组网案例11.doc

目 录
第1章  Quidway系列以太网交换机简介 1
1.1  Quidway系列以太网交换机简介 1
1.1.1  低端以太网交换机 1
1.1.2  中端以太网交换机 2
1.1.3  高端以太网交换机 2
1.2  本模块简介 2
第2章  宽带小区网络 3
2.1  组网需求 3
2.2  使用CAMS构造宽带小区网络 3
2.2.1  解决方案 3
2.2.2  配置步骤 4
2.3  利用MA5200构造宽带小区网络 8
2.3.1  解决方案 8
2.3.2  配置步骤 9
第3章  中小企业/大企业分支机构组网 12
3.1  组网需求 12
3.2  利用华为交换机构造企业网络 12
3.2.1  解决方案 12
3.2.2  配置步骤 12
                                                                     第1章  Quidway系列以太网交换机简介
1.1  Quidway系列以太网交换机简介
华为推出全系列、全线速的Quidway系列以太网交换机，覆盖了从低端到高端、从接入到核心所有领域，提供丰富的二层、三层特性和统一的网管，满足客户对网络的各种要求。华为Quidway系列以太网交换机组网方式灵活，既可以应用于企业网络，也可以用于运营商的宽带网络。
& 说明：
关于交换机提供的特性，可以参见相应产品的用户手册。

1.1.1  低端以太网交换机
华为低端系列以太网交换机主要位于网络的接入层，包括S2008B、S2016B、S2026B、S2000系列（S2008、S2016、S2026、S2403H）、S3000系列（S3026、S3026 FM、S3026 FS、S3026E、S3026E FM、S3026E FS）、S2000-SI/S3000-SI系列（S2026C-SI、S202Z-SI、S3026C-SI、S3026G-SI、S3026S-SI）、S3000-EI系列（S3026C-EI、S3026G-EIS3026T-EI）、S3500系列（S3526、S3526 FM、S3526 FS、S3526E、S3526E FM、S3526E FS、S3526C、S3552）。其中S3500系列具有三层功能，是二/三层以太网交换机，其它交换机都是二层交换机。
1.1.2  中端以太网交换机
华为中端系列以太网交换机主要位于网络的汇聚层，包括S5516、S6500系列二/三层以太网交换机。
1.1.3  高端以太网交换机
华为高端以太网交换机位于网络的核心层，包括S8016路由交换机、S8500系列路由交换机等。
1.2  本模块简介
华为Quidway系列以太网交换机组网方式灵活，既可以应用于企业网络，也可以用于宽带接入，本模块主要介绍中低端以太网交换机的几种典型组网案例，包括宽带小区网、中小企业网。
                                                                                                                         第2章  宽带小区网络
2.1  组网需求
宽带小区的组网，要求可认证、可计费、可授权，同时可以进行集中管理，达到电信级的可运营、可管理的要求。
2.2  使用CAMS构造宽带小区网络
2.2.1  解决方案
在宽带小区以太网接入中，S3026以太网交换机放在小区楼道，下行直接接入用户或者通过S2000系列以太网交换机接入用户，向上可以通过GE、FE连接到小区中心设备（如S3526以太网交换机），S3526通过一个L3（如S8016等）接入到城域网。

                                                                                                                                                                      图2-1 小区以太网接入组网示意图
在组网中为了对每个用户进行认证、授权和计费，需要配置802.1x；同时需要将每个用户进行二层隔离；为了便于网管，需要配置SNMP；为了防止交换机被非法访问，交换机上需要配置对访问方式的ACL控制。
整个网络采用VLAN10作为管理VLAN，所有交换机上VLAN10接口的IP地址在同一个网段10.110.110.0/24，主RADIUS服务器的IP为10.110.10.18；网管工作站的IP地址为10.11.10.1。
在S3026上作如下配置：isolate-user-vlan配置，将小区每个用户之间进行二层隔离，每个用户分配在一个Secondary VLAN内；802.1x认证配置，认证方式为通过RADIUS服务器对用户进行认证；管理VLAN配置、网管路由配置、SNMP配置、各种访问方式的ACL控制配置；hybrid端口配置。
在S3526上进行如下配置：网关配置、hybrid端口配置、SNMP配置、各种访问方式的ACL控制配置。
2.2.2  配置步骤
这里简单说明交换机上的基本配置。
& 说明：
本文仅说明交换机上的基本配置。CAMS可以在网络运行过程中对交换机进行维护和管理。关于CAMS如何对交换机进行配置请参见CAMS的用户手册，这里就不再说明。

