-
实用标准文档
锐捷网络
交换机常用操作命令手册
目
录
一、交换机配置模式介绍
3
二、交换机基本配置
3
2.1
接口介质类型配置
4
2.2
接口速度
/
双工配置
5
2.3 VLAN
配置
6
2.4
端口镜像
9
2.5
端口聚合
10
2.6
交换机堆叠
11
2.7 ACL
配置
12
2.8
端口安全
14
2.9
交换机防攻击配置
16
2.10 DHCP
配置
21
2.11
三层交换机配置
22
三、交换机常用查看命令
24
一、交换机配置模式介绍
交换机配置模式主要有：
?
用户模式：此模式只可以简单的查看一些交换机的配置和一些简单的修改。
Switch>
?
特权模式
：
此模式可以查看一些交换机的配置，
后面讲述的很多
show
命令便是在此模式下进行的，还可
以对
一些简单的设置配置，例如时间。
Switch>
enable //
在用户模式下输入
enable
将进入配置模式
Switch
＃
?
全局配置模式：此模式下可以进行对交换机的配置，例如：
命名、配置密码、设路由等。
文案大全
实用标准文档
Switch
＃
configure
erminal //
特权模式下可以通过
config
terminal
命令进入配置模式
Switch(config)#
?
端口配置模式：此模式下对端口进行配置，如配置端口
ip
等。
Switch(config)#interface
gigabitEthernet 1/1
//
配置模式下输入
interface
gigabitEthernet 1/1
进入到端口
g
1/1
接口模式。
二、交换机基本配置
?
交换机命名：
在项目实施的时候，建
议为处于不同位置的交换机命名，便于记忆，可提高后期管理效率。
switch(config)#hostname ruijie
//ruijie
为该交换机的名字
?
交换机配置管理密码：
配置密码可以提高交换机的安全性，另外，
telnet
登录交换机的时候，必须要求有
telnet
管理密码
。
switch (config)#enable
secret level 1 0 rg //
配置
teln
et
管理密码为
rg
，其中
1
表示
telnet
密码
，
0
表示密码不加密
switch (config)#enable secret level 15
0 rg //
配置特权模式下的管理密码
rg
，其中
15
表示为特权
密码<
/p>
?
交换机配置管理
IP
switch
(config)#interface vlan 1 //
假设管理
VLAN
为
VLAN 1
switch (config-if)#ip address
192.168.1.1 255.255.255.0 //
给管理
< br>VLAN
配置管理
IP
地址
switch (config-if)#no
shutdown //
激活管理
IP
，养成习惯，无论配置什么设备，都使用一下这个命令
?
交换机配置网关：
switch(config)#ip default-gateway
192.168.1.254 //
假设网关地址为
192.1
68.1.254
，此命令用户二
层设备。
通过以上几个命令的配置，设备便可以实现远程管理，在项目实施时（尤其是设备
位置比较分散）特别能
提高效率。
2.1
接口介质类型配置
锐捷为了降低
SME
客户的总体拥有成本，推出
灵活选择的端口形式：电口和光口复用接口，方便用户根据
网络环境选择对应的介质类型
。
但光口和电口同时只能用其一，如图
1
，如使用了光口
1F
，则电口
1
不能使用。
图
1
接口介质类型的转换：
文案大全
实用标准文档
Switch(config)#interface
gigabitethernet 0/1
Switch(config-
if)#medium-type fiber
//
把接口工作模式改为光口
Switch(config-if)#medium-type copper
//
把接口工作模式改为电口
?
默认情况下，接口是工作在电口模式
?
在项目实施中，如果光纤模块指示灯不亮，工作模式是否正
确也是故障原因之一。
2.2
接口
速度
/
双工配置
命令格式：
Switch(config)#interface interface-id
//
进入接口配置模式
Switch(config-if)#speed {10 | 100 |
1000 | auto }
//
设置接口的速率参数，或者设置为
auto
Switch(config-if)#duplex {auto | full |
half} //
设置接口的双工模式
? 1000
只对千兆口有效；
?
默认情况下，接口的速率为
aut
o
，双工模式为
auto
。
配置实例：
实例将
gigabitethernet 0/1
的速率设为
1000M
，双工模式设为全双工：
Switch(config)#interface
gigabitethernet 0/1
Switch(config-
if)#speed 1000
Switch(config-if)#duplex
full
?
