4-路由交换机用户手册（基本配置分册）.pdf

ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 产品版本：2.8.23.B2 中兴通讯股份有限公司 地址：深圳市科技南路55号 邮编：518057 电话：+86-755-26770800 800-830-1118 传真：+86-755-26770801 技术支持网站：http://support.zte.com.cn 电子邮件：800@zte.com.cn 法律声明 本资料著作权属中兴通讯股份有限公司所有。未经著作权人书面许可，任何单位或个人不得以任何方 式摘录、复制或翻译。 侵权必究。 和 是中兴通讯股份有限公司的注册商标。中兴通讯产品的名称和标志是中兴通讯的专有标志 或注册商标。在本手册中提及的其他产品或公司的名称可能是其各自所有者的商标或商名。在未经中 兴通讯或第三方商标或商名所有者事先书面同意的情况下，本手册不以任何方式授予阅读者任何使用 本手册上出现的任何标记的许可或权利。 本产品符合关于环境保护和人身安全方面的设计要求，产品的存放、使用和弃置应遵照产品手册、相 关合同或相关国法律、法规的要求进行。 如果本产品进行改进或技术变更，恕不另行专门通知。 当出现产品改进或者技术变更时，您可以通过中兴通讯技术支持网站http://support.zte.com.cn查询有关 信息。 修订历史 文档版本 发布日期 更新原因 R1.0 2010-02-10 手册第一次发布 资料编号：SJ-20100901084759-002 发布日期：2011-02-10(R1.0) 目录 1 安 全 说 明 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-1 1.1 安全说明 ............................................................................................................1-1 1.2 符号说明 ............................................................................................................1-1 2 使 用 和 操 作 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-1 2.1 配置方式 ............................................................................................................2-1 2.1.1 Console口连接配置 ....................................................................................2-2 2.1.2 Telnet连接配置 .........................................................................................2-4 2.1.3 SSH连接配置 ............................................................................................2-6 2.1.4 SNMP连接配置 .........................................................................................2-8 2.2 命令模式 ............................................................................................................2-9 2.3 命令行使用....................................................................................................... 2-10 2.3.1 在线帮助 ................................................................................................ 2-10 2.3.2 命令缩写 ................................................................................................ 2-12 2.3.3 命令历史 ................................................................................................ 2-12 3 系 统 管 理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-1 3.1 文件系统管理 .....................................................................................................3-1 3.1.1 文件系统介绍 ...........................................................................................3-1 3.1.2 文件系统操作 ...........................................................................................3-2 3.2 FTP/TFTP配置 ...................................................................................................3-3 3.2.1 交换机作为FTP客户端 ..............................................................................3-4 3.2.2 交换机作为TFTP客户端 ............................................................................3-5 3.3 文件备份与恢复..................................................................................................3-6 3.3.1 备份配置文件 ...........................................................................................3-6 3.3.2 恢复配置文件 ...........................................................................................3-6 3.3.3 备份系统软件版本 ....................................................................................3-7 3.3.4 恢复系统软件版本 ....................................................................................3-7 3.4 软件版本升级 .....................................................................................................3-7 I 3.4.1 系统异常时的版本升级..............................................................................3-7 3.4.2 系统正常时的版本升级............................................................................ 3-10 3.5 系统参数设置 ................................................................................................... 3-11 3.5.1 设置系统主机名 ...................................................................................... 3-11 3.5.2 设置系统启动时的问候语 ........................................................................ 3-11 3.5.3 设置特权模式密码 .................................................................................. 3-11 3.5.4 设置Telnet用户和密码 ............................................................................. 3-11 3.5.5 设置系统时间 ......................................................................................... 3-11 3.5.6 设置系统Console口用户连接参数 ............................................................. 3-12 3.5.7 设置系统telnet口用户连接参数................................................................. 3-12 3.5.8 允许多个用户对系统同时进行配置操作 ................................................... 3-12 3.6 系统信息查看 ................................................................................................... 3-12 3.6.1 显示系统软硬件版本信息 ........................................................................ 3-12 3.6.2 显示当前运行的配置信息 ........................................................................ 3-13 3.6.3 一键收集系统信息 .................................................................................. 3-13 3.6.4 一键收集系统故障诊断信息..................................................................... 3-14 3.6.5 系统异常显示以及记录............................................................................ 3-14 3.7 内存检测 .......................................................................................................... 3-14 3.7.1 功能概述 ................................................................................................ 3-14 3.7.2 命令说明 ................................................................................................ 3-14 3.7.3 内存检测配置实例 .................................................................................. 3-16 3.8 系统批量配置 ................................................................................................... 3-17 3.8.1 使用配置文件一键配置系统..................................................................... 3-17 3.9 设备断电告警 ................................................................................................... 3-19 4 端 口 配 置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4-1 4.1 端口基本配置 .....................................................................................................4-1 4.1.1 关闭/打开以太网端口 ...............................................................................4-2 4.1.2 使能/关闭以太网端口自动协商..................................................................4-2 4.1.3 以太网端口自动协商能力通告 ...................................................................4-3 4.1.4 设置以太网端口双工模式 ..........................................................................4-3 4.1.5 设置以太网端口速率 .................................................................................4-3 4.1.6 设置以太网端口流量控制 ..........................................................................4-3 II 4.1.7 允许/禁止巨帧通过以太网端口..................................................................4-4 4.1.8 设置端口别名 ...........................................................................................4-4 4.1.9 设置以太网端口广播风暴抑制 ...................................................................4-4 4.1.10 设置以太网端口组播包抑制 .....................................................................4-5 4.1.11 设置以太网端口未知包抑制 .....................................................................4-5 4.1.12 设置以太网端口的链路状态监控方式 .......................................................4-5 4.1.13 显示端口信息 ..........................................................................................4-5 4.1.14 线路诊断分析测试 ...................................................................................4-7 4.2 端口镜像配置 .....................................................................................................4-8 4.2.1 端口镜像概述 ...........................................................................................4-8 4.2.2 配置端口镜像 ...........................................................................................4-8 4.2.3 端口镜像配置实例 ....................................................................................4-8 4.3 端口环回检测配置 ............................................................................................ 4-11 4.3.1 端口环回检测概述 .................................................................................. 4-11 4.3.2 配置端口环回检测 .................................................................................. 4-11 4.3.3 配置端口环回检测实例............................................................................ 4-12 4.4 端口光模块的DOM功能 .................................................................................... 4-13 4.4.1 DOM功能概述 ........................................................................................ 4-13 4.4.2 配置DOM............................................................................................... 4-13 5 网 络 协 议 配 置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5-1 5.1 IP地址配置 .........................................................................................................5-1 5.1.1 IP地址概述 ...............................................................................................5-1 5.1.2 配置IP地址 ...............................................................................................5-2 5.1.3 IP地址配置实例 ........................................................................................5-2 5.2 ARP配置 ............................................................................................................5-3 5.2.1 ARP概述 ..................................................................................................5-3 5.2.2 配置ARP ..................................................................................................5-3 5.2.3 ARP配置实例 ...........................................................................................5-4 ACL配 配 置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6-1 6 ACL 6.1 ACL概述 ............................................................................................................6-1 6.2 配置ACL ............................................................................................................6-2 6.2.1 配置时间段 ...............................................................................................6-3 III 6.2.2 定义ACL ..................................................................................................6-3 6.2.3 将ACL应用到VLAN虚端口 ........................................................................6-7 6.2.4 将ACL应用到入端口方向 ..........................................................................6-7 6.2.5 将ACL应用到物理端口 ..............................................................................6-8 6.2.6 ACL支持重命名 ........................................................................................6-8 6.3 入端口方向ACL配置实例 ....................................................................................6-9 6.4 ACL的维护与诊断 ............................................................................................ 6-11 QoS配 配 置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-1 7 QoS 7.1 QoS概述.............................................................................................................7-1 7.1.1 流分类......................................................................................................7-2 7.1.2 流量监管 ..................................................................................................7-2 7.1.3 流量整形 ..................................................................................................7-3 7.1.4 添加/删除/修改vlan-id..............................................................................7-3 7.1.5 队列调度及缺省802.1p优先级 ....................................................................7-4 7.1.6 重定向及策略路由 ....................................................................................7-4 7.1.7 优先级标记 ...............................................................................................7-4 7.1.8 流镜像......................................................................................................7-5 7.1.9 流量统计 ..................................................................................................7-5 7.2 配置QoS.............................................................................................................7-5 7.2.1 配置流量监管 ...........................................................................................7-5 7.2.2 配置添加/删除/修改vlan-id .......................................................................7-6 7.2.3 配置流量限速 ...........................................................................................7-7 7.2.4 配置流量带宽限制 ....................................................................................7-7 7.2.5 配置队列调度及端口缺省802.1p优先级.......................................................7-8 7.2.6 配置重定向及策略路由..............................................................................7-8 7.2.7 配置优先级标记 ........................................................................................7-9 7.2.8 配置外层VLAN值......................................................................................7-9 7.2.9 配置流镜像 ............................................................................................. 7-10 7.2.10 配置尾丢弃 ........................................................................................... 7-10 7.2.11 配置流量统计 ........................................................................................ 7-11 7.3 QoS配置实例 .................................................................................................... 7-11 7.3.1 QoS典型配置实例 ................................................................................... 7-11 IV 7.3.2 策略路由配置实例 .................................................................................. 7-13 7.4 QoS的维护与诊断 ............................................................................................. 7-14 DHCP配 配 置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-1 8 DHCP 8.1 DHCP概述 .........................................................................................................8-1 8.2 配置DHCP .........................................................................................................8-2 8.2.1 配置IP地址池............................................................................................8-2 8.2.2 配置DHCP地址池 .....................................................................................8-3 8.2.3 配置DHCP策略.........................................................................................8-5 8.2.4 配置DHCP服务器 .....................................................................................8-6 8.2.5 配置DHCP SNOOPING.............................................................................8-8 8.2.6 配置DHCP中继....................................................................................... 8-10 8.2.7 配置DHCP Client .................................................................................... 8-14 8.3 DHCP配置实例 ................................................................................................ 8-14 8.3.1 DHCP服务器配置实例 ............................................................................ 8-14 8.3.2 DHCP中继配置实例 ................................................................................ 8-16 8.3.3 DHCP snooping防虚假DHCP服务器配置实例 ........................................... 8-17 8.3.4 DHCP snooping防静态IP设置配置实例 ..................................................... 8-17 8.4 DHCP的维护与诊断 ......................................................................................... 8-18 9 VRRP VRRP配 配 置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-1 9.1 VRRP概述 .........................................................................................................9-1 9.2 配置VRRP .........................................................................................................9-1 9.3 VRRP配置实例 ..................................................................................................9-3 9.3.1 基本VRRP配置.........................................................................................9-3 9.3.2 对称VRRP配置.........................................................................................9-3 9.4 VRRP的维护与诊断 ...........................................................................................9-4 10-1 10 网 络 管 理 配 置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10 10.1 NTP配置 ........................................................................................................ 10-1 10.1.1 NTP概述............................................................................................... 10-1 10.1.2 配置NTP............................................................................................... 10-1 10.1.3 NTP配置实例........................................................................................ 10-2 10.2 RADIUS配置 .................................................................................................. 10-3 10.2.1 RADIUS概述......................................................................................... 10-3 V 10.2.2 配置RADIUS......................................................................................... 10-3 10.2.3 RADIUS配置实例.................................................................................. 10-4 10.3 SNMP配置 ...................................................................................................... 10-5 10.3.1 SNMP概述 ............................................................................................ 10-5 10.3.2 配置SNMP ............................................................................................ 10-5 10.3.3 SNMP配置实例 ..................................................................................... 10-8 10.4 RMON配置 .................................................................................................... 10-8 10.4.1 RMON概述 .......................................................................................... 10-8 10.4.2 配置RMON .......................................................................................... 10-8 10.4.3 RMON配置实例 ................................................................................... 10-9 10.5 SysLog配置 .................................................................................................... 10-11 10.5.1 SysLog概述 .......................................................................................... 10-11 10.5.2 配置SysLog .......................................................................................... 10-11 10.5.3 SysLog配置实例 ................................................................................... 10-13 10.6 TACACS+配置.............................................................................................. 10-13 10.6.1 TACACS+概述 .................................................................................... 10-13 10.6.2 配置TACACS+ .................................................................................... 10-13 10.6.3 TACACS＋配置实例 ............................................................................ 10-16 11-1 DOT1X配 配置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11 11 DOT1X 11.1 DOT1X概述 ................................................................................................... 11-1 11.2 配置DOT1X ................................................................................................... 11-2 11.2.1 配置AAA............................................................................................... 11-2 11.2.2 配置DOT1X参数 ................................................................................... 11-4 11.2.3 配置本地认证用户 ................................................................................. 11-4 11.2.4 管理DOT1X认证接入用户 ..................................................................... 11-5 11.2.5 配置802.1x VLAN跳转 ........................................................................... 11-6 11.3 DOT1X配置实例............................................................................................. 11-6 11.3.1 DOT1X Radius认证应用......................................................................... 11-6 11.3.2 DOT1X中继认证应用 ............................................................................ 11-7 11.3.3 DOT1X本地认证应用 ............................................................................ 11-9 11.3.4 DOT1X多域功能 ................................................................................. 11-10 11.3.5 DOT1X本地认证时的VLAN跳转功能 ................................................... 11-10 VI 11.4 DOT1X的维护与诊断.................................................................................... 11-10 12-1 12 集 群 管 理 配 置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12 12.1 集群管理概述 ................................................................................................. 12-1 12.2 配置集群管理 ................................................................................................. 12-3 12.2.1 配置ZDP邻居发现协议 .......................................................................... 12-3 12.2.2 配置ZTP拓扑收集协议 .......................................................................... 12-3 12.2.3 建立集群............................................................................................... 12-4 12.2.4 维护集群............................................................................................... 12-5 12.3 集群管理配置实例........................................................................................... 12-6 12.4 集群管理的维护与诊断.................................................................................... 12-6 IPTV配 配置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13 13-1 13 IPTV 13.1 IPTV概述........................................................................................................ 13-1 13.2 配置IPTV........................................................................................................ 13-1 13.2.1 配置IPTV全局参数 ................................................................................ 13-1 13.2.2 配置IPTV频道 ....................................................................................... 13-2 13.2.3 配置频道访问控制CAC.......................................................................... 13-2 13.2.4 管理IPTV用户 ....................................................................................... 13-3 13.3 IPTV配置实例................................................................................................. 13-4 13.4 IPTV的维护和诊断 .......................................................................................... 13-5 VBAS配 配置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14 14-1 14 VBAS 14.1 VBAS概述 ....................................................................................................... 14-1 14.2 配置VBAS....................................................................................................... 14-1 14.2.1 启用/关闭VBAS..................................................................................... 14-1 14.2.2 启用VLAN VBAS ................................................................................... 14-1 14.2.3 配置VBAS信任端口 ............................................................................... 14-2 14.2.4 设置VBAS端口为用户端口或网络端口 .................................................... 14-2 14.3 VBAS配置实例 ................................................................................................ 14-2 14.4 VBAS的维护与诊断 ......................................................................................... 14-2 ZESR/ZESR+配 配置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15 15-1 15 ZESR/ZESR+ 15.1 ZESR/ZESR+概述 .......................................................................................... 15-1 15.2 配置ZESR/ZESR+ .......................................................................................... 15-1 VII 15.2.1 配置ZESR域保护实例............................................................................ 15-1 15.2.2 配置主环ZESR/ZESR+.......................................................................... 15-2 15.2.3 配置接入环ZESR................................................................................... 15-3 15.2.4 配置ZESR的重启时间............................................................................ 15-4 15.3 ZESR/ZESR+配置实例 ................................................................................... 15-5 15.3.1 ZESR配置实例 ...................................................................................... 15-5 15.3.2 ZESR与ZESR+混合配置实例 ................................................................. 15-9 MVCE配 配置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16 16-1 16 MVCE 16.1 MVCE概述 ..................................................................................................... 16-1 16.1.1 MVCE基础............................................................................................ 16-1 16.1.2 MVCE技术特点 ..................................................................................... 16-2 16.1.3 MVCE关键技术 ..................................................................................... 16-2 16.2 MVCE基本配置 .............................................................................................. 16-2 16.3 MVCE配置实例 .............................................................................................. 16-5 16.4 MVCE的维护与诊断...................................................................................... 16-15 17-1 17 安 全 性 配 置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17 17.1 IP Source Guard................................................................................................ 17-1 17.1.1 IP Source Guard概述 ............................................................................... 17-1 17.1.2 配置IP Source Guard ............................................................................... 