華為3com常用配置學(xué)習(xí)

本文格式為Word版，下載可任意編輯——華為3com常用配置學(xué)習(xí)華為3com常用配置學(xué)習(xí)

（一）端口限速基本配置（二）端口綁定基本配置（三）ACL基本配置（四）密碼恢復(fù)

（五）三層交換配置（六）端口鏡像配置（七）DHCP配置（八）配置文件管理（九）遠(yuǎn)程管理配置（十）STP配置

（十一）私有VLAN配置

（十二）端口trunk、hybrid應(yīng)用配置

（一）端口限速基本配置

華為3Com2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列:

華為交換機(jī)端口限速

2000_EI系列以上的交換機(jī)都可以限速!

限速不同的交換機(jī)限速的方式不一樣!

2000_EI直接在端口視圖下面輸入LINE-RATE(4)參數(shù)可選!端口限速配置

1功能需求及組網(wǎng)說(shuō)明

端口限速配置

『配置環(huán)境參數(shù)』

1.PC1和PC2的IP地址分別為10.10.1.1/24、10.10.1.2/24

『組網(wǎng)需求』

1.在SwitchA上配置端口限速，將PC1的下載速率限制在3Mbps，同時(shí)將PC1的上傳速率限制在1Mbps2數(shù)據(jù)配置步驟

『S2000EI系列交換機(jī)端口限速配置流程』

使用以太網(wǎng)物理端口下面的line-rate命令，來(lái)對(duì)該端口的出、入報(bào)文進(jìn)行流量限速。1.進(jìn)入端口E0/1的配置視圖

[SwitchA]interfaceEthernet0/1

2.對(duì)端口E0/1的出方向報(bào)文進(jìn)行流量限速，限制到3Mbps[SwitchA-Ethernet0/1]line-rateoutbound30

3.對(duì)端口E0/1的入方向報(bào)文進(jìn)行流量限速，限制到1Mbps[SwitchA-Ethernet0/1]line-rateinbound16

報(bào)文速率限制級(jí)別取值為1～127。假使速率限制級(jí)別取值在1～28范圍內(nèi)，則速率限制的粒度為64Kbps，這種狀況下，當(dāng)設(shè)置的級(jí)別為N，則端口上限制的速率大小為N*64K；假使速率限制級(jí)別取值在29～127范圍內(nèi)，則速率限制的粒度為1Mbps，這種狀況下，當(dāng)設(shè)置的級(jí)別為N，則端口上限制的速率大小為

(N-27)*1Mbps。

此系列交換機(jī)的具體型號(hào)包括：S2023-EI、S2023-EI和S2403H-EI。

『S2000-SI和S3000-SI系列交換機(jī)端口限速配置流程』

使用以太網(wǎng)物理端口下面的line-rate命令，來(lái)對(duì)該端口的出、入報(bào)文進(jìn)行流量限速。

1.進(jìn)入端口E0/1的配置視圖

[SwitchA]interfaceEthernet0/1

2.對(duì)端口E0/1的出方向報(bào)文進(jìn)行流量限速，限制到6Mbps[SwitchA-Ethernet0/1]line-rateoutbound2

3.對(duì)端口E0/1的入方向報(bào)文進(jìn)行流量限速，限制到3Mbps[SwitchA-Ethernet0/1]line-rateinbound1

對(duì)端口發(fā)送或接收?qǐng)?bào)文限制的總速率，這里以8個(gè)級(jí)別來(lái)表示，取值范圍為1～8，含義為：端口工作在10M速率時(shí)，1～8分別表示312K，625K，938K，1.25M，2M，4M，6M，8M；端口工作在100M速率時(shí)，1～8分別表示3.12M，6.25M，9.38M，12.5M，20M，40M，60M，80M。

此系列交換機(jī)的具體型號(hào)包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI?！篠3026E、S3526E、S3050、S5012、S5024系列交換機(jī)端口限速配置流程』

使用以太網(wǎng)物理端口下面的line-rate命令，對(duì)該端口的出方向報(bào)文進(jìn)行流量限速；結(jié)合acl，使用以太網(wǎng)物理端口下面的traffic-limit命令，對(duì)端口的入方向報(bào)文進(jìn)行流量限速。

