月度归档： 2023 年 1 月

功能说明 

策略路由（Policy-Based Routing）是基于策略的路由。将包含策略的路由图应用在接口和设备上，即可实现策略路由。

与静态路由相似，策略路由也是手工配置的路由，不能随网络变化自动更新，仅在本地有效。与静态路由、动态路由相比，策略路由更加灵活。静态路由、动态路由只能依据目的地址转发报文。策略路由可以依据源地址、目的地址、报文长度、入端口等转发报文。

应用场景

1、应用场景一：

当您的网络中的汇聚与核心设备，或者是核心与出口路由器之间有多条链路互联时，普通路由表的负载或者主备的结果可能无法满足您的需求，又或者您的网络中引人了一些新的业务，这些网段在您原先的网络设计时没有考虑到，此时出现新的路由访问的需要，您不想去调整前期规划的复杂的OSPF路由控制选路的策略，此时就可以利用策略路由这种技术来针对这部分新的需求进行一个重新的路由选择，可以按照您的意愿选择一条指定的链路转发数据，而不依赖于传统的路由表。

2、应用场景二：

核心到网络出口设备有多台路由器或者防火墙，他们对应的多家不同的运营商链路，比如电信（100M），联通 (50M），教育网（1G）等，此时您希望根据每台链路的负载程度，带宽利用率等情况来将内网中的流量分流到这三条链路上，比如各教学楼，科研所，教师办公区的用户上网全部走教育网出口，图书馆、电教中心、学校行政楼的区域上网全部走联通，其他流量（比如学生宿舍区）全部都走电信，另外访问教育网资源的数据全部走教育网出口。基于上面的业务类型进行分流，同时电信，联通，教育网又彼此作为各自的链路故障时候的备份，如果您有这样的组网需求，就可以考虑采用策略路由进行选路。

下面通过一个典型策略路由配置举例来说明如何配置策略路由。

组网需求

在设备Device上配置策略路由，实现如下目的：

来自Host A（200.24.16.2/24）的报文，优先从GigabitEthernet 0/1接口发出。

来自Host B（200.24.17.2/24）的报文，优先从GigabitEthernet 0/2接口发出。

两条出口链路互为备份，配置与Track联动，故障时能够快速切换备份链路。

配置要点

1、配置两个不同的ACL，分别用来匹配Host A网段和Host B网段。

2、配置路由图RM_FOR_PBR：策略10实现“来自Host A网段的报文，优先从GigabitEthernet 0/1接口发出”；策略20实现“来自Host B网段的报文，优先从GigabitEthernet 0/2接口发出”。

3、 设置策略路由在多个下一跳之间实现冗余备份。

4、设置Track规则，并与策略路由联动。

5、配置策略路由，对GigabitEthernet 0/3接口收到的报文应用路由图RM_FOR_PBR。

配置限制与指导

1、 配置策略路由时必须引用路由图。因此，必须在设备上配置路由图。

2、如果配置路由图时引用了ACL，则必须在设备上配置ACL。

3、如果策略路由中引用的路由图实际不存在，则此策略路由不生效。

配置步骤

# 配置接口IP，实现网络互通。（略）

# 配置ACL规则，分别匹配网段200.24.16.0/24和200.24.17.0/24。

Device> enable

Device# configure terminal

Device(config)# access-list 1 permit 200.24.16.0 0.0.0.255

Device(config)# access-list 2 permit 200.24.17.0 0.0.0.255

# 配置track规则。

Device(config)# ip rns 1

Device(config-ip-rns)# icmp-echo 200.24.18.1

Device(config-ip-rns)# exit

Device(config)# ip rns schedule 1 start-time now life forever

Device(config)# track 1 rns 1

Device(config)# ip rns 2

Device(config-ip-rns)# icmp-echo 200.24.19.1

Device(config-ip-rns)# exit

Device(config)# ip rns schedule 2 start-time now life forever

Device(config)# track 2 rns 2

# 配置路由策略RM_FOR_PBR，200.24.16.0的下一跳为200.24.18.1，备份下一跳为200.24.19.1；200.24.17.0的下一跳为200.24.19.1，备份下一跳为200.24.18.1。

Device(config)# route-map RM_FOR_PBR 10

Device(config-route-map)# match ip address 1

Device(config-route-map)# set ip next-hop verify-availability 200.24.18.1 track 1

Device(config-route-map)# set ip next-hop verify-availability 200.24.19.1 track 2

Device(config-route-map)# exit

Device(config)# route-map RM_FOR_PBR 20

Device(config-route-map)# match ip address 2

Device(config-route-map)# set ip next-hop verify-availability 200.24.19.1 track 2

Device(config-route-map)# set ip next-hop verify-availability 200.24.18.1 track 1