17-1 17.1.3 IP Source Guard配置实例 ........................................................................ 17-1 17.2 控制平面安全配置........................................................................................... 17-3 17.2.1 控制平面安全概述 ................................................................................. 17-3 17.2.2 控制平面安全命令配置 .......................................................................... 17-4 17.2.3 控制平面安全配置实例 .......................................................................... 17-5 17.2.4 控制平面安全的维护与诊断 ................................................................... 17-5 17.3 DAI配置 ......................................................................................................... 17-6 17.3.1 DAI概述 ............................................................................................... 17-6 17.3.2 配置DAI ............................................................................................... 17-7 17.3.3 DAI的维护与诊断.................................................................................. 17-7 17.3.4 DAI配置实例......................................................................................... 17-7 17.4 MFF配置......................................................................................................... 17-8 17.4.1 MFF概述 ............................................................................................... 17-8 VIII 17.4.2 配置MFF............................................................................................... 17-9 17.4.3 MFF配置实例 ...................................................................................... 17-10 17.4.4 MFF的维护和诊断 ............................................................................... 17-11 M_button功 功能 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18 18-1 18 M_button 18.1 M_button功能介绍........................................................................................... 18-1 18.2 M_button功能模式切换 .................................................................................... 18-2 图目录 .................................................................................................... I 表 目 录 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . III 缩略语表 ............................................................................................... V IX X 前言 手册说明 本手册为《ZXR10 3900E系列（V2.8.23.B2）易维路由交换机用户手册基本配置分册》， 适用于ZXR10 3900E系列（V2.8.23.B2）易维路由交换机（简称ZXR10 3900E，在通用部 分也简称为交换机）包括： l ZXR10 3928E易维路由交换机 l ZXR10 3928E-FI易维路由交换机 l ZXR10 3952E易维路由交换机 ZXR10 3900E的配套手册有： l ZXR10 3900E系列（V2.8.23.B2）易维路由交换机硬件手册 l ZXR10 3900E系列（V2.8.23.B2）易维路由交换机用户手册基本配置分册 l ZXR10 3900E系列（V2.8.23.B2）易维路由交换机用户手册以太网交换分册 l ZXR10 3900E系列（V2.8.23.B2）易维路由交换机用户手册IPv4路由分册 l ZXR10 3900E系列（V2.8.23.B2）易维路由交换机用户手册IPv6分册 ZXR10 3900E系列（V2.8.23.B2）易维路由交换机支持的命令是基于统一平台ZXROS V4.8.23版本。 内容介绍 ZXR10 3900E系列（V2.8.23.B2）易维路由交换机用户手册基本配置分册的章节及其概要 如下所示： 章名 概要 第1章 安全说明 介绍安全说明和符号说明 第2章 使用和操作 介绍了配置方式、命令模式以及命令行的使用 第3章 系统管理 介绍了系统管理，描述了交换机的文件系统及其操作，详细说明 了软件版本升级的步骤 第4章 端口配置 介绍ZXR10 3900E上端口的配置 第5章 网络协议配置 介绍ZXR10 3900E上IP地址和ARP配置 第6章 ACL配置 介绍ACL概念，配置命令和配置实例 第7章 QOS配置 介绍QOS概念，配置命令和配置实例 第8章 DHCP配置 介绍DHCP概念，配置命令和配置实例 I 章名 概要 第9章 VRRP配置 介绍VRRP概念，配置命令和配置实例 第10章 网络管理配置 介绍NTP、RADIUS、SNMP、RMON和SysLog的配置 第11章 DOT1X配置 介绍DOT1X概念，配置命令和配置实例 第12章 集群管理配置 介绍集群管理概念，配置命令和配置实例 第13章 IPTV配置 介绍IPTV概念，配置命令和配置实例 第14章 VBAS配置 介绍VBAS概念，配置命令和配置实例 第15章 ZESR配置 介绍ZESR概念，配置命令和配置实例 第16章 MVCE配置 介绍MVCE概念，配置命令和配置实例 第17章 安全性配置 介绍安全性配置的配置命令和配置实例 第18章 M_Button功能 介绍M_Button功能和模式切换的方法 II 1 安全说明 本章包含如下主题： Ÿ 安全说明 1-1 Ÿ 符号说明 1-1 1.1 安全说明 本设备中存在高温和高压，只有经过培训合格的专业人员才能进行安装、操作和维护。 在设备安装、操作和维护中，必须遵守所在地的安全规范和相关操作规程，否则可能会 导致人身伤害或设备损坏。手册中提到的安全注意事项只作为当地安全规范的补充。 设备中的debug命令会严重影响设备性能，请慎重使用。特别是debug all命令，会把所 有debug进程全打开，在带业务的设备上不应该使用。建议在用户网络正常的情况下， 不要使用debug命令。 中兴通讯不承担任何因违反通用安全操作要求或违反设计、生产和使用设备安全标准而 造成的责任。 1.2 符号说明 对设备进行安装、操作和维护时需要注意的一些内容，采用如下格式进行说明。 警告! 表示若忽视安全告诫，就有可能发生重大或严重伤害事故，或损坏设备。 注意！ 表示若忽视安全告诫，就有可能发生伤害事故，或损坏设备。 SJ-20100901084759-002 | 2011-02-10(R1.0) 1-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 说明： 除安全说明以外的需要特别注意的内容。 1-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 2 使用和操作 本章包含如下主题： Ÿ 配置方式 2-1 Ÿ 命令模式 2-9 Ÿ 命令行使用 2-10 2.1 配置方式 ZXR10 3900E提供了多种配置方式，如图2-1所示，用户可以根据所连接的网络选用适当 的配置方式。 1. 串口连接配置 2. TELNET连接配置 3. SSH连接配置 4. SNMP连接配置 图2-1 ZXR10 3900E配置方式 SJ-20100901084759-002 | 2011-02-10(R1.0) 2-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 2.1.1 Console口连接配置 Console口连接配置是ZXR10 3900E的主要配置方式。Console口连接配置采用VT100终端 方式，下面以Window操作系统提供的超级终端工具配置为例进行说明。 1. 开始 → 程 序 → 附 件 → 通 讯 → 将PC机与ZXR10 3900E进行正确连线之后，点击系统的[开 超 级 终 端 ]，进行超级终端连接，如图2-2所示。 图2-2 超级终端连接 2. 在出现图2-3时，按要求输入有关的位置信息：国家/地区代码、地区电话号码编号 和用来拨外线的电话号码。 图2-3 位置信息 2-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 2 使用和操作 3. 连接 说 明 对话框时，为新建的连接输入名称并为该连接选择图标。如图2-4所 弹出连 示。 图2-4 新建连接 4. 根据配置线所连接的串行口，选择连接串行口为COM1或者COM2。如图2-5所示。 图2-5 连接配置资料 5. 设置所选串行口的端口属性。端口属性的设置主要包括以下内容：波特率“9600”， 数据位“8”，奇偶校验“无”，停止位“1”，数据流控制“无”，如图2-6所示。 SJ-20100901084759-002 | 2011-02-10(R1.0) 2-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 图2-6 端口属性配置设置 确定按钮完成设置。加电启动ZXR10 3900E， 检查前面设定的各项参数正确无误后，点击确 等待系统启动完毕后，进入配置模式进行操作。 2.1.2 Telnet连接配置 可以在本地或远程通过Telnet连接对ZXR10 3900E进行配置。Telnet配置是对ZXR10 3900E 进行远程配置的主要方式。 为了防止非法用户使用Telnet访问交换机，必须在交换机上设置Telnet访问的用户名和密 码，只有使用正确的用户名和密码才能登录到交换机。使用以下命令配置用户名和密码。 username < username>password< password> 为了增强交换机的安全性，交换机可以限制某些IP地址用户telnet登录。使用以下命令配 置允许或者拒绝telnet的IP地址。 line telnet access-class < basic access list> 通过VLAN接口进行Telnet连接，存在以下两种情况： 1. 2-4 通过主机直接连接并Telnet到交换机 a. 通过Console口配置VLAN和VLAN接口的IP地址。 b. 通过Console口配置Telnet登录的用户名和密码。 SJ-20100901084759-002 | 2011-02-10(R1.0) 2 使用和操作 c. 将主机网口连接到交换机的以太网端口。 d. 设置主机的IP地址，必须与VLAN接口的IP地址在同一网段，使主机能够ping通 交换机上VLAN接口的IP地址。 e. 在主机上运行telnet命令，输入VLAN接口的IP地址，登录到交换机。 如图2-7所 示。 图2-7 运行telnet f. 确定 按钮，显示如图2-8所示的窗口。 点击确 图2-8 Telnet登录示意图 g. 根据提示输入正确的用户名和密码，即可进入交换机的配置状态。 SJ-20100901084759-002 | 2011-02-10(R1.0) 2-5 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 说明： a. ZXR10 3900E最多允许16个Telnet用户同时登录。 b. 通过VLAN接口连接到交换机进行Telnet配置时，不能修改或删除接口的IP地址， 或修改连接链路所在交换机端口的属性，否则会导致Telnet连接断开。 2. 通过其他设备（如交换机、路由器）Telnet到交换机 a. 通过Console口配置VLAN和VLAN接口的IP地址。 b. 通过Console口配置Telnet登录的用户名和密码。 c. 以路由器为例，该路由器与交换机相连，从路由器上能够ping通交换机上VLAN 接口的IP地址。 d. 在路由器上运行telnet命令，输入VLAN接口的IP地址，登录到交换机。 2.1.3 SSH连接配置 传统的Telnet、FTP连接存在不安全因素，因为它们在网络上使用明文传送口令和数 据，很容易被攻击者截获。Telnet、FTP的安全验证也存在弱点，容易受到“中间人” （man-in-the-middle）方式的攻击，“中间人”冒充服务器接收客户端发送的数据，然 后再冒充客户端把数据传给真正的服务器。 使用SSH（Secure Shell）可以解决这种安全隐患。SSH为非安全网络上的远程登录和其他 网络服务建立一个安全通道，对传输的所有数据进行加密和压缩，即使有人截获这些数 据也无法得到有用的信息。 目前SSH协议有两个不兼容的版本：SSH v1.x和SSH v2.x，ZXR10 3900E支持SSH v2.0， 提供安全的远程登录功能。 SSH分为服务器和客户端两部分，ZXR10 3900E作为SSH的服务器，主机通过运行SSH客 户端来登录交换机。步骤如下： 1. 使用下列命令在ZXR10 3900E（下文简称交换机）上启动SSH服务器功能。缺省配置 下SSH服务器功能是关闭的。 ZXR10(config)#ssh server enable 2. 配置SSH用户认证方式 全局配置模式下： ZXR10(config)#ssh server authentication mode { local | radius | tacacs } 说明：配置SSH用户的认证方式为本地/radius/tacacs认证。 2-6 SJ-20100901084759-002 | 2011-02-10(R1.0) 2 使用和操作 举例： 启动SSH功能，配置用户认证方式为tacacs认证。 ZXR10(config)#ssh server enable ZXR10(config)#ssh server authentication mode tacacs 3. 将主机网口连接到交换机的以太网端口，通过配置使主机能够ping通交换机上VLAN 接口的IP地址。 4. 在主机上运行SSH客户端软件（常用软件为putty）。 a. 设置SSH服务器的IP地址和端口号，如图2-9所示。 图2-9 设置SSH服务器的IP地址和端口号 b. 设置SSH的版本号，如图2-10所示。 SJ-20100901084759-002 | 2011-02-10(R1.0) 2-7 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 图2-10 设置SSH的版本号 5. Open按钮登录交换机，根据提示输入正确的用户名和密码。 点击Open Open 登录成功后，进入交换机的配置界面，就可以进行正常的配置。 2.1.4 SNMP连接配置 简单网络管理协议（SNMP，Simple Network Management Protocol）是目前最流行的一种 网管协议，通过该协议可以使用一台网管服务器来管理网络中的所有设备。 SNMP采用基于服务器和客户端的管理，后台网管服务器作为SNMP服务器，前台网络 设备ZXR10 3900E作为SNMP客户端。前后台共享同一个MIB管理库，通过SNMP协议进 行通讯。 后台网管服务器需安装支持SNMP协议的网管软件，通过网管软件对ZXR10 3900E进行 管理配置。 2-8 SJ-20100901084759-002 | 2011-02-10(R1.0) 2 使用和操作 2.2 命令模式 为方便用户对交换机进行配置和管理，ZXR10 3900E根据功能和权限将命令分配到不同 的模式下，一条命令只有在特定的模式下才能执行。ZXR10 3900E的主要命令模式如表 2-1所示。 表2-1 命令模式 模式 提示符 进入命令（准入模式） 用户模式 ZXR10> 登录系统后直接进入 特权模式 ZXR10# enable（用户模式） 全局配置模式 ZXR10(config)# configure terminal（特权模式） 端口配置模式 ZXR10(config-fei_1/x)# interface { < interface-name> | byname < by-name> } （全局配置模式） VLAN数据库配置模式 ZXR10(vlan)# vlan database（特权模式） VLAN配置模式 ZXR10(config-vlanX)# vlan { < vlan-id>|< vlan-name> } （全局配置模式） VLAN接口配置模式 ZXR10(config-if-vlanX)# interface { vlan < vlan-id>|< vlan-if> } （全局配置 模式） MSTP配置模式 ZXR10(config-mstp)# spanning-tree mst configuration（全局配置模式） 基本ACL配置模式 ZXR10(config-std-acl)# acl standard { number < acl-number> | name < acl-name> } （全局配置模式） 扩展ACL配置模式 ZXR10(config-ext-acl)# acl extended { number < acl-number> | name < acl-name> } （全局配置模式） 二层ACL配置模式 ZXR10(config-link-acl)# acl link { number < acl-number> | name < acl-name> } （全局配置模式） 混合ACL配置模式 ZXR10(config-hybd-acl)# acl hybrid { number < acl-number> | name < acl-name> } （全局配置模式） VRF配置模式 ZXR10(config-vrf)# ip vrf < vrf-name> （全局配置模式） RIP路由配置模式 ZXR10(config-router)# router rip（全局配置模式） RIP地址族配置模式 ZXR10(config-router-af)# address-family ipv4 vrf < vrf-name> （RIP路由配置 模式） OSPF路由配置模式 ZXR10(config-router)# router ospf < process-id> [ vrf < vrf-name> ] （全局 配置模式） IS-IS路由配置模式 ZXR10(config-router)# router isis [ vrf < vrf-name> ] （全局配置模式） BGP路由配置模式 ZXR10(config-router)# router bgp < as-number> （全局配置模式） BGP地址族配置模式 ZXR10(config-router-af)# address-family { { ipv4 { multicast | vrf < vrf-name> } } | ipv6 } （BGP路由配置模式） PIM-SM路由配置模式 ZXR10(config-router)# SJ-20100901084759-002 | 2011-02-10(R1.0) router pimsm（全局配置模式） 2-9 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 模式 提示符 进入命令（准入模式） 路由映射配置模式 ZXR10(config-route-map)# route-map < map-tag> | { [ < sequence-number> | permit| deny] | < sequence-number> ] } （全局配置 模式） 诊断测试模式 ZXR10(diag)# diagnose（特权模式） 在任何命令模式下输入问号（?）都可以查看该模式下允许使用的命令。 退出各种命令模式的方法如下： 1. 在特权模式下，使用disable命令返回用户模式。 2. 在用户模式和特权模式下，使用exit命令退出交换机；在其他命令模式下，使用exit 命令返回上一模式。 3. 返回到特 在用户模式和特权模式以外的其他命令模式下，使用end命令或按 权模式。 2.3 命令行使用 2.3.1 在线帮助 在任意命令模式下，只要在系统提示符后面输入一个问号（?），就会显示该命令模式下 可用命令的列表。利用在线帮助功能，还可以得到任何命令的关键字和参数列表。 1. 在任意命令模式的提示符下输入问号（?），可显示该模式下的所有命令和命令的简 要说明。举例如下： ZXR10>? Exec commands: disable Turn off privileged commands enable Turn on privileged commands exitExit from the EXEC login Login as a particular user logout Exit from the EXEC pingSend echo messages ping6 Send IPv6 echo messages quitQuit from the EXEC showShow running system information 2-10 telnet Open a telnet connection telnet6 Open a telnet6 connection trace Trace route to destination trace6 Trace route to destination using IPv6 SJ-20100901084759-002 | 2011-02-10(R1.0) 2 使用和操作 who List users who are logining on 2. 在字符或字符串后面输入问号，可显示以该字符或字符串开头的命令或关键字列表。 注意在字符（字符串）与问号之间没有空格。举例如下： ZXR10#co? configure copy ZXR10#co 3. Tab键，如果以该字符串开头的命令或关键字是唯一的，则将其补 在字符串后面按Tab Tab Tab键之间没有空格。举例如下： 齐，并在后面加上一个空格。注意在字符串与Tab Tab ZXR10#con ZXR10#configure 4. (configure和光标之间有一个空格) 在命令、关键字、参数后输入问号（?），可以列出下一个要输入的关键字或参数， 并给出简要解释。注意问号之前需要输入空格。举例如下： ZXR10#configure ? terminal Enter configuration mode ZXR10#configure 5. 如果输入不正确的命令、关键字或参数，回车后用户界面会用“^”符号提供错误隔 离。“^”号出现在所输入的不正确的命令、关键字或参数的第一个字符的下方。举 例如下： ZXR10#von ter ^ % Invalid input detected at '^' marker. ZXR10# 在下列实例中，利用在线帮助功能设置系统时钟。 ZXR10#cl? clear clock ZXR10#clock ? set Set the time and date ZXR10#clock set ? hh:mm:ss Current Time ZXR10#clock set 13:32:00 % Incomplete command. 在实例的最后，系统提示命令不完整，说明需要输入其他的关键字或参数。 SJ-20100901084759-002 | 2011-02-10(R1.0) 2-11 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 说明： 命令行操作中的所有命令不区分大小写。 2.3.2 命令缩写 ZXR10 3900E允许把命令和关键字缩写成能够唯一标识该命令或关键字的字符或字符串， 例如，可以在除端口配置模式和vlan接口配置模式以外的任何模式下把show命令缩写成 sh或sho。 2.3.3 命令历史 用户界面提供了对所输入命令的记录功能，最多可以记录10条历史命令，该功能对重新 调用长的或复杂的命令特别有用。 从记录缓冲区中重新调用命令，执行如表2-2所示操作。 表2-2 调用历史命令操作 命令 作用 或<↑><↑>按< 向前调用缓冲区中的历史命令 或<↓><↓>按< 向后调用缓冲区中的历史命令 在特权模式下使用show history命令可以列出该模式下最新输入的几条命令。 2-12 SJ-20100901084759-002 | 2011-02-10(R1.0) 3 系统管理 本章包含如下主题： Ÿ 文件系统管理 3-1 Ÿ FTP/TFTP配置 3-3 Ÿ 文件备份与恢复 3-6 Ÿ 软件版本升级 3-7 Ÿ 系统参数设置 3-11 Ÿ 系统信息查看 3-12 Ÿ 内存检测 3-14 Ÿ 系统批量配置 3-17 Ÿ 设备断电告警 3-19 3.1 文件系统管理 3.1.1 文件系统介绍 在ZXR10 3900E中，通常我们接触到的主要存储设备是主控板上的FLASH，ZXR10 3900E 的软件版本文件和配置文件都存储在FLASH中。软件版本升级、配置保存都需要对FLASH 进行操作。 FLASH中缺省包含三个目录，分别是IMG、CFG、DATA。 1. IMG：该目录用于存放软件版本文件。ZXR10 3900E的软件版本文件名为zxr10.zar， 是专用的压缩文件。版本升级就是更改该目录下的软件版本文件。 说明： ZXR10 3900E软件版本文件的名称默认为zxr10.zar，不能修改为别的名称。 2. CFG：该目录用于存放配置文件，配置文件的名称为startrun.dat。当使用命令修改交 换机的配置时，这些信息存放在内存中，为防止配置信息在交换机关电重启时丢失， SJ-20100901084759-002 | 2011-02-10(R1.0) 3-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 需要用write命令将内存中的信息写入FLASH，保存在startrun.dat文件中。当需要清除 交换机中的原有配置，重新配置数据时，可以使用delete命令将startrun.dat文件删除， 然后重新启动交换机。 3. DATA：该目录用于存放记录告警信息的log.dat等文件。 说明： 一般情况下，FLASH中都有这三个目录，如果因为误删除或者是FLASH中遭到破坏导 致没有IMG、CFG、DATA三个目录，可以用mkdir命令手工创建或者用format flash 命令格式化FLASH，格式化FLASH时会自动创建这三个目录。在格式化FLASH后注 意将版本文件拷贝到FLASH中，否则下次重启时只能通过网络加载版本。 3.1.2 文件系统操作 ZXR10 3900E提供了许多命令用于文件操作，命令格式与DOS操作系统的命令类似，常 见文件操作命令如下。 命令 功能 ZXR10#copy < source-device>< source-file>< destination-device>< 在FLASH设备和FTP/TFTP服务器之间 destination-file> 拷贝文件 ZXR10#pwd 查看当前目录路径 ZXR10#dir [ < directory> ] 查看指定设备或目录下的文件和子目录 信息 ZXR10#delete < filename> 删除当前设备指定目录下的文件 ZXR10#cd < directory> 进入指定文件设备或进入当前设备下的 文件目录，并能退回到上一级目录 ZXR10#mkdir< directory> 在当前目录下创建新的子文件目录 ZXR10#rmdir< directory> 删除指定的文件目录 ZXR10#rename < source-filename>< destination-filename> 修改指定文件或目录的名称 ZXR10# ZXR10# 下面通过实例操作来说明文件操作命令的使用。 1. 查看FLASH中当前文件信息。 ZXR10#dir Directory of flash:/ attribute 3-2 size date time name SJ-20100901084759-002 | 2011-02-10(R1.0) 3 系统管理 1 drwx 512 MAY-17-2004 14:22:10 img 2 drwx 512 MAY-17-2004 14:38:22 cfg 3 drwx 512 MAY-17-2004 14:38:22 data 16117760 bytes total (3485696 bytes free) ZXR10#cd img ZXR10#dir Directory of flash:/img attribute size date time name 1 drwx 512 MAY-17-2004 14:22:10 . 2 drwx 512 MAY-17-2004 14:22:10 .. 3 -rwx 15922273 MAY-17-2004 14:29:18 zxr10.zar 16117760 bytes total (3485696 bytes free) 2. 在FLASH中创建目录ABC，然后将其删除。 ZXR10#mkdir ABC ZXR10#dir Directory of flash:/ attribute size date time name 1 drwx 512 MAY-17-2004 14:22:10 IMG 2 drwx 512 MAY-17-2004 14:38:22 CFG 3 drwx 512 MAY-17-2004 14:38:22 DATA 4 drwx 512 MAY-17-2004 15:40:24 ABC 65007616 bytes total (48861184 bytes free) ZXR10#rmdir ABC ZXR10#dir Directory of flash:/ attribute size date time name 1 drwx 512 MAY-17-2004 14:22:10 IMG 2 drwx 512 MAY-17-2004 14:38:22 CFG 3 drwx 512 MAY-17-2004 14:38:22 DATA 65007616 bytes total (48863232 bytes free) 3.2 FTP/TFTP配置 ZXR10 3900E可以作为FTP/TFTP的客户端。通过使用FTP/TFTP，可以对ZXR10 3900E 上的文件进行备份与恢复，还可以进行配置的导入与导出。 SJ-20100901084759-002 | 2011-02-10(R1.0) 3-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 3.2.1 交换机作为FTP客户端 在后台主机启动FTP服务器软件，把交换机作为客户端进行通信。下面以FTP服务器软件 wftpd为例说明后台FTP服务器的配置。 1. 在后台主机运行wftpd软件，出现如图3-1所示界面。 图3-1 WFTPD界面 2. Security，选择User/Rights… User/Rights…，在弹出的对话框中进行以下操作： 点击菜单项Security Security User/Rights… a. New User… User…按钮新建一个用户，如target，并设置密码； 点击New b. User Name Name下拉框中选中用户名target； 在User c. Home Directory Directory框中输入存放版本文件或配置文件的目录，如D盘的IMG目录。 在Home 完成设置后对话框如图3-2所示。 3-4 SJ-20100901084759-002 | 2011-02-10(R1.0) 3 系统管理 图3-2 User/Rights安全设置对话框 3. Done按钮完成设置。 点击Done Done 启动FTP服务器后，在交换机上执行copy命令进行文件的备份/恢复和配置的导入/导出。 3.2.2 交换机作为TFTP客户端 在后台主机启动TFTP服务器软件，把交换机作为客户端进行通信。下面以TFTP服务器 软件tftpd为例说明后台TFTP服务器的配置。 1. 在后台主机运行tftpd软件，出现如图3-3所示界面。 图3-3 TFTPD界面 2. Tftpd→Configure），在弹出的对话框中点击Browse Browse按钮，选择存放版 点击菜单项（Tftpd→Configure Tftpd→Configure Browse 本文件或配置文件的目录，如D盘的IMG目录。 完成设置后对话框如图3-4所示。 SJ-20100901084759-002 | 2011-02-10(R1.0) 3-5 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 图3-4 Configure对话框 3. OK按钮完成设置。 点击OK OK 启动TFTP服务器后，在交换机上执行copy命令进行文件的备份/恢复和配置的导入/导 出。 3.3 文件备份与恢复 利用FTP/TFTP可以将ZXR10 3900E上的软件版本文件、配置文件、日志文件等备份到后 台服务器，或从后台服务器恢复备份的文件。 3.3.1 备份配置文件 使用write命令将配置信息保存到startrun.dat文件中后，可以将其备份到后台FTP/TFTP服 务器，防止该文件遭到破坏时无法恢复。 执行如下命令将FLASH中的配置文件备份到连接到交换机业务接口的后台TFTP服务器： ZXR10#copy flash: /cfg/startrun.dat tftp: //168.1.1.1/startrun.dat 3.3.2 恢复配置文件 执行如下命令从连接到交换机业务接口的后台TFTP服务器恢复备份的配置文件： ZXR10#copy tftp: //168.1.1.1/startrun.dat flash: /cfg/startrun.dat 3-6 SJ-20100901084759-002 | 2011-02-10(R1.0) 3 系统管理 3.3.3 备份系统软件版本 在升级软件版本前，需要将当前运行的版本文件备份到后台服务器，如果新版本加载不 成功，可以从后台服务器恢复旧版本。软件版本文件备份与配置文件备份类似。 执行如下命令将FLASH中的软件版本文件备份到连接到交换机业务接口的后台TFTP服务 器根目录下的img目录： ZXR10#copy flash: /img/zxr10.zar tftp: //168.1.1.1/img/zxr10.zar 3.3.4 恢复系统软件版本 版本恢复的目的是把备份到后台服务器的软件版本文件通过FTP/TFTP重新传到前台交 换机的FLASH中。在版本升级失败时进行恢复操作非常重要。版本恢复操作与版本升级 操作步骤基本相同。 如上所述，ZXR10 3900E支持配置文件的导入/导出功能。通过FTP/TFTP将配置文件 startrun.dat拷贝到后台主机，在后台主机上用文本编辑工具对startrun.dat文件进行编辑， 然后再通过FTP/TFTP将修改后的配置文件拷贝到前台交换机FLASH设备的CFG目录下， 该文件在下次系统重起时生效。 说明： 1. 使用copy命令对后台主机和交换机进行FTP文件传输时，先要设置主机的IP地址与 VLAN接口的IP地址在同一网段，主机连接的交换机端口属于该VLAN，使主机能够 ping通交换机上VLAN接口的IP地址。 2. 利用文本编辑工具对startrun.dat文件进行编辑时，注意格式要符合命令要求，并且配 置文件的头和尾不要进行修改，否则可能导致配置文件无法加载。 3.4 软件版本升级 通常只有在某些功能原有版本不支持或者某些特殊原因导致设备无法正常运行时，才需 要进行软件版本升级。如果版本升级操作不当，可能会导致升级失败，系统无法启动。 因此，在进行软件版本升级之前，维护人员必须熟悉ZXR10 3900E的原理及操作，认真 学习升级步骤。 3.4.1 系统异常时的版本升级 下面描述当ZXR10 3900E无法正常启动时软件版本升级的具体步骤： 1. 将随机附带的串口配置线，RJ45头的一端连接至ZXR10 3900E的配置口（主控板的 Console口），另外一端的DB9接口连接至后台主机串口；两头都是RJ45接口的网线 SJ-20100901084759-002 | 2011-02-10(R1.0) 3-7 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 一端连接至后台主机网口，另一端连接到ZXR10 3900E第一个子卡的任意一个端口， 记住所连接的端口号。 2. 将用于升级的后台主机与交换机的管理以太口的IP地址设置在同一网段。 3. 启动后台FTP服务器。 4. 重启动ZXR10 3900E，在超级终端下根据提示按任意键进入Boot状态。显示如下： ZXR10 System Boot Version: 1.0 Creation date: Dec 31 2002, 14:01:52 (省略) Press any key to stop for change parameters... 2 [ZXR10 Boot]: 在Boot状态下输入“c”，回车后进入参数修改状态。将启动方式改为从后台FTP启 动，将FTP服务器地址改为相应的后台主机地址，将客户端地址及网关地址均改为交 换机管理以太口地址，设置相应子网掩码及FTP用户名和密码。参数修改完毕后， 出现[ZXR10 Boot]:提示。 [ZXR10 Boot]:c '.' = clear field; '-' = go to previous field; ^D = quit Boot Location [0:Net,1:Flash] : 0 Port Number : 24 Client IP [0:bootp]: 168.4.168.168 Netmask: 255.255.0.0 Server IP [0:bootp]: 168.4.168.89 Gateway IP: 168.4.168.168 FTP User: target FTP Password: FTP Password Confirm: Boot Path: zxr10.zar Enable Password: Enable Password Confirm: [ZXR10 Boot]: 5. 输入“@”，回车后系统自动从后台FTP服务器启动版本。 [ZXR10 Boot]:@ Loading... get file zxr10.zar[15922273] successfully! file size 15922273. 3-8 SJ-20100901084759-002 | 2011-02-10(R1.0) 3 系统管理 ******************************************************************** Welcome to ZXR10 3928E Switch of ZTE Corporation ******************************************************************** ZXR10> 6. 如果正常启动，用show version命令查看新的版本是否已在内存中运行，若仍为旧版 本，说明从后台服务器设置错误，检查后台版本文件以及FTP服务器设置，然后从步 骤1开始重新进行操作。 7. 用delete命令将FLASH中IMG目录下旧的版本文件zxr10.zar删除。如果FLASH的空间 足够，也可以不用删除旧版本，将其改名即可。 8. 将后台FTP服务器中的新版本文件拷入FLASH的IMG目录中。版本文件名为zxr10.zar。 a. 建立临时的用于和主机互通的VLAN接口（假设接口IP地址为：168.4.168.1）。 b. 设置主机的IP地址（假设为168.4.168.89），必须与VLAN接口的IP地址在同一网 段，主机连接的端口属于该VLAN，使主机能够ping通交换机上VLAN接口的IP地 址。 c. 在特权模式下使用copy命令： ZXR10#copy ftp: //168.4.168.89/zxr10.zar@target:target flash: /img/zxr10.zar Starting copying file ................................................................. ................................................................. ...................................... file copied successfully. ZXR10# 9. 查看FLASH中是否有新的版本文件。如果不存在，说明拷贝失败，需执行步骤8重新 拷贝版本。 10. 重新启动ZXR10 3900E，按照步骤4中的办法，将启动方式改为从FLASH启动，这时 要把“Boot path”修改为“/flash/img/zxr10.zar”。 SJ-20100901084759-002 | 2011-02-10(R1.0) 3-9 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 说明： 启动方式也可以在全局配置模式下用nvram imgfile-location local命令改为从FLASH启 动。 11. 在[ZXR10 Boot]:下输入“@”，回车后系统将从FLASH中启动新版本。 12. 正常启动后，查看运行的版本，确认升级是否成功。 3.4.2 系统正常时的版本升级 如果升级之前交换机运行正常，软件版本升级的方法有多种，如将交换机作为FTP或TFTP 的客户端来拷贝版本，利用FTP还可以进行远程升级。下面是将交换机作为FTP的客户 端，在本地进行升级的步骤。 1. 将随机附带的串口配置线，RJ45头的一端连接至ZXR10 3900E的配置口（主控板的 Console口），另外一端的DB9接口连接至后台主机串口；两头都是RJ45接口的网线 一端连接至后台主机网口，另一端连接到ZXR10 3900E的一个端口。 2. 将用于升级的后台主机与交换机相连端口所在VLAN接口的IP地址设置在同一网段， 保证后台主机能够ping通交换机VLAN接口地址。 3. 启动后台FTP服务器。 4. 查看当前运行版本的信息。 5. 用delete命令将FLASH中IMG目录下旧的版本文件删除。如果FLASH的空间足够，也 可以不用删除旧版本，将其改名即可，推荐使用改名方式。 6. 将后台FTP服务器中的新版本文件拷入FLASH的IMG目录中。版本文件名为zxr10.zar。 7. 查看FLASH中IMG目录下是否有新的版本文件，版本文件大小是否后台服务上的版 本文件大小相同。如果文件不存在或者大小不同，说明拷贝失败，需执行步骤5重新 拷贝版本。 8. 重新启动交换机，正常启动后，查看运行的版本，确认升级是否成功。 说明： 远程升级通过telnet对交换机进行控制，使用ftp将主机上的版本文件拷入交换机，然后远 程重启，等待系统运行正常后，需要重新telnet查看版本信息。注意，远程升级要慎重， 不要忘记保存当前配置或对相关文件进行备份。 3-10 SJ-20100901084759-002 | 2011-02-10(R1.0) 3 系统管理 3.5 系统参数设置 3.5.1 设置系统主机名 系统缺省的主机名为ZXR10，在全局配置模式下使hostname < network-name> 命令可以 修改主机名。 修改主机名后立即生效，提示符中将使用新的主机名。 3.5.2 设置系统启动时的问候语 在全局模式用banner命令可设置问候语，问候语以自定义的字符开始和结束，举例如下： ZXR10(config)#banner incoming C Enter TEXT message. End with the character 'C'. *********************************** Welcome to ZXR10 Switch World ********************************** C ZXR10(config)# 3.5.3 设置特权模式密码 在特权模式下可以设置操作参数，还可以进入配置模式。为防止未经授权的用户随意修 改配置，必须在全局模式设置进入特权模式的密码。 命令 功能 ZXR10(config)#enable secret [ level < level number> ] { 0 < password> 设置特权模式密码 | 5 < password>|< password> } 3.5.4 设置Telnet用户和密码 命令 功能 ZXR10(config)#username < username>password< password> 设置Telnet用户和密码 3.5.5 设置系统时间 命令 功能 ZXR10#clock set < current-time>< month>< day>< year> 设置系统时间 SJ-20100901084759-002 | 2011-02-10(R1.0) 3-11 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 3.5.6 设置系统Console口用户连接参数 命令 功能 ZXR10(config)#line console idle-timeout < idle-timeout> 设置idle-timeout时间 ZXR10(config)#line console absolute-timeout < absolute-timeout> 设置absolute-timeout时间 3.5.7 设置系统telnet口用户连接参数 命令 功能 ZXR10(config)#line telnet access-class < access-list-number> 设置access-class ZXR10(config)#line telnet idle-timeout < idle-timeout> 设置idle-timeout时间 ZXR10(config)#line telnet absolute-timeout < absolute-timeout> 设置absolute-timeout时间 在line console和line telnet后都有参数absolute-timeout和idle-timeout，absolute-timeout指从 建立连接开始到连接超时的时间，idle-timeout指从用户最后一次进行操作后的空闲超时 时间，连接超时后系统会自动断开连接，用户如果需要继续对交换机系统进程操作必须 重新经常登录。缺省absolute-timeout为1440分钟，idle-timeout为120分钟。 3.5.8 允许多个用户对系统同时进行配置操作 ZXR10(config)#multi-user configure 此配置可能会导致交换机配置紊乱，一定要慎重。 3.6 系统信息查看 3.6.1 显示系统软硬件版本信息 执行show version命令后显示类似下面的信息： DUT1(config)#sho ver ZXR10 Router Operating System Software,ZTE Corporation ZXR10 ROS Version V4.08.23 ZXR10_3928E Software, Version ZXR10 5900&5200 V2.8.23.B.08, RELEASE SOFTWARE Copyright (c) 2000-2007 by ZTE Corporation Compiled Jan 20 2010, 08:12:06 System image files are flash: System uptime is 2 days, 20 hours, 39 minutes [MPU] 3-12 SJ-20100901084759-002 | 2011-02-10(R1.0) 3 系统管理 Main processor: Motorola XPC8241 with 256M bytes of memory 8K bytes of non-volatile configuration memory 16M bytes of processor board System flash (Read/Write) ROM: System Bootstrap, Version: V1.13 , RELEASE SOFTWARE Hardware Version: V1.0, CPLD Version: V1.0 System serial: 4294967295 System temperature(Celsius):40 3.6.2 显示当前运行的配置信息 ZXR10#show running-config 3.6.3 一键收集系统信息 命令 功能 ZXR10#show tech-support { bfd|bgp|common|isis|mpls|ospf|vpls|vrrp} 一键收集系统信息及协议相关信息 使用说明 1. 如果没有可选项，则收集所有的系统信息写入/flash/data/tech.dat文件中。 2. 如果增加协议选项，则收集一般信息与相应协议信息写入/flash/data/tech.dat 文件中。 3. 如果只有common选项，则只收集一般信息写入/flash/data/tech.dat文件中。 一 键 收 集 完 成 时 命 令 行 会 回 显 命 令 执 行 之 前 的 提 示 符 ， 此 时 可 以 将 flash 中 的 文 件 /flash/data/tech.dat通过copy命令拷贝到Ftp或者Tftp服务端用文本查看软件如记 事本、写字板等查看。关于文件拷贝命令copy的使用请参见“文件备份与恢复”小节。 使用实例 1. 一键收集所有系统信息。 ZXR10#show tech-support 2. 一键收集一般系统信息以及ospf、isis协议信息。 ZXR10#show tech-support ospf isis 3. 一键收集一般系统信息。 ZXR10#show tech-support common SJ-20100901084759-002 | 2011-02-10(R1.0) 3-13 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 3.6.4 一键收集系统故障诊断信息 命令 功能 ZXR10#show diag info [ all] 一键故障诊断信息收集 使用说明 1. 如 果 不 带 all 选 项 ， 执 行 诊 断 命 令 文 件 中 部 分 诊 断 命 令 ， 诊 断 信 息 写 入 /flash/data/diaginfo.dat中,此文件是文本格式，可以直接打开阅读。 2. 如果带all选项，则执行诊断命令文件中全部诊断命令，诊断信息会以zar压缩格式写 入文件/flash/data/diaginfo.dat中，此文件是加密的，需要提交中兴技术支 持查看。 一 键 诊 断 完 成 时 命 令 行 会 回 显 命 令 执 行 之 前 的 提 示 符 ， 此 时 可 以 将 flash 中 的 文 件 /flash/data/diaginfo.dat通过copy命令拷贝到Ftp或者Tftp服务端，然后根据执行 时是否使用ALL选项进行文件查看。关于文件拷贝命令copy的使用请参见“文件备份与 恢复”小节。 3.6.5 系统异常显示以及记录 命令 功能 ZXR10#show equipment-information 将设备资源信息收集起来将其显示出 来，应用于能使用show命令的所有模式 ZXR10#show trace-information 将设备异常信息收集起来将其显示出 来，应用于能使用show命令的所有模式 3.7 内存检测 3.7.1 功能概述 剩余内存少到一定程度后会导致某些依赖复杂处理过程的功能发生异常，比如，由于 无法获得所需的临时内存而导致任务失败、任务发生执行异常等。在剩余内存少于临界 点时向网管发送告警和写日志记录内存耗尽事件，对及时掌握设备运行状态规避潜在风 险，以及对追踪故障原因都是很必要的手段。 3.7.2 命令说明 3.7.2.1 进入环境配置模式 命令 功能 ZXR10(config)#environ 进入环境配置模式 3-14 SJ-20100901084759-002 | 2011-02-10(R1.0) 3 系统管理 举例 进入环境配置模式： ZXR10(config)#environ ZXR10(config-environ)# 3.7.2.2 配置剩余内存阈值检测高低报警门限 命令 功能 ZXR10(config-environ)#memory-check-threshold { [ low-level value1 ] | 配置剩余内存阈值检测高低报警门限 [ high-level value2] } value1范围为1～10，默认为10%；value2 范围为11～100，默认为25% ZXR10(config-environ)#no memory-check-threshold 取消配置剩余内存阈值检测高低报警 门限 举例 配置剩余内存阈值检测高低报警门限,高门限为30，低门限为8： ZXR10(config-environ)#memory-check-threshold high-grade 30 low-grade 8 3.7.2.3 配置剩余内存阈值检测时间间隔 命令 功能 ZXR10(config-environ)#memory-check-interval { [ interval value1 ] } 配置剩余内存阈值检测时间间隔 value1范围为1～1800（单位为秒），默 认为1 ZXR10(config-environ)#no memory-check-interval 取消配置剩余内存阈值检测时间间隔 举例 配置剩余内存阈值检测时间间隔，检测间隔时间为30秒： ZXR10(config-environ)#memory-check-interval 30 3.7.2.4 配置剩余内存阈值检测开关 命令 功能 ZXR10(config-environ)#memory-check-switch on 配置剩余内存阈值检测开关，打开开关 默认开关为开 ZXR10(config-environ)#memory-check-switch off 配置剩余内存阈值检测开关，关闭开关 ZXR10(config-environ)#no memory-check-interval 取消配置剩余内存阈值检测开关 SJ-20100901084759-002 | 2011-02-10(R1.0) 3-15 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 举例 配置剩余内存阈值检测开关，打开开关： ZXR10(config-environ)#memory-check-switch on 3.7.3 内存检测配置实例 空配置启动 使用show run查看空配置启动后的状态。 environ memory-check-threshold high-grade 25 low-grade 10 memory-check-interval 1 memory-check-switch on 可以看出各配置参数皆为默认值。 配置检查间隔和门限 ZXR10(config-environ)#memory-check-interval 30 ZXR10(config-environ)#memory-check-threshold high-grade 40 low-grade 5 假设当前的内存使用情况如下，内存的使用率为68.364%，也就是剩余内存为31.636%。 PhyMem: Physical memory (megabyte) Panel MP(M) 1 CPU(5s) CPU(1m) CPU(5m) PhyMem Buffer Memory 10% 256 0% 68.364% 10% 10% 配置过了30秒后，发出如下告警： 00:05:25 01/01/2001 UTC alarm 66 occurred %ENVIRONMENT% MP(M) panel 1 current memory rate is: 31.636% under the high threshold 40% sent by MCP 为了让告警取消，重新配置内存阈值上限。 ZXR10(config-environ)#memory-check-threshold high-grade 30 再过30秒，告警取消。 