1.進(jìn)入端口E0/1的配置視圖

[SwitchA]interfaceEthernet0/1

2.對(duì)端口E0/1的出方向報(bào)文進(jìn)行流量限速，限制到3Mbps[SwitchA-Ethernet0/1]line-rate33.配置acl，定義符合速率限制的數(shù)據(jù)流[SwitchA]aclnumber4000

[SwitchA-acl-link-4000]rulepermitingressanyegressany4.對(duì)端口E0/1的入方向報(bào)文進(jìn)行流量限速，限制到1Mbps

[SwitchA-Ethernet0/1]traffic-limitinboundlink-group40001exceeddrop

line-rate命令直接對(duì)端口的所有出方向數(shù)據(jù)報(bào)文進(jìn)行流量限制，而traffic-limit命令必需結(jié)合acl使用，對(duì)匹配了指定訪問(wèn)控制列表規(guī)則的數(shù)據(jù)報(bào)文進(jìn)行流量限制。在配置acl的時(shí)候，也可以通過(guò)配置三層訪問(wèn)規(guī)則，來(lái)對(duì)指定的源或目的網(wǎng)段報(bào)文，進(jìn)行端口的入方向數(shù)據(jù)報(bào)文進(jìn)行流量限制。

端口出入方向限速的粒度為1Mbps。

此系列交換機(jī)的具體型號(hào)包括：S3026E/C/G/T、S3526E/C/EF、S3050C、S5012G/T和S5024G。『S3528、S3552系列交換機(jī)端口限速配置流程』

使用以太網(wǎng)物理端口下面的traffic-shape和traffic-limit命令，分別來(lái)對(duì)該端口的出、入報(bào)文進(jìn)行流量限速。

1.進(jìn)入端口E0/1的配置視圖

[SwitchA]interfaceEthernet0/1

2.對(duì)端口E0/1的出方向報(bào)文進(jìn)行流量限速，限制到3Mbps

[SwitchA-Ethernet0/1]traffic-shape325032503.配置acl，定義符合速率限制的數(shù)據(jù)流

[SwitchA]aclnumber4000

[SwitchA-acl-link-4000]rulepermitingressanyegressany4.對(duì)端口E0/1的入方向報(bào)文進(jìn)行流量限速，限制到1Mbps

[SwitchA-Ethernet0/1]traffic-limitinboundlink-group400010001500001500001000exceeddrop

此系列交換機(jī)的具體型號(hào)包括：S3528G/P和S3552G/P/F?！篠3900系列交換機(jī)端口限速配置流程』

使用以太網(wǎng)物理端口下面的line-rate命令，對(duì)該端口的出方向報(bào)文進(jìn)行流量限速；結(jié)合acl，使用以太網(wǎng)物理端口下面的traffic-limit命令，對(duì)匹配指定訪問(wèn)控制列表規(guī)則的端口入方向數(shù)據(jù)報(bào)文進(jìn)行流量限制。

1.進(jìn)入端口E1/0/1的配置視圖

[SwitchA]interfaceEthernet1/0/1

2.對(duì)端口E0/1的出方向報(bào)文進(jìn)行流量限速，限制到3Mbps[SwitchA-Ethernet1/0/1]line-rate30003.配置acl，定義符合速率限制的數(shù)據(jù)流[SwitchA]aclnumber4000

[SwitchA-acl-link-4000]rulepermitingressanyegressany

4.對(duì)端口E0/1的入方向報(bào)文進(jìn)行流量限速，限制到1Mbps

[SwitchA-Ethernet1/0/1]traffic-limitinboundlink-group40001000exceeddrop

line-rate命令直接對(duì)端口的所有出方向數(shù)據(jù)報(bào)文進(jìn)行流量限制，而traffic-limit命令必需結(jié)合acl使用，對(duì)匹配了指定訪問(wèn)控制列表規(guī)則的數(shù)據(jù)報(bào)文進(jìn)行流量限制。在配置acl的時(shí)候，也可以通過(guò)配置三層訪問(wèn)規(guī)則，來(lái)對(duì)指定的源或目的網(wǎng)段報(bào)文，進(jìn)行端口的入方向數(shù)據(jù)報(bào)文進(jìn)行流量限制。端口出入方向限速的粒度為64Kbps。

