
ACL
规则或去掉某
些应用。
ARP
协议为系统保留协议，即使您将一条
deny any any
的
ACL
关联到某个接口上，交换机
也将允许该类型报文的交换。
扩展访问控制列表尽量使用在靠近想要控制的目标区域的设备上。
如果
ACE
项是先
permit
，则在最后需要手工加
deny ip any any
，如果
ACE
项是先
deny
，则
在最后需要手工加
permit ip any any
。
ACL
信息查看：
Switch#show access-lists 1
Extended IP access list: 1
deny tcp any any eq 135
deny tcp any any eq 136
deny tcp any any eq 137
deny tcp any any eq 138
deny tcp any any eq 139
deny tcp any any eq 443
deny tcp any any eq 445
……
permit ip any any
Switch#
1.8
端口安全
端口安全可以通过限制允许访问交换机上某个端口的
MAC
地址以及
IP
来实现控制对该端
口的输入。
当安全端口配置了一些安全地址后，则除了源地址为这些安全地址的包外，此端口将不转发
其它任何报文。
可以限制一个端口上能包含的安全地址最大个数，如果将最大个数设置为
1
，并且为该端口
配置一个安全地址，则连接到这个口的工作站
(
其地址为配置的安全
M
地址
)
将独享该端口
的全部带宽。
端口安全配置：
Switch (config)#interface range f 0/1
Switch(config-if)# switchport port-security //
开启端口安全
Switch(config-if)# switchport port-security //
关闭端口安全
Switch(config-if)# switchport port-security maximum 8 //
设置端口能包含的最大安全地址数为
8
Switch(config-if)# switchport port-security violation protect //
设置处理违例的方式为
protect
Switch(config-if)# switchport port-security mac-address 00d0.f800.073c ip-address 192.168.1.1
//
在接口
fastethernet0/1
配置一个安全地址
00d0.f800.073c
，并为其绑定一个
IP
地址：
192.168.1.1
Switch(config-if)#no switchport port-security mac-address 00d0.f800.073c ip-address 192.168.1.1
//
删除接口上配置的安全地址
以上配置的最大安全地址数为
8
个，但只在端口上绑定了一个安全地址，所以该端口仍然能
学习
7
个地址。
违例处理方式有：
protect
：保护端口，当安全地址个数满后，安全端口将丢弃未知名地址
(
不是该端口的安全
地址。
restrict
：当违例产生时，将发送一个
Trap
通知。
shutdown
：当违例产生时，将关闭端口并发送一个
Trap
通知。
端口安全信息查看：
Switch# show port-security interface fastethernet 0/3 //
查看接口
f0/3
的端口安全配置信息。
Interface : Fa0/3
Port Security: Enabled
Port status : down
Violation mode:Shutdown
Maximum MAC Addresses:8
Total MAC Addresses:0
Configured MAC Addresses:0
Aging time : 8 mins
SecureStatic address aging : Enabled
Switch# show port-security address //
查看安全地址信息
Vlan Mac Address IP Address Type Port Remaining Age
（
mins
）
1 00d0.f800.073c 192.168.12.202 Configured Fa0/3 8
1 00d0.f800.3cc9 192.168.12.5 Configured Fa0/1 7
一个安全端口只能是一个
access port
；
802.1x
认证功能和端口安全不能同时打开；
在同一个端口上不能同时应用绑定
IP
的安全地址和
ACL
，否则会提示属性错误：
% Error:
Attribute conflict
。
1.9
交换机防攻击配置
防
ARP
攻击：
在交换机上对防
ARP
攻击的功能有：
IP
和
MAC
地址的绑定：
Switch(config)#arp ip-address hardware-address [type] interface-id
Switch(config)#arp 192.168.12.111 00d0.f800.073c arpa gigabitethernet 0/1
此命令只有三层交换机支持。
防网关被欺骗：
假设交换机的千兆口为上联口，百兆端口接用户，上联口接网关。如果某个用户假冒网关的
IP
发出
ARP
请求，那么其他用户无法区分是真正的网关还是假冒的网关，把假冒网关的
ARP
保存到本机的
ARP
列表中，最终将造成用户上网不正常。
针对
ARP
欺骗的手段，可以通过设置交换机的防
ARP
欺骗功能来防止网关被欺骗。具体的
做法就是，在用户端口上通过防
ARP
欺骗命令设置要防止欺骗的
IP
，阻止以该设置
IP
为源
IP
地址的
ARP
通过交换机，这样可以保证交换机下联端口的主机无法进行网关
ARP
欺骗。
如图
6
，防网关被欺骗配置在靠近用户侧的设备上。
配置：
Switch(config)#Interface interface-id //
进入指定端口进行配置。
Switch(config-if)#Anti-ARP-Spoofing ip ip-address //
配置防止
ip-address
的
ARP
欺骗。
配置实例：
假设
S2126G G1/1
接上联端口，
Fa0/1~24
接用户，网关
ip
地址为
192.168.64.1
，在端口
1
到
24
口设置防网关
ARP
欺骗如下：
Switch(config)# inter range fastEthernet 0/1-24 //
进入端口
Fa0/1~24
进行配置。
Switch(config-if-range)#anti-ARP-Spoofing ip 192.168.64.1 //
设置防止
192.168.64.1 arp
欺骗
Switch(config-if-range)# no anti-ARP-Spoofing ip 192.168.64.1 //
去掉防
ARP
欺骗。
防网关被欺骗只能配置在用户端口处，不能配置在交换机的上联口，否则会造成网络中断。
防网关被欺骗不能防
ARP
主机欺骗，也就是说该功能只是在一定程度上减少
ARP
欺骗的可
能性，并不是完全防止
ARP
欺骗。
防
STP
攻击：
网络中攻击者可以发送虚假的
BPDU
报文，扰乱网络拓扑和链路架构，充当网络根节点，
获取信息。
采取的防范措施：
对于接入层交换机，在没有冗余链路的情况下，尽量不用开启
STP
协议。（传统的防范方
式）。
使用交换机具备的
BPDU Guard
功能，可以禁止网络中直接接用户的端口或接入层交换机的
下连端口收到
BPDU
报文。从而防范用户发送非法
BPDU
报文。
配置：
Switch(config)# inter fastEthernet 0/1 //
进入端口
Fa0/1
。
Switch(config-if)# spanning-tree bpduguard enable //
打开该端口的的
BPDU guard