                                                                                                                                                                                           图2-2 组网示意图
1. 配置Switch B
下面以网络中某台Switch B为例说明基本配置过程。
配置Switch B：配置isolate-user-vlan（isolate-user-vlan为VLAN5）、进行管理VLAN配置（配置管理VLAN的IP地址、一条路由）、配置802.1x认证、配置访问方式的ACL控制。管理VLAN10的IP地址为10.110.110.2，网管站的IP地址为10.11.10.1，向网管站发送数据的下一跳为10.110.110.1。
(1)        配置isolate-user-vlan。
# 配置isolate-user-vlan。
[Quidway] vlan 5
[Quidway-vlan5]isolate-user-vlan enable
[Quidway-vlan5]port ethernet 1/1
# 配置Secondary VLAN。
[Quidway] vlan 2
[Quidway-vlan2]port ethernet 0/1
[Quidway-vlan2] quit
[Quidway] vlan 3
[Quidway-vlan3]port ethernet 0/2
[Quidway-vlan3] quit
依此类推。
[Quidway] vlan 25
[Quidway-vlan25]port ethernet 0/24
[Quidway-vlan25] quit
# 配置isolate-user-vlan和Secondary VLAN间的映射关系。
[Quidway]isolate-user-vlan 5 secondary 2 to 25
(2)        配置管理VLAN及路由
# 管理VLAN为VLAN 10，配置其接口IP地址。
[Quidway] vlan 10
[Quidway-vlan10] quit
[Quidway] interface vlan 10
[Quidway-Vlan-interface10]ip address 10.110.110.2 255.255.255.0
# 配置路由，下一跳为10.110.110.1。
[Quidway] ip route 10.11.10.1 255.255.255.248 10.110.110.1
(3)        配置802.1x认证
# 端口和设备上启动802.1x认证。

[Quidway] dot1x
[Quidway] dot1x interface ethernet 0/1 to ethernet 0/24
# 配置802.1x认证基于MAC地址。
[Quidway] dot1x port-method macbased interface ethernet 0/1 to ethernet 0/24
[Quidway] dot1x dhcp-launch
& 说明：
缺省情况下，802.1x采用的认证方式就是基于MAC的认证方式，用户可以不用进行此项配置。