00:05:55 01/01/2001 UTC alarm 66 cleared %ENVIRONMENT% MP(M) panel 1 current memory rate is: 31.636% exceeds the high threshold 30% sent by MCP 3-16 SJ-20100901084759-002 | 2011-02-10(R1.0) 3 系统管理 说明：剩余内存超过高门限会取消告警，同样会打印一次信息。 内存报警下限阈值的效果与此类似。相同的是当内存剩余率低于设定值时（如上面设定 的5%）时会发出告警，不同的是当内存剩余率恢复到内存报警下限阈值以上、上限以下 时并没有报警取消的输出，也就是说只有内存剩余率恢复到内存报警上限阈值之上告警 才会清除。 此外整个过程不会出现循环报警，就是说报警如果出现只出现一次。 如上面举例，配置ZXR10(config-environ)#memory-check-threshold high-grade 40 low-grade 5后出现告警，下次检测时间到了后模块发现其状态仍是低于上限阈值高于下限阈值，并 且之前已经发过警告，那么这次就会忽略，而不会再一次报警。 配置检测时间间隔就是调节检测的频率，默认是一秒钟检测一次，也可以根据自己的需 要进行调整，范围为1秒～1800秒（30分钟）。 配置检查开关 ZXR10(config-environ)#memory-check-switch off 上面的配置取消了该功能，但配置仍见，可以用show run查看。 environ memory-check-threshold high-grade 30 low-grade 5 memory-check-interval 30 memory-check-switch off 说明：可见上述配置有效并且仍在，但是在功能关闭的状态下无法进行配置。 可以通过no memory-check-switch和memory-check-switch on重新开启该功能。 以上各步骤中配置的变化都可以通过show run显示出来。 3.8 系统批量配置 3.8.1 使用配置文件一键配置系统 命令 功能 ZXR10(config)#exec file < file name>[< hh:mm:ss>< 定时或者非定时执行一键配置命令 mm-dd-yyyy> ] ZXR10(config)#no exec file 取消系统已有定时执行配置 ZXR10#show exec-cmd-file 显示系统现有的定时执行计划 SJ-20100901084759-002 | 2011-02-10(R1.0) 3-17 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 使用说明 1. 如果带后面的定时选项，则表示指定交换机在指定的年月日时分秒执行前面指定的 配置文件。文件名不需要附加绝对路径或者相对路径，只需要直接列出文件名称， 但在配置之前需要将文件拷贝到交换机Flash中的/flash/cfg/目录下。 2. 文件内容格式要求说明如下：文件开头第一行一定要有configure terminal（简写为con t）命令以便进入配置模式，后续命令根据需要的模式自行修改，然后每个命令为一 行正常添加配置命令。配置完成后最好在最后才加上write命令写配置，中间不宜加 入write命令，另外请注意保持每行命令结尾是换行符，如果从屏幕拷贝下直接粘贴 可能会有不可见其它字符导致执行失败。编辑此文件完成后，上传至交换机Flash 中的/flash/cfg/目录下即可。 3. 如果不带定时选项，则指定交换机立刻执行指定的配置文件，文件要求同上。 4. no exec file用于取消系统已经存在的定时执行配置。当需要重新设定定时时间时，通 常也要执行此命令以便下一个设置能通过检查。 5. show exec-cmd-file可以在除用户模式以外的模式下执行，功能是查看系统现在已有 的定时执行计划，如果存在计划则显示计划具体执行时间以及对应配置文件，如果 不存在计划则显示没有任何定时计划。 6. 一键配置命令是根据参数打开文件，生成的文件名（不带扩展名）和打开文件同 名，只是扩展名从.dat换成了.log，如exec file zerodis.dat命令打开/flash/cfg/zerodis.dat，生成/flash/data/zerodis.log。 使用实例 1. 立即执行配置文件zerodis.dat文件。 ZXR10(config)#exec file zerodis.dat 2. 计划于2009年12月30日19时00分00秒执行配置文件。 ZXR10(config)#exec file zerodis.dat 19:00:00 dec 30 2009 3. 取消系统已有的定时执行计划。 ZXR10(config)#no exec file 4. 一个配置文件 (即上面命令中的zerodispo.dat)内容示例。 con t int vlan 10 ip add 10.1.1.2 255.255.255.0 exit int vlan 20 ip add 20.1.1.3 255.255.255.0 3-18 SJ-20100901084759-002 | 2011-02-10(R1.0) 3 系统管理 exi exi write 5. 显示系统现有的定时执行计划。 ZXR10#show exec-cmd-file 3.9 设备断电告警 设备断电告警是指： 两台设备的告警口之间互联，如果一台设备掉电，另外一台设备可以通过告警口的连接 获取对端设备的电源问题来产生告警，发送trap。 ZXR10 3900E系列设备支持断电告警功能，用平行网线连接一台E系列设备SW1的Alarm Out告警口到另一台E系列设备SW2的Alarm In口，当设备SW1断电后，设备SW2的Alarm 灯变为红色且闪烁。SW1设备正常供电后，SW2的Alarm灯变为正常。 说明： 设备断电告警功能默认是关闭的，需在全局模式下开启该功能才能使用。 SJ-20100901084759-002 | 2011-02-10(R1.0) 3-19 4 端口配置 本章包含如下主题： Ÿ 端口基本配置 4-1 Ÿ 端口镜像配置 4-8 Ÿ 端口环回检测配置 4-11 Ÿ 端口光模块的DOM功能 4-13 4.1 端口基本配置 ZXR10 3900E提供百兆以太网端口和千兆以太网端口。 1. 百兆以太网电口支持全双工/半双工、10/100M及MDI/MDIX自适应功能，缺省工作 在自协商模式，与对端设备协商工作方式和速率。 2. 百兆以太网光口工作在百兆全双工模式，不能配置端口的双工模式和速率，但可以 配置为自协商。 3. 千兆以太网光口工作在千兆全双工模式，不能配置端口的双工模式和速率，但可以 配置为自协商。 4. 千兆以太网电口支持全双工/半双工、10/100/1000M 及MDI/MDIX 自适应 功能，缺 省工作在自协商模式，与对端设备协商工作方式和速率。 系统采用自动添加端口的方式，用户在相应槽位插入接口板，当接口板正常启动后，就 可以看到该接口板的端口已经自动添加到系统端口列表中，注意ZXR10 3900E千兆子卡 不能进行热插拔 ZXR10 3900E按下列方式对端口进行命名： <端口类型>_<槽位号>/<端口号>l<端口类型>包括以下几种： fei 百兆以太网端口 gei 千兆以太网端口 l <槽位号> SJ-20100901084759-002 | 2011-02-10(R1.0) 4-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） ZXR10 3928E/3928E-FI有2个槽位。 ZXR10 3952E有6个槽位。 l <端口号> 接口板上端口的编号，从1开始。 例如： l fei_1/8 表示1号槽位百兆以太网接口板上的第8个端口。 l gei_2/1 表示2号槽位千兆以太网接口板上的第1个端口。 由于各产品的子板数和端口数有所不同，故接口的命名也有区别： 1. 2. ZXR10 3928E/3928E-FI l 24个百兆口属于槽位1，端口的名称分别为fei_1/1～fei_1/24。 l 4个上行的千兆口属于槽位2，端口的名称分别为gei_2/1～gei_2/4。 ZXR10 3952E l 主控板上的16个百兆光口属于槽位1，端口的名称分别为fei_1/1～fei_1/16。 l 4个线卡的从左下、左上、右下、右上分别为2，3，4，5槽位，端口的名称分别 为fei_2/1～fei_2/8，fei_3/1～fei_3/8，fei_4/1～fei_4/8，fei_5/1～fei_5/8。 l 主控板上的扩展卡为6槽位，端口的名称分别为gei_6/1～gei_6/4。 4.1.1 关闭/打开以太网端口 步骤 命令 功能 1 ZXR10(config)#interface < port-name> 进入端口配置模式 2 ZXR10(config-fei_1/x)#shutdown/no shutdown 关闭/打开以太网端口 shutdown命令使端口的物理链路状态变为down，端口link指示灯熄灭。所有端口缺省是 打开的。 4.1.2 使能/关闭以太网端口自动协商 步骤 命令 功能 1 ZXR10(config)#interface < port-name> 进入端口配置模式 2 ZXR10(config-fei_1/x)#negotiation auto/ no negotiation auto 使能/关闭以太网端口自动协商 千兆以太网端口工作在1000M 时，必须打开自协商。 4-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 4 端口配置 4.1.3 以太网端口自动协商能力通告 命令 功能 ZXR10(config-fei_1/x)#negotiation auto [ speed [ 10| 100] ] 以太网端口自动协商能力通告到10M 或者100M 协商单独设置速度能力的通告，当PHY工作模式为电口的时候，千兆、百兆、十兆、半 双工、全双工的能力，都可以设置是否能通告； 当PHY工作模式为光口的时候，只有半双工、全双工的能力可以设置是否能通告，速度 方面的通告设置无效、不能设置。 说明： negotiation auto speed 100 negotiation auto speed 10 negotiation auto no negotiation auto 四者为互斥关系。 配置nego auto speed 100|10模式后， 端口speed、duplex处于不可配置状态， 只能自适应。 4.1.4 设置以太网端口双工模式 步骤 命令 功能 1 ZXR10(config)#interface < port-name> 进入端口配置模式 2 ZXR10(config-fei_1/x)#duplex { half| full} 设置以太网端口双工模式 4.1.5 设置以太网端口速率 步骤 命令 功能 1 ZXR10(config)#interface < port-name> 进入端口配置模式 2 ZXR10(config-fei_1/x)#speed { 10| 100} 设置以太网端口速率 只有千兆以太网电口可以配置双工模式和速率，配置之前请先禁止端口自协商功能。 4.1.6 设置以太网端口流量控制 步骤 命令 功能 1 ZXR10(config)#interface < port-name> 进入端口配置模式 2 ZXR10(config-fei_1/x)#flowcontrol { enable| disable} 设置以太网端口流量控制 SJ-20100901084759-002 | 2011-02-10(R1.0) 4-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 步骤 命令 功能 3 ZXR10(config-fei_1/1)#cable-media mode { auto| mdi| mdix} 设置以太网端口线序自适应 以太网端口使用流量控制抑制一段时间内发送到端口的数据包。当接收缓冲器满时，端 口发送一个“pause”包，通知远程端口在一段时间内暂停发送更多的数据包。以太网端 口还能接收来自其他设备的“pause”包，并按照这个数据包的规定执行操作。 缺省情况下，开启以太网端口线序自适应功能，针对68A和568B两种线序的双绞线自动 适应管脚。配置MDI模式时，不改变双绞线原有管脚。配置MDIX模式时，在RJ-45连接 器上交叉双绞线的1和3管脚，以及2和6管脚。 4.1.7 允许/禁止巨帧通过以太网端口 步骤 命令 功能 1 ZXR10(config)#interface < port-name> 进入端口配置模式 2 ZXR10(config-fei_1/x)#jumbo-frame{ enable| disable} 允许/禁止巨帧通过以太网端口 缺省情况下，最大允许1560字节长的帧通过以太网端口，JUMBO帧被禁止通过。允许 JUMBO帧通过时，最大允许9216字节的帧通过以太网端口。 4.1.8 设置端口别名 步骤 命令 功能 1 ZXR10(config)#interface < port-name> 进入端口配置模式 2 ZXR10(config-fei_1/x)#byname < by-name> 设置端口别名 设置端口别名的目的是为了区分各个端口，方便记忆。对端口进行操作时可以用别名代 替端口名称。 4.1.9 设置以太网端口广播风暴抑制 步骤 命令 功能 1 ZXR10(config)#interface < port-name> 进入端口配置模式 2 ZXR10(config-fei_1/x)#broadcast-limit < value> 设置以太网端口广播风暴抑制 可以限制每秒钟以太网端口允许通过的广播报文的数量。当广播流量超过用户设置的值 时，系统对广播流量作丢弃处理，使广播流量降低到合理的范围，从而有效地抑制广播风 暴，避免网络拥塞，保证网络业务的正常运行。广播风暴抑制以设置的速率作为参数， 速率越小，表示允许通过的广播流量越小。 4-4 SJ-20100901084759-002 | 2011-02-10(R1.0) 4 端口配置 4.1.10 设置以太网端口组播包抑制 步骤 命令 功能 1 ZXR10(config)#interface < port-name> 进入端口配置模式 2 ZXR10(config-fei_1/x)#multicast-limit < value> 设置以太网端口组播包抑制 ZXR10 3900E组播包抑制功能打开时，端口将按照所配置的每秒钟以太网端口允许通过 的组播报文的数量进行组播包抑制。 4.1.11 设置以太网端口未知包抑制 步骤 命令 功能 1 ZXR10(config)#interface < port-name> 进入端口配置模式 2 ZXR10(config-fei_1/x)#unknowcast-limit < value> 设置以太网端口未知包抑制 ZXR10 3900E未知包抑制功能打开后，端口将按照所配置的每秒钟以太网端口允许通过 的未知包的数量进行未知包抑制。 4.1.12 设置以太网端口的链路状态监控方式 命令 功能 ZXR10(config)#port-mode{ interrupt| poll} 设置以太网端口链路状态监控方式 port-mode poll命令配置设备以轮询的方式监控端口链路状态，即每隔一定的时间扫描全 部端口的链路状态，然后上报链路状态发生变化的端口。port-mode interrupt命令配置设 备以中断的方式监控端口链路状态，当某个端口的链路状态发生变化后会立即上报。在 默认情况下，设备以轮询的方式监控端口链路状态。 4.1.13 显示端口信息 命令 功能 ZXR10#show interface [ < port-name> ] 查看以太网端口状态信息 ZXR10#show running-config interface < port-name> 显示以太网端口配置信息 示例： 1. 查看端口fei_1/2的状态和统计信息。 ZXR10#show int fei_1/2 fei_1/2 is down, line protocol is down Description is none The port is electric SJ-20100901084759-002 | 2011-02-10(R1.0) 4-5 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） Duplex full Mdi type:auto MTU 1500 bytes BW 1000000 Kbits Last clearing of "show interface" counters never 20 seconds input rate : 0 Bps, 0 pps 20 seconds output rate: 0 Bps, 0 pps Interface peak rate : input 0 Bps, output Interface utilization: input 0%, 0 Bps output 0% Input: Packets : 19 Bytes : 1501 Unicasts : 19 Multicasts: 0 Broadcasts : 0 Undersize : 0 Oversize : 0 CRC-ERROR : 0 Dropped : 0 Fragments : 0 Jabber : 0 MacRxErr : 0 Output: Packets : 0 Bytes : 0 Unicasts : 0 Multicasts: 0 Broadcasts : 0 Collision : 0 LateCollision: 0 Total: 64B : 0 65-127B : 19 128-255B : 0 256-511B : 0 512-1023B : 0 2. 1024-2047B: 0 显示端口fei_1/2的配置信息。 ZXR10#sho run in fei_1/2 Building configuration... ! interface fei_1/2 out_index 5 negotiation auto 4-6 SJ-20100901084759-002 | 2011-02-10(R1.0) 4 端口配置 switchport access vlan 1 switchport qinq normal ! 4.1.14 线路诊断分析测试 ZXR10 3900E支持Cable线路诊断分析测试功能，可以检测线路和线路连接是否异常，并 能准确定位到Cable发生故障的位置，方便网络管理和故障定位。 千兆以太网电口使用网线连接到其他设备。网线中有四对双绞线，当工作在100M时使用 1-2、3-6两对双绞线，当工作在1000M时使用1-2、3-6、4-5、7-8全部四对双绞线。线 路检测可以检测到每一对双绞线的状态，线路状态包括以下几种： 1. Open：线路开路 2. Short：线路短路 3. Good：线路正常 4. Broken：线路开路或短路 5. Unknown：未知或没有检测出结果 6. Crosstalk：线路耦合 7. Fail：检测失败 如果线路故障，测试结果输出线路故障的大致位置；线路诊断分析测试不需要配置，直 接在用户模式以外的其他模式下运行show vct interface 命令。 示例：检测端口fei_1/2的线路。 ZXR10(config)#show vct int fei_1/2 CableStatus Good Pair 1-2 3-6 4-5 7-8 Status Good Good Good Good Length <50m <50m <50m <50m 注意！ 使用线路诊断分析测试时将使相关端口重启，端口上的链路先断开再恢复正常。一般只 用来测试有故障的端口，如果端口带有用户，请谨慎使用。 SJ-20100901084759-002 | 2011-02-10(R1.0) 4-7 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 4.2 端口镜像配置 4.2.1 端口镜像概述 端口镜像功能将交换机上一个或多个端口（被镜像端口）的数据复制到一个指定的目的 端口（监控端口）上，通过镜像可以在监控端口上获取这些被镜像端口的数据，以便进 行网络流量分析、错误诊断等。并支持跨设备端口的镜像（RSPAN）。 在ZXR10 3900E上使用端口镜像功能应遵循如下规则： l 最多可支持1组端口镜像，每组最多可支持8个被镜像端口。 l 支持跨接口板的端口镜像，即被镜像端口、监控端口可以在不同接口板上。 l 可以只监控被镜像端口发送的数据或接收的数据。 l 支持跨设备的端口镜像，即被镜像端口、监控端口可以在不同的设备上。 l 支持跨隧道的端口镜像，即设备上作为源的端口的数据流可以通过设备上的GRE隧 道配置进行封装转发到目的监控端。 4.2.2 配置端口镜像 步骤 命令 功能 1 ZXR10(config-fei_1/x)#monitor session < session-number> source [ 设置被镜像端口及数据流方向和监 direction { both| tx| rx} ] 控端口，Session-number的范围1～4 ZXR10(config-fei_1/x)#monitor session < session-number> 设置监控端口，Session-number的 desination 范围1～4 ZXR10(config-fei_1/x)#monitor session < session-number> 设 置 RSPAN 监 控 端 口 ， desination [ rspan-vlanid < vlanid> ] [ priority < priorityid > ] Session-number的范围1～4， 2 3 vlanid的范围1～4094，priorityid的 范围0～7 4 ZXR10(config-if)#monitor session < session-number> desination 设 置 ERSPAN 监 控 端 口 ， erspan [ ttl < 1 ～ 255> ] [ flags{ disable| enable} ] [ tpid 0x8100] [ Session-number的范围1～4 DSCP < 0 ～ 63> ] 5 ZXR10(config-fei_1/x)#show monitor session | < session-number> 显示端口镜像的配置和状态 4.2.3 端口镜像配置实例 1. 单个设备的端口镜像 如图4-1所示，端口fei_1/3连接了一台计算机，要监控fei_1/1收到的数据和fei_1/2收 发的数据。 4-8 SJ-20100901084759-002 | 2011-02-10(R1.0) 4 端口配置 图4-1 端口镜像示例 交换机的配置： ZZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#monitor session 1 source direction rx ZXR10(config-fei_1/1)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#monitor session 1 source ZXR10(config-fei_1/2)#exit ZXR10(config)#interface fei_1/3 ZXR10(config-fei_1/3)#monitor session 1 destination 显示端口镜像的配置： ZXR10(config)#show monitor session 1 Session 1 ----------------------------------------------Source Ports: Port: fei_1/1 Monitor Direction: rx Port: fei_1/2 Monitor Direction: both Destination Port: Port: fei_1/3 Rspan_vlanid : 0 Rspan_priority: 0 ----------------------------------------------ZXR10(config)# 2. 跨设备的端口镜像（RSPAN） SJ-20100901084759-002 | 2011-02-10(R1.0) 4-9 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 如图4-2所示，在ZXR10 3900E系列交换机上配置跨设备的镜像（RSPAN），例如要 监控fei_1/1收到的数据和fei_1/2收发的数据，端口fei_1/3为连接其他设备的镜像出端 口，RSPAN的VLAN为Vlan 10，优先级为1。 图4-2 端口RSPAN镜像示例 交换机A的配置： ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#monitor session 1 source direction rx ZXR10(config-fei_1/1)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#monitor session 1 source ZXR10(config-fei_1/2)#exit 交换机B的配置： ZXR10(config)#interface fei_1/3 ZXR10(config-fei_1/3)#monitor session 1 destination rspan-vlanid 10 priority 1 3. 跨设备的端口镜像（ERSPAN） 交换机的配置： ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#monitor session 1 source direction rx ZXR10(config-fei_1/1)#exit ZXR10(config)#interface tunnel 1 ZXR10(config-tunnel1)#monitor session 1 destination erspan ttl 23 ZXR10(config-tunnel1)#tunnel mode gre ip 4-10 SJ-20100901084759-002 | 2011-02-10(R1.0) 4 端口配置 ZXR10(config-tunnel1)#tunnel source ipv4 10.1.1.5 ZXR10(config-tunnel1)#tunnel destination ipv4 10.1.1.6 显示端口镜像的配置： ZXR10(config)#show monitor session 1 Session 1 ----------------------------------------------Source Ports: Port: fei_1/1 Monitor Direction: rx Destination Port: Port: tunnel1 ERSPAN : Destination IP ：10.1.1.6 Source ：10.1.1.5 IP 4.3 端口环回检测配置 4.3.1 端口环回检测概述 ZXR10 3900E支持单端口环回检测。此功能能够检测到交换机下接的用户或者交换机上 的环回，从而对此端口进行处理，避免因下面用户或者设备的环回导致交换机广播风暴 等异常，从而将影响限制到某个端口。 在ZXR10 3900E上可以对交换机的某些端口或者所有端口进行环回检测，缺省为不检测。 支持基于VLAN的环回检测，不仅能够对端口的PVID所在的VLAN进行环回检测，还可 以在端口上针对用户指定的VLAN进行环回检测。一个端口最多可以同时支持8个VLAN 的环回检测。 4.3.2 配置端口环回检测 步骤 命令 功能 1 ZXR10(config)#loop-detect interface < port-name> [ enable | disable] 使能一个或者多个端口的环回检测 功能 2 ZXR10(config)#loop-detect interface < port-name>vlan< vlan-id> 配置端口进行环回检测的VLAN [ enable | disable] SJ-20100901084759-002 | 2011-02-10(R1.0) 4-11 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 步骤 命令 功能 3 ZXR10(config)#loop-detect protect-interface < port-name>< enable 设置环回检测保护端口 | disable> 在交换机检测到端口环回后将根据 此 端 口 的 protect 属 性 进 行 进 一 步 的 操作，如果端口的protect-interface属 性为enable，交换机告警提示检查到 环回，但不对此端口做任何其他操 作；如果端口的protect-interface属性 为disable，在检测到环回时将关闭此 端口。在启动环回检测后，protectinterface属性缺省为disable 4 ZXR10(config)#loop-detect reopen-time < interval> 设置端口检测到环回端口被关闭后 重新激活的时间 5 ZXR10(config)#show loop-detect interface 显示使能环回检测的端口 6 ZXR10(config)#show loop-detect interface-detail < port-name> 显示使能环回检测端口的详细信息 7 ZXR10(config)#show loop-detect protect-interface 显示使能环回检测保护端口 8 ZXR10(config)#show loop-detect reopen-time 显示环回检测关闭端口重新激活时间 4.3.3 配置端口环回检测实例 如图4-3所示，端口fei_1/3连接了一台计算机，登录到交换机进行配置和监测，端口fei_1/1 属于vlan 1和vlan 2，在fei_1/1上启动端口环回检测功能，并在vlan 1和vlan 2内同时进行环 回检测。在fei_1/1下挂一个交换机，此交换机上关闭生成树协议，并将两个端口用网线 自环连接，配置自环的两个端口以及连接到ZXR10 3900E交换机的端口的VLAN属性与 fei_1/1相同。 图4-3 端口环回检测示例 交换机A的配置： ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#switchport mode trunk 4-12 SJ-20100901084759-002 | 2011-02-10(R1.0) 4 端口配置 ZXR10(config-fei_1/1)#switchport trunk vlan 1-2 ZXR10(config-fei_1/1)#exit ZXR10(config)#loop-detect interface fei_1/1 enable ZXR10(config)#loop-detect protect-interface fei_1/1 enable ZXR10(config)#loop-detect reopen-time 5 ZXR10(config)#loop-detect interface fei_1/1 vlan 1-2 enable 显示启动端口环回检测的端口和端口的详细信息： ZXR10(config)#show loop-detect interface fei_1/1 ZXR10(config)#show loop-detect interface-detail isUp isMonitor Yes Yes reopenTime loopvlan 300 2 fei_1/1 isLoop isProtected Yes Yes vlanRange 1 2 4.4 端口光模块的DOM功能 4.4.1 DOM功能概述 DOM功能（数字诊断功能，digital optical monitoring）是光模块规格的一部分，支持数 字诊断功能的光模块能够读取光模块的温度，电压，电流，发送和接收功率等，另外 每个光模块在出厂的时候都设定了模块工作的一些门限值（包括alarm threshold和warning threshold），启动DOM功能后，可以通过光模块的I2C总线轮询模块的运行状态值，然 后和门限值进行比较，当当前值超出厂家设置的门限值时，可以通过syslog，SNMP trap 等方式发送告警。 4.4.2 配置DOM 4.4.2.1 端口下DOM功能的使能 命令 功能 ZXR10(config-fei_1/x)#optical-inform monitor { enable | disable} SFP DOM轮询检测功能需要在接口下有 命令行使能和关闭，缺省是关闭 使能后可以查看该端口光模块的轮询诊 断相关信息，否则无法显示光模块相关 信息 只支持物理接口（包括百兆/千兆/万兆 口） SJ-20100901084759-002 | 2011-02-10(R1.0) 4-13 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 4.4.2.2 查看当前光模块的温度等信息 命令 功能 ZXR10#show optical-info brief 显示接口的光模块信息，包括温度，电 压，电流，发送和接收功率等简明信息 支持单个接口查看和单板查看 只支持物理接口 举例 显示接口的光模块信息： ZXR10#show optical-inform brief Optical Optical Interface Temperature Voltage Current Tx Power Rx Power Name (Celsius) (mA) (mW) (Volts) (mW) -----------------------------------------------------------fei_1/21 12.00 5.00 60.00 0.00 1.00 fei_1/22 12.00 5.00 60.00 0.00 1.00 fei_1/23 12.00 5.00 60.00 0.00 1.00 fei_1/24 12.00 5.00 60.00 0.00 1.00 ZXR10#show optical-inform brief interface fei_1/23 Optical Optical Interface Temperature Voltage Current Tx Power Rx Power Name (Celsius) (mA) (mW) (mW) (Volts) ------------------------------------------------------------fei_1/23 12.00 5.00 60.00 0.00 1.00 门限阈值与具体硬件光模块支持有关。光模块类型，厂商不同，显示的信息也会有所不 同。 4.4.2.3 查看模块的温度等各种门限值信息 命令 功能 ZXR10#show optical-inform detail [ temperature ｜ voltage ｜ current ｜ 显示接口的光模块信息，包括温度，电 rx-power ｜tx-power ] [ interface < interface-name> ] 压，电流，发送和接收功率等各种门限 值详细信息 支持单个接口查看和单板查看 命令参数解释： 4-14 SJ-20100901084759-002 | 2011-02-10(R1.0) 4 端口配置 参数 描述 interface < interface-name> 接口名称 temperature 光模块的温度 voltage 光模块的电压 current 光模块的电流 rx-power 光模块的接收功率 tx-power 光模块的发送功率 只支持物理接口。 举例 显示接口的光模块门限值信息： ZXR10#show optical-inform detail High Alarm Port temperature High Warn Low Warn Low Alarm Temperature Threshold Threshold Threshold Threshold (Celsius) (Celsius) (Celsius) (Celsius) (Celsius) ----------------------------------------------------------fei_1/1 48.1 100.0 100.0 0.0 0.0 fei_1/2 34.9 100.0 100.0 0.0 0.0 ZXR10#Show optical-inform Port detail Voltage High Alarm High Warn Low Warn Low Alarm Voltage Threshold Threshold Threshold Threshold (Volts) (Volts) (Volts) (Volts) (Volts) -----------------------------------------------------fei_1/1 3.30 6.50 6.50 3.50 3.50 fei_1/2 3.30 6.50 6.50 3.50 3.50 门限阈值与具体硬件光模块支持有关。光模块类型，厂商不同，显示的信息也会有所不 同。 SJ-20100901084759-002 | 2011-02-10(R1.0) 4-15 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 4.4.2.4 查看模块超出阀值的记录信息 命令 功能 ZXR10#show optical-inform threshold-alarm [ interface < interface-name> ] 显示接口的光模块信息，包括温度，电 压，电流，发送和接收功率等各种门限 值信息 支持单个接口查看和单板查看 只支持物理接口 举例 显示接口的光模块超出门限值时的告警信息： ZXR10#show optical-inform threshold-alarm Description: tem : temperature vol : volage tx rx : transmit power cur: current : receive power h-w : high-warning(+) h-a : high-alarm(++) l-w : low-warning(-) l-a : low-alarm(--) Interface Name Time in slot (DDDD:HH:MM:SS) Threshold Violation (DDDD:HH:MM:SS) Type(s) of Last Known Threshold Violation ------------------------------------------------------------gei_2/1/22 14:57:27 04/29/2008 14:57:07 04/29/2008 tem h-w -52.00C>=-52.00C 14:57:07 04/29/2008 vol h-w 5.00V>=5.00V 14:57:07 04/29/2008 cur l-w 60.00mA<=80.00mA 14:57:07 04/29/2008 rx l-a -440.00dBm<=-333.01dBm 14:57:07 04/29/2008 rx l-a -440.00dBm<=-333.01dBm gei_2/1/23 14:57:27 04/29/2008 14:57:07 04/29/2008 tem h-w -52.00C>=-52.00C 14:57:07 04/29/2008 vol h-w 5.00V>=5.00V 14:57:07 04/29/2008 cur l-w 60.00mA<=80.00mA 14:57:07 04/29/2008 rx l-a -440.00dBm<=-333.01dBm 4-16 SJ-20100901084759-002 | 2011-02-10(R1.0) 4 端口配置 14:57:07 04/29/2008 rx l-a -440.00dBm<=-333.01dBm 门限阈值与具体硬件光模块支持有关。光模块类型，厂商不同，显示的信息也会有所不 同。 SJ-20100901084759-002 | 2011-02-10(R1.0) 4-17 5 网络协议配置 本章包含如下主题： Ÿ IP地址配置 5-1 Ÿ ARP配置 5-3 5.1 IP地址配置 5.1.1 IP地址概述 IP协议栈中的网络层地址指的就是IP地址。一个IP地址主要由两部分组成：一部分是标 识该地址所属网络的网络位；另一部分是指明该网络上某个特定主机的主机位。 IP地址分为A、B、C、D、E五类，常用的为前三类，D类地址为网络组播地址，E类地 址保留。表5-1列出了每一类IP地址的范围。 表5-1 各类IP地址范围 类别 A类 首部特征位 0 网络位 8 主机位 24 范围 0.0.0.0~127.255.25 5.255 B类 10 16 16 128.0.0.0~191.255. 255.255 C类 110 24 8 192.0.0.0~223.255. 255.255 D类 1110 组播地址 224.0.0.0~239.255. 255.255 E类 1111 保留 240.0.0.0~255.255. 255.255 在A、B、C三类地址中，有一些地址被保留用于私有网络，建议在建立内部网络时使用 私网地址。这些地址是： l A类：10.0.0.0~10.255.255.255 l B类：172.16.0.0~172.31.255.255 SJ-20100901084759-002 | 2011-02-10(R1.0) 5-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） l C类：192.168.0.0~192.168.255.255 这种地址划分方法的初衷是为路由协议的设计提供便利，只从IP地址的首部特征位就可 以判定属于哪一类网络了。但是这种分类方法使得地址空间无法得到最大限度的利用， 随着互联网的急剧膨胀，地址短缺的问题愈来愈突出。 为了更大限度的使用IP地址，可将一个网络划分为多个子网。采用借位的方式，从主机 位的最高位开始借位作为子网位，主机位的剩余部分仍为主机位。这样IP地址的结构就 变为三部分：网络位、子网位和主机位。 网络位和子网位唯一标识一个网络。使用子网掩码确定IP地址中哪些部分属于网络位和 子网位，哪些部分属于主机位。子网掩码为“1”的部分对应IP地址的网络位和子网位， 为“0”的部分对应主机位。 子网的划分大大提高了IP地址的利用率，在一定程度上缓解了IP地址短缺的问题。 关于IP地址的规定： 1. 0.0.0.0在没有IP地址的主机启动时使用，通过RARP、BOOTP、DHCP来获得地址， 在路由表中该地址还用作缺省路由。 2. 255.255.255.255用于广播的目的地址，不能作源地址。 3. 127.X.X.X称为环回地址，即使不知道主机的实际IP地址，也可用该地址代表“本 机”。 4. 仅主机位都为“0”的地址表示该网络本身，主机位都为“1”的地址用作该网络的 广播地址。 5. 合法的主机IP地址其网络部分或主机部分都不能全“0”或全“1”。 5.1.2 配置IP地址 步骤 命令 功能 1 ZXR10(config)#interface < interface-name> 进入接口配置模式 2 ZXR10(config-fei_1/x)#ip address < ip-address>< net-mask>[< 设置接口IP地址 broadcast-address> ] [ secondary] 同一个接口上允许配置多个IP地址。 5.1.3 IP地址配置实例 假设要在ZXR10 3900E上创建vlan1这个三层接口，并配置该接口的IP地址为192.168.3.1， 掩码为255.255.255.0。具体配置如下： ZXR10(config)#interface vlan 1 ZXR10(config-if-vlan1)#ip address 192.168.3.1 255.255.255.0 5-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 5 网络协议配置 使用show ip interface命令可以查看接口的IP地址。 5.2 ARP配置 5.2.1 ARP概述 当一个网络设备向另一个网络设备发送数据时，除了要知道目的设备的IP地址外，还要 知道目的设备的物理地址（MAC地址）。ARP（Address Resolution Protocol）的作用就是 将IP地址映射到物理地址，以保证通信的顺利进行。当网络中的一台设备和另一台物理 地址未知的设备通信时，将首先通过ARP获取对方的物理地址，具体过程如下。 源设备广播带有目的设备IP地址的ARP请求，这个网络上的所有设备都会收到这个ARP 请求。如果一台设备发现请求的是自身的IP地址，则记录发送者的ARP信息并向源设备发 送包含自身MAC地址的ARP应答。源设备通过这个ARP应答获得目的设备的MAC地址。 为了减少网络上的ARP包，并更快的发送数据，IP地址与MAC地址的映射关系被缓存在 本地ARP表中。当设备需要发送数据时，首先根据IP地址查找ARP表，如果在ARP表中 找到目的设备的MAC地址，就不需要再发送ARP请求。同时，由于交换机ARP表的容量 有限，而网络上的设备变动比较频繁，交换机要及时删除旧的ARP表项，更新发生了变 化的ARP表项，ARP表中的动态表项经过一段时间后会自动删除，这段时间称为ARP的 老化时间。 为了增加网络安全，ZXR10 3900E上支持将学习到的动态ARP转换成静态ARP和手工添加 静态ARP和永久ARP表项，静态ARP和永久ARP表项都不参与ARP老化。两者的区别在 于永久ARP在交换机关电重启以后仍然存在，而静态ARP表项在关电重启后则会消失。 为了防止ARP攻击，ZXR10 3900E上支持ARP保护功能，可以限制交换机或者是某个三 层接口学习到的ARP数量。 5.2.2 配置ARP 步骤 命令 功能 1 ZXR10(config)#arp protect { interface | mac | whole} limit-num 配置ARP保护 < number> 2 ZXR10(config)#arp to-static 将学习到的ARP变成静态ARP 3 ZXR10(config)#interface vlan < vlan-id> 进入三层VLAN接口 4 ZXR10(config-if-vlanX)#arp timeout < timeout> 配置在ARP缓冲区中ARP表项的老 化时间 5 ZXR10(config-if-vlanX)#set arp { static| permanent} < 添加ARP表项 ip-address>< hardware-address> 可以使用下列命令删除ARP表项： SJ-20100901084759-002 | 2011-02-10(R1.0) 5-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 命令 功能 ZXR10#clear arp-cache interface{ supervlan< id> | vlan< id> } [ < ipaddress> 删除指定接口ARP缓存中的所有动态 | dynamic| permanet| static] ARP表项 5.2.3 ARP配置实例 下面是ARP的一个配置实例。 ZXR10(config)#interface vlan 1 ZXR10(config-if-vlan1)#arp timeout 1200 使用以下命令可以查看指定接口的ARP表项。 ZXR10#show arp [ < interface-name> ] 下例为查看三层接口vlan1的ARP表： ZXR10#show arp Address Age(min) Hardware Addr 10.1.1.1 - 000a.010c.e2c6 Interface vlan1 10.1.100.100 18 00b0.d08f.820a vlan1 10.10.10.2 S 0000.1111.2222 vlan1 10.10.10.3 P 0000.1111.2221 vlan1 ZXR10# show arp结果Age中“-”代表此ARP为交换机VLAN接口的ARP，此ARP由配置交换机 VLAN接口地址时产生，“S”代表此ARP为静态ARP，“P”代表此ARP为手工添加的 永久ARP，数字则代表此ARP最后一次更新后的时间。 5-4 SJ-20100901084759-002 | 2011-02-10(R1.0) 6 ACL配置 本章包含如下主题： Ÿ ACL概述 6-1 Ÿ 配置ACL 6-2 Ÿ 入端口方向ACL配置实例 6-9 Ÿ ACL的维护与诊断 6-11 6.1 ACL概述 网络设备为了过滤数据，需要设置一系列匹配规则，以识别需要过滤的对象。在识别 出特定的对象之后，根据预先设定的策略允许或禁止相应的数据包通过。ACL（Access Control List）可用于实现这些功能。 通常使用ACL实现对数据报文的过滤、策略路由以及特殊流量的控制。一个ACL中可以 包含一条或多条针对特定类型数据包的规则，这些规则告诉交换机，对于与规则中规定 的选择标准相匹配的数据包是允许还是拒绝通过。由ACL定义的数据包匹配规则，还可 以被其它需要对流量进行区分的场合引用，如在QoS中用于定义流分类规则。 ZXR10 3900E提供以下六种类型的ACL： l 基本ACL：只对源IP地址进行匹配。 l 扩展ACL：对源IP地址、目的IP地址、IP协议类型、TCP源端口号、TCP目的端口 号、UDP源端口号、UDP目的端口号、ICMP类型、ICMP Code、DSCP（DiffServ Code Point）、ToS、Precedence进行匹配。 l 二层ACL：对源MAC地址、目的MAC地址、源VLAN ID、二层以太网协议类型、 802.1p优先级值进行匹配。 l 混合ACL：对源MAC地址、目的MAC地址、源VLAN ID、源IP地址、目的IP地址、 TCP源端口号、TCP目的端口号、UDP源端口号、UDP目的端口号进行匹配，包括 以上三种类型的所有匹配字段。 l 基本IPv6ACL：只对IPv6的源IP地址进行匹配。 l 扩展IPv6ACL：对IPv6的源和目的地址进行过滤。 SJ-20100901084759-002 | 2011-02-10(R1.0) 6-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 每个ACL都有一个用以识别的访问表号，它是一个数字，不同类型ACL的访问表号范围 如下： l 基本ACL：1～99，1000～1499 l 扩展ACL：100～199，1500～1999 l 二层ACL：200～299 l 混合ACL：300～349 l 基本IPv6ACL：2000～2499 l 扩展IPv6ACL：2500～2999 图6-1 ACL应用在物理端口和VLAN虚端口 ACL可以绑定到物理端口上，也可以绑定到VLAN虚端口上，对物理端口的绑定，又可 以分为三种情况： 1. 入端口VLAN处理。 2. 入端口方向上。 3. 出端口方向上。 如果物理端口在三种情况都有绑定，如果它们的动作冲突的话，后面的动作会覆盖前面 的动作。如果入端口VLAN处理和绑定到VLAN虚端口同时存在，优先执行入端口VLAN 处理，绑定到VLAN虚端口的优先级较低。 6.2 配置ACL ACL的配置包括以下六个步骤，依次进行配置： 6-2 1. 配置时间段。 2. 定义访问控制列表。 3. 将访问控制列表应用到入端口VLAN处理。 4. 将访问控制列表应用到VLAN虚端口。 5. 将访问控制列表应用到入端口方向。 6. 将访问控制列表应用到出端口方向。 SJ-20100901084759-002 | 2011-02-10(R1.0) 6 ACL 配 置 6.2.1 配置时间段 命令 功能 ZXR10(config)#time-range < time-range-name> { { from < hh:mm:ss>配置时间段< mm-dd-yyyy> [ to < hh:mm:ss>< mm-dd-yyyy> } | { < hh:mm:ss>to< hh:mm:ss> { daily | friday | monday | off-day | staturday | sunday | thursday | tuesday | wednesday | working-day} } } 对时间段的配置包括以下几种情况： l 配置每天的时间范围：规定每天的起始时分和结束时分。如果不配置，时间范围就 是一天内的所有时间。 l 配置周期范围：规定周期为每周的星期几。 l 配置日期范围：规定起始日期和结束日期。如果不配置，日期范围就是从配置生效 之日起到系统可以表示的最大时间为止。 6.2.2 定义ACL 配置ACL时，要先进入该ACL的配置模式，然后定义该ACL中的规则。 定义ACL中的规则时请注意以下事项： 1. 如果数据包同时满足多条规则，则匹配排在最前面的那条规则，因此这些规则的顺 序非常重要。一般把范围小的规则放在前面，范围大的规则放在后面。 2. 基于网络安全考虑，在每个ACL的最后，系统自动附加一条隐式的拒绝所有数据包 的deny规则。因此ACL的最后经常需要定义一条允许所有数据包的permit规则。 6.2.2.1 配置基本ACL 步骤 命令 功能 1 ZXR10(config)#acl standard { number < acl-number> | name < 进入基本ACL配置模式 acl-name> | alias < alias-name> } [ match-order { auto | config} ] 2 ZXR10(config-std-acl)#rule < 1-1000> { permit| deny} { < 配置ACL中的规则 source>[< source-wildcard> ] | any} [ time-range < timerange-name> ] 3 ZXR10(config-std-acl)#move < 1-1000> { after | before} < 将某一条规则移到另一条规则的前 1-1000> 面或后面 举例 定 义 一 个 基 本 ACL ， 允 许 来 自 192.168.1.0/24 网 段 的 报 文 通 过 ， 但 是 拒 绝 源 IP 地 址 为 192.168.1.100的报文。 ZXR10(config)#acl standard number 10 ZXR10(config-std-acl)#rule 1 deny 192.168.1.100 0.0.0.0 SJ-20100901084759-002 | 2011-02-10(R1.0) 6-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） ZXR10(config-std-acl)#rule 2 permit 192.168.1.0 0.0.0.255 6.2.2.2 配置扩展ACL 步骤 命令 功能 1 ZXR10(config)#acl extended { number < acl-number> | name < 进入扩展ACL配置模式 acl-name> | alias < alias-name> } [ match-order { auto | config} ] 2 ZXR10(config-ext-acl)#rule < rule-no> { permit| deny} icmp 定义基于ICMP的规则 { < source>< source-wildcard> | any} { < dest>< dest-wildcard> | any} [ < icmp-type> [ icmp-code < icmp-code> ] ] [ precedence < pre-value> ] [ tos < tos-value> ] [ dscp < dscp-value> ] [ time-range < timerange-name> ] 3 ZXR10(config-ext-acl)#rule < rule-no> { permit| deny} { < 定义基于IP或者IP协议号的规则（不 ip-number> | ip} { < source>< source-wildcard> | any} { < dest>< 包括ICMP，TCP，UDP） dest-wildcard> | any} [ precedence < pre-value> ] [ tos < tos-value> ] [ dscp < dscp-value> ] [ time-range < timerange-name> ] 4 ZXR10(config-ext-acl)#rule < rule-no> { permit| deny} tcp { < 定义基于TCP的规则 source>< source-wildcard> | any} { < rule>< port> } { < dest>< dest-wildcard> | any} [ < rule>< port> ] [ established] [ { [ precedence < pre-value> ] [ tos < tos-value> ] [ dscp < dscp-value> ] [ tcp-control < tcp-control-value> ] [ time-range < timerange-name> ] 5 ZXR10(config-ext-acl)#rule < rule-no> { permit| deny} udp 定义基于UDP的规则 { < source>< source-wildcard> | any} { < rule>< port> } { < dest>< dest-wildcard> | any} [ < rule>< port> ] [ precedence < pre-value> ] [ tos < tos-value> ] [ dscp < dscp-value> ] [ time-range < timerange-name> ] 6 ZXR10(config-ext-acl)#move < 1-1000> { after | before} < 将某一条规则移到另一条规则的前 1-1000> 面或后面 举例 定义一个扩展ACL，实现以下功能。 1. 