在故障处理的时候，如果遇到规律性的时断时
续或掉包，在排除其他原因后，可以考虑是否和对端设备
的速率和双工模式不匹配，尤其
是两端设备为不同厂商的时候。
?
光口不能修改速度和双工配置，只能
auto
。
2.3 VLAN
配置
<
/p>
添加
VLAN
到端口：
< br>
在交换机上建立
VLAN
：<
/p>
Switch (config)#vlan 100
//
建立
VLAN 100
Switch (config)#name ruijie //
该
VLAN
名称为
ruijie
将交换机接口划入
VLAN
100
中：
Switch
(config)#interface range f 0/1-48 //range
表示选取了系列端口
1-48
，
这
个对多个端口进行相
同配置时非常有用
Switch (config-if-range)#switchport
access vlan 100 //
将接口划到
VLAN
100
中
Switch
(config-if-range)#no switchport access vlan
//
将接口划回到默认
VLAN
1
中，即端口初始配
置
文案大全
实用标准文档
交换机端口的工作模式：
Switch(config)#interface fastEthernet
0/1
Switch(config-if)#switchport mode
access //
该端口工作在
access
模式下
Switch(config-
if)#switchport mode trunk //
该端口工作在
trunk
模式下
?
如果端口下连接的是
PC
，则该端口一
般工作在
access
模式下，默认配置为
access
模式。
?
如果端口是上联口，且交换机有划分多个
VLAN
，则该端口工作在
TRUNK
模式下。
图
2
如图
2
：端口
F0/1
、
F0/2
、
F0/3
都必须
工作在
TRUNK
模式下。
NATIVE VLAN
配置：
Switch(config)#interface fastEthernet
0/1
Switch(config-if)#switchport mode
trunk
Switch(config-if)#switchport
trunk native vlan 100
//
设置该端口
NATIVE
VLAN
为
100
?
端口只有工作在
TRUNK
模式下，才可以配置
NATIVE VLAN
；
?
在
TRUNK
上
Native VLAN
的数据是无标记的
(Untagged)
，所以即使没有在端口即使没有工作在
TRUNK
模
式下，
Nati
ve Vlan
仍能正常通讯；
?
默认情况下，锐捷交换机的
NATIVE VLAN
为
1
。建议不要更改。
VLAN
修剪配置：
Switch(config)#interface fastEthernet
0/2
Switch(config-if)#switchport trunk
allowed vlan remove 2-9,11-19,21-4094 //
设定
VLAN
要修剪的
VLAN
Switch(config-if)#no switchport trunk
allowed vlan //
取消端口下的
VLAN
修剪
图
3
如图
3
，
VLAN1
是设备默认
VLAN
，
VLAN10
和
VLAN20
是用户
VLAN
，所以需要修剪掉的
V
LAN
为
2-9,11-19,2
1-
4094
。（
4094
为
VLAN ID
的最大值）
VLAN
信息查看：
Switch#show vlan
VLAN Name
Status Ports
----
-------------------------------- ---------
-------------------------------
1
default active Fa0/1 ,Fa0/11,Fa0/12
Fa0/13,Fa0/14,Fa0/15
Fa0/16,Fa0/17,Fa0/18
文案大全
实用标准文档
Fa0/19,Fa0/20,Fa0/21
Fa0/22,Fa0/23,Fa0/24
100
VLAN0100 active Fa0/1 ,Fa0/2 ,Fa0/3
Fa0/4 ,Fa0/5 ,Fa0/6
Fa0/7
,Fa0/8 ,Fa0/9
Fa0/10
Switch#
2.4
端口镜像
端口镜像配置：
Switch
(config)# monitor session 1 destination interface
GigabitEthernet 0/2
//
配置
G0/2
为镜像端口
Switch (config)# monitor session 1
source interface GigabitEthernet 0/1 both
< br>//
配置
G0/1
为被镜像端口
，且出入双向数据均被镜像。
Switch
(config)# no monitor session 1
//
去掉镜像
1
? S21
、
S35
等系列交换机不支持镜像目的端口当作
普通用户口使用，如果需要做用户口，请将用户
MAC
与
端口绑定。
?
锐
捷
SME
交换机镜像支持一对多镜像，不支持多对多镜像。
去除
TAG
标记
：
Switch (config)# monitor
session 1 destination interface GigabitEthernet
0/2 encapsulation r
eplicate
// encapsulation replicate
表述
镜像数据不带
TAG
标记。
?
目前该功能只有
S37
、
S57
、
S86
、
S96
交换机支持，其他型号交换机不支持
。
?
