一、命令模式

锐捷网络设备管理界面分成若干不同的模式，用户当前所处的命令模式决定了可以使用的命令。在命令提示符下输入问号键（?）可以列出每个命令模式支持使用的命令。

下表列出了命令的模式、如何访问每个模式、模式的提示符、如何离开模式。这里假定网络设备的名字为缺省的“Ruijie”。命令模式概要：

命令模式 | 访问方法 | 提示符 | 离开或访问下一模式 | 关于该模式
User EXEC （用户模式） | 访问网络设备时首先进入该模式。 | Ruijie> | 输入exit命令离开该模式。 要进入特权模式，输入enable命令。 | 使用该模式来进行基本测试、显示系统信息
Privileged EXEC （特权模式） | 在用户模式下，使用enable命令进入该模式。 | Ruijie# | 要返回到用户模式，输入disable命令。 要进入全局配置模式，输入configure命令。 | 使用该模式来验证设置命令的结果。该模式是具有口令保护的。
Global configuration （全局配置模式） | 在特权模式下，使用configure命令进入该模式。 | Ruijie(config)# | 要返回到特权模式，输入exit命令或end命令，或者键入Ctrl+C组合键。 要进入接口配置模式，输入interface 命令。在interface命令中必须指明要进入哪一个接口配置子模式。 要进入VLAN配置模式，输入vlan vlan_id命令。 | 使用该模式的命令来配置影响整个网络设备的全局参数。
Interface configuration （接口配置模式） | 在全局配置模式下，使用interface命令进入该模式。 | Ruijie(config-if)# | 要返回到特权模式，输入end命令，或键入Ctrl+C组合键。要返回到全局配置模式，输入exit命令。在interface命令中必须指明要进入哪一个接口配置子模式。 | 使用该模式配置网络设备的各种接口。
Config-vlan （VLAN配置模式） | 在全局配置模式下，使用vlan vlan_id命令进入该模式。 | Ruijie(config-vlan)# | 要返回到特权模式，输入end命令，或键入Ctrl+C组合键。 要返回到全局配置模式，输入exit命令。 | 使用该模式配置VLAN参数。


1、获得帮助

用户可以在命令提示符下输入问号键（?）列出每个命令模式支持的命令。用户也可以列出相同开头的命令关键字或者每个命令的参数信息。见下表：

命令 | 作用
Help | 在任何命令模式下获得帮助系统的摘要描述信息。
abbreviated-command-entry? | 获得相同开头的命令关键字字符串。 例子： Ruijie# di? dir disable
abbreviated-command-entry<Tab> | 使命令的关键字完整。 例子： Ruijie# show conf<Tab> Ruijie# show configuration
? | 列出该命令的下一个关联的关键字。 例子： Ruijie# show ?
command keyword ? | 列出该关键字关联的下一个变量。 例子： Ruijie(config)# snmp-server community ? WORD SNMP community string


2、简写命令

如果想简写命令，只需要输入命令关键字的一部分字符，只要这部分字符足够识别唯一的命令关键字即可。

例如show configuration命令可以写成：

Ruijie# show conf


3、使用命令的no和default选项

几乎所有命令都有no选项。通常，使用no选项来禁止某个特性或功能，或者执行与命令本身相反的操作。例如接口配置命令no shutdown执行关闭接口命令shutdown的相反操作，即打开接口。使用不带no选项的关键字打开被关闭的特性或者打开缺省是关闭的特性。

配置命令大多有default选项，命令的default选项将命令的设置恢复为缺省值。大多数命令的缺省值是禁止该功能，因此在许多情况下default选项的作用和no选项是相同的。然而部分命令的缺省值是允许该功能，在这种情况下，default选项和no选项的作用是相反的。这时default选项打开该命令的功能，并将变量设置为缺省的允许状态。


4、理解CLI的提示信息

下表列出了用户在使用CLI管理网络设备时可能遇到的错误提示信息。

常见的CLI错误信息：

错误信息 | 含义 | 如何获取帮助
% Ambiguous command: "show c" | 用户没有输入足够的字符，网络设备无法识别唯一的命令。 | 重新输入命令，紧接着发生歧义的单词输入一个问号。可能输入的关键字将被显示出来。
% Incomplete command. | 用户没有输入该命令的必需的关键字或者变量参数。 | 重新输入命令，输入空格再输入一个问号。可能输入的关键字或者变量参数将被显示出来。
% Invalid input detected at ‘^’ marker. | 用户输入命令错误，符号（^）指明了产生错误的单词的位置。 | 在所在地命令模式提示符下输入一个问号，该模式允许的命令的关键字将被显示出来。


6、使用历史命令

系统提供了用户输入的命令的记录。该特性在重新输入长而且复杂的命令时将十分有用。

从历史命令记录重新调用输入过的命令，执行下表中的操作：

操作 | 结果
Ctrl-P或上方向键 | 在历史命令表中浏览前一条命令。从最近的一条记录开始，重复使用该操作可以查询更早的记录。
Ctrl-N或下方向键 | 在使用了Ctrl-P或上方向键操作之后，使用该操作在历史命令表中回到更近的一条命令。重复使用该操作可以查询更近的记录。

注意：标准的终端支持方向键，例如VT100系列


6、使用编辑特性

1）编辑快捷键

下表列出编辑快捷键：

功能 | 快捷键 | 说明
在编辑行内移动光标。 | 左方向键或Ctrl-B | 光标移到左边一个字符。
 | 右方向键或Ctrl-F | 光标移到右边一个字符。
 | Ctrl-A | 光标移到命令行的首部。
 | Ctrl-E | 光标移到命令行的尾部。
删除输入的字符。 | Backspace键 | 删除光标左边的一个字符。
 | Delete键 | 删除光标所在的字符。
输出时屏幕滚动一行或一页。 | Return键 | 在显示内容时用回车键将输出的内容向上滚动一行，显示下一行的内容，仅在输出内容未结束时使用。
 | Space键 | 在显示内容时用空格键将输出的内容向上滚动一页，显示下一页内容，仅在输出内容未结束时使用。

2）命令行滑动窗口

用户可以使用编辑功能中的滑动窗口特性，来编辑超过单行宽度的命令，使命令行的长度得以延伸。当编辑的光标接近右边框时，整个命令行会整体向左移动20个字符，但是仍然可以使光标回到前面的字符或者回到命令行的首部。

编辑命令行时光标移动操作如下表：

功能 | 快捷键
光标向左回退一个字符 | 左方向键或Ctrl-B
光标回到行首 | Ctrl-A
光标向右前进一个字符 | 右方向键或Ctrl-F
光标移动到行尾 | Ctrl-E

例如配置模式的命令mac-address-table static的输入可能超过一个屏幕的宽度。当光标第一次接近行尾时，整个命令行整体向左移动20个字符。命令行前部被隐藏的部分被符号（$）代替。每次接近右边界时都会向左移动20个字符长度。

mac-address-table static 00d0.f800.0c0c vlan 1

interface

$tatic 00d0.f800.0c0c vlan 1 interface fastEthernet

$tatic 00d0.f800.0c0c vlan 1 interface fastEthernet 0/1

可以使用Ctrl-A快捷键回到命令行的首部。这时命令行尾部被隐藏的部分将被符号（$）代替：

-address-table static 00d0.f800.0c0c vlan 1 interface $

注意：默认的终端行宽是80个字符。

使用命令行滑动窗口结合历史命令的功能，可以重复调用复杂的命令。具体的快捷键的使用方法查看编辑快捷键。


7、CLI输出信息的过滤和查找

1）Show命令的查找和过滤

要在show命令输出的信息中查找指定的内容，可以在使用以下命令：

 | 命令 | 作用
Step 1 | Ruijie# show any-command | begin regular-expression | 在show命令的输出内容中查找指定的内容，将第一个包含该内容的行以及该行以后的全部信息输出。

注意：

1）支持在任意模式下执行Show 命令

2）查找的信息内容需要区分大小写，以下相同

要在show命令的输出信息中过滤指定的内容，可以使用以下命令：

 | 命令 | 作用
Step 1 | Ruijie# show any-command |exclude regular-expression | 在show命令的输出内容中进行过滤，除了包含指定内容的行以外，输出其他的信息内容。
Step 2 | Ruijie# show any-command | include regular-expression | 在show命令的输出内容中进行过滤，仅输出包含指定内容的行，其他信息将被过滤。

注意：要在show命令的输出内容中进行查找和过滤，需要输入管道符号（竖线，”|”）。在管道字符之后，可以选择查找和过滤的规则和查找和过滤的内容（字符或字符串）。并且查找和过滤的内容需要区分大小写。


交换机命名

默认大多数设备的名字是“Ruijie”，可以使用以下命令修改交换机的命名。

Ruijie>en

Ruijie#configure terminal

Ruijie(config)#hostname Switch ------>设置交换机的名字为"Switch"

Switch(config)#end

Switch#write ------>确认配置正确，保存配置

说明：交换机名称用于标识一台设备的名字，在实际应用过程中可以根据需求进行命名。例如可以参考设备的地理位置(AA)、网络位置(BB)、设备型号(CC)、设备编号等因素(DD)，灵活制定命名规范（AA_BB_CC_DD），命令如下：

Ruijie(config)#hostname WLZX_Core_S8610_1

WLZX_Core_S8610_1(config)#

查看配置

Switch#show run

Building configuration...

Current configuration : 2010 bytes

!

version RGOS 10.4(2b11)p1 Release(134566)(Wed Apr 25 21:08:21 CST 2012 -ngcf63)

hostname Switch


创建管理IP

二层交换机由于不支持路由口，只能使用SVI进行管理，三层交换机的设备管理地址可以采用SVI或路由口进行管理。

二层交换机：

二层交换机配置IP地址是用于管理设备使用，比如使用Telnet、SNMP等等。

配置命令：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#interface vlan 1 ------>进入vlan接口，实际使用中建议使用非VLAN 1

Ruijie(config-if-VLAN 1)#ip address 192.168.1.1 255.255.255.0

Ruijie(config-if-VLAN 1)#end

Ruijie#write ------>确认配置正确，保存配置

说明：

1、如果不是vlan 1，是其他vlan，在进入vlan接口配置时，需要先创建相应的vlan，否则会提示失败。例如创建vlan 100的ip地址为192.168.100.1/24，命令如下：

Ruijie(config)#vlan 100

Ruijie(config-vlan)#exit

Ruijie(config)#interface vlan 100

Ruijie(config-if-VLAN 100)#ip address 192.168.100.1 255.255.255.0

Ruijie(config-if-VLAN 100)#end

Ruijie#

注意：二层交换机如果配置多个SVI，并配置地址，则原有已经UP并生效的SVI将会被shutdown。

2、如果要创建SVI的Secondary地址，在配置第二个地址的时候，后面再加一个secondary，否则会覆盖原有地址。

例如创建SVI 100的secondary地址为192.168.10.1/24可以通过如下命令实现:

Ruijie(config)#vlan 100

Ruijie(config-vlan)#exit

Ruijie(config)#interface vlan 100

Ruijie(config-if-VLAN 100)#ip address 192.168.100.1 255.255.255.0

Ruijie(config-if-VLAN 100)#ip address 192.168.10.1 255.255.255.0 secondary

Ruijie(config-if-VLAN 100)#end

Ruijie#

三层交换机：

三层交换机配置地址可用于管理，也可以用于通信，比如作为用户的网关。

配置方法1：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#interface vlan 10

Ruijie(config-if-VLAN 10)#ip address 192.168.1.1 255.255.255.0

Ruijie(config-if-VLAN 10)#end

Ruijie#write ------>确认配置正确，保存配置

说明：如果不是vlan 1，是其他vlan，在进入vlan接口配置时，需要先创建相应的vlan，否则会提示失败。

配置方法2（需确保交换机是三层交换机）：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#int FastEthernet 0/1

Ruijie(config-if-FastEthernet 0/1)#no switchport ------>将端口设置为三层口，配置IP地址之前必须要先变为三层口，否则无法配置IP地址

Ruijie(config-if-FastEthernet 0/1)#ip add 192.168.16.1 255.255.255.0

Ruijie(config-if-FastEthernet 0/1)#end

Ruijie#write ------>确认配置正确，保存配置

查看配置

Ruijie#show ip int brief

Interface IP-Address(Pri) IP-Address(Sec) Status Protocol

GigabitEthernet 0/1 192.168.16.1/24 no address up up

VLAN 10 192.168.1.1/24 no address up up

VLAN 100 192.168.100.1/24 192.168.10.1/24 up up


重要说明：

1）配置默认网关是二层交换机需要进行远程跨网段管理时的必配功能。

2）对于三层交换机，配置默认网关属于静态路由，当然设备也可以通过动态路由协议来学习网络路由，实现远程管理，关于其他路由协议的配置防范，可参考：IP路由 （配置方式参见 常用功能配置>IP路由）

设置交换机的默认网关

二层交换机配置管理IP地址的默认网关

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#ip default-gateway 192.168.1.254 ------>设置交换机的默认网关为192.168.1.254

Ruijie(config)#end

Ruijie#write ------>确认配置正确，保存配置

三层交换机配置交换机的默认网关，即配置交换机的默认路由

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.254 ------>设置交换机的默认网关为192.168.1.254

Ruijie(config)#end

Ruijie#write ------>确认配置正确，保存配置

查看配置

二层交换机查看网关配置的命令如下：

Ruijie#show ip redirects

default-gateway: 192.168.1.254

三层层交换机查看网关配置的命令如下：

Ruijie#show ip route

Codes: C - connected, S - static, R - RIP, B - BGP

O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default

Gateway of last resort is 192.168.1.254 to network 0.0.0.0

S* 0.0.0.0/0 [1/0] via 192.168.1.254


注意：Windows 7用户在使用telnet登录交换机时，有时出现telnet用不了的现象，这是由于用户的PC没有开启telnet客户端导致，所以在使用telnet之前请确认您的PC开启了telnet客户端，Windows 7用户请参考如下排查步骤：

点击控制面板->程序和功能->打开或关闭windows程序，弹出如下提示框后

勾选Telnet Client（中文操作系统中该选项显示为“Telnet 客户端”）点击ok，telnet开启之后您即可正常使用telnet登录交换机。

一、组网需求

通过Telnet功能远程登录管理设备。

二、组网拓扑

三、配置要点

1、需要给交换机配置一个管理IP，如果PC与交换机不是同一个网段，需要给交换机配置一个默认网关

2、需要配置一个enable密码及telnet密码

四、配置步骤

通过Console线 登陆交换机，开启交换机的远程登入密码及配置enable密码

1)、console登陆方式设置参考“日常维护 > 设备登陆 > Console方式登陆”

2)、配置交换机管理IP

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#interface vlan 1 ------>进入vlan 1接口

Ruijie(config-if)#ip address 192.168.1.1 255.255.255.0 ------>为vlan 1接口上设置管理ip

Ruijie(config-if)#exit ------>退回到全局配置模式

3)、配置telnet密码

需求一：telnet时使用密码登入交换机

Ruijie(config)#line vty 0 4 ------> 进入telnet密码配置模式，0 4表示允许共5个用户同时telnet登入到交换机

Ruijie(config-line)#login ------>启用需输入密码才能telnet成功

Ruijie(config-line)#password ruijie ------> 将telnet密码设置为ruijie

Ruijie(config-line)#exit ------> 回到全局配置模式

Ruijie(config)#enable password ruijie ------>配置进入特权模式的密码为ruijie

Ruijie(config)#end ------>退出到特权模式

Ruijie#write ------>确认配置正确，保存配置

确认telnet配置是否正确

1)在开始--运行中输入cmd命令，点击”确定“，在弹出的CMD命令行中，输入telnet 192.168.1.1

2)回车后，输入line vty 所配置的密码，进入设备的用户模式，出现Ruijie>模式

3)在Ruijie>模式下输入enable后，提示输入特权密码，输入正确的密码后回车，进入特权模式

需求二：telnet时使用用户名及密码登入交换机

Ruijie(config)#line vty 0 4 ------>进入telnet密码配置模式，0 4表示允许共5个用户同时telnet登入到交换机

Ruijie(config-line)#login local ------>启用telnet时使用本地用户和密码功能

Ruijie(config-line)#exit ------>回到全局配置模式

Ruijie(config)#username admin password ruijie ------>配置远程登入的用户名为admin，密码为ruijie

Ruijie(config)#enable password ruijie ------>配置进入特权模式的密码为ruijie

Ruijie(config)#end ------>退出到特权模式

Ruijie#write ------>确认配置正确，保存配置

确认telnet配置是否正确

1)、在开始--运行中输入cmd命令，点击”确定“，在弹出的CMD命令行中，输入telnet 192.168.1.1

2)、回车后，出现输入用户和密码，密码输入时隐藏不显示。输入正确的密码后回车，进入设备的用户模式，出现Ruijie>模式

3)、在Ruijie>模式下输入enable后，提示输入特权密码，输入正确的密码后回车，进入特权模式

五、功能验证

查看当前用户登入交换机情况

如上图，有两个用户登入交换机，一个是通过console线登入，另外一个是通过telnet登入交换机，登入用户的IP地址是192.168.1.2。


一、组网需求

通过SSH功能远程管理设备。

二、组网拓扑

三、配置要点

1、需要开启SSH功能

2、需要手工生成Key

3、如果PC与交换机不在同一个网段，需要配置交换机的默认网关

四、配置步骤

1、开启交换机的SSH服务功能

Ruijie#configure terminal

Ruijie(config)#enable service ssh-server

2、生成加密密钥：

Ruijie(config)#crypto key generate dsa ------>加密方式有两种：DSA和RSA,可以随意选择

Choose the size of the key modulus in the range of 360 to 2048 for your

Signature Keys. Choosing a key modulus greater than 512 may take

a few minutes.

How many bits in the modulus [512]: ------>直接敲回车

% Generating 512 bit DSA keys ...[ok]

3、配置交换机的管理IP地址

Ruijie(config)#interface vlan 1

Ruijie(config-if)# ip address 192.168.1.1 255.255.255.0

需求一：SSH时仅使用密码登入交换机

Ruijie(config)#line vty 0 4 ------> 进入SSH密码配置模式，0 4表示允许共5个用户同时SSH登入到交换机

Ruijie(config-line)#login ------>启用需输入密码才能SSH成功

Ruijie(config-line)#password ruijie ------> 将SSH密码设置为ruijie

Ruijie(config-line)#exit ------> 回到全局配置模式

Ruijie(config)#enable password ruijie ------>配置进入特权模式的密码为ruijie

Ruijie(config)#end ------>退出到特权模式

Ruijie#write ------>确认配置正确，保存配置

注意事项：如果要限制用户使用telnet登录，只能使用SSH登录，则需要调整配置，默认情况下telnet和SSH均可登录。

Ruijie(config)#line vty 0 4

Ruijie(config-line)#transport input ssh

确认是否配置正确

1)打开SecureCRT软件（说明：SSH登入交换机需要用支持SSH客户端的软件，windows的CMD模式不支持SSH，这里使用SecureCRT软件作为SSH客户端），选择如下红色圈起来图标：

2)协议选择SSH2，主机名输入交换机IP地址

3)点击连接，在如下选项框选择接受并保存

4)出现输入用户名界面，随便输入一个用户名，我这边输入了xxx作为用户名

5)出现输入用户名和密码界面，输入远程登入密码

6)确认后进入用户模式，即Ruijie>模式

7)在Ruijie>模式下输入enable后，提示输入特权密码，输入正确的密码后回车，进入特权模式

需求二：SSH时使用用户名及密码登入交换机

Ruijie(config)#line vty 0 4 ------>进入SSH密码配置模式，0 4表示允许共5个用户同时SSH登入到交换机

Ruijie(config-line)#login local ------>启用SSH时使用本地用户和密码功能

Ruijie(config-line)#exit ------>回到全局配置模式

Ruijie(config)#username admin password ruijie ------>配置远程登入的用户名为admin，密码为ruijie

Ruijie(config)#enable password ruijie ------>配置进入特权模式的密码为ruijie

Ruijie(config)#end ------>退出到特权模式

Ruijie#write ------>确认配置正确，保存配置

注意事项：如果要限制用户使用telnet登录，只能使用SSH登录，则需要调整配置，默认情况下telnet和SSH均可登录。

Ruijie(config)#line vty 0 4

Ruijie(config-line)#transport input ssh

确认SSH配置是否正确

1)打开SecureCRT软件，选择如下红色圈起来图标：

2)协议选择SSH2，主机名输入交换机IP地址

3)点击连接，在如下选项框选择接受并保存

4)出现输入用户名界面，输入用户名admin

5)出现输入用户名和密码界面，输入远程登入密码

6)确认后进入用户模式，即Ruijie>模式

7)在Ruijie>模式下输入enable后，提示输入特权密码，输入正确的密码后回车，进入特权模式

五、功能验证

用show service命令确认SSH服务功能是否开启

show users查看当前登入的用户


一、组网需求

通过console口登入交换机管理设备。

二、组网拓扑

三、配置要点

1、需要准备一个专门的console线，如果不是台式机，一般没有九针接口，需要采购专用的一根COM转USB的线缆（见下图二）

2、如果是win7系统，需要下载SecureCRT软件来登入设备

3、在软件设置波特率界面时需要将流控关闭

四、配置步骤

1、工具准备

带有超级终端和COM口的电脑，电脑上的COM接口在机箱后面，接显示器接口的旁边，上面有9根针。如果是没有COM口的笔记本时，请自行购买COM转USB的线缆。

交换机的console口：设备前面面板上有一个接口，有标注“console”。

配置线：（一头类似网线水晶头为RJ45接口，另一头比较大，上面有9个孔（DB9））

2、登陆设备

(1)请用配置线连接电脑的COM口和交换机的Console接口。

(2)配置超级终端：

方法一：用window XP自带的超级终端登入交换机

通过电脑的设备管理器，查看当前激活可用的串口是哪个，例如是COM1

点击电脑的“开始”菜单 -“所有程序”-“附件”-“通讯” ，打开其中的“超级终端”程序（Windows Server 2003默认是安装无“超级终端”，需在“控制面板”的“添加/删除程序”中进行添加）。如果是首次使用超级终端会出现如下信息：

任意填入一个区号（如：099）后点击“确定”，出现以下信息：

再次点击“确定”便打开了超级终端。名称任意填写，然后点击“确定”。

在“连接时使用”选择当前配置线连接的COM口（注意，有些电脑可能会有多个COM口，要注意选择正确的COM口），然后点击“确定”：

在“COM属性”中点击“还原默认值”然后点击“确定”，这时会打开“超级终端”配置窗口，窗口左上角可看到光标在闪烁。

设备console口使用的波特率是9600，数据流控改为无。

最终按回车键，出现交换机的主机名提示，类似Ruijie>的字符就表示连接成功了。

方法二：用SecureCRT软件登入交换机

通过电脑的设备管理器，查看当前激活可用的串口是哪个，例如是COM1

需要从网上下载一个SecureCRT软件，然后运行SecureCRT.exe程序

点击如下图第二个图标快速连接：

协议选择Serial，端口选择COM1、波特率设置为9600、RTS/CTS要把勾去掉（关闭流控功能）

点击连接，交换机出现交换机的主机名提示，类似Ruijie>的字符就表示连接成功了。

重要说明：如果没字符提示，回车没反映，那么可以尝试如下方法恢复:

1、检查超级终端的各项参数是否设置正确（特别关注流控（RTS/CTS）、波特率）；

2、检查console口是否连接好，COM口是否连接正确，可以尝试插拔下；

3、修改波特率为57600或115200再尝试；

4、重启交换机是否有重启日志提示、进行拔插交换机网线（确认是否为只有输出没有输入）等操作；

5、更换console线，更换USB转串口线，更换电脑，更换超级终端软件；

6、可以尝试连接其他交换机的console口，对比观察是否能正确连接。

五、功能验证

确认能登入设备


一、组网需求

通过web管理功能远程管理设备。

二、组网拓扑

三、配置要点

1、需要开启web功能（打开web服务）

2、web登入的密码默认是enable密码，用户名可以任意 或配置使用特定用户名、密码登陆

3、如果PC与交换机不在同一个网段，需要配置交换机的默认网关

四、配置步骤

1、开启交换机的web服务功能

Ruijie#configure terminal

Ruijie(config)#enable service web-server

2、配置交换机的管理IP地址

Ruijie(config)#interface vlan 1

Ruijie(config-if)# ip address 192.168.1.1 255.255.255.0

3、配置web管理的登入口令

需求一：登入web界面时仅仅使用密码进行登入

Ruijie(config-if)#exit

Ruijie(config)#enable password ruijie ------>配置特权密码，也是登陆web界面的密码

Ruijie(config)#end

Ruijie#write

确认是否能WEB登入交换机

打开电脑的浏览器，输入http://192.168.1.1 ，按回车

点击登入，输入密码ruijie：

确认能够登入交换机界面：

需求二：登入web界面时使用本地用户名和密码进行登入

Ruijie(config-if)#exit

Ruijie(config)#username admin password ruijie ------>配置web界面登入的用户名和密码

Ruijie(config)#username admin privilege 15 ------>配置web界面登入的用户名的等级权限为15，默认用户名和密码的等级权限为1，web管理需要15级的权限

Ruijie(config)#ip http authentication local ------>配置web登入使用本地的用户名和密码

Ruijie(config)#end

Ruijie#write

五、功能验证

1、用show service命令确认web服务功能是否开启

确认是否能够WEB登入交换机

打开电脑的浏览器，输入http://192.168.1.1 ，按回车

点击登入，输入用户名admin密码ruijie：

2、确认能够登入交换机界面：


一、场景介绍

使用console方式、telnet方式、SSH方式登录设备时，可以对防火墙卡进行配置。与此同时，还可以在web界面登录防火墙卡。

web界面登录防火墙卡，系统默认有两个账号，admin账号和guest账号，登录账号对应三个权限等级：0，1，2。0为最高，2为最低。管理员账号为admin 对应level 0权限，在web端管理员账号拥有所有的功能，并且可以编辑其他管理账号并授权该账号可访问的页面。guest账号默认对应level 2权限，在web端只拥有查看系统首页的权限。这两个账号不可被删除，只可修改密码。

等级0的默认用户名：admin 密码：admin

等级2的默认用户名：guest 密码：guest

二、组网需求

通过web管理功能远程管理防火墙卡。

三、组网拓扑

四、配置要点

1、需要开启web功能（打开web服务）

2、使用默认用户名和密码登录，或设置新用户名、密码登录

3、如果PC与交换机不在同一个网段，需要配置交换机的默认网关

五、配置步骤

1、开启交换机的web服务功能

Ruijie#configure terminal

Ruijie(config)#enable service web-server

2、配置交换机的管理IP地址

Ruijie(config)#interface vlan 1

Ruijie(config-if-Vlan1)# ip address 192.168.1.1 255.255.255.0

Ruijie(config-if-Vlan1)#exit

3、使用用户名和密码登录

需求一：使用默认的用户名和密码admin登录

打开电脑的浏览器，输入http://192.168.1.1 ，按回车，输入用户名和密码为admin

点击登录：

需求二：使用用户名和密码为ruijie，等级为1的账号登录

Ruijie(config)#webmaster level 1 username ruijie password ruijie

Ruijie(config)#exit

Ruijie(config)#exit

Ruijie#write

六、功能验证

1、用show service命令确认web服务功能是否开启

2、确认是否能够WEB登入交换机

打开电脑的浏览器，输入http://192.168.1.1 ，按回车，输入用户名和密码为ruijie

点击登录：


应用场景：

每台交换机设备都有自身的一个时钟，默认开启无需配置，除非是发现设备时钟与实际时间存在差异，这时候需要调整本地时钟的值；通常运用于客户网络中没有部署专门的NTP/SNTP时钟服务器，不需要全网设备都同步成一样的时钟，网络设备节点少，维护量不大的场景；

时间的准确能够确保日志记录时间的准确性，对于故障排查、事件追溯都有重要的作用；

设置交换机本地时钟

Ruijie>enable

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#clock timezone beijing 8 ------>设置交换机的时区为北京东八区

Ruijie(config)#exit

Ruijie#clock set 18:00:00 12 3 2013 ------>clock set 小时:分:秒 月 日 年

Ruijie(config)#end

Ruijie#write ------>确认配置正确，保存配置

查看配置

Ruijie#show clock ------>查看交换机的时间

18:01:03 beijing Tue, Dec 3, 2013


应用场景：

网络时钟NTP功能，通常运用于对网络设备时钟要求比较严格，需要统一的场景，多见于金融，政府，运营商等，网络设备节点多，维护量大，NTP服务器可

以自行搭建也可以采用互联网上提供的一些公开服务器；需要保证网络设备与服务器之间的路由可达性，采用NTP来统一全网设备时钟后，能够方便日常维

护，也给故障排查带来帮助。

功能简介：

NTP（Network Time Protocol ）是用来使网络设备时间同步化的一种协议，它可以使网络设备对其服务器或时钟源做同步化，它可以提供高精准度的时间校正（LAN 上与标准时间差小于 1 毫秒，WAN 上几十毫秒），且可使用加密确认的方式来防止攻击。为防止对时间服务器的恶意破坏，NTP 使用了识别(Authentication)机制，检查时间同步信息是否是真正来自所宣称的服务器并检查资料的返回路径，以提供对抗干扰的保护机制。目前我司设备支持NTP 的客户端与服务器功能，即设备既可以从时间服务器上同步时间，也能够作为时间服务器对其他设备进行时间同步。在作为服务器工作时设备仅支持单播 Server 模式。

一、组网需求

交换机需要通过NTP服务器同步时间，从而保持时钟准确性。

二、组网拓扑

三、配置要点

1、基础路由配置

2、（可选）NTP服务器端配置

3、NTP客户端配置

4、配置NTP客户端 发送NTP报文的源ip

四、配置步骤

1、基础的NTP配置

步骤一、基础路由配置

基础路由配置、保证NTP客户端与NTP服务器的连通性。

步骤二、（可选）NTP服务器端配置

注意：

交换机可以做为NTP的服务器，但是现网大部分情况下并非以交换机做为NTP服务器，而是网络上的专用网络时钟服务器。如下是以交换机做为NTP服务器的示例Ruijie(config)#ntp master ------>配置交换机做为NTP服务器

注意：

在通常情况下，本地系统都会直接或间接地与外部的时钟源进行同步。但若由于网络连接故障等原因而导致本地系统无法与外部时钟源同步时，可以通过该命令设置本地时钟参考源可靠，为其他设备提供同步时间。一旦进行了此设置，系统便不会与比其时钟层数数值更高的时钟源进行同步。

另外，使用此命令时必须特别小心。将本地时钟设置为主时钟（尤其是指定了较低的时钟层数值时）很有可能将真正的有效时钟源覆盖。如果对同一网络中的多个设备都使用了该命令，则可能由于设备之间的时钟差异导致网络的时钟同步不稳定。使用该命令前若系统从未与外部时钟源同步过，则有可能需要手动校准系统时钟以保证其不会有过大的偏差。

步骤三、NTP客户端配置

Ruijie(config)#ntp server 192.168.2.1 ------>配置ntp服务器的地址

Ruijie(config)#ntp update-calendar ------>更新设备的硬件时间（系统断电重启后，能够保存从ntp服务器同步的时间）

步骤四（可选）、配置NTP客户端 发送NTP报文的源ip

Ruijie(config)#ntp server 192.168.1.2 source loopback 0 ------>配置NTP客户端以loopback 0接口或其他特定接口地址做为源ip发送NTP报文

2、基于身份验证的NTP配置

步骤一、基础路由配置

基础路由配置、保证NTP客户端与NTP服务器的连通性。

步骤二、（可选）NTP服务器端配置

注意：

交换机可以做为NTP的服务器，但是现网大部分情况下并非以交换机做为NTP服务器，而是网络上的专用网络时钟服务器。如下是以交换机做为NTP服务器的示例：

Ruijie(config)#ntp master ------>配置交换机做为NTP服务器

Ruijie(config)#ntp authenticate ------>ntp服务器启用认证

Ruijie(config)#ntp authentication-key 6 md5 ruijie ------>ntp配置key id 6 密码为 ruijie

Ruijie(config)#ntp trusted-key 6 ------>将key id 6 设置为信任密钥

步骤三、NTP客户端配置

Ruijie(config)#ntp update-calendar ------>更新设备的硬件时间（系统断电重启后，能够保存从ntp服务器同步来的时间）

Ruijie(config)#ntp authenticate ------>ntp服务器启用认证

Ruijie(config)#ntp authentication-key 6 md5 ruijie ------>ntp配置key id 6 密码为 ruijie

Ruijie(config)#ntp trusted-key 6 ------>将key id 6 设置为信任密钥

Ruijie(config)#ntp server 192.168.2.1 key 6 ------>对应的ntp服务器使用key id 6

步骤四（可选）、配置NTP客户端 发送NTP报文的源ip

Ruijie(config)#ntp server 192.168.1.2 source loopback 0 ------>配置NTP客户端以loopback 0接口地址做为源ip发送NTP报文

五、功能验证

1、同步前NTP Server时间

Ruijie#show clock

10:53:23 UTC Fri, Sep 5, 2014

说明：如果客户端与服务器设置的时区不一致，则在客户端同步时间后显示的时间将是计算过时区差的。可通过命令clock timezone 设置时区，也可通过no clock timezone取消时区设置，默认为UTC国际标准时间。如下图原时区为beijing的时间为16:59:47，设置为UTC时间后为09:01:22。

2、同步前NTP Client时间

3、同步前NTP client的状态

4、同步成功的时候客户端会出现如下提示：

*Mar 12 10:55:04: %SYS-6-CLOCKUPDATE: System clock has been updated to 10:53:23 UTC Fri, Sep 5, 2014.

此时查看NTP的状态：

。


设备时间查看

Ruijie>enable

Ruijie#clock set 10:00:00 12 1 2012 ------>clock set 小时:分:秒 月 日 年

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#clock timezone beijing 8 ------>设置交换机的时区

Ruijie(config)#end

Ruijie#write ------>确认配置正确，保存配置


常用设备信息查看

1）Ruijie#show running-config

查看设备当前的配置

2）Ruijie#show version

Ruijie#show version detail（适用于11.X软件平台，该命令需要直接敲全，无法通过？查看到该命令，也无法用Tab键补全）

查看设备的软件版本信息

3）Ruijie#show log

查看设备的日志

4）Ruijie#show ip interface brief

查看设备的三层接口ip和掩码

5）Ruijie#show interface f0/1

查看f0/1接口的信息，包括mac地址，流量信息等等

6）Ruijie#show interface status

查看交换接口的信息,包括状态、vlan、双工、速度和使用介质

7）Ruijie#show vlan

查看交换接口所属的vlan信息

8）Ruijie#show cpu

查看设备当前的CPU使用情况

9）Ruijie#show interface count rate

查看设备当前接口的实时流量

10）Ruijie#show mac-address-table

查看设备当前的MAC地址表

11）Ruijie#show arp

查看设备当前的ARP表


本节内容：

查看交换机版本

查看交换机CPU利用率

查看交换机内存利用率

查看交换机电源

查看交换机风扇

查看交换机温度

查看交换机时间

查看交换机log信息

查看交换机FLASH空间大小

查看交换机MAC地址

查看交换机MAC地址表

查看交换机ARP表

查看交换机路由表

查看交换机接口IP地址

查看交换机接口状态及描述

查看交换机接口报文统计


查看交换机的版本信息

通过show version命令可以查看交换机具体型号、软件版本、硬件版本、交换机序列号等信息

（注：11.X软件平台建议使用show version detail查看版本信息，该命令无法通过？查看，也无法通过Tab键补全，需要手动将该命令敲全）


查看交换机CPU利用率

通过show cpu进行查看，可以查看5分钟、1分钟、5秒钟的CPU利用率。

说明：健康状态下，“CPU utilization in five minutes”应该维持在30%以下；承载业务的压力越大，CPU会越高，也属正常现象，但超出60%时就务必引起注意


查看交换机内存利用率

通过show memory进行查看，可以查看总的内存大小，可用内存大小及当前内存利用率

说明：健康状态，内存使用率应该维持在75%以下；承载业务的压力越大，内存使用就会升高，但超出80%时就务必引起注意。


查看交换机的电源信息

通过show power命令可以查看交换机的电源供电状态


查看交换机的风扇信息

通过show fan命令可以查看交换机的风扇是否正常


查看交换机的版本信息

通过show tem命令可以查看交换机的温度


查看交换机时间命令

在特权模式下使用showclock命令查看交换机的时间，如下：

Ruijie#show clock ------>查看交换机的时间

18:01:03 beijing Tue, Dec 3, 2013


查看交换机的log信息：

在特权模式下使用show log命令查看日志信息

2）通过more flash:xxx来查看保存到flash中的log信息

说明：需要用命令Ruijie(config)#logging file flash:syslog 131072来将缓存区的log保存到flash


查看交换机FLASH空间大小

通过dir命令进行查看，可以查看主程序文件、配置文件、总FLASH空间大小及当前空闲的FLASH空间大小


查看交换机的MAC地址

我司交换机有两个MAC地址，一个是二层协议（如STP、RLDP、LLDP等）使用的MAC地址，一个是三层协议（如ARP、VRRP、OSPF等）使用的MAC地址，对于二层协议使用的MAC地址，可以通过show member命令进行查看

说明：

1）对于高端交换机（S86、S78、S12K）没有该命令，可以通过show arp来确认，自己的IP对应的MAC地址就是交换机的三层MAC地址。

2）交换机的三层协议MAC地址是在二层MAC地址基础上加1。例如上图交换机的二层协议的MAC地址是001a.a9c4.61ce，那么三层协议的MAC地址是001a.a9c4.61cf。交换机背面贴标上的MAC地址是二层协议MAC地址。


查看交换机的MAC地址表

在特权模式下使用show mac-address-table来查看交换机上学习到的mac地址

Ruijie#show mac-address-table

Vlan MAC Address Type Interface

---------- -------------------- -------- -------------------

1 1414.4b19.ecc0 DYNAMIC GigabitEthernet 0/2

如果要查看MAC地址的统计信息，可以使用show mac-address-table count命令


查看交换机的ARP地址表

在特权模式下使用show arp 来查看交换机上学习到的arp信息

也可以通过show arp detail来详细查看用户从哪个端口学习上来的

如果要查看ARP地址的统计信息，可以使用show arp counter命令


查看交换机的路由表

通过show ip route命令可以查看交换机的路由表信息

通过show ip route count命令来查看交换机的路由表数目


查看交换机的IP地址信息

通过show ip interface brief 命令可以查看交换机的IP地址信息


查看交换机的接口状态信息

通过show int st命令可以查看交换机的接口是否UP

通过在特权模式上show interfaces description 接口连接的描述信息


查看交换机的接口报文信息

通过show int g0/x counters命令可以查看交换机的接口的收发包情况

Ruijie#show int fastEthernet 0/1 counters

Interface : Fa0/1

5 minute input rate : 0 bits/sec, 0 packets/sec //5分钟的平均速率

5 minute output rate : 0 bits/sec, 0 packets/sec

InOctets : 68023600 进入的包字节总数

InUcastPkts : 92842 单播包个数

InMulticastPkts : 36700 组播包个数

InBroadcastPkts : 75636 广播包个数

OutOctets : 3630373 出去的包的字节总数

OutUcastPkts : 32053 单播包个数

OutMulticastPkts : 1059 组播包个数

OutBroadcastPkts : 13231 广播包个数

[1] Undersize packets : 0

[2] Oversize packets : 0

[3] collisions : 0

[4] Fragments : 0

[5] Jabbers : 0

[6] CRC alignment errors : 0

[7] AlignmentErrors : 0

[8] FCSErrors : 0

[9] dropped packet events (due to lack of resources): 0

[10] packets received of length (in octets):

64:119136, 65-127: 75769, 128-255: 12663,

256-511: 3149, 512-1023: 1955, 1024-1518: 38849

[1] 长度小于64字节，校验和正确的报文：和Fragment帧对应，区别在于校验和。

[2] 帧超长且校验和正确的报文：和Jabber帧对应，区别在于校验和。

[3] 冲突帧：多站点同时试图发送信息导致冲突，单双工遇到较多。

[4] 长度小于64字节，校验和错误的报文：和Undersize帧对应，区别在于校验和。

[5] 帧超长且校验和错误的报文：和Oversize帧对应，区别在于校验和。

[6] 非超常帧且校验和错误的报文：和FCS相同，CRC是发送方本地进行校验，对端收到后重新进行计算，然后比对FCS字段。

[7] 接收的帧有重组错误：没有通过帧校验且没有边界字节结束（非整字节）的帧，bit丢失。

[8] 帧的内容改变或者丢失：帧校验FCS错误

[9] 丢弃报文统计：总和

[10] 根据长度统计接收的报文

如果需要查看所有端口收发包统计信息，可以使用show interface counter summar来查看

在特权模式下用命令show interface counter rate来查看


注意：如果忘记设备密码，但又希望能将设备恢复出厂设置，可以参考“密码恢复”章节操作后，再进行恢复出厂设置。

非11.X软件平台：可以直接参考“密码恢复--》不保存配置方式密码恢复“操作；

11.X软件平台：按照“密码恢复”章节操作后，进入运行模式按照如下方式操作：

一、可以正常进入设备运行模式的情况下：

1、进入特权模式

Ruijie>enable ------>进入特权模式

2、查看设备flash当前文件列表

Ruijie#dir ------->查看flash当前文件列表

Directory of flash:/

Mode Link Size MTime Name

----------- ---- ----------- --------------------------- ---------------

1 2840 2016-10-23 17:05:09 config.text ------->保存配置的文件名”config.text“

<DIR> 1 0 1970-01-01 00:00:00 dev/

<DIR> 2 0 2007-01-01 16:37:59 mnt/

1 8 2016-10-14 14:54:17 priority.dat

<DIR> 0 0 1970-01-01 00:00:00 proc/

<DIR> 1 0 2016-10-12 09:49:12 ram/

1 13138784 2007-01-01 16:38:17 rgos.bin

<DIR> 2 0 2016-10-12 09:49:55 tmp/

<DIR> 4 0 2007-01-01 16:40:06 web/

1 5845952 2007-01-01 16:40:05 web_management_pack.upd

------------------------------------------------------------------------

3 Files (Total size 18984744 Bytes), 6 Directories.

Total 132120576 bytes (126MB) in this device, 108597248 bytes (103MB) available.

3、将配置文件“config.text”删除

Ruijie#delete config.text ----->删除配置文件“config.text"

Are you sure you want to delete "config.text"? [No/yes]y

File "config.text" is deleted.

部分设备的命令如下：

Ruijie#delete flash:/config.text ----->删除配置文件“config.text"

Are you sure you want to delete "/config.text"? [No/yes]y

File "/config.text" is deleted.

4、重启设备，重启后设备恢复出厂设置：

Ruijie#reload ----->重启交换机

Proceed with reload? [no]y


密码恢复注意事项

1、做密码恢复时，请先准备好配置线。

2、密码恢复是在重启设备时进入CTRL层完成的操作，需要断开网络进行。请在方便断网时进行密码恢复。

3、请严格按照操作步骤，操作不当会造成配置丢失。


S2100系列交换机密码恢复过程：

1、通过电脑的串口连接交换机的console口

2、超级终端设置波特率为57600，交换机上电，在3秒内完成：点击 “确定”、然后不停地按“ESC” 键，进入交换机ctrl层

3、输入"3"，可以看到config.text，这个文件就是配置文件。

4、在CTRL模式下，备份配置文件，选择2备份配置文件；输入文件名：config.text；点击传送菜单->接收文件

说明：如果不需要保留原来的配置文件，那么可以直接选择4，Delete File来删除config.text这文件，然后重启就可以还原到出厂模式，配置清空

5、在本地pc上的命名为：config.text

6、选择放置的文件夹目录，选择1k Xmodem方式传输

7、提示传输成功

8、用记事本打开传出来的配置文件

可以看到：

version 1.0

hostname s21

vlan 1

enable secret level 1 5 $2>H.Y*T3;C,tZ[V4<D+S(\WQ=G1X)sv

enable secret level 15 5 $2tj9=G13/7R:>H.41u_;C,tQ8U0<D+S 这两条命令就是密码，删除该命令

interface vlan 1

no shutdown

ip address 192.168.26.49 255.255.255.0

end

把文件仍然保存为config.text文本文件

再重新传到交换机的flash中，我们就可以不需要密码登陆交换机的特权模式了

9、选择菜单input command 1,

input filename:config.text

再点击：传送—〉发送文件

10、输入文件名：config.text, 文件夹指向config.text所在的文件夹

11、文件传输成功！提示download ok!

