一、连接及远程登陆

使用计算机作为控制台连接到网络设备，通过计算机对网络设备进行配置。1. 硬件连接：Console口电缆的一端连接计算机的串口，另一端连接网络设备的Console口。按照上述顺序制作双绞线，一端通过适配器连接到计算机的串口，另一端连接到网络设备的Console口。

注意：不要将反向电缆连接到网络设备的其他接口上。这可能导致设备损坏。

2、软件安装：

计算机需要安装终端仿真软件才能登录网络设备。超级终端超级终端通常采用secureCRT方式安装。

根据界面提示完成安装。连接接口选择“COM1”，端口速率选择“9600”，数据流控制选择“None”。其他参数保持默认值。

登录后，可以对网络设备进行配置。

0

用户模式：在此模式下，您可以简单地查看交换机的一些配置，并进行一些简单的更改。

Switch

特权模式：在特权模式下，用户可以查看部分交换机的配置信息。后面描述的许多show命令都是在这种模式下执行的，也可以用于时间等简单设置。

Switch enable //在User mode下输入enable，进入配置模式

开关#

全局配置模式：在该模式下，可以对交换机进行命名、密码、路由等配置。

Switch# configure terminal //在特权模式下，执行config terminal命令进入特权模式

Switch(config)#

端口配置模式：在该模式下，可以对端口进行配置，如ip地址等。

Switch(config)#interface gigabitEthernet 1/1

//在配置模式下，输入接口gigabitEthernet 1/0/1进入接口g 1/0/1。

一、交换机配置模式介绍：

交换机命名：在项目实施过程中，建议将交换机命名在不同的位置，便于记忆，提高管理效率。

Switch (config)#hostname ruijie //ruijie为交换机名

交换机配置管理密码：配置密码可以提高交换机的安全性。同时，通过telnet方式登录交换机时，需要配置telnet管理密码。

switch (config)#enable secret level 1 0 rg //配置telnet管理密码为rg, 1表示telnet密码，0表示不加密

switch (config)#enable secret level 15 0 rg //配置管理密码rg为特权模式，其中15为特权密码

配置交换机管理IP地址

switch (config)#interface vlan 1 //假设管理vlan为VLAN1

switch (config-if)#ip address 192.168.1.1255.255.255.0 //配置管理VLAN的管理ip地址

switch (config-if)#no shutdown //开启管理IP。无论您配置什么设备，都要养成使用这个命令的习惯

交换机配置网关：

switch(config)#ip default-gateway 192.168.1.254 //如果网关为192.168.1.254，执行该命令登录二层设备。

通过以上命令的配置，可以实现对设备的远程管理，在项目实施中(特别是设备位置的比较

色散)尤其有效。

为了降低中小企业客户的总拥有成本，锐捷推出灵活的端口形式：电、光接口复用接口，方便用户根据网络环境选择相应的媒体类型。但只能同时使用光口和电口。如果使用1F光口，1号电口不能使用。

接口介质类型转换：

Switch(config)#interface gigabitethernet 0/1

Switch(config-if)#medium-type fiber //修改接口工作模式为光接口

Switch(config-if)#medium-type copper //修改接口工作模式为电话接口

缺省情况下，接口工作在电气模式

在项目实施过程中，如果光纤模块指示灯不亮，正确的工作模式也是导致故障的原因之一。

二、交换机基本配置：

Switch(config)#interface interface-id //进入接口配置模式

0

Switch(config-if)#duplex //设置接口的双工模式

1000只对gb有效；缺省情况下，接口速率为auto，双工模式为auto。

配置的例子：

配置接口gigabitethernet 0/0/1的速率为1000M，双工模式为全双工。

Switch(config)#interface gigabitethernet 0/1

Switch(config-if)#speed 1000

Switch(config-if)#duplex full

光口的速率和双工配置只能为auto。

2.1 接口介质类型配置

为端口添加VLAN:

在交换机上创建VLAN。

Switch (config)#vlan 100 //设置VLAN100

Switch (config)#name ruijie //VLAN名称为ruijie

交换机端口加入VLAN 100:

Switch (config)#interface range f 0/1-48 //range选中1-48号串口。当多个端口以相同的方式配置时，这很有用

Switch (config-if-range)#switchport access VLAN100 //将接口加入vlan 100

Switch (config-if-range)#no switchport access vlan //将接口切换回缺省vlan 1，即端口初始配置

交换机端口工作模式：

Switch(config)#interface fastEthernet 0/1

Switch(config-if)#switchport mode access //端口工作在access模式

Switch(config-if)#switchport mode trunk //端口工作在中继模式

如果连接PC机，该端口默认工作在access模式。

如果该端口为上层连接端口，且交换机上存在多个vlan，则该端口工作在TRUNK模式。

本机VLAN配置：

Switch(config)#interface fastEthernet 0/1

Switch(config-if)#switchport mode trunk

Switch(config-if)#switchport trunk native vlan 100 //设置端口NATIVEVLAN为100

只有当端口工作在TRUNK模式时，才可以配置NATIVE VLAN。

TRUNK中本机VLAN的数据为Untagged。因此，即使端口不是TRUNK模式，本机Vlan也可以正常通信。

缺省情况下，锐捷交换机的NATIVE VLAN为1。不要改变它。

VLAN微调配置：

Switch(config)#interface fastEthernet 0/2

0

Switch(config-if)#no switchport trunk allowed vlan //禁用端口vlan微调功能

查看VLAN信息。

Switch#show vlan

VLAN Name Status Ports

1 default active Fa0/1 ,Fa0/11,Fa0/12

Fa0/13,Fa0/14,Fa0/15

Fa0/16,Fa0/17,Fa0/18

Fa0/19,Fa0/20,Fa0/21

Fa0/22,Fa0/23,Fa0/24

100 VLAN0100 active Fa0/1 ,Fa0/2 ,Fa0/3

Fa0/4 ,Fa0/5 ,Fa0/6

Fa0/7 ,Fa0/8 ,Fa0/9

Fa0/10

Switch#

2.2 接口速度/双工配置

端口镜像配置：

Switch (config)# monitor session 1 destinationinterface GigabitEthernet 0/2

//配置G0/2为镜像口

Switch (config)# monitor session 1 source interfaceGigabitEthernet 0/1 both

//配置G0/1为镜像口，入方向和出方向数据都镜像。

Switch (config)# no monitor session 1 //删除镜像1

S21和S35系列交换机不支持普通用户帐号镜像目的端口。创建用户时，需要将用户的MAC地址与端口绑定。

夏普SME交换机镜像支持一对多镜像，不支持多对多镜像。

删除TAG:

Switch (config)# monitor session 1 destinationinterface GigabitEthernet 0/2 encapsulation replicate

//encapsulation replication表示镜像数据不带TAG。

目前只有S37、S57、S86和S96交换机支持该功能。

锐捷交换机支持两种模式：

目的端口的输出报文是否携带TAG，取决于源数据流在输入时是否携带TAG。

所有镜像输出包都必须不带Tag。由于芯片的限制，只有二层报文可以不带Tag转发。对于经过三层路由的报文，镜像目的端口发送的报文携带标签。

查看端口镜像信息。

S3750#sh monitor session 1

Session: 1

Source Ports:

Rx Only : None

Tx Only : None

Both : Fa0/1

Destination Ports: Fa0/2

encapsulation replicate: true

2.3 VLAN配置：

端口聚合配置：

Switch(config)#interface fastEthernet 0/1

Switch (config-if)#port-group 1 //将端口f0/1加入聚合组1。

Switch (config-if)#no port-group 1 //从聚合组1中移除端口f0/1。

S2126G/50G交换机最多支持6个ap。每个AP最多可以包含8个端口。AP 6只预留给模块1和模块2。该AP不能添加其他端口，只能添加模块1和模块2到AP 6。

聚合端口必须连续。例如端口1和端口24不聚合。

查看端口聚合信息。

S3750#show aggregatePort 1 summary //查看聚合端口1。

AggregatePort MaxPorts SwitchPort Mode Ports

------------- -------- ---------- --------------------------------------------

Ag1 8 Enabled Access Fa0/1 , Fa0/2

S3750#

信息显示AP1的成员端口分别为0/1和0/2。

2.4 端口镜像

设置交换机优先级：

S3750(config)#device-priorit 5

锐捷交换机的堆叠采用菊花链堆叠。注意堆叠线的连接方式，如图5所示：

如果不设置交换机优先级，则设备自动堆叠成功。堆叠完成后，只能通过主交换机的CONSOLE口管理堆叠组。

查看堆叠信息。

Student_dormitory_B#show member

member MAC address priority alias SWVer HWVer

------ ---------------- ---------------------------------------- ----- -----

1 00d0.f8d9.f0ba 10 1.61 3.2

2 00d0.f8d9.f2ef 1 1.61 3.2

3 00d0.f8ff.d38e 1 1.61 3.3

ACL配置：

配置ACL操作步骤

配置ACL:

Switch(config)# Ip access-list extension ruijie //配置ACL ruijie。extend表示建立扩展ACL。

Switch(config)#no Ip access-list extension ruijie //删除名为ruijie的ACL。

添加ACE表项后，ACE被添加到ACL的末尾，不能插入中间。因此，如果要调整ACE的顺序，必须删除整个ACL并重新配置。

添加ACL规则如下：

Switch (config-ext-nacl)#deny icmp any 192.168.1.1255.255.255.0 //禁止PING地址为192.168.1.1的设备。

Switch (config-ext-nacl)# deny tcp any any eq 135 //关闭端口号为135的应用程序。

Switch (config-ext-nacl)#deny udp any any eq www //禁止使用www应用。

Switch(config-ext-nacl)# permit ip any any //允许所有动作。

在接口上应用ACL。

Switch (config)#interface range f 0/1

Switch (config-if)#ip access-group ruijie in //在端口f 0/1上应用名为ruijie的ACL。

Switch (config-if)#no ip access-group ruijie in //删除接口上的ACL。

ACL模板：

以下是一些需要禁用(但不限于)的常用端口和协议：

Switch (config-ext-nacl)# deny tcp any any eq 135

Switch(config-ext-nacl)# deny tcp any any eq 139

Switch(config-ext-nacl)# deny tcp any any eq 593

Switch(config-ext-nacl)# deny tcp any any eq 4444

Switch(config-ext-nacl)# deny udp any any eq 4444

Switch(config-ext-nacl)# deny udp any any eq 135

Switch(config-ext-nacl)# deny udp any any eq 137

Switch(config-ext-nacl)# deny udp any any eq 138

Switch(config-ext-nacl)# deny tcp any any eq 445

Switch(config-ext-nacl)# deny udp any any eq 445

Switch(config-ext-nacl)# deny udp any any eq 593

Switch(config-ext-nacl)# deny tcp any any eq 593

Switch(config-ext-nacl)# deny tcp any any eq 3333

Switch(config-ext-nacl)# deny tcp any any eq 5554

Switch(config-ext-nacl)# deny udp any any eq 5554

S2150G(config-ext-nacl)#denyudp any any eq netbios-ss

S2150G(config-ext-nacl)#denyudp any any eq netbios-dgm

S2150G(config-ext-nacl)#denyudp any any eq netbios-ns

Switch(config-ext-nacl)# permit ip any any

最后一个字段必须是permit ip any any;否则可能导致网络中断。

ACL注意事项：

如果交换机共享ACL、802.1X、端口安全、受保护端口等硬件表资源，则显示如下信息：% Error: Out of Rules Resources，硬件资源不足。需要删除部分ACL规则或删除部分应用。

ARP协议为系统保留。即使在接口上配置了deny any any的ACL，交换机也会允许这种类型的报文交换。

在靠近要控制的目标区域的设备上使用扩展访问控制列表。

如果ACE项是先permit，则在最后需要手工加deny ip any any，如果ACE项是先deny，则在最后需要手工加permit ip any any。

ACL信息查看：

Switch#show access-lists 1

Extended IP access list: 1

deny tcp any any eq 135

deny tcp any any eq 136

deny tcp any any eq 137

deny tcp any any eq 138

deny tcp any any eq 139

deny tcp any any eq 443

deny tcp any any eq 445

……

permit ip any any

Switch#

2.5 端口聚合

端口安全可以通过限制允许访问交换机上某个端口的MAC地址以及IP来实现控制对该端口的输入。当安全端口配置了一些安全地址后，则除了源地址为这些安全地址的包外，此端口将不转发其它任何报文。可以限制一个端口上能包含的安全地址最大个数，如果将最大个数设置为1，并且为该端口配置一个安全地址，则连接到这个口的工作站(其地址为配置的安全M地址)将独享该端口的全部带宽。

端口安全配置：

Switch (config)#interface range f 0/1

Switch(config-if)# switchport port-security //开启端口安全

Switch(config-if)# switchport port-security //关闭端口安全

Switch(config-if)# switchport port-security maximum 8//设置端口能包含的最大安全地址数为8

Switch(config-if)# switchport port-security violationprotect //设置处理违例的方式为protect

Switch(config-if)# switchport port-securitymac-address 00d0.f800.073cip-address 192.168.1.1

