交换机端口限速基本配置
H3C交换机的端口限速基本配置
华为3com系列交换机端口限速攻略
因为Ip网络是速率共享，有时候用户用p2p软件过多消耗了局域网带宽，这时候就有必要采取措施进行端口限速咯。我们这里假设PC1和PC2的IP地址分别为10.10.1.1/24、10.10.1.2/24，目的实现在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps，我们来看看华为3com各系列交换机配置有什么不同。
S2000EI系列交换机(S2008-EI、S2016-EI和S2403H-EI):使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。
SwitchA相关配置
1. [SwitchA]interface Ethernet 0/1 //进入端口E0/1的配置视图
2. [SwitchA- Ethernet0/1]line-rate outbound 30 //对端口E0/1的出方向报文进行流量限速，限制到3Mbps
3. [SwitchA- Ethernet0/1]line-rate inbound 16 //对端口E0/1的入方向报文进行流量限速，限制到1Mbps
补充说明:报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。
S2000-SI和S3000-SI系列交换机(S2026C/Z-SI、S3026C/G/S-SI和
E026-SI) :使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。
SwitchA相关配置
1. [SwitchA]interface Ethernet 0/1 //进入端口E0/1的配置视图
2. [SwitchA- Ethernet0/1]line-rate outbound 2 //对端口E0/1的出方向报文进行流量限速，限制到6Mbps
3. [SwitchA- Ethernet0/1]line-rate inbound 1 //对端口E0/1的入方向报
文进行流量限速，限制到3Mbps
补充说明:对端口发送或接收报文限制的总速率，这里以8个级别
来表示，取值范围为1～8，含义为：端口工作在10M速率时，1～8分别表示312K，625K，938K，1.25M，2M，4M，6M，8M；端口工作在100M速率时，1～8分别表示3.12M，6.25M，9.38M，12.5M，20M，40M，60M，80M。
S3026E、S3526E、S3050、S5012、S5024系列交换机(S3026E/C/G/T、S3526E/C/EF、S3050C、S5012G/T和S5024G):使用以太网物理端口
下面的line-rate命令，对该端口的出方向报文进行流量限速；结合acl，使用以太网物理端口下面的traffic-limit命令，对端口的入方向报文
进行流量限速。
SwitchA相关配置
1.[SwitchA]interface Ethernet 0/1 // 进入端口E0/1的配置视图
2.[SwitchA- Ethernet0/1]line-rate 3 //对端口E0/1的出方向报文进行流
量限速，限制到3Mbps
3.[SwitchA]acl number 4000 // 配置acl，定义符合速率限制的数据流 [SwitchA-acl-link-4000]rule permit ingress any egress any
4. [SwitchA- Ethernet0/1]traffic-limit inbound link-group 4000 1 exceed drop //对端口E0/1的入方向报文进行流量限速，限制到1Mbps
补充说明:line-rate命令直接对端口的所有出方向数据报文进行流
量限制，而traffic-limit命令必须结合acl使用，对匹配了指定访问控制列表规则的数据报文进行流量限制。在配置acl的时候，也可以通过配置三层访问规则，来对指定的源或目的网段报文，进行端口的入方向数据报文进行流量限制。端口出入方向限速的粒度为1Mbps。 S3528、S3552系列交换机(S3528G/P和S3552G/P/F):使用以太网物理端口下面的traffic-shape和traffic-limit命令，分别来对该端口的出、入报文进行流量限速。SwitchA相关配置
1. [SwitchA]interface Ethernet 0/1 //进入端口E0/1的配置视图
2. [SwitchA- Ethernet0/1]traffic-shape 3250 3250 // 对端口E0/1的出方向报文进行流量限速，限制到3Mbps
3. [SwitchA]acl number 4000 //配置acl，定义符合速率限制的数据流[SwitchA-acl-link-4000]rule permit ingress any egress any
4. [SwitchA- Ethernet0/1]traffic-limit inbound link-group 4000 1000 150000 150000 1000 exceed drop //对端口E0/1的入方向报文进行流量限速，限制到1Mbps
S3900系列交换机(S3924、S3928P/F/TP和S3952P):使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合acl，使用以太网物理端口下面的traffic-limit命令，对匹配指定访问控制列表规则的端口入方向数据报文进行流量限制。
SwitchA相关配置
1. [SwitchA]interface Ethernet 1/0/1 //进入端口E1/0/1的配置视图
2. [SwitchA- Ethernet1/0/1]line-rate 3000 // 对端口E0/1的出方向报文进行流量限速，限制到3Mbps
3. [SwitchA]acl number 4000 //配置acl，定义符合速率限制的数据流 [SwitchA-acl-link-4000]rule permit ingress any egress any