功能
Switch(config-if)# spanning-tree bpduguard diaable //
关闭该端口的的
BPDU guard
功能
打开的
BPDU guard
，如果在该端口上收到
BPDU
，则会进入
error-disabled
状态，只有手工
把该端口
shutdown
然后再
no shutdown
或者重 新启动交换机，才能恢复。
该功能只能在直接面向
PC
的端口打开，不能在上联口或非直接接
PC
的端口打开。
防
DOS/DDOS
攻击：
DoS/DDoS
（拒绝服务攻击
/
分布式拒绝服务攻击）：它是指故意攻击网络协议的缺陷或直接
通过野蛮手段耗尽受攻击目标的资源，目的是让目标计算机或网络无法提供正常的服务，甚
至系统崩溃。
锐捷交换机可设置基于
RFC 2827
的入口过滤规则，如图
7
：配置：
Switch(config)# inter fastEthernet 0/1 //
进入端口
Fa0/1
。
Switch(config-if)#ip deny spoofing-source //
预防伪造源
IP
的
DOS
攻击的入口过滤功能。丢弃
所有与此网络接口前缀不符合的输入报文。
Switch(config-if)#no ip deny spoofing-source //
关闭入口过滤功能。
只有配置了网络地址的三层接口才支持预防
DoS
攻击的入口过滤功能。
注意只能在直连
(connected)
接口配置该过滤，在和骨干层相连的汇聚层接口（即
uplink
口）
上设置入口过滤，会导致来自于
internet
各种源
ip
报文无法到达该汇聚层下链的主机。
只能在一个接口上关联输入
ACL
或者设置入口过滤，二者不能同时应用。如果已经将一个
接口应用了一个
ACL
，再打开预防
DoS
的入口过滤，将导致后者产生的
ACL
代替前者和接
口关联。反之亦然。
在设置基于
defeat DoS
的入口过滤后，如果修改了网络接口地址，必须关闭入口过滤然后再
打开，这样才能使入口过滤对新的网络地址生效。同样，对
SVI
应用了入口过滤，
SVI
对应
物理端口的变化，也要重新设置入口过滤。
S57
系列交换机中
S5750S
不支持
Defeat DoS
。
IP
扫描攻击：
目前发现的扫描攻击有两种：
目的
IP
地址变化的扫描，称为
scan dest ip attack
。这种扫描最危害网络，消耗网络带宽，增
加交换机负担。
目的
IP
地址不存在，却不断的发送大量报文，称为
“same des tip attack
。对三层交换机来说，
如果目的
IP
地址存在，则报文的转发会通过交换芯片直接转发，不会占用交换机
CPU
的资
源，而如果目的
IP
不存在，交换机
CPU
会定时的尝试连接，而如果大量的这种攻击存在，
也会消耗着
CPU
资源。
配置：
Switch(config)#system-guard enable //
打开系统保护
Switch(config)#no system-guard //
关闭系统保护功能
非法用户隔离时间每个端口均为
120
秒
对某个不存在的
IP
不断的发
IP
报文进行攻击的最大阀值每个端口均为每秒
20
个
对一批
IP
网段进行扫描攻击的最大阀值每个端口均为每秒
10
个
监控攻击主机的最大数目
100
台主机
查看信息：
Switch#show system-guard isolated-ip
interface ip-address isolate reason remain-time(second)
---------- ------------------ -------------------- ------------------
Fa 0/1 192.168.5.119 scan ip attack 110
Fa 0/1 192.168.5.109 same ip attack 61
以上几栏分别表示：已隔离的
IP
地址出现的端口、已隔离的
IP
地址，隔离原因，隔离的剩
余时间。
isolate reason
中有可能会显示
“chip resource full”
，这是因为交换机隔离了较多的用户，导致
，这是因为交换机隔离了较多的用户，导致
交换机的硬件芯片资源占满（根据实际的交换机运作及
ACL
设置，这个数目大约是每端口
可隔离
100
－
120
个
IP
地址），这些用户并没有实际的被隔离，管理员需要采取其他措施来
处理这些攻击者。
另外，当非法用户被隔离时，会发一个
LOG
记录到日志系统中，以备管理员查询，非法用
户隔离解除时也会发一个
LOG
通知。
1.10 DHCP
配置
按照通常的
DHCP
应用模式（
Client—Server
模式），由于
DHCP
请求报文的目的
IP
地址为
255.255.255.255
，因此每个子网都要有一个
DHCP Server
来管理这个子网内的
IP
动态分配
情况。为了解决这个问题，
DHCP Relay Agent
就产生了，它把收到的
就产生了，它把收到的
DHCP
请求报文转发
给
DHCP Server
，同时，把收到的
DHCP
响应报文转发给
DHCP Client
。
DHCP Relay Agent
就相当于一个转发站，负责沟通不同广播域间的
DHCP Client
和
DHCP Server
的通讯。这样
就实现了局域网内只要安装一个
DHCP Server
就可对所有网段的动态
IP
管理，即
Client—Relay Agent—Server
模式的
DHCP
动态
IP
管理。
如图
8
，
DHCP RELAY
功能使用在网络中只有一台
DHCP SERVER
，但却有多个子网的网
络中：
配置：
打开
DHCP Relay Agent
：
Switch(config)#service dhcp //
打开
DHCP
服务，这里指打开
DHCP Relay Agent
Switch(config)#no service dhcp //
关闭
DHCP
服务
配置
DHCP Server
的
IP
地址：
Switch(config)#ip helper-address address //
设置
DHCP Server
的
IP
地址
配置实例：
Switch(config)#service dhcp
Switch(config)#ip helper-address 192.168.1.1 //
设置
DHCP Server
的
IP
地址为
192.168.1.1
配置了
DHCP Server
，交换机所收到的
DHCP
请求报文将全部转发给它，同时，收到
Server
的响应报文也会转发给
DHCP Client
。
1.11
三层交换机配置
SVI
：
SVI(Switch virtual interface)
是和某个
是和某个
VLAN
关联的
IP
接口。每个
SVI
只能和一个
VLAN
关联，可分为以下两种类型：
SVI
是本机的管理接口，通过该管理接口管理员可管理交换机。
SVI
是一个网关接口，用于
3
层交换机中跨
VLAN
之间的路由。
配置：
switch (config)#interface vlan 10 //
把
VLAN 10
配置成
SVI
switch (config)#no interface vlan 10 //
删除
SVI
switch (config-if)#ip address 192.168.1.1 255.255.255.0 //
给该
SVI
接口配置一个
IP
地址
switch (config-if)#no ip address //
删除该
SVI
接口上的
IP
地址
此功能一般应用在三层交换机做网关的时候，应用
SVI
在该设备上建立相关
VLAN
的网关
IP
。
Routed Port
：
在三层交换机上，可以使用单个物理端口作为三层交换的网关接口，这个接口称为
Routed
port
。
Routed port
不具备
2
层交换的功能。通过
no switchport
命令将一个
2
层接口
switch port
转变为
Routed port,