对来自210.168.1.0/24网段、目的IP地址为210.168.2.10、源端口为100、目的端口为200 的UDP报文，允许通过。 2. 对来自192.168.2.0/24网段的BGP报文，拒绝通过。 3. 拒绝所有ICMP报文。 4. 拒绝所有IP协议号为8的报文。 ZXR10(config)#acl extended number 150 ZXR10(config-ext-acl)#rule 1 permit udp 210.168.1.0 0.0.0.255 Eq 100 210.168.2.10 0.0.0.0 eq 200 6-4 SJ-20100901084759-002 | 2011-02-10(R1.0) 6 ACL 配 置 ZXR10(config-ext-acl)#rule 2 deny tcp 192.168.2.0 0.0.0.255 Eq BGP any ZXR10(config-ext-acl)#rule 3 deny icmp any any ZXR10(config-ext-acl)#rule 4 deny 8 any any 6.2.2.3 配置二层ACL 步骤 命令 功能 1 ZXR10(config)#acl link { number < acl-number> | name < acl-name> 进入二层ACL配置模式 | alias < alias-name> } 2 ZXR10(config-link-acl)#rule < rule-no> { permit| deny} 配置ACL中的规则 < protocol> [ cos < cos-vlaue> ] [ egress { < destination-mac>< dest-mac-wildcard> | any} ] [ ingress { < source-mac>< src-mac-wildcard> | any} ] [ time-range < timerange-name> ] 3 ZXR10(config-link-acl)#move < 1-1000> { after | before} < 将某一条规则移到另一条规则的前 1-1000> 面或后面 举例 定义一个二层ACL，允许VLAN 10中源MAC地址为00d0.d0c0.5741、802.1p为5的IP包通 过，并丢弃收到的MPLS（以太网类型为8847）报文。 ZXR10(config)#acl link number 200 ZXR10(config-link-acl)#rule 1 permit ip cos 5 ingress 00d0.d0c0.5741 0000.0000.0000 ZXR10(config-link-acl)#rule 2 deny 8847 6.2.2.4 配置混合ACL 步骤 命令 功能 1 ZXR10(config)#acl hybrid { number < acl-number> | name < 进入混合ACL配置模式 acl-name> | alias < alias-name> } 2 ZXR10(config-hybd-acl)#rule < rule-no> { permit| deny} < 配置ACL中的规则 protocol-numberl> { { < source-ip>< source-ip-wildcard> } | any} [ eq < port-number> ] { { < destination-ip>< dest-ip-wildcard> } | any} [ eq < port-number> ] { < ethernet-protocol-number> | any | arp | ip} [ cos | dinvlan | doutervlan | egress | ingress | time-range] 3 ZXR10(config-hybd-acl)#move < 1-1000> { after | before} < 将某一条规则移到另一条规则的后面 1-1000> 举例 定义一个混合ACL，实现以下功能： 1. 对 来 自 210.168.1.0/24 网 段 、 目 的 IP 地 址 为 210.168.2.10 、 目 的 MAC 地 址 为 00d0.d0c0.5741、源端口为100、目的端口为200的UDP报文，允许通过。 SJ-20100901084759-002 | 2011-02-10(R1.0) 6-5 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 2. 拒绝来自192.168.3.0/24网段的BGP报文。 3. 拒绝源MAC地址为0100.2563.1425的报文。 ZXR10(config)#acl hybrid number 300 ZXR10(config-hybd-acl)#rule 1 permit udp 210.168.1.0 0.0.0.255 Eq 100 210.168.2.10 0.0.0.0 eq 200 any Egress 00d0.d0c0.5741 0000.0000.0000 ZXR10(config-hybd-acl)#rule 2 deny tcp 192.168.3.0 0.0.0.255 Eq BGP any any ZXR10(config-hybd-acl)#rule 3 deny ip any any any ingress 0100.2563.1425 0000.0000.0000 6.2.2.5 配置基本IPv6ACL 步骤 命令 功能 1 ZXR10(config)#ipv6 acl standard { number < acl-number> | name < 进入基本ACL配置模式 acl-name> | alias < alias-name> } 2 ZXR10(config-std-v6acl)#rule < 1-1000> { permit| deny} { < 配置ACL中的规则 source> | any} [ time-range < timerange-name> ] 3 ZXR10(config-std-v6acl)#move < rule-no> { after | before} < 将某一条规则移到另一条规则的前 rule-no> 面或后面 举例 定义一个基本ACL，允许来自3001::/16网段的报文通过。 ZXR10(config)#ipv6 acl standard number 2000 ZXR10(config-std-v6acl)#rule 1 permit 3001::/16 6.2.2.6 配置扩展IPv6ACL 步骤 命令 功能 1 ZXR10(config)#ipv6 acl extended { number < acl-number> | name < 进入基本ACL配置模式 acl-name> | alias < alias-name> } 2 ZXR10(config-ext-v6acl)#rule < 1-1000> { permit| deny} ip { < 配置ACL中的规则 source> | any} { < dest> | any} [ time-range < timerange-name> ] 3 ZXR10(config-ext-v6acl)#move < rule-no> { after | before} < 将某一条规则移到另一条规则的前 rule-no> 面或后面 举例 定义一个基本ACL，允许来自3000::/16网段，目的网段为4000::/16网段的报文通过。 ZXR10(config)#ipv6 acl extended 2500 ZXR10(config-ext-v6acl)#rule 1 permit 3000::/16 4000::/16 6-6 SJ-20100901084759-002 | 2011-02-10(R1.0) 6 ACL 配 置 6.2.3 将ACL应用到VLAN虚端口 定义ACL后，可以将其应用到VLAN虚端口。 步骤 命令 功能 1 ZXR10(config)#vlan < vlan-number> 进入VLAN配置模式 2 ZXR10(config-vlanX)#ip access-group < acl-number> in 将访问控制列表应用到VLAN虚端口 3 ZXR10(config-vlanX)#no ip access-group < acl-number> in 将访问控制列表入端口从VLAN虚 端口解绑定 说明： 将ACL应用到VLAN虚端口，每个VLAN虚端口只能应用一个ACL，新的配置会覆盖旧的 配置。 例如：在VLAN配置模式下，先后配置了以下两条命令： ZXR10(config-vlan1)#ip access-group 10 in ZXR10(config-vlan1)#ip access-group 100 in 那么在VLAN虚端口只有ACL 100生效。 绑定到VLAN的ACL的逻辑是在VLAN之前，和入端口VLAN处理并列，如果两个同时配 置，入端口VLAN处理优先级高于绑定到VLAN虚端口的优先级。绑定到VLAN的ACL只 能匹配该VLAN的数据包，对其他VLAN的数据包没有任何作用。 6.2.4 将ACL应用到入端口方向 定义ACL后，可以将其应用到入端口方向上。 步骤 命令 功能 1 ZXR10(config)#interface< interface-name> 进入端口配置模式 2 ZXR10(config-fei_1/x)#ip access-group < acl-number> in 将访问控制列表应用到入端口方向 3 ZXR10(config-fei_1/x)#no ip access-group < acl-number> in 将访问控制列表从入端口方向上解 绑定 SJ-20100901084759-002 | 2011-02-10(R1.0) 6-7 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 说明： 每个入端口方向上，只能应用一个ACL，新的配置会覆盖旧的配置。 例如：在端口配置模式下，先后配置了以下两条命令： ZXR10(config-fei_1/1)#ip access-group 10 in ZXR10(config-fei_1/1)#ip access-group 100 in 那么在入端口方向上只有ACL 100生效，在出端口方向上情况类似。 如果将配置改为： ZXR10(config-fei_1/1)#ip access-group 10 in ZXR10(config-fei_1/1)#ip access-group 100 out 那么ACL 10在入端口方向上生效，ACL 100则在入端口方向上生效。 6.2.5 将ACL应用到物理端口 步骤 命令 功能 1 ZXR10(config)#interface < port-name> 进入端口配置模式 2 ZXR10(config-fei_1/x)#ip access-group < acl-number> in 将访问控制列表应用到物理端口 说明： 一个物理端口只能应用一个ACL，新的配置会覆盖旧的配置。例如：在fei_1/1端口配置 模式下，先后配置了以下两条命令： ZXR10(config-fei_1/1)#ip access-group 10 in ZXR10(config-fei_1/1)#ip access-group 100 in 那么只有ACL 100生效。 6.2.6 ACL支持重命名 使用下面的命令可以为ACL的规则配置一个名字。 步骤 命令 功能 1 ZXR10(config)#acl standard { number < acl-number> | name < 进入基本ACL配置模式 acl-name> } 6-8 SJ-20100901084759-002 | 2011-02-10(R1.0) 6 ACL 配 置 步骤 命令 功能 2 ZXR10(config-std-acl)#rule < 1-100> { permit| deny} { < source> 配置ACL中的规则 [ < source-wildcard> ] | any} [ time-range < timerange-name> ] 3 ZXR10(config-std-acl)#rule-description < 1-100>< 给某一条规则配置名字 rule-description> 示例：定义一个基本ACL，允许来自192.168.1.0/24网段的报文通过，但是拒绝源IP地址 为192.168.1.100的报文，可以给规则1和规则2 分别配置一个名字。 ZXR10(config)#acl standard number 10 ZXR10(config-std-acl)#rule 1 deny 192.168.1.100 0.0.0.0 ZXR10(config-std-acl)#rule-description 1 test1 ZXR10(config-std-acl)#rule 2 permit 192.168.1.0 0.0.0.255 ZXR10(config-std-acl)#rule-description 2 test2 说明： 目前只有IPv4 标准ACL、IPv4 扩展ACL、IPv4 混合ACL、IPv4 二层ACL支持ACL重命名 功能。 6.3 入端口方向ACL配置实例 如图6-2所示，某公司有一台以太网交换机，服务器和部门A、部门B的用户都连接到这 台交换机上，并有以下规定： 1. 部门A和部门B的用户在上班时间（9:00～17:00）不允许访问FTP服务器和VOD服务 器，但可以随时访问Mail服务器。 2. 内部用户可以通过代理192.168.3.100访问Internet，但不允许部门A的用户在上班时间 访问Internet。 3. 部门A和部门B的总经理（IP地址分别为192.168.1.100和192.168.2.100）可以随时访问 Internet和所有服务器。 服务器的IP地址分配如下： l Mail服务器：192.168.4.50。 l FTP服务器：192.168.4.60。 l VOD服务器：192.168.4.70。 SJ-20100901084759-002 | 2011-02-10(R1.0) 6-9 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 图6-2 ACL配置实例 交换机的配置： ZXR10(config)#time-range working-time 9:00:00 to 17:00:00 daily ZXR10(config)#acl extended number 100 ZXR10(config-ext-acl)#rule 1 permit ip 192.168.1.100 0.0.0.0 any ZXR10(config-ext-acl)#rule 2 deny ip 192.168.1.0 0.0.0.255 192.168.4.60 0.0.0.0 time-range working-time ZXR10(config-ext-acl)#rule 3 deny tcp any eq 8888 192.168.4.70 0.0.0.0 time-range working-time ZXR10(config-ext-acl)#rule 4 deny ip any 192.168.3.100 0.0.0.0 time-range working-time ZXR10(config-ext-acl)#rule 5 permit ip any any ZXR10(config)#acl extended number 101 ZXR10(config-ext-acl)#rule 1 permit ip 192.168.2.100 0.0.0.0 any ZXR10(config-ext-acl)#rule 2 deny ip 192.168.2.0 0.0.0.255 192.168.4.60 0.0.0.0 6-10 SJ-20100901084759-002 | 2011-02-10(R1.0) 6 ACL 配 置 time-range working-time ZXR10(config-ext-acl)#rule 3 deny tcp any eq 8888 192.168.4.70 0.0.0.0 time-range working-time ZXR10(config-ext-acl)#rule 4 permit ip any any ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#ip access-group 100 in ZXR10(config-fei_1/1)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#ip access-group 101 in ZXR10(config-fei_1/2)#exit 说明： 入端口VLAN处理，绑定到VLAN的ACL以及出端口方向ACL配置处理和入端口方向ACL 配置实例类似。 6.4 ACL的维护与诊断 为了便于ACL的维护与诊断，ZXR10 3900E提供了相关查看命令。 步骤 命令 功能 1 ZXR10#show acl [ < acl-number>|< acl-name> ] 显示所有或指定表号的ACL的内容 2 ZXR10#show running-config interface < interface-name> 查看物理端口是否应用了ACL 3 ZXR10#show access bound 查看哪些端口绑定了哪些ACL 4 ZXR10#show access vlan-bound 查看哪些VLAN绑定了哪些ACL 5 ZXR10#show access brief 查看当前配置的ACL以及rule的数目 SJ-20100901084759-002 | 2011-02-10(R1.0) 6-11 7 QoS配置 本章包含如下主题： Ÿ QoS概述 7-1 Ÿ 配置QoS 7-5 Ÿ QoS配置实例 7-11 Ÿ QoS的维护与诊断 7-14 7.1 QoS概述 传统网络提供的是尽力而为的服务，所有报文都被无区别的对待，网络设备按照先来先 服务的原则尽最大努力把报文送到目的地，但对报文传送的可靠性、传送延迟等性能不 提供任何保证。 随着新应用的不断出现，对网络的服务质量也提出了新的要求，传统网络的“尽力服务” 已经不能满足应用的需要。如VoIP业务、实时图像传输，如果报文传送延时太长，用户 将无法正常使用。为网络提供支持QoS的能力是解决问题的可行方法。 QoS旨在针对各种应用的不同需求，为其提供不同的服务质量，如提供专用带宽、减少报 文丢失率、降低报文传送时延及时延抖动等。为实现上述目的，QoS提供了下列功能： 1. 流分类 2. 流量监管 3. 流量整形 4. 队列调度及缺省802.1p优先级 5. 重定向及策略路由 6. 优先级标记 7. 流镜像 8. 流量统计 9. 添加/删除/修改vlan id SJ-20100901084759-002 | 2011-02-10(R1.0) 7-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 7.1.1 流分类 流（traffic）是指通过交换机的报文。流分类就是对通过交换机的报文进行分类，定义或 描述具有某种特征的报文。 QoS的流分类是基于ACL的，且ACL的规则必须是permit。用户可以根据ACL的一些过滤选 项来对报文进行分类，如报文的源IP地址、目的IP地址、源MAC地址、目的MAC地址、 IP协议类型、TCP源端口号、TCP目的端口号、UDP源端口号、UDP目的端口号、ICMP 类型、ICMP Code、DSCP、ToS、Precedence、IN VLAN ID或者 Out Vlan ID、802.1p优 先级值。 7.1.2 流量监管 流量监管就是对某一业务流进行带宽限制，防止其超过规定的带宽，对其它业务流造成 影响。对超出部分的流量可以进行以下操作： l 丢弃或转发。 l 改变其DSCP值。 l 改变其丢弃优先级（高丢弃优先级的报文在队列拥塞时被优先丢弃）。 流量监管不会引入额外的延迟，工作流程如图7-1所示。 图7-1 流量监管工作流程 ZXR10 3900E上实现单速率三色标记（Single Rate Three Color Marker）（RFC2697）和双 速率三色标记（Two Rate Three Color Marker）（RFC2698）功能，两种算法都支持在色 盲（Color-Blind）和色敏感（Color-Aware）模式。 Meter工作在两种模式下：在色盲模式下，它假设包是无色的；而在色敏感模式下，它假 设包是被标记过颜色的。在交换机上，经过交换机的数据包会根据一定的原则（数据包 7-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 7 QoS 配 置 的信息）给每个包分配一个颜色。Maker根据Meter的结果对IP包进行着色，颜色被标记 在DS域中。 下面分别介绍两种标记算法。 1. 单速率三色标记（SrTCM） 本算法被用于Diffserv流量调节器（traffic conditioner）中。SrTCM测量信息流，并根 据三种流量参数（提交信息速率，Committed Information Rate，CIR；提交组量大小 Committed Burst Size，CBS；超量组量大小Excess Burst Size，EBS）对包进行标记，这 三个参数分别称为绿，黄和红标记。一个包通过入口监管时先从CBS桶中取令牌， 如果能取到，包就是绿色。从CBS桶中取不到时从EBS桶中取令牌，如果能取到就是 黄色。如果从EBS中还取不到令牌，包就是红色。默认情况下红色包被丢弃。 2. 双速率三色标记（TrTCM） 本算法被用于Diffserv流量调节器（traffic conditioner）中。trTCM测量IP信息流，并根据 两种速率：峰值信息速率（Peak Information Rate ，PIR）和提交信息速率（Committed Information Rate，CIR）和他们各自相关的组量大小（CBS和PBS）来标记数据包为 绿，黄和红。如果包超过PIR标记为红色，否则，超过CIR标记为黄色，没有超出 CIR标记为绿色。 7.1.3 流量整形 流量整形是对输出报文的速率进行控制，使报文以均匀的速率发送出去。使用流量整形 通常是为了使报文速率与下游设备相匹配，以避免发生拥塞和报文丢弃。 流量整形和流量监管的主要区别在于：流量整形是缓存超过速率限制的报文，使报文 以均匀的速率发送出去，而流量监管则是丢弃超过速率限制的报文。流量整形会增加延 迟，而流量监管不会引入额外的延迟。 7.1.4 添加/删除/修改vlan-id 修改外层标签。 SJ-20100901084759-002 | 2011-02-10(R1.0) 7-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 7.1.5 队列调度及缺省802.1p优先级 ZXR10 3900E的每个物理端口支持8个输出队列（队列0~7），称为CoS队列。交换机根 据报文的802.1p所对应的CoS队列进行入端口输出队列操作。当网络发生拥塞时，会出现 多个报文同时竞争使用资源的情况，通常采用队列调度解决这一问题。 ZXR10 3900E支持两种队列调度方式：严格优先级调度（SP）和加权轮循（WRR）。端 口的8个输出队列可以分别采用不同的方式。 l 严格优先级调度（SP） 严格优先级调度就是严格按照队列的优先级来对各个队列的数据进行调度。首先让 最高优先级队列中的报文出队并发送，直到这个队列中的报文发送完，再发送次高 优先级队列中的报文。同样，直到次高优先级队列中的报文发送完后，再发送下一 个优先级队列中的报文，以此类推。 严格优先级调度使得关键业务的报文能够得到优先处理，使关键业务的服务质量得 到保证。但是，低优先级的队列有可能永远得不到处理，发生“饿死”现象。 l 加权轮循（WRR） 加权轮循使每个队列都有机会被调度，不会发生“饿死”现象。但是每个队列接受 调度的时间不同，即各自的权重不同（权重表示每个队列获得资源的比例），高优 先级队列中的报文获得调度的机会高于低优先级队列。 802.1p标签中包含了数据的优先级，如果进入端口的数据没有加802.1p标签，交换机会分 配的一个缺省的802.1p值。 7.1.6 重定向及策略路由 重定向是指根据流分类对具有某种特征的数据报文的转发作出重新决策，改变报文的输 出方向，将其输出到指定的端口、CPU或下一跳IP地址。 将数据报文重定向到下一跳IP地址，可用于实现策略路由。 在报文转发控制方面，基于策略的路由比传统路由控制能力更强，它可以根据ACL中所 匹配的字段来选择转发途径。策略路由可以在一定程度上实现流量工程，使不同服务质 量的流或不同业务的数据（如语音和FTP）走不同的路径。用户对网络性能的要求越来 越高，按业务或用户类别差异来选择不同的数据包转发路径是很有必要的。 7.1.7 优先级标记 优先级标记就是为ACL所描述的特定流重新分配一套服务参数，可以进行以下几种操作。 7-4 1. 改变数据报文的CoS队列，并且改变802.1p值。 2. 改变数据报文的CoS队列，但不改变802.1p值。 SJ-20100901084759-002 | 2011-02-10(R1.0) 7 QoS 配 置 3. 改变数据报文的DSCP值。 4. 改变数据报文的丢弃优先级。 7.1.8 流镜像 流镜像就是将匹配ACL规则的业务流复制到CPU或指定的端口，用于报文的分析和监视， 通常在进行网络故障诊断时使用。 7.1.9 流量统计 流量统计用于统计指定业务流的数据包，以便了解网络的实际情况，合理分配网络资源。 流量统计的主要内容是端口入方向收到的数据包的个数。 7.2 配置QoS 7.2.1 配置流量监管 7.2.1.1 配置一级流量监管 命令 功能 ZXR10(config)#traffic-limit-micro < acl-number>rule-id< rule-no>cir< 配置一级流量监管功能 cir-value>cbs< cbs-value> [ [ [ [ ebs < ebs-value> ] | [ pir < pir-value> { pbs< pbs-value> } [ modified-trtcm] ] ] { mode < mode> [ [ drop-yellow] [ forward-red] [ remark-red-dp { high| low| medium} ] [ remark-red-dscp< value> ] [ remark-yellow-dp { high| low| medium} ] [ remark-yellow-dscp < value> ] ] } ] | [ [ forward-red] [ remark-red-dp { high| low| medium} ] [ remark-red-dscp< value> ] ] ] 在ZXR10 3900E中，使用traffic-limit命令配置流量监管功能，着色算法配置参数有cir、 cbs、ebs、pir，在配置了pir时，表示使用双速率的标记算法，其中的ebs参数表示协议中 规定的pbs参数。 参数modified-trtcm表示配置的是modified双速率三色标记模式（RFC4115），用于和双 速率三色标记模式（RFC2698）做区分。 参数mode < mode> ，blind表示工作在色盲的模式下，aware表示工作在色敏感的模式下。 参数drop-yellow表示是标记为黄色的数据包丢弃，默认情况下转发。 参数forward-red表示是转发标记为红色的数据包，默认情况下是丢弃；如果配置了二级 流量监管，该字段必须配置。 参数remark用与对着色后的数据包的服务参数进行重新标记的功能。 l remark-red-dp：重新改写红色包的丢弃优先级，优先级的参数为高中低。 SJ-20100901084759-002 | 2011-02-10(R1.0) 7-5 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） l remark-red-dscp：重新改写红色包的DSCP优先级，优先级参数为0～63。 l remark-yellow-dp：重新改写黄色包的丢弃优先级，优先级参数为高中低。 l remark-yellow-dscp：重新改写黄色包的DSCP值，优先级参数为0～63。 举例 对端口fei_1/1上目的IP地址为168.2.5.5的数据包进行流量监管，设定带宽为10M。 ZXR10(config)#acl extended number 100 ZXR10(config-ext-acl)#rule 1 permit ip any 168.2.5.5 0.0.0.0 ZXR10(config-ext-acl)#exit ZXR10(config)#traffic-limit_micro 100 rule-id 1 cir 10000 cbs 2000 pir 10001 pbs 2000 mode blind ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#ip access-group 100 in 7.2.2 配置添加/删除/修改vlan-id 命令 功能 ZXR10(config)#qos set change-vlan acl < acl-number>rule< rule-id> { add 添加/删除/修改VLAN的功能 { inner-vlan | outer-vlan} < vlan-id> | change { inner-vlan | outer-vlan} < vlan-id> | delete inner-vlan } 举例 对端口fei_1/1上目的IP地址为168.2.5.1的数据包修改外层vlan-id为100，配置如下： ZXR10(config)#acl extended number 100 ZXR10(config-ext-acl)#rule 1 permit ip any 168.2.5.1 0.0.0.0 ZXR10(config-ext-acl)#exit ZXR10(config)#qos set change-vlan acl 100 rule 1 change out-vlan 100 ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#ip access-group 100 in 7-6 SJ-20100901084759-002 | 2011-02-10(R1.0) 7 QoS 配 置 说明： 出端口方向ACL不支持该功能。 入端口方向ACL仅支持修改外层vlan-id。 绑定到VLAN的ACL和入端口VLAN处理支持该功能所有项。 7.2.3 配置流量限速 命令 功能 ZXR10(config-fei_1/x)#traffic-shape data-rate < rate-value> burst-size 配置端口流量限速 < value> 举例 在端口fei_1/1上进行流量整形，配置入端口速率为20M。 ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#traffic-shape data-rate 20000 burst-size 4 7.2.4 配置流量带宽限制 命令 功能 ZXR10(config-fei_1/x)#traffic-shape queue < queue-no> { 配置队列最大最小带宽限制 max-datarate-limit < max-daterate-vlaue> | min-gua-datarate < min-datarate-vlaue> } 举例 在端口fei_1/1上进行配置队列带宽限制，队列1的最大带宽限制为20M最小带宽保证为 2M，队列2的最大带宽限制为20M，队列3的最小带宽保证为2M。 ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#traffic-shape queue 1 max-datarate-limit 20000 min-gua-datarate 2000 ZXR10(config-fei_1/1)#traffic-shape queue 2 max-datarate-limit 20000 ZXR10(config-fei_1/1)#traffic-shape queue 3 min-gua-datarate 2000 SJ-20100901084759-002 | 2011-02-10(R1.0) 7-7 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 7.2.5 配置队列调度及端口缺省802.1p优先级 ZXR10 3900E支持两种队列调度方式：严格优先级调度（SP）和加权轮循（WRR）。当 两种方式混合使用时，SP优先于WRR。 命令 功能 ZXR10(config-fei_1/x)#queue-mode strict-priority| wrr < Queue 配置队列调度及端口缺省802.1p优先级 number>< Queue weight> 举例 在端口fei_1/1上实施严格优先级调度；在端口fei_1/2上实施WRR调度，队列0~7的权重 依次为10、5、8、10、5、8、9、10；配置端口fei_1/2的缺省802.1p为5。 ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#queue-mode strict-priority ZXR10(config-if)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#queue-mode wrr 0 10 ZXR10(config-fei_1/2)#queue-mode wrr 1 5 ZXR10(config-fei_1/2)#queue-mode wrr 2 8 ZXR10(config-fei_1/2)#queue-mode wrr 3 10 ZXR10(config-fei_1/2)#queue-mode wrr 4 5 ZXR10(config-fei_1/2)#queue-mode wrr 5 8 ZXR10(config-fei_1/2)#queue-mode wrr 6 9 ZXR10(config-fei_1/2)#queue-mode wrr 7 10 ZXR10(config-fei_1/2)#priority 5 7.2.6 配置重定向及策略路由 命令 功能 ZXR10(config)#redirect < acl-number>rule-id< rule-no> { cpu| interface 配置重定向 < port-name> | next-hop < ip-address> } 举例 将端口fei_1/4上源IP地址为168.2.5.5的数据包重定向到端口fei_1/3上；同时对目的IP地址 为66.100.5.6的数据包实施策略路由，指定下一跳IP地址为166.88.96.56。 ZXR10(config)#acl extend number 100 ZXR10(config-ext-acl)#rule 1 permit ip 168.2.5.5 0.0.0.0 any 7-8 SJ-20100901084759-002 | 2011-02-10(R1.0) 7 QoS 配 置 ZXR10(config-ext-acl)#rule 2 permit ip any 66.100.5.6 0.0.0.0 ZXR10(config-ext-acl)#exit ZXR10(config)#redirect 100 rule-id 1 interface fei_1/3 ZXR10(config)#redirect 100 rule-id 2 next-hop 166.88.96.56 ZXR10(config)#interface fei_1/4 ZXR10(config-fei_1/4)#ip access-group 100 in 7.2.7 配置优先级标记 命令 功能 ZXR10(config)#priority-mark < acl-number>rule-id< rule-no> { 配置优先级标记 dscp < dscp-value> | cos< cos-value>local-precedence< local-value>drop-precedence< dropl-value> } } 举例 对端口fei_1/1上源IP地址为168.2.5.5的数据包改变其DSCP值为34，并选择输出队列为4。 ZXR10(config)#acl standard number 10 ZXR10(config-std-acl)#rule 1 permit 168.2.5.5 ZXR10(config-std-acl)#exit ZXR10(config)#priority-mark 10 rule-id 1 dscp 34 cos 4 drop-precedence low ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#ip access-group 10 in 7.2.8 配置外层VLAN值 使用以下命令配置匹配ACL规则的流的外层VLAN值。 命令 功能 ZXR10(config)#qos set acl-svlan-map acl { acl-number | acl-name} rule < 配置匹配ACL规则的流的外层VLAN值 rule-id> to out-vlanid-< vlan-id> 举例 接口fei_1/4上符合ACL规则1的流的外层VLAN标志设为2000。 ZXR10(config)#acl standard number 10 ZXR10(config-std-acl)#rule 1 permit 168.2.5.5 ZXR10(config-std-acl)#exit ZXR10(config)#interface fei_1/4 SJ-20100901084759-002 | 2011-02-10(R1.0) 7-9 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） ZXR10(config-fei_1/4)#ip access-group 10 in ZXR10(config-fei_1/4)#exit ZXR10(config)#qos set change-vlan acl 10 rule 1 change outer-vlan 2000 7.2.9 配置流镜像 命令 功能 ZXR10(config)#traffic-mirror < acl-number>rule-id< rule-no> { cpu| 配置流镜像 interface < interface-num> } 举例 将端口fei_1/8上源IP地址为168.2.5.6的数据流镜像到fei_1/4上。 ZXR10(config)#acl standard number 10 ZXR10(config-std-acl)#rule 1 permit 168.2.5.5 ZXR10(config-std-acl)#rule 2 permit 168.2.5.6 ZXR10(config-std-acl)#exit ZXR10(config)#traffic-mirror 10 rule-id 2 interface fei_1/4 ZXR10(config)#interface fei_1/8 ZXR10(config-fei_1/8)#ip access-group 10 in ZXR10(config-fei_1/8)#exit 7.2.10 配置尾丢弃 步骤 命令 功能 1 ZXR10(config)#qos tail-drop < session-index>queue-id< queue-id>配置尾丢弃参数< all-threshold>< yellow-threshold>< red-threshold> 2 ZXR10(config-fei_1/x)#drop-mode tail-drop < session-id> 在端口上使其生效 举例 配置尾丢弃参数，队列1红包的丢弃阈值为120，黄色包的丢弃阈值为120，所有包的丢弃 阈值为240。并把其配置应用到端口fei_1/8上。 ZXR10(config)#qos tail-drop 1 queue-id 1 240 120 120 ZXR10(config)#interface fei_1/8 ZXR10(config-fei_1/8)#drop-mode tail-drop 1 7-10 SJ-20100901084759-002 | 2011-02-10(R1.0) 7 QoS 配 置 7.2.11 配置流量统计 命令 功能 ZXR10(config)#traffic-statistics < acl-number>rule-id< rule-no> pkt-type 配置流量统计 { all| green| red| yellow} statistics-type { byte| packet} 举例 对端口fei_1/8上目的IP地址为67.100.88.0/24网段的数据进行流量统计，统计字节方式和 所有的包。 ZXR10(config)#acl extend number 100 ZXR10(config-ext-acl)#rule 1 permit ip 168.2.5.5 0.0.0.0 any ZXR10(config-ext-acl)#rule 2 permit ip any 67.100.88.0 0.0.0.255 ZXR10(config-ext-acl)#exit ZXR10(config)#traffic-statistics 100 rule-id 2 pkt-type all statistics-type byte ZXR10(config)#interface fei_1/8 ZXR10(config-fei_1/8)#ip access-group 100 in 7.3 QoS配置实例 7.3.1 QoS典型配置实例 如图7-2所示，网络A、网络B以及内部服务器都连接到一台以太网交换机上。内部服务 器中有一台VOD服务器，IP地址为192.168.4.70，为了保证VOD的服务质量，必须为其配 置较高的优先级。内部用户可以通过代理192.168.3.100访问Internet，但需要对网络A和网 络B的带宽进行限制，并进行流量统计。 SJ-20100901084759-002 | 2011-02-10(R1.0) 7-11 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 图7-2 QoS典型配置实例 交换机的配置： ZXR10(config)#acl extend number 100 ZXR10(config-ext-acl)#rule 1 permit tcp any 192.168.4.70 0.0.0.0 ZXR10(config-ext-acl)#rule 2 permit ip any 192.168.3.100 0.0.0.0 ZXR10(config-ext-acl)#rule 3 permit ip any any ZXR10(config-ext-acl)#exit ZXR10(config)#priority-mark 100 rule-id 1 dscp 62 local-precedence 7 ZXR10(config)#traffic-limit 100 rule-id 2 cir 5000 cbs 2000 ebs 3000 mode blind ZXR10(config)#traffic-statistics 100 rule-id 2 pkt-type all statistics-type byte ZXR10(config)#acl extend number 101 ZXR10(config-ext-acl)#rule 1 permit tcp 192.168.2.0 0.0.0.255 192.168.4.70 0.0.0.0 ZXR10(config-ext-acl)#rule 2 permit ip any 192.168.3.100 0.0.0.0 ZXR10(config-ext-acl)#rule 3 permit ip any any ZXR10(config-ext-acl)#exit ZXR10(config)#priority-mark 101 rule-id 1 dscp 62 local-precedence 7 7-12 SJ-20100901084759-002 | 2011-02-10(R1.0) 7 QoS 配 置 ZXR10(config)#traffic-limit 101 rule-id 2 cir 10000 cbs 2000 ebs 3000 mode blind ZXR10(config)#traffic-statistics 101 rule-id 2 pkt-type all statistics-type byte ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#ip access-group 100 in ZXR10(config-fei_1/1)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#ip access-group 101 in 7.3.2 策略路由配置实例 当网络中存在多个互联网服务提供商（ISP）出口时，可以通过策略路由为不同组别的用 户选择不同的ISP出口，也可以基于服务的种类来选择不同的ISP出口。 如图7-3所示，交换机连接了两个子网的用户，且有两个ISP出口可供使用，要求根据用 户的IP地址选择不同的出口，子网10.10.0.0/24的用户使用ISP1出口，而子网11.11.0.0/24 的用户使用ISP2出口。 图7-3 策略路由配置实例 交换机的配置： ZXR10(config)#acl standard number 10 ZXR10(config-std-acl)#rule 1 permit 10.10.0.0 0.0.0.255 ZXR10(config-std-acl)#rule 2 permit 11.11.0.0 0.0.0.255 ZXR10(config-std-acl)#exit ZXR10(config)#redirect 10 rule-id 1 next-hop 100.1.1.1 ZXR10(config)#redirect 10 rule-id 2 next-hop 200.1.1.1 SJ-20100901084759-002 | 2011-02-10(R1.0) 7-13 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#ip access-group 10 in ZXR10(config-fei_1/1)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#ip access-group 10 in 7.4 QoS的维护与诊断 命令 功能 ZXR10(config)#show qos [ name < acl-name> | number < acl-number> ] 显示QoS配置信息的命令 举例 ZXR10(config)#show qos traffic-limit-macro template 100 rule-group 1 cir 100000 cbs 100 mode single-or traffic-limit-micro 100 rule-id 1 cir 10000 cbs 100 traffic-limit-macro template-bind 100 group-id 1 with rule-id 1 traffic-limit-micro 100 rule-id 2 cir 20000 cbs 100 traffic-limit-macro template-bind 100 group-id 1 with rule-id 2 traffic-limit-micro 100 rule-id 3 cir 30000 cbs 100 traffic-limit-macro template-bind 100 group-id 1 with rule-id 3 traffic-limit-micro 100 rule-id 4 cir 20000 cbs 100 traffic-limit-macro template-bind 100 group-id 1 with rule-id 4 7-14 SJ-20100901084759-002 | 2011-02-10(R1.0) 8 DHCP配置 本章包含如下主题： Ÿ DHCP概述 8-1 Ÿ 配置DHCP 8-2 Ÿ DHCP配置实例 8-14 Ÿ DHCP的维护与诊断 8-18 8.1 DHCP概述 DHCP（动态主机配置协议）能够让网络上的主机从一个DHCP服务器上获得一个可以 让其正常通信的IP地址以及相关的配置信息。RFC2131详细的描述了DHCP。 DHCP采用UDP作为传输协议，主机发送消息到DHCP服务器的67号端口，服务器回消 息给主机的68号端口。DHCP的工作主要分为以下几步： 1. 主机发送一个请求IP地址和其他配置参数的广播报文DHCPDiscover。 2. DHCP服务器回送一个包含有效IP地址及配置的单播报文DHCPOffer。 3. 主机选择最先到达的DHCPOffer的那个服务器，并向它发送一个广播报文DHCPRequest，表示接受相关配置。 4. 选中的DHCP服务器回送一个确认的单播报文DHCPAck。 至此，主机就可以利用从DHCP服务器获得的IP地址和相关配置进行通信。 DHCP服务器为主机分配的IP地址有三种形式： 1. 管理员将一个IP地址分配给一个确定的主机。 2. 随机的将地址永久性分配给主机。 3. 随机将地址分配给主机使用一段时间。 常用的是第3种形式。地址的有效使用时间段称为租用期。租用期满之前，主机必须向服 务器请求继续租用，服务器接受请求才能继续使用，否则无条件放弃。 SJ-20100901084759-002 | 2011-02-10(R1.0) 8-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 由于默认情况下，路由器不会将收到的广播包从一个子网发送到另一个子网。而当DHCP 服务器和客户主机不在同一个子网时，充当客户主机默认网关的路由器必须将广播包发 送到DHCP服务器所在的子网，这一功能就称为DHCP中继。 ZXR10 3900E既可以作为DHCP服务器也可以充当DHCP中继转发DHCP信息，但在同一 接口下两种功能不能同时使用。 DHCP功能方便了IP地址的分配，但是，随着DHCP服务的广泛应用，也产生了一些问 题。首先，DHCP服务允许一个子网内存在多台DHCP服务器，这就意味着管理员无法 保证客户端只能从管理员所设置的DHCP服务器中获取合法的IP地址，而不从一些用户 自建的非法DHCP服务器中取得IP地址；其次，在部署DHCP服务的子网中，指定了合法 的IP地址、掩码和网关的主机也可以正常地访问网络，而DHCP服务器却仍然会有可能 将该地址分配给其它主机，这样就会造成地址冲突，影响IP地址的正常分配。 为了解决以上问题，ZXR10 3900E采用DHCP snooping功能防止在网络中设置虚假的DHCP 服务器，这时候连接DHCP服务器的端口必须设置为信任端口。另外，结合动态ARP检 测技术可以防止非法的IP和MAC地址绑定，保证了DHCP服务器能够正常分配IP地址。 8.2 配置DHCP 8.2.1 配置IP地址池 1. 设置一个IP地址池。使用no命令删除某个地址池。 步骤 命令 功能 1 ZXR10(config)#ip pool < word> 创建DHCP功能所使用的IP地址池， 并进入对应名字的地址池的配置模 式。 IP地址池名字，1~16个字符 2 ZXR10(config)#no ip pool < word> 2. 删除名字对应的IP地址池 设置某个IP地址池内IP地址的冲突时间。使用no命令删除原先的配置，恢复缺省的 时间值。 步骤 命令 功能 1 ZXR10(config-ip-pool)#conflict-time < time> 设置某个IP地址池内IP地址的冲突时 间 冲突时间值，1~18000分钟， 缺省为30分钟 2 ZXR10(config-ip-pool)#no conflict-time 3. 8-2 删除原先的配置，恢复缺省的时间值 配置某个IP地址池中的保留地址。使用no命令删除原先的配置内容。 SJ-20100901084759-002 | 2011-02-10(R1.0) 8 DHCP 配 置 步骤 命令 功能 1 ZXR10(config-ip-pool)#exclude < low_ip_addr>[< hig_ip_addr> ] 配置某个IP地址池中的保留地址。 保留地址范围内的起 始低地址，或是指定的某一个地址 保留地址范围内的最 高地址。 2 ZXR10(config-ip-pool)#no exclude < low_ip_addr>[< 删除原先的配置内容。 hig_ip_addr>]保留地址范围内的起 始低地址，或是指定的某一个地址 保留地址范围内的最 高地址。 4. 将某个子网内的所有合适的IP地址都纳入地址池的范围。使用no命令删除对应的IP 地址范围配置。 步骤 命令 功能 1 ZXR10(config-ip-pool)#network < net_number>< net_mask> 将某个子网内的所有合适的IP地址都 纳入地址池的范围。 某 个 子 网 络 的 网 络 号，子网的掩码 2 ZXR10(config-ip-pool)#no network < net_number>< net_mask>删除对应的IP地址范围配置。 某 个 子 网 络 的 网 络 号，子网的掩码 5. 配置IP地址池的地址范围。使用no命令删除对应的IP地址范围配置。 步骤 命令 功能 1 ZXR10(config-ip-pool)#range < begin_ip_addr>< last_ip_addr>配置IP地址池的地址范围。< ip_mask> IP地址池的起始地 址， IP地址池的结 束地址， 地址掩码 2 ZXR10(config-ip-pool)#no range < begin_ip_addr>< last_ip_addr>删除对应的IP地址范围配置。< ip_mask> IP地址池的起始地 址， IP地址池的结 束地址， 地址掩码 8.2.2 配置DHCP地址池 一个DHCP pool可以绑定一个地址池（IP pool），DHCP server将从绑定的地址池中分配 地址。 1. 设置一个DHCP pool。使用no命令删除某个DHCP pool。 SJ-20100901084759-002 | 2011-02-10(R1.0) 8-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 步骤 命令 功能 1 ZXR10(config)#ip dhcp pool < word> 设置一个DHCP pool DHCP pool 名称 2 ZXR10(config)#no ip dhcp pool < word> 2. 删除某个DHCP pool 设置MAC地址与IP地址之间绑定表。使用no命令删除原先的配置。 步骤 命令 功能 1 ZXR10(config-dhcp-pool)#binding < mac_addr>< ip_addr> [ 设置MAC地址与IP地址之间绑定表 vrf-instance < instance_ namer>]MAC地址IP地址实例名称 2 ZXR10(config-dhcp-pool)#no binding < mac_addr>< ip_addr> [ 删除原先的配置 vrf-instance < instance_ namer> ] 3. 配置默认路由地址。使用no命令可以删除已配置内容。 步骤 命令 功能 1 ZXR10(config-dhcp-pool)#default-router < ip_addr>[< ip_addr> ] 配置默认路由地址 [ < ip_addr> ] 2 ZXR10(config-dhcp-pool)#no default-router < ip_addr>[< 删除已配置内容 ip_addr> ] [ < ip_addr> ] 4. 配置DNS服务器地址。使用no命令删除相应的配置。 步骤 命令 功能 1 ZXR10(config-dhcp-pool)#dns-server < ip_addr>[< ip_addr> ] 配置DNS服务器地址 [ < ip_addr> ] 此命令最多配置8个DNS server地址 ZXR10(config-dhcp-pool)#no dns-server < ip_addr>[< ip_addr> ] 删除相应的配置 2 [ < ip_addr> ] 5. 绑定指定的IP pool到DHCP pool。使用no命令删除绑定关系。 步骤 命令 功能 1 ZXR10(config-dhcp-pool)#ip-pool < ip_pool_name> 绑定指定的IP pool到DHCP pool ip pool地址池名字， 1~16个字符 2 ZXR10(config-dhcp-pool)#no ip-pool 6. 8-4 删除绑定关系 配置IP地址的租期。使用no命令删除配置的时间，恢复缺省设置。 SJ-20100901084759-002 | 2011-02-10(R1.0) 8 DHCP 配 置 步骤 命令 功能 1 ZXR10(config-dhcp-pool)#lease-time [ [ infinite] | [ < days>< 配置IP地址的租期 hours>< minutes> ] ] 天数 0~365 小时 0~23 分钟 0~59 infinite无限长 缺省为60分钟 2 ZXR10(config-dhcp-pool)#no lease-time 7. 删除配置的时间 配置其他可选项。 命令 功能 ZXR10(config-dhcp-pool)#option < option_code> [ [ ascii < string> ] | [ 配置其他可选项 hex < hex_num> ] | [ ip < ip_addr> ] ] 配置可选码， 范围1~254 配置 NVT ASCII 字符串 十六进制数 IP地址 8.2.3 配置DHCP策略 1. 