华为交换机网络管理相关配置问题（2）

Q: S2300/S3300/S5300如何配置限速?

A: 在配置限速时，推荐：
不配置PIR，只配置CIR、CBS、PBS。
CBS = 200 * CIR。
PBS = 2 * CBS = 2 * 200 * CIR = 400 * CIR。
其中，CIR单位为Kbps，CBS、PBS单位为Byte。

配置出方向端口限速，限速10M
在V100R003C01以前的版本，配置如下：
[Quidway] interface ethernet 0/0/1
[Quidway-Ethernet0/0/1] qos lr cir 10240 cbs 2048000
在V100R003C01及以后的版本，配置如下：
[Quidway] interface ethernet 0/0/1
[Quidway-Ethernet0/0/1] qos lr outbound cir 10240 cbs 2048000

配置入方向限速，限速10M
在V100R003C01以前的版本，配置如下：
[Quidway] traffic classifier c1
[Quidway-classifier-c1] if-match any
[Quidway-classifier-c1] quit
[Quidway] traffic behavior b1
[Quidway-behavior-b1] permit
[Quidway-behavior-b1] car cir 10240 cbs 2048000 pbs 4096000
[Quidway-behavior-b1] quit
[Quidway] traffic policy c1
[Quidway-trafficpolicy-c1] classifier c1 behavior b1
[Quidway-trafficpolicy-c1] quit
[Quidway] interface ethernet 0/0/1
[Quidway-Ethernet0/0/1] traffic-policy c1 inbound
在V100R003C01及以后的版本，配置如下：
[Quidway] interface ethernet 0/0/1
[Quidway-Ethernet0/0/1] qos lr inbound cir 10240 cbs 2048000 说明：
流策略可以应用在物理接口视图、Eth-Trunk视图、VLAN视图（端口共享带宽）。
S5300中，物理接口为GigabitEthernet接口。

Q: S2300/S3300/S5300如何配置流量统计?

A: 假设需要统计接口Ethernet0/0/1上源IP地址为10.1.1.0/24网段的Ping报文，配置如下：
# 配置ACL规则。
[Quidway] acl number 3333
[Quidway-acl-adv-3333] rule 5 permit icmp source 10.1.1.0 0.0.0.255
[Quidway-acl-adv-3333] quit
# 配置流分类。
[Quidway] traffic classifier test
[Quidway-classifier-test] if-match acl 3333
[Quidway-classifier-test] quit
# 配置流行为。
S2300/S3300/S5300 V100R005以前版本
[Quidway] traffic behavior test
[Quidway-behavior-test] count
[Quidway-behavior-test] quit
S2300/S3300/S5300 V100R005以后版本
[Quidway] traffic behavior test
[Quidway-behavior-test] statistic enable
[Quidway-behavior-test] quit
# 配置流策略。
[Quidway] traffic policy test
[Quidway-trafficpolicy-test] classifier test behavior test
[Quidway-trafficpolicy-test] quit
# S2300/S3300上应用流策略test。
[Quidway] interface ethernet0/0/1
[Quidway-Ethernet0/0/1] traffic-policy test inbound
# S5300上应用流策略test。
[Quidway] interface gigabitethernet0/0/1
[Quidway-GigabitEthernet0/0/1] traffic-policy test inbound
配置完成后，可执行命令display traffic policy statistics interface interface-type interface-number查看流量统计信息。如果需要重新进行流量统计，可执行命令reset traffic policy statistics interface interface-type interface-number清除原有流量统计信息。

说明：
S2300/S3300只支持入方向的流量统计。
S5300支持入方向和出方向的流量统计，但不能统计由S5300设备自身CPU始发的报文。

Q: 为什么配置了DHCP Snooping之后，设备下挂用户无法获取IP地址?

A: 在使能DHCP Snooping之后，Switch所有接口状态缺省都是非信任状态。这时要把与DHCP Server相连的接口配置成信任状态，否则DHCP Server回应的DHCP Reply报文都会被丢弃，这样Switch下挂用户无法获取DHCP Server分配的IP地址。

Q: 如何通过配置来实现IP+MAC+端口绑定功能?

A: S-swich通过DHCP Snooping的静态绑定表来实现IP+MAC+端口绑定功能。
配置思想是先在VLAN下配置的静态绑定表，静态绑定表的IP和MAC为PC的IP和MAC。然后在与PC相连的S-swich接口上配置IP和ARP报文检查功能。
例如配置IP地址10.1.1.1，MAC地址0002-0002-0002和接口Ethernet0/0/1绑定。
在V100R002的版本配置如下：
[HUAWEI] dhcp enable
[HUAWEI] dhcp snooping enable
[HUAWEI] vlan 100
[HUAWEI-vlan100] quit
[HUAWEI] interface Ethernet 0/0/1
[HUAWEI-Ethernet0/0/1] port default vlan 100
[HUAWEI-Ethernet0/0/1] dhcp snooping check user-bind enable
[HUAWEI-Ethernet0/0/1] quit
[HUAWEI] vlan 100
[HUAWEI-vlan100] dhcp snooping enable
[HUAWEI-vlan100] user-bind static ip-address 10.1.1.1 mac-address 0002-0002-0002 interface Ethernet0/0/1
在V100R003及以后的版本配置如下：
[HUAWEI] dhcp enable
[HUAWEI] dhcp snooping enable
[HUAWEI] vlan 100
[HUAWEI-vlan100] quit
[HUAWEI] interface Ethernet 0/0/1
[HUAWEI-Ethernet0/0/1] port default vlan 100
[HUAWEI-Ethernet0/0/1] ip source check user-bind enable
[HUAWEI-Ethernet0/0/1] quit
[HUAWEI] vlan 100
[HUAWEI-vlan100] dhcp snooping enable
[HUAWEI-vlan100] quit
[HUAWEI] user-bind static ip-address 10.1.1.1 mac-address 0002-0002-0002 interface Ethernet0/0/1

Q: 如何通过配置来实现MAC+端口绑定功能?