Device(config-route-map)# exit

# 接口0/3上生效路由图RM_FOR_PBR，并开启负载均衡选路。

Device(config)# interface GigabitEthernet 0/3

Device(config-if-GigabitEthernet 0/3)# ip policy route-map RM_FOR_PBR

Device(config-if-GigabitEthernet 0/3)# exit

Device(config)# ip policy redundance

验证配置结果

# 检查策略路由配置信息，确认接口上应用了路由图。

# 检查路由图配置信息，确认策略规则。

# 检查ACL配置信息，确认报文过滤规则。

# 检查Track的跟踪对象是否Up。

静态路由由网络管理员手工配置。配置静态路由后，路由表中生成一条静态路由。使用静态路由，转发去远端网络的报文。简单网络中，通过手工配置IPv6静态路由可以实现网络互通。下面通过一个典型举例来说明如何配置IPv6静态路由。

配置要点

1、 配置交换机SW1接口IP

2、 配置交换机SW2接口IP

3、配置交换机SW1静态路由

4、 配置交换机SW2静态路由

5、 保存配置

配置限制与指导

1、二层交换机不能配置本功能。

2、 三层交换机若配置了no ipv6 unicast- routing，则不能配置IPv6静态路由，之前已经存在的IPv6静态路由也会被删除。在未重启的情况下，重新配置ipv6 unicast- routing，可以恢复被清空的IPv6静态路由。重启过后，则无法恢复这些IPv6静态路由。

配置步骤

# 配置交换机SW1接口IP。

SW1> enable

SW1# configure terminal

SW1(config)# interface fastethernet 0/1

SW1(config-if-GigabitEthernet 0/1)# no switchport

SW1(config-if-GigabitEthernet 0/1)# ipv6 address 2001::1/64

SW1(config-if-GigabitEthernet 0/1)# interface GigabitEthernet 0/25

SW1(config-if-GigabitEthernet 0/2))# no switchport

SW1(config-if-GigabitEthernet 0/2))# ipv6 address 2003::1/64

SW1(config-if-GigabitEthernet 0/2))# exit

# 配置交换机SW2接口IP。

SW2> enable

SW2# configure terminal

SW2(config)# interface fastethernet 0/1

SW2(config-if-GigabitEthernet 0/1)# no switchport

SW2(config-if-GigabitEthernet 0/1)# ip address 2002::1/64

SW2(config-if-GigabitEthernet 0/1)# interface GigabitEthernet0/25

SW2(config-if-GigabitEthernet 0/2))# no switchport

SW2(config-if-GigabitEthernet 0/2))# ip address 2003::2/64

SW2(config-if-GigabitEthernet 0/2))# exit

# 配置交换机SW1静态路由，目的地址是2002::/64的数据包，转发给2003::2/64。

SW1(config)# ipv6 route 2002::/64 2003::2

# 配置交换机SW2静态路由，目的地址是2001::/64的数据包，转发给2003::1/64。

SW2(config)# ipv6 route 2001::/64 2003::1

验证配置结果

使用show ipv6 route检查设备的路由表，确认有静态路由条目。

#SW1的路由表

#SW2的路由表

静态路由由网络管理员手工配置。配置静态路由后，路由表中生成一条静态路由。使用静态路由，转发去远端网络的报文。简单网络中，通过手工配置IPv4静态路由可以实现网络互通。下面通过一个典型举例来说明如何配置IPv4静态路由。

配置要点

1、 配置交换机SW1接口IP

2、 配置交换机SW2接口IP

3、配置交换机SW1静态路由

4、 配置交换机SW2静态路由

5、 保存配置

配置限制与指导

1、二层交换机不能配置本功能。

2、三层交换机若配置了no ip routing，则不能配置IPv4静态路由，之前已经存在的IPv4静态路由也会被删除。在未重启的情况下，重新配置ip routing，可以恢复被清空的IPv4静态路由。重启过后，则无法恢复这些IPv4静态路由。

配置步骤

# 配置交换机SW1接口IP。

SW1> enable

SW1# configure terminal

SW1(config)# interface GigabitEthernet 0/1

SW1(config-if-GigabitEthernet 0/1)# no switchport

SW1(config-if-GigabitEthernet 0/1)# ip address 192.168.1.254 255.255.255.0

SW1(config-if-GigabitEthernet 0/1)# interface GigabitEthernet 0/2

SW1(config-if-GigabitEthernet 0/2))# no switchport

SW1(config-if-GigabitEthernet 0/2))# ip address 192.168.3.1 255.255.255.0

SW1(config-if-GigabitEthernet 0/2))# exit

# 配置交换机SW2接口IP。

SW2> enable

SW2# configure terminal

SW2(config)# interface GigabitEthernet 0/1

SW2(config-if-GigabitEthernet 0/1)# no switchport

SW2(config-if-GigabitEthernet 0/1)# ip address 192.168.2.254 255.255.255.0

SW2(config-if-GigabitEthernet 0/1)# interface GigabitEthernet0/25

SW2(config-if-GigabitEthernet 0/2))# no switchport

SW2(config-if-GigabitEthernet 0/2))# ip address 192.168.3.1 255.255.255.0

SW2(config-if-GigabitEthernet 0/2))# exit

# 配置交换机SW1静态路由，目的地址是192.168.2.0/24的数据包，转发给192.168.3.2。

SW1(config)# ip route 192.168.2.0 255.255.255.0 192.168.3.2

# 配置交换机SW2静态路由，目的地址是192.168.1.0/24的数据包，转发给192.168.3.1。

SW2(config)# ip route 192.168.1.0 255.255.255.0 192.168.3.1

 