在全局模式下进入policy配置模式。使用no命令删除名字对应的policy配置。 步骤 命令 功能 1 ZXR10(config)#ip dhcp policy < policy_name>< priority>在全局模式下进入policy配置模式 Policy 的 名 字 ， 1~16 个字符 优先级 2 ZXR10(config)#no ip dhcp policy < policy_name>< priority> 2. 删除名字对应的policy配置 将dhcp-pool绑定到该policy中。使用no命令删除绑定关系。 步骤 命令 功能 1 ZXR10(config-dhcp-pool)#dhcp-pool < pool_name>将dhcp-pool绑定到该policy中 dhcp pool的名字 2 ZXR10(config-dhcp-pool)#no dhcp-pool < pool_name> 3. 删除绑定关系 配置relay agent的地址。使用no命令删除配置。 步骤 命令 功能 1 ZXR10(config-dhcp-pool)#relay-agent < ip_addr> 配置relay agent的地址 IP地址 SJ-20100901084759-002 | 2011-02-10(R1.0) 8-5 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 步骤 命令 功能 2 ZXR10(config-dhcp-pool)#no relay-agent 删除配置 8.2.4 配置DHCP服务器 1. 启用内置的DHCP进程。使用no命令停止DHCP进程。 步骤 命令 功能 1 ZXR10(config)#ip dhcp enable 启用内置的DHCP进程后，系统将在 配置了用户接口属性的接口上处理 DHCP协议的IP地址请求。本系统内 置DHCP Server功能和DHCP Relay功 能，通过该命令启用这两种功能。 缺省：不启动内置的DHCP进程 2 停止DHCP进程 ZXR10(config)#no ip dhcp enable 2. 启用接口的DHCP工作模式。 命令 功能 ZXR10(config-if-vlanX)#ip dhcp mode [ server | relay | proxy] relay使能接口的DHCP Relay功能 server使能接口的DHCP Server功能 proxy使能接口的 DHCP Proxy功能 启用内置的DHCP Relay进程后，系统将在接口上处理DHCP Client的IP地址请求，通 过接口下配置的外部DHCP Server为DHCP Client动态分配IP地址。 启用内置的DHCP Proxy进程后，系统将在接口上处理DHCP Client的IP地址请求，通 过接口下配置的外部DHCP Server为DHCP Client动态分配IP地址，并且把proxy配置的 短租期替换server下发的长租期给用户，当DHCP Client发起续租请求时，如果DHCP Server分给DHCP Proxy的长租期未超时，DHCP Proxy将直接响应DHCP Client，不需 要向外部DHCP Server发续租请求，减轻外部DHCP Server的负担。 本系统内置DHCP Server功能和DHCP Relay功能和DHCP Proxy功能，同一接口下三 者只能运行其中一个功能。 3. 配置policy的命令描述。使用no命令删除配置。 步骤 命令 功能 1 ZXR10(config-if-vlanX)#ip dhcp policy < policy_name>配置policy的命令描述。接口需要绑定的policy 名 2 8-6 ZXR10(config-if-vlanX)#no ip dhcp policy 删除配置 SJ-20100901084759-002 | 2011-02-10(R1.0) 8 DHCP 配 置 4. 配置接口的DHCP用户限额，即接口上所允许的最大DHCP Client数目。此命令对 DHCP Server进程始终生效，对DHCP Relay进程，将在特定的配置条件下生效。使用 no命令取消接口的DHCP用户限额。 步骤 命令 功能 1 ZXR10(config-if-vlanX)#ip dhcp user quota < limit-value> 配置接口的DHCP用户限额，即接口 上所允许的最大DHCP Client数目。 配置接口的DHCP用户 限额，范围1~2048 缺省：无限额 2 ZXR10(config-if-vlanX)#no ip dhcp user quotar 取消接口的DHCP用户限额 对DHCP Server而言，DHCP用户限额将控制接口上的最大DHCP用户数目，间接控 制接口上分配的IP地址数。 对DHCP Relay而言，由于DHCP Relay标准模式不支持DHCP用户限额的处理，DHCP 用户限额将不起作用。但是如果配置DHCP Relay为安全模式转发，DHCP Relay通过 处理可以使DHCP用户限额配置生效。 5. 配置该接口选择外部DHCP Server的策略。 步骤 命令 功能 1 ZXR10(config-if-vlanX)#ip dhcp helper-address policy vclass-id 配置该接口选择外部DHCP Server的 策略。 缺省值为选择该接口下使用ip dhcp relay server命令配置的DHCP Server 2 ZXR10(config-if-vlanX)#no ip dhcp helper-address policy vclass-id 取消该接口选择外部DHCP Server的 策略 6. 配置DHCP SERVER/RELAY/PROXY的漫游功能。使用no命令不使能DHCP漫游功 能。 步骤 命令 功能 1 ZXR10(config)#ip dhcp ramble 在启用DHCP漫游功能的情况下， DHCP用户可以在保持在线的情况下 切换接入端口。缺省：不使能DHCP 漫游功能 2 ZXR10(config)#no ip dhcp ramble 7. 不使能DHCP漫游功能 启用DHCP日志打印开关。使用no命令停止DHCP打印功能。 SJ-20100901084759-002 | 2011-02-10(R1.0) 8-7 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 步骤 命令 功能 1 ZXR10(config)#ip dhcp logging on 启用DHCP日志打印开关。 缺 省 值 为 不 启 用 DHCP 日 志 打 印 功 能。 打开DHCP日志打印功能后，会记录 DHCP用户上线日志 2 停止DHCP打印功能 ZXR10(config)#no ip dhcp logging on 8.2.5 配置DHCP SNOOPING 1. 手动添加用户绑定条目到DHCP SNOOPING绑定数据库中。使用no命令将用户绑定 条目从DHCP SNOOPING绑定数据库中删除。 步骤 命令 功能 1 ZXR10(config)#ip dhcp snooping binding < mac>vlan< vlan>< ip 手 动 添 加 用 户 绑 定 条 目 到 DHCP address>< interface-number>expiry< 2147483647>SNOOPING绑定数据库中。用户MAC地址用户所属VLAN，1~4096，可 以输入范围 DHCP绑定IP地址 物 理 接 口 号 ， 如 fei、gei、smartgroup等 2 ZXR10(config)#no ip dhcp snooping binding < mac>vlan< vlan>< 用户绑定条目从DHCP SNOOPING ip address>< interface-number> 绑定数据库中删除 2. 手动清除某二层接口上DHCP SNOOPING绑定表中的表项。 命令 功能 ZXR10(config)#ip dhcp snooping clear [ < interface-number> ] 手动清除某二层接口上DHCP SNOOPING绑定表中的表项。 物理接口号，如fei、 gei、smartgroup等 3. DHCP SNOOPING使能。使用no命令解除DHCP SNOOPING功能。 步骤 命令 功能 1 ZXR10(config)#ip dhcp snooping enable 全局使能DHCP SNOOPING功能 后，需要在相应的VLAN上启用 DHCP SNOOPING功能，以便在 VLAN上生效 2 8-8 ZXR10(config)#no ip dhcp snooping enable 解除DHCP SNOOPING功能 SJ-20100901084759-002 | 2011-02-10(R1.0) 8 DHCP 配 置 4. 配置DHCP SNOOPING是否在转发的DHCP包中插入82选项。缺省时为不插入82选 项。 步骤 命令 功能 1 ZXR10(config)#ip dhcp snooping information option 插入82选项 2 ZXR10(config)#no ip dhcp snooping information option 不插入82选项 5. 配置DHCP SNOOPING在转发DHCP数据包中插入82选项的格式，包括CHINATEL、DSL-FORUM、Telenor和用户自定义四种格式。使用no命令取消已配置的82 选项处理格式，恢复缺省格式。 步骤 命令 功能 1 ZXR10(config)#ip dhcp snooping information format { china-tel | 配置DHCP SNOOPING在转发DHCP dsl-forum| Telenor| user-configuration} 数据包中插入82选项的格式。 china-tel中国电信的82选项格式 dsl-forum DSL论坛的82选项格式 缺省为中国电信格式 2 ZXR10(config)#no ip dhcp snooping information format 取消已配置的82选项处理格式，恢 复缺省格式 6. 配置DHCP SNOOPING在插入82选项而转发DHCP数据包中已存在82选项时所采取 的策略。使用no命令取消已配置的82选项处理策略，恢复缺省策略。 步骤 命令 功能 1 ZXR10(config)#ip dhcp snooping information policy { keep | 配置DHCP SNOOPING在插入82选 replace} 项而转发DHCP数据包中已存在82选 项时所采取的策略。 keep保持原有的82选项，并进行透传 replace替换原有的82选项 缺省为保持原有82选项，即透传 2 ZXR10(config)#no ip dhcp snooping information policy 取消已配置的82选项处理策略，恢复 缺省策略 7. 配置DHCP SNOOPING漫游功能，允许用户在不用的物理端口上切换，缺省为不允 许。 步骤 命令 功能 1 ZXR10(config)#ip dhcp snooping ramble 配置DHCP SNOOPING漫游功能 2 ZXR10(config)#no ip dhcp snooping ramble 不允许DHCP SNOOPING漫游功能 8. 配置接DHCP SERVER的接口为信任接口，不对此接DHCP SERVER的接口进行限 制（为信任接口）。其他接口缺省为不信任接口。 SJ-20100901084759-002 | 2011-02-10(R1.0) 8-9 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 步骤 命令 功能 1 ZXR10(config)#ip dhcp snooping trust < interface-number> 配置接DHCP SERVER的接口为信任 接口 物 理 接 口 号 ， 如 fei、gei、smartgroup等 2 ZXR10(config)#no ip dhcp snooping trust < interface-numbe> 取消接DHCP SERVER的接口为信 任接口 9. 配置在特定范围的VLAN下启用DHCP SNOOPING功能。 步骤 命令 功能 1 ZXR10(config)#ip dhcp snooping vlan < vlan> 配 置 在 特 定 范 围 的 VLAN 下 启 用 DHCP SNOOPING功能。 用户所属VLAN，1~4094，可 以输入范围 2 ZXR10(config)#no ip dhcp snooping vlan < vlan> 取消在特定范围的VLAN下启用 DHCP SNOOPING功能 8.2.6 配置DHCP中继 1. 配置接口的DHCP代理IP地址。使用no命令删除接口的DHCP代理IP地址。 步骤 命令 功能 1 ZXR10(config-if-vlanX)#ip dhcp relay agent < ip-address>配置接口的DHCP代理IP地址< ip-address>接口上的DHCP代理IP 地址，点分十进制形式 2 ZXR10(config-if-vlanX)#no ip dhcp relay agent 删除接口的DHCP代理IP地址 启用DHCP Relay向外部DHCP Server转发用户的DHCP请求前，需要配置DHCP Agent 的IP地址，DHCP Agent的IP地址是DHCP Client所在接口的IP地址之一。 外部DHCP Server会按照DHCP Agent的IP地址分配用户IP地址，使它们位于相同的子 网。DHCP Server返回给DHCP Client的DHCP响应包将通过DHCP Agent进行转发， 因此外部DHCP Server需要配置到DHCP Agent所在子网的路由。 2. 8-10 配置接口的外部DHCP Server地址。使用no命令删除接口的外部DHCP Server地址。 SJ-20100901084759-002 | 2011-02-10(R1.0) 8 DHCP 配 置 步骤 命令 功能 1 ZXR10(config-if-vlanX)#ip dhcp relay server < ip-address>{< ip-address>外部DHCP Server的IP地 standard | security} 址，点分十进制形式 standard遵循DHCP标准协议的转发模 式 security ZTE的安全转发模式 缺省值 为standard 2 ZXR10(config-if-vlanX)#no ip dhcp relay server < ip-address>< ip-address>外部DHCP Server的IP 地址，点分十进制形式 标准转发模式将遵循DHCP标准协议实现，在用户获得相应的IP地址后，DHCP进程 将不再对其后续单播交互施加处理，如不进行安全检查等。同时，写ARP表功能将 对标准模式无效。标准转发模式由于不对DHCP后续的单播交互施加处理，故在大用 户量时性能会好些。 安全转发模式结合DHCP标准协议和ZTE专利技术，实现对DHCP用户与外部DHCP SERVER之间所有交互的控制和处理，如安全检查。这样，DHCP进程能在所有的 DHCP交互中施加处理等。同时，支持写ARP表功能。系统缺省的Relay转发模式为 标准转发模式。 3. 配置DHCP Relay向外部DHCP Server申请地址时发起重试的次数。使用no命令恢复 默认重试次数。 步骤 命令 功能 1 ZXR10(config)#ip dhcp relay server retry < limit-values>< limit-value>配置DHCP Relay发起 申请地址重试次数，范围5~1000。 缺省值为10 2 ZXR10(config)#no ip dhcp relay server retry 4. 恢复默认重试次数 配置携带指定域名的DHCP Client向特定的外部DHCP Server申请IP地址。 步骤 命令 功能 1 ZXR10(config)#ip dhcp relay server vclass-id < domain name><< domain name> DHCP Client请求包 ip-address> { standard | security} 带的域名 < ip-address>外部DHCP Server的IP地 址，点分十进制形式 standard遵循DHCP标准协议的转发模 式 security ZTE的安全转发模式 SJ-20100901084759-002 | 2011-02-10(R1.0) 8-11 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 步骤 命令 功能 2 ZXR10(config)#no ip dhcp relay server vclass-id < domain name><< domain name> DHCP Client请求包 ip-address>带的域名< ip-address>外部DHCP Server的IP地 址，点分十进制形式 5. DHCPRelay标准模式下设置不严格检查DHCP用户的续租报文，即若收到回应给用 户的ACK报文，即直接透明转发此报文给用户。使用no命令限制DHCP用户的续租 报文，恢复缺省格式。 步骤 命令 功能 1 ZXR10(config)#ip dhcp relay forward reply unrestricted 缺省值为限制 2 ZXR10(config)#no ip dhcp relay forward reply unrestricted 缺省值为限制 DHCP用户的续租是由DHCP客户端主动发起的，对于DHCP客户端不发续租报文的 情况，若能够收到DHCP Server给客户端回应的ACK报文，也认为DHCP客户端是在 线的，将此报文透传给用户。 6. 配置DHCP进程在进行relay转发时插入82选项。使用no命令取消插入82选项。 步骤 命令 功能 1 ZXR10(config)#ip dhcp relay information option 配置DHCP进程在进行relay转发时插 入82选项 缺省：不插入82选项 2 取消插入82选项 ZXR10(config)#no ip dhcp relay information option 7. 配置当DHCP进程处理的relay转发数据包已插入了82选项，而本地又配置需要插入82 选项时，DHCP进程的处理策略。使用no命令取消已配置的82选项处理策略，恢复 缺省策略。 步骤 命令 功能 1 ZXR10(config)#ip dhcp relay information policy { keep | replace} keep保持原有的82选项，并进行透传 replace替换原有的82选项 缺省为保持原有82选项，即透传 2 ZXR10(config)#no ip dhcp relay information policy 取消已配置的82选项处理策略，恢 复缺省策略 8. 配置DHCP Relay回应给DHCP客户端的server-id地址。使用no命令取消DHCP Relay 回应给DHCP客户端的server-id地址。 8-12 SJ-20100901084759-002 | 2011-02-10(R1.0) 8 DHCP 配 置 步骤 命令 功能 1 ZXR10(config)#ip dhcp relay security client server-id < ip-address> 配置DHCP Relay回应给DHCP客户 端的server-id地址， ip-address>配 置的server-id的IP地址，点分十进制 形式 2 ZXR10(config)#no ip dhcp relay security client server-id 取消DHCP Relay回应给DHCP客户 端的server-id地址 9. 全局使能DHCP Relay Snooping功能。 步骤 命令 功能 1 ZXR10(config)#ip dhcp relay snooping enable 全局使能DHCP Relay Snooping功能。 缺省值为不开启DHCP Relay Snooping 功能 2 ZXR10(config)#no ip dhcp relay snooping enable 取消DHCP Relay Snooping功能 10. 使能获取通过接口的所有响应类型的DHCP网络数据包。 步骤 命令 功能 1 ZXR10(config-if-vlanX)#ip dhcp relay snooping packet reply 使能获取通过接口的所有响应类型 的DHCP网络数据包 2 ZXR10(config-if-vlanX)#no ip dhcp relay snooping packet reply 取消使能获取通过接口的所有响应 类型的DHCP网络数据包 11. 使能获取通过接口的所有请求类型的DHCP网络数据包。 步骤 命令 功能 1 ZXR10(config-if-vlanX)#ip dhcp relay snooping packet request 使能获取通过接口的所有请求类型 的DHCP网络数据包 2 ZXR10(config-if-vlanX)#no ip dhcp relay snooping packet request 取消使能获取通过接口的所有请求 类型的DHCP网络数据包 12. 使能接口为DHCP Relay的信任接口。 步骤 命令 功能 1 ZXR10(config-if-vlanX)#ip dhcp relay snooping trust 使能接口为DHCP Relay的信任接口 2 ZXR10(config-if-vlanX)#no ip dhcp relay snooping trust 取消接口为DHCP Relay的信任接口 13. 全局使能DHCP Relay Snooping Trust功能。 SJ-20100901084759-002 | 2011-02-10(R1.0) 8-13 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 步骤 命令 功能 1 ZXR10(config)#ip dhcp relay snooping trust enable 全局使能DHCP Relay Snooping Trust 功能 2 ZXR10(config)#no ip dhcp relay snooping trust enable 取消DHCP Relay Snooping Trust功能 8.2.7 配置DHCP Client 1. 使能DHCP client的class-id功能。 命令 功能 ZXR10(config-if-vlanX)#ip dhcp client class-id { WORD | hex} 使能DHCP client的class-id 功能 2. 配置DHCP client的client-id。 步骤 命令 功能 1 ZXR10(config-if-vlanX)#ip dhcp client client-id supervlan 配置DHCP client-id功能 2 ZXR10(config-if-vlanX)#ip dhcp client client-id vlan 配置DHCP client-id功能 3. 配置DHCP client的hostname。 命令 功能 ZXR10(config-if-vlanX)#ip dhcp client hostname WORD 配置DHCP client的hostname功能 4. 配置DHCP client的lease信息。 命令 功能 ZXR10(config-if-vlanX)#ip dhcp client lease { 0-365 | infinite } 配置DHCP client的 lease信息 5. 配置DHCP client的request信息。 命令 功能 ZXR10(config-if-vlanX)#ip dhcp client request { dns-nameserver | 配置DHCP client的request信息 domain-name | router | static-route | tftp-server-address } 8.3 DHCP配置实例 8.3.1 DHCP服务器配置实例 如图8-1所示，R1作为DHCP服务器使用，同时充当默认网关，主机通过DHCP动态获 取IP地址。 8-14 SJ-20100901084759-002 | 2011-02-10(R1.0) 8 DHCP 配 置 图8-1 DHCP服务器配置 R1的配置： ZXR10(config)#in fei_1/1 ZXR10(config-fei_1/1)#switchport access vlan 10 ZXR10(config-fei_1/1)#exit ZXR10(config)#interface vlan 10 ZXR10(config-if-vlan10)#ip dhcp mode server ZXR10(config-if-vlan10)#ip address 10.10.1.1 255.255.255.0 ZXR10(config-if-vlan10)#exit ZXR10(config)#ip pool pool1 ZXR10(config-ip-pool)#range 10.10.1.10 1.1.1.100 255.255.255.0 ZXR10(config-ip-pool)#exit ZXR10(config)#ip dhcp pool dhcp1 ZXR10(config-dhcp-pool)#ip-pool pool1 ZXR10(config-dhcp-pool)#default-route 10.10.1.1 ZXR10(config-dhcp-pool)#exit ZXR10(config)#ip dhcp policy p1 1 SJ-20100901084759-002 | 2011-02-10(R1.0) 8-15 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） ZXR10(config-dhcp-policy)#dhcp-pool dhcp1 ZXR10(config-dhcp-policy)#exit ZXR10(config)#interface vlan 10 ZXR10(config-if-vlan10)#ip dhcp policy p1 ZXR10(config-if-vlan10)#exit ZXR10(config)#ip dhcp enable 8.3.2 DHCP中继配置实例 当DHCP客户机和服务器不在同一网络中时，需要直连用户端的路由器充当DHCP中继。 如图8-2所示，R1中启用DHCP中继功能，由一台单独的服务器10.10.2.2提供DHCP服务 器的功能。在需要DHCP服务的主机比较多的情况下通常采用这种做法。 图8-2 DHCP中继配置 R1的配置： ZXR10(config)#interface vlan10 ZXR10(config-if-vlan10)#ip dhcp mode relay ZXR10(config-if-vlan10)#ip address 10.10.1.1 255.255.255.0 ZXR10(config-if-vlan10)#ip dhcp relay agent 10.10.1.1 ZXR10(config-if-vlan10)#ip dhcp relay server 10.10.2.2 ZXR10(config-if-vlan10)#exit ZXR10(config)#ip dhcp enable 8-16 SJ-20100901084759-002 | 2011-02-10(R1.0) 8 DHCP 配 置 8.3.3 DHCP snooping防虚假DHCP服务器配置实例 如图8-3所示，DHCP服务器1连接交换机R1的fei_1/1，管理 DHCP是管理员设置的。服 务器2连接交换机R1的fei_1/2，是用户私自设立的，属于非法DHCP服务器。fei_1/1和 fei_1/2都属于vlan100。在交换机上启用DHCP snooping功能，防止网络中设置虚假DHCP 服务器。 这时候需要在vlan100中起DHCP snooping功能，并把fei_1/1口配置为信任端口。 图8-3 DHCP snooping防虚假DHCP服务器配置 R1的配置： ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#switch access vlan 100 ZXR10(config-fei_1/1)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#switch access vlan 100 ZXR10(config-fei_1/2)#exit ZXR10(config)#ip dhcp snooping enable ZXR10(config)#ip dhcp snooping vlan 100 ZXR10(config)#ip dhcp snooping trust fei_1/1 8.3.4 DHCP snooping防静态IP设置配置实例 如图8-4所示，DHCP服务器和PC属于vlan100。PC通过DHCP方式获取IP地址。这时需 要通过DHCP snooping和动态ARP检测技术禁止PC设置静态IP地址。 SJ-20100901084759-002 | 2011-02-10(R1.0) 8-17 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 图8-4 DHCP snooping防静态IP设置配置 R1的配置： ZXR10(config)#ip dhcp snooping enable ZXR10(config)#ip dhcp snooping trust fei_1/1 ZXR10(config)#ip dhcp snooping vlan 100 ZXR10(config)#vlan 100 ZXR10(config-vlan100)#ip arp inspection 8.4 DHCP的维护与诊断 当遇到DHCP用户IP地址分配问题时，我们可以通过相关的调试命令来帮助定位故障， 排除错误。其中可能用到的命令包括show命令和debug命令。 通过show命令可以查看当前DHCP配置信息。 命令 功能 ZXR10#show ip dhcp server 显示DHCP Server进程模块的配置信息 ZXR10#show ip dhcp server user 查看DHCP Server进程模块的当前在线 用户列表 ZXR10#show ip dhcp relay 显示DHCP Relay进程模块的配置信息 ZXR10#show ip local pool [ < pool-name> ] 显示配置的本地地址池信息 ZXR10#show ip interface 显示接口相关的DHCP Server/Relay的配 置信息 ZXR10#show ip dhcp snooping configure 显示DHCP snooping的全局配置 ZXR10#show ip dhcp snooping vlan [ < vlan-id> ] 显示DHCP snooping的vlan使能配置 ZXR10#show ip dhcp snooping trust 显示DHCP snooping的信任接口配置 ZXR10#show ip dhcp snooping database < port-number> 显示DHCP snooping生成的bind数据库 ZXR10#show ip arp inspection vlan [ < vlanl-id> ] 显示DAI的vlan使能配置 ZXR10#show ip dhcp pool [ < pool-name> ] 显示DHCP pool 配置 ZXR10#show ip dhcp policy [ < policy_name> ] 显示DHCP policy配置 8-18 SJ-20100901084759-002 | 2011-02-10(R1.0) 8 DHCP 配 置 通过debug ip dhcp命令可以跟踪DHCP Server/Relay进程的收发包情况和处理情况。 SJ-20100901084759-002 | 2011-02-10(R1.0) 8-19 9 VRRP配置 本章包含如下主题： Ÿ VRRP概述 9-1 Ÿ 配置VRRP 9-1 Ÿ VRRP配置实例 9-3 Ÿ VRRP的维护与诊断 9-4 9.1 VRRP概述 通常一个广播域中的主机都会设置一个默认网关充当路由数据包的下一跳。当这个默认 网关不能正常工作时，这个广播域中的主机就不能与其他网络中的主机进行通信。为了 避免由这个默认网关造成的单点故障，可以在一个广播域中配置多个路由器接口，并在 这些路由器上运行VRRP（Virtual Router Redundancy Protocol）。 VRRP把在同一个广播域中的多个路由器接口编为一组，形成一个虚拟路由器，并为其 分配一个IP地址，作为虚拟路由器的接口地址。虚拟路由器的接口地址既可以是其中一 个路由器接口的地址，也可以是第三方地址，但是此虚拟地址必须和实接口地址在同一 网段才可用。 如果使用路由器的接口地址，则拥有这个IP地址的路由器作为主用路由器，其他路由器 作为备份。如果采用第三方地址，则优先级高的路由器成为主用路由器；如果两路由器 优先级相同，则实接口IP地址大的成为主用。 在这个广播域中的主机上，把虚拟路由器的IP地址设为网关。当主用路由器发生故障时， 将在备用路由器中选择优先级最高的路由器接替它的工作，这对于域中的主机来说没有 任何影响。只有当这个VRRP组中的所有的路由器都不能正常工作时，该域中的主机才 不能与外界通信。 还可以将这些路由器编为多个组，使它们互为备份，域中的主机使用不同的IP地址作为 网关，这样可以实现数据的负载均衡。 9.2 配置VRRP 1. 运行VRRP协议。 SJ-20100901084759-002 | 2011-02-10(R1.0) 9-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 命令 功能 ZXR10(config-if-vlanX)#vrrp < group>ip< ip-address> [ secondary] 运行VRRP协议 一个VRRP组中可以配置多个虚拟地址，下挂的主机可以使用其中任意一个作为网 关进行通信。 2. 配置VRRP优先级。 命令 功能 ZXR10(config-if-vlanX)#vrrp < group>prirority< priority> 配置VRRP优先级 3. 配置是否可以抢占。 命令 功能 ZXR10(config-if-vlanX)#vrrp < group> preempt [ delay < milliseconds> ] 配置是否可以抢占 4. 配置发送VRRP通告的时间间隔。 命令 功能 ZXR10(config-if-vlanX)#vrrp < group> advertise [ msec] < interval> 配置发送VRRP通告的时间间隔 5. 配置学习Master的VRRP报文发送的时间间隔 命令 功能 ZXR10(config-if-vlanX)#vrrp < group> learn 配置学习Master的VRRP报文发送的时 间间隔 6. 配置认证字符串。 命令 功能 ZXR10(config-if-vlanX)#vrrp < group>authentication< string> 配置认证字符串 7. 配置VRRP上行链路跟踪功能。 命令 功能 ZXR10(config-if-vlanX)#vrrp < group>track< track-num> { decrement< 配置VRRP上行链路跟踪功能 priority> } | { bfd { priority-down | switch } } 9-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 9 VRRP 配 置 9.3 VRRP配置实例 9.3.1 基本VRRP配置 如图9-1所示，R1和R2之间运行VRRP协议。VRRP虚拟地址选用R1的接口地址10.0.0.1， R1将作为主用路由器。 图9-1 基本VRRP配置实例 R1的配置： ZXR10_R1(config)#interface vlan 1 ZXR10_R1(config-if-vlan1)#ip address 10.0.0.1 255.255.0.0 ZXR10_R1(config-if-vlan1)#vrrp 1 ip 10.0.0.1 R2的配置： ZXR10_R2(config)#interface vlan 1 ZXR10_R2(config-if-vlan1)#ip address 10.0.0.2 255.255.0.0 ZXR10_R2(config-if-vlan1)#vrrp 1 ip 10.0.0.1 9.3.2 对称VRRP配置 如图9-2所示，本例中启动了两个VRRP组，其中PC1和PC2使用组1的虚拟路由器作为 默认网关，地址为10.0.0.1，而PC3和PC4则使用组2的虚拟路由器作为默认网关，地址为 10.0.0.2。R1和R2互为备份，只有当两个路由器全部失效时四台主机与外界的通信才会 中断。 SJ-20100901084759-002 | 2011-02-10(R1.0) 9-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 图9-2 对称VRRP配置实例 R1的配置： ZXR10_R1(config)#interface vlan 1 ZXR10_R1(config-if-vlan1)#ip address 10.0.0.1 255.255.0.0 ZXR10_R1(config-if-vlan1)#vrrp 1 ip 10.0.0.1 ZXR10_R1(config-if-vlan1)#vrrp 2 ip 10.0.0.2 R2的配置： ZXR10_R2(config)#interface vlan 1 ZXR10_R2(config-if-vlan1)#ip address 10.0.0.2 255.255.0.0 ZXR10_R2(config-if-vlan1)#vrrp 1 ip 10.0.0.1 ZXR10_R2(config-if-vlan1)#vrrp 2 ip 10.0.0.2 9.4 VRRP的维护与诊断 为了方便VRRP的维护与诊断，ZXR10 3900E提供了以下命令显示所有VRRP组的配置信 息。 ZXR10#show vrrp [ < group> | brief| interface < interface-name> | all] ZXR10 3900E系列还提供了debug vrrp命令打开显示VRRP debug信息开关。 ZXR10#debug vrrp { state| packet| event| error| group| all} 9-4 SJ-20100901084759-002 | 2011-02-10(R1.0) 10 网络管理配置 本章包含如下主题： Ÿ NTP配置 10-1 Ÿ RADIUS配置 10-3 Ÿ SNMP配置 10-5 Ÿ RMON配置 10-8 Ÿ SysLog配置 10-11 Ÿ TACACS+配置 10-13 10.1 NTP配置 10.1.1 NTP概述 NTP（网络时间协议）是应用于不同网络成员之间时间同步的协议，其本身的传输是基 于UDP的。实现NTP协议的设备通过交流NTP报文，自动调节各个系统的时钟，使彼此 的时钟保持一致。ZXR10 3900E在实际使用中可以作为NTP客户端，支持配置最多5个 NTP时间服务器。 10.1.2 配置NTP 1. 定义时间服务器。 命令 功能 ZXR10(config)#ntp server < ip-address>priority< 1-5> { [ version < 定义时间服务器。 Priority优先级是必 number> ] [ key < number> ] | [ lock | unlock ] } 选项，每一个server的优先级不同，范 围1-5； Version为版本号，可选，范围 1-3，默认情况为3； Key 当认证开启 时有效，可选； Lock/unlock 配置服务 器是否锁定，可选 2. 启动NTP功能。 SJ-20100901084759-002 | 2011-02-10(R1.0) 10-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 命令 功能 ZXR10(config)#ntp enable 启动NTP功能 3. 配置NTP协议发送同步时间请求时使用的源地址。 命令 功能 ZXR10(config)#ntp source < ip-address> 配置NTP协议发送同步时间请求时使 用的源地址 4. 配置交换机时区。 命令 功能 ZXR10(config)#clock timezone 配置交换机时区 5. 查看NTP的运行状态。 命令 功能 ZXR10(config-router)#show ntp status 查看NTP的运行状态 10.1.3 NTP配置实例 如图10-1所示，将路由交换机作为NTP的客户端，假设NTP协议版本为2。 图10-1 NTP配置实例 ZXR10的配置： ZXR10(config)#interface vlan24 ZXR10(config-if-vlan24)#ip address 192.168.2.2 255.255.255.0 ZXR10(config-if-vlan24)#exit ZXR10(config)#ntp enable ZXR10(config)#ntp server 192.168.2.1 version 2 10-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 10 网 络 管 理 配 置 10.2 RADIUS配置 10.2.1 RADIUS概述 RADIUS（Remote Authentication Dial In User Service）是一种标准的AAA协议，AAA是指 授权（Authorization）、认证（Authentication）和计费（Accounting）。对路由交换机来 说，AAA能对访问路由交换机的用户进行认证，防止非法用户的进入，从而提高设备的 安全性，同时象DOT1X一样的业务也可能需要用到RADIUS服务器进行认证和计费。 ZXR10 3900E目前支持RADIUS的认证功能，可提供对访问路由交换机的Telnet用户的认 证，以及级别授权功能。 ZXR10 3900E支持多个RADIUS服务器组，每个RADIUS组中允许配置三个认证服务器， 每个组可以设置服务器超时时间和超时重发的次数，管理员可以配置不同的RADIUS组 来选择具体的RADIUS服务器。 10.2.2 配置RADIUS 1. 配置RADIUS计费组。 命令 功能 ZXR10(config)#radius accounting-group < group-number> 配置RADIUS计费组 2. 配置RADIUS认证组。 命令 功能 ZXR10(config)#radius authentication-group < group-number> 配置RADIUS认证组 3. RADIUS参数配置。 步骤 命令 功能 1 ZXR10(config)#radius nas-id < string> 配置NAS-ID字符串，长度为1～ 32，默认值为“ZXR10” 2 ZXR10(config-authgrp-1)#timeout < timeout> 设置RADIUS服务器超时重发参数 3 ZXR10(config-authgrp-1)#algorithm { first| round-robin} 设置RADIUS服务器的选择算法 4 ZXR10(config-authgrp-1)#alias < name-str> 配置RADIUS服务器组的别名 5 ZXR10(config-authgrp-1)#deadtime < time> 设置认证服务器的无效时间 6 ZXR10(config-authgrp-1)#max-retries < times> 设置RADIUS服务器超时重发参数 7 ZXR10(config-authgrp-1)#nas-ip-address < NAS IP address> 设置RADIUS服务器的nas-ip，对应 协议包的Nas-IP字段和协议包的源 IP地址 SJ-20100901084759-002 | 2011-02-10(R1.0) 10-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 步骤 命令 功能 8 ZXR10(config-authgrp-1)#server < server num>< ipaddress> [ 设置RADIUS服务器及其参数 master] key < keystr> [ port < port num> ] 9 10 ZXR10(config-authgrp-1)#user-name-format { include-domain| 配置BRAS向RADIUS server发送的用 strip-domain} 户名字段的格式 ZXR10(config-authgrp-1)#vendor { enable| disable} 配置发送的RADIUS协议包中是否需 要厂商自定义属性 4. RADIUS维护与诊断。 命令 功能 ZXR10#debug radius { accounting { event| error| data | packet < 显示RADIUS调试信息 group-number| all> } | authentication { event| error| data | packet < group-number| all> } | user user-nam| all| exception} ZXR10#show counter radius { accounting-group group-number | 显示统计信息 authentication-group group-number| all} ZXR10#show accounting local-buffer { group group-number| name 显示本地缓存的计费包内容 radiusname| session session-id| user user-name| sum| all} ZXR10#clear accounting local-buffer [ group number | all] 清除本地缓存的计费包内容 ZXR10#show configuration radius { all | auto-change | nas-id} 显示RADIUS的配置信息。 all:显示RADIUS认证组和计费组配置 auto-change:显示RADIUS自动切换配置 nas-id:显示RADIUS NAS-ID配置 10.2.3 RADIUS配置实例 配置计费组和认证组的方法一样，以配置计费组为例。 ZXR10(config)#radius accounting-group 1 ZXR10(config-acct-group-1)#algorithm round-robin ZXR10(config-acct-group-1)#deadtime 5 ZXR10(config-acct-group-1)#local-buffer enable ZXR10(config-acct-group-1)#max-retries 5 ZXR10(config-acct-group-1)#nas-ip-address 10.1.1.4 ZXR10(config-acct-group-1)#server 1 10.2.1.3 key uas ZXR10(config-acct-group-1)#server 2 12.1.2.3 key uas ZXR10(config-acct-group-1)#timeout 10 10-4 SJ-20100901084759-002 | 2011-02-10(R1.0) 10 网 络 管 理 配 置 10.3 SNMP配置 10.3.1 SNMP概述 SNMP（简单网络管理协议）是目前最流行的一种网管协议。通过该协议可以使用一台 网管服务器来管理网络中的所有设备。 SNMP协议是基于服务器和客户端的管理，后台网管服务器作为SNMP服务器，前台网络 设备作为SNMP客户端。前后台共享同一个MIB管理库，通过SNMP协议进行通讯。路由 交换机作为SNMP代理（Agent），需要配置指定的SNMP服务器，定义允许网管采集的 内容及权限。ZXR10 3900E支持SNMP的多种版本。 10.3.2 配置SNMP 1. 设置SNMP报文共同体（Community Name）。 命令 功能 ZXR10(config)#snmp-server community < community-name> [ view < 设置SNMP报文共同体（Community view-name> ] [ ro| rw] Name） SNMPv1/v2c采用共同体认证方式，SNMP共同体由字符串命名，不同的共同体可具 有只读（read-only）或读写（read-write）访问权限。具有只读权限的共同体只能对 设备信息进行查询，而具有读写权限的共同体还可以对设备进行配置。 对设备的读写操作均受到视图view的限制。只能在允许的视图范围内进行操作。若 省略view参数，则使用系统缺省的视图DefaultView；若省略ro（只读）/rw（读写） 参数，则使用ro。 2. 定义SNMPv2视图。 命令 功能 ZXR10(config)#snmp-server view < view-name>< subtree-id> { included| 定义SNMPv2视图 excluded} 3. 设置MIB对象的系统负责人联系方式（sysContact）。 命令 功能 ZXR10(config)#snmp-server contact < mib-syscontact-text> 设置MIB对象的系统负责人联系方式 （sysContact） sysContact是MIB II中系统（system）组中的一个管理变量，内容为被管理设备相关人 员的标识和联系方法。 4. 设置MIB对象的所在位置（sysLocation）。 SJ-20100901084759-002 | 2011-02-10(R1.0) 10-5 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 命令 功能 ZXR10(config)#snmp-server location < mib-syslocation-text> 设置MIB对象的所在位置（sysLocation） sysLocation是MIB II中系统（system）组中的一个管理变量，用于表示被管理设备的位 置。 5. 设置允许发送的TRAP的类型。 命令 功能 ZXR10(config)#snmp-server enable trap [ < notification-type> ] 设置允许发送的TRAP的类型 TRAP是被管理设备主动向NMS发送的不经请求的信息，用于报告一些紧急的重要 事件。 6. 设置TRAP目的主机。 命令 功能 ZXR10(config)#snmp-server host [ mng] < ip-address> [ trap| inform] [ 设置TRAP目的主机 version { 1| 2c| 3 { auth| noauth| priv} } ] < community-name> [ udp-port < udp-port> ] [ …< trap-type> ] ZXR10 3900E支持五种常规trap：snmp，bgp，ospf，rmon，stalarm。 7. 应用已配置的ACL来控制通过SNMP协议访问系统的主机地址。 命令 功能 ZXR10(config)#snmp-server access-list < acl-number> 应用已配置的ACL来控制通过SNMP协 议访问系统的主机地址 8. 定义SNMP 上下文名称。 命令 功能 ZXR10(config)#snmp-server context < context name > 定义SNMP 上下文名称 9. 设置SNMPv3本地引擎ID。 命令 功能 ZXR10(config)#snmp-server engine-id < engine-id> 设置SNMPv3本地引擎ID 10. 配置用户安全模式组。 10-6 SJ-20100901084759-002 | 2011-02-10(R1.0) 10 网 络 管 理 配 置 命令 功能 ZXR10(config)#snmp-server group < groupname> v3 { auth| noauth| 配置用户安全模式组 priv} [ context < context-name> match-prefix| match-exact ] [ read < readview> ] [ write < writeview> ] [ notify < notifyview> ] 11. 配置SNMP最大报文大小。 命令 功能 ZXR10(config)#snmp-server packetsize < 484-8192> 配置SNMP最大报文大小 12. 配置TRAP源。 命令 功能 ZXR10(config)#snmp-server trap-source < IP address> 配置TRAP源 13. 配置允许访问SNMP engine的用户。 命令 功能 ZXR10(config)#snmp-server user < username>< groupname> v3 配置允许访问SNMP engine的用户 [ encrypted] [ auth { md5| sha} < auth-password> [ priv des56 < priv-password> ] ] 14. 查看SNMP的相关信息 。 命令 功能 ZXR10(config)#show snmp 查看SNMP的相关信息 15. 查看SNMP的配置信息。 命令 功能 ZXR10(config)#show snmp config 查看SNMP的配置信息 16. 查看SNMPv3的用户。 命令 功能 ZXR10(config)#show snmp user 查看SNMPv3的用户 17. 查看SNMPv3组。 命令 功能 ZXR10(config)#show snmp group 查看SNMPv3组 18. 查看SNMP engine ID。 SJ-20100901084759-002 | 2011-02-10(R1.0) 10-7 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 命令 功能 ZXR10(config)#show engine-id 查看SNMP engine ID 10.3.3 SNMP配置实例 下面是SNMP的一个配置实例。 ZXR10(config)#snmp-server view myViewName 1.3.6.1.2.1 included ZXR10(config)#snmp-server community myCommunity view myview rw ZXR10(config)#snmp host 168.1.1.1 trap ver 1 ospf ZXR10(config)#snmp-server location this is ZXR10 in china ZXR10(config)#snmp-server contact this is ZXR10, tel: (025)2872006 10.4 RMON配置 10.4.1 RMON概述 可以使用远程网络监控系统（RMON）来监视网络远端的业务。利用RMON，数据收 集和处理由一个远程探测器来完成，即本路由交换机系统。路由交换机同时包括了一个 通过SNMP与网管通信的RMON代理软件。通常只有当需要时，信息才从路由交换机传 送到网管系统。 10.4.2 配置RMON 1. 打开接口的统计功能（仅适用于以太网）。 命令 功能 ZXR10(config-fei_1/x)#rmon collection statistics < index> [ owner < 打开接口的统计功能（仅适用于以太 string> ] 网） 2. 设置警告和MIB对象。 命令 功能 ZXR10(config)#rmon alarm < index>< variable>< interval> { delta| 设置警告和MIB对象 absolute} rising-thershold < value>[< event-index> ] falling-threshold < value>[< event-index> ] [ owner < string> ] 3. 打开该接口的历史收集功能。 命令 功能 ZXR10(config-fei_1/x)#rmon collection history < index> [ owner < 打开该接口的历史收集功能 string> ] [ buckets < bucket-number> ] [ interval < seconds> ] 10-8 SJ-20100901084759-002 | 2011-02-10(R1.0) 10 网 络 管 理 配 置 4. 配置一个事件。 命令 功能 ZXR10(config)#rmon event < index> [ log] [ trap < community> ] [ 配置一个事件 description < string> ] [ owner < string> ] 5. 显示RMON配置和相关信息。 命令 功能 ZXR10(config)#show rmon [ alarms] [ events] [ history] [ statistics] 显示RMON配置和相关信息 10.4.3 RMON配置实例 下面是RMON的几个配置实例。 1. 