# 配置到RADIUS上进行AAA认证。
[Quidway] aaa authentication-scheme auth radius
# 配置计费失败后仍然允许用户在线。
[Quidway] aaa accounting-scheme acct1 enable online
# 配置ISP域及其属性，如计费方法、认证方法等。
[Quidway] domain risp
[Quidway-isp-risp] authen-scheme auth
[Quidway-isp-risp] acct-scheme acct1
[Quidway-isp-risp] state active
[Quidway-isp-risp] radius-scheme hostrmt
# 配置RADIUS属性（主RADIUS服务器的IP为10.110.10.18）。
[Quidway] radius scheme hostrmt
[Quidway-radius-hostrmt] primary authentication 10.110.10.18
[Quidway-radius-hostrmt] primary accounting 10.110.10.18
[Quidway-radius-hostrmt] key authentication huawei
[Quidway-radius-hostrmt] key accounting huawei
(4)        配置上行端口Ethernet1/1为hybrid端口
# 配置该端口为hybrid端口，允许VLAN5和VLAN10的报文通过。
[Quidway] interface Ethernet1/1
[Quidway-Ethernet1/1] port link-type hybrid
[Quidway-Ethernet1/1] port hybrid pvid vlan 5
[Quidway-Ethernet1/1] port hybrid vlan 10 tagged
(5)        配置SNMP
# 进入全局配置模式。
system-view
# 设置团体名和访问权限。
[Quidway] snmp-agent community read huawei
[Quidway] snmp-agent community write beiyan
# 设置管理员标识、联系方法以及以太网交换机的物理位置。
[Quidway] snmp-agent sys-infocontact Mr.Wang-Tel:3306
[Quidway] snmp-agent sys-info location telephone-closet,3rd-floor
# 允许发送Trap。
[Quidway] snmp-agent trap enable
# 定义访问控制列表。
[Quidway] acl number 1
[Quidway-acl-basic-1] rule 0 permit source 10.11.10.1 0
# 创建SNMP组，并定义访问控制。
[Quidway] snmp-agent group v3 huaweigroup acl 1
# 为SNMP组添加一个用户huaweimanager，设置认证密码为hello，并配置访问控制，只允许网管工作站访问交换机。
[Quidway]snmp-agent usm-user v3 huaweimanager huaweigroup auth md5 huawei acl 1
(6)        配置对TELNET用户的访问控制，仅允许IP为10.110.110.46和10.110.110.52的用户通过TELNET访问交换机。
# 定义基本访问控制列表。
[Quidway] acl number 20
[Quidway-acl-basic-20] rule 0 permit source 10.110.110.46 0
[Quidway-acl-basic-20] rule 1 permit source 10.110.110.52 0
# 引用访问控制列表。
[Quidway] user-interface vty 0 4
[Quidway-ui-vty0-4] acl 20 inbound
(7)        配置对HTTP用户的访问控制，仅允许IP地址为10.110.110.46的主机通过WEB方式访问交换机。
# 定义基本访问控制列表。
[Quidway] acl number 30
[Quidway-acl-basic-30] rule 0 permit source 10.110.110.46 0
# 引用访问控制列表。
[Quidway]ip http acl 30
2. 配置Switch A
下面以一台Switch A为例介绍配置。
(1)        配置Ethernet0/1为hybrid端口。
# 配置Switch A的端口Ethernet0/1为hybrid端口，并允许VLAN1和VLAN5的报文通过。
[Quidway] interface Ethernet0/1
[Quidway-Ethernet0/1] port link-type hybrid
[Quidway-Ethernet0/1] port hybrid pvid vlan 5
[Quidway-Ethernet0/1] port hybrid vlan 1 tagged
(2)        配置VLAN5的接口IP地址
# 创建VLAN5。
[Quidway] vlan 5
# 配置VLAN5的接口IP地址。
[Quidway] interface vlan 5
[Quidway-Vlan-interface5]ip address 10.110.11.1 255.255.255.192
# 创建VLAN10。
[Quidway] vlan 10
# 配置VLAN10的接口IP地址。
[Quidway] interface vlan 10
[Quidway-Vlan-interface10]ip address 10.110.110.1 255.255.255.0
(3)        配置SNMP
# 进入全局配置模式。
system-view
# 设置团体名和访问权限。
[Quidway] snmp-agent community read huawei
[Quidway] snmp-agent community write beiyan
# 设置管理员标识、联系方法以及以太网交换机的物理位置。
[Quidway] snmp-agent sys-info contact Mr.Wang-Tel:3306
[Quidway] snmp-agent sys-info location telephone-closet,3rd-floor
# 允许发送Trap。
[Quidway] snmp-agent trap enable
# 定义访问控制列表，以便进行对通过SNMP登录交换机的用户进行ACL控制。
[Quidway] acl number 1
[Quidway-acl-basic-1] rule 0 permit source 10.11.10.1 0
# 创建SNMP组，并定义访问控制。
[Quidway] snmp-agent group v3 huaweigroup acl 1
# 为SNMP组添加一个用户huaweimanager，设置认证密码为hello，并配置访问控制，只允许网管工作站访问交换机。
[Quidway] snmp-agent usm-user v3 huaweimanager huaweigroup auth md5 huawei acl 1
(4)        配置对TELNET用户的访问控制，仅允许IP为10.110.110.46和10.110.110.52的用户通过TELNET访问交换机。
# 定义基本访问控制列表。
[Quidway] acl number 20
[Quidway-acl-basic-20] rule 0 permit source 10.110.110.46 0
[Quidway-acl-basic-20] rule 1 permit source 10.110.110.52 0
# 引用访问控制列表。
[Quidway] user-interface vty 0 4
[Quidway-ui-vty0-4] acl 20 inbound
(5)        配置对HTTP用户的访问控制，仅允许IP地址为10.110.110.46的主机通过WEB方式访问交换机。
# 定义基本访问控制列表。
[Quidway] acl number 30
[Quidway-acl-basic-30] rule 0 permit source 10.110.110.46 0
# 引用访问控制列表。
[Quidway]ip http acl 30
& 说明：
Switch A可能下挂很多Switch B，需要配置多个VLAN和VLAN接口IP地址。本例仅以配置VLAN5为例。
在实际组网中一般采用S2000系列（如S2008、S2016、S2403H）接入用户。