然后给
然后给
Routed port
分配
IP
地址来建立路由。
配置：
switch (config)#interface fa 0/1
switch (config-if)#no switch //
把
f 0/1
变成路由口
switch (config-if)#switch //
把接口恢复成交换口
switch (config-if)#ip address 192.168.1.1 255.255.255.0 //
可配置
ip
地址等
一个限制是，当一个接口是
L2 Aggregate Port
的成员口时，是不能用
switchport/ no switchport
的成员口时，
命令进行层次切换的。
该功能一般应用在对端设备是路由器或对端端口作路由接口使用。
二、路由配置：
静态路由是由用户自行设定的路由，这些路由指定了报文从源地址到目的地址所走的路径。
锐捷网络所有三层交换机都支持路由功能，包括静态路由、默认路由、动态路由。
静态路由配置：
switch (config)#ip route
目的地址
目的地址
掩码 下一跳
//
添加一条路由
switch (config)#no ip route
目的地址 掩码
//
删除掉某条路由
默认路由配置：
switch (config)#ip route 0.0.0.0 0.0.0.0
下一跳
switch (config)#no ip route 0.0.0.0 0.0.0.0
下一跳
//
删除某条默认路由。
配置实例：
switch (config)#ip route 192.168.1.0 255.255.255.0 1.1.1.1 //
配置到网段
192.168.1.0
的下一跳
ip
地址为
1.1.1.1
switch (config)#ip route 0.0.0.0 0.0.0.0 1.1.1.1 //
配置一条默认路由，下一跳为
1.1.1.1
信息显示：
switch #show ip route //
显示当前路由表的状态
switch#sh ip route
Codes: C - connected, S - static, R - RIP
O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
* - candidate default
Gateway of last resort is 218.4.190.1 to network 0.0.0.0
S* 0.0.0.0/0 [1/0] via 218.4.190.1, FastEthernet 1/0
C 61.177.13.66/32 is local host.
C 61.177.24.1/32 is directly connected, dialer 1
S 172.16.0.0/24 [1/0] via 192.168.0.1, FastEthernet 0/0
C 192.168.0.0/24 is directly connected, FastEthernet 0/0
C 192.168.0.253/32 is local host.
C 218.4.190.0/29 is directly connected, FastEthernet 1/0
C 218.4.190.2/32 is local host.
S 218.5.3.0/24 [1/0] via 218.4.190.1, FastEthernet 1/0
Switch#
S
代表是静态路由，
C
代表是直连路由。
三、交换机常用查看命令
show cpu //
查看
CPU
利用率
switch #show cpu
CPU utilization for five seconds: 3%
CPU utilization for one minute : 6%
CPU utilization for five minutes: 6%
如果
CPU
利用率偏高，就要考虑网络中是否有攻击或者网络设备是否能胜任当前的网络负
载。一般来说，
CPU
超过
30%
就不正常了。
show clock //
查看交换机时钟
switch #show clock
System clock : 2007-3-18 10:29:14 Sunday
show logging //
查看交换机日志
switch #show logging
Syslog logging: Enabled
Console logging: Enabled(debugging)
Monitor logging: Disabled
Buffer logging: Enabled(debugging)
Server logging severity: debugging
File logging: Disabled
Logging history:
2007-3-18 11:26:36 @5-COLDSTART:System coldstart
2007-3-18 11:26:36 @5-LINKUPDOWN:Fa2/0/1 changed state to up
2007-3-18 11:26:37 @5-LINKUPDOWN:Fa1/0/10 changed state to up
2007-3-18 11:26:37 @5-LINKUPDOWN:Gi1/1/1 changed state to up
2007-3-18 11:26:37 @4-TOPOCHANGE:Topology is changed
注意，日志前面都有时间，但交换机的时钟往往和生活中的时钟对不上，这时需要我们使用
show clock
查看交换机时钟，进而推断日志发生的时间，便于发现问题。
show mac-address-table dynamic //
查看交换机动态学习到的
MAC
地址表
switch #show mac-address-table dynamic
Vlan MAC Address Type Interface
1 00d0.f8ba.6001 DYNAMIC Gi1/1/1
21 42.b02e DYNAMIC Fa1/0/10
21 00d0.f8ba.6007 DYNAMIC Gi1/1/1
查看交换机的
MAC
表，要注意查看
MAC
地址是否是从正确的端口学习上来的，或者是否
存在某个
PC
的
MAC
地址。
show running-config //
查看当前交换机运行的配置文件
通过此命令，可以查看交换机的配置情况，我们在处理故障时一般都要先了解设备有哪些配
置。
show version //
查看交换机硬件、软件信息
switch #sh verison
System description : Red-Giant Gigabit Stacking Intelligent
Switch(S2126G/S2150G) By Ruijie Network
System uptime : 0d:3h:39m:6s
System hardware version : 3.2 //
硬件版本信息
System software version : 1.61(4) Build Sep 9 2005 Release //IOS
版本信息
System BOOT version : RG-S2126G-BOOT 03-02-02 //BOOT
层版本信息
System CTRL version : RG-S2126G-CTRL 03-08-02 //CTRL
版本信息
Running Switching Image : Layer2
有些故障是软件版本的
BUG
，所以遇到问题时也需要了解该设备的软件版本，是否版本过
低，是否新版本已解决了这个故障。
show arp //
查看交换机的
arp
表
S3750#show arp
Address Age (min) Hardware Addr Type Interface
2024年9月21日发(作者：冒梅雪)
一、交换机基本配置
交换机命名：
在项目实施的时候，建议为处于不同位置的交换机命名，便于记忆，可提高后期管理效率。