12、文件传输成功，现在我们选择6,运行主程序文件

13、此时我们重新打开超级终端，把速率该回到9600

14、现在就可以不需要输入密码直接进入特权模式。重新设备密码，ruijie

s21#config t

Enter configuration commands, one per line. End with CNTL/Z.

s21(config)#enable sec level 15 0 ruijie

2006-03-14 10:07:58 @5-CONFIG:Configured from outband

s21(config)#enable sec level 1 0 ruijie

2006-03-14 10:08:06 @5-CONFIG:Configured from outband

s21(config)#exit

2006-03-14 10:08:38 @5-CONFIG:Configured from outband

s21#wr 保存配置

15、show run 查看配置，是否有丢失


注：可以使用密码恢复工具进行自助恢复，密码恢复工具的使用教程和下载链接为：http://www.ruijie.com.cn/fw/rj/57208

一、组网需求

如果管理员忘记登陆密码，无法进入到配置模式进行配置，那么此时需要使用配置线进入CTRL层进行密码恢复，需要保留之前的配置信息。

二、组网拓扑

三、配置要点

1、做密码恢复需要准备好配置线（console线），密码恢复过程中，需要重启设备在CTRL层操作完成；

2、密码恢复过程中，注意是重命名文件，不要选择删除文件，否则会导致配置丢失。

四、配置步骤

密码恢复过程

1、用配置线连接设备的console口。

2、用超级终端配置网络设备，设置参考“日常维护 > 设备登陆 > Console方式登陆”章节

1）手动对设备进行下电重启

2）出现Ctrl+C 提示时在键盘上同时按下CTRL键和C键

3）选择4，文件管理。

4）选择2，将配置文件config.text重命名为config.bak

5）同时按下“Ctrl+z”回到上一层级，选择2重启设备。

6）重启完成后，恢复配置文件

Ruijie#rename flash:config.bak flash:config.text

Ruijie#copy startup-config running-config

7）修改密码

五、功能验证

重新登入交换机，用新的用户名和密码登入确认能登入成功


注：可以使用密码恢复工具进行自助恢复，密码恢复工具的使用教程和下载链接为：http://www.ruijie.com.cn/fw/rj/57208

一、组网需求

如果管理员忘记登陆密码，无法进入到配置模式进行配置，那么此时需要使用配置线进入CTRL层进行密码恢复，不需要保留之前的配置信息。

二、组网拓扑

三、配置要点

做密码恢复需要准备好配置线（console线），密码恢复过程中，需要重启设备在CTRL层操作完成；

四、配置步骤

密码恢复过程

1、用配置线连接设备的console口。

2、用超级终端配置网络设备，设置参考“日常维护 > 设备登陆方式 > Console方式登陆”章节

1）手动对设备进行下电重启

2）出现Ctrl+C 提示时同时按下CTRL和C

3）选择4，文件管理。

4）选择1，将配置文件config.text删除

5）同时按下“Ctrl+z”回到上一层级，选择2重启设备。

五、功能验证

重启完成后，交换机就是出厂配置模式，show run确认是否为出厂配置


注：可以使用密码恢复工具进行自助恢复，密码恢复工具的使用教程和下载链接为：http://www.ruijie.com.cn/fw/rj/57208

一、组网需求

如果管理员忘记登陆密码，无法进入到配置模式进行配置，那么此时需要使用配置线进入CTRL层进行密码恢复。

二、组网拓扑

三、配置要点

1、做密码恢复需要准备好配置线（console线），密码恢复过程中，需要重启设备在CTRL层操作完成；

2、密码恢复过程中，注意是重命名文件，不要选择删除文件，否则会导致配置丢失。

四、配置步骤

密码恢复过程

1、用配置线连接设备的console口。

2、用超级终端配置网络设备，设置参考“日常维护 > 设备登陆 > Console方式登陆”章节

1）手动对设备进行下电重启

2）出现Ctrl+C 提示时在键盘上同时按下CTRL键和C键

3）执行rename config.text config.bak命令，将config.text重新命名为config.bak

4）执行load命令，加载主程序

5）重启完成后，恢复配置文件

Ruijie#rename flash:config.bak flash:config.text

Ruijie#copy startup-config running-config

6）修改密码

五、功能验证

重新登入交换机，用新的用户名和密码登入确认能登入成功


注：可以使用密码恢复工具进行自助恢复，密码恢复工具的使用教程和下载链接为：http://www.ruijie.com.cn/fw/rj/57208

一、组网需求

如果管理员忘记登陆密码，无法进入到配置模式进行配置，那么此时需要使用配置线进入CTRL层进行密码恢复，需要保留之前的配置信息。

二、组网拓扑

三、配置要点

做密码恢复需要准备好配置线（console线），密码恢复过程中，需要重启设备在CTRL层操作完成；

四、配置步骤

密码恢复过程

1、用配置线连接设备的console口。

2、用超级终端配置网络设备，设置参考“日常维护 > 设备登陆 > Console方式登陆”章节

1）手动对设备进行下电重启

2）出现Ctrl+C 提示时在键盘上同时按下CTRL键和C键

3）执行delete config.text命令，将config.text删除

4）执行load命令，加载主程序

五、功能验证

重启完成后，交换机就是出厂配置模式，show run确认是否为出厂配置


注：可以使用密码恢复工具进行自助恢复，密码恢复工具的使用教程和下载链接为：http://www.ruijie.com.cn/fw/rj/57208

密码恢复注意事项

1、做密码恢复时，请先准备好配置线。

2、密码恢复是在重启设备时进入CTRL层完成的操作，需要断开网络进行。请在方便断网时进行密码恢复。

3、请严格按照操作步骤，操作不当会造成配置丢失。

4、11x交换机的密码恢复，是保存配置方式的密码恢复。

一、组网需求

如果管理员忘记登陆密码，无法进入到配置模式进行配置，那么此时需要使用配置线进入CTRL层进行密码恢复。

二、组网拓扑

三、配置要点

1、做密码恢复需要准备好配置线（console线），密码恢复过程中，需要重启设备在CTRL层操作完成；

2、11x交换机的密码恢复，是只在当次生效的。即进入CLI命令行界面后，如果10分钟内没有任何按键输入，超时后仍然需要密码。或者进入后没有修改密码，设备下一次重启后也是使用之前的密码。

四、配置步骤

1、用配置线连接设备的console口。

2、用超级终端配置网络设备，设置参考“日常维护 > 设备登陆 > Console方式登陆”章节

1）手动对设备进行下电重启

2）出现Ctrl+C 提示时在键盘上同时按下CTRL键和C键，进入bootloader菜单

3）进入bootloader菜单后，同时输入Ctrl键和Q键，进入uboot命令行

4）在uboot命令行状态下，输入命令main_config_password_clear。

4）设备将自动运行主程序，打印log

5）此时不需要密码即可进入配置CLI命令行界面。

注意：进入CLI命令行界面后，一直没有按键的话，再次进去的时候就需要密码了。默认的超时时间是10min。请在超时前及时修改密码。

6）修改密码

五、功能验证

重新登入交换机，用新的用户名和密码登入确认能登入成功


密码恢复注意事项

1、做密码恢复时，请先准备好配置线。

2、密码恢复是在重启设备时进入CTRL层完成的操作，需要断开网络进行。请在方便断网时进行密码恢复。

3、请严格按照操作步骤，操作不当会造成配置丢失。

一、组网需求

如果管理员忘记登陆密码，无法进入到配置模式进行配置，那么此时需要使用配置线进入CTRL层进行密码恢复。

二、组网拓扑

三、配置要点

1、用配置线连接设备的console口；

注：做密码恢复需要准备好配置线（console线），密码恢复过程中，需要重启设备在CTRL层操作完成；

2、用超级终端配置网络设备，设置参考“功能配置> 1、基础配置> Console方式登陆”章节

1）手动对设备进行下电重启

2）出现Ctrl+C 提示时在键盘上同时按下CTRL键和C键，进入bootloader菜单

====== BootLoader Menu("Ctrl+Z" to upper level) ======

TOP menu items.

************************************************

0. Tftp utilities.

1. XModem utilities.

2. Run main.

3. SetMac utilities.

4. Scattered utilities.

5. Set Module Serial

************************************************

Press a key to run the command:

3）按ctrl + q，然后输入ubootui，回车后马上按一次ctrl + p

s29xs#ubootui

Leaving simple UI....

s29xs#

4）输入如下命令：

s29xs#setenv runlevel 2

s29xs#run linux

Creating 1 MTD partitions on "nand0":

0x000001000000-0x000002e00000 : "mtd=6"

UBI: attaching mtd1 to ubi0

UBI: physical eraseblock size: 131072 bytes (128 KiB)

UBI: logical eraseblock size: 126976 bytes

UBI: smallest flash I/O unit: 2048

UBI: VID header offset: 2048 (aligned 2048)

UBI: data offset: 4096

UBI: attached mtd1 to ubi0

UBI: MTD device name: "mtd=6"

UBI: MTD device size: 30 MiB

UBI: number of good PEBs: 240

UBI: number of bad PEBs: 0

UBI: max. allowed volumes: 128

UBI: wear-leveling threshold: 4096

UBI: number of internal volumes: 1

UBI: number of user volumes: 1

UBI: available PEBs: 19

UBI: total number of reserved PEBs: 221

UBI: number of PEBs reserved for bad PEB handling: 2

UBI: max/mean erase counter: 2/0

UBIFS: recovery needed

UBIFS: recovery deferred

UBIFS: mounted UBI device 0, volume 0, name "kernel"

UBIFS: mounted read-only

UBIFS: file system size: 26030080 bytes (25420 KiB, 24 MiB, 205 LEBs)

UBIFS: journal size: 3682304 bytes (3596 KiB, 3 MiB, 29 LEBs)

UBIFS: media format: w4/r0 (latest is w4/r0)

UBIFS: default compressor: LZO

UBIFS: reserved for root: 0 bytes (0 KiB)

Unmounting UBIFS volume kernel!

Uncompressing Kernel Image ... OK

Loading Device Tree to 823fc000, end 823ff593 ... OK

Starting kernel ...

5）：执行如下命令：

~ #

~ # cd /data/

/data # ls

/data # mv config.text config_backup.text

/data # sync

/data # reboot


一、设备升级的目的

1、获取新功能。

2、解决软件缺陷。

二、升级前准备

1、最新版本请到锐捷官网www.ruijie.com.cn 下载，或联系服务热线4008-111-000。

2、设备升级前，请先备份设备的当前配置到本地电脑。

3、升级前，请准备好console线，在设备升级失败时，使用console线收集启动信息。

4、升级前请务必认真阅读查看新版本对应的版本发行说明中--硬件支持情况部分，查看并确认该版本支持的硬件/引擎型、线卡型号是否正确，现场所使用的版本 是否能够支持当前硬件，请注意观察现场设备的硬件版本号（show ver可以获取设备、线卡的硬件版本号Hardware version)，参考是否在版本的发行中包括。

示例如下：

5、升级请注意打开终端软件的日志记录功能，升级失败时可反馈至4008-111-000获取支持。

三、升级注意事项

1、主程序升级需要重启设备，会造成断网，请避开业务高峰期升级。

2、主程序升级有一定风险，请务必保证升级过程中，设备供电稳定，否则可能导致设备boot丢失（此时需要返厂维修）。

3、主程序升级前，请认真阅读版本发行说明及升级指导，同时注意比对下载的升级文件MD5值是否与发行说明提供的一致，避免因升级文件损坏造成升级失败

4、升级一般不会导致配置文件丢失，但是版本跨度较大情况下，设备命令存在差异，导致升级后某些命令丢失，故升级前请务必保持配置到本地PC


运行模式下升级说明：

1、为解决软件缺陷或获取新功能，在设备设备运行情况下，对交换机软件版本进行升级。

2、盒式设备和机箱式设备（例如S8600，S12000包含双引擎）升级方法一致，将安装包使用TFTP拷贝到交换机FLASH中，重启后即可完成自动升级。

重要说明：

10.1---->10.2（4）、10.3--->10.3（4）之间的软件名称通常是RGNOS.bin， 10.2(4)，10.3（4）开始的所有版本软件名称为RGOS.bin，所以在往flash里面传文件的时候，需要注意文件的命名的不同；可以使用dir 命令/show main命令查看当前FLASH中的主程序文件。如果是从RGNOS升级到RGOS这种过渡的情况，那么还是以flash里面的原来的主程序来命名新上传的文件，因为此时系统启动的主程序名还是rgnos.bin，比如从10.2(2)升级到10.3（5b1），原来flash里面的主程序是rgnos.bin（通过DIR可以查看），上传的10.3（5b1）的软件需要保存为rgnos.bin，例如执行 copy tftp：//192.168.1.1/10.3(5b1).bin flash:rgnos.bin ，然后执行raload重启，完成自动升级，升级完成后查看flash里面的主程序就会自动更新为rgos.bin，

10.3（4）之后，通常都为copy tftp：//192.168.1.1/10.3(5b1).bin flash:rgos.bin

根据工程师的日常实践经验，对核心交换机S86，S12000版本进行较大跨度的升级时（例如从10.1版本升级到10.4版本），建议如下：

· 升级顺序建议每个大的分支版本选择一个做逐步升级，例如S86 10.1.00(4) --> 10.2.00(2) R28273 --> 10.3(4b3) R65758/10.3(5) R76833/10.3(5b1) R87006 -->10.4(2) R76696 --> 10.4(3)R118208/10.4(3b7)p1R135695 /10.4(3b17)p1

· 根据经验RGOS 10.3（5b1）— 10.4（3）/10.4(3b7)/10.4(3b17）间的软件升级可以直接一步到位，无需中间过渡版本，但是10.3及以前的软件要做升降级到10.4及以后的，强烈建议按照上述版本演进的顺序选择过渡版本，如果出现升降级失败，需要准备好相关恢复版本，进入ctrl层做升降级操作

· 不建议进行大跨度版本降级，仅推荐升级失败时版本进行回退降级

对非核心设备，在10.X版本基础上可进行大跨度升级，无需中间过渡。

二、组网拓扑

三、配置要点

1、主程序升级需要重启设备，会造成断网，请避开业务高峰期升级。

2、主程序升级有一定风险，请务必保证升级过程中，设备供电稳定，否则可能导致设备boot丢失（此时需要返厂维修）。

3、主程序升级前，请认真阅读版本发行说明及升级指导，同时注意比对下载的升级文件MD5值是否与发行说明提供的一致，避免因升级文件损坏造成升级失败

4、升级一般不会导致配置、日志文件丢失，但是版本跨度较大情况下，设备命令可能存在差异，导致升级后某些命令丢失，故升级前请务必保持配置到本地PC

四、配置步骤

1、设置交换机的管理IP地址

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#interface vlan 1 ------>进入vlan 1接口

Ruijie(config-if)#ip address 192.168.1.1 255.255.255.0 ------>为vlan 1接口上设置管理ip

Ruijie(config-if)#exit ------>退回到全局配置模式

2、设置电脑IP地址，并且确认电脑能ping通交换机，交换机也能ping通电脑

注意：电脑自带的防火墙功能要关闭，并且要退出杀毒软件，否则可能导致无法升级成功

3、确认当前的软件版本信息

4、将tftp软件（tftp软件可以从网上自行下载）及新的软件版本放入同一个目录（建议是英文路径，不建议放入中文文件夹，否则可能导致无法升级成功）

5、开启tftp功能

6、登入交换机，在交换机上执行如下命令：

Ruijie#copy tftp://192.168.1.2/S2600_V10.4(2)_R75955.bin flash:rgos.bin ------>192.168.1.2是电脑的IP地址；S2600_V10.4(2)_R75955.bin是电脑上的主程序文件名；rgos.bin是放入交换机上的主程序名称

重要说明：

10.1---->10.2（4）、10.3--->10.3（4）之间的软件名称通常是RGNOS.bin， 10.2(4)，10.3（4）开始的所有版本软件名称为RGOS.bin，所以在往flash里面传文件的时候，需要注意文件的命名的不同；可以使用dir 命令/show main命令查看当前FLASH中的主程序文件。如果是从RGNOS升级到RGOS这种过渡的情况，那么还是以flash里面的原来的主程序来命名新上传的文件，因为此时系统启动的主程序名还是rgnos.bin，比如从10.2(2)升级到10.3（5b1），原来flash里面的主程序是rgnos.bin（通过DIR可以查看），上传的10.3（5b1）的软件需要保存为rgnos.bin，例如执行 copy tftp：//192.168.1.1/10.3(5b1).bin flash:rgnos.bin ，然后执行raload重启，完成自动升级，升级完成后查看flash里面的主程序就会自动更新为rgos.bin，

10.3（4）之后，通常都为copy tftp：//192.168.1.1/10.3(5b1).bin flash:rgos.bin

下图是软件正在拷贝到交换机

7、拷贝成功后会出现如下提示

8、重启交换机

9、重启后确认交换机是否升级成功

五、功能验证

通过show version 确认版本是否为升级后的版本


说明

1、一般只在升级失败或者主程序丢失时才会在Ctrl层进行升级。

2、若设备开机出现send download request，无法正常进入用户模式，则可判断为设备软件版本丢失，需要在Ctrl层下升级。

一、组网需求

设备的主程序丢失，只能进入到CTRL层，需要进行主程序恢复

二、组网拓扑

三、配置要点

1、需要用专门的console线登入到交换机（波特率设置为9600），

2、需要将网线连接到交换机的第一个电口或引擎的MGT口（需要注意当交换机与电脑的网线连接的时候交换机的接口状态灯是不会亮的，也无法测试PC与交换机的连通性，只有在数据传输的时候，才会触发交换机端口状态灯亮起来）

四、配置步骤

1、用配置线连接设备的console口。

2、用终端软件登入网络设备（这里使用SecureCRT软件），设置参考“日常维护 > 设备登陆 > Console方式登陆”章节

1)设置电脑的IP地址为192.168.1.2，将tftp软件及软件版本放入同一个英文目录下，开启tftp软件

注意：电脑自带的防火墙功能要关闭，并且要退出其他相关杀毒软件（如360防火墙、卡巴斯基等），否则可能导致无法升级成功

2）如果主程序丢失，交换机启动后会直接进入如下CTRL模式：

3）选择0，tftp管理单元

4）选择1，并且依次输入交换机IP、电脑IP及主程序文件名称

5）开始传输的时候，交换机连接电脑的1号端口的状态灯会从灭的状态变为绿色闪烁（说明数据正常传输），电脑上也可以看到文件正在传输

6）传输完成后，按Ctrl+Z返回到上一菜单，然后输入2进行启动交换机

7）等待交换机启动完成

五、功能验证

show ver确认版本情况


说明

1、一般只在升级失败或者主程序丢失时才会在Ctrl层进行升级。

2、若设备开机出现send download request，无法正常进入用户模式，则可判断为设备软件版本丢失，需要在Ctrl层下升级。

一、组网需求

设备的主程序丢失，只能进入到CTRL层，需要进行主程序恢复

二、组网拓扑

三、配置要点

1、需要用专门的console线登入到交换机（波特率设置为9600），

2、需要将网线连接到交换机的第一个电口或引擎的MGT口（需要注意当交换机与电脑的网线连接的时候交换机的接口状态灯是不会亮的，也无法测试PC与交换机的连通性，只有在数据传输的时候，才会触发交换机端口状态灯亮起来）

四、配置步骤

1、 设置电脑的IP地址为192.168.1.2，将tftp软件及软件版本放入同一个英文目录下，开启tftp软件

注意：电脑自带的防火墙功能要关闭，并且要退出其他相关杀毒软件（如360防火墙、卡巴斯基等），否则可能导致无法升级成功

2、用配置线连接设备的console口。

3、用终端软件登入网络设备（这里使用SecureCRT软件），设置参考“日常维护 > 设备登陆 > Console方式登陆”章节

1）交换机加电启动过后会直接进入到如下界面：

3）当出现send download request时，同时按两下Ctrl+C键，会进入Ctrl>号模式

4）在Ctrl>模式下输入Ctrl>tftp 192.168.1.1 192.168.1.2 S2600_V10.4(3)_R117920.bin -main命令

5）在传输的时候，交换机连接电脑的1号端口的状态灯会从灭的状态变为绿色闪烁（说明数据正常传输），电脑上也可以看到文件正在传输

6）传输完成后确认bin文件是否在flash目录下

7）加载主程序

8）通过show ver确认版本升级成功


说明：

1、此VSU升级方案S8600和S12000适用。

2、S26I，S5750E，S6000，S6200 的VSU升级跟单机升级一致，均采用运行模式下升级方法即可

一、组网需求

在两台S86运行VSU，两台S86各有两张CMII引擎卡，现需要对交换机进行软件版本升级。

二、网络拓扑

三、配置要点

对于VSU环境（不管是单台VSU还是两台设备组建VSU），升级前先确认当前交换机的软件版本：

1、如果当前版本是10.4(3b17)及之后版本升级至更高版本，那么按照常规升级方式，拷贝软件版本到交换机，然后进行重启操作，具体可以查看“软件版本升级----->运行模式下升级”章节

2、如果是低于10.4(3b17)的软件版本升级到更高版本（如10.4（2b3）软件版本升级至10.4（3）或10.4（3b17）P2等），那么要分为如下两种情况：

1）如果VSU环境的两台交换机各都只有一块引擎，那么按照常规升级方式，拷贝软件版本到交换机，然后进行重启操作，具体可以查看“软件版本升级----->运行模式下升级”章节

2）如果VSU环境的两台交换机加起来超过两块块引擎，有三块或四块引擎。由于扩展管理板无法自动升级，需要在将VSU转换为单机模式，对两台设备进行独立升级，等两台设备都升级成功后再转换为VSU模式。

升级简化说明如下：

注意事项

1、升级之前务必阅读版本发行说明，确定当前硬件线卡能够被当前软件版本支持！

2、当前VSU升级整机重启会导致业务中断，请提前和客户约定升级时间减少对业务的影响（至少需要保证有两个小时时间来进行升级）。

四、配置步骤

VSU模式下，对于三块或四块引擎升级时，步骤如下：

1、保存配置到电脑

2、确认当前的引擎及线卡是否支持需要升级的软件版本

注意：10.4（3b7）、10.4（3b17）p1、10.4（3b17）p1、10.4（3b17）p2软件版本不支持EA类线卡，故如果VSU环境中存在EA类线卡，那么当前最高版本目前只能升级到10.4(3)软件版本，EB、EC类线卡没有这方面限制。

10.4（3b17）p3版本没有这方面的限制，EA/EB/EC均支持。

关于哪些具体线卡型号归属EA/EB/EC卡，请参考10.4（3b17）版本配置手册的附录部分或查阅《常见问题一本通》

3、确认客户环境是否能进行升级操作，请务必不要在业务高峰期进行升级；

4、将VSU模式转换为单机模式，命令如下

Ruijie-ACTIVE#switch convert mode standalone

5、转换完成后，请按照“软件版本升级----->运行模式下升级”章节进行升级处理

6、升级完成后，分别在两台设备上show version，确认是否升级到预期版本

注意：在单机模式下M8600-VSU-02XFP显卡无法被识别，这是正常现象，需要转换为VSU模式该线卡才会被识别

7、按照S86 VSU的配置从新配置VSU，配置完成后分别将两台S86转换为VSU模式，命令如下：

Ruijie#switch convert mode virtual ----->回车后，系统会提示是否转换为VSU模式，选择"Y", 提示是否恢复配置时，选择恢复以前的VSU配置“Y”

Convert switch mode will automatically backup the "config.text" file and then delete it, and reload the switch. Do you want to convert switch to virtual mode? [no/yes]y

Do you want to recover "config.text" from "virtual_switch.text" (press 'ctrl + c' to cancel) [yes/no]:y

8、检查VSU是否建立成功（show switch virtual），测试网络连通性

五、功能验证

1、show ver确认版本已经升级成功

2、show switch virtual 确认VSU建立成功


说明：

1、此升级适合于所有FW卡老版本升级至新版本;

2、已经组建HA/AA的防火墙卡，升级需要对每块FW卡单独升级RGOS主程序并同时重启可重新建立HA/AA；

3、防火墙卡软件由两部分组成，1.交换背板软件 2.防火墙软件，交换背板软件同S86/S12K线卡一样在插入机箱后由交换机管理板动态分发更新，无需人工干预，防火墙卡软件升级主要指的是防火墙软件，FW单独进行管理，可以理解为一台独立的设备，FW卡配置需接入FW卡Console口进行配置

一、组网需求

设备当前版本为10.3（4b5），现要对FW卡的软件版本进行升级，升级后的版本为10.3（4b6）p2

二、组网拓扑

拓扑说明：电脑插在S8610交换机的8/1端口，FW卡插在S8610的三号槽位

三、配置要点

1、确认FW和PC间能够互相ping通

2、不能使用vlan 1来做桥组转换

四、配置步骤

1、FW卡配置

接入FW卡Console口进行配置

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#interface vlan 10 ------>进入vlan 10接口

Ruijie(config-if-Vlan 10)#ip address 192.168.33.1 255.255.255.0 ------>为vlan 10接口上设置管理ip

Ruijie(config-if-Vlan 10)#bridge-group 1 ------>设置VLAN10属于桥组1

Ruijie(config)#interface vlan 1010 ------>进入vlan 1010接口

Ruijie(config-if-Vlan 10)#bridge-group 1 ------>设置VLAN1010属于桥组1

Ruijie(config-if)#exit ------>退回到全局配置模式

Ruijie(config)#ip session acl-filter-default-permit ------>10.3（4b5）系列版本的命令，10.3（4b6）命令变更为 firewall default-policy-permit

防火墙接口下没有应用ACL时或配置的ACL在最后没有Permit any则默认会丢弃所有包，配置以下命令可修改为默认转发所有包

2、S8610交换机配置

接入交换机引擎的Console口进行配置

Ruijie(config)#vlan 10

Ruijie(config-vlan)#exit

Ruijie(config)#vlan 1010

Ruijie(config-vlan)#exit

Ruijie(config)#interface range tenGigabitEthernet 3/1-2 ------>将FW卡的两个内联万兆口加入聚合组1。这两个万兆口只要FW卡被S86正确的识别就会有，实际实施时，具体槽位以现场安装为准

Ruijie(config-if-range)#port-group 1

Ruijie(config-if-range)#exit

Ruijie(config)#int aggregateport 1

Ruijie(config-if-AggregatePort 1)#switchport mode trunk ------>将聚合组设置为trunk口

Ruijie(config-if-AggregatePort 1)#exit

Ruijie(config)#int gigabitEthernet 8/1

Ruijie(config-if-GigabitEthernet 8/1)#switchport access vlan 10 ------>连接PC的端口设置为access端口

Ruijie(config-if-GigabitEthernet 8/1)#exit

说明：对于版本升级的时候，不要使用vlan1做桥组，否则会导致转发通。

3、设置电脑IP地址，并且确认电脑能ping通FW卡，FW卡也能ping通电脑

注意：电脑自带的防火墙功能要关闭，并且要退出杀毒软件，否则可能导致无法升级成功

4、确认当前FW卡的软件版本信息

接入FW卡Console口进行配置

5、将tftp软件（tftp软件可以从晚上自行下载）及新的软件版本放入同一个目录（建议是英文路径，不建议放入中文文件夹，否则可能导致无法升级成功）

6、开启tftp功能

7、登入防火墙卡，在FW卡上执行如下命令：

Ruijie#copy tftp://192.168.33.162/FIREWALL_10.3(4b6)p2_R150415.bin flash:rgos.bin ------>192.168.33.162是电脑的IP地址；FIREWALL_10.3(4b6)p2_R150415.bin是电脑上的主程序文件名；rgos.bin是放入交换机上的主程序名称

下图是软件正在拷贝到交换机

8、拷贝成功后会出现如下提示

9、重启FW卡（无须重启整个交换机，只需重启FW卡即可）

五、功能验证

FW卡重启后确认交换机是否升级成功


说明

1、一般只在升级失败或者主程序丢失时才会在Ctrl层进行升级。

2、若设备开机出现send download request，无法正常进入用户模式，则可判断为设备软件版本丢失，需要在Ctrl层下升级。

一、组网需求

设备的主程序丢失，只能进入到CTRL层，需要进行主程序恢复

二、组网拓扑

三、配置要点

1、需要用console线插入FW卡的console口（波特率设置为9600），

2、用网线将PC与FW卡的MGMT口互联（需要注意当FW与电脑的网线连接的时候MGT接口状态灯是不会亮的，也无法测试PC与FW卡的连通性，只有在数据传输的时候，才会触发FW卡MGMT端口状态灯亮起来）

四、配置步骤

1、用配置线连接FW卡的console口。

2、用终端软件登入网络设备（这里使用SecureCRT软件），设置参考“日常维护 > 设备登陆 > Console方式登陆”章节

1)设置电脑的IP地址为192.168.33.162，准备好tftp软件及软件版本，并放入同一个英文目录下，开启tftp软件

注意：电脑自带的防火墙功能要关闭，并且要退出其他相关杀毒软件（如360防火墙、卡巴斯基等），否则可能导致无法升级成功

2）如果FW主程序丢失，FW卡插入到交换机，并且用console线插入到FW卡，可以看到FW卡会显示如下log：

System bootstrap ...

Boot Version: RGOS 10.3(4b6)p1, Release(138423)

Nor Flash ID: 0x0001007E, SIZE: 8388608Bytes

Using 750.000 MHz high precision timer.

MTD_DRIVER-5-MTD_NAND_FOUND: 2 NAND chips(chip size : 4294967296) detected

Press Ctrl+C to enter Boot Menu ...

!!!NOTICE!!!

Main program (rgos.bin) is losted! ------>提示您主程序丢失

Press F1 key to recover this problem step by step, or wait 2 seconds to get in factory tftp download.

Now begin to download all files through the FileList.

Host IP[192.168.64.1] Target IP[192.168.64.151] File name[FileList.txt] Read Mac Addr from norflash =00-1A-A9-7E-59-97

%Now Begin Download File FileList.txt From 192.168.64.1 to 192.168.64.151

send download request.

send download request.

此时，需要同时按两个CTRL+C，会进入CTRL层，如下：

3）如上图选择0，tftp管理单元，然后选择更新主程序

4）选择1，并且依次输入FW卡IP（手工随意指定跟电脑保持在一个网段即可）、电脑IP及主程序文件名称

说明输入的文件名要和tftp目录里面放入的文件名要一致，否则会导致传输不成功。

5）开始传输的时候，交换机连接电脑的1号端口的状态灯会从灭的状态变为绿色闪烁（说明数据正常传输），电脑上也可以看到文件正在传输

6）传输完成后，按Ctrl+Z返回到上一菜单，然后输入2进行启动交换机

五、配置步骤

show ver确认版本情况


功能简介

目前11x交换机可用的升级包有机架包和补丁包两种，他们的作用是：

机架包包含了管理板和所有线卡的main安装包，使用这种包可以一次性的升级机架设备上的所有板卡。

热补丁包包含了若干功能组件的热补丁，通常用于修复小bug。升级该包可以为功能组件包打上补丁，无需重启设备立刻具有新的功能特性。

不论机架包的升级还是热补丁包的升级，都是保存配置的升级方式。所以无论是在VSU模式下还是FW卡的升级，均按照运行模式下的升级操作即可。


注意：11.X盒式交换机与机箱式交换机差别：盒式交换机在执行upgrade升级命令后设备会自动重启，机箱式交换机需要执行reload命令才重启。

Ruijie#upgrade flash:S2910_RGOS11.4(1)B1_02162700_install.bin

Upgrade the device must be auto-reset after finish, are you sure upgrading now?[Y/N]y

一、设备升级的目的

1、获取新功能。

2、解决软件缺陷。

二、升级前准备

1、最新版本请到锐捷官网www.ruijie.com.cn 下载，或联系服务热线4008-111-000。

2、设备升级前，请先备份设备的当前配置到本地电脑。

3、升级前，请准备好console线，在设备升级失败时，使用console线收集启动信息。

4、升级前请务必认真阅读查看新版本对应的版本发行说明中--硬件支持情况部分，查看并确认该版本支持的硬件/引擎型、线卡型号是否正确，现场所使用的版本是否能够支持当前硬件，请注意观察现场设备的硬件版本号（show ver可以获取设备、线卡的硬件版本号Hardware version)，参考是否在版本的发行中包括。

示例如下：

5、升级请注意打开终端软件的日志记录功能，升级失败时可反馈至4008-111-000获取支持。

三、升级注意事项

1、主程序升级需要重启设备，会造成断网，请避开业务高峰期升级。

2、主程序升级有一定风险，请务必保证升级过程中，设备供电稳定，否则可能导致设备boot丢失（此时需要返厂维修）。

3、主程序升级前，请认真阅读版本发行说明及升级指导，同时注意比对下载的升级文件MD5值是否与发行说明提供的一致，避免因升级文件损坏造成升级失败。

4、升级一般不会导致配置文件丢失，但是版本跨度较大情况下，设备命令存在差异，导致升级后某些命令丢失，故升级前请务必保持配置到本地PC。

5、使用自动同步对新插入的板卡进行升级前，请确认一下环境中整体运行的版本，如果是11.0(3)B1之前的版本，会有概率出现自动同步失效的情况，此时可以在主管理板上通过手工执行升级命令来对新卡进行升级。


运行模式下升级说明：

1、为解决软件缺陷或获取新功能，在设备运行情况下，对交换机软件版本进行升级。

2、11x交换机推荐使用U盘升级，因为安装包容量较大，其他方式较慢。使用U盘升级方便、快速。

3、CM管理板容量如果只有512M，机架包只能使用U盘直接升级。

4、CM管理容量如果有1G，除了能使用U盘升级还能使用tftp拷贝到install分区的方式升级，对应盘符可通过dir install：进行查看。

5、CMII管理板容量都比较大，除了能使用U盘升级外还能使用tftp拷贝到data分区的方式升级，对应盘符可通过dir flash：进行查看。

二、组网拓扑

三、配置要点

1、主程序升级需要重启设备，会造成断网，请避开业务高峰期升级。

2、主程序升级有一定风险，请务必保证升级过程中，设备供电稳定，否则可能导致设备boot丢失（此时需要返厂维修）。

3、主程序升级前，请认真阅读版本发行说明及升级指导，同时注意比对下载的升级文件MD5值是否与发行说明提供的一致，避免因升级文件损坏造成升级失败

4、升级一般不会导致配置、日志文件，但是版本跨度较大情况下，设备命令可能存在差异，导致升级后某些命令丢失，故升级前请务必保持配置到本地PC

四、配置步骤

1、设置交换机的管理IP地址

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#interface vlan 1 ------>进入vlan 1接口

Ruijie(config-if)#ip address 192.168.1.1 255.255.255.0 ------>为vlan 1接口上设置管理ip

Ruijie(config-if)#exit ------>退回到全局配置模式

2、设置电脑IP地址，并且确认电脑能ping通交换机，交换机也能ping通电脑

注意：电脑自带的防火墙功能要关闭，并且要退出杀毒软件，否则可能导致无法升级成功

3、确认当前的软件版本信息

4、将携带有安装包的U盘插入设备的USB口中

5、登入交换机，在交换机上执行如下命令，设备将自动升级：

Ruijie#upgrade usb0:N18000_RGOS11.0(1)B2_CM_08050053_install.bin ------>usb0与机架包的名字中间不要有空格，即usb0：与N18000中间不要有空格

6、如下红框内提示表示升级成功：

7、重启交换机

9、重启后确认交换机是否升级成功

五、功能验证

通过show version 确认版本是否为升级后的版本


运行模式下升级说明：

1、为解决软件缺陷或获取新功能，在设备运行情况下，对交换机软件版本进行升级。

2、11x交换机推荐使用U盘升级，因为安装包容量较大，其他方式较慢。使用U盘升级方便、快速。

3、CM管理板由于容量有限，机架包只能使用U盘直接升级，CMII管理板容量较大，除了能使用U盘升级外还能使用tftp拷贝到flash的方式升级。

二、组网拓扑

三、注意事项

1、主程序升级需要重启设备，会造成断网，请避开业务高峰期升级。

2、主程序升级有一定风险，请务必保证升级过程中，设备供电稳定，否则可能导致设备boot丢失（此时需要返厂维修）。

3、主程序升级前，请认真阅读版本发行说明及升级指导，同时注意比对下载的升级文件MD5值是否与发行说明提供的一致，避免因升级文件损坏造成升级失败

4、升级一般不会导致配置、日志文件，但是版本跨度较大情况下，设备命令可能存在差异，导致升级后某些命令丢失，故升级前请务必保持配置到本地PC

四、配置步骤

1、设置交换机console口的IP地址

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#interface vlan 1 ------>进入vlan 1接口

Ruijie(config-if)#ip address 192.168.1.1 255.255.255.0 ------>为vlan 1接口上设置管理ip

Ruijie(config-if)#exit ------>退回到全局配置模式

2、设置电脑IP地址，并且确认电脑能ping通交换机，交换机也能ping通电脑

注意：电脑自带的防火墙功能要关闭，并且要退出杀毒软件，否则可能导致无法升级成功

3、确认当前的软件版本信息

4、将tftp软件（tftp软件可以从网上自行下载）及新的软件版本放入同一个目录（建议是英文路径，不建议放入中文文件夹，否则可能导致无法升级成功）。开启tftp工具，将升级文件拷贝到设备上

Ruijie#copy tftp://192.168.1.2/N18000_RGOS11.0(1)B2_CM_08050053_install.bin flash:/N18000_RGOS11.0(1)B2_CM_08050053_install.bin---->192.168.1.2是电脑的IP地址；N18000_RGOS11.0(1)B2_CM_08050053_install.bin是电脑上的主程序文件名；rgos.bin是放入交换机上的主程序名称

copy tftp://192.168.1.2/N18000_RGOS11.0(1)B2_CM_08050053_install.bin flash:/N18000_RGOS11.0(1)B2_CM_08050053_install.bin

Press Ctrl+C to quit

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Accessing tftp://192.168.1.2/N18000_RGOS11.0(1)B2_CM_08050053_install.bin finished, 10 bytes prepared

Flushing data to flash:/N18000_RGOS11.0(1)B2_CM_08050053_install.bin...

Flush data done

5、登入交换机，在交换机上执行如下命令，设备将自动升级：

Ruijie#upgrade flash:N18000_RGOS11.0(1)B2_CM_08050053_install.bin ------>flash与机架包的名字中间不要有空格，即flash：与N18000中间不要有空格

Ruijie#Ready for release /data/ca-octeon-cm.bin

*Sep 11 11:45:23: %7:Decompress to /data/ca-octeon-cm.bin

*Sep 11 11:45:23：%7:Release completed 10%

*Sep 11 11:45:23：%7:Release completed 20%

*Sep 11 11:45:24：%7:Release completed 30%

*Sep 11 11:45:24：%7:Release completed 40%

*Sep 11 11:45:24：%7:Release completed 50%

*Sep 11 11:45:25：%7:Release completed 60%

*Sep 11 11:45:25：%7:Release completed 70%

*Sep 11 11:45:25：%7:Release completed 80%

*Sep 11 11:45:26：%7:Release completed 90%

*Sep 11 11:45:26：%7:Release completed 100%

Ready for release /data/ca-octeon-lc.bin

*Sep 11 11:45:26：%7:Decompress to /data/ca-octeon-lc.bin

*Sep 11 11:45:26：%7:Release completed 10%

*Sep 11 11:45:26：%7:Release completed 20%

*Sep 11 11:45:27：%7:Release completed 30%

*Sep 11 11:45:27：%7:Release completed 40%

*Sep 11 11:45:27：%7:Release completed 50%

*Sep 11 11:45:27：%7:Release completed 60%

*Sep 11 11:45:28：%7:Release completed 70%

*Sep 11 11:45:28：%7:Release completed 80%

*Sep 11 11:45:28：%7:Release completed 90%

*Sep 11 11:45:28：%7:Release completed 100%

*Sep 11 11:45:35：%7:

*Sep 11 11:45:36：%7:[Slot M1]:Upgrade processing is 10%

*Sep 11 11:45:53：%7:

*Sep 11 11:45:53：%7:[Slot FE3]:Upgrade processing is 10%

*Sep 11 11:45:54：%7:

*Sep 11 11:45:54：%7:[Slot 4]:Upgrade processing is 10%

*Sep 11 11:46:02：%7:

*Sep 11 11:46:02：%7:[Slot M1]:Upgrade processing is 60%

*Sep 11 11:46:09：%7:

*Sep 11 11:46:09：%7:[Slot FE3]:Upgrade processing is 60%

*Sep 11 11:46:16：%7:

*Sep 11 11:46:16：%7:[Slot 4]:Upgrade processing is 60%

*Sep 11 11:46:20：%7:

*Sep 11 11:46:20：%7:[Slot M1]:Upgrade processing is 90%

*Sep 11 11:46:21：%7:

6、如下红框内提示表示升级成功：

7、重启交换机

8、重启后确认交换机是否升级成功

五、功能验证

通过show version 确认版本是否为升级后的版本


一、应用场景

MGMT（Management）接口：该接口上的通信与设备上运行的业务通信是分开的，称为“带外通信”。利用这个管理用以太网接口可以对设备进行管理，但不支持通信转发功能。

采用MGMT接口管理网络有几个优点：

1、用于管理的网络与业务网络分离，这样管理就不会受到业务网络流量及通信状态的干扰，从而提高管理的可靠性，特别是当业务网络出现故障时，只要设备的IP地址能ping通，就仍可以通过管理网络远程对设备进行管理。

2、另外，与Console接口相比，MGMT接口带宽较高（MGMT vs Console=100Mbps vs 115200bps）。

3、在具备日志服务器的管理网络中，通过MGMT接口可以将日志发往日志服务器，这样日志的发送与存储也不受业务网络通信状况的影响。

使用MGMT口可以远程升级，也可以本地升级。使用MGMT口本地升级的优势在于文件传输速度较快。

运行模式下升级说明：

1、为解决软件缺陷或获取新功能，在设备运行情况下，对交换机软件版本进行升级。

2、11x交换机推荐使用U盘升级，因为安装包容量较大，其他方式较慢。使用U盘升级方便、快速。

3、CM管理板由于容量有限，机架包只能使用U盘直接升级，CMII管理板容量较大，除了能使用U盘升级外还能使用tftp拷贝到flash的方式升级。

二、组网拓扑

三、注意事项

1、主程序升级需要重启设备，会造成断网，请避开业务高峰期升级。

2、主程序升级有一定风险，请务必保证升级过程中，设备供电稳定，否则可能导致设备boot丢失（此时需要返厂维修）。

3、主程序升级前，请认真阅读版本发行说明及升级指导，同时注意比对下载的升级文件MD5值是否与发行说明提供的一致，避免因升级文件损坏造成升级失败

4、升级一般不会导致配置、日志文件，但是版本跨度较大情况下，设备命令可能存在差异，导致升级后某些命令丢失，故升级前请务必保持配置到本地PC

四、配置步骤

1、首次使用MGMT口时，使用网线将MGMT口与管理设备的网口相连。先为MGMT口设置IP地址。

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#interface mgmt 0 ------>进入vlan 1接口

Ruijie(config-if-Mgmt 0)#ip address 192.168.1.1 255.255.255.0 ------>为vlan 1接口上设置管理ip

Ruijie(config-if-Mgmt 0)#exit ------>退回到全局配置模式

2、确认交换机及管理设备上均开启telnet登录。

3、使用MGMT口管理设备或升级设备时，使用电脑 telnet登录到管理设备上。

4、确认电脑能ping通交换机，交换机也能ping通电脑

注意：电脑自带的防火墙功能要关闭，并且要退出杀毒软件，否则可能导致无法升级成功

5、确认当前的软件版本信息

4、将tftp软件（tftp软件可以从网上自行下载）及新的软件版本放入同一个目录（建议是英文路径，不建议放入中文文件夹，否则可能导致无法升级成功）。开启tftp工具，将升级文件拷贝到设备上

Ruijie#copy oob_tftp ://192.168.1.2/N18000_RGOS11.0(1)B2_CM_08050053_install.bin flash:/N18000_RGOS11.0(1)B2_CM_08050053_install.bin---->192.168.1.2是电脑的IP地址；N18000_RGOS11.0(1)B2_CM_08050053_install.bin是电脑上的主程序文件名；rgos.bin是放入交换机上的主程序名称

copy oob_tftp://192.168.1.2/N18000_RGOS11.0(1)B2_CM_08050053_install.bin flash:/N18000_RGOS11.0(1)B2_CM_08050053_install.bin

Press Ctrl+C to quit

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Accessing oobtftp://192.168.1.2/N18000_RGOS11.0(1)B2_CM_08050053_install.bin finished, 10 bytes prepared

Flushing data to flash:/test.txt...