//在接口fastethernet0/1配置一个安全地址00d0.f800.073c，并为其绑定一个IP地址：192.168.1.1

Switch(config-if)#no switchport port-securitymac-address 00d0.f800.073cip-address 192.168.1.1 //删除接口上配置的安全地址

以上配置的最大安全地址数为8个，但只在端口上绑定了一个安全地址，所以该端口仍然能学习7个地址。

违例处理方式有：

protect：保护端口，当安全地址个数满后，安全端口将丢弃未知名地址(不是该端口的安全地址。

restrict：当违例产生时，将发送一个Trap通知。

shutdown：当违例产生时，将关闭端口并发送一个Trap通知。

端口安全信息查看：

Switch# show port-security interface fastethernet 0/3//查看接口f0/3的端口安全配置信息。

Interface : Fa0/3

Port Security: Enabled

Port status : down

Violation mode:Shutdown

Maximum MAC Addresses:8

Total MAC Addresses:0

Configured MAC Addresses:0

Aging time : 8 mins

SecureStatic address aging : Enabled

Switch# show port-security address //查看安全地址信息

Vlan Mac Address IP Address Type Port Remaining Age（mins）

---- --------------- --------------- ------------------ ------------------

1 00d0.f800.073c192.168.12.202 Configured Fa0/3 8

1 00d0.f800.3cc9 192.168.12.5 Configured Fa0/1 7

一个安全端口只能是一个access port；

802.1x认证功能和端口安全不能同时打开；

在同一个端口上不能同时应用绑定IP 的安全地址和ACL，否则会提示属性错误： % Error: Attribute conflict。

2.6 交换机堆叠

防ARP攻击：

在交换机上对防ARP攻击的功能有：

IP和MAC地址的绑定：

Switch(config)#arp ip-address hardware-address [type]interface-id

Switch(config)#arp 192.168.12.111 00d0.f800.073c arpa gigabitethernet 0/1

此命令只有三层交换机支持。

防网关被欺骗：

假设交换机的千兆口为上联口，百兆端口接用户，上联口接网关。如果某个用户假冒网关的IP发出ARP请求，那么其他用户无法区分是真正的网关还是假冒的网关，把假冒网关的ARP保存到本机的ARP列表中，最终将造成用户上网不正常。

针对ARP欺骗的手段，可以通过设置交换机的防ARP欺骗功能来防止网关被欺骗。具体的做法就是，在用户端口上通过防ARP欺骗命令设置要防止欺骗的IP，阻止以该设置IP为源IP地址的ARP通过交换机，这样可以保证交换机下联端口的主机无法进行网关ARP欺骗。

配置：

Switch(config)#Interface interface-id //进入指定端口进行配置。

Switch(config-if)#Anti-ARP-Spoofing ip ip-address //配置防止ip-address的ARP欺骗。

配置实例：

假设S2126GG1/1接上联端口，Fa0/1~24接用户，网关ip地址为192.168.64.1，在端口1到24口设置防网关ARP欺骗如下：

Switch(config)# inter range fastEthernet 0/1-24 //进入端口Fa0/1~24进行配置。

Switch(config-if-range)#anti-ARP-Spoofing ip192.168.64.1 //设置防止192.168.64.1 arp欺骗

Switch(config-if-range)# no anti-ARP-Spoofing ip192.168.64.1 //去掉防ARP欺骗。

防网关被欺骗只能配置在用户端口处，不能配置在交换机的上联口，否则会造成网络中断。

防网关被欺骗不能防ARP主机欺骗，也就是说该功能只是在一定程度上减少ARP欺骗的可能性，并不是完全防止ARP欺骗。

防STP攻击：

网络中攻击者可以发送虚假的BPDU报文，扰乱网络拓扑和链路架构，充当网络根节点，获取信息。

采取的防范措施：

对于接入层交换机，在没有冗余链路的情况下，尽量不用开启STP协议。（传统的防范方式）。

使用交换机具备的BPDU Guard功能，可以禁止网络中直接接用户的端口或接入层交换机的下连端口收到BPDU报文。从而防范用户发送非法BPDU报文。

配置：

Switch(config)# inter fastEthernet 0/1 //进入端口Fa0/1。

Switch(config-if)# spanning-tree bpduguard enable //打开该端口的的BPDU guard功能

Switch(config-if)# spanning-tree bpduguard diaable //关闭该端口的的BPDU guard功能打开的BPDU guard，如果在该端口上收到BPDU，则会进入error-disabled 状态，只有手工把该端口shutdown然后再no shutdown或者重新启动交换机，才能恢复。