switch(config)#hostname ruijie //ruijie
为该交换机的名字
交换机配置管理密码：
配置密码可以提高交换机的安全性，另外，
telnet
登录交换机的时候，必须要求有
telnet
管
理密码。
switch (config)#enable secret level 1 0 rg //
配置
telnet
管理密码为
rg
，其中
1
表示
telnet
密码，
0
表示密码不加密
switch (config)#enable secret level 15 0 rg //
配置特权模式下的管理密码
rg
，其中
15
表示为特
权密码
交换机配置管理
IP
switch (config)#interface vlan 1 //
假设管理
VLAN
为
VLAN 1
switch (config-if)#ip address 192.168.1.1 255.255.255.0 //
给管理
VLAN
配置管理
IP
地址
switch (config-if)#no shutdown //
激活管理
IP
，养成习惯，无论配置什么设备，都使用一下这
个命令
交换机配置网关：
switch(config)#ip default-gateway 192.168.1.254 //
假设网关地址为
192.168.1.254
，此命令用户
二层设备。
通过以上几个命令的配置，设备便可以实现远程管理，在项目实施时（尤其是设备位置比较
分散）特别能提高效率。
1.1
接口介质类型配置
锐捷为了降低
SME
客户的总体拥有成本，推出灵活选择的端口形式：电口和光口复用接口，
方便用户根据网络环境选择对应的介质类型。
但光口和电口同时只能用其一，如图
1
，如使用了光口
1F
，则电口
1
不能使用。
接口介质类型的转换：
Switch(config)#interface gigabitethernet 0/1
Switch(config-if)#medium-type fiber //
把接口工作模式改为光口
Switch(config-if)#medium-type copper //
把接口工作模式改为电口
默认情况下，接口是工作在电口模式
在项目实施中，如果光纤模块指示灯不亮，工作模式是否正确也是故障原因之一。
1.2
接口速度
/
双工配置
命令格式：
Switch(config)#interface interface-id //
进入接口配置模式
Switch(config-if)#speed {10 | 100 | 1000 | auto } //
设置接口的速率参数，或者设置为
auto
Switch(config-if)#duplex {auto | full | half} //
设置接口的双工模式
1000
只对千兆口有效；
默认情况下，接口的速率为
auto
，双工模式为
auto
。
配置实例：
实例将
gigabitethernet 0/1
的速率设为
1000M
，双工模式设为全双工：
Switch(config)#interface gigabitethernet 0/1
Switch(config-if)#speed 1000
Switch(config-if)#duplex full
在故障处理的时候，如果遇到规律性的时断时续或掉包，在排除其他原因后，可以考虑是否
和对端设备的速率和双工模式不匹配，尤其是两端设备为不同厂商的时候。
光口不能修改速度和双工配置，只能
auto
。
1.3 VLAN
配置
添加
VLAN
到端口：
在交换机上建立
VLAN
：
Switch (config)#vlan 100 //
建立
VLAN 100
Switch (config)#name ruijie //
该
VLAN
名称为
ruijie
将交换机接口划入
VLAN 100
中：
Switch (config)#interface range f 0/1-48 //range
表示选取了系列端口
1-48
，这个对多个端口进
行相同配置时非常有用
Switch (config-if-range)#switchport access vlan 100 //
将接口划到
VLAN 100
中
Switch (config-if-range)#no switchport access vlan //
将接口划回到默认
VLAN 1
中，即端口初
始配置
交换机端口的工作模式：
Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport mode access //
该端口工作在
access
模式下
Switch(config-if)#switchport mode trunk //
该端口工作在
trunk
模式下
如果端口下连接的是
PC
，则该端口一般工作在
access
模式下，默认配置为
access
模式。
如果端口是上联口，且交换机有划分多个
VLAN
，则该端口工作在
TRUNK
模式下。
如图
2
：端口
F0/1
、
F0/2
、
F0/3
都必须工作在
TRUNK
模式下。
NATIVE VLAN
配置：
Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport mode trunk
Switch(config-if)#switchport trunk native vlan 100 //
设置该端口
NATIVE VLAN
为
100
端口只有工作在
TRUNK
模式下，才可以配置
NATIVE VLAN
；
在
TRUNK
上
Native VLAN
的数据是无标记的
(Untagged)
，所以即使没有在端口即使没有工
作在
TRUNK
模式下，
Native Vlan
仍能正常通讯；
默认情况下，锐捷交换机的
NATIVE VLAN
为
1
。建议不要更改。
VLAN
修剪配置：
Switch(config)#interface fastEthernet 0/2
Switch(config-if)#switchport trunk allowed vlan remove 2-9,11-19,21-4094 //
设定
VLAN
要修剪
的
VLAN
Switch(config-if)#no switchport trunk allowed vlan //
取消端口下的
VLAN
修剪
VLAN1
是设备
默认
VLAN
，
VLAN10
和
VLAN20
是用户
VLAN
，所以需要修剪掉的
VLAN
为
2-9,11-19,21-4094
。（
4094
为
VLAN ID
的最大值）
VLAN
信息查看：
Switch#show vlan
VLAN Name Status Ports
1 default active Fa0/1 ,Fa0/11,Fa0/12
Fa0/13,Fa0/14,Fa0/15
Fa0/16,Fa0/17,Fa0/18
Fa0/19,Fa0/20,Fa0/21
Fa0/22,Fa0/23,Fa0/24
100 VLAN0100 active Fa0/1 ,Fa0/2 ,Fa0/3
Fa0/4 ,Fa0/5 ,Fa0/6
Fa0/7 ,Fa0/8 ,Fa0/9
Fa0/10
Switch#
1.4
端口镜像
端口镜像配置：
Switch (config)# monitor session 1 destination interface GigabitEthernet 0/2
//
配置
G0/2
为镜像端口
Switch (config)# monitor session 1 source interface GigabitEthernet 0/1 both
//
配置
G0/1
为被镜像端口，且出入双向数据均被镜像。
Switch (config)# no monitor session 1 //
去掉镜像
1
S21
、
S35
等系列交换机不支持镜像目的端口当作普通用户口使用，如果需要做用户口，请
将用户
MAC
与端口绑定。
锐捷
SME
交换机镜像支持一对多镜像，不支持多对多镜像。
去除
TAG
标记：