2.3  利用MA5200构造宽带小区网络
2.3.1  解决方案
在宽带城域网组网图中，S3026以太网交换机作为宽带城域网的小区接入层交换机，通过与管理设备MA5200的配合实现宽带接入服务，两者之间的通信可通过HGMP（Huawei Group Management Protocol）来承载。通过S3026的HGMP代理程序，管理设备MA5200可以实现对S3026的集中管理。MA5200可以通过上行高速口直接连接到城域网或骨干网，多台S3026上行直接挂在MA5200的100Mbit/s以太网光接口上，下行接到小区用户的计算机上。
“MA5200”加“S3026”的组网具备了用户管理、认证、鉴权和按时按量计费等多方面的的优势，使之既有以太网接入经济、成熟的特色，又有电信级的用户管理和运营能力，适用于新建小区和商用大楼，也可以运用于商业网的宽带化。

                                                                                                                                                                               图2-3 宽带接入组网示意图
2.3.2  配置步骤
MA5200的配置可以参见MA5200的用户手册，这里不再说明。S3026除了进行一些基本配置以外，还需要启动HGMP Client，以实现集中管理特性。
& 说明：
S3026以太网交换机作为HGMP Client时，必须要通过固定的上行端口与管理设备相连。这些上行端口为：Ethernet0/24、Ethernet1/1、Ethernet2/1。

1. 配置S3026
下面以网络中某台S3026为例说明基本配置过程。
配置一台S3026：进行管理VLAN配置、配置802.1x认证、配置访问方式的ACL控制。管理VLAN10的IP地址为10.110.110.2，网管站的IP地址为10.11.10.1。
(1)        配置VLAN。
[Quidway] vlan 2
[Quidway-vlan2]port ethernet 0/1
[Quidway-vlan2] quit
[Quidway] vlan 3
[Quidway-vlan3]port ethernet 0/2
[Quidway-vlan3] quit
依此类推。
[Quidway] vlan 25
[Quidway-vlan25]port ethernet 0/24
[Quidway-vlan25] quit
(2)        配置管理VLAN及路由
# 管理VLAN为VLAN 10，配置其接口IP地址。
[Quidway] vlan 10
[Quidway-vlan10] quit
[Quidway] interface vlan 10
[Quidway-Vlan-interface10]ip address 10.110.110.2 255.255.255.0
# 配置路由，下一跳为10.110.110.1。
[Quidway] ip route 10.11.10.1 255.255.255.248 10.110.110.1
(3)        配置802.1x认证
# 端口和设备上启动802.1x认证。
[Quidway] dot1x
[Quidway] dot1x interface ethernet 0/1 to ethernet 0/24
# 配置802.1x认证基于MAC地址。
[Quidway] dot1x port-method macbased interface ethernet 0/1 to ethernet 0/24
[Quidway] dot1x dhcp-launch