此系列交換機(jī)的具體型號(hào)包括：S3924、S3928P/F/TP和S3952P?！篠5600系列交換機(jī)端口限速配置流程』

使用以太網(wǎng)物理端口下面的line-rate命令，對(duì)該端口的出方向報(bào)文進(jìn)行流量限速；結(jié)合acl，使用以太網(wǎng)物理端口下面的traffic-limit命令，對(duì)匹配指定訪問(wèn)控制列表規(guī)則的端口入方向數(shù)據(jù)報(bào)文進(jìn)行流量限制。

1.進(jìn)入端口E1/0/1的配置視圖

[SwitchA]interfaceEthernet1/0/1

2.對(duì)端口E0/1的出方向報(bào)文進(jìn)行流量限速，限制到3Mbps[SwitchA-Ethernet1/0/1]line-rate30003.配置acl，定義符合速率限制的數(shù)據(jù)流[SwitchA]aclnumber4000

[SwitchA-acl-link-4000]rulepermitingressanyegressany4.對(duì)端口E0/1的入方向報(bào)文進(jìn)行流量限速，限制到1Mbps

[SwitchA-Ethernet1/0/1]traffic-limitinboundlink-group40001000exceeddrop

line-rate命令直接對(duì)端口的所有出方向數(shù)據(jù)報(bào)文進(jìn)行流量限制，而traffic-limit命令必需結(jié)合acl使用，對(duì)匹配了指定訪問(wèn)控制列表規(guī)則的數(shù)據(jù)報(bào)文進(jìn)行流量限制。在配置acl的時(shí)候，也可以通過(guò)配置三層訪問(wèn)規(guī)則，來(lái)對(duì)指定的源或目的網(wǎng)段報(bào)文，進(jìn)行端口的入方向數(shù)據(jù)報(bào)文進(jìn)行流量限制。端口出入方向限速的粒度為64Kbps。

此系列交換機(jī)的具體型號(hào)包括：S5624P/F和S5648P。

（二）端口綁定基本配置

1，端口+MACa)AM命令

使用特別的AMUser-bind命令，來(lái)完成MAC地址與端口之間的綁定。例如：

[SwitchA]amuser-bindmac-address00e0-fc22-f8d3interfaceEthernet0/1

配置說(shuō)明：由于使用了端口參數(shù)，則會(huì)以端口為參照物，即此時(shí)端口E0/1只允許PC1上網(wǎng)，而使用其他未綁定的MAC地址的PC機(jī)則無(wú)法上網(wǎng)。但是PC1使用該MAC地址可以在其他端口上網(wǎng)。b)mac-address命令

使用mac-addressstatic命令，來(lái)完成MAC地址與端口之間的綁定。例如：

[SwitchA]mac-addressstatic00e0-fc22-f8d3interfaceEthernet0/1vlan1[SwitchA]mac-addressmax-mac-count0

配置說(shuō)明：由于使用了端口學(xué)習(xí)功能，故靜態(tài)綁定mac后，需再設(shè)置該端口mac學(xué)習(xí)數(shù)為0，使其他PC接入此端口后其mac地址無(wú)法被學(xué)習(xí)。2，IP+MAC

a)AM命令

使用特別的AMUser-bind命令，來(lái)完成IP地址與MAC地址之間的綁定。例如：

[SwitchA]amuser-bindip-address10.1.1.2mac-address00e0-fc22-f8d3

配置說(shuō)明：以上配置完成對(duì)PC機(jī)的IP地址和MAC地址的全局綁定，即與綁定的IP地址或者M(jìn)AC地址不同的PC機(jī)，在任何端口都無(wú)法上網(wǎng)。