4. [SwitchA- Ethernet1/0/1]traffic-limit inbound link-group 4000 1000 exceed drop //对端口E0/1的入方向报文进行流量限速，限制到1Mbps 补充说明:line-rate命令直接对端口的所有出方向数据报文进行流
量限制，而traffic-limit命令必须结合acl使用，对匹配了指定访问控制列表规则的数据报文进行流量限制。在配置acl的时候，也可以通过配置三层访问规则，来对指定的源或目的网段报文，进行端口的入方向数据报文进行流量限制。端口出入方向限速的粒度为64Kbps。 S5600系列交换机(S5624P/F和S5648P):使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合acl，使用以太网物理端口下面的traffic-limit命令，对匹配指定访问控制列表规则的端口入方向
第八章实验讲义-- 交换机基本配置端口安全与STP
第12章交换机基本配置 交换机是局域网中最重要的设备，交换机是基于MAC来进行工作的。和路由器类似，交换机也有IOS，IOS的基本使用方法是一样的。本章将简单介绍交换的一些基本配置。关于VLAN和Trunk等将在后面章节介绍。 12.1 交换机简介 交换机是第2层的设备，可以隔离冲突域。交换机是基于收到的数据帧中的源MAC地址和目的MAC地址来进行工作的。交换机的作用主要有两个：一个是维护CAM（Conetxt Address Memory）表，该表是计算机的MAC地址和交换端口的映射表；另一个是根据CAM 来进行数据帧的转发。交换对帧的处理有3种：交换机收到帧后，查询CAM表，如果能查询到目的计算机所在的端口，并且目的计算机所在的端口不是交换接收帧的源端口，交换机将把帧从这一端口转发出去（Forward）；如果该计算机所在的端口和交换机接收帧的源端口是同一端口，交换机将过滤掉该帧（Filter）；如果交换机不能查询到目的计算机所在的端口，交换机将把帧从源端口以外的其他所有端口上发送出去，这称为泛洪（Flood），当交换机接收到的帧是广播帧或多播帧，交换机也会泛洪帧。 12.2 实验0：交换机基本配置 1.实验目的: 通过本实验，可以掌握交换机的基本配置这项技能。 2.实验拓扑 实验拓扑图如图12-2所示。 图12-2 实验1拓扑图 3.实验步骤 （1）步骤1：通过PC0以Console方式登录交换机Switch0. 注意配置PC0上的终端. 登录成功后, 通过PC0配置交换机Switch0的主机名 Switch>enable Switch#conf terminal
cisco交换机配置实例(自己制作)
二层交换机配置案例（配置2层交换机可远程管理）： Switch> Switch>en 进入特权模式 Switch#config 进入全局配置模式 Switch(config)#hostname 2ceng 更改主机名为2ceng 2ceng(config)#interface vlan 1 进入VLAN 1
2ceng(config-if)#no shut 激活VLAN1 2ceng(config-if)#exit 退出到全局配置模式 2ceng(config)#interface vlan 2 创建VLAN 2 2ceng(config-if)#no shut 激活VLAN2 2ceng(config-if)#exit 退出到全局配置模式 2ceng(config)#interface vlan 3 创建VLAN 3 2ceng(config-if)#no shut 激活VLAN3 2ceng(config-if)# ip address 192.168.3.254 255.255.255.0 配置192.168.3.254为2ceng管理IP 2ceng(config-if)#exit 退出到全局配置模式 2ceng(config)#interface range fa0/1-12 进入到端口1-12 2ceng(config-if-range)#switchport mode access 将1-12口设置为交换口 2ceng(config-if-range)#switch access vlan 1 将1-12口划分到VLAN 1 2ceng(config-if-range)#exit 退出到全局配置模式 2ceng(config)#interface range fa0/13-23 进入到端口13-23 2ceng(config-if-range)#switch access vlan 2 将13-23口划分到VLAN2 2ceng(config-if-range)#exit 退出到全局配置模式 2ceng(config)#interface fastEthernet 0/24 进入到24口 2ceng(config-if)#switch mode trunk 将24口设置为干线 2ceng(config-if)#exit 退出到全局配置模式 2ceng(config)#enable secret cisco 设置加密的特权密码cisco 2ceng(config)#line vty 0 4 2ceng(config-line)#password telnet 设置远程登陆密码为telnet
Cisco+3750交换机配置
3750交换机（EMI） 简明配置维护手册 目录 说明 (2) 产品特性 (2) 配置端口 (3) 配置一组端口 (3) 配置二层端口 (5) 配置端口速率及双工模式 (5) 端口描述 (6) 配置三层口 (7) 监控及维护端口 (9) 监控端口和控制器的状态 (9) 刷新、重置端口及计数器 (11) 关闭和打开端口 (12) 配置VLAN (13) 理解VLAN (13) 可支持的VLAN (14) 配置正常范围的VLAN (14) 生成、修改以太网VLAN (14) 删除VLAN (16) 将端口分配给一个VLAN (17) 配置VLAN Trunks (18) 使用STP实现负载均衡 (21)