该功能只能在直接面向PC的端口打开，不能在上联口或非直接接PC的端口打开。

防DOS/DDOS攻击：

DoS/DDoS（拒绝服务攻击/分布式拒绝服务攻击）：它是指故意攻击网络协议的缺陷或直接通过野蛮手段耗尽受攻击目标的资源，目的是让目标计算机或网络无法提供正常的服务，甚至系统崩溃。

锐捷交换机可设置基于RFC 2827的入口过滤规则

配置：

Switch(config)# inter fastEthernet 0/1 //进入端口Fa0/1。

Switch(config-if)#ip deny spoofing-source //预防伪造源IP的DOS攻击的入口过滤功能。丢弃所有与此网络接口前缀不符合的输入报文。

Switch(config-if)#no ip deny spoofing-source //关闭入口过滤功能。

只有配置了网络地址的三层接口才支持预防DoS攻击的入口过滤功能。

注意只能在直连(connected)接口配置该过滤，在和骨干层相连的汇聚层接口（即uplink口）上设置入口过滤，会导致来自于internet各种源ip报文无法到达该汇聚层下链的主机。

只能在一个接口上关联输入ACL或者设置入口过滤，二者不能同时应用。如果已经将一个接口应用了一个ACL，再打开预防DoS的入口过滤，将导致后者产生的ACL代替前者和接口关联。反之亦然。

在设置基于defeat DoS的入口过滤后，如果修改了网络接口地址，必须关闭入口过滤然后再打开，这样才能使入口过滤对新的网络地址生效。同样，对SVI应用了入口过滤，SVI对应物理端口的变化，也要重新设置入口过滤。

S57系列交换机中S5750S不支持Defeat DoS。

IP扫描攻击：

目前发现的扫描攻击有两种：

目的IP地址变化的扫描，称为scan dest ip attack。这种扫描最危害网络，消耗网络带宽，增加交换机负担。

目的IP地址不存在，却不断的发送大量报文，称为“same destip attack。对三层交换机来说，如果目的IP地址存在，则报文的转发会通过交换芯片直接转发，不会占用交换机CPU的资源，而如果目的IP不存在，交换机CPU会定时的尝试连接，而如果大量的这种攻击存在，也会消耗着CPU资源。

配置：

Switch(config)#system-guard enable //打开系统保护

Switch(config)#no system-guard //关闭系统保护功能

非法用户隔离时间每个端口均为120秒

对某个不存在的IP不断的发IP报文进行攻击的最大阀值每个端口均为每秒20个

对一批IP网段进行扫描攻击的最大阀值每个端口均为每秒10个

监控攻击主机的最大数目100台主机

查看信息：

Switch#show system-guard isolated-ip

interface ip-address isolate reasonremain-time(second)

---------- ------------------ --------------------------------------

Fa 0/1 192.168.5.119 scan ip attack 110

Fa 0/1 192.168.5.109 same ip attack 61

以上几栏分别表示：已隔离的IP地址出现的端口、已隔离的IP地址，隔离原因，隔离的剩余时间。

isolate reason中有可能会显示“chip resource full”，这是因为交换机隔离了较多的用户，导致交换机的硬件芯片资源占满（根据实际的交换机运作及ACL设置，这个数目大约是每端口可隔离100120个IP地址），这些用户并没有实际的被隔离，管理员需要采取其他措施来处理这些攻击者。

另外，当非法用户被隔离时，会发一个LOG记录到日志系统中，以备管理员查询，非法用户隔离解除时也会发一个LOG通知。

2.7 ACL配置

按照通常的DHCP应用模式（Client—Server模式），由于DHCP请求报文的目的IP地址为255.255.255.255，因此每个子网都要有一个DHCP Server来管理这个子网内的IP动态分配情况。为了解决这个问题，DHCP Relay Agent就产生了，它把收到的DHCP 请求报文转发给DHCP Server，同时，把收到的DHCP响应报文转发给DHCP Client。DHCP Relay Agent就相当于一个转发站，负责沟通不同广播域间的DHCP Client和DHCP Server的通讯。这样就实现了局域网内只要安装一个DHCP Server就可对所有网段的动态IP管理，即Client—Relay Agent—Server模式的DHCP动态IP管理。