Flush data done

5、登入交换机，在交换机上执行如下命令，设备将自动升级：

Ruijie#upgrade flash:N18000_RGOS11.0(1)B2_CM_08050053_install.bin ------>flash与机架包的名字中间不要有空格，即flash：与N18000中间不要有空格

Ruijie#Ready for release /data/ca-octeon-cm.bin

*Sep 11 11:45:23: %7:Decompress to /data/ca-octeon-cm.bin

*Sep 11 11:45:23：%7:Release completed 10%

*Sep 11 11:45:23：%7:Release completed 20%

*Sep 11 11:45:24：%7:Release completed 30%

*Sep 11 11:45:24：%7:Release completed 40%

*Sep 11 11:45:24：%7:Release completed 50%

*Sep 11 11:45:25：%7:Release completed 60%

*Sep 11 11:45:25：%7:Release completed 70%

*Sep 11 11:45:25：%7:Release completed 80%

*Sep 11 11:45:26：%7:Release completed 90%

*Sep 11 11:45:26：%7:Release completed 100%

Ready for release /data/ca-octeon-lc.bin

*Sep 11 11:45:26：%7:Decompress to /data/ca-octeon-lc.bin

*Sep 11 11:45:26：%7:Release completed 10%

*Sep 11 11:45:26：%7:Release completed 20%

*Sep 11 11:45:27：%7:Release completed 30%

*Sep 11 11:45:27：%7:Release completed 40%

*Sep 11 11:45:27：%7:Release completed 50%

*Sep 11 11:45:27：%7:Release completed 60%

*Sep 11 11:45:28：%7:Release completed 70%

*Sep 11 11:45:28：%7:Release completed 80%

*Sep 11 11:45:28：%7:Release completed 90%

*Sep 11 11:45:28：%7:Release completed 100%

*Sep 11 11:45:35：%7:

*Sep 11 11:45:36：%7:[Slot M1]:Upgrade processing is 10%

*Sep 11 11:45:53：%7:

*Sep 11 11:45:53：%7:[Slot FE3]:Upgrade processing is 10%

*Sep 11 11:45:54：%7:

*Sep 11 11:45:54：%7:[Slot 4]:Upgrade processing is 10%

*Sep 11 11:46:02：%7:

*Sep 11 11:46:02：%7:[Slot M1]:Upgrade processing is 60%

*Sep 11 11:46:09：%7:

*Sep 11 11:46:09：%7:[Slot FE3]:Upgrade processing is 60%

*Sep 11 11:46:16：%7:

*Sep 11 11:46:16：%7:[Slot 4]:Upgrade processing is 60%

*Sep 11 11:46:20：%7:

*Sep 11 11:46:20：%7:[Slot M1]:Upgrade processing is 90%

*Sep 11 11:46:21：%7:

6、如下红框内提示表示升级成功：

7、重启交换机

8、重启后确认交换机是否升级成功

五、功能验证

通过show version 确认版本是否为升级后的版本


运行模式下升级说明：

1、为解决软件缺陷或获取新功能，在设备运行情况下，对交换机软件版本进行升级。

2、热补丁包包含了若干功能组件的热补丁，通常用于修复小bug。升级该包可以为功能组件包打上补丁，无需重启设备立刻具有新的功能特性。

3、补丁包升级有基线版本，整机要先升级到相应的基线版本，再进行补丁包升级。当设备不是对应的基线版本时，可以强制升级，但强制升级可能会导致版本兼容性问题，所以不建议使用强制升级。

4、如果需要永久激活补丁，要先使用patch active命令临时激活，再使用patch running命令永久激活。

二、组网拓扑

三、配置要点

1、主程序升级有一定风险，请务必保证升级过程中，设备供电稳定，否则可能导致设备boot丢失（此时需要返厂维修）。

2、主程序升级前，请认真阅读版本发行说明及升级指导，注意比对下载的升级文件MD5值是否与发行说明提供的一致，避免因升级文件损坏造成升级失败

3、升级一般不会导致配置、日志文件，但是版本跨度较大情况下，设备命令可能存在差异，导致升级后某些命令丢失，故升级前请务必保持配置到本地PC

四、配置步骤

1、设置交换机的管理IP地址

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#interface vlan 1 ------>进入vlan 1接口

Ruijie(config-if)#ip address 192.168.1.1 255.255.255.0 ------>为vlan 1接口上设置管理ip

Ruijie(config-if)#exit ------>退回到全局配置模式

2、设置电脑IP地址，并且确认电脑能ping通交换机，交换机也能ping通电脑

注意：电脑自带的防火墙功能要关闭，并且要退出杀毒软件，否则可能导致无法升级成功

3、确认当前的软件版本信息

4、将携带有安装包的U盘插入设备的USB口中

5、登入交换机，在交换机上执行如下命令，设备将自动升级：

Ruijie#upgrade usb0:N18000_RGOS11.0(1)B2_CM_140805_patch.bin ------>usb0与机架包的名字中间不要有空格，即usb0：与N18000中间不要有空格

6、继续输入patch active 命令激活补丁：

注意：示例中使用的是patch active命令临时激活补丁，该命令使得补丁立即生效并只生效一次。当设备下电或重启后，补丁不生效。

如果要补丁永久生效，需要先使用patch active临时激活补丁，再使用patch running命令永久激活补丁。执行命令如下：

Ruijie#patch active slot all

Ruijie#patch running slot all

图片中为只针对M1引擎激活补丁，在项目实施过程中推荐以slot all方式激活补丁。

7、通过show version确认补丁包是否升级成功：

五、功能验证

通过show patch命令确认补丁升级是否正确


运行模式下升级说明：

1、为解决软件缺陷或获取新功能，在设备运行情况下，对交换机软件版本进行升级。

2、热补丁包包含了若干功能组件的热补丁，通常用于修复小bug。升级该包可以为功能组件包打上补丁，无需重启设备立刻具有新的功能特性。

3、补丁包升级有基线版本，整机要先升级到相应的基线版本，再进行补丁包升级。当设备不是对应的基线版本时，可以强制升级，但强制升级可能会导致版本兼容性问题，所以不建议使用强制升级。

4、如果需要永久激活补丁，要先使用patch active命令临时激活，再使用patch running命令永久激活。

二、组网拓扑

三、配置要点

1、升级有一定风险，请务必保证升级过程中，设备供电稳定，否则可能导致设备boot丢失（此时需要返厂维修）。

2、升级前，请认真阅读版本发行说明及升级指导，同时注意比对下载的升级文件MD5值是否与发行说明提供的一致，避免因升级文件损坏造成升级失败

3、升级一般不会导致配置、日志文件，但是版本跨度较大情况下，设备命令可能存在差异，导致升级后某些命令丢失，故升级前请务必保存配置到本地PC

四、配置步骤

1、设置交换机的管理IP地址

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#interface vlan 1 ------>进入vlan 1接口

Ruijie(config-if)#ip address 192.168.1.1 255.255.255.0 ------>为vlan 1接口上设置管理ip

Ruijie(config-if)#exit ------>退回到全局配置模式

2、设置电脑IP地址，并且确认电脑能ping通交换机，交换机也能ping通电脑

注意：电脑自带的防火墙功能要关闭，并且要退出杀毒软件，否则可能导致无法升级成功

3、确认当前的软件版本信息

4、将tftp软件（tftp软件可以从网上自行下载）及新的软件版本放入同一个目录（建议是英文路径，不建议放入中文文件夹，否则可能导致无法升级成功）。开启tftp工具，将补丁包拷贝到设备上

Ruijie#copy tftp://192.168.1.2/N18000_RGOS11.0(1)B2_CM_140805_patch.bin flash:/N18000_RGOS11.0(1)B2_CM_140805_patch.bin---->192.168.1.2是电脑的IP地址；N18000_RGOS11.0(1)B2_CM_140805_patch.bin是电脑上的主程序文件名；rgos.bin是放入交换机上的主程序名称

copy tftp://192.168.1.2/N18000_RGOS11.0(1)B2_CM_140805_patch.bin flash:/N18000_RGOS11.0(1)B2_CM_140805_patch.bin

Press Ctrl+C to quit

!!!!!!!!!!!!!!!!

Accessing tftp://192.168.1.2/N18000_RGOS11.0(1)B2_CM_140805_patch.bin finished, 10 bytes prepared

Flushing data to flash:/N18000_RGOS11.0(1)B2_CM_140805_patch.bin...

Flush data done

5、登入交换机，在交换机上执行如下命令，设备将自动升级：

Ruijie#upgrade flash:N18000_RGOS11.0(1)B2_CM_140805_patch.bin ------>flash与机架包的名字中间不要有空格，即flash：与N18000中间不要有空格

6、继续输入patch active 命令激活补丁：

注意：示例中使用的是patch active命令临时激活补丁，该命令使得补丁立即生效并只生效一次。当设备下电或重启后，补丁不生效。

如果要补丁永久生效，需要先使用patch active临时激活补丁，再使用patch running命令永久激活补丁。

Ruijie#patch active slot all

Ruijie#patch running slot all

图片中为只针对M1引擎激活补丁，在项目实施过程中推荐以slot all方式激活补丁。

7、通过show version确认补丁包是否升级成功：

五、功能验证

通过show patch命令确认补丁升级是否正确


一、应用场景

MGMT（Management）接口：该接口上的通信与设备上运行的业务通信是分开的，称为“带外通信”。利用这个管理用以太网接口可以对设备进行管理，但不支持通信转发功能。

采用MGMT接口管理网络有几个优点：

1、用于管理的网络与业务网络分离，这样管理就不会受到业务网络流量及通信状态的干扰，从而提高管理的可靠性，特别是当业务网络出现故障时，只要设备的IP地址能ping通，就仍可以通过管理网络远程对设备进行管理。

2、另外，与Console接口相比，MGMT接口带宽较高（如100M vs 115200bps）。

3、在具备日志服务器的管理网络中，通过MGMT接口可以将日志发往日志服务器，这样日志的发送与存储也不受业务网络通信状况的影响。

使用MGMT口可以远程升级，也可以本地升级。使用MGMT口本地升级的优势在于文件传输速度较快。

运行模式下升级说明：

1、为解决软件缺陷或获取新功能，在设备运行情况下，对交换机软件版本进行升级。

2、热补丁包包含了若干功能组件的热补丁，通常用于修复小bug。升级该包可以为功能组件包打上补丁，无需重启设备立刻具有新的功能特性。

3、补丁包升级有基线版本，整机要先升级到相应的基线版本，再进行补丁包升级。当设备不是对应的基线版本时，可以强制升级，但强制升级可能会导致版本兼容性问题，所以不建议使用强制升级。

4、如果需要永久激活补丁，要先使用patch active命令临时激活，再使用patch running命令永久激活。

二、组网拓扑

三、配置要点

1、升级有一定风险，请务必保证升级过程中，设备供电稳定，否则可能导致设备boot丢失（此时需要返厂维修）。

2、升级前，请认真阅读版本发行说明及升级指导，同时注意比对下载的升级文件MD5值是否与发行说明提供的一致，避免因升级文件损坏造成升级失败

3、升级一般不会导致配置、日志文件，但是版本跨度较大情况下，设备命令可能存在差异，导致升级后某些命令丢失，故升级前请务必保存配置到本地PC

四、配置步骤

1、首次使用MGMT口时，使用网线将MGMT口与管理设备的网口相连。先为MGMT口设置IP地址。

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#interface mgmt 0 ------>进入vlan 1接口

Ruijie(config-if-Mgmt 0)#ip address 192.168.1.1 255.255.255.0 ------>为vlan 1接口上设置管理ip

Ruijie(config-if-Mgmt 0)#exit ------>退回到全局配置模式

2、确认交换机及管理设备上均开启telnet登录。

3、使用MGMT口管理设备或升级设备时，使用电脑 telnet登录到管理设备上。

4、确认电脑能ping通交换机，交换机也能ping通电脑

注意：电脑自带的防火墙功能要关闭，并且要退出杀毒软件，否则可能导致无法升级成功

3、确认当前的软件版本信息

4、将tftp软件（tftp软件可以从网上自行下载）及新的软件版本放入同一个目录（建议是英文路径，不建议放入中文文件夹，否则可能导致无法升级成功）。开启tftp工具，将补丁包拷贝到设备上

Ruijie#copy oob_tftp://N18000_RGOS11.0(1)B2_CM_140805_patch.bin flash:/N18000_RGOS11.0(1)B2_CM_140805_patch.bin------>192.168.1.2是电脑的IP地址；N18000_RGOS11.0(1)B2_CM_140805_patch.bin是电脑上的主程序文件名；rgos.bin是放入交换机上的主程序名称

copy oob_tftp://192.168.1.2/N18000_RGOS11.0(1)B2_CM_140805_patch.bin flash:/N18000_RGOS11.0(1)B2_CM_140805_patch.bin

Press Ctrl+C to quit

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Accessing tftp://192.168.1.2/N18000_RGOS11.0(1)B2_CM_140805_patch.bin finished, 10 bytes prepared

Flushing data to flash:/N18000_RGOS11.0(1)B2_CM_140805_patch.bin...

Flush data done

5、登入交换机，在交换机上执行如下命令，设备将自动升级：

Ruijie#upgrade flash:N18000_RGOS11.0(1)B2_CM_140805_patch.bin ------>flash与机架包的名字中间不要有空格，即flash：与N18000中间不要有空格

6、继续输入patch active 命令激活补丁：

注意：示例中使用的是patch active命令临时激活补丁，该命令使得补丁立即生效并只生效一次。当设备下电或重启后，补丁不生效。

如果要补丁永久生效，需要先使用patch active临时激活补丁，再使用patch running命令永久激活补丁。

Ruijie#patch active slot all

Ruijie#patch running slot all

图片中为只针对M1引擎激活补丁，在项目实施过程中推荐以slot all方式激活补丁。

7、通过show version确认补丁包是否升级成功：

五、功能验证

通过show patch命令确认补丁升级是否正确


一、问题描述（如下以78E为例）：

客户的78E单引擎+1张EB卡，出现EB卡无法识别的情况，console线插入线卡发现线卡一直在重启，console线插入引擎，通过show version detail 发现版本是：S7800E_RGOS 11.0(1)B2（M00532809022014）//release代表的是2014年09月2日

Ruijie#show version detail

System description : Ruijie High-density IPv6 100G Core Routing Switch(S7805E) By Ruijie Networks

System start time : 2014-12-28 10:58:48

System uptime : 0:00:51:20

System hardware version : 1.00

System software version : S7800E_RGOS 11.0(1)B2

System patch number : NA

System software number : M00532809022014

System serial number : G1HL524000127

System boot version : 1.2.7.ef4d454(140722)

System core version : 2.6.32.dcfcf416d758ea

System cpu partition : 2-3

Module information:

Slot M1 : M7800E-CM

Hardware version : 1.00

System start time : 2014-12-28 10:58:48

Boot version : 1.2.7.ef4d454(140722)

Software version : S7800E_RGOS 11.0(1)B2

Software number : M00532809022014

Serial number : G1HL524000127

【处理步骤】

一、 将以下两个文件拷入U盘，并且将小包名由

main_ca-octeon-lc_RGOS11.0(3)B1_01241813.bin重命名为main_ca-octeon-lc.bin，然后将U盘插入引擎；

线卡小包：main_ca-octeon-lc_RGOS11.0(3)B1_01241813.bin 重命名为main_ca-octeon-lc.bin

主程序：S7800E_RGOS11.0(3)B1_CM_01241814_install.bin

**************************以下在引擎上执行*****************************

二、整机在拔出EB卡的情况下，升级到11.0(3)B1，步骤如下：

1、dir usb0:/确认文件在u盘中，而且文件大小无误；

2、通过命令upgrade usb0:S7800E_RGOS11.0(3)B1_CM_01241814_install.bin升级：

Ruijie#upgrade usb0:S7800E_RGOS11.0(3)B1_CM_01241814_install.bin

Ruijie#Ready for release /mnt/usb0/ca-octeon-cm.bin

*Dec 28 11:57:23: %7: Decompress to /mnt/usb0/ca-octeon-cm.bin

*Dec 28 11:57:24: %7: Release completed 10%

*Dec 28 11:57:24: %7: Release completed 20%

*Dec 28 11:57:25: %7: Release completed 30%

*Dec 28 11:57:25: %7: Release completed 40%

*Dec 28 11:57:26: %7: Release completed 50%

*Dec 28 11:57:26: %7: Release completed 60%

*Dec 28 11:57:27: %7: Release completed 70%

*Dec 28 11:57:27: %7: Release completed 80%

*Dec 28 11:57:28: %7: Release completed 90%

*Dec 28 11:57:28: %7: Release completed 100%

*Dec 28 11:58:00: %7: [Slot M1]:Upgrade processing is 10%

*Dec 28 11:58:21: %7: [Slot M1]:Upgrade processing is 60%

*Dec 28 12:00:23: %7: [Slot M1]:Upgrade processing is 90%

*Dec 28 12:00:25: %7: [Slot M1]:

*Dec 28 12:00:25: %7: Upgrade info [OK]

*Dec 28 12:00:25: %7: Kernel version[2.6.32.dcfcf416d758ea->2.6.32.4fbb9cc8be12f6]

*Dec 28 12:00:25: %7: Rootfsversion[1.0.0.09da5efa->1.0.0.5e842dee]

*Dec 28 12:00:25: %7: [Slot M1]:Reload system to take effect!

*Dec 28 12:00:28: %7: [Slot M1]:Upgrade processing is 100%

*Dec 28 12:00:29: %7: %PKG_MGMT:auto-syncconfig synchronization, Please wait for a moment....

*Dec 28 12:00:29: %7: [Slot M1]

*Dec 28 12:00:29: %7: device_name: ca-octeon-cm

*Dec 28 12:00:30: %7: status: SUCCESS

3、show upgrade status确认下线卡是否升级成功

4、确认升级成功后，整机重启

S7805E#reload

Reload system?(y/N)y

五、重启完成后，插入线卡，看是否能够自动同步；若能同步再重启一把测试结果；若不能同步，则继续如下步骤：

六、开始进行线卡的升级：

将需要升级小包拷贝到主管理板的tmp目录下

备注：要确保第一步中将线卡的小包进行了重命名，修订成了main_ca-octeon-lc.bin，否则拷贝不成功。

1、 全局模式下执行，run-system-shell命令进入shell界面

2. 重新开启tftp进程

1） cd /mnt/usb0

2） pkill recover_server

3） uboot-tftp-srv //开启tftp进程

4）ps -e | grep tftp //看下tftp进程是否正常

以上三步执行示例如下：

Ruijie#run-system-shell

~ #cd /mnt/usb0

/mnt/usb0 # pkill recover_server

/mnt/usb0 # uboot-tftp-srv

killall: upgrade_inotify_path: no process killed

killall: in.tftpd: no process killed

/mnt/usb0 # sh: turning off NDELAY mode

/mnt/usb0 # ps -e | grep tftp

1864 ? 00:00:00 tftp_tipc_serve

3837 ? 00:00:00 in.tftpd

**************************以下在线卡上执行*****************************

六、准备擦除故障板卡原来的bin文件，步骤如下（格式化线卡）：

1、console口插入线卡，然后将故障板卡插入设备：

1）按ctrl+c进入uboot

====== BootLoaderMenu("Ctrl+Z" to upper level) ======

TOP menu items.

************************************************

0. Tftp utilities.

1. XModem utilities.

2. Run main.

3. SetMac utilities.

4. Scattered utilities.

************************************************

Press a key to run the command:

2）输入4（即选择4. Scattered utilities）

====== BootLoaderMenu("Ctrl+Z" to upper level) ======

Scattered utilities.

************************************************

0. Show the bootloader version.

1. Reload system.

2. Set baudrate.

3. Advanced settings.

************************************************

Press a key to run the command:

3）输入 3（即选择3. Advanced settings）

====== BootLoaderMenu("Ctrl+Z" to upper level) ======

Advanced settings.

************************************************

0. Set isolatecpus.

1. Set Fast boot.

2. Set Support Shell.

3. Open/Close debug switch.

4. Format flash filesystem.

5. Set default environment.

************************************************

Press a key to run the command:

4）输入 4（即选择4. Format flash filesystem.），格式化板卡的文件系统

2、格式化故障板卡的文件系统结束后，重新插拔下故障板卡，等待一分钟后，

如果出现多个#####的字符输出时，则表示升级成功，需要输入(y/n)时，输入y

**************************以下在引擎上执行*****************************

七、待故障板卡升级完成后，整机下电重启下，并通过show version detail确认版本是否升级成功。

备注：如果是防火墙卡识别不到，或者一键没有升级成功的话，不能采用线卡的小包升级，需要采用对应版本的防火墙卡特有的小包升级。

若线卡的uboot较低（低于1.2.9），还需要升级线卡的uboot，步骤如下：

1. 线卡接串口线,通过xmorden升级故障板卡的uboot,升级步骤如下:

1) 重启线卡,且在起机时按crtl+c,进入uboot界面

====== BootLoader Menu("Ctrl+Z" to upper level) ======

TOP menu items.

************************************************

0. Tftp utilities.

1. XModem utilities.

2. Run main.

3. SetMac utilities.

4. Scattered utilities.

************************************************

Press a key to run the command:

2）输入 1（即选择1. XModem utilities）.

====== BootLoader Menu("Ctrl+Z" to upper level) ======

XModem utilities.

************************************************

0. Upgrade bootloader.

1. Upgrade kernel and rootfs by install package.

2. Upgrade the entire device by distribute package.

************************************************

Press a key to run the command:

3）输入 0（即选择0. Upgrade bootloader.）,然后点击SecuCRT的传输，发送xmodem，然后选择对应uboot文件即可升级。

4） 出现需要(y/n)时，输入y


接口配置命令的使用
您可在全局配置模式下使用 interface 命令进入接口配置模式。
Ruijie(config)# interface interface-id 在全局配置模式下输入 interface 命令，进入接口配置模式。

【例】进入 Gigabitethernet 2/1 接口进行配置：
Ruijie(config)# interface gigabitethernet 2/1
Ruijie(config-if)#


重要说明：

交换机互联的重要接口均要求配置端口描述，以方便进行日常维护及故障排查。可以参考Link-对端设备名-对端接口名的规则，灵活制定描述信息。例如可以如下配置端口描述信息：

Ruijie(config-if-GigabitEthernet 0/1)#description Link-to-WLZX_Core_S8610_1-G1/2

交换机接口描述配置

对交换机的g0/1口进行描述

Ruijie#configure terminal

Ruijie(config)#interface gigabitEthernet 0/1

Ruijie(config-if-GigabitEthernet 0/1)#description Link-to-Core-S8610_1-G2/3

Ruijie(config-if-GigabitEthernet 0/1)#end

Ruijie#write ------>确认配置正确，保存配置

查看配置

Ruijie#show interfaces description

Interface Status Administrative Description

------------------------ -------- -------------- -----------

GigabitEthernet 0/1 down up Link-to-Core-S8610_1-G2/3

GigabitEthernet 0/2 down up

GigabitEthernet 0/3 down up


批量化接口配置（配置一定范围的接口）：

1、在全局配置模式下使用 interface range，但是定义在一个范围内的接口必须是相同类型和具有相同特性的（即或者全是 fastethernet， gigabitethernet 或者全是 Aggregate Port，或者全是 SVI）。

2、interface range 命令可以指定若干范围段，每个范围段可以使用逗号（，）隔开，当使用 interface range 命令时，请注意 range 参数的格式。有效的接口范围格式：
vlan vlan-ID - vlan-ID， VLAN ID 范围 1～4094，如interface range vlan 1-10
Gigabitethernet slot/{第一个 port} - {最后一个 port}，如interface range Gigabitethernet1/1-10
Aggregate Port Aggregate port 号 - Aggregate port 号， 范围 1～MAX，如interface range Aggregate 1-2

【例1】进入gigabitethernet 1/1 – 10，一次对10个接口进行配置：
Ruijie# configure terminal
Ruijie(config)# interface range gigabitethernet 1/1 - 10
Ruijie(config-if-range)# no shutdown
Ruijie(config-if-range)#

【例2】进入1/1-5, 1/7-8，对不连续的7个接口进行配置（下面的例子使用分隔符号（，）隔开多个 range）
Ruijie# configure terminal
Ruijie(config)# interface range gigabitethernet 1/1-5, 1/7-8


将接口恢复出厂配置

通过default将命令将接口恢复为出厂配置，如可以在配置模式下，将G0/1接口恢复为出厂配置：

Ruijie(config)#default interface gigabitEthernet 0/1


接口关闭和打开

设备的接口默认是打开状态

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆)，以下配置以百兆接口为例。

关闭接口：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#interface FastEthernet 0/1 ------>进入第一个百兆接口

Ruijie(config-if-FastEthernet 0/1)#shutdown ------>关闭接口

Ruijie(config-if-FastEthernet 0/1)#end

Ruijie#write ------>确认配置正确，保存配置

打开接口：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#interface FastEthernet 0/1 ------>进入第一个百兆接口

Ruijie(config-if-FastEthernet 0/1)#no shutdown ------>打开接口，默认端口处于no shutdown状态

Ruijie(config-if-FastEthernet 0/1)#end

Ruijie#write ------>确认配置正确，保存配置


重要说明：

默认一般交换机的速率和双工都是自适应的，通常无需进行调整。如果对端设备不支持自协商，则自协商一端协商结果会成为半双工。为了保障两端双工一致，可手工强制速率和双工。

交换机端口双工速率配置

交换机的g0/1口速率设置为100M：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#int gigabitEthernet 0/24

Ruijie(config-if-GigabitEthernet 0/24)#speed 100

Ruijie(config-if-GigabitEthernet 0/24)#end

Ruijie#write ------>确认配置正确，保存配置

交换机的g0/1口设置为全双工

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#int gigabitEthernet 0/24

Ruijie(config-if-GigabitEthernet 0/24)#duplex full

Ruijie(config-if-GigabitEthernet 0/24)#end

Ruijie#write

交换机接口流控配置

将交换机g0/1口的接口流控功能关闭

Ruijie#configure terminal

Ruijie(config)#interface gigabitEthernet 0/1

Ruijie(config-if-GigabitEthernet 0/1)#flowcontrol off

Ruijie(config-if-GigabitEthernet 0/1)#end

Ruijie#write ------>确认配置正确，保存配置

说明：默认交换机的流控功能自动或开启，不同的设备默认值不同，可以通过show interfaces确认

查看配置

Ruijie#show interfaces status


重要说明：

1、对于光电复用的接口，光口和电口的端口标示一致，需要根据实际需求配置使用光口或电口；

2、在设备命名中SFP表示光接口，GT表示电接口。

例1：S5750-24GT/12SFP：12个独立电口，12个光电复用接口，默认使用电口

例2：S5750-24SFP/12GT：12个独立光口，12个光电复用接口，默认使用光口

如果要调整接口的默认使用介质，必须使用命令进行切换。

交换机光电复用口配置

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆)，以下配置以千兆接口为例。

1）将交换机的23号电口转换为光口

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#interface gigabitEthernet 0/23

Ruijie(config-if-GigabitEthernet 0/23)#medium-type fiber ------>将电口转换为光口

Ruijie(config-if-GigabitEthernet 0/23)#end

Ruijie#write ------>确认配置正确，保存配置

2）将交换机的23号光口转换为电口

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#interface gigabitEthernet 0/23

Ruijie(config-if-GigabitEthernet 0/23)#medium-type copper ------>将光口转换为电口

Ruijie(config-if-GigabitEthernet 0/23)#end

Ruijie#write ------>确认配置正确，保存配置

查看配置

1、查看是否更改成功：

Ruijie#show interfaces status

Interface Status Vlan Duplex Speed Type

-------------------------------- -------- ------ ------- --------- ------

GigabitEthernet 0/22 down 1 Unknown Unknown copper

GigabitEthernet 0/23 up 1 Full 1000M fiber

GigabitEthernet 0/24 down 1 Unknown Unknown copper

2、查看光模块的信息

Ruijie#show interfaces g0/23 transceiver

Transceiver Type : 1000BASE-LX-SFP ------>光模块的型号

Connector Type : LC ------>光模块的接头类型

Wavelength(nm) : 1310 ------>光模块的波长

Transfer Distance : ------>光模块传输距离

SMF fiber

-- 10km

50/125 um OM2 fiber

-- 550m

62.5/125 um OM1 fiber

-- 550m

Digital Diagnostic Monitoring : NO ------>不支持DDM，如果支持DDM，将支持查看光模块的发送光强和接收光强等信息

Vendor Serial Number : LP201093226676 ------>光模块序列号

3、查看光模块发送接收光强（这里以一个万兆模块来测试）：

Ruijie#show interfaces tenGigabitEthernet 1/25 transceiver diagnosis

Current diagnostic parameters[AP:Average Power]:

Temp(Celsius) Voltage(V) Bias(mA) RX power(dBm) TX power(dBm)

26(OK)
3.26(OK)
5.22(OK)
-3.65(OK)[AP]       -2.09(OK)

可以看到发送光强（TX），接收光强（RX）各是多少

4、查看光模块的告警信息

Ruijie#show interfaces tenGigabitEthernet 1/25 transceiver alarm ------>查看告警信息，如果只插光模块，没有与对端互联，会显示如下告警。如果光模块运行正常，则显示none

RX power low

RX loss of signal

Module not ready

RX not ready

RX CDR loss of lock

Ruijie#show interfaces tenGigabitEthernet 1/25 transceiver alarm ------>光模块UP后，查看告警信息为无

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆)，以下配置以千兆接口为例。

gigabitEthernet 0/24使用电接口：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#interface gigabitEthernet 0/24

Ruijie(config-if-GigabitEthernet 0/24)#medium-type copper ------>使用电接口，接RJ45的线缆

Ruijie(config-if-GigabitEthernet 0/24)#end

Ruijie#write ------>确认配置正确，保存配置

gigabitEthernet 0/24使用光接口：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#interface gigabitEthernet 0/24

Ruijie(config-if-GigabitEthernet 0/24)#medium-type fiber ------>使用光接口，接光纤线缆；

Ruijie(config-if-GigabitEthernet 0/24)#end

Ruijie#write ------>确认配置正确，保存配置


重要说明：

如果交换机端口配置为TRUNK，默认允许所有本交换机已创建VLAN的报文通过，全网TRUNK互联的情况下，整网的广播组播未知名单播都可能会泛洪到交换机上，导致端口、链路拥塞、大量协议报文（例如ARP）送CPU处理导致设备管理面出现异常（无法管理，CLI响应慢等现象），所以在项目实施中，规范性要求端口务必配置TRUNK裁减，只允许放通的VLAN报文通过。

1. 交换机access口配置

将交换机的10号口配置为access口，并且属于vlan100

Ruijie>enable

Ruijie(config)#interface gigabitEthernet 1/10

Ruijie(config-if-GigabitEthernet 1/10)#switchport access vlan 100

Ruijie(config-if-GigabitEthernet 1/10)#end

Ruijie#write

说明：

交换机如果没有配置，那么默认所有端口都是access口。如果端口被配置为trunk口，需要改为access口，需要先在接口下敲switchport mode access，否则不生效，例如原来的trunk口配置改为access口，属于access vlan 100，命令如下：

Ruijie#show run interface gigabitEthernet 1/10 ------>查看配置

Building configuration...

Current configuration : 56 bytes

interface GigabitEthernet 1/10

switchport mode trunk

Ruijie#configure terminal

Ruijie(config)#interface gigabitEthernet 1/10

Ruijie(config-if-GigabitEthernet 1/10)#switchport mode access ------>设置为access模式

Ruijie(config-if-GigabitEthernet 1/10)#switchport access vlan 100

Ruijie(config-if-GigabitEthernet 1/10)#end

查看配置

Ruijie(config-if-GigabitEthernet 1/10)#show vlan

VLAN Name Status Ports

---- -------------------------------- --------- -----------------------------------

1 VLAN0001 STATIC Gi1/1, Gi1/2, Gi1/3, Gi1/4

Gi1/5, Gi1/6, Gi1/7, Gi1/8

Gi1/9, Gi1/13, Gi1/14, Gi1/15

Gi1/16, Gi1/17, Gi1/18, Gi1/19

Gi1/20, Gi1/21, Gi1/22, Gi1/23

Gi1/24, Gi1/25, Gi1/26, Gi1/27

Gi1/28, Gi1/29, Gi1/30, Gi1/31

Gi1/32, Gi1/33, Gi1/34, Gi1/35

Gi1/36, Gi1/37, Gi1/38, Gi1/39

Gi1/40, Gi1/41, Gi1/42, Gi1/43

Gi1/44, Te1/45, Te1/46, Te1/47

Te1/48, Gi4/1, Gi4/2, Gi4/3

100 VLAN0 100 STATIC Gi1/1, Gi1/10, Te1/45, Te1/46

Te1/47

2. 交换机TRUNK口配置

将交换机的45号口配置为trunk口

Ruijie(config)#interface TenGigabitEthernet 1/45

Ruijie(config-if-TenGigabitEthernet 1/45)#switchport mode trunk

Ruijie(config-if-TenGigabitEthernet 1/45)#end

查看配置

Ruijie#show interfaces trunk

Interface Native VLAN VLAN lists

-------------------------------- ----------- ----------------------

TenGigabitEthernet 1/45 1 ALL ------>native vlan是1，ALL表示允许所有的vlan通过

TenGigabitEthernet 1/46 1 ALL

TenGigabitEthernet 1/47 1 ALL

3. TRUNK口VLAN裁剪（必配）

交换机的1号口配置为trunk口，并且只允许vlan 5、vlan 10、vlan20-30通过，其余vlan不允许通过

Ruijie#configure terminal

Ruijie(config)#interface gigabitEthernet 1/1

Ruijie(config-if-GigabitEthernet 1/1)#switchport mode trunk

Ruijie(config-if-GigabitEthernet 1/1)#switchport trunk allowed vlan remove 1-4,6-9,11-19,31-4094 ------>交换机默认允许所有本地已创建的vlan通过，如果只需要配置只允许相应vlan通过，需要把不允许通过的vlan给裁剪掉

Ruijie(config-if-GigabitEthernet 1/1)#end

Ruijie#wr


重要说明：

一般在接入、汇聚交换机上配风暴控制功能：

1）对于接入交换机，推荐应该在连接用户的端口上配置广播/组播风暴抑制，避免大量广播/组播泛洪，上联口无需配置。

2）对于汇聚交换机在接入交换机不支持风暴控制的前提下，推荐配置风暴控制，但应适当放大连接接入交换机端口的限速粒度，例如可以保持默认的1%带宽限制，上联口无需配置。

3）如果接入交换机已经配置风暴控制，汇聚交换机无需配置。

4）在同传网络环境，同传传输速率慢。可能是因为交换机开启风暴控制功能，导致同传数据被限制，导致无法高速传输。此时建议关闭风暴控制功能观察。

默认1%端口带宽的报文限速有一定抑制作用，但由于接口速率通常为100M/1000M，限速粒度依然偏大。

推荐在实际使用中，使用PPS可以将广播/组播/未知名单播限制的更小，一般接入交换机端口PPS可以选择100-300以内均可。

交换机广播风暴配置

将1号口的广播风暴功能开启，并且限制广播风暴的等级为1，即端口带宽的1%，

Ruijie>enable

Ruijie#configure termina

Ruijie(config)#interface gigabitEthernet 1/1 ------>可以使用interface range命令批量对端口设置相同的控制策略。

Ruijie(config-if-GigabitEthernet 1/1)#storm-control broadcast level 1 ------>开启广播风暴抑制，等级为1，即端口带宽的1%，即1G的1%，10M。

Ruijie(config-if-GigabitEthernet 1/1)#storm-control unicast level 1 ------>开启未知名单播风暴抑制（报文目标MAC地址交换机没有学习到，等级为1，即端口带宽的1%，即1G的1%，10M。

Ruijie(config-if-GigabitEthernet 1/1)#storm-control multicast level 1

也可以通过PPS来限速，比如限制每S通过的广播报文数量为200PPS，storm-control broadcast pps 200

Ruijie(config-if-GigabitEthernet 1/1)#storm-control broadcast pps 200

Ruijie(config-if-GigabitEthernet 1/1)#storm-control unicast pps 200

Ruijie(config-if-GigabitEthernet 1/1)#storm-control multicast pps 200

Ruijie(config-if-GigabitEthernet 1/1)#end

查看配置

Ruijie#show storm-control

Interface Broadcast Control Multicast Control Unicast Control Action

------------------------- ----------------- ----------------- --------------- --------

GigabitEthernet 1/1 1 % 1 % 1 % none

GigabitEthernet 1/2 Disabled Disabled Disabled none

GigabitEthernet 1/3 Disabled Disabled Disabled none


1、配置SVI接口，并配置IP地址：

配置命令：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#interface vlan 1 ------>进入vlan接口，实际使用中建议使用非VLAN 1

Ruijie(config-if-VLAN 1)#ip address 192.168.1.1 255.255.255.0

Ruijie(config-if-VLAN 1)#end

Ruijie#write ------>确认配置正确，保存配置

说明：

1、如果不是vlan 1，是其他vlan，在进入vlan接口配置时，需要先创建相应的vlan，否则会提示失败。例如创建vlan 100的ip地址为192.168.100.1/24，命令如下：

Ruijie(config)#vlan 100

Ruijie(config-vlan)#exit

Ruijie(config)#interface vlan 100

Ruijie(config-if-VLAN 100)#ip address 192.168.100.1 255.255.255.0

Ruijie(config-if-VLAN 100)#end

Ruijie#

查看配置

Ruijie#show ip int brief

Interface IP-Address(Pri) IP-Address(Sec) Status Protocol

VLAN 1 192.168.1.1/24 no address up up

VLAN 100 192.168.100.1/24 no address up up

2、配置No Switchport接口，并配置IP地址：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#int FastEthernet 0/1

Ruijie(config-if-FastEthernet 0/1)#no switchport ------>将端口设置为三层口，配置IP地址之前必须要先变为三层口，否则无法配置IP地址

Ruijie(config-if-FastEthernet 0/1)#ip add 192.168.16.1 255.255.255.0

Ruijie(config-if-FastEthernet 0/1)#end

Ruijie#write ------>确认配置正确，保存配置

查看配置

Ruijie#show ip int brief

Interface IP-Address(Pri) IP-Address(Sec) Status Protocol

GigabitEthernet 0/1 192.168.16.1/24 no address up up


应用场景：

端口保护适用于同一台交换机下需要进行用户二层隔离的场景，比如不允许同一个vlan内的用户互访，必须完全隔离，防止病毒扩散攻击等。端口保护推荐交换机每个端口接一个用户，这样才能基于端口进行精确访问控制，对于下联一个HUB再接多个用户的情况，交换机无法阻止HUB下的这些PC互访。

端口保护的优点是配置简单，缺点是对于48端口的产品（通常是双MAC芯片构成），前24口和后24口之间的端口保护不生效，堆叠设备主机和从机之前也无法生效，如有需求，可使用PVLAN方案来实现。

功能简介：

端口保护：端口保护是用来保护端口之间的通信，当端口设为保护口之后，保护口之间互相无法通讯，但保护口与非保护口之间可以正常通讯。保护口有两种模式，一种是阻断保护口之间的二层交换，但允许保护口之间进行路由，第二种是同时阻断保护口之间的二层交换和阻断路由；在两种模式都支持的情况下，第一种模式将作为缺省配置模式。

在VSU模式或VSD模式下，端口保护均有效。

一、组网需求

拓扑如下，PC1、PC2属于vlan 10，PC3属于vlan 20，需要实现PC1、PC2、PC3之间不能访问，但是它们都能上外网。

二、组网拓扑

三、配置要点

1、由于PC1与PC2都属于vlan 10，可以通过配置端口保护来实现同网段之间的访问隔离，注意上联口不要开启。

2、PC3与PC1、PC2属于不同vlan，可以在PC3所连接的端口开启端口保护，并且全局开启路由阻断功能实现不同网段之间路由阻断

四、配置步骤

交换机配置：

Ruijie#configure terminal

Ruijie(config)#vlan 10

Ruijie(config-vlan)#vlan 20

Ruijie(config-vlan)#exit

Ruijie(config)#interface vlan 10

Ruijie(config-if-VLAN 10)#ip address 192.168.10.254 255.255.255.0

Ruijie(config-if-VLAN 10)#interface vlan 20

Ruijie(config-if-VLAN 20)#ip address 192.168.20.254 255.255.255.0

Ruijie(config-if-VLAN 20)#exit

Ruijie(config)#interface GigabitEthernet 0/1

Ruijie(config-if-GigabitEthernet 0/1)#switchport access vlan 10

Ruijie(config-if-GigabitEthernet 0/1)#switchport protected ------>接口开启端口保护

Ruijie(config-if-GigabitEthernet 0/1)#interface GigabitEthernet 0/2

Ruijie(config-if-GigabitEthernet 0/2)#switchport access vlan 10

Ruijie(config-if-GigabitEthernet 0/2)#switchport protected ------>接口开启端口保护

Ruijie(config-if-GigabitEthernet 0/2)#interface GigabitEthernet 0/3

Ruijie(config-if-GigabitEthernet 0/3)#switchport access vlan 20

Ruijie(config-if-GigabitEthernet 0/3)#switchport protected ------>接口开启端口保护

Ruijie(config-if-GigabitEthernet 0/3)#exit

Ruijie(config)#protected-ports route-deny ------>全局开启路由隔离功能，这样配置了端口保护的端口之间就不能进行三层访问，仅部分产品支持。

Ruijie(config)#end

Ruijie#wr

重要说明：

1）配置了端口保护后，保护口之间互相无法通讯，但保护口与非保护口之间可以正常通讯

2）端口保护只能在同一台交换机生效，例如PC1属于SWA，PC2属于SWB，SWA和SWB都配置了端口保护功能，并且他们属于同网段，那么PC1和PC2之间依然可以访问，如果要实现跨交换机隔离功能生效需要使用PVLAN功能实现

五、功能验证

1、查看端口配置信息，可以看到端口保护在g0/1-3口是enabled的

2、同时可以验证PC1、PC2、PC3之间是无法ping通的，ARP也无法学习得到


一、组网需求：

1、如下图所示，某用户内网被划分为VLAN 10、VLAN 20、VLAN 30，以实现相互间的2 层隔离；

2、3 个VLAN 对应的IP 子网分别为192.168.10.0/24 、192.168.20.0/24 、192.168.30.0/24，3 个VLAN 通过3 层核心交换机的IP 转发能力实现子网互连。

二、组网拓扑：

三、配置要点：

本用例以核心交换机和1 台接入交换机为例说明配置过程。要点如下：

1）在核心交换机配置3 个VLAN，配置下连接入交换机的端口为trunk 口

2）在核心交换机配置3 个SVI 口，分别作为3 个VLAN 对应IP 子网的网关接口，配置对应的IP 地址；

3）分别在3 台接入交换机创建VLAN，为各VLAN 分配Access 口，指定上连核心交换机的trunk 口。本用例以接入交换机Switch A 为例说明配置步骤。

四、配置步骤：

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置千兆接口为例。

核心交换机的配置：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#vlan 10 ------>创建VLAN 10

Ruijie(config-vlan)#vlan 20 ------> 创建VLAN 20

Ruijie(config-vlan)#vlan 30 ------>创建VLAN 30

Ruijie(config-vlan)#exit

Ruijie(config)#interface range GigabitEthernet 0/2-4 ------>配置该端口Gi 0/2-4 都为trunk 口

Ruijie(config-if-range)#switchport mode trunk

Ruijie(config-if-range)#exit

Ruijie(config)#interface vlan 10 ------>创建SVI 10

Ruijie(config-if)#ip address 192.168.10.1 255.255.255.0 ------>配置vlan 10的网关地址

Ruijie(config-if)#interface vlan 20 ------> 创建SVI 20

Ruijie(config-if)#ip address 192.168.20.1 255.255.255.0 ------> 配置vlan 20的网关地址

Ruijie(config-if)#interface vlan 30 ------>创建SVI 30

Ruijie(config-if)#ip address 192.168.30.1 255.255.255.0 ------> 配置vlan 20的网关地址

Ruijie(config-if)#end ------>退出到特权模式

Ruijie#write ------>确认配置正确，保存配置

接入交换机Switch A上的配置：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#vlan 10

Ruijie(config-vlan)#vlan 20

Ruijie(config-vlan)#exit

Ruijie(config)#interface range GigabitEthernet 0/2-12

Ruijie(config-if)#switchport access vlan 10 ------>将端口Gi0/2-12 分配给VLAN 10

Ruijie(config-if)#interface range GigabitEthernet 0/13-24

Ruijie(config-if)#switchport access vlan 20 ------> 将端口Gi0/13-24 分配给VLAN 20

Ruijie(config-if)#exit

Ruijie(config)#interface GigabitEthernet 0/1

Ruijie(config-if)#switchport mode trunk ------> 指定上连核心交换机的trunk 口

Ruijie(config-if)#end ------>退出到特权模式

Ruijie#write ------> 确认配置正确，保存配置

五、配置验证：

核心交换机：查看vlan 信息，包括vlan id、名称、状态、包括的端口

Ruijie#show vlan

VLAN Name Status Ports

---- ----------------------- --------- -----------------------------------

vlan号 vlan名称 vlan 属性 可以传输该vlan数据的端口

1 VLAN0001 STATIC Gi0/1, Gi0/2, Gi0/3, Gi0/4

Gi0/5, Gi0/6, Gi0/7, Gi0/8

Gi0/9, Gi0/10, Gi0/11, Gi0/12

Gi0/13, Gi0/14, Gi0/15, Gi0/16

Gi0/17, Gi0/18, Gi0/19, Gi0/20

Gi0/21, Gi0/22, Gi0/23, Gi0/24

Gi0/25, Gi0/26, Gi0/27, Gi0/28

10 VLAN0010 STATIC Gi0/2, Gi0/3, Gi0/4

20 VLAN0020 STATIC Gi0/2, Gi0/3, Gi0/4

30 VLAN0030 STATIC Gi0/2, Gi0/3, Gi0/4

查看端口Gi 0/2 的vlan 状态

Ruijie#show interfaces gigabitEthernet 0/2 switchport

Interface Switchport Mode Access Native Protected VLAN lists

------------------------ ---------- --------- ------ ------ --------- ----------

GigabitEthernet 0/2 enabled TRUNK 1 1 Disabled ALL


功能简介

私有VLAN（Private VLAN）将一个VLAN 的二层广播域划分成多个子域，每个子域都由一个私有VLAN 对组成：主VLAN（Primary VLAN）和辅助VLAN（Secondary VLAN）。

