華為S9306配置規(guī)范

學習文檔僅供參考學習文檔僅供參考學習文檔僅供參考學習文檔僅供參考TOC\o"1-5"\h\z第3章華為S9603配置標準 1系統(tǒng)基本配置標準 1設備名稱配置 1Banner配置 1設備自身時間及NTP 2時區(qū)配置 2NTP配置 2VTY接口配置 3連接數(shù)限制 3空閑時間 3訪問控制列表 4配置范例 4AAA配置 5概述 5AAA酉己置 5本地用戶帳號 7端口配置標準 7Loopback地址配置 7GE端口配置 8GE用做上連接口 8GE端口QINQ配置 9FE端口QINQ配置 9GE、FE端口專線配置 10路由協(xié)議配置標準 10靜態(tài)路由配置 10靜態(tài)路由配置方式 10用戶策略配置 11定義防病毒訪問控制列表 11QOS策略配置 12用戶限速配置 13網(wǎng)管配置 14SNMP管理代理配置 14全局開啟SNMP進程 14ROCommunity值 15RWCommunity值 16SNMP訪問控制列表 16故障管理配置 17SNMPTRAP信息內(nèi)容 17SNMPTRAP服務器地址 17SNMPTRAP消息源地址 18SYSLOG服務器地址 18SYSLOG信息級別 18SYSLOG消息源地址 18配置范例〔參考〕 19第1章華為S9603配置標準系統(tǒng)基本配置標準設備名稱配置配置說明：標準設備命名，唯一性標識城域網(wǎng)中的每臺設備，用于對城域網(wǎng)的每臺設備進行區(qū)分，方便設備管理，提高可讀性和可管理性。標準要求：設備名稱要求符合第二章中“ip城域網(wǎng)網(wǎng)絡設備命名及鏈路描述標準”中規(guī)定。配置標準：sysnameHS-TJL-DSW-1.M.9306配置驗證：配置后立即生效，設備名稱顯示在配置命令行的左邊。配置注意細節(jié)：可以根據(jù)需要在.M后添加設備型號。Banner酉己置配置說明：統(tǒng)一Banner語言，以省網(wǎng)標準為主。標準要求：城域網(wǎng)所有交換機配置統(tǒng)一的Banner信息，登陸時提示：WARNING!!!Authorisedaccessonly,allofyourdonewillberecorded!disconnectIMMEDIATELYifyouarenotanauthoriseduser!配置標準：[Quidway]headerlogininformation%WARNING!!!Authorisedaccessonly,allofyourdonewillberecorded!disconnectIMMEDIATELYifyouarenotanauthoriseduser!%配置驗證：登陸路由器時應看到banner提示。配置注意細節(jié)：Banner語言應起到提示和警告非授權訪問者的作用，嚴禁在Banner中出現(xiàn)任何表示歡送的字樣。設備自身時間及NTPNTP實現(xiàn)網(wǎng)絡設備時間同步功能，與時間有關的應用，例如Log信息，基于時間限制帶寬等，都需要基于正確的時間。時區(qū)配置配置說明：統(tǒng)一設備的時區(qū)配置。標準要求：配置系統(tǒng)時區(qū)為GMT+8,北京時區(qū)。配置標準：clocktimezoneBeijingadd08:00:00 #在用戶模式下配置配置驗證：displayclock配置注意細節(jié)：無。NTP配置配置說明：使用NTP同步網(wǎng)絡上所有設備的時間，保證網(wǎng)絡設備得到正確的時間。標準要求：配置主和備兩組NTP服務器。配置標準：ntp-serviceunicast-server*.*.*.*preference#優(yōu)選其中一臺出口為NTPSERVERntp-serviceunicast-server*.*.*.* #另一臺出口為備用NTPSERVER配置驗證：displayclockdisplayntp-servicestatusdisplayntp-servicesession 配置注意細節(jié)：無。VTY接口配置連接數(shù)限制配置說明：對同時遠程登陸到設備上的session數(shù)進行限制，可以防止大量的session連接占用過多系統(tǒng)資源，同時便于集中運維，保證故障期間的正常處理。標準要求：配置BRAS路由器并發(fā)連接數(shù)限制為10個。配置標準：user-interfacemaximum-vty10配置驗證：displayuser-interfacemaximum-vty配置注意細節(jié)：無空閑時間配置說明：設置了Telnet超時功能，當空閑時間超過設定值后，Telnet線程斷開，防止未被授權的人員在操作員離開后進行非法操作。標準要求：對VTY登錄超時設置進行配置，設置空閑時間為10分鐘。配置標準：user-interfaceconsole0idle-timeout100user-interfaceaux0idle-timeout100user-interfacevty09 idle-timeout100配置驗證：dispcurr|buser-interface配置注意細節(jié)：華為設備默認超時時間即為10分鐘，配置后也不會顯示配置。