支持型號(hào)：S3026E/EF/C/G/T、S3026C-PWR、E026/E026T、S3050C、E050、S3526E/C/EF、S5012T/G、S5024Gb)arp命令

使用特別的arpstatic命令，來(lái)完成IP地址與MAC地址之間的綁定。例如：[SwitchA]arpstatic10.1.1.200e0-fc22-f8d3

配置說(shuō)明：以上配置完成對(duì)PC機(jī)的IP地址和MAC地址的全局綁定。3，端口+IP+MAC

使用特別的AMUser-bind命令，來(lái)完成IP、MAC地址與端口之間的綁定。例如：

[SwitchA]amuser-bindip-address10.1.1.2mac-address00e0-fc22-f8d3interfaceEthernet0/1配置說(shuō)明：可以完成將PC1的IP地址、MAC地址與端口E0/1之間的綁定功能。由于使用了端口參數(shù)，則會(huì)以端口為參照物，即此時(shí)端口E0/1只允許PC1上網(wǎng)，而使用其他未綁定的IP地址、MAC地址的PC機(jī)則無(wú)法上網(wǎng)。但是PC1使用該IP地址和MAC地址可以在其他端口上網(wǎng)。

支持型號(hào)：S3026E/S3026E-FM/S3026-FS；S3026G；S3026C；S3026C-PWR；E3026；E050；S3526E/C;S3526E-FM/FS;S5012T/G、S5024G、S3900、S5600、S6500(3代引擎)

（三）ACL基本配置

1，二層ACL.組網(wǎng)需求:

通過(guò)二層訪問(wèn)控制列表，實(shí)現(xiàn)在每天8:00～18:00時(shí)間段內(nèi)對(duì)源MAC為00e0-fc01-0101目的MAC為

00e0-fc01-0303報(bào)文的過(guò)濾。該主機(jī)從GigabitEthernet0/1接入。.配置步驟:

(1)定義時(shí)間段

#定義8:00至18:00的周期時(shí)間段。

[Quidway]time-rangehuawei8:00to18:00daily

(2)定義源MAC為00e0-fc01-0101目的MAC為00e0-fc01-0303的ACL#進(jìn)入基于名字的二層訪問(wèn)控制列表視圖，命名為traffic-of-link。[Quidway]aclnametraffic-of-linklink

#定義源MAC為00e0-fc01-0101目的MAC為00e0-fc01-0303的流分類規(guī)則。

[Quidway-acl-link-traffic-of-link]rule1denyingress00e0-fc01-01010-0-0egress00e0-fc01-03030-0-0time-rangehuawei(3)激活A(yù)CL。

#將traffic-of-link的ACL激活。

[Quidway-GigabitEthernet0/1]packet-filterlink-grouptraffic-of-link2，三層ACL

a)基本訪問(wèn)控制列表配置案例.組網(wǎng)需求:

通過(guò)基本訪問(wèn)控制列表，實(shí)現(xiàn)在每天8:00～18:00時(shí)間段內(nèi)對(duì)源IP為10.1.1.1主機(jī)發(fā)出報(bào)文的過(guò)濾。該主機(jī)從GigabitEthernet0/1接入。.配置步驟:

(1)定義時(shí)間段

#定義8:00至18:00的周期時(shí)間段。

[Quidway]time-rangehuawei8:00to18:00daily(2)定義源IP為10.1.1.1的ACL

#進(jìn)入基于名字的基本訪問(wèn)控制列表視圖，命名為traffic-of-host。[Quidway]aclnametraffic-of-hostbasic#定義源IP為10.1.1.1的訪問(wèn)規(guī)則。

[Quidway-acl-basic-traffic-of-host]rule1denyipsource10.1.1.10time-rangehuawei(3)激活A(yù)CL。

#將traffic-of-host的ACL激活。

[Quidway-GigabitEthernet0/1]packet-filterinboundip-grouptraffic-of-hostb)高級(jí)訪問(wèn)控制列表配置案例.組網(wǎng)需求:

公司企業(yè)網(wǎng)通過(guò)Switch的端口實(shí)現(xiàn)各部門之間的互連。研發(fā)部門的由GigabitEthernet0/1端口接入，工資查詢服務(wù)器的地址為129.110.1.2。要求正確配置ACL，限制研發(fā)部門在上班時(shí)間8:00至18:00訪問(wèn)工資服務(wù)器。.配置步驟:(1)定義時(shí)間段

#定義8:00至18:00的周期時(shí)間段。

[Quidway]time-rangehuawei8:00to18:00working-day(2)定義到工資服務(wù)器的ACL

#進(jìn)入基于名字的高級(jí)訪問(wèn)控制列表視圖，命名為traffic-of-payserver。[Quidway]aclnametraffic-of-payserveradvanced

#定義研發(fā)部門到工資服務(wù)器的訪問(wèn)規(guī)則。[Quidway-acl-adv-traffic-of-payserver]rule1denyipsourceanydestination129.110.1.20.0.0.0time-rangehuawei(3)激活A(yù)CL。

#將traffic-of-payserver的ACL激活。

[Quidway-GigabitEthernet0/1]packet-filterinboundip-grouptraffic-of-payserver3，常見(jiàn)病毒的ACL創(chuàng)立acl

aclnumber100禁ping

ruledenyicmpsourceanydestinationany用于控制Blaster蠕蟲(chóng)的傳播

ruledenyudpsourceanydestinationanydestination-porteq69ruledenytcpsourceanydestinationanydestination-porteq4444用于控制沖擊波病毒的掃描和攻擊

ruledenytcpsourceanydestinationanydestination-porteq135ruledenyudpsourceanydestinationanydestination-porteq135ruledenyudpsourceanydestinationanydestination-porteqnetbios-nsruledenyudpsourceanydestinationanydestination-porteqnetbios-dgmruledenytcpsourceanydestinationanydestination-porteq139ruledenyudpsourceanydestinationanydestination-porteq139ruledenytcpsourceanydestinationanydestination-porteq445ruledenyudpsourceanydestinationanydestination-porteq445ruledenyudpsourceanydestinationanydestination-porteq593ruledenytcpsourceanydestinationanydestination-porteq593用于控制振蕩波的掃描和攻擊

ruledenytcpsourceanydestinationanydestination-porteq445ruledenytcpsourceanydestinationanydestination-porteq5554ruledenytcpsourceanydestinationanydestination-porteq9995ruledenytcpsourceanydestinationanydestination-porteq9996用于控制Worm_MSBlast.A蠕蟲(chóng)的傳播

ruledenyudpsourceanydestinationanydestination-porteq1434下面的不有名的病毒端口號(hào)（可以不作）

ruledenytcpsourceanydestinationanydestination-porteq1068ruledenytcpsourceanydestinationanydestination-porteq5800ruledenytcpsourceanydestinationanydestination-porteq5900ruledenytcpsourceanydestinationanydestination-porteq10080ruledenytcpsourceanydestinationanydestination-porteq455ruledenyudpsourceanydestinationanydestination-porteq455ruledenytcpsourceanydestinationanydestination-porteq3208ruledenytcpsourceanydestinationanydestination-porteq1871ruledenytcpsourceanydestinationanydestination-porteq4510ruledenyudpsourceanydestinationanydestination-porteq4334

ruledenytcpsourceanydestinationanydestination-porteq4331ruledenytcpsourceanydestinationanydestination-porteq4557然后下發(fā)配置

packet-filterip-group100

目的：針對(duì)目前網(wǎng)上出現(xiàn)的問(wèn)題，對(duì)目的是端口號(hào)為1434的UDP報(bào)文進(jìn)行過(guò)濾的配置方法，詳細(xì)和繁雜的配置請(qǐng)看配置手冊(cè)。

NE80的配置：

NE80(config)#rule-mapr1udpanyanyeq1434

//r1為role-map的名字，udp為關(guān)鍵字，anyany所有源、目的IP，eq為等于，1434為udp端口號(hào)NE80(config)#acla1r1deny