一个私有VLAN 域中只有一个主VLAN，辅助VLAN 实现同一个私有VLAN 域中的二层隔离，有两种类型的辅助VLAN：

隔离VLAN（Isolated VLAN）：同一个隔离VLAN 中的端口不能互相进行二层通信。一个私有VLAN 域中只有一个隔离VLAN。

群体VLAN（Community VLAN）：同一个群体VLAN 中的端口可以互相进行二层通信，但不能与其它群体VLAN 中的端口进行二层通信。一个私有VLAN 域中可以有多个群体VLAN。

混杂端口（Promiscuous Port），属于主VLAN 中的端口，可以与任意端口通讯，包括同一个私有VLAN 域中辅助VLAN 的隔离端口和群体端口。

隔离端口（Isolated Port），隔离VLAN 中的端口，只能与混杂口通讯。

群体端口（Community port），属于群体VLAN 中的端口，同一个群体VLAN 的群体端口可以互相通讯，也可以与混杂通讯。不能与其它群体VLAN 中的群体端口及隔离VLAN 中的隔离端口通讯。私有VLAN 中，只有主VLAN 可以创建SVI 接口，辅助VLAN 不可以创建SVI。

一、组网需求

1、客户内网同一个网段，想实现客户机区域A和区域B之间实现隔离，但各自区域内部都能互相访问，并且能共同访问内网的服务器。

2、客户机A和B、服务器都能访问外网。

二、组网拓扑

三、配置要点

1、划分vlan，配置vlan 的属性

2、相应的接口划分要相应的vlan

3、上联接口必须配置为混杂端口

4、客户机A模拟客户机区域A，客户机B模拟客户机 B

四、配置步骤：

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置百兆接口为例。

1） 配置vlan，修改各个vlan的属性

Ruijie(config)#vlan 10

Ruijie(config-vlan)#private-vlan primary ------>指定vlan 10为主vlan

Ruijie(config-vlan)#vlan 20

Ruijie(config-vlan)#private-vlan community ------>指定vlan20 为团体vlan

Ruijie(config-vlan)#vlan 30

Ruijie(config-vlan)#private-vlan community ------>指定vlan30为团体vlan

Ruijie(config-vlan)#vlan 10

Ruijie(config-vlan)#private-vlan association add 20,30 ------>关联主vlan和辅助vlan

2）接口1划分与客户机A

Ruijie(config)#interface FastEthernet 0/1 ------>进入交换机的第一个百兆接口

Ruijie(config-if-FastEthernet 0/1)#switchport mode private-vlan host ------>指定接口是Pvlan 的用户接口

Ruijie(config-if-FastEthernet 0/1)#switchport private-vlan host-association 10 20 ------>接口属于辅助vlan20，其主vlan是10

3）接口2划分与客户机B

Ruijie(config)#interface FastEthernet 0/2 ------>进入交换机的第二个百兆接口

Ruijie(config-if-FastEthernet 0/2)#switchport mode private-vlan host ------>指定接口是Pvlan 的用户接口

Ruijie(config-if-FastEthernet 0/2)#switchport private-vlan host-association 10 30 ------>接口属于辅助vlan30，其主vlan是10

4）接口20划分与服务器

Ruijie(config)#interface FastEthernet 0/20 ------>进入接服务器的端口，交换机的第二十个接口

Ruijie(config-if-FastEthernet 0/20)#switchport mode hybrid ------>把接口属性改为hybrid

Ruijie(config-if-FastEthernet 0/20)#switchport hybrid native vlan 10 ------>指定接口的hybrid的native vlan

Ruijie(config-if-FastEthernet 0/20)#switchport hybrid allowed vlan add untagged 20，30 ------>允许接口在传输vlan20和vlan30 不打vlan标签

5）接口24为上联路由器接口

Ruijie(config)#interface FastEthernet 0/24 ------>进入上联接口，交换机的第二十四接口

Ruijie(config-if-FastEthernet 0/24)#switchport mode private-vlan promiscuous ------>把接口属性改为Pvlan 混杂模式

Ruijie(config-if-FastEthernet 0/24)#switchport private-vlan mapping 10 add 20,30 ------>指明该接口的Pvlan属性：主vlan 是vlan 10，辅助vlan 是vlan 20和30

6）保存配置

Ruijie(config-if-FastEthernet 0/24)#end

Ruijie#write ------>确认配置正确，保存配置

五、验证命令：

Ruijie#show vlan private-vlan

VLAN Type Status Routed Ports Associated VLANs

----- ---------- -------- - ------- - ----------------------------- ------------------

10 primary active Enabled Fa0/20, Fa0/24 20，30 ------>vlan 是主vlan，辅助vlan 是vlan 10和vlan 20

20 community active Disabled Fa0/1, Fa0/20 10

30 community active Disabled Fa0/2, Fa0/20 10


一、组网要求

在交换机里配置默认路由

二、配置要点

1、二层交换机和三层交换机的配置不一样

2、三层交换机有路由功能，二层交换机没有路由功能

三、配置步骤：

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以千兆接口为例

1）配置默认路由

Ruijie>enable

Ruijie#configure terminal

三层交换机（有路由功能）的配置：

Ruijie(config)#ip route 0.0.0.0 0.0.0.0 gigabitEthernet 0/14 192.168.1.1

----> ip route 目的网段 掩码 本地出接口(可选配置) 下一跳IP地址（要把数据包发给下一个的地址）

或

Ruijie(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.1 -

----> ip route 目的网段 掩码 下一跳IP地址（要把数据包发给下一个的地址）

二层交换机配置：

Ruijie(config)#ip default-gateway 192.168.1.1

2）保存配置

Ruijie(config)#end

Ruijie#write -----> 确认配置正确，保存配置

四、验证命令

二层交换机配置验证

Ruijie#show ip redirects

default-gateway: 192.168.1.1

三层交换机配置验证

Ruijie(config)#show ip route 查看路由表

Codes: C - connected, S - static, R - RIP, B - BGP

O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default

Gateway of last resort is 192.168.33.1 to network 0.0.0.0

S* 0.0.0.0/0 [1/0] via 192.168.33.1, GigabitEthernet 0/14


一、组网要求

使用静态路由配置网络连通性，使得交换机A可以ping通交换机C。

二、组网拓扑

三、配置步骤

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以千兆接口为例

1）配置接口地址

Ruijie>enable

Ruijie#configure terminal

交换机A的配置

Ruijie(config)#interface gigabitEthernet0/1

Ruijie(config-GigabitEthernet 0/1)#no switchport -----> 把接口属性改成路由接口

Ruijie(config-GigabitEthernet 0/1)#ip address 172.16.1.1 255.255.255.0 -----> 配置IP地址

交换机B的配置

Ruijie(config)#interface gigabitEthernet0/1

Ruijie(config-GigabitEthernet 0/1)#no switchport -----> 把接口属性改成路由接口

Ruijie(config-GigabitEthernet 0/1)#ip address 172.16.1.2 255.255.255.0 -----> 配置IP地址

Ruijie(config-GigabitEthernet 0/1)#interface gigabitEthernet0/2

Ruijie(config-GigabitEthernet 0/2)#no switchport -----> 把接口属性改成路由接口

Ruijie(config-GigabitEthernet 0/2)#ip address 172.16.2.2 255.255.255.0 -----> 配置IP地址

交换机C的配置

Ruijie(config)#interface gigabitEthernet0/1

Ruijie(config-GigabitEthernet 0/1)#no switchport -----> 把接口属性改成路由接口

Ruijie(config-GigabitEthernet 0/1)#ip address 172.16.2.1 255.255.255.0 -----> 配置IP地址

2）配置静态路由

交换机A的配置

Ruijie(config)#ip route 172.16.2.0 255.255.255.0 gigabitEthernet 0/1 172.16.1.2

----->ip route 目的网段 掩码 本地出接口(可选配置) 下一跳（要把数据包发给下一个的地址）

交换机C的配置

Ruijie(config)#ip route 172.16.1.0 255.255.255.0 gigabitEthernet 0/1 172.16.2.2

3）保存配置

Ruijie(config)#end ----->退出到特权模式

Ruijie#write ----->确认配置正确，保存配置

四、验证命令

在交换机A上查看命令：

Ruijie#show ip route

Codes: C - connected, S - static, R - RIP

O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

* - candidate default

S 172.16.2.0/24 [1/0] via 172.16.1.2 ----->S 表示静态路由

C 172.16.1.0/24 is directly connected, GigabitEthernet 0/1

C 172.16.1.1/32 is local host.


一、组网要求

1） 交换机连接两个出口路由器，172.6.1.2为主线路，172.16.2.2为备用线路；

2）当主线路的物理线路失效，备用线路切换为主。

二、组网拓扑

三、配置要点

1、配置接口地址

2、配置浮动路由

四、配置步骤

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以千兆接口为例

1）配置接口地址

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)# interface GigabitEthernet 0/3

Ruijie(config-if-GigabitEthernet 0/3)# no switchport ----->把接口属性改成路由接口

Ruijie(config-if-GigabitEthernet 0/3)#ip address 172.16.1.1 255.255.255.0 ----->配置地址

Ruijie(config)#interface GigabitEthernet 0/4

Ruijie(config-if-GigabitEthernet 0/4)#no switchport

Ruijie(config-if-GigabitEthernet 0/4)#ip address 172.16.2.1 255.255.255.0

2）配置浮动路由

Ruijie(config)#ip route 0.0.0.0 0.0.0.0 172.16.1.2

Ruijie(config)#ip route 0.0.0.0 0.0.0.0 172.16.2.2 10 -----10为metric值，metric值越大优先级越低。默认是1

3）保存配置

Ruijie(config)#end

Ruijie#write -----> 确认配置正确，保存配置

五、验证命令：

正常情况下：

Ruijie#show ip route

Codes: C - connected, S - static, R - RIP, B - BGP

O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default

Gateway of last resort is 172.16.1.2 to network 0.0.0.0

S* 0.0.0.0/0 [1/0] via 172.16.1.2

C 172.16.1.0/24 is directly connected, GigabitEthernet 0/14

C 172.16.1.1/32 is local host.

C 172.16.2.0/24 is directly connected, GigabitEthernet 0/15

C 172.16.2.1/32 is local host.

当主线路down后：

Ruijie(config)#show ip route

Codes: C - connected, S - static, R - RIP, B - BGP

O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default

Gateway of last resort is 172.16.2.2 to network 0.0.0.0

S* 0.0.0.0/0 [10/0] via 172.16.2.2

C 172.16.1.0/24 is directly connected, GigabitEthernet 0/14

C 172.16.1.1/32 is local host.

C 172.16.2.0/24 is directly connected, GigabitEthernet 0/15

C 172.16.2.1/32 is local host.


一、组网要求

配置RIP，使得PC1、PC2能相互通信。

二、组网拓扑

三、配置要点

1、根据规划，在设备接口上配置IP地址

2、 启动RIP进程，指定版本2，关闭自动汇总，把相关的接口放入RIP进程

四、配置步骤

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以千兆接口为例

1）根据规划，在设备接口上配置IP地址

SWA的配置

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)# interface GigabitEthernet 0/18 ------>配置与sw2的互连地址

Ruijie(config-GigabitEthernet 0/18)#no switchport ------>把接口属性改成路由接口

Ruijie(config-GigabitEthernet 0/18)#ip address 10.1.1.9 255.255.255.252

Ruijie(config)# vlan 2 ------>创建vlan 2

Ruijie(config)# interface VLAN 2 ------>配置vlan 的网关地址

Ruijie(config-vlan 2)# ip address 192.168.2.254 255.255.255.0

Ruijie(config)#interface GigabitEthernet 0/24 ------>把接口划入到vlan 2

Ruijie(config-GigabitEthernet 0/24)#switchport access vlan 2

SWB的配置

Ruijie(config)#interface GigabitEthernet 0/1 ------>配置与SWA互连的地址

Ruijie(config-GigabitEthernet 0/1)#no switchport

Ruijie(config-GigabitEthernet 0/1)#ip address 10.1.1.10 255.255.255.252

Ruijie(config)#interface GigabitEthernet 0/2 ------>配置与SWC互连地址

Ruijie(config-FastEthernet 0/2)#no switchport

Ruijie(config-FastEthernet 0/1)#ip address 10.1.1.5 255.255.255.252

SWC的配置

Ruijie(config)#interface GigabitEthernet 0/1 ------>配置与SWB互连地址

Ruijie(config-GigabitEthernet 0/1)#no switchport

Ruijie(config-GigabitEthernet 0/1)#ip address 10.1.1.6 255.255.255.252

Ruijie(config)#vlan 10 ------>创建vlan 10

Ruijie(config)#interface VLAN 10

Ruijie(config-Vlan 10)#ip address 172.16.10.254 255.255.255.0

Ruijie(config)#interface GigabitEthernet 0/24

Ruijie(config-GigabitEthernet 0/24)#switchport access vlan 10

2）启动RIP进程，指定版本2，关闭自动汇总

SWA的配置：

Ruijie(config)#router rip ------>开启Rip进程

Ruijie(config-router)#version 2 ------>启用V2版本

Ruijie(config)#network 10.1.1.8 0.0.0.3 ------>network ip网段 反掩码 （掩码+反掩码=255.255.255.255）

Ruijie(config)#network 192.168.2.0 0 0.0.0.255

Ruijie(config)#no auto-summary ------>关闭自动汇总功能

SWB的配置：

Ruijie(config)#router rip

Ruijie(config-router)#version 2

Ruijie(config-router)#network 10.1.1.8 0.0.0.3

Ruijie(config-router)#network 10.1.1.0 0.0.0.3

Ruijie(config-router)#no auto-summary

SWC的配置：

Ruijie(config)#router rip

Ruijie(config-router)#version 2

Ruijie(config-router)#network 10.1.1.0 0.0.0.3

Ruijie(config-router)#network 172.16.10.0 0.0.0.255

Ruijie(config-router)#no auto-summary

4）保存配置

Ruijie(config-router)#end

Ruijie#write -----> 确认配置正确，保存配置

五、验证命令：

SW1验证：

Ruijie# show ip route

Codes: C - connected, S - static, R - RIP, B - BGP

O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default

Gateway of last resort is 172.16.1.2 to network 0.0.0.0

S* 0.0.0.0/0 [1/0] via 172.16.1.2

R 10.1.1.4/30 [120/1] via 10.1.1.10, 00:15:52, GigabitEthernet 0/18 ------>R 标识的路由条目是通过RIP学习到的

C 10.1.1.8/30 is directly connected, GigabitEthernet 0/18

C 10.1.1.9/32 is local host.

C 172.16.1.0/24 is directly connected, GigabitEthernet 0/14

C 172.16.1.1/32 is local host.

R 172.16.10.0/24 [120/2] via 10.1.1.10, 00:05:30, GigabitEthernet 0/18

C 192.168.2.0/24 is directly connected, VLAN 2

C 192.168.2.254/32 is local host.

PC 1 ping PC 2

正在 Ping 172.16.10.1 具有 32 字节的数据:

来自 172.16.10.1 的回复: 字节=32 时间<1ms TTL=61

来自 172.16.10.1 的回复: 字节=32 时间=24ms TTL=61

来自 172.16.10.1 的回复: 字节=32 时间<1ms TTL=61

来自 172.16.10.1 的回复: 字节=32 时间<1ms TTL=61


一、组网需求

配置OSPF动态路由协议，让全网可以互通

二、组网拓扑

三、配置要点

1、根据规划，在设备接口上配置IP地址

2、配置OSPF进程

3、所有区域（area）必须与区域 0（area 0）相连接

四、配置步骤

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以千兆接口为例

1）根据规划，在设备接口上配置IP地址

SWA配置：

Ruijie(config)#interface GigabitEthernet 0/1

Ruijie(config-if-GigabitEthernet 0/1)#no switchport------>把接口属性改成路由接口

Ruijie(config-if-GigabitEthernet 0/1)#ip address 192.168.1.1 255.255.255.0 ------>配置IP地址

Ruijie(config)#interface Loopback 0 ------>作为OSPF的router-id

Ruijie(config-Loopback 1)#ip address 172.16.1.1 255.255.255.0

SWB配置：

Ruijie(config)#interface GigabitEthernet 0/1

Ruijie(config-if-GigabitEthernet 0/1)#no switchport

Ruijie(config-if-GigabitEthernet 0/1)#ip address 192.168.1.2 255.255.255.0

Ruijie(config)#interfaceGigabitEthernet 0/2

Ruijie(config-GigabitEthernet 0/2)#no switchport

Ruijie(config-GigabitEthernet 0/2)#ip address 192.168.2.2 255.255.255.0

Ruijie(config)#interfaceGigabitEthernet 0/3

Ruijie(config-GigabitEthernet 0/3)#no switchport

Ruijie(config-GigabitEthernet 0/3)#ip address 192.168.3.2 255.255.255.0

Ruijie(config)#interface Loopback 0

Ruijie(config-Loopback 0)#ip address 172.16.1.2 255.255.255.0

SWC配置 :

Ruijie(config)#interface GigabitEthernet 0/1

Ruijie(config-if-GigabitEthernet 0/1)#no switchport

Ruijie(config)#ip address 192.168.2.1 255.255.255.0

Ruijie(config)#interface Loopback 0

Ruijie(config-Loopback 0)#ip address 172.16.1.3 255.255.255.0

SWD配置 :

Ruijie(config)#interface GigabitEthernet 0/1

Ruijie(config-if-GigabitEthernet 0/1)#no switchport

Ruijie(config)#ip address 192.168.3.1 255.255.255.0

Ruijie(config)#interface Loopback 0

Ruijie(config-Loopback 0)#ip address 172.16.1.4 255.255.255.0

2）配置OSPF进程

SW A配置:

Ruijie(config)#router ospf 10 ------>开启ospf 10 进程

Ruijie(config-router)#network 192.168.1.0 0.0.0.255 area 0 ------>把包含192.168.1.0 /24的网络划入区域 0

SW B配置：

Ruijie(config)#router ospf 10

Ruijie(config-router)#network 192.168.1.0 0.0.0.255 area 0

Ruijie(config-router)#network 192.168.2.0 0.0.0.255 area 1

Ruijie(config-router)#network 192.168.3.0 0.0.0.255 area 2

SW C配置：

Ruijie(config)#router ospf 10

Ruijie(config-router)#network 192.168.2.0 0.0.0.255 area 1

SW D配置：

Ruijie(config)#router ospf 10

Ruijie(config-router)#network 192.168.3.0 0.0.0.255 area 2

3）保存配置

Ruijie(config-router)#end

Ruijie#write ------>确认配置正确，保存配置

五、验证命令：

Ruijie#show ip route

Codes: C - connected, S - static, R - RIP, B - BGP

O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default

Gateway of last resort is no set

C 172.16.1.0/24 is directly connected, Loopback 0

C 172.16.1.1/32 is local host.

C 192.168.1.0/24 is directly connected, GigabitEthernet 0/1

C 192.168.1.2/32 is local host.

O IA 192.168.2.0/24 [110/2] via 192.168.1.1, 00:55:30, GigabitEthernet 0/1 ------>O 表示OSPF学到的路由，O IA表示学到其他区域（area）路由条目

O IA 192.168.3.0/24 [110/2] via 192.168.1.1, 00:56:06, GigabitEthernet 0/1

Ruijie# show ip ospf neighbor ----查看OSPF邻居状态

OSPF process 10, 1 Neighbors, 1 is Full:

Neighbor ID Pri State Dead Time Address Interface

172.16.1.2 1 Full/BDR 00:00:38 192.168.1.1 GigabitEthernet 0/1


一、组网要求

1）三层交换机的192.168.2.0/24网段访问外网固定走172.16.1.1这条线

2）三层交换机的192.168.3.0/24网段访问外网固定走172.16.2.1这条线

二、组网拓扑

三、配置要点

1、配置vlan划分、接口地址、划分相应接口到相应vlan里

2、配置访问控制列表,指定流量

3、配置策略路由图

4、在接口调用

5、策略路由的优先级高于静态路由和默认路由

三、配置步骤

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以千兆接口为例。

1） 配置vlan划分、接口地址、划分相应接口到相应vlan里

1.1）新建vlan 2、3

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#vlan 2 ----->创建 vlan 2

Ruijie(config-vlan)#exit

Ruijie(config)#vlan 3

Ruijie(config-vlan)#exit

1.2）划分接口到相应vlan下

Ruijie(config)#interface GigabitEthernet 0/1

Ruijie(config-if-GigabitEthernet 0/1)# switchport access vlan 2 ----->把交换机的第一个千兆接口划入到vlan 2

Ruijie(config)#interface GigabitEthernet 0/2

Ruijie(config-if-GigabitEthernet 0/2)# switchport access vlan 3

1.3）配置vlan2和vlan3的svi口地址（vlan 网关地址）

Ruijie(config)#interface vlan 2

Ruijie(config-if-VLAN 2)#ip address 192.168.2.254 255.255.255.0

Ruijie(config-if-VLAN 2)#exit

Ruijie(config)#interface vlan 3

Ruijie(config-if-VLAN 3)#ip address 192.168.3.254 255.255.255.0

Ruijie(config-if-VLAN 3)#exit

1.4）配置路由口地址

Ruijie(config)# interface GigabitEthernet 0/3

Ruijie(config-if-GigabitEthernet 0/3)# no switchport

Ruijie(config-if-GigabitEthernet 0/3)#ip address 172.16.1.1 255.255.255.0

Ruijie(config)#interface GigabitEthernet 0/4

Ruijie(config-if-GigabitEthernet 0/4)#no switchport

Ruijie(config-if-GigabitEthernet 0/4)#ip address 172.16.2.1 255.255.255.0

2）配置访问控制列表,指定数据流量

Ruijie(config)#access-list 100 permit ip 192.168.2.0 0.0.0.255 any ----->匹配 源地址是192.168.2.0/24 ，目的地址是任意的数据包

Ruijie(config)#access-list 101 permit ip 192.168.3.0 0.0.0.255 any

3）配置策略路由图

Ruijie(config)#route-map ruijie permit 10 ----->创建名为 ruijie 的路由图，序列号是10（越小越先匹配）

Ruijie(config-route-map)#match ip address 100 ----->条件：匹配 ACL 100

Ruijie(config-route-map)#set ip next-hop 172.16.1.2 ----->动作：数据包发到 172.16.1.2

Ruijie(config)#route-map ruijie permit 20

Ruijie(config-route-map)#match ip address 101

Ruijie(config-route-map)#set ip next-hop 172.16.2.2

4）在接口调用

Ruijie(config)#interface VLAN 2

Ruijie(config-if-VLAN 2)#ip policy route-map ruijie ----->在VLAN 2的网关上应用

Ruijie(config)#interface VLAN 3

Ruijie(config-if-VLAN 3)#ip policy route-map ruijie

5）保存配置

Ruijie(config)#end

Ruijie#write ----->确认配置正确，保存配置

四、验证命令

Ruijie(config)#show route-map ruijie

route-map ruijie, permit, sequence 10

Match clauses:

ip address 100

Set clauses:

ip next-hop 172.16.1.2

route-map ruijie, permit, sequence 20

Match clauses:

ip address 101

Set clauses:

ip next-hop 172.16.2.2


功能介绍：

DHCP（Dynamic Host Configuration Protocol，动态主机配置协议），基于Client/Server工作模式，DHCP 服务器为需要动态获取 IP地址的客户端分配 IP地址及网关、DNS等其它参数。

DHCP 有二种机制分配 IP地址：

· 动态分配：DHCP 给客户端分配过一段时间会过期的IP 地址（或者客户端可以主动释放该地址）；

· 手工配置：由网络管理员给客户端指定IP 地址。管理员可以通过 DHCP 将指定的 IP地址发给客户端。

应用场景

企业需要实现PC接入网络就能够自动获取IP地址，无需过多的手动设置，那么可以在交换机上启用DHCP功能。

一、组网需求

需求一、普通DHCP配置

需求二、为特定的PC机分配固定的 ip地址

1） PC1能自动获取vlan2的地址，PC2能自动获取vlan3地址；

2） PC1、PC2的网关在三层交换机上；

3） MAC地址为f0de.f17f.cb4c的PC能固定获取到192.168.2.88的地址；

二、组网拓扑

三、配置要点

1、（必配）开启DHCP服务，service dhcp为dhcp的功能开关

2、配置DHCP地址池， DHCP地址池里可用地址的个数要是实际用户数的2倍左右

3、（可选）配置哪些地址不想被分配给PC机使用

4、（可选）指定固定ip分配给固定PC机

5、检查配置，保存

四、配置步骤：

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以千兆接口为例。

1、基本网络配置

1.1）新建vlan 2、3

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#vlan 2 ------>创建vlan 2

Ruijie(config-vlan)#exit

Ruijie(config)#vlan 3

Ruijie(config-vlan)#exit

1.2） 划分接口到相应vlan下

Ruijie(config)#interface GigabitEthernet 0/23

Ruijie(config-if-GigabitEthernet 0/23)# switchport access vlan 3 ------> 把交换机的第23个接口划入到vlan 3

Ruijie(config)#interface GigabitEthernet 0/24

Ruijie(config-if-GigabitEthernet 0/24)# switchport access vlan 2

Ruijie(config)#interface range GigabitEthernet0/19 -22 ------>-从19到22范围端口一起划入vlan2

Ruijie(config-if-range)#switchport access vlan 2

1.3）配置vlan2和vlan3的svi口地址（vlan网关地址）

Ruijie(config)#interface vlan 2

Ruijie(config-if-VLAN 2)#ip address 192.168.2.254 255.255.255.0

Ruijie(config-if-VLAN 2)#exit

Ruijie(config)#interface vlan 3

Ruijie(config-if-VLAN 3)#ip address 192.168.3.254 255.255.255.0

Ruijie(config-if-VLAN 3)#exit

2、普通DHCP配置

2.1）开启DHCP功能

Ruijie(config)#service dhcp

2.2） 配置DHCP地址池

Ruijie(config)#ip dhcp pool vlan2 ------>创建一个名为 valn2 的DHCP地址池

Ruijie(dhcp-config)#lease 1 2 3 ------>1、2、3分别是天、时、分，地址释放时间默认为24小时。

Ruijie(dhcp-config)#network 192.168.2.0 255.255.255.0 ------>可以分配的地址是192.168.2.1~192.168.2.253

Ruijie(dhcp-config)#dns-server 8.8.8.8 6.6.6.6 ------>8.8.8.8为主DNS，6.6.6.6为备用DNS

Ruijie(dhcp-config)#default-router 192.168.2.254 ------>分配的网关地址

Ruijie(dhcp-config)#exit

Ruijie(config)#ip dhcp pool vlan3

Ruijie(dhcp-config)#network 192.168.3.0 255.255.255.0

Ruijie(dhcp-config)#dns-server 8.8.8.8

Ruijie(dhcp-config)#default-router 192.168.3.254

Ruijie(dhcp-config)#exit

2.3） 保留部分地址

Ruijie(config)#ip dhcp excluded-address 192.168.2.1 192.168.2.10 ------>不向客户端分配192.168.2.1~~192.168.2.10的地址

3、为特定的PC机分配固定的 ip地址

DHCP 手工指定，假设让mac地址为f0de.f17f.cb4c 的PC机自动获取到192.168.1.88的地址

DHCP给特定mac的客户端分配固定的 ip地址，根据客户端DHCP 请求报文标识客户端mac地址字段的不同，有如下两种方式：

1）通过命令 client-identifier 01+mac地址（01 代表网络类型为以太网） 配置命令：Ruijie(dhcp-config)#client-identifier 01f0.def1.7fcb.4c //配置根据客户端标识来分配地址，客户端标识为01+mac地址（01 代表网络类型为以太网）

2）通过命令 hardware-address mac地址 配置命令： Ruijie(dhcp-config)#hardware-address f0de.f17f.cb4c //配置客户端的mac，推荐根据客户端mac分配IP地址

3.1）指定固定IP分配给固定PC机

Ruijie(config)#ip dhcp pool zhangsan //指定静态地址池名称为zhangsan

Ruijie(dhcp-config)#hardware-address f0de.f17f.cb4c //配置客户端的mac，推荐根据客户端mac分配IP地址，

Ruijie(dhcp-config)#host 192.168.2.88 255.255.255.0 //配置要固定分配的ip及掩码

Ruijie(dhcp-config)#dns-server 8.8.8.8 6.6.6.6 //8.8.8.8为主DNS，6.6.6.6为备用DNS

Ruijie(dhcp-config)#default-router 192.168.2.254 //用户网关

4、保存配置

Ruijie(dhcp-config)#end

Ruijie#write ------>确认配置正确，保存配置

五、验证命令：

Ruijie#show ip dhcp binding

已下发的ip地址 客户端标识（01+mac） /MAC地址 地址租期 地址分配方式

IP address Client-Identifier/ Lease expiration Type

Hardware address

192.168.2.88 01f0.def1.7fcb.4c 000 days 23 hours 59 mins Automatic


一、组网要求

1）PC1能自动获取vlan2的地址，PC2能自动获取vlan3地址；

2）PC1、PC2的网关在三层交换机上；

3）DHCP服务器在172.16.1.2这台设备上；

二、组网拓扑

三、配置要点：

· 交换机-1配置vlan 、vlan 的svi地址并把端口划分到相应vlan里；

· 交换机-1开启DHCP功能；

· 配置DHCP中继功能；

· 交换机-2开启dhcp功能，配置DHCP地址池；

· 配置到达192.168.2.0及192.168.3.0 这两个网段的路由

四、配置步骤：

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以千兆接口为例

交换机-1配置：

1、基本网络配置

1.1）新建vlan 2、3

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#vlan 2 ------>创建vlan 2

Ruijie(config-vlan)#exit

Ruijie(config)#vlan 3

Ruijie(config-vlan)#exit

1.2） 划分接口到相应vlan下

Ruijie(config)#interface GigabitEthernet 0/23

Ruijie(config-if-GigabitEthernet 0/23)# switchport access vlan 3 ------> 把交换机的第23个接口划入到vlan 3

Ruijie(config)#interface GigabitEthernet 0/24

Ruijie(config-if-GigabitEthernet 0/24)# switchport access vlan 2

Ruijie(config)#intterface range GigabitEthernet0/19 -22 ------>-从19到22范围端口一起划入vlan2

Ruijie(config-if-range)#switchport access vlan 2

1.3）配置vlan2和vlan3的svi口地址（vlan网关地址）

Ruijie(config)#interface vlan 2

Ruijie(config-if-VLAN 2)#ip address 192.168.2.254 255.255.255.0

Ruijie(config-if-VLAN 2)#exit

Ruijie(config)#interface vlan 3

Ruijie(config-if-VLAN 3)#ip address 192.168.3.254 255.255.255.0

Ruijie(config-if-VLAN 3)#exit

1.4）配置连接 交换机-2 的接口地址

Ruijie(config)#interface gigabitEthernet 0/18

Ruijie(config-if-GigabitEthernet 0/18)#ip address 172.16.1.1 255.255.255.0

2、配置DHCP中间

2.1）开启DHCP功能

Ruijie(config)#service dhcp

2.2）配置DHCP中继

Ruijie(config)#ip helper-address 172.16.1.2 ------>172.16.1.2 是DHCP服务器的地址

3、保存配置

Ruijie(config)#end

Ruijie#write ------> 确认配置正确，保存配置

交换机-2配置：

1、配置与交换机-1相连的接口地址

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#interface gigabitEthernet 0/1

Ruijie(config-if-GigabitEthernet 0/1)#no switchport ------>把接口属性改成路由接口

Ruijie(config-if-GigabitEthernet 0/1)#ip address 172.16.1.2 255.255.255.0

2、配置到达192.168.2.0和192.168.3.0网段的路由

Ruijie(config)#ip route 192.168.2.0 255.255.255.0 172.16.1.1

Ruijie(config)#ip route 192.168.3.0 255.255.255.0 172.16.1.1

3、开启dhcp功能，配置DHCP地址池

Ruijie(config)#service dhcp ------>开启DHCP功能

Ruijie(config)#ip dhcp pool vlan2

Ruijie(dhcp-config)#lease 1 2 3 --------1、2、3分别是天、时、分，地址释放时间默认为24小时。

Ruijie(dhcp-config)#network 192.168.2.0 255.255.255.0 ------>可以分配的地址是192.168.2.1~192.168.2.254

Ruijie(dhcp-config)#dns-server 8.8.8.8 6.6.6.6 --------8.8.8.8为主DNS，6.6.6.6为备用DNS

Ruijie(dhcp-config)#default-router 192.168.2.254

Ruijie(dhcp-config)#exit

Ruijie(config)#ip dhcp pool vlan3

Ruijie(dhcp-config)#network 192.168.3.0 255.255.255.0

Ruijie(dhcp-config)#dns-server 8.8.8.8

Ruijie(dhcp-config)#default-router 192.168.3.254

Ruijie(dhcp-config)#exit

4、保存配置

Ruijie(config)#end

Ruijie#write ------> 确认配置正确，保存配置

五、验证命令：

Ruijie#show ip dhcp binding

已下发的ip地址 客户端标识（01+mac） 地址租期 地址分配方式

IP address Client-Identifier/ Lease expiration Type

Hardware address

192.168.2.1 01bc.aec5.4bca.8d 000 days 23 hours 59 mins Automatic

注意点：

1）此例是用另一台三层交换机作为DHCP服务器，也可以用一台电脑作DHCP服务器，如果交换机-1与DHCP服务器是跨网段的，则还需要写一条到往服务器网段的静态路由。即保证交换机-1上能ping通dhcp服务器地址。


应用场景：

DHCP Snooping：当你的网络中存在DHCP 服务器欺骗的时候就可以考虑采用这个功能，比如网络中有个别终端用的是window 2003，或者2008系统默认开启了DHCP分配IP的服务，或者是一些接入层的端口连接有TPLINK，DLINK这样的无线路由器，开启了DHCP分配IP的服务。我们推荐在用户接入层交换机上面部署该功能，越靠近PC端口控制的越准确，而每个交换机的端口推荐只连接一台PC，否则如果交换机某端口下串接一个HUB，在HUB上连接了若干PC的话，那么如果凑巧该HUB下发生DHCP欺骗，由于欺骗报文都在HUB端口间直接转发了，没有受到接入层交换机的DHCP snooping功能的控制，这样的欺骗就无法防止了。

DHCP Snooping通常配合IP Source Guard功能实现防止用户私设静态IP，防止用户伪造IP进行内网扫描攻击的安全功能，配合ARP-Check还能实现防范ARP欺骗的安全功能。

功能简介：

DHCP Snooping：意为DHCP 窥探，在一次PC动态获取IP地址的过程中，通过对Client和服务器之间的DHCP交互报文进行窥探，实现对用户的监控，同时DHCP Snooping起到一个DHCP 报文过滤的功能，通过合理的配置实现对非法服务器的过滤，防止用户端获取到非法DHCP服务器提供的地址而无法上网。

一、组网需求

接入交换机为S2652G交换机，核心交换机是S5750，S2652G交换机下联PC使用动态DHCP获取IP地址，为了防止内网有用户接入非法dhcp服务器，如自带的无线小路由器等，导致正常用户获取到错误的地址而上不了网或地址冲突，要实施DHCP Snooping（DHCP监听）功能。

二、组网拓扑

三、配置要点

1、在接入交换机上全局开启dhcp snooping功能，并且在上联核心的端口开启DHCP Snooping信任口（对正常服务器过来端口的DHCP报文不控制）

2、在核心交换机上开启DHCP Server功能

四、配置步骤

核心交换机配置：

1、开启核心设备的DHCP服务功能

Ruijie(config)#service dhcp

2、创建核心设备的IP地址，即用户的网关地址

Ruijie(config)#interface vlan 1

Ruijie(config-if-VLAN 1)#ip address 192.168.1.254 255.255.255.0

Ruijie(config-if-VLAN 1)#exit

3、创建核心设备的DHCP地址池

Ruijie(config)#ip dhcp pool vlan1

Ruijie(dhcp-config)#network 192.168.1.0 255.255.255.0 ------>子网掩码要和所设置IP地址的子网掩码一致，这里都是/24位掩码

Ruijie(dhcp-config)#dns-server 218.85.157.99 ------>设置分配给客户端的DNS地址

Ruijie(dhcp-config)#default-router 192.168.1.254 ------>设置分配给用户的网关地址，这个要和核心设备上所设置的IP地址一致，为192.168.1.254

Ruijie(dhcp-config)#end

Ruijie#wr

接入交换机配置：

1、在接入交换机上开启dhcp snooping功能

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#ip dhcp snooping ------>开启DHCP snooping功能

2、连接DHCP服务器的接口配置为可信任口

Ruijie(config)#interface gigabitEthernet 0/49

Ruijie(config-GigabitEthernet 0/49)#ip dhcp snooping trust --------开启DHCP snooping的交换机所有接口缺省为untrust口，交换机只转发从trust口收到的DHCP响应报文（offer、ACK）

3 、保存配置

Ruijie(config-GigabitEthernet 0/49)#end

Ruijie#write ------> 确认配置正确，保存配置

五、功能验证

1、查看核心交换机DHCP服务器地址池分配情况

2、查看PC获取IP地址情况，在电脑上点击开始----->运行-------->输入cmd进入命令行界面-------->输入ipconfig/all可以查看如下信息：

3、查看DHCP Snooping表

4、查看DHCP Snooping的设置情况


一、组网需求

只允许vlan 2网段的数据通过g0/24上网，其他网段不允许。

二、组网拓扑

三、配置要点：

1） ACL默认最后有一条deny any，故允许（permit）的ACL应该写在上面。若是禁止某网段访问，其他网段均放通，则应该在最后加一条permit any。

2）标准的ACL只匹配源IP地址；

3）标准的ACL号是从1-99和1300-1999；

4）如果是单个IP地址，可写为access-list 1 permit host 192.168.1.1

四、配置步骤：

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以千兆接口为例。

1）配置vlan 、svi口地址（vlan网关），接口划分到相应vlan里：

1.1）新建vlan 2、3

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#vlan 2 ------>创建vlan 2

Ruijie(config-vlan)#exit

Ruijie(config)#vlan 3

Ruijie(config-vlan)#exit

1.2）划分接口到相应vlan下

Ruijie(config)#interface GigabitEthernet 0/22

Ruijie(config-if-GigabitEthernet 0/22)# switchport access vlan 2

Ruijie(config)#interface GigabitEthernet 0/23

Ruijie(config-if-GigabitEthernet 0/23)# switchport access vlan 3 ------>把交换机的第23个千兆接口划入到vlan 3

1.3）配置vlan2和vlan3的svi口地址

Ruijie(config)#interface vlan 2

Ruijie(config-if-VLAN 2)#ip address 192.168.2.254 255.255.255.0 ------>配置vlan 2的网关地址

Ruijie(config-if-VLAN 2)#exit

Ruijie(config)#interface vlan 3

Ruijie(config-if-VLAN 3)#ip address 192.168.3.254 255.255.255.0 ------>配置vlan 3的网关地址

Ruijie(config-if-VLAN 3)#exit

2）配置g0/24为路由口：

Ruijie(config)#interface GigabitEthernet 0/24

Ruijie(config-if-GigabitEthernet 0/24)#no switchport ------>把交换机的第二十四千兆接口属性改成路由接口

Ruijie(config-if-GigabitEthernet 0/24)#ip address 172.16.1.1 255.255.255.0 ------>配置ip地址

3）配置默认路由：

Ruijie(config)#ip route 0.0.0.0 0.0.0.0 172.16.1.2 ------>配置默认路由

4）配置标准ACL，并在g0/24调用：

Ruijie(config)#access-list 1 permit 192.168.2.0 0.0.0.255 ---->序列1~99标准的ACL，指定源地址，只允许VLAN2网段192.168.2.0/24网段

Ruijie(config)#access-list 1 deny any ------> 默认有一条deny any的条目

Ruijie(config)#interface GigabitEthernet 0/24

Ruijie(config-if-GigabitEthernet 0/24)#ip access-group 1 in------>在G0/24接口的in方向应用ACL

5）保存配置

Ruijie(config-if-GigabitEthernet 0/24)#end

Ruijie#write ------> 确认配置正确，保存配置

五、验证命令：

Ruijie#show access-lists 1 查看ACL的配置

ip access-list standard 1

10 permit 192.168.2.0 0.0.0.255

20 deny any

Ruijie#show ip access-group 查看ACL在接口下的应用

ip access-group 1 in

Applied On interface GigabitEthernet 0/24.


一、组网需求：

禁止vlan 2访问vlan3，但192.168.2.1这个地址不受限制。

二、组网拓扑

三、配置要点：

1）扩展ACL可匹配源地址、目的地址、IP协议，tcp、udp、icmp、igmp待协议；

如要允许所有目的端口是tcp80端口的流量：Ruijie(config)#access-list 100 per tcp any any eq 80

2）扩展ACL号为100-199和2000-2699

四、配置步骤：

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以千兆接口为例。

1）配置vlan 、svi口地址，接口划分到相应vlan里

1.1）新建vlan 2、3

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#vlan 2 ------>创建vlan 2

Ruijie(config-vlan)#exit

Ruijie(config)#vlan 3

Ruijie(config-vlan)#exit

1.2）划分接口到相应vlan下

Ruijie(config)#interface GigabitEthernet 0/22

Ruijie(config-if-GigabitEthernet 0/22)# switchport access vlan 2

Ruijie(config)#interface GigabitEthernet 0/23

Ruijie(config-if-GigabitEthernet 0/23)# switchport access vlan 3 ------>把交换机的第23个千兆接口划入到vlan 3

1.3）配置vlan2和vlan3的svi口地址

Ruijie(config)#interface vlan 2

Ruijie(config-if-VLAN 2)#ip address 192.168.2.254 255.255.255.0 ------>配置vlan 2的网关地址

Ruijie(config-if-VLAN 2)#exit

Ruijie(config)#interface vlan 3

Ruijie(config-if-VLAN 3)#ip address 192.168.3.254 255.255.255.0 ------>配置vlan 3的网关地址

Ruijie(config-if-VLAN 3)#exit

2）配置g0/24为路由口

Ruijie(config)#interface GigabitEthernet 0/24

Ruijie(config-if-GigabitEthernet 0/24)#no switchport ------>把交换机的第二十四千兆接口属性改成路由接口

Ruijie(config-if-GigabitEthernet 0/24)#ip address 172.16.1.1 255.255.255.0 ------>配置ip地址

3）配置标准ACL，并在SVI口调用；

Ruijie(config)#ip access-list 100 permit ip host 192.168.2.1 any --->允许192.168.2.1访问所有网段

Ruijie(config)#ip access-list 100 deny ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255 ---->不允许VLAN2网段192.168.2.0/24访问VLAN3网段192.168.3.0/24

Ruijie(config)#ip access-list 100 permit ip any any ------>ACL默认最后一句是deny ip any any ,故为保证其他数据能通过必须配置一条permit ip any any

Ruijie(config)#interface vlan 2

Ruijie(config-if-VLAN 2)#ip access-group 100 in ------>在 vlan2的网关上应用ACL

4）保存配置

Ruijie(config-if-VLAN 2)#end

Ruijie#write ------> 确认配置正确，保存配置

五、验证命令

Ruijie#sh access-lists 100 查看ACL的配置

ip access-list extended 100

10 permit ip host 192.168.2.1 any

20 deny ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255

30 permit ip any any

Ruijie#show ip access-group 查看ACL在接口下的应用

ip access-group 100 in

Applied On interface vlan 2.