訪問控制列表配置說明：限制Telnet登錄網(wǎng)絡的源地址，從而增強設備的安全性，最大限度防止非法登陸嘗試。標準要求：配置Telnet源地址限制，包含省公司地址段和最小化的地市網(wǎng)管中心維護IP網(wǎng)段。Telnet訪問控制列表條目從10開始，條目的間隔步長為10，在訪問控制列表的最后顯示配置一條denyanyany語句。配置標準〔參考〕：aclnumber2088rule10permitsource202.105.80.0.255rule20permitsource202.105.82.0.255rule30permitsource59.37.66.0.255rule40permitsource125.88.116.0.255rule50permitsourceX.X.X.XX.X.X.X#地市網(wǎng)管地址段rule99denysourceany#user-interfacevty04authentication-modeaaa#設置VTY口登錄用戶的驗證方式為AAAacl2088inbound 配置驗證：dispacl2088dispcurr|buser-interface配置注意細節(jié)：無。配置范例aclnumber2088rule10permitsource202.105.80.0.255rule20permitsource202.105.82.0.255rule30permitsource59.37.66.0.255rule40permitsource125.88.116.0.255rule50permitsourceX.X.X.XX.X.X.X #地市網(wǎng)管地址段rule99denysourceany#user-interfacevty04authentication-modeaaa#設置VTY口登錄用戶的驗證方式為AAAacl2088inboundidle-timeout100 用戶超時斷開連接時間設置為10分鐘protocolinboundtelnet 登錄支持telnet協(xié)議AAA配置概述AAA使用Radius統(tǒng)一驗證，全省統(tǒng)一大后臺。AAA配置配置說明：配置用戶的認證方式配置用戶的計費方式配置用戶認證服務器地址及參數(shù)配置用戶計費服務器地址及參數(shù)標準要求：認證方式采用radius方式計費方式采用radius方式認證及計費服務器的地址根據(jù)省公司統(tǒng)一安排情況設置設置Radius密鑰時要與省后臺相關人員協(xié)商確定認證端口號根據(jù)各個地方的實際情況設置計費端口號根據(jù)各個地方的實際情況設置配置標準〔參考〕：

radius方案名稱為radius方案名稱為system主備radius和源地址在一條命令中radius-serverauthentication202.103.28.1381645sourceloopback0secondaryradius-serveraccounting202.103.28.1381645sourceloopback0secondaryradius-servershared-keyaaa8010undoradius-serveruser-namedomain-includednas-ip59.175.247.182上報radius報文中的源地址，取用上行接口的互聯(lián)IPnas-ip59.175.247.182先在aaa視圖下配置authentication-scheme、authorization-scheme、accounting-schemeauthentication-schemesystemauthentication-moderadiuslocalauthorization-schemesystemauthorization-modeif-authenticatedlocalaccounting-schemesystemaccounting-mode沒有先radius后local，只有如下方式hwtacacslocallocal-hwtacacslocal-radiusnoneradiusHWTACACSaccountingLocalaccountingLocalHWTACACSaccountingLocalRADIUSaccountingNoaccountingRADIUSaccountingdomainsystemaaa視圖下domainsystemauthenticationloginradius-schemesystemlocal配置認證方案為先accounting-mode沒有先radius后local，只有如下方式hwtacacslocallocal-hwtacacslocal-radiusnoneradiusHWTACACSaccountingLocalaccountingLocalHWTACACSaccountingLocalRADIUSaccountingNoaccountingRADIUSaccountingdomainsystemaaa視圖下domainsystemauthenticationloginradius-schemesystemlocal配置認證方案為先radius，后localauthorizationloginradius-schemesystemlocal配置授權方案為先radius，后localaccountingloginradius-schemesystemlocal配置計費方案為先radius，后localundoaccess-limitstateactiveundoidle-cut配置驗證:displayauthentication-schemesystem配置注意細節(jié)：無。