验证配置结果

使用show ip route检查设备的路由表，确认有静态路由条目。

#SW1的路由表

#SW2的路由表

 

1、在二层设备上，通过ip default-gateway指定IPv4默认路由。在数据交互时，将目的地址非本地网段的报文投送到默认网关上，由网关路由器完成下一步的路由选路，达到二层设备与其他网络的网络互通。

# 配置默认网关为192.168.1.1。

Hostname> enable

Hostname# configure terminal

Hostname(config)# ip default-gateway 192.168.1.1

 

# 使用show ip redirects命令查看本设备的默认网关。

Hostname> enable

Hostname# show ip redirects

Default Gateway: 192.168.1.1

2、三层交换设备以及路由设备上，通过配置缺省网关，在路由选路无法命中精确路由时，将非本地的报文投送到缺省网关上，由网关路由器完成下一步的路由选路，完成本设备与其他网络的网络互通。

# 配置缺省网络为200.200.200.0，只要当200.200.200.0出现在路由表中，该路由才会成为缺省路由。

Hostname> enable

Hostname# configure terminal

Hostname(config)# ip default-network 200.200.200.0

 

# 使用show ip route命令查看本设备缺省路由。

1、创建VLAN
在全局配置模式下，通过vlan { vlan-id | range vlan-range }命令创建普通静态VLAN，进入VLAN配置模式。

vlan-range可以包含一个或多个VLAN，当配置多个VLAN时，VLAN ID间用逗号隔开，连续的VLAN ID还可使用“－”头尾连接，无大小顺序要求。

# 创建VLAN 10，并进入VLAN 10的配置模式。

Hostname> enable

Hostname# configure terminal

Hostname(config)# vlan 10

Hostname(config-vlan)#

# 创建一组VLAN。

Hostname> enable

Hostname# configure terminal

Hostname(config)# vlan range 20,3,5,7-9,15-11

Hostname(config-vlan-range)#

2、配置VLAN名称
在VLAN配置模式下，通过name vlan-name命令配置VLAN名称。

# 配置VLAN 10的名称为office 10。

Hostname> enable

Hostname# configure terminal

Hostname(config)# vlan 10

Hostname(config-vlan)# name office 10

3、配置VLAN接口的IP地址
在SVI接口配置模式下，通过ip address ipv4-address { mask | mask-length }命令配置SVI接口的IP地址。

# 进入VLAN 10的SVI接口配置模式，配置SVI接口的IP地址。

Hostname> enable

Hostname# configure terminal

Hostname(config)# interface vlan 10

Hostname(config-if-VLAN 10)# ip address 10.10.29.1 255.255.255.0

4、将接口添加到指定VLAN

在二层以太网接口配置模式/二层聚合接口配置模式下，通过switchport mode access命令配置二层接口为Access口，通过switchport access vlan vlan-id命令配置Access口加入指定VLAN。

在VLAN配置模式下，通过add interface { interface-type interface-number | range interface-type interface-range }命令配置Access口加入本VLAN。

# 配置二层以太网接口为Access口并加入VLAN 2。（接口配置模式）

Hostname> enable

Hostname# configure terminal

Hostname(config)# interface gigabitethernet 0/1

Hostname(config-if-GigabitEthernet 0/1)# switchport

Hostname(config-if-GigabitEthernet 0/1)# switchport mode access

Hostname(config-if-GigabitEthernet 0/1)# switchport access vlan 2

 

# 配置二层以太网接口为Access口并加入VLAN 10。（VLAN配置模式）

Hostname> enable

Hostname# configure terminal

Hostname(config)# interface gigabitethernet 0/1

Hostname(config-if-GigabitEthernet 0/1)# switchport

Hostname(config-if-GigabitEthernet 0/1)# switchport mode access

Hostname(config-if-GigabitEthernet 0/1)# exit

Hostname(config)# vlan 10

Hostname(config-vlan)# add interface gigabitethernet 0/1

Hostname(config-vlan)# end

5、清除VLAN接口的IP地址

在SVI接口配置模式下，通过no ip address [ ipv4-address { mask | mask-length }命令清除VLAN接口的IP地址。

# 进入VLAN 2的SVI接口配置模式，清除SVI接口的IP地址。

Hostname> enable

Hostname# configure terminal

Hostname(config)# interface vlan 2

Hostname(config-if-VLAN 2)# no ip address

配置不同VLAN间进行通信，请参阅 ：
锐捷网管交换机配置不同VLAN间进行通信的操作方法

1、将接口配置为Trunk口
在二层以太网接口配置模式/二层聚合接口配置模式下，通过switchport mode trunk命令配置二层接口为Trunk口。

# 配置二层以太网接口为Trunk口。

Hostname> enable

Hostname# configure terminal

Hostname(config)# interface gigabitethernet 0/1

Hostname(config-if-GigabitEthernet 0/1)# switchport

Hostname(config-if-GigabitEthernet 0/1)# switchport mode trunk

2、配置Trunk口允许所有VLAN的流量通过
在二层以太网接口配置模式/二层聚合接口配置模式下，通过switchport trunk allowed vlan all命令配置Trunk口的许可VLAN列表包含所有VLAN。