一、组网需求

禁止vlan 2在每天的8：00到18：00访问vlan3，其他时间可以访问。

二、组网拓扑

三、配置要点

1）要先配置设备的时间，参考“设备维护和管理 ---》设备时间设置及查看”章节

2）时间段不能跨0：00，即如果要写晚上10：00点到第二天早上7：00的时间段，需要分两段写

Ruijie(config)#time-range aaa

Ruijie(config-time-range)#periodic daily 0:00 to 7:00

Ruijie(config-time-range)#periodic daily 22:00 to 23:59

四、配置步骤

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以千兆接口为例

1）配置vlan 、svi口地址（vlan网关），接口划分到相应vlan里：

1.1）新建vlan 2、3

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#vlan 2 ------>创建vlan 2

Ruijie(config-vlan)#exit

Ruijie(config)#vlan 3

Ruijie(config-vlan)#exit

1.2）划分接口到相应vlan下

Ruijie(config)#interface GigabitEthernet 0/22

Ruijie(config-if-GigabitEthernet 0/22)# switchport access vlan 2

Ruijie(config)#interface GigabitEthernet 0/23

Ruijie(config-if-GigabitEthernet 0/23)# switchport access vlan 3 ------>把交换机的第23个千兆接口划入到vlan 3

1.3）配置vlan2和vlan3的svi口地址

Ruijie(config)#interface vlan 2

Ruijie(config-if-VLAN 2)#ip address 192.168.2.254 255.255.255.0 ------>配置vlan 2的网关地址

Ruijie(config-if-VLAN 2)#exit

Ruijie(config)#interface vlan 3

Ruijie(config-if-VLAN 3)#ip address 192.168.3.254 255.255.255.0 ------>配置vlan 3的网关地址

Ruijie(config-if-VLAN 3)#exit

2）配置g0/24为路由口

Ruijie(config)#interface GigabitEthernet 0/24

Ruijie(config-if-GigabitEthernet 0/24)#no switchport ------>把交换机的第二十四千兆接口属性改成路由接口

Ruijie(config-if-GigabitEthernet 0/24)#ip address 172.16.1.1 255.255.255.0 ------>配置ip地址

3）配置时间段

Ruijie(config)#time-range one

Ruijie(config-time-range)#periodic daily 8:00 to 18:00 ------>每天的8：00到18：00

4）配置标准ACL，并在svi口调用

Ruijie(config)#access-list 100 deny ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255 time-range one ---->配置禁止vlan 2网段192.168.2.0/24用户在每天的8：00到18：00访问vlan3网段192.168.3.0/24

Ruijie(config)#access-list 100 permit ip any any------>ACL默认最后一句是deny ip any any ,故为保证其他数据能通过必须配置一条permit ip any any

Ruijie(config)#interface vlan 2

Ruijie(config-if-VLAN 2)#ip access-group 100 in ------>在接口下调用ACL，应用在in的方向

5) 保存配置

Ruijie(config-if-VLAN 2)#end

Ruijie#write ------>确认配置正确，保存配置

五、验证命令

Ruijie#show access-list 100 查看ACL的配置

ip access-list extended 100

10 deny ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255 time-range one (active)

20 permit ip any any

Ruijie#show time-range one 查看时间段的配置

time-range entry: one (active) ----->active表示目前时间属于time-range one中定义的时间8:00-18:00

periodic Daily 8:00 to 18:00

Ruijie#show ip access-group 查看ACL在接口下的应用

ip access-group 100 in

Applied On interface vlan 2.


功能简介：

端口镜像：用户可以利用端口镜像(SPAN)提供的功能，将指定端口的报文复制到交换机上另一个连接有网络监测设备的端口，进行网络监控与流量分析。通过SPAN可以监控所有从源端口进入和输出的报文，实现报文快速的，原封不动的“复制”。

端口镜像不会改变镜像报文的任何信息，也不会影响原有报文的正常转发。同时对于源端口，目的端口的介质类型没有要求，可以是光口镜像到电口，也可以是电口的流量镜像到光口。对于源端口，目的端口的属性没有要求，可以是access口镜像到trunk口，也可以是trunk口镜像到access口。

一、组网需求

配置端口镜像，实现监控服务器能够监控g0/1及g0/2口入方向和出方向的数据流，同时监控服务器依然能够实现对外网网络的访问

二、组网拓扑

三、配置要点

要实现监控服务器即能对外网网络的访问，需要在配置交换机端口镜像的目的端口后面加上switch关键字

四、配置步骤

交换机配置：

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#monitor session 1 source interface gigabitEthernet 0/1 both ------>指定端口镜像的源端口为g0/1，即被监控端口，交换机可以指定多个源端口。both表示双方向的数据流，如果只需要镜像进入交换机方向的数据流，则将both关键字改为关键字rx，命令就变为了：monitor session 1 source interface gigabitEthernet 0/1 rx。如果只需要镜像从交换机出来方向的流量，则可将both关键字改为tx。

Ruijie(config)#monitor session 1 source interface gigabitEthernet 0/2 both ------>指定端口镜像的源端口g0/2，即被监控端口。交换机可以指定多个源端口。both表示双方向的数据流，如果只需要镜像进入交换机方向的数据流，则将both关键字改为关键字rx，如果只需要镜像从交换机出来方向的流量，则可将both关键字改为tx。

Ruijie(config)#monitor session 1 destination interface gigabitEthernet 0/24 switch ------>指定g0/24口为端口镜像的目的端口，即监控端口。后面加了一个关键字swith，表示目的端口也能够上网，如果不加关键字，那么该端口将不能访问外网。（11.X部分软件平台版本强制要加此关键字，10.X软件平台版本没有此强制要求）

Ruijie(config)#end

Ruijie#wr

五、功能验证

1、查看端口镜像的状态

2、确认监控服务器是否能够访问外网


应用场景：

一对多镜像，包含多对多镜像：当你需要把一台交换机上面的一个口或者是多个端口的流量，镜像（复制）到交换机上面的某几个端口的时候，就可以考虑采用交换机的一对多镜像功能。注意镜像的源端口可以是多个端口的双向流量（both）一起镜像到目的口，也可以是部分端口的入方向（rx）流量，与部分端口的出方向（tx）流量一起结合起来镜像到某几个目的端口。

一对多镜像，通常在网络中有多台监控服务器（比如数据库操作审计服务器，日志记录服务器，上网行为管理服务器，流量统计或者监控服务器），视频加速缓存设备（如我司的powercache），或者是他们的任意组合接入到同一台交换机上，需要对同一份数据（通常是上联口，或者是关键服务器端口）进行采集的环境。

另外一个情况需要特别说明下，有些客户场景中原来是单台监控服务器，采用的是普通的一对一镜像，后面又新增了某种运用的服务器，需要采集/镜像网络中的之前的同一份数据，此时也需要采用一对多镜像功能，由于多对一镜像与一对多镜像配置思路完全不同，所以需要将原来的一对一镜像配置命令删除掉，重新规划采用一对多的配置方法。

功能简介：

端口镜像：用户可以利用端口镜像（SPAN）提供的功能，将指定端口的报文复制到交换机上另一个连接有网络监测设备的端口，进行网络监控与流量分析。通过SPAN可以监控所有从源端口进入和输出的报文，实现报文快速的，原封不动的“复制”。

端口镜像不会改变镜像报文的任何信息，也不会影响原有报文的正常转发。同时对于源目端口的介质类型没有要求，可以是光口镜像到电口，也可以是电口的流量镜像到光口。对于源目端口的属性没有要求，可以是access口镜像到trunk口，也可以是trunk口镜像到access口。

提示：目前并非所有的设备都支持一对多镜像，对于不支持一对多镜像的设备，可以通过普通RSPAN镜像功能（不使用自环口）将RSPAN目标端口再连接到一台空配置交换机上，划分多个接口到一个VLAN中（RSPAN使用的VLAN中）并关闭所有端口MAC地址学习功能（no mac-address-learning）和端口风暴控制（no storm-control broadcast、no strom-control multicast、no storm-control unicast）（类似HUB泛洪，由于没有MAC地址学习，报文才会进行泛洪，所以需要关闭风暴控制防止镜像流量太多被抑制而丢弃），从而实现一对多功能。

一、组网需求

g4/1及g4/2下面连接用户，g4/21及g4/22连接两台监控服务器，现在需要实现监控服务器1及监控服务器2都能监控g4/1及g4/2口的数据流

二、组网拓扑

三、配置要点

1）在核心交换机上创建Remote VLAN。

2）指定核心交换机为RSPAN的源设备，配置直连PC1，PC2的端口g4/1及g4/2为镜像源端口；选择一个Down状态（无需手工shutdown）的端口（本例为G 4/23）为镜像输出端口，将该端口加入Remote VLAN，并配置为MAC自环。（这里的down状态的端口不是指手动将接口shutdown，而是这个接口之前没有使用，没有连线）

3）将直连监控服务器1，监控服务器2的G4/21，G4/22端口加入Remote VLAN。

重点说明：

1）需要在交换机上将一个未使用的端口配置成为一个mac自环口，配置为mac自环口后，该端口不插网线或光线，接口会自动UP，并且接口状态灯亮绿色。Lookback口不能做其他配置，否则可能导致监控服务器无法接收到监控数据流。

2）配置镜像目的口的时候，在11.X部分软件版本需要强制携带switch选项（monitor session 1 destination remote vlan 100 interface gigabitEthernet 4/23 switch），10.x软件平台版本不需要携带switch选项（monitor session 1 destination remote vlan 100 interface gigabitEthernet 4/23）。

四、配置步骤

交换机配置：

1、在交换机上配置Remote VLAN。

在交换机上创建Remote VLAN 100。 ------>这个VLAN需要是在交换机上没有使用的业务VLAN，不能针对该vlan创建SVI，否则可能导致镜像不成功

Ruijie#configure terminal

Ruijie(config)#vlan 100

Ruijie(config-vlan)#remote-span

Ruijie(config-vlan)#exit

2、配置RSPAN源设备。

在交换机上创建RSPAN Session 1，指定该设备为源设备，并配置端口g4/1及g4/2为源端口（源端口配置任意），镜像双向数据流。

Ruijie(config)#monitor session 1 remote-source

Ruijie(config)#monitor session 1 source interface gigabitEthernet 4/1 both

Ruijie(config)#monitor session 1 source interface gigabitEthernet 4/2 both

指定自环口g4/23为镜像的目的端口

Ruijie(config)#monitor session 1 destination remote vlan 100 interface gigabitEthernet 4/23 switch------>将流量引入到loopback口，11.X部分软件版本需要强制携带switch选项，10.x软件平台版本不需要携带switch选项

Ruijie(config)#interface gigabitEthernet 4/23

Ruijie(config-if-GigabitEthernet 4/23)#switchport access vlan 100

Ruijie(config-if-GigabitEthernet 4/23)#mac-loopback ------>环口会不要再做其他配置，也不要连接线缆。

Ruijie(config-if-GigabitEthernet 4/23)#end

Ruijie# clear mac-address-table dynamic interface gigabitEthernet 4/23 ------>配置完成后需要清下自环口的mac地址表

3、将监控服务器的端口g4/21及g4/22加入Remote VLAN

配置交换机的端口g4/21和g4/22属于Remote VLAN 100。

Ruijie(config)#interface range gigabitEthernet 4/21-22

Ruijie(config-if-range)#switchport access vlan 100

Ruijie(config-if-range)#end

Ruijie#wr

重点说明：

注意：如果设备上面开启了生成树协议，同时有其他trunk口，由于RSPAN的镜像目的口有MAC- loopback功能，会导致流量在remote-vlan中打环，所以需要在所有trunk口上做vlan修剪，本例中remove vlan 100。

指定自环口g4/23为镜像的目的端口配置中如果开启了switch关键字，那么需要在自环口关闭mac地址学习功能，并且清除自环口的MAC地址表项，如果没有敲switch关键字则无不需要关闭自环口的mac地址学习功能。

五、功能验证

1、查看端口镜像的状态

2、查看g4/23端口配置及接口状态


一、组网需求

1、监控服务器能监控192.168.10.0/24网段用户进入核心交换机的流量；

2、监控服务器同时也能监控从核心交换机发送出去到接入交换机的所有流量

二、组网拓扑

三、配置要点

1、在核心交换机上配置ACL，允许用户网段192.168.10.0/24

2、在核心交换机上配置端口镜像功能，将连接接入交换机的端口g0/1口设置为端口镜像的源端口并关联ACL（只能对接口rx方向做基于流的镜像）

3、将连接监控服务器的端口g0/24设置为端口镜像的目的端口。

四、配置步骤

核心交换机配置：

Ruijie#configure terminal

Ruijie(config)#ip access-list extended ruijie ------>创建ACL，名称为ruijie

Ruijie(config-ext-nacl)#permit ip 192.168.10.0 0.0.0.255 any

Ruijie(config-ext-nacl)#exit

Ruijie(config)#monitor session 1 source interface gigabitEthernet 0/1 tx ------>监控从g0/1口出去的所有流量

Ruijie(config)#monitor session 1 source interface gigabitEthernet 0/1 rx acl ruijie ------>只监控g0/1口进入交换机的并且只匹配ACL的流量

Ruijie(config)#monitor session 1 destination interface gigabitEthernet 0/24 ------>设置端口镜像目的端口

Ruijie(config)#end

Ruijie#wr

五、功能验证

1、查看端口镜像的状态

2、查看ACL

3、捉包确认流量是否只包含所需的流量


一、组网需求

双核心的网络环境下，增强网络的稳定性，在主网关设备发生故障时，备份网关设备可以在不影响内外数据通信的前提下进行网关切换，且不需要再修改内部网络的设置。例如：内网有网段vlan10，当核心交换机A或者上联接口出现故障时，数据切换到核心交换机B上通信。

二、网络拓扑:

三、配置要点：

1、核心交换机分别配置vlan10的网关地址

2、SVI接口或者三层接口配置vrrp

3、必须保证两台核心交换机的vrrp报文可以通过

四、配置步骤：

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以百兆接口为例

1）配置连通性

核心交换机A和核心交换机B的配置：

Ruijie(config)#vlan 10 ------>创建vlan10

Ruijie(config-vlan)#exit

Ruijie(config)#interface FastEthernet 0/1

Ruijie(config-if-FastEthernet 0/1)#switch mode trunk ------>把交换机的第一个百兆接口配置成trunk

接入交换机的配置：

Ruijie(config)#vlan 10 ------>创建vlan10

Ruijie(config-vlan)#exit

Ruijie(config)#interface FastEthernet 0/1

Ruijie(config-if-FastEthernet 0/1)#switch mode trunk ----->把交换机的第一个百兆接口配置成trunk

Ruijie(config)#interface FastEthernet 0/2

Ruijie(config-if-FastEthernet 0/2)#switch mode trunk ----->把交换机的第一个百兆接口配置成trunk

Ruijie(config)#interface FastEthernet 0/10

Ruijie(config-if-FastEthernet 0/10)#switch access vlan 10

Ruijie(config)#interface FastEthernet 0/20

Ruijie(config-if-FastEthernet 0/20)#switch access vlan 20

2）VRRP配置

核心交换机A配置：

Ruijie(config)#int vlan 10

Ruijie(config-VLAN 10)#ip address 192.168.10.254 255.255.255.0 ------>配置vlan10的ip地址

Ruijie(config-VLAN 10)#vrrp 1 ip 192.168.10.1 ------>配置vrrp虚拟地址

Ruijie(config-VLAN 10)#vrrp 1 priority 120 ------> 配置优先级,越大越优先，默认是100

Ruijie(config-VLAN 10)#exit

核心交换机B配置：

Ruijie(config)#int vlan 10

Ruijie(config-VLAN 10)#ip address 192.168.10.253 255.255.255.0

Ruijie(config-VLAN 10)#vrrp 1 ip 192.168.10.1

Ruijie(config-VLAN 10)#exit

3）保存配置

Ruijie(config-VLAN 10)#end

Ruijie#write ------> 确认配置正确，保存配置

五、配置验证

Ruijie#sh vrrp brief

Interface Grp Pri timer Own Pre State Master addr Group addr

VLAN 10 1 120 3 - P Master 192.168.10.254 192.168.10.1

接口 vrrp组 优先级 保活时间 接口地址是 是否抢占 vrrp状态 本地地址 虚拟的网关地址

否是网关地址 即vrrp组地址

Ruijie#show vrrp 1

VLAN 10 - Group 1

State is Master ------>此接口是vrrp主地址

Virtual IP address is 192.168.10.1 configured ------->vrrp组ip地址

Virtual MAC address is 0000.5e00.0101 ------->vrrp组mac地址

Advertisement interval is 1 sec ------->vrrp报文发送间隔

Preemption is enabled ------->vrrp抢占开启

min delay is 0 sec

Priority is 120 ------->vrrp优先级

Master Router is 192.168.10.254 (local), priority is 120 ------->vrrp主地址和优先级

Master Advertisement interval is 1 sec ------->vrrp主地址的vrrp报文发送间隔

Master Down interval is 3 sec ------->vrrp主地址的vrrp报文3s没有收到说明vrrp主地址不工作


应用场景：

RLDP功能主要是应用到接入层交换机上做环路检测用（汇聚层也可以开RLDP防环，但是控制防范的粒度比较粗糙），特别适用于交换机下联HUB上面自身打环的情况（BPDUGUARD无法实现防止这类的环路），所以我们推荐在项目实施的时候接入层交换机的各个接终端用户的端口都开启RLDP，作为一个优化配置进行事先部署，防止端口下的各类环路问题。

功能简介：

RLDP：RLDP全称是Rapid Link Detection Protocol，是锐捷网络自主开发的一个用于快速检测以太网链路故障的链路协议。

一般的以太网链路检测机制都只是利用物理连接的状态，通过物理层的自动协商来检测链路的连通性。但是这种检测机制存在一定的局限性，在一些情况下无法为用户提供可靠的链路检测信息，比如在光纤口上光纤接收线对接错，由于光纤转换器的存在，造成设备对应端口物理上是linkup的，但实际对应的二层链路却是无法通讯的。再比如两台以太网设备之间架设着一个中间网络，由于网络传输中继设备的存在，如果这些中继设备出现故障，将造成同样的问题。

BPDU Guard：BPDU Guard即BPDU防护，如果该端口配置了BPDU Guard功能，如果该端口收到了BPDU报文，就进入Error-disabled 状态，无法转发数据

网络中一般二层环路有如下几种常见的情形：

情形一：三角环路(两台核心都连接同一台接入)

对于这种环路情形，可以通过在三台交换机之间运行MSTP实现环路切换与线路冗余，具体可以参见典型应用场景中“MSTP+VRRP+FW”部分相关章节

情形二：核心两根线都连接到同一台接入交换机

对于这种环路情形可以通过在核心交换机和接入交换机上配置二层链路聚合来实现链路冗余，具体可以参见端口聚合章节

情形三：同一根线的头尾两端都插到交换机的两个端口

对于防止这种网络环路，可以通过RLDP或BPDU Guard功能实现

情形四：接入交换机连接傻瓜式交换机，傻瓜式交换机上的两个端口环路

对于这种网络场景建议通过RLDP功能来实现

说明：对于场景四的防环，由于部分HUB会过滤BPDU报文的特性，不能通过BPDU Guard功能实现，因为端口发出的BPDU报文，目的MAC地址是公有的MAC地址01-80-C2-00-00-00，市场上部分傻瓜式交换机（如TP-Link或D-Link等）会丢弃这种公有标准的组播报文，无法转发，所以即使傻瓜式交换机出现了环路，也不会把BPDU报文转发回交换机，交换机也就无法把该端口置为err-disable。但是对于RLDP报文是我司私有的报文，目的组播mac为01-d0-f8-00-00-02，傻瓜式交换机能转发这样的组播报文，故能检测环路

一、组网需求

为了防止接入交换机下联的端口出现环路（交换机本身的环路（情形三场景）及下联HUB出现的环路（情形四场景）），需要在交换机上配置RLDP功能

二、配置要点

1、全局开启RLDP功能

2、接口下开启RLDP功能，并且设置环路后的处理方式

3、设置接口自动恢复时间

三、组网拓扑

四、配置步骤

接入交换机配置如下：

Rujijie#configure terminal

Rujijie(config)#rldp enable ------>全局开启RLDP功能

Rujijie(config)#interface range g0/1-24 ------>对于下联PC或HUB的端口需要开启，不要在接入交换机的上联口开启该功能

Rujijie(config-if-range)#rldp port loop-detect shutdown-port ------>接口开启RLDP功能，如果检测出环路后shutdow该端口

Rujijie(config-if-range)#exit

Rujijie(config)#errdisable recovery interval 300 ------>如果端口被RLDP检测并shutdown，再过300秒后会自动恢复，重新检测是否有环路

Rujijie(config)#end

Rujijie#wr

说明：

1）建议在接入下联端口开启RLDP功能的同时，也同时开启BPDUGuard+Portfast功能（需要注意该功能生效，必须要先开启STP协议），如果网络中没有运行生成树协议（单核心网络环境），可以在接入交换机上开启STP功能，同时上联口开启BPDUFilter，防止STP报文发送到核心交换机，影响整网。命令如下：

Rujijie#configure terminal

Ruijie(config)#spanning-tree

Ruijie(config)#interface range g0/1-24

Ruijie(config-if-range)#spanning-tree bpduguard enable

Ruijie(config-if-range)#spanning-tree portfast

Ruijie(config)#interface gigabitEthernet 0/25

Ruijie(config-if-GigabitEthernet 0/25)#spanning-tree bpdufilter enable

Ruijie(config-if-GigabitEthernet 0/25)#exit

Rujijie(config)#errdisable recovery interval 300

Rujijie(config)#end

Rujijie#wr

五、功能验证

1、查看RLDP的状态

2、当g0/5和g0/7口环起来后会出现如下log

Rujijie#

*Mar 19 20:16:00: %RLDP-3-LINK_DETECT_ERROR: loop detection error detect on interface GigabitEthernet 0/7.set this interface errordisable!

*Mar 19 20:16:00: %RLDP-3-LINK_DETECT_ERROR: loop detection error detect on interface GigabitEthernet 0/5.set this interface errordisable!

Mar 19 20:16:01: %LINEPROTO-5-UPDOWN: Line protocol on Interface VLAN 1, changed state to down.

*Mar 19 20:16:02: %LINK-3-UPDOWN: Interface GigabitEthernet 0/5, changed state to down.

*Mar 19 20:16:02: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet 0/5, changed state to down.

*Mar 19 20:16:02: %LINK-3-UPDOWN: Interface GigabitEthernet 0/7, changed state to down.

*Mar 19 20:16:02: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet 0/7, changed state to down.

3、查看接口状态，发现这两个口被disable了

4、过了300S，交换机会把端口自动变为恢复状态，如下：

*Mar 19 20:21:01: %PORT_SECURITY-4-ERR_RECOVER: Interface GigabitEthernet 0/5 recover from an error.

*Mar 19 20:21:01: %PORT_SECURITY-4-ERR_RECOVER: Interface GigabitEthernet 0/7 recover from an error.

*Mar 19 20:21:01: %RLDP-3-LINK_DETECT_RECOVER: rldp recover interface GigabitEthernet 0/7 from loop error

*Mar 19 20:21:01: %RLDP-3-LINK_DETECT_RECOVER: rldp recover interface GigabitEthernet 0/5 from loop error

*Mar 19 20:21:04: %LINEPROTO-5-UPDOWN: Line protocol on Interface VLAN 1, changed state to up.

*Mar 19 20:21:06: %LINK-3-UPDOWN: Interface GigabitEthernet 0/5, changed state to up.

*Mar 19 20:21:06: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet 0/5, changed state to up.

*Mar 19 20:21:06: %LINK-3-UPDOWN: Interface GigabitEthernet 0/7, changed state to up.

*Mar 19 20:21:06: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet 0/7, changed state to up.

5、如果需要立即恢复被disable的端口，可以通过如下命令实现;

Rujijie#rldp reset

Rujijie#

*Mar 19 20:34:32: %PORT_SECURITY-4-ERR_RECOVER: Interface GigabitEthernet 0/7 recover from an error.

*Mar 19 20:34:32: %RLDP-3-LINK_DETECT_RECOVER: rldp recover interface GigabitEthernet 0/7 from loop error

*Mar 19 20:34:32: %PORT_SECURITY-4-ERR_RECOVER: Interface GigabitEthernet 0/5 recover from an error.

*Mar 19 20:34:32: %RLDP-3-LINK_DETECT_RECOVER: rldp recover interface GigabitEthernet 0/5 from loop error


应用场景

堆叠主要应用于那些对于接入端口密度要求比较高的，希望多台交换机能够统一管理与维护的（比如配置工作量少，管理IP地址单一）场景。另外相比与级联方式组网，堆叠方式由于可以采用专门的堆叠模块，提供更高的互联带宽（比如2.5G，10G等）也是客户采用堆叠组网的一个重要原因。堆叠技术主要应用在教育，医疗，网吧，中小企业等行业。

功能介绍

什么是堆叠

对于盒式交换机，由于其成本较低，经常用在网络的汇聚层和接入层。但是由于网络的规模不断提高，此时盒式交换机的缺点就暴露出来，端口数量的相对固定，不像机箱式的交换机，在端口出现不足的时候，能简单的通过增加线卡的方式添加端口容量，

堆叠技术通过堆叠端口和堆叠连接线将多台交换机连接在一起，通过堆叠选取协议就构成了堆叠，堆叠可以进行集中管理，多台交换机管理起来仿佛一台交换机

堆叠优点

1）通过堆叠，可以扩展端口密度。堆叠系统的端口数是由堆叠中所有成员设备的端口相加得到的，用户可以根据网络规模灵活的增加或减少端口数量，而不需要废弃先前采购的设备，从而保护了用户投资；

2）减少IP地址的占用，方便用户的管理操作。堆叠系统在逻辑上是一台设备，在网络中是一个节点，其通过一个IP 地址，在统一的界面下，即可以对整个堆叠系统中的所有端口进行统一的配置；

3）有效扩展上链带宽，通过多台交换机端口聚合，扩容上行带宽。

堆叠缺点

堆叠不支持热插拔，也就是不能在堆叠运行过程中插入、移出、更换成员设备。如果这么做，则堆叠系统会重新启动，重新建立堆叠。在稳定工作的堆叠环境中，如果任何一台交换机下电并重新上电，堆叠中的所有其他交换机将自动复位并重新竞选，构建新的堆叠。

当前我司的热堆叠技术是VSU，并且在S26I，S29E、S57E上全面支持，推荐部署。

堆叠类型介绍

1）红色标注的堆叠线为冗余链路，此时交换机处于环形堆叠状态；而不接那条红色冗余链路，则此时交换机处于线性堆叠状态；

2）环形堆叠相对与线形堆叠的好处在于，环形堆叠的冗余链路将会在其他正常链路的某一条出故障时，承担故障链路的工作，从而能保证系统的高稳定性；

堆叠模块介绍

组成堆叠系统一般来说需要特殊的堆叠端口和堆叠线缆，锐捷交换机提供多种硬件方案供用户选择：

1）通过特定的扩展堆叠模块+特定的连接线缆进行堆叠，带宽1Gbps~10Gbps间；高效，可靠，带宽高，缺点是成本高，堆叠成员设备互连的距离受到堆叠线缆长度的约束。例如M2900-STACK堆叠模块。

2）通过专用的，固化的光口+SFP堆叠线缆进行堆叠，双向带宽可达5Gbps，缺点是堆叠成员设备互连的距离受到堆叠线缆长度的约束。例如GE-SFP-STACK1.6M模块。

3）通过普通的千兆光电口+光纤或者网线进行堆叠，带宽可达1Gbps。成本低，带宽小。

堆叠拓扑连接介绍


一、组网需求

XX小学进行网络升级，采购了我司多台RG-S2928G-S设备作为接入，计划每两台构建一组堆叠。实现全千兆接入到桌面PC，双千兆聚合上联核心设备。网络改造后，堆叠大大扩展了端口密度，同时也带来方便、集中式管理的优点，减少维护量。

二、组网拓扑

三、配置要点

1）安装专用堆叠模块或者光模块，设备互联，构建线性堆叠拓扑；

2）分别完成堆叠主设备，从设备的关于堆叠功能的基本配置；

3）两台设备断电重启，进行堆叠协商，等待堆叠成功后确认运行状态；

4）功能测试。

说明：

1）本次案例只是以2台S2928G-S组建线型堆叠为例进行讲解，实际部署中可灵活选择堆叠成员的数量，可以是3台或者4台S2928G-S组建环型堆叠，总之最多不超过4台设备就可以，配置命令上与该案例完全一样。

2）S2928G-S支持专用的GE-SFP-STACK1.6M模块堆叠、普通千兆光口两种堆叠方式，不论才用哪种方式，只是物理链路上的构建不同，对应配置没有任何区别。

3）S2928G-S最大堆叠台数为四台，并且只有最后两个光口27F,28F支持构建堆叠系统。

四、准备工作

1）注意：S2928G-S交换机的web配置界面是无法配置堆叠相关功能，所以只能通过CLI命令界面来实施与维护堆叠相关功能，请确保熟悉console口的相关操作；

2）S2928G-S堆叠的各成员设备的软件可以不用相同，堆叠组建好后，主设备会将其对应的软件版本同步到各成员设备上

以两台S2928G-S交换机构建堆叠组为例，如果是采用专用2.5G堆叠线缆组建的话，需要准备 1根GE-SFP-STACK1.6M模块；如果采用普通千兆光口做堆叠，需要准备 2个Mini-GBIC-SX多模模块，1根多模 LC-LC光纤尾纤；

3）按照下方图示，安装专用2.5G堆叠模块或者光模块，设备互联，构建线性堆叠拓扑，注意：S2928G-S/S2928G-E交换机只有27F,28F两个光口支持堆叠，S2952G-E交换机只有51F,52F两个光口支持堆叠，模块需要插在这两个端口上，并确认指示灯亮；

4）确认无误后，将2台设备上电。

五、配置步骤

从单机模式空配置开始配置堆叠组参数，步骤如下：

1）配置设备优先级

注意：部分交换产品（以A产品为代号），默认优先级为1，范围为1-10，优先级越大越优先；若优先级一样，mac地址越小越优先；

部分交换产品（以B产品为代号），默认优先级为5，范围为1-10，优先级越小越优先；若优先级一样，mac地址越小越优先；

A产品：s20g、s23系列、s26系列、s26E/P系列、s29-E/S系列、s29系列；

B产品：s26I系列、s2924gt/8sfp-p；

2）配置设备别名

3）配置堆叠端口

特别说明：无论物理链路上采用前文提到的2.5G专用堆叠线缆还是普通的千兆光口做堆叠，关于堆叠的基本参数都是需要配置，并且命令没有任何区别

分别配置堆叠主设备，从设备两台交换机的关于堆叠的基本配置

主设备：RG-S2928G-S-1配置如下：

ruijie#conf terminal

ruijie(config)#device-priority 10 //配置设备优先级，数值越大越优先，默认是1，这边我们把主设备优先级设置为10

ruijie(config)#device-description RG-S2928G-S-1 //配置设备别名，用于堆叠后区分每台主机，便于记忆管与理

ruijie(config)#interface gigabitEthernet 0/28

ruijie(config-if-GigabitEthernet 0/28)#stack on //将28F口配置为堆叠端口，随后系统会有日志提示，切换到堆叠模式才能生效

you must reload switch to change interface GigabitEthernet 0/28 to stack mode!

ruijie#write //关于堆叠的基本配置完成后需要确认无误后保存，否则重启丢失，堆叠无法建立

从设备：RG-S2928G-S-2配置如下：

ruijie#conf terminal

ruijie(config)#device-description RG-S2928G-S-2

ruijie(config)#interface gigabitEthernet 0/28

ruijie(config-if-GigabitEthernet 0/28)#stack on

you must reload switch to change interface GigabitEthernet 0/28 to stack mode!

ruijie#write

六、功能验证

1）将两台设备同时直接断电重启，注意观察启动日志，当经历正常的系统启动后，会进入堆叠协商阶段，如果配置及物理链路没有问题的话，堆叠将自动建立成功

<---------------系统正常启动日志此次省略----------------------->

Copyright (c) 1998-2012s by Ruijie Networks.

All Rights Reserved.

Neither Decompiling Nor Reverse Engineering Shall Be Allowed.

*Mar 7 20:10:40: %MTD_DRIVER-5-MTD_NAND_FOUND: 1 NAND chips(chip size : 134217728) detected

Stack System is voting.. //当出现这个日志提示的时候，表示接入堆叠协商阶段，选举主从设备，时间经历约30秒，如果你等待超过1，2分钟，请检查堆叠模块的连接以及配

置是否存在问题

*Mar 7 20:11:49: %DEVICE-5-CHANGED: Device S2928G-S (1) changed state to up.

*Mar 7 20:11:49: %DEVICE-5-CHANGED: Device S2928G-S (2) changed state to up. //当提示各成员设备状态都up的日志时，表示堆叠协商完成，相应的设备组建成堆叠组

ruijie>

2）执行show version slot，show version device，show member查看堆叠各成员状态

ruijie#show version slots //此次显示所有堆叠成员设备信息，端口总数等

Device Slot Ports Max Ports Module

------ ---- ----- ---------- --------------------------

1 0 28 28 S2928G-S

2 0 28 28 S2928G-S

ruijie#show member //此次显示更加丰富的堆叠成员的MAC,优先级，软件版本，设备别名等信息

Member Mac Address Priority Software Version Hardware Version Description

---------- -------------- -------- ------------------------------------------------ ---------------- -----------

1 001a.a9c4.05f2 10 RGOS 10.4(2b11)p1 Release(134566) 1.01 RG-S2928G-S-1

2 001a.a9c4.062e 1 RGOS 10.4(2b11)p1 Release(134566) 1.01 RG-S2928G-S-2

3）堆叠组只有主设备可以console管理，其他成员设备均无法管理，显示NGSA-M2.0>

七、功能测试

配置完毕后，需要进行功能性测试，包括但不限于：

1）测试堆叠的可靠性

2）测试堆叠的带宽提升性

3）测试客户其他业务应用是否正常（协调客户联系确认业务测试方法或提前制定测试方案）


一、组网需求

中低端交换机通常都有提供专用的STACK模块做堆叠，采用这样的普通模块堆叠的一个优势就是互联带宽比较大，通常可以达到2.5G或者10G。堆叠技术主要应用在教育，医疗，网吧，中小企业等行业。提供高密度的接入端口数量，同时多台交换机能够统一管理与维护的，帮助管理员减少工作量。

本次案例我们以介绍3台S2951XG的堆叠为例，讲解普通STACK模块堆叠的一些通用实施方法。

二、配置要点

1）由于每款产品支持的堆叠模块类型不同，另外堆叠线缆的连接方式，组网方式也存在差异，所以实施前请参考“应用场景与更能介绍”章节中的内容，提前确认这些信息；

2）分别在单机模块下完成三台成员设备关于堆叠功能的基本配置并保存，推荐各设备的软件版本能够统一，本次案例我们推荐三台设备都采用10.4（2p3）Release(121366) ；

3）三台设备都先下电，安装专用M2900-STACK堆叠模块，连接配套的堆叠线缆，构建预期的堆叠拓扑；

4）三台设备同时上电，进行堆叠协商，等待堆叠成功后确认运行状态；

5）功能测试。

S2900交换机的堆叠模块与拓扑连接说明

M2931用于S2927XG/S2951XG系列交换机实现堆叠连接的万兆堆叠套件，包含2个M2900-STACK模块以及2根万兆堆叠线缆。一套M2931堆叠套件可以提供一个完整的万兆堆叠链路。

上图中，S2927XG/S2951XG后面板有3个万兆扩展槽，其中每台主机需要2个堆叠模块，占有了2个扩展槽，另外一个扩展槽可根据网络需要灵活扩展万兆模块。

3台主机堆叠时，共需要6个M2900-STACK堆叠模块和6跟堆叠线缆。而每个M2931堆叠套件包括2个堆叠模块和2根堆叠线缆。因此3台主机堆叠时，需要3个堆叠套件。

交换机1的第一块M2900-STACK模块的RX接口要跟交换机2的第一块M2900-STACK模块的TX接口互联，交换机1的第一块M2900-STACK模块的TX接口要跟交换机2的第一块M2900-STACK模块的RX接口互联，这样才算连接好一个模块，其他剩余的模块依次，类似的连接。而不是交换机1的第一块模块的RX连接交换机2的第一块模块的TX，然后交换机2的第一块模块的RX连接交换机3的第一块模块的TX，这种方式是错的，堆叠将无法建立。

特别说明

1、S2900 系列交换机支持同系列混堆，即堆叠系统中的成员设备可以是S2900 系列中任意型号的交换机，包括S2924G，S2927XG，S2951XG；

2、S2900系列交换机堆叠系统最多支持8台成员设备；

3、堆叠模块不支持热插拔，需要下电操作。

四、配置步骤

从单机模式空配置开始配置堆叠组参数，步骤如下：

1）配置设备优先级（数值小的成为主设备）

注意：部分交换产品（以A产品为代号），默认优先级为1，范围为1-10，优先级越大越优先；若优先级一样，mac地址越小越优先；

部分交换产品（以B产品为代号），默认优先级为5，范围为1-10，优先级越小越优先；若优先级一样，mac地址越小越优先；

A产品：s20g、s23系列、s26系列、s26E/P系列、s29-E/S系列、s29系列；

B产品：s26I系列、s2924gt/8sfp-p；

2）配置设备别名

特别说明：其实如果是采用普通STACK模块堆叠，只要保证模块，链路连接没有问题，其实可以不需要任何额外配置，三台设备即可组建堆叠组，只是堆叠的主机就会依据设备的MAC进行选举，不可控，另外设备没有别名也不利于后期维护，所以才需要如下的优先级与设备别名的配置需要。

主设备：RG-S2951XG-1配置如下：

ruijie#conf terminal

ruijie(config)#device-priority 10 //配置设备优先级，数值越大越优先，默认是5，这边我们把主设备优先级设置为10

ruijie(config)#device-description RG-S2951XG-1 //配置设备别名，用于堆叠后区分每台主机，便于记忆管与理

ruijie#write //关于堆叠的基本配置完成后需要确认无误后保存，否则重启丢失。

从设备：RG-S2951XG-2配置如下：

ruijie#conf terminal

ruijie(config)#device-description RG-S2951XG-2

ruijie#write

从设备：RG-S2951XG-3配置如下：

ruijie#conf terminal

ruijie(config)#device-description RG-S2951XG-3

ruijie#write

五、功能验证

1）将三台设备同时上电重启，注意观察启动日志，当经历正常的系统启动后，会进入堆叠协商阶段，如果配置及物理链路没有问题的话，堆叠将自动建立成功

<---------------系统正常启动日志此次省略----------------------->

Copyright (c) 1998-2011s by Ruijie Networks.

All Rights Reserved.

Neither Decompiling Nor Reverse Engineering Shall Be Allowed.

*Mar 29 10:14:33: %MTD_DRIVER-5-MTD_NAND_FOUND: 1 NAND chips(chip size : 134217728) detected

Stack System is voting.. //当出现这个日志提示的时候，表示接入堆叠协商阶段，选举主从设备，时间经历约30秒，如果你等待超过1，2分钟，请检查堆叠模块的连接以及配

置是否存在问题

*Mar 29 10:14:49: %DEVICE-5-CHANGED: Device S2951XG (1) changed state to up.