DHCP RELAY功能使用在网络中只有一台DHCP SERVER，但却有多个子网的网络中：

配置：

打开DHCP Relay Agent：

Switch(config)#service dhcp //打开DHCP服务，这里指打开DHCP Relay Agent

Switch(config)#no service dhcp //关闭DHCP服务

配置DHCP Server的IP地址：

Switch(config)#ip helper-address address //设置DHCPServer的IP地址

配置实例：

Switch(config)#service dhcp

Switch(config)#ip helper-address 192.168.1.1 //设置DHCPServer的IP地址为192.168.1.1

配置了DHCP Server，交换机所收到的DHCP请求报文将全部转发给它，同时，收到Server的响应报文也会转发给DHCP Client。

2.8 端口安全

SVI：

SVI(Switch virtual interface) 是和某个VLAN关联的IP接口。每个SVI只能和一个VLAN关联，可分为以下两种类型：

SVI是本机的管理接口，通过该管理接口管理员可管理交换机。

SVI是一个网关接口，用于3层交换机中跨VLAN之间的路由。

配置：

switch(config)#interface vlan 10 //把VLAN10配置成SVI

switch(config)#no interface vlan 10 //删除SVI

switch(config-if)#ip address 192.168.1.1 255.255.255.0//给该SVI接口配置一个IP地址

switch(config-if)#no ip address //删除该SVI接口上的IP地址

此功能一般应用在三层交换机做网关的时候，应用SVI在该设备上建立相关VLAN的网关IP。

Routed Port：

在三层交换机上，可以使用单个物理端口作为三层交换的网关接口，这个接口称为Routed port。Routed port不具备2层交换的功能。通过no switchport命令将一个2层接口switch port转变为Routed port,然后给Routed port分配IP地址来建立路由。

配置：

switch (config)#interface fa 0/1

switch (config-if)#no switch //把f0/1变成路由口

switch (config-if)#switch //把接口恢复成交换口

switch (config-if)#ip address 192.168.1.1255.255.255.0 //可配置ip地址等一个限制是，当一个接口是L2 AggregatePort的成员口时，是不能用switchport/no switchport命令进行层次切换的。

该功能一般应用在对端设备是路由器或对端端口作路由接口使用。

路由配置：

静态路由是由用户自行设定的路由，这些路由指定了报文从源地址到目的地址所走的路径。

锐捷网络所有三层交换机都支持路由功能，包括静态路由、默认路由、动态路由。

静态路由配置：

switch (config)#ip route 目的地址掩码下一跳//添加一条路由

switch (config)#no ip route 目的地址掩码//删除掉某条路由

默认路由配置：

switch (config)#ip route 0.0.0.00.0.0.0 下一跳

switch (config)#no ip route 0.0.0.00.0.0.0 下一跳//删除某条默认路由。

配置实例：

switch (config)#ip route 192.168.1.0 255.255.255.0 1.1.1.1//配置到网段192.168.1.0的下一跳ip地址为1.1.1.1

switch (config)#ip route 0.0.0.00.0.0.0 1.1.1.1 //配置一条默认路由，下一跳为1.1.1.1

信息显示：

switch #show ip route //显示当前路由表的状态

switch#sh ip route

Codes: C - connected, S - static, R - RIP

O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSAexternal type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

* - candidate default

Gateway of last resort is 218.4.190.1 to network 0.0.0.0

S* 0.0.0.0/0 [1/0] via218.4.190.1, FastEthernet 1/0

C 61.177.13.66/32 is local host.

C 61.177.24.1/32 is directly connected, dialer 1

S 172.16.0.0/24 [1/0] via 192.168.0.1, FastEthernet0/0

C 192.168.0.0/24 is directly connected, FastEthernet0/0

C 192.168.0.253/32 is local host.

C 218.4.190.0/29 is directly connected, FastEthernet1/0

C 218.4.190.2/32 is local host.