# 配置二层以太网接口为Trunk口，并配置其许可VLAN列表包含所有VLAN。

Hostname> enable

Hostname# configure terminal

Hostname(config)# interface gigabitethernet 0/1

Hostname(config-if-GigabitEthernet 0/1)# switchport mode trunk

Hostname(config-if-GigabitEthernet 0/1)# switchport trunk allowed vlan all

3、配置Trunk口只允许指定VLAN的流量通过
在二层以太网接口配置模式/二层聚合接口配置模式下，通过switchport trunk allowed vlan { add vlan-list | except vlan-list | only vlan-list | remove vlan-list }命令配置Trunk口只允许指定VLAN的流量通过。

# 配置二层以太网接口为Trunk口，并增加VLAN 2到许可VLAN中。

Hostname> enable

Hostname# configure terminal

Hostname(config)# interface gigabitethernet 0/1

Hostname(config-if-GigabitEthernet 0/1)# switchport mode trunk

Hostname(config-if-GigabitEthernet 0/1)# switchport trunk allowed vlan add 2

# 配置二层以太网接口为Trunk口，并从其许可VLAN中移除VLAN 2。

Hostname> enable

Hostname# configure terminal

Hostname(config)# interface gigabitethernet 0/1

Hostname(config-if-GigabitEthernet 0/1)# switchport mode trunk

Hostname(config-if-GigabitEthernet 0/1)# switchport trunk allowed vlan remove 2

# 配置二层以太网接口为Trunk口，增加除了VLAN 10以外的其它VLAN到许可VLAN中。

Hostname> enable

Hostname# configure terminal

Hostname(config)# interface gigabitethernet 0/1

Hostname(config-if-GigabitEthernet 0/1)# switchport mode trunk

Hostname(config-if-GigabitEthernet 0/1)# switchport trunk allowed vlan except 10

# 配置二层以太网接口为Trunk口，只许可VLAN 10通过，其它VLAN从其许可VLAN中移除。

Hostname> enable

Hostname# configure terminal

Hostname(config)# interface gigabitethernet 0/1

Hostname(config-if-GigabitEthernet 0/1)# switchport mode trunk

Hostname(config-if-GigabitEthernet 0/1)# switchport trunk allowed vlan only 10

生成树协议是一种二层管理协议，它的主要功能是阻塞网络中的冗余链路来消除二层环路，在链路故障时启用备份链路。下面通过一个典型配置举例来介绍如何通过配置生成树功能进行防环、破环。

组网需求

如下图的两层拓扑结构，核心层设备为Device A和Device B，接入层设备为Device C，Device C连接内网终端。内网存在4个VLAN，配置MSTP功能满足如下需求：

l VLAN 10和VLAN 30的生成树根桥为Device A，并且从Device C的GigabitEthernet 0/1转发数据。

l VLAN 20和VLAN 40的生成树根桥为Device B，并且从Device C的GigabitEthernet 0/2转发数据。

l 在Device C的根端口上开启环路保护功能。在Device C连接终端的边缘端口上开启BPDU保护功能。

配置要点

（1）在Devcie A、B和C上创建相同的VLAN，配置相同的实例映射：实例1映射VLAN 10和30；实例2映射VLAN 20和40。实例0包含其它未创建的VLAN。

（2）设备通过比较优先级向量< Root Identifier，Root Path Cost，Bridge ID，Port ID >选举出生成树中的设备角色和端口角色，配置实例的桥优先级和端口路径开销，以便算出组网需求中要求的拓扑。为便于管理，实例0配置和实例1同样的生成树。

实例0和1：
1、 Device A的桥优先级配置为4096，Device B的桥优先级配置为8192，Device C的桥优先级采用缺省值32768（无需配置），使Device A成为根。

2、在Device B上，配置GigabitEthernet 0/2端口路径开销为1，GigabitEthernet 0/1端口路径开销为4，使得GigabitEthernet 0/2成为Device B的根端口。

3、 在Device C上，配置GigabitEthernet 0/1端口路径开销为1，GigabitEthernet 0/2端口路径开销为4，使得GigabitEthernet 0/1成为Device C的根端口。

4、Device B的桥优先级8192高于Device C的桥优先级32768，Device B的GigabitEthernet 0/1成为指定端口，Device C的GigabitEthernet 0/2成为替换端口。

实例2：

1、 Device B的桥优先级配置为4096，Device A的桥优先级配置为8192，Device C的桥优先级采用缺省值32768（无需配置），使Device B成为根。

2、在Device A上，配置GigabitEthernet 0/2端口路径开销为1，GigabitEthernet 0/1端口路径开销为4，使得GigabitEthernet 0/2成为Device A的根端口。

3、 在Device C上，配置GigabitEthernet 0/2端口路径开销为1，GigabitEthernet 0/1端口路径开销为4，使得GigabitEthernet 0/2成为Device C的根端口。