配置和启动RMON统计控制条目 ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#rmon collection statistics 1 owner rmontest 假设端口fei_1/1上挂有n台计算机，当这些计算机在子网上通信时，可以通过网管软 件看到流量统计数据，也可以通过show命令查看RMON统计信息。 ZXR10#show rmon statistics EtherStatsEntry 1 is active, and owned by rmontest Monitors ifEntry.1.1 which has Received 60739740 octets, 201157 packets, 1721 broadcast and 9185 multicast packets, 0 undersized and 0 oversized packets, 0 fragments and 0 jabbers, 0 CRC alignment errors and 32 collisions. # of dropped packet events (due to lack of resources): 511 # of packets received of length (in octets): 64: 92955, 65-127: 14204, 128-255: 1116, 256-511: 4479, 512-1023: 85856, 1024-1518:2547 2. 配置和启动RMON历史控制条目 ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#rmon collection history 1 bucket 10 interval 10 owner rmontest 使用show命令查看RMON历史信息。 ZXR10#show rmon history Entry 1 is active, and owned by rmontest Monitors ifEntry.1.1 every 10 seconds SJ-20100901084759-002 | 2011-02-10(R1.0) 10-9 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） Requested # of time intervals, ie buckets, is 10 Granted # of time intervals, ie buckets, is 10 Sample # 1 began measuring at 00:11:00 Received 38346 octets, 216 packets, 0 broadcast and 80 multicast packets, 0 undersized and 0 oversized packets, 0 fragments and 0 jabbers, 0 CRC alignment errors and 0 collisions. # of dropped packet events is 0 Network utilization is estimated at 1 3. 配置和启动RMON告警控制条目 ZXR10(config)#rmon alarm 1 system.3.0 10 absolute rising-threshold 1000 1 Falling-threshold 10 1 owner rmontest 使用show命令查看RMON告警信息。 ZXR10#show rmon alarm Alarm 1 is active, owned by rmontest Monitors system.3.0 every 10 seconds Taking absolute samples, last value was 54000 Rising threshold is 1000, assigned to event 1 Falling threshold is 10, assigned to event 0 On startup enable rising or falling alarm 4. 配置和启动事件功能 ZXR10(config)#rmon event 1 log trap rmontrap description test owner rmontest 配置一告警控制条目并等待10s之后，使用show命令查看RMON事件内容。 ZXR10#show rmon event Event 1 is active, owned by rmontest Description is test Event firing causes log and trap to community rmontrap, last fired 05:40:20 Current log entries: 10-10 index time 1 05:40:14 description test SJ-20100901084759-002 | 2011-02-10(R1.0) 10 网 络 管 理 配 置 10.5 SysLog配置 10.5.1 SysLog概述 ZXR10 3900E为用户提供了日志信息设置及查询功能。日志信息为我们对路由交换机进 行日常维护提供了方便。通过日志信息我们能够查看到路由交换机上发生的告警信息及 端口状态变化。日志信息可以实时的显示在配置终端上，也可以以文件的形式存储在路 由交换机或后台日志服务器上。我们可以在ZXR10 3900E中启动syslog协议，通过syslog协 议与后台syslog服务器通信来传递日志信息。 10.5.2 配置SysLog 1. 启动日志功能。 命令 功能 ZXR10(config)#logging on 启动日志功能 2. 设置日志缓冲区大小。 命令 功能 ZXR10(config)#logging buffer < buffer-size> 设置日志缓冲区大小 3. 设置日志清除方式。 命令 功能 ZXR10(config)#logging mode < mode>[< interval> ] 设置日志清除方式 4. 设置console口或telnet接口上显示的日志级别。 命令 功能 ZXR10(config)#logging console < level> [ filter map-name] 设置console口或telnet接口上显示的日 志级别 5. 设置日志缓存中保存的日志级别。 命令 功能 ZXR10(config)#logging level < level> 设置日志缓存中保存的日志级别 6. 设置后台FTP日志服务器参数。 命令 功能 ZXR10(config)#logging ftp < level> [ mng] < ftp-server>< username>< 设置后台FTP日志服务器参数 password>[< filename> ] SJ-20100901084759-002 | 2011-02-10(R1.0) 10-11 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 7. 设置告警消息发送到trap服务器参数。 命令 功能 ZXR10(config)#logging trap < level>< community> [ mng] < host-address> 设置告警消息发送到trap服务器参数 8. 配置将告警缓存中的信息打包成文件发送到ftp服务器参数。 命令 功能 ZXR10(config)#logging filesavetime { everyday < hh:mm:ss> | interval < 配置将告警缓存中的信息打包成文件发 hh:mm:ss> | month < monthday>< hh:mmm:ss> | week < weekday>< 送到ftp服务器参数 hh:mm:ss> } [ mng] < ftp sever>< username>< password>< alarm file prefix> 9. 设置后台syslog日志服务器参数。 命令 功能 ZXR10(config)#syslog-server host < ip-address> [ fport < fport> ] [ lport < 设置后台syslog日志服务器参数 lport> ] [ alarmlog| alarmlog| alarmlog] 10. 日志信息查看。 命令 功能 ZXR10(config)#show logging alarm { [ typeid < type> ] [ start-date < date> 日志信息查看 ] [ end-date < date> ] [ level < level> ] } 目前支持的告警信息类型有ENVIROMENT，BOARD，PORT，ROS，DATABASE， OAM，SECURITY，OSPF，RIP，BGP，DRP，TCP-UDP，IP，IGMP，TELNET， ARP，ISIS，ICMP，SNMP，RMON。 11. 告警日志内容保存，文件保存位置为flash:data/log.dat。 命令 功能 ZXR10#write logging 告警日志内容保存，文件保存位置为 flash:data/log.dat 12. 配置报文。 命令 功能 ZXR10#syslog-server facility 通过这个字段可以区分不同的server 13. 在syslog 里指定源地址。 命令 功能 ZXR10#syslog-server source < ip-address> 在syslog 里指定源地址 10-12 SJ-20100901084759-002 | 2011-02-10(R1.0) 10 网 络 管 理 配 置 10.5.3 SysLog配置实例 下面是系统日志设置的的一个实例，在配置时首先必须用logging on命令启动日志功能。 ZXR10(config)#logging on ZXR10(config)#logging buffer 100 ZXR10(config)#logging mode FULLCLEAR ZXR10(config)#logging console warnings ZXR10(config)#logging level errors ZXR10(config)#logging ftp notifications 168.1.70.100 target target zxralarm.log ZXR10(config)#syslog-server host 192.168.0.100 10.6 TACACS+配置 10.6.1 TACACS+概述 TACACS+（Terminal Access Controller Access Control System）即终端访问控制器访问控制 系统，是当前最流行的AAA协议，AAA是授权（Authorization），验证（Authentication） 和计费（Accounting）的简称。TACACS+支持独立的认证（authentication）、 授权（authorization）和计费（accounting）功能，允许不同的TACACS+安全服务器分别作为认证、 授权和记账服务器。 在ZXROS中需要对使用系统提供服务的PPP用户以及Telnet登录用户进行身份鉴别和授 权记帐。TACACS+协议可以很好的解决这个问题，TACACS+模块为系统提供了对登录 用户进行集中式安全认证、授权以及记帐的能力。 ZXROS中的TACACS+软件模块是TACACS+认证的客户端软件。它实现NAS和TACACS+ 安全服务器的协议交互，完成TACACS+的AAA功能。TACACS+客户端还提供了配置 TACACS+所需的操作，用来配置TACACS+环境。 ZXR10 3900E目前支持TACACS+的认证功能，可提供对访问路由交换机的Telnet用户的 认证。 ZXR10 3900E支持多个TACACS+服务器组，每个TACACS+组中允许配置4个认证服务 器，每个组可以设置服务器超时时间和超时重发的次数，管理员可以配置不同的TACACS+ 服务器组来选择具体的TACACS+服务器。 10.6.2 配置TACACS+ 1. 开启tacacs+协议功能。 命令 功能 ZXR10(config)#tacacs enable 开启tacacs+协议功能 SJ-20100901084759-002 | 2011-02-10(R1.0) 10-13 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 2. 关闭tacacs+协议功能。 命令 功能 ZXR10(config)#tacacs disable [ clear] 关闭tacacs+协议功能 3. 配置TACACS＋服务器组成员。 命令 功能 ZXR10(config-sg)#server < ip-addr> [ port < 1025~65535> ] 配置tacacs+服务器组成员 命令参数解释： 参数 描述 TACACS+服务器IP地址。必须是已经配置过的TACACS+服务器<1025~65535> TCP连接的端口号 4. 配置TACACS＋客户端IP地址。 命令 功能 ZXR10(config)#tacacs-client < ip-addr> [ port < 1025~65535> 配置tacacs+客户端IP地址，作为ZXR10 路由器/交换机和tacacs+服务器通信的 IP。使用no命令删除配置 命令参数解释： 参数 描述 客户端IP<1025~65535> 客户端四层端口 增加默认值的说明 5. 配置TACACS＋服务器参数。 命令 功能 ZXR10(config)#tacacs-server host < ip-addr> [ port < integer> ] [ timeout 配置tacacs+服务器参数。使用no命令 < integer> ] [ key < string> ] 删除配置 命令参数解释： 参数 描述 TACACS+服务器IP地址 port 定义TCP连接的端口号，默认49 timeout 连接超时时间，1~1000。单位为秒，此处配置将使全局配置无效 key NAS和TACACS+服务器之间的加密密钥，此处配置将使全局配置无效 10-14 SJ-20100901084759-002 | 2011-02-10(R1.0) 10 网 络 管 理 配 置 6. 配置全局tacacs+协议加密密钥。 命令 功能 ZXR10(config)#tacacs-server key < key> 配置全局tacacs+协议加密密钥，对所 有未指定密钥的服务器有效。使用no 命令删除配置 命令参数解释： 参数 描述 NAS和服务器交换报文使用的加密密钥。长度1~63个字符（不能包括空 格），服务器中定义的密钥必须和此相同 7. 配置tacacs+协议最大报文长度。 命令 功能 ZXR10(config)#tacacs-server packet < 1024~4096> 配置tacacs+协议最大报文长度，默认 1024byte。使用no命令恢复到默认配置 1024 命令参数解释： 参数 描述 <1024~4096> 报文最大长度，默认1024 8. 配置TACACS+服务器连接超时时长。 命令 功能 ZXR10(config)#tacacs-server timeout < 1~1000> 配置TACACS+服务器连接超时时长， 默认5s。使用no命令恢复到默认配置 命令参数解释： 参数 描述 <1~1000> 超时时长。单位为秒。有效值1~1000，默认5s 9. 配置TACACS+服务器组。 命令 功能 ZXR10(config)#aaa group server tacacs+ < group-name> 进入TACACS+的AAA服务器组配置模 式。使用no命令删除服务器组配置 命令参数解释： SJ-20100901084759-002 | 2011-02-10(R1.0) 10-15 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 参数 描述 tacacs+服务器组名称，1~31个字符 10.6.3 TACACS＋配置实例 ZXR10(config)#tacacs enable ZXR10(config)#tacacs-server host 192.168.2.49 ZXR10(config)#aaa group-server tacacs+ tacNtTac ZXR10(config-sg)#server 192.168.2.49 ZXR10(config)#tacacs-server key zxr10 ZXR10(config)#tacacs-server packet 1096 ZXR10(config)#tacacs-server timeout 10 10-16 SJ-20100901084759-002 | 2011-02-10(R1.0) 11 DOT1X配置 本章包含如下主题： Ÿ DOT1X概述 11-1 Ÿ 配置DOT1X 11-2 Ÿ DOT1X配置实例 11-6 Ÿ DOT1X的维护与诊断 11-10 11.1 DOT1X概述 DOT1X，即IEEE 802.1x，基于端口的访问控制协议（Port based network access control protocol），它对认证方式和认证体系结构进行了优化，解决了传统PPPoE和Web/Portal认证 方式带来的问题，更适合在宽带以太网中使用。 IEEE 802.1x协议的体系结构包括三个重要的部分：客户端（Supplicant System）、认证系 统（Authenticator System）和认证服务器（Authentication Server System）。 1. 客户端系统一般为一个用户终端系统，该终端系统通常要安装一个客户端软件，用 户通过启动这个客户端软件发起IEEE802.1x协议的认证过程。为支持基于端口的接 入控制，客户端系统需支持扩展认证协议（EAPOL：Extensible Authentication Protocol Over LAN）。 2. 认证系统通常为支持IEEE802.1x协议的网络设备，如交换机。该设备对应于不同用户 的端口（可以是物理端口，也可以是用户设备的MAC地址、VLAN、IP等）有两个 逻辑端口：受控（controlled Port）端口和不受控端口（uncontrolled Port）。 l 不受控端口始终处于双向连通状态，主要用来传递EAPOL协议帧，可保证客户 端始终可以发出或接受认证。 l 受控端口只有在认证通过的状态下才打开，用于传递网络资源和服务。受控端口 可配置为双向受控、仅输入受控两种方式，以适应不同的应用环境。如果用户未 通过认证，则受控端口处于未认证状态，则用户无法访问认证系统提供的服务。 IEEE 802.1x协议中的“可控端口”与“非可控端口”是逻辑上的理解，设备内部并不 存在这样的物理开关。对于每个用户而言，IEEE 802.1x协议均为其建立一条逻辑的认 证通道，该逻辑通道其他用户无法使用，不存在端口打开后被其他用户利用问题。 SJ-20100901084759-002 | 2011-02-10(R1.0) 11-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 3. 认证服务器通常为RADIUS服务器，该服务器可以存储有关用户的信息，比如用户所 属的VLAN、CAR参数、优先级、用户的访问控制列表等等。当用户通过认证后， 认证服务器会把用户的相关信息传递给认证系统，由认证系统构建动态的访问控制 列表，用户的后续流量就将接受上述参数的监管。认证服务器和RADIUS服务器之间 通过RADIUS协议进行通信。 11.2 配置DOT1X 11.2.1 配置AAA 1. 生成AAA控制项。 命令 功能 ZXR10(config-nas)#create aaa < rule-id> [ port < port-name> ] [ vlan 生成AAA控制项 < vlan-id> ] 2. 清除AAA控制项。 命令 功能 ZXR10(config-nas)#clear aaa < rule-id> 清除AAA控制项 3. 控制开关dot1x认证或是中继。 命令 功能 ZXR10(config-nas)#aaa < rule-id> control { dot1x| dot1x-relay} { 控制开关dot1x认证或是中继 enable| disable} 4. 选择认证模式。 命令 功能 ZXR10(config-nas)#aaa < rule-id> authentication { local| radius} 选择认证模式 5. 选择认证使用的协议。 命令 功能 ZXR10(config-nas)#aaa < rule-id> protocol { pap| chap| eap} 选择认证使用的协议 6. 配置保活间隔。 命令 功能 ZXR10(config-nas)#aaa < rule-id> keepalive { enable [ period < 配置保活间隔 period-value > ] | disable} 11-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 11 DOT1X 配 置 7. 配置是否计费。 命令 功能 ZXR10(config-nas)#aaa < rule-id> accounting { enable| disable} 配置是否计费 8. 配置是否允许多用户及用户数限制。 命令 功能 ZXR10(config-nas)#aaa < rule-id> multiple-hosts { enable [ max-hosts 配置是否允许多用户及用户数限制 < host-number> ] | disable} 9. 配置缺省ISP名称。 命令 功能 ZXR10(config-nas)#aaa < rule-id>default-isp< isp-name> 配置缺省ISP名称 10. 配置用户名是否协带ISP域名。 命令 功能 ZXR10(config-nas)#aaa < rule-id> fullaccount { enable| disable} 配置用户名是否协带ISP域名 11. 配置组名称。 命令 功能 ZXR10(config-nas)#aaa < rule-id>groupname< group-name> 配置组名称 12. 配置绑定的RADIUS认证服务器组。 命令 功能 ZXR10(config-nas)#aaa < rule-id> radius-server authentication< 配置绑定的RADIUS认证服务器组 group-number > 13. 配置绑定的RADIUS计费服务器组。 命令 功能 ZXR10(config-nas)#aaa < rule-id> radius-server accounting < 配置绑定的RADIUS计费服务器组 group-number > 14. 配置认证模式为本地或是RADIUS服务器模式。 命令 功能 ZXR10(config-nas)#aaa < rule-id> authentication { local| radius} 配置认证模式为本地或是RADIUS服 务器模式 SJ-20100901084759-002 | 2011-02-10(R1.0) 11-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 15. 配置认证授权模式。 命令 功能 ZXR10(config-nas)#aaa < rule-id> authorization { auto| unauthorized| 配置认证授权模式 authorized} 11.2.2 配置DOT1X参数 1. 配置dot1x的重认证周期。 命令 功能 ZXR10(config-nas)#dot1x re-authentication { enable [ period < period > 配置dot1x的重认证周期 ] | disable} 2. 配置dot1x认证的静默时间。 命令 功能 ZXR10(config-nas)#dot1x quiet-period < period > 配置dot1x认证的静默时间 3. 配置请求dot1x客户端发起认证的周期。 命令 功能 ZXR10(config-nas)#dot1x tx-period < period> 配置请求dot1x客户端发起认证的周期 4. 配置dot1x 客户端的超时时间。 命令 功能 ZXR10(config-nas)#dot1x supplicant-timeout < period> 配置dot1x 客户端的超时时间 5. 配置dot1x认证服务器的超时时间。 命令 功能 ZXR10(config-nas)#dot1x server-timeout < period> 配置dot1x认证服务器的超时时间 6. 配置请求dot1x客户端响应的最大次数。 命令 功能 ZXR10(config-nas)#dot1x max-requests < count> 配置请求dot1x客户端响应的最大次数 11.2.3 配置本地认证用户 1. 11-4 生成本地用户。 SJ-20100901084759-002 | 2011-02-10(R1.0) 11 DOT1X 配 置 命令 功能 ZXR10(config-nas)#create localuser < user-id> [ name < user-name> ] [ 生成本地用户 password < user-password> ] 2. 删除本地用户。 命令 功能 ZXR10(config-nas)#clear localuser < user-id > 删除本地用户 3. 将用户和端口绑定。 命令 功能 ZXR10(config-nas)#localuser < user-id>port< port-name> 将用户和端口绑定 4. 将用户和VLAN绑定。 命令 功能 ZXR10(config-nas)#localuser < user-id>vlan< vlan-id> 将用户和VLAN绑定 5. 将用户和MAC绑定。 命令 功能 ZXR10(config-nas)#localuser < user-id>mac< mac-address> 将用户和MAC绑定 6. 配置本地用户是否进行计费。 命令 功能 ZXR10(config-nas)#localuser < user-id> accounting { enable| disable} 配置本地用户是否进行计费 11.2.4 管理DOT1X认证接入用户 1. 显示所有的dot1x认证接入用户。 命令 功能 ZXR10(config-nas)#show clients [ device < device-number> | index < 显示所有的dot1x认证接入用户 client-index> | mac < mac-address> | port < port-name> | vlan < vlan-id> ] 2. 将选择的特定用户踢下线。 命令 功能 ZXR10(config-nas)#clear client [ index < client-index> | port < port-name> 将选择的特定用户踢下线 | vlan < vlan-id> ] SJ-20100901084759-002 | 2011-02-10(R1.0) 11-5 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 11.2.5 配置802.1x VLAN跳转 配置端口下的VLAN跳转功能。 命令 功能 ZXR10(config-fei_1/x)#vlanjump { enable| disable} [ defaultauthvlan 在指定端口下起动VLAN跳转功能 < vlan-id> ] 11.3 DOT1X配置实例 11.3.1 DOT1X Radius认证应用 如图11-1所示，某用户的工作站与以太网交换机的端口Ethernet A 相连接。 图11-1 dot1x Radius认证应用 交换机的管理者希望实现： l 在各端口上对用户接入进行认证，以控制其访问Internet。 l 接入控制模式要求是基于MAC 地址的接入控制。 l 所有AAA 接入用户都属于一个缺省的域：zte163.net。 l 认证时，进行RADIUS 认证。 l 计费时，如果RADIUS 计费失败则切断用户连接使其下线。 l 接入时在用户名后不添加域名。 l 由两台RADIUS 服务器组成的服务器组与交换机相连，其IP 地址分别为10.1.1.1 和 10.1.1.2，要求使用前者作为主认证/从计费服务器，使用后者作为从认证/主计费服 务器。 l 设置系统与认证RADIUS 服务器交互报文时的加密密码为“aaazte”，设置系统在向 RADIUS 服务器发送报文后5秒种内如果没有得到响应就向其重新发送报文，重复发 送报文的次数总共为5次，指示系统从用户名中去除用户域名后再将之传给RADIUS 服务器。 11-6 SJ-20100901084759-002 | 2011-02-10(R1.0) 11 DOT1X 配 置 switch的配置： ZXR10(config)#radius authentication-group 1 ZXR10(config-authgrp-1)#server 1 10.1.1.1 key aaazte port ZXR10(config-authgrp-1)#server 2 10.1.1.2 key aaazte port ZXR10(config-authgrp-1)#exit ZXR10(config)#radius accounting-group 1 ZXR10(config-acctgrp-1)#server 1 10.1.1.1 key aaazte port ZXR10(config-acctgrp-1)#server 2 10.1.1.2 key aaazte port ZXR10(config-acctgrp-1)#exit ZXR10(config)#nas ZXR10(config-nas)#dot1x re-authentication enable period 5 ZXR10(config-nas)#dot1x max-request 5 ZXR10(config-nas)#create aaa 1 port fei_1/1 ZXR10(config-nas)#aaa 1 authentication radius ZXR10(config-nas)#aaa 1 control dot1x enable ZXR10(config-nas)#aaa 1 authorization auto ZXR10(config-nas)#aaa 1 accounting enable ZXR10(config-nas)#aaa 1 multiple-hosts enable ZXR10(config-nas)#aaa 1 default-isp zte163.net ZXR10(config-nas)#aaa 1 fullaccount disable ZXR10(config-nas)#aaa 1 radius-server authentication ZXR10(config-nas)#aaa 1 radius-server accounting 1 1 ZXR10(config-nas)#aaa 1 authen radius 11.3.2 DOT1X中继认证应用 如图11-2所示，这是某企业的内部网络。 SJ-20100901084759-002 | 2011-02-10(R1.0) 11-7 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 图11-2 dot1x中继认证应用 管理者希望在该企业内，只有通过认证的主机才能访问Internet资源，其他主机只能访问 企业网内的资源。 按照管理者的这个要求，可以将企业内的主机划分成一个子网（或多个子网），在子网 内，主机之间可以互相访问，在子网内部的以太网交换机上开启802.1X中继功能，在子 网网关的以太网端口起用802.1X认证，这样就可以达到管理者的要求。对企业内部用户 不计费，只在Radius服务器上认证，主/从认证服务器分别为10.1.1.1/10.1.1.2，假设企业 内部采用2826E以太网交换机，网关用ZXR10 3900E以太网交换机。 2826E的配置如下： Set dot1xreley enable ZXR10 3900E的配置如下： ZXR10(config)#radius authentication-group 1 ZXR10(config-authgrp-1)#server 1 10.1.1.1 key aaazte port 1812 ZXR10(config-authgrp-1)#server 2 10.1.1.2 key aaazte port 1812 ZXR10(config-authgrp-1)#exit ZXR10(config)#nas ZXR10(config-nas)#create aaa 1 port fei_1/1 ZXR10(config-nas)#aaa 1 control dot1x enable ZXR10(config-nas)#aaa 1 authentication radius ZXR10(config-nas)#aaa 1 authorization auto ZXR10(config-nas)#aaa 1 accounting disable ZXR10(config-nas)#aaa 1 multiple-hosts enable ZXR10(config-nas)#aaa 1 default-isp zte163.net 11-8 SJ-20100901084759-002 | 2011-02-10(R1.0) 11 DOT1X 配 置 ZXR10(config-nas)#aaa 1 fullaccount disable ZXR10(config-nas)#aaa 1 radius-server authentication 1 11.3.3 DOT1X本地认证应用 当用户用dot1x客户端登录时，不管用什么帐号，只检查网卡的MAC地址是不是合法，如 果合法，就充许登录，而且管理者对每个MAC地址进行了编号，并按这个编号统计用户 的上网时长。对于这个应用需求，可以在ZXR10 3900E上实现。Authenticator采用ZXR10 3900E，实现这个应用的ZXR10 3900E配置举例如下： ZXR10(config)#radius accounting-group 1 ZXR10(config-acctgrp-1)#server 1 10.1.1.1 key aaazte port ZXR10(config-acctgrp-1)#server 2 10.1.1.2 key aaazte port ZXR10(config-acctgrp-1)#exit ZXR10(config)#nas ZXR10(config-nas)#create aaa 1 port fei_1/1 ZXR10(config-nas)#aaa 1 control dot1x enable ZXR10(config-nas)#aaa 1 authentication local ZXR10(config-nas)#aaa 1 authorization auto ZXR10(config-nas)#aaa 1 accounting disable ZXR10(config-nas)#aaa 1 multiple-hosts enable ZXR10(config-nas)#aaa 1 default-isp zte163.net ZXR10(config-nas)#aaa 1 fullaccount disable ZXR10(config-nas)# aaa 1 radius-server accounting 1 ZXR10(config-nas)#create localuser 1 name A0001 ZXR10(config-nas)#localuser 1 mac 00d0.d0d0.1234 ZXR10(config-nas)#localuser 1 accounting enable ZXR10(config-nas)#create localuser 2 name A0002 ZXR10(config-nas)#localuser 2 mac 00d0.d0d0.1456 ZXR10(config-nas)#localuser 2 accounting enable ZXR10(config-nas)#create localuser 3 name A0003 ZXR10(config-nas)#localuser 3 mac 00d0.d0d0.1689 ZXR10(config-nas)#localuser 3 accounting enable 在上面的配置中，利用ZXR10 3900E上的本地认证功能，实现管理者的应用需求，按上 面的配置，只充许00d0.d0d0.1234、00d0.d0d0.1456、00d0.d0d0.1689三个网卡地址接入， 并且分别以A0001、A0002、A0003为这三个用户统计上网时长，时长记录在Radius服务器 上。 SJ-20100901084759-002 | 2011-02-10(R1.0) 11-9 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 11.3.4 DOT1X多域功能 在进行认证时，用户名后携带域名，通过域名来查找在该域下配置的radius 服务器，来实 现域名和radius服务器关联的功能。由于802.1x是基于端口的认证，所以提供了在规则下 配置域名的功能。并且提供了全局配置缺省域名，规则下配置缺省域名功能，在用户不 带域名的情况下，首先会查找规则下配置的缺省域名，如果不存在则查找全局配置的缺 省域名。如果不开启多域使能功能，则按照以前的模式处理。 ZXR10(config)#domain-auth en ZXR10(config)#domaindelimiter @ ZXR10(config)#domain 1 ZXR10(config-domain)#domain-name 163 ZXR10(config-domain)#domain-radius-account-server 1 ZXR10(config-domain)#domain-radius-authen-server 1 ZXR10(config-domain)#domain-fullaccount enable ZXR10(config-nas)#aaa 1 default-isp 163 11.3.5 DOT1X本地认证时的VLAN跳转功能 Guest VLAN功能是基于端口的，当端口下的用户认证成功后，端口将切换到认证VLAN 中，此时端口下的其他未认证的用户将不能访问Guest VLAN的内部资源。 当端口的所 有认证后的用户下线后，端口才可以恢复Guest VLAN的属性，只要还有一个认证用户在 此端口上存在，此时就不能恢复端口的Guest VLAN属性。对于这个应用需求，可以在 ZXR10 3900E上实现。Authenticator采用ZXR10 3900E，实现这个应用的ZXR10 3900E配 置举例如下： ZXR10(config)#nas ZXR10(config-nas)#create aaa 1 port fei_1/1 ZXR10(config-nas)#aaa 1 control dot1x enable ZXR10(config-nas)#aaa 1 authentication local ZXR10(config-nas)#create localuser 1 name A0001 ZXR10(config-fei_1/1)#vlanjump enable defaultauthvlan 20 在上面的配置中，利用5900/5200上的本地认证功能，实现管理者的应用需求。 11.4 DOT1X的维护与诊断 当遇到DOT1X问题时，我们可以通过相关的调试命令来帮助定位故障，排除错误。其中 可能用到的命令包括show命令和debug命令。 11-10 SJ-20100901084759-002 | 2011-02-10(R1.0) 11 DOT1X 配 置 命令 功能 ZXR10#show dot1x 显示Dot1x认证的配置信息 ZXR10#show aaa 查看AAA控制项 ZXR10#show clients 显示在线用户信息 ZXR10#show localuser 显示配置的本地用户信息 通过debug命令可以跟踪Dot1x Server/Relay进程的收发包情况和处理情况。 命令 功能 ZXR10#debug nas 跟踪dot1x的收发包、处理过程 ZXR10#debug radius 跟踪和radius交互的过程 SJ-20100901084759-002 | 2011-02-10(R1.0) 11-11 12 集群管理配置 本章包含如下主题： Ÿ 集群管理概述 12-1 Ÿ 配置集群管理 12-3 Ÿ 集群管理配置实例 12-6 Ÿ 集群管理的维护与诊断 12-6 12.1 集群管理概述 集群是在某特定的广播域内，由一组交换机组成的一个集合。这组交换机构成一个统一 的管理域，对外提供一个公网IP地址和一个管理接口，并提供了对集群中每个成员的管 理和访问能力。 配置公网IP地址的管理交换机称为命令交换机，其它被管理的交换机称为成员交换机。 一般情况下成员交换机不配置公网IP地址，它利用命令交换机的类DHCP功能来分配一 个私有地址，命令交换机和成员交换机共同组成集群（私网）。 建议在命令交换机上完成公网和私网之间广播域的隔离，屏蔽对私有地址的直接访问， 由命令交换机对外提供一个管理维护通道，对集群进行集中、统一的管理。 一个集群所处的广播域一般由四种角色的交换机组成：命令交换机、成员交换机、候选 交换机、独立交换机。 一个集群中有且仅有一台命令交换机，命令交换机可以自动收集设备拓扑，并建立集群。 集群建立后，命令交换机提供了一个对集群的管理通道，对成员交换机进行管理。成员 交换机在加入集群之前为候选交换机，不支持集群管理的交换机称为独立交换机。 集群管理的组网如图12-1所示。 SJ-20100901084759-002 | 2011-02-10(R1.0) 12-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 图12-1 集群管理组网图 集群中四种角色的交换机的切换规则如图12-2所示。 12-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 12 集 群 管 理 配 置 图12-2 交换机角色切换规则 12.2 配置集群管理 12.2.1 配置ZDP邻居发现协议 1. 在全局或特定接口开启ZDP功能。 命令 功能 ZXR10(config)#zdp enable 在全局或特定接口开启ZDP功能 2. 配置ZDP报文发送时间间隔。 命令 功能 ZXR10(config)#zdp timer < time> 配置ZDP报文发送时间间隔 3. 配置ZDP信息的有效保留时间。 命令 功能 ZXR10(config)#zdp holdtime < time> 配置ZDP信息的有效保留时间 12.2.2 配置ZTP拓扑收集协议 1. 在全局或特定接口开启ZTP功能。 命令 功能 ZXR10(config)#ztp enable 在全局或特定接口开启ZTP功能 SJ-20100901084759-002 | 2011-02-10(R1.0) 12-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 2. 设置在不同VLAN上进行ZTP拓扑收集。 命令 功能 ZXR10(config)#ztp vlan < vlanId> 设置在不同VLAN上进行ZTP拓扑收集 3. 设置ZTP拓扑收集跳数。 命令 功能 ZXR10(config)#ztp hop < number> 设置ZTP拓扑收集跳数 4. ZTP协议包每跳延时发送。 命令 功能 ZXR10(config)#ztp hop-delay < time> ZTP协议包每跳延时发送 5. ZTP协议包端口延时发送。 命令 功能 ZXR10(config)#ztp port-delay < time> ZTP协议包端口延时发送 6. 进行一次拓扑收集。 命令 功能 ZXR10(config)#ztp start 进行一次拓扑收集 7. 设置ZTP定时拓扑收集时间。 命令 功能 ZXR10(config)#ztp timer 设置ZTP定时拓扑收集时间 12.2.3 建立集群 1. 设置交换机为命令交换机、候选交换机或独立交换机，并给集群配置一个IP地址池。 命令 功能 ZXR10(config)#group switch-type { candidate | independent | 设置交换机为命令交换机、候选交换 (commander [ (ip-pool < ip_addr> ( { mask < ip_addr> | length < mask_len> 机或独立交换机，并给集群配置一个 }])} IP地址池 2. 更改集群名称。 命令 功能 ZXR10(config)#group name < name > 更改集群名称 12-4 SJ-20100901084759-002 | 2011-02-10(R1.0) 12 集 群 管 理 配 置 3. 设置集群握手时间。 命令 功能 ZXR10(config)#group handtime < time> 设置集群握手时间 4. 在命令交换机上设置成员和命令机之间的保持时间。 命令 功能 ZXR10(config)#group holdtime < time> 在命令交换机上设置成员和命令机之 间的保持时间 5. 在命令机上将特定的设备或MAC地址添加为成员。 命令 功能 ZXR10(config)#group member { ( ( mac < mac_addr> ) [ member < 在命令机上将特定的设备或MAC地址 mem_id> ] ) | ( device < device_id> ) } 添加为成员 12.2.4 维护集群 1. 在命令机上对成员进行重起。 命令 功能 ZXR10(config)#group reset-member { all | < member_id> } 在命令机上对成员进行重起 2. 在命令机上对成员进行保存配置。 命令 功能 ZXR10(config)#group save-member { all | < member_id> } 在命令机上对成员进行保存配置 3. 在命令机上删除成员的配置文件。 命令 功能 ZXR10(config)#group erase-member { all | < member_id> } 在命令机上删除成员的配置文件 4. 配置集群的tftp服务器。 命令 功能 ZXR10(config)#group tftp-server < ip_addr> 配置集群的tftp服务器 5. 配置集群的告警接收器。 命令 功能 ZXR10(config)#group trap-host < ip_addr> 配置集群的告警接收器 SJ-20100901084759-002 | 2011-02-10(R1.0) 12-5 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 12.3 集群管理配置实例 如图12-3所示将两台设备连接，实现集群管理。 图12-3 集群管理配置实例 配置步骤如下： 1. 确保两个端口在同一VLAN中（可配置为vlan1，并确保vlan1没有配置三层地址）。 2. 在DUT A执行show zdp neighbour，确保zdp邻居已经建立。 3. 在DUT A执行ztp start，进行拓扑收集，之后执行show ztp device-list应该能看到自己 和DUT B。 4. 将自己配置为命令机：group switch-type commander，然后执行show group应该能看到 自己已经是命令机。 5. 将DUT B配置为成员机group member device 1，然后执行show group member能看到成 员1，并且状态为up。 6. 在特权模式下，可以执行rlogin member 1来登录成员1，在成员1 上可以rlogin commander 登录命令机。 12.4 集群管理的维护与诊断 当遇到集群管理问题时，我们可以通过相关的调试命令来帮助定位故障，排除错误。其 中可能用到的命令包括show命令和debug命令。 通过show命令可以查看当前集群配置信息 命令 功能 ZXR10#show zdp 显示zdp的配置信息 ZXR10#show ztp 查看ztp的配置信息 ZXR10#show group 显示集群配置信息 ZXR10#show zdp neighbour [ interface < interface> | mac < mac-address> ] 显示zdp邻居 ZXR10#show ztp { device-list | device { mac < mac-address>|< id> } } 显示收集到的设备信息 ZXR10#show group { member | candidates [ mac < mac-address> ] } 显示组成员信息 通过debug group-management命令可以跟踪集群管理进程zdp、ztp的收发包情况和处理情 况。 12-6 SJ-20100901084759-002 | 2011-02-10(R1.0) 13 IPTV配置 本章包含如下主题： Ÿ IPTV概述 13-1 Ÿ 配置IPTV 13-1 Ÿ IPTV配置实例 13-4 Ÿ IPTV的维护和诊断 13-5 13.1 IPTV概述 IPTV又称交互式网络电视，是由运营商基于宽带基础推出的，利用IP宽带网络，集互联 网、多媒体、通信等多种技术于一体，向用户提供直播电视、视频点播、上网浏览等多 种交互式服务的业务，用户可以通过PC或“IP机顶盒＋电视”的方式使用的业务。 13.2 配置IPTV 13.2.1 配置IPTV全局参数 1. 设置用户的最小观看时间。 命令 功能 ZXR10(config-nas)#iptv control login-time 设置用户的最小观看时间 2. 设置全局最大预览次数。 命令 功能 ZXR10(config-nas)#iptv control prvcount count 设置全局最大预览次数 3. 设置全局最小预览间隔。 命令 功能 ZXR10(config-nas)#iptv control prvinterval 设置全局最小预览间隔 4. 设置全局最大预览时间。 SJ-20100901084759-002 | 2011-02-10(R1.0) 13-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 命令 功能 ZXR10(config-nas)#iptv control prvtime 设置全局最大预览时间 5. 设置全局复位预览次数的周期。 命令 功能 ZXR10(config-nas)#iptv control prvcount reset-period 设置全局复位预览次数的周期 6. IPTV使能功能。 命令 功能 ZXR10(config-nas)#iptv control {enable|disable} IPTV使能功能 13.2.2 配置IPTV频道 1. 创建IPTV的频道。 命令 功能 ZXR10(config)#create iptv channel [ general < 256> | special < 0-255> ] 创建IPTV的频道 频道号为0－256，其中0－255为特殊频道，每一个频道必须指定一个组播地址；256 为通用频道，不需要指定组播地址。 2. 设置频道名。 命令 功能 ZXR10(config)#iptv channel < 0-256> name 设置频道名 3. 设置频道所属组播VLAN。 命令 功能 ZXR10(config)#iptv channel < 0-256> mvlan 设置频道所属组播VLAN 4. 删除频道。 命令 功能 ZXR10(config)#clear iptv channel< 0-256> 删除频道 13.2.3 配置频道访问控制CAC 1. 13-2 创建CAC规则。 SJ-20100901084759-002 | 2011-02-10(R1.0) 13 IPTV 配 置 命令 功能 ZXR10(config)#create iptv cac-rule< 1-256> 创建CAC规则 2. 设置规则名。 命令 功能 ZXR10(config)#iptv cac-rule < 1-256> name 设置规则名 3. 设置规则的最大预览次数，缺省为全局最大预览次数。 命令 功能 ZXR10(config)#iptv cac-rule < 1-256> prvcount 设置规则的最大预览次数，缺省为全局 最大预览次数 4. 设置规则的最大预览时间，缺省为全局最大预览时间。 命令 功能 ZXR10(config)#iptv cac-rule < 1-256> prvtime 设置规则的最大预览时间，缺省为全局 最大预览时间 5. 设置规则的最小预览间隔，缺省为全局最小预览间隔。 命令 功能 ZXR10(config)#iptv cac-rule < 1-256> prvinterval 设置规则的最小预览间隔，缺省为全局 最小预览间隔 6. 设置规则对频道的权限。 命令 功能 ZXR10(config)#iptv cac-rule < 1-256> right 设置规则对频道的权限 7. 删除规则。 命令 功能 ZXR10(config)#clear iptv cac-rule < 1-256> 删除规则 13.2.4 管理IPTV用户 命令 功能 ZXR10(config)#clear iptv client 删除在线的IPTV用户 SJ-20100901084759-002 | 2011-02-10(R1.0) 13-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 13.3 IPTV配置实例 1. 如果端口fei_1/1下的用户是组播组224.1.1.1的定购用户，组播组所在的VLAN为100， 配置如下： ZXR10(config-nas)#iptv control enable ZXR10(config-nas)#create iptv channel special 1 address 224.1.1.1 ZXR10(config-nas)#iptv channel 1 mvlan 100 ZXR10(config-nas)#iptv channel 1 name cctv1 ZXR10(config-nas)#create iptv cac-rule 1 port fei_1/1 ZXR10(config-nas)#iptv cac-rule 1 right order 1 2. 如果端口fei_1/1，vlan1下的用户是组播组224.1.1.1的预览用户，最大预览时间为2分 钟，最小预览间隔为20秒，最大预览次数为10，组播组所在的VLAN为100，配置如 下： ZXR10(config-nas)#iptv control enable ZXR10(config-nas)#create iptv channel special 1 address 224.1.1.1 ZXR10(config-nas)#iptv channel 1 mvlan 100 ZXR10(config-nas)#iptv channel 1 name cctv1 ZXR10(config-nas)#create iptv cac-rule 1 port fei_1/1 vlan 1 ZXR10(config-nas)#iptv cac-rule 1 prvcount 10 ZXR10(config-nas)#iptv cac-rule 1 prvtime 120 ZXR10(config-nas)#iptv cac-rule 1 prvinterval 20 ZXR10(config-nas)#iptv cac-rule 1 right preview 1 3. 如果端口fei_1/1下的用户可以看vlan100中所有组播组，配置如下： ZXR10(config-nas)#iptv control enable ZXR10(config-nas)#create iptv channel general 256 ZXR10(config-nas)#iptv channel 256 mvlan 100 ZXR10(config-nas)#create iptv cac-rule 1 port fei_1/1 ZXR10(config-nas)#iptv cac-rule 1 right order 256 4. 端口fei_1/1只允许接受组播组224.1.1.1的查询报文，组播组所在的VLAN为100，配置 如下： ZXR10(config-nas)#iptv control enable ZXR10(config-nas)#create iptv channel special 1 address 224.1.1.1 ZXR10(config-nas)#iptv channel 1 mvlan 100 ZXR10(config-nas)#create iptv cac-rule 1 port fei_1/1 ZXR10(config-nas)#iptv cac-rule 1 right query 1 13-4 SJ-20100901084759-002 | 2011-02-10(R1.0) 13 IPTV 配 置 13.4 IPTV的维护和诊断 当IPTV遇到问题时，我们可以通过相关的调试命令来帮助定位故障，排除错误，其中用 到的命令主要是与其相关的show命令。 命令 功能 ZXR10#show iptv control 显示IPTV的全局配置信息 ZXR10#show iptv channel [ { id < channelno> | name< channel-name> } ] 显示IPTV频道信息 如果带频道号将显示指定频道的信息； 如果带频道名将显示指定频道名的信 息；如果不加参数将显示频道的配置信 息 ZXR10#show iptv cac-rule [ { id < channelno> | name< channel-name> } ] 显示CAC规则 ZXR10#show iptv client [ { port< portno> | vlan < vlanid> | device < devno> 显示在线的IPTV用户 }] SJ-20100901084759-002 | 2011-02-10(R1.0) 13-5 14 VBAS配置 本章包含如下主题： Ÿ VBAS概述 14-1 Ÿ 配置VBAS 14-1 Ÿ VBAS配置实例 14-2 Ÿ VBAS的维护与诊断 14-2 14.1 VBAS概述 VBAS（Virtual Broadband Access Server）是虚拟宽带接入服务器的英文缩写，是在IPDSLAM和BRAS设备之间扩展的一种查询协议，BRAS和IP-DSLAM之间采用二层点对点 的通信方式，即端口信息查询和响应报文直接封装在二层以太网数据帧中。 