本地用戶帳號配置說明：配置本地用戶帳號，作為AAA服務器連接失敗時的應急登陸用。標準要求：全省網(wǎng)絡設備配置相同本地用戶帳號admin，設置最高權限，使用省公司統(tǒng)一指定的密碼，根據(jù)實際情況可保留地市本地管理帳號。配置標準〔參考〕：local-useradminpasswordcipheradmin@))*service-typetelnet配置驗證：displayusernameadmin配置注意細節(jié)：保留地市本地帳號。端口配置標準Loopback地址配置配置說明：配置Loopback地址，提供一個永遠up的IP地址，用于各種路由協(xié)議鄰居的建立、遠程登錄、設備管理等。標準要求：城域骨干網(wǎng)交換機配置一個loopback0地址，掩碼必須為32位。Loopback接口需添加端口描述，端口描述要求符合第二章中IP城域網(wǎng)網(wǎng)絡設備命名及鏈路描述標準中規(guī)定。配置標準：interfaceLoopBack0ipaddress*.*.*.*descriptionForManagement配置驗證：dispinterloopback0〃查看運行情況discurrent-configurationinterfaceLoopBack0〃查看配置情況配置注意細節(jié)：無GE端口配置GE用做上連接口配置說明：配置GE端口用做上連接口。標準要求：配置GE端口speed設置為1000M,雙工為自行協(xié)商，并且在端口上定義病毒過濾策略。配置接口描述符合第二章中IP城域網(wǎng)網(wǎng)絡設備命名及鏈路描述標準中規(guī)定。并注意端口描述中的對端端口應區(qū)別不同設備。配置標準：interfaceGigabitEthernet2/0/21portlink-typetrunkundoporttrunkpermitvlan1undoporttrunkallow-passvlan1porttrunkpermitvlan1002001to2005porttrunkallow-passvlan1002001to2005speed1000duplexfulldescriptiondT:ZQ-HT-DSW-1.M1G::GI1/0/0qosapplypolicyvirus-filterinbound 上行端口應用端口過濾的策略traffic-policyvirus-filterinboundqosapplypolicyvirus-filteroutboundtraffic-policyvirus-filteroutbound配置驗證：dispintergi2/0/21〃查看運行情況dispcuintergi2/0/21〃查看配置情況配置注意細節(jié):無。GE端口QINQ配置配置說明：配置GE端口用做下聯(lián)接口，開啟QINQ功能。標準要求：配置開啟GE端口QINQ功能。配置接口描述符合第二章中IP城域網(wǎng)網(wǎng)絡設備命名及鏈路描述標準中規(guī)定。并注意端口描述中的對端端口應區(qū)別不同設備。配置標準：interfaceGigabitEthernet4/0/1portlink-typehybridundoporthybridvlan1 vlan1可以undo掉porthybridvlan3990to39914094taggedporthybridvlan1001to1005untaggedqinqenableqosapplypolicyg4/0/1inboundqosapplypolicynmoutbounddescriptiondT:ZQ-HT-DSW-1.M1G::GI1/0/0配置驗證：dispintergi4/0/1 //查看運行情況dispcuintergi4/0/1 〃查看配置情況配置注意細節(jié)：無。FE端口QINQ配置配置說明：配置FE端口做下聯(lián)端口，開啟QINQ功能。標準要求：配置開啟GE端口QINQ功能。配置接口描述符合第二章中IP城域網(wǎng)網(wǎng)絡設備命名及鏈路描述標準中規(guī)定。配置標準：interfaceEthernet3/0/1portlink-typehybridporthybridvlan3990to39914094tagged網(wǎng)管vlanporthybridtaggedvlan3990to39914094porthybridvlan12001to2005untaggedvlan1不能undo掉，其他為QinQ的外層vlanporthybridtaggedvlan12001to2005qinqenableportlink-typedot1q-tunnel端口下使能QinQ功能qosapplypolicye3/0/1inbound應用針對此端口的QinQ策略，入方向traffic-policye3/0/1inbound入方向限速可以使用qoscarqosapplypolicynmoutboundtraffic-policynmoutbound應用網(wǎng)管vlan的出方向策略配置驗證:displayinterfaceGigabitEthernet3/0/1 〃查看運行情況dispcuintergi3/0/1 〃查看配置情況配置注意細節(jié):無。