S 218.5.3.0/24 [1/0] via 218.4.190.1, FastEthernet 1/0

Switch#

S代表是静态路由，C代表是直连路由。

三、交换机常用查看命令

show cpu //查看CPU利用率

switch #show cpu

CPU utilization for five seconds: 3%

CPU utilization for one minute : 6%

CPU utilization for five minutes: 6%

如果CPU利用率偏高，就要考虑网络中是否有攻击或者网络设备是否能胜任当前的网络负载。一般来说，CPU超过30%就不正常了。

show clock //查看交换机时钟

switch #show clock

System clock : 2007-3-18 10:29:14 Sunday

show logging //查看交换机日志

switch #show logging

Syslog logging: Enabled

Console logging: Enabled(debugging)

Monitor logging: Disabled

Buffer logging: Enabled(debugging)

Server logging severity: debugging

File logging: Disabled

注意，日志前面都有时间，但交换机的时钟往往和生活中的时钟对不上，这时需要我们使用show clock查看交换机时钟，进而推断

日志发生的时间，便于发现问题。

show mac-address-table dynamic //查看交换机动态学习到的MAC地址表

switch #show mac-address-table dynamic

Vlan MAC Address Type Interface

---------- -------------------- ---------------------------

1 00d0.f8ba.6001 DYNAMIC Gi1/1/1

21 0020.ed42.b02e DYNAMIC Fa1/0/10

21 00d0.f8ba.6007 DYNAMIC Gi1/1/1

查看交换机的MAC表，要注意查看MAC地址是否是从正确的端口学习上来的，或者是否存在某个PC的MAC地址。

show running-config //查看当前交换机运行的配置文件

通过此命令，可以查看交换机的配置情况，我们在处理故障时一般都要先了解设备有哪些配置。

show version //查看交换机硬件、软件信息

switch #sh verison

System description : Red-Giant Gigabit StackingIntelligent

Switch(S2126G/S2150G) By Ruijie Network

System uptime : 0d:3h:39m:6s

System hardware version : 3.2 //硬件版本信息

System software version : 1.61(4) Build Sep 9 2005Release //IOS版本信息

System BOOT version : RG-S2126G-BOOT 03-02-02//BOOT层版本信息

System CTRL version : RG-S2126G-CTRL 03-08-02//CTRL版本信息

Running Switching Image : Layer2

有些故障是软件版本的BUG，所以遇到问题时也需要了解该设备的软件版本，是否版本过低，是否新版本已解决了这个故障。

show arp //查看交换机的arp表

S3750#show arp

Address Age (min) Hardware Addr Type Interface

--------------- ---------- -------------- --------------------------

192.168.0.1 6 00d0.f888.3177 arpa VL1

192.168.0.245 57 00d0.f8a5.6d5b arpa VL1

Arp表显示了IP地址和MAC地址的对应关系，可以了解设备是否正确学习了PC的IP和MAC，也可以分析是否有arp攻击等。

show interfaces gigabitEthernet 4/1 counters //显示接口详细信息的命令

Interface : Gi4/1

5 minute input rate : 95144528 bits/sec, 12655pack

//5分钟平均输入比特和包的流量情况

5 minute output rate : 32025224 bits/sec, 9959packets/sec

//5分钟平均输出比特和包的流量情况

InOctets : 538589***1435 //流入的总的信元数目

InUcastPkts : 5826645588 //流入端口的单播包的数目

InMulticastPkts : 2 //流入端口的组播包数目

InBroadcastPkts : 26738 //流入端口的广播包数目

OutOctets : 2260427126592 //流出端口的信元数目

OutUcastPkts : 4719687624 //流出端口的单播包的数目

OutMulticastPkts : 1195703 //流出端口的组播包数目

OutBroadcastPkts : 195960 //流出端口的广播包数目

Undersize packets : 0 //碎片包（小余64字节的包）的个数

Oversize packets : 0 //特大型（一般来说大于65535字节的包）的包的个数

collisions : 0 //冲突的次数

Fragments : 0 //碎片的个数

Jabbers : 0 //无意义的包的个数

CRC alignment errors : 0 //CRC校验错误个数

AlignmentErrors : 0 //队列错误的个数

FCSErrors : 0 //帧FCS校验错误的个数

dropped packet events (due to lack of resources): 0 //由于端口缺乏资源而丢弃的包的个数

packets received of length (in octets):

64:2372602475, 65-127: 1781677084, 128-255: 492840867,//相应长度范围内数据包的个数

256-511: 251776189, 512-1023: 1254108344, 1024-1518:99779360

关注端口数据包的数目，如果某类型的数据包明显异常多，比如广播包多，则有可能网络中有广播风暴。

关注碎片包、冲突包、CRC校验错误包等错误包的个数，如果很多，则要考虑端口有无物理故障，线路有无问题，或者两端协商是否正常。

//队列错误的个数

FCSErrors : 0 //帧FCS校验错误的个数

dropped packet events (due to lack of resources): 0 //由于端口缺乏资源而丢弃的包的个数

packets received of length (in octets):

64:2372602475, 65-127: 1781677084, 128-255: 492840867,//相应长度范围内数据包的个数

256-511: 251776189, 512-1023: 1254108344, 1024-1518:99779360

关注端口数据包的数目，如果某类型的数据包明显异常多，比如广播包多，则有可能网络中有广播风暴。

关注碎片包、冲突包、CRC校验错误包等错误包的个数，如果很多，则要考虑端口有无物理故障，线路有无问题，或者两端协商是否正常。

锐捷交换机常用查看命令.