A: Switch通过流策略与DHCP Snooping两个功能相互结合来实现MAC和端口绑定，即实现某个端口只绑定某个特定mac地址（某个端口只允许在绑定表内的和某特定mac地址的报文通过），不绑定ip。
例如，配置端口Ethernet0/0/1只允许绑定表内的和源mac地址为0-02-02的报文通过，其他报文都丢弃。
# 全局使能dhcp snooping
[Quidway] dhcp snooping enable
# 创建ACL，只允许MAC地址为0-02-02的报文
[Quidway] acl 4000
[Quidway-acl-L2-4000] rule permit source-mac 0-02-02 ffff-ffff-ffff
[Quidway-acl-L2-4000] rule deny
# 创建流分类，匹配ACL 4000
[Quidway] traffic classifier c1
[Quidwayclassifier-c1] if-match acl 4000
# 创建流行为和流策略
[Quidway] traffic behavior b1
[Quidway-behavior-b1] permit
[Quidway] traffic policy p1
[Quidway-trafficpolicy-p1] classifier c1 behavior b1
# 端口下应用流策略，使该端口只允许绑定表内的和源mac地址为0-02-02的报文通过。
在V001C00R002的版本配置如下：
[Quidway] interface Ethernet 0/0/1
[Quidway-Ethernet0/0/1] port default vlan 4094
[Quidway-Ethernet0/0/1] dhcp snooping check user-bind enable
[Quidway-Ethernet0/0/1] traffic-policy p1 inbound
在V001C00R003及以后的版本配置如下：
[Quidway] interface Ethernet 0/0/1
[Quidway-Ethernet0/0/1] port default vlan 4094
[Quidway-Ethernet0/0/1] ip source check user-bind enable
[Quidway-Ethernet0/0/1] traffic-policy p1 inbound

Q: 如何通过配置实现IP+端口绑定?

A: Switch可以通过流策略与DHCP Snooping两个功能相互结合来实现IP和端口绑定，即实现某个端口只绑定某个特定源ip地址（只允许在绑定表内的和某个特定源ip地址的报文通过），不绑定mac。
例如，配置端口Ethernet0/0/8只允许绑定表内的和源IP地址为192.168.130.50的报文通过，丢弃其他IP报文。
# 全局使能dhcp snoopying
[Quidway] dhcp snooping enable
# 定义高级ACL，匹配IP地址192.168.130.50
[Quidway] acl 3000
[Quidway-acl-adv-3000] rule 5 permit ip source 192.168.130.50 0
[Quidway-acl-adv-3000] rule 10 deny ip source any
[Quidway-acl-adv-3000] rule 15 deny ip destination any
# 创建流分类，匹配ACL
[Quidway] traffic classifier c1
[Quidwayclassifier-c1] if-match acl 3000
# 创建流行为和流策略
[Quidway] traffic behavior b1
[Quidway-behavior-b1] permit
[Quidway] traffic policy p1
[Quidway-trafficpolicy-p1] classifier c1 behavior b1
# 端口下应用流策略，只允许绑定表内的和源IP地址为192.168.130.50的报文通过
在V100R002C00的版本配置如下：
[Quidway] interface Ethernet 0/0/8
[Quidway-Ethernet0/0/8] port default vlan 4094
[Quidway-Ethernet0/0/8] dhcp snooping check user-bind enable
[Quidway-Ethernet0/0/8] traffic-policy p1 inbound
在V100R003C00及以后的版本配置如下：
[Quidway] interface Ethernet 0/0/8
[Quidway-Ethernet0/0/8] port default vlan 4094
[Quidway-Ethernet0/0/8] ip source check user-bind enable
[Quidway-Ethernet0/0/8] traffic-policy p1 inbound

Q: S2300/3300/5300系列交换机如何防止用户私设静态IP地址?

A: 防止用户私设静态IP地址，可以达到同一接口下只有与绑定的IP+MAC相同的用户数据或者是合法的DHCP自动获取IP地址的用户数据才能通过，其它用户数据不能通过。
S2300/3300/5300系列交换机虽然没有H3C交换机的am user-bind命令，但是通过DHCP Snooping功能也可以实现IP+MAC+端口绑定以防止用户私设静态IP地址。例如，若要求端口Ethernet0/0/1下除了静态IP地址为1.1.1.2、MAC地址为001c-2309-9aa7对应的用户外，其它所有静态IP用户都不能上网。配置如下：
配置设备的DHCP Snooping功能
# 使能全局DHCP Snooping功能。
[Quidway] dhcp snooping enable
# 配置用户侧接口所属的VLAN。
[Quidway] vlan 100
[Quidway-vlan100] quit
[Quidway] interface ethernet 0/0/1
[Quidway-Ethernet0/0/1] port default vlan 100
[Quidway-Ethernet0/0/1] quit
# 使能VLAN下的DHCP Snooping功能。
[Quidway] vlan 100
[Quidway-vlan100] dhcp snooping enable
# 配置在用户侧接口进行报文检查
[Quidway] interface ethernet 0/0/1
[Quidway-Ethernet0/0/1] dhcp snooping check arp enable
[Quidway-Ethernet0/0/1] dhcp snooping check ip enable
[Quidway-Ethernet0/0/1] quit
# 配置静态绑定表项
[Quidway] vlan 100
[Quidway-vlan100] dhcp snooping bind-table static ip-address 1.1.1.2 mac-address 001c-2309-9aa7 interface ethernet 0/0/1