1、南京科远自动化集团股份有限公司南京科远自动化集团股份有限公司 二零一零年九月二零一零年九月H3C路由器与交换机的介绍及其简单配置路由器与交换机的介绍及其简单配置什么是路由器什么是路由器路由器：连接因特网中各局域网、广域网的设备，它路由器：连接因特网中各局域网、广域网的设备，它会根据信道的情况自动选择和设定路由，以最佳路径，会根据信道的情况自动选择和设定路由，以最佳路径，按前后顺序发送信号的设备。按前后顺序发送信号的设备。 路由器英文名路由器英文名Router，路由器是互联网络的枢纽、路由器是互联网络的枢纽、交通警察交通警察。目前路由器。目前路由器已经广泛应用于各行各业，各种不同档次的产品已经已
2、经广泛应用于各行各业，各种不同档次的产品已经成为实现各种骨干网内部连接、骨干网间互联和骨干成为实现各种骨干网内部连接、骨干网间互联和骨干网与互联网互联互通业务的主力军网与互联网互联互通业务的主力军。网络节点上话务承载装置、交换级、控制网络节点上话务承载装置、交换级、控制和信令设备以及其他功能单元的集合体。和信令设备以及其他功能单元的集合体。交换机能把用户线路、电信电路和交换机能把用户线路、电信电路和(或或)其他其他要互连的功能单元根据单个用户的请求连要互连的功能单元根据单个用户的请求连接起来。接起来。 下图即使本次工程即将使用的路由器下图即使本次工程即将使用的路由器H3C MSR-5040路由
3、器设备的主要功能路由器设备的主要功能路由器的主要功能就是路由器的主要功能就是“路由路由”的作用，通俗地讲就是的作用，通俗地讲就是“向导向导”作用，路作用，路由的意思其实就是路径选择，主要用来为数据包转发指明一个方向的作用。由的意思其实就是路径选择，主要用来为数据包转发指明一个方向的作用。但如要细分的话，路由器的但如要细分的话，路由器的“路由路由”功能可以细分为如以下几个方面：功能可以细分为如以下几个方面： （1）。在网际间接收节点发来的数据包，然后根据数据包中的源地址和目）。在网际间接收节点发来的数据包，然后根据数据包中的源地址和目的地址，对照自己缓存中的路由表，把数据包直接转发到目的节点，这
4、主的地址，对照自己缓存中的路由表，把数据包直接转发到目的节点，这主要是我在上面所讲的路由器的最主要，也是最基本的路由作用。要是我在上面所讲的路由器的最主要，也是最基本的路由作用。 （2）为网际间通信选择最合理的路由，这个功能其实是上述路由功能的一）为网际间通信选择最合理的路由，这个功能其实是上述路由功能的一个扩展功能。如果有几个网络通过各自的路由器连在一起，一个网络中的个扩展功能。如果有几个网络通过各自的路由器连在一起，一个网络中的用户要向另一个网络的用户发出访问请求的话，路由器就会分析发出请求用户要向另一个网络的用户发出访问请求的话，路由器就会分析发出请求的源地址和接收请求的目的节点地址中的
5、网络的源地址和接收请求的目的节点地址中的网络ID号，找出一条最佳的、最号，找出一条最佳的、最经济、最快捷的一条通信路径。就像我们平时到了一个陌生的地方，不知经济、最快捷的一条通信路径。就像我们平时到了一个陌生的地方，不知道到目的地点的最佳走法，这时我们就得找一个向导，这个向导就会告诉道到目的地点的最佳走法，这时我们就得找一个向导，这个向导就会告诉我们这个最佳的捷径，因为他熟悉各条的走法，这里所讲的路由器就相当我们这个最佳的捷径，因为他熟悉各条的走法，这里所讲的路由器就相当于这里的于这里的“向导向导”。（3）拆分和包装数据包，这个功能也是路由功能的附属功能。因为有时在）拆分和包装数据包，这个功能
6、也是路由功能的附属功能。因为有时在数据包转发过程中，由于网络带宽等因素，数据包过大的话，很容易造成数据包转发过程中，由于网络带宽等因素，数据包过大的话，很容易造成网络堵塞，这时路由器就要把大的数据包根据对方网络带宽的状况拆分成网络堵塞，这时路由器就要把大的数据包根据对方网络带宽的状况拆分成小的数据包，到了目的网络的路由器后，目的网络的路由器就会再把拆分小的数据包，到了目的网络的路由器后，目的网络的路由器就会再把拆分的数据包装成一个原来大小的数据包，再根据源网络路由器的转发信息获的数据包装成一个原来大小的数据包，再根据源网络路由器的转发信息获取目的节点的取目的节点的MAC地址，发给本地网络的节点