GE、FE端口專線配置配置說明：配置接入專線用戶的GE、FE端口。標準要求：配置限速策略。配置標準：interfaceGigabitEthernet4/0/2portaccessvlan3501qosapplypolicyrate-1minboundtraffic-policye3/0/1inboundqoslroutboundcir1024cbs102400qoslrcir1024cbs102400outbound入方向限速，應用限速策略入方向限速可以使用qoscar出方向限速，直接設定，cbs=100cir，cir單位Kbps配置驗證：displayinterfaceGigabitEthernet4/0/2dispcuinterGigabitEthernet4/0/2〃查看運行情況〃查看配置情況配置注意細節(jié)：無。路由協(xié)議配置標準靜態(tài)路由配置靜態(tài)路由配置方式配置說明：手工配置靜態(tài)路由并設定相關參數(shù)。標準要求：無。配置標準：iproute-static2.2.2.2配置驗證：displayiprouting-tableprotocolstatic配置注意細節(jié)：靜態(tài)路由缺省優(yōu)先級為60。用戶策略配置定義防病毒訪問控制列表配置說明：定義防病毒ACL,防御病毒攻擊。標準要求：定義周知及常見的病毒端口。配置標準：aclnumber3100 病毒端口過濾控制列表rule0denytcpdestination-porteq3127rule1denytcpdestination-porteq1025rule2denytcpdestination-porteq5554rule3denytcpdestination-porteq9996rule4denytcpdestination-porteq1068rule5denytcpdestination-porteq135rule6denyudpdestination-porteq135rule7denytcpdestination-porteq137rule8denyudpdestination-porteqnetbios-nsrule9denytcpdestination-porteq138rule10denyudpdestination-porteqnetbios-dgmrule11denytcpdestination-porteq139rule12denyudpdestination-porteqnetbios-ssnrule13denytcpdestination-porteq593rule14denytcpdestination-porteq4444rule15denytcpdestination-porteq5800rule16denytcpdestination-porteq5900rule17denytcpdestination-porteq8998rule18denytcpdestination-porteq445rule19denyudpdestination-porteq445rule20denyudpdestination-porteq1434rule21denyudpdestination-porteq1433rule22denytcpdestination-porteq707

rule23denytcpdestination-porteq136配置驗證:displaycur配置注意細節(jié)：無QOS策略配置配置說明：定義流類型，比方病毒端口過濾、QINGQ流〔定義匹配用戶VLAN范圍〕、網(wǎng)管入方向流及網(wǎng)管出方向流。定義相關的流動作及相關的策略。標準要求：流及QOS策略的名稱由省公司統(tǒng)一制定。配置標準〔參考〕：定義流：端口病毒過濾

定義匹配報文的ACL規(guī)則定義流：端口病毒過濾