说明 本手册只包括日常使用的有关命令及特性，其它未涉及的命令及特性请参考英文的详细配置手册。 产品特性 3750EMI是支持二层、三层功能（EMI）的交换机 支持VLAN ?到1005 个VLAN ?支持VLAN ID从1到4094（IEEE 802.1Q 标准） ?支持ISL及IEEE 802.1Q封装 安全 ?支持IOS标准的密码保护 ?静态MAC地址映射 ?标准及扩展的访问列表支持，对于路由端口支持入出双向的访问列表，对于二层端口支持入的访问列表 ?支持基于VLAN的访问列表 3层支持（需要多层交换的IOS） ?HSRP ?IP路由协议 o RIP versions 1 and 2 o OSPF o IGRP及EIGRP o BGP Version 4 监视
?交换机LED指示端口状态 ?SPAN及远端SPAN (RSPAN) 可以监视任何端口或VLAN的流量 ?内置支持四组的RMON监控功能（历史、统计、告警及事件） ?Syslog功能 其它功能： 支持以下的GBIC模块: ?1000BASE-T GBIC: 铜线最长100 m ?1000BASE-SX GBIC: 光纤最长1804 feet (550 m) ?1000BASE-LX/LH GBIC: 光纤最长32,808 feet (6 miles or 10 km) ?1000BASE-ZX GBIC: 光纤最长328,084 feet (62 miles or 100 km) 配置端口 配置一组端口
交换机的端口安全配置
【实验文档】【实验0021】【交换机的端口安全配置】 【实验名称】 交换机的端口安全配置。 【实验目的】 掌握交换机的端口安全功能，控制用户的安全接入。 【背景描述】 你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP 地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G 上边。 【技术原理】 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。 限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。 交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。 配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： ? protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 ? restrict 当违例产生时，将发送一个Trap通知。 ? shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。 【实现功能】 针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。【实验设备】 S2126G交换机（1台），PC（1台）、直连网线（1条）
H3C华为交换机限速方法
H3C华为交换机限速方法 H3C华为交换机限速有以下方法： line-rate(lr) speed traffic-limit qos car H3C华为交换机端口限速 二层较为准确（如：lr,speed),三层不准确（如：traffic-linit,qos car) lr : E050：(可信度100%) [Quidway-Ethernet0/1]line-rate ? INTEGER<1-100> Target rate(Mbps S5500：(可信度100%) [S5500-GigabitEthernet1/0/1]qos lr outbound cir ? INTEGER<64-1000000> Committed Information Rate(kbps), it must be a multiple of 64 speed : (可信度100%) [S5500-GigabitEthernet1/0/1]speed ? 10 Specify speed of current port 10Mb/s 100 Specify speed of current port 100Mb/s 1000 Specify speed of current port 1000Mb/s auto Enable port's speed negotiation automatically traffic-limit : (可信度50%,当设定50M时，带宽为7M左右；当设定10M时，带宽为1M左右) [Quidway E050-Ethernet0/1]traffic-limit inbound ip-group 2000 ? INTEGER<1-100> Target rate(Mbps) link-group Apply the link-based acl rule Specify the ID of acl rule qos car :(s5500)(可信度50%,当设定9.6M时，带宽为5M左右) acl number 2000 rule 0 permit source 10.0.0.0 0.0.0.255 traffic classifier liukong operator and if-match acl 2000 traffic behavior liukong car cir 9600 cbs 200000 ebs 4000 green pass red discard yellow pass qos policy liukong classifier liukong behavior liukong interface GigabitEthernet1/0/1 qos apply policy liukong inbound 补充说明：交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE (4 )参数可选!