*Mar 29 10:14:49: %DEVICE-5-CHANGED: Device S2928XG (2) changed state to up

*Mar 29 10:14:49: %DEVICE-5-CHANGED: Device S2928XG (3) changed state to up. //当提示各成员设备状态都up的日志时，表示堆叠协商完成，相应的设备组建成堆叠组

ruijie>

2）执行show version slot，show version device，show member查看堆叠各成员状态

ruijie#show version slots //此次显示所有堆叠成员设备信息，端口总数等

Device Slot Ports Max Ports Module

------ ---- ----- ---------- --------------------------

1 0 51 51 S2951XG

2 0 51 51 S2951XG

3 0 51 51 S2951XG

ruijie#show member //此次显示更加丰富的堆叠成员的MAC,优先级，软件版本，设备别名等信息

Member Mac Address Priority Software Version Hardware Version Description

---------- -------------- -------- ------------------------------------------------ ---------------- -----------

1 001a.a9c4.5896 10 RGOS 10.4(2p3) Release(121366) 1.01 RG-S2951XG-1

2 001a.a9c4.2658 1 RGOS 10.4(2p3) Release(121366) 1.01 RG-S2951XG-2

2 001a.a9c4.1258 1 RGOS 10.4(2p3) Release(121366) 1.01 RG-S2951XG-3

3）堆叠组只有主设备可以console管理，其他成员设备均无法管理，不同产品的提示符可能存在差异，类似NGSA-M2.0>

六、功能测试

配置完毕后，需要进行功能性测试，包括但不限于：

1）测试堆叠的可靠性

2）测试堆叠的带宽提升性

3）测试客户其他业务应用是否正常（协调客户联系确认业务测试方法或提前制定测试方案）


应用场景：

使用VSU扩展端口数量

如图所示。当接入的用户数增加到原交换机端口密度不能满足接入需求时，可以通过在原有的VSU系统中增加新的交换机而得到满足。

使用VSU扩展转发能力

如图所示。当中心的交换机转发能力不能满足需求时，可以增加新交换机与原交换机组成VSU系统来实现。若一台交换机转发能力为128M PPS，则通过增加一台交换机进行扩展后，整个VSU设备的转发能力为256M PPS。需要强调的是，是整个VSU设备的转发能力整体提高，而不是单个交换机的转发能力提高。

使用VSU扩展带宽

如图所示，当边缘交换机上行带宽增加时，可以增加新交换机与原交换机组成VSU系统来实现。将成员设备的多条物理链路配置成一个聚合组，可以增加到中心交换机的带宽。而对中心交换机的而言，边缘交换机的数量并没有变化，物理上的两台交换机看起来就是一台交换机，原有交换机会将当前的配置批量备份到新加入的交换机。因此，这种变化对网络规划和配置影响很小。

使用VSU简化组网

如下图是常见的网络组网，使用MSTP、VRRP等协议来支持链路冗余、网关备份。这种组网在各种场合均会使用，这里仅以汇聚层与接入层之间的组网为例。使用 VSU 后，汇聚层的多个设备成为了一个单一的逻辑设备，接入设备直接连接到虚拟设备。这个简化后的组网不再需要使用 MSTP、VRRP 协议，简化了网络配置。同时依靠跨设备的链路聚合，在成员出现故障时不再依赖 MSTP、VRRP 等协议的收敛，提高了可靠性。

网吧VSU万兆虚拟化环网方案

如下图XX网吧进行网络升级，采购了我司一台RG-S5750-48GT/4SFP-S，两台RG-S5750-24GT/8SFP-S设备，组建VSU万兆虚拟化环网。全千兆接入到桌面PC，个别端口光纤下联HUB扩展千兆端口。双千兆上联出口路由器，同时网吧内部千兆服务器提供无盘启动，电影，游戏等服务。三台交换机组建成千兆接入，万兆互联的纯二层高速接入网络，全面提升链路带宽，客户上网体验，同时VSU带来的方便、集中式管理可减少维护量。

原理简介：

VSU是一种将多台设备虚拟成一台设备来管理和使用的技术,能够显著减低管理复杂度，降低拓扑逻辑复杂度，和MSTP+VRRP网络相比，VSU通常和周边设备使用聚合口进行连接，能够有效利用冗余链路的同时提升系统的转发能力。

端口角色：

VSU中每台设备都称为成员设备。成员设备按照功能不同，分为三种角色：

1）Active：主设备，负责管理整个VSU。

2）Standby：从设备，作为Active的备用设备运行。当Active故障时，Standby会自动升级为Active接替原Active工作。

3）Candidate：候选设备，作为Standby的备用设备运行。当Standby故障时，系统会自动从Candidate中选举一个新的Standby接替原Standby工作。另外，当Active故障时，在Standby自动升级为Active接替原Active工作的同时，系统也会自动从Candidate中选举一个新的Standby接替原Standby工作。

域编号：

域编号（Domain ID）是VSU的一个属性，是VSU的标识符，用来区分不同的VSU。两台交换机的domain ID相同，才能组成VSU。取值范围是1到255，缺省100。

设备编号：

设备编号Switch ID是成员设备的一个属性，是交换机在VSU中的成员编号，取值是1到8，缺省1。

在单机模式，接口编号采用二维格式（如GigabitEthernet 2/3）；而在VSU模式中，接口编号采用三维格式（如GigabitEthernet 1/2/3），第一维（数字1）表示机箱成员编号，后面两维（数字2和3）分别表示槽位号和该槽位上的接口编号。因此，在VSU中必须保证所有成员的设备编号都是唯一的。

如果建立VSU时成员设备的编号不唯一，系统会通过VSU自动编号机制为所有成员设备重新设定编号来保证编号的唯一性。

设备优先级：

优先级是成员设备的一个属性，在角色选举过程用到。优先级越高，被选举为主设备的可能性越大。取值范围是1到255，缺省优先级是100，如果想让某台设备被选举为主设备，应该提高该设备的优先级。

成员设备的优先级分为配置优先级和运行优先级。运行优先级等于启动时配置文件中保存的配置优先级，在VSU运行过程中不会变化，管理员修改了配置优先级，运行优先级还是原来的值，保存配置并重启后新配置的优先级才会生效。

VSL

虚拟交换链路（Virtual Switching Link，简称VSL）是VSU系统的设备间传输控制信息和数据流的特殊聚合链路。VSL端口以聚合端口组的形式存在，由VSL传输的数据流根据流量平衡算法在聚合端口的各个成员之间就进行负载均衡。

设备上可以用于VSL端口连接的物理端口称之为VSL成员端口。VSL成员端口可能是堆叠端口、以太网接口或者光口（设备上哪些端口可用作VSL成员端口与设备的型号有关，请以设备的实际情况为准）。

VSU分裂：

如下图所示，一个VSU形成后，由于VSL链路故障，导致VSU中两相邻成员设备物理上不连通，一个VSU变成两个VSU，这个过程称为VSU分裂。

VSU合并：

如下图所示，两个各自稳定运行的VSU，如果它们的Domain ID相同，则可以通过在两个VSU之间增加VSL链接来使其合并成为一个VSU，这个过程称为VSU合并。

VSU工作模式：

交换机有两种工作模式：单机模式和VSU模式，缺省工作模式是单机模式，要想组建VSU，必须把交换机的工作模式从单机模式切换到VSU模式。

对于支持使用堆叠口作为VSL成员端口的VSU系统而言，若系统在启机阶段识别到堆叠口，则自动激活到VSU模式，而不需要用户手工激活VSU模式。

VSU连接介质：

多台设备要组成VSU，需要先将成员设备的 VSL端口进行连接。设备支持的VSL端口的类型不同使用的连接介质不同。

1）如果使用堆叠口作为VSL端口，则需要使用堆叠专用线缆连接VSL端口。堆叠专用线缆能够为成员设备间报文的传输提供很高的可靠性和性能。（S26I）

2）如果使用以太网接口作为 VSL端口，则使用交叉网线连接VSL端口即可。这种连接方式提高了现有资源的利用率（以太网接口没有与VSL绑定时用于上下层设备间业务报文转发，与VSL绑定后专用于成员设备间报文转发，这种绑定关系可以通过命令行配置），有利于节约成本（不需要购置堆叠专用接口卡或者光模块等）。

3）如果使用光口作为 VSL端口，则使用光纤连接 VSL端口。这种连接方式可以将距离很远的物理设备连接组成VSU，使得应用更加灵活。

VSU连接拓扑：

线性拓扑

环形拓扑

环形拓扑比线形拓扑更可靠。因为当线形拓扑中出现VSL链路故障时，会引起VSU分裂；而环形拓扑中某个VSL链路出现故障时，只是导致环形拓扑变为线形拓扑，而VSU的业务不会受到影响。

VSL检测：

成员设备启机后，根据配置的VSL信息将物理端口识别为VSL口，并开始VSL检测。VSL检测主要是检测直连设备的VSL连接关系。当VSL状态变为UP之后，设备就可以开始拓扑发现。

拓扑发现：

VSU中的每台设备都是通过和拓扑中的其它成员设备之间交互VSU Hello报文来收集整个VSU的拓扑关系。VSU Hello报文会携带拓扑信息，包括本机的成员编号、设备优先级、MAC信息、VSU端口连接关系等内容。每个成员会在状态为UP的VSL口上向拓扑洪泛Hello报文，其他成员收到Hello报文后，会将报文从非入口的状态为UP的VSL口转发出去。

通过Hello报文的洪泛，每个成员设备可以逐一学到整个拓扑信息。当设备收集完拓扑信息后，开始进行角色选举。

VSU角色选举：

Active角色的选举规则如下：

当前主机优先。

设备优先级大的优先。

MAC地址小的优先。

Standby角色的选举规则如下：

最靠近主机的优先。

设备优先级大的优先。

MAC地址小的优先。

在角色选举阶段，所有的设备根据Active角色的选举规则从拓扑中推举出Active；被选为Active的设备从剩下设备中选出Standby。选举完成后，Active的设备向整个拓扑发送Convergence报文，通知拓扑中的所有设备一起进行拓扑收敛，然后VSU进入管理与维护阶段。

双主机检测：

当VSL断开导致Active设备和Standby设备分到不同的VSU时，就会产生VSU分裂。发生VSU分裂时，网络上会出现两个配置相同的VSU。在三层，两个VSU的任何一个虚接口（VLAN接口和环回接口等等）的配置相同，网络中出现IP地址冲突。

目前支持用BFD和聚合口检测双主机箱。如图6所示，需要在两台交换机之间建立一条双主机检测链路，当VSL断开时，两台交换机开始通过双主机检测链路发送检测报文，收到对端发来的双主机检测报文，就说明对端仍在正常运行，存在两台主机。

1）基于BFD检测：BFD的双主机检测端口必须是三层路由口，二层口、三层AP口或SVI口都不能作为BFD的检测端口；当用户将双主机检测端口从三层路由口转换为其他类型的端口模式时，BFD的双主机检测配置将自动清除，并给出提示。BFD检测采用扩展BFD，不能通过现有BFD的配置与显示命令配置双主机检测口。

2）基于聚合口检测（图7）：基于聚合口检测双主机的机制与BFD类似。当VSL链路断开，产生双主机时，两个主机之间相互发送聚合口私有报文来检测多主机。与BFD检测的区别主要在于基于聚合口的检测需要配置在跨设备业务聚合端口上（不是VSL聚合端口），而且需要周边设备可以转发私有检测报文

Recovery模式：

检测出双主机以后，系统将根据双主机检测规则选出最优VSU和非最优VSU。最优VSU一方没有受到影响；非最优VSU一方进入恢复（recovery）模式，系统将会关闭除VSL端口和管理员指定的例外端口（管理员可以用config-vs-domain模式下的命令“dual-active exclude interface”指定哪些端口不被关闭）以外的所有物理端口。

在三机以上（包括三机）的VSU拓扑上，或者采用基于聚合口检测的VSU拓扑上，双主机检测规则参考“VSU合并”规则；对于基于BFD检测的双机VSU，则采用保留原主机的规则。这样做的目的是为了最大程度的保证双主机对业务的影响。

当VSU进入recovery模式后，提醒管理员：不要直接重启设备，最简单有效的处理方法是重新连接VSL。当排除VSL故障后，recovery模式的VSU会自动重启并加入到最优VSU的一方。

管理员不能在解决VSL故障之前就将设备直接复位，否则可能导致复位起来的设备没有加入到最优VSU一方，再次出现双主机冲突。

VSU报文转发原理

VSU 采用分布式转发技术实现报文的二/三层转发，最大限度的发挥了每个成员的处理能力。VSU 系统中的每个成员设备都有完整的二/三层转发能力，当它收到待转发的二/三层报文时，可以通过查询本机的二/三层转发表得到报文的出接口（以及下一跳），然后将报文从正确的出接口送出去，这个出接口可以在本机上也可以在其它成员设备上，并且将报文从本机送到另外一个成员设备是一个纯粹内部的实现，对外界是完全屏蔽的，即对于三层报文来说，不管它在 VSU 系统内部穿过了多少成员设备，在跳数上只增加1，即表现为只经过了一个网络设备。

本地转发

如图所示，转发报文的入接口和出接口在同一台成员设备上。当成员设备收到报文后，查找本地转发表，发现出接口就在本机上，则成员设备直接将报文从这个出接口发送出去。

单播报文转发

如图所示，转发报文的入接口和出接口在不同的成员设备上。当成员设备1 收到报文后，查找本地转发表，发现出接口在成员设备2上，则成员设备1根据单播最优路径将报文转发给成员设备2，而成员设备2最总将报文转发出去。

组播报文转发

如图所示，成员设备1收到一个组播报文，它通过两个VSL通道将组播报文转发出去；在组播报文经过成员设备2和3时，由于成员设备2和3上均有组播接入，因此成员设备2和3会将报文转发出去；同时，根据组播转发原理，组播流量会分别截止于成员设备3和成员设备4，即成员设备3和成员设备4之间可自动避免报文环路。


1、S8600/S12000系列交换机，构建VSU系统的机框、引擎、线卡的说明

硬件 | 数目 | 需求
机箱 | 2 | 仅支持RG-S8600系列（RG-S8606、RG-S8606B、RG-S8610、RG-S8614）和RG-S12000系列（RG-S12006I、RGS12010I）机箱组建VSU系统。 组建VSU系统的兼容规则如下： 1）只能同系列的产品之间才能组成VSU系统。即S8600机箱只能和S8600系列机箱组成VSU系统，S12000机箱只能和S12000系列机箱组成VSU，S8600系列机箱和S12000系列机箱不能混合组成VSU系统。 2）同系列的不同型号的机箱可以组成VSU系统。如RG-S8606机箱和RG-S8610机箱可以组成VSU系统，RG-S12006 I机箱和RG-S12010 I机箱也可以组成VSU系统。
管理引擎 | 2-4 | 每台机箱支持最多插入2块管理引擎，单个机箱内的引擎类型必须完全一致 不同机箱的管理引擎需要满足以下规则： 支持M8606-CMII，M8610-CMII，M8614-CMII管理引擎互相构建VSU系统； 支持M8606-CM III、M8610-CMIII管理引擎互相构建VSU系统； 支持M8606-CMII LITE、M8610-CMII LITE管理引擎互相构建VSU系统； 支持M12000-CM管理引擎互相构建VSU系统； 支持M12000-CM III管理引擎互相构建VSU系统； 除了以上兼容规则，其他管理引擎组合方式均视为不兼容；
线卡 | 每机箱至少1块线卡 | 每台机箱至少包含一块线卡，该线卡上至少存在一个万兆口或40G端口用于连接VSU系统的VSL链路。具体的VSL链路要求参考如下：“S8600系列交换机，构建VSU系统的VSL线路的硬件需求说明”、”S12000系列交换机，构建VSU系统的VSL线路的硬件需求说明“。

2、S8600系列交换机，构建VSU系统的VSL线路的硬件需求说明

10.4（3）以前的VSU版本中，仅支持利用M8600-VSU-02XFP专用线卡组建VSU。且每台机箱仅支持一张该种线卡。10.4(3b17)开始已经不受该限制，但S86系列交换机的VSL成员端口有以下约束：

1）M8600-VSU-02XFP专用线卡上的两个万兆口只能作为VSL成员端口，不能用作普通口；

2）M8600-04XFP-EC线卡和M8600-02XFP24SFP/12GT-EC线卡的任意万兆口可指定为VSL成员端口；

3）M8600-16XS-DA线卡和M8600-04QXS-DA线卡的任意万兆口或40G口可以指定为VSL成员接口；

4）但是，关于VSL链路只支持DA卡和DA卡，EC卡和EC卡，VSU卡和VSU卡同种型号组建VSU，不支持DA与EC类似混合线卡对接组建VSU；

5）VSL 口不支持端口的速率自适应，只支持端口的最大能力速率生效，如万兆口只能采用万兆光模块组网，而不能采用千兆光模块试图自适应成千兆组建VSL链路；且40G 口拆分出来的 10G 口不支持配置为 VSL 成员端口。

两台机箱的VSL成员端口之间的连接方式：

1）如果是万兆接口之间连接，则通过XFP（或SFP+）模块+光纤或铜缆的方式进行连接。

2）如果是40G接口之间连接，则可以通过QXFP模块+光纤或铜缆的方式进行连接。

3）万兆口和40G端口之间不能进行连接。

4）40G端口不能拆分为多个10G端口做VSL互联

3、S12000系列交换机，构建VSU系统的VSL线路的硬件需求说明

1）对于S12000系列，任意线卡的万兆口或40G端口都可以指定为VSL成员端口。但是当配置M12000-16XS-DA 线卡或者M12000-48XS-DA 线卡上的端口为VSL 成员口时，必须以4 个为一组加入或者退出VSL AP，例如：配置端口1 为VSL 成员口时，端口2、3、4 也将被自动配置为VSL 成员口。这些口就不能当做普通的万兆端口继续使用了。

2）VSL 口不支持端口的速率自适应，只支持端口的最大能力速率生效，如万兆口只能采用万兆光模块组网，而不能采用千兆光模块试图自适应成千兆组建VSL链路；且40G 口拆分出来的 10G 口不支持配置为 VSL 成员端口。

两台机箱的VSL成员端口之间的连接方式：

1）如果是万兆接口之间连接，则通过XFP（或SFP+）模块+光纤或铜缆的方式进行连接。

2）如果是40G接口之间连接，则可以通过QXFP模块+光纤或铜缆的方式进行连接。

3）万兆口和40G端口之间不能进行连接。

4）40G端口不能拆分为多个10G端口做VSL互联


1、VSU基本配置

1、对主备核心交换机进行初始配置

核心交换机1：

Switch1# configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Switch1(config)# switch virtual domain 1

Switch1(config-vs-domain)# switch 1

Switch1(config-vs-domain)# switch 1 priority 200 ------>默认优先级为100，配置为较高的优先级，VSU建立成功后将会成为管理主机。

Switch1(config-vs-domain)# exit

Switch1(config)# vsl-aggregateport 1 ------>VSL链路至少需要2条，一条链路可靠性较低，当出现链路震荡时，VSU会非常不稳定。

Switch1(config-vsl-ap-1)# port-member interface TenGigabitEthernet 2/1 ------>配置VSL链路，VSU主备核心之间的心跳链路和流量通道

Switch1(config-vsl-ap-1)# port-member interface TenGigabitEthernet 2/2

Switch1(config-vsl-ap-1)# exit

说明：如果现场S86采用M8600-VSU-02XFP线卡，则其板卡上的端口自动加入VSL，无须进行配置，且单机模式下无法正常识别到，show ver slot看到是cannot startup的状态需要切换为VSU模式后，后线卡才能正常识别。

核心交换机2：

Switch2# configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Switch2(config)# switch virtual domain 1 ------>domaind id 必须和第一台一致

Switch2(config-vs-domain)# switch 2 ------>第二台设备必须更改ID为2

Switch2(config-vs-domain)# switch 2 priority 150

Switch2(config-vs-domain)# exit

Switch2(config)# vsl-aggregateport 1 ------>VSL链路至少需要2条，一条链路可靠性较低，当出现链路震荡时，VSU会非常不稳定。

Switch2(config-vsl-ap-1)# port-member interface TenGigabitEthernet 2/1 ------>配置VSL链路，VSU主备核心之间的心跳链路和流量通道

Switch2(config-vsl-ap-1)# port-member interface TenGigabitEthernet 2/2

Switch2(config-vsl-ap-1)# exit

说明：如果现场S86采用M8600-VSU-02XFP线卡，则其板卡上的端口自动加入VSL，无须进行配置，且单机模式下无法正常识别到，show ver slot看到是cannot startup的状态需要切换为VSU模式后，后线卡才能正常识别。

2、连接好VSL链路，并确定接口已经UP

3、保存两台设备的配置，并一起切换为VSU模式

核心交换机1

Switch1# wr

Switch1# switch convert mode virtual ------>转换为VSU模式

Are you sure to convert switch to virtual mode[yes/no]：yes

Do you want to recovery“config.text”from“virtual_switch.text”[yes/no]：no

核心交换机2

Switch2# wr

Switch2# switch convert mode virtual ------>转换为VSU模式

Are you sure to convert switch to virtual mode[yes/no]：yes

Do you want to recovery“config.text”from“virtual_switch.text”[yes/no]：no

选择转换模式后，设备会重启启动，并组建VSU。

注意：整套VSU建立的时间通常需要10分钟左右，请耐心等待。如果VSL链路此时尚没有连接，或对端交换机还未重启，

则交换机默认会在10分钟内一直等待对端启动并持续打印log提示：

*Aug 6 13:17:17: %VSU-5-RRP_TOPO_INIT: Topology initializing, please wait for a moment

*Aug 6 13:18:17: %VSU-5-RRP_TOPO_INIT: Topology initializing, please wait for a moment.

4、确认VSU建立成功

1.VSU的管理需要在其中的主机上进行

2. VSU主机的引擎Primary灯绿色常亮，VSU从机的Primary灯灭，可以用来判断主从机关系（ 设备优先级提前有指定，高优先级的设备会成为主机）

3. VSU组建后从机Console口默认不能进行管理，可执行@@@@C打开输出开关,建议使用session device 2 slot （m1,m2 ,线卡槽位）登录其它设备查看信息。

Ruijie# show switch virtual 检查主备是否符合预期

Switch_id Domain_id Priority Position Status Role

---------- ----------- ---------- ---------- -------- ----------------- -------------------

1(1) 1(1) 200(200) LOCAL---->本机 OK ACTIVE ------>主机箱

2(2) 1(1) 150(150) REMOTE OK STANDBY------>从机箱

Ruijie# show ver slots 检查是否已经识别到了主从机的所有线卡（说明以下结果仅为示例）

Dev Slot Port Configured Module Online Module User Status Software Status

--- ---- ---- ---------------------------- ---------------------------- ------------ ---------------

1 1 48 M12000-48GT/4SFP-EA M12000-48GT/4SFP-EA installed ok

1 2 4 M12000-04XFP-EA M12000-04XFP-EA installed ok

1 3 0 SECM M12000-NMM SECM M12000-NMM installed ok

1 4 0 none none none none

1 M1 0 N/A M12000-CM N/A backup

1 M2 0 N/A none N/A none

2 1 48 M12000-48GT/4SFP-EA M12000-48GT/4SFP-EA installed ok

2 2 4 M12000-04XFP-EA M12000-04XFP-EA installed ok

2 3 0 SECM M12000-NMM SECM M12000-NMM installed ok

2 4 0 none none none none

2 M1 0 N/A M12000-CM N/A master

2 M2 0 N/A none N/A none


2、VSU优化配置

1、配置双主机检测及例外口

为什么要配置双主机检测？

1.当VSL的所有物理链路都异常断开时，从机箱认为主机箱丢失会切换成主机箱，网络中将出现两台主机箱，两台机箱的配置完全相同，在三层，两台机箱的任何一个虚接口（VLAN接口和环回接口等等）的配置相同，网络中将会出现IP地址冲突，导致网络不可用。

2.配置双主机检测机制后，BFD专用链路会根据双主机报文的收发检测出存在双主机箱，系统将根据双主机检测规则选择一台机箱(低优先级机箱）进入恢复（recovery）模式，除VSL端口、MGMT口和管理员指定的例外端口（保留作为设备其他端口shutdown时可以Telnet）以外，其它端口都被强制关闭。

所以双主机检测可以阻止以上异常故障出现时，保障网络依然可用（前提是其他设备连接到双核心都具备冗余链路条件）

VSU配置：

Ruijie(config)# interface gi2/4/2

Ruijie(config-if)# no switchport ------>配置检测接口 2 为路由口

Ruijie(config-if)# exit

Ruijie(config)# interface gi1/4/2

Ruijie(config-if)# no switchport ------>配置检测接口 1 为路由口

Ruijie (config-if)# exit

Ruijie (config)# switch virtual domain 1 ------>进入VSU参数配置

Ruijie(config-vs-domain)# dual-active detection bfd ------>打开 BFD 开关,缺省关闭

Ruijie(config-vs-domain)# dual-active pair interface gi1/4/2 interface gi2/4/2 ------>配置一对BFD 检测接口

Ruijie(config-vs-domain)# dual-active exclude interface ten1/1/2 ------>指定例外口，上联路由口保留，出现双主机时可以telnet

Ruijie(config-vs-domain)# dual-active exclude interface ten2/1/2 ------>指定例外口

2、配置OSPF GR

为什么要配置OSPF GR？

1. VSU/双引擎主备切换时，OSPF等动态路由协议邻居会重新建立，导致网络中断或数据流路径切换。

2. 配置GR（完美重启）功能后，GR能够保持邻居间的OSPF邻居关系不中断，管理面重启时数据面依然正常按照原有路径转发。

OSPF GR功能需要邻居设备支持并开启GR Helper（我司设备如支持GR Helper 则默认开启，无需配置），邻居不具备GR Helper功能时，VSU主从机异常切换时

OSPF邻居关系依然会中断，造成网络短暂中断。

VSU配置：

Ruijie(config)#router ospf 1

Ruijie(config-router)#graceful-restart ------>开启GR功能

邻居设备需要配置GR-helper功能（我司设备如支持GR-helper，则默认打开无需配置，所以无需进行配置）

如果OSPF邻居设备为友商产品，GR-helper配置方法需查看对应产品的配置手册确认。

例如H3C需要在OSPF进程下执行

opaque-capability enable


1、S78E/S86E/N18K系列交换机，构建VSU系统的机框、引擎、线卡的说明

硬件 | 需求
机箱 | 支持RG-N18000、RG-S8600E、RG-S7800E系列机箱组成VSU系统，组成VSU系统的兼容规则如下： 1）只能同系列的产品之间才能组成VSU系统，即N18000机箱只能和N18000机箱组成VSU，具体同系列中有哪些产品列举如下： 1.1）S8600E系列（RG-S8605E和 RG-S8607E、RG-S8610E）机箱 1.2）RG-N18000系列（RG-N18010和 RG-N18014）机箱 1.3）RG-78E系列（RG-S7805E和RG-S7807E、RG-S7810E）机箱 2）同系列不同型号的机箱可以组成VSU系统，但机箱内的管理引擎必须是同类型的，如插入CM管理引擎的RG-N18010机箱可以和插入CM管理引擎的RG-N18014机箱组成VSU系统。
管理引擎 | 每台机箱支持最多插入2块管理引擎，单个机箱内的引擎类型必须完全一致。管理引擎在组成VSU系统时兼容规则如下： 支持M8600E-CM和M8600E-CM管理引擎互相构建VSU系统。 支持M18010-CM 和M18010-CM管理引擎互相构建VSU系统。 支持M18010-CM II和M18010-CMII管理引擎互相构建VSU系统。 支持M18010-CM II和M18010-CMII管理引擎互相构建VSU系统。 支持M18014-CM II和M18014-CMII管理引擎互相构建VSU系统。 支持M18010-CM 和M18014-CM管理引擎互相构建VSU系统。 支持M18010-CM|| 和M18014-CM||管理引擎互相构建VSU系统。 支持M7800E-CM和M7800E-CM管理引擎互相构建VSU系统。 除了以上兼容规则，其他管理引擎组合方式均视为不兼容。
VSL链路 | VSL链路要求： 1）至少指定一个万兆光口或40G端口作为VSL链路的成员端口，万兆光口和40G端口可以同时作为VSL链路的成员端口（VSL 口不支持端口的速率自适应，只支持端口的最大能力速率生效，如万兆光口只能采用万兆光模块组网，而不能采用千兆光模块试图自适应成千兆组建VSL链路） 2）40G一分四的端口不能作为vsl口； 3）VSL链路最好需要两条，并且在不同的线卡上； 4）和10.X软件平台设备不同之处：S78E、S86E、N18K系列交换机配置VSL口的时候，不需要配置VSL AP，VSL AP自动协商。
多主机检测口 | 多主机检测口： 1）可以是电口也可以光口，百兆口，千兆口，万兆口都可以做检测口； 2）多主机有BFD检测方式和基于聚合口的检查方式，BFD检测口必须是三层口，聚合口可以三层口也可以是二层口。 3）和10.X软件平台设备不同之处：3B17的MAD检测方式，就是11x的聚合口检测方式，配置命令修改为dual-active in
线卡 | ED，DB，EF卡可以任意互相组建VSU， CB只能和CB组建VSU。


1、VSU基本配置

1、对主备核心交换机进行初始配置

核心交换机1：

Switch1# configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Switch1(config)# switch virtual domain 1

Switch1(config-vs-domain)# switch 1

Switch1(config-vs-domain)# switch 1 priority 200 ------>默认优先级为100，配置为较高的优先级，VSU建立成功后将会成为管理主机。

Switch1(config-vs-domain)# exit

Switch1(config)# vsl-port ------>VSL链路至少需要2条，一条链路可靠性较低，当出现链路震荡时，VSU会非常不稳定。

Switch1(config-vsl-ap-1)# port-member interface TenGigabitEthernet 2/1 ------>配置VSL链路

Switch1(config-vsl-ap-1)# port-member interface TenGigabitEthernet 2/2

Switch1(config-vsl-ap-1)# exit

核心交换机2：

Switch2# configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Switch2(config)# switch virtual domain 1 ------>domaind id 必须和第一台一致

Switch2(config-vs-domain)# switch 2 ------>第二台设备必须更改ID为2

Switch2(config-vs-domain)# switch 2 priority 150

Switch2(config-vs-domain)# exit

Switch2(config)# vsl-port ------>VSL链路至少需要2条，一条链路可靠性较低，当出现链路震荡时，VSU会非常不稳定。

Switch2(config-vsl-ap-1)# port-member interface TenGigabitEthernet 2/1 ------>配置VSL链路

Switch2(config-vsl-ap-1)# port-member interface TenGigabitEthernet 2/2

Switch2(config-vsl-ap-1)# exit

2、连接好VSL链路，并确定接口已经UP

3、保存两台设备的配置，并一起切换为VSU模式

核心交换机1

Switch1# wr

Switch1# switch convert mode virtual ------>转换为VSU模式

Convert mode will backup and delete config file, and reload the switch. Are you sure to continue[yes/no]：yes

Do you want to recover config file from backup file in standalone mode (press 'ctrl + c' to cancel) [yes/no]：no

no表示清空重配，

核心交换机2

Switch2# wr

Switch2# switch convert mode virtual ------>转换为VSU模式

Are you sure to convert switch to virtual mode[yes/no]：yes

Do you want to recover config file from backup file in virtual mode (press 'ctrl + c' to cancel) [yes/no]：no

选择转换模式后，设备会重启启动，并组建VSU。

4、确认VSU建立成功

1.VSU的管理需要在其中的主机上进行

2. VSU主机的引擎Primary灯绿色常亮，VSU从机的Primary灯灭，可以用来判断主从机关系（ 设备优先级提前有指定，高优先级的设备会成为主机）

3. VSU组建后从机Console口默认不能进行管理，可执行EscEscEscEscC（即4次Esc键加C键）打开输出开关,建议使用session device 2 slot （m1,m2 ,线卡槽位）登录其它设备查看信息。

Ruijie# show switch virtual role 检查主备是否符合预期

Switch_id Domain_id Priority Position Status Role Description

----------------------------------------------------------------------------------------------------------------

1(1) 100(100) 200(200) LOCAL OK ACTIVE switch-1 ------>ACTIVE表示主机箱

2(2) 100(100) 150(150) REMOTE OK STANDBY switch-2 ------>STANDBY表示从机箱

Ruijie# show ver slots 检查是否已经识别到了主从机的所有线卡（说明以下结果仅为示例）

Dev Slot Port Configured Module Online Module Software Status

--- ---- ---- ---------------------------- ---------------------------- ---------------

1 1 0 none none none

1 2 0 none none none

1 3 8 M18000-08XS-ED M18000-08XS-ED ok

1 4 0 none none none

1 5 48 M18000-24GT20SFP4XS-ED M18000-24GT20SFP4XS-ED ok

1 6 0 none none none

1 7 7 RG-WALL 1600-B-ED RG-WALL 1600-B-ED ok

1 8 0 none none none

1 FE1 0 N/A M18010-FE-D I ok

1 FE2 0 N/A M18010-FE-D I ok

1 FE3 0 N/A none none

1 FE4 0 N/A none none

1 M1 0 N/A M18010-CMII master

1 M2 0 N/A none none

2 1 0 none none none

2 2 0 none none none

2 3 8 M18000-08XS-ED M18000-08XS-ED ok

2 4 0 none none none

2 5 48 M18000-24GT20SFP4XS-ED M18000-24GT20SFP4XS-ED ok

2 6 0 none none none

2 7 7 RG-WALL 1600-B-ED RG-WALL 1600-B-ED ok

2 8 0 none none none

2 FE1 0 N/A none none

2 FE2 0 N/A M18010-FE-D I ok

2 FE3 0 N/A none none

2 FE4 0 N/A none none

2 M1 0 N/A none none

2 M2 0 N/A M18010-CMII backup


2、VSU优化配置

1、配置双主机检测及例外口

为什么要配置双主机检测？

1.当VSL的所有物理链路都异常断开时，从机箱认为主机箱丢失会切换成主机箱，网络中将出现两台主机箱，两台机箱的配置完全相同，在三层，两台机箱的任何一个虚接口（VLAN接口和环回接口等等）的配置相同，网络中将会出现IP地址冲突，导致网络不可用。

2.配置双主机检测机制后，BFD专用链路会根据双主机报文的收发检测出存在双主机箱，系统将根据双主机检测规则选择一台机箱(低优先级机箱）进入恢复（recovery）模式，除VSL端口、MGMT口和管理员指定的例外端口（保留作为设备其他端口shutdown时可以Telnet）以外，其它端口都被强制关闭。

所以双主机检测可以阻止以上异常故障出现时，保障网络依然可用（前提是其他设备连接到双核心都具备冗余链路条件）

VSU配置：

Ruijie(config)# interface gi2/4/2

Ruijie(config-if- GigabitEthernet 2/4/2)# no switchport ------>配置检测接口 2 为路由口

Ruijie(config-if)# exit

Ruijie(config)# interface gi1/4/2

Ruijie(config-if- GigabitEthernet 1/4/2)# no switchport ------>配置检测接口 1 为路由口

Ruijie (config-if)# exit

Ruijie (config)# switch virtual domain 1 ------>进入VSU参数配置

Ruijie(config-vs-domain)# dual-active detection bfd ------>打开 BFD 开关,缺省关闭

Ruijie(config-vs-domain)# dual-active bfd interface gi1/4/2 ------>配置一对BFD 检测接口

Ruijie(config-vs-domain)# dual-active bfd interface gi2/4/2

Ruijie(config-vs-domain)# dual-active exclude interface ten1/1/2 ------>指定例外口，上联路由口保留，出现双主机时可以telnet

Ruijie(config-vs-domain)# dual-active exclude interface ten2/1/2 ------>指定例外口

2、配置OSPF GR

为什么要配置OSPF GR？

1. VSU/双引擎主备切换时，OSPF等动态路由协议邻居会重新建立，导致网络中断或数据流路径切换。

2. 配置GR（完美重启）功能后，GR能够保持邻居间的OSPF邻居关系不中断，管理面重启时数据面依然正常按照原有路径转发。

注意：11x交换机缺省开启GR（完美重启）功能。

OSPF GR功能需要邻居设备支持并开启GR Helper（我司设备如支持GR Helper 则默认开启，无需配置），邻居不具备GR Helper功能时，VSU主从机异常切换时

OSPF邻居关系依然会中断，造成网络短暂中断。

VSU配置：

Ruijie(config)#router ospf 1

Ruijie(config-router)#graceful-restart ------>开启GR功能

邻居设备需要配置GR-helper功能（我司设备如支持GR-helper，则默认打开无需配置，所以无需进行配置）

如果OSPF邻居设备为友商产品，GR-helper配置方法需查看对应产品的配置手册确认。

例如H3C需要在OSPF进程下执行

opaque-capability enable

3.更改VSL链路（可选）

什么时候会需要更改VSL链路？

1. 由于网络改造的需要，或重新规划了端口用途，这种端口规划发生调整时，可能会涉及到VSL链路的端口发生调整。

2. 原有VSL链路或端口出现故障，需要更换端口的情况。

该如何更改VSL链路？

首先进入VSL端口池，然后在端口池中增加或移除端口即可。

注意：1. 以上操作在VSU模式下进行即可，不需要切换成单机模式。也不需要重启设备。

2. 所有配置只能在全局主设备上进行。

3. VSL链路两端的端口不用指定，但是端口数量要一致。例如：switch1与switch2组成2虚1的VSU系统，switch1与switch2各给出2个端口组成VSL端口池。不允许出现switch1只给1个端口，switch2上给出2个端口，或者switch1给出2个端口，switch2上给出1个端口的情况。

举例：

Ruijie#config

Ruijie(config)# vsl-port -------->进入VSL-PORT配置模式

Ruijie(config-vsl-port)# port-member interface Tengigabitethernet 1/2/3 --------> 增加端口1/2/3作为VSL口

Ruijie(config-vsl-port)# no port-member interface Tengigabitethernet 1/2/2 --------> 将1/2/2从vsl口中移除


一、非11.X软件平台的非机框交换机，对于VSL链路的使用说明

如下盒式设备，有同系列产品间才能互相组建VSU，不同产品系列之间不能组建VSU：

产品系列 | 产品型号 | VSL链路要求 | 备注
S6220系列 | S6220-48XS4QXS （硬件版本V1.X） | 1、仅支持万兆光口、电口或者40G口组建VSL链路，且每 4 个万兆端口被分为 1 组（面板端口编号为 1-4 的端口在 1 组，编号为 5-8 的端口在 1 组，依次类推），当把一个万兆口加入或退出 VSL-AP 的时候，会导致该组内的这 4 个端口同时加入或退出 VSL-AP； 2、S6220 系列设备中，具有 FC 功能的端口（ M6220-08FC 上的端口和 S6220-48XS4QXS 上的前 8 个端口）不支持配置为 VSL 成员端口。 | S6220-48XS4QXS（硬件版本V1.X）不支持与S6220-48XS4QXS（硬件版本V2.X）混合组建VSU
 | S6220-48XT4QXS
 | S6220-24XS
S6000系列 | S6000-24GT/8SFP | 支持任意普通端口组建VSL链路，包括千兆电口，千兆光口，以及扩展模块提供的万兆光口，不支持特别的堆叠模块； |
 | S6000-48GT/4SFP
S5750-E/-P全系列 | S5750-24GT/8SFP-E | 支持任意普通端口组建VSL链路，包括千兆电口，千兆光口，以及扩展模块提供的千兆光电口，万兆光口，不支持特别的堆叠模块； | 5750-P与5750-E是同一系列产品，可以支持混合作VSU组网，但他们两者与5750-S之间不能混合做VSU
 | S5750-48GT/4SFP-E
 | S5750-24SFP/8GT-E
 | S5750-24GT/8SFP-P
 | S5750-48GT/4SFP-P
S5510E系列 | S5510-24GT/8SFP-E | 支持任意普通端口组建VSL链路，包括千兆电口，千兆光口，以及扩展模块提供的千兆光电口，万兆光口，不支持特别的堆叠模块； |
 | S5510-48GT/4SFP-E
S5750-S系列 | S5750-24GT/8SFP-S | 支持任意普通端口组建VSL链路，包括千兆电口，千兆光口，以及扩展模块提供的千兆光电口，万兆光口，不支持特别的堆叠模块； | 5750-E/-P与5750-S之间不能混合做VSU
 | S5750-48GT/4SFP-S
S26I系列 | S2628G-I | 支持任意千兆光口，电口组建VSL链路，不支持百兆的电口，支持特别的堆叠模块（GE-SFP-STACK）； |
 | S2652G-I
S26S系列 | S2628G-S | 支持任意千兆光口，电口组建VSL链路，不支持百兆的电口，支持特别的堆叠模块（GE-SFP-STACK）。 |

同时这几款交换机针对VSL的配置还存在如下同样的限制，需要特别注意：

1）单机模式下，VSL 成员端口的配置不能立即生效，需要转化为VSU 模式重新启动后才能生效。

2）属于同一个VSL-AP 的各成员口的属性必须相同，比如万兆光口只能和万光口组成VSL-AP，不能和千兆电口组成VSL-AP，也不能和万兆电口组成VSL-AP。

3）对于光电复用口，在将其加入VSL-AP 前，必须显示指定其光电属性，否则VSU无法建立。

Ruijie(config-vsl-ap-1)#port-member interface gigabitEthernet 0/28 fiber

4） VSL 口不支持端口的速率自适应，只支持端口的最大能力速率生效。比如针对5750E，你通过M5000E-02XS这样的万兆模块做VSL，此时只能采用万兆光模块组网，而不能采用千兆光模块试图自适应成千兆组建VSL链路，如果这样VSU无法建立。

5） 40G 口拆分出来的 10G 口不支持配置为 VSL 成员端口

6）另外，如果S26I或者S26S设备，空配置情况下（保证VSU的配置是空白的即可）通过GE-SFP-STACK模块来组建VSL链路的话，只要将模块连接好，可以实现零配置（关于VSU的全局域，机框名，VSL链路端口等都可以不用配置），即可完成VSU协商组建，只是这样没有指定主机设备，协商的结果不可控，建议还是需要完成基本的域，机框名，主设备优先级的设置后再组建VSU。


一、组网需求

1、组建三台57E环网，S57E-1、S57E-2和S57E-3组成虚拟设备VSU（domain ID为1），S57E-1的优先级是200，S57E-2的优先级是150，S57E-3的优先级是100。如下图所示，VSL链路采用两两互联的方式连接。

注意：建议为了稳定性期间，建议两台设备的VSL至少为两条。如果条件限制，一条也是可以做VSU的。

2、采用基于BFD检测双主机，G1/0/24和G2/0/24是一对BFD心跳接口，并且测试VSL链路断开后的情况

3、VSU使用过程中需要增加一条VSL的操作

二、组网拓扑

三、配置要点

1、每个vsl-aggregateport 对应一台设备，一个vsl-aggregateport 里面可以添加多个接口。例如，S57E需要设备之间通过两条VSL链路互联，那么一个vsl-aggregateport就加入两个接口；

2、关于多台设备环形或是线性构建VSU防止双主机问题：

1）基于BFD检测：

一般情况下：无论线性还是环形，建议首尾两台设备互联BFD即可（环形VSU使用任意两台互联）。

特殊情况：如果要完全防止双主机的产生，需要交换机之间两两互联来实现，也就是有n台交换机的话，需要使用n*(n-1)/2条BFD线路。

特殊情况如图：3台设备做VSU，如果要完全防止双主机问题，需要2+1=3条的BFD线路

注意：基于BFD检测的配置见配置步骤第四步，本节这里不举例。

2）基于聚合口检测

在多台VSU要防止完全防止双主机，最好的方式采用聚合检测，这样不用像BFD那样，需要多条BFD线路两两互联。聚合检测只需要n条线路即可。但是前提是下联的接入交换机是锐捷设备，这样保证锐捷的私有报文可以正常转发。

注意：如果需要使用MAD配置，必须接入交换机支持MAD功能（仅10.4（3b16）、10.4（3b17）及以上版本支持，否则无法用MAD功能来进行双主机检测，

待VSU组建成功后，配置命令如下：

VSU交换机配置：

Ruijie(config)# switch virtual domain 1

Ruijie(config-vs-domain)# dual-active detection mad

Ruijie(config-vs-domain)# dual-active interface aggregate-port 1 mad

Ruijie(config-vs-domain)# exit

在接入交换机上配置：

Ruijie(config)#interface aggregateport 1

Ruijie(config-if-AggregatePort 1)# mad relay enable

Ruijie(config-if-AggregatePort 1)# exit

四、配置步骤

1、配置S57E-1、S57E-2及S57E-2的VSU域标识，设备编号和优先级

S57E-1交换机配置

S57E-1# configure terminal

S57E-1(config)# switch virtual domain 1 ------>创建VSU domain id

S57E-1(config-vs-domain)# switch 1 ------>创建switch id

S57E-1(config-vs-domain)# switch 1 priority 200 ------>配置switch id的优先级

S57E-1(config-vs-domain)# switch 1 description S57E-1 ------>配置switch id的描述信息

S57E-1(config-vs-domain)# exit

S57E-1(config)# vsl-aggregateport 1 ------>进入VSL配置模式，只能选择1或者2（S5750E和S6000支持千兆口和万兆口作为VSL，但千兆口和万兆口或光口和电口不能在一个VSL-aggregateport中，和聚合的原理类似，不同速率的端口和不同介质的端口不能加入一个聚合组, 建议至少采用2条VSL链路来提升VSU的可靠性，VSL编号本地有效）

S57E-1(config-vsu-ap)# port-member interface gigabitEthernet 0/1 copper ------>将gi 0/1加入VSL组1里面，如果是光口的话copper更改为fibber

S57E-1(config-vsu-ap)# port-member interface gigabitEthernet 0/2 copper ------>将gi 0/2加入VSL组1里面，如果是光口的话copper更改为fibber

S57E-1(config)# vsl-aggregateport 2 ------>一个vsl-aggregateport对应一台设备，不要把对应不同设备的接口都放到同一个vsl-aggregateport里面

S57E-1(config-vsu-ap)# port-member interface gigabitEthernet 0/3 copper ------>将gi0/4加入VSL组2里面，如果是光口的话copper更改为fibber

S57E-1(config-vsu-ap)# port-member interface gigabitEthernet 0/4 copper ------>将gi0/3加入VSL组2里面，如果是光口的话copper更改为fibber

S57E-1(config-vsu-ap)# exit

S57E-1(config)# exit

S57E-2交换机配置

S57E-2# configure terminal

S57E-2(config)# switch virtual domain 1 ------>创建VSU domain id

S57E-2(config-vs-domain)# switch 2 ------>创建switch id

S57E-2(config-vs-domain)# switch 2 priority 150 ------>配置switch id的优先级

S57E-2(config-vs-domain)# switch 2 description S57E-2 ------>配置switch id的描述信息

S57E-2(config-vs-domain)# exit

S57E-2(config)# vsl-aggregateport 1

S57E-2(config-vsu-ap)# port-member interface gigabitEthernet 0/1 copper

S57E-2(config-vsu-ap)# port-member interface gigabitEthernet 0/2 copper

S57E-2(config)# vsl-aggregateport 2

S57E-2(config-vsu-ap)# port-member interface gigabitEthernet 0/3 copper

S57E-2(config-vsu-ap)# port-member interface gigabitEthernet 0/4 copper

S57E-2(config-vsu-ap)# exit

S57E-2(config)# exit

S57E-3交换机配置

S57E-3# configure terminal

S57E-3(config)# switch virtual domain 1 ------>创建VSU domain id

S57E-3(config-vs-domain)# switch 3 ------>创建switch id

S57E-3(config-vs-domain)# switch 3 priority 150 ------>配置switch id的优先级

S57E-3(config-vs-domain)# switch 3 description S57E-3 ------>配置switch id的描述信息

S57E-3(config-vs-domain)# exit

S57E-3(config)# vsl-aggregateport 1

S57E-3(config-vsu-ap)# port-member interface gigabitEthernet 0/1 copper

S57E-3(config-vsu-ap)# port-member interface gigabitEthernet 0/2 copper

S57E-3(config)# vsl-aggregateport 2

S57E-3(config-vsu-ap)# port-member interface gigabitEthernet 0/3 copper

S57E-3(config-vsu-ap)# port-member interface gigabitEthernet 0/4 copper

S57E-3(config-vsu-ap)# exit

S57E-3(config)# exit

S57E-3(config)# exit

2、把S57E-1、S57E-2和S57E-3转换到VSU模式

S57E-1#switch convert mode virtual ------>将交换机转换为VSU模式

Convert switch mode will automatically backup the "config.text" file and then delete it, and reload the switch. Do you want to convert switch to virtual mode? [no/yes]y------>输入y

S57E-2#switch convert mode virtual ------>将交换机转换为VSU模式

Convert switch mode will automatically backup the "config.text" file and then delete it, and reload the switch. Do you want to convert switch to virtual mode? [no/yes]y------>输入y

S57E-3#switch convert mode virtual ------>将交换机转换为VSU模式

Convert switch mode will automatically backup the "config.text" file and then delete it, and reload the switch. Do you want to convert switch to virtual mode? [no/yes]y------>输入y

接着交换机会进行重启，并且进行VSU的选举，这个时间可能会比较长，请耐心等待

3、等待VSU建立成功后，进行BFD配置

Ruijie#configure terminal

Ruijie(config)#interface GigabitEthernet 1/0/24 ------>第一台VSU设备的第24个接口

Ruijie(config-if-GigabitEthernet 1/0/24)#no switchport ------>只需要在BFD接口上敲no sw，无需其他配置

Ruijie(config-if-GigabitEthernet 1/0/24)#exit

Ruijie(config)#interface GigabitEthernet 2/0/24 ------>第二台VSU设备的第24个接口

Ruijie(config-if-GigabitEthernet 2/0/24)#no switchport ------>只需要在BFD接口上敲no sw，无需其他配置

Ruijie(config-if-GigabitEthernet 2/0/24)#exit

Ruijie(config)#switch virtual domain 1

Ruijie(config-vs-domain)#dual-active detection bfd

Ruijie(config-vs-domain)#dual-active bfd interface GigabitEthernet 1/0/24

Ruijie(config-vs-domain)#dual-active bfd interface GigabitEthernet 2/0/24

4、VSU情况下，需要增加一条VSL线路设置

VSU模式下可以配置增加或者删除某个VSL链路，但是当下不生效，需要重启设备生效。

举例：当前要把S57E-1设备的vsl-ag 1口里面增加一条VSL链路

Ruijie(config)#vsl-aggregateport 1/1 ---->VSU模式下需要二维模式 前面1 是switch id，后面的1是vsl-ag的接口号

Ruijie(config-vsl-ap-1/1)#port-member interface gigabitEthernet 0/20 fiber

The configuration of port GigabitEthernet 1/0/20 will be removed, do you want to continue? [no/yes]y

% To update VSL firmwares, please save configuration and reload switch 1.