其实现原理是在BAS上配置VLAN所对应的DSLAM（Digital Subscriber Line Access Multiplexer 数字用户线接入复用器），在PPPoE呼叫过程中，发起VBAS协议，即根据用户带上的 VLAN，映射到对应的DSLAM，BAS主动向该DSLAM发起用户线路标识查询，由DSLAM 给BAS响应用户线路标识。在本用户手册中交换机即DSLAM设备。 VBAS协议是通过在BAS与DSLAM之间发送VBAS报文来实现的。 14.2 配置VBAS 14.2.1 启用/关闭VBAS 命令 功能 ZXR10(config)#vbas enable 启用VBAS协议 ZXR10(config)#no vbas enable 关闭VBAS协议 14.2.2 启用VLAN VBAS 步骤 命令 功能 1 ZXR10(config)#vlan < vlan-id> 进入VLAN配置模式 SJ-20100901084759-002 | 2011-02-10(R1.0) 14-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 步骤 命令 功能 2 ZXR10(config-vlan)#vbas enable 在VLAN配置模式下启用VBAS 14.2.3 配置VBAS信任端口 步骤 命令 功能 1 ZXR10(config)#interface < interface-name> 进入接口配置模式 2 ZXR10(config-fei_1/x)#vbas trust 配置VBAS信任端口 14.2.4 设置VBAS端口为用户端口或网络端口 步骤 命令 功能 1 ZXR10(config)#interface < interface-name> 进入接口配置模式 2 ZXR10(config-fei_1/x)#vbas port-type { user| net} 设置VBAS端口是用户端口还是网络 端口 14.3 VBAS配置实例 在交换机上开启VBAS功能，配置VBAS使能VLAN为vlan 1，配置个fei_1/1为信任端口， 端口类型为user。 ZXR10(config)#vbas enable ZXR10(config)#vlan 1 ZXR10(config-vlan1)#vbas enable ZXR10(config-vlan1)#exit ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#vbas trust ZXR10(config-fei_1/1)#vbas port-type user 说明： 在上述实例中，启用VBAS功能的vlan1至少包含两个端口，一个连接用户，另一个连接 BRAS设备，本例中用端口fei_1/1连接BRAS设备。 14.4 VBAS的维护与诊断 在特权模式下，使用debug vbas命令打开VBAS调试功能，输出VBAS调试信息。 14-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 14 VBAS 配 置 命令 功能 ZXR10#debug vbas 调试 SJ-20100901084759-002 | 2011-02-10(R1.0) 14-3 15 ZESR/ZESR+配置 本章包含如下主题： Ÿ ZESR/ZESR+概述 15-1 Ÿ 配置ZESR/ZESR+ 15-1 Ÿ ZESR/ZESR+配置实例 15-5 15.1 ZESR/ZESR+概述 ZESR（ZTE Ethernet Switch Ring）基于rfc3619协议的EAPS原理，并在其基础上进行改 进，检测环路是否连通，确保环上任意两节点间仅有一条逻辑上连通的路径；根据环路 变化（通->断，断->通）重新设置端口状态（block、forward），使逻辑路径迅速切换。 ZESR适用于多环多域。多环是指网络拓扑分层次来说的，每个层次都是一个环，低层 接入环有两个接入点和高层接入环相接，这样的网络拓扑看作一个独立的环，和它相切 的环不是它的一部分，是另一个环的一部分。最高层次的环称主环，其他环是接入环。 多域指同一个环上可以有多个保护实例，分别适用于不同的业务vlan，它们的逻辑路径 不同，相互独立。 ZESR+是在双节点双上行的组网条件下提出的，其通过对现有的ZESR进行改进，使之 满足在双节点双上行组网条件下对上行链路和节点的同时冗余保护。 15.2 配置ZESR/ZESR+ 15.2.1 配置ZESR域保护实例 步骤 命令 功能 1 ZXR10(config)#zesr ctrl-vlan < 1-4094>protect-instance< < 0-16><1-4094>域的控制VLAN，标志 ZESR域，< 0-16>要保护的实例 ID。同STP的实例 2 ZXR10(config)#no zesr ctrl-vlan < 1-4094>protect-instance<1-4094>域的控制VLAN，标志 ZESR域 SJ-20100901084759-002 | 2011-02-10(R1.0) 15-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） ZESR的保护实例和STP是一样的，业务VLAN放入到保护实例中。所以一般要开启STP 配合ZESR使用。控制VLAN要使用业务之外的VLAN，不能和业务、网管VLAN冲突，注 意端口的PVID不要选择为控制VLAN，环外的端口不要加入到控制VLAN中。 举例 1. 配置控制VLAN为4000的ZESR保护实例为1: ZXR10(config)#zesr ctrl-vlan 4000 protect-instance 1 2. 删除控制VLAN为4000的ZESR保护实例： ZXR10(config)#no zesr ctrl-vlan 4000 protect-instance 15.2.2 配置主环ZESR/ZESR+ 简介 配置设备在主环上的ZESR/ZESR+配置。主环就是最高层次的环，其它的是接入环。 步骤 命令 功能 1 ZXR10(config)#zesr ctrl-vlan < 1-4094> major-level { ( preforward 配置设备在主环上的ZESR < 1-600> [ preup < 0-500> ] )| (role { master | transit| zess-master| zess-transit} 2 ZXR10(config)#no zesr ctrl-vlan < 1-4094> major-level 取消配置设备在主环上的ZESR 参数说明： 参数 描述 <1-4094>域的控制VLAN，标志ZESR域<1-600> 单位为秒。断开的端口再连上后，除非ZESR协议设置，否则等待preforward 时间后，自动打开，默认值是10秒 <0-500> Preup值，单位为秒。Master检测到环up后，并不马上切换状态,延时preup时 间再切换，默认值是0 主环的两个端口。对master来说，从端口是block的，保证环上有一个地方断开，不形成风暴< 1-6> Hello值，单位为秒。master/zess-transit主端口定时发送hello协议报文的时 间，,默认是1秒 < 3-18> Master/zess-transit上未收到hello报文最大时间延时，单位为秒。应该是hello 发送定时的3倍，默认是3秒 master|transit|zess-master|zess-transit为配置节点角色，master|transit为ZESR的主节点/传输 节点，zess-master|zess-transit为ZESR+的主节点/传输节点。 确定了节点的角色和端口以后，才可以配置preforward、preup等参数。其中hello、fail、 preup只能为master或zess-tranist使用，preup只能为master或zess-master。配置端口前，端口 15-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 15 ZESR/ZESR+ 配 置 要配置到控制VLAN去。端口可以使用LACP端口，但必须是动态LACP，且成员端口必 须关闭STP。 此外还需注意一点：zess-master节点的secondery端口决定阻塞位置，因此必须将该端口 放置在需要阻塞的上行链路上，而zess-transit节点的secondery端口也建议放置在上行链路 上。 举例 1. 配置控制VLAN为4000，角色为master，端口为fei_1/10 、fei_1/20的节点： ZXR10(config)#zesr ctrl-vlan 4000 major-level role master fei_1/10 fei_1/20 2. 配置控制VLAN为4000，角色为zess-master，端口为fei_1/10 、fei_1/20的节点： ZXR10(config)#zesr ctrl-vlan 4000 major-level role zess-master fei_1/10 fei_1/20 3. 配置控制VLAN为4000的master的preforward为20秒，preup为20秒： ZXR10(config)#zesr ctrl-vlan 4000 major-level preforward 20 preup 20 4. 配置控制VLAN为4000的master的hello为2秒，fail为4秒： ZXR10(config)#zesr ctrl-vlan 4000 major-level hello 2 fail 4 15.2.3 配置接入环ZESR 步骤 命令 功能 1 ZXR10(config-router)#zesr ctrl-vlan < 1-4094>level< 1-2> seg 配置接入环上节点的ZESR < 1-4> { preforward < 1-600> [ preup < 0-500> ] | role { master | transit} < primary-interface-name>< secondary-interface-name> | { edge-assistant | edge-control} < edge-interface-name> } | hello < 1-6>fail< 3-18> } 2 ZXR10(config)#no zesr ctrl-vlan < 1-4094>level< 1-2>seg< 1-4> 取消配置接入环上节点的ZESR 参数说明： < 1-4094>域的控制VLAN，标志ZESR域。<1-2>接入环的层次。<1-4>层次中接入环段序号，每层中最多可以有4个接入环。<1-600> Preforward值，单位为秒。断开的端口再连上后,除非ZESR协议设置，否则等待 preforward时间后，自动打开，默认值是10秒。 <0-500> Preup值，单位为秒。Master或edge-control检测到环up后，并不马上切换状态， 延时preup时间再切换，默认值是0。 接 入 环 的 两 个 端 口 （ 非 接 入 节 点 时）。 SJ-20100901084759-002 | 2011-02-10(R1.0) 15-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） < 1-6> Hello值，单位为秒。master主端口或edge-control接入端口定时发送hello协议报文 的时间，默认是1秒。 < 3-18> Master或edge-control上未收到hello报文最大时间延时，秒为单位。应该是hello 发送定时的3倍，默认是3秒。 接入节点的端口。 交换机在接入环中可能位于接入环和主环的接入处，这时候它既可以位于上层环，又可 以位于接入环，在上层环有两个端口，在接入环只有一个端口。这时交换机被称为接入 节点。接入节点在接入环上可以是edge-assistant 或edge-control角色，其中edge-control相 当于一般节点的master角色。 举例 1. 配置控制VLAN为4000，level为1，seg为1，角色为master，端口为fei_1/10 、fei_1/10 的接入环节点： ZXR10(config)#zesr ctrl-vlan 4000 level 1 seg 1 role master fei_1/10 fei_1/20 2. 配置控制VLAN为4000，level为1，seg为1，角色为edge-assistant，端口为fei_1/10的接 入节点： ZXR10(config)#zesr ctrl-vlan 4000 level 1 seg 1 role edge-assistant fei_1/10 3. 配置控制VLAN为4000，level为1，seg为1的 preforward为20秒，preup为20秒： ZXR10(config)#zesr ctrl-vlan 4000 level 1 seg 1 preforward 20 preup 20 4. 配置控制VLAN为400，level为1，seg为1的hello为2秒，fail为4秒： ZXR10(config)#zesr ctrl-vlan 4000 level 1 seg 1 hello 2 fail 4 15.2.4 配置ZESR的重启时间 装置启动后，要经过一定时间ZESR才开始工作，这个命令配置这个时间的大小。 命令 功能 ZXR10(config)#zesr restart-time < 30-600><30-600>指定时间，秒为单位，默认 120秒 举例 配置ZESR的重起时间为60秒： ZXR10(config)#zesr restart-time 60 15-4 SJ-20100901084759-002 | 2011-02-10(R1.0) 15 ZESR/ZESR+ 配 置 15.3 ZESR/ZESR+配置实例 15.3.1 ZESR配置实例 如图15-1所示，SW1–SW4组成环网，透传vlan 100-200，SW1为核心交换机，是整个网 络的出口，SW2-SW4为各汇聚交换机；要求网络中断开任意链路不影响业务。 图15-1 ZESR配置实例 SW1：sg1（fei_1/1， fei_1/2）连接SW2，sg2（fei_1/3， fei_1/4）连接SW3 SW2： fei_1/1连接SW3， fei_1/2连接SW4，sg2（fei_1/3， fei_1/4）连接SW1 SW3： fei_1/1连接SW2， fei_1/2连接SW4，sg2（fei_1/3， fei_1/4）连接SW1 SW4： fei_1/1连接SW2， fei_1/2连接SW3。 由SW1，SW2，SW3组成的网络为major-level，SW2为master节点，SW2连接到SW1的端 口为主端口（sg1）。SW2-SW4组成的网络为从环level 1 seg 1，选择SW4作为master节点， 同时选择其与SW3相连的端口作为从端口（SW4的fei_1/2）控制vlan规划为4000。 SW1配置： ZXR10_S1(config)#spanning-tree enable ZXR10_S1(config)#spanning-tree mst configuration ZXR10(config-mstp)#instance 1 vlan 100-200 ZXR10(config-mstp)#exit ZXR10_S1(config)#interface smartgroup1 //连接到SW2 ZXR10_S1(config-smartgroup1)#switchport mode trunk SJ-20100901084759-002 | 2011-02-10(R1.0) 15-5 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） ZXR10_S1(config-smartgroup1)#smartgroup mode 802.3ad ZXR10_S1(config-smartgroup1)switchport trunk vlan 100-200 ZXR10_S1(config-smartgroup1)switchport trunk vlan 4000 ZXR10_S1(config-smartgroup1)exit ZXR10_S1(config)#interface smartgroup2 //连接到SW3 ZXR10_S1(config-smartgroup2)#switchport mode trunk ZXR10_S1(config-smartgroup2)#smartgroup mode 802.3ad ZXR10_S1(config-smartgroup2f)#switchport trunk vlan 100-200 ZXR10_S1(config-smartgroup2)#switchport trunk vlan 4000 ZXR10_S1(config-smartgroup2)#exit ZXR10_S1(config)#interface fei_1/1 //连接到SW2 ZXR10_S1(config-fei_1/1)#switchport mode trunk ZXR10_S1(config-fei_1/1)#switchport trunk vlan 100-200 ZXR10_S1(config-fei_1/1)#switchport trunk vlan 4000 ZXR10_S1(config-fei_1/1)#smartgroup 1 mode active //配置成动态lacp ZXR10_S1(config-fei_1/1)#exit ZXR10_S1(config)#interface fei_1/2 //连接到SW2 ZXR10_S1(config-fei_1/2)#switchport mode trunk ZXR10_S1(config-fei_1/2)#switchport trunk vlan 100-200 ZXR10_S1(config-fei_1/2)#switchport trunk vlan 4000 ZXR10_S1(config-fei_1/2)#smartgroup 1 mode active //配置成动态lacp ZXR10_S1(config-fei_1/2)#exit ZXR10_S1(config)#interface fei_1/3 //连接到SW3 ZXR10_S1(config-fei_1/3)#switchport mode trunk ZXR10_S1(config-fei_1/3)#switchport trunk vlan 100-200 ZXR10_S1(config-fei_1/3)#switchport trunk vlan 4000 ZXR10_S1(config-fei_1/3)#smartgroup 2 mode active //配置成动态lacp ZXR10_S1(config-fei_1/3)#exit ZXR10_S1(config)#interface fei_1/4 //连接到SW3 ZXR10_S1(config-fei_1/4)#switchport mode trunk ZXR10_S1(config-fei_1/4)#switchport trunk vlan 100-200 ZXR10_S1(config-fei_1/4)#switchport trunk vlan 4000 15-6 SJ-20100901084759-002 | 2011-02-10(R1.0) 15 ZESR/ZESR+ 配 置 ZXR10_S1(config-fei_1/4)#smartgroup 2 mode active //配置成动态lacp ZXR10_S1(config-fei_1/4)#exit ZXR10_S1(config)#zesr ctrl-vlan 4000 protect-instance 1 ZXR10_S1(config)#zesr ctrl-vlan 4000 major-level role transit smartgroup1 smartgroup2 SW2配置： ZXR10_S2(config)#spanning-tree enable ZXR10_S2(config)#spanning-tree mst configuration ZXR10(config-mstp)#nstance 1 vlan 100-200 ZXR10(config-mstp)#exit ZXR10_S2(config)#interface smartgroup1 ZXR10_S2(config-smartgroup1#)switchport mode trunk ZXR10_S2(config-smartgroup1)#smartgroup mode 802.3ad ZXR10_S2(config-smartgroup1)#switchport trunk vlan 100-200 ZXR10_S2(config-smartgroup1)#switchport trunk vlan 4000 ZXR10_S2(config-smartgroup1)#exit ZXR10_S2(config)#interface fei_1/1 //连接到SW3 ZXR10_S2(config-fei_1/1)#switchport mode trunk ZXR10_S2(config-fei_1/1)#switchport trunk vlan 100-200 ZXR10_S2(config-fei_1/1)#switchport trunk vlan 4000 ZXR10_S2(config-fei_1/1)#exit ZXR10_S2(config)#interface fei_1/2 //连接到SW4 ZXR10_S2(config-fei_1/2)#switchport mode trunk ZXR10_S2(config-fei_1/2)#switchport trunk vlan 100-200 ZXR10_S2(config-fei_1/2)#switchport trunk vlan 4000 ZXR10_S2(config-fei_1/2)#exit ZXR10_S2(config)#interface fei_1/3 //连接到SW1 ZXR10_S2(config-fei_1/3)#negotiation auto ZXR10_S2(config-fei_1/3)#switchport mode trunk ZXR10_S2(config-fei_1/3)#switchport trunk vlan 100-200 ZXR10_S2(config-fei_1/3)#switchport trunk vlan 4000 ZXR10_S2(config-fei_1/3)#smartgroup 1 mode active SJ-20100901084759-002 | 2011-02-10(R1.0) 15-7 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） ZXR10_S2(config-fei_1/3)#exit ZXR10_S2(config)#interface fei_1/4 //连接到SW1 ZXR10_S2(config-fei_1/4)#negotiation auto ZXR10_S2(config-fei_1/4)#switchport mode trunk ZXR10_S2(config-fei_1/4)#switchport trunk vlan 100-200 ZXR10_S2(config-fei_1/4)#switchport trunk vlan 4000 ZXR10_S2(config-fei_1/4)#smartgroup 1 mode active ZXR10_S2(config-fei_1/4)#exit ZXR10_S2(config)#zesr ctrl-vlan 4000 protect-instance 1 ZXR10_S2(config)#zesr ctrl-vlan 4000 major-level role transit smartgroup1 fei_1/1 ZXR10_S2(config)#zesr ctrl-vlan 4000 level 1 seg 1 role edge-assistant fei_1/2 SW3配置： 端口实例等配置如SW2 ZXR10_S3(config)#zesr ctrl-vlan 4000 protect-instance 1 ZXR10_S3(config)#zesr ctrl-vlan 4000 major-level role master smartgroup1 fei_1/1 ZXR10_S3(config)#zesr ctrl-vlan 4000 level 1 seg 1 role edge-assistant fei_1/2 SW4配置： 端口实例等配置如SW2 ZXR10_S4(config)#zesr ctrl-vlan 4000 protect-instance 1 ZXR10_S4(config)#zesr ctrl-vlan 4000 level 1 seg 1 role master fei_1/1 fei_1/2 15-8 SJ-20100901084759-002 | 2011-02-10(R1.0) 15 ZESR/ZESR+ 配 置 15.3.2 ZESR与ZESR+混合配置实例 图15-2 ZESR+与ZESR混合组网拓扑图 图15-2为典型的ZESR+与ZESR混合组网拓扑图，其中节点ZXR10-2和ZXR10-3及与 ZXR10-1之间的链路构成双节点双上行，即ZESR+，也可以认为三者虚拟成一个主环； 节点ZXR10-2、ZXR10-3和ZXR10-4组成一个level 1 seg 1的从环，即ZESR。 节点1配置： //为一个普通交换机，主要功能为透传数据包。 //只需要配置VLAN信息（端口以tagged形式属于ctrl-vlan）， //以及关闭端口的广播和未知单播抑制。 ZXR10_S1(config)#interface fei_1/1 //连接到ZXR10-3 ZXR10_S1(config-fei_1/1)#negotiation auto //配置端口工作模式为自协商 ZXR10_S1(config-fei_1/1)#switchport mode trunk ZXR10_S1(config-fei_1/1)#switchport trunk vlan 100-200 ZXR10_S1(config-fei_1/1)#switchport trunk vlan 4000 ZXR10_S1(config-fei_1/1)#exit ZXR10_S1(config)#interface fei_1/2 //连接到ZXR10-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 15-9 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） ZXR10_S1(config-fei_1/2)#negotiation auto //配置端口工作模式为自协商 ZXR10_S1(config-fei_1/2)#switchport mode trunk ZXR10_S1(config-fei_1/2)#switchport trunk vlan 100-200 ZXR10_S1(config-fei_1/2)#switchport trunk vlan 4000 ZXR10_S1(config-fei_1/2)#exit 节点2配置： //配置为ZESR+的Master节点 ZXR10_S2(config)#spanning-tree enable ZXR10_S2(config)#spanning-tree mst configuration ZXR10(config-mstp)#instance 1 vlan 100-200 ZXR10(config-mstp)#exit ZXR10_S2(config)#interface fei_2/1 //连接到ZXR10-1 ZXR10_S2(config-fei_2/1)#switchport mode trunk ZXR10_S2(config-fei_2/1)#switchport trunk vlan 100-200 ZXR10_S2(config-fei_2/1)#switchport trunk vlan 4000 ZXR10_S2(config-fei_2/1)#exit ZXR10_S2(config)#interface fei_2/2 //连接到ZXR10-3 ZXR10_S2(config-fei_2/2)#negotiation auto ZXR10_S2(config-fei_2/2)#switchport mode trunk ZXR10_S2(config-fei_2/2)#switchport trunk vlan 100-200 ZXR10_S2(config-fei_2/2)#switchport trunk vlan 4000 ZXR10_S2(config-fei_2/2)#exit ZXR10_S2(config)#interface fei_2/3 //连接到ZXR10-4 ZXR10_S2(config-fei_2/3)#negotiation auto ZXR10_S2(config-fei_2/3)#switchport mode trunk ZXR10_S2(config-fei_2/3)#switchport trunk vlan 100-200 ZXR10_S2(config-fei_2/3)#switchport trunk vlan 4000 ZXR10_S2(config-fei_2/3)#exit ZXR10_S2(config)#zesr ctrl-vlan 4000 protect-instance 1 ZXR10_S2(config)#zesr ctrl-vlan 4000 major level role zess-master fei_2/2 fei_2/1 //配置为zess-master节点 ZXR10_S2(config)#zesr ctrl-vlan 4000 level 1 seg 1 role edge- assistant fei_2/3 //配置普通ZESR的边界节点角色 节点3配置： 端口实例等配置如节点2。 //配置为ZESR+的Tansit节点 ZXR10_S3(config)#zesr ctrl-vlan 4000 protect-instance 1 ZXR10_S3(config)#zesr ctrl-vlan 4000 major-level role zess-transit fei_3/2 fei_3/1 //配置为zess-transit节点 ZXR10 s3(config)#zesr ctrl-vlan 4000 level 1 seg 1 role edge-assistant fei_3/3 //配置普通ZESR的边界节点角色 节点4配置： 端口实例等配置如节点2。 //配置为ZESR低层次主节点 ZXR10_S4(config)#zesr ctrl-vlan 4000 protect-instance 1 ZXR10_S4(config)#zesr ctrl-vlan 4000 level 1 seg 1 role master fei_4/2 fei_4/1 //配置普通ZESR的master角色 SJ-20100901084759-002 | 2011-02-10(R1.0) 15-11 16 MVCE配置 本章包含如下主题： Ÿ MVCE概述 16-1 Ÿ MVCE基本配置 16-2 Ÿ MVCE配置实例 16-5 Ÿ MVCE的维护与诊断 16-15 16.1 MVCE概述 16.1.1 MVCE基础 传统的MPLS VPN 的模型中，由PE设备提供VPN的接入，在PE设备上做用户隔离。目前 的MPLS VPN模型是一种平面式模型，PE设备无论处于网络的哪个层次，对其性能要求 是相同的，由于路由逐层聚合，甚至在PE向边缘方向扩展时，要维护更多的路由。而典 型网络是核心--汇聚--接入三层模型，设备性能依次下降，网络规模依次扩大。这就 为PE设备向网络边缘的扩展带来了困难。 另外，当VPN用户距离PE很远的时候，需要通过WAN链路来连结，其数目至少同VPN 用户的数目相同。如果采用路由器就近接入用户，汇聚后通过一个WAN链路连结到PE， 则可以节省费用，提高带宽利用率。但在这个WAN链路上需要区分不同的VPN用户。 MVCE技术扩展了CE的能力，使其具有VRF功能，这样的设备称为MVCE设备。在组网 时，使用多个这样的MVCE同PE组合来构成一种分布式PE。 MVCE 使得多个VPN 用户 可以共享一台CE 设备，而又隔离了不同的用户，解决了安全和成本之间的矛盾；用户 数据流在MVCE 被终结，避免了广播流量对PE 设备造成不好的影响。总的来说，MVCE 是一种在局域网内实现多个VPN 用户共享同一个CE 设备、并共享该CE 设备与PE 设备 间链路的技术。通过MVCE 特性，可以实现不同业务传输的完全隔离，低成本地解决传 统局域网的安全性问题，极大的满足客户的需求。 SJ-20100901084759-002 | 2011-02-10(R1.0) 16-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 16.1.2 MVCE技术特点 MVCE技术提供了一种类似分层次PE的功能，将PE设备的功能部分移到了CE来完成。但 是MVCE技术不需要支持MPLS功能，降低了对接入、汇聚设备的要求，因此对应的设备 不能称为分层次的PE，MVCE对应的设备仍然是CE设备。 对用户数据流在CE 被终结，避免了广播流量对PE 设备造成不好的影响。在CE上面实现 不同业务传输的完全隔离，低成本地解决传统局域网的安全性问题。需要PE设备做的用 户隔离和安全保证，现在由CE来完成，符合网络安全边缘化的发展趋势，也符合目前运 营商对于承载网要求。 MVCE和分层PE的比较： l 两层设备间的接口数目最少同VPN的数目相同 l 上层PE设备需要重复配置MVCE上已经配置的VRF l 为每个VPN运行一个IGP/BGP对等体或配置静态路由 l 下层设备不支持MPLS 16.1.3 MVCE关键技术 MVCE需要设备具备VPN的接入能力，IP地址可以重叠。随着技术的发展，这个功能在 中端交换机上已经可以实现。在MVCE上配置多个VRF ，对应多个VPN站点。每个VRF 需要一个上行接口同PE连接。在PE上对应的接口配置同样的VRF。 对于MVCE来说，因为不需要支持MPLS，因此MVCE和PE设备之间仍然是普通的数据报 文、没有MPLS标签。这跟分层的PE不同，分层的PE之间是有一层MPLS标签的。因此为 了区分VPN的流量，只能在PE上通过接口来区分，这意味着MVCE支持多少个VPN，PE 就得对应有多少个VPN的接口（这点和普通的PE支持L3 VPN配置相同）。 一个具有MVCE特性的CE实际上模拟了多个CE ，各个虚拟的CE相互隔离、可以接入多 个VPN用户。而PE设备是不会感知这是多个CE 还是一个MVCE， 因而PE不需要做任何 扩展。 如果MVCE和PE设备之间运行动态路由协议，路由协议需要支持多实例。PE和MVCE通 过标准的EBGP、OSPF、RIP或者静态路由交换路由信息。 静态路由、RIP都是标准的协议，但是每个VRF运行不同的实例，相互之间没有干扰。 如果是配置静态路由，静态路由的配置支持VRF即可。 16.2 MVCE基本配置 MVCE的配置主要包括如下内容。 1. 16-2 配置VPN。 SJ-20100901084759-002 | 2011-02-10(R1.0) 16 MVCE 配 置 命令 功能 ZXR10(config)#ip vrf vrf-name 定义一个转发表名称 名称长度为1到16个字符。该名称只是本地有效，在某个接口与VPN绑定时用到该名 称。 2. 定义VRF的路由标识符（RD）。 命令 功能 ZXR10(config-vrf)#rd route-distinguisher 定义路由转发表的路由标识符 3. 定义三层接口与VRF关联。 命令 功能 ZXR10(config-vlan10)#ip vrf forwarding vrf-name 将一个三层接口加入该路由转发表 如果这个接口预先配置了IP地址，那么原IP地址消失，必须重新配置。 4. 定义VRF路由。 a. MVCE设备可以定义静态路由，也可以运行动态路由协议与PE路由器自动交互。 配置静态路由。 命令 功能 ZXR10(config)#ip route [ vrf vrf-name] prefix net-mask { 将一个静态路由加入该路由转发表 forwarding-router's-address | interface-name} [ distance-metric] [ tag tag] b. 对于不同的动态路由协议，MVCE设备上配置方法不同。目前版本支持RIP， OSPF，IS-IS，BGP四种协议。 l 配置RIP协议。 步骤 命令 功能 1 ZXR10(config)#router rip 启动RIP 2 ZXR10(config-router)#address-family ipv4 vrf test1 进入VRF配置模式 3 ZXR10(config-router)#network 10.10.1.0 0.0.0.255 定义运行RIP的接口 举例如下： ZXR10(config)#router rip ZXR10(config-router)#address-family ipv4 vrf test1 ZXR10(config-router-af)#network 10.10.1.0 0.0.0.255 ZXR10(config-router-af)#redistribute connected SJ-20100901084759-002 | 2011-02-10(R1.0) 16-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） l 配置OSPF协议。 步骤 命令 功能 1 ZXR10(config)#router ospf 5 vrf test1 启动OSPF 2 ZXR10(config-router)#network 10.10.1.0 0.0.0.255 area 0 定义运行OSPF的接口 举例如下： ZXR10(config)#router ospf 2 vrf test1 ZXR10(config-router)#network 10.10.10.1 0.0.0.0 area 0.0.0.0 ZXR10(config-router)#redistribute connected l 配置ISIS协议。 步骤 命令 功能 1 ZXR10(config)#router isis vrf test1 启动ISIS 2 ZXR10(config-router)#system-id 2222.2222.2222 定义ISIS实体系统ID 3 ZXR10(config-router)#area 49 定义ISIS的区域地址 举例如下： ZXR10(config)#router isis vrf test1 ZXR10(config-router)#system-id 2222.2222.2222 ZXR10(config-router)#area 02 ZXR10(config-router)#redistribute connected l 配置BGP协议。 步骤 命令 功能 1 ZXR10(config)#router bgp 100 启动BGP 2 ZXR10(config-router)#address-family ipv4 vrf test1 进入VRF配置模式 3 ZXR10(config-router)#neighbor 10.1.1.2 remote-as 200 定义BGP邻居 举例如下： ZXR10(config)#router bgp 100 ZXR10(config-router)#address-family ipv4 vrf test1 ZXR10(config-router-af)#redistribute connected ZXR10(config-router-af)#redistribute ospf-int ZXR10(config-router-af)#redistribute ospf-ext 16-4 SJ-20100901084759-002 | 2011-02-10(R1.0) 16 MVCE 配 置 ZXR10(config-router-af)#neighbor 10.1.1.2 remote-as 200 ZXR10(config-router-af)#exit-address-family 16.3 MVCE配置实例 如图16-1所示，在CE1和CE2上运行MVCE功能。 图16-1 MVCE配置实例 VPN1的配置： ZXR10(config)#router ospf 1 ZXR10(config-router)#network 208.0.0.0 0.0.255.255 area 0 ZXR10(config-router)#end VPN2的配置： ZXR10(config)#router ospf 1 ZXR10(config-router)#network 118.0.0.0 0.0.0.255 area 0 ZXR10(config-router)#end CE1的配置： SJ-20100901084759-002 | 2011-02-10(R1.0) 16-5 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） ZXR10(config)#ip vrf vpn1 ZXR10(config-vrf)#rd 200:100 ZXR10(config-vrf)#exit ZXR10(config)#ip vrf vpn2 ZXR10(config-vrf)#rd 201:101 ZXR10(config-vrf)#exit ZXR10(config)#interface loopback1 ZXR10(config-loopback1)#ip vrf forwarding vpn1 ZXR10(config-loopback1)#ip address 18.18.1.1 255.255.255.255 ZXR10(config-loopback1)#exit ZXR10(config)#interface loopback2 ZXR10(config-loopback2)#ip vrf forwarding vpn2 ZXR10(config-loopback2)#ip address 18.18.2.2 255.255.255.255 ZXR10(config-loopback2)#exit ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#switchport mode trunk ZXR10(config-fei_1/1)#switchport trunk vlan 48 ZXR10(config-fei_1/1)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#switchport mode trunk ZXR10(config-fei_1/2)#switchport trunk vlan 23 ZXR10(config-fei_1/2)#exit ZXR10(config)#interface fei_1/8 ZXR10(config-fei_1/8)#switchport access vlan 208 ZXR10(config-fei_1/8)#exit ZXR10(config)#interface fei_1/9 ZXR10(config-fei_1/9)#switchport access vlan 118 ZXR10(config-fei_1/9)#exit ZXR10(config)#interface vlan48 ZXR10(config-if-vlan48)#ip vrf forwarding vpn1 ZXR10(config-if-vlan48)#ip address 48.0.0.1 255.255.255.0 ZXR10(config-if-vlan48)#exit ZXR10(config)#interface vlan23 16-6 SJ-20100901084759-002 | 2011-02-10(R1.0) 16 MVCE 配 置 ZXR10(config-if-vlan23)#ip vrf forwarding vpn2 ZXR10(config-if-vlan23)#ip address 23.0.0.1 255.255.255.0 ZXR10(config-if-vlan23)#exit ZXR10(config)#interface vlan118 ZXR10(config-if-vlan118)#ip vrf forwarding vpn2 ZXR10(config-if-vlan118)#ip address 118.0.0.1 255.255.255.0 ZXR10(config-if-vlan118)#exit ZXR10(config)#interface vlan208 ZXR10(config-if-vlan208)#ip vrf forwarding vpn1 ZXR10(config-if-vlan208)#ip address 208.0.0.1 255.255.255.0 ZXR10(config-if-vlan208)#exit ZXR10(config)#router ospf 1 vrf vpn1 ZXR10(config-router)#redistribute bgp-int ZXR10(config-router)#redistribute connect ZXR10(config-router)#network 208.0.0.0 0.0.0.255 area 0 ZXR10(config-router)#exit ZXR10(config)#router ospf 2 vrf vpn2 ZXR10(config-router)#redistribute bgp-int ZXR10(config-router)#redistribute connect ZXR10(config-router)#network 118.0.0.0 0.0.0.255 area 0 ZXR10(config-router)#exit ZXR10(config)#router bgp 800 ZXR10(config-router)#address-family ipv4 vrf vpn2 ZXR10(config-router-af)#redistribute ospf-int ZXR10(config-router-af)#redistribute ospf-ext ZXR10(config-router-af)#neighbor 23.0.0.2 remote-as 100 ZXR10(config-router-af)#neighbor 23.0.0.2 activate ZXR10(config-router-af)#exit ZXR10(config-router)#address-family ipv4 vrf vpn1 ZXR10(config-router-af)#redistribute ospf-int ZXR10(config-router-af)#redistribute ospf-ext ZXR10(config-router-af)#neighbor 48.0.0.2 remote-as 100 ZXR10(config-router-af)#neighbor 48.0.0.2 activate ZXR10(config-router-af)#end SJ-20100901084759-002 | 2011-02-10(R1.0) 16-7 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） PE1的配置： ZXR10(config)#ip vrf vpn1 ZXR10(config-vrf)#rd 100:1 ZXR10(config-vrf)#route-target export 100:1 ZXR10(config-vrf)#route-target import 100:1 ZXR10(config-vrf)#exit ZXR10(config)#ip vrf vpn2 ZXR10(config-vrf)#rd 100:2 ZXR10(config-vrf)#route-target export 100:2 ZXR10(config-vrf)#route-target import 100:2 ZXR10(config-vrf)#exit ZXR10(config)#interface loopback1 ZXR10(config-loopback1)#ip vrf forwarding vpn1 ZXR10(config-loopback1)#ip address 3.3.3.1 255.255.255.255 ZXR10(config-loopback1)#exit ZXR10(config)#interface loopback2 ZXR10(config-loopback2)#ip vrf forwarding vpn2 ZXR10(config-loopback2)#ip address 3.3.3.2 255.255.255.255 ZXR10(config-loopback2)#exit ZXR10(config)#interface loopback3 ZXR10(config-loopback3)#ip address 3.3.3.3 255.255.255.255 ZXR10(config-loopback3)#exit ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#switchport mode trunk ZXR10(config-fei_1/1)#switchport trunk vlan 48 ZXR10(config-fei_1/1)#exit ZXR10(config)#interface vlan 48 ZXR10(config-if-vlan48)#ip vrf forwarding vpn1 ZXR10(config-if-vlan48)#ip address 48.0.0.2 255.255.255.0 ZXR10(config-if-vlan48)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#switchport mode trunk ZXR10(config-fei_1/2)#switchport trunk vlan23 ZXR10(config-fei_1/2)#exit 16-8 SJ-20100901084759-002 | 2011-02-10(R1.0) 16 MVCE 配 置 ZXR10(config)#interface vlan 23 ZXR10(config-if-vlan23)#ip vrf forwarding vpn2 ZXR10(config-if-vlan23)#ip address 23.0.0.2 255.255.255.0 ZXR10(config-if-vlan23)#exit ZXR10(config)#interface fei_1/3 ZXR10(config-fei_1/3)#switchport mode trunk ZXR10(config-fei_1/3)#switchport trunk vlan 63 ZXR10(config-fei_1/3)#exit ZXR10(config)#interface vlan 63 ZXR10(config-if-vlan63)#ip address 63.0.0.2 255.255.255.0 ZXR10(config-if-vlan63)#mpls ip ZXR10(config-if-vlan63)#exit ZXR10(config)#mpls ip ZXR10(config)#mpls ldp router-id loopback3 force ZXR10(config)#router ospf 1 ZXR10(config-router)#network 63.0.0.0 0.0.0.255 area 0 ZXR10(config-router)#redistribute connect ZXR10(config-router)#exit ZXR10(config)#router bgp 100 ZXR10(config-router)#neighbor 4.4.4.4 remote-as 100 ZXR10(config-router)#neighbor 4.4.4.4 update-source loopback3 ZXR10(config-router)#neighbor 4.4.4.4 activate ZXR10(config-router)#address-family vpnv4 ZXR10(config-router-af)#neighbor 4.4.4.4 activate ZXR10(config-router-af)#exit ZXR10(config-router)#address-family ipv4 vrf vpn2 ZXR10(config-router-af)#neighbor 23.0.0.1 remote-as 800 ZXR10(config-router-af)#neighbor 23.0.0.1 activate ZXR10(config-router-af)#redistribute connect ZXR10(config-router-af)#exit ZXR10(config-router)#address-family ipv4 vrf vpn1 ZXR10(config-router-af)#neighbor 48.0.0.1 remote-as 800 ZXR10(config-router-af)#neighbor 48.0.0.1 activate ZXR10(config-router-af)#redistribute connect ZXR10(config-router-af)#end SJ-20100901084759-002 | 2011-02-10(R1.0) 16-9 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） P的配置： ZXR10(config)#interface loopback1 ZXR10(config-loopback1)#ip address 2.2.2.2 255.255.255.255 ZXR10(config-loopback1)#exit ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#switchport mode trunk ZXR10(config-fei_1/1)#switchport trunk vlan 63 ZXR10(config-fei_1/1)#exit ZXR10(config)#interface vlan 63 ZXR10(config-if-vlan63)#ip address 63.0.0.1 255.255.255.0 ZXR10(config-if-vlan63)#mpls ip ZXR10(config-if-vlan63)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#switchport mode trunk ZXR10(config-fei_1/2)#switchport trunk vlan123 ZXR10(config-fei_1/2)#exit ZXR10(config)#interface vlan 123 ZXR10(config-if-vlan123)#ip address 123.0.0.1 255.255.255.0 ZXR10(config-if-vlan123)#mpls ip ZXR10(config-if-vlan123)#exit ZXR10(config)#mpls ip ZXR10(config)#mpls ldp router-id loopback1 force ZXR10(config)#router ospf 1 ZXR10(config-router)#network 63.0.0.0 0.0.0.255 area 0 ZXR10(config-router)#network 123.0.0.0 0.0.0.255 area 0 ZXR10(config-router)#redistribute connect ZXR10(config-router)#end PE2的配置： ZXR10(config)#ip vrf vpn1 16-10 SJ-20100901084759-002 | 2011-02-10(R1.0) 16 MVCE 配 置 ZXR10(config-vrf)#rd 100:1 ZXR10(config-vrf)#route-target export 100:1 ZXR10(config-vrf)#route-target import 100:1 ZXR10(config-vrf)#exit ZXR10(config)#ip vrf vpn2 ZXR10(config-vrf)#rd 100:2 ZXR10(config-vrf)#route-target export 100:2 ZXR10(config-vrf)#route-target import 