Cisco交换机配置手册
2950交换机 简明配置维护手册
目录 说明 (3) 产品特性 (3) 配置端口 (4) 配置一组端口 (4) 配置二层端口 (6) 配置端口速率及双工模式 (6) 端口描述 (7) 监控及维护端口 (8) 监控端口和控制器的状态 (8) 刷新、重置端口及计数器 (10) 关闭和打开端口 (10) 配置VLAN (11) 理解VLAN (11) 可支持的VLAN (12) 配置正常范围的VLAN (12) 生成、修改以太网VLAN (13) 删除VLAN (14) 将端口分配给一个VLAN (15) 配置VLAN Trunks (16) 使用STP实现负载均衡 (19) 配置Cluster (23)
说明 本手册只包括日常使用的有关命令及特性，其它未涉及的命令及特性请参考英文的详细配置手册。 产品特性 2950是只支持二层的交换机 支持VLAN ?到250 个VLAN ?支持VLAN ID从1到4094（IEEE 802.1Q 标准） ?支持ISL及IEEE 802.1Q封装 安全 ?支持IOS标准的密码保护 ?支持标准及扩展的访问列表来定义安全策略 ?支持基于VLAN的访问列表 监视 ?交换机LED指示端口状态 ?SPAN及远端SPAN (RSPAN) 可以监视任何端口或VLAN的流量 ?内置支持四组的RMON监控功能（历史、统计、告警及事件）
配置端口 配置一组端口 当使用interface range命令时有如下的规则: ?有效的组范围: o vlan从1 到4094 o fastethernet槽位/{first port} - {last port}, 槽位为0 o gigabitethernet槽位/{first port} - {last port},槽位为0 o port-channel port-channel-number - port-channel-number, port-channel号从1到64 ?端口号之间需要加入空格，如：interface range fastethernet 0/1 – 5是有效的，而interface range fastethernet 0/1-5是无效的. ?interface range命令只能配置已经存在的interface vlan ?所有在同一组的端口必须是相同类别的。
思科交换机安全配置(包括AAA、端口安全、ARP安全、DHCP侦听、日志审计流量限制)
网络拓扑图如下： 根据图示连接设备。 在本次试验中，具体端口情况如上图数字标出。核心交换机（core ）设置为s1或者SW1，汇聚层交换机（access）设置为s2或者SW2。 IP 地址分配： Router：e0：：f0/1: 接口：Core vlan10: Vlan20: Vlan30: Access vlan10: Vlan20: Vlan30: 服务器IP地址：区域网段地址： PC1：PC2：路由器清空配置命令： en erase startup-config Reload 交换机清空配置命令： en erase startup-config
delete Reload 加速命令： en conf t no ip domain lookup line con 0 exec-timeout 0 0 logging syn hostname 一、OFFICE 区域地址静态分配，防止OFFICE 网络发生ARP 攻击，不允许OFFICE 网段PC 互访；STUDENTS 区域主机输入正确的学号和密码后接入网络，自动获取地址，阻止STUDENTS网段地址发生ARP攻击； 1、基本配置 SW1的配置： SW1(config)#vtp domain cisco 然后在pc上进入接口，设置为DHCP获取地址,命令如下： int f0/1 ip add dhcp 查看结果：
5、Student区域ARP防护： SW2配置如下： ip dhcp snooping //开启DHCP侦听 ip dhcp snooping vlan 20 int range f0/1,f0/2 ip dhcp snooping limit rate 5 //限制DHCP请求包数量，此处为5 ip verify source port-security exit int port-channel 10 ip dhcp snooping trust //设置信任端口 然后修改pc1的mac地址，就可以发现端口down状态，修改mac地址命令如下： pc1(config)#int e0/0 pc1(config-if)#mac-address 、AAA认证： 服务器地址为：vlan 30 //创建vlan 30的原因：在sw1、sw2中配置svi口，服务器的地址为，使他们位于同一个网段。这样pc机发出的认证数据包就会被发往服务器 s1(config-if)#ip add f0/5 s1(config-if)#switchport mode access s1(config-if)#switchport access vlan 30 s2(config)#int vlan 30 s2(config-if)#ip add new-model //AAA配置位于接入层交换机，所以核心交换机sw1连接服务器的接口不需要配置IP地址 s2(config)#aaa authentication login vtylogin group radius s2(config)#radius-server host auth-port 1812 acct
华为交换机.思科交换机限制带宽
交换机命令： 华为交换机：
Switch(config)#interface fastEthernet 0/22 //进入端口 Switch(config-if)#storm-control unicast level 2 //限制单播风暴为 2%，如果100Mb 带宽则为2Mb Switch(config-if)#exit //退出端口管理 Switch(config)#exit //退出配置模式 Switch#write //保存 ------------------------------------------------------------------------------------------------------ 思科交换机实例操作： PC>telnet 10.0.0.60 Trying 10.0.0.60 ...Open User Access Verification Password: Switch>en Password: Switch#sh ru Building configuration...