4、Device A的桥优先级8192高于Device C的桥优先级32768，Device A的GigabitEthernet 0/1成为指定端口，Device C的GigabitEthernet 0/1成为替换端口。

（3）在Device C的GigabitEthernet 0/1~0/2上配置MSTP环路保护，当根端口或备份口因收不到BPDU迁移为指定端口时，端口状态将一直保持Discarding（废弃）状态，直到重新收到BPDU进行生成树计算。

（4）配置Device C连接终端的接口GigabitEthernet 0/3~0/6为边缘端口。在缺省情况下边缘端口自动识别功能处于开启状态，若GigabitEthernet 0/3~0/6被选举为指定端口后3秒内未接收到BPDU，则被自动识别为边缘端口并立即进入转发状态。若网络中存在丢包或收发报文延迟的现象，可能影响边缘端口自动识别功能。因此，关闭边缘端口自动识别功能，手工配置其为边缘端口，并开启BPDU保护功能。

（5）在Devcie A、B和C上全局开启生成树功能，缺省为MSTP模式。

（6）配置Devcie A、B和C的互联端口为Trunk口，许可所有VLAN通过。配置Device C连接终端的接口加入所在VLAN。

配置步骤

(1) 配置Device A。

# 创建VLAN，配置实例映射。

DeviceA>enable

DeviceA# configure terminal

DeviceA(config)# vlan range 10,20,30,40

DeviceA(config-vlan-range)# exit

DeviceA(config)# spanning-tree mst configuration

DeviceA(config-mst)# instance 1 vlan 10,30

DeviceA(config-mst)# instance 2 vlan 20,40

# 配置实例0和1的桥优先级为4094，实例2的桥优先级为8192。

DeviceA(config-mst)# spanning-tree mst 0 priority 4096

DeviceA(config)# spanning-tree mst configuration

DeviceA(config-mst)# spanning-tree mst 1 priority 4096

DeviceA(config)# spanning-tree mst configuration

DeviceA(config-mst)# spanning-tree mst 2 priority 8192

# 配置GigabitEthernet 0/2为Trunk口。在实例2中，配置端口路径开销为1。

DeviceA(config)# interface gigabitethernet 0/2

DeviceA(config-if-GigabitEthernet 0/2)# switchport

DeviceA(config-if-GigabitEthernet 0/2)# switchport mode trunk

DeviceA(config-if-GigabitEthernet 0/2)# switchport trunk native vlan 1

DeviceA(config-if-GigabitEthernet 0/2)# switchport trunk allowed vlan all

DeviceA(config-if-GigabitEthernet 0/2)# spanning-tree mst 2 cost 1

DeviceA(config-if-GigabitEthernet 0/2)# exit

# 配置GigabitEthernet 0/1为Trunk口。在实例2中，配置端口路径开销为4。

DeviceA(config)# interface gigabitethernet 0/1

DeviceA(config-if-GigabitEthernet 0/1)# switchport

DeviceA(config-if-GigabitEthernet 0/1)# switchport mode trunk

DeviceA(config-if-GigabitEthernet 0/1)# switchport trunk native vlan 1

DeviceA(config-if-GigabitEthernet 0/1)# switchport trunk allowed vlan all

DeviceA(config-if-GigabitEthernet 0/1)# spanning-tree mst 2 cost 4

DeviceA(config-if-GigabitEthernet 0/1)# exit

# 全局开启生成树功能。

DeviceA(config)# spanning-tree

DeviceA(config)# end

DeviceA# write

(2) 配置Device B。

# 创建VLAN，配置实例映射。

DeviceB> enable

DeviceB# configure terminal

DeviceB(config)# vlan range 10,20,30,40

DeviceB(config-vlan-range)# exit

DeviceB(config)# spanning-tree mst configuration

DeviceB(config-mst)# instance 1 vlan 10,30

DeviceB(config-mst)# instance 2 vlan 20,40

# 配置实例2的优先级为4094，实例0和1的桥优先级为8192。

DeviceB(config-mst)# spanning-tree mst 0 priority 8192

DeviceB(config)# spanning-tree mst configuration

DeviceB(config-mst)# spanning-tree mst 1 priority 8192

DeviceB(config)# spanning-tree mst configuration

DeviceB(config-mst)# spanning-tree mst 2 priority 4096

# 配置GigabitEthernet 0/2为Trunk口。在实例0和1中，配置端口路径开销为1。

DeviceB(config)# interface gigabitethernet 0/2

DeviceB(config-if-GigabitEthernet 0/2)# switchport

DeviceB(config-if-GigabitEthernet 0/2)# switchport mode trunk

DeviceB(config-if-GigabitEthernet 0/2)# switchport trunk native vlan 1

DeviceB(config-if-GigabitEthernet 0/2)# switchport trunk allowed vlan all

DeviceB(config-if-GigabitEthernet 0/2)# spanning-tree mst 0 cost 1

DeviceB(config-if-GigabitEthernet 0/2)# spanning-tree mst 1 cost 1

DeviceB(config-if-GigabitEthernet 0/2)# exit

# 配置GigabitEthernet 0/1为Trunk口。在实例0和1中，配置端口路径开销为4。

DeviceB(config)# interface gigabitethernet 0/1