定義匹配報文的ACL規(guī)則定義流：QinQ流定義匹配用戶vlan范圍trafficclassifierqinq1operatorandif-matchcustomer-vlan-id2to480if-matchcvlan-id2trafficclassifierqinq2operatorandif-matchcustomer-vlan-id481to960trafficclassifierqinq3operatorandif-matchcustomer-vlan-id1001to1480trafficclassifierqinq4operatorandif-matchcustomer-vlan-id1481to1960trafficclassifierqinq5operatorandif-matchcustomer-vlan-id1921to2000trafficclassifierqinq6operatorandif-matchcustomer-vlan-id3001to3100#trafficclassifiernm-hw-inoperatorand 定義流：網(wǎng)管入方向流〔單層vlan標簽〕if-matchcustomer-vlan-id3991 定義匹配用戶vlan范圍trafficclassifiernm-zx-inoperatorandif-matchcustomer-vlan-id3990trafficclassifiernm-inoperatorandif-matchcustomer-vlan-id4094trafficclassifiernm-hw-outoperatorand定義流：網(wǎng)管出方向流〔單層vlan標簽〕if-matchservice-vlan-id3991 定義網(wǎng)絡側vlan范圍if-matchvlan-id3991trafficclassifiernm-zx-outoperatorandif-matchservice-vlan-id3990trafficclassifiernm-outoperatorandif-matchservice-vlan-id4094#trafficbehaviorvirus-filter 定義流動作：端口過濾

filterdenydenytrafficbehaviorg2/0/1-1nesttop-mostvlan-id2001trafficbehaviorg2/0/1-2nesttop-mostvlan-id2002trafficbehaviornm-hw-inremarkservice-vlan-id3991filterdenydenytrafficbehaviorg2/0/1-1nesttop-mostvlan-id2001trafficbehaviorg2/0/1-2nesttop-mostvlan-id2002trafficbehaviornm-hw-inremarkservice-vlan-id3991remarkvlan-id/clan-id3991trafficbehaviornm-zx-inremarkservice-vlan-id3990trafficbehaviornm-inremarkservice-vlan-id4094trafficbehaviornm-hw-outremarkcustomer-vlan-id3991remarkvlan-id/clan-id3991trafficbehaviornm-zx-outremarkcustomer-vlan-id3990trafficbehaviornm-outremarkcustomer-vlan-id4094#qospolicyvirus-filtertrafficpolicyvirus-filterclassifiervirus-filterbehaviorvirus-filterqospolicyg2/0/1classifiernm-hw-inbehaviornm-hw-inclassifiernm-zx-inbehaviornm-zx-inclassifiernm-inbehaviornm-inclassifierqinq1behaviorg2/0/1-1classifierqinq2behaviorg2/0/1-2qospolicynm定義流動作：G2/0/1端口第1個QinQ插入標簽動作

創(chuàng)建外層vlan動作為流行為配置標記網(wǎng)絡側vlan的動作為流行為配置標記用戶側vlan的動作定義策略：端口過濾qospolicy均使用trafficpolicy替換為流指定動作，把流和動作關聯(lián)起來定義策略：QinQ端口入方向，按端口命名網(wǎng)管使用網(wǎng)管使用網(wǎng)管使用按端口需要配置按端口需要配置定義策略：網(wǎng)管出方向classifiernm-hw-outbehaviornm-hw-outclassifiernm-zx-outbehaviornm-zx-outclassifiernm-outbehaviornm-out1.4.3用戶限速配置配置說明：設置用戶限速。標準要求：采用qospolicy為用戶限速。配置標準：aclnumber4000rule0permittrafficclassifierrateoperatorand 定義流：所有流量if-matchacl4000trafficbehaviorrate-1m 