Cisco交换机常用配置命令
Cisco交换机常用配置命令 CISCO交换机基本配置 switch>ena 進入特权模式 switch#erasenvram 全部清除交换机的所有配置 switch#reload 重新启动交换机（初始提示符为switch> ) ------------------------------------------------------------------------------------ CISCO交换机基本配置：Console端口连接 用户模式hostname>； 特权模式hostname(config)# ； 全局配置模式hostname(config-if)# ； 交换机口令设置： switch>enable ；进入特权模式 switch#config；进入全局配置模式 switch(config)#hostname cisco ；设置交换机的主机名 switch(config)#enable secret csico1 ；设置特权加密口令 switch(config)#enable password csico8 ；设置特权非密口令 switch(config)#line console 0 ；进入控制台口 switch(config-line)#line vty 0 4 ；进入虚拟终端 switch(config-line)#login ；虚拟终端允许登录 switch(config-line)#password csico6 ；设置虚拟终端登录口令csico6 switch#write 保存配置設置 switch#copy running-config startup-config 保存配置設置，與write一樣switch#exit；返回命令 配置终端过一会时间就会由全局配置模式自动改为用户模式，将超时设置为永不超时 switch#conf t switch(config)#line con 0 switch(config-line)#exec-timeout 0 --------------------------------------------------------------------------------- 交换机显示命令： switch#write；保存配置信息 switch#showvtp；查看vtp配置信息 switch#show run ；查看当前配置信息 switch#showvlan；查看vlan配置信息 switch#showvlan name vlan2 switch#show interface ；查看端口信息
Cisco交换机配置新手篇-端口配置(一)
C i s c o交换机配置新手篇-端口配置(一) 上回跟大家介绍了如何正确连接交换机，今天用一些配置片段给大家介绍一下端口的配置。鉴于网上大多数配置事例都是show-run出来的结果。不利于新手对命令配置过程的了解，所以笔者将配置片段和注意的地方都注明了一下，希望能帮助新手尽快了解如何正确配置交换机。 在IOS输入命令时只要缩写的程度不会引起混淆，使用配置命令的时候都可以使用缩写的形式。比如：Switch>enable，在用户模式下以en开头的命令就只有enable，所以可以缩写成Switch>en。也可以用TAB键把命令自动补全，如Switch>en，按键盘TAB后自动补全为Switch>enable。 快捷键: 1.Ctrl+A:把光标快速移动到整行的最开始 2.Ctrl+E:把光标快速移动到整行的最末尾 3.Esc+B:后退1个单词 4.Ctrl+B:后退1个字符 5.Esc+F:前进1个单词 6.Ctrl+F:前进1个字符 7.Ctrl+D:删除单独1个字符 8.Backspace:删除单独1个字符 9.Ctrl+R:重新显示1行 10.Ctrl+U:擦除1整行 11.Ctrl+W:删除1个单词 12. Ctrl+Z从全局模式退出到特权模式 13.Up arrow或者Ctrl+P:显示之前最后输入过的命令 14.Down arrow或者Ctrl+N:显示之前刚刚输入过的命令 配置enable口令以及主机名字，交换机中可以配置两种口令 (一)使能口令（enable password），口令以明文显示 (二)使能密码（enbale secret），口令以密文显示 两者一般只需要配置其中一个，如果两者同时配置时，只有使能密码生效. Switch.> /*用户直行模式提示符 Switch.>enable /*进入特权模式 Switch.# /*特权模式提示符 Switch.# config terminal /*进入配置模式 Switch.(config)# /*配置模式提示符 Switch.(config)# hostname Pconline /*设置主机名Pconline Pconline(config)# enable password pconline /*设置使能口令为pconline Pconline(config)# enable secret network /*设置使能密码为network Pconline(config)# line vty 0 15 /*设置虚拟终端线 Pconline(config-line)# login /*设置登陆验证 Pconline(config-line)# password skill /*设置虚拟终端登陆密码 注意：默认情况下如果没有设置虚拟终端密码是无法从远端进行telnet的，远端进行telnet 时候会提示设置login密码。许多新手会认为no login是无法从远端登陆，其实no login是代表不需要验证密码就可以从远端telnet到交换机，任何人都能telnet到交换机这样是很危险的，千万要注意。 Cisco交换机配置新手篇-端口配置(二)
cisco交换机的端口安全配置