Switch (config)# monitor session 1 destination interface GigabitEthernet 0/2 encapsulation
replicate
// encapsulation replicate
表述镜像数据不带
TAG
标记。
目前该功能只有
S37
、
S57
、
S86
、
S96
交换机支持，其他型号交换机不支持。
锐捷交换机支持两种模式：
镜像目的口输出报文是否带
TAG
根据源数据流输入的时候是否带
TAG
来决定。
强制所有的镜像输出报文都不带
TAG
，受限于目前芯片的限制，只支持二层转发报文不带
Tag
，经过三层路由的报文，镜像目的端口输出的报文会带
Tag
。
端口镜像信息查看：
S3750#sh monitor session 1
Session: 1
Source Ports:
Rx Only : None
Tx Only : None
Both : Fa0/1
Destination Ports: Fa0/2
encapsulation replicate: true
1.5
端口聚合
端口聚合配置：
Switch(config)#interface fastEthernet 0/1
Switch (config-if)#port-group 1 //
把端口
f0/1
加入到聚合组
1
中。
Switch (config-if)#no port-group 1 //
把端口
f0/1
从聚合组
1
中去掉。
如图
4
，端口聚合的使用可以提高交换机的上联链路带宽和起到链路冗余的作用。
S2126G/50G
交换机最大支持的
6
个
AP
，每个
AP
最多能包含
8
个端口。
6
号
AP
只为模块
1
和模块
2
保留，其它端口不能成为该
AP
的成员，模块
1
和模块
2
也只能成为
6
号
AP
的
成员。
S2700
系列交换机最大支持的
31
个
AP
，每个
AP
最多能包含
8
个端口。
S3550-24/48
系列交换机最大支持的
6
个
AP
，每个
AP
最多能包含
8
个端口。
S3550-12G/12G+/24G
系列交换机最大支持的
12
个
AP
，每个
AP
最多能包含
8
个端口。
S3550-12SFP/GT
系列交换机最大支持的
12
个
AP
，每个
AP
最多能包含
8
个端口。
57
系列交换机最大支持
12
个
AP
，每个
AP
最多能包含个
8
端口。
配置为
AP
的端口，其介质类型必须相同。
聚合端口需是连续的端口，例如避免把端口
1
和端口
24
做聚合。
端口聚合信息查看：
S3750#show aggregatePort 1 summary //
查看聚合端口
1
的信息。
AggregatePort MaxPorts SwitchPort Mode Ports
Ag1 8 Enabled Access Fa0/1 , Fa0/2
S3750#
信息显示
AP1
的成员端口为
0/1
和
0/2
。
1.6
交换机堆叠
设置交换机优先级：
S3750(config)#device-priorit 5
锐捷交换机的堆叠采用的是菊花链式堆叠，注意堆叠线的连接方法，如图
5
：
图
5
也可以不设置交换机优先级，设备会自动堆叠成功。
堆叠后，只有通过主交换机
CONSOLE
口对堆叠组进行管理。
查看堆叠信息：
Student_dormitory_B#show member
member MAC address priority alias SWVer HWVer
------ ---------------- -------- -------------------------------- ----- -----
1 00d0.f8d9.f0ba 10 1.61 3.2
2 00d0.f8d9.f2ef 1 1.61 3.2
3 00d0.f8ff.d38e 1 1.61 3.3
1.7 ACL
配置
ACL
配置：
配置
ACL
步骤：
建立
ACL
：
Switch(config)# Ip access-list exten ruijie //
建立
ACL
访问控制列表名为
ruijie
，
extend
表示建
立的是扩展访问控制列表。
Switch(config)#no Ip access-list exten ruijie //
删除名为
ruijie
的
ACL
。
增加一条
ACE
项后，该
ACE
是添加到
ACL
的最后，不支持中间插入，所以需要调整
ACE
顺序时，必须整个删除
ACL
后再重新配置。
添加
ACL
的规则：
Switch (config-ext-nacl)#deny icmp any 192.168.1.1 255.255.255.0 //
禁止
PING IP
地址为
192.168.1.1
的设备。
Switch (config-ext-nacl)# deny tcp any any eq 135 //
禁止端口号为
135
的应用。
Switch (config-ext-nacl)#deny udp any any eq www //
禁止协议为
www
的应用。
Switch(config-ext-nacl)# permit ip any any //
允许所有行为。
将
ACL
应用到具体的接口上：
Switch (config)#interface range f 0/1
Switch (config-if)#ip access-group ruijie in //
把名为
ruijie
的
ACL
应用到端口
f 0/1
上。
Switch (config-if)#no ip access-group ruijie in //
从接口去除
ACL
。
ACL
模版：
下面给出需要禁止的常见端口和协议（不限于此）：
Switch (config-ext-nacl)# deny tcp any any eq 135
Switch(config-ext-nacl)# deny tcp any any eq 139
Switch(config-ext-nacl)# deny tcp any any eq 593
Switch(config-ext-nacl)# deny tcp any any eq 4444
Switch(config-ext-nacl)# deny udp any any eq 4444
Switch(config-ext-nacl)# deny udp any any eq 135
Switch(config-ext-nacl)# deny udp any any eq 137
Switch(config-ext-nacl)# deny udp any any eq 138
Switch(config-ext-nacl)# deny tcp any any eq 445
Switch(config-ext-nacl)# deny udp any any eq 445
Switch(config-ext-nacl)# deny udp any any eq 593
Switch(config-ext-nacl)# deny tcp any any eq 593
Switch(config-ext-nacl)# deny tcp any any eq 3333
Switch(config-ext-nacl)# deny tcp any any eq 5554
Switch(config-ext-nacl)# deny udp any any eq 5554
S2150G(config-ext-nacl)#deny udp any any eq netbios-ss
S2150G(config-ext-nacl)#deny udp any any eq netbios-dgm
S2150G(config-ext-nacl)#deny udp any any eq netbios-ns
Switch(config-ext-nacl)# permit ip any any
最后一条必须要加上
permit ip any any
，否则可能造成网络的中断。
ACL
注意点：
交换机的
ACL