Ruijie(config-vsl-ap-1/1)#

五、功能验证

1、查看VSU的基本信息

VSU的三种状态 ACTIVE STANDBY CANDIADATE

2、查看VSU的配置信息

S57E-1 VSU配置

S57E-2 VSU配置

S57E-3 VSU配置

3、查看VSU的BFD检测信息

4、查看VSL信息

5、查看VSU拓扑信息

6、把S57E-1 和S57E-2的两条VSL断开观察，这时候成为线性的

7、把S57E-1 和S57E-3的两条VSL断开观察，现在S57E-1单独一台和S57E-2和-3分离

8、观察S57E-2、S57E-3 都进入recovery模式

9、把线缆重新插好S57E-2、S57E-3自动重启并加入VSU


一、11.X软件平台的非机框交换机，对于VSL链路的使用说明

如下盒式设备，不同产品系列之间不能组建VSU，同系列之间也并非所有的型号都可以互相组建VSU，具体参见备注：

产品系列 | 设备型号 | VSL链路要求 | 备注
S2910系列 | S2910-24GT4XS-E | 支持任意面板万兆口组建VSL链路 | 同系列不同型号交换机之间支持组建VSU
 | S2910-48GT4XS-E | 只允许使用最后2个万兆口组VSL
S2910-POE | S2910C-24GT2XS-P-E | 支持任意面板万兆口组建VSL链路，不支持面板口与扩展模块混组VSL | 同系列不同型号交换机之间支持组建VSU
 | S2910C-24GT2XS-HP-E | 支持任意面板万兆口组建VSL链路，不支持面板口与扩展模块混组VSL
 | S2910C-48GT2XS-HP-E | 支持任意面板万兆口组建VSL链路，不支持面板口与扩展模块混组VSL
S57-L系列 | S5750-24GT4XS-L | 支持任意面板万兆口组建VSL链路 | 同系列不同型号交换机之间支持组建VSU
 | S5750-48GT4XS-L | 只允许使用最后2个万兆口组VSL
S57H系列 | S5750C-28GT4XS-H | 支持任意面板万兆口组建VSL链路，支持面板口与扩展模块混组VSL | 同系列不同型号交换机之间支持组建VSU
 | S5750C-28SFP4XS-H | 支持任意面板万兆口组建VSL链路，支持面板口与扩展模块混组VSL
 | S5750C-48GT4XS-H | 支持任意面板万兆口组建VSL链路，支持面板口与扩展模块混组VSL
S6000E系列 | S6000C-48GT4XS-E | 支持任意面板万兆口组建VSL链路，支持面板口与扩展模块混组VSL |
S6220系列 | S6220-48XS4QXS （硬件版本V2.X） | 仅持万兆光口或40G口组建VSL链路，且每 4 个万兆端口被分为 1 组（面板端口编号为 1-4 的端口在 1 组，编号为 5-8 的端口在 1 组，依次类推），当把一个万兆口加入或退出 VSL-AP 的时候，会导致该组内的这 4 个端口同时加入或退出 VSL-AP； | S6220-48XS4QXS（硬件版本V1.X）不支持与S6220-48XS4QXS（硬件版本V2.X）混合组建VSU
S6220-H | S6220-48XS6QXS-H | 支持任意面板万兆光口或40G口组建VSL链路 | 这3款设备之间不支持混合组建VSU，只能相同型号组建VSU
 | S6220-48XT6QXS-H | 支持任意面板万兆光口、电口或40G口组建VSL链路
 | S6220-32QXS-H | 支持任意40G口组建VSL链路
RG-S6220-48XS4QXS-L |  | 仅持万兆光口或40G口组建VSL链路，且每 4 个万兆端口被分为 1 组（面板端口编号为 1-4 的端口在 1 组，编号为 5-8 的端口在 1 组，依次类推），当把一个万兆口加入或退出 VSL-AP 的时候，会导致该组内的这 4 个端口同时加入或退出 VSL-AP； |
RG-S6100-48XS4QXS-L |  | 仅持万兆光口或40G口组建VSL链路，且每 4 个万兆端口被分为 1 组（面板端口编号为 1-4 的端口在 1 组，编号为 5-8 的端口在 1 组，依次类推），当把一个万兆口加入或退出 VSL-AP 的时候，会导致该组内的这 4 个端口同时加入或退出 VSL-AP； |
RG-S6200-48XS4QXS-S |  | 仅持万兆光口或40G口组建VSL链路，且每 4 个万兆端口被分为 1 组（面板端口编号为 1-4 的端口在 1 组，编号为 5-8 的端口在 1 组，依次类推），当把一个万兆口加入或退出 VSL-AP 的时候，会导致该组内的这 4 个端口同时加入或退出 VSL-AP； |


一、组网需求

1、组建三台S2910-24GT4XS-E环网，S2910-24GT4XS-E-1、S2910-24GT4XS-E-2和S2910-24GT4XS-E-3组成虚拟设备VSU（domain ID为1），S2910-24GT4XS-E-1的优先级是200，S2910-24GT4XS-E-2的优先级是150，S2910-24GT4XS-E-3的优先级是100。如下图所示，VSL链路采用两两互联的方式连接；

注意：建议为了稳定性期间，建议两台设备的VSL至少为两条。如果条件限制，一条也是可以做VSU的；

2、采用基于BFD检测双主机，G1/0/24和G2/0/24是一对BFD心跳接口，并且测试VSL链路断开后的情况；

3、VSU使用过程中需要增加一条VSL的操作；

二、组网拓扑

三、配置要点

1、3台S2910-24GT4XS-E设备之间分别通过一条VSL链路互联；

注：11.X软件平台中，为了防止实际场景连错，VSL AP 采用动态协商。我们只需要负责将接口配置为VSL口，不用配置VSL组号，设备将自动判断该接口对端连接的设备来进行自动协商，将接口加入对应的VSL组，以区别不同设备间互联VSL线路。

2、关于多台设备环形或是线性构建VSU防止双主机问题：

1）基于BFD检测：

一般情况下：无论线性还是环形，建议首尾两台设备互联BFD即可（环形VSU使用任意两台互联）。

特殊情况：如果要完全防止双主机的产生，需要交换机之间两两互联来实现，也就是有n台交换机的话，需要使用n*(n-1)/2条BFD线路。

特殊情况如图：3台设备做VSU，如果要完全防止双主机问题，需要3*（3-1）/2=3条的BFD线路

注意：基于BFD检测的配置见配置步骤第四步，本节这里不举例。

2）基于聚合口检测

在多台VSU要完全防止双主机，最好的方式采用聚合检测，这样不用像BFD那样，需要多条BFD线路两两互联。聚合检测只需要n条线路即可。但是前提是下联的接入交换机是锐捷设备，这样保证锐捷的私有报文可以正常转发。

注意：如果需要使用MAD配置，必须接入交换机支持MAD功能，否则无法用MAD功能来进行双主机检测，

待VSU组建成功后，配置命令如下：

VSU交换机配置：

Ruijie(config)# switch virtual domain 1

Ruijie(config-vs-domain)# dual-active detection aggregateport

Ruijie(config-vs-domain)# dual-active interface aggregatePort 1

Ruijie(config-vs-domain)# exit

在接入交换机上配置：

Ruijie(config)#interface aggregateport 1

Ruijie(config-if-AggregatePort 1)# dad relay enable

Ruijie(config-if-AggregatePort 1)# exit

四、配置步骤

1、配置S2910-24GT4XS-E-1、S2910-24GT4XS-E-2及S2910-24GT4XS-E-3的VSU域标识，设备编号和优先级

S2910-24GT4XS-E-1交换机配置

S2910-24GT4XS-E-1# configure terminal

S2910-24GT4XS-E-1(config)# switch virtual domain 1 ------>创建VSU domain id

S2910-24GT4XS-E-1(config-vs-domain)# switch 1 ------>创建switch id

S2910-24GT4XS-E-1(config-vs-domain)# switch 1 priority 200 ------>配置switch id的优先级

S2910-24GT4XS-E-1(config-vs-domain)# switch 1 description S2910-24GT4XS-E-1 ------>配置switch id的描述信息

S2910-24GT4XS-E-1(config-vs-domain)# exit

S2910-24GT4XS-E-1(config)# vsl-port------>进入VSL配置模式，建议至少采用2条VSL链路来提升VSU的可靠性，如果条件限制，一条VSL链路也可以

S2910-24GT4XS-E-1(config-vsl-port)# port-member interface Tengigabitethernet 0/25 ------>将Tengigabitethernet 1/0/25加入VSL

S2910-24GT4XS-E-1(config-vsl-port)# port-member interface Tengigabitethernet 0/26 ------>将Tengigabitethernet 1/0/26加入VSL

S2910-24GT4XS-E-1(config-vsl-port)# port-member interface Tengigabitethernet 0/27 ------>将Tengigabitethernet 1/0/27加入VSL

S2910-24GT4XS-E-1(config-vsl-port)# port-member interface Tengigabitethernet 0/28 ------>将Tengigabitethernet 1/0/28加入VSL

S2910-24GT4XS-E-1(config-vsl-port)# exit

S2910-24GT4XS-E-1(config)# exit

S2910-24GT4XS-E-2交换机配置

S2910-24GT4XS-E-2# configure terminal

S2910-24GT4XS-E-2(config)# switch virtual domain 1 ------>创建VSU domain id

S2910-24GT4XS-E-2(config-vs-domain)# switch 2 ------>创建switch id

S2910-24GT4XS-E-2(config-vs-domain)# switch 2 priority 150 ------>配置switch id的优先级

S2910-24GT4XS-E-2(config-vs-domain)# switch 2 description S2910-24GT4XS-E-2------>配置switch id的描述信息

S2910-24GT4XS-E-2(config-vs-domain)# exit

S2910-24GT4XS-E-1(config)# vsl-port------>进入VSL配置模式，建议至少采用2条VSL链路来提升VSU的可靠性，如果条件限制，一条VSL链路也可以

S2910-24GT4XS-E-1(config-vsl-port)# port-member interface Tengigabitethernet 0/25 ------>将Tengigabitethernet 1/0/25加入VSL

S2910-24GT4XS-E-1(config-vsl-port)# port-member interface Tengigabitethernet 0/26 ------>将Tengigabitethernet 1/0/26加入VSL

S2910-24GT4XS-E-1(config-vsl-port)# port-member interface Tengigabitethernet 0/27 ------>将Tengigabitethernet 1/0/27加入VSL

S2910-24GT4XS-E-1(config-vsl-port)# port-member interface Tengigabitethernet 0/28 ------>将Tengigabitethernet 1/0/28加入VSL

S2910-24GT4XS-E-2(config-vsl-port)# exit

S2910-24GT4XS-E-2(config)# exit

S2910-24GT4XS-E-3交换机配置

S2910-24GT4XS-E-3# configure terminal

S2910-24GT4XS-E-3(config)# switch virtual domain 1 ------>创建VSU domain id

S2910-24GT4XS-E-3(config-vs-domain)# switch 3 ------>创建switch id

S2910-24GT4XS-E-3(config-vs-domain)# switch 3 priority 150 ------>配置switch id的优先级

S2910-24GT4XS-E-3(config-vs-domain)# switch 3 description S2910-24GT4XS-E-3 ------>配置switch id的描述信息

S2910-24GT4XS-E-3(config-vs-domain)# exit

S2910-24GT4XS-E-1(config)# vsl-port------>进入VSL配置模式，建议至少采用2条VSL链路来提升VSU的可靠性，如果条件限制，一条VSL链路也可以

S2910-24GT4XS-E-1(config-vsl-port)# port-member interface Tengigabitethernet 0/25 ------>将Tengigabitethernet 1/0/25加入VSL

S2910-24GT4XS-E-1(config-vsl-port)# port-member interface Tengigabitethernet 0/26 ------>将Tengigabitethernet 1/0/26加入VSL

S2910-24GT4XS-E-1(config-vsl-port)# port-member interface Tengigabitethernet 0/27 ------>将Tengigabitethernet 1/0/27加入VSL

S2910-24GT4XS-E-1(config-vsl-port)# port-member interface Tengigabitethernet 0/28 ------>将Tengigabitethernet 1/0/28加入VSL

S2910-24GT4XS-E-3(config-vsu-ap)# exit

S2910-24GT4XS-E-3(config)# exit

S2910-24GT4XS-E-3(config)# exit

2、把S2910-24GT4XS-E-1、S2910-24GT4XS-E-2和S2910-24GT4XS-E-3转换到VSU模式

S2910-24GT4XS-E-1#switch convert mode virtual ------>将交换机转换为VSU模式

Convert switch mode will automatically backup the "config.text" file and then delete it, and reload the switch. Do you want to convert switch to virtual mode? [no/yes]y------>输入y

S2910-24GT4XS-E-2#switch convert mode virtual ------>将交换机转换为VSU模式

Convert switch mode will automatically backup the "config.text" file and then delete it, and reload the switch. Do you want to convert switch to virtual mode? [no/yes]y------>输入y

S2910-24GT4XS-E-3#switch convert mode virtual ------>将交换机转换为VSU模式

Convert switch mode will automatically backup the "config.text" file and then delete it, and reload the switch. Do you want to convert switch to virtual mode? [no/yes]y------>输入y

接着交换机会进行重启，并且进行VSU的选举，这个时间可能会比较长，请耐心等待

3、等待VSU建立成功后，进行BFD配置

Ruijie#configure terminal

Ruijie(config)#interface GigabitEthernet 1/0/24 ------>第一台VSU设备的第24个接口

Ruijie(config-if-GigabitEthernet 1/0/24)#no switchport ------>只需要在BFD接口上敲no sw，无需其他配置

Ruijie(config-if-GigabitEthernet 1/0/24)#exit

Ruijie(config)#interface GigabitEthernet 2/0/24 ------>第二台VSU设备的第24个接口

Ruijie(config-if-GigabitEthernet 1/0/24)#no switchport ------>只需要在BFD接口上敲no sw，无需其他配置

Ruijie(config-if-GigabitEthernet 2/0/24)#exit

Ruijie(config)#switch virtual domain 1

Ruijie(config-vs-domain)#dual-active detection bfd

Ruijie(config-vs-domain)#dual-active bfd interface GigabitEthernet 1/0/24

Ruijie(config-vs-domain)#dual-active bfd interface GigabitEthernet 2/0/24

4、VSU情况下，需要增加一条VSL线路设置

VSU模式下可以配置增加或者删除某个VSL链路，11.X软件平台中，修改直接生效无需重启设备。

举例：

1）当前要把S2910-24GT4XS-E-1设备的VSL 1/1口中将Te1/0/25移除

Ruijie(config)#vsl-port

Ruijie(config-vsl-port)#port-member interface tenGigabitEthernet 1/0/25

The configuration of port TenGigabitEthernet 1/0/25 will be removed, confirm to continue?[yes/no]:y ---》1/0/25口下的配置将被清空，并确认加入到VSL链路中

2）将Te1/0/25再加入到S2910-24GT4XS-E-1设备的VSL 1/1口中

Ruijie(config-vsl-port)#no port-member interface tenGigabitEthernet 1/0/25

% The port TenGigabitEthernet 1/0/25 will be in shutdown status after the port type is converted. ---》当1/0/25口从VSL链路移除后，1/0/25口将被Shutdown

五、功能验证

1、查看VSU的基本信息，VSU的三种状态 ACTIVE STANDBY CANDIADATE

Ruijie#show switch virtual role

Switch_id Domain_id Priority Position Status Role Description

----------------------------------------------------------------------------------------------------------------

1(1) 1(1) 200(200) LOCAL OK ACTIVE S2910-24GT4XS-E-1

2(2) 1(1) 150(200) LOCAL OK STANDBY S2910-24GT4XS-E-2

3(3) 1(1) 100(200) LOCAL OK CANDIDATE S2910-24GT4XS-E-3

2、通过show switch virtual config 可以查看当前设备VSU的配置信息

3、查看show switch virtual dual-active summary可以查看VSU的BFD检测信息

Ruijie#show switch virtual dual-active summary

BFD dual-active detection enabled: Yes ----》BFD的状态

Aggregateport dual-active detection enabled: No

Interfaces excluded from shutdown in recovery mode:

In dual-active recovery mode: No

4、通过show switch virtuanl link可以查看VSL信息

5、通过show switch virtual topology可以查看当前VSU拓扑信息


应用场景：

CPP属于设备默认配置，自动开启，通常无需调整，只在特定场景下，例如DAI防范ARP欺骗方案下，接入交换机需要调整ARP报文的CPP阀值、网络中某一类协议报文的速率太高，比如CDP，导致CPU异常时可以进行限速控制。否则CPU正常值范围值（30%以内），都不建议修改CPP默认值。

功能简介：

CPP：CPU保护策略是一种设备自身CPU的保护功能，（CPU Protect Policy，CPP）用于避免网络设备的CPU收到网络上不必要和具有恶意攻击目的的数据流，提高网络设备自身安全性能，还可以通过设置QoS过滤机制来保护网络设备的控制平台（Control Plane ，简称CP）在遭受攻击和高负载的情况下仍能保持数据转发和协议状态的稳定。

如上图，CPU Protect Policy(CPP)功能通过报文识别、报文带宽控制、报文优先级队列映射以及队列调度这四项技术实现交换机处理器资源保护以及重要报文保障。

1）、报文识别

所有送到交换机进行协议处理的报文首先通过报文识别处理过程将报文进行分类，例如ARP、BPDU、GVRP等等(各产品的数据分类参看CPU Protect默认值章节)。

2）、报文带宽控制

管理员可以配置每种类型报文带宽，通过这种方式可以有效地抑制网络中高速率的攻击报文。

3）、报文优先级队列映射

交换机处理器共有8个优先级队列，通过配置每种类型报文的优先级队列可以将报文映射到相应的队列中。

4）、队列调度

为了保证不同优先级队列的协议报文都能及时的送往CPU处理，当前采用轮询调度算法。在轮询调度算法中，每个队列的调度权重相等。


一、组网需求

现场一台S5750E交换机与S8606交换机通过三层口互联，发现S8606交换机ping S5750E 18024字节的包，发现规律性丢包（ping1000个包大概丢3个），目前关闭两台交换机NFPP的ICMP-Guard功能依然出现这样的情况，后通过确认是S5750E的CPP保护导致丢包，现需要对S5750E交换机的CPP中的ICMP PPS值进行调整。

二、配置要点

由于不同系列的交换机命令的配置及查看方式有所不同，对于CPP的调试命令都是在全局模式下以cpu-protect开头，可以在命令后面打？形式来确认，例如要调整CPP中ARP的PPS值为20000。对于S5750E系列交换机命令如下：

Ruijie(config)#cpu-protect ?

cpu Set cpu bandwidth

mac-address Mac address storm control

sub-interface Set globle control to packet

traffic-class Set traffic-class' configure

type Set packet's configure

Ruijie(config)#cpu-protect type arp-request bandwidth 20000

Ruijie(config)#cpu-protect type arp-reply bandwidth 20000

查看命令如下：

Ruijie#show cpu-protect

%cpu port bandwidth: 10000(pps)

Traffic-class Bandwidth(pps) Rate(pps)

------------- -------------- ---------

0 1000 0

1 1000 0

2 1500 0

3 8000 0

4 1500 0

5 1500 0

6 3500 0

Packet Type Traffic-class Bandwidth(pps) Rate(pps) Drop(pps)

---------------- ------------- -------------- --------- ---------

bpdu 6 1000 0 0

arp-request 2 20000 0 0

对于S8600系列交换机命令如下：

Ruijie(config)# cpu-protect ?

sub-interface Config sub-interface pps or percent

type Add an extend type

Ruijie(config)#cpu-protect type arp pps 20000

查看命令如下：

Ruijie#show cpu-protect summary

Type Pps Pri

------------------- --------- ---------

tp-guard 128 7

arp 20000 3

三、网络拓扑

四、配置步骤

1）S5750E交换机的配置命令：

Ruijie(config)#cpu-protect type icmp bandwidth 5000 ------>更改ICMP的PPS值为5000

Ruijie(config)#cpu-protect traffic-class id 3 bandwidth 8000 ------>由于ICMP对应的class为3，故也需要调整class 3的pps值，这里更改为8000

Ruijie(config)#cpu-protect cpu bandwidth 10000 ------>更改送CPU处理的PPS值为10000

2）S8606交换机如果需要调整ICMP的PPS值，可以使用如下命令：

Ruijie(config)#cpu-protect type ipv4-icmp-local pps 10000 ------>更改S86交换机ICMP的PPS值为10000，默认是4096

五、功能验证

1）查看S5750E交换机CPP的ICMP相关信息：

查看S5750E交换机ICMP的队列值及pps值

查看队列3对应的pps值：

查看到CPP后每秒送CPU处理的最大PPS值：

2）S86上查看CPP相关参数

查看CPP默认值：

查看引擎每种报文的CPP统计值

查看线卡每种报文的CPP统计值

查看ICMP报文的CPP值：


应用场景：

NFPP作为保护交换机自身CPU不受攻击，不能替代防范ARP欺骗相关的安全功能，设备缺省支持并打开NFPP，建议保留开启并适当调整。

调整原则：

1、在接入设备上，通常无需调整，因为非网关设备，没有配置网关IP地址也不会运行一些复杂路由，管理协议等，无需额外消耗CPU，所以很少会遭受攻击。

2、在汇聚设备上，默认的基于端口的限速100PPS/攻击200 PPS阈值偏小，当端口下用户较多，ARP攻击较多时，可能导致用户正常的ARP报文丢弃，导致用户端丢包，需要放大。经验值调整为每端口限速500PPS/攻击800PPS较为合理，其他基于IP/MAC的限速攻击检测无需调整。

3、隔离功能通常不建议开启，在汇聚设备上如果用户攻击非常频繁，导致设备CPU80%-90%以上，此时可以考虑进行硬件隔离，并放大当前攻击的检测阈值，防止误判。因为一旦隔离将会导致这些攻击性质的用户无法上网。

功能简介：

NFPP：网络基础保护策略 (Network Foundation Protection Policy)，简称NFPP。在网络环境中经常发现一些恶意的攻击，这些攻击会给交换机带来过重的负担，引起交换机CPU利用率过高，导致交换机无法正常运行。这些攻击具体表现在：

拒绝服务攻击可能导致大量消耗交换机内存、表项或者其它资源，使系统无法继续服务。大量的报文流砸向CPU，占用了整个送CPU的报文的带宽，导致正常的协议流和管理流无法被CPU处理，带来协议震荡或者无法管理，从而导致数据面的转发受影响，并引起整个网络无法正常运行。大量的报文砸向CPU会消耗大量的CPU资源，使CPU一直处于高负载状态，从而影响管理员对设备进行管理或者设备自身无法运行。NFPP可以有效地防止系统受这些攻击的影响。在受攻击情况下，保护系统各种服务的正常运行，以及保持较低的CPU负载，从而保障了整个网络的稳定运行。

NFPP重点子功能介绍：（日常应用中，可能需要调整的功能为ARP-Guard和IP-Guard，其他未在本文中列出的功能，例如ND Guard、DHCP Guard保持默认设置即可）

ARP-Guard：

汇聚交换机作为网关，需要正常处理用户端的ARP报文，ARP-Guard功能主要目标为保护设备CPU，防止大量攻击ARP报文送CPU导致CPU利用率升高，所以ARP-Guard实现了对送CPU ARP报文的限速和攻击检测。ARP攻击识别分为基于主机和基于物理端口两个类别，基于主机又细分为基于源IP地址/VLAN ID/物理端口和基于链路层源MAC地址/ VLAN ID /物理端口，每种攻击识别都有限速水线例如（4PPS)和攻击告警水线(8PPS)。当ARP报文速率超过限速水线时，超限报文将被丢弃。当ARP报文速率超过告警水线时，将打印警告信息，发送TRAP，基于主机的攻击识别还可以对攻击源头采取硬件隔离措施。

ARP抗攻击还能检测出ARP扫描。ARP扫描是指链路层源MAC地址固定而源IP地址变化，或者链路层源MAC地址和源IP地址固定而目标IP地址不断变化。由于存在误判的可能，对检测出有ARP扫描嫌疑的主机不进行隔离，只是提供给管理员参考

IP-Guard：

当主机发出的报文目的地址为交换机直连网段不存在或未上线用户的IP地址时，交换机会发出ARP进行请求，如果存在这样的连续不断的攻击，会导致设备CPU高。IP-Guard可以识别此类攻击，并进行限速。攻击识别分为基于主机和基于物理端口两个类别。基于主机是采用源IP地址/VLAN ID/物理端口三者结合识别的。每种攻击识别都有限速水线和告警水线。当IP报文速率超过限速水线时，超限报文将被丢弃。当IP报文速率超过告警水线时，将打印警告信息，发送TRAP，基于主机的攻击识别还会对攻击源头采取隔离措施。

NFPP日志信息打印调整：

当NFPP检测到攻击后，在专用日志缓冲区生成一条日志。NFPP以一定速率从专用缓冲区取出日志，生成系统消息，并且从专用日志缓冲区清除这条日志。


一、组网需求

核心设备下挂3000个用户，其中一个端口最大用户数为200个，接入交换机所携带的用户数不超过200，接入交换机的每个端口最大用户数6个，所有的接入设备都启用DHCP Snooping+DAI功能防ARP欺骗。为了防止非法攻击，占用交换机的CPU资源，需要调整NFPP的相关参数实现防攻击

二、组网拓扑

三、配置要点

1、根据需求调整接入交换机NFPP功能参数，由于接入交换机开启了DAI功能，网关发送的ARP报文到接入交换机后都需要送CPU处理，为了防止正常的ARP等报文被NFPP丢弃，需要关闭上联口的NFPP相关功能，并放大接入交换机的CPP限速（默认限速180PPS在DAI场景中偏小）

2、根据核心的用户数量，调整核心交换机NFPP基于端口的限速/攻击检测参数

3、为了避免NFPP产生的LOG太多，通过命令调整LOG打印速率

四、配置步骤

接入交换机配置：

1、配置交换机的防ARP欺骗功能，具体也可以参见DHCP环境防ARP欺骗章节中DHCP Snooping+DAI方案。

Ruijie#configure terminal

Ruijie(config)#vlan 10

Ruijie(config-vlan)#exit

Ruijie(config)#ip arp inspection vlan 10

Ruijie(config)#ip dhcp snooping

Ruijie(config)#interface gigabitEthernet 0/25

Ruijie(config-if-GigabitEthernet 0/25)#switchport mode trunk

Ruijie(config-if-GigabitEthernet 0/25)#ip dhcp snooping trust

Ruijie(config-if-GigabitEthernet 0/25)#ip arp inspection trust

Ruijie(config-if-GigabitEthernet 0/25)#exit

Ruijie(config)#interface range fastEthernet 0/1-24

Ruijie(config-if-range)#switchport access vlan 10

Ruijie(config-if-range)#end

Ruijie#

2、NFPP功能配置：

1）全局NFPP配置

默认交换机的NFPP功能是开启的，二层交换机参数无需调整，只需将上联口NFPP关闭，同时由于开启了DAI的原因，需要调整放大CPP。

Ruijie(config)#cpu-protect type arp pps 500 ，如果没有使用DAI，CPP也无需调整。

全局下的NFPP调整参数如下

Ruijie(config-nfpp)#log-buffer entries 1024 ------>设置NFPP log缓存的容量为1024条（默认256）

Ruijie(config-nfpp)#log-buffer logs 1 interval 300 ------>为避免NFPP产生的LOG太多，调整每次打印一条相同log信息的阀值为300秒

Ruijie(config-nfpp)#exit

Ruijie(config)#

2）接口NFPP配置

为了防止大量网关发送的正常的相关报文（特别是网关发送的ARP请求或回应报文）被接入交换机误认为是攻击被丢弃，从而导致下联用户无法获取网关的ARP信息而无法上网，需要将上联口的NFPP功能关闭

Ruijie(config)#int g0/25

Ruijie(config-if-GigabitEthernet 0/25)#no nfpp arp-guard enable ------>关闭接口的ARP-guard功能，关闭该功能后，该接口进入的数据报文不进行NFPP检测

Ruijie(config-if-GigabitEthernet 0/25)#no nfpp dhcp-guard enable ------>关闭接口的dhcp-guard功能，关闭该功能后，该接口进入的数据报文不进行NFPP检测

Ruijie(config-if-GigabitEthernet 0/25)#no nfpp dhcpv6-guard enable ------>关闭接口的dhcpv6-guard功能，关闭该功能后，该接口进入的数据报文不进行NFPP检测

Ruijie(config-if-GigabitEthernet 0/25)#no nfpp icmp-guard enable ------>关闭接口的icmp-guard功能，关闭该功能后，该接口进入的数据报文不进行NFPP检测

Ruijie(config-if-GigabitEthernet 0/25)#no nfpp ip-guard enable ------>关闭接口的ip-guard功能，关闭该功能后，该接口进入的数据报文不进行NFPP检测

Ruijie(config-if-GigabitEthernet 0/25)#no nfpp nd-guard enable ------>关闭接口的nd-guard功能，关闭该功能后，该接口进入的数据报文不进行NFPP检测

Ruijie(config-if-GigabitEthernet 0/25)#exit

Ruijie(config)#

核心交换机NFPP配置：

只做下述调整即可：

Ruijie(config)#nfpp

Ruijie(config-nfpp)#arp-guard attack-threshold per-port 800 ------>设置每个端口的攻击阀值为800个，超过此值丢弃并打印攻击日志

Ruijie(config-nfpp)#arp-guard rate-limit per-port 500 ------>每个端口每秒限速500个arp报文，多余的ARP报文将被丢弃（默认限速阀值是100个偏小）

Ruijie(config-nfpp)#log-buffer entries 1024 ------>设置NFPP log缓存的容量为1024条（默认256）

Ruijie(config-nfpp)#log-buffer logs 1 interval 300 ------>调整log打印频率为300S打印1次

Ruijie(config-nfpp)#exit

Ruijie(config)#

如果需要开启硬件隔离，为了防止误判，应放大限速及攻击检测的阈值。

注意：

隔离功能通常不建议开启，在汇聚设备上如果用户攻击非常频繁，导致设备CPU90%以上，此事可以考虑进行硬件隔离，并放大当前攻击的检测阈值，防止误判。因为一旦隔离将会导致这些攻击性质的用户无法上网，接入设备上不要开启NFPP硬件隔离。

Ruijie(config)#nfpp ------>进入NFPP配置模式

Ruijie(config-nfpp)#arp-guard isolate-period 600 ------>超过ARP攻击阀值后，对用户进行隔离，设置隔离时间为600秒

Ruijie(config-nfpp)#arp-guard attack-threshold per-src-mac 30 ------>设置每个mac的攻击阀值为10个，如果交换机检测每个mac发送的ARP报文大于10个，那么交换机会把该用户放入ARP攻击表，可以对这些用户进行硬件隔离（默认不进行硬件隔离，可以进行配置隔离时间进行隔离，设置隔离时间后会占用硬件表项资源。默认每MAC的攻击阀值是8个）

Ruijie(config-nfpp)#arp-guard attack-threshold per-src-ip 30 ------>设置每个IP的攻击阀值为10个，如果交换机检测每个IP发送的ARP报文大于10个，那么交换机会把该用户放入ARP攻击表，可以对这些用户进行硬件隔离（默认不进行硬件隔离，可以进行配置隔离时间进行隔离，设置隔离时间后会占用硬件表项资源。默认每IP的攻击阀值是8个）

Ruijie(config-nfpp)#arp-guard rate-limit per-src-mac 20 ------>每个mac每秒限速6个arp报文，多余的ARP报文将被丢弃（默认限速阀值是4个）

Ruijie(config-nfpp)#arp-guard rate-limit per-src-ip 20 ------>每个IP每秒限速6个arp报文，多余的ARP报文将被丢弃（默认限速阀值是4个）

Ruijie(config-nfpp)#ip-guard attack-threshold per-src-ip 80 ------>设置IP攻击阀值为40个每IP

Ruijie(config-nfpp)#ip-guard isolate-period 600 ------>超过IP攻击阀值后，对用户进行隔离，设置隔离时间为600秒

五、功能验证

1、查看ARP-guard的全局配置情况（不同软件版本的阀值可能有所区别，具体以实际show出来的结果为准）

2、查看ARP-guard的扫描表：

3、查看ARP-guard被隔离的用户

4、查看放入日志缓冲区的用户

六、常见NFPP相关log信息的说明

1）*Dec 26 13:37:10:%NFPP_ARP_GUARD-4-SCAN: Host<IP=1.1.1.1,MAC=0000.0000.0004,port=Gi4/1,VLAN=1> was detected.(2012-12-26 13:00:04)

a、日志内容最后面括号中的时间是检测到扫描的时间，事件产生的时间，但是日志打印的时间是条目最前面的时间戳；

b、该日志表示的是per-src-mac/per-src-ip检测条件的扫描水线（arp-guard rate-limit ）超过阀值，告警，里面包含了MAC地址信息，端口，vlan等；

c、该日志只是一个提醒功能，不会做隔离，在网关设备带机数比较大的情况下，可能会经常报这样的类似log，如果当前运行正常，可不关注；如果影响使用，或者信息比较异常（比如报的ip根本不存在），那么需要考虑可能存在的攻击，欺骗情况

d、show nfpp arp-guard scan/hosts命令来查看具体的超告警水线，超攻击水线的用户记录。

2）*Dec 26 13:46:10:%NFPP_ARP_GUARD-4-SCAN_TABLE_FULL: ARP scan table is full.

a、ARP 扫描表只保存最新的256 条记录。当ARP 扫描表满的时候，会打印日志提醒管理员，针对该日志不需要做任何处理。

b、扫描表只是存储nfpp log的地方，如果表满了那么新的日志就会覆盖旧的日志，仅此而已，该事件对用户使用不会产生任何影响。

c、可以通过clear nfpp log命令来清空专属缓冲区的log，不影响其他日志的存储。

d、可以通过调整NFPP log buffe的缓冲区及调整打印时间值来降低打印频率：

Ruijie(config)#nfpp

Ruijie(config-nfpp)#log-buffer entries 1024 ------>设置NFPP log缓存的容量为1024条

Ruijie(config-nfpp)#log-buffer logs 1 interval 300 ------>为避免NFPP产生的LOG太多，调整每次打印一条相同log信息的阀值为300秒

3）*Dec 26 13:55:10:%NFPP_ARP_GUARD-4-DOS_DETECTED: Host<IP=N/A,MAC=0000.0000.0004,port=Gi4/1,VLAN=1> was detected.(2012-12-26 13:43:04)

a、设备检测到有arp攻击的事件的日志记录，基于per-src-mac的攻击水线达到告警值，设备记录了该用户的MAC，端口，vlan信息。

b、这个信息也只是作为提醒，不会做硬件隔离，但是超过扫描阀值的部分报文会被设备丢弃，已保护cpu。

c、如果检测的信息包含的都是合法的用户，并且经过管理员确认后确认不存在攻击可能性的话，那么需要考虑是否是大用户数的情况，或者是否流量比较大，此时可能需要考虑调整arp-guard里面的各项参数到合理的值。

d、show nfpp arp-guard scan/hosts命令来查看具体的超告警水线，超攻击水线的用户记录。

4）*Dec 26 14:19:10:%NFPP_ARP_GUARD-4-ISOLATED:Host <IP=N/A,MAC=0000.0000.0004,port=Gi4/1,VLAN=1> was isolated.(2012-12-26 14:19:0）

a、管理员配置了硬件隔离功能，该用户将被隔离isolate-period时间，这段时间用户发起的任何报文都直接被硬件丢弃，不送cpu。

b、show nfpp arp-guard hosts命令可以查看被隔离的用户信息，不打*标记的用户表示已经被硬件隔离成功。

5）*Dec 26 14:23:10:%NFPP_ARP_GUARD-4-ISOLATE_FAILED: Failed to isolate host <IP=N/A,MAC=0000.0000.0004,port=Gi4/1,VLAN=1>.(2012-12-26 14:22:50)

a、当硬件隔离失败（原因通常是内存不足或者硬件资源不足）时，打印的日志信息

b、硬件隔离功能开启会消耗slice资源，每个用户占用一条ACE，整机硬件隔离的总数254个，不可调整

6）ip-guard的日志通arp-guard的日志类似，这里不在举例。


一、组网需求

利用接入设备实现接入用户，只有绑定的ip+MAC才可以与外网通信，没有绑定的不能通信。

二、组网拓扑

三、配置要点：

1、全局绑定IP+MAC地址

2、配置例外接口（没有绑定限制）

3、开启address-bind功能

四、配置步骤：

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以百兆接口为例。

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#address-bind 192.168.1.1 0001.1111.1111 ------> 配置IP 地址和MAC 地址的绑定关系

Ruijie(config)#address-bind uplink FastEthernet 0/24 ------>配置地址绑定的例外端口（上联端口）

Ruijie(config)#address-bind install ------>使IP 和MAC 地址绑定生效

Ruijie(config)#end

Ruijie#write ------>确认配置正确，保存配置

五、验证命令

Ruijie#show address-bind 查看设备的IP 地址和MAC 地址绑定配置

Total Bind Addresses in System : 1

IP Address Binding MAC Addr

--------------- ----------------

192.168.1.1 0001.1111.1111

只有在绑定表项中的ip+MAC可以正常通信，没有绑定的ip+MAC无法与外网通信


应用场景：

端口安全功能适用于用户希望控制端口下接入用户的IP和MAC必须是管理员指定的合法用户才能使用网络，或者希望使用者能够在固定端口下上网而不能随意移动，变换IP/MAC或者端口号，或控制端口下的用户MAC数，防止MAC地址耗尽攻击（病毒发送持续变化的构造出来的MAC地址，导致交换机短时间内学习了大量无用的MAC地址，8K/16K地址表满掉后无法学习合法用户的MAC，导致通信异常）的场景。

功能简介：

端口安全：端口安全功能通过定义报文的源MAC地址来限定报文是否可以进入交换机的端口，你可以静态设置特定的MAC地址或者限定动态学习的MAC地址的个数来控制报文是否可以进入端口，使能端口安全功能的端口称为安全端口。只有源MAC地址为端口安全地址表中配置或者学习到的MAC地址的报文才可以进入交换机通信，其他报文将被丢弃。

您还可以设定端口安全地址绑定IP+MAC，或者仅绑定IP，用来限制必须符合绑定的以端口安全地址为源MAC地址的报文才能进入交换机通信。

一、组网需求

要求PC1（IP: 192.168.1.1，MAC: 0021.CCCF.6F70）只能接在交换机的F0/1端口，并且做IP+MAC地址绑定，其他电脑接入该端口将不能通信；

要求F0/2端口只能接入IP地址为192.168.1.2，MAC地址不受限制的PC，其他IP地址的PC都不能从该端口接入。

二、组网拓扑

三、配置要点

在F0/1及F0/2端口需要开启 switchport port-security 功能，并且限制MAC地址绑定的条目为1

四、配置步骤

核心交换机配置：

1、创建核心设备的IP地址，即用户的网关地址

Ruijie(config)#vlan 10

Ruijie(config)#interface vlan 10

Ruijie(config-if-VLAN 10)#ip address 192.168.1.254 255.255.255.0

2、保存配置

Ruijie(config-if-VLAN 10)#end

Ruijie#wr

接入交换机配置：

1、要求F0/1端口只能接入192.168.1.1且mac地址是0021.CCCF.6F70的电脑

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#interface fastEthernet 0/1

Ruijie(config-if-FastEthernet 0/1)#switchport port-security binding 0021.CCCF.6F70 vlan 10 192.168.1.1 ------>把属于vlan10 ，且mac地址是0021.CCCF.6F70 ，ip地址192.168.1.1的PC绑定在交换机的第一个百兆接口上

Ruijie(config-if-FastEthernet 0/1)#switchport port-security ------>开启端口安全功能

Ruijie(config-if-FastEthernet 0/1)#exit

2、要求F0/2端口只能接入ip地址是192.168.1.2的电脑，mac地址无要求。即F0/2下的电脑ip地址只能连接IP地址为192.168.1.2的电脑

Ruijie(config)#interface fastEthernet 0/2

Ruijie(config-if-FastEthernet 0/2)# switchport port-security binding 192.168.1.2 ------>把ip地址是192.168.1.2的终端绑定在交换机的第二个百兆接口

Ruijie(config-if-FastEthernet 0/2)#switchport port-security ------>开启端口安全功能

3、保存配置

Ruijie(config-if-FastEthernet 0/2)#end

Ruijie#write ------>确认配置正确，保存配置

重要说明：

1、交换机端口安全分为IP+MAC绑定，仅IP绑定，仅MAC绑定

交换机端口安全IP+MAC绑定或仅IP绑定是通过如下命令来实现的：

Ruijie(config-if-FastEthernet 0/1)#switchport port-security binding ?