【官方提供】【实验文档】【实验0021】【交换机的端口安全配置】 【实验名称】 交换机的端口安全配置。 【实验目的】 掌握交换机的端口安全功能，控制用户的安全接入。 【背景描述】 你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP 地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G 上边。 【技术原理】 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。 限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。 交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。 配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： ? protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 ? restrict 当违例产生时，将发送一个Trap通知。 ? shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。 【实现功能】 针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。【实验设备】 S2126G交换机（1台），PC（1台）、直连网线（1条）
交换机下的局域网内如何限速
交换机下的局域网内如何限速 局域网内为何要进行限速，因为如果不加以限制的话，即使增加再多的互联网出口带宽也会被局域网内各种各样的网络应用消耗掉，而限速的目的就是限制对于网络的滥用，从而使出口带宽维持在一个比较合理的水平，从而达到既保证网内用户可以正常的使用网络，又节省单位的互联网出口费用开支，所以说网络限速是一个网管员必备的素质。本文从网络限速的思路和具体实现方法入手，说明一下具体的实施办法。 一、限速思路 (一)能够进行限速的前提 在进行网络限速前，实际上我们先想做局域网内的流量监控，只有对局域网中各台交换机的端口流量(甚至是各类网络应用)有一个全面的了解，才能够制定出限速的标准以及具体实施方案。比如我们就利用MRTG软件针对单位中的核心交换机为CISCO3550和下挂的CISCO29系列交换机作了实时的流量监控(如图1所示)。 图1 通过MRTG监控CISCO交换机的端口流量 对每一个端口(相对应一个或一组用户)的用量情况都有了一个清晰的了解，这样通过观察，得出哪些用户(即哪个端口)的流量大，对带宽的占用多，就可以着手进行限速方案的制定了。 (二)限制，而不是拒绝 我们进行网络限速，是限制局域网用户对于网络的滥用，而不是不让用户使用网络，因此我们不论是从端口还是从应用层面做限速，就要遵循这个思路。 (三)目标 目标是什么，最终目标是使现有的带宽可以满足目前局域网的带宽需求，具体到我们单位，我们租用了100M互联网出口，局域网内有几十个单位的用户，这几十个单位有免费用户，也有付费用户。在进行网络限速时我们当然应该优先保证付费用户的带宽，当然免费用户中有一部分用户也要特殊照顾。在对某个端口(对应一个单位用户)实际限速操作时，我们先通过MRTG生成的流量图了解这个单位的日常带宽使用情况，限速后削去明显高出的波峰即可(即类似歌手大奖赛时出掉一个最高分)，然后将带宽维持在一个以前统计出的平均值上即可，这样设置后被限速的用户基本上没有感觉(网速不会明显变慢)，但是我们的目的也达到了。 (四)要至上而下，制定缜密的限速规划 最后要强调一点，网络限速可以从网络接入的底层实施，但是一定要从网络的顶层规划，这样做一是可以保证限速的效果，二来也将可能出现的网络故障限制在一个可控的范围内，另外关于交换机配置存盘的时机也很有讲究，我们一般是这样做的，进行限速操作前先存一次交换机的配置(保留好当前正常工作状态)，限速操作完成，进行观察，确认对网络没有影响后，等一两天以后再执行保存交换机配置的操作(等足够长的时间，确认没有产生网络故障再存盘)，这一措施是非常有效的，及时的故障处理措施保证了我们进行网络限速期间没有引起新的网络故障，保证了网络的正常运行。
思科交换机实用配置步骤详解
1.交换机支持的命令： 交换机基本状态： switch: ;ROM状态，路由器是rommon> hostname> ;用户模式 hostname# ;特权模式 hostname(config)# ;全局配置模式 hostname(config-if)# ;接口状态交换机口令设置： switch>enable ;进入特权模式 switch#config terminal ;进入全局配置模式 switch(config)#hostname ;设置交换机的主机名 switch(config)#enable secret xxx ;设置特权加密口令 switch(config)#enable password xxa ;设置特权非密口令switch(config)#line console 0 ;进入控制台口 switch(config-line)#line vty 0 4 ;进入虚拟终端 switch(config-line)#login ;允许登录 switch(config-line)#password xx ;设置登录口令xx switch#exit ;返回命令