、
802.1X
、端口安全、保护端口等共享设备硬件表项资源，如果出现如下提
示：
% Error: Out of Rules Resources
，则表明硬件资源不够，需删除一些
ACL
规则或去掉某
些应用。
ARP
协议为系统保留协议，即使您将一条
deny any any
的
ACL
关联到某个接口上，交换机
也将允许该类型报文的交换。
扩展访问控制列表尽量使用在靠近想要控制的目标区域的设备上。
如果
ACE
项是先
permit
，则在最后需要手工加
deny ip any any
，如果
ACE
项是先
deny
，则
在最后需要手工加
permit ip any any
。
ACL
信息查看：
Switch#show access-lists 1
Extended IP access list: 1
deny tcp any any eq 135
deny tcp any any eq 136
deny tcp any any eq 137
deny tcp any any eq 138
deny tcp any any eq 139
deny tcp any any eq 443
deny tcp any any eq 445
……
permit ip any any
Switch#
1.8
端口安全
端口安全可以通过限制允许访问交换机上某个端口的
MAC
地址以及
IP
来实现控制对该端
口的输入。
当安全端口配置了一些安全地址后，则除了源地址为这些安全地址的包外，此端口将不转发
其它任何报文。
可以限制一个端口上能包含的安全地址最大个数，如果将最大个数设置为
1
，并且为该端口
配置一个安全地址，则连接到这个口的工作站
(
其地址为配置的安全
M
地址
)
将独享该端口
的全部带宽。
端口安全配置：
Switch (config)#interface range f 0/1
Switch(config-if)# switchport port-security //
开启端口安全
Switch(config-if)# switchport port-security //
关闭端口安全
Switch(config-if)# switchport port-security maximum 8 //
设置端口能包含的最大安全地址数为
8
Switch(config-if)# switchport port-security violation protect //
设置处理违例的方式为
protect
Switch(config-if)# switchport port-security mac-address 00d0.f800.073c ip-address 192.168.1.1
//
在接口
fastethernet0/1
配置一个安全地址
00d0.f800.073c
，并为其绑定一个
IP
地址：
192.168.1.1
Switch(config-if)#no switchport port-security mac-address 00d0.f800.073c ip-address 192.168.1.1
//
删除接口上配置的安全地址
以上配置的最大安全地址数为
8
个，但只在端口上绑定了一个安全地址，所以该端口仍然能
学习
7
个地址。
违例处理方式有：
protect
：保护端口，当安全地址个数满后，安全端口将丢弃未知名地址
(
不是该端口的安全
地址。
restrict
：当违例产生时，将发送一个
Trap
通知。
shutdown
：当违例产生时，将关闭端口并发送一个
Trap
通知。
端口安全信息查看：
Switch# show port-security interface fastethernet 0/3 //
查看接口
f0/3
的端口安全配置信息。
Interface : Fa0/3
Port Security: Enabled
Port status : down
Violation mode:Shutdown
Maximum MAC Addresses:8
Total MAC Addresses:0
Configured MAC Addresses:0
Aging time : 8 mins
SecureStatic address aging : Enabled
Switch# show port-security address //
查看安全地址信息
Vlan Mac Address IP Address Type Port Remaining Age
（
mins
）
1 00d0.f800.073c 192.168.12.202 Configured Fa0/3 8
1 00d0.f800.3cc9 192.168.12.5 Configured Fa0/1 7
一个安全端口只能是一个
access port
；
802.1x
认证功能和端口安全不能同时打开；
在同一个端口上不能同时应用绑定
IP
的安全地址和
ACL
，否则会提示属性错误：
% Error:
Attribute conflict
。
1.9
交换机防攻击配置
防
ARP
攻击：
在交换机上对防
ARP
攻击的功能有：
IP
和
MAC
地址的绑定：
Switch(config)#arp ip-address hardware-address [type] interface-id
Switch(config)#arp 192.168.12.111 00d0.f800.073c arpa gigabitethernet 0/1
此命令只有三层交换机支持。
防网关被欺骗：
假设交换机的千兆口为上联口，百兆端口接用户，上联口接网关。如果某个用户假冒网关的
IP
发出
ARP
请求，那么其他用户无法区分是真正的网关还是假冒的网关，把假冒网关的
ARP
保存到本机的
ARP
列表中，最终将造成用户上网不正常。
针对
ARP
欺骗的手段，可以通过设置交换机的防
ARP
欺骗功能来防止网关被欺骗。具体的
做法就是，在用户端口上通过防
ARP
欺骗命令设置要防止欺骗的
IP
，阻止以该设置
IP
为源
IP
地址的
ARP
通过交换机，这样可以保证交换机下联端口的主机无法进行网关
ARP
欺骗。
如图
6
，防网关被欺骗配置在靠近用户侧的设备上。
配置：
Switch(config)#Interface interface-id //
进入指定端口进行配置。
Switch(config-if)#Anti-ARP-Spoofing ip ip-address //
配置防止
ip-address
的
ARP
欺骗。
配置实例：
假设
S2126G G1/1
接上联端口，
Fa0/1~24
接用户，网关
ip
地址为
192.168.64.1
，在端口
1
到
24
口设置防网关
ARP
欺骗如下：
Switch(config)# inter range fastEthernet 0/1-24 //
进入端口
Fa0/1~24
进行配置。
Switch(config-if-range)#anti-ARP-Spoofing ip 192.168.64.1 //
设置防止
192.168.64.1 arp
欺骗
Switch(config-if-range)# no anti-ARP-Spoofing ip 192.168.64.1 //
去掉防
ARP
欺骗。
防网关被欺骗只能配置在用户端口处，不能配置在交换机的上联口，否则会造成网络中断。
防网关被欺骗不能防
ARP
主机欺骗，也就是说该功能只是在一定程度上减少
ARP
欺骗的可
能性，并不是完全防止
ARP
欺骗。
防
STP
攻击：
网络中攻击者可以发送虚假的
BPDU
报文，扰乱网络拓扑和链路架构，充当网络根节点，
获取信息。
采取的防范措施：
对于接入层交换机，在没有冗余链路的情况下，尽量不用开启
STP
协议。（传统的防范方
式）。
使用交换机具备的
BPDU Guard
功能，可以禁止网络中直接接用户的端口或接入层交换机的
下连端口收到
BPDU
报文。从而防范用户发送非法
BPDU
报文。
配置：
Switch(config)# inter fastEthernet 0/1 //