& 说明：
缺省情况下，802.1x采用的认证方式就是基于MAC的认证方式，用户可以不用进行此项配置。

# 配置到RADIUS上进行AAA认证。
[Quidway] aaa authentication-scheme auth radius
# 配置计费失败后仍然允许用户在线。
[Quidway] aaa accounting-scheme acct1 enable online
# 配置ISP域及其属性，如计费方法、认证方法等。
[Quidway] domain risp
[Quidway-isp-risp] authen-scheme auth
[Quidway-isp-risp] acct-scheme acct1
[Quidway-isp-risp] state active
[Quidway-isp-risp] radius-scheme hostrmt
# 配置RADIUS属性（主RADIUS服务器的IP为10.110.10.18）。
[Quidway] radius scheme hostrmt
[Quidway-radius-hostrmt] primary authentication 10.110.10.18
[Quidway-radius-hostrmt] primary accounting 10.110.10.18
[Quidway-radius-hostrmt] key authentication huawei
[Quidway-radius-hostrmt] key accounting huawei
(4)        配置上行端口Ethernet1/1为trunk端口
# 配置该端口为trunk端口，允许所有的报文通过。
[Quidway] interface Ethernet1/1
[Quidway-Ethernet1/1] port link-type trunk
[Quidway-Ethernet1/1] port trunk pvid vlan 5
[Quidway-Ethernet1/1] port trunk permit vlan all
(5)        配置SNMP
# 进入全局配置模式。
system-view
# 设置团体名和访问权限。
[Quidway] snmp-agent community read huawei
[Quidway] snmp-agent community write beiyan
# 设置管理员标识、联系方法以及以太网交换机的物理位置。
[Quidway] snmp-agent sys-info contact Mr.Wang-Tel:3306
[Quidway] snmp-agent sys-info location telephone-closet,3rd-floor
# 允许发送Trap。
[Quidway] snmp-agent trap enable
# 定义访问控制列表。
[Quidway] acl number 1
[Quidway-acl-basic-1] rule 0 permit source 10.11.10.1 0
# 创建SNMP组，并定义访问控制。
[Quidway] snmp-agent group v3 huaweigroup acl 1
# 为SNMP组添加一个用户huaweimanager，设置认证密码为hello，并配置访问控制，只允许网管工作站访问交换机。
[Quidway] snmp-agent usm-user v3 huaweimanager huaweigroup auth md5 huawei acl 1
(6)        配置对TELNET用户的访问控制，仅允许IP为10.110.110.46和10.110.110.52的用户通过TELNET访问交换机。
# 定义基本访问控制列表。
[Quidway] acl number 20
[Quidway-acl-basic-20] rule 0 permit source 10.110.110.46 0
[Quidway-acl-basic-20] rule 1 permit source 10.110.110.52 0
# 引用访问控制列表。
[Quidway] user-interface vty 0 4
[Quidway-ui-vty0-4] acl 20 inbound
(7)        配置对HTTP用户的访问控制，仅允许IP地址为10.110.110.46的主机通过WEB方式访问交换机。
# 定义基本访问控制列表。
[Quidway] acl number 30
[Quidway-acl-basic-30] rule 0 permit source 10.110.110.46 0
引用访问控制列表。
[Quidway]ip http acl 30
# 启动HGMP client
通过以下步骤在S3026上启动HGMP Client：
(8)        重新启动交换机
(9)        在以太网交换机启动的时候使用组合键“Ctrl＋B”进入Bootrom菜单。
(10)    选择选项“6. Set switch HGMP mode”使交换机选择HGMP模式启动。
(11)    系统会提示当前HGMP模式是关闭的，并询问是否确认打开HGMP模式“Current HGMP mode is OFF. Are you sure to turn on HGMP mode? Yes or No(Y/N)”。
(12)    回答“Y”，则系统提示HGMP模式被打开，显示“Turn on HGMP mode successfully!”。此时系统重新进入Bootrom主菜单。用户可以选择选项“0. Reboot”来启动以太网交换机。
S3026上启动了HGMP Client后，MA5200可以作为管理设备对下挂的S3026进行集中管理。

                                                                           第3章  中小企业/大企业分支机构组网
3.1  组网需求
中小企业的组网，没有认证、计费、授权等需求，只要保证内部网络安全、各个部门限制相互访问就可以了。
3.2  利用华为交换机构造企业网络
3.2.1  解决方案
在中小企业或大企业的分支机构中，二层以太网交换机作为二层汇聚交换机，可以直接接用户，上行连接到二/三层以太网交换机，可以通过路由器连接到总部或其它分支机构的网络。