交换机VLAN设置： switch#vlan database ;进入VLAN设置 switch(vlan)#vlan 2 ;建VLAN 2 switch(vlan)#no vlan 2 ;删vlan 2 switch(config)#int f0/1 ;进入端口1 switch(config-if)#switchportaccess vlan 2 ;当前端口加入vlan 2 switch(config-if)#switchport mode trunk ;设置为干线 switch(config-if)#switchport trunk allowed vlan 1，2 ;设置允许的vlan switch(config-if)#switchport trunk encap dot1q ;设置vlan 中继switch(config)#vtp domain ;设置发vtp域名 switch(config)#vtp password ;设置发vtp密码 switch(config)#vtp mode server ;设置发vtp模式 switch(config)#vtp mode client ;设置发vtp模式 交换机设置IP地址： switch(config)#interface vlan 1 ;进入vlan 1 switch(config-if)#ipaddress ;设置IP地址 switch(config)#ip default-gateway ;设置默认网关
接入交换机常见安全配置
适用场景：1-24口下联P C用户,25口下联二层网管交换机,26口上联汇聚交换机 堆叠环境中，若未指定优先级，则是根据它们的MAC地址（mac小的为主机）来确定谁是主机。优先级为越大越好，范围1-10。出场默认为1。 1、系统时间同步：如果客户有使用 ntp/sntp进行全网统一的时间配置的需求，可在设备上做Ruijie(config)#hostname TSG#5750 //给交换机命名 Ruijie(config)#sntp enable //首先开启 sntp 服务 Ruijie(config)#sntp server 210.72.145.44 //配置服务器IP地址，此为国家授时中心服务器IP 地址 Ruijie(config)#sntp interval 36000 // 配置sntp交互的时间间隔 措施一：限制远程管理源地址 Ruijie(config)#access-list 99 permit host 192.168.1.100 //配置控制列表，严格限定允许ip Ruijie(config)#line vty 0 35 Ruijie(config-line)#access-class 99 in 措施二：限制SNMP管理源地址 Ruijie(config)#access-list 99 permit host 192.168.1.100 //配置控制列表，严格限定允许ip Ruijie(config)#snmp-server community ruijie rw 99 措施三：使用加密管理协议，使用SSH管理，禁用Telnet协议 Ruijie(config)#no enable service telnet-server //禁用telnet管理 Ruijie(config)#enable service ssh-server //启用SSH管理 Ruijie(config)#crypto key generate dsa //设置ssh加密模式
cisco交换机配置简单教程
一、标识交换机 二、设置口令及用户 三、配置VTP（Vlan中继协议） 四、配置中继线（Trunk） 五、创建、描述Vlan及设置Vlan IP 六、划分、描述及设置Vlan端口 七、配置STP（生成树协议） 八、启用Vlan间Router 九、配置ACL 十、配置DHCP中继代理 十一、配置DHCP服务器 十二、配置HSRP（热备路由协议） 十三、保存配置 附1：命令行编辑键 附2：SHOW命令 附7：ACL例子 一、标识交换机 Switch#configure terminal 进入配置状态 Switch(config)#hostname “hostname”设置Switch名称 Switch (config)#no hostname 取消Switch名称 Switch(config)#end 结束本次配置 二、设置口令及用户 Switch#configure terminal 进入配置状态 Switch(config)#enable secret “password”设置特权模式口令 Switch(config)#no enable secret 取消特权模式口令 Switch(config)#enable password “password”设置EXEC模式口令 Switch(config)#no enable password 取消EXEC模式口令 witch(config)#username “username”privilege “num”secret “password”建立本地用户及口令 Switch(config)#no username “username”删除本地用户 Switch(config)#service password-encryption 加密所有明文口令 Switch(config)#no password-encryption 拒绝加密所有明文口令 Switch(config)#end 结束本次配置 1、配置console用户用口令 Switch#configure terminal 进入配置状态 Switch(config)#line console 0 进入console口配置状态 Switch(config-line)#login local 设置登录模式为本地用户验证模式 Switch(config-line)#no login local 取消本地用户验证模式 Switch(config-line)#end 结束本次配置 或 Switch#configure terminal 进入配置状态 Switch(config)#line console 0 进入console口配置状态
思科交换机配置常用命令(精编文档).doc