7、。地址，发给本地网络的节点。 （4）不同协议网络之间的连接。目前多数中、高档的路由器往往具有多通）不同协议网络之间的连接。目前多数中、高档的路由器往往具有多通信协议支持的功能，这样就可以起到连接两个不同通信协议网络的作用。信协议支持的功能，这样就可以起到连接两个不同通信协议网络的作用。如常用如常用Windows NT 操作平台所使用的通信协议主要是操作平台所使用的通信协议主要是TCPIP协议，但协议，但是如果是是如果是NetWare系统，则所采用的通信协议主要是系统，则所采用的通信协议主要是IPXSPX协议，还有协议，还有一些特殊协议网段，这些都需要靠支持这些协议的路由器来连接。一些特殊协议网
8、段，这些都需要靠支持这些协议的路由器来连接。 （5） 目前许多路由器都具有防火墙功能（可配置独立目前许多路由器都具有防火墙功能（可配置独立IP地址的网管型路地址的网管型路由器），它能够起到基本的防火墙功能，也就是它能够屏蔽内部网络的由器），它能够起到基本的防火墙功能，也就是它能够屏蔽内部网络的IP地址，自由设定地址，自由设定IP地址、通信端口过滤，使网络更加安全地址、通信端口过滤，使网络更加安全。 H3C MSR 5040 路由器路由器下面重点介绍本次工程即将使用的主力路由器下面重点介绍本次工程即将使用的主力路由器MSR5040MSR 50提供了丰富的路由协议及安全功能，包括静态路由，提供了丰
9、富的路由协议及安全功能，包括静态路由，RIP，OSPF，BGP,Firewall、IPSec VPN、MPLS VPN、CA、Secure Shell（SSH）协议）协议2.0、入侵保护、入侵保护、DDoS防御、攻击防御等。防御、攻击防御等。 本次工程使用的主要是本次工程使用的主要是OSPF以及以及DHCP，FireWall等功能等功能1 通过通过Console口登陆路由器口登陆路由器第一步：建立本地配置环境，只需将计算机（或终端）的串口通过标准第一步：建立本地配置环境，只需将计算机（或终端）的串口通过标准RS-232电缆与路由器的电缆与路由器的Console口连接，如图所示。口连接，如图所示
10、。 图图2-1 通过通过Console口搭建本地配置环境口搭建本地配置环境第二步：在计算机上运行终端仿真程序（如第二步：在计算机上运行终端仿真程序（如Windows 9X / Windows XP / Windows 2000的超级终端等），设置终端通信参数为的超级终端等），设置终端通信参数为9600bps、8位数据位、位数据位、1位停止位、无奇偶校验和无流量控制，并选择终端类型为位停止位、无奇偶校验和无流量控制，并选择终端类型为VT100，如图所示。，如图所示。 新建连接新建连接 连接端口设置连接端口设置端口通信参数设置端口通信参数设置第三步：路由器上电自检，系统自动进行配置，自检结束后提示
11、用户键入回第三步：路由器上电自检，系统自动进行配置，自检结束后提示用户键入回车，直到出现命令行提示符（如车，直到出现命令行提示符（如）。）。 通过通过Telnet方式登陆路由器或者交换机方式登陆路由器或者交换机如果不是设备第一次上电，而且用户已经正确配置了设备接口的如果不是设备第一次上电，而且用户已经正确配置了设备接口的IP地址，并配地址，并配置了正确的登录验证方式和访问控制规则，在配置终端与设备之间有可达路由置了正确的登录验证方式和访问控制规则，在配置终端与设备之间有可达路由前提下，可以用前提下，可以用Telnet通过局域网或广域网登录到设备，然后对设备进行配置。通过局域网或广域网登录到设备
12、，然后对设备进行配置。 左边为左边为telnet 方法，右边为方法，右边为telnet登陆状态画面登陆状态画面一一 系统命令行系统命令行系统命令行采用分级保护方式，命令行划分为参观级、监控级、系统级、管系统命令行采用分级保护方式，命令行划分为参观级、监控级、系统级、管理级理级4个级别，我们配置路由器需要使用个级别，我们配置路由器需要使用LEVEL 3级别级别 二二 系统视图系统视图 初次登陆显示的是初次登陆显示的是 我们需要进入系统视图下才能配置路由器我们需要进入系统视图下才能配置路由器 可以输入可以输入sys 系统将显示系统将显示H3C 三三 设置路由器名设置路由器名路由器名出现在命令提示符