定義流動作：入方向限速carcir1024cbs102400ebs102400pir1024greenpassreddiscardyellowpasscarcir1024pir1024cbs1024000pbs1024000greenpassreddiscardyellowpasstrafficbehaviorrate-2mcarcir2048cbs204800ebs204800pir2048greenpassreddiscardyellowpasstrafficbehaviorrate-5mcarcir5120cbs512000ebs512000pir5120greenpassreddiscardyellowpasstrafficbehaviorrate-10mcarcir10240cbs1024000ebs1024000pir10240greenpassreddiscardyellowpasstrafficbehaviorrate-15mcarcir15360cbs1536000ebs1536000pir15360greenpassreddiscardyellowpasstrafficbehaviorrate-20mcarcir20480cbs2048000ebs2048000pir20480greenpassreddiscardyellowpasstrafficbehaviorrate-30mcarcir30720cbs3072000ebs3072000pir30720greenpassreddiscardyellowpassqospolicyrate-1m 定義策略：入方向限速trafficpolicyrate-1mclassifierratebehaviorrate-1mqospolicyrate-2mclassifierratebehaviorrate-2mqospolicyrate-5mclassifierratebehaviorrate-5mqospolicyrate-10mclassifierratebehaviorrate-10mqospolicyrate-15mclassifierratebehaviorrate-15mqospolicyrate-20mclassifierratebehaviorrate-20mqospolicyrate-30mclassifierratebehaviorrate-30m配置驗證:displayscheduler-profileall配置注意細節(jié)：無。1.5網(wǎng)管配置SNMP管理代理配置全局開啟SNMP進程配置說明：SNMP的結構分為NMS(NetworkManagementStation〕和Agent兩部分。SNMP就是用來規(guī)定NMS和Agent之間是如何傳遞管理信息的應用層協(xié)議。NMS，是運行客戶端程序的工作站，網(wǎng)管站〔NMS〕對網(wǎng)絡設備發(fā)送各種查學習文檔僅供參考學習文檔僅供參考學習文檔僅供參考學習文檔僅供參考學習文檔僅供參考學習文檔僅供參考詢報文，接收來自被管理設備的響應報文及Trap報文，并將結果顯示出來。Agent是駐留在被管理設備上的一個進程，負責接受、處理來自網(wǎng)管站的Request報文，根據(jù)報文類型對管理變量進行Read或Write操作，并生成Response報文，反送給NMS。另一方面，Agent在設備發(fā)生冷/熱啟動等異常情況時，也會主動向NMS發(fā)送Trap報文報告所發(fā)生的事件。NMS與Agent的關系如以下圖所示：UDPPort16-標準要求：要求統(tǒng)一配置交換機作為SNMPAgent,處理NMS發(fā)來的查詢報文并返回響應報文。配置標準：snmp-agent #啟動SNMPAgent服務配置驗證：displaysnmp-agentsys-info配置注意細節(jié)：無。ROCommunity值配置說明：SNMP團體〔Community〕由一字符串來命名，稱為團體名（CommunityName〕。不同的團體可具有只讀（read-only〕或讀寫（read-write〕訪問模式。具有只讀權限的團體只能對設備信息進行查詢，而具有讀寫權限的團體還可以對設備進行配置。配置community字符串不要過于簡單，一般應由字母、數(shù)字及特殊字符等組成，用于提高SNMP協(xié)議安全。標準要求：標準、統(tǒng)一配置設備的SNMPROCOMMNITY由省公司統(tǒng)一指定，根據(jù)需要保留地市COMMUNITY字符串。配置標準〔參考〕：snmp-agentcommunityreadhbnoc-ipnms #設置團體名及訪問權限snmp-agentcommunityread********配置驗證：displaysnmp-agentcommunityread配置注意細節(jié)：無。RWCommunity值配置說明：具有寫權限的的團體可以對設備進行配置。標準要求：標準、統(tǒng)一配置設備的SNMPROCOMMNITY由省公司統(tǒng)一指定，根據(jù)需要保留地市COMMUNITY字符串。配置標準〔參考〕：snmp-agentcommunitywritehbnoc-ipnms-rw #設置團體名及訪問權限配置驗證：displaysnmp-agentcommunitywrite配置注意細節(jié)：無。SNMP訪問控制列表配置說明：對SNMP增加ACL訪問列表，只允許指定的IP地址能通過SNMP協(xié)議訪問設備。標準要求：IP地址段由省公司統(tǒng)一制定。配置標準〔參考〕：snmp-agentcommunityreadhbnoc-ipnmsacl2077snmp-agentcommunitywritehbnoc-ipnms-rwacl2077aclnumber2077 #允許以下信任主機〔地市