100:2 ZXR10(config-vrf)#exit ZXR10(config)#interface loopback1 ZXR10(config-loopback1)#ip address 4.4.4.4 255.255.255.255 ZXR10(config-loopback1)#exit ZXR10(config)#interface loopback2 ZXR10(config-loopback2)#ip vrf forwarding vpn2 ZXR10(config-loopback2)#ip address 4.4.4.5 255.255.255.255 ZXR10(config-loopback2)#exit ZXR10(config)#interface loopback3 ZXR10(config-loopback3)#ip vrf forwarding vpn1 ZXR10(config-loopback3)#ip address 4.4.4.6 255.255.255.255 ZXR10(config-loopback3)#exit ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#switchport mode trunk ZXR10(config-fei_1/1)#switchport trunk vlan 98 ZXR10(config-fei_1/1)#exit ZXR10(config)#interface vlan 98 ZXR10(config-if-vlan98)#ip vrf forwarding vpn1 ZXR10(config-if-vlan98)#ip address 98.1.23.1 255.255.255.0 ZXR10(config-if-vlan98)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#switchport mode trunk ZXR10(config-fei_1/2)#switchport trunk vlan136 ZXR10(config-fei_1/2)#exit ZXR10(config)#interface vlan 136 ZXR10(config-if-vlan136)#ip vrf forwarding vpn2 ZXR10(config-if-vlan136)#ip address 136.10.7.1 255.255.255.0 SJ-20100901084759-002 | 2011-02-10(R1.0) 16-11 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） ZXR10(config-if-vlan136)#exit ZXR10(config)#interface fei_1/3 ZXR10(config-fei_1/3)#switchport mode trunk ZXR10(config-fei_1/3)#switchport trunk vlan 63 ZXR10(config-fei_1/3)#exit ZXR10(config)#interface vlan 123 ZXR10(config-if-vlan123)#ip address 123.0.0.1 255.255.255.0 ZXR10(config-if-vlan123)#mpls ip ZXR10(config-if-vlan123)#exit ZXR10(config)#mpls ip ZXR10(config)#mpls ldp router-id loopback1 force ZXR10(config)#router ospf 1 ZXR10(config-router)#network 123.0.0.0 0.0.0.255 area 0 ZXR10(config-router)#redistribute connect ZXR10(config-router)#exit ZXR10(config)#router ospf 2 vrf vpn1 ZXR10(config-router)#network 98.1.23.0 0.0.0.255 area 0 ZXR10(config-router)#redistribute connect ZXR10(config-router)#redistribute bgp-int ZXR10(config-router)#redistribute bgp-ext ZXR10(config-router)#exit ZXR10(config)#router ospf 3 vrf vpn2 ZXR10(config-router)#network 136.10.7.0 0.0.0.255 area 0 ZXR10(config-router)#redistribute connect ZXR10(config-router)#redistribute bgp-int ZXR10(config-router)#redistribute bgp-ext ZXR10(config-router)#exit ZXR10(config)#router bgp 100 ZXR10(config-router)#neighbor 3.3.3.3 remote-as 100 ZXR10(config-router)#neighbor 3.3.3.3 update-source loopback1 ZXR10(config-router)#neighbor 3.3.3.3 activate 16-12 SJ-20100901084759-002 | 2011-02-10(R1.0) 16 MVCE 配 置 ZXR10(config-router)#address-family vpnv4 ZXR10(config-router-af)#neighbor 3.3.3.3 activate ZXR10(config-router-af)#exit ZXR10(config-router)#address-family ipv4 vrf vpn2 ZXR10(config-router-af)#redistribute ospf-int ZXR10(config-router-af)#redistribute ospf-ext ZXR10(config-router-af)#exit ZXR10(config-router)#address-family ipv4 vrf vpn2 ZXR10(config-router-af)#redistribute ospf-int ZXR10(config-router-af)#redistribute ospf-ext ZXR10(config-router-af)#redistribute connect ZXR10(config-router-af)#exit CE2的配置： ZXR10(config)#ip vrf vpn1 ZXR10(config-vrf)#rd 200:100 ZXR10(config-vrf)#exit ZXR10(config)#ip vrf vpn2 ZXR10(config-vrf)#rd 201:101 ZXR10(config-vrf)#exit ZXR10(config)#interface loopback1 ZXR10(config-loopback1)#ip vrf forwarding vpn1 ZXR10(config-loopback1)#ip address 20.20.1.1 255.255.255.255 ZXR10(config-loopback1)#exit ZXR10(config)#interface loopback2 ZXR10(config-loopback2)#ip vrf forwarding vpn2 ZXR10(config-loopback2)#ip address 20.20.2.2 255.255.255.255 ZXR10(config-loopback2)#exit ZXR10(config)#interface fei_1/1 ZXR10(config-fei_1/1)#switchport mode trunk ZXR10(config-fei_1/1)#switchport trunk vlan 98 ZXR10(config-fei_1/1)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#switchport mode trunk ZXR10(config-fei_1/2)#switchport trunk vlan 136 SJ-20100901084759-002 | 2011-02-10(R1.0) 16-13 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） ZXR10(config-fei_1/2)#exit ZXR10(config)#interface fei_1/8 ZXR10(config-fei_1/8)#switchport access vlan 192 ZXR10(config-fei_1/8)#exit ZXR10(config)#interface fei_1/9 ZXR10(config-fei_1/9)#switchport access vlan 198 ZXR10(config-fei_1/9)#exit ZXR10(config)#interface vlan98 ZXR10(config-if-vlan98)#ip vrf forwarding vpn1 ZXR10(config-if-vlan98)#ip address 98.1.23.2 255.255.255.0 ZXR10(config-if-vlan98)#exit ZXR10(config)#interface vlan36 ZXR10(config-if-vlan36)#ip vrf forwarding vpn2 ZXR10(config-if-vlan36)#ip address 136.10.7.2 255.255.255.0 ZXR10(config-if-vlan36)#exit ZXR10(config)#interface vlan198 ZXR10(config-if-vlan198)#ip vrf forwarding vpn2 ZXR10(config-if-vlan198)#ip address 198.9.3.2 255.255.255.0 ZXR10(config-if-vlan198)#exit ZXR10(config)#interface vlan192 ZXR10(config-if-vlan192)#ip vrf forwarding vpn1 ZXR10(config-if-vlan192)#ip address 192.7.5.2 255.255.255.0 ZXR10(config-if-vlan192)#exit ZXR10(config)#router ospf 1 vrf vpn1 ZXR10(config-router)#redistribute connect ZXR10(config-router)#network 98.1.23.0 0.0.0.255 area 0 ZXR10(config-router)#network 192.7.5.0 0.0.0.255 area 0 ZXR10(config-router)#exit ZXR10(config)#router ospf 2 vrf vpn2 ZXR10(config-router)#network 136.10.7.0 0.0.0.255 area 0 ZXR10(config-router)#network 198.9.3.0 0.0.0.255 area 0 ZXR10(config-router)#end 16-14 SJ-20100901084759-002 | 2011-02-10(R1.0) 16 MVCE 配 置 VPN3的配置： ZXR10(config)#router ospf 1 ZXR10(config-router)#network 192.7.5.0 0.0.255.255 area 0 ZXR10(config-router)#end VPN4的配置： ZXR10(config)#router ospf 1 ZXR10(config-router)#network 198.9.3.0 0.0.255.255 area 0 ZXR10(config-router)#end 16.4 MVCE的维护与诊断 ZXR10 3900E提供了一些察看MVCE功能工作状态的命令，常见的维护命令如下。 1. 检查网络连通性。 ZXR10#ping [ vrf < vrf-name>]< ip-address> 2. 检查VPN网络中的连通性。 在VPN环境中ping的使用略有不同，下面的例子在MVCE1上ping VPN1的地址，必须 指定VRF： ZXR10#ping vrf test1 10.1.1.2 sending 5,100-byte ICMP echos to 10.1.1.2,timeout is 2 seconds. !!!!! Success rate is 100 percent(5/5),round-trip min/avg/max= 0/4/20 ms. 3. 查看VRF的信息。 ZXR10#show ip vrf < vrf-name> 查看MVCE1上的VRF信息： ZXR10#show ip vrf 4. test1 Name Default RD Interfaces test1 100:1 vlan 10 查看VRF接口状态和信息。 ZXR10#show ip vrf interface 5. 查看VRF接口状态和信息。 SJ-20100901084759-002 | 2011-02-10(R1.0) 16-15 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 查看MVCE1上的VRF接口的状态和信息： ZXR10#show ip vrf interfaces 6. interface IP-Address VRF Protocol vlan 10 10.1.1.1 test1 up 查看VRF路由表，是否有正确的路由。 ZXR10#show ip route vrf < vrf-name> 查看MVCE1上的VRF路由表： ZXR10#show ip route vrf test1 IPv4 Routing Table: Dest Mask Gw Interface Owner pri metric 10.1.1.0 255.255.255.0 10.1.1.1 vlan10 direct 10.1.1.1 255.255.255.255 10.1.1.1 vlan10 address 100.1.1.1 255.255.255.255 10.1.1.1 vlan 10 bgp 7. 0 0 0 0 20 0 查看邻居连接状态。 用于查看运行于VRF内的路由协议的邻居状态信息。 查看MVCE2之间的OSPF邻接情况，必须指定OSPF进程号： ZXR10#show ip ospf neighbor process 2 Neighbor 200.1.1.1 In the area 0.0.0.0 via interface fei_3/2.10 10.10.10.2 State FULL, priority 1, Cost 1 Retransmit 0, DD 0, LS Req 0 Neighbor is DR Queue count : Dead time : 00:00:37 查看MVCE1建立EBGP连接的情况： ZXR10#show ip bgp summary BGP router identifier 10.1.1.2, local AS number 200 BGP table version is 8, main routing table version 8 16-16 Neighbor V AS MsgRcvd MsgSent 10.1.1.1 100 4 156 157 TblVer 8 InQ OutQ Up/Down 0 0 State/PfxRcd 01:16:48 3 SJ-20100901084759-002 | 2011-02-10(R1.0) 17 安全性配置 本章包含如下主题： Ÿ IP Source Guard 17-1 Ÿ 控制平面安全配置 17-3 Ÿ DAI配置 17-6 Ÿ MFF配置 17-8 17.1 IP Source Guard 17.1.1 IP Source Guard概述 IP Source Guard是基于DHCP SNOOPING 的一个应用，通过构造DHCP SNOOPING 绑定 数据库的同时，将动态用户信息（IP，MAC）记录下来。启用该功能后，用户只能使用 DHCP 服务器动态分配的地址访问外网。这样就防止用户使用其它IP 进行欺骗行为。 17.1.2 配置IP Source Guard 配置IP Source Guard，使用no命令删除IP Source Guard配置。 步骤 命令 功能 1 ZXR10(config-fei_1/x)#ip dhcp snooping ip-source-guard { 进行端口的IP Source Guard配置 ip-base| mac-base| mac-ip-base } [ vlan { default | < vlan-id> } ] 2 ZXR10(config-fei_1/x)#no ip dhcp snooping ip-source-guard 删除端口的IP Source Guard配置 17.1.3 IP Source Guard配置实例 17.1.3.1 基于IP地址的IP Source Guard配置 如图17-1所示，DHCP服务器连接交换机R1的fei_1/1端口，管理DHCP是管理员设置的， fei_1/1属于vlan100。在交换机上的vlan100中起DHCP snooping功能，并把fei_1/1口配置为 信任端口。PC连接交换机的fei_1/2端口，fei_1/2也属于vlan100。 SJ-20100901084759-002 | 2011-02-10(R1.0) 17-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 图17-1 IP SOURCE GUARD配置 在fei_1/2端口模式下，配置基于IP地址的IP Source Guard配置。PC机动态获取IP地址后， 将只能通过源IP地址为DHCP服务器分配的地址的数据报文。 R1的配置： ZXR10(config)#ip dhcp snooping enable ZXR10(config)#ip dhcp snooping vlan 100 ZXR10(config)#ip dhcp snooping trust fei_1/1 ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#ip dhcp snooping ip-source-guard ip-base 17.1.3.2 基于MAC地址的IP Source Guard配置 如图17-2所示，DHCP服务器连接交换机R1的fei_1/1端口，管理 DHCP是管理员设置 的，fei_1/1属于vlan100。在交换机上的vlan100中起DHCP snooping功能，并把fei_1/1口配 置为信任端口。PC连接交换机的fei_1/2端口，fei_1/2也属于vlan100。 图17-2 IP Source Guard配置 在fei_1/2端口模式下，配置基于MAC地址的IP Source Guard配置。PC机动态获取IP地址 后，将只能通过源MAC地址为本机网卡的MAC地址的数据报文。 R1的配置： ZXR10(config)#ip dhcp snooping enable ZXR10(config)#ip dhcp snooping vlan 100 ZXR10(config)#ip dhcp snooping trust fei_1/1 ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#ip dhcp snooping ip-source-guard mac-base 17-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 17 安 全 性 配 置 17.1.3.3 基于IP和MAC地址的IP Source Guard配置 如图17-3所示，DHCP服务器连接交换机R1的fei_1/1端口,管理 DHCP是管理员设置的， fei_1/1属于vlan100。在交换机上的vlan100中起DHCP snooping功能，并把fei_1/1口配置为 信任端口。PC连接交换机的fei_1/2端口，fei_1/2也属于vlan100。 图17-3 IP Source Guard配置 在fei_1/2端口模式下，配置基于MAC地址的IP Source Guard配置。PC机动态获取IP地址 后，将只能通过源MAC地址为本机网卡的MAC地址，并且源IP地址为DHCP服务器分配 的地址的数据报文。 R1的配置： ZXR10(config)#ip dhcp snooping enable ZXR10(config)#ip dhcp snooping vlan 100 ZXR10(config)#ip dhcp snooping trust fei_1/1 ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#ip dhcp snooping ip-source-guard mac-ip-base 17.2 控制平面安全配置 17.2.1 控制平面安全概述 英特网的普及和IP技术的普遍应用正在为世界带来日新月异的变化。随着IP网络日益深 入人们的工作生活并发挥重要作用，网络入侵、攻击和病毒案例也日渐频繁，给人们带 来的很多可见和不可见的损失。以往的网络攻击和病毒多以PC或者服务器主机为主要攻 击对象，但现在随着终端用户防病毒意识和能力的日益提高以及病毒制造者技术能力的 日益增强，像路由器、交换机等网络设备也成为病毒攻击的对象。 在交换机上可以根据已知的或可以预测的攻击和病毒，采取多种措施予以防范，使交 换机能具有自我保护和保障网络安全的能力。控制平面安全的主要功能是对一些报文的 上送速率进行监控，对异常速率上送的报文进行告警，提醒网管注意可能存在报文攻击 CPU，以便网管可以根据情况决定是否将该端口下该种报文丢弃或限制速率。并且可以 过滤掉不合理的报文。 SJ-20100901084759-002 | 2011-02-10(R1.0) 17-3 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 17.2.2 控制平面安全命令配置 1. 控制平面安全功能使能或关闭。 命令 功能 ZXR10(config)#control-plane-security { enable | disable} 该命令是控制平面安全功能的全局开 关，用来打开或关闭控制平面安全功 能，缺省是使能的 2. 协议报文丢弃或通过。 命令 功能 ZXR10(config-fei_1/x)#protocol-protect mode < protocolname> { enable 协议报文（通过/丢弃） | disable} 该命令是在端口模式下配置，配置完以后，修改的是某个物理端口下，某种协议报 文是否被丢弃，对于端口模式是NNI（网络侧）的端口，对所有可配置的协议报文缺 省是enable，而端口模式是UNI（用户侧）的端口根据协议报文不同缺省值也不同， 可通过show命令查看其缺省值。 3. 配置协议报文的告警门限值。 命令 功能 ZXR10(config-fei_1/x)#protocol-protect alarm mode < protocol name>配置某种协议报文30秒的告警门限< alarm-limit > alarm-limit 范围<1000-18000> 该命令也是在端口模式下配置，修改某个物理端口下某种协议报文的告警门限值， 当30秒内特定协议报文的数量超过这个门限时，则向用户发出一条告警信息，缺省 值为3000。 4. 配置协议报文通过的峰值/平均速率。 命令 功能 ZXR10(config-fei_1/x)#protocol-protect { peak-rate | average-rate} 配置某种协议报文通过的峰值/平均速率 mode < protocol name>< rate-limit > 该命令用于配置对应端口上对应协议报文的峰值速率或平均速率，单位是pps，峰值 速率可设置范围为100~1000，缺省值为300，平均速率可设置范围为10~600，缺省值 为100。 5. 17-4 配置端口类型。 SJ-20100901084759-002 | 2011-02-10(R1.0) 17 安 全 性 配 置 命令 功能 ZXR10(config-fei_1/x)#protocol-protect type { nni | uni} 配置某端口类型为用户侧（uni）端口 或网络侧端口（nni） 该命令用于配置某端口的角色类型，有uni和nni两种类型，缺省值为nni。 以上命令支持的协议包括：PIM，IGMP，ICMP，ARPREPLY，ARPREQUEST， UDLD，GROUP MNG，VBASE，LLDP，DHCP，LACP，BPDU，SNMP，NA， NA，RA，RS。 当协议报文设置丢弃时，报文即使上送到MUX模块会被该模块丢弃，无法上传平 台，最终协议报文会被丢弃而无法冲击平台。当控制平面安全模块发现某种协议报 文上送平台速度过快的时候，该模块会发出告警提醒用户可能存在某种协议报文对 CPU的攻击，当看到这条告警以后，可以通过配置协议报文丢弃或限速来防止攻击 对CPU的伤害。 说明： 对某些协议配置协议报文丢弃后会使相应的业务失效。 17.2.3 控制平面安全配置实例 1. 配置端口的ARP协议通过，并且设定告警门限值为2500。 ZXR10#conf t ZXR10(config)#inter fei_1/1 ZXR10(config-fei_1/1)#protocol-protect mode arp enable ZXR10(config-fei_1/1)#protocol-protect alarm mode arp 2500 2. 配置端口的ICMP协议通过的峰值速率和平均速率。 ZXR10#conf t ZXR10(config)#inter fei_1/1 ZXR10(config-fei_1/1)#protocol-protect peak-rate mode icmp 500 ZXR10(config-fei_1/1)#protocol-protect average-mode mode icmp 250 17.2.4 控制平面安全的维护与诊断 ZXR10 3900E提供了show命令来帮助进行维护与诊断。以下是控制平面安全的维护与诊 断过程中常用的命令。 SJ-20100901084759-002 | 2011-02-10(R1.0) 17-5 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 步骤 命令 功能 1 ZXR10(config)#show protocol-protect packet-config < 查看某端口的角色以及该端口上协 interfacename> 议报文的配置和接收统计情况 ZXR10(config)#show protocol-protect token-buckets < 查看某端口上协议报文接收的速率 interfacename> 配置及统计情况 ZXR10#clear protocol-protect { packets-count | buckets-count} < 把某端口上报文统计计数都清零 2 3 interfacename> 17.3 DAI配置 17.3.1 DAI概述 网络中基于ARP的攻击经常发生，交换机上面DHCP SNOOPING模块，实现了DAI (Dynamic ARP Inspection)功能，但是这个功能有限。 目前我们实现的DAI功能，只对交换机学习的ARP报文，去检查DHCP snooping里面的绑 定表，也就是说只能检查到3层的用户。 如果交换机下面的用户在同一广播域，用户之间的通讯只需要交换机做二层转发、不需 要三层转发，交换机不需要学习这些用户的ARP报文、因此就没有相关的安全检查，这 是一个很大的安全漏洞，容易导致中间人攻击，如图17-4所示。 图17-4 中间人攻击 A/B/C都在同一广播域，也就是同一网段。 A和B在互相通讯的时候，先发ARP报文， C都能学习到。C如果充当中间人做恶意扫描，只要给A发免费ARP、告知B的IP对应的 MAC已经更新为C的，A→B的流量就直接到C了；同理也可以把B→A的流量拉到C上。 C在对报文做恶意扫描检查后，修改一下目的MAC为真实的B或者A的MAC返回给交换 机即可， A和B之间的流量就可以正常转发没有察觉，C就达到了中间人攻击的目的。 为避免这个漏洞，需要检查所有的ARP报文， 符合条件的再软件转发，丢弃检查失败的 ARP报文。 17-6 SJ-20100901084759-002 | 2011-02-10(R1.0) 17 安 全 性 配 置 基于该需求，增加以下防范常见ARP攻击的方法： 1. 对非信任端口，DAI拦截所有的ARP报文送上层软件检查。 2. ARP报文送CPU的速率可配置。 3. 在使能DHCP SNOOP的情况下，检查二层头的IP和MAC、端口的对应关系，非法用 户丢弃。 DAI根据存储在信任数据库中IP和MAC地址的绑定关系检测ARP报文，在VLAN的DHCP snooping 属性打开的情况下，数据库由DHCP snooping创建。如果ARP报文是从一个信任 端口收到的，交换机不需要任何检测，直接转发包。如果ARP报文是从一个非信任端口 收到的，交换机只转发有效的ARP报文。 17.3.2 配置DAI 步骤 命令 功能 1 ZXR10(config-fei_1/x)#ip arp inspection trust 配置接口的可信任属性 2 ZXR10(config-smartgroupX)#ip arp inspection trust 配置Smartgroup接口的可信任属性 3 ZXR10(config)#ip arp inspection validate { [ des-mac] [ ip] [ src-mac] 配置全局的ARP有效性检测功能 } 4 ZXR10(config-fei_1/x)#ip arp inspection limit < 1-100> 配置接口的限速速率 对非信任端口，默认值为15pps 对信任端口，ARP报文不限速 5 ZXR10(config-vlanX)#ip arp inspection 配置VLAN的DAI使能命令 17.3.3 DAI的维护与诊断 ZXR10 3900E提供了show命令来帮助进行维护与诊断。以下是DAI的维护与诊断过程中 常用的命令。 命令 功能 ZXR10#show ip arp inspection { interface interface_name} 显示接口的可信任属性信息 ZXR10#show ip arp inspection configure 显示ARP报文的有效性检查信息 ZXR10#show ip arp inspection vlan [ { < 1-4094> | disable | enable | name 显示VLAN的DAI配置信息 vlan_name} ] 17.3.4 DAI配置实例 如图17-5所示，在交换机上配置vlan2，运行DAI功能。 SJ-20100901084759-002 | 2011-02-10(R1.0) 17-7 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 图17-5 DAI配置实例 前提：vlan 2的DHCP snooping 功能打开。 ZXR10(config)#ip dhcp snooping enable ZXR10(config)#ip dhcp snooping vlan 2 在交换机A上配置vlan 2，开启DAI功能。 ZXR10(config-vlan2)#ip arp inspection 将fei_1/1、fei_1/2捆绑到vlan 2。 fei_1/1设为非信任接口（默认属性即为非信任接口）。主机A向交换机发送的合法的ARP 报文（合法的ARP报文：同DHCP绑定表中IP + 端口 + MAC一致）在VLAN内软件广播, 主机B可以收到ARP报文。不合法报文则丢弃，不进行转发，主机B收不到ARP报文。 若将fei_1/1设为信任接口，主机A向交换机发ARP包，无论是合法的还是非法的ARP报 文，交换机向捆绑到vlan1中所有接口硬件转发ARP包，主机B可以接收到ARP报文。当 配置接口限速速率为X（1-100），则交换机每秒最多接收X个ARP包，多余的丢弃。 17.4 MFF配置 17.4.1 MFF概述 MFF（MAC-Forced Forwarding）主要是在同一个广播域中实现不同客户端主机之间的二 层隔离和三层互通。MFF截获用户的ARP请求报文，通过ARP代答机制，回复网关MAC 地址的ARP应答报文。通过这种方式，可以强制用户将所有流量（包括同一子网内的流 17-8 SJ-20100901084759-002 | 2011-02-10(R1.0) 17 安 全 性 配 置 量）发送到网关，使网关可以监控数据流量，防止用户之间的恶意攻击，能更好的保障 网络部署的安全性。 MFF支持手动模式和自动模式。手动模式应用于用户静态配置IP地址的场景中，自动方 式应用于用户通过DHCP协议动态获取IP地址的场景中。 17.4.2 配置MFF 1. 设置MFF模式。 步骤 命令 功能 1 ZXR10(config)#mff mode { auto | manus} 配置MFF自动模式或手动模式 2 ZXR10(config)#no mff mode 取消MFF模式配置 2. 使能MFF功能。 步骤 命令 功能 1 ZXR10(config-if-vlan1)#mff enable 开启VLAN接口下的MFF功能 2 ZXR10(config-if-vlan1)#no mff mode 关闭MFF接口下的MFF功能 3. 配置MFF接口类型。 步骤 命令 功能 1 ZXR10(config-fei_1/x)#set mff { user-port | network-port} 设置二层物理接口为MFF用户接口 或者网络接口 2 ZXR10(config-fei_1/x)#no set mff 4. 取消MFF接口类型配置 配置MFF网关IP地址。 步骤 命令 功能 1 ZXR10(config-if-vlan1)#set mff gateway ip < A.B.C.D> 手动模式下配置VLAN下的MFF网 关IP地址 2 ZXR10(config-if-vlan1)#no set mff gateway ip 5. 取消MFF网关IP配置 静态配置MFF用户。 步骤 命令 功能 1 ZXR10(config)#mff user < A.B.C.D>< H.H.H>vlan< 1-4094> 手动模式下静态配置MFF 用户 gateway < A.B.C.D > 2 ZXR10(config)#no mff user < A.B.C.D>vlan< 1-4094> 6. 清除静态配置的MFF用户 使能MFF网关MAC地址探测功能。 SJ-20100901084759-002 | 2011-02-10(R1.0) 17-9 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 步骤 命令 功能 1 ZXR10(config)#mff gateway detect enable 开启MFF网关MAC地址探测功能 2 ZXR10(config)#mff gateway detect disable 关闭MFF网关MAC地址探测功能 17.4.3 MFF配置实例 如图17-6所示，路由器R1为MFF网关。PC1通过DHCP获取IP地址。Switch配置了DHCP Snooping以及MFF。 图17-6 自动模式基本MFF功能配置实例 Switch的MFF配置： ZXR10(config)#mff mode auto ZXR10(config)#mff gateway detect enable ZXR10(config)#interface vlan 1 ZXR10(config-if-vlan1)#mff enable ZXR10(config-if-vlan1)#exit ZXR10(config)#interface fei_1/2 ZXR10(config-fei_1/2)#set mff network-port ZXR10(config-fei_1/2)#exit ZXR10(config)#interface fei_1/4 ZXR10(config-fei_1/4)#set mff user-port 17-10 SJ-20100901084759-002 | 2011-02-10(R1.0) 17 安 全 性 配 置 17.4.4 MFF的维护和诊断 当MFF遇到问题时，我们可以通过相关的调试命令来帮助定位故障，排除错误，其中用 到的命令主要是与其相关的show命令。 1. 显示MFF的全局配置信息。 ZXR10#show mff configure 示例：手动模式下的全局配置信息。 ZXR10#show mff configure MFF Mode :manus MFF Gateway MAC detecting 2. :disable 显示MFF的VLAN下的配置信息。 ZXR10#show mff vlan < vlan-id> 示例：手动模式下指定VLAN的配置信息。 ZXR10#show mff vlan 1 MFF function: enable MFF gateway ip: 10.40.20.1 3. 显示MFF的物理接口下的配置信息。 ZXR10#show mff interface [ < interface-name> ] 如果带接口名将显示指定接口的配置信息；如果不加参数将显示所有开启MFF功能 的配置信息。 示例：显示指定接口的配置信息。 ZXR10#show mff interface fei_1/1 4. Interface MFF Type ------------- ------------- fei_1/1 Network port 显示MFF对应关系表。 ZXR10#show mff-table [ vlan < vlan-id> [ A.B.C.D] ] 使用说明： a. 如果没有可选项，则显示所有的MFF对应关系条目。 b. 如果增加VLAN可选项，则显示该VLAN下的MFF对应关系条目。 SJ-20100901084759-002 | 2011-02-10(R1.0) 17-11 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 17-12 c. 如果增加VLAN和用户IP地址选项，则显示特定的用户的MFF对应关系条目。 d. 命令显示信息说明： 信息 描述 IP Address 用户的IP地址 Type 表项类型 Hardware Address 用户的MAC地址 VlanID 用户的VLAN标识 SJ-20100901084759-002 | 2011-02-10(R1.0) 18 M_button功能 本章包含如下主题： Ÿ M_button功能介绍 18-1 Ÿ M_button功能模式切换 18-2 18.1 M_button功能介绍 M_button功能是利用面板指示灯，为用户提供某些关键统计数据的显示功能和关键事件 的指示功能，方便用户更加方便直观的维护我们的设备。 M_button功能主要包括以下模式： 1. LINK模式（LINK）：在本模式下，端口灯显示端口的LINK/ACT状态。LINK则绿 灯亮，有流量时绿灯闪；非LINK则灯熄灭。 2. SPEED模式（SPD）：在本模式下，端口灯显示端口的当前速率。如果端口速率和端 口默认速率一致则绿灯亮；如果不一致则黄灯亮。 3. DUPLEX模式（DUP）：在本模式下，端口灯显示双工状态。如果端口处于全双工 状态，则绿灯亮；如果端口处于半双工状态，则黄灯亮。 4. STA模式（STAT）：在本模式下，端口灯显示STP状态。如果端口的STP状态是 Forward，则绿灯亮；如果端口的STP状态是Disable，则灯灭；其它状态，则黄灯亮。 STA状态是取的端口在实例0（默认端口）里的状态。 5. CPU利用率模式（CPU%）：在本模式下，端口灯显示设备当前的CPU利用率。3928E 和3928E-FI设备利用端口1～20的指示灯来显示，每个端口表示5%；3952E设备利用 主控上的端口1～16的指示灯来显示，每个端口表示6.25%。 6. 内存利用率模式（MEM%）：在本模式下，端口灯显示设备当前的内存利用率。 3928E和3928E-FI设备利用端口1～20的指示灯来显示，每个端口表示5%；3952E设备 利用主控上的端口1～16的指示灯来显示，每个端口表示6.25%。 7. 上行口出带宽占用率模式（↑BW%）：在本模式下，端口灯显示设备当前的上行口 出带宽的带宽占用率，以上行口当前的速率为基准。3928E和3928E-FI设备利用端口 1～20的指示灯来显示，每个端口表示5%；3952E设备利用主控上的端口1～16的指示 灯来显示，每个端口表示6.25%。 SJ-20100901084759-002 | 2011-02-10(R1.0) 18-1 ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 8. 上行口入带宽占用率模式（↓BW%）：在本模式下，端口灯显示设备当前的上行口 入带宽的带宽占用率，以上行口当前的速率为基准。3928E和3928E-FI设备利用端口 1～20的指示灯来显示，每个端口表示5%；3952E设备利用主控上的端口1～16的指示 灯来显示，每个端口表示6.25%。 9. PING网管中心模式（PING）：在本模式下，用前5盏端口灯来指示。设备会向网管 中心发5个ICMP包，对于每个ICMP包，如果收到正确的回复，则点对应的灯为绿 灯；如果没有收到正确的回复，则点对应的灯为黄灯。5盏灯都亮完后，熄灭，20秒 后进行下一次PING流程；如果没有配置网管地址，则5盏灯同时亮黄灯，然后熄灭， 20秒后进行下一次PING流程。 10. CRC端口显示模式（CRC）：在本模式下，端口灯指示有CRC错误。如果端口有 CRC错误帧统计，则黄灯亮；否则灯灭。 11. STORM端口显示模式（STORM）：在本模式下，端口灯指示风暴端口。如果端口 是风暴端口，则黄灯亮；否则灯灭。 12. NoMAC端口显示模式（NoMAC）：在本模式下，端口灯指示是否学习到MAC。如 果端口没有学习到MAC，则黄灯亮；否则灯灭。本模式支持trunk，如果trunk口学到 MAC，则trunk中active的端口的灯是灭的。 18.2 M_button功能模式切换 1. 面板上有一个模式按钮，按一下，下一个模式（按前一节所述的顺序）对应的指示 灯开始闪烁，闪2秒，共闪6～7次，如果在2秒时间内，用户没有再按按钮，模式灯 熄灭，真正进入该模式，执行该模式的功能；如果在2秒时间内，用户再次按模式按 钮，则跳入下一个模式，下一个模式的指示灯开始闪烁，同样等待2秒，依次类推。 2. 如果一直处于某个模式，3分钟内没有按模式按钮，则自动退出该模式，返回LINK 模式；如果有按键，跳到下一个模式，对应的模式灯开始闪，如1所述。 3. LINK、SPD、DUP、STAT模式下，状态均是实时更新；PING模式下，每20秒执行 一次PING过程；其他模式下，每3秒更新对应状态。 18-2 SJ-20100901084759-002 | 2011-02-10(R1.0) 图目录 图2-1 ZXR10 3900E配置方式 ................................................................................ 2-1 图2-2 超级终端连接.............................................................................................. 2-2 图2-3 位置信息 ..................................................................................................... 2-2 图2-4 新建连接 ..................................................................................................... 2-3 图2-5 连接配置资料.............................................................................................. 2-3 图2-6 端口属性配置设置....................................................................................... 2-4 图2-7 运行telnet ...................................................................................................... 2-5 图2-8 Telnet登录示意图 ........................................................................................ 2-5 图2-9 设置SSH服务器的IP地址和端口号 ............................................................... 2-7 图2-10 设置SSH的版本号 ...................................................................................... 2-8 图3-1 WFTPD界面 ................................................................................................ 3-4 图3-2 User/Rights安全设置对话框 ......................................................................... 3-5 图3-3 TFTPD界面 ................................................................................................. 3-5 图3-4 Configure对话框 .......................................................................................... 3-6 图4-1 端口镜像示例.............................................................................................. 4-9 图4-2 端口RSPAN镜像示例 ................................................................................ 4-10 图4-3 端口环回检测示例..................................................................................... 4-12 图6-1 ACL应用在物理端口和VLAN虚端口 ............................................................ 6-2 图6-2 ACL配置实例 ............................................................................................ 6-10 图7-1 流量监管工作流程....................................................................................... 7-2 图7-2 QoS典型配置实例 ..................................................................................... 7-12 图7-3 策略路由配置实例..................................................................................... 7-13 图8-1 DHCP服务器配置...................................................................................... 8-15 图8-2 DHCP中继配置 ......................................................................................... 8-16 图8-3 DHCP snooping防虚假DHCP服务器配置 .................................................... 8-17 图8-4 DHCP snooping防静态IP设置配置 .............................................................. 8-18 图9-1 基本VRRP配置实例 .................................................................................... 9-3 I ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） 图9-2 对称VRRP配置实例 .................................................................................... 9-4 图10-1 NTP配置实例 .......................................................................................... 10-2 图11-1 dot1x Radius认证应用 ............................................................................... 11-6 图11-2 dot1x中继认证应用 .................................................................................. 11-8 图12-1 集群管理组网图....................................................................................... 12-2 图12-2 交换机角色切换规则 ............................................................................... 12-3 图12-3 集群管理配置实例 ................................................................................... 12-6 图15-1 ZESR配置实例 ........................................................................................ 15-5 图15-2 ZESR+与ZESR混合组网拓扑图 ............................................................... 15-9 图16-1 MVCE配置实例 ....................................................................................... 16-5 图17-1 IP SOURCE GUARD配置 ........................................................................ 17-2 图17-2 IP Source Guard配置 ................................................................................. 17-2 图17-3 IP Source Guard配置 ................................................................................. 17-3 图17-4 中间人攻击.............................................................................................. 17-6 图17-5 DAI配置实例 ........................................................................................... 17-8 图17-6 自动模式基本MFF功能配置实例 .............................................................17-10 II 表目录 表2-1 命令模式 ..................................................................................................... 2-9 表2-2 调用历史命令操作..................................................................................... 2-12 表5-1 各类IP地址范围........................................................................................... 5-1 III 缩略语表 AAA - Authentication, Authorization and Accounting , 鉴权、授权及计费 ARP - Address Resolution Protocol , 地址解析协议 BAS - Broadband Access Server , 宽带接入服务器 BOOTP - BOOTstrap Protocol , 引导程序协议 BRAS - Broadband Remote Access Server , 宽带远程接入服务器 CAC - Channel Access Control , 连接允许控制 CBS - Committed Burst Size , 可承诺最大信息帧大小 CIR - Committed Information Rate , 承诺信息速率 CoS - Class of Service , 服务类别 DHCP - Dynamic Host Configuration Protocol , 动态主机配置协议 DSCP - Differentiated Services Code Point , 差分服务编码点 DSLAM - Digital Subscriber Line Access Multiplexer , 数字用户线接入复用器 EAPOL - Extensible Authentication Protocol Over LAN , 基于局域网的扩展认证协议 EBS - Excess Burst Size , 超额突发数据量 V ZXR10 3900E系列 易维路由交换机 用户手册（基本配置分册） FTP - File Transfer Protocol , 文件传送协议 ICMP - Internet Control Message Protocol , Internet控制报文协议 IP - Internet Protocol , 因特网协议 IPTV - Internet Protocol Television , 网际协议电视 ISP - Internet Service Provider , 因特网业务提供者 OAM - Operation, Administration and Maintenance , 操作管理维护 ROS - Router Operating System , 路由器操作系统 SNMP - Simple Network Management Protocol , 简单网络管理协议 SP SSH - Secure Shell , 安全外壳 TELNET - Telecommunication Network Protocol , 远程登录协议 TFTP - Trivial File Transfer Protocol , 简单文件传送协议 VBAS - Virtual Broadband Access Server , 虚拟宽带接入服务器 WRR - Weighted Round Robin , 加权轮循 ZDP - ZTE Discovery Protocol , 中兴发现协议 ZESR - ZTE Ethernet Switch Ring , 中兴以太网交换环 ZTP - ZTE Topology Protocol , 中兴拓扑协议 VI