//a1為acl的名字，r1為要綁定的rule-map的名字，NE80(config-if-Ethernet1/0/0)#access-groupacla1

//在1/0/0接口上綁定acl，acl為關(guān)鍵字，a1為acl的名字NE16的配置：

NE16-4(config)#firewallenableall//首先啟動(dòng)防火墻

NE16-4(config)#access-list101denyudpanyanyeq1434

//deny為阻止的關(guān)鍵字，針對(duì)udp報(bào)文，anyany為所有源、目的IP，eq為等于，1434為udp端口號(hào)NE16-4(config-if-Ethernet2/2/0)#ipaccess-group101in

//在接口上啟用access-list，in表示進(jìn)來(lái)的報(bào)文，也可以用out表示出去的報(bào)文中低端路由器的配置[Router]firewallenable[Router]acl101

[Router-acl-101]ruledenyudpsourceanydestionanydestination-porteq1434[Router-Ethernet0]firewallpacket-filter101inbound6506產(chǎn)品的配置：

舊命令行配置如下：

6506(config)#aclextendedaaadenyprotocoludpanyanyeq1434

6506(config-if-Ethernet5/0/1)#access-groupaaa國(guó)際化新命令行配置如下：[Quidway]aclnumber100

[Quidway-acl-adv-100]ruledenyudpsourceanydestinationanydestination-porteq1434[Quidway-acl-adv-100]quit

[Quidway]interfaceethernet5/0/1

[Quidway-Ethernet5/0/1]packet-filterinboundip-group100not-care-for-interface

5516產(chǎn)品的配置：舊命令行配置如下：

5516(config)#rule-mapl3aaaprotocol-typeudpingressanyegressanyeq14345516(config)#flow-actionfffdeny5516(config)#aclbbbaaafff5516(config)#access-groupbbb

國(guó)際化新命令行配置如下：[Quidway]aclnum100

[Quidway-acl-adv-100]ruledenyudpsourceanydestinationanydestination-porteq1434[Quidway]packet-filterip-group100

3526產(chǎn)品的配置：舊命令行配置如下：

rule-mapl3r10.0.0.00.0.0.01.1.0.0255.255.0.0eq1434flow-actionf1denyaclacl1r1f1

access-groupacl1

國(guó)際化新命令配置如下：

aclnumber100

rule0denyudpsource0.0.0.00source-porteq1434destination1.1.0.00

packet-filterip-group101rule0

注：3526產(chǎn)品只能配置外網(wǎng)對(duì)內(nèi)網(wǎng)的過(guò)濾規(guī)則，其中1.1.0.0255.255.0.0是內(nèi)網(wǎng)的地址段。

8016產(chǎn)品的配置：舊命令行配置如下：

8016(config)#rule-mapintervlanaaaudpanyanyeq14348016(config)#aclbbbaaadeny

8016(config)#access-groupaclbbbvlan10portall

國(guó)際化新命令行配置如下：

8016(config)#rule-mapintervlanaaaudpanyanyeq14348016(config)#eaclbbbaaadeny

8016(config)#access-groupeaclbbbvlan10portall4，防止同網(wǎng)段ARP欺騙的ACL

一、組網(wǎng)需求：

1.二層交換機(jī)阻止網(wǎng)絡(luò)用戶仿冒網(wǎng)關(guān)IP的ARP攻擊二、組網(wǎng)圖：

圖1二層交換機(jī)防ARP攻擊組網(wǎng)

S3552P是三層設(shè)備，其中IP：100.1.1.1是所有PC的網(wǎng)關(guān)，S3552P上的網(wǎng)關(guān)MAC地址為000f-e200-3999。PC-B上裝有ARP攻擊軟件?，F(xiàn)在需要對(duì)S3026C_A進(jìn)行一些特別配置，目的是過(guò)濾掉仿冒網(wǎng)關(guān)IP的ARP報(bào)文。

三、配置步驟

對(duì)于二層交換機(jī)如S3026C等支持用戶自定義ACL（number為5000到5999）的交換機(jī)，可以配置ACL來(lái)進(jìn)行ARP報(bào)文過(guò)濾。