13、中，用户可以根据需要更改路由器名。路由器名出现在命令提示符中，用户可以根据需要更改路由器名。请在系统视图下进行下面的操作。请在系统视图下进行下面的操作。操作命令设置路由器名操作命令设置路由器名sysname如：如：H3C sysname BinZhouDianChang-5040将显示：将显示：BinZhouDianChang-5040指定以太网接口指定以太网接口GigabitEthernet 1/0的的IP地址为地址为192.168.0.1，掩码为，掩码为255.255.0.0。命令行输入：命令行输入：H3C interface gigabitethernet 1/0H3C-GigabitE
14、thernet1/0 ip address 192.168.0.1 255.255.0.0如果端口是关闭的，则需输入如果端口是关闭的，则需输入H3C-GigabitEthernet1/0 undo shutdown以此来开启端口以此来开启端口配置文件为一文本文件，其格式如下：配置文件为一文本文件，其格式如下：以命令格式保存。以命令格式保存。为了节省空间，只保存非缺省的参数为了节省空间，只保存非缺省的参数命令的组织以命令视图为基本框架，同一命令视命令的组织以命令视图为基本框架，同一命令视图的命令组织在一起，形成一节，节与节之间通图的命令组织在一起，形成一节，节与节之间通常用空行或注释行隔开（以常
15、用空行或注释行隔开（以#开始的为注释行）开始的为注释行）。空行或注释行可以是一行或多行。空行或注释行可以是一行或多行。 以以return为结束。为结束。通过命令行接口，可以修改设备当前配置通过命令行接口，可以修改设备当前配置。为了使当前配置能够作为设备下次上电。为了使当前配置能够作为设备下次上电时的起始配置，需要用时的起始配置，需要用save命令保存当前命令保存当前配置到配置到Flash中，形成配置文件中，形成配置文件 可以在任意视图下执行可以在任意视图下执行Save命令保存配置命令保存配置操作命令显示本次启动时加载的配置文件display saved-configuration显示系统本次启
16、动及下次启动使用的配置文件display startup显示当前视图的配置display this显示路由器的当前的运行配置display current-configuration要求对从要求对从VTY 0登录的用户进行登录的用户进行password认证，用户登录时需要输入口令认证，用户登录时需要输入口令h3c才能登才能登录成功，用户优先级为录成功，用户优先级为3。操作命令如下：。操作命令如下： system-viewH3C user-interface vty 0 4H3C-ui-vty0 authentication-mode passwordH3C-ui-vty0 set authen
17、tication password simple h3cH3C-ui-vty0 user privilege level 3OSPF(Open Shortest Path First开放式最短路径优先开放式最短路径优先)是一个内部网关协议是一个内部网关协议(Interior Gateway Protocol,简称简称IGP)，用于，用于单一自治系统单一自治系统(autonomous system,AS)内决策路由。内决策路由。本次工程所用本次工程所用OSPF协议的作用即是为了总部协议的作用即是为了总部AR4640与下面各分厂之与下面各分厂之交换交换路由信息交换交换路由信息基本的基本的OSPF配
18、置配置对于基本的对于基本的OSPF配置，需要进行的操作包括：配置，需要进行的操作包括： 配置配置Router ID 启动启动OSPF 进入进入OSPF区域视图区域视图 在指定网段使能在指定网段使能OSPFospf 1 router-id 3.3.3.3 /配置配置OSPF 进程进程ID 1 Router Id 为为3.3.3.3 import-route static /导入静态路由导入静态路由 area 0.0.0.0 /配置配置OSPF 区域区域 network 172.16.9.0 0.0.0.255 / 在接口上启用在接口上启用OSPF network 10.10.5.0 0.0.0.