锐捷交换机支持两种模式：
镜像目的
口输出报文是否带
TAG
根据源数据流输入的时候是否带
TAG
来决定。
强制所有的镜像输出报文都不带
TAG
，受限于目前芯片的限制，只支持二层转发报文不带
Tag
，
经过三层
路由的报文，镜像目的端口输出的报文会带
Tag
。
端口镜像信息查看：
S3750#sh monitor session 1
Session: 1
Source Ports:
Rx Only : None
Tx Only :
None
文案大全
实用标准文档
Both :
Fa0/1
Destination Ports: Fa0/2
encapsulation replicate: true
2.5
端口聚合
端口聚合配置：
Switch(config)#interface fastEthernet
0/1
Switch (config-if)#port-group 1 //<
/p>
把端口
f0/1
加入到聚合组
1
中。
Switch
(config-if)#no port-group 1 //
把端口
f0/1
从聚合组
1
中去掉
。
如图
4
，
端口聚合的使用可以提高交换机的上联链路带宽和起到链路冗余的作用。
图
4
? S2126G/50G
交换机最大支持的
< br>6
个
AP
，
每个
AP
最多能包含
8
个端口。
6
号
AP
只为模块
1
和模块
2
保留，
其它端口不能成为该
AP
的成员，模块
1
和模块
2
也只能成为
6
号
< br>AP
的成员。
? S2700
系列交换机最大支持的
31
个
AP
，每个
AP
最多
能包含
8
个端口。
? S3550-24/48
系列交换机最大支持的
6
个
AP
，每个
AP
最多能包含
8
个端
口。
? S3550-12G/12G+/24G
系列交换机最大支持的
12
个
AP
，每个
AP
最多能包含
8
个端口。
? S
3550-12SFP/GT
系列交换机最大支持的
12
个
AP
，每个
AP<
/p>
最多能包含
8
个端口。
< br>
? 57
系列交换机最大支持
12
个
AP
，每个
AP
最多能包含个
8
端口。
?
配置为
AP<
/p>
的端口，其介质类型必须相同。
? <
/p>
聚合端口需是连续的端口，例如避免把端口
1
和端口
24
做聚合。
端口聚合信息查看：
S3750#show aggregatePort 1 summary //
查看聚合端口
1
的信息。
< br>
AggregatePort MaxPorts SwitchPort
Mode Ports
------------- --------
---------- -------------
-------------------------------
Ag1 8
Enabled Access Fa0/1 , Fa0/2
S3750#
信息显示
AP1
的成员端口为
0/1
和
0/2
。
2.6
交换机堆叠
设置交换机优先级：
S3750(config)#device-priorit 5
< br>锐捷交换机的堆叠采用的是菊花链式堆叠，注意堆叠线的连接方法，如图
5
：
文案大全
实用标准文档
图
5
?
也可以不设置交换机优先级，设备会自动堆叠成功。
?
堆叠后，只有通过主交换机
CON
SOLE
口对堆叠组进行管理。
查看堆叠信息：
Student_dormitory_B#show member
member MAC address priority alias SWVer
HWVer
------ ---------------- --------
-------------------------------- ----- -----
1 00d0.f8d9.f0ba 10 1.61 3.2
2 00d0.f8d9.f2ef 1 1.61 3.2
3 00d0.f8ff.d38e 1 1.61 3.3
2.7 ACL
配置
ACL
配置：
配置
ACL
步骤：
建立
ACL
：
Switch(config)# Ip access-list exten
ruijie //
建立
ACL
访问控
制列表名为
ruijie
，
exten
d
表示建立
的是扩展访问控制列表。
Switch(config)#no Ip access-list exten
ruijie //
删除名为
ruijie
的
ACL
。
增加一条
ACE
项后，该
ACE<
/p>
是添加到
ACL
的最后，不支持中间插入
，所以需要调整
ACE
顺序时，必须整个
删除
ACL
后再重新配置。
添加
ACL
的规则：
Switch (config-ext-nacl)#deny icmp any
192.168.1.1 255.255.255.0
//
禁止
PING IP
地址为
192.168.