进入端口
Fa0/1
。
Switch(config-if)# spanning-tree bpduguard enable //
打开该端口的的
BPDU guard
功能
Switch(config-if)# spanning-tree bpduguard diaable //
关闭该端口的的
BPDU guard
功能
打开的
BPDU guard
，如果在该端口上收到
BPDU
，则会进入
error-disabled
状态，只有手工
把该端口
shutdown
然后再
no shutdown
或者重 新启动交换机，才能恢复。
该功能只能在直接面向
PC
的端口打开，不能在上联口或非直接接
PC
的端口打开。
防
DOS/DDOS
攻击：
DoS/DDoS
（拒绝服务攻击
/
分布式拒绝服务攻击）：它是指故意攻击网络协议的缺陷或直接
通过野蛮手段耗尽受攻击目标的资源，目的是让目标计算机或网络无法提供正常的服务，甚
至系统崩溃。
锐捷交换机可设置基于
RFC 2827
的入口过滤规则，如图
7
：配置：
Switch(config)# inter fastEthernet 0/1 //
进入端口
Fa0/1
。
Switch(config-if)#ip deny spoofing-source //
预防伪造源
IP
的
DOS
攻击的入口过滤功能。丢弃
所有与此网络接口前缀不符合的输入报文。
Switch(config-if)#no ip deny spoofing-source //
关闭入口过滤功能。
只有配置了网络地址的三层接口才支持预防
DoS
攻击的入口过滤功能。
注意只能在直连
(connected)
接口配置该过滤，在和骨干层相连的汇聚层接口（即
uplink
口）
上设置入口过滤，会导致来自于
internet
各种源
ip
报文无法到达该汇聚层下链的主机。
只能在一个接口上关联输入
ACL
或者设置入口过滤，二者不能同时应用。如果已经将一个
接口应用了一个
ACL
，再打开预防
DoS
的入口过滤，将导致后者产生的
ACL
代替前者和接
口关联。反之亦然。
在设置基于
defeat DoS
的入口过滤后，如果修改了网络接口地址，必须关闭入口过滤然后再
打开，这样才能使入口过滤对新的网络地址生效。同样，对
SVI
应用了入口过滤，
SVI
对应
物理端口的变化，也要重新设置入口过滤。
S57
系列交换机中
S5750S
不支持
Defeat DoS
。
IP
扫描攻击：
目前发现的扫描攻击有两种：
目的
IP
地址变化的扫描，称为
scan dest ip attack
。这种扫描最危害网络，消耗网络带宽，增
加交换机负担。
目的
IP
地址不存在，却不断的发送大量报文，称为
“same des tip attack
。对三层交换机来说，
如果目的
IP
地址存在，则报文的转发会通过交换芯片直接转发，不会占用交换机
CPU
的资
源，而如果目的
IP
不存在，交换机
CPU
会定时的尝试连接，而如果大量的这种攻击存在，
也会消耗着
CPU
资源。
配置：
Switch(config)#system-guard enable //
打开系统保护
Switch(config)#no system-guard //
关闭系统保护功能
非法用户隔离时间每个端口均为
120
秒
对某个不存在的
IP
不断的发
IP
报文进行攻击的最大阀值每个端口均为每秒
20
个
对一批
IP
网段进行扫描攻击的最大阀值每个端口均为每秒
10
个
监控攻击主机的最大数目
100
台主机
查看信息：
Switch#show system-guard isolated-ip
interface ip-address isolate reason remain-time(second)
---------- ------------------ -------------------- ------------------
Fa 0/1 192.168.5.119 scan ip attack 110
Fa 0/1 192.168.5.109 same ip attack 61
以上几栏分别表示：已隔离的
IP
地址出现的端口、已隔离的
IP
地址，隔离原因，隔离的剩
余时间。
isolate reason
中有可能会显示
“chip resource full”
，这是因为交换机隔离了较多的用户，导致
，这是因为交换机隔离了较多的用户，导致
交换机的硬件芯片资源占满（根据实际的交换机运作及
ACL
设置，这个数目大约是每端口
可隔离
100
－
120
个
IP
地址），这些用户并没有实际的被隔离，管理员需要采取其他措施来
处理这些攻击者。
另外，当非法用户被隔离时，会发一个
LOG
记录到日志系统中，以备管理员查询，非法用
户隔离解除时也会发一个
LOG
通知。
1.10 DHCP
配置
按照通常的
DHCP
应用模式（
Client—Server
模式），由于
DHCP
请求报文的目的
IP
地址为
255.255.255.255
，因此每个子网都要有一个
DHCP Server
来管理这个子网内的
IP
动态分配
情况。为了解决这个问题，
DHCP Relay Agent
就产生了，它把收到的
就产生了，它把收到的
DHCP
请求报文转发
给
DHCP Server
，同时，把收到的
DHCP
响应报文转发给
DHCP Client
。
DHCP Relay Agent
就相当于一个转发站，负责沟通不同广播域间的
DHCP Client
和
DHCP Server
的通讯。这样
就实现了局域网内只要安装一个
DHCP Server
就可对所有网段的动态
IP
管理，即
Client—Relay Agent—Server
模式的
DHCP
动态
IP
管理。
如图
8
，
DHCP RELAY
功能使用在网络中只有一台
DHCP SERVER
，但却有多个子网的网
络中：
配置：
打开
DHCP Relay Agent
：
Switch(config)#service dhcp //
打开
DHCP
服务，这里指打开
DHCP Relay Agent
Switch(config)#no service dhcp //
关闭
DHCP
服务
配置
DHCP Server
的
IP
地址：
Switch(config)#ip helper-address address //
设置
DHCP Server
的
IP
地址
配置实例：
Switch(config)#service dhcp
Switch(config)#ip helper-address 192.168.1.1 //
设置
DHCP Server
的
IP
地址为
192.168.1.1
配置了
DHCP Server
，交换机所收到的
DHCP
请求报文将全部转发给它，同时，收到
Server
的响应报文也会转发给
DHCP Client
。
1.11
三层交换机配置
SVI
：
SVI(Switch virtual interface)
是和某个
是和某个
VLAN
关联的
IP
接口。每个
SVI
只能和一个
VLAN
关联，可分为以下两种类型：
SVI
是本机的管理接口，通过该管理接口管理员可管理交换机。
SVI
是一个网关接口，用于
3
层交换机中跨
VLAN
之间的路由。
配置：
switch (config)#interface vlan 10 //
把
VLAN 10
配置成
SVI
switch (config)#no interface vlan 10 //
删除
SVI
switch (config-if)#ip address 192.168.1.1 255.255.255.0 //
给该
SVI
接口配置一个
IP
地址
switch (config-if)#no ip address //
删除该
SVI
接口上的
IP
地址
此功能一般应用在三层交换机做网关的时候，应用
SVI
在该设备上建立相关
VLAN
的网关
IP
。
Routed Port
：
在三层交换机上，可以使用单个物理端口作为三层交换的网关接口，这个接口称为