19、255 network 172.16.10.0 0.0.0.255 以上配置完成后，路由器即可与其他路由器进行路由表的交以上配置完成后，路由器即可与其他路由器进行路由表的交换，以完成到其他网络的路径选择！换，以完成到其他网络的路径选择！访问控制列表（访问控制列表（ACL)简介简介3.1.1 访问控制列表概述访问控制列表概述路由器为了过滤数据包，需要配置一系列的规则，以决定什么路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表样的数据包能够通过，这些规则就是通过访问控制列表ACL（Access Control List）定义的。访问控制列表是由
20、）定义的。访问控制列表是由permit和和deny语句组成的一系列有顺序的规则，这些规则根据数据包的语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。源地址、目的地址、端口号等来描述。ACL通过这些规则对数通过这些规则对数据包进行分类，这些规则应用到路由器接口上，路由器根据这据包进行分类，这些规则应用到路由器接口上，路由器根据这些规则判断哪些数据包可以接收，哪些数据包需要拒绝些规则判断哪些数据包可以接收，哪些数据包需要拒绝以魏桥现有工程实例中的以魏桥现有工程实例中的ACL为例：为例：创建创建ACL acl number 3100 rule 0 permit i
21、p destination 172.16.7.0 0.0.0.255 rule 5 permit ip destination 172.16.8.0 0.0.0.255 rule 10 permit ip destination 172.16.0.0 0.0.0.255 rule 15 permit ip destination 172.16.10.0 0.0.0.255 rule 20 permit ip destination 172.16.20.0 0.0.0.255 rule 25 permit ip destination 172.16.30.0 0.0.0.255 rule 30
22、permit ip destination 172.16.40.0 0.0.0.255下发到接口：下发到接口：interface Ethernet5/1 port link-mode route firewall packet-filter 3100 inbound /将将ACL下发到接口下发到接口随着网络规模的扩大和网络复杂度的提高随着网络规模的扩大和网络复杂度的提高，网络配置越来越复杂，经常出现计算机，网络配置越来越复杂，经常出现计算机位置变化（如便携机或无线网络）和计算位置变化（如便携机或无线网络）和计算机数量超过可分配的机数量超过可分配的IP地址的情况。动态地址的情况。动态主机配置协议
23、主机配置协议DHCP（Dynamic Host Configuration Protocol）就是为满足这）就是为满足这些需求而发展起来的些需求而发展起来的 MSR 5040 可以让自己作为一台可以让自己作为一台DHCP服服务器来给下面的主机分配务器来给下面的主机分配IP地址，我们通地址，我们通过魏桥上期工程实例中的配置来讲解如何过魏桥上期工程实例中的配置来讲解如何配置配置DHCP服务服务首先，我们需启动首先，我们需启动DHCP服务服务H3C DHCP Enable /启动启动DHCP服务服务然后，给然后，给DHCP服务配置地址池，网关等服务配置地址池，网关等H3C dhcp server i
24、p-pool vlan10 /给地址池取名给地址池取名VLAN 10 network 172.16.1.0 mask 255.255.255.0/配置所要分配的地址范围配置所要分配的地址范围 gateway-list 172.16.1.254 /配置网关配置网关 expired day 8 /配置租约时长配置租约时长通过以上配置，我们就可以为路由器下面所接到主机来分配通过以上配置，我们就可以为路由器下面所接到主机来分配IP地址地址在配置之前，我们需要明确什么是在配置之前，我们需要明确什么是VLAN?传统的以太网是一个广播型网络，网络中的所有主机通过传统的以太网是一个广播型网络，网络中的所有主机
25、通过HUB或交换机相连或交换机相连，处在同一个广播域中。，处在同一个广播域中。HUB是物理层设备，没有交换功能，接收的报文会是物理层设备，没有交换功能，接收的报文会向所有端口转发；交换机是链路层设备，具备根据报文的目的向所有端口转发；交换机是链路层设备，具备根据报文的目的MAC地址进行地址进行转发的能力，但在收到广播报文或未知单播报文（报文的目的转发的能力，但在收到广播报文或未知单播报文（报文的目的MAC地址不在地址不在交换机交换机MAC地址表中）时，也会向除报文入端口之外的所有端口转发。地址表中）时，也会向除报文入端口之外的所有端口转发。上述情况使网络中的主机会收到大量并非以自身为目的地的报