DeviceB(config-if-GigabitEthernet 0/1)# switchport

DeviceB(config-if-GigabitEthernet 0/1)# switchport mode trunk

DeviceB(config-if-GigabitEthernet 0/1)# switchport trunk native vlan 1

DeviceB(config-if-GigabitEthernet 0/1)# switchport trunk allowed vlan all

DeviceB(config-if-GigabitEthernet 0/1)# spanning-tree mst 0 cost 4

DeviceB(config-if-GigabitEthernet 0/1)# spanning-tree mst 1 cost 4

DeviceB(config-if-GigabitEthernet 0/1)# exit

# 全局开启生成树功能。

DeviceB(config)# spanning-tree

DeviceB(config)# end

DeviceB# write

(3) 配置Device C。

# 创建VLAN，配置实例映射。

DeviceC> enable

DeviceC# configure terminal

DeviceC(config)# vlan range 10,20,30,40

DeviceC(config-vlan-range)# exit

DeviceC(config)# spanning-tree mst configuration

DeviceC(config-mst)# instance 1 vlan 10,30

DeviceC(config-mst)# instance 2 vlan 20,40

DeviceC(config-mst)# exit

# 配置上联口GigabitEthernet 0/1为Trunk口。在实例0和1中配置端口路径开销为1，在实例2中配置端口路径开销为4。配置端口环路保护。

DeviceC(config)# interface gigabitethernet 0/1

DeviceC(config-if-GigabitEthernet 0/1)# switchport

DeviceC(config-if-GigabitEthernet 0/1)# switchport mode trunk

DeviceC(config-if-GigabitEthernet 0/1)# switchport trunk native vlan 1

DeviceC(config-if-GigabitEthernet 0/1)# switchport trunk allowed vlan all

DeviceC(config-if-GigabitEthernet 0/1)# spanning-tree mst 0 cost 1

DeviceC(config-if-GigabitEthernet 0/1)# spanning-tree mst 1 cost 1

DeviceC(config-if-GigabitEthernet 0/1)# spanning-tree mst 2 cost 4

DeviceC(config-if-GigabitEthernet 0/1)# spanning-tree guard loop

DeviceC(config-if-GigabitEthernet 0/1)# exit

# 配置上联口GigabitEthernet 0/2为Trunk口。在实例2中配置端口路径开销为1，在实例0和1中配置端口路径开销为4。配置端口环路保护。

DeviceC(config)# interface gigabitethernet 0/2

DeviceC(config-if-GigabitEthernet 0/2)# switchport

DeviceC(config-if-GigabitEthernet 0/2)# switchport mode trunk

DeviceC(config-if-GigabitEthernet 0/2)# switchport trunk native vlan 1

DeviceC(config-if-GigabitEthernet 0/2)# switchport trunk allowed vlan all

DeviceC(config-if-GigabitEthernet 0/2)# spanning-tree mst 0 cost 4

DeviceC(config-if-GigabitEthernet 0/2)# spanning-tree mst 1 cost 4

DeviceC(config-if-GigabitEthernet 0/2)# spanning-tree mst 2 cost 1

DeviceC(config-if-GigabitEthernet 0/2)# spanning-tree guard loop

DeviceC(config-if-GigabitEthernet 0/2)# exit

# 配置下联口GigabitEthernet 0/3~0/6加入指定VLAN。配置接口为边缘端口，配置BPDU保护功能。

DeviceC(config)# interface gigabitethernet 0/3

DeviceC(config-if-GigabitEthernet 0/3)# switchport

DeviceC(config-if-GigabitEthernet 0/3)# switchport mode access

DeviceC(config-if-GigabitEthernet 0/3)# switchport access vlan 10

DeviceC(config-if-GigabitEthernet 0/3)# spanning-tree autoedge disabled

DeviceC(config-if-GigabitEthernet 0/3)# spanning-tree portfast

DeviceC(config-if-GigabitEthernet 0/3)# spanning-tree bpduguard enable

DeviceC(config-if-GigabitEthernet 0/3)# exit

DeviceC(config)# interface gigabitethernet 0/4

DeviceC(config-if-GigabitEthernet 0/4)# switchport

DeviceC(config-if-GigabitEthernet 0/4)# switchport mode access

DeviceC(config-if-GigabitEthernet 0/4)# switchport access vlan 20

DeviceC(config-if-GigabitEthernet 0/4)# spanning-tree autoedge disabled

DeviceC(config-if-GigabitEthernet 0/4)# spanning-tree portfast

DeviceC(config-if-GigabitEthernet 0/4)# spanning-tree bpduguard enable

DeviceC(config-if-GigabitEthernet 0/4)# exit

DeviceC(config)# interface gigabitethernet 0/5

DeviceC(config-if-GigabitEthernet 0/5)# switchport

DeviceC(config-if-GigabitEthernet 0/5)# switchport mode access

