华为交换机各种配置方法(3)

三、配置步骤

对于二层交换机如S3026C等支持用户自定义ACL（number为5000到5999）的交换机，可以配置ACL来进行ARP报文过滤。

全局配置ACL禁止所有源IP是网关的ARP报文

acl num 5000

rule 0 deny 0806 ffff 24 64010101 ffffffff 40

rule 1 permit 0806 ffff 24 000fe2003999 ffffffffffff 34

其中rule0把整个S3026C_A的端口冒充网关的ARP报文禁掉，其中斜体部分64010101是网关IP地址100.1.1.1的16进制表示形式。Rule1允许通过网关发送的ARP报文，斜体部分为网关的mac地址000f-e200-3999。

注意：配置Rule时的配置顺序，上述配置为先下发后生效的情况。

在S3026C-A系统视图下发acl规则：

[S3026C-A] packet-filter user-group 5000

这样只有S3026C_A上连网关设备才能够发送网关的ARP报文，其它主机都不能发送假冒网关的arp响应报文。

三层交换机实现仿冒网关的ARP防攻击

一、组网需求：

1. 三层交换机实现防止同网段的用户仿冒网关IP的ARP攻击

二、组网图

图2 三层交换机防ARP攻击组网

三、配置步骤

1. 对于三层设备，需要配置过滤源IP是网关的ARP报文的ACL规则，配置如下ACL规则： acl number 5000

rule 0 deny 0806 ffff 24 64010105 ffffffff 40

rule0禁止S3526E的所有端口接收冒充网关的ARP报文，其中斜体部分64010105是网关IP地址100.1.1.5的16进制表示形式。

2. 下发ACL到全局

[S3526E] packet-filter user-group 5000

仿冒他人IP的ARP防攻击

一、组网需求：

作为网关的设备有可能会出现错误ARP的表项，因此在网关设备上还需对用户仿冒他人IP的ARP攻击报文进行过滤。

二、组网图：

参见图1和图2

三、配置步骤：

1. 如图1所示，当PC-B发送源IP地址为PC-D的arp reply攻击报文，源mac是PC-B的mac (000d-88f8-09fa)，源ip是PC-D的ip(100.1.1.3)，目的ip和mac是网关（3552P）的，这样3552上就会学习到错误的arp，如下所示：

--------------------- 错误 arp 表项 --------------------------------

IP Address MAC Address VLAN ID Port Name Aging Type

100.1.1.4 000d-88f8-09fa 1 Ethernet0/2 20 Dynamic

100.1.1.3 000f-3d81-45b4 1 Ethernet0/2 20 Dynamic

从网络连接可以知道PC-D的arp表项应该学习到端口E0/8上，而不应该学习到E0/2端口上。但实际上交换机上学习到该ARP表项在E0/2。上述现象可以在S3552上配置静态ARP实现防攻击：

arp static 100.1.1.3 000f-3d81-45b4 1 e0/8

2. 在图2 S3526C上也可以配置静态ARP来防止设备学习到错误的ARP表项。

3. 对于二层设备（S3050C和S3026E系列），除了可以配置静态ARP外，还可以配置IP＋MAC＋port绑定，比如在S3026C端口E0/4上做如下操作：

am user-bind ip-addr 100.1.1.4 mac-addr 000d-88f8-09fa int e0/4

则IP为100.1.1.4并且MAC为000d-88f8-09fa的ARP报文可以通过E0/4端口，仿冒其它设备的ARP报文则无法通过，从而不会出现错误ARP表项。

四、配置关键点：

此处仅仅列举了部分Quidway S系列以太网交换机的应用。在实际的网络应用中，请根据配置手册确认该产品是否支持用户自定义ACL和地址绑定。仅仅具有上述功能的交换机才能防止ARP欺骗。

5，关于ACL规则匹配的说明

a) ACL直接下发到硬件中的情况

交换机中ACL可以直接下发到交换机的硬件中用于数据转发过程中的过滤和流分类。此时一条ACL中多个子规则的匹配顺序是由交换机的硬件决定的，用户即使在定义ACL时配置了匹配顺序也不起作用。

ACL直接下发到硬件的情况包括：交换机实现QoS功能时引用ACL、硬件转发时通过ACL过滤转发数据等。

b) ACL被上层模块引用的情况

交换机也使用ACL来对由软件处理的报文进行过滤和流分类。此时ACL子规则的匹配顺序有两种：config（指定匹配该规则时按用户的配置顺序）和auto（指定匹配该规则时系统自动排序，即按“深度优先”的顺序）。这种情况下用户可以在定义ACL的时候指定一条ACL中多个子规则的匹配顺序。用户一旦指定某一条访问控制列表的匹配顺序，就不能再更改该顺序。只有把该列表中所有的规则全部删除后，才能重新指定其匹配顺序。

ACL被软件引用的情况包括：路由策略引用ACL、对登录用户进行控制时引用ACL等。

交换机配置（四）密码恢复

说明：以下方法将删除原有config文件，使设备恢复到出厂配置。

在设备重启时按Ctrl+B进入BOOT MENU之后，

Press Ctrl-B to enter Boot Menu... 5

Password : 缺省为空，回车即可

1. Download application file to flash

2. Select application file to boot

3. Display all files in flash

4. Delete file from Flash

5. Modify bootrom password

0. Reboot

Enter your choice(0-5): 4 选择4

No. File Name File Size(bytes)

=========================================================================== 1 S3026CGSSI.btm 257224

2 wnm2.2.2-0005.zip 447827

3 snmpboots 4

4 * R0023P01.app 2985691

5 hostkey 428

6 serverkey 572

7 vrpcfg.txt 1281

Free Space : 3452928 bytes

The current application file is R0023P01.app

Please input the file number to delete: 7 选择7,删除当前的配置文件 Do you want to delete vrpcfg.txt now? Yes or No(Y/N)y

Delete file....done!

BOOT MENU

1. Download application file to flash

2. Select application file to boot

3. Display all files in flash

4. Delete file from Flash

5. Modify bootrom password

0. Reboot

Enter your choice(0-5):0 选择0,重启设备

注：删除之后交换机就恢复了出厂配置。

交换机配置（五）三层交换配置

1， 三层交换数据包转发流程图：

2，三层交换机配置实例：

服务器1双网卡，内网IP:192.168.0.1，其它计算机通过其代理上网

PORT1属于VLAN1

PORT2属于VLAN2

PORT3属于VLAN3

VLAN1的机器可以正常上网

配置VLAN2的计算机的网关为：192.168.1.254

配置VLAN3的计算机的网关为：192.168.2.254

即可实现VLAN间互联

如果VLAN2和VLAN3的计算机要通过服务器1上网

则需在三层交换机上配置默认路由

系统视图下：ip route-static 0.0.0.0 0.0.0.0 192.168.0.1

然后再在服务器1上配置回程路由

进入命令提示符

route add 192.168.1.0 255.255.25 …… 此处隐藏：3504字，全部文档内容请下载后查看。喜欢就下载吧 ……