Routed
port
。
Routed port
不具备
2
层交换的功能。通过
no switchport
命令将一个
2
层接口
switch port
转变为
Routed port,
然后给
然后给
Routed port
分配
IP
地址来建立路由。
配置：
switch (config)#interface fa 0/1
switch (config-if)#no switch //
把
f 0/1
变成路由口
switch (config-if)#switch //
把接口恢复成交换口
switch (config-if)#ip address 192.168.1.1 255.255.255.0 //
可配置
ip
地址等
一个限制是，当一个接口是
L2 Aggregate Port
的成员口时，是不能用
switchport/ no switchport
的成员口时，
命令进行层次切换的。
该功能一般应用在对端设备是路由器或对端端口作路由接口使用。
二、路由配置：
静态路由是由用户自行设定的路由，这些路由指定了报文从源地址到目的地址所走的路径。
锐捷网络所有三层交换机都支持路由功能，包括静态路由、默认路由、动态路由。
静态路由配置：
switch (config)#ip route
目的地址
目的地址
掩码 下一跳
//
添加一条路由
switch (config)#no ip route
目的地址 掩码
//
删除掉某条路由
默认路由配置：
switch (config)#ip route 0.0.0.0 0.0.0.0
下一跳
switch (config)#no ip route 0.0.0.0 0.0.0.0
下一跳
//
删除某条默认路由。
配置实例：
switch (config)#ip route 192.168.1.0 255.255.255.0 1.1.1.1 //
配置到网段
192.168.1.0
的下一跳
ip
地址为
1.1.1.1
switch (config)#ip route 0.0.0.0 0.0.0.0 1.1.1.1 //
配置一条默认路由，下一跳为
1.1.1.1
信息显示：
switch #show ip route //
显示当前路由表的状态
switch#sh ip route
Codes: C - connected, S - static, R - RIP
O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
* - candidate default
Gateway of last resort is 218.4.190.1 to network 0.0.0.0
S* 0.0.0.0/0 [1/0] via 218.4.190.1, FastEthernet 1/0
C 61.177.13.66/32 is local host.
C 61.177.24.1/32 is directly connected, dialer 1
S 172.16.0.0/24 [1/0] via 192.168.0.1, FastEthernet 0/0
C 192.168.0.0/24 is directly connected, FastEthernet 0/0
C 192.168.0.253/32 is local host.
C 218.4.190.0/29 is directly connected, FastEthernet 1/0
C 218.4.190.2/32 is local host.
S 218.5.3.0/24 [1/0] via 218.4.190.1, FastEthernet 1/0
Switch#
S
代表是静态路由，
C
代表是直连路由。
三、交换机常用查看命令
show cpu //
查看
CPU
利用率
switch #show cpu
CPU utilization for five seconds: 3%
CPU utilization for one minute : 6%
CPU utilization for five minutes: 6%
如果
CPU
利用率偏高，就要考虑网络中是否有攻击或者网络设备是否能胜任当前的网络负
载。一般来说，
CPU
超过
30%
就不正常了。
show clock //
查看交换机时钟
switch #show clock
System clock : 2007-3-18 10:29:14 Sunday
show logging //
查看交换机日志
switch #show logging
Syslog logging: Enabled
Console logging: Enabled(debugging)
Monitor logging: Disabled
Buffer logging: Enabled(debugging)
Server logging severity: debugging
File logging: Disabled
Logging history:
2007-3-18 11:26:36 @5-COLDSTART:System coldstart
2007-3-18 11:26:36 @5-LINKUPDOWN:Fa2/0/1 changed state to up
2007-3-18 11:26:37 @5-LINKUPDOWN:Fa1/0/10 changed state to up
2007-3-18 11:26:37 @5-LINKUPDOWN:Gi1/1/1 changed state to up
2007-3-18 11:26:37 @4-TOPOCHANGE:Topology is changed
注意，日志前面都有时间，但交换机的时钟往往和生活中的时钟对不上，这时需要我们使用
show clock
查看交换机时钟，进而推断日志发生的时间，便于发现问题。
show mac-address-table dynamic //
查看交换机动态学习到的
MAC
地址表
switch #show mac-address-table dynamic
Vlan MAC Address Type Interface
1 00d0.f8ba.6001 DYNAMIC Gi1/1/1
21 42.b02e DYNAMIC Fa1/0/10
21 00d0.f8ba.6007 DYNAMIC Gi1/1/1
查看交换机的
MAC
表，要注意查看
MAC
地址是否是从正确的端口学习上来的，或者是否
存在某个
PC
的
MAC
地址。
show running-config //
查看当前交换机运行的配置文件
通过此命令，可以查看交换机的配置情况，我们在处理故障时一般都要先了解设备有哪些配
置。
show version //
查看交换机硬件、软件信息
switch #sh verison
System description : Red-Giant Gigabit Stacking Intelligent
Switch(S2126G/S2150G) By Ruijie Network
System uptime : 0d:3h:39m:6s
System hardware version : 3.2 //
硬件版本信息
System software version : 1.61(4) Build Sep 9 2005 Release //IOS
版本信息
System BOOT version : RG-S2126G-BOOT 03-02-02 //BOOT
层版本信息
System CTRL version : RG-S2126G-CTRL 03-08-02 //CTRL
版本信息
Running Switching Image : Layer2
有些故障是软件版本的
BUG
，所以遇到问题时也需要了解该设备的软件版本，是否版本过
低，是否新版本已解决了这个故障。
show arp //
查看交换机的
arp
表
S3750#show arp
Address Age (min) Hardware Addr Type Interface