DeviceC(config-if-GigabitEthernet 0/5)# switchport access vlan 30

DeviceC(config-if-GigabitEthernet 0/5)# spanning-tree autoedge disabled

DeviceC(config-if-GigabitEthernet 0/5)# spanning-tree portfast

DeviceC(config-if-GigabitEthernet 0/5)# spanning-tree bpduguard enable

DeviceC(config-if-GigabitEthernet 0/5)# exit

DeviceC(config)# interface gigabitethernet 0/6

DeviceC(config-if-GigabitEthernet 0/6)# switchport

DeviceC(config-if-GigabitEthernet 0/6)# switchport mode access

DeviceC(config-if-GigabitEthernet 0/6)# switchport access vlan 40

DeviceC(config-if-GigabitEthernet 0/6)# spanning-tree autoedge disabled

DeviceC(config-if-GigabitEthernet 0/6)# spanning-tree portfast

DeviceC(config-if-GigabitEthernet 0/6)# spanning-tree bpduguard enable

DeviceC(config-if-GigabitEthernet 0/6)# exit

# 全局开启生成树功能。

DeviceC(config)# spanning-tree

DeviceC(config)# end

DeviceC# write

 

在实际使用VLAN的场景中，不同VLAN的设备间可能存在通信需求。尽管VLAN广播域是二层隔离的，不同VLAN的设备之间仍可以通过三层设备来进行通信，但此方式需占用路由接口。通过在二层交换设备的基础上增加路由模块构成三层交换设备，可以解决此问题。下面通过一个典型配置举例来说明如何通过三层交换设备实现不同VLAN间的通信。

组网需求

某用户内网存在三个部门，相互之间需要二层隔离，三层互联。

因此分别在3台接入设备Device A、Device B和Device C上创建VLAN，用户内网被划分为VLAN 10、VLAN 20和VLAN 30，相互之间二层隔离。把接口定义为一个VLAN的成员，所有连接到此接口的终端都是VLAN网络的一部分。调整用户所在VLAN，只需要调整接口的VLAN配置，而不必调整物理位置。

在核心设备Device D上配置3个VLAN，配置连接Device A、B和C的接口为Trunk口，并指定许可VLAN列表。配置3个SVI，分别作为3个VLAN对应IP子网的网关接口，3个VLAN对应的IP子网分别为192.168.10.0/24、192.168.20.0/24和192.168.30.0/24，3个VLAN通过三层核心设备的IP转发能力实现子网互连。

配置要点

1、 在三层核心设备Device D上配置3个VLAN，配置连接Device A、B和C的接口为Trunk口，并配置许可VLAN列表，实现二层隔离。

2、在Device D配置3个SVI口，分别作为3个VLAN对应IP子网的网关接口，配置网关IP地址。在终端上根据所在网段，配置默认网关地址。

3、分别在3台接入设备Device A、B和C上创建VLAN，为各VLAN分配Access口，配置连接Device D的接口为Trunk口。

配置步骤

(1) 创建和配置VLAN。

# 在核心设备Device D上创建VLAN。修改VLAN 10的名称。

DeviceD> enable

DeviceD# configure terminal

DeviceD(config)# vlan 10

DeviceD(config-vlan)# name office

DeviceD(config-vlan)# vlan range 20,30

DeviceD(config-vlan-range)# exit

# 在接入设备Device A上创建VLAN。

DeviceA> enable

DeviceA# configure terminal

DeviceA(config)# vlan range 10,20

DeviceA(config-vlan-range)# exit

# 在接入设备Device B上创建VLAN。

DeviceB> enable

DeviceB# configure terminal

DeviceB(config)# vlan range 10,20,30

DeviceB(config-vlan-range)# exit

# 在接入设备Device C上创建VLAN。

DeviceC> enable

DeviceC# configure terminal

DeviceC(config)# vlan range 20,30

DeviceC(config-vlan-range)# exit

(2) 在Device D上配置VLAN三层SVI口的IP地址。

DeviceD(config)# interface vlan 10

DeviceD(config-if-VLAN 10)# ip address 192.168.10.1 255.255.255.0

DeviceD(config-if-VLAN 10)# exit

DeviceD(config)# interface vlan 20

DeviceD(config-if-VLAN 20)# ip address 192.168.20.1 255.255.255.0

DeviceD(config-if-VLAN 20)# exit

DeviceD(config)# interface vlan 30

DeviceD(config-if-VLAN 30)# ip address 192.168.30.1 255.255.255.0

DeviceD(config-if-VLAN 30)# exit

(3) 配置Device D的下联口为Trunk口，分别配置其许可VLAN范围。

DeviceD(config)# interface range gigabitethernet 0/2-4

DeviceD(config-if-range)# switchport

DeviceD(config-if-range)# switchport mode trunk

DeviceD(config-if-range)# exit

DeviceD(config)# interface gigabitethernet 0/2

DeviceD(config-if-GigabitEthernet 0/2)# switchport trunk native vlan 1

DeviceD(config-if-GigabitEthernet 0/2)# switchport trunk allowed vlan only 10,20

DeviceD(config-if-GigabitEthernet 0/2)# exit

DeviceD(config)# interface gigabitethernet 0/3

DeviceD(config-if-GigabitEthernet 0/3)# switchport trunk native vlan 1

DeviceD(config-if-GigabitEthernet 0/3)# switchport trunk allowed vlan only 10,20,30