【最新整理，下载后即可编辑】 Cisco三层交换机配置命令及解释 (2011-07-11 08:54:50) 分类：IT资讯 标签： cisco 杂谈 基本配置 S> enable 进入特权模式 S# configure terminal 进入全局配置模式 S(config)# hostname name 改变交换机名称 S(config)# enable password level level_# password 设置用户口令（level_#=1)或特权口令（level_#=15) S(config)# line console 0 进入控制台接口 S(config-line)# password console_password 接上一条命令，设置控制台口令 S(config)# line vty 0 15 进入虚拟终端 S(config-line)# password telnet_password 接上一条命令，设置Telnet口令 S(config-line)# login 允许Telnet登录 S(config)# enable password|secret privilege_password 配置特权口令（加密或不加密） S(config)# interface ethernet|fastethernet|gigabitethernet slot_#/port_# 进入接口子配置模式 S(config-if)# [no] shutdown 关闭或启用该接口（默认启用） S(config)# ip address IP_address sunbet_mask 指定IP地址 S(config)# ip default-gateway router's_IP_address 指定哪台路由器地址为默认网关 S# show running-config 查看当前的配置 S# copy running-config startup-config 将RAM中的当前配置保存到NVRAM中
思科交换机端口限速总结
交换机端口限速总结 可限速的交换机一般都在三层或者以上的交换机，自2008年之后新出的交换机型号二层设备就可以做到QOS限速，精确度达到1Mbps，例如Cisco2960系列交换机。在这之后的大多数国内的标准二层交换机都可以做多限速，精确度基本能达到1Mbps，比如中兴的标准二层，H3C的标准二层都可以做到。老式的CISCO标准二层交换机例如2950类的交换也可以做到限速，但是精确度只能达到10Mbps。2950G 的交换和2950为EI型的交换没有太大的限速区别，因为限速和IOS有关系，2950系列的交换IOS版本一般都是在9.0左右，最新的2960系列交换机IOS版本在12.2左右，高版本的IOS提供了更强的系统功能。 下面针对一些限速的方法进行总结： PC1接在Cisco3550F0/1上，速率为1M; PC1接在Cisco3550F0/2上，速率为2M; Cisco3550的G0/1为出口。 PC是直接接在三层交换机端口的，意思就是说限制的是三层交换机端口的上下行流量控制，同理，如果三层交换机端口不是接PC，而是一个二层交换机，那么可以对下层的设备进行上联限速。 注:每个接口每个方向只支持一个策略;一个策略可以用于多个接口。因此所有PC的下载速率的限制都应该定义。在同一个策略(在本例子当中为policy-map user-down)，而PC不同速率的区分是在Class-map分别定义。 1、在交换机上启动QOS Switch(config)#mls qos//在交换机上启动QOS 2、分别定义PC1(10.10.1.1)和PC2(10.10.2.1)访问控制列表 Switch(config)#access-list10permit10.10.1.00.0.0.255//控制pc1上行流量 Switch(config)#access-list100permit any10.10.1.00.0.0.255//控制pc1下行流量 Switch(config)#access-list11permit10.10.2.00.0.0.255//控制pc2上行流量
Cisco交换机简单配置实例
命令句法约定: 垂直竖线 ( | )分隔可选的,互斥的元素 方括号 ([ ])表示可选的元素 花括号 ({ })表示必选项. 在方括号内的花括号 ( [{ }] )表示可选元素中的必选项. 粗体表示要按字母所示原封不动输入的命令和关键词.即粗休表示由用户手工输入的命令. 斜体表示要为之提供实际值的参数. Show 指令: # Show run (显示内存配置文件,当你下了一条指令即在内存中,但若没有用write mem 则不会写入Flash,) # Show conf (显示Flash配置文件,每条指令一定是写入到Flash中的,这样突然停机配置文件才不会丢失) # Show session (列出到本地交换机的连接上所有打开的会话以及连接号) # show int vlan n (n 是编号,用来查看vlan n的信息) # show hardware 或 show version (L2 IOS上显示交换机的硬件或模块信息) # show clock (显示日期和时间) # sh mac-address-table {dynamic | static | secure} mac-address {Vlan vlan-id} {interface int1 [int2…int4] {protocol {ip | ipx | assigned}} (显示mac 交换表信息) # sh mac-address-table address 0000.1111.2222 (显示特定的pc在交换机的哪一端口) # sh int status (显示所有端口的状态信息) # sh int f 0/1 switchport (显示指定交换端口的信息) Switch# boot system filesname (从Flash文件系统内指定一个引导系统的os映像) Switch# vlan database 进入VLAN数据库模式