                                                                                                                                                       图3-1 中小企业、大企业分支机构组网示意图
在组网中将每个部门划分在一个VLAN中；为了便于网管，需要配置SNMP；为了防止交换机被非法访问，交换机上需要配置对访问方式的ACL控制。
整个网络采用VLAN10作为管理VLAN，所有交换机上VLAN10接口的IP地址在同一个网段10.110.110.0/24，主RADIUS服务器的IP为10.110.10.18；网管工作站的IP地址为10.11.10.1。路由器的IP地址为10.100.11.1，二/三层交换机通过VLAN2接口与路由器相连，VLAN2接口的IP地址为10.100.11.2。
在二层交换机上作如下配置：管理VLAN配置、网管路由配置、SNMP配置、各种访问方式的ACL控制配置；hybrid端口配置。
在二/三层交换机上进行如下配置：网关配置、hybrid端口配置、SNMP配置、各种访问方式的ACL控制配置、各个部门间的相互访问的控制。
3.2.2  配置步骤
根据作好的网络规划，对各个交换机进行配置。这里仅简单说明交换机上的配置。

                                                                                                                                                                           图3-2 S3026的实际组网情况
1. 配置Switch B
下面以网络中某部门的Switch B为例说明基本配置过程。此部门所有的计算机配置在一个VLAN内。
(1)        配置VLAN。
[Quidway] vlan 5
[Quidway-vlan5]port ethernet 0/1 to Ethernet 0/24 ethernet 1/1
[Quidway-vlan5] quit
(2)        配置管理VLAN及路由
# 管理VLAN为VLAN 10。
[Quidway] interface vlan 10
[Quidway-Vlan-interface10]ip address 10.110.110.2 255.255.255.0
# 配置路由，下一跳为10.110.110.1。
[Quidway] ip route 10.11.10.1 255.255.255.248 10.110.110.1
(3)        配置上行端口Ethernet1/1为hybrid端口，允许VLAN10和VLAN5的报文通过。
[Quidway] interface Ethernet1/1
[Quidway-Ethernet1/1] port link-type hybrid
[Quidway-Ethernet1/1] port hybrid pvid vlan 5
[Quidway-Ethernet1/1] port hybrid vlan 10 tagged
(4)        配置SNMP
# 进入全局配置模式。
system-view
# 设置团体名和访问权限。
[Quidway] snmp-agent community read huawei
[Quidway] snmp-agent community write beiyan
# 设置管理员标识、联系方法以及以太网交换机的物理位置。
[Quidway] snmp-agent sys-info contact Mr.Wang-Tel:3306
[Quidway] snmp-agent sys-info location telephone-closet,3rd-floor
# 允许发送Trap。
[Quidway] snmp-agent trap enable
# 定义访问控制列表，以便进行对通过SNMP访问交换机的用户进行ACL控制。
[Quidway] acl number 1
[Quidway-acl-basic-1] rule 0 permit source 10.11.10.1 0
# 创建SNMP组，并定义访问控制。
[Quidway] snmp-agent group v3 huaweigroup acl 1
# 为SNMP组添加一个用户huaweimanager，设置认证密码为hello，并配置访问控制，只允许网管工作站访问交换机。
[Quidway]snmp-agent usm-user v3 huaweimanager huaweigroup auth md5 huawei acl 1
(5)        配置对TELNET用户的访问控制，仅允许IP为10.110.110.46和10.110.110.52的用户通过TELNET访问交换机。
# 定义基本访问控制列表。
[Quidway] acl number 20
[Quidway-acl-basic-20] rule 0 permit source 10.110.110.46 0
[Quidway-acl-basic-20] rule 1 permit source 10.110.110.52 0
# 引用访问控制列表。
[Quidway] user-interface vty 0 4
[Quidway-ui-vty0-4] acl 20 inbound
(6)        配置对HTTP用户的访问控制，仅允许IP地址为10.110.110.46的主