26、文，在浪费大上述情况使网络中的主机会收到大量并非以自身为目的地的报文，在浪费大量带宽资源的同时，也造成了严重的安全隐患。量带宽资源的同时，也造成了严重的安全隐患。隔离广播域的传统方法是使用路由器，但是路由器成本较高，而且端口较少隔离广播域的传统方法是使用路由器，但是路由器成本较高，而且端口较少，无法划分细致的网络。，无法划分细致的网络。为解决以太网交换机在为解决以太网交换机在LAN中无法限制广播的问题，出现了中无法限制广播的问题，出现了VLAN（Virtual Local Area Network，虚拟局域网）技术。，虚拟局域网）技术。 如图，如图，VLAN把一个物理上的把一个物理上的LAN划
27、分成多个逻辑上的划分成多个逻辑上的LAN，每个，每个VLAN是一是一个广播域。个广播域。VLAN内的主机间通信就和在一个内的主机间通信就和在一个LAN内一样，而不同内一样，而不同VLAN内的内的主机不能直接通信。主机不能直接通信。 基于端口的基于端口的VLAN典型配置举例典型配置举例1. 组网需求组网需求 创建创建VLAN2、VLAN3，指定，指定VLAN2的描述字符串为的描述字符串为home； 通过配置将端口通过配置将端口Ethernet1/0/1和和Ethernet1/0/2加加入到入到VLAN2中，将端口中，将端口Ethernet1/0/3和和Ethernet1/0/4加入到加入到VLA
28、N3中。中。3. 配置步骤配置步骤# 创建创建VLAN2并进入其视图。并进入其视图。 system-viewH3C vlan 2# 指定指定VLAN2的描述字符串为的描述字符串为home。H3C-vlan2 description home# 向向VLAN2中加入端口中加入端口Ethernet1/0/1和和Ethernet1/0/2。H3C-vlan2 port Ethernet 1/0/1 Ethernet 1/0/2# 创建创建VLAN3并进入其视图。并进入其视图。H3C-vlan2 vlan 3# 向向VLAN3中加入端口中加入端口Ethernet1/0/3和和Ethernet1/0/4
29、。H3C-vlan3 port Ethernet 1/0/3 Ethernet 1/0/4以上配置即完成了以上配置即完成了VLAN的创建并将端口加入的创建并将端口加入VLAN的过程，完成后，不在同的过程，完成后，不在同一一VLAN的端口无法通信的端口无法通信为什么要给为什么要给VLAN 配置配置IP地址？地址？给给VLAN配置配置IP地址后，一个地址后，一个VLAN内的主机即可与其他内的主机即可与其他VLAN或者其他网络内的主机实现或者其他网络内的主机实现三层通信三层通信，还可以通过网络来远程登录交换机，实现远程管理。还可以通过网络来远程登录交换机，实现远程管理。IP地址配置举例地址配置举例
30、：设置以太网交换机的设置以太网交换机的VLAN接口接口1的的IP地址为地址为129.2.2.1，子网掩码为，子网掩码为255.255.255.0 配置步骤配置步骤# 配置配置VLAN接口接口1的的IP地址。地址。 system-viewH3C interface Vlan-interface 1H3C-Vlan-interface1 ip address 129.2.2.1 255.255.255.0DHCP中继的应用环境中继的应用环境由于在由于在IP地址动态获取过程中采用广播方式发送报文，因地址动态获取过程中采用广播方式发送报文，因此此DHCP只适用于只适用于DHCP客户端和服务器处于同一个
31、子网客户端和服务器处于同一个子网内的情况。为进行动态主机配置，需要在所有网段上都设内的情况。为进行动态主机配置，需要在所有网段上都设置一个置一个DHCP服务器，这显然是很不经济的。服务器，这显然是很不经济的。DHCP中继功能的引入解决了这一难题：子网内的客户端中继功能的引入解决了这一难题：子网内的客户端可以通过可以通过DHCP中继与其他子网的中继与其他子网的DHCP服务器通信，最服务器通信，最终获取到终获取到IP地址。这样，多个网络上的地址。这样，多个网络上的DHCP客户端可以客户端可以使用同一个使用同一个DHCP服务器，既节省了成本，又便于进行集服务器，既节省了成本，又便于进行集中管理。中管理。首先首先 需定义需定义DHCP服务器的服务器的IP地址：地址：dhcp-server 1 ip 10.10.7.1 其次其次,在接口上启用在接口上启用dhcp 中继：中继：interface Vlan-interface10 ip address 172.16.21.254 255.255.255.0 dhcp-server 1完成后，完成后，vlan 10下的主机即可通过下的主机即可通过DHCP获得获得IP地址地址DHCP中继的配置中继的配置