A.B.C.D IP address

H.H.H 48-bit hardware address

X:X:X:X::X IPV6 address

1）绑定IP+MAC，可以使用如下命令：

Ruijie(config-if-FastEthernet 0/1)#switchport port-security binding 0021.CCCF.6F70 vlan 1 192.168.1.1

2）仅绑定IP，可以使用如下命令：

Ruijie(config-if-FastEthernet 0/1)#switchport port-security binding 192.168.1.2

3）如果交换机仅做MAC绑定，可以使用如下命令：

Ruijie(config-if-FastEthernet 0/1)#switchport port-security mac-address 0021.CCCF.6F70

2、如果设置了IP+MAC绑定或仅IP绑定，交换机还是会动态学习下联用户的MAC地址，例如交换机端口上做了如下命令绑定：

Ruijie(config-if-FastEthernet 0/1)#switchport port-security binding 1414.4b19.ecc1 vlan 1 192.168.1.1

Ruijie(config-if-FastEthernet 0/1)#switchport port-security

此时，查看配置如下：

Ruijie#show port-security address

Vlan Mac Address IP Address Type Port Remaining Age (mins)

---- --------------- ---------------------------------------- ---------- -------- -------------

1 1414.4b19.ecc1 192.168.1.1 Configured Fa0/1 -

当用户接入后，交换机依然还会动态学习用户的MAC

Ruijie#show port-security address

Vlan Mac Address IP Address Type Port Remaining Age (mins)

---- --------------- ---------------------------------------- ---------- -------- -------------

1 1414.4b19.ecc1 Dynamic Fa0/1 -

1 1414.4b19.ecc1 192.168.1.1 Configured Fa0/1 -

如果要让IP+MAC绑定或仅IP绑定的的用户生效，必须先要让端口安全学习到用户的MAC地址。例如交换机做如下设置，那么192.168.1.2的用户就无法上网：

interface GigabitEthernet 0/1

switchport port-security mac-address 1414.4b19.0000 vlan 1

switchport port-security binding 1414.4b19.ecc1 vlan 1 192.168.1.2

switchport port-security maximum 1

switchport port-security

原因是MAC地址最大允许数是1，而且已经绑定了一个1414.4b19.0000 的地址，所以端口安全不能再学习MAC地址了，而端口安全IP+MAC（或IP）绑定生效必须要先学习到端口安全MAC地址，所以192.168.1.2的用户无法被放通。如果要让该用户上网，可以通过多绑定该用户的MAC来实现：

interface GigabitEthernet 0/1

switchport port-security mac-address 1414.4b19.ecc1 vlan 1

switchport port-security mac-address 1414.4b19.0000 vlan 1

switchport port-security binding 1414.4b19.ecc1 vlan 1 192.168.1.2

switchport port-security maximum 2

switchport port-security

总结：如果配置了IP或IP+MAC绑定，那么也要同时满足端口安全MAC绑定的条件。

3、交换机如果某些端口设置了端口安全（端口MAC绑定），但是某些端口没有设置端口安全，例如1口设置了端口安全绑定的用户为PC1，其余端口没有设置端口安全。那么PC1插到1号口可以上网，但是插到其他端口是不能上网的。

4、交换机如果某些端口设置了端口安全（端口IP+MAC或IP绑定），但是某些端口没有设置端口安全，例如1口设置了端口安全绑定的用户为PC1，其余端口没有设置端口安全。那么PC1插到1号口可以上网，插到其他端口也可以上网，也就说端口安全MAC地址绑定才是决定设备放通用户的关键因素。

五、功能验证

查看接入交换机绑定的安全表项


一、功能简介

每一台电脑都有一个全球唯一的标识：mac地址。交换机是根据学习到的mac地址和交换机端口的关系表转发数据。

MAC地址静态绑定可以减少交换机MAC地址的学习，因为配置了MAC静态绑定后，交换机就不再学习该MAC地址的信息了。

通过MAC地址的静态绑定，可以让某个终端（电脑、PDA或其他网络设备）只能接在交换机的固定接口下，如果接到这台交换机的其他接口将不能与洽谈设备通信。

二、配置命令：

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以百兆接口为例。

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#mac-address-table static 0001.1111.1111 vlan 1 int fastEthernet 0/1 ------->把vlan1的0001.1111.1111绑定在交换机的f0/1接口，如果这个mac地址接到交换机的其他接口（如 fastEthernet 0/2）就不能和其他设备通信

Ruijie(config)#end

Ruijie#write ------>确认配置正确，保存配置


应用场景：

IP Source Guard可以实现防止用户私设IP地址及防止用户变化源IP的扫描行为，要求用户必须动态DHCP方式获取IP，否则将无法使用网络；

功能简介：

IP Source Guard：IP Source Guard（IP源防护）维护一个IP 源地址绑定数据库， IP Source Guard可以在对应的接口上主机报文进行基于源IP、源IP和源MAC的报文过滤，从而保证只有IP源地址绑定数据库中的主机才能正常使用网络。

IP Source Guard会自动将DHCP Snooping绑定数据库中的合法用户绑定同步到IP Source Guard的IP源地址绑定数据库（硬件安全表项中），这样IP Source Guard就可以在打开DHCP Snooping设备上对客户端的进行严格过滤；默认情况下，打开IP Source Guard的功能的端口会过滤所有非DHCP的IP报文；只有当客户端通过DHCP从服务器获取到合法的IP或者管理员为客户端配置了静态的IP源地址绑定，端口将允许和这个客户端匹配的IP报文通过。

IP Source Guard支持基于IP+MAC或者基于IP的过滤，如果打开基于IP+MAC的过滤，IP Source Guard会对所有报文的MAC+IP进行检测，仅仅允许IP源地址绑定表格中存在的用户报文通过；而基于IP的过滤，仅仅会对报文的源IP地址进行检测。

一、组网需求

用户网关在核心交换机上，核心交换机创建DHCP Server，接入交换机下联PC使用动态DHCP获取IP地址，为了防止内网用户私设IP，需要实施IP Source Guard功能，对于私设IP地址的用户不让访问外网。

二、组网拓扑

三、配置要点

1、在核心交换机上开启DHCP Server功能（部分场景中，客户可能采用专用DHCP服务器，则核心交换机只需要启用DHCP Relay功能即可）

2、在接入交换机上全局开启dhcp snooping功能，并且在上联核心的端口开启DHCP Snooping信任口

3、在接入交换机连接用户的端口开启IP Source Guard功能

4、网络中存在个别用户使用静态IP，配置IP Source Guard功能后也能实现安全控制。

四、配置步骤

核心交换机配置：

1、开启核心设备的DHCP服务功能

Ruijie(config)#service dhcp

2、创建核心设备的IP地址，即用户的网关地址

Ruijie(config)#interface vlan 1

Ruijie(config-if-VLAN 1)#ip address 192.168.1.254 255.255.255.0

Ruijie(config-if-VLAN 1)#exit

3、创建核心设备的DHCP地址池

Ruijie(config)#ip dhcp pool vlan1

Ruijie(dhcp-config)#network 192.168.1.0 255.255.255.0 ------>子网掩码要和所设置IP地址的子网掩码一致，这里都是/24位掩码

Ruijie(dhcp-config)#dns-server 218.85.157.99 ------>设置分配给客户端的DNS地址

Ruijie(dhcp-config)#default-router 192.168.1.254 ------>设置分配给用户的网关地址，这个要和核心设备上所设置的IP地址一致，为192.168.1.254

Ruijie(dhcp-config)#end

Ruijie#wr

接入交换机配置：

1、在接入交换机上开启dhcp snooping功能

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#ip dhcp snooping ------>开启DHCP snooping功能

2、连接DHCP服务器的接口配置为可信任口

Ruijie(config)#interface gigabitEthernet 0/49

Ruijie(config-GigabitEthernet 0/49)#ip dhcp snooping trust ------>开启DHCP snooping的交换机所有接口缺省为untrust口，交换机只转发从trust口收到的DHCP响应报文（offer、ACK）

3、连接用户的接口开启IP Source Guard功能

Ruijie(config)#interface range fastEthernet 0/1-2 ------>同时进入1口和2口接口配置模式

Ruijie(config-if-range)#ip verify source port-security ------>开启源IP+MAC的报文检测，将DHCP Snooping形成的snooping表写入地址绑定数据库中，请正确配置ip verfiy soure port-security， 不要使用ip verify source（仅绑定IP），部分产品存在限制，只绑定IP的情况下可能出现异常。

注意：如果交换机下还有级联交换机，则不要在级联交换机端口配置IP Source guard,而应该在接入交换机上部署IP Source Guard方案。避免二个设备都进行硬件绑定用户的IP+MAC，导致消耗设备硬件资源表项。

4、配置静态绑定用户，这些用户希望采用静态IP地址，也能实现安全检查，避免端口下其他用户私用IP地址。

Ruijie(config)#ip source binding 001a.a2bc.3a4d vlan 10 192.168.10.5 interface fa0/15

Ruijie(config)#interface fastEthernet 0/15

Ruijie(config-fastethernet 0/15)#ip verify source port-security ------>开启源IP+MAC的报文检测

5 、保存配置

Ruijie(config-if-range)#end

Ruijie#write ------> 确认配置正确，保存配置

五、功能验证

1、相关功能信息查看

1）查看核心交换机DHCP服务器地址池分配情况

2）查看PC获取IP地址情况，在电脑上点击开始----->运行-------->输入cmd进入命令行界面-------->输入ipconfigl可以查看如下信息：

3）查看DHCP Snooping表

4）查看IP Source Guard相关信息

2、效果验证

1）自动获取IP地址，获取的IP地址是192.168.1.1，此时电脑能ping通网关

查看网关的MAC地址

2）对电脑IP地址进行手动释放（在电脑cmd命令行界面敲ipconfig/release），然后手动设置一个IP地址

在电脑上手动设置IP地址，点击确定

在cmd命令行输入ipconfig/all，确认是手动设置的IP地址

在接入交换机上查看地址绑定数据库，没有用户的绑定信息

3）验证此时电脑是否能ping通网关

由于IP Source Guard功能只是对IP报文进行检查，不对ARP报文进行检查，故此时电脑arp -a依然可以看到网关的arp信息

4）如果要让手动设置的IP地址上网，可以在交换机上手动添加一条地址绑定信息，命令如下：

此时地址绑定数据库中有该电脑绑定的相关信息

此时私设的IP地址也能够正常上网


应用场景：

SNMP协议的运用场景非常丰富，只要应用软件需要与网络设备进行读写操作，或者交互信息，监控设备使用情况，获取设备运行的各项运行指标（比如CPU，内存，接口流量，ARP表，MAC表等）等都需要配置SNMP功能，常见的有MIB网管监控类软件，比如MIB browser，我司的SNC；radius认证类软件，比如我司的SAM，H3C的CAMS，赛门铁克认证系统，城市热点认证系统等；web认证的我司的eportal软件；策略认证类的我司的SMP软件；

SNMPv3的安全性较强，可以加密报文，防止数据被篡改，但是配置与维护较复杂，另外并不是所有设备或者软件都支持SNMPv3，使用前需要提前确认功能支持情况。

功能简介：

SNMP：SNMP是Simple Network Management Protocol（简单网络管理协议）的缩写，在1988年8月就成为一个网络管理标准RFC1157。到目前，因众多厂家对该协议的支持，SNMP已成为事实上的网管标准，适合于在多厂家系统的互连环境中使用。利用SNMP协议，网络管理员可以对网络上的节点进行信息查询、网络配置、故障定位、容量规划，网络监控和管理是SNMP的基本功能。

目前 SNMP 支持以下版本：

SNMPv1 ：简单网络管理协议的第一个正式版本，在 RFC1157 中定义。

SNMPv2C： 基于共同体 （Community-Based） 的SNMPv2管理架构, 在RFC1901中定义的一个实验性协议，

SNMPv3 ：通过对数据进行鉴别和加密，提供了以下的安全特性：

1、确保数据在传输过程中不被篡改；

2、确保数据从合法的数据源发出；

3、加密报文，确保数据的机密性；

实际使用中，根据客户的网管软件所支持的协议版本来确定设备启用SNMP版本。


一、组网需求

1、交换机允许IP（192.168.1.2/24）的网管工作站对网络设备（192.168.1.1）进行管理。共同体为“ruijie”或者“public”

2、网络设备能够主动向网管工作站发送SNMP TRAP消息

二、组网拓扑

三、配置要点

1、设置共同体（Community）及访问权限（Read 或Write），设备上的共同体（Community）和网管工作站（网管软件）上的共同体（Community）必须一致，才能正常管理设备；（必选）

2、配置SNMP 主机地址，并使能Agent 主动发送Trap 消息的功能；（可选）

四、配置步骤

交换机配置：

1、配置交换机vlan 1的接口地址为192.168.1.1/24，使得网管工作站（网管软件）可以与交换机通信。

Ruijie(config)#interface vlan 1

Ruijie(config-if-VLAN 1)#ip address 192.168.1.1 255.255.255.0

2、配置交换机的共同体（Community）为“ruijie”，通常只读口令和读写口令单独配置，提升安全性（必选）

Ruijie(config)#snmp-server community ruijie rw ------>配置读写口令，

Ruijie(config)#snmp-server community public ro ------>配置只读口令

3、配置交换机主动向网管工作站（网管软件）发送消息，网管工作站（网管软件）地址为192.168.1.2，共同体（Community）为“ruijie”（可选）

Ruijie(config)#snmp-server enable traps

Ruijie(config)#snmp-server host 192.168.1.2 traps ruijie ------>默认SNMPV1版本的trap报文

Ruijie(config)#snmp-server host 192.168.1.2 version 2c ruijie ------>指定SNMPV2C版本的trap报文

4、保存配置

Ruijie(config-if-VLAN 1)#end

Ruijie#wr

五、功能验证

1、查看SNMP服务是否开启

如果遇到SNMP导致CPU高的故障，可以临时关闭snmp agent。

Ruijie(config)#no enable service snmp-agent

2、查看SNMP trap相关信息

3、查看SNMP 服务器上读取的相关信息


一、组网需求

1）SNMP服务器基于用户的认证加密模式对交换机进行管理。双方使用用户名“admin”，认证方式为MD5，认证密码为ruijie，加密算法为DES56，加密密码为ruijie123。

2）用户admin可以对System（1.3.6.1.2.1.1）节点下的MIB对象进行读操作，其中只能对SysContact（1.3.6.1.2.1.1.4.0）节点下的MIB对象进行写操作。

3）交换机能够主动向SNMP服务器发送验证加密的消息。

二、组网拓扑

三、配置要点

1、创建MIB视图，并指定包含或排除的MIB对象。

2、创建SNMP组，设置该组的版本号为“v3”，并指定该组使用的安全级别，同时需要设置该组对相应视图的读写权限。

3、创建用户名，同时关联对应的SNMP组名，即可以设置用户访问MIB对象的操作权限，同时需要配置版本号为“v3”，以及相应的认证方式、认证密码、加密算法、加密密码。

4、配置SNMP主机地址，同时需要配置版本号为“3”，并设置使用的安全级别。

四、配置步骤

交换机配置：

1、配置交换机vlan 1的接口地址为192.168.1.1/24，使得网管工作站（网管软件）可以与交换机通信：

Ruijie#configure terminal

Ruijie(config)#interface vlan 1

Ruijie(config-if-VLAN 1)#ip address 192.168.1.1 255.255.255.0

Ruijie(config-if-VLAN 1)#end

2、创建MIB视图，并指定包含或排除的MIB对象：

Ruijie(config)#snmp-server view view1 1.3.6.1.2.1.1 include ------>创建一个MIB视图 “view1”，包含关联的MIB对象（1.3.6.1.2.1.1）

Ruijie(config)#snmp-server view view2 1.3.6.1.2.1.1.4.0 include ------>创建一个MIB视图“view2”，包含关联的MIB对象（1.3.6.1.2.1.1.4.0）

3、创建SNMP组，设置该组的版本号为“v3”，并指定该组使用的安全级别，同时需要设置该组对相应视图的读写权限：

Ruijie(config)#snmp-server group group1 v3 priv read view1 write view2 ------>创建一个SNMP组，名称为group1，版本号为v3，配置安全级别为认证加密模式priv，设置视图view1为可读，设置视图view2为可写

4、创建用户名，同时关联对应的SNMP组名，即可以设置用户访问MIB对象的操作权限，同时需要配置版本号为“v3”，以及相应的认证方式、认证密码、加密算法、加密密码：

Ruijie(config)#snmp-server user admin group1 v3 auth md5 ruijie priv des56 ruijie123 ------>创建用户名为admin，属于group1，设置版本号为v3，认证方式为md5，密码为ruijie，加密方式为DES56，加密密码为ruijie123

5、配置SNMP主机地址，同时需要配置版本号为“3”，并设置使用的安全级别：

Ruijie(config)#snmp-server host 192.168.1.2 traps version 3 priv admin ------>配置SNMP服务器地址为192.168.1.2，SNMP版本为v3，配置安全级别为认证加密模式priv，关联对应的用户admin

6、配置交换机主动向网管工作站（网管软件）发送消息：

Ruijie(config)#snmp-server enable traps ------>使能Agent主动向NMS发送Trap消息

7、配置 SNMP 代理参数（可选）：

Ruijie(config)#snmp-server location fuzhou ------>配置系统所处的位置

Ruijie(config)#snmp-server contact ruijie.com.cn ------>配置系统所处的位置

Ruijie(config)#snmp-server chassis-id 1234567890 ------>配置系统所处的位置

重要说明：如果没有创建视图名称，那么默认我司交换机的视图名称为default，包含的MIB对象是1。在实际应用只需要配置如下几条命令就行了

snmp-server group group1 v3 priv read default write default

snmp-server user admin group1 v3 auth md5 ruijie priv des56 ruijie123

snmp-server host 192.168.1.2 traps version 3 priv admin

snmp-server enable traps

五、功能验证

1、查看SNMP服务是否开启

（默认开启，可以使用命令Ruijie(config)#no enable service snmp-agent 关闭，如果遇到SNMP导致CPU高的故障，可以临时关闭snmp agent）

2、查看创建的SNMP视图

3、查看创建的SNMP组

4、查看用户名


查看交换机日志信息

在特权模式下使用show log命令查看日志信息

Ruijie>en

Ruijie#show logging


应用场景：

记录日志到FLASH的功能，通常运用于客户网络中没有部署专门的日志服务器，网络设备节点少，维护量不大的场景；维护人员不用担心设备掉电后，无从追

溯曾经发生的异常事件，在日常维护，故障排查的时候能够方便的调用设备flash里面记录的日志。

功能简介：

日志记录：设备在运行过程中，会发生各种状态变化如链路状态UP、DOWN等，也会遇到一些事件如收到异常报文、功能处理异常等。锐捷产品日志提供一种机制，在状态变化或发生异常事件时，就自动生成固定格式的消息（日志报文），这些消息可以被显示在相关窗口（控制台、VTY等）上或被记录在相关媒介（内存缓冲区、FLASH）上或发送到网络上的一组日志服务器上，供管理员分析网络情况和定位问题。同时为了方便管理员对日志报文的读取和管理，这些日志报文可以被打上时间戳和序号，并按日志信息的优先级进行分级。

设备默认只将日志记录到缓冲区，一旦设备重启或日志过多，将会导致日志丢失或日志被覆盖掉，建议所有交换机均开启日志记录到FLASH或发送到日志服务器，尤其是核心设备请务必配置日志记录功能。

锐捷产品的日志报文格式如下：

<priority> seq no: timestamp sysname %ModuleName-severity-MNEMONIC: description

例如：

一、组网需求

1、将交换机的日志级别为0-7的日志记录到flash，并且配置一个日志文件的大小为1M

2、设置log缓存区的大小为128K

3、记录用户登入信息及用户登入后所操作的命令

4、启用日志系统名、信息序列号、时间戳开关

二、组网拓扑

三、配置要点

需要注意：在配置交换机保存log到flash后，交换机不会马上把buffer缓冲区中的log保存到flash中，需要等待一段时间后才能写入（一般需要定时半个小时左右或日志缓冲区写满时才会写到Flash）。

四、配置步骤

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#logging file flash:syslog 7 ------>设置保存到Flash中的日志文件名为syslog，等级为7，即0-7等级的所有log都被记录到flash，debug日志等级为7.

Ruijie(config)#logging file flash:syslog 131072 ------>设置保存到Flash中的日志文件大小为128K

Ruijie(config)#logging buffered 131072 ------>设置log缓冲区的大小为128K

Ruijie(config)#logging userinfo ------>记录用户登入信息

Ruijie(config)#logging userinfo command-log ------>记录用户登入所操作的所有配置命令

Ruijie(config)#service sysname ------>开启在日志中显示系统名

Ruijie(config)#service sequence-numbers ------>开启在日志中显示序号

Ruijie(config)#service timestamps ------>开启在日志中显示时间戳

Ruijie#wr

重要说明：对于中低端交换机，默认的log buffer缓冲区设置的比较小，推荐将buffer缓冲区调大，如调整为128K

日志保存log到flash，一个日志文件满后，会保存下一个文件，名称为文件名syslog_1.txt,保存到16个为止，然后覆盖旧文件，所以总共占用的flash空间大小为单个文件大小*16，例如设置为128K一个文件，16个128k为2M，占用的flash空间是有限的，不会导致flash空间占满。另外可以通过more flash：xxx来查看flash中的log文件，如果要删除flash中的文件，可以使用delete xxx来删除。

五、功能验证

1、查看log信息：

2、查看保存到flash中的文件

使用more flash:syslog.txt来查看syslog文件

3、如果要清除缓冲区log可以使用clear logging命令


应用场景：

发送日志到服务器的功能，通常运用于客户网络中已经部署专门的日志服务器（比如SNC，RIIL，Syslogger），网络设备节点多，维护量大的场景；需要保证网络设备与服务器之间的路由可达性，通过服务器软件的自身功能设计，能够提供异常事件的主动告警，图表显示，定期的报表生成等丰富的扩展功能，使维护人员能够更全面，更及时的掌握网络运行状态，在日常维护，故障排查的时候提供帮助。

功能简介：

日志记录：设备在运行过程中，会发生各种状态变化如链路状态UP、DOWN等，也会遇到一些事件如收到异常报文、协议处理异常等。锐捷产品日志提供一种机制，在状态变化或发生异常事件时，就自动生成固定格式的消息（日志报文），这些消息可以被显示在相关窗口（控制台、VTY等）上或被记录在相关媒介（内存缓冲区、FLASH）上或发送到网络上的一组日志服务器上，供管理员分析网络情况和定位问题。同时为了方便管理员对日志报文的读取和管理，这些日志报文可以被打上时间戳和序号，并按日志信息的优先级进行分级。

设备默认只将日志记录到缓冲区，一旦设备重启或日志过多，将会导致日志丢失或日志被覆盖掉，建议所有交换机均开启日志记录到FLASH或发送到日志服务器，尤其是核心设备请务必配置日志记录功能。

锐捷产品的日志报文格式如下：

<priority> seq no: timestamp sysname %ModuleName-severity-MNEMONIC: description

例如：

一、组网需求

将交换机的将日志级别为0-7的日志记录存储到Syslog服务器

二、组网拓扑

三、配置要点

要将日志信息发送给Syslog Server，必须打开日志信息的时间戳开关或序号开关，否则日志信息将不会被发给Syslog Server

四、配置步骤

Ruijie>enable

Ruijie#configure terminal

Ruijie(config)#service sequence-numbers ------>开启在日志中显示序号

Ruijie(config)#service timestamps ------>开启在日志中显示时间戳

Ruijie(config)#interface vlan 1

Ruijie(config-if-VLAN 1)#ip address 192.168.1.1 255.255.255.0

Ruijie(config-if-VLAN 1)#exit

Ruijie(config)#logging server 192.168.1.2 ------>指定日志服务器IP地址

Ruijie(config)#logging source ip 192.168.1.1 ------>指定与日志服务器通信的源IP地址

Ruijie(config)#logging trap 7 ------>（可选）配置哪些日志信息发往Syslog Server，7代表记录所有日志（包括debug信息）

Ruijie(config)#end

Ruijie#wr

五、功能验证

本案例中日志服务器使用Kiwisyslog，通过日志服务器上可以看到交换机发过来的log信息：


一、组网需求

内网有4个vlan，vlan10和20的生成树根桥在核心交换机A上，vlan30，vlan40的生成树根桥在核心交换机B上。

二、组网拓扑：

三、配置要点：

1、开启生成树功能

2、创建不同的实例

3、为实例配置优先级

四、配置步骤：

注意：配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以百兆接口为例。

核心交换机A配置：

Ruijie>enable //进入特权模式

Ruijie#configure terminal //进入全局配置模式

Ruijie(config)#vlan 10 //创建vlan 10 、20、30和40

Ruijie(config-vlan)#vlan 20

Ruijie(config-vlan)#vlan 30

Ruijie(config-vlan)#vlan 40

Ruijie(config-vlan)#exit

Ruijie(config)#spanning-tree //开启生成树，默认模式是 mst

Ruijie(config)#spanning-tree mst configuration //配置mst

Ruijie(config-mst)# instance 1 vlan 10, 20 //vlan 10和20 使用实例（instance）1

Ruijie(config-mst)# instance 2 vlan 30, 40 //vlan 30和40使用实例（instance）2

Ruijie(config-mst)#spanning-tree mst 1 priority 4096 //实例（instance）1的优先级为4096，越小越优先，默认优先级是32768

Ruijie(config-mst)#exit

Ruijie(config)#interface FastEthernet 0/1

Ruijie(config-if-FastEthernet 0/1)#switch mode trunk //把交换机的第一个百兆接口配置成trunk

Ruijie(config)#interface FastEthernet 0/2

Ruijie(config-if-FastEthernet 0/2)#switch mode trunk //把交换机的第二个百兆接口配置成trunk

核心交换机B配置：

Ruijie>enable //进入特权模式

Ruijie#configure terminal //进入全局配置模式

Ruijie(config)#vlan 10 //创建vlan 10 、20、30和40

Ruijie(config-vlan)#vlan 20

Ruijie(config-vlan)#vlan 30

Ruijie(config-vlan)#vlan 40

Ruijie(config-vlan)#exit

Ruijie(config)#spanning-tree

Ruijie(config)#spanning-tree mst configuration

Ruijie(config-mst)# instance 1 vlan 10, 20

Ruijie(config-mst)# instance 2 vlan 30, 40

Ruijie(config-mst)#spanning-tree mst 2 priority 4096

Ruijie(configmst)#exit

Ruijie(config)#interface FastEthernet 0/1

Ruijie(config-if-FastEthernet 0/1)#switch mode trunk //把交换机的第一个百兆接口配置成trunk

Ruijie(config)#interface FastEthernet 0/2

Ruijie(config-if-FastEthernet 0/2)#switch mode trunk //把交换机的第二个百兆接口配置成trunk

接入交换机配置：

Ruijie>enable //进入特权模式

Ruijie#configure terminal //进入全局配置模式

Ruijie(config)#vlan 10 //创建vlan 10 、20、30和40

Ruijie(config-vlan)#vlan 20

Ruijie(config-vlan)#vlan 30

Ruijie(config-vlan)#vlan 40

Ruijie(config-vlan)#exit

Ruijie(config)#spanning-tree

Ruijie(config)#spanning-tree mst configuration

Ruijie(config-mst)# instance 1 vlan 10, 20

Ruijie(config-mst)# instance 2 vlan 30, 40

Ruijie(config-mst)#exit

Ruijie(config)#interface FastEthernet 0/1

Ruijie(config-if-FastEthernet 0/1)#switch mode trunk //把交换机的第一个百兆接口配置成trunk

Ruijie(config)#interface FastEthernet 0/2

Ruijie(config-if-FastEthernet 0/2)#switch mode trunk //把交换机的第二个百兆接口配置成trunk

保存配置

Ruijie(config)#end //退出到特权模式

Ruijie#write //确认配置正确，保存配置

五、配置验证：

Ruijie#show spanning-tree summary

Spanning tree enabled protocol mstp

MST 0 vlans map : 1-9, 11-19, 21-29, 31-39, 41-4094 //哪些vlan使用实例0，实例0是默认实例，没有配置的vlan都属于该实例

Root ID Priority 32768 //根id优先级

Address 001a.a976.9d0a //mac地址

this bridge is root //这台设备是根桥（root）

Hello Time 2 sec Forward Delay 15 sec Max Age 20 sec //保活时间2s，转发延时15s,超时时间 20s

Bridge ID Priority 32768 //桥id优先级

Address 001a.a979.bc44

Hello Time 2 sec Forward Delay 15 sec Max Age 20 sec

Interface Role Sts Cost Prio Type OperEdge

---------------- ---- --- ---------- -------- ----- ---------------

Fa0/24 Root FWD 200000 128 P2p False

Fa0/10 Altn BLK 200000 128 P2p False

接口 接口属性 接口状态 开销值 端口优先级 端口类型 是否为边缘端口

MST 1 vlans map : 10, 20

Region Root Priority 4096

Address 001a.a979.bc44

this bridge is region root

Bridge ID Priority 4096

Address 001a.a979.bc44

Interface Role Sts Cost Prio Type OperEdge

--------------- ---- --- ---------- -------- ----- ---------------

Fa0/24 Desg FWD 200000 128 P2p False

Fa0/10 Desg FWD 200000 128 P2p False

MST 2 vlans map : 30, 40

Region Root Priority 4096

Address 001a.a979.b880

this bridge is region root

Bridge ID Priority 32768

Address 001a.a979.bc44

Interface Role Sts Cost Prio Type OperEdge

---------------- ---- --- ---------- -------- ----- ---------------

Fa0/24 Altn BLK 200000 128 P2p False

Fa0/10 Root FWD 200000 128 P2p False

Ruijie#show spanning-tree mst 1 //查看MST实例1

###### MST 1 vlans mapped : 10, 20

BridgeAddr : 001a.a979.bc44

Priority: 4096

TimeSinceTopologyChange : 0d:0h:0m:56s

TopologyChanges : 9

DesignatedRoot : 1001.001a.a979.bc44

RootCost : 0

RootPort : 0


一、组网需求

某公司新建网络，采购了路由器、核心交换机、POE交换机、无线设备（AP、AC）等设备，内网涉及到有线办公网络、无线办公网络、财务专用网络、监控网络等。整网需求如下：

1、要求将有线办公网络、无线办公网络、财务专用网络、监控网络区分开；

2、有线办公网络、无线办公网络的用户需要自动获取IP，财务专用网络、监控网络的用户需要手动配置IP（静态IP）；

3、只允许有线办公网络可以访问财务网络，其余网络之间均可以互访；

二、组网拓扑

交换机管理VLAN 10：192.168.10.0/24

AP管理 VLAN 20：192.168.20.0/24

无线用户 VLAN 30： 192.168.30.0 /24

办公网络 VLAN 40： 192.168.40.0 /24

财务网络 VLAN 50： 192.168.50.0/24

监控网络 VLAN 60： 192.168.60.0/24

三、配置要点

1、配置出口路由器：

1）配置上网，并写回指路由；

2）保存配置；

2、配置核心交换机（这里以S5750-E为例）：

1）VLAN及SVI配置：创建对应的VLAN ，并且针对每个VLAN创建对应的三层接口（SVI口）并配置IP；

2）接口配置：

2.1）AC（无线控制器）是直连在核心交换机上的，核心交换机和AC（无线控制器）互联接口配置为TRUNK（案例中为G0/1口），并对TRUNK进行修剪，只允许必要的VLAN通过：

2.2）核心交换机和监控服务器互联的接口（案例中为G0/2口），配置为ACCESS接口，并划分到对应VLAN：

2.3）核心交换机与接入交换机互联的接口（案例中为G0/3口），配置成TRUNK接口，并对TRUNK接口进行修剪，只允许必要的VLAN通过：

2.4）核心交换机和出口路由器互联的接口配置为No Switchport口（案例中为G0/24口），并配置IP；

3）路由配置：核心交换机上配置默认路由，下一跳为出口网关设备与核心交换机互连接口的IP；

4）Telnet登录管理配置：核心交换机上配置Enable密码，同时配置VTY等让交换机可以被Telnet登录管理；

5）DHCP配置：核心交换机上配置DHCP功能，为用户动态分配地址；

6）ACL配置：核心交换机上通过配置ACL，只允许有线办公网络访问财务网络，其余网络之间均可以互访；

7）保存配置

3、配置接入交换机（这里以S2928G-24P为例）：

1）VLAN及SVI配置：创建对应的VLAN，并且针对管理VLAN创建对应的三层接口（SVI口）并配置IP；

2）接口配置：

2.1）接入交换机与核心交换机互联的接口（案例中为G0/24口），配置成TRUNK接口，并对TRUNK接口进行修剪，只允许必要的VLAN通过；

2.2）接入交换机连接办公（案例中为G0/1-6）、财务（案例中为G0/7-12）、监控等终端的接口（G0/13），配置为ACCESS接口，并划分到对应VLAN；

2.3）接入交换机与无线AP互联接口的配置，会因为无线AP是本地转发还是集中转发模式而有所区别：

2.3.1）本地转发，无线AP的接口（G0/14-20）配置为TRUNK接口，Native VLAN为无线管理网段VLAN，对TRUNK进行VLAN裁剪，只允许无线AP管理VLAN（VLAN20）及无线用户VLAN（VLAN30）通过；

2.3.2）集中转发，无线AP的接口（G0/14-20）配置为ACCESS接口，ACCESS接口对应的VLAN为无线AP管理VLAN20；

3）接入交换机上配置默认路由，下一跳为核心交换机与接入交换机互连接口管理VLAN的地址（即核心交换机上SVI10的IP地址）；

4）Telnet登录管理配置：接入交换机上配置Enable密码，同时配置VTY等让交换机可以被Telnet登录管理；

5）保存配置

4、AP和AC按照部署模式根据无线实施一本通进行相关配置部署


四、配置步骤

1、配置出口路由器

1）配置上网，并写回指路由：

Ruijie>en

Ruijie#conf t

Ruijie(config)#int g0/1

Ruijie(config-if-GigabitEthernet 0/1)#ip address 10.10.10.1 255.255.255.0

Ruijie(config-if-GigabitEthernet 0/1)#exit

Ruijie(config)# ip route 192.168.0.0 255.255.0.0 10.10.10.2 //配置回指路由，因为内网用户都属于192.168.0.0/16网段

2）保存配置

Ruijie(config)#exit

Ruijie#write

注：出口路由器上其他的配置可参照出口路由器对应的配置文档配置


四、配置步骤

2、配置核心交换机（这里以S5750-E为例）：

1）创建对应的VLAN ，并且针对每个VLAN创建对应的三层接口（SVI口）并配置IP：

Ruijie>en

Ruijie# conf t

Ruijie(config)#vlan 10 //创建交换机管理VLAN，VLAN10

Ruijie(config-vlan)#vlan 20 //创建AP管理VLAN，VLAN20

Ruijie(config-vlan)#vlan 30 //创建无线用户VLAN，VLAN30

Ruijie(config-vlan)#vlan 40 //创建办公网络VLAN，VLAN40

Ruijie(config-vlan)#vlan 50 //创建财务网络VLAN，VLAN50

Ruijie(config-vlan)#vlan 60 //创建监控网络VLAN，VLAN60

Ruijie(config-vlan)#exit

Ruijie(config)#int vlan 10 //针对交换机管理VLAN创建对应的三层接口（SVI口）并配置IP 192.168.10.1/24

Ruijie(config-if-VLAN 10)#ip add 192.168.10.1 255.255.255.0

Ruijie(config-if-VLAN 10)#exit

Ruijie(config)#int vlan 20 //针对AP管理VLAN创建对应的三层接口（SVI口）并配置IP 192.168.20.1/24

Ruijie(config-if-VLAN 20)#ip add 192.168.20.1 255.255.255.0

Ruijie(config-if-VLAN 20)#exit

Ruijie(config)#int vlan 30 //针对无线用户VLAN创建对应的三层接口（SVI口）并配置IP 192.168.30.1/24

Ruijie(config-if-VLAN 30)#ip add 192.168.30.1 255.255.255.0

Ruijie(config-if-VLAN 30)#exit

Ruijie(config)#int vlan 40 //针对办公网络VLAN创建对应的三层接口（SVI口）并配置IP 192.168.40.1/24

Ruijie(config-if-VLAN 40)#ip add 192.168.40.1 255.255.255.0

Ruijie(config-if-VLAN 40)#exit

Ruijie(config)#int vlan 50 //针对财务网络VLAN创建对应的三层接口（SVI口）并配置IP 192.168.50.1/24

Ruijie(config-if-VLAN 50)#ip add 192.168.50.1 255.255.255.0

Ruijie(config-if-VLAN 50)#exit

Ruijie(config)#int vlan 60 //针对监控网络VLAN创建对应的三层接口（SVI口）并配置IP 192.168.60.1/24

Ruijie(config-if-VLAN 60)#ip add 192.168.60.1 255.255.255.0

Ruijie(config-if-VLAN 60)#exit

2）接口配置：

2.1）AC（无线控制器）是直连在核心交换机上的，核心交换机和AC（无线控制器）互联接口配置为TRUNK（案例中为G0/1口），并对TRUNK进行修剪，只允许必要的VLAN通过：

Ruijie(config)#int g0/1

Ruijie(config-if-GigabitEthernet 0/1)#switchport mode trunk //将与AC（无线控制器）互联接口G0/1配置为TRUNK

Ruijie(config-if-GigabitEthernet 0/1)# switchport trunk allowed vlan remove 1-9,11-19,21-29,31-39,41-49,51-59,61-4094

//TRUNK默认允许VLAN 1-4094通过，对TRUNK进行修剪，只允许VLAN10,20,30,40,50,60通过

Ruijie(config-if-GigabitEthernet 0/1)#exit

2.2）核心交换机和监控服务器互联的接口（案例中为G0/2口），配置为ACCESS接口，并划分到对应VLAN：

Ruijie(config)#int g0/2

Ruijie(config-if-GigabitEthernet 0/2)#switchport mode access //将与监控服务器互联的接口G0/2配置为ACCESS

Ruijie(config-if-GigabitEthernet 0/2)# switchport access vlan 60 //将与监控服务器互联的接口G0/2划入VLAN 60

Ruijie(config-if-GigabitEthernet 0/2)#exit

2.3）核心交换机与接入交换机互联的接口（案例中为G0/3口），配置成TRUNK接口，并对TRUNK接口进行修剪，只允许必要的VLAN通过：

Ruijie(config)#int g0/3

Ruijie(config-if-GigabitEthernet 0/3)#switchport mode trunk //将与接入交换机互联的接口G0/1配置为TRUNK

Ruijie(config-if-GigabitEthernet 0/3)# switchport trunk allowed vlan remove 1-9,11-19,21-29,31-39,41-49,51-59,61-4094

//TRUNK默认允许VLAN 1-4094通过，对TRUNK进行修剪，只允许VLAN10,20,30,40,50,60通过

Ruijie(config-if-GigabitEthernet 0/1)#exit

2.4）核心交换机和出口路由器互联的接口配置为No Switchport（案例中为G0/24口），并配置IP：

Ruijie(config)#int g0/24 //上联口连接路由器的接口

Ruijie(config-if-GigabitEthernet 0/24)#no switchport //将与口路由器互联的接口G0/24配置为No Switchport

Ruijie(config-if-GigabitEthernet 0/24)#ip add 10.10.10.2 255.255.255.0 //将与口路由器互联的接口G0/24配置IP 10.10.10.2/24

Ruijie(config-if-GigabitEthernet 0/24)#exit

3）路由配置：核心交换机上配置默认路由，下一跳为出口网关设备与核心交换机互连接口的IP：

Ruijie(config)#ip route 0.0.0.0 0.0.0.0 10.10.10.1 //配置默认路由，下一跳为出口网关设备与核心交换机互连接口的IP10.10.10.1

4）Telnet登录管理配置：核心交换机上配置Enable密码，同时配置VTY等让交换机可以被Telnet登录管理；

Ruijie(config)#enable password ruijie //配置Enable密码为ruijie

Ruijie(config)#line vty 0 4

Ruijie(config-line)#password ruijie //配置Telnet密码为ruijie

Ruijie(config-line)#exit

4）DHCP配置：核心交换机上配置DHCP功能，为用户动态分配地址：

Ruijie(config)#service dhcp //启用DHCP务

Ruijie(config)#ip dhcp pool AP //为AP的管理网段创建DHCP地址池，名字为AP，该地址池中需要配置option，不需要配置DNS

Ruijie(dhcp-config)#option 138 ip 1.1.1.1 //这里的1.1.1.1为AC上与AP建立隧道的地址

Ruijie(dhcp-config)#network 192.168.20.0 255.255.255.0 //为AP的管理网段动态分配192.168.20.0/24网段的地址

Ruijie(dhcp-config)#default-router 192.168.20.1 //AP管理网段的网关地址为192.168.20.1

Ruijie(dhcp-config)#exit

Ruijie(config)#ip dhcp pool wuxian //为无线用户创建DHCP地址池，名字为wuxian

Ruijie(dhcp-config)#network 192.168.30.0 255.255.255.0 //为无线用户动态分配192.168.30.0/24网段的地址

Ruijie(dhcp-config)#dns-server 114.114.114.114 8.8.8.8 //为无线用户分配2个DNS地址，分别为114.114.114.114和8.8.8.8

Ruijie(dhcp-config)#default-router 192.168.30.1 //无线用户的网关地址为192.168.30.1

Ruijie(dhcp-config)#exit

Ruijie(config)#ip dhcp pool youxian //为有线用户创建DHCP地址池，名字为youxian

Ruijie(dhcp-config)#network 192.168.40.0 255.255.255.0 //为有线用户动态分配192.168.40.0/24网段的地址

Ruijie(dhcp-config)#dns-server 114.114.114.114 8.8.8.8 //为有线用户分配2个DNS地址，分别为114.114.114.114和8.8.8.8

Ruijie(dhcp-config)#default-router 192.168.40.1 //有线用户的网关地址为192.168.40.1

Ruijie(dhcp-config)#exit

5）ACL配置：核心交换机上通过配置ACL，只允许有线办公网络访问财务网络，其余网络之间均可以互访；

Ruijie(config)#ip access-list extended 100 //创建扩展访问控制列表，ACL列表名为100

Ruijie(config-ext-nacl)#deny ip 192.168.50.0 0.0.0.255 192.168.20.0 0.0.0.255 //阻断财务网段192.168.50.0/24和AP网段192.168.20.0/24互访

Ruijie(config-ext-nacl)#deny ip 192.168.50.0 0.0.0.255 192.168.30.0.0 0.0.0.255 //阻断财务网段192.168.50.0/24和无线网段192.168.30.0/24互访

Ruijie(config-ext-nacl)#deny ip 192.168.50.0 0.0.0.255 192.168.60.0 0.0.0.255 //阻断财务网段192.168.50.0/24和监控网段192.168.60.0/24互访

Ruijie(config-ext-nacl)#permit ip any any //放通其他所有流量

Ruijie(config-ext-nacl)#exit

Ruijie(config)#int vlan 50

Ruijie(config-if-VLAN 50)#ip access-group 100 in //在SVI 50（财务网络网关）的in方向调用ACL100

Ruijie(config)#exit

6）保存配置

Ruijie(config)#exit

Ruijie#write


3、配置接入交换机（这里以S2928G-24P为例）：

1）VLAN及SVI配置：创建对应的VLAN，并且针对管理VLAN创建对应的三层接口（SVI口）并配置IP；

Ruijie>en

Ruijie# conf t

Ruijie(config)#vlan 10 //创建交换机管理VLAN，VLAN10

Ruijie(config-vlan)#vlan 20 //创建AP管理VLAN，VLAN20

Ruijie(config-vlan)#vlan 30 //创建无线用户VLAN，VLAN30

Ruijie(config-vlan)#vlan 40 //创建办公网络VLAN，VLAN40

Ruijie(config-vlan)#vlan 50 //创建财务网络VLAN，VLAN50

Ruijie(config-vlan)#vlan 60 //创建监控网络VLAN，VLAN60

Ruijie(config-vlan)#exit

Ruijie(config)#int vlan 10 //针对交换机管理VLAN创建对应的三层接口（SVI口）并配置IP 192.168.10.1/24

Ruijie(config-if-VLAN 10)#ip add 192.168.10.2 255.255.255.0

Ruijie(config-if-VLAN 10)#exit

2）接口配置：

2.1）接入交换机与核心交换机互联的接口，配置成TRUNK接口（案例中为G0/24口），，并对TRUNK接口进行修剪，只允许必要的VLAN通过：

Ruijie(config)#int g0/24

Ruijie(config-if-GigabitEthernet 0/24)#switchport mode trunk //将与接入交换机互联的接口G0/1配置为TRUNK

Ruijie(config-if-GigabitEthernet 0/24)# switchport trunk allowed vlan remove 1-9,11-19,21-29,31-39,41-49,51-59,61-4094

//TRUNK默认允许VLAN 1-4094通过，对TRUNK进行修剪，只允许VLAN10,20,30,40,50,60通过

Ruijie(config-if-GigabitEthernet 0/24)#exit

2.2）接入交换机连接办公（案例中为G0/1-6）、财务（案例中为G0/7-12）、监控等终端的接口（G0/13），配置为ACCESS接口，并划分到对应VLAN：

Ruijie(config)#interface range gigabitEthernet 0/1-6 //批量化配置接口，G0/1-6口是连接办公终端的，将G0/1-6口都配置为ACCESS口，并划入VLAN40

Ruijie(config-if-range)#switchport mode access //将G0/1-6口都配置为ACCESS口，用来连接办公终端

Ruijie(config-if-range)#switchport access vlan 40 //将与办公终端互联的接口G0/1-6口划入VLAN 40

Ruijie(config-if-range)#exit

Ruijie(config)#interface range gigabitEthernet 0/7-12 //批量化配置接口，G0/7-12口是连接财务终端的，将G0/7-12口都配置为ACCESS口，并划入VLAN50

Ruijie(config-if-range)#switchport mode access //将G0/7-12口都配置为ACCESS口，用来连接财务终端的

Ruijie(config-if-range)#switchport access vlan 50 //将与财务终端的互联的接口G0/7-12口划入VLAN 50

Ruijie(config-if-range)#exit

Ruijie(config)#interface gigabitEthernet 0/13 //G0/13口是连接监控终端的，将G0/13口都配置为ACCESS口，并划入VLAN60

Ruijie(config-if)#switchport mode access //将G0/13口都配置为ACCESS口，用来连接监控终端

Ruijie(config-if)#switchport access vlan 60 //将与监控终端互联的接口G0/13口划入VLAN 60

Ruijie(config-if)#exit

2.3）接入交换机与无线AP互联接口的配置，会因为无线AP是本地转发还是集中转发模式而有所区别：

2.3.1）本地转发，无线AP的接口（G0/14-20）配置为TRUNK接口，Native VLAN为无线管理网段VLAN，对TRUNK进行VLAN裁剪，只允许无线AP管理VLAN及无线用户VLAN通过

Ruijie(config)#interface range gigabitEthernet 0/14-20 //批量化配置接口，G0/14-20口是连接无线AP的

Ruijie(config-if-range)#switchport mode trunk //将与无线AP的接口（G0/14-20）配置为TRUNK接口

Ruijie(config-if-range)#switchport trunk native vlan 20 //将TRUNK的Native VLAN修改为无线管理网段VLAN 20

Ruijie(config-if-range)#switchport trunk allowed vlan remove 1-19,21-29,31-4094

//TRUNK默认允许VLAN 1-4094通过，对TRUNK进行修剪，只允许无线AP管理VLAN20及无线用户VLAN30通过

Ruijie(config-if-range)#exit

2.3.2）集中转发，无线AP的接口（G0/14-20）配置为ACCESS接口，ACCESS接口对应的VLAN为无线AP管理VLAN20

Ruijie(config)#interface range gigabitEthernet 0/14-20 //批量化配置接口，G0/14-20口是连接无线AP的

Ruijie(config-if-range)#switchport mode access //将与无线AP的接口（G0/14-20）配置为ACCESS接口

Ruijie(config-if-range)#switchport access vlan 20 //将与无线AP互联接口（G0/14-20）划入VLAN20

Ruijie(config-if-range)#exit

3）路由配置：接入交换机上配置默认路由，下一跳为核心交换机与接入交换机互连接口管理VLAN的地址（即核心交换机上SVI10的IP地址）；

Ruijie(config)#ip route 0.0.0.0 0.0.0.0 192.168.10.1 //配置默认路由，下一跳为出口网关设备与核心交换机互连接口的IP192.168.10.1

4）Telnet登录管理配置：接入交换机上配置Enable密码，同时配置VTY等让交换机可以被Telnet登录管理；

Ruijie(config)#enable password ruijie //配置Enable密码为ruijie

Ruijie(config)#line vty 0 4

Ruijie(config-line)#password ruijie //配置Telnet密码为ruijie

Ruijie(config-line)#exit

5）保存配置

Ruijie(config)#exit

Ruijie#write