DeviceD(config-if-GigabitEthernet 0/3)# exit

DeviceD(config-if)# interface gigabitethernet 0/4

DeviceD(config-if-GigabitEthernet 0/4)# switchport trunk native vlan 1

DeviceD(config-if-GigabitEthernet 0/4)# switchport trunk allowed vlan only 20,30

DeviceD(config-if-GigabitEthernet 0/4)# end

DeviceD# write

(4) 配置接入设备上联口为Trunk口，配置其许可VLAN范围。如下以Device A配置为例，B和C配置类似。

# 配置Device A的上联口为Trunk模式。许可所有VLAN的数据通过。

DeviceA(config)# interface gigabitethernet 0/1

DeviceA(config-if-GigabitEthernet 0/1)# switchport

DeviceA(config-if-GigabitEthernet 0/1)# switchport mode trunk

DeviceA(config-if-GigabitEthernet 0/1)# switchport trunk native vlan 1

DeviceA(config-if-GigabitEthernet 0/1)# switchport trunk allowed vlan all

DeviceA(config-if-GigabitEthernet 0/1)# exit

(5) 配置接入设备下联口为Access口，并加入指定VLAN。如下以Device A配置为例，B和C配置类似。

# 配置Device A的下联口为Access模式，分别加入不同的VLAN。

DeviceA(config)# interface range gigabitethernet 0/2-12

DeviceA(config-if-range)# switchport

DeviceA(config-if-range)# switchport mode access

DeviceA(config-if-range)# switchport access vlan 10

DeviceA(config-if-range)# interface range gigabitethernet 0/13-24

DeviceA(config-if-range)# switchport

DeviceA(config-if-range)# switchport mode access

DeviceA(config-if-range)# switchport access vlan 20

DeviceA(config-if-range)# end

DeviceA# write

验证配置结果

(1) 在Device D上，使用show vlan [ id vlan-id ]命令查看VLAN信息，包括VLAN ID、名称、状态和加入接口。

(2)   查看接口配置和状态是否正确。

# 在Device D上，使用show interface switchport命令查看接口的VLAN状态。

# 在Device D上，使用show interface description命令查看接口状态为up。

(3)   在Device D上，使用show ip route命令查看SVI的直连路由是否正确。

# 目的IP匹配192.168.10.0/24的报文，向VLAN 10转发；目的IP匹配192.168.20.0/24的报文，向VLAN 20转发；目的IP匹配192.168.30.0/24的报文，向VLAN 30转发。
# 在Device D上可以Ping通VLAN（例如VLAN 10）的SVI地址。

(4)   以终端Host 2、Host 12和Host 13为例，验证连通性。

# 配置VLAN 10内Host 2的缺省网关为192.168.10.1，接口IP地址为192.168.10.2，掩码255.255.255.0。

# 配置VLAN 10内Host 12的缺省网关为192.168.10.1，接口IP地址为192.168.10.12，掩码255.255.255.0。

# 配置VLAN 20内Host 13的缺省网关为192.168.20.1，接口IP地址为192.168.20.13，掩码255.255.255.0。

# 在终端上使用show ip route命令查看缺省网关。发送端和接收端都需要配置缺省网关，任何一方未配置都无法实现跨网段通信。以Host 2为例，因存在缺省路由S*0.0.0.0/0 [1/0] via 192.168.10.1，当终端需要跨网段通信时，将报文交由网关192.168.10.1转发。

# 在DeviceD上可以Ping通终端（例如Host 2）的IP地址。

# 同VLAN（例如VLAN 10）内的终端能够互相Ping通。

# 不同VLAN内的终端也可以互相Ping通。但若在Device D上删除SVI的IP地址配置，或在终端上删除缺省网关，不同VLAN内的终端则无法Ping通。

 

 

 

 

 

设备开启HTTP服务，用户通过认证后可以登陆到Web管理界面管理设备，进行设备状态信息监控、配置设备、上传和下载文件等操作。下面通过一个典型配置举例说明如何使用WEB登录交换机。

配置步骤

(1) 配置设备上的管理IP地址，使得与Web浏览器三层路由可达。

Device> enable

Device# configure terminal

Device(config)# interface gigabitEthernet 0/1

Device(config-if-GigabitEthernet 0/1)# ip address 1.1.1.10 255.255.255.0

(2) 配置同时打开HTTP和HTTPS服务。

Device(config)# enable service web-server

(3) 配置HTTP服务端口号为8080。

Device(config)# http port 8080

(4) 配置HTTPS服务端口号为4430。

Device(config)# http secure-port 4430

(5) 配置HTTP认证信息。

Device(config)# webmaster level 1 username test1 password 0 test_password1

验证配置结果

# 通过ping命令查看设备与Web浏览器三层可通。

Success rate is 100 percent (5/5), round-trip min/avg/max = 2/2/2 ms.

# 通过show web-server status命令查看HTTP服务的配置信息。

# 通过浏览器登录1.1.1.10：8080，进入设备系统界面，输入用户名和密码，查看设备能否进入WEB界面。