1、配置Telnet。

1.1)、enable 　　　　　　进入特权模式。

　 1.2)、configure terminal 　进入全局配置模式。

　 1.3)、line vty 0 4 　　　　 配置远程登陆线路，0~4是远程登陆的线段编号。

　 1.4)、Login 　　　　　 用于打开登陆认证的功能。

　 1.5)、Login local。

　 1.6)、username admin password 123456 设置用户名是admin,登陆密码是123456。

　 1.7)、en secret 123456 　 配置的口令在配置文件中是用安全加密的方式进行存储的。

2、常用命令。

　　2.1)、exit 　　　　　　返回上一级。

　　2.2)、end 　　 　　　返回到特权模式。

　　2.3)、write memory 　 保存命令(特权模式下执行)

　　2.4)、del config.text 　 恢复出厂设置(全局配置模式下执行)

　　2.5)、reload 　　　　 保存(特权模式下执行)

　　2.6)、show arp 　　　 查看设备的IP地址和Mac对应的关系。

3、创建Vlan,为Vlan 设置IP地址。

　　3.1)、Vlan 50　　　　 　 创建一个vlan 50

　　3.2)、name Vlan50 　 　　将创建好的Vlan命名为Vlan50

　　3.3)、interface vlan 50 　 进入Vlan 50中。

　　3.4)、ip adress 192.168.1.250 255.255.255.0 设置登陆IP地址。

　　3.5)、no vlan 50 　　　　 删除vlan。

4、端口基本操作。

　　4.1)、interface fastethernet 0/4 　　 　　　进入端口配置模式，也可写成int f0/4。

　　4.2)、no shutdown 　　　　　　 　　　开启端口(默认是开启的，一般不写这行代码)。

　　4.3)、switchport access vlan 50 　 　　　将端口4加入到vlan 50中。

　　4.3)、no switchport access vlan 　 　　　将端口划回默认valn1中(从Vlan50中删除掉了)。

　　4.4)、switchport mode access 　　 　　 将端口模式改成access模式。

　　4.5)、switchport mode trunk 　　　 　　　将端口模式改成trunk模式。

　　4.6)、switchport trunk allowed vlan all 　　配置trunk口的许可vlan 列表。

5、如何删除带有端口和IP地址的Vlan？

　　 5.1)、no switchport access vlan 先把端口从vlan中删除掉。

　　 5.2)、no int vlan 50

　　 5.3)、no vlan 50 删除vlan 50

6、接口配置。　　

　　　6.1)、int gig1/0/25 　　　　进入接口。

　　 6.2)、medium-type fiber 　 将接口工作模式改为光口。

　 6.3)、medium-type copper 把接口工作模式改成电口。

7、开启和禁止远程登陆。

　　 7.1)、enable service telnet-server 开启telnet(全局配置模式中执行)

　　 7.2)、no enable service telnet-server 关闭telnet(全局配置模式中执行)

　　 7.3)、service telnet host 192.168.1.22 只允许IP地址为192.168.1.10的用户使用Telnet连接。

　　 7.4)、no service telnet host 192.168.1.22 不允许IP地址为192.168.1.10的用户使用Telnet连接。

8、查看telnet Server状态。

　　 8.1)、show service 查看telnet是否被禁用。

9、设置远程登陆的超时时间。　　

　　当你用Telnet登陆交换机以后，如果在设定的超时时间内没有任何输入，交换机就会自动断开该连接。Telnet的超时时间默认是5分钟，可以通过命令行进行修改。

　　设置超时时间时，必须先用line vty 命令进入远程登陆的线路模式再配置超时时间。　　

　　 9.1)、exec-timeout N秒数 设置超时时间，单位是秒，取值范围为0~3600，其中0表示不限定超时时间。

　　9.2)、exec-timeout 600 设置远程登陆的超时时间为10分钟。

　　9.3)、no exec-timeout 删除超时时间，恢复成默认的5分钟