全局配置ACL阻止所有源IP是網(wǎng)關(guān)的ARP報(bào)文

aclnum5000

rule0deny0806ffff2464010101ffffffff40

rule1permit0806ffff24000fe2023999ffffffffffff34

其中rule0把整個(gè)S3026C_A的端口冒充網(wǎng)關(guān)的ARP報(bào)文禁掉，其中斜體部分64010101是網(wǎng)關(guān)IP地址100.1.1.1的16進(jìn)制表示形式。Rule1允許通過(guò)網(wǎng)關(guān)發(fā)送的ARP報(bào)文，斜體部分為網(wǎng)關(guān)的mac地址000f-e200-3999。

注意：配置Rule時(shí)的配置順序，上述配置為先下發(fā)后生效的狀況。在S3026C-A系統(tǒng)視圖下發(fā)acl規(guī)則：

[S3026C-A]packet-filteruser-group5000

這樣只有S3026C_A上連網(wǎng)關(guān)設(shè)備才能夠發(fā)送網(wǎng)關(guān)的ARP報(bào)文，其它主機(jī)都不能發(fā)送假冒網(wǎng)關(guān)的arp響應(yīng)報(bào)文。

三層交換機(jī)實(shí)現(xiàn)仿冒網(wǎng)關(guān)的ARP防攻擊一、組網(wǎng)需求：

1.三層交換機(jī)實(shí)現(xiàn)防止同網(wǎng)段的用戶仿冒網(wǎng)關(guān)IP的ARP攻擊二、組網(wǎng)圖

圖2三層交換機(jī)防ARP攻擊組網(wǎng)三、配置步驟

1.對(duì)于三層設(shè)備，需要配置過(guò)濾源IP是網(wǎng)關(guān)的ARP報(bào)文的ACL規(guī)則，配置如下ACL規(guī)則：aclnumber5000

rule0deny0806ffff2464010105ffffffff40

rule0阻止S3526E的所有端口接收冒充網(wǎng)關(guān)的ARP報(bào)文，其中斜體部分64010105是網(wǎng)關(guān)IP地址100.1.1.5的16進(jìn)制表示形式。2.下發(fā)ACL到全局

[S3526E]packet-filteruser-group5000仿冒他人IP的ARP防攻擊

一、組網(wǎng)需求：

作為網(wǎng)關(guān)的設(shè)備有可能會(huì)出現(xiàn)錯(cuò)誤ARP的表項(xiàng)，因此在網(wǎng)關(guān)設(shè)備上還需對(duì)用戶仿冒他人IP的ARP攻擊報(bào)文進(jìn)行過(guò)濾。二、組網(wǎng)圖：參見(jiàn)圖1和圖2

三、配置步驟：

1.如圖1所示，當(dāng)PC-B發(fā)送源IP地址為PC-D的arpreply攻擊報(bào)文，源mac是PC-B的mac(000d-88f8-09fa)，源ip是PC-D的ip(100.1.1.3)，目的ip和mac是網(wǎng)關(guān)（3552P）的，這樣3552上就會(huì)學(xué)習(xí)到錯(cuò)誤的arp，如下所示：

錯(cuò)誤arp表項(xiàng)IPAddressMACAddressVLANIDPortNameAgingType100.1.1.4000d-88f8-09fa1Ethernet0/220Dynamic

100.1.1.3000f-3d81-45b41Ethernet0/220Dynamic

從網(wǎng)絡(luò)連接可以知道PC-D的arp表項(xiàng)應(yīng)當(dāng)學(xué)習(xí)到端口E0/8上，而不應(yīng)當(dāng)學(xué)習(xí)到E0/2端口上。但實(shí)際上交換機(jī)上學(xué)習(xí)到該ARP表項(xiàng)在E0/2。上述現(xiàn)象可以在S3552上配置靜態(tài)ARP實(shí)現(xiàn)防攻擊：arpstatic100.1.1.3000f-3d81-45b41e0/8

2.在圖2S3526C上也可以配置靜態(tài)ARP來(lái)防止設(shè)備學(xué)習(xí)到錯(cuò)誤的ARP表項(xiàng)。