1.1
的设备。
Switch (config-ext-nacl)# deny
tcp any any eq 135 //
禁止端口号为
1
35
的应用。
Switch
(config-ext-nacl)#deny udp any any eq www //
禁止协议为
www
的应用。
Switch(config-ext-nacl)# permit ip any
any //
允许所有行为。
将
ACL
应用到具体的接口上：
Switch (config)#interface range f 0/1
Switch (config-if)#ip access-group
ruijie in //
把名为
ruijie
的
ACL
应用到端口
f
0/1
上。
Switch
(config-if)#no ip access-group ruijie in //
从接口去除
ACL
。
文案大全
实用标准文档
ACL
模版：
下面给出需要禁止的常见端口和协议（不限于此）：
Switch (config-ext-nacl)# deny tcp any
any eq 135
Switch(config-ext-nacl)#
deny tcp any any eq 139
Switch(config-
ext-nacl)# deny tcp any any eq 593
Switch(config-ext-nacl)# deny tcp any
any eq 4444
Switch(config-ext-nacl)#
deny udp any any eq 4444
Switch(config-ext-nacl)# deny udp any
any eq 135
Switch(config-ext-nacl)#
deny udp any any eq 137
Switch(config-
ext-nacl)# deny udp any any eq 138
Switch(config-ext-nacl)# deny tcp any
any eq 445
Switch(config-ext-nacl)#
deny udp any any eq 445
Switch(config-
ext-nacl)# deny udp any any eq 593
Switch(config-ext-nacl)# deny tcp any
any eq 593
Switch(config-ext-nacl)#
deny tcp any any eq 3333
Switch(config-ext-nacl)# deny tcp any
any eq 5554
Switch(config-ext-nacl)#
deny udp any any eq 5554
S2150G(config-ext-nacl)#deny udp any
any eq netbios-ss
S2150G(config-ext-
nacl)#deny udp any any eq netbios-dgm
S2150G(config-ext-nacl)#deny udp any
any eq netbios-ns
Switch(config-ext-
nacl)# permit ip any any
最后一条必须要加上
permit ip any
any
，否则可能造成网络的中断。
ACL
注意点：
?
交换机的
ACL
< br>、
802.1X
、端口安全、保护端口等共享设备硬件表
项资源，如果出现如下提示：
% Error:
Out of
Rules Resources
，则表明硬件资源不够，需删除一些
< br>ACL
规则或去掉某些应用。
?
ARP
协议为系统保留协议，即使您将一条
deny any
any
的
ACL
关联到某个接口上，交
换机也将允许该类
型报文的交换。
?
扩展访问控制列表尽量使用在靠近想要控制的目标区域的设备上。
?
如果
ACE
< br>项是先
permit
，则在最后需要手工加
deny ip any any
，如果
ACE
项是先
deny
，则在最后需要
手工加
permit ip any
any
。
文案大全
实用标准文档
ACL
信息查看：
Switch#show access-lists 1
Extended IP access list: 1
deny tcp any any eq 135
deny
tcp any any eq 136
deny tcp any any eq
137
deny tcp any any eq 138
deny tcp any any eq 139
deny
tcp any any eq 443
deny tcp any any eq
445
……
permit ip
any any
Switch#
2.8
端口安全
端口安全可以通过限制允许
访问交换机上某个端口的
MAC
地址以及
IP
来实现控制对该端口的输入。
当安全端口配置了一些安全地址后，
则除了源地址为这些安全地址的包外，
此端口将不转发其它任何报文。
可以限制一个端口
上能包含的安全地址最大个数，如果将最大个数设置为
1
，并且
为该端口配置一个安全
地址，则连接到这个口的工作站
(
其地址为配置的安全
M
地址
< br>)
将独享该端口的全部带宽。
端口安全配置：
Switch
(config)#interface range f 0/1
Switch(config-if)# switchport port-
security //
开启端口安全
Switch(config-if)# switchport port-
security //
关闭端口安全
Switch(config-if)# switchport port-
security maximum 8
//
设置端口能包含的最大安全地址数为
8
Switch(config-if)# switchport port-
security violation protect
//
设置处理违例的方式为
protect
Switch(config-if)# switchport port-
security mac-address 00d0.f800.073c ip-address
192.168.1.
1
//
在接口
fastethernet0/1
配置一个安全地址
00d0.f800.073c
，并为其绑定一个
IP
地址：
192.168.1.1
Switch(config-if)#no switchport port-
security mac-address 00d0.f800.073c ip-address
192.168.
1.1
//
删除接口上配置的安全地址
以上
配置的最大安全地址数为
8
个，
但只在
端口上绑定了一个安全地址，
所以该端口仍然能学习
7
个地址。
违例处理方式有：
文案大全